Virus, který ovlivní chování systémů postavených na technologii RFID, může v konečném důsledku znamenat i vážné ohrožení národní bezpečnosti. Tři výzkumníci působící na holandské vysoké škole Vrije Universiteit Amsterdam přišli na akci IEEE Conference on Pervasive Computing and Communications konané v polovině března v Itálii s varováním, že uživatelé technologie RFID (Radio Frequency Identification) se mohou být v nejbližší době setkat s viry, které budou příslušných čipech (značkách, tagech) zabudovány.

Organizace, které implementaci RFIDu připravují, přitom toto nebezpečí údajně značně podceňují, neboť pro ně jsou klíčové spíše přínosy, které s RFID získají. Podrobnosti o takto koncipovaných útocích byly široce publikovány na adrese www.rfidvirus.org/index.html.
Ačkoliv žádný z virů, který by byl s technologií RFID spojován, do této doby objeven nebyl, mají podle uvedených vědců RFID značky hned několik vlastností, které mohou být podvodníky zneužity k napadení middlewaru či dokonce přímo back-endových databází.
„Malware využívající čipy RFID je v podstatě takovou Pandořinou skříňkou, do které byl sebrán prach z okrajů aktivit označovaných jako chytré sklady či domácnosti,“ uvádí se ve zmíněném dokumentu.

Viry útočí

Útoky, které technologii RFID zneužijí jako prostředníka, mohou mít několik podob – jde například o atak typu SQL injection či přetečení zásobníku. Přitom na první pohled se takový útok jeví jako nemožný – RFID značky totiž mohou uchovávat pouze několik desítek bajtů informací, které navíc později, po jejich „vypálení“, nelze nijak modifikovat.
K demonstračním účelům výzkumníci z amsterdamské univerzity využili RFID virus, který se podle jejich slov dokáže sám replikovat. Jak uvádí Patrick Simpson, jeden z autorů studie a rovněž student tamní školy, vytvoření takového malwaru mu zabralo přibližně čtyři hodiny. Konečný kód musel být tak krátký, aby jej bylo možné uložit do interní paměti RFID čipu, která měla v případě pokusu amterdamské univerzity kapacitu 114 bajtů.
Andrew S. Tanenbaum, další člen týmu, je přesvědčen, že dodavatelé systémů RFID budou mít o zveřejněnou podobu malwaru eminentní zájem. Dosud totiž něco takového ve svých plánech dalšího rozvoje RFID nepředpokládali a poukazovali především na to, že kapacita paměti RFID značek je tak malá, že vznik škodlivého kódu v podstatě neumožňuje.
"Když jsme publikovali na webu kompletní kód pro RFID, v podstatě všichni dodavatelé této technologie začali panikařit,“ podotýká Tanenbaum a dodává: „Zjištění, že virus tohoto typu lze skutečně vytvořit, podle mne tyto firmy povede k tomu, že hrozbu začnou brát vážně. Je to budíček, který přišel ještě před tím, než se začala technologie RFID implementovat v širokém měřítku.“
Middleware „domácí výroby“ byl během demonstrace možných účinků nového typu virů propojen s back-endovými databázemi od takových výrobců, jako je společnost Oracle nebo Microsoft, a rovněž s řešeními, která jsou postavena na základě open-source databází – například MySQL či Postgres. Pro pokusy byla také využita zařízení RFID, jejichž výrobcem je společnost Philips Electronics.
“Bylo to skutečně vzrušující, když jsme mohli pozorovat, jak jsou některé databázové produkty náchylné na určité typy útoků,“ říká Riebacková. „Jiné zase měly v sobě zabudované poměrně propracované přirozené ochranné mechanismy, které z nich činily poměrně odolné systémy.“

Hrozba zatím malá

Aby zamezili tomu, že se uveřejněný malware pro RFID začne šířit po světě, zabudovali do něj uvedení výzkumníci jakousi pojistku – jak říká Melanie R. Riebacková, třetí členka výzkumného týmu, pro demonstrační účel byl totiž vytvořen middleware, který pouze imitoval vlastnosti současných systémů dostupných na trhu. „Nechtěli jsme jednoduše nabídnout potenciálním podvodníkům kuchařku, která by je velmi jednoduše připravila na hacking skutečných RFID systémů," tvrdí Riebacková.
Smyslem uvedené demonstrace bylo podle autorů studie podnítit návrháře současného RFID middlewaru k tomu, aby byli při návrhu kódu více ostražití a pamatovali na to, že čipy RFID mohu způsobit i výše uvedené problémy. Vědci uvádějí, že back-endový middleware může obsahovat miliony řádků zdrojového kódu. Pokud ale počet chyb v softwaru převýší hodnotu 6 na 1 000 řádek kódu, bude mít výsledný program příliš mnoho slabin.

Konkrétní nebezpečí

Technologie RFID je v současnosti stále častěji nasazována v různých odvětvích průmyslu. Slouží především k lokalizaci zboží v reálném čase či sledování manipulace s ním. Čip přitom může být umístěn jak na paletě (skupinové označení), tak i na jednotlivém produktu. Jednotlivé čipy RFID přitom obsahují jedinečný kód, který je v příslušné databázi přiřazen konkrétnímu prvku (v případě třeba jízdních dokladů či identifikačních dokumentů například i konkrétnímu člověku). Kromě produktů ale takto mohou být označeny například i zvířata a existují už také aplikace, na jejich základě byl RFID čip implementován rovněž do lidské paže. Některé firmy uvažují i o tom, že čipy RFID využijí také jako jednoznačný identifikátor pro správu svého majetku a také toho, že se v případě konkrétního subjektu jedná o jejich majetek.
Pro kriminální živly se ale mohou systémy RFID stát atraktivními, pokud data uchovaná v čipu RFID obsahují informace finančního nebo privátního charakteru – může jít například o informace uchovávané v digitálních cestovních pasech. V těchto případech RFID malware může podle výše zmíněných holandských výzkumníků zásadním způsobem ovlivnit „reálný život“, a proto je prý podstatně nebezpečnější, než si dosud kdokoliv připouštěl.
Enormní zájem o technologii RFID mají například správy letišť, a to kvůli usnadnění sledování aktuální pozice jednotlivých zavazadel. Tanenbaum ale tyto společnosti varuje před situací, kdy aplikace bude od RFID značky dostávat větší sadu dat, než očekává (to může být způsobeno například falešným RFID čipem).
Pokud totiž útočník využije tuto zranitelnost k útoku typu buffer overflow, může tak podle Tanenbaum škodlivý kód přenést až k RFID middlewaru. Na serveru pak tento malware může napadnout databázové záznamy, a znemožnit tak správnou identifikaci jiných RFID značek, či dokonce nainstalovat zadní vrátka do systému, díky čemuž útočník získá přístup k datům třeba přes internet.
„Můžete zavazadlo skrýt, můžete jej přesměrovat do jiné destinace. Můžete udělat téměř cokoliv,“ varuje Tanenbaum. „A to je, pokud jde o národní bezpečnost, už poměrně závažný problém,“ uzavírá své úvahy Tanenbaum, profesor na amterdamské univerzitě.