TPMS-Signale: Autoverfolgung ohne GPS

Fahrzeuge über passive TPMS-Signale verfolgen: Eine Analyse der Datenschutzbedrohung

Signale von direkten Reifendruckkontrollsystemen (dTPMS) werden unverschlüsselt mit festen, eindeutigen Reifen-IDs übertragen. Ein Netzwerk kostengünstiger SDR-Empfänger entlang von Straßen ermöglicht das Sammeln von Millionen Nachrichten, um Fahrzeugpräsenz, Typ, Beladung und Fahrstil zu erfassen. In einem 10-wöchigen Experiment wurden über 6 Millionen Übertragungen von 20.000 Fahrzeugen aufgezeichnet, darunter 12 verifizierte. Die Kosten für einen einzelnen Empfänger liegen bei etwa 100 Euro, was diese Bedrohung leicht zugänglich macht.

Aufbau und Betriebsarten von dTPMS

dTPMS unterscheiden sich von indirekten iTPMS durch die direkte Messung von Druck und Temperatur über Sensoren in den Reifen. Übertragungen erfolgen bei 315/433 MHz mit ASK/FSK-Modulation; die Paketlänge beträgt 100 Bit bei 20 Kbit/s (5 ms pro Übertragung). Das Paket enthält:

• Eine Präambel (0x55555556 oder 0xaaaaaaa9);
• Sensor-ID (24–32 Bit);
• Temperatur und Druck;
• Flags (Batteriestatus);
• CRC.

Aktivierung: während der Fahrt – Intervalle von 30–120 Sekunden, oder über einen LF-Impuls (125 kHz). Betriebsarten (nach Schrader): Fahren (1 Nachricht/7,5 s), Ruhe (1/Stunde), Identifikation. Einige Systeme senden kontinuierlich, auch im Stand.

Bedrohungsmodell: Ein Netzwerk von SDR-Empfängern

Passive Überwachung wird mit RTL-SDR + Raspberry Pi aufgebaut. Empfänger erfassen Signale innerhalb eines Radius von bis zu 40 Metern, wobei Daten zur Verfolgung aggregiert werden. Algorithmen ordnen die IDs von vier Reifen einem einzelnen Fahrzeug basierend auf zeitlichen Mustern, RSSI und Parametern (Druck, Temperatur) zu.

Wesentliche extrahierbare Daten:

• Präsenz und Routen: Eine Abfolge von Detektionen im Empfängernetzwerk erstellt eine Spur.
• Fahrzeugtyp: Clustering von IDs nach Marke/Modell (proprietäre Protokolle).
• Beladung: Druckänderungen korrelieren mit Gewicht.
• Fahrstil: Übertragungsfrequenz, Beschleunigungen abgeleitet aus RSSI-Deltas und Bewegungssensordaten.

Bei 12 Testfahrzeugen lag die Reifenzuordnungsgenauigkeit bei über 95 %, und Bewegungsprofile wurden mit einem Fehler von <5 % rekonstruiert.

Methoden der Signalanalyse

Sammlung: 5 RTL-SDR-Einheiten an Straßen, 10 Wochen, >6 Millionen Pakete. Verarbeitung:

• Demodulation und Decodierung von Präambeln/IDs;
• Clustering nach ID (fest für die Lebensdauer des Reifens);
• Zuordnung von Reifen zu Fahrzeugen: Zeitfenster + Geo-Kontext + RSSI-Muster;
• Profilerstellung: ML-Modelle auf Merkmalen (Übertragungsintervalle, Druckdeltas, Temperatur).

Beispiel eines decodierten Pakets (typisch für Schrader):

Präambel: 0x55555556
ID: 0x1A2B3C4D
Druck: 2,2 bar
Temperatur: 25°C
Batterie: OK
CRC: 0xE7

Der Einsatz ist skalierbar: Tausende Fahrzeuge können automatisch verfolgt werden.

Wichtige Erkenntnisse

• Feste, unverschlüsselt übertragene IDs ermöglichen dauerhafte Verfolgung ohne Zustimmung des Eigentümers;
• Ein Netzwerk von 5 Empfängern für 500 Euro kann ein Gebiet abdecken und über 20.000 Fahrzeuge erfassen;
• Extrahierte Daten umfassen nicht nur Routen, sondern auch Beladung und Fahrstil aus passiven Metriken;
• Das Fehlen von Verschlüsselung in dTPMS wird von Vorschriften (UNECE R155) übersehen;
• Empfehlung: ID-Rotation, Verschlüsselung und Frequenzsprungverfahren für neue Systeme.

— Editorial Team