# Segurança de identidade do carro conectado: autoridade do proprietário e prova física Published: 2026-11-10 Shubham Shah e Sam Curry relatam acesso administrativo de identidade que levou à autoridade de aplicativo de carro conectado equivalente ao proprietário em veículos com permissão. Suas publicações de 7 de novembro descrevem pesquisas anteriores. O relatório complementar dos EUA informa remediação no mesmo dia; a conta australiana separada de julho deixa seu status de remediação atual não especificado. Canonical: https://thedailydiff.dev/pt-BR/video/2026-11-09-car-identity-chain/ ## O que este vídeo aborda - O controle administrativo da identidade confiável do cliente pode afetar a autoridade do veículo concedida pelos serviços de aplicativos downstream. - Curry limita os testes completos da cadeia de veículos a contas e veículos dos EUA; o alcance do diretório regional e a reivindicação combinada mais ampla de Shah têm escopos diferentes. - A resposta de aproximadamente duas horas pertence à linha do tempo de divulgação do relatório complementar dos EUA. O relatório australiano não fornece data de remediação correspondente. - Os comandos suportados dependem do modelo, assinatura e serviços conectados ativos. Não foi estabelecida a condução ou a desativação do imobilizador. - Os pesquisadores atualizaram o status do veículo e confirmaram os efeitos físicos com o proprietário ao lado do veículo. - O guia de produção versionado do PingIDM recomenda remover ou proteger as ferramentas de desenvolvimento e identifica um sistema de autenticação de console separado. ## Perguntas e respostas ### Como o acesso ao servidor de identidade se tornou autoridade de carro conectado? O acesso administrativo de identidade permitiu que os pesquisadores obtivessem autoridade de aplicativo equivalente ao proprietário, de acordo com Shubham Shah e Sam Curry. O serviço conectado associou contas de clientes a veículos e comandos suportados. A conta deles distingue acesso de administrador, uma sessão de cliente concluída e os tokens de aplicativo móvel aceitos por seus serviços. As demonstrações usaram veículos permitidos. ### O que as datas relatadas e os escopos regionais estabelecem? O relatório complementar dos EUA descreve pesquisas anteriores e uma correção no mesmo dia após a divulgação. Curry limita os testes completos da cadeia de veículos a contas e veículos dos EUA, enquanto os diretórios de identidade afetados atendiam a várias regiões. Shah descreve separadamente a pesquisa australiana que começou em julho. Seu artigo deixa o status de remediação australiano atual não especificado, portanto, as fontes não estabelecem uma única linha do tempo de descoberta ou reparo mundial. ### O que as diretrizes de endurecimento de produção dizem sobre os consoles de desenvolvimento? Remova ou proteja as ferramentas de desenvolvimento e depuração antes da produção, de acordo com o guia de segurança versionado do Ping Identity. Ele identifica o console como tendo autenticação separada da autenticação do produto de identidade. Essa distinção torna um console seu próprio limite de revisão. O episódio recomenda inventariar as superfícies administrativas e verificar qual sistema de autenticação protege cada uma. ### Como os pesquisadores confirmaram um resultado físico do veículo? Eles atualizaram o status do veículo e verificaram o resultado físico com o proprietário ao lado do veículo, de acordo com o relatório complementar de Shah e Curry nos EUA. A aceitação da API sozinha não provou ação. Shah destrancou e ligou o veículo, depois o desligou e o trancou novamente. A evidência relatada abrange comandos de aplicativo suportados; dirigir ou desativar um imobilizador não foi estabelecido. ### Qual foi o veredito do The Daily Diff sobre o limite de confiança da identidade? O veredito do The Daily Diff foi NEEDS REVIEW. Niko auditaria os caminhos administrativos para a identidade confiável do cliente antes de confiar neles para controles físicos, enquanto creditava a correção relatada nos EUA. As contas de Shah e Curry mostram por que o controle upstream sobre os registros de identidade é importante para a autorização downstream. O veredito não afirma uma vulnerabilidade mundial contínua. ## Capítulos - 0:00 Como um login se tornou uma chave de carro? - 0:33 O que foi recém-publicado e o que já foi corrigido? - 0:59 Qual identidade o serviço do veículo confia? - 1:41 Por que um console de desenvolvimento importava? - 2:42 Quando uma sessão se torna autoridade de aplicativo? - 3:29 O que a remediação realmente cobriu? - 4:48 O que provou que o carro realmente obedeceu? - 5:10 Qual limite precisa de revisão? ## Transcrição traduzida Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube. ### Como um login se tornou uma chave de carro? 0:00 O aplicativo do seu carro verifica se você é o proprietário. Pesquisadores fizeram seu servidor de identidade atestar por eles em vez disso. Neste vídeo, como o login se tornou autoridade de veículo? E o que provou que um carro realmente obedeceu? É segunda-feira, nove de novembro, e este é O Daily Diff. Uma verificação final separa uma tela convincente de um carro destrancado. Serviços de carro conectado são os sistemas online por trás do aplicativo de telefone de um proprietário. Shubham Shah e Sam Curry relatam que o acesso administrativo de identidade os deixou 0:25 obter a mesma autoridade de aplicativo que um proprietário. Eles demonstraram comandos remotos em veículos permitidos. A conta deles nos EUA diz que as falhas foram corrigidas após a divulgação. ### O que foi recém-publicado e o que já foi corrigido? 0:33 Ambos os artigos apareceram em sete de novembro. Curry data sua divulgação para o início deste ano. Shah descreve a pesquisa australiana que começou em julho. Essas são linhas do tempo diferentes. Lê-los como uma emergência mundial daria à manchete mais potência do que a evidência. Shah comprou um dos SUVs da montadora não nomeada em 2023. Qual serviço de internet recebe o toque quando destranco meu carro? 0:53 Ele e Curry passaram duas semanas examinando o sistema de identidade. O controle remoto adquiriu uma equipe de backend. O aplicativo faz login e carrega sua garagem. ### Qual identidade o serviço do veículo confia? 1:01 O serviço conectado associa essa conta a veículos e comandos permitidos. Essa relação é a resposta útil. Quem controla a identidade confiável do cliente pode herdar capacidades destinadas ao cliente. Na Austrália, uma ferramenta de gerenciamento público expôs informações do cliente através de interfaces protegidas por chaves enviadas no JavaScript do navegador. Definição ambiciosa de segredo. Shah também encontrou credenciais de administrador de identidade em um pacote de fornecedor, 1:24 e relatou que elas funcionavam em produção. O perímetro bloqueou rotas sensíveis. Mas as camadas de software interpretaram a mesma solicitação de forma diferente. Curry diz que a borda tratou um caminho como conteúdo estático enquanto o backend alcançava um console de administração. O tapete de boas-vindas e a porta trancada estavam consultando mapas diferentes. ### Por que um console de desenvolvimento importava? 1:41 Esse console ainda aceitava credenciais de administrador padrão, de acordo com Curry. O guia de produção já diz aos operadores para removê-lo ou protegê-lo, e diz que sua autenticação é separada da autenticação do produto de identidade. Outro login escondido entre os pontos da lista de verificação. As ferramentas de administração expostas permitiram que o código fosse executado dentro do serviço de identidade. Os pesquisadores acessaram registros de clientes por trás do limite de filtragem público. Um filtro de perímetro verifica o tráfego que cruza esse perímetro. 2:06 Um processo já dentro do serviço tem uma relação diferente com os dados. Isso explica o problema multifatorial na conta dos EUA. Os registros de identidade forneceram as informações de login e o destino para um código de verificação de e-mail. O controle administrativo sobre esses registros permitiu que os pesquisadores concluíssem o login. A definição upstream do cliente já havia mudado. Shah descreve uma misconfiguração de autenticação australiana separada que permitiu sua cadeia pular o fator extra. 2:31 Chamar a autenticação multifator de quebrada em todos os lugares apagaria os detalhes de configuração que os desenvolvedores precisam. Apagar os detalhes de configuração que os desenvolvedores precisam seria errar. Mantenha seu fator extra. Mantenha o sistema que define seu proprietário como confiável também. As credenciais têm trabalhos diferentes. ### Quando uma sessão se torna autoridade de aplicativo? 2:43 O acesso de administrador controla os registros de identidade. Uma sessão de cliente representa um login concluído. O aplicativo móvel obtém tokens aceitos por seus serviços. Chamar todos esses de token mágico perde os limites que tornaram o acesso equivalente ao proprietário possível. Curry descreve os diretórios de identidade de duas montadoras não nomeadas em várias regiões. Ele limita os testes completos de veículos a contas e veículos dos EUA. Shah descreve uma montadora em duas marcas australianas, 3:09 então reivindica um alcance combinado mais amplo. Esses escopos diferentes não nos dão base para identificar as empresas. Hacker News discute se o desbloqueio do telefone deveria existir. Uma resposta aponta para verificar um cadeado esquecido e resfriar ou aquecer o carro. As pessoas gostam de recursos úteis. Dar conveniência aos clientes também dá ao serviço um trabalho caro. Ele tem que ganhar sua autoridade. ### O que a remediação realmente cobriu? 3:29 Curry relata que ambas as montadoras corrigiram a vulnerabilidade cerca de duas horas depois de recebê-la e rotacionaram as credenciais afetadas. Essa é a linha do tempo do relatório complementar dos EUA. O relatório de julho de Shah não fornece uma linha do tempo de remediação correspondente. Sua conta deixa o status de remediação atual da Austrália não especificado. Não podemos transformar a resposta de duas horas em um cronômetro de reparo global. Para desenvolvedores, comece com a superfície de administração. Inventarie o que é exposto e qual sistema de autenticação o protege. 3:55 Remova ferramentas de desenvolvimento não utilizadas. Proteja as ferramentas que você mantém. Revise a interpretação da solicitação de cada camada antes de tratar uma regra de borda como a última palavra sobre acesso. Shah diz que a cadeia australiana finalmente funcionou por volta da meia-noite, abrindo um carro que eles tinham permissão para testar. Encanamento de identidade com um final satisfatório. Um artigo ganha sua conclusão verificando o outro lado. 4:14 A confiança do backend é apenas metade da conversa. A conta de Curry nos EUA diz que as capacidades dependem do modelo do veículo, assinatura e serviços conectados ativos. Os comandos suportados incluem destravamento de porta e partida remota do motor. Nenhum dos artigos estabelece dirigir ou desativar um imobilizador. A evidência abrange capacidades de aplicativo particulares e demonstrações físicas permitidas. Pergunte qual serviço pode alterar os fatos nos quais sua autorização se baseia. Redefinições de senha e alterações de contato importam porque outros sistemas os consomem 4:41 como verdade. Um login válido pode se basear em uma identidade reescrita. Esta história do carro se torna sua história de aplicativo lá. ### O que provou que o carro realmente obedeceu? 4:48 A verificação final aconteceu ao lado do carro. Curry diz que um comando de API aceito sozinho não provou nada sobre o comportamento do carro. Eles atualizaram seu status e confirmaram o resultado físico com o proprietário em pé ao lado dele. Shah destrancou e ligou o veículo, depois o desligou e o trancou novamente. A prova chegou à garagem. Se você preferir ler isso a me ouvir dizer, o diff chega à sua caixa de entrada todas as manhãs, gratuitamente em the daily diff dot dev, link abaixo. ### Qual limite precisa de revisão? 5:10 Então, o veredito de hoje, NEEDS REVIEW. Eu auditaria os caminhos administrativos para a identidade do cliente antes de confiar neles com controles físicos. A correção relatada nos EUA merece crédito. Quem pode redefinir o proprietário em quem todo serviço downstream acredita? E esse é o diff de hoje. Sou Niko da Axrisi. Faça a fusão com responsabilidade. ## Fontes - [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry - [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah - [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity - [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News - [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons - [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons - [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry - [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY - [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies - [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip