SpiKey: sleutels afluisteren

Een slot is betrouwbaar zolang het niet kan worden gekraakt door een indringer. Computertechnologie maakt veel dingen eenvoudiger, en helaas geldt dat ook voor mensen die een hekel hebben aan deuren die ze niet kunnen openmaken (en dan hebben we het niet over katten). Dankzij 3D-printers is het kopiëren van sleutels veel makkelijker geworden. Maar om die te printen, heeft men natuurlijk wel eerst een behoorlijke afbeelding van het origineel nodig.

Onderzoekers in Singapore hebben onlangs een paper gepubliceerd waarin ze SpiKey demonstreren, een aanvalsmethode op een deurslot waar geen afbeelding voor nodig is. Ze gebruiken hier simpelweg een smartphone voor om de klikken van de sleutel die het slot ingaat op te nemen.

Hoe de klikken de sleutel onthullen

De aanval werkt op cilindersloten, het meest voorkomende type dat vandaag de dag wordt gebruikt. Het mechanisme is gebaseerd op een cilinder die gedraaid moet worden om de deur op slot te draaien of open te maken. Deze cilinder bevat verschillende pinnen, en die bestaan uit twee delen van verschillende lengte en worden door veren op hun plek gehouden.

Als er geen sleutel in het slot zit, vullen de pinnen de cilinder volledig, en hun buitenste gedeelte zorgt ervoor dat de cilinder niet kan draaien. Een sleutel met de juiste vorm verschuift de pinnen op zo’n manier dat de grens tussen de twee delen overeenkomt met de buitenrand van de cilinder, en hierdoor kan deze dus gedraaid worden. Het geheim van een sleutel is de diepte van de groeven, die de pasvorm van de pinnen bepalen.

Als u een sleutel in een slot steekt, bewegen de pinnen op basis van de vorm van de sleutel: Ze gaan omhoog als er een rand (het uitsteeksel tussen de groeven) onder ze langs gaat, en daarna vallen ze weer naar beneden. Als de pinnen vallen, hoor je een klik.

Door de tijd tussen deze klikken te meten, konden wetenschappers de afstand tussen de randen op de sleutel vaststellen. Deze methode verklapt natuurlijk niet de belangrijkste variabele, namelijk hoe diep de groeven in de sleutel zijn. Maar het geeft wel een idee van de vorm van de sleutel. Met deze aanpak konden onderzoekers sleutelvarianten vinden die overeenkwamen met de originele sleutel.

Waarom de SpiKey-aanval gevaarlijk is

Een aanvaller kan de SpiKey-aanval gebruiken om een gedetailleerd beeld van een originele sleutel te creëren. Er is echter nog een handig weetje: sleutels zijn niet écht willekeurig. Door de gegevens over de afstand tussen de groeven en de kennis van de vereisten van sleutels voor 6-pinssloten die door Schlage zijn gefabriceerd te combineren, konden de onderzoekers het aantal mogelijke sleutels van 330.000 tot slechts een paar beperken. Een aanvaller die een kopie van een sleutel wil, kan dan bijvoorbeeld alle vijf de varianten op een 3D-printer printen en ze allemaal uitproberen. Een van de sleutels zal bijna zeker werken.

Geen paniek

Zoals de meeste aanvallen die in een laboratorium zijn ontwikkeld, kent ook SpiKey zijn nadelen, en inbrekers zullen deze methode waarschijnlijk niet snel in de praktijk kunnen brengen.

Ten eerste moet u voor een succesvolle aanval het merk van het slot kennen. Verschillende fabrikanten hebben verschillende vereisten voor sleutels, en het creëren van een effectieve algemenere aanpak is voor een aanvaller een stuk lastiger. Het is ook de moeite waard om op te merken dat niet alle sloten cilindersloten zijn; er zijn tal van andere populaire types.

Ten tweede: als twee of meer pinnen in het slot op hetzelfde moment klikken, zal deze aanval niet werken. Zelfs als het slot van het juiste type is, bestaat er geen garantie dat er een passende sleutel voor een bepaald slot kan worden gevonden. Onderzoekers hebben ontdekt dat meer dan de helft van de Schlage-sloten kwetsbaar zijn, maar deze porporties kunnen anders zijn voor andere fabrikanten.

Ten derde werd er bij dit experiment ook aangenomen dat de sleutel op een vaste snelheid het slot ingaat, zonder enige pauzes. Hoewel dat mogelijk is, is het niet erg waarschijnlijk in de echte wereld.

Hoe beschermt u uw huis (en andere plekken) tegen inbrekers

De SpiKey-aanval vertegenwoordigt een ontwikkeling die op de lange termijn goed kan uitpakken voor inbrekers en andere boosdoeners. Dit is wat u kunt doen om uzelf tegen deze aanval te beschermen:

• Gebruik verschillende sloten, het liefst van verschillende types. Zelfs als een indringer een sleutel kan namaken voor een van de sloten, zullen de andere sloten hem of haar alsnog tegenhouden;
• Gebruik meerdere beveiligingsmethodes. De markt zit vol met allerlei alarmen en andere beveiligingssystemen voor alle voorkeuren, van zeer simpel tot heel uitgebreid;
• Beschermuw apparaten zodat indringers uw microfoon- en camera-functies niet kunnen kapen.