基于分級(jí)的RFID隱私安全

　　隨著標(biāo)簽制造成本的下降，RFID技術(shù)的應(yīng)用必將更加廣泛，隨之帶來一系列安全與隱私問題。文中介紹了RFID應(yīng)用可能產(chǎn)生的安全與隱私威脅，以及數(shù)據(jù)保護(hù)的若干方案，描述了一個(gè)假定應(yīng)用場合中的安全威脅，主要介紹基于分級(jí)的RFID隱私保護(hù)方法。

　　射頻識(shí)別(Radio Frequency Identification，RFID)技術(shù)是射頻信號(hào)通過電磁耦合實(shí)現(xiàn)無接觸信息傳遞，并通過所傳遞的信息達(dá)到識(shí)別目的的技術(shù)。由于可以方便快捷的實(shí)現(xiàn)自動(dòng)識(shí)別、信息共享等，RFID技術(shù)在交通運(yùn)輸、倉儲(chǔ)管理、電子票務(wù)和電子支付等領(lǐng)域有廣泛的應(yīng)用前景。

　　該系統(tǒng)通常由標(biāo)簽、閱讀器和射頻網(wǎng)絡(luò)組成，標(biāo)簽內(nèi)存儲(chǔ)有一定格式的電子數(shù)據(jù)，常以此作為依據(jù)識(shí)別物體;閱讀器與標(biāo)簽之間以約定的通信協(xié)議傳遞信息;射頻網(wǎng)絡(luò)主要由中間件、ONS(Object Name Service)和IS(Information Sever)三部分組成，提供即時(shí)的信息交互功能。圖1所示為一個(gè)簡易的RFID系統(tǒng)構(gòu)架，系統(tǒng)工作過程如下：

　　(1)閱讀器把查詢得到的標(biāo)簽信息發(fā)送到中間件，中間件把收到的標(biāo)簽代碼轉(zhuǎn)換為ONS可讀碼，然后通過轉(zhuǎn)換的代碼為ONS請(qǐng)求Is的URL，ONS解析與所傳輸代碼相應(yīng)的URL并發(fā)回到中間件。

　　(2)使用獲得的URL和標(biāo)簽信息，中間件查詢Is，Is在數(shù)據(jù)庫中尋找匹配信息。

　　(3)通過中間件或應(yīng)用系統(tǒng)，Is把查詢到的信息發(fā)回給閱讀器。

　　1 RFID的安全與隱私威脅

　　1.1 RFID的隱私威脅

　　隱私權(quán)是個(gè)人有其信息不受侵犯的權(quán)利。在RFID系統(tǒng)中，射頻波能透過建筑物或金屬傳遞，使標(biāo)簽和閱讀器可以嵌入到任何物體之中;其次閱讀器和標(biāo)簽之間是無線通信，信道竊聽問題異常嚴(yán)重;再者，標(biāo)簽資源有限，加密算法與接人過程相對(duì)簡單;以上原因讓攻擊者有大量漏洞可以使用，而對(duì)標(biāo)簽的控制更使攻擊者獲取現(xiàn)實(shí)利益，由此增大了RFID系統(tǒng)的安全與隱私危險(xiǎn)，下面是幾種常見的威脅。

　　1)跟蹤 用戶攜帶有標(biāo)簽或在購買帶標(biāo)簽的商品時(shí)可能因?yàn)楸槐O(jiān)視而泄漏個(gè)人信息或暴露所在位置。

　　2)喜好威脅 商品的標(biāo)簽標(biāo)明制造商、產(chǎn)品類型和其它特征，在顧客購買商品時(shí)會(huì)暴露顧客的品質(zhì)偏好和個(gè)性特征。

　　3)布局威脅 不管用戶的身份是否與標(biāo)簽集關(guān)聯(lián)，每個(gè)人周圍都形成特定的標(biāo)簽格局，廣告商可以利用這種布局跟蹤顧客。

　　4)泄密 由于RFID系統(tǒng)讀取速度快，可以迅速對(duì)供應(yīng)鏈中所有商品進(jìn)行掃描并跟蹤變化等，而被用來竊取商業(yè)機(jī)密。

　　1.2 RFID安全威脅的一個(gè)設(shè)想

　　相對(duì)于中高頻的RFID系統(tǒng)，工作在800 MHz(歐洲)/900 MHz(美國)的超市超高頻RFID系統(tǒng)的讀取距離更遠(yuǎn)，數(shù)據(jù)率更高。但在這些工作頻率下，射頻波容易被水或金屬吸收而人體的主要成份就是水，射頻波會(huì)給人體帶來傷害;更重要的是，消費(fèi)者購買罐裝飲料等商品時(shí)，由于射頻波被吸收使得閱讀器和標(biāo)簽之間的通信不再精確，擾亂正常的支付過程。

　　下面描述～個(gè)對(duì)超市RFID系統(tǒng)工作構(gòu)成嚴(yán)重威脅的場景。

　　(1)超市已構(gòu)建RFID系統(tǒng)并實(shí)現(xiàn)倉儲(chǔ)管理、出售商品的自動(dòng)化收費(fèi)等功能，超市管理者使用的閱讀器可以讀寫商品標(biāo)簽數(shù)據(jù)(寫標(biāo)簽數(shù)據(jù)時(shí)需要接人密鑰)，考慮到價(jià)格調(diào)整等因素，標(biāo)簽數(shù)據(jù)必須能夠多次讀寫。

　　(2)移動(dòng)RFID用戶自身攜帶有嵌入在手機(jī)或PDA中的閱讀器，該閱讀器可以掃描超市中商品的標(biāo)簽以獲得產(chǎn)品的制造商、生產(chǎn)日期和價(jià)格等詳細(xì)信息。

　　(3)通過信道監(jiān)聽信息截獲、暴力破解(利用定向天線和數(shù)字示波器監(jiān)控標(biāo)簽被讀取時(shí)的功率消耗，確定標(biāo)簽何時(shí)接受了正確的密碼位)或其他人為因素，攻擊者得到寫標(biāo)簽數(shù)據(jù)所需的接人密鑰。

　　(4)利用標(biāo)簽的接人密鑰，攻擊者隨意修改標(biāo)簽數(shù)據(jù)，更改商品價(jià)格，甚至“kill”標(biāo)簽導(dǎo)致超市的商品管理和收費(fèi)系統(tǒng)陷入混亂以謀取個(gè)人私利。

　　2 數(shù)據(jù)保護(hù)方案

　　1)自毀與休眠商品被購買以后，標(biāo)簽從閱讀器那里接收到“kill”命令后永久失效，但在圖書館或租賃店等場合，標(biāo)簽在使用周期內(nèi)必須有效而不能一次性“kill”;休眠與自毀相似，但是休眠標(biāo)簽可以通過“wake up”激活后再次使用。

　　2)加密被動(dòng)式標(biāo)簽不能將標(biāo)簽上的數(shù)據(jù)傳送給閱讀器，加密應(yīng)該成為最起碼信息保護(hù)手段。但是加密的標(biāo)識(shí)符本身恰恰就是一個(gè)標(biāo)識(shí)符，此外引入密鑰管理后的成本問題使加密難以應(yīng)用于低成本的標(biāo)簽中。

　　3)移動(dòng)RFID 使用具有RFID閱讀器功能的手機(jī)或PDA，而不是公共RFID閱讀器獲取或修改標(biāo)簽數(shù)據(jù)，標(biāo)簽被跟蹤的危險(xiǎn)有所降低，然而移動(dòng)的閱讀器本身也會(huì)被跟蹤而帶來安全隱患，此時(shí)的隱私威脅不僅涉及標(biāo)簽攜帶者，還關(guān)系到閱讀器攜帶者的隱私。

　　4)阻止標(biāo)簽 由A.Juels，et a1.提出，不需要修改標(biāo)簽，而是在標(biāo)簽中加入一個(gè)稱為隱私比特的可變比特，“0”把標(biāo)簽標(biāo)識(shí)為公有標(biāo)簽;“1”把標(biāo)簽標(biāo)識(shí)為隱私標(biāo)簽，用來防止對(duì)隱私標(biāo)簽的非授權(quán)掃描。

　　5)Hash.Lockl2 由S.Weis，et al.提出。標(biāo)簽收到查詢請(qǐng)求時(shí)返回一個(gè)hash值，如果閱讀器發(fā)送了正確的逆向hash值，標(biāo)簽返回其標(biāo)識(shí)符，該方案需要對(duì)后臺(tái)的標(biāo)簽和密鑰管理應(yīng)用單向hash函數(shù)。隨機(jī)Hash Lock是一種改進(jìn)方案，能確保本地隱私安全，然而后臺(tái)必須完成大量hash工作，標(biāo)簽上還要有隨機(jī)數(shù)產(chǎn)生器。還有一種“基于Hash的ID變化”方案，每次閱讀器查詢請(qǐng)求時(shí)標(biāo)簽改變一次標(biāo)識(shí)符，需要在后臺(tái)引入相關(guān)數(shù)據(jù)庫。

