Des chercheurs en sécurité révèlent une vulnérabilité dans trois millions de serrures RFID Dormakaba Saflok utilisées dans des hôtels et des maisons dans 131 pays

Un groupe de chercheurs en sécurité a divulgué sur le site une faille dans trois millions de serrures RFID Dormakaba Saflok dans trois millions de serrures RFID Dormakaba Saflok, découverte en 2022 et signalée à Dormakaba. Cette vulnérabilité affecte les serrures utilisées dans les hôtels et les maisons dans 131 pays, et Dormakaba n'a corrigé que 36 % des serrures pour empêcher l'entrée illégale.

Les serrures de porte vulnérables sont les suivantes : Confidant Quantum Saffire Saflok MT et Saflok RT . Logiciel de gestion comprenant Ambiance, Communityet System 6000 sont également concernés. La seule solution consiste à remplacer ou à mettre à jour les serrures de porte, le logiciel de gestion, les encodeurs de cartes et toutes les cartes-clés.

Les criminels n'ont besoin que de l'accès à une carte de l'établissement, expirée ou active, pour créer une clé NFC fonctionnelle capable d'ouvrir toutes les portes Saflok de l'établissement. Cette clé NFC peut se trouver sur une carte MIFAR Classic ( ), un outil sans fil NFC de poche, une carte d'identité ou une carte de créditun outil de poche sans fil NFC ou tout téléphone Android avec NFC. Une recherche rapide sur les aspects vulnérables du système Saflok fait apparaître des codes pour des outils permettant de lire la clé KDF et d'effectuer d'autres calculs, de sorte que la boîte de Pandore a été ouverte.

Les serrures mises à jour ne peuvent pas être identifiées visuellement, mais les chercheurs suggèrent d'utiliser un lecteur de cartes NFC pour identifier le type de carte utilisé sur place (les cartes MIFARE Ultralight C sont sûres, les cartes MIFARE classiques sont vulnérables).

La facilité avec laquelle il est possible de créer une clé de serrure principale signifie que les lecteurs doivent s'assurer que leurs portes sont physiquement sécurisées par une deuxième méthode (telle qu'une barre de porte portable) et que leur sécurité est assurée par une arme défensive (telle qu'un spray au poivre) s'ils doivent séjourner dans un endroit équipé d'une serrure Saflok RFID non améliorée.