Los sistemas RFID, se relacionan con varios procesos críticos, como el control de acceso físico, el seguimiento de productos, los sistemas de pago y otros más. Si bien, los riesgos mas publicitados de esta tecnología se relacionan con la privacidad, a continuación veremos algunos otros, que también deberían ser considerados.

Ataques al Dispositivo:

 

• Relay Attacks en tarjetas de proximidad

• Destrucción del TAG y Prevención de Lectura

 

Ataques desde el Dispositivo:

 

• RFID – Spoofing y Sniffing

• RFID - SQL Injection

• RFID – Código Malicioso

RFID – Relay Attacks en Tarjetas de Proximidad: Un Sistema de Smartcard sin contacto (ISO 14443A), se comunica con otros dispositivos sin la necesidad de contacto físico, y lo hace a través de RFID, la tarjeta es pasiva y es activada por el lector, para realizar la transferencia de datos.

 

Las implementaciones de estos sistemas en pasaportes, medios de pago electrónico y tarjetas de acceso (Típicamente Físico), esta incrementándose día a día y uno de los puntos más importantes, en relación a esta tecnología y a la seguridad es por un lado su corto rango de operación (10 Centímetros aproximadamente) y por otro, el hecho de que la comunicación entre un extremo y el otro va cifrada

 

Lo que se ha logrado en un estudio llevado a la cabo por la Universidad de Tel Aviv (Israel), es que creando un lector falso (Leech) y una tarjeta falsa (Ghost), uno podría impersonar un usuario o una transacción, prácticamente sin limites de distancia.

 

RFID – Destrucción del TAG y prevención de Lectura: Este tipo de ataque, requiere poco conocimiento técnico para ser realizado, la idea del mismo es destruir el tag pasivo colocado en un producto, de manera que este no pueda ser identificado, ni tampoco se permita realizar su seguimiento, típicamente este tipo de acciones esta motivada en defensa de la privacidad de los consumidores.

 

La idea de prevención de lectura  no es desactivar el tag pasivo, sino la de prevenir su lectura, el fin de esta práctica es la protección de la privacidad, o bien, como hemos visto anteriormente también podrían prevenir ataques de Relay contra las tarjetas de proximidad (Imagínense cuan cerca podría estar alguien de su tarjeta en un ascensor). Existen dos materiales que impiden la lectura de RFID el metal y el agua, pero mucho más cómodo es darle un nuevo uso al famoso SILVER TAPE.

 

RFID – Spoofing: Un atacante podría escribir, en un TAG en blanco, datos válidos que impersonen a un producto, de hecho, ya se realizaron dos ataques (en ambiente controlado) uno se baso en sniffear, descifrar y spoofear un dispositivo RFID utilizado para cargar gasolina y el otro, se utilizó para desactivar un sistema de alarmas para automóviles basado en la inmovilización del mismo.

 

RFID – SQL Injection: Si bien se trata de un ataque ya conocido y muy utilizado hoy en día, esta nueva tecnología no queda fuera del alcance del mismo, este ataque se basa en la inyección  a la base de datos (Back-End) de sentencias SQL especialmente creadas, que podrían permitir acceder a información no autorizada, realizar modificaciones o borrar una tabla, entre otras cosas.

 

En base a la estructura de una implementación RFID, esto es posible por falta de controles de seguridad adecuados en el middleware y en la base de datos, en este tipo de ataques, el potencial intruso debería grabar previamente en un tag en blanco del tipo activo una sentencia de SQL previamente armada con el fin de que cuando este TAG sea leído por el lector este pase los datos al middleware y posteriormente esta sentencia se ejecute en la base de datos.

 

RFID – Código Malicioso: Otro aspecto a tener en cuenta es la cantidad de datos que pueden entrar en un tag, esto no es un limitante ya que con pocas cantidades de información se puede causar un gran impacto.

De la misma manera que se inyecta esta sentencia se han realizado en ambiente de laboratorios pruebas en las cuales se logro con éxito crear y replicar el primer worm que utiliza la tecnología RFID.

 

Por último cabe aclarar que este tipo de ataques no tiene  relación directa con la tecnología RFID en si misma, sino que al igual que en las aplicaciones Web y similares la falta de validación de entrada de datos y la falta de metodologías seguras de programación hacen que esto sea posible.

---

Ezequiel Sallis