Lors de l’événement annuel surnommé le « camp d’été des hackers » (ou Hackers Summer Camp). Qui regroupe les conférences Black Hat et Defcon à Las Vegas, des chercheurs en sécurité ont eu l’opportunité unique de tester les vulnérabilités des technologies hôtelières de la ville. 

Une faille cruciale : les serrures de porte sous le feu des tests

En 2022, quelqu’un a invité un groupe restreint à pirater les dispositifs d’une chambre d’hôtel.  Se concentrant notamment sur la serrure de la porte, un élément crucial de sécurité.

Plus d’un an après ces tests. Une équipe de chercheurs en sécurité, dirigée par Ian Carroll et Lennert Wouters, révèle une technique de piratage de serrures de chambre d’hôtel. Capable d’ouvrir pratiquement instantanément de nombreux modèles utilisés mondialement. 

Exploitation des faiblesses dans le système de chiffrement et RFID

Cette technique exploite des faiblesses dans le système de chiffrement et dans le système RFID sous-jacent utilisé par le fabricant suisse de ces serrures.

Les chercheurs ont démontré que l’accès à n’importe quelle carte-clé de l’hôtel cible leur permet. Après modification via un appareil de lecture-écriture RFID coûtant 300 dollars. De créer deux cartes qui ouvrent les serrures en deux tapotements rapides. « Deux petits tapotements et nous ouvrons la porte ». Explique Wouters, qui fait partie du groupe de Sécurité Informatique et Cryptographie Industrielle à l’Université KU Leuven en Belgique. Cette méthode est efficace sur chaque porte de l’hôtel.

Les conséquences et les mesures correctives

En novembre 2022, Carroll et Wouters ont partagé les détails techniques de cette méthode avec le fabricant, qui a depuis commencé à informer les hôtels des failles de sécurité et à aider à la mise en place de correctifs ou au remplacement des serrures concernées. 

Pour beaucoup de systèmes installés au cours des huit dernières années, aucun remplacement matériel des serrures n’est nécessaire. Les hôtels doivent simplement mettre à jour ou remplacer le système de gestion à la réception et reprogrammer chaque serrure, une intervention relativement rapide.

Un déploiement de correctifs lente et incomplet

Malgré ces efforts, à ce jour, seulement 36 % des installations ont été mises à jour. Comme les serrures ne sont pas connectées à Internet et que certaines plus anciennes nécessitent une mise à niveau matérielle. Le déploiement complet des corrections prendra probablement encore plusieurs mois, voire des années pour certains établissements plus anciens.

Carroll et Wouters adoptent une approche prudente, tout en alertant le public sur leur technique. Étant donné que de nombreux établissements resteront probablement vulnérables même après la mise en œuvre des correctifs proposés par le fabricant. Ils soulignent l’importance de sensibiliser les clients. Car si quelqu’un d’autre découvre et exploite cette technique avant que les hôtels et les clients ne soient pleinement informés. Cela pourrait poser un problème encore plus grave.

Conseils aux clients et appel à la sensibilisation

Carroll et Wouters recommandent aux clients d’utiliser l’application NFC Taginfo pour vérifier la mise à jour de leur serrure. Si ce n’est pas le cas, nous recommandons de ne pas laisser d’objets de valeur dans la chambre et de verrouiller la chaîne sur la porte lorsque vous êtes à l’intérieur.

Conclusion : renforcement de la sécurité et sensibilisation

Cette découverte souligne la nécessité d’une vigilance accrue et d’une transparence dans la gestion des risques de sécurité dans l’industrie hôtelière, rappelant que même les technologies apparemment sécurisées peuvent avoir des failles exploitées par des individus mal intentionnés.

Lire aussi: Qu’est-ce qu’un hacker white hat ?