Bảo mật danh tính xe được kết nối: quyền chủ sở hữu và bằng chứng vật lý

Nội dung video này đề cập

• Kiểm soát hành chính danh tính khách hàng đáng tin cậy có thể ảnh hưởng đến quyền cấp phép xe được cấp bởi các dịch vụ ứng dụng hạ nguồn.
• Curry giới hạn việc kiểm tra chuỗi xe hoàn chỉnh đối với các tài khoản và phương tiện của Hoa Kỳ; phạm vi thư mục khu vực và tuyên bố kết hợp rộng hơn của Shah có phạm vi khác nhau.
• Thời gian phản hồi khoảng hai giờ thuộc về dòng thời gian tiết lộ của báo cáo đi kèm của Hoa Kỳ. Báo cáo của Úc không đưa ra ngày khắc phục phù hợp.
• Các lệnh được hỗ trợ phụ thuộc vào kiểu xe, gói thuê bao và các dịch vụ kết nối đang hoạt động. Việc lái xe hoặc vô hiệu hóa bộ chống trộm không được thiết lập.
• Các nhà nghiên cứu đã làm mới trạng thái xe và xác nhận các hiệu ứng vật lý với chủ xe đứng cạnh xe.
• Hướng dẫn sản xuất theo phiên bản của PingIDM khuyến nghị xóa hoặc bảo vệ các công cụ phát triển và xác định một hệ thống xác thực bảng điều khiển riêng biệt.

Bản ghi đã dịch

Được dịch từ lời tường thuật tiếng Anh gốc. Âm thanh và phụ đề có sẵn được điều khiển bởi YouTube.

Làm cách nào mà việc đăng nhập lại trở thành chìa khóa xe?

0:00 Ứng dụng trên ô tô của bạn kiểm tra xem bạn có phải là chủ sở hữu không. Các nhà nghiên cứu đã khiến máy chủ danh tính của nó bảo lãnh cho họ thay thế. Trong video này, làm thế nào mà việc đăng nhập lại trở thành quyền điều khiển xe? Và điều gì đã chứng minh chiếc xe thực sự tuân thủ? Hôm nay là thứ Hai, ngày 9 tháng 11, và đây là The Daily Diff. Một lần kiểm tra cuối cùng ngăn cách một màn hình thuyết phục với một chiếc xe đã mở khóa. Các dịch vụ xe hơi kết nối là các hệ thống trực tuyến đằng sau ứng dụng điện thoại của chủ sở hữu. Shubham Shah và Sam Curry báo cáo rằng quyền truy cập danh tính quản trị đã cho phép họ

0:25 có được quyền ứng dụng tương đương với chủ sở hữu. Họ đã trình diễn các lệnh từ xa trên các phương tiện được cấp phép. Tài khoản tại Hoa Kỳ của họ cho biết các lỗi đã được khắc phục sau khi tiết lộ.

Điều gì mới được công bố, và điều gì đã được khắc phục?

0:33 Cả hai bài viết đều xuất hiện vào ngày 7 tháng 11. Curry ghi ngày tiết lộ của mình vào đầu năm nay. Shah mô tả nghiên cứu của Úc bắt đầu vào tháng 7. Đó là những mốc thời gian khác nhau. Đọc chúng như một trường hợp khẩn cấp toàn cầu sẽ mang lại cho tiêu đề nhiều sức mạnh hơn so với bằng chứng. Shah đã mua một trong những chiếc SUV của nhà sản xuất ô tô không tên vào năm 2023. Dịch vụ internet nào nhận được tín hiệu khi tôi mở khóa xe?

0:53 Anh ấy và Curry đã dành hai tuần để kiểm tra hệ thống nhận dạng. Chìa khóa điện tử đã có một đội ngũ hỗ trợ. Ứng dụng đăng nhập bạn và tải gara của bạn.

Dịch vụ xe tin tưởng danh tính nào?

