Anmelden


Genetec: Cyberangriffe - Unterschätzte Gefahr für Zutrittskontrollsysteme

 

In vielen Unternehmen sind in Corona-Zeiten die Büros verwaist, weil die Mitarbeiter ihrer Arbeit im Homeoffice nachgehen. Die unaufhaltsame Digitalisierung des Alltags, u.a. durch das Internet-of-Things (IoT) machen das möglich. Alle Daten aus dem Firmennetzwerk stehen via Cloud standortunabhängig zur Verfügung. Doch mit fortschreitender Digitalisierung ergeben sich auch für Cyberangriffe immer neue Lücken.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer hohen Adaptionsfähigkeit von Cyberkriminellen während der Corona-Krise. Laut der aktuellen Veröffentlichung „Die Lage der IT-Sicherheit in Deutschland 2020“ gibt es laut BSI eine Zunahme von Cyberangriffen mit Bezug zur Corona-Thematik. So wurden beispielsweise zahlreiche Phishing-E-Mails mit vermeintlichen Corona-Informationen im vergangenen Jahr verschickt. Nicht selten führen die darin versteckten Links zu Webseiten, die wiederum Schadprogramme wie Ransomware oder Trojaner auf dem Rechner installieren.

Cybersicherheit beschränkt sich heute aber bei Weitem nicht mehr nur auf Phishing-E-Mails oder Ransomware-Attacken. Zutrittskontrollsysteme öffnen Cyberkriminellen weit mehr als nur Tür und Tor auf das Firmengelände, sondern können bei unzureichendem Schutz auch Zugriff auf das gesamte Firmennetzwerk mit allen sensiblen und geschützten Daten ermöglichen.

Cybersecurity für Zutrittskontrollsysteme
Die Installation von Zutrittskontrollsystemen bringt eine aufwändige Installation und komplexe proprietären Verkabelung mit sich, weshalb sie oft über viele Jahre unverändert im Einsatz sind. Alte Hardware ist allerdings schwer zu ersetzen bzw. zu aktualisieren und weist vielfach bekannte und leicht auszunutzende Schwachstellen auf. Moderne IP-basierte Zutrittskontrollsysteme bieten hingegen fast freie Auswahl auf dem Hardwaremarkt und können auf Jahre hinaus an die aktuelle Bedrohungslandschaft angepasst werden. Zusammen mit Videoüberwachung, Alarmsystemen etc. lassen sie sich darüber hinaus in einer übergreifenden, vereinheitlichten Plattform integrieren.

Gleichzeitig entstehen dadurch neue Herausforderungen für die Cybersicherheit: IP-Lesegeräte, IP-Schlösser oder IP-Intercoms sind bei falscher Konfiguration oder unzureichendem Schutz ein leichtes Ziel für Angriffe über das Netzwerk. Noch komplexer wird die Gemengelage bei der Vielzahl der über die ganze Architektur verteilten Komponenten, darunter Smartphones, Karten, Türlesegeräte, Schlösser, Controller und Software.

Risiko NFC?
Smartphones kommen häufiger zur Anwender-Identifikation zum Einsatz. Dadurch ergeben sich einige interessante Einsatzszenarien. So können Besucher vorab mit temporären Zugangsdaten versorgt werden, um zum Beispiel bestimmte Meeting-Räume erreichen zu können, ohne am Empfang warten zu müssen. Gegen die Verwendung von Bluetooth oder Near Field Communication (NFC) zur Übertragung an der Tür ist aus Sicherheitsperspektive – entgegen einer verbreiteten Meinung – nichts einzuwenden. Bei korrekter Umsetzung sind diese Kanäle nicht inhärent unsicher. Besonderes Augenmerk sollte aber der Sicherheit des Smartphones gelten. Vor der Bereitstellung mobiler Zugangsdaten sollten drei Aspekte zweifelsfrei geklärt sein:
• Wie werden Zugangsdaten generiert, gespeichert und auf dem Gerät geschützt?
• Wie kommuniziert das Handy mit dem Lesegerät?
• Wie kann das Lesegerät sicher auf Zugangsdaten zugreifen?

Veraltete Zutrittskarten enthalten ungeschützte Nutzerdaten
Sowohl kontaktlose Proximity Cards (125 kHz) als auch die mancherorts noch genutzten Karten mit Magnetstreifen erfüllen nicht mehr die heutigen Sicherheitsanforderungen, denn sie enthalten unverschlüsselte Nutzer-Credentials. Über verschiedene Verfahren können diese ausgelesen und zum Beispiel auf Blanko-Karten übertragen werden. Im Gegensatz dazu enthalten die heute verbreiteten SmartCards nur verschlüsselte Informationen. Für höchste Sicherheitsanforderungen empfiehlt sich die Verwendung der 13.56 MHz SmartCard-Technologie auf Basis der HID iCLASS SEOS oder MIFARE DESFire EV1 oder EV2 Plattform, da hier die Daten bei der Übertragung von der Karte zum Lesegerät verschlüsselt werden.

Nicht selten verwenden ältere Systeme für die Datenübertragung zwischen Lesegerät und Controller noch das Wiegand-Protokoll, das leicht angezapft werden kann. Durch den Austausch älterer Geräte gegen neue mit Unterstützung für Open Supervised Device Protocol (OSDP) Secure Channel mit Ende-zu-Ende-Verschlüsselung lässt sich die Kommunikation zwischen Lesegerät und Controller umfassend schützen. Das Decoding der verschlüsselt übertragenen Daten findet hier auf Controller-Ebene statt, ganz außerhalb der Reichweite externer Angreifer.

Migration schrittweise umsetzen
Für Schlösser gilt dasselbe wie für Karten und Lesegeräte: Nur neue Technologie bietet die heute erforderlichen Authentifizierungs- und Verschlüsselungsverfahren. Die Ablösung veralteter Hardware an der Tür ist daher letztendlich unvermeidbar. Offene Unified-Management-Plattformen wie Genetec Security Center ermöglichen aber die Einbindung bestimmter älterer Komponenten, sodass Unternehmen die Hardware schrittweise austauschen können. Unter Umständen lassen sich sogar nicht integrierbare Controller und Lesegeräte durch einen Hardwareaustausch OSDP-fähig machen, ohne Gehäuse oder Verkabelungen auszutauschen.

Nächster Schritt: Zentrale Sicherheitsplattform schützen
Aktuellste Hardware an der Tür ändert nichts daran, dass IP-basierte Sicherheitssysteme denselben Cyberbedrohungen ausgesetzt sind wie alle anderen kritischen Applikationen im Unternehmensnetz. Ein alleiniger Schutz des Perimeters ist nicht mehr zeitgemäß, die Systeme müssen selbst sicher sein, gerade auch im Hinblick auf die DSGVO. Zu den zentralen Sicherheitsaspekten gehört daher der Einsatz von Zwei-Faktor- Authentifizierungsverfahren für die Management-Plattform.

Dabei geht es nicht nur um die Überprüfung von Nutzeridentitäten, sondern auch um die Verhinderung von Man-in-the-Middle-Angriffen, mit denen sich ansonsten Logins für die Management-Plattform abgreifen lassen. Auf der Client-Seite wird dazu in der Regel eine Kombination aus Benutzername und Passwort, Token oder auch biometrischen Daten eingesetzt. Für die serverseitige Authentifizierung werden digitale Zertifikate verwendet, die im Rahmen einer PKI (Public Key Infrastruktur) Informationen über den Public Key und seinen Besitzer sowie eine digitale Signatur des Zertifikatsausstellers enthalten.

Zum Schutz der Privatsphäre sind darüber hinaus Autorisierungsverfahren notwendig, damit Nutzer nur innerhalb ihrer Rechte Daten aufrufen, exportieren, löschen oder bearbeiten können. Dies ist insbesondere für die Zutrittskontrolle relevant, da hier ansonsten schnell Kollisionen mit Datenschutz- und Persönlichkeitsrechten entstehen.

Fazit
Unternehmen können auf jeder Ebene beginnen, das Risiko eines Cyberangriffs auf Zutrittskontrollsysteme schrittweise zu senken. Letztendlich muss aber jede Komponente in das Sicherheitskonzept einbezogen werden, von der Karte oder dem Smartphone bis zur Hardware an der Tür. Gerade mit Blick auf gezielte Angriffe und Wirtschaftsspionage reichen zudem Maßnahmen zum allgemeinen Netzwerkschutz nicht aus, die Management-Plattform und die Netzwerkkommunikation müssen sicher sein. Erreicht wird dies durch starke Authentifizierung, Rollen-basierte Berechtigungen, Verschlüsselung und kritische Geräteauswahl.

Autor: Kay Ohse, Genetec  - Regional Sales Director Germany, Switzerland, Austria, Eastern Europe