# Ulanayotgan avtomobil identifikatsiyasi xavfsizligi: egalik huquqi va jismoniy dalil Published: 2026-11-10 Shubham Shah va Sem Curry ma'muriy identifikatorga kirishni hisobot qilishdi, bu ruxsat etilgan avtomobillarda avtomobil egasiga teng ulangan avtomobil ilovasi vakolatiga olib keldi. Ularning 7-noyabrdagi nashrlari avvalgi tadqiqotlarni tasvirlaydi. AQSh hamkori bir kunda tuzatishni xabar qiladi; alohida Avstraliyaning iyul oyidagi hisoboti uning hozirgi tuzatish holatini aniqlanmagan qoldiradi. Canonical: https://thedailydiff.dev/uz/video/2026-11-09-car-identity-chain/ ## Bu video nimani qamrab oladi - Ishonchli mijoz identifikatsiyasini ma'muriy nazorat qilish quyi oqim ilova xizmatlari tomonidan berilgan avtomobil huquqiga ta'sir qilishi mumkin. - Curry to'liq avtomobil zanjiri sinovini faqat AQSh hisoboti va transport vositalari bilan cheklaydi; mintaqaviy katalogning qamrovi va Shahning kengroq umumiy da'vosi turli doiralarga ega. - Taxminan ikki soatlik javob AQSh hamrohlik hisobotining oshkor etish muddatiga tegishli. Avstraliya hisobotida mos keladigan bartaraf etish sanasi berilmagan. - Qo'llab-quvvatlanadigan buyruqlar model, obuna va faol ulanayotgan xizmatlarga bog'liq. Haydash yoki immobilayzerni mag'lub etish aniqlanmagan. - Tadqiqotchilar avtomobilning holatini yangiladilar va avtomobil yonida egasi bilan jismoniy ta'sirlarni tasdiqladilar. - PingIDM'ning versiyalangan ishlab chiqarish qo'llanmasi ishlab chiqish vositalarini olib tashlash yoki himoya qilishni tavsiya qiladi va alohida konsol autentifikatsiya tizimini aniqlaydi. ## Savollar va javoblar ### Identifikatsiya serveriga kirish qanday qilib ulanayotgan avtomobil vakolatiga aylandi? Shubham Shah va Sem Curryning so'zlariga ko'ra, ma'muriy identifikatsiya kirish huquqi tadqiqotchilarga egasiga teng keladigan ilova vakolatini olishga imkon berdi. Ulanayotgan xizmat mijoz hisoblarini transport vositalari va qo'llab-quvvatlanadigan buyruqlar bilan bog'ladi. Ularning hisoboti administrator kirish huquqi, yakunlangan mijoz sessiyasi va uning xizmatlari tomonidan qabul qilingan mobil ilova tokenlarini farqlaydi. Namoyishlar ruxsat berilgan transport vositalaridan foydalangan. ### Xabar qilingan sanalar va mintaqaviy doiralar nimani tasdiqlaydi? AQSh hamrohlik hisobotida oldingi tadqiqotlar va oshkor qilinganidan keyin shu kuni tuzatish tasvirlanadi. Curry to'liq avtomobil zanjiri sinovini faqat AQSh hisoboti va transport vositalari bilan cheklaydi, shu bilan birga ta'sirlangan identifikatsiya kataloglari bir nechta mintaqalarga xizmat ko'rsatgan. Shah Avstraliya tadqiqotlarini iyul oyida boshlaganini alohida tasvirlaydi. Uning maqolasida Avstraliyaning hozirgi bartaraf etish holati ko'rsatilmagan, shuning uchun manbalar butun dunyo bo'ylab bitta kashfiyot yoki ta'mirlash xronologiyasini tasdiqlamaydi. ### Ishlab chiqarishni mustahkamlash bo'yicha ko'rsatmalar ishlab chiqish konsollari haqida nima deydi? Ping Identityning versiyalangan xavfsizlik qo'llanmasiga ko'ra, ishlab chiqish va disk raskadrovka vositalarini ishlab chiqarishdan oldin olib tashlang yoki himoya qiling. U konsolni identifikatsiya mahsulotining autentifikatsiyasidan alohida autentifikatsiyaga ega deb belgilaydi. Bu farq konsolni o'zining ko'rib chiqish chegarasiga aylantiradi. Epizod ma'muriy yuzalarni inventarizatsiya qilishni va har birini qaysi autentifikatsiya tizimi himoya qilishini tekshirishni tavsiya qiladi. ### Tadqiqotchilar jismoniy avtomobil natijasini qanday tasdiqladilar? Shah va Curryning AQSh hamrohlik hisobotiga ko'ra, ular avtomobil holatini