RFID智能卡：小心你的卡片安全
NFC、RFID、智能卡，哪一个能让我们更放心
NFC、RFID、智能卡，哪一个能让我们更放心2013年年底，美国零售巨头塔吉特(Target)被黑客入侵，7000万的用户个人信息和4000万的信用卡数据被盗，涉及用户名、电话号码和信息卡信息等隐私数据。
据估计塔吉特的损失当前已达1.48亿美元，并最终可能达到10亿美元。
塔吉特“丢钱又丢人”的事件让人们认识到，即便是最强大的安全系统也可能被黑客攻击。
塔吉特的账户是一个模型，多层次的系统，它的防御超过了Visa和万事达已经严格的安全措施所要求的。
但黑客还是入侵了，这立即引发了人们的强烈抗议，人们质疑为什么美国的信用卡交易不够安全，并呼吁使用不需要通过读卡器进行物理“刷卡”的非接触式信用卡。
多亏了这种强烈的抗议，Visa、万事达和美国运通已经坚定了立场:零售商必须在2015年10月之前投资于能够使用智能卡的读卡器。
对于那些不这样做的人，欺诈损失的责任将完全由他们来承担。
毕竟，智能卡(内含包含加密信息和安全处理能力的芯片，但仍需联系)自1983年以来已在发达国家广泛使用，极大地减少了盗窃行为。
在美国，欺诈花费了这么长时间才达到这个程度，尽管2013年，欺诈给零售商和银行造成了超过120亿美元的损失，但与更新零售网点(POS)系统的成本和复杂性相比，欺诈显然要便宜得多。
然而，随着技术的进步，如今的标准是采用无线通信的非接触式智能卡，不需要在卡和读卡器之间进行物理“刷卡”，而是基于智能手机的近场通信(NFC)技术完成。
然而，塔吉特公司被攻破很少提到的一个关键事实:卡牌本身并不是问题所在。
到底谁来背这个锅实施目标攻击的歹徒在目标商店的POS终端上安装恶意软件，使用“内存抓取”工具抓取终端在交易期间暂时存储的数据。
然而，该恶意软件通过一个公司目标网络服务器到达终端，黑客可以通过该服务器访问公司终端。
一旦舒适地安置在终端上，它就在塔吉特公司的网络上建立了自己的控制服务器，将所有窃取的数据存储在塔吉特公司自己的数据存储库中，直到黑客抽出时间卸载这些数据。
4.5知识点5RFID安全和隐私保护
16 RFID安全和隐私保护在互联网时代，有一句非常著名的话：“在互联网上没有人知道你是一条狗。
”但是随着物联网的发展，在不远的将来，不仅你是谁，甚至连你今天去过哪里，遇见到什么人，这些你自己未必记得清楚的细节，都有可能被物联网中的感知设备记录下来。
从信息安全和隐私保护角度上说，物联网终端(RFID 、传感器、智能信息设备)的广泛引入在提供更丰富信息的同时，也增加了暴露这些信息的危险。
所以有必要安全地管理这些信息，确保隐私信息不被别有用心的攻击者利用，来损坏我们的利益。
本章着眼于物联网中目前讨论最多的两大安全隐私问题——RFID 安全和位置隐私。
RFID标签通常附着于物品，甚至嵌入人体，其中可能存储大量隐私信息。
然而，RFID标签受自身成本限制，不支持复杂的加密方法，因而容易遭受攻击。
攻击者可以通过破解RFID 标签，来获取、复制、篡改以及滥用RFID标签中保存的信息。
而RFID系统的大规模应用为攻击者提供了更多机会。
定位技术给人们的生活带来方便的同时，也带来了新的安全隐忧。
随着定位的精度不断提高，位置信息的内涵也变得越来越丰富。
高精度的位置信息倘若被攻击者窃取，造成的后果也不可小觑。
攻击者可以跟踪某个特定的用户，了解用户去过哪里，推断出干了什么事情、见过什么人；也可以通过追踪匿名用户的位置信息，结合某些先验知识，来判断用户的真实身份。
本章以RFID安全和位置隐私为例，介绍物联网中特有的安全和隐私问题。
物联网中也存在传统的安全和隐私问题，在本章节中没有深入讨论。
1.RFID安全现状概述2008 年8 月，美国麻省理工学院的三名学生宣布成功破解了波士顿地铁资费卡。
更为严重的是，世界各地的公共交通系统都采用几乎同样的智能卡技术，因此使用他们的破解方法可以“免费搭车游世界” 。
近几年来不时爆出这样的破解事件，相关技术人员或者通常意义下的“黑客”声称破解了一种或多种使用RFID技术的产品，并可以从中获取用户的隐私，或者伪造RFID标签。
RFID的安全
• 物联网这种暴露在公共场所中的信号如果缺乏有效保护措施的话,很容易被非 法监听、窃取、干扰;而且在物联网的应用中,大量使用传感器来标示 物品设备,由人或计算机远程控制来完成一些复杂、危险或高精度的操 作,在此种情况下,物联网中的这些物品设备大多都是部署在无人监控 的地点完成任务的,那么攻击者就会比较容易地接触到这些设备,从而 可以对这些设备或其承载的传感器进行破坏,甚至通过破译传感器通信 协议,对它们进行非法操控。
3.2.1 RFID安全威胁分析
1、 RFID安全威胁
(1)嗅探：任何对应的阅读设备都可能读取标签信息，阅读行为无需标 签知晓，并且可以远距离发生。
(2) 跟踪：阅读器在特定地点可记录独特的可视标签。 (3 )应答攻击：攻击者使用应答设备拦截、转发RFID查询。 (4) 拒 绝 服务：DoS攻击阻止RFID系统正常工作，如信令拥塞会阻止 阅读器与标签之间的通信。 (5)重放攻击：攻击者窃听电子标签的响应信息并将此信息重新传给合 法的读写器，以实现对系统的攻击。 (6)克隆攻击：克隆末端设备，冒名顶替，对系统造成攻击。 (7)信息篡改：将窃听到的信息进行修改之后再将信息传给原本的接收者。 (8)中间人攻击：指攻击者伪装成合法的读写器获得电子标签的响应信息， 并用这一信息伪装成合法的电子标签来响应读写器。这样，在下一轮通信 前，攻击者可以获得合法读写器的认证。
RFID引起的隐私安全问题
RFID引起的隐私安全问题随着RFID技术应用的增长，对个人隐私安全的关注也随之上升。
然而，一名信息安全专家称，RFID技术的益处和功能远超过其潜在的安全问题。
RFID指的是无线和无接触式射频磁场，用于传送数据，以自动识别和追踪物品上的标签。
这些标签都包含电子储存的信息，分为自带电源和无电源。
根据标签类型的不同，读取距离分为10厘米至200米不等。
RFID广泛用于不同的行业，包括运输、物流、时装、汽车和药物等。
与传统的条形码不同的是，读取时无需将读取器与标签对齐，且标签可安置在物品内部。
就是这个特点使许多人对RFID带来的个人隐私安全问题感到担忧。
另外，伪造及其它未授权应用也妨碍着RFID技术的推广。
IT安全服务供应商Help AG的技术服务主管Nicolai Solling 表示：“人们会担心信息获取是否安全。
当涉及到护照和支付卡等高度安全应用时，存在的风险就更大了。
如果标签被仿造，那么你的账户就很可能被别人盗用。
” 由于标签还可应用于衣物和财产，有人担心这些标签是否会被用于追踪人。
据哈佛报告称，RFID标签可安置于许多物品内部，如衣服、鞋子、书本和钥匙卡等，且消费者还可能不知道它的存在。
这些标签还可被其它人利用来进行追踪，而且以后RFID读取器将会变得非常便宜，易于隐藏。
Solling称：“撇开安全问题不谈，由于RFID安装方便、简单易用，未来RFID必定会普及。
不幸的是，组织机构并不总是注意到技术所带来的内部安全风险。
这就是行业需改进的地方——不单单是引起注意，还要制定安全使用RFID技术的标准。
”。
第九章--RFID系统的安全案例
窃听者可以轻易地获取标签K和ID的值。
9.2 RFID系统安全解决方案
2．随机Hash锁
作为Hash锁的扩展，随机Hash锁解决了标签位置隐私问题。采 用随机Hash锁方案，读写器每次访问标签的输出信息不同。 随机Hash锁原理是标签包含Hash函数和随机数发生器，后台服 务器数据库存储所有标签ID。读写器请求访问标签，标签接收到
锁定标签：向未锁定标签发送锁定指令，即可锁定该标签。
解锁标签：读写器向标签ID发出询问，标签产生一个随机数R， 计算Hash（ID||R），并将（R，Hash(ID||R)）数据传输给读写器；
读写器收到数据后，从后台数据库取得所有的标签ID值，分别计算
各个Hash（ID||R）值，并与收到的Hash（ID||R）比较，若Hash （IDk||R）= Hash（ID||R），则向标签发送IDk；若标签收到 IDk=ID，此时标签解锁，如下图所示。
由标
签将metaID存储下来，进入锁定状态；最后读写器将（metaID，K，
ID）存储到后台数据库中，并以metaID为索引。
2）解锁标签
读写器询问标签时，标签回答metaID；然后读写器查询后台数
据库，找到对应的（metaID，K，ID）记录，再将K值发送给标签； 标签收到K值后，计算Hash(K)值，并与自身存储的metaID值比较， 若Hash(K)=metaID，则标签解锁并将其ID发送给阅读器。
9.1 RFID系统面临的安全攻击
常见安全攻击类型
1．电子标签数据的获取攻击
由于标签本身的成本所限制，标签本身很难具备保证安全的能 力，因此会面临着许多问题。
《RFID的安全性》课件
RFID的加密技术
了解RFID加密的原理和常用加密 算法。
RFID的身份认证技术
介绍使用身份认证机制保护RFID 系统安全的方法。
ቤተ መጻሕፍቲ ባይዱ
RFID的访问控制技术
探索如何使用访问控制来限制对 RFID系统的非法访问。
RFID的安全挑战
RFID技术变革日新月异，随之而来的是不断出现的新的安全挑战。我们需要保持警惕并适应快速发展的技术环 境。
RFID技术的未来发展
展望RFID技术未来的发展和 应用前景。
RFID的安全趋势和挑战
分析RFID安全领域的最新趋 势和挑战。
RFID的深度融合和应用
讨论RFID与其他技术（如人 工智能、大数据）的深度融 合和应用。
总结
本课件全面讨论了RFID的安全性，强调了其重要性和未来发展，希望能够引起对RFID安全保护的 重视。
1 RFID的安全性重要性和意义
了解为什么保护RFID的安全性对于现代社会非常重要。
2 RFID的未来发展和安全挑战
回顾RFID技术的成就并探索未来面临的安全挑战。
3 RFID的应用前景和展望
展望RFID技术在未来的广泛应用和创新。
RFID技术的缺陷
了解RFID技术的漏洞和潜在弱点。
2
RFID的漏洞利用方式
探索黑客如何利用RFID漏洞进行信息窃取和篡改。
3
RFID的攻击场景
深入了解RFID系统中可能出现的各类攻击情境。
RFID的安全措施
为了确保RFID系统的安全性，我们可以借助加密技术、身份认证等手段来构建强大的安全保护机制。
《RFID的安全性》PPT课件
RFID的安全性是一个重要话题。通过本课件，我们将深入了解RFID的概念、安 全威胁以及相应的安全措施。让我们一起探索RFID的安全特性。
RFID的安全与隐私
RFID的安全与隐私无线射频识别(RFID)是一种远程存储和获取数据的方法，其中使用了一个称为标签(Tag)的小设备。
在典型的RFID系统中，每个物体装配着这样一个小的、低成本的标签。
系统的目的就是使标签发射的数据能够被阅读器读取，并根据特殊的应用需求由后台服务器进行处理。
标签发射的数据可能是身份、位置信息，或携带物体的价格、颜色、购买数据等。
RFID标签被认为是条码的替代，具有体积小、易于嵌入物体当中、无需接触就能大量地进行读取等优点。
另外，RFID标识符较长，可使每一个物体具有一个唯一的编码，唯一性使得物体的跟踪成为可能。
该特征可帮助企业防止偷盗、改进库存管理、方便商店和仓库的清点。
此外，使用RFID 技术，可极大地减少消费者在付款柜台前的等待时间。
但是，随着RFID能力的提高和标签应用的日益普及，安全问题，特别是用户隐私问题变得日益严重。
用户如果带有不安全的标签的产品，则在用户没有感知的情况下，被附近的阅读器读取，从而泄露个人的敏感信息，例如金钱、药物(与特殊的疾病相关联)、书(可能包含个人的特殊喜好)等，特别是可能暴露用户的位置隐私，使得用户被跟踪。
因此，在RFID应用时，必须仔细分析所存在的安全威胁，研究和采取适当的安全措施，既需要技术方面的措施，也需要政策、法规方面的制约。
1 RFID技术及其系统组成1.1系统组成基本的RFID系统主要由3部分组成，如图1所示，包括：(1)标签标签放置在要识别的物体上，携带目标识别数据，是RFID系统真正的数据载体，由耦合元件以及微电子芯片(包含调制器、编码发生器、时钟及存储器)组成。
(2)阅读器阅读器用于读或读/写标签数据的装置，由射频模块(发送器和接收器)、控制单元、与标签连接的藕合单元组成。
(3)后台服务器后台服务器包含数据库处理系统，存储和管理标签相关信息，如标签标识、阅读器定位、读取时间等。
后台服务器接收来自可信的阅读器获得的标签数据，将数据输入到它自身的数据库里，且提供对访问标签相关数据的编号。
RFID-SIM的介绍
3
系统架构
系统组网
RFID-SIM 技术介绍
业务总体构架
RFID-SIM的COS介绍 RFID-SIM的文件系统介绍
实现企业具体的一卡 通功能，如门禁、考 勤、消费等功能
I_IF_3
系统架构
I_IF_1
实现对所有企业的一卡通业 务的管理，包括订购关系管 理、认证鉴权、统计分析、 门户服务等功能
RFID -SIM
RFID-SIM
RFID-SIM卡是CPU卡，支持双向认证，具有高 安全性 可实现空中发卡和空中充值
便捷性 应用丰富 提升管理 便携性 跨单位使用
内部支付普遍采取在线消费，应用单一， 支持在线消费、离线消费，并提供考勤、消 不能灵活扩展 费的短信帐单提醒等增强型服务 存在转借他人或代替打卡的情况 需要携带卡片，不方便且容易忘记携带 一张卡只限在一家单位使用 可有效杜绝代打卡或卡转借他人的漏洞 手机是个人随身携带必不可少的用品，用户 不需再带卡片，为用户带来极大方便 一张卡可在多个单位使用
基本文件: 用于存储各 种应用数据 和管理信息。
EF从存储内容上分为两种
RFID-SIM的文件系统介绍(2)
安全 基本文件
用于存放密钥，每个目录下只能建立一 个安全基本文件，密钥文件不能通过文 件选择来选取，密钥内容不可以读出， 但在满足条件时可使用和修改。
EF
工作 基本文件
用于存放应用的实际数据，个数及大 小只受空间限制。在满足条件时可读 写。
RFSIM (已成为运营商 主推的标准)
采用2.4G的频率 用户只需更换成RFSIM的SIM卡即可 与银行业主推的13.56M不同，在POS改造方面会有 一定的阻力。
RFID-SIM的定义
RFID（Radio Frequency Identification)
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
RFID 智能卡：小心你的卡片安全
随着智能设备以及NFC 的普及，用RFID 卡支付变得越来越流行。
现在的非接触式卡片（包括但不限于社保卡、饭卡、交通卡、门禁卡等）都是使用的RFID 技术。
与此同时，RFID 智能卡也越来越受到攻击者的关注。
北京地铁票卡被黑，以及不久前在智利发生的交通卡被黑事件都是典型例子：窃贼将NFC 手机轻轻靠近交通卡就篡改了卡中的余额。
专攻RFID 智能卡的APP
这是一款名为PuntoBIP！的安卓APP，它可以用来黑掉NFC 电子支付系统TarjetaBIP！，而且犯罪成本非常低，人们甚至在各大论坛和博客都可以下载到。
趋势科技发布了一篇文章，阐释了如何利用该安卓应用黑掉RFID 支付卡，里面专门讨论了RFID 支付的风险。
在智利那个交通卡案例里，即使不懂技术的犯罪者，只需要在存在NFC 功能的安卓手机上安上该APP，然后把该交通卡贴近手机屏幕，并按下Cargar10k，那幺就可以立即为交通卡充值1 万智利比索（约合17 美元）。
钱。