Die Bedeutung von Sicherheit für RFID-Systeme

RFID im Fokus: Sicherheit und DatenschutzIHK Potsdam, 01.07.2008

© Dr. Frank Gillert

Inhalt des Vortrages

� Der Anlass für das Thema

� Die Schutzziele der IT-Sicherheit

� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung

� Sicherheit als notwendiges Konzept für RFID-Anwendungen

� Fazit

Der Paradigmenwechsel in der Informatik

� Haptick� Geometrie� In/Out Transparenz

Informatik materialisiert sich im Computer

EDV

� Intuition� Überall� Unsichtbar

Der Computer verschwindet

2006

Ambient IntelligencePervasive ComputingUbiquitous Computing

Quelle: [Gillert2005]

SoftwareAgenten

Ad hocVernetzung

Gesellschaft Datenschutz …

RFID ist Volumentreiber des Ubiquitous Computing

Der Wert der Sicherheit

� Der Aufwand für den Einbruch in ein System durch eine nicht autorisierte Person sollte den Wert der geschützten Daten übersteigen.

� Erhöhter Arbeitsaufwand für den Angreifer und die Gefahr endeckt zu werden, sind kritische Faktoren der IT-Security…

� Das Maß der Sicherheit eines Systems ist abhängig vom Vertrauen des Anwenders

• Neuste Computer TechnologieRechnerleistung vs. Schlüssellänge

• Nicht sensibilisierte AnwenderDas Passwort-Disaster

• Ubiquitäre IT-InfrastrukturenDie Entkoppelung vom Ort

• Nicht alle Hacker sind ökonomisch motiviertAnerkennung, Terroristen

tbc

Inhalt des Vortrages

� Der Anlass für das Thema

� Die Schutzziele der IT-Sicherheit

� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung

� Sicherheit als notwendiges Konzept für RFID-Anwendungen

� Fazit

Vertraulichkeit

Daten sind Dritten nicht zugänglich

Die Schutzziele der IT-Sicherheit

Integrität

Daten werden nicht von nicht autorisierten Dritten manipuliert

Die Schutzziele der IT-Sicherheit

Authentizität

Daten entstammen einer bekannten Quelle

Die Schutzziele der IT-Sicherheit

VerbindlichkeitDatenurheberschaft darf nicht abstreitbar sein

Die Schutzziele der IT-Sicherheit

Die Schutzziele der IT-Sicherheit

VerfügbarkeitDaten müssen zur Verfügung stehen

Schutzziele im Rahmen von RFID Anwendungen

1. VertraulichkeitDie Vertraulichkeit umfasst die Fragestellungen des Zugriffs und der Befugnis. Demnach ist die Vertraulichkeit dann gewährleistet, wenn nur befugte Personen Zugriff auf Informationen haben. Das Internet der Dinge im weiteren Sinne, also im Sinne der sich selbst vernetzenden Systeme, erfordert die Erweiterung auf die „Befugnis“ von Systemkomponenten.

2. Integrität Die Integrität von Systemen setzt voraus, dass Informationen, Architekturen und Netzwerke nicht unbemerkt verändert werden können. Jede Veränderung muss transparent gemacht werden können. Auch hier werden neue Herausforderungen im Zusammenhang mit vollautomatisierten Maschine-Maschine-Kommunikationsnetzen entstehen.

3. AuthentizitätDie Authentizität setzt voraus, dass die Identitäten aller Beteiligten im Kommunikationsprozess zweifelsfrei nachgewiesen werden können. Diese durch das Signaturverfahren bekannte Anforderung spielt ebenfalls in einem Internet der Dinge eine entscheidende Rolle, nämlich dann, wenn Abfragen über z. B. das epc-Netzwerk stattfinden.

Schutzziele im Rahmen von RFID Anwendungen

4. VerbindlichkeitDie Verbindlichkeit weist bereits starken Bezug zu den eigentlichen kaufmännischen Abläufen der Geschäftsabwicklung auf (vgl. e-mailSignatur). Im Internet der Dinge sind z.B. Lieferavis-Informationen zu bedenken.

5. Verfügbarkeit Die Verfügbarkeit definiert eine scheinbar triviale, in der Realität jedoch wesentliche Anforderung an Informationen, Architekturen und Netzwerke. Ich muss mich auf die Bereitstellung im definierten Umfang verlassen können. Gerade wenn Geschäftsprozesse z. B. in der Logistik automatisiert ablaufen, kann eine Nichtverfügbarkeit verheerende Auswirkungen haben. Werden Sollbruchstellen im System definiert, wie es das Kill-Command im epcglobal Konzept darstellt, muss gewährleistet sein, dass es nur zielgerichtet verwendet werden kann.

Inhalt des Vortrages

� Der Anlass für das Thema

� Die Schutzziele der IT-Sicherheit

� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung

� Sicherheit als notwendiges Konzept für RFID-Anwendungen

� Fazit

Die Strukturen des Problems „Produktpiraterie“

� Neben Luxusartikeln sind zunehmend Dinge des täglichen Bedarfs betroffen

� Steigende Anzahl der hochwertiger Hi-Tech- und Pharmazieprodukte

� Professionelle Fertigung im industriellen Stil

� Die hohe Qualität der Fälschungen erschwert die Identifikation

Großer Zuwachs an gefälschten Produkten, die für die Gesundheit und Sicherheit problematisch sein können

Quelle in Anlehung: www.europa.eu.int: COMM_NATIVE_COM_2005_0479_3_en_ACTE.pdf

Beispiel Luftfahrtsicherheit

Original oder Kopie?

Richtige Konfiguration?

Wartung erfolgt?

Zertifiziertes Teil?

Safe?Safe?

Safe? Safe?

Safe?

100% Genauigkeit

Kryptographie

Data-on-Tag

Raubkopie- und Graumarktschutz über Serialisierung in der Pharmaindustrie

EPC(t,l)

EPC(t,l)

EPC(t,l)

EPC(t,l)

EPC(t,l)EPC(t,l)

EPC(t,l) EPC(t,l)

EPC Issue

Produkt -> AuftragAuftrag = KundeKunde = Ziel

Muster Erkennung

Schutzmaßnahmen müssen den Bedrohungsszenarien resp. Risiken folgen

Sicherheits-maßnahmen

Serialsierung

Kryptografie

Inhalt des Vortrages

� Der Anlass für das Thema

� Die Schutzziele der IT-Sicherheit

� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung

� Sicherheit als notwendiges Konzept für RFID-Anwendungen

� Fazit

Die Vision in der Lieferkette – Das Internet der Dinge

Quelle: Gillert / Hansen: RFID und Geschäftsprozesse, Hanser Verlag München, 2006, ISBN 3-446-40507-0

m:n-Relation zwischen Lieferanten und Handelsunternehmen

ind den Daten-/EDI-Netzen

Push

Supplier 1

Supplier 2

Supplier …

Supplier n

Retailer 1

Retailer 2

Retailer …

Retailer …

Retailer m

Logistics provider

DatennetzeEDI*

Konsolidierte m:n-Relation durch On-Demand Services / Managed Services

Pull

Supplier 1

Supplier 2

Supplier …

Supplier n

Retailer 1

Retailer 2

Retailer …

Retailer …

Retailer m

ManagedServices Provider

Logistics provider

* z.B. EDI mit EANCOM/GS1

EPCglobal-Netzwerk

EPC Security ServicesInstrument für den sicheren Zugang in

Abhängigkeit von Rechten.

SSLSicherheitsstandard für Webseiten

(Secure Socket Layer)

EPC Discovery ServicesInstrument für das Auffinden von

EPC-Informationen.

SuchmaschineInstrument für das Auffinden von Web-Seiten.

Objekt-HomepageVirtueller Ort (Ressource), an dem sich

Informationen über ein Produkt befinden.

Web-SeiteVirtueller Ort (Ressource), an dem sich

Informationen zu einem bestimmten Thema befinden.

ONSZentrales Verzeichnis der bei EPC

registrierten Hersteller, das EPC Codes in IP-Adressen umsetzt.

DNSZentrales Verzeichnis, das WWW-Adressen

in IP-Adressen umsetzt.

EPCglobal-NetzwerkWorld Wide Web

„Ebenso“ sicher?Konzeptanalogie

Fazit

� Sicherheit als Themenkomplex hat RFID in der Objektidentifikation erreicht

� Sicherheit ist eine Frage des Vertrauens und erfordert das Verständnis der Anwendung/Lösung -> Schutzziele der IT-Sicherheit

� RFID ist keine Technologie für sich, sondern ein technisches Hilfsmittel -> Jede Anwendung muss für sich bewertet werden (vgl. Uses Cases BSI)

� RFID kann Sicherheit funktional erhöhen -> Raubkopieschutz

� RFID muss als IT-Komponente den Schutzzielen der IT-Sicherheitgehorchen -> EPC/ONS und Datenschutz

Fragen?

Dr. Frank Gillert

frank.gillert@ubiconsult.de

www.ubiconsult.de