Las calcomanías en las ventanas de los autos pretenden disuadir. «Este vehículo está protegido por una alarma» busca hacer que un ladrón prefiera buscar un objetivo más fácil unas cuadras más adelante. Por eso resulta irónico lo que los investigadores de seguridad de UC San Diego acaban de revelar sobre una calcomanía específica: un adhesivo en el lado del conductor que dice «KARR», y que identifica un popular sistema de alarma instalado como accesorio, que los investigadores estiman que está instalado en más de 2 millones de vehículos en EE. UU.
Según sus hallazgos, cualquiera que esté dentro del alcance de Bluetooth de un auto equipado con KARR puede enviarle comandos sin ninguna credencial —desbloquear las puertas silenciosamente, desactivar la alarma, tocar la bocina, hacer parpadear las luces o incluso desactivar el encendido y dejar varado al conductor. Según esta investigación, el conjunto de funciones que supuestamente protege el auto también es un menú de cosas que un desconocido en un estacionamiento puede hacerle.
Lo que la falla realmente significa en la práctica
Hay varios aspectos que destacan sobre cómo esto difiere de la típica historia de «se filtró mi contraseña»:
- No hay ninguna contraseña que robar. Este no es un caso de credenciales débiles ni de un inicio de sesión reutilizado. Los investigadores describen que pudieron enviar comandos directamente por Bluetooth a la unidad de alarma —algo que, en un sistema bien diseñado, debería requerir primero emparejamiento y autenticación.
- El único requisito es la proximidad. El alcance de Bluetooth es corto —realmente de unas decenas de metros, no de millas—, pero eso sigue significando «cualquiera que esté cerca de tu auto en un estacionamiento, entrada o calle», no un hacker remoto al otro lado del mundo. Eso reduce la dificultad para hacer travesuras casuales, aunque limita la explotación remota a gran escala.
- Va más allá de «desbloquear las puertas». El detalle que merece atención es la desactivación del encendido. Un sistema de alarma al que un desconocido no autenticado puede ordenarle impedir que arranque tu auto es un dispositivo de denegación de servicio disfrazado de producto de seguridad.
No tenemos frente a nosotros el informe técnico completo sobre la falla a nivel de protocolo, y el documento formal de los investigadores no parece haberse publicado todavía, así que no podemos verificar de primera mano detalles como exactamente qué paso del emparejamiento Bluetooth se omite. Considera este artículo una guía para comprobar tu exposición y encontrar la solución, no un sustituto de la divulgación completa que se publique eventualmente.
Cómo comprobar si esto afecta a tu auto
KARR es un producto instalado como accesorio, lo que significa que se instala después de que el vehículo sale de fábrica —generalmente mediante un paquete adicional del concesionario, un taller automotriz o un propietario anterior. Eso significa que no existe una lista única de «modelos afectados»; depende de qué unidad de alarma se instaló en qué auto, sin importar la marca. Algunas formas de comprobarlo:
- Mira la ventana del lado del conductor. Los investigadores señalan que una calcomanía visible de «KARR» es una señal común de que el sistema está instalado. Revisa la esquina inferior de las ventanas del conductor y del pasajero delantero, donde los instaladores suelen colocar las calcomanías de alarma y seguridad.
- Revisa debajo del tablero. Si compraste el auto usado o lo heredaste y no recuerdas que le hayan instalado una alarma, un LED parpadeante cerca de la columna de dirección o del tablero —un indicador estándar de alarma «activada»— combinado con un control remoto que no recibiste del concesionario es una pista de que hay un sistema instalado como accesorio.
- Revisa tus documentos o pregúntale al vendedor o instalador. Si sabes qué taller instaló la alarma o si venía incluida con la compra de un auto usado, esa es la forma más rápida de confirmar la marca y el modelo.
- En caso de duda, pídele a un mecánico o al instalador que lo identifique en lugar de adivinar basándote solo en la calcomanía: los adhesivos pueden haber quedado de un sistema anterior que ya fue retirado, y no todos los autos equipados con KARR conservarán la calcomanía.
Qué hacer si tienes uno
Según se informa, los investigadores trabajaron en una solución y demostraron un proceso de aplicación del parche junto con la divulgación, una señal alentadora de que no se trata de una falla de hardware imposible de corregir. Sin embargo, antes de hacer cualquier cosa:
- Primero recurre al fabricante o al instalador original. Contacta a quien instaló el sistema o directamente a los canales del fabricante o soporte de KARR, y pregunta específicamente sobre esta divulgación y si hay una actualización de firmware disponible para tu unidad. No te limites a preguntar genéricamente «¿mi alarma es segura?»; menciona la vulnerabilidad por su nombre para que te comuniquen con alguien que conozca el tema.
- Desconfía de cualquiera que no sea tu instalador y te ofrezca «reparar» en persona la alarma de tu auto, incluso si se trata de un desconocido bien intencionado con una aplicación. Aunque la intención sea buena, permitir que alguien que no conoces conecte sus sistemas a los de tu vehículo para «parchearlos» es exactamente el tipo de acceso que toda esta historia busca evitar. Verifica sus credenciales y recurre a canales legítimos —un instalador autorizado o el fabricante—, aunque tome más tiempo.
- Si no puedes obtener un parche, entiende cuál es tu exposición real. El abuso más probable de esta falla en el mundo real es menor: alguien jugando con las luces o la bocina, o un ladrón comprobando si puede abrir los seguros sin romper una ventana. La capacidad de desactivar el encendido es la que más importa para la seguridad —imagina que se activa mientras te incorporas al tráfico—, así que si no hay un parche disponible, pregúntale a tu instalador si específicamente se puede desactivar o reconfigurar la función de corte de encendido como medida provisional.
- Si el taller que lo instaló ya no existe o la línea de productos fue abandonada, trátalo igual que cualquier dispositivo IoT sin soporte: considera si el beneficio de seguridad de mantenerlo instalado todavía supera el riesgo y pregúntale a un mecánico sobre retirarlo.
La lección más amplia: «tener Bluetooth» y «ser seguro» son afirmaciones diferentes
Este es un caso de estudio útil que va más allá de las alarmas para autos. Cualquier dispositivo instalado como accesorio que se promocione por su conveniencia —una alarma inalámbrica que puedes activar desde el teléfono, un arrancador remoto, un abridor inteligente de garaje— ha agregado, por definición, una interfaz de radio que no existía en el equipo de fábrica. Esa interfaz solo es tan confiable como su autenticación, y «es de una empresa de seguridad» no demuestra que la autenticación se haya implementado correctamente. Antes de instalar —o conservar— cualquier producto de seguridad inalámbrico adicional, es razonable hacerle al instalador o al fabricante algunas preguntas sencillas: ¿requiere emparejamiento o autenticación antes de aceptar comandos? ¿El proveedor ha publicado una forma de recibir actualizaciones de firmware? ¿Alguien lo ha probado de manera independiente? Si nadie puede responder, eso no demuestra que haya una falla, pero sí es una razón para mantener expectativas modestas sobre lo que realmente promete la calcomanía de tu ventana.
Fuente: la investigación sobre la vulnerabilidad de Bluetooth de KARR fue reportada por primera vez a través de Schneier on Security, que citó la divulgación de los investigadores de UC San Diego.
