Hacker verbouwt Casio F-91W-horloge om er 2fa-inlogcodes op te tonen

Tweetrapsauthenticatie is veilig, maar elke keer je authenticatieapp openen is een hoop gedoe. Dat vond althans een creatieve hacker, die zijn klassieke Casio F-91W wist om te toveren tot TOTP-codegenerator.

Een onbekende hacker beschrijft in een blogpost hoe hij een Casio F-91W-horloge wist om te bouwen tot een slim horloge - of in ieder geval een horloge dat 2fa-codes kan genereren. De hacker verving de interne hardware van het horloge, maar liet het originele lcd en de originele knoppen zitten. Ook verving hij het moederbord van het originele horloge door een Sensor Watch, een board dat specifiek voor het klassieke en veelverkochte digitale horloge is gemaakt. De Sensor Watch bevat een Microchip SAM L22-microcontroller op basis van een Arm Cortex M0+, en het bordje kan tien cijfers op een lcd laten zien. Er zit tevens een UF2-bootloader op de Sensor Watch die via USB Micro-B kan worden geprogrammeerd.

Dat laatste deed de hacker; hij maakte een watch face voor het horloge dat automatisch Timed-based one-time passwords of TOTP-codes genereert, net zoals apps als Google Authenticator dat doen. Hij moest daarvoor de secret van een 2fa-aanmelding omzetten naar hexadecimale bytes en die toevoegen aan de broncode van zijn watch face. Daarnaast zorgde hij ervoor dat hij met een van de knoppen op het horloge kan wisselen tussen verschillende ingestelde codes. En geen zorg, hij kan ook gewoon de tijd lezen op het horloge. Daarvoor kan hij wisselen tussen verschillende watch faces.