Што е РФИД безбедност на податоците?
Dec 10, 2025
Остави порака
Што е РФИД безбедност на податоците?
Минатата година ни се јави клиент, бесен. Нивните картички за контрола на пристап биле „хакирани“. Излезе дека тие сè уште користеле картички за близина од 125 kHz од пред една деценија. Некој помина покрај вработен во метрото со уред со големина на телефон-, а следното утро непозната страна дошол до нивниот магацин со помош на клонирана картичка.
Ние правиме RFID производи во SYNTEK скоро 20 години. Ваквите приказни не се ретки. Видовме компании кои трошат милиони на системи за следење средства, само за да откриеме дека секој читач од 30 долари од AliExpress може да ги преработи своите ознаки. Видовме системи за присуство играни со дупликат картички-ист број на картичка што се појавува во три различни градови одеднаш.
„Безбедноста на податоците RFID звучи комплицирано, но суштинскиот проблем е многу едноставен: безжичните сигнали може да се пресретнат. Тешкиот дел? Повеќето купувачи немаат поим кое ниво на безбедност всушност го добиваат“.
Еве за што никој не зборува
РФИД е отворен безжичен систем. Вашата ознака и читателот комуницираат преку радио бранови. Секој со соодветна опрема може да слуша.
Безжичната комуникација се случува на отворено, со што е можно пресретнувањето без физички контакт.
Проблемот започна рано. Кога производителите првпат ги дизајнираа овие чипови, тие се фокусираа на „дали можеме да го прочитаме? не „да ви дозволиме да го прочитате? Многу чипови имаат нула автентикација. Читателот прашува "кој си ти?" а ознаката само... одговара. Не е важно дали се работи за легитимен уред или некој тип со Proxmark во неговиот ранец.
Замислете како одите по улица и гласно го објавувате вашиот број за социјално осигурување на секој што ќе ве праша. Тоа е во основа како функционираат многу РФИД картички.
Зошто картичките од 125 kHz се безбедносна шега
Еве нешто што индустријата не го рекламира: огромен дел од картички за пристап што сè уште се користат денес работат на технологија од 1990-тите.
Овие картички работат на 125 kHz. Моделот на чип обично е EM4100 или TK4100. Како функционираат тие? Вклучување, емитување ID, готово. Без шифрирање. Нема автентикација. Само фиксен број зачуван на чипот.
Цена за клонирање на еден? Можеби 20 долари за читател- што ќе го отпише Amazon, уште 5 долари за празни картички. Три минути работа.
Клиентите понекогаш не прашуваат: „Можете ли да направите шифрирана картичка од 125 kHz?“
Краток одговор: не. Самиот протокол не поддржува сериозна безбедност. Сакате заштита, се движите до висока фреквенција од 13,56 MHz или UHF, со чипови како MIFARE DESFire или ICODE DNA кои всушност поддржуваат AES шифрирање.
Како всушност изгледаат нападите
Врз основа на разговорите со нашите клиенти, еве каде безбедноста на РФИД во пракса не успева:
Клонирање на картички за пристап
Напаѓачот не треба да ја допира вашата картичка. Читач со висока-добивка скриен во чанта за гласник, неколку секунди зад вас во лифт или линија за ручек-тоа е доволно за да се зграпчат податоците. Напишете го на празна картичка и сега тие го добија вашиот пристап.
Една компанија за управување со имот ни кажа за низа прекини-во нивниот станбен комплекс. Полицијата на крајот сфатила дека провалникот клонирал картички за пристап на жители. Влезните дневници на зградата? Сите ги покажаа броевите на сопствените картички на жртвите. Нема трага од вистинскиот натрапник.
Менување на податоците
Ако вашиот РФИД систем ги следи залихите или средствата, ознаките ги складираат вистинските информации, а не само идентификациите. Таму работите стануваат помешани.
Ознаките за запишување се дизајнирани за ажурирања-корисна функција. Но, без заштита за пишување, секој може да направи промени. Некој во синџирот на снабдување ја заменува „стандардната оценка“ во „премиум“ на податоците за ознаката или го турка датумот на производство нанапред за шест месеци. Тоа се случува.
Повторете напади
Овој е подлажен. Напаѓачот не треба ништо да дешифрира. Тие само го снимаат разговорот помеѓу вашата ознака и читателот, а потоа го репродуцираат подоцна.
Размислете за тоа вака: ја повлекувате картичката за да отворите врата, а некој во близина ја снима целата таа радио размена. Следниот пат, тие го вперуваат својот уред кон читачот и притискаат на Play. Вратата се отвора. Читачот мисли дека само што ја видел вашата картичка повторно.
За да се запре ова, на системите им требаат{0}}протоколи за одговор-во основа за еднократни-протоколи за одговор. Секоја автентикација е различна, па снимките стануваат бескорисни.
Размена на трошоците наспроти безбедноста (и зошто тоа не е едноставно)
Клиентите постојано не прашуваат: дали поскапите чипови значат подобра безбедност?
Отприлика да, но не е линеарно.
| Тип на чип | Приближна цена | Безбедносен статус |
|---|---|---|
| 125 kHz EM4100 | $0.10 | Никој |
| 13,56 MHz MIFARE Classic | ~$0.40 | Компромитиран (2008) |
| MIFARE DESFire EV3 | $1-2 | AES-128 / Високо |
Картичката EM4100 од 125 kHz може да чини 0,10 долари. Стечете се до MIFARE Classic од 13,56 MHz и имате можеби 0,40 долари - но безбедноста не е многу подобра (шифрирањето на тој чип беше прекината во 2008 година). Одете во MIFARE DESFire EV3 со AES-128 и меѓусебна автентикација, барате 1-2 долари по картичка, но не постојат познати јавни експлоатирања.
Прашањето е: дали навистина ви треба тоа ниво?
Ако ги следите клучевите во фабрика, губењето на еден значи да нарачате замена. Ако го контролирате пристапот до банкарски трезор, клонираната картичка значи нешто многу различно.
Наш совет до клиентите: започнете со „кој е најлош случај ако ова се компромитира? потоа работете наназад. Половина од времето не е технички проблем, тоа е проблем со перцепцијата.
Што можете да направите без да замените сè
На некои ситуации навистина им се потребни евтини ознаки-нараквици за настани, логистички етикети со голем волумен-. Премиум чипови за сè не се реални. Но, имате други опции:
Ограничете го опсегот на читање
Подолгиот опсег на читање не е секогаш подобар. NFC е дизајниран за неколку сантиметри- во основа треба да го допрете читачот. Многу потешко го отежнува далечинското премачкување.
Некои високо-безбедни клиенти со кои работиме инсталираат читачи во затворени куќишта. Картичката треба да биде целосно вметната за да се регистрира. Физички ги блокира нападите на страничните- канали.
РФИД заштита
Принцип на Фарадеј кафез. Завиткајте ја ознаката во спроводлив материјал, радио брановите не можат да влезат или излезат. Тоа е она што го прават РФИД-блокирачките ракави и паричници. Ние правиме и заштитни производи-проверете го делот „RFID Signal Blocker“ на нашата страница.
Кога не ја користите картичката, таа седи во ракавот. Никој не може да го скенира. Кога ви треба, извлечете го. Едноставно, ефективно, евтино.
Одделете го ID од податоците
Друг пристап: складирајте само случаен, бесмислен ID на ознаката. Чувајте ги вистинските чувствителни податоци во вашата база на податоци. Дури и ако некој ја клонира ознаката, добива бескорисна низа. Без соодветни записи од заднината, тоа е ѓубре.
Ова го префрла ризикот од ознаката до инфраструктурата на вашиот сервер. Но, тоа ги намалува трошоците.
Взаемна автентикација-вреди да се разбере
Споменатиот предизвик-одговор претходно. Дозволете ми да го проширам ова бидејќи често е погрешно разбрано.
Традиционалната RFID автентикација е еден-начин: читачот ја потврдува ознаката. Но, на високо-безбедносните апликации им е потребна двострана-автентикација-тагот исто така потврдува дека читателот е легитимен.
Еве го текот:
Читачот испраќа ознака случаен број (предизвикот)
Ознаката го извршува тој број преку неговиот внатрешен клуч, го враќа резултатот назад
Читачот ја извршува истата пресметка со истиот клуч, споредува
Потоа ознаката му испраќа на читателот случаен број
Читачот пресметува, испраќа назад, ознаката проверува
Двете страни треба да поминат пред да се случи вистинска размена на податоци. Тоа значи дека лажниот читател не може да ги измами ознаките за да се откаже од информациите.
MIFARE DESFire го поддржува ова. Прилично задолжително за секој проект што го правиме со банки или владини агенции.
Практични работи пред да одите
1. Дознајте што работите моментално
Многу компании имаат РФИД системи инсталирани од некој што си заминал пред неколку години. Тековната ИТ нема поим што всушност е распоредено. Добијте ги спецификациите од вашиот продавач-на минимум, знајте ја фреквенцијата и моделот на чипот.
2. Измерете го вашиот најлош случај
Ако вашите пристапни картички се клонираат, каква е штетата? Ако се манипулираат ознаките на залихите, каква е изложеноста? Ставете број. Потоа одлучете дали вреди надградбата.
3. Поставете ја вашата безбедност
Не е потребна максимална заштита на сè. Редовните значки на вработените може да имаат чипови од средно- ниво. Вратите на серверската соба и канцелариите за финансии добиваат високи-безбедни чипови. Логистичките ознаки за складиште може да бидат евтини со проверка на заднината.
4. Ревизија редовно
РФИД не е поставен-и-заборавете. Проверете ги дневниците за пристап за аномалии. Истата картичка се појавува на две локации истовремено. По{5}}часовни обиди за пристап. Модели кои немаат смисла.
5. План за надградби
Ако сега буџетот е тесен и се движите со средно-решение, барем изберете архитектура што дозволува идни надградби. Не заклучувајте се во затворен систем кој бара целосна замена за три години.
Прашања? Ова го правиме речиси две децении во СИНТЕК. Видовте повеќе режими на неуспех отколку што очекувате. Без разлика дали одредувате нов систем или вршите ревизија на постоечки, со задоволство разговарајте.
Испрати Испраќам барање