Rétro-ingénierie d’un signal de clé automobile

Rétro-ingénierie d’un signal de porte-clés automobile (1re partie)

• Projet né d’une curiosité pour la manière dont les dispositifs de télécommande automobile (porte-clés) transmettent des données et pour les vecteurs d’attaque possibles, comme les attaques par rejeu.
• Les tests sur de vrais véhicules étant limités, il n’avait pas été possible d’effectuer une analyse significative des signaux capturés auparavant.
• Ce billet de blog guide les débutants à travers une expérience réussie de rétro-ingénierie et de rejeu d’un signal de porte-clés automobile réalisée l’an dernier.

Matériel utilisé

• RTL-SDR : appareil capable de transformer une clé USB TV/radio bon marché en récepteur RF polyvalent, permettant de visualiser et d’enregistrer des signaux dans la plage de 24 à 1750 MHz.
• Flipper Zero : appareil électronique intégrant divers modules matériels sans fil, capable d’« interagir » avec les appareils électroniques du quotidien et les produits électroniques grand public.
• CC1101 vs RTL2832U : contrairement à la puce RTL2832U présente dans le RTL-SDR, la puce CC1101 intégrée au Flipper Zero est un module émetteur-récepteur, mais elle ne prend pas en charge le SDR, ce qui impose de configurer correctement la RF.

Bases des signaux radiofréquence (simplification excessive)

• Les transmissions radiofréquence utilisent des ondes radio, qui sont des ondes électromagnétiques, pour envoyer des signaux.
• Fréquence : nombre d’occurrences de l’onde porteuse.
• Modulation : manière dont le signal est représenté sur l’onde radio. AM et FM sont les types de modulation les plus courants.
• Bande passante : plage de fréquences occupée par le signal RF modulé.

Analyse visuelle

• SDR# : application DSP gratuite et intuitive sur ordinateur pour le SDR, qui permet de visualiser le spectre radio en temps réel et de démoduler certaines modulations courantes.
• Découverte du signal : sur la fréquence 433,92 MHz, il est possible d’observer l’activité de la plupart des dispositifs de télécommande à l’aide d’un dongle RTL-SDR.

Analyse proprement dite

• Universal Radio Hacker : suite open source complète pour l’étude des protocoles radio, prenant en charge nativement de nombreux SDR courants, et logiciel nécessaire pour décoder le signal en bits.
• Analyse de l’apparence visuelle du signal et des motifs binaires afin d’en déterminer la structure et la cohérence.

Code tournant

• Mécanisme de sécurité utilisé dans les systèmes d’accès sans clé pour empêcher les simples attaques par rejeu.
• La télécommande et le véhicule génèrent et suivent des codes tournants à l’aide d’un algorithme chiffré.

Résultat final

• Après rétro-ingénierie du signal de porte-clés automobile, il a été possible d’en comprendre la structure et d’intégrer ce format de signal dans le Flipper Zero afin de le lire, le re-sérialiser et le rejouer.

Avis de GN⁺

• Cet article propose un contenu intéressant pour les personnes qui s’intéressent aux communications sans fil et à la sécurité. La rétro-ingénierie des signaux de porte-clés automobiles est un sujet important pour les chercheurs en sécurité, et cet article en décrit le processus en détail.
• La rétro-ingénierie peut aider à comprendre et à améliorer les vulnérabilités techniques de sécurité. Cet article apporte un savoir pratique sur ce domaine en montrant comment analyser des signaux à l’aide d’équipements réels.
• Cet article montre les défis et les opportunités de la recherche en sécurité à titre individuel dans des contextes où l’usage d’outils comme le Flipper Zero peut être légalement interdit.
• Parmi les autres outils offrant des fonctions similaires, on peut citer des équipements SDR comme le HackRF One ou le BladeRF, qui fournissent une plage de fréquences plus large ainsi que des capacités d’émission et de réception.
• Lors de l’adoption de telles technologies, il faut toujours tenir compte des contraintes juridiques et des enjeux de sécurité, et leur principal intérêt réside dans la découverte et la correction de vulnérabilités réelles.

[GN⁺]

Commentaires sur Hacker News

• Un utilisateur mentionne qu’il n’a pas réussi à ouvrir physiquement la portière du véhicule, mais qu’il a tout décodé. Cela signifie qu’il faut contourner le rolling code, et qu’il ne suffit pas simplement d’ajouter 1 au code puis de le retransmettre. Un rolling code doit paraître aléatoire vu de l’extérieur.
• Un autre utilisateur explique avoir mené un travail de rétro-ingénierie sur un porte-clés bas de gamme acheté sur AliExpress, et avoir réussi avec suffisamment de temps en s’aidant d’un oscilloscope et de Wikipédia. Fort de cette expérience, il souhaite essayer la méthode du billet de blog la prochaine fois pour devenir un meilleur hacker.
• Des informations sont partagées au sujet d’un flow graph GNU Radio. Ce graphe peut être utilisé dans un but similaire pour analyser les signaux d’un porte-clés.
• Il est mentionné qu’avec l’accessibilité croissante des dispositifs de programmation de clés, il est intéressant de voir les fabricants cacher davantage la programmation des clés derrière des procédures de sécurité plus complexes dans le cadre de leurs systèmes de sécurité. L’effet de ces changements sur les criminels reste sujet à débat, mais certaines activités en seront clairement affectées.
• Un utilisateur juge l’article facile à comprendre et rafraîchissant.
• Un commentaire décrit des clés générées et suivies à l’aide d’un compteur qui doit rester synchronisé entre la télécommande et le véhicule, et s’interroge sur la manière dont les télécommandes d’apprentissage contournent ce type de système. Il se demande aussi si les boutons de porte de garage intégrés au véhicule font en réalité bien plus que simplement rejouer le signal.
• Un utilisateur avance qu’au lieu d’intercepter et de décoder le signal pour encoder son propre signal, il pourrait être plus efficace de mener une attaque de l’homme du milieu entre le porte-clés et le véhicule à l’aide d’une grande antenne, en faisant croire que la distance entre eux est plus courte qu’en réalité.
• Un utilisateur dit espérer que les constructeurs automobiles fabriquent de petites télécommandes RFID pouvant tenir dans un portefeuille, et qu’un appareil de type Flipper au format carte de crédit puisse obtenir le même résultat.
• Des informations sont partagées indiquant que l’appareil Flipper peut recevoir et analyser des signaux bruts.
• Un commentaire indique qu’il est impossible de voir les images à cause de l’erreur « 429 Too Many Requests », avec une réaction humoristique à la limitation des requêtes du site web.