מהי אבטחת מידע RFID?

מהי אבטחת מידע RFID?

 

בשנה שעברה לקוח התקשר אלינו, זועם. כרטיסי בקרת הגישה שלהם "נפרצו". מסתבר שהם עדיין הפעילו כרטיסי קירבה של 125kHz מלפני עשור. מישהו חלף על פני עובד ברכבת התחתית עם מכשיר בגודל טלפון-, ולמחרת בבוקר, גורם לא ידוע ניגש למחסן שלו באמצעות כרטיס משובט.

 

אנחנו מייצרים מוצרי RFID ב-SYNTEK כבר קרוב ל-20 שנה. סיפורים כאלה אינם נדירים. ראינו חברות מוציאות מיליונים על מערכות מעקב אחר נכסים, רק כדי לגלות שכל קורא של 30 דולר מאליאקספרס יכול לשכתב את התגים שלהם. ראינו מערכות נוכחות עם כרטיסים כפולים-אותו מספר כרטיס מופיעות בשלוש ערים שונות בו-זמנית.

הנה הדבר שאף אחד לא מדבר עליו

 

RFID היא מערכת אלחוטית פתוחה. התג והקורא שלך מתקשרים באמצעות גלי רדיו. כל אחד עם הציוד המתאים יכול להאזין.

 

תקשורת אלחוטית מתרחשת באוויר הפתוח, מה שמאפשר יירוט ללא מגע פיזי.

 

הבעיה התחילה מוקדם. כשהיצרנים תכננו לראשונה את השבבים האלה, הם התמקדו ב"אפשר לקרוא את זה?" לא "אנחנו צריכים לתת לך לקרוא את זה?" לצ'יפים רבים יש אפס אימות. הקורא שואל "מי אתה?" והתג פשוט... עונה. לא משנה אם זה מכשיר לגיטימי או איזה בחור עם פרוקסמרק בתרמיל.

מדוע כרטיסי 125kHz הם בדיחה אבטחה

 

הנה משהו שהתעשייה לא מפרסמת: נתח עצום של כרטיסי גישה שעדיין בשימוש היום פועל על טכנולוגיה של שנות ה-90.

כרטיסים אלה פועלים במהירות של 125kHz. דגם השבב הוא בדרך כלל EM4100 או TK4100. איך הם עובדים? הדלקה, שידור מזהה, בוצע. אין הצפנה. אין אימות. רק מספר קבוע מאוחסן על השבב.

 

 

עלות לשבט אחד? אולי 20$ לכותב קורא-מאמזון, עוד 5$ לכרטיסים ריקים. שלוש דקות עבודה.

לקוחות שואלים אותנו לפעמים: "האם אתה יכול ליצור כרטיס מוצפן של 125kHz?"

תשובה קצרה: לא. הפרוטוקול עצמו אינו תומך באבטחה רצינית. אתה רוצה הגנה, אתה עובר לתדר גבוה 13.56MHz או UHF, עם שבבים כמו MIFARE DESFire או ICODE DNA שתומכים למעשה בהצפנת AES.

 

איך נראים התקפות בפועל

 

בהתבסס על שיחות עם לקוחותינו, כאן אבטחת RFID נכשלת בפועל:

הפשרה בין עלות לעומת אבטחה (ומדוע זה לא פשוט)

 

לקוחות שואלים אותנו כל הזמן: האם שבבים יקרים יותר פירושם אבטחה טובה יותר?

בערך כן, אבל זה לא ליניארי.

 

סוג שבב	עלות בערך	מצב אבטחה
EM4100 125kHz	$0.10	אַף לֹא אֶחָד
13.56MHz MIFARE Classic	~$0.40	נפגע (2008)
MIFARE DESFire EV3	$1-2	AES-128 / גבוה

 

כרטיס EM4100 125kHz עשוי לעלות $0.10. עלה ל-13.56MHz MIFARE Classic, ואתה עומד על אולי $0.40 - אבל האבטחה לא הרבה יותר טובה (ההצפנה של השבב הזה נפצחה עוד ב-2008). עבור אל MIFARE DESFire EV3 עם AES-128 ואימות הדדי, אתה מסתכל על $1-2 לכרטיס, אבל לא קיימים ניצולים ציבוריים ידועים.

 

השאלה היא: האם אתה באמת צריך את הרמה הזו?

אם אתה עוקב אחר מפתח ברגים במפעל, איבוד מפתח פירושו להזמין חלופי. אם אתה שולט בגישה לכספת בנק, כרטיס משובט אומר משהו שונה מאוד.

 

העצה שלנו ללקוחות: התחל עם "מה המקרה הגרוע ביותר אם זה ייפגע?" ואז לעבוד לאחור. חצי מהזמן זו לא בעיה טכנית, זו בעיית תפיסה.

 

מה אתה יכול לעשות בלי להחליף הכל

 

במצבים מסוימים באמת צריך תגיות זולות-צמידים לאירועים, תוויות לוגיסטיות בנפח-גבוהה. צ'יפס פרימיום לכל דבר אינו מציאותי. אבל יש לך אפשרויות אחרות:

אימות הדדי-שווה להבין

 

תגובת אתגר- שהוזכרה קודם לכן. תן לי להרחיב על זה כי זה לא מובן לעתים קרובות.

אימות RFID מסורתי הוא אחד-דרך: הקורא מאמת תג. אבל יישומי-אבטחה גבוהה זקוקים לאימות דו-כיוונית-התג גם מאמת שהקורא לגיטימי.

 

הנה הזרימה:

שני הצדדים צריכים לעבור לפני שתתרחש חילופי נתונים אמיתיים. פירוש הדבר שקורא מזויף לא יכול להערים על תגים שיוותרו על מידע.

MIFARE DESFire תומך בכך. די חובה עבור כל פרויקט שאנו עושים עם בנקים או סוכנויות ממשלתיות.

 

דברים מעשיים לפני שאתה הולך

 

1. גלה מה אתה מפעיל כרגע

להרבה חברות יש מערכות RFID שהותקנו על ידי מישהו שעזב לפני שנים. ל-IT הנוכחי אין מושג מה נפרס בפועל. קבל את המפרט מהספק שלך-לפחות, דע את התדירות ואת דגם השבב.

 

2. לכמת את המקרה הגרוע ביותר שלך

אם כרטיסי הגישה שלך משובטים, מה הנזק? אם מתעסקים בתגי מלאי, מה החשיפה? שים עליו מספר. ואז תחליט אם שדרוג שווה את זה.

 

3. שכבה את האבטחה שלך

לא כל דבר צריך הגנה מקסימלית. תגי עובדים רגילים יכולים להפעיל צ'יפים בינוניים-. דלתות חדרי שרתים ומשרדי פיננסים מקבלים-שבבי אבטחה גבוהים. תגים לוגיסטיים של מחסן יכולים להיות זולים עם אימות עורפי.

 

4. ביקורת שוטפת

RFID לא מוגדר-ו-שכח. בדוק את יומני הגישה לאיתור חריגות. אותו כרטיס מופיע בשני מקומות בו זמנית. לאחר-שעות ניסיונות גישה. דפוסים לא הגיוניים.

 

5. תכנן שדרוגים

אם התקציב מצומצם כעת ואתה הולך עם פתרון בינוני-, בחר לפחות ארכיטקטורה המאפשרת שדרוגים עתידיים. אל תנעל את עצמך במערכת סגורה הדורשת החלפה מלאה תוך שלוש שנים.