Come ti cracco l'RFID con un PDA

Las Vegas (USA) – La tecnologia RFID sta incontrando i favori di una porzione sempre più vasta dell’industria, dagli USA all’Europa, ma il suo successo è accompagnato dall’ombra di dubbi e preoccupazioni. Le posizioni più critiche provengono da coloro che scorgono nelle radioetichette un rischio – tangibile – per la privacy delle persone, ma al coro degli scettici si sono di recente aggiunti anche diversi esperti di sicurezza, allarmati dall’apparente facilità con cui è possibile “craccare” i chip RFID.

Durante una conferenza tenutasi negli scorsi giorni a Las Vegas, l’esperto di sicurezza tedesco Lukas Grunwald, della società DN-Systems Enterprise Solutions, ha rafforzato le tesi dei più critici dimostrando come sia possibile leggere e scrivere una smart tag, ossia un’etichetta intelligente RFID, servendosi di un suo piccolo programma gratuito.

Grunwald ha spiegato che il tool, chiamato RFDump , può essere fatto girare su di un notebook o un PDA dotati di un lettore di smart tag, normalmente reperibile in commercio sotto forma di scheda PCMCIA o Compact Flash. Con questa semplice attrezzatura, l’esperto tedesco sostiene che si può “andare a caccia” di radioetichette: trovatane una, RFDump permette di leggerne la memoria in formato ASCII o esadecimale, modificarne il contenuto e riprogrammare il chip. Ciò significa che, con una spesa di poche centinaia di euro, anche un cracker alle prime armi potrebbe essere in grado di cambiare il prezzo ad un prodotto, entrare in un’area riservata o, più semplicemente, creare scompiglio cancellando o mescolando i dati di diversi tag.

RFDump funziona con tutti i principali tipi di chip RFID, fra cui quelli descritti negli standard ISO 15693 e 14443.

Sebbene Grunwald abbia ammesso che il proprio programma si presti ad utilizzi poco leciti, egli sostiene che la sua finalità è, da un lato, quella di spingere l’industria a prendere coscienza dei rischi legati alla tecnologia RFID e, dall’altro, fornire agli utenti un mezzo per proteggersi.

“Chiunque dovrebbe avere il diritto, una volta lasciato un negozio, di cancellare i tag RFID”, ha detto l’esperto tedesco.

Per ridurre drasticamente i problemi di sicurezza legati alla tecnologia RFID sarebbe sufficiente, secondo alcuni, cifrare i dati contenuti nella memoria delle smart tag. L’aggiunta del supporto alla crittografia richiederebbe però lo sviluppo di etichette più “intelligenti” e, di conseguenza, anche più costose: una strada al momento impraticabile in quegli ambiti dove i chip RFID non possono essere riciclati e, pertanto, vanno considerati beni consumabili.

Una soluzione temporanea, secondo Grunwald, potrebbe essere quella di creare database che i proprietari di negozi e supermercati possano utilizzare per tracciare la propria merce sfruttando il numero seriale, inalterabile, che contraddistingue ogni tag RFID. L’esperto ha tuttavia ammesso che questa soluzione renderebbe l’uso di questa tecnologia sensibilmente più complesso e dispendioso, soprattutto per le realtà commerciali più piccole.

Vista l’importanza ormai assunta dalla tecnologia RFID, che alcuni definiscono “inevitabile”, è facile prevedere come sicurezza e privacy diverranno questioni cruciali per il futuro delle etichette intelligenti.