KARRアラームの脆弱性、200万台の自動車に影響

米国内を走る数百万台の車両には、盗難防止用の目立たない装置が搭載されています。しかしこの装置のせいで、見知らぬ第三者がドアを開け、アラームを鳴り止ませ、エンジンを動かせなくすることが可能になっていました。

多くの所有者は、ディーラーが自分の車のボンネットの下に脆弱なシステムを取り付けていたことすら知りません。

研究者が発見した内容

カリフォルニア大学サンディエゴ校の専門家が、KARR Security Systemに深刻な欠陥を発見しました。同校の試算によれば、ディーラーはこうした装置を米国内で200万台を超える車両に取り付けています。

攻撃者は車の近く、Bluetoothの通信範囲内に立つだけで済みます。専用に作られたアプリを使えば、ドアの解錠、アラームの無効化、クラクションの吹鳴、ヘッドライトの点滅、さらにはエンジンの始動を完全に阻止することまでできてしまいます。

最後のコマンドが実行されると、車は始動しなくなります。運転者は駐車場や路上で立ち往生する危険にさらされます。

KARRシステムを取り付けているのはメーカーでも所有者でもありません。ディーラーです。

この装置は、車両が販売店の敷地に置かれている間、盗難から守る役割を果たしています。しかし販売後もアラームがそのまま残されるケースが少なくありません。購入者がオプション機能の料金支払いを断った場合でも同様です。

その結果、車両の重要なシステムに接続された装置がそのまま車内に残り、所有者はその存在にまったく気づかないことがあります。研究者の推計によれば、KARRのハードウェアを搭載している運転者のうち少なくとも半数は、これを求めたことすらありません。

根本原因は拍子抜けするほど単純なものでした。脆弱な装置すべてに、共通の認証キーが使われていたのです。

研究者らはKARRのモバイルアプリのコード内からこのキーを見つけ出しました。そこからコマンドのやり取りに使われるプロトコルを再構築し、独自のプログラムを作成しました。近くにあるどのシステムも、このプログラムを通じて送信されたコマンドを正規のものとしてそのまま受け入れてしまいました。

アラームを無効化していても、車両の走行中は信号の送受信を続けており、エンジン停止後も最長10分間はその状態が続きます。

そのため攻撃者は、遠隔から装置を起動させたうえで、任意のコマンドを送りつけることができます。場合によっては、車が短いチャイム音を鳴らしライトを点滅させることもあります。有償で契約し既に有効化されているシステムの所有者であれば、これといった異常には気づかないでしょう。

この脆弱性だけでエンジンを始動させることはできません。とはいえ、そこから先の道のりは短いものです。

ドアが開いた状態になれば、窃盗犯は市販の装置を診断ポートに接続し、数分のうちに有効なキーを偽造できてしまいます。

通常であれば、窓を割るかドアをこじ開けるしかなく、その過程でアラームが作動する危険が常につきまといます。しかしKARRの脆弱性は、ほとんど気づかれることのない侵入を可能にしてしまいます。

この装置はさらに、固定のBluetooth識別情報を絶えず発信し続けています。こうした信号の記録は公開データベースに紛れ込むことがあり、車両が普段どこに駐車されているかを明らかにしてしまう恐れがあります。

これにより、窃盗を企てる者は事前に標的の車がいつも停められている場所を特定できるようになります。

KARR Security Systemを販売するAcrisure Protection Groupは、ファームウェアの更新版を公開しました。

KARRアプリを既にインストールしている所有者には通知が届くはずです。それ以外の所有者は、アプリをインストールしてアラームに接続し、カスタマーサービスのセクションから手動で更新を実行する必要があります。

該当するハードウェアの見分け方は難しくありません。運転席側の窓にあるKARRのステッカー、SWDSのステッカー、あるいはダッシュボードの下にある点滅インジケーター付きの小さなボタンを探してください。南カリフォルニアに最も集中していますが、研究者らはこのシステムを米国内外の各地で確認しています。

開発元は、この攻撃を複雑なものだと位置づけ、現実に生じるリスクは低いと判断しています。

とはいえ、修正版が公開されたのは、企業が脆弱性の通知を最初に受け取ってから実に18か月後のことでした。研究者らはごく普通の電話からコマンドを送信できることを実証しました。ある大学キャンパス付近をわずかな時間車で走行しただけで、脆弱な装置を搭載した車両を97台も特定しています。