# Безопасность идентификации подключенных автомобилей: полномочия владельца и физическое доказательство

Published: 2026-11-10

Шубхам Шах и Сэм Карри сообщают об административном доступе к идентификационным данным, который привел к получению прав, эквивалентных правам владельца, на подключенные автомобильные приложения для авторизованных транспортных средств. Их публикации от 7 ноября описывают более ранние исследования. Аналогичный отчет из США сообщает о немедленном устранении проблемы в тот же день; отдельный июльский отчет из Австралии оставляет текущий статус устранения неуказанным.

Canonical: https://thedailydiff.dev/ru/video/2026-11-09-car-identity-chain/

## Что освещается в этом видео

- Административный контроль над доверенной идентификацией клиента может влиять на полномочия транспортного средства, предоставляемые нижестоящими службами приложений.
- Карри ограничивает полное тестирование цепочки транспортных средств учетными записями и транспортными средствами США; охват региональных каталогов и более широкое комбинированное заявление Шаха имеют разные масштабы.
- Приблизительно двухчасовой ответ относится к срокам раскрытия информации, указанным в американском отчете. Австралийский отчет не содержит соответствующей даты устранения проблемы.
- Поддерживаемые команды зависят от модели, подписки и активных подключенных услуг. Управление автомобилем или отключение иммобилайзера не были установлены.
- Исследователи обновили статус автомобиля и подтвердили физические эффекты в присутствии владельца рядом с автомобилем.
- Версионное руководство по производству PingIDM рекомендует удалять или защищать средства разработки и определяет отдельную систему аутентификации консоли.

## Вопросы и ответы

### Как доступ к серверу идентификации стал полномочием на управление подключенным автомобилем?

Административный доступ к идентификационным данным позволил исследователям получить полномочия приложения, эквивалентные полномочиям владельца, согласно Шубхаму Шаху и Сэму Карри. Подключенная служба связывала учетные записи клиентов с транспортными средствами и поддерживаемыми командами. Их отчет различает административный доступ, завершенную сессию клиента и токены мобильного приложения, принимаемые его службами. Демонстрации проводились на разрешенных транспортных средствах.

### Что устанавливают сообщенные даты и региональные масштабы?

Американский отчет описывает более ранние исследования и исправление в тот же день после раскрытия информации. Карри ограничивает полное тестирование цепочки транспортных средств учетными записями и транспортными средствами США, в то время как затронутые каталоги идентификации обслуживали несколько регионов. Шах отдельно описывает австралийское исследование, начавшееся в июле. Его статья оставляет текущий статус устранения проблемы в Австралии без уточнения, поэтому источники не устанавливают единую всемирную временную шкалу обнаружения или ремонта.

### Что говорят рекомендации по усилению защиты в продакшене о консолях разработки?

Удалите или защитите инструменты разработки и отладки перед продакшеном, согласно версионному руководству по безопасности Ping Identity. Оно указывает, что консоль имеет отдельную от продукта идентификации аутентификацию. Это различие делает консоль собственной границей проверки. Эпизод рекомендует инвентаризировать административные поверхности и проверять, какая система аутентификации защищает каждую из них.

### Как исследователи подтвердили физический результат на автомобиле?

Они обновили статус автомобиля и проверили физический результат в присутствии владельца рядом с автомобилем, согласно Шубхаму Шаху и американскому отчету Карри. Одно лишь принятие API не доказывало действия. Шах разблокировал и завел автомобиль, затем заглушил его и снова заблокировал. Сообщенные доказательства охватывают поддерживаемые команды приложения; управление автомобилем или отключение иммобилайзера не были установлены.

### Каков был вердикт The Daily Diff по границе доверия идентификации?

Вердикт The Daily Diff был NEEDS REVIEW. Нико проверил бы административные пути к доверенным идентификационным данным клиента, прежде чем полагаться на них для физического контроля, при этом отдавая должное сообщенному американскому исправлению. Отчеты Шаха и Карри показывают, почему контроль над записями идентификации вышестоящими системами важен для нижестоящей авторизации. Вердикт не утверждает о продолжающейся всемирной уязвимости.

