Die Toniebox ist ein würfelförmiges Spielzeug, mit dem man Hörbücher und Lieder abspielen kann. Wie gut ist es? Welche Alternativen gibt es?
Was ist eine Toniebox?
Bei der Toniebox handelt es sich um einen Würfel mit ca. 12 cm Kantenlänge, auf den man spezielle Figuren, genannt Tonies, aufstellen kann, um genau diesem Würfel dann Geschichten oder Lieder zu entlocken. In den Figuren steckt ein individueller RFID Tag (SLIX-L), den die Box lesen und so die passenden Inhalte über WLAN aus der Cloud auf den internen microSD-Speicher laden und abspielen kann. Danach geht es auch offline. Neben fertigen Hörfiguren ist es auch möglich, eigene Inhalte auf sogenannte Kreativ-Tonies zu spielen. Dies funktioniert ausschließlich über die vom Hersteller bereitgestellte Webseite. Dies hat mich und meine Mitstreiter von Team RevvoX im Dezember 2019 zusammengeführt und dazu bewegt herauszufinden, wie das Ganze im Detail funktioniert. Ob man die Box vielleicht auch ohne Cloud und ohne Figuren nutzen könnte? Ist es möglich die Firmware des Herstellers durch eine Eigene zu ersetzen? Welche Daten werden von der Box an den Hersteller geschickt?Die Hard- und Software der Toniebox
Die Toniebox besteht im Inneren aus einer sehr durchdachten und robusten Platine. Im Detail sind dort die folgenden Komponenten verbaut:![Toniebox, Platine von oben](https://cdn.tarnkappe.info/wp-content/uploads/tooniebox_progress_top.png)
![Toniebox, platine unten](https://cdn.tarnkappe.info/wp-content/uploads/tooniebox-platine-von-unten.png)
Die Daten der Platine auf einen Blick:
![Toniebox gestapelt](https://cdn.tarnkappe.info/wp-content/uploads/tooniebox-boxed.png)
Eigene Tags – Declouding
Innerhalb von Team RevvoX war schnell die Idee geboren, eigene Inhalte auf die Toniebox zu bringen ohne den Umweg über die Cloud von Boxine zu gehen. Die verbaute SD-Karte und das einfache Datenformat kam uns dort sehr entgegen. Es hat sich herausgestellt, dass es sich bei den Dateien um OPUS codierte OGG-Dateien mit einem individuellen Header in einer von der UID abhängigen Ordner/Dateistruktur handelt. Die Originalinhalte der Box lassen sich durch Abschneiden des Headers (4kB) in abspielbare OGG-Dateien umwandeln. Durch Umbenennen des Ordners und der Datei lassen die Inhalte sich auch mit einer anderen UID verknüpfen. Beispiel: Der Inhalt der UID FE:DC:BA:98:76:54:32:10 liegt im Ordner “10325476” und in diesem liegt die Datei “98BADCFE” mit dem eigentlichen Inhalt. Die Tags werden von Boxine mit einem für alle Tonies identischem Kennwort geschützt. Ohne dieses Kennwort antwortet der Tonie bzw. der Tag nur noch auf die nötigen Kommandos zum Entsperren aus dem so genannten Privacy Mode (GET RANDOM / SET PASSWORD). Die Toniebox versucht die Tags zuerst mit dem spezifischen Boxine Kennwort aus dem Privacy Mode aufzuwecken. Klappt dies nicht, probiert sie das von den Tags durch NXP werksseitige gesetzte Standardkennwort (0x0F0F0F0F). Eigene, im Handel frei erhältliche SLIX-L Tags funktionieren daher ohne Änderung des Kennwortes. Ist ein Tag im Privacy Mode, kann dieser nicht mit einem beliebigen RFID Leser z.B. vom Smartphone gelesenen werden, da sie die nötigen Kommandos nicht unterstützen.Was macht die Toniebox im Detail?
1) Aufwecken des Tags aus Privacy-Mode (NXP spezifisch) 2) Auslesen der UID 3) Auslesen des Speichers 4) Tag in Privacy Mode versetzen (NXP spezifisch) Dies erlaubt es einen beliebigen Tonie Tag mit Hilfe der Toniebox aus dem Privacy Mode zu wecken, indem man einen Tonie ganz kurz auf die Box klopft (auch Klopf-Methode oder Knock-Methode genannt). Dadurch kann die Box den Tag nicht mehr sperren bevor sie mit dem Auslesen fertig ist. Anschließend sind die Tags mit jedem beliebigen ISO15963 RFID Reader lesbar. Auf Smartphones ist dann auch ein Auslesen der UID möglich. Zum Beispiel mit “NXP Tag Info” auf Android oder mit “NFCmanager” auf iOS. Mit Hilfe eines ChameleonMini wurde schon beim Kongress 36c3 ein Tonie simuliert. Siehe das Video unten. Dabei wurde aber nur die UID und der Privacy Mode nachgebildet und so konnten nur Tonies simuliert werden, die schon auf die Box heruntergeladen wurden. Der für den Download der Inhalte notwendige Schlüssel im Speicher des Tags fehlte bei der Umsetzung. Hilfreich für die weitere Entwicklung war der Proxmark3. Dort gab es zwar eine rudimentäre Unterstützung für ISO15693 basierende Tags aber ohne die herstellerspezifischen Erweiterungen wie zum Beispiel dem Privacy-Mode beim SLIX-L. Wir haben die bestehende Firmware um die für die Toniebox relevanten Kommandos erweitert, Dies hat uns erlaubt die Kommunikation der Tags mit der Box zu verstehen, die UID (8 Byte) und die Daten des Tags (32 Byte) auszulesen, Tags aufzuwecken, das Kennwort zu ändern und auch Tags damit vollständig, inklusive der Speicherblöcke, zu simulieren. Im Gegensatz zum ChameleonMini ist mit dem Proxmark3 eine vollständige Simulation der Tags inklusive des Downloads von Inhalten aus der Tonie Cloud möglich.Eigene Audiodateien mit der Toniebox verwenden
Um selbst Dateien erzeugen zu können musste der Dateiheader nachgebildet und OPUS Pages in 4kB Blöcken generiert werden. Datenformat siehe hier. Damit war „Teddy the Tonie Encoder Decoder for DIYs“ geboren. Es handelt sich dabei um ein Open Source Tool um aus eigenen Audiodateien z.B. mp3s Inhalte in das Format der Toniebox umzuwandeln, auf dessen SD-Karte zu spielen und mit originalen Tonies oder eigenen SLIX-L Tags zu verknüpfen. Siehe hier in diesem Video:![enter tag uid](https://cdn.tarnkappe.info/wp-content/uploads/toniebox-enter-tag-uid.png)
AGB und Datenschutz
Welche Daten überträgt das Gerät?
Zusätzlich wird auch der Name (SSID) des aktuell verbundenen WLAN Netzwerkes an den Hersteller übertragen. Mit Hilfe von kostenlosen Online Tools wie wigle.net lässt sich leicht herausfinden wo sich dieses WLAN befindet. Zumindest dann, wenn der Name des WLANs halbwegs eindeutig ist. Dies wurde von Team RevvoX schon Anfang 2020 festgestellt und veröffentlicht. Der Hinweis in der Datenschutzrichtlinie zur WLAN SSID wurde erst Mittel 2020 aufgenommen. Der Grund für die Änderung ist naheliegend… Weiterhin behält sich der Hersteller vor die Inhalte der Kreativ-Tonies zu überprüfen und an Dritte weiterzugeben. Auch können jederzeit beliebige Regelungen eingeführt werden, falls es z.B. zu Überlastungen der Cloud kommen sollte. Das beinhaltet beispielsweise eine Limitierung der Uploads auf Kreativ-Tonies oder eine kostenpflichtige Premium-Mitgliedschaft.Fazit Toniebox
Wie in der Einleitung angesprochen, erwarte ich besonders bei einem Produkt für unsere Kleinsten den Fokus auf Security und Datenschutz. Die Box überträgt sehr umfangreiche Nutzungsdaten. Besonders die Übertragung der WLAN-SSID ist als besonders kritisch zu betrachten. Aber: Alles wird in der Datenschutzerklärung und den Allgemeinen Geschäftsbedingungen transparent dargestellt. Der Offline-Modus der Box erlaubt es die Box, bis auf beim Aufspielen neuer Inhalte, ohne Verbindung zum Internet und damit ohne Datenübertragung an der Hersteller zu verwenden. Sehr erfreulich ist es, dass sich die Box von Erwachsenen sehr leicht öffnen lässt und man so sehr einfach an den Akku und die anderen Bauteile kommt, um diese gegebenenfalls auszutauschen. Mit der Toniebox erhält man nicht nur eine sehr durchdachte Hardware inklusive einem Referenzmodell an Gehäuse-Entwicklung, sondern auch eine sauber entwickelte Firmware, die in ein perfektes Ökosystem eingebettet ist. Einzig und alleine der langsame Mikroprozessor und die fehlende Bluetooth-Unterstützung schmälert das Gesamtbild.Welche Alternativen gibt es?
Hackiebox
![Toniebox, disco mode](https://cdn.tarnkappe.info/wp-content/uploads/tooniebox-disco.png)
Erste Gegenmaßnahmen seitens Boxine
Am Morgen des 09.11.2020 meldeten sich erste User bei Team RevvoX, dass ihre bespielten SLIX-L Tags zu einem Fehler mit dem Codewort Murmeltier führen würden. Dies war vorher sonst nur der Fall, wenn ein eigener Tag verwendet wurde und für diesen kein Inhalt auf der Box vorhanden war. Jetzt funktionierten aber auch eigene Tags nicht mehr, die vorher über die SD-Karte bespielt wurden. Der Verdacht lag nahe, dass dies durch das kürzlich erschienene Firmware Update auf Version 3.0.8 vorbereitet und am 09.11.2020 serverseitig scharf geschaltet wurde. Workaround: Zum Abspielen eigener Tags muss sichergestellt sein, dass die Box offline ist. Zum Aufspielen neuer Inhalte von Tonies kann die Box problemlos online gehen. Es wird aber zukünftig empfohlen ein Backup der eigenen Inhalte anzulegen. (Weitere Details dazu sind hier verfügbar.)Noch ein Anliegen…
Bitte nutzt die bereitgestellten Tools verantwortungsbewusst. Ansonsten könnte Boxine sehr schnell weitere Gegenmaßnahmen ergreifen, um den Zugriff auf die Audiodateien der Box zu erschweren. Das Team RevvoX hat sich die Erforschung der technischen Funktionsweise der Box auf die Fahne geschrieben und hat auch Software zwecks Verwaltung von eigenen Tags und eigenen Audio-Files veröffentlicht, distanziert sich jedoch ganz klar von jeglicher Verletzung von Urheberrechten.![Tigerbox Touch](https://cdn.tarnkappe.info/wp-content/uploads/AndroidVersion20201015.jpg)