# Ühendatud auto identiteedi turvalisus: omaniku autoriteet ja füüsiline tõestus

Published: 2026-11-10

Shubham Shah ja Sam Curry teatavad haldusidentiteedi juurdepääsust, mis viis omaniku samaväärse ühendatud auto rakenduse autoriteedini lubatud sõidukitel. Nende 7. novembri publikatsioonid kirjeldavad varasemat uurimistööd. USA kaasnevas aruandes teatatakse samapäevasest parandusest; eraldi Austraalia juuli konto jätab oma praeguse parandusoleku täpsustamata.

Canonical: https://thedailydiff.dev/et/video/2026-11-09-car-identity-chain/

## Mida see video hõlmab

- Usaldatud kliendi identiteedi haldusjuhtimine võib mõjutada allavoolu rakendusteenuste antud sõiduki autoriteeti.
- Curry piirab täielikku sõidukihela testimist USA kontode ja sõidukitega; piirkondliku kataloogi ulatus ja Shahi laiem kombineeritud väide on erinevate ulatustega.
- Ligikaudu kahetunnine vastus kuulub USA kaasaraporteeritud avaldamise ajajoonele. Austraalia aruanne ei anna vastavat parandamiskuupäeva.
- Toetatud käsud sõltuvad mudelist, tellimusest ja aktiivsetest ühendatud teenustest. Sõitmist või immobilisaatori väljalülitamist ei tuvastatud.
- Uurijad värskendasid sõiduki olekut ja kinnitasid füüsilisi efekte omaniku kõrval sõiduki juures.
- PingIDM-i versiooniga tootmisjuhend soovitab arendustööriistad eemaldada või kaitsta ning tuvastab eraldi konsooli autentimissüsteemi.

## Küsimused ja vastused

### Kuidas sai identiteediserveri juurdepääsust ühendatud auto autoriteet?

Administratiivne identiteedijuurdepääs võimaldas uurijatel Shubham Shahi ja Sam Curry sõnul omandada omanikuga samaväärse rakenduse autoriteedi. Ühendatud teenus seostas kliendikontod sõidukite ja toetatud käsklustega. Nende aruanne eristab administraatori juurdepääsu, lõpule viidud kliendiseanssi ja mobiilirakenduse tokeneid, mida teenused aktsepteerivad. Demonstratsioonidel kasutati lubatud sõidukeid.

### Mida kinnitavad teatatud kuupäevad ja piirkondlikud ulatused?

USA kaasnev aruanne kirjeldab varasemaid uuringuid ja samal päeval pärast avalikustamist tehtud parandust. Curry piirab sõidukihela testimist USA kontode ja sõidukitega, samas kui mõjutatud identiteedi kataloogid teenindasid mitut piirkonda. Shah kirjeldab eraldi Austraalia uuringuid, mis algasid juulis. Tema artikkel jätab Austraalia praeguse parandamise staatuse täpsustamata, seega ei kinnita allikad ühte ülemaailmset avastamise või parandamise ajakava.

### Mida ütleb tootmise tugevdamise juhend arenduskonsoolide kohta?

Enne tootmisse juurutamist eemaldage või kaitske arendus- ja silumistööriistad, vastavalt Ping Identity versiooniga turvajuhendile. See identifitseerib konsooli kui autentimisega, mis on eraldi identiteeditoote autentimisest. See eristus muudab konsooli omaette ülevaatuse piiriks. Episood soovitab inventeerida administratiivseid pindu ja kontrollida, milline autentimissüsteem igaüht neist kaitseb.

### Kuidas uurijad kinnitasid sõiduki füüsilist tulemust?

Nad värskendasid sõiduki olekut ja kontrollisid füüsilist tulemust omanikuga sõiduki kõrval, vastavalt Shahi ja Curry USA aruandele. API aktsepteerimine üksi ei tõestanud tegevust. Shah avas ja käivitas sõiduki, seejärel peatas ja lukustas selle uuesti. Teatatud tõendid hõlmavad toetatud rakenduse käske; ärasõitmist või immobilisaatori väljalülitamist ei tuvastatud.

### Milline oli The Daily Diff'i otsus identiteedi usalduspiiri kohta?

The Daily Diff'i otsus oli VAJAB LÄBIVAATAMIST. Niko auditeeriks haldusradade kaudu usaldusväärset kliendi identiteeti enne, kui sellele füüsiliste kontrollide osas toetutakse, tunnustades samal ajal teatatud USA parandust. Shahi ja Curry aruanded näitavad, miks ülesvoolu kontroll identiteediandmete üle on allavoolu autoriseerimiseks oluline. Otsus ei kinnita jätkuvat ülemaailmset haavatavust.

## Peatükid

- 0:00 Kuidas logimisest sai autovõti?
- 0:33 Mis on äsja avaldatud ja mis oli juba parandatud?
- 0:59 Millist identiteeti sõidukiteenus usaldab?
- 1:41 Miks oli arenduskonsool oluline?
- 2:42 Millal muutub seanss rakenduse autoriteediks?
- 3:29 Mida parandamine tegelikult hõlmas?
- 4:48 Mis tõestas, et auto tõesti allus?
- 5:10 Milline piir vajab ülevaatamist?

## Tõlgitud transkriptsioon

Tõlgitud ingliskeelsest originaaljutustusest. Saadaolevat heli ja subtiitreid kontrollib YouTube.

### Kuidas logimisest sai autovõti?

0:00 Teie auto rakendus kontrollib, kas olete omanik. Uurijad panid selle identiteediserveri hoopis nende eest käendama. Käesolevas videos, kuidas logimisest sai sõiduki autoriteet? Ja mis tõestas, et auto tõesti allus? On esmaspäev, üheksas november, ja see on The Daily Diff. Üks viimane kontroll eraldab veenva ekraani avatud autost. Ühendatud autoteenused on omaniku telefoni rakenduse taga olevad võrgusüsteemid. Shubham Shah ja Sam Curry teatavad, et administratiivne identiteedipääs võimaldas neil

0:25 saavutada sama rakenduse autoriteedi nagu omanikul. Nad demonstreerisid kaugkäsklusi lubatud sõidukitel. Nende USA konto ütleb, et vead parandati pärast avalikustamist.

### Mis on äsja avaldatud ja mis oli juba parandatud?

0:33 Mõlemad kirjutised ilmusid 7. novembril. Curry dateerib oma avalikustamise selle aasta algusesse. Shah kirjeldab Austraalia uuringuid, mis algasid juulis. Need on erinevad ajakavad. Nende lugemine ühe ülemaailmse hädaolukorrana annaks pealkirjale rohkem hobujõudu kui tõendid. Shah ostis 2023. aastal ühe nimetamata autotootja linnamaasturi. Milline internetiteenus saab ühenduse, kui ma oma auto avan?

0:53 Tema ja Curry veetsid kaks nädalat identiteedisüsteemi uurides. Võtmehoidja on saanud taustameeskonna. Rakendus logib teid sisse ja laadib teie garaaži.

### Millist identiteeti sõidukiteenus usaldab?

1:01 Ühendatud teenus seostab selle konto sõidukite ja lubatud käsklustega. See suhe on kasulik vastus. Kes iganes kontrollib usaldusväärset kliendi identiteeti, võib pärida kliendile mõeldud võimalused. Austraalias paljastas avalik haldustööriist kliendiinfot läbi liideste, mis olid kaitstud brauseri JavaScriptis tarnitud võtmetega. Ambitsioonikas saladuse definitsioon. Shah leidis ka identiteedi administraatori volitused müüja paketis, ja teatas, et need töötasid tootmises. Piir blokeeris tundlikud marsruudid.

1:24 Kuid tarkvarakihid tõlgendasid sama päringut erinevalt. Curry ütleb, et servikäsitles teed staatilise sisuna, samas kui taustaprogramm jõudis halduskonsooli. Tere tulemast matt ja lukustatud uks konsulteerisid erinevate kaartidega. See konsool aktsepteeris endiselt vaikimisi administraatori volitusi, Curry sõnul. Tootmisjuhend käsib juba operaatoritel see eemaldada või kaitsta,

### Miks oli arenduskonsool oluline?

1:41 ja ütleb, et selle autentimine on eraldi identiteeditoote autentimisest. Veel üks sisselogimine, mis peitub kontrollnimekirja punktide vahel. Avaldatud haldustööriistad võimaldasid koodi käitamist identiteediteenuse sees. Uurijad pääsesid kliendiandmetele ligi avaliku filtreerimispiiri taga. Piirifilter kontrollib piiri ületavat liiklust. Protsessil, mis on juba teenuse sees, on andmetega erinev suhe. See selgitab mitmefaktorilist probleemi USA kontol. Identiteediandmed andsid sisselogimisteabe ja sihtkoha e-posti kinnituskoodile.

2:06 Administratiivne kontroll nende andmete üle võimaldas uurijatel sisselogimise lõpule viia. Kliendi ülesvoolu definitsioon oli juba muutunud. Shah kirjeldab eraldi Austraalia autentimise valekonfiguratsiooni, mis võimaldas tema ahelal lisafaktori vahele jätta. Mitmefaktorilise autentimise kõikjal katki nimetamine kustutaks konfiguratsiooniandmed, mida arendajad vajavad. Hoidke oma lisategurit. Hoidke ka süsteem, mis määratleb oma omaniku usaldusväärseks. Volitustel on erinevad ülesanded.

2:31 Administraatori juurdepääs kontrollib identiteediandmeid. Kliendiseanss esindab lõpetatud sisselogimist. Mobiilirakendus hangib oma teenuste poolt aktsepteeritud tokeneid. Nende kõigi nimetamine võlutokeniks kaotab piirid, mis tegid omanikule samaväärse juurdepääsu võimalikuks. Curry kirjeldab kahe nimetamata autotootja identiteedikatalooge mitmes piirkonnas.

### Millal muutub seanss rakenduse autoriteediks?

2:43 Ta piirab täieliku sõidukitestimise USA kontode ja sõidukitega. Shah kirjeldab ühte autotootjat kahel Austraalia kaubamärgil, seejärel väidab laiemat kombineeritud ulatust. Need erinevad ulatuse piirid ei anna meile alust ettevõtteid tuvastada. Hacker News arutleb, kas telefoni avamine peaks üldse eksisteerima. Üks vastus viitab unustatud luku kontrollimisele ja auto jahutamisele või soojendamisele. Inimestele meeldivad kasulikud funktsioonid. Klientidele mugavuse pakkumine annab teenusele ka kalli töö.

3:09 See peab oma autoriteedi välja teenima. Curry teatab, et mõlemad autotootjad parandasid haavatavuse umbes kaks tundi pärast selle saamist ja pöörasid mõjutatud volitused ümber. See on USA kaasneva ajakava. Shahi juulikuine aruanne ei anna vastavat parandamise ajakava. Tema aruanne jätab Austraalia praeguse parandamise staatuse täpsustamata. Me ei saa kahetunnist vastust muuta globaalseks remondilõputellimuseks. Arendajatele alustage haldusliidesest.

### Mida parandamine tegelikult hõlmas?

3:29 Inventeerige, mis on avatud ja milline autentimissüsteem seda kaitseb. Eemaldage kasutamata arendustööriistad. Kaitske allesjäänud tööriistu. Vaadake iga kihi päringu tõlgendus üle, enne kui käsitlete servareeglit kui viimast sõna ligipääsu kohta. Shah ütleb, et Austraalia ahel lõpuks töötas umbes südaöö paiku, avades auto, mida neil oli lubatud testida. Identiteedi torustik rahuldava lõpuga. Aruanne teenib oma järelduse, kontrollides teist otsa.

3:55 Taustasüsteemi enesekindlus on ainult pool vestlusest. Curry USA konto ütleb, et võimalused sõltuvad sõiduki mudelist, tellimusest ja aktiivsetest ühendatud teenustest. Toetatud käsud hõlmavad uste avamist ja mootori käivitamist eemalt. Kummaski kirjutises ei ole tuvastatud ärasõitmist ega immobilisaatori väljalülitamist. Tõendid hõlmavad konkreetseid rakenduse võimalusi ja lubatud füüsilisi demonstratsioone. Küsi, milline teenus saab muuta fakte, millele teie autoriseerimine tugineb. Parooli lähtestamised ja kontakti muudatused on olulised, sest teised süsteemid tarbivad neid tõena.

4:14 Kehtiv sisselogimine võib tugineda ümberkirjutatud identiteedile. See auto lugu muutub teie rakenduse looks seal. Lõplik kontroll toimus auto kõrval. Curry sõnul ei tõestanud ainuüksi aktsepteeritud API käsk midagi auto käitumise kohta. Nad värskendasid selle olekut ja kinnitasid füüsilise tulemuse omaniku kõrval seistes. Shah avas ja käivitas sõiduki, seejärel peatas ja lukustas selle uuesti. Tõend jõudis sissesõiduteele. Kui soovite seda pigem lugeda kui kuulata, kuidas ma seda ütlen, siis diff jõuab teie postkasti

4:41 igal hommikul, tasuta the daily diff dot dev, link allpool. Niisiis, tänane otsus, NEEDS REVIEW. Auditeeriksin haldusradade kaudu kliendi identiteeti enne, kui usaldan seda füüsiliste kontrollidega. Teatatud USA parandus väärib tunnustust.

### Mis tõestas, et auto tõesti allus?

4:48 Kes saab ümber defineerida omaniku, keda iga allavoolu teenus usub? Ja see on tänane diff. Olen Niko Axrisist. Liitke vastutustundlikult. Süsteemi sees töötav protsessil on andmetega teistsugune suhe. Süsteem, mis defineerib selle omaniku usaldusväärseks. See on USA kaasneva ajakava. Kliendi ülesvoolu definitsioon oli juba muutunud.

### Milline piir vajab ülevaatamist?

5:10 Ambitsioonikas saladuse definitsioon. Hacker News arutleb, kas telefoni avamine peaks eksisteerima. Need erinevad ulatuse piirid ei anna meile alust ettevõtteid tuvastada. Uurijad pääsesid kliendiandmetele ligi avaliku filtreerimispiiri taga. Mitmefaktorilise autentimise kõikjal katki nimetamine kustutaks konfiguratsiooniandmed, mida arendajad vajavad. Hoidke ka süsteem, mis defineerib oma omaniku usaldusväärseks. Süsteem, mis defineerib selle omaniku usaldusväärseks.

## Allikad

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip