De autosleutel is niet te vertrouwen

Beveiliging Onderzoekers bewijzen opnieuw dat vooral auto’s van de Volkswagen Group slecht beveiligd zijn. Het risico is voor de eigenaars.

Getty Images

Klak-klak! Het vertrouwde geluid van een op slot springende auto, die voor de zekerheid ook nog eens zijn lichten laat knipperen.

Zo zeker is het niet dat je auto écht op slot zit. Duitse en Britse onderzoekers publiceerden afgelopen week een onderzoek dat aantoont hoe kwetsbaar de draadloze sleutels zijn waarmee je de auto op afstand opent en op slot doet.

Uit een steekproef onder hun eigen auto’s en die van vrienden blijkt dat het makkelijk is om de beveiligde codes van de sleutels te kopiëren en een nepsleutel te maken. Na vier tot acht keer het radiosignaal van een draadloze sleutel afgeluisterd te hebben, valt de volgende code te voorspellen en is de auto te openen door een inbreker.

De onderzoekers gebruikten voor deze hack geen dure apparatuur maar een goedkope radio-ontvanger die meteen het signaal van de echte sleutel kan verstoren. Zo wordt de bestuurder gestimuleerd om de afstandsbediening een paar keer in te drukken – de auto lijkt immers niet te reageren. Met elke druk op de knop wordt weer een benodigde code prijsgegeven.

Voor deze hack moet een inbreker binnen een bereik van 90 meter van de echte sleutel staan. De truc werkt onder meer bij modellen van Opel, Citroen, Ford, Peugeot, Mitsubishi, Nissan en Renault.

De sleutel is dus slecht versleuteld. Dat geldt helemaal voor de Volkswagen Group (behalve Volkswagen ook Audi, Seat, Skoda en Porsche). Deze voertuigen komen slecht uit het onderzoek. De geteste auto’s gebruiken een paar encryptiesleutels die voor elke auto hetzelfde zijn, ontdekten de wetenschappers toen ze de boordcomputer analyseerden.

Heb je een van de vier codes in handen, dan heb je een digitale loper om miljoenen auto’s mee te openen: je hoeft maar één keer het signaal van de bonafide autosleutel af te luisteren om vervolgens je slag te slaan.

Deze methode van beveiliging – alleen vertrouwend op geheimhouding, niet op de sterkst mogelijke encryptie – is verre van robuust. Pas in de meest recente modellen heeft VW dit verbeterd, maar de onderzoekers zeggen dat modellen van 1996 tot 2016 kwetsbaar zijn.

De autofabrikant stelt in een verklaring dat auto’s minder goed beveiligd kunnen worden omdat er via de diagnostische poort toegang gegeven moet worden tot de boordcomputer. De fabrikant drong erop aan dat de wetenschappers geen praktische aanwijzingen voor dieven zouden publiceren en is bezig met „constructieve uitwisseling van informatie”. Waar dat toe leidt, is onduidelijk.

Zwakke startonderbrekers

Volgens VW bewijst dit nieuwe onderzoek niet dat de auto’s makkelijk te stelen zijn. Maar Flavio Garcia, een van de beveiligingsspecialisten die dit onderzoek publiceerde, deed ook mee aan een onderzoek van de Radboud Universiteit Nijmegen in 2013. Dat toonde aan dat startonderbrekers in auto’s van de Volkswagen Group – die ook draadloos communiceren met de sleutel – erg slecht beveiligd zijn. VW wist twee jaar lang publicatie van dat onderzoek tegen te gaan.

Al zijn het gescheiden systemen, er is een overlap tussen de VW-modellen auto’s die een makkelijk te kraken startonderbreker hebben én een zwak beveiligd slot, stellen de wetenschappers.

Flavio Garcia: “Met de zwakheden in het Remote Keyless Entry systeem kun je de deuren openen en het alarm uitschakelen. Een inbreker kan de auto starten met onze vorige aanvalsmethode (waarvoor je tijdelijk toegang tot de authentieke sleutel gehad moet hebben) of door startonderbreker te deactiveren via de diagnostische poort. De middelen daarvoor zijn al op de markt.”

Het onderzoek naar autosleutels heeft nog een Nederlands tintje: veel autofabrikanten gebruiken de technologie van chipfabrikant NXP om draadloze sleutels te beveiligen. Nu gaat het niet om een chip maar om een beveiligingsalgoritme van NXP, Hitag2. NXP wijst erop dat Hitag2 uit 1998 stamt en sinds 2006 vervangen is door meer geavanceerde techniek. Het is de klant – in dit geval Volkswagen – die besluit welke gradatie van beveiliging wordt toegepast.

De motor slijt, je banden ook. Ook de beveiligingstechnologie van een auto is aan slijtage onderhevig. Maar vervanging zit er niet in. Volkswagen weigert vooralsnog auto’s (circa 100 miljoen exemplaren sinds 1995) met een terugroepactie te repareren. Het zou onmogelijk zijn - of onmogelijk duur. Land Rover riep vorig jaar nog 65.000 auto’s terug voor een update van het beveiligingssysteem nadat veel Range Rovers op mysterieuze wijze verdwenen.

Beveiliging en veiligheid

Volgens Colin Bird, analist van onderzoeksbureau IHS, kost een terugroepactie waarbij hardware vervangen moet worden, Volkswagen “tientallen miljarden dollars”. “Dat zullen ze dus pertinent weigeren. De overheid zal VW niet verplichten tot reparatie omdat een inbraakgevoelige auto de bestuurder, andere weggebruikers of het milieu niet in gevaar brengt.” Het is het verschil tussen security en safety, beveiliging en veiligheid.

In Nederland lopen VW-eigenaars een relatief hoog risico op diefstal. Dat was in 2015 zo, en ook in de eerste helft van 2016 steken met name VW en Audi er met kop en schouders boven uit. Bart Jacobs, hoogleraar softwarebeveiliging aan de Radboud Universiteit: „Wat mij verbaast is dat fabrikanten er zo schaamteloos mee wegkomen om de gevolgen op klanten te dumpen: dan neemt u maar een stuurslot op eigen kosten.”

Je kunt je auto ook beveiligen met een gps-tracker. Diefstal is niet altijd het grootste probleem, waarschuwen de wetenschappers: „Een inbreker kan de auto onklaar maken of zich verbergen en je onderweg beroven.”

Bij de video: Autoinbrekers prutsen niet meer aan sloten en tikken geen ruitjes in, ze hacken. Ook moderne keyless entry systemen zijn kwetsbaar voor diefstal, door het verlengen van het signaal een zendertje dat normaal gesproken alleen op een meter afstand werkt. NXP zegt te werken aan een manier om het onderscheid tussen te zien tussen verlengde en niet verlengde signalen. Het kan echter nog jaren duren voordat die techniek in auto’s gebruikt wordt.