# 聯網汽車身份安全：車主授權與實體證明

Published: 2026-11-10

Shubham Shah和Sam Curry報告了管理身份存取權限，導致在獲授權車輛上獲得與車主同等的連網汽車應用程式權限。他們在11月7日的發布描述了較早的研究。美國的相關報告顯示當天已進行修復；獨立的澳洲7月份報告則未提及目前的修復狀態。

Canonical: https://thedailydiff.dev/zh-HK/video/2026-11-09-car-identity-chain/

## 本影片涵蓋的內容

- 對信任客戶身份的管理控制，可能會影響下游應用程式服務授予的車輛授權。
- Curry將完整的車輛鏈測試限制在美國帳戶和車輛；區域目錄範圍和Shah更廣泛的綜合主張具有不同範圍。
- 大約兩小時的回應屬於美國報告的披露時間線。澳洲報告沒有提供相應的修復日期。
- 支援的指令取決於型號、訂閱和活躍的聯網服務。並未證實能駕駛或解除防盜鎖。
- 研究人員更新了車輛狀態，並與車主在車旁確認了實體效果。
- PingIDM的版本化生產指南建議移除或保護開發工具，並識別出一個獨立的主控台身份驗證系統。

## 問題與解答

### 身份伺服器存取如何變成聯網汽車權限？

根據Shubham Shah和Sam Curry的說法，管理員身份存取讓研究人員獲得了與車主等效的應用程式權限。聯網服務將客戶帳戶與車輛和支援的指令關聯起來。他們的報告區分了管理員存取、已完成的客戶會話以及其服務接受的行動應用程式令牌。演示使用了獲授權的車輛。

### 報告的日期和區域範圍確立了什麼？

美國的相關報告描述了早期的研究以及披露後當天進行的修復。Curry將完整的車輛鏈測試限制在美國帳戶和車輛，而受影響的身份目錄服務於多個地區。Shah單獨描述了從7月開始的澳洲研究。他的文章未明確說明澳洲目前的修復狀態，因此這些來源並未確立一個全球性的發現或修復時間線。

### 生產強化指南對開發控制台有何說明？

根據Ping Identity的版本化安全指南，在生產之前移除或保護開發和調試工具。它指出控制台的身份驗證與身份產品的身份驗證是獨立的。這種區別使控制台成為其自身的審查邊界。該集建議清點管理介面，並檢查哪個身份驗證系統保護每個介面。

### 研究人員如何確認實體車輛結果？

根據Shah和Curry的美國報告，他們更新了車輛狀態，並與車主在車旁檢查了實體結果。僅憑API接受並不能證明行動。Shah解鎖並啟動了車輛，然後停止並再次鎖定。報告的證據涵蓋了支援的應用程式指令；並未證實能駕駛離開或解除防盜鎖。

### The Daily Diff對身份信任邊界的判決是什麼？

The Daily Diff的判決是NEEDS REVIEW。Niko會在將實體控制權託付給受信任客戶身份的管理路徑之前對其進行審計，同時肯定報告的美國修復。Shah和Curry的報告顯示了對身份記錄的上游控制對下游授權的重要性。該判決並未聲稱存在持續的全球漏洞。

## 章節

- 0:00 登入如何變成車匙？
- 0:33 什麼是新發布的，什麼已經修復了？
- 0:59 車輛服務信任哪種身份？
- 1:41 為什麼開發控制台很重要？
- 2:42 會話何時變成應用程式權限？
- 3:29 修復實際涵蓋了什麼？
- 4:48 什麼證明了汽車確實服從了？
- 5:10 哪個邊界需要審查？

## 翻譯的文字記錄

從英文原文旁白翻譯。可用的音頻和字幕由 YouTube 控制。

### 登入如何變成車匙？

0:00 您的汽車應用程式會檢查您是否是車主。 研究人員讓其身份伺服器為他們擔保。 在這段影片中，登入如何變成車輛權限？ 什麼證明了汽車確實服從了？ 今天是11月9日星期一，這裡是The Daily Diff。 最後一次檢查將一個令人信服的螢幕與一輛解鎖的汽車分開。 聯網汽車服務是車主手機應用程式背後的線上系統。 Shubham Shah和Sam Curry報告說，管理員身份存取讓他們

0:25 獲得了與車主相同的應用程式權限。 他們在獲授權的車輛上演示了遠端指令。 他們的美國報告稱，這些漏洞在披露後已修復。

### 什麼是新發布的，什麼已經修復了？

0:33 兩份報告均於11月7日發表。 Curry將他的披露日期定為今年年初。 Shah描述了從7月開始的澳洲研究。 這些是不同的時間線。 將它們視為一場全球緊急事件，會讓標題比證據 更有說服力。 Shah在2023年購買了一輛未具名汽車製造商的SUV。 當我解鎖汽車時，哪個網路服務會接收到觸發？

0:53 他和Curry花了兩週時間檢查身份系統。 遙控鑰匙已經獲得了一個後端團隊。 應用程式讓您登入並載入您的車庫。

### 車輛服務信任哪種身份？

1:01 聯網服務將該帳戶與車輛和允許的 指令關聯起來。這種關係是有用的答案。 誰控制了受信任的客戶身份，誰就可以繼承原為客戶設計的 功能。 在澳洲，一個公共管理工具通過在瀏覽器JavaScript中 以鑰匙保護的介面，暴露了客戶資訊。 對機密的雄心勃勃的定義。 Shah還在供應商套件中發現了身份管理員憑證，

1:24 並報告說它們在生產環境中有效。 邊界阻擋了敏感路徑。 但軟體層對同一請求的解釋不同。 Curry說，邊緣將路徑視為靜態內容，而後端則到達了 管理控制台。 歡迎墊和鎖上的門查閱了不同的地圖。

### 為什麼開發控制台很重要？

1:41 據Curry稱，該控制台仍然接受預設管理員憑證。 生產指南已經告訴操作員移除或保護它， 並表示其身份驗證與身份產品的 身份驗證是獨立的。在清單的項目符號之間隱藏著另一個登入。 暴露的管理工具允許代碼在身份服務內部運行。 研究人員存取了公共過濾邊界後的客戶記錄。 邊界過濾器檢查穿過該邊界的流量。 服務內部的一個流程與數據有不同的關係。

2:06 這解釋了美國報告中的多因素問題。 身份記錄提供了電子郵件驗證碼的登入資訊和目的地。 對這些記錄的管理控制讓研究人員 完成了登入。 客戶的上游定義已經改變。 Shah描述了另一個澳洲身份驗證配置錯誤，讓 他的鏈條跳過了額外的因素。 稱多因素身份驗證處處失效，會抹去開發人員所需的

2:31 配置細節。 保留您的額外因素。 也要保持定義其所有者的系統值得信賴。 憑證有不同的職責。 管理員存取控制身份記錄。

### 會話何時變成應用程式權限？

2:43 客戶會話表示已完成登入。 行動應用程式獲取其服務接受的令牌。 將所有這些稱為魔法令牌，會失去使車主等效存取 成為可能的邊界。 Curry描述了兩家未具名汽車製造商在多個 地區的身份目錄。他將完整的車輛測試限制在美國帳戶和車輛。 Shah描述了一家汽車製造商的兩個澳洲品牌， 然後聲稱更廣泛的聯合範圍。

3:09 這些不同的範圍讓我們無法識別這些公司。 Hacker News爭論手機解鎖是否應該存在。 一個回覆指出檢查是否忘記上鎖以及冷卻或加熱汽車。 人們喜歡實用功能。 為客戶提供便利也給服務帶來了一項昂貴的工作。 它必須贏得其權威。 Curry報告說，兩家汽車製造商在收到漏洞約兩小時後

### 修復實際涵蓋了什麼？

3:29 修復了漏洞，並輪換了受影響的憑證。 這是美國報告的時間線。 Shah的7月報告沒有提供相應的修復時間線。 他的報告未明確說明澳洲目前的修復狀態。 我們不能將兩小時的回應變成全球維修秒錶。 對於開發人員，請從管理介面開始。 清點暴露的內容以及保護它的身份驗證系統。 移除未使用的開發工具。

3:55 保護您保留的工具。 在將邊緣規則視為存取權限的最終決定之前，請檢查每一層的請求解釋。 Shah說澳洲的鏈條最終在午夜左右奏效， 打開了一輛他們獲准測試的汽車。 身份管道有一個令人滿意的結局。 一份報告通過檢查另一端來證明其結論。 後端的信心只是對話的一半。 Curry的美國報告稱，功能取決於車輛型號、

4:14 訂閱和活躍的聯網服務。 支援的指令包括車門解鎖和遠端引擎啟動。 兩份報告都未證實能駕車離開或解除防盜鎖。 證據涵蓋了特定的應用程式功能和經許可的實體 演示。詢問哪個服務可以改變您的授權所依賴的事實。 密碼重設和聯繫方式更改很重要，因為其他系統將它們視為真實。 有效的登入可以基於重新編寫的身份。 這個汽車故事就成了您的應用程式故事。

4:41 最終檢查在汽車旁邊進行。 Curry說，僅憑接受的API指令，並不能證明汽車的 行為。他們更新了其狀態，並與站在車旁的車主確認了實體結果。

### 什麼證明了汽車確實服從了？

4:48 Shah解鎖並啟動了車輛，然後停止並再次鎖定。 證據達到了車道。 如果您寧願閱讀而不是聽我說，The Diff每天早上都會免費發送到您的收件箱，網址是thedailydiff.dev，連結如下。 那麼，今天的判決，NEEDS REVIEW。 在將實體控制權託付給客戶身份的管理路徑之前，我會對其進行審計。報告的美國修復值得肯定。 誰可以重新定義每個下游服務都相信的車主？ 這就是今天的The Diff。 我是來自Axrisi的Niko。

### 哪個邊界需要審查？

5:10 負責任地合併。 我很榮幸能發出這一訊息。 保持連接並安全。 我們明天見。 今天，在The Daily Diff，我們要談談車輛應用程式如何相信 它是它的車主，但實際上不是。 所以，今天，我們將會審查這個身份信任邊界。

## 來源

- [Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access](https://samcurry.net/forgerock) — Shubham Shah and Sam Curry
- [unlocking any car from X brand in most of the world](https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/) — Shubham Shah
- [Remove or protect development and debug tools — PingIDM 7.2](https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html) — Ping Identity
- [Connected-car disclosure discussion](https://news.ycombinator.com/item?id=50419215) — Hacker News
- [Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecified](https://commons.wikimedia.org/wiki/File:Sam_Curry.jpg) — Wikimedia Commons
- [Portrait licence — CC0; no endorsement or current-reaction claim](https://creativecommons.org/publicdomain/zero/1.0/deed.en) — Creative Commons
- [Sam Curry's official About page corroborates portrait identity](https://samcurry.net/about) — Sam Curry
- [Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licence](https://giphy.com/gifs/the-magic-word-3ohzdQ1IynzclJldUQ) — ScreenJunkies / GIPHY
- [GIF uploader's native Source link; publisher provenance is not a blanket reuse licence](https://screenjunkies.com/) — ScreenJunkies
- [Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licence](https://imgflip.com/memetemplate/100777631/Is-This-A-Pigeon) — Imgflip