RSA denkt na over beveiliging van RFID-tags

RSA Laboratories is bezig met het ontwikkelen van een nieuwe beveiligingstechniek voor RFID-tags, zo heeft directeur Burt Kaliski bekendgemaakt op een conferentie van het bedrijf in San Francisco. RSA is bezorgd om het feit dat RFID-tags door iedereen met een reader kunnen worden gelezen. Op dit moment is dat nog niet zo’n probleem, omdat de chips nog niet veel gebruikt worden en weinig vertrouwelijke informatie bevatten. Bovendien zijn de readers nog niet goed beschikbaar. RSA verwacht echter dat in de toekomst de readers geïntegreerd worden in andere apparaten zoals mobiele telefoons zodat ze bijvoorbeeld gebruikt kunnen worden om in de winkel producten en prijzen te vergelijken.

Een dergelijke ontwikkeling kan misschien nog wel tien jaar op zich laten wachten, maar Kaliski is van mening dat de RFID-industrie zich nu al moet gaan bezighouden met een verbeterde beveiliging van RFID-chips. Wanneer de techniek dan zover gegroeid is, moet de beveiliging hier ook klaar voor zijn. Op dit moment is de beveiliging van het RFID-systeem gebaseerd op het idee dat het systeem zelf betrouwbaar is en dat de user zijn betrouwbaarheid moet kunnen verantwoorden.

Met de komst van schimmige readers is een nieuwe aanpak nodig; een van de ideeën is het veranderen van de identificatienummers van de tags per interactie. Eerder deze maand ontdekten onderzoekers van RSA en de John Hopkins Universiteit encryptionele zwakheden in de DST-tags van Texas Instruments die werden gebruikt in autosleutels en betaalsystemen bij tankstations. Dit systeem was kwetsbaar door het gebruik van een 40-bits sleutel: volgens RSA een goede poging om het systeem te beveiligen, maar niet goed genoeg.

Reacties (15)

Goede zaak lijkt me..... het gaat bijvoorbeeld niemand wat aan of ik nou 10 of 200 euro in mn portomonaie heb zitten.

Zonder een beveiliging zoals deze, gaan de mensen RFID niet accepteren (en geven alles dus ff de magnetron treatment).

@edwingr: Dit is niks nieuws hoor... op veel tech-sites wordt al gesproken over (of aangetoond dat) er in sommige biljetten al RFID tags zitten. En kijk ook maar eens hier:
http://www.eetimes.com/story/OEG20011219S0016

Sinds wanneer zitten er RFID tags in euro-biljetten verwerkt ???

@sys64738: okee dat had ik nog even gemist.

vooruitzien is regeren...

Als je iemand vraagt om even een 100 Euro biljet te wisselen, is het toch wel makkelijk als beide partijen kunnen controleren of ze met echte euro biljetten te maken hebben en niet met een vervalsing. Het gaat er dus om hoe je op een zinvolle manier RFID lezers toegang kunt verlenen. Dat is best moeilijk.

Stap in de goeie richting ?? Dit is vooral bedoeld om er voor te zorgen dat derden (waaronder ook JIJ als consument) die RFID tags niet kunnen lezen.

M.a.w. je kan zelf niet meer te weten komen wat voor info jouw nieuwe trui verstuurt naar diegenen die het WEL kunnen lezen.

Eindelijk een stap in de goede richting. Voor veel mensen die zich zorgen maken over verlies van privacy doordat elke sufkees met een reader een schat aan informatie van iemand uit kan lezen kunnen RFID tags al weer wat acceptabeler zijn en komt de acceptatie ervan ten goede denk ik.

Ik ben wel benieuwd hoe ze die encryptie denken te gaan implementeren, je kan immers niet zo heel veel data kwijt of de RFID tag moet groter worden oid of je krijgt een harde koppeling tussen een bepaalde reader dat bepaalde tags uit kan lezen?

In Duitsland is er een of andere MegaStore, waar IBM een dikke vinger in heeft, waar alles al m.b.v. RFID-tags en een klantenkaart wordt afgerekend. Kassa's zonder caissieres en je hoeft niets op de lopende band te leggen. Klinkt leuk, maar omdat je een klantenkaart nodig hebt, weet men dus alles over jouw bestedingspatroon....

En dan natuurlijk de zwakheden:
Een Duitse Nerd heeft m.b.v. een PDA en enig soldeerwerk het gepresteerd om daadwerkelijk de identificatie te wijzigen.
Da's leuk: je koopt een Nintendo DS, terwijl er een lollie van 10 cent op je bon staat

Ik vind het een enge ontwikkeling.....

Voor de paranoïde tweakers onder ons, is er bij FNL (van de ComputerTechniek) een printplaat te bestellen + onderdelenlijst, om zelf een RFID-detector te bouwen. Hij past in een pakje cigaretten (20 stuks) en is derhalve onopvallend. Bestellen kan hier
De kosten bedragen € 7,50

De "RFID detector" bestaat niet, RFID wordt bedreven op diverse frequenties.
Zo'n detector bestaat waarschijnlijk uit een ontvanger welke is afgestemd op 1 van de meest gebruikte frequenties nl.13,56MHz.
Laatst stond er ook al zo'n ontwerp in de elektuur (publiceren die lui eigenlijk wel eens wat nuttigs )
Ik vraag me af wat je met zo'n detector moet? de hele dag op zoek gaan naar big brother

Een stap in de goede richting ???

In mijn optiek is dit net zo`n techniek als herkennings chips in wapens waardoor alleen de eigenaar van het vuurwapen met dat vuurwapen kan schieten.
Ik vind nl dat iemand uberhaupt geen vuurwapen zou moeten bezitten

Nl dit is een techniek om een probleem op te vangen wat ontstaat omdat een andere "foute" techniek (RFID) geintroduceerd is.

Het is een soort van .
Je hackt iemand z`n pc vaak met een bepaald programma .
mensen komen daarachter en verwijderen de trojan , wat jij als hacker niet wil , dus beveilig je je trojan zodat hij niet verwijdered of uitgelezen kan worden.
Om ongestoord je hacken te kunnen voortzetten.

maw weer een manier om een inbreuk op privacy te rechtvaardigen.

Niks nieuws die beveiliging van RFID chips, diverse fabrikanten maken al lange tijd gevbruik van challenge and responds systemen, eveneens als encryptie van de data.
Ik snap uberhaupt de hele opwinding over RFID technieken niet.
Al die rare mensen die denken dat je die chips over geweldige afstanden kan uitlezen, helaas is dat dus niet mogelijk.
De RSA denkt dus ook een graantje mee te kunnen pikken van de RFID hype

Ik snap uberhaupt de hele opwinding over RFID technieken niet.

Dat is erg afhankelijk van de toepassing. Voor gebruik in winkels e.d. heb ik er niet erg veel problemen me, zolang het maar uit gaat of verwijderd wordt als de koop rond is. Voor logistieke toepassing geldt het nog sterker.

Het wordt wat anders als je je id kaart er mee gaat uitrusten bijv. Dan ben je dus overal waar je langs gaat (ervan uitgaande dat je je ID altijd bij je hebt - en dat moet tegenwoordig) en waar je geweest bent traceerbaar zolang er readers in de buurt zijn en wel zonder dat je het weet en zonder dat er noodzaak voor is en zonder dat je weet wie er toegang toe heeft.

Zie ook het verhaal over de Amerikaanse school die kinder verplicht met RFIDs uitrustte om na te gaan of ze wel op school kwamen en niet ontvoert waren.

Das niet zo raar dat ze op school controlleren dat je aanwezig bent.
Dat doen ze volgens mij al zo lang er zoiets als school bestaat, absentie controlle heet dat.
Alleen nu heeft men dat geautomatiseerd.

Wat zijn de merites van de BSA om zich voor
te doen als beveiligings techneuten.
Oh ja cd's dvd 's .

* 786562 three2five