Un sistema di controllo accessi tramite badge si basa su tre meccanismi concatenati: autenticazione del portatore, verifica dei diritti in un riferimento, quindi comando di un organo di bloccaggio. Dietro questa sequenza semplice, le scelte tecnologiche, l’architettura di rete e la gestione delle identità determinano il livello reale di sicurezza. Qui di seguito dettagliamo i punti tecnici che fanno la differenza tra un’installazione affidabile e un dispositivo aggirabile.
Protocolli RFID e crittografia: cosa separa un badge sicuro da un badge clonabile
La frequenza radio e il protocollo di comunicazione condizionano direttamente la resistenza al cloning. Un badge a 125 kHz senza crittografia (tipo EM4100) trasmette il suo identificativo in chiaro. Un lettore pirata a poche decine di euro è sufficiente per duplicarlo.
I badge MIFARE Classic, ampiamente distribuiti in Francia, utilizzano la crittografia Crypto-1. Questo protocollo è stato violato pubblicamente, rendendo questi badge vulnerabili agli attacchi per relay o forza bruta sulla chiave settoriale. Raccomandiamo di considerarli come un livello di sicurezza intermedio, accettabile per aree a basso rischio.
MIFARE DESFire EV2 o EV3 con crittografia AES 128 bit rappresenta oggi lo standard per i siti sensibili. La comunicazione tra il badge e il lettore di prossimità è crittografata end-to-end, con autenticazione reciproca. Ogni transazione genera una chiave di sessione unica, neutralizzando gli attacchi di ascolto passivo.
L’architettura del sistema conta tanto quanto il badge stesso. Quando il badge di controllo accessi è associato a un controllore che integra una tabella di diritti locale e sincronizzata con un server centrale, la decisione di apertura rimane funzionale anche in caso di interruzione della rete. Questa modalità ibrida (decisione locale, amministrazione centralizzata) evita il punto di guasto unico.
Convergenza badge fisico e identificativi IT: il modello PIAM
La tendenza più strutturante nel settore del controllo accessi non è il cambiamento del supporto, ma l’unificazione dell’identità fisica e logica. Il modello PIAM (Physical Identity and Access Management) fonde il badge d’ingresso nell’edificio e gli identificativi informatici (sessione workstation, VPN, applicazioni aziendali) in un unico riferimento.
Il vantaggio per la sicurezza è diretto: un collaboratore il cui contratto è stato risolto vede i suoi diritti di accesso fisici e digitali revocati simultaneamente. Senza convergenza, il ritardo tra la disattivazione dell’account IT e il ritiro del badge lascia una finestra di esposizione che osserviamo regolarmente durante gli audit.
Per l’azienda, questo modello semplifica la gestione delle autorizzazioni. Un unico workflow provvede o disprovvede a tutti gli accessi. Ciò riduce anche la superficie di non conformità al GDPR, poiché la tracciabilità dei dati di identificazione è centralizzata in un sistema unico invece di essere dispersa tra il software di controllo accessi e l’annuario Active Directory.
Badge dematerializzato su smartphone: migrazione verso le credenziali mobili
Negli ultimi anni, il passaggio verso gli identificativi mobili si sta accelerando. Il badge è sostituito da una credenziale memorizzata nel secure element o nel TEE (Trusted Execution Environment) dello smartphone. La comunicazione con il lettore avviene tramite NFC o BLE (Bluetooth Low Energy).
La credenziale mobile elimina il rischio di clonazione fisica del badge. Il segreto crittografico non è mai esposto: è lo smartphone che esegue la prova di possesso tramite un challenge-response, senza trasmettere l’identificativo in chiaro.
Tre condizioni tecniche devono essere soddisfatte per un’implementazione affidabile:
- Un lettore di prossimità compatibile NFC e BLE, con firmware aggiornato per gestire i protocolli OSDP v2 (crittografia del canale lettore-controllore)
- Una piattaforma cloud o on-premise in grado di provvedere e revocare le credenziali da remoto, in tempo reale
- Una politica di gestione dei dispositivi mobili (MDM) che garantisca che solo uno smartphone conforme (OS aggiornato, niente root/jailbreak) possa ricevere una credenziale
Il BLE offre un vantaggio operativo: l’apertura a mani libere da remoto, utile nei parcheggi o nelle zone di consegna. Tuttavia, la portata più ampia del Bluetooth richiede una regolazione fine della soglia RSSI per evitare aperture involontarie quando un portatore passa nelle vicinanze senza intenzione di entrare.
Impatto di NIS2 e del Cyber Resilience Act sui sistemi di controllo accessi
L’entrata in vigore della direttiva NIS2 e del Cyber Resilience Act modifica i requisiti per le aziende che gestiscono sistemi di controllo accessi connessi. NIS2 amplia il perimetro delle entità interessate e impone una gestione dei rischi che copra esplicitamente la sicurezza fisica quando questa interagisce con il sistema informativo.
Concretamente, un controllore di accesso collegato alla rete IP dell’azienda rientra nel campo di applicazione della politica di cybersicurezza. Gli aggiornamenti del firmware, il rafforzamento delle porte di rete e la segmentazione VLAN del sottorete di sicurezza diventano obblighi documentati, non solo buone pratiche.
Il Cyber Resilience Act mira invece ai produttori di prodotti contenenti elementi digitali. I lettori di badge, controllori e software di supervisione dovranno integrare la sicurezza fin dalla progettazione (security by design) e fornire aggiornamenti di sicurezza per tutta la durata di vita prevista del prodotto. Per gli installatori e gli operatori, ciò significa che è necessario richiedere contrattualmente un impegno di supporto software al fornitore.
Criteri di scelta di un sistema di badge per un sito multi-accesso
Raccomandiamo di strutturare il capitolato tecnico attorno a quattro assi:
- Livello di crittografia minimo: AES 128 bit per le aree sensibili, diversificazione delle chiavi per sito per impedire che un badge clonato su un sito funzioni su un altro
- Capacità del controllore di funzionare in modalità degradato (fuori rete) con una tabella di diritti locale sincronizzata
- Compatibilità con le credenziali mobili per anticipare la migrazione progressiva dai badge fisici
- Interoperabilità OSDP v2 tra lettori e controllori, indipendentemente dal produttore, per evitare il blocco proprietario
Il dimensionamento del sistema di gestione delle identità rimane il fattore più sottovalutato. Un sito con diverse centinaia di collaboratori, con fornitori e visitatori regolari, genera un volume di provisioning e deprovisioning che, senza automazione, crea falle di autorizzazione in poche settimane.
La scelta del supporto (badge DESFire, smartphone o entrambi in coabitazione) dipende dal profilo degli utenti e dal parco esistente. La coabitazione tra badge fisico e credenziale mobile è la configurazione più comune in fase di transizione, a condizione che il lettore gestisca entrambi i protocolli senza degradazione del livello di sicurezza.