聯網汽車身份安全：車主授權與實體證明

本影片涵蓋的內容

• 對信任客戶身份的管理控制，可能會影響下游應用程式服務授予的車輛授權。
• Curry將完整的車輛鏈測試限制在美國帳戶和車輛；區域目錄範圍和Shah更廣泛的綜合主張具有不同範圍。
• 大約兩小時的回應屬於美國報告的披露時間線。澳洲報告沒有提供相應的修復日期。
• 支援的指令取決於型號、訂閱和活躍的聯網服務。並未證實能駕駛或解除防盜鎖。
• 研究人員更新了車輛狀態，並與車主在車旁確認了實體效果。
• PingIDM的版本化生產指南建議移除或保護開發工具，並識別出一個獨立的主控台身份驗證系統。

翻譯的文字記錄

從英文原文旁白翻譯。可用的音頻和字幕由 YouTube 控制。

登入如何變成車匙？

0:00 您的汽車應用程式會檢查您是否是車主。 研究人員讓其身份伺服器為他們擔保。 在這段影片中，登入如何變成車輛權限？ 什麼證明了汽車確實服從了？ 今天是11月9日星期一，這裡是The Daily Diff。 最後一次檢查將一個令人信服的螢幕與一輛解鎖的汽車分開。 聯網汽車服務是車主手機應用程式背後的線上系統。 Shubham Shah和Sam Curry報告說，管理員身份存取讓他們

0:25 獲得了與車主相同的應用程式權限。 他們在獲授權的車輛上演示了遠端指令。 他們的美國報告稱，這些漏洞在披露後已修復。

什麼是新發布的，什麼已經修復了？

0:33 兩份報告均於11月7日發表。 Curry將他的披露日期定為今年年初。 Shah描述了從7月開始的澳洲研究。 這些是不同的時間線。 將它們視為一場全球緊急事件，會讓標題比證據 更有說服力。 Shah在2023年購買了一輛未具名汽車製造商的SUV。 當我解鎖汽車時，哪個網路服務會接收到觸發？

0:53 他和Curry花了兩週時間檢查身份系統。 遙控鑰匙已經獲得了一個後端團隊。 應用程式讓您登入並載入您的車庫。

車輛服務信任哪種身份？

1:01 聯網服務將該帳戶與車輛和允許的 指令關聯起來。這種關係是有用的答案。 誰控制了受信任的客戶身份，誰就可以繼承原為客戶設計的 功能。 在澳洲，一個公共管理工具通過在瀏覽器JavaScript中 以鑰匙保護的介面，暴露了客戶資訊。 對機密的雄心勃勃的定義。 Shah還在供應商套件中發現了身份管理員憑證，

1:24 並報告說它們在生產環境中有效。 邊界阻擋了敏感路徑。 但軟體層對同一請求的解釋不同。 Curry說，邊緣將路徑視為靜態內容，而後端則到達了 管理控制台。 歡迎墊和鎖上的門查閱了不同的地圖。

為什麼開發控制台很重要？

1:41 據Curry稱，該控制台仍然接受預設管理員憑證。 生產指南已經告訴操作員移除或保護它， 並表示其身份驗證與身份產品的 身份驗證是獨立的。在清單的項目符號之間隱藏著另一個登入。 暴露的管理工具允許代碼在身份服務內部運行。 研究人員存取了公共過濾邊界後的客戶記錄。 邊界過濾器檢查穿過該邊界的流量。 服務內部的一個流程與數據有不同的關係。

2:06 這解釋了美國報告中的多因素問題。 身份記錄提供了電子郵件驗證碼的登入資訊和目的地。 對這些記錄的管理控制讓研究人員 完成了登入。 客戶的上游定義已經改變。 Shah描述了另一個澳洲身份驗證配置錯誤，讓 他的鏈條跳過了額外的因素。 稱多因素身份驗證處處失效，會抹去開發人員所需的

2:31 配置細節。 保留您的額外因素。 也要保持定義其所有者的系統值得信賴。 憑證有不同的職責。 管理員存取控制身份記錄。

會話何時變成應用程式權限？

2:43 客戶會話表示已完成登入。 行動應用程式獲取其服務接受的令牌。 將所有這些稱為魔法令牌，會失去使車主等效存取 成為可能的邊界。 Curry描述了兩家未具名汽車製造商在多個 地區的身份目錄。他將完整的車輛測試限制在美國帳戶和車輛。 Shah描述了一家汽車製造商的兩個澳洲品牌， 然後聲稱更廣泛的聯合範圍。

3:09 這些不同的範圍讓我們無法識別這些公司。 Hacker News爭論手機解鎖是否應該存在。 一個回覆指出檢查是否忘記上鎖以及冷卻或加熱汽車。 人們喜歡實用功能。 為客戶提供便利也給服務帶來了一項昂貴的工作。 它必須贏得其權威。 Curry報告說，兩家汽車製造商在收到漏洞約兩小時後

修復實際涵蓋了什麼？

3:29 修復了漏洞，並輪換了受影響的憑證。 這是美國報告的時間線。 Shah的7月報告沒有提供相應的修復時間線。 他的報告未明確說明澳洲目前的修復狀態。 我們不能將兩小時的回應變成全球維修秒錶。 對於開發人員，請從管理介面開始。 清點暴露的內容以及保護它的身份驗證系統。 移除未使用的開發工具。

3:55 保護您保留的工具。 在將邊緣規則視為存取權限的最終決定之前，請檢查每一層的請求解釋。 Shah說澳洲的鏈條最終在午夜左右奏效， 打開了一輛他們獲准測試的汽車。 身份管道有一個令人滿意的結局。 一份報告通過檢查另一端來證明其結論。 後端的信心只是對話的一半。 Curry的美國報告稱，功能取決於車輛型號、

4:14 訂閱和活躍的聯網服務。 支援的指令包括車門解鎖和遠端引擎啟動。 兩份報告都未證實能駕車離開或解除防盜鎖。 證據涵蓋了特定的應用程式功能和經許可的實體 演示。詢問哪個服務可以改變您的授權所依賴的事實。 密碼重設和聯繫方式更改很重要，因為其他系統將它們視為真實。 有效的登入可以基於重新編寫的身份。 這個汽車故事就成了您的應用程式故事。

4:41 最終檢查在汽車旁邊進行。 Curry說，僅憑接受的API指令，並不能證明汽車的 行為。他們更新了其狀態，並與站在車旁的車主確認了實體結果。

什麼證明了汽車確實服從了？

4:48 Shah解鎖並啟動了車輛，然後停止並再次鎖定。 證據達到了車道。 如果您寧願閱讀而不是聽我說，The Diff每天早上都會免費發送到您的收件箱，網址是thedailydiff.dev，連結如下。 那麼，今天的判決，NEEDS REVIEW。 在將實體控制權託付給客戶身份的管理路徑之前，我會對其進行審計。報告的美國修復值得肯定。 誰可以重新定義每個下游服務都相信的車主？ 這就是今天的The Diff。 我是來自Axrisi的Niko。

哪個邊界需要審查？

5:10 負責任地合併。 我很榮幸能發出這一訊息。 保持連接並安全。 我們明天見。 今天，在The Daily Diff，我們要談談車輛應用程式如何相信 它是它的車主，但實際上不是。 所以，今天，我們將會審查這個身份信任邊界。

來源

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip