I ricercatori di sicurezza hanno pubblicato Unsaflok, un gruppo di vulnerabilità che interessa alcune configurazioni delle serrature per hotel Dormakaba Saflok. Il problema è stato segnalato privatamente a Dormakaba nel settembre 2022 e reso pubblico nel marzo 2024. Sia i ricercatori sia Dormakaba hanno dichiarato di non essere a conoscenza di sfruttamenti reali al momento delle rispettive comunicazioni pubbliche.
La dimostrazione ha mostrato che, disponendo di una tessera attiva o scaduta della struttura e di adeguati dispositivi di lettura e scrittura, era possibile creare credenziali contraffatte per le installazioni interessate. Non si è trattato di un aggiornamento software malevolo né di una backdoor. Il rischio dipende dal modello di serratura, dalla configurazione del sistema, dal software e dall’applicazione delle misure Enhanced Security di Dormakaba.
Cosa dovrebbero fare gli hotel
Le strutture dovrebbero utilizzare l’autovalutazione ufficiale di Dormakaba e contattare il relativo servizio di sicurezza per l’ospitalità. A seconda dell’installazione, la correzione può includere aggiornamenti di software, serrature o encoder, sostituzione dell’hardware, nuove tessere e coordinamento con i sistemi gestionali collegati. È inoltre importante applicare le procedure di controllo delle tessere e verificare subito credenziali mancanti o eventi di accesso insoliti.
La soluzione varia da un impianto all’altro. Sostituire soltanto le tessere non risolve una vulnerabilità del sistema di serrature e non si può presumere che una tessera con un chip diverso funzioni in modo sicuro con lettori ed encoder esistenti.
Come PrintPlast supporta una migrazione
PrintPlast produce credenziali secondo specifiche confermate di chip, memoria, frequenza, dimensioni e stampa. Il fornitore del sistema di serrature deve prima definire la specifica approvata; possiamo quindi realizzare campioni da verificare sui lettori e sugli encoder effettivi della struttura prima della produzione. La sicurezza dipende dall’intero sistema di controllo accessi — configurazione del chip, gestione delle chiavi, software, hardware e procedure — non dal solo supporto stampato.
Per indicazioni aggiornate, consultare la divulgazione dei ricercatori Unsaflok e il supporto sicurezza Hospitality di Dormakaba.
Dormakaba e Saflok sono marchi di terzi citati esclusivamente per identificare i sistemi interessati. PrintPlast è un produttore indipendente e non è affiliato né approvato dai rispettivi titolari.