RFID邊緣硬件層
     在RFID邊緣硬件層中, 攻擊是利用閱讀器的較差物理安全性和較低的物理操作抵抗能力來(lái)攻擊 RFID標(biāo)簽和閱讀器。主要的攻擊有側(cè)信道攻擊、物理數(shù)據(jù)篡
改、偽裝攻擊, 以及暫時(shí)或永久性硬件邊緣損壞。
 1、保密性
      為保護(hù)信息的保密性, 信息數(shù)據(jù)應(yīng)該只對(duì)授權(quán)方開(kāi)放。根據(jù)系統(tǒng)保密對(duì)象不同, 系統(tǒng)保密性攻擊的方式存在很大差異。側(cè)信道攻擊若非法者有充足的時(shí)間訪問(wèn)邊緣硬件, 并嘗試從中獲取信息?？梢愿鶕?jù)側(cè)信道對(duì)策措施推導(dǎo)出信息的數(shù)據(jù)和硬件操作上的錯(cuò)誤(錯(cuò)誤攻擊或小故障), 從而影響信道的信息輸出, 也可以直接讀出內(nèi)存數(shù)據(jù)(篡改)。2006 年, Berkes 對(duì)此進(jìn)行了簡(jiǎn)單概述。大部分的攻擊都需要專(zhuān)門(mén)設(shè)備, 并且只能依靠專(zhuān)業(yè)人士和設(shè)備齊全的實(shí)驗(yàn)室完成。側(cè)信道攻擊的影響隨著應(yīng)用場(chǎng)景的變化而變化, 因而該攻擊可能會(huì)讓人侵者獲取 RFID標(biāo)簽密碼, 甚至泄露標(biāo)簽到閱讀器的認(rèn)證密匙。前面提到的入侵者能夠使標(biāo)簽永久失效, 從而偷竊貴重物品。對(duì)于后面提及的密鑰泄露, 將使人侵者獲得受限區(qū)域的訪問(wèn)權(quán)限, 竊取重要信息甚至引發(fā)金融欺詐。以下簡(jiǎn)單討論此類(lèi)攻擊的多種方式:
     1)側(cè)信道分析:它是攻擊者在測(cè)量時(shí)延、功耗或發(fā)射信號(hào)以及輻射信息波動(dòng)時(shí)發(fā)起的非人侵式攻擊。上述測(cè)量數(shù)據(jù)是反映 RFID 設(shè)備的輸入數(shù)據(jù)和內(nèi)部狀態(tài)的重要信息。例如, 后向散射回波信號(hào)的波動(dòng)可能引起內(nèi)部電阻的相關(guān)變化。根據(jù)泄漏信息的不同所采用的應(yīng)對(duì)措施方式不同, 可區(qū)分各種側(cè)信道攻擊。如基于功耗變化, 可以區(qū)分簡(jiǎn)易功率分析(SPA)攻擊和差分功率分析(DPA)攻擊。計(jì)時(shí)器攻擊利用目標(biāo)計(jì)算速度產(chǎn)生的波動(dòng), 也可能是延遲。RFID 設(shè)備進(jìn)行加密操作時(shí)會(huì)起電磁場(chǎng)的變化, 可由差分電磁分析(DEMA)對(duì)變化進(jìn)行測(cè)量。對(duì)于后者, 可能會(huì)泄露密鑰等重要信息。2007年, Oren 和 Shamir 通過(guò)測(cè)量從標(biāo)簽到閱讀器的功滾軌跡, 獲得了特高頻標(biāo)簽的關(guān)鍵密碼, 實(shí)現(xiàn)了SPA 攻擊。同年, Hutter等人完成RFID標(biāo)簽的 DPA攻擊。精確地講, 通過(guò)功率和電磁分析完成了對(duì)高頻標(biāo)簽的硬件和軟件 AES(高級(jí)加密標(biāo)準(zhǔn))的實(shí)現(xiàn)。2008年, Plos 已證實(shí)即使是特高頻標(biāo)客地極易受到 DPA 攻擊。2009年, Hutter 等人實(shí)現(xiàn)了對(duì) RFID 設(shè)備公鑰發(fā)起了DP攻擊。

      2)故障攻擊:它是當(dāng)人侵者嘗試在操作設(shè)備期間制造錯(cuò)誤, 從而通過(guò)正常給出通道或側(cè)信道非法提取信息時(shí)發(fā)起的一種攻擊。這種攻擊可通過(guò)改變?cè)O(shè)備的輸人或工作環(huán)境條件, 如熱、冷、電磁輻射(如紫外線(UV)或X射線)、電壓、不間斷供電或磁性來(lái)達(dá)到目標(biāo)。
      3)物理篡改:人侵者能夠在不破壞其存儲(chǔ)數(shù)據(jù)的情況下, 嘗試拆散設(shè)備以恢復(fù)數(shù)據(jù)。另一種物理篡改是對(duì)特定硬件進(jìn)行針對(duì)性的操作和破壞。例如, 通過(guò)改變ROM中個(gè)別單元來(lái)改變密碼行為和密碼種子。其他入侵攻擊方式則是保留和直接讀取存儲(chǔ)單元。但電源中斷時(shí), 易失性存儲(chǔ)器的數(shù)據(jù)將會(huì)丟失。有些設(shè)備(如智能卡)檢測(cè)到攻擊時(shí), 通過(guò)刪除內(nèi)存的方式保護(hù)數(shù)據(jù)。減緩內(nèi)存損失的方法有冷卻硬件, 或者通過(guò)輻射將數(shù)據(jù)狀態(tài)永久存入內(nèi)存, 也可以快速進(jìn)入硬件, 以便在設(shè)備對(duì)攻擊有反應(yīng)前切斷保護(hù)措施。即使沒(méi)有這些成本較高的解決方法, 在斷電后也可讀取內(nèi)存。如果 RAM(隨機(jī)存取存儲(chǔ)器)長(zhǎng)時(shí)間以恒定狀態(tài)(0或1)供電,那么將產(chǎn)生所謂的“內(nèi)存剩磁感應(yīng)”, 可用于部分?jǐn)?shù)據(jù)的恢復(fù)。香去非苦

 2、 完整性
       保障信息完整性可定義為保證所有信息及相關(guān)處理方法是準(zhǔn)確和完整的。一旦認(rèn)證被避開(kāi)或繞過(guò), 完整性就被破壞。因此, 需要研究在RFID系統(tǒng)中對(duì)認(rèn)證產(chǎn)生威脅的攻擊。在邊緣硬件層中, 這一攻擊被將歸納為物理數(shù)據(jù)篡改和偽裝攻擊。
2. 1 物理數(shù)據(jù)篡改
      在RFID 系統(tǒng)中, 可通過(guò)錯(cuò)誤引人及存儲(chǔ)器寫(xiě)入進(jìn)行物理數(shù)據(jù)篡改。錯(cuò)誤引人是指在數(shù)據(jù)被寫(xiě)人或處理時(shí)進(jìn)行數(shù)據(jù)篡改。存儲(chǔ)器寫(xiě)人要使用專(zhuān)門(mén)的設(shè)備, 如激光
切割顯微鏡或小針探頭。該方法可以直接影響存儲(chǔ)器單元(Hancke 和Kuhn(2008)中的ROM攻擊就是一個(gè)很好的例子)。雖然這種方法難度大且費(fèi)時(shí), 但卻避開(kāi)了軟件保護(hù)。篡改物理數(shù)據(jù)的影響取決于應(yīng)用場(chǎng)景和被篡改信息的危險(xiǎn)程度。這種攻擊會(huì)造成標(biāo)簽的存儲(chǔ)數(shù)據(jù)及被標(biāo)記物體數(shù)據(jù)之間的不一致。因此, 這種攻擊可能會(huì)導(dǎo)致嚴(yán)重的醫(yī)療事故(即篡改貼在藥物上的標(biāo)簽存儲(chǔ)數(shù)據(jù))。甚至假冒原裝產(chǎn)品。

2. 2 偽裝攻擊
       通過(guò)標(biāo)簽克隆、標(biāo)簽交換、標(biāo)簽重新編程或電子欺騙等手段可以制作假冒的 RFID 標(biāo)簽。攻擊者主要利用偽裝標(biāo)簽或閱讀器使其能夠進(jìn)入限制區(qū), 獲取敏感信息和訪問(wèn)權(quán)限。
    1)標(biāo)簽克隆:現(xiàn)已證實(shí)復(fù)制RFID標(biāo)簽相當(dāng)容易, 既不需要花很多錢(qián)也不需要很多專(zhuān)業(yè)知識(shí), 只需要一些必需的設(shè)備, 例如, 軟件和空白標(biāo)簽。德國(guó)研究員Reid 證實(shí)電子護(hù)照易克隆。如果 RFID 標(biāo)簽不采取任何安全機(jī)制, 那么很容易完成將標(biāo)簽的識(shí)別ID和相關(guān)數(shù)據(jù)復(fù)制到克隆標(biāo)簽。然而, 如果標(biāo)簽采用了安全機(jī)制, 那么應(yīng)發(fā)動(dòng)更雜的攻擊以便于辨別克隆標(biāo)簽與合法標(biāo)簽。采用何種克隆攻擊在一定程度上取決于標(biāo)簽使用的安全機(jī)制。但是, 克隆并不只是復(fù)制標(biāo)簽ID及數(shù)據(jù), 還要制造一個(gè)仿照原標(biāo)簽以及其特征的 RFID標(biāo)簽。人眼無(wú)法區(qū)分克隆 RFID標(biāo)簽和合法標(biāo)簽。
     2)標(biāo)簽交換:另一種偽裝攻擊是標(biāo)簽交換, 方法十分簡(jiǎn)單, 但卻是零售產(chǎn)品跟蹤和自動(dòng)銷(xiāo)售的真正威脅。標(biāo)簽交換是將某一物品的 RFID標(biāo)簽撕掉, 隨后將該標(biāo)簽貼在另一物品上(例如, “交換”價(jià)格標(biāo)簽)。在零售商店中, 小偷挑選出高價(jià)商品和低價(jià)商品, 然后交換兩件商品的價(jià)格標(biāo)簽, 這樣就可以支付較少的錢(qián) “購(gòu)買(mǎi)”高價(jià)商品。后端系統(tǒng)不能正確地將商品與其價(jià)格進(jìn)行關(guān)聯(lián), 因此, 其信息的完整性被損害。
     3)標(biāo)簽重新編程:部分標(biāo)簽在構(gòu)建過(guò)程中可以直接或利用接口的方式重新編程。直接編程是在知曉密碼的前提下, 通過(guò)RF接口實(shí)現(xiàn)的。然而, 使用 ROM的標(biāo)簽不能重新編程。通常, 制造假冒標(biāo)簽最便宜的方式是重復(fù)利用現(xiàn)有的標(biāo)簽, 如果需要, 能夠?qū)ζ渲匦戮幊?。例? 利用丟棄的標(biāo)簽或者在開(kāi)放市場(chǎng)購(gòu)買(mǎi)同類(lèi)型的標(biāo)簽。
    4)電子欺騙:電子欺騙可以被看做是克隆標(biāo)簽的衍生方式。它們的主要區(qū)別是在于, 電子欺騙不對(duì) RFID 標(biāo)簽進(jìn)行物理復(fù)制。此外, 由于 RFID 閱讀器也可以偽造, 因此電子欺騙攻擊并不限于標(biāo)簽。若要實(shí)現(xiàn)此類(lèi)攻擊需要專(zhuān)門(mén)的設(shè)備, 該設(shè)備能夠根據(jù)數(shù)據(jù)內(nèi)容完成 RFID標(biāo)簽和閱讀器的仿造。攻擊者則需要能夠訪問(wèn)合法的信息渠道, 以及用于認(rèn)證的協(xié)議和密鑰信息。攻擊的目的是仿造合法標(biāo)簽或者閱讀器探取敏感信息和獲得未授權(quán)的服務(wù)。
2. 3 可用性
     可用資源是能夠被所有合法用戶隨時(shí)訪問(wèn)并使用的資源。當(dāng)RFID邊緣硬件由移除、銷(xiāo)毀和破壞等方式造成永久或暫時(shí)失效時(shí), 其可用性將受到影響。
2. 3. 1 邊緣硬件永久失效
    移除或銷(xiāo)毀操作可能使 RFID 標(biāo)簽和閱讀器永久失效。使用特定的銷(xiāo)毀命令也可能使 RFID標(biāo)簽永久失效。永久失效的 RFID 標(biāo)簽將導(dǎo)致被標(biāo)記物體難以追驗(yàn)因此, 造成供應(yīng)鏈團(tuán)體或零售店的巨大損失, 損失的大小則取決于攻擊范圍大小。

    1)移除:RFID標(biāo)簽物理安全性較差, 如果標(biāo)記在物體上的標(biāo)簽粘貼或者入得不夠牢固, 就很容易被移除。標(biāo)簽移除無(wú)需特殊的技術(shù)就可以輕易做到。這系威脅將導(dǎo)致物體無(wú)法被追蹤, 從而引發(fā)嚴(yán)重的安全問(wèn)題。幸運(yùn)的是, 這種攻擊不能大規(guī)模的展開(kāi)。如果無(wú)人監(jiān)管, RFID 閱讀器也可能會(huì)被移除。鑒于閱讀器體和較大, 攻擊難以實(shí)施。
    2)損壞:較低的物理安全性不僅導(dǎo)致標(biāo)簽易被移除, 而且易被破壞。未被買(mǎi)善管理的 RFID標(biāo)簽易被蓄意破壞者破壞, 蓄意破壞者可以通過(guò)化學(xué)、增加壓力甚至通過(guò)簡(jiǎn)單地裁剪天線的方式實(shí)現(xiàn)破壞。然而, 即使 RFID 標(biāo)簽沒(méi)有受到惡意礎(chǔ)壞, 它們也可能遭遇惡劣環(huán)境條件, 如極端的溫度, 或者因處理不當(dāng)產(chǎn)生的磨損。此外, 濫用 RFID Zapper等設(shè)備也能致使 RFID標(biāo)簽失效。該設(shè)備工作在強(qiáng)大的電磁場(chǎng)中, 強(qiáng)大的電磁場(chǎng)足以燒壞標(biāo)簽的內(nèi)部電路。RFID標(biāo)簽尺寸小, 易于攻擊, 然而, RFID 閱讀器也可能面臨類(lèi)似的威脅。RFID 閱讀器通常存儲(chǔ)著重要的安全認(rèn)證數(shù)據(jù), 如加密密鑰等, 因此, 極有可能成為攻擊的目標(biāo), 尤其在無(wú)人監(jiān)管時(shí)。破壞或盜取 RFID 閱讀器可能會(huì)中斷RFID通信, 干擾RFID系統(tǒng)的可用性。
   3)濫用銷(xiāo)毀標(biāo)簽命令:有些標(biāo)簽具有永久銷(xiāo)毀或鎖定的安全功能。由Auto- ID中心和 EPC global 創(chuàng)建的規(guī)范-KILL指令, 可以使標(biāo)簽永久銷(xiāo)毀、無(wú)法響應(yīng)請(qǐng)求。若干RFID 標(biāo)準(zhǔn)利用 LOCK 指令防止標(biāo)簽的非法寫(xiě)人。通常預(yù)定義密碼用于 認(rèn)證, 這種密碼暫時(shí)或永久的自我鎖定。實(shí)際上, 多個(gè)標(biāo)簽可以共享一個(gè)密碼 (如同一個(gè)商店的所有貨物)。否則, 密碼管理就會(huì)出現(xiàn)問(wèn)題, 例如大型清單需要與貨物一起運(yùn)送。盡管這些功能都可用于隱私保護(hù), 但是它們也有可能被濫用, 從而使 RFID標(biāo)簽永遠(yuǎn)無(wú)法工作并破壞RFID通信。在某些情況下, 標(biāo)簽使用的密碼是低熵的(1 EPC Gen 1 標(biāo)簽是8位的, EPC Gen 2 標(biāo)簽是32 位的), 而且極易被破解。除此之外, 主密碼還可能鎖定和破壞大量標(biāo)簽, 嚴(yán)重?fù)p害系統(tǒng)安全。
 2. 3. 2 邊緣硬件暫時(shí)失效
      極端的環(huán)境條件, 如標(biāo)簽被水或冰覆蓋, 協(xié)議資源枯竭, 以及同步失效攻擊部可能導(dǎo)致 RFID邊緣硬件暫時(shí)失效。與邊緣硬件永久失效一樣, 盡管邊緣硬件失效
是暫時(shí)的, 該攻擊也能夠破壞整個(gè)RFID系統(tǒng)。最常見(jiàn)的狀況就是竊賊能夠在商場(chǎng)里免費(fèi)獲得商品。
    1)協(xié)議資源枯竭:某些協(xié)議限制了標(biāo)簽的閱讀次數(shù), 或者限制了標(biāo)簽的閱以失敗次數(shù)。有些協(xié)議使用計(jì)數(shù)器或者是時(shí)間戳計(jì)算最大次數(shù), 當(dāng)達(dá)到限值后, 標(biāo)簽便不可讀。而其他協(xié)議為了保護(hù)標(biāo)簽, 僅規(guī)定了其讀取次數(shù)。儲(chǔ)存在標(biāo)記上的哈希鏈固定長(zhǎng)度限制標(biāo)簽的讀取次數(shù)。當(dāng)這些標(biāo)簽資源耗盡時(shí), 它們將再一次成為追蹤攻擊的對(duì)象。OSK(Ohkubo-Suzuki-Kinoshita)協(xié)議就是鏈協(xié)議的一個(gè)例子。

     此類(lèi)攻擊的另一手段是耗盡有源標(biāo)簽的電池電量以縮短它們的壽命。通過(guò)在一 個(gè)頻段上反復(fù)讀取, 致使標(biāo)簽資源“耗盡”, 并失效。在某些情況下, 故障是可恢
復(fù)的, 但絕大多數(shù)情況是不可以的。系統(tǒng)的中斷操作和恢復(fù)與成本相關(guān), 會(huì)產(chǎn)生經(jīng)濟(jì)影響。
    2)同步失效攻擊:某些協(xié)議利用了標(biāo)簽與閱讀器/服務(wù)器之間的同步特性。這種同步采用計(jì)數(shù)器(讀取次數(shù))、時(shí)間戳或更新的假名及密鑰等形式。當(dāng)雙方都沒(méi)有更新時(shí), 對(duì)抗性讀取或更新阻止產(chǎn)生同步失效, 如協(xié)議中斷等。除非協(xié)議能夠處理或恢復(fù)其同步, 否則服務(wù)器將不能再讀取或識(shí)別標(biāo)簽。即使在某些限制了同步失效的協(xié)議中, 攻擊或反復(fù)讀取(被其他系統(tǒng)讀取)也可能導(dǎo)致同步失效的發(fā)生。
3. 2. 4 威脅評(píng)估以及對(duì)策
      在邊緣硬件層中存在的威脅, 實(shí)施各類(lèi)攻擊/威脅的成本, 以及易受攻擊標(biāo)簽的分類(lèi)。同時(shí), 列舉了面對(duì)各類(lèi)威脅可能采取的對(duì)策(解決方案)和其成本, 這方案有助于抵抗攻擊。 成本評(píng)估使用低、中、高表示, 成本應(yīng)該考慮到效率、時(shí)間、實(shí)現(xiàn)攻擊/抵御攻擊所需耗費(fèi)的經(jīng)濟(jì)成本。

   成本較高的攻擊是側(cè)信道攻擊和一些高級(jí)的偽裝攻擊。在RFID 邊緣硬件層 用較高物理安全性的策略, 例如采用保安、攝像監(jiān)控、門(mén)禁等。準(zhǔn)確地說(shuō), 側(cè)信邀輻射, 但是這樣會(huì)縮小系統(tǒng)的工作范圍。另一個(gè)成本較高的對(duì)策是增加 RFID標(biāo)簽 一個(gè)很具挑戰(zhàn)性的任務(wù)。防篡改標(biāo)簽也可以增加攻擊的難度。然而, 這種攻擊的成 御攻擊的對(duì)策中, 成本最高的是那此具有較強(qiáng)魯棒性和防篡改的特殊標(biāo)簽, 以及平攻擊是最難克服的攻擊之一。抵抗這類(lèi)攻擊的最合理方法是限制 RFID 系統(tǒng)的電內(nèi)部電路的復(fù)雜性, 從而增加逆向工程難度。鑒于RFID 標(biāo)簽小型化的需求, 這具本較高, 不易普及。