Sicherheitslücke Funkfernbedienung vom Schlüssel durch einen Replay-Angriff

Sein Eigenheim schützt man „selbstverständlich“ gegen einen Einbruch. Das gilt meiner Meinung nach natürlich auch fürs Wohnmobil und hierbei muss das „mobile Eigenheim“ auch gegen einen Diebstahl geschützt werden. Natürlich trifft auch hier wie so oft die Aussage zu, „wer reinkommen will, der kommt auch rein“ und somit müssen die zu ergreifenden Schutzmechanismen, immer im Kosten-Nutzen-Verhältnis stehen.

Von teuren und großen Zusatzschlössern am Reisemobil halte ich persönlich nicht viel. Meine bis jetzt ergriffenen Maßnahmen bestehen aus einer günstigen GMS Alarmanlage, mit der alle Fenster und Türen überwacht werden. Gegen das recht einfache Aufbrechen der Fahrertür habe ich mit den Schutzwinkel PRICK STOP eingebaut. Aber neben dem Aufbrechen des Fahrzeugs, welches selten vollständig lautlos passiert, gibt es auch die Möglichkeit, das Signal der Fernbedienung mit einem Replay-Angriff zu manipulieren. Dadurch kann man das Fahrzeug so öffnen, als wenn man den Schlüssel bzw. die Funkfernbedienung besitzen würde.

Dieses Problem betrifft nahezu alle Basisfahrzeuge, nämlich den Fiat Ducato ab Baujahr 2006, sowie Citroën Jumper, Peugeot Boxer und den Iveco Daily. Zwar würde meine Alarmanlage bei einem erfolgreichen Replay-Angriff, also beim Öffnen der Türen anschlagen, weil sie auch nicht über die Zentralverriegelung angeschlossen und somit immer noch scharf ist, aber es gibt Wege einen Angriff zu verhindert.

Ein Replay-Angriff (Angriff durch Wiedereinspielung) ist eine kryptoanalytische Angriffsform auf die Authentizität von Daten in einem Kommunikationsprotokoll. Hierbei sendet der Angreifer zuvor aufgezeichnete Daten, um etwa eine fremde Identität vorzutäuschen. Beim Wohnmobil bedeutet dieses Folgendes: Man öffnet und verschließt sein Fahrzeug mit der Funkfernbedienung, so wie man das Halt macht. Dabei werden Funksignale mit verschlüsselten Codes vom Funkschlüssel an das Fahrzeug übermittelt. Stimmt dieser Verschlüsselungscode überein, gibt das Fahrzeugsystem die Zentralverriegelung frei. Klingt ja alles erstmal recht sicher, ist es nur leider nicht.

Diese Übertragung kann nämlich in einem Umkreis von etwa 50 Metern, mit speziellen Empfangsgeräten mitgeschnitten und gespeichert werden. Mit diesen Daten kann dann das notwendige Öffnungssignal später wieder abgespielt werden. Dadurch kann das Fahrzeug ohne Gewalteinwirkung in wenigen Sekunden geöffnet und sogar auch wieder verschlossen werden. So als wenn ein Einbruch nie stattgefunden hätte und ohne dementsprechende Beweise, wird es gegenüber der Versicherung sehr schwer, einen entstandenen Schaden, also den Einbruch überhaupt nachzuweisen.

Auch wachsame Nachbarn auf dem Stellplatz, würden kaum etwas davon bemerken bzw. keinen Verdacht schöpfen, wenn ein Fahrzeug offensichtlich ganz normal mit der Fernbedienung geöffnet wurde. In dem folgenden Video sieht man in wenigen Sekunden, wie ein solcher Angriff in der Realität ablaufen kann.

Wie kann man sich gegen einen Replay-Angriff schützen?

Natürlich kann man als radikale Gegenmaßnahme jetzt das Fahrzeug nur noch mit dem Schlüssel manuell Ver- und entriegeln, aber das kann für mich keine Lösung sein.

Eine Lösung kommt aus Kiel von der Firma Thitronik GmbH und hört auf den Namen safe.lock Modul. Hierbei wird das Modul an die Zentralelektronik (CAN-Bus) angeschlossen und die unsichere Originalelektronik des Fahrzeugschlüssels gegen die mitgelieferte Platine ausgetauscht und das Fahrzeug kann, geschützt durch ca. 4 Mrd. sich ändernde Codes, sicher Ver- und entriegelt werden.

Bildquelle: Thitronik GmbH

Die Austauschplatine für den originalen Funkschlüssel ist Teil des Lieferumfanges und ersetzt dann die Original Platine im Gehäuse. Zur Nutzung des umgerüsteten Fahrzeugschlüssels muss abschließend aber noch ein Schlüsseldienst (Zusatzkosten) zum Kopieren des Wegfahrsperren-Transponders aufgesucht werden. Die Platine wird in das Gehäuse des originalen Schlüssels in die dafür vorgesehene Vertiefung eingelegt. Das Fahrzeug kann nun sicher mit dem Fahrzeugsschlüssel und dem Thitronik Funk-Handsender (Optional) bedient werden.

Die Kosten halten sich auch in Grenzen. Um die 150,00€ kostet das safe.lock Modul und das Kopieren des Transponders für Wegfahrsperre im Funkschlüssel um die 50,00€. Das kann man bei einem KFZ Schlüsseldienst oder in einer Autowerkstatt machen lassen, denn auch diese besitzen häufig Geräte wie ein VCDS (Vag Com Diagnose System). Wer möchte, investiert noch 60,00€ für den zusätzliche Handsender. Der Einbau kann anhand der Anleitung auch selber erfolgen, oder durch eine Werkstatt.

Mit dem umgerüsteten Fahrzeugschlüssel kann man das Fahrzeug wie gewohnt bedienen. Eine Ausnahme bildet aber der Schlüssel mit drei Tasten. Ein getrenntes Entriegeln des Laderaumes ist technisch nicht möglich. Beide Entriegelungstaster entriegeln also das gesamte Fahrzeug. Die Standby-Stromaufnahme beträgt übrigens nur ca. 6,5mA bei 12V.