منسلک کار کی شناختی سیکیورٹی: مالک کا اختیار اور جسمانی ثبوت

اس ویڈیو میں کیا شامل ہے

• قابل اعتماد کسٹمر شناخت کا انتظامی کنٹرول ڈاؤن اسٹریم ایپ سروسز کے ذریعہ دی گئی گاڑی کے اختیار کو متاثر کر سکتا ہے۔
• کری نے مکمل گاڑی-چین ٹیسٹنگ کو امریکی اکاؤنٹس اور گاڑیوں تک محدود رکھا؛ علاقائی ڈائریکٹری رسائی اور شاہ کا وسیع تر مشترکہ دعویٰ مختلف دائرہ کار رکھتے ہیں۔
• تقریباً دو گھنٹے کا جواب امریکی ہمراہ کی انکشاف کی ٹائم لائن سے تعلق رکھتا ہے۔ آسٹریلوی اکاؤنٹ کوئی مماثل علاج کی تاریخ نہیں دیتا ہے۔
• مدد یافتہ کمانڈز ماڈل، سبسکرپشن اور فعال منسلک خدمات پر منحصر ہیں۔ ڈرائیونگ یا اموبیلائزر کو شکست دینا ثابت نہیں ہوا۔
• محققین نے گاڑی کی حیثیت کو تازہ کیا اور مالک کے ساتھ گاڑی کے پاس جسمانی اثرات کی تصدیق کی۔
• PingIDM کا ورژن شدہ پروڈکشن گائیڈ ڈیولپمنٹ ٹولز کو ہٹانے یا محفوظ کرنے کی سفارش کرتا ہے اور ایک الگ کنسول تصدیق کے نظام کی نشاندہی کرتا ہے۔

ترجمہ شدہ ٹرانسکرپٹ

اصل انگریزی بیان سے ترجمہ کیا گیا۔ دستیاب آڈیو اور کیپشنز یوٹیوب کے زیر انتظام ہیں۔

ایک لاگ ان کار کی چابی کیسے بن گیا؟

0:00 آپ کی کار کی ایپ چیک کرتی ہے کہ آپ مالک ہیں۔ محققین نے اس کے شناختی سرور کو ان کی ضمانت دینے پر مجبور کیا۔ اس ویڈیو میں، لاگ ان گاڑی کا اختیار کیسے بن گیا؟ اور کس چیز نے ثابت کیا کہ ایک کار نے واقعی اطاعت کی؟ آج پیر، نو نومبر ہے، اور یہ دی ڈیلی ڈف ہے۔ ایک آخری چیک ایک قائل اسکرین کو ایک کھلی کار سے الگ کرتا ہے۔ کنیکٹڈ کار سروسز مالک کی فون ایپ کے پیچھے آن لائن سسٹم ہیں۔ شبھم شاہ اور سیم کری نے اطلاع دی ہے کہ انتظامی شناختی رسائی نے انہیں

0:25 مالک کے برابر ایپ اتھارٹی حاصل کرنے کی اجازت دی۔ انہوں نے اجازت یافتہ گاڑیوں پر ریموٹ کمانڈز کا مظاہرہ کیا۔ ان کے امریکی اکاؤنٹ میں کہا گیا ہے کہ نقائص کو انکشاف کے بعد ٹھیک کر دیا گیا تھا۔

نیا کیا شائع ہوا ہے، اور پہلے سے کیا درست ہو چکا ہے؟

0:33 دونوں تحریریں سات نومبر کو شائع ہوئیں۔ کری اپنی انکشاف کی تاریخ اس سال کے اوائل کی بتاتے ہیں۔ شاہ جولائی میں شروع ہونے والی آسٹریلوی تحقیق کی وضاحت کرتے ہیں۔ یہ مختلف ٹائم لائنز ہیں۔ انہیں ایک عالمی ہنگامی صورتحال کے طور پر پڑھنے سے سرخی کو زیادہ ہارس پاور ملے گی بنسبت ثبوت کے۔ شاہ نے 2023 میں بے نام آٹومیکر کی ایس یو وی میں سے ایک خریدی۔ جب میں اپنی کار کھولتا ہوں تو کون سی انٹرنیٹ سروس ٹیپ وصول کرتی ہے؟

