Configurar o motor de políticas

O motor de políticas é a razão de ser do TeslaKee. A chave de telemóvel oficial responde ao seu carro sempre que o carro pergunta — e é por isso que um atacante de retransmissão pode ficar ao lado do seu carro, ter um cúmplice ao seu lado e arrancar com ele. A chave do TeslaKee só responde quando as suas próprias regras dizem que a situação se parece com você a aproximar-se mesmo do seu carro.

Esta página explica como essas regras se combinam, o que cada uma mede na realidade e que combinações funcionam no dia a dia. Tudo o que está aqui encontra-se no ecrã Política da aplicação Android.

Como é tomada uma decisão

Sempre que o carro pede autorização, o motor avalia as regras que configurou e produz uma única resposta: permitido ou bloqueado.

A entrada passiva é permitida quando:

todas as regras OBRIGATÓRIAS passam e pelo menos N regras OPCIONAIS passam, sendo N o quórum que definiu.

Se não tiver regras opcionais configuradas, o quórum é ignorado. Se não tiver regra nenhuma configurada, o motor bloqueia — uma política vazia não é uma porta aberta.

Algumas coisas ficam fora desta avaliação e são verificadas primeiro, por esta ordem:

1. Interruptor de emergência — bloqueia tudo, sempre. Ver Interruptor de emergência.
2. Tolerância de reconexão — uma ligação já autorizada que caiu brevemente mantém-se autorizada. Ver Ligação persistente.
3. Ligação persistente — uma vez permitida durante uma ligação, mantém-se permitida até a ligação terminar.
4. Exceção manual — permite tudo durante alguns minutos. Ver Exceção manual.
5. Sempre Ativo — permite tudo, permanentemente. Ver Sempre Ativo.

As regras são avaliadas das mais baratas para as mais caras, e uma regra cujo resultado já não pode alterar o desfecho é saltada. Trata-se apenas de uma otimização de bateria: a resposta permitir/bloquear é idêntica à de avaliar todas as regras.

OBRIGATÓRIA, OPCIONAL e DESLIGADA

Cada regra tem um de três níveis. Este é o mecanismo que vale a pena compreender, porque é aqui que segurança e conveniência são trocadas uma pela outra.

Pense assim: as regras OBRIGATÓRIAS são um E, as regras OPCIONAIS são uma votação.

• Use OBRIGATÓRIA para condições que são sempre verdadeiras quando está genuinamente a aproximar-se do seu carro — e nunca verdadeiras para um atacante. O movimento é o exemplo clássico: o telemóvel está na sua mão ou no bolso e mexeu-se há pouco.
• Use OPCIONAL para bons indícios que ocasionalmente não estão disponíveis: GPS no interior, um barómetro que deriva, uma antena móvel que muda. Nenhum deles, falhando isoladamente, deve deixá-lo à porta.
• Use DESLIGADA para tudo o que não se aplique a si.

Uma regra OBRIGATÓRIA que não possa ser avaliada (sem sensor, sem permissão, sem referência) falha e, portanto, bloqueia. Isto é deliberado — uma condição que não se consegue medir não é uma condição satisfeita. É também o motivo mais comum para “a aplicação não me abre o carro”: ver Resolução de problemas.

O quórum

O quórum é o número de regras opcionais que têm de passar — “pelo menos 2 destas 4”.

• Um quórum baixo (1) significa que qualquer indício isolado é suficiente. Conveniente, fraco.
• Um quórum alto (igual ao número de regras opcionais) transforma-as, na prática, todas em obrigatórias. Forte, frágil.
• A definição útil é normalmente 2 de 3 ou 2 de 4: um atacante tem de falsificar várias coisas independentes ao mesmo tempo, enquanto um sensor instável nunca o deixa à porta.

O quórum aplica-se apenas às regras definidas como OPCIONAIS. Aumentá-lo acima do número de regras opcionais que realmente tem bloquearia tudo, por isso a aplicação limita-o por si.

Perfis de segurança

Os três perfis no topo do ecrã Política configuram todas as regras e limiares abaixo deles com um só toque. São um ponto de partida, não uma jaula — altere o que quiser depois e o perfil passa simplesmente a aparecer como personalizado.

O Equilibrado é a escolha certa para a maioria das pessoas. O Rigoroso parte do princípio de que desbloqueou o telemóvel há pouco e está perto do carro; é uma excelente proteção e, de vez em quando, obriga-o a puxar o puxador duas vezes. O Descontraído é pouco mais do que a chave original — use-o apenas se estacionar num sítio que considere seguro.

Testar a sua política

O painel Teste de Política, no mesmo ecrã, avalia todas as regras em direto, incluindo as que desligou, e mostra o que cada uma reporta neste momento. Lista também que sensores de movimento o seu telemóvel tem de facto e se estão a responder.

Use-o assim: coloque-se onde costuma estacionar, abra o painel e leia as regras que está a considerar. Uma regra que já falha enquanto está ao lado do seu próprio carro é uma regra que o vai deixar à porta — torne-a OPCIONAL ou deixe-a DESLIGADA.

As regras

Movimento

Passa quando o telemóvel está em movimento, ou se moveu dentro da janela definida (2 / 5 / 15 minutos, ajustável entre 1 e 60).

Este é o cavalo de batalha antirretransmissão e a única regra OBRIGATÓRIA por predefinição. Um ataque de retransmissão acontece enquanto o seu telemóvel está pousado numa mesa, num corredor, numa mesinha de cabeceira — imóvel. Um telemóvel que não se move há dez minutos não está a aproximar-se de um carro.

• Janela mais curta = mais forte. 2 minutos significa “esteve em movimento praticamente agora”.
• Janela mais longa = mais simpática se estiver sentado num café perto do carro estacionado.
• Precisa do acelerómetro e, no GrapheneOS/CalyxOS, da permissão Sensores. Sem ela, a regra falha permanentemente e bloqueia tudo.

Geofencing

Passa quando o telemóvel está dentro de uma das zonas que desenhou no mapa. (Premium)

Use-a para dizer “permitir a entrada apenas perto de casa, do trabalho e do ginásio”. Como precisa de um sinal de GPS, é uma das duas regras que gastam bateria e pode ser lenta ou indisponível em garagens subterrâneas. Excelente como OPCIONAL, arriscada como OBRIGATÓRIA — um parque subterrâneo é exatamente onde o GPS é pior e onde continua a querer que a porta abra.

Local de estacionamento

Passa quando o telemóvel está dentro de um raio (50 m por predefinição) do sítio onde o carro foi trancado pela última vez. (Premium)

Esta é a mais afiada das regras de localização, porque não exige configuração: o TeslaKee regista onde estacionou e só desbloqueia perto desse ponto. Um atacante de retransmissão junto ao seu carro enquanto está em casa falha-a de imediato — tal como um ladrão que tenha rebocado o carro.

Tal como o geofencing, precisa de GPS e herda as fraquezas do GPS em interiores. OPCIONAL é o nível certo para a maioria das pessoas.

Wi-Fi de confiança

Passa quando o telemóvel está ligado a uma das suas redes de confiança.

Barata, instantânea e fiável — mas só prova que está em casa ou no escritório, não que está junto ao carro. Boa como uma voz no quórum: “o telemóvel está na rede de casa e moveu-se há pouco” é muito mais forte do que qualquer uma isolada. Nunca a torne OBRIGATÓRIA, a não ser que o seu carro esteja sempre estacionado dentro do alcance do Wi-Fi.

Hora do dia

Passa quando a hora atual cai dentro de uma janela ativa que definiu.

É mais útil no caso inverso: bloquear as horas da noite, quando ocorre a maioria dos furtos por retransmissão e certamente não está a conduzir. Se trabalha por turnos irregulares, mantenha-a OPCIONAL ou DESLIGADA.

Intensidade do sinal BLE

Passa quando o sinal de rádio do veículo está no limite que definiu ou acima dele (−70 / −80 / −90 dBm, ajustável entre −100 e −40).

Os sinais retransmitidos são reemitidos, pelo que chegam muitas vezes mais fracos do que um sinal real — e uma aproximação verdadeira fica progressivamente mais forte à medida que percorre os últimos metros. Definir um limite transforma “o carro consegue ouvir-me” em “o carro consegue ouvir-me de perto”.

• −70 dBm ≈ junto ao carro. Forte e, por vezes, rigoroso ao ponto de exigir uma segunda tentativa com o telemóvel no bolso de trás.
• −80 dBm ≈ a alguns metros. A predefinição e um bom compromisso.
• −90 dBm ≈ em qualquer ponto da zona de estacionamento.

Assim que a regra passa, o sinal tem de descer 8 dB completos abaixo do limite antes de voltar a falhar. Essa histerese impede que a decisão oscile enquanto se aproxima.

Passos

Passa quando o contador de passos regista pelo menos N passos nos últimos M minutos (predefinições 5/15, 10/5, 25/2).

Mais forte do que o movimento simples: um telemóvel num comboio em andamento ou numa secretária que vibra regista movimento, mas não passos. Isto é genuinamente “um humano trouxe este telemóvel até aqui”. Precisa do sensor detetor de passos e, no Android, da permissão Atividade física. Verifique-a no Teste de Política antes de a tornar OBRIGATÓRIA — alguns telemóveis reportam passos com um atraso de um minuto ou mais.

Altitude

Passa quando a altitude barométrica está dentro de uma tolerância (5 / 15 / 30 m) da altitude registada quando o carro foi trancado pela última vez.

É a regra que apanha o ataque entre pisos: o seu carro está na garagem subterrânea, você está no 14.º andar e todos os outros sinais — antena móvel, Wi-Fi, até o GPS — dizem que está “em casa”. A pressão do ar não concorda.

Precisa de um barómetro (muitos telemóveis de gama média não o têm; a aplicação avisa-o) e de uma referência do local de estacionamento. O tempo altera a pressão do ar ao longo de horas, por isso uma tolerância muito apertada pode sair fora durante a noite. 15 m é um bom compromisso; mantenha-a OPCIONAL.

Telemóvel desbloqueado

Passa quando o ecrã do telemóvel foi desbloqueado agora mesmo, ou nos últimos N minutos (1 / 2 / 10; 0 = “tem de estar desbloqueado neste momento”).

Indício muito forte, porque um ataque de retransmissão funciona com o telemóvel no bolso e um ladrão não tem como o levar a desbloqueá-lo. O custo é ter de tocar no telemóvel antes de tocar na porta do carro — o que, de qualquer forma, é o que muita gente já faz.

Defina-a como 0 apenas se estiver disposto a pegar no telemóvel todas as vezes.

Antenas móveis

Passa quando o telemóvel vê neste momento um dos identificadores de célula que adicionou à lista de permitidos.

É a regra do “estou na zona certa da cidade”, sem nada do consumo do GPS e com uma cobertura em interiores muito melhor. Construa a lista com o botão Adicionar atual enquanto está onde estaciona. Grosseira por natureza — uma célula cobre muito terreno —, por isso é uma voz de apoio, não uma prova de proximidade.

Antenas móveis do local de estacionamento

Passa quando pelo menos uma das células visíveis agora também estava visível quando o carro foi trancado pela última vez.

A mesma ideia da regra do local de estacionamento, mas usando o rádio móvel em vez do GPS: funciona no subsolo, não exige configuração e atualiza a referência sempre que estaciona. O registo guarda normalmente várias células servidoras e vizinhas, por isso sobrevive a uma mudança de célula. Uma regra OPCIONAL muito boa — possivelmente a de melhor relação custo-benefício de todas para quem estaciona em garagens.

Exceções e válvulas de segurança

Exceção manual

Concede a entrada durante um número definido de minutos (5 por predefinição, até 120), independentemente de todas as regras. Existe para os momentos em que a política está certa em geral e errada naquele instante: entregar o carro a alguém, carregar a bagageira com o telemóvel lá dentro, um sensor que claramente avariou.

Inicie-a a partir do ecrã principal. Expira sozinha — é esse o propósito.

Sempre Ativo

Desativa todo o motor de políticas. A sua chave passa a comportar-se como a oficial, o que significa que os ataques de retransmissão voltam a funcionar. A aplicação pede-lhe confirmação e mantém um aviso vermelho no ecrã durante todo o tempo em que estiver ativo.

Há uma utilização legítima: diagnosticar se um problema é sequer causado pela política. Ligue-o, confirme que o carro abre e volte a desligá-lo.

Interruptor de emergência

O extremo oposto, e vence tudo — incluindo a exceção manual e o Sempre Ativo. Com o interruptor de emergência ativo, o TeslaKee não procura, não responde ao carro e é indistinguível de uma aplicação desinstalada, do ponto de vista do veículo. Use-o quando entregar o telemóvel a alguém, ou quando estacionar num sítio por um período mais longo e não quiser nenhuma chave BLE nesse telemóvel. É reversível de imediato.

Ligação persistente e tolerância de reconexão

Assim que a entrada passiva é permitida durante uma ligação Bluetooth, mantém-se permitida até essa ligação terminar. Sem isto, uma quebra momentânea — uma queda de sinal, uma leitura de sensor falhada — poderia retirar a autorização enquanto está sentado no carro.

A tolerância de reconexão (60 s por predefinição, ajustável entre 0 e 600 s nas Definições) estende a mesma ideia a uma quebra curta: se uma ligação já autorizada cair e regressar dentro da janela, a entrada continua autorizada em vez de voltar a correr todas as regras. Defina-a como 0 se quiser que cada reconexão volte a passar pela política completa.

Configurações que funcionam

Dia a dia, garagem em casa — Movimento OBRIGATÓRIO · quórum 2 entre: células do local de estacionamento, telemóvel desbloqueado, sinal BLE. Funciona no subsolo, sobrevive a um barómetro inexistente e recusa-se a responder enquanto o telemóvel está na mesa da cozinha.

Estacionamento na rua, numa cidade — Movimento OBRIGATÓRIO, sinal BLE OBRIGATÓRIO (−80) · quórum 2 entre: passos, telemóvel desbloqueado, local de estacionamento. A proximidade tem de ser real e algo tem de provar que um humano se deslocou.

Segurança máxima — Movimento, sinal BLE (−70) e telemóvel desbloqueado, todos OBRIGATÓRIOS · quórum 3 entre: passos, local de estacionamento, altitude, células do local de estacionamento. Conte com puxar o puxador duas vezes de vez em quando. Combine com o PIN para Conduzir no carro.

Prédio de apartamentos com garagem subterrânea — Movimento OBRIGATÓRIO · quórum 2 entre: altitude, células do local de estacionamento, telemóvel desbloqueado. Aqui é a regra da altitude que faz o trabalho pesado: é ela que distingue “na garagem, ao lado do carro” de “a dormir no 14.º andar”.

Quando o carro não abre

Abra primeiro o Teste de Política — ele identifica a regra que está a falhar, e isso é quase sempre a resposta. Os suspeitos do costume:

• Uma regra OBRIGATÓRIA não pode ser medida. Sem barómetro, sem detetor de passos, permissão de Sensores recusada, ainda sem referência do local de estacionamento, sem sinal de GPS no subsolo. O que não se mede conta como falhado. Passe a regra para OPCIONAL.
• O quórum é superior aos indícios que consegue produzir em interiores. Baixe-o em uma unidade, ou acrescente uma regra opcional barata (Wi-Fi de confiança, células do local de estacionamento).
• Limite de BLE demasiado alto. −70 dBm com o telemóvel no bolso de trás, contra uma carroçaria cheia de metal, é genuinamente apertado. Experimente −80.
• Janela de movimento demasiado curta. Depois de uma hora sentado num restaurante, uma janela de 2 minutos não terá visto movimento até se levantar e andar.
• A app oficial da Tesla continua a ser uma chave Bluetooth. Nesse caso, o carro pode estar a falar com ela e não com o TeslaKee — e nenhuma política se aplica. Ver o guia da app Tesla.
• Não acontece absolutamente nada. Verifique se o interruptor de emergência está desligado e consulte Definições → Fiabilidade em segundo plano.

Continua sem resolver? Escreva para contact@toothr.com com uma captura de ecrã do painel Teste de Política — normalmente responde à pergunta num relance.