CN104683108A - 撤销一卡多用射频识别标签应用的安全认证方法 - Google Patents

Abstract

本发明公开了一种撤销一卡多用射频识别标签应用的安全认证方法，主要解决现有技术不能解决的一卡多用场景中的应用撤销问题。其实现步骤为：1.射频识别网络的阅读器向第i个标签发起会话请求；2.第i个标签生成相关认证信息并发送给阅读器；3.阅读器将收到的认证信息全部转发给服务器；4.服务器对标签身份进行验证，依据验证结果终止本次会话或完成撤销操作并生成返回认证信息发送至阅读器；5.阅读器将收到的认证信息转发给第i个标签；6.第i个标签基于收到的返回认证信息对服务器身份进行验证，确认应用是否已被成功撤销。本发明具有高安全、能撤销应用，且保证标签完全匿名的优点，用于“一卡多用”这一重要的射频识别应用场景。

Description

撤销一卡多用射频识别标签应用的安全认证方法

技术领域

本发明属于通信技术领域，特别是一种针对“一卡多用”射频识别应用场景中撤销其标签应用的安全认证方法，可用于涉及数字信息的传输。

背景技术

射频识别RFID作为一种自动识别和数据捕获技术，是互联网的核心技术之一，被列为二十一世纪最重要的十大技术之一。与传统的二维码、条码、磁卡以及IC卡等相比，RFID具有无需接触，可以实现批量读取、远程读取，使用寿命长，操作方便快捷等诸多优点。所以目前已经被广泛应用于许多领域，例如医疗、公路收费系统、物联网、电子商务和智能电网等领域。

然而在RFID技术得到快速发展和广泛应用的同时，由其带来的安全与隐私问题也越来越引起人们的关注。为了很好的解决这类问题，设计一种可靠的安全认证机制是一种切实有效的方法。迄今为止，国内外学者已经相继提出了许多种不同的RFID安全认证协议，比如Hash-lock协议、随机Hash-lock协议、Hash-chain协议、基于散列运算的ID变化协议、David的数字图书馆协议、分布式挑战应答认证协议和LCAP协议等。但这些协议都只能抵抗部分攻击，并不能达到抵抗大多数攻击的高安全级别，且以上这些认证方法均没有考虑到效率问题。同时又考虑到低成本RFID标签自身所具有的局限性，例如有限的存储空间和计算能力、能量及成本限制等，使得传统的一些比较成熟的加密算法和认证机制并不能很好的直接应用于RFID系统中，这就进一步增加了设计认证协议的难度。由于Hash函数具有简单快速等诸多优点，所以近几年对基于Hash函数的RFID安全认证方案的研究已经成为RFID研究领域的热点。

此外，伴随着RFID技术在各领域的广泛应用，人们希望能将越来越多的应用集成到同一个RFID标签中，即能方便的实现“一卡多用”。比如，在一个公司内部，同一张卡可用于门禁、出勤考察、工资结算、就餐和请假/销假等。在校园内，同一张卡可用于校园购物、就餐、医疗服务、门禁、图书馆借/还书等。但如果在一段时间后不再想使用某一种应用，比如使校园卡不再具有校园购物的功能，就需要在对应服务器端及时的撤销该应用，释放其相对应空间，使标签中该应用失效。

但是到目前为止，国内外在RFID认证方法中对于可撤销问题的研究非常少，近期仅有可撤销的RFID安全认证协议RSEL涉及到该问题。其具体思路是在后端数据管理系统中存储每个标签的有效期，并设置其有效期与标签身份的对应列表，仅当某标签有效期失效后才视为被撤销。该方法是针对“一卡一用”场景的处理方法，并不能有效运用于“一卡多用”的环境中。且RSEL协议本身还存在一个安全漏洞，即只能提供一定程度上的匿名性。因为恶意攻击者可以通过拦截正常会话过程中阅读器所发送的最后一条消息，使得标签端的密钥得不到更新。这样攻击者就可假冒合法阅读器连续多次质询同一标签，然后通过观察标签每次响应消息中的密钥值实现对标签的跟踪定位。这就需要设计出一种强匿名、低开销的撤销机制，在保障正常安全认证的同时，完成“一卡多用”射频识别应用场景中对某一种应用的安全撤销。