0:53 انہوں نے اور کری نے شناختی نظام کی جانچ میں دو ہفتے گزارے۔ کی فوب نے ایک بیک اینڈ ٹیم حاصل کر لی ہے۔ ایپ آپ کو سائن ان کرتی ہے اور آپ کا گیراج لوڈ کرتی ہے۔

گاڑی کی سروس کس شناخت پر بھروسہ کرتی ہے؟

1:01 منسلک سروس اس اکاؤنٹ کو گاڑیوں اور اجازت یافتہ کمانڈز سے جوڑتی ہے۔ یہ تعلق مفید جواب ہے۔ جو بھی قابل اعتماد کسٹمر شناخت کو کنٹرول کرتا ہے وہ ایسی صلاحیتیں وراثت میں حاصل کر سکتا ہے جو کسٹمر کے لیے بنائی گئی تھیں۔ آسٹریلیا میں، ایک عوامی انتظامی ٹول نے کسٹمر کی معلومات کو انٹرفیس کے ذریعے بے نقاب کیا جو براؤزر جاوا سکرپٹ میں بھیجی گئی چابیاں سے محفوظ تھے۔ خفیہ کی ایک مہتواکانکشی تعریف۔ شاہ نے ایک وینڈر بنڈل میں شناختی ایڈمنسٹریٹر کی اسناد بھی ڈھونڈیں،

1:24 اور اطلاع دی کہ وہ پروڈکشن میں کام کر رہی تھیں۔ پیرامیٹر نے حساس راستوں کو روک دیا۔ لیکن سافٹ ویئر کی تہوں نے ایک ہی درخواست کو مختلف طریقے سے سمجھا۔ کری کہتے ہیں کہ کنارے نے ایک راستے کو جامد مواد کے طور پر لیا جبکہ بیک اینڈ نے ایک ایڈمنسٹریشن کنسول تک رسائی حاصل کی۔ خوش آمدید قالین اور بند دروازہ مختلف نقشوں سے مشورہ کر رہے تھے۔

ایک ڈویلپمنٹ کنسول کیوں اہم تھا؟

1:41 وہ کنسول اب بھی ڈیفالٹ ایڈمنسٹریٹر کی اسناد قبول کرتا تھا، کری کے مطابق۔ پروڈکشن گائیڈ پہلے ہی آپریٹرز کو اسے ہٹانے یا محفوظ کرنے کو کہتا ہے، اور کہتا ہے کہ اس کی تصدیق شناختی پروڈکٹ کی تصدیق سے الگ ہے۔ چیک لسٹ کے بلٹ پوائنٹس کے درمیان ایک اور لاگ ان چھپا ہوا ہے۔ بے نقاب انتظامی ٹولنگ نے شناخت کے اندر کوڈ چلانے کی اجازت دی خدمت۔ محققین نے عوامی فلٹرنگ کی حد کے پیچھے کسٹمر ریکارڈز تک رسائی حاصل کی باؤنڈری۔ ایک پیرامیٹر فلٹر اس پیرامیٹر کو عبور کرنے والے ٹریفک کو چیک کرتا ہے۔

2:06 ایک عمل جو پہلے ہی سروس کے اندر ہے اس کا ڈیٹا کے ساتھ ایک مختلف تعلق ہے۔ یہ امریکی اکاؤنٹ میں ملٹی فیکٹر مسئلے کی وضاحت کرتا ہے۔ شناختی ریکارڈز نے ایک ای میل کے لیے لاگ ان معلومات اور منزل فراہم کی تصدیقی کوڈ۔ ان ریکارڈز پر انتظامی کنٹرول نے محققین کو لاگ ان مکمل کرنے کی اجازت دی۔ کسٹمر کی اپ اسٹریم تعریف پہلے ہی بدل چکی تھی۔ شاہ ایک الگ آسٹریلوی تصدیقی غلط ترتیب کی وضاحت کرتے ہیں جس نے اس کی چین کو اضافی عنصر کو چھوڑنے دیا۔

2:31 ملٹی فیکٹر تصدیق کو ہر جگہ ٹوٹا ہوا کہنا ترتیب کی تفصیلات کو ختم کر دے گا جو ڈویلپرز کو درکار ہیں۔ اپنا اضافی فیکٹر رکھیں۔ نظام کو اپنے مالک کو بھی قابل اعتماد رہنے دیں۔ اسناد کے مختلف کام ہیں۔

ایک سیشن ایپ اتھارٹی کب بنتا ہے؟

2:43 ایڈمنسٹریٹر رسائی شناختی ریکارڈز کو کنٹرول کرتی ہے۔ ایک کسٹمر سیشن ایک مکمل سائن ان کی نمائندگی کرتا ہے۔ موبائل ایپ اپنی خدمات کے ذریعہ قبول کردہ ٹوکن حاصل کرتی ہے۔ ان سب کو ایک جادوئی ٹوکن کہنا ان حدود کو کھو دیتا ہے جنہوں نے مالک کے مساوی رسائی کو ممکن بنایا۔ کری متعدد علاقوں میں دو نامعلوم آٹو میکر کی شناختی ڈائریکٹریز کی وضاحت کرتے ہیں۔ وہ مکمل گاڑی کی جانچ کو امریکی اکاؤنٹس اور گاڑیوں تک محدود رکھتے ہیں۔ شاہ دو آسٹریلوی برانڈز میں ایک آٹو میکر کی وضاحت کرتے ہیں،

3:09 پھر وسیع تر مشترکہ رسائی کا دعویٰ کرتے ہیں۔ یہ مختلف دائرہ کار ہمیں کمپنیوں کی شناخت کی کوئی بنیاد نہیں دیتے۔ ہیکر نیوز اس بارے میں بحث کرتا ہے کہ کیا فون ان لاکنگ موجود ہونی چاہیے۔ ایک جواب ایک بھولا ہوا لاک چیک کرنے اور کار کو ٹھنڈا یا گرم کرنے کی طرف اشارہ کرتا ہے۔ لوگ مفید خصوصیات پسند کرتے ہیں۔ صارفین کو سہولت دینے سے سروس کو ایک مہنگا کام بھی ملتا ہے۔ اسے اپنا اختیار کمانا ہوگا۔

علاج نے دراصل کیا شامل کیا؟

3:29 کری نے اطلاع دی کہ دونوں آٹومیکرز نے اسے موصول ہونے کے تقریباً دو گھنٹے بعد کمزوری کو ٹھیک کر دیا اور متاثرہ اسناد کو گھمایا۔ یہ امریکی ہمراہ کی ٹائم لائن ہے۔ شاہ کا جولائی کا اکاؤنٹ کوئی مماثل علاج کی ٹائم لائن فراہم نہیں کرتا ہے۔ ان کا اکاؤنٹ آسٹریلیا کی موجودہ علاج کی حیثیت کو غیر متعین چھوڑ دیتا ہے۔ ہم دو گھنٹے کے جواب کو عالمی مرمت کے اسٹاپ واچ میں تبدیل نہیں کر سکتے۔ ڈویلپرز کے لیے، انتظامی سطح سے شروع کریں۔ انوینٹری کریں کہ کیا بے نقاب ہے اور کون سا تصدیقی نظام اسے محفوظ رکھتا ہے۔

3:55 غیر استعمال شدہ ڈویلپمنٹ ٹولز کو ہٹا دیں۔ جو ٹولز آپ رکھتے ہیں ان کی حفاظت کریں۔ رسائی پر آخری بات سمجھنے سے پہلے ہر پرت کی درخواست کی تشریح کا جائزہ لیں۔ آخری بات کے طور پر۔ شاہ کہتے ہیں کہ آسٹریلوی چین نے بالآخر آدھی رات کے قریب کام کیا، ایک کار کھول دی جس کا انہیں ٹیسٹ کرنے کی اجازت تھی۔ ایک تسلی بخش انجام کے ساتھ شناختی پلمبنگ۔ ایک تحریر اپنے اختتام کو دوسرے سرے کو چیک کرکے حاصل کرتی ہے۔

4:14 بیک اینڈ کا اعتماد صرف آدھی گفتگو ہے۔ کری کا امریکی اکاؤنٹ کہتا ہے کہ صلاحیتیں گاڑی کے ماڈل پر منحصر ہیں، سبسکرپشن، اور فعال منسلک خدمات۔ مدد یافتہ کمانڈز میں دروازہ کھولنے اور ریموٹ انجن اسٹارٹ شامل ہیں۔ نہ ہی کسی تحریر میں گاڑی چلانے یا اموبیلائزر کو شکست دینے کی تصدیق ہوئی ہے۔ شواہد میں مخصوص ایپ صلاحیتیں اور اجازت یافتہ جسمانی مظاہرے شامل ہیں۔ پوچھیں کہ کون سی سروس ان حقائق کو بدل سکتی ہے جن پر آپ کی اجازت کا انحصار ہے پاس ورڈ ری سیٹ اور رابطہ کی تبدیلیاں اہم ہیں کیونکہ دوسرے سسٹم انہیں

4:41 سچائی کے طور پر استعمال کرتے ہیں۔ ایک درست لاگ ان ایک دوبارہ لکھی گئی شناخت پر مبنی ہو سکتا ہے۔ یہ کار کی کہانی وہاں آپ کی ایپلیکیشن کی کہانی بن جاتی ہے۔

کس چیز نے ثابت کیا کہ کار نے واقعی اطاعت کی؟

4:48 آخری چیک کار کے ساتھ ہوا۔ کری کہتے ہیں کہ اکیلے ایک منظور شدہ API کمانڈ نے کار کے رویے کے بارے میں کچھ ثابت نہیں کیا انہوں نے اس کی حیثیت کو تازہ کیا اور مالک کے اس کے ساتھ کھڑے ہونے کے ساتھ جسمانی نتیجے کی تصدیق کی۔ مالک کے ساتھ کھڑے ہو کر جسمانی نتیجہ کی تصدیق کی۔ شاہ نے گاڑی کو کھولا اور اسٹارٹ کیا، پھر اسے روکا اور دوبارہ لاک کیا۔ ثبوت ڈرائیو وے تک پہنچ گیا۔ اگر آپ مجھے سننے کے بجائے اسے پڑھنا چاہتے ہیں، تو ڈیف ہر صبح آپ کے ان باکس میں مفت میں The Daily Diff.dev پر آتا ہے، لنک نیچے ہے۔

کونسی حد کا جائزہ لینے کی ضرورت ہے؟

5:10 تو، آج کا فیصلہ، جائزے کی ضرورت ہے۔ میں انتظامی راستوں کا آڈٹ کروں گا کسٹمر کی شناخت میں اسے جسمانی کنٹرولز کے ساتھ بھروسہ کرنے سے پہلے۔ رپورٹ شدہ امریکی فکس تعریف کا مستحق ہے۔ کون اس مالک کی تعریف کو دوبارہ بیان کر سکتا ہے جس پر ہر ڈاؤن اسٹریم سروس یقین کرتی ہے؟ اور یہی آج کا فرق ہے۔ میں ایکسیریسی سے نیکو ہوں۔ ذمہ داری سے ضم کریں۔

ذرائع

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip