F-Secure waarschuwt voor onveilige hotelsleutels

De software achter het zogenaamde Vision-elektronische sleutelsysteem voor hotelkamers bevat een ontwerpfout. Hiermee kan het systeem gehackt worden om zo toegang krijgen tot alle hotelkamers. Daarvoor waarschuwt F-Secure. De fabrikant van het beveiligingssysteem, Assa Abloy Hospitality, heeft beveiligingsupdates beschikbaar gesteld.

Voor het onderzoek werd informatie verzameld van een standaard elektronische keycard die bijvoorbeeld verlopen of afgedankt is. Op basis van deze data konden de onderzoekers deze toegangskaart omtoveren tot een hoofdsleutel die beschikt over toegangsrechten voor het openen van elke deur in het gebouw.

‘De kwetsbaarheden die werden aangetroffen omvatten geen in het oog springende beveiligingslekken. Er was diepgaand inzicht nodig in het ontwerp van het complete systeem om kleine gebreken te vinden die in combinatie de hack mogelijk maakten. We combineerden deze gebreken op creatieve wijze om een methode te ontwikkelen voor het creëren van hoofdsleutels’, aldus Tomi Tuominen, practice leader bij F-Secure Cyber Security Services. Het onderzoek nam duizenden uren in beslag en vond met tussenpauzes plaats.

Onderzoekers van F-Secure vonden de ontwerpfout in Vision, een product van Assa Abloy Hospitality (voorheen bekend als Vingcard). Dat is een fabrikant van elektronische beveiligingssystemen, onder meer voor hotels. Volgens F-Secure wordt deze software door miljoenen hotelkamers wereldwijd gebruikt. De fabrikant is op de hoogte gesteld van de onderzoeksbevindingen en heeft het afgelopen jaar in samenwerking met F-Secure beveiligingsupdates om de kwetsbaarheden te dichten ontwikkeld. De updates zijn beschikbaar gesteld aan hotels die het systeem gebruiken.

Aanleiding onderzoek

De belangstelling van de onderzoekers voor het hacken van sloten van hotelkamers werd tien jaar geleden gewekt, toen de laptop van een collega uit een hotelkamer werd gestolen tijdens een beveiligingscongres. Toen zij melding maakten van de diefstal, wees het hotelpersoneel de klacht van de hand omdat er geen enkel teken van braak was en er in de logbestanden van het sleutelsysteem geen bewijs werd aangetroffen van ongeoorloofde toegang tot de hotelkamer. De onderzoekers besloten daarop om nader onderzoek te doen en kozen voor een digitaal sleutelsysteem van een merk dat bekend stond om zijn kwaliteit en veiligheid.