Bezpieczeństwo kart kampusowych: Szyfrowanie, uwierzytelnianie i zapobieganie klonowaniu

W 2024 roku doktorant na jednym z europejskich uniwersytetów udowodnił, że potrafi sklonować dowolną kartę kampusową w uczelnianym systemie opartym na technologii starsze poświadczenie 13,56 MHz z pamięcią sektorową, używając do tego sprzętu za 50 dolarów kupionego w internecie. W ciągu kilku tygodni metoda ta została udostępniona w mediach społecznościowych. Zanim uniwersytet zdążył zareagować, doszło do nieautoryzowanego dostępu do budynków, nieuczciwych transakcji w ramach abonamentów na stołówkę studencką oraz naruszenia bezpieczeństwa egzaminów. Incydent ten był sygnałem alarmowym – choć wcale nie powinien być zaskoczeniem. Szyfrowanie Crypto-1 stosowane w kartach starsze poświadczenie 13,56 MHz z pamięcią sektorową zostało publicznie złamane już w 2008 roku.

Bezpieczeństwo kart kampusowych nie jest pojęciem abstrakcyjnym. Złamany system kart oznacza obecność nieupoważnionych osób w budynkach, kradzież środków z abonamentów na stołówkę studencką, oszustwa przy wypożyczeniach w bibliotece uczelnianej, manipulacje limitami wydruków, a w najgorszych przypadkach – zagrożenie bezpieczeństwa fizycznego. Zrozumienie technologii kryptograficznych, które chronią (lub nie) karty kampusowe, jest absolutnie kluczowe dla każdego specjalisty ds. IT i bezpieczeństwa na uniwersytecie.

Krajobraz kryptograficzny kart kampusowych

Karty zbliżeniowe 125 kHz: Zerowe bezpieczeństwo

Najstarszą technologią, wciąż spotykaną na niektórych kampusach, jest karta zbliżeniowa 125 kHz (EM4100). Karty te transmitują statyczny, nieszyfrowany numer identyfikacyjny do każdego czytnika kart znajdującego się w ich zasięgu. Nie ma tu żadnego uwierzytelniania, szyfrowania ani ochrony przed klonowaniem. Urządzenie kosztujące mniej niż 20 dolarów może w kilka sekund odczytać i skopiować kartę zbliżeniową z odległości kilku stóp, bez wiedzy jej posiadacza.

Jeśli Państwa kampus nadal wykorzystuje karty zbliżeniowe 125 kHz do jakiejkolwiek funkcji kontroli dostępu, sytuacja wymaga pilnej interwencji. Karty te oferują taki sam poziom bezpieczeństwa jak otwarte drzwi – stwarzają jedynie pozory kontroli, nie dając żadnej realnej ochrony.

starsze poświadczenie 13,56 MHz z pamięcią sektorową: Złamane szyfrowanie (Crypto-1)

Karty starsze poświadczenie 13,56 MHz z pamięcią sektorową (działające na częstotliwości 13,56 MHz, ISO 14443A) w momencie ich wprowadzenia stanowiły ogromny postęp w stosunku do starszych kart zbliżeniowych. Wykorzystują one szyfr strumieniowy Crypto-1 do uwierzytelniania między kartą a czytnikiem kart. Niestety, w 2008 roku badacze z Radboud University Nijmegen przeprowadzili inżynierię wsteczną algorytmu Crypto-1. Atak ten został następnie udoskonalony do tego stopnia, że sklonowanie karty starsze poświadczenie 13,56 MHz z pamięcią sektorową zajmuje obecnie mniej niż minutę przy użyciu łatwo dostępnego sprzętu.

Mimo to, technologia starsze poświadczenie 13,56 MHz z pamięcią sektorową wciąż jest używana w zaskakująco dużej liczbie instytucji. Karty są tanie, infrastruktura jest już wdrożona, a migracja wymaga wysiłku i budżetu. Ryzyko jest jednak realne i dobrze udokumentowane: każdy, kto posiada podstawową wiedzę techniczną i niedrogi sprzęt, może sklonować te karty.

poświadczenie 13,56 MHz z uwierzytelnianiem AES: Nowoczesne bezpieczeństwo

poświadczenie 13,56 MHz z uwierzytelnianiem AES i obecna konfiguracja z uwierzytelnianiem AES stanowią obecny standard bezpieczeństwa dla kart kampusowych. Chipy te implementują szyfrowanie AES-128 (Advanced Encryption Standard z 128-bitowymi kluczami) – ten sam standard szyfrowania, który jest wykorzystywany przez agencje rządowe do ochrony informacji niejawnych.

Wzajemne uwierzytelnianie to kluczowy postęp. Kiedy karta poświadczenie 13,56 MHz z uwierzytelnianiem AES zbliża się do czytnika kart, zarówno karta, jak i czytnik kart muszą udowodnić sobie nawzajem swoją tożsamość, zanim nastąpi jakakolwiek wymiana danych. Karta udowadnia, że posiada właściwy klucz kryptograficzny, a czytnik kart robi to samo. Zapobiega to zarówno klonowaniu kart (fałszywa karta nie przejdzie uwierzytelnienia), jak i użyciu nieuczciwych czytników (fałszywy czytnik kart nie będzie w stanie wyodrębnić danych z karty).

Klucze pochodne dodają kolejną warstwę bezpieczeństwa. Zamiast używać tego samego klucza dla każdej karty, system generuje unikalny klucz dla każdej z nich na podstawie jej numeru seryjnego oraz klucza głównego. Jeśli klucz jednej karty zostanie w jakikolwiek sposób naruszony, nie można go użyć do ataku na żadną inną kartę w systemie.

Transaction MAC dostarcza kryptograficzny dowód na to, że konkretna transakcja miała miejsce między określoną kartą a określonym czytnikiem kart w danym czasie. Jest to szczególnie ważne w przypadku aplikacji obsługujących płatność bezgotówkową, gdzie mogą pojawić się spory transakcyjne.

Funkcja Secure Dynamic Messaging (SDM) w kartach poświadczenie 13,56 MHz z uwierzytelnianiem AES umożliwia bezpieczną wymianę danych ze smartfonami wyposażonymi w NFC bez konieczności instalowania dedykowanej aplikacji. Wspiera to przypadki użycia takie jak cyfrowa weryfikacja tożsamości, gdzie student zbliża swoją kartę do telefonu, aby udostępnić uwierzytelnione poświadczenie.

mobilne poświadczenia korporacyjne: Zastrzeżone nowoczesne bezpieczeństwo

Platforma mobilne poświadczenia korporacyjne firmy korporacyjna platforma kontroli dostępu implementuje szyfrowanie AES-128/256 w ramach zastrzeżonego środowiska. Architektura bezpieczeństwa jest solidna, wykorzystuje warstwowe szyfrowanie oraz model własnościowy model bezpiecznych obiektów. Poświadczenia mobilne poświadczenia korporacyjne są odporne na klonowanie i obsługują wzajemne uwierzytelnianie. Kompromisem jest jednak uzależnienie od jednego dostawcy (vendor lock-in) – bezpieczeństwo mobilne poświadczenia korporacyjne działa w zamkniętym ekosystemie firmy korporacyjna platforma kontroli dostępu.

Rzeczywiste ataki na karty kampusowe

Zrozumienie krajobrazu zagrożeń wymaga spojrzenia na rzeczywiste incydenty:

Ramy priorytetów migracji

Jeśli Państwa uniwersytet ocenia bezpieczeństwo kart, oto ramy priorytetów, którymi warto się kierować:

Krytyczne — Natychmiastowa migracja

Do monitorowania — Zaplanowanie migracji w ciągu 2-3 lat

Aktualne — Spełniające nowoczesne standardy bezpieczeństwa

Praktyczne rekomendacje dotyczące bezpieczeństwa

Poza wyborem chipa, bezpieczeństwo kart kampusowych wymaga zwrócenia uwagi na szerszy system:

W CampusRFID produkujemy karty kampusowe z wykorzystaniem najnowszych technologii chipowych — poświadczenie 13,56 MHz z uwierzytelnianiem AES, poświadczenie 13,56 MHz z uwierzytelnianiem AES, mobilne poświadczenia korporacyjne oraz kombinacji wielu technologii dla scenariuszy migracji. Każda wyprodukowana przez nas karta jest programowana z uwzględnieniem specyficznej konfiguracji kluczy i parametrów bezpieczeństwa Państwa instytucji.

*Martwią się Państwo o bezpieczeństwo swoich kart kampusowych? Zapraszamy do kontaktu z naszym zespołem w celu przeprowadzenia oceny bezpieczeństwa i konsultacji dotyczących planowania migracji.*