Säkerhetsforskare rapporterade om Unsaflok, en grupp sårbarheter som berör vissa konfigurationer av Dormakaba Saflok-hotellås. Problemet rapporterades först privat till Dormakaba i september 2022 och offentliggjordes i mars 2024. Enligt både forskarna och Dormakaba kände de inte till någon faktisk exploatering vid tidpunkten för sina offentliga uttalanden.
Forskarna visade att en angripare med tillgång till ett aktivt eller utgånget kort från anläggningen och lämplig läs- och skrivutrustning kunde skapa förfalskade passermedier för berörda installationer. Det rörde sig inte om en skadlig programuppdatering eller en dold bakdörr. Risken beror på låsmodell, systemkonfiguration och programvara samt på om Dormakabas Enhanced Security-åtgärder har införts.
Vad hotell bör göra
Hotell bör använda Dormakabas officiella självbedömning och kontakta företagets säkerhetssupport för hotellbranschen. Beroende på installation kan åtgärderna omfatta uppdateringar av programvara, lås eller kortkodare, byte av hårdvara, nya kort och samordning med anslutna hotelladministrationssystem. Personalen bör även följa etablerade rutiner för kortkontroll och skyndsamt utreda försvunna passermedier eller ovanliga passagehändelser.
Dormakabas vägledning är specifik för varje installation. Att enbart byta kort avhjälper inte en sårbarhet i ett låssystem. Det går inte heller att förutsätta att ett kort med ett annat chip fungerar säkert med en befintlig läsare eller kortkodare.
Så stöder PrintPlast ett kortbyte
PrintPlast tillverkar passermedier enligt hotellets bekräftade krav på chip, minne, frekvens, mått och tryck. Vid ett åtgärds- eller migreringsprojekt bör låssystemets leverantör först fastställa den godkända specifikationen för passermedierna. Därefter kan vi tillverka prover för verifiering med anläggningens faktiska läsare och kortkodare före serieproduktion. Säkerheten beror ytterst på hela passersystemet, inklusive chipkonfiguration, nyckelhantering, programvara, hårdvara och driftrutiner, inte enbart på den tryckta kortstommen.
För aktuell teknisk vägledning, läs forskarnas redogörelse för Unsaflok och Dormakabas säkerhetssupport för hotellbranschen.
Dormakaba och Saflok är varumärken som tillhör tredje part och används enbart för att identifiera de berörda systemen. PrintPlast är en oberoende korttillverkare och har ingen anknytning till eller något godkännande från varumärkenas ägare.