F-Secure waarschuwt voor lek in beveiliging van hotelkamersleutels: lopers kunnen praktisch vanuit het niets worden nagemaakt

F-Secure

Onderzoekers van F-Secure hebben ontdekt dat een elektronisch sleutelsysteem dat door hotels in alle delen van de wereld wordt gebruikt, kan worden gehackt om toegang te krijgen tot alle hotelkamers. Het team van F-Secure trof ontwerpfouten aan in VISON by VingCard, de software van het digitale sleutelsysteem. Deze software wordt gebruikt om miljoenen hotelkamers in alle delen van de wereld te vergrendelen. De onderzoeksbevindingen hebben Assa Abloy, ‘s werelds grootste slotenfabrikant, ertoe aangezet om beveiligingsupdates voor de software beschikbaar te stellen die de kwetsbaarheden verhelpen.

De hack die de onderzoekers van F-Secure ontwikkelden omvat het gebruik van een standaard elektronische keycard om toegang tot hotelkamers te krijgen. Dit kan gaan om keycards die zijn verlopen en afgedankt en keycards die worden gebruikt om toegang te krijgen tot ruimtes zoals een kast of garage. De onderzoekers waren in staat om aan de hand van informatie op de keycard een hoofdsleutel (elektronische loper) te creëren met toegangsrechten voor het openen van elke deur in het gebouw. De hack kan worden uitgevoerd zonder dat iemand daar erg in heeft.

“Je kunt je voorstellen wat iemand van kwade wil zou kunnen doen als die elke hotelkamer kan binnenkomen met een hoofdsleutel die praktisch uit het niets is gereproduceerd”, zegt Tomi Tuominen, practice leader bij F-Secure Cyber Security Services. “Het is ons niet bekend of iemand reeds gebruik heeft gemaakt van deze specifieke hack.”

De belangstelling van de onderzoekers voor het hacken van sloten van hotelkamers werd tien jaar geleden gewekt, toen de laptop van een collega uit een hotelkamer werd gestolen tijdens een beveiligingscongres. Toen zij melding maakten van de diefstal, wees het hotelpersoneel de klacht van de hand omdat er geen enkel teken van braak was en er in de logbestanden van het sleutelsysteem geen bewijs werd aangetroffen van ongeoorloofde toegang tot de hotelkamer. De onderzoekers besloten daarop om nader onderzoek te doen. Ze kozen ervoor om hun pijlen te richten op een digitaal sleutelsysteem van een merk dat bekend stond om zijn kwaliteit en veiligheid. De kwetsbaarheden die werden aangetroffen omvatten geen in het oog springende beveiligingslekken. Er was diepgaand inzicht nodig in het ontwerp van het complete systeem om kleine gebreken te vinden die in combinatie de hack mogelijk maakten. Het onderzoek nam duizenden uren in beslag en vond met tussenpauzes plaats, met veel vallen en opstaan.

“We wilden nagaan of het mogelijk was om het elektronische sleutelsysteem te omzeilen zonder een spoor achter te laten”, zegt Timo Hirvonen, senior security consultant bij F-Secure. “Het is bijzonder moeilijk om een veilig systeem voor toegangscontrole te ontwikkelen, omdat je enorm veel dingen op orde moet krijgen. We waren pas in staat om ogenschijnlijk onschuldige gebreken te vinden nadat we diepgaand inzicht in het systeem hadden verworven. We combineerden deze gebreken op creatieve wijze om een methode te ontwikkelen voor het creëren van hoofdsleutels.”

F-Secure heeft Assa Abloy op de hoogte gesteld van de onderzoeksbevindingen en het afgelopen jaar met de slotenmaker samengewerkt aan de ontwikkeling van beveiligingsupdates die deze gebreken verhelpen. Deze updates zijn inmiddels beschikbaar gesteld aan hotels die het systeem gebruiken.

“Ik wil het R&D-team van Assa Abloy graag persoonlijk bedanken voor zijn fantastische samenwerking bij het verhelpen van deze problemen”, aldus Tuominen. “Vanwege hun toewijding en bereidheid om een oplossing te vinden voor de problemen die ons onderzoek aan het licht bracht, is de hotelwereld er een stuk veiliger op geworden. We raden elk hotel dat deze software gebruikt aan om de beveiligingsupdates zo snel mogelijk te installeren.”

Meer over
Lees ook
Fortinet: 80% fabrikanten kreeg te maken met onbevoegde toegang tot data na inbreuk

Fortinet: 80% fabrikanten kreeg te maken met onbevoegde toegang tot data na inbreuk

Fortinet heeft samen met Manufacturers Alliance een onderzoek uitgevoerd naar beveiligingsrisico’s bij productiebedrijven. Daarbij werd onder andere gevraagd naar beveiligingsincidenten, de stand van zaken rond de samenwerking tussen IT-teams en operationele technologie (OT)-teams en audits op OT-beveiliging. Uit het onderzoek bleek onder andere d1

Verizon Business 2023 Mobile Security Index: stem beveiliging af op zakelijke vereisten

Verizon Business 2023 Mobile Security Index: stem beveiliging af op zakelijke vereisten

Verizon Business brengt het 2023 Mobile Security Index (MSI) rapport uit. Deze zesde editie van het rapport presenteert de topdreigingen voor het beveiligen van mobiele apparaten. Het MSI-rapport bevat inzichten en best practices van partners Akamai, Fortinet, Lookout, Allot, IBM, Proofpoint, Check-Point en Ivanti die organisaties ondersteunen bij1

ISACA: kloof in cyberskills maakt bedrijven kwetsbaar voor aanvallen

ISACA: kloof in cyberskills maakt bedrijven kwetsbaar voor aanvallen

ISACA lanceert vandaag nieuw onderzoek naar de staat van cyberbeveiliging. Uit het onderzoek, ‘State of Cybersecurity 2023’, blijkt dat de helft (52%) van cybersecurity-professionals die een jaar geleden een toename of afname zagen in het aantal cyberaanvallen, nu meer cyberaanvallen ervaren.