Os adesivos nas janelas dos carros deveriam funcionar como um fator de dissuasão. «Este veículo é protegido por um alarme» deve fazer um ladrão procurar um alvo mais fácil algumas quadras adiante. Por isso, há uma amarga ironia no que pesquisadores de segurança da UC San Diego acabaram de revelar sobre um adesivo específico: um decalque no lado do motorista com a inscrição «KARR», identificando um popular sistema de alarme instalado posteriormente que, segundo estimativas dos pesquisadores, está presente em mais de 2 milhões de veículos nos EUA.
Segundo as descobertas, qualquer pessoa dentro do alcance Bluetooth de um carro equipado com KARR pode enviar comandos sem credencial alguma — destravar silenciosamente as portas, desligar o alarme, buzinar, piscar as luzes ou até desativar a ignição e deixar o motorista parado. O conjunto de recursos que deveria proteger o carro é, de acordo com esta pesquisa, também um menu de coisas que um desconhecido em um estacionamento pode fazer com ele.
O que a falha realmente significa na prática
Alguns pontos se destacam na forma como isso difere de uma história típica de «minha senha vazou»:
- Não há senha para roubar. Este não é um caso de credenciais fracas ou de um login reutilizado. Os pesquisadores descrevem ter conseguido enviar comandos diretamente pelo Bluetooth à unidade de alarme — algo que, em um sistema bem projetado, deveria exigir emparelhamento e autenticação antes.
- A proximidade é o único requisito. O alcance do Bluetooth é curto — realisticamente, questão de dezenas de metros, não de quilômetros —, mas isso ainda significa «qualquer pessoa perto do seu carro em um estacionamento, garagem ou rua», não um hacker remoto do outro lado do mundo. Isso reduz a barreira para brincadeiras casuais, mesmo que limite a exploração remota em grande escala.
- Vai além de «destravar as portas». Desativar a ignição é o detalhe que merece atenção. Um sistema de alarme que pode receber de um desconhecido não autenticado a ordem de impedir a partida do carro é um dispositivo de negação de serviço disfarçado de produto de segurança.
Não temos diante de nós o relatório técnico completo sobre a falha no nível do protocolo, e o artigo formal dos pesquisadores ainda não parece ter sido publicado publicamente; portanto, detalhes como exatamente qual etapa do emparelhamento Bluetooth é ignorada não são algo que possamos verificar em primeira mão. Considere este texto um guia para verificar sua exposição e encontrar a correção, não um substituto para a divulgação completa que virá.
Como verificar se isso se aplica ao seu carro
KARR é um produto instalado posteriormente, o que significa que é instalado depois que o veículo sai da fábrica — geralmente como parte de um pacote adicional oferecido pela concessionária, por uma oficina automotiva ou por um proprietário anterior. Isso significa que não existe uma única lista de «modelos afetados»; a questão é qual caixa de alarme foi instalada em qual carro, independentemente da marca. Algumas formas de verificar:
- Olhe a janela do lado do motorista. Os pesquisadores observam que um decalque «KARR» visível é um sinal comum de que o sistema está instalado — verifique o canto inferior das janelas do motorista e do passageiro dianteiro, onde os instaladores geralmente colocam adesivos de alarme e segurança.
- Verifique sob o painel. Se você comprou o carro usado ou o herdou e não se lembra de um alarme ter sido instalado, um LED piscando perto da coluna de direção ou do painel — um indicador padrão de alarme «ativado» — junto com um controle remoto que você não recebeu da concessionária é uma pista de que há um sistema instalado posteriormente.
- Verifique a documentação ou pergunte ao vendedor/instalador. Se você sabe qual oficina instalou o alarme, ou se ele veio incluído na compra de um carro usado, essa é a maneira mais rápida de confirmar a marca e o modelo.
- Em caso de dúvida, peça a um mecânico ou ao instalador que o identifique em vez de tentar adivinhar apenas pelo adesivo — os decalques podem ter sobrado de um sistema anterior que já foi removido, e nem todo carro equipado com KARR terá mantido o adesivo.
O que fazer se você tiver um
Segundo relatos, os pesquisadores trabalharam em uma correção e demonstraram um processo de aplicação do patch junto com a divulgação — um sinal encorajador de que esta não é uma falha de hardware sem saída e impossível de corrigir. Antes de fazer qualquer coisa, porém:
- Procure primeiro o fabricante ou o instalador original. Entre em contato com quem instalou o sistema ou diretamente com os canais do fabricante/suporte da KARR e pergunte especificamente sobre esta divulgação e se há uma atualização de firmware disponível para sua unidade. Não confie em uma pergunta genérica como «meu alarme é seguro?» — mencione a vulnerabilidade pelo nome para ser encaminhado a alguém que saiba do que se trata.
- Desconfie de qualquer pessoa que não seja seu instalador e ofereça «consertar» o alarme do seu carro pessoalmente — incluindo um desconhecido bem-intencionado com um aplicativo. Mesmo que a intenção seja boa, permitir que alguém que você não conhece se conecte aos sistemas do seu veículo para «aplicar um patch» é exatamente o tipo de acesso que toda esta história trata de evitar. Verifique as credenciais e recorra a canais legítimos — um instalador licenciado ou o fabricante — mesmo que isso demore mais.
- Se não conseguir um patch, entenda sua exposição real. O abuso mais provável dessa falha no mundo real é banal — alguém mexendo nas suas luzes ou buzina, ou um ladrão testando se consegue abrir suas fechaduras sem quebrar uma janela. A capacidade de desativar a ignição é a que mais importa para a segurança (imagine isso sendo acionado enquanto você entra no trânsito); portanto, se não houver um patch disponível, pergunte ao instalador se a função de corte da ignição, especificamente, pode ser desativada ou reconfigurada como medida provisória.
- Se a oficina que o instalou não estiver mais funcionando ou a linha de produtos tiver sido abandonada, trate isso como trataria qualquer dispositivo de IoT sem suporte: considere se o benefício de segurança de mantê-lo instalado ainda supera o risco e pergunte a um mecânico sobre a remoção.
A lição mais ampla: «ter Bluetooth» e «ser seguro» são afirmações diferentes
Este é um estudo de caso útil que vai além dos alarmes automotivos. Qualquer dispositivo instalado posteriormente que se venda pela conveniência — um alarme sem fio que você pode ativar pelo celular, uma partida remota, um abridor inteligente de garagem — adicionou, por definição, uma interface de rádio que não existia no equipamento de fábrica. Essa interface é tão confiável quanto sua autenticação, e «é de uma empresa de segurança» não é prova de que a autenticação foi implementada corretamente. Antes de instalar (ou manter) qualquer produto de segurança sem fio adicional, é razoável fazer algumas perguntas simples ao instalador ou fabricante: ele exige emparelhamento/autenticação antes de aceitar comandos? O fornecedor publicou uma forma de receber atualizações de firmware? Alguém o testou de forma independente? Se ninguém puder responder, isso não prova que haja uma falha — mas é um motivo para manter modestas as expectativas sobre o que o adesivo na sua janela realmente está prometendo.
Fonte: a pesquisa sobre a vulnerabilidade Bluetooth da KARR foi relatada pela primeira vez por meio de Schneier on Security, citando a divulgação dos pesquisadores da UC San Diego.
