Thorsten Schröder wedelte schon 2015 mit einer Schlüsselkarte und sagte: "Diese Dinger sind sehr unsicher." Der IT-Sicherheitsexperte und Mitglied des Chaos Computer Clubs hatte damals elektronische Karten analysiert, mit denen der Zutritt zu Gebäuden und Räumen geregelt wird. Er fand eklatante Schwachstellen.
Nun, da Sicherheitsforscher von F-Secure eine Sicherheitslücke entdeckt haben, von der knapp mehr als eine Million Hoteltüren betroffen sind, sieht Schröder Parallelen zu seiner eigenen Arbeit. Die Schwachstellen hatte er damals bei anderen Karten-Herstellern gefunden.
Herr Schröder, lassen Sie Ihre Wertsachen im Hotel?
Ich bemühe mich, keine sensiblen oder teuren Gegenstände im Hotelzimmer zu lassen.
Warum?
Ich gehe grundsätzlich davon aus, dass Unbefugte jederzeit Zutritt zu meinem Hotelzimmer haben könnten. Leider ist es nicht immer und überall möglich, solche Gegenstände mit sich herum zu tragen.
Sie klingen sehr pessimistisch. Die Zimmer sind doch alle gesichert.
Elektronische Schließsysteme werden recht wahrscheinlich noch viele weitere Sicherheitsprobleme haben. Sie basieren oft auf veralteter Technik, an der sich Entwickler orientieren.
Warum sind die Systeme nicht auf dem aktuellen Stand der Sicherheitstechnik?
Weil die Hersteller oft daran interessiert sind, dass auch ihre neuen Produkte und Entwicklungen weiterhin mit veralteten und unsicheren Techniken kompatibel sind. Außerdem sollen die Schließsysteme es den Gästen ja besonders einfach machen, die Türen zu öffnen. Und wenn es für die Gäste besonders komfortabel ist, ist es das für einen Angreifer mit entsprechendem Hintergrundwissen meist auch.
Woher kommt diese Unsicherheit?
Funkbasierte Schlüsselkarten bauen auf dem Prinzip der Obskurität auf. Der Begriff umschreibt die Hoffnung der Hersteller, dass ihre Geheimnisse auch geheim bleiben werden.
Hacker werden schon nicht erfahren, was sie nicht erfahren dürfen, davon gehen die Hersteller also aus. Und das ist nicht der Fall?
In diesem Fall war die Annahme, dass man bestimmte Werte nicht aus den Karten extrahieren kann. Sie war vermutlich falsch.
Mit diesen Werten konnten die Hacker Generalschlüssel errechnen und alle Zimmertüren öffnen. Sie selbst haben Zutrittskarten erforscht. Was haben Sie herausgefunden?
Die meisten Systeme, die wir betrachtet haben, waren vor allem über ihre schlecht durchdachte Sicherheitsarchitektur angreifbar.
Wie sähe denn ein gut aufgebautes System aus?
Der Komfort, der durch kontaktlose Kartensysteme geboten wird, beschränkt die Mittel, um ein höheres Sicherheitsniveau zu erreichen. Kontaktbasierte Verfahren, bei denen ein elektrischer Kontakt hergestellt werden muss, um Daten zu übertragen, beseitigen einige Risiken.
Die Hersteller des nun betroffenen Systems sagen, dass es ja Updates gebe und das Risiko deshalb nicht so hoch sei.
Aus meiner Erfahrung kann ich sagen, dass es selten passiert, dass solche Systeme regelmäßig ein Update bekommen. Wenn jetzt der Hersteller des Schließsystems den Kunden sehr deutlich mitteilt: "Ihr müsst die Updates installieren, sonst habt ihr Risiken und Probleme!", dann kann das die Systeme erst einmal sichern. Das beseitigt vorerst die bestehenden Risiken.
Das wäre doch beruhigend.
Ich bin da anderer Meinung. Das Prinzip der Geheimhaltung funktioniert grundsätzlich nicht. Wenn der Hersteller sagt, dass das Risiko nicht so hoch ist, verlässt er sich auch darauf, dass die Forscher von F-Secure die technischen Werkzeuge und ihr Wissen, das den Angriff erst ermöglicht, nicht öffentlich zur Verfügung stellen werden.
Was diese immerhin versprochen haben.
Ich denke aber, dass Sicherheitsforscher mit ausreichend Expertise durchaus in der Lage sind, einen solchen Angriff mit weniger Aufwand nachzuvollziehen und nachzubauen. Und wer sagt, dass diese Hacker ihr Wissen für sich behalten?
