[daer]

Har en V70 före detta BiFuel, numera enbart bensin pga 20 års regeln på gastankarna. Har hela tiden den varit i min ägo bara haft en nyckel till den. För ett bra tag sedan lärde jag mig hur jag kunde lägga till en nyckel id48 immo så jag hade en reserv till tändningen. Den är fortfarande en 3d utskriven plastnyckel men fungerande. Hela nyckel är utskrivet, även själva bladet. Men det är inte detta som skall avhandlas i denna tråd utan nästa Steg.

Hur lägga till en egen remote?
Började med att undersöka vad som krävs och var informationen ligger. De är registrerade i UEM, d.v.s backspegeln. Logiskt ställe för en radiomottagare.
För att lägga till en remote så görs det genom Vida och behöver två koder som man får med en ny nyckel, en lång och en kort. Båda dessa behövs samt att det behövs en tilläggsmodul till Vida. Så denna väg är inte möjlig för en diy. Den enklaste vägen är att slänga en del pengar på problemet så löses det av sig själv. Dock så tycker jag att det är kul att ta reda på hur saker fungerar, hur andra har löst problem. Ekonomiskt är denna väg helt förkastlig. Väldigt dålig timlön.

Så vägen framåt, måste då läsa ut all information ur UEM för att reda hur hur den fungerar. Var enklare än jag förväntade mig. Sitter en standard HC12 cpu i den. Inte någon special mask programmerad variant, utan en helt standard. Det finns t.o.m. en tom footprint brevid som är bdm signalerna. Provar om den fungerar men det känns långsökt att de inte har spärrat den. Men se, gick att koppla upp sig med debuggern och läsa ur både programmet och eepromet utan problem.

Dissasembly av själva programmet är en hel avhandling som jag inte skall ta här. Men resultatet är att all remote hantering sker i cpu:n. Är en "standard" KeeLoq kryptering av meddelande mellan remote och UEM. Hur KeeLoq fungerar är känt sedan länge. Meddelandet är uppdelat i två delar, en krypterad och en okrypterad. Den okrypterade innehåller bl.a. serial. Den krypterade innehåller bl.a. vilken knapp som trycks på samt en del av serial.
Serial visar sig vara den korta koden som man får med en ny nyckel. Den långa återfinns inte alls, utan den transformeras från den långa koden på något okänt sätt. Hur detta går till finns inte i UEM koden.

Så långt allt bra. Nästa steg, verkligen se vad som remote skickar. Skriver en mottagare i en SDR, d.v.s. en mjukvaruradio. I mitt fall en ADALM-PLUTO. Analys av radio signalen visar att den är manchester puls kodad. Skriver en avkodare och får ut följande

raw.png (177.72 KiB) Visad 27 gånger

Serial stämmer precis med vad som står i eepromet första slot

eeprom-decode.png (274.58 KiB) Visad 27 gånger

Efter en del mer analys av koden i uem så verkar det som att KeeLoq crypteringskoden är i stort sett rätt fram ur eepromet.
Decrypteras och får ut korrekt data

decoded.png (181.5 KiB) Visad 27 gånger

Nästa steg var att skriva en sändningalgorithm till Pluto, efter en hel del strul med exakt fas på manchester kodningen så fungerar den också. Kan då låsa och låsa upp bilen med de koder som finns för Slot1, d.v.s. den borttappade nyckeln.
Skrev även om sändaren till att köra på en Flipper (googla om ni inte vet vad det är för något). Den fungerar också efter en del småstrul.

Nu vill jag ta nästa steg, ta detta till en riktig fob. Började med att köpa en billig på AliExpress. Började med att se hur den fungerade. Det var intressant på en helt annan nivå. Den innehåller en enkel processor med radio och ett 1MByte stort flash. I detta flash ligger det ca 100000 förkodade meddelande i grupper om 5. En för varje knapp. Den spelar helt enkelt bara upp det som ligger i flashet och markerar den sedan som förbrukad. När koderna tagit slut så slutar den fungera. Alla enheter använder samma nycklar, så om jag lär bilen denna nyckel så kan vem som helst med en likadan nyckel låsa upp min bil.
Min original Volvo remote innehåller ett HCS412 chip. Detta är ett KeeLoq crypteringschip från Microchip. Finns datablad samt instruktioner hur de konfigureras och hur koder läggs in. Det går inte att läsa ut koderna i en befintlig. Så jag kan inte lära min UEM denna nyckel. Men tvärt om borde vara möjlig. Programmera om en gammal nyckel med koderna från min UEM.
Detta är dock inget jag vill göra på min enda fungerande remote.

Någon som vill sponsra detta lilla projekt med en original Volvo fob?

fob.jpg (1.11 MiB) Visad 27 gånger

Notera: Eftersom det fortfarande behövs en dump av uem eeprom för att kunna göra en remote som passar så påverkar detta inte säkerheten på något sätt. Om någon kan läsa ur eeprommet för att få ut vilka koder som min bil använder så kan det då också läggas in nya koder som då har remote till.