关于 RFID 安全的讨论，往往从「用什么加密」开始，而这是错误的第一个问题。Gen2 标签是没有电池、只有几百位存储的被动小器件；它能保护的范围很窄、很具体，值得在任何安全需求写下来之前先弄明白。
安全从威胁模型开始
不同的威胁需要不同机制，而多数机制并不是密码学。
- 改写 EPC：有人改了标签，让一托盘货自称是另一个物料。
- 灭活标签：被盗物品经过门禁时干脆看不见。
- 克隆：复制出来的 EPC 出现在仿冒品或重复资产上。
- 窃听：未授权的读头在公共区域批量收集标识。
- 拒绝服务：故意干扰或故意过读，让运营瘫痪。
EPC 不是秘密
它是一个广播式标识，就应该按广播式标识来设计。
- Gen2 标签会应答任何合规读头的询问；基础盘存指令里没有认证环节。
- 任何人有合适的读头与天线，都能在数米之外读到 EPC。
- 把 EPC 当车牌，不要当密码，也不要当密码学令牌。
- 绝不要把个人信息、价格或合同条款写进 EPC 字段。
- 让下游流程在「知道 EPC」的情况下也不获得任何权限。
Gen2 的访问密码与灭活密码
两个 32 位密码，覆盖两类不同的风险。
- 访问密码守在存储区写入之前，未授权方无法改写 EPC 或用户数据。
- 灭活密码守在永久失效指令之前，标签不能被悄悄关掉。
- 两者都在空中传输，需要覆盖编码，否则拦截门槛极低。
- 出厂默认密码为零的标签等于没有保护，这在试点里非常常见。
- 初始化时就把两个密码写上，否则两种保护都不存在。
锁定位与永久锁定
锁定是 Gen2 提供的最强控制，而且不可逆。
- 锁定指令可按不同粒度保护 EPC、TID、用户区、访问密码与灭活密码。
- 锁了的 EPC 就改不回来了，所以只在数据已验证、流程已稳定之后才锁。
- 永久锁定让「锁定」本身也不可解除，彻底断绝后路。
- 只读 TID 是有用的身份证据，但它本身并不足以证明不可克隆。
- 按资产类别分别定锁定策略，因为锁错的标签就是电子垃圾。
覆盖编码保护了什么
它挡的是随手拦截，不是蓄意攻击。
- 覆盖编码的做法，是读头先向标签取一个随机数，再把密码与之异或。
- 它能阻止被动监听者从空中直接拎出明文密码。
- 它挡不住能与标签直接交互的攻击者。
- 它对 EPC 读取本身毫无作用，那按设计就是明文。
- 读头有这个选项就打开，但别把它宣传成加密。
克隆、TID 与 Gen2v2 认证
现实中的防线是身份校验与物证。
- 克隆者复制的是 EPC 区；TID 值更难复制，但已被证明可以复制。
- Gen2v2 增加了带密码学套件的认证指令，前提是标签支持。
- 密码学认证让每张标签更贵，也大幅收窄可选供应商。
- 在很多运营场景里，回查服务端记录比任何标签内校验都更强。
- 物品价值撑得起时才上认证，其余地方靠流程控制。
整片标签资产的密钥管理
放在表格里的密码，不算控制措施。
- 访问密码与灭活密码放进受管理的密钥库，按站点、按标签类别分开。
- 绝不硬编码在中间件、移动应用或打印模板里。
- 标签代数允许重写时轮换访问密码，并跟踪哪些标签还留着旧值。
- 限制哪些读头、哪些操作员可以下发锁定或灭活指令。
- 每一次锁定与灭活都要记录操作员、时间与标签，并定期复核日志。
防拆与物理安全
现实中的攻击多数是物理的，不是无线的。
- 标签可以被撕下来贴到别的物品上；用易碎或防拆标签。
- 防拆回路与外壳封条能发现开壳，但增加成本与故障点。
- 收货时就要检查标签，损坏比克隆更常见。
- 贴在人一撕就坏的位置，而不是贴着最方便的位置。
- 高价值商品把 RFID 与可见标记或序列号配对使用。
读头基础设施也是攻击面
最薄弱的环节很少是标签。
- 读头跑固件、开网络服务，而且经常还留着默认口令。
- 把读头网络分段，禁止其向外网发起连接。
- 固件要更新，更新前先在实验环境验证，再推到全站。
- 把负责写 EPC 的中间件当成特权系统，因为它能批量毁掉身份数据。
- 审计谁有权修改标签数据，并保留不可篡改的变更日志。
审计、监控与事件响应
没人盯着的控制措施，等于已经失效的控制措施。
- 读取、写入、锁定与灭活统一集中记录，带读头身份与操作员。
- 任何不在既定初始化或报废流程内的灭活指令，都要告警。
- 单台读头出现异常写入量就告警，那正是批量改写的特征。
- 标签台账要能回答「某个 EPC 最后一次被谁读到、何时读到」。
- 克隆或篡改的响应预案要提前演练，第一次真出事不是设计预案的好时机。
务实的安全姿态
说清楚你做到了什么，也要说清楚你没做到什么。
- 多数仓库里，「EPC 锁定 + 服务端校验」是相称且足够的方案。
- 高价值或受监管商品，再加 Gen2v2 认证与物理防拆证据。
- 面向公众的环境，直接假定标识会被采集，并按这个前提设计。
- 威胁模型要写成文档，因为没有文档的控制措施，就是没人维护的控制措施。
- 每年复核一次：标签供应商、读头固件与威胁模型都会变。
