Onderzoekers kraken beveiliging Bluetooth-sloten
De beveiliging van veel Bluetooth-sloten laat ernstig te wensen over, waardoor ongeautoriseerde gebruikers ze zonder problemen kunnen openen, maar fabrikanten kan het niet veel schelen. Dat hebben onderzoekers Anthony Rose en Ben Ramsey tijdens de Def Con conferentie in Las Vegas laten weten.
De onderzoekers wisten 12 van de 16 Bluetooth-sloten die ze onderzochten (pdf) op afstand te openen. Het gaat om sloten van Quicklock, iBlulock, Plantraco, Ceomate, Elecycle, Vians, Okidokey en Mesh Motion. In de sloten ontdekten ze verschillende kwetsbaarheden die soms zeer eenvoudig waren uit te buiten. Rose en Ramsey waarschuwden de fabrikanten. "Maar het blijkt dat fabrikanten het helemaal niets kan schelen", zegt Rose. "We hebben twaalf fabrikanten gewaarschuwd. Slechts één reageerde en die liet weten van het probleem op de hoogte te zijn, maar was niet van plan het op te lossen."
De problemen liggen niet in het Bluetooth Low Energy-protocol waar de sloten gebruik van maken, maar in de manier waarop het wordt geïmplementeerd, of in de bijbehorende smartphone-app. Vier sloten versturen het wachtwoord onversleuteld naar de gebruiker. Iedereen in de buurt met een Bluetooth-sniffer van 100 dollar kan zo het wachtwoord onderscheppen om vervolgens het slot te openen, aldus Tom's Guide.
Een andere fabrikant bleek wel encryptie te gebruiken. Het was echter mogelijk dit versleutelde wachtwoord op te vangen en vervolgens naar het slot door te sturen, waardoor het slot alsnog open ging. Volgens Rose vinden fabrikanten fysieke robuustheid belangrijker dan draadloze veiligheid. Eigenaren van dergelijke sloten krijgen dan ook het advies Bluetooth op hun smartphone uit te schakelen als het niet wordt gebruikt, om zo de kans dat gegevens worden onderschept te verkleinen.
Prachtig hoe je dit koppelt aan 'Windows' gebruikers...
Kijk, iedereen is het er over eens dat dit gewoon erg slecht is. Maar van de andere kant, hoe veilig zijn de sloten die al 30 jaar in menig voordeur zitten? Die boor- en trek je er ook binnen 10 seconden uit.
Kijk dus naar de functie van die deur: zit die binnenshuis op je wijnkelder of op een groot bedrijfspand? In het laatste geval zou ik andere sloten en beslag laten plaatsten dan op de wijnkelder.
In dat opzicht vind ik het (eenvoudig) hacken + stelen van auto's van een ton (o.a. Jeep) veel kwalijker dan het hacken van een goedkoop slot.
Verzekeringen stellen niet zulke hoge eisen blijkt in de praktijk. Navraag bij mijn huis-tuin-en-keuken inboelverzekering leerde mij "U dient voor uw woning deugdelijk hang- en sluitwerk te hebben geïnstalleerd. Er zijn geen specifieke eisen waarin uw sloten moet voldoen." Ik denk dat als jij in goed vertrouwen een (dure) bluetooth cilinder hebt gekocht en op normale wijze is geïnstalleerd in je deur, dat dit valt onder "deugdelijk".
Ook het hebben van inbraaksporen is helemaal geen vereiste (althans bij 95% van de verzekeringen) voordat er uitgekeerd wordt. Insluiping kan immers ook voorkomen, of bijvoorbeeld inbraak dmv bump keys. Ik heb deze vraag ook eens gesteld, vanwege een werkster in huis (een situatie waar je immers je huissleutels vrijwillig weggeeft), daarop kreeg ik het volgende: "Wij hebben het nagevraagt (sic) bij de schade-afdeling en ook insluiping valt onder de dekking van diefstal. Alleen als u bijvoorbeeld uw sieraden open en bloot op een tafel legt als de hulp komt schoonmaken, en ze worden gestolen, dan zien wij dit als merkelijke schuld en zal en geen uitkering plaatsvinden."
De voorwaarden spreken dus over "merkelijke schuld", maar dat is denk ik maar in een paar hele overduidelijke gevallen door hun hard te maken, dus zal in de praktijk wederom weinig voorkomen...
http://vrom.bouwbesluit.com/Inhoud/docs/wet/bb2012_nvt/artikelsgewijs/hfd2/afd2-15
http://vrom.bouwbesluit.com/Inhoud/docs/wet/bb2012_nvt/artikelsgewijs/hfd2/afd2-15
Maar dat bouwbesluit geldt natuurlijk alleen voor nieuwe panden. Wat als je in een oude woning woont? Of wat als de bewoner zelf zijn cilinders vervangt?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
