# Konektatutako autoen identitatearen segurtasuna: jabearen autoritatea eta froga fisikoa

Published: 2026-11-10

Shubham Shah eta Sam Curry-k ibilgailu baimenduetan konektatutako autoen aplikazioaren jabearen baliokidea den agintea ekarri zuen administrazio-identitate sarbidea jakinarazi dute. Azaroaren 7ko argitalpenek aurreko ikerketa deskribatzen dute. AEBetako txosten osagarriak egun berean egindako konponketa adierazten du; Australiako uztaileko kontu bereiziak bere egungo konponketa egoera zehaztu gabe uzten du.

Canonical: https://thedailydiff.dev/eu/video/2026-11-09-car-identity-chain/

## Bideo honek zer jorratzen duen

- Bezeroaren identitate fidagarriaren kontrol administratiboak beheranzko aplikazio-zerbitzuek emandako ibilgailuaren autoritateari eragin diezaioke.
- Curryk ibilgailu-katearen proba osoa AEBetako kontu eta ibilgailuetara mugatzen du; eskualdeko direktorioaren irismenak eta Shahren erreklamazio konbinatu zabalagoak esparru desberdinak dituzte.
- Gutxi gorabehera bi orduko erantzuna AEBetako txosten laguntzailearen dibulgazio-epearen barruan dago. Australiako kontuak ez du konponketa-data baliokiderik ematen.
- Onartutako komandoak modeloaren, harpidetzaren eta konektatutako zerbitzu aktiboen araberakoak dira. Gidatzea edo inmobilizadorea gainditzea ez zen ezarri.
- Ikertzaileek ibilgailuaren egoera freskatu zuten eta jabearekin ibilgailuaren ondoan efektu fisikoak baieztatu zituzten.
- PingIDM-ren bertsionatutako produkzio-gidak garapen-tresnak kentzea edo babestea gomendatzen du eta kontsola-autentifikazio sistema bereizi bat identifikatzen du.

## Galderak eta erantzunak

### Nola bihurtu zen identitate-zerbitzariaren sarbidea konektatutako autoaren autoritate?

Administratzailearen identitate-sarbiak ikertzaileei jabearen baliokide den aplikazio-autoritatea lortzeko aukera eman zien, Shubham Shah eta Sam Curryren arabera. Konektatutako zerbitzuak bezero-kontuak ibilgailuekin eta onartutako komandoekin lotzen zituen. Haien kontuak administratzailearen sarbidea, osatutako bezero-saio bat eta bere zerbitzuek onartutako mugikorreko aplikazioen tokenak bereizten ditu. Erakustaldietan baimendutako ibilgailuak erabili ziren.

### Zer ezartzen dute jakinarazitako datak eta eskualdeko esparruek?

AEBetako txosten laguntzaileak aurreko ikerketa eta dibulgazioaren ondoren egun bereko konponketa bat deskribatzen ditu. Curryk ibilgailu-katearen proba osoa AEBetako kontu eta ibilgailuetara mugatzen du, eta kaltetutako identitate-direktorioek eskualde anitz zerbitzatzen zituzten. Shahk bereizita deskribatzen du uztailean hasitako Australiako ikerketa. Bere artikuluak Australiako egungo konponketa-egoera zehaztugabe uzten du, beraz, iturriek ez dute mundu mailako aurkikuntza edo konponketa-kronograma bat ezartzen.

### Zer dio produkzio-gogortzearen gidak garapen-kontsolei buruz?

Kendu edo babestu garapen- eta arazketa-tresnak produkzioa baino lehen, Ping Identityren bertsionatutako segurtasun-gidaren arabera. Kontsola identitate-produktuaren autentifikaziotik bereizitako autentifikazioa duena dela identifikatzen du. Bereizketa horrek kontsola bere berrikuspen-muga bihurtzen du. Pasarteak administrazio-gainazalak inbentariatzea eta bakoitza zein autentifikazio-sistemak babesten duen egiaztatzea gomendatzen du.

### Nola baieztatu zuten ikertzaileek ibilgailuaren emaitza fisiko bat?

Ibilgailuaren egoera freskatu eta emaitza fisikoa egiaztatu zuten jabearekin ibilgailuaren ondoan, Shah eta Curryren AEBetako txosten laguntzailearen arabera. APIaren onarpenak bakarrik ez zuen ekintza frogatu. Shahk ibilgailua desblokeatu eta abiarazi zuen, gero gelditu eta berriro blokeatu zuen. Jakinarazitako frogek onartutako aplikazio-komandoak hartzen dituzte; gidatzea edo inmobilizadore bat gainditzea ez zen ezarri.

### Zein izan zen The Daily Diff-en epaia identitatearen konfiantza-mugari buruz?

The Daily Diff-en epaia BERRIKUSKETA BEHAR DU izan zen. Nikok administratzailearen bideak auditatu lituzke bezeroaren identitate fidagarrian sartzeko, kontrol fisikoetarako haietan oinarritu aurretik, jakinarazitako AEBetako konponketa kreditatuz. Shah eta Curryren kontuek zergatik den garrantzitsua identitate-erregistroen goranzko kontrola beheranzko autorizaziorako erakusten dute. Epaileak ez du mundu mailako ahultasun iraunkor bat aldarrikatzen.

## Kapituluak

- 0:00 Nola bihurtu zen saio-hasiera auto-giltza?
- 0:33 Zer da berriki argitaratutakoa eta zer zegoen jada konponduta?
- 0:59 Zein identitate fidatzen du ibilgailu-zerbitzuak?
- 1:41 Zergatik izan zen garrantzitsua garapen-kontsola bat?
- 2:42 Noiz bihurtzen da saio bat aplikazio-autoritate?
- 3:29 Zer hartu zuen konponketak, hain zuzen ere?
- 4:48 Zerk frogatu zuen autoak benetan obeditzen zuela?
- 5:10 Zein muga berrikusi behar da?

## Itzulitako transkripzioa

Jatorrizko ingelesezko narraziotik itzulia. Eskuragarri dauden audioa eta azpitituluak YouTube-k kontrolatzen ditu.

### Nola bihurtu zen saio-hasiera auto-giltza?

0:00 Zure autoaren aplikazioak jabea zarela egiaztatzen du. Ikertzaileek bere identitate-zerbitzariak haien alde egin zuen, ordez. Bideo honetan, nola bihurtu zen saio-hasiera ibilgailuaren autoritate? Eta zerk frogatu zuen autoak benetan obeditzen zuela? Astelehena, azaroak bederatzi, eta hau The Daily Diff da. Azken egiaztapen batek pantaila konbentzigarri bat desblokeatutako auto batetik bereizten du. Konektatutako auto-zerbitzuak jabearen telefono-aplikazioaren atzean dauden lineako sistemak dira. Shubham Shah eta Sam Curryk jakinarazi dute administratzailearen identitate-sarbiak aukera eman ziela

0:25 jabearen aplikazio-autoritate bera lortzeko. Baimendutako ibilgailuetan urruneko komandoak erakutsi zituzten. AEBetako kontuaren arabera, akatsak dibulgazioaren ondoren konpondu ziren.

### Zer da berriki argitaratutakoa eta zer zegoen jada konponduta?

0:33 Bi idazlanak azaroaren zazpian agertu ziren. Curryk bere dibulgazioa urte honen hasieran datatu du. Shahk uztailean hasitako Australiako ikerketa deskribatzen du. Epe desberdinak dira horiek. Mundu mailako larrialdi bakar bat bezala irakurtzeak izenburuari potentzia gehiago emango lioke frogak baino. Shahk izenik gabeko auto-fabrikatzaile baten SUV bat erosi zuen 2023an. Zein internet zerbitzua jasotzen du kolpea nire autoa desblokeatzen dudanean?

0:53 Berak eta Curryk bi aste eman zituzten identitate-sistema aztertzen. Giltza-txartelak atzeko talde bat eskuratu du. Aplikazioak saioa hasten du eta zure garajea kargatzen du.

### Zein identitate fidatzen du ibilgailu-zerbitzuak?

1:01 Konektatutako zerbitzuak kontu hori ibilgailuekin eta baimendutako komandoekin lotzen du. Harreman hori da erantzun erabilgarria. Bezeroaren identitate fidagarria kontrolatzen duenak, bezeroarentzat pentsatutako gaitasunak oinordetzan har ditzake. Australian, kudeaketa-tresna publiko batek bezeroaren informazioa erakutsi zuen arakatzaileko JavaScript-en bidalitako gakoek babestutako interfaze bidez. Sekretuaren definizio anbiziotsua. Shahk, halaber, identitate-administratzailearen kredentzialak aurkitu zituen saltzailearen multzo batean, eta produkzioan funtzionatzen zutela jakinarazi zuen.

1:24 Perimetroak bide sentikorrak blokeatu zituen. Baina software-geruzek eskaera bera modu desberdinean interpretatu zuten. Curryk dio mugak bide bat eduki estatiko gisa tratatu zuela, eta bitartean backend-ak administrazio-kontsola batera iritsi zela. Ongietorri-alfonbrak eta ate itxiak mapa desberdinak kontsultatzen ari ziren. Kontsola horrek oraindik ere administratzailearen kredentzial lehenetsiak onartzen zituen, Curryren arabera.

### Zergatik izan zen garrantzitsua garapen-kontsola bat?

1:41 Produkzio-gidak dagoeneko esaten die operadoreei hura kentzeko edo babesteko, eta dio bere autentifikazioa identitate-produktuaren autentifikaziotik bereizita dagoela. Beste saio-hasiera bat zerrendako puntu artean ezkutatuta. Azaldu zen administrazio-tresnak kodea identitate-zerbitzuan exekutatu ahal izatea ahalbidetu zuen. Ikertzaileek bezeroen erregistroetara sartu ziren iragazketa publikoaren atzean. Perimetro-iragazki batek perimetro hori zeharkatzen duen trafikoa egiaztatzen du. Zerbitzuaren barruan dagoen prozesu batek beste harreman bat du datuekin. Horrek azaltzen du AEBetako kontuan faktore anitzeko arazoa.

2:06 Identitate-erregistroek saio-hasierako informazioa eta helburua eman zituzten mezu elektroniko bidezko egiaztapen-kode baterako. Erregistro horien gaineko administrazio-kontrolak ikertzaileei saio-hasiera osatzea ahalbidetu zien. Bezeroaren goiko definizioa jada aldatu zen. Shahk Australiako autentifikazio-konfigurazio oker bereizi bat deskribatzen du, zeinak bere katea faktore gehigarria saltatu ahal izateko aukera eman zion. Faktore anitzeko autentifikazioa leku guztietan apurtuta dagoela esateak garatzaileek behar dituzten konfigurazio-xehetasunak ezabatuko lituzke. Mantendu zure faktore gehigarria. Mantendu jabea definitzen duen sistema ere fidagarria. Kredentzialek lan desberdinak dituzte.

2:31 Administratzailearen sarbideak identitate-erregistroak kontrolatzen ditu. Bezero-saio batek osatutako saio-hasiera bat adierazten du. Mugikorreko aplikazioak bere zerbitzuek onartutako tokenak lortzen ditu. Horiek guztiak magia-token bat deitzeak jabearen baliokide den sarbidea posible egin zuten mugak galtzen ditu. Curryk izenik gabeko bi auto-fabrikatzaileen identitate-direktorioak deskribatzen ditu eskualde anitzetan.

### Noiz bihurtzen da saio bat aplikazio-autoritate?

2:43 Ibilgailuen proba osoa AEBetako kontu eta ibilgailuetara mugatzen du. Shahk auto-fabrikatzaile bat deskribatzen du Australiako bi marka desberdinetan, gero irismen konbinatu zabalagoa aldarrikatzen du. Esparru desberdin horiek ez digute enpresak identifikatzeko oinarririk ematen. Hacker News-en telefonoaren desblokeoak existitu beharko lukeen ala ez eztabaidatzen da. Erantzun batek ahaztutako blokeoa egiaztatzea eta autoa hoztea edo berotzea adierazten du. Jendeari ezaugarri erabilgarriak gustatzen zaizkio. Bezeroei erosotasuna emateak zerbitzuari lan garesti bat ematen dio, halaber.

3:09 Bere autoritatea irabazi behar du. Curryk jakinarazi duenez, bi auto-fabrikatzaileek ahultasuna konpondu zuten jasotakoan bi ordu inguru geroago eta kaltetutako kredentzialak biratu zituzten. Hori da AEBetako txosten laguntzailearen kronograma. Shahren uztaileko kontuak ez du konponketa-kronograma baliokiderik ematen. Bere kontuak Australiako egungo konponketa-egoera zehaztugabe uzten du. Ezin dugu bi orduko erantzuna konponketa-kronometro global bihurtu.

### Zer hartu zuen konponketak, hain zuzen ere?

3:29 Garatzaileentzat, hasi administrazio-gainazalarekin. Inbentariatu zer dagoen erakutsita eta zein autentifikazio-sistema babesten duen. Kendu erabili gabeko garapen-tresnak. Babestu mantentzen dituzun tresnak. Berrikusi geruza bakoitzaren eskaera-interpretazioa, sarbideari buruzko azken hitz gisa muga-arau bat tratatu aurretik. Shahk dio Australiako katea azkenean gauerdian funtzionatu zuela, probatzeko baimenduta zuten auto bat irekiz. Identitate-instalazioak amaiera pozgarri batekin.

3:55 Idazlan batek bere ondorioa irabazten du beste muturrarekin egiaztatuz. Backend-aren konfiantza elkarrizketaren erdia besterik ez da. Curryren AEBetako kontuak dio gaitasunak ibilgailuaren modeloaren, harpidetzaren eta konektatutako zerbitzu aktiboen araberakoak direla. Onartutako komandoen artean atea desblokeatzea eta urrutiko motorra abiaraztea daude. Ez idazlan batek ere ez du ezartzen gidatzea edo inmobilizadore bat gainditzea. Frogak aplikazioaren gaitasun partikularrak eta baimendutako erakustaldi fisikoak hartzen ditu. Galdetu zein zerbitzuk alda ditzakeen zure autorizazioak oinarritzen dituen gertaerak.

4:14 Pasahitz-berrezarpenak eta kontaktu-aldaketak garrantzitsuak dira, beste sistema batzuek egia gisa kontsumitzen dituztelako. Baliozko saio-hasiera batek berriz idatzitako identitate batean oinarritu daiteke. Auto-istorio hau zure aplikazio-istorio bihurtzen da han. Azken egiaztapena autoaren ondoan gertatu zen. Curryk dio onartutako API komando batek bakarrik ez zuela ezer frogatu autoaren portaerari buruz. Egoera freskatu eta emaitza fisikoa baieztatu zuten jabearekin batera. Shahk ibilgailua desblokeatu eta abiarazi zuen, gero gelditu eta berriro blokeatu zuen. Froga bidean iritsi zen.

4:41 Hau irakurtzea nahiago baduzu entzun baino, diffa zure sarrera-ontzian lurreratzen da goizero, doan daily diff dot dev helbidean, beheko esteka. Beraz, gaurko epaia, BERRIKUSKETA BEHAR DU. Administratzailearen bideak auditatu nituzke bezeroaren identitatean sartzeko, kontrol fisikoekin fidatu aurretik. Jakinarazitako AEBetako konponketak kreditu merezi du.

### Zerk frogatu zuen autoak benetan obeditzen zuela?

4:48 Nork birdefinitu dezake beheranzko zerbitzu guztiek sinesten duten jabea? Eta hori da gaurko diffa. Niko naiz Axrisitik. Batu arduraz. Nola bihurtu zen identitate-zerbitzariaren sarbidea konektatutako autoaren autoritate? Administratzailearen identitate-sarbiak ikertzaileei jabearen baliokide den aplikazio-autoritatea lortzeko aukera eman zien, Shubham Shah eta Sam Curryren arabera. Konektatutako zerbitzuak bezero-kontuak ibilgailuekin eta onartutako komandoekin lotzen zituen. Haien kontuak administratzailearen sarbidea, osatutako bezero-saio bat eta bere zerbitzuek onartutako mugikorreko aplikazioen tokenak bereizten ditu. Erakustaldietan baimendutako ibilgailuak erabili ziren.

### Zein muga berrikusi behar da?

5:10 Zer ezartzen dute jakinarazitako datak eta eskualdeko esparruek? AEBetako txosten laguntzaileak aurreko ikerketa eta dibulgazioaren ondoren egun bereko konponketa bat deskribatzen ditu. Curryk ibilgailu-katearen proba osoa AEBetako kontu eta ibilgailuetara mugatzen du, eta kaltetutako identitate-direktorioek eskualde anitz zerbitzatzen zituzten. Shahk bereizita deskribatzen du uztailean hasitako Australiako ikerketa. Bere artikuluak Australiako egungo konponketa-egoera zehaztugabe uzten du, beraz, iturriek ez dute mundu mailako aurkikuntza edo konponketa-kronograma bat ezartzen. Zer dio produkzio-gogortzearen gidak garapen-kontsolei buruz? Kendu edo babestu garapen- eta arazketa-tresnak produkzioa baino lehen, Ping Identityren bertsionatutako segurtasun-gidaren arabera. Kontsola identitate-produktuaren autentifikaziotik bereizitako autentifikazioa duena dela identifikatzen du. Bereizketa horrek kontsola bere berrikuspen-muga bihurtzen du. Pasarteak administrazio-gainazalak inbentariatzea eta bakoitza zein autentifikazio-sistemak babesten duen egiaztatzea gomendatzen du.

## Iturriak

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip