Penyelidik Universiti California San Diego mendapati bahawa Sistem Keselamatan KARR, dipasang pada lebih dua juta kenderaan, mengandungi kerentanan kritikal yang membolehkan pengguna yang tidak dibenarkan membuka kunci pintu dari jauh atau melumpuhkan pencucuhan. Pengilang telah mengeluarkan kemas kini perisian tegar untuk menangani kecacatan selepas kelewatan 18 bulan dalam pembangunan.
Skop Kegagalan Keselamatan
Penyelidik keselamatan di Universiti California San Diego telah menemui kecacatan yang ketara dalam Sistem Keselamatan KARR, penggera kereta selepas pasaran yang sering dipasang oleh pengedar automotif. Pasukan menganggarkan bahawa lebih daripada 2 juta kenderaan pada masa ini di jalan raya dilengkapi dengan peranti ini, kebanyakannya telah dipasang tanpa permintaan nyata atau pengetahuan pemilik kenderaan. Oleh kerana sistem ini sering disambungkan ke dalam komponen elektronik sensitif kereta, kerentanan memberikan pelaku jahat keupayaan untuk melakukan pelbagai tindakan mengganggu. Penggodam dalam julat Bluetooth boleh mencetuskan lampu dan hon, membuka kunci pintu kenderaan, malah menghalang enjin daripada dihidupkan, melumpuhkan kenderaan dengan berkesan. Para penyelidik menekankan bahawa keadaan ini amat berbahaya kerana ramai pemilik kereta tidak menyedari peranti itu dipasang, menyebabkan mereka tidak dapat mengambil langkah proaktif untuk menjamin harta mereka.
Analisis Punca Punca Teknikal
Teras kelemahan keselamatan terletak pada kunci pengesahan dikongsi yang digunakan di semua unit penggera KARR. Penyelidik menemui kunci universal ini tertanam dalam kod aplikasi telefon pintar rasmi KARR. Dengan kejuruteraan terbalik aplikasi, pasukan UCSD dapat mencipta perisian mereka sendiri yang mampu meniru arahan radio yang sah. Oleh kerana peranti terus menyiarkan dan mendengar isyarat Bluetooth—walaupun sistem penggera seolah-olah dinyahaktifkan oleh pengguna—penggodam boleh berpasangan dengan sistem dengan mudah. Setelah disahkan, penyerang boleh mengeluarkan arahan untuk memanipulasi ciri kenderaan. Tambahan pula, peranti itu kekal aktif selama kira-kira sepuluh minit selepas kenderaan dimatikan, memberikan peluang kepada pencuri oportunistik untuk memintas isyarat atau mencetuskan sistem keselamatan kereta untuk memudahkan kemasukan.
Pendedahan dan Menampal Garis Masa
Jalan untuk pemulihan telah panjang dan dipertikaikan. Penyelidik UCSD mula-mula mendedahkan kerentanan kritikal kepada Acrisure Protection Group, syarikat induk sistem KARR, pada Januari 2025. Walaupun tahap kecacatan yang teruk, syarikat itu mengambil masa kira-kira 18 bulan untuk mengeluarkan kemas kini perisian tegar. Kumpulan Perlindungan Acrisure secara rasmi melancarkan pembetulan pada hari Isnin sebelum tarikh pelaporan Julai 2026, sejurus sebelum penyelidik dijadualkan membentangkan penemuan mereka di persidangan keselamatan Defcon dan Usenix. Syarikat itu mengekalkan bahawa kelemahan itu memberikan risiko yang rendah di bawah keadaan dunia sebenar, dakwaan yang dipertandingkan oleh penyelidik. Demonstrasi menunjukkan bahawa aplikasi mudah boleh membenarkan pengguna yang tidak dibenarkan membuka kunci kereta di lampu henti atau mensabotaj kumpulan kenderaan secara serentak, membuktikan potensi gangguan dunia nyata yang ketara.
Implikasi Industri dan Kesedaran Pengguna
Insiden ini menyerlahkan ketegangan yang semakin meningkat antara aksesori selepas pasaran yang dipasang oleh pengedar dan keselamatan siber kenderaan. Pakar, termasuk Stefan Savage dari UCSD, telah menyifatkan ini sebagai ancaman berbahaya yang unik kerana kelemahan wujud sepenuhnya di luar kawalan pengeluar utama, namun memberi kesan kepada keselamatan seni bina asas kenderaan. Pengguna digalakkan untuk memeriksa kenderaan mereka untuk perkakasan KARR, yang dikenal pasti melalui pelekat tingkap atau kehadiran butang berkelip di bawah papan pemuka. Walaupun Acrisure mendakwa ia memberitahu pelanggan melalui apl, tapak web dan saluran komunikasi pengedarnya, syarikat itu tidak menyediakan strategi yang jelas untuk menjangkau pemilik kedua kenderaan ini yang mungkin tidak mengetahui perkakasan keselamatan sepenuhnya. Kekurangan ketelusan ini menekankan kesukaran mengurus kitaran hayat keselamatan untuk komponen pasaran selepas berpecah-belah yang disepadukan ke dalam kenderaan berkomputer moden.
⚖ The Balanced View
Supporting view
Kumpulan Perlindungan Acrisure menyatakan kerentanan itu sangat kompleks dan menimbulkan risiko yang rendah kepada pengguna, dengan menyatakan bahawa mereka bertindak balas dengan membangunkan kemas kini perisian tegar untuk melindungi pelanggan.
Concerns & criticism
Penyelidik UCSD dan pakar keselamatan menekankan bahawa kelewatan 18 bulan dalam menampal, digabungkan dengan kunci pengesahan universal, mewujudkan ancaman yang teruk dan tidak dapat dielakkan kepada berjuta-juta pemandu yang tidak curiga.
→What's next
Pemilik kenderaan yang terjejas harus memuat turun apl Keselamatan KARR untuk memulakan proses kemas kini perisian tegar secara manual. Penyelidik keselamatan dijangka berkongsi butiran teknikal yang lebih luas semasa pembentangan mereka yang akan datang di persidangan Defcon dan Usenix.