Sådan forhindrer du kloning af RFID-adgangskort

Hvorfor forebyggelse af kloning af RFID-kort kræver et helhedssyn

Arbejder du længe nok med adgangskontrol, hotellåse, studiekort, medarbejderkort eller medlemssystemer, vil du igen og igen høre det samme bekymrede spørgsmål: Hvordan forhindrer vi kloning af RFID-kort? Nogle gange opstår spørgsmålet efter en konkret hændelse. En tidligere medarbejder kan stadig komme ind gennem en sidedør. En beboer mener, at en ukendt person har åbnet garageporten. En hoteloperatør hører, at ældre hotelnøglekort er lettere at kopiere end forventet. Eller et fitnesscenter opdager, at medlemmer deler kort på måder, som receptionen aldrig havde tiltænkt. Andre gange opstår spørgsmålet allerede under indkøbet, når nogen i organisationen indser, at et billigt RFID-kort ikke nødvendigvis er et sikkert RFID-kort.

Det er det rette tidspunkt at stoppe op og se grundigt på løsningen, for beskyttelse mod kloning af RFID-kort er ikke én enkelt produktfunktion. Det er ikke et mærkat på emballagen, og det handler ikke kun om valget af chip. Problemet løses heller ikke ved blot at købe et kort, der markedsføres som sikkert. Forebyggelse af RFID-kortkloning er en systemopgave. Den omfatter kortteknologi, læsernes validering, kortkodning, nøglestyring, kortudstedelse, procedurer for erstatningskort, konsekvent fratrædelseshåndtering, revisionsspor og den balance, organisationen vælger mellem bekvemmelighed og kontrol.

Det sidste punkt har større betydning, end mange forventer. Når virksomheder spørger, hvordan kloning af RFID-kort kan forhindres, mener de ofte i praksis, hvordan uautoriseret adgang via kopierede, delte, genbrugte eller dårligt administrerede adgangskort kan undgås. Strengt taget er kloning kun én af flere måder, et kortsystem kan kompromitteres på. Et kopieret kort, et lånt kort, et mistet kort, der aldrig blev spærret, og et erstatningskort, der blev udstedt uden tilstrækkelig kontrol, kan alle føre til det samme resultat: Den forkerte person får adgang. Fokuserer du kun på avanceret teknisk kloning og overser almindelig fejladministration af adgangskort, kan du stadig ende med et usikkert system, selv om kortene ser professionelle ud.

Vælg en stærkere RFID-kortteknologi

Udskift svage, ældre kortformater, når risikoen er reel

Den første regel er enkel: Undgå at basere vigtig adgangskontrol på svag, ældre kortteknologi. Her er mange virksomheder nødt til at vurdere deres nuværende løsning ærligt. Hvis adgangskontrollen stadig anvender et grundlæggende kortformat med lav sikkerhed, fordi det var billigt og enkelt at indføre for mange år siden, er det mest effektive værn mod kloning muligvis ikke nye retningslinjer eller bedre kortholdere. Det kan være nødvendigt at udskifte teknologien. Mange billige og ældre RFID-systemer blev aldrig udviklet til at levere den modstandsdygtighed over for kloning, som moderne kontorer, hospitaler, uddannelsesinstitutioner, hoteller og ejendomme med blandede funktioner forventer i dag.

En finansiel virksomhed i Chicago erfarede dette på den ubehagelige måde. I flere år virkede kontorets adgangskortsystem tilstrækkeligt. Kortene åbnede indgangen, medarbejderne kunne færdes normalt, og ingen så nogen grund til at stille spørgsmål ved løsningen. Situationen ændrede sig, da virksomheden indførte arbejdsgange med strengere compliancekrav, begrænsede arkiver, direktionsetager og adgang for eksterne leverandører uden for normal arbejdstid. Under en sikkerhedsgennemgang indså teamet, at den eksisterende kortplatform blev håndteret langt mere uformelt, end nogen tidligere havde erkendt. Virksomheden ventede ikke på en offentlig sikkerhedshændelse, men skiftede til et stærkere smartcardsystem, fordi ”godt nok” ikke længere var en ansvarlig beskrivelse af sikkerhedsniveauet.

Brug krypterede smartcards frem for enkle, aflæselige adgangskort

Det fører direkte til den anden regel: Brug krypterede smartcards frem for simple, aflæselige adgangskort, når der er en reel adgangsrisiko. Indkøbere, der søger efter kloningssikrede RFID-kort, sikre RFID-adgangskort, krypterede RFID-kort eller MIFARE DESFire-kort, bevæger sig som regel i den rigtige retning. Hvis en installation kræver reel modstandsdygtighed over for kloning, vil en moderne, krypteret smartcardplatform normalt være en langt stærkere løsning end et ældre nærhedskort, der hovedsageligt eksponerer en aflæselig identifikator. Det afgørende er ikke at foretrække et bestemt mærke, men at vælge en legitimationsarkitektur, som kræver reel autentificering i stedet for blot at stole på en svagt beskyttet identifikator.

En hospitalsgruppe i Bangkok oplevede, hvorfor dette er vigtigt. De ældre medarbejderkort fungerede fortsat ved de fleste interne døre, og den daglige drift virkede umiddelbart normal. Da hospitalet udvidede kontrollen med apoteket, laboratorierne og rum til opbevaring af reguleret medicin, indså ledelsen imidlertid, at en svag kortløsning nu beskyttede områder, der krævede et højere sikkerhedsniveau. Hospitalet skiftede derfor til en mere sikker smartcardstruktur med RFID-kort, der ydede bedre beskyttelse mod kloning og passede til det kliniske risikobillede. Der var endnu ikke sket en alvorlig hændelse. Opgraderingen blev gennemført, fordi hospitalet forstod, at forebyggelse er billigere end konsekvenserne af et sikkerhedsbrud.

Undgå kun at basere sikkerheden på UID, når stærkere autentificering er mulig

Den tredje regel bliver overset af alt for mange organisationer: Undgå at basere hele sikkerheden på kortets UID, hvis systemet understøtter stærkere autentificering. Nogle adgangskontrolsystemer aflæser blot kortets serienummer og anvender det som adgangsidentitet. Det er driftsmæssigt enkelt, men skaber samtidig en meget begrænset sikkerhedsmodel. Hvis hele tilliden til kortet afhænger af en simpel identifikator, som læseren accepterer uden yderligere beskyttelse på kortniveau, er modstanden mod kloning allerede svagere, end den bør være. I stærkere systemer skal RFID-læsere og kort gøre mere end blot at udveksle et synligt nummer. De bør anvende struktureret og beskyttet legitimationslogik, som er vanskeligere at kopiere.

Et universitet i Canada stod over for denne problemstilling under moderniseringen af sine kollegier. Medarbejderne ønskede oprindeligt at bevare den enklest mulige registreringsproces, fordi tusindvis af studerende flyttede ind og ud hvert år. Universitetet vidste dog også, at adgang til kollegier er et af de dårligste områder at basere på overfladisk kortvalidering. I stedet for at fortsætte med en model, der i for høj grad var afhængig af simple identifikatorer, indførte universitetet en mere struktureret smartcardløsning. Den tog højde for fælles boliger, hyppige beboerskift og den betydelige omdømmerisiko, der ville opstå, hvis en uvedkommende fik adgang til den forkerte bygning.

Styr nøgler, kortudstedelse og spærring

Beskyt nøglestyringen som en del af sikkerhedsarkitekturen

Den fjerde regel handler om nøglestyring, og det er her, mange teknisk lovende systemer gradvist bliver svækket. En sikker kortplatform er kun sikker, hvis de bagvedliggende kryptografiske nøgler håndteres korrekt. Hvis nøgler deles med for mange personer, opbevares uforsvarligt, kopieres uden kontrol eller forbliver uændrede i årevis, kan kortsystemet se avanceret ud, mens det i praksis fungerer som et ulåst skab. Dette er særligt vigtigt, når organisationer indfører sikre smartcards, men fortsat behandler administrationen uformelt. Beskyttelse mod kloning handler ikke kun om at købe det rigtige kort. Det handler også om at kontrollere de hemmelige nøgledata, der gør kortets sikkerhedsfunktioner mulige.

En bioteknologisk virksomhedscampus i Singapore opdagede dette under en evaluering efter en systemopgradering. Organisationen havde investeret betydeligt i en stærkere arkitektur til medarbejderkort, men sikkerhedsteamet konstaterede senere, at nøglehåndteringen var langt mindre disciplineret end selve kortstrategien. For mange personer havde adgang til følsomme værktøjer til kortregistrering, og organisationen baserede sig på uformel praksis frem for kontrollerede processer. Der var ikke sket en synlig sikkerhedshændelse, men den interne gennemgang gjorde én ting klart: Krypterede kort beskytter ikke automatisk systemet, hvis nøglestyringen er mangelfuld. Virksomheden strammede derfor adgangsrettighederne til kortudstedelse og procedurerne for nøglekontrol, før svaghederne fik offentlige konsekvenser.

Behandl udstedelse af adgangskort som en sikkerhedsproces

Den femte regel er mindre teknisk og mere driftsorienteret: Administrer udstedelsen af adgangskort som en sikkerhedsproces og ikke blot som en administrativ service. Mange sager med klonede eller misbrugte RFID-kort opstår, fordi organisationen aldrig har betragtet kortudstedelsen som en del af sikkerhedsperimeteren. Hvis medarbejdere kan udstede nye kort uden tilstrækkelig kontrol, fremstille dubletter uden grundig godkendelse eller genaktivere identiteter uden autorisation, bliver det langt vanskeligere at forebygge kortkloning. Systemet afgiver allerede tillid indefra. Et kopieret kort er kun én form for ugyldig legitimation. Et ægte kort, der er udstedt forkert, kan være lige så farligt.

Et stort kontorhøjhus i Dubai illustrerede problemet tydeligt. Ejendommens tekniske løsning så professionel ud, og ledelsen antog oprindeligt, at kortsikkerhed primært handlede om at vælge den rigtige leverandør. Under en compliancegennemgang opdagede man imidlertid, at erstatningskort til eksterne leverandører og midlertidige medarbejdere blev udstedt med for stor frihed i receptionen og med utilstrækkelig sporbarhed. Risikoen var ikke nødvendigvis, at kortene kunne klones med avancerede tekniske metoder. Risikoen var, at gyldige adgangskort kunne oprettes for let. Da bygningen strammede godkendelsesprocessen, logningen og reglerne for genudstedelse, blev beskyttelsen mod kloning forbedret, fordi kortsystemet ikke længere skabte de samme undgåelige svagheder.

Spær bortkomne, stjålne, udløbne og erstattede kort hurtigt

Den sjette regel er at spærre bortkomne, stjålne, udløbne og erstattede kort hurtigt. Det lyder måske indlysende, men er i praksis en af de vigtigste foranstaltninger mod misbrug og kloning. Et kopieret kort er farligt, fordi systemet fortsat har tillid til det. Et mistet kort er farligt af præcis samme årsag. Hvis organisationen bruger timer eller dage på at deaktivere en kompromitteret legitimation, beskytter den reelt ikke mod uautoriseret kortbrug. Den dokumenterer blot hændelsen bagefter. Stærk sikkerhed omkring RFID-adgangskort kræver hurtig deaktivering og en klar procedure for erstatningskort. Så snart der opstår mistanke om et kort, skal systemet ophøre med at acceptere det.

En logistikvirksomhed i Polen erfarede dette, da en skiftleder mistede sit adgangskort i en travl weekend. Kortet blev senere erstattet, men den gamle legitimation forblev aktiv længere end planlagt, fordi processen krævede en manuel opfølgning, som blev overset. Hændelsen fik ikke alvorlige konsekvenser, men udløste en fuld gennemgang af adgangskortenes livscyklus. Virksomheden ændrede arbejdsgangen, så et erstatningskort ikke kunne færdigregistreres, før det tidligere kort automatisk var blevet deaktiveret. Denne form for enkel driftsdisciplin bidrager ofte mere til at forebygge kloning af RFID-kort end endnu et lag af markedsføringsbudskaber.

Reducer adgangsrisikoen med flere lag, segmentering og overvågning

Brug flerlaget autentificering i følsomme områder

Den syvende regel er at anvende flerlaget autentificering, hvor risikoen retfærdiggør det. Ikke alle døre har behov for flere sikkerhedsfaktorer, men visse områder bør aldrig være afhængige af kortet alene. Serverrum, laboratorier, dokumentarkiver, apoteksområder, følsomme direktionszoner og rum med kritisk infrastruktur kan have gavn af dobbelt verifikation, eksempelvis kort kombineret med pinkode, biometri eller overvåget godkendelse. Det er vigtigt, fordi ingen strategi mod kloning forbliver perfekt for altid. De bedst sikrede organisationer accepterer dette og placerer ekstra kontrol dér, hvor konsekvenserne af et kompromis er for store til, at adgang bør baseres på én enkelt faktor.

Et privat forskningshospital i Sydkorea håndterede dette på en gennemtænkt måde. Det generelle adgangssystem for medarbejdere anvendte stærke smartcards, men udvalgte medicinlagre og adgangsbegrænsede laboratorier krævede mere end blot et adgangskort