RFID-чипы — это простые электронные компоненты, с которыми мы часто сталкиваемся в повседневной жизни, например, в виде противоугонных меток в магазинах, электронных абонементов на горнолыжные курорты или элементов, встроенных в одежду и удаляемых после покупки. RFID-чипы также уже несколько лет используются в паспортах. По сути, эти «пассивные радиочастотные идентификационные метки», как их называют в техническом жаргоне, представляют собой небольшие, тонкие, примитивные компьютеры, не имеющие собственного источника питания и работающие исключительно за счет энергии, получаемой через антенну. Их типичная себестоимость производства: всего несколько центов. Теоретически, их можно использовать для подключения объектов к интернету, создавая таким образом «Интернет вещей» (IoT). Ожидается, что устройства, обменивающиеся данными с интернетом, повысят эффективность и снизят стоимость будущего промышленного производства, автономного вождения и многих других областей. Как и в случае с другими подключенными повседневными объектами, безопасность является важным вопросом. «Умные» автомобили, тормоза которых могут быть взломаны через WLAN, или игрушки с доступом в интернет, не имеющие защиты от взлома, — это лишь небольшой пример предстоящих проблем. Исследовательская группа Института прикладной обработки информации и связи Технологического университета Граца (ТУ Грац) в рамках проекта, поддержанного Фондом свободного предпринимательства (FWF) изучила проблемы безопасности, связанные с Интернетом вещей на основе RFID.
RFID для открытых систем
«В нашем понимании Интернет вещей заключается в том, чтобы компьютеры знали об окружающей среде, — говорит Ханнес Гросс из Технического университета Граца. — Оснастить окружающую среду датчиками, подключить к компьютерам и использовать данные для оптимизации процессов». RFID-чипы, также называемые метками, особенно хорошо подходят для этого, объясняет Гросс. Существующие приложения с RFID-метками используются в закрытых системах, таких как логистические центры или розничные магазины, и на самом деле не представляют собой Интернет вещей, говорит Гросс. «Мы хотим разработать открытый Интернет вещей с RFID-метками и изучаем необходимые в этом контексте решения в области безопасности».
Гросс приводит несколько примеров приложений, где безопасность имеет решающее значение. Одна из областей — аутентификация, например, паспортов или бесконтактных автомобильных ключей. RFID-метка, выполняющая эти задачи, должна быть защищена от несанкционированного доступа. Конфиденциальность — еще одна такая область: в этом случае важно, чтобы метка передавала информацию только доверенному получателю.
Аналогичные требования предъявляются и к мобильному телефону.
Все эти проблемы знакомы по другим областям кибербезопасности, и для них существуют криптографические решения. «С криптографической точки зрения требования схожи с требованиями к мобильному телефону», — говорит Гросс. Разница заключается в ограниченной вычислительной мощности RFID-меток. «Поскольку метки должны работать с очень низким энергопотреблением, обычно речь идет о передаче как можно большего количества функций считывателю». RFID-метки работают только в сочетании со специальными RFID-считывателями. В магазинах, например, они устанавливаются на выходе, хорошо видны всем, и срабатывает сигнализация, если метка приближается слишком близко. Чтобы предотвратить передачу конфиденциальной информации метками любому считывателю, включая тот, который используется злоумышленником, они должны обладать возможностями самозащиты. Это означает, что соответствующая обработка не может быть передана на аутсорсинг. «Все криптографические вычисления должны выполняться на самой метке, даже несмотря на то, что на ней практически нет доступных вычислительных ресурсов».
Это имеет несколько последствий: «Каждое улучшение безопасности делает метку больше и дороже», — отмечает Гросс. Вычислительная мощность — еще один фактор. «Мы можем вычислять криптографические процессы, используя относительно небольшую мощность, разбивая их на простые отдельные шаги, чтобы гарантировать, что метка выполняет только несколько вычислений за раз, но это означает, что на это уходит больше времени», — говорит Гросс. Все это сводится к повседневной применимости технологии.
Прототип PIONEER, разработанный
Гроссом и его командой, проанализировал несколько распространенных протоколов безопасности и изучил их использование в RFID-метках. «Мы смоделировали различные сценарии атак и изучили меры защиты», — объясняет Гросс. В демонстрационных целях они разработали прототип RFID-метки PIONEER, который взаимодействует с сервером в интернете по стандартному протоколу для виртуальных частных сетей (VPN). Протокол был адаптирован для обеспечения бесшовной интеграции с существующей интернет-инфраструктурой и, кроме того, для защиты анонимности меток. Прототип оснащен датчиками и может отправлять записанные данные в зашифрованном виде.
Гросс считает, что потребуется время, прежде чем устройство будет готово к практическому применению. Важность этого вопроса иллюстрирует критика, иногда высказываемая в адрес технологии RFID, которая основана на отсутствии защиты меток и, как следствие, проблемах с безопасностью данных. Новые решения должны исправить эту ситуацию.
Личные данные:
Ханнес Гросс (https://www.iaik.tugraz.at/content/about_iaik/people/gross_hannes/) — аспирант Института прикладной обработки информации и коммуникаций (https://www.iaik.tugraz.at/ ) Грацского технологического университета (TU Graz). Его исследования сосредоточены на безопасности RFID, безопасной реализации аппаратных средств и мерах противодействия атакам по побочным каналам.
Публикации
Ханнес Гросс, Марко Хёльбл, Даниэль Сламаниг, Рафаэль Шпрейтцер: Конфиденциальная аутентификация в Интернете вещей (https://online.tugraz.at/tug_online/voe_main2.getvolltext?pCurrPk=86804) - 14-я Международная конференция по криптологии и сетевой безопасности (CANS 2015), 10-12 декабря 2015 г., Марракеш, Марокко.
Ханион Гросс, Эрих Венгер, Онорио Мартин, Майкл Хуттер: PIONEER — прототип для Интернета вещей на основе расширяемой RFID-метки EPC Gen2 (https://www.iaik.tugraz.at/content/research/rfid/rit/Publications/papers/pioneer.pdf ) — Семинар по безопасности RFID — RFIDsec 2014, 10-й семинар, Оксфорд, Великобритания, 21-23 июля 2014 г., Труды.
Ханнес Гросс: Совместное использование — это защита арифметико-логических устройств от пассивных физических атак (https://online.tugraz.at/tug_online/voe_main2.getvolltext?pCurrPk=84553) — Семинар по безопасности RFID — RFIDsec 2015, 11-й семинар, Нью-Йорк, США, 22-23 июня 2014 г., Труды.
Петер Пессль, Михаэль Хуттер: Изогнутые метки — реализация ECDSA с низкими ресурсами, адаптированная для RFID (https://www.iaik.tugraz.at/content/research/rfid/rit/publications/papers/curved_tags_ecdsa.pdf) — Семинар по безопасности RFID — RFIDsec 2014, 10-й семинар, Оксфорд, Великобритания, 21-23 июля 2014 г., Труды.
