# أمن هوية السيارة المتصلة: سلطة المالك والإثبات المادي

Published: 2026-11-10

يُفيد Shubham Shah و Sam Curry عن وصول إداري للهوية أدى إلى صلاحية تطبيق السيارة المتصلة المكافئة للمالك على المركبات المسموح بها. تصف منشوراتهما في 7 نوفمبر الأبحاث السابقة. يُفيد التقرير الأمريكي المصاحب عن الإصلاح في نفس اليوم؛ بينما يترك الحساب الأسترالي المنفصل في يوليو حالة الإصلاح الحالية غير محددة.

Canonical: https://thedailydiff.dev/ar/video/2026-11-09-car-identity-chain/

## ما يغطيه هذا الفيديو

- يمكن أن يؤثر التحكم الإداري في هوية العميل الموثوقة على سلطة السيارة الممنوحة من خدمات التطبيقات النهائية.
- يقتصر كاري اختبار سلسلة المركبات بالكامل على الحسابات والمركبات الأمريكية؛ ويختلف نطاق الوصول إلى الدليل الإقليمي ومطالبة شاه الأوسع نطاقًا.
- ينتمي الاستجابة التي تستغرق حوالي ساعتين إلى الجدول الزمني للإفصاح في التقرير الأمريكي المصاحب. لا يذكر التقرير الأسترالي تاريخ إصلاح مطابق.
- تعتمد الأوامر المدعومة على الطراز والاشتراك والخدمات المتصلة النشطة. لم يتم إثبات القيادة أو تعطيل نظام منع التشغيل.
- قام الباحثون بتحديث حالة السيارة وتأكيد التأثيرات المادية مع المالك بجانب السيارة.
- يوصي دليل الإنتاج الموثق لـ PingIDM بإزالة أو حماية أدوات التطوير ويحدد نظامًا منفصلاً لمصادقة وحدة التحكم.

## أسئلة وأجوبة

### كيف أصبح الوصول إلى خادم الهوية سلطة السيارة المتصلة؟

سمح الوصول الإداري للهوية للباحثين بالحصول على سلطة تطبيق تعادل سلطة المالك، وفقًا لشوبهام شاه وسام كاري. ربطت الخدمة المتصلة حسابات العملاء بالمركبات والأوامر المدعومة. يميز تقريرهما بين وصول المسؤول، وجلسة العميل المكتملة، ورموز تطبيق الهاتف المحمول المقبولة من قبل خدماته. استخدمت العروض التوضيحية مركبات مسموح بها.

### ماذا تحدد التواريخ والنطاقات الإقليمية المبلغ عنها؟

يصف التقرير الأمريكي المصاحب بحثًا سابقًا وإصلاحًا في نفس اليوم بعد الإفصاح. يقتصر كاري اختبار سلسلة المركبات بالكامل على الحسابات والمركبات الأمريكية، بينما خدمت أدلة الهوية المتأثرة مناطق متعددة. يصف شاه بشكل منفصل بحثًا أستراليًا بدأ في يوليو. يترك مقاله حالة الإصلاح الأسترالية الحالية غير محددة، لذا لا تحدد المصادر جدولًا زمنيًا واحدًا للاكتشاف أو الإصلاح على مستوى العالم.

### ماذا يقول دليل تعزيز الإنتاج حول لوحات تحكم التطوير؟

يجب إزالة أو حماية أدوات التطوير والتصحيح قبل الإنتاج، وفقًا لدليل أمان Ping Identity الموثق. يحدد وحدة التحكم على أنها ذات مصادقة منفصلة عن مصادقة منتج الهوية. هذا التمييز يجعل وحدة التحكم حدود مراجعة خاصة بها. توصي الحلقة بجرد الأسطح الإدارية والتحقق من نظام المصادقة الذي يحمي كل واحد منها.

### كيف أكد الباحثون نتيجة مادية للمركبة؟

قاموا بتحديث حالة السيارة والتحقق من النتيجة المادية مع المالك بجانب السيارة، وفقًا لتقرير شاه وكاري الأمريكي المصاحب. قبول API وحده لم يثبت أي إجراء. فتح شاه السيارة وشغلها، ثم أوقفها وأغلقها مرة أخرى. تغطي الأدلة المبلغ عنها أوامر التطبيق المدعومة؛ لم يتم إثبات القيادة بعيدًا أو تعطيل نظام منع التشغيل.

### ما هو حكم The Daily Diff على حدود ثقة الهوية؟

كان حكم The Daily Diff هو NEEDS REVIEW. سيقوم نيكو بمراجعة المسارات الإدارية إلى هوية العميل الموثوقة قبل الاعتماد عليها في الضوابط المادية، مع الإشادة بالإصلاح الأمريكي المبلغ عنه. توضح تقارير شاه وكاري سبب أهمية التحكم الأصلي في سجلات الهوية للتفويض النهائي. لا يؤكد الحكم وجود ثغرة أمنية عالمية مستمرة.

