Naklejki na szybach samochodów mają odstraszać. Napis „Ten pojazd jest chroniony alarmem” ma skłonić złodzieja do poszukania łatwiejszego celu kilka samochodów dalej. Dlatego w tym, co właśnie ujawnili badacze bezpieczeństwa z UC San Diego na temat jednej konkretnej naklejki, kryje się gorzka ironia: naklejki na szybie po stronie kierowcy z napisem „KARR”, oznaczającej popularny dodatkowy system alarmowy, który — jak szacują badacze — jest zainstalowany w ponad 2 milionach pojazdów w USA.

Z ich ustaleń wynika, że każda osoba znajdująca się w zasięgu Bluetooth samochodu wyposażonego w KARR może wysyłać do niego polecenia bez jakichkolwiek danych uwierzytelniających — po cichu odblokować drzwi, wyłączyć alarm, zatrąbić, zamigać światłami, a nawet wyłączyć zapłon i unieruchomić kierowcę. Zestaw funkcji, który ma chronić samochód, jest według tych badań również menu czynności, jakie obca osoba na parkingu może na nim wykonać.

Co ta luka faktycznie oznacza w praktyce

Kilka rzeczy wyróżnia ten przypadek na tle typowej historii w rodzaju „wyciekło moje hasło”:

  • Nie ma hasła, które można ukraść. To nie przypadek słabych danych uwierzytelniających ani ponownie użytego loginu. Badacze opisują możliwość bezpośredniego wysyłania poleceń przez Bluetooth do modułu alarmu — w dobrze zaprojektowanym systemie powinno to wymagać wcześniejszego sparowania i uwierzytelnienia.
  • Jedynym wymogiem jest bliskość. Zasięg Bluetooth jest niewielki — w praktyce to kwestia dziesiątek metrów, a nie kilometrów — ale wciąż oznacza to „każdego, kto stoi obok samochodu na parkingu, podjeździe lub ulicy”, a nie zdalnego hakera po drugiej stronie świata. Obniża to próg dla przypadkowych wybryków, nawet jeśli ogranicza możliwość masowego zdalnego wykorzystania luki.
  • To coś więcej niż „odblokowanie drzwi”. Wyłączenie zapłonu to szczegół, nad którym warto się zatrzymać. System alarmowy, któremu nieuwierzytelniona obca osoba może nakazać uniemożliwienie uruchomienia samochodu, jest urządzeniem do ataków typu odmowa usługi przebranym za produkt zabezpieczający.

Nie mamy przed sobą pełnego technicznego opisu błędu na poziomie protokołu, a formalna publikacja badaczy nie wydaje się jeszcze publicznie dostępna, więc nie możemy osobiście zweryfikować szczegółów, takich jak dokładnie pomijany etap parowania Bluetooth. Potraktuj ten tekst jako przewodnik po sprawdzeniu, czy problem dotyczy również ciebie, i znalezieniu rozwiązania, a nie jako zamiennik pełnego ujawnienia, które pojawi się w przyszłości.

Jak sprawdzić, czy dotyczy to twojego samochodu

KARR to produkt dodatkowy, czyli instalowany po opuszczeniu przez pojazd fabryki — zwykle w ramach pakietu oferowanego przez dealera, w warsztacie samochodowym albo przez poprzedniego właściciela. Oznacza to, że nie ma jednej listy „objętych problemem modeli”; liczy się to, do którego samochodu zamontowano dany moduł alarmu, niezależnie od marki. Oto kilka sposobów, by to sprawdzić:

  1. Obejrzyj szybę po stronie kierowcy. Badacze zauważają, że widoczna naklejka „KARR” jest częstym znakiem zainstalowania systemu — sprawdź dolny róg szyby po stronie kierowcy i szyby przedniego pasażera, gdzie instalatorzy zwykle umieszczają naklejki alarmowe i zabezpieczające.
  2. Sprawdź miejsce pod deską rozdzielczą. Jeśli kupiłeś samochód używany albo go odziedziczyłeś i nie pamiętasz, by instalowano w nim alarm, wskazówką może być migająca dioda LED w pobliżu kolumny kierownicy lub deski rozdzielczej (standardowy wskaźnik „uzbrojenia” alarmu) w połączeniu z pilotem, którego nie otrzymałeś od dealera.
  3. Sprawdź dokumentację albo zapytaj sprzedawcę lub instalatora. Jeśli wiesz, który warsztat zainstalował alarm, albo system był dołączony do zakupu używanego samochodu, to najszybszy sposób na potwierdzenie marki i modelu.
  4. W razie wątpliwości poproś mechanika lub instalatora o identyfikację systemu zamiast zgadywać wyłącznie na podstawie naklejki — naklejki mogą pozostać po wcześniej zainstalowanym, a następnie usuniętym systemie, a nie każdy samochód wyposażony w KARR będzie miał zachowaną naklejkę.

Co zrobić, jeśli masz taki system

Jak informują badacze, pracowali oni nad poprawką i podczas ujawnienia problemu zademonstrowali proces jej wdrażania — to zachęcający znak, że nie jest to ślepa uliczka w postaci niełatawej luki sprzętowej. Zanim jednak cokolwiek zrobisz:

  • Najpierw skontaktuj się z producentem lub pierwotnym instalatorem. Skontaktuj się z osobą lub firmą, która zainstalowała system, albo bezpośrednio z producentem KARR lub jego działem wsparcia, i zapytaj konkretnie o to ujawnienie oraz o dostępność aktualizacji oprogramowania układowego dla twojego urządzenia. Nie poprzestawaj na ogólnym pytaniu „czy mój alarm jest bezpieczny” — powołaj się na tę lukę, aby trafić do osoby, która wie, czego dotyczy problem.
  • Uważaj na osoby inne niż twój instalator, które oferują osobiste „naprawienie” alarmu w samochodzie — w tym na życzliwego nieznajomego z aplikacją. Nawet przy dobrych intencjach pozwolenie nieznanej osobie na połączenie się z systemami pojazdu w celu ich „załatania” oznacza dokładnie taki rodzaj dostępu, którego cała ta historia każe unikać. Zweryfikuj uprawnienia i korzystaj z legalnych kanałów — licencjonowanego instalatora lub producenta — nawet jeśli potrwa to dłużej.
  • Jeśli nie możesz uzyskać poprawki, zrozum, na jakie rzeczywiste zagrożenie jesteś narażony. Najbardziej prawdopodobne wykorzystanie tej luki w prawdziwym świecie będzie błahe — ktoś może manipulować światłami lub klaksonem albo złodziej może sprawdzać, czy da się otworzyć zamki bez wybijania szyby. Możliwość wyłączenia zapłonu ma największe znaczenie dla bezpieczeństwa (wyobraź sobie, że zostaje uruchomiona podczas włączania się do ruchu), więc jeśli poprawka nie jest dostępna, zapytaj instalatora, czy konkretnie funkcję odcięcia zapłonu można tymczasowo wyłączyć lub przekonfigurować.
  • Jeśli warsztat, który zainstalował system, już nie działa albo dana linia produktów została porzucona, potraktuj to tak samo jak każde nieobsługiwane urządzenie IoT: zastanów się, czy korzyści z pozostawienia go w samochodzie nadal przewyższają ryzyko, i zapytaj mechanika o możliwość demontażu.

Szersza lekcja: „ma Bluetooth” i „jest bezpieczne” to różne stwierdzenia

To przydatne studium przypadku wykraczające poza alarmy samochodowe. Każde urządzenie dodatkowe, które reklamuje się wygodą — bezprzewodowy alarm uzbrajany z telefonu, zdalny rozrusznik, inteligentny otwieracz garażu — z definicji dodaje interfejs radiowy, którego nie było w fabrycznym wyposażeniu. Interfejs ten jest godny zaufania tylko na tyle, na ile godne zaufania jest jego uwierzytelnianie, a fakt, że urządzenie pochodzi od „firmy zajmującej się bezpieczeństwem”, nie dowodzi, że uwierzytelnianie wykonano prawidłowo. Zanim zainstalujesz (albo pozostawisz) jakikolwiek bezprzewodowy dodatkowy produkt zabezpieczający, warto zadać instalatorowi lub producentowi kilka prostych pytań: Czy przed przyjęciem poleceń wymaga parowania lub uwierzytelnienia? Czy dostawca opublikował sposób otrzymywania aktualizacji oprogramowania układowego? Czy ktoś niezależnie je przetestował? Jeśli nikt nie potrafi odpowiedzieć, nie jest to dowód istnienia luki — ale powód, by zachować umiarkowane oczekiwania co do tego, co naklejka na szybie faktycznie obiecuje.

Źródło: informacje o luce Bluetooth w systemie KARR po raz pierwszy opublikowano za pośrednictwem Schneier on Security, powołując się na ujawnienie dokonane przez badaczy z UC San Diego.