วิธีป้องกันการทุจริตจากตั๋ว RFID

ทีมส่วนใหญ่เริ่มกังวลเรื่องการฉ้อโกงตั๋ว RFID หลังจากเกิดเหตุการณ์น่าอับอายที่ประตูทางเข้า คอนเสิร์ตที่ขายบัตรหมดกลับพบรายการเข้าซ้ำซ้อน สนามกีฬาได้รับข้อร้องเรียนจากผู้ถือตั๋วที่ถูกต้องแต่กลับถูกใช้ไปแล้ว ผู้ให้บริการขนส่งสังเกตเห็นรูปแบบการเดินทางที่ผิดปกติและเริ่มได้ยินว่ามีบัตรโคลนแพร่ระบาดใกล้สถานีบางแห่ง ถึงจุดนั้นปัญหาดูเป็นเรื่องเทคนิค เร่งด่วน และมีค่าใช้จ่ายสูงในเวลาเดียวกัน

ความจริงที่โหดร้ายคือการฉ้อโกงตั๋ว RFID มักไม่ได้เริ่มจากตัวแท็กเอง แต่เริ่มจากจุดที่ระบบอ่อนแอ บางครั้งจุดอ่อนนั้นคือชิปราคาถูกที่ไม่มีความปลอดภัยจริง บางครั้งคือการควบคุมการเข้ารหัสที่หละหลวมที่โรงพิมพ์ บางครั้งคือการตั้งค่าเครื่องอ่านที่ยอมรับข้อมูลมากเกินกว่าที่ควร และบางครั้งก็เป็นปัญหากระบวนการทางธุรกิจที่ถูกแต่งตัวให้ดูเป็นปัญหาฮาร์ดแวร์

หากคุณต้องการป้องกันการฉ้อโกงตั๋ว RFID อย่างแท้จริง คำถามที่ถูกต้องไม่ใช่แค่จะทำตั๋วให้ฉลาดขึ้นได้อย่างไร แต่คำถามที่ถูกต้องคือจะสร้างระบบตั๋ว RFID ที่ปลอดภัยซึ่งการคัดลอก การขายต่อ การใช้ซ้ำ หรือการบิดเบือนตั๋วกลายเป็นเรื่องยากพอ เสี่ยงพอ และตรวจจับได้ง่ายพอ จนการฉ้อโกงไม่คุ้มค่าอีกต่อไปได้อย่างไร

นั่นคือจุดที่การออกแบบที่ดีมีความสำคัญ

การฉ้อโกงตั๋ว RFID มักมาจากไหน

เมื่อผู้ซื้อค้นหาตั๋ว RFID ป้องกันการปลอมแปลงหรือระบบตั๋วอีเวนต์ RFID ที่ปลอดภัย พวกเขามักจินตนาการถึงอาชญากรที่ใช้อุปกรณ์ขั้นสูงเจาะรหัสลับ สิ่งนั้นอาจเกิดขึ้นได้ แต่ในภาคสนาม การฉ้อโกงมักไม่หรูหราขนาดนั้น

ผู้จัดงานดนตรีรายหนึ่งในแมนเชสเตอร์พบว่าปัญหาเทศกาลสุดสัปดาห์ของตนแทบไม่เกี่ยวข้องกับการโจมตีที่ซับซ้อน ปัญหาเกิดจากไฟล์ตัวอย่างที่พนักงานส่งไปยังสำนักงานรับจ้างช่วงเร็วเกินไป หมายเลขตั๋วบางส่วนรั่วไหล สายรัดข้อมือเพิ่มเติมถูกเข้ารหัสนอกสถานที่ และการเข้าที่ปลอมก็ผ่านได้เพราะตรรกะที่ประตูตรวจเพียงช่วงหมายเลขซีเรียลที่ถูกต้อง ไม่ได้ตรวจสถานะสดในระบบหลังบ้าน ตัวสื่อ RFID ไม่ใช่ความล้มเหลวที่แท้จริง กระบวนการทำงานต่างหากที่เป็น

รีสอร์ตสกีแห่งหนึ่งในบริติชโคลัมเบียมีปัญหาอีกแบบหนึ่ง แขกซื้อตั๋วแบบวันเดียว ตั๋ว RFIDใช้ครั้งเดียว แล้วนำไปขายออนไลน์สำหรับการใช้งานช่วงบ่าย ระบบไม่สามารถหมดอายุบัตรได้อย่างน่าเชื่อถือหลังจากกฎการใช้งานรอบแรกเปลี่ยนไป ตั๋วที่ใช้ซ้ำจึงยังใช้งานได้ที่ลิฟต์ที่มีผู้ใช้เบาบาง การฉ้อโกงในกรณีนั้นไม่ใช่การโคลน แต่เป็นการควบคุมสิทธิ์การใช้งานที่ย่ำแย่

ที่สโมสรฟุตบอลแห่งหนึ่งในสเปน ตั๋วฤดูกาลซ้ำซ้อนปรากฏขึ้นหลังจากแฟนบอลโพสต์ภาพฉลองบนโซเชียลมีเดีย บาร์โค้ดบนใบแทรกที่พิมพ์ถูกซ่อนไว้ แต่รูปแบบ ID บนบัตรที่มองเห็นได้นั้นคาดเดาได้ง่าย ผู้ฉ้อโกงไม่จำเป็นต้องเจาะชิป RFID เลยในตอนแรก พวกเขาใช้ตรรกะการกำหนดหมายเลขที่เปิดเผยเพื่อโจมตีกระบวนการกู้คืนบัญชี และภายหลังเชื่อมโยงบัตรทดแทนกับข้อมูลรับรองที่ถูกคัดลอก อีกครั้งที่จุดอ่อนอยู่นอกชิป

ดังนั้นก่อนเลือกผลิตภัณฑ์ใดๆ ให้ทำแผนที่ประเภทการฉ้อโกงที่คุณต้องการหยุดจริงๆ ในโครงการส่วนใหญ่ พวกมันแบ่งได้เป็นห้ากลุ่ม ได้แก่ การทำซ้ำแบบง่าย การโคลน UID การเข้ารหัสซ้ำโดยไม่ได้รับอนุญาต การใช้ตั๋วซ้ำ และการรั่วไหลจากคนวงใน หากระบบของคุณไม่จัดการทั้งห้ากลุ่ม คุณอาจกำลังเปิดประตูทิ้งไว้ที่ใดที่หนึ่ง

อย่าสร้างความปลอดภัยบน UID ที่อ่านได้

หนึ่งในความผิดพลาดที่พบบ่อยที่สุดในระบบตั๋ว RFID คือการปฏิบัติต่อ UID ของชิปเสมือนเป็นตัวตนที่ปลอดภัย ซึ่งไม่ใช่ UID ช่วยเรื่องสินค้าคงคลัง การกำหนดซีเรียล และการเชื่อมโยงพื้นฐานได้ แต่ถ้าโมเดลการตรวจสอบทั้งหมดของคุณบอกว่า UID นี้มีอยู่ในฐานข้อมูลของฉัน ดังนั้นให้แขกเข้าได้ คุณกำลังใช้การออกแบบที่อ่อนแอ

โครงการตั๋ว RFID ราคาถูกจำนวนมากทำแบบนั้นเพราะทำให้การติดตั้งง่าย แท็กราคาถูก เครื่องอ่านเร็ว และทีมซอฟต์แวร์เปิดตัวได้อย่างรวดเร็ว ปัญหาเริ่มขึ้นเมื่อตัวระบุที่ถูกคัดลอกหรือจำลองปรากฏขึ้นในโลกจริง

ผู้ให้บริการเรือเฟอร์รีระดับภูมิภาคแห่งหนึ่งในเอเชียตะวันออกเฉียงใต้เรียนรู้บทเรียนนี้แบบเจ็บตัว องค์กรเปลี่ยนมาใช้บัตรตั๋วแบบไร้สัมผัสเพื่อเร่งการขึ้นเรือ แต่เลือกสื่อที่ประตูยอมรับเพียงตัวระบุธรรมดาบวกฟิลด์วันที่ ภายในไม่กี่เดือน นายหน้าบริเวณท่าเรือก็ขายบัตรที่เลียนแบบ ID ที่ใช้งานอยู่ ต่อมาองค์กรสร้างระบบใหม่ให้ความถูกต้องของตั๋วขึ้นอยู่กับสถานะโทเค็นฝั่งเซิร์ฟเวอร์และการตรวจสอบด้วยรหัสลับที่ผูกกับช่วงเวลาการเดินทางแต่ละเที่ยว การฉ้อโกงลดลงเพราะตัวระบุที่ถูกคัดลอกเพียงอย่างเดียวไม่เป็นประโยชน์อีกต่อไป

หากคุณกำลังซื้อตั๋ว RFID สำหรับอีเวนต์ ขนส่ง สวนสนุก หรือการเข้าสถานที่แบบปิด หลีกเลี่ยงการออกแบบที่พึ่งพาตัวระบุแบบคงที่เท่านั้น โครงสร้างที่ดีกว่าคือการใช้เซกเตอร์หน่วยความจำที่ปลอดภัย คีย์ที่หลากหลาย การอ่านและเขียนที่ผ่านการรับรองความถูกต้องเมื่อเหมาะสม และการตรวจสอบฝั่งหลังบ้านที่ผูกกับสิทธิ์แบบใช้ครั้งเดียวหรือใช้จำกัด ด้วยวิธีนั้น แม้มีคนเห็นตัวระบุ พวกเขาก็ยังสร้างสำเนาที่ใช้งานได้ไม่ได้

เลือกชิปตามความเสี่ยงการฉ้อโกง ไม่ใช่แค่ตามงบประมาณ

นี่คือจุดที่ทีมจัดซื้อมักถูกบีบ พวกเขาต้องการต้นทุนตั๋วที่ต่ำลง และซัพพลายเออร์ก็ตอบด้วยตัวเลือกไร้สัมผัสที่ถูกที่สุดซึ่งยังสแกนได้ แต่มีความแตกต่างอย่างมากระหว่างแท็กที่เพียงเปิดให้เข้าได้กับแท็กที่ต้านทานการปลอมแปลง การโคลน และการเข้ารหัสโดยไม่ได้รับอนุญาต

สำหรับกรณีใช้งานความเสี่ยงต่ำ อายุสั้น เช่นอีเวนต์ท้องถิ่นเล็กๆ ที่มูลค่าการขายต่อน้อย ตั๋วที่รองรับ HF หรือ NFC พื้นฐานอาจเพียงพอหากการควบคุมฝั่งหลังบ้านแข็งแกร่ง สำหรับโครงการความเสี่ยงสูง โดยเฉพาะเมื่อตั๋วโอนเปลี่ยนมือได้ มีมูลค่า หรือใช้ได้หลายวัน คุณต้องมีความปลอดภัยระดับชิปที่แข็งแกร่งกว่า

กลุ่มพิพิธภัณฑ์แห่งหนึ่งในอิตาลีเคยเปลี่ยนจากบัตรหน่วยความจำ ISO 14443 ธรรมดามาเป็นแพลตฟอร์มตั๋ว RFID ที่เข้ารหัสปลอดภัยกว่า หลังจากพบว่าเครือข่ายผู้ขายต่อกำลังรวมบัตรเข้าถึงระดับพรีเมียมที่ถูกคัดลอกกับทัวร์นำเที่ยวอย่างไม่เป็นทางการ บัตรที่ถูกคัดลอกใช้ไม่ได้อีกหลังการอัปเกรด เพราะระบบเปลี่ยนไปใช้ข้อมูลแอปพลิเคชันที่ได้รับการป้องกัน การทำให้คีย์หลากหลาย และการรับรองความถูกต้องแบบสองทางฝั่งเครื่องอ่าน ต้นทุนตั๋วเพิ่มขึ้นเล็กน้อย แต่การรั่วไหลของรายได้และข้อร้องเรียนจากแขกลดลงมากพอที่จะคุ้มค่าภายในฤดูกาลเดียว

นั่นคือข้อแลกเปลี่ยนที่ผู้ซื้อควรพิจารณาอย่างรอบคอบ ตั๋ว RFID ที่ถูกที่สุดมักเป็นตั๋วที่แพงที่สุดเมื่อนับรวมการฉ้อโกง การเรียกคืนเงิน ความแออัดที่ประตู และความเสียหายต่อแบรนด์

คำถามที่ควรถามก่อนเลือกสื่อตั๋ว RFID

สำหรับความปลอดภัยของตั๋วอีเวนต์ ให้ถามซัพพลายเออร์ด้วยคำถามเฉพาะเจาะจง ชิปรองรับการรับรองความถูกต้องหรือไม่ คีย์สามารถทำให้หลากหลายต่อ批次หรือต่ออีเวนต์ได้หรือไม่ เซกเตอร์สามารถล็อกถาวรหลังการเข้ารหัสได้หรือไม่ สื่อสามารถรองรับตัวนับธุรกรรมหรือโมเดลข้อมูลแบบไดนามิกได้หรือไม่ หากคำตอบคลุมเครือ ให้สันนิษฐานว่าความปลอดภัยอ่อนแอ

การเข้ารหัสที่ปลอดภัยสำคัญพอๆ กับชิปที่ปลอดภัย

ชิปที่ปลอดภัยยังคงถูกทำลายได้ด้วยการออกบัตรที่หละหลวม การเข้ารหัสคือช่วงเวลาที่ตั๋วเปล่ากลายเป็นข้อมูลรับรองที่น่าเชื่อถือ หากกระบวนการนั้นไม่ถูกควบคุม การฉ้อโกงสามารถเริ่มได้ก่อนที่แขกจะเห็นตั๋วด้วยซ้ำ

ผู้จัดงานประชุมแห่งหนึ่งในดูไบมีโครงการป้าย RFID ระดับพรีเมียมสำหรับโซนสร้างเครือข่าย VIP ในทางทฤษฎี การเลือกชิปนั้นมั่นคง แต่ในทางปฏิบัติ สถานีเข้ารหัสจำนวนมากถูกเปิดทิ้งไว้ระหว่างการติดตั้งบูธผู้แสดงสินค้า และพนักงานชั่วคราวคนหนึ่งคัดลอกเทมเพลตป้ายที่ยังไม่ใช้ลงใน USB ไดรฟ์ การรั่วไหลถูกค้นพบหลังจากผู้เยี่ยมชมที่ไม่ได้รับอนุญาตปรากฏตัวในเลานจ์ของผู้สนับสนุนเท่านั้น การแก้ไขไม่ใช่แท็กใหม่ แต่เป็นการล็อกโปรไฟล์การเข้ารหัส สิทธิ์ของผู้ปฏิบัติงาน บันทึกการตรวจสอบ และการอนุมัติแยกสำหรับข้อมูลรับรองระดับสิทธิ์สูง

การควบคุมการเข้ารหัสควรรวมถึงการเตรียมข้อมูลที่เข้ารหัส สิทธิ์ของเวิร์กสเตชันที่เข้มงวด การรับรองความถูกต้องของผู้ปฏิบัติงาน การกระทบยอด批次 และกฎการทำลายเฉพาะอีเวนต์สำหรับตั๋วที่เสียหายหรือสูญหาย ตั๋วที่เข้ารหัสทุกใบควรตรวจสอบย้อนกลับได้ถึงเวลา ผู้ปฏิบัติงาน เครื่องพิมพ์ และข้อมูลต้นทาง หากซัพพลายเออร์ช่วยคุณสร้างห่วงโซ่นั้นไม่ได้ คุณไม่ได้ซื้อการป้องกันการฉ้อโกง คุณซื้อแค่สื่อเท่านั้น

สำหรับการพิมพ์ตั๋วปริมาณมาก การแยกสิ่งที่พิมพ์ให้เห็นกับสิ่งที่ได้รับอนุญาตทางดิจิทัลก็มีประโยชน์ หมายเลขที่นั่งที่พิมพ์บนหน้าบัตรเป็นเรื่องปกติ แต่ความลับด้านความปลอดภัยที่ใช้ซ้ำได้ซึ่งเก็บในรูปแบบที่มนุษย์อ่านได้และมองเห็นได้นั้นไม่ใช่

ผูกตั๋วกับบริบท ไม่ใช่แค่กับชิป

ระบบตั๋ว RFID ที่แข็งแกร่งไม่ได้ปฏิบัติต่อแท็กเป็นความจริงทั้งหมด แต่ผูกแท็กกับบริบท บริบทนั้นอาจรวมถึงวันที่อีเวนต์ โซนประตู ช่วงเวลาที่ใช้ได้ จำนวนครั้งที่ใช้ บัญชีลูกค้า ลายนิ้วมืออุปกรณ์ หรือตรรกะลำดับการเข้า

เครือข่ายโรงภาพยนตร์แห่งหนึ่งในเม็กซิโกใช้แนวคิดนี้ได้ดีหลังจากเห็นผู้คนขายต่อบัตรรอบพรีวิวระดับพรีเมียม แทนที่จะตรวจสอบเพียงข้อมูลรับรอง RFID ระบบตรวจสอบสถานที่ จอ หน้าต่างรอบฉาย และสถานะการแลกรับแบบเรียลไทม์ บัตรที่ถูกโคลนซึ่งปรากฏที่โรงภาพยนตร์ผิดแห่งหรือนอกเวลาที่คาดไว้ถูกบล็อกทันที แขกจริงผ่านเข้าไปได้อย่างราบรื่นเพราะตรรกะยังคงมองไม่เห็นสำหรับพวกเขา

ยิ่งตั๋วมีมูลค่ามากเท่าไร คุณยิ่งควรกำหนดบริบทมากขึ้นเท่านั้น ป้ายงานแสดงสินค้าสามวันที่มีสิทธิ์เข้าห้องประชุมไม่ควรตรวจสอบแบบเดียวกับตั๋วขึ้นเรือเฟอร์รีหนึ่งชั่วโมง การป้องกันการฉ้อโกงจะแข็งแกร่งขึ้นเมื่อตั๋วเป็นเพียงส่วนหนึ่งของการตัดสินใจ

ในการขนส่ง การผูกบริบทอาจรวมถึงจุดเริ่มต้นการเดินทาง ลำดับการแตะ ตรรกะยอดคงเหลือ และการตรวจจับความเร็วที่ผิดปกติ ในอีเวนต์อาจรวมถึงกฎป้องกันการผ่านกลับ ข้อจำกัดโซน และหน้าต่างการโอนที่ล่าช้า ในสวนสนุกอาจรวมถึงการเปิดใช้งานเมื่อใช้ครั้งแรกบวกสิทธิ์ผู้ติดตามแบบจำกัด สิ่งเหล่านี้เป็นกฎการปฏิบัติงาน แต่มีความสำคัญพอๆ กับความปลอดภัยของชิป

ใช้การป้องกันการผ่านกลับและการตรวจสอบสถานะสด

การฉ้อโกงตั๋ว RFID จำนวนมากที่น่าประหลาดใจคือการใช้ซ้ำแบบง่ายๆ คนหนึ่งเข้าไป แล้วส่งตั๋วกลับผ่านรั้วหรือผ่านหน้าต่างห้องน้ำ และอีกคนลองใช้ข้อมูลรับรองเดิมอีกครั้ง นี่คือการฉ้อโกงแบบเก่า แต่ก็ยังได้ผลในสถานที่ที่มีตรรกะประตูอ่อนแอ

ที่สนามกีฬาแห่งหนึ่งในชิคาโก พนักงานสุดสัปดาห์รายงานการสแกนซ้ำที่ทางเข้าด้านข้างซ้ำแล้วซ้ำเล่า ผู้ให้บริการมีการตรวจสอบตั๋ว RFID แต่เครื่องอ่าน RFID รองบางเครื่องทำงานในโหมดสำรองที่ตรวจสอบสิทธิ์แคชในเครื่องโดยไม่มีการอัปเดตป้องกันการผ่านกลับทันที ประตูหลักปลอดภัย แต่ประตูด้านข้างไม่ปลอดภัย เมื่อการซิงค์สถานะสดเข้มงวดขึ้นและกฎการกลับเข้าใหม่ที่ล่าช้าถูกกำหนดมาตรฐานในทุกอุปกรณ์ รูปแบบนั้นก็แทบหายไป

สถานะเรียลไทม์มีความสำคัญ หากสถาปัตยกรรมของคุณอนุญาตให้ยอมรับแบบออฟไลน์นานเกินไป ตั๋ว RFID ที่ถูกคัดลอกหรือใช้ซ้ำอาจลอดผ่านเครื่องอ่านที่ตัดการเชื่อมต่อได้ คุณอาจยังต้องมีความยืดหยุ่นแบบออฟไลน์จำกัดสำหรับการปฏิบัติงาน แต่มันควรถูกกำหนดอย่างเข้มงวด เครื่องอ่านควรเก็บเฉพาะหน้าต่างการตัดสินใจแคบๆ บันทึกธุรกรรมทั้งหมด และตรวจสอบซ้ำทันทีที่การเชื่อมต่อกลับมา

การป้องกันการผ่านกลับควรสอดคล้องกับพฤติกรรมจริงด้วย หากแขกได้รับอนุญาตให้ออกและกลับเข้าใหม่ ให้กำหนดกฎตามประเภทตั๋ว อย่าคัดลอกโมเดลสนามกีฬาที่เข้มงวดไปใช้กับสวนสนุกสำหรับครอบครัวที่พ่อแม่พาเด็กออกไปเป็นประจำ การควบคุมการฉ้อโกงที่ดีนั้นเฉพาะเจาะจง ไม่ใช่แบบเหมารวม

เพิ่มมาตรการกีดกันทางสายตาและทางกายภาพด้วย

ไม่ใช่ทุกความพยายามฉ้อโกงที่ต้องใช้คำตอบด้วยรหัสลับ บางครั้งอุปสรรคที่มองเห็นได้ก็เพียงพอที่จะทำให้การโคลนหรือการขายต่อไม่น่าสนใจ

สวนน้ำแห่งหนึ่งในฟลอริดาลดความสูญเสียได้ด้วยการจับคู่ สายรัดข้อมือ RFID กับการออกแบบตัวล็อกที่แสดงร่องรอยการงัดแงะและเครื่องหมายทางสายตารายวันที่เปลี่ยนสี สายรัดข้อมือมีชิปที่ถือสิทธิ์ดิจิทัล แต่สายรัดทางกายภาพทำให้การโอนเปลี่ยนมือยากขึ้น พนักงานสามารถเห็นการสลับที่ชัดเจนได้ในพริบตา และวงการฉ้อโกงก็หยุดมุ่งเป้าสถานที่นั้นเพราะมูลค่าการขายต่อลดลง

สิ่งนี้สำคัญเพราะการฉ้อโกงตั๋วเป็นเกมทางเศรษฐกิจ หากคุณเพิ่มความพยายามที่ต้องใช้ในการปลอม ใช้ซ้ำ หรือโอนตั๋ว ผู้กระทำผิดจำนวนมากก็จะย้ายไปที่อื่น นั่นคือเหตุผลที่การออกแบบทางกายภาพยังคงอยู่ในวงสนทนา โครงสร้างสายรัดข้อมือที่ปลอดภัย ฉลากแบบฉีกขาด อากาศสำหรับตั๋วกระดาษใช้ครั้งเดียวที่ทำลายได้ หรือคุณสมบัติการพิมพ์แบบหลายชั้นสามารถเสริมการป้องกันทางดิจิทัลได้เป็นอย่างดี

แหล่งมรดกทางวัฒนธรรมแห่งหนึ่งในตุรกีทำเช่นนี้กับตั๋วกระดาษ RFID สำหรับการเข้าหอคอยแบบมีไกด์ ตั๋วฝังชั้นวัสดุที่เปราะบางซึ่งเสียหายอย่างเห็นได้ชัดเมื่อลอกออก และข้อมูลรับรองชิปหมดอายุหลังเวลาที่กำหนดไว้สำหรับการเข้า ผู้คนหยุดพยายามแบ่งปันตั๋วระหว่างกลุ่มทัวร์เพราะการรวมกันของความเสียหายทางกายภาพและการจับเวลาทางดิจิทัลทำให้ไม่มีประโยชน์

จับตาดูผู้จัดจำหน่าย ผู้ขายต่อ และคนวงใน

ผู้โจมตีภายนอกได้รับความสนใจ แต่การรั่วไหลจากคนวงในมักสร้างความเสียหายมากกว่า หากตั๋วสามารถออก อัปเกรด หรือพิมพ์ซ้ำได้โดยไม่มีการควบคุมที่เข้มงวด การฉ้อโกงอาจมาจากคนที่อยู่ภายในระบบอยู่แล้ว

เครือข่ายรถเมล์ระดับภูมิภาคแห่งหนึ่งในยุโรปตะวันออกพบว่าบัตรส่วนลดนักเรียนที่น่าสงสัยไม่ใช่ของปลอมในความหมายปกติ พวกมันถูกออกผ่านเครื่องปลายทางที่ถูกต้องโดยใช้ข้อมูลรับรองของผู้ปฏิบัติงานที่ถูกขโมย การแก้ไขเกี่ยวข้องกับการรับรองความถูกต้องของพนักงานที่แข็งแกร่งขึ้น การกำหนดขอบเขตทางภูมิศาสตร์ของเครื่องปลายทาง การแจ้งเตือนการออกที่ผิดปกติ และการกระทบยอดรายวันตามเส้นทางและอู่ ในคำอื่นๆ การป้องกันการฉ้อโกงเปลี่ยนจากแค่สื่อตั๋วมาเป็นการกำกับดูแลระบบ

นั่นคือบทเรียนที่ผู้ให้บริการหลายรายมองข้าม การออกแบบระบบตั๋ว RFID ที่ปลอดภัยต้องรวมถึงการควบคุมพันธมิตร หากคุณขายผ่านตัวแทน ตู้บริการ โรงแรม เคาน์เตอร์ทัวร์ หรือเคาน์เตอร์แฟรนไชส์ จุดออกตั๋วแต่ละแห่งกลายเป็นส่วนหนึ่งของพื้นผิวภัยคุกคามของคุณ จำกัดสิ่งที่แต่ละแห่งสามารถเข้ารหัสได้ แยกการสร้างออกจากการเปิดใช้งานเมื่อเป็นไปได้ เฝ้าระวังความผิดปกติ และเพิกถอนอย่างรวดเร็ว

เครือข่ายโรงละครแห่งหนึ่งในซิดนีย์จัดการเรื่องนี้ได้ดีเมื่อนำระบบกลุ่มสิทธิ์เฉพาะสำหรับผู้ขายต่อมาใช้ พันธมิตรแต่ละรายสามารถจัดสรรที่นั่งได้จากสินค้าคงคลังที่กำหนดให้เท่านั้น และการเปิดใช้งานตั๋ว RFID ทุกใบลงนามเทียบกับแหล่งนั้น เมื่อผู้ขายต่อรายหนึ่งแสดงความเข้มข้นผิดปกติของการเข้าพรีเมียมช่วงนาทีสุดท้าย ผู้ให้บริการก็จับการละเมิดได้ภายในหนึ่งวันแทนที่จะเป็นหลังจบฤดูกาล

เฝ้าระวังรูปแบบ ไม่ใช่แค่การสแกนที่ล้มเหลว

ทีมจำนวนมากดูเฉพาะเหตุการณ์ที่ถูกปฏิเสธ ซึ่งสายเกินไปและแคบเกินไป การป้องกันการฉ้อโกงที่ดียังศึกษารูปแบบการยอมรับที่น่าสงสัยด้วย

หากตั๋วประเภทเดียวกันเข้าจากหลายประตูอย่างรวดเร็วผิดปกติ ให้ตรวจสอบ หากสายการเข้ารหัสหนึ่งมีคำขอออกบัตรทดแทนมากกว่าสายอื่น ให้ตรวจสอบ หากผู้ขายต่อสร้างการยกเลิกมากเกินไปก่อนการแข่งขันสำคัญ ให้ตรวจสอบ การฉ้อโกงไม่ได้ประกาศตัวเองผ่านความล้มเหลวที่ชัดเจนเสมอไป บางครั้งมันปรากฏเป็นความสำเร็จที่แปลกประหลาด

โครงการรถไฟชานเมืองแห่งหนึ่งในอเมริกาใต้ได้ผลลัพธ์ที่ดีขึ้นหลังจากเริ่มให้คะแนนความผิดปกติแทนที่จะรอข้อร้องเรียน บัตรที่แตะเข้าห่างไกลจากเวลาตามเส้นทางปกติ กลุ่มของการเปลี่ยนแปลงสิทธิ์ที่เหมือนกัน และการรีเซ็ตข้อมูลรับรองซ้ำๆ รอบเวลาเปิดสถานี ล้วนช่วยให้นักสืบสวนระบุช่องทางการรั่วไหลได้ ตัวสื่อเองไม่เปลี่ยน แต่การมองเห็นเปลี่ยน

สำหรับผู้ซื้อที่ประเมินการป้องกันการฉ้อโกงตั๋ว RFID นี่เป็นคำถามที่ควรถามตั้งแต่เนิ่นๆ เราจะมีบันทึกอะไร ใครตรวจสอบ และเราลงมือได้เร็วแค่ไหน ชิปที่ปลอดภัยโดยไม่มีการเฝ้าระวังดีกว่าชิปที่อ่อนแอ แต่ยังไม่เพียงพอสำหรับการดำเนินงานที่มีความเสี่ยงสูง

รักษาประสบการณ์ลูกค้าให้ราบรื่น

เหตุผลหนึ่งที่ระบบอ่อนแออยู่รอดได้นานคือผู้ให้บริการกลัวว่าความปลอดภัยเพิ่มเติมจะทำให้การเข้าช้าลง ความกลัวนั้นเข้าใจได้ แต่บ่อยครั้งมันอิงจากการนำไปใช้ที่ไม่ดีมากกว่าแนวคิดเรื่องความปลอดภัยเอง

ผู้จัดงานมาราธอนแห่งหนึ่งในอัมสเตอร์ดัมเคยต่อต้านการตรวจตั๋วที่เข้มงวดขึ้นเพราะกังวลเรื่องความแออัดที่จุดฝากกระเป๋าและความหงุดหงิดของผู้เข้าร่วม หลังการออกแบบใหม่ นักวิ่งได้รับข้อมูลรับรอง RFID ที่ผูกไว้ล่วงหน้ากับสถานะการลงทะเบียน จุดรับของ และหน้าต่างการเปิดใช้งาน ขั้นตอนเช็คอินกลับราบรื่นขึ้นเพราะกรณีพิเศษถูกจัดการล่วงหน้า ไม่ใช่ที่ประตู การป้องกันการฉ้อโกงและความเร็วในการปฏิบัติงานดีขึ้นพร้อมกัน

นั่นคือเป้าหมาย ความปลอดภัยควรขจัดความฝืดที่เกิดจากข้อยกเว้นที่ไม่ดี ไม่ใช่เพิ่มความฝืดใหม่ให้ทุกคน หากทีมของคุณต้องทำการแทนที่ด้วยมือ การสแกนภาพหน้าจอ การยอมรับรายการซ้ำที่อธิบายไม่ได้ หรือการออกข้อมูลรับรองใหม่ภายใต้ความกดดันอยู่ตลอด ระบบก็ช้าอยู่แล้ว เพียงแต่ซ่อนความช้าไว้ในภาระงานของพนักงานและข้อร้องเรียนของลูกค้าแทนที่จะเป็นเวลาตอบสนองของเครื่องอ่าน

ทดสอบเหมือนเป็นผู้ฉ้อโกงก่อนเปิดตัว

โครงการตั๋ว RFID จำนวนมากถูกทดสอบเฉพาะประสิทธิภาพในเส้นทางปกติ ตั๋วสแกนได้ ประตูเปิด รายงานพิมพ์ ทุกคนเซ็นอนุมัติ แค่นั้นไม่พอ

ก่อนเปิดใช้งานจริง ให้ทดสอบข้อมูลรับรองที่ถูกคัดลอก การแตะซ้ำ เครื่องอ่านออฟไลน์ การซิงค์ที่ล่าช้า การกู้คืนตั๋วที่เสียหาย การหมุนเวียนคีย์ การใช้ผิดโดยผู้ขายต่อ ขั้นตอนการออกบัตรทดแทน และกรณีขอบของหน้าต่างเวลา ดูว่าเกิดอะไรขึ้นหาก批次หนึ่งหายไป ดูว่าเกิดอะไรขึ้นหากประตูหนึ่งเก็บสิทธิ์ที่ล้าสมัยไว้สิบห้านาที ดูว่าพนักงานสามารถสร้างข้อมูลรับรองที่ถูกต้องซ้ำโดยไม่ตั้งใจได้หรือไม่ สถานการณ์เหล่านี้เผยช่องโหว่ที่การฉ้อโกงจริงจะพบก่อน

สนามแข่งรถแห่งหนึ่งในอ่าวเปอร์เซียหลีกเลี่ยงปัญหาการเปิดตัวครั้งใหญ่ได้ด้วยวิธีนี้ ระหว่างการทดสอบก่อนอีเวนต์ ทีมค้นพบว่าบัตร RFID สำหรับพื้นที่ต้อนรับที่ออกใหม่สำหรับบัตรที่เสียหายไม่ได้ทำให้บัตรเดิมใช้ไม่ได้ในเครื่องอ่านมือถือทุกเครื่องเสมอไป บั๊กนั้นจะทำให้เกิดการเข้าซ้ำอย่างเงียบๆ สู่ห้องสวีทมูลค่าสูง มันถูกแก้ไขก่อนแขกคนแรกมาถึงเพราะผู้ให้บริการทดสอบเส้นทางการละเมิด ไม่ใช่แค่เส้นทางปกติ

บทสรุป

หากคุณตัดคำศัพท์ฮิตออกไป การป้องกันการฉ้อโกงตั๋ว RFID 归结เป็นหลักการง่ายๆ คือ อย่าเชื่อชั้นเดียวเมื่อตั๋วมีมูลค่าจริง อย่าเชื่อ UID เพียงอย่างเดียว อย่าเชื่อชิปเพียงอย่างเดียว อย่าเชื่อโรงพิมพ์เพียงอย่างเดียว อย่าเชื่อประตูเพียงอย่างเดียว สร้างชั้นที่สนับสนุนซึ่งกันและกัน

ใช้เทคโนโลยีตั๋ว RFID ที่เหมาะสมกับระดับความเสี่ยง ปกป้องการเข้ารหัส ล็อกคีย์และสิทธิ์ ผูกข้อมูลรับรองกับเวลา สถานที่ และสิทธิ์การใช้งาน เฝ้าระวังความผิดปกติ เพิ่มมาตรการกีดกันทางกายภาพเมื่อมีประโยชน์ ควบคุมคนวงในและพันธมิตร ทดสอบสถานการณ์ที่เลวร้ายก่อนที่สาธารณชนจะทดสอบให้คุณ

นั่นคือสิ่งที่แยกตั๋วที่บังเอิญเป็นแบบไร้สัมผัสออกจากระบบตั๋ว RFID ที่ปลอดภัยอย่างแท้จริง

และจากมุมมองของผู้ซื้อ นั่นคือความแตกต่างที่สำคัญที่สุด สตลาดเต็มไปด้วยซัพพลายเออร์ที่ขายสื่อ RFID ให้คุณได้ แต่มีน้อยกว่ามากที่ช่วยคุณออกแบบระบบที่ทำให้การฉ้อโกงยากขึ้น หายากขึ้น และตรวจสอบย้อนกลับได้ง่ายขึ้นจริงๆ หากการป้องกันการฉ้อโกงเป็นหนึ่งในเป้าหมายการซื้อของคุณ ให้ซื้อตรรกะทั้งหมด ไม่ใช่แค่ชิป

ตั๋วควรทำมากกว่าแค่เปิดประตู มันควรปกป้องรายได้ ปกป้องสถานที่ และให้ความมั่นใจแก่ผู้ให้บริการมากพอว่าหากเกิดสิ่งผิดปกติ พวกเขาจะเห็นได้อย่างรวดเร็วและหยุดมันก่อนที่มันจะลุกลาม