Sigurnosni istraživači prijavili su Unsaflok, skup ranjivosti koje utječu na određene konfiguracije hotelskih brava Dormakaba Saflok. Problem je prvi put povjerljivo prijavljen Dormakabi u rujnu 2022., a javno je objavljen u ožujku 2024. I istraživači i Dormakaba naveli su da u vrijeme svojih javnih izjava nisu imali saznanja o iskorištavanju ranjivosti u stvarnim uvjetima.
Istraživači su pokazali da napadač koji ima pristup aktivnoj ili istekloj kartici objekta i odgovarajućoj opremi za čitanje i pisanje može izraditi krivotvorene pristupne medije za pogođene sustave. Nije bila riječ o zlonamjernom ažuriranju softvera ni skrivenim stražnjim vratima. Rizik ovisi o modelu brave, konfiguraciji sustava, softveru i tome jesu li primijenjene mjere Enhanced Security tvrtke Dormakaba.
Što hoteli trebaju poduzeti
Hoteli trebaju provesti službenu samoprocjenu koju pruža Dormakaba i obratiti se njezinu timu za sigurnosnu podršku u hotelijerstvu. Ovisno o instalaciji, otklanjanje ranjivosti može uključivati ažuriranja softvera, brava ili uređaja za kodiranje, zamjenu opreme, nove kartice i usklađivanje s povezanim sustavima za upravljanje hotelskim poslovanjem. Osoblje također treba slijediti utvrđene postupke kontrole kartica te odmah istražiti nestale pristupne medije ili neuobičajene događaje pristupa.
Upute Dormakabe ovise o konkretnoj instalaciji. Sama zamjena kartica ne otklanja ranjivost sustava brava i ne smije se pretpostaviti da će kartica s drukčijim čipom sigurno raditi s postojećim čitačem ili uređajem za kodiranje.
Kako PrintPlast podupire prelazak na nove kartice
PrintPlast izrađuje pristupne medije prema potvrđenim zahtjevima hotela za čip, memoriju, frekvenciju, dimenzije i tisak. U projektu otklanjanja ranjivosti ili prelaska na nove kartice, dobavljač sustava brava najprije treba definirati odobrenu specifikaciju pristupnog medija. Zatim možemo izraditi uzorke za provjeru na stvarnim čitačima i uređajima za kodiranje u objektu prije serijske proizvodnje. Sigurnost u konačnici ovisi o cjelokupnom sustavu kontrole pristupa, uključujući konfiguraciju čipa, upravljanje ključevima, softver, hardver i operativne postupke — ne samo o tiskanom tijelu kartice.
Za aktualne tehničke upute pogledajte objavu istraživanja Unsaflok i sigurnosnu podršku Dormakabe za hotelijerstvo.
Dormakaba i Saflok oznake su trećih strana koje se upotrebljavaju isključivo za identifikaciju pogođenih sustava. PrintPlast neovisni je proizvođač kartica, nije povezan s vlasnicima tih oznaka i nema njihovu službenu podršku.