Jianyuan Lab
發(fā)布時間：2023-12-01 作者：上海工業(yè)控制安全創(chuàng)新科技有限公司 點擊次數(shù)：次
作者 | 張璇 上?？匕部尚跑浖?chuàng)新研究院工控網(wǎng)絡安全組
來源 | 鑒源實驗室
社群 | 添加微信號“TICPShanghai”加入“上?？匕?1fusa安全社區(qū)”
引言：隨著現(xiàn)代汽車技術(shù)的迅速發(fā)展，車輛的進入和啟動方式經(jīng)歷了顯著的演變。傳統(tǒng)的物理鑰匙逐漸被無鑰匙進入和啟動系統(tǒng)（Passive Keyless Entry and Start，PKES）所取代，這一系統(tǒng)允許車主在保持車鑰匙在口袋中的情況下，輕松地進入并啟動車輛。PKES系統(tǒng)通過使用射頻識別技術(shù)和先進的通信協(xié)議，為用戶提供了極大的便利性，然而，隨著PKES系統(tǒng)的普及，其安全性也逐漸受到關注，這不僅僅關系到財產(chǎn)安全，更涉及到駕駛者和乘客的生命安全。在這一背景下，對PKES系統(tǒng)的安全性進行深入的研究變得至關重要。
01
PKES系統(tǒng)安全研究
2018年，比利時魯汶大學安全團隊揭示了特斯拉PKES系統(tǒng)中的CVE-2018-16806漏洞，成功破解了DST40加密算法，僅用數(shù)秒就復制了特斯拉Model S鑰匙，并最終成功盜走了車輛。
2019年，該團隊在亞特蘭大的Cryptographic Hardware and Embedded Systems conference（CHES）上宣布，在特斯拉修復了漏洞后，他們?nèi)阅軌蛟俅螐椭栖囪€匙。盡管這次破解工作需要更近的距離和更長的時間，但特斯拉Model S被盜事件引發(fā)了對Passive Keyless Entry系統(tǒng)安全性的廣泛關注。
2020年，一名黑客成功為特斯拉汽車開發(fā)了一種新的密鑰克隆“中繼攻擊”，并在特斯拉Model X電動汽車上進行了演示。特斯拉得知了這一新的攻擊，并計劃推出新的補丁。在北美，特斯拉汽車被盜相當罕見。但在歐洲，一些老練的竊賊通過“中繼攻擊”盜竊了不少特斯拉汽車，其中大多數(shù)都沒有被找回。
2022年，安全研究人員通過中繼攻擊成功黑客攻擊了特斯拉Model 3和Y，可以有效地解鎖并啟動這些車輛。
近年來，安全人員一直專注于特斯拉的PKES系統(tǒng)的安全研究，揭示了該系統(tǒng)存在許多安全漏洞[1,2,3,4]。
02
攻擊案例分析
2.1 攻擊案例介紹
2019年發(fā)生的特斯拉Model S被盜事件引發(fā)了對PKES系統(tǒng)安全性的廣泛關注（圖1）。在英國的博勒姆伍德地區(qū)，兩名小偷在沒有鑰匙的情況下，使用中繼攻擊設備成功盜取了特斯拉Model S，整個過程僅用時30秒。盜竊者使用的中繼攻擊工具并不昂貴，且便于攜帶。值得注意的是，這一過程并未涉及破解鑰匙與車輛認證算法等機制。中繼設備的作用僅限于采集車鑰匙發(fā)送的信號，而非篡改信號內(nèi)容，也未涉及解密和破壞通信協(xié)議的過程。
圖1 特斯拉被盜事件
2.2 案例分析
2.2.1 研究對象
首次提出PKES的設想可追溯到[5]。在這項研究中，作者提出了一種系統(tǒng)，當攜帶鑰匙的用戶靠近車輛時，系統(tǒng)會自動解鎖車輛，并在用戶遠離車輛時將其鎖定。該系統(tǒng)之所以被稱為“被動”，是因為它無需用戶采取任何主動措施。鑰匙與車輛之間的通信特點是通過磁耦合的射頻信號完成的。在這一系統(tǒng)中，車輛通過判斷鑰匙是否在汽車的通信范圍內(nèi)來確定其是否在近距離內(nèi)。
PKES汽車鑰匙采用低頻射頻識別技術(shù)（LF RFID，Low-Frequency Radio-Frequency Identification）進行短距離通信（在主動模式下為1-2米，在被動模式下為幾厘米），并使用全功能超高頻（UHF，Ultra High Frequency）收發(fā)器進行較長距離通信（在10到100米的范圍內(nèi)）。LF信道用于檢測鑰匙是否在汽車內(nèi)外的區(qū)域內(nèi)。圖2顯示了必須檢測以確保PKES系統(tǒng)安全和方便使用的汽車附近區(qū)域。這些區(qū)域包括：
1）與汽車外部較遠距離（通常高達100米），只允許通過按下鑰匙上的按鈕來開啟/關閉汽車。
2）在汽車外部，但距離車門把手約1-2米，允許通過使用車門把手來開啟/關閉汽車。
3）在汽車內(nèi)部，允許啟動引擎。
圖2 PKES系統(tǒng)LF覆蓋范圍
圖3顯示了正常模式下汽車開鎖的兩個示例實現(xiàn)。汽車通過LF信道定期發(fā)送信標，或者在操作車門把手時發(fā)送信標。這些信標可以是簡短的喚醒消息，也可以是包含汽車標識的較長的挑戰(zhàn)消息。當鑰匙檢測到LF信道上的信號時，它喚醒微控制器，解調(diào)信號。在計算出對挑戰(zhàn)的響應后，鑰匙通過UHF信道回復。該響應被汽車接收并驗證。在有效響應的情況下，汽車解鎖車門。隨后，為了啟動汽車引擎，鑰匙必須位于汽車內(nèi)（圖2中的Inside區(qū)域）。在這個區(qū)域，鑰匙接收到不同類型的消息，當回復這些消息時，將通知汽車正確的鑰匙就在車內(nèi)，汽車然后才被允許啟動引擎。
圖3 PKES系統(tǒng)兩種實現(xiàn)方式
2.2.2 PKES中繼攻擊分析
在上述的PKES安全案例中，主要采用了中繼攻擊的手段，該方式廣泛應用于通信系統(tǒng)的滲透攻擊[6]。中繼存在兩種方式，一種是基于電纜的中繼攻擊，另一種是空中中繼攻擊。
1）電纜中繼攻擊
為了執(zhí)行這種攻擊，可以使用一種中繼設備（如圖4），該設備由兩個環(huán)形天線連接在一起的電纜組成，該電纜在這兩個天線之間中繼LF信號。中間可以放置一個放大器以提高信號功率。當環(huán)形天線靠近車門把手時，它捕獲汽車信標信號作為局部磁場。這個場激發(fā)了中繼的第一個天線，它通過感應在天線的輸出處產(chǎn)生了交替信號。然后，這個電信號通過同軸電纜傳輸，通過一個可選的放大器傳達到第二個天線。是否需要放大器取決于諸多參數(shù)，如天線的質(zhì)量，電纜的長度，原始信號的強度以及中繼天線距離汽車天線的距離。當中繼信號達到電纜的第二個天線時，它在天線中產(chǎn)生電流，進而在第二個天線的附近產(chǎn)生磁場。最后，這個磁場激發(fā)了鑰匙的天線，后者解調(diào)了這個信號并從汽車中恢復了原始消息。汽車將從外部天線向鑰匙發(fā)送開啟命令，從內(nèi)部天線發(fā)送啟動命令。因此，攻擊者首先需要將中繼天線放置在車門把手前，以便鑰匙發(fā)送開啟信號。一旦車門解鎖，攻擊者將中繼天線帶入汽車內(nèi)，并在踩剎車踏板或按下啟動引擎按鈕后，汽車將向鑰匙發(fā)送啟動消息。在這兩種情況下，鑰匙都會通過UHF回應。
圖4 PKES系統(tǒng)兩種實現(xiàn)方式
2）空中中繼攻擊
通過電纜進行中繼可能會不方便或引起懷疑。例如，墻壁或門的存在可能會阻止它。因此，可以實現(xiàn)一個在空中進行的物理層中繼攻擊，通過專門構(gòu)建的RF鏈路中繼LF信號（如圖5）。該鏈路由發(fā)射機和接收機兩部分組成。發(fā)射機捕獲LF信號并將其升頻到2.5 GHz。獲得的2.5 GHz信號然后被放大并通過空氣傳輸。鏈路的接收器部分接收此信號并將其降頻以獲得原始的LF信號。然后再次放大此LF信號并發(fā)送到一個環(huán)形LF天線，該天線復制了汽車發(fā)射的信號。打開和啟動汽車引擎的過程與上述討論相同。
另外，由于模擬處理信號通常比數(shù)字處理更為迅速，使用模擬實現(xiàn)的中繼攻擊使攻擊者能夠在保持攻擊的大小、功耗和價格非常低的同時，達到更大的傳輸/接收中繼距離。
圖5 通過升頻和降頻在空中中繼LF（130KHz）信號的簡化視圖
2.2.3 攻擊步驟分析
在上述的案例中，偷竊者通過中繼攻擊設備，在不擁有實際鑰匙的情況下，成功實施了對特斯拉Model S的盜竊。攻擊過程包括以下幾個關鍵步驟：
1）尋找信號：小偷利用中繼設備在目標房屋周圍尋找和靠近特斯拉的鑰匙信號。
2）信號放大：采用上述的方法，通過中繼設備識別并放大車鑰匙和特斯拉之間的通信信號。
3）誤導特斯拉Model S：通過中繼LF信號欺騙特斯拉，使其誤以為鑰匙就在附近，從而解鎖車門、啟動車輛。
整個攻擊過程并不牽涉到破解鑰匙與車輛認證算法等機制。中繼設備的作用僅在于收集車鑰匙發(fā)送的信號，而不是篡改信號內(nèi)容，也沒有解密或破壞通信協(xié)議。偷竊者使用的工具并不昂貴，同時發(fā)動這類攻擊并不需要較高的專業(yè)知識。
03
總結(jié)
本文研究了汽車PKES系統(tǒng)的安全性，通過實際的案例，研究了PKES中繼攻擊的原理和方法。該方法不需要解碼信號，也不需要修改信號內(nèi)容，僅引入了模擬的RF組件的典型延遲，該攻擊強調(diào)了物理層安全的重要性，與針對身份驗證或消息機密性的安全協(xié)議的攻擊相互獨立，為加強和理解PKES系統(tǒng)安全性提供了新的視角。中繼攻擊只是PKES系統(tǒng)攻擊方法中常用的一種，隨著PKES系統(tǒng)在汽車領域的廣泛應用，安全研究人員需要不斷關注新的攻擊方式和漏洞，并提出更多創(chuàng)新性的解決方案，以滿足不斷演變的安全挑戰(zhàn)，以確保這一關鍵技術(shù)的可靠性和穩(wěn)定性。
參考文獻：
[1] S. Indesteege, N. Keller, O. Dunkelman, E. Biham, and B. Preneel. A practical attack on KeeLoq. In Proc. of the 27th Annual Eurocrypt Conference, pages 1–18, Berlin, Heidelberg, 2008. Springer-Verlag.
[2] C. Paar, T. Eisenbarth, M. Kasper, T. Kasper, and A. Moradi. KeeLoq and side-channel analysis-evolution of an attack. Fault Diagnosis and Tolerance in Cryptography, Workshop on, 0:65–69, 2009.
[3] N. T. Courtois, G. V. Bard, and D. Wagner. Algebraic and slide attacks on KeeLoq. In Fast Software Encryption: 15th International Workshop, FSE 2008, Lausanne, Switzerland,
February 10-13, 2008, Revised Selected Papers, pages 97–115, Berlin, Heidelberg, 2008. Springer-Verlag.
[4] S. C. Bono, M. Green, A. Stubblefield, A. Juels, A. D. Rubin, and M. Szydlo. Security analysis of a cryptographically enabled RFID device. In Proc. of the 14th USENIX Security Symposium, Berkeley, USA, 2005. USENIX Association.
[5]T. Waraksa, K. Fraley, R. Kiefer, D. Douglas, and L. Gilbert. Passive keyless entry system. US patent 4942393, 1990.
[6] G. P. Hancke, K. Mayes, and K. Markantonakis. Confidence in smart token proximity: Relay attacks revisited. Computers & Security, 28(7):615–627, 2009.
