Samolepky na oknech automobilů mají odrazovat. Nápis „Toto vozidlo je chráněno alarmem“ má zloděje přimět, aby si o pár míst dál vyhlédl snadnější cíl. Proto je v tom, co právě zveřejnili bezpečnostní výzkumníci z UC San Diega o jedné konkrétní samolepce, hořká ironie: nálepka na okně u řidiče s nápisem „KARR“ označuje populární dodatečně montovaný alarmový systém, který je podle odhadu výzkumníků nainstalován ve více než 2 milionech vozidel v USA.

Podle jejich zjištění může kdokoli v dosahu Bluetooth automobilu vybaveného systémem KARR posílat příkazy bez jakýchkoli přihlašovacích údajů — potichu odemknout dveře, vypnout alarm, zatroubit, zablikat světly, nebo dokonce deaktivovat zapalování a nechat řidiče bez možnosti odjet. Funkce, které mají vůz chránit, jsou podle tohoto výzkumu zároveň nabídkou toho, co s ním může udělat cizí člověk na parkovišti.

Co tato chyba ve skutečnosti znamená v praxi

Několik věcí ukazuje, v čem se to liší od typického příběhu „uniklo mi heslo“:

  • Není co ukrást za heslo. Nejde o slabé přihlašovací údaje ani o opakovaně použité přihlášení. Výzkumníci popisují, že mohli posílat příkazy přímo přes Bluetooth do alarmové jednotky — což je přesně ten druh komunikace, který by v dobře navrženém systému měl nejprve vyžadovat spárování a ověření.
  • Jedinou podmínkou je blízkost. Dosah Bluetooth je krátký — realisticky jde o desítky metrů, nikoli kilometry — ale stále to znamená „kdokoli, kdo stojí poblíž vašeho auta na parkovišti, příjezdové cestě nebo ulici“, nikoli vzdáleného hackera na druhé straně světa. To snižuje laťku pro náhodné škádění, i když to omezuje rozsáhlé útoky na dálku.
  • Jde o víc než jen „odemknout dveře“. Deaktivace zapalování je detail, u kterého stojí za to se zastavit. Alarmový systém, kterému může neověřený cizí člověk přikázat, aby zabránil nastartování vozidla, je zařízení pro odepření služby převlečené za bezpečnostní produkt.

Nemáme před sebou úplný technický popis chyby na úrovni protokolu a formální práce výzkumníků zřejmě zatím nebyla veřejně zveřejněna, takže podrobnosti, například přesně který krok párování Bluetooth se vynechává, nemůžeme z první ruky ověřit. Tento text berte jako návod, jak zjistit, zda se vás problém týká, a najít opravu, nikoli jako náhradu za případné úplné zveřejnění technických podrobností.

Jak zjistit, zda se to týká vašeho auta

KARR je dodatečně montovaný produkt, což znamená, že se instaluje až poté, co vozidlo opustí výrobní závod — obvykle jako doplněk u prodejce, v autoservisu nebo předchozím majitelem. Neexistuje proto jediný seznam „dotčených modelů“; záleží na tom, do kterého vozu byla namontována která alarmová jednotka, bez ohledu na značku. Zkontrolovat to lze několika způsoby:

  1. Podívejte se na okno u řidiče. Výzkumníci uvádějí, že viditelná nálepka „KARR“ je běžným znakem nainstalovaného systému — zkontrolujte dolní roh okna u řidiče a předního spolujezdce, kam montážní firmy obvykle umisťují nálepky alarmu a zabezpečení.
  2. Podívejte se pod palubní desku. Pokud jste vůz koupili ojetý nebo jste ho zdědili a nepamatujete si, že by v něm byl alarm instalován, může být vodítkem blikající LED dioda poblíž sloupku řízení nebo palubní desky (standardní indikátor „aktivovaného“ alarmu) spolu s ovladačem, který jste nedostali od prodejce.
  3. Zkontrolujte dokumentaci nebo se zeptejte prodejce či montážní firmy. Pokud víte, který servis alarm instaloval, nebo byl součástí koupě ojetého vozu, je to nejrychlejší způsob, jak potvrdit značku a model.
  4. V případě pochybností požádejte mechanika nebo montážní firmu, aby zařízení identifikovali, místo abyste hádali jen podle samolepky — nálepky mohou zůstat po dříve nainstalovaném, ale už odstraněném systému a ne každý vůz vybavený systémem KARR si nálepku zachová.

Co dělat, pokud ho máte

Výzkumníci údajně spolupracovali na opravě a při zveřejnění problému předvedli také postup instalace záplaty — což je povzbudivé znamení, že nejde o neopravitelnou hardwarovou chybu bez dalšího řešení. Než však cokoli podniknete:

  • Nejprve kontaktujte výrobce nebo původní montážní firmu. Spojte se s tím, kdo systém instaloval, nebo přímo s výrobcem či podporou KARR a konkrétně se zeptejte na toto zveřejněné zjištění a na to, zda je pro vaši jednotku k dispozici aktualizace firmwaru. Nespoléhejte na obecný dotaz „je můj alarm bezpečný“ — uveďte název zranitelnosti, aby vás přepojili na někoho, kdo o ní ví.
  • Dávejte si pozor na kohokoli, kdo není vaše montážní firma a nabízí, že vám alarm osobně „opraví“ — včetně dobře míněného cizího člověka s aplikací. I když jsou úmysly dobré, nechat někoho neznámého připojit se k systémům vašeho vozidla a „opravit“ je je přesně ten druh přístupu, kterému se celý tento příběh snaží zabránit. Ověřte si jeho oprávnění a využijte legitimní cesty — licencovaného montážního technika nebo výrobce — i kdyby to trvalo déle.
  • Pokud se vám nepodaří získat záplatu, zjistěte, jakému skutečnému riziku jste vystaveni. Nejpravděpodobnější zneužití této chyby v reálném světě je spíše malicherné — někdo vám bude manipulovat se světly či klaksonem nebo zloděj vyzkouší, zda dokáže otevřít zámky bez rozbití okna. Možnost deaktivovat zapalování je nejdůležitější z hlediska bezpečnosti (představte si, že se spustí při vjíždění do provozu), takže pokud záplata není k dispozici, zeptejte se montážní firmy, zda lze konkrétně funkci zablokování zapalování dočasně deaktivovat nebo překonfigurovat.
  • Pokud servis, který zařízení instaloval, již neexistuje nebo byla produktová řada opuštěna, přistupujte k tomu stejně jako ke kterémukoli nepodporovanému zařízení IoT: zvažte, zda bezpečnostní přínos jeho ponechání stále převyšuje riziko, a zeptejte se mechanika na jeho odstranění.

Širší ponaučení: „má Bluetooth“ a „je bezpečné“ jsou dvě různá tvrzení

Jde o užitečnou případovou studii přesahující automobilové alarmy. Každé dodatečné zařízení, které staví svůj marketing na pohodlí — bezdrátový alarm ovládaný z telefonu, dálkový startér nebo chytrý otvírač garáže — už ze své definice přidává rádiové rozhraní, které ve výbavě z výroby nebylo. Důvěryhodnost tohoto rozhraní závisí pouze na jeho autentizaci a tvrzení „je to od bezpečnostní firmy“ není důkazem, že byla autentizace provedena správně. Než jakýkoli bezdrátový bezpečnostní doplněk nainstalujete (nebo si ho ponecháte), je zcela namístě položit montážní firmě či výrobci několik jednoduchých otázek: Vyžaduje před přijetím příkazů spárování a autentizaci? Zveřejnil výrobce způsob, jak přijímat aktualizace firmwaru? Testoval ho někdo nezávisle? Pokud nikdo nedokáže odpovědět, není to důkaz chyby — ale je to důvod mít skromná očekávání ohledně toho, co samolepka na vašem okně skutečně slibuje.

Zdroj: výzkum zranitelnosti Bluetooth systému KARR byl poprvé zveřejněn prostřednictvím Schneier on Security, který citoval zveřejnění zjištění výzkumníků z UC San Diega.