Blagajna, recepcija i zajednička lozinka: zašto sigurnost pada baš tu

Zato što je ondje uređaj zajednički, a vrijeme tuđe. U uredu se čovjek prijavi jednom ujutro. Na blagajni i recepciji prijava se ponavlja cijeli dan, pred gostom koji čeka.

Kad metoda traje predugo, osoblje je ne prekrši iz nemara nego iz posla. Nastaju prečaci: jedan račun za cijelu smjenu, lozinka ispod tipkovnice, automatska prijava bez zaporke.

Ti prečaci ponište zaštitu koju je tvrtka platila. I nastaju upravo ondje gdje se obrađuju kartični podaci i podaci gostiju.

Većina. Prema analizi napada na POS sustave koju objavljuje Broadcom, oko 75 % kompromitacija blagajni veže se uz socijalni inženjering i phishing.

To znači da napadač u pravilu ne razbija blagajnu nego dobije vjerodajnicu — od nekoga tko je nasjeo na poruku, ili s računa koji je već negdje procurio.

Gotovi kompleti zloćudnog softvera za POS široko su dostupni i ciljaju poznate ranjivosti. Ali ulaz je i dalje najčešće prijava.

Zato što je sigurnost sporija od posla, a posao se mjeri. Rizik se ne vidi; red na blagajni se vidi.

Tipični prečaci su uvijek isti: dijeljenje lozinke unutar smjene, papirić ispod tipkovnice ili u ladici, i automatska prijava bez zaporke na uređaju koji nitko ne zaključava.

Yubico u svom dokumentu za ovaj sektor to zove zaobilaznicama i navodi da nastaju baš ondje gdje organizacija pokušava uštedjeti na rješenju.

Pouka je praktična, ne moralna: ako metoda ne pristaje uz smjenu, smjena će je zaobići. Opomena to ne mijenja.

Pet stvari. Ako rješenje ne prolazi svih pet, past će na prvoj gužvi.

• Neprekidnost rada. Mora raditi i bez mreže, i bez punjenja.
• Upotrebljivost. Mora je svladati i osoba koja s tehnikom nije bliska — bez tečaja.
• Trošak. Kraća prijava i manje poziva podršci su ušteda koja se doista mjeri.
• Sljedivost. Mora se znati tko je bio prijavljen, čak i na zajedničkom računu.
• Povezivost. Mora raditi i sa starim sustavom i s novim, bez zamjene svega odjednom.

Sljedivost je stavka koju se najčešće preskoči — a poslije incidenta je jedina koja daje odgovor.

Iz četiri razloga, i nijedan nije tehnički prigovor aplikaciji samoj po sebi.

Ovisi o bateriji i signalu. U skladištu, podrumu ili na terasi zna zakazati baš kad je najpotrebnije.

Traži privatni uređaj. Dio osoblja to odbija, i ima pravo — tvrtka ne može tražiti privatni telefon kao radni alat bez uređenog dogovora.

Nije otporan na phishing. Kod koji korisnik pročita i prepiše može prepisati i na lažnu stranicu. Prema NIST-ovoj publikaciji SP 800-63, oznaku otpornosti nose samo PIV/pametna kartica i FIDO2/WebAuthn.

Ne izgleda dobro pred gostom. Recepcionar koji gleda u mobitel dok gost stoji nasuprot šalje poruku koju hotel ne želi poslati.

Provjerite to prije nego se dogodi, jer je to trenutak kad sigurnost obično popusti.

Mnoge metode traže mrežu da bi uopće radile. Kad je nema, sustav se vrati na slabiju zamjensku prijavu — najčešće na samu lozinku. Zaštita otpadne točno u nesigurnom trenutku.

Hardverski ključ tu ne ovisi ni o čemu vanjskom: potpis nastaje na samom ključu, bez baterije i bez veze. Prijava radi jednako i kad linija padne.

Na generičkom računu — ne zna se. To je najskuplja tiha rupa u maloprodaji.

Kad se cijela smjena prijavljuje kao „blagajna1“ ili „recepcija“, dnevnik bilježi uređaj, a ne osobu. Povrat novca, storno, pristup podacima gosta — sve to ostaje bez imena.

Yubico navodi da u takvim okruženjima serijski broj ključa služi kao otisak koji prijavu veže uz konkretan ključ, pa se sljedivost vraća bez mijenjanja načina rada.

U hrvatskom kontekstu ima i druga strana. Fiskalizirani račun veže se uz oznaku operatera, pa „svi radimo pod istim“ nije samo sigurnosni nego i knjigovodstveni problem. Kako je to postavljeno kod Vas, provjerite s knjigovođom.

Tako da uvođenje i isključivanje traju minute, a ne dane. U sektoru s velikom fluktuacijom to je glavni trošak, ne sam uređaj.

Dolazak: ključevi se mogu unaprijed pripremiti i držati kod voditelja poslovnice, pa novi radnik radi od prvog dana. PIN se mijenja pri prvoj upotrebi.

Odlazak: ključ se oduzme i pristup prestaje — bez mijenjanja zajedničke lozinke koju zna pola smjene. To je razlika između „promijenili smo lozinku“ i „pristup je ukinut“.

Zaboravljen PIN ili zaključan račun rješava unaprijed pripremljen upravljački ključ kod voditelja, umjesto poziva podršci usred subote.

Dijelom — i tu treba biti precizan, jer se u prodaji često pretjeruje.

Zakon o kibernetičkoj sigurnosti Vas vjerojatno ne obvezuje. Trgovina i ugostiteljstvo u pravilu nisu ključni ni važni subjekti po NN 14/2024. Tko Vam ZKS-om prodaje ključeve, prodaje strah.

PCI DSS jest relevantan ako obrađujete kartične podatke. Inačica 4 traži višefaktorsku provjeru za pristup tom okruženju; točan opseg ovisi o Vašoj postavi i provjerava se u samom standardu.

GDPR traži primjerene mjere za podatke gostiju i kupaca. Radi poštenja: čl. 32. višefaktorsku provjeru ne spominje — riječ „autentifikacija“ se u njemu ne pojavljuje. Traži primjerenost, a što je primjereno procjenjujete Vi i dokazujete u nadzoru.

Ovisi o tome je li uređaj osoban ili zajednički — i to je prva odluka, prije nabave.

Za osoblje s vlastitim računom: ključ po osobi, uz rezervni po poslovnici. Rezervni nije luksuz nego uvjet da izgubljeni ključ ne zaustavi smjenu.

Za zajedničke blagajne: ključevi se mogu preuzimati i vraćati po smjeni, kao i svaka druga oprema. Prijava tada nosi ime, a uređaj ostaje zajednički.

Nosivost je sitnica koja odlučuje o prihvaćanju: privjesak, kartica na vrpci ili narukvica s beskontaktnim očitanjem. Ono što se ne nosi, ne koristi se.

Ovo pišemo jer smo Yubico partner, a ne unatoč tome. Rješenje koje se prodaje bez granica prvo razočara.

Ne krpa blagajnički softver. Ako sustav ima poznatu ranjivost, napad kroz nju ne prolazi kroz prijavu.

Ne štiti od zaposlenika s ovlastima. Ključ dokazuje tko je prijavljen; što ta osoba smije, uređuju ovlasti, ne ključ.

Ne zamjenjuje sigurnosne kopije ni nadzor mreže.

Ne pokriva dobavljače. Ako vanjski serviser ima daljinski pristup blagajni, to je zaseban ulaz i traži zaseban dogovor.

Od jedne poslovnice i jedne smjene, ne od cijele mreže. Uvođenje koje krene svugdje odjednom obično stane na prvoj gužvi.

1. Popišite prijave. Tko se gdje prijavljuje, koliko puta u smjeni i koliko to traje. Bez te brojke nema usporedbe poslije.
2. Krenite od povlaštenih računa. Voditelj, storno, povrat novca, pristup podacima gostiju — ondje je šteta najveća.
3. Isprobajte jednu smjenu, dva tjedna. Slušajte prigovore; oni predviđaju hoće li rješenje preživjeti.
4. Riješite rezervni ključ i zamjenu prije širenja. Postupak za izgubljen ključ mora postojati prije nego zatreba.
5. Tek onda ostatak mreže.

Ako želite da to prođemo zajedno na Vašoj postavi, javite se — pogledat ćemo kako izgleda smjena kod Vas prije nego išta preporučimo.