Der Fall des gehackten Zug-WCs

• In den barrierefreien WCs britischer Class-800-Züge wurde eine DoS-Schwachstelle bestätigt, die den Moment ausnutzt, in dem Türstatus und Bewertung des Verriegelungshebels auseinanderlaufen: Die Tür verriegelt sich, sobald sie geschlossen wird
• Das frühere Design mit Tasten trennte „Schließen“ und „Verriegeln“ und verhinderte so, dass jemand das WC von außen verriegeln konnte; für Nutzer war der Verriegelungszustand jedoch leicht zu verwechseln
• Das neuere Hebel-Design ist intuitiver, doch beim Hitachi-Ansatz wird der Hebel nicht zurückgestellt, sondern seine Bewegung mit einem Metallstift blockiert; dadurch entsteht ein Spalt zwischen Hebelspiel und der Bewertung durch die Steuerung
• Reproduzieren lässt sich das, indem man nach dem Schließen der Tür den Hebel nur so weit bewegt, dass der Verriegelungsstift nicht greift, die Tür wieder öffnet, sodass der Stift ins Leere ausfährt, und den Hebel anschließend in die Verriegelungsposition bewegt
• In einem Test wechselte die Türsteuerung in den out-of-order-Modus; die Vorführung wurde jedoch nur durchgeführt, wenn niemand wartete und der Zug mehrere WCs hatte

---

Verriegelungsstruktur der WC-Tür in Class-800-Zügen

• Britische Class-800-Züge verfügen über barrierefreie WCs mit elektrisch betriebenen Türen
• WCs der vorherigen Generation hatten innen Tasten für open, close und lock
  • Nutzer mussten close drücken, warten, bis die Tür geschlossen war, und anschließend lock drücken
  • Eine separate unlock-Taste gab es nicht; beim Drücken der inneren open-Taste wurde automatisch entriegelt und die Tür geöffnet
• Wenn „Schließen“ und „Verriegeln“ getrennt sind, lässt sich ein Denial-of-Service-Angriff verhindern, bei dem jemand close drückt und das WC verlässt, bevor die Tür geschlossen ist, wodurch es dauerhaft unbenutzbar würde
• Für Nutzer, die mit solchen Zustandsautomaten nicht vertraut sind, war das jedoch verwirrend; es konnte passieren, dass sie die Tür nicht richtig verriegelten oder fälschlich glaubten, sie sei verriegelt

Schwachstelle durch Hebelverriegelung

• Moderne barrierefreie WCs nutzen häufig einen Hebel statt Tasten, um die Tür zu verriegeln
  • Für Nutzer ist das intuitiver
  • Dieser Hebel ist allerdings kein mechanischer Hebel, der direkt mit dem tatsächlichen Schloss verbunden ist, sondern ein Eingang für einen Mikrocontroller
• Einige britische Züge behandeln Zustandsinkonsistenzen, indem der Hebel wieder in die Position unlocked zurückkehrt, wenn man ihn bei geöffneter Tür in die Verriegelungsposition bewegen will
• Beim Hitachi-Ansatz wird der Hebel nicht zurückgestellt; stattdessen fährt in Situationen, in denen er nicht in die Verriegelungsposition bewegt werden darf, ein kleiner Metallstift aus und hält den Hebel in der Position unlocked
• Die Schwachstelle entsteht durch das Spiel zwischen dem Punkt, an dem der Hebel als „verriegelt“ erkannt wird, und dem Punkt, an dem der Metallstift tatsächlich greifen kann
  • Nach dem Schließen der Tür lässt sich der Hebel bis zu einer Position bewegen, in der der Stift nicht greift, die Steuerung ihn aber noch nicht als locked liest
  • Öffnet man in diesem Zustand die Tür, fährt der Verriegelungsstift ins Leere aus
  • Da der Stift den Hebel nicht berührt, kann der Hebel in die locked-Position bewegt werden
  • Danach funktioniert die close-Taste weiterhin, und die Tür verriegelt sich sofort beim Schließen
• Ein Video, das dieses Problem demonstriert, wurde veröffentlicht
• Bei einem zweiten Test in einem Class-800-Zug wechselte die WC-Türsteuerung in den out-of-order-Modus
  • Beim ersten Test trat dieses Verhalten nicht auf
  • Als der Autor den Zug verließ, war das WC wieder in Betrieb
  • Ob es nach einer gewissen Zeit automatisch zurückgesetzt wurde oder ob jemand im Zug einen Reset durchgeführt hat, ist nicht bekannt
• Die Vorführung wurde nur durchgeführt, wenn sich niemand in der Nähe befand, der auf das WC wartete, und wenn der Zug mehrere WCs hatte; Zweck des Videos war nicht, ein WC tatsächlich per DoS außer Betrieb zu setzen, sondern die Möglichkeit zu zeigen

[GN⁺]

Meinungen auf Hacker News

• In der Grundschule gab es so etwas sogar bei analogen, von Hand betätigten Schlössern. An der Außenseite der Tür gab es so eine schnittstellenartige Schraubenschlitz-Vertiefung, und ein Kind, das fünf Minuten vor Unterrichtsende „auf die Toilette musste“, ging hinaus und schloss dann mit einem Schraubendreher oder Swiss Army knife von außen alle Kabinen ab, sodass alle Kabinen belegt wirkten

  • In der Grundschule habe ich die Tür in der Kabine abgeschlossen und bin dann oben drübergeklettert

• Mir ist es einmal passiert, dass sich in einem schwedischen Zug, während ich gerade mein Geschäft verrichtete, die elektrische Tür zu öffnen begann. Der Griff war in Reichweite, also versuchte ich, sie zuzudrücken, aber am Ende musste ich dem Hochziehen der Hose Vorrang geben
  Die Toilette in diesem Wagen war größer als ein normaler Doppelsitz, und draußen gab es sogar Sitze, die direkt auf die Toilette ausgerichtet waren. Es war ziemlich peinlich, aber wir werden alle nackt geboren, also wurde es am Ende eine lustige Anekdote; die Ursache interessierte mich nicht genug, um zurückzugehen, also ging ich einfach zu meinem Platz zurück und tat so gut es ging, als wäre nichts zu sehen gewesen

  • Die britischen Pendolino-Züge waren, zumindest als sie von Virgin betrieben wurden, berüchtigt für eine Vibrationsschleife aus wiederholtem Öffnen/Schließen. Nach jeder Abfahrt von einem Bahnhof sagte das Personal per Durchsage, welche Toiletten in welchem Wagen funktionierten, und es war auch üblich, sich für den Geruch in anderen Wagen zu entschuldigen

• Früher gab es in Australien Geräte, die wie ein früher Versuch eines digitalen Münztelefons wirkten; einige existieren noch, aber vermutlich nicht mehr lange. Wenn man vor dem Abheben und währenddessen die Sprachtaste gedrückt hielt, zeigte das Münztelefon „Out of Order“ an, und selbst nach dem Auflegen blieb diese Meldung bestehen, bis die nächste Person den Hörer abhob
  Als Schüler gingen wir mit einem rein wissenschaftlichen Ansatz daran, möglichst vielen Menschen das Leben schwer zu machen. Wenn man nur zwei von drei Münztelefonen auf diese Weise außer Betrieb setzte, untersuchte niemand den kaputten Hörer lange genug, um den Zustand zurückzusetzen, und vor dem einen funktionierenden Telefon bildete sich eine lange Schlange. Setzte man aber alle drei außer Betrieb, testeten wütende Nutzer die Hörer und brachten alle wieder in den Normalzustand; das war eine reproduzierbare Studie bei fast allen Telefon-Gruppen in unserer Gegend

• Ein bestimmter Wagentyp auf britischen Strecken, ich glaube, ich habe ihn in der Nähe von Bradford gesehen, hatte beim Schließen-Knopf innen genau dieses Fehl-Design.
  Ich habe die reflexartige Angewohnheit, beim Hinausgehen auf „Schließen“ zu drücken, um aufzuräumen, und musste wirklich aufpassen; ich glaube, beim ersten Mal habe ich tatsächlich gedrückt und erst beim Klickgeräusch verstanden, was ich den anderen Fahrgästen gerade angetan hatte

  • Das dürfte class 333 gewesen sein

• Es hat auch eine psychologische Seite, Schließen und Verriegeln zu getrennten Aktionen zu machen. In manchen dänischen Zügen gibt es nur einen „Schließen“-Knopf, was beim ersten Mal ziemlich verwirrend ist

• Das alte Design hat die Leute zwar verwirrt, aber ich verstehe nicht, warum man nicht die naheliegende Lösung gewählt hat: einen Entriegeln-Knopf hinzufügen. Oder man hätte eben ein mechanisches Schloss verwenden sollen, dem die Leute eindeutig vertrauen können
  Das schlimmste Toilettenschloss, das ich gesehen habe, war ein seltsamer Knopf, der beim Drücken verriegelte, aber so wenig vertrauenerweckend war, dass man nicht erkennen konnte, ob es wirklich abgeschlossen war; der Besitzer hatte deshalb ein Schild angebracht, das genau erklärte, wie man die Tür verriegelt und dass sie wirklich verriegelt ist

  • Die deutlich einfachere Nachrüstung wäre, neben den Öffnen-Knopf ein Label „Open/Unlock“ zu kleben

• Ich weiß nicht, was an den alten mechanischen Schlössern in Zugtoiletten falsch war. Viele, besonders ältere Fahrgäste, kommen mit den schicken elektrischen Vorrichtungen nicht richtig zurecht und geraten in Schwierigkeiten; es gab viele peinliche Situationen wegen Türen, die tatsächlich nicht verriegelt waren, und manche scheinen es lustig zu finden, sie absichtlich kaputtzumachen
  Manchmal muss jemand wirklich dringend und braucht eine funktionierende Toilette im Zug

  • Ich bin noch nicht alt, hatte aber schon mit einer ähnlichen Zugtoilettentür zu kämpfen. Warum braucht dieses dumme Ding einen separaten Verriegeln-Knopf? Wann genau will man bitte in eine Toilette hineingehen, auf „Tür schließen“ drücken und dann nicht wollen, dass die Tür verriegelt ist?
    Auch das Button-Design war nicht besonders klar. Dass eine elektrische Öffnungs- und Schließvorrichtung bei einer schweren Schiebetür Vorteile hat, verstehe ich, aber die Verriegelung hätte ein physischer Mechanismus sein sollen oder sich zumindest wie einer verhalten müssen
  • Solche runden Schiebetüren nehmen vermutlich viel weniger Platz ein als eine manuell schließende Lösung. Das Problem ist, dass das manuelle Schließen einer runden Schiebetür sehr schwer sein kann, besonders für Rollstuhlnutzer
    Wenn man behinderten Nutzern ermöglichen will, einen so privaten Vorgang wie den Toilettengang möglichst eigenständig zu bedienen, war diese Art vermutlich fast die einzige Option
  • Der Kontext hier ist eine für Menschen mit Behinderungen konzipierte Toilette. Manche Behinderungen machen das Bedienen von Riegeln oder Hebeln sehr schwierig, und in diesem Kontext gilt eine Bedienung per Knopfdruck als zugänglicher
  • Als Gedankenexperiment: Ein mechanisches Schloss ist im Notfall für den Schaffner schwerer zu öffnen und kann häufiger kaputtgehen, wenn Leute gegen eine besetzte Tür drücken. Wenn man mit dem System vertraut ist, kann in Eile ein einzelner Knopf bequemer sein, und weniger Kontakt mit Griffen oder Riegeln erleichtert die Sauberkeit
    Außerdem kann man es an Bahnhöfen automatisch verriegeln, damit die Leute es nur zwischen den Stationen benutzen, was Gerüche beim Ein- und Aussteigen reduziert
  • Das einzige Problem der alten mechanischen Schlösser war, dass sie nicht „modern“ genug waren, also zu einfach und vorhersehbar
    Allerdings kann auch ein mechanisches Schloss ohne Interlock leicht in einen Denial-of-Service-Zustand versetzt werden. Wer sich schon einmal aus dem Auto oder einem Gebäude ausgesperrt hat, während der Schlüssel drinnen lag, erinnert sich sicher daran

• Solche mechanischen Hacks sind immer interessant, wenn man sie entdeckt. Allerdings könnte der arme Mensch, der auf die Toilette wartet und dann merkt, dass sie abgeschlossen ist, obwohl niemand drin ist, auch ich selbst sein
  Solche Dinge sind schwerer zu testen und nicht bloß ein Problem einfacher Software oder Zustandsautomaten. Es gibt auch wirklich gefährliche mechanische „Hacks“; ein Beispiel ist das Strahlentherapiegerät Therac-25, das falsche Strahlendosen verabreichte

  • Das wirkt eher so, als würde man Klebstoff in das Schlüsselloch von jemandes Auto stecken, sodass es sehr schwer zu öffnen ist, und dann sagen: „Seht her, das ist nicht sicher“

• Ich verstehe nicht, warum man in alles einen Mikrocontroller einbauen muss. Eine Zugtoilette hat im Grunde denselben Use Case wie eine Flugzeugtoilette, und in jedem Flugzeug, in dem ich je war, gab es einen altmodischen Schieberiegel, der problemlos funktioniert hat.
  Ich frage mich, ob die im Original erwähnte Zugtoilette einen Timer hat, der verhindern soll, dass jemand die Toilette die ganze Reise über blockiert, und ob deshalb ein mechanisches Schloss nicht infrage kommt.

  • Die Mikrocontroller-Obsession gibt es wirklich. Genauso wie den Wunsch, alles per Software statt mechanisch zu lösen; Touchscreens im Auto sind ein Beispiel dafür. Als Entwickler verstehe ich die Denkweise gut, Dinge softwaredefiniert zu bauen, damit man später bei Bedarf alles ändern kann, aber es scheint zunehmend zu schlechten Ergebnissen zu führen.
    Ich habe gehört, dass „superloos“, also automatisch gereinigte öffentliche Toiletten im Straßenraum, ein Zeitlimit haben und ein paar Minuten vor dem Öffnen eine Sprachwarnung abspielen. Noch beunruhigender sind Fälle, in denen die automatische Reinigung gestartet wurde, während noch jemand drinnen war. Wenn die vorherige Person Geld sparen will und die Tür festhält, damit die nächste Person hineingehen kann, hält die Toilette sich für leer und versucht gewissermaßen, den „nicht gemeldeten“ Nutzer zu fluten.
  • Solche Türschlösser in Zügen melden ihren Status auch an die Besetzt-Anzeige vorn im Zug. So weiß man, wo die nächste freie Toilette ist, und kann entscheiden, ob man noch etwas durchhält oder bei Dringlichkeit in einen weiter entfernten Wagen geht.
    Außerdem schließen sie die Tür automatisch, wenn sie nicht benutzt wird, um Gerüche einzudämmen. Der wichtigste Grund ist, dass die Tür nicht rollstuhlfreundlich ist. Viele Rollstuhlnutzer haben nicht die Kraft oder Beweglichkeit, um die Tür zu bewegen. Ein mechanisches Türsystem zu entwerfen, das alle drei Anforderungen erfüllt, ist ziemlich schwierig, aber die UI könnte definitiv besser sein.
    Persönlich hätte ich es wohl so gemacht, dass man die „Schließen“-Taste die ganze Zeit gedrückt halten muss, während die Tür schließt. Lässt man sie zwischendurch los, öffnet sie sich wieder, und erst wenn sie vollständig geschlossen ist, bleibt sie geschlossen und „verriegelt“. Ein echtes mechanisches Schloss braucht es nicht, aber es sollte eine große rote Schlossanzeige geben, die aufleuchtet.
  • Ein großer Teil davon liegt an Einsparungen bei den Stückkosten. Eine robuste Magnetverriegelung mit Mikroprozessorsteuerung lässt sich günstiger einbauen als ein robustes, vollständig mechanisches System. Mechanische Systeme benötigen mechanische Wartung und sind allen möglichen Fehlbedienungen ausgesetzt, etwa wenn Leute ihr ganzes Körpergewicht auf einen Hebel legen.
    Flächenbündige Tasten oder flache Hebel wie auf dem Foto haben wenig Gewicht und Weg, müssen keinen mechanischen Vorteil bieten und können gegen bestimmte mechanische Angriffe robuster sein. Wenn möglich, mag ich einfache Mechanismen ohne Software, aber ich bin nicht in der Position, Kosten- und Zuverlässigkeitsprobleme direkt verantworten zu müssen.
  • In losem Zusammenhang damit habe ich gerade erfahren, dass die Boeing 737MAX die CDU-Tastatur im Cockpit durch einen Touchscreen ersetzt, der dieselbe Tastatur nachbildet.
    https://www.gableseng.com/wp-content/uploads/2020/05/G7330-....
    Mir fehlen die Worte.
  • Ich dachte zunächst ähnlich, habe dann aber gelesen, dass für Menschen mit motorischen Einschränkungen oder Muskelproblemen Drucktasten oder Vorrichtungen wie der oben genannte Hebel, die keine körperliche Kraft erfordern, tatsächlich viel einfacher sind, und habe meine Meinung geändert.
    Ich glaube, der ursprüngliche Grund für die Einführung von Tasten war Barrierefreiheit, und soweit ich es verstehe, wollen auch moderne Flugzeuge aus demselben Grund auf ähnliche Systeme umstellen.

• Zugtoiletten in Großbritannien sind ein Klassiker im Lehrbuch für schlechtes Design. Menschen, die die Tür nicht verriegeln können, werden dem Wagen ausgesetzt; manche schaffen es nicht, die Tür zu schließen, andere nicht, sie zu öffnen.
  Das gilt natürlich nur, wenn man es überhaupt bis zur Toilette geschafft hat und der vorherige Nutzer sie nicht ruiniert hat.

  • Frühere Toiletten waren viel kleiner, ließen sich mit normalen Griffen schnell öffnen und schließen und hatten ein großes, einfaches Schloss. Aber dieses System passt nicht für manche Fahrgäste, zum Beispiel Rollstuhlnutzer oder Menschen, die Schwierigkeiten haben, einen Griff zu greifen.
    Wenn man die Zugänglichkeit einer Toilette für eine Gruppe erhöht, kann sie für eine andere Gruppe sinken. Es ist eine gesellschaftliche Entscheidung, welches Niveau man wählt. Einige britische Züge finden eine ganz gute Balance, indem sie sowohl eine große rollstuhlgerechte Toilette als auch eine kleine traditionelle Toilette haben, haben aber oft Schwierigkeiten, diese Tatsache verständlich zu kommunizieren.