# Keamanan identitas mobil terhubung: otoritas pemilik dan bukti fisik Published: 2026-11-10 Shubham Shah dan Sam Curry melaporkan akses identitas administratif yang mengarah pada otoritas aplikasi mobil terhubung setara pemilik pada kendaraan yang diizinkan. Publikasi mereka pada 7 November menjelaskan penelitian sebelumnya. Laporan pendamping AS melaporkan remediasi pada hari yang sama; laporan terpisah Australia pada bulan Juli meninggalkan status remediasi saat ini yang tidak ditentukan. Canonical: https://thedailydiff.dev/id/video/2026-11-09-car-identity-chain/ ## Isi video ini - Kontrol administratif atas identitas pelanggan tepercaya dapat memengaruhi otoritas kendaraan yang diberikan oleh layanan aplikasi hilir. - Curry membatasi pengujian rantai kendaraan lengkap pada akun dan kendaraan AS; jangkauan direktori regional dan klaim gabungan Shah yang lebih luas memiliki cakupan yang berbeda. - Tanggapan sekitar dua jam termasuk dalam garis waktu pengungkapan pendamping AS. Akun Australia tidak memberikan tanggal perbaikan yang cocok. - Perintah yang didukung tergantung pada model, langganan, dan layanan terhubung yang aktif. Pengemudian atau penonaktifan immobilizer tidak ditetapkan. - Para peneliti menyegarkan status kendaraan dan mengonfirmasi efek fisik dengan pemilik di samping kendaraan. - Panduan produksi berversi PingIDM merekomendasikan untuk menghapus atau melindungi alat pengembangan dan mengidentifikasi sistem autentikasi konsol yang terpisah. ## Pertanyaan dan jawaban ### Bagaimana akses server identitas menjadi otoritas mobil terhubung? Akses identitas administratif memungkinkan para peneliti memperoleh otoritas aplikasi yang setara dengan pemilik, menurut Shubham Shah dan Sam Curry. Layanan terhubung mengaitkan akun pelanggan dengan kendaraan dan perintah yang didukung. Akun mereka membedakan akses administrator, sesi pelanggan yang telah selesai, dan token aplikasi seluler yang diterima oleh layanannya. Demonstrasi menggunakan kendaraan yang diizinkan. ### Apa yang ditetapkan oleh tanggal dan cakupan regional yang dilaporkan? Pendamping AS menjelaskan penelitian sebelumnya dan perbaikan pada hari yang sama setelah pengungkapan. Curry membatasi pengujian rantai kendaraan lengkap pada akun dan kendaraan AS, sementara direktori identitas yang terpengaruh melayani berbagai wilayah. Shah secara terpisah menjelaskan penelitian Australia yang dimulai pada bulan Juli. Artikelnya membiarkan status perbaikan Australia saat ini tidak ditentukan, sehingga sumber tidak menetapkan satu penemuan atau garis waktu perbaikan di seluruh dunia. ### Apa yang dikatakan panduan pengerasan produksi tentang konsol pengembangan? Hapus atau lindungi alat pengembangan dan debug sebelum produksi, menurut panduan keamanan berversi Ping Identity. Ini mengidentifikasi konsol memiliki autentikasi yang terpisah dari autentikasi produk identitas. Perbedaan itu menjadikan konsol sebagai batas tinjauannya sendiri. Episode ini merekomendasikan inventarisasi permukaan administratif dan memeriksa sistem autentikasi mana yang melindungi masing-masing. ### Bagaimana para peneliti mengkonfirmasi hasil kendaraan fisik? Mereka menyegarkan status kendaraan dan memeriksa hasil fisik dengan pemilik di samping kendaraan, menurut pendamping Shah dan Curry di AS. Penerimaan API saja tidak membuktikan tindakan. Shah membuka kunci dan menyalakan kendaraan, lalu menghentikannya dan menguncinya lagi. Bukti yang dilaporkan mencakup perintah aplikasi yang didukung; pengemudian atau penonaktifan immobilizer tidak ditetapkan. ### Apa putusan The Daily Diff tentang batas kepercayaan identitas? Putusan The Daily Diff adalah NEEDS REVIEW. Niko akan mengaudit jalur administratif ke identitas pelanggan tepercaya sebelum mengandalkannya untuk kontrol fisik, sambil memuji perbaikan AS yang dilaporkan. Akun Shah dan Curry menunjukkan mengapa kontrol hulu atas catatan identitas penting untuk otorisasi hilir. Putusan ini tidak menyatakan kerentanan yang sedang berlangsung di seluruh dunia. ## Bab - 0:00 Bagaimana login menjadi kunci mobil? - 0:33 Apa yang baru dipublikasikan, dan apa yang sudah diperbaiki? - 0:59 Identitas mana yang dipercayai layanan kendaraan? - 1:41 Mengapa konsol pengembangan penting? - 2:42 Kapan sesi menjadi otoritas aplikasi? - 3:29 Apa yang sebenarnya dicakup oleh perbaikan? - 4:48 Apa yang membuktikan bahwa mobil benar-benar patuh? - 5:10 Batas mana yang perlu ditinjau? ## Transkrip terjemahan Diterjemahkan dari narasi asli bahasa Inggris. Audio dan teks tersedia yang dikontrol oleh YouTube. ### Bagaimana login menjadi kunci mobil? 