Na niezłomną smartkłódkę nie trzeba łomu: wystarczy skrypt albo śrubokręt

Do czego służy kłódka to wie chyba każdy, ale przypomnijmy.To mechaniczne urządzenie kontroli dostępu, które spina ze sobąelementy zamykające – skobel i wrzeciądz – na drzwiach czypokrywach. W obudowie kłódki mieści się mechanizm zamkowy,osadzony jest też ruchomy pałąk, stanowiący część obręczytworzonej przez kłódkę. Skuteczność kłódki zależy od dwóchczynników: jakości zamka oraz wytrzymałości obudowy i pałąka. Itak jest przynajmniej od dwóch tysięcy lat, kiedy to pierwszekłódki powstały niezależnie od siebie w Europie i Chinach.

Ludzie stojący za projektem Tapp wpadli na pomysł, aby tęsprawdzoną od tysiącleci konstrukcję „nieco” unowocześnić.Zamiast klucza czy kodu ustawianego na bębnowym mechanizmie, chcieliwykorzystać czytnik linii papilarnych oraz sterowanie zamkiem przezBluetooth ze smartfona z aplikacją mobilną. Kłódka miałabykosztować 66 dolarów, a na sfinansowanie jej produkcji ogłoszonozbiórkę w serwisie IndieGoGo. Pełen sukces – w kilka miesięcytechnofetyszyści wyłożyli 320 tysięcy dolarów.

Kiedy jednak przyszedł wrzesień 2016 roku, sponsorzy nie dostaliniczego. Startup schował głowę pod piasek, przestał odpowiadaćna e-maile i zniknął z sieci społecznościowych. Kolejny skok nakasę? Nie do końca. W styczniu 2017 wynalazcy znów się odezwali,ogromnie przeprosili za brak komunikacji, winę zwalili na byłychpracowników i problemy z produkcją w Chinach – prototyp miał niebyć zgodny z procesami produkcji stosowanymi w fabrykach Shenzhen,trzeba było odtworzyć cały projekt na nowo, wydano na to więcejniż zebrane 320 tys. dolarów. Obiecano też, że niebawem Tapplockwejdzie na rynek, a sponsorzy będą otrzymywali zamówione kłódkiw partiach po 500-1000 sztuk, równocześnie ze sprzedażą dlanowych klientów. Na czymś w końcu firma musiała zarobić, by miećna bieżące wydatki.

Po długim wyczekiwaniu, finalny Tapplock trafił do pierwszychsponsorów. Bardzo szybko odkryli oni, że długo wyczekiwanasmartkłódka jest żałosną porażką, obciążoną czteremafatalnymi błędami konstrukcyjnymi. Dwa z nich dotyczą mechaniki,dwa z nich oprogramowania. Oto one:

Kłódka Tapplock jest lekka, ładna i podobno wytrzymała.Podobno, ponieważ wykonano ją nie ze stali, jak początkowozapowiadano, lecz z cynkowego stopu Zamak 3 (u nas znanego jakoZnal). Robi się z tego stopu różne precyzyjne odlewy, np. zawiasyi uchwyty do mebli. To połączenie cynku, aluminium i miedzi, zdodatkami manganu, magnezu i tytanu formuje się bardzo wygodnie, alecóż, nie jest to za mocne. Przykładowo wytrzymałość Zamaku 3 narozciąganie to 268 MPa, podczas gdy stali nierdzewnej 860 MPa.

Innymi słowy – nawet dziecko z łomem czy nożycami do cięciastali taką kłódkę sforsuje,

Po co jednak łom? Wystarczy śrubokręt. YoutuberJerryRigEverything jako pierwszy odkryłkomiczny wręcz feler w zabezpieczeniach kłódki. Wystarczy zwykłyśrubokręt Philipsa by ją rozkręcić, zdjęcie tylnego paneluzajmuje to może 30 sekund. Po rozkręceniu otworzenie zamka jestsprawą trywialną.

Producent twierdzi, że w środku jest metalowy zatrzask, którymiałby uniemożliwić odkręcenie tylnego panelu. Podobnoyoutuberowi wpadł w ręce uszkodzony egzemplarz, w którym zatrzasknie zadziałał. OK, cóż za nieszczęśliwy zbieg okoliczności. Wkażdym razie producent zapowiedział, ze dopilnuje działaniazatrzasku, wymieni kłódki wszystkim, którzy mogli je rozkręcić,zmieni też śruby na takie z patentowym grotem. Czy to sugerowanie,że nie mamy w swoich piwnicach wszystkich możliwych śrubokrętów?

Czas na problemy z oprogramowaniem. Andrew „cybergibbon”Tierney jako pierwszy przeprowadził testypenetracyjne cyberkłódki. Zajęło mu niecałą godzinęznalezienie sposobu na zdalne otwarcie każdego Tapplocka na świecie.Okazuje się bowiem, że kłódka rozgłasza swój adres MAC poprotokole Bluetooth, jednocześnie wykorzystując ten adres dowyliczenia klucza wykorzystywanego do zdalnego sterowania. Jakwylicza? Robi skrót MD5. Poważnie – pierwsze osiem znaków idziena klucz, ostatnie na numer seryjny. Napisany przez Tierneya skryptotwiera bezprzewodowo Tapplocka w niecałe dwie sekundy.

Producent zareagował przygotowaniem łatki do firmware, która*rozwiązuje podatności w Bluetooth/komunikacji, mogące daćnieupoważnionym użytkownikom nielegalny dostęp.*Ręce opadają na taką bezczelność.

Drugi badacz, Vangelis Stykas, zainteresowałsię API Tapplocka. Okazało się, że końcówki nie majążadnych zabezpieczeń, za wyjątkiem sprawdzenia poprawnościtokenu. Innymi słowy każdy, kto założy konto w usłudzeinternetowej i uzyska login, będzie mógł w ten sposób zdalnieotworzyć każdą taką smartkłódkę na świecie.

Token zresztą może być przez każdego przejęty, połączenienawet nie używa HTTPS. Później, jak wykazał Stykas, trywialnejest zmodyfikowanie informacji w kontach użytkowników. Nawet kontawspomnianego wcześniej badacza– grecki haker dodał siebie doautoryzowanych użytkowników kłódki Tierneya w ciągu kilku minut,mógł też zobaczyć jego nazwisko i adres.

Reakcja producenta? Wyłączono API.

Internet Rzeczy to bezwstydny gwałt na zasadzie KISS: Keep ItSimple, Stupid. Wpycha się mikrokontrolery gdzie popadnie, na nichuruchamia się oprogramowanie pisane przez projektantów aplikacjimobilnych po 6-tygodniowych wieczorowych kursach marksizmu-leninizmuJavy – bez solidnego wykształcenia informatycznego (nie mówiącjuż o doświadczeniu z zakresu kryptografii i cyberbezpieczeństwa).Niebezpieczna smartkłódka to tylko początek zalewu świata groźnymcyberszmelcem.

A maszyna marketingowa swoje robi, z billboardów (oczywiścieinteligentnych) będą nam producenci zachwalali kolejnesmart-produkty. Słupki muszą się przecież zgadzać, obecnagospodarka nie potrafi działać w sposób zrównoważony. Sprzedażmusi rosnąć. Sprzedaż czegokolwiek.