# Identitetssikkerhed for "Connected Car": ejerens autoritet og fysisk bevis

Published: 2026-11-10

Shubham Shah og Sam Curry rapporterer administrativ adgang til identitet, der førte til ejerækvivalent tilsluttede-bil-appmyndighed på godkendte køretøjer. Deres publikationer fra den 7. november beskriver tidligere forskning. Den amerikanske rapport beskriver afhjælpning samme dag; den separate australske juli-rapport specificerer ikke dens nuværende afhjælpningsstatus.

Canonical: https://thedailydiff.dev/da/video/2026-11-09-car-identity-chain/

## Hvad denne video dækker

- Administrativ kontrol af betroet kundeidentitet kan påvirke den køretøjsautorisation, der gives af app-tjenester længere nede i kæden.
- Curry begrænser komplet køretøjskædetest til amerikanske konti og køretøjer; den regionale mappes rækkevidde og Shahs bredere kombinerede påstand har forskellige anvendelsesområder.
- Den cirka to timers respons tilhører den amerikanske rapports offentliggørelses tidslinje. Den australske rapport angiver ingen matchende afhjælpningsdato.
- Understøttede kommandoer afhænger af model, abonnement og aktive tilsluttede tjenester. Kørsel eller deaktivering af startspærre blev ikke fastslået.
- Forskerne opdaterede køretøjets status og bekræftede fysiske effekter med ejeren ved siden af køretøjet.
- PingIDM's versionerede produktionsvejledning anbefaler at fjerne eller beskytte udviklingsværktøjer og identificerer et separat konsolautentificeringssystem.

## Spørgsmål og svar

### Hvordan blev identitetsserveradgang til "connected car"-autorisation?

Administrativ identitetsadgang gjorde det muligt for forskerne at opnå ejerækvivalent app-autorisation, ifølge Shubham Shah og Sam Curry. Den tilsluttede tjeneste forbandt kundekonti med køretøjer og understøttede kommandoer. Deres redegørelse skelner mellem administratoradgang, en afsluttet kundesession og de mobilapp-tokens, der accepteres af dens tjenester. Demonstrationer brugte tilladte køretøjer.

### Hvad fastslår de rapporterede datoer og regionale anvendelsesområder?

Den amerikanske rapport beskriver tidligere forskning og en løsning samme dag efter offentliggørelse. Curry begrænser komplet køretøjskædetest til amerikanske konti og køretøjer, mens berørte identitetskataloger betjente flere regioner. Shah beskriver separat australsk forskning, der startede i juli. Hans artikel efterlader den nuværende australske afhjælpningsstatus uspecificeret, så kilderne fastslår ikke én verdensomspændende opdagelses- eller reparationstidslinje.

### Hvad siger produktionshærdningsvejledningen om udviklingskonsoller?

Fjern eller beskyt udviklings- og fejlfindingsværktøjer før produktion, ifølge Ping Identitys versionerede sikkerhedsvejledning. Den identificerer konsollen som havende autentificering adskilt fra identitetsproduktets autentificering. Denne sondring gør en konsol til sin egen gennemgangsgrænse. Episoden anbefaler at inventarisere administrative overflader og kontrollere, hvilket autentificeringssystem der beskytter hver enkelt.

### Hvordan bekræftede forskerne et fysisk køretøjsresultat?

De opdaterede køretøjets status og tjekkede det fysiske resultat med ejeren ved siden af køretøjet, ifølge Shah og Currys amerikanske rapport. API-accept alene beviste ikke handling. Shah låste op og startede køretøjet, stoppede det derefter og låste det igen. De rapporterede beviser dækker understøttede app-kommandoer; bortkørsel eller deaktivering af en startspærre blev ikke fastslået.

### Hvad var The Daily Diffs dom over identitetstillidsgrænsen?

The Daily Diffs dom var NEEDS REVIEW. Niko ville auditere administrative stier ind i betroet kundeidentitet, før han stolede på dem for fysiske kontroller, samtidig med at den rapporterede amerikanske løsning krediteres. Shahs og Currys rapporter viser, hvorfor opstrøms kontrol over identitetsregistre er vigtig for downstream-autorisation. Dommen hævder ikke en igangværende verdensomspændende sårbarhed.

