Google po wymianie wadliwych zamków w biurach w Kalifornii. Dostęp był możliwy bez kart RFID

Gdy mowa o szeroko pojętym bezpieczeństwie, Google miał ostatnio nowe wyzwanie, ale niezwiązane z Androidem czy przeglądarką Chrome, jak można by pomyśleć w pierwszej chwili. Jak zauważył jeden z pracowników firmy, oprogramowanie elektronicznych drzwi w biurach Google w Kalifornii zostało źle zaprojektowane, a przez to zabezpieczenia dało się ominąć i otwierać zamki w firmie bez użycia właściwej karty RFID. Obserwacja zjawiska trwała kilka miesięcy i od tamtego czasu podjęto już właściwe kroki, by je wyeliminować, ale problem może pozostawać aktualny dla innych firm, gdzie wykorzystywane są podobne drzwi tego samego producenta. O szczegółach informuje serwis Forbes.

Jeden z pracowników Google, David Tomaschick, zauważył już w ubiegłym roku, że teoretycznie szyfrowane komunikaty wysyłane przez zamontowane w biurach drzwi ze sterownikami firmy Software House, są podejrzanie podobne do siebie. Dalsza ich analiza szybko wykazała, że sterowniki wykorzystują na stałe zaprogramowany klucz szyfrowania, co pozwala stosunkowo łatwo go powielać i w konsekwencji samodzielnie wysyłać do drzwi komunikaty związane ze sterowaniem zamkiem. Mając więc dostęp do firmowej sieci, w podobny sposób można było nie tylko wejść do dowolnego pomieszczenia, ale także zarządzać zamkami, mogąc w ten sposób zablokować dostęp wybranej osobie, która posługiwała się działającą dotychczas kartą dostępu.

Co ciekawe, Tomaschick zwrócił również uwagę, że komunikacja ze sterownikiem może zostać przeprowadzona na tyle sprytnie, by nie zostawić w systemie żadnych śladów. Problem zyskał więc szybko status priorytetowego i został rozwiązany wykorzystaniem nowych sterowników iStar v2 Board, które wykorzystują TLS. Ponadto Google wprowadził dodatkową segmentację sieci w biurach, by dodatkowo ograniczyć zasięg hipotetycznej próby podobnego ataku w przyszłości.

Jak zwraca uwagę Forbes, problem podatnych na tego typu atak zamków prawdopodobnie nadal pozostaje aktualny, jeśli w danej placówce wciąż wykorzystywane są sterowniki iStar Ultra lub IP-ACM, w których lukę wykrył Tomaschick. O komentarz zwrócono się do rzecznika Software House, ale uzyskano tylko krótką odpowiedź potwierdzającą, że problemy zostały już rozwiązane z każdym z klientów. Nie udało się uzyskać informacji, czy w każdym przypadku wiązało się to z koniecznością wymiany sprzętu i kto pokrył ewentualny koszt.