Die Bedeutung von Sicherheit für RFID-Systeme
RFID im Fokus: Sicherheit und DatenschutzIHK Potsdam, 01.07.2008
© Dr. Frank Gillert
Inhalt des Vortrages
� Der Anlass für das Thema
� Die Schutzziele der IT-Sicherheit
� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung
� Sicherheit als notwendiges Konzept für RFID-Anwendungen
� Fazit
Der Paradigmenwechsel in der Informatik
� Haptick� Geometrie� In/Out Transparenz
Informatik materialisiert sich im Computer
EDV
� Intuition� Überall� Unsichtbar
Der Computer verschwindet
2006
Ambient IntelligencePervasive ComputingUbiquitous Computing
Quelle: [Gillert2005]
SoftwareAgenten
Ad hocVernetzung
Gesellschaft Datenschutz …
RFID ist Volumentreiber des Ubiquitous Computing
Der Wert der Sicherheit
� Der Aufwand für den Einbruch in ein System durch eine nicht autorisierte Person sollte den Wert der geschützten Daten übersteigen.
� Erhöhter Arbeitsaufwand für den Angreifer und die Gefahr endeckt zu werden, sind kritische Faktoren der IT-Security…
� Das Maß der Sicherheit eines Systems ist abhängig vom Vertrauen des Anwenders
• Neuste Computer TechnologieRechnerleistung vs. Schlüssellänge
• Nicht sensibilisierte AnwenderDas Passwort-Disaster
• Ubiquitäre IT-InfrastrukturenDie Entkoppelung vom Ort
• Nicht alle Hacker sind ökonomisch motiviertAnerkennung, Terroristen
tbc
Inhalt des Vortrages
� Der Anlass für das Thema
� Die Schutzziele der IT-Sicherheit
� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung
� Sicherheit als notwendiges Konzept für RFID-Anwendungen
� Fazit
Integrität
Daten werden nicht von nicht autorisierten Dritten manipuliert
Die Schutzziele der IT-Sicherheit
Schutzziele im Rahmen von RFID Anwendungen
1. VertraulichkeitDie Vertraulichkeit umfasst die Fragestellungen des Zugriffs und der Befugnis. Demnach ist die Vertraulichkeit dann gewährleistet, wenn nur befugte Personen Zugriff auf Informationen haben. Das Internet der Dinge im weiteren Sinne, also im Sinne der sich selbst vernetzenden Systeme, erfordert die Erweiterung auf die „Befugnis“ von Systemkomponenten.
2. Integrität Die Integrität von Systemen setzt voraus, dass Informationen, Architekturen und Netzwerke nicht unbemerkt verändert werden können. Jede Veränderung muss transparent gemacht werden können. Auch hier werden neue Herausforderungen im Zusammenhang mit vollautomatisierten Maschine-Maschine-Kommunikationsnetzen entstehen.
3. AuthentizitätDie Authentizität setzt voraus, dass die Identitäten aller Beteiligten im Kommunikationsprozess zweifelsfrei nachgewiesen werden können. Diese durch das Signaturverfahren bekannte Anforderung spielt ebenfalls in einem Internet der Dinge eine entscheidende Rolle, nämlich dann, wenn Abfragen über z. B. das epc-Netzwerk stattfinden.
Schutzziele im Rahmen von RFID Anwendungen
4. VerbindlichkeitDie Verbindlichkeit weist bereits starken Bezug zu den eigentlichen kaufmännischen Abläufen der Geschäftsabwicklung auf (vgl. e-mailSignatur). Im Internet der Dinge sind z.B. Lieferavis-Informationen zu bedenken.
5. Verfügbarkeit Die Verfügbarkeit definiert eine scheinbar triviale, in der Realität jedoch wesentliche Anforderung an Informationen, Architekturen und Netzwerke. Ich muss mich auf die Bereitstellung im definierten Umfang verlassen können. Gerade wenn Geschäftsprozesse z. B. in der Logistik automatisiert ablaufen, kann eine Nichtverfügbarkeit verheerende Auswirkungen haben. Werden Sollbruchstellen im System definiert, wie es das Kill-Command im epcglobal Konzept darstellt, muss gewährleistet sein, dass es nur zielgerichtet verwendet werden kann.
Inhalt des Vortrages
� Der Anlass für das Thema
� Die Schutzziele der IT-Sicherheit
� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung
� Sicherheit als notwendiges Konzept für RFID-Anwendungen
� Fazit
Die Strukturen des Problems „Produktpiraterie“
� Neben Luxusartikeln sind zunehmend Dinge des täglichen Bedarfs betroffen
� Steigende Anzahl der hochwertiger Hi-Tech- und Pharmazieprodukte
� Professionelle Fertigung im industriellen Stil
� Die hohe Qualität der Fälschungen erschwert die Identifikation
Großer Zuwachs an gefälschten Produkten, die für die Gesundheit und Sicherheit problematisch sein können
Quelle in Anlehung: www.europa.eu.int: COMM_NATIVE_COM_2005_0479_3_en_ACTE.pdf
Beispiel Luftfahrtsicherheit
Original oder Kopie?
Richtige Konfiguration?
Wartung erfolgt?
Zertifiziertes Teil?
Safe?Safe?
Safe? Safe?
Safe?
100% Genauigkeit
Kryptographie
Data-on-Tag
Raubkopie- und Graumarktschutz über Serialisierung in der Pharmaindustrie
EPC(t,l)
EPC(t,l)
EPC(t,l)
EPC(t,l)
EPC(t,l)EPC(t,l)
EPC(t,l) EPC(t,l)
EPC Issue
Produkt -> AuftragAuftrag = KundeKunde = Ziel
Muster Erkennung
Schutzmaßnahmen müssen den Bedrohungsszenarien resp. Risiken folgen
Sicherheits-maßnahmen
Serialsierung
Kryptografie
Inhalt des Vortrages
� Der Anlass für das Thema
� Die Schutzziele der IT-Sicherheit
� RFID mit Sicherheitsfunktionen im Rahmen der Anwendung
� Sicherheit als notwendiges Konzept für RFID-Anwendungen
� Fazit
Die Vision in der Lieferkette – Das Internet der Dinge
Quelle: Gillert / Hansen: RFID und Geschäftsprozesse, Hanser Verlag München, 2006, ISBN 3-446-40507-0
m:n-Relation zwischen Lieferanten und Handelsunternehmen
ind den Daten-/EDI-Netzen
Push
Supplier 1
Supplier 2
Supplier …
Supplier n
Retailer 1
Retailer 2
Retailer …
Retailer …
Retailer m
Logistics provider
DatennetzeEDI*
Konsolidierte m:n-Relation durch On-Demand Services / Managed Services
Pull
Supplier 1
Supplier 2
Supplier …
Supplier n
Retailer 1
Retailer 2
Retailer …
Retailer …
Retailer m
ManagedServices Provider
Logistics provider
* z.B. EDI mit EANCOM/GS1
EPCglobal-Netzwerk
EPC Security ServicesInstrument für den sicheren Zugang in
Abhängigkeit von Rechten.
SSLSicherheitsstandard für Webseiten
(Secure Socket Layer)
EPC Discovery ServicesInstrument für das Auffinden von
EPC-Informationen.
SuchmaschineInstrument für das Auffinden von Web-Seiten.
Objekt-HomepageVirtueller Ort (Ressource), an dem sich
Informationen über ein Produkt befinden.
Web-SeiteVirtueller Ort (Ressource), an dem sich
Informationen zu einem bestimmten Thema befinden.
ONSZentrales Verzeichnis der bei EPC
registrierten Hersteller, das EPC Codes in IP-Adressen umsetzt.
DNSZentrales Verzeichnis, das WWW-Adressen
in IP-Adressen umsetzt.
EPCglobal-NetzwerkWorld Wide Web
„Ebenso“ sicher?Konzeptanalogie
Fazit
� Sicherheit als Themenkomplex hat RFID in der Objektidentifikation erreicht
� Sicherheit ist eine Frage des Vertrauens und erfordert das Verständnis der Anwendung/Lösung -> Schutzziele der IT-Sicherheit
� RFID ist keine Technologie für sich, sondern ein technisches Hilfsmittel -> Jede Anwendung muss für sich bewertet werden (vgl. Uses Cases BSI)
� RFID kann Sicherheit funktional erhöhen -> Raubkopieschutz
� RFID muss als IT-Komponente den Schutzzielen der IT-Sicherheitgehorchen -> EPC/ONS und Datenschutz