Một thẻ RFID là một vật thể nhỏ có thể được đính kèm hoặc tích hợp trong một tài sản hữu hình, như một quyển sách, một sinh vật hay con người. Khi một thẻ RFID đi vào vùng trường điện từ, nó được phát hiện bởi các tín hiệu tích cực của đầu đọc. Đầu đọc giải mã các dữ liệu đã được mã hóa trong mạch tích hợp (chip silic) của thẻ và các dữ liệu đó được truyền đến máy chủ cho các xử lý tiếp theo.
Bảng 1 dưới đây chỉ ra có 6 loại thẻ được thiết kế cho các ứng dụng khác nhau, bao gồm các thẻ chủ động cần có nguồn điện để hoạt động và các thẻ thụ động không cần nguồn điện.
Công nghệ thẻ nhận dạng tần số vô tuyến thường được phân chia theo các tham số hoạt động của một hệ thống RFID. Ngoài nguồn năng lượng của thẻ, tần số hoạt động là một yếu tố chủ yếu khác ảnh hưởng tới các dạng ứng dụng RFID. Theo đó, các ứng dụng thường được chia thành những lĩnh vực sau đây:
1. Tần số thấp (LF) dùng cho việc kiểm soát truy cập hoặc các ứng dụng tại điểm bán hàng;
2. Tần số cao (HF) dùng trong xử lý hành lý hoặc các tài liệu của thư viện trong các ứng dụng quản lý tài sản;
3. Tần số siêu cao (UHF) dùng cho các ứng dụng môđun mạch dịch vụ;
4. Tần số vi sóng cho các ứng dụng thu lệ phí cầu đường điện tử.
Bảng 1. Đặc tính thẻ RFID theo các loại khác nhau
Vấn đề an toàn và riêng tư trong ứng dụng  RFID

Dữ liệu được lưu giữ trong một thẻ RFID thường có khả năng truy cập công khai hoặc liên quan đến sản phẩm có, ví như dữ liệu mã sản phẩm điện tử (EPC) hoặc các mô tả sản phẩm, các dữ liệu như vậy yêu cầu độ an toàn thấp. Tuy nhiên, các ứng dụng khác có thể yêu cầu lưu giữ dữ liệu cá nhân. Dữ liệu phải được bảo vệ khi nó được truyền đi; ví dụ từ thẻ tới đầu đọc và từ đầu đọc tới mạng. Chắc chắn dữ liệu kiểu này phải được bảo mật khi ghi lên thẻ. Hai dạng ứng dụng RFID nổi bật nhất sẽ được lựa chọn để thảo luận ở đây.
Các hệ thống thông tin thư viện
RFID về bản chất là giúp cho các thư viện bảo đảm quá trình kiểm kê nhanh và vì vậy nâng cao chất lượng người dùng nhờ việc phân phát phiếu thanh toán nhanh hơn. Nó cũng giúp cho các tài liệu vật lý của thư viện được an toàn. Công nghệ HF RFID được sử dụng rộng rãi trong các ứng dụng thư viện nhờ dùng các thẻ có kích thước thẻ nhớ từ 256 bit (ISO 18000-3) đến 1024 bit (ISO 15693).
Bộ nhớ của các thẻ này được sử dụng chủ yếu để nhận dạng và dò tìm các tài liệu thư viện có trên 800 bit trống, chứa dữ liệu về người mượn và đó là cơ sở để dò tìm tham chiếu người mượn tài liệu. Những người quản trị thư viện cần chú ý tới các biện pháp an toàn liên quan tới tính mật và tính riêng tư của dữ liệu này.
Quản lý dây chuyền cung ứng
Trong ứng dụng quản lý dây chuyền cung ứng (Supply Chain Management - SCM) chuẩn, công nghệ UHF RFID kết hợp với EPC nhằm nâng cao khả năng minh bạch dây chuyền cung ứng thông qua việc cải tiến kiểm soát bản kiểm kê và bảo đảm các điều kiện cho các sản phẩm nhận dạng. Để phát huy ưu thế của việc sử dụng RFID, đòi hỏi phải xây dựng được môi trường cộng tác để trao đổi thông tin liên quan. Điều đó liên quan tới mở rộng hệ thống RFID cục bộ sang mạng EPC xuyên tổ chức để phát hiện và chia sẻ các dữ liệu EPC trên thẻ giữa các thành viên dây chuyền cung ứng. Mạng EPC đưa ra 3 dịch vụ thuận tiện cho tìm kiếm và định tuyến dữ liệu EPC:
- Dịch vụ tên đối tượng (Object Name Service - ONS) là thư mục phân tán về các nguồn thông tin có sẵn để nhận dạng vùng mạng EPC của mục trong dây chuyền cung ứng. ONS được thiết kế dựa trên hạ tầng DNS mạng Internet hiện có.
