आरएफआईडी डेटा सुरक्षा क्या है?

आरएफआईडी डेटा सुरक्षा क्या है?

 

पिछले साल एक ग्राहक ने हमें गुस्से में फोन किया। उनके एक्सेस कंट्रोल कार्ड "हैक" कर लिए गए थे। पता चला कि वे अभी भी एक दशक पहले के 125kHz प्रॉक्सिमिटी कार्ड चला रहे थे। कोई व्यक्ति मेट्रो में एक कर्मचारी के पास से फ़ोन के आकार का उपकरण लेकर गुज़रा, और अगली सुबह, एक क्लोन कार्ड का उपयोग करके एक अज्ञात व्यक्ति उनके गोदाम तक पहुँच गया।

 

हम लगभग 20 वर्षों से SYNTEK में RFID उत्पाद बना रहे हैं। इस तरह की कहानियाँ दुर्लभ नहीं हैं। हमने कंपनियों को एसेट ट्रैकिंग सिस्टम पर लाखों खर्च करते देखा है, लेकिन बाद में पता चला कि AliExpress का कोई भी $30 रीडर अपने टैग को फिर से लिख सकता है। हमने उपस्थिति प्रणालियों को डुप्लिकेट कार्डों के साथ खिलवाड़ करते हुए देखा है {{5}एक ही कार्ड नंबर एक साथ तीन अलग-अलग शहरों में दिखाई देता है।

यहाँ वह चीज़ है जिसके बारे में कोई बात नहीं करता

 

आरएफआईडी एक खुला वायरलेस सिस्टम है। आपका टैग और रीडर रेडियो तरंगों के माध्यम से संचार करते हैं। सही गियर वाला कोई भी व्यक्ति इसे सुन सकता है।

 

वायरलेस संचार खुली हवा में होता है, जिससे भौतिक संपर्क के बिना अवरोधन संभव हो जाता है।

 

समस्या जल्दी शुरू हुई. जब निर्माताओं ने पहली बार इन चिप्स को डिज़ाइन किया, तो उन्होंने "क्या हम इसे पढ़ सकते हैं?" पर ध्यान केंद्रित किया। नहीं "क्या हमें आपको इसे पढ़ने देना चाहिए?" कई चिप्स में शून्य प्रमाणीकरण होता है। पाठक पूछता है "आप कौन हैं?" और टैग बस...उत्तर देता है। इससे कोई फर्क नहीं पड़ता कि यह एक वैध उपकरण है या कोई व्यक्ति जिसके बैकपैक में प्रोक्समार्क है।

125kHz कार्ड सुरक्षा मजाक क्यों हैं?

 

यहां कुछ ऐसा है जिसका उद्योग विज्ञापन नहीं करता है: आज भी उपयोग में आने वाले एक्सेस कार्डों का एक बड़ा हिस्सा 1990 के दशक की तकनीक पर चलता है।

ये कार्ड 125kHz पर काम करते हैं। चिप मॉडल आमतौर पर EM4100 या TK4100 होता है। वे कैसे काम करते हैं? पावर अप, प्रसारण आईडी, हो गया। कोई एन्क्रिप्शन नहीं. कोई प्रमाणीकरण नहीं. बस चिप पर संग्रहीत एक निश्चित संख्या।

 

 

किसी को क्लोन करने की लागत? शायद अमेज़ॅन से एक पाठक के लिए $20, लेखक के लिए $20, खाली कार्ड के लिए अन्य $5। तीन मिनट का काम.

ग्राहक कभी-कभी हमसे पूछते हैं: "क्या आप एन्क्रिप्टेड 125kHz कार्ड बना सकते हैं?"

संक्षिप्त उत्तर: नहीं. प्रोटोकॉल स्वयं गंभीर सुरक्षा का समर्थन नहीं करता है. आप सुरक्षा चाहते हैं, तो आप 13.56 मेगाहर्ट्ज उच्च आवृत्ति या यूएचएफ पर जाएं, मिफेयर डेसफायर या आईसीओडीई डीएनए जैसे चिप्स के साथ जो वास्तव में एईएस एन्क्रिप्शन का समर्थन करते हैं।

 

हमले वास्तव में कैसे दिखते हैं

 

हमारे ग्राहकों के साथ बातचीत के आधार पर, यहां बताया गया है कि आरएफआईडी सुरक्षा व्यवहार में विफल रहती है:

लागत बनाम सुरक्षा समझौता (और यह सीधा क्यों नहीं है)

 

ग्राहक हमसे हर समय पूछते हैं: क्या अधिक महंगे चिप्स का मतलब बेहतर सुरक्षा है?

मोटे तौर पर हाँ, लेकिन यह रैखिक नहीं है।

 

चिप प्रकार	अनुमानित लागत	सुरक्षा स्थिति
125kHz EM4100	$0.10	कोई नहीं
13.56 मेगाहर्ट्ज मिफेयर क्लासिक	~$0.40	समझौता (2008)
मिफेयर डेसफायर EV3	$1-2	एईएस-128/उच्च

 

125kHz EM4100 कार्ड की कीमत $0.10 हो सकती है। 13.56 मेगाहर्ट्ज MIFARE क्लासिक तक कदम बढ़ाएं, और आप शायद $0.40 पर होंगे - लेकिन सुरक्षा बहुत बेहतर नहीं है (उस चिप का एन्क्रिप्शन 2008 में क्रैक किया गया था)। AES-128 और आपसी प्रमाणीकरण के साथ MIFARE DESFire EV3 पर जाएं, आप प्रति कार्ड $1-2 देख रहे हैं, लेकिन कोई ज्ञात सार्वजनिक शोषण मौजूद नहीं है।

 

प्रश्न यह है कि क्या आपको वास्तव में उस स्तर की आवश्यकता है?

यदि आप किसी कारखाने में रिंच ट्रैक कर रहे हैं, तो एक रिंच खोने का मतलब प्रतिस्थापन का ऑर्डर देना है। यदि आप बैंक वॉल्ट तक पहुंच को नियंत्रित कर रहे हैं, तो क्लोन कार्ड का मतलब बहुत अलग है।

 

ग्राहकों को हमारी सलाह: "अगर इससे समझौता हो जाए तो सबसे खराब स्थिति क्या होगी?" से शुरुआत करें। फिर पीछे की ओर काम करें. आधे समय यह कोई तकनीकी समस्या नहीं है, यह एक धारणा समस्या है।

 

सब कुछ बदले बिना आप क्या कर सकते हैं

 

कुछ स्थितियों में वास्तव में सस्ते टैग्स {{0}इवेंट रिस्टबैंड्स, हाई {{1}वॉल्यूम लॉजिस्टिक्स लेबल्स की आवश्यकता होती है। हर चीज़ के लिए प्रीमियम चिप्स यथार्थवादी नहीं है। लेकिन आपके पास अन्य विकल्प हैं:

पारस्परिक प्रमाणीकरण-समझने लायक

 

पहले उल्लेखित चुनौती-प्रतिक्रिया। मुझे इस पर विस्तार करने दीजिए क्योंकि इसे अक्सर गलत समझा जाता है।

पारंपरिक आरएफआईडी प्रमाणीकरण एक तरीका है: रीडर टैग को सत्यापित करता है। लेकिन उच्च सुरक्षा अनुप्रयोगों को दो-तरफा प्रमाणीकरण की आवश्यकता होती है, टैग यह भी सत्यापित करता है कि पाठक वैध है।

 

यहाँ प्रवाह है:

किसी भी वास्तविक डेटा विनिमय से पहले दोनों पक्षों को गुजरना होगा। इसका मतलब है कि कोई नकली पाठक टैग को धोखा देकर जानकारी नहीं छोड़ सकता।

MIFARE DESFire इसका समर्थन करता है। हम बैंकों या सरकारी एजेंसियों के साथ जो भी प्रोजेक्ट करते हैं, उसके लिए यह काफी अनिवार्य है।

 

आपके जाने से पहले व्यावहारिक चीज़ें

 

1. पता लगाएँ कि आप वर्तमान में क्या चला रहे हैं

बहुत सी कंपनियों में आरएफआईडी सिस्टम किसी ऐसे व्यक्ति द्वारा स्थापित किए गए हैं जो वर्षों पहले चले गए थे। वर्तमान आईटी को पता नहीं है कि वास्तव में क्या तैनात किया गया है। अपने विक्रेता से कम से कम विवरण प्राप्त करें, आवृत्ति और चिप मॉडल जानें।

 

2. अपनी सबसे खराब स्थिति का आकलन करें

यदि आपके एक्सेस कार्ड क्लोन हो जाएं तो क्या नुकसान होगा? यदि इन्वेंट्री टैग के साथ छेड़छाड़ की जाती है, तो जोखिम क्या है? उस पर एक नंबर डालें. फिर तय करें कि अपग्रेड करना उचित है या नहीं।

 

3. अपनी सुरक्षा परतें बनाएं

हर चीज़ को अधिकतम सुरक्षा की आवश्यकता नहीं होती. नियमित कर्मचारी बैज मध्य स्तर के चिप्स चला सकते हैं। सर्वर रूम और वित्त कार्यालय के दरवाजों को उच्च सुरक्षा युक्तियाँ मिलती हैं। बैकएंड सत्यापन के साथ वेयरहाउस लॉजिस्टिक्स टैग सस्ते हो सकते हैं।

 

4. नियमित रूप से ऑडिट करें

आरएफआईडी सेट नहीं है{{0}और{{1}भूल जाओ। विसंगतियों के लिए एक्सेस लॉग की जाँच करें। एक ही कार्ड एक साथ दो स्थानों पर दिखाई दे रहा है। - घंटों के बाद पहुंच का प्रयास। ऐसे पैटर्न जिनका कोई मतलब नहीं है।

 

5. उन्नयन की योजना बनाएं

यदि इस समय बजट सीमित है और आप मध्य-स्तरीय समाधान के साथ जा रहे हैं, तो कम से कम एक ऐसा आर्किटेक्चर चुनें जो भविष्य में उन्नयन की अनुमति देता हो। अपने आप को एक बंद प्रणाली में बंद न करें जिसके लिए तीन वर्षों में पूर्ण प्रतिस्थापन की आवश्यकता होती है।