Señales TPMS: seguimiento de coches sin GPS

Rastreo de Vehículos mediante Señales Pasivas de TPMS: Análisis de una Amenaza a la Privacidad

Las señales de los Sistemas de Monitorización de Presión de Neumáticos directos (dTPMS) se transmiten en claro con identificadores únicos y fijos para cada neumático. Desplegar una red de receptores SDR económicos a lo largo de las carreteras permite recopilar millones de mensajes, lo que posibilita detectar la presencia de vehículos, su tipo, carga y estilo de conducción. En un experimento de 10 semanas, se registraron más de 6 millones de transmisiones de 20.000 vehículos, incluyendo 12 verificados. El coste de un solo receptor es de unos 100 dólares, lo que hace que esta amenaza sea muy accesible.

Estructura y Modos de Funcionamiento de los dTPMS

Los dTPMS se diferencian de los iTPMS indirectos al medir directamente la presión y la temperatura mediante sensores dentro de los neumáticos. Las transmisiones se producen a 315/433 MHz con modulación ASK/FSK; la longitud del paquete es de 100 bits a 20 Kbit/s (5 ms por transmisión). El paquete incluye:

• Un preámbulo (0x55555556 o 0xaaaaaaa9);
• ID del sensor (24–32 bits);
• Temperatura y presión;
• Indicadores (estado de la batería);
• CRC.

Activación: mientras se mueve — intervalos de 30–120 segundos, o mediante un pulso LF (125 kHz). Modos (según Schrader): conducción (1 mensaje/7,5 s), reposo (1/hora), identificación. Algunos sistemas transmiten continuamente, incluso cuando están aparcados.

Modelo de Amenaza: Una Red de Receptores SDR

La vigilancia pasiva se construye utilizando RTL-SDR + Raspberry Pi. Los receptores capturan señales en un radio de hasta 40 metros, agregando los datos para el rastreo. Los algoritmos emparejan los IDs de los cuatro neumáticos con un solo vehículo basándose en patrones temporales, RSSI y parámetros (presión, temperatura).

Datos clave extraíbles:

• Presencia y Rutas: Una secuencia de detecciones a través de la red de receptores construye una trayectoria.
• Tipo de Vehículo: Agrupación de IDs por marca/modelo (protocolos propietarios).
• Carga: Las variaciones de presión se correlacionan con el peso.
• Estilo de Conducción: Frecuencia de transmisión, aceleraciones inferidas a partir de deltas RSSI y datos del sensor de movimiento.

En 12 vehículos de prueba, la precisión del emparejamiento de neumáticos fue superior al 95%, y los perfiles de movimiento se reconstruyeron con un error inferior al 5%.

Métodos de Análisis de Señales

Recolección: 5 unidades RTL-SDR en carreteras, 10 semanas, >6 millones de paquetes. Procesamiento:

• Demodulación y decodificación de preámbulos/IDs;
• Agrupación por ID (fijo durante la vida útil del neumático);
• Emparejamiento de neumáticos con vehículos: ventana temporal + contexto geográfico + patrones RSSI;
• Perfilado: Modelos de ML sobre características (intervalos de transmisión, deltas de presión, temperatura).

Ejemplo de un paquete decodificado (típico de Schrader):

Preámbulo: 0x55555556
ID: 0x1A2B3C4D
Presión: 2,2 bar
Temperatura: 25°C
Batería: OK
CRC: 0xE7

El despliegue es escalable: miles de vehículos pueden ser rastreados automáticamente.

Conclusiones Clave

• Los IDs fijos transmitidos en claro permiten un rastreo permanente sin el consentimiento del propietario;
• Una red de 5 receptores por 500 dólares puede cubrir un área, capturando más de 20.000 vehículos;
• Los datos extraídos incluyen no solo rutas, sino también carga y estilo de conducción a partir de métricas pasivas;
• La falta de cifrado en los dTPMS es pasada por alto por las regulaciones (UNECE R155);
• Recomendación: Rotación de IDs, cifrado y salto de frecuencia para nuevos sistemas.

— Editorial Team