Πώς να αποτρέψετε την απάτη με εισιτήρια RFID

Οι περισσότερες ομάδες αρχίζουν να ανησυχούν για την απάτη με εισιτήρια RFID αφού συμβεί κάτι ντροπιαστικό στην πύλη. Μια εξαντλημένη συναυλία εμφανίζει ξαφνικά διπλές εισόδους. Ένα στάδιο δέχεται παράπονα από ανθρώπους που κρατούν έγκυρα εισιτήρια τα οποία κατά κάποιον τρόπο έχουν ήδη χρησιμοποιηθεί. Ένας φορέας μεταφορών παρατηρεί ασυνήθιστα μοτίβα διαδρομών και αρχίζει να ακούει ότι κυκλοφορούν κλωνοποιημένες κάρτες κοντά σε ορισμένους σταθμούς. Μέχρι εκείνο το σημείο, το πρόβλημα μοιάζει τεχνικό, επείγον και δαπανηρό ταυτόχρονα.

Η σκληρή αλήθεια είναι ότι η απάτη με εισιτήρια RFID συνήθως δεν ξεκινά από την ίδια την ετικέτα. Ξεκινά εκεί όπου το σύστημα είναι αδύναμο. Μερικές φορές αυτή η αδυναμία είναι ένα φθηνό τσιπ χωρίς πραγματική ασφάλεια. Μερικές φορές είναι ο χαλαρός έλεγχος κωδικοποίησης στο τυπογραφείο. Μερικές φορές είναι μια διαμόρφωση αναγνώστη που δέχεται περισσότερα δεδομένα από όσα θα έπρεπε. Και μερικές φορές είναι ένα πρόβλημα επιχειρησιακής διαδικασίας μεταμφιεσμένο σε πρόβλημα υλικού.

Αν θέλετε πραγματική πρόληψη απάτης με εισιτήρια RFID, το σωστό ερώτημα δεν είναι απλώς πώς να φτιάξετε ένα εξυπνότερο εισιτήριο. Το σωστό ερώτημα είναι πώς να δημιουργήσετε ένα ασφαλές σύστημα εισιτηρίων RFID στο οποίο η αντιγραφή, η μεταπώληση, η επαναχρησιμοποίηση ή η παραποίηση ενός εισιτηρίου γίνεται αρκετά δύσκολη, αρκετά ριψοκίνδυνη και αρκετά εύκολη στον εντοπισμό ώστε η απάτη να πάψει να είναι επικερδής.

Εδώ έχει σημασία ο καλός σχεδιασμός.

Από πού προέρχεται συνήθως η απάτη με εισιτήρια RFID

Όταν οι αγοραστές αναζητούν αντιπλαστογραφικά εισιτήρια RFID ή ασφαλή έκδοση εισιτηρίων RFID για εκδηλώσεις, συχνά φαντάζονται έναν εγκληματία με προηγμένα εργαλεία να σπάει την κρυπτογράφηση. Αυτό μπορεί να συμβεί, αλλά στην πράξη, η απάτη συνήθως είναι λιγότερο εντυπωσιακή.

Ένας διοργανωτής μουσικών εκδηλώσεων στο Μάντσεστερ διαπίστωσε ότι το πρόβλημα του φεστιβάλ του Σαββατοκύριακου είχε ελάχιστη σχέση με εξελιγμένες επιθέσεις. Το ζήτημα προήλθε από αρχεία προεπισκόπησης προσωπικού που στάλθηκαν πολύ νωρίς σε έναν υπεργολαβικό φορέα. Διέρρευσαν μερικοί αριθμοί εισιτηρίων, κωδικοποιήθηκαν επιπλέον βραχιόλια εκτός εγκαταστάσεων και οι ψεύτικες είσοδοι πέρασαν επειδή η λογική της πύλης έλεγχε μόνο ένα έγκυρο εύρος σειριακών αριθμών, όχι μια ζωντανή κατάσταση στο backend. Το μέσο RFID δεν ήταν η πραγματική αποτυχία. Η ροή εργασίας ήταν.

Ένα χιονοδρομικό κέντρο στη Βρετανική Κολομβία είχε ένα άλλο είδος προβλήματος. Οι επισκέπτες αγόραζαν εισιτήρια μίας ημέρας εισιτήρια RFID, τα χρησιμοποιούσαν μία φορά και μετά τα πουλούσαν online για απογευματινή χρήση. Το σύστημα δεν έληγε αξιόπιστα το πάσο αφού άλλαζαν οι κανόνες της πρώτης συνεδρίας, οπότε τα επαναχρησιμοποιημένα εισιτήρια συνέχιζαν να λειτουργούν σε ανελκυστήρες με χαμηλότερη κίνηση. Η απάτη εκεί δεν ήταν κλωνοποίηση. Ήταν κακός έλεγχος δικαιωμάτων.

Σε έναν ποδοσφαιρικό σύλλογο στην Ισπανία, εμφανίστηκαν διπλά εισιτήρια διαρκείας αφού οι φίλαθλοι ανάρτησαν γιορτινές φωτογραφίες στα κοινωνικά δίκτυα. Το barcode στο ένθετο ήταν κρυμμένο, αλλά η μορφή του ορατού αναγνωριστικού κάρτας ήταν προβλέψιμη. Οι απατεώνες δεν χρειάστηκε καν να σπάσουν το τσιπ RFID αρχικά. Χρησιμοποίησαν την εκτεθειμένη λογική αρίθμησης για να επιτεθούν στη διαδικασία ανάκτησης λογαριασμού και αργότερα συνέδεσαν αντικαταστάσεις με αντιγραμμένα διαπιστευτήρια. Και πάλι, το αδύναμο σημείο βρισκόταν έξω από το τσιπ.

Έτσι, πριν επιλέξετε οποιοδήποτε προϊόν, χαρτογραφήστε τους τύπους απάτης που πραγματικά προσπαθείτε να σταματήσετε. Στα περισσότερα έργα, εμπίπτουν σε πέντε κατηγορίες: απλή αντιγραφή, κλωνοποίηση UID, μη εξουσιοδοτημένη επανακωδικοποίηση, επαναχρησιμοποίηση εισιτηρίου και διαρροή από εσωτερικούς. Αν το σύστημά σας δεν αντιμετωπίζει και τις πέντε, πιθανότατα αφήνετε την πόρτα ανοιχτή κάπου.

Μη χτίζετε την ασφάλεια γύρω από ένα αναγνώσιμο UID

Ένα από τα πιο συνηθισμένα λάθη στην έκδοση εισιτηρίων RFID είναι η αντιμετώπιση ενός UID τσιπ σαν να ήταν ασφαλής ταυτότητα. Δεν είναι. Ένα UID μπορεί να βοηθήσει στην απογραφή, στη σειριοποίηση και στη βασική συσχέτιση, αλλά αν ολόκληρο το μοντέλο επικύρωσής σας λέει ότι αυτό το UID υπάρχει στη βάση δεδομένων μου, άρα αφήστε τον επισκέπτη να μπει, τρέχετε έναν αδύναμο σχεδιασμό.

Πολλά έργα εισιτηρίων RFID χαμηλού κόστους κάνουν ακριβώς αυτό επειδή διατηρεί την υλοποίηση απλή. Η ετικέτα είναι φθηνή, ο αναγνώστης είναι γρήγορος και η ομάδα λογισμικού μπορεί να ξεκινήσει γρήγορα. Τα προβλήματα αρχίζουν μόλις εμφανιστούν αντιγραμμένα ή εξομοιωμένα αναγνωριστικά στην αγορά.

Ένας περιφερειακός φορέας πορθμείων στη Νοτιοανατολική Ασία το έμαθε με τον δύσκολο τρόπο. Στράφηκε σε κάρτες εισιτηρίων ανέπαφης τεχνολογίας για να επιταχύνει την επιβίβαση, αλλά επέλεξε μέσα όπου η πύλη δεχόταν ένα απλό αναγνωριστικό συν ένα πεδίο ημερομηνίας. Μέσα σε λίγους μήνες, μεσάζοντες κοντά στο λιμάνι πουλούσαν κάρτες που μιμούνταν ενεργά αναγνωριστικά. Ο φορέας αργότερα ανακατασκεύασε το σύστημα ώστε η εγκυρότητα του εισιτηρίου να εξαρτάται από την κατάσταση token στην πλευρά του διακομιστή και από κρυπτογραφικούς ελέγχους συνδεδεμένους με κάθε παράθυρο ταξιδιού. Η απάτη μειώθηκε επειδή τα αντιγραμμένα αναγνωριστικά από μόνα τους έπαψαν να είναι χρήσιμα.

Αν αγοράζετε εισιτήρια RFID για εκδηλώσεις, μεταφορές, λούνα παρκ ή πρόσβαση σε κλειστούς χώρους, αποφύγετε σχεδιασμούς που βασίζονται μόνο σε στατικά αναγνωριστικά. Μια καλύτερη δομή είναι να χρησιμοποιείτε ασφαλείς τομείς μνήμης, διαφοροποιημένα κλειδιά, πιστοποιημένες αναγνώσεις και εγγραφές όπου αρμόζει, και επικύρωση στο backend συνδεδεμένη με δικαίωμα μίας χρήσης ή περιορισμένης χρήσης. Έτσι, ακόμα κι αν κάποιος δει ένα αναγνωριστικό, δεν μπορεί να δημιουργήσει ένα λειτουργικό αντίγραφο.

Επιλέξτε το τσιπ με βάση τον κίνδυνο απάτης, όχι μόνο τον προϋπολογισμό

Εδώ οι ομάδες προμηθειών συχνά πιέζονται. Θέλουν χαμηλότερο κόστος εισιτηρίου και οι προμηθευτές ανταποκρίνονται με τη φθηνότερη επιλογή ανέπαφης τεχνολογίας που σαρώνει ακόμα. Αλλά υπάρχει μεγάλη διαφορά μεταξύ μιας ετικέτας που απλώς επιτρέπει την είσοδο και μιας ετικέτας που αντιστέκεται σε παραποίηση, κλωνοποίηση και μη εξουσιοδοτημένη κωδικοποίηση.

Για περιπτώσεις χαμηλού κινδύνου και σύντομης διάρκειας ζωής, όπως μικρές τοπικές εκδηλώσεις με ελάχιστη αξία μεταπώλησης, ένα βασικό εισιτήριο συμβατό με HF ή NFC μπορεί να αρκεί εφόσον οι έλεγχοι στο backend είναι ισχυροί. Για έργα υψηλότερου κινδύνου, ειδικά όπου τα εισιτήρια είναι μεταβιβάσιμα, πολύτιμα ή ισχύουν για πολλές ημέρες, χρειάζεστε ισχυρότερη ασφάλεια σε επίπεδο τσιπ.

Ένας όμιλος μουσείων στην Ιταλία κάποτε άλλαξε από μια απλή κάρτα μνήμης ISO 14443 σε μια πιο ασφαλή κρυπτογραφημένη πλατφόρμα εισιτηρίων RFID αφού ανακάλυψε ότι ένα δίκτυο μεταπωλητών συνδύαζε αντιγραμμένες κάρτες υψηλής ποιότητας πρόσβασης με ανεπίσημες ξεναγήσεις. Οι αντιγραμμένες κάρτες δεν επιβίωσαν μετά την αναβάθμιση επειδή το σύστημα μετακινήθηκε σε προστατευμένα δεδομένα εφαρμογής, διαφοροποίηση κλειδιών και αμοιβαία πιστοποίηση στην πλευρά του αναγνώστη. Το κόστος του εισιτηρίου αυξήθηκε ελαφρώς, αλλά η διαρροή εσόδων και τα παράπονα επισκεπτών μειώθηκαν αρκετά ώστε να δικαιολογηθεί μέσα σε μία σεζόν.

Αυτό είναι το δίλημμα που πρέπει να εξετάσουν προσεκτικά οι αγοραστές. Το φθηνότερο εισιτήριο RFID είναι συχνά το ακριβότερο όταν συνυπολογιστούν η απάτη, οι αντιστροφές χρεώσεων, η συμφόρηση στις πύλες και η ζημιά στη φήμη.

Ερωτήσεις που πρέπει να κάνετε πριν επιλέξετε μέσα εισιτηρίων RFID

Για την ασφάλεια εισιτηρίων εκδηλώσεων, κάντε συγκεκριμένες ερωτήσεις στον προμηθευτή σας. Υποστηρίζει το τσιπ πιστοποίηση; Μπορούν τα κλειδιά να διαφοροποιηθούν ανά παρτίδα ή ανά εκδήλωση; Μπορούν οι τομείς να κλειδωθούν μόνιμα μετά την κωδικοποίηση; Μπορεί το μέσο να υποστηρίξει μετρητές συναλλαγών ή μοντέλα δυναμικών δεδομένων; Αν η απάντηση είναι αόριστη, υποθέστε ότι η ασφάλεια είναι αδύναμη.

Η ασφαλής κωδικοποίηση έχει την ίδια σημασία με τα ασφαλή τσιπ

Ένα ασφαλές τσιπ μπορεί ακόμα να καταστραφεί από πρόχειρη έκδοση. Η κωδικοποίηση είναι η στιγμή που ένα κενό εισιτήριο γίνεται αξιόπιστο διαπιστευτήριο. Αν αυτή η διαδικασία δεν ελέγχεται, η απάτη μπορεί να ξεκινήσει πριν καν ο επισκέπτης δει το εισιτήριο.

Ένας διοργανωτής συνεδρίου στο Ντουμπάι είχε ένα πρόγραμμα υψηλής ποιότητας κονκάρδων RFID για ζώνες δικτύωσης VIP. Στα χαρτιά, η επιλογή chip ήταν στέρεη. Στην πράξη, πάρα πολλοί σταθμοί κωδικοποίησης έμειναν ανοιχτοί κατά τη διάρκεια της προετοιμασίας των εκθετών και ένας προσωρινός εργαζόμενος αντέγραψε αχρησιμοποίητα πρότυπα κονκάρδων σε ένα USB stick. Η παραβίαση ανακαλύφθηκε μόνο αφού εμφανίστηκαν μη εξουσιοδοτημένοι επισκέπτες σε σαλόνια χορηγών. Η διόρθωση δεν ήταν μια νέα ετικέτα. Ήταν κλειδωμένα προφίλ κωδικοποίησης, δικαιώματα χειριστή, αρχεία ελέγχου και ξεχωριστή έγκριση για διαπιστευτήρια υψηλών προνομίων.

Ο έλεγχος κωδικοποίησης πρέπει να περιλαμβάνει κρυπτογραφημένη προετοιμασία δεδομένων, αυστηρά δικαιώματα σταθμού εργασίας, πιστοποίηση χειριστή, συμφωνία παρτίδων και κανόνες ακύρωσης ειδικούς ανά εκδήλωση για κατεστραμμένα ή χαμένα εισιτήρια. Κάθε κωδικοποιημένο εισιτήριο πρέπει να είναι ανιχνεύσιμο ως προς χρόνο, χειριστή, εκτυπωτή και δεδομένα προέλευσης. Αν ένας προμηθευτής δεν μπορεί να σας βοηθήσει να εδραιώσετε αυτή την αλυσίδα, δεν αγοράζετε προστασία κατά της απάτης. Αγοράζετε μόνο μέσα.

Για εκτύπωση εισιτηρίων μεγάλου όγκου, βοηθά επίσης να διαχωρίσετε αυτό που εκτυπώνεται οπτικά από αυτό που εξουσιοδοτείται ψηφιακά. Ένας αριθμός θέσης τυπωμένος στην όψη μιας κάρτας είναι εντάξει. Ένα επαναχρησιμοποιήσιμο μυστικό ασφαλείας αποθηκευμένο σε ορατή ανθρώπινα αναγνώσιμη μορφή δεν είναι.

Συνδέστε το εισιτήριο με το πλαίσιο, όχι μόνο με ένα τσιπ

Ένα ισχυρό σύστημα εισιτηρίων RFID δεν αντιμετωπίζει την ετικέτα ως όλη την αλήθεια. Συνδέει την ετικέτα με το πλαίσιο. Αυτό το πλαίσιο μπορεί να περιλαμβάνει ημερομηνία εκδήλωσης, ζώνη πύλης, έγκυρο χρονικό παράθυρο, αριθμό χρήσεων, λογαριασμό πελάτη, αποτύπωμα συσκευής ή λογική ακολουθίας εισόδου.

Μια αλυσίδα κινηματογράφων στο Μεξικό χρησιμοποίησε καλά αυτή την ιδέα αφού είδε ανθρώπους να μεταπωλούν υψηλής ποιότητας πάσα προεπισκόπησης. Αντί να επικυρώνει μόνο το διαπιστευτήριο RFID, το σύστημα έλεγχε χώρο, αίθουσα, παράθυρο ώρας προβολής και κατάσταση εξαργύρωσης σε πραγματικό χρόνο. Ένα κλωνοποιημένο πάσο που εμφανιζόταν σε λάθος αίθουσα ή εκτός της αναμενόμενης ώρας μπλοκαριζόταν αμέσως. Οι γνήσιοι επισκέπτες περνούσαν χωρίς τριβή επειδή η λογική παρέμενε αόρατη σε αυτούς.

Όσο πιο πολύτιμο είναι το εισιτήριο, τόσο περισσότερο πλαίσιο πρέπει να απαιτείτε. Μια κονκάρδα τριήμερης εμπορικής έκθεσης με πρόσβαση σε αίθουσα συσκέψεων δεν πρέπει να επικυρώνεται με τον ίδιο τρόπο όπως ένα δελτίο επιβίβασης πορθμείου μίας ώρας. Η πρόληψη απάτης γίνεται ισχυρότερη όταν το εισιτήριο είναι μόνο ένα μέρος της απόφασης.

Στις μεταφορές, η σύνδεση με το πλαίσιο μπορεί να περιλαμβάνει αφετηρία διαδρομής, ακολουθία χτυπημάτων, λογική υπολοίπου και ανίχνευση μη φυσιολογικής ταχύτητας. Στις εκδηλώσεις, μπορεί να περιλαμβάνει κανόνες anti passback, περιορισμούς ζώνης και παράθυρα καθυστερημένης μεταβίβασης. Στα λούνα παρκ, μπορεί να περιλαμβάνει ενεργοποίηση πρώτης χρήσης συν περιορισμένα προνόμια συνοδών. Αυτοί είναι επιχειρησιακοί κανόνες, αλλά έχουν την ίδια σημασία με την ασφάλεια του τσιπ.

Χρησιμοποιήστε anti passback και ελέγχους ζωντανής κατάστασης

Ένα εκπληκτικά μεγάλο μέρος της απάτης με εισιτήρια RFID είναι απλή επαναχρησιμοποίηση. Ένα άτομο μπαίνει, επιστρέφει το εισιτήριο πάνω από έναν φράχτη ή μέσα από ένα παράθυρο τουαλέτας και ένα άλλο άτομο δοκιμάζει το ίδιο διαπιστευτήριο ξανά. Αυτή είναι παλιά απάτη, αλλά λειτουργεί ακόμα σε χώρους με αδύναμη λογική πύλης.

Σε μια αρένα στο Σικάγο, το προσωπικό του Σαββατοκύριακου ανέφερε συνεχώς διπλές σαρώσεις στις πλαϊνές εισόδους. Ο φορέας είχε επικύρωση εισιτηρίων RFID, αλλά ορισμένοι δευτερεύοντες αναγνώστες RFID λειτουργούσαν σε λειτουργία fallback που έλεγχε τοπικά αποθηκευμένα δικαιώματα χωρίς άμεσες ενημερώσεις anti passback. Οι κύριες πύλες ήταν ασφαλείς. Οι πλαϊνές πόρτες δεν ήταν. Μόλις σφίχτηκε ο συγχρονισμός ζωντανής κατάστασης και τυποποιήθηκαν οι κανόνες καθυστερημένης επανεισόδου σε όλες τις συσκευές, το μοτίβο σχεδόν εξαφανίστηκε.

Η κατάσταση σε πραγματικό χρόνο έχει σημασία. Αν η αρχιτεκτονική σας επιτρέπει αποδοχή εκτός σύνδεσης για πολύ μεγάλο διάστημα, ένα αντιγραμμένο ή επαναχρησιμοποιημένο εισιτήριο RFID μπορεί να περάσει από αποσυνδεδεμένους αναγνώστες. Μπορεί να χρειάζεστε ακόμα περιορισμένη ανθεκτικότητα εκτός σύνδεσης για τις λειτουργίες, αλλά θα πρέπει να είναι αυστηρά καθορισμένη. Οι αναγνώστες πρέπει να αποθηκεύουν μόνο στενά παράθυρα αποφάσεων, να καταγράφουν όλες τις συναλλαγές και να επανεπικυρώνουν μόλις επιστρέψει η συνδεσιμότητα.

Το anti passback πρέπει επίσης να ταιριάζει με την πραγματική συμπεριφορά. Αν οι επισκέπτες επιτρέπεται να βγουν και να ξαναμπούν, ορίστε κανόνες ανά τύπο εισιτηρίου. Μην αντιγράφετε ένα αυστηρό μοντέλο σταδίου σε ένα οικογενειακό θεματικό πάρκο όπου οι γονείς βγαίνουν τακτικά έξω με παιδιά. Ο καλός έλεγχος απάτης είναι συγκεκριμένος, όχι γενικός.

Προσθέστε και οπτικά και φυσικά αποτρεπτικά μέσα

Δεν αξίζει κάθε απόπειρα απάτης μια κρυπτογραφική απάντηση. Μερικές φορές ένα ορατό εμπόδιο αρκεί για να κάνει την κλωνοποίηση ή τη μεταπώληση λιγότερο ελκυστική.

Ένα υδάτινο πάρκο στη Φλόριντα μείωσε τις απώλειες συνδυάζοντας βραχιόλια RFID με σχεδιασμό κλεισίματος που αποδεικνύει παραβίαση και καθημερινά οπτικά σημάδια που αλλάζουν χρώμα. Το τσιπ του βραχιολιού έφερε τα ψηφιακά δικαιώματα, αλλά το φυσικό βραχιόλι έκανε τη μεταβίβαση δυσκολότερη. Το προσωπικό μπορούσε να εντοπίσει προφανείς ανταλλαγές με μια ματιά και τα κυκλώματα απάτης σταμάτησαν να στοχεύουν αυτόν τον χώρο επειδή η αξία μεταπώλησης έπεσε.

Αυτό έχει σημασία επειδή η απάτη με εισιτήρια είναι ένα οικονομικό παιχνίδι. Αν αυξήσετε την προσπάθεια που απαιτείται για να πλαστογραφήσει, να επαναχρησιμοποιήσει ή να μεταβιβάσει κάποιος ένα εισιτήριο, πολλοί κακόβουλοι δρώντες προχωρούν αλλού. Γι' αυτό ο φυσικός σχεδιασμός εξακολουθεί να ανήκει στη συζήτηση. Ασφαλής κατασκευή βραχιολιού, ετικέτες που σκίζονται, καταστρέψιμες κεραίες για χάρτινα εισιτήρια μίας χρήσης ή πολυεπίπεδα χαρακτηριστικά εκτύπωσης μπορούν να συμπληρώσουν καλά τις ψηφιακές προστασίες.

Ένας αρχαιολογικός χώρος στην Τουρκία το έκανε αυτό με χάρτινα εισιτήρια RFID για ξεναγήσεις στον πύργο. Το εισιτήριο ενσωμάτωνε ένα εύθραυστο ένθετο που αποτύγχανε ορατά όταν ξεκολλούσε και το διαπιστευτήριο του τσιπ έληγε μετά την προγραμματισμένη είσοδο. Οι άνθρωποι σταμάτησαν να προσπαθούν να μοιράζονται εισιτήρια μεταξύ ομάδων ξενάγησης επειδή ο συνδυασμός φυσικής ζημιάς και ψηφιακού χρονισμού τον έκανε άσκοπο.

Προσέξτε τους διανομείς, τους μεταπωλητές και τους εσωτερικούς

Οι εξωτερικοί επιτιθέμενοι προσελκύουν την προσοχή, αλλά η διαρροή από εσωτερικούς είναι συχνά πιο επιζήμια. Αν τα εισιτήρια μπορούν να εκδοθούν, να αναβαθμιστούν ή να επανεκτυπωθούν χωρίς αυστηρούς ελέγχους, η απάτη μπορεί να προέλθει από κάποιον που βρίσκεται ήδη μέσα στο οικοσύστημα.

Ένα περιφερειακό δίκτυο λεωφορείων στην Ανατολική Ευρώπη ανακάλυψε ότι οι ύποπτες κάρτες φοιτητικής έκπτωσης δεν ήταν πλαστές με τη συνήθη έννοια. Είχαν εκδοθεί μέσω νόμιμου τερματικού χρησιμοποιώντας κλεμμένα διαπιστευτήρια χειριστή. Η διόρθωση περιλάμβανε ισχυρότερη πιστοποίηση προσωπικού, geofencing τερματικών, ειδοποιήσεις ασυνήθιστης έκδοσης και καθημερινή συμφωνία ανά διαδρομή και αμαξοστάσιο. Με άλλα λόγια, η πρόληψη απάτης μετατοπίστηκε από τα μέσα εισιτηρίων μόνο στη διακυβέρνηση του συστήματος.

Αυτό είναι ένα μάθημα που πολλοί φορείς παραβλέπουν. Ο σχεδιασμός ενός ασφαλούς συστήματος εισιτηρίων RFID πρέπει να περιλαμβάνει έλεγχο συνεργατών. Αν πουλάτε μέσω πρακτόρων, περίπτερο αυτοεξυπηρέτησης, ξενοδοχείων, γραφείων εκδρομών ή σημείων franchise, κάθε σημείο έκδοσης γίνεται μέρος της επιφάνειας απειλής σας. Περιορίστε τι μπορεί να κωδικοποιήσει το καθένα. Διαχωρίστε τη δημιουργία από την ενεργοποίηση όπου είναι δυνατόν. Παρακολουθήστε ανωμαλίες. Ανακαλέστε γρήγορα.

Ένα δίκτυο θεάτρων στο Σίδνεϊ το χειρίστηκε καλά όταν εισήγαγε δεξαμενές εξουσιοδότησης ειδικές ανά μεταπωλητή. Κάθε συνεργάτης μπορούσε να διαθέσει θέσεις μόνο από καθορισμένο απόθεμα και κάθε ενεργοποίηση εισιτηρίου RFID υπογραφόταν έναντι αυτής της πηγής. Όταν ένας μεταπωλητής εμφάνισε ξαφνικά ασυνήθιστη συγκέντρωση υψηλής ποιότητας εισόδων της τελευταίας στιγμής, ο φορέας εντόπισε την κατάχρηση μέσα σε μία ημέρα αντί μετά τη σεζόν.

