下载文档原格式
NFC、RFID、智能卡，哪一个能让我们更放心2013年年底，美国零售巨头塔吉特(Target)被黑客入侵，7000万的用户个人信息和4000万的信用卡数据被盗，涉及用户名、电话号码和信息卡信息等隐私数据。
据估计塔吉特的损失当前已达1.48亿美元，并最终可能达到10亿美元。
塔吉特“丢钱又丢人”的事件让人们认识到，即便是最强大的安全系统也可能被黑客攻击。
塔吉特的账户是一个模型，多层次的系统，它的防御超过了Visa和万事达已经严格的安全措施所要求的。
但黑客还是入侵了，这立即引发了人们的强烈抗议，人们质疑为什么美国的信用卡交易不够安全，并呼吁使用不需要通过读卡器进行物理“刷卡”的非接触式信用卡。
多亏了这种强烈的抗议，Visa、万事达和美国运通已经坚定了立场:零售商必须在2015年10月之前投资于能够使用智能卡的读卡器。
对于那些不这样做的人，欺诈损失的责任将完全由他们来承担。
毕竟，智能卡(内含包含加密信息和安全处理能力的芯片，但仍需联系)自1983年以来已在发达国家广泛使用，极大地减少了盗窃行为。
在美国，欺诈花费了这么长时间才达到这个程度，尽管2013年，欺诈给零售商和银行造成了超过120亿美元的损失，但与更新零售网点(POS)系统的成本和复杂性相比，欺诈显然要便宜得多。
然而，随着技术的进步，如今的标准是采用无线通信的非接触式智能卡，不需要在卡和读卡器之间进行物理“刷卡”，而是基于智能手机的近场通信(NFC)技术完成。
然而，塔吉特公司被攻破很少提到的一个关键事实:卡牌本身并不是问题所在。
到底谁来背这个锅实施目标攻击的歹徒在目标商店的POS终端上安装恶意软件，使用“内存抓取”工具抓取终端在交易期间暂时存储的数据。
然而，该恶意软件通过一个公司目标网络服务器到达终端，黑客可以通过该服务器访问公司终端。
一旦舒适地安置在终端上，它就在塔吉特公司的网络上建立了自己的控制服务器，将所有窃取的数据存储在塔吉特公司自己的数据存储库中，直到黑客抽出时间卸载这些数据。
16 RFID安全和隐私保护在互联网时代，有一句非常著名的话：“在互联网上没有人知道你是一条狗。
”但是随着物联网的发展，在不远的将来，不仅你是谁，甚至连你今天去过哪里，遇见到什么人，这些你自己未必记得清楚的细节，都有可能被物联网中的感知设备记录下来。
从信息安全和隐私保护角度上说，物联网终端(RFID 、传感器、智能信息设备)的广泛引入在提供更丰富信息的同时，也增加了暴露这些信息的危险。
所以有必要安全地管理这些信息，确保隐私信息不被别有用心的攻击者利用，来损坏我们的利益。
本章着眼于物联网中目前讨论最多的两大安全隐私问题——RFID 安全和位置隐私。
RFID标签通常附着于物品，甚至嵌入人体，其中可能存储大量隐私信息。
然而，RFID标签受自身成本限制，不支持复杂的加密方法，因而容易遭受攻击。
攻击者可以通过破解RFID 标签，来获取、复制、篡改以及滥用RFID标签中保存的信息。
而RFID系统的大规模应用为攻击者提供了更多机会。
定位技术给人们的生活带来方便的同时，也带来了新的安全隐忧。
随着定位的精度不断提高，位置信息的内涵也变得越来越丰富。
高精度的位置信息倘若被攻击者窃取，造成的后果也不可小觑。
攻击者可以跟踪某个特定的用户，了解用户去过哪里，推断出干了什么事情、见过什么人；也可以通过追踪匿名用户的位置信息，结合某些先验知识，来判断用户的真实身份。
本章以RFID安全和位置隐私为例，介绍物联网中特有的安全和隐私问题。
物联网中也存在传统的安全和隐私问题，在本章节中没有深入讨论。
1.RFID安全现状概述2008 年8 月，美国麻省理工学院的三名学生宣布成功破解了波士顿地铁资费卡。
更为严重的是，世界各地的公共交通系统都采用几乎同样的智能卡技术，因此使用他们的破解方法可以“免费搭车游世界” 。
近几年来不时爆出这样的破解事件，相关技术人员或者通常意义下的“黑客”声称破解了一种或多种使用RFID技术的产品，并可以从中获取用户的隐私，或者伪造RFID标签。
RFID引起的隐私安全问题随着RFID技术应用的增长，对个人隐私安全的关注也随之上升。
然而，一名信息安全专家称，RFID技术的益处和功能远超过其潜在的安全问题。
RFID指的是无线和无接触式射频磁场，用于传送数据，以自动识别和追踪物品上的标签。
这些标签都包含电子储存的信息，分为自带电源和无电源。
根据标签类型的不同，读取距离分为10厘米至200米不等。
RFID广泛用于不同的行业，包括运输、物流、时装、汽车和药物等。
与传统的条形码不同的是，读取时无需将读取器与标签对齐，且标签可安置在物品内部。
就是这个特点使许多人对RFID带来的个人隐私安全问题感到担忧。
另外，伪造及其它未授权应用也妨碍着RFID技术的推广。
IT安全服务供应商Help AG的技术服务主管Nicolai Solling 表示：“人们会担心信息获取是否安全。
当涉及到护照和支付卡等高度安全应用时，存在的风险就更大了。
如果标签被仿造，那么你的账户就很可能被别人盗用。
” 由于标签还可应用于衣物和财产，有人担心这些标签是否会被用于追踪人。
据哈佛报告称，RFID标签可安置于许多物品内部，如衣服、鞋子、书本和钥匙卡等，且消费者还可能不知道它的存在。
这些标签还可被其它人利用来进行追踪，而且以后RFID读取器将会变得非常便宜，易于隐藏。
Solling称：“撇开安全问题不谈，由于RFID安装方便、简单易用，未来RFID必定会普及。
不幸的是，组织机构并不总是注意到技术所带来的内部安全风险。
这就是行业需改进的地方——不单单是引起注意，还要制定安全使用RFID技术的标准。
”。
RFID的安全与隐私无线射频识别(RFID)是一种远程存储和获取数据的方法，其中使用了一个称为标签(Tag)的小设备。
在典型的RFID系统中，每个物体装配着这样一个小的、低成本的标签。
系统的目的就是使标签发射的数据能够被阅读器读取，并根据特殊的应用需求由后台服务器进行处理。
标签发射的数据可能是身份、位置信息，或携带物体的价格、颜色、购买数据等。
RFID标签被认为是条码的替代，具有体积小、易于嵌入物体当中、无需接触就能大量地进行读取等优点。
另外，RFID标识符较长，可使每一个物体具有一个唯一的编码，唯一性使得物体的跟踪成为可能。
该特征可帮助企业防止偷盗、改进库存管理、方便商店和仓库的清点。
此外，使用RFID 技术，可极大地减少消费者在付款柜台前的等待时间。
但是，随着RFID能力的提高和标签应用的日益普及，安全问题，特别是用户隐私问题变得日益严重。
用户如果带有不安全的标签的产品，则在用户没有感知的情况下，被附近的阅读器读取，从而泄露个人的敏感信息，例如金钱、药物(与特殊的疾病相关联)、书(可能包含个人的特殊喜好)等，特别是可能暴露用户的位置隐私，使得用户被跟踪。
因此，在RFID应用时，必须仔细分析所存在的安全威胁，研究和采取适当的安全措施，既需要技术方面的措施，也需要政策、法规方面的制约。
1 RFID技术及其系统组成1.1系统组成基本的RFID系统主要由3部分组成，如图1所示，包括：(1)标签标签放置在要识别的物体上，携带目标识别数据，是RFID系统真正的数据载体，由耦合元件以及微电子芯片(包含调制器、编码发生器、时钟及存储器)组成。
(2)阅读器阅读器用于读或读/写标签数据的装置，由射频模块(发送器和接收器)、控制单元、与标签连接的藕合单元组成。
(3)后台服务器后台服务器包含数据库处理系统，存储和管理标签相关信息，如标签标识、阅读器定位、读取时间等。
后台服务器接收来自可信的阅读器获得的标签数据，将数据输入到它自身的数据库里，且提供对访问标签相关数据的编号。
物联网的RFID安全和隐私【摘要】RFID是物联网重要的信息获取手段，再被广泛应用的同时也，也为攻击者提供了更多机会。
本文主要介绍了RFID存在的安全隐患和隐私问题，使读者更好地了解物联网中面临的信息安全问题。
【关键词】RFID；安全隐患；隐私问题随着物联网的发展，RFID（射频识别）的安全也日益受到关注。
近年来，不时爆出这样的破解事件，“黑客”声称破解了一种或多种使用RFID技术的产品，从中窃取用户的隐私，或者伪造RFID标签。
RFID标签通常附着于物品，甚至嵌入人体，都储存着大量的隐私信息。
然而，RFID标签受自身成本限制，不支持复杂的加密方法，因而容易遭受攻击。
1.主要安全隐患RFID标签负责采集物理信息，并将这些信息通过无线方式传输到物联网中。
一个基本的RFID系统主要由3部分组成：标签、移动手持式阅读器、后台处理系统包含一些服务器。
一般来说，阅读器和服务器之间的通信是安全的。
这里所介绍的安全和隐私问题主要集中在标签本身以及标签和阅读器之间。
（1）窃听。
由于RFID标签和阅读器之间通过无线广播的方式进行数据传播，攻击者有可能偷听到传输的内容。
这些内容没有受到保护，则攻击者很容易得到标签和阅读器之间传输的信息以及具体含义，从而进行身份欺骗或偷窃。
对于一般通信距离较短价格低廉的超高频RFID标签，虽不易被直接窃听，但可以通过中间人攻击来窃听。
（2）中间人攻击。
被动的RFID标签在收到阅读器的查询信息后主动响应，发送证明身份的信息，此时攻击者伪装成受自己控制的阅读器读取信息，将信息处理后发送给阅读器实现窃取。
以色列的专家曾经构建了一个简单的“扒手”系统，可以神不知鬼不觉的使用消费者的RFID卡片来消费。
由于中间人攻击成本低廉，与使用的安全协议无关，是RFID面临的重大挑战之一。
（3）欺骗、重放、克隆。
欺骗是指攻击者将获取的标签数据发送给阅读器，以此来骗过阅读器。
重放是指将标签回复记录下来，然后在阅读器询问时播放以欺骗阅读器。
内置芯片非接触式卡内置芯片非接触式卡（embedded chip contactless card），也称为IC卡或智能卡，是一种通过内置芯片来存储和处理数据的卡片。
与传统的磁条卡和接触式芯片卡相比，内置芯片非接触式卡具有更高的安全性和便利性。
内置芯片非接触式卡的工作原理是通过无线射频识别（RFID）技术来进行通信与交互。
卡片内的芯片可以储存个人信息、财务数据、密码等敏感数据，并通过与读写器的无线通信进行数据的传输与处理。
内置芯片非接触式卡的主要特点有以下几点：1. 高安全性：内置芯片非接触式卡采用了先进的加密算法和防篡改措施，使得卡片内的数据更加安全。
与传统的磁条卡相比，芯片内的数据更加难以被窃取或复制。
2. 方便快捷：内置芯片非接触式卡只需靠近读写器，而无需插入或刷卡，即可进行交易或进行身份认证。
这种非接触式操作方式省去了传统卡片付款或验证过程中的插卡、刷卡等繁琐步骤，提高了用户的使用体验。
3. 多功能性：内置芯片非接触式卡可以储存多种类型的信息，如金融账号、健康档案、门禁权限等。
一个芯片上可以储存多个应用，实现一卡多用，减少了用户携带多张卡片的负担。
4. 可远程更新：内置芯片非接触式卡的芯片内可以存储应用程序，这些应用程序可以在卡片发行后远程更新，以跟随市场需求和安全标准的不断变化。
内置芯片非接触式卡目前在各个领域的应用日益广泛。
在金融领域，内置芯片非接触式卡已经取代了传统的磁条卡，成为新一代银行卡的标配。
在交通领域，内置芯片非接触式卡被广泛应用于公交、地铁和停车场等场所的闸机系统中，实现了快速便捷的乘车体验。
此外，内置芯片非接触式卡还可以用于门禁系统、学生卡、健康卡等领域。
然而，内置芯片非接触式卡也存在一些问题和挑战。
首先，安全性仍然是一个重要的考虑因素。
由于芯片内存储的数据是无线传输的，因此容易受到黑客攻击。
其次，不同的芯片卡之间存在互不兼容的问题，给用户的使用带来一些不便。
此外，内置芯片非接触式卡的发行和管理也需要建立起一套完善的标准和流程，以保证卡片的稳定运行和安全性。
列举出两个威胁rfid应用系统安全的实际例子
1. RFID信号干扰：RFID系统使用的无线信号可以被干扰或被屏蔽。
攻击者可以利用这个漏洞，通过放置RFID干扰器或屏蔽器来阻止标签与阅读器之间的通信。
这可能会导致系统无法识别标签，或者将错误的标签与错误的物品匹配，造成严重的数据错误和操作障碍。
2. 未加密的数据传输：RFID标签和阅读器之间的通信是通过无线信号进行的，这意味着数据可以被窃取或篡改。
未加密的数据传输可能导致攻击者获取用户的个人信息、商业数据或其他机密信息。
攻击者可以利用这些数据来进行各种欺诈行为，例如窃取信用卡信息或者进行电子支付诈骗等。
因此，必须采取正确的安全措施，例如数据加密、身份验证和访问控制，以确保传输的数据不会被窃取或篡改。
尽管射频识别系统随着应用领域的不同，其组成不尽相同，但是最基本的RFID系统通常由射频卡、阅读器和数据交换与管理系统三部分组成。
其中射频卡是置于联网物品中，存储有类似网卡MAC地址或信息终端电子串号一样永久性唯一身份标识的数据，并能与阅读器进行数据交换，针对不同的指令做出相应的处理，控制执行机构动作，完成物品自身数据信息的采集和存储任务。
阅读器是由高频模块、控制模块、收发天线和与计算机或接入网连接的通信接口等组成可以将数据交换与管理系统的读写指令传送到射频卡，将射频卡返回的数据处理后传送到数据交换与管理系统。
数据交换与管理系统根据逻辑运算判断该卡的合法性，针对不同的设定发出相应的处理和控制信息到阅读器，完成数据信息的存储、查询和管理任务。
4射频识别系统的安全问题及防范策略尽管射频识别技术应用的普及加速了射频识别系统的研发和产业化进程,但是目前国内存在三大因素制约着RF ID 技术应用的进一步推广。
首先RF ID 超高频应用的频段至今没有确定, 包括基础标准化在内的许多工作尚未开展; 其次国内的相关产业链尚未形成,用于商业物流领域的RF ID 成本仍然居高不下; 再次RF ID 技术应用中的安全保障措施存在纰漏。
当然, 随着市场的推动, 前两个问题会迎刃而解的,但是安全问题将是RF ID 能否被广泛应用的一个关键因素。
不同的射频识别应用系统的安全机制要求不同。
在封闭式应用项目中,以物流系统为例, 非法者对此类系统的侵入虽然可能使工作流程陷入混乱,但是对于侵入者本人来讲并不会产生个人利益。
因此, 可以选用廉价的安全机制较低的产品,比如简单的只读性识别标签。
而在公共应用项目中,以公交公司的票务系统为例, 系统是开放的, 如果非法者成功地侵入票务系统中, 公交公司可能会蒙受巨大的财政损失, 例如有组织地销售伪造车票。
因此,对于这样的应用项目, 需要增加身份认证和信息加密功能。
RF ID 系统的安全机制是由三个不同层次的安全保障环节组成, 一是射频卡的制造安全技术; 二是物理安全技术, 如防非法攻击、防软件跟踪等; 三是通信安全技术,如加密算法等, 这三个环节保证射频卡从生产到使用全过程的安全。
16 RFID安全和隐私保护在互联网时代，有一句非常著名的话：“在互联网上没有人知道你是一条狗。
”但是随着物联网的发展，在不远的将来，不仅你是谁，甚至连你今天去过哪里，遇见到什么人，这些你自己未必记得清楚的细节，都有可能被物联网中的感知设备记录下来。
从信息安全和隐私保护角度上说，物联网终端(RFID、传感器、智能信息设备)的广泛引入在提供更丰富信息的同时，也增加了暴露这些信息的危险。
所以有必要安全地管理这些信息，确保隐私信息不被别有用心的攻击者利用，来损坏我们的利益。
本章着眼于物联网中目前讨论最多的两大安全隐私问题——RFID安全和位置隐私。
RFID标签通常附着于物品，甚至嵌入人体，其中可能存储大量隐私信息。
然而，RFID标签受自身成本限制，不支持复杂的加密方法，因而容易遭受攻击。
攻击者可以通过破解RFID 标签，来获取、复制、篡改以及滥用RFID标签中保存的信息。
而RFID系统的大规模应用为攻击者提供了更多机会。
定位技术给人们的生活带来方便的同时，也带来了新的安全隐忧。
随着定位的精度不断提高，位置信息的内涵也变得越来越丰富。
高精度的位置信息倘若被攻击者窃取，造成的后果也不可小觑。
攻击者可以跟踪某个特定的用户，了解用户去过哪里，推断出干了什么事情、见过什么人；也可以通过追踪匿名用户的位置信息，结合某些先验知识，来判断用户的真实身份。
本章以RFID安全和位置隐私为例，介绍物联网中特有的安全和隐私问题。
物联网中也存在传统的安全和隐私问题，在本章节中没有深入讨论。
1.RFID安全现状概述2008年8月，美国麻省理工学院的三名学生宣布成功破解了波士顿地铁资费卡。
更为严重的是，世界各地的公共交通系统都采用几乎同样的智能卡技术，因此使用他们的破解方法可以“免费搭车游世界”。
近几年来不时爆出这样的破解事件，相关技术人员或者通常意义下的“黑客”声称破解了一种或多种使用RFID技术的产品，并可以从中获取用户的隐私，或者伪造RFID标签。
简谈RFID的安全性--- 胡紫薇 20112925 RFID已逐步进入我们的日常生产和生活当中，同时也给我们带来了许多新的安全问题。
RFID的安全风险主要来自于当初“系统开放”的设计思想，这是RFID系统出现安全隐患的根本原因，RFID设计和应用的目的就是降低成本，提高效率，由于RFID标签价格低廉和设备简单，安全措施很少被用到RFID当中，RFID面临的安全威胁更加严重。
如何根据RFID有限的计算资源设计出安全有效的安全技术解决方案，在RFID应用过程中的重要性也越来越明显。
RFID技术最初源于雷达技术，借助于集成电路、微处理器、通讯网络等的技术进步逐渐成熟起来。
RFID技术经美国军方在海湾战争中军用物资管理方面的成功应用，使其在交通管理、人员监控、动物管理、铁路和集装箱等方面得到推广。
随着全球几家大型零售商WalMart、Metro、Tesco等出于对提高供应链透明度的要求，相继宣布了各自的RFID计划，并得到供应商的支持，取得了很好的成效。
从此，RFID技术打开了一个巨大的市场。
随着成本的不断降低和标准的统一，RFID技术还将在无线传输网络、实时定位、安全防伪、个人健康、产品全生命周期管理等领域进行广泛的应用。
可以预见，随着数字化时代的发展，以网络信息化管理、移动计算、信息服务等为迫切需求和发展动力，RFID这项革命性的技术将对人类的生产和生活方式产生深远的影响。
一般来说，RFID在安全缺陷方面除了与计算机网络有相同之处外，还包括以下三种不同的安全缺陷类型：1.标签本身的访问缺陷；由于标签本身的成本所限，标签本身很难具备能够足以保证安全的能力，这就面临了很大的问题。
非法用户可以利用合法的阅读器或者自构一个阅读器，直接与标签进行通信。
这样，就可以很容易地获取标签内所存数据。
而对于读写式标签，还面临数据被改写的风险。
2.通信链路上的安全问题；RFID的数据通信链路是无线通信链路。
有线连接不一样，无线传输的信号本身是开放的。
RFID 智能卡：小心你的卡片安全
随着智能设备以及NFC 的普及，用RFID 卡支付变得越来越流行。
现在的非接触式卡片（包括但不限于社保卡、饭卡、交通卡、门禁卡等）都是使用的RFID 技术。
与此同时，RFID 智能卡也越来越受到攻击者的关注。
北京地铁票卡被黑，以及不久前在智利发生的交通卡被黑事件都是典型例子：窃贼将NFC 手机轻轻靠近交通卡就篡改了卡中的余额。
专攻RFID 智能卡的APP
这是一款名为PuntoBIP！的安卓APP，它可以用来黑掉NFC 电子支付系统TarjetaBIP！，而且犯罪成本非常低，人们甚至在各大论坛和博客都可以下载到。
趋势科技发布了一篇文章，阐释了如何利用该安卓应用黑掉RFID 支付卡，里面专门讨论了RFID 支付的风险。
在智利那个交通卡案例里，即使不懂技术的犯罪者，只需要在存在NFC 功能的安卓手机上安上该APP，然后把该交通卡贴近手机屏幕，并按下Cargar10k，那幺就可以立即为交通卡充值1 万智利比索（约合17 美元）。
钱。
