# Bezpieczeństwo tożsamości połączonego samochodu: uprawnienia właściciela i fizyczny dowód Published: 2026-11-10 Shubham Shah i Sam Curry zgłaszają dostęp do tożsamości administracyjnej, który doprowadził do uprawnień aplikacji samochodowej opartej na połączonych pojazdach równoważnych z właścicielem w pojazdach z nadanymi uprawnieniami. Ich publikacje z 7 listopada opisują wcześniejsze badania. Towarzyszący raport z USA informuje o naprawie tego samego dnia; oddzielny lipcowy raport australijski pozostawia jego obecny status naprawy nieokreślony. Canonical: https://thedailydiff.dev/pl/video/2026-11-09-car-identity-chain/ ## Co obejmuje ten film - Administracyjna kontrola zaufanej tożsamości klienta może wpływać na uprawnienia pojazdu nadane przez podrzędne usługi aplikacji. - Curry ogranicza kompletne testy łańcucha pojazdów do kont i pojazdów w USA; zasięg katalogu regionalnego i szersze, połączone roszczenie Shaha mają różne zakresy. - Około dwugodzinna odpowiedź należy do harmonogramu ujawnienia towarzyszącego raportu z USA. Australijskie konto nie podaje pasującej daty naprawy. - Obsługiwane polecenia zależą od modelu, subskrypcji i aktywnych usług połączonych. Nie stwierdzono możliwości prowadzenia ani unieruchomienia pojazdu. - Badacze odświeżyli status pojazdu i potwierdzili fizyczne efekty z właścicielem obok pojazdu. - Wersjonowany przewodnik produkcyjny PingIDM zaleca usunięcie lub ochronę narzędzi programistycznych i identyfikuje oddzielny system uwierzytelniania konsoli. ## Pytania i odpowiedzi ### Jak dostęp do serwera tożsamości stał się autoryzacją połączonego samochodu? Administracyjny dostęp do tożsamości pozwolił badaczom uzyskać uprawnienia aplikacji równoważne z uprawnieniami właściciela, według Shubham Shaha i Sama Curry'ego. Połączona usługa kojarzyła konta klientów z pojazdami i obsługiwanymi poleceniami. Ich raport rozróżnia dostęp administratora, ukończoną sesję klienta i tokeny aplikacji mobilnej akceptowane przez jej usługi. Demonstracje wykorzystywały pojazdy z nadanymi uprawnieniami. ### Co ustalają zgłoszone daty i zakresy regionalne? Raport z USA opisuje wcześniejsze badania i naprawę tego samego dnia po ujawnieniu. Curry ogranicza kompletne testy łańcucha pojazdów do kont i pojazdów w USA, podczas gdy dotknięte katalogi tożsamości obsługiwały wiele regionów. Shah oddzielnie opisuje australijskie badania rozpoczęte w lipcu. Jego artykuł pozostawia obecny status naprawy w Australii nieokreślony, więc źródła nie ustalają jednej globalnej osi czasu odkrycia lub naprawy. ### Co mówi wytyczna dotycząca utwardzania produkcji o konsolach programistycznych? Usuń lub chroń narzędzia programistyczne i debugowania przed produkcją, zgodnie z wersjonowanym przewodnikiem bezpieczeństwa Ping Identity. Identyfikuje on konsolę jako posiadającą oddzielne uwierzytelnianie od uwierzytelniania produktu tożsamości. To rozróżnienie sprawia, że konsola jest własną granicą przeglądu. Odcinek zaleca inwentaryzację powierzchni administracyjnych i sprawdzenie, który system uwierzytelniania chroni każdą z nich. ### Jak badacze potwierdzili fizyczny wynik w pojeździe? Odświeżyli status pojazdu i sprawdzili fizyczny wynik z właścicielem obok pojazdu, zgodnie z raportem Shaha i Curry'ego z USA. Sama akceptacja API nie dowiodła działania. Shah odblokował i uruchomił pojazd, następnie zatrzymał go i ponownie zablokował. Zgłoszone dowody obejmują obsługiwane polecenia aplikacji; nie stwierdzono możliwości odjechania ani unieruchomienia pojazdu. ### Jaki był werdykt The Daily Diff w sprawie granicy zaufania tożsamości? Werdykt The Daily Diff brzmiał NEEDS REVIEW. Niko przeprowadziłby audyt ścieżek administracyjnych do zaufanej tożsamości klienta, zanim zaufałby im w kwestii fizycznych kontroli, jednocześnie uznając zgłoszoną poprawkę w USA. Raporty Shaha i Curry'ego pokazują, dlaczego kontrola nad rekordami tożsamości na wcześniejszym etapie ma znaczenie dla autoryzacji na późniejszym etapie. Werdykt nie potwierdza ciągłej globalnej luki. ## Rozdziały - 0:00 Jak login stał się kluczykiem do samochodu? - 0:33 Co zostało nowo opublikowane, a co już naprawione? - 0:59 Której tożsamości ufa usługa pojazdu? - 1:41 Dlaczego konsola programistyczna miała znaczenie? - 2:42 Kiedy sesja staje się autoryzacją aplikacji? - 3:29 Co faktycznie obejmowała naprawa? - 4:48 Co dowiodło, że samochód faktycznie posłuchał? - 5:10 Która granica wymaga przeglądu? ## Przetłumaczona transkrypcja Przetłumaczono z oryginalnej narracji angielskiej. Dostępne audio i napisy są kontrolowane przez YouTube. ### Jak login stał się kluczykiem do samochodu? 0:00 Aplikacja Twojego samochodu sprawdza, czy jesteś właścicielem. Badacze zamiast tego sprawili, że ich serwer tożsamości poświadczył za nich. W tym filmie, jak login stał się autoryzacją pojazdu? I co dowiodło, że samochód faktycznie posłuchał? Jest poniedziałek, dziewiąty listopada, a to jest The Daily Diff. Ostatnie sprawdzenie dzieli przekonujący ekran od odblokowanego samochodu. Usługi samochodów połączonych to systemy online stojące za aplikacją telefoniczną właściciela. Shubham Shah i Sam Curry donoszą, że administracyjny dostęp do tożsamości pozwolił im 0:25 uzyskać te same uprawnienia aplikacji co właściciel. Zdemonstrowali zdalne sterowanie w pojazdach z nadanymi uprawnieniami. Ich raport z USA mówi, że usterki zostały naprawione po ujawnieniu. ### Co zostało nowo opublikowane, a co już naprawione? 0:33 Oba artykuły ukazały się siódmego listopada. Curry datuje swoje ujawnienie na początek tego roku. Shah opisuje australijskie badania rozpoczęte w lipcu. To są różne osie czasu. Czytanie ich jako jednego światowego zagrożenia nadałoby nagłówkowi więcej mocy niż dowody. Shah kupił jednego z SUV-ów nienazwanego producenta samochodów w 2023 roku. Która usługa internetowa odbiera sygnał, gdy odblokowuję samochód? 0:53 On i Curry spędzili dwa tygodnie badając system tożsamości. Kluczyk zdalnego sterowania zyskał zespół zaplecza. Aplikacja loguje Cię i ładuje Twój garaż. ### Której tożsamości ufa usługa pojazdu? 1:01 Połączona usługa kojarzy to konto z pojazdami i dozwolonymi poleceniami. Ten związek jest użyteczną odpowiedzią. Ktokolwiek kontroluje zaufaną tożsamość klienta, może odziedziczyć możliwości przeznaczone dla klienta. W Australii publiczne narzędzie do zarządzania ujawniło informacje o klientach poprzez interfejsy chronione kluczami dostarczonymi w kodzie JavaScript przeglądarki. Ambitna definicja tajemnicy. Shah znalazł również dane uwierzytelniające administratora tożsamości w pakiecie dostawcy, 1:24 i zgłosił, że działały one w środowisku produkcyjnym. Granica blokowała wrażliwe trasy. Ale warstwy oprogramowania interpretowały to samo żądanie inaczej. Curry mówi, że krawędź traktowała ścieżkę jako zawartość statyczną, podczas gdy zaplecze uzyskiwało dostęp do konsoli administracyjnej. Wyjściowy dywanik i zamknięte drzwi konsultowały się z różnymi mapami. ### Dlaczego konsola programistyczna miała znaczenie? 1:41 Ta konsola nadal akceptowała domyślne dane uwierzytelniające administratora, według Curry'ego. Przewodnik produkcyjny już instruuje operatorów, aby ją usunęli lub zabezpieczyli, i mówi, że jej uwierzytelnianie jest oddzielne od uwierzytelniania produktu tożsamości. Kolejny login ukryty między punktami listy kontrolnej. Ujawnione narzędzia administracyjne pozwalały na uruchamianie kodu w usłudze tożsamości. Badacze uzyskali dostęp do rekordów klientów za publiczną granicą filtrowania. Filtr graniczny sprawdza ruch przekraczający tę granicę. 2:06 Proces już znajdujący się w usłudze ma inny związek z danymi. To wyjaśnia problem z wieloczynnikowością w raporcie z USA. Rekordy tożsamości dostarczały informacje logowania i adres docelowy dla kodu weryfikacji e-mail. Administracyjna kontrola nad tymi rekordami pozwoliła badaczom ukończyć logowanie. Definicja klienta na wcześniejszym etapie już się zmieniła. Shah opisuje oddzielną australijską błędną konfigurację uwierzytelniania, która pozwoliła jego łańcuchowi pominąć dodatkowy czynnik. 2:31 Stwierdzenie, że uwierzytelnianie wieloskładnikowe jest zepsute wszędzie, wymazałoby szczegóły konfiguracji, których potrzebują deweloperzy. Zachowaj swój dodatkowy czynnik. Zachowaj również system definiujący jego właściciela jako godny zaufania. Dane uwierzytelniające mają różne zadania. ### Kiedy sesja staje się autoryzacją aplikacji? 2:43 Dostęp administratora kontroluje rekordy tożsamości. Sesja klienta reprezentuje ukończone logowanie. Aplikacja mobilna uzyskuje tokeny akceptowane przez jej usługi. Nazywanie wszystkich tych rzeczy magicznym tokenem pomija granice, które umożliwiły dostęp równoważny właścicielowi. Curry opisuje katalogi tożsamości dwóch nienazwanych producentów samochodów w wielu regionach. Ogranicza kompletne testy pojazdów do kont i pojazdów w USA. Shah opisuje jednego producenta samochodów w dwóch australijskich markach, 3:09 następnie twierdzi, że ma szerszy, łączny zasięg. Te różne zakresy nie dają nam podstaw do identyfikacji firm. Hacker News dyskutuje, czy odblokowanie telefonu powinno w ogóle istnieć. Jedna z odpowiedzi wskazuje na sprawdzanie zapomnianej blokady i chłodzenie lub ogrzewanie samochodu. Ludzie lubią przydatne funkcje. Zapewnianie klientom wygody daje również usłudze kosztowne zadanie. Musi zasłużyć na swoje uprawnienia. ### Co faktycznie obejmowała naprawa? 3:29 Curry donosi, że obaj producenci samochodów naprawili lukę w ciągu około dwóch godzin po jej otrzymaniu i zmienili dotknięte dane uwierzytelniające. To jest harmonogram towarzyszącego raportu z USA. Raport Shaha z lipca nie podaje pasującego harmonogramu naprawy. Jego raport pozostawia obecny status naprawy w Australii nieokreślony. Nie możemy zamienić dwugodzinnej odpowiedzi w globalny stoper napraw. Dla deweloperów, zacznij od powierzchni administracyjnej. Zrób inwentaryzację tego, co jest ujawnione i jaki system uwierzytelniania to chroni. 3:55 Usuń nieużywane narzędzia programistyczne. Chroń narzędzia, które zatrzymujesz. Przejrzyj interpretację żądań przez każdą warstwę, zanim potraktujesz regułę krawędzi jako ostatnie słowo w kwestii dostępu. Shah mówi, że australijski łańcuch w końcu zadziałał około północy, otwierając samochód, który mogli testować. Tożsamość z satysfakcjonującym zakończeniem. Raport zasługuje na swoje zakończenie, sprawdzając drugą stronę. 4:14 Zaufanie zaplecza to tylko połowa rozmowy. Raport Curry'ego z USA mówi, że możliwości zależą od modelu pojazdu, subskrypcji i aktywnych usług połączonych. Obsługiwane polecenia obejmują odblokowanie drzwi i zdalne uruchomienie silnika. Żaden z raportów nie potwierdza odjechania ani unieruchomienia pojazdu. Dowody obejmują konkretne możliwości aplikacji i dozwolone fizyczne demonstracje. Zapytaj, która usługa może zmienić fakty, na których opiera się Twoja autoryzacja. Resetowanie haseł i zmiany danych kontaktowych są ważne, ponieważ inne systemy traktują je 4:41 jako prawdę. Prawidłowy login może opierać się na przepisanej tożsamości. Ta historia samochodu staje się tam historią Twojej aplikacji. ### Co dowiodło, że samochód faktycznie posłuchał? 4:48 Ostatnie sprawdzenie odbyło się obok samochodu. Curry mówi, że samo zaakceptowane polecenie API niczego nie dowiodło o zachowaniu samochodu. Odświeżyli jego status i potwierdzili fizyczny wynik z właścicielem stojącym obok. Shah odblokował i uruchomił pojazd, następnie zatrzymał go i ponownie zablokował. Dowód dotarł na podjazd. Jeśli wolisz to przeczytać niż usłyszeć, diff ląduje w Twojej skrzynce każdego ranka, za darmo na daily diff dot dev, link poniżej. Tak więc, dzisiejszy werdykt, NEEDS REVIEW. ### Która granica wymaga przeglądu? 5:10 Przeprowadziłbym audyt ścieżek administracyjnych do tożsamości klienta, zanim zaufałbym im w kwestii fizycznych kontroli. Zgłoszona poprawka w USA zasługuje na uznanie. Kto może przedefiniować właściciela, w którego wierzy każda podrzędna usługa? I to tyle na dziś. Jestem Niko z Axrisi. Łącz odpowiedzialnie. Scalaj odpowiedzialnie. ## Źródła - [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry - [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah - [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity - [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News - [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons - [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons - [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry - [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY - [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies - [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip