RFID系统的安全隐患及其对策

RFID系统的安全隐患及其对策

RFID系统的安全隐患及其对策

RFID(RadioFrequencyIdentification，即射频识别)技术是从20世

纪80年代走向成熟的一项自动识别技术。本文针对RFID系统产生

的安全隐患进行了详细分析并有针对性地总结提出了相关对策。RFID作为无线应用领域的新宠儿，正被广泛用于采购与分配、商业

贸易、生产制造、物流、防盗以及军事用途上，然而就在它“春风

得意”时，与之相关的安全隐患也随之产生。越来越多的商家和用

户担心RFID系统的安全和隐私保护问题，即在使用RFID系统过程

中如何确保其安全性和隐私性，不至于导致个人信息、业务信息和

财产等丢失或被他人盗用。

由于集成的RFID系统实际上是一个计算机网络应用系统，因此安全

问题类似于计算机和网络的安全问题，但它仍然有两个特殊的特点：首先，RFID标签和后端系统之间的通信是非接触和无线的，使它们

很易受到窃听；其次，标签本身的计算能力和可编程性，直接受到

成本要求的限制。一般地，RFID的安全威胁除了与计算机网络有相

同之处外，还包括以下三种类型：

一、标签中数据的安全威胁

由于标签本身的成本所限，标签本身很难具备能够足以保证安全的

能力。这样，就面临了很大的问题。非法用户可以利用合法的阅读

器或者自构一个阅读器，直接与标签进行通信。这样，就可以很容

易地获取标签内所存数据。而对于读写式标签，还面临数据被篡改

的风险。

二、通信链路上的安全威胁

当标签传输数据给阅读器，或者阅读器质询标签的时候，其数据通

信链路是无线通信链路，无线信号本身是开放的。这就给非法用户

的侦听带来了方便。实现的常用方法包括：

1、黑客非法截取通信数据。通过非授权的阅读器截取数据或根据RFID前后向信道的不对称性远距离窃听标签信息等。

2、业务拒绝式攻击，即非法用户通过发射干扰信号来堵塞通信链路，使得阅读器过载，无法接收正常的标签数据。

3、利用冒名顶替标签来向阅读器发送数据，使得阅读器处理的都是

虚假的数据，而真实的数据则被隐藏。

4、通过发射特定电磁波破坏标签等。

三、阅读器协议的安全威胁

阅读器协议的安全威胁主要有三个方面，RFID所遇到的安全问题，

要比通常的计算机网络安全问题要复杂的多。通过分析RFID系统的

安全威胁，受到非授权攻击的数据可能保存在标签中、阅读器中，

或者当数据在各个组件之间传输时，我们必须采取相应的对策解

决。

1、保护标签中数据安全对策

为了防止RFID标签泄露个人隐私，同时也为了防止用户携带安装有

标签的产品进入市场所带来的混乱，人们从技术上提出了多种方案。当然我们还可以使用各种认证和加密手段来确保标签和阅读器之间

的数据安全。比如，直至阅读器发送一个密码来解锁数据之前，标

签的数据一直处于锁定状态。更严格的还可能同时包括认证和加密

方案。但是标签的成本直接影响到其计算能力以及采用的算法的强度。在现实生活中选择射频识别系统时，应该根据实际情况考虑是

否选择有密码功能的系统。因此，一般来说，在高端RFID系统(智

能卡)和高价值的被标签物品场合，可以采用这种方式。

2、各组件通信链上数据安全对策

(1)限制标签和阅读器之间的通信距离。采用不同的工作频率、天线

设计、标签技术和阅读器技术可以限制两者之间的通信距离，低非

法接近和阅读标签的风险，但是这仍然不能解决数据传输的风险，

还以损害可部署性为代价。

(2)实现专有的通信协议。在高度安全敏感和互操作性不高的情况下，实现专有通信协议是有效的。它涉及到实现一套非公有的通信协议

和加解密方案。基于完善的通信协议和编码方案，可实现较高等级

的安全。但是，这样便丧失了与采用工业标准的系统之间的RFID数

据共享能力。当然，还可以通过专用的数据网关来进行处理。

(3)为RFID标签编程，使其只可能与己授权的RFID阅读器通信。解

决办法是，确保网络上的所有阅读器在传送信息给中间件(中间件再

把信息传送给应用系统)之前都必须通过验证，并且确保阅读器和后

端系统之间的数据流是加密的。部署RFID阅读器时应采取一些非常

切合实际的措施，确保验证后方可连入网络，并且不会因为传输而

被其他人窃取重要信息。

3、保护阅读器中数据安全对策

在RFID系统中，阅读器只是一个简单的读写设备没有太多的安全功能，因此阅读器中数据采集的安全问题必须依靠中件间来解决。中

间件的安全对策与计算机网络系统有相同之处，攻击者要想对阅读

器进行攻击，多数情况是必须至少得和阅读器接触，所以保护数据

安全除了不断推进加密技术来应对之外，还要依靠安全的管理制度，完备的数据管理模式，依靠数据的管理者持续的工作来保持数据的

安全性，所以保密是一个过程。

当然任何一个单层面的解决方案都是不全面的(加上成本不允许)，

不可能彻底保证RFID应用的安全，在很多时候都需要采用综合性的解决方案。不管如何，在实施和部署RFID应用系统之前，应该根据实际情况进行充分的业务安全评估和风险分析，考虑综合的解决方案、考虑成本和收益之间的关系。