Question:
Un crochetage de serrure peut-il lentement miner la sécurité d'une porte à pêne dormant?
Village
2014-11-25 09:55:16 UTC
view on stackexchange narkive permalink

J'ai un espace pour les ordinateurs sécurisé avec un simple pêne dormant. Quelqu'un n'arrête pas de venir crocheter la serrure. En travaillant là-bas, je les ai effrayés trois fois.

Il y a des caméras, mais pas dans les endroits utiles ni dans toutes les sorties et le gestionnaire du bâtiment ne me laisse pas faire passer les câbles pour plus. J'ai contacté la police, mais c'est peut-être une faible priorité pour eux.

À chaque visite ultérieure, est-ce qu'un crochoir à serrure gagne en progrès pour saper la capacité de la porte à rester à l'extérieur? Pourraient-ils faire quelque chose à la porte à chaque fois qui les rapproche de la possibilité d'ouvrir la serrure très rapidement? Puis-je faire quelque chose pour empêcher leur capacité à crocheter la serrure?

Pour ce que ça vaut: les caméras peuvent également être placées sans fil.
Les caméras @DennisJaheruddin, sans fil peuvent être bloquées ... [trivialement] (http://hackaday.com/2011/10/04/wifi-jamming-via-deauthentication-packets/)
@MikePennington Juste après avoir lu qu'il a échoué trois fois et qu'il revient toujours, je pense qu'il y a une chance que nous ne soyons pas exactement confrontés à un génie.
@Dennis si le monde n'était pas plein de crétins, nous pourrions nous en sortir avec de faibles contre-mesures
Êtes-vous sûr qu'ils ne sont pas déjà entrés par cette porte dans un temps inaperçu? Et maintenant revenez pour lire le HW-Keylogger par exemple?
@Village Je suis confus. Comment les avez-vous effrayés sans pouvoir les identifier? Voulez-vous dire que vous entendez un bruit de l'autre côté de la porte, mais lorsque vous l'ouvrez, ils sont partis? Veuillez décrire comment vous les effrayez. Tout cela est peut-être dans votre tête ...
Entre autres choses, il y a un danger non négligeable que le gars bloque la serrure (casse une pioche à l'intérieur, etc.), donc j'espère qu'il y a d'autres moyens d'entrer dans la zone.
Un bouclier fixé à la porte qui vous obligeait à tendre la main sous le bouclier pour insérer une clé rendrait la cueillette beaucoup plus difficile.
Essaie-t-il vraiment de crocheter la serrure, ou utilise-t-il un décodeur de sélection (ou un appareil similaire) pour essayer de créer une clé par la suite ...
Quelqu'un a-t-il mentionné l'importance de la * journalisation * (a) des tentatives de crochetage de la serrure et (b) des efforts pour amener le gestionnaire du bâtiment à ajouter des caméras? De cette façon, si le cueilleur finit par passer, vous pouvez prouver qui est vraiment en faute, ce qui protégera au moins votre travail.
@Village - Vous voudrez peut-être consulter august.com Ils viennent de présenter un verrou BlueTooth que vous pourriez utiliser, en conjonction avec un pêne dormant unilatéral comme celui-ci: http://www.amazon.com/Design-House-750869- Pêne dormant simple / dp / B000KE2RNO / ref = sr_1_1? Ie = UTF8 & qid = 1417028921 & sr = 8-1 & keywords = interior + deadbolt & pebp = 1417028927011 et supprimez l'accès extérieur pour le prélèvement.
1) obtenez un meilleur verrou de sécurité OU 2) achetez quelques chaînes et ajoutez quelques verrous supplémentaires avec une sorte de cloche qui émet un son au toucher ;-)
@MrWonderful: Attention!Le [August Smart Lock] (http://august.com/products/august-smart-lock/) utilise la norme Bluetooth v4.0 Smart (Low energy), ** qui est cassée. ** Voir [le discours de Mike Ryan.] (https://lacklustre.net/bluetooth/#talks) Les personnes qui suivent vos conseils auront un faux sentiment de sécurité.:-)
Six réponses:
#1
+54
R15
2014-11-25 13:45:08 UTC
view on stackexchange narkive permalink

La réponse à votre question est oui, mais la question de savoir si cela les aidera réellement dépend de la serrure et de leur «compétence».

Avec un pêne dormant typique (à cylindre?), des tentatives répétées peuvent faire avancer un impression d'attaque avec une clé vierge (voir la réponse de tylerl pour plus de détails), si vous utilisez des outils de sélection, les visites supplémentaires amélioreront la sensation de la serrure et en théorie rendront le temps de la prendre plus rapidement, mais il convient de noter qu'une personne compétente en il est peu probable que le crochetage des serrures nécessite plusieurs tentatives contre une simple serrure à pêne dormant.

Les serrures à tambour à levier, telles qu'utilisées dans certaines serrures à mortaise, prennent plus de temps choisir, donc installer l'un de ceux-ci (au moins 5 leviers est généralement accepté comme nécessaire) pourrait être une bonne option. Plusieurs tentatives contre ce type de verrou sont probablement nécessaires pour développer une attaque réussie contre celui-ci, ce qui vous donnera plus d'opportunités d'attraper quelqu'un.

Restreindre l'accès au verrou afin qu'il soit plus difficile d'utiliser le verrou- les outils de crochetage peuvent être efficaces en fonction de la serrure et de l'installation, en général, une clé a besoin de moins d'espace pour fonctionner que les outils de crochetage.

Mais si quelqu'un est déterminé, peu importe la serrure que vous installez, avec le temps et patience, toute serrure peut être vaincue (éventuellement) ...

Selon la disposition du bâtiment, la porte pourrait être verrouillée de l'intérieur en dehors des heures d'ouverture, de sorte que les seules entrées disponibles pour l'attaquant sont celles qui sont couvert par l'installation de caméra existante.

Si une serrure à mortaise ne les décourage pas et que vous ne pouvez pas verrouiller de l'intérieur, le refus d'installer une caméra supplémentaire est une acceptation implicite du risque par le gestionnaire de l'immeuble - à condition cette personne est autorisée à accepter le risque il y a peu plus qui peut être fait.

Et d'ajouter, puisqu'il s'agit d'un site de sécurité de l'information, les ordinateurs qui se trouvent derrière cette porte potentiellement non sécurisée, qui est soumise à une menace observée devraient:

  • Avoir des mots de passe forts configurés (y compris le BIOS) et ne jamais rester connecté;
  • Désactiver les interfaces USB, etc. pour empêcher l'introduction de logiciels malveillants;
  • Être configuré avec un cryptage complet du disque afin que si l'attaquant entre et vole des machines, elles n'ont qu'une valeur matérielle;
  • Stockez toutes vos sauvegardes et supports amovibles ailleurs;
  • Effectuez des vérifications quotidiennes pour s'assurer qu'aucun matériel non autorisé n'a été installé (renifleurs de paquets, enregistreurs de frappe, etc.).
Oubliez d'être vaincu par le crochetage, si je considérais les informations suffisamment précieuses, j'achèterais (fabriquerais?) Un lot d'explosifs. Ou, selon la porte, une tronçonneuse. Ce serait ** vraiment ** évident (et susceptible d'alerter quelqu'un), mais idéalement, je pourrais simplement saisir la machine et l'exécuter en une minute.
@Clockwork-Muse un pied bien placé vous mènera dans de nombreux bâtiments, pour tout le reste, il y a le [tuyau en caoutchouc à la méthode de garde de sécurité] (http://xkcd.com/538/)
@Clockwork-Muse Ce ne sont pas les films. L'utilisation d'explosifs augmenterait considérablement les peines pour se faire prendre. Cela augmenterait également sérieusement les chances de se faire prendre en augmentant le niveau d'intérêt des forces de l'ordre de «Ouais, peu importe» à «Possible terroriste».
J'ai oublié d'imprimer dans la réponse originale ... maintenant ajouté. Je n'ai pas inclus beaucoup de détails parce que Tylerl a posté le détail avant que je fasse rédiger quelque chose.
Quand vous dites [Verrouillage à mortaise] (https://en.wikipedia.org/wiki/Mortise_lock), voulez-vous vraiment dire quelque chose de plus comme un [verrou à levier] (https://en.wikipedia.org/wiki/Lever_tumbler_lock )? Je peux me tromper, mais il semble que Mortise concerne plus le facteur de forme que le type de serrure et de clé.
@MichaelKjörling oui c'est ce à quoi je fais référence - où je suis la grande majorité des serrures à mortaise sont des serrures à levier et je n'étais évidemment pas au courant des implications ailleurs, je modifierai la réponse pour la clarifier.
#2
+52
tylerl
2014-11-26 09:25:08 UTC
view on stackexchange narkive permalink

Oui, il y a une attaque classique qui implique un accès incrémentiel.

L'attaquant commence avec une clé vierge qui s'insère dans la serrure en question.

L'attaquant s'approche de la porte, met la clé dedans, secoue un peu la clé, grogne quelque chose sur la façon dont les numéros de bureau changent et part.

Puis, en privé, il examine le motif d'impression sur la clé. Là où il y a des preuves que les broches étaient liées, il classe un peu la clé. Chaque jour, il visite la porte avec sa clé de plus en plus classée, et chaque jour il la classe progressivement un peu plus, en utilisant le modèle d'impression dans la clé comme guide.

Puis, un jour, il aura classé la clé correspondant à toutes les broches, et la porte s'ouvrira.

Cette attaque a l'avantage de ne pas ressembler à une attaque. Cela ressemble à un locataire perdu qui visite brièvement la mauvaise porte, puis s'en va une fois qu'il a réalisé son erreur. Et quand il aura terminé, il aura une clé fonctionnelle.

La plupart des serrures de porte aux États-Unis sont des serrures à goupille. Une serrure à goupille utilise un ensemble de broches qui sont fendues à différents endroits sur leur longueur. Lorsque la clé correcte est insérée, les points de fente s'alignent tous au niveau de la ligne de cisaillement du bouchon rotatif et le verrou peut être ouvert. Le problème avec l'attaque «classique» décrite est que TOUTES les broches appliquent généralement une pression ÉGALE sur une ébauche de clé car toutes les broches sont enfoncées dans la clé avec des ressorts similaires. Voir http://en.wikipedia.org/wiki/Pin_tumbler_lock. J'aimerais voir une référence ou un lien, si vous en avez un, de cette attaque utilisée.
@MrWonderful ne sais pas si c'est le genre de chose que vous recherchez? http://www.youtube.com/watch?v=Bj9KEmLWRek
Une partie de la suie restera-t-elle visible sur la serrure?
@Village tandis que la technique que j'ai apprise utilisait de la suie pour améliorer les marques faites par les broches, en regardant les vidéos, vous pouvez voir qu'aujourd'hui cela se fait à l'aide d'une clé propre normale, avec un grossissement pour voir les rayures dans le métal. Aucun signe d'altération ne doit donc être présent.
Pourquoi quelqu'un ferait-il cela alors qu'une simple clé à cliquet ouvre une serrure à tambour en 5 secondes chrono?
@CarlWitthoft ne pouvez-vous vraiment pas trouver d'idées?
@tylerl eh bien non ... quels sont les verrous de votre maison?
#3
+30
Tinned_Tuna
2014-11-25 17:19:35 UTC
view on stackexchange narkive permalink

Le choix de votre serrure compte une quantité surprenante.

Il existe des verrous qui n'ont pas été vaincus par des mécanismes «secrets» (crochetage, pioche, etc.) dans la littérature ouverte. Les serrures de retenue de disque d'Abloy et un autre type (je pense que c'était une serrure en plastique d'une filiale de Kaba?) Sont deux de ces serrures. Le remplacement de la serrure peut être un recours approprié, si vous êtes prêt à éclabousser un peu par serrure.

Certaines serrures qui n'ont pas encore été choisies dans la littérature ouverte sont faciles à vaincre - mais c'est extrêmement perceptible. Il me semble que cela ne vous convient pas. Les bons verrous de retenue de disque sont connus pour être difficiles à compromettre en peu de temps.

Pour même penser à choisir un verrou de retenue de disque décent , vous avez besoin quelque chose au-delà de la clé à torsion standard des tourbières crochet &.

Autre que cela, il y a une vaste gamme de questions à poser.

Pourquoi la personne crochète-t-elle la serrure de la porte? S'agit-il d'une porte extérieure dans vos locaux ou est-ce la serrure du centre de données? Si oui, comment sont-ils arrivés si loin? Pourquoi l'attaquant ne brise-t-il pas la porte? Pourraient-ils déjà avoir violé les locaux et tenter de récupérer quelque chose (par exemple, un enregistreur de frappe, un renifleur de paquets, etc.)? Quelle est la qualité de votre système d'alarme à l'intérieur de la porte? Est-il réglé lorsque vous partez? À quelle vitesse votre équipe de sécurité réagit-elle lorsque cette alarme se déclenche? L'attaquant peut-il entrer et sortir avant d'être appréhendé? Avez-vous testé cela? Y a-t-il d'autres points d'entrée qui pourraient présenter un risque? Étant donné que votre modèle de menace implique clairement des personnes disposées à crocheter des serrures, vous devez prendre en compte des éléments tels que le levage de carreaux de plafond suspendu et le passage par-dessus de portes, etc. Pouvez-vous vous organiser pour obtenir une identification positive de l'attaquant, en supposant que ce soit le même à chaque fois? Pouvez-vous définir une alarme sur l'endroit d'où l'attaquant tente d'attaquer - c'est-à-dire le détecter avant qu'il n'atteigne la porte? S'il s'agit d'un centre de données, le matériel est-il dans des cages verrouillées ou «ouvertes»? Pouvez-vous mettre plusieurs serrures sur la porte (par exemple, un levier-culbuteur avec mécanisme de reverrouillage le long d'un verrou à goupille, ou autre serrure plus "difficile" - les barres latérales semblent être populaires, mais attention, certaines sont appelées barres latérales régionales , et peut être considéré comme "de notoriété publique" dans une certaine mesure)

Pour la plupart, votre système de sécurité semble fonctionner. Vous savez combien de temps prend votre réponse, vous avez notifié les forces de l'ordre locales, le verrou tient suffisamment longtemps pour que vous puissiez répondre correctement.

Si vous choisissez à plusieurs reprises une serrure, cela devient souvent plus facile, car vous commencez à avoir une idée de cette serrure particulière (par exemple pour un goupille, vous remarquerez peut-être que la broche 1 se place en premier, puis la broche 4. Pin 3 est une broche de sécurité) etc. afin que vous puissiez être plus rapide à un verrou particulier, mais cela dépend fortement du niveau de compétence & de type de verrou de l'attaquant. En tant que tel, vous voudrez commencer à obtenir une identification positive de cette attaque et à leur refuser l'accès à la serrure, ou à les jeter en prison. Si ce n'est pas une option, vous serez peut-être coincé à changer ou à réépingler le verrou périodiquement (par exemple après X tentatives détectées, sélectionnez X judicieusement), ce qui est coûteux.

Un verrou légèrement plus cher avec un re -un mécanisme de verrouillage pourrait être un bon moyen de dissuasion. Les verrous à levier de style Chubb sont bon marché par rapport aux bons détentions de disque, et vous alertent souvent sur le fait que quelqu'un a essayé de le prendre lors de votre prochaine tentative de déverrouillage, car leur mécanisme de re-verrouillage se sera déclenché , et la serrure ne s'ouvrira pas sans une clé spéciale.

Si vous suivez la ligne de (quelque chose comme) un verrou de retenue de disque, faites-vous des recherches. La plupart des versions imbattables et bon marché du verrou de retenue de disque sont sensibles aux attaques qui sont à la fois rapides et simples . De plus, ils ne résistent pas bien aux attaques physiques (le perçage est le principal mécanisme des serrures montées sur la porte).

Parlez à un serrurier qualifié, un bon doit être assez bien informé à ce sujet, et devrait être en mesure de vous aider à faire un choix approprié de serrure.

* "... la serrure tient assez longtemps pour que vous puissiez répondre adéquatement." * C'est la seule raison pour laquelle vous changez la serrure, s'il y a un besoin. Si vous n'avez pas d'alerte lorsque la porte est ouverte et que vous ne la vérifiez que deux fois par jour, vous devez utiliser une serrure qui gardera un sélecteur déterminé pendant 12 heures. Si vous ne pouvez pas changer la serrure, vous devez changer le temps de réponse - et un carillon de porte sans fil peut réduire suffisamment le temps de réponse si les caméras ne sont pas une option.
Ce n'est pas tout à fait vrai, comme avec certains mécanismes, la connaissance de la construction de chaque verrou de verrouillage particulier est très utile (par exemple, déterminer où se trouvent les broches de sécurité). Cela réduirait le temps nécessaire aux attaquants pour compromettre le verrou. Ergo, vos temps de réponse peuvent devenir inadéquats à un moment donné dans le futur - sauf si vous avez des alarmes d'entrée et un bon temps de réponse pour une entrée non autorisée.
#4
+12
willc
2014-11-26 03:23:06 UTC
view on stackexchange narkive permalink

En tant qu'ancien serrurier, je peux vous fournir un «non» qualifié. Il n'est pas possible de crocheter progressivement une serrure, surtout s'il s'agit d'un pêne dormant de type goupille standard (Kwikset, Schlage, Baldwin, etc.).

