Tysk bilistforening tester nøglefri biler: 230 ud af 237 kan let stjæles

Hvor sikre er nøglebrikker overhovedet? Vi har netop i vores bebyggelse haft en sag, hvor vores fælles vaskeri, som er låst med nøglebrik, som også anvendes til afregning af benyttet vask og tørretumbling, af et par kvikke knægte blev låst op med Rejsekortet - ved Gud! Firmaet bag havde "glemt" at teste, om det nu kun var den relevante nøglebrik, der kunne låse døren op!

Så gad vide, hvor mange steder, døre der er låst med nøglechips/kort/brik, som faktisk kan låses op med alt muligt andet? Forhåbentligt ikke alt for mange ministerier/rådhuse/banker....

Der ser ud til at være én, som synes, at det er helt i orden, at man kan låse et privat vaskeri op med rejsekortet :-)

Hvor sikre er nøglebrikker overhovedet?

De alm. RFID brikker er overhovedet ikke sikre! Deres største fordel er at de er billige og nemme at bruge.
En RFID brik (det gælder i øvrigt også Rejsekortet) sender bare sit nummer når den bliver aktiveret af læseren nogle gange står det nummer bare trykt på brikken, det nummer kan uden videre overføres til en skrivbar brik som dog er noget dyrere.

Det er heller ikke helt ukendt at adgangskort i virksomheder kun anvender kortets ID nummer til at give adgang eller at frie "slots" i kortet efterlades ubenyttet, hvilket kan åbne for et side-channel angreb...

Tak for svar - det er jo til grin at kalde det en nøgle, så.

Jeg savner bare handling. Det er rigtigt godt der kommer focus på sikkerheden ved systemer. Sikkerheden i RFID i vaskerum finder jeg måske ikke så vigtig, men det lyder mest af alt som et dårligt system som ikke er blevet testet ordenligt og dem som har lavet det har været dovne og ikke tjekker imod hele uuid'et. Sagen er man ofte får, hvad man betaler for eller bliver snydt.

Jeg er ikke overbevist om FDM har ret i at måden du låser din bil på kan sikre dig imod relay af din bilnøgles signal. Hvis du har en BMW, Mercedes eller en bil af tilsvarende klasse er det en god idé at beskytte ens nøgle imod aflæsning fra distance.

Det er så også lidt old news, det er længe siden BBC, måske et år siden at dette har været oppe og de testede det på 160 biler, med et lignede resultat.

Tag bare sølvpapirs hatten på, den sender du har til at åbne garageporten, det signal kan oftest nemt kopieres, men hvis tyven er doven har han bygget en sender med 8 radioer som i løbet af 30 sekunder kan sende langt støreste delen af koderne til åbning for både 315/433 og 868 MHz

Opbevaring nøglen i en gammel slukket microovn (tænk i de baner) eller tænker en brobizz "pung" også var en test værd. Test det, gå ud til din bil med nøglen pakket ind og se om du kan låse bilen op og starte. Tænk bare på at tyvende har en antenne som kan læse nøglen fra lang afstand.

En på et forum skrev - tænkt engang hvis nogen havde lavet - ja fx et stykke metal i en form som skulle sættes i et hul hvor man kun kunne dreje det hvis metallet havde den helt korrekte form. Hvortil en anden svarede - det slår aldrig igennem.

Kan du bevise din bil er blevet stjålet med pågældende metode - er det ikke bare dig selv der har efterladt bilen et sted? For dem som sælger bilerne kunne man fristes til at sige det er win/win - yes sølvpapirshatten er stadig på. Bliver bilen stjålet bliver der sandsynligvis solgt en ny.

Det er vores opgave som købere/brugere af biler at forlange det gøres sværere for tyve at stjæle bilerne.

Selvfølgeligt er det er kæmpe problem at billeverandører over hele kloden har implementeret et låsesystem som er så nemt at omgå og som er svært at beskytte sig mod. Det er et problem fordi låsen beskytter noget af høj værdi (bilen). Derfor vil forbrydere være villige til at gå langt for at omgå låsen.

Beskyttelsen af et fælles vaskerum behøver derimod ikke være specielt avanceret. Der er meget lidt at rende med i sådan et rum. Men derfor skal leverandøren selvfølgeligt sikre at kun de valgte låsebrikker kan åbne døren.

Men implementeret rigtigt vil et NFC baseret låsesystem være mere sikkert end en traditionel mekanisk lås. Hvis man samtidigt putter en "push button" på NFC brikken - sådan at den kun virker når knappen er nedtrykket - så har vi et ganske sikkert trådløst system. Meget mere sikkert end stort set alle traditionelle låse. En PIN kode gør også underværker.

...det er jo til grin at kalde det en nøgle, så.

Mnja, en nøgle kan jo også kopieres...

Beskyttelsen af et fælles vaskerum behøver derimod ikke være specielt avanceret. Der er meget lidt at rende med i sådan et rum.

En lille industrivaskemaskine koster 25000 så prøv igen med at der ikke er noget at komme efter, desuden er problemet også at briksystemet blev brugt til afregningen af vask - altså som betlingsmiddel.

Mnja, en nøgle kan jo også kopieres...

Tak for svar, Maziej Szeliga. Og ja, det kan den da. Men Rejsekortet var jo altså brugsklart lige ud af lommen. I mine øjne bekymrende - især hvis det faktisk er generelt for den type låse, at sikkerheden er meget dårlig. Det ved jeg så ikke, om det er, eller om vi bare har været uheldige.

Det er rigtigt, at det ikke er rigets sikkerhed, der er på spil i vores vaskeri, og i bebyggelsen har man også mest moret sig over sagen, som afstedkom en del muntre bemærkninger på hjemmesiden (gansek fantasifuld af drengene, som angiveligt brugte vaskeriet til at hygge sig i i regnvejr) - altså samtidig med, at man selvfølgelig har sørget for at få rettet fejlen (mon nøglebrikken så virker til rejsekortstanderne også :-)). Men er det en risiko, man generelt er opmærksom på, eller kan man frygte, at noget lignende kunne ske andre steder, hvor der er betydeligt mere på spil?

Michael Cederberg:

Men implementeret rigtigt vil et NFC baseret låsesystem være mere sikkert end en traditionel mekanisk lås. Hvis man samtidigt putter en "push button" på NFC brikken - sådan at den kun virker når knappen er nedtrykket - så har vi et ganske sikkert trådløst system. Meget mere sikkert end stort set alle traditionelle låse. En PIN kode gør også underværker

Tak for svar. Har du nogen fornemmelse af, om det typisk er sådan, man implementerer denne type låse? Er man, f.eks. i det offentlige, opmærksomme nok på, at denne type låse ikke er sikre, med mindre der kommer disse ekstra lag på? Eller kunne der her være tale om endnu en sikkerhedsrisiko ift. vore persondata - at sikkerheden omkring den fysiske adgang til lokaliteterne måske ikke er god nok, fordi man overvurderer effektiviteten af disse slåse, og undervurderer, hvad der kræves for at gøre dem sikre?

Men Rejsekortet var jo altså brugsklart lige ud af lommen. I mine øjne bekymrende - især hvis det faktisk er generelt for den type låse, at sikkerheden er meget dårlig. Det ved jeg så ikke, om det er, eller om vi bare har været uheldige.

Rejsekortet var brugsklart fordi nummeret det sendte matchede nummeret på en brik systemet kendte. Nummeret svarer i det tilfælde til mønstret på en alm. nøgle. En brik som matcher et aktivt Rejsekortnummer ville kunne bruges som Rejsekort - lige indtil en kontrollør kom.
Det kan selvf. også være at låsen blev aktiveret af alle brikker af samme type (der er vist kun 3~4 frekvenser) - bare for at gøre adgangen nem - efter devisen "det er der sgu ingen der opdager for dem som kommer for at vaske skal alligevel bruge en registreret brik for at afregne" - altså en brik registreret i afregningssystemet.

Tak for uddybning, Maziej. Som jeg forstår det, var der altså tale om et sandsynligtvis uheldigt sammenfald af lås og rejsekort?

Men implementeret rigtigt vil et NFC baseret låsesystem være mere sikkert end en traditionel mekanisk lås.

Et grundlæggende problem her er, at man erstatter noget, som visuelt kan inspiceres med noget, som er meget mere kompliceret og tæt på fuldkommen ugennemskueligt. Så kompliceret, at jeg faktisk ikke vil blive spor overrasket, hvis leverandørerne selv tror at deres ragelse er super-sikkert.

En nødvendig, men ikke tilstrækkelig, betingelse for at vi skal kunne tro på disse låse gizmos er, at man ikke prøver at køre security-through-obscurity, og skjuler detaljerne bag NDAs og forretningshemmeligheder. Det meste bør kunne beskrives helt åbent, og resten underkastes uvildig revision og certificering. Men desværre er som om at man generelt mener at når der er tale om IT og sikkerhed, så er "hand-wavy" og ugennemskuelige løsninger tilstrækkelige.

PS: Medmindre altså at adgangskontrollen ikke behøver mere sikkerhed end de farvede papirlapper man tidligere så som "billetter" til halbal o.lign. - så fortsætter vi bare som hidtil.

Et grundlæggende problem her er, at man erstatter noget, som visuelt kan inspiceres med noget, som er meget mere kompliceret og tæt på fuldkommen ugennemskueligt.

God pointe, Bjarne Nielsen.

Reglen er vel at et system altid er sikker nok til at den gennemsnitlige forbruger ikke klager. Så hvis du kan starte bilen med en ispind, så går den ikke. Alt andet er sikker nok.

Hvis vi nu skriver, at kineserne kan låse alle biller op. Så kan det være at regeringer begynder at forlange sikkerhed på NFC lignende enheder. Men det sker nok ikke.

Indtil da må vi købe en bil med nøgle i kredit kort form, så den passer i de der skærmede kreditkort punge man kan købe alle steder.

Men køber en bil, som låses elektronisk - nøglebrik.
Så låser men den, så den alligevel ikke er låst, og så kan man endelig ved at gøre det rigtigt låse bilen, så den ikke kan åbnes med diverse relæbokse. Er der nogen der ikke har læst manualerne?

"Hvis du er utryg ved brugen af den nøglefri funktion til bilen, kan du vælge at låse din bil ''manuelt'̈́'. Det vil sige, at du klikker på nøglens lås for at låse efter dig. Bruger du den funktion, kan bilen ikke stjæles ved den omtalte metode."

Det er noget vrøvl. Jeg har en bil som kan åbnes nøglefrit. Den kan fint låses op nøglefrit selvom jeg har låst den med knappen på nøglen.

Indførelsen af ratlåsen og de andre forbedringer af sikkerheden i biler har gjort at vi kun har ganske få dødsfald per år som skyldes biltyve. Sådan har det ikke altid været. Vi kan håbe at nutidens teenagere har for travlt på nettet til at køre dødsræs i stjålne biler, men det er dumt at give dem muligheden.

Tak for uddybning, Maziej. Som jeg forstår det, var der altså tale om et sandsynligtvis uheldigt sammenfald af lås og rejsekort?

Ja, fordi der ikke er noget garanti for at nummeret er unikt.
Det burde have været løst med at producenterne lavede et samarbejde og hver producent havde et fast prefix som det er med MAC-adresser på netværkskort men så ville brikkerne være dyrere.