RFID日渐兴起 企业谨防隐私安全隐患

无线射频识别技术(Radio frequency identity，RFID)吸引了越来越多企业的注意，尤其是那些在零售行业的企业。很多企业都宣布要试用这个项目或者正式使用该技术，另一些公司也将这类项目纳入议事日程。目前关注的焦点集中在标准和该技术是否能够如期交付。这很类似于互联网扩张的黄金时期，安全性被大家忽略了。RSA Security的首席科学家Burt Kaliski在接受《Computing 》的采访的时候谈到了一些企业所面临的问题。 

 
 
 
   
 
 
　　Computing ：有很多公司曾经忽略了无线网络的安全性。在RFID领域内是否有同样的问题？ 

　　Burt Kaliski：考虑到RFID的典型使用环境是仓库。你有100 个读卡器分散在仓库的各个角落：在码头、货架或者叉车上。很有可能，这些用户将通过无线网络连接。所以如果一开始你就没有一个安全的无线网络，任何窃听通信的家伙都能够偷听用户之间以及网络上进行的通信。你对于仓库运作的实时管理等于全部开放在外部。 

　　另一个问题是如何在开始就建立起安全性。例如，如果叉车不小心压碎了读卡器该如何处理？你就只能关掉它，然后用另一个读卡器来取代它，因为整个装配线将停止工作，它们都使用了RFID功能。在技术人员更换读卡器的时候，他是否还有时间来处理其他保护安全性的工作？如果替代的读卡器已经预先配置好，也许他就可以，但是我不认为公司目前会已经考虑到这一步。而且如果没有采取安全防范措施，我们又如何能够知道应该在适当的时候替换读卡器呢？如果一个竞争者走进来，把他们的一个读卡器挂在墙上，就可以窃听了，一个向公司的数据库里发送报告，另一个则向竞争对手的系统发送数据。

　　也许这在目前对你不会构成威胁，但是如果你想要构建的是一个要使用10年或者20年的系统，你就需要确保系统不会在甚至没有开始使用之前就出现安全隐患。第二个问题是目前的读卡器，能够读出所有碰巧遇见的标签。但是这项技术的问题在于即使远距离的标签不能够被读出，读卡器却可以。所以当你寻找这些标签的时候，读卡器也会告诉全世界你在找的标签。同样的协议保证了能够在同时阅读很多标签，这也成为了隐私泄露的隐患，给商业间谍留下了可乘之机。

　　Computing ：标签是唯一的产品代码，上面记录了该产品的信息，企业的数据库里保存这些信息。会给企业带来什么风险呢？

　　Burt Kaliski：有很多种方式来看待这个问题。一种是标签被标记成条形码的形式。全电子化产品代码包含了生产厂商、产品类型和序列号等信息。在这种情况下，虽然关于某件特定产品的信息是在线保存的，标签上的记录也包含了足够多的信息，说明谁是生产厂商和产品类型。让我们来想想，如果雇主想要了解每个雇员身上带着什么样的药物，无论是为了什么样不正当的原因他要这样做，他都能够看到人们带着什么样的产品在身边。或者如果零售商想要建立客户档案，他就能够在你进门的时候记录你所穿的鞋子的类型。

　　Computing ：目前上述情况暂时还不会发生，我们应如何对待？

　　Burt Kaliski：是的，但是我们今天所做的决定将能够影响未来。我不认为目前在这个强调隐私的社会里会有任何人担心被监视，但是这有可能在明天发生。目前，正在建立标准，架构也在建设之中，这就意味着在5 ～10年以后，我们就很难再修改它们。现在供应链应用中，当我们谈论扫描收到的货物的时候，只是为了确认在供应链中收发双方所描述的识别标志是否一致。如果你想要监视竞争对手的行为，你就可以在他们上、下货的码头、他们伙伴的仓库进出口布置足够的读卡器，就能够了解到很多宝贵的信息。如果从开始到结束的过程中，识别码能够被随意修改，这又引发了另一个问题，但是现在不会。读卡器在未来会变得越来越便宜，有些公司甚至已经开始讨论把它们放到手机之中。如果读卡器的价格变得低廉的话，那么就非常容易利用它们来实现不正当的目的。如果数据是如此容易地被收集和统计，你就很有可能会因此丧失你的竞争优势。如果在零售供应链中，这种可能无所谓，那么起码在军事生产领域我们应该注意这些问题。

　　Computing ：目前正在试用RFID的大公司感觉如何？他们对这项技术的评价如何？

　　Burt Kaliski：我认为他们正逐步地开始意识到这个问题。隐私问题现在让每个人都很紧张。安全问题应该时刻都保持警惕，但是每次遇到让人兴奋的技术的时候，人们就很容易忽略它。目前大家对于这个行业最为关注的问题是让它运作起来，其次关心的是降低费用。我们希望安全性和隐私保护能够排到第三位，这样它们才能够在下一代标准里得到体现。

　　Computing ：对于安全隐私问题的关注程度目前还很不够吗？应如何对其更重视？

　　Burt Kaliski：在目前的讨论中，安全问题有一种被忽略的趋势。通常大家都认为这仅仅是一个隐私的问题。RFID主要应用的场合是在零售行业，这些问题又不会在现在造成什么不好的影响。人们认为在供应链中不存在隐私问题，所以他们毫不担心。我们现在正在努力吸引大家更关注这个问题。提高安全性的最大障碍在于它提高了成本，所以必须证明这些钱花得确实有价值。毕竟如果我们没有在一开始就把安全性考虑在内，而是在以后才考虑到增加系统的安全性，我们就会付出高得多的代价。

　　说到隐私问题，目前的解决方案只是简单地让标签失效。一些建议希望商家能够在销售的时候进行标签解除，但是我认为这就没有充分发挥技术的优势。RFID能够连接现实世界和虚拟世界，所以标签解除使得该技术在顾客走出商店后就失去了优势。但是目前这也是唯一能够保护顾客隐私，给他们安全感的做法。我们需要的应该是一种折衷的方案，当标签离开店铺的时候，就应该被标记为被保护的隐私状态，而当它回到店里的时候，就应该马上可以进入系统。你可以解除标签，如果你需要的话，但是你不一定非要这样做。