# Connected-Car-Identitätssicherheit: Besitzerautorität und physischer Nachweis

Published: 2026-11-10

Shubham Shah und Sam Curry berichten über administrativen Identitätszugriff, der zu einer eigentümeräquivalenten Connected-Car-App-Berechtigung für zugelassene Fahrzeuge führte. Ihre Veröffentlichungen vom 7. November beschreiben frühere Forschungen. Der US-Begleitbericht beschreibt die sofortige Behebung; der separate australische Bericht vom Juli lässt den aktuellen Status der Behebung offen.

Canonical: https://thedailydiff.dev/de/video/2026-11-09-car-identity-chain/

## Was dieses Video behandelt

- Die administrative Kontrolle der vertrauenswürdigen Kundenidentität kann die durch nachgelagerte App-Dienste gewährte Fahrzeugautorität beeinflussen.
- Curry beschränkt vollständige Fahrzeugketten-Tests auf US-Konten und -Fahrzeuge; die regionale Verzeichnisreichweite und Shahs breitere kombinierte Behauptung haben unterschiedliche Anwendungsbereiche.
- Die etwa zweistündige Antwort gehört zur Offenlegungszeitleiste des US-Begleitberichts. Der australische Bericht nennt kein entsprechendes Behebungsdatum.
- Unterstützte Befehle hängen von Modell, Abonnement und aktiven Connected Services ab. Ein Wegfahren oder die Überwindung einer Wegfahrsperre wurde nicht festgestellt.
- Die Forscher aktualisierten den Fahrzeugstatus und bestätigten die physischen Auswirkungen mit dem Besitzer neben dem Fahrzeug.
- Der versionierte Produktionsleitfaden von PingIDM empfiehlt das Entfernen oder Schützen von Entwicklungstools und identifiziert ein separates Konsolen-Authentifizierungssystem.

## Fragen und Antworten

### Wie wurde der Identitätsserverzugriff zur Connected-Car-Autorität?

Administrativer Identitätszugriff ermöglichte es den Forschern, laut Shubham Shah und Sam Curry, eine dem Besitzer gleichwertige App-Autorität zu erlangen. Der Connected Service verknüpfte Kundenkonten mit Fahrzeugen und unterstützten Befehlen. Ihr Bericht unterscheidet Administratorzugriff, eine abgeschlossene Kundensitzung und die von ihren Diensten akzeptierten mobilen App-Token. Demonstrationen verwendeten genehmigte Fahrzeuge.

### Was belegen die gemeldeten Daten und regionalen Anwendungsbereiche?

Der US-Begleitbericht beschreibt frühere Forschungen und eine Behebung am selben Tag nach der Offenlegung. Curry beschränkt vollständige Fahrzeugketten-Tests auf US-Konten und -Fahrzeuge, während betroffene Identitätsverzeichnisse mehrere Regionen bedienten. Shah beschreibt separat australische Forschungen, die im Juli begannen. Sein Artikel lässt den aktuellen australischen Behebungsstatus unklar, so dass die Quellen keine weltweite Entdeckungs- oder Reparaturzeitlinie festlegen.

### Was besagt die Anleitung zur Produkthärtung über Entwicklungskonsolen?

Entwicklungs- und Debugging-Tools vor der Produktion entfernen oder schützen, so der versionierte Sicherheitsleitfaden von Ping Identity. Er identifiziert die Konsole als ein System mit einer separaten Authentifizierung von der Authentifizierung des Identitätsprodukts. Diese Unterscheidung macht eine Konsole zu einer eigenen Prüfgrenze. Die Episode empfiehlt, administrative Oberflächen zu inventarisieren und zu überprüfen, welches Authentifizierungssystem jede einzelne schützt.

### Wie bestätigten die Forscher ein physisches Fahrzeugergebnis?

Sie aktualisierten den Fahrzeugstatus und überprüften das physische Ergebnis mit dem Besitzer neben dem Fahrzeug, laut Shah und Currys US-Begleitbericht. Die API-Akzeptanz allein bewies keine Aktion. Shah entsperrte und startete das Fahrzeug, stoppte es dann und verriegelte es wieder. Die gemeldeten Beweise umfassen unterstützte App-Befehle; ein Wegfahren oder die Überwindung einer Wegfahrsperre wurde nicht festgestellt.

### Wie lautete das Urteil von The Daily Diff zur Identitätsvertrauensgrenze?

Das Urteil von The Daily Diff lautete: ÜBERPRÜFUNG NÖTIG. Niko würde administrative Pfade in die vertrauenswürdige Kundenidentität prüfen, bevor er sich auf sie für physische Kontrollen verlässt, während er die gemeldete US-Behebung würdigt. Shahs und Currys Berichte zeigen, warum die vorgelagerte Kontrolle über Identitätsdatensätze für die nachgelagerte Autorisierung wichtig ist. Das Urteil behauptet keine anhaltende weltweite Schwachstelle.