## Kapitler

- 0:00 Hvordan blev et login en bilnøgle?
- 0:33 Hvad er nyligt offentliggjort, og hvad var allerede løst?
- 0:59 Hvilken identitet stoler køretøjstjenesten på?
- 1:41 Hvorfor var en udviklingskonsol vigtig?
- 2:42 Hvornår bliver en session app-autorisation?
- 3:29 Hvad dækkede afhjælpningen egentlig?
- 4:48 Hvad beviste, at bilen faktisk adlød?
- 5:10 Hvilken grænse skal anmeldes?

## Oversat udskrift

Oversat fra den originale engelske fortælling. Tilgængelig lyd og undertekster styres af YouTube.

### Hvordan blev et login en bilnøgle?

0:00 Din bils app tjekker, at du er ejeren. Forskere fik i stedet dens identitetsserver til at stå inde for dem. I denne video, hvordan blev login til køretøjsautorisation? Og hvad beviste, at en bil faktisk adlød? Det er mandag den niende november, og dette er The Daily Diff. Et sidste tjek adskiller en overbevisende skærm fra en ulåst bil. Connected car-tjenester er de online-systemer bag en ejers telefonapp. Shubham Shah og Sam Curry rapporterer, at administrativ identitetsadgang gjorde det muligt for dem

0:25 at opnå den samme app-autorisation som en ejer. De demonstrerede fjernkommandoer på køretøjer med tilladelse. Deres amerikanske rapport siger, at fejlene blev rettet efter offentliggørelse.

### Hvad er nyligt offentliggjort, og hvad var allerede løst?

0:33 Begge artikler udkom den syvende november. Curry daterer sin offentliggørelse til tidligere i år. Shah beskriver australsk forskning, der startede i juli. Det er forskellige tidslinjer. At læse dem som én verdensomspændende nødsituation ville give overskriften mere slagkraft end beviserne. Shah købte en af de unavngivne bilproducenters SUV'er i 2023. Hvilken internettjeneste modtager trykket, når jeg låser min bil op?

0:53 Han og Curry brugte to uger på at undersøge identitetssystemet. Nøglebrikken har fået et backend-team. Appen logger dig ind og indlæser din garage.

### Hvilken identitet stoler køretøjstjenesten på?

1:01 Den tilsluttede tjeneste forbinder denne konto med køretøjer og tilladte kommandoer. Det forhold er det nyttige svar. Den, der kontrollerer den betroede kundeidentitet, kan arve funktioner, der er beregnet til kunden. I Australien afslørede et offentligt administrationsværktøj kundeinformation gennem grænseflader beskyttet af nøgler, der blev leveret i browser JavaScript. Ambitiøs definition af hemmelighed. Shah fandt også identitetsadministratorlegitimationsoplysninger i et leverandørbundt,

1:24 og rapporterede, at de virkede i produktion. Perimeteren blokerede følsomme ruter. Men softwarelag tolkede den samme anmodning forskelligt. Curry siger, at "edge" behandlede en sti som statisk indhold, mens backend nåede en administrationskonsol. Velkomstmåtten og den låste dør konsulterede forskellige kort.

### Hvorfor var en udviklingskonsol vigtig?

1:41 Denne konsol accepterede stadig standardadministratorlegitimationsoplysninger, ifølge Curry. Produktionsvejledningen fortæller allerede operatørerne, at de skal fjerne eller beskytte den, og siger, at dens autentificering er adskilt fra identitetsproduktets autentificering. Endnu et login gemt mellem tjeklistens punkter. Den eksponerede administrationsværktøj gjorde det muligt for kode at køre inde i identitetstjenesten. Forskerne fik adgang til kunderegistre bag den offentlige filtreringsgrænse. Et perimeterfilter kontrollerer trafik, der krydser denne perimeter.

2:06 En proces, der allerede er inde i tjenesten, har et andet forhold til dataene. Dette forklarer multifaktorproblemet i den amerikanske rapport. Identitetsregistre leverede loginoplysningerne og destinationen for en e-mail verifikationskode. Administrativ kontrol over disse registre gjorde det muligt for forskerne at gennemføre login'et. Den opstrøms definition af kunden var allerede ændret. Shah beskriver en separat australsk godkendelsesfejlkonfiguration, der gjorde det muligt for hans kæde at springe den ekstra faktor over.

