Fysiske adgangskontroller: adgangskort, låse og mantraps

Fysisk adgang til hardware omgår næsten alle logiske kontroller. En angriber med fysisk adgang til en server kan starte fra eksterne medier, omgå diskkryptering uden nøglen (cold-boot-angreb), installere hardware-keyloggere, fjerne harddiske eller ganske enkelt gå sin vej med udstyret. Ingen mængde firewalls, kryptering eller godkendelse beskytter data, hvis en uautoriseret person fysisk kan røre hardwaren. Fysisk sikkerhed er det fundament, som alle andre kontroller hviler på.

Effektiv fysisk sikkerhed bruger lagdelte zoner med stigende adgangsbegrænsninger. Den yderste zone er bygningens perimeter (hegn, sikkerhedsvagter og kameraer på parkeringspladsen). Det næste lag er bygningens indgang (kortlæsere og reception). Indvendige zoner omfatter kontorområder (adgang med kort pr. afdeling), serverrum (adgang med høj sikkerhed) og datacentrets kerne (mest begrænset). Hvert lag har sine egne kontroller — et kompromitteret yderste lag giver ikke adgang til det inderste.

Adgangskort er det mest almindelige legitimationsmiddel til fysisk adgang. Moderne adgangskort bruger nærhedsteknologi (RFID/NFC), som læsere registrerer uden kontakt, eller chipkortteknologi med indbyggede kryptografiske chips. Chipkort er mere sikre, fordi chippen udfører en kryptografisk udfordring-og-svar-proces i stedet for blot at udsende et id-nummer. PIV-kort (Personal Identity Verification), der udstedes til ansatte i den amerikanske regering, opfylder FIPS 201-standarderne og understøtter både fysisk og logisk adgang (computeradgang).

Områder med høj sikkerhed kræver flerfaktorautentificering til fysisk adgang — en kombination af noget, du har (adgangskort), noget, du ved (PIN) og noget, du er (biometri). En almindelig kombination til adgang til datacentre er: kortaflæsning + indtastning af PIN + fingeraftryksscanning. Det sikrer, at et stjålet adgangskort alene ikke kan give adgang, at et fotograferet fingeraftryk ikke kan bruges uden kortet, og at en kendt PIN-kode ikke kan bruges uden det fysiske kort. Trefaktorgodkendelse til fysisk adgang er almindelig i forsvars- og finansmiljøer.

En sluse (også kaldet en luftsluse eller adgangskontrolsluse) er et lille rum med to indbyrdes låste døre: Den første dør skal lukke og låse, før den anden dør kan åbnes. Denne fysiske mekanisme forhindrer tailgating (at en uautoriseret person følger efter en autoriseret person gennem en sikret dør). Sluser kan indeholde vægtfølere, infrarøde tællere og kameraer, der registrerer, om mere end én person går ind i rummet, og automatisk udløser en alarm, hvis der registreres et forsøg på tailgating.

Tailgating forekommer, når en uautoriseret person følger efter en autoriseret person gennem en sikret dør uden den autoriserede persons viden. Piggybacking ligner dette, men sker med den autoriserede persons medvirken — vedkommende holder døren åben. Begge dele omgår fysiske adgangskontroller fuldstændigt. Forsvar omfatter sluser, drejekors, der kun tillader én person pr. kortaflæsning, oplæring i sikkerhedskultur (medarbejdere må ikke holde døren for ukendte personer) samt kameraer til registrering af tailgating med videoanalyse.

Fysiske låse spænder fra grundlæggende til meget sikre. Stiftcylinderlåse er grundlæggende og sårbare over for dirkning og kopiering af nøgler. Sikkerhedslåse (Medeco, Abloy) har dirkningssikre mekanismer og programmer til nøglekontrol. Kombinationslåse kræver en kendt PIN-kode, men har ingen revisionsspor. Elektroniske låse med adgangskort eller PIN-tastaturer fører adgangslogge og kan fjernlåses. Kodelåse (med knapper) kræver en kode, der huskes — der kræves intet kort, men kombinationen er statisk og deles mellem autoriserede brugere.

Biometriske kontroller godkender adgang baseret på unikke fysiske egenskaber. Almindelige typer omfatter fingeraftryksscannere (hurtige, billige og mest almindelige), læsere til håndgeometri (ældre teknologi, der findes i datacentre), irisscannere (meget præcise, men dyre) og ansigtsgenkendelse (bekvemt, men kan have problemer med nøjagtigheden i svag belysning). Vigtige målepunkter for biometriske systemer er: falsk accepteringsrate (FAR) — hvor ofte en uautoriseret person får adgang — og falsk afvisningsrate (FRR) — hvor ofte en autoriseret person afvises.

Besøgende, kontrahenter og vedligeholdelsespersonale, som legitimt har brug for fysisk adgang, kræver kontrollerede procedurer. Bedste praksis omfatter: forhåndsgodkendelse af alle besøgende før ankomst, bekræftelse af offentligt udstedt id i receptionen, udstedelse af tidsbegrænsede besøgsadgangskort, der automatisk deaktiveres, krav om en navngiven ledsager, som bliver hos den besøgende under hele besøget, samt en besøgslog, der registrerer ankomsttidspunkt, afgangstidspunkt, besøgte områder og formålet med besøget. Besøgslogge understøtter retsmedicinsk undersøgelse, hvis der sker en hændelse efter besøget.

Fysiske sikkerhedskontroller bør testes regelmæssigt gennem fysisk penetrationstest (red team-øvelser). Testere forsøger sig med tailgating, social engineering af receptionspersonale, kloning af adgangskort og dirkning af låse for at identificere svagheder, før angribere gør det. Revision af adgangskort sikrer, at legitimationsoplysninger for fratrådte medarbejdere hurtigt deaktiveres. Revision af adgangsadgang sikrer, at kun aktuelt autoriseret personale bevarer adgang til følsomme områder. Regelmæssig test afslører, om kontroller, der fungerede på papiret, faktisk fungerer i praksis.

Alle adgangshændelser ved døre, der styres med adgangskort, bør logges: hvem (kort-ID), hvor (dør/rum), hvornår (tidsstempel), og om adgangen blev givet eller afvist. Disse logge muliggør sikkerhedsundersøgelser, når der sker hændelser (»var der nogen i serverrummet, da udstyret forsvandt?«), compliance-revisioner (hvem havde adgang til PCI-DSS-zoner?) og detektion af afvigelser (en medarbejder, der får adgang til bygningen kl. 3 om natten i weekenden). Adgangskortlogge bør opbevares sikkert og gemmes i mindst 90 dage eller længere i henhold til kravene til compliance.

I denne lektion lærte du, at fysisk sikkerhed bruger lagdelte zoner med gradvist stærkere kontroller mod følsomme områder, at sluser forhindrer tailgating ved at kræve, at én dør lukker, før den næste åbner, og at multifaktorautentificering til fysisk adgang, der kombinerer adgangskort, PIN-koder og biometriske data, sikrer, at stjålne legitimationsoplysninger alene ikke kan give adgang. Nu ser vi nærmere på overvågningssystemer – CCTV, bevægelsessensorer og logning til overvågning af fysisk sikkerhed.