yangiladilar va avtomobil yonida egasi bilan jismoniy natijani tekshirdilar. Faqatgina API qabul qilinishi harakatni isbotlamadi. Shah avtomobilni qulfdan chiqardi va ishga tushirdi, keyin uni to'xtatdi va yana qulfladi. Xabar qilingan dalillar qo'llab-quvvatlanadigan ilova buyruqlarini qamrab oladi; haydab ketish yoki immobilayzerni mag'lub etish aniqlanmadi. ### The Daily Diff'ning identifikatsiya ishonch chegarasi haqidagi hukmi qanday edi? The Daily Diff'ning hukmi NEEDS REVIEW edi. Niko ma'muriy yo'llarni jismoniy nazorat qilish uchun ularga ishonishdan oldin ishonchli mijoz identifikatsiyasiga audit o'tkazardi, shu bilan birga xabar qilingan AQSh tuzatishiga ishonardi. Shah va Curryning hisobotlari identifikatsiya yozuvlari ustidan yuqori oqim nazorati quyi oqim ruxsatnomasi uchun nima uchun muhimligini ko'rsatadi. Hukm doimiy butun dunyo bo'ylab zaiflikni tasdiqlamaydi. ## Boblar - 0:00 Login qanday qilib avtomobil kalitiga aylandi? - 0:33 Yangi nima nashr etildi va nima allaqachon tuzatildi? - 0:59 Avtomobil xizmati qaysi identifikatorga ishonadi? - 1:41 Nima uchun ishlab chiqish konsoli muhim edi? - 2:42 Sessiya qachon ilova vakolatiga aylanadi? - 3:29 Bartaraf etish aslida nimani qopladi? - 4:48 Avtomobilning haqiqatan ham bo'ysunishini nima isbotladi? - 5:10 Qaysi chegara ko'rib chiqishga muhtoj? ## Tarjima qilingan transkript Asl inglizcha hikoyadan tarjima qilingan. Mavjud audio va subtitrlar YouTube tomonidan boshqariladi. ### Login qanday qilib avtomobil kalitiga aylandi? 0:00 Avtomobilingiz ilovasi sizning egasi ekanligingizni tekshiradi. Tadqiqotchilar uning identifikatsiya serverini o'zlari uchun kafolat berishga majbur qilishdi. Ushbu videoda login qanday qilib avtomobil vakolatiga aylandi? Va avtomobilning haqiqatan ham bo'ysunishini nima isbotladi? Bugun dushanba, to'qqizinchi noyabr, va bu The Daily Diff. Bir yakuniy tekshiruv ishonchli ekranni qulfdan chiqarilgan avtomobildan ajratadi. Ulanayotgan avtomobil xizmatlari avtomobil egasining telefon ilovasi ortidagi onlayn tizimlardir. Shubham Shah va Sem Curry ma'muriy identifikatsiya kirish huquqi ularga ruxsat berganini xabar qilishdi 0:25 egasiga teng keladigan ilova vakolatini olish. Ular ruxsat berilgan transport vositalarida masofaviy buyruqlarni namoyish etdilar. Ularning AQSh hisobotida kamchiliklar oshkor qilinganidan keyin tuzatilganligi aytilgan. ### Yangi nima nashr etildi va nima allaqachon tuzatildi? 0:33 Ikkala yozma ham 7-noyabr kuni paydo bo'ldi. Curry o'zining oshkor etilishini shu yil boshiga sanaydi. Shah Avstraliya tadqiqotlarini iyul oyida boshlaganini tasvirlaydi. Bular turli xronologiyalar. Ularni butun dunyo bo'ylab favqulodda vaziyat sifatida o'qish sarlavhaga ko'proq ot kuchi beradi dalillardan ko'ra. Shah 2023-yilda nomlanmagan avtomobil ishlab chiqaruvchisining bitta SUVini sotib oldi. Avtomobilimni qulfdan chiqarganimda qaysi internet xizmatiga ulanadi? 0:53 U va Curry ikki hafta davomida identifikatsiya tizimini o'rganishdi. Kalit pulti orqa jamoaga ega bo'ldi. Ilova sizni tizimga kiritadi va garajingizni yuklaydi. ### Avtomobil xizmati qaysi identifikatorga ishonadi? 1:01 Ulanayotgan xizmat bu hisobni transport vositalari va ruxsat berilgan buyruqlar bilan bog'laydi. Bu munosabat foydali javobdir. Ishonchli mijoz identifikatsiyasini nazorat qiluvchi har kim mijoz uchun mo'ljallangan imkoniyatlarni meros qilib olishi mumkin. mijoz uchun mo'ljallangan imkoniyatlarni meros qilib olishi mumkin. Avstraliyada ommaviy boshqaruv vositasi mijoz ma'lumotlarini brauzer JavaScript'ida yuborilgan kalitlar bilan himoyalangan interfeyslar orqali oshkor qildi. interfeyslar orqali oshkor qildi. Sirlarning ambitsiyali ta'rifi. Shah, shuningdek, sotuvchi to'plamida identifikatsiya administratori ma'lumotlarini topdi, 1:24 va ular ishlab chiqarishda ishlaganligini xabar qildi. Perimetr sezgir marshrutlarni blokladi. Ammo dasturiy ta'minot qatlamlari bir xil so'rovni boshqacha talqin qilishdi. Curryning aytishicha, chekka yo'lni statik kontent sifatida ko'rib chiqdi, orqa tomon esa ma'muriyat konsoliga kirishdi. Xush kelibsiz gilam va qulflangan eshik turli xil xaritalarni ko'rib chiqardi. ### Nima uchun ishlab chiqish konsoli muhim edi? 1:41 U konsol hali ham standart administrator ma'lumotlarini qabul qildi, Curryning so'zlariga ko'ra. Ishlab chiqarish qo'llanmasi operatorlarga uni olib tashlash yoki himoya qilishni allaqachon aytib turadi, va uning autentifikatsiyasi identifikatsiya mahsulotining autentifikatsiyasidan alohida ekanligini aytadi. Tekshiruv ro'yxatidagi nuqtalar orasida yashiringan yana bir login. Oshkor qilingan ma'muriyat vositalari kodni identifikatsiya xizmatining ichida ishlashiga ruxsat berdi. Tadqiqotchilar ommaviy filtrlash chegarasi ortidagi mijoz yozuvlariga kirishdi. Perimetr filtri bu perimetrdan o'tuvchi trafikni tekshiradi. 2:06 Xizmatning ichida allaqachon bo'lgan jarayon ma'lumotlar bilan boshqacha munosabatda bo'ladi. Bu AQSh hisobotida ko'p faktorli muammoni tushuntiradi. Identifikatsiya yozuvlari elektron pochta orqali tasdiqlash kodi uchun login ma'lumotlari va manzilini taqdim etdi. Bu yozuvlarni ma'muriy nazorat qilish tadqiqotchilarga loginni yakunlashga imkon berdi. loginni yakunlashga imkon berdi. Mijozning yuqori oqim ta'rifi allaqachon o'zgargan edi. Shah Avstraliyada alohida autentifikatsiya noto'g'ri konfiguratsiyasini tasvirlaydi, bu uning zanjirini qo'shimcha faktorni o'tkazib yuborishga imkon berdi. bu uning zanjirini qo'shimcha faktorni o'tkazib yuborishga imkon berdi. 2:31 Ko'p faktorli autentifikatsiyani hamma joyda buzilgan deb atash, ishlab chiquvchilarga kerak bo'lgan konfiguratsiya tafsilotlarini o'chirib tashlaydi. kerak bo'lgan konfiguratsiya tafsilotlarini o'chirib tashlaydi. Qo'shimcha faktoringizni saqlang. O'z egasini ishonchli deb belgilaydigan tizimni ham saqlang. Ma'lumotlarning vazifalari har xil. ### Sessiya qachon ilova vakolatiga aylanadi? 2:43 Administrator kirish identifikatsiya yozuvlarini nazorat qiladi. Mijoz sessiyasi yakunlangan tizimga kirishni anglatadi. Mobil ilova o'z xizmatlari tomonidan qabul qilingan tokenlarni oladi. Bularning barchasini sehrli token deb atash, egasiga teng kirishni mumkin qilgan chegaralarni yo'qotadi. Curry ko'p mintaqalarda ikki nomlanmagan avtomobil ishlab chiqaruvchisining identifikatsiya kataloglarini tasvirlaydi. U to'liq avtomobil sinovini faqat AQSh hisoboti va transport vositalari bilan cheklaydi. Shah ikki Avstraliya brendida bitta avtomobil ishlab chiqaruvchisini tasvirlaydi, 3:09 keyin kengroq umumiy qamrovni da'vo qiladi. Bu turli doiralar bizga kompaniyalarni aniqlashga asos bermaydi. Hacker News telefon qulfini ochish kerakmi yoki yo'qmi haqida bahslashadi. Bir javob unutilgan qulfni tekshirish va avtomobilni sovutish yoki isitishga ishora qiladi. Odamlar foydali xususiyatlarni yaxshi ko'radilar. Mijozlarga qulaylik berish xizmatga qimmat vazifani ham beradi. U o'z vakolatini topishi kerak. ### Bartaraf etish aslida nimani qopladi? 3:29 Curryning xabar berishicha, ikkala avtomobil ishlab chiqaruvchisi ham zaiflikni qabul qilgandan keyin taxminan ikki soat o'tgach tuzatdilar va ta'sirlangan ma'lumotlarni almashtirdilar. Bu AQSh hamrohlik hisobotining xronologiyasi. Shahning iyul oyidagi hisobotida mos keladigan bartaraf etish xronologiyasi berilmagan. Uning hisobotida Avstraliyaning hozirgi bartaraf etish holati ko'rsatilmagan. Ikki soatlik javobni global ta'mirlash sekundomeriga aylantira olmaymiz. Ishlab chiquvchilar uchun ma'muriyat yuzasi bilan boshlang. Nima oshkor qilinganini va uni qaysi autentifikatsiya tizimi himoya qilishini inventarizatsiya qiling. 3:55 Ishlatilmaydigan ishlab chiqish vositalarini olib tashlang. Saqlagan vositalaringizni himoya qiling. Kirish haqida yakuniy so'z sifatida chekka qoidani ko'rib chiqishdan oldin har bir qatlamning so'rov talqinini ko'rib chiqing. kirish haqida yakuniy so'z sifatida ko'rib chiqishdan oldin. Shahning aytishicha, Avstraliya zanjiri nihoyat yarim tunda ishga tushdi, ularga sinovdan o'tkazishga ruxsat berilgan avtomobilni ochdi. Qoniqarli tugaydigan identifikatsiya quvurlari. Yozma boshqa oxirini tekshirish orqali o'z xulosasini topadi. 4:14 Orqa tomonning ishonchi suhbatning faqat yarmi. Curryning AQSh hisobotida imkoniyatlar avtomobil modeliga bog'liq ekanligi aytiladi, obuna va faol ulanayotgan xizmatlar. Qo'llab-quvvatlanadigan buyruqlarga eshik qulfini ochish va dvigatelni masofadan ishga tushirish kiradi. Ikkala yozma ham haydab ketish yoki immobilayzerni mag'lub etishni tasdiqlamaydi. Dalillar ma'lum bir ilova imkoniyatlarini va ruxsat berilgan jismoniy namoyishlarni qamrab oladi. namoyishlar. Vakolatingiz tayanadigan faktlarni qaysi xizmat o'zgartira olishini so'rang. Parolni tiklash va aloqa ma'lumotlarini o'zgartirish muhim, chunki boshqa tizimlar ularni haqiqat sifatida qabul qiladi. 4:41 ularni haqiqat sifatida qabul qiladi. Amaldagi login qayta yozilgan identifikatorga asoslanishi mumkin. Bu avtomobil hikoyasi u yerda sizning ilova hikoyangizga aylanadi. ### Avtomobilning haqiqatan ham bo'ysunishini nima isbotladi? 4:48 Yakuniy tekshiruv avtomobil yonida bo'ldi. Curryning aytishicha, faqatgina qabul qilingan API buyrug'i avtomobilning xatti-harakati haqida hech narsa isbotlamaydi. Ular uning holatini yangiladilar va egasi yonida turgan holda jismoniy natijani tasdiqladilar. egasi yonida turgan holda jismoniy natijani tasdiqladilar. Shah avtomobilni qulfdan chiqardi va ishga tushirdi, keyin uni to'xtatdi va yana qulfladi. Dalil yo'lakka yetib keldi. Agar siz buni men aytganimdan ko'ra o'qishni afzal ko'rsangiz, diff har kuni ertalab pochta qutingizga tushadi, daily diff dot dev saytida bepul, havolasi pastda. ### Qaysi chegara ko'rib chiqishga muhtoj? 5:10 Demak, bugungi hukm, ko'rib chiqishga muhtoj. Men ma'muriy yo'llarni jismoniy nazorat qilishdan oldin mijoz identifikatsiyasiga ishonishdan oldin audit qilardim. Xabar qilingan AQSh tuzatishiga ishonishga loyiq. Har bir quyi oqim xizmati ishonadigan egasini kim qayta belgilashi mumkin? Va bugun uchun diff shundan iborat. Men Axrisidan Nikoman. Mas'uliyat bilan birlashtiring. ## Manbalar - [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry - [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah - [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity - [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News - [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons - [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons - [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry - [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY - [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies - [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip