आरएफआईडी सुरक्षा प्रणाली फर्मवेयर और इसकी बौद्धिक संपदा कैसे लागू करें

- May 24, 2018-

आरएफआईडी और उत्पाद पहचान प्रौद्योगिकी

आरएफआईडी उपकरणों को चावल के अनाज की तरह बनाया जा सकता है और चाबियाँ, एल्गोरिदम, और उत्पाद की अपनी सूचना श्रृंखला को पकड़ने के लिए पर्याप्त स्मृति होती है। आरएफआईडी डिवाइस द्वारा लोड की गई जानकारी को नग्न आंखों से सीधे देखने की आवश्यकता नहीं है और लगभग किसी भी उत्पाद में शीशे, सौंदर्य प्रसाधन, या गहने सहित एम्बेडेड किया जा सकता है।

आरएफआईडी टैग स्वयं सुरक्षित नहीं है, क्योंकि उत्पाद की जानकारी वायरलेस सिग्नल द्वारा बाहरी दुनिया में प्रसारित की जाएगी। $ 100 से कम के लिए बेचने वाले आरएफआईडी पाठक उत्पाद की जानकारी को रोक सकते हैं। हालांकि, आरएफआईडी भी हैं जिनके पास सुरक्षा एन्क्रिप्शन उपायों हैं जो माइक्रोकंट्रोलर के एन्क्रिप्शन के करीब हैं।

पासवर्ड और एन्क्रिप्शन

सबसे अधिक इस्तेमाल किया जाने वाला आरएफआईडी सुरक्षा उपाय पासवर्ड सुरक्षा है। कुछ निर्माता पासवर्ड एन्क्रिप्ट करने के लिए लगभग अटूट एन्क्रिप्शन एल्गोरिदम का उपयोग करते हैं। इस दृष्टिकोण के साथ एक समस्या यह है कि पासवर्ड (चाहे एन्क्रिप्टेड या नहीं) बाहर प्रसारित किए जाते हैं और आसानी से अवरुद्ध किए जा सकते हैं और फिर नकली उत्पादों को टैग करने के लिए उपयोग किए जाते हैं। नकल करने वालों को पासवर्ड कॉपी करने के लिए पासवर्ड क्रैक करने की आवश्यकता नहीं है। इस तरह, पाठक के प्रबंधन के आसपास बेवकूफ धोखाधड़ी वाले आरएफआईडी टैग एक एन्क्रिप्टेड पासवर्ड के साथ बनाया जा सकता है।

गुप्त प्रमाणीकरण प्रौद्योगिकी

वास्तव में आरएफआईडी टैग के क्लोनिंग को रोकने का एकमात्र तरीका पहचान जानकारी को एक्सेस होने से रोकना है। यह पहचान प्रमाणीकरण नामक एक एन्क्रिप्शन प्रक्रिया का उपयोग करके हासिल किया जा सकता है। इस प्रमाणीकरण प्रक्रिया में, पाठक / लेखक और / या आरएफआईडी टैग को दूसरी पार्टी की वैधता को सत्यापित करने की आवश्यकता होती है, यानी पुष्टि करें कि दूसरी पार्टी कुछ अस्पष्ट अनुबंध जानकारी की व्याख्या कर सकती है। आरएफआईडी टैग और पाठकों दोनों को किसी अन्य प्रकार के गुप्त और अप्राप्य जानकारी के साथ डिजाइन किया गया है जो अन्य पक्ष के लिए एन्क्रिप्टेड क्वेरी स्ट्रिंग उत्पन्न करने के लिए उपयोग किया जाता है। इस प्रमाणीकरण तंत्र में, टैग पाठक के लिए एन्क्रिप्टेड चुनौती स्ट्रिंग उत्पन्न करने के लिए इस गुप्त और पहुंच योग्य प्रमाणीकरण कुंजी और यादृच्छिक संख्या का उपयोग करता है। कानूनी पाठक टैग स्ट्रिंग को टैग में कॉपी करने के लिए अपनी गुप्त प्रमाणीकरण कुंजी और यह यादृच्छिक संख्या का उपयोग करेगा। यदि टैग द्वारा प्राप्त स्ट्रिंग स्वयं ही जेनरेट की गई है, तो पाठक की कानूनी पहचान स्वीकार की जाती है। इस प्रमाणीकरण को चुनौती / प्रतिक्रिया सुरक्षा कहा जाता है। दो तरफा चुनौती / प्रतिक्रिया प्रमाणीकरण तंत्र में, पाठक को आरएफआईडी की कानूनी पहचान निर्धारित करने के लिए एक ही प्रमाणीकरण प्रक्रिया को दोहराना होगा। केवल जब दोनों पक्ष पारस्परिक रूप से एक-दूसरे की पहचान को पहचानते हैं, तो आरएफआईडी टैग अन्य पार्टी को इसकी पहचान जानकारी को पढ़ने और संशोधित करने की अनुमति देता है।

इस सुरक्षा योजना की कुंजी यह है कि किसी उत्पाद की प्रामाणिकता की पहचान करने के लिए उपयोग की जाने वाली जानकारी डिवाइस को कभी नहीं छोड़ती है और इसलिए किसी के द्वारा पठनीय नहीं होती है। पहचान जानकारी का उपयोग केवल एन्क्रिप्टेड क्वेरी स्ट्रिंग की गणना करने के लिए किया जाता है, और क्वेरी स्ट्रिंग का प्रमाणीकरण तब किया जाता है जब दूसरी पार्टी स्ट्रिंग को अपनी गुप्त जानकारी के साथ प्रतिलिपि बनाता है। प्रत्येक लेनदेन द्वारा उत्पन्न एन्क्रिप्टेड क्वेरी स्ट्रिंग दोनों पार्टियों के लिए अलग है। इसलिए, आरएफआईडी लेनदेन के दौरान अवरुद्ध तारों का उपयोग करके उत्पाद पहचानकर्ता क्लोन करना संभव नहीं है। क्वेरी स्ट्रिंग हर बार बदलती है।

अधिकांश आरएफआईडी प्रोटोकॉल के रूप में, पूछताछकर्ता (टैग रीडर / लेखक) द्वारा संचार शुरू किया जाता है। आरएफआईडी टैग तारों के लिए पूछने के लिए तैयार होना चाहिए। टैग रीडर / लेखक इस एन्क्रिप्टेड स्ट्रिंग को पढ़ता है और सत्यापन के लिए आरएफआईडी टैग को भेजने के लिए प्रतिक्रिया स्ट्रिंग उत्पन्न करता है। हर बार आरएफआईडी टैग एक सफल सत्यापन पूरा करता है, स्ट्रिंग को अद्यतन किया जाता है (चित्रा 1), इसलिए एक क्वेरी स्ट्रिंग का दो बार उपयोग नहीं किया जाता है। नकली डिवाइस से उत्पाद पहचान जानकारी प्राप्त नहीं कर सकता क्योंकि यह क्वेरी स्ट्रिंग को सही ढंग से प्रतिक्रिया नहीं दे सकता है, और इस प्रकार उत्पाद पहचान को क्लोन नहीं कर सकता है।

सभी आरएफआईडी उत्पाद क्वेरी / प्रतिक्रिया प्रमाणीकरण तंत्र का समर्थन नहीं करते हैं। इसलिए, सुरक्षा-जागरूक इंजीनियरों को यह जांचना चाहिए कि आरएफआईडी टैग में यह क्षमता है या नहीं।

उत्पाद का असली निर्माता नकली को पाठक की चाबियों का प्रबंधन करके अपनी उत्पाद जानकारी पढ़ने से रोक सकता है, जिससे उनके उत्पाद पहचानकर्ताओं के अवैध क्लोनिंग को रोक दिया जा सकता है। झूठी पहचान वाले क्लोन उत्पादों को नकली पाया जाएगा।

दो-तरफा चुनौती / प्रतिक्रिया प्रमाणीकरण एक तरफा चुनौती / प्रतिक्रिया प्रमाणीकरण के समान है, सिवाय इसके कि पाठक आरएफआईडी टैग के लिए भी पूछेगा (चित्र 2 देखें)। इस प्रमाणीकरण तंत्र के लिए पाठक और आरएफआईडी टैग को अपने संबंधित प्रमाणीकरण के लिए असममित कुंजी को स्वतंत्र रूप से सहेजने की आवश्यकता होती है। आपसी प्रमाणीकरण की यह तंत्र पाठकों और आरएफआईडी टैग की पहचान की गारंटी देती है। यह विशेष रूप से उपयोगी होता है जब वैध पाठकों को क्षेत्र में कानूनी आरएफआईडी टैग अपडेट करने की आवश्यकता होती है। उदाहरण के लिए, किसी निर्माता द्वारा स्मार्ट फ़ोन जैसे मोबाइल इलेक्ट्रॉनिक उत्पाद के फर्मवेयर को अपग्रेड करने से पहले, उत्पाद लेबल की प्रामाणिकता की पुष्टि करने के लिए पाठक / लेखक (जैसे फ़र्मवेयर अपग्रेड डिवाइस) का उपयोग करना आवश्यक हो सकता है (उत्पाद स्वयं )।

अतिरिक्त डेटा सुरक्षा सुरक्षा सुविधाएं

दो तरफा चुनौती / प्रतिक्रिया प्रमाणीकरण और एक तरफा चुनौती / प्रतिक्रिया प्रमाणीकरण एक प्रभावी विरोधी नकली समाधान प्रदान करते हैं। हालांकि, ऐसा समाधान पाठक और आरएफआईडी टैग के बीच संचारित डेटा की सुरक्षा नहीं करता है। उदाहरण के लिए, एक ईव्सड्रॉपिंग डिवाइस संपूर्ण पूछताछ / प्रतिक्रिया प्रक्रिया की निगरानी कर सकता है और पाठक और टैग के बीच आदान-प्रदान डेटा को अवरुद्ध कर सकता है; कुछ अनुप्रयोगों में, इन आंकड़ों को भी अतिक्रमण प्राप्त करने के लिए संशोधित किया जा सकता है।

उदाहरण के लिए, एक दुर्भावनापूर्ण प्रतियोगी सेवा के हमले के तथाकथित इनकार को प्राप्त करने के लिए जानबूझकर ब्रांड के उपभोक्ता इलेक्ट्रॉनिक्स फर्मवेयर में त्रुटि कोड एम्बेड कर सकता है। इस तरह के छिपाने वाले उपकरण प्रतिस्पर्धी के वैध उपभोक्ता उत्पादों (इलेक्ट्रॉनिक या गैर-इलेक्ट्रॉनिक उत्पादों) में झूठी जानकारी भी डाल सकते हैं, जिससे उन्हें "नकली उत्पाद" में बदल दिया जा सकता है। इसलिए, प्रमाणीकरण तंत्र के अलावा, एक और पूर्ण आरएफआईडी पहचान सुरक्षा योजना में डेटा संरक्षण तंत्र भी होना चाहिए।

अधिकांश आरएफआईडी टैग डेटा में लॉक करने के लिए लिखने की सुरक्षा सुविधा का उपयोग कर सकते हैं, जिससे उन्हें बाद में संशोधित किया जा सकता है। यह विधि पूरी तरह से स्थिर सूचना पहचान, जैसे दवाओं, सौंदर्य प्रसाधन, कपड़ों आदि के लिए बहुत उपयुक्त है।

उन मामलों में जहां टैग में डेटा को अपडेट करना आवश्यक है, पाठक द्वारा टैग किए गए डेटा को एन्क्रिप्ट करने वाला टैग और टैग का उपयोग किया जाना चाहिए। पाठक द्वारा दिए गए डेटा को एन्क्रिप्ट करना और टैग प्रेषित डेटा की गोपनीयता सुनिश्चित करता है। डेटा की गोपनीयता रहस्यों की सुरक्षा के लिए या "बीच में आदमी" हमलों को रोकने के लिए उपयोगी हो सकती है। यह सुरक्षा तंत्र विशेष रूप से उन अनुप्रयोगों के लिए उपयोगी है जिन्हें फ़ील्ड में अपग्रेड किया जाना चाहिए।

सूचना प्रमाणीकरण कोड

सुरक्षा स्तर को और बेहतर बनाने के लिए, एक तथाकथित संदेश प्रमाणीकरण कोड (मैक) भी जोड़ा जा सकता है; इस एल्गोरिदम के साथ, सूचना प्राप्तकर्ता डेटा स्रोत की पहचान और डेटा सामग्री की अखंडता की पुष्टि कर सकता है। मैक एल्गोरिदम द्वारा उपयोग की जाने वाली कुंजी टैग रीडर और आरएफआईडी टैग में संग्रहीत होती है, और पारस्परिक प्रमाणीकरण के लिए उपयोग की जाने वाली कुंजी वही होती है। केवल एक वैध पाठक या आरएफआईडी टैग किसी भी समय सही मैक भेज सकता है। डेटा प्रेषक डेटा के साथ एक मैक उत्पन्न करता है, डेटा रिसीवर मैक की अपनी कुंजी के साथ प्रतिलिपि बनाता है, और तुलनात्मक रूप से मैक को सत्यापित करता है। यदि मैक प्रमाणीकरण में विफल रहता है, तो यह इंगित करता है कि सूचना स्रोत की पहचान अवैध है, डेटा की अखंडता संदिग्ध है (जैसे स्रोत को छोड़ने के बाद सूचना संशोधित की गई थी), या एक संचार त्रुटि है। फ़ील्ड अपग्रेड (इलेक्ट्रॉनिक उत्पादों के लिए फर्मवेयर अपग्रेड) के लिए शक्तिशाली डेटा सुरक्षा प्रदान करने के लिए मैक के साथ डेटा एन्क्रिप्शन का उपयोग किया जाता है।

सही आरएफआईडी सुरक्षा समाधान चुनें

कई आरएफआईडी टैगों की सुरक्षा की एक निश्चित डिग्री होती है। नकली उत्पादों को रोकने के लिए, पहचान जानकारी जारी करने से पहले आरएफआईडी टैग कम से कम पाठक की पहचान की पहचान करनी चाहिए। आरएफआईडी एंटी-नकली समाधान खरीदने पर विचार करने के लिए दो चीजें हैं:

आरएफआईडी टैग को उसमें संग्रहीत पहचान जानकारी तक पहुंचने से पहले पाठक की पहचान की पहचान करनी चाहिए। अगर आपको केवल पाठक की पहचान करने की आवश्यकता है, तो चुनौती / प्रतिक्रिया प्रमाणीकरण योजना का चयन करें; यदि आपको आरएफआईडी टैग में संग्रहीत जानकारी को अपडेट करने की आवश्यकता है, तो आपको दो-तरफा चुनौती / प्रतिक्रिया प्रमाणीकरण योजना (आपसी पहचान) का चयन करना होगा, यानी यह सत्यापित करें कि टैग वास्तव में वैध है। जानकारी चोरी करने की कोशिश कर रहे किसी प्रकार का अवैध एजेंट नहीं।

यदि भविष्य में पहचान जानकारी नहीं बदली है, तो सरल लेखन सुरक्षा का उपयोग करें। हालांकि, कुछ मामलों में (जैसे फर्मवेयर उन्नयन), डेटा स्रोत, डेटा गोपनीयता और अखंडता की प्रामाणिकता महत्वपूर्ण हैं। इस बिंदु पर, चयनित आरएफआईडी टैग में डेटा संरक्षण और मैक क्षमताओं होनी चाहिए।

आरएफआईडी प्रौद्योगिकी उत्पाद जालसाजी को रोक सकती है। डेटा सुरक्षा सुरक्षा तंत्र के साथ उचित प्रमाणीकरण तंत्र का संयोजन एक पूर्ण उत्पाद संरक्षण समाधान बना सकता है।