Sécurité de l'information au sein des RFID

Un système RFID est composé d'une ou plusieurs étiquettes (ou tags), de lecteurs et d'un système informatique permettant l'exploitation des données. Il existe différents types d'étiquettes : passives, semi-actives et actives. Une étiquette passive ne nécessite aucune source d’énergie en dehors de celle fournie par le lecteur au moment de son interrogation. Ce type d'étiquette est le moins cher à produire mais n'est pas auto-alimenté avec une batterie interne et n'est interrogeable qu'à courte distance. Les étiquettes semi-actives sont dotées d'une batterie à faible capacité alimentant uniquement la partie électronique de la puce mais ne servant pas à l'émission du signal. L'étiquette reste dans un état de veille tant qu'elle ne reçoit pas un signal spécifique et peut être lue depuis une distance bien plus élevée qu'une étiquette passive, grâce à une transmission (broadcast) à une fréquence supérieure, comprise entre 850 et 950 MHz. Une étiquette active est aussi équipée d'une batterie et émet constamment des ondes radio signalant sa présence[1].

Les étiquettes disposent de propriétés avantageuses : leur coût (environ 10 centimes d'euro pour les étiquettes EPC[2]), leur taille (comparable à celle d'un grain de sable pour les plus petits modèles[2]) et leur faible consommation d'énergie. Pour ces raisons, la technologie d'identification par fréquence radio est utilisée dans de nombreux domaines dont voici une liste non exhaustive :

• La traçabilité : gestion des chaînes d’approvisionnement, marquage d'animaux[2]
• L'authentification et l'automatisation de processus : paiement, verrouillage et déverrouillage de portes
• La lutte contre la contrefaçon : vêtements, médicaments[3].

Si la technologie RFID permet l'amélioration de la sécurité et des processus logistiques dans ces domaines, cette technologie sans fil pose aussi de nouveaux problèmes de confidentialité et de sécurité[5]. Les principaux aspects de la sécurité de l'information tels que la confidentialité, l'intégrité, la disponibilité, l'authentification, la non-répudiation et l’anonymat ne sont en effet pas assurés par défaut lorsque l'on utilise cette technologie, à moins que des mécanismes spéciaux de sécurité y aient été intégrés[6].

La couche matérielle dans les communications RFID est constituée de l'interface physique, des signaux radios utilisés, et des matériels RFID. Les adversaires de cette couche profitent de la nature sans fil des communications RFID, de leur faible protection physique et leurs lacunes en matière de résistance contre les manipulations physiques[7].

Les systèmes RFID fonctionnent seulement quand les étiquettes RFID et les bases de données internes sont disponibles[8]. Une opération sur une étiquette peut être interrompue en bloquant intentionnellement son accès et ainsi priver le lecteur des données présentes sur l'étiquette[9]. Il existe plusieurs techniques plus ou moins élaborées qui permettent de provoquer ce cas de figure. Retirer ou cacher l'étiquette RFID d'un objet empêche toute détection de ce dernier. Cette attaque peut être utilisée pour dérober des articles dans un supermarché[8]. Elle est assez facile à mettre en pratique car il suffit d'enrober un objet (et donc l'étiquette RFID qui lui est apposée) d'une feuille d'aluminium pour bloquer les émissions radios des lecteurs[10]. Une autre façon d'utiliser ce principe est de retirer les étiquettes de deux objets aux caractéristiques bien différentes et de les intervertir[9]. Même si le lecteur associé aux étiquettes pourra les lire, les informations résultant de la lecture seront alors complètement faussées.

Détruire les étiquettes est un moyen plus radical mais tout aussi efficace. Plusieurs méthodes sont possibles selon les caractéristiques des étiquettes.

• Dans le cas où elles ont une faible protection physique, une forte pression, des expositions chimiques ou encore le découpage de l'antenne suffit à les détruire[11].
• Dans d'autres cas elles restent sensibles aux phénomènes électrostatiques[11]. Cette faiblesse est exploitée par le zapper RFID[12] pour la protection de la confidentialité. Ce dispositif génère une impulsion électromagnétique à l'aide d'une bobine, causant la destruction des étiquettes se trouvant dans son rayon d'action[11].
• La destruction est également possible si l'étiquette implémente la commande KILL comme c'est le cas pour les étiquettes EPC. Lorsque l'authentification avec le lecteur est établie et que l'étiquette reçoit cette commande un bit dédié est activé et l'étiquette ne répond plus aux requêtes[13]. Cette commande a été implémentée afin de limiter le nombre d'interrogations de l'étiquette, par exemple après le passage d'un article en caisse dans un magasin, dans l'optique d'éviter les menaces de traçabilité. L'utilisation abusive de cette commande en fait une menace contre la disponibilité du système RFID.

Les attaques contre les lecteurs RFID sont également à prendre en compte. Ajouté à la destruction des lecteurs, qui rend indisponible le processus d'identification de toutes les étiquettes, le vol des lecteurs RFID est aussi un sujet sensible. Un lecteur est réglé sur la fréquence d'émission des étiquettes afin de pouvoir interagir avec ces dernières. Un individu mal intentionné ayant accès à un lecteur peut obtenir frauduleusement des informations critiques qui seraient stockées sur ces étiquettes[11].

Cloner une étiquette légitime, c’est en produire une copie non autorisée. Une personne utilisant cette technique peut avoir accès de manière illégitime à des données, à des objets ou à des lieux. Des chercheurs de l’Université Johns-Hopkins ont copié la signature numérique de l'étiquette RFID d'un dispositif utilisant la cryptographie, le DST (en). Ces chercheurs ont utilisé leur technique pour acheter frauduleusement de l’essence et débloquer un véhicule basé sur l'étiquette DST produite par la société Texas Instruments permettant d'immobiliser des véhicules[14]. Les étiquettes RFID disposent d'un identifiant unique et, dans le cas où une étiquette n'est pas sécurisée, le clonage implique non seulement la copie de l'identifiant de l'étiquette mais aussi de toutes les données associées[15]. Les passeports électroniques allemands[16] ont été sujets à ce type d'attaque.

L'usurpation (spoofing) est une variante de clonage. Contrairement au clonage, l'usurpation ne reproduit pas physiquement une étiquette RFID. Pour réaliser ce type d'attaque l'usurpateur emploie des dispositifs capables d'émuler des étiquettes RFID, en envoyant au lecteur des données imitant celles contenues dans les étiquettes originales. Il peut alors faire passer son étiquette RFID comme valable auprès du lecteur, et obtenir les privilèges associés à l'étiquette usurpée. Cette imitation nécessite un accès complet au même canal de communication que l'étiquette d'origine. Pour cela, il est nécessaire d'avoir des connaissances sur les protocoles et secrets utilisés dans l'authentification entre le lecteur et l'étiquette visés[15].

En considérant que dans de nombreux cas les communications RFID n'ont pas besoin d'authentification, les attaquants peuvent facilement contrefaire l'identité d'un lecteur légitime afin d'obtenir ou modifier des données présentes sur les étiquettes RFID. La faisabilité de ces attaques repose sur les mesures de sécurité employées pour l'authentification du lecteur RFID. Il est alors plus ou moins facile, voire impossible, d'effectuer ces attaques. Par exemple, dérober un lecteur RFID qui stocke des informations d'identification, peut permettre d'obtenir ces informations nécessaires pour avoir l'accès aux étiquettes RFID et aux données qu'elles contiennent. Dans des mécanismes plus évolués, le lecteur RFID a besoin d'accéder au système informatique interne pour récupérer les informations d'identification nécessaires auprès de l'étiquette que l'on souhaite consulter ; il est alors plus difficile de récupérer les données contenues dans l'étiquette[15].

Les attaques applicables à cette couche exploitent la manière dont les données sont transférées entre les lecteurs et les étiquettes[15].

Illustration basique d'une attaque Ghost and leech[17]

Les attaques par relais sont inéluctables, peu importe le niveau de protection offert par le protocole de cryptographie employé. Ces attaques peuvent contourner tous les protocoles cryptographiques, même ceux à clef publique[18]. Beaucoup de méthodes de sécurité dans des applications RFID se basent sur la proximité entre le lecteur et l'étiquette RFID pendant la phase d'identification. Une attaque par relais invalide les hypothèses de proximité dans les systèmes RFID[18]. Ces attaques impliquent l'utilisation de deux matériels, communément appelés « la sangsue » (leech) et « le fantôme » (ghost). Durant l'attaque, il est nécessaire de placer la sangsue à côté de l'étiquette visée et le fantôme proche du lecteur[18]. Les communications établies entre ces deux matériels simulent la proximité entre le lecteur et l'étiquette alors qu'en réalité une distance plus importante les sépare. Des expériences[19] ont été menées à l'aide de la technologie NFC pour établir un modèle simple de communication entre le fantôme et la sangsue. En utilisant cette technologie, l'étude montre que la sangsue peut être placée jusqu'à 50 centimètres d'une étiquette RFID, tandis que le fantôme peut être installé à plus de 50 mètres du lecteur. La distance entre la sangsue et le fantôme peut être, en principe, pratiquement illimitée (de l'ordre de plusieurs kilomètres)[18].

La RFID étant une technologie sans fil, ce type d'attaque est particulièrement redoutable. Rien n'empêche un espion d'intercepter le trafic entre l'étiquette RFID et le lecteur pour en extraire de l'information. Même dans le cas où la communication est chiffrée, l'écoute du trafic reste utile. En effet, bien que l'on soit incapable de restituer le message dans son intégralité, il est possible de déduire au moins une partie de l'information en se référant à des patterns de communication[15]. En outre, même la détection de la présence ou de l'absence de communication peut être révélateur. Ainsi, en temps de guerre, un silence radio peut très bien signifier une attaque imminente. Le même type d'induction peut être appliqué aux communications RFID.

Dans une attaque de l'homme du milieu, un dispositif malveillant capable de modifier un signal radio est furtivement placé entre une étiquette RFID et un lecteur associé. Lors d'une connexion, les informations envoyées par l'étiquette sont relayées par le dispositif malveillant vers le lecteur. L'étiquette et le lecteur ont l'impression de communiquer directement et ne s'aperçoivent pas de l'attaque. Une des grandes inquiétudes engendrée par ce type d'attaque est qu'elles puissent réussir à grande distance. Par exemple, une attaque peut être utilisée pour facturer le paiement à la victime qui possède la carte RFID[20]. Dès lors que la carte est active et peut communiquer à distance, le scénario suivant est susceptible de se produire :

1. Le lecteur légitime envoie un message capté par le matériel de l'attaquant
2. L'attaquant retransmet le signal à la carte à puce de la victime
3. La puce de la victime répond normalement à un message valable. Il n'a aucun moyen de savoir que celui-ci a été relayé
4. L'attaquant retransmet le message au lecteur légitime, qui lui non plus ne peut savoir que le message a été relayé
5. Le même scénario est reproduit jusqu'à ce que la transaction soit validée

Se défendre contre cette attaque est difficile. En effet un protocole de défi-réponse ou d'échange de clefs cryptées ne résoudrait en rien le problème puisque le matériel de l'attaquant ne rempli que le rôle d'un amplificateur de signal.

Les attaques contre cette couche visent les informations contenues dans les applications et les liaisons entre les utilisateurs et les étiquettes RFID[21].

Bloquer l’émission radio d'une puce RFID est un moyen efficace de dérober un article sans déclencher le système d'alarme qui protège les objets étiquetés. Cependant, pour quelqu'un qui cherche à dérober une quantité importante d'objets, un moyen plus efficace est de changer les données figurant sur les étiquettes attachées aux objets. Selon l'utilisation de l'étiquette des informations comme le prix, les numéros ou d'autres données peuvent être changées. Par exemple, en changeant le prix d'un article et en le passant par une caisse libre service, une personne malintentionnée peut obtenir un rabais spectaculaire sans éveiller le moindre soupçon. Seul un inventaire physique pourra alors révéler une anomalie par rapport à la transaction enregistrée par le système[22].

Le fait de bloquer délibérément un accès à l'étiquette et de provoquer un déni de service peut être causé par une utilisation malveillante du blocker tag (en)[23] ou du RFID Guardian[24]. Ces deux mécanismes étaient proposés afin de protéger les communications RFID contre les attaques liées à la confidentialité. Néanmoins, ils peuvent aussi être employés par des adversaires pour exécuter délibérément une attaque par déni de service. Une seconde technique d'attaque par déni de service est l'utilisation non permissive de la commande LOCK. Cette dernière fut incluse dans plusieurs standards RFID dans le but d'empêcher les écritures en mémoire des étiquettes RFID en bloquant la lecture et/ou l'écriture de sa mémoire. Selon l'utilisation standardisée, la commande LOCK entre en application avec un mot de passe prédéfini et peut avoir des effets temporaires voir permanents[25].

Étant donné que les middleware RFID incluent des matériels réseaux, un adversaire peut profiter de ressources limitées du système et causer un déni de service au niveau du middleware RFID, en envoyant un nombre important de paquets au middleware pour que le réseau soit inondé. La surcharge de requêtes empêche alors le traitement du trafic légitime[26].

Par ailleurs, les étiquettes RFID contenant des données écrites dans un langage de script peuvent être vecteur d'attaques à base d'injection de code. Il est ainsi possible d'exploiter la partie interne des bases de données du middleware en injectant du code SQL. La faible capacité de stockage de données des étiquettes RFID n'est pas un problème pour ce type d'attaque car il est possible de causer des dommages considérables avec quelques lignes SQL. Par exemple, l'injection de la commande ;shutdown-- va éteindre l'instance courante du serveur SQL en utilisant uniquement la saisie de 12 caractères[27].

Des vers peuvent également exploiter la connexion réseau des middlewares via des vulnérabilités de services comme l'ONS (en), le service de nommage global des étiquettes EPC. Une fois le middleware infecté le ver peut ensuite se propager sur les étiquettes RFID, et éventuellement écraser les données qu'elles contiennent[27]. Compte tenu de la nature de l'utilisation des étiquettes RFID, qui communiquent avec plusieurs lecteurs, un code malveillant est capable de se reproduire même sans connexion réseau sous-jacente. Imaginons par exemple un système où les puces RFID sont reconfigurables ; en exploitant une faille permettant une injection SQL dans le middleware il est alors possible d'infecter le système informatique interne avec une étiquette contenant un virus pouvant ressembler à ceci[28] :

Dans cet exemple, une requête quelconque sert à initier l'injection. La prochaine information est modifiée pour qu'elle contienne l'information courante concaténée avec elle-même (l'instruction SELECT sélectionne l'injection complète). Une fois le système informatique infecté, il va infecter toutes les étiquettes qui seront ensuite mises à jour. Ces étiquettes seront elles-mêmes en mesure d'infecter d'autres systèmes informatiques.

La fuite d'information et la traçabilité d'une personne ou d'un objet portant un tag, sont deux grandes menaces pour la confidentialité liées à la technologie RFID. En effet, une étiquette peut contenir des données sensibles à propos de la personne qui la porte[29]. Bien qu’utilisé dans beaucoup de domaines à des fins logistiques, comme la gestion des chaînes d'approvisionnement, le traçage représente une menace contre la confidentialité des données privées. À partir du moment où un objet ou une personne possède une étiquette RFID, il peut être suivi par n'importe quel lecteur capable de lire son étiquette. Ainsi dans les domaines utilisant la RFID à des fins légales, son usage peut être détourné pour réaliser des traçages malveillants des étiquettes et de leurs porteurs[30]. Par exemple :

• Un entrepôt peut utiliser la RFID pour savoir quels objets sont présents dans l'inventaire courant, mais un individu peut utiliser le même système pour suivre un objet de l'entrepôt après sa sortie. Cet individu peut ensuite suivre, à l'aide d'une application de traçage non autorisée, les objets de valeurs[30].
• Un voyageur allant à l'étranger pourrait être identifié par la présence de son passeport et éventuellement ciblé, par exemple pour un enlèvement. Les informations non chiffrées révèlent également plus d'informations que ce que la plupart des voyageurs ne souhaitent en partager. Localiser les citoyens d'une certaine nationalité est une autre possibilité. Par exemple, une bombe pourrait être déclenchée par un lecteur RFID et programmée pour exploser seulement lorsqu'un certain nombre de passeports d'individus d'une même nationalité sont à portée du lecteur[10].

L'attaque dite du canal auxiliaire consiste à mesurer les courants et tensions entrants et sortants d'un circuit, en fonction des requêtes qui lui sont envoyées. Par l'analyse poussée de la consommation électrique d'un lecteur d'étiquettes RFID, il est ainsi possible de déterminer la nature de la communication entre le lecteur et l'étiquette, voire dans le cas d'une communication chiffrée, de déterminer la clef de chiffrement[26].

Une autre attaque sur les canaux de communication, dite du canal caché, exploite les cas où l'écriture dans la mémoire de l'étiquette RFID est possible. Un attaquant peut utiliser la mémoire libre de l'étiquette RFID pour y stocker des données non désirées[26].

Lorsque des informations critiques sont stockées sur les étiquettes RFID, des techniques de chiffrement sont employées afin de préserver l'intégrité et la confidentialité des données protégées. Toutefois, les attaquants déterminés peuvent employer des attaques cryptographiques afin casser les algorithmes de chiffrements utilisés dans les communications entre les étiquettes RFID et les lecteurs ; aux Pays-Bas, une société a montré que la clef utilisée dans un passeport néerlandais pouvait être facilement cassée à l'aide d'un PC standard au moyen d'une attaque par brute force et en un temps de deux heures[26] ; des chercheurs de l’Université Raboud de Nimègue[31] ont mis en œuvre une attaque contre l'algorithme Crypto-1 (en) de la carte MIFARE basé sur une exploitation de l'algorithme exclusif. Le même type de carte est utilisé dans le protocole de transport public néerlandais[26].

Plusieurs solutions peuvent être déployées pour pallier les défauts intrinsèques à la technologie RFID.

La commande KILL permet à l'étiquette de se désactiver elle-même de façon permanente et ce afin, par exemple, d'éviter la traçabilité des clients dans les commerces. Les étiquettes visées sont de type EPC que l'on trouve principalement dans les hypermarchés. Un lecteur doit envoyer un code de 32 bits (PIN), spécifique à l'étiquette, en vue de la désactiver[32]. Désactiver de façon permanente une étiquette n'est pas un acte anodin, dans la mesure où elle peut être utilisée par plusieurs appareils au cours de sa vie. Par exemple, si une étiquette associée à une bouteille de lait est désactivée lors de l'achat de cette dernière, un réfrigérateur intelligent ne pourra plus lire l'étiquette pour signaler à l'utilisateur que la bouteille de lait en question est vide[32].

Par ailleurs, il est possible de protéger du pistage les détenteurs d'étiquette RFID, en changeant régulièrement l'identifiant de leur puce. Une implémentation basique serait de définir un ensemble d'identifiant pour l'étiquette et d'en changer à intervalle régulier. Un lecteur pourrait en outre changer l'identifiant de l'étiquette de façon aléatoire à chaque interaction avec une étiquette[33].

Une approche pour combattre le clonage est l'utilisation de fonctions physiques non dupliquables (PUF) (en)[34] - [35]. Ces physical unclonable functions, ou PUF, représentent la mise en œuvre physique d'une fonction à sens unique et sont utilisées pour l'authentification par défi-réponse. Leurs propriétés principales sont faciles à générer, mais difficiles à caractériser. Lors de la fabrication de PUF, différents composants sont inclus de manière aléatoire dans sa structure physique, ainsi la réponse produite par la PUF sera imprédictible. Par ailleurs il est impossible de produire deux fois la même PUF.

Le contrôle de l'accès physique aux étiquettes et aux lecteurs RFID permet de s'assurer qu'ils ne seront pas endommagés ou mis hors-service[25]. Si l'étiquette est sous surveillance il est plus difficile pour un attaquant d'y accéder physiquement, et l'attaque sera donc probablement réalisée à distance. Il est alors possible, afin de réduire les risques d'attaque, de limiter la distance à laquelle l'étiquette peut répondre aux requêtes du lecteur[36].

Pour éviter la collecte clandestine d'informations, il est envisageable d'agir directement au niveau transport, en bloquant ou en régulant finement les communications de la puce RFID.

Par exemple selon le principe de la cage de Faraday, il est possible d'entraver le fonctionnement d'un système RFID en enveloppant l'étiquette RFID dans un conteneur revêtu de métal. L'utilisateur de puces RFID peut en utilisant cette technique se prémunir des requêtes indiscrètes sur celle-ci. Une illustration de cette protection simple et efficace est la ville de New York qui propose une enveloppe métallique pour chaque étiquette RFID qu'elle distribue[10].

Une approche similaire consiste en l'utilisation d'une étiquette spécialement configurée pour brouiller les connexions radio : un lecteur indésirable ne pourra pas communiquer avec l'étiquette, tandis que les lecteurs légitimes resteront aptes à effectuer une lecture de l'étiquette[33]. Voici un exemple de protection destinée à éviter le traçage d'un individu après un achat dans un hypermarché[37] :

1. Une étiquette est créée pour être associée avec un produit. Un bit de confidentialité est initialisé à 0, ce qui signifie que l'étiquette n'est pas en zone de confidentialité.
2. Un utilisateur achète le produit en question, l'étiquette est lue en caisse et la valeur du bit de confidentialité est changée à 1. L'étiquette est en zone de confidentialité.
3. Une fois en zone de confidentialité l'étiquette profite de la protection d'un blocker tag. Par exemple, un sac plastique permettant de transporter les achats cache un blocker tag. Cela permet d'éviter les lectures intrusives après que le client quitte le supermarché.
4. Quand le client arrive chez lui, il enlève le produit du sac plastique et le place dans le réfrigérateur. Ainsi un réfrigérateur intelligent peut lire l'étiquette du produit (pour contrôler sa date de péremption, par exemple).

Avec cette méthode, un consommateur choisit librement d'avoir une protection par le blocker tag. De plus, même après l'utilisation du blocker tag, l'étiquette reste toujours fonctionnelle.

Le clonage peut être détecté par une simple corrélation effectuée à l'aide les informations présentes dans la base de données du système informatique. Par exemple lors d'une tentative d'accès à un système ou bâtiment protégé, un employé portant une carte de passage RFID ne peut pas obtenir l'accès si, conformément aux informations contenues dans la base de données, il est déjà à l'intérieur du bâtiment. De la même façon, quelqu'un ne pourrait pas passer le contrôle des passeports au Japon, puis 10 min plus tard en Grèce par exemple[38].

Une approche intéressante basée sur les données du journal d'audit dans la base de données du système pour la détection de clonage et de vol d'étiquettes RFID a été proposée en 2007[39]. Ce système de détection d'intrusion pour les systèmes RFID, appelé Deckard, est basé sur un classifieur statistique et se concentre sur la détection des attaques de clonage. Bien que l'approche proposée suggère que la détection d'intrusion puisse être déployée dans les réseaux RFID, l'évaluation du système proposé indique que des recherches supplémentaires sont nécessaires afin de déployer des systèmes de détection d'intrusion robustes et efficaces. Le taux de détection varie de 46,3 % à 76,26 %, tandis que le taux de faux positifs varie de 2,52 % à 8,4 %[38].

La cryptographie pourrait sembler la solution idéale pour sécuriser les communications entre le lecteur et les étiquettes. Mais se pose alors la question de la gestion des clefs. Comment les clefs nécessaires à la multitude de produits équipés d'étiquettes RFID pourraient être échangées de manière sécurisées entre les magasins et leurs clients?

De plus la cryptographie ne résout pas le problème du pistage (tracking) : un identifiant, même s'il est chiffré n'est rien d'autre qu'un « méta-identifiant » unique qui peut très bien être utilisé pour pister le possesseur de l'étiquette. Il serait encore possible d'embarquer les opérations cryptographiques au sein même de l'étiquette, mais son coût augmenterait alors de manière inacceptable pour un usage industriel.

Par conséquent, le chiffrement ne peut être utilisé sur les objets bon marché du quotidien et est donc réservé à des systèmes sécurisés tels que les cartes de paiement ou les systèmes d'identification[40]. Il existe cependant des solutions hybrides efficaces, comme par exemple le fait d'effectuer les calculs sur le lecteur puis stocker le résultat sur l'étiquette[41].

Des attaques utilisant le clonage peuvent être parées par l'utilisation de protocoles d'authentification de type défi-réponse. Ce type de protocole rend plus difficile les attaques de type force brute. Cependant, les étiquettes RFID disposant de peu de ressources matérielles, les protocoles d'authentification faible sont le plus souvent utilisés ; ils sont peu efficaces contre les attaquants déterminés. La norme ISO 9798 (2009) prévoit l'utilisation d'un protocole d'authentification de type défi-réponse dans les systèmes RFID et les cartes à puce[38].

Dans les secteurs où la sécurité est primordiale et où le coût des étiquettes RFID disposant de ressources matérielles plus importantes n'est pas un obstacle, il est possible d'utiliser un système cryptographique à clef publique. Ari Juels a montré quelques techniques pour renforcer la résistance des étiquettes EPC contre les attaques de clonage[42], en utilisant un code d'accès pour réaliser l'authentification de type défi-réponse. Malgré l'importance des menaces de sécurité liées aux attaques de clonage, des lacunes persistent. Par exemple, aucun des pays émetteurs de passeports électroniques n'a de mécanisme anti-clonage[43] tel que suggéré par la norme 9303 de l'Organisation de l'aviation civile internationale.