# Connected-car identity security: owner authority and physical proof

Published: 2026-11-10

Shubham Shah နှင့် Sam Curry တို့သည် ခွင့်ပြုချက်ရထားသော ယာဉ်များပေါ်တွင် ပိုင်ရှင်နှင့်ညီမျှသော ချိတ်ဆက်ထားသော ကားအက်ပ် အခွင့်အာဏာသို့ ဦးတည်သည့် အုပ်ချုပ်ရေးဆိုင်ရာ အထောက်အထားဝင်ရောက်မှုကို အစီရင်ခံတင်ပြခဲ့သည်။ ၎င်းတို့၏ နိုဝင်ဘာလ ၇ ရက်နေ့ထုတ် ထုတ်ဝေမှုများသည် ယခင်သုတေသနကို ဖော်ပြသည်။ US ပူးတွဲပါ အစီရင်ခံစာတွင် တူညီသောနေ့တွင် ပြုပြင်မှုများ ပါရှိသည်။ သီးခြားဩစတြေးလျ ဇူလိုင်လ အစီရင်ခံစာသည် ၎င်း၏လက်ရှိ ပြုပြင်မှုအခြေအနေကို သတ်မှတ်မထားပါ။

Canonical: https://thedailydiff.dev/my/video/2026-11-09-car-identity-chain/

## ဤဗီဒီယိုတွင် ဖော်ပြထားသောအရာများ

- ယုံကြည်ရသော customer identity ကို စီမံခန့်ခွဲခြင်းက downstream app services များမှ ပေးအပ်သော ယာဉ်အာဏာကို သက်ရောက်မှုရှိနိုင်သည်။
- Curry သည် ယာဉ်-ကွင်းဆက်စမ်းသပ်မှု အပြည့်အစုံကို US အကောင့်များနှင့် ယာဉ်များအထိ ကန့်သတ်ထားသည်။ ဒေသတွင်း directory များ၏ ရောက်ရှိမှုနှင့် Shah ၏ ပိုမိုကျယ်ပြန့်သော ပေါင်းစပ်တောင်းဆိုမှုတို့တွင် ကွဲပြားသော နယ်ပယ်များရှိသည်။
- ခန့်မှန်းခြေ နှစ်နာရီကြာ တုံ့ပြန်မှုသည် US companion ၏ ထုတ်ဖော်မှုအချိန်ဇယားတွင် ပါဝင်သည်။ သြစတြေးလျအကောင့်တွင် ကိုက်ညီသော ပြုပြင်ရေးနေ့စွဲကို ဖော်ပြထားခြင်းမရှိပေ။
- ပံ့ပိုးထားသော အမိန့်များသည် မော်ဒယ်၊ စာရင်းသွင်းမှုနှင့် လက်ရှိချိတ်ဆက်ထားသော ဝန်ဆောင်မှုများအပေါ် မူတည်သည်။ မောင်းနှင်ခြင်း သို့မဟုတ် immobilizer ကို ပျက်စီးစေခြင်းကို အတည်မပြုနိုင်ခဲ့ပါ။
- သုတေသီများသည် ယာဉ်အခြေအနေကို ပြန်လည်စစ်ဆေးပြီး ပိုင်ရှင်နှင့်အတူ ယာဉ်ဘေးတွင် ရုပ်ပိုင်းဆိုင်ရာသက်ရောက်မှုများကို အတည်ပြုခဲ့သည်။
- PingIDM ၏ ဗားရှင်းထုတ်လုပ်မှု လမ်းညွှန်ချက်တွင် ဖွံ့ဖြိုးတိုးတက်ရေးကိရိယာများကို ဖယ်ရှားရန် သို့မဟုတ် ကာကွယ်ရန် အကြံပြုထားပြီး သီးခြား console authentication system တစ်ခုကို ဖော်ထုတ်ထားသည်။

