RFID电子护照与信用卡安全性堪虑

      一位来自澳洲的总理与内阁部门的资深网路安全顾问坦承，具有RFID功能的电子护照与信用卡会造成资讯安全的风险，他强调政府单位目前已经在寻求方法让它们能更加安全。

      在上周于雪梨举行的澳洲生物识别技术机构年度大会上，Helen Cartledge博士谈到了RFID晶片，包括银行所使用的卡片以及政府所发出的电子护照，都有可能遭到无线窥伺装置拦截的风险。

      Cartledge指出，“电子护照运用基本存取控制(BAC)来预防在没有交出文件的情形下，个人资讯遭到取出的情形。延伸存取控制则是用来保护其他资讯如指纹资料。然而，信用卡并不具有同样的保护，如果攻击者在附近使用与你的电子标籤或信用卡相同频率范围的接收读取器的话，就有可能取得你的部分资讯。”

      虽然护照裡的资料必须要有加密金钥才能使用，但荷兰的研究人员已经找到方法来从远端读取部分储存的资讯。

      Cartledge目前担任澳洲总理与内阁部门之下的国家安全科学与技术部门(NSST)的资深安全顾问，主要工作是应用科学上的创新来协助强化国家安全。

      Cartledge表示，NSST部门已经成立一项针对RFID技术的检视与研究计画，试图找出该系统的漏洞与风险。NSST预定在未来数月内刊出研究结果。

      Cartledge指出，每个人都应注意RFID晶片的问题，才能保护自己的安全。目前有一些方式可以保护我们的卡片的安全，例如使用具有金属隔层的皮夹（Faraday Cage theory, 导电围笼理论）。这是我们目前能使用的方法之一。

      然而，BAC晶片的风险与非接近式技术(proximity technology)对政府单位而言，并不是现在才有的问题。

      在今年三月举行的澳洲卡片与付费研讨会上，Centrelink的内部系统主管Glenn Mitchell对出席者表示，现在很容易透过eBay等拍卖网站取得非接近式卡片窃取器，然后就可以在公共运输上利用它来取得某人卡片的未加密资料。

      Centrelink所测试的装置可以隐藏在公事包、袋子或甚至夹克口袋之中，并且能从40公分远的距离启动未加密的非接近式卡片。一旦卡片被启动后，该装置就会储存独特的ID，然后将它下载到另一张新的非接近式卡片中。

      Mitchell表示，“攻击者可以将这些编码输入到数位卡片之中，然后就能轻易入侵目标的大楼。”