发明内容

本发明的目的在于针对上述已有技术所存在的问题，提出一种撤销一卡多用射频识别标签应用的安全认证方法，以抵御各种常见安全性攻击，方便的实现对集成有多种应用的标签中的某一种应用的安全撤销，有效保障RFID系统的安全，满足“一卡多用”应用场景下的特殊需求。

实现本发明目的的技术方案是：采用一种典型的询问应答机制，使用了Hash函数和一个随机数生成模块，其实现步骤包括如下：

1.一种撤销一卡多用射频识别标签应用的安全认证方法，包括以下步骤：

(1)射频识别网络的阅读器首先产生第一随机数r₁，并将该第一随机数r₁和认证请求q一起发送给射频识别网络的第i个标签，用以开始一轮新会话；

(2)第i个标签收到认证请求q后产生第二随机数r₂，并根据其自身的身份标识ID_i、私有密钥K_i,j以及收到的第一随机数r₁，分别计算出第一哈希认证信息值：M₁＝H(ID_i||r₁||r₂)和第二哈希认证信息值：M₂＝H(K_i,j||r₁||r₂)，其中K_i,j为第i个标签中第j个应用设定的私有密钥值；

(3)第i个标签针对是否需要撤销第j种应用，产生当前状态标志信息值E，并计算出异或认证信息值：F＝E⊕K_i,j，其中E为合法标签和服务器事先秘密约定好的一个长度为L的状态比特串，其有两种表示值，E＝str1，则为撤销该应用；E＝str2，则为不撤销该应用，只进行正常认证；

(4)第i个标签将其自身所在的组索引IDS、第二随机数r₂、第一哈希认证信息值M₁、第二哈希认证信息值M₂和异或认证信息值F一起发送给相应阅读器；

(5)射频识别网络的阅读器收到标签所在组索引IDS、第二随机数r₂、第一哈希认证信息值M₁、第二哈希认证信息值M₂和异或认证信息值F后，立即将这些数据全部转发给相应的服务器；

(6)射频识别网络的服务器根据接收到的标签所在组索引IDS，首先确定该标签所在的群组，然后在该群组中遍历查找满足H'(ID_i||r₁||r₂)＝M₁的标签记录，若查到满足条件的消息记录，即认为标签身份合法，并获得标签的身份标识ID_i；

(7)射频识别网络的服务器依据已获得的标签身份标识ID_i，在该标签可支持的应用记录中遍历查找满足H'(K_i,j||r₁||r₂)＝M₂的曾用密钥值或当前密钥值若查到，则依据查找到的密钥值K_i,j以及接收到的异或认证信息值F，得到对比状态标志信息值：E'＝F⊕K_i,j；

(8)判断对比状态标志信息值，若E'＝str1，则服务器将在这个标签可支持的应用记录中删除这条应用记录，并根据步骤(7)中查找到的密钥值K_i,j计算第三哈希认证信息值：M₃＝H(ID_i||K_i,j||r₁||r₂)，最后将其发送至相应的阅读器；

(9)射频识别网络的阅读器将第三哈希认证信息值M₃转发给第i个标签；

(10)第i个标签接收到第三认证信息值M₃后，利用其自身值计算出第三对比认证信息值：M'₃＝H(ID_i||K_i,j||r₁||r₂)，将其与接收到的M₃进行比较，若两值相等，则认为服务器身份合法，执行步骤(11)；反之，则认为服务器身份不合法，终止本次会话；

(11)判断第i个标签在步骤(3)中生成的当前状态标志信息值E，若E＝str1，表明该应用已被成功撤销，反之，表示本次会话不进行应用撤销，仅完成正常的认证过程。

本发明与现有方法相比具有如下优点：

1.本发明由于采用了双向认证的方式对标签和服务器均进行认证，保证了通信双方身份信息的真实同一性。

2.本发明由于在认证过程中均使用Hash函数或者私有密钥信息对传递的信息进行Hash或加密处理，使得即使攻击者通过窃听或截获等手段获得了这些数据，仍不能得到任何有用信息，提高了机密性。

3.本发明由于标签对阅读器的每次质询所作出的响应均不同，使得攻击者并不能够成功地追踪到某个特定标签。此外，即使攻击者可以获得群组的索引号，并通过某种办法得知其对应的群组，但由于群组中包含有多个标签，使得攻击者无法精确定位至具体的某一个标签，可实现标签的完全匿名性。

4.本发明中由于攻击者不能获得合法标签的私密信息，如自身身份标识ID、应用的私有密钥值等，亦不能获得合法标签与服务器事先秘密约定好的当前状态标志信息E，使得攻击者不能构造出正确的消息认证信息值来假冒合法标签以通过服务器的合法性身份认证；同理，攻击者也不能够成功构造出正确的消息认证信息值来假冒合法服务器以通过标签的合法性身份认证，能有效抵御假冒攻击的行为。

5.本发明由于每次会话过程中交互的信息均为随机数的函数值，而这些随机数在每次会话过程中独立产生，保证了每次会话过程交互的数据与之前的均无直接关联，使得攻击者不能通过重传之前会话过程中的合法通信数据来通过合法性身份认证，提高了有效抵御重放攻击的能力。

6.本发明由于通过删除服务器端的相应应用记录来实现撤销应用的功能，使得某应用一旦被成功撤销，即使攻击者通过某种手段获得了与该应用相关的秘密信息，但由于服务器端无相应记录而不能通过服务器端的合法性身份认证，使得在提供可撤销性的同时也提高了安全性。

附图说明

图1为现有射频识别系统的模型图；

图2为本发明的实现过程图。

以下结合附图对本发明的具体实施方式做详细描述：

具体实施方式

参照图1，本发明使用的射频识别RFID系统，主要由标签、阅读器和服务器组成。其中：

标签：主要由耦合元件以及芯片两部分组成，每个标签都具有一个唯一的电子编码，被附着在物体表面用以识别目标物体，该标签是RFID系统中真正的数据载体，其通过无线射频信号与阅读器进行通信。

阅读器：是读取或者写入标签信息的设备，通过有线通信网络与服务器进行数据通信，以完成对标签中数据的各项操作。

服务器：主要用来对标签进行读写控制，其存储射频识别系统中全部标签的相关记录信息。

参照图2，本发明的实施步骤如下：

步骤1，设定射频识别系统的初始条件。

1a)设第i个标签包含一个伪随机数生成器和一个Hash函数H:{0,1}^*→{0,1}^L，并存储有自身身份标识ID_i、其自身所在的组索引IDS、标签中所有应用的私有密钥集合(K_i,1,K_i,2,...K_i,j...,K_i,m)，其中，伪随机数生成器专用于生成认证过程中所需的随机数，{0,1}^*表示任意长度的比特串，{0,1}^L表示长度为L的比特串，K_i,j被初始化为H(ID_i⊕r_i,j)，r_i,j是系统在初始化阶段分配给第i个标签第j个应用的随机数，且j＝1,2,…,m，m代表第i个标签最多可集成的应用个数；

1b)设射频识别网络中的阅读器包含一个伪随机数生成器，专用于生成认证过程中所需的随机数；

1c)设射频识别网络中的服务器中保存有一个与标签相同的Hash函数和一个或多个数据库；该数据库中存储有为每个合法标签建立的一组相对应的记录，即对于第i个合法标签，服务器首先建立一个标签记录(IDS,ID_i)，再针对第i个标签上的m个应用建立相应的一组应用记录：其中，曾用秘钥值被初始化为空，当前密钥值被初始化为H(ID_i⊕r_i,j)。

步骤2，射频识别网络的阅读器向第i个标签发起会话请求。

射频识别网络的阅读器生成认证请求q，同时通过伪随机数生成器产生第一随机数r₁，并将该第一随机数r₁和认证请求q一起发送给射频识别网络的第i个标签，用以开始一轮新会话。

步骤3，第i个标签生成相关认证信息。

3a)第i个标签收到认证请求q后，通过伪随机数生成器产生第二随机数r₂；

3b)第i个标签根据其自身的身份标识ID_i、私有密钥K_i,j以及收到的第一随机数r₁，分别计算出第一哈希认证信息值：M₁＝H(ID_i||r₁||r₂)和第二哈希认证信息值：M₂＝H(K_i,j||r₁||r₂)，其中K_i,j为第i个标签中第j个应用设定的私有密钥值；

