Κίνδυνοι παραβίασης καρτών MIFARE Classic και ασφαλέστερες επιλογές

Η σοκαριστική αλήθεια για τις κάρτες MIFARE Classic δεν είναι ότι κάθε πόρτα που τις χρησιμοποιεί είναι ήδη καταδικασμένη. Η σοκαριστική αλήθεια είναι ότι πολλές εταιρείες εξακολουθούν να τις αντιμετωπίζουν ως σύγχρονα ασφαλή διαπιστευτήρια, παρόλο που το μοντέλο ασφαλείας πίσω από αυτές ανήκει σε μια παλαιότερη εποχή. Σε πάρα πολλά γραφεία, γυμναστήρια, ξενοδοχεία, σχολεία, αποθήκες, εργαστήρια και πολυκατοικίες, μια μικρή κάρτα ανέπαφης επικοινωνίας εμπιστεύεται απλώς και μόνο επειδή ανοίγει μια πόρτα και φαίνεται επαγγελματική. Κανείς δεν ρωτά τι chip βρίσκεται μέσα. Κανείς δεν ρωτά αν ο αναγνώστης ελέγχει κρυπτογραφημένα δεδομένα ή απλώς διαβάζει έναν αριθμό κάρτας. Κανείς δεν ρωτά αν η ίδια μορφή διαπιστευτηρίου χρησιμοποιείται για δέκα χρόνια χωρίς επανεξέταση. Και μετά, μια μέρα, φτάνει ένας έλεγχος ασφαλείας, και η ομάδα ελέγχου πρόσβασης ανακαλύπτει ότι η κάρτα που όλοι εμπιστεύονταν είναι πολύ πιο εύκολο να αντιγραφεί απ' ό,τι υπέθεταν.

Η MIFARE Classic έγινε δημοφιλής επειδή ήταν προσιτή, ευρέως υποστηριζόμενη, εύκολη στην κωδικοποίηση και βολική για έλεγχο πρόσβασης, κάρτες μέλους, πανεπιστημιακές κάρτες, δημόσιες εγκαταστάσεις, ντουλάπια, αυτόματους πωλητές και απλά συστήματα αποθηκευμένης αξίας. Για μεγάλο διάστημα, αυτός ο συνδυασμός είχε λογική. Το πρόβλημα είναι ότι η δημοτικότητα συχνά δημιουργεί αδράνεια. Ένα κτίριο εγκαθιστά συμβατούς αναγνώστες. Ένας εκτυπωτής καρτών διαμορφώνεται. Το προσωπικό μαθαίνει τη διαδικασία. Το τμήμα προμηθειών παραγγέλνει τις ίδιες κενές κάρτες ξανά και ξανά. Περνούν χρόνια. Η πλατφόρμα ελέγχου πρόσβασης αλλάζει, αλλά η τεχνολογία καρτών παραμένει ίδια επειδή η αντικατάστασή της φαίνεται άβολη. Έτσι κρύβεται ο κίνδυνος των παλαιών διαπιστευτηρίων σε κοινή θέα.

Γιατί οι κάρτες MIFARE Classic έγιναν κρυφός κίνδυνος ασφαλείας

Το βασικό ζήτημα είναι ότι η MIFARE Classic δεν σχεδιάστηκε για το σημερινό περιβάλλον απειλών. Ο παλαιός κρυπτογραφικός σχεδιασμός της μελετάται δημόσια εδώ και χρόνια, και η συγκεκριμένη οικογένεια καρτών θεωρείται ευρέως ακατάλληλη για εφαρμογές υψηλής ασφάλειας όταν χρησιμοποιείται ως κύριο διαπιστευτήριο πρόσβασης. Ο πρακτικός κίνδυνος γίνεται μεγαλύτερος όταν τα συστήματα βασίζονται μόνο στο UID της κάρτας, χρησιμοποιούν προεπιλεγμένα κλειδιά, μοιράζονται κλειδιά σε πολλές εγκαταστάσεις ή αποτυγχάνουν να επαληθεύσουν σωστά την κάρτα. Με απλά λόγια, αν ένα σύστημα πόρτας αντιμετωπίζει μια κάρτα MIFARE Classic ως ασφαλή απόδειξη ταυτότητας χωρίς ισχυρότερους ελέγχους, ο οργανισμός μπορεί να εμπιστεύεται ένα διαπιστευτήριο που ένας επιτιθέμενος μπορεί να αντιγράψει ή να μιμηθεί πολύ πιο εύκολα απ' ό,τι περιμένει η διοίκηση.

Ένας χώρος συνεργασίας στο Βερολίνο το έμαθε αυτό αφού ένας ένοικος ρώτησε αν το κτίριο χρησιμοποιεί ακόμη κάρτες πρόσβασης MIFARE Classic. Ο διευθυντής λειτουργιών δεν το γνώριζε. Οι κάρτες έφεραν το λογότυπο της εταιρείας, ονόματα και ένα καθαρό ματ φινίρισμα, οπότε όλοι υπέθεταν ότι ήταν εντάξει. Ένας σύμβουλος εξέτασε το σύστημα και διαπίστωσε ότι οι αναγνώστες δέχονταν τον σειριακό αριθμό της κάρτας αντί για μια ασφαλή εφαρμογή. Ο χώρος είχε εκατοντάδες μέλη, προσωρινούς επισκέπτες, καθαριστές και χρήστες εκδηλώσεων να περνούν από τις πόρτες κάθε εβδομάδα. Η μεγαλύτερη αμηχανία δεν ήταν οι ίδιες οι παλιές κάρτες. Ήταν ότι κανείς στην εταιρεία δεν γνώριζε τη διαφορά μεταξύ μιας όμορφης κάρτας RFID και ενός ασφαλούς διαπιστευτηρίου RFID.

Γιατί οι αγοραστές συχνά συγχέουν τον τύπο κάρτας με την ασφάλεια της κάρτας

Αυτή η σύγχυση είναι συνηθισμένη. Πολλοί αγοραστές χρησιμοποιούν φράσεις όπως κάρτα RFID, κάρτα NFC, κάρτα εγγύτητας, κάρτα πρόσβασης και έξυπνη κάρτα σαν να σημαίνουν το ίδιο πράγμα. Δεν σημαίνουν. Ένα απλό σύστημα καρτών βασισμένο σε UID δεν είναι το ίδιο με μια ασφαλή κάρτα πρόσβασης DESFire. Μια κάρτα MIFARE Classic δεν είναι το ίδιο με ένα σύγχρονο κρυπτογραφημένο διαπιστευτήριο. Μια κάρτα που μπορεί να διαβαστεί από έναν επιτραπέζιο κωδικοποιητή δεν προστατεύεται αυτόματα από κλωνοποίηση. Όταν οι ομάδες προμηθειών ζητούν μόνο «13.56 MHz Κάρτες RFID», μπορεί να παραλάβουν μια κάρτα που λειτουργεί με τον αναγνώστη αλλά δεν καλύπτει την απαίτηση ασφαλείας που έχει στην πραγματικότητα η επιχείρηση.

Μια ιδιωτική αλυσίδα γυμναστηρίων στο Μαϊάμι είχε ένα πρόβλημα απάτης μελών που αρχικά φαινόταν μικρό. Τα μέλη παραπονιούνταν ότι άνοιγαν ντουλάπια και ότι τα αρχεία εισόδου επισκεπτών δεν συμφωνούσαν με τα αρχεία της ρεσεψιόν. Το γυμναστήριο χρησιμοποιούσε κάρτες MIFARE Classic για πρόσβαση μελών, έλεγχο ντουλαπιών και παραλαβή πετσετών. Το σύστημα λειτουργούσε για χρόνια, οπότε το προσωπικό υπέθετε ότι το πρόβλημα ήταν ανθρώπινο λάθος. Ένας έλεγχος ασφαλείας διαπίστωσε ότι ορισμένα διαπιστευτήρια μελών μπορούσαν να αντιγραφούν επειδή το σύστημα βασιζόταν υπερβολικά σε στατικά δεδομένα κάρτας. Το γυμναστήριο δεν δημοσιοποίησε το ζήτημα ούτε πανικόβλησε τους πελάτες. Μετέφερε διακριτικά τις περιοχές υψηλής ποιότητας πρόσβασης σε ισχυρότερες κάρτες και ενημέρωσε τους αναγνώστες των ντουλαπιών. Η απάτη έπαψε να είναι εύκολη επειδή το διαπιστευτήριο έγινε επιτέλους δυσκολότερο να μιμηθεί.

Ο κίνδυνος δεν προέρχεται μόνο από εξωτερικούς χάκερ. Τα αδύναμα συστήματα καρτών δημιουργούν και εσωτερική κατάχρηση. Αν ένας εργολάβος, πρώην υπάλληλος, προσωρινός εργαζόμενος ή ανέντιμο μέλος μπορεί να αποκτήσει ένα λειτουργικό διαπιστευτήριο και να το αντιγράψει, τα αρχεία πρόσβασης γίνονται αναξιόπιστα. Το σύστημα μπορεί να δείχνει ότι «η κάρτα της Άλις» μπήκε σε μια πόρτα, αλλά αν υπάρχει αντίγραφο, το αρχείο δεν αποδεικνύει πλέον ότι η Άλις ήταν εκεί. Αυτό είναι σοβαρό πρόβλημα σε γραφεία, εργαστήρια, νοσοκομεία, εργοστάσια και πολυκατοικίες όπου τα ίχνη ελέγχου έχουν σημασία. Μια αδύναμη κάρτα δεν ανοίγει μόνο πόρτες. Υπονομεύει την αξιοπιστία κάθε αναφοράς πρόσβασης.

Μια εταιρεία συσκευασίας φαρμάκων στη Βασιλεία το ανακάλυψε αυτό κατά τη διάρκεια έρευνας για πρόσβαση εκτός ωραρίου σε έναν ελεγχόμενο χώρο αποθήκευσης. Το αρχείο έδειχνε την κάρτα ενός εξουσιοδοτημένου τεχνικού να εισέρχεται τη νύχτα. Ο τεχνικός αρνήθηκε ότι βρισκόταν στον χώρο, και το υλικό από τις κάμερες υποδείκνυε ότι άλλο άτομο χρησιμοποίησε την πόρτα. Η εταιρεία εξέδιδε κονκάρδες MIFARE Classic για χρόνια και δεν είχε ποτέ επανεξετάσει τον σχεδιασμό των διαπιστευτηρίων. Το περιστατικό επέβαλε σχέδιο μετάβασης σε ασφαλείς κάρτες DESFire EV3, επαλήθευση από την πλευρά του αναγνώστη και αυστηρότερους ελέγχους έκδοσης κονκάρδων. Το πιο επώδυνο σημείο δεν ήταν η αντικατάσταση των καρτών. Ήταν η συνειδητοποίηση ότι τα παλιά αρχεία πρόσβασης ήταν λιγότερο αξιόπιστα απ' ό,τι πίστευε η διοίκηση.

Γιατί οι λειτουργικές κάρτες πρόσβασης μπορεί να είναι ακόμη ανασφαλείς

Ο κίνδυνος της MIFARE Classic συχνά παραμένει κρυφός επειδή το σύστημα συνεχίζει να λειτουργεί. Οι πόρτες ανοίγουν. Οι υπάλληλοι περνούν την κάρτα με επιτυχία. Οι εκτυπωτές κωδικοποιούν κάρτες. Οι επισκέπτες λαμβάνουν κονκάρδες. Τίποτα δεν φαίνεται χαλασμένο. Η αποτυχία ασφαλείας στον έλεγχο πρόσβασης δεν είναι πάντα ορατή όπως μια σπασμένη κλειδαριά. Μπορεί να φαίνεται απολύτως φυσιολογική μέχρι κάποιος να την εκμεταλλευτεί. Γι' αυτό οι οργανισμοί δεν πρέπει να περιμένουν ένα περιστατικό πριν επανεξετάσουν την τεχνολογία καρτών. Αν το κτίριο χρησιμοποιεί MIFARE Classic, η σωστή ερώτηση δεν είναι «Λειτουργεί ακόμη;». Η σωστή ερώτηση είναι «Τι ακριβώς επαληθεύει ο αναγνώστης, και τι θα συνέβαινε αν αυτό το διαπιστευτήριο αντιγραφόταν;»

Ένα πανεπιστήμιο στο Τορόντο είχε περισσότερες από 40.000 πανεπιστημιακές κάρτες σε κυκλοφορία. Οι φοιτητές τις χρησιμοποιούσαν για πρόσβαση σε κτίρια, δανεισμό βιβλιοθήκης, εκτύπωση, σίτιση και είσοδο σε εστίες. Το πανεπιστήμιο γνώριζε ότι το σύστημα καρτών ήταν παλιό, αλλά η αντικατάστασή του φαινόταν δαπανηρή. Μετά από έλεγχο τρίτου μέρους, η ομάδα ασφαλείας συνειδητοποίησε ότι διαφορετικά πανεπιστημιακά συστήματα χρησιμοποιούσαν την κάρτα με διαφορετικούς τρόπους. Ορισμένα συστήματα είχαν ισχυρότερους ελέγχους στο backend, ενώ αρκετές παλαιότερες πόρτες βασίζονταν σε αδύναμους ελέγχους διαπιστευτηρίων. Το πανεπιστήμιο δεν αντικατέστησε τα πάντα μέσα σε μια νύχτα. Ξεκίνησε από τις εστίες, τα εργαστήρια και τους χώρους φύλαξης θεμάτων εξετάσεων, και προχώρησε αργότερα σε περιοχές χαμηλότερου κινδύνου. Αυτή η σταδιακή προσέγγιση λειτούργησε επειδή το πανεπιστήμιο έπαψε να αντιμετωπίζει κάθε πόρτα ως ίση.

Αυτή είναι η σωστή νοοτροπία. Δεν δημιουργεί κάθε εγκατάσταση MIFARE Classic το ίδιο επίπεδο κινδύνου. Μια κάρτα που χρησιμοποιείται μόνο για ένα πρόγραμμα επιβράβευσης χαμηλής αξίας είναι διαφορετική από μια κάρτα που χρησιμοποιείται για κέντρο δεδομένων, φαρμακαποθήκη, πορτοφόλι πληρωμών, πολυτελή κατοικία, ερευνητικό εργαστήριο ή διάδρομο νοσοκομείου αποκλειστικά για προσωπικό. Ο επιχειρηματικός αντίκτυπος καθορίζει τον βαθμό επείγοντος. Ωστόσο, κάθε οργανισμός που χρησιμοποιεί MIFARE Classic για έλεγχο πρόσβασης θα πρέπει να κατανοεί ότι η τεχνολογία είναι παλαιά και να σχεδιάζει πορεία μετάβασης. Το πραγματικό λάθος είναι να προσποιείται κανείς ότι το ζήτημα είναι θεωρητικό.

Μια πολυτελής πολυκατοικία στο Λονδίνο βρέθηκε σε δύσκολη θέση όταν οι ένοικοι άρχισαν να ρωτούν για κλωνοποίηση κονκάρδων αφού διάβασαν ειδήσεις ασφαλείας στο διαδίκτυο. Το κτίριο χρησιμοποιούσε κονκάρδες MIFARE Classic για κύρια είσοδο, ανελκυστήρες, πρόσβαση στο γυμναστήριο και αίθουσες παραλαβής δεμάτων. Η διοίκηση προσπάθησε αρχικά να καθησυχάσει όλους λέγοντας ότι οι κονκάρδες ήταν «κρυπτογραφημένες», αλλά ο μηχανικός του κτιρίου δεν μπορούσε να εξηγήσει τι σήμαινε αυτό. Ένας ολοκληρωτής συστημάτων ασφαλείας δοκίμασε το σύστημα και συνέστησε μετάβαση σε διαπιστευτήρια βασισμένα σε DESFire με σωστή διαχείριση κλειδιών. Το κτίριο διατήρησε το ίδιο οπτικό στυλ για τις κονκάρδες των ενοίκων αλλά άλλαξε το υποκείμενο chip και τους αναγνώστες. Οι ένοικοι δεν χρειαζόταν να κατανοήσουν κάθε τεχνική λεπτομέρεια. Χρειαζόταν το κτίριο να πάψει να βασίζεται σε αόριστες λέξεις καθησυχασμού.

Μια άλλη άβολη αλήθεια είναι ότι πολλά συστήματα MIFARE Classic εγκαταστάθηκαν με προτεραιότητα την ευκολία. Οι ολοκληρωτές συστημάτων ήθελαν συμβατότητα. Οι πελάτες ήθελαν χαμηλό κόστος κάρτας. Τα γραφεία έκδοσης κονκάρδων ήθελαν εύκολη έκδοση. Οι κατασκευαστές αναγνωστών ήθελαν ευρεία υποστήριξη. Αυτές οι προτεραιότητες είχαν λογική σε απλά περιβάλλοντα, αλλά συχνά οδήγησαν σε αδύναμες πρακτικές κλειδιών, διπλότυπες διαμορφώσεις και ελάχιστη διαχείριση κύκλου ζωής. Μόλις μια εγκατάσταση αποκτήσει χιλιάδες κάρτες και αναγνώστες, η αλλαγή του συστήματος φαίνεται δύσκολη. Όσο περισσότερο περιμένει ο οργανισμός, τόσο δυσκολότερη γίνεται η μετάβαση.

Μια αποθήκη εφοδιαστική στο Ρότερνταμ χρησιμοποιούσε κονκάρδες MIFARE Classic για εισόδους προσωπικού, αίθουσες φόρτισης περονοφόρων και χώρους αποθήκευσης σε κλωβούς. Η τεχνολογία καρτών είχε κληρονομηθεί από ένα παλαιότερο σύστημα καταγραφής χρόνου. Όταν η εταιρεία πρόσθεσε αποθήκευση ηλεκτρονικών υψηλής αξίας, απλώς επέκτεινε την ίδια πρόσβαση κονκάρδας στον νέο κλωβό. Αυτό ήταν το λάθος. Μεταγενέστερη αξιολόγηση κινδύνου διαχώρισε τα επίπεδα πρόσβασης. Οι γενικές πόρτες παρέμειναν προσωρινά στο παλιό σύστημα καρτών, αλλά ο κλωβός ηλεκτρονικών μεταφέρθηκε σε ασφαλή διαπιστευτήρια, πρόσβαση με υποστήριξη καμερών και έγκριση διευθυντή. Η αποθήκη έμαθε ότι η επέκταση ενός παλιού διαπιστευτηρίου σε περιοχές υψηλότερου κινδύνου αυξάνει σιωπηλά την έκθεση.

Γιατί η ανάγνωση UID είναι ένα συνηθισμένο αδύναμο σημείο

Το πιο συνηθισμένο λάθος άμυνας είναι η ανάγνωση μόνο του UID. Ένα UID μπορεί να είναι βολικό επειδή είναι εύκολο για αναγνώστες RFID και λογισμικό να το επεξεργαστούν, αλλά η βασισμένη μόνο σε UID προσέγγιση είναι αδύναμη. Ένας ασφαλής σχεδιασμός ελέγχου πρόσβασης θα πρέπει να επικυρώνει προστατευμένα δεδομένα διαπιστευτηρίων και να χρησιμοποιεί σύγχρονη κρυπτογραφική επαλήθευση όπου η κάρτα και ο αναγνώστης αποδεικνύουν κάτι περισσότερο από έναν ορατό σειριακό αριθμό. Αν ο προμηθευτής ελέγχου πρόσβασης σας πει «Απλώς διαβάζουμε τον αριθμό της κάρτας», αυτό αξίζει μια συζήτηση παρακολούθησης. Ο αριθμός κάρτας δεν είναι το ίδιο πράγμα με την ασφαλή ταυτότητα.

