Onderzoekers vinden manier om drie miljoen RFID-hotelsloten te openen
Onderzoekers hebben een manier gevonden om drie miljoen RFID-gebaseerde hotelsloten van fabrikant Dormakaba te openen. De Saflok-sloten van Dormakaba zijn geïnstalleerd in drie miljoen deuren wereldwijd. Het gaat om 13.000 locaties in 131 landen. De onderzoekers maken misbruik in kwetsbaarheden van Dormakaba's encryptie en het onderliggende RFID-systeem dat de slotenfabrikant gebruikt en bekendstaat als MIFARE Classic.
Om de aanval uit te voeren moet een aanvaller eerst een keycard van het hotel zien te bemachtigen. Bijvoorbeeld door een kamer te boeken of een gebruikte keycard te pakken. Vervolgens kan bepaalde code van de keycard worden uitgelezen. Deze informatie wordt vervolgens gebruikt voor het maken van twee vervalste key cards waarmee alle deuren in het hotel zijn te openen. De eerste vervalste kaart herschrijft een deel van de slotdata en de tweede vervalste keycard opent het slot. De onderzoekers willen geen verdere details geven, gezien de impact dit op hotels en hun gasten kan hebben. De aanval is ook uit te voeren met een Flipper Zero of soortgelijk apparaatje.
De onderzoekers hebben hun bevindingen in oktober 2022 met Dormakaba gedeeld. De fabrikant is een jaar later in november 2023 begonnen met het updaten van hotelsloten. Op dit moment is naar schatting 64 procent van de hotelsloten nog kwetsbaar. De onderzoekers merken op dat het upgraden van sloten een lastig proces is. Alle sloten vereisen een software-update of moeten worden vervangen. De kwetsbare sloten zijn al sinds 1988 in gebruik. De onderzoekers zijn niet bekend met daadwerkelijk misbruik van de beveiligingslekken, maar kunnen dit ook niet uitsluiten.
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
Dank voor je link, de wereld van 2002-3, goed om dat te herinneren/weten. Het was mode toen, zo te schrijven, nu is de mode weer anders:
https://www.security.nl/posting/834943/Canadese+overheid+komt+terug+op+volledig+verbod+van+Flipper+Zero
en
https://www.security.nl/posting/834733
Geeks zien soms meerwaarde in het demonstreren van het kunnen van auto- en hoteldeuren openers gadgets van het internet, om hogere status binnen 'the community" te krijgen met hun tools, de vraag is of de wereld in zijn geheel daar veiliger op wordt, of dat deze 'geeks' met deze navelstaarderij niet kijken op een misdrijf meer of minder.
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
Nog simpeler:
Vraag een van de schoonmaakster om je binnen te laten.
Je sleutel/keycard heeft je vriendin of ligt ergens op de kamer. (Whatever)
Het verbaasd me dat het meer dan 30 jaar gekost zou hebben om het keycard-systeem hacken dan wel daarover te publiceren.
Hoeveel misbruik is daar in de tussentijd dan wel niet van gemaakt?
Ik heb in ieder geval nog nooit iets met een gerust hart onbeheerd in een hotel kamer laten liggen.
Daar kunnen teveel mensen zomaar bij komen. Dat blijkt nog maar eens een keer.
Maar mischien ben ik te paranoide. XD
classic https://www.mattblaze.org/papers/mk.pdf .
"Cryptology and Physical Security: Rights Amplification in Master-Keyed Mechanical Locks" (2003)
Oftewel, het afleiden van de masterkey (werkt op alle deuren) - zoals typisch gebruikt in mechanische hotel sloten - van een 'user' key (werkt op een enkele deur) en slot.
Geschreven (niet vreemd, gezien de auteur) in IT/crypto terminologie.
Nog simpeler:
Vraag een van de schoonmaakster om je binnen te laten.
Je sleutel/keycard heeft je vriendin of ligt ergens op de kamer. (Whatever)
Dat heeft als nadeel dat je dan gezien bent .
En als de schoonmaker heel netjes is sturen ze iemand van de frontdesk, of blijven ze wachten tot je de keycard op de kamer gevonden hebt.
Of kennen ze toevallig de echte gebruiker .
Misschien is het goed genoeg voor je criminele doel, maar niet zo goed als een werkende valse sleutel.
Het verbaasd me dat het meer dan 30 jaar gekost zou hebben om het keycard-systeem hacken dan wel daarover te publiceren.
Hoeveel misbruik is daar in de tussentijd dan wel niet van gemaakt?
Bijzonder weinig, waarschijnlijk. Als het niet kant en klaar/makkelijk is (flipperen, bump key) wordt er , voor kruimel-werk gewoon niet veel crimininele moeite gedaan.
Ik heb in ieder geval nog nooit iets met een gerust hart onbeheerd in een hotel kamer laten liggen.
Daar kunnen teveel mensen zomaar bij komen. Dat blijkt nog maar eens een keer.
Nee, het blijkt helemaal niet dat VEEL mensen de mogelijkheden hebben en de moeite doen en dan ook nog massaal in hotels op de loer liggen.
Maar mischien ben ik te paranoide. XD
Waarschijnlijk ja.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.