Безпека ідентифікації підключеного автомобіля: повноваження власника та фізичний доказ

Що охоплює це відео

• Адміністративний контроль над довіреною ідентифікацією клієнта може впливати на повноваження транспортного засобу, надані підлеглими службами додатків.
• Каррі обмежує повне тестування ланцюжка транспортних засобів до облікових записів та транспортних засобів США; регіональний охоплення каталогів та ширша спільна заява Шаха мають різні сфери застосування.
• Приблизно двогодинна відповідь належить до графіка розкриття інформації супутника США. Австралійський звіт не надає відповідної дати усунення недоліків.
• Підтримувані команди залежать від моделі, підписки та активних підключених послуг. Керування або відключення іммобілайзера не було встановлено.
• Дослідники оновили статус автомобіля та підтвердили фізичні ефекти з власником біля автомобіля.
• Версійний виробничий посібник PingIDM рекомендує видаляти або захищати засоби розробки та ідентифікує окрему систему автентифікації консолі.

Перекладена стенограма

Перекладено з оригінальної англійської розповіді. Доступне аудіо та субтитри контролюються YouTube.

Як логін став ключем від автомобіля?

0:00 Додаток вашого автомобіля перевіряє, чи ви є власником. Дослідники змусили його сервер ідентифікації поручитися за них замість цього. У цьому відео, як логін став повноваженням транспортного засобу? І що довело, що автомобіль дійсно підкорявся? Сьогодні понеділок, дев'яте листопада, і це The Daily Diff. Остання перевірка відділяє переконливий екран від розблокованого автомобіля. Послуги підключеного автомобіля — це онлайн-системи, що стоять за додатком на телефоні власника. Шубхам Шах та Сем Каррі повідомляють, що адміністративний доступ до ідентифікації дозволив їм

0:25 отримати ті ж повноваження програми, що й власник. Вони продемонстрували віддалені команди на дозволених транспортних засобах. Їхній звіт із США говорить, що недоліки були виправлені після розкриття інформації.

Що нещодавно опубліковано, а що вже виправлено?

0:33 Обидва звіти з'явилися сьомого листопада. Каррі датує своє розкриття інформації початком цього року. Шах описує австралійські дослідження, що розпочалися в липні. Це різні часові рамки. Читання їх як однієї світової надзвичайної ситуації надало б заголовку більше потужності, ніж докази. Шах купив один із позашляховиків неназваного автовиробника у дві тисячі двадцять третьому році. Який інтернет-сервіс отримує запит, коли я відмикаю свій автомобіль?

0:53 Він і Каррі витратили два тижні на вивчення системи ідентифікації. Брелок отримав команду розробників. Додаток входить у ваш обліковий запис і завантажує ваш гараж.

Якій ідентифікації довіряє служба транспортних засобів?

1:01 Підключена служба пов'язує цей обліковий запис з транспортними засобами та дозволеними командами. Це відношення є корисною відповіддю. Той, хто контролює довірену ідентифікацію клієнта, може успадкувати можливості, призначені для клієнта. В Австралії загальнодоступний інструмент управління розкрив інформацію про клієнтів через інтерфейси, захищені ключами, що постачаються в браузерному JavaScript. Амбіційне визначення таємниці. Шах також виявив облікові дані адміністратора ідентифікації в пакеті постачальника,

1:24 і повідомив, що вони працювали у виробництві. Периметр блокував конфіденційні маршрути. Але програмні рівні інтерпретували той самий запит по-різному. Каррі каже, що крайній вузол розглядав шлях як статичний вміст, тоді як бекенд отримував доступ до консолі адміністрування. Привітальний килимок і замкнені двері консультувалися з різними картами.

Чому консоль розробки мала значення?

1:41 Ця консоль все ще приймала облікові дані адміністратора за замовчуванням, за словами Каррі. Виробничий посібник вже вказує операторам видалити або захистити її, і каже, що її автентифікація є окремою від автентифікації продукту ідентифікації. Ще один логін, що ховається між пунктами контрольного списку. Викритий інструментарій адміністрування дозволяв виконувати код всередині служби ідентифікації. Дослідники отримали доступ до записів клієнтів за межами публічного фільтраційного бар'єру. Периметровий фільтр перевіряє трафік, що перетинає цей периметр.

