Bağlantılı araç kimlik güvenliği: sahip yetkisi ve fiziksel kanıt

Bu video neleri kapsar

• Güvenilen müşteri kimliğinin yönetici kontrolü, alt düzey uygulama hizmetleri tarafından verilen araç yetkisini etkileyebilir.
• Curry, eksiksiz araç zinciri testini ABD hesapları ve araçlarıyla sınırlıyor; bölgesel dizin erişimi ve Shah'ın daha geniş birleşik iddiası farklı kapsamlara sahiptir.
• Yaklaşık iki saatlik yanıt, ABD'deki ilgili bildirimin ifşa takvimine aittir. Avustralya raporu eşleşen bir çözüm tarihi vermiyor.
• Desteklenen komutlar modele, aboneliğe ve aktif bağlantılı hizmetlere bağlıdır. Sürüş veya immobilizer'ın devre dışı bırakıldığı tespit edilmedi.
• Araştırmacılar araç durumunu yeniledi ve araç sahibinin yanında fiziksel etkileri doğruladı.
• PingIDM'nin versiyonlu üretim kılavuzu, geliştirme araçlarının kaldırılmasını veya korunmasını önerir ve ayrı bir konsol kimlik doğrulama sistemi tanımlar.

Çevrilmiş deşifre

Orijinal İngilizce anlatımdan çevrilmiştir. Mevcut ses ve altyazılar YouTube tarafından kontrol edilir.

Bir giriş nasıl araba anahtarı oldu?

0:00 Aracınızın uygulaması, sahibi olduğunuzu kontrol eder. Araştırmacılar, bunun yerine kimlik sunucusunun kendileri için kefil olmasını sağladı. Bu videoda, giriş nasıl araç yetkisi haline geldi? Ve bir arabanın gerçekten itaat ettiğini ne kanıtladı? Bugün 9 Kasım Pazartesi ve bu The Daily Diff. İnandırıcı bir ekranı kilitlenmemiş bir arabadan ayıran son bir kontrol var. Bağlantılı araç hizmetleri, bir sahibin telefon uygulamasının arkasındaki çevrimiçi sistemlerdir. Shubham Shah ve Sam Curry, yönetici kimlik erişiminin kendilerine

0:25 bir sahibinkiyle aynı uygulama yetkisini elde etmelerini sağladığını bildirdi. İzin verilen araçlarda uzaktan komutları gösterdiler. ABD hesapları, kusurların ifşadan sonra düzeltildiğini söylüyor.

Yeni yayınlananlar neler ve zaten ne düzeltilmişti?

0:33 Her iki yazı da 7 Kasım'da yayınlandı. Curry, ifşasını bu yılın başlarına tarihlendiriyor. Shah, Temmuz ayında başlayan Avustralya araştırmalarını anlatıyor. Bunlar farklı zaman çizelgeleri. Bunları tek bir dünya çapındaki acil durum olarak okumak, başlığa kanıtlardan daha fazla güç katardı. Shah, isimsiz otomobil üreticilerinden birinin SUV'lerinden birini 2023'te satın aldı. Arabamın kilidini açtığımda hangi internet hizmeti dokunmayı alıyor?

0:53 O ve Curry, kimlik sistemini incelemek için iki hafta harcadılar. Anahtarlık bir arka uç ekibi edindi. Uygulama sizi oturum açar ve garajınızı yükler.

Araç hizmeti hangi kimliğe güveniyor?

1:01 Bağlantılı hizmet, bu hesabı araçlarla ve izin verilen komutlarla ilişkilendirir. Bu ilişki faydalı yanıttır. Güvenilen müşteri kimliğini kontrol eden kişi, müşteri için tasarlanan yetenekleri devralabilir. Avustralya'da, halka açık bir yönetim aracı, tarayıcı JavaScript'inde gönderilen anahtarlarla korunan arayüzler aracılığıyla müşteri bilgilerini ifşa etti. Gizli kelimesinin iddialı tanımı. Shah ayrıca bir satıcı paketinde kimlik yöneticisi kimlik bilgilerini buldu

1:24 ve bunların üretimde çalıştığını bildirdi. Çevre hassas rotaları engelledi. Ancak yazılım katmanları aynı isteği farklı yorumladı. Curry, kenarın bir yolu statik içerik olarak ele alırken arka ucun bir yönetim konsoluna ulaştığını söylüyor. Hoş geldin paspası ve kilitli kapı farklı haritalara bakıyordu.

Bir geliştirme konsolu neden önemliydi?

1:41 Bu konsol hala varsayılan yönetici kimlik bilgilerini kabul etti, Curry'ye göre. Üretim kılavuzu zaten operatörlere onu kaldırmalarını veya korumalarını söylüyor, ve kimlik doğrulamasının kimlik ürününün kimlik doğrulamasından ayrı olduğunu söylüyor. Kontrol listesinin madde işaretleri arasında gizlenen başka bir giriş. Açıkta kalan yönetim araçları, kimlik hizmeti içinde kodun çalışmasına izin verdi. Araştırmacılar, kamuya açık filtreleme sınırının arkasındaki müşteri kayıtlarına erişti. Bir çevre filtresi, bu çevreyi geçen trafiği kontrol eder.

2:06 Hizmet içinde zaten bir süreç verilerle farklı bir ilişkiye sahiptir. Bu, ABD hesabındaki çok faktörlü sorunu açıklıyor. Kimlik kayıtları, bir e-posta doğrulama kodu için giriş bilgilerini ve hedefi sağladı. Bu kayıtlar üzerindeki yönetici kontrolü, araştırmacıların girişi tamamlamasına izin verdi. Müşterinin üst düzey tanımı zaten değişmişti. Shah, Avustralya'da zincirinin ek faktörü atlamasına izin veren ayrı bir kimlik doğrulama yanlış yapılandırmasını anlatıyor.

