Πώς κλωνοποιούνται οι κάρτες εργαζομένων και πώς να το αποτρέψετε άμεσα

Ο ύπουλος τρόπος με τον οποίο οι ανταγωνιστές αντιγράφουν τις κονκάρδες των υπαλλήλων σας συνήθως δεν είναι μια σκηνή του Χόλιγουντ με κάποιον να διαρρήγνυει ένα δωμάτιο ασφαλείας τα μεσάνυχτα. Είναι πιο ήσυχος, πιο φθηνός και πιο εξευτελιστικός. Ένας επισκέπτης δανείζεται μια κονκάρδα για «μόνο ένα λεπτό». Ένας εργολάβος φωτογραφίζει μια κάρτα πάνω σε ένα γραφείο υποδοχής. Μια παλιά κονκάρδα εγγύτητας χαμηλής συχνότητας αντιγράφεται επειδή εκπέμπει μόνο ένα στατικό αριθμό. Ένας πρώην υπάλληλος κρατά μια εφεδρική κάρτα που δεν απενεργοποιήθηκε ποτέ. Τα διαπιστευτήρια ενός συνεργείου καθαρισμού μοιράζονται μεταξύ των εργαζομένων. Μια προσωρινή κονκάρδα εκδίδεται ξανά και ξανά χωρίς σωστό έλεγχο. Το αντίγραφο μπορεί να μην μοιάζει με δραματική επίθεση. Μπορεί να μοιάζει με έναν συνηθισμένο άνθρωπο που μπαίνει στο κτίριό σας με μια κάρτα την οποία το σύστημά σας εμπιστεύεται εκ λάθους.

Γιατί η αντιγραφή κονκάρδας υπαλλήλου είναι τόσο επικίνδυνη

Γι' αυτό η αντιγραφή κονκάρδας υπαλλήλου είναι τόσο επικίνδυνη. Κρύβεται μέσα στη φυσιολογική συμπεριφορά πρόσβασης. Μια αντιγραμμένη κονκάρδα δεν παραβιάζει μια πόρτα. Δεν σπάει τζάμια. Δεν ενεργοποιεί από μόνη της συναγερμό. Απλώς παρουσιάζει ένα διαπιστευτήριο που ο αναγνώστης αποδέχεται. Εάν το σύστημα ελέγχου πρόσβασης έχει σχεδιαστεί γύρω από αδύναμες κονκάρδες RFID, στατικά IDs, κακούς κανόνες έκδοσης και αμελή ανάκληση, το σύστημα μπορεί να μην έχει ιδέα ότι το άτομο στην πόρτα δεν είναι ο πραγματικός κάτοχος της κάρτας. Από την οπτική γωνία του αναγνώστη, η κονκάρδα φαίνεται γνώριμη. Από την οπτική γωνία της επιχείρησης, αυτό ακριβώς είναι το πρόβλημα.

Μια μεταποιητική εταιρεία στο Οχάιο, φανταστική αλλά ρεαλιστική, το ανακάλυψε αυτό αφού ένας υπάλληλος πωλήσεων ενός ανταγωνιστή φάνηκε να γνωρίζει πάρα πολλά για μια νέα σειρά προϊόντων. Η εταιρεία υποψιάστηκε αρχικά διαρροές email. Αργότερα, ένας εσωτερικός έλεγχος διαπίστωσε ότι μια παλιά κονκάρδα εγγύτητας υπαλλήλου είχε παραμείνει ενεργή για μήνες αφού το άτομο αποχώρησε. Το ID της κονκάρδας είχε χρησιμοποιηθεί εκτός ωραρίου σε μια πλαϊνή είσοδο. Κανένα κλείδωμα δεν παραβιάστηκε και καμία κάμερα δεν έδειξε καθαρά τον πρώην υπάλληλο, επειδή το άτομο φορούσε κουκούλα και εισήλθε με την κονκάρδα όπως κάθε εξουσιοδοτημένος εργαζόμενος. Η εταιρεία δεν είχε πρόβλημα hacking με τη στενή έννοια. Είχε πρόβλημα εμπιστοσύνης διαπιστευτηρίων.

Το τεχνολογικό πρόβλημα πίσω από τις αδύναμες κονκάρδες υπαλλήλων

Οι περισσότεροι κίνδυνοι αντιγραφής κονκάρδας ξεκινούν από ξεπερασμένη τεχνολογία. Πολλές παλαιότερες κάρτες εγγύτητας 125 kHz και βασικές κάρτες πρόσβασης RFID χρησιμοποιούν σταθερά αναγνωριστικά που είναι εύκολο για τα συστήματα πρόσβασης να διαβάσουν και εύκολο για τους επιτιθέμενους να εκμεταλλευτούν εάν το σύστημα βασίζεται μόνο σε αυτό το αναγνωριστικό. Σε αυτά τα συστήματα, η κάρτα αντιμετωπίζεται σαν ένας αριθμός. Ο αναγνώστης βλέπει τον αριθμό, τον στέλνει στον πίνακα και το σύστημα ελέγχει εάν αυτός ο αριθμός επιτρέπεται. Εάν ο αριθμός μπορεί να αντιγραφεί ή να αναπαραχθεί, η πόρτα μπορεί να ανοίξει για το λάθος άτομο. Αυτό δεν είναι σύγχρονη ασφάλεια. Αυτός είναι ένας πλαστικός κωδικός πρόσβασης χωρίς πραγματική απόδειξη πίσω του.

Οι σύγχρονες ασφαλείς κονκάρδες RFID υπαλλήλων λειτουργούν διαφορετικά. Αντί να εμπιστεύεται μόνο ένα ορατό ή στατικό ID, ένα καλύτερο σύστημα χρησιμοποιεί κρυπτογραφημένα διαπιστευτήρια, ασφαλή αμοιβαία αυθεντικοποίηση, προστατευμένη μνήμη, διαφοροποιημένα κλειδιά και κανόνες πρόσβασης που δεν εκθέτουν το μυστικό κατά τη διάρκεια κάθε ανάγνωσης. Οι κάρτες MIFARE DESFire EV3, οι κρυπτογραφημένες έξυπνες κάρτες, τα ασφαλή διαπιστευτήρια NFC και τα σωστά διαχειριζόμενα συστήματα ελέγχου πρόσβασης μπορούν να κάνουν την περιστασιακή αντιγραφή πολύ πιο δύσκολη. Η κάρτα και ο αναγνώστης θα πρέπει να αποδεικνύουν ότι ανήκουν στο ίδιο αξιόπιστο σύστημα προτού η πόρτα αποδεχθεί το διαπιστευτήριο. Μια κονκάρδα δεν πρέπει να είναι αξιόπιστη απλώς και μόνο επειδή μιλάει.

Μια εταιρεία εφοδιαστική στο Ρότερνταμ αναβάθμισε το σύστημά της αφού ένας έλεγχος ασφαλείας έδειξε ότι οι παλιές κονκάρδες υπαλλήλων βασίζονταν σε στατικούς αριθμούς καρτών. Η αποθήκη είχε ακριβά προϊόντα, νυχτερινές βάρδιες και πολλές ομάδες εργολάβων, αλλά το σύστημα της πόρτας αντιμετώπιζε κάθε κονκάρδα ως ένα απλό ID. Η εταιρεία μετέβη σε ασφαλείς κάρτες πρόσβασης RFID με κρυπτογραφημένες εφαρμογές και επικύρωση από την πλευρά του αναγνώστη. Επίσης, σταμάτησε να εκτυπώνει ορατά τους αριθμούς των καρτών στην μπροστινή όψη. Η αναβάθμιση δεν μετέτρεψε το κτίριο σε φρούριο μέσα σε μια νύχτα, αλλά αφαίρεσε την ευκολότερη διαδρομή: την αντιγραφή ενός αδύναμου διαπιστευτηρίου και τη διέλευση από μια πλαϊνή πόρτα σαν να μην είχε συμβεί τίποτα.

Επτά ύπουλες διαδρομές που επιτρέπουν στην κακή χρήση κονκάρδας να περνά απαρατήρητη

Δανεισμός κονκάρδας και σύγχυση ταυτότητας

Η δεύτερη ύπουλη διαδρομή είναι ο δανεισμός κονκάρδας. Αυτό δεν είναι πάντα κακόβουλο στην αρχή. Ένας εργαζόμενος ξεχνά μια κάρτα και δανείζεται την κονκάρδα ενός συναδέλφου για να μπει. Ένας επόπτης δίνει σε έναν εργολάβο μια κονκάρδα προσωπικού επειδή το σύστημα επισκεπτών είναι αργό. Ένας νυχτερινός καθαριστής χρησιμοποιεί ένα κοινόχρηστο διαπιστευτήριο για όλο το συνεργείο. Ένας προσωρινός εργαζόμενος παίρνει μια κάρτα στο σπίτι κατά λάθος. Αυτές οι συνήθειες διδάσκουν στον οργανισμό να ανέχεται τη σύγχυση ταυτότητας. Μόλις η κοινή χρήση γίνει φυσιολογική, μια αντιγραμμένη ή κακώς χρησιμοποιημένη κονκάρδα περνά απαρατήρητη. Τα αρχεία καταγραφής ασφαλείας γίνονται λιγότερο χρήσιμα επειδή το άτομο που καταγράφεται από το σύστημα μπορεί να μην είναι το άτομο που εισήλθε.

Μια ιδιωτική ιατρική κλινική στο Τορόντο το διαπίστωσε αυτό κατά τη διάρκεια ενός ελέγχου πρόσβασης εκτός ωραρίου. Αρκετά μέλη του προσωπικού μοιράζονταν κονκάρδες με επισκέπτες ειδικούς επειδή η υποδοχή ήταν κλειστή το βράδυ. Κανείς δεν είχε πρόθεση να βλάψει, αλλά τα αρχεία καταγραφής έγιναν άχρηστα. Όταν έγινε πρόσβαση σε έναν χώρο αποθήκευσης φαρμάκων εκτός πολιτικής, το αρχείο της κονκάρδας έδειχνε μια νοσηλεύτρια που δεν βρισκόταν στο κτίριο. Η κλινική άλλαξε σε ονομαστικά διαπιστευτήρια επισκεπτών, συντομότερα παράθυρα πρόσβασης και αυστηρότερο χειρισμό κονκάρδων. Μετέβη επίσης τις πόρτες υψηλού κινδύνου σε κρυπτογραφημένες κάρτες RFID με υποστήριξη PIN. Η μεγαλύτερη αλλαγή ήταν πολιτισμική: μια κονκάρδα δεν αντιμετωπιζόταν πλέον ως εφεδρικό κλειδί. Έγινε προσωπικό διαπιστευτήριο.

Οπτική και επιχειρησιακή διαρροή

Η τρίτη διαδρομή είναι η οπτική και επιχειρησιακή διαρροή. Οι εταιρείες συχνά εκθέτουν περισσότερες πληροφορίες κονκάρδας από ό,τι συνειδητοποιούν. Φωτογραφίες υπαλλήλων, ονόματα, τμήματα, αριθμοί καρτών, κωδικοί QR, κωδικοί τοποθεσίας, χρωματικές ζώνες και επίπεδα πρόσβασης μπορεί να είναι ορατά στην κάρτα. Κάποια από αυτά είναι απαραίτητα για τους φύλακες και τους συναδέλφους. Κάποια είναι αμέλεια. Μια κονκάρδα που βρίσκεται σε ένα τραπέζι καφετέριας, κρεμασμένη σε ένα σακίδιο ή φωτογραφημένη σε μια ανάρτηση στα μέσα κοινωνικής δικτύωσης μπορεί να αποκαλύψει χρήσιμες πληροφορίες. Οι επιτιθέμενοι δεν χρειάζεται πάντα να παραβιάσουν ένα σύστημα εάν ο οργανισμός μοιράζει στοιχεία.

Μια τεχνολογική startup στο Βερολίνο είχε υπαλλήλους που δημοσίευαν με υπερηφάνεια φωτογραφίες του γραφείου στο διαδίκτυο. Αρκετές φωτογραφίες έδειχναν κονκάρδες κρεμασμένες από κορδόνια, συμπεριλαμβανομένων χρωμάτων τμημάτων και εκτυπωμένων εσωτερικών αριθμών ID. Η τεχνολογία της φυσικής κονκάρδας ήταν επίσης παλαιού τύπου εγγύτητας. Αφού ένας σύμβουλος επισήμανε τον κίνδυνο, η εταιρεία επανασχεδίασε την όψη της κονκάρδας. Διατήρησε το όνομα και τη φωτογραφία για ανθρώπινη αναγνώριση, αλλά αφαίρεσε περιττούς εσωτερικούς αριθμούς, μείωσε τα ορατά στοιχεία πρόσβασης και πρόσθεσε πολιτική κατά της δημοσίευσης φωτογραφιών κονκάρδας. Ταυτόχρονα, αναβάθμισε τις κάρτες πρόσβασης σε κρυπτογραφημένα διαπιστευτήρια. Η διόρθωση δεν ήταν μόνο ασφάλεια σε επίπεδο τσιπ. Ήταν η μείωση των πληροφοριών που διέρρεε η κονκάρδα στον κόσμο.

Κακή διαχείριση κύκλου ζωής κονκάρδας

Η τέταρτη διαδρομή είναι η κακή διαχείριση του κύκλου ζωής της κονκάρδας. Μια κονκάρδα μπορεί να αντιγραφεί, να χαθεί, να μοιραστεί ή να κλαπεί, αλλά πολλές εταιρείες επιδεινώνουν τη ζημιά διατηρώντας παλιά διαπιστευτήρια ενεργά. Οι υπάλληλοι αποχωρούν. Οι εργολάβοι ολοκληρώνουν έργα. Οι προμηθευτές αλλάζουν προσωπικό. Οι προσωρινές κονκάρδες εξαφανίζονται. Τα γραφεία μετακινούνται. Τα τμήματα συγχωνεύονται. Εάν η βάση δεδομένων ελέγχου πρόσβασης δεν καθαρίζεται συνεχώς, οι παλιές κάρτες παραμένουν ήσυχοι κίνδυνοι. Μια αντιγραμμένη κονκάρδα από πέρυσι μπορεί ακόμα να είναι χρήσιμη εάν κανείς δεν την αφαίρεσε από το σύστημα.

Ένας όμιλος ξενοδοχείων στο Ντουμπάι είχε εκατοντάδες ενεργά διαπιστευτήρια προσωπικού σε πολλά ξενοδοχεία. Κατά τη διάρκεια ενός καθαρισμού του συστήματος, ο υπεύθυνος ασφαλείας βρήκε κονκάρδες ακόμα ενεργές για εποχιακούς εργαζόμενους που είχαν αποχωρήσει μήνες νωρίτερα. Κάποιες κάρτες είχαν επιστραφεί, κάποιες όχι και κάποιες δεν είχαν ποτέ παρακολουθηθεί σωστά. Ο όμιλος εισήγαγε αυτόματη απενεργοποίηση συνδεδεμένη με την κατάσταση στο HR, τις ημερομηνίες λήξης των εργολάβων και τη λήξη των επισκεπτών. Απαίτησε επίσης μηνιαίους ελέγχους ενεργών κονκάρδων από τους διευθυντές των ξενοδοχείων. Το ξενοδοχείο μετέβη αργότερα τα βασικά διαπιστευτήρια προσωπικού σε κάρτες βασισμένες σε DESFire. Η γρήγορη νίκη δεν ήταν ακριβό υλικό. Ήταν η ακύρωση διαπιστευτηρίων που θα έπρεπε να είχαν ήδη ακυρωθεί.

Υποβάθμιση αναγνώστη και μικτή τεχνολογία

Η πέμπτη διαδρομή είναι η υποβάθμιση του αναγνώστη και η μικτή τεχνολογία. Πολλοί οργανισμοί αναβαθμίζουν τις κάρτες αλλά αφήνουν παλιούς αναγνώστες ή παλαιές λειτουργίες ενεργές για ευκολία. Μια νέα έξυπνη κονκάρδα μπορεί να περιέχει ασφαλή τεχνολογία, αλλά εάν ο αναγνώστης εξακολουθεί να δέχεται ένα παλιό διαπιστευτήριο χαμηλής συχνότητας ή λειτουργία μόνο UID, οι επιτιθέμενοι θα επιλέξουν την πιο αδύναμη διαδρομή. Αυτό είναι συνηθισμένο κατά τη διάρκεια μεταβάσεων. Οι εταιρείες εκδίδουν κάρτες διπλής τεχνολογίας ώστε παλιές και νέες πόρτες να συνυπάρχουν. Αυτό μπορεί να είναι απαραίτητο για σύντομο διάστημα, αλλά εάν η παλιά τεχνολογία παραμένει ενεργή για χρόνια, η αναβάθμιση είναι μισοτελειωμένη.

Μια εταιρική πανεπιστημιούπολη στο Σικάγο έκανε αυτό το λάθος κατά τη διάρκεια ενός έργου εκσυγχρονισμού κονκάρδων. Οι υπάλληλοι έλαβαν νέες έξυπνες κάρτες, αλλά αρκετές πλαϊνές είσοδοι διατήρησαν παλιούς αναγνώστες εγγύτητας επειδή η αντικατάστασή τους ήταν «φάση δεύτερη». Η φάση δεύτερη μετακινούνταν συνεχώς στον προϋπολογισμό. Κατά τη διάρκεια ενός ελέγχου τύπου red-team, οι δοκιμαστές εισήλθαν σε μια είσοδο αποθήκευσης χαμηλού κινδύνου χρησιμοποιώντας τη διαδρομή παλαιού διαπιστευτηρίου και στη συνέχεια κινήθηκαν βαθύτερα στο εσωτερικό κατά τις κανονικές ώρες εργασίας. Η εταιρεία τελικά αντικατέστησε τους υπόλοιπους αναγνώστες, απενεργοποίησε την αποδοχή παλαιών καρτών και δημιούργησε μια σκληρή ημερομηνία λήξης για τα παλιά διαπιστευτήρια. Το δίδαγμα ήταν ωμό: μια ασφαλής κονκάρδα είναι μόνο τόσο ασφαλής όσο ο πιο αδύναμος αναγνώστης που την αποδέχεται.

Αδύναμος έλεγχος επισκεπτών και εργολάβων

Η έκτη διαδρομή είναι ο αδύναμος έλεγχος επισκεπτών και εργολάβων. Ανταγωνιστές, προμηθευτές, ομάδες παράδοσης, καθαριστές, εργολάβοι συντήρησης, ελεγκτές, στελέχη προσλήψεων, προσωπικό εκδηλώσεων και προσωρινοί εργαζόμενοι περνούν όλοι από σύγχρονους χώρους εργασίας. Κάποιοι χρειάζονται πρόσβαση. Κάποιοι χρειάζονται συνοδευόμενη πρόσβαση. Κάποιοι θα έπρεπε να έχουν πρόσβαση μόνο σε συγκεκριμένες ώρες. Εάν η διαδικασία επισκεπτών είναι αργή, το προσωπικό μπορεί να την παρακάμψει. Εάν οι κονκάρδες εργολάβων επαναχρησιμοποιούνται χωρίς ελέγχους ταυτότητας, το σύστημα γίνεται ευάλωτο. Ένας ανταγωνιστής δεν χρειάζεται να αντιγράψει μια κονκάρδα υπαλλήλου εάν ένα κακώς διαχειριζόμενο προσωρινό διαπιστευτήριο ανοίγει τις ίδιες πόρτες.

Ένα εργοστάσιο επεξεργασίας τροφίμων στη Μελβούρνη είχε αυστηρό σύστημα κονκάρδων υπαλλήλων αλλά χαλαρή διαδικασία εργολάβων. Οι προμηθευτές συντήρησης παραλάμβαναν επαναχρησιμοποιήσιμες κάρτες πρόσβασης από την ασφάλεια, υπέγραφαν ένα έντυπο αρχείο και τις επέστρεφαν στο τέλος της ημέρας. Μια κάρτα χάθηκε και παρέμεινε ενεργή επειδή το προσωπικό υπέθεσε ότι βρισκόταν σε άλλο κουτί εργαλείων. Το εργοστάσιο αντικατέστησε τις επαναχρησιμοποιήσιμες κάρτες εργολάβων με χρονικά περιορισμένες κονκάρδες RFID επισκεπτών, επαλήθευση φωτογραφίας και αυτόματη απενεργοποίηση στο τέλος της βάρδιας. Οι εργολάβοι εξακολούθησαν να έχουν την πρόσβαση που χρειάζονταν, αλλά η κονκάρδα δεν ζούσε πλέον για πάντα. Το εργοστάσιο δεν περίμενε ένα περιστατικό αντιγραφής για να διορθώσει μια διαδικασία που έμοιαζε ήδη επικίνδυνη.

Εξάπλωση πρόσβασης και κονκάρδες με υπερβολικά δικαιώματα

Η έβδομη διαδρομή είναι η εξάπλωση πρόσβασης. Ένας υπάλληλος ξεκινά σε ένα τμήμα, αλλάζει θέση, συμμετέχει σε ένα προσωρινό έργο, λαμβάνει επιπλέον πρόσβαση και δεν χάνει ποτέ τα παλιά δικαιώματα. Μετά από λίγα χρόνια, η κονκάρδα ανοίγει πάρα πολλές πόρτες. Εάν αυτή η κονκάρδα αντιγραφεί, ο επιτιθέμενος κληρονομεί όλη αυτή την περιττή πρόσβαση. Αυτή δεν είναι τεχνική αντιγραφής. Είναι ο λόγος που η αντιγραφή γίνεται πιο καταστροφική. Ο ελάχιστος προνόμιο ακούγεται βαρετό μέχρι μια κάρτα με υπερβολικά δικαιώματα να γίνει κύριο κλειδί.

Μια φαρμακευτική ερευνητική εγκατάσταση στο Κέιμπριτζ εξέτασε τα αρχεία πρόσβασής της μετά από ένα περιστατικό στο εργαστήριο. Η εταιρεία διαπίστωσε ότι αρκετοί μακροχρόνιοι υπάλληλοι είχαν πρόσβαση σε περιοχές που δεν χρειάζονταν πλέον, συμπεριλαμβανομένων αποθηκευτικών χώρων και ελεγχόμενων ερευνητικών χώρων. Η ομάδα ασφαλείας δημιούργησε ομάδες πρόσβασης βάσει ρόλου, τριμηνιαίους ελέγχους και αυτόματη λήξη δικαιωμάτων για προσωρινές ζώνες έργων. Όταν η εγκατάσταση αναβαθμίστηκε σε κρυπτογραφημένες έξυπνες κονκάρδες, καθάρισε επίσης το μοντέλο πρόσβασης. Η κάρτα έγινε ισχυρότερη, αλλά η πραγματική μείωση του κινδύνου προήλθε από τη διασφάλιση ότι καμία κάρτα δεν άνοιγε περισσότερα από όσα έπρεπε.

Ο ταχύτερος τρόπος μείωσης του κινδύνου αντιγραφής κονκάρδας

Ο ταχύτερος τρόπος να σταματήσετε τον κίνδυνο αντιγραφής κονκάρδας δεν είναι μία ενέργεια. Είναι μια σύντομη αλληλουχία αμυντικών κινήσεων. Πρώτον, εντοπίστε ποιες τεχνολογίες κονκάρδας χρησιμοποιούνται αυτή τη στιγμή. Εάν η εγκατάσταση εξακολουθεί να βασίζεται σε παλιές κάρτες εγγύτητας, αναγνώσεις μόνο UID ή στατικούς αριθμούς καρτών, αντιμετωπίστε το ως επείγον. Δεύτερον, απενεργοποιήστε χαμένα, παλιά, κοινόχρηστα και αχρησιμοποίητα διαπιστευτήρια. Τρίτον, ελέγξτε τις πόρτες υψηλού κινδύνου και αφαιρέστε τις παλαιές λειτουργίες αναγνώστη. Τέταρτον, μεταφέρετε ευαίσθητες περιοχές σε κρυπτογραφημένες κάρτες RFID με σωστή διαχείριση κλειδιών. Πέμπτον, προσθέστε παρακολούθηση για ασυνήθιστα μοτίβα πρόσβασης, όπως είσοδο εκτός ωραρίου, επαναλαμβανόμενες απορριφθείσες προσπάθειες, αδύνατη μετακίνηση μεταξύ απομακρυσμένων θυρών ή πρόσβαση από ανενεργά τμήματα. Έκτον, εκπαιδεύστε τους υπαλλήλους ότι μια κονκάρδα είναι προσωπική και δεν πρέπει ποτέ να δανείζεται, να φωτογραφίζεται ή να αφήνεται χωρίς επίβλεψη.

Ένα γραφείο χρηματοοικονομικών υπηρεσιών στο Λονδίνο χρησιμοποίησε αυτή την αλληλουχία αφού ένα περιστατικό απομάκρυνσης πελατών από ανταγωνιστή προκάλεσε ανησυχίες σχετικά με τη φυσική πρόσβαση. Η εταιρεία δεν αντικατέστησε κάθε αναγνώστη πόρτας σε ένα σαββατοκύριακο. Ξεκίνησε με έναν έκτακτο έλεγχο διαπιστευτηρίων, απενεργοποίησε αχρησιμοποίητες κονκάρδες, αφαίρεσε την πρόσβαση από πρώην εργολάβους και αυστηροποίησε τους κανόνες επισκεπτών. Στη συνέχεια, αναβάθμισε τους ορόφους διοίκησης, τα δωμάτια διακομιστών, την αποθήκευση εγγράφων και τις πλαϊνές εισόδους σε κρυπτογραφημένους αναγνώστες RFID. Σε διάστημα έξι μηνών, το υπόλοιπο κτίριο μετεγκαταστάθηκε. Η εταιρεία μείωσε τον κίνδυνο γρήγορα ενώ σχεδίαζε μια καθαρότερη μακροπρόθεσμη αναβάθμιση.

Η ασφαλής έκδοση και η διαμόρφωση του αναγνώστη έχουν σημασία

Προστατέψτε τα κλειδιά και τις ροές εργασίας διαπιστευτηρίων

Η κρυπτογραφημένη τεχνολογία κονκάρδας είναι σημαντική, αλλά η διαχείριση κλειδιών είναι εκεί όπου πολλές εταιρείες γίνονται αμελείς. Μια ασφαλής κάρτα που χρησιμοποιεί αδύναμα ή κοινόχρηστα κλειδιά δεν είναι τόσο ασφαλής όσο νομίζει ο αγοραστής. Για κάρτες πρόσβασης MIFARE DESFire, για παράδειγμα, μια σοβαρή εγκατάσταση θα πρέπει να χρησιμοποιεί διαφοροποιημένα κλειδιά, ελεγχόμενη έκδοση, προστατευμένες εφαρμογές και αναγνώστες διαμορφωμένους να αυθεντικοποιούν σωστά την κάρτα. Τα κλειδιά δεν θα πρέπει να βρίσκονται σε απλά αρχεία σε έναν κοινόχρηστο υπολογιστή. Το προσωπικό της υποδοχής δεν θα πρέπει να μπορεί να τα εξάγει. Ένας εκτυπωτής καρτών δεν θα πρέπει να κωδικοποιεί ασφαλή διαπιστευτήρια χωρίς έλεγχο χειριστή και αρχεία καταγραφής ελέγχου. Εάν το μυστικό που χρησιμοποιείται για τη δημιουργία κονκάρδων είναι κακώς προστατευμένο, η αντιγραφή κονκάρδας μετατοπίζεται από αδυναμία κάρτας σε αδυναμία διαδικασίας.

Ένας φορέας εκμετάλλευσης κέντρου δεδομένων στη Βόρεια Βιρτζίνια δόμησε το πρόγραμμα κονκάρδων υπαλλήλων του γύρω από την ασφαλή έκδοση. Οι κάρτες εκτυπώνονταν σε μία ροή εργασίας αλλά κωδικοποιούνταν μέσω μιας ελεγχόμενης πλατφόρμας πρόσβασης χρησιμοποιώντας προστατευμένα κλειδιά. Οι χειριστές μπορούσαν να εκδίδουν κάρτες αλλά δεν μπορούσαν να δουν τα κύρια κλειδιά. Οι χαμένες κονκάρδες ανακλήθηκαν αμέσως. Οι προσωρινές κονκάρδες έληγαν αυτόματα. Η δημιουργία κονκάρδας καταγραφόταν και τα διαπιστευτήρια υψηλής πρόσβασης απαιτούσαν έγκριση επόπτη. Η εταιρεία εξακολουθούσε να χρησιμοποιεί φυσικές κάρτες, αλλά τις αντιμετώπιζε ως περιουσιακά στοιχεία ασφαλείας, όχι ως είδη γραφείου.

