Kartlı geçiş sistemi klonlama, geçerli bir erişim kartındaki veriyi okuyup boş bir karta ya da bir emülatör cihaza kopyalayarak sistemin gözünde birebir aynı görünen ikinci bir kimlik üretmektir. Saldırının cazibesi, kurbanın kartını hiç kaybetmemesinde yatar; kart hâlâ cebindedir, kopyası ise saldırgandadır ve okuyucu ikisini birbirinden ayıramaz.

Kart klonlama, kimliği çalmadan çoğaltır; kurban erişimini kaybetmediği için ihlalin farkına çoğu zaman hiç varılmaz.

Saldırı Nasıl Gerçekleşir?

Klonlamanın ilk adımı veriyi okumaktır ve bunun için karta fiziksel olarak dokunmaya bile gerek yoktur. Cebe sığan bir okuyucuyla, bir asansörde ya da yoğun bir koridorda birinin çantasına birkaç saniye yaklaşmak, korumasız bir kartın verisini almaya yeter. Okunan bu veri sonra boş bir karta yazılır ya da tek başına birçok kimliği taklit edebilen bir emülatör cihaza yüklenir. Bu işin arkasındaki teknik prensipler, temassız kartların çalışma mantığını inceleyen NFC ve RFID güvenliği alanının kapsamındadır.

Hangi Kartlar Kolay Klonlanır?

Kartların hepsi aynı ölçüde savunmasız değildir. Uzun yıllar yaygın kullanılan düşük frekanslı proximity kartlar, üzerlerindeki sabit numarayı hiçbir şifreleme olmadan yayınlar; bu kartları klonlamak birkaç saniyelik bir işlemdir. Bir sonraki nesil kartların bir kısmının şifrelemesi de zamanla kırıldı ve pratikte klonlanabilir hale geldi. Buna karşılık modern akıllı kartlar, okuyucuyla karşılıklı kimlik doğrulama yapan güçlü şifreleme kullanır; bunlarda basit bir kopyalama işe yaramaz.

Neden Ciddiye Alınmalı?

Bir klon kart, saldırgana meşru bir çalışanın tüm fiziksel yetkilerini verir: girebildiği kapılar, ulaşabildiği katlar, açabildiği kritik odalar. Bu yüzden kart klonlama, izinli bir fiziksel sızma testi senaryosunda en sık denenen ilk adımlardan biridir. Değerlendirici bir yöneticinin kartını klonlayıp sunucu odasına girebiliyorsa, kurumun erişim kontrolünün temelden zayıf olduğu kanıtlanmış olur.

Savunma iki yönlüdür. Birincisi teknolojiyi yükseltmektir: klonlanabilir eski kartları karşılıklı doğrulama yapan modern kartlarla değiştirmek, saldırının temelini ortadan kaldırır. İkincisi katman eklemektir; kartın yanında bir PIN ya da biyometrik doğrulama istemek, klonlanmış bir kartın tek başına yeterli olmasını engeller. Ele geçirilen bir kartın olası kötüye kullanımını sınırlamak için anti-passback gibi kurallar da devreye alınır.

Kart klonlama, aslında fiziksel erişim kontrol sistemleri mimarisindeki en zayıf halkayı, yani kimlik taşıyıcısını hedef alır; sistemin geri kalanı ne kadar sağlam olursa olsun klonlanabilir bir kart tüm zinciri baştan kırar. Kurumun kart altyapısının gerçek saldırgan araçlarıyla klonlanıp klonlanamadığını sınamak, bir red team hizmeti kapsamında yapılır ve teorik risk yerine somut kanıt üretir.