2:06 Процес, що вже знаходиться всередині служби, має інший зв'язок з даними. Це пояснює проблему багатофакторної аутентифікації в звіті США. Записи ідентифікації надавали інформацію для входу та пункт призначення для коду підтвердження електронною поштою. Адміністративний контроль над цими записами дозволив дослідникам завершити вхід. Визначення клієнта на вищому рівні вже змінилося. Шах описує окрему австралійську помилку конфігурації автентифікації, яка дозволила його ланцюжку пропустити додатковий фактор.

2:31 Називання багатофакторної автентифікації зламаною скрізь видалило б деталі конфігурації, які потрібні розробникам. Зберігайте свій додатковий фактор. Зберігайте систему, яка визначає її власника, також надійною. Облікові дані мають різні завдання.

Коли сеанс стає повноваженням програми?

2:43 Доступ адміністратора контролює записи ідентифікації. Сеанс клієнта представляє завершений вхід. Мобільний додаток отримує токени, прийняті його службами. Називання всього цього магічним токеном втрачає межі, які зробили можливим доступ, еквівалентний власнику. Каррі описує каталоги ідентифікації двох неназваних автовиробників у кількох регіонах. Він обмежує повне тестування транспортних засобів до облікових записів та транспортних засобів США. Шах описує одного автовиробника з двома австралійськими брендами,

3:09 потім заявляє про ширший спільний охоплення. Ці різні сфери застосування не дають нам підстави ідентифікувати компанії. Hacker News сперечається про те, чи має існувати розблокування телефону. Одна відповідь вказує на перевірку забутого замка та охолодження або прогрів автомобіля. Люди люблять корисні функції. Надання клієнтам зручності також надає послузі дорогу роботу. Вона повинна заслужити свої повноваження.

Що насправді охопило усунення недоліків?

3:29 Каррі повідомляє, що обидва автовиробники виправили вразливість приблизно через дві години після її отримання та змінили скомпрометовані облікові дані. Це часовий проміжок для американського компаньйона. Липневий звіт Шаха не містить відповідного часового проміжку щодо усунення. Його звіт залишає поточний статус усунення в Австралії невизначеним. Ми не можемо перетворити двогодинну відповідь на глобальний годинник ремонту. Для розробників, почніть з поверхні адміністрування. Інвентаризуйте, що викрито і яка система автентифікації це захищає.

3:55 Видаліть невикористані засоби розробки. Захистіть засоби, які ви залишаєте. Перегляньте інтерпретацію запитів кожного шару, перш ніж розглядати правило крайнього вузла як останнє слово щодо доступу. Шах каже, що австралійський ланцюг нарешті спрацював близько опівночі, відчинивши автомобіль, який їм дозволили тестувати. Ідентифікаційна сантехніка із задовільним результатом. Опис заслуговує на свій висновок, перевіряючи інший кінець.

4:14 Впевненість бекенду – це лише половина розмови. У звіті Каррі з США зазначено, що можливості залежать від моделі автомобіля, підписки та активних підключених послуг. Підтримувані команди включають розблокування дверей та дистанційний запуск двигуна. Жоден із звітів не встановлює можливість від'їхати або вивести з ладу іммобілайзер. Докази охоплюють конкретні можливості програми та дозволені фізичні демонстрації. Запитайте, яка служба може змінити факти, на яких ґрунтується ваша авторизація. Скидання паролів та зміни контактів мають значення, оскільки інші системи сприймають

4:41 їх як істину. Дійсний логін може ґрунтуватися на переписаній ідентифікації. Ця історія з автомобілем стає історією вашого додатка там.

Що довело, що автомобіль дійсно підкорявся?

4:48 Остання перевірка відбулася біля машини. Каррі каже, що лише прийнята команда API нічого не доводить про поведінку автомобіля. Вони оновили його статус і підтвердили фізичний результат з власником, що стояв поруч. Шах розблокував і завів автомобіль, потім зупинив його і знову заблокував. Доказ досяг під'їзної доріжки. Якщо ви волієте прочитати це, аніж почути від мене, The Daily Diff приходить на вашу електронну пошту щоранку, безкоштовно на thedailydiff.dev, посилання нижче.

Який кордон потребує перегляду?

5:10 Отже, сьогоднішній вердикт: ПОТРЕБУЄ ПЕРЕГЛЯДУ. Я б провів аудит адміністративних шляхів до ідентифікації клієнтів, перш ніж довіряти їй фізичні елементи керування. Повідомлене виправлення в США заслуговує на довіру. Хто може перевизначити власника, в якого вірять всі підлеглі служби? І це The Daily Diff на сьогодні. Я Ніко з Axrisi. Об'єднуйте відповідально.

Джерела

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip