Wer kennt es nicht? Mal eben den Müll raus bringen oder den Briefkasten leeren, und schon fällt die Haustür ins Schloss. Und der Schlüssel dazu hängt drinnen am Schlüsselbrett.

Wie praktisch wäre es da, die Tür auch ohne Schlüssel in der Hosentasche wieder öffnen zu können. Wer jetzt aber an ein smartes Türschloss denkt, welches sich per Smartphone öffnen lässt, sollte innehalten, denn: „If it’s smart, it’s vulnerable“!

Folgerichtig greifen wir für zu einem rein analogen, sicheren Türschlosstresor mit hinterlegtem Zweitschlüssel. Gewieften Replay- und Seitenkanalangriffen schlagen wir damit ein Schnippchen.

Die „Portable Push Button Lock Box“ von Master Lock

Ein Exemplar dieser Gattung ist die Portable Push Button Lock Box des Herstellers Master Lock. In der US-Variante 5422D haben wir sie uns angeschaut. Hierzulande wird die nahezu identische Variante 5422EURD vertrieben.

Unter der Schutzhaube präsentiert uns die Box ein Eingabefeld mit 12 Drucktasten sowie oben und unten je einem Schieber zum Öffnen der Box sowie Zurücksetzen der Eingabe.

Ein Blick in die Anleitung des Herstellers verrät, dass die gewünschte Geheimkombination zum Öffnen der Box auf der Rückseite eingestellt wird.

Für jede Drucktaste, die Teil der Geheimkombination sein soll, wird der gelbe Stift auf der Rückseite mit einem Flachschlitzschraubendreher auf der Rückseite um 180° gedreht. Wir stellen eine aus fünf Zahlen bestehende Geheimkombination 2-3-6-9-8 ein. Die Box lässt sich fortan durch Drücken der entsprechenden Tasten und Betätigen des Schiebers öffnen. Ein wohliges Gefühl der Sicherheit stellt sich ein: „Die Sicherheit einer Marke, der Sie vertrauen können“.

In 25 Minuten zum neuen Eigenheim

Doch dann lesen wir in der Bedienungsanleitung des Herstellers Folgendes:

„COMBINATION CAN BE 1-12 CHARACTERS LONG BUT CANNOT USE THE SAME CHARACTER MORE THAN ONCE“

Dieser Satz kratzt an unserer perfekten Idylle. Kurzerhand werfen wir einen Blick auf das Innenleben unserer Portable Push Button Lock Box:

Die Druckknöpfe wirken alle unabhängig voneinander: In der richtigen Stellung der Knöpfe gleitet die graue, mit einer rechteckigen Öffnung für jeden Druckknopf versehene Metallplatte (1) hinunter und entriegelt damit die Box. Die Reihenfolge, in der die Knöpfe betätigt werden, spielt dabei keine Rolle - anstelle der Geheimkombination 2-3-6-9-8 hätten wir auch 3-2-6-9-8 oder 8-9-6-3-2 usw. usf. eingeben können.

Was bedeutet das für die Sicherheit der Lock Box? Wieviele Kombinationen muss ein Bösewicht durchprobieren, bis sich das Schloss öffnet?

Übersetzt in die Kombinatorik lautet die Frage: Berechne die Anzahl der Möglichkeiten, aus einer Menge mit n Elementen eine Teilmenge mit k Elementen auszuwählen. Die Antwort liefert der Binomialkoeffizient „n über k“ mit n = 12 und k = Länge der konfigurierten Geheimkombination.

Ein Dieb, der die Länge der Geheimkombination nicht kennt, muss im Worst-Case 12 + 66 + 220 + … = 4096 verschiedene Kombinationen durchprobieren, um die Box sicher zu öffnen. Wenn wir annehmen, dass jede Eingabe ca. 3 Sekunden dauert, bietet die Box maximal 205 Minuten Widerstand. Geht der Einbrecher dagegen davon aus, dass der Inhaber der Box die Herstellerempfehlung berücksichtigt und eine vierstellige Kombination „for keyless convenience and increased security“ gewählt hat, dann dauert der Spaß maximal ca. 25 Minuten, im Durchschnitt bietet die Box sogar nur ca. 12 Minuten Widerstand!

Ausgeträumt in 30 Sekunden

Das ist bereits ziemlich ernüchternd, denn ein Sicherheitsgefühl stellt sich bei 12 Minuten Tastendrücken nicht ein. Doch das Blatt wendet sich endgültig mit einem weiteren Blick auf den Schließmechanismus in (2) und (3): Je nach Stellung des Druckknopfes - durch 180°-Drehung konfiguriert als Teil der Geheimkombination oder nicht - verändert sich dessen Hubweg. Wird also der Schieber zum Öffnen der Box heruntergedrückt (1) und ist der Knopf Teil der Geheimkombination, dann beträgt der Hubweg nahezu 0. Ist der Knopf nicht Teil der Geheimkombination, dann ist der Hubweg einen knappen Millimeter länger.

In einer Einfachblindstudie mit einem Prüfungsteilnehmer hat sich herausgestellt, dass eine geschlossene Box mit einer für den Prüfling unbekannten Geheimkombination allein durch Ertasten des Hubweges bei gleichzeitig heruntergedrücktem Schieber sicher in ca. 30 Sekunden geknackt werden konnte.

30 Sekunden…! Da macht sich Resignation breit und geläutert die Erkenntnis:

„Smart or not, it’s vulnerable!“

PS: Die Verwunbarkeit dieser Schlösser ist nicht neu und vergleichbare Angriffe sind seit Jahren bekannt - siehe z. B. LockPickingLawyer oder Oak City Locksport. Dass ein Hersteller ein so offensichtlich ungeeignetes Schloss ohne Warnhinweise weiter in den Handel bringt, ist leider ebenfalls nichts neues.