研究人员发现酒店钥匙卡系统漏洞，可生成任意房门钥匙

zzhh

研究人员发现酒店钥匙卡系统漏洞，可生成任意房门钥匙

#Vingcard









2003 年，芬兰安全研究员 Tomi Tuominen 在柏林参加一个安全会议，当时他的一位朋友的笔记本电脑被从旅馆房间偷走，里面含有敏感数据。




门没有出现任何强制进入的迹象，酒店的钥匙卡软件日志没有任何其他证据。这激起了研究人员对这个问题的兴趣，于是他们将注意力转向酒店使用的数字锁定系统。




本周晚些时候在迈阿密举行的 Infiltrate 会议上，Tuominen 和 Hirvonen 计划展示他们发现的一种技术，不是简单地克隆 Vingcard 电子门锁使用的钥匙卡 RFID 信号，而是创建一个可以打开酒店任何房间的主密钥。




来自 F-Secure 的这两名安全研究人员开发了一种设备，可以读取任何有效甚至过期的酒店钥匙卡，并生成一个可打开任何房间门或授予攻击者进入安全酒店区域的主钥匙。




该设备利用世界上最大制造商 Assa Abloy 构建的流行酒店锁定系统中的漏洞，该系统也是全球应用范围最广的钥匙卡系统之一，VingCard 声称它已经安装在 40,000 多家酒店、汽车旅馆和其他酒店业。




Tuominen 和 Hirvonen 表示，他们不一定需要扫描有效的钥匙卡，尽管这并不难，不过通常顾客只会在酒店住宿一晚。即使过期的钥匙卡已经足够提取有效的信息。




对此，旅客无需担心，因为他们并不打算发布任何细节或设备细节，原因很明显，因为很可能会被盗用从事非法活动。




在发现这个漏洞之后，Tuominen 和 Hirvonen 自 2017 年4月起与 Assa Abloy 一起解决了这个问题，并发布了补丁。




“由于Assa Abloy的积极态度，和我们一起解决了研究中发现的问题，酒店业现在是一个更安全的地方，”Tuominen 说。“我们敦促任何使用此软件的企业尽快应用更新。”




尽管问题已经修复，但研究人员仍然不会公布该漏洞利用的具体细节，毕竟还有很多酒店设施并没有即使打上补丁，还存在一定的风险。