Ang mga sticker sa bintana ng mga sasakyan ay dapat sana'y nakakapigil sa mga magnanakaw. Ang "Ang sasakyang ito ay protektado ng alarma" ay nilalayong maghanap ang magnanakaw ng mas madaling puntiryang sasakyan sa kabilang bahagi ng kalsada. Kaya may mapait na kabalintunaan sa ibinunyag kamakailan ng mga mananaliksik sa seguridad mula sa UC San Diego tungkol sa isang partikular na sticker: isang decal sa panig ng drayber na may nakasulat na "KARR", na nagpapahiwatig ng isang tanyag na aftermarket alarm system na tinatayang naka-install sa mahigit 2 milyong sasakyan sa US.

Ayon sa kanilang mga natuklasan, sinumang nasa saklaw ng Bluetooth ng isang sasakyang may KARR ay maaaring magpadala rito ng mga utos nang walang anumang kredensyal — tahimik na mag-unlock ng mga pinto, magpatay ng alarma, magbusina, magpa-flash ng mga ilaw, o pati na huwag paganahin ang ignition at iwanang stranded ang drayber. Ang set ng mga feature na dapat sana'y nagpoprotekta sa sasakyan ay, ayon sa pananaliksik na ito, isa ring menu ng mga bagay na maaaring gawin dito ng isang estranghero sa paradahan.

Ang tunay na kahulugan ng kapintasan sa aktuwal na paggamit

May ilang bagay na kapansin-pansin sa pagkakaiba nito sa karaniwang kuwentong "na-leak ang password ko":

  • Walang password na kailangang nakawin. Hindi ito kaso ng mahinang kredensyal o reused na login. Inilarawan ng mga mananaliksik na nakapagpadala sila ng mga utos nang direkta sa alarm unit sa pamamagitan ng Bluetooth — isang bagay na, sa isang maayos na idinisenyong sistema, ay dapat munang mangailangan ng pairing at authentication.
  • Proximity lamang ang kailangan. Maikli ang saklaw ng Bluetooth — sa praktika, ilang dosenang metro lamang, hindi milya-milya — ngunit nangangahulugan pa rin ito ng "sinumang nakatayo malapit sa iyong sasakyan sa paradahan, driveway, o kalsada," hindi isang remote hacker sa kabilang panig ng mundo. Pinapababa nito ang hadlang sa basta-bastang panggugulo kahit nililimitahan nito ang malakihan at remote na pagsasamantala.
  • Higit pa ito sa "i-unlock ang mga pinto." Ang hindi pagpapagana sa ignition ang detalyeng dapat pag-isipan. Ang isang alarm system na maaaring utusan ng isang hindi awtorisadong estranghero na pigilan ang pag-andar ng iyong sasakyan ay isang denial-of-service device na nakasuot ng kasuotang pang-security product.

Wala sa harap namin ang buong teknikal na pagsulat tungkol sa bug sa antas ng protocol, at mukhang hindi pa nailalathala sa publiko ang pormal na papel ng mga mananaliksik, kaya hindi namin unang-kamay na mabeberipika ang mga detalye gaya ng eksaktong Bluetooth pairing step na nilalaktawan. Ituring ang artikulong ito bilang gabay sa pagsuri kung nalalantad ka at paghahanap ng solusyon, hindi kapalit ng ganap na pagsisiwalat na ilalabas sa hinaharap.

Paano susuriin kung naaangkop ito sa iyong sasakyan

Ang KARR ay isang aftermarket product, ibig sabihin, ini-install ito matapos lumabas ang sasakyan sa pabrika — karaniwan sa pamamagitan ng add-on package ng dealer, auto shop, o dating may-ari. Ibig sabihin, walang iisang listahan ng "mga apektadong modelo"; nakasalalay ito sa kung aling alarm box ang ikinabit sa aling sasakyan, anuman ang tatak. Narito ang ilang paraan para suriin:

  1. Tingnan ang bintana sa panig ng drayber. Binanggit ng mga mananaliksik na ang nakikitang decal na "KARR" ay karaniwang palatandaang naka-install ang sistema — tingnan ang ibabang sulok ng mga bintana sa panig ng drayber at sa harapang pasahero, kung saan karaniwang naglalagay ng mga sticker ng alarma at seguridad ang mga installer.
  2. Tingnan sa ilalim ng dashboard. Kung second-hand mong binili o namana ang sasakyan at hindi mo natatandaang may na-install na alarma, ang kumikislap na LED malapit sa steering column o dashboard (karaniwang indicator na "armed" ang alarma), na may kasamang fob na hindi mo nakuha mula sa dealer, ay pahiwatig na may aftermarket system.
  3. Suriin ang iyong mga papeles o tanungin ang nagbenta/nag-install. Kung alam mo kung aling shop ang nag-install ng alarma, o kung kasama ito sa pagbili ng second-hand na sasakyan, iyon ang pinakamabilis na paraan para makumpirma ang brand at modelo.
  4. Kapag may pag-aalinlangan, ipatukoy ito sa mekaniko o installer sa halip na manghula batay lamang sa sticker — maaaring naiwan ang mga decal mula sa dati ngunit hindi na naka-install na sistema, at hindi lahat ng sasakyang may KARR ay may sticker pa rin.

Ano ang gagawin kung mayroon ka nito

Iniulat na nakipagtulungan ang mga mananaliksik sa paggawa ng solusyon at nagpakita ng proseso ng pag-patch kasabay ng pagsisiwalat — nakapagpapalakas-loob na senyales na hindi ito dead-end na hardware flaw na hindi maaaring i-patch. Bago ka gumawa ng anuman, gayunman:

  • Dumaan muna sa manufacturer o sa orihinal mong installer. Makipag-ugnayan sa nag-install ng sistema, o direkta sa mga channel ng manufacturer/support ng KARR, at partikular na itanong ang tungkol sa pagsisiwalat na ito at kung may firmware update para sa iyong unit. Huwag umasa sa pangkalahatang tanong na "secure ba ang alarma ko" — banggitin ang vulnerability ayon sa pangalan nito para maipasa ka sa taong may alam tungkol dito.
  • Mag-ingat sa sinumang hindi mo installer na nag-aalok na "ayusin" nang personal ang alarma ng iyong sasakyan — kabilang ang mabuting-loob na estrangherong may app. Kahit mabuti ang intensyon, ang pagpayag sa taong hindi mo kilala na kumonekta sa mga sistema ng iyong sasakyan para "i-patch" ang mga ito ay eksaktong uri ng access na iniiwasan ng buong kuwentong ito. Beripikahin ang kredensyal at dumaan sa lehitimong mga channel — isang lisensyadong installer o ang manufacturer — kahit mas matagal ito.
  • Kung hindi ka makakuha ng patch, unawain ang aktuwal mong exposure. Ang pinakamalamang na pang-aabuso sa kapintasang ito sa totoong mundo ay maliitang panggugulo — may naglalaro sa iyong mga ilaw o busina, o isang magnanakaw na sumusubok kung mabubuksan niya ang mga lock nang hindi binabasag ang bintana. Ang kakayahang mag-disable ng ignition ang pinakamahalaga para sa kaligtasan (isipin kung ma-trigger ito habang pumapasok ka sa daloy ng trapiko), kaya kung walang patch, tanungin ang installer kung maaaring i-disable o muling i-configure mismo ang ignition-kill function bilang pansamantalang hakbang.
  • Kung hindi na nagnenegosyo ang shop na nag-install nito o iniwan na ang product line, ituring ito gaya ng anumang unsupported IoT device: pag-isipan kung ang benepisyo sa seguridad ng pagpapanatili nito ay higit pa rin sa panganib, at magtanong sa mekaniko tungkol sa pagtanggal nito.

Ang mas malawak na aral: magkaibang pahayag ang "may Bluetooth" at "secure"

Kapaki-pakinabang itong case study lampas sa mga alarm ng sasakyan. Anumang aftermarket device na nagbebenta sa sarili batay sa kaginhawahan — isang wireless alarm na maaari mong i-arm mula sa telepono, remote starter, o smart garage opener — ay nagdagdag, sa depinisyon, ng radio interface na wala sa factory equipment. Ang interface na iyon ay kasing-mapagkakatiwalaan lamang ng authentication nito, at ang "galing ito sa isang security company" ay hindi patunay na tama ang authentication. Bago ka mag-install (o magpanatili) ng anumang wireless add-on security product, makatuwirang magtanong sa installer o manufacturer ng ilang simpleng tanong: Nangangailangan ba ito ng pairing/authentication bago tumanggap ng mga utos? Naglathala ba ang vendor ng paraan para makatanggap ng firmware updates? May sinuman bang malayang sumubok nito? Kung walang makasagot, hindi iyon patunay na may kapintasan — ngunit dahilan ito para maging katamtaman ang iyong mga inaasahan sa aktuwal na ipinapangako ng sticker sa iyong bintana.

Source: unang iniulat ang pananaliksik tungkol sa KARR Bluetooth vulnerability sa pamamagitan ng Schneier on Security, na binanggit ang pagsisiwalat ng mga mananaliksik mula sa UC San Diego.