Gli adesivi sui finestrini delle auto dovrebbero fungere da deterrente. «Questo veicolo è protetto da un sistema d’allarme» dovrebbe spingere un ladro a cercare un bersaglio più facile qualche auto più avanti. C’è quindi una sottile ironia in ciò che i ricercatori di sicurezza dell’UC San Diego hanno appena divulgato riguardo a uno specifico adesivo: un contrassegno sul lato del conducente con la scritta «KARR», che identifica un popolare sistema d’allarme aftermarket che, secondo le stime dei ricercatori, è installato su più di 2 milioni di veicoli negli Stati Uniti.

Secondo i loro risultati, chiunque si trovi nel raggio Bluetooth di un’auto dotata di KARR può inviarle comandi senza alcuna credenziale: sbloccare silenziosamente le portiere, disattivare l’allarme, suonare il clacson, far lampeggiare le luci o persino disabilitare l’accensione e lasciare il conducente a piedi. Le funzionalità che dovrebbero proteggere l’auto sono, secondo questa ricerca, anche un menu di azioni che uno sconosciuto in un parcheggio può eseguire su di essa.

Cosa significa concretamente la falla

Alcuni aspetti si distinguono rispetto alla tipica storia del «mi hanno rubato la password»:

  • Nessuna password da rubare. Non si tratta di credenziali deboli o di un accesso riutilizzato. I ricercatori descrivono la possibilità di inviare comandi direttamente tramite Bluetooth all’unità d’allarme: in un sistema progettato correttamente, sarebbe qualcosa che dovrebbe richiedere prima l’associazione e l’autenticazione.
  • L’unico requisito è la prossimità. La portata del Bluetooth è ridotta, realisticamente nell’ordine di qualche decina di metri, non di chilometri, ma si tratta comunque di «chiunque si trovi vicino alla tua auto in un parcheggio, in un vialetto o per strada», non di un hacker remoto dall’altra parte del mondo. Questo abbassa la soglia per gli scherzi occasionali, anche se limita gli attacchi su larga scala da remoto.
  • Va oltre il semplice «sbloccare le portiere». Disabilitare l’accensione è il dettaglio su cui vale la pena riflettere. Un sistema d’allarme a cui uno sconosciuto non autenticato può ordinare di impedire l’avviamento dell’auto è un dispositivo per attacchi di negazione del servizio travestito da prodotto di sicurezza.

Non abbiamo davanti a noi l’analisi tecnica completa del problema a livello di protocollo e il documento formale dei ricercatori non sembra essere ancora stato pubblicato, quindi non possiamo verificare di persona dettagli come quale specifico passaggio dell’associazione Bluetooth venga eseguito. Considera questo articolo una guida per controllare la tua esposizione e trovare la soluzione, non un sostituto della divulgazione completa che seguirà.

Come verificare se il problema riguarda la tua auto

KARR è un prodotto aftermarket, cioè viene installato dopo che il veicolo lascia la fabbrica, di solito tramite un pacchetto aggiuntivo del concessionario, un’officina o un precedente proprietario. Non esiste quindi un unico elenco dei «modelli interessati»: dipende da quale centralina d’allarme è stata montata su quale auto, indipendentemente dalla marca. Ecco alcuni modi per verificare:

  1. Guarda il finestrino lato conducente. I ricercatori osservano che un adesivo «KARR» visibile è un segnale comune della presenza del sistema: controlla l’angolo inferiore dei finestrini del conducente e del passeggero anteriore, dove gli installatori collocano solitamente gli adesivi degli allarmi e dei sistemi di sicurezza.
  2. Controlla sotto il cruscotto. Se hai acquistato l’auto usata o l’hai ricevuta in eredità e non ricordi che sia stato installato un allarme, un LED lampeggiante vicino al piantone dello sterzo o al cruscotto, il normale indicatore di «allarme inserito», insieme a un telecomando che non hai ricevuto dal concessionario, è un indizio della presenza di un sistema aftermarket.
  3. Controlla i documenti o chiedi al venditore/installatore. Se sai quale officina ha installato l’allarme, o se era incluso nell’acquisto di un’auto usata, questo è il modo più rapido per confermare marca e modello.
  4. In caso di dubbi, chiedi a un meccanico o all’installatore di identificarlo invece di basarti soltanto sull’adesivo: i contrassegni possono essere rimasti da un sistema precedente mai installato, e non tutte le auto dotate di KARR avranno conservato l’adesivo.

Cosa fare se ne hai uno

Secondo quanto riferito, i ricercatori hanno collaborato alla realizzazione di una soluzione e hanno dimostrato un processo di applicazione della patch insieme alla divulgazione, un segnale incoraggiante del fatto che non si tratti di una falla hardware senza rimedio né possibilità di aggiornamento. Prima di fare qualsiasi cosa, però:

  • Rivolgiti prima al produttore o all’installatore originale. Contatta chi ha installato il sistema oppure direttamente i canali del produttore o dell’assistenza KARR e chiedi nello specifico informazioni su questa divulgazione e se è disponibile un aggiornamento del firmware per la tua unità. Non limitarti a una domanda generica come «il mio allarme è sicuro?»; cita la vulnerabilità per nome, così verrai indirizzato a qualcuno che ne è al corrente.
  • Diffida di chiunque non sia il tuo installatore e si offra di «riparare» di persona l’allarme della tua auto, compreso uno sconosciuto benintenzionato con un’app. Anche se l’intenzione è buona, permettere a una persona che non conosci di collegarsi ai sistemi del tuo veicolo per «applicare una patch» significa concedere esattamente il tipo di accesso che tutta questa storia mira a evitare. Verifica le credenziali e passa attraverso canali legittimi, un installatore autorizzato o il produttore, anche se richiede più tempo.
  • Se non riesci a ottenere una patch, comprendi la tua effettiva esposizione. L’abuso più probabile di questa falla nel mondo reale è di poco conto: qualcuno che gioca con le luci o il clacson, oppure un ladro che verifica se riesce ad aprire le serrature senza rompere un finestrino. La possibilità di disabilitare l’accensione è quella che conta di più per la sicurezza, immaginando che venga attivata mentre ti immetti nel traffico; quindi, se non è disponibile una patch, chiedi all’installatore se la funzione di blocco dell’accensione possa essere disabilitata o riconfigurata temporaneamente.
  • Se l’officina che lo ha installato non è più in attività o la linea di prodotti è stata abbandonata, trattalo come qualsiasi dispositivo IoT non più supportato: valuta se il vantaggio in termini di sicurezza derivante dal tenerlo installato superi ancora il rischio e chiedi a un meccanico informazioni sulla rimozione.

La lezione più ampia: «avere il Bluetooth» ed «essere sicuro» sono affermazioni diverse

Questo è un utile caso di studio che va oltre gli allarmi per auto. Qualsiasi dispositivo aftermarket che si promuova sulla base della comodità, un allarme wireless attivabile dal telefono, un avviamento a distanza o un apriporta smart per garage, ha per definizione aggiunto un’interfaccia radio che non esisteva sull’equipaggiamento di fabbrica. Quell’interfaccia è affidabile solo quanto la sua autenticazione, e «proviene da un’azienda di sicurezza» non dimostra che l’autenticazione sia stata implementata correttamente. Prima di installare, o di mantenere, un prodotto di sicurezza wireless aggiuntivo, è ragionevole porre all’installatore o al produttore alcune domande semplici: richiede l’associazione o l’autenticazione prima di accettare comandi? Il fornitore ha pubblicato un modo per ricevere gli aggiornamenti del firmware? Qualcuno lo ha sottoposto a test indipendenti? Se nessuno sa rispondere, non è una prova dell’esistenza di una falla, ma è un motivo per mantenere modeste le aspettative su ciò che l’adesivo sul finestrino promette realmente.

Fonte: la ricerca sulla vulnerabilità Bluetooth di KARR è stata riportata per la prima volta da Schneier on Security, che ha citato la divulgazione dei ricercatori dell’UC San Diego.