Hoe onveilig zijn badges? Onze expert legt het uit

Wie denkt dat de toegangsbadge van zijn werkgever, hotelkamer of eigen garagepoort 100 procent veilig is, komt vaak bedrogen uit. Beveiligingsexpert Nico Cool testte veertien badges en kon maar liefst dertien badges van onder meer politiecommissariaten, stadsdiensten en bedrijven gewoon kopiëren door ze in de buurt van één toestel te houden. 

Duizenden bedrijven, scholen, overheidsinstellingen, parkings en gewone huizen in ons land hebben een elektronisch toegangssysteem, waardoor een kaartvormige badge of een kleine sleutelhanger de slagboom of de toegangsdeur opent. Nico Cool merkte op sites zoals Wish.com, Aliexpress en Amazon steeds meer advertenties op van zogenaamde RFID-kopieertoestelletjes. “De overgrote meerderheid komt uit China en belooft alle kaarten te kunnen kopiëren”, klinkt het. “Zulke toestelletjes zijn absoluut niet duur, van zo’n 10 tot zo’n 200 euro.”

Kwestie van seconden
Het Laatste Nieuws testte met Nico Cool in binnen- en buitenland veertien badges in parkings, bedrijven, politiecommissariaten, overheidsgebouwen, maar ook een vakantiepark en een Zwitsers skistation. Dertien keer lukte het om de badges te kopiëren met een kopieertoestel van veertig euro. “Hallucinant”, zegt Cool. “Voor drie kwart van de badges was het een kwestie van seconden.” In drie gevallen moest het apparaatje de hulp krijgen van een computer. “Als je het toestel aansluit op een laptop, opent die vanzelf een eigen codeerprogrammaatje dat helpt om een beveiligde RFID uit te lezen. Eenmaal dat gebeurd is, schrijf je zoveel kopieën als je wil.”

Een badge van een Oost-Vlaams administratief centrum lukte niet, dus bokste Cool samen met een student toegepaste informatica een eigen ‘uitleesprogramma’ in elkaar. “Zo zagen we dat elke kaart codes op verschillende lagen bevat en dat sommige kaarten en sleutelhangers een bepaalde laag niet bevatten waardoor die extra informatie niet mee gekopieerd kon worden.”

Hoe werkt RFID?
In de plastic kaarten zit RFID, een technologie die dateert uit de Tweede Wereldoorlog maar de afgelopen twintig jaar volop gecommercialiseerd werd. RFID is techniek waarbij radiogolven op een bepaalde frequentie tussen 125 kilohertz en 13,56 megahertz uitgezonden worden. De juiste radiogolven in combinatie met een juiste codering zorgen ervoor dat een gebouw toegankelijk is. De kaart of sluiterhanger communiceert met een elektronisch leesbakje aan de muur of een paal.

Hoe werkt het kopieerapparaatje?
Het kopieerapparaatje, de iCopy5 in het geval van Cool, leest de radiogolf en bijhorende codering uit. Tijdens deze badgetests bleken heel wat beveiligingslagen in de codering niet vergrendeld waardoor een kopie maken slechts een handvol seconden duurde. ‘Moeilijke’ kaarten kunnen met behulp van computersoftware ook gekraakt worden. “Maar vooral die kaarten met alle beveiligingslagen die ‘open’ staan, lopen het grootste risico”, zegt Cool.

Wat kan je met zo’n gekopieerde badge?
Evenveel als de originele badge, zolang de eigenaar van de 'echte' kaart zijn werkgever of leverancier niet laat weten dat er mogelijk een veiligheidsprobleem kan zijn. “Bijvoorbeeld een verloren portefeuille die teruggevonden wordt”, vertelt Cool. “Het geld en de bankkaarten zijn vaak weg, maar andere kaarten worden ogenschijnlijk ongemoeid gelaten. Terwijl de badge van je werkgever of je garagepoort ook gekopieerd kan zijn. Vaak wordt het vergeten, maar je laat dan beter je kaart hercoderen of vervangen door een nieuwe en de oude codering uit het systeem halen.”

Waarschuwing
Cool waarschuwt voor het gevaar van dit fenomeen. "Vooral bedrijven, hotels of instellingen met de badges die onmiddellijk kopieerbaar waren, lopen het grootste risico”, zegt hij. “Even je portefeuille laten liggen, je sleutelbos aan de voordeur laten hangen, noem maar op… Je hoeft geen badge te stelen bijvoorbeeld langs de rand van het zwembad, maar gewoon even naast de rugzak van een nietsvermoedende hotelgast staan en je kan kopiëren. Als je hem even volgt en zijn kamernummer achterhaalt, geraak je zijn kamer binnen en elk digitaal spoor zal naar die gast verwijzen. Bij bedrijven, overheidsinstellingen of politiegebouwen mag je er niet aan denken dat een terreurnetwerk bij zo’n ‘makkelijke’ kaart geraakt.”