RFID邊緣硬件層
     在RFID邊緣硬件層中, 攻擊是利用閱讀器的較差物理安全性和較低的物理操作抵抗能力來攻擊 RFID標簽和閱讀器。主要的攻擊有側(cè)信道攻擊、物理數(shù)據(jù)篡
改、偽裝攻擊, 以及暫時或永久性硬件邊緣損壞。
 1、保密性
      為保護信息的保密性, 信息數(shù)據(jù)應(yīng)該只對授權(quán)方開放。根據(jù)系統(tǒng)保密對象不同, 系統(tǒng)保密性攻擊的方式存在很大差異。側(cè)信道攻擊若非法者有充足的時間訪問邊緣硬件, 并嘗試從中獲取信息。可以根據(jù)側(cè)信道對策措施推導(dǎo)出信息的數(shù)據(jù)和硬件操作上的錯誤(錯誤攻擊或小故障), 從而影響信道的信息輸出, 也可以直接讀出內(nèi)存數(shù)據(jù)(篡改)。2006 年, Berkes 對此進行了簡單概述。大部分的攻擊都需要專門設(shè)備, 并且只能依靠專業(yè)人士和設(shè)備齊全的實驗室完成。側(cè)信道攻擊的影響隨著應(yīng)用場景的變化而變化, 因而該攻擊可能會讓人侵者獲取 RFID標簽密碼, 甚至泄露標簽到閱讀器的認證密匙。前面提到的入侵者能夠使標簽永久失效, 從而偷竊貴重物品。對于后面提及的密鑰泄露, 將使人侵者獲得受限區(qū)域的訪問權(quán)限, 竊取重要信息甚至引發(fā)金融欺詐。以下簡單討論此類攻擊的多種方式:
     1)側(cè)信道分析:它是攻擊者在測量時延、功耗或發(fā)射信號以及輻射信息波動時發(fā)起的非人侵式攻擊。上述測量數(shù)據(jù)是反映 RFID 設(shè)備的輸入數(shù)據(jù)和內(nèi)部狀態(tài)的重要信息。例如, 后向散射回波信號的波動可能引起內(nèi)部電阻的相關(guān)變化。根據(jù)泄漏信息的不同所采用的應(yīng)對措施方式不同, 可區(qū)分各種側(cè)信道攻擊。如基于功耗變化, 可以區(qū)分簡易功率分析(SPA)攻擊和差分功率分析(DPA)攻擊。計時器攻擊利用目標計算速度產(chǎn)生的波動, 也可能是延遲。RFID 設(shè)備進行加密操作時會起電磁場的變化, 可由差分電磁分析(DEMA)對變化進行測量。對于后者, 可能會泄露密鑰等重要信息。2007年, Oren 和 Shamir 通過測量從標簽到閱讀器的功滾軌跡, 獲得了特高頻標簽的關(guān)鍵密碼, 實現(xiàn)了SPA 攻擊。同年, Hutter等人完成RFID標簽的 DPA攻擊。精確地講, 通過功率和電磁分析完成了對高頻標簽的硬件和軟件 AES(高級加密標準)的實現(xiàn)。2008年, Plos 已證實即使是特高頻標客地極易受到 DPA 攻擊。2009年, Hutter 等人實現(xiàn)了對 RFID 設(shè)備公鑰發(fā)起了DP攻擊。

      2)故障攻擊:它是當人侵者嘗試在操作設(shè)備期間制造錯誤, 從而通過正常給出通道或側(cè)信道非法提取信息時發(fā)起的一種攻擊。這種攻擊可通過改變設(shè)備的輸人或工作環(huán)境條件, 如熱、冷、電磁輻射(如紫外線(UV)或X射線)、電壓、不間斷供電或磁性來達到目標。
      3)物理篡改:人侵者能夠在不破壞其存儲數(shù)據(jù)的情況下, 嘗試拆散設(shè)備以恢復(fù)數(shù)據(jù)。另一種物理篡改是對特定硬件進行針對性的操作和破壞。例如, 通過改變ROM中個別單元來改變密碼行為和密碼種子。其他入侵攻擊方式則是保留和直接讀取存儲單元。但電源中斷時, 易失性存儲器的數(shù)據(jù)將會丟失。有些設(shè)備(如智能卡)檢測到攻擊時, 通過刪除內(nèi)存的方式保護數(shù)據(jù)。減緩內(nèi)存損失的方法有冷卻硬件, 或者通過輻射將數(shù)據(jù)狀態(tài)永久存入內(nèi)存, 也可以快速進入硬件, 以便在設(shè)備對攻擊有反應(yīng)前切斷保護措施。即使沒有這些成本較高的解決方法, 在斷電后也可讀取內(nèi)存。如果 RAM(隨機存取存儲器)長時間以恒定狀態(tài)(0或1)供電,那么將產(chǎn)生所謂的“內(nèi)存剩磁感應(yīng)”, 可用于部分數(shù)據(jù)的恢復(fù)。香去非苦

 2、 完整性
       保障信息完整性可定義為保證所有信息及相關(guān)處理方法是準確和完整的。一旦認證被避開或繞過, 完整性就被破壞。因此, 需要研究在RFID系統(tǒng)中對認證產(chǎn)生威脅的攻擊。在邊緣硬件層中, 這一攻擊被將歸納為物理數(shù)據(jù)篡改和偽裝攻擊。
2. 1 物理數(shù)據(jù)篡改
      在RFID 系統(tǒng)中, 可通過錯誤引人及存儲器寫入進行物理數(shù)據(jù)篡改。錯誤引人是指在數(shù)據(jù)被寫人或處理時進行數(shù)據(jù)篡改。存儲器寫人要使用專門的設(shè)備, 如激光
切割顯微鏡或小針探頭。該方法可以直接影響存儲器單元(Hancke 和Kuhn(2008)中的ROM攻擊就是一個很好的例子)。雖然這種方法難度大且費時, 但卻避開了軟件保護。篡改物理數(shù)據(jù)的影響取決于應(yīng)用場景和被篡改信息的危險程度。這種攻擊會造成標簽的存儲數(shù)據(jù)及被標記物體數(shù)據(jù)之間的不一致。因此, 這種攻擊可能會導(dǎo)致嚴重的醫(yī)療事故(即篡改貼在藥物上的標簽存儲數(shù)據(jù))。甚至假冒原裝產(chǎn)品。

2. 2 偽裝攻擊
       通過標簽克隆、標簽交換、標簽重新編程或電子欺騙等手段可以制作假冒的 RFID 標簽。攻擊者主要利用偽裝標簽或閱讀器使其能夠進入限制區(qū), 獲取敏感信息和訪問權(quán)限。
    1)標簽克隆:現(xiàn)已證實復(fù)制RFID標簽相當容易, 既不需要花很多錢也不需要很多專業(yè)知識, 只需要一些必需的設(shè)備, 例如, 軟件和空白標簽。德國研究員Reid 證實電子護照易克隆。如果 RFID 標簽不采取任何安全機制, 那么很容易完成將標簽的識別ID和相關(guān)數(shù)據(jù)復(fù)制到克隆標簽。然而, 如果標簽采用了安全機制, 那么應(yīng)發(fā)動更雜的攻擊以便于辨別克隆標簽與合法標簽。采用何種克隆攻擊在一定程度上取決于標簽使用的安全機制。但是, 克隆并不只是復(fù)制標簽ID及數(shù)據(jù), 還要制造一個仿照原標簽以及其特征的 RFID標簽。人眼無法區(qū)分克隆 RFID標簽和合法標簽。
     2)標簽交換:另一種偽裝攻擊是標簽交換, 方法十分簡單, 但卻是零售產(chǎn)品跟蹤和自動銷售的真正威脅。標簽交換是將某一物品的 RFID標簽撕掉, 隨后將該標簽貼在另一物品上(例如, “交換”價格標簽)。在零售商店中, 小偷挑選出高價商品和低價商品, 然后交換兩件商品的價格標簽, 這樣就可以支付較少的錢 “購買”高價商品。后端系統(tǒng)不能正確地將商品與其價格進行關(guān)聯(lián), 因此, 其信息的完整性被損害。
     3)標簽重新編程:部分標簽在構(gòu)建過程中可以直接或利用接口的方式重新編程。直接編程是在知曉密碼的前提下, 通過RF接口實現(xiàn)的。然而, 使用 ROM的標簽不能重新編程。通常, 制造假冒標簽最便宜的方式是重復(fù)利用現(xiàn)有的標簽, 如果需要, 能夠?qū)ζ渲匦戮幊?。例? 利用丟棄的標簽或者在開放市場購買同類型的標簽。
    4)電子欺騙:電子欺騙可以被看做是克隆標簽的衍生方式。它們的主要區(qū)別是在于, 電子欺騙不對 RFID 標簽進行物理復(fù)制。此外, 由于 RFID 閱讀器也可以偽造, 因此電子欺騙攻擊并不限于標簽。若要實現(xiàn)此類攻擊需要專門的設(shè)備, 該設(shè)備能夠根據(jù)數(shù)據(jù)內(nèi)容完成 RFID標簽和閱讀器的仿造。攻擊者則需要能夠訪問合法的信息渠道, 以及用于認證的協(xié)議和密鑰信息。攻擊的目的是仿造合法標簽或者閱讀器探取敏感信息和獲得未授權(quán)的服務(wù)。
2. 3 可用性
     可用資源是能夠被所有合法用戶隨時訪問并使用的資源。當RFID邊緣硬件由移除、銷毀和破壞等方式造成永久或暫時失效時, 其可用性將受到影響。
2. 3. 1 邊緣硬件永久失效
    移除或銷毀操作可能使 RFID 標簽和閱讀器永久失效。使用特定的銷毀命令也可能使 RFID標簽永久失效。永久失效的 RFID 標簽將導(dǎo)致被標記物體難以追驗因此, 造成供應(yīng)鏈團體或零售店的巨大損失, 損失的大小則取決于攻擊范圍大小。

    1)移除:RFID標簽物理安全性較差, 如果標記在物體上的標簽粘貼或者入得不夠牢固, 就很容易被移除。標簽移除無需特殊的技術(shù)就可以輕易做到。這系威脅將導(dǎo)致物體無法被追蹤, 從而引發(fā)嚴重的安全問題。幸運的是, 這種攻擊不能大規(guī)模的展開。如果無人監(jiān)管, RFID 閱讀器也可能會被移除。鑒于閱讀器體和較大, 攻擊難以實施。
    2)損壞:較低的物理安全性不僅導(dǎo)致標簽易被移除, 而且易被破壞。未被買善管理的 RFID標簽易被蓄意破壞者破壞, 蓄意破壞者可以通過化學(xué)、增加壓力甚至通過簡單地裁剪天線的方式實現(xiàn)破壞。然而, 即使 RFID 標簽沒有受到惡意礎(chǔ)壞, 它們也可能遭遇惡劣環(huán)境條件, 如極端的溫度, 或者因處理不當產(chǎn)生的磨損。此外, 濫用 RFID Zapper等設(shè)備也能致使 RFID標簽失效。該設(shè)備工作在強大的電磁場中, 強大的電磁場足以燒壞標簽的內(nèi)部電路。RFID標簽尺寸小, 易于攻擊, 然而, RFID 閱讀器也可能面臨類似的威脅。RFID 閱讀器通常存儲著重要的安全認證數(shù)據(jù), 如加密密鑰等, 因此, 極有可能成為攻擊的目標, 尤其在無人監(jiān)管時。破壞或盜取 RFID 閱讀器可能會中斷RFID通信, 干擾RFID系統(tǒng)的可用性。
   3)濫用銷毀標簽命令:有些標簽具有永久銷毀或鎖定的安全功能。由Auto- ID中心和 EPC global 創(chuàng)建的規(guī)范-KILL指令, 可以使標簽永久銷毀、無法響應(yīng)請求。若干RFID 標準利用 LOCK 指令防止標簽的非法寫人。通常預(yù)定義密碼用于 認證, 這種密碼暫時或永久的自我鎖定。實際上, 多個標簽可以共享一個密碼 (如同一個商店的所有貨物)。否則, 密碼管理就會出現(xiàn)問題, 例如大型清單需要與貨物一起運送。盡管這些功能都可用于隱私保護, 但是它們也有可能被濫用, 從而使 RFID標簽永遠無法工作并破壞RFID通信。在某些情況下, 標簽使用的密碼是低熵的(1 EPC Gen 1 標簽是8位的, EPC Gen 2 標簽是32 位的), 而且極易被破解。除此之外, 主密碼還可能鎖定和破壞大量標簽, 嚴重損害系統(tǒng)安全。
 2. 3. 2 邊緣硬件暫時失效
      極端的環(huán)境條件, 如標簽被水或冰覆蓋, 協(xié)議資源枯竭, 以及同步失效攻擊部可能導(dǎo)致 RFID邊緣硬件暫時失效。與邊緣硬件永久失效一樣, 盡管邊緣硬件失效
是暫時的, 該攻擊也能夠破壞整個RFID系統(tǒng)。最常見的狀況就是竊賊能夠在商場里免費獲得商品。
    1)協(xié)議資源枯竭:某些協(xié)議限制了標簽的閱讀次數(shù), 或者限制了標簽的閱以失敗次數(shù)。有些協(xié)議使用計數(shù)器或者是時間戳計算最大次數(shù), 當達到限值后, 標簽便不可讀。而其他協(xié)議為了保護標簽, 僅規(guī)定了其讀取次數(shù)。儲存在標記上的哈希鏈固定長度限制標簽的讀取次數(shù)。當這些標簽資源耗盡時, 它們將再一次成為追蹤攻擊的對象。OSK(Ohkubo-Suzuki-Kinoshita)協(xié)議就是鏈協(xié)議的一個例子。

     此類攻擊的另一手段是耗盡有源標簽的電池電量以縮短它們的壽命。通過在一 個頻段上反復(fù)讀取, 致使標簽資源“耗盡”, 并失效。在某些情況下, 故障是可恢
復(fù)的, 但絕大多數(shù)情況是不可以的。系統(tǒng)的中斷操作和恢復(fù)與成本相關(guān), 會產(chǎn)生經(jīng)濟影響。
    2)同步失效攻擊:某些協(xié)議利用了標簽與閱讀器/服務(wù)器之間的同步特性。這種同步采用計數(shù)器(讀取次數(shù))、時間戳或更新的假名及密鑰等形式。當雙方都沒有更新時, 對抗性讀取或更新阻止產(chǎn)生同步失效, 如協(xié)議中斷等。除非協(xié)議能夠處理或恢復(fù)其同步, 否則服務(wù)器將不能再讀取或識別標簽。即使在某些限制了同步失效的協(xié)議中, 攻擊或反復(fù)讀取(被其他系統(tǒng)讀取)也可能導(dǎo)致同步失效的發(fā)生。
3. 2. 4 威脅評估以及對策
      在邊緣硬件層中存在的威脅, 實施各類攻擊/威脅的成本, 以及易受攻擊標簽的分類。同時, 列舉了面對各類威脅可能采取的對策(解決方案)和其成本, 這方案有助于抵抗攻擊。 成本評估使用低、中、高表示, 成本應(yīng)該考慮到效率、時間、實現(xiàn)攻擊/抵御攻擊所需耗費的經(jīng)濟成本。

   成本較高的攻擊是側(cè)信道攻擊和一些高級的偽裝攻擊。在RFID 邊緣硬件層 用較高物理安全性的策略, 例如采用保安、攝像監(jiān)控、門禁等。準確地說, 側(cè)信邀輻射, 但是這樣會縮小系統(tǒng)的工作范圍。另一個成本較高的對策是增加 RFID標簽 一個很具挑戰(zhàn)性的任務(wù)。防篡改標簽也可以增加攻擊的難度。然而, 這種攻擊的成 御攻擊的對策中, 成本最高的是那此具有較強魯棒性和防篡改的特殊標簽, 以及平攻擊是最難克服的攻擊之一。抵抗這類攻擊的最合理方法是限制 RFID 系統(tǒng)的電內(nèi)部電路的復(fù)雜性, 從而增加逆向工程難度。鑒于RFID 標簽小型化的需求, 這具本較高, 不易普及。