Контроллер TM-1000 – Не совсем секретный замок!

22-01-2008 10:39

ВНИМАНИЕ – КОНТРОЛЛЕР TM-1000 – НЕ СОВСЕМ СЕКРЕТНЫЙ ЗАМОК!

Приобрёл недавно себе контроллер TM-1000 (фирмы GARANT)
Решил себе скромненькую СКД замастрячить.

Назначение контроллера:
Для применения в простых и недорогих системах контроля доступа.
Принцип работы контроллера основан на сравнении ранее занесенных в память ключей с кодом поднесенного ключа.
При совпадении кодов активируется выход на замок на заданное время.
В качестве ключей используются идентификаторы Touch Memory (iButton) фирмы Dallas Semiconductor. 280 триллионов комбинаций!

Прелестная штучка. Можно «зашить» 1…2 мастер ключа и 2000 пользовательских.
2000 мне конечно не нужно, но девайс позволяет.
Начал я с ним «играться».
«Зашил» один ключ мастером а второй пользовательским.
Работает, супер! Мастер нужен для запоминания (стирания) ключей и т.п., пользовательские соответственно замочек открывать.
Тут приходит ко мне товариСЧ, и приносит «универсальный ключ», этим ключом практически любой «Цифрал» можно открыть. Такой ключик можно купить в любой ключной мастерской за 80 рупий.
Дай думаю испытаю на своём контроллере.
Прикладываю ………, а он РАБОТАЕТ КАК МАСТЕР КЛЮЧ!!!!! недовольство, огорчение

Ладно думаю, врёшь – не возьмёшь!
Зашиваю два мастер ключа, тем самым занимаю всю область выделенную под это дело!
Зашиваю несколько пользовательских. Пробую.
Подношу «универсальный ключ» и он, сволочь, просто ОТКРЫВАЕТ МОЙ ЗАМОК!!!!! недовольство, огорчение

ВОТ ТЕБЕ И КОНТРОЛЬ И УПРАВЛЕНИЕ ДОСТУПОМ!!!!!

22-01-2008 12:51

Очень интересно. Я думаю, что это производитель специально дыру оставил в софте. Для собственных нужд. А кто-то эту тайну умыкнул.

23-01-2008 11:56

MAN, теперь есть возможность привлечь их производителей, если в паспорте написано невозможно подобрать или нечто похожее! А вообще очень интересно!

23-01-2008 12:02

MAN, что за ключ? Есть внешнее питание?

23-01-2008 16:04

Попробуй этот универсальный ключ на замке других производителей ,если есть возможность. А вообще- то такие вещи серийного производства применять вряд ли целесообразно , надежнее свои разработки . Еще Microchip предлагает для таких целей свои комплекты и тоже убедительно уверяет что подобрать код и открыть нельзя .

23-01-2008 16:21

Та это всё херня. Судя по крутым боевикам, для открывания любого замка достаточно выстрелить в пульт. Или оторвать его и замкнуть проводочки.

23-01-2008 22:46

Satrap, всё, иду пистик покупать.

luca, боюсь, что мы не в америке, я координат производителя никак найти не могу для технической поддержки. Да и цена вопроса пока измеряется лишь стоимостью контроллера, поскольку влепить я его никуда не успел.

yant, пробовал на домофонах цифрал, 5 из 5 открыл.

Немцов, сделал фотки, ключик перепрошиваемый (товариСЧ сказал)

24-01-2008 07:33

Satrap писал:

Я думаю, что это производитель специально дыру оставил в софте

Скорее всего так и есть. Может программист решил свести счеты с заказчиками и в отместку открыл тайну кода?

24-01-2008 07:40

Немцов, во всех системах безопасности самое слабое звено - человек. Наверное, автор софта действительно решил рассчитаться с руководством или немножко подзаработать.

24-01-2008 08:23

Satrap, с этой штучкой http://kazus.ru/shemes/showpage/0/880/1.html вряд-ли успеет заработать. голливудская улыбка

24-01-2008 09:49

Подведём промежуточные итоги:
iButton DS1990A имеет 6 байтный (48 битный) код - факт
В десятичной системе это 281474976710655 комбинаций - факт
В двоичной системе это выглядит так 111111111111111111111111111111111111111111111111 - факт
Задача ключа выдать свой код по запросу протокола связи - факт
Коды ключей DS1990A индивидуальны - факт (фирма Dallas Semiconductor забожилась)
Копии ключей DS1990A можно сделать - факт
Для изготовления копии необходим доступ к ключу оригиналу - факт
"Универсальные" ключи существуют благодаря программерам - факт
Программеры большие шутники - факт
"Универсальные" ключи используют "дыры" (backdoor) в ПО контроллеров - факт

СУПЕР_ОТМЫЧКА СУЩЕСТВУЕТ!
USER MANUAL:
http://www.consultant.ru/popular/ukrf/10_30.html#p1938
http://www.consultant.ru/popular/ukrf/10_30.html#p1968

Всем СПАСИБО! улыбка

MAN

05-02-2008 18:33

про универсальный ключ. Это действительно дыра и есть во всех дешёвых контроллерах. Причём простая до смеху. Контроллер проверяет ключ (причём обычно только последнии 4 байта - контроллер то дешёвый) с записаными в ЭСПЗУ. А как выглядят пустые ячейки ? То есть если записать ключ вида FFFFFF......FFFFFF что будет ? Правильно , он уже везде прописан )))))))))))))))))))) Подверженны все домофоны типа Цифрал ТС, Визит, Метаком, и прочие на даласе

05-02-2008 19:51

*Stranger*, во-первых, это дыра не в контроллерах, а в ихнем программном обеспечении, которое пишет производитель. Цена контроллера тут никакой роли не играет. Сколько байт будет проверять контроллер - тоже зависит от автора программы, а не от степени дороговизны контроллера. 48 бит даже на счётах проверить можно, а не то что самым примитивным контроллером. А в тех четырёх байтах, которые якобы только и проверяет якобы дешёвый контроллер, влезет 4294967296 комбинаций, что полностью исключает случайное совпадение кода универсального ключа с теми четырьма байтами. Так что, батенька мой, ваша теория - полное фуфло. Обычная дыра и никаких случайностей тут нет.

08-02-2008 13:48

А я о чём ? да программа. неправильный алгоритм. О котором только 2 года назад стало известно ) Если забить память ключами всю , универсальный ключ перестаёт работать (стандартно на домофоне память на 255 ключей) Только у меня вовсе не теория ) Проверь , если не лень. Я ж вроде объяснил. А про дешёвые или дорогие..... Вы думаете на конторе из 5 человек штампующей эти платы кто-то задумывается о ПО которое писал наёмный програмёр баксов за 100 ? Кстати в далласах первая часть ключа всегда нули , только последнии 4 тетрады значащии, номер ключа выгравиран на таблетке.

Добавлено 08-02-2008 13:52

исчо, ежели бы контроллер проверял (и писал) весь ключ , время бы увеличилось заметно (до 1,5-2 сек) что несколько неудобно для пользователя

08-02-2008 14:10

Мил человек, что ты такое рассказываешь? Чтоб проверить 48 бит нужно две секунды? Контроллеры что, на электромагнитных реле собраны? Самый убогий ПИК на одну операцию тратит одну микросекунду. Ключ в любом случае передаёт всю свою длину, раньше проверка начаться не может. И что такое первая часть ключа, в которой все нули? Длина ключа 6 байт, нет там никаких частей. И не нужно путать то, что выгравировано на таблетке с тем, что внутри неё записано.

Добавлено 08-02-2008 13:17

Кстати, о времени чтения и проверки.

Порядок выдачи содержимого ПЗУ при исполнении команды ЧТЕНИЕ ПЗУ следующий: код семейства(01H для DS1990A ), 48 бит уникального номера и последним идет 8-битный код контроля. Передача идет побитно, младший значащий разряд идет первым. Прием считается завершенным, только если вычисленный мастером на основе уникального номера по стандартной формуле контрольный код, совпадает с принятым контрольным кодом из ПЗУ iButton. Полный цикл считывания ПЗУ длится около 5мс.

08-02-2008 14:54

я не о считывании, это не проблема. я о проверке. то есть Атмел считанный код сверяет с записанными в ЭСПЗУ, а их там минимум 255. если поиск не оптимизирован то тупо по очереди шерстится ВСЯ память. А если контроллер с расширенной памятью (255 часто мало) ?вот и умножай такты )

08-02-2008 15:05

А если проверять не 6 байт, а только 4, то всю память шерстить не нужно?

08-02-2008 15:21

размер памяти. От него собственно и пляшется. Да и зачем писать ВЕСЬ ключ ?? Нет , ну можно конешно оптимизировать поиск, и искать нормально. Но я реально ставил контроллеры с расширенной памятью которые очень задумчивы) Сигнализация ,кстати , тоже на далласах но думает порядочно (0,5 сек)

08-02-2008 15:29

Вообще-то, мы отклонились от темы. Если даже проверять ввсего один байт, то это не способ заставить универсальным ключом открывать любой замок.

08-02-2008 15:32

ТАК я об этом написал !!!!! Сделай ключ с номером FFFFFF.......FFFFFFFF и тебе открыты все двери )

08-02-2008 15:40

FFFFFF.......FFFFFFFF - это ж сколько байт длина номера? Я насчитал 7, а ещё многоточие. А производитель утверждает, что номер у него всего 6 байт. И ты ж кричал, что всего 4 байта проверяются. И с какой радости он будет открывать? Если номер, забитый а памяти замка, будет 0000000000, то с какой радости его FFFFFFFFFFFF откроет?

08-02-2008 15:59

для краткости написал. Ключ весь f. пустую память на програматоре посмоти - что там ?я устал объяснять. Почитай первый мой пост. контроллер проверяет на соответсявие все ячейки. если есть пустые -там и записан унивесальный ключ. Неужели не понятно.про 4 байта наврал. 4 последних тетрады = 16 бит из 48

08-02-2008 16:28

Кажется, понял, что ты хотел сказать. В новой чистой памяти все биты установлены в 1. Если ключ будет выдавать тоже единицы, то глупая программа подумает, что в чистой памяти тоже хранятся коды ключей и они совпадают с тем, что записано в нашем универсальном ключе. Так? Если так, то автору программы нужно заживо оторвать все яйца. Не думаю, что более-менее нормальный программист так написал бы. Обязана быть таблица зарегистрированных ключей, где указано, какая часть памяти под ключи пользуется, а какая свободная. Кроме того, автор темы утверждал, что универсальный ключ открывал замок, как мастер-ключ, а оба мастер-ключа он забил. Так, что в данном случае это обьяснение всё-таки не катит.

Добавлено 08-02-2008 15:35

Та не, так программа написана быть не может. Как минимум, нужно знать, с какого адреса добавлять новый ключ. Этот адрес нужно где-то фиксировать. И дальше этого адреса искать ключ нет смысла. Только полный дебил мог сотворить такую программку, которая будет шерстить всю память до конца.

08-02-2008 17:32

Факт всё равно имеет место быть. Проверить не сложно ) А ругать разработчика не стоит, на первое место ставится дешевизна, то есть объём ЭСПЗУ, а глюк обнаружили только когда начали производить ключи с возможностью изменения кода номера (Метаком а потом и другие) у Далласа он зашит намертво и не меняется а потому и мысли такой у разработчиков не было. Ключ кстати добавляется в режиме програмирования, и добавляется на свободное место. Огромный минус в таких контроллерах - невозможно (простым способом , без програматора ) удалить утерянный ключ, приходится удалять ВСЕ и прописывать заново.

Добавлено 08-02-2008 17:40

в домофонах бывает пол памяти забито потерянными ключами, новый записать нельзя (память закончилась) и приходится начинать эпопею по перезаписыванию всех ключей - ужас

Добавлено 08-02-2008 17:45

в авторском посту подтверждение - универсальный ключ работал как мастер до програмирования 2-го мастера ) а потом только как пользовательский

08-02-2008 17:59

Да, похоже на правду. Только мне трудно поверить в такую дырищу. Можно неиспользованную память забить чем-то случайным, тогда универсальный ключ работать перестанет.

08-02-2008 18:26

Можно, если есть время и желание) Не стоит относится серьёзно к технике стоимостью 15-20 баксов

10-02-2008 10:05

Satrap писал:

Только полный дебил мог сотворить такую программку, которая будет шерстить всю память до конца.

Да уж, если тема разойдется, то автор софта точно по башке получит. Он ведь уверен, что ключ с FF-ками только один единственный в мире, самый первый выпущенный далласом и хранится в музее. голливудская улыбка

10-02-2008 11:47

А ведь легко заткнуть эту дыру. Перед продажей замка заполнить всю память чем-то случайным неповторяющимся. Тогда и продавцы универсальных ключей окажутся в пролёте. Как бы от них в рыло не получить. Но, естественно, возможность снять копию с ключа пользователя остаётся. Но для этого нужно иметь доступ к этому ключу.

11-02-2008 12:56

проблемы негров шерифа не косаются. Может кто привести пример невзламыевого замка ?

19-03-2008 13:31

Мужики! Обсуждаем вечные темы - замки и ключи,одни делают-другие ломают,так было и так будет всегда

19-03-2008 13:46

Та никто ж не возражает. Но это не значит, что нужно оставлять двери настежь открытыми. Тем более, что закрыть эту дыру проще паренной репы. Всего лишь вставить команду

if key = FFFFFF... then нихуя не открывать.

И все универсальные ключи сосут в три глотки вместе с ихними продавцами. На ассемблере это будет с десяток команд. Никакого удорожания. Просто программист халатно отнёсся к своей работе.

17-01-2009 01:14

Satrap писал:

А ведь легко заткнуть эту дыру. Перед продажей замка заполнить всю память чем-то случайным неповторяющимся. Тогда и продавцы универсальных ключей окажутся в пролёте. Как бы от них в рыло не получить. Но, естественно, возможность снять копию с ключа пользователя остаётся. Но для этого нужно иметь доступ к этому ключу.

недавно проверил -- программа домофона метаком начинает думать что свободное место в памяти закончилось и записать новый ключ становится нгевозможно.
вариант в этом случае только единственный - программировать новый ключ не отходя от кассы - то есть один мастер держит открученный раскрученный домофон,другой мастер вытаскивает эпромку и тут же на месте её редактирует - заносит номер ключа непосредственно в память спомощью компактного программатора на основе нетбука например,а номер берётся непосредственно с самой таблетки причём вводится задом наперёд и только 4ре байта. проверено опытным путём.
кстати интересно всё таки - какова судьба яиц этого долбаного программиста?... только надо думать он не один такой,тк не прошитой болванкой тн "вездеход" открываются все "визиты" все "метакомы" и часть некоторых других домофонов -проверено.

Добавлено 17-01-2009 01:18

alex-dao666 писал:

Мужики! Обсуждаем вечные темы - замки и ключи,одни делают-другие ломают,так было и так будет всегда

это не тот случай. тут достаточно добавить в программу игнорирование,а еще лучше ПОРЧУ ключей-болванок (с цифрой "3" на тыльтной стороне таблетки) и все! проблема решена.

пс. кстати конкретно для метакома выпущена новая версия прошивки -была 1.0 , а новая -1.3 в которой как говорят разработчики - все дыры полностью устранены и добавлены еще какие то функции.