Teknik för digitala bilnycklar

En digital bilnyckel är en kryptografisk behörighetsuppgift som lagras på en kompatibel telefon, klocka eller annan säker enhet. Den kan ge behörighet att låsa upp och köra, men säkerheten beror lika mycket på avståndsmätning, registrering, kontoåterställning och återkallelse som på radiotekniken.

Tre radiotekniker, tre uppgifter

System för digitala nycklar kombinerar vanligtvis NFC, Bluetooth Low Energy och ultrabredband i stället för att välja bara en teknik.

Närfältskommunikation (NFC) fungerar över ett mycket kort avstånd. Att avsiktligt hålla enheten mot läsaren vid dörren eller i kupén ger användaren en tydlig fysisk handling och kan erbjuda en reservväg när passiv åtkomst inte är tillgänglig. Enheter med stöd kan behålla en begränsad NFC-nyckelfunktion när batterinivån är låg.

Bluetooth Low Energy (BLE) används för upptäckt och ger en flexibel kommunikationskanal. Det kan möjliggöra knappliknande fjärråtgärder och bidra till att fastställa att en behörig enhet finns i närheten, men signalstyrkan i sig är inte en tillförlitlig avståndsmätning.

Ultrabredband (UWB) mäter signalens överföringstid för att uppskatta avstånd och riktning på ett säkrare sätt. Digital Key Release 3 från Car Connectivity Consortium använder BLE tillsammans med UWB för handsfreeåtkomst som tar hänsyn till positionen och behåller samtidigt kompatibiliteten med NFC. UWB är avsett att motstå reläattacker genom att verifiera fysisk närhet, men fordonet, enheten och implementeringen måste alla stödja den säkra metoden för avståndsmätning. Car Connectivity Consortium Digital Key Release 3 v1.1

Det som händer vid åtkomst

Telefonen överför inte ägarens vanliga kontolösenord till bilen. En etablerad enhet innehåller en fordonsspecifik behörighetsuppgift som vanligtvis skyddas i manipulationsbeständig maskinvara. Fordonet och enheten autentiserar varandra, upprättar en skyddad session och godkänner en bestämd åtgärd.

Vid passiv åtkomst kan BLE upptäcka och kommunicera med enheten, medan UWB avgör om den finns utanför en viss dörr, inne i kupén eller nära bagageutrymmet. NFC kan ge åtkomst genom att enheten hålls mot läsaren när passiv funktion saknar stöd eller avsiktligt har inaktiverats.

Upplåsning, öppning av bagageutrymmet och godkännande av framdrivning bör vara separata behörigheter. Positionen är också viktig: En enhet nära utsidan av en dörr får inte misstas för en enhet inne i kupén.

CCC:s certifieringsprogram testar genomgående interoperabilitet för NFC-, BLE- och UWB-funktioner, inklusive nyckeldelning mellan plattformar och säkerhetsutvärdering. Certifiering är ett användbart belägg för testad interoperabilitet, men den garanterar inte skydd mot varje fel i en implementering eller på kontonivå. Car Connectivity Consortium Digital Key certification

Etableringen fastställer ägaren

Det mest riskfyllda ögonblicket kan vara när den första nyckeln skapas. En robust registreringsprocess verifierar fordonet, en befintlig behörighetsuppgift från ägaren och kontot eller enheten som får behörighet. Att lägga till ytterligare en nyckel bör kräva ett medvetet godkännande och ge en tydlig avisering.

Ägarens enhet kan därefter utfärda delade nycklar med begränsningar som:

en start- och sluttid;
åtkomst enbart för upplåsning eller bagageutrymme;
tillstånd att köra;
begränsningar för vidare delning; och
omedelbar avstängning eller återkallelse.

CCC beskriver en ägarenhet och stöd för ytterligare enheter åt andra personer samt delning, avslutande och avstängning av nycklar. Fordonstillverkare kan erbjuda färre styrmöjligheter, så köpare bör kontrollera den exakta implementeringen i stället för att anta att varje ”digital nyckel” följer hela standarden. CCC Digital Key: The Future of Vehicle Access

Telefonens plånbok och biometri

Nycklar i en digital plånbok kan använda säker maskinvara och telefonens skärmlås eller biometri för att skydda etableringen och känsliga åtgärder. Apple uppger att åtkomstuppgifter lagras i Secure Element och att inbjudningar till nyckeldelning skyddas från början till slut. Expressläge kan tillåta en nyckeltransaktion med stöd utan Face ID, Touch ID eller lösenkod; användare som föredrar uttrycklig autentisering kan stänga av läget för nyckeln. Apple Platform Security: access using Apple Wallet

Biometri autentiserar normalt personen mot telefonen eller den digitala plånboken. Det innebär inte att fordonet lagrar ett ansikte eller fingeravtryck, och det skiljer sig från en kamera för förarigenkänning i kupén. Ägare bör kontrollera vilka biometriska uppgifter som stannar på enheten, vilka uppgifter som når tillverkaren och vilken återställningsmetod som kringgår biometri.

Borttappade telefoner, tomma batterier och offlineanvändning

En praktiskt användbar digital nyckel behöver ett tydligt definierat reservförfarande:

Ett energisparläge med stöd kan hålla NFC-åtkomsten tillgänglig under en begränsad tid.
Ett nyckelkort eller en fysisk nyckelbricka kan ge en oberoende reservlösning.
Fjärråterkallelse kan inaktivera den borttappade enheten när anslutningen återkommer.
Processen för återställning av ägarkontot kan återställa åtkomst utan att försvaga nyckelregistreringen.

Fordonet och enheten kan tillfälligt lagra behörigheten så att normal åtkomst fungerar utan en aktiv mobilanslutning. Molnanslutning kan ändå behövas för den första etableringen, fjärrdelning, återkallelse eller kontoåterställning.

Om en telefon tappas bort ska du markera eller radera den via enhetsplattformen, återkalla dess fordonsnyckel från en annan behörig enhet eller tillverkarkontot och granska delade förare samt kontosessioner. Bytet av telefon är inte slutfört förrän det har bekräftats att den gamla behörighetsuppgiften har tagits bort.

Hot och konstruktiva motåtgärder

Reläattacker utnyttjar svaga närhetskontroller. Säker UWB-mätning av överföringstid är en direkt motåtgärd; BLE-signalstyrka är inte likvärdig.

Kontoövertagande kan missbruka legitim etablering eller fjärrstyrning. Flerfaktorsautentisering, ett nytt godkännande för åtgärder med stor påverkan och registreringsaviseringar minskar risken.

Stulna, olåsta enheter kan exponera nycklar eller ägarappar. En stark enhetskod, maskinvaruskyddad lagring och fjärradering är viktiga.

Överdriven delning lämnar bortglömda behörighetsuppgifter aktiva. Synliga nyckelförteckningar, utgångstider och återkallelse med ett tryck gör livscykeln hanterbar.

Kompromettering av backend eller uppdatering kan påverka många fordon samtidigt. Fordonets cybersäkerhet, signerade uppdateringar, övervakning och incidenthantering behövs fortfarande utanför nyckelprotokollet.

Det här bör ägare kontrollera

Innan du förlitar dig på en telefon som enda nyckel bör du kontrollera:

vilka versioner av telefon, klocka, operativsystem och fordon som stöds;
stöd för NFC, BLE och UWB på den exakta enheten och utrustningsnivån;
reservmetoden vid urladdat telefon- eller fordonsbatteri;
om passiv åtkomst kan inaktiveras;
varje aktiv ägare, delad nyckel och tillåten funktion;
flerfaktorsautentisering och säkerheten för återställningsadressen för e-post;
aviseringar om en nyregistrerad nyckel eller förare; och
processen vid vidareförsäljning för att radera plånboksnycklar och överföra ägarskapet.

Se Vehicle access basics för äldre nyckelbrickor och passiv åtkomst. Se Theft prevention and recovery för skydd i flera lager efter att en behörighetsuppgift har fallerat.