Jak bezpieczne są karty dostępu RFID?

Na pytanie, czy karty dostępu RFID są bezpieczne, nie ma jednej prostej odpowiedzi. Niektóre rozwiązania zapewniają bardzo solidną ochronę, inne są niepokojąco łatwe do obejścia, a rzeczywisty poziom bezpieczeństwa często zależy od elementów niezwiązanych bezpośrednio z samą kartą. O kartach RFID często mówi się tak, jakby wszystkie wykorzystywały tę samą technologię i oferowały identyczny poziom ochrony. W praktyce jest zupełnie inaczej. Tania karta zbliżeniowa 125 kHz stosowana w starszym biurowcu znacząco różni się od szyfrowanej karty inteligentnej 13,56 MHz współpracującej z nowoczesnymi czytnikami, odpowiednio zarządzanymi kluczami i bezpieczną komunikacją z kontrolerem dostępu.

To rozróżnienie jest istotne, ponieważ kupujący często wyszukują hasła takie jak bezpieczeństwo kart dostępu RFID, bezpieczne karty RFID, ochrona przed klonowaniem kart RFID czy najlepsze karty RFID do kontroli dostępu, oczekując prostej odpowiedzi produktowej. Zazwyczaj jednak jej nie ma. Właściwe pytanie brzmi raczej: jak bezpieczny jest cały wdrażany system uwierzytelniania i jak konsekwentnie będzie zarządzany po instalacji?

Dlaczego poziom bezpieczeństwa kart dostępu RFID tak bardzo się różni?

Słabe strony starszych rozwiązań można wyjaśnić stosunkowo łatwo. Wiele tradycyjnych kart dostępu RFID jedynie przesyła niezmienny identyfikator. Jeżeli ktoś go odczyta, często może skopiować go na inną kartę lub emulator. W praktyce oznacza to, że identyfikator można powielić w ciągu kilku minut, jeśli system opiera się wyłącznie na stałym, nieszyfrowanym numerze karty. Wiele budynków nadal korzysta z takich rozwiązań, ponieważ są tanie, dobrze znane i zostały zainstalowane wiele lat temu. Problem polega na tym, że dawna wygoda z perspektywy współczesnych zagrożeń coraz częściej staje się podatnością.

Zarządca podmiejskiego kompleksu biurowego przekonał się o tym w praktyce. Najemcy zgłaszali podejrzane wejścia po godzinach pracy, mimo że nie było widocznych śladów włamania. Przyczyną nie okazało się otwieranie zamków ani spektakularne działanie pracownika firmy. Jeden z wykonawców skopiował kilka kart niskiej częstotliwości, gdy miał do nich krótki dostęp podczas rutynowych prac konserwacyjnych. Były to starsze identyfikatory zbliżeniowe ze statycznymi numerami, a system akceptował każdy numer odczytany przez czytnik. Dla zarządcy karty działały bezproblemowo od lat. Dla atakującego stanowiły niemal otwarte zaproszenie.

Statyczne identyfikatory powodują realne ryzyko klonowania

Właśnie dlatego karty zbliżeniowe niskiej częstotliwości, zwłaszcza starsze formaty 125 kHz, są często uznawane za najsłabsze rozwiązania pod względem bezpieczeństwa identyfikatorów RFID. Nadal powszechnie wykorzystuje się je w biurowcach, budynkach mieszkalnych, klubach fitness i systemach wjazdowych na parkingi, ale nie są dobrym wyborem tam, gdzie istotna jest odporność na kopiowanie. Jeżeli obecny system sprawdza wyłącznie numer karty, należy zakładać, że identyfikator może zostać skopiowany, dopóki nie zostanie udowodnione inaczej.

Szyfrowane karty inteligentne zmieniają model bezpieczeństwa

Nie oznacza to jednak, że wszystkie karty RFID są łatwe do złamania. Karty inteligentne wysokiej częstotliwości działające w paśmie 13,56 MHz mogą obsługiwać rzeczywiste zabezpieczenia kryptograficzne. Rozwiązania takie jak szyfrowane karty RFID, MIFARE DESFire EV2, DESFire EV3, iCLASS SEOS oraz inne bezpieczne technologie identyfikacji należą do zupełnie innej klasy ochrony. Mogą zapewniać wzajemne uwierzytelnianie, dywersyfikowane klucze, chronioną pamięć i szyfrowaną wymianę danych. Nie jest to jedynie hasło marketingowe. Funkcje te w istotny sposób ograniczają możliwości przeprowadzenia ataku.

Prywatna klinika, która zmodernizowała system po audycie zgodności, szybko zauważyła tę różnicę. Początkowo obawiano się przede wszystkim naruszenia prywatności pacjentów, jednak rzeczywistym słabym punktem okazała się fizyczna kontrola dostępu. Stare karty pracownicze można było łatwo kopiować, a jeden sklonowany identyfikator pozwalał wejść do pomieszczeń z dokumentacją, magazynu leków oraz stref przeznaczonych wyłącznie dla personelu. Klinika wdrożyła szyfrowane karty inteligentne, wymieniła czytniki RFID, zmieniła klucze w ramach kontrolowanego procesu zarządzania identyfikatorami i dodała alarmy informujące o próbach manipulacji przy czytnikach. Rezultatem były nie tylko bezpieczniejsze karty, lecz także lepiej zabezpieczony system kontroli dostępu. Poprawa wynikała z ochrony całej infrastruktury, a nie pojedynczego kawałka plastiku.

Właśnie na tym całościowym podejściu wykłada się wiele projektów. Organizacje pytają, czy karty dostępu RFID są bezpieczne, ale nie sprawdzają, czy komunikacja między czytnikiem a kontrolerem jest chroniona, czy klucze są prawidłowo zarządzane, czy utracone karty są szybko unieważniane, czy w odpowiednich miejscach działa funkcja anti-passback oraz czy monitorowane są przypadki wejścia za osobą uprawnioną. Nowoczesna karta może oferować silne zabezpieczenia kryptograficzne, a mimo to funkcjonować w źle zaprojektowanym systemie.

Z takim problemem zetknął się jeden z magazynów logistycznych. Kierownictwo zainwestowało w identyfikatory RFID uznawane za bezpieczne, ale instalator pozostawił domyślne dane logowania w części oprogramowania do zarządzania dostępem oraz podłączył czytniki i kontrolery do płaskiej, niewystarczająco segmentowanej sieci. Same karty nie należały do najłatwiejszych do sklonowania, lecz cały system pozostawał podatny z powodu niedbałości w otaczającej je infrastrukturze. Atakujący nie musiał łamać zabezpieczeń karty. Wystarczyło, że wybrał łatwiejszą drogę. To częsta zasada w bezpieczeństwie kontroli dostępu: napastnicy zazwyczaj nie wybierają najbardziej widowiskowej metody, lecz tę najtańszą i najprostszą.

Nowoczesna częstotliwość nie zawsze oznacza nowoczesne zabezpieczenia

Istnieje także grupa rozwiązań pośrednich, która wprowadza wielu kupujących w błąd. Niektóre technologie kart wydają się nowoczesne, ponieważ są bezstykowe i działają w paśmie 13,56 MHz, ale sama częstotliwość nie gwarantuje wysokiego poziomu ochrony. Część starszych formatów kart inteligentnych zdobyła popularność dzięki niskiej cenie i elastyczności, lecz z czasem ujawniono w nich znane podatności albo wdrażano je w niebezpieczny sposób. Podczas zakupów szczególnie mylące bywają ogólne określenia takie jak „bezpieczny chip” lub „inteligentny identyfikator RFID”. Takie deklaracje nie wystarczą. Trzeba znać rodzinę zastosowanych identyfikatorów, metodę szyfrowania i sposób wydawania kluczy, a także ustalić, czy system nie opiera się wyłącznie na UID karty oraz czy obsługuje bezpieczną komunikację z czytnikiem, na przykład OSDP Secure Channel, jeżeli jest ona wymagana.

Operator przestrzeni coworkingowej skupił się kiedyś niemal wyłącznie na projekcie nadruku kart, spójności z identyfikacją wizualną oraz szybkim przyjmowaniu gości. Identyfikatory wyglądały profesjonalnie, aplikacja mobilna była nowoczesna, a obsługa w recepcji przebiegała sprawnie. W tle zagubione karty nie były jednak natychmiast blokowane, identyfikatory tymczasowe nie miały właściwie określonych terminów ważności, a podczas migracji kilka drzwi przez zbyt długi czas akceptowało zarówno stare, jak i nowe formaty. Były członek coworkingu użył starej karty kilka miesięcy po wygaśnięciu swoich uprawnień. Nie był potrzebny żaden atak kryptograficzny. Problemem było rozluźnienie procedur. Warto o tym pamiętać, ponieważ wiele rzeczywistych naruszeń wynika z niedbałego zarządzania cyklem życia kart, a nie ze spektakularnego łamania ich zabezpieczeń.

Co decyduje o bezpieczeństwie systemu kart dostępu RFID?

Co zatem sprawia, że system kart dostępu RFID jest rzeczywiście bezpieczny? Po pierwsze, identyfikator nie powinien opierać się na prostym, stałym numerze. Po drugie, karta i czytnik powinny wzajemnie się uwierzytelniać z wykorzystaniem silnego szyfrowania. Po trzecie, system centralny musi chronić materiał kluczowy i umożliwiać bezpieczne wydawanie identyfikatorów. Po czwarte, nie można pozostawić bez ochrony kanału komunikacyjnego między czytnikiem a kontrolerem. Po piąte, zagubione lub skradzione karty muszą być natychmiast unieważniane. Po szóste, obiekt powinien eliminować zagrożenia niezwiązane bezpośrednio z kartami, takie jak blokowanie drzwi w pozycji otwartej, współdzielenie identyfikatorów i wejście za osobą uprawnioną. Bez tych zabezpieczeń nawet program oparty na zaawansowanych kartach może nie spełnić oczekiwań.

Niewielkie laboratorium elektroniczne odkryło ten problem podczas próby ograniczenia dostępu do strefy prototypowania. Firma wdrożyła zaawansowane karty inteligentne, ale integrator, chcąc uprościć obsługę, użył tych samych kluczy głównych w zbyt wielu partiach kart i grupach czytników. Formalnie obiekt korzystał z bezpiecznych kart dostępu RFID. W praktyce zarządzanie kluczami było zbyt swobodne. Gdy zespół bezpieczeństwa rozpoznał zagrożenie, przeprojektowano hierarchię danych uwierzytelniających, zastosowano klucze dywersyfikowane dla poszczególnych aplikacji, oddzielono strefy wysokiego ryzyka od ogólnej przestrzeni biurowej i ograniczono uprawnienia do wydawania kart. To nie karty zawiodły firmę, lecz skróty organizacyjne.

Dobrym sposobem na zrozumienie bezpieczeństwa kart RFID jest porównanie ich z hasłami. Słabe, wielokrotnie używane hasło nie zapewnia takiej samej ochrony jak długie, unikalne hasło wspierane uwierzytelnianiem wieloskładnikowym. Podobna zasada obowiązuje w kontroli dostępu. Zwykły numer karty przypomina słabe hasło. Szyfrowany identyfikator inteligentny, obsługiwany przez bezpieczny proces wydawania i właściwe mechanizmy systemowe, jest bliższy nowoczesnej infrastrukturze zarządzania tożsamością. Nadal nie jest rozwiązaniem doskonałym, ale zdecydowanie trudniej go wykorzystać w nieuprawniony sposób.

Ryzyko klonowania zależy od rodzaju identyfikatora

Prowadzi to do kwestii klonowania, o którą kupujący pytają wyjątkowo często. Klonowanie kart RFID jest rzeczywistym zagrożeniem, ale nie jest równie łatwe w przypadku każdej technologii. Skopiowanie podstawowej karty niskiej częstotliwości może być bardzo proste przy użyciu niedrogich narzędzi. Powielenie prawidłowo wdrożonego, szyfrowanego identyfikatora to zupełnie inne wyzwanie. Dyskusja nie powinna sprowadzać się do abstrakcyjnego pytania, czy RFID można zhakować. W odpowiednich warunkach można zaatakować niemal każdy system. Bardziej użyteczne jest ustalenie, czy wybrane rozwiązanie sprawia, że nieautoryzowane skopiowanie karty jest wykonalne dla przypadkowego napastnika, wymaga specjalistycznej wiedzy czy pozostaje możliwe niemal wyłącznie w laboratorium albo przy udziale osoby z wewnątrz organizacji.

Dział administracji akademików jednego z uniwersytetów dostrzegł tę różnicę, gdy studenci zaczęli publikować w internecie informacje o kopiowaniu kart do domów studenckich. Starszy system w dużym stopniu opierał się na przewidywalnych numerach identyfikatorów i słabych procedurach operacyjnych. Modernizacja nie ograniczyła się do wymiany samych kart. Uczelnia wydała szyfrowane identyfikatory, oddzieliła uprawnienia do budynków mieszkalnych od dostępu do obiektów dydaktycznych, skróciła okresy ważności kart tymczasowych i powiązała zdarzenia rejestrowane przy drzwiach z alertami behawioralnymi. Liczba zgłoszeń dotyczących kopiowanych kart spadła, a jednocześnie poprawiła się skuteczność postępowań wyjaśniających, ponieważ rejestrowane dane stały się bardziej wiarygodne.

Konfiguracja czytników i sposób migracji mają znaczenie

Kolejnym często pomijanym elementem jest sposób działania czytników. Bezpieczna karta współpracująca z niezabezpieczonym lub nieprawidłowo skonfigurowanym czytnikiem nie zapewnia wystarczającej ochrony. Czytniki powinny poprawnie weryfikować identyfikatory, zapobiegać wymuszaniu słabszego trybu działania i komunikować się z systemem nadrzędnym przez zabezpieczony kanał. W środowiskach mieszanych ryzyko mogą powodować tryby zgodności wstecznej. Podczas migracji niektóre obiekty zbyt długo akceptują jednocześnie stare i nowoczesne identyfikatory, przez co najsłabszy obsługiwany format staje się faktycznym poziomem bezpieczeństwa danych drzwi.

Operator ośrodka wypoczynkowego przekonał się o tym podczas etapowej modernizacji. System dostępu do pokojów gościnnych został unowocześniony, ale część wejść pracowniczych nadal akceptowała starsze identyfikatory dla wygody personelu. Pracownicy używali wielofunkcyjnych kart, dlatego przejęcie jednego starszego identyfikatora umożliwiało obejście kosztownych zabezpieczeń wdrożonych w innych częściach obiektu. Kierownictwo dzieliło system na nowe i stare drzwi. Atakujący szukał po prostu najłatwiejszego wejścia. Taka różnica w sposobie myślenia może być bardzo kosztowna.

Nawet przy zastosowaniu zaawansowanej technologii identyfikatorów duże znaczenie zachowanie użytkowników. Jeden z podwykonawców centrum danych nie przeszedł audytu bezpieczeństwa nie dlatego, że ktoś sklonował kartę, lecz dlatego, że personel w godzinach największego ruchu regularnie przytrzymywał zabezpieczone drzwi ekipom dostawczym. Obiekt zainwestował w szyfrowane karty, bezpieczne wydawanie identyfikatorów i dokładne rejestrowanie zdarzeń, ale rzeczywistą słabością były procedury oraz zachowania społeczne. Nie jest to kwestia drugorzędna. W obiektach o wysokim poziomie bezpieczeństwa wejście za uprawnionym pracownikiem i współdzielenie kart często stanowią bardziej prawdopodobne zagrożenie niż przełamanie kryptografii. Dlatego najlepsze programy łączą identyfikatory RFID ze śluzami bezpieczeństwa, bramkami obrotowymi, weryfikacją wideo lub przynajmniej rygorystycznymi procedurami ochrony w strefach wrażliwych.

