Η κρυπτογράφηση RFID με απλά λόγια

Κρυπτογράφηση RFID με απλά λόγια

Η κρυπτογράφηση RFID ακούγεται τρομακτική την πρώτη φορά που την ακούτε. Πολλοί αγοραστές, διευθυντές εγκαταστάσεων, σχολικοί διοικητές και ομάδες λειτουργίας υποθέτουν ότι ανήκει σε ένα δωμάτιο γεμάτο μηχανικούς που κοιτούν αρχεία καταγραφής πακέτων και φύλλα δεδομένων τσιπ. Δεν ανήκει. Δεν χρειάζεται να είστε μηχανικός για να καταλάβετε τι κάνει η κρυπτογράφηση RFID, γιατί έχει σημασία και πού μπλέκουν οι άνθρωποι όταν αγοράζουν το λάθος είδος συστήματος καρτών.

Ο ευκολότερος τρόπος να ξεκινήσετε είναι με μια πολύ συνηθισμένη ερώτηση. Όταν μια κάρτα RFID πλησιάζεται σε έναν αναγνώστη, τι ακριβώς αποστέλλεται; Σε ορισμένα συστήματα, η απάντηση δεν είναι πολύ περισσότερο από έναν ορατό αριθμό. Η κάρτα παρουσιάζει ένα αναγνωριστικό, ο αναγνώστης ελέγχει αν αυτό το αναγνωριστικό επιτρέπεται, και η πόρτα ανοίγει ή η συναλλαγή ολοκληρώνεται. Αυτή η ρύθμιση μπορεί να λειτουργήσει, αλλά δεν είναι ιδιαίτερα ισχυρή. Αν κάποιος μπορεί να συλλάβει αυτόν τον αριθμό και να τον αντιγράψει, το σύστημα μπορεί να δεχτεί το αντίγραφο όπως ακριβώς το πρωτότυπο.

Η κρυπτογράφηση RFID αλλάζει αυτή τη συζήτηση. Αντί να στέλνει δεδομένα σε απλή, αναγνώσιμη μορφή, η κάρτα και ο αναγνώστης χρησιμοποιούν κρυπτογραφικές μεθόδους για να προστατεύσουν ό,τι ανταλλάσσεται. Με απλά λόγια, η κρυπτογράφηση μετατρέπει τα ουσιαστικά δεδομένα σε κάτι που δεν θα πρέπει να έχει νόημα για τους εξωτερικούς, εκτός αν έχουν το σωστό κλειδί. Αυτό το κλειδί δεν είναι μεταλλικό κλειδί όπως αυτό στην τσέπη σας. Είναι ψηφιακή πληροφορία που χρησιμοποιείται για το κλείδωμα και το ξεκλείδωμα προστατευμένων δεδομένων.

Σκεφτείτε το ως εξής. Ένα μη κρυπτογραφημένο σύστημα RFID είναι πιο κοντά στο να γράψετε τον κωδικό του γραφείου σας σε ένα σημειωματάκι και να το δείχνετε στην πόρτα. Ένα κρυπτογραφημένο σύστημα RFID είναι πιο κοντά σε μια ιδιωτική συνομιλία όπου και οι δύο πλευρές αποδεικνύουν ότι γνωρίζουν ένα μυστικό χωρίς να φωνάζουν το μυστικό στον διάδρομο. Αυτός δεν είναι ένας τέλειος τεχνικός ορισμός, αλλά για μη μηχανικούς είναι το σωστό νοητικό μοντέλο.

Αυτό έχει σημασία γιατί πολλοί αγοραστές αναζητούν όρους όπως εξήγηση κρυπτογράφησης RFID, ασφαλείς κάρτες RFID, κρυπτογραφημένες κάρτες πρόσβασης RFID, πρόληψη αντιγραφής καρτών RFID και ασφάλεια δεδομένων RFID, ελπίζοντας να βρουν ένα μαγικό προϊόν. Στην πραγματικότητα, η κρυπτογράφηση είναι μέρος ενός ευρύτερου μοντέλου εμπιστοσύνης. Μια κάρτα δεν είναι αυτόματα ασφαλής επειδή είναι ανέπαφη. Μια κάρτα δεν είναι αυτόματα ανασφαλής επειδή χρησιμοποιεί RFID. Η ασφάλεια εξαρτάται από το τι αποθηκεύει η κάρτα, πώς την επαληθεύει ο αναγνώστης, αν τα κλειδιά διαχειρίζονται σωστά και αν το υπόλοιπο σύστημα είναι πειθαρχημένο.

Μια εταιρεία ακινήτων το έμαθε αυτό με αρκετά άβολο τρόπο. Είχαν εγκαταστήσει ανέπαφες κάρτες πριν από χρόνια για είσοδο διαμερισμάτων και πρόσβαση σε πάρκινγκ. Η διοίκηση έλεγε συνεχώς στους ενοίκους ότι το κτίριο χρησιμοποιούσε RFID, οπότε οι κάτοικοι υπέθεταν ότι το σύστημα ήταν σύγχρονο και ασφαλές. Ήταν σύγχρονο σε σύγκριση με τα μεταλλικά κλειδιά, αλλά οι κάρτες βασίζονταν σε ένα απλό στατικό αναγνωριστικό. Μετά από μια σειρά ανεξήγητων εισόδων στο γκαράζ, η εταιρεία ανακάλυψε ότι χρησιμοποιούνταν αντιγραμμένα διαπιστευτήρια. Το πρόβλημα δεν ήταν ότι το RFID ήταν χαλασμένο. Το πρόβλημα ήταν ότι το κτίριο χρησιμοποιούσε ένα αδύναμο είδος διαπιστευτηρίου RFID με ελάχιστη πραγματική προστασία.

Αυτή είναι μια από τις μεγαλύτερες παρεξηγήσεις στην αγορά. Το RFID δεν είναι ένα μόνο επίπεδο ασφάλειας. Είναι μια ευρεία οικογένεια τεχνολογιών. Ορισμένες παλαιότερες κάρτες εγγύτητας χαμηλής συχνότητας είναι εύκολες στην ανάπτυξη αλλά πιο εύκολες στην αντιγραφή, επειδή συχνά βασίζονται σε σταθερά αναγνωριστικά. Ορισμένες έξυπνες κάρτες υψηλότερης συχνότητας και σύγχρονοι αναγνώστες RFID υποστηρίζουν πραγματική κρυπτογράφηση, αμοιβαία αυθεντικοποίηση, ασφαλή δεδομένα εφαρμογών και καλύτερη διαχείριση κλειδιών. Όταν οι άνθρωποι ρωτούν αν το RFID είναι ασφαλές, η ειλικρινής απάντηση είναι ότι οι ασφαλείς και οι ανασφαλείς εκδόσεις συχνά πωλούνται και οι δύο κάτω από την ίδια γενική ετικέτα.

Τι κάνει πραγματικά η κρυπτογράφηση μέσα σε ένα σύστημα RFID

Τι κάνει λοιπόν πραγματικά η κρυπτογράφηση μέσα σε ένα σύστημα RFID;

Στο πιο βασικό επίπεδο, η κρυπτογράφηση προστατεύει τα δεδομένα ώστε να μην μπορούν να κατανοηθούν ή να επαναχρησιμοποιηθούν εύκολα από κάποιον που τα υποκλέπτει. Σε πιο προηγμένα συστήματα RFID, η κρυπτογράφηση μπορεί να βοηθήσει με διάφορους τρόπους. Μπορεί να προστατεύσει τα δεδομένα που είναι αποθηκευμένα στην κάρτα. Μπορεί να προστατεύσει τη συνομιλία μεταξύ της κάρτας και του αναγνώστη. Μπορεί να βοηθήσει την κάρτα και τον αναγνώστη να επαληθεύσουν ο ένας τον άλλον πριν από οποιαδήποτε ευαίσθητη ανταλλαγή. Μπορεί επίσης να μειώσει την αξία των υποκλεμμένων πληροφοριών, επειδή αυτό που συνελήφθη δεν είναι άμεσα επαναχρησιμοποιήσιμο.

Αυτό το τελευταίο σημείο είναι σημαντικό. Σε μια αδύναμη ρύθμιση RFID, αν ένας επιτιθέμενος συλλάβει τον αριθμό της κάρτας, μπορεί να μπορεί να τον αναπαράγει ή να τον αντιγράψει. Σε μια καλύτερη κρυπτογραφημένη ρύθμιση, η σύλληψη μιας στιγμής επικοινωνίας δεν δίνει απαραίτητα στον επιτιθέμενο κάτι χρήσιμο. Μπορεί να βλέπει κίνηση, αλλά όχι ουσιαστική κίνηση που μπορεί να μετατρέψει σε λειτουργικό αντίγραφο.

Μια ιδιωτική κλινική είδε τη διαφορά αφού μια επανεξέταση συμμόρφωσης έθεσε ανησυχίες σχετικά με χώρους αποκλειστικά για προσωπικό. Οι παλιές κάρτες τους ήταν βολικές, αλλά οποιοσδήποτε αντέγραφε ένα έγκυρο διαπιστευτήριο μπορούσε ενδεχομένως να φτάσει στην αποθήκευση αρχείων και στα ντουλάπια φαρμάκων. Όταν η κλινική αναβάθμισε σε κρυπτογραφημένες έξυπνες κάρτες, οι αναγνώστες δεν εμπιστεύονταν πλέον μόνο έναν απλό ορατό αριθμό. Κάθε διαπιστευτήριο είχε προστατευμένα δεδομένα, και η αλληλεπίδραση κάρτας-αναγνώστη απαιτούσε κρυπτογραφική επικύρωση. Από την οπτική γωνία της κλινικής, η ορατή διαδικασία μετά βίας άλλαξε. Το προσωπικό εξακολουθούσε να πλησιάζει ένα σήμα. Στο παρασκήνιο, όμως, το επίπεδο εμπιστοσύνης βελτιώθηκε δραματικά.

Γιατί έχουν σημασία τα κρυπτογραφικά κλειδιά

Αν δεν είστε τεχνικός, μπορεί να αναρωτιέστε τι κάνει πραγματικά ένα κλειδί σε όλα αυτά. Ένας χρήσιμος τρόπος να σκεφτείτε ένα κρυπτογραφικό κλειδί είναι ως ένα κοινόχρηστο μυστικό που χρησιμοποιείται για να αποδείξει ταυτότητα ή να ξεκλειδώσει προστατευμένες πληροφορίες. Αν μια κάρτα και ένας αναγνώστης έχουν και οι δύο τα σωστά κλειδιά, μπορούν να ολοκληρώσουν μια ασφαλή ανταλλαγή. Αν μια πλαστή κάρτα δεν έχει το σωστό υλικό κλειδιού, θα πρέπει να αποτύχει. Γι' αυτό η διαχείριση κλειδιών είναι τόσο σημαντική. Ακόμη και η ισχυρή κρυπτογράφηση μπορεί να υπονομευτεί αν τα κλειδιά χειρίζονται απρόσεκτα.

Ένας διαχειριστής αποθήκης το ανακάλυψε αυτό αφού επένδυσε σε αυτό που η εμπορική βιβλιογραφία περιέγραφε ως ασφαλή διαπιστευτήρια RFID. Στα χαρτιά, η ανάπτυξη φαινόταν ισχυρή. Στην πράξη, ο εγκαταστάτης επαναχρησιμοποίησε την ίδια δομή κλειδιού πολύ ευρέως και άφησε μέρη της ροής εγγραφής ατημέλητα. Το αποτέλεσμα δεν ήταν μια καταστροφική παραβίαση της κρυπτογράφησης, αλλά μια αποτρέψιμη αποδυνάμωση ολόκληρου του προγράμματος. Μόλις η εταιρεία αυστηροποίησε τους κανόνες έκδοσης, διαχώρισε τις ομάδες διαπιστευτηρίων και επανεξέτασε τον τρόπο φόρτωσης των κλειδιών, το σύστημα άρχισε επιτέλους να συμπεριφέρεται όπως ο ασφαλής σχεδιασμός που νόμιζαν ότι είχαν αγοράσει εξαρχής.

Εδώ οι μη μηχανικοί συχνά παραπλανώνται από το λεξιλόγιο. Θα ακούσετε φράσεις όπως κρυπτογραφημένο τσιπ, ασφαλής κάρτα, προηγμένο διαπιστευτήριο ή προστατευμένη ετικέτα RFID. Αυτές οι φράσεις μπορούν να σημαίνουν κάτι πραγματικό, αλλά μπορούν επίσης να χρησιμοποιηθούν χαλαρά. Αυτό που θέλετε να μάθετε δεν είναι αν ένα φυλλάδιο λέει ασφαλές. Θέλετε να μάθετε τι προστατεύεται πραγματικά, ποιος αλγόριθμος ή πλατφόρμα χρησιμοποιείται, αν η κάρτα υποστηρίζει αμοιβαία αυθεντικοποίηση, αν τα κλειδιά είναι διαφοροποιημένα και αν το σύστημα επικυρώνει κάτι περισσότερο από ένα απλό UID.

Συνήθεις παρεξηγήσεις σχετικά με την ασφάλεια RFID

Ένας μοναδικός αριθμός κάρτας δεν είναι το ίδιο με την ασφάλεια

Το ζήτημα του UID αξίζει ιδιαίτερη προσοχή. Πολλά τσιπ RFID έχουν ένα μοναδικό αναγνωριστικό, που συχνά ονομάζεται UID ή σειριακός αριθμός. Κάποιοι υποθέτουν ότι αν μια κάρτα έχει μοναδικό αριθμό, αυτός ο αριθμός αρκεί για την ασφάλεια. Δεν αρκεί. Ένας μοναδικός αριθμός είναι χρήσιμος για απογραφή ή αναγνώριση, αλλά αν το σύστημα ελέγχου πρόσβασης εμπιστεύεται απλώς αυτόν τον αριθμό, το επίπεδο ασφάλειας μπορεί να παραμένει αδύναμο. Η διαφορά είναι παρόμοια με τη διαφορά μεταξύ μιας πινακίδας κυκλοφορίας και ενός αυθεντικοποιημένου ελέγχου ταυτότητας. Μια πινακίδα μπορεί να είναι μοναδική, αλλά οποιοσδήποτε μπορεί να τη δει. Η πραγματική ασφάλεια συνήθως χρειάζεται κάτι περισσότερο από ορατότητα και μοναδικότητα.

Μια σχολική περιφέρεια επέλεξε κάποτε ένα πρόγραμμα καρτών RFID για παρουσίες, πληρωμές κυλικείου και πρόσβαση μετά το σχολείο. Η ομάδα προμηθειών πίστευε ότι η κρυπτογράφηση είχε σημασία μόνο για τα υπόλοιπα πληρωμών, όχι για το μέρος της ταυτότητας της κάρτας. Κατά τη διάρκεια των δοκιμών, ο προμηθευτής έδειξε πώς μια αδύναμη ρύθμιση εξέθετε υπερβολική εξάρτηση από αναγνώσιμα αναγνωριστικά. Η περιφέρεια άλλαξε κατεύθυνση και επέλεξε μια πλατφόρμα όπου οι ευαίσθητες λειτουργίες εξαρτώνταν από προστατευμένα δεδομένα εφαρμογών και όχι απλώς από έναν αριθμό κάρτας. Αυτή η απόφαση τους έδωσε καλύτερη ιδιωτικότητα, καλύτερο έλεγχο και λιγότερα προβλήματα όταν αργότερα πρόσθεσαν λειτουργίες βιβλιοθήκης και μεταφοράς.

Η αμοιβαία αυθεντικοποίηση προσθέτει άλλο ένα επίπεδο εμπιστοσύνης

Ένας άλλος όρος που αξίζει να κατανοήσετε είναι η αμοιβαία αυθεντικοποίηση. Σε ένα απλό σύστημα, ο αναγνώστης ελέγχει την κάρτα. Σε ένα ισχυρότερο σύστημα, η κάρτα ελέγχει επίσης τον αναγνώστη. Αυτό μπορεί να ακούγεται υπερβολικό, αλλά έχει σημασία. Αν ένας ψεύτικος ή κακόβουλος αναγνώστης προσπαθήσει να αλληλεπιδράσει με μια καλά σχεδιασμένη κρυπτογραφημένη κάρτα, η κάρτα δεν θα πρέπει να αποκαλύπτει αβασάνιστα προστατευμένα δεδομένα. Με άλλα λόγια, η κάρτα δεν εμπιστεύεται τυφλά κάθε αναγνώστη που κάνει ερωτήσεις. Για μη μηχανικούς, αυτό είναι ένα από τα σαφέστερα σημάδια ότι κοιτάτε μια πιο σοβαρή αρχιτεκτονική διαπιστευτηρίων.

Ένας χώρος συνεργασίας αντιμετώπισε προβλήματα επειδή αναβάθμισε τις κάρτες χωρίς να αναβαθμίσει πλήρως τους αναγνώστες. Ορισμένες πόρτες χρησιμοποιούσαν ισχυρότερους αναγνώστες που υποστήριζαν σωστή αυθεντικοποίηση. Άλλες εξακολουθούσαν να δέχονται ασθενέστερες αλληλεπιδράσεις κατά τη διάρκεια μιας ακατάστατης μετάβασης. Οι ένοικοι έβλεπαν ένα σήμα με μια επωνυμία και υπέθεταν ένα συνεπές επίπεδο ασφάλειας σε όλο το κτίριο. Στην πραγματικότητα, η πιο αδύναμη αποδεκτή μορφή πόρτας καθόριζε τον πρακτικό κίνδυνο. Αυτό είναι ένα κλασικό λάθος μετάβασης. Η κρυπτογράφηση είναι τόσο χρήσιμη όσο η προθυμία του συστήματος να την επιβάλλει με συνέπεια.

Οι άνθρωποι επίσης ρωτούν αν η κρυπτογράφηση κάνει το RFID αδύνατο να παραβιαστεί. Όχι. Αυτό είναι το λάθος κριτήριο. Στην εργασία ασφάλειας, το αδύνατο δεν είναι ρεαλιστική λέξη. Η καλύτερη ερώτηση είναι αν η κρυπτογράφηση κάνει την κατάχρηση πολύ δυσκολότερη, πιο δαπανηρή και λιγότερο πρακτική για συνηθισμένους επιτιθέμενους. Ένα βασικό σήμα χαμηλής ασφάλειας μπορεί να αντιγραφεί με φθηνά εργαλεία και ελάχιστη εξειδίκευση. Ένα καλά υλοποιημένο κρυπτογραφημένο έξυπνο διαπιστευτήριο μπορεί να μετακινήσει την επίθεση από την περιστασιακή αντιγραφή σε μια πολύ δυσκολότερη κατηγορία. Αυτή η διαφορά είναι αυτό για το οποίο πληρώνουν πραγματικά οι αγοραστές.

Ένα μπουτίκ ξενοδοχείο το κατάλαβε αυτό μετά από παράπονα επισκεπτών για ανωμαλίες στην πρόσβαση δωματίων κατά τη διάρκεια μιας ανακαίνισης. Το ξενοδοχείο είχε υιοθετήσει ανέπαφες κάρτες κλειδιών ξενοδοχείου, αλλά ορισμένες είσοδοι υπηρεσίας και περάσματα προσωπικού βασίζονταν ακόμη σε παλαιότερους, ασθενέστερους αναγνώστες. Ένα αντιγραμμένο διαπιστευτήριο προσωπικού δημιούργησε περισσότερο κίνδυνο από ό,τι μείωσε το κομψό σύστημα καρτών επισκεπτών. Όταν το ξενοδοχείο τυποποίησε σε κρυπτογραφημένα διαπιστευτήρια και ολοκλήρωσε την αντικατάσταση των αναγνωστών αντί να παρατείνει τη μετάβαση, το πρόβλημα επιτέλους ηρέμησε. Το δίδαγμα ήταν απλό. Η μερική εκσυγχρονισμός συχνά ακούγεται αποδοτικός αλλά μπορεί να αφήσει ντροπιαστικά κενά.

Η κρυπτογράφηση εξακολουθεί να χρειάζεται καλή επιχειρησιακή πειθαρχία

Η κρυπτογράφηση επίσης δεν λύνει κάθε πρόβλημα από μόνη της. Μια ασφαλής κάρτα RFID δεν μπορεί να σταματήσει το tailgating. Δεν μπορεί να σταματήσει μια ρεσεψιονίστ από το να εκδίδει διαπιστευτήρια χωρίς κατάλληλη έγκριση. Δεν μπορεί να σταματήσει κάποιον από το να μοιράζεται ένα σήμα με έναν συνάδελφο. Δεν μπορεί να αντισταθμίσει πόρτες που κρατούνται ανοιχτές κατά τη διάρκεια παραδόσεων ή μια βάση δεδομένων πρόσβασης που δεν καθαρίζεται ποτέ. Γι' αυτό οι έμπειροι αγοραστές εξετάζουν την ασφάλεια των διαπιστευτηρίων και την επιχειρησιακή πειθαρχία μαζί.

Ένα εργαστήριο βιοτεχνολογίας επένδυσε σε ισχυρές κρυπτογραφημένες κάρτες επειδή χειριζόταν ευαίσθητα πρωτότυπα και περιορισμένες συνθέσεις. Η επιλογή τεχνολογίας ήταν καλή, αλλά ένα τμήμα άρχισε να δανείζει σήματα κατά τη διάρκεια νυχτερινών βαρδιών για να αποφύγει καθυστερήσεις όταν έφταναν αργά προσωρινοί εργολάβοι. Το σύστημα καρτών δεν είχε αποτύχει. Η ανθρώπινη συμπεριφορά είχε. Αφού το εργαστήριο αυστηροποίησε τις διαδικασίες έκδοσης και συνέδεσε τα προσωρινά διαπιστευτήρια με εγκρίσεις περιορισμένου χρόνου, η ακριβή κρυπτογράφηση παρείχε επιτέλους την πρακτική προστασία που η διοίκηση νόμιζε ότι αγόραζε ήδη.

Για μη μηχανικούς, ένας από τους καλύτερους τρόπους να κρίνετε μια συνομιλία με προμηθευτή είναι να προσέξετε πώς εξηγούν την αντιγραφή. Αν η απάντηση είναι ασαφής, υπερβολικά σίγουρη ή γεμάτη φράσεις όπως στρατιωτικού επιπέδου χωρίς λεπτομέρειες, προσέξτε. Μια αξιόπιστη εξήγηση θα πρέπει να καθιστά σαφές αν το σύστημα εξαρτάται από στατικά αναγνωριστικά, αν χρησιμοποιείται προστατευμένη μνήμη, αν τα διαπιστευτήρια είναι διαφοροποιημένα και τι σταματά την αναπαραγωγή ή την αντιγραφή σε συνήθη σενάρια απειλών. Δεν χρειάζεται να καταλάβετε κάθε όνομα αλγορίθμου για να προσέξετε αν η εξήγηση είναι συγκεκριμένη ή απλώς γυαλισμένη.

Ένα εργοστάσιο παραγωγής έκανε ακριβώς αυτό κατά τη διάρκεια προμηθειών. Ένας προμηθευτής επαναλάμβανε συνεχώς ότι οι κάρτες RFID του ήταν ασφαλείς επειδή ήταν ανέπαφες και κρυπτογραφημένες. Ένας άλλος προμηθευτής επιβράδυνε και εξήγησε πού ζούσαν τα δεδομένα, τι επαλήθευε ο αναγνώστης, πώς χειρίζονταν τα κλειδιά και πώς οι παλαιότερες λειτουργίες θα απενεργοποιούνταν κατά τη μετάβαση. Το εργοστάσιο επέλεξε τον δεύτερο προμηθευτή, παρόλο που η παρουσίαση φαινόταν λιγότερο εντυπωσιακή. Έξι μήνες αργότερα, ο διευθυντής ασφάλειας είπε ότι το καλύτερο σημάδι ότι είχαν κάνει τη σωστή επιλογή ήταν το πόσο βαρετό είχε γίνει το σύστημα. Απλώς λειτουργούσε, και υπήρχε λιγότερος χώρος για εικασίες.

Κόστος, μετάβαση και μακροπρόθεσμος κίνδυνος

Υπάρχει επίσης μια συζήτηση για το κόστος γύρω από την κρυπτογράφηση RFID που οι αγοραστές θα πρέπει να προσεγγίσουν προσεκτικά. Τα ισχυρότερα κρυπτογραφημένα συστήματα συνήθως κοστίζουν περισσότερο από τις κάρτες εγγύτητας εισόδου. Οι κάρτες μπορεί να κοστίζουν περισσότερο. Οι αναγνώστες μπορεί να χρειάζονται αναβάθμιση. Η εγγραφή μπορεί να γίνει πιο ελεγχόμενη. Η μετάβαση μπορεί να απαιτεί καλύτερο σχεδιασμό. Αλλά το κόστος δεν πρέπει να μετράται μόνο ως τιμή σήματος. Το πραγματικό ερώτημα είναι τι κοστίζει η συνέχιση της χρήσης ενός αδύναμου συστήματος που μπορεί να αντιγραφεί, να μοιραστεί ή να ελεγχθεί ανεπαρκώς. Τα φθηνά διαπιστευτήρια μπορούν να γίνουν ακριβά πολύ ήσυχα.

Μια περιφερειακή χρηματοοικονομική εταιρεία το εξέτασε αυτό μέσα από φακό κινδύνου αντί για φακό μοναδιαίου κόστους. Τα βασικά σήματα ήταν φθηνότερα στην αρχή, αλλά η εταιρεία είχε αίθουσες ευαίσθητων δεδομένων, προσωπικό καθαριότητας εκτός ωραρίου και εναλλασσόμενους προμηθευτές. Υιοθέτησε κρυπτογραφημένες κάρτες για κανονική πρόσβαση, και στη συνέχεια πρόσθεσε σήμα συν PIN για τους χώρους ταμείου. Το αποτέλεσμα δεν ήταν θέατρο ασφάλειας. Ήταν ένα πολυεπίπεδο μοντέλο όπου η απώλεια ενός σήματος δεν σήμαινε αυτόματα την απώλεια του χώρου πίσω από το σήμα. Εκεί συχνά γίνεται πιο χρήσιμο το κρυπτογραφημένο RFID. Ενισχύει ένα επίπεδο ενώ κάνει την προστασία πολλαπλών παραγόντων πιο πρακτική όπου ο κίνδυνος το δικαιολογεί.

Αν είστε νέοι στο θέμα, μπορεί επίσης να ακούσετε ονόματα οικογενειών καρτών και πλατφορμών. Κάποιες είναι σχεδιασμένες γύρω από ισχυρότερες κρυπτογραφικές προσεγγίσεις. Κάποιες είναι παλαιότερες και λιγότερο ανθεκτικές. Κάποιες μπορούν να είναι ασφαλείς όταν υλοποιούνται σωστά αλλά συχνά αναπτύσσονται με ασθενέστερους τρόπους. Δεν χρειάζεται να απομνημονεύσετε καταλόγους προϊόντων για να πάρετε μια καλή απόφαση. Χρειάζεται να ρωτήσετε αν το προτεινόμενο σύστημα είναι σύγχρονο, υποστηριζόμενο, καλά κατανοητό από τον ενσωματωτή σας και κατάλληλο για το επίπεδο απειλής σας. Ένα μικρό γραφείο μπορεί να μην χρειάζεται την ίδια αρχιτεκτονική με ένα φαρμακείο νοσοκομείου, ένα κέντρο δεδομένων ή μια ερευνητική εγκατάσταση. Αλλά σχεδόν κανείς δεν ωφελείται από το να μπερδεύει παλιά διαπιστευτήρια ευκολίας με πραγματική σύγχρονη ασφάλεια.

Ένα λεπτό σημείο που έχει μεγάλη σημασία είναι τι κάνει η κρυπτογράφηση στην εμπιστοσύνη με την πάροδο του χρόνου. Σε ένα αδύναμο σύστημα σημάτων, ποντάρετε ότι κανείς δεν μπαίνει στον κόπο να αντιγράψει διαπιστευτήρια. Σε ένα ισχυρότερο κρυπτογραφημένο σύστημα, χτίζετε αντοχή ακόμη και αν κάποιος μπει στον κόπο. Αυτή η αλλαγή έχει σημασία επειδή οι απειλές αλλάζουν. Τα εργαλεία γίνονται φθηνότερα. Η γνώση εξαπλώνεται. Οι εργαζόμενοι έρχονται και φεύγουν. Οι εργολάβοι βλέπουν περισσότερα από όσα θα έπρεπε. Συστήματα που φαινόταν αποδεκτά πριν από μια δεκαετία μπορούν να γεράσουν άσχημα ακόμη και αν δεν έχει συμβεί τίποτα δραματικό ακόμη.

Ένα πρόγραμμα φοιτητικής κατοικίας πανεπιστημίου βρέθηκε σε αυτήν ακριβώς τη θέση. Οι διοικητές δεν είχαν κανένα σοβαρό περιστατικό στο αρχείο, οπότε υπέθεσαν ότι η παλιά πλατφόρμα καρτών ήταν εντάξει. Κατά τη διάρκεια ενός ευρύτερου εκσυγχρονισμού της πανεπιστημιούπολης, ο σύμβουλός τους έδειξε πόσο εύκολο θα ήταν για αντιγραμμένα διαπιστευτήρια να υπονομεύσουν την ασφάλεια των κοιτώνων. Το πανεπιστήμιο μετακινήθηκε σε κρυπτογραφημένες έξυπνες κάρτες, εισήγαγε ταχύτερη ανάκληση για χαμένα σήματα και καθάρισε τους κανόνες προσωρινής πρόσβασης για εκδηλώσεις και ομάδες συντήρησης. Τίποτα στην εμπειρία των φοιτητών δεν έγινε δυσκολότερο, αλλά η στάση ασφάλειας έγινε πολύ λιγότερο εξαρτημένη από την τύχη.

Τι πρέπει να θυμούνται οι μη μηχανικοί

Τι πρέπει λοιπόν να θυμάται ένας μη μηχανικός μετά από όλα αυτά;

Πρώτον, η κρυπτογράφηση RFID αφορά την προστασία των δεδομένων της κάρτας και της επικοινωνίας κάρτας-αναγνώστη ώστε οι εξωτερικοί να μην μπορούν εύκολα να αντιγράψουν, να διαβάσουν ή να επαναχρησιμοποιήσουν ευαίσθητες πληροφορίες. Δεύτερον, δεν χρησιμοποιούν όλες οι κάρτες RFID ισχυρή κρυπτογράφηση, και η φράση κάρτα RFID από μόνη της δεν σας λέει σχεδόν τίποτα για την πραγματική ασφάλεια. Τρίτον, οι μοναδικοί αριθμοί καρτών δεν είναι το ίδιο με τα ασφαλή αυθεντικοποιημένα διαπιστευτήρια. Τέταρτον, η διαχείριση κλειδιών έχει εξίσου μεγάλη σημασία με την ικανότητα του τσιπ. Πέμπτον, η κρυπτογράφηση βοηθά πολύ, αλλά εξακολουθεί να χρειάζεται καλή επιχειρησιακή πρακτική γύρω από την έκδοση, την ανάκληση, τις αναβαθμίσεις αναγνωστών και τη φυσική συμπεριφορά.

Αν αγοράζετε ένα σύστημα πρόσβασης RFID, ένα σύστημα ταυτοποίησης προσωπικού ή ένα πρόγραμμα διαπιστευτηρίων πληρωμών, το πρακτικό ερώτημα δεν είναι απλώς αν αυτές οι κάρτες χρησιμοποιούν κρυπτογράφηση. Η καλύτερη ερώτηση είναι πώς το σύστημα χρησιμοποιεί την κρυπτογράφηση, πού ζουν τα κλειδιά, τι επικυρώνει ο αναγνώστης, πώς ανακαλούνται οι χαμένες κάρτες και αν ασθενέστερες παλαιότερες λειτουργίες γίνονται ακόμη αποδεκτές οπουδήποτε. Αυτές οι απαντήσεις αποκαλύπτουν πολύ περισσότερα από γυαλιστερές συσκευασίες ή συνθήματα.

Με απλά λόγια, η κρυπτογράφηση RFID είναι η διαφορά μεταξύ του να δείχνεις έναν αριθμό και του να αποδεικνύεις ένα διαπιστευτήριο. Για μη μηχανικούς, αυτή είναι η βασική ιδέα που αξίζει να κρατήσετε. Μόλις το καταλάβετε αυτό, η υπόλοιπη συζήτηση γίνεται ευκολότερη. Σταματάτε να ψωνίζετε μόνο με βάση το σχήμα της κάρτας και τη συχνότητα. Αρχίζετε να κοιτάτε την εμπιστοσύνη, την επαλήθευση, τον έλεγχο κύκλου ζωής και τον πραγματικό κίνδυνο. Και εκεί ακριβώς αρχίζει μια έξυπνη αγοραστική απόφαση.