Не гадайте password hex keys: професионален начин да защитите RFID картите си

Какво имат предвид хората, когато казват парола hex keys

В разговорите за RFID изразът парола hex key може да означава различни неща според типа карта или таг. При проект с HF смарт карта може да става дума за секторни ключове, application keys, file keys или права за достъп. При UHF RFID проект често се има предвид достъп парола, унищожаване парола или парола за заключена памет. При NFC тагове може да става дума за защита от запис или настройки за заключване на тага. Проблемът е, че много купувачи използват една обща фраза за няколко различни механизма.

Компания за управление на имоти в Чикаго разбра това по време на модернизация на сграда. Екипът разполагаше със стари карти за достъп от трима предишни изпълнители. Мениджърът на обекта помоли новия доставчик да „използва същата hex парола, за да работят картите ни“. След проверка на системата интеграторът установи, че част от картите използват стари low-frequency идентификатори, други са HF карти с просто четене на ID, а по-нова партида използва защитена application зона. Нямаше една парола за копиране. В една сграда бяха смесени три различни стратегии за удостоверяване. Проектът продължи едва след като екипът отдели старите карти от новите защитени RFID карти за достъп и планира поетапна миграция.

Това се случва често. Преди да говорите за ключове, първо определете типа карта. MIFARE Classic ли е, MIFARE Plus, MIFARE DESFire, NTAG, собствена карта за контрол на достъпа, UHF RFID таг или dual frequency карта? След това определете какво точно защитава ключът. Без тази яснота „изпратете ни hex ключа“ не е спецификация, а източник на объркване.

Защо гадаенето на ключове създава бизнес риск

Гадаенето на ключове може да изглежда като пряк път, но носи няколко риска. То може да доведе до случайно презаписване на данни върху картата. Може да заключи карти по необратим начин. Може да създаде непостоянни партиди, при които част от картите работят, а други не. Може да насърчи служителите да споделят чувствителна информация за ключове по имейл, чат групи или таблици. И може да прикрие по-големия проблем: никой не знае кой реално притежава модела за сигурност на идентификаторите.

Верига фитнес клубове в Манчестър се сблъска с проблем с членските карти след смяна на софтуера за контрол на достъпа. Някои карти работеха на входната врата, а други само при шкафчетата. Местен техник пробва няколко стари проектни ключа от предишни инсталации и част от картите започнаха да се четат в тестов инструмент. Това изглеждаше като напредък, но всъщност задълбочи бъркотията в данните. Накрая фитнесът се свърза с оригиналния системен доставчик, картовите сектори бяха правилно картографирани и беше издадена нова чиста партида с документирана структура на ключовете. Най-болезнената част не беше цената на картите, а седмицата на объркани членове и служители на рецепция.

Изводът не е, че всяка система трябва да бъде прекалено сложна. Изводът е, че работата с ключове трябва да бъде съзнателно проектирана. Ако купувачът се нуждае от базови членски карти, системата трябва да бъде проектирана за това. Ако обектът защитава чувствителни помещения, системата трябва да бъде проектирана за това. Но професионална система за контрол на достъпа не бива да се изгражда върху предположения.

Изберете правилната картова технология според нивото на риск

Не всяко приложение изисква едно и също ниво на сигурност на картите. Малка програма за лоялност, хотелска карта за гост, ученическа карта, служебна карта за достъп и идентификатор за ограничена лабораторна зона не са един и същ проект. Технологията на картата трябва да съответства на риска.

За проста идентификация или маркетингово взаимодействие NFC таг или базова HF карта може да са достатъчни. За съвременен защитен контрол на достъпа много купувачи избират карти MIFARE DESFire EV2 или EV3, защото поддържат по-силна автентикация и структури от данни на ниво application. Някои стари системи все още използват MIFARE Classic, но купувачите трябва да разбират ограниченията ѝ и да управляват миграцията внимателно. За индустриално проследяване на активи UHF RFID тагове може да се нуждаят от достъп парола защита, когато паметта трябва да бъде предпазена от случайно или неоторизирано записване, но целта е различна от автентикацията при достъп през врата.

Биотехнологична лаборатория в Бостън използваше печатани служебни баджове с базов номер на карта за вътрешни врати. Когато лабораторията добави контролирани складови помещения, същият идентификатор вече не отговаряше на риска. Вместо да прикрива чувствителни решения за достъп зад прост ID, лабораторията премина към защитени смарт карти с автентикация на ниво application за ограничените зони. Столовата и общите офис врати останаха по-прости. Достъпът до clean-room зоните използваше по-силен удостоверение път. Това разделяне помогна за контрол на разходите, без да се преструва, че всички врати имат еднакъв риск.

Професионален доставчик на RFID карти трябва да може да обясни тази разлика. Ако доставчикът казва, че всяка карта е сигурна само защото има чип, това не е достатъчно. Попитайте какъв метод за автентикация се използва, коя зона от паметта е защитена, дали ключовете са diversified и как четецът проверява идентификатора.

Спрете да използвате един общ ключ за всичко

Една от най-честите грешки в сигурността на RFID картите е използването на един споделен ключ за всички карти, всички врати, всички приложения или всички филиали. Лесно е при настройка. По-късно става неприятно. Ако един ключ изтече, прекалено голяма част от системата се излага на риск. Ако един доставчик, инсталатор или бивш изпълнител знае този ключ, купувачът може да няма пълен контрол върху собствената си удостоверение среда.

Верига споделено работно пространство пространства в Берлин използваше един и същ картов ключ за всички локации, защото това улесняваше свободното движение на членовете между обектите. Но също така направи одитите неудобни. Няколко изпълнители бяха работили с ключа по време на предишни разширения. Когато компанията се подготви за проверка по сигурността от корпоративен наемател, нямаше ясен отговор кой е имал достъп до key material. Системата беше преработена със site-level разделяне и диверсификация на ключове. Членовете продължиха да използват една карта, но бекенд вече не зависеше от една-единствена споделена тайна.

ключ diversification е една от най-практичните идеи в проектите със защитени RFID карти. Вместо един и същ ключ да се поставя навсякъде, системата извежда ключове за конкретна карта или конкретно приложение по контролиран метод. Ползата е ясна: една компрометирана карта не трябва да разкрива цялата система. При проекти с висока сигурност ключовете могат да се управляват чрез secure достъп модул, hardware security модул или контролиран процес при доставчика, така че суровите master keys да не се обработват небрежно от персонала.

Не изпращайте чувствителни ключове като обикновени файлове за дизайн

RFID проектите често включват файлове за дизайн, файлове за кодиране, UID списъци, списъци с баркодове и таблици за доставка. Тези файлове вече са важни. Файловете с ключове са още по-чувствителни. Изпращането на пароли, секторни ключове, application keys или достъп passwords през незащитен имейл е лош навик. Дори проектът да е малък, купувачът трябва да реши как се създават, споделят, съхраняват и извеждат от употреба ключовете.

Хотелска група в Дубай поръча персонализирани RFID хотелски карти за няколко обекта. Файловете за дизайн се обработваха професионално, но информацията за ключовете за достъп се движеше като имейл прикачени файлове между хотела, PMS доставчика, производителя на карти и инсталатора. Никой нямаше лоши намерения. Процесът просто беше небрежен. След вътрешен преглед групата премина към контролиран процес за обмен на ключове, ограничи кой може да вижда пълния key material и въведе писмено одобрение за профилите за картово кодиране. Картите не изглеждаха различно, но процесът стана много по-защитим.

За B2B купувачи, които поръчват предварително кодирани RFID карти от фабрика, това е важно. Доставчикът може да се нуждае от данни за кодиране. Това не означава винаги, че трябва да получи всички дългосрочни тайни за сигурност в открит вид. В зависимост от системата доставчикът може да кодира по определен профил, да работи с криптиран вход, да използва защитен модул или да достави празни карти за кодиране от доставчика на системата за контрол на достъпа. Най-добрият отговор зависи от проекта, но трябва да има отговор.

Разделете отпечатания ID, UID и защитените application данни

Много откази при картите се случват, защото хората смесват това, което е отпечатано върху картата, UID на чипа и данните, които защитената система реално чете. Отпечатаният служебен номер може да е полезен за хората. UID може да се използва от базови четци. Защитените application данни може да са това, на което контролерът за достъп действително се доверява. Тези елементи не трябва да се смесват небрежно.

Университет в Торонто издаде студентски карти с отпечатани номера, баркодове и RFID идентификатори. Библиотечната система използваше един идентификатор, системата за достъп до общежитията — друг, а доставчикът на плановете за хранене използваше UID на картата. По време на обновяване на картите университетът поиска „същият студентски номер да бъде кодиран във всяка система“. Това звучеше подредено, но пренебрегваше начина, по който всяка система автентикира потребителите. След работни срещи с доставчиците университетът създаде карта на данните. Част от информацията беше отпечатана, част беше съхранена в защитена зона, а част беше свързана в бекенд базата данни. Резултатът беше по-малко елегантен в таблица, но много по-безопасен в реална експлоатация.

При персонализирано кодиране на RFID карти данни map си заслужава времето. Определете всяко поле. Определете кой го чете. Определете дали е публично, защитено или поверително. Определете дали може да се променя след издаване. Ако карта бъде изгубена, определете какво се отнема. Без такава структура хората започват да разчитат на видими номера или UID стойности по начини, които никога не са били предвидени.

Използвайте сигурност от страна на четеца, не само от страна на картата

Защитената RFID карта не е полезна, ако четецът приема слаби данни. Четецът, контролерът и софтуерът трябва да бъдат част от дизайна на сигурността. Някои системи само четат номер на карта и го изпращат към контролера. Други извършват mutual автентикация, проверяват криптирани данни, използват OSDP secure channel или валидират идентификатори чрез бекенд система. Правилната структура зависи от проекта.

Корпоративен офис в Сингапур премина към защитени смарт карти, но запази старите четци на няколко служебни входа. Главното фоайе беше защитено с по-нови четци, докато задните врати все още приемаха прости номера на карти. При одит по сигурността именно това несъответствие се превърна в основна констатация. Компанията не трябваше да подменя всяка врата за една нощ, но трябваше да има миграционен план. Чувствителните зони преминаха към защитени четци веднага, а вратите с нисък риск бяха планирани за поетапна подмяна.

Затова купувачите не трябва да гледат само картата. Ако купите MIFARE DESFire карти, но конфигурирате четците да използват само публичен UID, пропилявате потенциала за сигурност. Ако купите защитен четец, но оставите управлението на ключовете неясно, пак сте изложени на риск. Картата, четецът, контролерът и софтуерът трябва да са съгласувани около един trust модел.

Заключването е полезно, но само след проверка

При някои RFID карти и тагове паметта може да бъде заключена, за да се предотврати презаписване. При UHF RFID тагове достъп passwords и брава настройки могат да защитават EPC или потребителска памет. При NFC тагове защитата от запис може да спре случайно презаписване на URL или съхранен запис. Заключването може да бъде добро решение, но заключването на грешните данни е скъпа грешка.

Доставчик на складово оборудване в Ротердам поръча UHF RFID тагове за метални връщаеми контейнери. EPC стойностите бяха кодирани и заключени преди одобрение на мострите. Когато по-късно ERP екипът на купувача промени изисквания префикс, таговете вече не можеха да се актуализират. Доставчикът беше изпълнил поръчката, но купувачът беше одобрил твърде рано. Следващата партида използва двустепенен процес на одобрение: първо кодиране на мостри без финално заключване, тест в реалната система с четци, след това одобрение за масово производство и брава настройки.

Същата логика важи и за картите за достъп. Не заявявайте постоянни настройки, докато собственикът на системата не потвърди структурата на паметта и поведението на четеца. Силната сигурност не означава да бързате да заключите всичко. Тя означава да заключите правилните неща след правилните проверки.

Планирайте изгубени карти и промени в персонала

Професионалната RFID картова система трябва да издържа на обикновения живот. Хората губят карти. Служители напускат. Изпълнители се сменят. Членове прекратяват абонамент. Доставчик спира поддръжката на стар чип. Управлението на сграда се променя. Ако дизайнът на сигурността не може да поеме тези събития, проектът ще остарее зле.

Болница в Мелбърн имаше хиляди служебни баджове, издавани в продължение на няколко години. Някои отдели поръчваха заместващи карти от различни доставчици, а част от картите имаха леко различни правила за кодиране. Когато болницата подготви нова политика за достъп до помещения за медикаменти, непостоянната удостоверение база направи проекта по-труден от очакваното. Болницата създаде централен удостоверение профил, спря поръчките на карти на ниво отдел и изиска всички бъдещи RFID баджове да следват една защитена картова спецификация. Това не беше впечатляваща работа, но върна контрола на екипа по достъп.

Отнемането на права е толкова важно, колкото и издаването. Ако карта бъде изгубена, може ли системата бързо да деактивира този идентификатор? Ако служител напусне, картата само физически ли се събира, или удостоверение записът се деактивира и в софтуера? Ако key profile бъде компрометиран, може ли организацията да мигрира към нов набор от ключове? Това са практически въпроси, а не теоретични.

Работете с доставчици, които задават точни въпроси

Сериозен производител на RFID карти или доставчик на контрол на достъпа не трябва просто да пита за количество, лого файл и адрес за доставка. При защитени RFID карти доставчикът трябва да пита за тип чип, честота, зона от паметта, формат на кодиране, изискване за автентикация, собственост върху ключовете, модел на четеца, съвместимост със системата, съответствие на печата и метод за тестване. Ако доставчикът поиска мострена карта, това обикновено е добър знак. Ако поиска карта на паметта, още по-добре.

Компания за смарт lockers в Япония се нуждаеше от NFC смарт карти за вземане на пратки от служители. Екипът по покупки първо поиска оферта за „13.56 MHz карти с парола“. По-добър доставчик попита дали шкафчетата четат само UID, NDEF съдържание или защитени application данни. Този въпрос разкри несъответствие между доставчика на хардуер и разработчика на приложението. Финалната картова спецификация стана по-ясна и масовата производствена партида заработи както с четеца на шкафчетата, така и с административния софтуер.

Добрите въпроси могат да забавят етапа на оферта. Но ускоряват пускането в експлоатация. При защитени RFID проекти евтина оферта, базирана на неясни изисквания, много бързо може да стане скъпа.

Подгответе професионален пакет за предаване на проекта

Когато картите бъдат доставени, купувачът трябва да получи повече от кашони с отпечатана пластмаса. Професионалният пакет за предаване може да включва потвърждение на модела чип, отчет за кодиране, примерни данни от прочит, номер на партида, UID или TID списък когато е подходящо, съпоставка с отпечатани номера, статус на заключване, бележки от тестове с четец и гаранционни условия. Чувствителният key material не трябва да се изсипва небрежно в пакета, но собственикът трябва да има документиран начин да го управлява.

Частна марина във Флорида използваше RFID карти за достъп до входна порта, разрешение за горивен кей и достъп до клубна зона за членове. След няколко години първоначалният инсталатор се пенсионира. Тъй като марината нямаше ясен картов профил, дори обикновените повторни поръчки станаха напрегнати. Нов интегратор възстанови документацията, определи структурата на картовите данни и създаде контролиран процес за повторна поръчка с производителя на карти. След това марината вече не трябваше да гадае какво има вътре в собствените ѝ карти.

Документацията е скучна, докато човекът, който познава системата, не си тръгне. Тогава документацията става разликата между поддръжка и хаос.

Професионалното правило

Професионалното правило не е „използвайте най-скъпата RFID карта“. Не е „скрийте ключа така, че никой никога да не може да го докосне“. Не е „заключете всяка зона от паметта веднага“. Професионалното правило е да проектирате удостоверение процеса така, че никой да не трябва да гадае.

Изберете картова технология според риска. Определете структурата на паметта. Разделете публичните ID от защитените данни. Използвайте диверсификация на ключове, когато приложението го оправдава. Защитете обмена на ключове. Тествайте мострени карти в реалната система с четци. Заключвайте паметта само след одобрение. Поддържайте контролиран профил за кодиране. Документирайте достатъчно информация, за да не зависят бъдещите повторни поръчки от паметта на един служител.

Този подход е особено важен, когато поръчвате персонализирани RFID карти, предварително кодирани RFID карти, NFC смарт карти, MIFARE DESFire карти, карти за контрол на достъпа или UHF RFID етикети от чуждестранен доставчик. Разстоянието само по себе си не създава риска. Неясните инструкции създават риска. Добрата фабрика може да произведе точно това, което купувачът е одобрил, но не може да поправи неопределен модел за сигурност.

Затова спрете да гадаете парола hex keys. Спрете да третирате сигурността на картите като производствена бележка в последния момент. Включете key policy в проектния план. Запишете правилото за кодиране. Поставете мостра validation преди масовото производство. Дръжте собствеността върху удостоверение системата в ръцете на купувача, а не в забравена имейл кореспонденция.

Защитената RFID картова система трябва да изглежда проста за потребителите. Те доближават карта, отварят врата, използват шкафче, влизат в обект или идентифицират актив. Зад това просто доближаване стои дисциплинирана верига от решения. Когато тази верига е проектирана правилно, никой не трябва да гадае ключове в най-неподходящия момент. Картите работят, четците се доверяват на правилните данни, а организацията запазва контрол върху собствената си система за достъп.