CN104363097A - 椭圆曲线上轻量级的rfid相互认证方法 - Google Patents

Abstract

本发明提供一种椭圆曲线上轻量级的RFID相互认证方法。本发明基于椭圆曲线上离散对数困难问题，该算法在相同的安全强度条件下，具有更短的密钥长度，而且运算速度快，存储空间小。考虑到标签的运算能力弱，认证过程中的运算仅涉及生成随机数、Hash运算、点乘、加法以及异或。本发明保护了标签的身份信息，并且实现了标签和服务器的相互认证，达到了一定的安全和隐私要求。

Description

椭圆曲线上轻量级的RFID相互认证方法

技术领域

本发明涉及数字认证技术，特别涉及RFID相互认证技术。

背景技术

射频识别RFID(Radio Frequency Identification)，是一种快速、准确、实时采集与处理信息，实现普适计算环境的自动识别技术。RFID系统主要利用射频信号通过空间耦合来实现无接触的信息传递，并依据所传递的信息来达到相互识别的目的。

在认证系统中，有三个参与方，标签，阅读器和服务器。服务器中包含后台数据库。阅读器和服务器之间的信道是安全的，标签和阅读器之间的信道是不安全的。RFID安全问题中面临的一个重要挑战就是隐私泄露。由于阅读器与标签之间采用无线射频信号进行通信，无线通信固有的脆弱性使得所传送的信息被完全暴露，易受到窃听、篡改等各种攻击，导致一些敏感信息被泄露。RFID的安全隐私问题主要包括两方面：(1)攻击者对标签进行位置追踪。由于标签发送的信息可能包含唯一的身份标识信息(如身份标识ID)，即使经过加密处理也有可能包含某种固定或有规律的信息，攻击者可以根据标签响应服务器的响应信息对标签进行位置跟踪，而当标签的使用者没有改变时，攻击者就可以通过跟踪标签来推测出用户的位置，从而泄露用户的位置信息。(2)对窃听获取的标签信息进行分析后再进行攻击。当标签携带信息包含了用户的个人信息时，攻击者就可以通过分析标签传输的信息来获取用户的隐私信息。例如用户使用信用卡在商店消费时，如果不良商户将用户的身份信息和用户身上的标签发送的信息内容联系在一起，便可以获取很多用户的隐私信息。因此，设计高效安全的认证协议来保护用户隐私，是我们目前迫切需要解决的难题。

随着公钥密码的发展，椭圆曲线密码受到越来越多的重视。相对于传统的公钥密码，椭圆曲线密码在相同的安全强度下，具有更短的密钥长度，更快的运算速度和更小的存储空间。所以，椭圆曲线密码很适合设计RFID认证协议。

Tuyls和Batina提出了第一个使用椭圆曲线的RFID认证协议。随后，Batina等人提出了一个相似的椭圆曲线上的RFID认证协议。但是，Lee等人指出Tuyls和Batina的协议以及Batina等人提出的协议存在隐私问题。随后Lee等人给出了一个改进方案，但是他们的方案不能提供扩展性。2013年，Liao和Hsiao提出了一个新的椭圆曲线上的RFID认证协议。但是Peeters等人指出Liao和Hsiao的协议存在标签伪装攻击、服务器钓鱼攻击、位置追踪攻击和标签克隆攻击。2014年，Chou提出了一个新的椭圆曲线上的RFID认证协议，并声称他们的协议可以抵抗各种攻击。但是Zhang和Qi指出Chou的协议存在标签信息隐私问题。

发明内容

本发明所要解决的技术问题是，提供一种适用于RFID的能防止隐私泄露的相互认证方法。

本发明为解决上述技术问题所采样的技术方案是，椭圆曲线上轻量级的RFID相互认证方法，包括以下步骤：

1)服务器预处理步骤：

服务器选择q，n两个大素数，两个哈希函数H₁与H₂，一个n阶生成元P；

服务器确定椭圆曲线E为y²＝x³+ax+b，其中椭圆曲线常数a,b∈Z_q，Z_q为长度为q的有限域；

服务器产生随机数作为其私钥，并计算其公钥P_S＝x_SP，生成其公私钥对(P_S,x_S)，为大素数n的整数模的乘法群；

服务器为每个标签选择身份信息X_T，X_T为0、1字符串，将身份信息X_T作为秘密值存储在服务器中，同时存储到对应标签的内存中；

2)相互认证步骤：

2-1)服务器选择一个随机数计算挑战信息R₁＝r₁P发送给标签T_i；

2-2)标签T_i选择随机数计算中间数R₂＝r₂P，利用服务器公钥计算中间数TK_T＝r₂P_S，再将挑战信息R₁与中间数TK_T作为哈希函数H₁的输入，将标签身份信息X_T与哈希函数H₁的输出值进行异或得到结果Auth_T＝X_T⊕H₁(R₁,TK_T),最后把响应数据(Auth_T,R₂)返回给服务器；

2-3)服务器收到响应数据(Auth_T,R₂)后，首先利用服务器私钥计算中间数TK_s＝x_SR₁，将本地生成的挑战信息R₁与中间数TK_s输入哈希函数H₁，将响应数据中的数据Auth_T与哈希函数H₁的输出值进行异或得到结果作为计算得到的标签身份信息X_T′，X_T′＝Auth_T⊕H₁(R₁,TK_s)，服务器在它自己的数据库中查找X_T′，若查找到标签身份信息X_T′，则视为合法标签，并将挑战信息R₁、标签身份信息X_T′、中间数R₂输入哈希函数H₂得到哈希函数值e＝H₂(R₁,X_T′,R₂)，再利用服务器私钥x_S与哈希函数值e相乘，得到响应值s≡x_Se+r₁modn，并将响应值s发送给标签T_i；

2-4)标签T_i收到响应值s后，首先将接收到的挑战信息R₁、本地的标签身份信息X_T、本地产生的中间数R₂输入哈希函数H₂得到哈希函数值e′＝H₂(R₁,X_T,R₂)，再验证sP≡e′P_S+R₁modn是否成立，若成立，则为合法的服务器，否则为非法服务器。

本发明基于椭圆曲线上离散对数困难问题。该算法在相同的安全强度条件下，具有更短的密钥长度，而且运算速度快，存储空间小。考虑到标签的运算能力弱，认证过程中的运算仅涉及生成随机数、Hash运算、点乘、加法以及异或。

本发明的有益效果是，保护了标签的身份信息，并且实现了标签和服务器的相互认证，达到了一定的安全和隐私要求。

具体实施方式

实施中用到的符号说明见下表：

本方案中，没有发行机构这个可信的第三方。只有服务器、阅读器和标签。服务器产生阅读器和标签的公私钥对。此外，阅读器和服务器之间的通信信道是安全的。所以本方案中，我们把标签和阅读器之间的通信，写成标签和服务器之间的通信。

(一)系统初始化：服务器生成其公私钥对，标签的身份信息以及两个安全的哈希函数。其中服务器中保存了所有合法标签的身份列表。

服务器选择q，n两个大素数，两个哈希函数H₁与H₂，一个n阶生成元P；

服务器确定椭圆曲线E为y²＝x³+ax+b，其中椭圆曲线常数a,b∈Z_q，Z_q为长度为q的有限域；

服务器产生随机数作为其私钥，并计算其公钥P_S＝x_SP，生成其公私钥对(P_S,x_S)，为大素数n的整数模的乘法群；

服务器为每个标签选择身份信息X_T，X_T为0、1字符串，将身份信息X_T作为秘密值存储在服务器中，同时存储到对应标签的内存中；

(二)RFID相互认证协议：服务器向标签发送消息作为挑战。标签利用服务器的公钥，自己的身份信息通过简单乘法和异或运算计算出应答值，然后把应答值发送给服务器。服务器对应答值进行正确性验证。若验证通过，则说明标签是合法的，否则，说明标签是非法的。然后服务器利用自己的私钥通过简单乘法和加法运算计算出应答值，把应答值发送给标签。标签对应答值进行正确性验证。若验证通过，则说明服务器是合法的，否则，说明服务器是非法的。

1)服务器选择一个随机数计算挑战信息R₁＝r₁P发送给标签T_i；

2)标签T_i选择随机数计算中间数R₂＝r₂P，利用服务器公钥计算中间数TK_T＝r₂P_S，再将挑战信息R₁与中间数TK_T作为哈希函数H₁的输入，将标签身份信息X_T与哈希函数H₁的输出值进行异或得到结果Auth_T＝X_T⊕H₁(R₁,TK_T),最后把响应数据(Auth_T,R₂)返回给服务器；

3)服务器收到响应数据(Auth_T,R₂)后，首先利用服务器私钥与挑战信息R₁得到中间数TK_s＝x_SR₁，将本地生成的挑战信息R₁与中间数TK_s输入哈希函数H₁，将响应数据中的数据Auth_T与哈希函数H₁的输出值进行异或得到的结果作为标签身份信息X_T′，X_T′＝Auth_T⊕H₁(R₁,TK_s)，服务器在它自己的数据库中查找X_T′，若查找到标签身份信息X_T′，则视为合法标签，并将挑战信息R₁、标签身份信息X_T′、中间数R₂输入哈希函数H₂得到哈希函数值e＝H₂(R₁,X_T′,R₂)，再利用服务器私钥x_S与哈希函数值e相乘，得到响应值s≡x_Se+r₁modn，并将响应值s发送给标签T_i；

4)标签T_i收到响应值s后，首先将接收到的挑战信息R₁、本地的标签身份信息X_T、本地产生的中间数R₂输入哈希函数H₂得到哈希函数值e′＝H₂(R₁,X_T,R₂)，再验证sP≡e′P_S+R₁modn是否成立，若成立，则为合法的服务器，否则为非法服务器。

验证公式推导如下：sP≡(x_S e′+r₁modn)P＝(x_s e′P+r₁P)modn＝e′P_S+R₁modn

上述流程的伪代码如下表：

本发明保护了标签的隐私信息，并且实现了标签和服务器的相互认证，达到了一定的安全和隐私要求，其说明如下：

1)相互认证性：如果不知道标签的身份信息X_T，敌手则不能产生合法的消息(Auth_T,R₂)，其中Auth_T＝X_T⊕H₁(R₁,TK_T)，R₂＝r₂P，TK_T＝r₁P_s。服务器通过验证Auth_T的正确性可以认证标签。

如果不知道标签的身份信息X_T和服务器的私钥x_S，敌手不能产生合法的消息s，其中e＝H₂(R₁,X_T,R₂)，s≡x_Se+r₁modn。标签通过验证s的正确性可以认证标签。

所以，本协议可以实现相互认证性。

2)标签匿名性：标签的身份信息X_T包含在消息Auth_T＝X_T⊕H₁(R₁,TK_T)和e＝H₂(R₁,X_T,R₂)中，其中R₁＝r₁P，R₂＝r₂P，TK_T＝r₁P_S。敌手不能从Auth_T中得到标签的身份信息X_T因为它不知道随机数r₂。也不能从e中得到标签的身份信息X_T。所以本协议可以提供标签匿名性。

3)可用性：在协议执行的时候，标签的身份信息X_T得到很好的保护。所以协议执行完以后没有必要更新标签的身份信息X_T。所以本协议可以提供可用性。

4)前向安全性：假设敌手可以得到标签的身份信息X_T。但是，由于它不知道随机数r₁和r₂，所以它不能确定是哪个标签和服务器产生的消息R₁，(Auth_T,R₂)和s。敌手不能追踪到标签，所以本协议能提供前向安全性。

5)抗重放攻击：假设敌手拦截消息R₁并把它重放给标签。但是，当敌手收到消息(Auth_T,R₂)后，它不能产生签名s因为它不知道标签的身份信息X_T和服务器的私钥x_S，其中R₁＝r₁P，R₂＝r₂P，TK_T＝r₂P_S，Auth_T＝X_T⊕H₁(R₁,TK_T)，e＝H₂(R₁,X_T,R₂)，s≡x_Se+r₁modn。标签通过验证s的正确性能够发现重放攻击。

假设敌手拦截消息(Auth_T,R₂)并把它重放给服务器，其中R₂＝r₂P，TK_T＝r₂P_S，Auth_T＝X_T⊕H₁(R₁,TK_T)，R₁＝r₁P，TK_s＝x_SR₁，X_T＝Auth_T⊕H₁(R₁,TK_s)。因为每一次会话都会产生一个新的随机数r₁，所以服务器通过验证Auth_T的正确性能够发现重放攻击。

所以本协议可以抗重放攻击。

6)抗DoS攻击：在协议执行的时候，标签的身份信息X_T得到很好的保护。所以协议执行完以后没有必要更新标签的身份信息X_T。所以本协议可以抗DoS攻击。

7)抗伪装攻击：假设敌手伪装成标签欺骗服务器，在收到消息R₁后它必须产生合法的消息(Auth_T,R₂)，其中R₂＝r₂P，TK_T＝r₂P_S，Auth_T＝X_T⊕H₁(R₁,TK_T)。但是因为敌手不知道标签的身份信息X_T，所以敌手不能产生合法的消息Auth_T。所以本协议可以抗伪装攻击。

8)抗服务器钓鱼攻击:假设敌手伪装成服务器欺骗标签，它能够产生一个随机数r₁，计算R₁＝r₁P并且把R₁发送给标签。但是它不能产生合法的消息s因为它不知道标签的身份信息X_T和服务器的私钥x_S。所以，敌手不能伪装成服务器欺骗标签。所以本协议可以抗服务器钓鱼攻击。

Claims (1)

1.椭圆曲线上轻量级的RFID相互认证方法，其特征在于，包括以下步骤：

1)服务器预处理步骤：

服务器选择q，n两个大素数，两个哈希函数H₁与H₂，一个n阶生成元P；

服务器确定椭圆曲线E为y²＝x³+ax+b，其中椭圆曲线常数a,b∈Z_q，Z_q为长度为q的有限域；

服务器产生随机数作为其私钥，并计算其公钥P_S＝x_SP，生成其公私钥对(P_S,x_S)，为大素数n的整数模的乘法群；

服务器为每个标签选择身份信息X_T，X_T为0、1字符串，将身份信息X_T作为秘密值存储在服务器中，同时存储到对应标签的内存中；

2)相互认证步骤：

2-1)服务器选择一个随机数计算挑战信息R₁＝r₁P发送给标签T_i；

2-2)标签T_i选择随机数计算中间数R₂＝r₂P，利用服务器公钥计算中间数TK_T＝r₂P_S，再将挑战信息R₁与中间数TK_T作为哈希函数H₁的输入，将标签身份信息X_T与哈希函数H₁的输出值进行异或得到结果最后把响应数据(Auth_T,R₂)返回给服务器；

2-3)服务器收到响应数据(Auth_T,R₂)后，首先利用服务器私钥计算中间数TK_s＝x_SR₁，将本地生成的挑战信息R₁与中间数TK_s输入哈希函数H₁，将响应数据中的数据Auth_T与哈希函数H₁的输出值进行异或得到的结果作为标签身份信息X′_T，服务器在它自己的数据库中查找X′_T，若查找到标签身份信息X′_T，则视为合法标签，并将挑战信息R₁、标签身份信息X′_T、中间数R₂输入哈希函数H₂得到哈希函数值e＝H₂(R₁,X′_T,R₂)，再利用服务器私钥x_S与哈希函数值e相乘，得到响应值s≡s_Re+r₁modn，并将响应值s发送给标签T_i；

2-4)标签T_i收到响应值s后，首先将接收到的挑战信息R₁、本地的标签身份信息X_T、本地产生的中间数R₂输入哈希函数H₂得到哈希函数值e′＝H₂(R₁,X_T,R₂)，再验证sP≡e′P_S+R₁modn是否成立，若成立，则为合法的服务器，否则为非法服务器。