Могат ли RFID таговете да бъдат клонирани?

Защо клонирането на RFID тагове не е въпрос с прост отговор „да“ или „не“

Честният отговор на въпроса дали RFID таговете могат да бъдат клонирани е: да, някои могат. Но сам по себе си този отговор е твърде опростен, за да бъде полезен. В реални бизнес среди възможността за клониране зависи от типа таг, вида данни, записани върху него, защитните функции в чипа, начина, по който е проектирана системата с четци, и от това какво точно се разбира под „клониране“. В някои случаи клонирането на RFID таг може да бъде толкова лесно, колкото копиране на видим идентификатор върху друг съвместим таг. В други случаи е много по-трудно, защото тагът използва автентикация, защитена памет или криптографски challenge-response обмен. Затова практичният въпрос не е само дали RFID таговете могат да бъдат клонирани. По-важно е кои RFID тагове се клонират лесно, кои са по-трудни за копиране и какво трябва да направи една компания, ако рискът от клониране е съществен.

Много объркване възниква, защото хората третират всички RFID тагове като едно и също нещо. Те не са. Базов пасивен UHF RFID етикет за проследяване на кашони не е същото като защитен идентификатор за контрол на достъпа. HF NFC таг за маркетингова кампания не е същото като транспортна карта или служебна карта с висока степен на сигурност. Някои тагове са създадени основно за идентификация и по-бърз работен процес. Други са проектирани с по-сериозен фокус върху сигурността. Ако тагът съхранява само статичен номер и не предлага реална автентикация, рискът от клониране е напълно реален и често не е особено сложен. Ако обаче чипът трябва да докаже, че е автентичен чрез защитен обмен, клонирането се превръща в съвсем различен проблем.

Това разграничение е важно, защото клонирането обикновено не означава физическо копиране на цялата микроелектроника на тага. В повечето бизнес разговори клониране означава създаване на друг таг, който изглежда като оригиналния пред системата с четеца. Ако системата се доверява единствено на статичен идентификатор, копиран идентификатор може да бъде достатъчен. Ако системата очаква защитена автентикация от чипа, само копирането на видими данни обикновено няма да я заблуди. С други думи, клонирането успява, когато системата не може да различи оригиналния идентификатор от фалшивия.

Функционално клониране срещу физическо дублиране

Оператор на оборотни опаковки научи това по трудния начин по време на регионален пилотен проект. Компанията използваше RFID тагове върху контейнери за многократна употреба и приемаше системата за сигурна, защото таговете изглеждаха специализирани и индустриални. Месеци по-късно оперативният екип забеляза, че няколко контейнера се появяват едновременно на невъзможни места. След преглед на събитията стана ясно, че дублирани идентификатори са били въведени чрез нискобюджетни програмируеми тагове по време на локално тестване. Оригиналните тагове не бяха физически копирани до ниво силиций. Просто техните идентичности бяха копирани. За този работен процес това беше достатъчно, за да създаде оперативно объркване и невярна история на активите.

Този пример показва същината на проблема. Много RFID системи са уязвими не защото радиочестотната технология е слаба, а защото моделът на доверие е слаб. Ако бекендът приема всеки съвпадащ идентификатор за автентичен, клонирането става много по-лесно. Това е особено важно при приложения като RFID контрол на достъпа, RFID проследяване на активи, RFID билети, RFID управление на инструменти и някои програми за проверка във веригата на доставки. Колкото повече системата разчита само на тага като доказателство за идентичност, толкова по-големи щети може да причини един клониран таг.

Екип за болнично оборудване се сблъска с подобен въпрос при маркиране на инфузионни помпи и мобилни устройства. Първоначалният дизайн използваше обикновени тагове с четими идентификатори, защото основната цел беше видимост, а не достъп през врати или плащания. Оперативно таговете работеха добре. От гледна точка на сигурността обаче възникна проблем. Ако ID на таг можеше да бъде копиран и поставен върху друг обект, историята на местоположението на критично оборудване можеше да стане подвеждаща. Това не би позволило непременно кражба на реалното устройство без бързо засичане, но можеше да направи търсенето, одита и записите за съответствие значително по-малко надеждни. Болницата раздели активите по нива на риск. Нискорисковите работни артикули останаха със стандартни тагове, а активите с по-висока степен на доверие преминаха към тагове и системна логика с по-силен контрол на идентичността.

Кои RFID тагове се клонират по-лесно?

Кои RFID тагове са най-лесни за клониране? Обикновено по-лесните цели са тагове, които разкриват статичен идентификатор и не използват силна автентикация. Много базови RFID етикети и тагове за инвентарни приложения попадат в тази категория, защото никога не са били предназначени да устояват на целенасочени атаки. Те са проектирани за скорост, цена и ефективност на процеса. В това няма нищо неправилно, стига компанията да разбира риска. Етикет за кашон в склад може да не се нуждае от защита на банково ниво, ако идентификаторът има смисъл само в защитен бекенд. Но когато тагове с ниска сигурност се използват в процеси с високо доверие, рисковият профил се променя много бързо.

Проект в кампусна инфраструктура е добър пример за такова несъответствие. Екипът за управление на една сграда искаше по-евтин начин за издаване на временни пропуски, затова разглеждаше опростен RFID формат на бадж, който разчиташе основно на статичен номер на картата. Удобството беше очевидно. Отделът по сигурност възрази, защото копиран номер потенциално можеше да създаде работещ дубликат, ако вратите се доверяваха твърде лесно на този номер. Накрая кампусът избра по-силен подход за удостоверяване в защитените зони и остави по-простите тагове за некритични процеси на регистрация. Изводът не беше, че RFID е несигурна технология. Изводът беше, че нискозащитеният RFID става несигурен, когато се използва като високозащитен RFID.

Как автентикацията променя модела на сигурност

Именно тук автентикацията променя правилата. Защитените RFID тагове често правят повече от това просто да разкриват данни. Те доказват, че са автентични. Вместо да отговарят само с фиксиран идентификатор, те участват в challenge-response процес или друг защитен обмен. Това прави клонирането много по-трудно, защото нападателят не може просто да прочете един номер и да го повтори. Системата очаква поведение, свързано с тайни ключове или криптографски операции вътре в чипа. Копираният видим код вече не изглежда като оригиналния таг пред четеца.

Проект за премиум офис достъп показа разликата много ясно. Компанията преди това използваше по-стари безконтактни карти, които изглеждаха модерни, защото служителите просто ги доближаваха до четеца и влизаха. При преглед обаче екипът по сигурност установи, че тези карти разчитат прекалено много на предвидими данни. След преминаване към по-силни идентификатори поведението на служителите на повърхността не се промени. Те пак доближаваха картата до вратата. Под повърхността обаче новите карти вече не съобщаваха просто номер. Те участваха в по-сигурен процес на автентикация. Това не направи клонирането теоретично невъзможно завинаги, но направи случайното дублиране много по-малко реалистично.

Друг фактор е дали паметта на тага може лесно да се чете или презаписва. Някои RFID чипове позволяват пароли, заключени зони, защитени команди или постоянни състояния на заключване. Тези функции не спират автоматично всяка форма на клониране, но могат да ограничат това, което нападателят може да научи или копира. Ако критичните данни не могат да бъдат свободно прочетени, копирани или променени без разрешение, тагът става много по-малко удобна цел. Затова защитените RFID тагове обикновено използват повече от една предпазна мярка. Сигурността рядко е един-единствен превключвател. Тя е слой от по-малки бариери, които принуждават нападателя да положи много повече усилия.

Фармацевтична компания за опаковки видя стойността на този многослоен подход при планиране на RFID за сериализирани продукти. Първоначално един отдел искаше да записва подробна продуктова информация директно върху тага, за да улесни проверките при дистрибуция. Екипите по съответствие и сигурност веднага разпознаха минуса. Четимите детайли означаваха по-лесно копиране и по-лесна подкрепа за фалшификати, ако някой реши да имитира легитимни опаковки. Финалният дизайн ограничи публичните данни върху тага, заключи важни области от паметта след оторизиран запис и разчиташе по-силно на защитена бекенд проверка. Това не реши всеки проблем с фалшификатите в света, но значително намали полезността на един прост клонинг.

Защо системите с четци и бекенд логиката са решаващи

Разбира се, рискът от клониране зависи и от системата с четци и бекенд логиката. Копирана RFID идентичност е опасна само ако системата я приема безкритично. Добрият системен дизайн може да направи клонирането много по-малко ценно. Един често използван подход е върху тага да се съхраняват малко значими данни, а бекендът да разрешава идентификатора по защитен начин. Друг подход е наблюдение за невъзможно поведение, например една и съща идентичност да се появи на две отдалечени места в нереалистичен времеви прозорец. Трети подход е комбиниране на RFID с контекст, сензорни данни, потребителска идентичност, времеви правила или история на транзакциите. Клонинг, който работи изолирано, все пак може да се провали в по-интелигентна система.

Производител, който използваше RFID за проследяване на незавършено производство, трябваше да научи това след повтарящи се аномалии в идентичността между две производствени клетки. Първоначално екипът подозираше проблеми с четците. По-задълбоченият преглед показа, че дублирани идентификатори от локална тестова процедура са попаднали в реална употреба. Системата беше твърде доверчива, защото всеки сканиран идентификатор се приемаше за легитимно незавършено производство. Решението не беше само смяна на таговете. Компанията добави логика за събития, която маркира невъзможно движение, ограничи кой може да въвежда тагове в системата и определи кои станции могат да създават нови идентичности. След това копиран ID беше много по-малко вероятно да премине незабелязано.

За купувачите това води до важна промяна в мисленето. Въпросът не е само дали тагът може да бъде клониран. Въпросът е какво се случва, ако някой опита. Ако тагът съдържа само нечувствителен референтен номер и бекендът изисква контекст, преди този номер да има значение, рискът може да бъде управляем. Ако тагът служи като директно доказателство за достъп, плащане или регулирана продуктова идентичност, рискът е много по-сериозен и дизайнът на сигурността трябва да го отразява. Клонирането няма едно универсално ниво на опасност. То е бизнес риск, който се променя според приложението.

Дистрибутор на бижута установи това при тестове на RFID за движение на инвентар с висока стойност. Първият пилот използваше стандартни тагове, защото екипът основно искаше по-бързо преброяване и видимост по рафтовете. Оперативно това работеше. След това проектът се разшири към защитени точки за трансфер между складови и шоурум зони. Изведнъж значението на тага се промени. Той вече не беше само средство за броене. Той стана част от доверен запис за движение. Компанията реагира, като затегна правилата за това кой може да регистрира тагове, използва по-сигурни идентификатори за тави с висока стойност и изиска софтуерно съпоставяне в точките на предаване. Те не обявиха RFID за опасна технология. Те промениха модела на сигурност, когато бизнес зависимостта от тага се промени.

Защитените чипове все пак изискват защитено внедряване

Друго важно недоразумение е, че защитените тагове не премахват автоматично всеки риск от клониране завинаги. Функциите за сигурност повишават бариерата, понякога значително, но сигурността все още зависи от управлението на ключове, защитата на четците, бекенд правата и оперативната дисциплина. Силен чип със слаби ключове или небрежно регистриране чрез четец все още може да бъде част от слаба система. Именно тук хората понякога се подвеждат по рекламни брошури. Защитеният RFID чип е ценен, но не е заместител на защитено RFID внедряване.

Оператор на студена верига видя това при модернизация на склад. Ръководството одобри защитени тагове за определени наблюдавани активи и се почувства уверено заради функциите на чипа. По-късно вътрешен преглед на сигурността установи, че няколко тестови четеца все още използват настройки за разработка и слаби контроли от периода на внедряване. Пробив не беше настъпил, но екипът по сигурност направи директен извод. Компанията беше купила по-здрави ключалки, но беше оставила няколко прозореца отворени. След укрепване на управлението на четците и ограничаване на това кой може да използва устройства за регистрация, общата картина на риска от клониране се подобри много повече, отколкото би се подобрила само от поредна смяна на чиповете.

Поверителност, събития и реалният риск от RFID клониране

Потребителската поверителност също е свързана с клонирането по интересен начин. В търговски и събитийни среди копираният таг не винаги се използва за имитиране на защитена идентичност. Понякога по-големият проблем е, че свободно четимите тагове излагат предвидими данни, които могат да бъдат събирани, анализирани или използвани повторно. Клониран етикет за търговия на дребно може да не отваря врата, но все пак може да създаде объркване с фалшификати или нежелани модели на проследяване, ако системата е проектирана небрежно. Затова RFID програми, ориентирани към поверителността, често минимизират четимите детайли, намаляват полезността на тага след продажба или деактивират тагове след покупка, когато това е подходящо.

Модна марка се сблъска точно с този избор при внедряване на RFID инвентарни тагове в голям мащаб. Оперативните ползи бяха ясни, но марката не искаше активните продуктови тагове да останат твърде значими след продажба. Част от решението включваше управление на поверителността, но друга част беше свързана с мислене срещу клониране. Ако етикетът носеше много ограничена полезна информация извън екосистемата на магазина, както неоторизираното четене, така и опортюнистичното копиране ставаха по-малко интересни. Компанията запази предимството в ефективността, без да предоставя излишна стойност на всеки с универсален четец.

Идентификаторите за събития са още един добър пример. Организатор на фестивал някога приемаше, че клонирани RFID гривни ще бъдат проблем само ако някой съвършено копира оригиналната електроника на гривната. В действителност по-релевантната заплаха беше функционалното дублиране. Ако копиран идентификатор можеше да премине проверките за вход или плащане, това беше достатъчно за измама. Организаторът реагира, като комбинира по-силна логика на идентификаторите с бекенд правила за валидиране, времево активиране и по-строг контрол на издаването. Решението не беше една функция. То беше многослоен дизайн, който направи случайното клониране много по-малко изгодно.

Как компаниите могат да намалят риска от RFID клониране

И така, могат ли RFID таговете да бъдат клонирани? Да, някои могат, а някои са много по-лесни за клониране от други. Тагове, които разчитат на статични, четими идентификатори с малко или никаква автентикация, са най-лесни за копиране в практически смисъл. Тагове, които използват по-силна автентикация, защитена памет и криптографски функции, са много по-трудни за убедително дублиране. Но крайният риск никога не идва само от тага. Той идва от цялата система. Ако четците, софтуерът, ключовете, правата и работният процес приемат всеки съвпадащ идентификатор за истина, клонирането става по-сериозна опасност. Ако внедряването приема, че тагове могат да бъдат копирани, и проектира процесите около тази възможност, рискът рязко намалява.

За компании, които оценяват RFID сигурността, практичният списък е ясен. Първо, определете дали тагът е просто процесен етикет или доверен идентификатор. Второ, не съхранявайте върху тага повече полезна информация, отколкото е необходимо. Трето, използвайте защитени RFID чипове и функции за автентикация, когато приложението го оправдава. Четвърто, контролирайте кой може да издава, чете и регистрира тагове. Пето, защитавайте четците като мрежови устройства, а не като безобидни аксесоари. Шесто, позволете на бекенда да следи за невъзможно или подозрително поведение, вместо да приема всяко RFID събитие за автентично. И накрая, тествайте реалния модел на доверие, а не само радиочестотната производителност.

В крайна сметка въпросът за клонирането всъщност е въпрос на дизайн. RFID таговете не стават магически безопасни или опасни само заради категорията си. Те стават лесни или трудни за клониране според това какво може да прави чипът, какво очаква системата и колко внимателно е изградено цялото внедряване. Ако една компания третира RFID като обикновен етикет и нищо повече, рискът от клониране може да бъде приемлив в много работни процеси. Ако компанията използва RFID като доказателство за идентичност, плащане или разрешение, по-силните контроли не са опция. Те са разликата между удобство и погрешно доверие.