Las cerraduras inteligentes de algunos hoteles no son tan seguras como parecen

De un tiempo a esta parte, las cerraduras inteligentes van haciendose un hueco poco a poco, tanto en domicilios particulares como en empresas. Sobre el papel todo parecen ser ventajas pero, como ya se ha demostrado en alguna ocasión, muchas de estas cerraduras tienen graves problemas de seguridad. Ahora, una nueva investigación presentada recientemente en la conferencia de seguridad BlackHat USA 2019 ha mostrado como las cerraduras inteligentes usadas en un hotel de alta categoría pueden ser vulneradas permitiendo acceder a casi cualquier habitación.

Una cerradura conectada al móvil

Entre las principales características que los fabricantes de cerraduras destacan de sus productos se encuentra la posibilidad de abrirlas sin utilizar llave física alguna. Para ello utilizan aplicaciones que se instalan en el dispositivo del usuario y que permiten la apertura desde el mismo. De esta forma se sustituye a las clásicas llaves o tarjetas usadas aun por la mayoría de establecimientos hoteleros alrededor del mundo.

Esta característica que, en principio, ofrece solo ventajas al no tener que cargar con una llave para abrir la cerradura, se convierte en la principal puerta de entrada para posibles atacantes. Para demostrar que este escenario es posible los investigadores alemanes, bajo los seudónimos Ray y Michael, asociados al Chaos Computer Club y al SSD (el primer grupo que estableció la apertura de cerraduras como si fuera una actividad deportiva en los 90), consiguieron capturar la información que la aplicación móvil transmitía vía inalámbrica para, posteriormente, reconstruirla y conseguir así abrir la puerta con un PC o incluso una Raspberry Pi con capacidad Bluetooth de baja energía (BTLE por sus siglas en inglés).

Esta investigación demuestra que los ataques son perfectamente replicables y es muy probable que ya se haya producido alguno contra objetivos interesantes. Y es que, en no pocas ocasiones se sigue ignorando el impacto que tiene en la seguridad una supuesta mejora, al ignorar el análisis de riesgos o, simplemente, querer lanzar el producto al mercado lo antes posible.

Consiguiendo abrir la cerradura

A la hora de conseguir su propósito, el primer paso de los investigadores pasa por conseguir analizar el tráfico que se realiza entre el smartphone y la cerradura. Esto tiene el inconveniente de que la captura de tráfico se debe de hacer de forma local, es decir, desde el mismo hotel donde se encuentra la habitación a la que se desea acceder. La obtención de este tráfico se puede realizar desde un dispositivo debidamente preparado como un smartphone.

Una vez se ha conseguido capturar el tráfico se pasa al segundo punto que consiste en analizarlo. Esto se puede hacer desde aplicaciones sobradamente conocidas como Wireshark o Bluefruit LE Sniffer aunque, en este caso, los investigadores prefirieron utilizar su propia herramienta. Una vez analizado el tráfico capturado los investigadores descubrieron al revisar el paquete que contiene las credenciales que el sistema era vulnerable a un ataque de robo de clave, con lo que se podía duplicar la autorización y acceder a la habitación del objetivo.

Además de esto, los investigadores consiguieron desarrollar un exploit que les permite realizar todo un elenco de actividades maliciosas, aunque para ello antes deben conseguir identificar la dirección MAC de la cerradura objetivo conectándose en la red local del hotel.

Una vez descubierta esta vulnerabilidad en la marca de las cerraduras inteligentes utilizadas en este hotel los investigadores contactaron con el fabricante para ponerlo al corriente. Este reconoció el fallo y planteó planes para solucionarlo, aunque existen varios impedimentos para que la actualización se realice en breve, entre los que se encuentran aquellas cerraduras que tienen que ser actualizadas una a una de forma presencial.

Conclusión

El fallo en las cerraduras encontrado por este par de investigadores se une a otros ya descubiertos en los últimos años y que demuestran que este sistema dista mucho de ser seguro. Hace falta que los fabricantes se tomen en serio la seguridad desde el diseño de sus nuevos dispositivos para evitar que puedan ser vulnerados por atacantes con malas intenciones. Para eso parece que se necesita una legislación adaptada a las nuevas tendencias tecnológicas y, sobre todo, mucho investigador inquieto que sea capaz de descubrir y comunicar de forma responsable fallos como el que acabamos de comentar.

Josep Albors