Chuyên gia bảo mật chế tạo thành công chiếc chìa khóa “thần thánh” có thể đột nhập phòng khách sạn mà không để lại dấu vết

Một lỗ hổng bảo mật nghiêm trọng trong hàng triệu ổ khóa điện tử được sử dụng trong các khách sạn trên thế giới có thể bị hacker lợi dụng. Các chuyên gia bảo mật mới đây đã phát hiện ra lỗ hổng bảo mật này và chế tạo thành công chiếc chìa khóa “thần thánh” có thể mở cửa phòng của rất nhiều khách sạn trên thế giới.

Tomi Tuominen và Timo Hirvonen là hai chuyên gia bảo mật của công ty Công ty an ninh mạng quốc tế F-Secure. Họ đã phát hiện ra lỗ hổng bảo mật trong phần mềm khóa điện tử do công ty VingCard thiết kế. Đây là một nhà cung cấp hệ thống khóa điện tử cho rất nhiều khách sạn lớn trên thế giới.

Theo báo cáo của F-Secure, lỗ hổng bảo mật này có thể đe dọa tới hàng triệu phòng khách sạn, hơn 40.000 tòa nhà trên 166 quốc gia. Trên thực tế, Tomi và Timo đã chế tạo thành công một chiếc chìa khóa “thần thánh, có thể lợi dụng lỗ hổng bảo mật này để mở khóa các phòng khách sạn.

Trong khi việc đánh cắp những chiếc thẻ điện tử và nhân bản chúng không phải điều gì mới. Cách thức tấn công của Tomi và Timo đặc biệt là vì nó có thể cho phép tạo ra chiếc chìa khóa của toàn bộ tòa nhà chỉ trong vài phút. Tất cả những gì cần là một chiếc chìa khóa điện tử thông thường của bất kỳ phòng khách sạn nào, ngay cả khi nó đã hết hạn sử dụng.

Tomi cho biết: “Đó có thể là chiếc chìa khóa điện tử phòng của bạn, hay của nhân viên hoặc thậm chí là thẻ gửi xe. Chúng tôi có thể tạo ra chiếc thẻ chính để mở khóa bất kỳ phòng nào trong tòa nhà, chỉ mất vài phút”.

Thu thập mã hóa của thẻ điện tử từ database của Vingcard.

Hai chuyên gia bảo mật của F-Secure cho biết họ sử dụng một thiết bị chuyên dụng có giá vài trăm Euro, một phần mềm tùy chỉnh để phân tích chiếc chìa khóa điện tử trong tay. Sau đó chỉ cần xác định mã hóa trong dữ liệu database của VingCard, thông qua lỗ hổng bảo mật và sao chép mã hóa đó vào chiếc chìa khóa điện tử.

Mở khóa tất cả chỉ với một chiếc thẻ điện tử.

Sau đó, chiếc chìa khóa này sẽ có khả năng truy cập vào bất kỳ phòng nào của cùng khách sạn hoặc tòa nhà. Đúng theo quy tắc, F-Secure đã thông báo cho các công ty có liên quan để họ tiến hành việc cập nhật các bản vá lỗi. Bên cạnh đó, F-Secure cũng không tiết lộ các đoạn mã mà họ sử dụng, nhằm tránh việc kẻ xấu lợi dụng lỗ hổng bảo mật này để đột nhập vào các phòng khác sạn.

tham khảo: gizmodo, thenextweb