कॅलिफोर्निया युनिव्हर्सिटी सॅन डिएगो संशोधकांनी शोधून काढले की KARR सुरक्षा प्रणाली, दोन दशलक्षाहून अधिक वाहनांमध्ये स्थापित केली गेली आहे, ज्यामध्ये अनधिकृत वापरकर्त्यांना दूरस्थपणे दरवाजे अनलॉक करण्यास किंवा प्रज्वलन अक्षम करण्यास अनुमती देणारी गंभीर भेद्यता आहे. विकासामध्ये 18-महिन्याच्या विलंबानंतर निर्मात्याने त्रुटी दूर करण्यासाठी फर्मवेअर अद्यतन जारी केले आहे.
सुरक्षा अपयशाची व्याप्ती
Error 504 (Server Error)!!1504.That’s an error.There was an error. Please try again later.That’s all we know.
तांत्रिक मूळ कारण विश्लेषण
सर्व KARR अलार्म युनिट्समध्ये वापरल्या जाणाऱ्या सामायिक ऑथेंटिकेशन कीमध्ये सुरक्षा भेद्यतेचा मुख्य भाग आहे. संशोधकांनी अधिकृत KARR स्मार्टफोन ऍप्लिकेशनच्या कोडमध्ये एम्बेड केलेली ही सार्वत्रिक की शोधली. ॲपचे रिव्हर्स-इंजिनियरिंग करून, UCSD टीम वैध रेडिओ कमांड्सची नक्कल करू शकणारे स्वतःचे सॉफ्टवेअर तयार करू शकली. कारण उपकरणे ब्लूटूथ सिग्नल्स सतत प्रसारित करतात आणि ऐकतात-जरी अलार्म सिस्टम वापरकर्त्याद्वारे स्पष्टपणे निष्क्रिय केली जाते तेव्हा-एक हॅकर सहजपणे सिस्टमशी जोडू शकतो. एकदा प्रमाणीकृत झाल्यानंतर, आक्रमणकर्ता वाहनाच्या वैशिष्ट्यांमध्ये फेरफार करण्यासाठी आदेश जारी करू शकतो. शिवाय, वाहन बंद केल्यानंतर सुमारे दहा मिनिटे उपकरणे सक्रिय राहतात, ज्यामुळे संधीसाधू चोरांना सिग्नल अडवण्याची संधी मिळते किंवा कारच्या सुरक्षा यंत्रणांना ट्रिगर करता येते.
प्रकटीकरण आणि पॅचिंग टाइमलाइन
सुधारणेचा मार्ग लांब आणि विवादास्पद आहे. UCSD संशोधकांनी जानेवारी 2025 मध्ये KARR प्रणालीची मूळ कंपनी Acrisure Protection Group ची गंभीर भेद्यता प्रथम उघड केली. दोषाची तीव्रता असूनही, कंपनीला फर्मवेअर अपडेट जारी करण्यासाठी अंदाजे 18 महिने लागले. ऍक्रिजर प्रोटेक्शन ग्रुपने जुलै 2026 च्या अहवाल तारखेपूर्वी सोमवारी अधिकृतपणे निराकरण केले, संशोधकांनी त्यांचे निष्कर्ष Defcon आणि Usenix सुरक्षा परिषदांमध्ये सादर करण्याच्या काही वेळापूर्वी. कंपनी राखते की असुरक्षा वास्तविक-जगातील परिस्थितीत कमी जोखीम प्रस्तुत करते, संशोधकांचा दावा आहे. प्रात्यक्षिकांनी दर्शविले की एक साधे ॲप अनधिकृत वापरकर्त्याला स्टॉपलाइटवर कार अनलॉक करण्यास किंवा एकाच वेळी वाहनांच्या ताफ्याची तोडफोड करण्यास अनुमती देऊ शकते, ज्यामुळे वास्तविक-जगातील महत्त्वपूर्ण व्यत्यय येण्याची क्षमता सिद्ध होते.
उद्योग परिणाम आणि ग्राहक जागरूकता
ही घटना डीलरशिप-स्थापित आफ्टरमार्केट ॲक्सेसरीज आणि वाहन सायबर सुरक्षा यांच्यातील वाढत्या तणावावर प्रकाश टाकते. UCSD च्या स्टीफन सेवेजसह तज्ञांनी याला एक अनोखा धोकादायक धोका म्हणून वर्णन केले आहे कारण भेद्यता पूर्णपणे प्राथमिक निर्मात्याच्या नियंत्रणाबाहेर असते, तरीही वाहनाच्या अंतर्निहित आर्किटेक्चरच्या सुरक्षिततेवर परिणाम करते. ग्राहकांना त्यांची वाहने KARR हार्डवेअरसाठी तपासण्यासाठी प्रोत्साहित केले जाते, जे विंडो स्टिकर्सद्वारे ओळखले जाते किंवा डॅशबोर्डच्या खाली ब्लिंकिंग बटण असते. Acrisure चा दावा आहे की तो ग्राहकांना त्याच्या ॲप, वेबसाइट आणि डीलर कम्युनिकेशन चॅनेलद्वारे सूचित करत आहे, कंपनीने या वाहनांच्या दुय्यम मालकांपर्यंत पोहोचण्यासाठी स्पष्ट धोरण प्रदान केलेले नाही ज्यांना सुरक्षा हार्डवेअरची पूर्णपणे माहिती नाही. पारदर्शकतेचा हा अभाव आधुनिक, संगणकीकृत वाहनांमध्ये समाकलित केलेल्या विखंडित आफ्टरमार्केट घटकांसाठी सुरक्षा जीवनचक्र व्यवस्थापित करण्यात अडचण अधोरेखित करतो.
⚖ The Balanced View
Supporting view
Acrisure Protection Group ने सांगितले की, भेद्यता अत्यंत क्लिष्ट आहे आणि वापरकर्त्यांना कमी धोका आहे, त्यांनी ग्राहकांचे संरक्षण करण्यासाठी फर्मवेअर अपडेट विकसित करून प्रतिसाद दिला.
Concerns & criticism
UCSD संशोधक आणि सुरक्षा तज्ञ यावर भर देतात की पॅचिंगमध्ये 18-महिन्यांचा विलंब, युनिव्हर्सल ऑथेंटिकेशन की सह एकत्रितपणे, लाखो बिनधास्त ड्रायव्हर्ससाठी एक गंभीर, अखंड धोका निर्माण करतो.
→What's next
प्रभावित वाहन मालकांनी फर्मवेअर अपडेट प्रक्रिया मॅन्युअली सुरू करण्यासाठी KARR सुरक्षा ॲप डाउनलोड करावे. सुरक्षा संशोधकांनी Defcon आणि Usenix परिषदांमध्ये त्यांच्या आगामी सादरीकरणांदरम्यान अधिक विस्तृत तांत्रिक तपशील शेअर करणे अपेक्षित आहे.