Nie zgaduj kluczy hex: profesjonalne zabezpieczenie kart RFID

Co naprawdę oznaczają „password hex keys” w projektach RFID

W rozmowach o RFID określenie password hex key może oznaczać różne rzeczy w zależności od typu karty lub tagu. W projekcie kart inteligentnych HF może chodzić o klucze sektorów, klucze aplikacji, klucze plików albo uprawnienia dostępu. W projekcie UHF RFID termin ten bywa używany w odniesieniu do hasła dostępu, hasła kill lub zablokowanego hasła pamięci. W przypadku tagów NFC może dotyczyć ochrony przed zapisem albo ustawień trwałej blokady tagu. Problem polega na tym, że wielu kupujących używa jednego ogólnego pojęcia dla kilku zupełnie różnych mechanizmów.

Przekonała się o tym firma zarządzająca nieruchomościami w Chicago podczas modernizacji budynku. Zespół posiadał stare karty dostępu od trzech poprzednich wykonawców. Kierownik obiektu poprosił nowego dostawcę, aby „użył tego samego hasła hex, żeby nasze karty nadal działały”. Po sprawdzeniu systemu integrator ustalił, że część kart wykorzystywała starsze identyfikatory niskiej częstotliwości, część karty HF z prostym odczytem ID, a nowsza partia korzystała z chronionego obszaru aplikacyjnego. Nie istniało jedno hasło do skopiowania. W jednym budynku wymieszano trzy różne strategie uwierzytelniania. Projekt ruszył dalej dopiero wtedy, gdy zespół oddzielił karty starszego typu od nowych bezpiecznych karty dostępu RFID i zaplanował etapową migrację.

To bardzo częsty scenariusz. Zanim zacznie się rozmowa o kluczach, trzeba najpierw określić typ karty. Czy jest to MIFARE Classic, MIFARE Plus, MIFARE DESFire, NTAG, zastrzeżona karta kontroli dostępu, tag UHF RFID czy karta dwuczęstotliwościowa? Następnie należy ustalić, co dokładnie dany klucz ma chronić. Bez tego prośba „wyślijcie nam klucz hex” nie jest specyfikacją. To źródło nieporozumień.

Dlaczego zgadywanie kluczy tworzy ryzyko biznesowe

Zgadywanie kluczy może wyglądać jak droga na skróty, ale w praktyce generuje wiele zagrożeń. Może doprowadzić do przypadkowego nadpisania danych na karcie. Może zablokować karty w sposób, którego nie da się odwrócić. Może stworzyć niespójne partie, w których część kart działa, a część nie. Może też zachęcić pracowników do przekazywania wrażliwych informacji o kluczach przez e-mail, komunikatory lub arkusze kalkulacyjne. Często ukrywa również poważniejszy problem: nikt nie wie, kto faktycznie odpowiada za model bezpieczeństwa poświadczeń.

Sieć siłowni w Manchesterze napotkała problem z kartami członkowskimi po zmianie oprogramowania kontroli dostępu. Część kart działała przy wejściu głównym, inne tylko przy szafkach. Lokalny technik zaczął testować kilka starych kluczy projektowych z poprzednich instalacji i niektóre karty zaczęły być odczytywane w narzędziu testowym. Wyglądało to jak postęp, ale w rzeczywistości pogłębiło chaos w danych. Ostatecznie siłownia skontaktowała się z pierwotnym dostawcą systemu, prawidłowo zmapowała sektory kart i wydała nową partię z udokumentowaną strukturą kluczy. Najbardziej bolesny nie był koszt kart, lecz tydzień dezorientacji członków i personelu recepcji.

Wniosek nie polega na tym, że każdy system musi być maksymalnie skomplikowany. Chodzi o to, że obsługa kluczy musi być świadomie zaprojektowana. Jeśli kupujący potrzebuje prostych kart członkowskich, należy zaprojektować system pod taki scenariusz. Jeśli obiekt chroni pomieszczenia wrażliwe, wymagania powinny być wyższe. Profesjonalny system kontroli dostępu nie powinien jednak opierać się na domysłach.

Dobierz technologię karty do poziomu ryzyka

Nie każda aplikacja wymaga takiego samego poziomu bezpieczeństwa kart. Mały program lojalnościowy, karta hotelowa dla gościa, legitymacja szkolna, karta pracownicza i identyfikator do laboratorium z ograniczonym dostępem to różne projekty. Technologia karty powinna odpowiadać poziomowi ryzyka.

Do prostej identyfikacji lub interakcji marketingowej wystarczający może być tag NFC albo podstawowa karta HF. W nowoczesnych systemach bezpiecznej kontroli dostępu wielu kupujących wybiera karty MIFARE DESFire EV2 lub EV3, ponieważ obsługują silniejsze uwierzytelnianie i strukturę danych opartą na aplikacjach. Niektóre starsze systemy nadal korzystają z MIFARE Classic, ale kupujący powinni rozumieć ograniczenia tej technologii i ostrożnie zarządzać migracją. W przemysłowym śledzeniu zasobów etykiety RFID UHF mogą wymagać ochrony hasłem dostępu, gdy pamięć trzeba zabezpieczyć przed przypadkowym lub nieautoryzowanym zapisem, jednak cel jest inny niż w uwierzytelnianiu przy drzwiach.

Laboratorium biotechnologiczne w Bostonie używało drukowanych identyfikatorów pracowniczych z podstawowym numerem karty do drzwi wewnętrznych. Gdy w laboratorium pojawiły się kontrolowane pomieszczenia magazynowe, ten sam typ poświadczenia przestał odpowiadać poziomowi ryzyka. Zamiast ukrywać wrażliwe decyzje dostępowe za prostym ID, laboratorium przeszło na bezpieczne karty inteligentne z uwierzytelnianiem na poziomie aplikacji dla stref ograniczonych. Stołówka i zwykłe drzwi biurowe pozostały proste. Dostęp do clean roomu otrzymał mocniejszą ścieżkę uwierzytelniania. Takie rozdzielenie pomogło kontrolować koszty bez udawania, że wszystkie drzwi mają takie samo ryzyko.

Profesjonalny dostawca kart RFID powinien umieć omówić te różnice. Jeśli dostawca twierdzi, że każda karta jest bezpieczna tylko dlatego, że ma chip, to za mało. Warto zapytać, jaka metoda uwierzytelniania jest stosowana, który obszar pamięci jest chroniony, czy klucze są dywersyfikowane i w jaki sposób czytnik weryfikuje poświadczenie.

Nie używaj jednego wspólnego klucza do wszystkiego

Jednym z najczęstszych błędów w bezpieczeństwie kart RFID jest używanie jednego wspólnego klucza dla wszystkich kart, drzwi, aplikacji lub oddziałów. Na etapie wdrożenia jest to wygodne. Później staje się problemem. Jeśli taki klucz wycieknie, odsłonięta zostaje zbyt duża część systemu. Jeśli zna go jeden dostawca, instalator albo były wykonawca, kupujący może nie mieć pełnej kontroli nad własnym środowiskiem poświadczeń.

Sieć przestrzeni coworkingowych w Berlinie używała tego samego klucza kart we wszystkich lokalizacjach, ponieważ ułatwiało to członkom korzystanie z różnych biur. Ułatwiało też trudne pytania podczas audytu. Kilku wykonawców miało dostęp do klucza w trakcie wcześniejszych rozbudów. Gdy firma przygotowywała się do przeglądu bezpieczeństwa dla dużego najemcy korporacyjnego, nie potrafiła jasno odpowiedzieć, kto miał dostęp do materiału kluczowego. System przeprojektowano, wprowadzając separację na poziomie lokalizacji i dywersyfikację kluczy. Członkowie nadal używali jednej karty, ale zaplecze systemu nie zależało już od jednego wspólnego sekretu.

Dywersyfikacja kluczy to jedno z najbardziej praktycznych rozwiązań w bezpiecznych projektach kart RFID. Zamiast umieszczać ten sam klucz wszędzie, system wyprowadza klucze specyficzne dla danej karty lub aplikacji według kontrolowanej metody. Korzyść jest prosta: ujawnienie jednej karty nie powinno odkrywać całego systemu. W projektach wysokiego bezpieczeństwa klucze mogą być zarządzane przez secure access module, hardware security module albo kontrolowany proces dostawcy, tak aby surowe klucze główne nie były swobodnie obsługiwane przez personel.

Nie wysyłaj wrażliwych kluczy jak zwykłych plików graficznych

Projekty RFID często obejmują pliki graficzne, pliki kodowania, listy UID, listy kodów kreskowych i arkusze dostaw. Te pliki same w sobie są ważne. Pliki z kluczami są jeszcze bardziej wrażliwe. Przesyłanie haseł, kluczy sektorów, kluczy aplikacji lub haseł dostępu przez niezabezpieczoną pocztę e-mail to zły nawyk. Nawet przy małym projekcie kupujący powinien zdecydować, jak klucze są tworzone, przekazywane, przechowywane i wycofywane.

Grupa hotelowa w Dubaju zamówiła niestandardowe karty kluczy do hotelu RFID dla kilku obiektów. Pliki projektowe obsługiwano profesjonalnie, ale informacje o kluczach dostępu krążyły jako załączniki e-mail między hotelem, dostawcą PMS, producentem kart i instalatorem. Nikt nie miał złych intencji. Proces był po prostu niedbały. Po wewnętrznym przeglądzie grupa wdrożyła kontrolowaną wymianę kluczy, ograniczyła dostęp do pełnego materiału kluczowego i wprowadziła pisemną akceptację profili kodowania kart. Same karty nie wyglądały inaczej, ale proces stał się znacznie łatwiejszy do obrony podczas audytu.

Dla kupujących B2B zamawiających fabrycznie kodowane karty RFID ma to duże znaczenie. Dostawca może potrzebować danych do kodowania. Nie zawsze oznacza to jednak, że powinien otrzymać wszystkie długoterminowe sekrety bezpieczeństwa w otwartej formie. W zależności od systemu dostawca może kodować według zatwierdzonego profilu, pracować na zaszyfrowanych danych wejściowych, użyć bezpiecznego modułu albo dostarczyć puste karty do kodowania przez dostawcę systemu kontroli dostępu. Najlepsze rozwiązanie zależy od projektu, ale powinno być jasno ustalone.

Oddziel numer nadrukowany, UID i bezpieczne dane aplikacyjne

Wiele awarii kart wynika z mylenia tego, co jest nadrukowane na karcie, czym jest UID chipa i co faktycznie odczytuje bezpieczny system. Numer pracownika nadrukowany na karcie może być przydatny dla ludzi. UID może być używany przez proste czytniki. Bezpieczne dane aplikacyjne mogą być tym, czemu ufa kontroler dostępu. Tych elementów nie należy mieszać bez planu.

Uniwersytet w Toronto wydawał studentom karty z nadrukowanymi numerami, kodami kreskowymi i poświadczeniami RFID. System biblioteczny używał jednego identyfikatora, system dostępu do akademików innego, a dostawca planu posiłków korzystał z UID karty. Podczas odświeżenia kart uczelnia poprosiła o „zakodowanie tego samego numeru studenta we wszystkich systemach”. Brzmiało to porządnie, ale pomijało sposób, w jaki każdy system uwierzytelnia użytkowników. Po warsztatach z dostawcami uczelnia stworzyła mapę danych karty. Część informacji była drukowana, część przechowywana w chronionym obszarze, a część powiązana w bazie danych zaplecza. W arkuszu wyglądało to mniej elegancko, ale w codziennej pracy było znacznie bezpieczniejsze.

W niestandardowym kodowaniu kart RFID mapa danych jest warta poświęconego czasu. Należy zdefiniować każde pole, kto je odczytuje, czy jest publiczne, chronione czy poufne oraz czy można je zmienić po wydaniu karty. Jeśli karta zostanie zgubiona, trzeba wiedzieć, co zostaje unieważnione. Bez takiej struktury ludzie zaczynają polegać na widocznych numerach lub wartościach UID w sposób, do którego nigdy nie były przeznaczone.

Stosuj zabezpieczenia po stronie czytnika, nie tylko po stronie karty

Bezpieczna karta RFID nie jest przydatna, jeśli czytnik akceptuje słabe dane. Czytnik, kontroler i oprogramowanie muszą być częścią projektu bezpieczeństwa. Niektóre systemy odczytują tylko numer karty i wysyłają go do kontrolera. Inne wykonują wzajemne uwierzytelnianie, sprawdzają dane szyfrowane, używają OSDP secure channel albo weryfikują poświadczenia przez system backendowy. Właściwa struktura zależy od projektu.

Biuro korporacyjne w Singapurze przeszło na bezpieczne karty inteligentne, ale przy kilku wejściach serwisowych pozostawiło stare czytniki. Główne lobby było chronione przez nowsze czytniki, natomiast tylne drzwi nadal akceptowały proste numery kart. Podczas audytu bezpieczeństwa ta niespójność stała się głównym problemem. Firma nie musiała wymieniać wszystkich drzwi z dnia na dzień, ale potrzebowała planu migracji. Strefy wrażliwe natychmiast przeniesiono na bezpieczne czytniki, a drzwi niskiego ryzyka objęto harmonogramem stopniowej wymiany.

Dlatego kupujący nie powinni patrzeć wyłącznie na kartę. Jeśli kupujesz karty MIFARE DESFire, ale konfigurujesz czytniki tak, aby używały tylko publicznego UID, marnujesz potencjał bezpieczeństwa. Jeśli kupujesz bezpieczny czytnik, ale pozostawiasz zarządzanie kluczami bez jasnych zasad, nadal narażasz system. Karta, czytnik, kontroler i oprogramowanie muszą działać według tego samego modelu zaufania.

Blokowanie pamięci jest przydatne, ale dopiero po weryfikacji

W przypadku niektórych kart i tagów RFID pamięć można zablokować, aby zapobiec ponownemu zapisowi. Dla tagów UHF RFID hasła dostępu i ustawienia blokady mogą chronić pamięć EPC lub user memory. W tagach NFC ochrona przed zapisem może uniemożliwić przypadkowe nadpisanie adresu URL albo zapisanego rekordu. Blokowanie może być dobrym rozwiązaniem, ale zablokowanie niewłaściwych danych jest kosztownym błędem.

Dostawca wyposażenia magazynowego w Rotterdamie zamówił tagi UHF RFID do metalowych pojemników zwrotnych. Wartości EPC zostały zakodowane i zablokowane przed zatwierdzeniem próbek. Gdy zespół ERP kupującego później zmienił wymagany prefiks, tagów nie dało się zaktualizować. Dostawca wykonał zamówienie, ale kupujący zatwierdził je zbyt wcześnie. W kolejnej partii zastosowano dwuetapowy proces akceptacji: najpierw próbki zakodowane bez finalnej blokady, test w rzeczywistym systemie czytników, a dopiero potem zgoda na produkcję masową i ustawienia blokady.

Ta sama logika dotyczy kart dostępu. Nie należy żądać trwałych ustawień, dopóki właściciel systemu nie potwierdzi struktury pamięci i zachowania czytników. Silne bezpieczeństwo nie polega na tym, aby jak najszybciej wszystko zablokować. Polega na tym, aby zablokować właściwe elementy po właściwych testach.

Zaplanuj obsługę zgubionych kart i zmian kadrowych

Profesjonalny system kart RFID musi radzić sobie z codziennością. Ludzie gubią karty. Pracownicy odchodzą. Zmieniają się wykonawcy. Członkowie rezygnują. Dostawca przestaje wspierać stary chip. Budynek zmienia zarządcę. Jeśli projekt bezpieczeństwa nie uwzględnia takich sytuacji, system szybko zacznie się starzeć w niewłaściwy sposób.

Szpital w Melbourne miał tysiące identyfikatorów pracowniczych wydawanych przez kilka lat. Niektóre działy zamawiały karty zastępcze u różnych dostawców, a część kart miała nieco inne reguły kodowania. Gdy szpital przygotowywał nową politykę dostępu do pomieszczeń z lekami, niespójna baza poświadczeń utrudniła projekt bardziej, niż zakładano. Szpital stworzył centralny profil poświadczeń, zakończył zakup kart na poziomie poszczególnych działów i wymagał, aby wszystkie przyszłe zamówienia identyfikatorów RFID były zgodne z jedną bezpieczną specyfikacją karty. Nie było to efektowne działanie, ale przywróciło zespołowi kontroli dostępu realną kontrolę.

Unieważnianie jest równie ważne jak wydawanie kart. Jeśli karta zostanie zgubiona, czy system może szybko wyłączyć to poświadczenie? Jeśli pracownik odchodzi, czy karta jest tylko fizycznie odbierana, czy poświadczenie jest również dezaktywowane w oprogramowaniu? Jeśli profil kluczy zostanie naruszony, czy organizacja może przejść na nowy zestaw kluczy? To pytania praktyczne, nie teoretyczne.

Współpracuj z dostawcami, którzy zadają precyzyjne pytania

Poważny producent kart RFID lub dostawca kontroli dostępu nie powinien pytać wyłącznie o ilość, plik logo i adres dostawy. W przypadku bezpiecznych kart RFID dostawca powinien zapytać o typ chipa, częstotliwość, obszar pamięci, format kodowania, wymagania uwierzytelniania, własność kluczy, model czytnika, kompatybilność systemu, dopasowanie nadruku i metodę testów. Jeśli dostawca prosi o przykładową kartę, to zwykle dobry znak. Jeśli prosi o mapę pamięci, tym lepiej.

Japońska firma produkująca inteligentne szafki potrzebowała kart NFC smart cards do odbioru przesyłek pracowniczych. Zespół zakupowy najpierw poprosił o ofertę na „karty 13.56 MHz z hasłem”. Lepszy dostawca zapytał, czy szafki odczytują tylko UID, zawartość NDEF czy chronione dane aplikacyjne. To pytanie ujawniło rozbieżność między dostawcą sprzętu a twórcą aplikacji. Ostateczna specyfikacja karty była jaśniejsza, a partia produkcyjna działała zarówno z czytnikiem szafki, jak i z oprogramowaniem administracyjnym.

Dobre pytania mogą nieco wydłużyć etap wyceny. Przyspieszają jednak uruchomienie systemu. W bezpiecznych projektach RFID tania oferta oparta na niejasnych wymaganiach bardzo szybko może stać się kosztowna.

Przygotuj profesjonalny pakiet przekazania projektu

Gdy karty zostaną dostarczone, kupujący powinien otrzymać coś więcej niż pudełka z zadrukowanym plastikiem. Profesjonalny pakiet przekazania może obejmować potwierdzenie modelu chipa, raport kodowania, przykładowe dane odczytu, numer partii, listę UID lub TID tam, gdzie ma to zastosowanie, mapowanie numerów nadrukowanych, status blokady, notatki z testów czytnika i warunki gwarancji. Wrażliwy materiał kluczowy nie powinien być po prostu wrzucany do paczki, ale właściciel systemu powinien mieć udokumentowany sposób zarządzania nim.

Prywatna marina na Florydzie używała kart RFID do wjazdu przez bramę, autoryzacji na stanowisku paliwowym i dostępu do salonu klubowego. Po kilku latach pierwotny instalator przeszedł na emeryturę. Ponieważ marina nie miała jasnego profilu kart, nawet proste ponowne zamówienia stały się stresujące. Nowy integrator odtworzył dokumentację, zdefiniował strukturę danych karty i stworzył kontrolowany proces ponownych zamówień z producentem kart. Od tego momentu marina nie musiała już zgadywać, co znajduje się w jej własnych kartach.

Dokumentacja wydaje się nudna, dopóki osoba znająca system nie odejdzie. Wtedy staje się różnicą między utrzymaniem ciągłości a chaosem.

Profesjonalna zasada

Profesjonalna zasada nie brzmi: „użyj najdroższej karty RFID”. Nie brzmi też: „ukryj klucz tak, aby nikt nigdy nie mógł go dotknąć” ani „natychmiast zablokuj każdy obszar pamięci”. Profesjonalna zasada polega na zaprojektowaniu procesu poświadczeń tak, aby nikt nie musiał zgadywać.

Dobierz technologię karty do ryzyka. Zdefiniuj strukturę pamięci. Oddziel publiczne identyfikatory od bezpiecznych danych. Stosuj dywersyfikację kluczy tam, gdzie uzasadnia to aplikacja. Chroń wymianę kluczy. Testuj próbki kart w rzeczywistym systemie czytników. Blokuj pamięć dopiero po akceptacji. Utrzymuj kontrolowany profil kodowania. Dokumentuj wystarczająco dużo informacji, aby przyszłe ponowne zamówienia nie zależały od pamięci jednej osoby.

Takie podejście jest szczególnie ważne przy zamawianiu niestandardowych kart RFID, fabrycznie kodowanych kart RFID, kart NFC smart cards, kart MIFARE DESFire, kart kontroli dostępu lub tagów UHF RFID u dostawcy zagranicznego. Sama odległość nie tworzy ryzyka. Ryzyko tworzą niejasne instrukcje. Dobra fabryka może wyprodukować dokładnie to, co kupujący zatwierdził, ale nie naprawi niezdefiniowanego modelu bezpieczeństwa.

Dlatego przestań zgadywać password hex keys. Przestań traktować bezpieczeństwo kart jak ostatnią uwagę produkcyjną. Umieść politykę kluczy w planie projektu. Zapisz regułę kodowania. Przeprowadź walidację próbek przed produkcją masową. Przenieś własność systemu poświadczeń w ręce kupującego, a nie do zapomnianego wątku e-mail.

Bezpieczny system kart RFID powinien być prosty dla użytkowników. Przykładają kartę, otwierają drzwi, korzystają z szafki, wchodzą do obiektu albo identyfikują zasób. Za tym prostym przyłożeniem stoi uporządkowany łańcuch decyzji. Gdy ten łańcuch jest dobrze zaprojektowany, nikt nie musi zgadywać kluczy w najgorszym możliwym momencie. Karty działają, czytniki ufają właściwym danym, a organizacja zachowuje kontrolę nad własnym systemem dostępu.