- ทีมวิจัยด้านความปลอดภัยเปิดเผย Unsaflok ซึ่งสามารถเปิดระบบล็อกโรงแรมแบบ RFID รุ่นต่าง ๆ ของ Dormakaba Saflok ได้ภายในไม่กี่วินาที จนสั่นคลอนความน่าเชื่อถือของการควบคุมการเข้าออกห้องพักโรงแรมโดยตรง
- ขอบเขตผลกระทบครอบคลุมประตู 3 ล้านบานใน ที่พัก 13,000 แห่งใน 131 ประเทศ ทั่วโลก โดยช่องโหว่นี้อาศัยทั้งการเข้ารหัสของ Dormakaba และจุดอ่อนของ RFID แบบ MIFARE Classic ร่วมกัน
- ผู้โจมตีต้องหาคีย์การ์ดของโรงแรมนั้นมาให้ได้ 1 ใบ จากนั้นใช้เครื่อง RFID ราคา $300 อ่านโค้ด แล้วแตะการ์ดที่ทำขึ้นเอง 2 ใบตามลำดับเพื่อเปลี่ยนข้อมูลในตัวล็อกและเปิดประตู
- ทีมวิจัยได้แชร์รายละเอียดกับ Dormakaba ตั้งแต่เดือนพฤศจิกายน 2022 แต่ ณ เดือนมีนาคม 2024 Saflok ที่ติดตั้งอยู่ได้รับการอัปเดตเพียง 36% เท่านั้น และระบบติดตั้งรุ่นเก่าอาจใช้เวลาหลายเดือนถึงหลายปีในการแก้ไข
- ผู้เข้าพักสามารถใช้แอป NFC Taginfo ตรวจสอบได้ว่าคีย์การ์ดยังคงเป็น MIFARE Classic หรือไม่ และหากมีความเสี่ยงควรหลีกเลี่ยงการเก็บของมีค่าไว้ในห้อง และคล้องโซ่ประตูเมื่ออยู่ข้างในจะปลอดภัยกว่า
เทคนิค Unsaflok และขอบเขตผลกระทบ
- นักวิจัยด้านความปลอดภัย Ian Carroll, Lennert Wouters และทีม เปิดเผยเทคนิคแฮ็กคีย์การ์ดโรงแรมชื่อ Unsaflok
- เทคนิคนี้ทำให้สามารถเปิดระบบล็อกคีย์การ์ดแบบ RFID ภายใต้แบรนด์ Saflok หลายรุ่น ที่จำหน่ายโดยผู้ผลิตล็อกจากสวิตเซอร์แลนด์อย่าง Dormakaba ได้แทบจะทันที
- ระบบ Saflok ถูกติดตั้งอยู่กับ ประตู 3 ล้านบาน, ที่พัก 13,000 แห่ง, ใน 131 ประเทศ ทั่วโลก
- งานวิจัยเริ่มต้นจากการทดลองแฮ็กอุปกรณ์ต่าง ๆ ภายในห้องพักโรงแรมในงานปิดที่ลาสเวกัสเมื่อปี 2022 และทีมวิจัยได้มุ่งความสนใจไปที่ระบบล็อกประตูห้องพัก
วิธีโจมตี: คีย์การ์ด 1 ใบและการแตะสองครั้ง
- ผู้โจมตีต้องหาคีย์การ์ดของโรงแรมเป้าหมายมาให้ได้ เพียง 1 ใบใดก็ได้ ก่อน
- ตัวอย่างวิธีที่ยกมาคือจองห้องในโรงแรมนั้นเอง หรือหาการ์ดจากกล่องที่ใส่คีย์การ์ดใช้แล้ว
- แม้จะเป็นคีย์การ์ดที่หมดอายุแล้วก็ยังใช้ได้ หากเป็นการ์ดของโรงแรมเดียวกัน
- จากนั้นใช้เครื่องอ่าน/เขียน RFID ราคา $300 อ่านโค้ดบางส่วนจากการ์ด แล้วเขียนลงคีย์การ์ดที่เตรียมเอง 2 ใบ
- การ์ดใบแรกใช้เขียนทับข้อมูลบางอย่างในตัวล็อก
- การ์ดใบที่สองใช้เปิดประตู
- ตามคำกล่าวของ Wouters เพียงแตะการ์ดทั้งสองใบอย่างรวดเร็ว ประตูก็จะเปิด และวิธีนี้ใช้ได้กับทุกประตูในโรงแรม
- สำหรับการโจมตีจริง อุปกรณ์ที่ต้องมีเพียง Proxmark สำหรับอ่าน/เขียน RFID และการ์ด RFID เปล่า 2 ใบ
- โทรศัพท์ Android หรือ Flipper Zero ก็สามารถใช้ส่งสัญญาณต่อเนื่องได้เช่นกัน
องค์ประกอบทางเทคนิคของช่องโหว่
- Unsaflok เป็นการผสานช่องโหว่สองประเภทเข้าด้วยกัน
- ช่องโหว่ที่ทำให้สามารถเขียนข้อมูลลงคีย์การ์ดได้
- ช่องโหว่ที่ทำให้รู้ว่าต้องเขียนข้อมูลอะไร จึงจะหลอกระบบล็อก Saflok ให้เปิดได้
- คีย์การ์ดของ Saflok ใช้ระบบ RFID แบบ MIFARE Classic
- ระบบนี้มีช่องโหว่ที่เป็นที่รู้จักมานานกว่าสิบปี และทำให้ผู้โจมตีสามารถเขียนข้อมูลลงคีย์การ์ดได้
- กระบวนการ brute-force แบบเดิมอาจใช้เวลาสูงสุด 20 วินาที
- ทีมวิจัยสามารถเจาะ ฟังก์ชันสร้างกุญแจย่อย ซึ่งเป็นส่วนหนึ่งของระบบเข้ารหัสเฉพาะของ Dormakaba ทำให้เขียนข้อมูลลงการ์ดได้เร็วขึ้นมาก
- เพียงขั้นตอนนี้ยังทำได้แค่คัดลอกคีย์การ์ด Saflok ตามต้องการ แต่ยังไม่สามารถสร้างการ์ดของห้องอื่นได้
- ขั้นตอนที่สำคัญกว่าคือการได้อุปกรณ์โปรแกรมมิ่งตัวล็อกที่ Dormakaba แจกจ่ายให้โรงแรม และซอฟต์แวร์จัดการคีย์การ์ดที่แผนกต้อนรับ มาทำวิศวกรรมย้อนกลับ
- ทีมวิจัยจึงเข้าใจโครงสร้างข้อมูลที่เก็บอยู่ในการ์ด
- ดึงรหัสคุณสมบัติระดับโรงแรมและรหัสประจำแต่ละห้องออกมาได้
- และสามารถสร้างค่าและเข้ารหัสแบบเดียวกับระบบของ Dormakaba เพื่อปลอมการ์ดที่ทำงานเสมือน มาสเตอร์คีย์ ซึ่งเปิดได้ทุกห้องในที่พัก
สถานะการแก้ไขและความล่าช้าในการกระจายอัปเดต
- Carroll และ Wouters ได้แชร์รายละเอียดทางเทคนิคทั้งหมดของวิธีแฮ็กนี้ให้ Dormakaba ตั้งแต่เดือนพฤศจิกายน 2022
- Dormakaba ระบุว่า ตั้งแต่ต้นปี 2023 ได้แจ้งโรงแรมที่ใช้ Saflok ถึงข้อบกพร่องด้านความปลอดภัย และช่วยแก้ไขหรือเปลี่ยนตัวล็อกที่มีช่องโหว่
- ระบบ Saflok จำนวนมากที่ขายในช่วง 8 ปีที่ผ่านมา ไม่จำเป็นต้องเปลี่ยนฮาร์ดแวร์ของตัวล็อกแต่ละบาน
- โรงแรมต้องอัปเดตหรือเปลี่ยนระบบจัดการที่แผนกต้อนรับ
- และให้ช่างเข้าตั้งโปรแกรมตัวล็อกใหม่ทีละประตู ซึ่งทำได้ค่อนข้างรวดเร็ว
- ทีมวิจัยระบุว่า Dormakaba แจ้งกับพวกเขาว่า ณ เดือนมีนาคม 2024 มี Saflok ที่ติดตั้งอยู่เพียง 36% เท่านั้นที่ได้รับการอัปเดต
- เนื่องจากตัวล็อกไม่ได้เชื่อมต่ออินเทอร์เน็ต และตัวล็อกรุ่นเก่าบางส่วนต้องอัปเกรดฮาร์ดแวร์ การกระจายการแก้ไขทั้งหมดจึงอาจต้องใช้เวลาอย่างน้อยอีกหลายเดือน
- ระบบติดตั้งเก่าบางแห่งอาจใช้เวลาหลายปี
- Dormakaba ระบุว่าได้ทำงานอย่างใกล้ชิดกับพาร์ตเนอร์เพื่อใช้ทั้งมาตรการบรรเทาผลกระทบทันทีและแนวทางแก้ระยะยาว แต่ไม่ได้เปิดเผยรายละเอียดของ “มาตรการบรรเทาผลกระทบทันที”
การจำกัดรายละเอียดที่เปิดเผยและวิธีตรวจสอบสำหรับผู้เข้าพัก
- ทีมวิจัยจงใจไม่เปิดเผยรายละเอียดบางส่วนของการโจมตี
- โดยเปิดเผยเพียงว่าการ์ดใบแรกสามารถทำให้เปิดประตูได้โดยไม่ต้องเดาตัวระบุเฉพาะของห้องเป้าหมาย
- พวกเขาเก็บองค์ประกอบนี้ไว้เป็นความลับ เพื่อไม่ให้ขั้นตอนชัดเจนเกินไปสำหรับผู้บุกรุกหรือขโมยที่อาจนำไปใช้
- เรื่องนี้ต่างจากกรณีการแฮ็กคีย์การ์ดโรงแรมของ Onity ที่เปิดเผยในงาน Black Hat ปี 2012
- ตอนนั้นรายละเอียดที่เปิดเผยมีมากพอจนใครก็สามารถสร้างอุปกรณ์สำหรับเปิดล็อก Onity ได้ถึง 10 ล้านชุด
- เมื่อ Onity ไม่รับภาระค่าอัปเกรดฮาร์ดแวร์และผลักภาระให้ลูกค้า ปัญหาจึงยังคงอยู่ในหลายโรงแรม และต่อมาถูกนำไปใช้ในคดีลักทรัพย์ระยะไกลอย่างน้อยหนึ่งครั้ง
- ทีมวิจัยพยายามเลือก จุดกึ่งกลาง ระหว่างการช่วยให้ Dormakaba แก้ไขปัญหา กับการแจ้งเตือนผู้เข้าพักถึงความเสี่ยง
- ผู้เข้าพักยังพอจะสังเกตตัวล็อกที่อาจมีช่องโหว่ได้
- รูปลักษณ์ที่พบบ่อยคือเครื่องอ่าน RFID ทรงกลมที่มีลายเส้นคลื่นพาดผ่าน
- อย่างไรก็ตาม ดีไซน์นี้เพียงอย่างเดียวไม่สามารถใช้ระบุได้เสมอไป
- หากประตูห้องใช้ Saflok ผู้เข้าพักสามารถใช้แอป NFC Taginfo ของ NXP ตรวจสอบคีย์การ์ดได้
- หากตัวล็อกเป็นผลิตภัณฑ์ของ Dormakaba และแอปแสดงว่าคีย์การ์ดยังเป็น MIFARE Classic ก็มีความเป็นไปได้สูงว่ายังมีช่องโหว่อยู่
- หากมีช่องโหว่ สิ่งที่ผู้เข้าพักทำได้มีจำกัด
- แนะนำว่าอย่าทิ้งของมีค่าไว้ในห้อง
- ควรคล้องโซ่ประตูเมื่ออยู่ภายในห้อง
- เดดโบลต์ของห้องก็ถูกควบคุมโดยระบบคีย์การ์ดเช่นกัน จึงไม่ใช่มาตรการป้องกันเพิ่มเติมแยกต่างหาก
- Dormakaba ระบุว่าไม่ทราบว่ามีการใช้เทคนิคของทีมวิจัยนี้มาก่อนในอดีต แต่ทีมวิจัยมองว่านั่นไม่ได้ตัดความเป็นไปได้ของการใช้งานแบบลับ ๆ ออกไป
- แบรนด์ Saflok ถูกจำหน่ายมานานกว่า 30 ปี และทีมวิจัยเชื่อว่าช่องโหว่นี้อาจมีอยู่มาเป็นเวลานาน
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ฉันทำงานที่บริษัทที่สร้างระบบควบคุมการเข้าออกและระบบสื่อสาร เครื่องอ่านที่เราพัฒนารองรับมาตรฐาน ID หลายแบบ ตั้งแต่ EM-Marin ที่ไม่เข้ารหัส, Mifare Classic ที่ถูกเจาะได้ตั้งนานแล้ว ไปจนถึง Desfire EVx สมัยใหม่
ตามสถิติแล้ว ลูกค้ามากกว่า 95% ยังคงใช้ตัวระบุตัวตนที่อ่อนแอที่สุดต่อไป เพราะต้นทุนต่ำและดูแลง่าย
ถึงผู้ผลิตจะยังคงรองรับต่อไป แต่ก็ต้องจ่ายค่าบำรุงรักษา ทำให้อุปกรณ์ที่ติดตั้งไว้จำนวนมากไม่ได้รับการดูแลอย่างเหมาะสม และไม่ใช่ว่าอุปกรณ์ทุกตัวจะอัปเดตจากระยะไกลผ่านเครือข่ายได้ หรือมีการเชื่อมต่อเครือข่ายตั้งแต่แรก
ต่อให้บัตรเข้ารหัสอยู่ เครื่องอ่านบัตรส่วนใหญ่ก็ยังเชื่อมกับคอนโทรลเลอร์ผ่าน Wiegand protocol ซึ่งโปรโตคอลนี้ไม่มีการเข้ารหัสข้อมูล ทำให้ ID ตัวระบุถูกส่งเป็นข้อความธรรมดาผ่านสายสองเส้น
จะมีเบราว์เซอร์สักกี่ตัวที่รองรับชุดรหัส TLS_NULL_WITH_NULL_NULL?
ทำไมถึงเป็นแบบนั้น? สมาร์ทการ์ดที่ทำงานหรือบัตรธนาคารแบบไร้สัมผัสกลับใช้งานต่อเนื่องได้เป็นปีๆ
เพราะขโมยยังไงก็พังเข้ามาอยู่ดี
อาคารที่ฉันเช่าอยู่ใช้ระบบล็อกประตูของ Scantron(https://scantron.dk/) และปลดล็อกด้วยกุญแจ RFID เมื่อปีที่แล้วมีคนพบวิธีสร้าง master key จากกุญแจอะไรก็ได้ เนื่องจากการเข้ารหัสที่อ่อนแอของ MiFare Classic
กว่าจะทำให้เจ้าของอาคารเข้าใจปัญหาได้ ต้องอาศัยทั้งนักข่าวและอีเมลกับโทรศัพท์จำนวนมาก และดูเหมือนว่า Scantron เองก็น่าจะอธิบายปัญหากับเจ้าของอาคารให้ดูเล็กลง
สุดท้ายพวกเขาก็ยอมอัปเกรดล็อกทั้งหมดไปใช้การเข้ารหัสที่ดีกว่า และออกกุญแจใหม่
อาคารของเรามี 197 ยูนิต และแต่ละยูนิตมีกุญแจอย่างน้อย 2 ดอก นั่นแปลว่าถ้าฉันไม่อยากให้บ้านถูกงัด ฉันต้องเชื่อใจผู้เช่าทุกคนรวมถึงคนรู้จักของพวกเขาด้วย และถ้าถูกงัดจริง ก็มีโอกาสสูงว่าจะไม่เหลือร่องรอยการงัด ทำให้ประกันอาจไม่คุ้มครอง
ตอนที่เช็กครั้งล่าสุด แท็กเข้าที่คัดลอกไว้ของฉันก็ยังใช้ที่นั่นได้อยู่
ฉันทำงานวิจัยนี้ร่วมกับหลายคน ถ้ามีคำถามก็ถามมาได้ และข้อมูลที่เปิดเผยมีอยู่ที่ https://unsaflok.com
ถ้าจะตั้งใจหาช่องโหว่ ควรเริ่มจากตรงไหน? จุดเริ่มต้นแบบเดียวกับ “เปิด IDE แล้วพิมพ์ print("hello world")” สำหรับงานแบบนี้คืออะไร?
ถ้าอย่างนั้นก็น่าจะเป็นไปได้สูงว่าปัญหาอยู่ที่ วิธีที่ Saflok ใช้งาน MIFARE Classic ฉันคงต้องไปอ่านโปรโตคอลนี้เพิ่ม
ประโยคที่ว่า “ถ้าผู้โจมตีอ่านคีย์การ์ดใบใดก็ได้ภายในอาคาร เขาจะโจมตีประตูทุกบานในอาคารนั้นได้” ถือเป็นช่องโหว่ที่ร้ายแรงมาก เท่ากับว่าแค่เป็น ผู้เข้าพักโรงแรม ก็พอแล้ว
นักวิจัยได้แบ่งปันรายละเอียดเชิงเทคนิคทั้งหมดของวิธีการแฮ็กให้ Dormakaba ตั้งแต่เดือนพฤศจิกายน 2022 แต่ถ้า Dormakaba บอกว่า ณ เดือนนี้มี Saflok ที่ติดตั้งอยู่เพียง 36% เท่านั้นที่อัปเดต แปลว่า Dormakaba ไม่ได้ยกระดับเรื่องนี้เป็นภารกิจเร่งด่วนสูงสุดอย่างเต็มกำลังงั้นหรือ?
หรือว่ามีการส่งแพตช์ฟรีให้สถานที่ติดตั้งแล้วถึงสองในสามอย่างทันท่วงที แต่ฝั่งนั้นเลื่อนการติดตั้งออกไปเองด้วยเหตุผลบางอย่าง?
ในข้อความ PR ที่ว่า “เรามั่นใจว่าทั้งลูกค้าและพาร์ตเนอร์ของเราให้ความสำคัญกับความปลอดภัยอย่างจริงจัง และจะมีการดำเนินการตามสมควรทุกอย่างเพื่อจัดการเรื่องนี้อย่างมีความรับผิดชอบ” คำว่า “ตามสมควร” ฟังดูน่าสงสัย
ตาม Wikipedia ระบุว่า dormakaba Holding AG เป็นกลุ่มธุรกิจด้านความปลอดภัยระดับโลก มีสำนักงานใหญ่ใน Rümlang ประเทศสวิตเซอร์แลนด์ และมีพนักงานมากกว่า 15,000 คนในกว่า 50 ประเทศ
ถ้ามีความตั้งใจจะแก้ปัญหาก่อนจะเกิดเรื่องเลวร้ายกับแขกโรงแรมจริง ๆ ก็ดูเหมือนว่าทรัพยากรมีเพียงพอ
จดทะเบียนอยู่ใน SIX Swiss Exchange
https://www.google.com/finance/quote/DOKA:SWX?comparison=INDEXSP%3A.INX&window=5Y
https://www.google.com/finance/quote/DOKA:SWX?comparison=INDEXSP%3A.INX&window=1Y
https://archive.is/a7ntC
พูดแบบทำลายบรรยากาศหน่อย แต่ประตูที่ล็อกอยู่ส่วนใหญ่สามารถเปิดได้ “ภายในไม่กี่วินาที” ด้วยหลายวิธีอยู่แล้ว โดยทั่วไปสภาพที่ล็อกไม่ได้เป็นมาตรการบังคับที่มีประสิทธิผลจริง ๆ มากนัก แต่ใกล้เคียงกับการเป็น สัญญาณห้ามเข้า มากกว่า
เป้าหมายคือทำให้การเข้าโดยไม่ได้รับอนุญาต ยุ่งยากหรือส่งเสียงดังมากพอ ที่ใครสักคนจะสังเกตเห็นและไปแจ้งผู้จัดการ
ดูเหมือนว่าผมจะเข้าใจผิดมาตลอดว่าคีย์การ์ดโรงแรมทำงานอย่างไร ผมคิดมาตลอดว่าบนคีย์จะมี UUID แบบสุ่มอยู่เสมอ และตอนเช็กอินก็แค่เอาการ์ดใบไหนก็ได้มาเชื่อมกับห้องของผมแล้วส่งให้
ผมคิดว่าเวลาพยายามเปิดประตู ระบบจะเอา ID ของการ์ดไปเทียบกับฐานข้อมูลห้องเพื่อดูว่าจะเปิดให้ไหม
ไม่ใช่แบบนั้นเหรอ? มันดูง่ายกว่าการเข้ารหัสหรือการเขียนอะไรลงการ์ดจริง ๆ เสียอีก
ล็อกอิเล็กทรอนิกส์รุ่นเก่าส่วนใหญ่ทำงานด้วย แบตเตอรี่ 9V และไม่ได้เดินสายเข้ากับเซิร์ฟเวอร์กลาง
ก็มีระบบแบบเชื่อมต่อเครือข่ายเหมือนกัน แต่ค่าใช้จ่ายในการติดตั้งอาจสูงกว่ามาก
ดูเหมือนว่าอีกไม่นานก็คงมีคนทำ สคริปต์ Flipper Zero สำหรับเรื่องนี้
คนที่มีเจตนาและความรู้พอจะโจมตีเครื่องอ่าน RFID สามารถสร้างเครื่องมือฮาร์ดแวร์แบบนั้นได้ Flipper Zero มีเครื่องมือแบบนั้นให้ไหม? ก็มี
ผู้ใช้ควรเป็นฝ่ายรับผิดชอบเรื่องจริยธรรมหรือไม่? อาจถกเถียงกันได้ แต่ส่วนตัวผมคิดว่าแน่นอนอยู่แล้ว
ถ้าใครพกชุดอุปกรณ์สะเดาะกุญแจและเรียนวิธีใช้ มันก็น่าจะยอมรับได้ไม่ใช่หรือ? เราต่างยอมรับได้ว่ามีคนที่สามารถสะเดาะกุญแจได้ และใน 80% ของรัฐในสหรัฐฯ ก็อนุญาตให้ครอบครองและใช้อุปกรณ์สะเดาะกุญแจอย่างถูกกฎหมาย
เวลาเดินทางผมพก ตัวกั้นประตู ไปด้วย ล็อกประตูโรงแรมส่วนใหญ่ที่ผมเห็นถูกออกแบบมาให้เปิดจากด้านนอกได้
ตัวกั้นประตูจะช่วยค้ำประตูให้แน่นเหมือนลิ่มและตรึงให้อยู่ในสภาพปิด แบบนั้นผมหลับสบายขึ้นตอนกลางคืน