Bezbedno kodiranje RFID oznaka za zaštitu sistema od napada

Počnimo od neprijatne istine, jer ovu temu loše marketinške kampanje zloupotrebljavaju stalno. Nijedan RFID sistem nije bukvalno zaštićen od hakovanja. Ako dobavljač tvrdi suprotno, to je vaš prvi znak upozorenja. Prava bezbednost nije u magičnim rečima. Ona se ogleda u smanjenju lakih puteva napada, učvršćivanju slabih operativnih navika, zaštiti onoga što je zaista važno i otežavanju kloniranja, neovlašćenog menjanja, reprodukcije, neovlašćenog kodiranja i zloupotrebe pozadinskih sistema do te mere da napad na sistem postane daleko skuplji nego što je većina oportunista spremna da prihvati.

Upravo tu na scenu stupa bezbedno kodiranje oznaka. Ako je proces kodiranja slab, ceo RFID sistem postaje lakši za falsifikovanje, lakši za zloupotrebu i teži za poverenje, čak i ako RFID čitači, kontrolne table i integracioni slojevi izgledaju uglađeno. Mnoge kompanije mnogo ulažu u čitače, softver i brzinu uvođenja, a zatim tiho tretiraju kodiranje oznaka kao mali korak pri podešavanju. U praksi, to je jedna od najvažnijih bezbednosnih odluka u celoj implementaciji.

Razmislite šta RFID oznaka zapravo radi u poslovnom procesu. Može da otvori kapiju, odobri ulaz, identifikuje proizvod, potvrdi povratnu imovinu, potvrdi ormarić sa lekovima, verifikuje luksuzni predmet, prati kontejner za višekratnu upotrebu ili podrži kontrolu zaliha za vredne zalihe. U svakom od tih slučajeva, oznaka postaje deo odluke o poverenju. Ako vaš sistem previše lako veruje oznaci, napadačima nije potrebno da razbiju celo okruženje. Dovoljno je da iskoriste model poverenja.

Bolnička grupa u Singapuru je to razumela pre većine. Gradila je RFID proces oko kontrolisanog skladištenja i internog kretanja imovine, a prvi nacrt projekta je na papiru izgledao efikasno. Oznake bi nosile identifikatore, čitači bi ih videli, a sistem bi reagovao. Zatim je bezbednosni tim postavio korisnije pitanje: čemu tačno verujemo kada verujemo oznaci? To je promenilo ceo dizajn. Konačna implementacija je ograničila šta se upisuje na oznaku, pojačala kontrolu izdavanja i izgradila snažniju validaciju u pozadinskom sistemu. Bolnica nije opisala rezultat kao futuristički. Opisala ga je kao udoban. Osoblje je osećalo da može da mu veruje.

Ta reč je važna. Bezbedan RFID sistem nije samo onaj koji izgleda sofisticirano. To je onaj na koji operateri i bezbednosni timovi mogu da se oslone bez tajne nade da niko nikada neće testirati njegove najslabije pretpostavke.

Prvi princip bezbednog kodiranja oznaka je jednostavan.

Nikada ne kodirajte više podataka nego što proces zaista zahteva na samoj oznaci. Tu mnogi projekti postaju nemari. Timovi vide dostupnu memoriju i počinju da je pune informacijama o nalogu, podacima o lokaciji, markerima procesa, internom logikom ili podacima o kupcima koji nikada ne bi trebalo da stoje otvoreno na mobilnom fizičkom objektu. Dobra RFID bezbednost često počinje uzdržanošću. Oznaka treba da nosi minimalne podatke potrebne za rad na samoj ivici sistema, a osetljivija logika treba da ostane u bezbednim pozadinskim sistemima gde može da se kontroliše, revidira, rotira i pravilno zaštiti.

Platforma za preprodaju luksuzne robe u Milanu je to naučila na pametan način. Na početku svoje inicijative za autentifikaciju, jedan predlog je sugerisao upisivanje bogatih metapodataka o proizvodu direktno na RFID oznake ušivene u premijum robu. Na prvi pogled, zvučalo je zgodno. U praksi, to bi otkrilo previše strukture i učinilo oznake korisnijim za zlonamerne aktere. Konačni dizajn je koristio kontrolisane identifikatore i verifikaciju u pozadinskom sistemu. Oznake su i dalje pomagale u sledljivosti i autentifikaciji luksuzne robe, ali nisu postale male javne baze podataka ušivene u tašne i aksesoare. To je bio daleko zreliji bezbednosni pristup.

Drugi princip je da identifikatori treba da budu jedinstveni, neočigledni i operativno besmisleni kada se posmatraju van konteksta.

Previše RFID sistema se i dalje oslanja na predvidive obrasce numerisanja jer su laki za interno upravljanje. Lako interno često znači i lako eksterno. Sekvencijalna logika, vidljiva struktura ili šeme kodiranja koje se mogu pogoditi mogu da učine kloniranje i lažno predstavljanje daleko lakšim nego što kompanije očekuju. Ako napadač može da prouči nekoliko RFID oznaka i zaključi kako će verovatno biti izgrađeno sledećih hiljadu, vaš problem više nije teorijski.

Operater javnog prevoza u Varšavi susreo se upravo sa ovim problemom tokom interne revizije pristupnih akreditiva za održavanje. Sistem nije bio probijen na neki dramatičan javan način, ali je kodirani obrazac bio predvidiviji nego što je bezbednosni tim voleo. Redizajnirali su šemu tako da sam identifikator oznake više ne otkriva značajnu strukturu. Rezultat je bio manje elegantan za ljude koji vole uredne konvencije numerisanja, ali daleko bolji iz perspektive bezbednog RFID kodiranja. Predvidivost je utešna za administratore i korisna za napadače. To nije dobra kombinacija.

Treći princip je da se oznaci nikada ne sme verovati samo zato što može da se pročita.

Čitljivost nije autentičnost. To zvuči očigledno kada se izgovori naglas, a ipak mnoge RFID implementacije i dalje postupaju kao da je prisustvo čitljive oznake dovoljno da pokrene pristup, prihvatanje ili ažuriranja sistema. To je jedna od najčešćih grešaka u dizajnu slabih modela RFID bezbednosti. Pravilno dizajniran sistem treba da postavlja više pitanja. Da li se ova oznaka očekuje ovde? Da li njeno stanje odgovara zapisu u pozadinskom sistemu? Da li je vreme verodostojno? Da li se identitet oznake poklapa sa objektom, osobom ili procesom koji tvrdi da predstavlja? Snažna RFID autentifikacija uvek se oslanja na više od pukog prisustva.

Kompanija za automatizaciju skladišta u Dalasu otkrila je to podržavajući klijenta koji je koristio RFID za povratnu transportnu imovinu koja se kreće kroz više operativnih zona. Prva verzija sistema je bila previše poverljiva. Ako bi se čitljiva oznaka pojavila na pravoj kontrolnoj tački, proces bi napredovao. Revidirana verzija je dodala snažniju validaciju u pozadinskom sistemu, logiku očekivanog stanja i pravila za anomalije. To nije učinilo sistem komplikovanim za operatere, ali ga je učinilo daleko manje lakovernim. U bezbednosnom dizajnu, smanjenje lakovernosti je često važnije od dodavanja impresivnih funkcija.

Četvrti princip je zaštita samog procesa kodiranja.

Ovaj deo dobija manje pažnje jer nije vizuelno uzbudljiv, ali je izuzetno važan. Bezbedno kodiranje oznaka nije samo pitanje šta se upisuje. Pitanje je ko sme da upiše, sa koje stanice, koristeći koji šablon, pod kojim modelom odobrenja, sa kojim tragom revizije. Ako previše ljudi može da pristupi alatima za kodiranje, ako se šabloni za kodiranje nepažljivo kopiraju ili ako se test oznake i proizvodne oznake vode labavo, sistem je možda već kompromitovan pre nego što prva aktivna oznaka uđe u upotrebu.

Farmaceutska fabrika za pakovanje u Korku je to naučila tokom velikog uvođenja serijalizovanih materijala. Operativno, sve je izgledalo pod kontrolom, ali je revizija izdavanja otkrila previše neformalnog ponašanja oko stanica za pripremu. Pristup kodiranju je bio širi nego što je potrebno, a lokalna udobnost je počela da nadjačava bezbednosnu disciplinu. Fabrika je to rešila zaključavanjem uloga za kodiranje, razdvajanjem odobrenja od proizvodnje i rigoroznijim evidentiranjem događaja izdavanja. Rezultat nije bio blistav, ali je zatvorio jedan od najlakših internih puteva napada: nemaran proces pripreme.

Peti princip je pravilna upotreba zaštite memorije oznake.

Ako izabrana RFID tehnologija podržava zaključavanje memorije, zaštitu lozinkom, segmentisano upisivanje ili kontrolisani pristup čitanju, te funkcije treba tretirati kao prave bezbednosne alate, a ne kao opcione ukrase. Nije svaka implementacija potrebna iste kontrole, ali sve što je povezano sa pristupom, autentičnošću ili vrednošću zaslužuje promišljene odluke o tome šta se može kasnije upisivati, šta mora ostati fiksno i šta nikada ne bi trebalo da bude izmenljivo na terenu. Oznaka koja ostaje nepažljivo izmenljiva nakon izdavanja nije potpuno puštena u rad. Još uvek je izložena.

Grupa hotelskih odmarališta u Dubaiju je to razumela nakon pregleda svoje RFID narukvice implementacije za premijum pristup i naplatu gostu. Sistem je radio glatko iz perspektive korisnika, ali je bezbednosni pregled otkrio da su neka izmenljiva područja oznake ostala otvorenija nego što je potrebno radi udobnosti tokom uvođenja. Tim je pojačao kontrole memorije, smanjio nepotrebne izmenljive elemente i dodao bolje provere na strani servera. Gosti nikada nisu primetili razliku, što je obično najbolji znak dobrog bezbednosnog dizajna. Sistem je izgledao isto. Samo ga je bilo teže zloupotrebiti.

Šesti princip je upravljanje ključevima.

Tu snažni tehnički koncepti često umiru na dosadne operativne načine. Ako vaša RFID implementacija koristi šifrovanje, lozinke, logiku izazov-odgovor ili funkcije bezbedne autentifikacije, onda rukovanje tim tajnama postaje jednako važno kao i sama tehnologija. Deljene lozinke kopirane kroz previše sistema, slabo dokumentovana rotacija ključeva, hitna rešenja koja postanu trajna ili preširok uvid u tajne pripreme mogu tiho uništiti inače snažan dizajn. Slabo rukovanje ključevima pretvara naprednu RFID bezbednost u pozorište.

Operater centra podataka u Torontu je to naučio tokom projekta modernizacije akreditiva. Početna arhitektura je izgledala dobro na papiru, ali je bezbednosni tim primetio da previše administratora očekuje širok pristup osetljivim informacijama o pripremi „za svaki slučaj“. Taj način razmišljanja bi učinio dugoročnu kontrolu daleko slabijom nego što su dijagrami sugerisali. Operater je preradio dizajn, pažljivije razdvojio dužnosti, ograničio izlaganje tajni i formalizovao prakse rotacije. To je učinilo okruženje malo manje udobnim za nekoliko privilegovanih korisnika i daleko odbranjivijim za celu kompaniju.

Sedmi princip je kodiranje za opoziv, ne samo za aktivaciju.

Mnogi RFID timovi su opsednuti time kako da izdaju oznake i zaborave da ozbiljno razmisle o tome kako se oznake povlače, poništavaju, zamenjuju ili stavljaju u karantin. U stvarnom svetu, akreditivi se gube, imovina se krade, predmeti se pogrešno vraćaju, proizvodi se povlače, a stare oznake ponekad ponovo uđu u aktivne kanale ako su kontrole životnog ciklusa slabe. Bezbedan RFID sistem treba da učini opoziv čistim, vidljivim i teškim za zaobilaženje. Ako kompromitovana ili zastarela oznaka i dalje može da prođe kroz delove procesa jer niko nije dobro isplanirao logiku povlačenja, onda je strategija kodiranja bila nepotpuna od samog početka.

Kompanija za upravljanje stadionima u Madridu je to naučila nakon proširenja RFID akreditiva za pristup osoblja, izvođača i premijum funkcija događaja. Aktivni sistem je bio gladak, ali je bezbednosni tim primetio slabost oko povučenih i privremenih akreditiva. Previše poverenja je položeno u izdavanje, a nedovoljno u poništavanje nakon upotrebe. Kada je model opoziva ojačan, stare oznake su prestale tiho da se zadržavaju na ivici poverenja. To je učinilo ceo sistem čvršćim, ne zato što su oznake postale pametnije, već zato što je životni ciklus postao iskreniji.

Osmi princip je praćenje anomalija.

Čak i dobro kodirana RFID oznaka živi u dinamičnom okruženju. Ako se oznaka pojavi na pogrešnom geografskom području, u pogrešno vreme, u pogrešnom redosledu ili u obrascima koji nemaju poslovnog smisla, sistem to treba da primeti. Tu bezbedni RFID dizajn prestaje da bude samo pitanje kriptografije i počinje da bude pitanje operativne inteligencije. Klonirana oznaka može sama po sebi izgledati tehnički validno. Postaje sumnjiva kada se ponaša nemoguće. Dobro praćenje pretvara takvo nemoguće ponašanje u nešto na šta se može reagovati umesto u nevidljivo.

Proizvodni pogon u Penangu je to video tokom bezbednog RFID uvođenja povezanog sa kontrolisanim kretanjem radova u toku. Samo kodiranje je bilo snažno, ali pravi proboj je nastao kada je tim spojio bezbedno izdavanje oznaka sa boljim otkrivanjem anomalija u procesu. Oznaka koja se pojavi na dva mesta prebrzo ili u redosledu koji proces ne dozvoljava pokrenula bi pregled umesto tihog prihvatanja. To je kompaniji dalo daleko bolju šansu da uhvati zloupotrebu ili operativno odstupanje pre nego što preraste u veći bezbednosni problem.

Deveti princip je razdvajanje uloga.

Previše RFID sistema postaje ranjivo jer jedan tim, ili ponekad jedna osoba, može da zahteva, kodira, aktivira, validira i rešava probleme sa oznakama bez značajnog nadzora. To može izgledati efikasno tokom implementacije, ali stvara opasnu koncentraciju moći. Najsnažniji procesi bezbednog kodiranja oznaka razdvajaju odgovornosti. Jedna uloga odobrava. Druga priprema. Treća revidira. Četvrta reaguje na incidente. To nije birokratija radi same sebe. Tako zreli bezbednosni sistemi sprečavaju tihu zloupotrebu i smanjuju obim štete od grešaka.

Severnoamerička komunalna kompanija je naučila ovu lekciju gradeći RFID program pristupa za infrastrukturne zone. Njen prvi model upravljanja bio je previše centralizovan u rukama veoma sposobnog tehničkog rukovodioca. To je funkcionisalo dok tim za rizik nije postavio očigledno pitanje: šta se dešava ako jedna sposobna osoba donese lošu odluku, ode ili bude kompromitovana? Program je restrukturiran sa jasnijim granicama uloga i snažnijom mogućnošću revizije. Bezbednost se poboljšala jer je poverenje postalo raspoređeno umesto koncentrisano.

Deseti princip je testiranje kao napadač, ne kao dobavljač.

Tu mnoge RFID implementacije postaju preterano samouverene. Čista demonstracija dokazuje samo da osnovni put funkcioniše. Ne dokazuje da se sistem odupire pokušajima kloniranja, zloupotrebi logike tipa reprodukcije, neovlašćenom upisivanju, slabom ponašanju izdavaoca ili otkazima poverenja u pozadinskom sistemu. Ako želite snažniju RFID bezbednost, morate testirati ružna pitanja. Šta se dešava ako neko predstavi kopirani identifikator? Šta se dešava ako se stara oznaka vrati nakon opoziva? Šta se dešava ako se validna oznaka pojavi u pogrešnom redosledu? Šta se dešava ako se koder koristi van normalnog procesa promena? Sistem koji ne može jasno da odgovori na ta pitanja nije spreman da sebe naziva bezbednim.

Kompanija za maloprodajnu tehnologiju u Nju Džersiju prošla je upravo kroz to pripremajući RFID platformu za pristup i imovinu za veliko uvođenje kod klijenta. Demonstracije proizvoda su bile glatke. Interni pregled u stilu crvenog tima nije bio. Otkrio je pretpostavke o ponašanju pri padu sistema, kontrolama izdavaoca i logici prihvatanja oznaka koje su izgledale bezazleno dok nisu direktno izazvane. Konačni sistem je bio bolji upravo zato što je bio postiđen pre nego što je implementiran. To je daleko jeftinije vreme za učenje.

Zaključak: Izgradnja istinski bezbednog RFID sistema

Sada je vredno vratiti se naslovu i tretirati ga iskreno. Kako da svoj RFID sistem učinite zaštićenim od hakovanja? Ne možete, barem ne u apsolutnom smislu. Ono što možete jeste da izgradite bezbedan RFID sistem koji je težak za kloniranje, težak za manipulaciju, težak za nepravilnu pripremu, težak za slepo poverenje i težak za iskorišćavanje kroz lenje operativne prečice. Koristite bezbedno kodiranje oznaka ne kao kozmetičku funkciju, već kao deo ozbiljne arhitekture poverenja.

To znači korišćenje nepredvidivih identifikatora. To znači držanje osetljivih podataka van oznake kada im tamo nije mesto. To znači tretiranje kodera kao kontrolisanih alata za izdavanje, a ne kancelarijskih štampača. To znači zaključavanje onoga što treba zaključati. To znači upravljanje ključevima kao pravim tajnama. To znači validaciju ponašanja oznake u pozadinskom sistemu umesto klanjanja bilo kom čitljivom čipu. To znači praćenje anomalija. To znači pravilno povlačenje oznaka. I to znači dizajniranje sistema tako da jedna slaba navika ne poništi sve ostalo.

Logistički kompleks u Čikagu je to dobro sažeo nakon redizajna sopstvenog RFID modela poverenja za dvorišne i imovinske procese. Rukovodilac bezbednosti je rekao da cilj nije bio da se izgradi nerazbiv sistem. Cilj je bio da se prestane sa neuspesima na lake, sprečive, sramotne načine. To je veoma zreo cilj i, iskreno, pravi cilj. Većina štetnih RFID slabosti ne nastaje od genijalnih napadača. One dolaze od udobnosti, predvidivosti, loše pripreme i naivnog poverenja.

Dakle, ako želite praktičan vodič za bezbedno kodiranje oznaka, počnite odatle. Budite teži za prevaru. Budite stroži oko izdavanja. Budite škrtiji oko onoga što ide na oznaku. Budite manje poverljivi prema pukoj čitljivosti. Budite ozbiljni oko zaštite memorije, ključeva, opoziva i praćenja. Izgradite slojeve. Revidirajte ih. Zatim ih revidirajte ponovo kada sjaj uvođenja izbledi.

Jer na kraju, bezbedno kodiranje oznaka nije samo tehnička odluka. To je trenutak kada vaš RFID projekat odlučuje da li želi da bude samo implementiran ili zaista pouzdan. A u svakom okruženju gde oznaka kontroliše pristup, identitet, vrednost ili proces, ta razlika je sve.