Arabalardaki cam çıkartmalarının caydırıcı olması beklenir. "Bu araç bir alarm sistemiyle korunmaktadır" ifadesi, hırsızın sokağın aşağısında daha kolay bir hedef aramasını sağlamayı amaçlar. Bu nedenle UC San Diego'daki güvenlik araştırmacılarının belirli bir çıkartmayla ilgili az önce açıkladıkları bulguda acı bir ironi var: Sürücü tarafındaki camda bulunan "KARR" etiketi, araştırmacıların ABD'de 2 milyondan fazla araca takılı olduğunu tahmin ettiği popüler bir sonradan takılan alarm sistemini gösteriyor.

Bulgularına göre, KARR takılı bir aracın Bluetooth kapsama alanındaki herkes, hiçbir kimlik bilgisi olmadan araca komut gönderebiliyor — kapıların kilidini sessizce açabiliyor, alarmı devre dışı bırakabiliyor, kornayı çaldırabiliyor, ışıkları yakıp söndürebiliyor, hatta kontağı devre dışı bırakıp sürücüyü yolda bırakabiliyor. Araştırmaya göre aracı koruması gereken özellikler, otoparktaki bir yabancının araca yapabilecekleri listesi hâline geliyor.

Açığın pratikte gerçekte ne anlama geldiği

Bunun tipik bir "şifrem sızdı" hikâyesinden ne yönde ayrıldığı konusunda birkaç nokta öne çıkıyor:

  • Çalınacak bir şifre yok. Bu, zayıf kimlik bilgilerinin veya yeniden kullanılan bir giriş bilgilerinin söz konusu olduğu bir durum değil. Araştırmacılar, alarm ünitesine Bluetooth üzerinden doğrudan komut gönderebildiklerini belirtiyor — iyi tasarlanmış bir sistemde önce eşleştirme ve kimlik doğrulama gerektirmesi gereken türden bir işlem.
  • Tek gereklilik yakın mesafede olmak. Bluetooth'un menzili kısadır — gerçekçi olarak kilometreler değil, onlarca metre söz konusudur — ancak bu yine de dünyanın öbür ucundaki uzaktan bir bilgisayar korsanı değil, "otoparkta, garaj yolunda veya sokakta arabanızın yakınında duran herhangi biri" demektir. Bu durum, geniş çaplı uzaktan istismarı sınırlasa bile sıradan yaramazlıkların önündeki engeli düşürür.
  • Mesele "kapıların kilidini açmanın" ötesine geçiyor. Kontağın devre dışı bırakılabilmesi üzerinde durulması gereken ayrıntı. Kimliği doğrulanmamış bir yabancının komutuyla aracınızın çalışmasını engelleyebilen bir alarm sistemi, güvenlik ürünü kılığına girmiş bir hizmet engelleme cihazıdır.

Protokol düzeyindeki hatanın tam teknik incelemesi elimizde yok ve araştırmacıların resmî makalesi de henüz kamuya açık biçimde yayımlanmış görünmüyor; dolayısıyla Bluetooth eşleştirmesinin tam olarak hangi adımının atlandığı gibi ayrıntıları ilk elden doğrulayamıyoruz. Bu yazıyı, açığa maruz kalıp kalmadığınızı kontrol etme ve çözümü bulma rehberi olarak değerlendirin; ileride yapılacak eksiksiz açıklamanın yerine geçmez.

Bunun aracınız için geçerli olup olmadığını nasıl kontrol edersiniz

KARR sonradan takılan bir üründür; yani araç fabrikadan çıktıktan sonra monte edilir — genellikle bayi tarafından sunulan ek paket, bir oto servisi veya önceki araç sahibi tarafından. Bu nedenle "etkilenen modeller" için tek bir liste yoktur; mesele, markası ne olursa olsun hangi alarm kutusunun hangi araca takılmış olduğudur. Kontrol etmek için birkaç yol:

  1. Sürücü tarafındaki cama bakın. Araştırmacılar, görünür bir "KARR" etiketinin sistemin takılı olduğuna dair yaygın bir işaret olduğunu belirtiyor — alarm ve güvenlik çıkartmalarının montajı yapanlar tarafından genellikle yerleştirildiği sürücü ve ön yolcu camlarının alt köşelerini kontrol edin.
  2. Torpido altını kontrol edin. Aracı ikinci el aldıysanız veya size kaldıysa ve alarm takıldığını hatırlamıyorsanız, direksiyon kolonunun ya da gösterge panelinin yakınında yanıp sönen bir LED (standart alarm "kurulu" göstergesi) ve bayiden almadığınız bir kumanda, sonradan takılmış bir sistemin bulunduğuna işaret eder.
  3. Belgelerinizi kontrol edin veya satıcıya/montajı yapana sorun. Alarmınızı hangi servisin taktığını biliyorsanız ya da alarm ikinci el araç alımıyla birlikte geldiyse, markayı ve modeli doğrulamanın en hızlı yolu budur.
  4. Şüpheye düştüğünüzde, yalnızca çıkartmaya bakarak tahminde bulunmak yerine bir tamirciye veya montajı yapana cihazı teşhis ettirin — çıkartmalar daha önce takılıp sonradan sökülmüş bir sistemden kalmış olabilir ve KARR takılı her araçta çıkartma duruyor olmayabilir.

Sisteme sahipseniz ne yapmalısınız

Araştırmacıların bir çözüm üzerinde çalıştığı ve açıklamayla birlikte bir yama süreci gösterdiği bildiriliyor — bunun çözülemeyen, yaması yapılamayan bir donanım açığı olmadığına dair umut verici bir işaret. Ancak herhangi bir şey yapmadan önce:

  • Önce üreticiye veya ilk montajı yapana başvurun. Sistemi kimin taktığıyla iletişime geçin ya da doğrudan KARR'ın üreticisine/destek kanallarına başvurup özellikle bu açıklamayı ve üniteniz için bir aygıt yazılımı güncellemesi bulunup bulunmadığını sorun. Genel bir "alarmım güvenli mi?" sorusuna güvenmeyin — konudan haberdar birine yönlendirilmeniz için güvenlik açığının adını belirtin.
  • Montajı yapan kişi olmayan ve alarmınızı yerinde "onarmayı" teklif eden herkese karşı dikkatli olun — buna iyi niyetli, uygulaması olan bir yabancı da dâhil. Niyet iyi olsa bile tanımadığınız birinin sisteminize bağlanıp onları "yamaması", bu hikâyenin bütünüyle kaçınmayı amaçladığı erişim türünün ta kendisidir. Kimlik bilgilerini doğrulayın ve işlem daha uzun sürse bile yetkili bir montajcı veya üretici gibi meşru kanallardan ilerleyin.
  • Yama alamıyorsanız, gerçek maruz kalma durumunuzu anlayın. Bu açığın gerçek dünyadaki en olası kötüye kullanımı küçük çaplıdır — birinin ışıklarınızla veya kornanızla oynaması ya da bir hırsızın cam kırmadan kilitlerinizi açıp açamayacağını denemesi. Güvenlik açısından en önemli özellik kontağı devre dışı bırakabilmesidir (trafiğe katılırken tetiklendiğini düşünün); bu nedenle yama mevcut değilse, geçici bir önlem olarak özellikle motor kilitleme işlevinin devre dışı bırakılıp bırakılamayacağını veya yeniden yapılandırılıp yapılandırılamayacağını montajı yapan kişiye sorun.
  • Sistemi takan servis artık faaliyette değilse veya ürün serisi terk edilmişse, bunu desteklenmeyen herhangi bir IoT cihazıyla aynı şekilde değerlendirin: takılı tutmanın sağlayacağı güvenlik yararının hâlâ riske ağır basıp basmadığını düşünün ve sökülmesi konusunda bir tamirciye danışın.

Daha geniş ders: "Bluetooth'a sahip olmak" ile "güvenli olmak" farklı iddialardır

Bu, araç alarmlarının ötesinde de yararlı bir örnek olaydır. Kolaylık iddiasıyla pazarlanan her sonradan takılan cihaz — telefonunuzdan kurabileceğiniz kablosuz alarm, uzaktan çalıştırma sistemi, akıllı garaj kapısı açıcısı — fabrika donanımında bulunmayan bir radyo arayüzü eklemiş demektir. Bu arayüz yalnızca kimlik doğrulaması kadar güvenilirdir ve "bir güvenlik şirketinden geliyor" ifadesi, kimlik doğrulamasının doğru yapıldığına kanıt değildir. Herhangi bir kablosuz ek güvenlik ürününü taktırmadan (veya takılı tutmadan) önce montajcıya ya da üreticiye birkaç basit soru sormanız son derece makuldür: Komutları kabul etmeden önce eşleştirme/kimlik doğrulama gerekiyor mu? Üretici, aygıt yazılımı güncellemelerini alma yöntemi yayımladı mı? Ürün bağımsız olarak test edildi mi? Kimse yanıt veremiyorsa bu bir açık olduğunun kanıtı değildir — ancak camınızdaki çıkartmanın gerçekte ne vaat ettiği konusunda beklentileri ölçülü tutmanız için bir nedendir.

Kaynak: KARR Bluetooth güvenlik açığıyla ilgili araştırma ilk olarak Schneier on Security üzerinden, UC San Diego araştırmacılarının açıklamasına atıf yapılarak bildirildi.