بطاقات الدخول لديك قد تكون قابلة للنسخ

معظم البطاقات لم تُصمَّم لتكون سرية أصلاً

لا تزال مبانٍ كثيرة في المنطقة تستخدم بطاقات Proximity بتردد 125 kHz. هذه البطاقات تبث رقماً ثابتاً حين تقترب من القارئ، دون أي تشفير أو تحقق متبادل. وتستطيع أجهزة محمولة متوفرة بسهولة قراءة البطاقة من مسافة قصيرة، وكتابة رقمها على بطاقة فارغة خلال ثوانٍ.

أضافت بطاقات MIFARE Classic، التي انتشرت في العقدين الأول والثاني من الألفية، طبقة تشفير، لكن نقاط ضعفها معروفة علناً منذ سنوات طويلة، وأدوات استخراج مفاتيحها متاحة على نطاق واسع.

ما البديل؟

الممارسة الحالية هي بطاقة تعتمد تشفيراً حديثاً ومفتوح المعايير، بمفاتيح خاصة بالموقع. تستخدم بطاقات MIFARE DESFire EV2 وEV3 تشفير AES-128، وتدعم اشتقاق المفاتيح، بحيث تحمل كل بطاقة مفاتيح مشتقة من رقمها التعريفي الفريد. وبطاقات التعريف عبر الجوال خيار سليم أيضاً حيث يتقبّلها الموظفون، بشرط فهم طريقة إدارة المفاتيح في المنصة المستخدمة.

البطاقة جزء من الحل فقط. فإذا كان القارئ يرسل رقم البطاقة إلى وحدة التحكم عبر سلك Wiegand غير مشفّر، يستطيع المهاجم التنصت على السلك. أما بروتوكول OSDP مع Secure Channel فيشفّر هذا الاتصال ويراقب حالة القارئ.

من يملك المفاتيح؟

اسأل مكامل الأنظمة لديك سؤالاً واحداً: من يحتفظ بمفاتيح التشفير لبطاقاتنا؟ إذا كانت الإجابة «المفاتيح الافتراضية للشركة المصنّعة» أو «لسنا متأكدين»، فتقنية البطاقة أقل أهمية مما تظن. يجب أن تكون المفاتيح خاصة بالموقع، وموثّقة، ويحتفظ بها المالك تحت رقابة، وأن تُسلَّم إليه في نهاية المشروع.

الانتقال دون تحويل مفاجئ يعطّل العمل

1. حصر البطاقات الحالية والقارئات المستخدمة.
2. تركيب قارئات تقبل بطاقة التعريف القديمة والجديدة معاً.
3. إصدار البطاقات الجديدة حسب الإدارة أو المبنى، وإلغاء تفعيل البطاقات القديمة كلما اكتملت مجموعة.
4. عند انتقال آخر مجموعة، تعطيل التقنية القديمة في القارئات.

استفد من الانتقال لتنقية قائمة المستخدمين. فالموظفون والمقاولون السابقون الذين ما زالت بطاقاتهم فعّالة من أكثر الملاحظات شيوعاً في تدقيق أنظمة التحكم بالدخول.