- Dịch vụ thông tin EPC (EPC-IS) là kho dữ liệu được dùng để lưu giữ và chia sẻ thông tin về các mục hậu cần duy nhất trong dây chuyền cung ứng.
- Dịch vụ khám phá EPC (EPC-DS) là một dịch vụ đăng ký dây chuyền chăm sóc. Nó tạo khả năng dò tìm và theo dõi hiệu quả nhờ mạng EPC thông qua việc cung cấp một danh sách toàn bộ các dịch vụ thông tin có sẵn về một EPC cho trước.
Việc thực hiện kiểm soát an toàn nhằm bảo vệ các ứng dụng SCM phức tạp hơn rất nhiều so với các ứng dụng thư viện, về bản chất những ứng dụng chủ yếu là nội bộ, vì mạng hệ thống - hệ thống xuyên tổ chức là yêu cầu chuẩn đối với SCM. Dữ liệu EPC/RFID được định tuyến giữa các bên nhờ các dịch vụ mạng EPC thông qua các dịch vụ ưu tiên và bộ phận trung gian RFID được đặt tại các vùng khác nhau trên dây chuyền cung ứng.
Các biện pháp an toàn hướng tới các mục tiêu bảo đảm tính bí mật, tính toàn vẹn và sẵn sàng (CIA) cần được thực hiện đối với các dữ liệu RFID/EPC và phần cứng cơ sở hạ tầng bên dưới của nó. Ngoài ra, kiểm soát truy cập đúng đắn cũng cần được thực hiện kết hợp với các dịch vụ mạng EPC.
Các phương pháp bảo vệ tính riêng tư của dữ liệu trên thẻ RFID
Việc sử dụng các thẻ RFID vẫn tạo ra mối quan tâm rất lớn về tính riêng tư đối với khách hàng, đặc biệt là trong các ứng dụng điểm bán hàng vì chúng có chứa các dữ liệu cá nhân và có khả năng trao đổi dữ liệu. Thẻ được thiết kế sao cho mỗi sản phẩm khách hàng liên quan có thể được nhận dạng duy nhất thông qua một EPC và sẽ được thông báo cho một đầu đọc gần nhất nào đó. Thông tin duy nhất này được lưu giữ trên các thẻ có thể phục vụ như một con trỏ chỉ tới thông tin bổ sung được lưu giữ ở nơi nào đó khác trong một cơ sở dữ liệu, được bảo vệ an toàn. Các biện pháp an toàn dưới đây thường được sử dụng trong việc bảo vệ tính riêng tư dữ liệu nhờ các công nghệ RFID hiện tại.
- Phương pháp “thẻ chết”: Một thẻ RFID bị làm mất khả năng hoạt động vĩnh viễn (bị huỷ) bởi một mật khẩu huỷ 32 bit được đặt trong bộ nhớ dự trữ, sao cho thẻ không hoạt động trước khi nó bị rơi vào tay người khác.
Phương pháp “thẻ chết” này thường được sử dụng trong các ứng dụng POS, ở đó thẻ trong các đồ vật đã được mua sẽ bị huỷ sau khi thanh toán xong.
- Phương pháp mật khẩu: Dữ liệu thẻ RFID được truy cập hoặc khóa nhờ một mật khẩu truy cập 32 bit đặt trong bộ nhớ dự trữ. Phương pháp này có thể được ứng dụng để kiểm soát truy cập trái phép tới các dữ liệu mật nằm trong bộ nhớ của thẻ.
- Phương pháp lồng Farađây: Một thẻ RFID được bảo vệ tránh sự kiểm soát nhờ một hộp kim loại mà tín hiệu vô tuyến ở một dải tần số định trước không thể thâm nhập vào. Việc ứng dụng lồng Farađây chỉ là một giải pháp không hoàn chỉnh đối với tính riêng tư khách hàng, vì một dải rộng các  đồ vật như quần áo, đồng hồ đeo tay và các đối tượng lớn không thể đặt trong các hộp chứa một cách dễ dàng.
- Phương pháp gây nhiễu tích cực: Một thiết bị điện tử phát ra các tín hiệu vô tuyến phá hoại sự hoạt động của các đầu đọc gần đó. Một trở ngại cho ứng dụng này là nó có thể phá hỏng sự hoạt động bình thường của các hệ thống RFID gần đó và điều này là vi phạm luật.
- Phương pháp mật mã: Một phần vùng dữ liệu trên thẻ RFID thường được dùng để lưu giữ một chữ ký số (ví dụ sử dụng hàm tóm lược SHA-1) nó xác minh xem phần dữ liệu còn lại được báo cáo không bị giả mạo và các dữ liệu được báo cáo đã được mã hoá. Phương pháp này không chỉ bảo toàn tính mật của dữ liệu mà còn giúp nhận dạng người dùng. Tuy nhiên, trình tự hoạt động theo phương pháp này cần được thiết kế cẩn thận để không gây khó khăn cho việc sử dụng, đặc biệt là trong các ứng dụng bán lẻ và POS.
Tổn thương do virus của các thẻ RFID
Một bài báo nghiên cứu của một nhóm các nhà khoa học châu  Âu đã cảnh báo rằng, các thẻ RFID có nhiều khả năng bị lây nhiễm các virus và chúng có thể sửa đổi cơ sở dữ liệu phụ trợ và gây nên sự hỗn loạn nghiêm trọng tại các sân bay và siêu thị. Các nhà nghiên cứu đã làm sáng tỏ một số dạng lợi dụng có thể được thực hiện nhờ thẻ RFID thông qua lợi dụng phần trung gian RFID. Các lợi dụng như vậy bao gồm tràn bộ đệm, chèn mã độc hại và  tấn công các điểm yếu về thiết kế của cơ sở dữ liệu (SQL injection).
Bài báo cũng giải thích việc tạo ra các virus RFID tự nhân bản khi chỉ cần một thẻ RFID bị nhiễm như một tấn công sinh học và thảo luận khả năng tấn công cơ sở dữ liệu phụ trợ trong một kịch bản ứng dụng RFID, sau đó lây nhiễm cho các thẻ mới chưa bị nhiễm.
Vì thế, cần tăng cường các biện pháp an toàn nhằm ngăn ngừa việc dùng dữ liệu từ thẻ RFID để tấn công các hệ thống phụ trợ. Các nhà nghiên cứu cũng đề xuất là các nhà lập trình phần trung gian RFID cần chấp nhận những biện pháp an toàn đúng đắn chống lại các virus RFID, ví dụ lọc các ký tự đặc biệt, loại bỏ các ngôn ngữ tạo điều khiển phụ trợ, hạn chế các quyền cho phép đối với cơ sở dữ liệu và cô lập máy chủ trung gian RFID trong DMZ, sao cho phần trung gian RFID có thể tránh được các điểm yếu tiềm tàng đến từ Internet.
Chính sách an toàn trong sử dụng công nghệ RFID
Những chính sách an toàn là cơ sở tin cậy cho việc thực hiện các biện pháp an toàn hiệu quả trong một tổ chức. Tuy nhiên, các tổ chức thường thực hiện các giải pháp an toàn kỹ thuật mà không bắt đầu bằng việc tạo một nền tảng cho các chính sách, điều đó có thể làm cho việc kiểm soát an toàn trở nên kém tập trung và thiếu hiệu quả. Các mục tiêu an toàn sẽ không được thoả mãn nếu các giải pháp kỹ thuật không được thực hiện một cách có phương pháp. Thực vậy, các kiểm soát an toàn đối với RFID có thể được thực hiện trôi chảy chỉ với những chính sách an toàn thông tin đúng đắn. Dựa trên các đề xuất đã có, một số biện pháp an toàn dữ liệu cá nhân trong các ứng dụng RFID đã được đưa ra trong bảng 2.
Các kiểm soát được quan tâm chủ yếu là trong những lĩnh vực an toàn thông tin, an toàn hệ thống và an toàn nhân viên có liên quan tới xử lý các dữ liệu RFID (trực tiếp từ thẻ RFID hoặc gián tiếp từ phần trung gian RFID và các hệ thống có liên quan).
Đối với an toàn thông tin thì các quyền sở hữu, trách nhiệm giải trình và phân loại thông tin là những mối quan tâm chính. Để ủy nhiệm đúng việc thực hiện và bảo đảm ứng dụng của các chính sách an toàn, những người chủ sở hữu phải được nhận dạng. Ngoài ra, thông tin phải được phân loại theo tính mật, tính toàn vẹn và tính sẵn dùng (CIA) để người chủ có thể quản lý một cách đúng đắn.
Đối với an toàn hệ thống, quản lý mật khẩu và kiểm soát virus được quan tâm nhất cùng với việc bảo vệ dữ liệu RFID trong thẻ cũng như trong cơ sở dữ liêu. Cuối cùng nhưng không phải nhỏ nhất, an toàn nhân viên liên quan tới việc kiểm soát các bên thứ ba, những người được phép truy cập hoặc xử lý dữ liệu. Kiểm soát quản trị cần được giải quyết để bảo đảm tính mật và tính toàn vẹn thông tin.
Bảng 2. Các kiểm soát an toàn khi thực hiện một ứng dụng RFID

Thiết kế độ đo an toàn để đo tính hiểu quả kiểm soát
Các độ đo an toàn ứng dụng những kỹ thuật phân tích để đo hiệu năng thực hiện kiểm soát an toàn. Một độ đo an toàn được chấp nhận chung là cần thiết để hướng dẫn cho người làm chính sách an toàn khi thiết lập các chính sách an toàn hợp lý và cho người thiết kế an toàn khi thiết kế và lựa chọn kiểm soát an toàn thích hợp với chính sách của hệ thống.
Độ đo an toàn thích hợp nên được thiết kế để đo hiệu năng của các kiểm soát an toàn đã được chấp nhận hoạt động. Một phương pháp tốt là kết hợp các độ đo an toàn với các chỉ thị hiệu năng là những chỉ thị kết nối tới các xử lý điều hành hoặc các mức dịch vụ đến người dùng cuối như tính sẵn dùng của các ứng dụng. Hãng Preventsys cũng đã đề xuất rằng các độ đo an toàn nên dựa trên kết quả xử lý điều hành hoặc đầu ra của các ứng dụng an toàn. Các độ đo an toàn đã đề xuất được tổng hợp trong bảng 3.
Các độ đo an toàn được xếp ngang hàng với các vùng kiểm soát như được chỉ ra trong các chính sách an toàn. Các độ đo an toàn này cố gắng đo tính hiệu quả của các kiểm soát cụ thể đã được triển khai, bao gồm cả các thủ tục hành chính và các biện pháp kỹ thuật. Vì vậy, các nhà quản lý an toàn sẽ có phương tiện để mô tả tính hiệu quả của sáng kiến an toàn nhằm chỉ ra rằng các đầu tư của họ đảm bảo bảo vệ tốt hơn cho các tổ chức riêng lẻ của họ.
Bảng 3. Các độ đo an toàn để đo hiệu năng kiểm soát

KẾT LUẬN
Việc triển khai thành công một công nghệ cho tổ chức phụ thuộc vào nhiều yếu tố, trong đó yếu tố quản lý an toàn là quan trọng nhất. Công nghệ RFID là một trong những công nghệ mới nổi lên cần được nghiên cứu kỹ lưỡng trước khi được  chấp nhận  sử dụng rộng rãi.
Trong nghiên cứu này, chúng tôi đã cố gắng trình bày ngắn gọn công nghệ RFID, làm nổi bật các vấn đề an toàn chủ yếu trong một số ứng dụng của nó. Cần lưu ý rằng, một số vấn đề an toàn như kiểm soát truy cập, tính riêng tư dữ liệu và tổn thương do virus có thể gây nên lỗ hổng an toàn trên các mục tiêu của CIA và cần được xác định. Bởi thế, chúng tôi đề xuất sự liên quan kiểm soát an toàn với việc xử lý dữ liệu RFID và với việc thiết lập các chính sách an toàn được coi như một khuôn khổ để thực hiện các kiểm soát như vậy. Để đo tính hiệu quả của việc thực hiện các kiểm soát an toàn, chúng tôi đưa ra ý kiến về một số độ đo hữu ích đối với các nhà quản lý an toàn để minh chứng cho sự cần thiết phải đầu tư về an toàn của họ.