KTH-student avslöjar allvarliga brister i Verisures hemlarm

[Boilerplate4U]

Eftersom det saknas detaljer om vad eller hur ni har testat utgår jag ifrån att ni har använt ett system utan aktiverad kryptering. Mig veterligen har ingen lyckats knäcka en modern enhet med dagens säkerhetsnivå förutsatt att systemet är korrekt konfigurerat med kryptering.

 

[SueCia]

"Taggen kan klonas" ja, är man så korkad att man använder säkerhetsnivå tagg utan kod så får man skylla sig själv.

 

[horusscorpion]

Hela examensarbetet går att läsa här (på engelska): https://kth.diva-portal.org/smash/get/diva2:1905936/FULLTEXT01.pdf

Edit: ser att den redan är länkad i tråden, oops

 

[pmd]

Bilen låser man när man är på väg i i butiken och har ryggen emot så man inte ser om det blinkar till eller inte.

Vem är dum, eller oförsiktig, nog att göra så?
Man får nästan skylla sig själv om det händer något obehagligt då.

 

[pmd]

"Jag är korkad nog att inte komma ihåg 4 siffror […]"

Jag har sex plastkort (ett tag var det sju) att komma ihåg koden på. Och två telefoner.

 

[pmd]

Kan banditer byta kortläsaren på en Bankomat, är nog fronten på en leksaksläsare hemma hos Svensson en baggis.

Kanske, men banditerna måste bryta sig in för att kunna installera en ny front.

 

[useless]

Vem är dum, eller oförsiktig, nog att göra så?
Man får nästan skylla sig själv om det händer något obehagligt då.

Uppenbarligen blir ju bilar stulna/länsade på grund av att folk tror att dom är låsta så det verkar funka.

 

[pmd]

Uppenbarligen blir ju bilar stulna/länsade på grund av att folk tror att dom är låsta så det verkar funka.

Det betvivlar jag inte alls. Det förefaller mig dock vara mycket oklokt, för att inte säga korkat, att inte förvissa sig någotsånär om att låset är låst.

 

[Peter787]

"Taggen kan klonas" ja, är man så korkad att man använder säkerhetsnivå tagg utan kod så får man skylla sig själv.

Fast kryptonyckeln lagrad på taggen går i vissa fall att läsa ut och då har förövaren full kontroll.
Det är otroligt osannolikt att en random Svensson råkar ut för detta, men det finns 'vanliga' människor med en hotbild som faktiskt kan bli utsatta för angreppsförsök med denna tekniken.
Om rätt myndigheter är medvetna om hotbilden, får normalt personen bättre skydd än vad Verisure kan erbjuda.

 

[Grottan]

Eftersom det saknas detaljer om vad eller hur ni har testat utgår jag ifrån att ni har använt ett system utan aktiverad kryptering. Mig veterligen har ingen lyckats knäcka en modern enhet med dagens säkerhetsnivå förutsatt att systemet är korrekt konfigurerat med kryptering.

Det man kan bli lurad av med moderna system (har stött på flera exempel där krypto-okunning personal köper systemet) och även ett Mifare kodat kort innehåller en UID sträng som går läsa ut i klartext med en kortläsare - en tydlig indikation på detta är när man haft sönder sitt kort och receptionisten/vaktmästaren/whoever tar ett blankt kort ur högen och lägger det på en läsare för att se "koden" och koppla det till individen. Då har man med all säkerhet använt klartextnyckeln (eller om dom erbjuder sig att läsa in ett random kort som t.ex ID06, SSG eller andra former av "ID kort").

Det går att använda krypteringen men det är då lite mer bök med hantering av kryptonycklar och beställning av kort så de lata leverantörerna/kunderna skippar nog ofta detta.

Men som med alla authenticeringar så bör man i dag ha 2-faktor (kort + pinkod) vilket gör även ett klonat kort ganska oanvändbart.

 

[SueCia]

Fast kryptonyckeln lagrad på taggen går i vissa fall att läsa ut och då har förövaren full kontroll.
Det är otroligt osannolikt att en random Svensson råkar ut för detta, men det finns 'vanliga' människor med en hotbild som faktiskt kan bli utsatta för angreppsförsök med denna tekniken.
Om rätt myndigheter är medvetna om hotbilden, får normalt personen bättre skydd än vad Verisure kan erbjuda.

Kryptonyckeln har ingenting med koden att göra.

 

[Peter787]

Kryptonyckeln har ingenting med koden att göra.

Det beror på vad du menar med koden.
Ska koden (pinkod) verifieras av en enhet som utnyttjar kortet för att lagra kryptonyckeln, har kryptonyckeln allt att göra med koden.

 

[SueCia]

Det beror på vad du menar med koden.
Ska koden (pinkod) verifieras av en enhet som utnyttjar kortet för att lagra kryptonyckeln, har kryptonyckeln allt att göra med koden.

Fast det är väl sällan, eller aldrig, det fungerar så i inbrottslarm?

Taggen är ett ID för taggen, pinkoden är användarens kod i larmsystemet, lagras i centralen.

 

[Peter787]

Det man kan bli lurad av med moderna system (har stött på flera exempel där krypto-okunning personal köper systemet) och även ett Mifare kodat kort innehåller en UID sträng som går läsa ut i klartext med en kortläsare - en tydlig indikation på detta är när man haft sönder sitt kort och receptionisten/vaktmästaren/whoever tar ett blankt kort ur högen och lägger det på en läsare för att se "koden" och koppla det till individen. Då har man med all säkerhet använt klartextnyckeln (eller om dom erbjuder sig att läsa in ett random kort som t.ex ID06, SSG eller andra former av "ID kort").

Det går att använda krypteringen men det är då lite mer bök med hantering av kryptonycklar och beställning av kort så de lata leverantörerna/kunderna skippar nog ofta detta.

Men som med alla authenticeringar så bör man i dag ha 2-faktor (kort + pinkod) vilket gör även ett klonat kort ganska oanvändbart.

Kanske inte så vanligt i hemlarm, men i professionella system kan man konfigurera så att UID inte kan användas för access, men UID strängen finns fortarande kvar och kan användas i andra system parallellt, så att användaren slipper ha flera kort.
I säkrare system används smartcard för identifiering, där smartcardet är en fysisk del av kryptohanteringen med en processor som genererar unika svar på förfrågan från säkerhetssystemet.

 

[lbgu]

Det förefaller mig dock vara mycket oklokt, för att inte säga korkat, att inte förvissa sig någotsånär om att låset är låst.

Går du runt bilen och känner att alla dörrar verkligen är låsta? Antar att du anser det korkat att inte försäkra sig om det.