Onderzoekers van F-Secure hebben ontdekt dat een elektronisch sleutelsysteem dat door hotels in alle delen van de wereld wordt gebruikt, kan worden gehackt om toegang te krijgen tot alle hotelkamers. Het team van F-Secure trof ontwerpfouten aan in Vision by VingCard, de software van het digitale sleutelsysteem van Assa Abloy, 's werelds grootste slotenfabrikant. Deze software wordt gebruikt om miljoenen hotelkamers in alle delen van de wereld te vergrendelen. De onderzoeksbevindingen hebben Assa Abloy ertoe aangezet om beveiligingsupdates voor de software beschikbaar te stellen die de kwetsbaarheden verhelpen.

De hack die de onderzoekers van F-Secure ontwikkelden omvat het gebruik van een standaard elektronische keycard om toegang tot hotelkamers te krijgen. Dit kan gaan om keycards die zijn verlopen en afgedankt en keycards die worden gebruikt om toegang te krijgen tot ruimtes zoals een kast of garage. De onderzoekers waren in staat om aan de hand van informatie op de keycard een hoofdsleutel (elektronische loper) te creëren met toegangsrechten voor het openen van elke deur in het gebouw. De hack kan worden uitgevoerd zonder dat iemand daar erg in heeft. 'Je kunt je voorstellen wat iemand van kwade wil zou kunnen doen als die elke hotelkamer kan binnenkomen met een hoofdsleutel die praktisch uit het niets is gereproduceerd', zegt Tomi Tuominen, practice leader bij F-Secure Cyber Security Services. 'Het is ons niet bekend of iemand reeds gebruik heeft gemaakt van deze specifieke hack.'

Diefstal

De belangstelling van de onderzoekers voor het hacken van sloten van hotelkamers werd 10 jaar geleden gewekt, toen de laptop van een collega uit een hotelkamer werd gestolen tijdens een beveiligingscongres. Toen zij melding maakten van de diefstal, wees het hotelpersoneel de klacht van de hand omdat er geen enkel teken van braak was en er in de logbestanden van het sleutelsysteem geen bewijs werd aangetroffen van ongeoorloofde toegang tot de hotelkamer.

De onderzoekers besloten daarop om nader onderzoek te doen. Ze kozen ervoor om hun pijlen te richten op een digitaal sleutelsysteem van een merk dat bekend stond om zijn kwaliteit en veiligheid. De kwetsbaarheden die werden aangetroffen, omvatten geen in het oog springende beveiligingslekken. Er was diepgaand inzicht nodig in het ontwerp van het complete systeem om kleine gebreken te vinden die in combinatie de hack mogelijk maakten. Het onderzoek nam duizenden uren in beslag en vond met tussenpauzes plaats, met veel vallen en opstaan.

Geen sporen

'We wilden nagaan of het mogelijk was om het elektronische sleutelsysteem te omzeilen zonder een spoor achter te laten', zegt Timo Hirvonen, senior security consultant bij F-Secure. 'Het is bijzonder moeilijk om een veilig systeem voor toegangscontrole te ontwikkelen, omdat je enorm veel dingen op orde moet krijgen. We waren pas in staat om ogenschijnlijk onschuldige gebreken te vinden nadat we diepgaand inzicht in het systeem hadden verworven. We combineerden deze gebreken op creatieve wijze om een methode te ontwikkelen voor het creëren van hoofdsleutels.'

F-Secure stelde Assa Abloy op de hoogte van de onderzoeksbevindingen en heeft het afgelopen jaar met de slotenmaker samengewerkt aan de ontwikkeling van beveiligingsupdates die deze gebreken verhelpen. Deze updates zijn inmiddels beschikbaar gesteld aan hotels die het systeem gebruiken.

Beveiligingsupdate

'Ik wil het R&D-team van Assa Abloy graag persoonlijk bedanken voor zijn fantastische samenwerking bij het verhelpen van deze problemen', aldus Tuominen. 'Vanwege hun toewijding en bereidheid om een oplossing te vinden voor de problemen die ons onderzoek aan het licht bracht, is de hotelwereld er een stuk veiliger op geworden. We raden elk hotel dat deze software gebruikt aan om de beveiligingsupdates zo snel mogelijk te installeren.'

F-Secure benadrukt dat tijdens het onderzoek geen hotelkamers werden betreden. Ook zal het bedrijf de tools die voor het onderzoek werden gebruikt niet aan derden beschikbaar stellen.

In Nederland nodigde Van der Valk vorig jaar hackers uit om hun nieuwe toegangssysteem met mobiele telefoons te testen op veiligheid. Tijdens een ééndaagse hackaton werden toen geen veiligheidsrisico's ontdekt.

bekijk hieronder een infographic van F-Secure: