De waarheid over het klonen van toegangskaarten
Het klonen van kaarten is het dupliceren van de informatie, die is opgeslagen op een RFID-kaart voor toegangscontrole, om deze naar een andere kaart te kopiëren. Miljarden RFID-kaarten (Radio Frequency Identification) worden over de hele wereld in elke branche gebruikt. Of je nu een kantoor, magazijn, appartementen complex, recreatiecentrum of bouwplaats betreedt, de kans is groot dat je er ooit één hebt gebruikt.
Wat zijn de risico's van het klonen van toegangskaarten?
Een toegangskaart is een soort identificatie (1). Deze identificatie(-gegevens) wordt gebruikt om de identiteit en toegangsrechten te valideren van mensen die toegang proberen te krijgen tot een gebouw of gebied. Als de identificatiegegevens van een persoon zijn gekopieerd en door iemand anders zijn gebruikt, is je beveiliging in gevaar. In het minst ernstige geval verlies je de betrouwbaarheid van uw rapportage omdat je niet weet wie welke identificatie gebruikt. In het ergste geval kan een indringer voor allerlei kwaadaardige doeleinden toegang krijgen tot jouw beveiligde zones.
Hoe worden toegangskaarten gekloond?
Er is tegenwoordig een enorm scala aan verschillende toegangskaarten en identificaties beschikbaar. Geen enkele kan 100% gegarandeerde veiligheid bieden, maar er zijn meer en minder risicovolle opties. De identificaties die het meest vatbaar zijn voor het risico van klonen, zijn die welke verouderde technologie zonder codering gebruiken.
In 1975 werd Radio Frequente (RF) identificatie uitgevonden en werden 125kHz Proximity toegangskaarten geïntroduceerd. Deze blijven wereldwijd een enorm populaire keuze, dankzij hun gemak en lage kosten. In een rapport uit 2020 schreef HID Global dat 51% van de ondervraagde bedrijven 125kHz Proximity als toegangstechniek gebruikt in hun organisatie. Proximity-kaarten zijn echter het meest kwetsbaar voor aanvallen.
Proximity-kaarten dragen een reeks binaire codes (2) op een kleine chip die in de kaart is gebracht. Bij presentatie aan de lezer verzendt de kaart de code via radiogolven met een frequentie van 125 kHz. Als de code door de lezer wordt herkend, wordt de deur ontgrendeld en kan de gebruiker naar binnen.
Zijn kaarten met een hogere frequentie veiliger dan Proximity?
De meest gebruikelijke volgende stap ná 125kHz Proximity is 13,56 MHz MIFARE® Classic. Dit is een soort smart card. Smart cards zijn ontwikkeld om de kwetsbaarheden van Proximity-kaarten te bestrijden en kunnen een reeks verschillende informatie tegelijk bevatten. Ze verzenden hun gegevens ook met een veel hogere frequentie dan proximity kaarten - meer dan tien keer hoger!
Het cruciale verschil in smart cards was de komst van authenticatie. Dit betekent dat niet alle informatie die op de kaart is opgeslagen, openbaar beschikbaar is. Wanneer de kaart aan de lezer wordt gepresenteerd, worden de gevoelige gegevens erop niet verzonden totdat de kaart is geverifieerd. Het authenticatieproces controleert of de aangeboden kaart deel uitmaakt van het systeem en niet afkomstig is van een externe aanvaller. Eenmaal geauthentiseerd, wordt de ID-code zoals gewoonlijk verzonden en krijgt de gebruiker toegang.
De toevoeging van authenticatie maakt MIFARE Classic- identificatie moeilijker te klonen, maar niet onmogelijk. Een potentiële hacker hoeft alleen maar de juiste toegangssleutel te identificeren die voor authenticatie wordt gebruikt. Veel bedrijven veranderen deze sleutel, beschikbaar gesteld door de fabrikant, eenvoudigweg nooit. Er zijn zelfs eenvoudige smartphone-apps die de ingebouwde NFC-technologie van de telefoon gebruiken om 13,56 MHz-kaarten te klonen.
Als gevolg van de technologische vooruitgang die MIFARE Classic-systemen kan kraken, raadt de fabrikant van deze identificaties aan om te migreren naar producten met een hogere beveiliging.
Hoe je jouw organisatie kunt beschermen tegen het klonen van kaarten?
Er zijn een aantal maatregelen die je kunt nemen om het risico op een inbreuk op de beveiliging, als gevolg van het klonen van kaarten, te verminderen. Deze omvatten het kiezen voor een kaart- of identificatietype met een hoger ingebouwd beveiligingsniveau en het implementeren van een multi-factor authenticatieproces.
MIFARE® DESFire® EV2-identificatie
Als reactie op beveiligingsproblemen die in de MIFARE Classic-technologie zijn ontdekt, is een nieuwe generatie RFID-chips geïntroduceerd. MIFARE DESFire EV2-chips gebruiken dezelfde transmissiefrequentie van 13,56 MHz, maar combineren deze met veilige encryptie (3) en decryptie (4) van de gegevens wanneer deze van de kaart naar de lezer worden doorgegeven.
De DES staat voor Data Encryption Standard. De FIRE staat voor Fast, Innovative, Reliable, Enhanced. De extra encryptielaag die is toegevoegd aan de communicatie tussen de kaart en de lezer voldoet aan de AES128-bit-standaard (5). Deze encryptiemethode is door de Amerikaanse overheid gekozen als standaard symmetrische blok codering (6) voor het beschermen van geheime informatie.
MIFARE DESFire EV2-identieficaties kunnen niet worden gekloond. Zelfs met behulp van een supercomputer zou het 1 miljard miljard jaar duren om een AES128-bits sleutel op brute wijze te kraken. Toegangskaarten met dit beveiligingsniveau zijn uiteraard duurder dan de laagfrequente alternatieven. De extra investering in kaarten die niet kunnen worden gekloond, gaat echter gepaard met het vertrouwen en de gemoedsrust dat jouw gebouwen en bezittingen veilig zijn.
Hoe is de huidige situatie: UNii en MIFARE DESFire EV2
De UNii keypads en lezers voor toegang hebben de veilige leestechniek MIFARE DESFire EV2. De tags/kaarten worden van een beveiligde applicatie voorzien. In deze applicatie wordt het kaartnummer geschreven en beveiligd met een Alphatronics specifieke 128 bit AES encryptiesleutel. Het UNii keypad en de kaartlezers zijn van de juiste leessleutel voorzien zodat ze in staat zijn de beveiligde applicatie met het tag-/kaartnummer uit de tag/kaart te kunnen lezen. Naar aanleiding van het Security Café 2019 schreef een journalist het artikel “Niet alleen in techniek gaat veel veranderen in de beveiliging”. Hier staat ook een toelichting over leestechnieken in de toegangscontrole beschreven.
CDVI en MIFARE DESFIRE EV2
ATRIUM-toegangscontrole van CDVI is uitgerust met end-to-end encryptie (7). Van de beveiligde server tot de controller, lezers en identificatie: de verzonden gegevens zijn robuust beschermd.
- Identificatie: in een toegangscontrolesysteem wordt een identificatie gebruikt om de persoon te authentiseren die toegang wil krijgen tot een deur of bijvoorbeeld slagboom. Er zijn veel verschillende soorten identificaties, variërend van plastic toegangskaarten tot vingerafdrukgegevens, een pincode of mobiele telefoon. Over het algemeen is een identificatie iets dat je weet (wachtwoord of code), iets dat je hebt (kaart of tag) of iets dat je bent (vingerafdruk of irispatronen).
- Binair code: een coderingssysteem dat alleen de cijfers 1 en 0 gebruikt om gegevens weer te geven.
- Encryptie = versleuteling: het proces waarbij een bericht of andere informatie wordt omgezet in een code met als doel deze te verbergen. Het bericht wordt door een cijfer doorgegeven om het te coderen. De code kan alleen worden gedecodeerd als deze door de juiste overeenkomstige cijfer wordt doorgegeven.
- Decryptie: het proces van het omzetten van een bericht, dat door middel van encryptie is verborgen, terug naar zijn oorspronkelijke, leesbare vorm.
- AES128-bit-standaard: type encryptie (een methode om een bericht te veranderen om de betekenis ervan te verbergen) dat de overdracht van gegevens via internet beschermt.
- Codering: een methode om een bericht te transformeren om het bericht te verbergen en de betekenis ervan te verbergen. Bij toegangscontrole is AES-encryptie een soort codering die vaak wordt gebruikt om de overdracht van gegevens via internet te beschermen.
- End-to-end encryptie: verwijst naar systemen die de overdracht van gegevens tussen alle componenten van het systeem versleutelen. Dit coderingsniveau betekent dat alle momenten/punten van gegevensoverdracht in het systeem sterk zijn en niet gemakkelijk kunnen worden onderschept en ontcijferd.
Bronnen:
• Alphatronics
• Beveiligingsnieuws
• CDVI
• HID
