RFID電子標(biāo)簽具有設(shè)備體積小、抗污染能力強(qiáng)、應(yīng)用范圍廣、穿透性強(qiáng)、記憶容量大、閱讀速度快等特點(diǎn),并可以重復(fù)使用, 因此得到廣泛應(yīng)用。但是,RFID應(yīng)用在安全方面還存在嚴(yán)重問(wèn)題。RFID系統(tǒng)進(jìn)行前端數(shù)據(jù)采集工作時(shí), 標(biāo)簽和讀寫(xiě)器之間采用無(wú)線(xiàn)射頻信號(hào)進(jìn)行通信,在系統(tǒng)數(shù)據(jù)采集的同時(shí)也使傳遞的信息暴露于大庭廣眾之下, 如果標(biāo)簽中的信息被竊取甚至惡意更改,將會(huì)給標(biāo)簽的合法擁有者帶來(lái)不可估計(jì)的損失。盡管RFID實(shí)施單位意識(shí)到RFID安全的重要性,但是卻沒(méi)有把這個(gè)問(wèn)題放在RFID應(yīng)用和發(fā)展的首位, 隨著這些沒(méi)有安全機(jī)制并且形式千差萬(wàn)別的RFID廣泛使用, 潛在的安全形勢(shì)將會(huì)越加嚴(yán)重。
一、 RFID安全風(fēng)險(xiǎn)
RFID的安全風(fēng)險(xiǎn)主要來(lái)自于當(dāng)初“系統(tǒng)開(kāi)放”的設(shè)計(jì)思想,這是RFID系統(tǒng)出現(xiàn)安全隱患的根本原因。RFID設(shè)計(jì)和應(yīng)用的目的就是降低成本,提高效率,由于RFID 標(biāo)簽價(jià)格低廉和設(shè)備簡(jiǎn)單, 安全措施很少被應(yīng)用到RFID當(dāng)中, RFID面臨的安全威脅更加嚴(yán)重,RFID安全問(wèn)題通常會(huì)出現(xiàn)在數(shù)據(jù)獲取、數(shù)據(jù)傳輸、數(shù)據(jù)處理和數(shù)據(jù)存儲(chǔ)等各個(gè)環(huán)節(jié)以及標(biāo)簽、讀寫(xiě)器、天線(xiàn)和計(jì)算機(jī)系統(tǒng)各個(gè)設(shè)備當(dāng)中。
1) RFID自身脆弱性。RFID系統(tǒng)的實(shí)施既為了取代人工處理而實(shí)現(xiàn)自動(dòng)化或者半自動(dòng)化處理。因此,任何不適當(dāng)?shù)腞FID規(guī)劃或者系統(tǒng)的開(kāi)放性都會(huì)導(dǎo)致RFID 的安全風(fēng)險(xiǎn)。RFID 系統(tǒng)中的任何組件或者子系統(tǒng)故障都會(huì)導(dǎo)致系統(tǒng)失效。導(dǎo)致這些故障的原因有多方面原因:網(wǎng)絡(luò)或者線(xiàn)路連接故障、軟件病毒使中間件軟件功能失效,射頻干擾導(dǎo)致讀寫(xiě)器無(wú)法正確獲取標(biāo)簽信息。同樣,由于部分RFID部件部署于戶(hù)外,極易受到天災(zāi)人禍的影響。如果企業(yè)對(duì)RFID系統(tǒng)有嚴(yán)重依賴(lài)性, 那么RFID系統(tǒng)故障會(huì)給企業(yè)帶來(lái)巨大的經(jīng)濟(jì)損失。
2)RFID易受外部攻擊。由于RFID系統(tǒng)支持遠(yuǎn)程無(wú)線(xiàn)接入訪(fǎng)問(wèn)系統(tǒng)資源,往往沒(méi)有部署足夠安全機(jī)制,很容易被第三方利用來(lái)進(jìn)行非授權(quán)訪(fǎng)問(wèn)。第三方有可能非授權(quán)訪(fǎng)問(wèn)RFID產(chǎn)生信息并且用來(lái)危害實(shí)施RFID系統(tǒng)單位的利益。在一些應(yīng)用中,不法單位或者個(gè)人可利用合法或者自構(gòu)讀寫(xiě)器對(duì)RFID 系統(tǒng)的標(biāo)簽實(shí)施非法接入,造成標(biāo)簽信息的泄露。在一些金融和證件等重要應(yīng)用中,不法單位或者個(gè)人可能篡改標(biāo)簽內(nèi)容或者復(fù)制合法標(biāo)簽, 以獲取單位或者個(gè)人利益,甚至進(jìn)行非法活動(dòng)。
3)隱私風(fēng)險(xiǎn)。RFID技術(shù)導(dǎo)致多個(gè)隱私問(wèn)題:一是單位或者個(gè)人為自己利益非法收集RFID信息,包括交易信息或者授權(quán)信息,然后利用該信息進(jìn)行非法活動(dòng);另外,由于多數(shù)RFID 信息未經(jīng)過(guò)加密處理,RFID信息很容易被用于個(gè)人或者貨物的非法跟蹤。這些問(wèn)題往往由各個(gè)國(guó)家具體國(guó)情和法律決定。
4) 外部風(fēng)險(xiǎn)。
RFID作為一個(gè)完整的系統(tǒng)和其他系統(tǒng)和資產(chǎn)整合在一起,不可避免地有來(lái)自外部的安全風(fēng)險(xiǎn),主要來(lái)自于兩個(gè)方面:射頻干擾和計(jì)算機(jī)網(wǎng)絡(luò)攻擊。射頻干擾主要是電磁干擾,會(huì)導(dǎo)致系統(tǒng)工作異常;而計(jì)算機(jī)網(wǎng)絡(luò)攻擊主要指對(duì)網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的攻擊,會(huì)導(dǎo)致網(wǎng)絡(luò)癱瘓。常見(jiàn)的有惡意軟件攻擊、拒絕服務(wù)攻擊和配置錯(cuò)誤等。
二、 RFID安全措施
作為物聯(lián)網(wǎng)的基礎(chǔ),RFID技術(shù)雖然發(fā)展迅速,產(chǎn)品種類(lèi)繁多,但是還有許多安全問(wèn)題存在。物聯(lián)網(wǎng)要想健康發(fā)展,RFID安全還需要進(jìn)一步成熟。一般來(lái)說(shuō),RFID系統(tǒng)滿(mǎn)足如下安全需求:真實(shí)性需求,電子標(biāo)簽的身份認(rèn)證在RFID系統(tǒng)中是非常重要的, 電子標(biāo)簽只有確認(rèn)讀寫(xiě)器合法后才輸出自身信息,而讀寫(xiě)器只有通過(guò)身份認(rèn)證才能確信消息是從正確的電子標(biāo)簽發(fā)送過(guò)來(lái)的;完整性需求,RFID系統(tǒng)需要保證接收者得到的信息在傳輸過(guò)程中沒(méi)有被攻擊者篡改或替換;隱私性需求,RFID系統(tǒng)面臨著位置保密或?qū)崟r(shí)跟蹤的安全風(fēng)險(xiǎn), 因此RFID必須具備保護(hù)標(biāo)簽中的信息不泄漏給第三方;機(jī)密性需求,RFID系統(tǒng)需要有加密機(jī)制保護(hù)讀寫(xiě)器和標(biāo)簽之間的通信,第三方無(wú)法獲得通道中傳輸?shù)臄?shù)據(jù)。另外,作為完整的通信系統(tǒng),RFID系統(tǒng)在考慮安全問(wèn)題的同時(shí), 要滿(mǎn)足安全的互聯(lián)互通基本要求。
RFID是一個(gè)系統(tǒng)工程,其安全不僅涉及技術(shù),同時(shí)也涉及管理,所以要同時(shí)從技術(shù)和管理兩個(gè)方面來(lái)加強(qiáng)RFID系統(tǒng)安全。
1) 技術(shù)方面。RFID系統(tǒng)安全涉及以下幾個(gè)環(huán)節(jié):一是電子標(biāo)簽數(shù)據(jù)安全,二是讀寫(xiě)器和標(biāo)簽之間的安全通信,三是計(jì)算機(jī)系統(tǒng)中對(duì)標(biāo)簽信息的安全管理。為了保證電子標(biāo)簽數(shù)據(jù)安全,需要采用多種技術(shù)保證標(biāo)簽數(shù)據(jù)安全(常見(jiàn)的有標(biāo)簽內(nèi)存接入控制、標(biāo)簽數(shù)據(jù)加密、標(biāo)簽自動(dòng)失效技術(shù)和篡改保護(hù)機(jī)制);為了解決RFID系統(tǒng)對(duì)應(yīng)用開(kāi)放性問(wèn)題,需要對(duì)RFID組件訪(fǎng)問(wèn)提供認(rèn)證和完整性保護(hù)(常見(jiàn)的有基于密碼認(rèn)證、基于HMAC認(rèn)證和數(shù)字簽名認(rèn)證);為了解決讀寫(xiě)器和標(biāo)簽之間通信易受到攻擊的問(wèn)題,需要在必要的情況下支持讀寫(xiě)器與標(biāo)簽之間的安全通信(常見(jiàn)的有信道擾碼技術(shù)、數(shù)據(jù)加密技術(shù)、電磁屏蔽技術(shù)和頻道自動(dòng)選擇等技術(shù)); 計(jì)算機(jī)系統(tǒng)中對(duì)標(biāo)簽信息的安全管理同普通計(jì)算機(jī)網(wǎng)絡(luò)安全,由于技術(shù)相對(duì)比較成熟,在此不深入論述。
2)管理方面。所謂“三分技術(shù),七分管理”,絕大多數(shù)安全起源于實(shí)施者忽略安全重要性和操作人員的操作失誤。需要更新RFID實(shí)施方面的現(xiàn)存安全策略和加強(qiáng)安全操作維護(hù),包括系統(tǒng)規(guī)劃、風(fēng)險(xiǎn)評(píng)估、安全培訓(xùn)和應(yīng)急處理等多個(gè)方面。首先,明確RFID使用的策略,確定如何授權(quán)和非授權(quán)使用RFID;其次,相應(yīng)安全策略需要明確RFID相關(guān)網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)和應(yīng)用程序的安全使用;第三,布置RFID標(biāo)簽時(shí)要充分考慮有安全防護(hù)環(huán)境,安全正確部署讀寫(xiě)器和標(biāo)簽,并且只有具有授權(quán)的人才可以接觸和訪(fǎng)問(wèn)RFID系統(tǒng);第四,除了必要信息以外,在標(biāo)簽中盡量不要出現(xiàn)敏感信息。同時(shí),作為管理的關(guān)鍵,就是要有效培訓(xùn)操作員和管理員的安全操作意識(shí)和安全操作技能,盡量避免人為的安全隱患。
除此以外,由于RFID存在產(chǎn)品種類(lèi)繁多,應(yīng)用模式多樣等現(xiàn)象,也一定程度上導(dǎo)致了RFID 安全隱患,有必要統(tǒng)一和規(guī)范RFID產(chǎn)品和應(yīng)用,特別是RFID安全方面標(biāo)準(zhǔn)。到目前為止,RFID還沒(méi)有一個(gè)成熟的安全標(biāo)準(zhǔn),雖然很多廠家推出RFID安全產(chǎn)品,但是互不兼容,對(duì)RFID安全造成嚴(yán)重阻礙。有必要基于已有成果,開(kāi)發(fā)制定符合中國(guó)國(guó)情的RFID 安全標(biāo)準(zhǔn),并掌握屬于自己的專(zhuān)利,在未來(lái)國(guó)際競(jìng)爭(zhēng)中掌握主動(dòng)。
隨著信息通信技術(shù)日新月異發(fā)展,“無(wú)所不在”的通信理念正日益成為現(xiàn)實(shí)。RFID技術(shù)作為物聯(lián)網(wǎng)的基礎(chǔ)有著異常廣闊的發(fā)展空間, 但是安全問(wèn)題是RFID發(fā)展中不可回避的問(wèn)題, 特別是我國(guó)現(xiàn)處于RFID發(fā)展初期,對(duì)RFID安全研究相對(duì)薄弱,會(huì)很大程度制約RFID發(fā)展。值得慶幸的是,國(guó)內(nèi)各級(jí)部門(mén)以及企業(yè)、廠家已經(jīng)充分認(rèn)識(shí)到RFID安全的重要性,認(rèn)可安全在未來(lái)RFID發(fā)展中的重要性,RFID安全必將在未來(lái)RFID發(fā)展中會(huì)有長(zhǎng)足進(jìn)步。
文章來(lái)自:www.ccibeauty.com.cn