搜索

[12946] 2018-07-15_利用蓝牙功能两秒内攻击解锁Tapplock智能挂锁

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-07-15_利用蓝牙功能两秒内攻击解锁Tapplock智能挂锁 利 用 蓝 牙 功 能 两 秒 内 攻 击 解 锁 T a p p l o c k 智 能 挂 锁 c l o u d s   F r e e B u f   2 0 1 8 - 0 7 - 1 5 几 个 星 期 前 ， 几 个 星 期 前 ， Y o u t u b e 上 名 为 上 名 为 J e r r y R i g E v e r y t h i n g 的 人 上 传 了 一 段 针 对 的 人 上 传 了 一 段 针 对   T a p p l o c k   智 能 蓝 牙 指 纹 挂 锁 的 拆 解 视 智 能 蓝 牙 指 纹 挂 锁 的 拆 解 视 频 。 视 频 显 示 ， 只 要 用 一 个 频 。 视 频 显 示 ， 只 要 用 一 个 G o P r o 相 机 固 定 粘 附 底 座 就 可 以 把 相 机 固 定 粘 附 底 座 就 可 以 把   T a p p l o c k   后 盖 取 下 ， 然 后 再 利 用 螺 丝 刀 就 能 把 后 盖 取 下 ， 然 后 再 利 用 螺 丝 刀 就 能 把 T a p p l o c k   的 锁 扣 轻 松 打 开 。 的 锁 扣 轻 松 打 开 。 有 点 不 可 思 议 ， 这 段 视 频 引 发 了 我 对   T a p p l o c k   智 能 挂 锁 的 安 全 性 好 奇 ， 这 款 具 备 指 纹 识 别 、 手 机 蓝 牙 和 莫 尔 斯 码 解 锁 的 智 能 挂 锁 ， 在 方 便 的 同 时 ， 它 安 全 性 如 何 呢 ？ 由 此 我 对   T a p p l o c k   进 行 了 一 番 研 究 ， 最 终 我 实 现 了 2 秒 之 内 对 T a p p l o c k 的 解 锁 。 演 示 视 频 ： 演 示 视 频 ： 硬 件 构 成 硬 件 构 成 T a p p l o c k 智 能 挂 锁 由 淬 火 钢 和 耐 用 压 铸 的 Z a m a k - 3 锌 合 金 打 造 而 成 。
Z a m a k - 3 锌 合 金 常 用 于 儿 童 玩 具 、 门 把 手 、 男 士 剃 须 刀 等 压 铸 产 品 ， 严 格 来 说 ， 这 种 金 属 材 质 强 度 不 高 ， 且 在 4 0 0 ℃ 以 下 就 能 熔 化 变 形 ， 对 于 结 实 的 锁 体 来 说 ， 这 不 是 一 个 好 的 材 质 选 择 。 Z a m a k - 3 便 于 制 作 一 些 外 观 精 致 且 感 觉 牢 固 的 精 细 铸 件 ， 也 仅 只 是 看 着 安 全 牢 固 而 已 。 加 密 机 制 加 密 机 制 T a p p l o c k 智 能 挂 锁 选 用 了   A E S   1 2 8 位 的 加 密 算 法 ， 加 密 强 度 算 是 很 高 的 了 。 这 种 加 密 强 度 与 军 用 级 别 相 当 ， 但 于 对   I o T   黑 客 们 来 说 ， 这 种 对 称 加 密 还 是 存 在 着 一 些 缺 点 ， 尤 其 在 这 里 的 T a p p l o c k 使 用 说 明 中 ， 完 全 没 有 密 钥 配 对 、 交 换 和 共 享 的 规 定 ， 甚 至 在 安 全 性 说 明 中 连 基 本 的 身 份 认 证 都 没 有 。 所 以 ， 类 似 这 种 应 用 场 景 中 ， A E S - 1 2 8 加 密 还 存 在 不 足 。 此 外 ， 针 对 T a p p l o c k 挂 锁 的 安 全 性 ， 也 有 诸 多 争 议 ， 就 比 如 这 里 的   “ 牢 不 可 破 的 T a p p l o c k 没 那 么 安 全 可 靠 ” ， 文 章 中 罗 列 了 好 多 针 对   T a p p l o c k   软 硬 件 的 安 全 测 试 ， 最 终 发 现 T a p p l o c k 并 不 那 么 安 全 。 T a p p l o c k 官 方 宣 称 自 己 的 挂 锁   “ 非 常 强 悍 ” ， 但 实 际 在 A b l o y   P r o t e c 门 锁 面 前 ， 估 计 就 没 法 比 了 。 T a p p l o c k 官 方 还 宣 称 自
己 的 挂 锁   “ 几 乎 牢 不 可 破 ” ， 但 最 终 却 被 一 把 4 英 寸 的 螺 栓 切 割 器 瓦 解 。 看 来 ， 一 切 都 是 的 吹 嘘 的 营 销 策 略 。 安 全 测 试 安 全 测 试 以 上 各 路 安 全 测 试 也 激 起 了 我 的 好 奇 心 ， 那 就 买 一 把 T a p p l o c k 智 能 挂 锁 来 实 际 测 测 吧 ， 8 0 欧 元 的 价 格 付 款 ， 1 4 小 时 之 后 ， 一 款 T a p p l o c k 智 能 挂 锁 就 送 到 我 家 了 。 首 先 ， 我 先 按 照   J e r r y R i g E v e r y t h i n g   的 方 法 ， 用 一 个 G o P r o 相 机 粘 附 底 座 粘 住 了   T a p p l o c k   后 盖 。 经 过 3 0 分 钟 的 充 分 粘 合 后 ， 用 力 拉 粘 附 底 座 ， 可 惜 怎 么 也 弄 不 开 T a p p l o c k 后 盖 。 原 来 ， 在 后 盖 内 还 有 一 个 伸 到 后 盖 项 部 的 弹 簧 梢 ， 是 专 门 为 了 防 止 后 盖 的 松 动 或 转 动 而 设 计 的 。 这 个 弹 簧 梢 有 可 能 被 破 坏 ， 但 是 只 靠 一 个 相 机 粘 附 底 座 可 能 是 不 行 的 。 但   J e r r y R i g E v e r y t h i n g   的 T a p p l o c k 测 试 用 锁 ， 没 有 这 个 伸 出 的 弹 簧 梢 ， 但 我 们 购 买 的 T a p p l o c k 测 试 用 锁 是 有 这 个 弹 簧 梢 的 ， 所 以 ， 我 们 使 劲 拉 住 相 机 粘 附 底 座 最 后 也 没 能 按 J e r r y R i g E v e r y t h i n g 的 方 法 打 开 T a p p l o c k 后 盖 。 使 用 低 功 耗 蓝 牙 （ 使 用 低 功 耗 蓝 牙 （ B L E ） 控 制 ） 控 制   T a p p l o c k 现 在 ， 我 们 转 向 低 功 耗 蓝 牙 （ B L E ） 进 行 测 试 ， 意 外 的 是 ， 我 们 通 过 这 里 发 现 了 一 些 不 可 思 议 的 事 。 一 般 来 说 ， 我 喜 欢 阅 读 一 些 费 时 且 深 入 有 创 意 的   I o T   破 解 文 章 ， 但 这 里 我 们 就 不 绕 了 ， 直 奔 主 题 吧 。 在 不 到 4 5 分 钟 的 时 间 里 ， 我 们 需 要 完 成 对   T a p p l o c k   的 破 解 解 锁 。 首 先 ， 我 们 发 现 ， T a p p l o c k   手 机 A P P 的 H T T P 通 信 中 ， 竟 然 没 有 传 输 加 密 机 制 ， 这 是 2 0 1 8 年 啊 ， 又 不 是 古 时 候 ， 完 全 令 人 吃 惊 。 从 以 上 网 络 分 析 中 可 看 到 ， 当 我 每 次 用 B L E 连 接   T a p p l o c k   时 ， 就 会 有 一 个   “ 随 机 ”   字 符 串 被 发 送 给 T a p p l o c k 端 ， 这 些 字 符 串 貌 似 是 与   T a p p l o c k   进 行 交 流 的 命 令 。 但 也 值 得 注 意 的 是 ， 无 论 我 执 行 多 少 次 对   T a p p l o c k   的 连 接 请 求 ， 这 些 字 符 串 数 据 都 是 不 变 的 。 从 以 下 蓝 牙 利 用 工 具 g a t t t o o l 的 命 令 行 执
行 中 可 以 看 到 ， T a p p l o c k   还 容 易 受 到 重 放 攻 击 。 由 于   T a p p l o c k   手 机 A P P 允 许 用 户 与 其 它 人 共 用 T a p p l o c k 挂 锁 ， 或 是 在 某 个 期 限 内 撤 销 使 用 权 许 可 。 由 此 ， 我 把 该 测 试 用 锁 与 其 他 用 户 进 行 了 共 享 ， 然 后 抓 取 其 中 的 B L E 通 信 数 据 发 现 ， 这 种 用 户 间 共 享 T a p p l o c k 的 做 法 ， 完 全 与 正 常 单 一 用 户 对 T a p p l o c k 的 控 制 一 样 ， 也 就 是 ， 即 使 你 撤 销 了 其 他 共 享 用 户 的 解 锁 权 限 ， 但 其 他 用 户 一 样 可 以 在 此 之 前 ， 可 以 通 过 通 信 数 据 抓 包 方 式 获 取 到 解 锁 认 证 的 所 有 信 息 ， 利 用 该 信 息 可 以 实 现 对 T a p p l o c k 的 认 证 解 锁 ， 和 单 一 控 制 用 户 没 啥 区 别 。 这 就 有 点 像 智 能 门 铃   R i n g   S m a r t   D o o r b e l l   的 问 题 一 样 ， 不 可 能 撤 销 另 一 具 备 高 解 锁 权 限 的 用 户 。 没 有 出 厂 重 置 设 置 没 有 出 厂 重 置 设 置 T a p p l o c k   智 能 挂 锁 没 有 配 备 应 有 的 出 厂 重 置 机 制 ， 使 用 账 户 只 能 删 除 其 相 应 的 挂 锁 信 息 ， 而 不 能 删 除 相 应 的 解 锁 数 据 。 留 存 的 解 锁 数 据 是 发 送 到 服 务 端 或 是 从 服 务 端 发 送 给 T a p p l o c k 的 ， 因 此 ， 处 于 网 络 中 适 当 位 置 的 攻 击 者 可 以 拦 截 这 些 解 锁 数 据 ， 利 用 这 些 数 据 间 接 实 现 T a p p l o c k 开 锁 。 这 可 不 是 小 问 题 ， 废 话 少 说 ， 能 开 锁 才 是 重 点 ， 现 在 我 们 需 要 来 分 析 一 下 那 些 随 机 数 据 是 如 何 实 现 开 锁 的 。 完 全 控 制 完 全 控 制 经 过 几 分 钟 的 研 究 分 析 ， 我 发 现 了 与 T a p p l o c k 挂 锁 开 锁 过 程 配 对 的 具 体 函 数 方 法 ： 该 方 法 中 向 T a p p l o c k 挂 锁 发 送 了 包 含 两 个 双 字 节 数 组 的 固 定 命 令 C M D _ P A I R I N G _ R E G U L A R 。 这 两 个 双 字 节 数 组 会 读 取 以 下 相 应 信 息 ： t h i s . b l u e t o o t h C e n t e r M a n a g e r . r e g u l a r P a i r ( l o c k M a c A d d r e s s ,   B l u e t o o t h T o o l . s t r T o B y t e s ( l o c k I n f o . g e t K e y 1 ( ) ) , B l u e t o o t h T o o l . s t r T o B y t e s ( l o c k I n f o . g e t S e r i a l N o ( ) ) ) ; 有 效 信 息 也 就 是 K e y 1   和   S e r i a l N o ， 它 们 是 从 哪 里 发 送 来 的 呢 ？ 原 来 当 锁 发 生 初 始 配 对 时 ， 以 上 信 息 经 k e y A n d S e r i a l N o 方 法 ， 间 接 转 化 为 T a p p l o c k 挂 锁 的 蓝 牙 M A C 地 址 。 k e y A n d S e r i a l N o 方 法 如 下 ： 这 里 ， 它 会 把 T a p p l o c k 挂 锁 的 蓝 牙 M A C 地 址 大 写 ， 然 后 把 它 转 化 为 一 个 M D 5 哈 希 值 ， 其 中 0 到 7 个 字 符 为 k e y 1 ， 1 6 到 2 3 个 字 节 为 S e r i a l N o 序 列 号 。 是 的 ， 解 锁 T a p p l o c k 唯 一 需 要 知 道 的 就 是 T a p p l o c k 的 蓝 牙 M A C 地 址 ， 而 这 个 M A C 地 址 却 是 由 T a p p l o c k 广 播 出 来 的 。 我   p u b l i c   v o i d   r e g u l a r P a i r ( S t r i n g   s t r ,   b y t e [ ]   b A r r ,   b y t e [ ]   b A r r 2 )   {             b A r r   =   g e t C M D ( C M D _ P A I R I N G _ R E G U L A R ,   b A r r ,   b A r r 2 ) ;             s e n d ( s t r ,   b A r r ) ;             s t r   =   T A G ;             b A r r 2   =   n e w   S t r i n g B u i l d e r ( ) ;             b A r r 2 . a p p e n d ( " R e g u l a r   p a i r   c a l l e d ,   s e n d   " ) ;             b A r r 2 . a p p e n d ( B l u e t o o t h T o o l . b y t e T o S t r ( b A r r ) ) ;             L o g . e ( s t r ,   b A r r 2 . t o S t r i n g ( ) ) ;       } p u b l i c   s t a t i c   S t r i n g   k e y A n d S e r i a l N o ( S t r i n g   s t r ,   S t r i n g   s t r 2 )   {             s t r   =   A n d r o i d T o o l . m d 5 ( s t r . t o U p p e r C a s e ( ) ) . t o U p p e r C a s e ( ) ;             i f   ( s t r 2 . e q u a l s ( K E Y _ O N E )   {                   s t r   =   s t r . s u b s t r i n g ( 0 ,   8 ) ;             }   e l s e   i f   ( s t r 2 . e q u a l s ( K E Y _ T W O )   {                   s t r   =   s t r . s u b s t r i n g ( 8 ,   1 6 ) ;             }   e l s e   i f   ( s t r 2 . e q u a l s ( S E R I A L _ N O )   {                   s t r   =   s t r . s u b s t r i n g ( 1 6 ,   2 4 ) ;             }             r e t u r n   s t r ;       }
直 接 被 这 种 糟 糕 的 安 全 性 震 惊 了 ， 于 是 乎 ， 我 又 重 新 订 购 了 一 个 T a p p l o c k ， 并 确 认 了 T a p p l o c k 挂 锁 和 其 A P P 的 真 实 性 。 最 后 ， 我 编 写 了 一 个 攻 击 脚 本 来 扫 描 T a p p l o c k 挂 锁 并 能 实 现 解 锁 ， 用 该 脚 本 可 以 不 到 2 秒 的 时 间 就 能 解 锁 任 何 一 款 T a p p l o c k ， 完 全 不 需 要 任 何 高 深 的 知 识 和 技 巧 。 后 期 ， 我 会 将 该 脚 本 移 植 到 一 个 A n d r o i d 应 用 程 序 中 ， 使 整 个 解 锁 操 作 更 方 便 快 捷 。 总 体 来 说 ， 实 现 对 T a p p l o c k 挂 锁 的 开 锁 成 本 非 常 低 廉 。 T a p p l o c k 智 能 挂 锁 的 这 种 安 全 性 让 人 汗 颜 ， 这 种 做 法 算 是 对 消 费 者 的 不 尊 重 ， 我 也 是 无 语 了 。 物 理 安 全 性 物 理 安 全 性 T a p p l o c k 声 称 具 备 防 垫 片 功 能 ， 它 在 锁 栓 中 采 用 了 传 统 的 做 法 ， 也 就 是 在 锁 扣 中 延 伸 出 了 另 外 一 级 咬 合 口 ， 这 样 能 避 免 攻 击 者 用 垫 片 开 启 闩 锁 。 但 是 T a p p l o c k 的 咬 合 口 相 对 比 较 细 薄 ， 且 离 压 力 的 接 合 点 有 些 远 。
另 外 ， 用 一 个 1 2 寸 的 螺 栓 切 割 器 ， 不 到 1 0 秒 就 能 把 T a p p l o c k 锁 栓 搞 定 ： 漏 洞 上 报 漏 洞 上 报 作 为 一 款 智 能 挂 锁 ， T a p p l o c k   的 安 全 机 制 其 实 非 常 明 确 ， 那 就 是 避 免 攻 击 者 开 锁 。 而 锁 的 安 全 程 度 取 决 于 其 自 身 的 威 胁 模 型 设 计 ， 正 确 的 安 全 设 计 多 少 能 减 缓 攻 击 者 对 锁 的 攻 击 过 程 ， 而 且 不 会 出 现 可 被 利 用 的 安 全 纰 漏 。 而 作 为   I o T   时 代 的 智 能 挂 锁 ， T a p p l o c k 的 安 全 性 简 直 堪 忧 ， 不 出 2 秒 钟 就 能 被 开 锁 搞 定 。 但 当 我 把 这 个 问 题 反 馈 给 T a p p l o c k 官 方 之 后 ， 它 们 竟 然 回 复 我 ：
“ T h a n k s   f o r   y o u r   n o t e .   W e   a r e   w e l l   a w a r e   o f   t h e s e   n o t e s . ” 谢 谢 你 的 上 报 提 醒 ， 我 们 已 经 知 晓 了 这 些 问 题 。 啊 ， 原 来 T a p p l o c k 官 方 在 知 晓 这 些 问 题 的 同 时 ， 不 但 不 修 复 ， 而 且 还 继 续 售 卖 这 些 锁 具 ， 也 不 让 消 费 者 知 晓 。 这 完 全 有 些 让 我 震 惊 。 就 在 我 发 布 该 文 章 不 久 后 ， 网 上 又 惊 现 了 通 过   A P I   解 锁 T a p p l o c k 的 发 文 。 好 在 几 天 之 后 ， T a p p l o c k 官 方 就 此 发 声 ， 提 醒 用 户 要 及 时 更 新 手 机 A P P 和 锁 具 固 件 版 本 ， 同 时 警 告 用 户 要 小 心 某 些 攻 击 场 景 。 * 参 考 来 源 ： 参 考 来 源 ： p e n t e s t p a r t n e r ， ， c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理