Un problema de seguridad afecta a las llaves de millones de coches

Millones de coches fabricados en las últimas dos décadas emplean mandos a distancia cuya seguridad ha quedado en entredicho cuando un grupo de expertos ha desvelado nuevas técnicas que, con un montaje electrónico de unos 35 euros y algo de software, permiten abrir vehículos limpiamente en unos pocos minutos.

La intriga tras unos cuantos casos de robos de vehículos calificados inexplicables y el gusto por curiosear los sistemas de protección de sus propios vehículos llevó a un grupo de investigadores a publicar un trabajo sobre la seguridad de los sistemas de apertura y desbloqueo mediante llaves electrónicas con los que las grandes marcas equipan sus vehículos. Y los ha puesto en entredicho. El trabajo, titulado Ciérrelo y piérdalo: sobre la (in)seguridad de los sistemas de apertura en automóviles, se ha presentado en el 25º Simposio de Seguridad Usenix hace unos días. El estudio se puede leer al completo en formato PDF en la web del simposio.

Una historia de guerras criptográficas

El primer ataque exitoso que se publicó respecto a las llaves modernas data de 2005 y afectaba a los coches que usaban electrónica de Texas Instruments; en 2012 se publicó otro sobre cómo vulnerar el sistema criptográfico Hitag2 de NXP empleado por diversas marcas (Alfa Romeo, Chevrolet, Peugeot, Lancia, Opel, Renault y Ford) al que siguieron otros. Incluso hay coches vendidos en 2000 que todavía usan un método de señales de radio más directo: enviar un simple código a través de una banda de radiofrecuencia estándar, algo parecido a lo que se utiliza en mandos de garaje y juguetes.

Las llaves más avanzadas utilizan chips RFID como los que hay en los antirrobos de las tiendas y en algunos sistemas de acceso a edificios

A día de hoy, clonar o imitar esos mandos a distancia resulta muy sencillo. Por suerte en muchos coches los sistemas de apertura e inmovilización están separados; de este modo, aunque el primero falle quien tenga una llave clonada no puede mover el coche por las buenas. Pese a ello, en algunos casos se puede utilizar una sola vez un códigos robado; en esos casos, los cacos pueden llevarse el coche a cualquier lugar y una vez allí cambiar tranquilamente todos los sistemas de cierre y seguridad. O a veces, incluso, reprogramar en el coche una nueva llave.

Generalmente la apertura del coche requiere del clásico mando-llave y pulsar un botón. Pero las llaves más avanzadas utilizan chips RFID como los que hay en los antirrobos de las tiendas y en algunos sistemas de acceso a edificios. Muchos coches de lujo cuentan con llaves llamadas "de ignición pasiva" que simplemente requieren que la llave (o tarjeta) esté a menos de un metro del coche. Estos coches ni siquiera necesitan de llave mecánica de encendido; para casos de emergencia tienen a veces una cerradura mecánica oculta tras una tapa de plástico, por si el coche se quedara sin batería por alguna razón. En este tipo de mandos sin llave ni siquiera hay que pulsar un botón para abrir o cerrar el coche, basta con alejarse de él.

El problema principal es que en los sistemas de apertura de los coches corrientes la seguridad suele ser vulnerable a cierta distancia o incluso utilizando un equipo que haga de repetidor entre la llave y el vehículo. Aunque la llave esté lejos del coche, ese equipo puede llevar las señales amplificadas a mayor distancia, quizá interfiriendo de paso con el mando original para hacer que el propietario pulse el botón varias veces. Cuando se descubrió esta triquiñuela hubo quien recomendó como mejor idea meter el mando del coche en el congelador de la nevera, que actuaría como jaula de Faraday aislante.

La nueva amenaza

En su trabajo, los investigadores explican cómo fabricar con piezas baratas un pequeño aparato con el que inhibir las señales de radiofrecuencia y recibir los códigos secretos. Tras procesarlas con software criptotráfico es capaz de dar con la clave maestra que puede usarse para clonar el mando y emularlo para lograr abrir los vehículos.

El hardware es un pequeña placa electrónica Arduino programable, una pequeña antena con un alcance de 100 metros y una pila de 9 voltios. Se puede comprar en cualquier tienda por unos 35 euros y programarla conectándola a un PC. Al usar el aparato parte del trabajo lo realiza un portátil convencional, que en unos minutos analiza todas esas claves hasta dar con la clave maestra.

Los automóviles afectados incluyen los del Grupo Volkswagen (Seat, Skoda, Audi) desde 1995. Pero muchas otras marca sufren esta vulnerabilidad: un montaje similar puede usarse para clonar los mandos de diversos modelos de Alfa Romeo, Chevrolet, Mitsubishi, Peugeot, Lancia, Opel, Renault y Ford

Los automóviles afectados incluyen los del Grupo Volkswagen (Seat, Skoda, Audi) desde 1995. Pero muchas otras marca sufren esta vulnerabilidad: un montaje similar puede usarse para clonar los mandos de diversos modelos de Alfa Romeo, Chevrolet, Mitsubishi, Peugeot, Lancia, Opel, Renault y Ford, que utilizan el sistema Hitag2.

Una de las razones de que toda la operación sea más fácil de lo debido es que, según explican, Volkswagen viene usando desde hace dos décadas un reducido número de claves maestras a nivel mundial. Lo único que tienen que hacer los atacantes es capturar un solo código de apertura (a veces tres o cuatro) y armados con esas claves maestras descifrarlo en unos minutos con un portátil para simular con el aparato el mando original.

¿Qué hacer ahora?

Los autores del trabajo informaron de su descubrimiento al Grupo Volkswagen en noviembre de 2015, enviándoles tanto un borrador como la información completa. El fabricante reconoció que esa vulnerabilidad existía. Otro tanto sucedió con NXP y su sistema Hitag2. El descubrimiento se publicaría pero los autores prefirieron no incluir las claves maestras, algunos del los algoritmos de descifrado y parte de la ingeniería inversa que realizaron. Tanto Volkswagen como NXP cuentan ya con otros sistemas que van incorporando en los nuevos coches, aunque por desgracia hay literalmente millones de vehículos con los sistemas de apertura vulnerables (solo en Volkswagen afecta a más de 100 millones).

La recomendación de momento es no dejar objetos valiosos en el coche so pena de encontrarse con que han sido robados mediante alguno de estos métodos por algún ladrón técnicamente competente. Tradicionalmente se recomienda comprobar el cierre del coche esperando al sonido y luces típicas; si al abrirlo el mando no funciona a la primera o tras varios intentos es sospechosamente probable que alguien haya intentado abrir el coche, igual que si el mando queda bloqueado misteriosamente. El otro consejo que dan los autores es directamente anular el mando a distancia y utilizar únicamente la apertura mecánica con la llave física, aunque no sea tan cómodo.

“¿Cerrarlo o perderlo? ¡Mejor eliminar la llave” dicen a modo de lema. Tampoco es que resulte muy cómodo lo de guardar las llaves en el congelador (u otro tipo de caja o funda metálica) pero podría servir. Al final, como casi todo en la vida, depende un poco del grado de paranoia de cada cual: se puede recurrir a algunas medidas en lugares peligrosos, pero viviendo en sitios tranquilos o remotos es más improbable que suceda un robo tan elaborado.

Debido al volumen de vehículos afectos parece improbable que los fabricantes actualicen todos los mandos de los vehículos en circulación, puesto que con el tiempo esto sucede de forma natural al renovarse el parque móvil. De momento, lo que los curiosos investigadores han demostrado es que no siempre las innovaciones más modernas son las más fiables en temas de seguridad.