Czy tagi RFID można sklonować?

Dlaczego na pytanie o klonowanie tagów RFID nie ma prostej odpowiedzi

Uczciwa odpowiedź na pytanie, czy tagi RFID można sklonować, brzmi: tak, niektóre z nich można. Sama taka odpowiedź jest jednak zbyt ogólna, aby miała praktyczną wartość. W rzeczywistych zastosowaniach możliwość sklonowania tagu RFID zależy od jego rodzaju, zapisanych danych, zabezpieczeń wbudowanych w chip, konstrukcji systemu czytników oraz od tego, co właściwie rozumiemy przez klonowanie. W niektórych przypadkach wystarczy skopiować jawny identyfikator na inny kompatybilny tag. W innych jest to znacznie trudniejsze, ponieważ tag wykorzystuje uwierzytelnianie, chronioną pamięć lub kryptograficzny mechanizm wezwanie–odpowiedź. Dlatego praktyczne pytanie nie powinno brzmieć wyłącznie, czy tagi RFID można sklonować. Ważniejsze jest ustalenie, które tagi łatwo skopiować, które zapewniają wyższy poziom ochrony i co powinna zrobić firma, jeśli ryzyko klonowania ma znaczenie dla jej działalności.

Wiele nieporozumień wynika z traktowania wszystkich tagów RFID tak, jakby były identyczne. W rzeczywistości znacznie się od siebie różnią. Prosta pasywna etykieta UHF RFID do monitorowania kartonów nie jest tym samym co bezpieczny identyfikator kontroli dostępu. Tag HF NFC używany w kampanii marketingowej różni się od karty transportowej lub identyfikatora pracowniczego o podwyższonym poziomie bezpieczeństwa. Niektóre tagi projektuje się przede wszystkim z myślą o identyfikacji i usprawnieniu procesów, a inne z naciskiem na ochronę danych i uwierzytelnianie. Jeżeli tag przechowuje wyłącznie statyczny numer i nie zapewnia skutecznego mechanizmu potwierdzania autentyczności, ryzyko jego sklonowania jest realne, a wykonanie kopii często nie jest szczególnie trudne. Gdy jednak chip musi potwierdzić swoją autentyczność podczas bezpiecznej wymiany danych, klonowanie staje się zupełnie innym wyzwaniem.

To rozróżnienie jest istotne, ponieważ klonowanie zazwyczaj nie oznacza fizycznego odtworzenia całej mikroelektroniki tagu. W zastosowaniach biznesowych najczęściej chodzi o utworzenie drugiego tagu, który z punktu widzenia systemu czytników zachowuje się jak oryginał. Jeżeli system ufa wyłącznie statycznemu identyfikatorowi, jego skopiowanie może być wystarczające. Jeśli natomiast oczekuje od chipu bezpiecznego uwierzytelnienia, samo powielenie widocznych danych nie musi go oszukać. Innymi słowy, klonowanie kończy się powodzeniem wtedy, gdy system nie potrafi odróżnić oryginalnego identyfikatora od jego nieautoryzowanej kopii.

Klonowanie funkcjonalne a fizyczne powielenie tagu

Operator opakowań wielokrotnego użytku przekonał się o tym podczas regionalnego projektu pilotażowego. Firma oznakowała tagami RFID zwrotne pojemniki transportowe i zakładała, że system jest bezpieczny, ponieważ zastosowane tagi wyglądały na specjalistyczne i przemysłowe. Kilka miesięcy później zespół operacyjny zauważył, że niektóre pojemniki były rejestrowane jednocześnie w miejscach, w których fizycznie nie mogły się znajdować. Analiza zdarzeń wykazała, że podczas lokalnych testów wprowadzono duplikaty identyfikatorów zapisane na tanich, programowalnych tagach. Oryginalne tagi nie zostały odtworzone na poziomie krzemowego układu scalonego. Skopiowano jedynie ich tożsamość. W tym procesie wystarczyło to jednak do powstania chaosu operacyjnego i nieprawidłowej historii obiegu zasobów.

Ten przykład trafnie pokazuje istotę problemu. Wiele systemów RFID jest podatnych na nadużycia nie dlatego, że sama technologia radiowa jest słaba, lecz dlatego, że niewłaściwie zaprojektowano model zaufania. Jeśli system backendowy uznaje każdy pasujący identyfikator za autentyczny, klonowanie staje się znacznie łatwiejsze. Ma to szczególne znaczenie w takich zastosowaniach jak kontrola dostępu RFID, śledzenie zasobów RFID, elektroniczne bilety, zarządzanie narzędziami oraz niektóre systemy weryfikacji łańcucha dostaw. Im bardziej system polega wyłącznie na tagu jako potwierdzeniu tożsamości, tym poważniejsze konsekwencje może spowodować jego sklonowanie.

Z podobnym problemem zetknął się szpitalny zespół zarządzający pompami infuzyjnymi i urządzeniami mobilnymi. Pierwsza wersja rozwiązania wykorzystywała proste tagi z możliwymi do odczytania identyfikatorami, ponieważ głównym celem była lokalizacja sprzętu, a nie autoryzacja dostępu czy płatności. Pod względem operacyjnym system działał prawidłowo. Dział bezpieczeństwa zauważył jednak, że skopiowany identyfikator mógłby zostać umieszczony na innym przedmiocie, przez co historia lokalizacji ważnego urządzenia stałaby się niewiarygodna. Nie musiałoby to od razu umożliwić niezauważonej kradzieży właściwego sprzętu, ale mogłoby poważnie utrudnić jego wyszukiwanie oraz podważyć wiarygodność audytów i dokumentacji zgodności. Szpital podzielił więc zasoby według poziomu ryzyka. W przypadku przedmiotów o niższej wartości pozostawiono standardowe tagi, natomiast zasoby wymagające większego zaufania objęto silniejszą kontrolą tożsamości na poziomie tagów i logiki systemowej.

Które tagi RFID najłatwiej sklonować?

Które tagi RFID są zatem najłatwiejsze do sklonowania? Najbardziej podatne są zwykle rozwiązania udostępniające statyczny identyfikator i niewykorzystujące silnego uwierzytelniania. Do tej kategorii należy wiele podstawowych etykiet RFID i tagów stosowanych w systemach inwentaryzacyjnych, ponieważ nie projektowano ich z myślą o odpieraniu celowych ataków. Ich priorytetami były szybkość odczytu, atrakcyjna cena i efektywność procesu. Nie ma w tym nic niewłaściwego, o ile przedsiębiorstwo rozumie związane z tym ograniczenia. Etykieta na kartonie magazynowym nie zawsze potrzebuje zabezpieczeń klasy bankowej, szczególnie gdy jej identyfikator nabiera znaczenia dopiero w chronionym systemie backendowym. Ryzyko gwałtownie rośnie jednak wtedy, gdy tag o podstawowym poziomie bezpieczeństwa zostaje wykorzystany w procesie wymagającym wysokiego zaufania.

Dobrym przykładem takiego niedopasowania był projekt realizowany na terenie kampusu. Zespół zarządzający budynkami szukał tańszego sposobu wydawania tymczasowych uprawnień wejściowych i rozważał uproszczony format identyfikatora RFID oparty głównie na statycznym numerze karty. Rozwiązanie było wygodne, lecz dział bezpieczeństwa zgłosił zastrzeżenia. Skopiowanie numeru mogłoby prowadzić do powstania działającego duplikatu, gdyby kontrolery drzwi zbyt łatwo uznawały taki numer za autentyczny. Ostatecznie w chronionych strefach wdrożono silniejszy mechanizm uwierzytelniania, a prostsze tagi pozostawiono w niekrytycznych procesach rejestracji. Wniosek nie był taki, że technologia RFID jest niebezpieczna. Problem polegał na użyciu niskiego poziomu zabezpieczeń RFID w roli, która wymagała wysokiego poziomu bezpieczeństwa.

Jak uwierzytelnianie zmienia model bezpieczeństwa

Właśnie w tym miejscu uwierzytelnianie zasadniczo zmienia sytuację. Bezpieczne tagi RFID często nie ograniczają się do ujawnienia zapisanych danych, lecz potwierdzają także swoją autentyczność. Zamiast odpowiadać wyłącznie stałym identyfikatorem, uczestniczą w mechanizmie wezwanie–odpowiedź lub w innej chronionej wymianie informacji. Znacznie utrudnia to klonowanie, ponieważ samo odczytanie numeru i jego ponowne przesłanie nie wystarcza do oszukania systemu. Czytnik oczekuje działania powiązanego z tajnymi kluczami lub operacjami kryptograficznymi wykonywanymi wewnątrz chipu. Skopiowany kod widoczny dla użytkownika nie zachowuje się wtedy jak oryginalny tag.

Różnicę dobrze pokazał projekt kontroli dostępu w nowoczesnym biurze. Firma wcześniej korzystała ze starszych kart zbliżeniowych, które sprawiały wrażenie nowoczesnych, ponieważ pracownikom wystarczało przyłożenie karty do czytnika. Podczas audytu bezpieczeństwa okazało się jednak, że karty w zbyt dużym stopniu opierały się na przewidywalnych danych. Po wdrożeniu bezpieczniejszych identyfikatorów sposób korzystania z systemu pozostał dla pracowników taki sam. Nadal przykładali kartę przy wejściu. W tle nowe karty nie przekazywały już jednak wyłącznie numeru, lecz uczestniczyły w znacznie bezpieczniejszym procesie uwierzytelniania. Nie oznaczało to, że sklonowanie ich nigdy nie będzie teoretycznie możliwe, ale przypadkowe lub amatorskie kopiowanie stało się znacznie mniej realne.

Kolejnym czynnikiem jest łatwość odczytu i ponownego zapisu pamięci tagu. Niektóre chipy RFID obsługują hasła, zablokowane obszary pamięci, chronione polecenia lub nieodwracalne blokady zapisu. Funkcje te nie eliminują automatycznie wszystkich sposobów klonowania, lecz mogą ograniczyć zakres danych dostępnych do odczytu i kopiowania. Jeżeli kluczowych informacji nie można swobodnie odczytać, powielić ani zmienić bez odpowiednich uprawnień, tag staje się znacznie mniej dogodnym celem. Z tego powodu bezpieczne rozwiązania RFID zwykle wykorzystują więcej niż jedno zabezpieczenie. Skuteczna ochrona rzadko opiera się na pojedynczej funkcji. Najczęściej jest zestawem uzupełniających się barier, które znacząco zwiększają trudność ataku.

Producent opakowań farmaceutycznych dostrzegł wartość takiego wielowarstwowego podejścia podczas planowania systemu RFID dla produktów objętych serializacją. Początkowo jeden z działów proponował zapisanie na tagu szczegółowych informacji o produkcie, aby ułatwić kontrolę w procesie dystrybucji. Zespoły ds. zgodności i bezpieczeństwa szybko zauważyły jednak negatywne konsekwencje. Jawne dane ułatwiłyby ich kopiowanie i mogłyby wspierać fałszowanie opakowań. W rozwiązaniu końcowym ograniczono ilość publicznie dostępnych informacji, po autoryzowanym zapisie zablokowano ważne obszary pamięci, a większą rolę powierzono bezpiecznej weryfikacji w systemie backendowym. Nie rozwiązało to każdego możliwego problemu z podrabianiem produktów, lecz znacznie ograniczyło użyteczność prostych klonów.

Dlaczego czytniki i logika systemu backendowego mają znaczenie

Ryzyko klonowania zależy oczywiście również od sposobu działania czytników i logiki systemu backendowego. Skopiowana tożsamość RFID jest niebezpieczna tylko wtedy, gdy system akceptuje ją bez dodatkowej weryfikacji. Prawidłowo zaprojektowane rozwiązanie może znacznie ograniczyć wartość klonu. Jedną z popularnych strategii jest przechowywanie na tagu minimalnej ilości istotnych danych i bezpieczne przypisywanie identyfikatora do właściwych informacji w systemie backendowym. Inną metodą jest wykrywanie niemożliwych zdarzeń, takich jak pojawienie się tego samego identyfikatora w dwóch odległych lokalizacjach w nierealnie krótkim czasie. RFID można również łączyć z kontekstem operacyjnym, danymi z czujników, tożsamością użytkownika, regułami czasowymi lub historią transakcji. Klon działający samodzielnie może nie przejść kontroli w bardziej inteligentnym systemie.

Producent wykorzystujący RFID do monitorowania produkcji w toku przekonał się o tym po wykryciu powtarzających się anomalii pomiędzy dwoma stanowiskami. Początkowo zespół podejrzewał problemy z czytnikami. Dokładniejsza analiza wykazała jednak, że do normalnego obiegu przedostały się duplikaty identyfikatorów utworzone podczas lokalnych testów. System był zbyt ufny, ponieważ każdy zeskanowany identyfikator automatycznie uznawano za prawidłowo zarejestrowany element produkcji w toku. Rozwiązanie problemu nie ograniczało się do wymiany tagów. Firma wdrożyła reguły zdarzeń wykrywające niemożliwe przemieszczenia, ograniczyła liczbę osób uprawnionych do inicjalizowania tagów i określiła, które stanowiska mogą wprowadzać nowe identyfikatory do systemu. Dzięki temu skopiowany numer miał znacznie mniejsze szanse pozostać niezauważony.

Dla nabywców oznacza to konieczność zmiany sposobu myślenia. Nie wystarczy zapytać, czy tag można sklonować. Trzeba również ustalić, co się stanie, jeżeli ktoś rzeczywiście spróbuje to zrobić. Jeśli tag przechowuje jedynie niewrażliwy numer referencyjny, który nabiera znaczenia dopiero po sprawdzeniu dodatkowego kontekstu w systemie backendowym, ryzyko może być akceptowalne. Jeżeli natomiast tag bezpośrednio potwierdza prawo dostępu, płatność lub tożsamość regulowanego produktu, konsekwencje są znacznie poważniejsze i wymagają odpowiednio zaprojektowanych zabezpieczeń. Klonowanie nie ma jednego, uniwersalnego poziomu zagrożenia. Jest ryzykiem biznesowym zależnym od konkretnego zastosowania.

Dystrybutor biżuterii przekonał się o tym podczas testowania RFID do monitorowania przepływu towarów o wysokiej wartości. W pierwszym projekcie pilotażowym zastosowano standardowe tagi, ponieważ zespołowi zależało przede wszystkim na szybszej inwentaryzacji i lepszej widoczności produktów na półkach. Rozwiązanie spełniało te wymagania operacyjne. Następnie projekt rozszerzono o zabezpieczone punkty przekazywania towarów pomiędzy magazynem a salonem sprzedaży. W tym momencie znaczenie tagu uległo zmianie. Nie był już wyłącznie narzędziem do liczenia produktów, lecz stał się elementem zaufanej dokumentacji przemieszczania zasobów. Firma ograniczyła więc uprawnienia do rejestrowania tagów, wdrożyła bezpieczniejsze identyfikatory dla tac z kosztownymi produktami i wprowadziła obowiązkową kontrolę zgodności danych w oprogramowaniu przy każdym przekazaniu. Nie uznano całej technologii RFID za niebezpieczną. Zmieniono model bezpieczeństwa, ponieważ wzrosło znaczenie tagu dla procesów biznesowych.

Bezpieczne chipy nadal wymagają bezpiecznego wdrożenia

Warto również wyjaśnić, że bezpieczne tagi nie eliminują automatycznie i na zawsze każdego ryzyka klonowania. Funkcje ochronne podnoszą poziom trudności, czasami bardzo znacząco, lecz bezpieczeństwo nadal zależy od zarządzania kluczami, ochrony czytników, uprawnień w systemie backendowym i dyscypliny operacyjnej. Zaawansowany chip wykorzystujący słabe klucze lub niedbale skonfigurowany proces rejestracji może nadal działać w podatnym systemie. Materiały marketingowe czasem pomijają tę zależność. Bezpieczny chip RFID jest wartościowym elementem ochrony, ale nie zastępuje prawidłowo zabezpieczonego wdrożenia RFID.

Operator łańcucha chłodniczego zauważył ten problem podczas modernizacji magazynu. Kierownictwo zatwierdziło wykorzystanie bezpiecznych tagów do monitorowania wybranych zasobów i uznało funkcje chipów za wystarczającą ochronę. Późniejszy wewnętrzny audyt wykazał jednak, że część czytników testowych nadal działała z ustawieniami deweloperskimi i niewystarczającymi ograniczeniami pozostawionymi po uruchomieniu systemu. Nie doszło do naruszenia bezpieczeństwa, ale zespół audytowy trafnie podsumował sytuację: firma kupiła mocniejsze zamki, pozostawiając jednocześnie kilka otwartych okien. Dopiero zabezpieczenie procesu zarządzania czytnikami i ograniczenie dostępu do urządzeń rejestrujących tagi poprawiło poziom ochrony skuteczniej, niż zrobiłaby to kolejna wymiana chipów.

Prywatność, wydarzenia i rzeczywiste ryzyko klonowania

Obawy dotyczące prywatności konsumentów również są powiązane z klonowaniem. W handlu detalicznym i podczas wydarzeń skopiowany tag nie zawsze służy do podszywania się pod chronioną tożsamość. Czasami większym zagrożeniem jest to, że swobodnie odczytywane tagi ujawniają przewidywalne dane, które można gromadzić, analizować lub ponownie wykorzystywać. Sklonowana etykieta detaliczna nie musi otwierać drzwi, ale może prowadzić do pomyłek związanych z podróbkami albo umożliwiać niepożądane śledzenie, jeżeli system został zaprojektowany bez odpowiednich zabezpieczeń. Dlatego rozwiązania RFID uwzględniające ochronę prywatności często ograniczają ilość jawnych danych, zmniejszają użyteczność tagu po sprzedaży lub dezaktywują go po zakupie, gdy jest to uzasadnione.

Przed takim wyborem stanęła marka odzieżowa wdrażająca na dużą skalę tagi RFID do zarządzania zapasami. Korzyści operacyjne były oczywiste, ale firma nie chciała, aby aktywne tagi produktowe zachowywały zbyt duże znaczenie po sprzedaży. Rozwiązanie obejmowało zarówno ochronę prywatności, jak i ograniczenie ryzyka klonowania. Jeżeli poza systemem sklepowym etykieta udostępniała bardzo niewiele użytecznych informacji, zarówno nieautoryzowany odczyt, jak i przypadkowe kopiowanie stawały się mniej atrakcyjne. Marka zachowała korzyści wynikające z efektywnej identyfikacji, nie udostępniając jednocześnie zbędnych danych osobom korzystającym ze standardowych czytników.

Dobrym przykładem są również identyfikatory używane podczas imprez. Organizator festiwalu zakładał kiedyś, że sklonowane opaski RFID staną się problemem dopiero wtedy, gdy ktoś idealnie odtworzy elektronikę oryginalnej opaski. W praktyce większym zagrożeniem było jej funkcjonalne powielenie. Jeżeli skopiowany identyfikator pozwalał przejść kontrolę wejścia lub zatwierdzić płatność, wystarczało to do popełnienia nadużycia. Organizator połączył więc bezpieczniejszą logikę identyfikatorów z regułami weryfikacji backendowej, aktywacją w określonym czasie oraz ściślejszą kontrolą wydawania opasek. Ochrona nie opierała się na jednej funkcji, lecz na wielowarstwowej konstrukcji, która znacząco zmniejszyła opłacalność prostego klonowania.

Jak firmy mogą ograniczyć ryzyko klonowania RFID

Czy tagi RFID można zatem sklonować? Tak, niektóre można, a część z nich jest znacznie łatwiejsza do skopiowania niż pozostałe. W praktyce najbardziej podatne są tagi oparte na statycznych, jawnych identyfikatorach, które nie wykorzystują skutecznego uwierzytelniania. Tagi wyposażone w silniejsze mechanizmy potwierdzania autentyczności, chronioną pamięć i funkcje kryptograficzne znacznie trudniej wiarygodnie powielić. Ostateczne ryzyko nigdy nie zależy jednak wyłącznie od samego tagu. Wynika z konstrukcji całego systemu. Jeżeli czytniki, oprogramowanie, klucze, uprawnienia i procedury uznają każdy pasujący identyfikator za prawdziwy, klonowanie staje się poważniejszym zagrożeniem. Gdy wdrożenie od początku zakłada możliwość skopiowania tagu i uwzględnia ją w modelu ochrony, poziom ryzyka wyraźnie spada.

Firmy analizujące bezpieczeństwo RFID mogą skorzystać z prostego zestawu zasad. Po pierwsze, należy ustalić, czy tag jest jedynie etykietą procesową, czy zaufanym identyfikatorem. Po drugie, nie powinno się przechowywać na nim większej ilości użytecznych informacji, niż jest to konieczne. Po trzecie, w zastosowaniach tego wymagających warto używać bezpiecznych chipów RFID i funkcji uwierzytelniania. Po czwarte, trzeba kontrolować, kto może wydawać, odczytywać, programować i rejestrować tagi. Po piąte, czytniki należy chronić jak urządzenia sieciowe, a nie jak nieszkodliwe akcesoria. Po szóste, system backendowy powinien wykrywać niemożliwe lub podejrzane zdarzenia, zamiast automatycznie ufać każdemu odczytowi. Na koniec należy testować rzeczywisty model zaufania, a nie wyłącznie parametry komunikacji radiowej.

Ostatecznie pytanie o klonowanie jest przede wszystkim pytaniem o projekt całego rozwiązania. Tagi RFID nie stają się automatycznie bezpieczne lub niebezpieczne tylko ze względu na przynależność do określonej kategorii. Łatwość ich skopiowania zależy od możliwości chipu, oczekiwań systemu i jakości całego wdrożenia. Jeśli przedsiębiorstwo traktuje RFID wyłącznie jako prostą etykietę procesową, ryzyko klonowania może być akceptowalne w wielu zastosowaniach. Jeżeli jednak tag RFID służy jako potwierdzenie tożsamości, płatności lub uprawnienia, silniejsze zabezpieczenia nie są rozwiązaniem opcjonalnym. To one wyznaczają granicę pomiędzy wygodą a nieuzasadnionym zaufaniem.