Wielowarstwowa kontrola dostępu ogranicza nadużycia

Należy również ustalić, czy same karty są wystarczające. W wielu środowiskach nie zapewniają one odpowiedniego poziomu ochrony. Wieloskładnikowa kontrola dostępu zyskuje na popularności, ponieważ ogranicza wartość zagubionej lub skopiowanej karty. W pomieszczeniach wysokiego ryzyka warto rozważyć połączenie RFID z kodem PIN, weryfikacją biometryczną lub zatwierdzeniem w aplikacji mobilnej. Nie oznacza to, że każde biuro potrzebuje rozbudowanego uwierzytelniania dwuskładnikowego przy wszystkich drzwiach wewnętrznych. Poziom zabezpieczeń powinien odpowiadać wartości chronionych zasobów. Serwerownie, laboratoria badawcze, działy finansowe, magazyny leków i gabinety kadry zarządzającej nie są narażone na takie samo ryzyko jak zwykły korytarz.

Regionalna firma z branży fintech dobrze zastosowała tę zasadę. Pracownicy używali bezpiecznych identyfikatorów RFID do poruszania się po zwykłych strefach biurowych, ale dostęp do operacji skarbowych wymagał karty i kodu PIN w godzinach pracy, a po godzinach dodatkowo kontrolowanego zatwierdzenia. Personel tymczasowy otrzymywał identyfikatory z automatycznie wygasającymi uprawnieniami zamiast kart oczekujących na ręczne unieważnienie. Zabezpieczenia nie stały się całkowicie niewidoczne, ale były przewidywalne, wielowarstwowe i trudniejsze do przypadkowego obejścia. Zazwyczaj właśnie taki jest cel. Skuteczna kontrola dostępu nie musi wyglądać spektakularnie. Musi działać niezawodnie.

O co zapytać przed wyborem kart dostępu RFID?

Kupujący porównujący różne rodzaje kart dostępu RFID powinni przestać koncentrować się wyłącznie na częstotliwości i przeanalizować model zaufania. Czy drzwi akceptują widoczny numer, czy kryptograficznie zweryfikowany identyfikator? Czy system używa unikalnych kluczy, czy wszędzie powtarza ten sam schemat? Czy uprawnienia można unieważniać w czasie rzeczywistym? Czy da się sprawdzić, kto wydał określony identyfikator i kiedy to zrobił? Czy oprogramowanie sprzętowe czytników jest aktualizowane? Czy integrator potrafi jasno wyjaśnić różnicę między UID karty, danymi aplikacji, kluczami dywersyfikowanymi i komunikacją przez bezpieczny kanał? Odpowiedzi na te pytania mówią znacznie więcej niż efektowna broszura.

Zakład zajmujący się pakowaniem produktów farmaceutycznych zadał właściwe pytania, zanim niemal zdecydował się na niedrogi system identyfikatorów zaproponowany przez generalnego wykonawcę. Oferta wyglądała atrakcyjnie pod względem ceny jednostkowej, ale objaśnienia techniczne były ogólnikowe. Po zażądaniu szczegółów okazało się, że projekt zbyt mocno opiera się na weryfikacji UID i niewystarczającej segmentacji. Zespół zmienił kierunek, mimo że oznaczało to wyższe koszty początkowe. Sześć miesięcy później decyzja była postrzegana jako rozsądna, a nie kosztowna. Podczas kolejnego audytu zakład został pozytywnie oceniony nie dlatego, że kupił drogie karty, lecz dlatego, że przed podpisaniem zamówienia dokładnie zrozumiał architekturę systemu uwierzytelniania.

Trzeba również uwzględnić realia biznesowe. Wiele obiektów nadal korzysta z niebezpiecznych lub przestarzałych identyfikatorów, ponieważ wymiana czytników, ponowne wydanie kart i przeszkolenie personelu wydają się uciążliwe. Jest to zrozumiałe, ponieważ ograniczenia budżetowe są realnym problemem. Jednak dług technologiczny w obszarze bezpieczeństwa narasta po cichu. Im dłużej organizacja używa słabej technologii identyfikatorów, tym więcej skopiowanych kart, nieudokumentowanych obejść i ograniczeń kompatybilności pojawia się wokół systemu. W rezultacie późniejsza migracja staje się trudniejsza, a nie łatwiejsza.

Firma produkcyjna odkryła to po przejęciu innego przedsiębiorstwa. Jeden zakład korzystał z nowoczesnych, szyfrowanych kart inteligentnych, a drugi ze starszych identyfikatorów zbliżeniowych. Kierownictwo chciało szybko wprowadzić jedną politykę kart w całej organizacji. Początkowo rozważano ujednolicenie systemu na podstawie starszej technologii, ponieważ wydawało się to prostsze operacyjnie. Po przeprowadzeniu testów firma wybrała jednak przeciwny kierunek. Ustandaryzowała bezpieczniejsze identyfikatory, w pierwszej kolejności wymieniła najważniejsze czytniki kontroli dostępu RFID i wdrożyła etapowy plan migracji z rygorystycznymi terminami wycofania starszych formatów. Realizacja wymagała wysiłku, ale pozwoliła uniknąć częstego błędu polegającego na utrwalaniu wczorajszych słabości w imię dzisiejszej wygody.

Ostateczna odpowiedź: czy karty dostępu RFID są bezpieczne?

Jak bezpieczne są zatem karty dostępu RFID? Przy wyborze odpowiedniej technologii i stosowaniu właściwych procedur mogą zapewnić ochronę wystarczającą dla wielu wymagających zastosowań. Nie będą jednak bezpieczne, jeżeli organizacja potraktuje wszystkie karty bezstykowe jako rozwiązania równoważne. Materiał, z którego wykonano kartę, nie jest najważniejszy. Kluczowe znaczenie ma model zaufania. Jeżeli system nadal opiera się na łatwym do odczytania, stałym numerze, poziom narażenia jest znacznie wyższy, niż przypuszcza wielu administratorów. Jeżeli wykorzystuje szyfrowane identyfikatory, prawidłowe zarządzanie kluczami, zabezpieczoną komunikację z czytnikami, uporządkowane procedury cyklu życia i wielowarstwową ochronę fizyczną, technologia RFID może stanowić niezawodny element strategii kontroli dostępu.

Dla większości kupujących najlepszym kolejnym krokiem nie jest szukanie najtańszego identyfikatora RFID ani nawet najbardziej zaawansowanego modelu układu scalonego. Należy wybrać architekturę uwierzytelniania odpowiadającą profilowi ryzyka danego obiektu. W niewielkim biurze mogą wystarczyć nowoczesne szyfrowane karty, kontrolowany proces wydawania i szybkie unieważnianie uprawnień. Szpital, laboratorium badawcze lub przedsiębiorstwo przetwarzające wrażliwe dane może dodatkowo potrzebować podziału uprawnień, dokładniejszego audytowania, uwierzytelniania wieloskładnikowego w strefach krytycznych oraz rygorystycznej obsługi gości. Bezpieczeństwo nie jest nazwą wydrukowaną na karcie. Jest wynikiem konsekwentnie realizowanych decyzji systemowych.

Mówiąc wprost, karty dostępu RFID są bezpieczne tylko w takim stopniu, w jakim bezpieczny jest projekt całego systemu. Taka odpowiedź może wydawać się mniej satysfakcjonująca niż proste „tak” lub „nie”, ale właśnie tej informacji potrzebują kupujący. Dobra wiadomość jest taka, że słabe systemy nie są już jedyną dostępną opcją. Bezpieczne identyfikatory RFID, lepsze czytniki, skuteczniejsze zarządzanie kluczami, identyfikatory mobilne i ściślejsza integracja z platformami kontroli dostępu dają organizacjom znacznie większe możliwości odpowiedzialnego budowania zabezpieczeń. Zła wiadomość jest taka, że wiele obiektów nadal nie docenia różnicy między nowoczesnymi identyfikatorami bezstykowymi a przestarzałymi praktykami związanymi z kartami. Najważniejsza zasada brzmi: nie oceniaj bezpieczeństwa karty dostępu RFID wyłącznie na podstawie tego, czy otwiera drzwi. Oceń, jak trudno jest sprawić, aby system uwierzył, że nieuprawniona osoba ma prawo przez nie przejść.