Zamek hotelowy - zhakuj i zrób lepiej, sam.

Transkrypt

1 Zamek hotelowy - zhakuj i zrób lepiej, sam. czyli historia na temat reverse-engineeringu klamki Michał Leszczyński, Marek Klimowicz, Jarosław Jedynak

2 Geneza projektu

3 Zadanie - wysokopoziomowo Znaleźć jakiś sposób, żeby odprawiać gości apartamentów bez fizycznego wydawania im kluczy.

4 Rozwiązania? Istniejące systemy tego typu?

5 Zamki z IEEE

6 Rozwiązania? Dystrybutor kluczy/kart dostępowych? Źródło:

7 Rozwiązania? Wysyłanie kart dostępowych pocztą przed przyjazdem?

8 Rozwiązania? Rynkowa innowacja - zamki offline operujące kodami czasowymi

9 RentingLock kody dostępowe ważne kilka godzin/dni całkowicie offline pomysł podobny do Authenticatora /tokenów RSA? dodatkowo wsparcie kart zbliżeniowych

10 Kody czasowe w RentingLock

11 >>> datetime.datetime.now() - datetime.timedelta(minutes= ) datetime.datetime(2000, 1, 1, 1, 2, 12, )

12 RentingLock - kody czasowe

14 Jak mogą działać kody do klamek?

17 "Przykładowa" implementacja kod:

18 "Przykładowa" implementacja kod: interpretacja: dzień startu: dni ważności:

19 "Przykładowa" implementacja kod 1: kod 2: kod 3: kod 4:

20 "Przykładowa" implementacja kod 1: kod 2: kod 3: kod 4: 0x x x x021750

21 "Przykładowa" implementacja kod 1: kod 2: kod 3: kod 4: 0x x x x = = = =

22 RentingLock - kody czasowe :00 20:00 20:00 20:00 20:00 20: :00 22:00 23:00 00:00 01:00 02:

24 RentingLock - kody czasowe Prosta funkcja: def unoverlay(code, duration): return code ^ (duration << 16)

25 RentingLock - kody czasowe Prosta funkcja: def unoverlay(code, duration): return code ^ (duration << 16) W innej wersji klamki: def unoverlay_alt(code, duration): return (code ) ^ (duration << 16)

26 Atak przedłużenia kodu Kupujemy jeden nocleg w hotelu - Dostajemy "legalny" kod na jeden dzień - Wyliczamy kod działający 99 dni - Profit? -

27 Atak przedłużenia kodu Kupujemy jeden nocleg w hotelu - Dostajemy "legalny" kod na jeden dzień - Wyliczamy kod działający 99 dni - Profit? - Darmowe noclegi? -

28 Atak przedłużenia kodu Kupujemy jeden nocleg w hotelu - Dostajemy "legalny" kod na jeden dzień - Wyliczamy kod działający 99 dni - Profit? - Darmowe noclegi? - - Trudno wykrywalna kradzież?

29 Atak przedłużenia kodu Kupujemy jeden nocleg w hotelu - Dostajemy "legalny" kod na jeden dzień - Wyliczamy kod działający 99 dni - Profit? - Darmowe noclegi? - - Trudno wykrywalna kradzież? - Prezentacja na konferencję?

30 RentingLock - kody czasowe Prosta funkcja: const uint32_t SECRET =...; uint32_t generate_code(uint16_t start_hour, uint8_t duration) { return hash(start_hour, SECRET) ^ (duration << 16) }

31 RentingLock - kody czasowe Prosta funkcja: const uint32_t SECRET =...; uint32_t generate_code(uint16_t start_hour, uint8_t duration) { return hash(start_hour, SECRET) ^ (duration << 16) } - Samej funkcji hashującej nie zgadliśmy, ale też nie jest potrzebna do ataku. - (A gdybyśmy zgadli to i tak byśmy się nie przyznali)

32 Reakcja firmy

33 Reakcja firmy Dzień dobry, zakupiłem Państwa zamek w celu skonsultowania jego bezpieczeństwa (...). Jak widać, kody w reprezentacji binarnej różnią się zaledwie kilkoma bitami. To oznacza, że data i godzina wyjazdu są jawnie zapisane w kodzie i wyglądają na przewidywalne. W związku z tym mam obawy, że bardzo łatwo można przerobić jakiś kod dostępowy w taki sposób, aby wydłużyć jego ważność. Proszę o przedstawienie Państwa stanowiska na ten temat. Czy taki atak na RentingLock v5 jest faktycznie możliwy? Przyjazd Wyjazd Wygenerowany kod Kod w reprezentacji binarnej : :00 * : :00 * : :00 *

34 Reakcja firmy Dzień dobry Panie Michale, Klucz jest zaszyfrowanym ciągiem danych mówiących o jego ważności. Szyfrowanie odbywa się za pomocą zmiennego klucza którego wartość jest wyliczana przez funkcję mieszającą na podstawie unikalnego kodu zamka oraz daty rozpoczęcia najmu. Dodatkowym zabezpieczeniem może być aktywowanie funkcji, która blokuje zamek po 5-7 nieudanych próbach otwarcia.

35 Reakcja firmy Dzień dobry, domyślam się że funkcja mieszająca jest stosowana na dacie przyjazdu, a długość pobytu jest kodowana później za pomocą zwykłej funkcji xor. (...) Potencjalny włamywacz mógłby wynająć apartament na jeden dzień, następnie przyjść do tego samego apartamentu dwa tygodnie później i wejść za pomocą podrobionego kodu. Testowałem ten atak na fizycznym urządzeniu (...) Proszę o komentarz merytoryczny.

36 Minusy takiego rozwiązania Paranoja intuicja mówiła dobrze Outsourcowanie bezpieczeństwa do modelu SaaSowego brzmi groźnie bo Twoje bezpieczeństwo zależy od programu, którego nigdy nie zobaczysz!

37 Jest podatność, co teraz?

38 Jest podatność, co teraz? Wiemy, że tego konkretnego produktu raczej nie będziemy rekomendowali, ale weszliśmy już trochę w temat...

39 Jest podatność, co teraz? Jest na rynku drugie urządzenie z identyczną obudową, a w dodatku tańsze, tylko trzeba by zmienić firmware Teoretyczny przypadek: co jeżeli ktoś już kupił kilka takich urządzeń i chciałby zwiększyć ich bezpieczeństwo?

40 Zajrzyjmy do środka...

41 Analiza PCB

42 Cele analizy PCB zdobycie wystarczającej wiedzy pozwalającej na sterowanie komponentami wyznaczenie mapy wyprowadzeń mikrokontrolera określenie zasad sterowania poszczególnych komponentów dodatkowe elementy wykonawcze, polaryzacja sygnałów itp. umożliwienie stworzenia własnego, lepszego i znacznie bezpieczniejszego oprogramowania klamki

43 Sekcja zasilania Wstępne rozpoznanie bloki funkcjonalne znane układy - datasheet! braki w komponentach złącza z procesu produkcji programowania i/lub debug utrudnienia - silkscreen, conformal coating Układ napędu elektrozamka Detekcja karty/sygnalizacja

44 Rozpoznawanie komponentów Stabilizator (3.3V) i monitor napięcia baterii CV520 (NFC) EEPROM ATmega 164PA-AU Zegar czasu rzeczywistego

45 Identyfikacja odczytanie pełnego symbolu z obudowy układu odczytanie skróconego symbolu i lookup co on oznacza the hard way: identyfikacja funkcji i szukanie zbliżonego układu po pinoucie rebranding układów - jeden układ pod wieloma symbolami

46 Datasheety Najprostsza metoda: googlowanie po odczytanym symbolu, niekiedy na chińskich stronach

47 Połączenia między układami - reversowanie ścieżek Konieczne usunięcie wszelkiego rodzaju lakierów pokrywających PCB metoda wizualna - część połączeń ewidentnie widać sugerowanie się typical application z datasheetów testowanie ciągłości pomiędzy pinami multimetrem

48 Reversowanie ścieżek Warto zwrócić uwagę na typical application w datasheet - może akurat na PCB jest właśnie taki układ komponentów lub chociaż zbliżony?

