標簽

　　標簽雖小，其潛在的危害卻很大。

　　對于剛剛使用RFID的企業(yè)，RFID標簽很容易就被黑客、商店扒手或者不滿的職員所操控。DN系統(tǒng)企業(yè)互聯(lián)網(wǎng)解決方案公司（DN-Systems Enterprise Internet Solutions GmbH）的咨詢師盧卡斯·格龍瓦爾德（Lukas Grunwald）在2004年“黑帽安全會議”上對此做了演示。

　　使用他協(xié)助開發(fā)的一個小程序dubbed RFDump，格龍瓦爾德展示了標簽如何被讀取、更改甚至刪除的全過程。RFDump只需要一個很便宜的標簽讀取器，把它插在運行Windows和 Linux的掌上電腦、筆記本電腦或桌面設備上就可以了。這個軟件顯示，每個人都有可能破壞所有的RFID標簽信息、修改貼有RFID標簽的物件的銷售價格，甚至在各種RFID標簽之間轉換數(shù)據(jù)。這些行為一旦發(fā)生，零售商將花費很多時間通過手工清點庫存，才能知道準確的貨物數(shù)量。

　　大多數(shù)支持EPCglobal標準的無源標簽只能寫入一次，但是支持ISO等其他標準的RFID標簽，就具備多次寫入的功能。今年春天，支持 EPCglobal 超高頻第二代協(xié)議的RFID標簽將大量上市，這些標簽也支持多次寫入功能。由于沒有寫保護功能，這些無源標簽可以被更改或寫入“好幾千次?！备颀埻郀柕抡f。

　　為了幫助汽車制造商和汽車零部件零售商有效識別，輪胎制造商米奇林北美公司（Michelin North America Inc.）把RFID標簽嵌在輪胎的側壁上。公司也認為，芯片具有可重復編程功能的確是個問題。公司全球戰(zhàn)略專家帕特·金（Pat King）認為，這需要“適當?shù)墓芾怼?。金也是AIM全球標準行動集團（AIM Global Standards Action Group）RFID專家組的一個成員，該集團是一個重點關注用信息管理系統(tǒng)來管理數(shù)據(jù)的收集和整合的全球性貿易協(xié)會?！肮静粦摶孟肟芍貜途幊虡撕瀮鹊臄?shù)據(jù)總是安全的。如果你對信息的有效性產(chǎn)生了懷疑，就應該把芯片上的信息與儲存在數(shù)據(jù)庫里的數(shù)據(jù)進行比較驗證。

　　提供IT咨詢服務的咨詢委員會（The Advisory Council，以下簡稱TAC）認為，缺乏對點對點加密（使用現(xiàn)行的標準，諸如ISO14443/DESFire就可以實現(xiàn)）和PKI（公鑰基礎結構）密鑰交換的支持，是導致標簽漏洞的原因之一?！缎畔⒅芸酚⑽陌娴腞FID研究網(wǎng)站RFIDinsight.com上曾經(jīng)刊登了一篇文章。在該文中， TAC還提出了RFID標簽的一些其他用途?！霸趫?zhí)法過程中有謠言說，那些搶劫貨車的劫匪們已經(jīng)在用RFID讀取器來幫助決定哪些貨柜更值得搶劫?！?TAC說。

　　很多人還指出，“惡意”標簽（rogue tag）有可能破壞供應鏈數(shù)據(jù)；一旦遭到“拒絕服務”式攻擊，把標簽中的數(shù)據(jù)改為隨機數(shù)據(jù)，將降低供應鏈的速度。這類風險一點都不比現(xiàn)在存在的風險小。 “我想不出哪些問題是因為RFID的出現(xiàn)而出現(xiàn)的。事實上，在防止沒有經(jīng)過授權的人員接觸供應鏈方面，RFID提供了更多的安全和機會?！盜T服務商維布絡技術公司（Wipro Technologies）的零售方案首席咨詢師摩尼·蘇布拉曼揚（Mani Subramanyam）說。他舉例說，零售商就常常通過交換條形碼標簽來欺騙系統(tǒng)。而且和RFID標簽不同的是，條形碼還可以在大部分電腦和打印機上進行偽造。

　　優(yōu)利公司（Unisys Corp）全球可視貿易方案副總裁彼得·雷根（Peter Regen）也同意蘇布拉曼揚的說法?！澳欠N事，用RFID標簽就要比用條形碼困難得多。你需要特定的技術知識和特定的工具才能實現(xiàn)?！?/p>

　　一些人已經(jīng)開始考慮采用安全設備來緩解有關RFID標簽安全的憂慮。比如給每個產(chǎn)品一個唯一的電子產(chǎn)品代碼，這有點類似于汽車的牌照號碼。一旦有人想破壞安全，他得到的只是單個產(chǎn)品的信息。這樣的話，就不值得花時間去解碼，雷根說?！伴T檻太高，沒有人會這樣做的?！彼f。

　　此外，新的EPCglobal超高頻第二代協(xié)議標準增強了無源標簽的安全性能。據(jù)EPCglobal產(chǎn)品管理總監(jiān)秀·赫欽森（Sue Hutchinson）介紹，新標準不僅提供了密碼保護，而且能對數(shù)據(jù)從標簽傳輸?shù)阶x取器的過程進行加密，而不是對標簽上的數(shù)據(jù)進行加密。

　　很多公司剛剛開始重視安全問題，而隱私鼓吹者和立法者早就開始關注RFID的隱私問題了。這些隱私問題現(xiàn)在主要體現(xiàn)在RFID標簽上。在問題出現(xiàn)后，產(chǎn)業(yè)界也開始關注這個問題。麥德龍集團（Metro Group AG）在德國的萊茵博格（Rheinberg）有一家“未來商店”（Future Store）。麥德龍集團的發(fā)言人表示，公司裝在商品上的RFID標簽，只要出了商店就會失去功能。公司在商店的出口處為顧客裝了一個“失效器”，這個機器會把存儲在商品RFID芯片上的數(shù)字產(chǎn)品代碼用一串零來全部覆蓋。

　　2004年初，RSA演示了其特別設計的RSA屏蔽器標簽（RSA Blocker Tag）。把這個屏蔽器裝在購物袋上，RFID讀取器就不能讀取放在購物袋中的商品的RFID標簽，系統(tǒng)會顯示“拒絕服務”。RSA屏蔽標簽的缺點是使商店扒手可以躲過商店的安全檢查。所以公司最終改變了方向。RSA實驗室RFID解決方案構架師丹·貝里（Dan Bailey）說，“我們已經(jīng)拿出更適合實際應用的想法和改良方法?！?/p>

　　一種想法是“軟屏蔽器”（soft blocker）。它能加大對顧客的隱私偏好的保護，不過這是在商品已經(jīng)購買之后。在銷售點，顧客會出示其會員卡，通過這張卡就能看到其隱私偏好的數(shù)據(jù)。 “商品購買之后，銷售點就會立即對隱私數(shù)據(jù)進行更新，保證這些數(shù)據(jù)不會被某些讀取器讀取，比如供應鏈讀取器?！必惱镎f。

　　軟屏蔽器可能是解決RFID標簽隱私問題的一個好辦法，在EPCglobal第二代標簽中就加入了這種功能?！笆箻撕炇У淖龇?，將阻止下游消費者應用的開發(fā)。”他說。

　　這些想法是否全部都會被采用，或者如何去實現(xiàn)這些想法，還取決于技術和應用的進一步發(fā)展。“這些想法現(xiàn)在還只是剛剛提出。坦率地說，在現(xiàn)實的業(yè)務流程中，終端用戶還沒有真正地試驗過軟屏蔽器在現(xiàn)實環(huán)境中應該如何部署?！焙諝J森說。