JBNews.id — Tim peneliti keamanan dari University of California San Diego (UCSD) menemukan celah keamanan kritis pada sistem alarm mobil aftermarket bernama KARR Security System. Kerentanan ini memungkinkan peretas dalam jangkauan Bluetooth untuk mengirim perintah radio yang dapat membuka kunci mobil tanpa suara, mematikan alarm, membunyikan klakson, atau bahkan menonaktifkan sistem pengapian dan membuat pengemudi terdampar.
Berdasarkan estimasi peneliti, perangkat KARR telah terpasang di lebih dari 2 juta kendaraan di Amerika Serikat. Sistem alarm ini biasanya dipasang oleh dealer mobil, bukan pabrikan atau pemilik kendaraan. Ironisnya, ketika mobil dijual, alarm tersebut seringkali tidak dilepas, meskipun pembeli menolak membayarnya sebagai fitur tambahan. Akibatnya, banyak pemilik mobil di AS memiliki perangkat yang dapat diretas di bawah kap kendaraan mereka tanpa sepengetahuan mereka.
“Ini adalah sistem yang ditambahkan ke mobil oleh dealer, dan sayangnya sistem ini memiliki kerentanan parah yang memungkinkan siapa pun mengakses mobil-mobil ini,” ujar Aaron Schulman, profesor ilmu komputer UCSD yang memimpin riset. “Alat ini dirancang untuk membuat mobil lebih aman, tetapi justru menciptakan kerentanan yang perlu segera ditambal di jutaan kendaraan. Kami berusaha menyebarkan informasi agar Anda memeriksa mobil dan menambalnya secara manual sekarang.”
Kerentanan Kunci Autentikasi Universal
Tim UCSD menemukan bahwa celah keamanan utama terletak pada satu kunci autentikasi yang dibagikan di semua perangkat KARR. Kunci tersebut juga ditemukan dalam kode aplikasi smartphone KARR yang digunakan pelanggan untuk mengontrol alarm. Dengan kunci tersebut dan aplikasi buatan sendiri yang dibuat dengan merekayasa balik kode aplikasi KARR, peneliti dapat memalsukan perintah radio yang akan diterima oleh perangkat KARR berkemampuan Bluetooth di sekitarnya.
Kerentanan ini diperparah oleh fakta bahwa perangkat KARR terus memancarkan dan menerima sinyal Bluetooth selama mobil menyala, dan hingga 10 menit setelah mobil dimatikan. Meskipun perangkat dalam status “nonaktif” bagi pengemudi yang tidak membayar, peneliti dapat mengaktifkannya dengan perintah radio dan langsung melakukan teknik peretasan. Aktivasi ini hanya memicu bunyi bip singkat dari klakson dan kedipan lampu, satu-satunya tanda yang mungkin dimiliki pemilik mobil.
Perusahaan yang menjual KARR Security System, Acrisure Protection Group, telah merilis pembaruan firmware untuk model Bluetooth yang rentan. Pemilik mobil yang sudah menginstal aplikasi KARR Security akan menerima pemberitahuan tentang pembaruan firmware. Bagi yang belum, mereka perlu mengunduh aplikasi KARR Security System, menghubungkannya ke alarm KARR kendaraan, lalu mengetuk “customer service” dan “firmware update.”
Dampak dan Risiko Keamanan
Dalam serangkaian demonstrasi untuk WIRED, peneliti menunjukkan bahwa mereka dapat menggunakan aplikasi Android mereka untuk mengirim perintah Bluetooth ke kendaraan rentan dengan KARR. Demonstrasi tersebut mencakup membuka kunci mobil di lampu merah untuk memungkinkan pencurian atau pembajakan, melumpuhkan mobil yang diparkir, atau bahkan meretas sekelompok mobil untuk membunyikan klakson dan lampu secara bersamaan.
Meskipun kerentanan KARR tidak memungkinkan peretas menyalakan mesin mobil, peneliti UCSD menunjukkan bagaimana alat tukang kunci yang umum tersedia dapat digunakan setelah peretas berada di dalam kendaraan. Alat tersebut dapat dicolokkan ke dasbor mobil untuk membuat kunci yang berfungsi dalam beberapa menit. Tanpa kerentanan KARR, pencuri harus memecahkan jendela atau menggunakan alat pembuka pintu yang berpotensi membunyikan alarm. Namun, dengan kerentanan KARR, mereka dapat masuk tanpa suara.
Stefan Savage, profesor ilmu komputer UCSD lainnya, menyebut kerentanan ini sebagai ancaman peretasan mobil “mungkin yang terburuk” yang pernah ditemukan. “Ini memengaruhi banyak kendaraan, pabrikan mobil Anda tidak dapat memperbaikinya, dan Anda bahkan tidak tahu Anda memiliki masalah ini,” kata Savage. “Ini menyediakan semua elemen yang diinginkan pencuri mobil, tetapi Anda tidak memiliki keuntungan yang biasanya kami miliki dalam membelanya karena Anda terputus dari rantai pasokan yang menempatkannya di sana.”
Proses Penemuan dan Respons Perusahaan
Peneliti UCSD, Nishant Bhaskar, pertama kali menyadari keberadaan perangkat KARR pada tahun 2018 saat menganalisis perangkat “skimmer” yang dirancang untuk mencuri informasi kartu kredit. Ia mulai menangkap sinyal Bluetooth dari perangkat misterius di stasiun bensin, dan kemudian menyadari bahwa sinyal yang sama muncul di jalan raya dari berbagai merek dan model kendaraan. Pencarian daring mengarahkannya ke database Komisi Komunikasi Federal (FCC) yang menunjukkan bahwa sinyal tersebut berasal dari perangkat alarm KARR.
Baru pada tahun 2024, mahasiswa pascasarjana Jerry Yu, yang mencari proyek musim panas, mulai meneliti keamanan perangkat KARR atas saran Schulman. Yu dengan cepat menemukan kunci autentikasi universal dalam aplikasi KARR. “Setelah kami merekayasa balik aplikasi mereka, kami segera menyadari bahwa protokol autentikasi internal mereka sangat sederhana sehingga kami dapat mengekstraknya dan mengimplementasikannya kembali sebagai aplikasi kami sendiri,” kata Yu. Aplikasi itu, menurut mereka, dapat membuka “setiap mobil yang pernah mereka pasangi perangkat ini.”
Untuk menghitung jumlah perangkat KARR yang rentan, peneliti UCSD Yibo Wei menggunakan database informasi radio sumber terbuka WiGLE. Hasil pemindaian dan ekstrapolasi dari nomor seri perangkat menunjukkan bahwa lebih dari 2 juta perangkat KARR berkemampuan Bluetooth telah digunakan. Data WiGLE juga berpotensi memungkinkan peretas melacak lokasi historis mobil yang rentan berdasarkan tanda tangan Bluetooth perangkat KARR, menciptakan mekanisme pengintaian yang mengkhawatirkan.
Ketika dihubungi WIRED, Acrisure Protection Group merespons melalui pernyataan: “Kerentanan yang dijelaskan dalam penelitian [UCSD] sangat kompleks dan menimbulkan risiko rendah bagi pelanggan dalam kondisi dunia nyata. Meskipun demikian, kami merespons dengan cepat dan mengembangkan pembaruan firmware untuk mengatasi masalah ini.” Perusahaan menambahkan bahwa mereka akan memberi tahu pemilik mobil melalui aplikasi KARR Security, situs web KARR Security, dan “komunikasi dealer.”
Namun, butuh waktu hampir 18 bulan bagi Acrisure Protection Group untuk merilis tambalan setelah UCSD melaporkan kerentanan pada Januari tahun lalu. Pembaruan baru dirilis beberapa minggu sebelum presentasi UCSD di konferensi peretas Defcon dan konferensi keamanan Usenix. Schulman dan timnya kini merasa bertanggung jawab untuk memperingatkan setiap pengemudi tentang perangkat yang dapat diretas yang tersembunyi di kendaraan mereka.
“Ketika Anda memasang sesuatu secara default di dealer di setiap mobil yang dijual, luasnya kerentanan itu akan tak terbayangkan,” kata Schulman. “Inilah mengapa kami perlu mempublikasikan ini dan menyebarkannya, karena satu-satunya cara masalah ini akan terpecahkan adalah jika kami melibatkan semua orang dan memperbaikinya sendiri.”