2:31 At kalde multifaktorgodkendelse ødelagt overalt ville slette de konfigurationsdetaljer, som udviklere har brug for. Behold din ekstra faktor. Hold også systemet, der definerer sin ejer, troværdigt. Legitimationsoplysningerne har forskellige opgaver.

### Hvornår bliver en session app-autorisation?

2:43 Administratoradgang styrer identitetsregistre. En kundesession repræsenterer et fuldført log-in. Mobilappen henter tokens, der accepteres af dens tjenester. At kalde alle disse for et magisk token overser de grænser, der gjorde ejertilsvarende adgang mulig. Curry beskriver to unavngivne bilproducenters identitetskataloger på tværs af flere regioner. Han begrænser fuld køretøjstest til amerikanske konti og køretøjer. Shah beskriver én bilproducent på tværs af to australske mærker,

3:09 og hævder derefter bredere samlet rækkevidde. Disse forskellige anvendelsesområder giver os intet grundlag for at identificere virksomhederne. Hacker News diskuterer, om telefonoplåsning overhovedet bør eksistere. Et svar peger på at tjekke en glemt lås og køle eller varme bilen. Folk kan lide nyttige funktioner. At give kunder bekvemmelighed giver også tjenesten en dyr opgave. Den skal gøre sig fortjent til sin autoritet.

### Hvad dækkede afhjælpningen egentlig?

3:29 Curry rapporterer, at begge bilproducenter rettede sårbarheden omkring to timer efter at have modtaget den og roterede påvirkede legitimationsoplysninger. Det er den amerikanske rapports tidslinje. Shahs julirapport giver ingen matchende tidslinje for afhjælpning. Hans rapport efterlader Australiens nuværende afhjælpningsstatus uspecificeret. Vi kan ikke gøre den to timers respons til et globalt reparationsstopur. For udviklere, start med administrationsfladen. Få overblik over, hvad der er eksponeret, og hvilket autentificeringssystem der beskytter det.

3:55 Fjern ubrugte udviklingsværktøjer. Beskyt de værktøjer, du beholder. Gennemgå hvert lags anmodningsfortolkning, før du behandler en edge-regel som det sidste ord om adgang. Shah siger, at den australske kæde endelig virkede omkring midnat, og åbnede en bil, de havde lov til at teste. Identitetsrørføring med en tilfredsstillende afslutning. En artikel fortjener sin konklusion ved at tjekke den anden ende.

4:14 Backendens tillid er kun halvdelen af samtalen. Currys amerikanske rapport siger, at funktioner afhænger af køretøjsmodel, abonnement og aktive tilsluttede tjenester. Understøttede kommandoer inkluderer døroplåsning og fjernstart af motor. Ingen af rapporterne fastslår bortkørsel eller deaktivering af en startspærre. Beviserne dækker specifikke app-funktioner og tilladte fysiske demonstrationer. Spørg, hvilken tjeneste der kan ændre de fakta, din autorisation bygger på. Nulstilling af adgangskode og ændring af kontaktperson er vigtige, fordi andre systemer forbruger

4:41 dem som sandhed. Et gyldigt login kan hvile på en omskrevet identitet. Denne bilhistorie bliver din applikationshistorie dér.

### Hvad beviste, at bilen faktisk adlød?

4:48 Det sidste tjek skete ved siden af bilen. Curry siger, at en accepteret API-kommando alene beviste intet om bilens opførsel. De opdaterede dens status og bekræftede det fysiske resultat med ejeren stående ved siden af den. Shah låste op og startede køretøjet, stoppede det derefter og låste det igen. Beviset nåede indkørslen. Hvis du hellere vil læse dette end høre mig sige det, lander diffen i din indbakke hver morgen, gratis på thedailydiff.dev, link nedenfor.

### Hvilken grænse skal anmeldes?

5:10 Så dagens dom, NEEDS REVIEW. Jeg ville auditere administrative stier ind i kundeidentitet, før jeg stoler på den med fysiske kontroller. Den rapporterede amerikanske løsning fortjener ros. Hvem kan omdefinere ejeren, som alle downstream-tjenester tror på? Og det var det for i dag. Jeg er Niko fra Axrisi. Flet ansvarligt.

## Kilder

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip