CN111709011B

CN111709011B - 一种基于puf的轻量级rfid双向认证方法

Info

Publication number: CN111709011B
Application number: CN202010569364.7A
Authority: CN
Inventors: 刘亚丽; 李涛
Original assignee: Jiangsu Normal University
Current assignee: Jiangsu Normal University
Priority date: 2020-06-20
Filing date: 2020-06-20
Publication date: 2022-08-02
Anticipated expiration: 2040-06-20
Also published as: CN111709011A

Abstract

一种基于PUF的轻量级RFID双向认证方法，属于RFID的技术领域，具体包括：伪随机数种子生成阶段、初始化阶段和双向认证阶段。通过在RFID标签端内置物理不可克隆函数PUF实现了每轮交互消息的随机化，设计新的位翻转运算FLIP，降低了标签端的计算代价；通过共享伪随机数发生器的种子实现了每轮认证过程中服务器端与标签端的共享密钥，避免了使用前一轮密钥值更新后一轮新的密钥；分别利用时间阈值和伪随机数发生器计数阈值，解决了种子生成过程和密钥共享过程中的非同步攻击问题；实现了基于PUF的RFID标签的轻量级双向认证，满足了低代价RFID标签资源受限的需求，增强了双向认证过程中的安全性和隐私性。

Description

一种基于PUF的轻量级RFID双向认证方法

技术领域

本发明涉及RFID技术领域，具体涉及一种基于PUF的轻量级RFID双向认证方法。

背景技术

无线射频识别技术(Radio Frequency Identification，RFID)是一种基于无线电的信息识别技术，其工作原理主要是通过无线的射频信号对附着在物品上的电子标签进行自动识别并获取相应的数据，无须建立物理式的接触，识别与读写过程全自动化，是物联网的核心技术之一。一个完整的RFID系统通常由标签、阅读器、后端数据库(或服务器)三部分组成。标签通常嵌入在实体中并拥有唯一标识，当标签进入阅读器的识别范围时，阅读器与标签会通过安全协议验证对方身份的合法性，验证通过后，标签会将自身的数据发送给阅读器交给后台处理。通常来说阅读器与后端数据库的连接信道是安全的，而标签与阅读器之间的无线信道是不安全的。攻击者可能通过不安全信道发动假冒、窃听、去同步化等多种恶意攻击。

低成本的RFID标签由于具有较低的存储代价和计算代价，被广泛应用于RFID物联网系统中。安全隐私一直是制约RFID系统的主要因素之一。在低成本的RFID系统中，标签有限的硬件资源极大地制约了RFID安全机制的实现，传统的安全与加密技术很难直接应用到RFID系统中来。因此，在低成本的前提下，如何设计实现RFID系统的安全并保护电子标签持有人隐私具有重大的意义。

物理不可克隆函数(Physical unclonable function，PUF)是一种新型的密码学原语，它利用自身硬件物理结构上的差异，能对不同的激励能产生不同的不可预测的响应输出。不可能制造出两块完全相同的PUF芯片，对于不同的PUF也不存在相同的输出。PUF技术的引入，确保了通信实体能够抵抗攻击者的物理攻击和克隆攻击，同时它减少了实体的代价花费。对于资源受限的认证实体而言，这一技术的优势是十分明显的。因此，PUF这一技术在物联网安全领域中具有十分重要的研究价值与意义。

目前传统的RFID认证协议较为广泛地采用了动态共享密钥更新机制以确保数据的机密性和完整性，然而这些认证协议中通常效率低，开销大。同时，现有的轻量级RFID认证协议中存在着许多安全隐患，难以抵抗非同步攻击、重放攻击、克隆攻击等多种恶意攻击，通信数据的隐私安全受到挑战。保护通信交互中的安全隐私，抵御非同步攻击等常见的恶意攻击成为RFID双向认证协议中重点需要解决的问题。

发明内容

为了有效解决RFID认证过程中由于共享密钥更新引起导致的非同步攻击问题，本发明提出了一种新的基于PUF的轻量级RFID双向认证方法，保证了较高的安全性能，不仅能有效抵抗非同步攻击，还使用PUF技术增强了标签的隐私性，同时具有较高的性能。

具体地，本发明方法提出了一种位翻转运算FLIP，利用FLIP运算、标签内置PUF函数、伪随机数发生器PRNG、左循环移位运算ROT(X,Y)和异或运算⊕设计标签和阅读器之间的交互消息，具体包括以下步骤：

步骤1：伪随机数种子生成阶段

步骤1-1：服务器S向标签T发送request请求。

步骤1-2：标签T接收到请求后，产生一个随机数r₁，标签利用自身的标识假名IDS计算得到A＝IDS⊕r₁，B＝FLIP(IDS_L,IDS_R)，然后标签T将A、B发送给服务器S。

步骤1-3：服务器S接收到A和B后，查找数据库中是否有满足的IDS，拆分为IDS_L与IDS_R后能满足B的值。若不存在，则标签不合法，认证协议失败；否则，服务器S利用查找出的IDS计算出随机数r₁＝A⊕IDS，同时产生随机数r₂，并计算C＝IDS⊕r₂，D＝FLIP(IDS_L,r₂⊕IDS_R)，然后服务器S将C、D发送给标签T。

步骤1-4：标签T接收到C和D后，计算出r₂＝C⊕IDS，并验证通信值D，若验证失败，则认证协议失败；否则，服务器S计算E＝FLIP(IDS_R,r₂⊕IDS_L)，同时计算伪随机数种子Seed₁＝r₁⊕ROT(IDS,r₂)，Seed₂＝r₂⊕ROT(IDS,r₂)，并将E发送给服务器S。

步骤1-5：服务器在发送C和D后开始计时，若服务器在一定的时间阈值△T(△T根据实际设定)内未接收到消息E，则可以判定发生了非同步攻击，种子同步生成失败。服务器S验证通信值E，若验证通过，则同步计算伪随机数种子Seed₁＝r₁⊕ROT(IDS,r₂)，Seed₂＝r₂⊕ROT(IDS,r₂)。伪随机数种子同步生成阶段结束。

步骤2：协议初始化阶段

步骤2-1：服务器S产生一个激励C，发送给标签T。

步骤2-2：标签T利用内置的PUF产生R₁＝PUF(C)，R₂＝PUF(R₁)，然后发送给服务器S。

步骤2-3：服务器端存储信息R₁，R₂。

步骤3：双向认证阶段

步骤3-1：服务器S使用伪随机数发生器计算K₁＝PRNG(Seed₁)，K₂＝PRNG(Seed₂)，然后计算M₁＝ROT(FLIP(K₂,K₁),K₁)⊕R_i，M₂＝FLIP(ROT(R_i+1,K₁),K₂)，发送给标签T。

步骤3-2：标签T收到M₁，M₂后，首先计算K₁＝PRNG(Seed₁)，K₂＝PRNG(Seed₂)，假设此时PRNG的计算次数为n＝n₀，然后利用K₁和K₂从M₁中提取R_i，利用PUF计算R_i+1＝PUF(R_i)，并验证M₂是否正确。若验证失败，说明K₁，K₂与服务器端不同步，发生了非同步攻击，使用种子重新为K₁和K₂计算出下一对值，PRNG计次n＝n+1。若直到PRNG的计次n>n₀+n_t(其中n_t根据实际设定)时仍未能成功验证M₂，则协议认证失败。验证成功后，标签T计算R_i+2＝PUF(R_i+1)，M₃＝ROT(FLIP(K₁,K₂),K₂)⊕R_i+2，M₄＝FLIP(ROT(R_i+2,K₂),K₁)，发送给服务器S。

步骤3-3：服务器S从M₃中提取R_i+2，并验证通信量M₄的正确性，若验证失败，则标签不合法，协议认证失败。否则，协议双向认证成功。然后服务器端更新R_i+1，R_i+2。第i轮认证结束。

实施本发明具有如下有益效果：

1.本发明所述方法利用伪随机数种子产生每轮认证过程中阅读器端和标签端的共享密钥，避免了使用前一轮密钥值更新后一轮新的密钥。

2.在伪随机数种子生成的过程中，引入了一个响应时间阈值，确保了服务器端与标签端种子的同步性；在双向认证的过程中，引入了伪随机序列的偏移阈值，保证了协议能够抵抗一定次数的非同步攻击。

3.定义了一种新的比特位运算FLIP，增大了通信量混淆程度，加强了数据的机密性。

4.使用了双重PUF计算，极大地增强了标签的隐私性。

附图说明

图1为伪随机数种子生成过程图；

图2为初始化阶段图；

图3为双向认证阶段图。

具体实施方式

下面结合上述附图，对本发明所述方法做进一步详细描述。

符号说明：

表1符号说明

为了降低标签的功耗，增加通信量的复杂度，本发明定义了一种新的位翻转运算FLIP：

步骤一：对X作翻转操作

长度为L的二进制串，初始指针j＝1当前，汉明重量为w。对a_j...a_j+w所在子串翻转，然后指针j＝j+1，翻转后新串的汉明重量重新计算，重复此过程直到j-1+w>L时结束。

例如：长为的串0110110100010110，初始汉明重量w＝8

第1次：1001001000010110 w＝6

第2次：1110110000010110 w＝8

第3次：1101001111010110 w＝10

第4次：1100110000101110 w＝8

第5次：1100001111011110 w＝10

第6次：1100010000100000 w＝4

第7次：1100011111100000 w＝8

第8次：1100011000011110 w＝8

第9次：1100011011100101？ w＝9满足结束条件

即X由0110110100010110变换为1100011011100101

步骤二：错位异或

对(一)中得到的X与Y错位异或得到Z。

z_j＝x_j⊕y_(j+w)modL

w为Y的汉明重量，L为Y的串长。

阶段一：伪随机数种子生成阶段

第一步：服务器S向标签T发送request请求。

第二步：标签T接收到请求后，产生一个随机数r₁，标签利用自身的标识假名IDS计算得到A＝IDS⊕r₁，B＝FLIP(IDS_L,IDS_R)，然后标签T将A、B发送给服务器S。

第三步：服务器S接收到A和B后，查找数据库中是否有满足的IDS，拆分为IDS_L与IDS_R后能满足B的值。若不存在，则标签不合法，认证协议失败；否则，服务器S利用查找出的IDS计算出随机数r₁＝A⊕IDS，同时产生随机数r₂，并计算C＝IDS⊕r₂，D＝FLIP(IDS_L,r₂⊕IDS_R)，然后服务器S将C、D发送给标签T。

第四步：标签T接收到C和D后，计算出r₂＝C⊕IDS，并验证通信值D，若验证失败，则认证协议失败；否则，服务器S计算E＝FLIP(IDS_R,r₂⊕IDS_L)，同时计算伪随机数种子Seed₁＝r₁⊕ROT(IDS,r₂)，Seed₂＝r₂⊕ROT(IDS,r₂)，并将E发送给服务器S。

第五步：服务器在发送C和D后开始计时，若服务器在一定的时间阈值△T(△T根据实际设定)内未接收到消息E，则可以判定发生了非同步攻击，种子同步生成失败。服务器S验证通信值E，若验证通过，则同步计算伪随机数种子Seed₁＝r₁⊕ROT(IDS,r₂)，Seed₂＝r₂⊕ROT(IDS,r₂)。伪随机数种子同步生成阶段结束。

阶段二：协议初始化阶段

第一步：服务器S产生一个激励C，发送给标签T。

第二步：标签T利用内置的PUF产生R₁＝PUF(C)，R₂＝PUF(R₁)，然后发送给服务器S。

第三步：服务器端存储信息R₁，R₂。

阶段三：双向认证阶段

第一步：服务器S使用伪随机数发生器计算K₁＝PRNG(Seed₁)，K₂＝PRNG(Seed₂)，然后计算M₁＝ROT(FLIP(K₂,K₁),K₁)⊕R_i，M₂＝FLIP(ROT(R_i+1,K₁),K₂)，发送给标签T。

第二步：标签T收到M₁，M₂后，首先计算K₁＝PRNG(Seed₁)，K₂＝PRNG(Seed₂)，假设此时PRNG的计算次数为n＝n₀，然后利用K₁和K₂从M₁中提取R_i，利用PUF计算R_i+1＝PUF(R_i)，并验证M₂是否正确。若验证失败，说明K₁，K₂与服务器端不同步，发生了非同步攻击，使用种子重新为K₁和K₂计算出下一对值，PRNG计次n＝n+1。若直到PRNG的计次n>n₀+n_t(其中n_t根据实际设定)时仍未能成功验证M₂，则协议认证失败。验证成功后，标签T计算R_i+2＝PUF(R_i+1)，M₃＝ROT(FLIP(K₁,K₂),K₂)⊕R_i+2，M₄＝FLIP(ROT(R_i+2,K₂),K₁)，发送给服务器S。

第三步：服务器S从M₃中提取R_i+2，并验证通信量M₄的正确性，若验证失败，则标签不合法，协议认证失败。否则，协议双向认证成功。然后服务器端更新R_i+1，R_i+2。第i轮认证结束。

Claims

1.一种基于PUF的轻量级RFID双向认证方法，其特征在于，包括以下步骤：

S1：生成伪随机数种子；

S2：协议初始化；

S3：双向认证；

其中，

步骤S1具体包括：

S1-1：服务器S向标签T发送request请求；

S1-2：标签T接收到请求后，产生一个随机数r₁，标签利用自身的标识假名IDS计算得到A＝IDS⊕r₁，B＝FLIP(IDS_L,IDS_R)，然后标签T将A，B发送给服务器S；

S1-3：服务器S接收到A和B后，查找数据库中是否有满足的IDS，拆分为IDS_L与IDS_R后能满足B的值；若不存在，则标签不合法，认证协议失败；若存在，服务器S利用查找出的IDS计算出随机数r₁＝A⊕IDS，同时产生随机数r₂，并计算C＝IDS⊕r₂，D＝FLIP(IDS_L,r₂⊕IDS_R)，然后服务器S将C、D发送给标签T；

S1-4：标签T接收到C和D后，计算出r₂＝C⊕IDS，并验证通信值D；

若验证失败，则认证协议失败；

若验证成功，服务器S计算E＝FLIP(IDS_R,r₂⊕IDS_L)，同时计算伪随机数种子Seed₁＝r₁⊕ROT(IDS,r₂)，Seed₂＝r₂⊕ROT(IDS,r₂)，并将E发送给服务器S；

同时，服务器在发送C和D后开始计时，若服务器在时间阈值△T内未接收到消息E，则判定发生了非同步攻击，种子同步生成失败；

若服务器在时间阈值△T内接收到了消息E，则服务器S验证通信值E，若验证通过，则同步计算伪随机数种子Seed₁＝r₁⊕ROT(IDS,r₂)，Seed₂＝r₂⊕ROT(IDS,r₂)；

步骤S2具体包括：

S2-1：服务器S产生一个激励C，发送给标签T；

S2-2：标签T利用内置的PUF产生R₁＝PUF(C)，R₂＝PUF(R₁)，然后发送服务器S；

S2-3：服务器端存储信息R₁，R₂；

步骤S3具体包括：

S3-1：服务器S使用伪随机数发生器计算K₁＝PRNG(Seed₁)，K₂＝PRNG(Seed₂)，然后计算M₁＝ROT(FLIP(K₂,K₁),K₁)⊕R_i，M₂＝FLIP(ROT(R_i+1,K₁),K₂)，发送给标签T；i是协议认证第i轮；

S3-2：标签T收到M₁，M₂后，首先计算K₁＝PRNG(Seed₁)，K₂＝PRNG(Seed₂)，假设此时PRNG的计算次数为n＝n₀，然后利用K₁和K₂从M₁中提取R_i，利用PUF计算R_i+1＝PUF(R_i)，并验证M₂是否正确；

若验证失败，说明K₁，K₂与服务器端不同步，发生了非同步攻击，使用种子重新为K₁和K₂计算出下一对值，PRNG计次n＝n+1；

若直到PRNG的计次n>n₀+n_t时仍未能成功验证M₂，则协议认证失败；

若验证成功，标签T计算R_i+2＝PUF(R_i+1)，M₃＝ROT(FLIP(K₁,K₂),K₂)⊕R_i+2，M₄＝FLIP(ROT(R_i+2,K₂),K₁)，发送给服务器S；

S3-3：服务器S从M₃中提取R_i+2，并验证通信量M₄的正确性，若验证失败，则标签不合法，协议认证失败；

若验证成功，则协议双向认证成功；

然后服务器端更新R_i+1，R_i+2；第i轮认证结束；

所述FLIP是比特位翻转Z＝FLIP(X,Y)计算，具体包括：

步骤一：对X作翻转操作

长度为L的二进制串，初始指针j＝1，汉明重量为w，对a_j...a_j+w所在子串翻转，然后指针j＝j+1，翻转后新串的汉明重量重新计算，重复此过程，直到j-1+w>L时结束；

步骤二：错位异或

对步骤一中得到的X与Y错位异或得到Z；

z_j＝x_j⊕y_(j+w)modL

w为Y的汉明重量，L为Y的串长，mod的定义为取余运算，j为x和y两个二进制串中的第j位。