La sicurezza dei tag RFID

La parola sicurezza utilizzata in abbinamento ai transponder o tag RFID può avere tre diversi significati.

Un primo significato riguarda l’uso dell’RFID, per sistemi anticontraffazione di beni di lusso, opere d’arte, documenti personali, certificati d’origine ecc. È questa una delle applicazioni più semplici; si basa sulla non clonabilità dei chip, che contengono al proprio interno, in modalità hard-wired, ossia immessi dal fabbricante del chip, un identificativo seriale univoco.

Un secondo significato riguarda progetti inerenti la sicurezza. Citiamo, a titolo di esempio, quello che è certamente il più importante progetto di sicurezza facente uso di RFID al mondo, avviato dal DOD, Dipartimento della Difesa americano, chiamato TAV, “Total Asset Visibility network”. Questo progetto ha lo scopo di mettere fabbricanti, spedizionieri ed autorità portuali nella condizione di monitorare contenuto e locazione di oltre 17.000 container che ogni giorno entrano nei porti degli Stati Uniti, garantendo che ogni container ed il suo contenuto siano tracciati e non manomessi a partire dal luogo di origine fino a destinazione. Il sistema viene esteso a numerosi porti, aeroporti, centri di interscambio intorno al mondo e ci vorranno anni, dichiarano al Ministero della Difesa, per implementarlo completamente, ma garantirà la scoperta di qualunque manomissione o semplicemente ritardo nella movimentazione di qualunque container con l’intento dichiarato di evitare che dei container vengano utilizzati per l’importazione, all’interno degli USA, ad esempio di armi. È indubbio che un tale sistema avrà delle importantissime ricadute positive sugli operatori logistici coinvolti, in quanto permetterà di monitorare tutto il processo logistico dalla partenza alla destinazione.

E si arriva così al terzo significato, che è forse più sottile e pervasivo, che è quello dell’essere semplicemente sicuri che i sistemi operino come progettati, senza errori, in altre parole senza creare danni a chi li utilizza. Il problema si pone soprattutto per i sistemi che hanno i lettori interfacciati a delle reti in quanto sono, attraverso queste, soggetti a tutti i rischi sia di attacchi maliziosi da parte di terzi, che a problemi di cattivo funzionamento dovuti ad errori o carenze di progettazione tipici dei sistemi complessi.

Proteggere i dati nei tag RFID

D’altra parte è poco pensabile che, per ottenere i massimi benefici da una integrazione di sistema, oltre che il massimo ritorno sull’investimento, in un progetto si rinunci a collegare in rete un insieme di reader.

Si può, quindi, definire un insieme di azioni necessarie e sufficienti da compiere per proteggere i dati:

• proteggere i dati dovunque residenti nel sistema;
• proteggere le reti di trasmissione, cablate o wireless, sulle quali transitano i dati;
• proteggere il trasferimento dei dati da componente a componente del sistema;
• garantire che i dati siano trasferiti e ricevuti in forma inalterata.

La semantica può variare da sistema a sistema, da componente a componente, ma in generale, per garantire la sicurezza, si deve garantire:

• autenticazioni sicure, in modo tale che solo l’utilizzatore legittimo possa accedere al sistema ed ai servizi;
• confidenzialità e privacy dei dati, in modo tale che dati personali e sensibili siano protetti;
• integrità, assicurando che i dati, le piattaforme e, più in generale, il sistema non siano stati manomessi;
• disponibilità dei dati, garantendo che solo utilizzatori legittimati possano accedere in qualsiasi momento ai dati.

La semplicità estrema di questi pochi precetti è solo apparente in un mondo complesso quale può essere un qualsiasi sistema di rete con intelligenze fortemente distribuite.

Progettare la sicurezza

La sicurezza nasce, comunque, con la progettazione del sistema soprattutto perché l’utilizzo della tecnologia RFID costituisce un salto epocale rispetto a quanto si era abituati a progettare fino ad oggi. Non è più l’uomo che con un terminale in mano va ad interrogare l’identità di un bene, ma è lo stesso bene che automaticamente si identifica al passaggio di un varco o comunque di una zona di lettura. In altre parole, si è trasferita la responsabilità della identificazione del flusso logistico dall’uomo alle unità di carico stesse, cioè al sistema e di conseguenza alla sua efficienza, affidabilità e sicurezza.

Come non bastasse, a questa prima rivoluzione ne aggiungiamo una seconda: l’interattività fra tag e sistema informativo con l’avvento dell’Internet of things (IoT). Infatti, l’RFID non è più solo un portatore di informazioni, ma è anche in grado di dialogare con il sistema informativo e, se necessario, prendere delle decisioni in base a degli avvenimenti monitorati mediante dei sensori cui è collegato, costituendo in questo modo un link intelligente fra il mondo fisico ed il mondo virtuale dell’informatica.