En 2012, une sonde branchée sur le port de service ouvrait les serrures Onity. Quatre CVE de SALTO ProAccess SPACE montrent que ce risque physique persiste.
En juillet 2012, à la conférence Black Hat de Las Vegas, le chercheur Cody Brocious a montré qu’une serrure de chambre Onity HT s’ouvrait en quelques secondes avec une simple sonde électronique branchée sur son port de service. L’affaire a alimenté une série de cambriolages réels au Texas et obligé des milliers d’hôtels à bricoler une rustine matérielle. Quatorze ans plus tard, quatre CVE publiées contre SALTO ProAccess SPACE, un logiciel de contrôle d’accès très présent dans l’hôtellerie européenne, rappellent que la couche physique de la sécurité reste souvent le maillon négligé.
Les serrures électromécaniques de la série HT d’Onity, introduites en 1993, équipent plus de quatre millions de portes, selon les chiffres présentés à Black Hat. Elles possèdent un port destiné au programmeur portable utilisé par le personnel pour configurer la serrure. Cody Brocious a démontré que la communication sur ce port n’est pas authentifiée et donne un accès direct à la mémoire de la serrure. Avec cette lecture, un attaquant peut ouvrir une porte, créer des passes et même des cartes de programmation valables pour tout un établissement, comme le résumait ZDNet à partir du document de présentation.
La particularité du système tenait à son « sitecode », un identifiant partagé entre toutes les serrures d’une même propriété. La présentation Unsaflok donnée à DEF CON 32 en 2024 confirme la persistance de ce dessin: le port de programmation permet de lire la mémoire de la serrure, y compris le sitecode. Concrètement, une seule clé compromise peut donc dégénérer en maîtrise de toutes les portes.
Sur le moment, l’éditeur a minimisé. Le 25 juillet 2012, au lendemain de la démonstration, Onity déclarait comprendre que la méthode était « peu fiable et complexe à mettre en œuvre », tout en promettant une mise à jour du micrologiciel. Aucune CVE n’a jamais été attribuée à cette faille. Le correctif réellement déployé a été mécanique: un capuchon inséré dans le port du programmeur, assorti d’une vis TORX de sécurité sur le couvercle de batterie. Pour une solution définitive, Onity proposait le remplacement du circuit imprimé ou des serrures, aux frais des hôtels.
Le chercheur parlait pour sa part d’une dizaine de millions de serrures installées dans le monde. Ce chiffre reste son estimation, Onity n’ayant jamais confirmé la taille de son parc. Le parc documenté par la BBC, lui, se compte en millions de portes, ce qui suffisait à donner à l’affaire une ampleur industrielle.
L’histoire a vite quitté les amphithéâtres de hackers. Des cambriolages commis dans plusieurs hôtels du Texas, dont l’Hyatt de Houston, ont été reliés à cette technique. La porte n’était ni forcée ni crochetée, et la mémoire de la serrure ne montrait aucune carte de clé légitime utilisée. Un homme, Matthew Allen Cook, a été arrêté et inculpé pour l’effraction de l’Hyatt. L’établissement a durci ses portes en remplissant le trou du port avec de la colle. D’autres chercheurs ont raffiné l’outil: Matt Jakubowski, de Trustwave SpiderLabs, a logé toute l’électronique d’attaque dans un simple feutre de tableau blanc. Les courtiers en assurance s’attendaient alors à être « durement touchés » au fur et à mesure que la technique se diffusait.
Le dossier Onity semblait clos avec ses capuchons et ses cartes mères. Le contrôle d’accès hôtelier a pourtant reproduit le même schéma côté serveur. SALTO ProAccess SPACE 5.4.3.0, la console qui pilote les serrures connectées et la fabrication des cartes, cumule quatre vulnérabilités publiées fin 2019 dans les bases publiques: CVE-2019-19457 (injection XSS), CVE-2019-19458 (traversal de répertoire dans la fonction Data Export), CVE-2019-19459 (écriture arbitraire de fichiers) et CVE-2019-19460 (mauvaises permissions par défaut).
Le mécanisme le plus grave enchaîne les deux dernières. La traversal permet d’atteindre des emplacements interdits, et l’écriture arbitraire autorise un attaquant à déposer un fichier n’importe où sur le serveur, par exemple sous la racine du site web ou dans les scripts de démarrage automatique. Résultat: l’exécution de commandes arbitraires sur le serveur de contrôle d’accès. La quatrième faille aggrave l’ensemble: le serveur web de ProAccess SPACE tourne par défaut en tant que service Windows avec les privilèges SYSTEM, à l’envers du principe du moindre privilège. Une compromission de ce serveur, qui détient les identifiants et les données de fabrication des cartes, équivaut à terme à la maîtrise des portes qu’il administre.
Ces deux épisodes, séparés de sept ans, dessinent des leçons durables. D’abord, inventorier les générations de matériel: les parcs hôteliers mélangent souvent des serrures anciennes, des capuchons de fortune et des modèles récents, et les retrofits Onity (capuchon ou carte mère) ne sont pas nécessairement achevés partout. Ensuite, traiter le serveur de contrôle d’accès comme un système sensible: isolation réseau, application des correctifs de l’éditeur, et exécution du service web avec des privilèges réduits plutôt que SYSTEM.
La recherche récente élargit encore le périmètre. La présentation Unsaflok de DEF CON 32 prolonge cette généalogie jusqu’aux serrures dormakaba Saflok, présentes sur 3 millions de portes dans 13 000 établissements répartis dans 131 pays, et rappelle un épisode comparable chez VingCard traité avec ASSA ABLOY. La sécurité d’une chambre d’hôtel se joue désormais à trois étages: la serrure elle-même, le logiciel qui la pilote, et la carte qui les relie. Tant que ces trois couches ne sont pas auditées comme n’importe quel serveur de paiement, le port de service de 2012 continuera de payer.
Kr00K (CVE-2019-15126) : des puces Wi-Fi chiffraient des trames avec une clé nulle. Corrigé en 2019-2020, le sujet reste le micrologiciel des bornes d’hôtels.
La technique Unsaflok ouvrait toute serrure Dormakaba Saflok avec deux cartes forgées. Une backdoor matérielle frappe aussi des cartes MIFARE Classic d’hôtels.
Trustwave, Imperva et Visa documentent des tests de cartes volées sur les moteurs de réservation hôteliers. Un phénomène persistant, pas un incident unique.