Могат ли RFID таговете да бъдат хакнати?

Какво всъщност означава „хакнат RFID“?

Ако попитате дали RFID таговете могат да бъдат хакнати, честният отговор е да. Някои от тях наистина могат. Но сам по себе си този отговор е твърде опростен, за да бъде полезен, и често създава повече страх, отколкото яснота. По-точният отговор е следният: някои RFID системи са лесни за атакуване, други са изненадващо устойчиви, а в повечето случаи реалният риск зависи не толкова от самата дума RFID, колкото от начина, по който системата е била проектирана от самото начало.

Това разграничение е важно, защото много компании говорят за RFID сигурността по неправилен начин. Те питат дали RFID е сигурна или несигурна технология, сякаш всеки RFID таг по света попада в една и съща категория. Това е като да попитате дали ключалките са безопасни, без да уточните дали става дума за хотелска карта, заключване на велосипед или банков трезор. RFID не е едно-единствено решение. Евтините пасивни UHF RFID тагове за инвентаризация нямат същия профил на сигурност като криптираните RFID карти. NFC таговете за потребителско взаимодействие не работят като високозащитени идентификационни носители. Един RFID етикет върху кашон и сигурен RFID бадж за контрол на достъпа не трябва да се оценяват по един и същ стандарт.

Затова специалистите по сигурност обикновено започват с друг въпрос. Не дали RFID може да бъде хакнат, а какво точно се опитвате да защитите. Видимост на инвентара. Контрол на достъпа. Удостоверяване на продукти. Безопасност на пациенти. Проследяване на активи. Платежни идентификатори. Проверка срещу фалшифициране. Моделът на заплахите променя всичко.

Практически уроци от бизнеса

Регионален търговец на облекло научи този урок по неудобен начин. Компанията внедри UHF RFID тагове на ниво артикул за по-точна инвентаризация в магазините, а нов оперативен директор изпадна в паника, след като прочете няколко тревожни публикации онлайн за клониране на RFID. Той се притесняваше, че конкуренти или крадци могат по някакъв начин да сканират магазина и да откраднат всички данни за наличностите. След преглед на системата със специалист по сигурност компанията разбра, че се е тревожила за грешния проблем. RFID етикетите не съхраняваха чувствителна клиентска информация или тайни цени. Те носеха основно идентификатори на артикули, свързани със сървърната система на търговеца. Реалните рискове бяха физическите кражби и неточностите в наличностите, а не кинематографична кибератака от паркинга. Да, таговете можеха да бъдат прочетени със съвместимо оборудване при подходящи условия, но бизнес ефектът от този факт беше много по-малък, отколкото ръководството си представяше.

Това е едно от първите неща, които експертите обикновено подчертават. RFID рискът зависи от контекста. Един таг може технически да бъде прочетен или дори клониран и въпреки това да не представлява сериозна бизнес заплаха, ако системата зад него е проектирана правилно. Обратно, една система може да изглежда модерна, но да бъде уязвима, ако разчита прекалено много на статични идентификатори, слаба автентикация или сляпо доверие към самия таг.

Малка логистична компания в Тексас установи това по време на проект за достъп до дворова зона. Тя използваше евтини RFID тагове за предно стъкло, за да ускори редовното влизане на превозни средства. Първата версия на системата се доверяваше твърде много на номера на тага. Ако номерът съвпадаше с одобрения списък, бариерата се отваряше. Това работеше, докато изпълнител не показа колко лесно е да се имитира един от по-старите идентификатори с готови инструменти. Компанията откри проблема, преди той да се превърне в реален пробив, но урокът беше ясен. Проблемът не беше, че RFID ги е подвел. Проблемът беше, че те бяха третирали ID номера на тага като цялостна стратегия за сигурност. След като промениха дизайна с по-добър контрол на идентификационните носители, по-строга сървърна проверка и процедури за отнемане на достъп, системата стана много по-трудна за злоупотреба.

Това е далеч по-полезен начин да се мисли за хакването на RFID. RFID тагът често е само един компонент в по-голяма верига на доверие. Ако тази верига е небрежна, системата се експлоатира по-лесно. Ако веригата е изградена на слоеве, същата технология на таговете може да бъде напълно подходяща.

Често срещани вектори на атака

Важно е също да се разграничават различните видове атаки, защото думата „хакнат“ обхваща твърде много неща. Една RFID система може да бъде уязвима към неоторизирано четене, клониране, replay атаки, слаб контрол на идентификаторите, лошо криптиране, фабрични пароли на четците, несигурни сървърни API интерфейси или слабо защитени мобилни приложения. В много реални внедрявания самият таг дори не е най-слабото място. Базата данни, конфигурацията на четеца или работният процес по издаване и отнемане на права може да заслужават много повече внимание.

Частна болнична група във Флорида трябваше да се изправи пред тази реалност по време на преглед на система за проследяване на активи. Някои ръководители на отделения се притесняваха, че RFID таговете на медицинските устройства могат да бъдат хакнати и да разкрият чувствителни данни за пациенти. Екипът по сигурност първо провери таговете и установи, че те всъщност не съдържат медицински досиета. Те носеха основно идентификатори на устройства, свързани с вътрешни системи. По-големият проблем се оказа контролът на достъпа до софтуерното табло, което показваше местоположение и статус на поддръжка. С други думи, плашещата дума „хакване“ насочи всички към таговете, докато по-реалистичният проблем беше обикновената сигурност на приложението. Експертите виждат подобно объркване постоянно. Хората обвиняват RFID, защото е видимата част, а реалната слабост се намира другаде.

Въпреки това някои RFID тагове наистина са по-лесни за атакуване от други. Това не е параноя, а реалност. Евтините RFID тагове за веригата на доставки обикновено са оптимизирани за мащабируемост и цена, а не за висок клас сигурност. Много пасивни UHF RFID тагове не са предназначени да пазят тайни. Те са създадени да идентифицират кашони, палети, облекла, контейнери и активи бързо. Ако една компания вземе таг за инвентаризация с ниско ниво на сигурност и се опита да го използва като криптографски идентификатор, тя сама създава проблема си.

Дистрибутор на потребителска електроника в Калифорния направи точно такава грешка по време на ранен пилотен проект срещу фалшифициране. Компанията искаше да проверява автентичността на продукти, но вместо да използва специализиран защитен NFC таг за удостоверяване, експериментира с по-евтин стандартен RFID етикет със статичен идентификатор. Маркетинговият екип хареса идеята, защото беше евтина и лесна за обяснение. Проблемът беше, че статичната идентичност често може да бъде копирана или имитирана, ако околната система е твърде доверчива. В крайна сметка дистрибуторът замени този дизайн с по-сигурен подход, при който тагът е само един слой в по-силен процес на удостоверяване, а не единственият източник на истина. Истинският урок не беше, че RFID не може да подпомага защитата на бранда. Урокът беше, че неправилната RFID архитектура е създала фалшиво усещане за сигурност.

Как да се изграждат сигурни RFID системи

Това е още един акцент, който експертите поставят. Сигурността не е продуктова характеристика, която може да се купи случайно. Тя е свойство на цялата система. Ако вашето RFID внедряване разчита на статични идентификатори, липса на криптиране, слаб challenge-response механизъм и широко доверие, след като четецът види номер, който изглежда валиден, тогава да, трябва да приемете, че решителен нападател може да намери начин за злоупотреба. Ако системата използва по-силни криптографски методи, сигурно управление на ключове, сървърна проверка, откриване на аномалии и контролиран процес на въвеждане, картината е съвсем различна.

Премиум марка козметика в Южна Корея разбра това още преди внедряването и си спести много бъдещи проблеми. Компанията искаше NFC удостоверяване на продукти за високостойностни продукти за грижа за кожата, защото фалшификати вече се появяваха в сиви канали. Вместо да пита само дали NFC таговете могат да бъдат хакнати, марката зададе по-добър въпрос: как да направим системата за удостоверяване устойчива дори ако някой изучи опаковката и се опита да я имитира. Това доведе до персонализиран дизайн на NFC таг, по-силна сериализация, проверка в реално време и сървърни контроли за подозрително поведение, като невъзможни модели на сканиране или повтарящи се активации в няколко региона. Резултатът не беше непобедим, защото нищо не е, но беше много по-труден за убедително клониране от обикновен стикер „докосни за URL“.

Тук изразът „какво казват експертите“ става наистина полезен. Повечето специалисти по сигурност не говорят в абсолютни категории. Те не казват, че RFID е напълно безопасна или напълно компрометирана технология. Те казват неща като: използвайте правилния клас таг за правилната цел, не съхранявайте ненужно чувствителни данни директно върху тага, приемайте, че идентификаторите могат да бъдат наблюдавани, защитете сървърната част, ограничете доверието към статични стойности и изградете механизми за откриване и реакция около цялата система. Този съвет може да звучи по-малко драматично от медийните заглавия, но е много по-полезен.

Университетски кампус в Аризона установи това, след като студентска група по сигурност демонстрира слабости в по-стара RFID система за достъп. Заглавията в университетската общност звучаха така, сякаш RFID картите за достъп са компрометирани по природа. По-задълбоченият анализ показа по-позната картина. Старите идентификатори използваха остарели допускания, слаб жизнен цикъл на управление и прекалено много доверие към клонирани номера на баджове. След като институцията обнови модела на идентификация, подобри политиките на четците и затегна контрола при издаване, системата за достъп стана значително по-силна. Първоначалният провал беше свързан по-малко с концепцията RFID и повече с остаряло внедряване, оставено твърде дълго без критична поддръжка.

Този модел се повтаря отново и отново. Технологиите остаряват. Заплахите се развиват. Организациите стават небрежни. После един ден всички обвиняват съкращението, вместо културата на поддръжка.

Има и голяма разлика между това един таг да бъде прочетен и това цяла система да бъде реално компрометирана. Много хора чуват, че RFID таг може да бъде прочетен, и приемат, че системата следователно е пробита. Това не следва автоматично. В управлението на складови наличности, проследяването на активи, палетното проследяване или управлението на многократни транспортни единици тагът често съдържа само референтна стойност. Ако тази стойност е свързана с реална бизнес логика в сървърната система и не се третира като парола, обикновеното четене не води непременно до катастрофален риск.

Производител на напитки в Германия се сблъска с това недоразумение по време на програма за многократни палети. Мениджър се притесняваше, че понеже RFID таговете на палетите могат да бъдат прочетени със съвместимо оборудване, конкурентите може някак да откраднат логистичните тайни на компанията. Консултантът по сигурност, който преглеждаше програмата, даде по-спокойно обяснение. Таговете съдържаха основно идентичности на активи, а не чувствителни търговски данни. Прочитането на ID на палет в реална среда не е същото като пробив в платформата за управление на палети. Реалните рискове бяха загуба на активи, слаба дисциплина при връщане и непостоянни точки на четене, а не индустриален шпионаж чрез сканиране на тагове на рампа. Тази перспектива помогна на компанията да насочи усилията си за сигурност там, където наистина имаше значение.

От друга страна, някои индустрии наистина трябва да бъдат по-строги. Контролът на достъпа, идентификационните носители, приложенията, свързани с плащания, регулираните здравни процеси и програмите срещу фалшифициране често заслужават по-високи изисквания за RFID сигурност от обикновеното складово маркиране. В тези случаи отговорът на въпроса дали RFID таговете могат да бъдат хакнати трябва да влияе на дизайна още от първия ден.

Доставчик на фармацевтични опаковки в Ню Джърси ясно видя това разграничение. Той използваше стандартни UHF RFID тагове за логистична видимост на кашони и палети, където мащабируемостта и оперативната съвместимост бяха най-важни. Но когато разглеждаше удостоверяване на ниво отделен артикул за регулирани продукти, премина към по-сигурен NFC базиран модел с по-силна логика за проверка. Компанията не попадна в капана да очаква една RFID категория да върши всяка работа. Тя третира логистичната идентичност и продуктовото удостоверяване като свързани, но различни проблеми на сигурността. Точно това препоръчват добрите експерти.

Значението на оперативната дисциплина

Друг често пренебрегван въпрос е слабата оперативна дисциплина. Дори технически солиден RFID дизайн може да бъде подкопан от лоши практики при регистриране, неконтролиран достъп до четци, неясни правила за деактивиране или споделени администраторски профили, които никой не проследява правилно. В реалния свят много така наречени RFID хаквания са частично и процесни провали.

Луксозна хотелска група в Сингапур преживя това с RFID идентификатори за достъп до стаи. Ръководството първоначално се тревожеше за екзотични атаки срещу самите карти, но по-реалистичната слабост се оказа начинът, по който се издаваха заместващи идентификатори. Персоналът понякога можеше да създава или удължава достъп на гости по начин, който не се наблюдаваше достатъчно строго. Технологията имаше значение, но оперативният контрол имаше още по-голямо значение. След като хотелът затегна процесите по издаване, отнемане на права и одитни следи, практическата сигурност се подобри много повече, отколкото би се подобрила само от фиксация върху тага.

Експертите също често напомнят, че най-евтиният RFID вариант рядко е най-сигурният. Това не означава, че по-скъпото винаги е по-сигурно, защото не е така. Но евтините тагове, създадени за инвентарен контрол, често са изградени около ценова ефективност, а не около устойчивост на атаки. Ако една компания купи най-евтиния таг, който може да намери, и после очаква сигурно удостоверяване, защитен контрол на достъпа или надеждна защита срещу фалшифициране, тя на практика създава бъдещ инцидент със собствените си решения.

Премиум вносител на вино в Калифорния беше близо до такава грешка. Той искаше дигитално удостоверяване на автентичността за резервни бутилки и първоначално разглеждаше евтини NFC тагове, достъпни чрез масови канали за продажба. Екипът хареса ниската цена, докато консултант не им обясни риска от базови клонируеми тагове с опростено поведение за пренасочване. Вносителят промени подхода и използва по-контролиран RFID дизайн за удостоверяване, свързан със сигурни сървърни проверки. Това повиши цената на тага, но защити реалната цел на проекта. Експертите по сигурност го казват и по-просто: ако последиците от измама са високи, не купувайте хардуер за сигурност така, сякаш купувате обикновени офис консумативи.

Експертни препоръки за RFID сигурност

И така, могат ли RFID таговете да бъдат хакнати? Да, някои могат. Някои могат да бъдат прочетени без разрешение. Някои могат да бъдат клонирани в зле проектирани системи. Някои могат да бъдат използвани в replay атаки в по-стари или по-слаби среди. Дори защитени внедрявания могат да бъдат подкопани от човешка грешка, лошо управление на ключове или небрежен сървърен дизайн. Но това не е краят на разговора. Това е началото на полезната част.

По-добрият въпрос е какво ниво на атака има значение във вашия реален бизнес контекст. Ако използвате пасивни UHF RFID тагове за складова инвентаризация, вероятно се интересувате повече от надеждност, оперативна съвместимост и дисциплина при излагането на данни, отколкото от висок клас клониране на идентификатори. Ако използвате RFID за контрол на достъпа, плащания или удостоверяване на продукти срещу фалшифициране, тогава по-силната сигурност на таговете, сървърната проверка и управлението на жизнения цикъл трябва да бъдат заложени от самото начало. Различните приложения заслужават различни защити.

Специализирана модна марка в Лондон се справи добре с това разграничение. Тя използваше обикновени UHF RFID етикети за точност на складовите наличности в магазините и проследяване във веригата на доставки, защото тези процеси печелеха най-много от скорост и мащаб. В същото време марката тества отделен защитен NFC слой за удостоверяване на продукти от лимитирани серии, защото именно там доверието и рискът от имитация имаха по-голямо значение. Брандът не третираше всички RFID решения като еднакви и затова избегна както недостатъчната защита на грешното място, така и ненужно усложняване там, където не беше нужно.

Това вероятно е най-честният извод, който експертите биха дали. RFID по подразбиране не е нито чудо на сигурността, нито катастрофа. Това е набор от инструменти. Някои внедрявания са слаби, защото са изградени евтино, небрежно или без реален модел на заплахите. Други са силни, защото използват правилния клас тагове, сигурна архитектура, разумно управление на данните и ясни оперативни контроли. Когато хората питат дали RFID таговете могат да бъдат хакнати, те обикновено търсят успокоение или тревога. Това, от което всъщност се нуждаят, е дисциплина в дизайна.

Ако купувате или внедрявате RFID, най-разумният подход не е да се страхувате сляпо от технологията, нито да ѝ се доверявате сляпо. Попитайте какво съхранява тагът. Попитайте какво се случва, ако някой го прочете. Попитайте дали клониран идентификатор би заблудил системата. Попитайте как се издават и отнемат идентификатори. Попитайте дали е необходимо криптиране или challenge-response механизъм. Попитайте дали сървърната част върши реалната работа по сигурността, или организацията погрешно е прехвърлила твърде много доверие върху самия таг.

След като зададете тези въпроси, цялата тема става много по-ясна. Да, RFID таговете могат да бъдат хакнати в определени контексти. Но много по-важно е дали вашата RFID система е изградена така, както експертите биха я изградили, или е направена като пряк път, който изглежда сигурен само докато някой не го разгледа по-внимателно.