ทำความเข้าใจการเข้ารหัส RFID สำหรับผู้ที่ไม่ใช่วิศวกร

การเข้ารหัส RFID อธิบายแบบเข้าใจง่าย

การเข้ารหัส RFID ฟังดูน่ากลัวในครั้งแรกที่ได้ยิน ผู้ซื้อหลายราย ผู้จัดการอาคาร ผู้บริหารโรงเรียน และทีมปฏิบัติการมักคิดว่ามันเป็นเรื่องของห้องที่เต็มไปด้วยวิศวกรที่นั่งจ้องบันทึกแพ็กเก็ตและ datasheet ของชิป แต่ไม่ใช่เลย คุณไม่จำเป็นต้องเป็นวิศวกรเพื่อเข้าใจว่าการเข้ารหัส RFID ทำอะไร ทำไมจึงสำคัญ และผู้คนมักประสบปัญหาตรงไหนเมื่อซื้อระบบบัตรผิดประเภท

วิธีเริ่มต้นที่ง่ายที่สุดคือเริ่มจากคำถามธรรมดาๆ เมื่อแตะบัตร RFID ที่เครื่องอ่าน สิ่งที่ถูกส่งไปคืออะไรกันแน่ ในบางระบบ คำตอบก็ไม่ต่างจากตัวเลขที่มองเห็นได้ บัตรแสดงตัวระบุ เครื่องอ่านตรวจสอบว่าตัวระบุนั้นได้รับอนุญาตหรือไม่ แล้วประตูก็เปิดหรือธุรกรรมก็สำเร็จ การตั้งค่าแบบนั้นใช้ได้ แต่ไม่ได้แข็งแกร่งเป็นพิเศษ หากมีใครสามารถดักจับตัวเลขนั้นและคัดลอกได้ ระบบอาจยอมรับสำเนาเหมือนกับต้นฉบับ

การเข้ารหัส RFID เปลี่ยนบทสนทนานั้น แทนที่จะส่งข้อมูลในรูปแบบง่ายๆ ที่อ่านได้ บัตรและเครื่องอ่านจะใช้วิธีการเข้ารหัสลับเพื่อปกป้องสิ่งที่แลกเปลี่ยนกัน พูดง่ายๆ คือการเข้ารหัสจะทำให้ข้อมูลที่มีความหมายกลายเป็นสิ่งที่บุคคลภายนอกไม่ควรเข้าใจ เว้นแต่พวกเขามีคีย์ที่ถูกต้อง คีย์นั้นไม่ใช่กุญแจโลหะเหมือนที่อยู่ในกระเป๋าของคุณ แต่เป็นข้อมูลดิจิทัลที่ใช้ล็อกและปลดล็อกข้อมูลที่ได้รับการป้องกัน

ลองคิดแบบนี้ ระบบ RFID ที่ไม่เข้ารหัสก็เหมือนการเขียนรหัสสำนักงานของคุณบนกระดาษโน้ตแล้วโชว์ที่ประตู ส่วนระบบ RFID ที่เข้ารหัสก็เหมือนบทสนทนาส่วนตัวที่ทั้งสองฝ่ายพิสูจน์ว่าตนรู้ความลับโดยไม่ต้องตะโกนความลับนั้นข้ามโถงทางเดิน นั่นไม่ใช่คำจำกัดความทางเทคนิคที่สมบูรณ์แบบ แต่สำหรับผู้ที่ไม่ใช่วิศวกร มันคือแบบจำลองทางความคิดที่ถูกต้อง

เรื่องนี้สำคัญเพราะผู้ซื้อจำนวนมากค้นหาคำอย่าง RFID encryption explained, secure RFID บัตร, encrypted RFID access บัตร, RFID บัตร cloning prevention และ RFID data security โดยหวังจะพบผลิตภัณฑ์วิเศษเพียงหนึ่งเดียว แต่ในความเป็นจริง การเข้ารหัสเป็นเพียงส่วนหนึ่งของแบบจำลองความเชื่อมั่นที่ใหญ่กว่า บัตรไม่ได้ปลอดภัยโดยอัตโนมัติเพียงเพราะเป็นแบบไร้สัมผัส และบัตรก็ไม่ได้ไม่ปลอดภัยโดยอัตโนมัติเพียงเพราะใช้ RFID ความปลอดภัยขึ้นอยู่กับว่าบัตรเก็บอะไรไว้ เครื่องอ่านตรวจสอบอย่างไร คีย์ถูกจัดการอย่างเหมาะสมหรือไม่ และส่วนที่เหลือของระบบมีวินัยหรือไม่

บริษัทอสังหาริมทรัพย์แห่งหนึ่งเรียนรู้เรื่องนี้ในแบบที่ค่อนข้างไม่สบายใจ พวกเขาได้ติดตั้งบัตรไร้สัมผัสเมื่อหลายปีก่อนสำหรับการเข้าอพาร์ตเมนต์และการเข้าที่จอดรถ ฝ่ายบริหารบอกผู้เช่าอยู่เสมอว่าอาคารใช้ RFID ผู้พักอาศัยจึงคิดว่าระบบทันสมัยและปลอดภัย มันทันสมัยเมื่อเทียบกับกุญแจโลหะ แต่บัตรเหล่านั้นอ้างอิงจากตัวระบุแบบคงที่ง่ายๆ หลังจากมีเหตุการณ์เข้าลานจอดรถที่อธิบายไม่ได้หลายครั้ง บริษัทก็ค้นพบว่ามีการใช้งานข้อมูลรับรองที่ถูกคัดลอก ปัญหาไม่ใช่ RFID เสีย แต่เป็นเพราะอาคารใช้ข้อมูลรับรอง RFID ประเภทที่อ่อนแอซึ่งแทบไม่มีการป้องกันจริง

นั่นคือหนึ่งในความเข้าใจผิดที่ใหญ่ที่สุดในตลาด RFID ไม่ใช่ระดับความปลอดภัยเพียงระดับเดียว แต่เป็นตระกูลเทคโนโลยีที่กว้าง บัตร ระยะใกล้ ความถี่ต่ำรุ่นเก่าบางรุ่นติดตั้งง่ายแต่คัดลอกได้ง่ายกว่าเพราะมักอาศัย ID แบบคงที่ สมาร์ทการ์ดความถี่สูงบางรุ่นและ เครื่องอ่าน RFID ที่ทันสมัยรองรับการเข้ารหัสจริง การพิสูจน์ตัวตนซึ่งกันและกัน ข้อมูลแอปพลิเคชันที่ปลอดภัย และการจัดการคีย์ที่ดีกว่า เมื่อผู้คนถามว่า RFID ปลอดภัยหรือไม่ คำตอบที่ซื่อสัตย์คือเวอร์ชันที่ปลอดภัยและไม่ปลอดภัยมักถูกขายภายใต้ป้ายชื่อทั่วไปเดียวกัน

การเข้ารหัสทำอะไรจริงๆ ภายในระบบ RFID

แล้วการเข้ารหัสทำอะไรจริงๆ ภายในระบบ RFID?

ในระดับพื้นฐานที่สุด การเข้ารหัสปกป้องข้อมูลเพื่อไม่ให้บุคคลที่ดักจับข้อมูลนั้นเข้าใจหรือนำกลับมาใช้ซ้ำได้ง่าย ในระบบ RFID ขั้นสูงกว่า การเข้ารหัสช่วยได้หลายวิธี มันสามารถปกป้องข้อมูลที่เก็บไว้บนบัตร ปกป้องบทสนทนาระหว่างบัตรกับเครื่องอ่าน ช่วยให้บัตรและเครื่องอ่านตรวจสอบซึ่งกันและกันก่อนที่จะมีการแลกเปลี่ยนข้อมูลที่ละเอียดอ่อน และยังลดคุณค่าของข้อมูลที่ถูกดักจับได้ เพราะสิ่งที่ถูกดักจับมานั้นไม่สามารถนำกลับมาใช้ซ้ำได้โดยตรง

ประเด็นหลังนี้สำคัญ ในระบบ RFID ที่อ่อนแอ หากผู้โจมตีดักจับหมายเลขบัตรได้ พวกเขาอาจสามารถเล่นซ้ำหรือคัดลอกได้ ในระบบที่เข้ารหัสดีกว่า การดักจับช่วงเวลาหนึ่งของการสื่อสารไม่ได้ให้สิ่งที่เป็นประโยชน์แก่ผู้โจมตีเสมอไป พวกเขาอาจเห็นทราฟฟิก แต่ไม่ใช่ทราฟฟิกที่มีความหมายซึ่งนำไปสร้างสำเนาที่ใช้งานได้

คลินิกเอกชนแห่งหนึ่งเห็นความแตกต่างนี้หลังจากที่การตรวจสอบด้านการปฏิบัติตามข้อกำหนดตั้งข้อกังวลเกี่ยวกับพื้นที่เฉพาะพนักงาน บัตรเก่าของพวกเขาใช้งานสะดวก แต่ใครก็ตามที่คัดลอกข้อมูลรับรองที่ถูกต้องอาจเข้าถึงที่เก็บเวชระเบียนและตู้ยาได้ เมื่อคลินิกอัปเกรดเป็นสมาร์ทการ์ดที่เข้ารหัส เครื่องอ่านก็ไม่เชื่อถือตัวเลขที่มองเห็นได้เพียงอย่างเดียวอีกต่อไป ข้อมูลรับรองแต่ละใบมีข้อมูลที่ได้รับการป้องกัน และการโต้ตอบระหว่างบัตรกับเครื่องอ่านต้องมีการตรวจสอบด้วยการเข้ารหัส จากมุมมองของคลินิก กระบวนการที่มองเห็นแทบไม่เปลี่ยน พนักงานยังคงแตะบัตร แต่เบื้องหลังนั้น ระดับความเชื่อมั่นดีขึ้นอย่างมาก

ทำไมคีย์การเข้ารหัสจึงสำคัญ

หากคุณไม่ใช่สายเทคนิค คุณอาจสงสัยว่าคีย์ทำอะไรจริงๆ ในเรื่องทั้งหมดนี้ วิธีคิดที่มีประโยชน์เกี่ยวกับคีย์การเข้ารหัสคือมองมันเป็นความลับที่ใช้ร่วมกันเพื่อพิสูจน์ตัวตนหรือปลดล็อกข้อมูลที่ได้รับการป้องกัน หากบัตรและเครื่องอ่านมีคีย์ที่ถูกต้องทั้งคู่ พวกเขาก็สามารถทำการแลกเปลี่ยนที่ปลอดภัยได้ หากบัตรปลอมไม่มีวัสดุคีย์ที่ถูกต้อง มันก็ควรล้มเหลว นั่นคือเหตุผลที่การจัดการคีย์เป็นเรื่องใหญ่ แม้แต่การเข้ารหัสที่แข็งแกร่งก็อาจถูกบั่นทอนได้หากจัดการคีย์อย่างไม่ระมัดระวัง

ผู้ประกอบการคลังสินค้าแห่งหนึ่งพบเรื่องนี้หลังจากลงทุนในสิ่งที่เอกสารการขายบรรยายว่าเป็นข้อมูลรับรอง RFID ที่ปลอดภัย บนกระดาษ การติดตั้งดูแข็งแกร่ง แต่ในทางปฏิบัติ ผู้ติดตั้งใช้โครงสร้างคีย์เดียวกันซ้ำในวงกว้างเกินไปและปล่อยให้บางส่วนของขั้นตอนการลงทะเบียนไม่รัดกุม ผลลัพธ์ไม่ใช่การแตกหักของการเข้ารหัสอย่างรุนแรง แต่เป็นการทำให้โปรแกรมทั้งหมดอ่อนแอลงซึ่งป้องกันได้ เมื่อบริษัทกระชับกฎการออกบัตร แยกกลุ่มข้อมูลรับรอง และทบทวนวิธีการโหลดคีย์ ระบบก็เริ่มทำงานเหมือนการออกแบบที่ปลอดภัยซึ่งพวกเขาคิดว่าซื้อมาตั้งแต่แรก

นี่คือจุดที่ผู้ที่ไม่ใช่วิศวกรมักถูกคำศัพท์ทำให้เข้าใจผิด คุณจะได้ยินคำอย่าง encrypted chip, secure บัตร, advanced credential หรือ protected RFID แท็ก คำเหล่านี้อาจมีความหมายจริง แต่อาจถูกใช้อย่างหลวมๆ เช่นกัน สิ่งที่คุณต้องการรู้ไม่ใช่ว่าโบรชัวร์บอกว่าปลอดภัยหรือไม่ แต่คุณต้องการรู้ว่าอะไรจริงๆ ที่ได้รับการป้องกัน ใช้อัลกอริทึมหรือแพลตฟอร์มอะไร บัตรรองรับการพิสูจน์ตัวตนซึ่งกันและกันหรือไม่ คีย์ถูก diversified หรือไม่ และระบบตรวจสอบมากกว่าแค่ UID ง่ายๆ หรือไม่

ความเข้าใจผิดทั่วไปเกี่ยวกับความปลอดภัยของ RFID

หมายเลขบัตรที่ไม่ซ้ำกันไม่เหมือนกับความปลอดภัย

คำถามเรื่อง UID สมควรได้รับความสนใจเป็นพิเศษ ชิป RFID หลายรุ่นมีตัวระบุที่ไม่ซ้ำกัน ซึ่งมักเรียกว่า UID หรือหมายเลขซีเรียล บางคนคิดว่าหากบัตรมีหมายเลขที่ไม่ซ้ำกัน หมายเลขนั้นก็เพียงพอสำหรับความปลอดภัย แต่ไม่ใช่ หมายเลขที่ไม่ซ้ำกันมีประโยชน์สำหรับการทำสินค้าคงคลังหรือการระบุตัวตน แต่หากระบบควบคุมการเข้า-ออกของคุณเชื่อถือหมายเลขนั้นเพียงอย่างเดียว ระดับความปลอดภัยก็อาจยังอ่อนแอ ความแตกต่างนี้คล้ายกับความแตกต่างระหว่างป้ายทะเบียนรถกับการตรวจสอบตัวตนที่ผ่านการพิสูจน์แล้ว ป้ายอาจไม่ซ้ำกัน แต่ใครก็มองเห็นได้ ความปลอดภัยที่แท้จริงมักต้องการมากกว่าการมองเห็นและความไม่ซ้ำกัน

เขตการศึกษาแห่งหนึ่งเคยเลือกโปรแกรมบัตร RFID สำหรับการเช็คชื่อ การจ่ายเงินในโรงอาหาร และการเข้าถึงหลังเลิกเรียน ทีมจัดซื้อคิดว่าการเข้ารหัสสำคัญเฉพาะกับยอดเงินชำระ ไม่ใช่ส่วนที่เป็นตัวตนของบัตร ในระหว่างการทดสอบ ผู้ขายแสดงให้เห็นว่าการตั้งค่าที่อ่อนแอแบบหนึ่งเปิดเผยการพึ่งพาตัวระบุที่อ่านได้มากเกินไปอย่างไร เขตการศึกษาจึงเปลี่ยนทิศทางและเลือกแพลตฟอร์มที่ฟังก์ชันละเอียดอ่อนขึ้นอยู่กับข้อมูลแอปพลิเคชันที่ได้รับการป้องกัน ไม่ใช่แค่หมายเลขบัตร การตัดสินใจนั้นทำให้พวกเขาได้ความเป็นส่วนตัวที่ดีขึ้น การควบคุมที่ดีขึ้น และปัญหาน้อยลงเมื่อภายหลังเพิ่มฟีเจอร์ห้องสมุดและการขนส่ง

การพิสูจน์ตัวตนซึ่งกันและกันเพิ่มความเชื่อมั่นอีกชั้นหนึ่ง

อีกคำที่ควรค่าแก่การเข้าใจคือการพิสูจน์ตัวตนซึ่งกันและกัน ในระบบง่ายๆ เครื่องอ่านตรวจสอบบัตร ในระบบที่แข็งแกร่งกว่า บัตรก็ตรวจสอบเครื่องอ่านด้วย ฟังดูอาจเกินจำเป็น แต่มันสำคัญ หากเครื่องอ่านปลอมหรือเครื่องอ่านที่ไม่หวังดีพยายามโต้ตอบกับบัตรที่เข้ารหัสซึ่งออกแบบมาอย่างดี บัตรก็ไม่ควรเปิดเผยข้อมูลที่ได้รับการป้องกันอย่างง่ายๆ กล่าวอีกนัยหนึ่ง บัตรไม่ได้เชื่อถือเครื่องอ่านทุกเครื่องที่ถามคำถามอย่างไม่ลืมหูลืมตา สำหรับผู้ที่ไม่ใช่วิศวกร นี่คือหนึ่งในสัญญาณที่ชัดเจนที่สุดว่าคุณกำลังดูสถาปัตยกรรมข้อมูลรับรองที่จริงจังกว่า

พื้นที่ทำงานร่วม (co-working space) แห่งหนึ่งประสบปัญหาเพราะอัปเกรดบัตรโดยไม่ได้อัปเกรดเครื่องอ่านอย่างเต็มที่ ประตูบางบานใช้เครื่องอ่านที่แข็งแกร่งกว่าซึ่งรองรับการพิสูจน์ตัวตนที่เหมาะสม บานอื่นยังคงยอมรับการโต้ตอบที่อ่อนแอกว่าในช่วงการเปลี่ยนผ่านที่ยุ่งเหยิง ผู้เช่าเห็นป้ายแบรนด์เดียวและคิดว่าระดับความปลอดภัยสม่ำเสมอทั่วทั้งอาคาร แต่ในความเป็นจริง รูปแบบประตูที่อ่อนแอที่สุดที่ยังยอมรับได้เป็นตัวกำหนดความเสี่ยงในทางปฏิบัติ นั่นคือความผิดพลาดคลาสสิกในการเปลี่ยนผ่าน การเข้ารหัสมีประโยชน์เท่ากับความเต็มใจของระบบที่จะบังคับใช้มันอย่างสม่ำเสมอเท่านั้น

ผู้คนยังถามด้วยว่าการเข้ารหัสทำให้ RFID แฮ็กไม่ได้หรือไม่ ไม่ใช่ นั่นเป็นมาตรฐานที่ผิด ในงานด้านความปลอดภัย คำว่าเป็นไปไม่ได้ไม่ใช่คำที่สมจริง คำถามที่ดีกว่าคือการเข้ารหัสทำให้การละเมิดยากขึ้น แพงขึ้น และไม่Practical สำหรับผู้โจมตีทั่วไปหรือไม่ บัตรความปลอดภัยต่ำพื้นฐานอาจถูกคัดลอกด้วยเครื่องมือราคาถูกและความเชี่ยวชาญน้อยที่สุด ข้อมูลรับรองสมาร์ทที่เข้ารหัสและนำไปใช้อย่างดีสามารถย้ายการโจมตีจากการคัดลอกแบบสบายๆ ไปสู่หมวดหมู่ที่ยากขึ้นมาก ความแตกต่างนั้นคือสิ่งที่ผู้ซื้อจ่ายเงินจริงๆ

โรงแรมบูติกแห่งหนึ่งเข้าใจเรื่องนี้หลังจากแขก complained เกี่ยวกับความผิดปกติในการเข้าห้องระหว่างการปรับปรุง โรงแรมได้นำบัตร บัตรกุญแจโรงแรมแบบไร้สัมผัสมาใช้ แต่ทางเข้าบริการบางแห่งและทางเดินพนักงานยังคงใช้เครื่องอ่านรุ่นเก่าที่อ่อนแอกว่า ข้อมูลรับรองพนักงานที่ถูกคัดลอกสร้างความเสี่ยงมากกว่าที่ระบบบัตรแขกที่สวยงามจะลดได้ เมื่อโรงแรมเปลี่ยนมาใช้ข้อมูลรับรองที่เข้ารหัสเป็นมาตรฐานและเปลี่ยนเครื่องอ่านให้เสร็จแทนที่จะยืดเยื้อการเปลี่ยนผ่าน ปัญหาก็สงบลงในที่สุด บทเรียนนั้นง่าย การปรับปรุงให้ทันสมัยเพียงบางส่วนมักฟังดูมีประสิทธิภาพ แต่อาจทิ้งช่องโหว่ที่น่าอายไว้ได้

การเข้ารหัสยังต้องมีวินัยในการปฏิบัติงานที่ดี

การเข้ารหัสไม่ได้แก้ปัญหาทุกอย่างได้ด้วยตัวเอง บัตร RFID ที่ปลอดภัยไม่สามารถหยุดการตามเข้าประตูได้ ไม่สามารถหยุดพนักงานต้อนรับจากการออกข้อมูลรับรองโดยไม่มีการอนุมัติที่เหมาะสม ไม่สามารถหยุดใครจากการแบ่งปันบัตรกับเพื่อนร่วมงาน ไม่สามารถชดเชยประตูที่ถูกค้ำเปิดระหว่างการส่งของหรือฐานข้อมูลการเข้าถึงที่ไม่เคยถูกทำความสะอาดได้ นี่คือเหตุผลที่ผู้ซื้อที่มีประสบการณ์มองความปลอดภัยของข้อมูลรับรองและวินัยในการปฏิบัติงานควบกันไป

ห้องปฏิบัติการไบโอเทคแห่งหนึ่งลงทุนในบัตรที่เข้ารหัสแข็งแกร่งเพราะต้องจัดการต้นแบบที่ละเอียดอ่อนและสูตรที่จำกัด การเลือกเทคโนโลยีนั้นดี แต่แผนกหนึ่งเริ่มให้ยืมบัตรระหว่างกะกลางคืนเพื่อหลีกเลี่ยงความล่าช้าเมื่อผู้รับเหมาชั่วคราวมาสาย ระบบบัตรไม่ได้ล้มเหลว แต่พฤติกรรมของมนุษย์ต่างหาก หลังจากห้องปฏิบัติการกระชับขั้นตอนการออกบัตรและเชื่อมโยงข้อมูลรับรองชั่วคราวกับการอนุมัติที่มีเวลาจำกัด การเข้ารหัสราคาแพงก็ให้การป้องกันในทางปฏิบัติที่ผู้บริหารคิดว่าซื้อไปแล้วในที่สุด

สำหรับผู้ที่ไม่ใช่วิศวกร วิธีที่ดีที่สุดวิธีหนึ่งในการประเมินบทสนทนากับผู้ขายคือสังเกตว่าพวกเขาอธิบายเรื่องการคัดลอกอย่างไร หากคำตอบคลุมเครือ มั่นใจเกินไป หรือเต็มไปด้วยวลีอย่าง military grade โดยไม่มีรายละเอียด ต้องระวัง คำอธิบายที่น่าเชื่อถือควรทำให้ชัดเจนว่าระบบพึ่งพาตัวระบุแบบคงที่หรือไม่ มีการใช้หน่วยความจำที่ได้รับการป้องกันหรือไม่ ข้อมูลรับรองถูก diversified หรือไม่ และอะไรหยุดการเล่นซ้ำหรือการทำสำเนาในสถานการณ์ภัยคุกคามปกติ คุณไม่จำเป็นต้องเข้าใจชื่ออัลกอริทึมทุกตัวเพื่อสังเกตว่าคำอธิบายนั้นเป็นรูปธรรมหรือแค่ขัดเงา

โรงงานผลิตแห่งหนึ่งทำเช่นนั้นจริงๆ ระหว่างการจัดซื้อ ผู้ขายรายหนึ่งพูดซ้ำๆ ว่า บัตร RFID ของตนปลอดภัยเพราะเป็นแบบไร้สัมผัสและเข้ารหัส ผู้ขายอีกรายหนึ่งชะลอลงและอธิบายว่าข้อมูลอยู่ที่ไหน เครื่องอ่านตรวจสอบอะไร คีย์ถูกจัดการอย่างไร และโหมดเก่าจะถูกปิดอย่างไรระหว่างการเปลี่ยนผ่าน โรงงานเลือกผู้ขายรายที่สอง แม้การนำเสนอจะดูไม่หวือหวาเท่า หกเดือนต่อมา ผู้จัดการฝ่ายความปลอดภัยกล่าวว่าสัญญาณที่ดีที่สุดว่าพวกเขาตัดสินใจถูกคือระบบกลายเป็นเรื่องน่าเบื่อ มันแค่ทำงานได้ และมีช่องว่างสำหรับการเดาน้อยลง

ต้นทุน การเปลี่ยนผ่าน และความเสี่ยงระยะยาว

ยังมีบทสนทนาเรื่องต้นทุนเกี่ยวกับการเข้ารหัส RFID ที่ผู้ซื้อควรเข้าหาอย่างระมัดระวัง ระบบที่เข้ารหัสแข็งแกร่งกว่ามักมีราคาสูงกว่าบัตร ระยะใกล้ ระดับเริ่มต้น บัตรอาจมีราคาสูงกว่า เครื่องอ่านอาจต้องอัปเกรด การลงทะเบียนอาจต้องถูกควบคุมมากขึ้น การเปลี่ยนผ่านอาจต้องมีการวางแผนที่ดีขึ้น แต่ต้นทุนไม่ควรวัดจากราคาบัตรเพียงอย่างเดียว คำถามจริงๆ คือการใช้งานระบบที่อ่อนแอซึ่งสามารถถูกคัดลอก แบ่งปัน หรือตรวจสอบได้ไม่ดีต่อไปมีต้นทุนเท่าไร ข้อมูลรับรองราคาถูกสามารถกลายเป็นราคาแพงได้อย่างเงียบเชียบ

บริษัทการเงินระดับภูมิภาคแห่งหนึ่งมองเรื่องนี้ผ่านมุมมองความเสี่ยงแทนมุมมองต้นทุนต่อหน่วย บัตรพื้นฐานมีราคาถูกกว่าในตอนแรก แต่บริษัทมีห้องข้อมูลละเอียดอ่อน พนักงานทำความสะอาดนอกเวลา และผู้ขายที่หมุนเวียน บริษัทจึงนำบัตรที่เข้ารหัสมาใช้สำหรับการเข้าถึงปกติ แล้วเพิ่มบัตรพร้อม PIN สำหรับพื้นที่การเงิน ผลลัพธ์ไม่ใช่ละครความปลอดภัย แต่เป็นแบบจำลองแบบหลายชั้นที่การทำบัตรหายไม่ได้หมายความว่าจะเข้าถึงห้องที่อยู่หลังบัตรนั้นได้โดยอัตโนมัติ นั่นคือจุดที่ RFID ที่เข้ารหัสมักมีประโยชน์ที่สุด มันเสริมความแข็งแกร่งให้ชั้นหนึ่งพร้อมกับทำให้การป้องกันแบบหลายปัจจัยเป็นไปได้จริงมากขึ้นในจุดที่ความเสี่ยงสมเหตุสมผล

หากคุณเพิ่งเริ่มสนใจหัวข้อนี้ คุณอาจได้ยินชื่อตระกูลบัตรและแพลตฟอร์มต่างๆ บางชนิดออกแบบโดยใช้วิธีการเข้ารหัสที่แข็งแกร่งกว่า บางชนิดเก่ากว่าและแข็งแกร่งน้อยกว่า บางชนิดสามารถปลอดภัยได้เมื่อนำไปใช้อย่างถูกต้อง แต่มักถูกติดตั้งในแบบที่อ่อนแอกว่า คุณไม่จำเป็นต้องจดจำแคตตาล็อกผลิตภัณฑ์เพื่อตัดสินใจได้ดี แต่คุณต้องถามว่าระบบที่เสนอมาทันสมัย ได้รับการสนับสนุน ผู้ติดตั้งเข้าใจดี และเหมาะสมกับระดับภัยคุกคามของคุณหรือไม่ สำนักงานเล็กๆ อาจไม่ต้องการสถาปัตยกรรมเดียวกับห้องยาในโรงพยาบาล ศูนย์ข้อมูล หรือสถานวิจัย แต่แทบไม่มีใครได้ประโยชน์จากการเข้าใจผิดว่าข้อมูลรับรองเก่าที่สะดวกสบายคือความปลอดภัยที่ทันสมัยจริง

ประเด็นละเอียดอ่อนประเด็นหนึ่งที่สำคัญมากคือการเข้ารหัสส่งผลต่อความเชื่อมั่นเมื่อเวลาผ่านไปอย่างไร ในระบบบัตรที่อ่อนแอ คุณกำลังเดิมพันว่าไม่มีใครมารบกวนคัดลอกข้อมูลรับรอง ในระบบที่เข้ารหัสแข็งแกร่งกว่า คุณกำลังสร้างการต้านทานไว้ล่วงหน้าแม้มีคนมารบกวน การเปลี่ยนแปลงนี้สำคัญเพราะภัยคุกคามเปลี่ยนไป เครื่องมือถูกลง ความรู้แพร่กระจาย พนักงานเข้าและออก ผู้รับเหมาเห็นมากกว่าที่ควร ระบบที่ดูยอมรับได้เมื่อทศวรรษก่อนอาจเสื่อมสภาพได้ไม่ดีแม้ยังไม่มีอะไร dramatic เกิดขึ้น

โปรแกรมหอพักมหาวิทยาลัยแห่งหนึ่งพบว่าตัวเองอยู่ในสถานการณ์นั้นพอดี ผู้บริหารไม่มีเหตุการณ์สำคัญในบันทึก จึงคิดว่าแพลตฟอร์มบัตรเก่ายังใช้ได้ ระหว่างการปรับปรุงมหาวิทยาลัยให้ทันสมัยในวงกว้าง ที่ปรึกษาของพวกเขาแสดงให้เห็นว่าการคัดลอกข้อมูลรับรองจะบั่นทอนความปลอดภัยของหอพักได้ง่ายเพียงใด มหาวิทยาลัยเปลี่ยนมาใช้สมาร์ทการ์ดที่เข้ารหัส นำการเพิกถอนที่รวดเร็วขึ้นสำหรับบัตรที่หายมาใช้ และทำความสะอาดกฎการเข้าถึงชั่วคราวสำหรับกิจกรรมและทีมซ่อมบำรุง ไม่มีอะไรในประสบการณ์ของนักศึกษาที่กลายเป็นเรื่องยากขึ้น แต่ท่าทีด้านความปลอดภัยกลับพึ่งพาโชคน้อยลงมาก

สิ่งที่ผู้ที่ไม่ใช่วิศวกรควรจดจำ

แล้วผู้ที่ไม่ใช่วิศวกรควรจดจำอะไรหลังจากทั้งหมดนี้?

ประการแรก การเข้ารหัส RFID คือการปกป้องข้อมูลบัตรและการสื่อสารระหว่างบัตรกับเครื่องอ่านเพื่อให้บุคคลภายนอกไม่สามารถคัดลอก อ่าน หรือนำข้อมูลละเอียดอ่อนกลับมาใช้ซ้ำได้ง่าย ประการที่สอง ไม่ใช่บัตร RFID ทุกใบที่ใช้การเข้ารหัสแข็งแกร่ง และคำว่า RFID บัตร เพียงอย่างเดียวแทบไม่บอกอะไรเกี่ยวกับความปลอดภัยจริง ประการที่สาม หมายเลขบัตรที่ไม่ซ้ำกันไม่เหมือนกับข้อมูลรับรองที่ผ่านการพิสูจน์ตัวตนอย่างปลอดภัย ประการที่สี่ การจัดการคีย์สำคัญพอๆ กับความสามารถของชิป ประการที่ห้า การเข้ารหัสช่วยได้มาก แต่ยังต้องมีแนวปฏิบัติที่ดีในการดำเนินงานเกี่ยวกับการออกบัตร การเพิกถอน การอัปเกรดเครื่องอ่าน และพฤติกรรมทางกายภาพ

หากคุณกำลังซื้อระบบเข้า-ออกด้วย RFID ระบบ ID พนักงาน หรือโปรแกรมข้อมูลรับรองการชำระเงิน คำถามในทางปฏิบัติไม่ใช่แค่บัตรเหล่านี้ใช้การเข้ารหัสหรือไม่ คำถามที่ดีกว่าคือระบบใช้การเข้ารหัสอย่างไร คีย์อยู่ที่ไหน เครื่องอ่านตรวจสอบอะไร บัตรที่หายถูกเพิกถอนอย่างไร และยังมีโหมดเก่าที่อ่อนแอที่ยังถูกยอมรับอยู่ที่ไหนหรือไม่ คำตอบเหล่านั้นเผยให้เห็นมากกว่าบรรจุภัณฑ์ที่เงางามหรือคำฮิตติดปากมากมาย

พูดง่ายๆ การเข้ารหัส RFID คือความแตกต่างระหว่างการแสดงตัวเลขกับการพิสูจน์ข้อมูลรับรอง สำหรับผู้ที่ไม่ใช่วิศวกร นั่นคือแนวคิดหลักที่ควรจดจำไว้ เมื่อคุณเข้าใจสิ่งนั้น บทสนทนาที่เหลือก็จะง่ายขึ้น คุณหยุดเลือกซื้อตามรูปร่างบัตรและความถี่เพียงอย่างเดียว คุณเริ่มมองความเชื่อมั่น การตรวจสอบ การควบคุมวงจรชีวิต และความเสี่ยงในโลกจริง และนั่นคือจุดที่การตัดสินใจซื้ออย่างชาญฉลาดเริ่มต้นขึ้น