Funkschlüssel funtioniert nicht mehr.

[Moosi]

Letzter Beitrag der vorhergehenden Seite:

Steuergeräte gehen generell nach meinen Erfahrungen bei Toyota normalerweise nur seltenst kaputt. Denke die Werstatt wartet auf Anweisungen aus Köln bzw. direkt aus Japan.

Toyota macht halt CAN-Bus mäßig was fast alle Hersteller (auch BMW, Mercedes, GM, usw.) machen.
Und das ist der sog. Autosar Standard: https://en.wikipedia.org/wiki/AUTOSAR
Dieser sieht sogar eine Verschlüsselung im CAN-Bus seit spätens 2022 vor.

Es ist schwierig aus der Ferne zu sagen was da nun wirklich passiert ist. Auch weil keiner von uns sagen kann ob/was genau Toyota bei der CAN-Bus Security beim 250er verbessert hat.

Mein Verdacht war ja von Anfang an dass beim Diebstahlversuch das Hinzufügen eines neuen Schlüssels und ggf. das Löschen deiner Schlüssel per JBL oder Sonstwas-Box irgendwas in deinen Steuergeräten durcheinander gebracht hat. So eine Aktion muss meines Wissens durch einen speziellen SecOC Mastercode den normalerweise nur Toyota-Werkstätten in Techstream haben genehmigt werden. Bei den RAV4 konnte man z.b. bis ca. Bj. 2022 ganz easy diesen Mastercode herausfinden. Danach wurde es schwieriger aber meines Wissens immer noch möglich.

Ging dein Schlüssel noch und konntest du noch fahren?

Wenn es blöd läuft dann kann es sein, dass "nicht einfach so wie in der oben genannten TSB" neue Schlüssel-Keys oder die Firmware neu auf die/das Steuergerät(e) gespielt werden können. Und dann bist du in der seeeeeehr blöden und teueren Situation, als ob du alle deine Schlüssel verloren hättest und die Steuergeräte sicherheitshalber ersetzt werden müssen.

[ThueringerWurst]

Auch wenn ich nachher wieder "runtergeschrieben" werde: das hat nichts mit Autosar zu tun.

Das wurde auch schon in dem J15- Diebstahl- Thread behauptet.

Autosar beschreibt eine Software- Architektur innerhalb des Steuergerätes, damit die Hersteller eines Automotive- Software- Stacks sich an gewisse (erprobte) Standards (Diagnose, Zugriff auf NVM, Scheduling etc.) halten und nicht jeder Lieferant seine Softwaremodule komplett selbst entwickelt. Manche OEMs stellen den Stack bereit oder geben vor, wo er zu kaufen ist (Elektrobit, Vector, KPIT, ...). Dann gibt es darin die berühmte RTE. Damit wollte man sicherstellen, daß Software- Module unterschiedlicher Hersteller untereinander ausgetauscht werden können. Da aber jeder Lieferant und OEM seine eigene RTE frickelt, ist von diesem Standard nicht viel über. Das ging schon bei MOST schief.

Wie dann die Steuergeräte untereinander bzw. mit der Peripherie kommunizieren, ob mit CAN, CANFD, LIN etc. ist bis hinauf auf OSI- Level 3 / 4 standardisiert, den Rest bestimmt der OEM.

Beim J15 hat Toyota schlicht mehrere Fehler gemacht. Der CAN, über den Body- Controller/Türsteuergerät, Motorsteuergerät, Clusterinstrument die Informationen austauschen, der darf nie nach außen geführt werden und muß durch ein Gateway von den anderen CANs geschützt werden. Entsprechend der Analyse/Videos auf Youtube wird vermutlich mit diesem Intrusion- Steuergerät zuerst ein hoher CAN- BusLoad erzeugt, der zum Bus- OFF führt und beim anschließenden Revocery eben das Öffnen etc. vorgegaukelt. Hier fehlt dann die entsprechende Absicherung, ggf. durch Seed/Key etc. Das ist alles per CAN möglich, muß man eben nur programmieren.

Bei dem J25- Problem hier vermute ich, daß die Schlüssel- Codes in einem FEE liegen, der (normalerweise) durch diverse Prüfsummen (per Block) auf Konsistenz geprüft wird. Ist da beim Schreiben (dem Einbruchversuch?) etwas total schief gegangen, ggf. durch Unterspannung/Spannungsunterbrechung oder weil die Software schlicht einen Reset durchgeführt hat, und kann der FEE durch Diagnose- Routinen nicht repariert werden, dann kann man vermutlich den neuen Schlüssel nicht abspeichern. Dann ist ggf. das einfachste, das Steuergerät zu ersetzen. Der FEE ist bei modernen µCs integriert und das BDM- Interface sollte bei Serien- ECUs gesperrt sein, so daß man nur noch mit entsprechenden Entwicklertools und Softwareschlüsseln an das BDM und den FEE herankommt.

[Moosi]

In den UK Foren wird dieses Thema auch intensiv diskutiert. Für den RAV4 insbesondere, da der dort in viel höheren Stückzahlen verkauft wird als in D und viel mehr als Land Cruiser sowieso.

"Toyota have released in a final hardware solution to the CAN invader theft issue - its only just rolling out so your Toyota dealer might not be fully aware yet.

Its called "Toyota CAN BUS Gateway Blocker" & it prevents the CAN invader theft method from working as it isolates the headlamp ecu from the rest of the vehicle CAN network when the ignition is switched off. No additional tags or fobs required either, its an additional CAN ecu that requires wiring in to the vehicles original wiring harness by a Toyota main dealer.
https://pigeonwatch.co.uk/topic/456045- ... ft-issues/
CAN Bus Gatewyay

@Broesel
Ist dir bekannt, ob das die neuen 250er schon haben?
Bei RAV4 soll es ab Baujahr 2022 nachrüstbar sein.
Das neue RAV4-Modell 2026 wird es laut UK-foren serienmäßig haben.
Wurden die bisher gestohlenen LC 250er durch Keyless Klau oder durch CAN-Bus-Injection erbeuetet - Ist da was bekannt geworden?

Allerdings sollen weiterhin wohl 2 Angriffsvektoren trotz des Gateways bestehen. Wenn ich das richtig verstanden habe. Und dann könnten dadurch wohl tatsächich ECU's gebricked werden. Vieleicht haben die es am Empfangsmodul 897B0-60450 in der D Säule hinten links probiert falls es an der Scheinwerfer ECU nicht mehr geht beim LC 250. Könnte zum Fall hier passen.
https://kentindell.github.io/2023/04/03/can-injection/

[Broesel]

Hi @Moosi,

Beim J25 wurden definitiv ein paar Dinge anders gemacht als z.B. beim J15 und auch nochmal anders als beim J30, der auf der gleichen Plattform basiert aber eben schon etwas "älterer" Entwicklungsstand darauf ist.

Ich muss mir das mal genau anschauen in den Schaltplänen und den Diagrammen der BUS Kommunikation vom J25.

Was man dazu generell sagen muss:
Es gibt schon seit Jahren nicht mehr "Den CAN Bus", sondern x CAN Busse im Fahrzeug.
Zusätzlich dann LIN, CXPI, Multiplex -> Alles dann teils verbunden über Gateways.
Die sind auch immer über gewisse Gateways getrennt - in wie weit diese Filtern ist aber nicht so wirklich gut in den Repair Manuals dokumentiert, weil es da keine Rolle spielt. In der Werkstatt ist da eh recht schnell "Ende" mit Diagnose...

Da ich es grad zur Hand habe mal zum J30 - um ein Gefühl dazu zu vermitteln wie Komplex sowas ist:

LIN Kommunikation: 19.2kbps Bandbreite, Single Wire Kommunikation, genutzt für:
- Door Bus Line:
- - Main Body ECU
- - Elektrische Fensterheber
- - Schiebedach
- - Double Lock an den Türen (Falls vorhanden)

- Certification Bus Line
- - SmartKey ECU
- - Lenkradschloss
- - Wegfahrsperre
- - Start Knopf (wenn mit FIngerabdruckleser)

- Sensor Bus Line
- - Main Body ECU
- - Regensensor
- - Innenlicht

- Kommt auch an der OBD Schnittstelle an


CXPI Kommunikation: 19.2kbps Bandbreite, Single Wire Kommunikation, genutzt für:
- Main Body ECU
- Power Verteilung (quasi eine Relaisbox)
- Power Integration Unit
- Scheinbenwischer
- Frontscheinwerfer (Fzg. ohne Headlight ECU)
- OBD Schnittstelle

CAN Kommunikation: 2 verschiedene Bandbreiten (CAN: 500kbps, CAN FD: 2 Mbps), Twisted Pair (2 Leitungen) als Medium, genutzt für:
- Generelle Gateways, die auch die Busse verbinden
- OBD Schnittstelle

- BUS 1:
- - Frontkamera
- - Front Radar für PCS und Cruise Control
- - Rückfahrkamera
- - Totwinkelwarner
- - Einparkhilfe

- BUS 2:
- - Motorsteuerung
- - Getriebesteuerung
- - Start/Stop System (falls vorhanden)

- BUS 3:
- - Multimediasystem/Radio
- - Multiinstrument
- - Head Up Display
- - Datenkommunikationsmodul/Telematic
- - Verstärker

- BUS 4:
- - Airbag
- - Lenkwinkelsensor
- - Bremssystem/ABS
- - Servolenkung

- BUS 5:
- - Main Body Control
- - Mutliplex Unit Türsteuerung
- - Spiegelverstellung
- - Certification Unit für SmartKey
- - Sitzsteuerung
- - Elektrische Lenkradverstellung

- BUS 6:
- - Reifendruckkontrollsystem
- - 4WD Steuerung
- - Servolenkung
- - VSC
- - Klimaanlage
- - Frontscheinwerfer (mit ECU)
- - Steuerung Variable Federung

- BUS 7:
- - Spezieller Option Connector

- Chassis Local Bus:
- - Zentrales Gateway
- - Start/Stop System
- - Steuerung Variable Federung
- - Motor Steuerung
- - Bremssystem

Das manche Systeme auf mehreren Bussen hängen ist entweder Funktionstrennung oder Fail Safe, damit bei Ausfall eines Busses noch gewisse Funktionen redundant ausgeführt sind.

Dazu kommt dann noch Multiplex MOST (50 Mbps) und Multiplex AVC-LAN (17,8kpbs), beides Twisted Pair (2 Leitungen) als Medium, beim MOST in geschirmt...

Die Aufteilung liegt an unterschiedlichen Gründen: Diagnose, Sicherheit, Technische Gründe etc.
Da ist auch ein Filtern an machen Stellen eben schwierig, weil gewisse Komponenten zusammenspielen müssen, aber eben nicht alles darüber gehen darf. Bei einigen Systemen ist es wichtig das sie sehr schnell kommunizieren, bei anderen das keinesfalls falsche Daten ankommen...
So spielen dann auch die verschiedenen BUS Systeme zusammen, wenn ECUS etwas von einem auf den anderen BUS übersetzen bzw. weitergeben.

Da baut mal also auch nicht "mal eben" was zwischen.
Und Filter funktionieren in Software - wenn z.B. bestimmte "Überlast" oder "Spannungssituationen" erzeugt werden kann man damit eben auch solche Sicherheiten teils umgehen.

Hoffe damit ein bisschen Einblick zu geben wie umfangreich sowas inzwischen bei modernen Autos ist...

Bezug hier zum Thread:
Blöd wirds, wenn irgendwas im Umfeld "Certification" auf LIN und/oder CAN hin ist bzw. so manipuliert wurde das es nicht mehr sauber antwortet.
Aber man sieht da eben auch das schon immer mehr Sicherheiten eingebaut wurden - die im Zweifel dann aber auch dazu führen das nix mehr geht.

Zum Thema "wie werden J25 geklaut" versuche ich mal Zahlen zu bekommen, wobei das halt schwer ist und sehr ungenau: Dazu muss man die Diebe ja entweder filmen oder es muss schiefgehen, so wie hier...
Durchaus gibt es aber schon den Eindruck, das es beim J25 nicht mehr so einfach ist wie beim J15 und auch Relay Attacken wieder eingesetzt werden.
Zusätzlich zu den immer mal vertretenen Homejackings (Schlüssel aus der Wohnung klauen) oder dem direkten Verladen.

Mich würden in diesem Fall brennend ein paar Details interessieren, aber Smarty24 antwortet leider nicht auf meine PN.


Viele Grüße
Broesel

[Smarty24]

Sehr spannende Technische Informationen. Die mich als Laien aber überfordern.
Als Toyota-Kunde kann ich nur sagen man ist jetzt seit 3 Wochen an dem Thema. Sollte gestern fertig sein. Jetzt vielleicht heute Nachmittag. Wenn nicht gehen wir in Woche 4.
Es werden Steuergeräte getauscht. Laut Werkstatt muss dazu das komplette Cockpit zerlegt werden.
Hauptsache die kriegen das wieder ohne klappern zusammen.

[Smarty24]

Auch wenn ich nachher wieder "runtergeschrieben" werde: das hat nichts mit Autosar zu tun.

Das wurde auch schon in dem J15- Diebstahl- Thread behauptet.

Autosar beschreibt eine Software- Architektur innerhalb des Steuergerätes, damit die Hersteller eines Automotive- Software- Stacks sich an gewisse (erprobte) Standards (Diagnose, Zugriff auf NVM, Scheduling etc.) halten und nicht jeder Lieferant seine Softwaremodule komplett selbst entwickelt. Manche OEMs stellen den Stack bereit oder geben vor, wo er zu kaufen ist (Elektrobit, Vector, KPIT, ...). Dann gibt es darin die berühmte RTE. Damit wollte man sicherstellen, daß Software- Module unterschiedlicher Hersteller untereinander ausgetauscht werden können. Da aber jeder Lieferant und OEM seine eigene RTE frickelt, ist von diesem Standard nicht viel über. Das ging schon bei MOST schief.

Wie dann die Steuergeräte untereinander bzw. mit der Peripherie kommunizieren, ob mit CAN, CANFD, LIN etc. ist bis hinauf auf OSI- Level 3 / 4 standardisiert, den Rest bestimmt der OEM.

Beim J15 hat Toyota schlicht mehrere Fehler gemacht. Der CAN, über den Body- Controller/Türsteuergerät, Motorsteuergerät, Clusterinstrument die Informationen austauschen, der darf nie nach außen geführt werden und muß durch ein Gateway von den anderen CANs geschützt werden. Entsprechend der Analyse/Videos auf Youtube wird vermutlich mit diesem Intrusion- Steuergerät zuerst ein hoher CAN- BusLoad erzeugt, der zum Bus- OFF führt und beim anschließenden Revocery eben das Öffnen etc. vorgegaukelt. Hier fehlt dann die entsprechende Absicherung, ggf. durch Seed/Key etc. Das ist alles per CAN möglich, muß man eben nur programmieren.

Bei dem J25- Problem hier vermute ich, daß die Schlüssel- Codes in einem FEE liegen, der (normalerweise) durch diverse Prüfsummen (per Block) auf Konsistenz geprüft wird. Ist da beim Schreiben (dem Einbruchversuch?) etwas total schief gegangen, ggf. durch Unterspannung/Spannungsunterbrechung oder weil die Software schlicht einen Reset durchgeführt hat, und kann der FEE durch Diagnose- Routinen nicht repariert werden, dann kann man vermutlich den neuen Schlüssel nicht abspeichern. Dann ist ggf. das einfachste, das Steuergerät zu ersetzen. Der FEE ist bei modernen µCs integriert und das BDM- Interface sollte bei Serien- ECUs gesperrt sein, so daß man nur noch mit entsprechenden Entwicklertools und Softwareschlüsseln an das BDM und den FEE herankommt.

Der Schlüssel funktionierte noch ich konnte mechanisch auf und abschließen. Für den Start musste ich mit dem Schlüssel den Startknoof berühren.

[Smarty24]

Hi,

sehr merkwürdig was die Werkstatt da macht. Ich hab Dir eine PN geschickt, hätte da gerne ein paar mehr Details und kann Dir dann eventuell auch helfen...

Das einzige was Schlüssel und Reifendruck macht ist das gemeinsame Empfangsmodul 897B0-60450 in der D Säule hinten links.
Da lernt man aber eigentlich nix an - das Ding ist nur ein Empfänger... Ist mit rund 300€ aber auch eher günstig.

Die geschilderte Infolage und das Erlebte mit der Werkstatt ist doof - und sorry, wenn das Steuergerät meint ein neuer Schlüssel wurde angelernt kann man exakt sehen wann, mit welcher LegitimationsID und auch welche ID des Schlüssels...
Das macht das Steuergerät nicht selbst wenn es "kaputt geht".

Leider bekomme ich nur sehr wenige Informationen von der Werkstatt. Werde immer wieder vertröstet. Wenn es heute klappen sollte, dann bekomme ich hoffentlich Auskunft was gemacht wurde und werde das mitteilen.

Viele Grüße
Broesel

[Laerchenwald]

Hi @Moosi,

Beim J25 wurden definitiv ein paar Dinge anders gemacht als z.B. beim J15 und auch nochmal anders als beim J30, der auf der gleichen Plattform basiert aber eben schon etwas "älterer" Entwicklungsstand darauf ist.
(...)

Viele Grüße
Broesel

Moin Broesel,

ich muss zugeben, daß ich Deinen Ausführungen leider nicht folgen kann - da bin ich tatsächlich überfordert. Gleichwohl wollte ich mal Danke sagen, daß Du Dir - wie einige andere hier im Forum auch - derart Mühe machst, die technischen Details darzulegen und damit dem Fadenstarter zu helfen.
Auch wenn das natürlich der Sinn eines solchen Forums ist, dennoch ist es ja nicht selbstverständlich, in der Detailtiefe anderen ohne persönlichen Vorteil zu helfen.

Finde ich richtig klasse und das musste jetzt einfach mal gesagt werden.

Gruß aus Nordhessen

[Moosi]

@Smarty24

Einige Fragen noch:
- Keyless Go war standardmäßig aktiviert vor dem Vorfall?
- Mechanisch auf- und abschließen (das heißt mit dem Schlüsselbart) eingeführt ins Türschloss oder über die Tasten auf der Fernbedienung?

[Smarty24]

Ja. und Ja.

Fahrzeug wurde wieder zusammengebaut. Steuergeräte ersetzt…. Funkschlüssel funktioniert wohl trotzdem nicht. Wir gehen jetzt in Woche 4 in der Werkstatt.

[Broesel]

Hi,

ich kann es nur nochmal anbieten: Schicke mir bitte mal eine Antwort auf meine PN!
insbesondere aus welcher Region du kommst und wer Dein Händler ist!

Viele Grüße
Broesel

[lightandy]

Respekt an broesel und auch einige andere , über deren tiefes Wissen und Hilfsbereitschaft. Da bin ich echt sowas von raus. Andererseits macht mir das auch deutlich Angst, so ein Auto zu besitzen

[onkel]

Wenn ich das lese wird mir auch himmelangst vor neuen Fahrzeugen .
Wer bezahlt das eigentlich ? Hast du einen Ersatzwagen ? Da kommt ja eine ganz schöne Summe zusammen .

[J9 Andy]

Wer bezahlt das eigentlich ?

Erst mal die Versicherung, falls die sich nicht rausreden kann.
Und danach der Kunde, über die Beiträge.

[_Malte_]

Respekt an broesel und auch einige andere , über deren tiefes Wissen und Hilfsbereitschaft. Da bin ich echt sowas von raus. Andererseits macht mir das auch deutlich Angst, so ein Auto zu besitzen

Autos, Andy, Autos. Betonung liegt in deinem Fall auf dem Plural.
In Leicester/England hat man sich schon vor einer Polizeistation an einem Leasing-Defender bedient.
Auch Teile werden knapp bzw. teurer.

[Moosi]

Ja. und Ja.

Fahrzeug wurde wieder zusammengebaut. Steuergeräte ersetzt…. Funkschlüssel funktioniert wohl trotzdem nicht. Wir gehen jetzt in Woche 4 in der Werkstatt.

Danke, dann könnte der Angriff so abgelaufen sein:
Keyless-Go-Signal abfischen und Auto öffnen (< 10 Sek.)
Dann CAN-Bus-Injection zum erzeugen eines neuen Schlüssels oder komplettes Ausschalten der Wegfahrsperre (< 30 Sek.)



Selbstverständlich finde ich es nicht gut, dass solche Videos auf YT zugänglich sind und auch solche Produkte beworben werden. Das soll auch keine Schulung für Diebe sein. Aber wer einen Browser bedienen kann der findet ohnehin hunderte solcher Machwerke im Netz. Noch schlimmer ist, dass sich die unbedarften Besitzer in falscher Sicherheit wiegen und die Hersteller der Fahrzeuge seeeehr gemächlich gegen diese offensichtlichen Lücken vorgehen.

Dabei dann wohl was gröberes in die Hose gegangen:
Fehler der Diebe?
Technisches Versagen beim Angriffstool?
Abwehrmechanismus von Toyota hat den Bruch blockiert?
Warum haben die Diebe das trotz BearLock überhaupt probiert? Anfänger, bekifft, in der Hektik einfach übersehen?

Auch wenn das Ganze für dich extrem nervig ist, SEI FROH dass die Kiste noch da ist. Du kannst diese so nie wieder in D als NEUwagen bei Toyota kaufen! Nur vielleicht noch als Import ohne lange Garantien. Oder mit Mild-Hybrid Wurmfortsatz, der viel mehr Komplexität hinzufügt als er echten Nutzen bringt, außer der Cruiser läuft fast nur im Stadtverkehr.

Bezieht sich das zweite Ja auf Öffnen mit der Öffnen-Taste an der Funkfernbedienung?