## Kapitel

- 0:00 Wie wurde ein Login zu einem Autoschlüssel?
- 0:33 Was ist neu veröffentlicht, und was war bereits behoben?
- 0:59 Welcher Identität vertraut der Fahrzeugdienst?
- 1:41 Warum war eine Entwicklungskonsole wichtig?
- 2:42 Wann wird eine Sitzung zur App-Berechtigung?
- 3:29 Was wurde bei der Behebung tatsächlich abgedeckt?
- 4:48 Was bewies, dass das Auto tatsächlich gehorchte?
- 5:10 Welche Grenze muss überprüft werden?

## Übersetztes Transkript

Aus der englischen Originalerzählung übersetzt. Verfügbare Audio- und Untertitel werden von YouTube gesteuert.

### Wie wurde ein Login zu einem Autoschlüssel?

0:00 Die App Ihres Autos überprüft, ob Sie der Besitzer sind. Forscher ließen stattdessen ihren Identitätsserver für sie bürgen. Wie wurde in diesem Video der Login zur Fahrzeugautorität? Und was bewies, dass ein Auto tatsächlich gehorchte? Es ist Montag, der 9. November, und dies ist The Daily Diff. Eine letzte Überprüfung trennt einen überzeugenden Bildschirm von einem entsperrten Auto. Connected-Car-Dienste sind die Online-Systeme hinter der Telefon-App eines Besitzers. Shubham Shah und Sam Curry berichten, dass ihnen der administrative Identitätszugriff erlaubte,

0:25 die gleiche App-Berechtigung wie ein Besitzer zu erhalten. Sie demonstrierten Fernbefehle an genehmigten Fahrzeugen. Ihr US-Bericht besagt, dass die Mängel nach der Offenlegung behoben wurden.

### Was ist neu veröffentlicht, und was war bereits behoben?

0:33 Beide Veröffentlichungen erschienen am 7. November. Curry datiert seine Offenlegung auf Anfang dieses Jahres. Shah beschreibt australische Forschungen, die im Juli begannen. Das sind unterschiedliche Zeitpläne. Sie als eine weltweite Notlage zu lesen, würde der Überschrift mehr PS verleihen, als die Beweise hergeben. Shah kaufte 2023 einen SUV eines der ungenannten Autohersteller. Welcher Internetdienst erhält den Anruf, wenn ich mein Auto entsperre?

0:53 Er und Curry verbrachten zwei Wochen mit der Untersuchung des Identitätssystems. Der Schlüsselanhänger hat ein Backend-Team bekommen. Die App meldet Sie an und lädt Ihre Garage.

### Welcher Identität vertraut der Fahrzeugdienst?

1:01 Der Connected Service verknüpft dieses Konto mit Fahrzeugen und erlaubten Befehlen. Diese Beziehung ist die nützliche Antwort. Wer die vertrauenswürdige Kundenidentität kontrolliert, kann Fähigkeiten erben, die für den Kunden bestimmt sind. In Australien legte ein öffentliches Verwaltungstool Kundeninformationen über Schnittstellen offen, die durch in Browser-JavaScript gelieferte Schlüssel geschützt waren. Eine ehrgeizige Definition von Geheimnis. Shah fand auch Identitätsadministrator-Anmeldeinformationen in einem Anbieter-Bundle,

1:24 und berichtete, dass sie in der Produktion funktionierten. Der Perimeter blockierte sensible Routen. Aber Softwareschichten interpretierten dieselbe Anfrage unterschiedlich. Curry sagt, der Edge behandelte einen Pfad als statischen Inhalt, während das Backend eine Verwaltungskonsole erreichte. Die Fußmatte und die verschlossene Tür konsultierten unterschiedliche Karten.

### Warum war eine Entwicklungskonsole wichtig?

1:41 Diese Konsole akzeptierte immer noch Standard-Administrator-Anmeldeinformationen, laut Curry. Der Produktionsleitfaden weist die Bediener bereits an, sie zu entfernen oder zu schützen, und besagt, dass ihre Authentifizierung getrennt von der Authentifizierung des Identitätsprodukts ist. Ein weiteres Login, das sich zwischen den Aufzählungspunkten der Checkliste versteckt. Die exponierten Verwaltungstools erlaubten die Ausführung von Code innerhalb des Identitätsdienstes. Die Forscher griffen auf Kundendaten hinter der öffentlichen Filtergrenze zu. Ein Perimeterfilter überprüft den Verkehr, der diese Grenze überschreitet.

2:06 Ein bereits innerhalb des Dienstes befindlicher Prozess hat eine andere Beziehung zu den Daten. Dies erklärt das Mehrfaktorproblem im US-Bericht. Identitätsdatensätze lieferten die Anmeldeinformationen und das Ziel für einen E-Mail- Verifizierungscode. Administrative Kontrolle über diese Datensätze ermöglichte es den Forschern, den Login abzuschließen. Die vorgelagerte Definition des Kunden hatte sich bereits geändert. Shah beschreibt eine separate australische Authentifizierungs-Fehlkonfiguration, die es seiner Kette erlaubte, den zusätzlichen Faktor zu überspringen.

