C’è una vulnerabilità in Master Lock marca lucchetti che permette a chiunque di imparare la combinazione di otto o di un minor numero di tentativi, un processo che richiede meno di due minuti e un minimo di abilità a svolgere.
L’exploit consiste nel sollevare un grillo bloccato con una mano mentre si gira la combinazione quadrante in senso antiorario a partire dal numero 0 con l’altro. Prima che il quadrante raggiunga 11, ci saranno tre punti in cui il quadrante resisterà più ad essere ruotato. Uno di loro sarà ignorato in quanto è esattamente tra due numeri interi sul quadrante. Le restanti due posizioni rappresentano posizioni bloccate. Successivamente, un attaccante solleva nuovamente il grillo bloccato, questa volta con meno forza, ruotando il quadrante in senso orario. Ad un certo punto, prima che una rivoluzione completa sia completata, il quadrante resisterà ad essere girato. (Un attaccante può ancora girare attraverso di essa, ma fisicamente sentire la resistenza.) Questa posizione rappresenta la posizione di resistenza. Le due posizioni bloccate e quella posizione di resistenza vengono quindi registrate su una pagina Web che semplifica l’exploit.
La pagina risponde con la prima cifra della combinazione e due possibili cifre per l’ultima cifra. Testando quale delle possibili ultime cifre ha più “dare”, un utente malintenzionato può rapidamente capire quale è corretta. Eliminando la cifra falsa dal modulo Web, la pagina popolerà automaticamente gli otto numeri possibili per la seconda cifra della combinazione.
Ora che l’attaccante conosce la prima e l’ultima cifra e sa che la seconda cifra è uno degli otto numeri possibili, l’hack è una semplice questione di provare ogni possibile combinazione fino a quando quella corretta apre il blocco. Il seguente video fornisce un semplice tutorial.
La tecnica è stata ideata da Samy Kamkar, un hacker seriale che ha creato di tutto, dai tasti furtivi-rubando caricabatterie USB alle app stalker fai-da-te che hanno estratto Google Streetview. Nel 2005, ha scatenato il worm Samy, un cross-site scripting exploit che ha bussato MySpace fuori uso quando ha aggiunto più di un milione di amici di MySpace per conto di Kamkar.
Kamkar ha detto ad Ars che il suo exploit Master Lock è iniziato con una vulnerabilità ben nota che consente di decifrare le combinazioni Master Lock in 100 o meno tentativi. Ha poi rotto fisicamente una serratura a combinazione e ha notato la resistenza che ha osservato è stata causata da due parti di blocco che hanno toccato in un modo che ha rivelato importanti indizi sulla combinazione. (Ha paragonato il design Master Lock a un canale laterale in dispositivi crittografici che possono essere sfruttati per ottenere la chiave segreta.) Kamkar ha poi fatto una terza osservazione che è stata strumentale al suo exploit Master Lock: la prima e la terza cifra della combinazione, quando sono divise per quattro, restituiscono sempre lo stesso resto. Combinando le intuizioni di tutte e tre le debolezze ha ideato l’attacco presentato nel video.
Non è affatto l’unico modo per rompere la sicurezza di un lucchetto popolare. Arriva pochi anni dopo che gli ingegneri Master Lock hanno sviluppato nuovi lucchetti che hanno resistito a una forma popolare di attacchi usando spessori fatti da lattine di bibite. Kamkar ha detto che ha provato il suo exploit su più di una dozzina di Master Lock serrature a combinazione, e finora ha lavorato su tutti loro. Nelle prossime settimane, ha in programma di svelare ulteriori dettagli, tra cui un robot basato su Arduino che semplifica l’exploit.
Post aggiornato per cambiare “qualsiasi” nel titolo in ” molti.”
Guarda personale Ars mettere l’hack alla prova.