Nei sistemi RFID, l'identificatore unico (UID) è spesso frainteso. Spesso viene trattato come una credenziale di sicurezza, mentre in realtà non è mai stato progettato per questo scopo. Per progettare, valutare o verificare correttamente un sistema RFID, è essenziale comprendere cos'è un UID, cosa non è e come deve essere utilizzato.
Il significato tecnico di un UID
Un UID è un identificatore non volatile memorizzato in modo permanente all'interno di un circuito integrato RFID. Viene assegnato dal produttore del chip durante la produzione e serve a distinguere in modo univoco un tag da un altro a livello di protocollo.
Dal punto di vista degli standard, l'UID esiste per garantire:
- Selezione affidabile dei tag
- Risoluzione delle collisioni
- Comunicazione deterministica tra lettore e tag
Lo fa non fornire autenticazione, crittografia o prova di legittimità.
Come viene utilizzato l'UID durante la comunicazione RFID
Quando un lettore RFID eccita il campo RF, più tag possono rispondere simultaneamente. L'UID svolge un ruolo fondamentale in questa fase.
La sequenza tipica è:
- I tag rispondono con i loro identificatori
- Il lettore esegue la funzione anticollisione
- Un singolo tag viene selezionato utilizzando il suo UID
- Iniziano le operazioni di livello superiore (se supportate)
In nessuna fase l'UID convalida se il tag è autentico, autorizzato o affidabile.
Conservazione e immutabilità dell'UID
Nei chip RFID autentici, l'UID è memorizzato in memoria di sola lettura programmata in fabbrica. Non può essere modificato o riscritto durante il normale funzionamento.
I tag che consentono la modifica dell'UID sono:
- Chip clone
- Emulatori
- Dispositivi di sviluppo
Non sono rappresentativi di credenziali di produzione conformi agli standard.
Lunghezza e struttura dell'UID
La lunghezza dell'UID dipende dallo standard RFID e dalla famiglia di chip. Esempi comuni sono:
- UID a 32 e 40 bit nei sistemi LF legacy
- UID a 7 o 10 byte nei sistemi HF ISO/IEC 14443
- Identificatori a 96 bit associati ai quadri UHF EPC
La struttura dell'UID può includere:
- Identificazione del produttore
- Informazioni sulla famiglia di chip
- Numerazione di serie
Questa struttura supporta l'interoperabilità, non la segretezza.
Comportamento dell'UID nelle bande di frequenza RFID
Bassa frequenza (125 kHz)
I sistemi RFID LF si basano quasi universalmente sul funzionamento solo UID. Questi sistemi forniscono:
- Identificatori fissi
- Nessuna autenticazione
- Nessuna crittografia
- Comunicazione unidirezionale
In questi sistemi, il possesso di un UID è sufficiente per impersonare un tag.
Alta frequenza (13,56 MHz)
L'HF RFID introduce livelli di sicurezza opzionali. Il ruolo dell'UID cambia a seconda del tipo di chip.
Nei sistemi HF sicuri, l'UID viene utilizzato solo per:
- Anticollisione
- Selezione dei tag
Le decisioni sul controllo degli accessi vengono prese dopo l'autenticazione crittografica, non confrontando gli UID.
Ultra-alta frequenza (UHF)
Nella RFID UHF, il concetto di un singolo UID è sostituito da più identificatori:
- TID per l'autenticità del chip
- EPC per l'identificazione a livello di applicazione
Anche in questo caso, gli identificatori supportano la scala e la logistica, non la fiducia.
Per saperne di più: Le frequenze dei chip RFID spiegate: LF vs HF vs UHF
Il principale errore di progettazione: Trattare l'UID come una credenziale
Molti sistemi di controllo degli accessi si basano ancora sul confronto delle UID come meccanismo di autorizzazione. Questo approccio è fondamentalmente sbagliato.
L'autorizzazione basata su UID non riesce perché:
- Le UID sono trasmesse in chiaro
- Qualsiasi lettore compatibile può catturarli
- I tag clonati sono indistinguibili dagli originali
Non si tratta di un errore di implementazione, ma di un uso improprio del concetto di UID.
Perché esistono ancora sistemi solo UID
Nonostante i limiti noti, i sistemi di sola UID rimangono comuni a causa di:
- Basso costo
- Infrastruttura legacy
- Minima complessità del software
- Compatibilità con le prime implementazioni RFID
Sono adatti solo quando i requisiti di sicurezza sono trascurabili.
Come i sistemi RFID sicuri utilizzano correttamente l'UID
Nei moderni sistemi RFID sicuri:
- L'UID non viene mai utilizzato per le decisioni di accesso
- L'autenticazione si basa su una sfida-risposta crittografica.
- Le chiavi segrete rimangono protette all'interno del chip
- La verifica basata sulla sessione impedisce il replay e la clonazione
In questi sistemi, la duplicazione di un UID non ha alcun valore pratico.
Prospettiva degli standard
Standard RFID come ISO/IEC 14443, ISO/IEC 15693 e ISO/IEC 18000 definiscono esplicitamente il comportamento dell'UID. Nessuno di essi definisce l'UID come meccanismo di sicurezza.
La sicurezza è intenzionalmente stratificata sopra l'UID.
Questa distinzione è esplicita sia nella documentazione degli standard che nei progetti di riferimento dei fornitori.
Implicazioni pratiche per i progettisti di sistemi
Se la sicurezza di un sistema dipende dalla segretezza dell'UID, il sistema è insicuro per concezione.
Se un sistema utilizza l'UID solo per l'identificazione e si affida all'autenticazione crittografica per l'autorizzazione, si allinea alle moderne best practice RFID.
L'UID è un componente fondamentale della comunicazione RFID, ma non è mai stato concepito come una credenziale. Confondere l'identificazione con l'autenticazione ha portato a decenni di debolezze di sicurezza evitabili.
Comprendere il ruolo corretto dell'UID non è facoltativo: è un prerequisito per costruire sistemi RFID che siano scalabili, interoperabili e sicuri.
