「欠陥が見つかったホテルのカードキーシステム、メーカーはホテル側に交換費用の負担を求める 」記事へのコメント

これって

[Anonymous Coward]

充電用のDCコネクターをデータ転送用ポートにしないファームで上書きでOKじゃね？
以降の書き換えはできなくなるけどさ

Re:

[Anonymous Coward]

なぜ書き換え出来るようになっているかというと、キーの紛失・盗難等に備えてのことなので、それでは困るホテルも多いはず

組込系でセキュリティというかリバースエンジニアというか、そのあたりのことにいろいろ気をつかってるところはマイコン等の書き換え用のISPやJTAGポートのコネクタのピンアサインを意図的に入れ替えたり、信号の極性を反転させたりとかしてるんですけどね
うちはデバッグ用の通信ポートに非同期シリアルではなく同期シリアルを使うことを検討したことがあるけど（今時は同期シリアルにも対応したRS-232Cポートを持っている機器は少ない）

Re:これって

[annoymouse coward (11178)]

> ピンアサインを意図的に入れ替えたり、信号の極性を反転

この程度の対策しかされてなかったから
ホテルのカードキーシステムもArduinoで解錠可能になったんじゃないかな？

ピンアサインなんか基板見ればすぐ判るし，
同期シリアルでも PICとかArduinoのようなデバイスは簡単に対応できますよ．全然対策になっていません．

ピンアサインとか極性反転程度では，一旦そのカラクリがバレてしまえば，それでおしまいです．
全世界のホテル400万室分のデバイスが無意味になる．

ちゃんと公開鍵暗号などで認証を行うようにして
ホテル毎に鍵を個別に設定しておけばカラクリがバレても被害は最小限で済んだ筈です．
組み込み系の人もちゃんとセキュリティホールに気を使って欲しいものです．

Re:

[Anonymous Coward]

もしWebアプリでプロトコルやアルゴリズムの秘匿をセキュリティです(ﾄﾞﾔｧと称したらフルボッコにされるよねー

Re:

[Anonymous Coward]

で、それらのコストは最終的に宿泊代ということで客が支払うわけですね。

Re:

[Anonymous Coward]

> ちゃんと公開鍵暗号などで認証を行うようにして
> ホテル毎に鍵を個別に設定しておけばカラクリがバレても被害は最小限で済んだ筈です．

（錠前みたいなものに一体いくらのコストが許されると思っているかは置いといて）
簡単に言うけど、商流や物流のこと考えてないでしょ。
物理的な「商品」が流れていくんだから、そんなに簡単な話じゃない。
錠前がどういう商流・物流になってるか知らないけど、
ホテルごとに設定なんてやったら
１）ホテルごとの受注生産になっちゃう
２）施工業者に鍵ペア生成と１つずつの書き込み（と管理）をやらせる
のどちらかになる。（他にも方法はあるかもしれないけど