« 2012年8月 | トップページ | 2012年10月 »

2012/09/30

NFCアプリケーションのセキュリティに関する話題2件

最近NFCの認知度が上がってきたせいかNFCに関するセキュリティ問題が一般のITメディアでも取り上げられるようになってきた。そういう事例を日本語で読めるのはありがたいことなのだが若干「それは違うのでは」と感じるものもあり、いくつかについてコメントしておきたい。

一つ目はNFC対応のデビットカードがスキミングされるという話。(ライフハッカー[日本語版]:盗られてないのに盗られてる?! カード犯罪の新手口から身を守る2つの方法)。検索してみるとBlogやSNSの投稿がかなり見つかり結構反響があったようだ。

まず、これはNFCカードそのものがスキミングされるという話ではない。NFCチップのうち現在クラッキングの成功事例が公開されているのはMifare Classic(ISO/IEC 14443-3 Type Aに部分準拠)まで(参考記事: スマートカードMIFARE Classicのクラック)。NFCクレジットカードのPayPassなどで使われているのはより強度の高いISO/IEC 14443-4で、こちらには成功事例が報告されていない。日本のFelicaも同様だ。

それでは何故スキミングが成功してしまうのか?実はこのスキミングで利用されるのは単純なNFCリーダーではなくモバイル式の決済端末、これを使うと、NFCカードと端末との間の通信は正当なものだが、決済端末でNFCカードにリンクされたクレジットカードの情報(番号、有効期限、氏名)が見えてしまうのだ。攻撃者はこの情報を元に磁気カードを偽造し、それを不正に利用することができるというのが攻撃の正体になる。

それでは日本のiDやQUICPayは同じような攻撃を受けるのか、ということだが、これらのカードにはリンクされている磁気カードと異なるIDが付与されている。なので単純にIDを盗聴して磁気カードに焼き込んでも不正利用はできない、ということになる。

もちろん将来新たな攻撃手法が発生しないとは限らず、スキミング防止のパスケースを使ったりするのは良い習慣だと思うが、現時点でのリスクはアメリカと日本で異なるということは認識しておいて良いと思う。

もう一つの記事はアメリカの鉄道の改札システム(ニュージャージー州とサンフランシスコ市の事例が名指しされている)で、NFC搭載アンドロイドを使ってNFC回数券を不正に書き換えることができるというもの(Naked Security:Android NFCのハッキングにより地下鉄の無賃乗車が可能に)。記事のタイトルはAndroidのNFC機能がハッキングされたように取れる、ちょっと不親切なものになっている。

こちらも実際にはNFCチップのセキュリティが破られたわけではない。これらの改札システムで利用されているNFC回数券で使われているのはMifare Ultralightというチップ。こいつは先のMifare Classicとは違い、そもそもアクセス制限の機能が搭載されていない廉価版のチップ。つまりAndroidのNFC機能でデータを書き換えるのはハッキングでもなんでもない通常の動作ということになる。

不正な書き換えができたのはシステムの設計ミスによる。このMifare Ultralightは電子チケットの一回だけの利用を想定した製品で、それに対応するセキュリティ機能を持っている。それは"One Way Counter"という機能で、特定のビットの値を不可逆的に反転させるもの。このビットを複数持ち利用ごとに反転させていくことによりカード側で有効回数のチェックを行える。だが今回ハッキングされた2社のシステムではいずれもこの機能を使わず書き換え可能なユーザ情報部分に書き込んでいたようだ。

こちらは1つ目のPayPass問題よりは根が浅く、両社の社内向けシステムの範囲で修正が可能だと思う。あまりに初歩的なミス過ぎるので何か裏があるのかもしれないが…。

| | コメント (2) | トラックバック (0)

2012/09/13

RFID World Watcher Monthly August 2012

今月の特集記事はJ.C.Pennyの全店舗個品タグ付け。かなり大きなムーブメントになると思うので日本でももう少し着目されてほしいと思う。

ニュースは結構件数があったが、先月に引き続きトライアルやパイロットの記事の比率が低く、またしばらく前に力を入れていたセンサータグの記事が無くなっていた。いろいろ試行錯誤しているような気がする。

RFID World Watcher Monthly August (PDF形式、199KB)

| | コメント (0) | トラックバック (0)

2012/09/01

J.C.Pennyの全店舗・全商品RFIDタグ付け

以前にも何度か書いたことがあるが、ここ最近RFID、特に非NFCのパッシブタグでは、新たな用途がほとんど提案されていない。実際には大規模な導入案件が北米を中心に動いており導入が低調というわけではないが、RFIDを使って世界をこう変える!という大きな夢(法螺ともいう)を語ってくれる人が出てこないと、新しい人材や技術、資金がこの業界に入ってこない。

最近この状況に一石を投じる動きがあった。アメリカの大手デパートチェーンJ.C.PennyのCEOであるRon Johnson氏がFotune誌のインタビューに答え、顧客体験の向上を目的として全店舗・全商品にRFIDを貼付すると発表したのだ(Transcript: JC Penney CEO Ron Johnson)。

従来、アパレルを中心とした小売店舗でのRFIDのキラーアプリは棚卸精度・回数の向上による店頭在庫切れの防止とされており、現時点で動いているRFIDの大規模導入案件はそれを中心とした内容となっている。だが、J.C.PennyにとってのRFIDの導入目的は従来型のPOSレジを廃止することだ(これに併せ店舗での現金の取り扱いも廃止されることになる)。

POSレジを廃止することの意味についてはEnterpriseZineの「IBMのPOS事業売却から考える「小売業の未来」」の解説が良くまとまっている。顧客との親密な接客を行なうためにはPOSレジに店員が張り付いたり顧客の訪問時間をPOSレジでの決済で削るのは邪魔になる。店員は顧客との対話や説明に集中し、いざ購入を決めたら店員のハンディターミナルやセルフPOSを使って作業を意識させず短時間で決済を済ませる。それが顧客にネットショップではなくリアル店舗に足を運ばせる決め手になるという考え方だ。

この考え方自体は決して目新しいものではない。例えば1年ほど前からRFID Journalの社説で毎月のように取り上げられていた内容だし、日本でもRFIDレジを導入したI.T.S.Internationalの事例で「チェックアウト作業中の接客を丁寧に行なえるようになった」ということが発表されている。だが、そういうコンセプトをこれほど明快に纏め上げビジネスプランに落とし込める鮮やかさは、さすがはアメリカのCEOという感じではある。

正直なところ、危なっかしさを感じさせる部分も多い。例えば同社の導入スケジュール、今年の秋までに全品目にRFIDタグの貼付を行い、来年2月1日に全店でRFIDシステムをロールアウト、来年末までにキャッシュレジを全廃というスケジュールは他の小売向けRFID事例を見るとちょっと拙速なのではないかなと思う。だが、新しい時代を切り開くために多くの人を巻き込むためには、風呂敷はこれぐらい大きくて良いのではないだろうか。

現時点ではまだ続報が無く、Johnson氏の言いっぱなしで終わっているような印象だが、今後の続報が出てくることをとても期待している。今後きちんと実現に向けて動くようなら2012年最大のRFID業界関連ニュースになるだろう。今から楽しみ。

| | コメント (2) | トラックバック (0)

« 2012年8月 | トップページ | 2012年10月 »