RFID Kartlar Kopyalanabilir mi? Güvenli Kart Teknolojileri Hangisi?

Kartlı geçiş sistemleri kurarken en çok duyduğum soru şu: "Bu kartı kopyalayabilirler mi?" Dürüst cevabım genelde insanları rahatsız ediyor: Piyasada en çok satılan kartların büyük kısmı beş dakikada kopyalanabiliyor. Hatta bunun için hacker olmanız gerekmiyor; internetten aldığınız 20 dolarlık bir cihaz iş görüyor. Ama iyi haber de var: doğru kart teknolojisini seçtiğinizde kart kopyalanması pratikte imkânsız hale geliyor. Aşağıda kendi kurulumlarımda izlediğim yolu, hangi kartı neden seçtiğimi ve nerelerde tökezlediğimi anlatıyorum.

Önce şunu netleştirelim: Kopyalanan şey kart mı, veri mi?

Bir RFID kartın içinde iki farklı şey var: kartın UID'i (seri numarası) ve kartın hafızasındaki şifreli veri blokları. Eğer okuyucunuz sadece UID'e bakıyorsa, kartın ne kadar gelişmiş olduğu hiç önemli değil — çünkü UID kimliği doğrulanmadan okunan açık bir bilgidir. Bunu ilk kez fark ettiğimde şaşırmıştım: müşteri pahalı, şifreli kart almış ama okuyucu ayarı "UID okuma" modundaydı. Yani binlerce liralık kart, 1 liralık kart kadar güvenliydi.

Dolayısıyla güvenlik = kart teknolojisi + okuyucunun bu teknolojiyi gerçekten kullanması. İkisi birlikte olmalı.

Adım adım: Sisteminizin kopyalanabilirliğini nasıl değerlendirirsiniz?

1. Kartınızın frekansını belirleyin. Elinizdeki kart ince, beyaz ve üzerinde numara basılıysa büyük olasılıkla 13,56 MHz. Kalın, daire biçimli anten görünen kalın kartlar genelde 125 kHz. Frekansı bilmeden hiçbir şey söylenemez.
2. 125 kHz ise kabul edin: kopyalanabilir. EM4100 ve benzeri düşük frekans kartlarda şifreleme yoktur; kart sadece numarasını yayınlar. T5577 gibi yazılabilir boş kartlara bu numara doğrudan yazılır. Otopark, asansör, apartman dış kapısı gibi yerlerde hâlâ yaygın; ama "güvenli" demek yanlış olur.
3. 13,56 MHz ise alt tipini öğrenin. Mifare Classic 1K/4K, Mifare Plus, DESFire EV1/EV2/EV3, iCLASS, NTAG… Hepsi aynı frekansta çalışır ama güvenlik seviyeleri arasında dağlar kadar fark var. Kart faturasında veya kutusunda çip adı yazar; yazmıyorsa tedarikçiye sorun ve yazılı cevap isteyin.
4. Mifare Classic kullanıyorsanız orta risk grubundasınız. Bu kartların şifreleme algoritması yıllar önce kırıldı; sektör anahtarları özel cihazlarla makul sürede çözülebiliyor. Fabrika çıkışı varsayılan anahtarlar hiç değiştirilmediyse süre saniyelere düşer.
5. Gerçek güvenlik istiyorsanız AES tabanlı karta geçin. Mifare DESFire EV2/EV3 ya da iCLASS Seos gibi kartlarda kimlik doğrulama AES-128 ile yapılır ve kart, okuyucuya "sırrını" hiç açmaz; karşılıklı doğrulama yapar. Bugün için pratik bir kopyalama yöntemi yok.
6. Anahtar çeşitlemesi (key diversification) yapıldığını doğrulayın. Tüm kartlarda aynı ana anahtar kullanılıyorsa, tek kart çözülünce bütün sistem çıplak kalır. Her kartın anahtarı kendi UID'inden türetilmelidir. Panel veya yazılım dokümanında bu özelliğin adı genelde "diversified key" ya da "SAM destekli" olarak geçer.
7. Okuyucu tarafını kilitleyin. Okuyucunun sadece belirlediğiniz sektörü/dosyayı, sizin anahtarınızla okumasını sağlayın. UID modunu kapatın. Bazı okuyucularda bu ayar bir yapılandırma kartıyla veya USB üzerinden yazılımla yapılıyor.
8. Kritik kapılarda ikinci faktör ekleyin. Kart + PIN ya da kart + parmak izi kombinasyonu, kart kopyalanması riskini tek başına anlamsız hale getirir. Okuyucu seçiminde kart, şifre, parmak izi ve yüz tanıma karşılaştırmasına bakmanızı öneririm; sunucu odası ve kasa odası gibi noktalarda ben her zaman iki faktör kullanıyorum.
9. Yazılım tarafında izleme kurun. Aynı kartın iki farklı kapıda kısa aralıkla görünmesi (anti-passback ihlali), mesai dışı geçiş veya kayıp bildirilen kartın kullanılması alarm üretmeli. Zaman profilleri ve grup yetkileri, kopyalanan bir kartın işe yaramasını da zorlaştırır.

Kart teknolojileri karşılaştırması