Een toegangssysteem met een badge is gebaseerd op drie opeenvolgende mechanismen: authenticatie van de drager, verificatie van de rechten in een referentiekader, en vervolgens de aansturing van een vergrendelingsmechanisme. Achter deze eenvoudige volgorde bepalen de technologische keuzes, de netwerkarchitectuur en het identiteitsbeheer het werkelijke niveau van veiligheid. We lichten hier de technische punten toe die het verschil maken tussen een betrouwbare installatie en een omzeilbaar systeem.
RFID-protocollen en encryptie: wat een veilige badge scheidt van een kloonbare badge
De radiofrequentie en het communicatieprotocol bepalen direct de weerstand tegen cloneren. Een badge op 125 kHz zonder encryptie (type EM4100) verzendt zijn identificatie in het openbaar. Een piratenlezer van enkele tientallen euro’s is voldoende om deze te dupliceren.
De MIFARE Classic-badges, die veel in Frankrijk worden gebruikt, maken gebruik van de encryptie Crypto-1. Dit protocol is publiekelijk gekraakt, waardoor deze badges kwetsbaar zijn voor relay-aanvallen of brute force-aanvallen op de sectoriële sleutel. We raden aan om ze te beschouwen als een gemiddeld beveiligingsniveau, acceptabel voor gebieden met een laag risico.
MIFARE DESFire EV2 of EV3 met AES 128-bits encryptie vormt tegenwoordig de standaard voor gevoelige locaties. De communicatie tussen de badge en de nabijheidslezer is end-to-end versleuteld, met wederzijdse authenticatie. Elke transactie genereert een unieke sessiesleutel, waardoor passieve afluisteraanvallen worden geneutraliseerd.
De architectuur van het systeem is net zo belangrijk als de badge zelf. Wanneer de toegangsbadge is gekoppeld aan een controller met een lokale rechtenlijst die gesynchroniseerd is met een centrale server, blijft de beslissing om te openen functioneel, zelfs bij een netwerkuitval. Deze hybride modus (lokale beslissing, gecentraliseerd beheer) voorkomt een enkel punt van falen.
Convergentie van fysieke badges en IT-identificaties: het PIAM-model
De meest structurele trend in de toegangstechnologie is niet de verandering van medium, maar de unificatie van fysieke en logische identiteit. Het PIAM-model (Physical Identity and Access Management) combineert de toegangsbadge tot het gebouw met IT-identificaties (werkstation sessie, VPN, bedrijfsapplicaties) in één enkel referentiekader.
De voordelen voor de veiligheid zijn direct: een medewerker wiens contract is beëindigd, ziet zijn fysieke en digitale toegangsrechten gelijktijdig ingetrokken. Zonder convergentie laat de tijd tussen de deactivatie van het IT-account en het intrekken van de badge een blootstellingsvenster achter dat we regelmatig waarnemen tijdens audits.
Voor het bedrijf vereenvoudigt dit model het beheer van bevoegdheden. Eén workflow voorziet of trekt alle toegang in. Dit vermindert ook de oppervlakte van niet-naleving van de AVG, aangezien de traceerbaarheid van identificatiegegevens gecentraliseerd is in één enkel systeem in plaats van verspreid over de toegangssysteemsoftware en de Active Directory.
Gedematerialiseerde badge op smartphone: migratie naar mobiele credentials
De afgelopen jaren versnelt de overstap naar mobiele identificaties. De badge wordt vervangen door een credential die is opgeslagen in het secure element of de TEE (Trusted Execution Environment) van de smartphone. De communicatie met de lezer verloopt via NFC of BLE (Bluetooth Low Energy).
De mobiele credential elimineert het risico van fysieke clonering van de badge. Het cryptografische geheim wordt nooit blootgesteld: het is de smartphone die het bewijs van bezit uitvoert via een challenge-response, zonder de identificatie in het openbaar te verzenden.
Drie technische voorwaarden moeten worden vervuld voor een betrouwbare implementatie:
- Een nabijheidslezer die compatibel is met NFC en BLE, met up-to-date firmware om de OSDP v2-protocollen (encryptie van de lezer-controller-kanaal) te beheren
- Een cloud- of on-premise platform dat in staat is om credentials op afstand en in real-time te provisioneren en in te trekken
- Een beleid voor het beheer van mobiele apparaten (MDM) dat garandeert dat alleen een conforme smartphone (up-to-date OS, geen root/jailbreak) een credential kan ontvangen
BLE biedt een operationeel voordeel: handsfree openen op afstand, nuttig in parkeergarages of leveringszones. Aan de andere kant vereist het grotere bereik van Bluetooth een nauwkeurige instelling van de RSSI-drempel om onbedoelde openingen te voorkomen wanneer een drager in de buurt passeert zonder de intentie om binnen te gaan.
Impact van NIS2 en de Cyber Resilience Act op toegangssystemen
De inwerkingtreding van de NIS2-richtlijn en de Cyber Resilience Act wijzigt de vereisten voor bedrijven die verbonden toegangssystemen exploiteren. NIS2 breidt de reikwijdte van de betrokken entiteiten uit en vereist een risicobeheer dat expliciet de fysieke veiligheid dekt wanneer deze interactie heeft met het informatiesysteem.
Concreet valt een toegangcontroller die is aangesloten op het IP-netwerk van het bedrijf binnen de scope van het cybersecuritybeleid. Firmware-updates, het verharding van netwerkpoorten en de VLAN-segmentatie van het beveiligingssubnet worden verplichtingen die gedocumenteerd moeten worden, en niet alleen best practices.
De Cyber Resilience Act richt zich op fabrikanten van producten met digitale elementen. Badgelezers, controllers en bewakingssoftware moeten veiligheid vanaf het ontwerp (security by design) integreren en gedurende de verwachte levensduur van het product beveiligingsupdates bieden. Voor installateurs en exploitanten betekent dit dat zij contractueel een toezegging tot softwareondersteuning van de leverancier moeten eisen.
Kiescriteria voor een badgesysteem voor een multi-toegangs locatie
We raden aan om het bestek te structureren rond vier technische assen:
- Minimaal encryptieniveau: AES 128-bits voor gevoelige gebieden, diversificatie van sleutels per locatie om te voorkomen dat een gekloonde badge op de ene locatie op een andere werkt
- Capaciteit van de controller om in een degradeerde modus (buiten netwerk) te functioneren met een gesynchroniseerde lokale rechtenlijst
- Compatibiliteit met mobiele credentials om de geleidelijke migratie van fysieke badges te anticiperen
- Interoperabiliteit OSDP v2 tussen lezers en controllers, ongeacht de fabrikant, om vendor lock-in te voorkomen
De dimensionering van het identiteitsbeheer blijft de meest onderschatte factor. Een locatie met honderden medewerkers en regelmatige leveranciers en bezoekers genereert een volume van provisioning en deprovisioning dat, zonder automatisering, binnen enkele weken leidt tot bevoegdheidslekken.
De keuze van het medium (DESFire-badge, smartphone of beide in co-existentie) hangt af van het profiel van de gebruikers en het bestaande park. De co-existentie van fysieke badges en mobiele credentials is de meest voorkomende configuratie in de overgangsfase, op voorwaarde dat de lezer beide protocollen beheert zonder dat het beveiligingsniveau afneemt.