Mobilnøkler på hotell kan være tryggere enn plastkort: de er kryptert, begrenset til oppholdet, knyttet til en låst telefon og kan tilbakekalles når som helst. Risikofrie er de likevel ikke. Forskere har vist angrep der et avlyttet signal spilles av på nytt, og svake administratorpassord, så sikkerheten avhenger av fastvaren i låsene, nøkkelplattformen og rutinene deres.
Kort fortalt
En mobilnøkkel har beskyttelse som et plastkort mangler: kryptering, begrensninger til bestemte dører og datoer, telefonens egen lås og tilbakekalling på avstand. Men nøkkelen er bare én del av et system som også omfatter fastvaren i låsene, låsprogramvaren, administratorkontoer, nøkkelplattformen og menneskene som drifter dem. Som en sikkerhetsekspert sa til NerdWallet, gir ikke «kryptering alene» sikkerhet. De dokumenterte hendelsene nedenfor viser hvor hullene har vært.
Slik beskyttes en mobilnøkkel på hotell
Hvert lag begrenser skaden hvis et annet svikter.
1. Kryptering
FLEXIPASS genererer en kryptert digital nøkkel og overfører den til gjestens telefon via datatilkobling. For Mobile Keys lagres nøkkelen i et sikkert hvelv på telefonen, og appen bruker Bluetooth til å opprette en gjensidig autentisert, kryptert kanal til en kompatibel Bluetooth-lås. Wallet Keys lagres i telefonens innebygde sikkerhetselement.
2. Begrenset i tid og til bestemte dører
En nøkkel gir adgang til tildelte dører i et valgt tidsrom. Den er ikke et generelt adgangskort til hele bygningen. Hotellet bestemmer hvilke områder hver gjest kan åpne.
3. Telefonens egen lås
I de fleste tilfeller er telefonen beskyttet med PIN-kode, Touch ID eller Face ID, så den som finner telefonen, kommer ikke lett til nøkkelen. Et plastkort har ingen tilsvarende beskyttelse.
4. Tilbakekalling på avstand
Hvis en telefon blir borte, gir gjesten beskjed til hotellet. Hotellet kan utstede en ny nøkkel eller et fysisk nøkkelkort som overstyrer den tidligere digitale nøkkelen, og kan tilbakekalle en digital nøkkel når som helst.
5. Tilbakekalt ved utsjekking
Nøklene er bare gyldige i tidsrommet hotellet fastsetter. Ved utsjekking tilbakekalles de, i de fleste tilfeller automatisk når PMS-et gir beskjed til FLEXIPASS. En tidligere gjest kan ikke åpne døren etter en ny innsjekking.
Hva har faktisk gått galt? (dokumenterte tilfeller)
Dette er hva offentlig tilgjengelige kilder viser, med datoer. Noe av det er gammelt, og det sier vi tydelig fra om.
- Et Bluetooth-signal spilt av på nytt i en test (2018). I en reportasje fra News4Jax 23. februar 2018 beskrev en sikkerhetsforsker hvordan han fanget opp en telefons Bluetooth-overføring av nøkkelen med en antenne og spilte den av på nytt for å åpne en lås. Han advarte også om at en angriper med administratorpassordet kunne gjøre nesten hva som helst, og sa at han ikke kjente til noen faktiske kriminelle hackerangrep.
- Et administratorpassord tilbakestilt i en test. En forsker som siteres i en NerdWallet-artikkel som er publisert på nytt på nettstedene til amerikanske TV-stasjoner, sa at teamet på én lås de undersøkte, kunne tilbakestille administratorpassordet uten autorisasjon. Den gjenpubliserte siden er ikke datert.
- Krav om løsepenger mot nøkkelsystemet på et hotell (rapportert i januar 2018). MarketScale meldte 10. januar 2018 at hackere hadde angrepet det elektroniske nøkkelsystemet på et hotell i Østerrike og stengt hotellet ute fra datasystemet sitt. Ifølge rapportene ble det betalt en løsesum på to bitcoin, og hotellet gikk tilbake til tradisjonelle nøkler.
- En svakhet i nøkkelkortene til et mye brukt RFID-låssystem for hoteller (2024). SecurityWeek meldte 22. mars 2024 at svakheten «berører mer enn tre millioner låser» på «mer enn 13 000 steder i 131 land». Med utgangspunkt i ett kort fra overnattingsstedet, selv et utløpt kort, kunne en angriper forfalske nøkkelkort fra et hvilket som helst MIFARE Classic-kort, og ett par forfalskede kort kunne åpne alle dører på overnattingsstedet. På det tidspunktet hadde «bare 36 % av de berørte låsene fått rettelsen».
- Ingen kjente tilfeller i USA, ifølge FBI (eldre opplysning). Den samme NerdWallet-artikkelen siterer FBI på at de ikke hadde sett noen kompromitterte systemer for mobilnøkler på hoteller i USA. Den gjenpubliserte siden er ikke datert, så betrakt dette som en historisk uttalelse, ikke en aktuell.
Mønsteret: de svake punktene var administratortilgang, fastvare i låsene som manglet sikkerhetsoppdateringer, og gamle kortformater. Selve telefonen var sjelden problemet.
Mobilnøkkel eller nøkkelkort: hva er tryggest?
| Funksjon | Nøkkelkort av plast | Mobilnøkkel |
|---|---|---|
| Kan den kopieres eller klones? | Eldre kortformater kan kopieres: i 2024 kunne forfalskede kort til et mye brukt RFID-låssystem lages fra et hvilket som helst MIFARE Classic-kort (SecurityWeek) | Nøkkelen er kryptert legitimasjon på telefonen. I en test i 2018 ble et avlyttet Bluetooth-signal spilt av på nytt mot én lås (News4Jax), så fastvaren i låsene er viktig |
| Hvis den blir borte | Resepsjonen koder et nytt kort | Hotellet tilbakekaller den og utsteder en ny |
| Ved slutten av oppholdet | Kortet slutter å virke; plasten blir igjen | Nøkkelen tilbakekalles ved utsjekking |
| Kan den tilbakekalles på avstand? | Nei; et nytt kort kodes i resepsjonen | Ja, når som helst |
| Beskyttet av telefonens lås? | Nei; den som har kortet, kan bruke det | I de fleste tilfeller, ja (PIN-kode, Touch ID eller Face ID) |
| Største svakhet | Gamle kortformater og låser uten sikkerhetsoppdateringer | Administratortilgang, fastvare i låsene og rutiner |
For en bredere sammenligning av kostnader og gjesteopplevelse, se digitale hotellnøkler mot nøkkelkort.
Det svakeste leddet er som regel rutinene, ikke teknologien
De fleste hendelsene ovenfor startet med noe et hotell eller en leverandør kunne kontrollere. Praktiske tiltak:
- Administratorpassord. Endre standardpassordene på kontoene i låsprogramvaren og nøkkelplattformen. Bruk et unikt, langt passord for hver konto, og begrens hvem som har administratorrettigheter.
- Personalets adgang. Gi ansatte nøkler bare til de dørene og tidspunktene de trenger, og fjern adgangen når noen slutter.
- Oppdateringer av fastvare og programvare. Spør låsleverandøren hvordan oppdateringer slippes, og hvem som installerer dem. Svakheten i nøkkelkortene fra 2024 viser hvor lang tid det kan ta før rettelser når frem til hver eneste dør.
- Mistede telefoner. Gjør tilbakekalling til en fast oppgave i resepsjonen, med et nøkkelkort klart som reserve.
- Gjestenes telefoner. Minn gjestene på å ha skjermlåsen slått på.
10 sikkerhetsspørsmål dere bør stille enhver leverandør av digitale nøkler
Bruk disse sammen med spørsmålene dere bør stille enhver leverandør av digitale nøkler:
- Hvilke nøyaktige låsmodeller og hvilken programvare støtter dere, og hvilke nøkkeltyper tillater hver enkelt?
- Hvordan er nøkkelen beskyttet på telefonen og mellom telefonen og låsen?
- Hvordan tilbakekalles nøkler: automatisk ved utsjekking, manuelt eller begge deler?
- Hvordan håndteres romflyttinger, sene utsjekkinger og kansellerte opphold?
- Hva skjer uten datatilkobling? Kan en nedlastet nøkkel fortsatt åpne døren?
- Hvilke telefoner og digitale lommebøker støttes?
- Hvem har administratorrettigheter til låssystemet og nøkkelplattformen, og hvordan er disse kontoene beskyttet?
- Hvordan leveres oppdateringer av fastvaren i låsene og appen, og hvem installerer dem?
- Hvilke adgangslogger finnes, hvem kan se dem, og hvor lenge lagres de?
- Hva er reserveløsningen når telefonbatteriet går tomt eller en nøkkel svikter?
Før utrulling bør dere sjekke låskonfigurasjonen deres.
Gjestedata og personvern
En digital nøkkel krever svært lite gjestedata. I en FLEXIPASS-integrasjon ber PMS-et eller gjesteplattformen om en nøkkel med romnummeret og dato og klokkeslett for utsjekking.
Det viktigste poenget for personvern og sikkerhet er tidspunktet. En bestilling alene skal ikke gi adgang. Identitetskontroll, betaling og klargjøring av rommet kommer først, og nøkkelen følger hotellets godkjente innsjekkingsrutine.
Spør enhver nøkkelleverandør hvilken rolle den har etter personvernregelverket (for eksempel databehandler eller behandlingsansvarlig etter GDPR), hvor gjestedataene lagres, hvor lenge de oppbevares, og om den signerer en databehandleravtale.
Hva dere bør fortelle gjestene
- Hold telefonen låst med PIN-kode, Touch ID eller Face ID.
- Gi beskjed til resepsjonen med en gang hvis telefonen blir borte.
- Ønsker dere heller et nøkkelkort, er det bare å spørre. Digitale nøkler og fysiske nøkkelkort kan brukes samtidig.
Flere svar for gjester: hva gjesten kan gjøre når mobilnøkkelen ikke fungerer.
Vanlige spørsmål
Kan mobilnøkler på hotell hackes? Forskere har vist angrep i tester, for eksempel ved å spille av et avlyttet Bluetooth-signal på nytt og tilbakestille administratorpassordet på en lås. Forskeren som ble sitert i 2018, kjente ikke til noen kriminelle tilfeller. Oppdatert fastvare i låsene og sterke administratorpassord betyr mer enn noen enkeltfunksjon.
Hva skjer hvis en gjest mister telefonen? Hotellet kan utstede en ny nøkkel eller et overstyrende nøkkelkort og tilbakekalle den gamle nøkkelen når som helst.
Kan den forrige gjesten fortsatt åpne rommet? Nei. Digitale nøkler er bare gyldige i tidsrommet hotellet fastsetter, og de tilbakekalles ved utsjekking.
Er mobilnøkler tryggere enn nøkkelkort? På flere måter: de er kryptert, kan tilbakekalles på avstand og er beskyttet av telefonens lås. Eldre kortformater kan klones, slik RFID-svakheten fra 2024 viste. Se tabellen ovenfor.
Kan en gjest kopiere et nøkkelkort av plast til Apple Wallet? Nei. En FLEXIPASS Wallet Key er en digital legitimasjon som utstedes gjennom hotellets støttede integrasjon. Den er ikke et verktøy for å skanne eller kopiere et nøkkelkort av plast.
Hvem kan se gjestedata? En nøkkelforespørsel inneholder romnummeret og dato og klokkeslett for utsjekking. Hvilke andre gjestedata en leverandør behandler, hvor og hvor lenge, bør stå i databehandleravtalen, så be om den før utrulling.