Παρακολουθήστε μοτίβα, όχι μόνο αποτυχημένες σαρώσεις

Πολλές ομάδες εξετάζουν μόνο συμβάντα απόρριψης. Αυτό είναι πολύ αργά και πολύ στενό. Η καλή πρόληψη απάτης μελετά επίσης ύποπτα μοτίβα αποδοχής.

Αν ο ίδιος τύπος εισιτηρίου εισέρχεται ξαφνικά από πολλές πύλες ασυνήθιστα γρήγορα, εξετάστε το. Αν μια γραμμή κωδικοποίησης έχει περισσότερα αιτήματα αντικατάστασης από άλλες, εξετάστε το. Αν ένας μεταπωλητής δημιουργεί πάρα πολλές ακυρώσεις πριν από μεγάλους αγώνες, εξετάστε το. Η απάτη δεν ανακοινώνεται πάντα μέσω σκληρών αποτυχιών. Μερικές φορές εμφανίζεται ως παράξενη επιτυχία.

Ένα έργο προαστιακού σιδηροδρόμου στη Νότια Αμερική βελτίωσε τα αποτελέσματα αφού άρχισε να βαθμολογεί ανωμαλίες αντί να περιμένει παράπονα. Κάρτες που χτυπούσαν πολύ έξω από τον κανονικό χρονισμό διαδρομής, συστάδες πανομοιότυπων αλλαγών προνομίων και επαναλαμβανόμενες επαναφορές διαπιστευτηρίων γύρω από τις ώρες ανοίγματος σταθμών βοήθησαν τους ερευνητές να εντοπίσουν κανάλια διαρροής. Το ίδιο το μέσο δεν άλλαξε. Η ορατότητα άλλαξε.

Για αγοραστές που αξιολογούν την πρόληψη απάτης με εισιτήρια RFID, αξίζει να ρωτήσετε νωρίς: τι αρχεία καταγραφής θα έχουμε, ποιος τα εξετάζει και πόσο γρήγορα μπορούμε να δράσουμε; Ένα ασφαλές τσιπ χωρίς παρακολούθηση είναι καλύτερο από ένα αδύναμο τσιπ, αλλά δεν αρκεί για λειτουργίες υψηλής έκθεσης.

Διατηρήστε την εμπειρία του πελάτη καθαρή

Ένας λόγος που τα αδύναμα συστήματα επιβιώνουν τόσο πολύ είναι ότι οι φορείς φοβούνται πως η πρόσθετη ασφάλεια θα επιβραδύνει την είσοδο. Αυτός ο φόβος είναι κατανοητός, αλλά συχνά βασίζεται σε κακή υλοποίηση παρά στην ίδια την ιδέα της ασφάλειας.

Ένας διοργανωτής μαραθωνίου στο Άμστερνταμ κάποτε αντιστάθηκε σε ισχυρότερους ελέγχους εισιτηρίων επειδή ανησυχούσε για συμφόρηση στην παράδοση σακιδίων και απογοήτευση των συμμετεχόντων. Μετά από επανασχεδιασμό, οι δρομείς έλαβαν διαπιστευτήρια RFID προδεσμευμένα με την κατάσταση εγγραφής, το σημείο παραλαβής και το παράθυρο ενεργοποίησης. Η ροή check in έγινε στην πραγματικότητα ομαλότερη επειδή οι ειδικές περιπτώσεις αντιμετωπίστηκαν νωρίτερα, όχι στην πύλη. Η πρόληψη απάτης και η επιχειρησιακή ταχύτητα βελτιώθηκαν μαζί.

Αυτός είναι ο στόχος. Η ασφάλεια πρέπει να αφαιρεί την τριβή που προκαλείται από κακές εξαιρέσεις, όχι να προσθέτει νέα τριβή για όλους. Αν η ομάδα σας κάνει συνεχώς χειροκίνητες παρακάμψεις, σαρώνει στιγμιότυπα οθόνης, δέχεται μυστηριώδη διπλότυπα ή επανεκδίδει διαπιστευτήρια υπό πίεση, το σύστημα είναι ήδη αργό. Απλώς κρύβει την αργότητα στον φόρτο εργασίας του προσωπικού και στα παράπονα πελατών αντί στον χρόνο απόκρισης του αναγνώστη.

Δοκιμάστε σαν απατεώνας πριν από την έναρξη

Πάρα πολλά έργα εισιτηρίων RFID δοκιμάζονται μόνο για επιδόσεις στην ιδανική διαδρομή. Το εισιτήριο σαρώνεται, η πύλη ανοίγει, η αναφορά εκτυπώνεται, όλοι υπογράφουν. Αυτό δεν αρκεί.

Πριν από την έναρξη λειτουργίας, δοκιμάστε αντιγραμμένα διαπιστευτήρια, επαναλαμβανόμενα χτυπήματα, αναγνώστες εκτός σύνδεσης, καθυστερημένο συγχρονισμό, ανάκτηση κατεστραμμένου εισιτηρίου, εναλλαγή κλειδιών, κακή χρήση από μεταπωλητές, ροές εργασίας αντικατάστασης και οριακές περιπτώσεις χρονικών παραθύρων. Δείτε τι συμβαίνει αν εξαφανιστεί μια παρτίδα. Δείτε τι συμβαίνει αν μια πύλη διατηρεί παρωχημένα δικαιώματα για δεκαπέντε λεπτά. Δείτε αν ένα μέλος του προσωπικού μπορεί κατά λάθος να δημιουργήσει ένα διπλό έγκυρο διαπιστευτήριο. Αυτά τα σενάρια αποκαλύπτουν τα κενά που θα βρει πρώτη η πραγματική απάτη.

Μια πίστα αγώνων στον Κόλπο απέφυγε ένα σοβαρό πρόβλημα έναρξης με αυτόν τον τρόπο. Κατά τη διάρκεια δοκιμών πριν από την εκδήλωση, η ομάδα ανακάλυψε ότι τα πάσα RFID φιλοξενίας που επανεκδίδονταν για κατεστραμμένες κάρτες δεν ακύρωναν πάντα το πρωτότυπο σε κάθε κινητό αναγνώστη. Αυτό το σφάλμα θα είχε επιτρέψει ήσυχη διπλή είσοδο σε σουίτες υψηλής αξίας. Διορθώθηκε πριν φτάσει ο πρώτος επισκέπτης επειδή ο φορέας δοκίμασε διαδρομές κατάχρησης, όχι μόνο κανονικές ροές.

Τελικές σκέψεις

Αν αφαιρέσετε τις εντυπωσιακές λέξεις, η πρόληψη απάτης με εισιτήρια RFID καταλήγει σε μια απλή αρχή: μην εμπιστεύεστε ποτέ ένα μόνο επίπεδο όταν το εισιτήριο έχει πραγματική αξία. Μην εμπιστεύεστε μόνο το UID. Μην εμπιστεύεστε μόνο το τσιπ. Μην εμπιστεύεστε μόνο το τυπογραφείο. Μην εμπιστεύεστε μόνο την πύλη. Χτίστε επίπεδα που υποστηρίζουν το ένα το άλλο.

Χρησιμοποιήστε τη σωστή τεχνολογία εισιτηρίων RFID για το επίπεδο κινδύνου. Προστατέψτε την κωδικοποίηση. Κλειδώστε κλειδιά και προνόμια. Συνδέστε το διαπιστευτήριο με χρόνο, τόπο και δικαίωμα. Παρακολουθήστε για ανωμαλίες. Προσθέστε φυσικά αποτρεπτικά μέσα όπου είναι χρήσιμο. Ελέγξτε εσωτερικούς και συνεργάτες. Δοκιμάστε άσχημα σενάρια πριν το κάνει το κοινό για εσάς.

Αυτό διαχωρίζει ένα εισιτήριο που τυχαίνει να είναι ανέπαφο από ένα πραγματικά ασφαλές σύστημα εισιτηρίων RFID.

Και από την οπτική γωνία ενός αγοραστή', αυτή είναι η πιο σημαντική διάκριση από όλες. Η αγορά είναι γεμάτη προμηθευτές που μπορούν να σας πουλήσουν μέσα RFID. Πολύ λιγότεροι μπορούν να σας βοηθήσουν να σχεδιάσετε ένα σύστημα που κάνει πραγματικά την απάτη δυσκολότερη, σπανιότερη και ευκολότερη στην ανίχνευση. Αν η πρόληψη απάτης είναι ένας από τους στόχους αγοράς σας, αγοράστε ολόκληρη τη λογική, όχι μόνο το τσιπ.

Ένα εισιτήριο πρέπει να κάνει περισσότερα από το να ανοίγει μια πύλη. Πρέπει να υπερασπίζεται τα έσοδα, να προστατεύει τον χώρο και να δίνει στον φορέα αρκετή εμπιστοσύνη ώστε όταν συμβεί κάτι ασυνήθιστο, να μπορεί να το δει γρήγορα και να το σταματήσει πριν εξαπλωθεί.