Des hackers découvrent comment ouvrir 3 millions de serrures de cartes-clés d’hôtel

Des hackers découvrent comment ouvrir en quelques secondes des millions de serrures de cartes-clés d’hôtel

• Des hackers ont découvert une vulnérabilité permettant d’ouvrir en quelques secondes les serrures de cartes-clés d’hôtel de la marque Saflok.
• Cette vulnérabilité pourrait affecter 3 millions de portes d’hôtel dans le monde, et l’entreprise suisse Dormakaba, qui fabrique ces serrures, fournit des mesures correctives.
• La correction peut prendre de quelques mois à plusieurs années, et cela pourrait être encore plus long pour certains hôtels.

Divulgation de la technique Unsaflok

• Les chercheurs ont révélé qu’une technique appelée Unsaflok permet d’ouvrir facilement les serrures de cartes-clés basées sur la RFID de la marque Saflok de Dormakaba.
• Cette technique exploite des faiblesses dans le chiffrement de Dormakaba et dans MIFARE Classic, le système RFID utilisé.
• Les hackers peuvent utiliser n’importe quelle carte-clé obtenue dans un hôtel pour lire un code spécifique, puis écrire leurs propres deux cartes-clés avec un appareil de lecture/écriture RFID à 300 dollars afin d’ouvrir la serrure.

Réponse de Dormakaba

• Dormakaba a reçu les détails techniques des chercheurs en novembre 2022 et aide les hôtels informés de la vulnérabilité à appliquer les correctifs.
• Pour les systèmes Saflok vendus au cours des 8 dernières années, il n’est pas nécessaire de remplacer chaque serrure individuellement : il suffit de mettre à jour ou de remplacer le système de gestion de la réception, puis de faire reprogrammer chaque porte par un technicien.
• Cependant, à ce jour, seuls 36 % des systèmes Saflok ont été mis à jour, et une correction complète devrait encore prendre plusieurs mois.

Détails de la vulnérabilité

• Les chercheurs ont découvert deux vulnérabilités exploitables sur les cartes-clés de Dormakaba : l’une permet d’écrire des données sur la carte, l’autre indique quelles données doivent être écrites pour ouvrir les serrures Saflok.
• Les chercheurs ont rétroconçu le logiciel de réception de Dormakaba pour comprendre toutes les données stockées sur les cartes, puis extraire le code de propriété de l’hôtel et le code de chaque chambre, afin de créer leurs propres valeurs et de les chiffrer comme le système Dormakaba.

Réaction des clients d’hôtel

• Les clients d’hôtel peuvent identifier les serrures vulnérables et vérifier, via l’application NFC Taginfo et l’examen de leur carte-clé, si la serrure a été mise à jour.
• Si la serrure est encore vulnérable, il est recommandé de ne pas laisser d’objets de valeur dans la chambre et d’utiliser la chaîne de sécurité lorsqu’on se trouve à l’intérieur.

L’avis de GN⁺

• Cet article soulève un important problème de sécurité pour les clients d’hôtel comme pour l’industrie hôtelière. Les clients devraient accorder davantage d’attention à la sécurité de la serrure de la chambre où ils séjournent.
• Le fait qu’une vulnérabilité ait été découverte pousse l’industrie hôtelière à réexaminer ses systèmes de sécurité existants et à procéder à des mises à niveau si nécessaire.
• Ce type de vulnérabilité souligne l’importance de la cybersécurité autant que de la sécurité physique. Les hôtels doivent renforcer leur infrastructure IT et effectuer des contrôles de sécurité réguliers.
• Parmi les autres produits ou projets de sécurité offrant des fonctions similaires, on peut citer le système de serrures d’Onity, qui a déjà connu par le passé des problèmes liés à des vulnérabilités découvertes.
• Lors de l’adoption de nouvelles technologies ou de nouveaux systèmes de sécurité, il est important de garder ces vulnérabilités à l’esprit et de renforcer en continu la sécurité du système.

[GN⁺]

Commentaires Hacker News

• Avis d’un employé d’une entreprise qui développe des systèmes de contrôle d’accès et de communication prenant en charge différents standards d’identification :

  • La plupart des clients continuent d’utiliser les identifiants les moins sûrs, car ils sont peu coûteux et faciles à exploiter.
  • Les appareils installés ne sont généralement pas correctement maintenus, car la maintenance a un coût.
  • Tous les équipements ne peuvent pas être mis à jour à distance via le réseau.
  • Même lorsque les cartes sont chiffrées, dans la plupart des cas elles sont reliées au contrôleur via le protocole Wiegand, qui ne fournit pas de chiffrement des données.

• Expérience d’une personne vivant dans un immeuble :

  • Des serrures Scantron utilisant des clés RFID étaient installées, mais le chiffrement faible de MiFare Classic permettait de créer une clé maître.
  • Il a fallu de nombreux e-mails et appels avec un journaliste pour faire comprendre le problème, et au final les serrures ont été mises à niveau vers un meilleur schéma de chiffrement et les clés ont été réémises.

• Avis d’une personne ayant participé à la recherche :

  • Elle est prête à répondre aux questions sur la recherche.
  • Les résultats de la recherche sont disponibles sur unsaflok.com.

• Avis sur une grave vulnérabilité possible dans les hôtels :

  • Il suffit de lire une seule carte-clé pour pouvoir mener une attaque contre toutes les portes de l’établissement concerné.

• Avis sur la réponse de Dormakaba :

  • Certains se demandent si Dormakaba n’a pas traité ce problème comme une priorité absolue, ou s’il existe une raison expliquant pourquoi les 2/3 des Saflok installés n’ont pas reçu de correctif gratuit à temps.
  • On est convaincu que Dormakaba, ainsi que ses clients et partenaires, accorde une grande importance à la sécurité et traitera ce problème de manière responsable.

• Idée fausse sur le fonctionnement des cartes-clés d’hôtel :

  • On pensait qu’à l’enregistrement, une carte choisie au hasard était associée à la chambre puis remise au client, mais en réalité cela demande des opérations plus complexes qu’un simple chiffrement ou l’écriture d’informations sur la carte.

• Mesures personnelles pour la sécurité à l’hôtel :

  • Comme les portes d’hôtel sont conçues pour pouvoir être ouvertes depuis l’extérieur, on utilise un bloque-porte pour empêcher l’ouverture.

• Importance de la sécurité physique :

  • Recommandation d’acheter une sangle permettant de verrouiller la porte depuis l’intérieur.

• Perception du RFID et du NFC :

  • Le RFID et le NFC sont une nouvelle forme de bande magnétique et de code-barres ; les gens pensent que ces technologies sont sûres parce qu’elles sont invisibles, alors qu’en réalité il ne s’agit que de chiffres lisibles par une machine.