Служба новостей IDG, Лондон

Трое ученых из университета Vrije Universiteit в Амстердаме (Голландия), занимающихся компьютерными исследованиями, предупреждают о возможном появлении вирусов для RFID-меток, используемых для идентификации товаров и слежения за их перемещением. Опасность таких вирусов весьма велика, учитывая значительный интерес, который привлекает к себе технология радиочастотной идентификации. Ни один подобный вирус пока не известен. Ряд характеристик RFID-меток позволяет хакерам использовать уязвимые места в программном обеспечении промежуточного слоя или в базах данных.

Первая RFID-метка, зараженная вирусом

Атаки могут проводиться в виде SQL-запросов или путем создания ситуации переполнения буфера, несмотря на то, что сами метки хранят лишь небольшие фрагменты данных. Для того чтобы показать, насколько опасны подобные вирусы, ученые создали самотиражирующийся экспериментальный RFID-вирус.

Студент-старшекурсник Патрик Симпсон всего за четыре часа написал вирус достаточно небольшого размера, чтобы он поместился в RFID-метки, что прежде считалось невозможным. Как заметил профессор Эндрю Таненбаум, емкость памяти меток радиочастотной идентификации не может превышать 114 байт.

Таненбаум предполагает, что производители будут крайне недовольны публикацией кода вируса. Прежде производители утверждали, что создать вирус для RFID-меток невозможно из-за того, что их память слишком мала.

Исследователи приняли меры предосторожности для того, чтобы RFID-вирусы не стали активно распространяться. Они написали свое собственное программное обеспечение промежуточного слоя, которое имитирует характерные особенности продуктов, имеющихся на рынке.

Разработанный ими инструментарий промежуточного слоя поддерживает соединение с базами данных Oracle и Microsoft SQL Server, а также со свободно распространяемыми СУБД MySQL и Postgres. Во время эксперимента использовалось оборудование RFID компании Philips Electronics.

Одни базы данных оказались крайне уязвимы к определенным видам атак, другие системы имели естественные встроенные механизмы защиты, которые делали их более устойчивыми к попыткам проникновения.

Цель эксперимента — убедить разработчиков программных продуктов для RFID-систем более внимательно относится к созданию кода. Базовое программное обеспечение может содержать миллионы строк кода, и если в программном обеспечении на каждую тысячу строк исходного текста приходится от 6 до 16 ошибок, то эти программы, скорее всего, имеют немало уязвимых мест.

С помощью RFID-меток предприятия могут значительно усилить контроль за своей собственностью. Однако, по мнению исследователей, «распространение подобной компьютерной утопии имеет свою оборотную сторону».

Системы на базе технологии RFID могут привлечь внимание криминальных лиц, поскольку в метках может содержаться личная или финансовая информация, подобно сведениям, хранящимся в цифровых паспортах. Вредоносные программы для RFID-систем могут не только нанести вред компьютерным системам, но и оказать влияние на объекты реального мира.

Аэропорты планируют использовать RFID-метки для более тщательного контроля за перемещением багажа. Однако Таненбаум предупреждает о возможном возникновении серьезных проблем в том случае, если при считывании метки можно будет получить значительно больше информации, чем предполагалось. Таненбаум отмечает, что если на багаже установить фальшивую метку, то он может использовать ситуацию переполнения буфера, передавая вирус в программное обеспечение промежуточного слоя RFID. Как только код вируса появится на сервере, он может инфицировать базы данных и испортить последующие метки или организовать «черный ход», установив небольшую программу, которая позволит извлекать данные через Internet-соединение.

«Вы можете скрыть багаж, — пояснил Таненбаум. — Можете направить багаж не по тому адресу, то есть нанести любой вред. Вот почему я считаю, что это очень серьезная проблема, которая может даже затронуть вопросы национальной безопасности».