向右滑动:上一篇 向左滑动:下一篇 我知道了
广告

4万家酒店曝房卡系统漏洞,任意房卡可复制出万能卡

时间:2018-06-07 作者:网络整理 阅读:
两位芬兰防病毒软件公司芬氏安全(F-Secure)的研究人员,发现黑客其实只需要随便一张房卡,就能透过复制卡片内的数据,制作一张可以通行所有房间的万用卡片……

许多新型、中高阶的旅馆为了管理方便,客房大多使用刷卡感应的电子锁,两位芬兰防病毒软件公司芬氏安全(F-Secure)的研究人员,发现黑客其实只需要随便一张房卡,就能透过复制卡片内的数据,制作一张可以通行所有房间的万用卡片,过程中甚至不会留下任何可追踪痕迹,这个案例也替旅宿业敲响了警钟。mMJEETC-电子工程专辑

电子锁系统不安全,连过期房卡也能备份mMJEETC-电子工程专辑

发现旅馆电子锁漏洞的是,芬氏安全的顾问 Tomi Tuominen 以及 Timo Hirvonen,之所以促成他们研究这个大众再熟悉不过的锁具设备,要从 2003 年的一场意外说起。mMJEETC-电子工程专辑

当时一位 F-Secure 的研究人员入住德国柏林一家高档旅馆,有一天回房后发现他的笔记本电脑遭窃,但旅馆人员调查后,并没有发现任何遭小偷侵入的痕迹,因此认为计算机遗失,应该是这位研究人员粗心忘记放在哪里,这起意外事件让 Tomi Tuominen、Timo Hirvonen 好奇是否有可能在完全不留痕迹的情况下,侵入旅馆的电子锁系统。mMJEETC-电子工程专辑

大部分使用电子锁系统的旅馆,都会提供房客一次性房卡,这些房卡大部分是使用 RFID 技术(无线射频识别),两位研究人员发现,全球最大的锁具制造商亚萨合莱(Assa Abloy),由第三方公司 VingCard 开发的底层系统 Vision 有漏洞,“我们发现只要使用任何一张旅馆房卡,就可打造一张在旅馆内通行无阻的万能卡,且这张房卡甚至过期也通用。”mMJEETC-电子工程专辑

许多人在退房时会忘记交回房卡,这个无心的动作可能会让有心人士有机可乘。两位研究人员表示,攻击者只要取得一张房卡(过期的旧房卡也可以),接着在网络上花几百欧元购买复制卡片数据的硬件、软件工具,就能在几分钟内制作多张房卡,透过这些房卡可以进入旅馆任何一间房间,过程完全不会遗留任何痕迹。更可怕的是,研究人员发现即便房卡放在口袋中,攻击者一样能在远程取得卡片数据,这种攻击方式适用传统磁条以及 RFID。
20180607-f-secure-3
20180607-f-secure-2
F-Secure研究员Timo Hirvonen在芬兰赫尔辛基展示了一个Assa Abloy的酒店房卡(Source:路透社,2018年4月20日)
20180607-f-secure-1
一种能够利用一张酒店房卡上,创建出万能房卡的设备(Source:路透社,2018年4月20日)
20180607-f-secure-4
F-Secure研究人员Tomi Tuominen(L)和Timo Hirvonen在2018年4月20日于芬兰赫尔辛基展示他们的发现(Source:路透社,2018年4月20日)mMJEETC-电子工程专辑

如果其他电子锁系统有同样的问题我也不会惊讶,必须直到有人尝试破坏,才会知道系统究竟有多不安全。──芬氏安全(F-Secure)研究人员

全球有许多旅馆业者,都采用亚萨合莱(Assa Abloy)的电子锁系统,预计全球有 4 万家旅馆曝露在风险之下。mMJEETC-电子工程专辑

漏洞已被修复,“无卡入住”成为新型态mMJEETC-电子工程专辑

发现漏洞后,芬氏安全(F-Secure)去年通知亚萨合莱(Assa Abloy),一起修复了这项漏洞,并鼓励旅馆业者安装修复软件,芬氏安全表示,因部分旅馆还需要时间安装补丁,因此不会透露受影响的旅馆,确保遭攻击风险降到最低。mMJEETC-电子工程专辑

目前多数旅馆房卡,都是使用传统磁条或 RFID,但这类卡片除了容易遗失,也有消磁的风险。近年像是喜达屋 SPG 集团旗下酒店,就导入低功耗蓝牙(BLE)技术,推出“无卡入住”(SPG Keyless)功能,让房客透过饭店 App 直接用手机就能解锁,这套系统能让房客直接在 App 完成入住手续,还能在 App 隐藏房号确保安全,旅馆也能在后台管理房客数据、更新开锁设定,就能避免房卡数据遭窃,以及消磁风险。mMJEETC-电子工程专辑

喜达屋 SPG 集团旗下酒店,推出“无卡入住”(SPG Keyless)功能:视频链接mMJEETC-电子工程专辑

但无论如何,这个案例也替旅宿业敲响了警钟,F-Secure 研究人员提醒,房客尽量不要将太贵重的东西留在房中,入住时使用门链锁也能增降低被侵入风险。mMJEETC-电子工程专辑

本文综合自数码时代、路透社报道mMJEETC-电子工程专辑

EETC wechat barcode


关注最前沿的电子设计资讯,请关注“电子工程专辑微信公众号”。
mMJEETC-电子工程专辑

mMJEETC-电子工程专辑

本文为EET电子工程专辑 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
您可能感兴趣的文章
  • iFixit再次拆解三星可折叠手机Galaxy Fold,屏幕和铰链 此前三星在召回首款可折叠手机Galaxy Fold的时候,曾要求知名拆解机构iFixit取消其负面评论。iFixit当时在文章中表示:Galaxy Fold可折叠手机无法防止灰尘损坏屏幕。现在,经过一些修改,Galaxy Fold再次向市场推出。iFixit近日又对新Galaxy Fold进行了拆解。
  • ams收购欧司朗失败,这并不是最终结局 据最新消息显示,ams以49亿美元收购德国灯具和传感器制造商欧司朗的交易以失败告终。然而ams表示两家公司的发展方向有很多契合之处,并不会放弃,继续寻找方案收购....
  • 97岁“锂电池之父”等三位科学家获2019年诺贝尔化学奖 瑞典斯德哥尔摩当地时间9日中午,瑞典皇家科学院宣布,将2019年诺贝尔化学奖授予美国科学家约翰·古迪纳夫(John B. Goodenough)、英国科学家斯坦利·惠廷厄姆(M. Stanley Whittingham)和日本科学家吉野彰(Akira Yoshino),以表彰他们在锂离子电池研发领域作出的贡献。
  • 三星开发出12层3D-TSV封装,24GB HBM即将量产 10月7日,三星电子宣布已率先在业内开发出12层3D-TSV(Through-Silicon Via,硅穿孔)技术。该技术在保持芯片尺寸的同时增加了内存容量,不久后将量产24GB的高带宽内存(HBM)。
  • Qorvo®宣布收购Cavendish Kinetics 2019年10月8日,移动应用、基础设施与国防应用中核心技术与RF解决方案的领先供应商 Qorvo®宣布收购高性能RF MEMS天线调谐应用技术供应商Cavendish Kinetics。Cavendish Kinetics (CK) 团队将继续推动RF MEMS技术应用于Qorvo的全部产品线,并将该技术转变为能针对移动设备和其他市场进行大规模制造。
  • 三星手机厂全面退出中国,最后一家惠州厂关闭! 据路透社10月2日报道,韩国三星电子周三(2日)表示,已经在9月底暂停中国手机工厂的生产。这意味着三星在中国广东惠州的唯一一座手机生产厂也随之关闭。三星表示,这是一个“艰难的决定”,此举是为了提高效率。
相关推荐
    广告
    近期热点
    广告
    广告
    广告
    可能感兴趣的话题
    广告