# Միացված ավտոմեքենայի ինքնության անվտանգություն. սեփականատիրոջ լիազորություն և ֆիզիկական ապացույց

Published: 2026-11-10

Շուբհամ Շահը և Սեմ Քարին հայտնում են վարչական ինքնության մուտքի մասին, որը հանգեցրել է սեփականատիրոջը համարժեք միացված մեքենայի հավելվածի լիազորության թույլտվություն ունեցող մեքենաների վրա: Նրանց նոյեմբերի 7-ի հրապարակումները նկարագրում են ավելի վաղ կատարված հետազոտությունները: ԱՄՆ-ի ուղեկցող հաշվետվությունը նշում է նույն օրվա շտկումը. Ավստրալիական հուլիսյան առանձին հաշվետվությունը չի նշում դրա ընթացիկ շտկման կարգավիճակը:

Canonical: https://thedailydiff.dev/hy/video/2026-11-09-car-identity-chain/

## Ինչ է ընդգրկում այս տեսանյութը

- Հաճախորդի վստահելի ինքնության վարչական վերահսկողությունը կարող է ազդել ստորին հոսքի հավելվածի ծառայությունների կողմից տրված տրանսպորտային միջոցի լիազորության վրա:
- Քարրին սահմանափակում է ամբողջական տրանսպորտային շղթայի փորձարկումը ԱՄՆ հաշիվներով և տրանսպորտային միջոցներով. տարածաշրջանային տեղեկատուի հասանելիությունը և Շահի ավելի լայն համակցված պնդումը ունեն տարբեր շրջանակներ:
- Մոտ երկու ժամվա արձագանքը պատկանում է ԱՄՆ զեկույցի բացահայտման ժամանակացույցին: Ավստրալիական հաշիվը չի տրամադրում համապատասխան շտկման ամսաթիվ:
- Աջակցվող հրամանները կախված են մոդելից, բաժանորդագրությունից և ակտիվ միացված ծառայություններից: Վարելու կամ իմոբիլայզերը շրջանցելու հնարավորություն չի հաստատվել:
- Հետազոտողները թարմացրել են տրանսպորտային միջոցի կարգավիճակը և հաստատել ֆիզիկական ազդեցությունները սեփականատիրոջ հետ՝ մեքենայի կողքին:
- PingIDM-ի տարբերակված արտադրության ուղեցույցը խորհուրդ է տալիս հեռացնել կամ պաշտպանել մշակման գործիքները և նույնականացնում է առանձին կոնսոլի նույնականացման համակարգ:

## Հարցեր և պատասխաններ

### Ինչպե՞ս է ինքնության սերվերին մուտքը դարձել միացված ավտոմեքենայի լիազորություն:

Վարչական ինքնության մուտքը թույլ է տվել հետազոտողներին ստանալ սեփականատիրոջը համարժեք հավելվածի լիազորություն, ըստ Շուբհամ Շահի և Սեմ Քարրիի: Միացված ծառայությունը հաճախորդի հաշիվները կապում էր տրանսպորտային միջոցների և աջակցվող հրամանների հետ: Նրանց հաշվետվությունը տարբերակում է ադմինիստրատորի մուտքը, ավարտված հաճախորդի նստաշրջանը և բջջային հավելվածի թոքենները, որոնք ընդունվում են նրա ծառայությունների կողմից: Ցուցադրումներն օգտագործել են թույլտվություն ունեցող տրանսպորտային միջոցներ:

### Ի՞նչ են հաստատում հայտնի ամսաթվերը և տարածաշրջանային շրջանակները:

ԱՄՆ զեկույցը նկարագրում է ավելի վաղ հետազոտություն և նույն օրվա շտկում՝ բացահայտումից հետո: Քարրին սահմանափակում է տրանսպորտային միջոցների ամբողջական փորձարկումը ԱՄՆ հաշիվներով և տրանսպորտային միջոցներով, մինչդեռ ազդեցված ինքնության գրացուցակները սպասարկում էին բազմաթիվ տարածաշրջաններ: Շահը առանձին նկարագրում է ավստրալիական հետազոտությունը, որը սկսվել է հուլիսին: Նրա հոդվածը Ավստրալիայի ներկայիս շտկման կարգավիճակը թողնում է չճշտված, ուստի աղբյուրները չեն հաստատում մեկ համաշխարհային բացահայտման կամ վերանորոգման ժամանակացույց:

### Ի՞նչ է ասվում արտադրության ամրապնդման ուղեցույցում մշակման կոնսոլների մասին:

Հեռացրեք կամ պաշտպանեք մշակման և վրիպազերծման գործիքները արտադրությունից առաջ, ըստ Ping Identity-ի տարբերակված անվտանգության ուղեցույցի: Այն նույնականացնում է կոնսոլը որպես նույնականացում, որը առանձին է ինքնության արտադրանքի նույնականացումից: Այդ տարբերությունը կոնսոլը դարձնում է իր սեփական վերանայման սահմանը: Դրվագը խորհուրդ է տալիս գույքագրել վարչական մակերեսները և ստուգել, թե որ նույնականացման համակարգն է պաշտպանում յուրաքանչյուրը:

### Ինչպե՞ս են հետազոտողները հաստատել տրանսպորտային միջոցի ֆիզիկական արդյունքը:

Նրանք թարմացրել են տրանսպորտային միջոցի կարգավիճակը և ստուգել ֆիզիկական արդյունքը սեփականատիրոջ հետ՝ մեքենայի կողքին, ըստ Շահի և Քարրիի ԱՄՆ զեկույցի: Միայն API-ի ընդունումը չի ապացուցել գործողություն: Շահը բացել և գործարկել է մեքենան, ապա կանգնեցրել է այն և նորից կողպել: Հայտնի ապացույցները ներառում են աջակցվող հավելվածի հրամանները. հեռանալը կամ իմոբիլայզերի շրջանցումը չի հաստատվել:

### Ի՞նչ էր The Daily Diff-ի դատավճիռը ինքնության վստահության սահմանի վերաբերյալ:

The Daily Diff-ի դատավճիռը ՊԱՀԱՆՋՈՒՄ Է ՎԵՐԱՆԱՅՈՒՄ էր: Նիկոն կստուգեի վարչական ուղիները դեպի վստահելի հաճախորդի ինքնությունը՝ նախքան դրանց վրա հիմնվելը ֆիզիկական հսկիչների համար, միաժամանակ վարկելով հայտնի ԱՄՆ շտկումը: Շահի և Քարրիի հաշվետվությունները ցույց են տալիս, թե ինչու է ինքնության գրառումների վերին հոսքի վերահսկողությունը կարևոր ստորին հոսքի թույլտվության համար: Դատավճիռը չի պնդում շարունակական համաշխարհային խոցելիություն:

## Գլուխներ

- 0:00 Ինչպե՞ս մուտքը դարձավ մեքենայի բանալի:
- 0:33 Ի՞նչ է նոր հրապարակվել, և ի՞նչն էր արդեն շտկված:
- 0:59 Ո՞ր ինքնությանն է վստահում տրանսպորտային միջոցի ծառայությունը:
- 1:41 Ինչո՞ւ էր կարևոր մշակման կոնսոլը:
- 2:42 Ե՞րբ է նստաշրջանը դառնում հավելվածի լիազորություն:
- 3:29 Ի՞նչ էր իրականում ներառում շտկումը:
- 4:48 Ի՞նչն ապացուցեց, որ մեքենան իրականում ենթարկվեց:
- 5:10 Ո՞ր սահմանն է պահանջում վերանայում:

## Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

### Ինչպե՞ս մուտքը դարձավ մեքենայի բանալի:

0:00 Ձեր մեքենայի հավելվածը ստուգում է, որ դուք սեփականատերն եք: Հետազոտողները փոխարենը ստիպել են նրա ինքնության սերվերին երաշխավորել իրենց: Այս տեսանյութում, ինչպե՞ս մուտքը դարձավ մեքենայի լիազորություն: Եվ ի՞նչն ապացուցեց, որ մեքենան իրականում ենթարկվեց: Երկուշաբթի է, նոյեմբերի ինը, և սա The Daily Diff-ն է: Մեկ վերջին ստուգումը տարբերում է համոզիչ էկրանը բացված մեքենայից: Միացված մեքենայի ծառայությունները սեփականատիրոջ հեռախոսի հավելվածի հետևում գտնվող առցանց համակարգերն են: Շուբհամ Շահը և Սեմ Քարրին հայտնում են, որ վարչական ինքնության մուտքը թույլ է տվել նրանց

0:25 ստանալ նույն հավելվածի լիազորությունը, ինչ սեփականատերը: Նրանք ցուցադրել են հեռակա հրամաններ՝ թույլտվություն ունեցող մեքենաների վրա: Նրանց ԱՄՆ հաշվետվության մեջ ասվում է, որ թերությունները շտկվել են բացահայտումից հետո:

### Ի՞նչ է նոր հրապարակվել, և ի՞նչն էր արդեն շտկված:

0:33 Երկու հոդվածներն էլ հայտնվել են նոյեմբերի յոթին: Քարրին իր բացահայտումը թվագրում է այս տարվա սկզբին: Շահը նկարագրում է ավստրալիական հետազոտությունը, որը սկսվել է հուլիսին: Դրանք տարբեր ժամանակացույցեր են: Դրանք որպես մեկ համաշխարհային արտակարգ իրավիճակ ընթերցելը վերնագրին ավելի շատ ձիաուժ կհաղորդեր քան ապացույցները: Շահը 2023 թվականին գնել է անանուն ավտոարտադրողի ամենագնացներից մեկը: Ո՞ր ինտերնետ ծառայությունն է ստանում հպումը, երբ ես բացում եմ իմ մեքենան:

0:53 Նա և Քարրին երկու շաբաթ անցկացրել են ինքնության համակարգը ուսումնասիրելով: Բանալու ֆոբը ձեռք է բերել backend թիմ: Հավելվածը մուտք է գործում ձեզ և բեռնում ձեր ավտոտնակը:

### Ո՞ր ինքնությանն է վստահում տրանսպորտային միջոցի ծառայությունը:

1:01 Միացված ծառայությունը կապում է այդ հաշիվը տրանսպորտային միջոցների և թույլատրված հրամանների հետ: Այդ հարաբերությունն է օգտակար պատասխանը: Ով վերահսկում է վստահելի հաճախորդի ինքնությունը, կարող է ժառանգել հաճախորդի համար նախատեսված հնարավորությունները: հաճախորդի համար նախատեսված հնարավորությունները: Ավստրալիայում հանրային կառավարման գործիքը հաճախորդի տեղեկատվությունը բացահայտել է ինտերֆեյսների միջոցով, որոնք պաշտպանված են բրաուզերի JavaScript-ով առաքված բանալիներով: Գաղտնիի հավակնոտ սահմանում: Շահը նաև հայտնաբերել է ինքնության ադմինիստրատորի հավատարմագրեր մատակարարի փաթեթում,

1:24 և հայտնել է, որ դրանք աշխատել են արտադրության մեջ: Պարագիծը արգելափակել է զգայուն երթուղիները: Բայց ծրագրային ապահովման շերտերը նույն հարցումը տարբեր կերպ են մեկնաբանել: Քարրին ասում է, որ եզրը ուղին վերաբերվել է որպես ստատիկ բովանդակության, մինչդեռ backend-ը հասել է ադմինիստրատիվ կոնսոլին: Ողջույնի գորգը և կողպված դուռը խորհրդակցում էին տարբեր քարտեզներ:

### Ինչո՞ւ էր կարևոր մշակման կոնսոլը:

1:41 Այդ կոնսոլը դեռ ընդունում էր լռելյայն ադմինիստրատորի հավատարմագրերը, ըստ Քարրիի: Արտադրության ուղեցույցն արդեն հուշում է օպերատորներին հեռացնել կամ պաշտպանել այն, և ասում է, որ դրա նույնականացումը առանձին է ինքնության արտադրանքի նույնականացումից: Մեկ այլ մուտք՝ թաքնված ստուգաթերթի կետերի միջև: Բացահայտված ադմինիստրատիվ գործիքները թույլ են տվել կոդին աշխատել ինքնության ծառայության ներսում: Հետազոտողները մուտք են ստացել հաճախորդների գրառումներ՝ հանրային ֆիլտրման սահմանից այն կողմ: Պարագծային ֆիլտրը ստուգում է այդ պարագիծը հատող տրաֆիկը:

2:06 Ծառայության ներսում գտնվող գործընթացը տվյալների հետ այլ հարաբերություն ունի: Սա բացատրում է բազմագործոն խնդիրը ԱՄՆ հաշվետվության մեջ: Ինքնության գրառումները տրամադրել են մուտքի տվյալները և նպատակակետը էլեկտրոնային փոստի ստուգման կոդի համար: Այդ գրառումների նկատմամբ վարչական վերահսկողությունը թույլ է տվել հետազոտողներին ավարտել մուտքը: Հաճախորդի վերին հոսքի սահմանումն արդեն փոխվել էր: Շահը նկարագրում է ավստրալիական առանձին նույնականացման սխալ կազմաձևում, որը թույլ է տվել իր շղթային բաց թողնել լրացուցիչ գործոնը:

2:31 Բազմագործոն նույնականացումն ամենուր անսարք անվանելը կջնջի կազմաձևման մանրամասները, որոնք անհրաժեշտ են մշակողներին: Պահպանեք ձեր լրացուցիչ գործոնը: Պահպանեք համակարգը, որը սահմանում է իր սեփականատիրոջը նույնպես վստահելի: Հավատարմագրերն ունեն տարբեր աշխատանքներ:

### Ե՞րբ է նստաշրջանը դառնում հավելվածի լիազորություն:

2:43 Ադմինիստրատորի մուտքը վերահսկում է ինքնության գրառումները: Հաճախորդի նստաշրջանը ներկայացնում է ավարտված մուտքը: Բջջային հավելվածը ստանում է իր ծառայությունների կողմից ընդունված թոքեններ: Դրանք բոլորը կախարդական թոքեն անվանելը կորցնում է այն սահմանները, որոնք հնարավոր են դարձրել սեփականատիրոջը համարժեք մուտքը: Քարրին նկարագրում է երկու անանուն ավտոարտադրողների ինքնության գրացուցակները՝ բազմաթիվ տարածաշրջաններում: Նա սահմանափակում է տրանսպորտային միջոցների ամբողջական փորձարկումը ԱՄՆ հաշիվներով և տրանսպորտային միջոցներով: Շահը նկարագրում է մեկ ավտոարտադրողի երկու ավստրալիական ապրանքանիշերում,

3:09 ապա պնդում է ավելի լայն համակցված հասանելիություն: Այդ տարբեր շրջանակները մեզ հիմք չեն տալիս բացահայտել ընկերությունները: Hacker News-ը վիճում է, թե արդյոք հեռախոսի ապակողպումը պետք է գոյություն ունենա: Մեկ պատասխան մատնանշում է մոռացված կողպեքի ստուգումը և մեքենայի սառեցումը կամ տաքացումը: Մարդիկ սիրում են օգտակար գործառույթներ: Հաճախորդներին հարմարավետություն տրամադրելը նաև ծառայությանը թանկարժեք աշխատանք է տալիս: Այն պետք է վաստակի իր լիազորությունը:

### Ի՞նչ էր իրականում ներառում շտկումը:

3:29 Քարրին հայտնում է, որ երկու ավտոարտադրողներն էլ շտկել են խոցելիությունը ստանալուց մոտ երկու ժամ հետո և պտտել են ազդեցված հավատարմագրերը: Դա ԱՄՆ զեկույցի ժամանակացույցն է: Շահի հուլիսյան հաշվետվությունը չի տրամադրում համապատասխան շտկման ժամանակացույց: Նրա հաշվետվությունը Ավստրալիայի ներկայիս շտկման կարգավիճակը թողնում է չճշտված: Մենք չենք կարող երկու ժամվա արձագանքը վերածել համաշխարհային վերանորոգման վայրկենաչափի: Մշակողների համար սկսեք վարչական մակերեսից: Գույքագրեք, թե ինչն է բացահայտված, և որ նույնականացման համակարգն է պաշտպանում այն:

3:55 Հեռացրեք չօգտագործված մշակման գործիքները: Պաշտպանեք այն գործիքները, որոնք պահպանում եք: Վերանայեք յուրաքանչյուր շերտի հարցման մեկնաբանությունը՝ նախքան եզրային կանոնը որպես մուտքի վերջին խոսք ընդունելը: Շահն ասում է, որ ավստրալիական շղթան վերջապես աշխատել է կեսգիշերին մոտ, բացելով մեքենան, որը նրանց թույլատրվել էր փորձարկել: Ինքնության խողովակաշար՝ բավարարող ավարտով: Հոդվածը վաստակում է իր եզրակացությունը՝ ստուգելով մյուս ծայրը:

4:14 Backend-ի վստահությունը խոսակցության միայն կեսն է: Քարրիի ԱՄՆ հաշվետվության մեջ ասվում է, որ հնարավորությունները կախված են տրանսպորտային միջոցի մոդելից, բաժանորդագրությունից և ակտիվ միացված ծառայություններից: Աջակցվող հրամանները ներառում են դռների ապակողպում և շարժիչի հեռակա գործարկում: Ոչ մի հոդված չի հաստատում հեռանալը կամ իմոբիլայզերի շրջանցումը: Ապացույցները ներառում են հավելվածի կոնկրետ հնարավորությունները և թույլտվություն ունեցող ֆիզիկական ցուցադրումները: Հարցրեք, թե որ ծառայությունը կարող է փոխել այն փաստերը, որոնց վրա հիմնված է ձեր թույլտվությունը: Գաղտնաբառի վերականգնումները և կոնտակտային տվյալների փոփոխությունները կարևոր են, քանի որ այլ համակարգեր դրանք ընդունում են որպես ճշմարտություն:

4:41 դրանք որպես ճշմարտություն: Վավեր մուտքը կարող է հիմնված լինել վերագրված ինքնության վրա: Այս մեքենայի պատմությունը ձեր հավելվածի պատմությունն է դառնում այնտեղ:

### Ի՞նչն ապացուցեց, որ մեքենան իրականում ենթարկվեց:

4:48 Վերջնական ստուգումը տեղի է ունեցել մեքենայի կողքին: Քարրին ասում է, որ միայն ընդունված API հրամանը ոչինչ չի ապացուցել մեքենայի վարքի մասին: Նրանք թարմացրել են դրա կարգավիճակը և հաստատել ֆիզիկական արդյունքը՝ սեփականատիրոջ կողքին կանգնած: Շահը բացել և գործարկել է մեքենան, ապա կանգնեցրել է այն և նորից կողպել: Ապացույցը հասել է ճանապարհին: Եթե նախընտրում եք կարդալ սա, քան լսել, թե ինչպես եմ ես դա ասում, ապա տարբերությունը հայտնվում է ձեր մուտքի արկղում ամեն առավոտ, անվճար the daily diff dot dev կայքում, հղումը՝ ստորև:

### Ո՞ր սահմանն է պահանջում վերանայում:

5:10 Այսպիսով, այսօրվա դատավճիռը՝ ՊԱՀԱՆՋՈՒՄ Է ՎԵՐԱՆԱՅՈՒՄ: Ես կստուգեի վարչական ուղիները դեպի հաճախորդի ինքնությունը՝ նախքան դրան վստահելը ֆիզիկական հսկիչներով: Հայտնի ԱՄՆ շտկումը արժանի է վարկի: Ով կարող է վերասահմանել այն սեփականատիրոջը, որին հավատում է յուրաքանչյուր ստորին հոսքի ծառայություն: Եվ այսքանը այսօրվա տարբերության համար: Ես Նիկոն եմ Axrisi-ից: Միավորեք պատասխանատվությամբ:

## Աղբյուրներ

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip