Investigadores han descubierto un método para crear la llave maestra de un hotel, un proceso rápido y sencillo.

Cuando nos alojamos en un hotel y nos dan una llave electrónica, tenemos cierta seguridad de que nadie más podrá entrar. Hay una excepción, claro, los propios empleados del hotel, que usan una llave maestra para entrar en cualquier habitación para realizar sus tareas.

Pero, ¿y si cualquiera pudiese crear la llave maestra? Tendría acceso a cualquier habitación del hotel, podría robar lo que quisiera, y apenas dejaría rastro.

El robo que inició una investigación

Ese escenario es ahora más probable que nunca, según una investigación de dos expertos en seguridad de F-Secure: Tomi Tuominen y Timo Hirvonen. Entre ambos, han conseguido saltarse la seguridad de las cerraduras electrónicas de Vingcard, posiblemente afectando a unos 140.000 hoteles de 160 países de todo el mundo.

Y todo empezó con un portátil robado. Fue en 2003 cuando el ordenador de Tuominen fue robado de un hotel de Berlin.

Como contenía información delicada, se inició una investigación a fondo, de la que no consiguieron sacar nada; la puerta no se había forzado, y los registros sólo mostraban que el personal del hotel había entrado en la habitación con la llave maestra.

Este misterio nunca se resolvió, pero fue la motivación para que Tuominen y otro miembro de F-Secure, Hirvonen, se aliasen para investigar la seguridad de este sistema electrónico. Cabía la posibilidad de que existiese una vulnerabilidad que permitiese la entrada sin una llave correcta.

Quince años de investigación después, lo que han descubierto puede dejar abiertas muchas puertas, literalmente hablando.

Cómo han conseguido crear la llave maestra de un hotel

Clonar llaves tarjeta que usen la tecnología de Vincard resultó no ser posible; pero lo que sí consiguieron fue idear un sistema para crear llaves maestras, que abren cualquier habitación del hotel.

La herramienta que han usado es conocida: un dispositivo de tarjetas RFID de Proxmark que cuesta unos 300 dólares; la tecnología RFID es usada en muchos sectores, desde pegatinas que avisan si alguien ha robado un producto, a tarjetas llave. Así que conseguir un lector es bastante fácil.

La segunda pieza del puzle es conseguir una llave caducada del hotel en el que queramos entrar; tiran las tarjetas usadas a la basura, ya que en teoría ya no sirven para nada. Basándose en la clave criptográfica almacenada en la tarjeta RFID, es posible acotar el rango de las claves que podrían ser la maestra. El proceso no consigue directamente la clave maestra, sólo reduce las posibilidades a un número más manejable.

Una vez que saben el rango en el que se encuentra la llave maestra, usan el dispositivo Proxmark para probarlas todas en cualquier puerta del hotel. En unos 20 intentos, es posible identificar la clave criptográfica correcta; esta se escribe en una tarjeta, y a partir de ahí es posible usarla en cualquier habitación.

Este proceso dura aproximadamente un minuto, como han demostrado los investigadores en un vídeo. Alguien con intenciones maliciosas podría usar este método para entrar en nuestras habitaciones en cualquier momento.

Los investigadores no han compartido todos los detalles de este método, para evitar que sea copiado por criminales; sin embargo, es muy posible que ya haya gente que supiese de esta vulnerabilidad.

Actualizar las cerraduras es un proceso largo y que no seguirán todos los hoteles

Las buenas noticias es que Vingcard fue avisada el año pasado de estos problemas, y ya ha lanzado una actualización para sus cerraduras inteligentes Vision; además, los nuevos modelos Visionline lanzados al mercado ya no son vulnerables.

Sin embargo, estas cerraduras no tienen conexión a Internet, así que no pueden descargarse la actualización. La administración del hotel tiene que descargar el programa de la web oficial y aplicarlo a todas las cerraduras una por una; los propios investigadores dudan que todos los hoteles afectados hayan realizado este proceso.

Donde los investigadores y Vingcard no coinciden es en el alcance de esta vulnerabilidad. En F-Secure afirman que afecta a unos 140.000 hoteles de 160 países; eso se traduce en varios millones de cerraduras inseguras.

Sin embargo, Vingcard y su compañía madre Assa Abloy afirman que sólo entre 500.000 y un millón de cerraduras son las afectadas; también afirman que es posible que una cantidad de las cerraduras afectadas ya hayan sido cambiadas.

Esta incertidumbre no ayudará a los que vayan a alojarse en un hotel las próximas vacaciones.