요즘 RFID chips มีอยู่ในสิ่งของหลากหลาย: บัตรเครดิต หนังสือห้องสมุด สินค้าซูเปอร์มาร์เก็ต แท็กความปลอดภาย รายละเอียดสัตว์เลี้ยงที่ฝังเข้าไป บันทึกทางการแพทย์ที่ฝัง พาสปอร์ต และอื่นๆ แม้สะดวก แฮกเกอร์เรียนรู้เรื่องคุณมากจากแท็ก RFID
นี่คือพื้นฐาน RFID ถูกแฮกอย่างไร และวิธีอยู่ปลอดภัย
RFID คืออะไร?
RFID ย่อมาจาก Radio Frequency Identification ใช้สื่อสารข้อมูลระยะสั้น ไม่ต้องมี line of sight (สายตาตรง) หมายความว่า ชิป RFID และอ่านตัวอ่าน (reader) เพียงอยู่ในระยะที่กำหนด ก็สื่อสารได้
มีชิป RFID หลักๆ หลายประเภท:
- Passive Tags: ต้องการสัญญาณวิทยุจาก receiver เพื่ออ่านแท็ก หมายความว่าทำงานระยะใกล้ และส่งข้อมูลไม่มาก ตัวอย่าง: บัตรเครดิต, บัตรผ่านประตู
- Active Tags: มีแบตเตอรี่บนตัว ส่งข้อมูลได้ระยะไกลกว่า และส่งข้อมูลมากกว่า Passive Tags ตัวอย่าง: ทอลล์พาสติดรถ
ความถี่ RFID แตกต่างตามอุปกรณ์และประเทศ แต่โดยทั่วไปทำงานในช่วง:
- Low Frequency RFID: <135 KHz
- High Frequency RFID: 13.56 MHz
- Ultra High Frequency (UHF) RFID: 868-870 MHz หรือ 902-928 MHz
- Super High Frequency (SHF) RFID: 2.400-2.483 GHz
สแกนชิป RFID ง่ายแค่ไหน?
แฮกเกอร์ RFID สาธิตว่าดึงข้อมูลจากชิป RFID ได้ง่ายมาก บางชิปเขียนทับได้ แฮกเกอร์ลบหรือแทนที่ข้อมูล RFID ด้วยข้อมูลของตัวเองได้
ไม่ยากเกินไปสำหรับแฮกเกอร์สร้าง RFID scanner เอง หากต้องการ ส่วนประกอบซื้อได้ง่าย สร้างเสร็จ สแกนแท็ก RFID และดึงข้อมูลออกมาได้ สร้างความกังวลว่าความสะดวกของ RFID คุ้มค่ากับความเสี่ยงนี้หรือไม่
ความกังวลสาธารณะอันดับ 1: การสแกนบัตรเครดิต
ความกลัวใหญ่ที่สุดรอบ RFID hacking คือบัตรเครดิต/เดบิต แม้บัตร RFID อยู่ในกระเป๋า แฮกเกอร์สแกนบัตรในกระเป๋าได้โดยคุณไม่รู้ โจมตีสามารถดูดเงินหรือขโมยข้อมูลโดยคุณไม่รู้
การโจมตีนี้ดูน่ากลัว และตลาดกระเป๋าบล็อก RFID กลายมาขึ้นเพื่อให้ใจสบาย กระเป๋าเหล่านี้บล็อกคลื่นวิทยุที่ RFID ใช้ และป้องกันไม่ให้ขโมยรายละเอียด
แต่ส่วนน่าสนใจของการโจมตีบัตร RFID: แม้มีหลักฐานว่าทำได้ จริงๆ แล้วยังไม่เคยเกิดขึ้น "ในธรรมชาติ" (in the wild) The Independent รายงานว่าแฮกเกอร์ขโมย £1.18 ล้าน ($2.2 ล้าน) ผ่าน contactless attacks ใน 10 เดือน ปี 2018 แม้จำนวนน่าประหลาด แต่บทความมีสนิปเป็ตนี้:
"Contactless fraud ต่ำ ด้วยฟีเจอร์ความปลอดภัยที่แข็งแกร่งในทุกบัตร" [ผู้แทน UK Finance] เพิ่มเติม "ไม่มี contactless fraud บนบัตรที่ยังครองอยู่ในมือเจ้าของเดิม"
