搜索

[9494] 2015-11-02_RFID安全十大问题与威胁

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2015-11-02_RFID安全十大问题与威胁 R F I D 安 全 十 大 问 题 与 威 胁 F r e e B u f   2 0 1 5 - 1 1 - 0 2 和 其 它 安 全 设 备 一 样 ， 和 其 它 安 全 设 备 一 样 ， R F I D 设 备 的 安 全 性 并 不 完 美 。 尽 管 设 备 的 安 全 性 并 不 完 美 。 尽 管 R F I D 设 备 得 到 了 广 泛 的 应 用 ， 但 其 带 来 的 安 全 威 胁 需 要 设 备 得 到 了 广 泛 的 应 用 ， 但 其 带 来 的 安 全 威 胁 需 要 我 们 在 设 备 部 署 前 解 决 。 本 文 将 主 要 介 绍 几 个 我 们 在 设 备 部 署 前 解 决 。 本 文 将 主 要 介 绍 几 个 R F I D 相 关 的 安 全 问 题 。 相 关 的 安 全 问 题 。 1 . R F I D 伪 造 伪 造 根 据 计 算 能 力 ， R F I D 可 以 分 为 三 类 ： 1 . 普 通 标 签 ( t a g ) 2 . 使 用 对 称 密 钥 的 标 签 3 . 使 用 非 对 称 密 钥 的 标 签 其 中 ， 普 通 标 签 不 做 任 何 加 密 操 作 ， 很 容 易 进 行 伪 造 。 但 普 通 标 签 却 广 泛 应 用 在 物 流 管 理 和 旅 游 业 中 ， 攻 击 者 可 以 轻 易 将 信 息 写 入 一 张 空 白 的 R F I D 标 签 中 或 者 修 改 一 张 现 有 的 标 签 ， 以 获 取 使 用 R F I D 标 签 进 行 认 证 系 统 对 应 的 访 问 权 限 。 对 于 普 通 标 签 攻 击 者 可 以 进 行 如 下 三 件 事 ： 根 据 计 算 能 力 ， R F I D 可 以 分 为 三 类 ： 1 . 修 改 现 有 标 签 中 的 数 据 ， 使 一 张 无 效 标 签 变 为 有 效 的 ， 或 者 相 反 ， 将 有 效 的 标 签 变 为 无 效 。 例 如 ， 可 以 通 过 修 改 商 品 的 标 签 内 容 ， 然 后 以 一 个 较 低 的 价 格 购 买 一 件 昂 贵 的 商 品 。 2 . 同 样 还 是 修 改 标 签 ， 不 过 是 将 一 个 标 签 内 容 修 改 为 另 一 个 标 签 的 内 容 ， 就 是 狸 猫 换 太 子 。 3 . 根 据 获 取 到 的 别 人 标 签 内 容 来 制 造 一 张 自 己 的 标 签 。 所 以 ， 当 想 在 一 些 处 理 如 身 份 证 这 种 包 含 敏 感 信 息 的 系 统 中 使 用 R F I D 标 签 时 ， 一 定 要 使 用 加 密 技 术 。 但 如 果 不 得 不 使 用 普 通 标 签 的 话 ， 一 定 要 确 保 配 有 相 应 的 安 全 规 范 、 监 控 和 审 计 程 序 ， 以 检 测 R F I D 系 统 中 任 何 的 异 常 行 为 。 2 . R F I D 嗅 探 嗅 探
R F I D 嗅 探 是 R F I D 系 统 中 一 个 主 要 的 问 题 。 R F I D 阅 读 器 总 是 向 标 签 发 送 请 求 认 证 的 信 息 ， 当 阅 读 器 收 到 标 签 发 送 的 认 证 信 息 时 ， 它 会 利 用 后 端 数 据 库 验 证 标 签 认 证 信 息 的 合 法 性 。 但 不 幸 的 是 ， 大 部 分 的 R F I D 标 签 并 不 认 证 R F I D 阅 读 器 的 合 法 性 。 那 么 攻 击 者 可 以 使 用 自 己 的 阅 读 器 去 套 取 标 签 的 内 容 。 3 . 跟 踪 跟 踪 通 过 读 取 标 签 上 的 内 容 ， 攻 击 者 可 以 跟 踪 一 个 对 象 或 人 的 运 动 轨 迹 。 当 一 个 标 签 进 入 到 了 阅 读 器 可 读 取 的 范 围 内 时 ， 阅 读 器 可 以 识 别 标 签 并 记 录 下 标 签 当 前 的 位 置 。 无 论 是 否 对 标 签 和 阅 读 器 之 间 的 通 信 进 行 了 加 密 ， 都 无 法 逃 避 标 签 被 追 踪 的 事 实 。 攻 击 者 可 以 使 用 移 动 机 器 人 来 跟 踪 标 签 的 位 置 。 4 . 拒 绝 服 务 拒 绝 服 务 当 阅 读 器 收 到 来 自 标 签 的 认 证 信 息 时 ， 它 会 将 认 证 信 息 与 后 端 数 据 库 内 的 信 息 进 行 比 对 。 