0:00 Aplikasi mobil Anda memeriksa bahwa Anda adalah pemiliknya. Para peneliti malah membuat server identitasnya menjamin mereka. Dalam video ini, bagaimana login menjadi otoritas kendaraan? Dan apa yang membuktikan bahwa mobil benar-benar patuh? Ini hari Senin, sembilan November, dan ini adalah The Daily Diff. Satu pemeriksaan terakhir memisahkan layar yang meyakinkan dari mobil yang tidak terkunci. Layanan mobil terhubung adalah sistem online di balik aplikasi ponsel pemilik. Shubham Shah dan Sam Curry melaporkan bahwa akses identitas administratif memungkinkan mereka 0:25 memperoleh otoritas aplikasi yang sama dengan pemilik. Mereka mendemonstrasikan perintah jarak jauh pada kendaraan yang diizinkan. Akun AS mereka mengatakan bahwa cacat tersebut diperbaiki setelah pengungkapan. ### Apa yang baru dipublikasikan, dan apa yang sudah diperbaiki? 0:33 Kedua tulisan itu muncul pada tujuh November. Curry memberi tanggal pengungkapannya pada awal tahun ini. Shah menjelaskan penelitian Australia yang dimulai pada bulan Juli. Itu adalah garis waktu yang berbeda. Membacanya sebagai satu keadaan darurat di seluruh dunia akan memberi berita utama lebih banyak tenaga daripada bukti. Shah membeli salah satu SUV pabrikan yang tidak disebutkan namanya pada tahun dua ribu dua puluh tiga. Layanan internet mana yang menerima ketukan saat saya membuka kunci mobil saya? 0:53 Dia dan Curry menghabiskan dua minggu memeriksa sistem identitas. Kunci pintar telah mendapatkan tim backend. Aplikasi ini membuat Anda masuk dan memuat garasi Anda. ### Identitas mana yang dipercayai layanan kendaraan? 1:01 Layanan terhubung mengaitkan akun tersebut dengan kendaraan dan perintah yang diizinkan. Hubungan itu adalah jawaban yang berguna. Siapa pun yang mengendalikan identitas pelanggan tepercaya dapat mewarisi kemampuan yang dimaksudkan untuk pelanggan. Di Australia, alat manajemen publik mengekspos informasi pelanggan melalui antarmuka yang dilindungi oleh kunci yang dikirim dalam JavaScript browser. Definisi rahasia yang ambisius. Shah juga menemukan kredensial administrator identitas dalam bundel vendor, 1:24 dan melaporkan bahwa mereka berfungsi dalam produksi. Perimeter memblokir rute sensitif. Tetapi lapisan perangkat lunak menafsirkan permintaan yang sama secara berbeda. Curry mengatakan bahwa ujung memperlakukan jalur sebagai konten statis sementara backend mencapai konsol administrasi. Tikar selamat datang dan pintu terkunci sedang berkonsultasi dengan peta yang berbeda. ### Mengapa konsol pengembangan penting? 1:41 Konsol itu masih menerima kredensial administrator default, menurut Curry. Panduan produksi sudah memberitahu operator untuk menghapus atau melindunginya, dan mengatakan bahwa autentikasinya terpisah dari autentikasi produk identitas. Login lain bersembunyi di antara poin-poin daftar periksa. Alat administrasi yang terekspos memungkinkan kode berjalan di dalam layanan identitas. Para peneliti mengakses catatan pelanggan di belakang batas penyaringan publik. Filter perimeter memeriksa lalu lintas yang melintasi perimeter itu. 2:06 Proses yang sudah ada di dalam layanan memiliki hubungan yang berbeda dengan data. Ini menjelaskan masalah multi-faktor dalam akun AS. Catatan identitas menyediakan informasi login dan tujuan untuk kode verifikasi email. Kontrol administratif atas catatan tersebut memungkinkan para peneliti menyelesaikan login. Definisi pelanggan di hulu sudah berubah. Shah menjelaskan kesalahan konfigurasi autentikasi Australia terpisah yang memungkinkan rantainya melewati faktor tambahan. 2:31 Mengatakan autentikasi multi-faktor rusak di mana-mana akan menghapus detail konfigurasi yang dibutuhkan pengembang. Pertahankan faktor tambahan Anda. Pertahankan juga sistem yang mendefinisikan pemiliknya dapat dipercaya. Kredensial memiliki pekerjaan yang berbeda. ### Kapan sesi menjadi otoritas aplikasi? 2:43 Akses administrator mengontrol catatan identitas. Sesi pelanggan mewakili masuk yang telah selesai. Aplikasi seluler memperoleh token yang diterima oleh layanannya. Mengatakan semua itu adalah token ajaib menghilangkan batasan yang membuat akses setara pemilik menjadi mungkin. Curry menjelaskan direktori identitas dua pabrikan mobil yang tidak disebutkan namanya di berbagai wilayah. Dia membatasi pengujian kendaraan lengkap pada akun dan kendaraan AS. Shah menjelaskan satu pabrikan mobil di dua merek Australia, 3:09 kemudian mengklaim jangkauan gabungan yang lebih luas. Cakupan yang berbeda ini tidak memberi kita dasar untuk mengidentifikasi perusahaan. Hacker News memperdebatkan apakah membuka kunci ponsel harus ada. Satu balasan menunjuk pada pemeriksaan kunci yang terlupa dan mendinginkan atau menghangatkan mobil. Orang-orang menyukai fitur yang berguna. Memberi pelanggan kenyamanan juga memberi layanan pekerjaan yang mahal. Ia harus mendapatkan otoritasnya. ### Apa yang sebenarnya dicakup oleh perbaikan? 3:29 Curry melaporkan kedua pabrikan mobil memperbaiki kerentanan sekitar dua jam setelah menerimanya dan memutar kredensial yang terpengaruh. Itu adalah garis waktu pendamping AS. Akun Shah bulan Juli tidak memberikan garis waktu perbaikan yang cocok. Akunnya membiarkan status perbaikan Australia saat ini tidak ditentukan. Kita tidak dapat mengubah respons dua jam menjadi stopwatch perbaikan global. Untuk pengembang, mulailah dengan permukaan administrasi. Inventarisir apa yang terekspos dan sistem autentikasi mana yang melindunginya. 3:55 Hapus alat pengembangan yang tidak digunakan. Lindungi alat yang Anda pertahankan. Tinjau interpretasi permintaan setiap lapisan sebelum memperlakukan aturan batas sebagai kata terakhir tentang akses. Shah mengatakan rantai Australia akhirnya bekerja sekitar tengah malam, membuka mobil yang diizinkan untuk mereka uji. Sistem identitas dengan akhir yang memuaskan. Sebuah tulisan mendapatkan kesimpulannya dengan memeriksa ujung yang lain. 4:14 Kepercayaan backend hanyalah setengah dari percakapan. Akun AS Curry mengatakan kemampuan tergantung pada model kendaraan, langganan, dan layanan terhubung yang aktif. Perintah yang didukung termasuk membuka kunci pintu dan menyalakan mesin jarak jauh. Tidak ada tulisan yang menetapkan pengemudian atau penonaktifan immobilizer. Bukti mencakup kemampuan aplikasi tertentu dan demonstrasi fisik yang diizinkan. Tanyakan layanan mana yang dapat mengubah fakta yang diandalkan otorisasi Anda. Pengaturan ulang kata sandi dan perubahan kontak penting karena sistem lain mengonsumsinya 4:41 sebagai kebenaran. Login yang valid dapat didasarkan pada identitas yang ditulis ulang. Kisah mobil ini menjadi kisah aplikasi Anda di sana. ### Apa yang membuktikan bahwa mobil benar-benar patuh? 4:48 Pemeriksaan terakhir terjadi di samping mobil. Curry mengatakan perintah API yang diterima saja tidak membuktikan apa pun tentang perilaku mobil. Mereka menyegarkan statusnya dan mengonfirmasi hasil fisik dengan pemilik yang berdiri di sampingnya. Shah membuka kunci dan menyalakan kendaraan, lalu menghentikannya dan menguncinya lagi. Bukti mencapai jalan masuk. Jika Anda lebih suka membaca ini daripada mendengar saya mengatakannya, perbedaan akan tiba di kotak masuk Anda setiap pagi, gratis di daily diff dot dev, tautan di bawah. ### Batas mana yang perlu ditinjau? 5:10 Jadi, putusan hari ini, NEEDS REVIEW. Saya akan mengaudit jalur administratif ke identitas pelanggan sebelum mempercayainya dengan kontrol fisik. Perbaikan AS yang dilaporkan pantas mendapat pujian. Siapa yang dapat mendefinisikan ulang pemilik yang dipercaya setiap layanan hilir? Dan itulah perbedaan untuk hari ini. Saya Niko dari Axrisi. Gabungkan dengan bertanggung jawab. ## Sumber - [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry - [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah - [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity - [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News - [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons - [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons - [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry - [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY - [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies - [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip