车联网安全：PKES到PEPS中继攻击方案实现研究

一、PKES系统简介

PKES(Passive Keyless Entry and Start)是一种质询优先系统，汽车主动发出质询并寻找钥匙答复的解决方案。

系统工作流程

1. 汽车通过LF(125HZ)发送质询信号
2. 钥匙在信号覆盖范围内收到特定模式后会回复
3. 汽车验证响应后决定是否授权访问

两种配置方案

• 典型实现：汽车周期性发送短信标探测通道是否存在钥匙
  • 低功耗
  • 依赖于短信标检测
• 第二种实现：汽车定期发送包含汽车标识符的较大质询信标
  • 直接探测通道
  • 钥匙直接响应质询

二、中继攻击原理

中继攻击的目标是即使钥匙不在低频信号覆盖范围内也能操纵汽车。

攻击流程

1. 黑客1收到汽车的质询并转发给黑客2
2. 黑客2向钥匙链发出信号
3. 钥匙检查模式并回答问题的解决方案
4. 黑客2捕获解决方案并传递给黑客1
5. 黑客1对汽车播放信号

攻击特点

• 难以检测和阻止
• 不破坏加密机制，仅转发消息
• 非接触式应用中更为严重

三、PKES系统深入研究

系统特点

• 用户接近车辆时自动解锁
• 用户远离车辆时自动锁定
• 通信使用磁耦合射频信号

通信区域

1. 远程距离(可达100米)：需按钥匙按钮操作
2. 车外1-2米：可用门把手开/关
3. 车内：允许启动发动机

两种操作模式

• 正常模式：依赖电池工作
• 备用模式：无需电池(如电池耗尽时)

四、针对PKES的中继攻击

攻击基础

• PKES系统只验证信号，不验证物理接近
• 中继攻击只需转发完整信号

两种中继方案

1. 射频中继：传统125khz/13.52mhz频段检测
2. 近场中继：现代蓝牙或NFC实现

五、中继攻击研究方案

第一套方案：空中中继攻击

1. 发射器捕获低频信号并上转换为2.5GHz
2. 信号放大后通过空气传输
3. 接收器下转换获得原始低频信号
4. 放大后通过回路LF天线再现完整信号

第二套方案：使用现有硬件搭建

• 需要读卡器和假RFID标签
• 问题：
  • 调制解调增加响应时间
  • 可能因调制方式错误导致失败

射频中继攻击硬件方案

流程：

1. 触摸把手发出125khz信号
2. 设备解调低频信号后通过CC1101发送给模块B
3. 模块B通过EM4095给钥匙传输信号
4. 钥匙发送315mhz信号
5. 模块B接收后发送给模块A
6. 模块A传输315mhz信号给车

硬件设计：

• 模块A：
  • AS3933接收125khz信号
  • CC1101发送信号
• 模块B：
  • CC1101接收和发送
  • EM4095读取RFID信号
• 其他组件：
  • BQ24170充电管理
  • atmega3280p主控芯片

近场中继攻击方案

NFC中继攻击(以特斯拉为例)

解锁过程：

1. 车辆请求智能手机虚拟钥匙AID → 卡片回应"6d00"
2. 请求特斯拉NFC卡AID → 卡片回应"9000"
3. 车辆发送加密挑战
4. NFC卡计算响应(可能需要WTX协商)
5. 卡片发送加密响应 → 车辆验证后解锁

攻击实施：

• 攻击者1(近车端)：Proxmark RDV4.0模拟NFC卡
• 攻击者2(近卡端)：靠近受害者NFC卡
• 通信方式：蓝牙或Wi-Fi

攻击步骤：

1. Proxmark响应车辆AID请求
2. 接收Challenge并转发给攻击者2
3. 攻击者2与受害者NFC卡交互
4. 转发加密响应回Proxmark
5. Proxmark发送响应给车辆

蓝牙中继攻击

蓝牙距离测量方法：

• 旧版本蓝牙依赖RSSI或AOA测定距离
• 易受中继攻击

攻击类型：

1. GATT中继攻击
   • 工具：Gattacker、Btlejuice
   • 限制：延迟明显，不支持未知LTK的链路层加密
2. HCI中继攻击
   • 限制：不支持未知LTK的链路层加密
3. PHY中继攻击
   • 限制：受距离影响大

链路层劫持：

• 利用Supervision Timeout机制
• 阻断主从设备通信导致超时断开
• 攻击者接管连接

劫持关键：

• 修改CONNECT_IND PDU
• 获取必要参数：
  • Access Address和CRCInit
  • Channel Map
  • Connection interval
  • Hop Increment

六、防御建议

1. 增加物理接近验证机制
2. 实现信号传输时间测量
3. 使用更安全的加密协议
4. 增加多因素认证
5. 定期更新系统固件

七、参考资料

1. D2T2 - Chasing Cars: Keyless Entry System Attacks
2. Lennert Wouters - Passive Keyless Entry and Start Systems
3. Tesla NFC relay attack (The Verge)
4. Bluetooth LE Link Layer Relay Attacks by Sultan Qasim Khan