Grundlagen von RF und SDR

Radiofrequenz (RF) ist die unsichtbare Angriffsfläche, die jede moderne Umgebung umgibt. Schlüsselanhänger, Garagentore, Gebäudezugangskarten, drahtlose Sensoren, Drohnen, medizinische Telemetrie und IoT-Geräte übertragen Daten über Funk.

Im Gegensatz zu einem Netzwerkkabel lässt sich RF physisch nicht vollständig abschirmen. Jeder, der sich mit einem Empfänger in Reichweite befindet, kann mithören, und viele Systeme wurden entwickelt, bevor Sicherheit eine Priorität war.

• Viele RF-Protokolle übertragen Daten im Klartext.
• Replay-Schutz fehlt häufig oder ist nur unzureichend umgesetzt.
• Legacy-Geräte für industrielle Anwendungen und Zutrittskontrolle werden nur selten gepatcht.

Als Praktiker können Sie durch das Verständnis von RF Risiken bewerten, die herkömmliche Netzwerktools vollständig übersehen.

Ein Funksignal ist eine elektromagnetische Welle, die durch drei zentrale Eigenschaften beschrieben wird:

• Frequenz — Zyklen pro Sekunde, gemessen in Hertz (Hz). Häufige Zielbereiche liegen bei 315 MHz, 433 MHz, 868 MHz, 915 MHz und 2,4 GHz.
• Amplitude — die Stärke oder Höhe der Welle.
• Phase — die zeitliche Verschiebung der Welle relativ zu einer Referenz.

Bei der Modulation werden Daten codiert, indem eine dieser Eigenschaften verändert wird. Die Demodulation kehrt diesen Vorgang um, um die ursprünglichen Bits wiederherzustellen.

Zu erkennen, wie ein Ziel Daten moduliert, ist der erste Schritt beim Aufzeichnen und Interpretieren seiner Übertragungen.

In der Praxis werden Ihnen immer wieder einige Modulationsfamilien begegnen:

• ASK / OOK (Amplitude/On-Off Keying) — Bits werden durch das Vorhandensein oder Fehlen des Trägers dargestellt. Bei günstigen 433-MHz-Fernbedienungen ist dieses Verfahren äußerst verbreitet.
• FSK (Frequency Shift Keying) — Bits verschieben die Trägerfrequenz. Dieses Verfahren wird von vielen Sensoren und BLE verwendet.
• PSK (Phase Shift Keying) — Bits verschieben die Phase. Dieses Verfahren wird bei Verbindungen mit höherem Datendurchsatz eingesetzt.
• GFSK — eine gaußgefilterte FSK-Variante, die von Bluetooth verwendet wird.

Wenn Sie die Modulation identifizieren, wissen Sie, welchen Decoder Sie bei der Analyse eines Mitschnitts einsetzen müssen.

Ein Software-Defined Radio (SDR) verlagert die Signalverarbeitung von fest verbauter Hardware in die Software. Statt eines Chips, der auf eine Frequenz und ein Protokoll festgelegt ist, digitalisiert ein SDR einen breiten Spektrumbereich, sodass die Software die Demodulation übernimmt.

Diese Flexibilität macht SDR zum universellen Werkzeug für die RF-Forschung:

• Ein Gerät kann Garagenfernbedienungen, Pager, ADS-B und vieles mehr analysieren.
• Neue Protokolle werden durch das Schreiben von Code unterstützt, nicht durch den Kauf neuer Hardware.
• Sowohl der Empfang als auch — mit geeigneter Hardware — das Senden sind möglich.

Der Nachteil ist die Komplexität: Sampling, Filterung und Demodulation müssen Sie selbst verstehen.

SDR-Hardware reicht von günstigen Empfängern bis zu vollständigen Transceivern:

• RTL-SDR — etwa 20 USD, nur Empfang, ungefähr 24 MHz bis 1,7 GHz. Ideal zum Lernen und Mithören.
• HackRF One — Senden und Empfangen, 1 MHz bis 6 GHz, Halbduplex. Ein verbreitetes Arbeitspferd für Forschungszwecke.
• bladeRF / USRP — Vollduplex und höhere Samplingraten, für anspruchsvolle Protokollarbeit.

Ein typischer Aufbau kombiniert das SDR mit geeigneten Antennen. Zum Senden ist eine gesetzliche Genehmigung erforderlich; außerdem müssen geeignete Antennen verwendet werden, um Hardwareschäden und Störungen zu vermeiden.

SDRs wandeln analoges RF in einen Strom digitaler Samples um. Die Samplingrate bestimmt, wie viel Bandbreite Sie gleichzeitig beobachten können.

Das Nyquist-Theorem besagt, dass Sie mindestens mit der doppelten Bandbreite des Signals sampeln müssen, das Sie aufzeichnen möchten. Ein SDR mit 2 Msps kann etwa 2 MHz Bandbreite zuverlässig darstellen.

• Eine zu niedrige Samplingrate führt zu Aliasing und verfälscht den Mitschnitt.
• Eine zu hohe Rate belastet USB-Durchsatz und CPU und verursacht verworfene Samples.

Samples werden als I/Q-Paare (In-Phase und Quadratur) gespeichert, die gemeinsam sowohl Amplitude als auch Phase codieren.

Ein praxisnaher SDR-Workflow basiert auf einer kleinen Auswahl ausgereifter Tools:

• GQRX / SDR++ — grafische Empfänger zum Durchsuchen des Spektrums in Echtzeit.
• GNU Radio — eine Flowgraph-Umgebung zum Erstellen eigener Demodulatoren.
• Universal Radio Hacker (URH) — zum visuellen Aufzeichnen, Demodulieren und Decodieren digitaler Protokolle.
• rtl_433 — decodiert automatisch Hunderte bekannter 433-MHz-Geräte.

Beginnen Sie mit einer Untersuchung des Spektrums und wechseln Sie dann für eine ausführlichere Analyse zu URH oder GNU Radio.

Bevor Sie etwas angreifen, führen Sie eine Erkundung durch. Stellen Sie sich auf das erwartete Band ein und beobachten Sie die Wasserfallanzeige auf Energieschübe, wenn das Zielgerät sendet.

Beispiel: Empfangen Sie mit einem RTL-SDR auf dem gängigen 433,92-MHz-ISM-Band und lassen Sie rtl_433 Geräte in der Nähe automatisch decodieren.

Die Wasserfallanzeige zeigt Mittenfrequenz, Bandbreite und das Zeitverhalten der Bursts – all das hilft Ihnen bei den nächsten Schritten.

Arbeiten mit RF unterliegen strengen Vorschriften, und die Regeln unterscheiden sich je nach Land. Der Empfang ist im Allgemeinen weniger eingeschränkt als das Senden, aber auch die Auswertung bestimmter Kommunikationsvorgänge kann illegal sein.

• Das Senden auf lizenzierten Bändern ohne Genehmigung ist in den meisten Rechtsordnungen eine Straftat.
• Jamming ist nahezu überall illegal, auch zu Testzwecken.
• Testen Sie nur Geräte, die Sie besitzen oder deren Prüfung ausdrücklich autorisiert wurde.

Verwenden Sie für Tests mit aktiver Aussendung eine Faraday-abgeschirmte Umgebung, damit Ihre Signale nicht in die reale Welt gelangen. Dokumentieren Sie vor jedem aktiven RF-Test den Umfang Ihrer Autorisierung.

Die vollständige Analysepipeline wandelt rohe RF-Daten in aussagekräftige Informationen um:

• Aufzeichnen — I/Q-Samples mit der richtigen Frequenz und Abtastrate aufnehmen.
• Demodulieren — ASK-, FSK- oder PSK-Dekodierung anwenden, um einen Bitstrom wiederherzustellen.
• Taktrückgewinnung — die Symbolrate ermitteln, um die Bits korrekt auszurichten.
• Decodieren — eine Kodierung wie Manchester interpretieren und anschließend den Protokollrahmen analysieren.

Mit Tools wie URH können Sie all das visuell erledigen. Dabei werden Präambeln, Synchronisationswörter und Nutzdaten hervorgehoben, sodass Sie ein proprietäres Protokoll Schritt für Schritt reverse-engineeren können.

Das Verständnis der RF-Grundlagen liefert direkt wichtige Erkenntnisse für die Verteidigung:

• Gehen Sie davon aus, dass jede Funkverbindung beobachtet werden kann, und wählen Sie verschlüsselte, authentisierte Protokolle.
• Verlangen Sie Rolling Codes oder Challenge-Response, damit aufgezeichnete Übertragungen nicht erneut abgespielt werden können.
• Überwachen Sie kritische Bänder auf unerwartete Energie, die auf Jamming oder Spoofing hindeuten kann.
• Erfassen Sie alle Funkgeräte; ältere Geräte im 433-MHz-Band bieten oft überhaupt keine Sicherheit.

Das Ziel der RF-Forschung besteht nicht nur darin, Systeme zu überwinden, sondern auch darin, die drahtlosen Angriffsflächen zu bewerten und abzusichern, die Organisationen oft vergessen.

Sie verfügen nun über die RF- und SDR-Grundlagen für Arbeiten im Bereich der Funksicherheit:

• Funksignale werden durch Frequenz, Amplitude und Phase charakterisiert; Daten werden durch Modulationsverfahren wie ASK, FSK und PSK codiert.
• Ein SDR digitalisiert das Spektrum und demoduliert Signale per Software, sodass ein einziges Gerät viele Protokolle analysieren kann.
• Die Abtastrate muss das Nyquist-Kriterium erfüllen; Samples werden als I/Q-Paare gespeichert.
• Die Toolchain umfasst GQRX, GNU Radio, URH und rtl_433 und führt von der Erkundung bis zur Decodierung.
• Das Senden und Jamming sind rechtlich eingeschränkt; arbeiten Sie immer innerhalb des autorisierten Umfangs und in abgeschirmten Umgebungen.

Als Nächstes wenden Sie diese Grundlagen auf konkrete Protokolle an, beginnend mit Bluetooth.