યુનિવર્સિટી ઓફ કેલિફોર્નિયા સાન ડિએગોના સંશોધકોએ શોધ્યું કે 20 લાખથી વધુ વાહનોમાં સ્થાપિત KARR સિક્યુરિટી સિસ્ટમમાં એક જટિલ નબળાઈ છે જે અનધિકૃત વપરાશકર્તાઓને રિમોટલી દરવાજા ખોલવા અથવા ઇગ્નીશનને અક્ષમ કરવાની મંજૂરી આપે છે. ઉત્પાદકે વિકાસમાં 18-મહિનાના વિલંબ પછી ખામીને દૂર કરવા માટે ફર્મવેર અપડેટ બહાર પાડ્યું છે.
સુરક્ષા નિષ્ફળતાનો અવકાશ
યુનિવર્સિટી ઓફ કેલિફોર્નિયા સાન ડિએગોના સુરક્ષા સંશોધકોએ KARR સિક્યુરિટી સિસ્ટમમાં નોંધપાત્ર ખામી શોધી કાઢી છે, જે આફ્ટરમાર્કેટ કાર એલાર્મ ઘણીવાર ઓટોમોટિવ ડીલરશીપ દ્વારા સ્થાપિત કરવામાં આવે છે. ટીમનો અંદાજ છે કે હાલમાં રસ્તા પર 2 મિલિયનથી વધુ વાહનો આ ઉપકરણોથી સજ્જ છે, જેમાંથી ઘણા વાહનના માલિકની એક્સપ્રેસ વિનંતી અથવા જાણ વિના ઇન્સ્ટોલ કરવામાં આવ્યા હતા. કારણ કે આ સિસ્ટમો વારંવાર કારના સંવેદનશીલ ઇલેક્ટ્રોનિક ઘટકોમાં વાયર્ડ હોય છે, નબળાઈ ખરાબ કલાકારોને વિવિધ પ્રકારની કર્કશ ક્રિયાઓ કરવાની ક્ષમતા આપે છે. બ્લૂટૂથ રેન્જની અંદરના હેકર્સ લાઇટ અને હોર્નને ટ્રિગર કરી શકે છે, વાહનના દરવાજા ખોલી શકે છે અથવા તો એન્જિનને શરૂ થતાં અટકાવી શકે છે, જે વાહનને અસરકારક રીતે લકવાગ્રસ્ત કરી શકે છે. સંશોધકોએ હાઇલાઇટ કર્યું હતું કે આ પરિસ્થિતિ ખાસ કરીને ખતરનાક છે કારણ કે ઘણા કાર માલિકો અજાણ છે કે ઉપકરણ પણ ઇન્સ્ટોલ કરેલું છે, જેના કારણે તેઓ તેમની મિલકતને સુરક્ષિત કરવા માટે સક્રિય પગલાં લેવામાં અસમર્થ છે.
તકનીકી મૂળ કારણ વિશ્લેષણ
સુરક્ષા નબળાઈનો મુખ્ય ભાગ તમામ KARR એલાર્મ એકમોમાં વપરાતી વહેંચાયેલ પ્રમાણીકરણ કીમાં રહેલો છે. સંશોધકોએ સત્તાવાર KARR સ્માર્ટફોન એપ્લિકેશનના કોડમાં જડિત આ સાર્વત્રિક કી શોધી કાઢી. એપ્લિકેશનને રિવર્સ-એન્જિનિયરિંગ કરીને, UCSD ટીમ માન્ય રેડિયો આદેશોની નકલ કરવા સક્ષમ તેમનું પોતાનું સોફ્ટવેર બનાવવામાં સક્ષમ હતી. કારણ કે ઉપકરણો સતત પ્રસારણ કરે છે અને બ્લૂટૂથ સિગ્નલ સાંભળે છે-જ્યારે એલાર્મ સિસ્ટમ દેખીતી રીતે વપરાશકર્તા દ્વારા નિષ્ક્રિય કરવામાં આવે ત્યારે પણ-હેકર સિસ્ટમ સાથે સરળતાથી જોડી બનાવી શકે છે. એકવાર પ્રમાણિત થઈ ગયા પછી, હુમલાખોર વાહનની વિશેષતાઓને હેરફેર કરવા માટે આદેશો આપી શકે છે. તદુપરાંત, વાહન બંધ થયા પછી લગભગ દસ મિનિટ સુધી ઉપકરણો સક્રિય રહે છે, જે તકવાદી ચોરોને સિગ્નલોને અટકાવવા અથવા પ્રવેશની સુવિધા માટે કારની સુરક્ષા પ્રણાલીઓને ટ્રિગર કરવાની તક પૂરી પાડે છે.
જાહેરાત અને પેચિંગ સમયરેખા
નિવારણનો માર્ગ લાંબો અને વિવાદાસ્પદ રહ્યો છે. UCSD સંશોધકોએ જાન્યુઆરી 2025 માં KARR સિસ્ટમની પેરેન્ટ કંપની, Acrisure Protection Group માટે નિર્ણાયક નબળાઈ જાહેર કરી હતી. ખામીની ગંભીરતા હોવા છતાં, કંપનીએ ફર્મવેર અપડેટ રિલીઝ કરવામાં લગભગ 18 મહિનાનો સમય લીધો હતો. સંશોધકો તેમના તારણો Defcon અને Usenix સુરક્ષા પરિષદોમાં રજૂ કરવાના હતા તેના થોડા સમય પહેલા જ જુલાઈ 2026ની રિપોર્ટિંગ તારીખ પહેલાંના સોમવારે Acrisure Protection Groupએ સત્તાવાર રીતે ફિક્સને રોલઆઉટ કર્યું હતું. કંપની જાળવી રાખે છે કે નબળાઈ વાસ્તવિક દુનિયાની પરિસ્થિતિઓમાં ઓછું જોખમ રજૂ કરે છે, એવો દાવો કે સંશોધકો હરીફાઈ કરે છે. પ્રદર્શનોએ દર્શાવ્યું હતું કે એક સરળ એપ્લિકેશન અનધિકૃત વપરાશકર્તાને સ્ટોપલાઇટ પર કારને અનલૉક કરવા અથવા વાહનોના કાફલાને વારાફરતી તોડફોડ કરવાની મંજૂરી આપી શકે છે, જે વાસ્તવિક-વિશ્વમાં નોંધપાત્ર વિક્ષેપની સંભાવનાને સાબિત કરે છે.
ઉદ્યોગની અસરો અને ગ્રાહક જાગૃતિ
આ ઘટના ડીલરશીપ દ્વારા સ્થાપિત આફ્ટરમાર્કેટ એસેસરીઝ અને વાહન સાયબર સુરક્ષા વચ્ચે વધતા તણાવને દર્શાવે છે. UCSD ના સ્ટીફન સેવેજ સહિતના નિષ્ણાતોએ આને એક અનોખા ખતરનાક ખતરા તરીકે વર્ણવ્યું છે કારણ કે નબળાઈ સંપૂર્ણપણે પ્રાથમિક ઉત્પાદકના નિયંત્રણની બહાર અસ્તિત્વ ધરાવે છે, છતાં વાહનના અંતર્ગત આર્કિટેક્ચરની સલામતીને અસર કરે છે. ગ્રાહકોને તેમના વાહનો KARR હાર્ડવેર માટે તપાસવા માટે પ્રોત્સાહિત કરવામાં આવે છે, જે વિન્ડો સ્ટીકરો દ્વારા ઓળખાય છે અથવા ડેશબોર્ડની નીચે ઝબકતા બટનની હાજરી છે. જ્યારે Acrisure દાવો કરે છે કે તે ગ્રાહકોને તેની એપ્લિકેશન, વેબસાઇટ અને ડીલર કમ્યુનિકેશન ચેનલો દ્વારા સૂચિત કરી રહ્યું છે, ત્યારે કંપનીએ આ વાહનોના ગૌણ માલિકો સુધી પહોંચવા માટે કોઈ સ્પષ્ટ વ્યૂહરચના પ્રદાન કરી નથી જેઓ સુરક્ષા હાર્ડવેરથી સંપૂર્ણપણે અજાણ હોઈ શકે છે. પારદર્શિતાનો આ અભાવ આધુનિક, કોમ્પ્યુટરાઈઝ્ડ વાહનોમાં એકીકૃત થયેલ ખંડિત આફ્ટરમાર્કેટ ઘટકો માટે સુરક્ષા જીવનચક્રનું સંચાલન કરવાની મુશ્કેલીને રેખાંકિત કરે છે.
⚖ The Balanced View
Supporting view
Acrisure પ્રોટેક્શન ગ્રૂપે જણાવ્યું હતું કે નબળાઈ અત્યંત જટિલ છે અને વપરાશકર્તાઓ માટે ઓછું જોખમ ઊભું કરે છે, નોંધ્યું છે કે તેઓએ ગ્રાહકોને સુરક્ષિત રાખવા માટે ફર્મવેર અપડેટ વિકસાવીને પ્રતિસાદ આપ્યો હતો.
Concerns & criticism
યુસીએસડી સંશોધકો અને સુરક્ષા નિષ્ણાતો ભારપૂર્વક જણાવે છે કે પેચિંગમાં 18-મહિનાનો વિલંબ, સાર્વત્રિક પ્રમાણીકરણ કી સાથે જોડાઈને, લાખો અસંદિગ્ધ ડ્રાઇવરો માટે ગંભીર, નિરંકુશ જોખમ ઊભું કરે છે.
→What's next
ફર્મવેર અપડેટ પ્રક્રિયાને મેન્યુઅલી શરૂ કરવા માટે અસરગ્રસ્ત વાહન માલિકોએ KARR સિક્યુરિટી એપ ડાઉનલોડ કરવી જોઈએ. સુરક્ષા સંશોધકો ડેફકોન અને યુઝનિક્સ પરિષદોમાં તેમની આગામી પ્રસ્તુતિઓ દરમિયાન વધુ વ્યાપક તકનીકી વિગતો શેર કરે તેવી અપેક્ષા છે.