Le serrature elettroniche RFID Dormakaba, ampiamente utilizzate negli alberghi, sono state identificate come vulnerabili a potenziali attacchi che permetterebbero ai malintenzionati di duplicare le chiavi elettroniche e accedere indisturbati alle stanze chiuse. Queste vulnerabilità, collettivamente denominate “Unsaflok“, sono state scoperte da un team di ricercatori e segnalate alla compagnia nel settembre 2022.
Impatto di Unsaflok
Unsaflok colpisce oltre tre milioni di serrature in 13.000 strutture distribuite in 131 paesi, includendo modelli come Saflok MT, Quantum, RT, Saffire e Confidant. Al marzo 2024, circa il 36% delle serrature vulnerabili sono state aggiornate o sostituite nell’ambito di un processo di aggiornamento iniziato nel novembre 2023. Questo intervento è complesso, richiedendo l’aggiornamento del software di ogni serratura o la sostituzione fisica, nonché l’aggiornamento del software di gestione della reception e dei dispositivi di codifica delle chiavi.
Tecnica di attacco
L’attacco prevede la lettura di un codice da una qualsiasi chiave dell’albergo, per poi creare un paio di chiavi contraffatte: una per riprogrammare i dati sulla serratura e l’altra per aprirla, violando il sistema di crittografia Key Derivation Function (KDF) di Dormakaba. Gli strumenti necessari per la creazione di queste chiavi include qualsiasi carta MIFARE Classic o dispositivi di lettura/scrittura RFID commercialmente disponibili, come il Proxmark3, Flipper Zero o anche un telefono Android con capacità NFC.
Considerazioni sulla Sicurezza
Nonostante non siano stati confermati casi di sfruttamento di queste vulnerabilità, non è escluso che altri possano averle scoperte e utilizzate. È possibile tentare di rilevare attacchi auditando i log di ingresso/uscita delle serrature, sebbene a causa delle vulnerabilità, tali registrazioni potrebbero essere attribuite erroneamente a chiavi o membri dello staff sbagliati.
Risposta di Dormakaba
Dormakaba ha avviato il processo di aggiornamento delle serrature interessate dopo la segnalazione delle vulnerabilità, ma il processo di aggiornamento è ancora in corso. L’azienda e i ricercatori stanno lavorando per mitigare i rischi e proteggere gli ospiti e il personale degli alberghi interessati.
Questo caso evidenzia l’importanza di mantenere elevati standard di sicurezza nel settore turistico e la necessità di un’azione tempestiva per risolvere le vulnerabilità note. Per gli ospiti degli alberghi, è consigliabile utilizzare ulteriori dispositivi di sicurezza fisica, come catene o fermi per porte, per aumentare la protezione durante il soggiorno.
