Güvenlik Anahtarı (Key Fob) bir çeşit anahtarlıktır, küçük bir ekrana sahiptir, böylece içermek istediği güvenlik kodunu görüntüleyebilir. Yüksek güvenlikli sistemler için gerekli olan çok faktörlü tanımlama sürecinin bir parçası olarak kullanılır. Daha yaygın güvenlik önlemleri bir kullanıcı adı ve bir PIN / şifre kombinasyonu iken, bazı durumlarda sadece belirli bir anahtar veya akıllı kart olarak kullanılabilir. Bu şekilde kişinin kişisel kimlik bilgilerini ve ilgili güvenlik anahtarı ile birlikte iki faktörlü doğrulamanın her ikisini de içerir.
Belçika’daki KL Leuven Üniversitesi’nden oluşan bir grup Siber Güvenlik uzmanı, çoğu otomobil tarafından bir motorun kilidini açmak ve başlatmak için kullanılan Pasif Anahtar Girişi ve Başlat (PKES) adlı yeni bir röle saldırısı geliştirdi. Pasif Anahtarsız Giriş (PKE), kullanıcının yakın mesafede olup olmadığını ve eşleştirilmiş Fob anahtarına bağlı olduğunu algıladığından otomatik olarak çalışır.
Siber saldırganların çoğu, anahtar ile araç arasında aktarılan mesajlar kullanılarak araç çalmak için PKES saldırılarını kullanıyor. Siber saldırganın, sadece sahibi anahtarın yakınlık sensörünün aralığında olduğunda aracı çalabileceğinden bu saldırının bir dezavantajı vardır.
Tesla Model – S’de araştırmacılar tarafından bulunan zafiyetin nasıl çalıştığını aşama aşama inceleyelim.
Araba ve anahtar arasındaki karşılıklı iletişim eksikliğinden dolayı güvenlik açıklarının çoğu akıllı kilit açma sistemlerinde bulunuyor.
1. Aşama: Hacker, 2 bayt araba tanımlayıcısını öğrenmek için otomobil tarafından periyodik olarak iletilen bir uyandırma (wake frame) çerçevesini kaydeder.
2. Aşama: Hacker şimdi arabanın kimliğine bürünebilir ve seçilen iki 40-bit kimlik sorgulama bilgisini anahtarlığa iletebilir ve ilgili 24-bit yanıtlarını kaydedebilir.
3. Aşama: Yakalanan kimlik sorgulama yanıt çiftlerini ve TMTO tablosunu kullanarak 40 bit anahtar elde edilebilir. İlk çift, doğru anahtar alt kümesini seçmek için kullanılır ve ikinci çift, yaklaşık 216 aday anahtar arasında gerçek anahtarı bulmak için kullanılır.
4. Aşama: Saldırgan şimdi anahtarlığı taklit edebilir ve böylece aracı açar ve çalıştırır, hatta çalabilir.
Uzmanlar Ağustos ayında Tesla’ya bu güvenlik zafiyetini bildirdiler ve Tesla, bu sorunu Eylül ayında düzeltti. Tesla, anahtarlık için yükseltilmiş şifrelemeyi kullanıma sundu ve araç sürülmeden önce sürücü olmak için bir PIN isteğinde bulunan “Sürücü için PIN” adı verilen isteğe bağlı yeni bir özelliği tanıttı.