阅 读 器 和 后 端 数 据 库 都 很 容 易 遭 受 拒 绝 服 务 攻 击 。 当 出 现 拒 绝 服 务 攻 击 时 ， 阅 读 器 将 无 法 完 成 对 标 签 的 认 证 ， 并 导 致 其 他 相 应 服 务 的 中 断 。 所 以 ， 必 须 确 保 阅 读 器 和 后 端 数 据 库 之 间 有 相 应 防 范 拒 绝 服 务 攻 击 的 机 制 。 5 . 欺 骗 欺 骗 在 欺 骗 攻 击 中 ， 攻 击 中 常 常 将 自 己 伪 造 成 为 一 个 合 法 的 用 户 。 有 时 ， 攻 击 者 会 把 自 己 伪 造 成 后 端 数 据 库 的 管 理 员 ， 如 果 伪 造 成 功 ， 那 么 攻 击 者 就 可 以 随 心 所 欲 的 做 任 何 事 ， 例 如 ： 相 应 无 效 的 请 求 ， 更 改 R F I D 标 识 ， 拒 绝 正 常 的 服 务 或 者 干 脆 直 接 在 系 统 中 植 入 恶 意 代 码 。 6 . 否 认 否 认 所 谓 否 认 就 是 当 一 个 用 户 在 进 行 了 某 个 操 作 后 拒 绝 承 认 他 曾 做 过 ， 当 否 认 发 送 时 ， 系 统 没 有 办 法 能 够 验 证 该 用 户 究 竟 有 没 有 进 行 这 项 操 作 。 在 使 用 R F I D 中 ， 存 在 两 种 可 能 的 否 认 ： 一 种 是 发 送 者 或 接 收 者 可 能 否 认 进 行 过 一 项 操 作 ， 如 发 出 一 个 R F I D 请 求 ， 此 时 我 们 没 任 何 证 据 可 以 证 明 发 送 者 或 接 收 者 是 否 发 出 过 R F I D 请 求 ； 另 一 种 是 数 据 库 的 拥 有 者 可 能 否 认 他 们 给 予 过 某 件 物 品 或 人 任 何 标 签 。 7 . 插 入 攻 击 插 入 攻 击 在 这 种 攻 击 中 ， 攻 击 者 试 图 向 R F I D 系 统 发 送 一 段 系 统 命 令 而 不 是 原 本 正 常 的 数 据 内 容 。 一 个 最 简 单 的 例 子 就 是 ， 攻 击 者 将 攻 击 命 令 插 入 到 标 签 存 储 的 正 常 数 据 中 。 8 . 重 传 攻 击 重 传 攻 击 攻 击 者 通 过 截 获 标 签 与 阅 读 器 之 间 的 通 信 ， 记 录 下 标 签 对 阅 读 器 认 证 请 求 的 回 复 信 息 ， 并 在 之 后 将 这 个 信 息 重 传 给 阅 读 器 。 重 传 攻 击 的 一 个 例 子 就 是 ， 攻 击 者 记 录 下 标 签 和 阅 读 器 之 间 用 于 认 证 的 信 息 。 9 . 物 理 攻 击 物 理 攻 击 物 理 攻 击 发 送 在 攻 击 者 能 够 在 物 理 上 接 触 到 标 签 并 篡 改 标 签 的 信 息 。 物 理 攻 击 有 多 种 方 式 ， 例 如 ： 使 用 微 探 针 读 取 修 改 标 签 内 容 ， 使 用 X 射 线 或 者 其 他 射 线 去 破 坏 标 签 内 容 ， 使 用 电 磁 干 扰 破 坏 标 签 与 阅 读 器 之 间 的 通 信 。 另 外 ， 任 何 人 都 可 以 轻 易 的 使 用 小 刀 或 其 他 工 具 人 为 的 破 坏 标 签 ， 这 样 阅 读 器 就 无 法 识 别 标 签 了 。 1 0 . 病 毒 病 毒
同 其 他 信 息 系 统 一 样 ， R F I D 系 统 很 容 易 遭 受 病 毒 的 攻 击 。 多 数 情 况 下 ， 病 毒 的 目 标 都 是 后 端 数 据 库 。   R F I D 病 毒 可 以 破 坏 或 泄 露 后 端 数 据 库 中 存 储 的 标 签 内 容 ， 拒 绝 或 干 扰 阅 读 器 与 后 端 数 据 库 之 间 的 通 信 。 为 了 保 护 后 端 数 据 库 ， 一 定 要 及 时 修 补 数 据 库 漏 洞 和 其 他 风 险 。 虽 然 R F I D 系 统 常 常 成 为 被 攻 击 的 目 标 ， 但 是 由 于 R F I D 系 统 低 廉 的 成 本 ， 使 得 其 在 很 多 领 域 还 是 得 到 了 广 泛 的 应 用 。 所 以 当 准 备 部 署 R F I D 系 统 时 ， 一 定 要 更 多 的 关 注 其 安 全 问 题 ， 特 别 是 本 文 描 述 的 前 四 种 攻 击 ： 伪 造 、 嗅 探 、 跟 踪 和 拒 绝 服 务 攻 击 。 *   参 考 来 源 s e c u r i t y w i n g ， 本 文 由 x i a i x 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理