Hack maakt overname door drone mogelijk via 'ExpressLRS'-protocol

Het populaire protocol voor radiografisch bestuurbare (RC) vliegtuigen genaamd ExpressLRS kan in slechts een paar stappen worden gehackt, volgens een bulletin vorige week gepubliceerd.

ExpressLRS is een open-source langeafstandsradioverbinding voor RC-toepassingen, zoals first-person view (FPV)-drones. "Ontworpen om de beste FPV Racing-link te zijn", schreven de auteurs op GitHub. Volgens het rapport maakt de hack gebruik van "een sterk geoptimaliseerde over-the-air pakketstructuur, die gelijktijdige bereik- en latentievoordelen oplevert."

De kwetsbaarheid in het protocol houdt verband met het feit dat een deel van de informatie die via over-the-air-pakketten wordt verzonden, linkgegevens zijn die een derde partij kan gebruiken om de verbinding tussen drone-operator en drone te kapen.

Iedereen met de mogelijkheid om het verkeer tussen een ExpressLRS-zender en -ontvanger te volgen, kan de communicatie kapen, wat zou kunnen resulteren in volledige controle over het doelvaartuig. Een vliegtuig dat al in de lucht is, zou waarschijnlijk controleproblemen ondervinden die een crash veroorzaken.”

Zwakte in het drone-protocol 

Het ExpressLRS-protocol maakt gebruik van een zogenaamde 'bindzin', een soort identificatie die ervoor zorgt dat de juiste zender met de juiste ontvanger praat. De zin is gecodeerd met MD5 - een hash-algoritme dat is overwogen kapot (PDF) voor bijna een decennium. Zoals opgemerkt in het bulletin, "is de bindende zin niet voor beveiliging, het is antibotsing", en zwakke punten in de beveiliging die aan de zin zijn gekoppeld, kunnen een aanvaller in staat stellen "een deel van de identifier te extraheren die wordt gedeeld tussen de ontvanger en de zender".

De kern van het probleem is gekoppeld aan de "synchronisatiepakketten" - gegevens die met regelmatige tussenpozen tussen zender en ontvanger worden gecommuniceerd om ervoor te zorgen dat ze worden gesynchroniseerd. Deze pakketten lekken een groot deel van de unieke identifier (UID) van de bindende zin, met name "75% van de bytes die nodig zijn om de link over te nemen."

Dat laat slechts 25% - slechts één byte aan gegevens - open. Op dit punt, zo legde de auteur van het rapport uit, kan het resterende deel van de UID brute force worden geforceerd, of worden verzameld "door pakketten via de ether te observeren zonder de sequenties bruut te forceren, maar dat dit meer tijdrovend en foutgevoelig kan zijn."

Als een aanvaller de UID in de hand heeft, kan hij verbinding maken met de ontvanger - het doelvliegtuig - en het ten minste gedeeltelijk onder controle krijgen.

De auteur van het bulletin adviseerde de volgende acties te ondernemen om de kwetsbaarheden in ExpressLRS te patchen. Stuur de UID niet via de besturingslink. De gegevens die worden gebruikt om de FHSS-reeks te genereren, mogen niet via de ether worden verzonden. Verbeter de generator voor willekeurige getallen. Dit kan inhouden dat een veiliger algoritme wordt gebruikt of dat het bestaande algoritme wordt aangepast om herhaalde reeksen te omzeilen.

Schrijf je nu in voor dit LIVE EVENT op MAANDAG 11 JULI: Sluit je aan bij Threatpost en Tom Garrison van Intel Security in een live gesprek over innovatie waarmee belanghebbenden een dynamisch dreigingslandschap voor kunnen blijven en wat Intel Security heeft geleerd van hun laatste onderzoek in samenwerking met Ponemon Institue. Bezoekers van evenementen worden aangemoedigd om: voorbeeld van het rapport en stel vragen tijdens de live discussie. Leer meer en registreer hier.