Adgangskort på byggepladser: Hvorfor MIFARE Classic er usikkert, og hvordan sikker kryptering fungerer

Adgangskort hører til hverdagen på byggepladser. Men de færreste ved, at de fleste adgangskort kan kopieres på sekunder – med udstyr til under 50 euro.

Uanset om det er til digital adgangskontrol ved drejekors, døre eller bomme – den, der anvender byggepladspas uden at være opmærksom på den underliggende krypteringsteknologi, risikerer uautoriseret adgang, tyveri og manipulation af tilstedeværelsesregistreringen. UID-baserede adgangskort og MIFARE Classic-kort kan kopieres på sekunder – med frit tilgængeligt udstyr til under 50 euro.

I dette indlæg forklarer vi, hvorfor UID-aflæsning og MIFARE Classic udgør en sikkerhedsrisiko, og hvordan en moderne, krypteret adgangskontrol til byggepladser baseret på MIFARE DESFire EV3 fjerner dette problem fuldstændigt.

Kopiering af adgangskort: Hvorfor UID-baserede RFID-kort er usikre

De fleste simple adgangssystemer aflæser kun kortets UID (Unique Identifier) – et fast indbrændt serienummer, der tildeles ved produktionen. Problemet: Denne UID overføres ukrypteret ved hver aflæsning. Der finder ingen autentificering sted mellem kort og læser.

Det betyder konkret:

• Enhver NFC-kompatibel smartphone kan aflæse et adgangskorts UID på få sekunder.
• UID-clonere kan købes på internettet fra ca. 30 euro og laver en fuldt funktionsdygtig kopi på et tomt kort.
• Adgangssystemet kan ikke skelne mellem, om der er tale om originalkortet eller en kopi.

På en byggeplads betyder det: Enhver person, der blot kortvarigt kommer i nærheden af et adgangskort, kan ubemærket skaffe sig adgang. Uautoriserede personer, tyveri af byggematerialer og manipulation af tilstedeværelsesregistreringen er konsekvensen.

MIFARE Classic er knækket: Hvorfor disse adgangskort ikke giver nogen sikkerhed

Mange udbydere satser på MIFARE Classic-kort og markedsfører dem som “sikre”, fordi de i modsætning til ren UID-aflæsning tilbyder kryptering. Men denne sikkerhed er bedragerisk.

MIFARE Classic anvender den proprietære Crypto-1-algoritme, der allerede blev fuldstændig knækket i 2008. Siden da er flere angrebsmetoder offentligt dokumenteret:

• Darkside-angreb: Gør det muligt at aflæse nøglerne, selv hvis ikke en eneste sektor på kortet er kendt.
• Nested-angreb: Er én nøgle kendt (f.eks. fabriksstandarden), kan alle øvrige nøgler beregnes på få minutter.
• Hardnested-angreb: Fungerer også ved individuelt satte nøgler og kræver blot et Proxmark- eller Flipper Zero-apparat.

Vigtigt at vide:

Samtlige værktøjer til kloning af MIFARE Classic-kort er frit tilgængelige og kræver ingen ekspertviden. En Flipper Zero til ca. 200 euro er nok til at kopiere MIFARE Classic-kort fuldstændigt på få minutter.

Resultatet: MIFARE Classic giver ikke længere nogen nævneværdig sikkerhed og er simpelthen uegnet til brug i adgangskontrol på byggepladser, hvor hundredvis af personer går ind og ud.

Forfalskningssikre adgangskort: Sådan fungerer MIFARE DESFire EV3-kryptering

Bausicht satser på MIFARE DESFire EV3 – den aktuelle industristandard for højsikre kontaktløse adgangskort. I modsætning til MIFARE Classic er DESFire EV3 baseret på AES-128-krypteringsstandarden, der også anvendes i bankverdenen og hos offentlige myndigheder.

De afgørende sikkerhedsfunktioner:

• Gensidig autentificering: Kort og læser autentificerer sig over for hinanden, før der udveksles data. En simpel aflæsning eller aflytning er dermed udelukket.
• Krypteret kommunikation: Alle data mellem kort og læser overføres AES-krypteret. Aflytning af radioforbindelsen giver kun ubrugelige data.
• Diversificerede nøgler: Hvert enkelt kort får en unik, kortindividuel nøgle. Selv hvis det skulle lykkes en angriber at udtrække nøglen fra et enkelt kort, ville ingen andre kort være kompromitteret.

Hvad betyder Key Diversification?

Ved Key Diversification afledes der ud fra en hemmelig master-nøgle og en kortindividuel information (f.eks. UID’en) en engangs-kortnøgle efter NIST-konforme algoritmer. Master-nøglen forlader aldrig Secure Access Module.

Metoden sikrer, at:

• Ingen kortnøgle ligner en anden – selv ved tusindvis af kort i systemet.
• Master-nøglen aldrig eksponeres – hverken på kortet eller i læseren.
• En kopi af et adgangskort er udelukket, da kortnøglen ikke kan udtrækkes fra kortet.

Secure Access Module (SAM) – Manipulationssikker nøglelagring til din adgangskontrol

Et centralt element i vores sikkerhedsarkitektur er Secure Access Module (SAM AV3) – en manipulationssikker kryptochip med EAL5+-certificering. Dette modul anvendes både i USB-kortlæseren ved pc’en og i adgangscontrollerne på byggepladsen.

SAM’et varetager følgende opgaver:

• Sikker nøglelagring: Master-nøglerne lagres udelukkende i SAM’et og forlader det aldrig – heller ikke ved et fysisk angreb på læseren.
• Kryptografiske operationer: Alle krypterings- og dekrypteringsprocesser foregår direkte i SAM’et. Nøglen lagres på intet tidspunkt i controllerens eller pc’ens arbejdshukommelse.
• Manipulationsbeskyttelse: EAL5+-certificeringen bekræfter, at chippen er beskyttet mod fysiske angreb (sidekanalangreb, probing, fault injection).

Selv hvis en angriber afmonterer en adgangslæser fra væggen og skiller apparatet fuldstændigt ad, kan han ikke aflæse de lagrede nøgler.

Krypteret adgangskontrol på byggepladsen: Fra kortet til serveren

Sikkerhed slutter ikke ved adgangskortet. Bausicht garanterer en gennemgående krypteret kommunikationskæde fra det øjeblik, kortet aflæses, til behandlingen på serveren:

1. Kort → Læser (kontaktløst)

Kommunikationen mellem MIFARE DESFire EV3-kortet og læseren foregår via en AES-128-krypteret session med gensidig autentificering. Aflytning eller replay-angreb er udelukket.

2. Læser → Controller (OSDPv2 Secure Channel)

Læseren kommunikerer med adgangscontrolleren via OSDPv2-protokollen med Secure Channel. OSDPv2 er efterfølgeren til den forældede Wiegand-protokol og tilbyder:

• AES-128-krypteret datakanal mellem læser og controller
• Gensidig autentificering af læser og controller
• Beskyttelse mod manipulation, replay-angreb og man-in-the-middle-angreb

Godt at vide:

Den forældede Wiegand-protokol, der stadig anvendes i mange adgangssystemer, overfører data ukrypteret. Med en simpel Wiegand-sniffer til ca. 20 euro kan kortdata opsnappes direkte på kablet – helt uden adgang til selve kortet.

3. Controller → Server (TLS)

Kommunikationen fra adgangscontrolleren til Bausicht-serveren foregår via en TLS-krypteret forbindelse. Samtlige adgangsdata overføres krypteret og behandles sikkert på serveren.

Opret sikre byggepladspas: Plug & Play trods sikkerhedsstandarder for kritisk infrastruktur

Trods denne omfattende sikkerhedsarkitektur er opsætningen yderst enkel for dig som kunde. Bausicht stiller en Microsoft Windows-app samt et Chrome-browserplugin til rådighed, hvormed du kan tildele nye adgangskort krypteret på få sekunder:

• Tilslut USB-kortlæseren med integreret SAM til pc’en
• Åbn Bausicht-appen eller Chrome-pluginnet
• Vælg medarbejder og læg kortet på – færdig

Hele nøgleafledningen, krypteringen og beskrivningen af kortet kører automatisk i baggrunden. Du har brug for ingen som helst fagviden inden for kryptografi eller it-sikkerhed. Systemet udfører samtlige sikkerhedsrelevante trin fuldautomatisk.

Opsummering: Sikker adgangskontrol til byggepladser i overblik

I modsætning til UID-baserede eller MIFARE Classic-systemer tilbyder Bausicht en gennemgående krypteret adgangskontrol til byggepladser, hvor kopiering af et adgangskort er udelukket. Samtidig forbliver betjeningen lige så enkel som ved ethvert andet system – bare sikker.

Ideel til kritisk infrastruktur og højsikkerhedsområder

Bausichts gennemgående krypterede sikkerhedsarkitektur egner sig ikke kun til klassiske byggepladser, men er særligt velegnet til projekter inden for kritisk infrastruktur og højsikkerhedsområder. Overalt hvor der stilles de højeste krav til adgangskontrollen, leverer vores system det nødvendige sikkerhedsfundament:

• Datacentre: Operatører af kritisk it-infrastruktur er underlagt strenge krav i henhold til national it-sikkerhedslovgivning og NIS2-direktivet. En forfalskningssikker adgangskontrol med AES-256-kryptering og manipulationssikre SAM-moduler opfylder disse krav.
• Militære anlæg: Ved opførelse og vedligeholdelse af militære installationer er adgangen strengt reguleret. Kortindividuelle nøgler og EAL5+-certificerede kryptochips garanterer, at uautoriseret adgang ikke er mulig.
• Banker og finansielle institutioner: Fra nybyggeri af en bankfilial til ombygning af et boksrum – kombinationen af DESFire EV3, OSDPv2 Secure Channel og TLS-kryptering lever op til finanssektorens sikkerhedsstandarder.
• Energiforsyning og forsyningsinfrastruktur: Kraftværker, transformerstationer og vandværker hører til de mest følsomme områder af den offentlige forsyning. En adgangskontrol, hvor kortkopier er udelukket, er her uundværlig.

Godt at vide:

Bausicht-adgangskontrollen opfylder strenge sikkerhedskrav (bl.a. den tyske BSI-Grundschutz-standard) og egner sig til projekter, der er underlagt NIS2-direktivet og lovgivningen om kritisk infrastruktur.

Sikker adgangskontrol til din byggeplads med Bausicht

Vil du sikre din byggeplads eller dit kritiske infrastrukturprojekt med forfalskningssikre adgangskort baseret på MIFARE DESFire EV3? Med den digitale adgangskontrol fra Bausicht får du en gennemgående krypteret løsning – fra kortet til serveren. Overbevis dig selv og test det 14 dage gratis!