2:31 Çok faktörlü kimlik doğrulamanın her yerde bozuk olduğunu söylemek, geliştiricilerin ihtiyaç duyduğu yapılandırma ayrıntılarını silerdi. Ek faktörünüzü koruyun. Sahibini güvenilir olarak tanımlayan sistemi de koruyun. Kimlik bilgilerinin farklı görevleri vardır.

Bir oturum ne zaman uygulama yetkisine dönüşür?

2:43 Yönetici erişimi kimlik kayıtlarını kontrol eder. Bir müşteri oturumu tamamlanmış bir oturum açmayı temsil eder. Mobil uygulama, hizmetleri tarafından kabul edilen belirteçleri elde eder. Bunların hepsine sihirli bir belirteç demek, sahibine eşdeğer erişimi mümkün kılan sınırları kaybetmek demektir. Curry, birden fazla bölgede iki isimsiz otomobil üreticisinin kimlik dizinlerini anlatıyor. Tam araç testini ABD hesapları ve araçlarıyla sınırlıyor. Shah, iki Avustralya markasında tek bir otomobil üreticisini anlatıyor,

3:09 ardından daha geniş birleşik erişim iddiasında bulunuyor. Bu farklı kapsamlar, şirketleri tanımlamak için bize bir dayanak sağlamıyor. Hacker News, telefon kilidinin açılıp açılmaması gerektiğini tartışıyor. Bir yanıt, unutulmuş bir kilidi kontrol etmeye ve arabayı soğutmaya veya ısıtmaya işaret ediyor. İnsanlar faydalı özellikleri sever. Müşterilere kolaylık sağlamak, hizmete pahalı bir iş de verir. Yetkisini kazanmak zorundadır.

Düzeltme aslında neleri kapsıyordu?

3:29 Curry, her iki otomobil üreticisinin de güvenlik açığını aldıktan yaklaşık iki saat sonra düzelttiğini ve etkilenen kimlik bilgilerini değiştirdiğini bildirdi. Bu, ABD'deki ilgili bildirimin zaman çizelgesidir. Shah'ın Temmuz raporu eşleşen bir çözüm zaman çizelgesi sağlamıyor. Raporu, Avustralya'nın mevcut çözüm durumunu belirtmiyor. İki saatlik yanıtı küresel bir tamir kronometresine çeviremeyiz. Geliştiriciler için, yönetim yüzeyiyle başlayın. Nelerin açıkta olduğunu ve hangi kimlik doğrulama sisteminin onu koruduğunu envantere alın.

3:55 Kullanılmayan geliştirme araçlarını kaldırın. Sakladığınız araçları koruyun. Bir kenar kuralını erişim konusunda son söz olarak ele almadan önce her katmanın istek yorumunu gözden geçirin. Shah, Avustralya zincirinin nihayet gece yarısı civarında çalıştığını, test etmelerine izin verilen bir arabayı açtığını söylüyor. Tatmin edici bir sonla biten kimlik tesisatı. Bir yazı, diğer ucunu kontrol ederek sonucunu hak eder.

4:14 Arka ucun güveni, sohbetin sadece yarısıdır. Curry'nin ABD hesabı, yeteneklerin araç modeline, aboneliğe ve aktif bağlantılı hizmetlere bağlı olduğunu söylüyor. Desteklenen komutlar arasında kapı kilidini açma ve uzaktan motor çalıştırma bulunur. Her iki yazı da aracı sürme veya immobilizer'ı devre dışı bırakma eylemini tespit etmedi. Kanıtlar belirli uygulama yeteneklerini ve izin verilen fiziksel gösterimleri kapsar. Yetkilendirmenizin dayandığı gerçekleri hangi hizmetin değiştirebileceğini sorun. Parola sıfırlamaları ve iletişim değişiklikleri önemlidir, çünkü diğer sistemler bunları

4:41 gerçek olarak tüketir. Geçerli bir giriş, yeniden yazılmış bir kimliğe dayanabilir. Bu araba hikayesi orada sizin uygulama hikayeniz olur.

Arabanın gerçekten itaat ettiğini ne kanıtladı?

4:48 Son kontrol arabanın yanında yapıldı. Curry, kabul edilen bir API komutunun tek başına arabanın davranışı hakkında hiçbir şey kanıtlamadığını söylüyor. Durumunu yenilediler ve fiziksel sonucu sahibi yanında dururken doğruladılar. Shah aracı kilidini açtı ve çalıştırdı, ardından durdurdu ve tekrar kilitledi. Kanıt garaj yoluna ulaştı. Bunu benden duymak yerine okumak isterseniz, fark her sabah e-posta kutunuza ücretsiz olarak daily diff.dev adresinden gelir, link aşağıda.

Hangi sınırın gözden geçirilmesi gerekiyor?

5:10 Öyleyse, bugünün kararı, İNCELEMEYE İHTİYACI VAR. Fiziksel kontroller için güvenmeden önce müşteri kimliğine giden yönetim yollarını denetlerdim. Bildirilen ABD düzeltmesi takdire şayan. Her alt düzey hizmetin inandığı sahibini kim yeniden tanımlayabilir? Ve bugünün farkı bu. Ben Axrisi'den Niko. Sorumlu bir şekilde birleştirin. Sorumlu bir şekilde birleştirin.

Kaynaklar

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip