CN102739402A - Rfid系统中基于hb+的一种强安全认证方法 - Google Patents

Abstract

本发明属于信息安全领域，涉及一种RFID系统中基于HB+的一种强安全认证方法，系统中的阅读器和标签共享n比特密钥x和y，标签拥有一个噪声发生器，在每一轮认证时，以η∈(0，1/2)的概率生成一个比特的噪声v＝{0，1|prob(v＝1)＝η}(prob(v＝1)指的是v=1发生的概率)，该强安全认证方法包括阅读器和标签之间的r轮认证过程，在进行r轮认证后，如果标签的响应错误轮数小于ηr，则认证通过。本发明是一种适合应用在低端RFID系统中的安全、简单、高效的RFID强安全认证方法。

Description

RFID系统中基于HB+的一种强安全认证方法

技术领域

本发明属于信息安全领域；主要用于RFID系统中阅读器对标签的单向认证，特别适合为低端RFID系统提供一定的安全保障。

背景技术

RFID（Radio Frequency Identification）即射频识别技术，是一种利用射频信号无需接触即可自动识别目标对象并获取相关信息的技术，其应用领域日益扩大，现已涉及到人们日常生活的各个方面，并将成为未来信息社会建设的一项基础技术。影响RFID系统应用的一个关键问题是系统中信息的安全性。一个完整的RFID系统一般由后端数据库、阅读器、标签，这3个部分组成。RFID标签与阅读器之间的通信采用的是无线通信，该通信信道被认为是不安全的，容易受到攻击。

主动攻击是指攻击者企图删除、增加或以其他方式改变信道上的传输内容，这会威胁数据的完整性、认证性及机密性。主动攻击的表现形式主要有重传攻击、中间人攻击、假冒伪造攻击等。

重传攻击是指在阅读器发出认证请求时，攻击者偷听获取到标签的响应。在之后的认证过程中，攻击者发送已获得的数据至阅读器，从而通过认证。因此，RFID系统必须具有应对重传攻击的能力。

中间人攻击指的是攻击者伪装成合法的标签或者阅读器，在标签和阅读器的通信过程中利用伪装的身份分别和合法的标签或阅读器进行通信。此外攻击者在通信过程中还可以对数据进行修改，通过认证结果获取秘密信息。

假冒伪造攻击主要指攻击者对标签的假冒伪造。由于每个标签都有特定的秘密信息，攻击者一旦获取密钥就可以对标签进行任意的假冒伪造，这会严重威胁系统的安全。

一个安全的RFID系统应该解决3个基本的安全问题：保密性、认证性和不可追踪性。然而RFID标签的计算能力、存储空间和电能供应都非常有限，这些对RFID系统安全机制的设计带来了很多限制。当前实现RFID安全机制所采用的方法大致分可为3种类型：基于硬件的技术、基于密码技术以及二者相结合的技术。与基于硬件的安全机制相比，基于密码技术的安全机制由于在实现上的便利，更加受到人们的青睐。近年来应用密码学方法解决RFID的安全问题日益受到人们的重视。迄今为止，已经有多种用于RFID系统的轻量级的安全协议被提出，如Sarma等人提出的Hash-Lock协议和Ohkubo等人提出的Hash链协议等。但是这些协议由于使用了Hash等运算模块，对标签的计算能力和电能供应提出了一定的要求,不适用于低成本的标签。

2001年，Hopper和Blum提出了一种用于RFID系统的轻量级认证协议：HB协议。该协议并没有像传统安全协议那样使用对称密码技术，而是使用了LPN(learning parity with noise)为基础来提供安全保障。随后又相继出现了HB+，HB++等协议，这些都是HB协议的改进版本，进而形成了HB协议族。HB协议族被人们广泛认可，因为它们简单、高效、可以提供一定的认证保障，非常适用于低端RFID系统。但是这些协议并不完善，分析表明它们普遍存在以下缺陷：

1.不能抵抗主动攻击，存在安全漏洞。由于协议设计上的不足或者协议中运算的一些特殊性质导致攻击者有机可乘，最终获取标签密钥。

2.运算复杂，不适用于低端的RFID系统。许多协议为了达到安全需求在认证交互过程中使用hash函数等加密运算，这样虽然有一定的安全保障，但是增加了复杂度，已经不符合HB协议族简单高效的初衷。

如何克服这些缺陷，设计一个安全、高效的RFID认证协议，实现RFID安全认证，正是本发明要解决的问题。

发明内容

鉴于上述现有协议存在的问题，本发明的目的是提供一种适合应用在低端RFID系统中的安全、简单、高效的RFID强安全认证方法。本发明提供的认证方法是在新设计的一种RFID系统中基于HB+的强安全认证协议的基础上实现的，技术方案如下：

RFID系统中基于HB+的一种强安全认证方法，系统中的阅读器和标签共享n比特密钥x和y，标签拥有一个噪声发生器，在每一轮认证时，以η∈(0，1/2)的概率生成一个比特的噪声v＝{0，1 prob(v＝1)＝η}(prob(v=1)指的是v=1发生的概率)。该强安全认证方法包括阅读器和标签之间的r轮认证过程，在进行r轮认证后，如果标签的响应错误轮数小于ηr，则认证通过，每一轮的认证过程包括下列步骤：

(一)由阅读器随机生成n比特矢量a，并将a发给标签；

(二)标签收到a后，生成n比特矢量b，再利用噪声发生器以概率η生成一个比特的噪声v，然后计算 $Z=\mathrm{PER}(y,a)\·x\⊕b\·y\⊕v,$ 发送(b，z)给阅读器；

(三)阅读器收到(b，z)后验证z是否等于

其中的PER(y，a)为自定义的一种置换运算，定义如下：设a=a₁a₂…a_n，a_i∈｛0，1｝，i=1，2，…n，y=y₁y₂…y_n，y_j∈｛0，1｝，j=1，2，…n，并设a的汉明重量wt(a)为m，0≤m≤n，且

其中，1≤k₁＜k₂＜…＜k_m≤n，1≤k_m+1＜k_m+2＜…＜k_n≤n，则计算PER（y，a）的值的方法如下：

第一，在标签的存储器中开辟n个存储单元依次存放PER（y，a）运算结果，n个存储单元与运算结果的n个比特位一一对应；

第二，将

依次赋值给该n个存储单元的前m位；

第三，将经过第二步后的该n个存储单元中剩下的l＝n-m个存储单元存放PER（y，a）运算结果的剩余比特位，称之为空余序列，对空余序列的赋值按如下步骤进行：

a.将

赋值给l个存储单元中的第

个存储单元，此时，空余序列中减少了1个存储单元即l＝l-1；

b.令p=p-1，l＝l-1，重复进行a步直至p=m+2，l＝2；

c.最后令p=m+1，l＝1，此时将

赋值给剩余的唯一一个存储单元。

作为优选实施方式，其中的x和y均为256比特位；噪声参数η取为1/8。

本发明在HB+协议的基础上，只运用内积、异或和PER运算，实现十分简单本，克服了HB+协议存在的不安全因素，高效地实现了Reader对合法Tag的认证，可为低端RFID系统提供安全的基础通信环境。本发明具有以下有益效果：

1.通信过程简单。相对于原来的HB+协议把3条消息改为2条消息，减少了通信次数，使通信更简单。

2.实用性强。设计的协议并没有使用复杂的密码运算函数，涉及到的运算都简单又容易实现。低端RFID系统中考虑到标签的成本等因素，标签的各项能力都有限，所以设计的协议特别适合低端RFID系统的使用。

3.保护用户隐私。设计的协议在认证过程中，秘密参数x和y不易泄露，标签的位置也不可追踪，满足标签匿名性要求。

4.有一定的安全保障。设计的协议基于LPN问题可以抵抗被动攻击，同时又可以抵抗针对于HB+协议的中间人攻击。随机数的引入可以抵抗重放攻击。攻击者不能推出任何有用的秘密信息，也就不能假冒伪造成合法标签来欺骗阅读器通过认证，所以设计的协议是抵抗假冒攻击的。

附图说明

附图1：设计协议一轮认证示意图；

附图2：HB+协议一轮认证示意图；

附图3：对HB+协议一轮认证的主动攻击（获取x）示意图；

附图4：对HB+协议一轮认证的主动攻击（获取y）示意图；

附图5：基于振荡器采样法的随机数发生器；

附图6：PER（y，a）运算示意图。

具体实施方式

本发明以HB+协议为基础，通过标签和阅读器之间互发消息来达到标签被阅读器认证身份的目的。完整的协议过程包括r轮，其中r是一个安全参数。阅读器Reader和标签Tag共享n比特密钥x和y。Tag拥有一个噪声发生器，以η∈(0，1/2)的概率生成一个比特的噪声v={0，1|prob(v=1)=η}。(prob(v＝1)指的是v=1发生的概率)

在一轮认证过程中，Reader随机生成n比特序列a发给Tag，Tag收到a后产生n比特随机数b并计算z将(b，z)发给Reader。最后Reader检验z的正确性。这样进行r轮后，如果Tag响应错误的轮数小于ηr，认证通过。

下面结合流程图（附图1）介绍设计协议的一轮认证过程的具体步骤：

1.Reader通过随机数发生器生成n比特矢量a，将a发给Tag。

2.Tag收到a后，内部的随机数发生器生成n比特矢量b。然后计算 $z=\mathrm{PER}(y,a)\·x\⊕b\·y\⊕v,$ 发送(b，z)给Reader。

3.Reader收到(b，z)后验证z是否等于

对本发明中所采用的符号说明如下：

a ∧b表示对等长的二进制串a和b按位进行逻辑与操作。

c ⊕d表示对等长的二进制串c和d按位进行异或操作。

运算“·”是二进制下的矢量内积。n比特的矢量a和x的内积运算结果a·x＝(a₀∧x₀)⊕(a₁∧x₁)⊕……⊕(a_n-1∧x_n-1)。

运算PER是我们定义的一种置换运算。具体定义如下：假设a，y均为n比特的二进制串。

a=a₁a₂…a_n，a_i∈｛0，1｝，i=1，2，…n，

y=y₁y₂…y_n，y_j∈｛0，1｝，j＝1，2，…n。

a的汉明重量wt(a)为m，则0≤m≤n。且

$a_{k_1}=a_{k_2}=...=a_{k_m}=1,$

$a_{k_{m+1}}=a_{k_{m+2}}=...=a_{k_n}=0,$

其中1≤k₁＜k₂＜…＜k_m≤n，1≤k_m+1＜k_m+2＜…＜k_n≤n。

y与a是等长的二进制串，将y与a各比特一一对应，使y的各比特y_j与相对应的a_j有相同的下标表示。

PER（y，a）运算的本质是对y的各比特位进行置换，重新排列。在置换过程中，PER（y，a）的运算结果由两部分组成，一部分是已经确定的比特位，另一部分是还没有确定值的比特位。对其他没有确定具体比特值的位组成的序列我们定义为空余序列。若空余序列由q个比特位组成，说明当前有q个空余位置。其中空余位置从1开始计数，分别记为第1个空余位置、第2个空余位置，…，第q个空余位置。

因此计算PER（y，a）的值可以分为如下几步：

第一，在Tag的存储器中开辟n个存储单元依次存放运算PER（y，a）的结果。也就是n个存储单元与运算结果的n个比特位一一对应。

第二，将

依次赋值给存储单元的前m位，也就是将

移动到PER（y，a）

运算结果的前m位。即PER（y，a）的前m位是已经确定的比特位。

第三，第二步后n个存储单元剩下l＝n-m个存储单元存放PER（y，a）运算结果的剩余比特位。

第四，将

赋值给l个存储单元的第个存储单元，也就是说将

移到当前空余序列(共p-m个空余位置)的第个空余位置。特别地，当

的值为0和1时，

移动到当前空余序列的第1个空余位置。第五，令p=p-1，l＝l-1，重复进行第四步直至p=m+2，l＝2。

第六，最后p=m+1，l＝1。此时将

赋值给剩余的唯一一个存储单元，即将

移动到唯一一个空余位置。

现举例说明PER的运算过程。假设n（n=7）比特a和y分别为a=0110010，y=1010100，则PER（y，a）运算的示意图如附图6所示。

PER（y，a）实质上是根据a的值对y的相应比特位进行置换。具体步骤如下：

1.将a与y各比特一一对应，将与a中值为1的比特位

相对应的y中的比特位

依次移动到PER（y，a）的前3位。

2.倒序依次移动y中其余比特位

（即

）。将

移动到当前空余位置（4个）的第

位即第2个位置。然后再将

移到当前空余位置（3个）的第

位即第1个位置。接着将

移到当前空余位置（2个）的第

位即第2个位置。

3.最后将

移到唯一空余的位置。

下面具体说明设计的协议是如何抵抗针对于HB+协议的中间人攻击的。HB+协议在HB协议的基础上多了一个密钥y并使Tag产生一个随机数b来保证安全性，具体一轮协议流程如附图2。但Gilbert说明了HB+协议对来自于一个伪装成一个合法Reader的中间人攻击是不安全的，如附图3所示获取密钥x的步骤如下：

1.Tag利用随机数发生器生成n比特矢量b，将b发给Reader。

2.Reader收到b后，随机数发生器生成n比特矢量a发给Tag，但是攻击者截获a并将a改成a⊕δ后发送给Tag。

3.Tag收到攻击者篡改的a⊕δ并以此为合法的a参与z的运算，此时z‘=（a⊕δ）·x⊕b·y⊕v发给Reader。

4.Reader收到z’后验证z’是否等于原来的

上述攻击是一轮认证协议的攻击过程，故攻击r轮后：原本z值应该为a·x ⊕b·y ⊕v，攻击后z变为z’即（a ⊕δ）·x ⊕b·y ⊕v。由于内积和异或运算满足分配率，即（a ⊕δ）·x ⊕b·y ⊕v=a·x ⊕δ·x ⊕b·y ⊕v，所以z’=z⊕δ·x。攻击者根据攻击后的认证结果便可以推测出关于密钥x的有效信息。如果攻击后认证仍然成功，说明δ·x=0，否则δ·x=1。这样攻击者便可以选取特殊的δ值推测x。例如δ中只有某一个比特为1，若认证成功则x中对应的那一个比特为0，认证失败则x中对应的那一比特为1。攻击者每次认证确定x中的一个比特位，n次便可以完全恢复出密钥x。

攻击者获得x后可以冒充合法的Tag与Reader互通消息进一步获取密钥y，如附图4所示攻击步骤如下：

1.攻击者冒充Tag将n比特随机矢量b发给合法Reader。

2.Reader利用随机数发生器产生n比特随机矢量a发给Tag即攻击者。

3.攻击者计算z=a·x，将此值发给Reader。

4.Reader收到z后验证z是否等于

上面是针对一轮协议的攻击过程。一次认证需要r轮认证，每轮攻击中攻击者都选用同一个随机数b。若认证通过说明b·y=0，否则b·y=1。这样攻击者便可以选取特殊的b值推测y。例如b中只有某一个比特为1，若认证成功则y中对应的那一个比特为0，认证失败则y中对应的那一比特为1。攻击者每次认证确定y中的一个比特位，n次便可以完全恢复密钥y。另外，此情况下的攻击者没有考虑噪声v而直接计算z=a·x发给合法的Reader是因为：如果最终认证通过（即b·y=0），则在不考虑噪声的情况下每轮认证都通过；如果最终认证没有通过（即b·y=1），则在不考虑噪声的情况下每轮认证都不会通过，这和考虑噪声后的结果是完全一样的，所以可以在攻击中不考虑噪声。

以上说明了攻击者通过中间人攻击而获取密钥x和y的具体步骤。本发明提出的协议修改了z的计算方法，引入了PER运算，可以避免攻击者推出密钥，抵抗中间人攻击。协议中只有两条消息，由Tag计算的

攻击者若想获得任何关于密钥x和y的有效信息来进行主动攻击，可能会通过修改Reader产生的a实施攻击。用攻击HB+的方法攻击新协议，即a篡改为a ⊕δ。此时

但是PER运算不具有分配率，即PER(y，a ⊕δ)·x≠PER(y，a)·x⊕PER(y，δ)·x。即使攻击者得到PER(y，δ)·x与δ的值，但是δ的作用只是将y中的比特进行置换，自身并没有实际参与和x进行内积的运算，x和y又都是未知的，攻击者控制δ也并不能推出任何有关密钥的有效信息。所以本发明中的协议是可以抵抗对于HB+协议的中间人攻击的。

对于其他可能的主动攻击，攻击者也只是会利用PER运算的缺陷进行攻击。所以PER运算的安全性直接影响着设计的协议的安全，故对PER运算的安全性分析如下：PER（y，a）是根据a的值对y的各比特位进行重新排列，改变a的任何一位都使结果有很大变化。从1变成0，会使对应的

从前m位中换到后面的空余位。这样会使原来前m位中

后面的比特依次前移一位；

移到后面也会打乱原来后面位的排列。特别地，如果将

从1变为0，对前m-1位没有影响，但是会以很大的概率不在第m位，这样将会影响后面序列的排列。反之

从0变成1，会使对应的

从后面的位置插到原来的前m位中，从而打乱原来的序列。特别的如果将

从0变为1，

将会移动到整个序列的第m+1位，而

原来就在第m+1位的概率很小，所以结果还是会有很大的概率发生较大改变。如果互换a中相邻两位不同的比特值，比如第一二位。则结果中y₁和y₂的位置发生互换，若y₁和y₂相等，则认证结果不会发生改变；否则认证结果发生改变的可能性较大。所以攻击者可以通过改变第一二位推出y₁和y₂是否相等。但是攻击者按照这种方法依次推其他相邻两位的关系就相对困难，比如通过改变a的第二三位推y₂和y₃是否相等，只有在a₁为1的情况下结果才会只有y₂和y₃发生互换。也就是说，在推测相邻两位是否存在相等关系时必须保证对应的a值前面的比特位全是1，而这种概率是比较小的，所以这种攻击的成功实施是比较困难的。通过以上分析可以得出，本发明设计的协议可以抵抗主动攻击，能提供一定的安全保障。

在硬件方面，协议中涉及的内积、异或、PER运算可以由简单的逻辑门电路实现，标签拥有一个噪声发生器以一定的概率产生噪声v。对于随机数可以采用振荡采样法利用独立振荡器中的相位噪声产生随机数。如附图5所示，有频率不同的两个振荡源，慢速的时钟在上升沿通过D触发器采样快速时钟。振荡器的抖动使采样值具有不确定性，理论上可以在每个采样点产生一个随机位，并且可以通过选择两种时钟的频率比增强随机性。该方法具有较好的随机性，同时电路简单，占芯片面积小，功耗较小。

在软件方面对协议中涉及的参数做如下具体说明：

1.由于低端RFID系统的标签的存储能力有限，故本协议在实施时可以选择密钥x和y均为256比特位。目前用于解决LPN问题的比较好的算法BKW(由Blum，Kalai和Wasserman提出)在运算密钥为256位时需要的运行时间达到2⁸⁸，在低端RFID系统中可以提供必要的安全。

2.噪声参数η取为1/8，协议的完整轮数r取为50，则Tag响应错误的轮数小于50/8，认证通过。攻击者随意猜测认证结果获得成功的最大概率为C（r，ηr）/2^r，此时攻击者通过认证的最大概率为C（50，6）/2⁵⁰，小于10^-8，所以是安全可行的。其中C（50，6）=50!/(6!(50-6)!)，表示50轮认证协议中响应错误轮数为6的组合数。

Claims (3)

1.RFID系统中基于HB+的一种强安全认证方法，系统中的阅读器和标签共享n比特密钥x和y，标签拥有一个噪声发生器，在每一轮认证时，以η∈(0，1/2)的概率生成一个比特的噪声v＝{0，1|prob(v=1)=η}(prob(v=1)指的是v=1发生的概率)，该强安全认证方法包括阅读器和标签之间的r轮认证过程，在进行r轮认证后，如果标签的响应错误轮数小于ηr，则认证通过，每一轮的认证过程包括下列步骤：

(一)由阅读器随机生成n比特矢量a，并将a发给标签；

(二)标签收到a后，生成n比特矢量b，再利用噪声发生器以概率η生成一个比特的噪声v，然后计算 $z=\mathrm{PER}(y,a)\·x\⊕b\·y\⊕v,$ 发送(b，z)给阅读器；

(三)阅读器收到(b，z)后验证z是否等于其中的PER(y，a)为自定义的一种置换运算，定义如下：设a=a₁a₂…a_n，a_i∈｛0，1｝，i=1，2，…n，y=y₁y₂…y_n，y_j∈｛0，1｝，j=1，2，…n，并设a的汉明重量wt(a)为m，0≤m≤n，且

其中，1≤k₁＜k₂＜…＜k_m≤n，1≤k_m+1＜k_m+2＜…＜k_n≤n，则计算PER（y，a）的值的方法如下：

第一，在标签的存储器中开辟n个存储单元依次存放PER（y，a）运算结果，n个存储单元与运算结果的n个比特位一一对应；

第二，将

依次赋值给该n个存储单元的前m位；

第三，将经过第二步后的该n个存储单元中剩下的l＝n-m个存储单元存放PER（y，a）运算结果的剩余比特位，称之为空余序列，对空余序列的赋值按如下步骤进行：

a．将

赋值给l个存储单元中的第

个存储单元，此时，空余序列中减少了1个存储单元即l=l-1；

b．令p=p-1，l=l-1，重复进行a步直至p=m+2，l=2；

c．最后令p=m+1，l=1，此时将

赋值给剩余的唯一一个存储单元。

2.根据权利要求1所述的RFID系统中基于HB+的一种强安全认证方法，其特征在于，其中的x和y均为256比特位。

3.根据权利要求1所述的RFID系统中基于HB+的一种强安全认证方法，其特征在于，噪声参数η取为1/8。

Images