Bezpečnostní výzkumníci oznámili Unsaflok, skupinu zranitelností ovlivňujících určité konfigurace hotelových zámků Dormakaba Saflok. Problém byl nejprve neveřejně nahlášen společnosti Dormakaba v září 2022 a zveřejněn v březnu 2024. Výzkumníci i Dormakaba uvedli, že v době svých veřejných vyjádření neměli informace o zneužití v praxi.
Výzkumníci prokázali, že útočník s přístupem k aktivní kartě daného objektu nebo kartě téhož objektu s prošlou platností a k vhodnému zařízení pro čtení a zápis mohl vytvořit padělané přístupové prostředky pro dotčené instalace. Nešlo o škodlivou aktualizaci softwaru ani skrytá zadní vrátka. Riziko závisí na modelu zámku, konfiguraci systému, softwaru a na tom, zda byla zavedena opatření Enhanced Security společnosti Dormakaba.
Jak by měly hotely postupovat
Hotely by měly využít oficiální sebehodnocení společnosti Dormakaba a kontaktovat její tým bezpečnostní podpory pro hotelnictví. V závislosti na instalaci může náprava zahrnovat aktualizace softwaru, zámků nebo enkodérů, výměnu hardwaru, nové karty a koordinaci s připojenými systémy pro správu hotelového provozu. Personál by měl také dodržovat zavedené postupy kontroly karet a neprodleně prošetřit chybějící přístupové prostředky nebo neobvyklé události přístupu.
Pokyny společnosti Dormakaba se vztahují ke konkrétní instalaci. Samotná výměna karet neodstraňuje zranitelnost zámkového systému a nelze předpokládat, že karta s jiným čipem bude bezpečně fungovat se stávající čtečkou nebo enkodérem.
Jak PrintPlast podporuje přechod na nové karty
PrintPlast vyrábí přístupové prostředky podle potvrzených požadavků hotelu na čip, paměť, frekvenci, rozměry a potisk. U projektu nápravy nebo přechodu na nové karty by měl dodavatel zámkového systému nejprve stanovit schválenou specifikaci přístupového prostředku. Před sériovou výrobou pak můžeme vyrobit vzorky pro ověření na skutečných čtečkách a enkodérech v objektu. Bezpečnost v konečném důsledku závisí na celém systému řízení přístupu, včetně konfigurace čipu, správy klíčů, softwaru, hardwaru a provozních postupů — nikoli pouze na potištěném těle karty.
Aktuální technické pokyny najdete ve zveřejněném výzkumu Unsaflok a u bezpečnostní podpory Dormakaba pro hotelnictví.
Dormakaba a Saflok jsou označení třetích stran použitá pouze k identifikaci dotčených systémů. PrintPlast je nezávislý výrobce karet a není s vlastníky těchto označení propojen ani jimi podporován.