Pierwszym krokiem do przechowywania danych kart w bezpieczniejszym miejscu jest przeniesienie wrażliwych danych do wewnątrz (nr 2 na grafice). Dlatego użytkownik powinien przechowywać klucze DESFire (klucze kart) w kontrolerze drzwi wewnątrz budynku, a nie w czytniku kart zamontowanym na zewnątrz budynku (nr 1 na grafice obok). Oznacza to, że czytniki nie będą odgrywać żadnej roli w odszyfrowywaniu danych, a więc staną się „transparentne”. Dzięki temu dekodowanie i bezpieczna komunikacja pomiędzy czytnikiem kart a kontrolerem drzwi odbywa się po bezpiecznej stronie drzwi.

Kolejny krok to przeniesienie danych na bezpieczną stronę drzwi i przechowywanie w bezpiecznym miejscu (nr 3 na grafice). W tym celu AEOS wykorzystuje moduł SAM (Secure Access Module). Jest to karta SIM, na której dane mogą być przechowywane i nie mogą być pobrane. Klucze DESFire są przechowywane w module SAM w kontrolerze drzwi wewnątrz budynku. Klucze kart są również dekodowane w SAM, co dodatkowo zmniejsza ryzyko i zapewnia jeszcze bezpieczniejszą opcję niż krok pierwszy.

Po zabezpieczeniu komunikacji między czytnikiem a kontrolerem zobaczmy, jak komunikuje się kontroler. Protokół 802.1x to standardowy sposób uwierzytelniania urządzeń próbujących podłączyć się do sieci. W przypadku zastosowania tego standardu połączenie sieciowe jest możliwe tylko wtedy, gdy protokół ufa relacji (opartej na certyfikatach cyfrowych) między urządzeniem (kontrolerem Nedap) a serwerem uwierzytelniającym. Czyli tylko zaufane urządzenia z odpowiednimi certyfikatami cyfrowymi – w tym przypadku kontrolery drzwi – mogą połączyć się z zabezpieczoną siecią. Sprzęt, który nie ma odpowiedniego certyfikatu cyfrowego, nie może się połączyć.

Tryb bezpieczny jest domyślnie dostępny w systemie AEOS i można go aktywować za pomocą oprogramowania. W tym trybie komunikacja pomiędzy serwerem AEOS a kontrolerem jest szyfrowana za pomocą protokołu TLS. Komunikacja może być szyfrowana tylko z wykorzystaniem domyślnego certyfikatu dostarczonego przez Nedap. Nie można tego zastąpić zmanipulowanymi wersjami. Uniemożliwia to również podłączenie obcych urządzeń do sieci lub wysyłanie poleceń do kontrolerów drzwi. Komunikacja pomiędzy poszczególnymi ogniwami systemu jest zabezpieczona i zaszyfrowana po bezpiecznej stronie drzwi.

AEOS End-to-end (nr 4 na grafice) wykracza poza bezpieczną komunikację między czytnikiem kart a kontrolerem drzwi. Można zabezpieczyć cały proces kontroli dostępu: od identyfikatora przez czytnik aż po kontroler drzwi i serwer centralny. Po zastosowaniu mocnego uwierzytelnienia do kontrolerów drzwi nie można ich zastąpić zmanipulowanymi wersjami. Nie można też podłączyć obcych urządzeń do sieci lub wysyłać poleceń do kontrolerów drzwi. Komunikacja pomiędzy poszczególnymi ogniwami systemu jest chroniona i zaszyfrowana po bezpiecznej stronie drzwi.

Anna Twardowska  

Regional Sales Manager na Europę Wschodnią, Nedap Security Management

 

  

Artykuł Nedap: cyberbezpieczeństwo w systemach fizycznej kontroli dostępu pochodzi z serwisu CRN.

Ataki hakerskie są przyczyną strat materialnych i wizerunkowych wielu firm. Cyberatak może nastąpić z różnych stron. Nowym trendem jest wykorzystanie do niego urządzeń Interetu rzeczy, co stwarza zagrożenie dla wszystkich systemów sieciowych, a zatem również systemu kontroli dostępu. Coraz więcej polskich przedsiębiorstw, szczególnie z sektora infrastruktury krytycznej, jest już świadomych zasadności ochrony SKD przed cyberatakami. Dlatego firma Nedap stworzyła rozwiązanie End-to-End Security bazujące na najlepszych praktykach stosowanych w rozwiązaniach IT.

Na świecie zdarzały się przypadki włamań, podczas których kontroler drzwiowy był zastępowany innym – z takim samym adresem IP i MAC oraz teoretycznie tą samą wersją firmware’u, ale zawierającą zainfekowane oprogramowanie. Pozwoliło to na nadanie praw dostępu użytkownikom spoza przedsiębiorstwa oraz usunięcie z dziennika logów zapisów o tych zdarzeniach. Co więcej, za pomocą tak zmodyfikowanych czytników niepowołane osoby mogą uzyskać fizyczny dostęp do innych urządzeń IT, takich jak sprzęt sieciowy, serwery czy stacje robocze. Dlatego przy tworzeniu bezpiecznego systemu dostępu konieczna jest współpraca osób odpowiedzialnych za bezpieczeństwo fizyczne i informatyczne.

Aby przeciwdziałać wystąpieniu tego typu sytuacji eksperci z wielu europejskich krajów stworzyli zbiór zaleceń dotyczących przechowywania cyfrowych kluczy po „bezpiecznej” stronie drzwi. Dzięki temu można zapobiec skopiowaniu kluczy z czytnika po zewnętrznej stronie i uzyskaniu nieautoryzowanego dostępu do zabezpieczonych pomieszczeń. W systemach kontroli dostępu klucze powinny być przechowywane nie w czytniku kart, lecz w centralnym kontrolerze, do którego dostęp wymaga silnego uwierzytelnienia, szczególnie gdy podejmowana jest próba wprowadzenia zmian. Zapewnia to nie tylko właściwą ochronę i minimalizuje ryzyko skopiowania kluczy, ale także gwarantuje wygodę, gdy zajdzie konieczność aktualizacji kluczy.

W zaawansowanych systemach kontroli dostępu w kontrolerze drzwiowym instalowany jest dodatkowy certyfikat uwierzytelniający. W efekcie administrator zyskuje pewność, że wyłącznie to konkretne urządzenie może komunikować się z centralnym kontrolerem.

W systemie Nedap AEOS silna autoryzacja została osiągnięta przez użycie certyfikatów po stronie kontrolera i serwera. Urządzenia te muszą się sobie przedstawić oraz wymienić certyfikatami, dopiero wtedy mogą nawiązać komunikację. Ta praktyka zapewnia, że nawet po podmianie urządzenia na obcy produkt nie będzie możliwy dostęp do systemu kontroli dostępu i sieci LAN. Dzięki temu mamy możliwość dystrybucji kluczy i certyfikatów centralnie, bez chodzenia i konfigurowania każdego czytnika osobno oraz przykładania karty master.

Artykuł powstał we współpracy z firmą Nedap.

Artykuł Fizyczny wymiar ochrony danych pochodzi z serwisu CRN.

Anna Twardowska jest absolwentką studiów magisterskich na Politechnice Poznańskiej, studiów podyplomowych oraz studiów MBA na Uniwersytecie Ekonomicznym w Poznaniu. 

Artykuł Anna Twardowska Country Managerem Nedap pochodzi z serwisu CRN.