Les autocollants apposés sur les vitres des voitures sont censés dissuader les voleurs. « Ce véhicule est protégé par une alarme » est censé pousser un voleur à chercher une cible plus facile quelques voitures plus loin. Il y a donc une ironie amère dans ce que viennent de révéler les chercheurs en sécurité de l'UC San Diego à propos d'un autocollant bien précis : un autocollant apposé côté conducteur portant la mention « KARR », signalant un système d'alarme de deuxième monte très répandu, que les chercheurs estiment installé sur plus de 2 millions de véhicules aux États-Unis.

Selon leurs conclusions, toute personne à portée Bluetooth d'une voiture équipée de KARR peut lui envoyer des commandes sans aucune authentification : déverrouiller silencieusement les portes, désactiver l'alarme, klaxonner, faire clignoter les feux, voire désactiver le démarrage et laisser le conducteur en panne. L'ensemble de fonctionnalités censé protéger la voiture constitue donc, d'après cette étude, également un menu d'actions qu'un inconnu sur un parking peut lui faire subir.

Ce que la faille signifie concrètement

Quelques éléments distinguent cette affaire d'une classique histoire de « mon mot de passe a fuité » :

  • Aucun mot de passe à voler. Il ne s'agit ni d'identifiants faibles ni d'une connexion réutilisée. Les chercheurs expliquent avoir pu envoyer des commandes directement par Bluetooth à l'unité d'alarme — le genre de chose qui, dans un système bien conçu, devrait d'abord nécessiter un appairage et une authentification.
  • La proximité est la seule condition requise. La portée du Bluetooth est courte — concrètement, de l'ordre de quelques dizaines de mètres, pas de plusieurs kilomètres — mais cela signifie tout de même « n'importe qui se tenant près de votre voiture sur un parking, dans une allée ou dans la rue », et non un pirate à distance à l'autre bout du monde. Cela abaisse le niveau requis pour de petites malveillances, même si cela limite les exploitations à distance à grande échelle.
  • Cela va au-delà de « déverrouiller les portes ». La désactivation du démarrage est le détail auquel il faut vraiment réfléchir. Un système d'alarme auquel un inconnu non authentifié peut ordonner d'empêcher votre voiture de démarrer est un dispositif de déni de service déguisé en produit de sécurité.

Nous n'avons pas sous les yeux l'intégralité de l'analyse technique de la faille au niveau du protocole, et l'article scientifique officiel des chercheurs ne semble pas encore avoir été publié publiquement ; nous ne pouvons donc pas vérifier nous-mêmes des détails comme l'étape précise de l'appairage Bluetooth qui est ignorée. Considérez cet article comme un guide pour vérifier votre exposition et trouver le correctif, et non comme un substitut à la divulgation complète qui suivra.

Comment vérifier si votre voiture est concernée

KARR est un produit de deuxième monte, c'est-à-dire qu'il est installé après la sortie du véhicule d'usine — généralement dans le cadre d'un forfait proposé par un concessionnaire, par un atelier automobile ou par un ancien propriétaire. Il n'existe donc pas de liste unique de « modèles concernés » ; tout dépend du boîtier d'alarme installé dans telle ou telle voiture, quelle que soit sa marque. Voici quelques moyens de vérifier :

  1. Regardez la vitre côté conducteur. Les chercheurs indiquent qu'un autocollant « KARR » bien visible est un signe courant que le système est installé — vérifiez le coin inférieur des vitres côté conducteur et côté passager avant, où les installateurs placent généralement les autocollants d'alarme et de sécurité.
  2. Vérifiez sous le tableau de bord. Si vous avez acheté la voiture d'occasion ou en avez hérité et ne vous souvenez pas qu'une alarme ait été installée, la présence d'une LED clignotante près de la colonne de direction ou du tableau de bord — un indicateur standard d'alarme « armée » — associée à une télécommande qui ne vous a pas été remise par le concessionnaire, constitue un indice de la présence d'un système de deuxième monte.
  3. Vérifiez vos documents ou demandez au vendeur/à l'installateur. Si vous savez quel atelier a installé votre alarme, ou si elle était incluse dans l'achat d'une voiture d'occasion, c'est le moyen le plus rapide de confirmer la marque et le modèle.
  4. En cas de doute, demandez à un mécanicien ou à l'installateur de l'identifier plutôt que de vous fier au seul autocollant — les autocollants peuvent être les vestiges d'un ancien système désinstallé, et toutes les voitures équipées de KARR n'auront pas conservé leur autocollant.

Que faire si vous en avez un

Les chercheurs auraient travaillé sur un correctif et présenté une procédure de mise à jour en même temps que leur divulgation — signe encourageant que cette faille matérielle n'est ni sans issue ni impossible à corriger. Avant toute chose, toutefois :

  • Passez d'abord par le fabricant ou votre installateur d'origine. Contactez la personne ou l'entreprise qui a installé le système, ou directement les canaux du fabricant/de l'assistance KARR, et demandez précisément des informations sur cette divulgation ainsi que la disponibilité d'une mise à jour du micrologiciel pour votre unité. Ne vous contentez pas d'une question générique du type « mon alarme est-elle sécurisée ? » — mentionnez la vulnérabilité par son nom afin d'être orienté vers quelqu'un qui la connaît.
  • Méfiez-vous de toute personne qui n'est pas votre installateur et qui vous propose de « réparer » en personne l'alarme de votre voiture — y compris d'un inconnu bien intentionné muni d'une application. Même avec de bonnes intentions, laisser quelqu'un que vous ne connaissez pas se connecter aux systèmes de votre véhicule pour les « corriger » revient précisément à accorder le type d'accès que toute cette affaire cherche à éviter. Vérifiez ses qualifications et passez par des canaux légitimes — un installateur agréé ou le fabricant — même si cela prend plus de temps.
  • Si vous ne pouvez pas obtenir de correctif, évaluez votre exposition réelle. L'exploitation la plus probable de cette faille dans le monde réel relève de la petite nuisance — quelqu'un qui s'amuse avec vos feux ou votre klaxon, ou un voleur qui vérifie s'il peut ouvrir vos serrures sans casser une vitre. La capacité à désactiver le démarrage est la plus importante pour la sécurité — imaginez qu'elle soit déclenchée alors que vous vous engagez dans la circulation — ; si aucun correctif n'est disponible, demandez à votre installateur s'il est possible de désactiver ou de reconfigurer spécifiquement la fonction d'interruption du démarrage à titre provisoire.
  • Si l'atelier qui l'a installé n'existe plus ou si la gamme de produits a été abandonnée, traitez-le comme n'importe quel appareil IoT qui n'est plus pris en charge : demandez-vous si l'avantage de sécurité lié à son maintien installé l'emporte toujours sur le risque, et demandez conseil à un mécanicien concernant son retrait.

La leçon générale : « avoir le Bluetooth » et « être sécurisé » sont deux affirmations différentes

Il s'agit d'une étude de cas utile qui dépasse le cadre des alarmes automobiles. Tout appareil de deuxième monte qui mise sur la commodité — une alarme sans fil que vous pouvez activer depuis votre téléphone, un démarreur à distance, un ouvre-porte de garage connecté — a, par définition, ajouté une interface radio qui n'existait pas sur l'équipement d'usine. La fiabilité de cette interface dépend entièrement de son authentification, et le fait qu'elle provienne d'une entreprise de sécurité ne prouve pas que l'authentification a été correctement mise en œuvre. Avant d'installer — ou de conserver — un produit de sécurité sans fil supplémentaire, il est légitime de poser quelques questions simples à l'installateur ou au fabricant : faut-il un appairage ou une authentification avant d'accepter des commandes ? Le fournisseur a-t-il publié un moyen de recevoir les mises à jour du micrologiciel ? Quelqu'un l'a-t-il testé de manière indépendante ? Si personne ne peut répondre, cela ne prouve pas l'existence d'une faille — mais c'est une raison de rester modeste quant à ce que l'autocollant sur votre vitre vous promet réellement.

Source : les recherches sur la vulnérabilité Bluetooth de KARR ont d'abord été rapportées par Schneier on Security, qui cite la divulgation des chercheurs de l'UC San Diego.