Neuer "smarter" Schließzylinder - was haltet ihr davon?

Zerstörungsfreie Schlossöffnung, Fragen zu den verschiedenen Werkzeugen und freier Informationsaustausch zum Thema Lockpicking

Moderatoren: Crocheteur, Retak, Mr. Smith

  • Beitrag 26. Jan 2020 04:24

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

mhmh hat geschrieben:
Piel hat geschrieben:Kryptographie nützt Dir aber nichts wenn der Angreifer ähnlich wie bei Fahrzeugen den Schlüssel quasi "verlängert".

Dieses „Verlängern“ ist nur dann eine Gefahr, wenn man die totale Bequemlichkeit will und keine Benutzerinteraktion am Schlüssel beim Aufschließen will.
Wenn man zum Aufschließen eine App öffnen und etwas antippen muss, hat ein Angreifer nichts, das er verlängern könnte.

Eben nicht. Die Interaktion mit der App ist eben kein zuverlässiger Schutz. Die Benutzerinteraktion am Schlüssel ist überhaupt kein Schutz.
Piel
Unkündbar
Unkündbar
 

  • Beitrag 26. Jan 2020 05:14

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

Piel hat geschrieben:Eben nicht. Die Interaktion mit der App ist eben kein zuverlässiger Schutz. Die Benutzerinteraktion am Schlüssel ist überhaupt kein Schutz.


Ich glaube, recht viel über diese Thematik zu wissen. Was weißt Du, das ich hier nicht beachtet habe?
mhmh
Franzose...
Unbeschreiblich
Benutzeravatar
 

  • Beitrag 26. Jan 2020 11:16

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

mhmh hat geschrieben:
Piel hat geschrieben:Was weißt Du, das ich hier nicht beachtet habe?
Es ist eine App mit im Spiel, mit der man z.B. Schlüssel via NFC erzeugen bzw. kopieren kann. Und genau dort liegt eine Mögliche Lücke, denn diese App läuft auf einem potentiell angreifbaren System und dementsprechend auch angreifbar. Zumal die meisten Smartphones mit dem Internet verbunden sind. Darauf wird hier z.B. hingewiesen.

So ist es z.B. in der Vergangenheit schon vorgekommen, dass Angreifer die Daten einer anderen App (z.B. eine App zum erzeugen von TAN Nummern) abreifen konnten. Deswegen würde ich kein Onlinebanking vom Smartphone machen, wenn ich die TAN ebenfalls auf dem gleichen Gerät erzeuge oder per SMS an das selbe Gerät erhalte. Hat man die entsprechenden Daten der Netatmo-App, kann man sich somit auch Nachschlüssel erzeugen:
Netatmo hat geschrieben:Über die App können Sie einen neuen Satz Smarter Schlüssel ganz einfach selbst aktivieren.
Genauso lässt sich natürlich auch folgende Funktion von einem Angreifer missbrauchen:
Netatmo hat geschrieben:Sie haben den Schlüssel im Haus vergessen? Sie können das Schloss jederzeit mit Ihrem Smartphone über eine sichere Bluetooth-Verbindung öffnen.
Was nützt mir eine sichere und verschlüsselte Bluetooth-Verbindung, wenn ein Angreifer meine App mitsamt der Daten kopieren kann. Dann hat der Angreifer ebenfalls einen Zweitschlüssel.

Das smarte Türschloss von Netatmo ist also nur so sicher wie das Smartphone auf dem die App läuft. Im Zweifel, je nach der Android Version also recht unsicher. Kryptografie hin oder her.
Piel
Unkündbar
Unkündbar
 

  • Beitrag 26. Jan 2020 11:44

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

Ok, wenn Du die Angreifbarkeit des Smartphones meinst, stimme ich Dir zu.
Ich dachte, Du beziehst Dich auf eine Relay-Attacke ohne Zugriff auf das Smartphone.
mhmh
Franzose...
Unbeschreiblich
Benutzeravatar
 

  • Beitrag 26. Jan 2020 12:09

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

mhmh hat geschrieben:Ok, wenn Du die Angreifbarkeit des Smartphones meinst, stimme ich Dir zu.
Ich dachte, Du beziehst Dich auf eine Relay-Attacke ohne Zugriff auf das Smartphone.

Piel hat geschrieben:Letztendlich ist das Smarte Schloss auch nur so sicher wie die Plattform auf der es basiert bzw. mithilfe der es gesteuert wird.

Dachte eigentlich ich hätte dies klar formuliert. Die Smartphone-App ist der schwächste Punkt, und da im Grunde jedes Smartphone mit dem Internet verbunden ist, ist auch dass Schloss und die Schlüssel aus dem Internet angreifbar. Im Grunde genommen ist es genauso sicher wie eine Cloudbasierte-Lösung, oder ein Schloss welches über das Internet gesteuert werden kann (vorausgesetzt diese Systeme sind gut umgesetzt).
Piel
Unkündbar
Unkündbar
 

  • Beitrag 26. Jan 2020 12:46

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

So ein Angriff wird bei einem modernen Android aber schon extrem aufwändig. Bspw. „The Keystore itself is encrypted using the user’s own lockscreen pin/password, hence, when the device screen is locked the Keystore is unavailable.“

Aber natürlich kann man argumentieren, dass - sobald man als Hacker ein Smartphone komplett übernommen hat - man damit auch alles tun kann. Solche Angriffe sind allerdings teuer.
mhmh
Franzose...
Unbeschreiblich
Benutzeravatar
 

  • Beitrag 26. Jan 2020 13:36

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

mhmh hat geschrieben:So ein Angriff wird bei einem modernen Android aber schon extrem aufwändig. Bspw. „The Keystore itself is encrypted using the user’s own lockscreen pin/password, hence, when the device screen is locked the Keystore is unavailable.“

Nein. Schon alleine deshalb nicht da kaum ein Gerät auf dem aktuellen Patch-Level ist. Es dauert immer eine Weile bis die Patches auch beim Kunden ankommen. Viele Geräte laufen ja auch noch mit älteren Android-Versionen, da gibt es entsprechende Exploits welche man ausnutzen kann. Es reicht wenn man die falsche App installiert, teilweise sind sogar Drive-By Infektionen möglich. Im Falle von Banking Apps ist dies z.B. schon passiert. Abgesehen davon dass selbst viele Banking-Apps oftmals Schwachstellen haben. Auch ganz aktuell ist dies ein Problem.
Piel
Unkündbar
Unkündbar
 

  • Beitrag 26. Jan 2020 13:49

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

Dann bin ich wohl mit meinem iPhone besser bedient ;)
mhmh
Franzose...
Unbeschreiblich
Benutzeravatar
 

  • Beitrag 26. Jan 2020 15:07

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

@mhmh: Denkst auch nur Du. Ich zitiere mal aus einem Artikel über die Angriffsmöglichkeiten aktueller Banking Apps:

scinexx hat geschrieben:„Wir können damit Apps kopieren, die IBAN ändern und TANs auf beliebige Geräte schicken“, erklärt Schneider. Kriminellen Hackern wäre es dadurch möglich, Überweisungen so zu manipulieren, dass das Geld unbemerkt auf eigene Konten umgeleitet wird. Auch die Verschlüsselung sensibler Kundendaten lasse sich außer Kraft setzen, so die Forscher. Obwohl sie den Angriff zunächst nur für das Betriebssystem Android simuliert haben, sei er auch auf iOS-Geräten möglich.

Man darf sich nicht verwirren lassen, es geht hier nicht um den Schutz des Geräts gegen Entsperren und auslesen des Speichers durch einen fremden, sondern um die Trennung der Daten einzelner Prozesse auf dem Gerät. Der Schutz gegen ein Entsperren und auslesen des Speichers ist beim iPhone sehr gut umgesetzt. Wobei aktuell Android nicht nur aufgeholt hat, sondern in der aktuellen Version sogar einen Tick besser ist.
Piel
Unkündbar
Unkündbar
 

  • Beitrag 26. Jan 2020 16:34

Re: Neuer "smarter" Schließzylinder - was haltet ihr davon?

Also ich weiß nicht, ob hier nicht ein paar Sachen vermischt werden, und zu einfach dargestellt. Das „auch bei iOS problemlos möglich“ bezieht sich auf Promon, ein offenbar nicht besonders tolles Tool zur App-Härtung. Siehe https://media.ccc.de/v/34c3-8805-die_fa ... lebankings
Da werden die Promon-Sicherheitsmechanismen umgangen, um EINE App manipulieren zu können.
Einen Exploit, mit dem eine „böse“ iOS App auf die Daten einer anderen „guten“ Original-App-Store-App zugreifen könnte, sehe ich da nicht.

Es ist nicht so, dass ich nicht schon danach gesucht hätte - wenn Du da für iOS einen praktisch umsetzbaren Angriff kennst, immer her damit :)

Und was das Benutzen eines Android Smartphones für sicherheitskritische Anwendungen betrifft - nun ja, muss jeder selber wissen. Ich kann meine mechanischen Schlüssel auch an ein Band um den Hals hängen und hoffen, dass sie niemand fotografiert.
Ich jedenfalls benutze Android nur als Plattform zum Hacken, z.B. um Certificate Pinning zu umgehen oder um den BLE Traffic zu analysieren. Das geht mit Android halt einfacher und schneller als bei iOS.
mhmh
Franzose...
Unbeschreiblich
Benutzeravatar
 

VorherigeNächste

Zurück zu Lockpicking - die hohe Kunst des Schlossöffnens


cron