2:31 Die Mehrfaktorauthentifizierung überall als kaputt zu bezeichnen, würde die Konfigurationsdetails, die Entwickler benötigen, auslöschen. Behalten Sie Ihren zusätzlichen Faktor. Halten Sie das System, das seinen Besitzer definiert, ebenfalls vertrauenswürdig. Die Anmeldeinformationen haben unterschiedliche Aufgaben.

### Wann wird eine Sitzung zur App-Berechtigung?

2:43 Administratorzugriff steuert Identitätsdatensätze. Eine Kundensitzung repräsentiert eine abgeschlossene Anmeldung. Die mobile App erhält Token, die von ihren Diensten akzeptiert werden. All dies einen magischen Token zu nennen, lässt die Grenzen außer Acht, die den besitzeräquivalenten Zugriff ermöglichten. Curry beschreibt die Identitätsverzeichnisse zweier ungenannter Autohersteller in mehreren Regionen. Er beschränkt vollständige Fahrzeugtests auf US-Konten und -Fahrzeuge. Shah beschreibt einen Autohersteller über zwei australische Marken hinweg,

3:09 behauptet dann aber eine breitere kombinierte Reichweite. Diese unterschiedlichen Anwendungsbereiche geben uns keine Grundlage, die Unternehmen zu identifizieren. Hacker News diskutiert, ob das Entsperren per Telefon existieren sollte. Eine Antwort verweist auf das Überprüfen eines vergessenen Schlosses und das Kühlen oder Erwärmen des Autos. Menschen mögen nützliche Funktionen. Kunden Komfort zu bieten, gibt dem Dienst auch eine teure Aufgabe. Er muss seine Autorität verdienen.

### Was wurde bei der Behebung tatsächlich abgedeckt?

3:29 Curry berichtet, dass beide Autohersteller die Schwachstelle etwa zwei Stunden nach Erhalt behoben und betroffene Anmeldeinformationen rotiert haben. Das ist die Zeitleiste des US-Begleitberichts. Shahs Bericht vom Juli liefert keine entsprechende Zeitleiste für die Behebung. Sein Bericht lässt den aktuellen Behebungsstatus Australiens unklar. Wir können die zweistündige Reaktion nicht in eine globale Reparaturstoppuhr umwandeln. Für Entwickler: Beginnen Sie mit der Verwaltungsoberfläche. Erfassen Sie, was exponiert ist und welches Authentifizierungssystem es schützt.

3:55 Entfernen Sie ungenutzte Entwicklungstools. Schützen Sie die Tools, die Sie behalten. Überprüfen Sie die Anfrageninterpretation jeder Schicht, bevor Sie eine Edge-Regel als das letzte Wort zum Zugriff betrachten. Shah sagt, die australische Kette funktionierte schließlich um Mitternacht, indem sie ein Auto öffnete, das sie testen durften. Identitätsinfrastruktur mit einem zufriedenstellenden Ende. Eine Veröffentlichung verdient ihre Schlussfolgerung, indem sie das andere Ende überprüft.

4:14 Das Vertrauen des Backends ist nur die Hälfte des Gesprächs. Currys US-Bericht besagt, dass die Funktionen vom Fahrzeugmodell, Abonnement und aktiven Connected Services abhängen. Unterstützte Befehle umfassen Tür entsperren und Motorfernstart. Keine der Veröffentlichungen stellt ein Wegfahren oder die Überwindung einer Wegfahrsperre fest. Die Beweise umfassen bestimmte App-Funktionen und genehmigte physische Demonstrationen. Fragen Sie, welcher Dienst die Fakten ändern kann, auf die sich Ihre Autorisierung stützt. Passwortresets und Kontaktänderungen sind wichtig, weil andere Systeme sie als Wahrheit

4:41 konsumieren. Ein gültiger Login kann auf einer umgeschriebenen Identität beruhen. Diese Autogeschichte wird dort zu Ihrer Anwendungsgeschichte.

### Was bewies, dass das Auto tatsächlich gehorchte?

4:48 Die letzte Überprüfung erfolgte neben dem Auto. Curry sagt, ein akzeptierter API-Befehl allein bewies nichts über das Verhalten des Autos. Sie aktualisierten seinen Status und bestätigten das physische Ergebnis mit dem Besitzer, der daneben stand. Shah entsperrte und startete das Fahrzeug, stoppte es dann und verriegelte es wieder. Der Beweis erreichte die Einfahrt. Wenn Sie dies lieber lesen als mich es sagen zu hören, landet der Diff jeden Morgen kostenlos in Ihrem Posteingang unter thedailydiff.dev, Link unten.

### Welche Grenze muss überprüft werden?

5:10 Also, das heutige Urteil: ÜBERPRÜFUNG NÖTIG. Ich würde administrative Pfade in die Kundenidentität prüfen, bevor ich ihr physische Kontrollen anvertraue. Die gemeldete US-Behebung verdient Anerkennung. Wer kann den Besitzer neu definieren, dem jeder nachgelagerte Dienst glaubt? Und das ist der Diff für heute. Ich bin Niko von Axrisi. Verantwortungsvoll zusammenführen.

## Quellen

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip