Шокиращата истина колко лесно могат да бъдат хакнати MIFARE Classic картите

Шокиращата истина за MIFARE Classic картите не е, че всяка врата, която ги използва, вече е обречена. Шокиращото е, че много компании все още ги третират като съвременни защитени идентификатори, въпреки че моделът им за сигурност принадлежи на по-старо технологично поколение. В твърде много офиси, фитнеси, хотели, училища, складове, лаборатории и жилищни сгради една малка безконтактна карта се приема за надеждна само защото отваря врата и изглежда професионално. Никой не пита какъв чип има вътре. Никой не пита дали четецът проверява криптирани данни, или само прочита номер на карта. Никой не пита дали същият формат на идентификатора се използва без преглед вече десет години. После идва одит по сигурността и екипът по контрол на достъпа открива, че картата, на която всички са вярвали, е много по-лесна за дублиране, отколкото са предполагали.

MIFARE Classic стана популярна, защото беше достъпна, широко поддържана, лесна за кодиране и удобна за контрол на достъпа, членски карти, кампусни карти, обществени обекти, шкафчета, vending системи и базови системи със съхранена стойност. Дълго време тази комбинация имаше логика. Проблемът е, че популярността често създава инерция. Сградата инсталира съвместими четци. Картовият принтер се настройва. Персоналът свиква с процеса. Отделът по покупки поръчва същите празни карти отново и отново. Минават години. Платформата за контрол на достъпа се променя, но технологията на картите остава същата, защото подмяната изглежда неудобна. Така рискът от остарели идентификатори се скрива пред очите на всички.

Защо MIFARE Classic картите се превърнаха в скрит риск за сигурността

Основният проблем е, че MIFARE Classic не е проектирана за днешната среда на заплахи. Нейният наследен криптографски дизайн е публично изследван от години, а това семейство карти широко се счита за неподходящо за приложения с висока сигурност, когато се използва като основен идентификатор за достъп. Практическата опасност става по-голяма, когато системите разчитат само на UID на картата, използват стандартни ключове, споделят едни и същи ключове между много обекти или не удостоверяват картата правилно. Казано просто, ако една система за врати третира MIFARE Classic карта като сигурно доказателство за самоличност без по-силни контроли, организацията може да се доверява на идентификатор, който нападател може да копира или имитира много по-лесно, отколкото ръководството очаква.

Coworking пространство в Берлин научи това, след като наемател попита дали сградата все още използва MIFARE Classic карти за достъп. Оперативният мениджър не знаеше. Картите имаха фирмено лого, имена и изчистено матово покритие, затова всички приемаха, че са достатъчно добри. Консултант прегледа системата и установи, че четците приемат серийния номер на картата, а не защитено приложение. През вратите всяка седмица преминаваха стотици членове, временни гости, почистващ персонал и участници в събития. Най-големият проблем не бяха самите стари карти. Проблемът беше, че никой в компанията не знаеше разликата между красива RFID карта и защитен RFID идентификатор.

Защо купувачите често бъркат типа карта със сигурността на картата

Това объркване е много често. Много купувачи използват изрази като RFID карта, NFC карта, проксимити карта, карта за достъп и смарт карта, сякаш означават едно и също. Не означават. Една проста система, базирана само на UID, не е същото като защитена DESFire карта за достъп. MIFARE Classic карта не е същото като модерен криптиран идентификатор. Карта, която може да бъде прочетена от настолен енкодер, не е автоматично защитена срещу клониране. Когато отделите по покупки поискат само „13.56 MHz RFID карти“, те може да получат карта, която работи с четеца, но не отговаря на реалното изискване за сигурност на бизнеса.

Верига частни фитнеси в Маями имаше проблем с измами при членството, който в началото изглеждаше малък. Членове се оплакваха, че шкафчета са отваряни, а записите за вход на гости не съвпадат с данните на рецепцията. Фитнесът използваше MIFARE Classic карти за членски достъп, контрол на шкафчета и издаване на кърпи. Системата работеше от години, затова персоналът приемаше, че проблемът е човешка грешка. Прегледът по сигурността показа, че част от членските идентификатори могат да бъдат дублирани, защото системата разчита прекалено много на статични данни от картата. Фитнесът не публикува проблема и не паникьоса клиентите. Той тихо мигрира премиум зоните към по-силни карти и обнови четците на шкафчетата. Измамата спря да бъде лесна, защото идентификаторът най-накрая стана по-труден за имитиране.

Опасността не идва само от външни хакери. Слабите картови системи създават възможности и за вътрешна злоупотреба. Ако изпълнител, бивш служител, временен работник или нечестен член може да получи работещ идентификатор и да го копира, отчетите за достъп стават ненадеждни. Системата може да показва, че „картата на Alice“ е влязла през дадена врата, но ако има копие, записът вече не доказва, че Alice е била там. Това е сериозен проблем в офиси, лаборатории, болници, фабрики и жилищни сгради, където одитните следи имат значение. Слабата карта не само отваря врати. Тя отслабва доверието във всеки отчет за достъп.

Компания за фармацевтични опаковки в Базел откри това по време на разследване за достъп извън работно време до контролирано складово помещение. Логът показваше, че карта на оторизиран техник е влязла през нощта. Техникът отрече да е бил на място, а видеозаписите подсказаха, че през вратата е минал друг човек. Компанията беше издавала MIFARE Classic баджове години наред и никога не беше преглеждала дизайна на идентификаторите. Инцидентът наложи план за миграция към защитени DESFire EV3 карти, удостоверяване от страна на четеца и по-строг контрол при издаване на баджове. Най-болезнената част не беше подмяната на картите. Беше осъзнаването, че старите логове за достъп са по-малко надеждни, отколкото ръководството е вярвало.

Защо работещите карти за достъп все пак могат да бъдат несигурни

Рискът при MIFARE Classic често остава скрит, защото системата продължава да работи. Вратите се отварят. Служителите се идентифицират успешно. Принтерите кодират карти. Посетителите получават баджове. Нищо не изглежда счупено. Провалът на сигурността при контрол на достъпа не винаги се вижда като напукана ключалка. Той може да изглежда напълно нормално, докато някой не злоупотреби с него. Затова организациите не трябва да чакат инцидент, за да прегледат картовата технология. Ако сградата използва MIFARE Classic, правилният въпрос не е „Все още ли работи?“. Правилният въпрос е „Какво точно проверява четецът и какво ще стане, ако този идентификатор бъде копиран?“

Университет в Торонто имаше над 40 000 кампусни карти в обращение. Студентите ги използваха за достъп до сгради, заемане на книги, печат, хранене и вход в общежития. Университетът знаеше, че картовата система е стара, но подмяната изглеждаше скъпа. След одит от външна страна екипът по сигурността разбра, че различни кампусни системи използват картата по различен начин. Някои системи имаха по-силни бекенд контроли, докато няколко по-стари врати разчитаха на слаби проверки на идентификатора. Университетът не подмени всичко за една нощ. Започна с общежития, лаборатории и помещения за съхранение на изпитни материали, а след това премина към по-нискорисковите зони. Този поетапен подход проработи, защото университетът спря да третира всяка врата като еднакво важна.

Това е правилният начин на мислене. Не всяко внедряване на MIFARE Classic създава еднакво ниво на риск. Карта, използвана само за нискорискова loyalty програма, е различна от карта за дата център, помещение за лекарства, платежен портфейл, луксозен жилищен комплекс, изследователска лаборатория или болничен коридор само за персонал. Бизнес impact-ът определя спешността. Въпреки това всяка организация, която използва MIFARE Classic за контрол на достъпа, трябва да разбира, че технологията е наследена и да планира път за миграция. Истинската грешка е да се преструва, че проблемът е само теоретичен.

Луксозна жилищна сграда в Лондон се оказа в неудобна ситуация, когато жители започнаха да питат за клониране на баджове, след като прочетоха новини за сигурността онлайн. Сградата използваше MIFARE Classic ключодържатели за главния вход, асансьорите, фитнеса и помещенията за пратки. Първоначално управата се опита да успокои всички, като заяви, че ключодържателите са „криптирани“, но инженерът на сградата не можеше да обясни какво означава това. Интегратор по сигурността тества системата и препоръча преминаване към DESFire-базирани идентификатори с правилно управление на ключовете. Сградата запази същия визуален стил на ключодържателите за жителите, но промени чипа и четците под повърхността. Жителите не трябваше да разбират всеки технически детайл. Те имаха нужда сградата да спре да разчита на неясни успокоителни думи.

Друга неудобна истина е, че много MIFARE Classic системи са били инсталирани с удобството като основен приоритет. Интеграторите са искали съвместимост. Клиентите са искали ниска цена на карта. Бадж офисите са искали лесно издаване. Производителите на четци са искали широка поддръжка. Тези приоритети са били логични в прости среди, но често са довели до слаби практики за ключове, дублирани конфигурации и минимално управление на жизнения цикъл. Когато един обект вече има хиляди карти и четци, промяната изглежда трудна. Колкото по-дълго организацията чака, толкова по-трудна става миграцията.

Логистичен склад в Ротердам използваше MIFARE Classic баджове за входове на персонала, помещения за зареждане на мотокари и cage storage. Картовата технология беше наследена от по-стара система за отчитане на работното време. Когато компанията добави зона за съхранение на електроника с висока стойност, тя просто разшири същия бадж достъп към новата клетка. Това беше грешката. По-късен риск анализ раздели нивата на достъп. Общите врати временно останаха на старата картова система, но зоната с електроника премина към защитени идентификатори, достъп с видео подкрепа и одобрение от мениджър. Складът научи, че разширяването на стар идентификатор към по-високорискови зони тихо увеличава експозицията.

Защо четенето само на UID е често слабо място

Най-честата грешка в защитата е четенето само на UID. UID може да бъде удобен, защото е лесен за обработка от RFID четци и софтуер, но разчитането само на UID е слабо. Сигурният дизайн за контрол на достъпа трябва да валидира защитени данни на идентификатора и да използва модерно криптографско удостоверяване, при което картата и четецът доказват повече от видим сериен номер. Ако доставчикът на контрол на достъпа каже „Ние просто четем номера на картата“, това заслужава допълнителен разговор. Номерът на картата не е същото като защитена самоличност.

Малка софтуерна компания в Остин издаде персонализирани Wooden карти с RFID функции, защото основателите искаха по-добро onboarding преживяване. Картите изглеждаха красиво, а NFC докосване функцията отваряше вътрешна профилна страница. Но офисните четци на вратите бяха конфигурирани да приемат само UID на картата. Съветник посочи, че компанията е обновила материала на баджа, без да обнови сигурността на идентификатора. Компанията преработи следващата партида със защитен чип за достъп и остави NFC профилната функция отделно. Първата версия беше стилна. Втората беше стилна и защитима.

Как организациите могат да мигрират без хаос

Миграцията не винаги трябва да бъде хаотична. Много организации използват dual-technology карти по време на прехода. Една карта може да включва наследена съвместимост за старите четци и защитен чип за обновените врати. Това позволява на компанията да подменя четците поетапно, докато служителите носят един бадж. Но dual-technology картите трябва да се разглеждат като мост, а не като постоянно оправдание слабите четци да останат завинаги. Ако старата страна на картата остане активна безсрочно, рискът също остава активен.

Болница в Сингапур мигрира от MIFARE Classic карти за персонала към DESFire идентификатори за осемнадесет месеца. Първата фаза използваше dual-technology баджове, така че персоналът все още можеше да влиза в по-стари сгради, докато новите четци се инсталираха в аптеки, операционни блокове и родилни отделения. След като критичните зони бяха обновени, болницата деактивира приемането на наследени идентификатори при тези врати. По-късно премахна старите четци от по-нискорисковите офиси. Поетапният проект успя, защото екипът по сигурността дефинира ясна крайна цел. Dual technology помогна на миграцията, но не се превърна в постоянен компромис.

Някои организации забравят и системите, които не са врати. Един бадж може да се използва за vending, печат, шкафчета, паркинг, плащане в столова, visitor kiosks, конферентни зали, отчитане на работно време и асансьори. Ако картата бъде обновена, но една стара подсистема все още зависи от MIFARE Classic данни, проектът може да блокира. Пълната миграция на карти трябва да картографира всяко място, където картата се използва. Най-голямата изненада често не е основната платформа за контрол на достъпа. Това е забравеният копир, старият контролер за шкафчета или четецът в подземния паркинг, който все още очаква наследени данни.

Корпоративен кампус в Париж се опита бързо да обнови баджовете за достъп след одит по сигурността. Главните врати бяха готови, но служителските шкафчета, терминалите за плащане в столовата и станциите за освобождаване на печат използваха стари настройки на картата. Проектът спря, докато IT и facilities екипите картографираха всяка точка на използване на баджа. Финалната миграция отне повече време, но избегна издаването на нови карти, които отварят врати и не работят никъде другаде. Компанията научи, че модернизацията на баджовете е бизнес процес, а не просто поръчка на карти.

Как да приоритизирате цена, риск и съответствие

Цената е обичайното възражение. MIFARE Classic картите са евтини, а много съвместими четци вече са инсталирани. Защитените smart cards и обновените четци струват повече. Но сравнението е несправедливо, ако игнорира риска. Каква е цената на неоторизиран вход? Каква е цената на ненадеждни одитни логове? Каква е цената на откраднат лаптоп от защитен офис, липсващо лекарство от шкаф, оплакване от жител, неуспешен одит по сигурността или вътрешен човек, използващ копиран бадж? Евтините идентификатори не са евтини, когато защитават скъпи пространства.

Медицинска изследователска лаборатория в Бостън отлагаше миграцията, защото бюджетът за карти изглеждаше висок. След това одит за съответствие попита как лабораторията контролира достъпа извън работно време до помещенията за съхранение на проби. Екипът можеше да покаже логове, но одиторът постави под въпрос дали системата за идентификатори може надеждно да докаже човека. Това промени бюджетния разговор. Лабораторията първо обнови четците, защитаващи проби, фризери и помещения за контролирани документи. Офисните врати дойдоха по-късно. Лабораторията не похарчи пари навсякъде наведнъж. Тя инвестира там, където слабите идентификатори създаваха най-висок риск за съответствието.

Обучението е проста, но често липсваща стъпка. Facility мениджъри, HR екипи, служители по покупки и хората, които издават баджове на рецепция, не трябва да стават криптографи. Но трябва да знаят, че външният вид на картата не е равен на сигурност на картата. Те трябва да разбират на базово ниво разликата между legacy проксимити, MIFARE Classic, NFC маркетингови тагове, DESFire идентификатори, UID reading и сигурно удостоверяване. Това предотвратява случайни downgrade решения. Помага и на купувачите да задават по-добри въпроси към доставчиците.

Хотелска група в Мадрид почти поръча по-евтина заместваща партида карти за гости и персонал, след като видя, че доставчикът ги описва като „MIFARE compatible“. IT мениджърът попита какъв чип има вътре и как съответства на заключващата система. Отговорът показа, че предложената карта не е подходяща за планираното обновяване на защитения достъп за персонала. Купувачът избра различна карта за служителските идентификатори и остави картите за стаи на гостите по отделна спецификация на брава системата. Един въпрос предотврати превръщането на procurement shortcut в регресия на сигурността.

Какво да попитате преди подмяна на MIFARE Classic карти

Правилният разговор с доставчик трябва да бъде конкретен. Попитайте какъв чип се доставя. Попитайте дали системата чете само UID, или удостоверява защитени данни. Попитайте дали някъде се използват стандартни ключове. Попитайте дали ключовете са диверсифицирани по обект или карта. Попитайте как се деактивират изгубени карти. Попитайте дали четците поддържат защитени идентификатори като MIFARE DESFire EV2 или EV3. Попитайте дали платформата за контрол на достъпа може да управлява миграцията. Попитайте как се обработват visitor карти, contractor badges и временни идентификатори. Ако доставчикът отговаря само с „13.56 MHz RFID“, продължавайте да питате.

Оператор на данни center в Стокхолм приложи този подход по време на преглед на идентификаторите. Компанията беше наследила множество картови технологии след придобивания. Някои обекти използваха защитени карти. Други използваха стари MIFARE Classic баджове. Вместо да поръча една универсална заместваща карта на сляпо, екипът по сигурността изгради матрица от типове четци, чипове на карти, нива на достъп и усилие за миграция. Помещенията с най-висок риск преминаха първи. Проектът беше скучен по най-добрия възможен начин: документиран, поетапен, тестван и измерим.

Важно е също да не се обещава прекалено много след миграцията. DESFire-базирана система е много по-силна от лошо внедрена MIFARE Classic система, но само ако е реализирана правилно. Защитените чипове все още изискват правилно управление на ключове, конфигурация на четци, бекенд контроли, политика за издаване на карти, обработка на изгубени баджове и редовен преглед. Технологията подобрява основата. Процесът я поддържа силна. Организация, която обновява картите, но оставя деактивирани служители активни в базата данни, все още има проблем с достъпа.

Бързо растящ startup в Ню Йорк премина от стари MIFARE Classic карти към защитени bamboo DESFire баджове за служители. Първият месец изглеждаше успешен, но преглед на достъпа показа, че няколко бивши изпълнители все още имат активни права в платформата за достъп. Технологията на баджа вече не беше най-слабото звено. Администрацията беше. Компанията добави автоматични HR offboarding triggers и месечни прегледи на достъпа. Обновяването стана смислено едва когато процесът съответстваше на новия идентификатор.

Как да комуникирате риска отговорно

За SEO купувачи и product managers темата трябва да се формулира внимателно. Съдържание, основано на страх, може да донесе кликове, но отговорното насочване изгражда доверие. Посланието не трябва да учи хората как да атакуват MIFARE Classic карти. То трябва да обяснява защо наследените идентификатори са рискови, как да се разпознаят слаби внедрявания и как да се премине към сигурни RFID карти за контрол на достъпа. Купувачите, които търсят риск за сигурността при MIFARE Classic, предотвратяване на клониране на RFID карти, сигурни карти за контрол на достъпа, DESFire EV3 карта manufacturer, MIFARE Classic replacement или encrypted RFID badges, обикновено не търсят драматизация. Те търсят безопасна следваща стъпка.

Компания за управление на имоти във Ванкувър откри това, след като публикува уведомление до жители за обновяване на баджове. Първият вариант казваше, че старите карти могат лесно да бъдат хакнати, което изплаши жителите и създаде гневни имейли. Преработеното уведомление обясни, че сградата преминава от наследен идентификатор към по-сигурна криптирана карта за достъп, че старите карти ще бъдат деактивирани след преходен период и че жителите няма да загубят достъп по време на миграцията. Фактите останаха сериозни, но посланието стана оперативно, а не тревожно.

Практичният отговор на риска при MIFARE Classic карти

Шокиращата истина, следователно, не е, че MIFARE Classic картите съществуват. Те са обслужвали много системи в продължение на години. Шокиращото е, че твърде много организации все още ги използват, без да знаят какъв риск приемат. Наследена карта може да бъде приемлива за нискорисков loyalty counter или временна учебна лаборатория, но не трябва тихо да защитава помещения с висока стойност, частни жилища, здравни зони, изследователски лаборатории, финансови офиси или критична инфраструктура без преглед. Ако картата може да бъде копирана, логът на вратата може да бъде поставен под съмнение. Ако логът на вратата може да бъде поставен под съмнение, цялата история на контрола на достъпа става по-слаба.

Практичният отговор е ясен. Идентифицирайте каква картова технология се използва. Разберете дали четците удостоверяват защитени данни, или четат само прости идентификатори. Картографирайте всяка система, която използва картата. Подредете вратите и функциите по риск. Обновете критичните зони първи. Преминете към защитени идентификатори като DESFire, когато е подходящо. Използвайте правилно управление на ключове. Избягвайте стандартни конфигурации. Деактивирайте изгубени и стари карти бързо. Обучете отделите по покупки да не купуват неясни „RFID карти“ без данни за чип и сигурност. Преглеждайте правата за достъп редовно. Запазете атрактивния дизайн на картата, ако марката държи на това, но не бъркайте премиум повърхност с премиум сигурност.

MIFARE Classic напомня, че удобството може да надживее безопасността. Една карта може да стане толкова позната, че никой да не я поставя под въпрос. Един четец може да остане на стената дълго след като предположенията му са остарели. Един бадж офис може да продължи да поръчва същия продукт, защото винаги е работил. Така оцелява наследеният риск. Решението не е паника. Решението е техническа честност. Знайте какво използвате, знайте какво защитава и знайте дали идентификаторът е достатъчно силен за задачата. Ако отговорът е не, започнете миграцията преди инцидентът да ви научи на този урок.