Αποφύγετε τη μόνιμη λειτουργία συμβατότητας

Η διαμόρφωση του αναγνώστη είναι ένα άλλο γρήγορο σημείο για έλεγχο. Κάποιοι οργανισμοί αγοράζουν ασφαλείς αναγνώστες αλλά τους αφήνουν σε λειτουργία συμβατότητας επειδή μειώνει την προσπάθεια εγκατάστασης. Αυτό μπορεί να σημαίνει ότι ο αναγνώστης δέχεται πολλαπλούς τύπους καρτών, συμπεριλαμβανομένων ασθενέστερων παλαιών μορφότυπων. Σε μια ασφαλή μετάβαση, η συμβατότητα μπορεί να είναι προσωρινή. Σε μια τεμπέλικη εγκατάσταση, η συμβατότητα γίνεται μόνιμη. Ένας αγοραστής θα πρέπει να ρωτήσει τον ενσωματωτή ακριβώς ποια λειτουργία διαπιστευτηρίου χρησιμοποιεί ο αναγνώστης. Διαβάζει μια ασφαλή εφαρμογή ή μόνο το UID της κάρτας; Είναι ενεργοποιημένη η αμοιβαία αυθεντικοποίηση; Εξακολουθούν να γίνονται δεκτοί παλιοί κωδικοί εγκατάστασης; Υπάρχουν ακόμα προεπιλεγμένα κλειδιά; Αυτές είναι ερωτήσεις αμυντικής διαμόρφωσης που κάθε σοβαρό έργο ελέγχου πρόσβασης θα πρέπει να απαντά.

Ένα πανεπιστήμιο στην Καλιφόρνια είχε νέες έξυπνες κάρτες σε όλη την πανεπιστημιούπολη αλλά ανακάλυψε ότι αρκετοί αναγνώστες κοιτώνων εξακολουθούσαν να δέχονται παλιές φοιτητικές κάρτες προηγούμενων ετών. Το πρόβλημα δεν ήταν η προμήθεια νέων καρτών. Η διαμόρφωση του αναγνώστη είχε αφεθεί πολύ επιτρεπτική για να αποφευχθούν κλήσεις υποστήριξης κατά τη διάρκεια της μετάβασης. Μετά από έναν έλεγχο, το πανεπιστήμιο περιόρισε τους αποδεκτούς τύπους διαπιστευτηρίων, απενεργοποίησε παλιές σειρές και δημιούργησε μια αυστηρή προθεσμία αντικατάστασης καρτών. Οι φοιτητές διαμαρτυρήθηκαν για μια εβδομάδα και μετά ο θόρυβος υποχώρησε. Η ομάδα ασφαλείας απέκτησε ένα καθαρότερο σύστημα.

Σχεδιασμός κονκάρδας, παρακολούθηση και εκπαίδευση

Σχεδιάστε κονκάρδες χωρίς διαρροή ευαίσθητων δεδομένων

Ο σχεδιασμός της φυσικής κονκάρδας θα πρέπει επίσης να υποστηρίζει την ασφάλεια. Μια καλή κονκάρδα υπαλλήλου χρειάζεται αρκετές ορατές πληροφορίες για ανθρώπινη επαλήθευση, αλλά όχι περιττά τεχνικά δεδομένα. Οι φωτογραφίες θα πρέπει να είναι καθαρές. Τα ονόματα θα πρέπει να είναι ευανάγνωστα. Οι κονκάρδες εργολάβων και επισκεπτών θα πρέπει να φαίνονται οπτικά διαφορετικές από τις κονκάρδες υπαλλήλων. Οι δείκτες λήξης μπορούν να βοηθήσουν τους φύλακες. Αλλά οι εσωτερικοί αριθμοί καρτών, τα επίπεδα πρόσβασης, οι κωδικοί εγκατάστασης ή τα λεπτομερή δικαιώματα τμήματος δεν θα πρέπει να εκτυπώνονται απλώς και μόνο επειδή το πρότυπο έχει χώρο. Η κονκάρδα θα πρέπει να βοηθά τους ανθρώπους να επαληθεύουν την ταυτότητα χωρίς να βοηθά τους ξένους να κατανοήσουν το σύστημα πρόσβασης.

Μια εταιρεία μέσων ενημέρωσης στη Νέα Υόρκη επανασχεδίασε τις κονκάρδες της αφού διαπίστωσε ότι οι προσωρινοί εργαζόμενοι εκδηλώσεων έμοιαζαν πάρα πολύ με το προσωπικό. Οι παλιές κονκάρδες χρησιμοποιούσαν διαφορετικές μικρές ετικέτες κειμένου που οι πολυάσχολοι φύλακες σπάνια παρατηρούσαν. Ο νέος σχεδιασμός χρησιμοποιούσε σαφείς οπτικές κατηγορίες για υπάλληλο, επισκέπτη, εργολάβο και συνεργείο παραγωγής. Τα δικαιώματα πρόσβασης εξακολουθούσαν να ελέγχονται ηλεκτρονικά, αλλά η ανθρώπινη αναγνώριση βελτιώθηκε. Ένα αντιγραμμένο διαπιστευτήριο υπαλλήλου θα εξακολουθούσε να χρειάζεται να περάσει οπτικό και συμπεριφορικό έλεγχο σε ευαίσθητες περιοχές. Η εταιρεία έμαθε ότι η φυσική και η ηλεκτρονική ασφάλεια θα πρέπει να ενισχύουν η μία την άλλη.

Χρησιμοποιήστε τα αρχεία καταγραφής για να εντοπίσετε ό,τι διαφεύγει της πρόληψης

Η παρακολούθηση μπορεί να εντοπίσει ό,τι διαφεύγει της πρόληψης. Ακόμα και ένα ισχυρό σύστημα κονκάρδων θα πρέπει να υποθέτει ότι τα διαπιστευτήρια μπορεί να χαθούν, να κλαπούν, να χρησιμοποιηθούν κακώς ή να υποστούν κοινωνική μηχανική. Τα αρχεία καταγραφής ελέγχου πρόσβασης δεν θα πρέπει να αγνοούνται μέχρι να συμβεί ένα περιστατικό. Οι ομάδες ασφαλείας μπορούν να αναζητήσουν περίεργα μοτίβα: μια κονκάρδα που εισέρχεται σε δύο απομακρυσμένες πόρτες πολύ γρήγορα, επαναλαμβανόμενη χρήση εκτός κανονικών ωρών, απόπειρες πρόσβασης σε πόρτες άσχετες με τον ρόλο του ατόμου, μια κονκάρδα εργολάβου που χρησιμοποιείται μετά την ημερομηνία λήξης του έργου ή μια κονκάρδα υπαλλήλου που εισέρχεται ενώ το άτομο βρίσκεται σε διακοπές. Αυτά τα σήματα δεν αποδεικνύουν από μόνα τους αντιγραφή, αλλά αξίζει να ελεγχθούν.

Μια εταιρεία αποθηκών στην Ατλάντα εντόπισε ένα πρόβλημα κακής χρήσης διαπιστευτηρίων μέσω ανάλυσης αρχείων καταγραφής. Η κονκάρδα ενός επόπτη χρησιμοποιήθηκε σε μια πλαϊνή είσοδο αργά το βράδυ ενώ ο επόπτης βρισκόταν εκτός πολιτείας. Η κονκάρδα είχε αντιγραφεί από ένα εφεδρικό αντίγραφο που είχε μείνει σε ένα συρτάρι γραφείου, αν και η ακριβής διαδρομή δεν αποδείχθηκε ποτέ πλήρως. Η εταιρεία αυστηροποίησε τους κανόνες αποθήκευσης κονκάρδων, πρόσθεσε ειδοποιήσεις εκτός ωραρίου για χρήστες υψηλής πρόσβασης και απαίτησε άμεση αναφορά χαμένων διαπιστευτηρίων. Η αντιγραμμένη κονκάρδα είχε ανοίξει μια πόρτα, αλλά η ασυνήθιστη χρονική στιγμή τελικά την αποκάλυψε.

Εκπαιδεύστε τους υπαλλήλους να αντιμετωπίζουν τις κονκάρδες ως προσωπικά διαπιστευτήρια

Η εκπαίδευση είναι ακόμα μία από τις φθηνότερες άμυνες. Οι υπάλληλοι θα πρέπει να γνωρίζουν ότι οι κονκάρδες δεν πρέπει να δανείζονται, να φωτογραφίζονται, να αφήνονται σε αυτοκίνητα, να δημοσιεύονται στο διαδίκτυο ή να δίνονται σε επισκέπτες. Το προσωπικό θα πρέπει να αμφισβητεί ευγενικά άγνωστα άτομα σε ασφαλείς περιοχές. Οι διευθυντές θα πρέπει να αποφεύγουν να ζητούν από τους υπαλλήλους να μοιράζονται κονκάρδες για ευκολία. Η υποδοχή θα πρέπει να αρνείται συντομεύσεις που παρακάμπτουν τους ελέγχους ταυτότητας. Τα μηνύματα ασφαλείας θα πρέπει να είναι συγκεκριμένα, όχι αόριστα. Το «Μην μοιράζεστε την κονκάρδα σας επειδή δημιουργεί ψευδή αρχεία πρόσβασης και μπορεί να επιτρέψει σε ξένους να εισέλθουν ως εσείς» είναι καλύτερο από το «ακολουθήστε την πολιτική κονκάρδων».

Ένα πρακτορείο σχεδιασμού στη Στοκχόλμη χρησιμοποίησε μια σύντομη εκπαιδευτική συνεδρία αφού μετέβη σε κονκάρδες NFC υπαλλήλων. Αντί για ένα βαρετό υπόμνημα ασφαλείας, ο διευθυντής εγκαταστάσεων έδειξε πώς μια κοινόχρηστη κονκάρδα μπορεί να καταστήσει άχρηστη την ανασκόπηση κάμερας, τη λογοδοσία έκτακτης ανάγκης και τα αρχεία καταγραφής πρόσβασης. Οι υπάλληλοι κατάλαβαν αμέσως το νόημα. Το πρακτορείο έδωσε επίσης στο προσωπικό Αποκλεισμός RFID θήκες κονκάρδας που προστάτευαν τις κάρτες από περιστασιακή ανάγνωση και τους υπενθύμισε να μην επιδεικνύουν τις κονκάρδες έξω από το κτίριο. Η τεχνική αναβάθμιση λειτούργησε καλύτερα επειδή οι άνθρωποι που χρησιμοποιούσαν τις κονκάρδες κατάλαβαν γιατί υπήρχαν οι κανόνες.

Δώστε προτεραιότητα σε κρίσιμες πόρτες και αγοράστε κονκάρδες ως περιουσιακά στοιχεία ασφαλείας

Για γρήγορη δράση, οι εταιρείες θα πρέπει να δώσουν προτεραιότητα στις κρίσιμες πόρτες πρώτα. Δωμάτια διακομιστών, εργαστήρια, περιοχές διοίκησης, γραμμές παραγωγής, χώροι R&D, κλωβοί αποθέματος, αποθήκευση φαρμάκων, αρχεία εγγράφων, δωμάτια δεδομένων και γραφεία ασφαλείας αξίζουν ισχυρότερα διαπιστευτήρια και αυστηρότερη παρακολούθηση από τις γενικές πόρτες του λόμπι. Εάν ο προϋπολογισμός εμποδίζει μια πλήρη αναβάθμιση του κτιρίου αμέσως, ξεκινήστε εκεί όπου μια αντιγραμμένη κονκάρδα θα προκαλούσε τη μεγαλύτερη ζημιά. Αντικαταστήστε τους αδύναμους αναγνώστες εκεί. Απαιτήστε κρυπτογραφημένα διαπιστευτήρια εκεί. Προσθέστε επαλήθευση PIN ή πολλαπλών παραγόντων εκεί εάν είναι κατάλληλο. Μειώστε τις λίστες πρόσβασης εκεί. Ελέγξτε τα αρχεία καταγραφής εκεί. Μια σταδιακή αναβάθμιση είναι καλύτερη από το να μην κάνετε τίποτα περιμένοντας τον τέλειο προϋπολογισμό.

Μια εταιρεία βιοτεχνολογίας στη Βοστώνη δεν μπορούσε να αντικαταστήσει κάθε αναγνώστη σε ένα τρίμηνο, οπότε κατέταξε τις πόρτες κατά κίνδυνο. Η καφετέρια και οι κοινόχρηστοι χώροι γραφείων παρέμειναν προσωρινά στο παλιό σύστημα. Τα εργαστήρια, η αποθήκευση δειγμάτων και τα δωμάτια αρχείου πνευματικής ιδιοκτησίας μετεγκαταστάθηκαν σε κρυπτογραφημένα διαπιστευτήρια DESFire με αυστηρότερες ομάδες πρόσβασης. Οι κονκάρδες επισκεπτών αποκλείστηκαν από όλους τους ερευνητικούς διαδρόμους. Μέχρι να ολοκληρωθεί η πλήρης μετεγκατάσταση, οι πιο ευαίσθητες περιοχές ήταν ήδη προστατευμένες για μήνες. Η εταιρεία δεν άφησε το τέλειο σχέδιο να καθυστερήσει την επείγουσα διόρθωση.

Οι ομάδες προμηθειών θα πρέπει να σταματήσουν να αγοράζουν κονκάρδες υπαλλήλων ως γενικές πλαστικές κάρτες. Ρωτήστε τον προμηθευτή ποια τεχνολογία τσιπ χρησιμοποιείται. Ρωτήστε αν η κάρτα υποστηρίζει κρυπτογραφημένο έλεγχο ταυτότητας. Ρωτήστε αν η κάρτα είναι συμβατή με τους αναγνώστες ελέγχου πρόσβασης σας. Ρωτήστε πώς διαχειρίζονται τα κλειδιά. Ρωτήστε αν τα διαπιστευτήρια μπορούν να εξατομικευτούν με ασφάλεια. Ρωτήστε αν οι κάρτες μπορούν να προσαρμοστούν οπτικά χωρίς να εκτεθούν ευαίσθητα δεδομένα. Ρωτήστε αν ο προμηθευτής μπορεί να παρέχει δείγματα για πραγματικές δοκιμές αναγνώστη. Ρωτήστε αν το προϊόν είναι κατάλληλο για εταιρικό έλεγχο πρόσβασης, ασφάλεια νοσοκομείων, πρόσβαση σε κέντρα δεδομένων ή κονκάρδες βιομηχανικών εγκαταστάσεων, ανάλογα με την περίπτωση χρήσης. Μια κονκάρδα δεν είναι απλώς μια εκτυπώσιμη επιφάνεια. Είναι ένα διαπιστευτήριο ασφαλείας.

Μια παγκόσμια εταιρεία μηχανικών στη Σιγκαπούρη άλλαξε τη γλώσσα προμηθειών της μετά από μια αποτυχημένη παραγγελία κονκάρδων χαμηλού κόστους. Οι κάρτες που εξετάστηκαν ήταν εντάξει και εκτυπώθηκαν καλά, αλλά η τεχνολογία τσιπ δεν υποστήριζε τη λειτουργία κρυπτογράφησης που απαιτούσε το νέο πρότυπο αναγνώστη. Η εταιρεία έπρεπε να παραγγείλει ξανά πριν από την κυκλοφορία. Μετά από αυτό, κάθε αίτημα αγοράς κονκάρδας περιλάμβανε τύπο τσιπ, απαίτηση μνήμης, εφαρμογή πρόσβασης, ροή εργασίας κωδικοποίησης, σώμα κάρτας, μέθοδο εκτύπωσης και συμβατότητα αναγνώστη. Οι προμήθειες έγιναν πιο αργές για την πρώτη παραγγελία και πολύ ταχύτερες για κάθε επόμενη παραγγελία.

Σταματήστε να εμπιστεύεστε τις κονκάρδες στα τυφλά

Το τελευταίο σημείο είναι ότι οι ανταγωνιστές δεν χρειάζονται μια τέλεια επίθεση αν η εσωτερική σας διαδικασία είναι απρόσεκτη. Αδύναμες κονκάρδες, κοινόχρηστα διαπιστευτήρια, παλιοί αναγνώστες, κάρτες με υπερβολικά δικαιώματα, ορατά δεδομένα κάρτας, κακός έλεγχος επισκεπτών και αργή ανάκληση διευκολύνουν όλα την κλωνοποίηση ή την κακή χρήση. Η λύση δεν είναι πανικός. Είναι πειθαρχημένος έλεγχος πρόσβασης. Αναβαθμίστε από στατικά διαπιστευτήρια σε ασφαλείς κονκάρδες RFID υπαλλήλων. Διαμορφώστε τους αναγνώστες ώστε να χρησιμοποιούν ασφαλή έλεγχο ταυτότητας, όχι συντομεύσεις μόνο UID. Αφαιρέστε τις παλιές κάρτες από το σύστημα. Ελέγξτε την έκδοση. Επανεξετάστε τα δικαιώματα πρόσβασης. Παρακολουθήστε ασυνήθιστη χρήση. Εκπαιδεύστε το προσωπικό. Προστατέψτε πρώτα τις πόρτες υψηλού κινδύνου.

Μια κλωνοποιημένη κονκάρδα δεν θα πρέπει ποτέ να είναι ο εύκολος τρόπος εισόδου στην επιχείρησή σας. Αν το τρέχον σύστημα κονκάρδων σας θα δεχόταν ένα αντιγραμμένο αριθμό, ένα παλιό διαπιστευτήριο εργολάβου ή μια κοινόχρηστη κάρτα χωρίς αμφιβολία, το πρόβλημα υπάρχει ήδη. Δεν χρειάζεται να περιμένετε ένα περιστατικό για να το αποδείξετε. Ο ταχύτερος τρόπος να σταματήσετε την κλωνοποίηση κονκάρδων είναι να σταματήσετε να εμπιστεύεστε τις κονκάρδες στα τυφλά. Κάντε την κάρτα να αποδεικνύει τον εαυτό της κρυπτογραφικά. Κάντε το άτομο να ταιριάζει με την κονκάρδα λειτουργικά. Κάντε τα δικαιώματα πρόσβασης να ταιριάζουν με την εργασία. Κάντε τα παλιά διαπιστευτήρια να λήγουν εγκαίρως. Κάντε αυτά τα πράγματα, και η ύπουλη διαδρομή στην οποία βασίζονται οι ανταγωνιστές γίνεται πολύ πιο δύσκολη, πολύ πιο θορυβώδης και πολύ λιγότερο άξια προσπάθειας.