Сегодня 26 июня 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Hardware

Преступники могут открыть миллионы дверей в отелях по всему миру из-за уязвимостей Unsaflok

Исследователи в сфере кибербезопасности рассказали об уязвимостях в 3 млн электронных RFID-замков Saflok, установленных в 13 000 отелей и домов по всему миру. Серия уязвимостей, названных Unsaflok, была обнаружена в сентябре 2022 года. Производитель замков, компания Dormakaba, получила эту информацию в ноябре 2022 года. Она сразу же начала работу над решением проблемы и информированием клиентов. Из-за масштабности проблемы 64 % замков ещё остаются уязвимыми.

 Источник изображений: Unsaflok

Источник изображений: Unsaflok

В 2022 году исследователей пригласили на частное хакерское мероприятие в Лас-Вегасе, где они соревновались с другими командами в поиске уязвимостей в гостиничном номере и всех находящихся в нём устройствах. Команда сосредоточилась на электронном замке Saflok для гостиничных номеров, обнаружив бреши в системе безопасности, которые могли открыть любую дверь в отеле при помощи поддельной пары карт-ключей.

Для использования Unsaflok злоумышленнику достаточно получить доступ к любой карте-ключу от объекта недвижимости. Поддельные карты-ключи можно создать с помощью любой карты MIFARE Classic и любого имеющегося в продаже инструмента, способного записывать данные на эти карты, включая Poxmark3, Flipper Zero или Android-смартфона с поддержкой NFC. Оборудование, необходимое для создания двух карт, использованных в атаке, стоит менее нескольких сотен долларов США.

Исследователи провели реверс-инжиниринг программного обеспечения стойки регистрации Dormakaba и устройства программирования замков, научившись подделывать работающий мастер-ключ, который может открыть любую комнату в отеле. Чтобы клонировать карты, им пришлось взломать функцию получения ключей Dormakaba. При эксплуатации уязвимости первая карта перезаписывает данные замка, а вторая открывает замок, как показано на видео ниже.

Сегодня исследователи впервые публично раскрыли уязвимости Unsaflok, предупредив, что они затрагивают почти 3 миллиона дверей, использующих систему Saflok. Они отметили, что уязвимости были доступны уже более 36 месяцев, и, хотя подтверждённых случаев использования этой бреши в безопасности не имеется, столь длительный период существования уязвимости увеличивает такую возможность. «Хотя нам неизвестно о каких-либо реальных атаках, использующих эти уязвимости, не исключено, что эти уязвимости известны и использовались другими» , — объясняет команда Unsaflok.

Недостатки Unsaflok затрагивают несколько моделей Saflok, включая Saflok MT, Quantum, RT, Saffire и Confidant, управляемые программным обеспечением System 6000 или Ambiance. Затронутые модели используются в трех миллионах дверей на 13 000 объектах недвижимости в 131 стране. Dormakaba начала модернизацию оборудования в ноябре 2023 года, что требует перевыпуска всех карт и обновления их кодеров. По состоянию на март 2024 года 64 % замков остаются уязвимыми.

 Два самых распространённых замка, подверженных уязвимости

Два самых распространённых замка, подверженных уязвимости

«Сейчас мы раскрываем ограниченную информацию об уязвимости, чтобы персонал отеля и гости знали о потенциальной угрозе безопасности», — говорится в сообщении исследователей. На данный момент они не предоставили никаких дополнительных технических подробностей. Исследователи пообещали поделиться всеми подробностями атаки Unsaflok в будущем, когда усилия по восстановлению достигнут удовлетворительного уровня.

Персонал отеля может обнаружить случаи активного взлома путём мониторинга журналов входа/выхода. Однако этих данных порою недостаточно для точного обнаружения несанкционированного доступа. Гости могут определить, уязвимы ли замки в их номерах, используя приложение NFC Taginfo (Android, iOS), чтобы проверить тип карты-ключа со своего телефона. Карты MIFARE Classic указывают на вероятную уязвимость.

В связи с публичным раскрытием информации об Unsaflok, 21 марта 2024 года компания Dormakaba опубликовала заявление о бреши в безопасности, затрагивающей продукты System 6000, Ambiance и Community: «Как только нам стало известно об уязвимости, мы начали всестороннее расследование, уделили приоритетное внимание разработке и внедрению решения по смягчению последствий и начали систематически оповещать клиентов. На сегодняшний день нам не известно о случаях использования этой проблемы. [Мы стремимся] оповестить, как развиваются риски, связанные с устаревшей технологией RFID, чтобы другие могли принять меры предосторожности».

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Премия в $100 млн сработала? Meta переманила трёх исследователей ИИ из OpenAI 3 мин.
Telegram обвинили в пособничестве криптомошенникам — чёрный рынок быстро возродился после волны блокировок 8 мин.
За сокет, а не ядра: HPE предлагает доступные лицензии на Morpheus VM Essentials, чтобы привлечь недовольных политикой Broadcom 2 ч.
WinRAR экстренно устранила опасный баг, позволявший через архив запускать вредоносное ПО 4 ч.
ИИ расчистит завалы непрочитанных сообщений в WhatsApp — запущены полностью приватные сводки 6 ч.
Google AI Pro стал доступен по годовой подписке — экономия составит 16% 6 ч.
Вдохновлённое Disco Elysium мистическое приключение Pera Coda отправит исследовать сюрреалистический Стамбул и глубины собственной психики 13 ч.
Google представила Chrome 138 с новыми ИИ-функциями, исправлениями уязвимостей и синхронизацией групп вкладок 14 ч.
Живой мир, больше разнообразия и ещё несколько лет до релиза: основатель Mundfish поделился новыми подробностями Atomic Heart 2 15 ч.
Xbox подтвердила дату выхода Senua's Saga: Hellblade II на PS5 и анонсировала улучшения для игры на PC и Xbox 16 ч.
Рынок ЦОД стал настолько привлекательным, что даже высокий порог входа не останавливает неквалифицированных инвесторов 2 ч.
Космический телескоп «Джеймс Уэбб» обнаружил свою первую экзопланету и сфотографировал её 3 ч.
Выручка Micron от реализации HBM последовательно выросла на 50 % 3 ч.
Акции Nvidia обновили очередной рекорд, капитализация выросла до $3,77 трлн 6 ч.
Новая статья: Обзор игрового ноутбука ASUS ROG Strix SCAR 18 G835 (2025): на что способна мобильная GeForce RTX 5090 9 ч.
Смартфон Трампа передумал быть американским — из описания исчезло гордое «Сделано в США» 10 ч.
Новая статья: Обзор смартфона HUAWEI nova Y63: еще раз в ту же реку 11 ч.
Samsung выпустила 32-дюймовые умные мониторы Smart Monitor M9, M8 и M7 с Tizen OS и частотой до 165 Гц 11 ч.
Philips представила 27-дюймовый IPS-монитор Evnia 27M2N3501PA с разрешением 1440p и частотой до 260 Гц 12 ч.
Huawei представит флагманы Pura 80 на международном рынке раньше, чем ожидалось 12 ч.