聯網汽車身份安全：車主權限與實體證明

本影片重點

• 對受信任客戶身份的管理控制可能會影響下游應用程式服務授予的車輛權限。
• Curry 將完整的車輛鏈測試限制在美國帳戶和車輛；區域目錄範圍和 Shah 更廣泛的綜合主張有不同的範圍。
• 約兩小時的回應屬於美國相關披露的時間軸。澳洲報告沒有提供相應的修復日期。
• 支援的指令取決於車型、訂閱和啟用的聯網服務。尚未確定可駕駛或解除防盜鎖死器。
• 研究人員更新了車輛狀態，並在車主在車輛旁時確認了實體效果。
• PingIDM 的版本生產指南建議移除或保護開發工具，並識別出一個獨立的主控台驗證系統。

翻譯文字稿

譯自英文原版旁白。可用的音訊和字幕由 YouTube 控制。

登入如何變成車鑰匙？

0:00 您的汽車應用程式會檢查您是否是車主。 研究人員讓其身份伺服器為他們擔保。 在這段影片中，登入如何變成車輛權限？ 以及什麼證明了一輛汽車實際服從了？ 今天是 11 月 9 日星期一，這是 The Daily Diff。 一個最終檢查將令人信服的螢幕與解鎖的汽車區分開來。 聯網汽車服務是車主手機應用程式背後的線上系統。 Shubham Shah 和 Sam Curry 報告說，管理員身份權限讓他們

0:25 獲得與車主相同的應用程式權限。 他們在經授權的車輛上演示了遠端指令。 他們的美國報告說，這些缺陷在披露後已修復。

新發布了什麼，以及什麼已經修復？

0:33 兩份報告都於 11 月 7 日發布。 Curry 將他的披露日期定為今年年初。 Shah 描述了從七月開始的澳洲研究。 這些是不同的時間軸。 將它們解讀為一場全球緊急事件將會給頭條新聞帶來更多馬力 而不是證據。 Shah 在 2023 年購買了其中一輛未具名汽車製造商的 SUV。 當我解鎖我的汽車時，哪個網路服務會收到觸發？

0:53 他和 Curry 花了兩週時間檢查身份系統。 遙控鑰匙已經獲得了一個後端團隊。 應用程式讓您登入並載入您的車庫。

車輛服務信任哪個身份？

1:01 聯網服務將該帳戶與車輛和允許的 指令關聯起來。這種關係是實用的答案。 控制受信任客戶身份的人可以繼承預期提供給客戶的 功能。 在澳洲，一個公共管理工具透過受瀏覽器 JavaScript 中提供的金鑰保護的 介面暴露了客戶資訊。 對機密的雄心勃勃的定義。 Shah 還在供應商套件中找到了身份管理員憑證，

1:24 並報告說它們在生產環境中有效。 邊界阻止了敏感路線。 但軟體層對相同請求的解釋不同。 Curry 說邊緣將路徑視為靜態內容，而後端則到達了 管理主控台。 迎賓墊和上鎖的門正在查閱不同的地圖。

為什麼開發主控台很重要？

1:41 據 Curry 稱，該主控台仍然接受預設的管理員憑證。 生產指南已經告訴操作員移除或保護它， 並且說它的驗證與身份產品的 驗證是分開的。另一個登入隱藏在清單的點之間。 暴露的管理工具允許程式碼在身份服務內部運行。 研究人員存取了公共過濾邊界後的客戶記錄。 邊界過濾器檢查穿過該邊界的流量。 已經在服務內部的進程與資料有不同的關係。

2:06 這解釋了美國報告中的多因素問題。 身份記錄提供了電子郵件驗證碼的登入資訊和目的地。 對這些記錄的管理控制讓研究人員 完成了登入。 客戶的上游定義已經改變。 Shah 描述了另一個澳洲驗證配置錯誤，讓他的鏈條跳過了額外的因素。 將多因素驗證說成到處都有問題會抹去開發人員所需的 配置細節。

2:31 保留您的額外因素。 保持定義其所有者的系統也值得信任。 憑證有不同的職責。 管理員存取控制身份記錄。 客戶會話代表一個已完成的登入。

會話何時成為應用程式權限？

2:43 行動應用程式獲取其服務接受的權杖。 將所有這些稱為魔法權杖會使那些使 車主等效存取成為可能。 Curry 描述了兩個未具名汽車製造商在多個區域的身份目錄。 他將完整的車輛測試限制在美國帳戶和車輛。 Shah 描述了一家汽車製造商在兩個澳洲品牌中， 然後聲稱更廣泛的綜合影響。 這些不同的範圍使我們沒有依據來識別這些公司。

3:09 Hacker News 爭論手機解鎖是否應該存在。 一個回覆指出檢查是否忘記上鎖以及為汽車降溫或加熱。 人們喜歡實用的功能。 為客戶提供便利也給服務帶來了昂貴的工作。 它必須贏得其權威。 Curry 報告稱，兩家汽車製造商都在收到漏洞後約兩小時內修復了該漏洞，並輪換了受影響的憑證。 這是美國相關報告的時間軸。

修復實際涵蓋了什麼？

3:29 Shah 的七月報告沒有提供相應的修復時間軸。 他的報告未說明澳洲目前的修復狀況。 我們不能將兩小時的回應變成全球修復的秒錶。 對於開發人員來說，從管理介面開始。 盤點暴露了什麼以及哪個驗證系統保護它。 移除未使用的開發工具。 保護您保留的工具。 在將邊緣規則視為存取權限的最終決定之前，審查每個層次的請求解釋。

3:55 Shah 說澳洲的鏈條最終在午夜左右發揮作用， 打開了他們被允許測試的汽車。 身份管道以令人滿意的結局告終。 一份報告透過檢查另一端來贏得其結論。 後端的信心只是對話的一半。 Curry 的美國報告稱，功能取決於車輛型號、訂閱和啟用的聯網服務。 支援的指令包括車門解鎖和遠端引擎啟動。 兩份報告都沒有確立開車離開或解除防盜鎖死器。

4:14 證據涵蓋了特定的應用程式功能和經授權的實體演示。 詢問哪個服務可以改變您的授權所依賴的事實。 密碼重設和聯絡人變更很重要，因為其他系統將它們視為真實資訊。 有效的登入可以基於重新編寫的身份。 這個汽車故事就成了您的應用程式故事。 最終檢查發生在汽車旁邊。 Curry 說，單獨接受的 API 命令並不能證明汽車的行為。 他們更新了汽車的狀態，並在車主站在旁邊時確認了實體結果。

4:41 Shah 解鎖並啟動了車輛，然後停止並再次鎖定。 證明抵達車道。 如果您想閱讀而不是聽我說，The Daily Diff 每天早上都會免費發送到您的收件箱，

什麼證明了汽車實際服從了？

4:48 網址是 thedailydiff.dev，連結在下方。 那麼，今天的判決，NEEDS REVIEW。 我會在信任用於實體控制之前，審核通往客戶身份的管理路徑。 報告的美國修復值得肯定。 誰可以重新定義所有下游服務都相信的車主？ 這就是今天的差異。 我是 Axrisi 的 Niko。 負責任地合併。

哪個邊界需要審查？

5:10 您的汽車應用程式會檢查您是否是車主。 研究人員讓其身份伺服器為他們擔保。 在這段影片中，登入如何變成車輛權限？ 以及什麼證明了一輛汽車實際服從了？ 今天是 11 月 9 日星期一，這是 The Daily Diff。 一個最終檢查將令人信服的螢幕與解鎖的汽車區分開來。 聯網汽車服務是車主手機應用程式背後的線上系統。

來源

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip