Hackers descubren cómo abrir cerraduras de tarjetas llave de hotel de 3 millones de puertas

Hackers descubren cómo abrir en segundos millones de cerraduras de tarjetas llave de hotel

• Hackers descubrieron una vulnerabilidad que permite abrir en segundos las cerraduras de tarjetas llave de hotel de la marca Saflok.
• La vulnerabilidad podría afectar 3 millones de puertas de hotel en todo el mundo, y la empresa suiza Dormakaba, fabricante de esas cerraduras, está ofreciendo medidas de corrección.
• El proceso de corrección podría tardar desde meses hasta años, y en algunos hoteles podría tomar aún más tiempo.

Se revela la técnica Unsaflok

• Los investigadores mostraron que, mediante una técnica llamada Unsaflok, es posible abrir fácilmente las cerraduras de tarjetas RFID de la marca Saflok de Dormakaba.
• La técnica aprovecha debilidades en el cifrado de Dormakaba y en MIFARE Classic, el sistema RFID que utiliza.
• Los hackers pueden usar cualquier tarjeta llave obtenida en un hotel para leer un código específico y, con un dispositivo de lectura/escritura RFID de $300, grabar dos de sus propias tarjetas llave para abrir la cerradura.

Respuesta de Dormakaba

• Dormakaba recibió los detalles técnicos de los investigadores en noviembre de 2022 y está ayudando a los hoteles que reconocen la vulnerabilidad a aplicar la corrección.
• En el caso de los sistemas Saflok vendidos en los últimos 8 años, no es necesario reemplazar cada cerradura individualmente; basta con actualizar o sustituir el sistema de administración de la recepción y que un técnico reprograme cada puerta.
• Sin embargo, hasta ahora solo el 36% de los sistemas Saflok ha sido actualizado, y se espera que la corrección total tarde varios meses más.

Detalles de la vulnerabilidad

• Los investigadores encontraron dos fallas que pueden escribirse en las tarjetas llave de Dormakaba: una permite escribir datos en la tarjeta, y la otra indica qué datos deben escribirse para abrir una cerradura Saflok.
• Los investigadores hicieron ingeniería inversa del software de recepción de Dormakaba para comprender todos los datos almacenados en las tarjetas, extraer el código de propiedad del hotel y el código de cada habitación, y así crear sus propios valores y cifrarlos como si fueran el sistema de Dormakaba.

Qué pueden hacer los huéspedes del hotel

• Los huéspedes pueden identificar cerraduras vulnerables y verificar si fueron actualizadas revisando su tarjeta llave con la app NFC Taginfo.
• Si la cerradura sigue siendo vulnerable, se recomienda no dejar objetos de valor en la habitación y poner la cadena de la puerta cuando se esté dentro.

Opinión de GN⁺

• Este artículo plantea un problema de seguridad importante tanto para los huéspedes de hotel como para la industria hotelera. Los huéspedes deben prestar más atención a si la cerradura de la habitación donde se alojan es segura.
• El hecho de que se haya descubierto esta vulnerabilidad impulsa a la industria hotelera a revisar sus sistemas de seguridad existentes y, si es necesario, actualizarlos.
• Este tipo de vulnerabilidades subraya la importancia no solo de la seguridad física, sino también de la ciberseguridad. Los hoteles deben reforzar su infraestructura de TI y realizar revisiones de seguridad periódicas.
• Otro producto de seguridad con funciones similares es el sistema de cerraduras de Onity, aunque en el pasado también tuvo problemas por vulnerabilidades descubiertas.
• Al introducir nuevas tecnologías o sistemas de seguridad, es importante tener presentes este tipo de vulnerabilidades y reforzar continuamente la seguridad del sistema.

[GN⁺]

Comentarios de Hacker News

• Opinión de un empleado de una empresa que desarrolla sistemas de control de acceso y comunicación compatibles con varios estándares de identificación:

  • La mayoría de los clientes sigue usando los identificadores menos seguros porque son más baratos y más fáciles de operar.
  • Los dispositivos instalados no reciben el mantenimiento adecuado, porque el mantenimiento cuesta dinero.
  • No todo el equipo puede actualizarse de forma remota a través de la red.
  • Incluso si la tarjeta está cifrada, en la mayoría de los casos se conecta al controlador mediante el protocolo Wiegand, que no ofrece cifrado de datos.

• Experiencia de una persona que vive en un edificio:

  • Había instalada una cerradura Scantron que usaba llaves RFID, pero el cifrado débil de MiFare Classic hacía posible crear una llave maestra.
  • Fueron necesarios muchos correos y llamadas con el periodista para que entendiera el problema; al final, actualizaron la cerradura a un esquema de cifrado mejor y reemitieron las llaves.

• Opinión de una persona que participó en la investigación:

  • Está preparada para responder preguntas sobre la investigación.
  • Los resultados de la investigación pueden consultarse en unsaflok.com.

• Comentario sobre la grave vulnerabilidad que podría presentarse en un hotel:

  • Con solo leer una tarjeta llave se puede llevar a cabo un ataque contra todas las puertas de esa propiedad.

• Opinión sobre la respuesta de Dormakaba:

  • Se cuestiona si Dormakaba no consideró este problema como máxima prioridad, o si hubo alguna razón por la que 2/3 de los Saflok instalados no recibieron una corrección gratuita a tiempo.
  • Se confía en que Dormakaba se toma la seguridad muy en serio tanto para clientes como para socios, y que resolverá este problema de manera responsable.

• Malentendido sobre cómo funcionan las tarjetas llave de hotel:

  • Se pensaba que al hacer check-in en el hotel se elegía una tarjeta al azar y se asociaba a la habitación, pero en realidad hace falta un proceso más complejo que simplemente cifrar o escribir información en la tarjeta.

• Medidas personales para mantenerse seguro en un hotel:

  • Como las puertas de hotel están diseñadas para poder abrirse desde afuera, se usa un bloqueador de puerta para asegurarla.

• Importancia de la seguridad física:

  • Se recomienda comprar una correa que permita trabar la puerta desde adentro.

• Percepción sobre RFID y NFC:

  • RFID y NFC son una nueva forma de banda magnética y código de barras; la gente cree que estas tecnologías son seguras porque no se ven, pero en realidad no son más que números legibles por máquinas.