Gdzie są granice bezpieczeństwa naszej kontroli dostępu
Sześć warstw ochrony w iCober SAC — od karty po połączenie z chmurą. Uczciwie także o tym, czego system nie obiecuje i czego nie potrafi.
Kiedy klient pyta mnie: „Czy to jest bezpieczne?", nie odpowiadam po prostu „tak".
Bezpieczeństwo trzeba umieć wyjaśnić i zmierzyć — przede wszystkim pokazać, przed czym system chroni i jakie ma ograniczenia.
W naszym przypadku nie chodzi wyłącznie o zabezpieczenie samego pojemnika na odpady. Chodzi również o ochronę danych mieszkańców oraz danych naszego klienta.
1. Karta, której nie da się skopiować samym numerem
W przypadku kart DESFire EV2 i EV3 czytnik nie traktuje karty jak zwykłego identyfikatora, który wystarczy odczytać i skopiować.
Zamiast pytać kartę: „Jaki masz numer?", czytnik rozpoczyna proces uwierzytelniania. Wysyła losowe wyzwanie, a karta musi udowodnić, że zna właściwy klucz kryptograficzny.
Klucz nie jest przesyłany podczas komunikacji. Dzięki temu samo przechwycenie komunikacji między kartą a czytnikiem nie daje napastnikowi informacji, która pozwoliłaby po prostu skopiować kartę.
W praktyce oznacza to, że odczytanie identyfikatora karty to nie to samo, co jej sklonowanie.
| Zwykła karta zbliżeniowa | DESFire EV2 / EV3 | |
|---|---|---|
| Co identyfikuje kartę? | Stały numer/identyfikator | Uwierzytelnienie kryptograficzne |
| Czy karta wysyła swój klucz? | Nie dotyczy — zabezpieczenie może opierać się tylko na numerze | Nie — klucz nie opuszcza karty |
| Czy można wykorzystać podsłuchaną komunikację? | W niektórych systemach może to ułatwić skopiowanie identyfikatora | Kolejne uwierzytelnienie wykorzystuje nowe, losowe wyzwanie |
| Co daje poznanie numeru karty? | Może wystarczyć do jej „udawania", zależnie od systemu | Sam numer nie wystarcza do uwierzytelnienia |
| Czy każda karta ma ten sam klucz? | Zależy od zastosowanego systemu | W naszym wdrożeniu klucz jest wyprowadzany osobno dla każdego użytkownika |
| Co w przypadku kompromitacji jednej karty? | Zakres zależy od architektury systemu | Klucz jednej karty nie ujawnia klucza głównego ani kluczy pozostałych kart |
Co to oznacza dla klienta?
Nie budujemy bezpieczeństwa na założeniu, że „nikt nie będzie próbował skopiować karty".
Zakładamy, że ktoś może mieć dostęp do karty, może próbować odczytać jej komunikację albo poznać jej identyfikator. System jest zaprojektowany tak, żeby sama znajomość numeru karty ani podsłuchanie komunikacji nie wystarczały do uzyskania dostępu.
To jest zasadnicza różnica między prostym identyfikatorem zbliżeniowym a kartą wykorzystującą uwierzytelnianie kryptograficzne.
W naszej implementacji klucz sesyjny jest wyprowadzany osobno dla każdego użytkownika z klucza głównego, funkcją jednokierunkową. Poznanie klucza jednej karty nie odsłania więc ani klucza głównego, ani kluczy pozostałych kart.
2. Żadnych danych osobowych na urządzeniu
Czytnik przechowuje wyłącznie identyfikator karty i typ uprawnienia. Kto stoi za kartą, wie tylko panel klienta.
Kradzież albo demontaż czytnika nie ujawnia niczyich danych. To realna korzyść w rozumieniu RODO.
3. Do chmury tylko szyfrowane połączenie
Urządzenia komunikują się z serwerem wyłącznie przez szyfrowane połączenie TLS.
Dzięki temu dane przesyłane między urządzeniem a serwerem nie idą otwartym tekstem — podsłuchanie samego łącza nic nie daje.
Dodatkowo dane poszczególnych klientów są od siebie logicznie odizolowane. System nie traktuje wszystkich danych jako jednej wspólnej bazy, do której każdy klient ma dostęp.
| Połączenie bez szyfrowania | Połączenie TLS | |
|---|---|---|
| Co można zobaczyć po drodze? | Treść przesyłanych danych | Dane są zaszyfrowane |
| Czy samo przechwycenie transmisji wystarczy do odczytania danych? | Tak | Nie — potrzebne byłoby złamanie zastosowanych zabezpieczeń kryptograficznych |
| Co daje podsłuch transmisji? | Może ujawnić przesyłane dane | Przechwycone dane nie powinny być użyteczne bez odpowiednich kluczy |
Ważne: szyfrowanie chroni dane przede wszystkim w czasie transmisji. Ochrona danych na serwerze i kontrola dostępu do nich to osobne warstwy bezpieczeństwa.
4. Odebranie karty oznacza faktyczne odebranie dostępu
Samo usunięcie karty w panelu administracyjnym nie jest jeszcze końcem procesu.
System traktuje kartę jako odebraną dopiero wtedy, gdy urządzenie potwierdzi otrzymanie i zastosowanie zmiany uprawnień.
Dzięki temu administrator nie musi zastanawiać się, czy polecenie „usuń kartę" rzeczywiście dotarło do urządzenia.
W systemie można więc jednoznacznie rozróżnić:
- polecenie wysłane,
- polecenie odebrane przez urządzenie,
- zmianę faktycznie zastosowaną.
To istotna różnica w porównaniu z systemem, który pokazuje w panelu „karta usunięta", mimo że urządzenie może jeszcze przez jakiś czas respektować jej uprawnienia.
5. Brak zasięgu nie oznacza utraty danych
Utrata połączenia z siecią nie powoduje automatycznie utraty historii zdarzeń.
Decyzja o otwarciu pojemnika jest podejmowana lokalnie przez urządzenie, na podstawie zapisanych uprawnień. Nie trzeba za każdym razem czekać na odpowiedź serwera.
Jeżeli urządzenie chwilowo nie ma połączenia, zdarzenia są zapisywane lokalnie. Po przywróceniu komunikacji są przekazywane do serwera i synchronizowane z systemem.
Oznacza to, że awaria lub chwilowy brak zasięgu nie powinny zamieniać historii otwarć w „dziurę" w danych.
6. Telefon może zastąpić kartę — bez zmiany modelu bezpieczeństwa
Telefon nie dostaje specjalnego „łatwiejszego" dostępu.
Aplikacja wykorzystuje ten sam mechanizm uwierzytelniania oparty na wyzwaniu i odpowiedzi kryptograficznej. Urządzenie musi zweryfikować, że komunikująca się z nim aplikacja posiada odpowiednie uprawnienia.
Dla użytkownika oznacza to po prostu: telefon zamiast karty, ale nie kosztem bezpieczeństwa.
Z punktu widzenia systemu nadal obowiązuje ta sama zasada: dostęp nie wynika wyłącznie z tego, że ktoś zna identyfikator użytkownika. Urządzenie musi poprawnie zweryfikować uprawnienia drugiej strony.
Czego nie powiem
Nie powiem, że tego nie da się złamać — nikt uczciwy tego nie mówi. Powiem, że wiem, gdzie są granice, bo je zmierzyłem i zapisałem. I że każda z tych warstw istnieje po to, żeby dane naszych klientów i ich mieszkańców były bezpieczniejsze niż wczoraj.
Jak te mechanizmy pracują w urządzeniu — na stronie Kontrola dostępu SAC. Po co w ogóle zamykać pojemnik, opisaliśmy na stronie jak ograniczyć podrzucanie odpadów.