Bir immobilizer aracınızı çalınmasını engelleyebilir mi?

Gittikçe daha akıllı hale gelen otomobillere bir levye ve bir tornavida ile girmek her zamankinden daha da zorlaşıyor. İstatistikler de bu varsayımı destekliyor: Jan C. van Ours ve Ben Vollaard’ın araba hırsızlığı ve kurtarma verilerini ele alan araştırmasına göre, araç hırsızlığı Hollanda’da 1995 ile 2008 yılları arasında %70 oranında, İngiltere’de ise %80’e kadar azalmış.

Düşüşün nedenlerinden biri, “immobilizer” adlı buluşun yaygın biçimde kullanılmaya başlanması. Bununla birlikte, immobilizerler de diğer görece daha karmaşık teknolojiler gibi hacklenebilir. Bu konuyu yüksek lisans tezi konusu olarak seçen siber güvenlik araştırmacısı Wouter Bokslag, araştırmasının sonuçlarını 36. Kaos İletişim Kongresi’nde (36С3) sundu.

İmmobilizer nedir

Özetle, bir immobilizer direksiyondaki kişinin gerçekten de aracı kullanmaya hakkı olup olmadığını tespit etmeye çalışır. Emin olamıyorsa, aracın çalışmasına izin vermez. Tanınma işlemi yasal sahip tarafından algılanamaz; kullanıcı katılımı olmaksızın bir saniyeden az zaman içinde gerçekleşir.

Dünyanın ilk immobilizerinin patenti, 1919 gibi erken bir tarihte alındı. O zamanlar, sürücünün kontağı belirli bir sırada bağlaması gerekiyordu ve araba çalıştırılırken kontak yanlış sırada bağlanırsa alarm çalıyordu.

Otomobillere yönelik bir hırsızlık önleme sisteminin patenti ilk olarak 1919’da alındı

Günümüzün immobilizerleri, iki anahtar parçadan oluşuyor: Bunlardan biri kontak anahtarında bulunan bir aktarıcı, diğeri ise arabanın kendisinde bulunan bir alıcı. Birisi motoru çalıştırmaya çalıştığında, araç anahtara bir istek gönderiyor. Anahtar, önceden tanımlanmış doğru sinyali ilettiği takdirde, immobilizer motor kontrol ünitesine çalışması için bir komut gönderiyor. Doğru sinyal olmadan arabayı çalıştırmak mümkün değil.

Hitag2, DST40 ve Megamos Crypto, ilk aktarıcılardan bazıları. Yıllar boyunca incelenen bu aktarıcılar artık güvenli sayılmıyor. Hitag2’nin eksiklikleri hakkında buradan, Megamos Crypto’nunkiler hakkında ise buradan bilgi alabilirsiniz.

20. yüzyılın son on yılında immobilizerler hızla çoğaldı. Doksanların sonlarında AB ülkelerinde zorunlu hale geldiler; diğer ülkeler de yavaş yavaş bu dalgayı takip etti. Bu ülkelerin raporlarına itibar edersek immobilizerler, oto hırsızlığı oranlarında önemli bir azalma yaşanmasına katkıda bulundu.

Sırasıyla Büyük Britanya, Hollanda, İsveç, Amerika Birleşik Devletleri, Kanada ve Avustralya için araba hırsızlığı istatistikleri, 1981–2013, 2000 yılı temel alınarak. Kaynak

Araba hırsızları geri döndü

Araba hırsızlığı kesinlikle bununla sonlanmadı. İmmobilizerler ana akım haline geldiğinde, beklendiği üzere suçlular ve otomobil markaları arasında bir yarış başladı. Arabalar daha akıllı hale geldikçe suçlular da buna ayak uydurdu ve immobilizerlerin kandırılmasının oldukça kolay olduğu ortaya çıktı. Başarılı sonuçlanan kandırma girişimleri sıklaştı ve araba hırsızlığının uzun süredir devam eden istikrarlı düşüş eğilimi 2010 civarında tersine döndü. İngiltere’nin araba hırsızlığı oranı 2018’de sekiz yılın en yüksek seviyesine ulaştı; diğer birçok ülke benzer bir eğilimi, yani 2010 yılına kadar süren düşüşün ardından hafif bir toparlanma veya sabitlenme eğilimini gördü.

Pahalı lüks markalar, en sık çalınan otomobiller olmaya devam ettiler. Siber güvenlik araştırmacıları da bu markalara odaklandı, ancak büyük bütçelere rağmen çalışmaları hayal kırıklığıyla sonuçlandı.

Pahalı lüks bir arabaya on saniye içinde gizlice girilebiliyorsa, çoğu insanın sürdüğü daha yaygın modellerde durum nasıl olduğunu siz düşünün.

İmmobilizer güvenliğinin incelenmesi

Bokslag, çalışmasında popüler markalara ait üç arabanın kilidini kırmayı denedi. Arabaların hiçbiri yeni değildi; hepsi aşağı yukarı 2009 modeldi. Modeller, az önce bahsettiğimiz daha yaygın kullanılan modeller olan B sınıfı ucuz kısa kasa arabalardı. Çalışmanın yazarlarına göre, birçok yeni araba da benzer hırsızlık önleme sistemleri kullanıyor.

Bokslag şu yaklaşımı kullandı:

1. CAN veri yolu trafiğine erişim kazan. (CAN veri yolu, mevcut araçların çoğunun dahili iletişim için kullandıkları şeydir.)
2. İmmobilizer bileşenlerinin alıp ilettiği mesajları oku.
3. Motor kontrol modülü (ECM) veya karoser kontrol modülü (BCM) sabit yazılımını ele geçir.
4. Mesajlaşmada kullanılan algoritmayı tanımla.
5. Aracın orijinal bir anahtar olmadan çalıştırılabileceğini kanıtlamak için önceden elde edilen verileri kullan.

Birinci adım oldukça kolay: Veri yoluna standart OBD II bağlantı noktası üzerinden erişilebiliyor. 2000 yılından sonra üretilen tüm otomobillerde bu var ve teşhis amacına hizmet ediyor. Arabanın içine girdikten sonra arayüze erişebiliyorsunuz.

Ürün yazılımı, oldukça karmaşık tekniklerden tutun, internetten basit bir indirme yapmaya kadar yüzlerce farklı yolla edinilebiliyor. Evet, doğru bildiniz: Birçok arabanın ürün yazılımı çevrimiçi olarak mevcut; üreticiler bunu teşhis veya bakım için sunuyor.

Tüm trafik güvenilir bir şekilde şifrelenmiş olduğu sürece bu kötü bir şey sayılmaz. Ancak en büyük hayal kırıklığı da tam olarak burada yatıyor: İlk iki immobilizer çok zayıf bir şifreleme kullanıyordu. İlk araçta, yeni bir anahtarın yetkilendirilmesine izin veren ve daha sonra immobilizasyonu devre dışı bırakan araç güvenlik kodunun alınması sadece birkaç saniye sürdü. İkinci test aracının güvenlik kodunun alınması ise 4.000 kadar girişim ya da yaklaşık 15 dakika sürdü.

Üçüncü örnek aslında diğerlerinden daha zordu: İmmobilizer protokolünde belirgin kusurları yoktu ve kırılmadı. Ancak araştırmacı, anahtar çipinin Hitag2’de kullanılana benzeyen PCF7935 transponder’ını taklit ettiğini belirledi. Hitag2’nin bilinen zayıf yönlerini kullanarak, kriptografi ile uğraşmaya gerek kalmadan, sadece 6 dakika içinde aracı çalıştırabiliyordunuz.

Her üç sistem de hala kullanılıyor ve 2019’da üretilen bazı arabalarda bile kurulu.

Biz ne yapabiliriz?

İmmobilizerler, hala mekanik teknikler kullanan daha eski moda suçlulara karşı gerçekten de etkili. Bununla birlikte, daha sofistike araba hırsızlarına etki etmiyorlar; en azından kitlesel üretim yapılan segmentlerde.

Bu nedenle, kulağa tuhaf gelse de, otomobil sahipleri için olası bir tavsiye, köklerine bağlı kalıp seksenli ve doksanlı yılların teknolojilerini atmamak olabilir. Bir araba hırsızı, mekanik direksiyon kilidi ile desteklenen bir elektronik güvenlik sistemine girmek için hem elektronik hem de mekaniği kırma becerisine ihtiyaç duyar.

Her şeye rağmen, becerikli, “ikisi bir arada” bir araç hırsızına denk gelebilirsiniz; ancak güvenliğinizi iki katına çıkarmak hiç olmasa aracınızı bir yandaki aracı çalmaktan daha zor hale getirecektir. Dedikleri gibi; ayıdan değil, kovaladığı diğer adamdan daha hızlı olmanız yeterli.

Bununla birlikte, otomobil üreticileri araç hırsızlarının baş düşmanı olmaya devam ediyorlar; ancak pek çok açıdan siber güvenlik açısından yeni sayılırlar. Ne yazık ki, endüstri standartlarını göz ardı eden özel ve genellikle karmaşık olmayan, telif hakkı başkasına ait şifreleme algoritmaları kullanıyorlar ve korudukları otomobiller piyasaya çıktığında bu hırsızlığa karşı sistemler çoktan eskimiş oluyor.

Buna rağmen biz ve başkaları, otomobil güvenliğini artırmak için bazı adımlar atmaya başladık. Birkaç yıldır, modern bağlantılı otomobilleri daha güvenli hale getirmek için en büyük bağımsız otomotiv sistemleri üreticisi olan AVL ile ortağız. Bağlı otomobiller: Doğuştan Güvenli başlıklı gönderimizden güvenli araba vizyonumuz hakkında daha fazla bilgi edinebilirsiniz.