Se supone que las pegatinas en las ventanas de los coches disuaden a los delincuentes. «Este vehículo está protegido por una alarma» pretende hacer que un ladrón busque un objetivo más fácil calle abajo. Por eso resulta tan irónico lo que acaban de revelar los investigadores de seguridad de UC San Diego sobre una pegatina concreta: un adhesivo en el lado del conductor que dice «KARR», señal de un popular sistema de alarma posventa que, según estiman los investigadores, está instalado en más de 2 millones de vehículos en Estados Unidos.
Según sus hallazgos, cualquiera que esté dentro del alcance Bluetooth de un coche equipado con KARR puede enviarle órdenes sin ningún tipo de credencial: desbloquear silenciosamente las puertas, desactivar la alarma, hacer sonar el claxon, hacer parpadear las luces o incluso desactivar el encendido y dejar al conductor tirado. El conjunto de funciones que supuestamente protege el coche es, según esta investigación, también un menú de cosas que un desconocido en un aparcamiento puede hacerle.
Qué significa realmente el fallo en la práctica
Hay varios aspectos que destacan en cuanto a cómo se diferencia esto de la típica historia de «se filtró mi contraseña»:
- No hay ninguna contraseña que robar. No se trata de credenciales débiles ni de un inicio de sesión reutilizado. Los investigadores describen que pudieron enviar órdenes directamente por Bluetooth a la unidad de alarma, algo que, en un sistema bien diseñado, debería requerir primero emparejamiento y autenticación.
- El único requisito es la proximidad. El alcance de Bluetooth es corto —en la práctica, de unas decenas de metros, no de kilómetros—, pero sigue significando «cualquiera que esté cerca de tu coche en un aparcamiento, una entrada o la calle», no un pirata informático remoto al otro lado del mundo. Eso reduce el umbral para las travesuras casuales, aunque limite la explotación remota a gran escala.
- Va más allá de «desbloquear las puertas». El detalle que merece atención es la desactivación del encendido. Un sistema de alarma al que un desconocido no autenticado puede ordenar que impida arrancar el coche es un dispositivo de denegación de servicio disfrazado de producto de seguridad.
No tenemos delante el análisis técnico completo del fallo a nivel de protocolo, y el artículo académico formal de los investigadores aún no parece haberse publicado públicamente, así que no podemos verificar de primera mano detalles como qué paso exacto del emparejamiento Bluetooth se omite. Considera este artículo una guía para comprobar tu exposición y encontrar la solución, no un sustituto de la divulgación completa que llegará más adelante.
Cómo comprobar si esto afecta a tu coche
KARR es un producto posventa, lo que significa que se instala después de que el vehículo sale de fábrica, normalmente mediante un paquete adicional del concesionario, un taller o un propietario anterior. Eso significa que no existe una lista única de «modelos afectados»; depende de qué caja de alarma se instaló en qué coche, independientemente de la marca. Algunas formas de comprobarlo:
- Mira la ventanilla del lado del conductor. Los investigadores señalan que una pegatina visible de «KARR» es una señal habitual de que el sistema está instalado. Comprueba la esquina inferior de las ventanillas del conductor y del pasajero delantero, donde los instaladores suelen colocar las pegatinas de alarma y seguridad.
- Comprueba debajo del salpicadero. Si compraste el coche de segunda mano o lo heredaste y no recuerdas que se instalara una alarma, un LED parpadeante cerca de la columna de dirección o del salpicadero —un indicador estándar de alarma «activada»— junto con un mando que no recibiste del concesionario son pistas de que hay un sistema posventa instalado.
- Revisa la documentación o pregunta al vendedor o al instalador. Si sabes qué taller instaló la alarma, o si venía incluida con la compra de un coche usado, esa es la forma más rápida de confirmar la marca y el modelo.
- En caso de duda, pide a un mecánico o al instalador que lo identifique en lugar de basarte únicamente en la pegatina: los adhesivos pueden haber quedado de un sistema anterior que ya no está instalado, y no todos los coches equipados con KARR conservarán la pegatina.
Qué hacer si tienes uno
Según se informa, los investigadores trabajaron en una solución y demostraron un proceso de parcheo junto con la divulgación, una señal alentadora de que no se trata de un fallo de hardware sin solución ni posibilidad de parcheo. Sin embargo, antes de hacer nada:
- Acude primero al fabricante o al instalador original. Contacta con quien instaló el sistema o directamente con los canales del fabricante o soporte de KARR, y pregunta específicamente por esta divulgación y si hay una actualización de firmware disponible para tu unidad. No te limites a preguntar genéricamente «¿es segura mi alarma?»; menciona la vulnerabilidad por su nombre para que te pongan en contacto con alguien que la conozca.
- Desconfía de cualquiera que no sea tu instalador y se ofrezca a «arreglar» en persona la alarma de tu coche, incluido un desconocido bienintencionado con una aplicación. Aunque la intención sea buena, permitir que alguien a quien no conoces conecte sus sistemas a los de tu vehículo para «parchearlos» es exactamente el tipo de acceso que toda esta historia trata de evitar. Verifica sus credenciales y utiliza canales legítimos —un instalador autorizado o el fabricante—, aunque tarde más.
- Si no puedes obtener un parche, entiende cuál es tu exposición real. El abuso más probable de este fallo en el mundo real es de poca importancia: alguien jugando con las luces o el claxon, o un ladrón comprobando si puede abrir las cerraduras sin romper una ventanilla. La capacidad de desactivar el encendido es la que más importa para la seguridad —imagina que se activa mientras te incorporas al tráfico—, así que, si no hay un parche disponible, pregunta al instalador si la función de corte del encendido puede desactivarse o reconfigurarse como medida provisional.
- Si el taller que lo instaló ya no existe o la línea de productos ha sido abandonada, trátalo como cualquier dispositivo IoT sin soporte: considera si el beneficio de seguridad de mantenerlo instalado sigue compensando el riesgo y consulta a un mecánico sobre su retirada.
La lección más amplia: «tener Bluetooth» y «ser seguro» son afirmaciones distintas
Este es un caso práctico útil que va más allá de las alarmas de coche. Cualquier dispositivo posventa que se promocione por su comodidad —una alarma inalámbrica que puedes activar desde el teléfono, un arranque remoto, un abridor de garaje inteligente— ha añadido, por definición, una interfaz de radio que no existía en el equipamiento de fábrica. La fiabilidad de esa interfaz depende de su autenticación, y «lo fabrica una empresa de seguridad» no demuestra que la autenticación se haya implementado correctamente. Antes de instalar —o conservar— cualquier producto de seguridad inalámbrico adicional, es razonable hacer al instalador o al fabricante algunas preguntas sencillas: ¿requiere emparejamiento o autenticación antes de aceptar órdenes? ¿Ha publicado el proveedor un método para recibir actualizaciones de firmware? ¿Alguien lo ha sometido a pruebas independientes? Si nadie puede responder, eso no demuestra que haya un fallo, pero sí es una razón para mantener unas expectativas moderadas sobre lo que realmente promete la pegatina de tu ventanilla.
Fuente: la investigación sobre la vulnerabilidad Bluetooth de KARR fue comunicada por primera vez a través de Schneier on Security, que citó la divulgación de los investigadores de UC San Diego.
