Nalepnice na prozorima automobila trebalo bi da odvraćaju lopove. Natpis „Ovo vozilo je zaštićeno alarmom“ treba da navede lopova da potraži lakšu metu niz ulicu. Zato je gorka ironija u onome što su bezbednosni istraživači sa Univerziteta Kalifornije u San Dijegu upravo obelodanili o jednoj konkretnoj nalepnici: oznaci „KARR“ na prozoru sa vozačeve strane, koja označava popularni naknadno ugrađeni alarmni sistem za koji istraživači procenjuju da je instaliran u više od 2 miliona vozila u SAD.

Prema njihovim nalazima, svako ko se nalazi u dometu Bluetootha automobila opremljenog sistemom KARR može da mu šalje komande bez ikakvih akreditiva — nečujno otključava vrata, isključuje alarm, trubi, pali svetla, pa čak i deaktivira paljenje i ostavlja vozača na cedilu. Skup funkcija koji bi trebalo da štiti automobil, prema ovom istraživanju, istovremeno je i meni radnji koje nepoznata osoba na parkingu može da izvrši nad njim.

Šta ovaj propust zapravo znači u praksi

Nekoliko stvari se izdvaja po tome kako se ovo razlikuje od uobičajene priče „moja lozinka je procurela“:

  • Nema lozinke za krađu. Ovo nije slučaj slabih akreditiva ili ponovo upotrebljene prijave. Istraživači navode da su mogli da šalju komande direktno putem Bluetootha alarmnoj jedinici — što bi u dobro osmišljenom sistemu prvo trebalo da zahteva uparivanje i autentifikaciju.
  • Jedini uslov je blizina. Domet Bluetootha je kratak — realno se meri desetinama metara, a ne miljama — ali to ipak znači „svako ko stoji blizu vašeg automobila na parkingu, prilazu ili ulici“, a ne udaljeni haker s druge strane sveta. To snižava prag za usputne nestašluke, čak i ako ograničava masovno iskorišćavanje na daljinu.
  • Ide dalje od „otključavanja vrata“. Deaktiviranje paljenja je detalj o kojem vredi dobro razmisliti. Alarmni sistem kojem neovlašćena nepoznata osoba može da naredi da spreči pokretanje automobila jeste uređaj za uskraćivanje usluge obučen u kostim bezbednosnog proizvoda.

Nemamo pred sobom kompletan tehnički opis greške na nivou protokola, a formalni rad istraživača još uvek ne deluje kao da je javno objavljen, pa pojedinosti poput toga koji se tačno korak Bluetooth uparivanja preskače ne možemo lično da proverimo. Ovaj tekst shvatite kao vodič za proveru izloženosti i pronalaženje rešenja, a ne kao zamenu za konačno, potpuno obelodanjivanje.

Kako da proverite da li se ovo odnosi na vaš automobil

KARR je naknadno ugrađeni proizvod, što znači da se instalira nakon izlaska vozila iz fabrike — obično kao dodatni paket koji nudi prodavac, u auto-servisu ili kod prethodnog vlasnika. To znači da ne postoji jedinstvena lista „pogođenih modela“; bitno je koja je alarmna kutija ugrađena u koji automobil, bez obzira na marku. Evo nekoliko načina za proveru:

  1. Pogledajte prozor sa vozačeve strane. Istraživači napominju da je vidljiva oznaka „KARR“ čest znak da je sistem ugrađen — proverite donji ugao prozora sa vozačeve strane i prozora suvozača napred, gde instalateri obično postavljaju nalepnice alarma i bezbednosnog sistema.
  2. Proverite prostor ispod komandne table. Ako ste automobil kupili polovan ili ga nasledili i ne sećate se da je alarm ikada ugrađen, trepćuća LED lampica u blizini stuba volana ili na komandnoj tabli (standardni pokazatelj da je alarm „uključen“), zajedno sa daljinskim upravljačem koji niste dobili od prodavca, ukazuje na prisustvo naknadno ugrađenog sistema.
  3. Proverite dokumentaciju ili pitajte prodavca/instalatera. Ako znate koji je servis ugradio alarm ili ako je on došao u paketu s kupovinom polovnog automobila, to je najbrži način da potvrdite marku i model.
  4. Ako niste sigurni, zamolite mehaničara ili instalatera da ga identifikuje umesto da zaključujete samo na osnovu nalepnice — oznake mogu biti zaostale od prethodnog, uklonjenog sistema, a nije svako vozilo opremljeno sistemom KARR zadržalo nalepnicu.

Šta da uradite ako ga imate

Istraživači su navodno radili na rešenju i uz obelodanjivanje demonstrirali postupak instaliranja zakrpe — što je ohrabrujući znak da nije reč o nepopravljivom hardverskom propustu. Ipak, pre nego što bilo šta uradite:

  • Najpre se obratite proizvođaču ili prvobitnom instalateru. Obratite se onome ko je ugradio sistem ili direktno KARR-ovim kanalima proizvođača/podrške i izričito pitajte za ovo obelodanjivanje i da li je za vašu jedinicu dostupno ažuriranje firmvera. Nemojte se oslanjati na opšte pitanje „da li je moj alarm bezbedan“ — navedite naziv ranjivosti kako biste bili upućeni nekome ko zna o čemu je reč.
  • Budite oprezni prema svakome ko nije vaš instalater, a nudi da lično „popravi“ alarm u vašem automobilu — uključujući dobronamernog nepoznatog čoveka s aplikacijom. Čak i kada su namere dobre, dopuštanje osobi koju ne poznajete da se poveže sa sistemima vašeg vozila kako bi ih „zakrpila“ upravo je vrsta pristupa koju ova priča nastoji da izbegne. Proverite ovlašćenja i koristite legitimne kanale — licenciranog instalatera ili proizvođača — čak i ako to traje duže.
  • Ako ne možete da dobijete zakrpu, shvatite kolika je vaša stvarna izloženost. Najverovatnija zloupotreba ovog propusta u stvarnom svetu jeste sitničava — neko se poigrava vašim svetlima ili sirenom, ili lopov proverava može li da otključa brave bez razbijanja prozora. Mogućnost deaktiviranja paljenja najvažnija je zbog bezbednosti (zamislite da se aktivira dok se uključujete u saobraćaj), pa ako zakrpa nije dostupna, pitajte instalatera da li funkcija prekida paljenja konkretno može da se deaktivira ili ponovo podesi kao privremena mera.
  • Ako servis koji ga je ugradio više ne posluje ili je linija proizvoda napuštena, tretirajte ga kao svaki nepodržani IoT uređaj: razmislite da li bezbednosna korist od toga da ostane ugrađen i dalje nadmašuje rizik i pitajte mehaničara o uklanjanju.

Šira pouka: „ima Bluetooth“ i „bezbedan je“ dve su različite tvrdnje

Ovo je korisna studija slučaja koja prevazilazi auto-alarme. Svaki naknadno ugrađeni uređaj koji se reklamira zbog praktičnosti — bežični alarm koji možete uključiti telefonom, daljinsko pokretanje motora, pametni otvarač garažnih vrata — po definiciji je dodao radio-interfejs koji nije postojao u fabričkoj opremi. Taj interfejs je pouzdan onoliko koliko je pouzdana njegova autentifikacija, a „proizvodi ga bezbednosna kompanija“ nije dokaz da je autentifikacija pravilno sprovedena. Pre nego što ugradite (ili zadržite) bilo koji bežični dodatni bezbednosni proizvod, sasvim je opravdano da instalateru ili proizvođaču postavite nekoliko jednostavnih pitanja: Da li zahteva uparivanje/autentifikaciju pre prihvatanja komandi? Da li je proizvođač objavio način za dobijanje ažuriranja firmvera? Da li ga je neko nezavisno testirao? Ako niko ne može da odgovori, to nije dokaz da postoji propust — ali jeste razlog da vaša očekivanja od onoga što nalepnica na prozoru zapravo obećava budu skromna.

Izvor: istraživanje o Bluetooth ranjivosti sistema KARR prvi put je objavljeno preko Schneier on Security, uz navođenje obelodanjivanja istraživača sa Univerziteta Kalifornije u San Dijegu.