CN101535845B

CN101535845B - 认证射频识别及其密钥分配系统

Info

Publication number: CN101535845B
Application number: CN200780038280.3A
Authority: CN
Inventors: 迈克尔·格里斯-哈维; 布莱恩·尼尔; 柯伊兰·斯密斯; 托尼·罗萨蒂; 瓦特·戴维斯; 安东尼·J·沃特; 兰迪·曾; 丹尼尔·R·布朗; 斯高斯·A·万斯通
Original assignee: Certicom Corp
Current assignee: Maliki Innovation Co ltd
Priority date: 2006-09-08
Filing date: 2007-09-10
Publication date: 2014-07-09
Anticipated expiration: 2027-09-10
Also published as: US20080069347A1; WO2008028291A1; CA2662675A1; US8634559B2; JP2013118707A; EP2680046B1; US20080164976A1; JP5260523B2; US20080150702A1; EP2680046A1; EP2076799A4; US9013266B2; CA2662675C; JP2013118706A; US8185744B2; US8938615B2; JP2010503295A; CN101535845A; US20120213366A1; EP2076799A1

Abstract

本发明公开了一种使用椭圆曲线加密(ECC)的认证RFID系统，与传统公钥实施方案例如RSA相比，其降低了签名大小和读/写次数。可以使用ECDSA或ECPVS来降低签名大小，且ECPVS可用于隐藏RFID标签中含有敏感产品识别信息的部分数据。因此，可以使用更小的标签，或者多个签名可在制造过程或供应链的不同阶段被写入。本发明也公开了用于分配验证密钥的密钥分配系统。本发明还公开了用于例如在供应链中向RFID标签中添加多个签名的聚合签名方案。

Description

认证射频识别及其密钥分配系统

技术领域

本发明涉及射频识别(radio frequency identification，RFID)标签以及RFID认证系统，且特别适用于对RFID标签进行签名和认证。

背景技术

按照传统，库存和商品等物品一直被给予一个相关的标识，以让该物品可被追踪、识别及/或监控。最近，在提供这种标识方面，条形码正逐渐被RFID技术取代。RFID的优点在于，它提供了一种自动识别系统，而不需要用户或机器找到条形码标签然后以一种特定的方式扫描该条形码。

RFID依赖于使用通常被称为RFID标签或RFID应答器的装置来进行数据的存储和远程获取。RFID标签是一种可被贴到或加入产品中或甚至是活体(例如动物)上以利用无线电波进行识别的物体。业界已有包含硅芯片和天线的基于芯片的RFID标签。RFID标签可以是无源或有源的。

无源RFID标签不需要内部电源。通过输入的射频信号在天线内感应得到的相对较小的电流为标签内的电路提供足够的启动和传送应答所需的电力。经常，无源标签通过反向散射(backscatter)来自读取器的载送信号而发出信号，因此，天线被设计成用以既收集来自输入信号的电力，也发送射出的反向散射信号。由于不需要板载电源，无源RFID标签可以更小，其实施更符合成本效益。

有源RFID标签具有内部电源，该内部电源用于为标签上的用于产生输出信号的任何电路供电。已经发现，相对于无源RFID标签而言，因为有源标签可与读取器进行“会话”，因而具有更高的可靠性。由于具有板载电源供应，有源RFID标签可以传送更大功率的信号，使它们在RF信号传输比较困难的区域，例如水中，可以更有效地传输并可传输较长的距离。板载电源供应需要更大的空间，因此有源RFID标签尺寸一般较大，也比无源RFID标签昂贵。

RFID系统一般包括标签、标签读取器以及支持性基础架构。RFID系统的目的是使数据能够利用移动装置(标签)进行传输，其中该移动装置被RFID读取器读取并处理。处理量和数据的性质很大程度上是由其应用决定。例如，标签传送的信息可提供被贴上该标签的物品的识别或位置信息，或其规格。在一些典型的应用，例如库存追踪应用中，RFID系统使用尺寸小且成本低的标签，贴到将要被追踪的物体上。该标签包含一个应答器，该应答器具有被赋予一个唯一码(例如，产品码)的存储器。读取器发出信号启动该RFID标签，使得该读取器可读取和写入数据至该标签中。当RFID标签通过由该发射的信号形成的电磁区时，该标签侦测到读取器的启动信号。读取器对在标签的存储器内编码的数据进行解码，然后该数据被传输至该支持性基础架构用于其特定用途。

RFID技术不仅在减轻追踪库存和商品时的人力物力方面越来越受欢迎，在解决安全问题方面，例如打击假冒伪劣产品方面，也越来越受到欢迎。这些安全问题在医药产业对于改善医药供应链的安全以及提高病人的安全已经变得越来越重要。目前的做法包括增加一层认证至该供应链中的医药中，特别是结合使用公钥基础架构(public-key infrastructure，PKI)与RFID系统，这种做法在2005年1月发表的题为《利用RFID和PKI技术来保障医药供应链安全》的白皮书RFIDPH01中有过讨论，该文作者为德州射频识别(TI-RFIDTM)系统公司的约瑟夫·皮尔森。

认证RFID系统，例如上述白皮书中所描述的系统让标签可在供应链的一个或多个阶段被认证以在整个过程中确保供应链的完整性。

上述实施方案要求RFID标签必须足够大以能够存储相对较大的签名，例如1024位数字Rivest-Shamir-Adleman(RSA)签名，这可能因成本太高而无法实施。因此，在保证标签不会因成本太高而无法使用的前提下，被认证的RFID标签进行RSA签名后，可能只能容纳一个签名。即使是只想要一个签名，也仍然需要相对较大的标签。

在不进一步增加标签大小的情况下，使用这种相对较大的RSA签名也使得在相同标签上使用多个签名不可行，而进一步增加标签尺寸将使得成本更高而更加不可能实施。

因此，下文的一个目的是消除或缓解上述这些缺点。

发明内容

一方面，本发明提供了一种提高射频识别标签安全性的方法，包括获得RFID标签以及使用椭圆曲线(EC)加密算法对上述RFID标签签名。

上述方法可使用ECPVS或ECDSA签名算法来执行。

另一方面，本发明提供了一种射频识别(RFID)标签，其包括椭圆曲线加密签名。

另一方面，本发明提供了一种对RFID标签签名的方法，该方法包括：获得将被写入上述标签中的第一组数据，上述第一组数据包含对未授权的RFID读取器隐藏的信息；将上述第一组数据作为可恢复部并入具有信息恢复的签名方案中；以及利用具有对应验证密钥的私钥将签名写入上述标签；其中上述第一组数据仅可通过允许访问上述验证密钥的授权RFID读取器来恢复。

另一方面，本发明提供了一种RFID签名站，包括读取RFID标签的RFID读取器和写入签名至上述RFID标签的加密模块，上述加密模块构造成用以：获得将要被写入上述标签中的第一组数据，上述第一组数据具有对未授权的RFID读取器隐藏的信息；将上述第一组数据作为可恢复部并入具有信息恢复的签名方案中；以及利用具有对应验证密钥的私钥将签名写入上述标签；其中上述第一组数据仅可通过允许访问上述验证密钥的授权RFID读取器来恢复。

另一方面，本发明提供了一种认证RFID标签的方法，包括：获得上述标签，上述标签上有具有至少一个分量的签名，上述分量加密第一组数据，上述标签具有为明文的第二组数据；获得验证密钥；使用上述验证密钥解密上述至少一个分量以获得上述第一组数据；以及检查上述第一组数据的预定特性以验证上述签名，从而认证上述标签。

另一方面，本发明提供了一种RFID读取器，包括用于验证RFID标签上的EC加密签名的加密模块，上述加密模块构造成用以：获得上述标签，上述标签上有具有至少一个分量的签名，上述分量加密第一组数据，上述标签具有为明文的第二组数据；获得验证密钥；使用上述验证密钥解密上述至少一个分量以获得上述第一组数据；以及检查上述第一组数据的预定特性以验证上述签名，从而认证上述标签。

另一方面，本发明提供了一种为认证RFID系统中的多个RFID读取器管理验证密钥的方法，包括：确定一组许可，上述许可指征上述多个RFID读取器中的其中哪一个或多个RFID读取器被允许认证一个或多个产品类型；根据这组许可，为上述多个读取器中的一个或多个读取器准备一组验证密钥，每个验证密钥与特定产品类型相关联；以及分配每组验证密钥至对应的RFID读取器。

另一方面，本发明提供了一种密钥管理系统，用于具有多个RFID读取器的认证RFID系统中，上述密钥管理系统构造成用以：确定一组许可，上述许可指征上述多个RFID读取器中的其中哪一个或多个RFID读取器被允许读取一个或多个具有对应RFID标签的产品类型；根据这组许可，为上述多个读取器中的一个或多个读取器准备一组验证密钥；以及分配上述验证密钥至上述读取器。

另一方面，本发明提供了一种产生聚合数字签名的方法，包括：通过使用第一加密密钥加密第一数据部来产生第一签名分量；根据上述第一签名分量和第二数据部来产生第一中间签名分量；根据上述第一中间签名分量和第一私钥来产生第二签名分量；通过使用第二加密密钥加密上述第一和第二签名分量的其中之一来产生第三签名分量；根据上述第三签名分量和上述第二数据部来产生第二中间签名分量；根据上述第二中间签名分量和第二私钥来产生第四签名分量；以及将上述第一和第二签名分量的其中另一以及上述第三和第四签名分量作为上述数字签名而输出。

另一方面，本发明提供了一种验证聚合数字签名的方法，包括：获得上述数字签名，上述数字签名具有第一签名分量和至少一个第二签名分量，上述第一签名分量使用相应的加密密钥加密至少一个其它签名分量，上述至少一个其它签名分量中的第一个分量加密第一数据部，每个第二签名分量要么是根据上述第一签名分量产生的，要么是根据上述至少一个其它签名分量中的相应一个以及相应的私钥而产生的；使用上述第一签名分量和第二数据部来产生第一解密密钥并解密上述第一签名分量以获得被恢复的签名分量；使用上述被恢复的签名分量并通过产生一个或多个之后的解密密钥来恢复与上述至少一个其它签名分量对应的额外签名分量；从上述至少一个其它签名分量的第一个中恢复上述第一数据部的代表；以及检查上述第一数据部的代表是否具有预定特性以验证上述数字签名。

另一方面，本发明提供了一种在多个签名阶段产生聚合数字签名的方法，包括：产生一对初始的签名分量；在下一组签名分量中加密上述初始分量对中的一个分量，上述下一组签名分量包括上述初始分量对中的另一个分量和两个新签名分量；以及对于之后的签名阶段，加密前一个签名分量并产生另外的新签名分量，其中上述前一个签名分量依次加密另一个之前的签名分量；其中，在每一阶段的上述数字签名的签名分量的数量比签名阶段的总数量多一个。

另一方面，本发明提供了一种用于产生聚合数字签名的方法，包括：使用第一值产生第一签名分量，其中上述第一值是从多个签名者中的每一个签名者贡献的各自的第一值中得到；使用第二值产生第二签名分量，其中上述第二值是从上述多个签名者中的每一个签名者贡献的各自的第二值中得到；以及输出具有上述第一签名分量和上述第二签名分量的上述数字签名。

另一方面，本发明提供了一种验证聚合数字签名的方法，包括：获得上述数字签名，上述数字签名具有使用第一值产生的第一签名分量和使用第二值产生的第二签名分量，上述第一值是从多个签名者中每一个签名者贡献的各自第一值中得到的，上述第二值是从上述多个签名者中每一个签名者贡献的各自第二值中得到的；组合上述多个签名者中的相应签名者的各自公有值以产生组合公钥；以及在签名验证过程的至少一个步骤中使用上述组合公钥。

另一方面，本发明提供了用于执行上述方法的加密处理器和计算机可读介质。

附图说明

以下仅以举例的方式结合附图来描述本发明的实施例，其中：

图1是认证RFID系统的示意性方框图。

图2是图1所示的认证机构(CA)、签名站和验证站的示意性方框图。

图3是一般RFID标签的示意图。

图4是两种不同的RFID识别(ID)码的方框图。

图5是256位RFID标签的示意图。

图6是密钥分配程序的流程图。

图7是签名程序的流程图。

图8是图7的编程程序的流程图。

图9是验证程序的流程图。

图10是用于在认证RFID系统内分配密钥的密钥管理系统及供应链的示意性方框图。

图11是图10的制造阶段的示意性方框图。

图12是图10的读取器制造商的示意性方框图。

图13是图10的KMS的示意性方框图。

图14是图10的诊所/药房的示意性方框图。

图15是密钥产生和标签签名过程的流程图。

图16是读取器注册过程的流程图。

图17是密钥分配过程的流程图。

图18是收入追踪过程的流程图。

图19是半聚合签名产生方案的示意性方框图。

图20是半聚合签名验证方案的示意性方框图。

图21是另一种半聚合签名产生方案的示意性方框图。

图22是另一种半聚合签名验证方案的示意性方框图。

图23是全聚合签名产生方案的示意性方框图。

图24是全聚合签名验证方案的示意性方框图。

图25是另一种聚合签名产生方案的示意性方框图。

图26是另一种聚合签名验证方案的示意性方框图。

具体实施方式

认证RFID系统以及供应链范例

如图1，其示出一个认证RFID系统10。所示的系统10包括认证机构(CA)12、任意N个RFID读取器14以及任意T个签名站16。其中，在一个实施例中，认证机构12用于签发证书以控制公钥的分配。RFID读取器14沿供应链22分布，用于读取贴在物品18(例如，医药产品、消费性产品、行李、移动通讯装置等)上的RFID标签20。签名站16用于将签名写入RFID标签20中以为标签20建立电子履历。每个读取器14产生激活标签20的射频(RF)场26。在本范例中，优选的是，这些标签20是无源的。应当理解的是，如果在特定应用中，这些花费是有必要的，这些标签20也可以是有源的。

优选的是，CA 12通过通信信道24与读取器14和签名站16进行通信以通过证书签发来进行密钥分配以及必要的进行日志报告。通信信道24可以是电子形式，例如局域网或广域网(安全网络或设有加密措施的非安全网络)，或者可以利用分发如CD-ROM碟片这样的介质或者部署技师等方式来实施。因此，应当理解的是，读取器14和签名站16可在网络中协同工作，或者可以是作为实质上相互独立的单机来运作。

在一些应用中，可能这些读取器14和签名站16中的个别之间没有关系或基本上没有关系，使得他们处在不同方的控制之下。因此，每一方可被要求与CA 12单独联系和通信，以让每个读取器14能够验证签名站所写入的签名。应当理解的是，CA 12的参与只是其中一种实施方式，如将要在后面讨论的，也可以使用任何其它管理或控制实体。

图2的示意性方块图示出了CA 12、签名站16和读取器14之间的密钥分配的一般实施例。CA 12为签名站16和读取器14两者签发证书。CA 12也能够签发子CA(sub-CA)证书使得其它CA(图未示)可以签发读取器证书。这些证书用于分配和验证公钥，而且证书通常不是存储在RFID标签20中。由于这些证书不是存储在标签20中，所有签名读取器16的整个证书链都被分配至每个读取器14，使得它们可验证写入标签20中的每个签名。CA 12包括用于执行加密运算和产生证书的加密模块30。CA 12还包括用于存储密钥和证书的安全存储装置32。每个CA 12具有CA证书C_CA，并存储签名站16的公钥W_1-T、读取器Z_1-N的公钥以及待分配的相应证书C_SIGN1-T和C_VER1-N。一般而言，j表示特定的签名站16，其中j是从1至T的一个数字，i表示特定的读取器14，其中i是从1至N的一个数字(根据图1所示的任意标示)。

在一个实施例中，CA 12产生读取器14的私钥(其对应于相应公钥Z_1-N)并将这些私钥以整批加密的方式连同证书C_VER1-N一起提供至读取器14的制造厂商。因为CA 12可以规定产生这些密钥的操作者不能通过未经加密的路径来访问这些私钥，因此本实施例提供了额外的措施来保障这些密钥的完整性。后面将结合图11来讨论私钥的提供和读取器14的制造。

签名站16连接至RFID读取器，能够利用加密模块30a产生椭圆曲线加密(elliptic curve cryptography，ECC)签名并将这些签名写入RFID标签20。优选的是，这些签名站16并不用于验证来自其它签名者16的签名，因此通常在签名和验证时，都不需要访问其它RFID读取器的证书。图2所示的被称为签名站1的签名站16具有存储在密钥存储器34中的私/公钥对(w₁，W₁)和一个ECC加密模块30a。优选的是，私钥w₁存储在安全硬件中并利用密码或其它机制来保护。

读取器14用于验证签名站16写入标签20中的签名，通常不用于或不能产生签名。优选的是，每个读取器14都有自己的密钥对，例如读取器1具有(z₁，Z₁)。私钥z₁用于解密签名者证书C_SIGN1，公钥Z₁对应于私钥z₁，并具有对应的证书C_VER1。读取器14还存储有CA证书C_CA的副本以及针对各签名站16的经验证的公钥W_j列表。读取器14还具有一个加密模块30a，该加密模块30a能够验证证书和验证ECC签名。

使用椭圆曲线加密法的RFID认证方案

图3示出了一个一般的RFID标签20。标签20主要用于数据存储。标签20的固件在制造阶段就被锁住。因此，这些标签20一旦出厂后就只对一组固定的命令作出响应。这些命令用于读取、写入以及锁住数据块。图3描绘了这种标签20的一种典型的存储器结构。在图3所示的范例中，标签20被分成多个32位的块，而每个块具有两个锁定位，即一个制造商锁定位(F)和一个用户锁定位(U)。在制造时，标签20被给予一个序列号，在本范例中，该序列号占用2个块或64位。优选的是，序列号是由被信任的一方烧入只读存储器(ROM)中以确保每个标签20是唯一的。在制造时，配置数据也被加入到标签20中，在本范例中，配置数据占用一个块的所有或一部分位(即，最多32位)。在例如医药供应链这样的应用中，根据适当的标准和法规，产品具体信息，例如产品类型标识，也被加入。在本范例中，产品类型标识占用3个块或96位。标签20的剩余存储空间专门用于存储用户数据，而用户数据可包括例如数字签名。可以看出，图3示出了任意N块的用户数据。因此，常用的2048位标签将提供64个数据块用于存储签名。256位标签将提供8个数据块。

图5示出一种供认证RFID系统使用的256位标签20的范例。本范例中的序列号是唯一标识符(UID)，其在工厂被编程并被锁定，对每个标签20而言是唯一的，且通常如图所示具有64位。配置数据包括数据存储格式标识符(DSFID)和应用程序系列标识符(AFI)，其中DSFID用于识别用户数据如何编码以及如何存储在标签20上，AFI可被用于识别该UID与多个编码系统中的哪个相关联(如果适用)。在本范例中，DSFID和AFI每个占用8位，因此，如果他们被写入相同的块，将出现16个空位，如果他们被写入两个分开但连续的块中，则可能出现48个空位。在图5中，产品类型标识是96位的EPCglobal产品ID。如下面将要讨论的，产品ID的至少一部分可包含与贴上标签20的产品18有关的敏感或机密信息，如果没有适当的保护措施，任何读取器14都是假定可以读取产品ID的这部分信息的，因此会造成私密性上的担心。用户数据提供8个块用于256位标签的数字签名。

可以理解的是，RSA签名太大而无法写入这样一个256位标签20中，其必须使用一个更大的标签，例如2048位标签20。也可以理解的是，RSA签名对于其它大小的标签20，例如512位的标签而言也会太大。而且，当从原始标签中读取后，RSA签名可以被复制并写入另一个标签中。然而，由于标签20是唯一的，不能重新编程，复制的签名将无法通过验证。从图3可以看出，例如RSA这样的签名将占用标签20的相当大的一部分(或者要求其具有相对较大数目的用户数据块)，在可负担的成本条件下，标签20仅可容纳一个签名。

将例如1024位RSA签名写入RFID标签20中或从标签20中读取RSA签名可能在制造过程中形成严重的瓶颈。因此，业界希望在维持类似安全等级的情况下，用更小的签名来代替RSA签名。1024位RSA签名需要相对较大的RFID标签(例如，2048位)，而这样容量的RFID标签只能容纳一个签名。为了突破这种瓶颈，让多个签名能够存储在同一个RFID标签20(例如，代表制造过程的不同阶段)中，以及能够使用更小(因此更便宜)的RFID标签20，我们需要使用具有类似安全性但尺寸更小的签名。通过以下分析已经认识到，椭圆曲线加密(ECC)签名特别适合于提供这些功能和优点。

ECC是在有限域上的椭圆曲线上的点定义的代数系统中来实现的。使用ECC的加密方案是基于有限群的离散对数问题的难解性。

在一个范例中，这种ECC加密系统的域参数是曲线y²＝x³+dx+c和种子点(seed point)P。该系统中的其中一个通信者具有私钥a以及对应的公钥Q_A＝aP，0＜a＜n，其中n是点P的阶。公钥可由认证机构(CA)掌管。下列原则也适用于二进制域应用场合。

与RSA相比，ECC提供相同的安全性但具有更少的位数。下表摘自于2006年5月发表于国家标准与技术研究院的NIST特别刊800-57：密钥管理建议书-第一部分：总则(修订)，其比较了在类似安全等级情况下的ECC和RSA的位大小。

安全位	对称密钥算法		IFC(例如，RSA)	ECC(例如，ECDSA)
					80	2TDEA	L＝1024N＝160	k＝1024	f＝160-223
112	3TDEA	L＝2048N＝224	k＝2048	f＝224-255
					128	AES-128	L＝3072N＝256	k＝3072	f＝256-383
192	AES-192	L＝7680N＝384	k＝7680	f＝384-511
					256	AES-256	L＝15360N＝512	k＝15360	f＝512+

表1：RSA与ECC之比较

为达到1024位RSA签名的同样安全等级，椭圆曲线加密应该使用160位或更多位。在此描述的范例比较了使用椭圆曲线Pintsov-Vanstone签名(ECPVS)方案和椭圆曲线数字签名算法(ECDSA)与使用公钥方案例如RSA的情形。应当理解的是，其它的ECC方案也适用。

ECPVS是具有信息恢复的数字签名方案，这意味着签过名的信息中的一部分可通过签名验证过程来被恢复。作为ANSI标准草案，ECPVS在IEEE1363a-2004和ISO/IEEE 9796-3中有规定。在ECPVS中，待签名的信息M被视为两个分开且不同的部分或数据组H和V(例如，M＝H||V)，其中H是将要被隐藏于签名中并将在验证过程中被恢复的信息或数据组，V是也被签名但被不加密地(或以其它方式容易或者公开得到)发送并用于验证过程的信息或数据组。信息H只能由那些拥有特定验证密钥的实体进行恢复，信息V可被任何实体读取，例如任何RFID读取器14，即不需要验证签名。

ECPVS签名产生算法通常从指定信息H的特性开始，其中该特性可在签名验证过程中被验证以验证该签名。例如，可以判断信息H是否具有一定量的冗余而该冗余量是否高于足够防止存在性伪造攻击(existential forgeryattack)的预定界限。如果判断构成信息M的原始数据含有足够的冗余，则M可只是该数据的一个子集(subset)。如果没有发现预定冗余，则H可被修改以人工加入冗余，例如额外的零。应当理解的是，一定量的冗余只是其中一个特性，也可以使用其它特性，例如可与已知和期待值进行比较的任何数据串或组。

例如，通常需要80位冗余来提供与1024位RSA相同的安全等级。因此，当希望达到或超过1024位RSA的安全性时，优选的是应选择80位冗余作为最低下限。然而，如下所讨论的，可根据所想要的标签大小以及使攻击签名变得不经济或因其它原因被视为可以接受的最低安全等级来挑选所用的冗余量以适合于实际应用。下面对ECPV签名的产生进行总结。

首先，产生临时密钥对(k，Q)，其中Q＝kG是椭圆曲线上的一个点，k是符合1≤k＜n的随机整数，n是椭圆曲线基点G产生的群的阶。接着，构建密钥k₁＝KDF(Q)，其中KDF是密钥导出函数。一般而言，密钥导出函数用于从秘密值和/或其它已知信息中导出一个密钥。在ECPVS中，KDF使用Q点可能还有其它信息作为输入，产生加密密钥k₁。签名实体然后计算第一签名分量

c = {ENC}_{k_{1}} (H),

即使用密钥k₁对信息H进行的加密，其中ENC是合适的加密方案，其使用明文(例如，H)作为输入并利用密钥k₁加密H以产生密文c。

接着，计算中间分量h＝Hash(c||V)，其中Hash是合适的散列函数，例如，SHA1。如果愿意，额外的信息可被加入到h中，额外的信息比如是验证签名的各方可获得或变得可获得的信息(换句话说，验证者为了验证而另外需要的信息)，例如，签名者的证书或识别信息。中间分量h然后被转换成整数e。第二签名分量s然后使用合适的签名算法进行计算，该算法例如是Schnorr算法，其中s＝e·w+k mod n，w是签名实体的长期私钥，该签名实体即为上述讨论的范例中的签名站。签名结果就是(c，s，V)或(s，c||V)。

下面说明了当提供了签名者的真实公钥W之后对签名(s，c||V)进行的ECPV签名验证。首先，中间分量h通过使用分量c||V和与签名阶段使用的相同的散列函数以及例如签名者的识别信息之类的任何其它信息计算得到，其中h＝Hash(c||V)。接着，h被转换成整数e。然后，临时公钥Q的代表Q’使用整数e、签名者的公钥W、基点G以及签名分量s计算得到，例如Q′＝sG-eW。

接着，解密密钥k₁′使用与签名阶段使用的相同的密钥导出函数KDF(包括使用同样的额外信息)计算得到，即k₁′＝KDF(Q′)。然后，隐藏部H的代表H′通过使用上述导出的密钥以及互补解密函数DEC进行恢复，即

H^{'} = {DEC}_{{k_{1}}^{'}} (c) .

然后，验证者可检验例如H′中包含的冗余的指定特性(例如，特定的格式)。如果H′包含必要的特性，比如一定量的冗余，则H′是一个有效的信息，签名通过验证。如果H′不包含必要的冗余，则回传无效的签名。

因为信息M是被细分成几个部分，因此只需要其中一个部分(例如H)包含该必需的特性(例如冗余)以及被隐藏。其它部分V是与原始信息具有相同结构的明文，因此可以提高带宽效率。如此，对于RFID标签，可见部V可包括以其它方式可为RFID读取器14所获得的任何数据部。隐藏在c中的部分H只可被那些拥有签名者的公钥W的个体所获得，而包含在V中的数据对所有人而言都可获得。虽然在此描述的隐藏部分数据以隐藏敏感信息的原理特别适合于将在以下举例说明的医药供应链，但应当理解的是，这些原理同样适合于针对任何产品类型的RFID识别系统以及需要认证和保障隐私或机密性的任何环境中。例如，下面的这些原理也适合于利用RFID技术进行机场的行李追踪、任何商品的追踪或者移动装置的用户认证，等等。

在此描述的ECPVS在RFID系统10认证中的使用使得，例如在定期扫描操作中，标签20上的部分识别信息可对未授权读取器保密，但允许常规读取器来读取其余数据。这是因为数据的某一部分可被隐藏在签名中，而其它任何非敏感信息可以就像明文V一样或作为明文V的一部分留在标签20上。而且，由于ECPVS签名小于1024位RSA签名，可以使用更小的标签来提供类似的安全性。例如，可根据具体应用来使用512位标签或256位标签，所要求的安全等级和这些标签的有效性将更详细地解释如下。

产品识别(ID)码40(例如，EPCglobal码)大致展示于图4。在下面的讨论中，ID码40的大小假定为96位。变化形式(a)包括标头50a和序列号52a。变化形式(b)包括标头50b、序列号52b和产品ID 54。产品ID 54可为序列号52b的一部分或为不同的码。该产品ID 54显示了贴有该标签20的产品的类型。

在医药产业等产业中，使用变化形式(b)的ID码40b一直被视为会造成隐私问题，因为该ID码40b暴露了该产品是什么。因此，当位于必要的范围内时，非法读取器有可能辨识顾客正在购买什么药品。这些隐私上的担心在题为《FDA假冒伪劣药品特别工作组报告：2006更新》的一篇食品和药品管理局(FDA)报告中讨论过。这篇报告在某种程度上建议不要在RFID标签上显示含有识别药品信息的NDC号。

因此，当变化形式(b)的ID码40b被使用时，业界希望加密或隐藏至少该产品ID 54，以使非法读取器无法辨识产品类型。已经认识到ECPVS能够提供一个合适的ECC签名方案(针对大小和效率而言)，通过指定ID码40为待签名的信息且将产品ID 54指定为被隐藏并在验证过程中被恢复的H部分，该ECC签名方案也可在签名中隐藏该产品ID 54。

而且，使用ECPVS，无论是变化形式(a)还是变化形式(b)，整个ID码40可被选择作为H部分，而不可恢复的或可见部V可以是该UID。在一个简单的范例中，ECPVS允许数字签名存放在具有256位存储空间(参见图5)的RFID标签20中，如下表所示：表2：ECPVS的签名大小

在实际实施方案中，有一些问题需要考虑。首先，如果整个ID码40被隐藏(将在签名验证过程中被恢复)，则不支持ECPVS或没有正确公钥Z_i的读取器14将根本无法读取ID码40。该ID码40本身可被分成可恢复部和非可恢复部(例如，产品ID 54是可恢复部)，然而，可恢复部的冗余可能不足。如果ID码40要被细分成几个部分，如果需要额外的冗余，则RFID标签20可能需要更大容量，及/或将要探索增加冗余的其它方式，例如填补(padding)，以提供足够的安全性。

其次，IEEE标准1363a-2004规定可恢复信息H应当被填补至少1个字节。如果希望符合该标准，就需要增加一个额外字节的存储空间。再次，如果使用256位标签20，除非使用AFID中的一些未使用的位，标签20中可能没有空间去存储例如签名时间等数据。最后，ID码40中可能没有足够的冗余供验证者14去判断该签名是否有效。这时可能需要一些带外(out-of-band)信息(例如，利用纸质标签的可视化验证)。冗余的问题将通过下面的方式加以解决。

如上所讨论的，存在两种类型的ID码40a、40b。变化形式(a)的字段无法直接链接至产品。在变化形式(b)的码40b中，产品ID 54直接识别产品。因此，业界希望加密或隐藏至少该产品ID 54，即通过使该产品ID 54成为至少该隐藏部H的一部分来实现。

可以理解的是，根据具体应用，该ID码40可能没有包含足够的冗余以及可能严格要求字段的式样或对字段施加限制以避免签名伪造漏洞。

使用160位曲线并将SHA-1作为散列函数时，典型的经验法则就是使用80位的冗余。然而，由于每个伪造的签名是特定于一个特别的RFID标签20，使用更小的位数也可能是足够的。而且，可能伪造签名所需的计算能力和/或时间就高到足够阻止伪造者去伪造签名。安全等级应当根据实际应用而定以提供足够能力来阻碍这种伪造者。

为提供与1024位RSA签名同样的安全等级，利用160位曲线的ECPVS签名将适合于图5所示的256位结构。产品ID 54(如果有)以及其它部分，例如ID码40中包含冗余的部分，将构成可恢复信息H。ID码40的其余部分和UID则构成非可恢复部V。应当可以从非可恢复部V获得足够的用于识别签名站16的信息。例如，利用加密密钥k，签名分量c可计算为c＝ENC_k(产品ID+其它)。而且，利用作为可见部V的序列号和ID码40的标头，中间分量h可计算为h＝HASH(c||序列号+标头)。在该范例中，任何读取器14都可读取该序列号和标头信息，但要解密该产品ID 54，读取器14必须获取合适的验证密钥(例如，W)。

除非存在80位的冗余，否则ECPVS不能提供与1024位RSA签名相同的抵御伪造签名的水平。然而，由于每个伪造签名仅对一个特定的RFID标签20适用，其它签名将不会受到危及，因此低一些的抵御水平可能也是可以接受的。

为了在不填补以及RFID标签20中没有额外的字段可用于增加冗余的情况下执行ECPVS，应该依靠ID码40的自身冗余来判断该签名是否有效。这可能包括规定ID码40的某些式样或结构，或者使用一些带外信息，例如参考产品数据库。由于ID码40的一部分是包含在可恢复部H中，不支持ECPVS的读取器14就无法读取整个ID码40。

为了执行使用填补情况下的ECPVS，AFI、DSFID和用户锁定(U)位可被用于增加可恢复部H的冗余。例如，从图5中可理解到，AFI(当写入其自身的块)与DSFID字段一样将具有24个未使用的位，用户锁具有8个未使用的位(如果不锁定用户数据块是可以接受的)。这些位将可用于提供填补。

虽然理想的填补水平是80位，如果针对该特别应用更少的填补位就安全到足够使伪造签名不经济的话，也可以使用这个更少的填补位。

使用额外的填补后，就可以不需要依靠ID码40自身的冗余。因此，除产品ID54之外的整个码40可被存储为不可恢复信息V。所有读取器14将能够读取ID码40，但只有拥有正确公钥的读取器14才能恢复产品ID 54。

因此，可以看出，相比那些适合于RSA签名的RFID标签，适合于ECPVS签名的RFID标签20可以更小。通过检查标签20内的信息的数据结构，利用冗余来填补未使用的块可以提供变化等级的冗余。而且，如果ID码40不需要被未授权的读取器14来读取，可以依靠ID码40中的冗余，或者为了提供期望数量的冗余而添加冗余。因此，应当认识到，在RFID标签20上使用ECC签名可提供与RSA签名类似的保护，但ECC签名更小且更有效率。这允许使用更小的标签(或对可利用的数据块进行更有效地使用)和/或在同一个标签中存放多个签名。这是使用RSA签名时不可能达到的，因为他们整体尺寸过大。

应当理解的是，在此描述的关于使用ECPV签名的原理同样适合于其它具有信息恢复的签名方案，例如具有信息恢复的椭圆曲线数字签名(ECDSR)，ECDSR在2007年9月4日申请的名称为“具有机密信息恢复的签名”的美国临时专利申请第____________________号中描述过，这件临时专利申请的内容在此以引用的方式并入本文中。当使用ECDSR时，与上述所讨论类似的有关安全性和标签尺寸的因素也应当考虑。

在另一个实施例中，ECDSA签名可用于为RFID标签20提供安全性，特别是在隐私不是一个重要问题的情况下应用于变化形式(b)的ID码40b。

ECDSA是一个广泛标准化的基于椭圆曲线的签名方案，出现在ANSIX9.62、FIPS 186-2、IEEE 1363-2000和ISO/IEC 15946-2标准以及几个标准草案中。

ECDSA签名产生运算对几个域参数、私钥d和信息m进行操作，并输出签名(r，s)，其中r和s是整数。该算法总结如下。1.选择k∈_R[1，n-1]，其中n是椭圆曲线基点产生的群的阶，而且是其中一个域参数。2.计算kP＝(x₁，y₁)并转换x₁为整数x₁，其中P是椭圆曲线E上的一个点，而且是其中一个域参数。3.计算r＝x₁ mod n，其中如果r＝0，则回到步骤1。4.计算e＝H(m)，其中H表示密码散列函数，其输出的位长不超过n的位长(如果这个条件不满足，则H的输出可被截断。)。5.计算s＝k^-1(e+dr)mod n，其中如果s＝0，则回到步骤1。6.将对(r，s)作为ECDSA签名输出。

ECDSA签名验证对几个域参数、公钥Q、信息m和上述导出的签名(r，s)进行操作。ECDSA签名验证输出对该签名是拒绝还是接受的结果，并按如下步骤进行。1.验证r和s是否是区间[1，n-1]内的整数。如果有任何验证失败，则回答拒绝。2.计算e＝H(m)。3.计算w＝s^-1 mod n。4.计算u₁＝ew mod n以及u₂＝rw mod n。5.计算R＝u₁ P+u₂Q。6.如果R＝∞，则签名被拒绝。7.转换R的x坐标x₁为整数x₁；计算v＝x₁ mod n。8.如果v＝r，则签名被接受，如果不相等，则签名被拒绝。

如上所讨论的，ECDSA签名由两个整数，即r和s构成，两者的大小都与椭圆曲线的基础域大小相同。例如，使用160位曲线时，签名大小是160x2＝320位或者40字节。

如果信息M已用ECDSA签名，则M、r和s被发送至验证者，在此假定该验证者已经拥有正确的公钥Q。

与使用RSA相比，在认证RFID系统10中使用ECDSA减少了数字签名的读/写次数，然而ECDSA不能提供ECPVS的保护隐私功能。实施ECDSA的最简单的方式是利用安全性相当的ECDSA签名来代替1024位RSA签名。所要求的最小的曲线大小通常是160位，因此ECDSA签名占用至少320位。NIST建议的曲线最低是163位，其对应的ECDSA签名大小是42字节。下表说明了假设ID码40占用96位时所要求的RFID存储空间。表3：ECDSA的签名大小

利用ECDSA签名的信息可以是标签20的UID和ID码40的链接(concatenation)。

对于变化形式(a)的码40a，其没有产品ID 54。签名元素r可单独利用填补来计算。如果被恢复的信息与期望的填补匹配，则签名有效。

对于变化形式(b)，产品ID 54可由与任何产品都不对应的任何无效值来代替。然后，实际产品ID 54和该填补将用于计算r。如果被恢复的信息与期望的填补匹配，则签名有效。然后，该读取器14可用该被恢复的值来代替该无效的产品ID 54以形成正确的ID码40b。

ECC签名方案的选择通常是根据RFID标签20上可利用的存储空间而定。应当理解的是，所使用的标签的大小可根据可接受的安全性以及可利用的空间大小来加以选择。可接受的安全等级的判断标准通常是伪造者进行伪造签名是否具有经济可行性。如果ECPVS签名中的冗余可以降低并且伪造仍然不具有可行性，则可以使用更小的标签。在此使用2048位和256位的签名的例子仅仅是示范性说明。应当理解的是，其它标签大小，例如512位标签，也可以被使用。

如果使用2048位RFID标签20，则ECDSA或ECPVS可以被使用。ECDSA可被用于代替RSA签名，数字签名将占用320位而不是1024位，但可提供相同的安全等级。包括ID码40在内的所要求的总存储空间为416位或13个储存块。因此，可以看出使用ECDSA允许多个签名被写入一个2048位标签20中但同时提供类似安全性并降低读/写次数，从而允许产品18在供应链22流通过程中建立电子履历。然而，与ECPVS不同的是，ECDSA不能隐藏产品ID54。

ECPVS可被用于进一步降低签名大小以及隐藏产品ID 54不让没有合适公钥Z_i的读取器14读取。利用2048位标签20中的额外存储空间，填补可被用于增加冗余至可接受的程度。在不考虑ID码40自身的冗余的情况下，可添加80个填补位以提供与1024位RSA签名相同的安全性。所要求的总存储空间将是：96位用于ID码40，20位用于产品ID 54，80个填补位用于r，以及160位用于s。因此，总共有356位或12个存储块被用于该填补的ECPVS签名。如果更低的安全等级是可以接受的，则存储空间要求可进一步降低。下表总结了可被用于256和2048位RFID标签的多个签名方案。表4：ECC签名之比较

因此可以看出，使用ECPVS的2048位RFID标签20提供写入多个签名至标签中的能力，例如在供应链22的不同阶段写入，并允许该系统10可对非授权读取器隐藏产品ID 54以增加隐私性。应当理解的是，上述只是为了示范性说明的目的，根据上述讨论的原理和考虑因素，其它标签大小也可能会被视为适合的。

因此，通过考虑某些参数，例如可接受的安全等级以及ID码40提供的自身冗余之后，可以使用更小的标签20，例如使用或不使用填补的256位RFID标签20或512位标签(图未示)等。

在使用ECPVS以隐藏产品ID 54时，存储在读取器14内的公钥Z_i应当受到物理保护，这些密钥的分配应该被例如CA 12小心控制。如果每个读取器14包含其自身的公/私钥对，在分配前，证书可针对每个特定读取器14被加密。CA 12同时为签名站16和读取器14签发证书。读取器14和签名站16的密钥对是在制造时产生的。如上述所讨论的，每个读取器14针对这些签名站具有一列验证过的公钥W_j以使签名可以被验证。使用签名者证书C_SIGNj的密钥分配程序的一个范例显示于图6。

在步骤100，CA 12获得合适的公钥W_j并在步骤102产生对应的证书C_SIGNj。然后，在步骤104，使用针对该证书将要被分配给它的那个读取器14的适当公钥Zi来加密该证书以获得加密版本C_SIGNj’。然后，在步骤106，该加密版本被分配给该适当的读取器14，该读取器14在步骤108接收该证书。在步骤110，使用私钥z_i来解密该加密版本以获得原始证书C_SIGNj。在步骤114，该证书使用CA证书C_CA进行验证，其中该CA证书是在步骤112中获得的。如果有效，则从证书中得到密钥W_j并将其存储在安全密钥存储36中。

图7示出一种对ECDSA和ECPVS都适用的签名操作。在所示的范例中，签名站16首先在步骤200判断被签名的标签20是否来自一个已知的制造商。如果该制造商是已知的，则在步骤202选择该制造商ID。如果没有发现该制造商ID，则在步骤204签名站选择一个添加制造商的选项，这样该制造商的名字在206被输入。通常，该签名者被预编程以只对预设数目的特定制造商进行签名，因此可能不需要步骤200-206或者这些步骤可能自动执行而不需要操作者的介入。在步骤208，产生、导入或以其它方式让制造商获得针对支持的每类签名和曲线的密钥对。在步骤210，私钥被存储在安全硬件中。在步骤212，公钥被传送到CA 12。

然后，在步骤214，签名站16从标签20中选择或读取序列号(可使用缺省计数值)。如果适用(变化形式(b))，在步骤216，产品码被选择。优选的是，在到达签名/编程设施之前序列号如上所述被预烧入ROM中。这使得未签名的标签20的制造商能够确保以下事实：要危害其安全性或攻击该系统，这些硬件只有被伪造才行，而非直接就能够使用一般部件以及编写适合伪造者用途的UID。

如上所述，签名站16通常是预编程以自动产生合适的签名类型，但在一些情形下，也可以被编程以提供以下能力：让操作者可选择要写入标签中的签名类型(例如，ECDSA或ECPVS)(步骤218)，写入该签名(步骤219)，该标签20然后可被编程(步骤220)。在步骤222创建一个记录，优选的是该记录作为一个日志报告被存储，用于追踪和审计用途。应当理解，优选的是，每个签名站16被预编程，使得上述的任何决定都在签名者被部署之前就被校准。然而，如果需要，上述决定结构可由程序提供，例如从图形用户界面(GUI)(图未示)的下拉菜单中提供。这种GUI也可以被技师使用，用以编程和维修该签名站16。

步骤220的更具体细节显示于图8。在步骤230，从标签20中读取UID。在步骤232，根据用户选择和产品类型等产生ID码40。在步骤234，该UID、ID码、任何元数据(meta data)和任何隐藏数据(例如产品ID 54并使用ECPVS)使用制造商特定公钥进行签名以产生签名。在步骤236，该ID码40和该签名然后被写入标签20。在步骤238，优选的是，时间戳(timestamp)被至少记录在签名站16内部的一个记录档案中。如果希望，可在签名站16中存储日志记录和日志报告，且之后为了审计和追踪目的轮询(poll)或报告这些日志记录和日志报告。

验证程序显示于图9。在某一时刻，读取器14在步骤300从CA获得制造商特定公钥W_j。当该标签20进入RF区26时，该标签20在步骤302被激活(如果是无源标签)。该UID、数据和签名在步骤304被读取器14读取。读取器14然后在步骤306使用公钥W_j并根据所使用的签名方案类型来验证该签名。如果适用，在步骤308记录时间戳。优选的是，在步骤310产生日志报告，该日志报告可由负责产品供应链和完整性的适当机构使用，用于审计目的。

因此，可以看出，使用ECC，特别是ECPVS和ECDSA(合适时)可以减小认证RFID系统10中的读/写次数和签名大小。使用ECPVS进一步增加了能够隐藏一部分产品信息的优点，这为采用RFID技术增加了动力。ECPVS也在提供与RSA签名类似安全性的情况下，提供了最小的签名。更小的签名可使多个签名站16可被使用在供应链中，使得多个签名可被依序写入每个标签的可利用的剩余空间中，而这些签名将需要被依序验证。因此，在产品在供应链中移动过程中，产品的追踪变得更加容易。

认证RFID系统的密钥管理系统

现在参考图10，其示出密钥管理系统(KMS)400，作为如图2大体所示的分配密钥的一个实施例。在图10所示的范例中，KMS 400负责在医药制造阶段、供应链22和随后的分发给客户过程中管理密钥的分配。

如上所讨论的，包括私密或其它敏感信息(例如药品或产品ID码54)的RFID标签20可使用ECPV签名来隐藏。然而，因为隐藏部可分别使用签名站16和读取器14的公钥W_1-T和Z_1-N进行恢复，当整体系统计划被分配和可更新时，一般优选的是确保这些ECPV公钥的安全并监测和控制其分配。KMS 400可被用于控制ECPV公钥的分配，使得只有被授权的读取器14才能恢复产品ID码54。鉴于对这些密钥的使用施加这种控制之后，她们就不是传统意义上的“公开”了，因此下面的范例中的密钥W_1-T和Z_1-N被称为“验证密钥”。

从图10中可看出，制造商402制造(可包括RFID编程和贴签条等)的产品18可进入供应链22并最终结束于诊所或药房408，而诊所或药房408然后分发产品至客户。产品18已经贴上已被签名的RFID标签20，在该供应链20的各个阶段以及在销售点，这些签名从标签20中被读取并进行验证。诊所或药房408因此设置有RFID读取器14，该读取器14由读取器制造商410编程并供应。如上所讨论的，被签名的RFID标签20的验证要求具有最新的验证密钥，这些验证密钥是由中央KMS 400分配、更新、追踪或以其它方式控制。KMS 400可使用密钥注入控制器422来追踪被签名的标签20的数量、被编程的读取器14的数量以及被部署的读取器14的数量，其中被部署的读取器14被更新以进行收费并保护产品18的分发和内容的隐私。KMS 400可用于以一种受控制和可靠的方式分配这些密钥以及相关信息至被部署的读取器14，这确保标签20上的ECPV签名416只能被“授权”的读取器14认证。例如，这可以防止未授权的读取器得到药品ID码54或隐藏在RFID标签20的无源存储器上的ECPV签名中的其它机密信息。

如图11所示，本范例中，由药品制造商402实施的制造过程的一部分包括RFID标签编程阶段404和医药产品贴签条阶段406。一旦该医药产品18被给予一个签条19，如上所讨论的，如果适合，该医药产品18可然后进入供应链22，其最终到达诊所或药店408，而该诊所或药店408继而分发(销售)该产品18至消费者。

该标签编程阶段404一般获取或接收未编程RFID标签20(优选的是，其包含预烧入的序列号或UID)，这些未编程RFID标签20使用RFID编程器414进行编程以使它们包含例如产品ID码54，比如图5所示的EPCglobal码。在本范例中，利用RFID编程器414将数字签名416，例如ECPV签名写入标签20中。RFID编程器414优选的是与密钥注入系统417a连接并至少部分地被该密钥注入系统417a控制。密钥注入系统417a包括签名代理419a、密钥注入服务器418a(在本范例中，密钥注入服务器418a与编程阶段404位于相同地点)和密钥注入控制器422a(其通常是与密钥注入服务器418a安全通信的外部实体)。在本范例中，RFID编程器414直接连接该签名代理419a以获得必要信息来准备和写入签名416至标签20中。

基本上，密钥注入系统417是这样一种系统，其用于远程监测设备注册，如果需要，其还用于计量注入该设备的唯一且不可变的信息。该密钥注入系统417完整介绍于2006年6月12日申请的共同待决的美国专利申请第11/450,418号中，该专利申请的内容以参考的方式并入本文中。在本范例中，控制器422a是远离RFID编程设施的计算机系统，但优选的是该控制器422a是在生产该药品的公司的控制之下。

密钥注入服务器418a、签名代理419a和RFID编程器414可以位于也可以不位于相同的地点或大楼。优选的是，通过网络建立一个安全连接以在内部和/或外部连接该密钥注入系统417的各组件。签名代理419a包括数据存储装置420，优选的是数据存储装置420位于硬件安全模块内。该数据存储装置420是一种受到保护的装置，为签名代理419a所使用以执行例如加密、解密和签名等加密安全操作以及存储敏感数据。

存储装置420存储针对每种产品类型(例如，针对每种药)的密钥对(w_j，W_j)。如图11所示，在本范例中，药品制造商402负责写入针对五(5)种不同产品的签名416，因此存储五对密钥对。应当理解的是，数据存储装置420可被相同设施内或分布在不同大楼的多个产品线上的多个RFID编程器414访问。因此，根据该制造过程的物流情况，可以使用任何数目的密钥注入系统417a、数据存储装置420和RFID编程器414。为了简明，本范例说明了同一个设施内共用一个密钥注入系统417的五个产品线，该共用的密钥注入系统417具有单一RFID编程器414，该RFID编程器414配置成可使用适合于该产品的任何一个密钥对(w_j，W_j)写入签名416。应当理解的是，密钥注入系统417a只是分配密钥的一种方式，也可以使用使该KMS 400能够监控这个过程的其它配置。因此，总体上，该KMS 400可被认为是用于分配密钥的控制器，其可使用任何适用的子系统与整个认证RFID系统中涉及的各方进行互动。

签名416是通过使用该序列号、特定于该产品18的药品ID码54以及其它供应链22特定元数据并使用针对该产品18的私钥对该标签20进行签名而产生的。该签名416优选的是如上所述的写入该标签20的ECPV签名。

也可以从图11中看出，贴签条阶段406将已编程的RFID标签20(其包含有该签名416)贴到签条19上，然后将该签条19贴到该产品18上。可以理解的是，该贴签条阶段406也可以整合于RFID编程阶段404，而且类似地，可位于相同设施内。同样，该制造过程的性质是由该产品和产业上的要求等来决定的，图11只是一个说明性的安排。在本范例中，可以使用一个贴标机(图未示)，而且，如果需要或如果在贴签条阶段406要添加签名，则该贴标机可与密钥注入系统417a界面连接。

一旦产品18贴上签条，产品18就可以进入供应链22，供应链22可能包括运输、仓储和分发等步骤。如将要在下面讨论的，可以添加额外签名416至该标签20中和/或该签名416可在该供应链的任何一个或所有阶段利用RFID读取器14进行验证。

产品18，在这个例子中是药品，最终到达一个或多个诊所或药房408(更详细地显示于图14)，该诊所或药房408然后负责将药品18分发至客户。每个诊所或药房408包括读取器14，该读取器14包括一套存储在本地(优选的是存储在安全硬件中)的数据存储装置426中的最新密钥。如图2大体上所示，读取器14存有其自身密钥对(在本实施例中，其为读取器1，密钥对(z₁，Z₁))、对应证书C_VER1的副本、CA证书C_CA的副本以及该读取器14被允许使用的验证密钥(例如，密钥W_1-5)。验证密钥由KMS 400有条件地提供，此将在下面阐释。

每个读取器14在图12所示的读取器制造商410处被编程，该读取器制造商410也使用密钥注入系统417来创建密钥对(z_i，Z_i)并为了识别用途而分配装置识别符Dev_i给每个读取器14。该读取器制造商410包括为KMS 400记录这些装置识别符的数据库424。读取器制造商读取器/编程器421与另一个密钥注入代理419b界面连接，该密钥注入代理419b又与另一个密钥注入服务器418b通信以追踪读取器14的编程。以这种方式，当每个读取器14被给予一个新的密钥对时，该密钥注入服务器418b可将该新密钥通过另一个密钥注入控制器422b传回给KMS 400并追踪这一操作的营业收入。

如图13所示，KMS 400包括CA 429、证书服务器428和有条件访问数据库(conditional access database)430，并让部署在现场的读取器14可获得针对签名站16的最新的证书。然后，这些证书可被这些读取器14使用以验证密钥注入代理418在签名站16产生的数字签名416。

针对签名站16的新密钥对(w_j，W_j)可以多种方式来产生。例如，密钥对可由经过核准的人员在安全环境中产生然后在适当的时候被上载至签名站16中。在另一个实施例中，密钥对可由签名代理419或密钥注入服务器418自动产生。在又一个实施例中，密钥对可由密钥注入控制器422或KMS 400产生(即，从一个远程地点)，然后安全地传送或上载至签名站16(即，通过密钥注入服务器418和代理419)。每次部署新签名站16时或者已存在的签名站16希望使用多个密钥(例如，针对不同的产品线)时，新密钥对(w_j，W_j)都是必需的。如果签名站16产生新密钥对，则可创建一个证书请求，其包含利用私钥签名的公钥。该证书请求然后传回至KMS 400，该传回操作在本范例中是通过密钥注入控制器422a来完成的。通过使用密钥注入控制器422a，KMS 400不仅能够保持最新的密钥信息，也使KMS 400能够阻止在不经过适当同意的情况下建立新生产线的欺诈性企图。因此，KMS 400能够针对适当注册的每条产品线追踪和获得针对已签名的每个标签20的收入。

KMS 400也可以追踪使用其它密钥注入控制器422b编程的读取器14的数量。以这种方式，KMS 400可以确保其知悉所有有能力(并允许)对签名站16签署的签名进行验证的读取器14。在签名416的至少一部分可恢复内容是敏感或私密信息时，这种配置使得KMS 400在整个系统的安全性和隐私性方面更具有信心。

KMS 400可类似地追踪每个签名验证或发生在标签20通过该供应链22过程中的额外签名写入操作。因此，KMS 400不仅安全地分配密钥至适当实体，同时也可以追踪就提供密钥分配服务而收取费用的各收入点。例如，KMS400可追踪已被签名的标签的数量和已被编程的读取器14的数量，并按每台装置(per-device)或每个标签(per-tag)进行收费。KMS 400也可以追踪诊所或药房408的读取器用量，并针对为部署的读取器14同步最新密钥的服务按月收费或按统一费率进行收费。诊所或药房408和制造商402继而可为它们的客户和/或商业伙伴提供安全性和隐私保护。

参考图15，其示出为签名站16和签名标签20产生新密钥的一般过程。如上面所指出的，新密钥对(w_j，W_j)可在安全环境中产生然后被手动载入至签名代理419a，或者可由KMS 400和/或密钥注入系统417a产生并载入。一旦新密钥对已经在签名站16(例如，制造商402)产生并被载入，密钥代理419a则产生并发送证书请求至KMS 400(例如通过密钥注入系统417a发送)。值得注意的是，图10-14所示的系统并不要求签名站16和读取器14时时刻刻都联机在线。因此，证书请求可由密钥注入服务器418a稍后发送至CA 429，例如，通过电子邮件或其它形式的通信，与业务请求一起发送至KMS 400。

业务请求通常包括KMS 400与制造商402之间的业务关系的参数。例如，为了让制造商402保持拥有用于产生签名的最新的有效密钥，可能它们之间签订按每笔签名收费的协议，其中该费用可由KMS 400来收取。根据制造环境的性质、产品18、数量和单价等因素，也可以建立其它协议，例如统一月费率或一次性费用等。

一旦KMS 400处理完业务协议之后，KMS 400则签发并回传一个与产生的密钥对相对应的证书C_SIGNj。该证书与有权使用证书的读取器14的列表一起存放在证书服务器428上。因此，可以理解的是，业务请求通常还包括首选的或强制分销商和/或该供应链22中的各方的详细信息。这使得KMS 400可追踪对读取器14的许可并相应地更新它们的密钥。如上所述，证书C_SIGNj也存储在签名站16中以供今后参考。值得注意的是，在普通操作时，该签名站16不一定非要使用证书。

一旦将一个或多个密钥提供给签名代理419a之后，标签20则可在编程阶段404被签名，其中该一个或多个密钥与一条或多条产品线上的一个或多个产品相对应。密钥注入系统417a可被用于计量信用池(credit pool)以限制被签名的标签20的数量，或者只是利用安全报告程序来追踪被签名的标签20的数量。例如，如图15所示，对标签20进行签名之后，签名代理419a然后回报给签名服务器418表明标签20已经被签名，在该特定的一轮中对每个标签20重复这样的操作，然后该签名代理等待下一个指令、更新或下一批标签20。服务器418a然后可以在适当时机通过密钥注入控制器422a将已被签名的标签的总数量报告给KMS 400。可选择的是，签名代理419a可追踪已被签名的标签的数量，然后报告该总数量给服务器418a，而该服务器418a又将该总数量通过控制器422a报告给KMS 400。密钥注入系统417不仅可以追踪标签签名，同时也可以计量信用池以限定在特定时间内和/或针对特定制造商402或产线等的被签名的标签20的数量。

参考图16，其示出注册读取器14的程序。读取器14首先在制造商410处制造，其包括创建读取器密钥对(z_i，Z_i)。读取器14产生证书请求，通过密钥注入系统417b发送该证书请求至KMS 400，然后被签发相应的证书C_VERi。然后，读取器14可被部署在诊所或药房408或该供应链22的一个特定阶段。一旦部署之后，读取器14然后通过密钥注入系统417b连接至KMS 400以请求注册。KMS 400判断该读取器14的特定拥有者有资格使用哪个密钥(如果有)并验证该请求。如果通过验证，KMS 400然后分配一组许可给读取器14并记录该组许可。KMS 400将这些许可的指示连同相关的验证密钥W_j发送给读取器14，此时可附加上元数据。读取器14然后安全地存储这些密钥，优选的是存储在硬件安全模块(HSM)中并向KMS 400确认收到这些密钥。读取器14然后可以根据其许可来使用这些验证密钥以当产品18被销售时验证标签20上的签名。

与此同时，读取器14等待来自KMS 400的更新，其原因在于一些密钥可能在一段规定时间后已到期以及新产品18可能需要被验证。KMS 400能够根据从签名站16(例如，制造商402)收到的反馈以及产品信息、隐私问题等来更新读取器14。

参考图17，其示出更新读取器14的程序。KMS 400首先获取或搜集与证书撤销和产品过期有关的信息以及其它任何影响产品18和用于验证对应签名416的密钥W_j的有效性的信息。这些信息与本地存储的与已分配给某些读取器14的许可相关的信息作比较，然后准备好针对每个读取器14的更新。当有连接可用时(或者使用轮询或其它预定的日常程序)，KMS 400连接至读取器14，然后发送这些更新，等待读取器14已被更新的确认，然后断开连接直到要求进行下一次更新和/或有下一次更新可用。

可以看出，KMS 400可以半在线(semi-online)的方式工作，因此读取器14和签名站16并不要求一个时刻在线的专门连接。KMS 400可以在适当时刻更新或进行预定更新，而更新时需要建立连接。应当理解的是，在可能的情况下，根据制造环境、供应链22和分配渠道的性质，也可以使用全部在线系统和/或在单个实体内的闭环系统。

图18示出一个示例性收入流，其使KMS 400能够追踪和收取为保持最新密钥而按每用户或统一费率收取的费用。例如，在签名端，密钥注入服务器418a可用于追踪被写入的签名的数量，报告该数量至控制器422a，如果必要，该控制器422a然后判断是否可写入更多的签名等(计量)并报告给KMS 400申请更大的“信用额度”或者只是报告应从该特定制造商402收取的收入。服务器418a可用于追踪多条产品线上的多个签名代理419a以为KMS 400准备一份综合收入报告。优选的是，在KMS 400监督控制器422的操作(例如，使用日志报告)情况下，控制器422a负责管理信用以及更新信用池(并传递这些信息至KMS 400)。然而，在适当时，KMS 400也可以授予额外的额度，可在连接建立后准备更新，之后，KMS 400将可以直接从制造商402收取针对已被写入的签名的收入。如上所指出的，该收入是由对应的业务要求和安排来决定的。例如，KMS 400可被提前支付针对预定数量的签名的费用，而后收取针对个别签名的额外收入。

对于读取器制造商410而言，KMS 400可按制造的每个读取器14来收费，此由密钥注入服务器418b和控制器422b进行追踪并被回报给KMS 400用于收款和追踪需求。一旦这些读取器14被部署，优选的是，KMS 400提供提供收取定期服务费以换取密钥更新的服务。应当理解的是，虽然例如由于漏读等原因造成追踪每个读取器的每次读取更加困难，KMS 400仍然可以按每次读取来收费。也应当理解的是，根据其它实体在供应链22中的参与的性质，类似的收入流也可以在供应链22的各其它阶段被追踪和收取。

多签名者的聚集签名

如果签名者的数量很多使得签名的数量也很多的情况下，以及在用于存储签名的空间受限或非常宝贵(例如，RFID标签20)的情况下，所有签名的合并大小可能使得成本很高。下面的签名方案通过聚集一个或多个签名分量的方式降低了多个签名的大小。传统多签名采用压缩两个或多个签名的方案，下面的方案对此作出改进。

应当理解的是，下文讨论的签名方案可适用于任何环境，尽管其特别适用于在如本文所讨论和举例的RFID签名方案中整合来自多个签名实体的贡献。

在一种实施中，以下聚合签名方案可用于多个签名站(例如用于医药供应链中的RFID标签20)。

传统上，聚合签名是基于使用双线性对(Bilinear Pairings)的数字签名算法而提出的。该算法定义一个聚合签名方案，该方案是配备有两个额外操作的传统签名方案。第一个操作提取t个使用者用公钥U₁，...，U_t来签名的信息m₁，m₂，...，m_t的一组签名s₁，s₂，...，s_t，并将这些聚合到单一的压缩签名s中。第二个操作在给定信息m₁，...，m_t和使用者的公钥U₁，...，U_t的情况下验证聚合签名s。当且仅当每一s_i证实相关的信息和使用者时，该签名s才有效。

尽管同样适用于其它ElGamal签名，但以下对ECPVS签名特别有用，其它方案(例如将在下文中说明的ECDSA)也类似。

当提及ECPVS和ECDSA签名方案时，重复使用上文所使用的术语以保持一致。

根据上述示例，假定有T个签名者16，每一签名者都将对信息M签名。为了简单化，假定M对所有的签名者都是一样的，当用ECPVS签名时，可恢复部H和可见部V也是相同的，例如，分别是产品ID和UID。应当理解的是，在某些情况下，对每一签名者而言V将不同，即V_j。以下还可以考虑的是，取而代之每一签名者签署一个不同的可恢复部H_j。

下文描述两种聚合，即半聚合签名方案和全聚合签名方案。已经发现，半聚合签名方案可将签名压缩至原始大小的三分之二。由于不论涉及多少个签名站16，压缩的聚合签名是一个单一签名的大小，全聚合签名方案由此命名。当有T个签名者时，压缩率是T倍，且因此当有许多签名者时全聚合签名方案可实现很高的压缩率。

尽管全聚合比半聚合压缩率更高，但这需要签名者们合作创建聚合签名，因此其可能不适合签名者在不同位置的情形。而且，在其它情况下，例如，多方不同时期签名时，全聚合可能不可行。然而，下文所讨论的半聚合签名使不同时签名成为可能，因此可在有需要的时候取代全聚合签名。

半聚合ECPVS

在T个签名者使用ECPVS的半聚合签名方案中，首先第一签名者，即签名者1，通过加密c₁中的隐藏部分H来计算传统的ECPVS签名(c₁，s₁)。然后，当计算c₂时，签名者2加密c₁，而不是加密H，并随后以常规方式计算其它的分量s₂，产生最新的签名(c₂，s₁，s₂)。每一签名重复这个操作，直至签名者T加密c_T-1来计算c_T，且所产生的半聚合签名为(c_T，s₁，...，s_T)。换言之，每一签名者加密之前的“c”分量，同时用最新的“c”分量来产生下一“s”分量。

为了验证半聚合ECPVS签名，验证者14(例如RFID读取器)首先通过对分量(c_T，s_T)执行ECPVS验证以从c_T中解密出c_T-1来恢复c_T-1。然后，该验证者从(c_T-1，s_T-1)中恢复c_T-2，如此重复直至H的代表H’被恢复。H’被检查是否具有某一特性，例如冗余，如果该特性存在，信息M可利用H’和V重建。

半聚合方式如此命名有两个原因。首先，中间密文c₁，...，c_T-1不需要包含在最终的密文c_T中。其次，验证者14推迟接受或拒绝中间签名，直至所有的密文都被解密。例如，对签名2至T而言不需要增加任何冗余。因此，额外的签名者仅通过加入值s₂，...，s_T来增加信息扩张。

参照图19和20，提供以下三个签名者的示例以进一步解释半聚合签名方案。以下示例特别适用于在供应链22中有三个签名站的医药供应链，每一签名站16对被加到贴在物品18上的RFID标签(参看图1)中的签名作出贡献。应当理解，半聚合签名方案可用于在任何环境中提供多个签名并不应限于RFID系统。

如图19中所示，如上文所述，签名站1产生临时密钥对(k₁，Q₁)并随后产生加密密钥X₁＝KDF(Q₁)。在本示例中，在确保H中有足够的冗余以备之后的验证的同时，第一签名者的第一签名分量c₁通过用密钥X₁加密信息M的可恢复部H来计算。中间分量h₁用信息M的可见部V和散列函数(例如SHA1)来计算，并转换为整数e₁，然后整数e₁与签名站1的私钥w₁和临时密钥k₁一起使用来产生第一签名者的第二签名分量s₁。在本示例中，具有分量(c₁，s₁)的签名按照ECPVS中的惯例写入RFID标签20。

第二签名站，签名站2对最新的半聚合签名的产生作出贡献，而不是增加一个单独的签名。在本示例中，签名站2位于供应链中的另一点。与签名站1类似，签名站2产生临时密钥对(k₂，Q₂)和解密密钥X₂＝KDF(Q₁)。然而，在这个阶段，签名站2用X₂加密现有的签名分量c₁来产生签名分量c₂。中间签名分量h₂、整数e₂和签名分量s₂如前文所述来计算，但产生的最新的签名现包含这组分量(c₂，s₁，s₂)。如此，签名分量c₁被加密到c₂中，“s”分量(即本阶段的s₁和s₂)被保存在最新的签名内。

第三签名站，签名站3，本示例中最后的签名阶段，也对半聚合签名作出贡献，半聚合签名当前包括RFID标签上的(c₂，s₁，s₂)。与之前的签名站16类似，签名站3产生自己加密密钥，即本情形中的k₃，并用k₃加密签名分量c₂以产生最新的“c”签名分量c₃。中间分量h₃、整数e₃和分量s₃如前文所述来计算，且产生的最新的(本示例中最终的)签名包括分量(c₃，s₁，s₂，s₃)。

在每一阶段，插入之前的签名者16的“c”分量中的新签名覆盖半聚合签名的之前的形式。因此，半聚合签名(c_T，s₁，...s_T)的大小小于将单独的签名((c₁，s₁)，...，(c_T，s_T))写入RFID标签20所得到的签名的大小。

参照图20，半聚合签名的验证基本上针对每一签名阶段都有一个验证阶段，且在本示例中RFID标签20包括具有分量(c₃，s₁，s₂，s₃)的签名和信息M的可见部V(例如UID)。

在阶段1，验证者14利用分量c₃和可见的部分V来计算h₃’，将h₃’转换为整数e₃’，利用s₃、e₃’和签名站3的公钥W₃来计算Q₃’，并随后通过应用相同的KDF至Q₃’来产生X₃’。然后，验证者14通过利用X₃’和互补解密函数(例如在图22中用“DEC”所表示的互补解密函数)解密c₃来获得s₂。

验证者现已获得c₂，在阶段2中验证者利用分量c₂和可见部V来计算h₂’，将h₂’转化为整数e₂’，利用s₂，、e₂’和签名站2的公钥W₂来计算Q₂’，并随后通过应用相同的KDF至Q₂’产生X₂’。验证者然后通过利用X₂’和互补解密函数解密c₂来获得c₁。

在阶段3中，验证者利用分量c₁和可见部V来计算h₁’，将h₁’转化为整数e₁’，利用s₁、e₁’和签名站1的公钥W₁来计算Q₁’，并随后通过应用相同的KDF至Q₁’产生X₁’。由于c₁是通过加密信息H的可恢复部来产生的，则通过利用X₁’解密c₁来获得作为H的代表的位串H’。在阶段4中，验证者14检查预期特性，例如本示例中的冗余，如果冗余足够，则接受H’作为可恢复部H，并可重建信息M，例如通过在阶段5中结合H’和V。然后，验证者14可推断每一签名者签署过用分量(H，V)代表的信息M。

应当注意的是，尽管在本示例中每一签名者16对相同的可见部V操作，但对每一签名者16而言可见部V可选择地变化为V_i。这个变化中，每一中间分量h’将利用各自的可见部V_i来计算，验证者14将用那些各自的可见部Vi来执行每一验证阶段。为了简化说明，上述示例用相同的可见部V。

可以看出的是，用上述半聚合签名方法，第一签名者16之后的具有80位安全等级的每一新增的签名者16提供大约160位的信息扩张，这是n和s_i在80位安全等级的位长。在128位安全等级上，每一签名者的相对最低限度的信息扩张将大约为256位。如此，半聚合签名方法特别适用于让多个签名实体对一个签名作出贡献，因此使验证者确保，例如RFID标签已被供应链中预期的参与者处理过。应当理解的是，半聚合签名方案在存储或带宽很宝贵或两者都很宝贵的环境中提供类似的优势。

半聚合签名--变化形式

可对上述半聚合方法进行变化。例如，每一签名者在每一签名阶段可加入少量的冗余。这可确保验证过程不需要修正，验证过程中明文通常需要小量的填补(例如一个字节)。在对称加密方案能够使用任何字节长度的明文并使密文不长于明文的情形中，这种变化最适合。

另一变化为中间明文加入之前签名者的“s”分量的部分。在这种变化中，最终签名将具有(c_T，s_T)的形式，验证者14将从c_T恢复c_T-1和s_T-1，以此类推。因为密文c_T是c_T-1和s_T-1的加密，c_T-1其自身为c_T-2和s_T-2的加密，以此类推，因此尽管这种形式的半聚合签名的分量较少，但位长可能不必然较短。可以预料的是，c_T的位长至少为H的位长加上s₁，...，s_T的位长之和，其大致与半聚合签名(c_T，s₁，...s_T)的第一形式的位长相同。

在另一变化中，中间明文为之前“s”值，不包括之前的密文。在这种变化中，最终签名具有(c₁，...，c_T，s_T)的形式，这里验证者将从c_T中恢复s_T-1，以此类推。同样，预计签名长度将大致与第一形式(c₁，s₁，...，s_T)的位长相同。

参照图21和22，为了进一步阐明半聚合签名方案中的这种变化，以下示例针对三个签名者来说明。以下示例也特别适用于供应链22中有三个签名站16的医药供应链，每一签名站对被加到贴在物品18(参照图1)的RFID标签20中的签名作出贡献。

与图19类似，签名站1如图21所示产生一个临时密钥对(k₁，Q₁)，并计算加密密钥X₁＝KDF(Q₁)。然后利用信息M的可恢复部H来计算第一签名分量，同时确保H中存在足够的冗余以备后续验证。利用信息M的可见部V，中间分量h₁通过散列函数(例如SHA1)计算，然后转换为整数e₁，整数e₁与签名站1的私钥w₁和密钥k₁一同使用以产生第二签名分量s₁。在本示例中，具有分量(c₁，s₁)的签名随后被写入RFID标签20。

同前，然后签名站2通过产生临时密钥对(k₂，Q₂)和计算X₂＝KDF(Q₂)来对半聚合签名作出贡献。然而，在这种变化中，签名站2利用X₂加密现有签名分量s₁以产生签名分量c₂。中间签名分量h₂、整数e₂和签名分量s₂照例计算，但最新的结果签名包括(c₁，c₂，s₂)。如此，签名分量s₁被加密到c₂中，且“c”分量(即本阶段中的c₁，c₂)可从签名中直接获得。

同前，如图21所示，签名站3通过产生最新的结果签名来对半聚合签名作出贡献。可以看出的是，与上文相似，签名站3通过在产生下一个“c”分量中加密之前的“s”分量来更新签名，且每一“c”分量的贡献在更新时被保存在签名中。

因此，在这种变化的每一阶段，插入之前签名者16的“s”分量的新签名覆盖半聚合签名的之前的形式。因此，半聚合签名(c₁，...c_T，s_T)的大小小于将单独的签名((c₁，s₁)，...，(c_T，s_T))写入RFID标签20所得到的签名大小。

现参照图22，半聚合签名的验证与前面一样基本上针对每一签名阶段都有一个验证阶段，且在本示例中RFID标签20包括具有分量(c₁，c₂，c₃，s₃)的签名和信息M的可见部V(例如UID)。

在阶段1中，验证者14利用分量c₃和可见部V来计算h₃’，将h₃’转换为整数e₃’，利用s₃、e₃’和签名站3的公钥W₃来计算Q₃’，并随后通过应用相同的KDF至Q₃’来产生X₃’。验证者14通过利用X₃’和互补解密函数(例如在图22中用“DEC”所表示的互补解密函数)解密c₃来获得s₂。

验证者现已获得s₂，在阶段2中验证者利用分量c₂和可见部V来计算h₂’，将h₂’转化为整数e₂’，利用s₂、e₂’和签名站2的公钥W₂来计算Q₂’，并随后通过应用相同的KDF至Q₂’来产生X₂’。验证者然后通过利用X₂’和互补解密函数解密c₂获得s₁。

在阶段3中，验证者利用分量c₁和可见部V来计算h₁’，将h₁’转化为整数e₁’，利用s₁(s₁在阶段2中被恢复)、e₁’和签名站1的公钥W₁来计算Q₁’，并随后通过应用相同的KDF至Q₁’来产生X₁’。可以看出，在这种变化中，只有在恢复了s₁之后才能恢复X₁’。由于c₁与前面一样是通过加密信息H的可恢复部来产生，因此通过利用X₁’解密c₁来获得作为H的代表的位串H’。在阶段4中，验证者14检查预期特性，例如本示例中的冗余，如果冗余足够，则接受H’作为可恢复部H，并可重建信息M，例如通过在阶段5结合H’和V。然后，验证者14可能随后推断每一签名者已签署该信息M。

对每一签名者16而言，可恢复信息部分H也可能并不相同。例如，假设对每一签名者而言可恢复信息部分为H_j。在非聚合情形下，每一签名者16针对信息H_j有一个ECPVS签名(c_j，s_j)，且信息H_j是在c_j内编码。如果签名被聚合，每一消息将需要被编码。

半聚合签名的第一种方式可修改为在中间明文中附加不同的信息H_j。由于中间明文被认为是之前的中间密文，之前的密文可被链接(或其它方式结合)至当前可恢复信息部分。第一明文PT₁为具有任何必需的填补以使其具有足够冗余的H₁，且中间明文可按PT₂＝c₁||H₂来计算，以此类推。

例如，签名站3将产生临时密钥对(k₃，Q₃)并计算X₃＝KDF(Q₃)，计算

c_{3} = {ENC}_{X_{3}} (c_{2} | | H_{3}),

计算h₃＝HASH(c₃||V)，转化为e₃，并计算s₃＝e₃w₃+k₃(modn)。在这种变化中，最终聚合签名具有(c_T，s₁，...s_T)的形式。然而，c_T的长度至少为不同的信息H₁，H₂，...，H_T的结合长度，而不仅仅是H的长度。分量c_T不长于被签名的可恢复信息的总长度，因此，尽管签过名的信息较长，但信息扩张量相同。换句话说，不管是不同的可恢复部H_j或单一的可恢复部H，信息扩张的产生主要归咎于“s”分量。

可以理解的是，上述其它变化形式也可利用不同的可恢复部H_j和不同的可见部V_j来实现半聚合签名。

用于隐式证书的半聚合签名

上述半聚合签名方法也可与隐式证书配合使用。对有通信者Alice和Bob的隐式证书而言，Alice接收来自Bob或某些通讯录的Bob的隐式证书C_B。仅根据这点，Alice按照B＝Hash(C_B，I_B)+Q_CA来计算Bob的公钥，这里I_B是识别Bob、认证机构(Certifying Authority，CA)及其它相关信息(例如有效期、密钥的使用等)的字符串；Q_CA是所识别的CA的公钥。Alice可使用B作为Bob的隐式认证的公钥。该隐式本质是归咎于虽然Alice可确定仅Bob知晓与B相关的私钥，但她不能确定Bob实际上知晓该私钥。然而，很快Alice就期望Bob使用该私钥，因此Alice几乎一需要使用B就能够发现这个问题。

对半聚合签名而言，如果签名者j有隐式证书C_Signerj，验证者14按照Q_Signerj＝Hash(C_Signerj，I_Signer j)+Q_CAj来计算签名者j的公钥，这里I_Signer j是与签名者j相关的证书信息，Q_CAj是发布隐式证书C_Signerj的CA的公钥。

例如，当验证者14正在恢复比如签名站2使用ECPVS签过名的明文，则验证者14通常计算h₂′＝HASH(c₂||V)，将h₂’转换为整数e₂’，并计算Q₂′＝s₂G-e₂′W，最终计算X₂＝KDF(Q₂′)。当有隐式证书C₂时，所执行的运算可能分别变为：h₂′＝HASH(c₂||V)HASH(C₂||I₂)modn及X₂＝s₂G+e₂′C₂+Hash(c₂||V)Q_CA2。

与由C₂计算Q₂然后用前面的等式计算X₂相比，已知的方法，比如Shamir算法(Shamir’s trick)和Solinas的“联合稀疏形”算法(Joint Sparse Form)等，提高了计算X₂的单一运算的速度。应当理解的是，如果使用显式证书，验证者14将需要验证依据公钥Q₂计算的CA的显式签名，这将花费更长的时间。

因此可以看出半聚合ECPVS签名可有几种变化形式。对上文举例的医药供应链22而言，每一制造商、批发商、销售商和货运商可能添加他们自己的ECPVS至贴在物品18上的RFID标签20。因为RFID标签20中的可用数据存储空间有限，在这样的应用场合，半聚合签名的有点在于在相同的有限空间内允许装下更多的签名。当物品18到达药房时，聚合签名可被验证从而药房可推断在供应链22的整个过程中是由认可方处理交付的。应当理解的是，上述原则同样适用于其它系统，不应限于医药环境或认证RFID系统。

全聚合ECPVS签名

在可实现多个签名者合作的某些情形中，可使用全聚合ECPVS签名方案。在以下方案中，T个签名者合作将通常为T个不同的ECPVS签名聚合在全部T个签名者的单一ECPVS签名中。

总的来说，当签名站j有私钥w_j和公钥W_j时，如同上文详述的传统ECPVS，签名站j产生临时密钥对(k_j，Q_j)和加密密钥X_j＝KDF(Q_j)。然后聚合加密密钥按照X＝X₁+X₂+...+X_T来计算。

按照上文描述，信息M的可恢复部H是用加密密钥进行加密的，在这种情形中，是用聚合加密密钥X来获得密文c＝ENC_X(H)。如果可恢复部变化，则H由H_j取代，c由c_j取代。

中间分量h＝HASH(c||V)可能然后由c计算得来，中间分量h转换为整数e，每一签名站j计算“s”分量，例如按照s_j＝ew_j+k_j(modn)计算。

聚合s值按照s＝s₁+...S_T来计算，聚合签名为(c，s)，这里c是H的加密。如果有不同的可恢复信息部H_j，聚合签名将看起来与半聚合签名类似，也就是(c₁，...，c_T，s_T)。由于每一密文c_j可能贡献一些信息扩张以提供冗余，但是，在全聚合中信息扩张量不会随着签名者的数量增加而增加，因此，后者的聚合签名不如前者的签名聚合度高。

为了克服这点，可注意的是，在ECPVS中填补可恢复信息H_j的通常方式为用足够长的串S来预先设定信息H_j，从而H_j’＝S_j||H_j。如果签名者全部使用相同的S_j以致S_j＝S，则对某些固定的签名者共用串c和特定签名者串c_j’而言，可能出现c_j＝ENC_X(H_j)＝ENC_X(S||H_j)＝c||c_j′的情形。如果对称加密具有流密码(stream cipher)的特性，这将有可能出现。对对称加密方案而言，例如CBC模式下的AES，倘若S具有与AES的块的大小(通常为128位或16位)相匹配的某一长度，上述情形将会出现。在这种情形下，聚合签名可能更紧凑地表示为(c，c₁′，...，c_T′，s)，且唯一的信息扩张为(c，s)，(c，s)为签过名的单一信息的大小，使得这种方式完全聚合。

应当注意的是，当使用流密码时，无论信息在何处具有共有部分，密文也有共有部分，因此共有密文部分可仅被发送一次以进一步减少信息扩张量。如此，即使共有不在信息的开始处，不管共有在何处，密文部分的共有性都可被充分利用。对固定格式的信息和在CTR模式下的块密码(例如像流密码一样)或ECB模式下的块密码(64或128位的块)而言，这可能发生。

当有单一可见部V时，为了验证，中间分量可按照h′＝HASH(c||V)计算，如前所述h’转化为整数e’，临时公钥Q’按照Q′＝sG-e′(W₁+...+W_T)计算，由此解密密钥按照X＝KDF(Q’)计算。然而，应当注意的是，当有不同的可见部V_i时，每一中间分量按照h_j′＝HASH(c||V_j)计算，临时公钥Q’按照Q′＝sG-(e₁′W₁+...+e_T′W_T)计算。还应当注意的是，如果可恢复部H随签名者16而变化，每次c都由c_j来代替。

不仅运算Q′＝sG-e′(W₁+...+W_T)可更有效率地计算，这也表示(c，s)是对公钥W₁+W₂+...+W_T有效的ECPVS签名。

验证者14可能通过用解密密钥X来解密c获得明文H’，解密密钥X是用相同的KDF从临时密钥Q’中导出的。如果H’有必需的冗余，则信息M可被重建，例如通过链接H’和V，验证者14可推断每一签名者对该信息签过名。

参照图23和24，其示出了具有签名站1至3的示例。从图23中可以看出，在计算X中每一签名者16贡献一个分量，每一签名者16使用中间分量h’来计算“s”分量，“s”分量被贡献给签名中所使用的聚合s。

从图24中也可看出，临时公钥用签名者的公钥的组合来重建，可恢复部H的代表H’用该公钥从c中解密出来。

在每一签名者16使用不同的可恢复部H_j的情形中，恢复H_j’的步骤被H_j′＝DEC_X(c_j)取代。

应当注意的是，全聚合方式需要每一签名者16的主动参与。如果新的签名者16将被增加至该聚合，则之前的签名者将需要为签名分量s贡献新的分量s_j。与半聚合ECPVS中任何新的签名者可加在一个额外的签名中相比，这可能不利。如此，这些考虑可用于确定是半聚合签名还是全聚合签名更适合于一个特定的应用场合。

为了安全因素，在聚合ECPVS中，更可取的是，获得Q_Signer j的证书的签名者j提供私钥的拥有证明(Proof-Of-Possession，POP)给一些CA(或者如果失败，提供给验证者)。通常，签署的公钥的POP是通过签署发送给CA的证书请求来完成的。当证书颁发时，验证者可通常依靠CA以从每一证书的主体中获得POP。

同样，全聚合ECPVS签名可与隐式证书配合使用。例如，如果签名者j有隐式证书C_Signerj，则验证者14可按照W_j＝Hash(C_Signerj，I_Signerj)C_Signerj+Q_CA _j来计算签名者j的公钥，这里I_Signer j是与签名者j相关的证书信息，Q_CAj是颁发隐式证书的CA的公钥。与半聚合签名中一样，Q_j的计算可被计算X的等式所取代，与先计算Q_j再计算X相比，这可提供更好的性能。

其它签名方案

其它ElGamal类型的签名可使用上述关于ECPVS的原则以应用上述的半聚合和全聚合方式。其它签名方案，例如ECDSA，具有完全不同的特性，因此需要进行其它的考虑。

聚合ECDSA签名

业界也可能想要聚合ECDSA签名，例如，在ECDSA被用于签署RFID标签20的医药供应链22中。这样的实施例在图25和26中表示。

与上文类似，在此考虑的是T个签名者如何能合作产生一个当且仅当对应的T个ECDSA签名有效时才有效的全聚合签名。下文参考前文对ECDSA的描述。

每一签名者选择随机值k_j并计算发送给其它签名者的R_j＝k_jP的值。R的公共值按照R＝R₁+...+R_T来计算。用于计算R＝kP所对应的k为k＝k₁+...+k_T。因为签名者j只知道其自身对共用密钥k的贡献部分k_j，因此没有单独的签名者知晓k值。类似地，d＝d₁+...+d_T表示签名者们的共用私钥，这里没有单独的签名者知晓完整的d值。对应的公钥将因此按照单独的签名者的公钥的总和W＝dP＝d₁P+...+d_TP＝W₁+...+W_T来计算。

第一签名分量r按照r＝f(R)来计算，这里f()是通常用在ECDSA的特定操作中将一个点的x坐标转换为整数的函数，减少证书整数模n(参见上文ECDSA的定义)。

最终，第二签名分量s可按照s＝k^-1(H(m)+rd)mod n来计算，该签名可按照来(r，s)计算，其将是在信息M上使用共用公钥W＝W₁+...+W_T的有效的ECDSA签名。

验证聚合的ECDSA签名可由验证者14完成，首先计算共用公钥W＝W₁+...+W_T(这里W_j是签名站j的公钥)，然后利用共用公钥W验证(r，s)(例如通过读取FRID标签20)。

值s是从d和k计算得来，d和k是没有单独的签名者16整体知晓的秘密值。类似地，没有签名者16知道任何其它签名者的私钥。为了保持这个安全等级，签名者16可用已知的多方安全运算的方法其中之一，这允许s在任何一方不需要对其它方揭露与其自身秘密相关的任何内容的情况下多方计算一个值，这个值是多个个别保存的秘密的函数。在1988年出版的美国计算机学会计算理论’88年会会刊中由Chaum等人发表的题为《多方无条件安全协议》(“Multi-party unconditionally secure protocols”，in Proc.of ACM STOC’88，1988)的论文中和1988年出版的美国计算机学会计算理论’88年会会刊中由Ben-Or等人发表的题为《非密码容错分布式运算的完全法则》(“Completenesstheorems for non-cryptographic fault-tolerant distributed computation”，in Proc.ofACM STOC’88，1988，pp.1-10)的论文的第1-10页中，已经给出已知的多方安全运算的方法。

因此，可以看出多个签名者的复合签名可用更少的信息扩张来实现。半聚合和全聚合签名方案都可用于并特别适用于ECPVS和ECDSA。在存储签名的空间很宝贵的场合中，复合签名很有用，且复合签名使签名能够在一个过程中的不同阶段被写入，比如医药供应链22中的RFID标签20。

尽管本发明已结合一些具体的实施例进行说明，但本领域的技术人员在不脱离本发明的精神与本发明的权利要求所记载的范围的前提下可作出各种修改。

Claims

1.一种用于向射频识别RFID标签(20)添加安全性的方法，包括：

获得要添加至所述RFID标签(20)的数据；

确定所述数据中要隐藏的部分；

使用椭圆曲线EC加密方案对所述RFID标签进行签名，以产生签名，所述签名包括对所述数据的隐藏部分进行加密的签名分量；以及

在所述RFID标签(20)中存储所述签名和数据中没有被隐藏的剩余部分。

2.如权利要求1所述的方法，其中所述加密方案包括椭圆曲线Pintsov-Vanstone ECPV签名方案，所述进行签名的步骤包括：

检查所述RFID标签；以及

如果所述数据的隐藏部分具有少于预定数量的冗余，则填补所述数据的隐藏部分；

或者，所述加密方案包括椭圆曲线数字签名算法ECDSA。

3.如权利要求2所述的方法，其中如果所述加密方案包括ECPV签名方案，所述RFID标签上未使用的数据块被用于提供所述填补。

4.如权利要求2或3所述的方法，其中所述数据的隐藏部分识别贴有所述RFID标签的产品类型，如果所述加密方案包括ECPV签名方案，则所述填补是通过所述RFID标签上存在的另一数据部自身的冗余来提供的。

5.如权利要求1所述的方法，其中所述RFID标签被选择足够大以适应多个EC签名。

6.如权利要求2所述的方法，其中所述数据包括所述RFID标签的序列号和识别码的组合。

7.如权利要求1所述的方法，其中所述进行签名包括利用具有对应验证密钥的私钥；所述数据的隐藏部分仅可通过使用所述验证密钥的授权RFID读取器来恢复。

8.如权利要求7所述的方法，其中所述数据的隐藏部分包括产品标识符(54)。

9.如权利要求7所述的方法，还包括通过分配所述验证密钥至选定的一个或多个授权RFID读取器(14)来控制对所述验证密钥的访问。

10.如权利要求7所述的方法，其中所述签名具有第一分量和第二分量，所述第一分量加密所述数据的隐藏部分，所述第二分量用所述私钥和所述第一分量产生，所述方法包括通过在第三分量中加密所述第一分量以及用所述第三分量产生第四分量来产生更新的签名，所述更新的签名包括所述第二、第三和第四分量。

11.如权利要求7所述的方法，还包括通过在下一个签名分量中加密之前的签名分量以及使用所述下一个签名分量产生另一下一个签名分量来产生一个或多个附加签名。

12.如权利要求1所述的方法，还包括通过以下步骤来认证RFID标签：

获得所述RFID标签；使用验证密钥来解密所述签名分量，以获得所述数据的隐藏部分；以及检查所述数据的隐藏部分的预定特性以验证所述签名，从而认证所述标签。

13.一种认证RFID标签的方法，包括：

获得所述RFID标签，所述RFID标签上有包括至少一个分量在内的签名，所述至少一个分量对存储在所述RFID标签上的数据的一部分进行加密，所述RFID标签存储有数据的剩余部分；

处理器获得解密所述数据的一部分所需的验证密钥；

处理器使用所述验证密钥来解密所述至少一个分量以获得所述数据的一部分；以及

处理器检查所述数据的一部分的预定特性以验证所述签名，从而认证所述RFID标签。

14.如权利要求13所述的方法，其中所述数据的一部分是产品识别符。

15.如权利要求13所述的方法，其中所述数据的剩余部分中的至少一些被用于产生所述签名，以及被存储在所述RFID标签上，作为另一个签名分量。