# Seguretat d'identitat del cotxe connectat: autoritat del propietari i prova física

Published: 2026-11-10

Shubham Shah i Sam Curry informen d'accés a identitat administrativa que va portar a una autoritat d'aplicació de cotxes connectats equivalent a la del propietari en vehicles amb permís. Les seves publicacions del 7 de novembre descriuen investigacions anteriors. L'informe complementari dels EUA reporta una solució el mateix dia; el compte australià de juliol separat deixa el seu estat actual de solució sense especificar.

Canonical: https://thedailydiff.dev/ca/video/2026-11-09-car-identity-chain/

## Què cobreix aquest vídeo

- El control administratiu de la identitat de confiança del client pot afectar l'autoritat del vehicle concedida pels serveis d'aplicacions descendents.
- Curry limita les proves completes de la cadena de vehicles a comptes i vehicles dels EUA; l'abast del directori regional i la afirmació combinada més àmplia de Shah tenen àmbits diferents.
- La resposta d'aproximadament dues hores pertany a la línia de temps de divulgació del company dels EUA. El compte australià no proporciona cap data de reparació coincident.
- Les ordres compatibles depenen del model, la subscripció i els serveis connectats actius. No es va establir la conducció o la desactivació de l'immobilizador.
- Els investigadors van actualitzar l'estat del vehicle i van confirmar els efectes físics amb el propietari al costat del vehicle.
- La guia de producció versionada de PingIDM recomana eliminar o protegir les eines de desenvolupament i identifica un sistema d'autenticació de consola separat.

## Preguntes i respostes

### Com l'accés al servidor d'identitats es va convertir en autoritat de cotxe connectat?

L'accés administratiu a la identitat va permetre als investigadors obtenir una autoritat d'aplicació equivalent a la del propietari, segons Shubham Shah i Sam Curry. El servei connectat associava els comptes dels clients amb els vehicles i les ordres compatibles. El seu informe distingeix l'accés d'administrador, una sessió de client completada i els tokens de l'aplicació mòbil acceptats pels seus serveis. Les demostracions van utilitzar vehicles amb permís.

### Què estableixen les dates i els àmbits regionals informats?

El company dels EUA descriu una investigació anterior i una correcció el mateix dia després de la divulgació. Curry limita les proves completes de la cadena de vehicles a comptes i vehicles dels EUA, mentre que els directoris d'identitat afectats donaven servei a múltiples regions. Shah descriu per separat la investigació australiana que va començar al juliol. El seu article deixa l'estat actual de remediació australiana sense especificar, de manera que les fonts no estableixen una única línia de temps de descoberta o reparació mundial.

### Què diu la guia d'enduriment de la producció sobre les consoles de desenvolupament?

Eliminar o protegir les eines de desenvolupament i depuració abans de la producció, segons la guia de seguretat versionada de Ping Identity. Identifica la consola com a amb autenticació separada de l'autenticació del producte d'identitat. Aquesta distinció fa que una consola sigui el seu propi límit de revisió. L'episodi recomana inventariar les superfícies administratives i comprovar quin sistema d'autenticació protegeix cadascuna.

### Com van confirmar els investigadors un resultat físic del vehicle?

Van actualitzar l'estat del vehicle i van comprovar el resultat físic amb el propietari al costat del vehicle, segons el company dels EUA de Shah i Curry. L'acceptació de l'API per si sola no va provar l'acció. Shah va desbloquejar i arrencar el vehicle, després el va aturar i el va tornar a tancar. L'evidència informada cobreix les ordres d'aplicació compatibles; no es va establir la conducció o la desactivació d'un immobilizador.

### Quin va ser el veredicte de The Daily Diff sobre el límit de confiança de la identitat?

El veredicte de The Daily Diff va ser NEEDS REVIEW. Niko auditaria els camins administratius cap a la identitat de client de confiança abans de confiar-hi per als controls físics, tot donant crèdit a la correcció informada als EUA. Els informes de Shah i Curry mostren per què el control ascendent sobre els registres d'identitat és important per a l'autorització descendent. El veredicte no afirma una vulnerabilitat mundial contínua.

## Capítols

- 0:00 Com un inici de sessió es va convertir en la clau d'un cotxe?
- 0:33 Què s'ha publicat recentment i què ja estava arreglat?
- 0:59 Quina identitat confia el servei del vehicle?
- 1:41 Per què era important una consola de desenvolupament?
- 2:42 Quan una sessió es converteix en autoritat d'aplicació?
- 3:29 Què va cobrir realment la remediació?
- 4:48 Què va demostrar que el cotxe realment obeïa?
- 5:10 Quin límit necessita revisió?

## Transcripció traduïda

Traduït de la narració original en anglès. L'àudio i els subtítols disponibles estan controlats per YouTube.

### Com un inici de sessió es va convertir en la clau d'un cotxe?

0:00 L'aplicació del teu cotxe comprova que ets el propietari. Els investigadors van fer que el seu servidor d'identitats els avalés a ells en lloc d'això. En aquest vídeo, com un inici de sessió es va convertir en autoritat de vehicle? I què va demostrar que un cotxe realment obeïa? És dilluns, nou de novembre, i això és The Daily Diff. Una última comprovació separa una pantalla convincent d'un cotxe desbloquejat. Els serveis de cotxes connectats són els sistemes en línia darrere de l'aplicació del telèfon del propietari. Shubham Shah i Sam Curry informen que l'accés administratiu a la identitat els va permetre

0:25 obtenir la mateixa autoritat d'aplicació que un propietari. Van demostrar ordres remotes en vehicles amb permís. El seu compte dels EUA diu que els errors es van corregir després de la divulgació.

### Què s'ha publicat recentment i què ja estava arreglat?

0:33 Ambdós articles van aparèixer el set de novembre. Curry data la seva divulgació a principis d'aquest any. Shah descriu la investigació australiana que va començar al juliol. Aquestes són línies de temps diferents. Llegir-les com una emergència mundial donaria més potència al titular que a les proves. Shah va comprar un dels SUV del fabricant d'automòbils sense nom el dos mil vint-i-tres. Quin servei d'internet rep la pulsació quan desbloquejo el meu cotxe?

0:53 Ell i Curry van passar dues setmanes examinant el sistema d'identitat. El comandament ha adquirit un equip de backend. L'aplicació et connecta i carrega el teu garatge.

### Quina identitat confia el servei del vehicle?

1:01 El servei connectat associa aquest compte amb vehicles i comandes permeses. Aquesta relació és la resposta útil. Qui controla la identitat de confiança del client pot heretar les capacitats destinades al client. A Austràlia, una eina de gestió pública va exposar la informació del client a través d'interfícies protegides per claus enviades en JavaScript del navegador. Definició ambiciosa de secret. Shah també va trobar credencials d'administrador d'identitat en un paquet de proveïdor,

1:24 i va informar que funcionaven en producció. El perímetre va bloquejar rutes sensibles. Però les capes de programari van interpretar la mateixa sol·licitud de manera diferent. Curry diu que la vora va tractar un camí com a contingut estàtic mentre el backend va accedir a una consola d'administració. L'estora de benvinguda i la porta tancada consultaven mapes diferents.

### Per què era important una consola de desenvolupament?

1:41 Aquesta consola encara acceptava credencials d'administrador predeterminades, segons Curry. La guia de producció ja indica als operadors que l'eliminin o la protegeixin, i diu que la seva autenticació és separada de l'autenticació del producte d'identitat. Un altre inici de sessió amagat entre els punts de la llista de verificació. Les eines d'administració exposades van permetre que el codi s'executés dins del servei d'identitat. Els investigadors van accedir als registres dels clients darrere del límit de filtratge públic. Un filtre de perímetre comprova el trànsit que travessa aquest perímetre.

2:06 Un procés ja dins del servei té una relació diferent amb les dades. Això explica el problema multifactorial al compte dels EUA. Els registres d'identitat van proporcionar la informació d'inici de sessió i la destinació per a un codi de verificació de correu electrònic. El control administratiu sobre aquests registres va permetre als investigadors completar l'inici de sessió. La definició ascendent del client ja havia canviat. Shah descriu una mala configuració d'autenticació australiana separada que va permetre que la seva cadena ometés el factor addicional.

2:31 Dir que l'autenticació multifactorial està trencada a tot arreu esborraria els detalls de configuració que els desenvolupadors necessiten. configuració que els desenvolupadors necessiten. Conserva el teu factor extra. Fes que el sistema que defineix el seu propietari també sigui de confiança. Les credencials tenen treballs diferents.

### Quan una sessió es converteix en autoritat d'aplicació?

2:43 L'accés d'administrador controla els registres d'identitat. Una sessió de client representa un inici de sessió completat. L'aplicació mòbil obté tokens acceptats pels seus serveis. Anomenar a tots aquests un token màgic fa que es perdin els límits que van fer possible l'accés equivalent al propietari. Curry descriu dos directoris d'identitat de fabricants d'automòbils sense nom a través de múltiples regions. Limita les proves completes del vehicle a comptes i vehicles dels EUA. Shah descriu un fabricant d'automòbils amb dues marques australianes,

3:09 després afirma un abast combinat més ampli. Aquests àmbits diferents no ens donen cap base per identificar les empreses. Hacker News discuteix si el desbloqueig del telèfon hauria d'existir. Una resposta apunta a comprovar un bloqueig oblidat i refredar o escalfar el cotxe. A la gent li agraden les funcions útils. Donar comoditat als clients també dóna al servei una tasca cara. Ha de guanyar la seva autoritat.

### Què va cobrir realment la remediació?

3:29 Curry informa que ambdós fabricants d'automòbils van corregir la vulnerabilitat unes dues hores després de rebre-la i van rotar les credencials afectades. Aquesta és la línia de temps del company dels EUA. El compte de juliol de Shah no proporciona cap línia de temps de reparació coincident. El seu compte deixa l'estat actual de reparació d'Austràlia sense especificar. No podem convertir la resposta de dues hores en un cronòmetre de reparació global. Per als desenvolupadors, comenceu amb la superfície d'administració. Inventar què s'exposa i quin sistema d'autenticació el protegeix.

3:55 Eliminar les eines de desenvolupament no utilitzades. Protegeix les eines que conserves. Revisar la interpretació de la sol·licitud de cada capa abans de tractar una regla de vora com l'última paraula sobre l'accés. última paraula sobre l'accés. Shah diu que la cadena australiana finalment va funcionar al voltant de la mitjanit, obrint un cotxe que se'ls va permetre provar. Instal·lacions d'identitat amb un final satisfactori. Un article es guanya la seva conclusió comprovant l'altre extrem.

4:14 La confiança del backend és només la meitat de la conversa. El compte de Curry als EUA diu que les capacitats depenen del model del vehicle, la subscripció i els serveis connectats actius. Les ordres compatibles inclouen el desbloqueig de la porta i l'arrencada remota del motor. Cap dels dos informes estableix la conducció o la desactivació d'un immobilizador. L'evidència cobreix capacitats particulars de l'aplicació i demostracions físiques autoritzades. Pregunta quin servei pot canviar els fets en què es basa la teva autorització. Els restabliments de contrasenya i els canvis de contacte són importants perquè altres sistemes els consumeixen

4:41 com a veritat. Un inici de sessió vàlid pot basar-se en una identitat reescrita. Aquesta història del cotxe es converteix en la teva història d'aplicació aquí.

### Què va demostrar que el cotxe realment obeïa?

4:48 La comprovació final es va fer al costat del cotxe. Curry diu que una ordre API acceptada per si sola no va demostrar res sobre el comportament del cotxe. Van actualitzar el seu estat i van confirmar el resultat físic amb el propietari al seu costat. propietari al seu costat. Shah va desbloquejar i arrencar el vehicle, després el va aturar i el va tornar a tancar. La prova va arribar al garatge. Si prefereixes llegir això que sentir-me dir-ho, el diff arriba a la teva safata d'entrada cada matí, gratis a thedailydiff.dev, enllaç a continuació.

### Quin límit necessita revisió?

5:10 Així doncs, el veredicte d'avui, NEEDS REVIEW. Auditaria els camins administratius cap a la identitat del client abans de confiar-hi per als controls físics. La correcció informada als EUA mereix crèdit. Qui pot redefinir el propietari que creu cada servei descendent? I aquesta és la diferència per avui. Sóc Niko d'Axrisi. Fusiona amb responsabilitat.

## Fonts

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip