Menu

Access Control

tipobadge

Il badge … se proprio dovete

, 0

Alcuni appunti di viaggio su esperienza fatta per la produzione di badge aziendali:

✅ FARE: il Layout del badge va fatto decidere da chi fa comunicazione e marketing in azienda, a ognuno il proprio mestiere

✅ FARE: mettere solo il nome evitando di mettere a vista il cognome, i dati aggiuntivi possono essere messi in altro modo

✅ FARE: utilizzare un QR-Code per mettere dati aggiuntivi, meglio se punta a sito con accesso riservato

✅ FARE: mettere una foto GRANDE e riconoscibile a distanza, puoi anche utilizzare i software che tolgono lo sfondo

✅ FARE: aggiungi informazioni sul badge come ID dipendente (no codice fiscale o altro), Area di lavoro, ecc.

✅ FARE: utilizzare colori o icone per identificare l’area di lavoro

✅ FARE: se possibile duplicare le informazioni su entrambi i lati, in modo che si gira mentre si cammina si a sempre riconoscibile

✅ FARE: utilizzare la tecnologia RFID al posto della banda magnetica o vecchi sistemi, 13,56 MHZ per una maggiore sicurezza basta che sia cifrato

✅ FARE: utilizza un overlay 3D PERSONALIZZATO oppure olografia, NON con il logo aziendale

✅ FARE: emettere un solo badge per persona

✅ FARE: utilizzare badge verticali, si impiglia meno

✅ FARE: stabilire un costo per la sostituzione del badge, questo crea più controllo da parte dell’utente

✅ FARE: imporre una scadenza automatica ai badge non utilizzati per un certo numero di giorni, di solito 90gg va bene, oppure avere una scadenza alle sole abilitazioni per le aree ad alto interesse

✅ FARE: avere una buona Policy e Procedure per la gestione dei badge

✅ FARE: avere una gestione dei badge blank e il ritiro dei badge

✅ FARE: fare un piccolo manualetto su come fare le foto, nel 2003 non c’erano ancora i cellulari per fare foto decenti, quindi si utilizzava una classica macchinetta fotografica, allora con un foglio per slide feci una sagoma di mezzo busto e la incollai sul monitor della macchina fotografica, in modo che per fare la foto bastava mettere a fuoco la testa della persona all’interno della sagoma, piccolo trucco che però evitava di aver a che fare con tanti promettenti Elmut Newton

❌ NON FARE: non mettere dati come codice del badge, carta identica, etc.  🏡🔑
❌ NON FARE: il badge non deve “dire” dove può essere utilizzato 🏡🔑
❌ NON FARE: pubblicare il vostro badge sui social o apparire in foto con il badge indossato

Personalmente credo che il badge sia ormai sorpassato sia come tecnologia sia come strumento di identificazione, quindi se chiedete a me sapete già come vi rispondo

Se poi cercate sul mio sito troverete un’ampia raccolta di badge recuperati su web … uno spettacolo

Mantrap-Systems

Man Trap

0

Uno dei problemi degli accessi, anche se in presenza dei flamigerati tritacarne o bussole, è quello di essere sicuro che solo chi è autorizzato possa entrare

Il problema si complica ulteriormente quando con un solo titolo di accesso personale due o più persone possono accedono

Alcune aziende hanno sviluppato sistemi di tipo fisico e misto fisico-logico tra cui la Quanergy Systems, Inc, attiva nel settore della produzione di sistemi Lidar 2 D e 3D, che ha rilasciato il sistema 3D LiDAR Mantrap Tailgating Solution in grado di verificare la presenza di più persone nell’area di ingresso

Queste applicazioni sono spesso utilizzate nei Data Center proprio per andare a controllare chi accede alle aree sicure anche senza passare per il tritacarne

In alcuni casi le bussole vengono anche dotate di celle di carico molto precise per verificare che chi esce non abbia una variazione positiva di peso rispetto al momento dell’ingresso

Mantrap
keydecoder

Key Management – proteggere le chiavi fisiche

0

Spesso nella gestione delle chiavi fisiche si dimenticano alcuni aspetti che se non gestiti possono creare problemi

Uno di questi è la disponibilità delle chiavi, magari in una teca o in un mazzo, dove anche se non disponibile fisicamente, è possibile realizzare una o più foto con cui è si ricrea il master

Ma si è andati oltre, è stata sviluppata una applicazione in grado di elaborare le foto della chiavi e da qui riprodurre il suo master

La libreria che trovate QUI, denominata KeyDecoder, è stata sviluppata per decodificare una tipologia semplice di chiave, ma ovviamente con un po di impegno è possibile applicare tale metodologia a sistemi di chiusure molto più complessi

La cosa può anche raggiungere livelli impressionanti se al posto di una foto si utilizzasse sistemi ToF, così da poter ottenere campionamenti di alta precisione e complessità in grado di riprodurre master complessi

Di conseguenza, sta al Key Manager o all’owner delle vostre chiavi, una volta scelto il grado di Security che si vuole ottenere, preoccuparsi di dove fisicamente vengono risposte e custodite

Tutti questi discorsi sono ovviamente a valle di tutte le problematiche riguardanti il Key Management tra cui il grado di copiabilità della chiave fisica   

Clear

Clear: Identity Verification

0

Questo è quanto molto probabilmente ci attenderà da settembre in poi per entrare nelle aziende o nei spazi od eventi pubblici

Sistemi come quelli della Clear potrebbero effettivamente risolvere molti problemi da quelli di Safety per arrivare a quelli della Security, tra cui non ultimo quello dell’identificazione degli ospiti

Rimane il fatto che non c’è uno standard, oltre al formato dei documenti digitali, di conseguenza ogni azienda produttrice potrà “complicarsi” la vita a piacimento e definire il livello di sicurezza che si vuole raggiungere

Personalmente lo trovo un sistema valido dal punto di vista dell’idea, al pari dell’altro sistema inglese

Sarà da capire il livello di diffusione che si avrà e i costi correlati

Qui l’elenco delle aziende attive in questo ambito:

p_1_9_6_8_1968-Conf-da-100-Card-Bianche-RFID-125-KHz-Rread-Only

Quale Badge Tecnology?

0

Qui di seguito trovate alcune considerazioni che mi sono venute in mente di getto a cui prestare attenzione nella valutazione della tecnologia del badge da utilizzare nel futuro (se avete da aggiungere scrivetemi):

Over tecnology:

  • scegliere una tecnologia in base a cosa si deve proteggere, è inutile selezionare una tecnologia estremamente sofisticata se poi in effetti non si deve protegge nulla, diversamente se devi proteggere qualcosa di alto valore è bene che si vadano ad analizzare vari parametri tra cui robustezza nel tempo, diffusione, interfacciabilità e multi vendor
  • di solito i sistemi di controllo accessi utilizzano l’interfaccia wiegand per connettere lettori di badge, interfaccia che ha tutta una serie di problemi che vanno dal passaggio dei cavi al hackeraggio. Di conseguenza è bene prevedere nel cambio di tecnologia dei badge, anche una rivisitazione dei lettori di badge, andando ad acquistare lettori che prevedono l’interfaccia OSDP v2 e che sopportino la cifratura (da verificare se il controllore sopporti OSDP v.2).  Considerare anche l’opportunità di prendere lettori che hanno l’interfaccia LAN, che sicuramente ha dei livelli di protezione maggiori e una gestione più sofisticata della OSDP nonché tutto un altro approccio al concetto di controllo accessi (anche qui ci sarebbe da approfondire la problematica concentratore di campo verso server)
  • nel caso non abbiate molti soldi a disposizione è possibile proteggere le interfacce wiegand con opportune apparecchiature oppure utilizzando dei convertitori di protocollo wiegand-OSDP (ma è bene che state mettendo ‘n pezza che deve essere temporanea)
  • scegliere una tecnologia di badge che il proprio controllo accessi riesca a digerire senza troppe alchimie
  • per avere livelli di cifratura elevati, quindi sicurezza elevata, il pegno è la perdita della connessione RFID, cioè è solo disponibile la versione contact (vedi Mifare SAM con chiavi da 2K) questo dovrebbe far riflettere sul mondo del RF
  • per ambienti di alta sicurezza, va abbandonato il badge, o meglio va aggiunto al badge il biometrico, va fatta una considerazione su dove viene memorizzato il templete del biometrico, ovviamente va messo almeno su un badge a tecnologia DESFire oppure direttamente su Server (se il vostro DPO ve lo consente) tenendo conto di proteggere tutta la catena del controllo accessi
  • valutare anche l’opportunità di prendere lettori che utilizzino anche sistemi di comunicazione BLE e Ultra Wide Band (UWB) per l’identificazione via Mobile (a patto che la comunicazione sia cifrata)
  • considerate anche i tempi tra sostituzione dei lettori di badge, ove necessario, e sostituzione dei badge, fondamentale avere un sistema di controllo accessi che consenta di detenere più badge attivi per singola persona oppure pensare ad una transizione
  • date anche una occhiata alla dimensione della di memoria a disposizione (1, 4, 8, 16K) specialmente se avete più templete o molti dati da memorizzare
  • vi ricordo anche che quasi tutti questi sistemi usano la cifratura simmetrica, quindi dovete saperla gestire, nonché prevedere le frequenze di refresh delle chiavi
  • tempo fa la NXP tirò fuori il modello SmartMX che permetteva di caricare a bordo del badge applicativi prodotti dai clienti stessi e che potevano reagire diversamente in base al sistema che li leggeva, ma mi sa che non ci sono più
  • ovviamente ci sono anche altre tecnologie ma ricordate il detto “è bene affogarsi nel mare profondo perché in quello basso ci si fa male”
    iclass-seos-card-800x800

    Nel caso di scelta SeoS di HID va considerato che:

    • la tecnologia Seos si basa sul concetto di contenitore e token crittografato legato al supporto (badge) con cifratura AES-128/2TDEA
    • tale tecnologia è proprietaria di HID e quindi viene letta solo da lettori HID (??), che notoriamente è un monopolista (AssaAbloy) e non proprio economico, in quanto stiamo parlando di prodotti di alta qualità e robustezza; considerare bene che tale scelta che “vi fa fare sonni tranquilli”, implica legarsi mani e piedi a vita con HID
    • HID ha una alta diffusione sul mercato, di conseguenza è maggiormente presa di mira da hackers (vedi BlackHat, DefCon, etc.) sia lato badge sia lettori di badge e concentratori di campo
    • la tecnologia Seos è possibile averla nativa su badge combo ProxCard, Mifare, Legic, etc. quindi comoda per un eventuale migrazione da un precedente ambiente, a patto che vi ricordate di sistemare le interfacce wiegand
      mifare_logo_rgb

      Nel caso di scelta di Mifare DESFire ev2 va considerato che:

      • tale tecnologia è ampiamente diffusa, sono presenti molti produttori di lettori di badge che utilizzano vari sistemi di interfacciamento (wiegand, OSDP e LAN)
      • NXP ha una alta diffusione sul mercato, di conseguenza è maggiormente presa di mira da hackers (vedi BlackHat, DefCon, etc.) molti ci stanno lavorando, facendo solo badge il campo da gioco si restringe a questo settore
      • tecnologia che può essere acquistata da più vendor, quindi ad un prezzo di mercato
      • la cifratura prevede da 56 fino a 168 bit keys, quindi ancora al disotto dei livelli dei 256bit che ad oggi sono auspicabili
      • la tecnologia Mifare è possibile averla nativa su badge combo ProxCard, quindi comoda per un eventuale migrazione da un precedente ambiente, a patto che vi ricordate di sistemare le interfacce wiegand
      • la DESFire è retro compatibile con la Mifare Classic quindi comodo per un eventuale passaggio da Classic a DESFire