CN104618340B

CN104618340B - 一种rfid所有权转移方法

Info

Publication number: CN104618340B
Application number: CN201410856462.3A
Authority: CN
Inventors: 杨育斌; 沈金伟; 柯宗贵
Original assignee: Bluedon Information Security Technologies Co Ltd
Current assignee: Bluedon Information Security Technologies Co Ltd
Priority date: 2014-12-31
Filing date: 2014-12-31
Publication date: 2018-04-27
Anticipated expiration: 2034-12-31
Also published as: CN104618340A

Abstract

本发明公开了一种RFID所有权转移方法，该方法包括：阅读器端认证标签子协议、数据转移子协议、标签端认证数据库子协议。本发明方法通过在标签端保存动态随机数，使标签不需要伪随机数发生器硬件，减少了标签端的硬件电路，降低了标签的成本；同时，协议采用基于SQUASH的Rabin加密方法，增强了消息的安全强度，提高了协议的安全性；而且，协议在后台保留每一任标签所有者的数据，这样协议就可以满足实际环境中的追查需求。

Description

一种RFID所有权转移方法

技术领域

本发明涉及信息安全技术领域，尤其涉及一种RFID所有权转移方法。

背景技术

RFID(Radio Frequency Identification，射频识别)技术是在RFID感应场环境中利用射频信号自动识别对象并获取感应对象信息的技术，具有非接触、快速准确读写、寿命长等特点。商品在流通过程中，生产者将RFID标签嵌入商品，经过批发商、零售商等等中间商户转手，最后到消费者手中；在这期间，经过了多次RFID标签所有权转移过程。如果某一用户得到商品，他就获得了商品的所有权，用户必须得到商品RFID标签的信息，才能拥有标签的完全控制权，这就涉及到RFID标签的所有权转换问题，即标签的上一任所有者需要把标签信息安全的告知给标签的下一任所有者，让标签的新所有者获得标签的信息内容和标签的后续使用权；在所有权转移成功之后，标签的上一任所有者就失去了标签的控制权，标签新所有者也无权访问旧所有者的信息；同时，所有权转移协议也要满足RFID系统的其他安全性和隐私性需求。

在RFID标签的所有权转移过程中必须满足以下安全与隐私要求：(1)所有权转移后，原所有者失去标签的控制权；(2)新所有者所有权转移成功后，不能访问原标签所有者的数据；(3)所有权转移协议可以抵抗代数攻击、拒绝服务攻击等常见攻击方式。

2011年，金永明等人提出了一个轻量级所有权转移协议(LOTP)，协议的具体执行过程如图1所示，具体为：

Step1:读写器向标签发送请求消息。

Step2:标签产生随机数r_T,计算M₁＝t_i⊕r_T,Temp＝r_T ²mod(n),M₂＝[Temp]_t，然后发送消息(M₁||M₂),通过阅读器和新所有者数据库DB_i转发给原所有者数据库DB_j。

Step3:数据库DB_j端按照公式计算N’，如果N＝N’等式成立，则后台验证标签身份通过，DB_j将(s_i,t_i)||U_i通过安全信道发送给DB_i；同时更新数据u_i＝s_i,v_i＝t_i,s_i＝Sing_A,t_i＝Sing_B。

Step4:数据库DB_i产生一个伪随机数S_i’,按照图中所示，依次计算t_i’、r_T、M₃、M₄，将消息M₃||M₄通不过阅读器转发给标签。

Step5:标签验证数据成功后，更新t_i＝t_i’。

但是该方法存在如下不足：

1.协议在标签端使用hash函数加密，而且需要产生随机数，这些功能需要标签集成相关的硬件电路，增加了标签的成本；在同等条件下，完成hash函数的时间开销远远大于逻辑运算，又延长了协议的认证时间。

2.协议中的原所有者数据库DB_j在完成所有权转移之后，为了防止协议搜索该数据库，强制更新了数据库中数据，但是标签端却没有记录该数据，导致标签端没有办法通过数据库认证，协议执行失败；即该数据库的数据不能提取出来。

3.该协议在抵抗拒绝服务攻击以及抵抗标签端重放攻击方面有缺陷。

2014年，胡德新等人在分析LOTP协议的基础上，提出了一种所有权转移方案，协议的具体执行过程如图2所示，具体为：

Step1:读写器发送所有权转移请求给标签；

Step2:标签计算t_i-1＝hⁱ(k),t_i＝hⁱ(k),M₁＝t_i⊕t_i-1⊕ID_old,M₂＝h(t_i||ID_old)，更新数据i＝i+1；发送消息M₁||M₂；经过阅读器和数据库DB_i的转发，最终达到数据库DB_j；

Step3:数据库DB_j验证标签通过之后，刷新数据ID_old＝ID，t_i＝t_i-1；并通过安全信道将U_i和t_i转发给DB_i；发送所有权转移信号；

Step4:数据库DB_i收到信号之后，计算M₃＝M₁⊕t_i,M₄＝s_i⊕(t_i>>1/2),M₅＝ID_new⊕(S_i>>1/4)；将消息M₃||M₄||M₅经过阅读器转发给标签；

Step5:标签验证新数据库身份，通过之后，计算M₆＝h^i’+1(k’)；M₆＝t_i’⊕(s_i>>1/2)；发送消息M₆；

Step6:数据库DB_i从消息M₆中取出数据t_i’，更新t_i＝t_i’；并发送response；

Step7:标签收到response消息后，更新数据k＝k’,i＝i’,ID_old＝ID_new.

但是该方法存在如下不足：

1.协议在标签端使用hash函数加密，而且需要产生随机数，这些功能需要标签集成相关的硬件电路，增加了标签的成本；在同等条件下，完成hash函数的时间开销远远大于逻辑运算，又延迟了协议的认证时间。

3.协议存在难以抵抗代数攻击和拒绝服务攻击的缺陷，配合重放攻击等攻击方式，协议在后向隐私方面也有安全缺陷。

发明内容

本发明的目的是为了克服现有技术的缺陷，提供一种RFID所有权转移方法，通过该方法增强了消息的安全强度，提高了协议的安全性。

本发明所述的一种RFID所有权转移方法，该方法包括：阅读器端认证标签子协议、数据转移子协议、标签端认证数据库子协议；其中：

阅读器端认证标签子协议：

第一步：读写器产生伪随机数N_R，并在感应范围内发送request||N_R消息给标签；

第二步：标签收到阅读器的消息后，计算N_T＝N_x，M₁＝(t_i ²>>N_R)⊕N_T，M₂＝[N_T ²mod(N)]_t；Nx’＝MITBITS(N_T+N_R)，并刷新数据N_x＝N_x’；返回消息IDS||M₁||M₂，其中MITBITS(x,y)函数表示使用线性函数产生一个伪随机数；

第三步：阅读器收到消息之后，做如下操作：

s1：在数据库中查找IDS＝IDS_new；如果查找成功，计算N_T’＝M₁⊕(t_i ²>>N_R)，M₂’＝[(N_T’)²mod(N)]_t，验证M₂’＝M₂是否成立；若等式成立，则阅读器验证标签成功；如果等式不成立，表示验证标签身份失败，所有权转移过程终止；

s2：在数据库中查找IDS＝IDS_old；如果查找成功之后，表示标签上一次所有权转移没有成功，接着验证标签的身份，验证过程如步骤s1中所述；

s3：如果上述查找均失败，表示阅读器验证标签身份不成功，所有权转移过程终止；

数据转移子协议：

第四步：如果IDS＝IDS_new，后台数据库DB_i将flags设置为0，开始所有权转移过程，即：数据库DB_i发送所有权转移信号给数据库DB_j，DB_j收到信号之后，将当前的(IDS,s_i,t_i)||U的值写入DB_j数据库，并产生随机数R＝{0,1}^l，计算s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N)，IDS_new＝IDS⊕s_i ^new⊕N_T’，flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；计算M₃＝t_i ^new⊕(N_T>>l/2)，M₄＝s_i ^new>>(N_T ²+N_R ²)，M₅＝((S_i ^new)²+N_T ²)mod(N)，然后DB_j发送消息M₃||M₄||M₅给读写器，再转发给标签；

第五步：如果IDS＝IDS_old，后台数据库DB_i首先进行一次数据刷新，该过程如下：产生随机数R＝{0,1}^l，计算s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N)，IDS_new＝IDS⊕s_i ^new⊕N_T’，flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；

计算M₃＝t_i ^new⊕(N_T>>l/2)，M₄＝s_i ^new>>(N_T ²+N_R ²)，M₅＝(S_i ^new2+N_T ²)mod(N)，然后DB_j发送消M₃||M₄||M₅给读写器，再转发给标签，并跳转至第一步执行；

标签认证数据库子协议：

第六步：标签接收到消息之后，首先计算

S_i ^new’＝M₄<<(N_T ²+N_R ²)；t_i ^new’＝M₃⊕(N_T>>l/2)；M₅’＝((S_i ^new’)²+N_T ²)mod(N)；

验证t_i ^new’＝((s_i ^new’)²)mod(N)；M₅’＝M₅是否成立；若等式成立，表示标签验证阅读器成功，开始更新标签信息：t_i＝t_i’；IDS＝IDS⊕s_i ^new⊕N_T’；若等式不成立，表示标签验证阅读器失败，所有权转移过程结束。

本发明技术方案带来的有益效果：

(1)通信过程简单。对比现有的RFID标签所有权转移协议，本发明方法中阅读器端和标签端之间仅需3次通信就可以完成协议过程，且不依赖可信第三方，降低了协议复杂度。

(2)满足低成本RFID标签端的需求。本发明方法中标签端不需要随机数发生器硬件，也不需要hash函数硬件，硬件上只需要满足逻辑运算功能就可以完成本发明方法，减少了标签上门电路数目，降低了标签成本。

(3)可以追查标签的旧所有者信息。本发明方法中数据库端使用flags标志，对已经发生所有权转移的数据库进行屏蔽，从而减少了搜索的数目，提高了搜索的效率；而且旧所有者的数据库保留最后一次的使用数据，RFID标签的旧所有者就可以用这个数据查询自己的数据库。

(4)有一定的安全保障。本发明方法采用基于SQUASH的Rabin加密方法，提高了代数攻击的难度，而且阅读器端和标签端每一次所有权转移过程中的通信消息都不一样，杜绝了重放攻击的可能性，一定程度上可以抵抗常见的RFID攻击。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是现有技术一的方法执行流程图；

图2是现有技术二的方法执行流程图；

图3是本发明的方法流程图；

图4是本发明的实施流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

鉴于上述现有协议存在的问题，本发明的目的是提供一种安全、低成本、可追查标签所有者的RFID标签所有权转移方法。本发明方法采用基于SQUASH的Rabin加密方法，保证了协议的安全性；本发明方法的标签端没有伪随机数发生器硬件和hash函数硬件，降低了标签端的硬件成本；而且标签端使用逻辑运算完成了协议的全部过程，表明本发明方法属于超轻量级协议；本发明方案的旧所有者数据库在所有权转移完成后锁住转移标志flags，不需要强制刷新数据库数据，保证了标签端的旧所有者可以查询自己的数据库。如图3所示为执行流程图，本发明方法的具体过程如下：

在介绍该方法前先介绍一下本发明中用到的缩略语和关键术语的定义：

T/R：标签/读写器。

DB_i/DB_j：旧所有者/新所有者的后端服务器数据库。

IDS：标签端保存的ID匿名数据。

IDS_old/IDS_new：上一次认证过程/新认证过程中标签端保存的ID匿名数据。

request：读写器对标签的挑战询问。

s_i：分配给T的比特串。

t_i：标签T的标识符，t_i＝s_i ²mod(N)，N表示梅森数。

u_i/v_i：分配给旧所有者的标签比特串和标识符，v_i＝u_i ²mod(N)。

u_i ^old/v_i ^old：上一次认证过程中分配给标签的比特串和标识符，v_i ^old＝(u_i ^old)²mod(N)。

s_i ^new/t_i ^new：分配给新所有者的标签比特串和标识符，s_i ^new＝(t_i ^new)²mod(N)。

flags:数据库保存的标签所有权转移标识，其值为0表示该标签正在转移所有权，所有权转移标识被锁定；其值为1表示该标签所有权转移动作准备就绪，所有权转移标识处于解锁状态。

N_x：标签端保存的动态数据。

N_x’、N_T：标签端保存的临时数据。

N_R：阅读器端生成的伪随机数。

M_i：表示认证过程中产生的计算结果，i＝1、2、3、4、5。

U：标签的详细信息。

⊕：二进制异或运算符。

X²：表示x的平方运算。

[X]_t：取x的t个比特位。

x>>y/x<<y：将x循环左或右移位比特串y的汉明重量位。

{0,1}^l：长度为l的伪随机数，该随机数的每一位随机的取0或者1。

SIGNAL：所有权转移信号，该信号在安全信号传输；收到信号的数据库开始所有权转移。

MITBITS(x,y)函数表示使用线性函数产生一个伪随机数，x、y分别是函数的入口参数。

协议的初始化：在协议的初始状态中，后端D_i数据库保存数据(IDS,s_i,t_i)||(IDS_old,s_i ^old,t_i ^old)||flags||U，标签保存数据t_i||IDS||N_x||flags，假设原所有者数据库与新所有者数据库之间的通信信道、数据库与读写器之间的通信信道均是安全可信的，而读写器与标签之间的通信信道是不安全的。

Step1：读写器产生伪随机数N_R，并发送request||N_R消息给标签。

Step2：标签收到阅读器的请求消息后，计算N_T＝N_x，M₁＝(t_i ²>>N_R)⊕N_T，M₂＝[N_T ²mod(N)]_t；Nx’＝MITBITS(N_T+N_R)，刷新数据N_x＝N_x’；返回消息IDS||M₁||M₂，其中MITBITS(x,y)函数表示使用线性函数产生一个伪随机数。

Step3：阅读器收到消息之后，做如下操作：

(1)在数据库中查找IDS＝IDS_new；如果查找成功，计算N_T’＝M₁⊕(t_i ²>>N_R)，M₂’＝[(N_T’)²mod(N)]_t，验证M₂’＝M₂是否成立；若等式成立，则阅读器验证标签成功，将flags设置为0，后台数据库开始所有权转移过程，即：数据库DB_i发送所有权转移信号给数据库DB_j，DB_j收到信号之后，将当前的(IDS,s_i,t_i)||U的值写入DB_j数据库，并产生随机数R＝{0,1}^l，计算s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N),IDS_new＝IDS⊕s_i ^new⊕N_T’,flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；计算M₃＝t_i ^new⊕(N_T>>l/2),M₄＝s_i ^new>>(N_T ²+N_R ²),M₅＝((S_i ^new)²+N_T ²)mod(N)。然后DB_j发送消息M₃||M₄||M₅给读写器，再转发给标签。如果等式不成立，表示验证标签身份失败，所有权转移过程终止。

(2)在数据库中查找IDS＝IDS_old；如果查找成功之后，表示标签上一次所有权转移没有成功，接着验证标签的身份，验证过程如步骤(1)中所述；如果验证成功，首先进行一次数据刷新，该过程如下：产生随机数R＝{0,1}^l，计算s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N),IDS_new＝IDS⊕s_i ^new⊕N_T’,flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；计算M₃＝t_i ^new⊕(N_T>>l/2),M₄＝s_i ^new>>(N_T ²+N_R ²),M₅＝((S_i ^new)²+N_T ²)mod(N)。然后DB_j发送消息M₃||M₄||M₅给读写器，再转发给标签。

(3)如果上述查找均失败，表示阅读器验证标签身份不成功，所有权转移过程终止。

Step4：标签接收到消息之后首先计算

本发明所述的一种RFID所有权转移方法的实施流程如图4所示。

本发明方法的实现需要4个角色，具体为：RFID标签：储存商品信息的低成本RFID标签，标签上镶嵌逻辑门电路构成的芯片，该芯片具备轻量级的运算能力和少量数据存储能力；阅读器：能够对RFID标签进程读写的硬件设备，该设备可以产生伪随机数，并转发消息；旧所有者：RFID标签所有权转移前的标签所有者；新所有者：RFID标签所有权转移后的标签所有者。

本发明方法中假设的RFID系统设备能力：标签端具有逻辑运算能力，由5000-10000个逻辑门电路组成，有几百个存储位；阅读器端可以产生伪随机数，并转发消息；数据库端可以产生伪随机数，并具有多项式时间内的运算能力。

具体来说，本发明所述的方法由身份认证子协议和数据转移子协议来实现的，身份认证子协议又包括阅读器端认证标签子协议和标签端认证数据库子协议。具体为：

阅读器端认证标签子协议：

第一步：读写器产生伪随机数N_R,并在感应范围内发送request||N_R消息给标签。

第二步：标签收到阅读器的消息后，计算N_T＝N_x，M₁＝(t_i ²>>N_R)⊕N_T，M₂＝[N_T ²mod(N)]_t；N_x’＝MITBITS(N_T+N_R)，并刷新数据N_x＝N_x’；返回消息IDS||M₁||M₂，其中MITBITS(x,y)函数表示使用线性函数产生一个伪随机数。

第三步：阅读器收到消息之后，做如下操作：

(1)在数据库中查找IDS＝IDS_new；如果查找成功，计算N_T’＝M₁⊕(t_i ²>>N_R)，M₂’＝[(N_T’)²mod(N)]_t,验证M₂’＝M₂是否成立；若等式成立，则阅读器验证标签成功。如果等式不成立，表示验证标签身份失败，所有权转移过程终止。

(2)在数据库中查找IDS＝IDS_old；如果查找成功之后，表示标签上一次所有权转移没有成功，接着验证标签的身份，验证过程如步骤(1)中所述。

至此，阅读器端认证标签子协议执行完成，协议执行的结果为：阅读器认证标签通过，协议进入数据移子协议，或者阅读器认证标签不通过，协议终止。

数据转移子协议：

第四步：如果IDS＝IDS_new，后台数据库DB_i将flags设置为0，开始所有权转移过程，即：数据库DB_i发送所有权转移信号给数据库DB_j，DB_j收到信号之后，将当前的(IDS,s_i,t_i)||U的值写入DB_j数据库，并产生随机数R＝{0,1}^l，计算

s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N),IDS_new＝IDS⊕s_i ^new⊕N_T’,flags＝1；

将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；计算M₃＝t_i ^new⊕(N_T>>l/2),M₄＝s_i ^new>>(N_T ²+N_R ²),M₅＝((S_i ^new)²+N_T ²)mod(N)。然后DB_j发送消息M₃||M₄||M₅给读写器，再转发给标签。

第五步：如果IDS＝IDS_old，后台数据库DB_i首先进行一次数据刷新，该过程如下：产生随机数R＝{0,1}^l，计算s_i ^new＝R，t_i ^new＝(s_i ^new)²mod(N)，IDS_new＝IDS⊕s_i ^new⊕N_T’，flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；计算M₃＝t_i ^new⊕(N_T>>l/2),M₄＝s_i ^new>>(N_T ²+N_R ²),M₅＝((S_i ^new)²+N_T ²)mod(N)。然后DB_j发送消息M₃||M₄||M₅给读写器，再转发给标签，并跳转至第一步执行。

至此，数据移子协议结束，协议的执行结果为：如果查找IDS的数据为最新的数据库记录，则旧所有者的后台数据库DB_i中的数据转移至新所有者数据库DB_j中，并开始标签认证数据库子协议；如果查找IDS的数据不是最新的数据库记录，则数据库DB_i首先更新一次和标签交换消息，同步标签和数据库中数据，并重新开始所有权转移过程。

标签认证数据库子协议：

第六步：标签接收到消息之后，首先计算

至此，标签认证数据库子协议结束，协议的执行结果为：标签和新所有者数据库DB_j中的数据同步。

RFID标签所有权转移协议完成。协议的执行结果为：标签中的数据转移到新所有者的数据库中，旧所有者可以使用拥有的数据访问自己的数据库，但是不能访问新所有者的数据库；新所有者拥有标签的使用权，但是只能访问自己的数据库，不能访问旧所有者的数据库；表明RFID标签所有权转移成功。

本文提出的改进的超轻量级RFID协议的安全性分析如下：

(1)抗重放攻击：本文协议中的标签和阅读器具有双向认证的功能。标签用数据N_x代替伪随机数加密消息，并将消息发送给阅读器验证标签身份；在协议中，一旦N_x被标签使用一次后，都会刷新数据；假设攻击者重放上次认证过程中的消息，此时阅读器验证M₂’＝M2不成功，协议终止，攻击失败。

(2)抗拒绝服务攻击：假设初始状态两端的IDS数据情况如下：

Reader：(IDS,s_i,t_i)，(IDS_old,u_i ^old,v_i ^old)；

Tag：(IDS,t_i,N_x,flags)；

攻击者对本文协议发起拒绝服务攻击，过程如下：

第1轮通信：攻击者窃听通信过程，记录消息(IDS||M₁||M₂||M₃||M₄||M₅)，并截获消息(M₃||M₄||M₅)，此时读写器已经更新数据，标签因为没有收到消息，不更新除N_x外的其他数据。因此读写器和标签两端数据如下：

Reader：(IDS_new,s_i ^new,t_i ^new)，(IDS,s_i,t_i)；

Tag：(IDS,t_i,N_x+1)；

第2轮通信：阅读器与标签正常通信，由于阅读器已经锁死旧所有者的数据库，标签在新所有者的数据库中认证，发现IDS＝IDS^old，说明上次所有权转移过程不成功，阅读器端和标签端重新发送消息，刷新保存的数据；该过程完成后，两端的数据情况如下：

Reader：(IDS_new+1,s_i+1 ^new,t_i+1 ^new)，(IDS,s_i,t_i)；

Tag：(IDS_new+1,t_i+1,N_x+2)；

此时阅读器端和标签端已经保持同步了，协议可以正常运行，攻击失败。

(3)抗代数攻击：本文的协议采用的是基于SQUASH的Rabin加密方法；且消息中的数据时动态更新的；有效的保证了协议的安全性。攻击者使用代数攻击的方式来攻击本文协议，首先需要证明Rabin加密方案存在漏洞，否则代数攻击是无效的。

以上对本发明实施例所提供的一种RFID所有权转移方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims

1.一种RFID所有权转移方法，其特征在于，该方法包括：阅读器端认证标签子协议、数据转移子协议、标签端认证数据库子协议；其中：

阅读器端认证标签子协议：

第一步：读写器产生伪随机数N_R，并在感应范围内发送request||N_R消息给标签；其中消息request||N_R表示读写器对标签的挑战询问中附带N_R数据。

第二步：标签收到阅读器的消息后，计算N_T＝N_x，M₁＝(t_i ²>>N_R)⊕N_T，M₂＝[N_T ²mod(N)]_t；N_x ^’＝MITBITS(N_T+N_R)，并刷新数据N_x＝N_x ^’；返回消息IDS||M₁||M₂，其中MITBITS(x,y)函数表示使用线性函数产生一个伪随机数，x、y分别表示函数的输入变量；变量t_i表示标签T的标识符，其值为t_i＝s_i ²mod(N)，N表示梅森数；s_i表示分配给T的比特串；符号[X]_t表示取X的前t个比特位；消息IDS||M₁||M₂表示将变量IDS、M₁、M₂放入一条消息中；标识符N_x表示标签端保存的动态数据。

第三步：阅读器收到消息之后，做如下操作：

s1：在数据库中查找IDS＝IDS_new；如果查找成功，计算N_T ^’＝M₁⊕(t_i ²>>N_R)，M₂ ^’＝[(N_T’)²mod(N)]_t，验证M₂’＝M₂是否成立；若等式成立，则阅读器验证标签成功；如果等式不成立，表示验证标签身份失败，所有权转移过程终止；其中IDS_new分别表示该RFID系统新一次认证过程中标签端保存的ID匿名数据标识。

s2：在数据库中查找IDS＝IDS_old；如果查找成功之后，表示标签上一次所有权转移没有成功，接着验证标签的身份，验证过程如步骤s1中所述；其中IDS_old分别表示该RFID系统上一次认证过程中标签端保存的ID匿名数据标识。

数据转移子协议：

第四步：如果IDS＝IDS_new，后台数据库DB_i将flags设置为0，开始所有权转移过程，即：数据库DB_i发送所有权转移信号给数据库DB_j，DB_j收到信号之后，将当前的(IDS,s_i,t_i)||U的值写入DB_j数据库，并产生随机数R＝{0,1}^l，计算s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N)，IDS_new＝IDS⊕s_i ^new⊕N_T ^’，flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；计算M₃＝t_i ^new⊕(N_T>>1/2)，M₄＝s_i ^new>>(N_T ²+N_R ²)，M₅＝(S_i ^new2+N_T ²)mod(N)，然后DB_j发送消息M₃||M₄||M₅给读写器，再转发给标签；其中flags表示数据库保存的标签所有权转移标识，其值为0表示该标签正在进行转移所有权，其值为1表示该标签的所有权转移动作已准备就绪；(IDS,s_i,t_i)||U表示某个标签的对应数据IDS、s_i、t_i、U信息，U表示该标签的私有信息；{0,1}^l表示长度为l的伪随机数，该随机数的每一位随机的取0或者1；l表示变量的二进制数值位数。

第五步：如果IDS＝IDS_old，后台数据库DB_i首先进行一次数据刷新，该过程如下：产生随机数R＝{0,1}^l，计算s_i ^new＝R,t_i ^new＝(s_i ^new)²mod(N)，IDS_new＝IDS⊕s_i ^new⊕N_T ^’，flags＝1；将IDS_new||s_i ^new||t_i ^new||U||flags写入DB_j中；

标签认证数据库子协议：

第六步：标签接收到消息之后，首先计算

S_i ^new’＝M₄<<(N_T ²+N_R ²)；t_i ^new’＝M₃⊕(N_T>>l/2)；M₅ ^’＝((S_i ^new’)²+N_T ²)mod(N)；

验证t_i ^new’＝((s_i ^new’)²)mod(N)；M₅ ^’＝M₅是否成立；若等式成立，表示标签验证阅读器成功，开始更新标签信息：t_i＝t_i ^’；IDS＝IDS⊕s_i ^new⊕N_T ^’；若等式不成立，表示标签验证阅读器失败，所有权转移过程结束。

2.根据权利要求1所述的方法，其特征在于，所述方法中在具体实施时需要有RFID标签，储存商品信息的低成本RFID标签，标签上镶嵌逻辑门电路构成的芯片，该芯片具备轻量级的运算能力和少量数据存储能力；阅读器，能够对RFID标签进程读写的硬件设备，该设备可以产生伪随机数，并转发消息；旧所有者，RFID标签所有权转移前的标签所有者；新所有者，RFID标签所有权转移后的标签所有者。

3.根据权利要求1或2所述的方法，其特征在于，标签端具有逻辑运算能力，由5000到10000个逻辑门电路组成，并有存储位；阅读器端能够产生伪随机数，并转发消息；数据库端能够产生伪随机数，并具有多项式时间内的运算能力。

4.根据权利要求1所述的方法，其特征在于，该方法采用基于SQUASH的Rabin加密方法。