Veiligheid in de kijker: Nuki versleutelingsconcept – eenvoudig uitgelegd

Het beschermen van ons eigen huis is een fundamentele menselijke behoefte. We willen ons tenslotte veilig en geborgen voelen binnen onze eigen vier muren. Met de toenemende digitalisering worden ook onderwerpen als gegevensbescherming en gegevensbeveiliging steeds belangrijker. Als producent van elektronische deursloten worden we vaak geconfronteerd met veiligheidsvragen van onze klanten: Hoe veilig is Nuki? Kan het Nuki Smart Lock worden gehackt? Wat gebeurt er als ik mijn smartphone kwijtraak? Bewaart Nuki mijn persoonlijke gegevens?

Belang van veiligheid bij Nuki

Wie Nuki al kent vanaf het begin, weet dat we bijzonder veel belang hechten aan veiligheid. Het is niet voor niets dat we de trefwoorden SMART, EENVOUDIG en VEILIG gebruiken om het merk Nuki (“new key”) te beschrijven. Het spreekt voor zich dat we onze producten ook regelmatig laten testen door onafhankelijke veiligheidsinstituten, zoals AV-test. In 2018 en 2019 hebben we het AV-testproces met succes doorstaan en de Nuki Combo en Nuki Opener laten certificeren als “secure smart home products”. Ook het Nuki-versleutelingsconcept werd positief belicht. In deze blogpost zullen we op een overzichtelijke manier uitleggen wat er achter dit concept zit.

Bluetooth als communicatiestandaard

Er wordt gebruik gemaakt van Bluetooth Low Energy (BLE), waardoor de Nuki Smart Lock met de Nuki-app kan communiceren. De actuele Bluetooth-standaard (BLE 5) wordt gekenmerkt door energie-efficiëntie en een groot bereik. Om veiligheidsredenen hebben we ons eigen versleutelingsprotocol ontwikkeld bij de normale Bluetooth-communicatie.

End-to-end versleuteling

Voor de communicatie tussen Nuki-app en Nuki Smart Lock wordt een afzonderlijke sleutel gebruikt, die alleen bekend is bij de twee apparaten. Als bescherming tegen aanvallers worden de gegevens al vóór de overdracht versleuteld door de afzender (bv. Nuki- app). Dit wordt gedaan met behulp van NaCl-methoden (Networking an Cryptography library). Hier worden eenmalige, unieke combinaties van cijfers en letters gebruikt. Deze versleutelde gegevens worden via Bluetooth verzonden en vervolgens door de ontvanger weer ontsleuteld (bv. Nuki Smart Lock).

Een vereenvoudigd voorbeeld:

De Nuki-app stuurt het commando “ontgrendelen” en versleutelt het zodat alleen de app zelf en het Nuki Smart Lock de sleutel kennen.

De Nuki-app stuurt het versleutelde bericht via Bluetooth naar het Nuki Smart Lock.

Het Nuki Smart Lock kent de sleutel en kan daarom het ontvangen bericht ontsleutelen en het commando “ontgrendelen” uitvoeren.

Versleuteling bij gebruik van de Nuki Bridge

Om onderweg de status van je deurslot te kunnen controleren via het log in de Nuki-app, heb je de Nuki Bridge nodig. Deze wordt thuis in een stopcontact in de buurt van het Smart Lock gestoken en aangesloten op je Wi-Fi-thuisnetwerk. Zo wordt een doorlopende verbinding met onze Nuki-servers gegarandeerd.

Bij het gebruik van de Nuki Bridge worden alle gegevens die van of naar je Nuki Smart Lock worden verzonden, natuurlijk ook versleuteld. Hiervoor wordt dezelfde sleutel gebruikt, die alleen bekend is bij je slimme deurslot en je Nuki-app. Noch de Bridge, noch de Nuki-server kan deze sleutel tijdens de overdracht ontcijferen. Wij kunnen de gegevens niet lezen en slaan tijdens de communicatie tussen Nuki-app en Nuki Smart Lock via de Bridge dan ook geen gegevens op onze servers op.

Uitwisseling en opslag van sleutels

De Nuki-app en het Nuki Smart Lock versleutelen hun commando’s onderling. Om ervoor te zorgen dat de gemeenschappelijke sleutel alleen zichtbaar is voor de twee apparaten, vindt een uitwisseling van de sleutel plaats. Deze zogenaamde “Diffie-Hellman-sleuteluitwisseling” gebeurt tijdens het pairing-proces tussen de app en het Smart Lock. Er wordt nu een geheime sleutel gegenereerd zonder dat deze ooit wordt doorgegeven. Dit gebeurt met behulp van publieke en geheime sleutels (public and private key). Een gemeenschappelijke sleutel wordt berekend op basis van deze gegenereerde, willekeurige variabelen.

Deze sleutels worden opgeslagen op je smartphone en zijn voor jou als gebruiker of andere apps niet toegankelijk. Als je je smartphone kwijtraakt, kun je de toestemming uit het Smart Lock verwijderen. Hiervoor heb je een andere geautoriseerde smartphone nodig. Je kunt je Smart Lock ook terugzetten naar de fabrieksinstellingen.

Challenge-response-procedure

Stel dat een aanvaller een vreemd huis wil hacken en probeert het commando “ontgrendelen” vast te krijgen om daarmee later een ontgrendelingsproces op gang te brengen. Om deze criminele replay-aanvallen te voorkomen, maken we gebruik van de challenge-response-procedure. Via het versleutelde kanaal wordt een enorm groot willekeurig getal van de ene kant naar de Nuki-app gestuurd (“Challenge”). Het Nuki Smart Lock moet dit aan de andere kant in het antwoord (“Response“) specificeren. Als er een verkeerd of geen willekeurig nummer wordt verzonden, wordt het commando afgewezen.

Een vereenvoudigd voorbeeld:
De Nuki-app ontvangt een willekeurig getal tijdens het ontgrendelen. Het commando “ontgrendelen” kan alleen naar het Nuki Smart Lock worden verstuurd als deze exact hetzelfde willekeurige getal bevat. Als een ander ontgrendelingscommando met hetzelfde willekeurige getal naar het deurslot wordt verstuurd, wordt het commando door het Nuki Smart Lock afgewezen.

Tot slot vatten we nog even de belangrijkste hoofdpunten samen:

Nuki hecht veel belang aan veiligheid. Daarom laten we onze producten ook regelmatig testen en certificeren door onafhankelijke veiligheidsinstituten. Om veiligheidsredenen hebben we naast de normale Bluetooth-communicatie ook een eigen vergrendelingslog opgezet. Net als bij online bankieren maakt Nuki gebruik van het end-to-end versleutelingsconcept. Ook bij het gebruik van de Nuki Bridge blijven je gegevens gegarandeerd beveiligd. Aanvallen door hackers kunnen succesvol worden tegengegaan door middel van de challenge-response-procedure. Als er geen of een onjuist willekeurig getal wordt verstuurd, wordt het ontgrendelingscommando bijvoorbeeld afgewezen.