สรุป: กลโกงเกิดขึ้นเฉพาะเมื่อเหยื่อสูญเสียบัตรไป ไม่ใช่ขณะอยู่ในกระเป๋า หมายความว่าความกังวลเรื่องการสแกนบัตร RFID ใหญ่กว่าการโจมตีจริง แต่หากแค่ความเป็นไปได้พอทำคุณสั่น กระเป๋า RFID ช่วยได้
วิธีป้องกัน RFID Hacking
ถ้าอยากอยู่ฝั่งปลอดภัย บล็อกสัญญาณ RFID ยังไง? โดยทั่วไป โลหะและน้ำ เป็นวิธีดีที่สุดบล็อกสัญญาณวิทยุไป/มาจากชิป RFID บล็อกสัญญาณแล้ว แท็ก RFID อ่านไม่ได้
อุปกรณ์กระเป๋าและกระเป๋าสตางค์บล็อกสัญญาณ RFID
วิธีประหยัด: ใช้ฟอยล์อลูมิเนียม บีบเป็นก้อน หรือรวมกับกระดาษแข็ง สร้างบล็อกเกอร์ DIY สำหรับกระเป๋า แต่ฟอยล์อลูมิเนียมบล็อกสัญญาณไม่หมด และเสื่อมสภาพเร็ว จึงไม่ใช่โซลูชันที่ดี
ควรทราบว่าผู้ขายเครื่องป้องกัน RFID หลายราย ขายแค่กระเป๋าฟอยล์ ให้ระวัง เพราะไม่ป้องกันได้เต็มที่
บางประเทศรัฐบาลเริ่มให้การรับรองเครื่องป้องกัน RFID ที่符合มาตรฐาน ให้หาการรับรองนี้เมื่อซื้อกระเป๋า/กระเป๋าสตางค์/กระเป๋าปาสปอร์ตบล็อก RFID
เครื่องบล็อก RFID ที่มีประสิทธิภาพสูงสุด (sleeves, pouches, wallets) ใช้ Faraday Cage ภายในหนังแท้ Faraday cages ในกระดาษแข็ง (paper sleeves) ก็มีประสิทธิภาพมาก แต่ทนทานน้อยกว่า ค้นหาคำว่า "Electromagnetically Opaque" คุณจะอยู่บนทางที่ถูก
แต่จำไว้: กระเป๋า RFID ไม่ทำให้บัตรของคุณไม่อยู่ในอันตรายจากกลโกง คุณยังสูญเสียบัตรได้หากไม่ระมัดระวัง และ ATM skimmer ยังขโมยข้อมูลได้ สรุป: ยังคงปฏิบัติมาตรการความปลอดภัยบัตรเครดิตที่ดี แม้มีกระเป๋าบล็อก RFID
ตรวจสอบความปลอดภัย RFID อีกครั้ง
คุณยังควรให้แน่ใจว่าแผนความปลอดภัยไม่พึ่งพา RFID อย่างเดียว เช่น ติดต่อผู้ออกบัตรเครดิต ดูว่าจะปิดการซื้อ RFID-only บนบัตรได้ไหม ถ้าคลอช MAC address บัตรคุณ คุณยังปลอดภัยจากการขโมย ตัวอย่างอีกอย่าง: ไม่พึ่งพา RFID door pass สำหรับออฟฟิศ และให้แน่ใจว่ามีระบบความปลอดภัยอื่นที่แข็งแกร่ง
หากคุณ paranoid เกี่ยวกับการมี RFID คุณสร้าง RFID reader เอง และตรวจสอบบ้านเป็นระยะ ว่าอะไรอ่านได้ และเครื่องป้องกัน RFID ทำงานดีแค่ไหน สำหรับคน paranoid ระดับสุด สแกนเป็นระยะดูว่ามีการเปลี่ยนแปลงหรือไม่
อยู่ปลอดภัยจากโจมตีที่มองไม่เห็น
ตามที่แฮกเกอร์สาธิต RFID ไม่ได้ทนทานต่อโจมตี มีวิธีสร้างสแกนเนอร์ราคาถูก จนสามารถสแกนแท็กเพื่อข้อมูลละเอียดอ่อน แม้ความกังวลรอบรูปแบบโจมตีนี้อาจมากกว่าความน่าจะเป็นที่คุณจะเจอ แต่ยังคุ้มค่าที่รู้วิธีป้องกันกรณีมีพัฒนาการในอนาคต
ตอนนี้ RFID ของคุณปลอดภัยแล้ว ทำไมไม่เรียนรู้ว่า Bluetooth เป็นความเสี่ยงความปลอดภัยได้บ้าง?
