(Obrázek: F-Secure/dodávané)
Bezpečnostní výzkumníci postavili hlavní klíč, který využívá konstrukční chyba v populární a široce používané hotel elektronický zámek systém, umožňující neomezený přístup do všech místností v budově.
elektronický zámkový systém, známý jako Vidění VingCard a postavil švédský zámek výrobce Assa Abloy, se používá ve více než 42.000 vlastnosti v 166 zemích, ve miliony hotelových pokojů-stejně jako garáže a sklad.
Tyto elektronické zamykací systémy jsou samozřejmostí v hotelech, používaných zaměstnanci poskytnout granulární kontroly nad tím, kde se člověk může jít do hotelu, jako je jejich pokoj-a dokonce i omezení podlaze, že výtah zastaví. A tyto klíče mohou být vymazány a znovu použity při odhlášení hostů.
ukázalo se, že tyto klíčové karty nejsou tak bezpečné, jak se původně myslelo.
F-Secure je Tomi Tuominenová a Timo Hirvonen, který provedl práci, řekl, že by mohl vytvořit hlavní klíč „v podstatě z ničeho.“
každá klíčová karta bude dělat. Dokonce i staré a prošlé nebo vyřazené klíče uchovávají dostatek zbytkových dat pro použití při útoku. Pomocí kapesního zařízení s vlastním softwarem mohou vědci ukrást data z klíčové karty-buď pomocí bezdrátové radiofrekvenční identifikace (RFID) nebo magnetického proužku. To zařízení pak manipuluje ukradené klíčové údaje, které určuje hotel, vyrábět přístupový token s nejvyšší úrovní oprávnění, účinně slouží jako univerzální klíč pro všechny místnosti v budově.
nebylo to jednodenní úsilí. Vědcům trvalo přes deset let práce, než se sem dostali.
vědci zahájili úsilí o obcházení klíčů od pokoje v roce 2003, kdy byl z hotelového pokoje ukraden notebook kolegy. Bez známek násilného vniknutí nebo neoprávněného přístupu do místnosti, personál hotelu prý incident zamítl. Vědci se rozhodli najít populární značku smart lock, kterou je třeba prozkoumat. Podle jejich slov nebylo nalezení a vybudování hlavního klíče zdaleka snadné a trvalo“ několik tisíc hodin práce “ na základě on-off a pomocí pokusů a omylů.
„Rozvíjet útok vzal značné množství času a úsilí,“ řekl Tuominenová a Hirvonen, v e-mailu na ZDNet.
„v roce 2015 jsme vytvořili demo prostředí RFID a v březnu 2017 jsme dokázali vytvořit náš první hlavní klíč pro skutečný hotel,“ uvedli. „Pokud by to někdo udělal na plný úvazek, pravděpodobně by to trvalo podstatně méně času.
byly dobré zprávy, uvedli vědci.
„nevíme, nikdo jiný vykonávání tohoto konkrétního útoku v přírodě hned teď,“ řekl, vědci, bagatelizovat riziko pro zákazníky hotelu.
jejich objev také přiměl Assa Abloy k vydání bezpečnostní opravy k odstranění nedostatků. Podle jejich zpřístupnění timeline, Assa Abloy byl poprvé řekl o zranitelnosti, o měsíc později v dubnu 2017, a potkali se v průběhu několika měsíců, aby opravit chyby.
software je opraven na centrálním serveru, ale firmware na každém zámku je třeba aktualizovat.
„to vyžaduje, aby byl někdo fyzicky přítomen v zámku,“ napsali vědci.
ale o opravě je k dispozici jen málo podrobností. Mluvčí Assa Abloy nevrátil několik e-mailů a telefonních hovorů s žádostí o komentář. Společnost dodala opravu zákazníkům na začátku roku 2018, ale není známo, kolik hotelů tuto opravu zavedlo.
Několik velkých hotelů, včetně Waldorf Astoria v Berlíně, Grand Hyatt v San Franciscu, a Renaissance Downtown Toronto, jsou řekl, aby byl zákazníci švédského zámek maker.
Oslovili jsme zástupce Hyatt a Marriott, ale v době zveřejnění jsme se neozvali.
mluvčí společnosti Hilton uvedl, že společnost si „uvědomuje“ zranitelnosti.
“ bezpečnost a zabezpečení našich hostů je nesmírně důležité . Úzce spolupracujeme s Ving na sanaci zasažených systémů v omezeném počtu hotelů, “ řekl mluvčí.
vědci vyzvali budovy, které používají zámky dveří, aby se co nejdříve aktualizovaly.