Μια μικρή εταιρεία λογισμικού στο Όστιν εξέδωσε προσαρμοσμένες ξύλινες κάρτες με λειτουργίες RFID επειδή οι ιδρυτές ήθελαν καλύτερη εμπειρία ένταξης. Οι κάρτες έμοιαζαν όμορφες, και η λειτουργία επαφής NFC άνοιγε μια εσωτερική σελίδα προφίλ. Αλλά οι αναγνώστες της πόρτας του γραφείου ήταν διαμορφωμένοι να δέχονται μόνο το UID της κάρτας. Ένας σύμβουλος επισήμανε ότι η εταιρεία είχε αναβαθμίσει το υλικό της κονκάρδας χωρίς να αναβαθμίσει την ασφάλεια του διαπιστευτηρίου. Η εταιρεία επανασχεδίασε την επόμενη παρτίδα με ασφαλές chip πρόσβασης και διατήρησε τη λειτουργία προφίλ NFC ξεχωριστά. Η πρώτη έκδοση ήταν κομψή. Η δεύτερη έκδοση ήταν κομψή και υπερασπίσιμη.

Πώς μπορούν οι οργανισμοί να μεταβούν χωρίς χάος

Η μετάβαση δεν απαιτεί πάντα χάος. Πολλοί οργανισμοί χρησιμοποιούν κάρτες διπλής τεχνολογίας κατά τη διάρκεια της μετάβασης. Μια κάρτα μπορεί να περιλαμβάνει συμβατότητα με παλαιότερους αναγνώστες και ένα ασφαλές chip για αναβαθμισμένες πόρτες. Αυτό επιτρέπει στην εταιρεία να αντικαταστήσει τους αναγνώστες σε φάσεις ενώ οι εργαζόμενοι φέρουν μία κονκάρδα. Ωστόσο, οι κάρτες διπλής τεχνολογίας θα πρέπει να αντιμετωπίζονται ως γέφυρα, όχι ως μόνιμη δικαιολογία για να διατηρούνται για πάντα αδύναμοι αναγνώστες. Αν η παλιά πλευρά της κάρτας παραμένει ενεργή επ' αόριστον, ο κίνδυνος παραμένει επίσης ενεργός.

Ένα νοσοκομείο στη Σιγκαπούρη μετέβη από κάρτες προσωπικού MIFARE Classic σε διαπιστευτήρια DESFire μέσα σε δεκαοκτώ μήνες. Η πρώτη φάση χρησιμοποίησε κονκάρδες διπλής τεχνολογίας ώστε το προσωπικό να μπορεί να εισέρχεται ακόμη σε παλαιότερα κτίρια ενώ εγκαθίσταντο νέοι αναγνώστες σε φαρμακεία, αίθουσες χειρουργείων και μαιευτικές περιοχές. Μόλις αναβαθμίστηκαν οι κρίσιμες περιοχές, το νοσοκομείο απενεργοποίησε την αποδοχή παλαιών διαπιστευτηρίων σε αυτές τις πόρτες. Αργότερα, αφαίρεσε τους παλιούς αναγνώστες από γραφεία χαμηλότερου κινδύνου. Το σταδιακό έργο πέτυχε επειδή η ομάδα ασφαλείας όρισε σαφή τελική κατάσταση. Η διπλή τεχνολογία βοήθησε τη μετάβαση, αλλά δεν έγινε μόνιμος συμβιβασμός.

Ορισμένοι οργανισμοί ξεχνούν επίσης τα συστήματα εκτός πορτών. Μια κονκάρδα μπορεί να χρησιμοποιείται για αυτόματους πωλητές, εκτύπωση, ντουλάπια, στάθμευση, πληρωμή σε κυλικείο, περίπτερα επισκεπτών, αίθουσες συνεδριάσεων, καταγραφή χρόνου εργασίας και ανελκυστήρες. Αν η κάρτα αναβαθμιστεί αλλά ένα παλιό υποσύστημα εξακολουθεί να εξαρτάται από δεδομένα MIFARE Classic, το έργο μπορεί να κολλήσει. Μια πλήρης μετάβαση καρτών θα πρέπει να χαρτογραφεί κάθε σημείο όπου χρησιμοποιείται η κάρτα. Η μεγαλύτερη έκπληξη συχνά δεν είναι η κύρια πλατφόρμα ελέγχου πρόσβασης. Είναι το ξεχασμένο φωτοαντιγραφικό, ο παλιός ελεγκτής ντουλαπιών ή ο αναγνώστης στάθμευσης στο υπόγειο που εξακολουθεί να περιμένει παλαιά δεδομένα.

Μια εταιρική πανεπιστημιούπολη στο Παρίσι προσπάθησε να αναβαθμίσει γρήγορα τις κονκάρδες πρόσβασης μετά από έλεγχο ασφαλείας. Οι κύριες πόρτες ήταν έτοιμες, αλλά τα ντουλάπια των εργαζομένων, τα τερματικά πληρωμής στην καντίνα και οι σταθμοί απελευθέρωσης εκτυπώσεων χρησιμοποιούσαν όλα παλιές ρυθμίσεις καρτών. Το έργο σταμάτησε προσωρινά ενώ το τμήμα IT και οι εγκαταστάσεις χαρτογράφησαν κάθε σημείο επαφής κονκάρδας. Η τελική μετάβαση πήρε περισσότερο χρόνο, αλλά απέφυγε την έκδοση νέων καρτών που άνοιγαν πόρτες και αποτύγχαναν παντού αλλού. Η εταιρεία έμαθε ότι ο εκσυγχρονισμός κονκάρδων είναι έργο επιχειρησιακής διαδικασίας, όχι απλώς παραγγελία καρτών.

Πώς να ιεραρχήσετε κόστος, κίνδυνο και συμμόρφωση

Το κόστος είναι η συνήθης αντίρρηση. Οι κάρτες MIFARE Classic είναι φθηνές, και πολλοί συμβατοί αναγνώστες είναι ήδη εγκατεστημένοι. Οι ασφαλείς έξυπνες κάρτες και οι αναβαθμισμένοι αναγνώστες κοστίζουν περισσότερο. Αλλά η σύγκριση είναι άδικη αν αγνοεί τον κίνδυνο. Ποιο είναι το κόστος της μη εξουσιοδοτημένης εισόδου; Ποιο είναι το κόστος των αναξιόπιστων αρχείων ελέγχου; Ποιο είναι το κόστος ενός κλεμμένου φορητού υπολογιστή από ασφαλές γραφείο, φαρμάκων που λείπουν από ένα ντουλάπι, παραπόνου ενοίκου, αποτυχημένου ελέγχου ασφαλείας ή εσωτερικού ατόμου που χρησιμοποιεί αντιγραμμένη κονκάρδα; Τα φθηνά διαπιστευτήρια δεν είναι φθηνά όταν προστατεύουν ακριβούς χώρους.

Ένα εργαστήριο ιατρικής έρευνας στη Βοστώνη καθυστέρησε τη μετάβαση επειδή ο προϋπολογισμός για κάρτες φαινόταν υψηλός. Στη συνέχεια, ένας έλεγχος συμμόρφωσης ρώτησε πώς το εργαστήριο έλεγχε την πρόσβαση εκτός ωραρίου σε αίθουσες αποθήκευσης δειγμάτων. Η ομάδα μπορούσε να δείξει αρχεία, αλλά ο ελεγκτής αμφισβήτησε αν το σύστημα διαπιστευτηρίων μπορούσε να αποδείξει αξιόπιστα το πρόσωπο. Αυτό άλλαξε τη συζήτηση για τον προϋπολογισμό. Το εργαστήριο αναβάθμισε πρώτα τους αναγνώστες που προστατεύουν δείγματα, καταψύκτες και αίθουσες ελεγχόμενων εγγράφων. Οι πόρτες των γραφείων ήρθαν αργότερα. Το εργαστήριο δεν ξόδεψε χρήματα παντού ταυτόχρονα. Ξόδεψε εκεί όπου τα αδύναμα διαπιστευτήρια δημιουργούσαν τη μεγαλύτερη έκθεση συμμόρφωσης.

Η εκπαίδευση είναι ένα απλό αλλά συχνά παραμελημένο βήμα. Οι διαχειριστές εγκαταστάσεων, οι ομάδες HR, το προσωπικό προμηθειών και οι εκδότες κονκάρδων στη ρεσεψιόν δεν χρειάζεται να γίνουν κρυπτογράφοι. Χρειάζεται όμως να γνωρίζουν ότι η εμφάνιση της κάρτας δεν ισούται με την ασφάλεια της κάρτας. Θα πρέπει να κατανοούν σε υψηλό επίπεδο τη διαφορά μεταξύ παλαιάς κάρτας εγγύτητας, MIFARE Classic, ετικετών μάρκετινγκ NFC, διαπιστευτηρίων DESFire, ανάγνωσης UID και ασφαλούς επαλήθευσης. Αυτό αποτρέπει τυχαίες υποβαθμίσεις. Βοηθά επίσης τους αγοραστές να κάνουν καλύτερες ερωτήσεις στους προμηθευτές.

Ένας όμιλος ξενοδοχείων στη Μαδρίτη παραλίγο να παραγγείλει μια φθηνότερη παρτίδα αντικατάστασης καρτών επισκεπτών και προσωπικού αφού είδε ότι ο προμηθευτής τις χαρακτήριζε «συμβατές με MIFARE». Ο διευθυντής IT ρώτησε ποιο chip βρίσκεται μέσα και πώς ταιριάζει με το σύστημα κλειδαριών. Η απάντηση αποκάλυψε ότι η προσφερόμενη κάρτα δεν ήταν κατάλληλη για την προγραμματισμένη αναβάθμιση ασφαλούς πρόσβασης προσωπικού του ξενοδοχείου. Ο αγοραστής επέλεξε διαφορετική κάρτα για τα διαπιστευτήρια προσωπικού και διατήρησε τις κάρτες δωματίων επισκεπτών υπό ξεχωριστή προδιαγραφή συστήματος κλειδαριών. Μία ερώτηση απέτρεψε μια συντόμευση προμηθειών από το να γίνει οπισθοδρόμηση ασφαλείας.

Τι να ρωτήσετε πριν αντικαταστήσετε κάρτες MIFARE Classic

Η σωστή συζήτηση με τον προμηθευτή είναι συγκεκριμένη. Ρωτήστε ποιο chip παρέχεται. Ρωτήστε αν το σύστημα διαβάζει μόνο το UID ή επαληθεύει προστατευμένα δεδομένα. Ρωτήστε αν χρησιμοποιούνται προεπιλεγμένα κλειδιά οπουδήποτε. Ρωτήστε αν τα κλειδιά διαφοροποιούνται ανά εγκατάσταση ή ανά κάρτα. Ρωτήστε πώς απενεργοποιούνται οι χαμένες κάρτες. Ρωτήστε αν οι αναγνώστες υποστηρίζουν ασφαλή διαπιστευτήρια όπως MIFARE DESFire EV2 ή EV3. Ρωτήστε αν η πλατφόρμα ελέγχου πρόσβασης μπορεί να διαχειριστεί τη μετάβαση. Ρωτήστε πώς αντιμετωπίζονται οι κάρτες επισκεπτών, οι κονκάρδες εργολάβων και τα προσωρινά διαπιστευτήρια. Αν ο προμηθευτής απαντά μόνο με «13.56 MHz RFID», συνεχίστε να ρωτάτε.

Ένας φορέας εκμετάλλευσης κέντρου δεδομένων στη Στοκχόλμη εφάρμοσε αυτή την προσέγγιση κατά τη διάρκεια επανεξέτασης διαπιστευτηρίων. Η εταιρεία είχε κληρονομήσει πολλαπλές τεχνολογίες καρτών μετά από εξαγορές. Ορισμένες εγκαταστάσεις χρησιμοποιούσαν ασφαλείς κάρτες. Άλλες χρησιμοποιούσαν παλιές κονκάρδες MIFARE Classic. Αντί να παραγγείλει στα τυφλά μία μόνο κάρτα αντικατάστασης, η ομάδα ασφαλείας δημιούργησε έναν πίνακα τύπων αναγνωστών, chip καρτών, επιπέδων πρόσβασης και προσπάθειας μετάβασης. Τα δωμάτια υψηλότερου κινδύνου μετακινήθηκαν πρώτα. Το έργο ήταν βαρετό με τον καλύτερο δυνατό τρόπο: τεκμηριωμένο, σταδιακό, δοκιμασμένο και μετρήσιμο.

Είναι επίσης σημαντικό να μην υπόσχεται κανείς υπερβολικά μετά τη μετάβαση. Ένα σύστημα βασισμένο σε DESFire είναι πολύ ισχυρότερο από ένα κακώς εγκατεστημένο σύστημα MIFARE Classic, αλλά μόνο αν υλοποιηθεί σωστά. Τα ασφαλή chip χρειάζονται ακόμη σωστή διαχείριση κλειδιών, διαμόρφωση αναγνώστη, ελέγχους στο backend, πολιτική έκδοσης καρτών, χειρισμό χαμένων κονκάρδων και τακτική επανεξέταση. Η τεχνολογία βελτιώνει τη βάση. Η διαδικασία τη διατηρεί ισχυρή. Ένας οργανισμός που αναβαθμίζει κάρτες αλλά αφήνει απενεργοποιημένους υπαλλήλους ενεργούς στη βάση δεδομένων έχει ακόμη πρόβλημα πρόσβασης.

Μια ταχέως αναπτυσσόμενη startup στη Νέα Υόρκη μετέβη από παλιές κάρτες MIFARE Classic σε ασφαλείς κονκάρδες εργαζομένων από μπαμπού DESFire. Ο πρώτος μήνας φάνηκε επιτυχημένος, αλλά μια επανεξέταση πρόσβασης έδειξε ότι αρκετοί πρώην εργολάβοι είχαν ακόμη ενεργά δικαιώματα στην πλατφόρμα πρόσβασης. Η τεχνολογία κονκάρδων δεν ήταν πλέον ο πιο αδύναμος κρίκος. Η διαχείριση ήταν. Η εταιρεία πρόσθεσε αυτόματους μηχανισμούς αποχώρησης από το HR και μηνιαίες επανεξετάσεις πρόσβασης. Η αναβάθμιση απέκτησε νόημα μόνο αφού η διαδικασία ανταποκρίθηκε στο νέο διαπιστευτήριο.

Πώς να επικοινωνήσετε τον κίνδυνο υπεύθυνα

Για αγοραστές SEO και υπεύθυνους προϊόντων, το θέμα θα πρέπει να παρουσιάζεται προσεκτικά. Το περιεχόμενο που βασίζεται στον φόβο μπορεί να φέρει κλικ, αλλά η υπεύθυνη καθοδήγηση χτίζει εμπιστοσύνη. Το μήνυμα δεν θα πρέπει να διδάσκει τους ανθρώπους πώς να επιτίθενται σε κάρτες MIFARE Classic. Θα πρέπει να εξηγεί γιατί τα παλαιά διαπιστευτήρια είναι επικίνδυνα, πώς να εντοπίζονται αδύναμες εγκαταστάσεις και πώς να προχωρά κανείς προς ασφαλείς κάρτες ελέγχου πρόσβασης RFID. Οι αγοραστές που αναζητούν κίνδυνο ασφαλείας MIFARE Classic, πρόληψη κλωνοποίησης καρτών RFID, ασφαλείς κάρτες ελέγχου πρόσβασης, κατασκευαστή καρτών DESFire EV3, αντικατάσταση MIFARE Classic ή κρυπτογραφημένες κονκάρδες RFID συνήθως δεν αναζητούν δράμα. Αναζητούν ένα ασφαλές επόμενο βήμα.

Μια εταιρεία διαχείρισης ακινήτων στο Βανκούβερ το ανακάλυψε αυτό αφού δημοσίευσε ειδοποίηση προς τους ενοίκους σχετικά με αναβαθμίσεις κονκάρδων. Το πρώτο σχέδιο έλεγε ότι οι παλιές κάρτες μπορούσαν να χακαριστούν εύκολα, κάτι που τρόμαξε τους ενοίκους και δημιούργησε θυμωμένα email. Η αναθεωρημένη ειδοποίηση εξηγούσε ότι το κτίριο μετέβαινε από ένα παλαιό διαπιστευτήριο σε μια πιο ασφαλή κρυπτογραφημένη κάρτα πρόσβασης, ότι οι παλιές κάρτες θα απενεργοποιούνταν μετά από περίοδο μετάβασης και ότι οι ένοικοι δεν θα έχαναν την πρόσβαση κατά τη διάρκεια της μετάβασης. Τα γεγονότα παρέμειναν σοβαρά, αλλά το μήνυμα έγινε επιχειρησιακό αντί για ανησυχητικό.

Η πρακτική απάντηση στον κίνδυνο των καρτών MIFARE Classic

Η σοκαριστική αλήθεια, λοιπόν, δεν είναι ότι υπάρχουν κάρτες MIFARE Classic. Εξυπηρέτησαν πολλά συστήματα για πολλά χρόνια. Η σοκαριστική αλήθεια είναι ότι πάρα πολλοί οργανισμοί τις χρησιμοποιούν ακόμη χωρίς να γνωρίζουν ποιον κίνδυνο αποδέχονται. Μια παλαιά κάρτα μπορεί να είναι εντάξει για έναν πάγκο επιβράβευσης χαμηλού κινδύνου ή ένα προσωρινό εργαστήριο εκπαίδευσης, αλλά δεν θα πρέπει να προστατεύει σιωπηλά χώρους υψηλής αξίας, ιδιωτικές κατοικίες, χώρους υγειονομικής περίθαλψης, ερευνητικά εργαστήρια, οικονομικά γραφεία ή κρίσιμες υποδομές χωρίς επανεξέταση. Αν η κάρτα μπορεί να αντιγραφεί, το αρχείο της πόρτας μπορεί να αμφισβητηθεί. Αν το αρχείο της πόρτας μπορεί να αμφισβητηθεί, όλη η ιστορία του ελέγχου πρόσβασης αποδυναμώνεται.

Η πρακτική απάντηση είναι απλή. Προσδιορίστε ποια τεχνολογία καρτών χρησιμοποιείται. Μάθετε αν οι αναγνώστες επαληθεύουν ασφαλή δεδομένα ή διαβάζουν μόνο απλούς αναγνωριστικούς κωδικούς. Χαρτογραφήστε κάθε σύστημα που χρησιμοποιεί την κάρτα. Κατατάξτε πόρτες και λειτουργίες κατά κίνδυνο. Αναβαθμίστε πρώτα τις κρίσιμες περιοχές. Προχωρήστε προς ασφαλή διαπιστευτήρια όπως το DESFire όπου είναι κατάλληλο. Χρησιμοποιήστε σωστή διαχείριση κλειδιών. Αποφύγετε προεπιλεγμένες διαμορφώσεις. Απενεργοποιήστε γρήγορα τις χαμένες και παλιές κάρτες. Εκπαιδεύστε τις προμήθειες να μην αγοράζουν αόριστες «κάρτες RFID» χωρίς λεπτομέρειες chip και ασφαλείας. Επανεξετάζετε τακτικά τα δικαιώματα πρόσβασης. Διατηρήστε τον σχεδιασμό κάρτας ελκυστικό αν το επωνυμία ενδιαφέρεται, αλλά μην συγχέετε μια υψηλής ποιότητας επιφάνεια με υψηλής ποιότητας ασφάλεια.

Το MIFARE Classic είναι μια υπενθύμιση ότι η ευκολία μπορεί να επιβιώσει περισσότερο από την ασφάλεια. Μια κάρτα μπορεί να γίνει τόσο οικεία που κανείς να μην την αμφισβητεί. Ένας αναγνώστης μπορεί να παραμείνει στον τοίχο πολύ καιρό αφού οι παραδοχές του έχουν εκπνεύσει. Ένα γραφείο έκδοσης κονκάρδων μπορεί να συνεχίζει να παραγγέλνει το ίδιο προϊόν επειδή πάντα λειτουργούσε. Έτσι επιβιώνει ο κίνδυνος των παλαιών συστημάτων. Η λύση δεν είναι ο πανικός. Η λύση είναι η τεχνική ειλικρίνεια. Να γνωρίζετε τι χρησιμοποιείτε, να γνωρίζετε τι προστατεύει και να γνωρίζετε αν το διαπιστευτήριο είναι αρκετά ισχυρό για τη δουλειά. Αν η απάντηση είναι όχι, ξεκινήστε τη μετάβαση προτού ένα περιστατικό σας διδάξει το μάθημα.