1:01 Dịch vụ kết nối liên kết tài khoản đó với các phương tiện và các lệnh được cho phép. Mối quan hệ đó là câu trả lời hữu ích. Bất cứ ai kiểm soát danh tính khách hàng đáng tin cậy đều có thể kế thừa các khả năng được dành cho khách hàng. Tại Úc, một công cụ quản lý công khai đã làm lộ thông tin khách hàng thông qua các giao diện được bảo vệ bởi các khóa được gửi trong JavaScript của trình duyệt. Định nghĩa đầy tham vọng về bí mật. Shah cũng tìm thấy thông tin đăng nhập quản trị viên danh tính trong một gói nhà cung cấp,

1:24 và báo cáo rằng chúng hoạt động trong môi trường sản xuất. Hệ thống bảo vệ đã chặn các tuyến đường nhạy cảm. Nhưng các lớp phần mềm đã diễn giải cùng một yêu cầu khác nhau. Curry nói rằng phía biên đã xử lý một đường dẫn như nội dung tĩnh trong khi phía backend truy cập một bảng điều khiển quản trị. Tấm thảm chào và cánh cửa khóa đang tham khảo các bản đồ khác nhau.

Tại sao một bảng điều khiển phát triển lại quan trọng?

1:41 Bảng điều khiển đó vẫn chấp nhận thông tin đăng nhập quản trị viên mặc định, theo Curry. Hướng dẫn sản xuất đã yêu cầu các nhà vận hành xóa hoặc bảo vệ nó, và nói rằng xác thực của nó tách biệt với xác thực của sản phẩm nhận dạng. Một lần đăng nhập khác ẩn giữa các dấu đầu dòng trong danh sách kiểm tra. Các công cụ quản trị bị lộ cho phép mã chạy bên trong dịch vụ nhận dạng. Các nhà nghiên cứu đã truy cập hồ sơ khách hàng phía sau ranh giới lọc công khai. Một bộ lọc biên kiểm tra lưu lượng truy cập qua ranh giới đó.

2:06 Một quy trình đã nằm trong dịch vụ có mối quan hệ khác với dữ liệu. Điều này giải thích vấn đề đa yếu tố trong tài khoản Hoa Kỳ. Hồ sơ danh tính đã cung cấp thông tin đăng nhập và đích đến cho mã xác minh email. Kiểm soát hành chính đối với các hồ sơ đó đã cho phép các nhà nghiên cứu hoàn tất đăng nhập. Định nghĩa thượng nguồn của khách hàng đã thay đổi. Shah mô tả một cấu hình xác thực sai của Úc riêng biệt cho phép chuỗi của anh ta bỏ qua yếu tố bổ sung.

2:31 Việc nói rằng xác thực đa yếu tố bị hỏng ở mọi nơi sẽ xóa đi các chi tiết cấu hình mà các nhà phát triển cần. Giữ yếu tố bổ sung của bạn. Cũng giữ cho hệ thống xác định chủ sở hữu của nó đáng tin cậy. Thông tin xác thực có các công việc khác nhau.

Khi nào một phiên trở thành quyền ứng dụng?

2:43 Quyền truy cập quản trị kiểm soát hồ sơ nhận dạng. Một phiên khách hàng đại diện cho một lần đăng nhập đã hoàn tất. Ứng dụng di động lấy các mã thông báo được chấp nhận bởi các dịch vụ của nó. Gọi tất cả những thứ đó là một mã thông báo ma thuật sẽ làm mất đi các ranh giới đã tạo nên quyền truy cập tương đương chủ sở hữu. Curry mô tả các thư mục danh tính của hai nhà sản xuất ô tô không tên trên nhiều khu vực. Anh ấy giới hạn việc kiểm tra xe hoàn chỉnh đối với các tài khoản và phương tiện của Hoa Kỳ. Shah mô tả một nhà sản xuất ô tô trên hai thương hiệu của Úc,

3:09 sau đó tuyên bố phạm vi kết hợp rộng hơn. Những phạm vi khác nhau đó không cho chúng ta cơ sở để xác định các công ty. Hacker News tranh cãi về việc liệu việc mở khóa điện thoại có nên tồn tại hay không. Một câu trả lời chỉ ra việc kiểm tra khóa bị quên và làm mát hoặc làm ấm xe. Mọi người thích các tính năng hữu ích. Cung cấp sự tiện lợi cho khách hàng cũng mang lại cho dịch vụ một công việc đắt đỏ. Nó phải có được quyền lực của mình.

