Una vulnerabilidad ha salido a la luz en los sistemas de seguridad automotriz KARR y SWDS, fabricados por Acrisure, que permite el control remoto a través de Bluetooth. Estos dispositivos, instalados por los concesionarios de California como soluciones antirrobo y de rastreo, pueden exponer a millones de vehículos a un riesgo significativo. Investigadores de la Universidad de California en San Diego identificaron que unos 2.2 millones de automóviles adquiridos desde concesionarios del sur de California desde 2017 podrían estar en peligro, y que la base de datos públicamente accesible contiene información sobre todos los vehículos equipados con este sistema.

Cómo funciona el control por Bluetooth en estos coches:
– Los vehículos afectados han mostrado el etiquetado “KARR-SWDS” en la ventanilla del conductor y el dispositivo antirrobo está montado bajo el tablero.
– Una aplicación móvil se conecta al sistema KARR a través de Bluetooth y ofrece funciones como bloquear/desbloquear puertas, activar la bocina y las luces; también puede impedir que el coche arranque, aunque esto último depende de si ya está en funcionamiento.
– El problema radica en la implementación: todas las unidades utilizan la misma clave de seguridad. Una vez comprometida, el atacante podría controlar numerosos vehículos equipados con el mismo equipo.

Implicaciones y retos:
– Cambiar la clave segura no es una opción viable para los usuarios, y desactivar el Bluetooth tampoco es una solución factible en muchos casos.
– Lo más preocupante es que, incluso si el comprador no paga por una suscripción para la app o para el sistema KARR, el hardware sigue estando presente y ofrece acceso a puertas, encendido, bocina y faros.
– Desmontar o retirar estos dispositivos no es una tarea sencilla: requiere abrir el tablero y manipular cables que están profundamente integrados con los sistemas del coche y su encendido. Este nivel de intervención implica un costo alto y una complejidad técnica considerable.

Reflexiones de los investigadores:
– Yibo Wei, candidato a doctorado en ciencias de la computación y coautor del informe, señaló que “para obtener acceso a un vehículo, en lugar de romper una ventana, los ladrones podrían conectarse remotamente vía Bluetooth al dispositivo dentro del coche y hacer que se desbloqueen las puertas”.

La respuesta de la industria y las medidas en curso:
– KARR ha comunicado a medios que solo los vehículos instalados con ciertos componentes relacionados con Bluetooth están afectados y ha emitido una actualización de firmware para abordar la vulnerabilidad. En paralelo, la revisión y fortalecimiento de las claves de seguridad se presentan como un paso fundamental para evitar que un fallo de implementación comprometa miles de unidades.

Qué deben considerar los consumidores y fabricantes:
– Evaluar la seguridad de las integraciones de hardware instalado por terceros en los vehículos modernos, especialmente aquellas que dependen de una conectividad inalámbrica para funciones críticas.
– Asegurar la rotación de claves y la adopción de prácticas de desarrollo seguro para evitar el uso de una única clave global entre múltiples dispositivos.
– Implementar mecanismos de autenticación y autorización sólidos, así como herramientas de parcheo que permitan actualizaciones de seguridad sin depender de configuraciones complicadas por el usuario final.
– Facilitar la retirada de componentes de forma segura y rentable, para casos en los que un dispositivo represente un riesgo sustancial para la seguridad.

Conclusión:
La presencia de dispositivos de seguridad con vulnerabilidades de acceso remoto en una base masiva de vehículos subraya la necesidad de una mayor transparencia, pruebas de penetración y respuestas rápidas ante fallas de seguridad en sistemas instalados de fábrica o por concesionarios. Los usuarios deben estar atentos a las actualizaciones de firmware y a las recomendaciones oficiales de los fabricantes, mientras que la industria debe priorizar soluciones de seguridad que minimicen riesgos sin comprometer la funcionalidad ni la experiencia del conductor.

from Latest from TechRadar https://ift.tt/fzPN6h0
via IFTTT IA