## အမေးအဖြေများ

### identity-server ဝင်ရောက်ခွင့်က ချိတ်ဆက်ကားအာဏာ ဘယ်လိုဖြစ်လာတာလဲ။

Shubham Shah နှင့် Sam Curry တို့၏ အဆိုအရ စီမံခန့်ခွဲရေးဆိုင်ရာ အထောက်အထားဝင်ရောက်ခွင့်က သုတေသီများအား ပိုင်ရှင်နှင့်ညီမျှသော အက်ပ်အာဏာကို ရရှိစေခဲ့သည်။ ချိတ်ဆက်ထားသော ဝန်ဆောင်မှုက customer အကောင့်များကို ယာဉ်များနှင့် ပံ့ပိုးထားသော အမိန့်များဖြင့် ချိတ်ဆက်ပေးခဲ့သည်။ ၎င်းတို့၏ မှတ်တမ်းတွင် administrator ဝင်ရောက်ခွင့်၊ ပြီးစီးသော customer session နှင့် ၎င်း၏ဝန်ဆောင်မှုများမှ လက်ခံသော မိုဘိုင်းအက်ပ် tokens များကို ခွဲခြားဖော်ပြထားသည်။ သရုပ်ပြမှုများတွင် ခွင့်ပြုထားသော ယာဉ်များကို အသုံးပြုခဲ့သည်။

### ဖော်ပြထားသော ရက်စွဲများနှင့် ဒေသဆိုင်ရာ နယ်ပယ်များက ဘာကိုဖော်ပြသလဲ။

US companion က အစောပိုင်း သုတေသနနဲ့ ထုတ်ဖော်ပြီးနောက် တစ်ရက်တည်းမှာ ပြင်ဆင်မှုပြီးစီးကြောင်း ဖော်ပြထားပါတယ်။ Curry က ယာဉ်-ကွင်းဆက်စမ်းသပ်မှုအပြည့်အစုံကို US အကောင့်နဲ့ ယာဉ်တွေအထိ ကန့်သတ်ထားချိန်မှာ၊ ထိခိုက်မှုရှိတဲ့ identity directories တွေက ဒေသများစွာကို ဝန်ဆောင်မှုပေးနေပါတယ်။ Shah က သီးခြားစီ ဩစတြေးလျသုတေသနကို ဇူလိုင်လမှာ စတင်ခဲ့တယ်လို့ ဖော်ပြထားပါတယ်။ သူ့ရဲ့ဆောင်းပါးက လက်ရှိဩစတြေးလျပြုပြင်ရေးအခြေအနေကို သတ်မှတ်မထားတဲ့အတွက်၊ အရင်းအမြစ်တွေက ကမ္ဘာတစ်ဝှမ်းရှာဖွေတွေ့ရှိမှု ဒါမှမဟုတ် ပြုပြင်ရေးအချိန်ဇယားတစ်ခုကို မတည်ထောင်နိုင်ပါဘူး။

### ထုတ်လုပ်မှုမာကျောစေရေး လမ်းညွှန်ချက်က development console တွေနဲ့ ပတ်သက်ပြီး ဘာပြောလဲ။

Ping Identity ၏ ဗားရှင်းထုတ်လုံခြုံရေးလမ်းညွှန်အရ၊ ထုတ်လုပ်မှုမတိုင်မီ ဖွံ့ဖြိုးတိုးတက်ရေးနှင့် debugging ကိရိယာများကို ဖယ်ရှားရန် သို့မဟုတ် ကာကွယ်ရန် လိုအပ်သည်။ ၎င်းက console တွင် identity product ၏ authentication နှင့် သီးခြားစီ authentication ရှိကြောင်း ဖော်ပြထားသည်။ ထိုကွဲပြားချက်ကြောင့် console သည် ၎င်း၏ကိုယ်ပိုင်သုံးသပ်ချက်နယ်နိမိတ် ဖြစ်လာသည်။ အပိုင်းက စီမံခန့်ခွဲရေးမျက်နှာပြင်များကို စာရင်းပြုစုပြီး တစ်ခုချင်းစီကို မည်သည့် authentication system က ကာကွယ်ထားသည်ကို စစ်ဆေးရန် အကြံပြုထားသည်။

### သုတေသီတွေက ရုပ်ပိုင်းဆိုင်ရာ ယာဉ်ရလဒ်ကို ဘယ်လိုအတည်ပြုခဲ့သလဲ။

Shah နှင့် Curry တို့၏ US companion အရ၊ ၎င်းတို့သည် ယာဉ်၏ အခြေအနေကို ပြန်လည်စစ်ဆေးပြီး ပိုင်ရှင်နှင့်အတူ ယာဉ်ဘေးတွင် ရုပ်ပိုင်းဆိုင်ရာရလဒ်ကို စစ်ဆေးခဲ့သည်။ API လက်ခံမှုသက်သက်က ၎င်း၏ လုပ်ဆောင်မှုကို သက်သေမပြနိုင်ခဲ့ပါ။ Shah က ယာဉ်ကို သော့ဖွင့်ပြီး စတင်မောင်းနှင်ခဲ့ပြီး၊ ထို့နောက် ရပ်တန့်ကာ ပြန်လည်သော့ခတ်ခဲ့သည်။ ဖော်ပြထားသော အထောက်အထားများတွင် ပံ့ပိုးထားသော အက်ပ်အမိန့်များ ပါဝင်သည်။ မောင်းနှင်ခြင်း သို့မဟုတ် immobilizer ကို ပျက်စီးစေခြင်းကို အတည်မပြုနိုင်ခဲ့ပါ။

### The Daily Diff က identity trust boundary နဲ့ ပတ်သက်ပြီး ဘာကို ဆုံးဖြတ်ခဲ့သလဲ။

The Daily Diff ရဲ့ ဆုံးဖြတ်ချက်က NEEDS REVIEW ဖြစ်ပါတယ်။ Niko က ရုပ်ပိုင်းဆိုင်ရာ ထိန်းချုပ်မှုတွေအတွက် စီမံခန့်ခွဲရေး လမ်းကြောင်းတွေကို မယုံကြည်ခင်မှာ customer identity ထဲကို စစ်ဆေးဖို့ လိုအပ်တယ်လို့ ဆိုပါတယ်။ US မှာ ပြင်ဆင်ပြီးစီးမှုအတွက် ချီးကျူးပါတယ်။ Shah နဲ့ Curry တို့ရဲ့ အကောင့်တွေက identity records တွေကို upstream က ထိန်းချုပ်တာက downstream authorization အတွက် ဘာကြောင့် အရေးကြီးတယ်ဆိုတာ ပြသပါတယ်။ ဆုံးဖြတ်ချက်က လက်ရှိ ကမ္ဘာတစ်ဝှမ်းအားနည်းချက်ကို အခိုင်အမာ မဆိုလိုပါဘူး။

## အခန်းများ

- 0:00 login တစ်ခုက ကားသော့ဘယ်လိုဖြစ်လာလဲ။
- 0:33 အသစ်ထုတ်ပြန်ထားတာတွေက ဘာတွေလဲ၊ ဘာတွေက ပြင်ပြီးပြီလဲ။
- 0:59 ယာဉ်ဝန်ဆောင်မှုက ဘယ်အထောက်အထားကို ယုံကြည်သလဲ။
- 1:41 developer console က ဘာကြောင့်အရေးကြီးတာလဲ။
- 2:42 session တစ်ခုက အက်ပ်အာဏာ ဘယ်အချိန်ဖြစ်လာသလဲ။
- 3:29 ပြုပြင်ရေးက ဘာတွေပါဝင်လဲ။
- 4:48 ကားက တကယ်နာခံတယ်ဆိုတာ ဘာက သက်သေပြတာလဲ။
- 5:10 ဘယ်နယ်နိမိတ်ကို ပြန်သုံးသပ်ဖို့လိုသလဲ။

## ဘာသာပြန်ထားသော စာသားမှတ်တမ်း

မူရင်း အင်္ဂလိပ်စကားပြောမှ ဘာသာပြန်ထားသည်။ ရရှိနိုင်သော အသံနှင့် စာတန်းထိုးများကို YouTube မှ ထိန်းချုပ်ထားသည်။

### login တစ်ခုက ကားသော့ဘယ်လိုဖြစ်လာလဲ။

0:00 သင့်ကားအက်ပ်က သင်ဟာ ပိုင်ရှင်ဟုတ်မဟုတ် စစ်ဆေးပါတယ်။ သုတေသီတွေက သူတို့အတွက် identity server ကို အာမခံခိုင်းခဲ့ပါတယ်။ ဒီဗီဒီယိုမှာ၊ login က ယာဉ်အာဏာ ဘယ်လိုဖြစ်လာတာလဲ။ ပြီးတော့ ကားက တကယ်နာခံတယ်ဆိုတာ ဘာကသက်သေပြခဲ့သလဲ။ နိုဝင်ဘာလ ၉ ရက်၊ တနင်္လာနေ့ဖြစ်ပြီး၊ ဒါက The Daily Diff ပါ။ နောက်ဆုံးတစ်ချက် စစ်ဆေးခြင်းက ဆွဲဆောင်မှုရှိတဲ့ မျက်နှာပြင်နဲ့ သော့ဖွင့်ထားတဲ့ကားကို ခွဲခြားထားပါတယ်။ Connected car services ဆိုတာ ပိုင်ရှင်ရဲ့ဖုန်းအက်ပ်နောက်ကွယ်က အွန်လိုင်းစနစ်တွေပါ။ Shubham Shah နဲ့ Sam Curry တို့ရဲ့ အစီရင်ခံစာအရ စီမံခန့်ခွဲရေးဆိုင်ရာ အထောက်အထားဝင်ရောက်မှုက သူတို့ကို

0:25 ပိုင်ရှင်နဲ့ညီမျှတဲ့ အက်ပ်အာဏာကို ရရှိစေခဲ့ပါတယ်။ သူတို့က ခွင့်ပြုထားတဲ့ ယာဉ်တွေပေါ်မှာ အဝေးထိန်းစနစ် အမိန့်တွေကို သရုပ်ပြခဲ့ပါတယ်။ သူတို့ရဲ့ US အကောင့်က အားနည်းချက်တွေကို ထုတ်ဖော်ပြီးနောက် ပြင်ဆင်ပြီးပြီလို့ ဆိုပါတယ်။

### အသစ်ထုတ်ပြန်ထားတာတွေက ဘာတွေလဲ၊ ဘာတွေက ပြင်ပြီးပြီလဲ။

0:33 စာမူနှစ်ခုစလုံး နိုဝင်ဘာလ ၇ ရက်နေ့မှာ ထွက်ပေါ်လာခဲ့ပါတယ်။ Curry က သူ့ရဲ့ထုတ်ဖော်မှုကို ဒီနှစ်အစောပိုင်းလို့ ဖော်ပြပါတယ်။ Shah က သြစတြေးလျသုတေသနကို ဇူလိုင်လမှာ စတင်ခဲ့တယ်လို့ ဖော်ပြပါတယ်။ ဒါတွေက ကွဲပြားတဲ့ အချိန်ဇယားတွေပါ။ ဒါတွေကို ကမ္ဘာတစ်ဝှမ်း အရေးပေါ်အခြေအနေတစ်ခုအဖြစ် ဖတ်လိုက်မယ်ဆိုရင် ခေါင်းစီးကို ပိုပြီးခွန်အားဖြစ်စေမှာပါ သက်သေအထောက်အထားထက် ပိုပါတယ်။ Shah က အမည်မဖော်ထားတဲ့ ကားထုတ်လုပ်သူရဲ့ SUV တစ်စီးကို ၂၀၂၃ ခုနှစ်မှာ ဝယ်ယူခဲ့ပါတယ်။ ကျွန်တော် ကားသော့ဖွင့်လိုက်တဲ့အခါ ဘယ်အင်တာနက်ဝန်ဆောင်မှုကို ရောက်သွားတာလဲ။

0:53 သူနဲ့ Curry တို့က အထောက်အထားစနစ်ကို နှစ်ပတ်ကြာ စစ်ဆေးခဲ့ပါတယ်။ သော့ချပ်က backend အဖွဲ့ကို ရရှိထားခဲ့ပါပြီ။ အက်ပ်က သင့်ကို ဝင်ရောက်ခွင့်ပေးပြီး သင့်ကားဂိုဒေါင်ကို တင်ပေးပါတယ်။

### ယာဉ်ဝန်ဆောင်မှုက ဘယ်အထောက်အထားကို ယုံကြည်သလဲ။

1:01 ချိတ်ဆက်ထားသော ဝန်ဆောင်မှုက ထိုအကောင့်ကို ယာဉ်များနှင့် ခွင့်ပြုထားသော အမိန့်များဖြင့် ချိတ်ဆက်ပေးသည်။ ထိုဆက်ဆံရေးသည် အသုံးဝင်သော အဖြေဖြစ်သည်။ ယုံကြည်ရသော customer identity ကို ထိန်းချုပ်သူတိုင်းသည် customer အတွက် ရည်ရွယ်ထားသော စွမ်းရည်များကို ဆက်ခံနိုင်သည်။ ဩစတြေးလျတွင်၊ လူထုစီမံခန့်ခွဲရေးကိရိယာတစ်ခုက customer အချက်အလက်များကို browser JavaScript တွင် ပါရှိသော သော့များဖြင့် ကာကွယ်ထားသည့် interfaces များမှတဆင့် ပေါ်ပေါက်စေခဲ့သည်။ လျှို့ဝှက်ချက်ရဲ့ အဓိပ္ပါယ်ဖွင့်ဆိုချက်က ရည်မှန်းချက်ကြီးပါတယ်။ Shah က vendor bundle မှာ identity administrator credentials တွေကိုလည်း တွေ့ရှိခဲ့ပြီး၊

1:24 ၎င်းတို့က production မှာ အလုပ်လုပ်တယ်လို့ အစီရင်ခံခဲ့ပါတယ်။ ပရိုဆက်ဆာက အရေးကြီးတဲ့ လမ်းကြောင်းတွေကို ပိတ်ဆို့ထားပါတယ်။ ဒါပေမယ့် ဆော့ဖ်ဝဲလ်အလွှာတွေက တူညီတဲ့တောင်းဆိုမှုကို ကွဲပြားစွာ အနက်ဖွင့်ခဲ့ကြပါတယ်။ Curry က edge က လမ်းကြောင်းတစ်ခုကို static content အဖြစ် သတ်မှတ်ထားချိန်မှာ backend က administration console ကို ရောက်ရှိခဲ့တယ်လို့ ဆိုပါတယ်။ ကြိုဆိုသည့်ဖျာနှင့် သော့ခတ်ထားသော တံခါးတို့သည် မတူညီသောမြေပုံများကို တိုင်ပင်နေကြသည်။

### developer console က ဘာကြောင့်အရေးကြီးတာလဲ။

1:41 ထို console သည် ပုံမှန် administrator credentials များကို ဆက်လက်လက်ခံနေခဲ့သည်ဟု Curry က ဆိုသည်။ ထုတ်လုပ်မှုလမ်းညွှန်ချက်တွင် ၎င်းကို ဖယ်ရှားရန် သို့မဟုတ် ကာကွယ်ရန် အော်ပရေတာများအား ညွှန်ကြားပြီးဖြစ်သည်၊ ၎င်း၏ authentication သည် identity product ၏ authentication နှင့် သီးခြားစီဖြစ်သည်ဟု ဖော်ပြထားသည်။ checklist ၏ bullet points များကြားတွင် ပုန်းနေသော နောက်ထပ် login တစ်ခု။ ပေါ်လွင်နေသော စီမံခန့်ခွဲရေးကိရိယာက identity service အတွင်း၌ code ကို run ခွင့်ပြုခဲ့သည်။ သုတေသီများသည် လူထုစစ်ထုတ်ရေးနယ်နိမိတ်နောက်ကွယ်ရှိ customer records များကို ဝင်ရောက်ကြည့်ရှုခဲ့ကြသည်။ နယ်နိမိတ်စစ်ထုတ်စနစ်က ထိုနယ်နိမိတ်ကို ဖြတ်ကျော်သော traffic ကို စစ်ဆေးသည်။

2:06 ဝန်ဆောင်မှုအတွင်း၌ ရှိနေပြီးသား လုပ်ငန်းစဉ်တစ်ခုသည် ဒေတာနှင့် ကွဲပြားသော ဆက်ဆံရေးရှိသည်။ ဒါက US အကောင့်မှာ multi-factor ပြဿနာကို ရှင်းပြပါတယ်။ အထောက်အထားမှတ်တမ်းများက အီးမေးလ်အတည်ပြုကုဒ်အတွက် login အချက်အလက်နှင့် ဦးတည်ရာကို ပံ့ပိုးပေးခဲ့သည်။ ထိုမှတ်တမ်းများကို စီမံခန့်ခွဲနိုင်ခြင်းက သုတေသီများအား login ကို ပြီးမြောက်စေခဲ့သည်။ customer ၏ upstream အဓိပ္ပါယ်ဖွင့်ဆိုချက်သည် ပြောင်းလဲပြီးဖြစ်ခဲ့သည်။ Shah က သီးခြားဩစတြေးလျ authentication မှားယွင်းစွာပြုလုပ်ထားမှုက သူ့ရဲ့ကွင်းဆက်ကို အပို factor ကို ကျော်ဖြတ်စေခဲ့တယ်လို့ ဖော်ပြပါတယ်။

2:31 multi-factor authentication ကို နေရာတိုင်းမှာ ပျက်စီးနေတယ်လို့ ပြောလိုက်ရင် developer တွေ လိုအပ်တဲ့ configuration အသေးစိတ်တွေကို ပျောက်ကွယ်သွားစေပါလိမ့်မယ်။ သင့်ရဲ့ အပို factor ကို ထားရှိပါ။ ၎င်း၏ပိုင်ရှင်ကို ယုံကြည်စိတ်ချရသည်ဟု သတ်မှတ်သည့်စနစ်ကိုလည်း ထိန်းသိမ်းပါ။ အထောက်အထားများသည် လုပ်ငန်းတာဝန် ကွဲပြားကြသည်။

### session တစ်ခုက အက်ပ်အာဏာ ဘယ်အချိန်ဖြစ်လာသလဲ။

2:43 စီမံခန့်ခွဲသူ ဝင်ရောက်ခွင့်က အထောက်အထား မှတ်တမ်းများကို ထိန်းချုပ်သည်။ customer session သည် ပြီးမြောက်သော sign-in တစ်ခုကို ကိုယ်စားပြုသည်။ မိုဘိုင်းအက်ပ်က ၎င်း၏ဝန်ဆောင်မှုများမှ လက်ခံသော tokens များကို ရရှိသည်။ ဒါတွေအားလုံးကို မှော်ဆန်တဲ့ token လို့ ခေါ်လိုက်ရင် ပိုင်ရှင်နဲ့ညီမျှတဲ့ ဝင်ရောက်ခွင့်ကို ဖြစ်နိုင်စေခဲ့တဲ့ နယ်နိမိတ်တွေကို ပျောက်ဆုံးသွားစေပါလိမ့်မယ်။ Curry က အမည်မဖော်ထားတဲ့ ကားထုတ်လုပ်သူနှစ်ဦးရဲ့ identity directories တွေကို ဒေသများစွာမှာ ဖော်ပြထားပါတယ်။ သူက ယာဉ်စစ်ဆေးမှုအပြည့်အစုံကို US အကောင့်နဲ့ ယာဉ်တွေအထိ ကန့်သတ်ထားပါတယ်။ Shah က သြစတြေးလျအမှတ်တံဆိပ် နှစ်ခုအတွက် ကားထုတ်လုပ်သူတစ်ဦးကို ဖော်ပြထားသည်၊

3:09 ပြီးနောက် ပိုမိုကျယ်ပြန့်သော ပေါင်းစပ်ရောက်ရှိမှုကို တောင်းဆိုသည်။ ထိုကွဲပြားသော နယ်ပယ်များက ကျွန်ုပ်တို့အား ကုမ္ပဏီများကို ဖော်ထုတ်ရန် အခြေခံမရှိပါ။ Hacker News မှာ ဖုန်းသော့ဖွင့်ခြင်း ရှိသင့်မရှိ ငြင်းခုန်နေကြပါတယ်။ တုံ့ပြန်ချက်တစ်ခုက မေ့နေတဲ့သော့ကို စစ်ဆေးတာနဲ့ ကားအပူပေးတာ ဒါမှမဟုတ် အေးစေတာကို ညွှန်ပြပါတယ်။ လူတွေက အသုံးဝင်တဲ့ အင်္ဂါရပ်တွေကို ကြိုက်ကြပါတယ်။ customer တွေကို အဆင်ပြေစေတာက ဝန်ဆောင်မှုကို ဈေးကြီးတဲ့ အလုပ်တစ်ခု ဖြစ်စေပါတယ်။ ၎င်း၏အာဏာကို ရယူရမည်။

### ပြုပြင်ရေးက ဘာတွေပါဝင်လဲ။

3:29 Curry ၏အစီရင်ခံစာအရ ကားထုတ်လုပ်သူနှစ်ဦးစလုံးသည် ၎င်းကိုလက်ခံရရှိပြီး နှစ်နာရီခန့်အကြာတွင် အားနည်းချက်ကို ပြုပြင်ပြီး ထိခိုက်မှုရှိသော credentials များကို ပြောင်းလဲခဲ့သည်။ ဒါက US companion ရဲ့ အချိန်ဇယားပါ။ Shah ရဲ့ ဇူလိုင်လမှတ်တမ်းက ကိုက်ညီတဲ့ ပြုပြင်ရေးအချိန်ဇယားကို မပေးထားပါဘူး။ သူ့အကောင့်က ဩစတြေးလျရဲ့ လက်ရှိပြုပြင်ရေးအခြေအနေကို သတ်မှတ်မထားပါဘူး။ နှစ်နာရီကြာ တုံ့ပြန်မှုကို ကမ္ဘာလုံးဆိုင်ရာ ပြုပြင်ရေးအချိန်နာရီအဖြစ် ကျွန်ုပ်တို့ ပြောင်းလဲလို့မရပါဘူး။ developer များအတွက်၊ administration surface မှ စတင်ပါ။ ဘာတွေ ဖော်ထုတ်ထားလဲ၊ ဘယ် authentication system က ကာကွယ်ထားလဲဆိုတာကို စာရင်းလုပ်ပါ။

3:55 အသုံးမပြုတဲ့ development tools တွေကို ဖယ်ရှားပါ။ ထိန်းသိမ်းထားတဲ့ ကိရိယာတွေကို ကာကွယ်ပါ။ အနားစည်းစည်းမျဉ်းတစ်ခုကို ဝင်ရောက်ခွင့်အတွက် နောက်ဆုံးစကားအဖြစ် မသတ်မှတ်မီ အလွှာတစ်ခုစီ၏ တောင်းဆိုမှု အနက်ပြန်ဆိုမှုကို ပြန်လည်သုံးသပ်ပါ။ Shah က ဩစတြေးလျကွင်းဆက်ဟာ နောက်ဆုံးတော့ သန်းခေါင်ယံလောက်မှာ အလုပ်ဖြစ်ခဲ့ပြီး၊ သူတို့ စမ်းသပ်ခွင့်ရတဲ့ ကားတစ်စီးကို ဖွင့်ပေးခဲ့တယ်လို့ ပြောပါတယ်။ ကျေနပ်စရာကောင်းသော အဆုံးသတ်ရှိသော အထောက်အထား စနစ်။ စာရေးသားမှုတစ်ခုသည် အခြားတစ်ဖက်ကို စစ်ဆေးခြင်းဖြင့် ၎င်း၏နိဂုံးကို ရရှိသည်။

4:14 backend ရဲ့ ယုံကြည်မှုက စကားဝိုင်းရဲ့ တစ်ဝက်ပဲရှိပါသေးတယ်။ Curry ရဲ့ US အကောင့်က စွမ်းဆောင်ရည်တွေဟာ ယာဉ်မော်ဒယ်၊ စာရင်းသွင်းမှုနဲ့ လက်ရှိချိတ်ဆက်ထားတဲ့ ဝန်ဆောင်မှုတွေပေါ် မူတည်တယ်လို့ ဆိုပါတယ်။ ပံ့ပိုးထားသော အမိန့်များတွင် တံခါးသော့ဖွင့်ခြင်းနှင့် အဝေးထိန်းစနစ်ဖြင့် အင်ဂျင်စတင်ခြင်းတို့ ပါဝင်သည်။ မည်သည့်စာရေးသားမှုမှ မောင်းနှင်ခြင်း သို့မဟုတ် immobilizer ကို ဖြုတ်ချခြင်းကို မတည်ထောင်နိုင်ခဲ့ပါ။ သက်သေအထောက်အထားများတွင် သီးခြားအက်ပ်စွမ်းရည်များနှင့် ခွင့်ပြုထားသော ရုပ်ပိုင်းဆိုင်ရာ သရုပ်ပြမှုများ ပါဝင်သည်။ သင်၏ ခွင့်ပြုချက်အပေါ် မှီခိုနေရသော အချက်အလက်များကို မည်သည့်ဝန်ဆောင်မှုက ပြောင်းလဲနိုင်သည်ကို မေးပါ။ စကားဝှက် ပြန်လည်သတ်မှတ်ခြင်းနှင့် အဆက်အသွယ် ပြောင်းလဲခြင်းတို့သည် အရေးကြီးသည်၊ အဘယ်ကြောင့်ဆိုသော် အခြားစနစ်များက ၎င်းတို့ကို အမှန်တရားအဖြစ် လက်ခံသောကြောင့်ဖြစ်သည်။

4:41 မှန်ကန်သော login သည် ပြန်လည်ရေးသားထားသော identity အပေါ်တွင် တည်ရှိနိုင်သည်။ မှန်ကန်သော login သည် ပြန်လည်ရေးသားထားသော identity အပေါ်တွင် တည်ရှိနိုင်သည်။ ဤကားပုံပြင်သည် ထိုနေရာတွင် သင်၏အက်ပ်ပုံပြင်ဖြစ်လာသည်။

### ကားက တကယ်နာခံတယ်ဆိုတာ ဘာက သက်သေပြတာလဲ။

4:48 နောက်ဆုံးစစ်ဆေးမှုက ကားဘေးမှာ ဖြစ်ပျက်ခဲ့ပါတယ်။ Curry က လက်ခံရရှိတဲ့ API command တစ်ခုတည်းက ကားရဲ့ အမူအကျင့်နဲ့ ပတ်သက်ပြီး ဘာကိုမှ သက်သေမပြနိုင်ဘူးလို့ ဆိုပါတယ်။ သူတို့က ၎င်းရဲ့ status ကို ပြန်လည်စစ်ဆေးပြီး ပိုင်ရှင်က ဘေးမှာရပ်နေတဲ့ ရုပ်ပိုင်းဆိုင်ရာရလဒ်ကို အတည်ပြုခဲ့ပါတယ်။ Shah က ယာဉ်ကို သော့ဖွင့်ပြီး စတင်မောင်းနှင်ခဲ့ပြီးနောက် ရပ်တန့်ကာ ပြန်လည်သော့ခတ်ခဲ့သည်။ သက်သေအထောက်အထားသည် ကားလမ်းပေါ်သို့ ရောက်ရှိခဲ့သည်။ ကျွန်ုပ်ပြောသည်ကို နားထောင်မည့်အစား ဖတ်ရှုလိုပါက The diff သည် သင်၏ inbox သို့ နေ့တိုင်းနံနက်တိုင်း အခမဲ့ရောက်ရှိပါမည်။ dailydiff.dev တွင် အောက်ပါလင့်ခ်ကို ကြည့်ရှုပါ။

### ဘယ်နယ်နိမိတ်ကို ပြန်သုံးသပ်ဖို့လိုသလဲ။

5:10 ဒါကြောင့် ဒီနေ့ရဲ့ ဆုံးဖြတ်ချက်က NEEDS REVIEW ပါ။ ရုပ်ပိုင်းဆိုင်ရာ ထိန်းချုပ်မှုများအတွက် ယုံကြည်မှုမပေးမီ customer identity ထဲသို့ စီမံခန့်ခွဲရေး လမ်းကြောင်းများကို စစ်ဆေးပါမည်။ အစီရင်ခံထားသော US ပြုပြင်မှုကို ချီးကျူးထိုက်ပါသည်။ downstream service တိုင်းက ယုံကြည်တဲ့ ပိုင်ရှင်ကို ဘယ်သူက ပြန်လည်သတ်မှတ်နိုင်မလဲ။ ဒါကတော့ ဒီနေ့အတွက် diff ပါ။ ကျွန်တော်က Axrisi က Niko ပါ။ တာဝန်ယူမှုရှိစွာ ပေါင်းစည်းပါ။

## ရင်းမြစ်များ

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip