RFID邊緣硬件層
     在RFID邊緣硬件層中, 攻擊是利用閱讀器的較差物理安全性和較低的物理操作抵抗能力來攻擊 RFID標(biāo)簽和閱讀器。主要的攻擊有側(cè)信道攻擊、物理數(shù)據(jù)篡
改、偽裝攻擊, 以及暫時(shí)或永久性硬件邊緣損壞。
 1、保密性
      為保護(hù)信息的保密性, 信息數(shù)據(jù)應(yīng)該只對(duì)授權(quán)方開放。根據(jù)系統(tǒng)保密對(duì)象不同, 系統(tǒng)保密性攻擊的方式存在很大差異。側(cè)信道攻擊若非法者有充足的時(shí)間訪問邊緣硬件, 并嘗試從中獲取信息?？梢愿鶕?jù)側(cè)信道對(duì)策措施推導(dǎo)出信息的數(shù)據(jù)和硬件操作上的錯(cuò)誤(錯(cuò)誤攻擊或小故障), 從而影響信道的信息輸出, 也可以直接讀出內(nèi)存數(shù)據(jù)(篡改)。2006 年, Berkes 對(duì)此進(jìn)行了簡(jiǎn)單概述。大部分的攻擊都需要專門設(shè)備, 并且只能依靠專業(yè)人士和設(shè)備齊全的實(shí)驗(yàn)室完成。側(cè)信道攻擊的影響隨著應(yīng)用場(chǎng)景的變化而變化, 因而該攻擊可能會(huì)讓人侵者獲取 RFID標(biāo)簽密碼, 甚至泄露標(biāo)簽到閱讀器的認(rèn)證密匙。前面提到的入侵者能夠使標(biāo)簽永久失效, 從而偷竊貴重物品。對(duì)于后面提及的密鑰泄露, 將使人侵者獲得受限區(qū)域的訪問權(quán)限, 竊取重要信息甚至引發(fā)金融欺詐。以下簡(jiǎn)單討論此類攻擊的多種方式:
     1)側(cè)信道分析:它是攻擊者在測(cè)量時(shí)延、功耗或發(fā)射信號(hào)以及輻射信息波動(dòng)時(shí)發(fā)起的非人侵式攻擊。上述測(cè)量數(shù)據(jù)是反映 RFID 設(shè)備的輸入數(shù)據(jù)和內(nèi)部狀態(tài)的重要信息。例如, 后向散射回波信號(hào)的波動(dòng)可能引起內(nèi)部電阻的相關(guān)變化。根據(jù)泄漏信息的不同所采用的應(yīng)對(duì)措施方式不同, 可區(qū)分各種側(cè)信道攻擊。如基于功耗變化, 可以區(qū)分簡(jiǎn)易功率分析(SPA)攻擊和差分功率分析(DPA)攻擊。計(jì)時(shí)器攻擊利用目標(biāo)計(jì)算速度產(chǎn)生的波動(dòng), 也可能是延遲。RFID 設(shè)備進(jìn)行加密操作時(shí)會(huì)起電磁場(chǎng)的變化, 可由差分電磁分析(DEMA)對(duì)變化進(jìn)行測(cè)量。對(duì)于后者, 可能會(huì)泄露密鑰等重要信息。2007年, Oren 和 Shamir 通過測(cè)量從標(biāo)簽到閱讀器的功滾軌跡, 獲得了特高頻標(biāo)簽的關(guān)鍵密碼, 實(shí)現(xiàn)了SPA 攻擊。同年, Hutter等人完成RFID標(biāo)簽的 DPA攻擊。精確地講, 通過功率和電磁分析完成了對(duì)高頻標(biāo)簽的硬件和軟件 AES(高級(jí)加密標(biāo)準(zhǔn))的實(shí)現(xiàn)。2008年, Plos 已證實(shí)即使是特高頻標(biāo)客地極易受到 DPA 攻擊。2009年, Hutter 等人實(shí)現(xiàn)了對(duì) RFID 設(shè)備公鑰發(fā)起了DP攻擊。

      2)故障攻擊:它是當(dāng)人侵者嘗試在操作設(shè)備期間制造錯(cuò)誤, 從而通過正常給出通道或側(cè)信道非法提取信息時(shí)發(fā)起的一種攻擊。這種攻擊可通過改變?cè)O(shè)備的輸人或工作環(huán)境條件, 如熱、冷、電磁輻射(如紫外線(UV)或X射線)、電壓、不間斷供電或磁性來達(dá)到目標(biāo)。
      3)物理篡改:人侵者能夠在不破壞其存儲(chǔ)數(shù)據(jù)的情況下, 嘗試拆散設(shè)備以恢復(fù)數(shù)據(jù)。另一種物理篡改是對(duì)特定硬件進(jìn)行針對(duì)性的操作和破壞。例如, 通過改變ROM中個(gè)別單元來改變密碼行為和密碼種子。其他入侵攻擊方式則是保留和直接讀取存儲(chǔ)單元。但電源中斷時(shí), 易失性存儲(chǔ)器的數(shù)據(jù)將會(huì)丟失。有些設(shè)備(如智能卡)檢測(cè)到攻擊時(shí), 通過刪除內(nèi)存的方式保護(hù)數(shù)據(jù)。減緩內(nèi)存損失的方法有冷卻硬件, 或者通過輻射將數(shù)據(jù)狀態(tài)永久存入內(nèi)存, 也可以快速進(jìn)入硬件, 以便在設(shè)備對(duì)攻擊有反應(yīng)前切斷保護(hù)措施。即使沒有這些成本較高的解決方法, 在斷電后也可讀取內(nèi)存。如果 RAM(隨機(jī)存取存儲(chǔ)器)長(zhǎng)時(shí)間以恒定狀態(tài)(0或1)供電,那么將產(chǎn)生所謂的“內(nèi)存剩磁感應(yīng)”, 可用于部分?jǐn)?shù)據(jù)的恢復(fù)。香去非苦

 2、 完整性
       保障信息完整性可定義為保證所有信息及相關(guān)處理方法是準(zhǔn)確和完整的。一旦認(rèn)證被避開或繞過, 完整性就被破壞。因此, 需要研究在RFID系統(tǒng)中對(duì)認(rèn)證產(chǎn)生威脅的攻擊。在邊緣硬件層中, 這一攻擊被將歸納為物理數(shù)據(jù)篡改和偽裝攻擊。
2. 1 物理數(shù)據(jù)篡改
      在RFID 系統(tǒng)中, 可通過錯(cuò)誤引人及存儲(chǔ)器寫入進(jìn)行物理數(shù)據(jù)篡改。錯(cuò)誤引人是指在數(shù)據(jù)被寫人或處理時(shí)進(jìn)行數(shù)據(jù)篡改。存儲(chǔ)器寫人要使用專門的設(shè)備, 如激光
切割顯微鏡或小針探頭。該方法可以直接影響存儲(chǔ)器單元(Hancke 和Kuhn(2008)中的ROM攻擊就是一個(gè)很好的例子)。雖然這種方法難度大且費(fèi)時(shí), 但卻避開了軟件保護(hù)。篡改物理數(shù)據(jù)的影響取決于應(yīng)用場(chǎng)景和被篡改信息的危險(xiǎn)程度。這種攻擊會(huì)造成標(biāo)簽的存儲(chǔ)數(shù)據(jù)及被標(biāo)記物體數(shù)據(jù)之間的不一致。因此, 這種攻擊可能會(huì)導(dǎo)致嚴(yán)重的醫(yī)療事故(即篡改貼在藥物上的標(biāo)簽存儲(chǔ)數(shù)據(jù))。甚至假冒原裝產(chǎn)品。

2. 2 偽裝攻擊
       通過標(biāo)簽克隆、標(biāo)簽交換、標(biāo)簽重新編程或電子欺騙等手段可以制作假冒的 RFID 標(biāo)簽。攻擊者主要利用偽裝標(biāo)簽或閱讀器使其能夠進(jìn)入限制區(qū), 獲取敏感信息和訪問權(quán)限。
    1)標(biāo)簽克隆:現(xiàn)已證實(shí)復(fù)制RFID標(biāo)簽相當(dāng)容易, 既不需要花很多錢也不需要很多專業(yè)知識(shí), 只需要一些必需的設(shè)備, 例如, 軟件和空白標(biāo)簽。德國(guó)研究員Reid 證實(shí)電子護(hù)照易克隆。如果 RFID 標(biāo)簽不采取任何安全機(jī)制, 那么很容易完成將標(biāo)簽的識(shí)別ID和相關(guān)數(shù)據(jù)復(fù)制到克隆標(biāo)簽。然而, 如果標(biāo)簽采用了安全機(jī)制, 那么應(yīng)發(fā)動(dòng)更雜的攻擊以便于辨別克隆標(biāo)簽與合法標(biāo)簽。采用何種克隆攻擊在一定程度上取決于標(biāo)簽使用的安全機(jī)制。但是, 克隆并不只是復(fù)制標(biāo)簽ID及數(shù)據(jù), 還要制造一個(gè)仿照原標(biāo)簽以及其特征的 RFID標(biāo)簽。人眼無法區(qū)分克隆 RFID標(biāo)簽和合法標(biāo)簽。
     2)標(biāo)簽交換:另一種偽裝攻擊是標(biāo)簽交換, 方法十分簡(jiǎn)單, 但卻是零售產(chǎn)品跟蹤和自動(dòng)銷售的真正威脅。標(biāo)簽交換是將某一物品的 RFID標(biāo)簽撕掉, 隨后將該標(biāo)簽貼在另一物品上(例如, “交換”價(jià)格標(biāo)簽)。在零售商店中, 小偷挑選出高價(jià)商品和低價(jià)商品, 然后交換兩件商品的價(jià)格標(biāo)簽, 這樣就可以支付較少的錢 “購(gòu)買”高價(jià)商品。后端系統(tǒng)不能正確地將商品與其價(jià)格進(jìn)行關(guān)聯(lián), 因此, 其信息的完整性被損害。
     3)標(biāo)簽重新編程:部分標(biāo)簽在構(gòu)建過程中可以直接或利用接口的方式重新編程。直接編程是在知曉密碼的前提下, 通過RF接口實(shí)現(xiàn)的。然而, 使用 ROM的標(biāo)簽不能重新編程。通常, 制造假冒標(biāo)簽最便宜的方式是重復(fù)利用現(xiàn)有的標(biāo)簽, 如果需要, 能夠?qū)ζ渲匦戮幊?。例? 利用丟棄的標(biāo)簽或者在開放市場(chǎng)購(gòu)買同類型的標(biāo)簽。
    4)電子欺騙:電子欺騙可以被看做是克隆標(biāo)簽的衍生方式。它們的主要區(qū)別是在于, 電子欺騙不對(duì) RFID 標(biāo)簽進(jìn)行物理復(fù)制。此外, 由于 RFID 閱讀器也可以偽造, 因此電子欺騙攻擊并不限于標(biāo)簽。若要實(shí)現(xiàn)此類攻擊需要專門的設(shè)備, 該設(shè)備能夠根據(jù)數(shù)據(jù)內(nèi)容完成 RFID標(biāo)簽和閱讀器的仿造。攻擊者則需要能夠訪問合法的信息渠道, 以及用于認(rèn)證的協(xié)議和密鑰信息。攻擊的目的是仿造合法標(biāo)簽或者閱讀器探取敏感信息和獲得未授權(quán)的服務(wù)。
2. 3 可用性
     可用資源是能夠被所有合法用戶隨時(shí)訪問并使用的資源。當(dāng)RFID邊緣硬件由移除、銷毀和破壞等方式造成永久或暫時(shí)失效時(shí), 其可用性將受到影響。
2. 3. 1 邊緣硬件永久失效
    移除或銷毀操作可能使 RFID 標(biāo)簽和閱讀器永久失效。使用特定的銷毀命令也可能使 RFID標(biāo)簽永久失效。永久失效的 RFID 標(biāo)簽將導(dǎo)致被標(biāo)記物體難以追驗(yàn)因此, 造成供應(yīng)鏈團(tuán)體或零售店的巨大損失, 損失的大小則取決于攻擊范圍大小。

    1)移除:RFID標(biāo)簽物理安全性較差, 如果標(biāo)記在物體上的標(biāo)簽粘貼或者入得不夠牢固, 就很容易被移除。標(biāo)簽移除無需特殊的技術(shù)就可以輕易做到。這系威脅將導(dǎo)致物體無法被追蹤, 從而引發(fā)嚴(yán)重的安全問題。幸運(yùn)的是, 這種攻擊不能大規(guī)模的展開。如果無人監(jiān)管, RFID 閱讀器也可能會(huì)被移除。鑒于閱讀器體和較大, 攻擊難以實(shí)施。
    2)損壞:較低的物理安全性不僅導(dǎo)致標(biāo)簽易被移除, 而且易被破壞。未被買善管理的 RFID標(biāo)簽易被蓄意破壞者破壞, 蓄意破壞者可以通過化學(xué)、增加壓力甚至通過簡(jiǎn)單地裁剪天線的方式實(shí)現(xiàn)破壞。然而, 即使 RFID 標(biāo)簽沒有受到惡意礎(chǔ)壞, 它們也可能遭遇惡劣環(huán)境條件, 如極端的溫度, 或者因處理不當(dāng)產(chǎn)生的磨損。此外, 濫用 RFID Zapper等設(shè)備也能致使 RFID標(biāo)簽失效。該設(shè)備工作在強(qiáng)大的電磁場(chǎng)中, 強(qiáng)大的電磁場(chǎng)足以燒壞標(biāo)簽的內(nèi)部電路。RFID標(biāo)簽尺寸小, 易于攻擊, 然而, RFID 閱讀器也可能面臨類似的威脅。RFID 閱讀器通常存儲(chǔ)著重要的安全認(rèn)證數(shù)據(jù), 如加密密鑰等, 因此, 極有可能成為攻擊的目標(biāo), 尤其在無人監(jiān)管時(shí)。破壞或盜取 RFID 閱讀器可能會(huì)中斷RFID通信, 干擾RFID系統(tǒng)的可用性。
   3)濫用銷毀標(biāo)簽命令:有些標(biāo)簽具有永久銷毀或鎖定的安全功能。由Auto- ID中心和 EPC global 創(chuàng)建的規(guī)范-KILL指令, 可以使標(biāo)簽永久銷毀、無法響應(yīng)請(qǐng)求。若干RFID 標(biāo)準(zhǔn)利用 LOCK 指令防止標(biāo)簽的非法寫人。通常預(yù)定義密碼用于 認(rèn)證, 這種密碼暫時(shí)或永久的自我鎖定。實(shí)際上, 多個(gè)標(biāo)簽可以共享一個(gè)密碼 (如同一個(gè)商店的所有貨物)。否則, 密碼管理就會(huì)出現(xiàn)問題, 例如大型清單需要與貨物一起運(yùn)送。盡管這些功能都可用于隱私保護(hù), 但是它們也有可能被濫用, 從而使 RFID標(biāo)簽永遠(yuǎn)無法工作并破壞RFID通信。在某些情況下, 標(biāo)簽使用的密碼是低熵的(1 EPC Gen 1 標(biāo)簽是8位的, EPC Gen 2 標(biāo)簽是32 位的), 而且極易被破解。除此之外, 主密碼還可能鎖定和破壞大量標(biāo)簽, 嚴(yán)重?fù)p害系統(tǒng)安全。
 2. 3. 2 邊緣硬件暫時(shí)失效
      極端的環(huán)境條件, 如標(biāo)簽被水或冰覆蓋, 協(xié)議資源枯竭, 以及同步失效攻擊部可能導(dǎo)致 RFID邊緣硬件暫時(shí)失效。與邊緣硬件永久失效一樣, 盡管邊緣硬件失效
是暫時(shí)的, 該攻擊也能夠破壞整個(gè)RFID系統(tǒng)。最常見的狀況就是竊賊能夠在商場(chǎng)里免費(fèi)獲得商品。
    1)協(xié)議資源枯竭:某些協(xié)議限制了標(biāo)簽的閱讀次數(shù), 或者限制了標(biāo)簽的閱以失敗次數(shù)。有些協(xié)議使用計(jì)數(shù)器或者是時(shí)間戳計(jì)算最大次數(shù), 當(dāng)達(dá)到限值后, 標(biāo)簽便不可讀。而其他協(xié)議為了保護(hù)標(biāo)簽, 僅規(guī)定了其讀取次數(shù)。儲(chǔ)存在標(biāo)記上的哈希鏈固定長(zhǎng)度限制標(biāo)簽的讀取次數(shù)。當(dāng)這些標(biāo)簽資源耗盡時(shí), 它們將再一次成為追蹤攻擊的對(duì)象。OSK(Ohkubo-Suzuki-Kinoshita)協(xié)議就是鏈協(xié)議的一個(gè)例子。

     此類攻擊的另一手段是耗盡有源標(biāo)簽的電池電量以縮短它們的壽命。通過在一 個(gè)頻段上反復(fù)讀取, 致使標(biāo)簽資源“耗盡”, 并失效。在某些情況下, 故障是可恢
復(fù)的, 但絕大多數(shù)情況是不可以的。系統(tǒng)的中斷操作和恢復(fù)與成本相關(guān), 會(huì)產(chǎn)生經(jīng)濟(jì)影響。
    2)同步失效攻擊:某些協(xié)議利用了標(biāo)簽與閱讀器/服務(wù)器之間的同步特性。這種同步采用計(jì)數(shù)器(讀取次數(shù))、時(shí)間戳或更新的假名及密鑰等形式。當(dāng)雙方都沒有更新時(shí), 對(duì)抗性讀取或更新阻止產(chǎn)生同步失效, 如協(xié)議中斷等。除非協(xié)議能夠處理或恢復(fù)其同步, 否則服務(wù)器將不能再讀取或識(shí)別標(biāo)簽。即使在某些限制了同步失效的協(xié)議中, 攻擊或反復(fù)讀取(被其他系統(tǒng)讀取)也可能導(dǎo)致同步失效的發(fā)生。
3. 2. 4 威脅評(píng)估以及對(duì)策
      在邊緣硬件層中存在的威脅, 實(shí)施各類攻擊/威脅的成本, 以及易受攻擊標(biāo)簽的分類。同時(shí), 列舉了面對(duì)各類威脅可能采取的對(duì)策(解決方案)和其成本, 這方案有助于抵抗攻擊。 成本評(píng)估使用低、中、高表示, 成本應(yīng)該考慮到效率、時(shí)間、實(shí)現(xiàn)攻擊/抵御攻擊所需耗費(fèi)的經(jīng)濟(jì)成本。

   成本較高的攻擊是側(cè)信道攻擊和一些高級(jí)的偽裝攻擊。在RFID 邊緣硬件層 用較高物理安全性的策略, 例如采用保安、攝像監(jiān)控、門禁等。準(zhǔn)確地說, 側(cè)信邀輻射, 但是這樣會(huì)縮小系統(tǒng)的工作范圍。另一個(gè)成本較高的對(duì)策是增加 RFID標(biāo)簽 一個(gè)很具挑戰(zhàn)性的任務(wù)。防篡改標(biāo)簽也可以增加攻擊的難度。然而, 這種攻擊的成 御攻擊的對(duì)策中, 成本最高的是那此具有較強(qiáng)魯棒性和防篡改的特殊標(biāo)簽, 以及平攻擊是最難克服的攻擊之一。抵抗這類攻擊的最合理方法是限制 RFID 系統(tǒng)的電內(nèi)部電路的復(fù)雜性, 從而增加逆向工程難度。鑒于RFID 標(biāo)簽小型化的需求, 這具本較高, 不易普及。