Защита паролем тега NFC или постоянная блокировка: что выбрать перед развертыванием

Если тег NFC используется в общедоступном или-развертывании, ориентированном на клиента, содержимое не должно оставаться доступным для случайного редактирования. Но «заблокировать тег» может означать несколько разных вещей, и выбор неправильного тега может создать проблему, которую невозможно будет исправить после производства.

Практическое решение состоит в том, должен ли тег оставаться доступным для записи, требовать ли пароль для защищенных операций с памятью или стать постоянным-только для чтения. Четвертый вопрос выходит за рамки этого выбора: если проекту необходимо доказать подлинность физической метки, простой защиты паролем или блокировки-только для чтения недостаточно.

Это руководство предназначено для B2B-команд, подготавливающих NFC-наклейки, этикетки, карточки, дисплеи и другие теги,-читаемые телефоном, для массового развертывания. Основное внимание уделяется решению о развертывании, последовательности производства и критериям приемки, а не этапам программирования,-специфичным для приложения.

 

Четыре разных требования часто называют «безопасностью»

Они не являются взаимозаменяемыми. Постоянно заблокированный URL-адрес все равно можно скопировать и воспроизвести в другом обычном теге. Пароль может ограничить некоторые операции с памятью без шифрования общедоступного URL-адреса NDEF. В проекте безопасной аутентификации по-прежнему может использоваться URL-адрес NDEF, но значение безопасности определяется криптографическим протоколом и внутренней проверкой, а не тем фактом, что тег доступен-только для чтения.

Если вам сначала нужны более широкие основы NFC, SyntekРуководство по основам тегов NFCвладеет этим вводным заданием. Эта страница начинается с того момента, когда содержимое тега и рабочий процесс развертывания уже существуют.

 

 

Что означает постоянная блокировка общих тегов NTAG21x

NXP описывает NTAG213, NTAG215 и NTAG216 как микросхемы, совместимые с тегом NFC Forum Type 2, с обоимиполевая-программируемая-функция блокировки только для чтенияинастраиваемая защита 32-битным паролем. Это отдельные механизмы.

ВТехнический паспорт NTAG213/215/216, байты статической блокировки и байты динамической блокировки управляют возможностью повторной записи определенных пользовательских-страниц памяти. Если установлен соответствующий бит блокировки, защищенная область становится доступной-только для чтения. Процесс-бита блокировки является одно-способом: запрограммированный бит блокировки нельзя просто изменить обратно с 1 на 0.

Вот почему постоянная блокировка должна происходить в конце процесса утверждения, а не в начале кодирования.

Документация Chrome Web NFCиспользует ту же концепцию работы для поддерживаемых тегов: сделать тег доступным только для чтения-это постоянная,-операция, которую нельзя отменить в рамках обычного рабочего процесса NDEF.

 

Защита паролем — это обратимый контроль, а не шифрование

NTAG21x также обеспечивает настраиваемую защиту паролем. NXP документирует команду аутентификации по паролю-, начальную точку защищенной-области и настройки доступа, которые могут ограничивать операции записи или, в зависимости от конфигурации, операции чтения и записи.

Это делает управление на основе пароля-полезным, когда авторизованному оператору может потребоваться позже изменить защищенный контент.

Однако 32-пароль тега не следует рекламировать как шифрование или аутентификацию с высоким-защищением. Это функция контроля доступа-для операций с памятью. Если тег содержит общедоступный URL-адрес, который должен прочитать кто-либо, запись, защищенная паролем, не делает этот URL-адрес конфиденциальным.

Это также создает операционную зависимость: кто-то должен владеть паролем, процедурой выдачи, политикой восстановления и инструментами, используемыми для аутентификации и обновления тега. Потеря этого контроля может превратить теоретически перезаписываемое развертывание в практически необслуживаемое.

 

Используйте жизненный цикл развертывания для выбора стратегии блокировки

Наиболее удобным в обслуживании общедоступным развертыванием часто является стабильный,-контролируемый компанией URL-адрес, записанный в тег, за которым следуют-изменения содержимого на стороне сервера. В этой модели память NFC может быть доступна-только для чтения, в то время как целевая страница, содержание кампании, информация о гарантии или информация о продукте остаются доступными для редактирования в Интернете.

Синтек'сРуководство по тегам NFC на веб-сайтерассматривается отдельный вопрос о развертывании NFC-на основе URL. Решение о блокировке здесь принимается после утверждения целевой архитектуры.

 

Не блокируйте навсегда место назначения,-принадлежащее поставщику, без плана миграции

Постоянная блокировка замораживает то, что хранится на чипе, а не то, что происходит в Интернете. Такое различие полезно только в том случае, если организация контролирует пункт назначения или имеет надежный путь миграции.

Прежде чем привязать тег к URL-адресу, подтвердите:

• кому принадлежит домен;
• кто контролирует перенаправления;
• может ли пункт назначения позже переехать на другую платформу;
• содержит ли URL-адрес путь,-специфичный для поставщика, который может исчезнуть;
• должны ли уникальные токены каждого-тега оставаться действительными в течение ожидаемого срока развертывания;
• что происходит, когда кампания, сотрудник, запись о продукте или местоположение удаляются.

Постоянный тег, указывающий на одноразовый URL-адрес SaaS, может стать постоянным физическим напоминанием о временном программном решении. Для долгоживущих тегов-контроль URL-адреса следует рассматривать как часть спецификации продукта.

 

 

Блокировка должна следовать за кодированием и функциональным одобрением

Безопасная производственная последовательность отделяетписьмо, проверкаизапирание.

1. Заморозить правило полезной нагрузки.Определите точный тип записи NDEF, структуру URL-адреса, правило уникального-токена и любые переменные данные.
2. Закодируйте тег.Напишите утвержденную полезную нагрузку, используя указанный производственный процесс.
3. Прочтите его в электронном виде.Убедитесь, что сохраненная запись соответствует исходным данным.
4. Проверьте результат пользователя.Коснитесь готового тега репрезентативными целевыми телефонами или устройствами чтения и подтвердите выполнение намеченного действия.
5. Проверьте пункт назначения.Проверьте перенаправления, поведение HTTPS, владение учетной записью и любое уникальное сопоставление.
6. Утвердите производственный-эквивалентный образец.В образце должны использоваться окончательный чип, вставка, материал, состояние поверхности и правила кодирования.
7. Примените утвержденное состояние защиты.Оставьте доступной для записи, настройте контроль пароля или заблокируйте навсегда в соответствии со спецификацией проекта.
8. Проверьте состояние пост-блокировки.Прочтите содержимое еще раз и убедитесь, что предполагаемое ограничение на запись действительно действует.
9. Запишите результат.Сохраните сопоставление, образец версии и требования к состоянию блокировки-в производственной записи.

Этот порядок предотвращает типичную ошибку: обнаружение неправильного URL-адреса, повторяющегося токена или неправильной записи NDEF только после того, как тег уже стал постоянно доступным-только для чтения.

 

 

Для уникальных URL-адресов файл сопоставления имеет такое же значение, как и состояние блокировки.

Пакет тегов NFC может содержать общий URL-адрес, или каждая часть может содержать разные токены. Уникальное кодирование добавляет еще один вариант отказа: метка NFC может быть правильно заблокирована, но сопоставлена ​​с неправильным физическим объектом.

Для по-кодирования в производственной записи могут потребоваться такие поля, как:

Блокировка не исправляет плохое сопоставление. Правильная последовательность — сначала проверить отображение, а затем применить необратимое состояние.

 

Что тестировать после того, как тег доступен только для постоянного чтения-

Окончательная проверка должна доказать, что контент по-прежнему работает, и что утвержденный уровень защиты существует.

Для больших заказов определите, будет ли проверяться каждый закодированный элемент или статистически контролируемая выборка на каждом уровне. Этот план отбора проб представляет собой соглашение между покупателем и производителем; его не следует заменять расплывчатым заявлением о том, что теги «проверены».

 

Постоянная блокировка не решает проблему физического вмешательства

Тег NFC,-только для чтения, нельзя перезаписать с помощью обычных операций с памятью, но общедоступный тег все равно можно удалить, закрыть, заменить или физически повредить.

Для общественных установок подумайте, нужны ли проекту также:

• конструкция с защитой от взлома-;
• периодический физический осмотр;
• распечатанный резервный QR-код;
• реестр контролируемых активов/местоположений;
• внутренний мониторинг неожиданных направлений или использования токенов;
• процедура замены поврежденных или отсутствующих меток.

Требования физической безопасности зависят от окружающей среды. Бирка проверки на столешнице, этикетка для наружного использования и печать аутентификации-продукта имеют разные модели угроз.

 

Защита паролем не заменяет аутентификацию

Это различие особенно важно в проектах по борьбе с-контрафактной продукцией.

Стандартный тег можно навсегда заблокировать, чтобы его память нельзя было редактировать, однако видимые или читаемые данные все равно можно скопировать в другой тег. Фиксированный UID может быть полезен в качестве идентификатора, но полагаться только на идентификатор не эквивалентно криптографическому доказательству.

Если бизнес-требованием является «предотвращение несанкционированной перезаписи», может подойти блокировка или управление записью-на основе пароля. Если требованием является «доказать, что этот физический продукт является подлинным», проект должен оценить чип и серверную часть, предназначенную для аутентификации.

Эта архитектура безопасности намеренно выходит за рамки данной статьи. Не превращайте дешевый-общедоступный URL-тег в продукт, защищающий от-контрафактной продукции, просто изменив состояние его блокировки.

 

Определите состояние блокировки в запросе предложения, а не после производства

Для прямого поиска тегов и этикеток NFC,-читаемых телефоном, компания SyntekКатегория тега NFCявляется коммерческим владельцем. Если проект требует внутреннего-кодирования и проверки,Категория чтения и записи NFCэто соответствующий аппаратный путь.

 

Для повторных заказов требуется правило управления блокировкой-изменением состояния-

Повторяющийся порядок не должен наследовать слово «тот же» без определения того, что должно оставаться неизменным.

Повторную валидацию следует рассматривать, когда изменение затрагивает:

• модель чипа или поведение памяти/защиты;
• Тип записи NDEF или структура URL;
• общая и уникальная кодировка;
• конфигурация пароля или объем защиты;
• политика постоянной блокировки;
• печатный серийный номер или QR-картирование;
• инкрустация, антенна или готовый материал;
• монтажная поверхность или предполагаемый комплект телефона/ридера.

Косметическое изменение графического изображения может не требовать полного технического повторного тестирования, но изменение, которое может изменить поведение радиочастот, интерпретацию данных, сопоставление или защиту от записи, должно инициировать проверку затронутого слоя.

 

Правило принятия решения

Выбирайте состояние защиты из модели обслуживания, а не из слова «безопасный».

Сохраняйте тег доступным для записив то время как развертывание все еще находится в стадии ввода в эксплуатацию.Используйте доступ,-контролируемый паролемкогда санкционированные будущие обновления памяти являются реальными эксплуатационными требованиями и выбранный чип поддерживает необходимое поведение.Использовать постоянную блокировку-только для чтениякогда закодированные полезные данные являются окончательными и не должны перезаписываться.Использовать криптографическую аутентификациюкогда бизнесу необходимо проверить подлинность, а не просто предотвратить обычное редактирование.

Для массового производства самая безопасная последовательность:

определить полезную нагрузку → закодировать → прочитать обратно → место назначения теста → проверить сопоставление → утвердить готовый образец → применить защиту → проверить защиту → выпустить пакет

Эта последовательность не позволяет необратимой блокировке стать необратимой производственной ошибкой.