## Главы

- 0:00 Как логин стал ключом от машины?
- 0:33 Что нового опубликовано, а что уже исправлено?
- 0:59 Какой идентификации доверяет служба автомобиля?
- 1:41 Почему консоль разработки имела значение?
- 2:42 Когда сессия становится полномочием приложения?
- 3:29 Что на самом деле охватывало устранение проблемы?
- 4:48 Что доказало, что машина действительно подчинялась?
- 5:10 Какая граница требует проверки?

## Переведенная стенограмма

Переведено с оригинального английского повествования. Доступные аудио и субтитры контролируются YouTube.

### Как логин стал ключом от машины?

0:00 Приложение вашего автомобиля проверяет, что вы являетесь владельцем. Исследователи заставили его сервер идентификации ручаться за них вместо этого. В этом видео: как логин стал полномочием на управление автомобилем? И что доказало, что машина действительно подчинялась? Сегодня понедельник, девятое ноября, и это The Daily Diff. Одна последняя проверка отделяет убедительный экран от разблокированного автомобиля. Службы подключенных автомобилей — это онлайн-системы, стоящие за мобильным приложением владельца. Шубхам Шах и Сэм Карри сообщают, что административный доступ к идентификационным данным позволил им

0:25 получить те же полномочия приложения, что и владелец. Они продемонстрировали удаленные команды на разрешенных транспортных средствах. Их отчет из США гласит, что недостатки были устранены после раскрытия информации.

### Что нового опубликовано, а что уже исправлено?

0:33 Оба отчета появились седьмого ноября. Карри датирует свое раскрытие информации началом этого года. Шах описывает австралийское исследование, начавшееся в июле. Это разные временные рамки. Воспринимать их как единую всемирную чрезвычайную ситуацию значило бы придать заголовку больше мощности, чем есть доказательств. Шах купил один из внедорожников неназванного автопроизводителя в две тысячи двадцать третьем году. Какой интернет-сервис получает запрос, когда я разблокирую свою машину?

0:53 Он и Карри потратили две недели на изучение системы идентификации. Брелок получил команду бэкэнда. Приложение входит в систему и загружает ваш гараж.

### Какой идентификации доверяет служба автомобиля?

1:01 Подключенная служба связывает эту учетную запись с транспортными средствами и разрешенными командами. Это отношение и есть полезный ответ. Тот, кто контролирует доверенную идентификацию клиента, может унаследовать возможности, предназначенные для клиента. В Австралии публичный инструмент управления раскрыл информацию о клиентах через интерфейсы, защищенные ключами, поставляемыми в браузере JavaScript. Амбициозное определение секрета. Шах также обнаружил учетные данные администратора идентификации в комплекте поставщика,

1:24 и сообщил, что они работали в продакшене. Периметр блокировал конфиденциальные маршруты. Но программные слои по-разному интерпретировали один и тот же запрос. Карри говорит, что пограничный сервер обрабатывал путь как статический контент, в то время как бэкэнд достигал консоли администрирования. Приветственный коврик и запертая дверь использовали разные карты.

### Почему консоль разработки имела значение?

1:41 Эта консоль все еще принимала стандартные учетные данные администратора, согласно Карри. Руководство по производству уже предписывает операторам удалить или защитить ее, и говорит, что ее аутентификация отличается от аутентификации продукта идентификации. Еще один логин, скрывающийся между пунктами чек-листа. Раскрытые административные инструменты позволяли запускать код внутри службы идентификации. Исследователи получили доступ к записям клиентов за пределами публичной границы фильтрации. Фильтр периметра проверяет трафик, пересекающий этот периметр.

2:06 Процесс, уже находящийся внутри службы, имеет другое отношение к данным. Это объясняет проблему многофакторной аутентификации в американском отчете. Записи идентификации предоставили информацию для входа и адрес назначения для электронного кода подтверждения. Административный контроль над этими записями позволил исследователям завершить вход. Предшествующее определение клиента уже изменилось. Шах описывает отдельную австралийскую ошибку конфигурации аутентификации, которая позволила его цепочке пропустить дополнительный фактор.

2:31 Назвать многофакторную аутентификацию сломанной повсюду означало бы стереть детали конфигурации, которые нужны разработчикам. Сохраните свой дополнительный фактор. Сохраните систему, определяющую ее владельца, тоже надежной. У учетных данных разные задачи.

### Когда сессия становится полномочием приложения?

2:43 Доступ администратора контролирует записи идентификации. Сессия клиента представляет собой завершенный вход. Мобильное приложение получает токены, принимаемые его службами. Называть все это волшебным токеном означает потерять границы, которые сделали возможным доступ, эквивалентный доступу владельца. Карри описывает каталоги идентификации двух неназванных автопроизводителей в нескольких регионах. Он ограничивает полное тестирование транспортных средств учетными записями и транспортными средствами США. Шах описывает одного автопроизводителя двух австралийских марок,

3:09 затем заявляет о более широком комбинированном охвате. Эти разные масштабы не дают нам оснований для идентификации компаний. Hacker News спорит о том, должно ли существовать разблокировка телефона. Один ответ указывает на проверку забытого замка и охлаждение или обогрев автомобиля. Людям нравятся полезные функции. Предоставление клиентам удобства также возлагает на службу дорогостоящую работу. Она должна заслужить свои полномочия.

### Что на самом деле охватывало устранение проблемы?

3:29 Карри сообщает, что оба автопроизводителя устранили уязвимость примерно через два часа после ее получения и обновили затронутые учетные данные. Это временная шкала американского отчета. Июльский отчет Шаха не содержит соответствующей временной шкалы устранения проблемы. Его отчет оставляет текущий статус устранения проблемы в Австралии без уточнения. Мы не можем превратить двухчасовой ответ в глобальный секундомер ремонта. Для разработчиков начните с административного интерфейса. Проинвентаризируйте, что подвержено риску, и какая система аутентификации его защищает.

3:55 Удалите неиспользуемые инструменты разработки. Защитите инструменты, которые вы сохраняете. Просмотрите интерпретацию запросов каждым слоем, прежде чем считать пограничное правило последним словом по доступу. Шах говорит, что австралийская цепочка наконец заработала около полуночи, открыв машину, которую им разрешили тестировать. Идентификационная система с удовлетворительным завершением. Отчет заслуживает своего вывода, проверив другой конец.

4:14 Уверенность бэкэнда — это только половина разговора. Американский отчет Карри гласит, что возможности зависят от модели автомобиля, подписки и активных подключенных служб. Поддерживаемые команды включают разблокировку дверей и удаленный запуск двигателя. Ни один из отчетов не устанавливает возможность уехать или отключить иммобилайзер. Доказательства охватывают конкретные возможности приложения и разрешенные физические демонстрации. Спросите, какая служба может изменить факты, на которые опирается ваша авторизация. Сброс паролей и изменения контактов важны, потому что другие системы воспринимают

4:41 их как истину. Действительный вход может основываться на переписанной идентификации. История с машиной становится здесь историей вашего приложения.

### Что доказало, что машина действительно подчинялась?

4:48 Финальная проверка произошла рядом с машиной. Карри говорит, что одна лишь принятая команда API ничего не доказывает о поведении машины. Они обновили ее статус и подтвердили физический результат с владельцем, стоящим рядом с ней. Шах разблокировал и завел автомобиль, затем заглушил его и снова заблокировал. Доказательство достигло подъездной дорожки. Если вы предпочитаете читать это, а не слушать, то The Daily Diff попадает в ваш почтовый ящик каждое утро, бесплатно на daily diff dot dev, ссылка ниже.

### Какая граница требует проверки?

5:10 Итак, сегодняшний вердикт: NEEDS REVIEW. Я бы проверил административные пути к идентификационным данным клиента, прежде чем доверять им физический контроль. Сообщенное американское исправление заслуживает доверия. Кто может переопределить владельца, которому доверяет каждая нижестоящая служба? И это все на сегодня. Я Нико из Axrisi. Ответственно объединяйте.

## Источники

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip