Was ist RFID-Datensicherheit?
Dec 10, 2025
Eine Nachricht hinterlassen
Was ist RFID-Datensicherheit?
Letztes Jahr rief uns ein Kunde wütend an. Ihre Zugangskontrollkarten seien „gehackt“ worden. Es stellte sich heraus, dass sie noch vor einem Jahrzehnt mit 125-kHz-Proximity-Karten arbeiteten. Jemand stürmte in der U-Bahn mit einem telefongroßen Gerät an einem Mitarbeiter vorbei, und am nächsten Morgen wurde sein Lager von einer unbekannten Partei mithilfe einer geklonten Karte betreten.
Wir stellen bei SYNTEK seit fast 20 Jahren RFID-Produkte her. Geschichten wie diese sind keine Seltenheit. Wir haben gesehen, dass Unternehmen Millionen für Asset-Tracking-Systeme ausgegeben haben, nur um dann festzustellen, dass jeder 30-Dollar-Reader von AliExpress ihre Tags umschreiben kann. Wir haben Anwesenheitssysteme gesehen, die mit doppelten Karten gespielt haben-die gleiche Kartennummer wurde in drei verschiedenen Städten gleichzeitig angezeigt.
„RFID-Datensicherheit klingt kompliziert, aber das Kernproblem ist ganz einfach: Funksignale können abgefangen werden. Der knifflige Teil? Die meisten Käufer wissen nicht, welche Sicherheitsstufe sie tatsächlich erhalten.“
Hier ist die Sache, über die niemand spricht
RFID ist ein offenes drahtloses System. Ihr Tag und Ihr Lesegerät kommunizieren über Funkwellen. Jeder mit der richtigen Ausrüstung kann zuhören.
Die drahtlose Kommunikation findet im Freien statt, sodass ein Abhören ohne physischen Kontakt möglich ist.
Das Problem begann früh. Als die Hersteller diese Chips zum ersten Mal entwickelten, konzentrierten sie sich auf die Frage: „Können wir sie lesen?“ nicht „Sollten wir Sie es lesen lassen?“ Viele Chips verfügen über keine Authentifizierung. Der Leser fragt: „Wer bist du?“ und das Tag ... antwortet einfach. Es spielt keine Rolle, ob es sich um ein legitimes Gerät handelt oder um jemanden mit einem Proxmark im Rucksack.
Stellen Sie sich vor, Sie gehen die Straße entlang und nennen jedem, der danach fragt, lautstark Ihre Sozialversicherungsnummer. Das ist im Grunde die Funktionsweise vieler RFID-Karten.
Warum 125-kHz-Karten ein Sicherheitswitz sind
Hier ist etwas, was die Branche nicht bewirbt: Ein großer Teil der heute noch verwendeten Zugangskarten basiert auf der Technologie der 1990er Jahre.
Diese Karten arbeiten mit 125 kHz. Das Chipmodell ist normalerweise EM4100 oder TK4100. Wie funktionieren sie? Einschalten, Broadcast-ID, fertig. Keine Verschlüsselung. Keine Authentifizierung. Nur eine feste Nummer, die auf dem Chip gespeichert ist.
Kosten, einen zu klonen? Vielleicht 20 $ für einen Lese--Schreiber von Amazon, weitere 5 $ für leere Karten. Drei Minuten Arbeit.
Kunden fragen uns manchmal: „Können Sie eine verschlüsselte 125-kHz-Karte erstellen?“
Kurze Antwort: Nein. Das Protokoll selbst unterstützt keine ernsthafte Sicherheit. Wenn Sie Schutz wünschen, wechseln Sie zu 13,56 MHz Hochfrequenz oder UHF mit Chips wie MIFARE DESFire oder ICODE DNA, die tatsächlich AES-Verschlüsselung unterstützen.
Wie Angriffe tatsächlich aussehen
Aus Gesprächen mit unseren Kunden geht hervor, wo die RFID-Sicherheit in der Praxis versagt:
Klonen von Zugangskarten
Der Angreifer muss Ihre Karte nicht berühren. Ein High-Gain-Lesegerät, versteckt in einer Umhängetasche und ein paar Sekunden hinter Ihnen im Aufzug oder in der Mittagsschlange.-Das reicht aus, um die Daten abzurufen. Schreiben Sie es auf eine leere Karte, und schon haben sie Ihren Zugang.
Eine Hausverwaltung berichtete uns von einer Reihe von Einbrüchen-in ihrer Wohnanlage. Die Polizei fand schließlich heraus, dass der Einbrecher die Zugangskarten für Bewohner kopiert hatte. Die Eingangsprotokolle des Gebäudes? Alle zeigten die eigenen Kartennummern der Opfer. Vom tatsächlichen Eindringling keine Spur.
Datenmanipulation
Wenn Ihr RFID-System Inventar oder Vermögenswerte verfolgt, speichern die Tags tatsächliche Informationen und nicht nur IDs. Da wird es noch chaotischer.
Beschreibbare Tags sind für Aktualisierungen-nützliche Funktionen konzipiert. Aber ohne Schreibschutz kann jeder Änderungen vornehmen. Jemand in der Lieferkette tauscht in den Etikettdaten „Standardqualität“ durch „Premium“ oder verschiebt das Herstellungsdatum um sechs Monate. Es passiert.
Wiederholen Sie Angriffe
Das hier ist hinterhältig. Der Angreifer muss nichts entschlüsseln. Sie zeichnen einfach die Konversation zwischen Ihrem Tag und dem Leser auf und spielen sie später ab.
Stellen Sie sich das so vor: Sie ziehen Ihre Karte durch, um eine Tür zu öffnen, und jemand in der Nähe zeichnet den gesamten Funkaustausch auf. Das nächste Mal richten sie ihr Gerät auf das Lesegerät und drücken auf „Play“. Tür öffnet sich. Der Leser denkt, dass er Ihre Karte gerade erst wieder gesehen hat.
Um dies zu verhindern, benötigen Systeme Challenge--Response-Protokolle-im Grunde Einmalpasswörter-. Jede Authentifizierung ist anders, sodass Aufzeichnungen unbrauchbar werden.
Der Kompromiss zwischen Kosten und Sicherheit (und warum er nicht einfach ist)
Kunden fragen uns ständig: Bedeuten teurere Chips mehr Sicherheit?
Grob gesagt ja, aber es ist nicht linear.
| Chiptyp | Ungefähre Kosten | Sicherheitsstatus |
|---|---|---|
| 125 kHz EM4100 | $0.10 | Keiner |
| 13,56 MHz MIFARE Classic | ~$0.40 | Kompromittiert (2008) |
| MIFARE DESFire EV3 | $1-2 | AES-128 / Hoch |
Eine 125-kHz-EM4100-Karte könnte 0,10 $ kosten. Steigen Sie auf 13,56 MHz MIFARE Classic um, und Sie zahlen vielleicht 0,40 US-Dollar – aber die Sicherheit ist nicht viel besser (die Verschlüsselung dieses Chips wurde bereits 2008 geknackt). Gehen Sie zu MIFARE DESFire EV3 mit AES-128 und gegenseitiger Authentifizierung. Sie zahlen 1–2 US-Dollar pro Karte, es sind jedoch keine öffentlichen Exploits bekannt.
Die Frage ist: Braucht man dieses Niveau überhaupt?
Wenn Sie in einer Fabrik nach Schraubenschlüsseln suchen, bedeutet der Verlust eines Schraubenschlüssels, dass Sie einen Ersatz bestellen müssen. Wenn Sie den Zugang zu einem Banktresor kontrollieren, bedeutet eine geklonte Karte etwas ganz anderes.
Unser Rat an Kunden: Beginnen Sie mit „Was ist der schlimmste Fall, wenn dies gefährdet wird?“ dann rückwärts arbeiten. In der Hälfte der Fälle handelt es sich nicht um ein technisches Problem, sondern um ein Wahrnehmungsproblem.
Was Sie tun können, ohne alles zu ersetzen
In manchen Situationen sind wirklich günstige Etiketten-Veranstaltungsarmbänder oder Logistiketiketten mit hohem-Volumen erforderlich. Premium-Chips für alles sind nicht realistisch. Aber Sie haben noch andere Möglichkeiten:
Lesereichweite begrenzen
Eine größere Lesereichweite ist nicht immer besser. NFC ist auf wenige Zentimeter ausgelegt,-im Grunde muss man das Lesegerät berühren. Macht das Überfliegen aus der Ferne deutlich schwieriger.
Einige hochsichere-Clients, mit denen wir zusammenarbeiten, installieren Lesegeräte in geschlossenen Gehäusen. Zur Registrierung muss die Karte vollständig eingeschoben sein. Blockiert Seitenkanalangriffe physisch.
RFID-Abschirmung
Prinzip des Faradayschen Käfigs. Wickeln Sie das Etikett in leitendes Material ein, da Funkwellen weder ein- noch austreten können. Das ist es, was RFID--blockierende Hüllen und Geldbörsen bewirken. Wir stellen auch Abschirmprodukte her. -Schauen Sie sich den Abschnitt „RFID-Signalblocker“ auf unserer Website an.
Wenn Sie die Karte nicht verwenden, bleibt sie in der Hülle. Niemand kann es scannen. Wenn Sie es brauchen, ziehen Sie es heraus. Einfach, effektiv, günstig.
Trennen Sie die ID von den Daten
Ein anderer Ansatz: Speichern Sie nur eine zufällige, bedeutungslose ID auf dem Tag. Bewahren Sie tatsächlich vertrauliche Daten in Ihrer Backend-Datenbank auf. Selbst wenn jemand das Tag klont, erhält er eine nutzlose Zeichenfolge. Ohne übereinstimmende Backend-Datensätze ist es Müll.
Dadurch verlagert sich das Risiko vom Tag auf Ihre Serverinfrastruktur. Aber es hält die Tag-Kosten niedrig.
Gegenseitige Authentifizierung-verstehenswert
Herausforderung-Antwort bereits erwähnt. Lassen Sie mich näher darauf eingehen, da es oft missverstanden wird.
Die herkömmliche RFID-Authentifizierung erfolgt in eine Richtung:-Das Lesegerät verifiziert das Tag. Hoch-Sicherheitsanwendungen erfordern jedoch eine bidirektionale-Authentifizierung-. Das Tag überprüft auch, ob der Leser legitim ist.
Hier ist der Ablauf:
Der Leser sendet dem Tag eine Zufallszahl (die Herausforderung)
Das Tag führt diese Nummer über seinen internen Schlüssel aus und sendet das Ergebnis zurück
Der Reader führt dieselbe Berechnung mit demselben Schlüssel durch und vergleicht
Dann sendet das Tag dem Leser eine Zufallszahl
Reader berechnet, sendet zurück, Tag verifiziert
Bevor es zu einem echten Datenaustausch kommt, müssen beide Seiten bestehen. Das bedeutet, dass ein gefälschter Leser Tags nicht dazu verleiten kann, Informationen preiszugeben.
MIFARE DESFire unterstützt dies. So ziemlich obligatorisch für jedes Projekt, das wir mit Banken oder Regierungsbehörden durchführen.
Praktische Dinge, bevor Sie gehen
1. Finden Sie heraus, was Sie gerade ausführen
Viele Unternehmen haben RFID-Systeme von jemandem installiert, der das Unternehmen vor Jahren verlassen hat. Die aktuelle IT hat keine Ahnung, was tatsächlich eingesetzt wird. Holen Sie sich die Spezifikationen von Ihrem Anbieter-. Informieren Sie sich mindestens über die Frequenz und das Chipmodell.
2. Quantifizieren Sie Ihren Worst Case
Wie groß ist der Schaden, wenn Ihre Zugangskarten geklont werden? Wie groß ist die Gefahr, wenn Inventaretiketten manipuliert werden? Geben Sie eine Nummer ein. Dann entscheiden Sie, ob sich ein Upgrade lohnt.
3. Schichten Sie Ihre Sicherheit
Nicht alles braucht maximalen Schutz. Mit regulären Mitarbeiterausweisen können Chips mittlerer{1}}Stufe betrieben werden. Die Türen von Serverräumen und Finanzbüros sind mit hoch-Sicherheitschips ausgestattet. Lagerlogistik-Tags können mit Backend-Verifizierung kostengünstig sein.
4. Überprüfen Sie regelmäßig
RFID ist nicht eingestellt-und-vergessen. Überprüfen Sie die Zugriffsprotokolle auf Anomalien. Dieselbe Karte erscheint gleichzeitig an zwei Orten. Nach-Stunden Zugriffsversuchen. Muster, die keinen Sinn ergeben.
5. Planen Sie Upgrades
Wenn das Budget jetzt knapp ist und Sie sich für eine Lösung der mittleren{0}}Stufe entscheiden, wählen Sie zumindest eine Architektur aus, die zukünftige Upgrades ermöglicht. Schließen Sie sich nicht in ein geschlossenes System ein, das innerhalb von drei Jahren komplett ausgetauscht werden muss.
Fragen? Bei SYNTEK machen wir das seit fast zwei Jahrzehnten. Es wurden mehr Fehlermodi gesehen, als Sie erwarten würden. Egal, ob Sie ein neues System spezifizieren oder ein bestehendes prüfen, wir freuen uns auf ein Gespräch.
Anfrage senden