Beveiligingsfout ontdekt in elektronische sloten van hotelkamers

Hotels over de hele wereld gebruiken elektronisch slotsystemen die hackers kunnen kraken om toegang te krijgen tot elke beveiligde kamer in het gebouw. Dat melden onderzoekers van F-Secure. De ontwerpfout bevindt zich volgens het beveiligingsbedrijf in de software van het slotsysteem.

“Je kan je inbeelden wat een kwaadwillende persoon kan bereiken met de kracht om een hotelkamer binnen te gaan met een masterkey die eigenlijk uit het niets is geproduceerd”, stelt praktijkleider bij F-Secure Tomi Tuominen. “We weten niet of iemand deze specifieke aanval nu uitvoert.”

Onderzoek

De interesse van de onderzoekers in de beveiliging van hotelkamersloten ontstond tien jaar geleden toen de laptop van een collega tijdens een veiligheidsconferentie uit een hotelkamers werd gestolen. Het hotelpersoneel verwierp hun klacht wegens het ontbreken van bewijs van inbraak of ongeoorloofde toegang tot de kamer in de logboeken.

“We wilden uitzoeken of het mogelijk is om het elektronische slot te omzeilen zonder een spoor achter te laten”, stelt Senior Security Consultant bij F-Secure Timo Hirvonen,. “Pas nadat we goed hadden begrepen hoe het was ontworpen, konden we ogenschijnlijk onschadelijke tekortkomingen identificeren.”

Beveiligingsfouten

Deze tekortkomingen zijn geen voor de hand liggende beveiligingsfouten in het systeem. Het uitbuiten van deze lekken vergt een grondige kennis van het ontwerp van het beveiligingssysteem. “Die tekortkomingen hebben we op een creatieve manier gecombineerd om een methode te bedenken voor het maken van hoofdsleutels”, aldus Timo Hirvonen.

F-Secure bracht het bedrijf Assa Abloy op de hoogte van de beveiligingsfout in hun hotelkamersloten en werkte het afgelopen jaar nauw samen met de ontwikkelaar om software-updates te implementeren. Die updates zijn ondertussen beschikbaar.