Что такое безопасность данных RFID?
Dec 10, 2025
Оставить сообщение
Что такое безопасность данных RFID?
В прошлом году нам позвонил клиент в ярости. Их карты контроля доступа были «взломаны». Оказывается, они все еще использовали бесконтактные карты десятилетней давности с частотой 125 кГц. Кто-то прошёл мимо сотрудника в метро с устройством размером с телефон-, а на следующее утро к их складу проник неизвестный с помощью клонированной карты.
Мы производим RFID-продукты в SYNTEK уже около 20 лет. Подобные истории не редкость. Мы видели, как компании тратили миллионы на системы отслеживания активов только для того, чтобы обнаружить, что любой ридер с AliExpress за 30 долларов может переписать их теги. Мы видели системы посещаемости, в которых дубликаты карточек-с одним и тем же номером карты появлялись одновременно в трех разных городах.
«Безопасность данных RFID звучит сложно, но основная проблема предельно проста: беспроводные сигналы могут быть перехвачены. Сложная часть? Большинство покупателей понятия не имеют, какой уровень безопасности они на самом деле получают».
Вот о чем никто не говорит
RFID — это открытая беспроводная система. Ваша метка и считыватель общаются посредством радиоволн. Слушать может любой, у кого есть подходящее оборудование.
Беспроводная связь происходит на открытом воздухе, что делает возможным перехват без физического контакта.
Проблема началась рано. Когда производители впервые разработали эти чипы, они сосредоточились на вопросе: «Можем ли мы это прочитать?» а не «должны ли мы позволить вам прочитать это?» Многие чипы имеют нулевую аутентификацию. Читатель спрашивает: «Кто ты?» и тег просто... отвечает. Неважно, законное ли это устройство или какой-то парень с Proxmark в рюкзаке.
Представьте себе, что вы идете по улице и громко объявляете свой номер социального страхования всем, кто спрашивает. Именно так работают многие RFID-карты.
Почему карты 125 кГц — это шутка о безопасности
Вот что индустрия не афиширует: огромное количество карт доступа, которые до сих пор используются, основаны на технологиях 1990-х годов.
Эти карты работают на частоте 125 кГц. Модель чипа обычно EM4100 или TK4100. Как они работают? Включите питание, идентификатор трансляции, готово. Никакого шифрования. Никакой аутентификации. Просто фиксированный номер, хранящийся на чипе.
Стоимость клонирования? Возможно, 20 долларов за читателя-писателя на Amazon, еще 5 долларов за пустые карточки. Три минуты работы.
Клиенты иногда спрашивают нас: «Можете ли вы сделать карту с шифрованием 125 кГц?»
Короткий ответ: нет. Сам протокол не поддерживает серьезную безопасность. Если вам нужна защита, вы переходите на высокочастотную частоту 13,56 МГц или УВЧ с такими чипами, как MIFARE DESFire или ICODE DNA, которые фактически поддерживают шифрование AES.
Как на самом деле выглядят атаки
Судя по разговорам с нашими клиентами, вот где RFID-безопасность на практике терпит неудачу:
Клонирование карты доступа
Злоумышленнику не нужно прикасаться к вашей карте. Считыватель с высоким коэффициентом усиления,-спрятанный в сумке, несколько секунд стоящего позади вас в лифте или в очереди за обедом-достаточно, чтобы получить данные. Запишите это на пустую карточку, и теперь они получили ваш доступ.
Одна управляющая компания рассказала нам о серии взломов-в их жилом комплексе. В конце концов полиция выяснила, что грабитель клонировал карты доступа жильцов. Журналы входа в здание? На всех были указаны номера карт жертв. Никаких следов настоящего злоумышленника.
Подделка данных
Если ваша система RFID отслеживает запасы или активы, метки хранят фактическую информацию, а не только идентификаторы. Вот где все становится сложнее.
Записываемые теги предназначены для обновления-полезной функции. Но без защиты от записи любой может внести изменения. Кто-то в цепочке поставок заменяет «стандартный сорт» на «премиальный» в данных бирки или переносит дату изготовления на шесть месяцев вперед. Такое случается.
Повторные атаки
Этот подлый. Злоумышленнику не нужно ничего расшифровывать. Они просто записывают разговор между вашим тегом и считывателем, а затем воспроизводят его позже.
Подумайте об этом так: вы проводите своей картой, чтобы открыть дверь, и кто-то поблизости записывает весь этот радиопереговор. В следующий раз они направляют свое устройство на устройство чтения и нажимают кнопку воспроизведения. Дверь открывается. Читатель думает, что только что снова увидел вашу карту.
Чтобы остановить это, системам необходимы протоколы-ответа-в основном одноразовые-пароли. Каждая аутентификация индивидуальна, поэтому записи становятся бесполезными.
Компромисс между ценой и безопасностью (и почему это непросто)
Клиенты постоянно спрашивают нас: означают ли более дорогие чипы лучшую безопасность?
Примерно да, но это не линейно.
| Тип чипа | Приблизительная стоимость | Статус безопасности |
|---|---|---|
| 125 кГц EM4100 | $0.10 | Никто |
| 13,56 МГц MIFARE Classic | ~$0.40 | Скомпрометированный (2008) |
| MIFARE DESFire EV3 | $1-2 | AES-128 / Высокий |
Карта EM4100 с частотой 125 кГц может стоить 0,10 доллара США. Поднимитесь до 13,56 МГц MIFARE Classic, и вы получите, возможно, 0,40 доллара, но безопасность не намного лучше (шифрование этого чипа было взломано еще в 2008 году). Перейдите на MIFARE DESFire EV3 с AES-128 и взаимной аутентификацией, вы получите 1-2 доллара за карту, но известных публичных эксплойтов не существует.
Вопрос в том, нужен ли вам этот уровень?
Если вы отслеживаете гаечные ключи на заводе, потеря одного из них означает заказ замены. Если вы контролируете доступ к банковскому хранилищу, клонированная карта означает совсем другое.
Наш совет клиентам: начните с вопроса: «Что будет в худшем случае, если система будет скомпрометирована?» затем работайте в обратном направлении. В половине случаев это не техническая проблема, а проблема восприятия.
Что можно сделать, не заменяя все
В некоторых ситуациях действительно необходимы дешевые бирки,-браслеты для мероприятий, этикетки для крупных-логистик. Премиальные чипы для всего – это нереально. Но у вас есть другие варианты:
Ограничить диапазон чтения
Больший диапазон чтения не всегда лучше. NFC рассчитан на то, чтобы-прикоснуться к считывателю пришлось на несколько сантиметров. Делает удаленный скимминг намного сложнее.
Некоторые клиенты с высоким уровнем-безопасности, с которыми мы работаем, устанавливают считыватели внутри закрытых корпусов. Для регистрации карта должна быть полностью вставлена. Физически блокирует атаки по боковым-каналам.
RFID-экранирование
Принцип клетки Фарадея. Оберните метку проводящим материалом, чтобы радиоволны не проникали внутрь и не наружу. Вот что делают рукава и кошельки с блокировкой RFID-. Мы также производим экранирующую продукцию-посмотрите раздел «Блокировщик RFID-сигналов» на нашем сайте.
Когда вы не используете карту, она находится в рукаве. Никто не сможет его отсканировать. Когда вам это понадобится, вытащите его. Просто, эффективно, дешево.
Отделить идентификатор от данных
Другой подход: хранить в теге только случайный бессмысленный идентификатор. Храните актуальные конфиденциальные данные в своей внутренней базе данных. Даже если кто-то клонирует тег, он получит бесполезную строку. Без сопоставления внутренних записей это мусор.
Это переносит риск с тега на инфраструктуру вашего сервера. Но это снижает затраты на теги.
Взаимная аутентификация-достойна понимания
Упомянутый вызов-ответ ранее. Позвольте мне подробнее остановиться на этом, потому что это часто понимают неправильно.
Традиционная аутентификация RFID — один-способ: считыватель проверяет метку. Однако приложениям с высоким-защищенным уровнем безопасности требуется двусторонняя-аутентификация.-тег также проверяет подлинность считывателя.
Вот поток:
Читатель отправляет тег случайного числа (задание)
Тег пропускает это число через свой внутренний ключ и отправляет обратно результат.
Читатель выполняет тот же расчет с тем же ключом, сравнивает
Затем тег отправляет читателю случайное число.
Ридер рассчитывает, отправляет обратно, тег проверяет
Обе стороны должны пройти, прежде чем произойдет какой-либо реальный обмен данными. Это означает, что фальшивый читатель не сможет обманом заставить теги выдать информацию.
MIFARE DESFire поддерживает это. Практически обязательно для любого проекта, который мы реализуем с банками или государственными учреждениями.
Практические вещи перед отъездом
1. Выясните, что вы сейчас используете
Во многих компаниях системы RFID установлены кем-то, кто ушел много лет назад. Текущий ИТ-отдел понятия не имеет, что на самом деле развернуто. Узнайте у своего поставщика технические характеристики-как минимум, узнайте частоту и модель чипа.
2. Оцените худший случай
Если ваши карты доступа будут клонированы, какой будет ущерб? Если инвентарные бирки будут подделаны, каков будет риск? Поставьте на него номер. Затем решите, стоит ли обновление.
3. Обеспечьте безопасность
Не все нуждается в максимальной защите. Обычные значки сотрудников могут содержать чипы среднего-уровня. Двери серверной и финансового офиса оснащены чипами повышенной-безопасности. Бирки складской логистики могут быть дешевыми при внутренней проверке.
4. Регулярно проводите аудит
RFID не установлен-и-забудьте. Проверьте журналы доступа на наличие аномалий. Одна и та же карта появляется в двух местах одновременно. Попытки доступа спустя-часов. Шаблоны, которые не имеют смысла.
5. Планируйте обновления
Если бюджет сейчас ограничен и вы выбираете решение среднего-уровня, выберите хотя бы архитектуру, допускающую будущие обновления. Не замыкайтесь в закрытой системе, требующей полной замены через три года.
Вопросы? Мы в СИНТЕК занимаемся этим уже почти два десятилетия. Видел больше режимов отказа, чем можно было ожидать. Независимо от того, разрабатываете ли вы новую систему или проверяете существующую, мы будем рады поговорить.
Отправить запрос