SecTor 2025 | Behind Closed Doors - Bypassing RFID Readers & Physical Access Controls

現代建築物普遍依賴 RFID 門禁作為實體安全屏障，但這套系統的安全性遠比多數人想像的脆弱。講者 Julius Dunuk 是一名專職紅隊成員，他開門見山地展示：攻擊者往往不需要破解 RFID，一根「門底撬棒」就能從門縫伸進去扳開把手，整個讀卡器形同擺設。這揭示了紅隊的核心思維——永遠選擇最省力的攻擊路徑。

在 RFID 層面，講者將門禁系統分為兩類。第一類是自主式讀卡器，決策邏輯全在讀卡器本身：可利用預設密碼登入管理介面新增卡片，或發現全 F ID（`0xFFFFFFFF`）卡片可能因刪除機制的 bug 而永遠無法被移除；更激進的做法是用 EMP 發生器讓硬體記憶體重置，瞬間開鎖（但設備損耗高、現場不穩定）；最後，讀卡器背後的控制電線通常位於非安全側，直接剪斷即可強制開門。

第二類是網路化門禁系統，讀卡器透過 Wiegand 協議將解密後的卡 ID 傳給後端控制器做決策。Wiegand 的致命缺陷在於完全沒有加密，因此即使卡片與讀卡器之間使用了強加密（如 MIFARE），資料在電線上仍以明文傳輸。講者與同事 Jakob Kash 開發的工具 Tick 正是利用這一點——夾接於讀卡器電線上，靜默收集所有員工刷卡的解密 ID，攻擊者透過 Wi-Fi 遠端取得資料，甚至可以直接透過 Tick 向控制器重放訊號，無需任何卡片就能開門。

更具殺傷力的是降級攻擊：若系統為舊設備相容而同時支援無加密的低頻感應卡，攻擊者只需用 Proxmark 將截取到的高安全卡解密 ID 寫入一張普通感應卡，控制器便會視其為合法卡片，整棟大樓的門都能刷開。在此之上，攻擊者還可搭配拒絕服務攻擊作為掩護：Tick 的汙染模式可讓線路充斥垃圾資料使所有卡片失效；未更新韌體的 HID 讀卡器則可透過官方免費 App 遠端觸發「定位模式」循環，讓全棟讀卡器持續鳴響且拒絕驗證，製造混亂、爭取攻擊者在目標區域的行動時間。

針對防禦，講者建議：將控制器部署於安全區域、改用支援加密的 OSDP 協議並確實啟用安全模式、將防拆電線接入會通報保全的系統（而非僅連蜂鳴器）、定期更新讀卡器韌體、徹底停用舊版低安全憑證，並定期委託實體紅隊進行現場評估——因為這類漏洞遠端滲透測試根本發現不了。