แท็ก RFID ถูกแฮ็กได้หรือไม่ มุมมองจากผู้เชี่ยวชาญ

“RFID ถูกแฮ็ก” จริง ๆ แล้วหมายความว่าอย่างไร?

หากคุณถามว่า แท็ก RFID สามารถถูกแฮ็กได้หรือไม่ คำตอบที่ตรงไปตรงมาคือได้ แท็กบางประเภทสามารถถูกแฮ็กได้อย่างแน่นอน แต่คำตอบนั้นเพียงลำพังนั้นเรียบง่ายเกินไปที่จะเป็นประโยชน์ และพูดตามตรง มันเป็นคำตอบแบบที่สร้างความกลัวมากกว่าความชัดเจน คำตอบที่ดีกว่าคือ บางระบบ RFID ถูกโจมตีได้ง่าย บางระบบมีความทนทานอย่างน่าประหลาดใจ และความเสี่ยงจริงส่วนใหญ่ไม่ได้ขึ้นอยู่กับคำว่า RFID มากนัก แต่ขึ้นอยู่กับว่าระบบนั้นถูกออกแบบมาตั้งแต่แรกอย่างไร

ความแตกต่างนี้สำคัญ เพราะธุรกิจมักพูดถึงความปลอดภัยของ RFID กันผิดวิธี พวกเขาถามว่า RFID ปลอดภัยหรือไม่ปลอดภัย ราวกับว่าแท็ก RFID ทุกอันบนโลกจัดอยู่ในหมวดหมู่เดียวกัน ซึ่งก็เหมือนกับการถามว่ากุญแจปลอดภัยหรือไม่ โดยไม่ถามว่าคุณกำลังพูดถึงคีย์การ์ดโรงแรม กุญแจล็อกจักรยาน หรือตู้นิรภัยธนาคาร RFID ไม่ใช่สิ่งเดียว แท็ก UHF RFID แบบ passive ราคาต่ำสำหรับการติดตามสินค้าคงคลังไม่ได้มีโปรไฟล์ความปลอดภัยเหมือนกับ บัตร RFIDที่เข้ารหัส แท็ก NFC ที่ใช้สำหรับการมีส่วนร่วมของผู้บริโภคไม่ได้มีพฤติกรรมเหมือนข้อมูลรับรองความปลอดภัยระดับสูง ฉลาก RFID บนกล่องสินค้าและป้าย RFID ที่ปลอดภัยสำหรับการเข้าถึงประตูไม่ควรถูกตัดสินด้วยมาตรฐานเดียวกัน

นี่คือเหตุผลที่ผู้เชี่ยวชาญด้านความปลอดภัยมักเริ่มต้นด้วยคำถามที่แตกต่างออกไป ไม่ใช่ RFID ถูกแฮ็กได้หรือไม่ แต่คุณกำลังพยายามปกป้องอะไรกันแน่ การมองเห็นสินค้าคงคลัง การควบคุมการเข้าถึง การพิสูจน์ตัวตนสินค้า ความปลอดภัยของผู้ป่วย การติดตามทรัพย์สิน ข้อมูลรับรองการชำระเงิน การตรวจสอบป้องกันการปลอมแปลง โมเดลภัยคุกคามเปลี่ยนทุกสิ่ง

บทเรียนจากธุรกิจในโลกจริง

ร้านค้าปลีกเสื้อผ้าระดับภูมิภาคแห่งหนึ่งได้เรียนรู้บทเรียนนั้นด้วยวิธีที่ลำบาก บริษัทได้เปิดตัวแท็ก UHF RFID ระดับชิ้นสินค้าสำหรับความแม่นยำของสินค้าคงคลังค้าปลีก จากนั้นผู้อำนวยการฝ่ายปฏิบัติการคนใหม่ก็ตื่นตระหนกหลังจากอ่านโพสต์น่ากลัวบางโพสต์ทางออนไลน์เกี่ยวกับการโคลน RFID เขากังวลว่าคู่แข่งหรือขโมยอาจสแกนร้านและขโมยข้อมูลสินค้าคงคลังทั้งหมดได้ หลังจากทบทวนระบบกับที่ปรึกษาด้านความปลอดภัย บริษัทก็ตระหนักว่าตนกังวลผิดเรื่อง ฉลาก RFID ไม่ได้เก็บข้อมูลลูกค้าที่ละเอียดอ่อนหรือราคาลับ พวกมันส่วนใหญ่เก็บตัวระบุสินค้าที่เชื่อมโยงกับระบบหลังบ้านของผู้ค้าปลีก ความเสี่ยงจริงคือการขโมยของหน้าร้านและความไม่แม่นยำของสต็อก ไม่ใช่การที่ใครสักคนจัดฉากการโจมตีทางไซเบอร์แบบในภาพยนตร์จากลานจอดรถ แท็กสามารถถูกอ่านได้ด้วยอุปกรณ์ที่เข้ากันได้ภายใต้เงื่อนไขที่เหมาะสม ใช่ แต่ผลกระทบทางธุรกิจของข้อเท็จจริงนั้นเล็กกว่าที่ฝ่ายบริหารจินตนาการไว้มาก

นั่นคือหนึ่งในสิ่งแรกที่ผู้เชี่ยวชาญมักพูด ความเสี่ยงของ RFID ขึ้นอยู่กับบริบท แท็กอาจสามารถถูกอ่านได้ในทางเทคนิคหรือแม้กระทั่งถูกโคลนได้ แต่ก็ยังไม่ถือเป็นภัยคุกคามทางธุรกิจที่ร้ายแรง หากระบบที่อยู่เบื้องหลังได้รับการออกแบบอย่างเหมาะสม ในทางกลับกัน ระบบอาจดูทันสมัยแต่ยังเปราะบาง หากพึ่งพาตัวระบุแบบคงที่ การพิสูจน์ตัวตนที่อ่อนแอ หรือความเชื่อใจแบบตาบอดในตัวแท็กเองมากเกินไป

บริษัทโลจิสติกส์ขนาดเล็กแห่งหนึ่งในเท็กซัสค้นพบสิ่งนั้นระหว่างโครงการควบคุมการเข้าถึงลานจอด บริษัทใช้แท็ก RFID ติดกระจกหน้ารถราคาต่ำเพื่อเร่งการเข้าออกยานพาหนะที่เกิดซ้ำ ระบบเวอร์ชันแรกเชื่อใจหมายเลขแท็กมากเกินไป หากหมายเลขตรงกับรายการที่อนุมัติ ประตูก็เปิด ซึ่งใช้งานได้จนกระทั่งผู้รับเหมาคนหนึ่งแสดงให้เห็นว่าการเลียนแบบตัวระบุแท็กรุ่นเก่ารุ่นหนึ่งนั้นง่ายเพียงใดโดยใช้เครื่องมือที่มีขายทั่วไป บริษัทจับปัญหานี้ได้ก่อนที่จะกลายเป็นการละเมิดจริง แต่บทเรียนก็ฝังลึก ปัญหาไม่ใช่ว่า RFID ทรยศพวกเขา ปัญหาคือพวกเขาปฏิบัติต่อ ID แท็กเสมือนเป็นกลยุทธ์ความปลอดภัยที่สมบูรณ์ เมื่อพวกเขาเปลี่ยนการออกแบบให้รวมการควบคุมข้อมูลรับรองที่ดีขึ้น การตรวจสอบฝั่งหลังบ้านที่เข้มงวดขึ้น และขั้นตอนการเพิกถอน ระบบก็กลายเป็นระบบที่ถูกนำไปใช้ในทางที่ผิดได้ยากขึ้นมาก

นั่นเป็นวิธีคิดเกี่ยวกับการแฮ็ก RFID ที่มีประโยชน์กว่ามาก แท็ก RFID มักเป็นเพียงองค์ประกอบหนึ่งในห่วงโซ่ความเชื่อใจที่ใหญ่กว่า หากห่วงโซ่ความเชื่อใจนั้นหละหลวม ระบบก็ถูกใช้ประโยชน์ได้ง่ายขึ้น หากห่วงโซ่ความเชื่อใจมีหลายชั้น เทคโนโลยีแท็กเดียวกันนั้นอาจเหมาะสมอย่างสมบูรณ์

ช่องทางการโจมตีที่พบบ่อย

ผู้คนยังต้องแยกแยะการโจมตีประเภทต่าง ๆ ออกจากกัน เพราะคำว่าแฮ็กครอบคลุมกว้างเกินไป ระบบ RFID อาจเสี่ยงต่อการอ่านโดยไม่ได้รับอนุญาต การโคลน การโจมตีแบบเล่นซ้ำ การจัดการข้อมูลรับรองที่อ่อนแอ การเข้ารหัสที่ไม่ดี รหัสผ่านเริ่มต้นบนเครื่องอ่าน API ฝั่งหลังบ้านที่ไม่ปลอดภัย หรือแอปมือถือที่ได้รับการปกป้องไม่ดี ในการติดตั้งใช้งานจริงหลายแห่ง ตัวแท็กเองไม่ใช่จุดที่อ่อนแอที่สุดด้วยซ้ำ ฐานข้อมูล การตั้งค่าเครื่องอ่าน หรือขั้นตอนการทำงานรอบการลงทะเบียนและการเพิกถอน อาจเป็นส่วนที่สมควรได้รับความกังวลมากที่สุดจริง ๆ

กลุ่มโรงพยาบาลเอกชนแห่งหนึ่งในฟลอริดาต้องเผชิญกับความจริงนั้นระหว่างการทบทวนการติดตามทรัพย์สิน หัวหน้าแผนกบางคนกังวลว่าแท็ก RFID ของอุปกรณ์การแพทย์อาจถูกแฮ็กและเปิดเผยข้อมูลผู้ป่วยที่ละเอียดอ่อน ทีมความปลอดภัยของโรงพยาบาลตรวจสอบแท็กก่อนและพบว่าแท็กไม่ได้เก็บบันทึกผู้ป่วยเลยจริง ๆ พวกมันส่วนใหญ่เก็บตัวระบุอุปกรณ์ที่เชื่อมโยงกับระบบภายใน ปัญหาที่ใหญ่กว่ากลับกลายเป็นการควบคุมการเข้าถึงรอบแดชบอร์ดซอฟต์แวร์ที่แสดงตำแหน่งและสถานะการบำรุงรักษา กล่าวอีกนัยหนึ่ง คำว่าแฮ็กที่น่ากลัวได้ส่งทุกคนไปที่แท็ก ขณะที่ปัญหาที่สมจริงกว่าคือความปลอดภัยของแอปพลิเคชันทั่วไป ผู้เชี่ยวชาญเห็นความสับสนแบบนี้อยู่ตลอดเวลา ผู้คนตำหนิ RFID เพราะมันมองเห็นได้ ขณะที่จุดอ่อนจริงอยู่ที่อื่น

กระนั้น แท็ก RFID บางประเภทก็ถูกโจมตีได้ง่ายกว่าประเภทอื่นอย่างแน่นอน นั่นไม่ใช่ความหวาดระแวง มันคือความจริง แท็ก RFID ราคาต่ำที่ใช้สำหรับการติดตามห่วงโซ่อุปทานมักถูกปรับให้เหมาะกับความสามารถในการขยายขนาดและราคา ไม่ใช่ความปลอดภัยระดับสูง แท็ก UHF RFID แบบ passive จำนวนมากไม่ได้มีไว้เพื่อปกป้องความลับ พวกมันมีไว้เพื่อระบุกล่อง พาเลท เสื้อผ้า ถัง และทรัพย์สินด้วยความรวดเร็ว หากธุรกิจนำแท็กสินค้าคงคลังที่มีความปลอดภัยต่ำไปใช้เสมือนเป็นข้อมูลรับรองการเข้ารหัส ก็เท่ากับสร้างปัญหาของตัวเอง

ผู้จัดจำหน่ายอุปกรณ์อิเล็กทรอนิกส์สำหรับผู้บริโภคแห่งหนึ่งในแคลิฟอร์เนียทำผิดพลาดแบบนั้นพอดีระหว่างโครงการนำร่องป้องกันการปลอมแปลงในช่วงแรก บริษัทต้องการตรวจสอบความถูกต้องของสินค้า แต่แทนที่จะใช้แท็ก NFC เพื่อการพิสูจน์ตัวตนที่ปลอดภัยซึ่งออกแบบมาโดยเฉพาะ กลับทดลองใช้ฉลาก RFID มาตรฐานที่ถูกกว่าซึ่งมีตัวระบุแบบคงที่ ทีมการตลาดชอบแนวคิดนี้เพราะมีราคาไม่แพงและอธิบายง่าย ปัญหาคือตัวตนแบบคงที่มักถูกคัดลอกหรือเลียนแบบได้ หากระบบโดยรอบเชื่อใจมากเกินไป ในที่สุดผู้จัดจำหน่ายก็เปลี่ยนการออกแบบนั้นด้วยแนวทางที่ปลอดภัยกว่า ซึ่งปฏิบัติต่อแท็กเป็นเพียงชั้นหนึ่งในขั้นตอนการพิสูจน์ตัวตนที่แข็งแกร่งขึ้น แทนที่จะเป็นแหล่งความจริงเพียงหนึ่งเดียว บทเรียนจริงไม่ใช่ว่า RFID ไม่สามารถสนับสนุนการปกป้องแบรนด์ได้ แต่เป็นว่าสถาปัตยกรรม RFID ที่ผิดได้สร้างความรู้สึกปลอดภัยที่ผิด ๆ

วิธีสร้างระบบ RFID ที่ปลอดภัย

นั่นเป็นอีกประเด็นที่ผู้เชี่ยวชาญเน้นย้ำ ความปลอดภัยไม่ใช่คุณสมบัติของผลิตภัณฑ์ที่คุณซื้อได้โดยบังเอิญ มันเป็นคุณสมบัติของระบบ หากการติดตั้งใช้งาน RFID ของคุณพึ่งพาตัวระบุแบบคงที่ ไม่มีการเข้ารหัส พฤติกรรม challenge-response ที่อ่อนแอ และความเชื่อใจกว้างขวางเมื่อเครื่องอ่านเห็นหมายเลขที่ดูเหมือนถูกต้อง ถ้างั้นก็ใช่ คุณควรสันนิษฐานว่าผู้โจมตีที่มุ่งมั่นจะหาวิธีใช้ประโยชน์จากมันได้ หากระบบของคุณใช้วิธีการเข้ารหัสที่แข็งแกร่งกว่า การจัดการคีย์ที่ปลอดภัย การตรวจสอบฝั่งหลังบ้าน การตรวจจับความผิดปกติ และการนำเข้าสู่ระบบอย่างควบคุม เรื่องราวก็จะดูแตกต่างไปอย่างมาก

แบรนด์เครื่องสำอางระดับพรีเมียมแห่งหนึ่งใน South Korea เข้าใจสิ่งนี้ก่อนการเปิดตัว และนั่นช่วยประหยัดความเจ็บปวดให้พวกเขาได้มากในภายหลัง บริษัทต้องการการพิสูจน์ตัวตนสินค้าด้วย NFC สำหรับผลิตภัณฑ์บำรุงผิวราคาสูง เพราะสินค้าปลอมเริ่มปรากฏในช่องทางเทาแล้ว แทนที่จะถามเพียงว่าแท็ก NFC ถูกแฮ็กได้หรือไม่ แบรนด์กลับถามคำถามที่ดีกว่า คือเราจะทำให้ระบบพิสูจน์ตัวตนมีความทนทานได้อย่างไร แม้มีคนศึกษาบรรจุภัณฑ์และพยายามเลียนแบบมัน สิ่งนี้นำไปสู่การออกแบบแท็ก NFC แบบกำหนดเอง การกำหนดหมายเลขซีเรียลที่แข็งแกร่งขึ้น ตรรกะการตรวจสอบแบบเรียลไทม์ และการตรวจสอบฝั่งหลังบ้านที่มองหาพฤติกรรมน่าสงสัย เช่น รูปแบบการสแกนที่เป็นไปไม่ได้หรือการเปิดใช้งานซ้ำในหลายภูมิภาค ผลลัพธ์ไม่ใช่การอยู่ยงคงกระพัน เพราะไม่มีสิ่งใดเป็นเช่นนั้น แต่ก็โคลนได้ยากกว่าสติกเกอร์แบบแตะเพื่อเปิด URL ธรรมดามาก

นี่คือจุดที่วลีที่ว่าผู้เชี่ยวชาญพูดว่าอะไรนั้นมีประโยชน์ ผู้เชี่ยวชาญด้านความปลอดภัยจริงส่วนใหญ่ไม่พูดแบบเด็ดขาด พวกเขาไม่พูดว่า RFID ปลอดภัยหรือ RFID พัง พวกเขาพูดประมาณนี้ คือใช้แท็กประเภทที่เหมาะสมกับวัตถุประสงค์ที่เหมาะสม หลีกเลี่ยงการเก็บข้อมูลละเอียดอ่อนที่ไม่จำเป็นไว้บนแท็กโดยตรง สันนิษฐานว่าตัวระบุสามารถถูกสังเกตได้ รักษาความปลอดภัยของฝั่งหลังบ้าน จำกัดความเชื่อใจในค่าคงที่ และสร้างการตรวจจับและการตอบสนองรอบระบบ คำแนะนำนั้นอาจฟังดูไม่ดราม่าเท่าพาดหัวข่าวสื่อ แต่มีประโยชน์กว่ามาก

มหาวิทยาลัยแห่งหนึ่งในแอริโซนาค้นพบสิ่งนั้นหลังจากกลุ่มความปลอดภัยของนักศึกษาสาธิตจุดอ่อนในระบบเข้า-ออกที่ใช้ RFID รุ่นเก่า พาดหัวข่าวภายในชุมชนมหาวิทยาลัยทำให้ดูเหมือนว่าบัตรเข้าถึง RFID มีช่องโหว่โดยเนื้อแท้ การชันสูตรหลังเหตุการณ์ที่ลึกกว่าบอกเรื่องราวที่คุ้นเคยกว่า ข้อมูลรับรองรุ่นเก่าใช้สมมติฐานที่ล้าสมัย การจัดการวงจรชีวิตที่ไม่ดี และความเชื่อใจในตัวระบุป้ายที่ถูกโคลนมากเกินไป เมื่อสถาบันอัปเกรดโมเดลข้อมูลรับรอง ปรับปรุงนโยบายเครื่องอ่าน และกระชับการควบคุมการออกบัตร ระบบเข้า-ออกก็แข็งแกร่งขึ้นมาก ความล้มเหลวเดิมเกี่ยวข้องกับแนวคิดของ RFID น้อยกว่าการนำไปใช้ที่ล้าสมัยซึ่งถูกปล่อยให้สบายใจมานานเกินไป

รูปแบบนี้ปรากฏซ้ำแล้วซ้ำเล่า เทคโนโลยีเสื่อมอายุ ภัยคุกคามวิวัฒน์ องค์กรเกียจคร้าน แล้ววันหนึ่งทุกคนก็ตำหนิคำย่อแทนที่จะตำหนิวัฒนธรรมการบำรุงรักษา

ยังมีความแตกต่างอย่างมากระหว่างการอ่านแท็กกับการทำลายระบบจริง ๆ หลายคนได้ยินว่าแท็ก RFID สามารถถูกอ่านได้และคิดว่าระบบจึงพังไปแล้ว ซึ่งไม่สมเหตุสมผลตามนั้น ในการจัดการสินค้าคงคลังค้าปลีก การติดตามทรัพย์สิน การติดตามพาเลท หรือการติดตามสินค้าขนส่งที่ใช้ซ้ำ แท็กมักเก็บเพียงค่าอ้างอิง หากค่านั้นเชื่อมโยงกับตรรกะทางธุรกิจจริงในฝั่งหลังบ้านและไม่ถูกปฏิบัติเสมือนรหัสผ่าน การอ่านโดยทั่วไปก็ไม่จำเป็นต้องสร้างความเสี่ยงร้ายแรง

ผู้บรรจุเครื่องดื่มแห่งหนึ่งในเยอรมนีพบความเข้าใจผิดนี้ระหว่างโครงการพาเลทที่ใช้ซ้ำ ผู้จัดการคนหนึ่งกังวลว่าเนื่องจากแท็ก RFID บนพาเลทสามารถถูกอ่านได้ด้วยอุปกรณ์ที่เข้ากันได้ คู่แข่งอาจขโมยความลับด้านโลจิสติกส์ของบริษัทได้ ที่ปรึกษาด้านความปลอดภัยที่ทบทวนโครงการให้คำอธิบายที่สงบกว่า แท็กส่วนใหญ่เก็บตัวตนของทรัพย์สิน ไม่ใช่ข้อมูลเชิงพาณิชย์ที่ละเอียดอ่อน การอ่าน ID พาเลทในที่สาธารณะไม่เหมือนกับการเจาะระบบแพลตฟอร์มการจัดการพาเลท ความเสี่ยงจริงคือการสูญเสียทรัพย์สิน ระเบียบการคืนที่ไม่เข้มงวด และจุดอ่านที่ไม่สม่ำเสมอ ไม่ใช่จารกรรมทางอุตสาหกรรมผ่านการสแกนแท็กที่ท่าเทียบเรือ มุมมองนั้นช่วยให้บริษัทใช้ความพยายามด้านความปลอดภัยในจุดที่สำคัญจริง ๆ

ในทางกลับกัน บางอุตสาหกรรมจำเป็นต้องเข้มงวดกว่าจริง ๆ การควบคุมการเข้าถึง ข้อมูลรับรองตัวตน แอปพลิเคชันที่เกี่ยวกับการชำระเงิน ขั้นตอนการดูแลสุขภาพที่ถูกกำกับ และโครงการป้องกันการปลอมแปลง มักสมควรได้รับความคาดหวังด้านความปลอดภัยของ RFID ที่สูงกว่าการติดแท็กในคลังสินค้าทั่วไป ในกรณีเหล่านั้น คำตอบของคำถามว่าแท็ก RFID ถูกแฮ็กได้หรือไม่ ควรกำหนดทิศทางการออกแบบตั้งแต่วันแรกอย่างแน่นอน

ผู้ให้บริการบรรจุภัณฑ์ยารายหนึ่งในนิวเจอร์ซีย์เห็นความแตกต่างนั้นอย่างชัดเจน บริษัทใช้แท็ก UHF RFID มาตรฐานสำหรับการมองเห็นด้านโลจิสติกส์บนกล่องและพาเลท ซึ่งความสามารถในการขยายขนาดและการทำงานร่วมกันสำคัญที่สุด แต่เมื่อพิจารณาการพิสูจน์ตัวตนระดับชิ้นสินค้าสำหรับผลิตภัณฑ์ที่ถูกกำกับ บริษัทก็เปลี่ยนไปสู่โมเดลที่ใช้ NFC ซึ่งปลอดภัยกว่าพร้อมตรรกะการตรวจสอบที่แข็งแกร่งขึ้น บริษัทไม่ตกหลุมพรางของการให้หมวดหมู่ RFID เดียวทำงานทุกอย่าง บริษัทปฏิบัติต่อตัวตนด้านโลจิสติกส์และการพิสูจน์ตัวตนสินค้าเป็นปัญหาความปลอดภัยที่เกี่ยวข้องกันแต่แตกต่างกัน นั่นคือสิ่งที่ผู้เชี่ยวชาญที่ดีแนะนำอย่างแท้จริง

ความสำคัญของสุขอนามัยด้านปฏิบัติการ

อีกประเด็นที่ถูกมองข้ามคือสุขอนามัยด้านปฏิบัติการที่ไม่ดี แม้แต่การออกแบบ RFID ที่แข็งแกร่งทางเทคนิคก็อาจถูกบั่นทอนได้ด้วยแนวปฏิบัติการลงทะเบียนที่อ่อนแอ การเข้าถึงเครื่องอ่านที่ไม่ถูกควบคุม กฎการปิดใช้งานที่หละหลวม หรือข้อมูลรับรองผู้ดูแลระบบที่ใช้ร่วมกันซึ่งไม่มีใครติดตามอย่างเหมาะสม ในโลกจริง สิ่งที่เรียกว่าการแฮ็ก RFID หลายกรณีเป็นความล้มเหลวของกระบวนการบางส่วน

กลุ่มธุรกิจโรงแรมหรูแห่งหนึ่งในสิงคโปร์ประสบสิ่งนี้กับข้อมูลรับรองการเข้าห้องที่ใช้ RFID ฝ่ายบริหารกังวลในตอนแรกเกี่ยวกับการโจมตีแปลก ๆ ต่อตัวบัตรเอง แต่จุดอ่อนที่สมจริงกว่ากลับกลายเป็นวิธีการออกข้อมูลรับรองทดแทน พนักงานบางครั้งสามารถสร้างหรือขยายการเข้าถึงของแขกในลักษณะที่ถูกตรวจสอบหลวมเกินไป เทคโนโลยีสำคัญ แต่การควบคุมด้านปฏิบัติการสำคัญกว่า เมื่อโรงแรมกระชับขั้นตอนการออกบัตร การเพิกถอนข้อมูลรับรอง และร่องรอยการตรวจสอบ สถานะความปลอดภัยในทางปฏิบัติก็ดีขึ้นมากกว่าที่จะได้จากการหมกมุ่นอยู่กับแท็กเพียงอย่างเดียว

ผู้เชี่ยวชาญยังมักเตือนผู้คนว่าตัวเลือก RFID ที่ถูกที่สุดนั้นแทบไม่เคยปลอดภัยที่สุด นั่นไม่ได้หมายความว่าราคาแพงเท่ากับปลอดภัยเสมอ เพราะไม่ใช่ แต่แท็กราคาต่ำที่ออกแบบสำหรับการควบคุมสินค้าคงคลังมักสร้างขึ้นโดยคำนึงถึงประสิทธิภาพด้านต้นทุน ไม่ใช่การต้านทานการโจมตี หากธุรกิจซื้อแท็กที่ถูกที่สุดที่หาได้แล้วคาดหวังการพิสูจน์ตัวตนที่ปลอดภัย การควบคุมการเข้าถึงที่ปลอดภัย หรือความทนทานต่อการปลอมแปลง ก็เท่ากับสร้างเหตุการณ์ในอนาคตของตัวเอง

ผู้นำเข้าไวน์ระดับพรีเมียมรายหนึ่งในแคลิฟอร์เนียเกือบทำผิดพลาดแบบนั้น บริษัทต้องการประสบการณ์การพิสูจน์ความแท้แบบดิจิทัลสำหรับขวดRéserve และเริ่มต้นสำรวจแท็ก NFC ราคาต่ำที่มีจำหน่ายผ่านช่องทางค้าปลีกทั่วไป ทีมชอบราคาต่ำจนกระทั่งที่ปรึกษาอธิบายความเสี่ยงของแท็กพื้นฐานที่โคลนได้ซึ่งมีพฤติกรรมการเปลี่ยนเส้นทางแบบง่าย ผู้นำเข้าเปลี่ยนทิศทางและใช้การออกแบบการพิสูจน์ตัวตน RFID ที่ควบคุมได้มากกว่าซึ่งผูกกับการตรวจสอบฝั่งหลังบ้านที่ปลอดภัย การตัดสินใจนั้นเพิ่มต้นทุนแท็ก แต่ก็ปกป้องวัตถุประสงค์จริงของโครงการ ผู้เชี่ยวชาญด้านความปลอดภัยพูดแบบนี้ตลอดเวลาในคำที่ตรงกว่า คือหากผลของการฉ้อโกงสูง จงหยุดซื้อฮาร์ดแวร์ความปลอดภัยเสมือนเป็นเครื่องเขียนธรรมดา

คำแนะนำจากผู้เชี่ยวชาญสำหรับความปลอดภัยของ RFID

แล้วแท็ก RFID ถูกแฮ็กได้หรือไม่ ใช่ บางประเภทได้ บางประเภทสามารถถูกอ่านได้โดยไม่ได้รับอนุญาต บางประเภทสามารถถูกโคลนในระบบที่ออกแบบไม่ดี บางประเภทสามารถถูกเล่นซ้ำในสภาพแวดล้อมที่เก่าหรืออ่อนแอกว่า การติดตั้งใช้งานที่ปลอดภัยบางแห่งก็ยังถูกบั่นทอนได้ด้วยความผิดพลาดของมนุษย์ การจัดการคีย์ที่ไม่ดี หรือการออกแบบฝั่งหลังบ้านที่ประมาท แต่นั่นไม่ใช่จุดสิ้นสุดของการสนทนา มันเป็นจุดเริ่มต้นของส่วนที่มีประโยชน์

คำถามที่ดีกว่าคือระดับการโจมตีใดที่สำคัญในบริบททางธุรกิจจริงของคุณ หากคุณใช้แท็ก UHF RFID แบบ passive สำหรับการติดตามสินค้าคงคลังในคลังสินค้า คุณน่าจะใส่ใจเรื่องความน่าเชื่อถือ การทำงานร่วมกัน และวินัยในการเปิดเผยข้อมูล มากกว่าการโคลนข้อมูลรับรองระดับสูง หากคุณใช้ RFID สำหรับการควบคุมการเข้าถึง การชำระเงิน หรือการพิสูจน์ตัวตนสินค้าป้องกันการปลอมแปลง ความปลอดภัยของแท็กที่แข็งแกร่งขึ้น การตรวจสอบฝั่งหลังบ้าน และการจัดการวงจรชีวิต ควรถูกสร้างไว้ตั้งแต่เริ่มต้น การใช้งานที่แตกต่างกันสมควรได้รับการป้องกันที่แตกต่างกัน

แบรนด์แฟชั่นเฉพาะทางแห่งหนึ่งในลอนดอนจัดการความแตกต่างนั้นได้ดี บริษัทใช้ฉลาก UHF RFID ธรรมดาสำหรับความแม่นยำของสต็อกในร้านและการติดตามห่วงโซ่อุปทาน เพราะขั้นตอนการทำงานเหล่านั้นได้ประโยชน์สูงสุดจากความเร็วและขนาด ในขณะเดียวกันก็ทดสอบชั้น NFC ที่ปลอดภัยแยกต่างหากสำหรับการพิสูจน์ตัวตนสินค้ารุ่นลิมิเต็ด เพราะนั่นคือส่วนของธุรกิจที่ความเชื่อใจและความเสี่ยงจากการเลียนแบบสำคัญกว่า แบรนด์ไม่ได้ปฏิบัติต่อ RFID ทั้งหมดว่าเหมือนกัน และด้วยเหตุนั้นจึงหลีกเลี่ยงทั้งการรักษาความปลอดภัยน้อยเกินไปในสิ่งที่ผิด และการออกแบบซับซ้อนเกินไปในสิ่งที่ผิด

นั่นน่าจะเป็นข้อสรุปที่ตรงไปตรงมาที่สุดที่ผู้เชี่ยวชาญจะให้ RFID ไม่ใช่ปาฏิหาริย์ด้านความปลอดภัยหรือหายนะด้านความปลอดภัยโดยปริยาย มันคือชุดเครื่องมือ การติดตั้งใช้งานบางแห่งอ่อนแอเพราะถูกสร้างอย่างประหยัด เกียจคร้าน หรือไม่มีโมเดลภัยคุกคามจริง บางแห่งแข็งแกร่งเพราะใช้แท็กประเภทที่เหมาะสม สถาปัตยกรรมที่ปลอดภัย การจัดการข้อมูลที่สมเหตุสมผล และการควบคุมด้านปฏิบัติการที่ชัดเจน เมื่อผู้คนถามว่าแท็ก RFID ถูกแฮ็กได้หรือไม่ พวกเขามักมองหาความมั่นใจหรือความตื่นตระหนก สิ่งที่พวกเขาต้องการจริง ๆ คือวินัยในการออกแบบ

หากคุณกำลังซื้อหรือติดตั้งใช้งาน RFID เส้นทางที่ฉลาดที่สุดไม่ใช่การกลัวเทคโนโลยีแบบตาบอด และไม่ใช่การเชื่อใจมันแบบตาบอดเช่นกัน ถามว่าแท็กเก็บอะไร ถามว่าเกิดอะไรขึ้นหากมีคนอ่านมัน ถามว่าตัวระบุที่ถูกโคลนจะหลอกระบบได้จริงหรือไม่ ถามว่าข้อมูลรับรองถูกออกและเพิกถอนอย่างไร ถามว่าจำเป็นต้องมีการเข้ารหัสหรือ challenge-response หรือไม่ ถามว่าฝั่งหลังบ้านกำลังทำงานด้านความปลอดภัยจริงหรือองค์กรได้ผลักความเชื่อใจมากเกินไปไปที่ตัวแท็กเองโดยผิดพลาด

เมื่อคุณถามคำถามเหล่านั้น ประเด็นทั้งหมดก็ชัดเจนขึ้นมาก ใช่ แท็ก RFID สามารถถูกแฮ็กได้ในบางบริบท แต่สิ่งที่สำคัญกว่ามากคือระบบ RFID ของคุณถูกสร้างเหมือนที่ผู้เชี่ยวชาญจะสร้าง หรือถูกสร้างเหมือนทางลัดที่ดูปลอดภัยจนกระทั่งมีคนมองใกล้ขึ้น