# Холбогдсон машины таних тэмдгийн аюулгүй байдал: эзэмшигчийн эрх мэдэл ба биет нотолгоо

Published: 2026-11-10

Шубхам Шах, Сэм Карри нар зөвшөөрөгдсөн тээврийн хэрэгслүүд дээр эзэмшигчтэй тэнцэх холбогдсон машины апп-ын эрх мэдэлд хүргэсэн захиргааны таних хандалтыг мэдээлэв. Тэдний 11-р сарын 7-ны нийтлэлүүд өмнөх судалгааг тайлбарласан байна. АНУ-ын хавсралтад тухайн өдрийн засвар үйлчилгээг мэдээлсэн бол Австралийн 7-р сарын тусдаа тайланд одоогийн засвар үйлчилгээний байдлыг тодорхойгүй үлдээжээ.

Canonical: https://thedailydiff.dev/mn/video/2026-11-09-car-identity-chain/

## Энэ видео юуг хамардаг

- Итгэмжлэгдсэн хэрэглэгчийн таних тэмдгийн захиргааны хяналт нь доош урсгалын апп үйлчилгээнээс олгосон тээврийн хэрэгслийн эрх мэдэлд нөлөөлж болно.
- Карри АНУ-ын бүртгэл, тээврийн хэрэгсэлд бүрэн тээврийн хэрэгслийн гинжин хэлхээний туршилтыг хязгаарладаг; бүс нутгийн лавлахын хүрээ, Шахын илүү өргөн хамтарсан нэхэмжлэл нь өөр өөр хамрах хүрээтэй байна.
- Ойролцоогоор хоёр цагийн хариу АНУ-ын хавсралтын илчилсэн хугацаанд хамаарна. Австралийн бүртгэлд тохирох арилгах огноо байхгүй.
- Дэмжигдсэн тушаалууд нь загвар, захиалга, идэвхтэй холбогдсон үйлчилгээнээс хамаарна. Жолоодлого эсвэл хөдөлгүүрийн түгжээг хууль бусаар арилгах нь тогтоогдоогүй.
- Судлаачид тээврийн хэрэгслийн статусыг шинэчилж, эзэмшигчтэй хамт тээврийн хэрэгслийн хажууд биет нөлөөллийг баталгаажуулсан.
- PingIDM-ийн хувилбарлагдсан үйлдвэрлэлийн гарын авлага нь хөгжүүлэлтийн хэрэгслүүдийг устгах эсвэл хамгаалахыг зөвлөж, тусдаа консолын нэвтрэлтийн системийг тодорхойлдог.

## Түгээмэл асуултууд

### Таних тэмдгийн серверийн нэвтрэлт хэрхэн холбогдсон машины эрх мэдэл болсон бэ?

Захиргааны таних тэмдгийн нэвтрэлт нь судлаачдад эзэмшигчтэй тэнцэхүйц апп-ын эрх мэдлийг олж авах боломж олгосон гэж Шубхам Шах, Сэм Карри нар хэлсэн. Холбогдсон үйлчилгээ нь хэрэглэгчийн бүртгэлийг тээврийн хэрэгсэл болон дэмжигдсэн тушаалуудтай холбодог. Тэдний бүртгэл нь захиргааны нэвтрэлт, бүрэн хэрэглэгчийн сесс болон түүний үйлчилгээнүүдээс хүлээн зөвшөөрөгдсөн гар утасны апп-ын тэмдэгтүүдийг ялгадаг. Үзүүлбэрүүдэд зөвшөөрөгдсөн тээврийн хэрэгслүүдийг ашигласан.

### Мэдээлэгдсэн огноо болон бүс нутгийн хамрах хүрээ юуг тогтоодог вэ?

АНУ-ын хавсралт нь өмнөх судалгаа болон илчилсний дараа нэг өдрийн засварыг тайлбарладаг. Карри бүрэн тээврийн хэрэгслийн гинжин хэлхээний туршилтыг АНУ-ын бүртгэл болон тээврийн хэрэгсэлд хязгаарладаг бол нөлөөлөлд өртсөн таних тэмдгийн лавлах олон бүс нутагт үйлчилсэн. Шах тусдаа Австралийн судалгааг долоодугаар сард эхэлсэн гэж тайлбарладаг. Түүний нийтлэл Австралийн одоогийн засвар үйлчилгээний байдлыг тодорхойгүй үлдээсэн тул эх сурвалжууд нэг дэлхийн хэмжээний илрүүлэлт эсвэл засварын хугацааг тогтоохгүй.

### Үйлдвэрлэлийн хатууруулах заавар нь хөгжүүлэлтийн консолуудын талаар юу гэж хэлдэг вэ?

Ping Identity-ийн хувилбарлагдсан аюулгүй байдлын гарын авлагын дагуу, үйлдвэрлэлээс өмнө хөгжүүлэлт болон дибаг хийх хэрэгслүүдийг устгах эсвэл хамгаалах. Энэ нь консолыг таних тэмдгийн бүтээгдэхүүний баталгаажуулалтаас тусдаа баталгаажуулалттай гэж тодорхойлдог. Энэ ялгаа нь консолыг өөрийн хяналтын хил хязгаар болгодог. Энэ дугаар нь захиргааны гадаргууг бүртгэлд оруулах, мөн тус бүрийг ямар баталгаажуулалтын систем хамгаалж байгааг шалгахыг зөвлөдөг.

### Судлаачид биет тээврийн хэрэгслийн үр дүнг хэрхэн баталгаажуулсан бэ?

Тэд тээврийн хэрэгслийн статусыг шинэчилж, эзэмшигчтэй хамт тээврийн хэрэгслийн хажууд биет үр дүнг шалгасан гэж Шах, Карри нарын АНУ-ын хавсралт тайланд дурджээ. Зөвхөн API-ын хүлээн зөвшөөрөлт нь үйлдэл хийснийг нотлоогүй. Шах тээврийн хэрэгслийн түгжээг тайлж асаагаад, дараа нь зогсоож дахин түгжсэн. Мэдээлэгдсэн нотолгоо нь дэмжигдсэн апп-ын тушаалуудыг хамардаг; жолоодож явах эсвэл хөдөлгүүрийн түгжээг хууль бусаар арилгах нь тогтоогдоогүй.

### The Daily Diff-ийн таних тэмдгийн итгэмжлэлийн хил хязгаарын талаарх дүгнэлт ямар байсан бэ?

The Daily Diff-ийн дүгнэлт нь ХЯНАЛТ ШААРДЛАГАТАЙ байсан. Нико биет хяналтад найдахаасаа өмнө итгэмжлэгдсэн хэрэглэгчийн таних тэмдэг рүү нэвтрэх захиргааны замуудыг хянаж үзэх болно, мөн мэдээлэгдсэн АНУ-ын засварыг үнэлэх болно. Шах, Карри нарын бүртгэлүүд нь таних тэмдгийн бүртгэлүүдийн дээд урсгалын хяналт нь доош урсгалын зөвшөөрөлд яагаад чухал болохыг харуулдаг. Энэ дүгнэлт нь үргэлжилж буй дэлхийн хэмжээний эмзэг байдлыг батлахгүй.

## Бүлгүүд

- 0:00 Нэвтрэх эрх хэрхэн машины түлхүүр болсон бэ?
- 0:33 Шинээр юу нийтлэгдсэн, юуг аль хэдийн зассан бэ?
- 0:59 Тээврийн хэрэгслийн үйлчилгээ ямар таних тэмдэгт итгэдэг вэ?
- 1:41 Хөгжүүлэлтийн консол яагаад чухал байсан бэ?
- 2:42 Нэгж хэрэглэгчийн эрх мэдэл хэзээ апп-ын эрх мэдэл болдог вэ?
- 3:29 Засвар үйлчилгээ үнэндээ юуг хамарсан бэ?
- 4:48 Машин үнэхээр дуулгавартай байсныг юу нотолсон бэ?
- 5:10 Ямар хил хязгаарыг дахин хянах шаардлагатай вэ?

## Орчуулсан бичлэг

Англи хэл дээрх эх хувилбараас орчуулсан. Боломжтой дуу болон хадмал орчуулгыг YouTube хянадаг.

### Нэвтрэх эрх хэрхэн машины түлхүүр болсон бэ?

0:00 Таны машины апп таныг эзэмшигч мөн эсэхийг шалгадаг. Судлаачид оронд нь түүний таних тэмдгийн серверээр баталгаажуулсан. Энэ видео бичлэгт, нэвтрэх эрх хэрхэн тээврийн хэрэгслийн эрх мэдэл болсон бэ? Тэгээд машин үнэхээр дуулгавартай байсныг юу нотолсон бэ? Өнөөдөр арваннэгдүгээр сарын есний даваа гараг, энэ бол The Daily Diff. Нэг л эцсийн шалгалт нь баталгаатай дэлгэцээс түгжээгүй машиныг тусгаарладаг. Холбогдсон машины үйлчилгээнүүд нь эзэмшигчийн утасны апп-ын цаана байрлах онлайн системүүд юм. Шубхам Шах, Сэм Карри нар захиргааны таних тэмдгийн нэвтрэлт тэдэнд

0:25 эзэмшигчийнхтэй ижил апп-ын эрх мэдлийг олж авах боломж олгосон гэж мэдээлсэн. Тэд зөвшөөрөгдсөн тээврийн хэрэгслүүд дээр алсын тушаалуудыг үзүүлсэн. Тэдний АНУ-ын бүртгэлд алдааг илчилсний дараа зассан гэж бичсэн байна.

### Шинээр юу нийтлэгдсэн, юуг аль хэдийн зассан бэ?

0:33 Хоёр бичлэг хоёулаа арваннэгдүгээр сарын долоонд гарсан. Карри өөрийн илчилсэн огноог энэ оны эхэн үе гэж тэмдэглэсэн. Шах Австралийн судалгааг долоодугаар сард эхэлсэн гэж тайлбарласан. Эдгээр нь өөр өөр хугацаанууд юм. Тэднийг нэг дэлхийн хэмжээний онцгой байдал гэж унших нь гарчигт илүү хүч өгөх болно нотолгооноос илүү. Шах 2023 онд нэрээ нууцалсан автомашин үйлдвэрлэгчийн нэг SUV-ийг худалдаж авсан. Би машинаа онгойлгоход аль интернэт үйлчилгээ татаж авдаг вэ?

0:53 Тэр болон Карри таних тэмдгийн системийг хоёр долоо хоног шалгасан. Түлхүүрийн оосор нь арын багийн дэмжлэгийг авсан. Апп таныг нэвтрүүлж, таны гараашийг ачаалдаг.

### Тээврийн хэрэгслийн үйлчилгээ ямар таних тэмдэгт итгэдэг вэ?

1:01 Холбогдсон үйлчилгээ нь уг бүртгэлийг тээврийн хэрэгсэл болон зөвшөөрөгдсөн тушаалуудтай холбодог. Энэ харилцаа нь ашигтай хариулт юм. Итгэмжлэгдсэн хэрэглэгчийн таних тэмдгийг хянадаг хэн бүхэн зориулагдсан чадавхийг өвлөн авч болно хэрэглэгчийн хувьд. Австралид, олон нийтийн удирдлагын хэрэгсэл нь хэрэглэгчийн мэдээллийг броузерын JavaScript-д нийлүүлсэн түлхүүрүүдээр хамгаалагдсан интерфэйсүүдээр илчилсэн. Нууцын уриалгатай тодорхойлолт. Шах мөн нийлүүлэгчийн багцаас таних тэмдгийн админ эрх мэдлийн баталгааг олсон,

1:24 мөн тэдгээр нь үйлдвэрлэлд ажилладаг гэж мэдээлсэн. Хил хязгаар нь эмзэг замналуудыг хаасан. Гэвч програм хангамжийн давхаргууд ижил хүсэлтийг өөрөөр тайлбарласан. Карригийн хэлснээр, хил нь замыг статик контент гэж үзсэн бол арын систем захиргааны консолд нэвтэрсэн. Угтах хивс болон түгжээтэй хаалга хоёулаа өөр өөр газрын зурагтай зөвлөлдсөн.

### Хөгжүүлэлтийн консол яагаад чухал байсан бэ?

1:41 Уг консол нь үндсэн админ эрх мэдлийг хүлээн авсан хэвээр байсан, Карригийн хэлснээр. Үйлдвэрлэлийн гарын авлага нь операторуудад үүнийг устгах эсвэл хамгаалахыг аль хэдийн хэлсэн, мөн түүний баталгаажуулалт нь таних тэмдгийн бүтээгдэхүүний баталгаажуулалтаас тусдаа гэж хэлсэн. Шалгах хуудасны цэгүүдийн хооронд нуугдсан өөр нэг нэвтрэх эрх. Ил гарсан захиргааны хэрэгсэл нь таних тэмдгийн үйлчилгээний дотор код ажиллуулах боломжийг олгосон. Судлаачид нийтийн шүүлтүүрийн хил хязгаарын ард байрлах хэрэглэгчийн бүртгэлд нэвтэрсэн. Хилийн шүүлтүүр нь уг хилийг давсан траффикийг шалгадаг.

2:06 Үйлчилгээний доторх процесс нь өгөгдөлтэй өөр харилцаатай байдаг. Энэ нь АНУ-ын бүртгэл дэх олон хүчин зүйлийн асуудлыг тайлбарлаж байна. Таних тэмдгийн бүртгэлүүд нь нэвтрэх мэдээлэл болон имэйлийн баталгаажуулах кодын очих газрыг өгсөн. Уг бүртгэлүүдийн захиргааны хяналт нь судлаачдад нэвтрэх ажлыг дуусгах боломж олгосон. Хэрэглэгчийн дээд урсгалын тодорхойлолт аль хэдийн өөрчлөгдсөн байсан. Шах Австралийн тусдаа баталгаажуулалтын буруу тохиргоог тайлбарласан бөгөөд энэ нь түүний гинжин хэлхээнд нэмэлт хүчин зүйлийг алгасах боломж олгосон.

2:31 Олон хүчин зүйлийн баталгаажуулалт хаа сайгүй эвдэрсэн гэж хэлэх нь хөгжүүлэгчдэд хэрэгтэй тохиргооны дэлгэрэнгүй мэдээллийг арилгах болно. Нэмэлт хүчин зүйлээ хадгал. Мөн түүний эзэмшигчийг итгэмжлэгдсэн гэж тодорхойлдог системийг хадгал. Эрх мэдлүүд нь өөр өөр үүрэгтэй.

### Нэгж хэрэглэгчийн эрх мэдэл хэзээ апп-ын эрх мэдэл болдог вэ?

2:43 Админ нэвтрэлт нь таних тэмдгийн бүртгэлүүдийг хянадаг. Хэрэглэгчийн сесс нь амжилттай нэвтэрснийг илэрхийлдэг. Гар утасны апп нь өөрийн үйлчилгээнүүдээс хүлээн зөвшөөрөгдсөн тэмдэгтүүдийг авдаг. Эдгээрийг бүгдийг нь "шидэт тэмдэгт" гэж нэрлэх нь эзэмшигчтэй тэнцэхүйц нэвтрэлтийг боломжтой болгосон хил хязгаарыг алдагдуулна. Карри олон бүс нутгийн хоёр нэрээ нууцалсан автомашин үйлдвэрлэгчийн таних тэмдгийн лавлахыг тайлбарласан. Тэрээр бүрэн тээврийн хэрэгслийн туршилтыг АНУ-ын бүртгэл болон тээврийн хэрэгсэлд хязгаарласан. Шах нэг автомашин үйлдвэрлэгчийг Австралийн хоёр брэндээр тайлбарласан, дараа нь илүү өргөн хамтарсан хүрээг нэхэмжилсэн.

3:09 Эдгээр өөр өөр хамрах хүрээнүүд нь бидэнд компаниудыг тодорхойлох үндэс өгөхгүй. Hacker News утасны түгжээг тайлах нь байх ёстой эсэх талаар маргалдаж байна. Нэг хариулт нь мартсан түгжээг шалгах, машиныг хөргөх эсвэл дулаацуулахыг зааж байна. Хүмүүс ашигтай функцуудад дуртай. Хэрэглэгчдэд тав тухыг өгөх нь мөн үйлчилгээнд үнэтэй ажлыг өгдөг. Тэрээр эрх мэдлээ олох ёстой. Карригийн мэдээлснээр, хоёр автомашин үйлдвэрлэгч хоёулаа эмзэг байдлыг хүлээн авснаас хойш ойролцоогоор хоёр цагийн дараа засаж, нөлөөлөлд өртсөн эрх мэдлүүдийг эргүүлсэн.

### Засвар үйлчилгээ үнэндээ юуг хамарсан бэ?

3:29 Энэ бол АНУ-ын хавсралтын хугацаа. Шахын 7-р сарын бүртгэлд тохирох засвар үйлчилгээний хугацаа байхгүй. Түүний бүртгэл Австралийн одоогийн засвар үйлчилгээний байдлыг тодорхойгүй үлдээсэн. Бид хоёр цагийн хариуг дэлхийн хэмжээний засварын цаг болгож чадахгүй. Хөгжүүлэгчдэд зориулж, захиргааны гадаргуугаас эхэл. Ил гарсан зүйлсийг болон түүнийг ямар баталгаажуулалтын систем хамгаалж байгааг бүртгэлд оруул. Ашиглагдаагүй хөгжүүлэлтийн хэрэгслүүдийг устга. Хадгалж үлдсэн хэрэгслүүдээ хамгаал.

3:55 Хандалтын эцсийн үг гэж хилийн дүрмийг үзэхээс өмнө давхарга бүрийн хүсэлтийн тайлбарыг хяна. Шахын хэлснээр, Австралийн гинжин хэлхээ эцэст нь шөнө дунд ойролцоо ажиллаж, туршихыг зөвшөөрсөн машинаа онгойлгосон. Сэтгэл ханамжтай төгсгөлтэй таних тэмдгийн сан. Бичлэг нь нөгөө төгсгөлийг шалгаснаар дүгнэлтээ олдог. Арын системийн итгэл үнэмшил нь ярианы тал нь л юм. Карригийн АНУ-ын бүртгэлд чадавхи нь тээврийн хэрэгслийн загвар, захиалга, болон идэвхтэй холбогдсон үйлчилгээнээс хамаарна гэж бичсэн байна.

4:14 Дэмжигдсэн тушаалуудад хаалганы түгжээг тайлах, хөдөлгүүрийг алсаас асаах зэрэг багтдаг. Аль ч бичлэгт жолоодож явах эсвэл хөдөлгүүрийн түгжээг хууль бусаар арилгах нь тогтоогдоогүй. Нотолгоо нь тодорхой апп-ын чадавхи болон зөвшөөрөгдсөн биет үзүүлбэрүүдийг хамардаг. Таны зөвшөөрөл үндэслэдэг баримтуудыг аль үйлчилгээ өөрчилж болохыг асуу. Нууц үгийг шинэчлэх, холбоо барих хаягийг өөрчлөх нь чухал, учир нь бусад системүүд тэдгээрийг үнэн гэж хүлээн авдаг. Хүчинтэй нэвтрэх эрх нь дахин бичигдсэн таних тэмдэг дээр үндэслэж болно. Энэ машины түүх таны апп-ын түүх болно.

4:41 Эцсийн шалгалт машины хажууд хийгдсэн. Карригийн хэлснээр, зөвхөн хүлээн зөвшөөрөгдсөн API тушаал нь машины үйл ажиллагааны талаар юу ч нотлоогүй. Тэд түүний статусыг шинэчилж, биет үр дүнг

### Машин үнэхээр дуулгавартай байсныг юу нотолсон бэ?

4:48 эзэмшигчийг хажууд нь зогсож байхад баталгаажуулсан. Шах тээврийн хэрэгслийн түгжээг тайлж асаагаад, дараа нь зогсоож дахин түгжсэн. Нотолгоо нь машины зогсоол хүртэл хүрчээ. Хэрэв та үүнийг сонсохоос илүү уншихыг хүсвэл, өөрчлөлт өдөр бүр өглөө таны имэйл хайрцагт үнэгүй The Daily Diff.dev хаягаар ирнэ, холбоос доор байна. Тэгэхээр, өнөөдрийн дүгнэлт, дахин хянах шаардлагатай. Би захиргааны замналыг хэрэглэгчийн таних тэмдэг рүү нэвтрэхээс өмнө хянаж, биет хяналтад итгэхээс өмнө шалгах болно. Мэдээлэгдсэн АНУ-ын засварыг үнэлэх хэрэгтэй. Доош урсгалын үйлчилгээ бүрийн итгэдэг эзэмшигчийг хэн дахин тодорхойлж чадах вэ?

### Ямар хил хязгаарыг дахин хянах шаардлагатай вэ?

5:10 Тэгээд энэ бол өнөөдрийн ялгаа. Би Axrisi-гийн Нико байна. Хариуцлагатай нэгтгэ. Хэрэглэгчийн таних тэмдгийн захиргааны замуудыг биет хяналтад найдахаас өмнө хянаж үзэх хэрэгтэй. АНУ-д хийгдсэн засварыг үнэлэх хэрэгтэй. Би Axrisi-гээс Нико байна. Хариуцлагатай нэгтгэ.

## Эх сурвалжууд

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip