Jak chronić dane RFID przed nieautoryzowanym odczytem

Na czym polega nieautoryzowany odczyt RFID

Gdy firma zaczyna korzystać z technologii RFID, jedno z pierwszych pytań dotyczących bezpieczeństwa zwykle brzmi bardzo prosto: czy ktoś może odczytać nasze tagi bez pozwolenia? Tak, takie ryzyko może występować. Nieautoryzowany odczyt nie jest jednak pojedynczym problemem, który można rozwiązać za pomocą jednego zabezpieczenia. Poziom ryzyka zależy od rodzaju systemu RFID, danych zapisanych w tagu, zasięgu odczytu, sposobu zarządzania czytnikami oraz informacji, które firma rzeczywiście chce chronić. Skuteczna ochrona danych RFID nie polega więc na znalezieniu jednego „magicznego”, bezpiecznego tagu, lecz na stworzeniu wielowarstwowej architektury, która utrudnia nieuprawniony odczyt lub sprawia, że pozyskane dane stają się bezużyteczne.

To rozróżnienie jest ważne, ponieważ RFID znajduje zastosowanie w bardzo różnych procesach. Pasywna etykieta UHF umieszczona na kartonie jest narażona na inne zagrożenia niż karta kontroli dostępu, opaska pacjenta czy bilet na wydarzenie. Niektóre tagi przechowują wyłącznie pozbawiony znaczenia numer seryjny, który staje się użyteczny dopiero po powiązaniu z zabezpieczonym backendem. Inne zawierają bardziej poufne informacje bezpośrednio w pamięci układu. Część tagów powinna działać przez wiele lat, a pozostałe są potrzebne tylko przez kilka dni. Ochronę danych RFID przed nieautoryzowanym odczytem należy zatem rozpocząć od ustalenia, jakie informacje są dostępne, kto powinien mieć do nich dostęp i jakie mogą być konsekwencje ich odczytania przez nieuprawnioną osobę.

Dlaczego nieautoryzowany odczyt nie zawsze oznacza bezpośrednią kradzież danych

W najprostszym ujęciu nieautoryzowany odczyt następuje wtedy, gdy niezatwierdzony czytnik pobiera dane z tagu. Może to być terminal ręczny używany w pobliżu zapasów, nieuprawniony czytnik umieszczony przy wejściu albo niedrogie urządzenie testowe wykorzystywane przez osobę, która nie powinna mieć tak szerokiego dostępu. Czasami zagrożenie jest bezpośrednie: odczytujący poznaje poufne informacje. W innych przypadkach ma charakter pośredni. Zebrane identyfikatory mogą posłużyć do śledzenia przemieszczania towarów, rozpoznawania zawartości przesyłek lub kopiowania danych do innego systemu. Najskuteczniejsze strategie bezpieczeństwa RFID ograniczają oba rodzaje ryzyka. Zapobiegają przypadkowemu odczytowi albo sprawiają, że przechwycone informacje są bezużyteczne bez dostępu do dodatkowego, chronionego kontekstu.

Przekonał się o tym jeden z dystrybutorów odzieży podczas pilotażowego wdrożenia w sklepie. Firma zastosowała etykiety UHF RFID, aby zwiększyć dokładność stanów magazynowych i przyspieszyć uzupełnianie zapasów. Zespół operacyjny docenił szybszą inwentaryzację, jednak analiza prywatności ujawniła trudniejszą kwestię: co się stanie, jeśli osoba spoza firmy użyje uniwersalnego czytnika do przechwycenia identyfikatorów aktywnych etykiet na produktach znajdujących się blisko witryny? Same dane z tagów nie ujawniały nazwisk klientów, ale mogły wskazywać identyfikatory produktów i schematy ich przemieszczania. Rozwiązaniem nie była rezygnacja z RFID. Firma zmieniła model danych, ograniczając ilość bezpośrednio zrozumiałych informacji zapisanych w etykiecie, oraz wprowadziła procedurę postępowania po sprzedaży, która zmniejszyła dalszą ekspozycję tagu.

Ogranicz ilość poufnych danych zapisywanych w tagu

Powyższy przykład prowadzi do pierwszej podstawowej zasady: nie należy zapisywać poufnych danych w tagu, jeżeli nie ma ku temu wyraźnego uzasadnienia operacyjnego. Jest to jedno z najczęściej pomijanych zabezpieczeń prywatności i bezpieczeństwa RFID, ponieważ wydaje się mniej zaawansowane niż szyfrowanie czy uwierzytelnianie. W praktyce bywa jednak najrozsądniejszym rozwiązaniem. Jeżeli tag zawiera jedynie losowy lub pozbawiony bezpośredniego znaczenia identyfikator, jego nieuprawniony odczyt ujawni bardzo niewiele. Właściwe informacje pozostają w backendzie, gdzie mogą być skuteczniej chronione przez kontrolę dostępu, rejestrowanie operacji i zabezpieczenia systemowe. Wiele firm popełnia błąd, traktując tag jak niewielką, wygodną bazę danych, podczas gdy powinien on pełnić raczej funkcję odnośnika do zabezpieczonego rekordu.

Zespół odpowiedzialny za opakowania farmaceutyczne dostrzegł zalety takiego podejścia podczas projektu serializacji. Na wczesnym etapie planowano zapisywać szczegółowe informacje o produkcie i partii bezpośrednio w etykiecie RFID, aby ułatwić ich sprawdzanie w terenie. Rozwiązanie wydawało się efektywne, dopóki zespoły ds. bezpieczeństwa i zgodności nie zapytały, co się stanie, gdy dane zostaną przechwycone przez nieautoryzowane czytniki podczas transportu. Model został przeprojektowany tak, aby tag zawierał jedynie ograniczony identyfikator powiązany z chronionymi rekordami w backendzie. Autoryzowane systemy nadal mogły natychmiast wyświetlić pełne informacje, natomiast zewnętrzny czytnik uzyskiwał znacznie mniej danych. Ta jedna decyzja ograniczyła ryzyko jeszcze przed zastosowaniem bardziej zaawansowanych mechanizmów bezpieczeństwa.

Korzystaj z dostępnych zabezpieczeń na poziomie tagu

Druga zasada polega na stosowaniu ochrony hasłem, blokady pamięci i funkcji kontroli dostępu, jeżeli dany układ RFID je obsługuje. Poszczególne technologie oferują różne poziomy zabezpieczeń, jednak wiele bezpiecznych tagów RFID pozwala ograniczyć dostęp do określonych obszarów pamięci lub funkcji zapisu. Jeżeli zastosowanie wymaga przechowywania danych w tagu, nie wszystkie informacje powinny pozostać publicznie dostępne do odczytu i modyfikacji. Część danych można zablokować po zakodowaniu, dostęp do wybranych banków pamięci zabezpieczyć hasłem, a niepotrzebne polecenia wyłączyć po uruchomieniu systemu. Najważniejsze jest odejście od traktowania całej pamięci układu jak przestrzeni publicznej.

Z takim problemem zetknął się dostawca wyrobów medycznych podczas znakowania zestawów wielokrotnego użytku. Zestawy przechodziły przez montaż, sterylizację i dostawę do szpitala, a każdy tag miał przechowywać informacje serwisowe potrzebne do szybkiej kontroli procesu. W trakcie testów inżynierowie zauważyli, że otwarty dostęp do pamięci umożliwia nieautoryzowanemu urządzeniu odczyt większej ilości informacji, niż zakładano. W ostatecznej wersji dane podzielono na kilka poziomów. Podstawowa identyfikacja pozostała dostępna tam, gdzie była potrzebna, natomiast bardziej wrażliwe pola objęto ograniczeniami i zablokowano po autoryzowanym zapisie. Nie uczyniło to systemu całkowicie odpornym na ataki, ale usunęło najłatwiejszą drogę dostępu obecną w pierwotnym projekcie.

Rozważnie stosuj szyfrowanie i uwierzytelnianie

Szyfrowanie działa tylko wtedy, gdy wspiera je cały model operacyjny

Szyfrowanie jest kolejną warstwą ochrony, o której zwykle myśli się w pierwszej kolejności. Jeżeli poufne dane rzeczywiście muszą być przechowywane lub przesyłane, szyfrowanie może znacznie ograniczyć użyteczność nieautoryzowanego odczytu. Zamiast czytelnych informacji niezatwierdzony czytnik otrzymuje zaszyfrowane dane lub uczestniczy w chronionej wymianie, której nie potrafi łatwo zinterpretować. Szyfrowanie nie jest jednak rozwiązaniem automatycznym. Przynosi korzyści wyłącznie wtedy, gdy klucze są prawidłowo zarządzane, a pozostałe elementy systemu nie ujawniają tych samych informacji inną drogą. Bezpieczny tag połączony z niewłaściwym zarządzaniem danymi uwierzytelniającymi czytników nadal tworzy słabo zabezpieczony system.

Przekonał się o tym dystrybutor biżuterii podczas pilotażowego projektu dotyczącego przemieszczania wartościowych zapasów. Zarząd zamówił szyfrowane tagi RFID, ponieważ produkty były małe, łatwe do przenoszenia i narażone na kradzieże wewnętrzne. Zespół techniczny wdrożył szyfrowane przechowywanie danych w tagach, co podczas prezentacji wyglądało bardzo przekonująco. Późniejszy audyt wykazał jednak, że kilka czytników testowych nadal korzystało ze wspólnych kluczy deweloperskich, a kontrola urządzeń była zbyt luźna. Teoretycznie dane były chronione, lecz w praktyce cały model operacyjny nie spełniał odpowiednich standardów. Dopiero po uporządkowaniu zarządzania kluczami i ograniczeniu dostępu do bezpiecznych funkcji wyłącznie do zarejestrowanych czytników szyfrowanie zaczęło rzeczywiście spełniać swoje zadanie.

Uwierzytelnianie ogranicza wymianę danych między czytnikiem a tagiem

Kolejnym skutecznym zabezpieczeniem jest uwierzytelnianie. Zamiast pozwalać każdemu czytnikowi na pobieranie użytecznych informacji z dowolnego tagu, bezpieczniejszy system może wymagać potwierdzenia autentyczności obu urządzeń przed udostępnieniem poufnych danych. W niektórych systemach RFID mechanizm wyzwanie–odpowiedź lub wzajemne uwierzytelnianie znacznie utrudnia nieautoryzowanym urządzeniom uzyskanie chronionych informacji, nawet jeżeli potrafią one zasilić pasywny tag. Model bezpieczeństwa przestaje wówczas opierać się na samej dostępności sygnału, a zaczyna wymagać zweryfikowanego uczestnictwa. W zastosowaniach o podwyższonym ryzyku jest to znacząca poprawa.

Dobrym przykładem jest projekt elektronicznych identyfikatorów na terenie kampusu. Uczelnia korzystała wcześniej ze starszych kart bezstykowych, które były wygodne, ale nie zapewniały poziomu ochrony oczekiwanego przez dział bezpieczeństwa. Początkowo problem postrzegano głównie jako ryzyko sklonowania karty. Zespół audytowy zwrócił jednak uwagę także na możliwość nieautoryzowanego odczytu. Jeżeli niezaufane urządzenia mogą pobierać zbyt wiele informacji uwierzytelniających, ich kopiowanie i niewłaściwe wykorzystanie staje się łatwiejsze. W zmodernizowanym systemie zastosowano silniejsze uwierzytelnianie, dzięki czemu karta nie przekazywała istotnych danych każdemu czytnikowi wysyłającemu zapytanie. Użytkownicy nadal przykładali kartę do czytnika przy drzwiach, lecz sama wymiana danych stała się znacznie bardziej selektywna i bezpieczna.

Zabezpiecz czytniki RFID i środowisko sieciowe

Zabezpieczenia po stronie tagu stanowią tylko część rozwiązania. Równie ważna jest ochrona czytników. Wdrożenie RFID, które zabezpiecza pamięć tagów, ale pozostawia urządzenia odczytujące bez właściwego nadzoru, tworzy poważne ryzyko. Nieautoryzowany odczyt często nie wynika z wykorzystania zaawansowanego urządzenia skonstruowanego przez zewnętrznego napastnika. Znacznie częściej przyczyną są źle kontrolowane legalne urządzenia, niezmienione hasła domyślne, publicznie dostępne interfejsy administracyjne albo zapasowe czytniki używane bez formalnej rejestracji. Czytnik RFID powinien być traktowany jako kontrolowany punkt końcowy sieci, a nie jako nieszkodliwe akcesorium.

Problem ten ujawnił się w magazynie łańcucha chłodniczego podczas pospiesznej rozbudowy. Nowe czytniki przy dokach działały poprawnie pod względem operacyjnym, ale jedno urządzenie zainstalowano ze słabymi ustawieniami administracyjnymi, aby przyspieszyć uruchomienie. Późniejszy audyt wewnętrzny wykazał, że osoba znajdująca się w niewłaściwym segmencie sieci mogłaby zbyt łatwo zmienić konfigurację czytnika lub wysyłać do niego zapytania. Problem nie wynikał z konstrukcji tagów. To czytnik stworzył drogę do nieuprawnionego dostępu. Firma ujednoliciła następnie proces rejestracji urządzeń, wzmocniła dane uwierzytelniające i dokładniej oddzieliła ruch czytników od ogólnej sieci firmowej.

Kontroluj zasięg odczytu i fizyczną ekspozycję tagów

Odpowiednie zaprojektowanie instalacji może chronić dane RFID przed nieautoryzowanym odczytem skuteczniej, niż często się zakłada. Zasięg nie jest wyłącznie parametrem wpływającym na wygodę pracy, lecz również czynnikiem bezpieczeństwa. Jeżeli pole czytnika lub charakterystyka tagu umożliwia uzyskanie odpowiedzi z większej odległości, niż wymaga tego proces, rośnie ryzyko niepożądanych odczytów. Dlatego bezpieczne wdrożenie RFID powinno obejmować precyzyjną kontrolę strefy odczytu. Należy stosować tylko taki zasięg, jaki jest rzeczywiście potrzebny, unikać emisji w kierunku przestrzeni publicznych, sąsiednich bram i niezabezpieczonych obszarów oraz dokładnie ustawić anteny. Większy zasięg nie zawsze oznacza lepszy system.

Firma kosmetyczna przekonała się o tym podczas projektu pakowania w magazynie. Zespół skonfigurował stanowisko stacjonarne tak, aby niezawodnie rejestrowało gotowe zestawy promocyjne, jednak pole odczytu było szersze, niż było to konieczne, i obejmowało część otwartej strefy kompletacji. W rezultacie możliwe było zbyt łatwe odczytywanie tagów znajdujących się poza właściwym etapem procesu. W ostatecznej konfiguracji zastosowano węższe kąty pracy anten i lepsze ekranowanie aktywnego punktu odczytu. Poziom bezpieczeństwa wzrósł nie dlatego, że tagi stały się bardziej zaawansowane, lecz dlatego, że dokładniej ograniczono strefę ich działania.

Ekranowanie i właściwy układ instalacji ograniczają niepotrzebne odpowiedzi tagów

Ekranowanie i kontrolowane środowisko mają znaczenie również w systemach kontroli dostępu oraz inteligentnych szafach RFID. Jeżeli tagi zawierające istotne identyfikatory można odczytać przez cienkie ściany, otwarte regały lub niezabezpieczone strefy odkładcze, powierzchnia potencjalnego ataku wyraźnie się zwiększa. Rozwiązaniem nie zawsze jest bardziej zaawansowany układ scalony. Czasem wystarczy lepsza konstrukcja szafy, zmiana orientacji drzwi lub przesunięcie punktu odczytu z dala od ogólnodostępnego ciągu komunikacyjnego. Zaawansowana kryptografia jest ważna, ale zwykłe decyzje dotyczące fizycznego układu instalacji często przynoszą natychmiastową poprawę.

Wyraźnie pokazało to wdrożenie systemu zarządzania narzędziami. Firma oznaczyła narzędzia kalibracyjne bezpiecznymi tagami, lecz pierwszy prototyp szafy powodował zbyt wiele przypadkowych odczytów w pobliżu paneli bocznych. Tagi nie ujawniały szczególnie poufnych danych, jednak konfiguracja nie zapewniała zespołowi bezpieczeństwa odpowiedniego poziomu kontroli. Po zmianie geometrii szafy i dokładniejszym ograniczeniu przestrzeni odczytu te same tagi oraz ta sama logika czytnika tworzyły znacznie bezpieczniejsze rozwiązanie. Ochrona danych RFID polega bowiem również na ograniczeniu możliwości nawiązania komunikacji z tagiem.

Dezaktywuj lub ogranicz tagi po zakończeniu ich zastosowania

Skutecznym zabezpieczeniem może być także dezaktywowanie tagu lub ograniczenie jego funkcji po zakończeniu procesu, do którego został przeznaczony. W sprzedaży detalicznej, systemach biletowych i obsłudze wydarzeń tag nie zawsze musi pozostawać w pełni aktywny przez nieograniczony czas. Dezaktywacja po sprzedaży, tryby ochrony prywatności oraz komendy Kill mogą zmniejszyć prawdopodobieństwo późniejszego pozyskania danych z tagów, które nie są już potrzebne. Nie jest to właściwe rozwiązanie dla każdego zastosowania, jednak tam, gdzie można je wdrożyć, bywa prostsze i bardziej niezawodne niż pozostawienie aktywnych tagów w obiegu i zakładanie, że nikt ich nie odczyta.

Takie podejście zastosował operator wydarzeń premium korzystający z opasek RFID. Podczas kontroli wejścia, płatności bezgotówkowych i dostępu do poszczególnych stref opaski musiały działać bez zakłóceń. Po zakończeniu wydarzenia ich pełna funkcjonalność nie była już potrzebna. Początkowo firma rozważała utrzymanie aktywnych opasek na potrzeby późniejszych analiz, ale powodowało to nieuzasadnione ryzyko dla prywatności. Ostatecznie po wydarzeniu wyłączano wybrane funkcje i ograniczano zakres informacji możliwych do uzyskania z pozostałych identyfikatorów. Zachowano wartość operacyjną systemu, jednocześnie wyraźnie zmniejszając długoterminową ekspozycję danych.

Chroń backend, który nadaje danym RFID znaczenie

Bezpieczeństwo backendu decyduje o tym, czy nieautoryzowany odczyt rzeczywiście spowoduje poważne szkody. Nawet jeżeli nieuprawniony czytnik przechwyci identyfikator tagu, ryzyko jest znacznie mniejsze, gdy nie można go łatwo powiązać z poufnymi informacjami biznesowymi bez dostępu do chronionego systemu. Istotne są więc uprawnienia oparte na rolach, szyfrowane interfejsy API, dzienniki audytowe, segmentacja danych klientów oraz ścisłe zasady rozpoznawania identyfikatorów. Zbyt wiele firm koncentruje się wyłącznie na zabezpieczeniach tagu, zapominając, że to właśnie backend nadaje zapisanym w nim danym właściwe znaczenie.

Producent wykorzystujący RFID do śledzenia produkcji w toku odkrył ten problem podczas audytu bezpieczeństwa. Zespół długo analizował wybór układów i konfigurację czytników, jednak większym zagrożeniem okazał się interfejs raportowy, który ujawniał zbyt dużo informacji po wprowadzeniu surowego identyfikatora tagu. System nie był atakowany, ale udostępniał dane zbyt szerokiej grupie użytkowników. Po audycie ograniczono liczbę osób mogących łączyć identyfikatory ze szczegółami produkcyjnymi oraz wprowadzono dokładniejsze rejestrowanie poufnych zapytań. Tagi pozostały bez zmian. Najważniejszą poprawę bezpieczeństwa osiągnięto w warstwie aplikacyjnej.

Minimalizacja danych zmniejsza wartość przechwyconych identyfikatorów

Zasada minimalizacji danych ma zastosowanie również w backendzie. Jeżeli identyfikator tagu prowadzi do rekordu o ściśle ograniczonym zakresie, zamiast do rozbudowanego profilu zawierającego dane handlowe lub osobowe, jego przechwycenie powoduje mniejsze szkody. Dobre zabezpieczenie RFID często polega na zmniejszeniu wartości informacji, które może zdobyć nieuprawniony czytnik. Może to oznaczać skrócenie czasu przechowywania danych, zapisywanie wyłącznie nieczytelnych identyfikatorów albo rozdzielenie informacji o tożsamości i lokalizacji do czasu, gdy zostaną połączone w ramach autoryzowanego procesu.

Takie rozwiązanie zastosowała firma świadcząca usługi pralnicze dla szpitali. Tagi pralnicze musiały wspierać odbiór, pranie i ponowną dystrybucję tekstyliów. Wczesne projekty przypisywały identyfikatorom zbyt wiele informacji związanych z konkretnymi klientami, co wzbudziło zastrzeżenia zespołu ds. prywatności. Ostatecznie warstwa RFID została ograniczona do podstawowych danych, a poufne mapowanie klientów przeniesiono głębiej do zabezpieczonego backendu. Nie zmniejszyło to widoczności procesów dla autoryzowanych pracowników, ale obniżyło wartość przypadkowych lub nieuprawnionych odczytów wykonywanych w terenie.

Kontroluj procedury wewnętrzne i autoryzowane urządzenia

W rzeczywistych warunkach operacyjnych należy uwzględnić jeszcze jeden istotny aspekt. Nieautoryzowany odczyt często staje się problemem wewnętrznym, zanim pojawi się zagrożenie zewnętrzne. Wykonawcy, pracownicy tymczasowi, zespoły testowe i niewłaściwie zarządzane urządzenia serwisowe mogą powodować ryzyko, jeżeli proces uruchamiania systemu i dostęp do czytników nie są ściśle kontrolowane. Dlatego bezpieczne programy RFID obejmują również procedury organizacyjne: kto może kodować tagi, wydawać klucze, zatwierdzać rejestrację czytników, eksportować dane i zmieniać konfigurację. Dobre procedury mogą wydawać się mało interesujące, dopóki nie zapobiegną kosztownemu incydentowi.

Operator opakowań zwrotnych przekonał się o tym podczas wdrożenia w wielu lokalizacjach. Firma zakładała, że głównym zagrożeniem będą osoby z zewnątrz odczytujące tagi w pobliżu placu magazynowego. W praktyce ryzyko wynikało z niejednolitych lokalnych zasad kodowania oraz niekontrolowanego sprzętu testowego używanego przez pracowników różnych zakładów. Nie doszło do spektakularnego przełamania zabezpieczeń. System był po prostu zarządzany zbyt swobodnie. Ujednolicenie zasad wydawania identyfikatorów, kontrola ewidencji czytników i dokładniejsze ograniczenie ról administracyjnych przyniosły większą poprawę niż pojedyncza modernizacja sprzętu.

Praktyczne sposoby ochrony danych RFID przed nieautoryzowanym odczytem

Jak zatem chronić dane RFID przed nieautoryzowanym odczytem w rzeczywistym środowisku? Po pierwsze, nie należy zapisywać poufnych informacji w tagu, jeżeli nie jest to naprawdę konieczne. Po drugie, warto korzystać z dostępnych funkcji, takich jak blokada pamięci, hasła, tryby prywatności i bezpieczne komendy. Po trzecie, przy odpowiednim poziomie ryzyka należy wdrożyć uwierzytelnianie i szyfrowanie oraz rygorystycznie zarządzać kluczami. Po czwarte, czytniki trzeba chronić za pomocą silnych danych uwierzytelniających, kontrolowanej rejestracji urządzeń i zabezpieczeń sieciowych. Po piąte, strefa odczytu powinna być zaprojektowana tak, aby tagi nie odpowiadały w miejscach, w których nie jest to potrzebne. Po szóste, po zakończeniu okresu użytkowania warto dezaktywować tagi lub ograniczyć ich funkcje. Po siódme, backend należy zabezpieczyć tak, aby przechwycony identyfikator nie ujawniał automatycznie wartościowych informacji. Wszystkie te środki powinny być uzupełnione procedurami operacyjnymi, które zapobiegają wykorzystywaniu autoryzowanych narzędzi do nieuprawnionego odczytu.

Ochrona danych RFID jest najskuteczniejsza wtedy, gdy projekt systemu uwzględnia możliwość ciekawości, niewłaściwego użycia urządzeń i błędów operacyjnych. Celem nie jest założenie, że nikt nigdy nie podejmie próby nieautoryzowanego odczytu. Należy natomiast sprawić, aby taka próba miała niewielkie szanse powodzenia, a pozyskane informacje były możliwie mało użyteczne. Gdy tag, czytnik, backend i procedury zostaną zaprojektowane zgodnie z tym podejściem, system RFID może pozostać szybki i wygodny, jednocześnie zapewniając odpowiednią ochronę prywatności oraz bezpieczeństwa danych.