网联汽车身份安全：车主权限与物理验证

本视频涵盖的内容

• 对受信任客户身份的管理控制可能影响下游应用程序服务授予的车辆权限。
• Curry将完整的车辆链测试限制在美国账户和车辆；区域目录范围和Shah更广泛的综合主张有不同的范围。
• 大约两小时的响应时间属于美国相关披露的时间线。澳大利亚的报告没有给出相应的修复日期。
• 支持的命令取决于车型、订阅和活跃的网联服务。并未证实驾驶或禁用防盗器。
• 研究人员刷新了车辆状态，并在车主在场的情况下确认了物理效果。
• PingIDM的版本化生产指南建议移除或保护开发工具，并识别了一个独立的控制台身份验证系统。

翻译的文字记录

译自英文原版旁白。可用音频和字幕由 YouTube 控制。

登录如何变成车钥匙？

0:00 您的汽车应用程序会检查您是否是车主。 研究人员让其身份服务器为他们担保。 在这段视频中，登录是如何成为车辆权限的？ 又是什么证明了汽车确实服从了呢？ 今天是11月9日星期一，这里是The Daily Diff。 一个最终检查将一个令人信服的屏幕与一辆未锁定的汽车分隔开。 网联汽车服务是车主手机应用程序背后的在线系统。 Shubham Shah和Sam Curry报告称，管理身份访问使他们能够

0:25 获得与车主相同的应用程序权限。 他们展示了对有权限车辆的远程命令。 他们的美国账户称，漏洞在披露后已修复。

新发布了什么，以及已经修复了什么？

0:33 两篇文章均于11月7日发布。 Curry将他的披露日期定在今年年初。 Shah描述了从7月开始的澳大利亚研究。 这些是不同的时间线。 将它们解读为一次全球性紧急情况会给头条新闻带来比证据 更多的影响力。 Shah在2023年购买了一辆未具名的汽车制造商的SUV。 当我解锁汽车时，哪个互联网服务会收到指令？

0:53 他和Curry花了两个星期研究身份系统。 车钥匙已获得了后端团队的支持。 应用程序让您登录并加载您的车库。

车辆服务信任哪个身份？

1:01 网联服务将该账户与车辆和允许的 命令关联起来。这种关系是有效的答案。 任何控制受信任客户身份的人都可以继承 为客户设计的功能。 在澳大利亚，一个公共管理工具通过受浏览器JavaScript中携带的密钥保护的 接口暴露了客户信息。 对“秘密”的雄心勃勃的定义。 Shah还在供应商包中发现了身份管理员凭据，

1:24 并报告它们在生产环境中有效。 边界阻止了敏感路径。 但软件层对同一请求的解释不同。 Curry表示，边缘将某个路径视为静态内容，而后端则访问了 管理控制台。 欢迎垫和锁着的门正在查阅不同的地图。

为什么开发控制台很重要？

1:41 根据Curry的说法，该控制台仍然接受默认的管理员凭据。 根据Curry的说法，该控制台仍然接受默认的管理员凭据。 生产指南已经告诉操作员移除或保护它， 并说明其认证独立于身份产品的认证。 另一个隐藏在清单要点之间的登录。 暴露的管理工具允许代码在身份服务内部运行。 研究人员访问了公共过滤边界后面的客户记录。 边界过滤器检查跨越该边界的流量。

2:06 服务内部已有的进程与数据有不同的关系。 这解释了美国账户中的多因素问题。 身份记录提供了电子邮件验证码的登录信息和目的地。 对这些记录的管理控制让研究人员 完成了登录。 客户的上游定义已经改变了。 Shah描述了另一个澳大利亚身份验证配置错误，使其 链条跳过了额外的因素。

2:31 声称多因素身份验证无处不在地失效会抹去开发人员所需的 配置细节。 保留您的额外因素。 也要保持定义其所有者的系统是值得信任的。 凭证有不同的作用。

会话何时变为应用权限？

2:43 管理员访问控制身份记录。 客户会话代表一个已完成的登录。 移动应用程序获取其服务接受的令牌。 将所有这些都称为“魔法令牌”会抹去使得 与车主同等访问成为可能的所有边界。 Curry描述了两家未具名的汽车制造商在多个区域的身份目录。 他将完整的车辆测试限制在美国账户和车辆。 Shah描述了一家汽车制造商的两个澳大利亚品牌，

3:09 然后声称更广泛的联合影响力。 这些不同的范围使我们无法识别这些公司。 Hacker News正在争论是否应该存在手机解锁功能。 一个回复指出检查忘记的锁以及冷却或预热汽车的功能。 人们喜欢有用的功能。 为客户提供便利也给服务带来了昂贵的工作。 它必须赢得它的权威。

修复实际涵盖了什么？

3:29 Curry报告称，两家汽车制造商在收到漏洞报告后约两小时内修复了漏洞，并轮换了受影响的凭据。 Curry报告称，两家汽车制造商在收到漏洞报告后约两小时内修复了漏洞，并轮换了受影响的凭据。 那是美国相关报告的时间线。 Shah的七月份报告没有提供相应的修复时间线。 他的报告没有说明澳大利亚目前的修复状态。 我们不能将两小时的响应变成全球修复的秒表。 对于开发人员来说，从管理界面开始。 清点暴露的内容以及哪个认证系统保护它。

3:55 删除未使用的开发工具。 保护您保留的工具。 在将边缘规则视为访问的最终决定之前，请审查每个层级的请求解释。 在将边缘规则视为访问的最终决定之前，请审查每个层级的请求解释。 Shah说，澳大利亚的这条链路最终在午夜左右奏效了， 他们打开了一辆被允许测试的汽车。 身份管道有一个令人满意的结局。 一篇报告通过检查另一端来赢得其结论。

4:14 后端的信息只是对话的一半。 Curry的美国账户称，功能取决于车型、 订阅和活跃的网联服务。 支持的命令包括车门解锁和远程发动机启动。 两篇文章都未证实驾车离开或解除防盗器。 证据涵盖了特定的应用程序功能和有权限的物理 演示。询问哪个服务可以更改您授权所依赖的事实。 密码重置和联系方式更改很重要，因为其他系统将它们视为

4:41 事实。 有效的登录可以基于重写的身份。 这个汽车故事变成了您的应用程序故事。

什么证明了汽车确实服从了？

4:48 最后的检查是在车旁边进行的。 Curry说，仅接受API命令并不能证明汽车的 行为。他们刷新了车辆状态，并在车主站在旁边时确认了物理结果。 Curry说，仅接受API命令并不能证明汽车的 Shah解锁并启动了车辆，然后将其熄火并再次上锁。 证明达到了车道。 如果您宁愿阅读而不是听我讲，The Daily Diff每天早上都会免费发送到您的收件箱，请访问daily diff dot dev，链接如下。 如果您宁愿阅读而不是听我讲，The Daily Diff每天早上都会免费发送到您的收件箱，请访问daily diff dot dev，链接如下。

哪个边界需要审查？

5:10 那么，今天的裁决是：NEEDS REVIEW。 我会在信任它进行物理控制之前，审计进入客户身份的管理路径。 我会在信任它进行物理控制之前，审计进入客户身份的管理路径。报告的美国修复值得称赞。 谁能重新定义所有下游服务都相信的车主？ 这就是今天的Daily Diff。 我是来自Axrisi的Niko。 负责任地合并。

来源

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip