- Overweeg vervanging van Mifare Classic chips door een betere variant.
Afhankelijk van het effect en de kosten van aanvullende maatregelen, kan het nodig zijn hetvervangen van Mifare Classic chips door een betere variant te overwegen. Let daarbij op of degebruikte paslezers, eventueel met een software-update, in staat zijn ook met complexere chipssamen te werken. In dat geval hoeven alleen de passen fysiek te worden vervangen, wat minder kosten met zich mee brengt. Let wel: aangezien het vervangen van de chips vaak een langdurig traject zal is, is het (tijdelijk) treffen van aanvullende maatregelen onvermijdelijk.
Alhoewel in 2008 de Mifare DESfire MF3ICD40 al niet meer actief verkocht werd door NXP bestaat de kans dat organisaties deze chip als vervanger ingevoerd hebben. Gezien de recente ontwikkelingen zult u deze chip op termijn ook moeten vervangen. Op dit moment vereist het kraken nog veel expertise en tijd maar de verwachting is dat deze inspanning in de toekomst zal afnemen.
Tot slot
Het is belangrijk te realiseren dat toegangssystemen die geen gebruik maken van de Mifare Classic chips mogelijk nog zwakker zijn dan de nu gekraakte systemen. Dit geldt vooral voor oudere systemen, die bijvoorbeeld nog gebruik maken van magneetstrips of communicatie zonder encryptie. Hoewel de huidige media-aandacht voor de Mifare Classic chips maakt dat de impact daarvan zeer groot kan zijn, mogen ook andere systemen in dit kader niet worden veronachtzaamd.
Mogelijke aanvullende beveiligingsmaatregelen
Dit zijn voorbeelden van maatregelen die u kunt treffen om de risico’s van kwetsbare Mifare chips te beperken. Dedaadwerkelijk te treffen maatregelen zijn afhankelijk van uw specifieke toepassing. Als intern onvoldoende expertise op dit gebied beschikbaar is, is het aan te bevelen contact op te nemen met uw leverancier of een externe specialist.
Organisatorische maatregelen:
- Stel visuele controles in op passen bij toegangssystemen (bijv. een gebouwingang), om te controleren op ongeautoriseerde toegangspogingen. Daarbij kan worden gelet op vormgeving van de pas, aanwezige pasfoto’s en eventuele andere echtheidskenmerken.
- Voer draagplicht voor toegangspassen in. Vooral in grote organisaties, of locaties met veel externe medewerkers of bezoekers helpt draagplicht bij het identificeren van ongewenste aanwezigen.
- Verhoog het beveiligingsbewustzijn van medewerkers, door te communiceren over risico’s en getroffen maatregelen. Het identificeren van risico’s begint met het kennen van mogelijke risico’s.
- Richt procedures in rondom uitgifte en inname van passen, om te voorkomen dat passen gaan zwerven of in handen van kwaadwillende terechtkomen. Besteed daarbij aandacht aan te ondernemen acties bij verlies of diefstal (zoals blokkade van passen).
- Scherp waar mogelijk toegangsrechten van passen aan, om de gevolgen van gekopieerde passen te beperken. Let daarbij in eerste instantie vooral op kritieke ruimten.
- Zorg dat procedures beschikbaar zijn voor het afhandelen en escaleren van meldingen van ongeautoriseerde toegang.
- Zorg voor strikte procedures rondom de ontvangst en begeleiding van bezoekers. Zorg daarbij dat inname van bezoekerspassen een vereiste is.
- Voer een controle en opschoning uit van uitgegeven toegangspassen. Blokkeer passen van vertrokken medewerkers.
- Let extra op verdachte personen die rondhangen bij paslezers, om pogingen tot het afvangen van communicatie te verhinderen.
Technische maatregelen:
- Vermijd bij voorkeur toegangscontrole op basis van alleen het UID van een chip.
- Beveilig passen niet allemaal op basis van dezelfde sleutel, maar maak gebruik van sleuteldiversificatie.
- Dwing indien mogelijk af dat het toegangssyteem passen op basis van het UID blokkeert na meerdere foutieve authenticatiepogingen.
- Sla transactietellers op, zowel in het toegangssyteem als in passen, zodat alleen sequentiële pogingen worden geaccepteerd. Dit helpt tegen het gebruik van kopie-passen, omdat in dat geval de doorlopende telling van transacties niet meer klopt.
- Activeer indien mogelijk ‘anti-passback’ functionaliteit in fysieke toegangssystemen. Dit houdt in dat wordt afgedwongen dat een pas niet twee keer achter elkaar toegang krijgt zonder tussentijds vertrek.
- Activeer, indien mogelijk, functionaliteit om ongeautoriseerde acties te identificeren. Een voorbeeld daarvan is het kort na elkaar aanbieden van een pas op twee ver uit elkaar gelegen locaties.
- Voer waar mogelijk twee-factor authenticatie in voor de meest kritieke ruimten. Bij twee-factor authenticatie wordt niet alleen het bezit van de pas gecontroleerd, maar bijvoorbeeld ook kennis van een pincode of een biometrische eigenschap zoals een vingerafdruk.
- Voorzie gebruikers van beschermende hoesjes die geen straling doorlaten. Door pasjes hierin te bewaren kunnen pasjes niet worden uitgelezen wanneer ze niet worden gebruikt. Dit voorkomt echter niet het afvangen van communicatie tijdens het gebruik van de pasjes.
- Deactiveer indien nodig kaartlezers en stap over op andere toegangscontroles (zoals centrale deurbediening of fysieke controle bij de deur).
GOVCERT.NL is het Cyber Security & Incident Response Team van de Nederlandse overheid. Vragen over de inhoud van deze factsheet kunt u richten aan .... of telefonisch via .....
Deze factsheet is gepubliceerd onder de voorwaarden beschreven in de Creative Commons Naamsvermelding Niet-commercieel-Gelijk delen 3.0 Nederland licentie.
