Lorsqu’ils réservent leur chambre d’hôtel, les voyageurs prennent bien souvent en considération la variable « sécurité ». Chaque fois que nous voyageons, nous nous renseignons bien entendu sur certains services (service de chambre, climatisation, Wi-Fi gratuit…), mais nous tenons aussi à nous assurer que nous – et nos effets personnels – serons en sécurité. Plus l’hôtel dispose d’une réputation solide et meilleur est son emplacement, plus nous nous sentirons en sécurité.
Mais que se passerait-il si vous découvriez que le système de verrouillage qui protège votre chambre d’hôtel à 400 euros la nuit était vulnérable, et susceptible d’être piraté ? Et si un individu malveillant pouvait non seulement accéder à votre chambre, mais aussi à toutes les pièces du bâtiment ?
Cela peut sembler effrayant, mais les chercheurs de F-Secure ont découvert que cela était bel et bien possible. Ils ont étudié un système de verrouillage destiné aux établissements hôteliers et largement utilisé par le plus grand fabricant de serrures au monde, Assa Abloy. Cette découverte concerne des millions de serrures électroniques, dans des dizaines de milliers d’hôtels. Plusieurs chaines d’hôtels internationales sont concernées.
Le facteur déclencheur
Il y a quelques années, deux de nos hackers éthiques ont assisté à une conférence à Berlin, sur le thème de la sécurité de l’information. L’ordinateur portable de l’un d’entre eux a été volé dans sa chambre d’hôtel, durant son absence. La porte était bien fermée mais, curieusement, aucun signe évident d’effraction n’était observable. Ils ont signalé le vol aux employés de l’hôtel. En l’absence de preuve indiquant un accès non-autorisé à la chambre (aucune preuve physique, aucune trace dans les registres du système de verrouillage), le personnel a rejeté la plainte.
Les chercheurs ont alors cherché à comprendre. Ils ont décidé d’enquêter pour savoir s’il était possible d’entrer dans une chambre d’hôtel fermée, sans clé… et sans laisser de trace. Après des années de recherche sur ce projet et des milliers d’heures – mené en parallèle d’autres missions -, ils sont finalement parvenus à leurs fins.
Leur cible : une marque de serrure reconnue pour sa qualité et sa sécurité.
« Imaginez de quoi un individu malveillant serait capable s’il pouvait entrer dans n’importe quelle chambre d’hôtel, grâce à une clé passe-partout, créée à partir de presque rien », explique Tomi Tuominen, Practice Leader chez F-Secure Cyber Security Services. Avec Timo Hirvonen, Senior Security Consultant chez F-Secure, ils ont travaillé ensemble pour mettre au point une méthode de piratage du système logiciel de verrouillage Vision, de VingCard.
Le piratage
Tout d’abord, le pirate doit avoir accès à une clé électronique utilisée au sein de l’établissement. N’importe quelle clé peut être utilisée : il peut s’agir d’une clé de chambre, de la clé d’un placard de rangement ou de celle du garage. Celle-ci n’a pas besoin d’être active : même une clé expirée, datant d’un séjour effectué cinq ans auparavant, peut faire l’affaire.
Le pirate utilise ensuite un petit appareil pour créer, en quelques minutes, une clé maîtresse capable d’ouvrir n’importe quelle serrure du bâtiment. L’appareil peut créer des clés passe-partout ou encore, écraser une clé existante.
Le matériel nécessaire est disponible en ligne pour quelques centaines d’euros… Mais l’attaque n’est possible qu’à partir du logiciel développé par Tomi et Timo.
« Concevoir un système de contrôle d’accès sécurisé est particulièrement difficile car il existe de très nombreux facteurs à prendre en compte », explique Timo, « Ce n’est qu’après avoir bien compris comment l’ensemble du système a été conçu que nous avons pu identifier quelques défauts de conception, en apparence inoffensifs. Nous avons ensuite créé une méthode de création de clé maîtresse tirant profit de l’ensemble de ces lacunes. »
Tomi et Timo ont constaté que le logiciel Vision pouvait être détourné pour accéder aux données sensibles des clients. Un individu malveillant pourrait télécharger ces données, ou encore créer/modifier/supprimer des réservations.
La solution
Tomi et Timo ont informé le fabricant de serrures Assa Abloy de leurs découvertes il y a un peu plus d’un an. Depuis lors, ils ont travaillé avec l’équipe R&D de l’entreprise afin de remédier au problème. Assa Abloy a récemment publié une mise à jour du logiciel, à disposition des hôtels concernés.
« Grâce au sérieux d’Assa Abloy et à sa volonté de s’attaquer aux problèmes que nous avons identifiés, le monde de l’hôtellerie est désormais plus sûr », explique Tomi. « Nous recommandons à tout établissement utilisant ce logiciel d’installer cette mise à jour dès que possible. »
Les deux chercheurs ne publieront pas tous les détails de l’attaque qu’ils ont conçue. Ils ne mettront pas non plus à disposition d’outils logiciels. À ce jour, cette attaque n’a, à leur connaissance, jamais été menée par de véritables pirates.
L’hôtellerie est une secteur-clé dans la bataille qui oppose pirates et experts en sécurité de l’information. Quelles précautions les voyageurs doivent-ils prendre pour se protéger contre ce type d’attaques lorsqu’ils réservent une chambre ?
« Je recommande aux voyageurs de continuer à faire ce qu’ils font déjà… du moins je l’espère », conclut Timo. « Ne laissez pas d’objets de valeur dans votre chambre d’hôtel. Utilisez la chaîne de porte lorsque vous êtes dans votre chambre, notamment lorsque vous allez vous coucher. Si vous ne prenez pas encore ces précautions, vous pouvez commencer dès à présent. »
Catégories