# Туташкан унаанын идентификация коопсуздугу: ээсинин ыйгарым укуктары жана физикалык далил

Published: 2026-11-10

Шубхам Шах менен Сэм Карри уруксат берилген унаалардагы туташкан унаа колдонмосуна ээсине барабар укукка алып келген административдик идентификациялык жеткиликтүүлүк жөнүндө билдиришти. Алардын 7-ноябрдагы басылмалары мурунку изилдөөлөрдү сүрөттөйт. АКШнын коштоочу баяндамасы ошол эле күнү оңдоп-түзөө иштерин билдирет; Австралиянын июль айындагы өзүнчө отчёту анын учурдагы оңдоп-түзөө абалын тактаган эмес.

Canonical: https://thedailydiff.dev/ky/video/2026-11-09-car-identity-chain/

## Бул видео эмнелерди камтыйт

- Ишенимдүү кардардын идентификациясын административдик көзөмөлдөө кийинки колдонмо кызматтары тарабынан берилген унаа укугуна таасир этиши мүмкүн.
- Карри унаа чынжырынын толук тестирлөөсүн АКШнын эсептери жана унаалары менен чектейт; аймактык каталогдун жетүүсү жана Шахтын кененирээк биргелешкен дооматы ар кандай масштабдарга ээ.
- Болжол менен эки сааттык жооп АКШнын коштоочу отчетунун ачыктоо мөөнөтүнө туура келет. Австралиянын отчетунда дал келген оңдоо күнү көрсөтүлгөн эмес.
- Колдоого алынган буйруктар моделге, жазылууга жана активдүү туташкан кызматтарга жараша болот. Айдоо же иммобилайзерди өчүрүү далилденген эмес.
- Изилдөөчүлөр унаанын абалын жаңылап, ээси унаанын жанында турганда физикалык эффекттерди ырасташкан.
- PingIDM'дин версияланган өндүрүш колдонмосу иштеп чыгуу куралдарын алып салууну же коргоону сунуштайт жана өзүнчө консолдук аутентификация системасын аныктайт.

## Суроолор жана жооптор

### Идентификация серверине жетүү кантип туташкан унаа укугуна айланды?

Шубхам Шах менен Сэм Карринин айтымында, административдик идентификациялык жеткиликтүүлүк изилдөөчүлөргө ээсине барабар колдонмо укугун алууга мүмкүндүк берген. Туташкан кызмат кардар эсептерин унаалар жана колдоого алынган буйруктар менен байланыштырган. Алардын отчету администратордун жеткиликтүүлүгүн, аяктаган кардар сессиясын жана мобилдик колдонмо кызматтары тарабынан кабыл алынган токендерди айырмалайт. Демонстрациялар уруксат берилген унааларды колдонгон.

### Отчеттогу даталар жана аймактык масштабдар эмнени аныктайт?

АКШнын коштоочу отчету мурунку изилдөөлөрдү жана ачыкка чыгарылгандан кийин ошол эле күнү оңдоону сүрөттөйт. Карри унаа чынжырынын толук тестирлөөсүн АКШнын эсептери жана унаалары менен чектейт, ал эми жабыркаган идентификациялык каталогдор бир нече аймактарга кызмат кылган. Шах өзүнчө июль айында башталган австралиялык изилдөөлөрдү сүрөттөйт. Анын макаласы учурдагы австралиялык оңдоо абалын тактаган эмес, ошондуктан булактар дүйнөлүк бир ачылыш же оңдоо мөөнөтүн аныктабайт.

### Өндүрүштүк катуулатуу боюнча көрсөтмөлөр иштеп чыгуу консолдору жөнүндө эмне дейт?

Ping Identity'дин версияланган коопсуздук колдонмосуна ылайык, өндүрүшкө чейин иштеп чыгуу жана мүчүлүштүктөрдү оңдоо куралдарын алып салуу же коргоо керек. Ал консолду идентификация продуктунун аутентификациясынан өзүнчө аутентификацияга ээ деп аныктайт. Бул айырма консолду өзүнчө карап чыгуу чегине айлантат. Эпизод административдик беттерди инвентаризациялоону жана кайсы аутентификация системасы ар бирин коргоп жатканын текшерүүнү сунуштайт.

### Изилдөөчүлөр физикалык унаа натыйжасын кантип ырасташты?

Шах менен Карринин АКШнын коштоочу отчетунун айтымында, алар унаанын абалын жаңылап, ээси унаанын жанында турганда физикалык натыйжаны текшеришкен. API кабыл алуусу гана аракетти далилдеген эмес. Шах унааны ачып, иштетип, андан кийин токтотуп, кайра кулпулаган. Отчеттогу далилдер колдоого алынган колдонмо буйруктарын камтыйт; айдап кетүү же иммобилайзерди өчүрүү далилденген эмес.

### The Daily Diff идентификациялык ишеним чегине кандай өкүм чыгарды?

The Daily Diff'тин өкүмү NEEDS REVIEW болгон. Нико административдик жолдорду ишенимдүү кардардын идентификациясына физикалык көзөмөлгө ишенерден мурун текшерип, ошол эле учурда АКШда билдирилген оңдоого ишенет. Шах менен Карринин отчеттору идентификациялык жазууларды жогорку деңгээлде көзөмөлдөө эмне үчүн кийинки уруксат берүү үчүн маанилүү экенин көрсөтөт. Өкүм дүйнөлүк үзгүлтүксүз аялуу жерди ырастабайт.

## Бөлүмдөр

- 0:00 Кантип логин унаа ачкычына айланды?
- 0:33 Эмне жаңы жарыяланды, жана эмне оңдолгон?
- 0:59 Унаа кызматы кайсы иденттүүлүккө ишенет?
- 1:41 Эмне үчүн иштеп чыгуу консолу маанилүү болду?
- 2:42 Сессия качан колдонмо укугуна айланат?
- 3:29 Оңдоо иштери чындыгында эмнени камтыды?
- 4:48 Унаа чындап баш ийгенин эмне далилдеди?
- 5:10 Кайсы чек араны карап чыгуу керек?

## Котормо стенограмма

Англис тилиндеги баштапкы баяндамадан которулган. Жеткиликтүү аудио жана коштомо жазуулар YouTube тарабынан көзөмөлдөнөт.

### Кантип логин унаа ачкычына айланды?

0:00 Унааңыздын колдонмосу сиз ээси экениңизди текшерет. Изилдөөчүлөр анын иденттүүлүк серверин алардын ордуна кепилдик берүүгө мажбурлашкан. Бул видеодо логин кантип унаа укугуна айланды? Жана унаа чындап баш ийгенин эмне далилдеди? Бүгүн дүйшөмбү, 9-ноябрь, жана бул The Daily Diff. Бир акыркы текшерүү ынанымдуу экранды кулпусу ачылган унаадан бөлүп турат. Туташкан унаа кызматтары - бул ээсинин телефон колдонмосунун артындагы онлайн системалар. Шубхам Шах менен Сэм Карри административдик идентификациялык жеткиликтүүлүк аларга

0:25 ээси сыяктуу эле колдонмо укугун алууга мүмкүндүк бергенин билдиришти. Алар уруксат берилген унааларда алыскы буйруктарды көрсөтүштү. Алардын АКШ эсебинде мүчүлүштүктөр ачыкталгандан кийин оңдолгон деп айтылат.

### Эмне жаңы жарыяланды, жана эмне оңдолгон?

0:33 Эки жазуу тең 7-ноябрда пайда болгон. Карри өзүнүн ачыктоосун ушул жылдын башына таандык кылат. Шах июль айында башталган австралиялык изилдөөлөрдү сүрөттөйт. Бул ар кандай мөөнөттөр. Аларды бир дүйнөлүк өзгөчө кырдаал катары окуу башкы жаңылыкка көбүрөөк күч берет далилдерге караганда. Шах 2023-жылы аты аталбаган автоөндүрүүчүнүн жол тандабасын сатып алган. Унаамды кулпусун ачканда кайсы интернет кызматы тапты алат?

0:53 Ал экөө Карри менен идентификация системасын эки жума бою изилдешкен. Ачкычтын арткы командасы бар. Колдонмо сизди киргизип, гаражыңызды жүктөйт.

### Унаа кызматы кайсы иденттүүлүккө ишенет?

1:01 Туташкан кызмат ошол эсеп жазууну унаалар жана уруксат берилген буйруктар менен байланыштырат. Бул байланыш пайдалуу жооп. Ишенимдүү кардардын иденттүүлүгүн көзөмөлдөгөн адам кардарга арналган мүмкүнчүлүктөрдү мурастай алат. Австралияда коомдук башкаруу куралы браузер JavaScript тилинде жөнөтүлгөн ачкычтар менен корголгон интерфейстер аркылуу кардар маалыматын ачыкка чыгарган. Абдан дымактуу "жашыруун" деген аныктама. Шах ошондой эле сатуучунун топтомунан идентификация администраторунун грамоталарын тапкан, жана алар өндүрүштө иштегендигин билдирген.

1:24 Периметр сезимтал жолдорду бөгөттөгөн. Бирок программалык катмарлар бир эле суроону ар кандайча чечмелеген. Карринин айтымында, четки түзүлүш жолду статикалык мазмун катары караса, арткы түзүлүш администрация консолуна жеткен. Кош келүүчү килемче менен кулпуланган эшик ар кандай карталарды карап жатышкан. Ошол консол дагы эле демейки администратор грамоталарын кабыл алган,

### Эмне үчүн иштеп чыгуу консолу маанилүү болду?

1:41 Карринин айтымында. Өндүрүш колдонмосу операторлорго аны алып салууну же коргоону буга чейин эле айтып турат, жана анын аутентификациясы идентификация продуктунун аутентификациясынан өзүнчө экенин айтат. Текшерүү тизмесинин пункттарынын ортосунда жашырылган дагы бир логин. Ачыкка чыккан администрация куралдары идентификация кызматынын ичинде кодду иштетүүгө мүмкүндүк берген. Изилдөөчүлөр коомдук чыпкалоо чегинин артындагы кардар жазууларына киришкен. Периметр чыпкасы ошол периметрди кесип өткөн трафикти текшерет. Кызматтын ичиндеги процесс маалыматтар менен башкача байланышта болот.

2:06 Бул АКШнын эсебиндеги көп факторлуу көйгөйдү түшүндүрөт. Иденттүүлүк жазуулары электрондук почта аркылуу текшерүү коду үчүн кирүү маалыматын жана көздөгөн жерди берген. Ошол жазууларды административдик көзөмөлдөө изилдөөчүлөргө кирүүнү аяктоого мүмкүндүк берген. Кардардын жогорку деңгээлдеги аныктамасы буга чейин өзгөргөн. Шах өзүнүн чынжырына кошумча факторду өткөрүп жиберүүгө мүмкүндүк берген Австралиянын өзүнчө аутентификация катасын сүрөттөйт. Көп факторлуу аутентификацияны бардык жерде бузулган деп атоого болбойт, анткени бул иштеп чыгуучуларга керектүү конфигурация маалыматтарын жок кылат. Кошумча факторуңузду сактаңыз.

2:31 Анын ээсин ишенимдүү деп аныктаган системаны да сактаңыз. Грамоталардын ар кандай жумуштары бар. Администратор кирүү иденттүүлүк жазууларын көзөмөлдөйт. Кардар сессиясы аяктаган кирүүнү билдирет. Мобилдик колдонмо анын кызматтары тарабынан кабыл алынган токендерди алат.

### Сессия качан колдонмо укугуна айланат?

2:43 Мунун баарын сыйкырдуу токен деп атоого болбойт, анткени бул ээсине барабар кирүүнү мүмкүн кылган чек араларды жоготот. Карри бир нече аймактардагы эки аты аталбаган автоөндүрүүчүнүн иденттүүлүк каталогдорун сүрөттөйт. Ал унаанын толук тестирлөөсүн АКШнын эсептери жана унаалары менен чектейт. Шах эки австралиялык бренддеги бир автоөндүрүүчүнү сүрөттөйт, андан кийин кененирээк биргелешкен жетүүгө доомат коёт. Бул ар кандай масштабдар бизге компанияларды аныктоого негиз бербейт. Hacker News телефонунун кулпусун ачуу керекпи же жокпу деп талашат. Бир жооп унутулган кулпуну текшерүүгө жана унааны муздатууга же жылытууга багытталган.

3:09 Адамдар пайдалуу функцияларды жакшы көрүшөт. Кардарларга ыңгайлуулукту берүү кызматка кымбат жумушту да берет. Ал өз укугун табышы керек. Карри эки автоөндүрүүчү тең аялуу жерди алгандан кийин болжол менен эки сааттан кийин оңдоп, таасирленген грамоталарды алмаштырышканын билдирет. Бул АКШнын коштоочу отчетунун мөөнөтү. Шахтын июль айындагы отчету дал келген оңдоо мөөнөтүн бербейт. Анын отчету Австралиянын учурдагы оңдоо абалын тактаган эмес.

### Оңдоо иштери чындыгында эмнени камтыды?

3:29 Биз эки сааттык жоопту глобалдык оңдоо секундомерине айландыра албайбыз. Иштеп чыгуучулар үчүн башкаруу бети менен баштаңыз. Эмнелер ачыкка чыкканын жана кайсы аутентификация системасы аны коргоп жатканын инвентаризациялаңыз. Колдонулбаган иштеп чыгуу куралдарын алып салыңыз. Сиз сактаган куралдарды коргоңуз. Кирүүнүн акыркы сөзү катары четки эрежени кабыл алганга чейин ар бир катмардын суроо-талапты чечмелөөсүн карап чыгыңыз. Шах австралиялык чынжыр акыры түн ортосунда иштегенин айтат, алар сыноого уруксат берилген унааны ачып.

3:55 Жагымдуу аяктаган идентификациялык түтүктөр. Жазуу башка четин текшерүү менен өзүнүн корутундусун табат. Арткы бөлүктүн ишеними сүйлөшүүнүн жарымы гана. Карринин АКШ эсебинде мүмкүнчүлүктөр унаанын моделине, жазылууга жана активдүү туташкан кызматтарга жараша болот деп айтылат. Колдоого алынган буйруктарга эшикти ачуу жана кыймылдаткычты алыстан иштетүү кирет. Эки жазуу тең айдап кетүүнү же иммобилайзерди өчүрүүнү далилдеген эмес. Далилдер конкреттүү колдонмо мүмкүнчүлүктөрүн жана уруксат берилген физикалык

4:14 көрсөтмөлөрдү камтыйт. Уруксатыңыз таянган фактыларды кайсы кызмат өзгөртө аларын сураңыз. Паролду баштапкы абалга келтирүү жана байланыш маалыматтарын өзгөртүү маанилүү, анткени башка системалар аларды чындык катары кабыл алышат. Жарактуу логин кайра жазылган идентификацияга таянышы мүмкүн. Бул унаа окуясы сиздин колдонмоңуздун окуясына айланат. Акыркы текшерүү унаанын жанында болгон. Карринин айтымында, кабыл алынган API буйругу унаанын жүрүм-туруму жөнүндө эч нерсе далилдеген жок. Алар анын абалын жаңылап, ээси жанында турганда физикалык натыйжаны ырасташкан. Шах унааны ачып, иштетип, андан кийин токтотуп, кайра кулпулаган.

4:41 Далил жолго жеткен. Эгер сиз муну уккандан көрө окууну кааласаңыз, diff ар күнү эртең менен сиздин почтаңызга келет, daily diff dot dev дарегинде акысыз, шилтеме ылдыйда.

### Унаа чындап баш ийгенин эмне далилдеди?

4:48 Ошентип, бүгүнкү өкүм, карап чыгуу керек. Мен административдик жолдорду кардардын идентификациясына физикалык көзөмөлгө ишенерден мурун текшерет элем. Отчеттогу АКШнын оңдоосу сыйлыкка татыктуу. Ар бир кийинки кызмат ишенген ээсин ким кайра аныктай алат? Жана бүгүнкү айырма ушул. Мен Axrisi компаниясынан Нико. Жоопкерчилик менен бириктиргиле. Идентификация серверине жетүү кантип туташкан унаа укугуна айланды? Шубхам Шах менен Сэм Карринин айтымында, административдик идентификациялык жеткиликтүүлүк изилдөөчүлөргө ээсине барабар колдонмо укугун алууга мүмкүндүк берген. Туташкан кызмат кардар эсептерин унаалар жана колдоого алынган буйруктар менен байланыштырган. Алардын отчету администратордун жеткиликтүүлүгүн, аяктаган кардар сессиясын жана мобилдик колдонмо кызматтары тарабынан кабыл алынган токендерди айырмалайт. Демонстрациялар уруксат берилген унааларды колдонгон.

### Кайсы чек араны карап чыгуу керек?

5:10 Отчеттогу даталар жана аймактык масштабдар эмнени аныктайт? АКШнын коштоочу отчету мурунку изилдөөлөрдү жана ачыкка чыгарылгандан кийин ошол эле күнү оңдоону сүрөттөйт. Карри унаа чынжырынын толук тестирлөөсүн АКШнын эсептери жана унаалары менен чектейт, ал эми жабыркаган идентификациялык каталогдор бир нече аймактарга кызмат кылган. Шах өзүнчө июль айында башталган австралиялык изилдөөлөрдү сүрөттөйт. Анын макаласы учурдагы австралиялык оңдоо абалын тактаган эмес, ошондуктан булактар дүйнөлүк бир ачылыш же оңдоо мөөнөтүн аныктабайт. Өндүрүштүк катуулатуу боюнча көрсөтмөлөр иштеп чыгуу консолдору жөнүндө эмне дейт? Ping Identity'дин версияланган коопсуздук колдонмосуна ылайык, өндүрүшкө чейин иштеп чыгуу жана мүчүлүштүктөрдү оңдоо куралдарын алып салуу же коргоо керек. Ал консолду идентификация продуктунун аутентификациясынан өзүнчө аутентификацияга ээ деп аныктайт. Бул айырма консолду өзүнчө карап чыгуу чегине айлантат. Эпизод административдик беттерди инвентаризациялоону жана кайсы аутентификация системасы ар бирин коргоп жатканын текшерүүнү сунуштайт. Изилдөөчүлөр физикалык унаа натыйжасын кантип ырасташты? Шах менен Карринин АКШнын коштоочу отчетунун айтымында, алар унаанын абалын жаңылап, ээси унаанын жанында турганда физикалык натыйжаны текшеришкен. API кабыл алуусу гана аракетти далилдеген эмес. Шах унааны ачып, иштетип, андан кийин токтотуп, кайра кулпулаган. Отчеттогу далилдер колдоого алынган колдонмо буйруктарын камтыйт; айдап кетүү же иммобилайзерди өчүрүү далилденген эмес. The Daily Diff идентификациялык ишеним чегине кандай өкүм чыгарды?

## Булактар

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip