搜索

[9095] 2015-07-03_车真的那么容易偷吗？汽车无线钥匙通信安全的一点科普

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-07-03_车真的那么容易偷吗？汽车无线钥匙通信安全的一点科普 车 真 的 那 么 容 易 偷 吗 ？ 汽 车 无 线 钥 匙 通 信 安 全 的 一 点 科 普 F r e e B u f   2 0 1 5 - 0 7 - 0 3 微 信 号 ： 微 信 号 ： f r e e b u f 不 久 前 在 不 久 前 在 H a c k P W N 的 启 动 仪 式 上 ， 安 全 人 员 仅 用 的 启 动 仪 式 上 ， 安 全 人 员 仅 用 2 分 钟 就 通 过 无 线 钥 匙 破 解 了 一 辆 奔 驰 汽 车 ， 看 起 来 黑 客 要 偷 走 一 分 钟 就 通 过 无 线 钥 匙 破 解 了 一 辆 奔 驰 汽 车 ， 看 起 来 黑 客 要 偷 走 一 辆 汽 车 很 容 易 。 真 的 这 么 简 单 吗 ？ 作 为 无 线 安 全 研 究 者 ， 在 这 里 给 大 家 做 一 点 简 单 的 汽 车 无 线 钥 匙 通 信 安 全 的 科 辆 汽 车 很 容 易 。 真 的 这 么 简 单 吗 ？ 作 为 无 线 安 全 研 究 者 ， 在 这 里 给 大 家 做 一 点 简 单 的 汽 车 无 线 钥 匙 通 信 安 全 的 科 普 。 普 。 先 从 汽 车 无 线 钥 匙 的 先 从 汽 车 无 线 钥 匙 的 “ 信 号 信 号 ” 长 什 么 样 说 起 吧 ？ 长 什 么 样 说 起 吧 ？ 常 见 的 汽 车 无 线 钥 匙 一 般 工 作 在 两 个 频 点 ， 3 1 5 M H z 和 4 3 3 M H z 。 调 制 方 式 比 较 常 见 的 有 两 种 ， A S K 和 F S K 。 复 杂 一 点 的 有 双 频 点 F S K ， 还 见 过 多 频 点 A S K 的 。 可 以 用 俗 称 电 视 棒 的 一 种 小 硬 件 来 观 察 汽 车 钥 匙 的 无 线 信 号 。 在 网 络 上 搜 索 “ R T L S D R ” , ” 电 视 棒 ” ， 就 可 以 找 到 。 它 本 来 是 用 来 插 在 电 脑 上 ， 收 看 电 视 节 目 的 。 大 概 5 0 块 钱 就 可 以 买 到 。 把 它 接 上 天 线 ， 然 后 插 到 电 脑 上 ， 使 用 一 些 观 察 频 谱 的 软 件 就 可 以 看 到 ， 比 如 ： -   H D S D R   ( h t t p : / / w w w . h d s d r . d e / ) -   S D R #   ( h t t p : / / s d r s h a r p . c o m / ) -   G q r x   ( h t t p : / / g q r x . d k / ) 把 频 点 设 在 汽 车 钥 匙 使 用 的 频 点 上 ， 就 可 以 看 到 像 下 图 这 样 的 频 谱 。
这 是 一 辆 奔 驰 车 的 钥 匙 信 号 频 谱 。 频 段 是 4 3 3 M H z 。 中 心 频 点 是 4 3 3 . 9 6 M H z 。 这 是 一 辆 奥 迪 车 钥 匙 的 信 号 。 从 图 中 可 以 看 出 ， 信 号 的 频 段 是 3 1 5 M H z 频 段 。 中 心 频 点 是 3 1 5 . 0 4 M H z 。 这 里 使 用 的 软 件 是 H D S D R 。 我 们 将 这 段 信 号 存 为 波 形 文 件 。 使 用 音 频 分 析 软 件 打 开 波 形 文 件 。
这 就 是 一 次 按 键 发 出 的 信 号 。 有 两 段 信 号 。 如 果 按 的 时 间 长 一 点 ， 就 会 是 这 样 。 出 现 好 几 段 信 号 。 按 下 的 时 间 内 ， 钥 匙 持 续 发 出 一 段 一 段 的 信 号 。 这 里 面 的 每 一 段 信 号 都 是 一 样 的 ， 重 复 发 送 。 我 们 来 仔 细 看 一 下 每 一 段 信 号 的 样 子 。 把 信 号 放 大 展 开 ， 可 以 看 到 每 一 段 信 号 ， 前 面 部 分 是 一 些 重 复 的 脉 冲 ， 就 叫 它 同 步 引 导 序 列 吧 ， 它 用 来 提 示 接 收 机 有 信 号 即 将 到 来 ， 还 可 以 获 得 时 钟 信 息 。 后 面 的 部 分 是 有 效 的 数 据 。 我 们 把 一 次 按 键 的 两 段 信 号 拖 到 一 起 ， 比 较 一 下 。 可 以 看 到 是 完 全 一 样 的 。 如 果 把 两 次 按 键 的 信 号 放 在 一 起 比 较 。 可 以 发 现 ， 两 个 信 号 是 不 一 样 的 。 也 就 是 说 汽 车 钥 匙 每 次 按 键 ， 发 射 的 信 号 是 不 一 样 的 。
这 就 是 大 名 鼎 鼎 的 “ 滚 动 码 ” ， “ R o l l i n g   c o d e ” 。 滚 动 码 的 原 理 大 致 是 这 样 滴 ： 滚 动 码 的 原 理 大 致 是 这 样 滴 ： 1 . 滚 动 码 是 一 个 周 期 很 长 的 伪 随 机 码 。 例 如 有 2 4 0 。 意 思 就 是 码 的 长 度 有 4 0 个 b i t 。 现 在 大 部 分 车 钥 匙 的 码 长 都 比 4 0 b i t 长 。 2 . 车 钥 匙 里 存 有 当 前 的 滚 动 码 。 当 车 钥 匙 按 下 时 ， 滚 动 码 加 上 功 能 码 （ 比 如 是 开 锁 ， 解 锁 ， 还 是 开 后 备 箱 ） 一 起 发 送 给 汽 车 。 3 . 汽 车 也 存 有 当 前 的 滚 动 码 。 当 它 收 到 同 样 的 滚 动 码 时 ， 它 就 执 行 相 应 的 开 锁 之 类 的 操 作 。 如 果 收 到 的 码 不 匹 配 ， 它 就 不 做 任 何 动 作 。 4 . 车 钥 匙 和 汽 车 里 的 滚 动 码 是 保 持 同 步 的 。 5 . 当 车 钥 匙 距 离 车 很 远 的 时 候 ， 有 人 不 小 心 按 了 几 次 车 钥 匙 ， 车 钥 匙 的 随 机 码 就 会 前 进 好 几 步 。 此 时 跟 车 内 的 码 就 不 同 步 了 。 为 了 解 决 这 个 问 题 ， 汽 车 允 许 接 收 当 前 码 之 后 的 （ 比 如 ） 几 百 个 码 。 只 要 车 钥 匙 发 送 的 码 在 这 个 窗 口 之 内 ， 汽 车 都 认 为 是 有 效 的 。 6 . 如 果 车 钥 匙 被 误 按 超 过 设 定 的 几 百 次 ， 那 么 车 钥 匙 和 车 就 彻 底 失 去 同 步 了 。 这 时 ， 需 要 查 找 汽 车 的 使 用 手 册 ， 找 到 恢 复 同 步 的 方 法 了 。 从 上 面 这 个 原 理 可 以 看 出 来 ， 如 果 我 们 能 得 到 汽 车 当 前 滚 动 码 “ 之 后 ” 的 一 个 码 ， 只 要 在 窗 口 之 内 ， 就 可 以 把 车 打 开 。 怎 样 才 能 得 到 一 个 有 效 的 ， 未 被 使 用 的 码 呢 ？ 比 较 简 单 的 方 法 是 这 样 的 ： 录 制 一 段 信 号 ， 然 后 到 汽 车 那 边 去 播 放 。
或 者 是 ， 一 边 录 ， 一 边 播 … … 不 管 怎 样 都 需 要 接 触 到 车 钥 匙 ， 所 以 这 并 不 是 那 么 容 易 的 事 情 啊 。 录 音 工 具 呢 ， 有 很 多 种 ， 用 前 面 讲 到 的 电 视 棒 就 可 以 了 。 播 放 工 具 呢 ， 也 有 很 多 种 ， 比 如 r f c a t 再 比 如 ， 使 用 T I 的 C 1 1 1 1 自 己 做 一 个 R F 收 发 分 析 器 ， 比 如 U n i c o r n T e a m 做 的 下 面 这 个 东 西 （ 增 加 了 P A 和 S M A ）
那 有 没 有 不 需 要 接 触 钥 匙 ， 就 能 得 到 一 个 有 效 码 的 方 法 呢 ？ 当 然 也 是 有 的 ， 那 就 是 一 些 高 级 方 法 了 。 下 面 进 入 密 码 学 的 学 术 领 域 当 然 也 是 有 的 ， 那 就 是 一 些 高 级 方 法 了 。 下 面 进 入 密 码 学 的 学 术 领 域 … … 这 个 链 接 是 2 0 0 7 年 以 色 列 和 比 利 时 的 几 个 研 究 者 ， 找 到 的 一 种 破 解 滚 动 码 的 方 法 。 它 需 要 先 花 大 约 一 个 小 时 的 时 间 对 钥 匙 进 行 6 5 5 3 6 次 试 探 ， 解 出 6 4 b i t 中 的 3 6 个 b i t ， 然 后 再 花 几 秒 钟 就 可 以 完 全 破 解 钥 匙 的 滚 动 码 。 完 全 破 解 的 意 思 就 是 ， 这 个 伪 随 机 码 的 全 部 规 律 都 已 经 被 破 解 了 ， 可 以 知 道 下 一 个 码 是 什 么 。 在 实 践 中 ， 它 需 要 用 相 应 的 芯 片 （ 也 就 是 汽 车 端 配 对 的 芯 片 ） 伪 造 一 个 t r a n s p o n d e r   a n d   e n c o d e r ， 让 它 工 作 在 I F F （ I D E N T I F Y F R I E N D   O R   F O E ） 模 式 ， 对 车 钥 匙 发 出 试 探 信 号 ( c h a l l e n g e ) ， 车 钥 匙 发 回 一 个 r e s p o n s e 。 车 钥 匙 每 产 生 一 次 r e s p o n s e 需 要 6 0 m s 或 9 0 m s 。 因 此 ， 收 集 6 5 5 3 6 个 c h a l l e n g e / r e s p o n s e 消 息 对 ， 需 要 6 5 或 者 9 8 分 钟 的 时 间 。 而 且 ， 车 钥 匙 能 够 支 持 I F F 模 式 的 距 离 是 多 远 呢 ？ 应 该 是 非 常 近 的 距 离 。 所 以 场 景 差 不 多 是 这 样 滴 ： 2 0 0 8 年 ， 德 国 鲁 尔 大 学 的 几 个 研 究 者 使 用 了 s i d e - c h a n n e l   a t t a c k （ 中 文 有 翻 译 为 ， 旁 路 攻 击 ， 也 有 叫 边 信 道 攻 击 ） 的 方 法 ， 通 过 分 析 解 码 控 制 器 的 功 耗 来 解 出 K e e L o q 密 码 。 因 为 控 制 器 在 做 不 同 运 算 时 消 耗 的 功 率 是 不 一 样 的 。 通 过 测 量 控 制 器 的 功 耗 ， 结 合 K e e L o q 的 算 法 ， 这 种 算 法 基 本 上 是 很 成 熟 和 固 定 的 ， 可 以 推 导 出 控 制 器 中 存 储 的 密 钥 是 什 么 。 他 们 的 研 究 成 果 ， 把 破 解 K e e L o q 密 码 的 时 间 缩 短 到 了 几 秒 钟 。
看 起 来 这 个 方 法 是 最 牛 最 高 效 的 了 。 但 是 你 仍 然 要 接 触 到 钥 匙 ， 还 要 懂 得 怎 么 测 量 控 制 器 的 功 耗 ， 能 分 析 出 啥 时 候 在 算 乘 法 啥 时 候 在 算 加 法 … … 估 计 全 世 界 懂 这 个 技 术 的 人 也 不 多 了 。 所 以 ！ 开 车 门 也 不 是 那 么 容 易 的 。 实 践 中 ， 小 偷 们 的 开 门 方 法 其 实 是 这 样 的 。 以 上 说 的 都 是 通 过 钥 匙 的 无 线 信 号 解 锁 的 方 法 。 现 在 的 车 越 来 越 智 能 ， 出 现 了 用 蓝 牙 连 接 ， 用 手 机 A P P 通 过 蜂 窝 网 络 连 接 ， 等 等 各 种 新 的 开 车 的 方 法 。 就 不 在 本 文 讨 论 的 范 畴 了 。 一 个 系 统 越 复 杂 ， 可 能 出 现 的 漏 洞 就 越 多 。 另 外 ， 开 关 车 门 和 发 动 汽 车 又 是 两 码 事 ， 分 别 有 两 个 系 统 管 理 。 所 以 即 使 打 开 了 门 ， 也 很 难 把 车 开 走 。 你 以 为 扯 出 两 根 电 线 短 路 一 下 就 能 发 动 汽 车 吗 ？ 那 都 是 电 视 剧 ！ H a c k ， 这 个 词 有 拆 开 来 ， 钻 进 去 ， 看 看 里 面 究 竟 是 怎 么 回 事 ， 这 样 的 意 思 。 所 以 我 们 常 常 说 破 解 X X ， 未 必 是 有 漏 洞 能 利 用 ， 也 有 分 析 内 部 原 理 的 意 思 。 * 作 者 ： 3 6 0 U n i c o r n T e a m （ 团 队 账 号 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理