Zutrittssysteme von ICT für Klonen von Zugangsdaten anfällig

Die Zutrittssicherungssysteme von ICT der Protege-Reihen erlauben Angreifern, Zugangsdaten zu klonen. Betroffen ist die Standardverschlüsselung, die ICT verwendet.

In einer Sicherheitsmitteilung erklärt ICT, dass die Mifare- und Desfire-Karten, -Tags und -Schlüsselanhänger mit Werkseinstellungen verwundbar sind. "Die unsichere Speicherung der ICT Mifare und Desfire Verschlüsselungs-Keys in der Firmware-Binärdatei erlaubt bösartigen Angreifern, für jeden Standort-Code und -Kartennummer Zugangsdaten zu erstellen, die die Standardverschlüsselung von ICT nutzen", fasst der Hersteller das Problem zusammen (CVE-2024-29941, kein CVSS-Wert, Risiko "hoch").

Unsichere Schlüsselspeicherung: Abhilfe möglich

ICT empfiehlt, Zwei-Faktor-Authentifizierung zu aktivieren – an allen Türen, die Lesegeräte mit PIN-Eingabe installiert haben. Das senke das Risiko, dass jemand Zugangsdaten nutzt, die mit den öffentlich verfügbaren Schlüsseln erzeugt wurden. Als weitere Gegenmaßnahme schlägt ICT vor, eigene Schlüssel individuell für die einzelnen Kundenstandorte zu erstellen. Auch das verhindere die Nutzung von Karten, die von Dritten mit Zugangsdaten versehen wurden, die auf den öffentlich gemachten Schlüsseln erstellt sind.

ICT schreibt, dass diese Lücke derzeit noch nicht aktiv missbraucht werde. Zumindest liegen ICT zum Zeitpunkt der Veröffentlichung keine entsprechenden Hinweise vor, schränkt das Unternehmen ein.

Lesen Sie auch

l+f: "Unsaflok" – unsichere Hotel-Türschlösser

Die Sicherheitslücke erinnert ein wenig an die kürzlich bekannt gewordene Unsaflok-Schwachstelle. Durch eine Kombination von Sicherheitslecks der Dormakaba Saflok-Schlösser ließen sich Schlüsselkarten mit Mifare-Chips fälschen und Millionen von Schlössern etwa in Hotels öffnen. Bis zum März dieses Jahres konnte der Hersteller rund ein Drittel der betroffenen Schlösser mit Fehlerkorrekturen ausstatten.

(dmk)