49 Połączenia między układami Szyny komunikacji, piny przerwań i inne dodatkowe GPIO SPI (soft)

50 Połączenia między układami - pinout MF CV520

51 Połączenia między układami - pinout MF CV520

52 Hardware vs bit-bang protokołu Sprzętowe wsparcie protokołów takich jak I2C czy SPI odciąża główny program przerzucając odpowiedzialność za generowanie zegarów i transfer danych na sprzęt. Implementacja programowa kosztuje czas procesora i pamięć programu, której jest niewiele.

53 Połączenia między układami - MF CV520<>ATmega?? mikrokontroler posiada szereg dedykowanych pinów do różnych zadań kompromis łatwiejszej obsługi programowej a sprzętowej nie zawsze połączenia realizowane są zgodnie z oczekiwaniami i rozsądkiem??

54 Komunikacja z MF CV520 Wiemy jak wygląda otoczenie układu NFC i gdzie jest podpięty do mikroprocesora. Scalak NFC posiada jednak mnóstwo rejestrów konfiguracyjnych. Z chińskiego datasheeta wiemy jakie to rejestry, ale nie wiemy jak powinniśmy ich używać. Ale zacznijmy od początku...

55 Komunikacja z MF CV520 - podsłuchujemy Podlutowanie się do magistrali komunikacyjnej między mikrokontrolerem, a układem CV520 (SPI). Zoom

56 Komunikacja z MF CV520 - dump

57 Komunikacja z MF CV520

58 Komunikacja z MF CV520

59 Komunikacja z MF CV520 - parsowanie logów spi_write(reg_11_modereg, 0x3d); spi_write(reg_2d_treloadreg, 0x1e); spi_write(reg_2c_treloadreg, 0x00); spi_write(reg_2a_tmodereg, 0x8d); spi_write(reg_2b_tprescalerreg, 0x3e); spi_write(reg_15_txaskreg, 0x40); spi_read(reg_08_status2reg); spi_write(reg_08_status2reg, 0x00); spi_write(reg_0d_bitframingreg, 0x07); spi_read(reg_14_txcontrolreg); spi_write(reg_14_txcontrolreg, 0x83); spi_write(reg_02_comlenreg, 0xf7); spi_read(reg_04_comirqreg); spi_write(reg_04_comirqreg, 0x14); spi_write(reg_01_commandreg, 0x00); spi_read(reg_0a_fifolevelreg); spi_write(reg_0a_fifolevelreg, 0x80); spi_write(reg_09_fifodatareg, 0x52); spi_write(reg_01_commandreg, 0x0c); 3dh 1eh 00h 8dh 3eh 40h 00h 00h 07h 80h 83h f7h 14h 14h 00h 00h 80h 52h 0ch spi_read(reg_0d_bitframingreg); spi_write(reg_0d_bitframingreg, 0x87); polling przerwań? spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_0d_bitframingryeg); spi_write(reg_0d_bitframingreg, 0x07); spi_read(reg_06_errorreg); spi_read(reg_0a_fifolevelreg); spi_read(reg_0c_controlreg); spi_read(reg_09_fifodatareg); spi_read(reg_09_fifodatareg); 07h h h h h h h h h h h h h h h h h h h h

60 Komunikacja z MF CV520 - parsowanie logów spi_read(reg_0c_controlreg); spi_write(reg_0c_controlreg, 0x90); spi_write(reg_01_commandreg, 0x00); spi_read(reg_08_status2reg); spi_write(reg_08_status2reg, 0x00); spi_write(reg_0d_bitframingreg, 0x00); spi_read(reg_0e_collreg); spi_write(reg_0e_collreg, 0x20); spi_write(reg_02_comlenreg, 0xf7); spi_read(reg_04_comirqreg); spi_write(reg_04_comirqreg, 0x64); spi_write(reg_01_commandreg, 0x00); spi_read(reg_0a_fifolevelreg); spi_write(reg_0a_fifolevelreg, 0x80); spi_write(reg_09_fifodatareg, 0x93); spi_write(reg_09_fifodatareg, 0x20); spi_write(reg_01_commandreg, 0x0c); spi_read(reg_0d_bitframingreg); spi_write(reg_0d_bitframingreg, 0x80); spi_read(reg_04_comirqreg); 10h 90h 00h 00h 00h 00h a0h 20h f7h 64h 64h 00h 00h 80h 93h 20h 0ch 00h 80h 04h spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); 04h 04h 04h 04h 04h 44h 44h 44h 44h 44h 44h 44h 44h 44h 44h 44h 44h 44h 44h

61 Komunikacja z MF CV520 - parsowanie logów spi_read(reg_04_comirqreg); spi_read(reg_04_comirqreg); spi_read(reg_0d_bitframingreg); spi_write(reg_0d_bitframingreg, 0x00); spi_read(reg_06_errorreg); spi_read(reg_0a_fifolevelreg); spi_read(reg_0c_controlreg); spi_read(reg_09_fifodatareg); spi_read(reg_09_fifodatareg); spi_read(reg_09_fifodatareg); spi_read(reg_09_fifodatareg); spi_read(reg_09_fifodatareg); spi_read(reg_0c_controlreg); spi_write(reg_0c_controlreg, 0x90); spi_write(reg_01_commandreg, 0x00); spi_read(reg_0e_collreg); spi_write(reg_0e_collreg, 0xa0); spi_write(reg_01_commandreg, 0x0f); spi_write(reg_11_modereg, 0x3d); spi_write(reg_2d_treloadreg, 0x1e); 44h 64h 00h 00h 00h 05h 10h ceh 7eh 09h c3h 7ah 10h 90h 00h 20h a0h 0fh 3dh 1eh spi_write(reg_2c_treloadreg, 0x00); spi_write(reg_2a_tmodereg, 0x8d); spi_write(reg_2b_tprescalerreg, 0x3e); spi_write(reg_15_txaskreg, 0x40); 00h 8dh 3eh 40h

62 Komunikacja z MF CV520 - parsowanie logów Komendy zebrane w całość (zgodnie z normą ISO 14443): Polecenie: 52 (WUPA; wzbudzenie karty ) Odpowiedź: (ATQA) Polecenie: (Anticollision level 1; zapytanie karty o UID ) Odpowiedź: CE 7E 09 C3 7A (UID + BCC)

63 Otwieranie kartami - jeszcze raz Poleganie na UID karty to bardzo zły pomysł. Karty zostały zaprojektowane tak, aby nie dało się ich łatwo sklonować. Oprogramowanie producenta pozwala na to przy wykonaniu zaledwie kilku operacji.

64 Custom firmware

65 Jak to zrobić dobrze? Skoro PCB jest zreversowany, jesteśmy gotowi do napisania własnego firmware.

66 Jak (fizycznie) wgrać własny firmware?

69 Ale można to zrobić lepiej! co by nie podpinać złączki za każdym razem

70 Stos protokołów NFC

71 Android - Host Card Emulation manifests/androidmanifest.xml <?xml version="1.0" encoding="utf-8"?> <manifest xmlns:android=" package="poc.nfc.nfcpoc"> <uses-feature android:name="android.hardware.nfc.hce" android:required="true" /> <uses-permission android:name="android.permission.nfc" /> <application...>... <service android:name=".cardservice" android:exported="true" android:permission=android.permission.bind_nfc_service"> <intent-filter> <action android:name="android.nfc.cardemulation.action.host_apdu_service"/> <category android:name="android.intent.category.default"/> </intent-filter> <meta-data android:name="android.nfc.cardemulation.host_apdu_service" android:resource="@xml/aid_list"/> </service> </application> </manifest>

72 Android - Host Card Emulation res/xml/aid_list.xml <host-apdu-service xmlns:android=" android:description="@string/app_name" android:requiredeviceunlock="false"> <aid-group android:description="@string/app_name" android:category="other"> <aid-filter android:name="f0deadbeef"/> </aid-group> </host-apdu-service>

73 Android - Host Card Emulation poc/nfc/nfcpoc/cardservice.java public class CardService extends HostApduService { private static final byte[] SELECT_APDU = HexStringToByteArray("00A F0DEADBEEF00"); private static final byte[] UNKNOWN_CMD_SW = public byte[] processcommandapdu(byte[] commandapdu, Bundle extras) { if (Arrays.equals(SELECT_APDU, commandapdu)) { ByteArrayOutputStream os = new ByteArrayOutputStream(); try { os.write("hello world!".getbytes()); os.write(new byte[] {(byte)0x90, 0x00}); return os.tobytearray(); } catch (IOException e) { e.printstacktrace(); return UNKNOWN_CMD_SW; } } else { return UNKNOWN_CMD_SW; } } }

74

75 Bootloader

76 Bootloader Optiboot z obsługą NFC? ;) łatwiejszy rozwój programu aktualizacje bezpieczeństwa DLC (:D) GitHub: icedevml / avr-nfc-bootloader

77 Kody czasowe (tym razem poprawnie)

78 Kody czasowe

79 Kody czasowe Przykładowo: [" ", " "].aQLTyi50zwxSlenhitOs8n-IxBo

80 Kody czasowe Przykładowo:

81 Kody czasowe Enkodowanie daty ts(date) -> timestamp / 3600 Przykładowo: ts( ) -> (uint16)

82 Kody czasowe SipHash jest szybki i produkuje 64 bitowy hash. (ts( ), ts( ), signature) Przykładowo: (17744, 17748, )

83 Kody czasowe Przykładowo: (17744, 4, )

84 Kody czasowe Limitujemy długość pobytu do 64 dni i stosujemy modulo. Przykładowo: (16, 4, 2011) ->

85 Kody czasowe Ta część kodu ( metadane ) nie będzie wyglądała losowo w analizie różnicowej. Rozwiązanie? Wyprowadzić klucz szyfrujący z drugiej części. key = siphash(signature) % 4096 metadata ^= key Przykładowo: ((16, 4) ^ key, 2011) ->

86 Kody czasowe W jednym momencie będzie tyle aktywnych kodów: n (1, 64] n = = / 108 = 0,0021%

87 Kody czasowe Szansa na trafienie właściwego podpisu: 1 / = 0,0041%

88 Kody czasowe Implementowalne w praktyce na bardzo wolnych mikrokontrolerach Np. ATmega 1 MHz

89 Podsumowanie

90 Kwestie etyczne Aby wgrać własny firmware do klamki i tak trzeba ją kupić, więc producent nadal otrzymuje tyle samo pieniędzy. Użycie customowego firmware przerzuca na nas odpowiedzialność za jego poprawność. Ostrożnie napisany i zewnętrznie audytowany kod zapewnia znacznie wyższy poziom bezpieczeństwa.

91 Q&A Dziękujemy za uwagę! Kontakt do nas: - ml@icedev.pl - neoneq911@gmail.com - msm@tailcall.net Podziękowania dla: - pwn.m0d3 - oryginalny zleceniodawca GitHub: icedevml / avr-nfc-bootloader