Хуан Мануэль Фернандес, биолог и хакер, решил проверить, насколько легко взломать умные дверные звонки Eufy Security Video Doorbell, которых очень много в его городе. Система состоит из Homebase Station 2 и самого звонка: база подключается к интернету через Wi-Fi или Ethernet, а звонок общается с ней через скрытую сеть OCEAN_XXXXXX, где суффикс — последние 24 бита MAC-адреса Homebase. В более раннем USENIX-исследовании говорилось, что у этой сети слабый предварительный ключ, но Eufy многое поменяла. Тем не менее сеть по-прежнему использует обычный WPA2, и Фернандес показал, что её можно завалить deauth-пакетами. Достаточно найти устройства с префиксом MAC 90:bf:d9, отправить probe request со сформированным именем OCEAN_XXXXXX, получить ответ — и можно слать широковещательные deauth, отключая звонок от базы.
Затем он разобрал звуковой протокол сопряжения. Сначала казалось, что Homebase передаёт через звук SSID и пароль скрытой сети, но на самом деле это данные для временной точки доступа, к которой звонок подключается, а уже потом получает настоящие настройки OCEAN_XXXXXX. Сигнал использует 19 частот с шагом 150 Гц, символы длятся примерно 65 мс. Друг Фернандеса Гонсало Карраседо (BatchDrake), создатель SigDigger, помог с анализом сигнала и подсказал ключевые параметры. Сам Фернандес снял дамп прошивки звонка через тестовые контакты flash-памяти и Raspberry Pi, нашёл в коде функции обработки звука и выяснил, как тоны превращаются в данные. Тоны со 2-го по 17-й кодируют nibble (от 0 до F), тоны 18 и 19 — контрольные для повторов. В конце каждого блока из 15 символов есть два ниббла Reed-Solomon для исправления ошибок, а финальный короткий блок содержит CRC-16. В декодированном сообщении оказались SSID 731f1350 и пароль 267039eb. Чтобы проверить разбор, он написал энкодер, создал точку доступа с SSID a1b2c3d4 и паролем 4d3c2b1a, закодировал эти данные в WAV и собирался посмотреть, подключится ли к ней звонок.