Onderzoekers vinden manier om drie miljoen RFID-hotelsloten te openen
Onderzoekers hebben een manier gevonden om drie miljoen RFID-gebaseerde hotelsloten van fabrikant Dormakaba te openen. De Saflok-sloten van Dormakaba zijn geïnstalleerd in drie miljoen deuren wereldwijd. Het gaat om 13.000 locaties in 131 landen. De onderzoekers maken misbruik in kwetsbaarheden van Dormakaba's encryptie en het onderliggende RFID-systeem dat de slotenfabrikant gebruikt en bekendstaat als MIFARE Classic.
Om de aanval uit te voeren moet een aanvaller eerst een keycard van het hotel zien te bemachtigen. Bijvoorbeeld door een kamer te boeken of een gebruikte keycard te pakken. Vervolgens kan bepaalde code van de keycard worden uitgelezen. Deze informatie wordt vervolgens gebruikt voor het maken van twee vervalste key cards waarmee alle deuren in het hotel zijn te openen. De eerste vervalste kaart herschrijft een deel van de slotdata en de tweede vervalste keycard opent het slot. De onderzoekers willen geen verdere details geven, gezien de impact dit op hotels en hun gasten kan hebben. De aanval is ook uit te voeren met een Flipper Zero of soortgelijk apparaatje.
De onderzoekers hebben hun bevindingen in oktober 2022 met Dormakaba gedeeld. De fabrikant is een jaar later in november 2023 begonnen met het updaten van hotelsloten. Op dit moment is naar schatting 64 procent van de hotelsloten nog kwetsbaar. De onderzoekers merken op dat het upgraden van sloten een lastig proces is. Alle sloten vereisen een software-update of moeten worden vervangen. De kwetsbare sloten zijn al sinds 1988 in gebruik. De onderzoekers zijn niet bekend met daadwerkelijk misbruik van de beveiligingslekken, maar kunnen dit ook niet uitsluiten.
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
Dank voor je link, de wereld van 2002-3, goed om dat te herinneren/weten. Het was mode toen, zo te schrijven, nu is de mode weer anders:
https://www.security.nl/posting/834943/Canadese+overheid+komt+terug+op+volledig+verbod+van+Flipper+Zero
en
https://www.security.nl/posting/834733
Geeks zien soms meerwaarde in het demonstreren van het kunnen van auto- en hoteldeuren openers gadgets van het internet, om hogere status binnen 'the community" te krijgen met hun tools, de vraag is of de wereld in zijn geheel daar veiliger op wordt, of dat deze 'geeks' met deze navelstaarderij niet kijken op een misdrijf meer of minder.
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
Nog simpeler:
Vraag een van de schoonmaakster om je binnen te laten.
Je sleutel/keycard heeft je vriendin of ligt ergens op de kamer. (Whatever)
Het verbaasd me dat het meer dan 30 jaar gekost zou hebben om het keycard-systeem hacken dan wel daarover te publiceren.
Hoeveel misbruik is daar in de tussentijd dan wel niet van gemaakt?
Ik heb in ieder geval nog nooit iets met een gerust hart onbeheerd in een hotel kamer laten liggen.
Daar kunnen teveel mensen zomaar bij komen. Dat blijkt nog maar eens een keer.
Maar mischien ben ik te paranoide. XD
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
Nog simpeler:
Vraag een van de schoonmaakster om je binnen te laten.
Je sleutel/keycard heeft je vriendin of ligt ergens op de kamer. (Whatever)
Dat heeft als nadeel dat je dan gezien bent .
En als de schoonmaker heel netjes is sturen ze iemand van de frontdesk, of blijven ze wachten tot je de keycard op de kamer gevonden hebt.
Of kennen ze toevallig de echte gebruiker .
Misschien is het goed genoeg voor je criminele doel, maar niet zo goed als een werkende valse sleutel.
Het verbaasd me dat het meer dan 30 jaar gekost zou hebben om het keycard-systeem hacken dan wel daarover te publiceren.
Hoeveel misbruik is daar in de tussentijd dan wel niet van gemaakt?
Bijzonder weinig, waarschijnlijk. Als het niet kant en klaar/makkelijk is (flipperen, bump key) wordt er , voor kruimel-werk gewoon niet veel crimininele moeite gedaan.
Ik heb in ieder geval nog nooit iets met een gerust hart onbeheerd in een hotel kamer laten liggen.
Daar kunnen teveel mensen zomaar bij komen. Dat blijkt nog maar eens een keer.
Nee, het blijkt helemaal niet dat VEEL mensen de mogelijkheden hebben en de moeite doen en dan ook nog massaal in hotels op de loer liggen.
Maar mischien ben ik te paranoide. XD
Waarschijnlijk ja.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
