Onderzoekers kraken via bluetooth te openen wapenkluis
Onderzoekers zijn erin geslaagd om een populaire via bluetooth te openen wapenkluis te kraken. Het gaat om de Vaultek VT20i, een draagbare kluis voor de opslag van wapens. De kluis kan via bluetooth en een smartphone-app op afstand worden geopend. Onderzoekers van Two Six Labs ontdekten verschillende kwetsbaarheden waardoor het mogelijk was om de kluis op afstand te kraken.
Het eerste probleem is dat de Android-app geen limiet stelt aan het aantal pairing-pogingen met de kluis. De pairing-pincode is daarnaast hetzelfde als de pincode voor het openen van de kluis. Hierdoor kan een aanvaller via een bruteforce-aanval de gedeelde pincode achterhalen. Verder is er geen versleutelde verbinding tussen de Android-app en kluis. Na het pairen via bluetooth wordt de pincode van de kluis door de app onversleuteld verstuurd.
Een andere kwetsbaarheid maakt het mogelijk voor een aanvaller om de kluis op afstand te openen door een speciaal geformatteerd bluetooth-bericht te versturen, zonder kennis van de pincode. De Android-app vereist een geldige pincode om de kluis te bedienen en er is in het autorisatieverzoek dat naar de kluis wordt gestuurd ook een invoerveld om een pincode op te geven. De kluis blijkt de pincode alleen niet te verifiëren. Elke opgegeven pincode wordt dan ook geaccepteerd. De fabrikant werd op 6 oktober ingelicht en liet Two Six Labs op 7 november weten dat het de kluizen van verbeterde bluetooth-beveiliging heeft voorzien en de optie voor het openen van de kluis via bluetooth uit te schakelen.
Reacties (14)
08-12-2017, 11:00 door
-karma4
Door Anoniem: Geniaal! Een wapenkluis "beveiligen" met Bluetooth! Hahaha
Ja en? Wat is daar mis mee? Je moet het alleen wel goed doen.
Door The FOSS:
Ja en? Wat is daar mis mee? Je moet het alleen wel goed doen.
Door Anoniem: Geniaal! Een wapenkluis "beveiligen" met Bluetooth! Hahaha
Ja en? Wat is daar mis mee? Je moet het alleen wel goed doen.
Nou je moet fysiek aanwezig zijn bij en kluis om er dingen en te stoppen of uit te halen. Een bluetooth interface heeft dus beperkt nut en je vergroot het aanvalsoppervlak, je introdueceert fouten etc.
Bluetooth omdat het kan, niet omdat het moet, is geen goede strategie, zeker niet voor een wapenkluis
08-12-2017, 11:35 door
-karma4
Door Anoniem:
Nou je moet fysiek aanwezig zijn bij en kluis om er dingen en te stoppen of uit te halen.
Door The FOSS:
Ja en? Wat is daar mis mee? Je moet het alleen wel goed doen.
Door Anoniem: Geniaal! Een wapenkluis "beveiligen" met Bluetooth! Hahaha
Ja en? Wat is daar mis mee? Je moet het alleen wel goed doen.
Nou je moet fysiek aanwezig zijn bij en kluis om er dingen en te stoppen of uit te halen.
Dat valt onder het je moet het goed doen.
Door The FOSS:
Dat valt onder het je moet het goed doen.
Dat valt onder het je moet het goed doen.
Communisme werkt ook als je het goed doet. In de praktijk blijkt echter dat fouten steevast tot problemen leiden en dat die fouten blijkbaar praktisch onmogelijk te vermijden zijn. Dingen die op papier zouden moeten werken doen dat in de praktijk lang niet altijd.
Dat valt onder het je moet het goed doen.
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
08-12-2017, 12:49 door
SPer
Een draagbare wapenkluis ? , ik zou dat ding onder mijn arm meenemen (als ik geintereseerd was in de inhoud) en thuis op mijn gemakje het juiste aanvalswapen uitzoeken (snijbrander , zaag boor bluetooth etc.) om deze te openen. als je namelijk de kluis kan openen en er iets uit kan halen schijn je ergens te staan waar je dat ongehinderd kan doen. Dus meenemen lijkt me ook geen rocket science.
Wat is het doel van het onderzoek .......
Wat is het doel van het onderzoek .......
08-12-2017, 12:53 door
-karma4
Door Anoniem:
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Dat valt onder het je moet het goed doen.
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Een keuze om draadloos of fysiek een signaal tot openen aan een slot te geven is een afweging. Beide keuzes hebben hun eigen voordelen en zwakten. Als je de fantasie ontbreekt om voor beide vormen deze voor en tegens te zien dan kan je maar beter geen wapenkluis hebben en js misschien maar beter niet met beveiliging bezig houden.
Door SPer: Een draagbare wapenkluis ? , ik zou dat ding onder mijn arm meenemen (als ik geintereseerd was in de inhoud) en thuis op mijn gemakje het juiste aanvalswapen uitzoeken (snijbrander , zaag boor bluetooth etc.) om deze te openen. als je namelijk de kluis kan openen en er iets uit kan halen schijn je ergens te staan waar je dat ongehinderd kan doen. Dus meenemen lijkt me ook geen rocket science.
"Think of the children !" .
In dit geval zou dat een terechte reden zijn , ook met een frummel slot kan little Johnny niet spelen met gevaarlijke dingen.
Een eventuele (betrapte) gelegenheidsdief heeft niet meteen een gebruiksklaar vuurwapen in handen .
Voldoen aan mogelijke wetgeving (state, county ) dat vuurwapens altijd afgesloten opgeborgen moeten zijn.
Niet geschikt voor elk denkbaar scenario wil niet zeggen helemaal nergens geschikt voor.
Wat is het doel van het onderzoek .......
Nogal veel security research is puntjes en zichtbaarheid scoren voor de researcher, en "wapenkluis kraken" maakt een grotere headline dan "deurbel van de buren laten overgaan" , ook al is de bluetooth module wellicht dezelfde .
Dit is net als met elkaar 'appen' (wat een rotwoord overigens) op praatafstand.
Je kunt ook gewoon menselijk converseren.
Het is als een berichtje sturen naar de buurman, terwijl je hem over de heg kan aanspreken.
Dom imitatiegedrag leidt tot dit alles, m.a.w. voorgeprogrammeerde domheid in het kwadraat.
"Denken met twee duimen, in plaats van de grijze massa hersencellen gebruiken".
Je kunt ook gewoon menselijk converseren.
Het is als een berichtje sturen naar de buurman, terwijl je hem over de heg kan aanspreken.
Dom imitatiegedrag leidt tot dit alles, m.a.w. voorgeprogrammeerde domheid in het kwadraat.
"Denken met twee duimen, in plaats van de grijze massa hersencellen gebruiken".
Door The FOSS:
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Euri's. Door Anoniem:
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Dat valt onder het je moet het goed doen.
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Voor de fabrikant is brakke chips met brakke sofware een stuk goedkoper dan een echte sleutel en een echt slot.
Door Anoniem:
Voor de fabrikant is brakke chips met brakke sofware een stuk goedkoper dan een echte sleutel en een echt slot.
Door The FOSS:
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Euri's. Door Anoniem:
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Dat valt onder het je moet het goed doen.
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Voor de fabrikant is brakke chips met brakke sofware een stuk goedkoper dan een echte sleutel en een echt slot.
1 Euro, 2 of meer Euro's.
Euri of Euri's bestaan niet.
Door Anoniem:
Voor de fabrikant is brakke chips met brakke sofware een stuk goedkoper dan een echte sleutel en een echt slot.
Door The FOSS:
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Euri's. Door Anoniem:
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Dat valt onder het je moet het goed doen.
Maar wat is nou de meerwaarde van de kluis open kunnen doen middels bluetooth ? Wil je daar echt een app voor hebben ? Ik zie het nut niet echt. Het goed doen, impliceert dat dat je een app moet maken om de kluis, waar je naast staat, open te kunnen maken ?
Minder bewegende delen (geen toetsenbordje om een code op in te kloppen). Geen aparte sleutel nodig (gewoon dezelfde telefoon waarbij je internetbankiert, draadloos betaalt, je laat wekken (wekkerfunctie), niet verdwaalt (GPS), TV kijkt, telefoneert).
Voor de fabrikant is brakke chips met brakke sofware een stuk goedkoper dan een echte sleutel en een echt slot.
Waarom denk je dat een budget fabrikant 'echte sloten' zou gebruiken ? Ook mechanische sloten heb je in de ultra budget variant - en die zijn natuurlijk ook crap qua veiligheid (en levensduur) . Daar kunnen beginnende lockpickers (mechanische hackers) hun publiciteitsmomentje mee scoren.
Rondlopen als een concierge met een pond aan metalen tokens blijft irritant. Ik vind het heel erg logisch dat er vraag is naar een manier om je fysieke toegangstokens te beperken, en dan is "iets op je telefoon" heel erg logisch. Bluetooth is er een makkelijk interface naar.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