## الفصول

- 0:00 كيف أصبح تسجيل الدخول مفتاح سيارة؟
- 0:33 ما الذي تم نشره حديثًا، وما الذي تم إصلاحه بالفعل؟
- 0:59 أي هوية تثق بها خدمة السيارة؟
- 1:41 لماذا كانت وحدة تحكم التطوير مهمة؟
- 2:42 متى تصبح الجلسة سلطة تطبيق؟
- 3:29 ماذا غطى الإصلاح بالفعل؟
- 4:48 ما الذي أثبت أن السيارة أطاعت بالفعل؟
- 5:10 ما هي الحدود التي تحتاج إلى مراجعة؟

## النص المترجم

مترجم من السرد الإنجليزي الأصلي. يتم التحكم في الصوت والتعليقات التوضيحية المتاحة بواسطة YouTube.

### كيف أصبح تسجيل الدخول مفتاح سيارة؟

0:00 يتحقق تطبيق سيارتك من أنك المالك. جعل الباحثون خادم الهوية الخاص به يضمنهم بدلاً من ذلك. في هذا الفيديو، كيف أصبح تسجيل الدخول سلطة مركبة؟ وما الذي أثبت أن السيارة أطاعت بالفعل؟ إنه الاثنين، التاسع من نوفمبر، وهذه The Daily Diff. يتحقق فحص أخير واحد بين شاشة مقنعة وسيارة غير مقفلة. خدمات السيارة المتصلة هي الأنظمة عبر الإنترنت التي تدعم تطبيق هاتف المالك. أفاد شوبهام شاه وسام كاري أن الوصول الإداري للهوية سمح لهما

0:25 الحصول على نفس سلطة التطبيق مثل المالك. لقد أظهروا أوامر عن بعد على المركبات المسموح بها. يقول تقريرهما في الولايات المتحدة إن العيوب تم إصلاحها بعد الإفصاح.

### ما الذي تم نشره حديثًا، وما الذي تم إصلاحه بالفعل؟

0:33 ظهر كلا المقالين في السابع من نوفمبر. يحدد كاري تاريخ إفصاحه في أوائل هذا العام. يصف شاه بحثًا أستراليًا بدأ في يوليو. تلك جداول زمنية مختلفة. قراءتها كحالة طوارئ عالمية واحدة ستعطي العنوان قوة أكبر من الأدلة. اشترى شاه إحدى سيارات الدفع الرباعي غير المسماة في عام 2023. أي خدمة إنترنت تتلقى النقر عندما أفتح سيارتي؟

0:53 قضى هو وكاري أسبوعين في فحص نظام الهوية. لقد حصل جهاز التحكم عن بعد على فريق خلفي. يسجّل التطبيق دخولك ويحمّل مرآبك.

### أي هوية تثق بها خدمة السيارة؟

1:01 تربط الخدمة المتصلة هذا الحساب بالمركبات والأوامر المسموح بها. تلك العلاقة هي الإجابة المفيدة. كل من يتحكم في هوية العميل الموثوقة يمكنه أن يرث القدرات المخصصة للعميل. في أستراليا، كشفت أداة إدارة عامة عن معلومات العملاء عبر واجهات محمية بمفاتيح تم شحنها في JavaScript المتصفح. تعريف طموح للسر. وجد شاه أيضًا بيانات اعتماد مسؤول الهوية في حزمة موردين،

1:24 وأفاد أنها عملت في الإنتاج. لقد حظر المحيط المسارات الحساسة. لكن طبقات البرمجيات فسرت نفس الطلب بشكل مختلف. يقول كاري إن الحافة تعاملت مع المسار كمحتوى ثابت بينما وصل الخلفية إلى وحدة تحكم إدارية. كانت سجادة الترحيب والباب المقفل يستشيران خرائط مختلفة.

### لماذا كانت وحدة تحكم التطوير مهمة؟

1:41 لا تزال وحدة التحكم هذه تقبل بيانات اعتماد المسؤول الافتراضية، وفقًا لكاري. يخبر دليل الإنتاج المشغلين بالفعل بإزالته أو حمايته، ويقول إن مصادقته منفصلة عن مصادقة منتج الهوية. تسجيل دخول آخر يختبئ بين نقاط قائمة التحقق. سمحت أدوات الإدارة المكشوفة بتشغيل التعليمات البرمجية داخل خدمة الهوية. وصل الباحثون إلى سجلات العملاء خلف حدود التصفية العامة. يتحقق مرشح المحيط من حركة المرور التي تعبر ذلك المحيط.

2:06 لعملية موجودة بالفعل داخل الخدمة علاقة مختلفة بالبيانات. هذا يفسر مشكلة العوامل المتعددة في الحساب الأمريكي. قدمت سجلات الهوية معلومات تسجيل الدخول والوجهة لرمز التحقق عبر البريد الإلكتروني. سمح التحكم الإداري في تلك السجلات للباحثين بإكمال تسجيل الدخول. لقد تغير تعريف العميل الأصلي بالفعل. يصف شاه خطأ في تكوين المصادقة الأسترالية المنفصل الذي سمح لسلسته بتجاوز العامل الإضافي.

