Как крадците незабелязано използват скимери срещу 125 kHz офисни баджове

Повечето проблеми с офисните баджове в началото не изглеждат драматично. Врата се отваря, когато не би трябвало. Доклад за сигурност показва, че бадж на служител е използван в необичаен час. Наемател се оплаква, че някой е влязъл на ограничен етаж, но няма счупена брава, няма разбито стъкло и няма очевидно преминаване „на опашка“ на камерата. Системата за баджове показва, че идентификаторът е бил валиден. Служителят твърди, че баджът никога не е напускал портфейла му. Тогава екипите започват да разбират неудобната истина за по-старите 125 kHz офисни баджове: в много сгради най-слабото място не е вратата. Това е самият идентификатор.

Тази статия не е ръководство за кражба на баджове. Тя е практично предупреждение за фасилити мениджъри, директори по сигурността, собственици на имоти, офис администратори и купувачи, които сравняват RFID карти за контрол на достъпа. Рискът при много наследени 125 kHz проксимити карти е, че те често излъчват прост фиксиран идентификатор. Ако неупълномощено лице прихване този идентификатор със скрит или ръчен скимер, копираният идентификатор понякога може да се използва за имитиране на оригиналния бадж, освен ако системата за контрол на достъпа не разполага с по-силна защита около него.

Затова сигурността на 125 kHz баджовете заслужава повече внимание. Тези карти все още се използват масово в офиси, складове, болници, жилищни сгради, училища, споделено работно пространство пространства, фабрики и търговски кули. Те са познати, достъпни и широко поддържани. Но познатото често прикрива риск. Бадж, който отваря вратата и след десет години, може да изглежда надежден, докато моделът му на сигурност вече е сериозно остарял.

Защо старите 125 kHz баджове са привлекателна цел

Много 125 kHz офисни баджове са пасивни проксимити идентификатори. Те нямат батерии. Когато бъдат поставени близо до съвместим четец, полето на четеца захранва баджа и той отговаря със записания в него идентификатор. В по-старите системи този идентификатор може да бъде статичен. Четецът проверява номера, контролерът го сравнява със списъка с разрешени идентификатори и вратата се отключва, ако номерът бъде приет.

Това звучи просто, защото наистина е просто. Простотата е полезна за ежедневен достъп, но става рискова, когато баджът не използва съвременна криптографска защита. Ако системата разчита основно на фиксиран номер, защитата на този номер става критично важна. Проблемът е, че хората носят баджовете си навсякъде. Носят ги на връзки за врат, закачат ги на чанти, оставят ги на бюра, поставят ги в джобове на якета или ги държат зад калъфа на телефона. В натоварени сгради това създава възможности за неоторизирано прочитане.

Какво откри един мениджър на имот

Мениджър на търговска сграда в Атланта се сблъска с това, след като наемател съобщи за влизане извън работно време в складово помещение. Журналът за достъп показваше бадж на младши служител, използван в 22:48 ч. Служителят беше у дома и баджът беше при него. Записите от камерите не показваха служителя, но показваха посетител, който по-рано през деня беше прекарал време близо до рецепцията. Разследването не успя да докаже точно как е прихванат номерът на идентификатора, но консултантът по сигурността установи, че старата 125 kHz система за баджове няма силна защита на идентификаторите. Собственикът започна да заменя наследените проксимити карти с по-сигурни smart cards и затегна процедурите за работа с посетители.

Именно такъв инцидент кара екипите по сигурността да преосмислят израза „работи нормално“. Една система може да работи всеки ден и въпреки това да бъде твърде лесна за имитиране.

Скимирането е коварно, защото не прилича на кражба

Традиционната кражба на ключ е видима. Изчезнал ключ създава тревога. Откраднат бадж може да бъде докладван. Счупената брава оставя следи. Скимирането е много по-незабележимо. Собственикът на баджа може никога да не разбере, че нещо се е случило, защото физическият бадж остава при него. Нападателят иска данните от идентификатора, а не самата пластмасова карта.

На високо ниво скимирането означава, че неоторизиран четец събира идентификатора на баджа, когато баджът е достатъчно близо, за да отговори. Устройството може да бъде скрито, замаскирано или използвано в момент, когато баджът е изложен. Точният метод варира, а отговорните екипи по сигурността трябва да избягват публикуването на оперативни детайли, които биха помогнали на престъпници. За собствениците на сгради е важен принципът: ако баджът може да бъде прочетен без знанието на притежателя и системата се доверява на статичен идентификатор, контролът на достъпа може да бъде уязвим.

Оператор на споделено работно пространство пространство в Берлин видя практическа версия на този риск. Членовете носеха стари проксимити карти на връзки за врат, а посетителите често се смесваха с тях по време на networking събития. Един месец операторът забеляза повтарящ се достъп до частен конферентен апартамент с идентификатора на бивш член. Бившият член все още държеше баджа у дома и настояваше, че никога не го е давал на друг. Операторът в крайна сметка премина към система, поддържаща криптирани идентификатори, деактивираше неактивните карти по-бързо и изискваше служителите на рецепцията да отделят зоните за посетители от коридорите само за членове по време на събития. Урокът беше болезнен, но полезен: физическият бадж не е единственото нещо, което може да бъде компрометирано.

За купувачи, които търсят сигурност на баджове за контрол на достъпа, предотвратяване на клониране на RFID баджове или сигурни офис карти за достъп, това разграничение е критично. Загубата на картата не е единствената заплаха. Загубата на контрол върху идентичността на картата може да бъде също толкова вредна.

Защо 125 kHz проксимити картите все още са навсякъде

Ако тези баджове имат слабости в сигурността, защо все още са толкова разпространени? Отговорът е практичен. Много 125 kHz системи за контрол на достъпа са инсталирани преди години и все още функционират. Четците вече са на вратите. Персоналът познава картите. Резервните баджове са евтини. Мениджърите на имоти избягват прекъсвания. Наемателите не искат сложна миграция. Докато вратите се отварят надеждно, рискът изглежда теоретичен.

Има и ценови фактор. Надграждането от наследени проксимити карти към smart cards с по-висока сигурност, мобилни идентификатори или мултитехнологични четци може да включва нови четци, нови карти, нова софтуерна конфигурация, почистване на базата данни, обучение на персонала и координация с наемателите. В голяма офис кула дори една на пръв поглед проста миграция на идентификатори може да се превърне в проект.

Поетапното надграждане може да намали прекъсванията

Регионална застрахователна компания в Манчестър отлагаше надграждането години наред, защото нейната 125 kHz система за баджове „никога не е създавала проблем“. Компанията промени позицията си, след като рутинен одит откри твърде много активни баджове, издадени на бивши изпълнители, временни служители и стари доставчици. Одитът не откри активна атака, но показа, че организацията има слабо управление на идентификаторите върху наследена картова технология. Ръководството одобри поетапно преминаване към криптирани smart cards, започвайки от етажите на ръководството, сървърните помещения и архивните зони за щети. Старите карти останаха временно за общите офис врати, но най-рисковите зони бяха преместени първи.

Този поетапен подход често е реалистичен. Не всяка организация може да подмени всичко за една нощ, но високорисковите зони не трябва да чакат перфектния момент.

Опасността не идва само от външни престъпници

Когато хората чуят за скимери, си представят външни лица, които дебнат близо до вратите. Това може да се случи, но вътрешните и полувътрешните ситуации са също толкова важни. Бивши служители, изпълнители, почистващ персонал, доставчици, посетители в споделени офиси, гости на събития и търговски партньори може да имат време близо до баджове, четци, бюра и рецепции. Слабата система за достъп дава твърде много доверие на всеки, който може да получи или имитира идентификатор.

Медицинска офис сграда в Далас имаше няколко клиники, които споделяха едно фоайе и заден коридор. Почистващият персонал имаше карти за достъп за работа извън работно време. По-късно една клиника установи, че ограничено помещение с медицински записи е било отворено с бадж, издаден на служител на доставчик, който твърдеше, че картата все още е в автомобила му. Сградата нямаше доказателство за скимиране, но събитието разкри по-голям проблем: твърде много баджове с широк достъп, слаб преглед на доставчиците и стари проксимити идентификатори. Управата промени графиците за достъп на доставчиците, намали правата на баджовете и започна миграция на ограничените помещения към идентификатори с по-висока сигурност.

Силната програма за сигурност приема, че грешки и злоупотреби могат да дойдат от много посоки. Целта не е параноя. Целта е многослойна защита.

Статичните идентификатори правят доверието твърде лесно

Най-големият проблем при много наследени проксимити баджове е, че системата може да се доверява прекалено много на прост статичен идентификатор. В по-силна система за идентификация картата и четецът могат да използват криптографска автентикация, диверсифицирани ключове, сигурни съобщения или други защити, които правят копирането много по-трудно. В по-слаба система номерът на баджа може да бъде основното доказателство.

Това е важно, защото журналите за достъп могат да подвеждат. Ако се използва клониран идентификатор, журналът може да покаже името на истинския служител. Мениджър може да обвини грешния човек. Екипът по сигурността може да губи време в разследване на невинен служител. Системата записва кой номер на идентификатор е бил приет, а не непременно кой физически човек е стоял пред вратата.

Защо журналите за достъп могат да заблудят разследванията

Биотехнологична лаборатория в Кеймбридж се сблъска точно с такова объркване. Ограничено помещение с оборудване беше отворено през уикенда под номера на баджа на изследовател. Изследователят беше на конференция в друг град. Лабораторията използваше по-стари проксимити карти за външните врати и отделен списък за регистрация за специалните помещения с оборудване. След инцидента компанията премести чувствителните лаборатории към достъп със smart cards с по-силна автентикация, добави съпоставка с камери и въведе периодична повторна валидация на баджовете. Най-ценната промяна беше културна: мениджърите спряха да приемат, че валиден запис в журнала винаги доказва физическо присъствие на посочения човек.

Това е ключов момент за фасилити сигурността. Журналите за достъп са полезни, но слабите идентификатори могат да отслабят смисъла на тези журнали.

Как нападателите използват нормалните офис навици

Офисната среда е пълна с предвидими рутини. Служителите преминават през турникети в сутрешния пик. Баджовете висят на връзки за врат. Хората оставят чанти до маси в кафенето. Посетителите стоят близо до рецепцията. Изпълнителите чакат до сервизни коридори. Хората задържат вратите за други, защото искат да бъдат учтиви. По-старите 125 kHz системи за баджове не са проектирани за свят, в който евтина електроника, споделени офиси и небрежно излагане на идентификатори са толкова често срещани.

Адвокатска кантора в Ню Йорк използваше проксимити карти за достъп на персонала и посетителски баджове за гости на конферентния етаж. По време на преглед на сигурността консултанти забелязаха, че служителите често оставят баджовете си закачени на палта в отворена гардеробна зона близо до заседателните помещения. Нищо не беше откраднато, но изложението беше очевидно. Човек не трябваше да вземе баджа, за да създаде риск; достатъчна беше възможност да събере идентификатора му, ако технологията на баджа го позволява. Кантората промени правилата за боравене с баджове, премина към сигурни смарт идентификатори за етажите на персонала и добави заключено място за съхранение на палта и чанти на посетители по време на чувствителни срещи.

Слабостта не беше само техническа. Тя беше и поведенческа. Сигурността на баджа зависи от това как хората носят и третират идентификаторите си по време на реална работа.

RFID блокиращите калъфи помагат, но не са цялостно решение

Някои организации издават RFID блокиращи калъфи или държачи за баджове, за да намалят неоторизираното прочитане. Те могат да помогнат, когато се използват правилно, особено за наследени идентификатори, които трябва временно да останат в употреба по време на миграция. Екраниращият калъф може да затрудни случайното скимиране, защото баджът не е свободно четим, докато е прибран. Но това не е пълно решение. Служителите може да извадят баджа и да забравят да го върнат обратно. Калъфите може да се износят. Потребителите може да не харесват допълнителната стъпка. Баджът все пак трябва да бъде изложен, когато се представя пред четеца на вратата.

Административна сграда на университет в Мелбърн издаде блокиращи калъфи след оценка на риска на старата си проксимити картова система. В началото служителите ги използваха няколко седмици, след което много от тях спряха, защото забавяха влизането при натоварени врати. Университетът научи, че калъфите са по-добри като временен инструмент за намаляване на риска, отколкото като финална стратегия. Той запази калъфите за определени отдели, но планира надграждане на идентификаторите за дългосрочна защита.

За купувачите това е важно. RFID блокиращите аксесоари могат да бъдат част от защитния план, но не трябва да се превръщат в оправдание за вечно използване на слаби карти за контрол на достъпа.

По-силното решение е миграция на идентификаторите

Най-ефективното дългосрочно решение е преминаване от уязвими наследени идентификатори към по-сигурна технология за контрол на достъпа. За много организации това означава криптирани smart cards, сигурни NFC идентификатори, карти от клас DESFire, мобилни идентификатори с правилно управление или многофакторен достъп за чувствителни зони. Точният избор зависи от съществуващите четци, контролерната система, нивото на сигурност, бюджета и оперативните нужди.

Логистичен склад в Ротердам използваше 125 kHz карти за входовете на персонала и зоните за изчакване на шофьори. Компанията не искаше да подменя всички четци наведнъж, затова избра мултитехнологични четци, които можеха да поддържат старите баджове по време на прехода и сигурни smart cards за новите идентификатори. Високорискови зони като контролната зала, IT помещението и клетката за стоки с висока стойност бяха мигрирани първи. В рамките на дванадесет месеца старите баджове бяха изтеглени отдел по отдел. Това намали прекъсванията, като същевременно постепенно затвори пропуска в сигурността.

Този подход е практичен за много B2B купувачи. Пълна подмяна „изхвърли и замени“ не винаги е необходима още в първия ден. Поетапната миграция може да намали риска, като същевременно се съобрази с бюджета и операциите.

Почистете базата данни с баджове преди надграждане

Много компании се фокусират върху технологията на картата и забравят базата данни за достъп. Това е грешка. Дори сигурна система за идентификация може да бъде отслабена от лоша администрация. Стари потребители остават активни. Изгубени карти не се деактивират. Достъпът на изпълнители никога не се преглежда. Съществуват споделени баджове. Временните баджове стават постоянни. Служители натрупват няколко идентификатора след премествания между отдели. Правата за врати са по-широки от необходимото.

Производствен завод в Охайо се подготвяше да премине от 125 kHz проксимити баджове към сигурни smart cards. При почистване на базата данни екипът по сигурността откри повече от 300 активни баджа, издадени на хора, които вече не работеха на обекта. Някои принадлежаха на изпълнители от проекти, приключили преди години. Надграждането се превърна в нещо повече от подмяна на карти. То стана рестарт на управлението на достъпа. Заводът въведе правила за изтичане на баджовете, прегледи от мениджъри, ролеви групи за достъп и незабавна деактивация при прекратяване на работа.

Това е един от най-добрите начини надграждането на RFID контрол на достъпа да донесе повече стойност. Не копирайте замърсена база данни в по-чиста технология.

Добавете слоеве защита около високорисковите врати

Не всяка врата носи еднакъв риск. Входът на фоайето, кухнята за персонала, сървърното помещение, складът на аптека, управленският апартамент, R&D лабораторията, касовият офис и складовата клетка не трябва да имат една и съща логика на сигурност. Ако сградата все още използва 125 kHz проксимити карти, високорисковите врати се нуждаят от допълнителна защита веднага.

Възможните защитни слоеве включват PIN плюс карта, биометрична проверка, когато е подходяща и законна, одобрение от охрана, видео верификация, аларми на врати, anti-passback правила, времеви графици, правила за придружаване на посетители и бързи известия при достъп извън работно време. Правилният слой зависи от средата. Целта е да не се разчита на един статичен номер на бадж за чувствителни пространства.

Частна верига фитнеси в Калифорния използваше стари проксимити карти за достъп на членове. Това беше приемливо за общите врати, но помещенията за персонал и зоните за работа с пари се нуждаеха от по-строг контрол. След няколко подозрителни влизания извън работно време веригата временно запази проксимити картите за членски вход, но добави по-силни проверки на идентификаторите и времеви ограничения за зоните само за персонал. По-късно компанията започна да оборудва новите обекти с по-сигурна картова технология още от самото начало.

Това е реалистичен принцип за сигурност. Ако наследеният бадж трябва да остане, не му позволявайте да отключва всичко.

Обучавайте служителите, без да създавате страх

Хората често се отнасят небрежно към баджовете, защото никой не им обяснява риска на ясен език. Обучението по сигурност не трябва да бъде драматично. Служителите трябва да разбират, че картата за достъп прилича повече на ключ, отколкото на етикет с име. Те трябва да избягват оставяне на баджове без надзор, даване на карти на колеги, съхранение на баджове в отворени чанти, закачане на баджове на палта в публични зони или късно докладване на изгубени карти. Те трябва да знаят, че калъфи за телефони, портфейли и държачи за баджове могат да влияят на четенето, но удобството не трябва да надделява над сигурността.

Софтуерна компания в Остин подобри поведението около баджовете с проста вътрешна кампания. Вместо да изпрати дълга техническа политика, фасилити екипът използва кратки напомняния: не давайте баджа си на други, докладвайте изгубени баджове незабавно, пазете баджа си далеч от публичен достъп и насочвайте учтиво опитите за tailgating към рецепцията. Компанията също така замени старите баджове за сигурните зони. Обучението сработи, защото третираше служителите като отговорни възрастни хора, а не като заподозрени.

Човешкото поведение е част от системата за сигурност. По-добрите карти помагат, но небрежните навици с баджове все още могат да създадат възможности.

Какво трябва да питат отделите по покупки доставчиците на RFID карти

При снабдяване с карти за контрол на достъпа купувачите трябва да задават конкретни въпроси. Картовата технология нискочестотна 125 kHz ли е, високочестотна 13.56 MHz ли е, NFC-съвместима ли е или двучестотна? Идентификаторът използва ли сигурна автентикация или само статичен номер? Съвместим ли е със съществуващите четци? Може ли доставчикът да поддържа сигурни чип опции, персонализация, кодиране, UID управление и batch testing? Може ли картата да бъде издадена с отпечатана снимка, служебен номер, резервен QR код или визуални защитни елементи? Какъв път за миграция е наличен от наследени проксимити карти към сигурни smart cards?

Изисквайте конкретика при твърденията за сигурност

Купувачите трябва също да питат за anti-cloning функциите с ясни думи. Избягвайте неясни твърдения като „сигурна RFID карта“, без да знаете какво точно я прави сигурна. Карта, използвана за офис контрол на достъпа, трябва да съответства на риска в сградата. Врата към складова кухня и клетка в данни center не се нуждаят от идентични идентификатори, но и двете трябва да бъдат избрани съзнателно.

Компания за управление на имоти в Сингапур научи това, докато стандартизираше картите за достъп в няколко офис сгради. Старият навик при покупките беше да се поръчват „съвместими проксимити карти“ на най-ниската цена. Новият директор по сигурността промени спецификацията. Доставчиците трябваше да посочват тип чип, честота, формат на кодиране, поддържани системи от четци, опции за персонализация и път за надграждане. Тази една промяна в снабдяването попречи на компанията сляпо да купи още едно десетилетие слаби идентификатори.

Истинският урок за скимирането на 125 kHz баджове

Коварната част при скимирането на 125 kHz баджове не е само технологията. Това е фалшивото спокойствие около нея. Баджът все още отваря вратата. Четецът все още издава сигнал. Журналът за достъп все още записва имена. Всичко изглежда нормално, докато дадено събитие не докаже, че системата се доверява на твърде малко доказателства.

За съвременната офис сигурност баджът не трябва просто да бъде лесен за прочитане. Той трябва да бъде труден за копиране, правилно управляван и свързан с разумни правила за достъп. Наследените 125 kHz карти все още могат да обслужват нискорискови приложения в някои среди, но не трябва да се третират като силни идентификатори за чувствителни зони. Ако една организация ги запази, тя трябва да разбира риска, да намали излагането, да затегне администрирането на баджовете и да планира миграция.

Практичното решение не е паника. То е многослойно надграждане. Прегледайте базата данни с баджове. Идентифицирайте високорисковите врати. Деактивирайте старите и неизползвани идентификатори. Обучете служителите. Използвайте екраниращи калъфи само там, където имат смисъл. Добавете допълнителни контроли за чувствителни зони. Преминете към криптирани smart cards или сигурни мобилни идентификатори. Тествайте съвместимостта преди масово внедряване. Работете с производител на RFID карти или интегратор на контрол на достъпа, който може да обясни разликата между базова проксимити карта и сигурен идентификатор на език, който вашият екип може да провери.

Баджът е малък предмет, но носи голямо доверие. Когато това доверие се основава на стар статичен идентификатор, крадците не трябва да разбиват вратата. Трябва само системата да им повярва. Това е истинският риск. И точно затова организациите, които все още използват 125 kHz офисни баджове, трябва да третират сигурността на идентификаторите като текущ бизнес въпрос, а не като стар технически детайл, скрит в пластмасова карта.