Việc khắc phục thực sự bao gồm những gì?

3:29 Curry báo cáo cả hai nhà sản xuất ô tô đã khắc phục lỗ hổng khoảng hai giờ sau khi nhận được nó và xoay vòng các thông tin đăng nhập bị ảnh hưởng. Đó là dòng thời gian của báo cáo đi kèm của Hoa Kỳ. Báo cáo tháng 7 của Shah không cung cấp dòng thời gian khắc phục phù hợp. Báo cáo của anh ấy không xác định tình trạng khắc phục hiện tại của Úc. Chúng ta không thể biến phản hồi hai giờ thành đồng hồ bấm giờ sửa chữa toàn cầu. Đối với các nhà phát triển, hãy bắt đầu với bề mặt quản trị. Liệt kê những gì bị lộ và hệ thống xác thực nào bảo vệ nó.

3:55 Xóa các công cụ phát triển không sử dụng. Bảo vệ các công cụ bạn giữ lại. Xem xét cách diễn giải yêu cầu của từng lớp trước khi coi một quy tắc biên là lời cuối cùng về quyền truy cập. Shah nói rằng chuỗi của Úc cuối cùng đã hoạt động vào khoảng nửa đêm, mở một chiếc xe mà họ được phép thử nghiệm. Hệ thống nhận dạng với một kết thúc thỏa mãn. Một bài viết đáng giá kết luận của nó bằng cách kiểm tra đầu kia.

4:14 Sự tự tin của backend chỉ là một nửa cuộc trò chuyện. Tài khoản Hoa Kỳ của Curry nói rằng các khả năng phụ thuộc vào mẫu xe, gói thuê bao và các dịch vụ kết nối đang hoạt động. Các lệnh được hỗ trợ bao gồm mở khóa cửa và khởi động động cơ từ xa. Không có bài viết nào chứng minh việc lái xe đi hoặc vô hiệu hóa bộ chống trộm. Bằng chứng bao gồm các khả năng ứng dụng cụ thể và các bản trình diễn vật lý được cấp phép. Hỏi dịch vụ nào có thể thay đổi các dữ kiện mà ủy quyền của bạn dựa vào. Việc đặt lại mật khẩu và thay đổi liên hệ quan trọng vì các hệ thống khác sử dụng

4:41 chúng làm sự thật. Một lần đăng nhập hợp lệ có thể dựa trên một danh tính đã được viết lại. Câu chuyện về chiếc xe này trở thành câu chuyện ứng dụng của bạn ở đó.

Điều gì đã chứng minh chiếc xe thực sự tuân thủ?

4:48 Kiểm tra cuối cùng đã diễn ra bên cạnh chiếc xe. Curry nói rằng chỉ một lệnh API được chấp nhận không chứng minh được gì về hành vi của xe. Họ đã làm mới trạng thái của nó và xác nhận kết quả vật lý với chủ sở hữu đứng cạnh nó. Shah đã mở khóa và khởi động xe, sau đó tắt và khóa lại. Bằng chứng đã đến tận đường lái xe. Nếu bạn muốn đọc bài này hơn là nghe tôi nói, The Daily Diff sẽ đến hộp thư đến của bạn mỗi sáng, miễn phí tại thedailydiff.dev, liên kết bên dưới.

Ranh giới nào cần được xem xét?

5:10 Vậy, phán quyết hôm nay, cần xem xét lại. Tôi sẽ kiểm tra các đường dẫn quản trị vào danh tính khách hàng trước khi tin tưởng nó với các điều khiển vật lý. Việc khắc phục được báo cáo của Hoa Kỳ đáng được ghi nhận. Ai có thể định nghĩa lại chủ sở hữu mà mọi dịch vụ hạ nguồn đều tin tưởng? Và đó là sự khác biệt trong ngày hôm nay. Tôi là Niko từ Axrisi. Hợp nhất có trách nhiệm.

Nguồn

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip