Уязвим ли брелок вашего автомобиля для этой простой атаки с повторением?

Большинство людей, вероятно, считают само собой разумеющимся, что их брелок находится в безопасности. В конце концов, запирание и отпирание автомобилей чрезвычайно важно. Но на конференции по безопасности Black Hat исследователи показали, как простая атака с повтором может отменить меры безопасности, встроенные в автомобильные брелоки.

Система удаленного запирания и разблокировки автомобилей называется Remote Keyless Entry (RKE), и она сложнее, чем может показаться. Каждое нажатие кнопки уникально, что не позволяет злоумышленнику просто записать ваше нажатие кнопки разблокировки и воспроизвести его позже.

Левенте Чикор, исследователь из I2R, A*STAR, объяснил, что в системах RKE используется плавающий код. Брелок и автомобиль имеют счетчик, который увеличивается при каждом нажатии кнопки. Таким образом, ранее записанное нажатие кнопки не будет принято.

Но не все нажатия брелока доходят до вашей машины. Возможно, вы находитесь вне зоны досягаемости, за толстым стеклом или просто возитесь с ключами. Эти нажатия кнопок перемещают счетчик на брелоке вперед, но не автомобиль. Чтобы предотвратить блокировку владельцев автомобиля случайными нажатиями кнопок, системы RKE сбрасывают счетчик на меньшее значение, если обнаруживают, что на брелоке больше нажатий кнопок, чем на автомобиле.

Система сброса предполагает, что, пока номер счетчика на брелоке больше, чем номер автомобиля, это не может быть повторной атакой. Но это означает, что коды, захваченные до того, как произошел сброс (которые так и не дошли до автомобиля), будут приняты.

Цикор сказал, что в этом суть атаки RollJam, которая дебютировала(Открывается в новом окне) семь лет назад разными исследователями. Используя недорогие материалы, устройство RollJam улавливало сигнал кнопки брелока, затем глушило радиоволны и фиксировало второе нажатие кнопки. Второй сигнал так и не дошел до автомобиля, и злоумышленник мог использовать его позже, чтобы разблокировать автомобиль.

Что ж, оказывается, что весь процесс глушения и воспроизведения может и не потребоваться. Цикор пояснил, что для некоторых транспортных средств злоумышленнику достаточно будет воспроизвести лишь несколько ранее захваченных нажатий кнопок (Открывается в новом окне), чтобы «откатить» счетчик автомобиля. Даже если они уже были обнаружены автомобилем, любые ранее зафиксированные нажатия кнопок будут приняты автомобилем.

Более того, эта атака может быть повторена в будущем. Злоумышленнику нужно было только воспроизвести нажатия кнопок в любой момент в будущем — даже после того, как владелец автомобиля неоднократно использовал брелок — и машина принимала сигналы и разблокировалась. Новое видео, опубликованное после Black Hat, показало, что воспроизведенные сигналы успешно используются в течение 100 дней после захвата.

Чикор показал несколько видео нападения в действии. Вместо специального устройства RollJam он использовал стандартный Lenovo ThinkPad, подключенный к радиомодулю, определяемому программным обеспечением HackRF, который может стоить сотни долларов. На экране он запечатлел пять нажатий кнопок брелока Kia. Видно, как машина реагирует на все из них. Затем он воспроизвел первые два, которые были проигнорированы, но следующие три были приняты транспортным средством.

Становится лучше (или хуже). Чикор рассказал, что с тех пор, как они отправили свой документ в Black Hat, команда обнаружила, что любое последовательное нажатие кнопки откатывает счетчик автомобиля. Для работы RollBack достаточно сочетания последовательных сигналов блокировки и разблокировки.

Команда опубликует полный список автомобилей, которые они протестировали, но не сейчас. Из 20 машин, перечисленных в презентации Цикора, только шесть не подвержены атаке RollBack.

Из трех автомобилей Hyundai, которые рассматривала команда, только один пострадал от атаки RollBack. Два из трех протестированных автомобилей Nissan были восприимчивы, но ни одна из четырех оцененных автомобилей Toyota не пострадала.

В пределах каждой марки автомобилей количество нажатий кнопок, которые необходимо было зафиксировать, было одинаковым, даже в зависимости от модели и года выпуска. Уязвимым моделям Nissan, Kia и Hyundai требовалось всего два нажатия кнопки, тогда как всем уязвимым моделям Honda требовалось пять нажатий.

Цикор подчеркнул, что эта проблема касается не только старых автомобилей. Восприимчивы как новые автомобили 2020 модельного года, так и старые, начиная с 2009 года.