Yesterdays network. Security and privacy in RFID applications supporting EPCglobalstandards 4/1/2009

Transkript

1 Security and privacy in RFID applications supporting EPCglobalstandards RiskNet Workshop, Petter Thune-Larsen tlf: RFID Innovasjonssenter AS Yesterdays network 1

2 Todays network Tomorrows network 2

3 How passive RFID Works! Radio Frequency IDentification Passive tags no power source Tag carries small amount of data May be read-only or limited read/write RFID reader powers tag, extracts data via radio RF field Computer Reader Antenna RFID Tagl Middleware Application RFID-tags samples 3

4 RFID er en av flere Auto-ID (AIDC)-teknologier RFID Smart Cards AIDC Technologies Bar-coding Biometrics EPC* an electronic barcode? An Example of How GTIN Integration Could Work With the EPC Illustrative Example (EAN-13): EAN Company Prefix Item Reference Check Digit ) > Remove Check Digit EPC: Header EPC Manager Number Object Class Number Serial Number GTIN *) EPC: Electronic Product Code 4

5 EPC Gen2- tags have 4 memory banks 00: Reserved Access password and kill code/password 01: EPC memory som 00 10: Tag ID TID (Tag manufacturer ID) Write Protected 11: User memory Write Protected - More to be defined Miniseminar Internet of Things including other edge technologies Further layers of Data Capture Technology Actuators ID + Additional Item-attendant data Interrogator / Gate way device Host Information Management System Wider area communications and Networks Sensory data carriers Actuators Interrogator / Gate way device Host Information Management System Networked data carriers Actuators Interrogator / Gate way device Host Information Management System Internet + Physical interface zone 5

6 Internet of Things defining the layers Network supported services Fixed and mobile communication protocols Applications layer Middleware layer Internet layer Access Networks Access Gateway layer Edge Technology layer Edge-technology data capture and Networks Noe av det som bekymrer mange med RFID-teknologien RFID er en ny og ukjent teknologi Liten kunnskap i de fleste kretser Law of unintended consequences Noen kan stjele andres ID er Man kan spore et objekt eller en person Man vil få tilgang sensitiv informasjon (personvern, industrispionasje) 6

7 Hvor ligger risikoen ved RFIDteknologien? En RFID tag svarer i utgangspunktet alle En RFID-tag som kan klones Data på en RFID tag endres av noen som ikke er autorisert til det. Tyvlytting på kommunikasjon mellom RFID tag og leser Kommunikasjon mellom RFID tag og leser kan tapes og spilles på nytt 13 Kilde: Protection: Threats/Vulnerabilities -Counterfeit -Theft Logistics P O I N T After Sales Consumer Space -Authentication -Tracing -Tracking O F S A L E -Warranty -Home Medication -Resell -Recall -CRM Ownership / Access Management Differentiated access / context specific information 7

8 EPC UHF Gen 2 tags Write lock Kan settes permanent eller midlertidig User memory, TID og EPC memory kan skrivebeskyttes Midlertidig lock kan oppheves ved passord Permanent lock kan ikke oppheves Kill kommando Tag kan aldri mer respondere Forutsetter bruk av 32 bit kill passord En annen løsning for å sikre kundes personvern Leseavstanden reduseres fra 10 meter til 2 cm ved å fjerne deler av antennen på kassepunktet 8

9 Bedrift B Bedrift A Elektronisk samhandling (Ordredata, pakksedler, etc.) Virksomhetssystem Virksomhetssystem Dashbord Styring av RFID-lesere (RFID-mellomvare) Lagring, behandling og utveksling av data Utveksling av transaksjonsdata (Basert på EPC, strekkoder, etc.) 1) Lagring, behandling og utveksling av data 2) Styring av RFID-lesere (RFID-mellomvare) (Trådløs tilkobling) Kombinert etikett- og RFID-skriver (med innebygd antenne) RFID-leser (og -skriver) RFID-leser Ekstern, fastmontert antenne Håndholdt RFID-leser (med innebygd antenne) Samlebånd med påmonterte RFID-antenner Utveksling av emballasje RFID-brikker RFID-merket pappeske RFID-merket plastkasse RFID-merket pall x 9

10 EPCglobal Privacy Policy Fokus: RFID på fysiske objekter, oftest varer, utstyr eller emballasje Viktig elementer i EPCglobal Privacy Policy Mange vil være villig til å gi av avkall på privacy for å få fordeler eller nyttig informasjon, men det skal være opp til deg selv å ta denne beslutningen. Kill Code for rask og sikker avliving av tags i kassa, der en vare skifter eier fra en bedrift til en privatperson Write Lock på data, permanent eller midlertidig Access control - passord EPCglobal architecture EPCIS ALE Lesere Tags 10

11 EPCIS EPC Information Services EPCIS Repository Databaseserver Sikkerhet ved autentisering autorisering av tilgang EPCIS Capture Interface Kommunikasjonskanalen mellom RFID mellomvare (edgeware) og EPCIS-databasen Risko: Angrep med henblikk på å hente ut sensitive data 11

12 Sikring av data i EPC Network ONS Object Naming Services EPCglobal standard basert på Internet DNS Look-Up tjeneste for som kan gi deg informasjon nett-adresser til den eller de som har informasjon om en EPC-kode Kun én ONS-myndighet per EPC ONS is authoritative, gir bare endringsrettigheter til den som eier den aktuelle EPC-koder Subscriber Authetification kommer. Man kan også ha en lokal ONS-tjeneste Discovery Services (under utvikling) Søkemotor for EPC-relaterte data Returnerer informasjonen om siter som kan ha informasjon om en EPC Er ikke-autorativ, dvs. data vil finnes flere av dem, globale/lokale, genrelle/bransjerettede etc 12

13 EPC Network Services building blocks World Wide Web EPC Network DNS Authoritative system that routes requests for Web sites and Web Sites Resource that contains information on a particular topic Search Engines A tool for finding Web sites on the network SSL A security tool for web pages ONS Authoritative record of manufacturers that routes requests for product information EPC Information Services Resource for specific information about a product, e.g. date of expiration EPC Discovery Services A tool for finding EPC Information Services on the network EPC Trust Services A tool for securing access based on permission level authentication Miniseminar