3c)第i个标签针对是否需要撤销第j种应用，产生当前状态标志信息值E，并计算出异或认证信息值：F＝E⊕K_i,j，其中E为合法标签和服务器事先秘密约定好的一个长度为L的状态比特串，其有两种表示值，E＝str1，则为撤销该应用；E＝str2，则为不撤销该应用，只进行正常认证；

3d)第i个标签将其自身所在的组索引IDS、第二随机数r₂、第一哈希认证信息值M₁、第二哈希认证信息值M₂和异或认证信息值F一起通过无线射频信号发送给相应阅读器。

步骤4，射频识别网络的阅读器收到标签所在组索引IDS、第二随机数r₂、第一哈希认证信息值M₁、第二哈希认证信息值M₂和异或认证信息值F后，立即通过有线通信网络将这些数据全部转发给相应的服务器。

步骤5，射频识别网络的服务器对第i个标签的身份进行合法性验证。

5a)射频识别网络的服务器根据接收到的标签所在组索引IDS，确定该标签所在的群组；

5b)射频识别网络的服务器在该群组中遍历查找满足H'(ID_i||r₁||r₂)＝M₁的标签记录，若查到满足条件的消息记录，即认为标签身份合法，并获得标签的身份标识ID_i，执行步骤5c)；否则，则认为标签非法，立即终止本次会话；

5c)射频识别网络的服务器依据已获得的标签身份标识ID_i，在该标签可支持的应用记录中遍历查找满足H'(K_i,j||r₁||r₂)＝M₂的曾用密钥值或当前密钥值若查到，则说明该标签之前可支持该应用，并依据查找到的密钥值K_i,j以及接收到的异或认证信息值F，得到对比状态标志信息值：E'＝F⊕K_i,j，执行步骤5d)；否则，说明该标签上没有集成这种应用，服务器将立即终止本次会话；

5d)判断对比状态标志信息值，若E'＝str1，则服务器将在这个标签可支持的应用记录中删除这条应用记录，并根据步骤(5c)中查找到的密钥值K_i,j计算第三哈希认证信息值：M₃＝H(ID_i||K_i,j||r₁||r₂)；

5e)射频识别网络的服务器将第三哈希认证信息值M₃发送至相应的阅读器。

步骤6，射频识别网络的阅读器通过无线射频信号将收到的第三哈希认证信息值M₃转发给第i个标签。

步骤7，第i个标签对射频识别网络的服务器的身份进行合法性验证。

7a)第i个标签接收到第三认证信息值M₃后，根据自身产生的第二随机数r₂、曾接收到的第一随机数r₁、标签自身身份标识ID_i和该标签第j种应用的私钥K_i,j计算出第三对比认证信息值：M'₃＝H(ID_i||K_i,j||r₁||r₂)；

7b)判断第三对比认证信息值M'₃：若M'₃＝M₃，则认为服务器身份合法，执行步骤(7c)，反之，则认为服务器身份不合法，立即终止本次会话；

7c)判断第i个标签在步骤(3c)中生成的当前状态标志信息值E，若E＝str1，表明该应用已被成功撤销，反之，表示本次会话不进行应用撤销，仅完成正常的认证过程。

符号说明：

H:{0,1}^*→{0,1}^L：表示单向Hash函数，用于将任意长度的比特串{0,1}^*唯一的映射为固定长度的比特串{0,1}^L；

||：表示连接操作符，用于连接两个比特串；

r₁，r₂：表示通信过程中由伪随机数生成器产生的两个不同随机数；

←：表示替换操作符，用于将替换操作符左边的值替换为替换操作符右边的值；

⊕：表示异或操作符，用于对异或操作符左右两边的比特串进行异或操作。

以上仅是对本发明的一个具体事例，不构成对本发明的任何限制，凡是在本发明精神和原则之内，所做的任何修改、同等替换、改进等，均应包含在本发明的保护之中。

Claims (4)

1.一种撤销一卡多用射频识别标签应用的安全认证方法，包括以下步骤：

(1)射频识别网络的阅读器首先产生第一随机数r₁，并将该第一随机数r₁和认证请求q一起发送给射频识别网络的第i个标签，用以开始一轮新会话；

(2)第i个标签收到认证请求q后产生第二随机数r₂，并根据其自身的身份标识ID_i、私有密钥K_i,j以及收到的第一随机数r₁，分别计算出第一哈希认证信息值：M₁＝H(ID_i||r₁||r₂)和第二哈希认证信息值：M₂＝H(K_i,j||r₁||r₂)，其中K_i,j为第i个标签中第j个应用设定的私有密钥值；

(3)第i个标签针对是否需要撤销第j种应用，产生当前状态标志信息值E，并计算出异或认证信息值：其中E为合法标签和服务器事先秘密约定好的一个长度为L的状态比特串，其有两种表示值，E＝str1，则为撤销该应用；E＝str2，则为不撤销该应用，只进行正常认证；

(4)第i个标签将其自身所在的组索引IDS、第二随机数r₂、第一哈希认证信息值M₁、第二哈希认证信息值M₂和异或认证信息值F一起发送给相应阅读器；

(5)射频识别网络的阅读器收到标签所在组索引IDS、第二随机数r₂、第一哈希认证信息值M₁、第二哈希认证信息值M₂和异或认证信息值F后，立即将这些数据全部转发给相应的服务器；

(6)射频识别网络的服务器根据接收到的标签所在组索引IDS，首先确定该标签所在的群组，然后在该群组中遍历查找满足H'(ID_i||r₁||r₂)＝M₁的标签记录，若查到满足条件的消息记录，即认为标签身份合法，并获得标签的身份标识ID_i；

(7)射频识别网络的服务器依据已获得的标签身份标识ID_i，在该标签可支持的应用记录中遍历查找满足H'(K_i,j||r₁||r₂)＝M₂的曾用密钥值或当前密钥值若查到，则依据查找到的密钥值K_i,j以及接收到的异或认证信息值F，得到对比状态标志信息值：

(8)判断对比状态标志信息值，若E'＝str1，则服务器将在这个标签可支持的应用记录中删除这条应用记录，并根据步骤(7)中查找到的密钥值K_i,j计算第三哈希认证信息值：M₃＝H(ID_i||K_i,j||r₁||r₂)，最后将其发送至相应的阅读器；

(9)射频识别网络的阅读器将第三哈希认证信息值M₃转发给第i个标签；

(10)第i个标签接收到第三认证信息值M₃后，利用其自身值计算出第三对比认证信息值：M'₃＝H(ID_i||K_i,j||r₁||r₂)，将其与接收到的M₃进行比较，若两值相等，则认为服务器身份合法，执行步骤(11)；反之，则认为服务器身份不合法，终止本次会话；

(11)判断第i个标签在步骤(3)中生成的当前状态标志信息值E，若E＝str1，表明该应用已被成功撤销，反之，表示本次会话不进行应用撤销，仅完成正常的认证过程。

2.根据权利要求1所述的撤销一卡多用射频识别标签应用的安全认证方法，其特征在于：所述步骤(1)中的第i个标签，包含一个伪随机数生成器和一个Hash函数H:{0,1}^*→{0,1}^L，并存储有自身身份标识ID_i、其自身所在的组索引IDS、标签中所有应用的私有密钥集合(K_i,1,K_i,2,...K_i,j...,K_i,m)，其中，伪随机数生成器专用于生成认证过程中所需的随机数，{0,1}^*表示任意长度的比特串，{0,1}^L表示长度为L的比特串，K_i,j被初始化为r_i,j是系统在初始化阶段分配给第i个标签第j个应用的随机数，且j＝1,2,…,m，m代表第i个标签最多可集成的应用个数。

3.根据权利要求1所述的撤销一卡多用射频识别标签应用的安全认证方法，其特征在于：所述步骤(1)中的阅读器包含一个伪随机数生成器，专用于生成认证过程中所需的随机数。

4.根据权利要求1所述的撤销一卡多用射频识别标签应用的安全认证方法，其特征在于：所述步骤(1)中的服务器，保存有一个与标签相同的Hash函数和一个或多个数据库；该数据库中存储有为每个合法标签建立的一组相对应的记录，即对于第i个合法标签，服务器首先建立一个标签记录(IDS,ID_i)，再针对第i个标签上的m个应用建立相应的一组应用记录：其中，曾用秘钥值被初始化为空，当前密钥值被初始化为