セキュリティ
ディーラー取り付けのアフターマーケット製品KARR/SWDSセキュリティシステムは、すべて同一のセキュアキーを使用しているとUCSDの研究者が指摘
カリフォルニア大学サンディエゴ校（UCSD）の研究者によると、ディーラー取り付け型のKARRおよびSWDSセキュリティシステムを搭載した車両少なくとも220万台が、近距離からのBluetooth攻撃に対して脆弱であることが判明しました。攻撃者はドアのロックを解除したり、停車中の車両のエンジン始動を妨げたりできるといいます。
UCSDが今週公表した研究の先行概要（論文本編は8月12日まで公開されません）によると、Acrisure社製のKARRおよびSWDSセキュリティ機器には深刻な欠陥が存在します。研究者らは、これらの機器が「すべて同一のセキュアキーに依存している」ことを発見しました。
研究者らによると、これはつまり、そのキーを知っており、Bluetooth接続が可能な機器を持ち、対象車両の約5ヤード（約4.5メートル）以内に近づける人物であれば、誰でも車両のロックを解除したり、クラクションを鳴らしたり、ヘッドライトを点滅させたり、さらにはエンジンの始動を妨げたりできるということです。
「窓を割って車両にアクセスする代わりに、窃盗犯は単に車内の機器にBluetoothでリモート接続し、ドアロックを解除させることができてしまいます」と、本研究の共著者でUCSDコンピュータサイエンス学科の大学院生であるJerry Yu氏はリリースの中で述べています。
KARR/SWDS機器はディーラーによって取り付けられます。キーフォブのような機能を提供するだけでなく、盗難防止装置としても機能し、盗難時にディーラーや購入者が装置を搭載した車両を追跡できるようになっています。
UCSDによると、これらの機器は米国内の各地のディーラーで有料オプションとして販売されるのが一般的です。KARRは、自社製品が全米3,000以上のディーラーを通じて提供されていると説明しています。しかし研究者らによると、購入者がサービスへの加入を辞退した場合でも機器自体は作動し続けるため、KARR/SWDSの契約を結んでいないユーザーもリスクにさらされていることになります。
「装置の取り外しは容易ではありません」と、本論文の共著者でUCSDコンピュータサイエンス学科の博士課程候補生であるYibo Wei氏は大学の研究報告の中で述べています。「ダッシュボードを開き、車両のコンピューターや点火システムと複雑に絡み合った配線を切断し、再接続する必要があります」
言い換えれば、これらの装置が搭載された車両は道路上に数多く存在している可能性が高く、多くの所有者にとってはKARRやSWDSの窓ステッカーだけが唯一の目に見える手がかりということになります。
研究者らによると、脆弱な車両の大半は過去9年間に南カリフォルニアのHonda、Toyota、Mazda、Ford、Jeepの各ディーラーで購入されたものです。しかし、中古車市場での転売により、対象車両は米国全土、さらには遠く日本にまで存在していることが研究チームによって確認されています。また、UCSDによると、研究チームは搭載車両に関する情報を保存する公開データベースも発見したとのことです。
自分の車両が脆弱ではないかと心配する必要はありません。KARR Securityはすでに対象機器向けのファームウェアアップデートをリリースしており、現行の契約者だけでなく、セキュリティシステムが非稼働状態のユーザーもインストール可能です。手順は同社のウェブサイトに掲載されています。KARRが顧客に対してセキュリティシステムの更新の必要性を通知しているかどうかは不明です。この点について問い合わせましたが、同社から直接的な回答は得られませんでした。
KARRが我々に伝えたところによると、「すべてのKARR-SWDS機器が同一のセキュアキーに依存している」というUCSDの調査結果とは対照的に、実際に影響を受けるのは「特定のBluetooth関連コンポーネントを搭載した」ごく一部の機器のみだと同社は主張しています。
「この研究で報告された脆弱性は非常に複雑なもので、実際の使用環境において顧客にもたらすリスクは低いと考えています」とKARRの広報担当者は語りました。「とはいえ、私たちは迅速に対応し、この問題に対処するファームウェアアップデートを開発しました」
この脆弱性は、UCSDの研究者らが数年前にクレジットカードスキマーに関する研究を行っていた際、正体不明のBluetooth信号を偶然発見したことがきっかけで見つかったものです。それが車両セキュリティシステムのものだと突き止めた後、研究チームはこれらの機器の調査を本格的に進め、今回の発表に至りました。
本記事作成にあたり詳細な情報を求めて研究チームに問い合わせましたが、回答は得られませんでした。研究チームは8月9日のDEF CON、そして8月12日のUSENIX Securityカンファレンスでこの研究成果を発表する予定です。®
