Een fabrikant van hotelsloten komt met verschillende maatregelen nadat een Mozilla-werknemer had gedemonstreerd hoe eenvoudig de sloten zijn te hacken. De 24-jarige Cody Brocious ontdekte verschillende problemen waardoor het mogelijk is om wereldwijd in hotels deuren te openen. Het gaat om de sloten van fabrikant Onity, die volgens het bedrijf op tussen de vier en vijf miljoen deuren wereldwijd geïnstalleerd zijn.

Volgens Brocious zou het zelfs om zo'n tien miljoen hotelkamerdeuren gaan, wat neerkomt op een derde van alle hotels en zo'n 50% van alle hotelsloten. Voor de aanval gebruikt de Mozilla-programmeur een Arduino. Deze zeer goedkope hardware is voor allerlei doeleinden te gebruiken. Door de Arduino op de stroomaansluiting van het slot aan te sluiten, lukt het Brocious om de kamerdeur in een paar seconden te openen

Oplossing
In een verklaring stelt Onity dat het aan een oplossing werkt om potentiële risico's in de sloten op te lossen, waarbij het voor een tweelaagse aanpak kiest. De eerste beveiligingsoplossing betreft een mechanische 'cap' die in de programmeerbare plug van de sloten wordt aangebracht. Via het bestaande batterijklepje is het daardoor niet meer mogelijk om de mechanische cap te verwijderen, tenzij het slot eerst gedeeltelijk uit elkaar wordt gehaald.

Dit moet voorkomen dat iemand via een Arduino het slot hackt. "Om de veiligheid van deze oplossing verder te verbeteren, bieden we bij elke mechanische cap ook een security TORX-schroef om het batterijklepje in het slot te beveiligen." Deze oplossing is gratis voor klanten en zal eind augustus beschikbaar zijn.

De tweede oplossing is het upgraden van de firmware naar een geavanceerder model. Daarbij wordt het controlebord van het slot vervangen. De kosten hiervoor moeten de hotels zelf dragen. Ook deze oplossing is eind augustus beschikbaar.

Kosten
Brocious prijst op zijn eigen weblog Onity voor het oplossen van het probleem, maar vindt niet dat klanten de kosten moeten betalen om het beveiligingslek op te lossen. Als een dergelijk probleem in een auto zou worden aangetroffen, zou er een terugroepactie volgen waarbij de fabrikant ook de kosten zou dragen.

"Het uitbrengen van een oplossing voor zo'n ernstig lek zonder het gehele systeem door een onafhankelijke security professional te laten auditen, inclusief fix, is vragen om het probleem te laten bestaan, of dat er nieuwe problemen verschijnen", merkt Brocious op. Voor de veiligheid van hotelgasten vindt hij dat Onity een audit moet laten uitvoeren. "Het is gewoon de enige manier om te voorkomen dat ze weer een verschrikkelijk product op de markt brengen."