# Összekapcsolt autók identitásbiztonsága: tulajdonosi felhatalmazás és fizikai bizonyíték Published: 2026-11-10 Shubham Shah és Sam Curry rendszergazdai jogosultságokat fedeztek fel, amelyek a tulajdonosi szintű jogosultsággal felérő hozzáférést biztosítottak a csatlakoztatott autós alkalmazáshoz engedélyezett járműveken. November 7-i publikációik korábbi kutatásokat írnak le. Az amerikai kiegészítő jelentés aznapi orvoslásról számol be; a különálló ausztráliai júliusi beszámoló nem részletezi a jelenlegi orvoslás állapotát. Canonical: https://thedailydiff.dev/hu/video/2026-11-09-car-identity-chain/ ## Amit ez a videó tartalmaz - A megbízható ügyfélazonosító adminisztratív ellenőrzése befolyásolhatja a downstream alkalmazásszolgáltatások által biztosított járműfelhatalmazást. - Curry a teljes járműlánc tesztelését az amerikai fiókokra és járművekre korlátozza; a regionális címtár elérése és Shah szélesebb, kombinált állítása eltérő hatókörű. - A körülbelül kétórás válasz az amerikai melléklet közzétételi idővonalához tartozik. Az ausztráliai beszámoló nem ad meg egyező javítási dátumot. - A támogatott parancsok a modell, az előfizetés és az aktív csatlakoztatott szolgáltatások függvényében változnak. Vezetés vagy indításgátló kiiktatása nem került megállapításra. - A kutatók frissítették a jármű állapotát, és megerősítették a fizikai hatásokat a tulajdonos jelenlétében, a jármű mellett. - A PingIDM verziózott gyártási útmutatója javasolja a fejlesztői eszközök eltávolítását vagy védelmét, és egy külön konzolos hitelesítési rendszert azonosít. ## Kérdések és válaszok ### Hogyan vált az identitásszerver hozzáférése összekapcsolt autó felhatalmazássá? Az adminisztratív identitáshoz való hozzáférés lehetővé tette a kutatóknak, hogy tulajdonosi szintű alkalmazás-felhatalmazást szerezzenek, Shubham Shah és Sam Curry szerint. Az összekapcsolt szolgáltatás összekapcsolta az ügyfélfiókokat a járművekkel és a támogatott parancsokkal. Beszámolójuk különbséget tesz az adminisztrátori hozzáférés, egy befejezett ügyfél-munkamenet és a mobilalkalmazás által a szolgáltatásai által elfogadott tokenek között. A demonstrációk engedélyezett járműveket használtak. ### Mit állapítanak meg a jelentett dátumok és regionális hatókörök? Az amerikai melléklet korábbi kutatást és aznapi javítást ír le a közzététel után. Curry a teljes járműlánc tesztelését az amerikai fiókokra és járművekre korlátozza, míg az érintett identitáskönyvtárak több régiót szolgáltak. Shah külön leírja az ausztráliai kutatásokat, amelyek júliusban kezdődtek. Cikke nem részletezi a jelenlegi ausztráliai javítási státuszt, így a források nem állapítanak meg egyetlen világméretű felfedezési vagy javítási idővonalat. ### Mit mond a gyártási keményítési útmutató a fejlesztői konzolokról? Távolítsa el vagy védje meg a fejlesztői és hibakereső eszközöket a gyártás előtt, a Ping Identity verziózott biztonsági útmutatója szerint. A konzolról azt állapítja meg, hogy hitelesítése különálló az identitásszolgáltatás termék hitelesítésétől. Ez a különbség a konzolt önálló felülvizsgálati határral ruházza fel. Az epizód javasolja az adminisztratív felületek leltározását és annak ellenőrzését, hogy melyik hitelesítési rendszer védi mindegyiket. ### Hogyan erősítették meg a kutatók a jármű fizikai eredményét? Frissítették a jármű állapotát, és ellenőrizték a fizikai eredményt a tulajdonossal, aki az autó mellett állt, Shah és Curry amerikai melléklete szerint. Az API elfogadása önmagában nem bizonyította a cselekvés tényét. Shah feloldotta és beindította a járművet, majd leállította és újra lezárta. A jelentett bizonyítékok a támogatott alkalmazásparancsokra vonatkoznak; az elvezetést vagy az indításgátló kiiktatását nem állapították meg. ### Mi volt a The Daily Diff ítélete az identitásmegbízhatósági határról? A The Daily Diff ítélete FELÜLVIZSGÁLATRA VAN SZÜKSÉG volt. Niko auditálná az ügyfélazonosítóba vezető adminisztratív utakat, mielőtt fizikailag ellenőrzéseket bízná rájuk, miközben elismeri a jelentett amerikai javítást. Shah és Curry beszámolói megmutatják, miért fontos az identitásrekordok feletti upstream ellenőrzés a downstream engedélyezés szempontjából. Az ítélet nem állít folyamatos világméretű sebezhetőséget. ## Fejezetek - 0:00 Hogyan lett egy bejelentkezés autókulccsá? - 0:33 Mi az újonnan publikált, és mi az, ami már javítva lett? - 0:59 Melyik identitásban bízik a járműszolgáltatás? - 1:41 Miért számított egy fejlesztői konzol? - 2:42 Mikor válik egy munkamenet alkalmazás-felhatalmazássá? - 3:29 Mit is fedett le valójában a javítás? - 4:48 Mi bizonyította, hogy az autó valóban engedelmeskedett? - 5:10 Melyik határt kell felülvizsgálni? ## Lefordított átirat Az eredeti angol narrációból fordítva. A rendelkezésre álló hangot és feliratokat a YouTube vezérli. ### Hogyan lett egy bejelentkezés autókulccsá? 0:00 Az autód alkalmazása ellenőrzi, hogy te vagy-e a tulajdonos. A kutatók ehelyett az identitásszerverét vették rá, hogy szavatolja őket. Ebben a videóban hogyan vált a bejelentkezés járműfelhatalmazássá? És mi bizonyította, hogy egy autó valóban engedelmeskedett? November kilencedike, hétfő van, és ez a The Daily Diff. Egy utolsó ellenőrzés választja el a meggyőző képernyőt egy feloldott autótól. Az összekapcsolt autószolgáltatások az online rendszerek, amelyek a tulajdonos telefonos alkalmazása mögött állnak. Shubham Shah és Sam Curry jelentése szerint az adminisztratív identitáshoz való hozzáférés lehetővé tette számukra, hogy 0:25 ugyanazt az alkalmazás-felhatalmazást szerezzék meg, mint egy tulajdonos. Engedélyezett járműveken mutattak be távoli parancsokat. Amerikai beszámolójuk szerint a hibákat a közzététel után javították. ### Mi az újonnan publikált, és mi az, ami már javítva lett? 0:33 Mindkét írás november hetedikén jelent meg. Curry az idén év elejére datálja a közzétételét. Shah az ausztráliai kutatásokat júliusban kezdődőként írja le. Ezek különböző idővonalak. Ha egyetlen világméretű vészhelyzetként értelmeznénk őket, az a főcímet nagyobb "lóerővel" ruházná fel, mint amennyit a bizonyítékok. Shah 2023-ban vásárolt egyet a meg nem nevezett autógyártó SUV-jai közül. Melyik internetszolgáltatás kapja meg a parancsot, amikor feloldom az autómat? 0:53 Ő és Curry két hetet töltöttek az identitásrendszer vizsgálatával. A kulcstartónak lett egy háttércsapata. Az alkalmazás bejelentkeztet, és betölti a garázsodat. ### Melyik identitásban bízik a járműszolgáltatás? 1:01 Az összekapcsolt szolgáltatás összekapcsolja ezt a fiókot a járművekkel és az engedélyezett parancsokkal. Ez a kapcsolat a hasznos válasz. Aki a megbízható ügyfélazonosítót ellenőrzi, az örökölheti a ügyfélnek szánt képességeket. Ausztráliában egy nyilvános kezelőeszköz ügyféladatokat tett közzé olyan interfészeken keresztül, amelyeket a böngésző JavaScriptjében szállított kulcsok védtek. Titok ambiciózus definíciója. Shah identitásadminisztrátori hitelesítő adatokat is talált egy szolgáltatói csomagban, 1:24 és jelentette, hogy azok éles környezetben is működtek. A védelmi rendszer blokkolta az érzékeny útvonalakat. De a szoftverrétegek ugyanazt a kérést eltérően értelmezték. Curry szerint az "edge" a path-t statikus tartalomként kezelte, míg a "backend" egy adminisztrációs konzolt ért el. Az üdvözlőszőnyeg és a zárt ajtó különböző térképeket konzultált. ### Miért számított egy fejlesztői konzol? 1:41 Ez a konzol még mindig elfogadta az alapértelmezett adminisztrátori hitelesítő adatokat, Curry szerint. A gyártási útmutató már most is arra utasítja az operátorokat, hogy távolítsák el vagy védjék meg, és azt mondja, hogy hitelesítése különálló az identitásszolgáltatás hitelesítésétől. Egy másik bejelentkezés rejtőzik az ellenőrzőlista pontjai között. A nyilvánosan elérhető adminisztrációs eszközök lehetővé tették a kód futtatását az identitásszolgáltatáson belül. A kutatók a nyilvános szűrőhatár mögötti ügyfélrekordokhoz fértek hozzá. A perimeter szűrő ellenőrzi a perimeteren áthaladó forgalmat. 2:06 A szolgáltatáson belül már futó folyamatnak eltérő kapcsolata van az adatokkal. Ez magyarázza a többfaktoros problémát az amerikai beszámolóban. Az identitásrekordok szolgáltatták a bejelentkezési információkat és a célt egy e-mailes ellenőrző kódhoz. Az ezen rekordok feletti adminisztratív ellenőrzés lehetővé tette a kutatóknak, hogy befejezzék a bejelentkezést. Az ügyfél upstream definíciója már megváltozott. Shah egy különálló ausztráliai hitelesítési hibás konfigurációt ír le, amely lehetővé tette, hogy a lánca kihagyja az extra faktort. 2:31 A többfaktoros hitelesítés mindenhol hibásnak nevezése eltörölné a fejlesztőknek szükséges konfigurációs részleteket. Tartsa meg az extra faktort. Tartsa meg a rendszert, amely a tulajdonosát is megbízhatónak definiálja. A hitelesítő adatoknak eltérő feladataik vannak. ### Mikor válik egy munkamenet alkalmazás-felhatalmazássá? 2:43 Az adminisztrátori hozzáférés ellenőrzi az identitásrekordokat. Az ügyfél-munkamenet egy befejezett bejelentkezést jelent. A mobilalkalmazás tokeneket szerez be, amelyeket a szolgáltatásai elfogadnak. Ha mindezeket egy "mágikus tokennek" nevezzük, akkor elveszítjük azokat a határokat, amelyek tulajdonosi szintű hozzáférést tettek lehetővé. Curry két meg nem nevezett autógyártó identitáskönyvtárát írja le több régióban. A teljes járműtesztelést az amerikai fiókokra és járművekre korlátozza. Shah egy autógyártót ír le két ausztráliai márka esetében, 3:09 majd szélesebb, kombinált elérhetőséget állít. Ezek a különböző hatókörök nem adnak alapot a vállalatok azonosítására. A Hacker News arról vitatkozik, hogy a telefon feloldásának léteznie kell-e. Egy válasz egy elfelejtett zár ellenőrzésére, valamint az autó hűtésére vagy fűtésére mutat rá. Az emberek szeretik a hasznos funkciókat. Az ügyfelek kényelmének biztosítása a szolgáltatásnak is drága feladatot ró. Ki kell érdemelnie a felhatalmazását. ### Mit is fedett le valójában a javítás? 3:29 Curry jelentése szerint mindkét autógyártó körülbelül két órával azután javította a sebezhetőséget, hogy megkapta, és rotálta az érintett hitelesítő adatokat. Ez az amerikai melléklet idővonala. Shah júliusi beszámolója nem tartalmaz egyező javítási idővonalat. Beszámolója Ausztrália jelenlegi javítási állapotát nem részletezi. A kétórás választ nem tehetjük globális javítási stopperórává. Fejlesztőknek: kezdje az adminisztrációs felülettel. Készítsen leltárt arról, hogy mi van kitéve, és milyen hitelesítési rendszer védi. 3:55 Távolítsa el a nem használt fejlesztői eszközöket. Védje meg a megtartott eszközöket. Vizsgálja felül az egyes rétegek kérésértelmezését, mielőtt az "edge" szabályt az hozzáférés utolsó szavának tekintené. Shah szerint az ausztráliai lánc végül éjfél körül működött, és felnyitott egy autót, amelyet tesztelhettek. Identitás-infrastruktúra kielégítő befejezéssel. Egy írás a másik végének ellenőrzésével érdemli ki a következtetését. 4:14 A háttérrendszer bizalma csak a beszélgetés fele. Curry amerikai beszámolója szerint a képességek a járműmodelltől, az előfizetéstől és az aktív csatlakoztatott szolgáltatásoktól függenek. A támogatott parancsok közé tartozik az ajtó kinyitása és a távoli motorindítás. Egyik írás sem támasztja alá az elvezetést vagy az indításgátló kiiktatását. A bizonyítékok konkrét alkalmazásképességekre és engedélyezett fizikai demonstrációkra vonatkoznak. Kérdezze meg, melyik szolgáltatás változtathatja meg azokat a tényeket, amelyekre az engedélye támaszkodik. A jelszó-visszaállítások és a kapcsolatváltozások azért fontosak, mert más rendszerek 4:41 igazságként fogyasztják őket. Egy érvényes bejelentkezés alapja lehet egy újraírt identitás. Ez az autós történet itt a te alkalmazásod történetévé válik. ### Mi bizonyította, hogy az autó valóban engedelmeskedett? 4:48 Az utolsó ellenőrzés az autó mellett történt. Curry szerint egy elfogadott API parancs önmagában semmit sem bizonyított az autó viselkedéséről. Frissítették az állapotát, és megerősítették a fizikai eredményt a tulajdonossal, aki mellette állt. Shah feloldotta és beindította a járművet, majd leállította és újra lezárta. A bizonyíték a felhajtóig ért. Ha inkább elolvasná ezt, mintsem meghallgatná, a "diff" minden reggel a postaládájába érkezik, ingyenesen a thedailydiff.dev címen, link lent. ### Melyik határt kell felülvizsgálni? 5:10 Tehát, a mai ítélet: FELÜLVIZSGÁLATRA VAN SZÜKSÉG. Auditálnám az ügyfélazonosítóba vezető adminisztratív utakat, mielőtt fizikailag ellenőrzéseket bíznám rájuk. Az Egyesült Államokban jelentett javítás elismerést érdemel. Ki definiálhatja újra a tulajdonost, akiben minden downstream szolgáltatás hisz? És ennyi volt a "diff" mára. Niko vagyok az Axrisi-tól. Felelősségteljesen egyesítsen. ## Források - [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry - [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah - [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity - [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News - [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons - [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons - [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry - [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY - [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies - [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip