សុវត្ថិភាពអត្តសញ្ញាណរថយន្តភ្ជាប់៖ សិទ្ធិអំណាចម្ចាស់ និងភស្តុតាងជាក់ស្តែង

អ្វីដែលវីដេអូនេះគ្របដណ្ដប់

• ការគ្រប់គ្រងរដ្ឋបាលលើអត្តសញ្ញាណអតិថិជនដែលទុកចិត្តអាចប៉ះពាល់ដល់សិទ្ធិអំណាចយានយន្តដែលត្រូវបានផ្តល់ដោយសេវាកម្មកម្មវិធីបន្តបន្ទាប់។
• Curry កំណត់ការធ្វើតេស្តខ្សែសង្វាក់យានយន្តពេញលេញទៅគណនី និងយានយន្តរបស់សហរដ្ឋអាមេរិក។ វិសាលភាពនៃថតក្នុងតំបន់ និងការអះអាងរួមគ្នាកាន់តែទូលំទូលាយរបស់ Shah មានវិសាលភាពខុសគ្នា។
• ការឆ្លើយតបប្រហែលពីរម៉ោងជាកម្មសិទ្ធិរបស់កាលវិភាគនៃការលាតត្រដាងរបស់ដៃគូសហរដ្ឋអាមេរិក។ គណនីអូស្ត្រាលីមិនបានផ្តល់កាលបរិច្ឆេទកែតម្រូវដែលត្រូវគ្នាទេ។
• ពាក្យបញ្ជាដែលគាំទ្រអាស្រ័យលើម៉ូដែល ការជាវ និងសេវាកម្មភ្ជាប់សកម្ម។ ការបើកបរ ឬការបិទឧបករណ៍ទប់ស្កាត់មិនត្រូវបានបង្កើតឡើងទេ។
• អ្នកស្រាវជ្រាវបានធ្វើបច្ចុប្បន្នភាពស្ថានភាពយានយន្ត និងបានបញ្ជាក់ពីផលប៉ះពាល់ជាក់ស្តែងជាមួយម្ចាស់នៅក្បែរយានយន្ត។
• ការណែនាំអំពីការផលិតដែលមានកំណែរបស់ PingIDM ណែនាំឱ្យដកចេញ ឬការពារឧបករណ៍អភិវឌ្ឍន៍ និងកំណត់អត្តសញ្ញាណប្រព័ន្ធផ្ទៀងផ្ទាត់កុងសូលដាច់ដោយឡែកមួយ។

កំណត់ត្រាដែលបានបកប្រែ

បកប្រែចេញពីការនិទានដើមជាភាសាអង់គ្លេស។ សំឡេង និងចំណងជើងរងដែលមានគឺស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ YouTube។

តើការចូលប្រើក្លាយជាសោរឡានដោយរបៀបណា?

0:00 កម្មវិធីឡានរបស់អ្នកពិនិត្យមើលថាអ្នកជាម្ចាស់។ អ្នកស្រាវជ្រាវបានធ្វើឱ្យម៉ាស៊ីនមេអត្តសញ្ញាណរបស់វាធានាឱ្យពួកគេវិញ។ នៅក្នុងវីដេអូនេះ តើការចូលប្រើក្លាយជាសិទ្ធិអំណាចយានយន្តដោយរបៀបណា? ហើយតើអ្វីបានបង្ហាញថាឡានពិតជាស្តាប់បង្គាប់? នេះជាថ្ងៃច័ន្ទ ទី៩ ខែវិច្ឆិកា ហើយនេះគឺជា The Daily Diff។ ការត្រួតពិនិត្យចុងក្រោយមួយបំបែកអេក្រង់ដ៏គួរឱ្យជឿពីឡានដែលមិនទាន់ចាក់សោរ។ សេវាកម្មរថយន្តភ្ជាប់គឺជាប្រព័ន្ធអនឡាញនៅពីក្រោយកម្មវិធីទូរស័ព្ទរបស់ម្ចាស់។ Shubham Shah និង Sam Curry រាយការណ៍ថាការចូលប្រើអត្តសញ្ញាណរដ្ឋបាលបានអនុញ្ញាតឱ្យពួកគេ

0:25 ទទួលបានសិទ្ធិអំណាចកម្មវិធីដូចម្ចាស់។ ពួកគេបានបង្ហាញពាក្យបញ្ជាពីចម្ងាយនៅលើយានយន្តដែលមានការអនុញ្ញាត។ គណនីសហរដ្ឋអាមេរិករបស់ពួកគេនិយាយថាចំណុចខ្វះខាតត្រូវបានជួសជុលបន្ទាប់ពីការលាតត្រដាង។

តើមានអ្វីត្រូវបានបោះពុម្ពផ្សាយថ្មី និងអ្វីដែលត្រូវបានកែតម្រូវរួចហើយ?

0:33 ការសរសេរទាំងពីរបានលេចឡើងនៅថ្ងៃទីប្រាំពីរ ខែវិច្ឆិកា។ Curry កំណត់កាលបរិច្ឆេទនៃការលាតត្រដាងរបស់គាត់នៅដើមឆ្នាំនេះ។ Shah រៀបរាប់ពីការស្រាវជ្រាវអូស្ត្រាលីដែលចាប់ផ្តើមនៅខែកក្កដា។ ទាំងនេះជាកាលវិភាគខុសគ្នា។ ការអានពួកវាជាអាសន្នពិភពលោកមួយនឹងផ្តល់ចំណងជើងកម្លាំងខ្លាំងជាង ភស្តុតាង។ Shah បានទិញរថយន្ត SUV មួយក្នុងចំណោមរថយន្ត SUV របស់ក្រុមហ៊ុនផលិតដែលមិនបញ្ចេញឈ្មោះនៅឆ្នាំ ២០២៣។ តើសេវាកម្មអ៊ីនធឺណិតណាដែលទទួលការចុចនៅពេលខ្ញុំដោះសោរឡានរបស់ខ្ញុំ?

0:53 គាត់ និង Curry បានចំណាយពេលពីរខែដើម្បីពិនិត្យប្រព័ន្ធអត្តសញ្ញាណ។ សោរឆ្លាតវៃបានទទួលក្រុមបម្រុង។ កម្មវិធីចូលអ្នកហើយផ្ទុកយានដ្ឋានរបស់អ្នក។

តើសេវាកម្មយានយន្តទុកចិត្តអត្តសញ្ញាណណា?

1:01 សេវាកម្មភ្ជាប់ភ្ជាប់គណនីនោះជាមួយយានយន្ត និងត្រូវបានអនុញ្ញាត ពាក្យបញ្ជា។ ទំនាក់ទំនងនោះគឺជាចម្លើយដ៏មានប្រយោជន៍។ អ្នកណាដែលគ្រប់គ្រងអត្តសញ្ញាណអតិថិជនដែលទុកចិត្តអាចទទួលមរតកនូវសមត្ថភាពដែលបានបម្រុងទុក សម្រាប់អតិថិជន។ នៅប្រទេសអូស្ត្រាលី ឧបករណ៍គ្រប់គ្រងសាធារណៈបានបង្ហាញព័ត៌មានអតិថិជនតាមរយៈ ចំណុចប្រទាក់ដែលត្រូវបានការពារដោយសោរដែលបានដឹកជញ្ជូននៅក្នុង JavaScript របស់កម្មវិធីរុករក។ និយមន័យមហិច្ឆតានៃអាថ៌កំបាំង។ Shah ក៏បានរកឃើញអត្តសញ្ញាណអ្នកគ្រប់គ្រងនៅក្នុងកញ្ចប់អ្នកលក់ផងដែរ

1:24 ហើយបានរាយការណ៍ថាពួកគេបានដំណើរការក្នុងការផលិត។ បរិវេណបានបិទផ្លូវរសើប។ ប៉ុន្តែស្រទាប់កម្មវិធីបានបកស្រាយសំណើដូចគ្នាខុសគ្នា។ Curry និយាយថាគែមបានចាត់ទុកផ្លូវមួយជាមាតិកាឋិតថេរ ខណៈដែល backend ទៅដល់ កុងសូលគ្រប់គ្រង។ កម្រាលស្វាគមន៍ និងទ្វារចាក់សោរកំពុងពិគ្រោះផែនទីផ្សេងគ្នា។

ហេតុអ្វីបានជាកុងសូលអភិវឌ្ឍន៍មានសារៈសំខាន់?

1:41 កុងសូលនោះនៅតែទទួលយកអត្តសញ្ញាណអ្នកគ្រប់គ្រងលំនាំដើម យោងតាម Curry។ ការណែនាំអំពីការផលិតបានប្រាប់ប្រតិបត្តិករឱ្យដកចេញ ឬការពារវា ហើយនិយាយថាការផ្ទៀងផ្ទាត់របស់វាដាច់ដោយឡែកពីការផ្ទៀងផ្ទាត់ផលិតផលអត្តសញ្ញាណ។ ការចូលប្រើមួយទៀតលាក់ខ្លួននៅចន្លោះចំណុចពិនិត្យក្នុងបញ្ជី។ ឧបករណ៍គ្រប់គ្រងដែលត្រូវបានលាតត្រដាងបានអនុញ្ញាតឱ្យកូដដំណើរការនៅក្នុងសេវាកម្មអត្តសញ្ញាណ។ អ្នកស្រាវជ្រាវបានចូលប្រើកំណត់ត្រាអតិថិជននៅពីក្រោយព្រំដែនតម្រងសាធារណៈ។ តម្រងបរិវេណពិនិត្យចរាចរណ៍ដែលឆ្លងកាត់បរិវេណនោះ។

2:06 ដំណើរការដែលនៅខាងក្នុងសេវាកម្មរួចហើយមានទំនាក់ទំនងខុសគ្នាជាមួយទិន្នន័យ។ នេះពន្យល់ពីបញ្ហាច្រើនកត្តានៅក្នុងគណនីសហរដ្ឋអាមេរិក។ កំណត់ត្រាអត្តសញ្ញាណបានផ្តល់ព័ត៌មានចូលប្រើ និងគោលដៅសម្រាប់ការផ្ទៀងផ្ទាត់តាមអ៊ីមែល លេខកូដ។ ការគ្រប់គ្រងរដ្ឋបាលលើកំណត់ត្រាទាំងនោះបានអនុញ្ញាតឱ្យអ្នកស្រាវជ្រាវ បញ្ចប់ការចូលប្រើ។ និយមន័យដើមនៃអតិថិជនបានផ្លាស់ប្តូររួចហើយ។ Shah រៀបរាប់ពីការកំណត់រចនាសម្ព័ន្ធផ្ទៀងផ្ទាត់ខុសរបស់អូស្ត្រាលីដាច់ដោយឡែកដែលអនុញ្ញាតឱ្យ ខ្សែសង្វាក់របស់គាត់រំលងកត្តាបន្ថែម។

2:31 ការហៅការផ្ទៀងផ្ទាត់ច្រើនកត្តាថាខូចគ្រប់ទីកន្លែងនឹងលុបបំបាត់ ព័ត៌មានលម្អិតអំពីការកំណត់រចនាសម្ព័ន្ធដែលអ្នកអភិវឌ្ឍន៍ត្រូវការ។ រក្សាកត្តាបន្ថែមរបស់អ្នក។ រក្សាប្រព័ន្ធកំណត់ម្ចាស់របស់វាឱ្យគួរឱ្យទុកចិត្តផងដែរ។ អត្តសញ្ញាណមានមុខងារខុសគ្នា។

តើវគ្គមួយក្លាយជាសិទ្ធិអំណាចកម្មវិធីនៅពេលណា?

2:43 ការចូលប្រើអ្នកគ្រប់គ្រងគ្រប់គ្រងកំណត់ត្រាអត្តសញ្ញាណ។ វគ្គអតិថិជនតំណាងឱ្យការចូលប្រើដែលបានបញ្ចប់។ កម្មវិធីទូរស័ព្ទទទួលបាននិមិត្តសញ្ញាដែលទទួលយកដោយសេវាកម្មរបស់វា។ ការហៅទាំងអស់នោះជានិមិត្តសញ្ញាវេទមន្តបាត់បង់ព្រំដែនដែលបានធ្វើឱ្យ ការចូលប្រើសមមូលម្ចាស់អាចធ្វើទៅបាន។ Curry រៀបរាប់ពីថតអត្តសញ្ញាណរបស់ក្រុមហ៊ុនផលិតរថយន្តពីរដែលមិនបញ្ចេញឈ្មោះនៅទូទាំងតំបន់ជាច្រើន។ គាត់កំណត់ការធ្វើតេស្តយានយន្តពេញលេញទៅគណនី និងយានយន្តរបស់សហរដ្ឋអាមេរិក។ Shah រៀបរាប់ពីក្រុមហ៊ុនផលិតរថយន្តមួយនៅទូទាំងម៉ាកអូស្ត្រាលីពីរ

3:09 បន្ទាប់មកអះអាងថាមានវិសាលភាពរួមគ្នាកាន់តែទូលំទូលាយ។ វិសាលភាពខុសគ្នាទាំងនោះមិនផ្តល់មូលដ្ឋានឱ្យយើងដើម្បីកំណត់អត្តសញ្ញាណក្រុមហ៊ុននោះទេ។ Hacker News ជជែកគ្នាថាតើការដោះសោរទូរស័ព្ទគួរតែមានឬអត់។ ការឆ្លើយតបមួយចង្អុលទៅការពិនិត្យសោរដែលភ្លេច និងការធ្វើឱ្យឡានត្រជាក់ ឬក្តៅ។ មនុស្សចូលចិត្តលក្ខណៈពិសេសដែលមានប្រយោជន៍។ ការផ្តល់ភាពងាយស្រួលដល់អតិថិជនក៏ផ្តល់ឱ្យសេវាកម្មនូវការងារថ្លៃផងដែរ។ វាត្រូវតែទទួលបានសិទ្ធិអំណាចរបស់វា។

តើការកែតម្រូវពិតជាគ្របដណ្តប់អ្វីខ្លះ?

3:29 Curry រាយការណ៍ថាទាំងក្រុមហ៊ុនផលិតរថយន្តទាំងពីរបានកែតម្រូវភាពងាយរងគ្រោះប្រហែលពីរម៉ោងបន្ទាប់ពី ទទួលបានវាហើយបានបង្វិលអត្តសញ្ញាណដែលរងផលប៉ះពាល់។ នោះគឺជាកាលវិភាគរបស់ដៃគូសហរដ្ឋអាមេរិក។ គណនីខែកក្កដារបស់ Shah មិនបានផ្តល់កាលវិភាគកែតម្រូវដែលត្រូវគ្នាទេ។ គណនីរបស់គាត់មិនបានបញ្ជាក់ពីស្ថានភាពកែតម្រូវបច្ចុប្បន្នរបស់អូស្ត្រាលីទេ។ យើងមិនអាចបង្វែរការឆ្លើយតបពីរម៉ោងទៅជាម៉ោងកំណត់ជួសជុលសកលបានទេ។ សម្រាប់អ្នកអភិវឌ្ឍន៍ ចាប់ផ្តើមជាមួយផ្ទៃគ្រប់គ្រង។ សារពើភ័ណ្ឌអ្វីដែលត្រូវបានលាតត្រដាង និងប្រព័ន្ធផ្ទៀងផ្ទាត់ណាដែលការពារវា។

3:55 ដកឧបករណ៍អភិវឌ្ឍន៍ដែលមិនបានប្រើចេញ។ ការពារឧបករណ៍ដែលអ្នករក្សាទុក។ ពិនិត្យការបកស្រាយសំណើរបស់ស្រទាប់នីមួយៗ មុនពេលចាត់ទុកច្បាប់គែមថាជា ពាក្យចុងក្រោយស្តីពីការចូលប្រើ។ Shah និយាយថាខ្សែសង្វាក់អូស្ត្រាលីទីបំផុតបានដំណើរការនៅពាក់កណ្តាលអធ្រាត្រ បើកឡានដែលពួកគេត្រូវបានអនុញ្ញាតឱ្យសាកល្បង។ បំពង់បង្ហូរទឹកអត្តសញ្ញាណជាមួយនឹងការបញ្ចប់ដ៏គាប់ចិត្ត។ ការសរសេរមួយទទួលបានការសន្និដ្ឋានរបស់វាដោយការពិនិត្យមើលចុងម្ខាងទៀត។

4:14 ទំនុកចិត្តរបស់ backend គ្រាន់តែជាពាក់កណ្តាលនៃការសន្ទនាប៉ុណ្ណោះ។ គណនីសហរដ្ឋអាមេរិករបស់ Curry និយាយថាសមត្ថភាពអាស្រ័យលើម៉ូដែលយានយន្ត ការជាវ និងសេវាកម្មភ្ជាប់សកម្ម។ ពាក្យបញ្ជាដែលគាំទ្ររួមមានការដោះសោរទ្វារ និងការបញ្ឆេះម៉ាស៊ីនពីចម្ងាយ។ ការសរសេរទាំងពីរមិនបានបង្កើតការបើកបរចេញ ឬការបិទឧបករណ៍ទប់ស្កាត់ទេ។ ភស្តុតាងគ្របដណ្តប់សមត្ថភាពកម្មវិធីជាក់លាក់ និងការបង្ហាញជាក់ស្តែងដែលមានការអនុញ្ញាត។ សួរថាតើសេវាកម្មណាដែលអាចផ្លាស់ប្តូរការពិតដែលការអនុញ្ញាតរបស់អ្នកពឹងផ្អែក លើ។ ការកំណត់ពាក្យសម្ងាត់ឡើងវិញ និងការផ្លាស់ប្តូរទំនាក់ទំនងមានសារៈសំខាន់ព្រោះប្រព័ន្ធផ្សេងទៀតប្រើប្រាស់

4:41 ពួកវាជាការពិត។ ការចូលប្រើត្រឹមត្រូវអាចពឹងផ្អែកលើអត្តសញ្ញាណដែលបានសរសេរឡើងវិញ។ រឿងរថយន្តនេះក្លាយជារឿងកម្មវិធីរបស់អ្នកនៅទីនោះ។

តើអ្វីបានបង្ហាញថាឡានពិតជាស្តាប់បង្គាប់?

4:48 ការត្រួតពិនិត្យចុងក្រោយបានកើតឡើងនៅក្បែរឡាន។ Curry និយាយថាពាក្យបញ្ជា API ដែលបានទទួលយកតែឯងមិនបានបង្ហាញអ្វីទាំងអស់អំពីអាកប្បកិរិយារបស់ឡានទេ។ ពួកគេបានធ្វើបច្ចុប្បន្នភាពស្ថានភាពរបស់វា និងបានបញ្ជាក់លទ្ធផលជាក់ស្តែងជាមួយ ម្ចាស់ដែលឈរក្បែរវា។ Shah បានដោះសោរ និងបញ្ឆេះយានយន្ត រួចបញ្ឈប់វា និងចាក់សោរវាវិញ។ ភស្តុតាងបានទៅដល់ផ្លូវបើក។ ប្រសិនបើអ្នកចង់អាននេះជាជាងស្តាប់ខ្ញុំនិយាយ ការប្រៀបធៀបមកដល់ប្រអប់សំបុត្ររបស់អ្នក រៀងរាល់ព្រឹក ឥតគិតថ្លៃនៅ the daily diff dot dev, តំណភ្ជាប់ខាងក្រោម។

តើព្រំដែនណាដែលត្រូវការការត្រួតពិនិត្យ?

5:10 ដូច្នេះ សាលក្រមថ្ងៃនេះ ត្រូវការការត្រួតពិនិត្យ។ ខ្ញុំនឹងធ្វើសវនកម្មលើផ្លូវរដ្ឋបាលទៅកាន់អត្តសញ្ញាណអតិថិជនដែលទុកចិត្ត មុនពេលទុកចិត្តវាជាមួយ ការគ្រប់គ្រងជាក់ស្តែង។ ការជួសជុលដែលបានរាយការណ៍នៅសហរដ្ឋអាមេរិកសមនឹងទទួលបានការសរសើរ។ តើអ្នកណាអាចកំណត់និយមន័យម្ចាស់ដែលសេវាកម្មបន្តបន្ទាប់ទាំងអស់ជឿ? ហើយនោះគឺជាភាពខុសគ្នាសម្រាប់ថ្ងៃនេះ។ ខ្ញុំ Niko មកពី Axrisi ។ បង្រួបបង្រួមដោយការទទួលខុសត្រូវ។

ប្រភព

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip