แฮกเกอร์โคลนบัตร RFID อย่างไร และแท็กแบบใดช่วยป้องกันได้

คนส่วนใหญ่จินตนาการถึงการโคลนป้าย RFID ผิดไป

พวกเขานึกภาพอัจฉริยะในฮู้ดสีดำกำลังทำอะไรดรามาติกกับฮาร์ดแวร์สั่งทำพิเศษ โค้ดสีเขียว และจังหวะเวลาที่เป็นไปไม่ได้ ภาพนั้นเป็นที่นิยมเพราะดูเหมือนในหนัง มันยังทำให้เข้าใจผิดอีกด้วย ในโลกจริง การโคลนป้ายมักไม่หรูหราเท่านั้น และน่าอายกว่ามาก อันตรายมักไม่ได้เริ่มจากแฮกเกอร์ระดับหัวกะทิ มันเริ่มจากข้อมูลรับรองที่อ่อนแอ สมมติฐานที่มักง่าย และองค์กรที่ยังใช้ระบบป้ายซึ่งออกแบบมาเพื่อความสะดวกนานก่อนที่โมเดลภัยคุกคามสมัยใหม่จะตามทัน

นั่นคือส่วนที่แอบแฝง

แฮกเกอร์และผู้บุกรุกแทบไม่จำเป็นต้อง "เอาชนะ" ระบบควบคุมการเข้า-ออกด้วย RFID ที่แข็งแกร่ง หากอาคารยังใช้ข้อมูลรับรองเก่า แบบคงที่ และคัดลอกได้ง่าย พวกเขาไม่จำเป็นต้องมีความอัจฉริยะระดับในหนัง หากป้ายนั้นโดยพื้นฐานแล้วส่งข้อมูลตัวตนที่คาดเดาได้ ซึ่งระบบเชื่อถือง่ายเกินไป ในอาคารหลายแห่ง ช่องโหว่ที่แท้จริงไม่ใช่เพราะผู้โจมตีฉลาดเป็นพิเศษ แต่เป็นเพราะป้ายนั้นไร้เดียงสาเป็นพิเศษต่างหาก

นั่นคือเหตุผลที่ แท็ก RFID ที่หยุดการโคลนได้จริงจึงสำคัญมากในตอนนี้

บริษัทจำนวนมากยังคิดว่าป้าย RFID ก็เป็นแค่ป้าย RFID หากประตูเปิด ป้ายก็ใช้ได้ และพนักงานก็เข้าออฟฟิศได้ พวกเขาก็ถือว่าระบบกำลังทำหน้าที่ของมัน แต่ความปลอดภัยของป้ายสมัยใหม่ไม่ได้ขึ้นอยู่กับว่าประตูจะเปิดให้คนที่ใช่ในวันที่ทุกอย่างราบรื่นหรือไม่ มันขึ้นอยู่กับว่าระบบสามารถต้านทานคนที่ไม่ใช่ในวันที่แย่ได้หรือไม่ นั่นเป็นมาตรฐานที่แตกต่างกันมาก และนั่นคือจุดที่ป้ายความปลอดภัยต่ำแบบเก่าเริ่มดูล้าสมัยอย่างน่ากังวล

ความจริงที่แอบแฝงของการโคลนป้าย RFID

สำนักงานกฎหมายแห่งหนึ่งในชิคาโกได้เรียนรู้เรื่องนี้หลังการตรวจสอบบันทึกการเข้าถึงช่วงกลางคืนภายในอย่างเงียบ ๆ ไม่มีอะไรเลวร้ายเกิดขึ้น แต่ฝ่ายความปลอดภัยสังเกตเห็นการเข้าออกนอกเวลาสองสามรายการที่ดูผิดปกติเล็กน้อย ชื่อนั้นถูกต้อง แต่เวลานั้นแปลก พนักงานที่ผูกกับรหัสป้ายเหล่านั้นยืนยันว่าไม่เคยเข้าอาคารในช่วงเวลาดังกล่าว ปัญหาที่แท้จริงไม่ใช่เครื่องอ่านเสียหรือบั๊กซอฟต์แวร์ สำนักงานยังคงใช้รูปแบบป้ายแบบเก่าที่พึ่งพาตัวระบุแบบคงที่มากเกินไป เมื่อการสอบสวนขยายวงกว้างขึ้น ทีมผู้บริหารก็ตระหนักถึงสิ่งที่น่าอึดอัดอย่างยิ่ง ระบบได้ปฏิบัติต่อตัวตนบนป้ายเป็นหลักฐานแทนที่จะเป็นเพียงคำกล่าวอ้าง ความแตกต่างนั้นเปลี่ยนทุกสิ่ง สำนักงานเปลี่ยนไปใช้ป้าย RFID แบบเข้ารหัสที่มีการยืนยันตัวตนที่แข็งแกร่งขึ้น และทันใดนั้นบทสนทนาก็หยุดเป็นเรื่อง "ใครใช้บัตร" และกลายเป็นเรื่องว่าข้อมูลรับรองนั้นเชื่อถือได้จริงหรือไม่

นั่นคือเหตุผลที่แท้จริงว่าทำไมการโคลนป้ายจึงแอบแฝงนัก บัตร RFID ที่อ่อนแอมักล้มเหลวอย่างเงียบ ๆ พวกมันไม่ประกาศว่าคัดลอกได้ง่าย พวกมันเพียงเปิดประตูต่อไปจนถึงวันที่ใครสักคนทดสอบว่าพวกมันรู้น้อยจริง ๆ แค่ไหน

ระบบป้าย RFID แบบเก่าส่วนใหญ่สร้างขึ้นจากตัวระบุแบบคงที่ พูดง่าย ๆ คือระบบเห็นหมายเลขป้ายที่รู้จักแล้วตอบตกลง โมเดลนั้นราคาถูก รวดเร็ว และสะดวกในการปฏิบัติงาน และนั่นก็เป็นสิ่งที่ผู้โจมตีต้องการพอดี หากข้อมูลรับรองสามารถคัดลอกได้ในระดับตัวตนโดยไม่ต้องพิสูจน์อะไรที่ลึกกว่านั้น การควบคุมการเข้า-ออกก็จะอ่อนแอกว่าที่ผู้จัดการอาคารยอมรับมาก ป้ายนั้นไม่ได้ทำหน้าที่เป็นข้อมูลรับรองที่ปลอดภัยอีกต่อไป มันทำหน้าที่เหมือนป้ายชื่อที่ใช้ซ้ำได้

โรงพยาบาลเอกชนแห่งหนึ่งในมาดริด

โรงพยาบาลเอกชนแห่งหนึ่งในมาดริดค้นพบปัญหานั้นด้วยวิธีที่เจ็บปวดเมื่อตรวจสอบการเข้าถึงบริเวณทางเดินห้องยาแบบควบคุมและพื้นที่รักษาผู้ป่วยเฉพาะพนักงานสองแห่ง ไม่มีการละเมิดที่ขึ้นข่าว และไม่มียาหายไปอย่างดรามาติก แต่การย้ายพนักงานคนหนึ่งกระตุ้นให้มีการตรวจสอบบันทึกป้ายอย่างละเอียดขึ้น และการตรวจสอบก็เปิดเผยสิ่งที่น่ากังวล อาคารมีฮาร์ดแวร์ประตูที่แข็งแกร่งกว่าความฉลาดของป้าย เมื่อทีมความปลอดภัยนำผู้เชี่ยวชาญเข้ามา ก็ชัดเจนว่าบัตรเก่าของโรงพยาบาลมีช่องโหว่เพราะพึ่งพาตรรกะข้อมูลรับรองแบบคงที่มากเกินไป การอัปเกรดไม่ใช่แค่การเปลี่ยนเครื่องอ่าน แต่เป็นการเปลี่ยนตัวป้ายให้เป็นแบบที่ใช้การยืนยันตัวตนแบบเข้ารหัสและการปกป้องข้อมูลรับรองที่แข็งแกร่งขึ้น โรงพยาบาลไม่ได้ถูกโจมตีโดยวายร้ายในหนัง มันเพียงเชื่อถือบัตรที่ปลอมแปลงได้ง่ายเกินไป

นี่คือจุดที่ผู้คนมักถามคำถามผิด พวกเขาถามว่าแฮกเกอร์โคลนป้าย RFID ได้อย่างไร คำถามที่มีประโยชน์กว่าคือทำไมการโคลนจึงได้ผลตั้งแต่แรก

ในหลายกรณี มันได้ผลเพราะป้ายนั้นไม่เคยถูกออกแบบมาให้ป้องกันตัวเองอย่างเหมาะสม ป้ายที่อ่อนแอไม่มีความสามารถ challenge-response ที่จริงจัง ไม่มีการปกป้องด้วยการเข้ารหัสที่มีความหมาย ไม่มี secure element ที่น่าเชื่อถือ และไม่มีหลักฐานว่าข้อมูลรับรองที่อยู่หน้าเครื่องอ่านนั้นเป็นมากกว่าเปลือกที่ถูกคัดลอกมา หากระบบยอมรับตัวตนภายนอกของป้ายง่ายเกินไป กำแพงระหว่างการเข้าถึงที่ได้รับอนุญาตกับการทำสำเนาที่ไม่ได้รับอนุญาตก็จะบางกว่าที่องค์กรส่วนใหญ่คิด

อาคารวิจัยของมหาวิทยาลัยแห่งหนึ่งในสิงคโปร์

อาคารวิจัยของมหาวิทยาลัยแห่งหนึ่งในสิงคโปร์เห็นเรื่องนี้อย่างชัดเจน สถานที่มีท่าทีด้านความปลอดภัยทางกายภาพที่น่านับถือ แต่โครงการป้ายของมันล้าหลังภาพลักษณ์ของตัวเอง นักศึกษา คณาจารย์ ผู้รับเหมา และนักวิจัยรับเชิญต่างเคลื่อนผ่านระบบการเข้าถึงแบบหลายชั้นเดียวกัน และฝ่ายบริหารสันนิษฐานว่าความเสี่ยงได้รับการจัดการแล้วเพราะประตู ประตูหมุน และบันทึกดูทันสมัย จุดอ่อนที่แท้จริงอยู่ต่ำกว่านั้น การออกแบบข้อมูลรับรองเก่าพอที่ตัวตนที่ถูกคัดลอกยังสร้างปัญหาจริงได้ในมือของคนผิด ในที่สุดมหาวิทยาลัยก็เปลี่ยนไปใช้ป้าย RFID ที่ปลอดภัยพร้อมการยืนยันตัวตนแบบสองทาง คีย์ที่หลากหลายขึ้น และการควบคุมการลงทะเบียนที่รัดกุมขึ้น ประตูไม่ได้ดูเงางามขึ้น แต่หลอกได้ยากขึ้น

นั่นคืออีกสิ่งที่ผู้คนมองข้าม แท็กที่หยุดการโคลนไม่ใช่แค่ "ป้ายใหม่กว่า" แต่เป็นป้ายที่สร้างบนปรัชญาที่แตกต่าง

ข้อมูลรับรองเก่าที่ไม่ปลอดภัยโดยพื้นฐานบอกว่า นี่คือตัวตนของฉัน เชื่อฉันสิ

ป้าย RFID ที่ปลอดภัยสมัยใหม่บอกว่า พิสูจน์ว่าคุณกำลังสื่อสารกับบัตรที่ถูกต้อง แล้วฉันจะพิสูจน์ว่าฉันก็ถูกต้องเช่นกัน

การเปลี่ยนแปลงนั้นยิ่งใหญ่

บริษัทผู้ผลิตแห่งหนึ่งในอิตาลีตอนเหนือ

บริษัทผู้ผลิตแห่งหนึ่งในอิตาลีตอนเหนือพบว่าความแตกต่างนั้นเกือบน่าอายเมื่อเห็นมันชัดเจน โรงงานใช้เวลาหลายปีมุ่งเน้นที่รั้วรอบนอก กิจวัตรของเจ้าหน้าที่รักษาความปลอดภัย และการควบคุมผู้มาเยือน ขณะที่ปล่อยให้ระบบป้าย RFID ภายในใช้ข้อมูลรับรองเก่าที่อ่อนกว่าที่ผู้บริหารตระหนักมาก การตรวจสอบความปลอดภัยจากภายนอกในที่สุดก็บังคับให้ต้องจัดการเรื่องนี้ ผู้ตรวจสอบไม่ประทับใจกับข้อเท็จจริงที่ว่าป้ายเก่ายัง "ใช้ได้" มุมมองของพวกเขาตรงไปตรงมา หากระบบป้ายสามารถคัดลอกได้โดยไม่มีการต้านทานด้วยการเข้ารหัสจริง โรงงานก็กำลังสร้างความเชื่อมั่นด้านการเข้าถึงบนความ nostalgic บริษัทเปลี่ยนป้ายเหล่านั้นด้วยข้อมูลรับรองอัจฉริยะแบบเข้ารหัสที่รองรับการยืนยันตัวตนแบบสองทางและการจัดการคีย์ที่แข็งแกร่งขึ้น เมื่อนั้นความปลอดภัยทางกายภาพของโรงงานจึงเริ่มสอดคล้องกับความจริงจังของการดำเนินงาน

แท็ก RFID ที่ปลอดภัยหยุดการโคลนได้อย่างไร

คำว่า mutual authentication สำคัญกว่า buzzword เกือบทั้งหมดในสาขานี้ มันหมายความว่า เครื่องอ่าน RFID และป้ายไม่ได้แค่จดจำหมายเลข แต่ตรวจสอบซึ่งกันและกันผ่านการแลกเปลี่ยนที่ปลอดภัยกว่า นั่นไม่ได้ทำให้ระบบอยู่ยงคงกระพัน เพราะไม่มีอะไรอยู่ยงคงกระพัน แต่เพิ่มความยากขึ้นอย่างมาก มันเปลี่ยนการควบคุมการเข้า-ออกจากโมเดลความเชื่อใจแบบสบาย ๆ เป็นโมเดลการตรวจสอบข้อมูลรับรอง และในทางปฏิบัติ นั่นคือจุดที่การโคลนเริ่มไม่สะดวกสบายอีกต่อไป

ธนาคารระดับภูมิภาคแห่งหนึ่งในโตรอนโต

ธนาคารระดับภูมิภาคแห่งหนึ่งในโตรอนโตเรียนรู้เรื่องนี้หลังการควบรวมทำให้สามสำนักงานใช้ป้ายสามรุ่นที่แตกต่างกัน ผิวเผินแล้ว ปัญหาที่แย่ที่สุดดูเหมือนเป็นเรื่องการบริหาร พนักงานเคลื่อนย้ายระหว่างสาขาและระบบตัวตนก็ยุ่งเหยิง ภายใต้ความยุ่งเหยิงด้านการบริหารนั้นมีปัญหาที่ใหญ่กว่า สาขาบางแห่งยังพึ่งพาประเภทป้ายที่ไม่สมควรได้รับความเชื่อถือในระดับที่ธนาคารมอบให้ ทีมความปลอดภัยตัดสินใจเรื่องหนึ่งที่ทำให้ฝ่ายจัดซื้อหงุดหงิดและทำให้คนอื่น ๆ พอใจในภายหลัง มันหยุดพูดถึงการเปลี่ยนบัตรในฐานะการรีเฟรชฮาร์ดแวร์ และเริ่มพูดถึงมันในฐานะการปลดระวางข้อมูลรับรองที่เป็นมิตรต่อการโคลน เมื่อป้ายอัจฉริยะความถี่สูงที่ปลอดภัยพร้อมการยืนยันตัวตนแบบเข้ารหัสถูกนำมาใช้ ธนาคารก็มีคำตอบที่ดีกว่ามากสำหรับคำถามเก่าแก่มาก ป้ายนี้พิสูจน์อะไรกันแน่เมื่อมันเปิดประตู

นั่นคือคำถามที่ถูกต้องสำหรับทุกองค์กร

คำตอบไม่ควรเป็น "มันพิสูจน์ว่าบัตรมีหมายเลขที่คุ้นเคย"

มันควรเป็น "มันพิสูจน์ว่าข้อมูลรับรองนี้เป็นของแท้ เครื่องอ่านนั้นถูกต้อง และการแลกเปลี่ยนนั้นไม่สามารถคัดลอกและเล่นซ้ำได้ง่าย ๆ"

นั่นคือสิ่งที่แท็กที่หยุดการโคลนทำจริง ๆ

วิทยาเขตองค์กรแห่งหนึ่งในโซล

วิทยาเขตองค์กรแห่งหนึ่งในโซลเข้าใจเรื่องนี้ระหว่างการทบทวน zero-trust ที่กว้างขึ้น บริษัทได้ปรับปรุงความปลอดภัยเครือข่ายให้ทันสมัยแล้ว แต่กลับมองการเข้าถึงทางกายภาพเป็นปัญหาที่แก้ไขแล้วเพราะระบบป้ายดูเป็นระเบียบ เมื่อทีมความปลอดภัยทางกายภาพเจาะลึกขึ้น ก็พบจุดอ่อนที่คุ้นเคย ความเป็นมืออาชีพที่มองเห็นได้ของระบบได้ซ่อนความอ่อนแอทางเทคนิคของข้อมูลรับรองไว้ สำนักงานบางแห่งยังใช้ป้ายที่โดยพื้นฐานแล้วเชื่อถือง่ายและเลียนแบบง่ายเกินไป ในที่สุดวิทยาเขตก็เปลี่ยนไปใช้ป้าย RFID ที่ปลอดภัยซึ่งสร้างบนสถาปัตยกรรมสมาร์ทการ์ดที่แข็งแกร่งขึ้น คีย์ที่เข้ารหัส และวินัยในการออกป้ายที่ดีขึ้น สิ่งที่ปรับปรุงไม่ใช่แค่การต้านทานการโคลน ทั้งองค์กรหยุดแสร้งทำเป็นว่าข้อมูลรับรองเพื่อความสะดวกแบบเก่าเป็นที่ยอมรับได้เพียงเพราะยังไม่ก่อให้เกิดพาดหัวข่าว

ประเด็นสุดท้ายนั้นสำคัญ ความเสี่ยงจากการโคลนป้ายมักถูกประเมินต่ำเกินไป precisely เพราะยังไม่มีอะไรดรามาติกเกิดขึ้นให้เห็น อาคารอาจโชคดีไปได้หลายปี แล้ววันหนึ่งข้อมูลรับรองของผู้รับเหมาถูกคัดลอก ตัวตนป้ายของพนักงานเก่าปรากฏขึ้นอีกครั้งในบันทึก หรือทางเข้าด้านข้างเริ่มแสดงการเข้าถึงนอกเวลาที่ไม่สมเหตุสมผลกับมนุษย์ ทันใดนั้นองค์กรก็ตระหนักว่าตนไม่ได้ใช้การควบคุมการเข้า-ออกที่ทันสมัยจริง ๆ มันใช้การมองโลกในแง่ดีเรื่องการเข้าถึงต่างหาก

สำนักงานเภสัชกรรมแห่งหนึ่งในดับลิน

สำนักงานเภสัชกรรมแห่งหนึ่งในดับลินประสบเรื่องนี้ระหว่างการทบทวนห้องแล็บแบบจำกัด บริษัทให้ความสำคัญกับวินัยเรื่องป้ายในระดับนโยบายเสมอ แต่เทคโนโลยีป้ายเองไม่ได้ก้าวทันความอ่อนไหวของพื้นที่ที่ได้รับการปกป้อง เมื่อแรงกดดันด้านกฎระเบียบใหม่และการทบทวนความเสี่ยงจากคนในที่เฉียบคมขึ้นเกิดขึ้นพร้อมกัน บริษัทก็หยุดถามว่าข้อมูลรับรองเก่ายังใช้งานได้หรือไม่ และเริ่มถามว่ายังป้องกันได้หรือไม่ ความแตกต่างนั้นขับเคลื่อนการเปลี่ยนไปสู่แท็ก RFID ที่ปลอดภัยขึ้นและตรรกะเครื่องอ่านที่แข็งแกร่งขึ้น ระบบใหม่ไม่ได้แค่ระบุตัวพนักงาน แต่ยืนยันข้อมูลรับรองในแบบที่ระบบเก่าไม่เคยทำได้จริง

นี่ก็เป็นเหตุผลว่าทำไมการซื้อ "แท็กที่ปลอดภัย" โดยไม่แก้ส่วนอื่นของระบบนิเวศจึงไม่แก้ปัญหาได้ทั้งหมด การโคลนป้ายไม่ได้เกี่ยวกับบัตรจริงเพียงอย่างเดียว มันเกี่ยวกับการลงทะเบียน การตั้งค่าเครื่องอ่าน การจัดการวงจรชีวิตของข้อมูลรับรอง การเพิกถอนบัตรที่หาย นโยบายผู้มาเยือน และว่าองค์กรยังมีข้อยกเว้นที่ค่อย ๆ ทำให้ระบบทั้งหมดอ่อนแอลงอย่างเงียบ ๆ หรือไม่ แท็กที่แข็งแกร่งช่วยได้มหาศาล แต่เฉพาะเมื่ออาคารปฏิบัติต่อมันเป็นส่วนหนึ่งของโมเดลความปลอดภัยที่จริงจัง ไม่ใช่การปรับปรุงเพื่อความสวยงาม

ผู้ให้บริการพื้นที่ทำงานร่วมแห่งหนึ่งในซิดนีย์

ผู้ให้บริการพื้นที่ทำงานร่วมแห่งหนึ่งในซิดนีย์เรียนรู้เรื่องนี้ด้วยวิธีที่เจ็บปวด มันอัปเกรดเป็นข้อมูลรับรอง RFID ที่แข็งแกร่งขึ้นสำหรับสมาชิกใหม่ แต่ทิ้งข้อยกเว้นการเข้าถึงเก่าไว้มากเกินไปสำหรับผู้ใช้ชั่วคราว ผู้รับเหมา และพื้นที่สิ่งอำนวยความสะดวกที่ใช้ร่วมกัน บริษัทปรับปรุงเทคโนโลยีป้ายโดยไม่ได้ปรับปรุงตรรกะการเข้าถึงอย่างเต็มที่ เฉพาะหลังจากรัดกุมกระบวนการทั้งหมดรอบการออก การเปลี่ยน การเพิกถอน และนโยบายโซน ป้ายที่ปลอดภัยใหม่จึงเริ่มมอบระดับการปกป้องที่ผู้บริหารคิดว่าซื้อมาแล้ว การเรียนรู้นั้นเรียบง่าย แท็กที่แข็งแกร่งขึ้นสำคัญ แต่เฉพาะเมื่ออาคารหยุดป้อนมันเข้าสู่โมเดลการดำเนินงานที่อ่อนแอ

กระนั้น ตัวแท็กเองคือจุดที่องค์กรส่วนใหญ่ต้องเริ่ม เพราะหลายแห่งเกินไปกำลังใช้ข้อมูลรับรองที่เป็นของอีกยุคหนึ่ง แท็กที่หยุดการโคลนมักสร้างบนเทคโนโลยีสมาร์ทการ์ดความถี่สูงที่แข็งแกร่งขึ้น การจัดเก็บคีย์ที่ปลอดภัย การแลกเปลี่ยนที่เข้ารหัส การยืนยันตัวตนแบบสองทาง และการออกแบบข้อมูลรับรองที่คัดลอกได้ยากกว่ามาก ในภาษาธุรกิจที่ใช้ได้จริง นั่นหมายถึงป้ายที่พิสูจน์มากกว่าตัวตนแบบคงที่ และระบบที่หยุดเชื่อถือหมายเลขป้ายดิบราวกับว่ามันเพียงพอ

สถานวิจัยวิทยาศาสตร์ชีวภาพแห่งหนึ่งในบอสตัน

สถานวิจัยวิทยาศาสตร์ชีวภาพแห่งหนึ่งในบอสตันให้ความสำคัญกับเรื่องนี้หลังการเข้าซื้อกิจการทำให้มีวิธีการเข้าถึงที่ปะปนกัน พนักงานบางคนมีข้อมูลรับรองที่ทันสมัย คนอื่นยังถือป้ายที่สะดวกในการปฏิบัติงานแต่ทางเทคนิคอ่อน ต่อมาผู้อำนวยการฝ่ายความปลอดภัยกล่าวว่าจุดเปลี่ยนมาถึงเมื่อทีมหยุดถามว่าบัตรเก่ายังเปิดประตูได้ถูกต้องหรือไม่ และเริ่มถามว่ายังสมควรเปิดประตูเหล่านั้นเลยหรือไม่ การเปลี่ยนแปลงนั้นขับเคลื่อนโครงการเปลี่ยนทดแทน และนั่นคือกรอบความคิดที่องค์กรจำนวนมากต้องการในตอนนี้

บริษัทสื่อแห่งหนึ่งในเบอร์ลิน

สิ่งเดียวกันเกิดขึ้นที่บริษัทสื่อแห่งหนึ่งในเบอร์ลิน แม้ในสภาพแวดล้อมที่มีกฎระเบียบน้อยกว่า บริษัทไม่มีห้องแล็บยา或ตู้นิรภัย แต่มีห้องตัดต่อ พื้นที่ผู้บริหาร พื้นที่จัดเก็บงานผลิต และความจำเป็นสูงในการปกป้องทั้งคนและทรัพย์สิน หลายปีที่ระบบป้าย "ดีพอ" แล้วการสอบสวนการเข้าถึงที่ผิดปกติครั้งหนึ่งทำให้ผู้บริหารเห็นปัญหาแตกต่างออกไป ข้อมูลรับรองที่ถูกคัดลอกหรือใช้ผิดไม่จำเป็นต้องละเมิดความมั่นคงของชาติเพื่อสร้างวันที่แพงและน่าอายอย่างมาก บริษัทเปลี่ยนป้ายเก่าที่อ่อนแอด้วยข้อมูลรับรองที่เข้ารหัสปลอดภัย และระบบใหม่ก็เปิดเผยความจริงที่หลายภาคส่วนเผชิญอยู่ตอนนี้อย่างรวดเร็ว ป้าย RFID ที่ปลอดภัยไม่ใช่ผลิตภัณฑ์เฉพาะกลุ่มสำหรับคนขี้ระแวงอีกต่อไป พวกมันกำลังกลายเป็นมาตรฐานขั้นต่ำที่น่านับถือสำหรับอาคารที่จริงจัง

บทสรุป

นั่นคือหัวใจของหัวข้อทั้งหมดจริง ๆ

วิธีแอบแฝงที่แฮกเกอร์ใช้โคลนป้าย RFID มักไม่ใช่การมีพลังเหนือธรรมชาติ แต่เป็นการหาองค์กรที่ยังใช้ข้อมูลรับรองซึ่งทำตัวเหมือนทางลัดความเชื่อใจ ป้ายที่อ่อนแอนั้นประเมินต่ำได้ง่ายเพราะดูเป็นทางการ รู้สึกปกติ และมักอยู่ในอาคารที่มีนิสัยความปลอดภัยด้านอื่นที่น่านับถือ แต่หากข้อมูลรับรองสามารถคัดลอกหรือเลียนแบบได้ง่ายเกินไป ป้ายนั้นก็ไม่ได้ปกป้องประตูจริง ๆ มันเพียงร่วมอยู่ในภาพลวงตาว่าประตูได้รับการปกป้อง

แท็กที่หยุดพวกมันคือแท็กที่สร้างมาเพื่อต้านทานภาพลวงตานั้น ป้าย RFID ที่ปลอดภัยพร้อมการปกป้องด้วยการเข้ารหัสจริง ข้อมูลรับรองที่รองรับการยืนยันตัวตนแบบสองทางแทนการยอมรับแบบไม่ลืมหูลืมตา ระบบป้ายที่ไม่เชื่อถือตัวระบุแบบคงที่ในฐานะหลักฐาน และที่สำคัญไม่แพ้กัน องค์กรที่ในที่สุดก็ยอมรับว่าการเปลี่ยนป้ายที่อ่อนแอไม่ใช่การอัปเกรดเพื่อความสวยงาม แต่เป็นการปลดระวางช่องโหว่ที่เงียบงัน

บริษัทที่ปรึกษาระดับโลกแห่งหนึ่งในนิวยอร์กสรุปได้อย่างสมบูรณ์แบบหลังเสร็จสิ้นโครงการเปลี่ยนป้ายหลายสำนักงาน ระบบเก่าดูเป็นมืออาชีพ แต่มันสร้างบนสมมติฐานที่ยืมได้ง่ายเกินไป ระบบใหม่ไม่ได้ทำให้สำนักงานดูแตกต่าง แต่มันทำให้โมเดลความเชื่อใจที่อยู่เบื้องหลังปลอมแปลงได้ยากขึ้นมาก

นั่นคือความจริงทั้งหมด

หากคุณต้องการหยุดการโคลนป้าย อย่าเริ่มด้วยการถามว่าผู้โจมตีอาจฉลาดแค่ไหน เริ่มด้วยการถามว่าป้ายปัจจุบันของคุณพิสูจน์อะไรได้จริงแค่ไหน หากคำตอบคือ "ส่วนใหญ่แค่หมายเลข ID" ปัญหาก็ใหญ่กว่าที่คนส่วนใหญ่ในอาคารตระหนักแล้ว

และนั่นคือเหตุผลที่แท็กที่ถูกต้องสำคัญในตอนนี้