Πόσο ασφαλή είναι τα εισιτήρια RFID για εκδηλώσεις;

Όταν οι άνθρωποι ρωτούν αν τα εισιτήρια εκδήλωσης RFID είναι ασφαλή, η ειλικρινής απάντηση είναι η εξής: μπορούν να είναι πολύ ασφαλή, αλλά δεν είναι αυτόματα ασφαλή απλώς και μόνο επειδή μια εκδήλωση χρησιμοποιεί RFID. Αυτή η διάκριση έχει μεγαλύτερη σημασία απ' ό,τι αντιλαμβάνονται πολλοί διοργανωτές.

Στον χώρο των εκδηλώσεων, η έκδοση εισιτηρίων με RFID συχνά αντιμετωπίζεται σαν μια μαγική αναβάθμιση. Ακούγεται μοντέρνα, επιταχύνει την είσοδο και φαίνεται πολύ πιο δύσκολο να αντιγραφεί από ένα έντυπο χάρτινο εισιτήριο. Όλα αυτά είναι εν μέρει αληθινά. Ωστόσο, η ασφάλεια στην έκδοση εισιτηρίων εκδήλωσης με RFID δεν προέρχεται από τα γράμματα RFID και μόνο. Προέρχεται από τον τύπο τσιπ, τη διαδικασία κωδικοποίησης, τους κανόνες λογισμικού πίσω από την επικύρωση, τη διαμόρφωση αναγνώστη, τη ροή εργασίας του ελέγχου πρόσβασης και την πειθαρχία των ομάδων που διεκπεραιώνουν την εκδήλωση.

Γι' αυτό δύο εκδηλώσεις μπορούν και οι δύο να χρησιμοποιούν βραχιόλια RFID ή κάρτες RFID και να καταλήγουν με εντελώς διαφορετικά αποτελέσματα ασφάλειας. Η μία εκδήλωση αποκτά γρήγορη είσοδο, καθαρά δεδομένα και σχεδόν καθόλου απάτη. Η άλλη καταλήγει με κλωνοποιημένα διαπιστευτήρια, διπλές εισόδους και θυμωμένους επισκέπτες που ορκίζονται ότι το έγκυρο εισιτήριό τους κάπως σταμάτησε να λειτουργεί.

Έτσι, αν είστε διοργανωτής εκδήλωσης, αγοραστής πλατφόρμας έκδοσης εισιτηρίων ή διευθυντής προμηθειών που συγκρίνει επιλογές ασφαλούς έκδοσης εισιτηρίων με RFID, το καλύτερο ερώτημα δεν είναι απλώς αν τα εισιτήρια εκδήλωσης RFID είναι ασφαλή. Το καλύτερο ερώτημα είναι τι τα κάνει ασφαλή, τι τα κάνει ευάλωτα και ποιο επίπεδο προστασίας είναι ρεαλιστικό για τον δικό σας τύπο εκδήλωσης.

Γιατί τα εισιτήρια εκδήλωσης RFID μπορούν να είναι πιο ασφαλή από τα έντυπα εισιτήρια

Σε βασικό επίπεδο, τα εισιτήρια εκδήλωσης RFID είναι συνήθως πιο ασφαλή από τα συνηθισμένα έντυπα εισιτήρια, επειδή είναι πιο δύσκολο να αντιγραφούν πρόχειρα. Ένα χάρτινο εισιτήριο με ορατό barcode μπορεί να υποστεί screenshot, να προωθηθεί, να εκτυπωθεί ξανά ή να αντιγραφεί σχεδόν χωρίς καμία προσπάθεια. Ένα εισιτήριο RFID διαθέτει φυσικό τσιπ και κεραία, κάτι που από μόνο του ανεβάζει το εμπόδιο. Αυτό και μόνο σταματά μεγάλο μέρος της απάτης χαμηλής προσπάθειας.

Ωστόσο, η απάτη χαμηλής προσπάθειας δεν είναι η μόνη απάτη που έχει σημασία. Μόλις ένα εισιτήριο αποκτήσει πραγματική αξία, οι άνθρωποι αρχίζουν να αναζητούν επαναλαμβανόμενες αδυναμίες. Κάποιοι προσπαθούν να κλωνοποιήσουν αναγνωριστικά. Κάποιοι εκμεταλλεύονται κακή λογική επανεισόδου. Κάποιοι στοχεύουν σε πρόχειρες πρακτικές κωδικοποίησης. Κάποιοι δρουν μέσω εσωτερικών προσώπων, έκτακτου προσωπικού ή τρίτων διανομέων. Με άλλα λόγια, η ασφάλεια των εισιτηρίων εκδήλωσης RFID εξαρτάται λιγότερο από το γεγονός ότι υπάρχει ένα τσιπ και περισσότερο από το αν ολόκληρο το σύστημα είναι σχεδιασμένο να αντιστέκεται στην κατάχρηση.

Ένα καλοκαιρινό μουσικό φεστιβάλ στο Μπέρμιγχαμ έμαθε αυτό το μάθημα με τον δύσκολο τρόπο. Οι διοργανωτές πέρασαν από εκτυπώσιμα εισιτήρια PDF σε βραχιόλια εκδήλωσης RFID και υπέθεσαν ότι η απάτη θα μειωνόταν αυτόματα. Επιφανειακά, αυτό συνέβη. Τα πλαστά screenshots εξαφανίστηκαν. Ωστόσο, μέχρι τη δεύτερη μέρα, η ομάδα της πύλης παρατήρησε κάτι περίεργο. Μια μικρή παρτίδα βραχιολιών προκαλούσε συνεχώς έγκυρες εισόδους σε διαφορετικές πλαϊνές εισόδους μέσα σε σύντομα χρονικά διαστήματα. Το ζήτημα αποδείχθηκε ότι δεν ήταν χαλασμένο υλικό. Το φεστιβάλ είχε επιλέξει φθηνά μέσα που βασίζονταν υπερβολικά σε ένα στατικό αναγνωριστικό, και το λογισμικό επικύρωσης δεν έλεγχε με συνέπεια την κατάσταση ζωντανής εισόδου σε όλους τους αναγνώστες. Τα βραχιόλια έμοιαζαν προηγμένα, αλλά το σύστημα πίσω από αυτά ήταν υπερβολικά εμπιστευτικό.

Το τσιπ έχει σημασία, αλλά η λογική επικύρωσης έχει εξίσου μεγάλη σημασία

Αυτό το παράδειγμα δείχνει την πρώτη μεγάλη αλήθεια: το τσιπ έχει σημασία, αλλά η λογική επικύρωσης έχει εξίσου μεγάλη σημασία.

Αν ένα εισιτήριο RFID φέρει μόνο έναν αναγνώσιμο σειριακό αριθμό και το backend αντιμετωπίζει αυτόν τον σειριακό αριθμό σαν να είναι ολόκληρο το διαπιστευτήριο, η ασφάλεια είναι περιορισμένη. Αν κάποιος μπορεί να αναπαράγει αυτό το αναγνωριστικό, να το εξομοιώσει ή να περάσει ένα αντιγραμμένο διαπιστευτήριο μέσα από έναν αναγνώστη εκτός σύνδεσης ή κακώς συγχρονισμένο, η εκδήλωση έχει πρόβλημα. Γι' αυτό οι έμπειροι αγοραστές ρωτούν αν το εισιτήριο RFID χρησιμοποιεί ασφαλή μνήμη, λειτουργίες πιστοποίησης, κρυπτογραφημένους τομείς, διαφοροποιημένα κλειδιά ή δυναμική λογική επικύρωσης αντί να βασίζεται σε ένα απλό UID.

Για μια τοπική έκθεση χαμηλού κινδύνου, όπου τα εισιτήρια είναι φθηνά και η εκδήλωση διαρκεί λίγες ώρες, ένα απλούστερο μοντέλο RFID μπορεί να αρκεί. Ο εμπορικός κίνδυνος είναι μικρότερος, το κίνητρο μεταπώλησης είναι χαμηλότερο και η έκθεση στην απάτη είναι διαχειρίσιμη. Ωστόσο, για μια μεγάλη συναυλία, έναν αθλητικό αγώνα, ένα πολυήμερο συνέδριο ή μια εκδήλωση υψηλής ποιότητας VIP, οι απαιτήσεις ασφάλειας είναι πολύ διαφορετικές. Μόλις υπάρξει σπανιότητα, αξία μεταπώλησης, πρόσβαση στα παρασκήνια, προνόμια φιλοξενίας ή είσοδος σε πολλαπλές ζώνες, η αδύναμη αρχιτεκτονική εισιτηρίων γίνεται δαπανηρή πολύ γρήγορα.

Ένα συνεδριακό κέντρο στη Σιγκαπούρη το ανακάλυψε αυτό κατά τη διάρκεια μιας έκθεσης τεχνολογίας με διαβαθμισμένα προνόμια συμμετεχόντων. Απλοί επισκέπτες, προσκεκλημένοι μέσων ενημέρωσης, εκθέτες και αγοραστές VIP έφεραν όλοι κονκάρδες RFID. Στα χαρτιά, το σύστημα φαινόταν οργανωμένο. Στην πράξη, πάρα πολλή λογική πρόσβασης ήταν αποθηκευμένη με τρόπο που μπορούσε να εκδοθεί εκ νέου πολύ εύκολα σε ένα δορυφορικό γραφείο εγγραφής. Ένας έκτακτος εργαζόμενος βοήθησε έναν φίλο να αναβαθμίσει ένα γενικό πάσο σε πρόσβαση στο lounge χρησιμοποιώντας έναν κακώς ελεγχόμενο σταθμό κωδικοποίησης. Δεν ενεπλάκη κάποιος εξελιγμένος χάκερ. Το αδύναμο σημείο ήταν ο έλεγχος έκδοσης. Ο διοργανωτής αργότερα περιόρισε τα δικαιώματα των χειριστών, διαχώρισε την εκτύπωση κονκάρδων από την ενεργοποίηση προνομίων και απαίτησε εξουσιοδότηση από το backend προτού τεθεί σε ισχύ οποιαδήποτε αλλαγή επιπέδου. Η επόμενη διοργάνωση κύλησε πολύ πιο ομαλά.

Η ασφαλής κωδικοποίηση και έκδοση είναι κρίσιμες

Αυτή είναι η δεύτερη αλήθεια: τα ασφαλή εισιτήρια εκδήλωσης RFID εξαρτώνται σε μεγάλο βαθμό από την ασφαλή κωδικοποίηση και έκδοση.

Μεγάλο μέρος της απάτης ξεκινά πολύ πριν φτάσει ένας επισκέπτης στην πύλη. Ξεκινά όταν κενά μέσα, αρχεία κωδικοποίησης, πρότυπα πρόσβασης ή δικαιώματα επανέκδοσης χειρίζονται απρόσεκτα. Ακόμη και ισχυρά τσιπ μπορούν να υπονομευτούν από αδύναμο έλεγχο διαδικασίας. Αν πάρα πολλοί άνθρωποι μπορούν να κωδικοποιήσουν εισιτήρια, αν τα κατεστραμμένα εισιτήρια δεν συμφιλιώνονται, αν η δραστηριότητα των χειριστών δεν καταγράφεται ή αν τα διαπιστευτήρια αντικατάστασης δεν ακυρώνουν αμέσως το πρωτότυπο, η απάτη γίνεται πολύ ευκολότερη απ' ό,τι περιμένουν οι αγοραστές.

Αυτός είναι ένας λόγος για τον οποίο τα σοβαρά έργα ελέγχου πρόσβασης εκδηλώσεων αντιμετωπίζουν την έκδοση εισιτηρίων ως δικό της επίπεδο ασφάλειας. Το σύστημα θα πρέπει να γνωρίζει ποιος κωδικοποίησε το διαπιστευτήριο, πότε κωδικοποιήθηκε, από ποια παρτίδα προήλθε, ποιο σύνολο προνομίων εφαρμόστηκε και αν το διαπιστευτήριο έχει ποτέ επανεκδοθεί ή τροποποιηθεί. Αυτό το επίπεδο ιχνηλασιμότητας δεν είναι εντυπωσιακό, αλλά συχνά είναι αυτό που ξεχωρίζει ένα ασφαλές πρόγραμμα έκδοσης εισιτηρίων RFID από ένα εύθραυστο.

Ο τύπος διαπιστευτηρίου μπορεί να αλλάξει το αποτέλεσμα ασφάλειας

Η φυσική μορφή έχει επίσης σημασία. Τα εισιτήρια εκδήλωσης RFID μπορούν να έρθουν ως χάρτινα ένθετα, κάρτες PVC, υφασμάτινα βραχιόλια, βραχιόλια σιλικόνης, υφαντές ταινίες, κονκάρδες ή υβριδικά διαπιστευτήρια. Κάθε μορφή επηρεάζει την ασφάλεια διαφορετικά. Μια άκαμπτη κάρτα RFID μπορεί να υποστηρίζει ισχυρή ψηφιακή ασφάλεια, αλλά αν είναι εύκολο να δοθεί σε κάποιον άλλο μετά την είσοδο, εξακολουθεί να δημιουργεί λειτουργικό κίνδυνο. Ένα βραχιόλι RFID με ένδειξη παραβίασης μπορεί να προσφέρει λιγότερη ευελιξία αλλά ισχυρότερο έλεγχο στη μεταβίβαση. Η καλύτερη επιλογή εξαρτάται από την εκδήλωση.

Ένας φορέας εκμετάλλευσης υδάτινου πάρκου στη Βαλένθια πέρασε από επαναχρησιμοποιούμενες κάρτες RFID σε βραχιόλια RFID μίας χρήσης, αφού ανακάλυψε ότι οι επισκέπτες μοιράζονταν προνόμια υψηλής ποιότητας πρόσβασης μεταξύ οικογενειακών ομάδων. Οι ίδιες οι κάρτες δεν κλωνοποιούνταν. Απλώς δίνονταν από τον έναν στον άλλο. Μόλις ο φορέας εκμετάλλευσης πέρασε σε βραχιόλια με ισχυρότερο σχεδιασμό σύσφιξης και συνέδεσε κάθε διαπιστευτήριο με χρονικά καθορισμένα δικαιώματα, η κατάχρηση μειώθηκε απότομα. Η τεχνολογία δεν έγινε μαγικά ασφαλέστερη μέσα σε μια νύχτα. Ο διοργανωτής απλώς ταίριαξε τον τύπο διαπιστευτηρίου με το πραγματικό μοτίβο απάτης.

Αυτό αξίζει να το θυμόμαστε, γιατί δεν είναι όλα τα προβλήματα ασφάλειας προβλήματα κυβερνοασφάλειας. Κάποια είναι απλώς προβλήματα μεταβίβασης, προβλήματα ροής εργασίας ή προβλήματα ανθρώπινης συμπεριφοράς.

Οι κανόνες επανεισόδου και ο συγχρονισμός των αναγνωστών μπορούν να δημιουργήσουν κίνδυνο

Μια άλλη κοινή αδυναμία εμφανίζεται στους κανόνες επανεισόδου. Οι ομάδες εκδηλώσεων θέλουν η είσοδος να είναι ομαλή, γι' αυτό επιτρέπουν προσωρινή επικύρωση εκτός σύνδεσης ή χαλαρά παράθυρα επανεισόδου. Η πρόθεση είναι λογική. Το πρόβλημα ξεκινά όταν αυτές οι λειτουργικές συντομεύσεις αφήνονται πολύ χαλαρές.

Σε ένα ποδοσφαιρικό στάδιο στην Πόλη του Μεξικού, αρκετές εξωτερικές πύλες χρησιμοποιούσαν φορητούς αναγνώστες κατά τις ώρες αιχμής άφιξης. Αυτές οι συσκευές προορίζονταν να συγχρονίζονται τακτικά με το κεντρικό σύστημα, αλλά κατά τη διάρκεια ενός ντέρμπι, οι καθυστερήσεις δικτύου άφησαν κάποιους αναγνώστες να λειτουργούν με παρωχημένα δεδομένα κατάστασης για περισσότερο από το αναμενόμενο. Μια χούφτα κλωνοποιημένων ή επαναχρησιμοποιημένων εισιτηρίων RFID πέρασαν, επειδή οι συσκευές δεν είχαν λάβει τις τελευταίες ενημερώσεις anti-passback. Το κεντρικό σύστημα δεν ήταν τυφλό, αλλά ήταν αρκετά αργό ώστε να έχει σημασία μέσα στο πλήθος. Μετά από αυτό, το στάδιο συντόμευσε τα παράθυρα αποδοχής εκτός σύνδεσης, βελτίωσε την πειθαρχία συγχρονισμού και περιόρισε τη λειτουργία εφεδρείας σε σαφώς καθορισμένες λειτουργικές έκτακτες ανάγκες.

Αυτό οδηγεί στην τρίτη αλήθεια: ένα εισιτήριο RFID είναι τόσο ασφαλές όσο οι ζωντανοί κανόνες απόφασης γύρω του.

Η καλή ασφάλεια εισιτηρίων εκδήλωσης δεν αφορά μόνο την ανάγνωση ενός τσιπ. Αφορά την απόφαση αν αυτό το εισιτήριο πρέπει να γίνει δεκτό αυτή τη στιγμή, σε αυτή την είσοδο, για αυτό το άτομο, υπό αυτές τις συνθήκες. Αυτό σημαίνει ότι το ασφαλές σύστημα έκδοσης εισιτηρίων RFID θα πρέπει να λαμβάνει υπόψη το ιστορικό εισόδου, τον τύπο εισιτηρίου, τη ζώνη του χώρου, το παράθυρο ισχύος, την πολιτική επανεισόδου και μερικές φορές το πλαίσιο λογαριασμού ή εγγραφής. Όσο πιο πολύτιμη είναι η πρόσβαση, τόσο πιο σημαντική γίνεται αυτή η πολυεπίπεδη απόφαση.

Ένα φεστιβάλ κινηματογράφου στο Τορόντο το χειρίστηκε καλά αυτό με πάσο υψηλής ποιότητας προβολών. Κάθε κονκάρδα RFID συνδεόταν όχι μόνο με το προφίλ του συμμετέχοντα αλλά και με συγκεκριμένα δικαιώματα προβολών, κατανομή χώρου και λογική ημερήσιας χωρητικότητας. Κάποιος που θα προσπαθούσε να μεταφέρει ένα αντιγραμμένο διαπιστευτήριο από ένα συγκρότημα κινηματογράφων σε άλλο θα συναντούσε ασυνεπές ιστορικό χρήσης σχεδόν αμέσως. Η ομάδα της εκδήλωσης δεν το διαφήμισε ως εντυπωσιακή λειτουργία κατά της παραποίησης. Απλώς σχεδίασε τη λογική επικύρωσης ώστε να αντικατοπτρίζει τον τρόπο με τον οποίο λειτουργούσε πραγματικά η εκδήλωση, και αυτό έκανε την κατάχρηση πολύ δυσκολότερη.

Πότε γίνονται απαραίτητα τα κρυπτογραφημένα εισιτήρια RFID

Οι άνθρωποι ρωτούν επίσης αν τα κρυπτογραφημένα εισιτήρια RFID είναι πραγματικά απαραίτητα. Σε πολλά περιβάλλοντα εκδηλώσεων μεσαίας έως υψηλής αξίας, η απάντηση είναι ναι. Η κρυπτογράφηση, η πιστοποιημένη πρόσβαση και οι προστατευμένες δομές μνήμης ανεβάζουν το κόστος της επίθεσης με πολύ πρακτικό τρόπο. Δεν κάνουν την απάτη αδύνατη, αλλά απομακρύνουν τους επιτιθέμενους από την εύκολη αναπαραγωγή και τους οδηγούν σε δυσκολότερες, πιο ριψοκίνδυνες μεθόδους.

Ένας διοργανωτής αγώνων στο Άμπου Ντάμπι χρησιμοποιούσε κάποτε βασικά διαπιστευτήρια ανέπαφης τεχνολογίας για πρόσβαση φιλοξενίας, επειδή η ρύθμιση φαινόταν απλούστερη. Λειτουργούσε καλά μέχρι που μη εξουσιοδοτημένοι επισκέπτες άρχισαν να εμφανίζονται σε μια περιορισμένη σουίτα θέασης. Η έρευνα διαπίστωσε ότι το ζήτημα δεν ήταν μαζική κλωνοποίηση με κινηματογραφική έννοια. Ήταν ένας μικρότερος κύκλος ευκαιριακής αντιγραφής γύρω από προβλέψιμο χειρισμό διαπιστευτηρίων. Ο διοργανωτής αργότερα μετανάστευσε σε μια ασφαλέστερη πλατφόρμα εισιτηρίων RFID με αυστηρότερο έλεγχο κλειδιών και ελέγχους προνομίων στο backend. Η βελτίωση δεν ήταν εντυπωσιακή από την οπτική γωνία του επισκέπτη. Η είσοδος εξακολουθούσε να φαίνεται γρήγορη. Αλλά στα παρασκήνια, το εισιτήριο έγινε πολύ λιγότερο χρήσιμο για αντιγραφή.

Αυτός είναι συνήθως ο πραγματικός στόχος των ασφαλών εισιτηρίων εκδήλωσης RFID. Δεν χρειάζεστε απόλυτη θεωρητική ατρωσία. Χρειάζεστε να κάνετε την αντιγραφή, τη μεταπώληση ή την επαναχρησιμοποίηση ενός διαπιστευτηρίου αρκετά δύσκολη, αρκετά αναξιόπιστη και αρκετά ανιχνεύσιμη ώστε η περισσότερη απάτη να πάψει να αξίζει τον κόπο.

Ο κίνδυνος από εσωτερικούς παράγοντες παραμένει σημαντικός παράγοντας ασφάλειας

Φυσικά, κάποιες ομάδες εκδηλώσεων επικεντρώνονται υπερβολικά στην τεχνολογία και ξεχνούν τον κίνδυνο από εσωτερικούς παράγοντες. Αυτό μπορεί να είναι ένα δαπανηρό λάθος. Μεγάλο μέρος της απάτης με εισιτήρια RFID δεν ξεκινά με έναν άγνωστο που κρατά μια συσκευή κλωνοποίησης. Ξεκινά με διαρρεύσαν απόθεμα, προσωπικό με υπερβολικά δικαιώματα, πρόχειρη πρόσβαση προμηθευτών ή ανεπαρκώς παρακολουθούμενες επανεκτυπώσεις.

Ένας διοργανωτής έκθεσης στη Φρανκφούρτη ανακάλυψε ότι αρκετές δωρεάν κονκάρδες RFID είχαν εκδοθεί εκτός των εγκεκριμένων ποσοστώσεων χορηγών. Τα τσιπ ήταν γνήσια. Τα διαπιστευτήρια ήταν γνήσια. Η απάτη προήλθε από εσωτερική κατάχρηση σε ένα γραφείο εξυπηρέτησης, όπου πάρα πολλά μέλη του προσωπικού είχαν άδεια να δημιουργούν αντικαταστάσεις και αναβαθμίσεις επισκεπτών. Μόλις ο διοργανωτής πέρασε σε δικαιώματα έκδοσης βάσει ρόλων και αναφορά εξαιρέσεων σε πραγματικό χρόνο, η διαρροή σταμάτησε. Η υπόθεση ήταν μια υπενθύμιση ότι ακόμη και το καλύτερο κρυπτογραφημένο εισιτήριο εκδήλωσης RFID δεν μπορεί να σώσει ένα σύστημα που παραχωρεί πολύ εύκολα έμπιστα διαπιστευτήρια.

Ένας διοργανωτής συναυλιών στο Los Angeles είδε κάτι παρόμοιο από άλλη οπτική γωνία. Τα πάσο VIP RFID ήταν ασφαλή στα χαρτιά, αλλά ένας τρίτος εργολάβος φιλοξενίας χειριζόταν αλλαγές στη λίστα προσκεκλημένων της τελευταίας στιγμής μέσω μιας ελαφρώς ελεγχόμενης εισαγωγής υπολογιστικού φύλλου. Αυτή η διαδικασία εισαγωγής έγινε το αδύναμο σημείο. Εμφανίστηκαν διπλά δικαιώματα και κάποια διαπιστευτήρια παρέμειναν ενεργά μετά την επανέκδοση. Κανείς δεν είχε σπάσει το τσιπ. Απλώς εκμεταλλεύτηκαν μια ακατάστατη λειτουργική παράδοση μεταξύ των ομάδων. Ο διοργανωτής τελικά ανακατασκεύασε τη ροή ώστε οι αλλαγές προνομίων να απαιτούν εξουσιοδότηση μέσω API και να αφήνουν πλήρες ίχνος ελέγχου.

Γι' αυτό οι αγοραστές που αξιολογούν την πρόληψη απάτης με εισιτήρια RFID δεν πρέπει ποτέ να σταματούν στις προδιαγραφές του προϊόντος. Ρωτήστε πώς ο προμηθευτής χειρίζεται τη διαχείριση κλειδιών. Ρωτήστε πώς λειτουργούν οι επανεκδόσεις. Ρωτήστε πώς λειτουργεί η πρόληψη διπλότυπων σε όλους τους αναγνώστες. Ρωτήστε πώς ελέγχονται τα δικαιώματα σε προσωρινά γραφεία. Ρωτήστε τι αρχεία καταγραφής υπάρχουν. Ρωτήστε πόσο γρήγορα μπορεί να ανακληθεί ένα χαμένο ή παραβιασμένο διαπιστευτήριο. Ένας προμηθευτής που μιλά μόνο για τη συχνότητα του τσιπ και την απόσταση ανάγνωσης δεν απαντά στο πραγματικό ερώτημα ασφάλειας.

Η ασφάλεια θα πρέπει να υποστηρίζει την ομαλή λειτουργία της εκδήλωσης

Είναι επίσης σημαντικό να είμαστε ρεαλιστές σχετικά με την ευκολία. Οι διοργανωτές εκδηλώσεων συχνά φοβούνται ότι η ισχυρότερη ασφάλεια RFID θα επιβραδύνει τις πύλες ή θα εκνευρίσει τους συμμετέχοντες. Αυτό μπορεί να συμβεί αν το σύστημα είναι κακώς σχεδιασμένο. Αλλά μια καλά σχεδιασμένη ροή ασφαλούς έκδοσης εισιτηρίων RFID συνήθως βελτιώνει τις λειτουργίες, επειδή εξαλείφει το χάος που προκαλούν οι χειροκίνητες παρακάμψεις, οι διαφορές για διπλότυπα και η ασαφής κατάσταση εισιτηρίων.

Ένας μαραθώνιος στο Ρότερνταμ το απέδειξε ωραία. Η ομάδα της εκδήλωσης πέρασε από μικτές μεθόδους barcode και χειροκίνητης παραλαβής σε διαπιστευτήρια αγώνα RFID συνδεδεμένα με την κατάσταση εγγραφής, την εξουσιοδότηση παράδοσης σάκων και τα ελεγχόμενα παράθυρα πρόσβασης. Υπήρχε αρχική ανησυχία ότι περισσότεροι έλεγχοι ασφάλειας θα δημιουργούσαν μεγαλύτερες ουρές το πρωί του αγώνα. Στην πραγματικότητα, συνέβη το αντίθετο. Επειδή οι εξαιρέσεις επιλύονταν νωρίτερα και τα διαπιστευτήρια ήταν καλύτερα δομημένα, το προσωπικό περνούσε λιγότερο χρόνο μαλώνοντας με τους συμμετέχοντες στα σημεία εισόδου. Η ασφάλεια και η ταχύτητα κατέληξαν να υποστηρίζουν η μία την άλλη.

Αυτή η ισορροπία έχει σημασία. Ένα σύστημα ελέγχου πρόσβασης εκδήλωσης δεν θα πρέπει να φαίνεται παρανοϊκό. Θα πρέπει να φαίνεται ομαλό. Τα καλύτερα εισιτήρια εκδήλωσης RFID είναι ασφαλή με τρόπο που οι περισσότεροι νόμιμοι επισκέπτες μετά βίας αντιλαμβάνονται. Το σύστημα ελέγχει ήσυχα ό,τι χρειάζεται να ελέγξει και αφήνει τους ανθρώπους να κινούνται.

Τα επαναχρησιμοποιούμενα μέσα RFID απαιτούν έλεγχο κύκλου ζωής

Ένα άλλο παραβλεπόμενο ζήτημα είναι η επιλογή μεταξύ μέσων μίας χρήσης και επαναχρησιμοποιούμενων. Οι επαναχρησιμοποιούμενες κάρτες ή κονκάρδες RFID μπορούν να έχουν νόημα για ορισμένους χώρους, συνδρομές ή επαναλαμβανόμενες μορφές εκδηλώσεων, αλλά δημιουργούν επίσης πρόσθετο κίνδυνο κύκλου ζωής. Αν οι κάρτες συλλέγονται, επανακωδικοποιούνται ή αναδιανέμονται, η πειθαρχία της αλυσίδας επιμέλειας γίνεται σημαντική. Αν τα επαναχρησιμοποιούμενα διαπιστευτήρια παραμένουν σε αποθήκευση μεταξύ εκδηλώσεων χωρίς κατάλληλους ελέγχους, μπορούν να διαρρεύσουν ή να χρησιμοποιηθούν καταχρηστικά.

Ένας θεατρικός όμιλος στη Μελβούρνη αντιμετώπισε προβλήματα αφού επαναχρησιμοποίησε κάρτες μέλους RFID για εποχιακές εκδηλώσεις. Οι κάρτες ήταν οικονομικά αποδοτικές, αλλά τα παλιά δεδομένα προνομίων δεν διαγράφονταν πάντα με συνέπεια πριν από την αναδιανομή. Οι περισσότερες κάρτες συμπεριφέρονταν κανονικά, ωστόσο μερικές διατηρούσαν συνδυασμούς πρόσβασης που δεν αντιστοιχούσαν πλέον στα τρέχοντα δικαιώματα. Δεν ήταν απάτη που έγινε πρωτοσέλιδο, αλλά ήταν αρκετό για να δημιουργήσει σύγχυση και περιστασιακή μη εξουσιοδοτημένη είσοδο. Ο φορέας εκμετάλλευσης αργότερα βελτίωσε τις διαδικασίες επαναφοράς καρτών και πρόσθεσε ισχυρότερη επικύρωση έναντι της τρέχουσας κατάστασης του backend αντί να εμπιστεύεται υπερβολικά τα αποθηκευμένα προνόμια.

Ο πραγματικός έλεγχος ασφάλειας ξεπερνά την ιδανική διαδρομή

Ακόμη και όταν το μέσο εισιτηρίων είναι στέρεο και η λογική του συστήματος είναι καλά σχεδιασμένη, ο έλεγχος εξακολουθεί να κάνει τη διαφορά. Πάρα πολλές ομάδες εκδηλώσεων ελέγχουν μόνο την ιδανική διαδρομή. Το βραχιόλι σαρώνεται, η πύλη ανοίγει και όλοι υπογράφουν. Αυτός δεν είναι πραγματικός έλεγχος ασφάλειας.

Ο πραγματικός έλεγχος σημαίνει να θέτετε ενοχλητικές ερωτήσεις πριν το κάνει το κοινό. Τι συμβαίνει αν το ίδιο διαπιστευτήριο εμφανιστεί σε δύο εισόδους μέσα σε τρία λεπτά; Τι συμβαίνει αν εκδοθεί ένα πάσο αντικατάστασης ενώ το πρωτότυπο βρίσκεται ακόμη στην τσέπη κάποιου; Τι συμβαίνει αν μια σειρά αναγνωστών χάσει τη συνδεσιμότητα; Τι συμβαίνει αν ένας χορηγός ζητήσει δέκα επιπλέον πάσα επισκεπτών την τελευταία στιγμή; Τι συμβαίνει αν ένα έκτακτο μέλος προσωπικού προσπαθήσει να χρησιμοποιήσει ένα παλιό πρότυπο κωδικοποίησης; Αυτές είναι οι καταστάσεις που αποκαλύπτουν αν η ασφάλεια των εισιτηρίων εκδήλωσης RFID είναι ισχυρή ή απλώς διακοσμητική.

Ένα φεστιβάλ πολυτελούς φαγητού και κρασιού στο Κέιπ Τάουν απέφυγε μια ακατάστατη βραδιά εγκαινίων, επειδή η ομάδα του έκανε αυτούς τους δύσκολους ελέγχους εκ των προτέρων. Κατά την προσομοίωση πριν από την εκδήλωση, ανακάλυψαν ότι μια παρτίδα κονκάρδων VIP αντικατάστασης δεν ακύρωνε τα αρχικά διαπιστευτήρια σε ένα υποσύνολο φορητών αναγνωστών αρκετά γρήγορα. Το σφάλμα διορθώθηκε πριν φτάσουν οι επισκέπτες. Αν είχε τεθεί σε λειτουργία, η εκδήλωση πιθανότατα θα είχε δει διπλή πρόσβαση υψηλής ποιότητας και σοβαρά παράπονα χορηγών. Τίποτα δραματικό δεν συνέβη τη βραδιά των εγκαινίων ακριβώς επειδή ο διοργανωτής ήταν πρόθυμος να δοκιμάσει άβολα σενάρια.

Πόσο ασφαλή είναι λοιπόν τα εισιτήρια εκδήλωσης RFID;

Πόσο ασφαλή είναι λοιπόν τα εισιτήρια εκδήλωσης RFID στον πραγματικό κόσμο; Αρκετά ασφαλή ώστε να αποτελούν ισχυρή επιλογή για πολλές εκδηλώσεις, εφόσον το σύστημα είναι σχεδιασμένο και διαχειριζόμενο σωστά. Είναι γενικά ασφαλέστερα από τα συνηθισμένα έντυπα εισιτήρια, πολύ καλύτερα στην υποστήριξη ροών εργασίας ελεγχόμενης πρόσβασης και πολύ πιο ικανά όταν συνδυάζονται με ζωντανή επικύρωση, λογική anti-passback, κρυπτογραφημένα δεδομένα και πειθαρχημένους ελέγχους έκδοσης. Αλλά δεν είναι αυτοασφαλιζόμενα. Μια αδύναμη ρύθμιση RFID μπορεί ακόμη να εκμεταλλευτεί, και μερικές φορές με τρόπους που είναι λιγότερο προφανείς από την παλιομοδίτικη απάτη με χαρτί.

Αν αγοράζετε για συναυλία, στάδιο, έκθεση, αγώνα, χώρο ψυχαγωγίας ή εκδήλωση υψηλής ποιότητας φιλοξενίας, αντιμετωπίστε το RFID ως πλαίσιο ασφάλειας και όχι ως μεμονωμένο προϊόν. Το τσιπ έχει σημασία. Η μορφή του διαπιστευτηρίου έχει σημασία. Η διαδικασία κωδικοποίησης έχει σημασία. Οι κανόνες επικύρωσης έχουν σημασία. Τα δικαιώματα του προσωπικού έχουν σημασία. Η παρακολούθηση έχει σημασία. Ο έλεγχος έχει σημασία. Όταν αυτά τα επίπεδα συνεργάζονται, τα εισιτήρια εκδήλωσης RFID μπορούν να είναι εξαιρετικά ασφαλή και λειτουργικά αποδοτικά ταυτόχρονα.

Στο τέλος, αυτή είναι η πιο χρήσιμη απάντηση που μπορεί να έχει ένας αγοραστής. Τα εισιτήρια εκδήλωσης RFID δεν είναι ασφαλή επειδή είναι μοντέρνα, ανέπαφα ή πιο δύσκολο να φωτοτυποποιηθούν. Είναι ασφαλή όταν ο διοργανωτής κάνει συνειδητές επιλογές σχετικά με την τεχνολογία, τη διαδικασία και τον έλεγχο. Αν αυτές οι επιλογές είναι προσεκτικές, το RFID γίνεται ένα από τα πιο πρακτικά διαθέσιμα εργαλεία για την ασφάλεια εισιτηρίων εκδήλωσης. Αν αυτές οι επιλογές είναι απρόσεκτες, το τσιπ απλώς κρύβει την αδυναμία λίγο περισσότερο.

Και αυτή είναι πραγματικά όλη η ιστορία. Το RFID μπορεί απολύτως να κάνει τα εισιτήρια εκδήλωσης πιο ασφαλή. Απλώς δεν μπορεί να σκεφτεί για εσάς.