Výzkumníci našli způsob, jak přistupovat ke každému pokoji v hotelu s jedním klíčem

Co by se ale stalo, kdybyste zjistili, že systém uzamykání zajišťující váš hotelový pokoj s cenou 400 $ za noc je zranitelný a napadnutelný hackery? Co kdyby mohl útočník vstoupit nejen do vašeho pokoje, ale do každého pokoje v té budově?

Zní to děsivě, ale je to scénář, který odhalili výzkumníci společnosti F-Secure, když zkoumali široce rozšířený systém uzamykání pro hotely a pohostinství vyrobený největším světovým výrobcem zámků, společností Assa Abloy. Toto zjištění ovlivňuje miliony zámků v desítkách tisíců hotelů po celém světě, včetně míst provozovaných dobře známými mezinárodními řetězci.

Začátek

Před několika lety se dva z našich etických hackerů zúčastnili konference o informační bezpečnosti v Berlíně. Notebook jednoho výzkumníka byl ukraden z uzamčeného hotelového pokoje, zatímco byli pryč. Zajímavé bylo, že nebyly zjištěny žádné známky násilného vniknutí. Krádež byla oznámena hotelovému personálu. Vzhledem k tomu, že neexistoval žádný náznak neoprávněného vstupu do pokoje (žádné známky fyzického poškození a žádné informace v softwarových protokolech), personál žádost zamítl.

Zvědavost našich výzkumníků byla probuzena. Rozhodli se prozkoumat, zda je možné vstoupit do uzamčeného hotelového pokoje bez klíče… a bez zanechání jakékoli stopy. Nakonec, po více než desetiletí a tisících hodin občasného výzkumu v rámci vedlejšího projektu, přišli na to, jak se to dá přesně udělat.

Jejich cíl: vysoce kvalitní značka zámku známá svou kvalitou a bezpečností.

„Umíte si představit, co by mohla osoba se zlými úmysly udělat, kdyby se mohla dostat do jakéhokoli hotelového pokoje pomocí univerzálního klíče vytvořeného v podstatě z ničeho,“ říká Tomi Tuominen, Practical Leader, F-Secure Cyber Security Services. Pracoval bok po boku s Timo Hirvonenem, Senior Security Consultant, F-Secure na nalezení způsobu zneužití softwarového systému, známého jako Vision by VingCard.

Hacknutí

Nejprve musí útočník získat přístup k elektronickému klíči k cílovému zařízení. Postačuje doslova každý klíč, ať už je to klíč od pokoje nebo klíč ke skladovací komůrce nebo garáži. A co víc, tento klíč nemusí být právě aktivní: i klíč s prošlou platností z pobytu před pěti lety bude fungovat.

Útočník přečte tento klíč a pomocí malého hardwarového zařízení odvodí více klíčů k zařízení. Tyto odvozené klíče lze otestovat vůči jakémukoli zámku ve stejné budově. Během minut je toto zařízení schopno vygenerovat univerzální klíč k zařízení. Toto zařízení lze pak použít namísto klíče pro obejití jakéhokoli klíče v zařízení, nebo alternativně pro přepsání existujícího klíče nově vytvořeným univerzálním klíčem.

Potřebný hardware je dostupný online za několik stovek eur. Tento útok však umožňuje speciální software vyvinutý Tomim a Timem.

„Vytvoření bezpečného systému řízení přístupu je velmi obtížné, protože existuje tak mnoho věcí, které musíte udělat správně,“ říká Timo. „Pouze po důkladném porozumění tomu, jak byl celý systém navržen, jsme byli schopni identifikovat zdánlivě neškodné nedokonalosti. Kreativně jsme zkombinovali tyto nedokonalosti a navrhli metodu tvorby univerzálních klíčů.“

Kromě toho Tomi a Timo během svého výzkumu zjistili, že software Vision mohl být ve stejné síti zneužit pro získání přístupu k citlivým údajům zákazníků.

Řešení

Tomi a Timo informovali o svých zjištěních Assa Abloy v dubnu 2017, a od té doby spolupracují s výzkumným a vývojovým týmem tohoto výrobce zámků na opravě nedostatků. Společnost Assa Abloy nedávno vydala softwarovou aktualizaci a zpřístupnila ji postiženým hotelům.

„Díky pracovitosti a ochotě společnosti Assa Abloy vypořádat se s problémy zjištěnými naším výzkumem je svět hotelů a pohostinství nyní bezpečnějším místem,“ říká Tomi. „Naléhavě vybízíme jakoukoli organizaci používající tento software, aby provedla co nejdříve jeho aktualizaci.“

Tato dvojice nezveřejní kompletní detaily útoku, ani nezpřístupní žádné nástroje umožňující útok provést. K dnešnímu dni si nejsou vědomi žádných případů stejného provedeného útoku.

Hotely a pohostinství jsou cílovým odvětvím na bitevním poli informační bezpečnosti. Jaká bezpečnostní opatření by tedy měli cestovatelé při najímání pokoje sami podniknout, aby se ochránili před těmito druhy útoků?

„Mým doporučením je, aby lidé pokračovali v přijímání opatření, která, doufejme, již přijímají,“ říká Timo. „To znamená nenechávat žádné cennosti v hotelovém pokoji a používat dveřní řetízek, když jste v pokoji nebo jdete spát. Pokud taková opatření ještě nečiníte, může to být dobrá příležitost s nimi začít.“

V kostce

1. Útočníci získají klíčovou kartu cílového hotelu (je použitelná i stará klíčová karta s vypršením platnosti
2. Údaje klíčové karty jsou naskenovány/zkopírovány malým zařízením
3. Malé zařízení během několika minut vygeneruje více klíčů a vytvoří univerzální klíč
4. Univerzální klíč obejde jakýkoli zámek v cílovém hotelu a přidělí neomezený přístup k zařízení

Zůstaňte v bezpečí – vždy dodržujte základní tipy pro bezpečné cestování

• Nenechávejte cennosti ve svém pokoji, pokud je neuložíte do trezoru
• Použijte řetězec dveří ve svém pokoji
• Při hotelové síti Wi-Fi použijte službu VPN (F-Secure FREEDOME VPN)
• Použijte svou kreditní kartu namísto debetu a vyhledejte podvodné transakce

Zjistěte více od Tomiho a Tima na podcastu kybernetické bezpečnosti Sauna.