Une chose que vous pouvez faire pour vous assurer que la serrure est «réinitialisée» est de coller la clé dedans, puis de la retirer - la tourner n'est pas nécessaire. Cela forcera toutes les broches bloquées à être réinitialisées à leur position par défaut. Ils ne resteraient coincés que si la serrure est usée ou est de toute façon particulièrement mauvaise. Dans tous les cas, c'est très peu probable.

Pour répondre au commentaire d'une autre personne, les serrures à mortaise ont tendance à utiliser le même type de mécanique de goupille, et bien que leur fabrication de plus haute précision et leurs goupilles supérieures en forme de champignon puissent en faire plus. difficiles à choisir, ils fonctionnent selon le même principe que les pênes dormants bas de gamme que vous pouvez acheter et n'importe quelle quincaillerie, et peuvent être contournés par un crochoir de serrure bien entraîné.

Il est tout à fait possible d'acheter un verrou supérieur. -end verrou qui déjouera la plupart des tentatives de prélèvement. Medeco, Assa et certains autres fabricants les fabriquent. Si vous installez l'un de ceux-ci, votre principale préoccupation est de contrecarrer une entrée forcée, pas de crocheter.

Qu'en est-il des trucs [comme ça?] (Http://security.stackexchange.com/a/73665/21108)
Ils appellent cela l'impression d'une clé, et c'est très, très difficile à faire. Je l'ai essayé plusieurs fois, j'ai été enseigné par quelqu'un qui pouvait le faire et j'ai rarement réussi. En d'autres termes, il est très peu probable que cela fonctionne.
#5
+5
Lilienthal
2014-11-26 05:27:45 UTC
view on stackexchange narkive permalink

La sécurité de votre pêne dormant ne semble pas aussi importante que le manque de surveillance sur la porte. Même le criminel le plus braindead finira par réaliser la valeur d'un coupe-boulon, à quel point toute la discussion devient sans objet.

Si une couche particulière de votre sécurité (généralement la plus extérieure) est vulnérable lorsque vous le pouvez Vous avez deux options: dissuader un attaquant de tenter une attaque contre lui ou ajouter une autre couche.

#6
-3
kravmagahacker
2014-11-26 07:18:12 UTC
view on stackexchange narkive permalink

Oui. Les tentatives continues de serrure augmentent les chances d'un lockpicker de la crocheter. À chaque essai, ils ont une meilleure idée de la façon de placer les ancres et les râteaux.

Si vous cherchez à dissuader l'intrus, vous pouvez configurer un courant avec peut-être 3 piles D ou plus et ( faites attention au nombre que vous en utilisez, vous ne voulez pas blesser gravement qui que ce soit) faites-le passer à travers la serrure, vous pouvez ajouter du plastique ou de la fibre de verre au bout de votre clé pour l'empêcher de vous affecter et un interrupteur dans la pièce pour plus de facilité de désarmement.

1) a modifié votre deuxième réponse en ceci. 2) Je doute que le courant des batteries fasse autre chose que passer à travers la serrure elle-même. Le chemin de moindre résistance ne passerait pas par une personne au bout d'un bâton.
Vous avez besoin de plus que les 4,5 V que vous obtenez des cellules 3 D pour délivrer un choc qui pourrait être ressenti. Les clôtures électriques et les aiguillons à bétail fonctionnent à une tension beaucoup plus élevée, mais sont soigneusement conçus pour ne pas fournir une quantité d'énergie dangereuse à la victime. Cela dit, électrifier le bouton n'est pas une solution sensée, et il est presque certain de créer une responsabilité si ce n'est pas tout à fait illégal.


Ce Q&R a été automatiquement traduit de la langue anglaise.Le contenu original est disponible sur stackexchange, que nous remercions pour la licence cc by-sa 3.0 sous laquelle il est distribué.
Loading...