Vensterplakkers op motors is veronderstel om ’n afskrikmiddel te wees. “Hierdie voertuig word deur ’n alarm beskerm” is bedoel om ’n dief na ’n makliker teiken verder af in die straat te laat soek. Daarom is daar ’n wrang ironie in wat sekuriteitsnavorsers aan die Universiteit van Kalifornië, San Diego, pas bekend gemaak het oor een spesifieke plakker: ’n plakker aan die bestuurderskant met die teks “KARR”, wat aandui dat ’n gewilde namark-alarmstelsel geïnstalleer is in meer as 2 miljoen voertuie in die VSA, volgens die navorsers se skatting.

Volgens hul bevindings kan enigiemand binne Bluetooth-bereik van ’n motor met KARR-toerusting opdragte daaraan stuur, sonder enige geloofsbriewe — die deure stilweg ontsluit, die alarm afskakel, die toeter laat toet, die ligte laat flikker, of selfs die aansitter deaktiveer en die bestuurder laat strand. Die stel funksies wat veronderstel is om die motor te beskerm, is volgens hierdie navorsing ook ’n spyskaart van dinge wat ’n vreemdeling in ’n parkeerterrein daarmee kan doen.

Wat die fout in die praktyk werklik beteken

’n Paar dinge val op oor hoe dit van ’n tipiese “my wagwoord het uitgelek”-storie verskil:

  • Geen wagwoord om te steel nie. Dit is nie ’n geval van swak geloofsbriewe of ’n hergebruikte aanmelding nie. Die navorsers beskryf hoe hulle opdragte direk oor Bluetooth na die alarmaanheid kon stuur — iets wat in ’n goed ontwerpte stelsel eers koppeling en verifikasie behoort te vereis.
  • Nabyheid is die enigste vereiste. Bluetooth se reikwydte is kort — realisties ’n kwessie van tientalle meters, nie kilometers nie — maar dit beteken steeds “enigiemand wat naby jou motor in ’n parkeerterrein, oprit of straat staan”, nie ’n afgeleë kuberkraker aan die ander kant van die wêreld nie. Dit verlaag die drempel vir toevallige kwaadwilligheid, selfs al beperk dit grootskaalse, afgeleë uitbuiting.
  • Dit gaan verder as “ontsluit die deure”. Die deaktivering van die aansitter is die detail waaroor ’n mens moet nadink. ’n Alarmstelsel wat deur ’n ongeverifieerde vreemdeling beveel kan word om te keer dat jou motor aanskakel, is ’n diensweieringsmeganisme in die gedaante van ’n sekuriteitsproduk.

Ons het nie die volledige tegniese uiteensetting van die protokolvlak-fout voor ons nie, en dit lyk nie asof die navorsers se formele artikel reeds publiek beskikbaar is nie; daarom is besonderhede soos presies watter Bluetooth-koppelingstap oorgeslaan word, nie iets wat ons uit die eerste hand kan verifieer nie. Beskou hierdie stuk as ’n gids om jou blootstelling na te gaan en die oplossing te vind, nie as ’n plaasvervanger vir die uiteindelike volledige bekendmaking nie.

Hoe om na te gaan of dit op jou motor van toepassing is

KARR is ’n namarkproduk, wat beteken dit word geïnstalleer nadat die voertuig die fabriek verlaat — gewoonlik deur ’n handelaar se bykomende pakket, ’n motorwerkswinkel of ’n vorige eienaar. Dit beteken daar is nie ’n enkele lys van “geaffekteerde modelle” nie; dit gaan oor watter alarmaanheid in watter motor ingebou is, ongeag die fabrikaat. ’n Paar maniere om dit na te gaan:

  1. Kyk na die venster aan die bestuurderskant. Die navorsers merk op dat ’n sigbare “KARR”-plakker ’n algemene teken is dat die stelsel geïnstalleer is — kyk in die onderste hoek van die bestuurders- en voorste passasiersvensters, waar installateurs gewoonlik alarm- en sekuriteitsplakkers plaas.
  2. Kyk onder die paneelbord. As jy die motor tweedehands gekoop of geërf het en nie onthou dat ’n alarm geïnstalleer is nie, is ’n flikkerende LED naby die stuurkolom of paneelbord — ’n standaardaanwyser dat die alarm “geaktiveer” is — tesame met ’n afstandbeheerder wat jy nie van die handelaar gekry het nie, ’n aanduiding dat ’n namarkstelsel teenwoordig is.
  3. Gaan jou dokumentasie na of vra die verkoper/installeerder. As jy weet watter werkswinkel jou alarm geïnstalleer het, of as dit saam met ’n tweedehandse motor gekoop is, is dit die vinnigste manier om die handelsmerk en model te bevestig.
  4. As jy twyfel, vra ’n werktuigkundige of die installeerder om dit te identifiseer eerder as om net op grond van die plakker te raai — plakkers kan van ’n vorige, ongeïnstalleerde stelsel oorgebly het, en nie elke motor met KARR-toerusting sal die plakker behou het nie.

Wat om te doen as jy een het

Die navorsers het glo aan ’n oplossing gewerk en ’n pleisterproses saam met die bekendmaking gedemonstreer — ’n bemoedigende teken dat dit nie ’n onoplosbare hardewarefout is nie. Voordat jy egter enigiets doen:

  • Gaan eers deur die vervaardiger of jou oorspronklike installeerder. Kontak die persoon of onderneming wat die stelsel geïnstalleer het, of KARR se vervaardiger/ondersteuningskanale direk, en vra spesifiek oor hierdie bekendmaking en of ’n fermware-opdatering vir jou eenheid beskikbaar is. Moenie op ’n algemene vraag soos “is my alarm veilig?” staatmaak nie — verwys na die kwesbaarheid by name sodat jy na iemand verwys word wat daarvan weet.
  • Wees versigtig vir enigiemand wat nie jou installeerder is nie en aanbied om jou motor se alarm persoonlik te “herstel” — ook ’n welmenende vreemdeling met ’n toepassing. Selfs al is die bedoeling goed, is dit presies die soort toegang wat hierdie hele storie probeer vermy om iemand wat jy nie ken nie aan jou voertuig se stelsels te laat koppel om dit te “pleister”. Verifieer hul kwalifikasies en gebruik wettige kanale — ’n gelisensieerde installeerder of die vervaardiger — selfs al neem dit langer.
  • As jy nie ’n pleister kan kry nie, verstaan wat jou werklike blootstelling is. Die waarskynlikste werklike misbruik van hierdie fout is gering — iemand wat met jou ligte of toeter peuter, of ’n dief wat toets of hy jou slotte kan oopkry sonder om ’n venster te breek. Die vermoë om die aansitter te deaktiveer is die belangrikste vir veiligheid (stel jou voor dit word geaktiveer terwyl jy by verkeer inskakel), so as ’n pleister nie beskikbaar is nie, vra jou installeerder of die aansitter-uitskakelfunksie spesifiek gedeaktiveer of herkonfigureer kan word as ’n tussentydse maatreël.
  • As die werkswinkel wat dit geïnstalleer het nie meer sake doen nie of die produkreeks laat vaar is, hanteer dit soos enige ander IoT-toestel wat nie meer ondersteun word nie: oorweeg of die sekuriteitsvoordeel daarvan om dit geïnstalleer te hou steeds die risiko oorskry, en vra ’n werktuigkundige oor verwydering.

Die breër les: “het Bluetooth” en “is veilig” is verskillende bewerings

Dit is ’n nuttige gevallestudie wat verder as motoralarms strek. Enige namarktoestel wat homself op gerief bemark — ’n draadlose alarm wat jy met jou foon kan aktiveer, ’n afstandaansitter, ’n slim motorhuisopener — het per definisie ’n radio-koppelvlak bygevoeg wat nie op die fabriekstoerusting bestaan het nie. Daardie koppelvlak is net so betroubaar soos sy verifikasie, en “dit kom van ’n sekuriteitsmaatskappy” is geen bewys dat verifikasie behoorlik geïmplementeer is nie. Voordat jy enige draadlose bykomende sekuriteitsproduk installeer (of behou), is dit billik om die installeerder of vervaardiger ’n paar eenvoudige vrae te vra: Vereis dit koppeling/verifikasie voordat dit opdragte aanvaar? Het die verskaffer ’n manier gepubliseer om fermware-opdaterings te ontvang? Het iemand dit onafhanklik getoets? As niemand kan antwoord nie, is dit nie bewys van ’n fout nie — maar dit is ’n rede om beskeie verwagtinge te hê oor wat die plakker in jou venster werklik belowe.

Bron: navorsing oor die KARR-Bluetooth-kwesbaarheid is die eerste keer gerapporteer via Schneier on Security, met verwysing na die bekendmaking deur navorsers aan die Universiteit van Kalifornië, San Diego.