آریفآئڈی ڈیٹا سیکیورٹی کیا ہے؟

آریفآئڈی ڈیٹا سیکیورٹی کیا ہے؟

 

پچھلے سال ایک مؤکل نے ہمیں غصے میں کہا۔ ان کے رسائی کنٹرول کارڈ "ہیک" کردیئے گئے تھے۔ پتہ چلتا ہے کہ وہ ابھی بھی ایک دہائی قبل سے 125 کلو ہرٹز قربت کارڈ چلا رہے تھے۔ کسی نے فون - سائز کے آلے کے ساتھ سب وے پر کسی ملازم کو صاف کیا ، اور اگلی صبح ، ان کے گودام کو ایک نامعلوم پارٹی نے کلون کارڈ کا استعمال کرتے ہوئے حاصل کیا۔

 

ہم قریب 20 سالوں سے Syntek میں RFID مصنوعات بنا رہے ہیں۔ اس طرح کی کہانیاں غیر معمولی نہیں ہیں۔ ہم نے دیکھا ہے کہ کمپنیاں اثاثوں سے باخبر رہنے کے نظام پر لاکھوں خرچ کرتی ہیں ، صرف یہ جاننے کے لئے کہ ALIEXPRESS کا کوئی بھی $ 30 قاری اپنے ٹیگ کو دوبارہ لکھ سکتا ہے۔ ہم نے ایک ساتھ تین مختلف شہروں میں ڈپلیکیٹ کارڈز -} ایک ہی کارڈ نمبر کے ساتھ موجود حاضری کے نظام کو دیکھا ہے۔

یہاں جس چیز کے بارے میں کوئی بات نہیں کرتا ہے

 

آریفآئڈی ایک کھلا وائرلیس سسٹم ہے۔ آپ کا ٹیگ اور قاری ریڈیو لہروں کے ذریعے بات چیت کرتے ہیں۔ صحیح گیئر والا کوئی بھی سن سکتا ہے۔

 

وائرلیس مواصلات کھلی ہوا میں ہوتا ہے ، جس سے جسمانی رابطے کے بغیر مداخلت ممکن ہوتی ہے۔

 

مسئلہ جلد شروع ہوا۔ جب مینوفیکچررز نے سب سے پہلے ان چپس کو ڈیزائن کیا تو ، انہوں نے "کیا ہم اسے پڑھ سکتے ہیں؟" پر توجہ مرکوز کی۔ نہیں "کیا ہم آپ کو اسے پڑھنے دیں؟" بہت سے چپس میں صفر کی توثیق ہوتی ہے۔ قاری پوچھتا ہے "آپ کون ہیں؟" اور صرف ٹیگ ... جوابات۔ اس سے کوئی فرق نہیں پڑتا ہے کہ یہ کوئی جائز آلہ ہے یا کوئی لڑکا ہے جس کے بیگ میں پراکس مارک ہے۔

کیوں 125 کلو ہرٹز کارڈ سیکیورٹی کا مذاق ہیں

 

یہاں کچھ ایسی چیز ہے جس کی صنعت کی تشہیر نہیں ہوتی ہے: آج بھی استعمال میں آنے والے ایک بہت بڑا حصہ 1990 کی دہائی کی ٹکنالوجی پر چل رہا ہے۔

یہ کارڈ 125 کلو ہرٹز پر چلتے ہیں۔ چپ ماڈل عام طور پر EM4100 یا TK4100 ہوتا ہے۔ وہ کیسے کام کرتے ہیں؟ پاور اپ ، براڈکاسٹ ID ، ہو گیا۔ کوئی خفیہ کاری نہیں۔ کوئی توثیق نہیں۔ چپ پر ذخیرہ صرف ایک مقررہ نمبر۔

 

 

کلون کو لاگت؟ ہوسکتا ہے کہ کسی قاری کے لئے $ 20 - مصنف ایمیزون سے دور ، خالی کارڈوں کے لئے ایک اور $ 5۔ کام کے تین منٹ۔

کلائنٹ بعض اوقات ہم سے پوچھتے ہیں: "کیا آپ انکرپٹڈ 125 کلو ہرٹز کارڈ بنا سکتے ہیں؟"

مختصر جواب: نہیں۔ پروٹوکول خود سنجیدہ سیکیورٹی کی حمایت نہیں کرتا ہے۔ آپ تحفظ چاہتے ہیں ، آپ 13.56 میگاہرٹز اعلی تعدد یا UHF میں منتقل ہوجاتے ہیں ، جس میں میفیر ڈیسفائر یا آئیکوڈ ڈی این اے جیسے چپس ہیں جو دراصل AES خفیہ کاری کی حمایت کرتے ہیں۔

 

کیا حملے دراصل کی طرح نظر آتے ہیں

 

ہمارے مؤکلوں کے ساتھ بات چیت کی بنیاد پر ، یہاں یہ ہے کہ عملی طور پر آریفآئڈی سیکیورٹی ناکام ہوجاتی ہے۔

لاگت بمقابلہ سیکیورٹی ٹریڈ آف (اور یہ سیدھا کیوں نہیں ہے)

 

کلائنٹ ہم سے ہر وقت پوچھتے ہیں: کیا زیادہ مہنگے چپس کا مطلب بہتر سیکیورٹی ہے؟

تقریبا ہاں ، لیکن یہ لکیری نہیں ہے۔

 

چپ کی قسم	تقریبا لاگت	سلامتی کی حیثیت
125KHz EM4100	$0.10	کوئی نہیں
13.56MHz Mifare کلاسیکی	~$0.40	سمجھوتہ (2008)
mifare desfire ev3	$1-2	AES-128 / اعلی

 

125 کلو ہرٹز EM4100 کارڈ کی لاگت $ 0.10 ہے۔ 13.56 میگاہرٹز میفیر کلاسیکی تک قدم اٹھائیں ، اور آپ شاید 40 0.40 پر سیکیورٹی زیادہ بہتر نہیں ہیں (اس چپ کی خفیہ کاری کو 2008 میں واپس کردیا گیا تھا)۔ AES-128 اور باہمی توثیق کے ساتھ Mifare Desfire EV3 پر جائیں ، آپ فی کارڈ -1 1-2 کی تلاش کر رہے ہیں ، لیکن عوامی سطح پر کوئی نامعلوم کارنامے موجود نہیں ہیں۔

 

سوال یہ ہے کہ: کیا آپ کو واقعی اس سطح کی ضرورت ہے؟

اگر آپ کسی فیکٹری میں رنچوں کا سراغ لگا رہے ہیں تو ، کسی کو کھونے کا مطلب متبادل کا آرڈر دینا ہے۔ اگر آپ کسی بینک والٹ تک رسائی پر قابو پا رہے ہیں تو ، کلون کارڈ کا مطلب بہت مختلف ہے۔

 

گاہکوں کو ہمارا مشورہ: "اگر اس سے سمجھوتہ کیا جاتا ہے تو بدترین معاملہ کیا ہے؟" پھر پیچھے کی طرف کام کریں۔ آدھا وقت یہ ٹیک مسئلہ نہیں ہے ، یہ ایک تاثر کا مسئلہ ہے۔

 

ہر چیز کی جگہ لے کر آپ کیا کرسکتے ہیں

 

کچھ حالات کو حقیقی طور پر سستے ٹیگ - ایونٹ کلائی بینڈز ، اعلی - حجم لاجسٹک لیبل کی ضرورت ہوتی ہے۔ ہر چیز کے لئے پریمیم چپس حقیقت پسندانہ نہیں ہیں۔ لیکن آپ کو دوسرے اختیارات مل گئے ہیں:

باہمی توثیق - قابل فہم

 

مذکورہ چیلنج - اس سے پہلے جواب۔ مجھے اس پر وسعت کرنے دو کیونکہ یہ اکثر غلط فہمی میں مبتلا ہوتا ہے۔

روایتی RFID توثیق ایک - طریقہ ہے: قاری ٹیگ کی تصدیق کرتا ہے۔ لیکن اعلی - سیکیورٹی ایپلی کیشنز کو دو - وے کی توثیق {{4} کی ضرورت ہے} ٹیگ بھی اس بات کی تصدیق کرتا ہے کہ قاری جائز ہے۔

 

یہاں بہاؤ ہے:

کسی بھی حقیقی ڈیٹا ایکسچینج ہونے سے پہلے دونوں فریقوں کو گزرنا پڑتا ہے۔ اس کا مطلب ہے کہ ایک جعلی قاری معلومات کو ترک کرنے میں ٹیگز کو چال نہیں سکتا ہے۔

مفیئر ڈیسفائر اس کی حمایت کرتا ہے۔ ہم بینکوں یا سرکاری ایجنسیوں کے ساتھ جو بھی پروجیکٹ کرتے ہیں اس کے لئے بہت زیادہ لازمی ہے۔

 

جانے سے پہلے عملی چیزیں

 

1۔ معلوم کریں کہ آپ فی الحال کیا چل رہے ہیں

بہت ساری کمپنیوں کے پاس کسی ایسے شخص کے ذریعہ انسٹال کیا گیا ہے جو برسوں پہلے چھوڑ گیا تھا۔ موجودہ اس کا اندازہ نہیں ہے کہ اصل میں کیا تعینات ہے۔ اپنے فروش سے چشمی حاصل کریں - کم سے کم میں ، تعدد اور چپ ماڈل کو جانیں۔

 

2. اپنے بدترین معاملے کی مقدار درست کریں

اگر آپ کے رسائی کارڈ کلون ہوجاتے ہیں تو ، کیا نقصان ہے؟ اگر انوینٹری ٹیگز کے ساتھ چھیڑ چھاڑ ہوجاتی ہے تو ، نمائش کیا ہے؟ اس پر ایک نمبر لگائیں۔ پھر فیصلہ کریں کہ آیا اپ گریڈ اس کے قابل ہے یا نہیں۔

 

3. اپنی سلامتی پرت

ہر چیز کو زیادہ سے زیادہ تحفظ کی ضرورت نہیں ہے۔ باقاعدہ ملازم بیجز درمیانی - درجے کے چپس چلا سکتے ہیں۔ سرور روم اور فنانس آفس کے دروازوں کو اعلی - سیکیورٹی چپس ملتے ہیں۔ گودام کی توثیق کے ساتھ گودام لاجسٹک ٹیگز سستے ہوسکتے ہیں۔

 

4. باقاعدگی سے آڈٹ

RFID سیٹ نہیں ہے - اور - بھول جائے۔ بے ضابطگیوں کے لئے رسائی کے نوشتہ جات چیک کریں۔ ایک ہی کارڈ بیک وقت دو مقامات پر ظاہر ہوتا ہے۔ - گھنٹوں تک رسائی کی کوششوں کے بعد۔ ایسے نمونے جو معنی نہیں رکھتے ہیں۔

 

5. اپ گریڈ کے لئے منصوبہ بنائیں

اگر اب بجٹ سخت ہے اور آپ درمیانی - درجے کے حل کے ساتھ جارہے ہیں تو ، کم از کم ایک ایسا فن تعمیر منتخب کریں جو مستقبل میں اپ گریڈ کی اجازت دے۔ اپنے آپ کو کسی بند نظام میں بند نہ کریں جس کے لئے تین سالوں میں مکمل متبادل کی ضرورت ہو۔