บัตรเข้าออก RFID ปลอดภัยเพียงใด

หากคุณถามว่าบัตรเข้าถึง RFID ปลอดภัยหรือไม่ คำตอบที่ตรงไปตรงมาคือบางรุ่นแข็งแกร่งอย่างน่าประหลาดใจ บางรุ่นอ่อนแออย่างน่าตกใจ และปัจจัยส่วนใหญ่ขึ้นอยู่กับตัวเลือกที่ไม่มีส่วนเกี่ยวข้องกับตัวบัตรเลย ผู้คนมักพูดถึง บัตร RFID ราวกับว่าเป็นเทคโนโลยีเดียวที่มีระดับความปลอดภัยเดียว ซึ่งไม่ใช่เลย บัตร ระยะใกล้ 125 kHz ราคาถูกที่ใช้ในอาคารสำนักงานเก่าเป็นสิ่งที่แตกต่างอย่างมากจากสมาร์ทการ์ด 13.56 MHz แบบเข้ารหัสที่ใช้กับเครื่องอ่านสมัยใหม่ การจัดการคีย์ และการสื่อสารที่ปลอดภัยไปยังแผงควบคุมการเข้าถึง

ความแตกต่างนี้สำคัญเพราะผู้ซื้อมักค้นหาคำเช่น ความปลอดภัยของบัตรเข้าถึง RFID, บัตรเข้าถึง RFID ที่ปลอดภัย, การป้องกันการโคลนบัตร RFID และบัตร RFID ที่ดีที่สุดสำหรับการควบคุมการเข้าถึง โดยหวังว่าจะมีคำตอบง่ายๆ จากตัวสินค้า ซึ่งมักจะไม่มี คำถามที่แท้จริงใกล้เคียงกับสิ่งนี้มากกว่า: ระบบข้อมูลรับรองทั้งหมดที่คุณกำลังติดตั้งนั้นปลอดภัยแค่ไหน และคุณจะมีวินัยในการดูแลระบบหลังการติดตั้งมากเพียงใด

ทำไมความปลอดภัยของบัตรเข้าถึง RFID จึงแตกต่างกันมาก

ด้านที่อ่อนแอของตลาดอธิบายได้ง่าย บัตรเข้าถึง RFID แบบเดิมหลายรุ่นทำหน้าที่เพียงส่งข้อมูลระบุตัวตนแบบคงที่ออกไป หากใครสามารถอ่านข้อมูลระบุตัวตนนั้นได้ พวกเขามักจะคัดลอกไปยังบัตรอื่นหรือโปรแกรมจำลองได้ ในทางปฏิบัติ หมายความว่าป้ายชื่อสามารถถูกทำสำเนาได้ภายในไม่กี่นาที หากระบบพึ่งพาหมายเลขบัตรแบบคงที่ที่ไม่เข้ารหัส อาคารจำนวนมากยังคงใช้รูปแบบนี้เพราะราคาถูก คุ้นเคย และติดตั้งไว้แล้ว ปัญหาคือความสะดวกจากเมื่อสิบปีก่อนดูเหมือนช่องโหว่ในปัจจุบันอย่างมาก

ผู้จัดการอาคารในสำนักงานชานเมืองแห่งหนึ่งได้เรียนรู้เรื่องนี้ด้วยวิธีที่เจ็บปวด ผู้เช่าเคยร้องเรียนเกี่ยวกับการเข้าออกนอกเวลาทำการที่น่าสงสัย แต่ไม่มีสัญญาณชัดเจนของการเข้าถึงโดยการบังคับ สิ่งที่ปรากฏขึ้นในที่สุดไม่ใช่การงัดแงะหรือการสมรู้ร่วมคิดจากภายในในแง่ที่ดราม่า แต่เป็นผู้รับเหมาที่คัดลอกบัตรความถี่ต่ำหลายใบหลังจากได้เข้าถึงบัตรเหล่านั้นช่วงสั้นๆ ระหว่างการเข้าตรวจสอบตามรอบ บัตรเหล่านี้เป็นป้าย ระยะใกล้ แบบเก่าที่มี ID คงที่ และระบบเชื่อถือหมายเลขใดก็ตามที่เครื่องอ่านเห็น จากมุมมองของผู้จัดการ บัตรเหล่านี้ทำงานได้ดีมาหลายปี จากมุมมองของผู้โจมตี มันเกือบจะเหมือนคำเชิญ

ข้อมูลระบุตัวตนแบบคงที่สร้างความเสี่ยงการโคลนจริง

นี่คือเหตุผลที่บัตร ระยะใกล้ ความถี่ต่ำ โดยเฉพาะรูปแบบ 125 kHz ที่เก่ากว่า มักถูกมองว่าเป็นจุดอ่อนของความปลอดภัยป้าย RFID บัตรเหล่านี้ยังพบได้ทั่วไปในอาคารสำนักงาน อพาร์ตเมนต์ ฟิตเนส และระบบเข้าถึงที่จอดรถ แต่ไม่เหมาะในสถานที่ที่การต้านทานการโคลนเป็นสิ่งสำคัญ หากระบบปัจจุบันของคุณพึ่งพาแค่หมายเลขบัตร คุณควรถือว่าข้อมูลรับรองนั้นสามารถถูกคัดลอกได้จนกว่าจะพิสูจน์เป็นอย่างอื่น

สมาร์ทการ์ดแบบเข้ารหัสเปลี่ยนรูปแบบความปลอดภัย

อย่างไรก็ตาม นั่นไม่ได้หมายความว่าบัตร RFID ทุกใบถูกเจาะได้ง่าย สมาร์ทการ์ดความถี่สูงที่ 13.56 MHz สามารถรองรับการป้องกันด้วยการเข้ารหัสจริงได้ เมื่อผู้ซื้อศึกษาบัตร RFID แบบเข้ารหัส, MIFARE DESFire EV2, DESFire EV3, iCLASS SEOS หรือเทคโนโลยีข้อมูลรับรองที่ปลอดภัยอื่นๆ พวกเขากำลังเข้าสู่ระดับความปลอดภัยที่แตกต่างไปโดยสิ้นเชิง บัตรเหล่านี้สามารถรองรับการพิสูจน์ตัวตนแบบสองทาง คีย์ที่หลากหลาย หน่วยความจำที่ได้รับการป้องกัน และการแลกเปลี่ยนข้อมูลแบบเข้ารหัส นั่นไม่ใช่คำโฆษณา มันเปลี่ยนพื้นผิวการโจมตีอย่างมีความหมาย

คลินิกเอกชนแห่งหนึ่งที่อัปเกรดหลังการตรวจสอบด้านการปฏิบัติตามข้อกำหนดเห็นความแตกต่างนี้ทันที ความกังวลเดิมของพวกเขาคือความเป็นส่วนตัวของผู้ป่วย แต่จุดอ่อนกลับกลายเป็นการเข้าถึงทางกายภาพ บัตรพนักงานเก่าของพวกเขาถูกทำสำเนาได้ง่าย และป้ายที่ถูกคัดลอกเพียงใบเดียวสามารถเปิดห้องเวชระเบียน ห้องเก็บยา และทางเข้าสำหรับพนักงานเท่านั้น พวกเขาย้ายไปใช้สมาร์ทการ์ดแบบเข้ารหัส เปลี่ยน เครื่องอ่าน RFIDหมุนเวียนคีย์ผ่านกระบวนการจัดการข้อมูลรับรองที่ควบคุมได้ และเพิ่มการแจ้งเตือนการงัดแงะเครื่องอ่าน ผลลัพธ์ไม่ใช่แค่บัตรที่แข็งแกร่งขึ้น แต่เป็นระบบควบคุมการเข้าถึงที่แข็งแกร่งขึ้น ความปลอดภัยที่ได้มาจากทั้งระบบ ไม่ใช่ชิ้นส่วนพลาสติกชิ้นเดียว

ประเด็นเรื่องทั้งระบบนี้คือจุดที่หลายโครงการออกนอกลู่นอกทาง ผู้คนถามว่าบัตรเข้าถึง RFID ปลอดภัยหรือไม่ แต่ลืมถามว่าการสื่อสารจากเครื่องอ่านไปยังตัวควบคุมปลอดภัยหรือไม่ คีย์ถูกจัดการอย่างถูกต้องหรือไม่ บัตรถูกเพิกถอนอย่างรวดเร็วหรือไม่ กฎ anti-passback เปิดใช้งานในจุดที่ควรใช้หรือไม่ และมีการเฝ้าระวังการตามเข้าหรือไม่ บัตรสมัยใหม่อาจแข็งแกร่งทางวิทยาการเข้ารหัสแต่ยังคงอยู่ในระบบที่อ่อนแอได้

คลังสินค้าโลจิสติกส์แห่งหนึ่งเจอช่องว่างนี้พอดี ฝ่ายบริหารได้ลงทุนในสิ่งที่เชื่อว่าเป็นป้าย RFID ที่ปลอดภัย แต่ผู้ติดตั้งปล่อยข้อมูลรับรองเริ่มต้นไว้บนส่วนต่างๆ ของซอฟต์แวร์จัดการการเข้าถึง และใช้เครือข่ายแบบแบนที่แบ่งส่วนไม่ดีสำหรับเครื่องอ่านและตัวควบคุม ตัวบัตรเองไม่ใช่สิ่งที่โคลนได้ง่ายที่สุด แต่ระบบยังคงเปิดเผยเพราะโครงสร้างพื้นฐานรอบๆ ถูกดูแลอย่างไม่ระมัดระวัง ผู้โจมตีไม่จำเป็นต้องเอาชนะบัตร พวกเขาแค่ต้องการเส้นทางที่ง่ายกว่า นี่คือบทเรียนทั่วไปในความปลอดภัยของการควบคุมการเข้าถึง: ผู้โจมตีมักไม่เลือกเส้นทางที่หรูหราที่สุด พวกเขาเลือกเส้นทางที่ถูกที่สุด

ความถี่สมัยใหม่ไม่ได้หมายถึงความปลอดภัยสมัยใหม่เสมอไป

ยังมีโซนกลางที่ทำให้ผู้ซื้อหลายคนสับสน เทคโนโลยีบัตรบางอย่างดูทันสมัยเพราะเป็นแบบไม่สัมผัสและทำงานที่ 13.56 MHz แต่นั่นเพียงอย่างเดียวไม่ได้รับประกันความปลอดภัยสูง รูปแบบสมาร์ทการ์ดแบบเดิมบางชนิดได้รับความนิยมเพราะราคาไม่แพงและยืดหยุ่น แต่บางชนิดมีจุดอ่อนที่ทราบกันดีหรือถูกนำไปใช้งานในลักษณะที่ไม่ปลอดภัยตลอดหลายปีที่ผ่านมา ในการเจรจาจัดซื้อ นี่คือจุดที่ผู้คนสะดุดกับคำกล่าวอ้างคลุมเครือเช่น ชิปที่ปลอดภัย หรือข้อมูลรับรอง RFID อัจฉริยะ คำเหล่านั้นไม่เพียงพอ คุณต้องรู้ตระกูลข้อมูลรับรอง แนวทางการเข้ารหัส วิธีการออกคีย์ ว่าเชื่อถือ UID เพียงอย่างเดียวหรือไม่ และระบบรองรับการสื่อสารเครื่องอ่านที่ปลอดภัยเช่น OSDP Secure Channel ในจุดที่เกี่ยวข้องหรือไม่

ผู้ดำเนินการพื้นที่ทำงานร่วมแห่งหนึ่งเคยให้ความสำคัญเกือบทั้งหมดกับดีไซน์การพิมพ์บัตร รูปลักษณ์แบรนด์ และการลงทะเบียนผู้เยี่ยมชมที่รวดเร็ว ป้ายดูเนี้ยบ แอปมือถือสะอาดตา และกระบวนการที่เคาน์เตอร์ต้อนรับดูทันสมัย แต่เบื้องหลัง บัตรที่หายไม่ได้ถูกปิดใช้งานอย่างทันท่วงที บัตรชั่วคราวไม่มีนโยบายหมดอายุที่มีความหมาย และประตูหลายบานยอมรับทั้งรูปแบบข้อมูลรับรองเก่าและใหม่ในช่วงเปลี่ยนผ่าน อดีตสมาชิกใช้ป้ายเก่าหลายเดือนหลังจากที่การเข้าถึงควรจะสิ้นสุดลงแล้ว ไม่จำเป็นต้องมีการโจมตีทางวิทยาการเข้ารหัส ปัญหาคือการเลื่อนไหลของนโยบาย สิ่งนี้ควรค่าแก่การจดจำเพราะการละเมิดในโลกจริงหลายครั้งเกิดขึ้นจากการจัดการวงจรชีวิตที่ละเลยมากกว่าการแฮกบัตรแบบดราม่า

อะไรทำให้ระบบบัตรเข้าถึง RFID ปลอดภัย?

แล้วอะไรทำให้ระบบบัตรเข้าถึง RFID ปลอดภัยในทางปฏิบัติ? หนึ่ง ข้อมูลรับรองไม่ควรพึ่งพาตัวระบุแบบคงที่ง่ายๆ สอง บัตรและเครื่องอ่านควรพิสูจน์ตัวตนซึ่งกันและกันโดยใช้การเข้ารหัสที่แข็งแกร่ง สาม ระบบแบ็กเอนด์ควรปกป้องวัสดุคีย์และรองรับการลงทะเบียนที่ปลอดภัย สี่ เส้นทางการสื่อสารจากเครื่องอ่านไปยังตัวควบคุมไม่ควรถูกปล่อยให้เปิดเผย ห้า บัตรที่หายหรือถูกขโมยต้องถูกเพิกถอนทันที หก สถานที่ควรจัดการจุดอ่อนที่ไม่เกี่ยวกับบัตร เช่น ประตูที่ถูกกั้นให้เปิด บัตรที่แชร์กัน และการตามเข้า หากไม่มีมาตรการควบคุมเหล่านี้ แม้แต่โครงการข้อมูลรับรองระดับพรีเมียมก็ยังทำงานได้ต่ำกว่ามาตรฐาน

ห้องปฏิบัติการอิเล็กทรอนิกส์ขนาดเล็กแห่งหนึ่งพบปัญหานี้ในรูปแบบที่ไม่สบายใจ เมื่อพยายามกระชับการเข้าพื้นที่ต้นแบบ บริษัทเปลี่ยนไปใช้สมาร์ทการ์ดระดับสูงขึ้น แต่เพื่อให้การดำเนินงานง่ายขึ้น ผู้รวมระบบนำคีย์หลักชุดเดียวกันไปใช้ซ้ำในชุดบัตรและกลุ่มเครื่องอ่านมากเกินไป ในทางทฤษฎี สถานที่แห่งนี้ได้นำบัตรเข้าถึง RFID ที่ปลอดภัยมาใช้ แต่ในความเป็นจริง วินัยในการจัดการคีย์หลวมเกินไป เมื่อทีมความปลอดภัยตระหนักถึงปัญหา พวกเขาออกแบบลำดับชั้นข้อมูลรับรองใหม่ กระจายคีย์ตามแอปพลิเคชัน แยกโซนความเสี่ยงสูงออกจากการเข้าถึงสำนักงานทั่วไป และกระชับอำนาจการออกบัตร บัตรไม่ได้ทำให้พวกเขาผิดหวัง แต่ทางลัดในการดำเนินงานต่างหาก

วิธีที่มีประโยชน์วิธีหนึ่งในการคิดเกี่ยวกับความปลอดภัยของบัตร RFID คือเปรียบเทียบกับรหัสผ่าน รหัสผ่านที่อ่อนแอและใช้ซ้ำได้ไม่เหมือนกับรหัสผ่านที่ยาว ไม่ซ้ำใคร และมี multi-factor authentication อยู่เบื้องหลัง ตรรกะเดียวกันใช้ได้ที่นี่ ID บัตรพื้นฐานใกล้เคียงกับรหัสผ่านที่อ่อนแอ ข้อมูลรับรองอัจฉริยะแบบเข้ารหัสที่หนุนด้วยการออกบัตรที่ปลอดภัยและการควบคุมระบบใกล้เคียงกับโครงสร้างข้อมูลระบุตัวตนสมัยใหม่ ยังไม่สมบูรณ์แบบ แต่ยากต่อการถูกนำไปใช้ในทางที่ผิดมากกว่ามาก

ความเสี่ยงการโคลนขึ้นอยู่กับประเภทของข้อมูลรับรอง

นั่นนำเราไปสู่หัวข้อการโคลน เพราะผู้ซื้อค้นหาคำนี้ตลอดเวลา การโคลนบัตร RFID เป็นเรื่องจริง แต่ไม่ได้เป็นไปได้เท่ากันในทุกเทคโนโลยี การโคลนป้ายความถี่ต่ำพื้นฐานอาจเป็นเรื่องง่ายด้วยเครื่องมือราคาถูก การคัดลอกข้อมูลรับรองแบบเข้ารหัสที่นำไปใช้อย่างดีเป็นอีกเรื่องหนึ่งโดยสิ้นเชิง การสนทนาไม่ควรถูกตั้งกรอบว่า RFID ถูกแฮกได้หรือไม่ในเชิงนามธรรม ทุกสิ่งสามารถถูกโจมตีได้ภายใต้เงื่อนไขที่เหมาะสม คำถามที่มีประโยชน์กว่าคือระบบที่คุณเลือกทำให้การทำสำเนาโดยไม่ได้รับอนุญาตเป็นเรื่องปฏิบัติได้สำหรับผู้โจมตีทั่วไป ผู้โจมตีเฉพาะทาง หรือแทบไม่มีใครเลยนอกจากในห้องแล็บหรือสภาพแวดล้อมที่มีคนวงใน

แผนกที่พักนักศึกษาของมหาวิทยาลัยแห่งหนึ่งเผชิญความแตกต่างนี้หลังจากนักศึกษาเริ่มแชร์เรื่องราวทางออนไลน์เกี่ยวกับบัตรหอพักที่ถูกคัดลอก ระบบเก่าของพวกเขาพึ่งพาหมายเลขป้ายที่คาดเดาได้และมาตรการตรวจสอบการดำเนินงานที่อ่อนแออย่างมาก เมื่อมหาวิทยาลัยออกแบบโครงการใหม่ พวกเขาทำมากกว่าแค่เปลี่ยนสต็อกบัตร พวกเขาออกข้อมูลรับรองแบบเข้ารหัส แยกการเข้าถึงที่พักอาศัยออกจากสิทธิ์ในอาคารวิชาการ นำช่วงเวลาที่มีผลสั้นลงสำหรับป้ายชั่วคราวมาใช้ และเชื่อมโยงเหตุการณ์ประตูกับการแจ้งเตือนเชิงพฤติกรรม ข้อร้องเรียนเกี่ยวกับบัตรที่ถูกคัดลอกลดลง แต่ที่สำคัญพอๆ กันคือคุณภาพการสอบสวนดีขึ้นเพราะบันทึกมีความน่าเชื่อถือมากขึ้น

การตั้งค่าเครื่องอ่านและตัวเลือกการโยกย้ายมีความสำคัญ

อีกปัจจัยที่ผู้คนมองข้ามคือพฤติกรรมของเครื่องอ่าน บัตรที่ปลอดภัยทำงานร่วมกับเครื่องอ่านที่ไม่ปลอดภัยหรือตั้งค่าไม่ดีไม่ใช่ชุดค่าผสมที่น่าอุ่นใจ เครื่องอ่านควรตรวจสอบข้อมูลรับรองอย่างถูกต้อง ต้านทานพฤติกรรมการลดระดับความปลอดภัย และสื่อสารขึ้นต้นทางในลักษณะที่ได้รับการป้องกัน ในสภาพแวดล้อมแบบผสม โหมดสำรองสามารถสร้างความเสี่ยงได้ ในระหว่างการโยกย้าย บางสถานที่ปล่อยให้ข้อมูลรับรองเก่าและใหม่อยู่ร่วมกันนานเกินไป และรูปแบบที่อ่อนแอที่สุดที่ยอมรับได้กลายเป็นระดับความปลอดภัยที่แท้จริงของประตูนั้น

ผู้ดำเนินการรีสอร์ตแห่งหนึ่งค้นพบสิ่งนี้ระหว่างการปรับปรุงเป็นระยะ การเข้าถึงห้องพักแขกได้รับการอัปเกรดแล้ว แต่ทางเข้าพนักงานหลายแห่งยังคงยอมรับข้อมูลรับรองเก่าเพื่อความสะดวก พนักงานถือป้ายที่ใช้ได้หลายวัตถุประสงค์ และป้ายเก่าที่ถูกเจาะหนึ่งใบสร้างเส้นทางที่บั่นทอนการอัปเกรดราคาแพงในที่อื่น ฝ่ายบริหารคิดในแง่ของประตูใหม่กับประตูเก่า ผู้โจมตีคิดในแง่ของประตูที่ง่ายที่สุด ความไม่สอดคล้องนี้มีค่าใช้จ่ายสูง

แม้เทคโนโลยีข้อมูลรับรองจะแข็งแกร่ง พฤติกรรมทางกายภาพก็สำคัญ ผู้รับเหมาศูนย์ข้อมูลแห่งหนึ่งเคยไม่ผ่านการตรวจสอบความปลอดภัย ไม่ใช่เพราะมีใครโคลนบัตร แต่เพราะพนักงานเปิดประตูที่ปลอดภัยค้างไว้ให้ทีมส่งของเป็นประจำในช่วงเวลาเร่งด่วน สถานที่แห่งนี้ได้ลงทุนในบัตรแบบเข้ารหัส การลงทะเบียนที่ปลอดภัย และบันทึกที่สะอาด แต่จุดอ่อนในทางปฏิบัติเป็นเรื่องทางสังคมและกระบวนการ นี่ไม่ใช่หมายเหตุประกอบ ในสภาพแวดล้อมที่มีความปลอดภัยสูง การตามเข้าและการใช้ร่วมกันมักเป็นเรื่องที่เกิดขึ้นได้จริงมากกว่าการถูกเจาะทางวิทยาการเข้ารหัส นั่นคือเหตุผลที่โครงการที่แข็งแกร่งที่สุดจับคู่ข้อมูลรับรอง RFID กับประตูม่านกั้น เครื่องหมุนเวียน การยืนยันด้วยวิดีโอ หรืออย่างน้อยก็กระบวนการรักษาความปลอดภัยที่มีวินัยในโซนที่ละเอียดอ่อน

การควบคุมการเข้าถึงแบบหลายชั้นลดการใช้ป้ายในทางที่ผิด

ยังมีคำถามว่าบัตรเพียงอย่างเดียวเพียงพอหรือไม่ ในหลายสภาพแวดล้อมไม่เพียงพอ การควบคุมการเข้าถึงแบบ multi-factor น่าสนใจมากขึ้นเพราะลดมูลค่าของป้ายที่หายหรือถูกคัดลอก สำหรับห้องที่มีความเสี่ยงสูง การจับคู่ RFID กับ PIN การยืนยันด้วยชีวมิติ หรือการอนุมัติผ่านมือถืออาจสมเหตุสมผล นั่นไม่ได้หมายความว่าทุกสำนักงานต้องการการตั้งค่า two-factor ที่ดูดราม่าที่ประตูภายในทุกบาน แต่หมายความว่าคุณควรจับคู่มาตรการควบคุมกับทรัพย์สินที่ต้องป้องกัน ห้องเซิร์ฟเวอร์ ห้องแล็บวิจัย ห้องการเงิน ห้องเก็บยา และห้องผู้บริหารไม่มีความเสี่ยงเท่ากับทางเดินทั่วไป

บริษัทฟินเทคระดับภูมิภาคแห่งหนึ่งจัดการเรื่องนี้ได้ค่อนข้างดี พนักงานใช้ป้าย RFID ที่ปลอดภัยสำหรับการสัญจรปกติในสำนักงาน แต่การดำเนินงานด้านการเงินต้องใช้ป้ายบวก PIN ในเวลาทำการ และป้ายบวกการอนุมัติที่มีการจัดการนอกเวลาทำการ พนักงานชั่วคราวได้รับข้อมูลรับรองที่มีกรอบเวลาซึ่งหมดอายุโดยอัตโนมัติแทนที่จะรอการเพิกถอนด้วยมือ ความปลอดภัยไม่ได้กลายเป็นสิ่งที่มองไม่เห็น แต่กลายเป็นสิ่งที่คาดเดาได้ เป็นชั้นๆ และยากต่อการหลบเลี่ยงอย่างไม่เป็นทางการ นั่นมักเป็นเป้าหมาย การควบคุมการเข้าถึงที่ดีไม่จำเป็นต้องรู้สึกดราม่า แต่ต้องเชื่อถือได้

คำถามที่ผู้ซื้อควรถามก่อนเลือกข้อมูลรับรอง

สำหรับผู้ซื้อที่เปรียบเทียบประเภทบัตรเข้าถึง RFID การหยุดคิดแค่เรื่องความถี่ของบัตรและเริ่มคิดเรื่องรูปแบบความเชื่อถือจะช่วยได้ ประตูกำลังเชื่อถือหมายเลขที่มองเห็นได้ หรือข้อมูลรับรองที่ผ่านการยืนยันทางวิทยาการเข้ารหัส? ระบบใช้คีย์ที่ไม่ซ้ำกัน หรือรูปแบบเดียวกันทุกที่? คุณสามารถเพิกถอนข้อมูลรับรองได้แบบเรียลไทม์หรือไม่? คุณสามารถตรวจสอบว่าใครออกอะไรและเมื่อไหร่ได้หรือไม่? เฟิร์มแวร์เครื่องอ่านได้รับการอัปเดตอยู่เสมอหรือไม่? ผู้รวมระบบของคุณสามารถอธิบายความแตกต่างระหว่าง UID ของบัตร ข้อมูลแอปพลิเคชัน คีย์ที่หลากหลาย และการสื่อสารผ่านช่องทางที่ปลอดภัยได้โดยไม่พูดวกไปวนมาหรือไม่? คำถามเหล่านี้เผยให้เห็นมากกว่าโบรชัวร์มันวาวมากนัก

โรงงานบรรจุภัณฑ์ยาของแห่งหนึ่งถามคำถามที่ถูกต้องทั้งหมดหลังจากเกือบเลือกโครงการป้ายราคาถูกที่เสนอโดยผู้รับเหมาทั่วไป ข้อเสนอดูน่าสนใจในด้านต้นทุนต่อหน่วย แต่คำอธิบายทางเทคนิคคลุมเครือ เมื่อโรงงานกดดันขอรายละเอียด ก็ชัดเจนว่าการออกแบบพึ่งพาการตรวจสอบโดยใช้ UID มากเกินไปและการแบ่งส่วนที่อ่อนแอ ทีมเปลี่ยนทิศทาง แม้จะหมายถึงค่าใช้จ่ายเริ่มต้นที่สูงขึ้น หกเดือนต่อมา การตัดสินใจนั้นดูฉลาดมากกว่าแพง การตรวจสอบในภายหลังชื่นชมโรงงานไม่ใช่เพราะซื้อบัตรพรีเมียม แต่เพราะเข้าใจสถาปัตยกรรมข้อมูลรับรองก่อนลงนามในใบสั่งซื้อ

ยังมีความเป็นจริงทางธุรกิจตรงนี้ สถานที่จำนวนมากยังคงใช้ข้อมูลรับรองที่ไม่ปลอดภัยหรือล้าสมัยเพราะการเปลี่ยนเครื่องอ่าน ออกบัตรใหม่ และฝึกอบรมพนักงานใหม่รู้สึกเจ็บปวด ซึ่งเข้าใจได้ แรงกดดันด้านงบประมาณเป็นเรื่องจริง แต่หนี้ด้านความปลอดภัยสะสมอย่างเงียบๆ ยิ่งองค์กรใช้เทคโนโลยีป้ายที่อ่อนแอนานเท่าไหร่ บัตรที่ถูกคัดลอก ทางลัดที่ไม่มีเอกสาร และข้อจำกัดด้านความเข้ากันได้ก็ยิ่งสะสมรอบๆ มากขึ้นเท่านั้น จากนั้นการโยกย้ายในที่สุดก็ยากขึ้น ไม่ใช่ง่ายขึ้น

บริษัทผู้ผลิตแห่งหนึ่งค้นพบสิ่งนี้หลังการควบรวมกิจการ โรงงานแห่งหนึ่งใช้สมาร์ทการ์ดแบบเข้ารหัสสมัยใหม่ อีกแห่งพึ่งพาป้าย ระยะใกล้ เก่า และทีมผู้นำต้องการนโยบายป้ายเดียวอย่างรวดเร็ว สิ่งล่อใจแรกคือการรวมเป็นระบบเก่าเพราะดูเหมือนง่ายกว่าในการดำเนินงานในระยะสั้น หลังการทดสอบ บริษัทเลือกทางตรงกันข้าม พวกเขามาตรฐานบนข้อมูลรับรองที่แข็งแกร่งขึ้น เปลี่ยน เครื่องอ่าน RFID สำหรับการเข้าถึง ก่อน และใช้แผนการโยกย้ายเป็นระยะโดยมีวันที่เลิกใช้ที่เข้มงวดสำหรับรูปแบบเดิม การเปิดตัวใช้ความพยายาม แต่หลีกเลี่ยงกับดักทั่วไปในการรักษาจุดอ่อนของเมื่อวานเพื่อความสะดวกของวันนี้

คำตอบสุดท้าย: บัตรเข้าถึง RFID ปลอดภัยหรือไม่?

แล้วบัตรเข้าถึง RFID ปลอดภัยแค่ไหน? ปลอดภัยเพียงพอสำหรับการใช้งานจริงจังหลายประเภทเมื่อเลือกเทคโนโลยีและแนวปฏิบัติที่เหมาะสม ไม่ปลอดภัยเลยเมื่อองค์กรปฏิบัติต่อบัตรแบบไม่สัมผัสทุกใบว่าใช้แทนกันได้ วัสดุของบัตรไม่ใช่ประเด็น รูปแบบความเชื่อถือต่างหาก หากระบบของคุณยังคงอิงกับหมายเลขคงที่ที่อ่านได้ ความเสี่ยงของคุณสูงกว่าที่ผู้จัดการหลายคนตระหนักมาก หากระบบของคุณใช้ข้อมูลรับรองแบบเข้ารหัส การจัดการคีย์ที่เหมาะสม การสื่อสารเครื่องอ่านที่ปลอดภัย การควบคุมวงจรชีวิตที่สะอาด และความปลอดภัยทางกายภาพแบบหลายชั้น RFID สามารถเป็นส่วนที่เชื่อถือได้อย่างมากของกลยุทธ์การควบคุมการเข้าถึง

สำหรับผู้ซื้อส่วนใหญ่ ขั้นตอนถัดไปที่ฉลาดที่สุดไม่ใช่การขอป้าย RFID ที่ถูกที่สุด หรือแม้แต่ชิปที่ล้ำสมัยที่สุดตามชื่อ แต่เป็นการขอสถาปัตยกรรมข้อมูลรับรองที่ตรงกับความเสี่ยงของสถานที่ สำนักงานเล็กอาจต้องการเพียงบัตรแบบเข้ารหัสสมัยใหม่ การลงทะเบียนที่สะอาด และการเพิกถอนที่รวดเร็ว โรงพยาบาล ห้องแล็บวิจัย หรือองค์กรที่ข้อมูลละเอียดอ่อนอาจต้องการสิ่งเหล่านั้นบวกกับสิทธิ์ที่แบ่งส่วน การตรวจสอบที่แข็งแกร่งขึ้น การควบคุมแบบ multi-factor ในพื้นที่วิกฤต และการจัดการผู้เยี่ยมชมที่รัดกุม ความปลอดภัยไม่ใช่ป้ายบนบัตร แต่เป็นการตัดสินใจเชิงระบบที่ทำซ้ำอย่างสม่ำเสมอ

พูดง่ายๆ บัตรเข้าถึง RFID ปลอดภัยเท่ากับวินัยในการออกแบบที่อยู่เบื้องหลังเท่านั้น นั่นอาจฟังดูไม่น่าพอใจเท่ากับคำตอบง่ายๆ ว่าใช่หรือไม่ใช่ แต่มันคือความจริงที่ผู้ซื้อจำเป็นต้องรู้ ข่าวดีคือระบบที่อ่อนแอไม่ใช่ทางเลือกเดียวอีกต่อไป ข้อมูลรับรอง RFID ที่ปลอดภัย เครื่องอ่านที่แข็งแกร่งขึ้น การจัดการคีย์ที่ดีขึ้น ข้อมูลรับรองบนมือถือ และการผสานรวมที่แน่นแฟ้นขึ้นกับแพลตฟอร์มควบคุมการเข้าถึงให้พื้นที่กับองค์กรมากขึ้นในการสร้างอย่างมีความรับผิดชอบ ข่าวร้ายคือสถานที่จำนวนมากยังคงประเมินความแตกต่างระหว่างข้อมูลรับรองแบบไม่สัมผัสสมัยใหม่กับนิสัยการใช้ป้ายแบบเดิมต่ำเกินไป หากคุณจำได้เพียงสิ่งเดียว ให้จำสิ่งนี้: อย่าตัดสินความปลอดภัยของบัตรเข้าถึง RFID จากว่าป้ายเปิดประตูได้หรือไม่ ให้ตัดสินจากว่าคนที่ไม่ควรเข้าเข้าได้ยากแค่ไหนที่จะทำให้ประตูเชื่อว่าพวกเขาอยู่ที่นั่น