image

"Niet te hacken" bluetooth-slot kwetsbaar voor replay-aanvallen

vrijdag 11 september 2020, 10:35 door Redactie, 11 reacties

Een bluetooth-slot dat via een Kickstarter-campagne op de markt is gekomen en volgens de ontwikkelaars niet is te hacken, is kwetsbaar voor replay-aanvallen waardoor een aanvaller het slot kan openen. Dat blijkt uit onderzoek van securitybedrijf Pen Test Partners.

Het gaat om 360Lock, volgens de ontwikkelaars de eerste "Modular Smart Padlock Certified by Blockchain". Het slot is te openen via RFID/NFC-tags of -armbanden en een smartphone-app. Zo kan een eigenaar op afstand het slot openen, bijvoorbeeld in het geval van een huurappartement. De 360Lock kan ook van een behuizing worden voorzien voor het opbergen van spullen, zoals sleutels.

Bij de aankondiging op Kickstarter claimden de ontwikkelaars dat het slot volledig "hacking proof" is. Beveiligingsonderzoeker David Logde besloot deze claim te testen. Lodge ontdekte dat onderschept verkeer tussen het slot en de gebruiker, die het slot opent, opnieuw is af te spelen. Daardoor kan een aanvaller het slot eenvoudig openen. Daarnaast blijkt dat ook de passcode die de gebruiker verstuurt voor het openen van het slot is te onderscheppen, merkte Lodge op.

Ook als het om de fysieke beveiliging gaat schiet de 360Lock te kort. De behuizing om sleutels en dergelijke in op te bergen is niet echt sterk en blijkt eenvoudig met een hamer te openen. Ook de fietsketting waarmee het slot is te gebruiken blijkt niet bestand tegen een hamer. Lodge vraagt zich dan ook af hoe alle gevonden beveiligingsproblemen door de ontwikkelaars over het hoofd zijn gezien. Afsluitend geeft de onderzoeker het advies om het slot niet aan te schaffen.

Image

Reacties (11)
11-09-2020, 11:19 door Anoniem
Nogal dom om dat te roepen. Dan roep je het zelf over je af.
Alles is te hacken. Het ligt er alleen aan of je een noob of skilled hacker aan je slot hebt hangen.
11-09-2020, 11:23 door Anoniem
Bedrijven die aangeven dat hun producten "niet te hacken zijn", "military-grade encryption" gebruiken of meer van dat soort marketing-achtige kreten hanteren: 99 van de 100 keer is het snake-oil. Het gaat bij Kickstarter om het binnenharken van geld, niet om realistische claims te maken over je project. Mensen in de security-wereld weten dat. Mensen die vooral geïnteresseerd zijn in een leuke ROI op hun investering of in gadgets weten dat niet.
11-09-2020, 11:38 door Anoniem
Voor de techies, kijk eens naar "HackRF One"
11-09-2020, 13:05 door Anoniem
Lodge vraagt zich dan ook af hoe alle gevonden beveiligingsproblemen door de ontwikkelaars over het hoofd zijn gezien.
Ik vraag me eerder af of het niet de bedoeling was dat de beveiligingsproblemen door de kopers over het hoofd zouden worden gezien.
11-09-2020, 14:40 door Anoniem
ach de clue voor BS zat em al in het gebruik van het woord blockchain.
11-09-2020, 18:53 door Anoniem
Door Anoniem: ach de clue voor BS zat em al in het gebruik van het woord blockchain.
Ik vermoed dat dit product door Rian van Rijbroek is ontwikkeld.
11-09-2020, 19:36 door Anoniem
Ik ben zelf gediplomeerde beveiliger en heb 14 jaar actieve dienst achter mijn kiezen, maar het eerste wat je in onze branche tegenkomt en leert is, dat 100% beveiliging niet bestaat (100% privacy trouwens ook niet). Zelfs de allerbeste bankkluizen van recente datum zijn door een kwaadwillende operator open te breken, mits men maar genoeg tijd en middelen krijgt.

Daarom moet je altijd wantrouwig worden als er dergelijke 100% claims je om de oren vliegen.
Wat té mooi is om waar te zijn, is meestal ook niet waar.
12-09-2020, 17:39 door [Account Verwijderd]
Bij de aankondiging op Kickstarter claimden de ontwikkelaars dat het slot volledig "hacking proof" is.

Die bedrijven worden er niet slimmer op. Pas geleden had je nog zo'n security bedrijf dat meende uit de versienummers te kunnen afleiden of geïnstalleerde software kwetsbaar is. Stelletje nitwits :-(
13-09-2020, 14:29 door Anoniem
De wereels wil nog steeds bedrogen worden. toch?

J.O.
13-09-2020, 17:30 door Anoniem
Door Toje Fos:
Bij de aankondiging op Kickstarter claimden de ontwikkelaars dat het slot volledig "hacking proof" is.

Die bedrijven worden er niet slimmer op. Pas geleden had je nog zo'n security bedrijf dat meende uit de versienummers te kunnen afleiden of geïnstalleerde software kwetsbaar is. Stelletje nitwits :-(

Hint : Je kunt uit de reclame claim niet afleiden of het bedrijf iets gelooft of niet.
Je kunt hooguit concluderen dat ze denken dat hun _klanten_ dat graag horen.

'nobody ever went broke underestimating the intelligence of the American people'
13-09-2020, 21:47 door Anoniem
Door Anoniem: Voor de techies, kijk eens naar "HackRF One"

Zou een Bluetooth BLE USB dongle CSR85 kopen voor een dollar of 5 en in een Android phone
Settings, Developer options t, Enable Bluetooth HCI snoop logging aanzetten en spelen met het product.
vervolgens de file in Wireshark dumpen en met BlueZ en de dongel gebruiken als aanval.

Scheelt weer een paar 100 euro en BLE met een HackRF One hacken lijkt mij nog al omslachtig?
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.