Jak zapobiegać oszustwom biletowym RFID

Większość zespołów zaczyna poważnie myśleć o oszustwach związanych z biletami RFID dopiero wtedy, gdy przy bramkach wydarzy się coś kompromitującego. Podczas wyprzedanego koncertu nagle pojawiają się wielokrotne wejścia na ten sam bilet. Stadion otrzymuje skargi od osób posiadających ważne bilety, które według systemu zostały już wykorzystane. Operator transportu zauważa nietypowe schematy przejazdów i dowiaduje się, że w pobliżu kilku stacji krążą sklonowane karty. W takim momencie problem staje się jednocześnie techniczny, pilny i kosztowny.

Trudna prawda jest taka, że oszustwa biletowe RFID zazwyczaj nie zaczynają się od samego znacznika. Ich źródłem jest najsłabszy element systemu. Czasami jest nim tani chip bez rzeczywistych zabezpieczeń. Innym razem przyczyną jest niewystarczająca kontrola kodowania w drukarni, konfiguracja czytnika akceptująca zbyt szeroki zakres danych albo wadliwy proces biznesowy, który błędnie uznaje się za problem sprzętowy.

Skuteczne zapobieganie oszustwom biletowym RFID nie polega wyłącznie na stworzeniu bardziej zaawansowanego biletu. Najważniejsze jest zaprojektowanie bezpiecznego systemu biletowego RFID, w którym kopiowanie, odsprzedaż, ponowne używanie lub modyfikowanie biletu staje się na tyle trudne, ryzykowne i łatwe do wykrycia, że przestaje być opłacalne.

Właśnie dlatego odpowiednie zaprojektowanie całego rozwiązania ma tak duże znaczenie.

Najczęstsze źródła oszustw biletowych RFID

Osoby szukające zabezpieczonych przed podrabianiem biletów RFID lub bezpiecznych systemów biletowych RFID na wydarzenia często wyobrażają sobie przestępcę wyposażonego w zaawansowane narzędzia do łamania szyfrowania. Takie sytuacje mogą się zdarzyć, jednak w praktyce większość oszustw ma znacznie prostszy charakter.

Organizator wydarzeń muzycznych w Manchesterze odkrył, że problem występujący podczas weekendowego festiwalu nie miał wiele wspólnego z wyrafinowanym atakiem. Pliki podglądowe zostały zbyt wcześnie przesłane do podwykonawcy zajmującego się produkcją materiałów. Wyciekło kilka numerów biletów, poza siedzibą organizatora zakodowano dodatkowe opaski, a fałszywe wejściówki zostały zaakceptowane, ponieważ system przy bramkach sprawdzał jedynie, czy numer seryjny mieści się w prawidłowym zakresie. Nie weryfikował natomiast aktualnego statusu biletu w systemie centralnym. Problemem nie był nośnik RFID, lecz niewłaściwy proces.

Ośrodek narciarski w Kolumbii Brytyjskiej zmagał się z innym rodzajem nadużyć. Goście kupowali jednodniowe bilety RFID, korzystali z nich rano, a następnie sprzedawali je w internecie osobom planującym jazdę po południu. System nie zawsze prawidłowo wygaszał karnet po pierwszej sesji, szczególnie po zmianie zasad dostępu, dlatego ponownie używane bilety nadal działały przy mniej uczęszczanych wyciągach. Nie było to klonowanie, lecz niewłaściwe zarządzanie uprawnieniami.

W hiszpańskim klubie piłkarskim zaczęły pojawiać się duplikaty karnetów sezonowych po tym, jak kibice publikowali w mediach społecznościowych zdjęcia z okazji ich otrzymania. Kod kreskowy na drukowanej wkładce był zasłonięty, ale widoczny format identyfikatora karty można było łatwo przewidzieć. Początkowo oszuści nie musieli nawet przełamywać zabezpieczeń chipa RFID. Wykorzystali ujawniony schemat numeracji do atakowania procesu odzyskiwania konta, a następnie powiązali karty zastępcze ze skopiowanymi danymi uwierzytelniającymi. Również w tym przypadku słaby punkt znajdował się poza chipem.

Przed wyborem produktu należy więc dokładnie określić rodzaje oszustw, przed którymi system ma chronić. W większości projektów można je podzielić na pięć kategorii: proste kopiowanie, klonowanie UID, nieautoryzowane ponowne kodowanie, wielokrotne używanie biletu oraz wycieki wewnętrzne. Jeżeli system nie uwzględnia wszystkich pięciu zagrożeń, prawdopodobnie pozostawia niezabezpieczony obszar.

Nie opieraj zabezpieczeń na odczytywalnym numerze UID

Jednym z najczęstszych błędów w systemach biletowych RFID jest traktowanie numeru UID chipa jako bezpiecznego identyfikatora. UID może być przydatny w zarządzaniu zapasami, numeracji seryjnej i podstawowym przypisywaniu biletu do rekordu, ale nie powinien stanowić jedynej podstawy walidacji. Jeżeli system działa według zasady „ten UID znajduje się w bazie, więc należy wpuścić użytkownika”, jego zabezpieczenia są niewystarczające.

Wiele niedrogich systemów biletowych RFID działa właśnie w ten sposób, ponieważ upraszcza to wdrożenie. Znacznik jest tani, czytnik działa szybko, a zespół programistyczny może sprawnie uruchomić rozwiązanie. Problemy zaczynają się jednak wtedy, gdy pojawiają się skopiowane lub emulowane identyfikatory.

Regionalny operator promowy w Azji Południowo-Wschodniej przekonał się o tym w praktyce. Aby przyspieszyć wejście na pokład, wprowadził bezstykowe karty biletowe, ale wybrał nośniki, w przypadku których bramka akceptowała zwykły identyfikator wraz z polem daty. W ciągu kilku miesięcy pośrednicy działający w pobliżu portu zaczęli sprzedawać karty imitujące aktywne identyfikatory. Operator przebudował następnie system, uzależniając ważność biletu od statusu tokena po stronie serwera oraz kontroli kryptograficznych powiązanych z określonym przedziałem czasowym rejsu. Liczba oszustw spadła, ponieważ sam skopiowany identyfikator przestał wystarczać.

Przy zakupie biletów RFID na wydarzenia, do transportu, parków rozrywki lub obiektów o kontrolowanym dostępie należy unikać rozwiązań opartych wyłącznie na statycznych identyfikatorach. Bezpieczniejsza architektura może wykorzystywać chronione sektory pamięci, zróżnicowane klucze, uwierzytelnione operacje odczytu i zapisu oraz walidację w systemie centralnym, powiązaną z uprawnieniem jednorazowym lub ograniczonym liczbą użyć. Dzięki temu nawet poznanie identyfikatora nie pozwoli na utworzenie działającej kopii biletu.

Dobierz chip do poziomu ryzyka, a nie tylko do budżetu

Na tym etapie działy zakupów często znajdują się pod presją. Oczekują niższego kosztu biletu, a dostawcy proponują najtańsze rozwiązanie bezstykowe, które nadal można odczytać. Istnieje jednak zasadnicza różnica między znacznikiem umożliwiającym jedynie wejście a chipem odpornym na manipulacje, klonowanie i nieautoryzowane kodowanie.

W zastosowaniach krótkoterminowych i o niskim ryzyku, takich jak niewielkie wydarzenia lokalne, podczas których bilety mają małą wartość odsprzedaży, podstawowy bilet zgodny z technologią HF lub NFC może być wystarczający, pod warunkiem zastosowania skutecznych zabezpieczeń w systemie centralnym. Projekty o wyższym poziomie ryzyka, szczególnie dotyczące biletów wartościowych, wielodniowych lub możliwych do przekazania innej osobie, wymagają silniejszych zabezpieczeń na poziomie chipa.

Włoska grupa muzealna zastąpiła prostą kartę pamięci zgodną z ISO 14443 bezpieczniejszą, szyfrowaną platformą biletową RFID po odkryciu, że sieć pośredników sprzedawała skopiowane karty dostępu premium razem z nieoficjalnymi wycieczkami z przewodnikiem. Po modernizacji skopiowane karty przestały działać, ponieważ system zaczął wykorzystywać chronione dane aplikacyjne, dywersyfikację kluczy oraz wzajemne uwierzytelnianie po stronie czytnika. Koszt biletu nieznacznie wzrósł, ale ograniczenie utraty przychodów i liczby skarg odwiedzających uzasadniło inwestycję już w ciągu jednego sezonu.

Tę zależność kupujący powinni dokładnie przeanalizować. Najtańszy bilet RFID może ostatecznie okazać się najdroższym rozwiązaniem po uwzględnieniu oszustw, obciążeń zwrotnych, zatorów przy bramkach i szkód wizerunkowych.

Pytania, które warto zadać przed wyborem nośnika biletowego RFID

W przypadku zabezpieczania biletów na wydarzenia należy zadawać dostawcy konkretne pytania. Czy chip obsługuje uwierzytelnianie? Czy klucze można różnicować dla poszczególnych partii lub wydarzeń? Czy sektory można trwale zablokować po zakodowaniu? Czy nośnik obsługuje liczniki transakcji albo dynamiczne modele danych? Jeżeli odpowiedzi są niejasne, należy założyć, że poziom zabezpieczeń jest niski.

Bezpieczne kodowanie jest równie ważne jak bezpieczny chip

Nawet dobrze zabezpieczony chip może zostać osłabiony przez niedbały proces wydawania biletów. To właśnie podczas kodowania pusty nośnik staje się zaufanym identyfikatorem dostępu. Jeżeli proces ten nie jest kontrolowany, oszustwo może rozpocząć się jeszcze przed przekazaniem biletu użytkownikowi.

Organizator konferencji w Dubaju wdrożył program identyfikatorów RFID zapewniających dostęp do stref networkingowych VIP. Wybrany chip oferował odpowiednie zabezpieczenia, jednak podczas przygotowywania stoisk pozostawiono zbyt wiele aktywnych stanowisk kodujących. Jeden z pracowników tymczasowych skopiował szablony niewykorzystanych identyfikatorów na pamięć USB. Naruszenie wykryto dopiero wtedy, gdy w salonach sponsorskich pojawiły się osoby bez uprawnień. Rozwiązaniem nie była wymiana znacznika, lecz zablokowanie profili kodowania, wdrożenie uprawnień operatorów, rejestrów audytowych oraz dodatkowej autoryzacji identyfikatorów o rozszerzonych prawach dostępu.

Kontrola kodowania powinna obejmować szyfrowane przygotowywanie danych, ścisłe uprawnienia stanowisk roboczych, uwierzytelnianie operatorów, rozliczanie każdej partii oraz reguły unieważniania uszkodzonych lub zagubionych biletów właściwe dla danego wydarzenia. Każdy zakodowany bilet powinien być możliwy do powiązania z czasem operacji, operatorem, drukarką i źródłem danych. Jeżeli dostawca nie potrafi pomóc w utworzeniu takiego łańcucha identyfikowalności, oferuje jedynie nośniki, a nie rzeczywistą ochronę przed oszustwami.

Przy drukowaniu dużej liczby biletów warto również oddzielić informacje widoczne na wydruku od danych zapewniających cyfrową autoryzację. Numer miejsca wydrukowany na powierzchni karty nie stanowi problemu. Wielokrotnie używany sekret zabezpieczający zapisany w formie czytelnej dla człowieka już nim jest.

Powiąż bilet z kontekstem, a nie tylko z chipem

Bezpieczny system biletowy RFID nie traktuje znacznika jako jedynego źródła prawdy. Łączy go z kontekstem, takim jak data wydarzenia, strefa wejścia, dozwolony przedział czasowy, liczba użyć, konto klienta, identyfikator urządzenia lub kolejność rejestrowanych wejść i wyjść.

Sieć kin w Meksyku skutecznie wykorzystała tę zasadę po wykryciu odsprzedaży przepustek na premiery filmowe. Zamiast sprawdzać wyłącznie dane RFID, system weryfikował w czasie rzeczywistym obiekt, salę, przedział czasowy seansu oraz status wykorzystania biletu. Sklonowana przepustka przedstawiona w niewłaściwym kinie lub poza dozwolonym czasem była natychmiast blokowana. Prawidłowo uprawnieni goście przechodzili bez utrudnień, ponieważ dodatkowe reguły działały dla nich niezauważalnie.

Im większą wartość ma bilet, tym więcej elementów kontekstowych powinien uwzględniać system. Trzydniowy identyfikator targowy zapewniający dostęp do sal konferencyjnych nie powinien być weryfikowany w taki sam sposób jak bilet na godzinny rejs promem. Ochrona przed oszustwami jest skuteczniejsza, gdy sam bilet stanowi tylko jeden z elementów decyzji o przyznaniu dostępu.

W transporcie powiązanie z kontekstem może obejmować miejsce rozpoczęcia podróży, kolejność rejestracji przejazdów, saldo oraz wykrywanie przemieszczania się z niemożliwą prędkością. Podczas wydarzeń mogą to być reguły anti-passback, ograniczenia strefowe i opóźnienia w przekazywaniu uprawnień. W parkach rozrywki można zastosować aktywację przy pierwszym użyciu oraz ograniczone uprawnienia dla osób towarzyszących. Są to reguły operacyjne, ale mają równie duże znaczenie jak zabezpieczenia chipa.

Stosuj reguły anti-passback i sprawdzanie statusu online

Znaczna część oszustw biletowych RFID polega na prostym ponownym użyciu biletu. Jedna osoba wchodzi na teren obiektu, przekazuje bilet z powrotem przez ogrodzenie lub okno, a następnie ktoś inny próbuje wejść przy użyciu tego samego identyfikatora. Jest to stara metoda, która nadal działa w obiektach ze słabo skonfigurowaną logiką bramek.

W hali widowiskowej w Chicago pracownicy weekendowi regularnie zgłaszali zduplikowane odczyty przy wejściach bocznych. Operator stosował walidację biletów RFID, jednak niektóre dodatkowe czytniki RFID działały w trybie awaryjnym, sprawdzając lokalnie zapisane uprawnienia bez natychmiastowej aktualizacji reguł anti-passback. Główne bramki były zabezpieczone, ale wejścia boczne już nie. Po usprawnieniu synchronizacji statusów w czasie rzeczywistym i ujednoliceniu zasad ponownego wejścia na wszystkich urządzeniach problem niemal całkowicie zniknął.

Aktualny status biletu ma kluczowe znaczenie. Jeżeli architektura systemu pozwala czytnikom zbyt długo akceptować bilety w trybie offline, skopiowany lub ponownie użyty bilet RFID może zostać przyjęty przez odłączone urządzenie. Ograniczona możliwość pracy bez połączenia może być konieczna ze względów operacyjnych, ale należy ją ściśle zdefiniować. Czytniki powinny przechowywać wyłącznie dane dotyczące krótkiego okresu decyzyjnego, rejestrować wszystkie transakcje i ponownie weryfikować je natychmiast po odzyskaniu łączności.

Reguły anti-passback powinny również odpowiadać rzeczywistemu zachowaniu użytkowników. Jeżeli goście mogą opuszczać obiekt i wracać, zasady należy dostosować do typu biletu. Nie należy przenosić restrykcyjnego modelu stadionowego do rodzinnego parku rozrywki, w którym rodzice regularnie wychodzą z dziećmi. Skuteczna ochrona przed oszustwami musi być dopasowana do konkretnego zastosowania.

Wykorzystaj także widoczne i fizyczne zabezpieczenia

Nie każda próba oszustwa wymaga zabezpieczeń kryptograficznych. Czasami widoczna przeszkoda wystarcza, aby klonowanie, przekazywanie lub odsprzedaż biletu stały się mniej atrakcyjne.

Park wodny na Florydzie ograniczył straty, łącząc opaski RFID z zamknięciem zabezpieczonym przed ponownym założeniem oraz zmieniającymi kolor oznaczeniami wizualnymi, aktualizowanymi każdego dnia. Chip w opasce przechowywał cyfrowe uprawnienia, natomiast fizyczna konstrukcja utrudniała jej przekazywanie. Pracownicy mogli szybko zauważyć oczywistą zamianę opaski, a grupy zajmujące się odsprzedażą przestały wybierać ten obiekt, ponieważ potencjalny zysk znacząco spadł.

Ma to znaczenie, ponieważ oszustwa biletowe są działaniem nastawionym na zysk. Zwiększenie wysiłku potrzebnego do podrobienia, ponownego wykorzystania lub przekazania biletu sprawia, że wiele osób rezygnuje z próby. Dlatego konstrukcja fizyczna nadal powinna być częścią strategii bezpieczeństwa. Wytrzymałe opaski z zamknięciem jednorazowym, etykiety rozpadające się przy odklejaniu, anteny ulegające zniszczeniu w jednorazowych biletach papierowych oraz wielowarstwowe zabezpieczenia drukarskie mogą skutecznie uzupełniać ochronę cyfrową.

Obiekt zabytkowy w Turcji zastosował takie rozwiązanie w papierowych biletach RFID na zwiedzanie wieży z przewodnikiem. Bilet zawierał delikatny inlay, który ulegał widocznemu uszkodzeniu przy próbie rozklejenia, a cyfrowe uprawnienie wygasało po zaplanowanym czasie wejścia. Użytkownicy przestali przekazywać bilety między grupami, ponieważ połączenie fizycznego uszkodzenia i ograniczenia czasowego czyniło takie działanie bezcelowym.

Kontroluj dystrybutorów, sprzedawców i pracowników

Ataki zewnętrzne przyciągają najwięcej uwagi, ale wycieki wewnętrzne często powodują poważniejsze straty. Jeżeli bilety można wystawiać, rozszerzać lub drukować ponownie bez ścisłej kontroli, źródłem oszustwa może zostać osoba już działająca w ramach systemu.

Regionalna sieć autobusowa w Europie Wschodniej odkryła, że podejrzane studenckie karty ulgowe nie były podrabiane w tradycyjnym znaczeniu. Wydawano je za pomocą legalnego terminala, wykorzystując skradzione dane logowania operatora. Rozwiązaniem było silniejsze uwierzytelnianie pracowników, ograniczenie terminali do określonych lokalizacji, alerty dotyczące nietypowej liczby wystawianych kart oraz codzienne uzgadnianie danych według trasy i zajezdni. Ochrona przed oszustwami została więc rozszerzona z samych nośników biletowych na zarządzanie całym systemem.

Wielu operatorów pomija ten aspekt. Bezpieczny system biletowy RFID musi obejmować również kontrolę partnerów. Jeżeli sprzedaż odbywa się przez agentów, kioski, hotele, punkty obsługi turystów lub placówki franczyzowe, każde miejsce wystawiania biletów staje się częścią powierzchni potencjalnego ataku. Należy ograniczyć zakres danych, które dany partner może kodować, a tam, gdzie jest to możliwe, oddzielić utworzenie biletu od jego aktywacji. Konieczne są również monitorowanie anomalii i możliwość szybkiego cofnięcia uprawnień.

Sieć teatrów w Sydney skutecznie rozwiązała ten problem, wprowadzając odrębne pule autoryzacji dla każdego sprzedawcy. Partner mógł przydzielać miejsca wyłącznie z przypisanej mu puli, a każda aktywacja biletu RFID była podpisywana i powiązana z konkretnym źródłem. Gdy jeden ze sprzedawców zaczął generować nietypowo dużą liczbę wejść premium w ostatniej chwili, operator wykrył nadużycie w ciągu jednego dnia, zamiast dopiero po zakończeniu sezonu.

Monitoruj wzorce, a nie tylko odrzucone odczyty

Wiele zespołów analizuje wyłącznie przypadki odrzucenia biletu. To podejście jest zbyt późne i zbyt wąskie. Skuteczne zapobieganie oszustwom powinno obejmować również analizę podejrzanych przypadków zaakceptowania dostępu.

Jeżeli ten sam typ biletu zostaje w bardzo krótkim czasie zarejestrowany przy wielu bramkach, należy to sprawdzić. Jeżeli jedna linia kodująca generuje znacznie więcej żądań wymiany niż pozostałe, również wymaga to analizy. Podobnie należy postąpić, gdy jeden sprzedawca zgłasza nietypowo wiele unieważnień przed ważnymi meczami. Oszustwo nie zawsze ujawnia się poprzez jednoznaczne błędy. Czasami jego sygnałem jest nietypowy ciąg pozornie prawidłowych operacji.

Projekt kolei podmiejskiej w Ameryce Południowej poprawił skuteczność wykrywania nadużyć po wprowadzeniu punktowej oceny anomalii zamiast oczekiwania na skargi pasażerów. Przejazdy rejestrowane w lokalizacjach niezgodnych ze standardowym czasem trasy, skupiska identycznych zmian uprawnień oraz wielokrotne resetowanie danych dostępowych w pobliżu godzin otwarcia stacji pomogły śledczym zidentyfikować kanały wycieku. Nośniki pozostały takie same, ale znacznie poprawiła się widoczność zdarzeń.

Kupujący oceniający rozwiązania do ochrony przed oszustwami biletowymi RFID powinni odpowiednio wcześnie ustalić, jakie rejestry będą dostępne, kto będzie je analizował i jak szybko organizacja może zareagować. Bezpieczny chip bez monitorowania jest lepszy niż niezabezpieczony nośnik, ale w zastosowaniach o wysokim poziomie ryzyka nadal nie wystarcza.

Zadbaj o wygodę użytkowników

Jednym z powodów, dla których słabe systemy funkcjonują przez tak długi czas, jest obawa operatorów, że dodatkowe zabezpieczenia spowolnią wejście. Taka obawa jest zrozumiała, jednak zwykle wynika z niewłaściwego wdrożenia, a nie z samej koncepcji zabezpieczeń.

Organizator maratonu w Amsterdamie początkowo nie chciał wprowadzać bardziej szczegółowej kontroli biletów z obawy przed kolejkami przy depozycie i niezadowoleniem uczestników. Po przeprojektowaniu procesu dane uwierzytelniające RFID biegaczy zostały wcześniej powiązane ze statusem rejestracji, miejscem odbioru pakietu oraz przedziałem czasowym aktywacji. Proces odprawy stał się sprawniejszy, ponieważ przypadki wyjątkowe rozwiązywano wcześniej, a nie dopiero przy wejściu. Jednocześnie poprawiono zarówno ochronę przed oszustwami, jak i szybkość obsługi.

To właśnie powinno być celem wdrożenia. Zabezpieczenia mają ograniczać utrudnienia powodowane przez nieprawidłowe wyjątki, a nie tworzyć dodatkowe przeszkody dla wszystkich użytkowników. Jeżeli pracownicy stale wykonują ręczne operacje, skanują zrzuty ekranu, akceptują niewyjaśnione duplikaty lub pod presją wystawiają nowe identyfikatory, system już działa wolno. Opóźnienie jest po prostu ukryte w obciążeniu personelu i skargach klientów, zamiast w czasie reakcji czytnika.

Przed uruchomieniem przetestuj system jak oszust

Zbyt wiele projektów biletowych RFID testuje się wyłącznie pod kątem prawidłowego przebiegu standardowych operacji. Bilet zostaje odczytany, bramka się otwiera, raport jest generowany, a zespół zatwierdza system. Taki zakres testów nie jest wystarczający.

Przed uruchomieniem należy sprawdzić skopiowane dane uwierzytelniające, wielokrotne odczyty, czytniki działające bez połączenia, opóźnioną synchronizację, obsługę uszkodzonych biletów, zmianę kluczy, nadużycia pośredników, procedury wymiany oraz przypadki występujące na granicy dozwolonych przedziałów czasowych. Warto sprawdzić, co stanie się po zaginięciu całej partii biletów, jak system zachowa się, gdy jedna bramka przez piętnaście minut korzysta z nieaktualnych uprawnień, oraz czy pracownik może przypadkowo utworzyć dwa ważne identyfikatory. Takie scenariusze ujawniają luki, które prawdziwi oszuści znajdą jako pierwsze.

Tor wyścigowy w regionie Zatoki Perskiej uniknął w ten sposób poważnego problemu podczas uruchomienia systemu. W trakcie testów przed wydarzeniem zespół odkrył, że ponowne wydanie przepustki RFID do strefy hospitality z powodu uszkodzenia karty nie zawsze unieważniało oryginalny identyfikator we wszystkich czytnikach mobilnych. Błąd umożliwiłby niezauważone wielokrotne wejście do ekskluzywnych apartamentów. Został usunięty przed przybyciem pierwszego gościa, ponieważ operator testował potencjalne nadużycia, a nie wyłącznie prawidłowe procesy.

Podsumowanie

Po odrzuceniu marketingowych określeń zapobieganie oszustwom biletowym RFID sprowadza się do jednej prostej zasady: jeżeli bilet ma rzeczywistą wartość, nie wolno ufać wyłącznie jednej warstwie zabezpieczeń. Nie należy polegać tylko na UID, chipie, drukarni ani bramce wejściowej. Trzeba stworzyć kilka wzajemnie uzupełniających się poziomów ochrony.

Należy dobrać technologię biletu RFID do poziomu ryzyka, zabezpieczyć proces kodowania, ograniczyć dostęp do kluczy i uprawnień oraz powiązać dane uwierzytelniające z czasem, miejscem i zakresem dostępu. System powinien monitorować anomalie, wykorzystywać fizyczne zabezpieczenia tam, gdzie przynoszą korzyść, kontrolować pracowników i partnerów oraz testować najbardziej problematyczne scenariusze przed udostępnieniem rozwiązania użytkownikom.

Właśnie to odróżnia bilet, który jest jedynie bezstykowy, od rzeczywiście bezpiecznego systemu biletowego RFID.

Z perspektywy kupującego jest to najważniejsze rozróżnienie. Na rynku działa wielu dostawców, którzy mogą sprzedać nośniki RFID, ale znacznie mniej firm potrafi pomóc w zaprojektowaniu systemu rzeczywiście utrudniającego oszustwa, ograniczającego ich częstotliwość i ułatwiającego identyfikację sprawców. Jeżeli ochrona przed nadużyciami jest jednym z celów zakupowych, należy oceniać całą logikę rozwiązania, a nie tylko zastosowany chip.

Bilet powinien robić więcej niż tylko otwierać bramkę. Powinien chronić przychody i obiekt, a także zapewniać operatorowi możliwość szybkiego zauważenia nietypowych zdarzeń i powstrzymania ich, zanim problem się rozprzestrzeni.