# Sigurnost identiteta povezanog automobila: ovlaštenje vlasnika i fizički dokaz

Published: 2026-11-10

Shubham Shah i Sam Curry izvješćuju o administrativnom pristupu identitetu koji je doveo do ovlasti aplikacije za povezani automobil ekvivalentne vlasniku na vozilima s dopuštenjem. Njihove publikacije od 7. studenog opisuju ranije istraživanje. Američki pratitelj izvješćuje o otklanjanju istog dana; zasebni australski srpanjski izvještaj ostavlja svoj trenutni status otklanjanja nespecificiranim.

Canonical: https://thedailydiff.dev/hr/video/2026-11-09-car-identity-chain/

## Što ovaj video pokriva

- Administrativna kontrola pouzdanog identiteta korisnika može utjecati na ovlaštenje vozila koje dodjeljuju nizvodne usluge aplikacija.
- Curry ograničava potpuno testiranje lanca vozila na američke račune i vozila; doseg regionalnog direktorija i Shahova šira kombinirana tvrdnja imaju različite opsege.
- Približno dvosatni odgovor pripada vremenskoj liniji objave američkog popratnog izvješća. Australski izvještaj ne navodi odgovarajući datum otklanjanja problema.
- Podržane naredbe ovise o modelu, pretplati i aktivnim povezanim uslugama. Vožnja ili onesposobljavanje imobilizatora nisu utvrđeni.
- Istraživači su osvježili status vozila i potvrdili fizičke učinke s vlasnikom pored vozila.
- PingIDM-ov verzirani vodič za proizvodnju preporučuje uklanjanje ili zaštitu razvojnih alata i identificira zaseban sustav autentifikacije konzole.

## Pitanja i odgovori

### Kako je pristup poslužitelju identiteta postao autoritet povezanog automobila?

Administrativni pristup identitetu omogućio je istraživačima dobivanje ovlaštenja aplikacije ekvivalentnog vlasniku, prema Shubhamu Shahu i Samu Curryju. Povezana usluga povezuje korisničke račune s vozilima i podržanim naredbama. Njihov izvještaj razlikuje administrativni pristup, dovršenu korisničku sesiju i tokene mobilne aplikacije koje prihvaćaju njezine usluge. Demonstracije su koristile vozila s dozvolama.

### Što utvrđuju prijavljeni datumi i regionalni opsezi?

Američko popratno izvješće opisuje ranija istraživanja i popravak istog dana nakon objave. Curry ograničava potpuno testiranje lanca vozila na američke račune i vozila, dok su pogođeni direktoriji identiteta opsluživali više regija. Shah zasebno opisuje australsko istraživanje koje je započelo u srpnju. Njegov članak ostavlja trenutni status sanacije u Australiji neodređenim, tako da izvori ne utvrđuju jednu svjetsku vremensku liniju otkrića ili popravka.

### Što smjernice za učvršćivanje produkcije govore o razvojnim konzolama?

Uklonite ili zaštitite razvojne i debug alate prije produkcije, prema verziranom sigurnosnom vodiču tvrtke Ping Identity. On identificira konzolu kao onu koja ima autentifikaciju odvojenu od autentifikacije proizvoda za identitet. Ta razlika čini konzolu vlastitom granicom pregleda. Epizoda preporučuje popisivanje administrativnih površina i provjeru koji sustav autentifikacije štiti svaku od njih.

### Kako su istraživači potvrdili fizički rezultat vozila?

Osvježili su status vozila i provjerili fizički rezultat s vlasnikom pored vozila, prema Shahovom i Curryjevom američkom popratnom izvješću. Samo prihvaćanje API-ja nije dokazalo akciju. Shah je otključao i pokrenuo vozilo, zatim ga zaustavio i ponovno zaključao. Prijavljeni dokazi pokrivaju podržane naredbe aplikacije; odvoženje ili onesposobljavanje imobilizatora nije utvrđeno.

### Kakva je bila presuda The Daily Diff-a o granici povjerenja identiteta?

Presuda The Daily Diff-a bila je POTREBAN PREGLED. Niko bi revidirao administrativne putove u pouzdanom identitetu korisnika prije nego što se na njih oslanja za fizičke kontrole, uz priznanje prijavljenom američkom popravku. Shahovi i Curryjevi izvještaji pokazuju zašto je uzvodna kontrola nad evidencijama identiteta važna za nizvodno ovlaštenje. Presuda ne tvrdi stalnu svjetsku ranjivost.

## Poglavlja

- 0:00 Kako je prijava postala ključ od automobila?
- 0:33 Što je novo objavljeno, a što je već popravljeno?
- 0:59 Koji identitet usluga vozila vjeruje?
- 1:41 Zašto je razvojna konzola bila važna?
- 2:42 Kada sesija postaje autoritet aplikacije?
- 3:29 Što je sanacija zapravo pokrila?
- 4:48 Što je dokazalo da je automobil zapravo poslušao?
- 5:10 Koja granica treba pregled?

## Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

### Kako je prijava postala ključ od automobila?

0:00 Aplikacija vašeg automobila provjerava jeste li vlasnik. Istraživači su umjesto toga natjerali njegov poslužitelj identiteta da jamči za njih. U ovom videu, kako je prijava postala ovlaštenje vozila? I što je dokazalo da je automobil zapravo poslušao? Ponedjeljak je, deveti studeni, i ovo je The Daily Diff. Jedna posljednja provjera dijeli uvjerljiv zaslon od otključanog automobila. Usluge povezanih automobila su online sustavi iza aplikacije na telefonu vlasnika. Shubham Shah i Sam Curry izvještavaju da im je administrativni pristup identitetu omogućio

0:25 dobivanje istog ovlaštenja aplikacije kao i vlasnik. Demonstrirali su daljinske naredbe na vozilima s dozvolama. Njihov američki izvještaj kaže da su nedostaci otklonjeni nakon objave.

### Što je novo objavljeno, a što je već popravljeno?

0:33 Oba su izvješća objavljena sedmog studenog. Curry datira svoju objavu na početak ove godine. Shah opisuje australsko istraživanje koje je započelo u srpnju. To su različite vremenske linije. Čitanje toga kao jedne svjetske hitnosti dalo bi naslovu više konjskih snaga nego dokazi. Shah je kupio jedan od neimenovanih SUV-ova proizvođača automobila u dvadeset dvadeset i trećoj godini. Koja internetska usluga prima dodir kada otključam svoj automobil?

0:53 On i Curry proveli su dva tjedna ispitujući sustav identiteta. Ključ je dobio pozadni tim. Aplikacija vas prijavljuje i učitava vašu garažu.

### Koji identitet usluga vozila vjeruje?

1:01 Povezana usluga povezuje taj račun s vozilima i dopuštenim naredbama. Taj je odnos koristan odgovor. Tko god kontrolira pouzdani identitet korisnika može naslijediti mogućnosti namijenjene korisniku. U Australiji je javni alat za upravljanje izložio informacije o korisnicima putem sučelja zaštićenih ključevima isporučenim u JavaScriptu preglednika. Amiciozna definicija tajne. Shah je također pronašao vjerodajnice administratora identiteta u paketu dobavljača,

1:24 i izvijestio da su radile u produkciji. Perimetar je blokirao osjetljive rute. Ali softverski slojevi su istu zahtjev interpretirali drugačije. Curry kaže da je rub tretirao putanju kao statički sadržaj dok je pozadina pristupila administratorskoj konzoli. Otirač dobrodošlice i zaključana vrata konzultirali su različite karte.

### Zašto je razvojna konzola bila važna?

1:41 Ta konzola je i dalje prihvaćala zadane administratorske vjerodajnice, prema Curryju. Vodič za proizvodnju već govori operaterima da ga uklone ili zaštite, i kaže da je njegova autentifikacija odvojena od autentifikacije proizvoda za identitet. Još jedna prijava skrivena između točaka popisa. Izloženi administrativni alati omogućili su izvršavanje koda unutar usluge identiteta. Istraživači su pristupili korisničkim podacima iza javne granice filtriranja. Filtar perimetra provjerava promet koji prelazi taj perimetar.

2:06 Proces koji je već unutar usluge ima drugačiji odnos s podacima. To objašnjava višefaktorski problem u američkom izvještaju. Evidencije identiteta su pružile podatke za prijavu i odredište za kod za potvrdu putem e-pošte. Administrativna kontrola nad tim evidencijama omogućila je istraživačima dovršetak prijave. Uzvodna definicija kupca već se promijenila. Shah opisuje zasebnu australsku pogrešnu konfiguraciju autentifikacije koja je dopustila njegovom lancu da preskoči dodatni faktor.

2:31 Nazvati višefaktorsku autentifikaciju pokvarenom svugdje izbrisalo bi detalje konfiguracije koji su potrebni programerima. Zadržite svoj dodatni faktor. Također zadržite sustav koji definira svog vlasnika pouzdanim. Vjerodajnice imaju različite poslove.

### Kada sesija postaje autoritet aplikacije?

2:43 Administratorski pristup kontrolira evidenciju identiteta. Korisnička sesija predstavlja dovršenu prijavu. Mobilna aplikacija dobiva tokene koje prihvaćaju njezine usluge. Nazivanje svih njih 'čarobnim tokenom' gubi granice koje su omogućile pristup ekvivalentan vlasniku. Curry opisuje direktorije identiteta dva neimenovana proizvođača automobila u više regija. On ograničava potpuno testiranje vozila na američke račune i vozila. Shah opisuje jednog proizvođača automobila u dva australska branda,

3:09 zatim tvrdi širi kombinirani doseg. Ti različiti opsezi ne daju nam osnovu za identifikaciju tvrtki. Hacker News raspravlja o tome treba li otključavanje telefona postojati. Jedan odgovor ukazuje na provjeru zaboravljene brave i hlađenje ili zagrijavanje automobila. Ljudi vole korisne značajke. Pružanje pogodnosti kupcima također daje usluzi skup posao. Mora zaslužiti svoje ovlaštenje.

### Što je sanacija zapravo pokrila?

3:29 Curry izvještava da su oba proizvođača automobila popravila ranjivost oko dva sata nakon primitka i rotirala pogođene vjerodajnice. To je vremenska linija američkog popratnog izvješća. Shahov izvještaj iz srpnja ne pruža odgovarajuću vremensku liniju sanacije. Njegov izvještaj ostavlja trenutni status sanacije u Australiji neodređenim. Ne možemo pretvoriti dvosatni odgovor u globalni mjerač vremena popravka. Za programere, počnite s administrativnom površinom. Popišite što je izloženo i koji sustav autentifikacije to štiti.

3:55 Uklonite neiskorištene razvojne alate. Zaštitite alate koje zadržite. Pregledajte interpretaciju zahtjeva svakog sloja prije nego što rubno pravilo smatrate posljednjom riječi o pristupu. Shah kaže da je australski lanac konačno proradio oko ponoći, otvarajući automobil koji im je bilo dopušteno testirati. Identitetska infrastruktura sa zadovoljavajućim završetkom. Izvješće zaslužuje svoj zaključak provjerom drugog kraja.

4:14 Samopouzdanje pozadine samo je pola razgovora. Curryjev američki izvještaj kaže da mogućnosti ovise o modelu vozila, pretplati i aktivnim povezanim uslugama. Podržane naredbe uključuju otključavanje vrata i daljinsko pokretanje motora. Nijedno izvješće ne utvrđuje odvoženje ili onesposobljavanje imobilizatora. Dokazi pokrivaju određene mogućnosti aplikacije i dopuštene fizičke demonstracije. Pitajte koja usluga može promijeniti činjenice na koje se vaše ovlaštenje oslanja. Poništavanje lozinki i promjene kontakata važni su jer ih drugi sustavi

4:41 konzumiraju kao istinu. Valjana prijava može počivati na prepisanom identitetu. Ova priča o automobilu postaje priča vaše aplikacije tamo.

### Što je dokazalo da je automobil zapravo poslušao?

4:48 Završna provjera dogodila se pored automobila. Curry kaže da samo prihvaćena API naredba nije dokazala ništa o ponašanju automobila. Osvježili su njegov status i potvrdili fizički rezultat s vlasnikom koji je stajao pored njega. Shah je otključao i pokrenuo vozilo, zatim ga zaustavio i ponovno zaključao. Dokaz je stigao do prilaza. Ako ovo radije čitate nego slušate, 'diff' stiže u vašu pristiglu poštu svako jutro, besplatno na daily diff dot dev, poveznica ispod.

### Koja granica treba pregled?

5:10 Dakle, današnja presuda, POTREBAN PREGLED. Revizirao bih administrativne putove u identitetu korisnika prije nego što mu povjerim fizičke kontrole. Prijavljeni američki popravak zaslužuje priznanje. Tko može redefinirati vlasnika u kojeg vjeruje svaka nizvodna usluga? I to je 'diff' za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

## Izvori

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip