CN103595525A - 一种抗去同步化的轻量级rfid双向认证协议 - Google Patents

Abstract

本发明涉及一种可用于物联网RFID系统的轻量级双向认证协议，基于“双向随机数-新旧密钥对”双重认证机制实现后台和RFID标签的双向挑战应答，并通过“附时加密”绑定伪随机数与时钟参数，提高协议新鲜量的可信任性。协议通过后台数据库预置的新旧密钥组参与认证，抵抗来自RFID系统外的去同步化，避免后台-标签密钥失衡；阅读器和后台通过“附时加/解密”抵抗来自系统内部的去同步化，从而避免恶意阅读器重放消息导致后台永久性拒绝认证标签。此外，协议采用Hash运算更新密钥，交替采用超轻量Mixbits函数校对参数，在降低协议计算开销的基础上保证了协议的防跟踪与前向安全。该协议具有安全、高效、灵活的特点，适用于低成本RFID系统的认证和密钥更新等领域。

Description

一种抗去同步化的轻量级RFID双向认证协议

技术领域

本发明涉及一种轻量级抗去同步化的RFID双向认证协议，利用“双向随机数-新旧密钥对”双重认证机制实现后台数据库-标签系统的双向挑战-应答，并利用时钟参数绑定伪随机数的办法保证协议新鲜量的可信任性与实时性，密钥更新以及认证参数的运算使用轻量级散列函数和超轻量级循环移位函数，最后结合基于有色petri网理论的形式化模拟和非形式化方法对协议进行隐私安全性分析，证明该协议可以达到预期状态空间，并且可以有效抵抗位置跟踪攻击和去同步化等攻击。本协议仅需要三次通信即可完成阅读器和RFID标签认证，标签仅需少量门电路即可满足所有计算需求，协议具有传输高效、密钥存储量小、计算和搜索复杂度低等特点，适用于低成本的RFID系统的身份认证，密钥更新等领域。

背景技术

RFID（Radio frequency identification）认证协议是解决无线射频识别系统安全与隐私问题的有效手段，但由于低成本RFID系统在计算能力、存储空间方面存在诸多局限性，难以实现复杂的密码算法和大容量的数据存储，因此现有的不少RFID认证协议和方案都不能较全面地满足无线射频系统的隐私安全属性。早期提出的轻量级RFID协议完全依靠Hash（哈希）函数的随机性和单向性实现身份认证和密钥更新，如DUC DN和Kwangjo Kim的抗Dos的RFID认证协议（DUC DN，KIM K.Defending RFID authentication protocols against Do-S attacks[J].Computer Communications，2011，34(3)：384－390）以及Mitchell的拥有权转换协议（SONGB，MITCHELL C J.Scalable RFID security protocols supporting tag ownership transfer[J].Computer Communications，2011，34(4)：556－566）等。

为进一步降低标签计算开销，后来的协议设计者开始寻求具有更小计算开销的轻量级算法代替多次Hash计算，以实现协议认证和前向安全。但在节约成本的同时，协议的设计缺陷也引发了密钥更新去同步化和标签位置跟踪等诸多问题。比如Lim J的隐私保护认证协议（LIM J，OH H，KIM S.A new Hash-based RFID mutual authentication protocol providingenhanced user privacy protection[C]//Roceedings of the4th Information Security Practice andExperience Conference.LNCS4991，Berlin：Springer-Verlag，2008：278－289）中，会话双方在未完成认证的情况下仍能执行密钥动态更新，可以避免标签位置隐私泄露，但由于该协议缺乏可信任新鲜量，攻击者仍可以利用通信量分析获得标签密钥状态。2007年Chien HY在超轻量级SASI认证协议（H Y Chien.SASI：A new ultralightweight RFID authe nticationprotocol providing strong authentication and strong integrity[J].IEEE Transactions on Deand Secure Computing，2007，4(9)：337-340）中仅利用有限次数的XOR（异或）、ROT循环移位等超轻量级算法实现挑战-应答，并在后台数据库中建立两个密钥存储单元，提高密钥恢复能力，但由于ROT函数的代数特性，SASI被证明易受位篡改型（Dimitriou,T.(2005).ALightweight RFID Protocol to protect against Traceability and Cloning attacks[C]//Proceedings ofFirst International Conference on Security and Privacy for Emerging Areas in CommunicationsNetworks(SecureComm2005)，Athens，Greece，ISBN:0769523692）去同步化攻击。Peris Lopez设计的协议完全依靠阅读器PRNG（伪随机数发生器）提供新鲜量，节约了标签的计算开销，但是该协议同样容易遭受去同步化攻击（Li T Wang.Security analysis of two ultra-lightweightRFID authentication protocols[C]//Proceedings of the IFIP TC-1122nd International InformationSecurity Conference IFIP SEC2007.South Africa：2007：109-120）和代数攻击（Gidas Avoine，Xavier Carpent.Strong Authentication and Strong Integrity(SASI)Is Not That Strong[C]//The6thInternational Workshop.RFIDSec2010.Turkey：Istanbul，2010，50-64）。

发明内容

基于上述，本发明提出一种应用于物联网下低成本RFID系统的双向认证协议，该协议利用记录新旧密钥对的办法提高协议对密钥去同步化的容忍度，利用伪随机数附时加密的办法提高协议新鲜量的可信任性和实时性，可以有效抵抗来自系统外部和内部的去同步化攻击，弥补了上述协议的不足，不仅具有完善的隐私安全属性，而且满足低成本RFID系统对于通信次数、密钥长度、标签搜索复杂度和标签计算复杂度方面的要求，通过基于有色petri网理论的形式化模拟和非形式化方法对协议进行隐私安全性分析，证明该协议可以达到预期状态空间，能够安全、高效地完成RFID阅读器和标签之间的身份认证以及密钥更新。

为实现低成本RFID应用的安全认证，本发明设计了基于Hash和Mixbits函数的抗去同步化轻量级RFID双向认证协议，其具体协议会话过程如附图所示。

Mixbits非线性循环移位函数描述：

Z=MixBits(X,Y)

{

Z=X;

for(i=0;i<32;i++){

Z=(Z<<1)+((Z+Y)>>1);

}

其中“+”是模32加法，“<<”和“>>”分别表示按位左移、按位右移。

本发明的优点在于：协议交互轮数少，密钥长度低、标签搜索复杂度低O(1)以及销小等，能够实现RFID应用的双向身份认证，并且可以同时抵抗来自系统外部和内同步化攻击，具有完美的前向安全和后向安全，能够有效避免由消息重放、位置跟踪、标签伪造等典型攻击方式给RFID系统带来的安全性威胁。

表1协议中的符号定义

附图说明

图1为本发明中设计的抗去同步化的RFID双向认证协议；

具体实施方式

（一）实施步骤

协议包括初始化、认证、更新三个阶段，现将协议中后台-阅读器、标签之间的具体交互过程描述如下：

1.初始化阶段

RFID系统为每个标签Tag产生一个唯一性序列号C_i、自更新参数T_i，并和数据库共享密钥组（key_iL，key_iH）。标签方保存其唯一检索名和密钥组，存储单元为（IDS，keyL，keyH，T_i，C）；后台数据库存储目录（Pre-IDS_i，Pre-key_i；Cur-IDS_i，Cur-key_i；C），其中数据库的Cur密钥单元（Cur-IDS_i，Cur-key_i）和标签的（IDS，key）相同。阅读器方和后台数据库各自维护一个本地时钟t。

2.认证阶段

2.1）Step1Reader→Tag(Challenge Message):r_R

阅读器产生随机数r_R并发给标签作为认证请求消息m1=query。

2.2）Step2Tag→Reader(Responding Message):IDS，α=key_iL⊕rT，β=Mixbits（Ti，rR），γ=m-left

标签接收到认证请求消息后，产生伪随机数书r_T，取出当前唯一性索引名IDS=Hash(key_i)，并依此产生α=keyi_L⊕r_T、β=Mixbits（T_i，r_R）、γ=m-left作为回应，同时保存m=hash(keyi_H⊕r_T⊕β⊕C)。

2.3）Step3Reader→Back-End Server(Forwarding Message):IDS，α^t，β，γ，r_R

阅读器接受到标签应答后，将标签随机数的密文α作附时加密计算，然后将r_R附在消息m2后面，传递给后台数据库，其中，α^t=F（α，t）。

2.4）Step4Back-End→Reader(Authenticating Tag):R，δ=Mixbits(m-right,R⊕rT)

后台数据库收到消息后，首先利用收到的IDS搜索所有标签的Cur密钥组，如果可以找到目标标签的Cur-IDS_i，则利用本地时钟参数t解密附时函数f并恢复出α和标签随机数r_T，然后计算并校验参数γ。

2.4.1）如果计算值和收到的γ相等，则产生数据库伪随机数伪R，并计算δ=Mixbits(m-right,R⊕r_T)，最后将R、δ发给阅读器，并更新相关参数（见附图）。

2.4.2）如果计算值和收到的γ不相等，则利用收到的IDS重新搜索所有标签的Pre密钥组，如果找到目标标签的Pre-IDS_i，则重复2.4.1步骤，否则，通知阅读器终止协议，并认为协议认证失败。如果两次搜索均未找到目标标签，则同样通知阅读器终止协议，并认为标签身份不合法。

2.5）Step5Reader→Tag(Authenticating Reader Message):R,δ

阅读器直接转发消息给标签，标签取出保存的m-right，计算δ=Mixbits(m-right，R⊕r_T)并对收到的δ进行校验，根据校验结果认证阅读器，成功后执行参数更新，否则标签会认为阅读器不合法并拒绝进行密钥更新。

3.更新阶段

为保证协议前向安全，协议双方通过协议新鲜量各自执行更新，数据库将Cur-IDS_i和Cur-key_i写入Pre单元，并将更新后的IDS_i+1和key_i写入Cur单元。标签则直接将更新后的参数写入内存。

3.1）后台数据库首先将原Cur密钥单元写入Pre密钥单元，然后计算更新Cur密钥单元：

Pre-IDS_i=Cur-IDS_i

Pre-key_i=Cur-key_i

Cur-key_i=Pre-key_i⊕m-right

Cur-IDS_i=Hash(Cur-key_i)

3.2）标签首先更新密钥，然后更新IDS和自更新参数T_i：

key_i=key_i⊕m-right

IDS=Hash(key_i)

T_i=Hash(T_i⊕m-right)

（二）CPN（有色petri网）形式化分析

利用基于有色petri网理论的自动化分析工具CPN tools对提出的协议进行形式化描述，证明协议能够到达预期状态，分析步骤严格按照CPN理论的形式化分析步骤进行。

1.颜色集定义

协议的CPN模型中颜色集分为单一颜色集和复合颜色集两种，其中单一颜色集有INT、BOOL、DATA、R、KEY、H、T以及M1，分别代表数据整型、布尔型、字符串、伪随机数型、密钥、哈希值以及时钟参数型；复合颜色集M代表Mixbits计算值，F代表附时加密函数的输出值，M2、M3和M4分别代表其他三种消息类型；此外CON颜色集表示连接数据IDS||β||γ的类型。

2.协议正常通信模型

2.1）库所

CPN库所按照协议参与实体分为后台数据库、阅读器和标签三类。D1，D2…D10表示后台数据库各库所，其中D12为静态库所，用于存放标签唯一性标识C_i，其他库所均为动态库所，用于存储协议认证和更新过程中生成和消耗的Token值（表2为本协议CPN模型的所有库所、Token以及颜色集对应关系）。

2.2）迁移

协议的状态转移由特定的迁移序列引起，本协议模型共有9种迁移，分别是2个VERI表示对认证参数的校验；3个GEN表示后台、阅读器以及标签产生伪随机数发生器；5个SEND-REC对分别表示不同实体间的消息发送和接收；XOR、HASH和M1分别代表协议中计算涉及的异或、哈希散列以及Mixbits运算；此外，还有KEY、CUT、SEEK作为密钥操作（选取、取位）和标签搜索；TF和Tf分别表示对参数α的附时加密和对参数α^t的附时解密操作。

2.3）状态转移分析

2.3.1）阅读器初始化协议和标签应答

首先阅读器伪随机数发生器GEN2产生x1（r_R），经由SEND1发送给标签接收端REC1，标签接收端先利用x2激励伪随机数发生器GEN1，然后将x2送至M1；T8存放的标签自更新函数Ti（x10）和x2进行Mixbits运算产生β（x9）并存入T5库所；x9和标签标识x5、高位密钥key_iH以及阅读器伪随机数x3进行异或产生DATA型数据C⊕rT⊕β⊕keyH（x8）存入库所T9。x8经由迁移Hash1点火产生哈希值m=HASH（C⊕rT⊕β⊕keyH），然后分别将γ=m-left（x12）和m-right（x13）存入库所T10和库所T12；此外，标签伪随机数x3和低位密钥x4异或，迁移XOR1输出x7，最后由Send2将x9、x6、x12和x20组成的m2发送给阅读器。

2.3.2）阅读器附时加密

阅读器的本地时钟T1产生时钟参数t（x24）存入库所R2；此时，REC将收到的α’（x25）存入R3，x24和x25经过附时加密迁移TF生成x26（α’^t），x26存入R4等待发送；然后阅读器SEND3将CON数据x27和自身伪随机数r_R（x1）附在x26之后（m3），将m3发送给后台数据库。

2.3.3）后台验证标签

后台数据库REC3接收m3，将m3分为x30（IDS”）、x31（γ”）、x32（α”^t）以及x33（β”）分别存入D1、D2、D3和D4。D3中的α”^t （x32）通过Tf解密变为x39（α”’），然后存入D10；迁移SEEK利用x30搜索到目标标签的索引名IDS1和标识名Ci，然后依靠IDS1和标签密钥组D6找到Cur密钥x取出密钥keyi（x35）；x35经由“密钥分割”迁移CUT分为高位密钥x36和低位密钥x37；x37先后和x39（α”’）、x41（Ci）、x36（keyiL）和x33（β”）异或，然后通过HASH2生成x33；VERI1通过验证收到的γ”和γ”’，得到验证结果Y（x14），如果验证结果为N（x23）则迁移KEY被重新点火，此时库所D6将输出Cur密钥组。

2.3.4）后台应答及密钥更新

验证结果Y点火GEN3产生数据库伪随机数R（x44）并将其存入D17，然后R和D11中的标签伪随机数rT’先异或（XOR7），然后和x47通过Mixbits运算，生成δ（x46）；SEND4将x44和x46组合成m4，然后发送给阅读器，由阅读器直接转发给标签；最后阅读器自行执行标签各存储单元的更新（Pre单元和Cur单元）。

2.3.5）标签认证阅读器及密钥更新

标签REC5收到m4’后首先分为x21（R”）和x22（δ”），x22存入T18等待验证，x21首先和T2中的标签伪随机数r_T异或，然后和T12中的m-right（x47）通过迁移Mixbits计算生成x16（δ”’）；迁移VERI2对收到的δ”和计算的δ”’进行验证，然后输出验证结果Y=x14和N=x23；若正确，则托肯Y依次点火XOR5、HASH4、HASH3，从而更新标签密钥key、唯一性标志名IDS以及自更新参数Ti。

（三）隐私安全属性及抗攻击能力

1.数据机密性和完整性

标签和阅读器之间通过不安全信道传输消息，攻击者通过监听信道分析有用的数据信息。本文所提新协议中的消息由单向哈希函数Hash和非线性循环移位函数Mixbits保护，输出结果具有一定的随机性和单向性；此外，Hash函数良好的防碰撞特性保证后台能够发现任何形式的消息篡改，因此新协议能够保证消息数据的机密性和完整性。

2.标签位置跟踪隐私

标签的索引名IDS、认证密钥keyi以及自更新参数Ti每经过一次认证就会更新，而且协议双方都有伪随机数提供协议新鲜量，尤其IDS和标签序列号Ci都在Hash函数的保护下传输，具有良好的随机性，第三方攻击者无法获得标签响应之间的关联，也不能从标签的某次响应中获得可跟踪的字节，因此本文的协议能够有效抵抗位置跟踪攻击。

3.标签伪造

要想伪造标签并获得阅读器的认可，必须在每次协议会话中产生正确的标签响应，即持有标签密钥和标签内部的唯一序列号。keyi和Ci在协议会话中都由Hash函数和Mixbits保护，所以，除非打开标签内部电路进行逆向工程分析，或暴力破解协议消息，否则攻击者很难获取标签的内部密钥和标识，从而无法通过伪造正确的标签响应。

4.前向安全

攻击者在有能力破解标签并获得当前标签内部状态的前提下仍不能解密标签之前的消息说明协议满足前向安全。本文协议的密钥更新包括key值更新、IDS更新以及标签参数Ti自更新，其中key通过m-right实现更新，但m-right在前一次认证过程中并没有暴露在不安全信道，攻击者无从获得，也就无法利用本次密钥计算上一次的密钥从而解密之前的消息；此外，由于Hash函数的单向性，攻击者也不能从本次Ti+1和IDSi+1分析出Ti和IDSi。

5.后向安全

协议满足后向安全的前提是攻击者仅通过窃听无法获得密钥更新参数——当前密钥信息keyi和协议新鲜量（rR、rT、R）。本文协议中标签伪随机数rT通过和低位密钥keyiL异或而不会被攻击者直接窃听；同时，参数Ti只有标签自己知道并且执行更新，m-right也不参与传输；因此，攻击者在仅有rR和R的情况下仍不能通过自行计算获得下一次认证所需的密钥信息，所以协议是满足后向安全的。

6.组合型去同步化攻击

由于时参变量t的参与，后台数据库只能从当前会话的αt中获得正确的伪随机数rT，进而通过δ校验，因此协议能有效识别恶意阅读器重放的αt。

在第3节提到的组合型去同步化攻击中，假设首次会话（t0时刻）中，阅读器转发并记录step2（αt0，r0）给后台；经过一次正常会话（假设此时的step2为（αt1，r1）），当阅读器第三次转发step2给后台时，t已经变为t2，一旦阅读器重放step2（αt0，r0），后台数据库就得不到正确的r0，因此在校验γ时就会出错，协议被迫关闭。因此，对于本文提出的组合型去同步化攻击，新协议能够有效避免密钥失衡。

表2本发明与同类协议的性能比较

注：*其中L表示密钥长度；N表示数据库中标签个数；MOD为2m模计算

（四）性能分析

将本发明所提出的RFID认证协议的性能分析主要从存储量、通信开销以及计算开销三个方面与同类RFID认证协议相比较，如表2所示：2008年Lim和2011年Song提出的协议都需要数据库实时计算Hash值，并由后台数据库逐个计算直到最终找到目标标签，标签搜索空间是2n，即最坏的搜索情况就是数据库需要进行2n次哈希计算和对比。虽然每次有新鲜量参与生成标签应答消息，具有很好的防跟踪性，但标签搜索效率较低。2010年ZHOU的协议采用直接查询索引名的方法将数据库搜索复杂度降到了O(1)，但除伪随机数发生器之外，标签每次会话需要3次Hash运算，系统需要5次Hash运算，且该协议无法抵抗组合型去同步化攻击。

本发明的协议设计原则是满足安全需求的前提下考虑协议对各种资源的消耗。由于协议引入非线性循环移位函数Mixbits，认证过程中标签的Hash运算次数降为1次，超轻量级Mixbits两次，以及简单的异或运算和PRNG伪随机发生函数，标签搜索复杂度为O(1)。同时，标签索引名IDS和阅读器/标签的共享密钥仍能够进行动态更新以保证协议的前向安全。

Claims (4)

1.一种抗去同步化攻击的轻量级RFID双向认证协议,其特征在于包括以下步骤：

步骤1：使用双向伪随机数和预置共享密钥相结合的方式实现阅读器方和标签之间的“挑战-应答”，并通过记录新旧密钥对的方法协助RFID系统抵抗来自第三方的去同步化攻击；

步骤2：利用时钟参数对协议伪随机数作加密处理，提高协议新鲜量的可信任性和实时性，抵抗来自RFID系统内部的去同步化攻击；

步骤3：利用超轻量级非线性循环移位函数代替哈希散列计算，保证协议前向安全的同时降低计算开销。

2.权利要求1所述的轻量级RFID双向认证协议，其特征在于：

所述步骤1中使用双向伪随机数和预置新旧密钥对的办法实现认证双方“挑战-应答”机制的具体步骤如下（假定认证双方为后台-阅读器和标签）：

2-1阅读器首先产生伪随机数r_R并发给标签作为认证请求；

2-2标签接收到认证请求后产生伪随机数r_T，并利用预置的低位共享密钥key_iL对伪随机数r_T异或，同时计算含有r_T的哈希值γ，并将其发送给阅读器供完整性验证；

2-3阅读器对伪随机数密文α附时加密，连同自身伪随机数r_R一起传给后台数据库；

2-4后台数据库收到消息后，利用索引名IDS搜索标签目录并找到目标标签，然后对伪随机数密文α附时解密，恢复出标签和阅读器的伪随机数，最后利用标签的Cur单元密钥计算并校验哈希值γ’，并根据校验结果判断协议是否继续：

2-4-1如果计算值γ’和收到的γ相等，则产生后台伪随机数R和参数δ=Mixbits(m-right,R⊕r_T)，最后将R、δ发给阅读器，并更新相关参数（见附图）；

2-4-2如果γ’和γ不相等，则取出Pre密钥单元计算哈希值γ”并再次校验，若相等则重复上述步骤，否则阅读器主动终止协议，并认为标签不合法；

2-5阅读器直接转发消息给标签，标签对δ进行校验，根据校验结果认证阅读器并执行参数更新，否则标签认为阅读器不合法，并拒绝密钥更新（具体过程见附图）。

其中伪随机数和预置新旧密钥对相结合的办法之所以能够抵抗来自第三方的去同步化攻击，在于后台数据库中维护了Pre和Cur两个密钥单元，如果在标签和阅读器的某次协议会话中，攻击者通过恶意拦截消息m3（见附图）造成双方更新不同步，即阅读器后台进行了密钥更新而标签没有，则在下一次认证中，阅读器后台可以通过恢复Pre密钥单元认证标签，从而避免因密钥不同步而引起标签的拒绝服务。

3.权利要求1所述的轻量级RFID双向认证协议，其特征在于：

所述步骤2中使用时钟参数参与伪随机数加密以及维护时钟的步骤为：

3-1阅读器收到标签应答后，利用时钟参数t对α作DES加密，F（α，t）→α^t，并传递给后台；

3-2后台数据库取本地时钟t’并对α^t进行DES解密，f（α^t，t）→α；

3-3由于网络时延等原因，本地时钟不同步会造成后台数据库对标签的连续认证失败，连续超过三次认证失败时，后台数据库将对阅读器时钟进行校验：

3-3-1后台数据库向阅读器发送时钟校验请求；

3-3-2阅读器收到请求，发送本地时钟参数t，并利用阅读器唯一性标识IDR计算Hash（t||IDR）以供完整性校验；

3-3-3后台数据库比较本地时钟t’和t，然后返回t’和Hash（t||t’）。

其中时钟参数加密伪随机数能够抵抗来自系统内部的去同步攻击，因为在伪随机数绑定时钟参数的情况下，恶意阅读器无法利用消息重放干扰后台对新旧密钥对的维护并造成Cur密钥单元单独更新，从而无法造成标签的拒绝服务，能够提高协议新鲜量（伪随机数）的可信任性与实时性，以及密钥更新的同步性。

4.如权利要求1所述的轻量级RFID双向认证协议，其特征在于：

所述步骤3中超轻量级非线性循环移位函数代替哈希散列的具体步骤为：

4-1标签收到认证请求时，利用伪随机数r_R和自更新参数Ti生成β=Mixbits（Ti，r_R）发送给阅读器，其中自更新参数Ti由标签独自维护并更新，用于防止来自第三方的消息重放；

4-2后台数据库生成参数δ=Mixbits（m-right，R⊕r_T）以供标签认证阅读器，δ包含了协议会话的所有新鲜量（r_R、r_T和R）。

Mixbits函数是一种超轻量级循环移位函数，具有高度的非线性密码特性，相比于轻量级散列函数Hash具有更低的门电路设计需求，利用Mixbits代替Hash计算协议中的部分认证参数，可以有效降低RFID标签计算开销，更有利于降低RFID系统成本。

Images