2:31 إن وصف المصادقة متعددة العوامل بأنها معطلة في كل مكان سيؤدي إلى محو تفاصيل التكوين التي يحتاجها المطورون. احتفظ بعاملك الإضافي. حافظ على أن يكون النظام الذي يحدد مالكه جديرًا بالثقة أيضًا. الاعتمادات لها وظائف مختلفة.

### متى تصبح الجلسة سلطة تطبيق؟

2:43 يتحكم وصول المسؤول في سجلات الهوية. تمثل جلسة العميل تسجيل دخول مكتمل. يحصل تطبيق الهاتف المحمول على الرموز التي تقبلها خدماته. إن تسمية كل ذلك رمزًا سحريًا يفقد الحدود التي جعلت الوصول المعادل للمالك ممكنًا. يصف كاري أدلة هوية لشركتي سيارات غير مسماة عبر مناطق متعددة. يقتصر اختبار المركبات بالكامل على الحسابات والمركبات الأمريكية. يصف شاه شركة سيارات واحدة عبر علامتين تجاريتين أستراليتين،

3:09 ثم يدعي وصولًا مجمعًا أوسع. هذه النطاقات المختلفة لا تمنحنا أساسًا لتحديد الشركات. يتجادل Hacker News حول ما إذا كان يجب أن يكون إلغاء قفل الهاتف موجودًا. تشير إحدى الردود إلى التحقق من قفل منسي وتبريد أو تدفئة السيارة. يحب الناس الميزات المفيدة. توفير الراحة للعملاء يمنح الخدمة أيضًا مهمة مكلفة. عليها أن تكسب سلطتها.

### ماذا غطى الإصلاح بالفعل؟

3:29 أفاد كاري أن كلتا الشركتين المصنعتين للسيارات قامتا بإصلاح الثغرة الأمنية بعد حوالي ساعتين من تلقيها وتدوير بيانات الاعتماد المتأثرة. هذا هو الجدول الزمني للتقرير الأمريكي المصاحب. تقرير شاه في يوليو لا يقدم جدولًا زمنيًا مطابقًا للإصلاح. يترك تقريره حالة الإصلاح الحالية في أستراليا غير محددة. لا يمكننا تحويل الاستجابة التي استغرقت ساعتين إلى ساعة إيقاف إصلاح عالمية. للمطورين، ابدأوا بسطح الإدارة. قوموا بجرد ما هو مكشوف وأي نظام مصادقة يحميه.

3:55 قوموا بإزالة أدوات التطوير غير المستخدمة. قوموا بحماية الأدوات التي تحتفظون بها. قوموا بمراجعة تفسير طلب كل طبقة قبل اعتبار قاعدة الحافة هي الكلمة الأخيرة بشأن الوصول. يقول شاه إن السلسلة الأسترالية عملت أخيرًا حوالي منتصف الليل، لفتح سيارة سمح لهم باختبارها. سباكة هوية بنهاية مرضية. يكسب التقرير استنتاجه من خلال التحقق من الطرف الآخر.

4:14 ثقة الخلفية ليست سوى نصف المحادثة. يقول تقرير كاري في الولايات المتحدة أن القدرات تعتمد على طراز السيارة، الاشتراك، والخدمات المتصلة النشطة. تشمل الأوامر المدعومة فتح الباب وتشغيل المحرك عن بعد. لا يثبت أي من التقريرين القيادة بعيدًا أو تعطيل نظام منع التشغيل. تغطي الأدلة قدرات تطبيقات معينة وعروض مادية مسموح بها. اسأل عن الخدمة التي يمكنها تغيير الحقائق التي يعتمد عليها تفويضك. تغيير كلمات المرور وتغييرات جهات الاتصال مهمة لأن أنظمة أخرى

4:41 تستهلكها كحقيقة. يمكن أن يعتمد تسجيل الدخول الصحيح على هوية معاد كتابتها. تصبح قصة هذه السيارة قصة تطبيقك هناك.

### ما الذي أثبت أن السيارة أطاعت بالفعل؟

4:48 حدث الفحص النهائي بجانب السيارة. يقول كاري إن قبول أمر API وحده لم يثبت شيئًا عن سلوك السيارة. قاموا بتحديث حالتها وتأكيد النتيجة المادية مع المالك الواقف بجانبها. فتح شاه السيارة وشغلها، ثم أوقفها وأغلقها مرة أخرى. وصل الإثبات إلى الممر. إذا كنت تفضل قراءة هذا بدلاً من سماعي أقوله، فإن التحديث يصل إلى بريدك الوارد كل صباح، مجانًا على the daily diff dot dev، الرابط أدناه.

### ما هي الحدود التي تحتاج إلى مراجعة؟

5:10 إذن، حكم اليوم، NEEDS REVIEW. سأقوم بمراجعة المسارات الإدارية إلى هوية العميل الموثوقة قبل الوثوق بها في الضوابط المادية. الإصلاح الأمريكي المبلغ عنه يستحق الثناء. من يستطيع إعادة تعريف المالك الذي تصدقه كل خدمة تالية؟ وهذا هو الاختلاف لهذا اليوم. أنا نيكو من Axrisi. ادمج بمسؤولية.

## المصادر

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip