सुरक्षा शोधकर्ताओं ने हाल ही में लाखों अमेरिकी वाहनों को प्रभावित करने वाली एक गंभीर भेद्यता का खुलासा किया है – और अधिकांश मालिकों को यह भी पता नहीं है कि उपकरण मौजूद हैं। डीलरशिप द्वारा स्थापित आफ्टरमार्केट अलार्म सिस्टम, जो अक्सर खरीदारों द्वारा अपग्रेड से इनकार करने पर भी सक्रिय रहते हैं, उन्हें दूर से हैक करके दरवाजे अनलॉक किए जा सकते हैं, स्थानों को ट्रैक किया जा सकता है और कारों को पूरी तरह से अक्षम किया जा सकता है। इस खोज से ऑटोमोटिव आपूर्ति श्रृंखला में एक बड़े पैमाने पर सुरक्षा अंतर का पता चलता है जो वर्षों से स्पष्ट रूप से छिपा हुआ है।
आफ्टरमार्केट कार अलार्म सिस्टम में एक बड़े पैमाने पर सुरक्षा दोष ने लाखों अमेरिकी ड्राइवरों को जोखिम में डाल दिया है, और सबसे डरावनी बात यह है कि अधिकांश को यह भी पता नहीं है कि ये उपकरण उनके वाहनों में हैं। सुरक्षा शोधकर्ताओं ने खुलासा किया कि कार डीलरशिप द्वारा स्थापित अलार्म सिस्टम में महत्वपूर्ण कमजोरियां हैं जो हैकर्स को दूर से दरवाजे खोलने, वाहन स्थानों को ट्रैक करने और कारों को पूरी तरह से अक्षम करने की अनुमति देती हैं – जो एक सुरक्षा सुविधा मानी जाती थी उसे एक खतरनाक दायित्व में बदल देती है।
रहस्योद्घाटन सुरक्षा शोधकर्ताओं से हुआ जिन्होंने इन आफ्टरमार्केट सिस्टम का विश्लेषण किया और उनके वायरलेस संचार प्रोटोकॉल में शोषक कमजोरियां पाईं। कारखाने में स्थापित सुरक्षा प्रणालियों के विपरीत, जो कठोर निर्माता परीक्षण से गुजरती हैं, ये तृतीय-पक्ष उपकरण अक्सर मानक ऑटोमोटिव सुरक्षा प्रोटोकॉल को पूरी तरह से बायपास कर देते हैं। वे दरवाजे के ताले और इग्निशन नियंत्रण जैसे महत्वपूर्ण कार्यों तक पहुंच के साथ सीधे वाहन की विद्युत प्रणाली से जुड़े होते हैं, लेकिन सुरक्षा मानकों के साथ जो आधुनिक खतरे वाले मॉडल के साथ तालमेल नहीं बिठा पाते हैं।
जो बात विशेष रूप से परेशान करने वाली है वह यह है कि इतने सारे वाहनों में ये उपकरण कैसे पहुँचे। डीलरशिप अक्सर वैकल्पिक अपग्रेड के रूप में आफ्टरमार्केट अलार्म सिस्टम स्थापित करते हैं, लेकिन शोधकर्ताओं ने पाया कि जब खरीदार पैकेज को अस्वीकार कर देते हैं या केवल अस्थायी रूप से इसका उपयोग करते हैं, तब भी हार्डवेयर अक्सर सक्रिय और जुड़ा रहता है। उपकरण वाहन की विद्युत प्रणाली में हार्डवायर्ड रहते हैं, उनकी वायरलेस कनेक्टिविटी बनाए रखते हैं और एक अदृश्य हमले की सतह छोड़ते हैं जिसके बारे में मालिकों को पता नहीं होता है। यह आपके सामने वाले दरवाज़े पर लगे स्मार्ट लॉक की तरह है जिसे आपने कभी नहीं मांगा और जिसे देख नहीं सकते, लेकिन सही उपकरण वाला कोई भी व्यक्ति इसे तोड़ सकता है।
तकनीकी विवरण चिंताजनक हैं. ये सिस्टम आमतौर पर कुंजी फोब्स और मोबाइल ऐप्स के साथ संचार करने के लिए सेलुलर या रेडियो फ्रीक्वेंसी कनेक्शन का उपयोग करते हैं, लेकिन कई में उचित एन्क्रिप्शन या प्रमाणीकरण जैसे बुनियादी सुरक्षा उपायों का अभाव होता है। अपेक्षाकृत सुलभ उपकरणों वाला एक हमलावर नियंत्रण हासिल करने के लिए संचार को बाधित कर सकता है, सिग्नलों को दोबारा चला सकता है या एपीआई कमजोरियों का फायदा उठा सकता है। एक बार समझौता हो जाने के बाद, संभावनाएं साधारण चोरी से लेकर – कार को दूर से अनलॉक करना और स्टार्ट करना – से लेकर किसी की गतिविधियों पर नज़र रखने या गाड़ी चलाते समय उनके वाहन को अक्षम करने जैसे अधिक भयावह परिदृश्यों तक हो सकती हैं।
यह सिर्फ सैद्धांतिक नहीं है. ऑटोमोटिव सुरक्षा समुदाय वर्षों से कनेक्टेड कार सिस्टम में कमजोरियों के बारे में चेतावनी दे रहा है, लेकिन यह खोज इस बात पर प्रकाश डालती है कि कैसे तीसरे पक्ष के हार्डवेयर सुरक्षा अंतराल पैदा करते हैं जिन्हें वाहन निर्माता नियंत्रित नहीं कर सकते हैं। जब कोई डीलरशिप एक आफ्टरमार्केट सिस्टम स्थापित करता है, तो यह अनिवार्य रूप से निर्माता द्वारा निर्मित किसी भी सुरक्षा संरचना में छेद कर देता है। ये डिवाइस अक्सर अपनी स्वयं की क्लाउड सेवाओं, मोबाइल ऐप्स और संचार प्रोटोकॉल का उपयोग करते हैं, जिनमें से प्रत्येक हमलावरों के लिए संभावित प्रवेश बिंदु जोड़ते हैं।
समस्या का दायरा चौंका देने वाला है. शोधकर्ताओं का अनुमान है कि ये कमजोर सिस्टम पूरे अमेरिका में लाखों वाहनों में मौजूद हैं, जिन्हें उच्च-मार्कअप सहायक उपकरण के साथ लाभ मार्जिन बढ़ाने के लिए डीलरशिप द्वारा कई वर्षों में स्थापित किया गया है। ये उपकरण कई निर्माताओं और मॉडलों में फैले हुए हैं, जिससे समन्वित पैच प्रयास बेहद चुनौतीपूर्ण हो जाता है। सॉफ़्टवेयर भेद्यता के विपरीत, जिसे ओवर-द-एयर अपडेट के साथ ठीक किया जा सकता है, इसके लिए भौतिक हस्तक्षेप की आवश्यकता होती है – या तो तकनीशियनों द्वारा किए गए फ़र्मवेयर अपडेट या, सबसे खराब स्थिति में, हार्डवेयर को पूरी तरह से हटाना।
कार मालिकों के लिए, यह एक असंभव स्थिति पैदा करता है। कई लोगों के पास यह दर्शाने वाला कोई दस्तावेज नहीं है कि ये प्रणालियाँ स्थापित की गई थीं, खासकर यदि उन्होंने अपने इस्तेमाल किए गए वाहन खरीदे हों। कोई डैशबोर्ड संकेतक नहीं है, कोई स्पष्ट संकेत नहीं है कि कोई तृतीय-पक्ष उपकरण उनकी कार की निगरानी और नियंत्रण कर रहा है। पहला संकेत तब हो सकता है जब उनका वाहन डेटा उल्लंघन में दिखाई देता है या इससे भी बदतर, जब कोई चोरी या पीछा करने की भेद्यता का फायदा उठाता है।
कनेक्टिविटी सुविधाओं को जोड़ने के लिए ऑटोमोटिव उद्योग की हड़बड़ी ने एक व्यापक हमले की सतह तैयार कर दी है जो अब पूरी तरह से स्पष्ट हो रही है। प्रत्येक वायरलेस सिस्टम, प्रत्येक तृतीय-पक्ष एकीकरण, प्रत्येक आफ्टरमार्केट संशोधन जटिलता जोड़ता है जिसे प्रबंधित करने के लिए सुरक्षा टीमों को संघर्ष करना पड़ता है। स्मार्टफोन या कंप्यूटर के विपरीत जहां उपयोगकर्ता इंस्टॉल किए गए ऐप्स देख सकते हैं और अनुमतियों को नियंत्रित कर सकते हैं, कार सिस्टम महत्वपूर्ण वाहन कार्यों तक विशेषाधिकार प्राप्त पहुंच के साथ अदृश्य रूप से काम करते हैं।
सुरक्षा विशेषज्ञ कई मोर्चों पर तत्काल कार्रवाई की मांग कर रहे हैं। डीलरशिप को उन सभी वाहनों की पहचान करने की आवश्यकता है जहां ये सिस्टम स्थापित किए गए थे और मालिकों को सूचित करना चाहिए। असुरक्षित अलार्म सिस्टम के निर्माताओं को सुरक्षा पैच विकसित और वितरित करने चाहिए। नियामकों को वाहन नियंत्रण प्रणालियों के साथ इंटरफेस करने वाले किसी भी उपकरण के लिए आधारभूत सुरक्षा मानक स्थापित करने चाहिए। और उपभोक्ताओं को अपने वाहनों में तीसरे पक्ष के उपकरणों का पता लगाने और उन्हें प्रबंधित करने के लिए उपकरणों की आवश्यकता होती है, ठीक उसी तरह जैसे वे अपने फोन पर ऐप्स का ऑडिट कर सकते हैं।
व्यापक निहितार्थ केवल कार अलार्म से आगे तक फैले हुए हैं। यह भेद्यता ऑटोमोटिव उद्योग तीसरे पक्ष के हार्डवेयर और सॉफ्टवेयर एकीकरण को कैसे संभालती है, इसकी मूलभूत कमजोरियों को उजागर करती है। जैसे-जैसे वाहन रिमोट स्टार्ट ऐप्स, बीमा ट्रैकिंग डिवाइस और बेड़े प्रबंधन प्रणाली जैसी सुविधाओं से अधिक जुड़ते हैं, प्रत्येक एकीकरण बिंदु एक संभावित सुरक्षा भेद्यता बन जाता है। उद्योग को वाहन प्रणालियों के साथ इंटरफेस करने वाले तीसरे पक्ष के उपकरणों की जांच और निगरानी के लिए एक व्यापक ढांचे की आवश्यकता है।
यह भेद्यता सिर्फ एक सुरक्षा विफलता से कहीं अधिक दर्शाती है – यह ऑटोमोटिव आपूर्ति श्रृंखला में छिपे छिपे खतरों के बारे में एक चेतावनी है। लाखों ड्राइवर अनजाने में उन उपकरणों के कारण जोखिम में हैं जिनकी उन्होंने कभी मांग नहीं की थी और जिनके अस्तित्व के बारे में उन्हें जानकारी नहीं है। आगे के रास्ते के लिए कमजोर वाहनों की पहचान करने, पैच तैनात करने और आफ्टरमार्केट उपकरणों के लिए वास्तविक सुरक्षा मानक स्थापित करने के लिए डीलरशिप, अलार्म निर्माताओं, वाहन निर्माताओं और नियामकों से समन्वित कार्रवाई की आवश्यकता है। फिलहाल, कार मालिकों को यह निर्धारित करने के लिए अपने डीलरशिप से संपर्क करना चाहिए कि क्या ये सिस्टम उनके वाहनों में स्थापित हैं और या तो सुरक्षित पैच या पूरी तरह से हटाने की मांग करनी चाहिए। गंभीर सुरक्षा निरीक्षण के बिना कारों पर वायरलेस डिवाइस लगाने के दिन ख़त्म होने चाहिए, इससे पहले कि यह भेद्यता एक पूर्ण संकट में बदल जाए।