　　此外，有人提出標(biāo)簽原始ID隱藏和clG2協(xié)議改進(jìn)兩種方法保護(hù)移動(dòng)RFID的隱私安全。沒有哪種方案可以確保RFID信息的安全，各種安全或隱私保護(hù)方法都有自身優(yōu)勢(shì)和不足。針對(duì)不同的應(yīng)用場合，采取綜合的保護(hù)策略才能更好的保護(hù)消費(fèi)者權(quán)益，下面提出一種基于隱私分級(jí)的隱私保護(hù)策略。

　　3 基于分級(jí)的RFID隱私保護(hù)

　　3.1 系統(tǒng)結(jié)構(gòu)

　　圖2所示為隱私分級(jí)構(gòu)架的核心部分。通過Pc等終端，標(biāo)簽擁有者可以設(shè)置標(biāo)簽的隱私等級(jí)(Privacy Leve1.PL)和接人控制等級(jí)(Access Control Leve1.ACL)。閱讀器請(qǐng)求查詢時(shí)標(biāo)簽返回已確定的PTJ，閱讀器將其發(fā)送到后臺(tái)Is，Is分析請(qǐng)求的數(shù)據(jù)包，并根據(jù)所設(shè)置的PL提供相對(duì)應(yīng)的信息服務(wù)。

　　3.2 隱私分級(jí)(PL)

　　PL的設(shè)置包括PL設(shè)置和ACL設(shè)置兩個(gè)部分。隱私等級(jí)表示所有者向公眾開放信息的隨意度。如表1所示，根據(jù)個(gè)人隱私敏感程度不同以及設(shè)置者的個(gè)人偏好和所處環(huán)境，標(biāo)簽中設(shè)置了5個(gè)PL。1級(jí)標(biāo)簽可以提供所有自身相關(guān)信息，而5級(jí)標(biāo)簽不會(huì)提供任何信息，即標(biāo)簽進(jìn)入休眠或鎖狀態(tài)，除非收到激活碼或解鎖等口令信息，標(biāo)簽不會(huì)相應(yīng)任何查詢。

　　定義這樣的PL對(duì)于在RFID分析所需的PL和貫徹隱私政策相當(dāng)有用。

　　閱讀器閱讀標(biāo)簽時(shí)，標(biāo)簽確認(rèn)其PL，然后把PL和其他所需信息像標(biāo)識(shí)碼一起發(fā)回到閱讀器。如果需要屏蔽標(biāo)簽，就把標(biāo)簽的PL設(shè)置為5級(jí)，不響應(yīng)任何查詢。

　　通過傳輸已得到的包含PL信息的信息包，Is根據(jù)PL把相關(guān)信息發(fā)送至閱讀器或應(yīng)用系統(tǒng)。

　　3.3 接入控制分級(jí)(ACL)

　　對(duì)于確保隱私安全和根據(jù)隱私級(jí)別進(jìn)行的標(biāo)簽高級(jí)安全管理，接人控制等級(jí)十分重要，有助于解決攻擊者在未授權(quán)的情況下改變隱私等級(jí)。根據(jù)用戶策略 (信息量的大小和重要性)可以把接人控制等級(jí)分兩類：標(biāo)簽接人控制等級(jí)(ACL )和Is接人控制等級(jí)(ACL )，兩者可共存，所需接人數(shù)據(jù)略有不同，表2所示為ACL 。為支持接人控制功能，IS需要有良好的性能和處理能力。

　　需要強(qiáng)調(diào)的是，接人控制等級(jí)和所需的接人信息成正比，為從標(biāo)簽或Is請(qǐng)求更高接人控制等級(jí)的數(shù)據(jù)，用戶需要更安全的認(rèn)證過程。表3所示為加入隱私等級(jí)和接人控制等級(jí)后的標(biāo)簽數(shù)據(jù)結(jié)構(gòu)，其中Flag為ACL 控制標(biāo)識(shí)，為0時(shí)關(guān)閉ACLIS，為1時(shí)啟用ACLIS。

　　3.4 隱私保護(hù)機(jī)制

　　圖3所示為所提出的隱私保護(hù)機(jī)制。圖3中的控制者即為標(biāo)簽所有者，他根據(jù)個(gè)人的偏好、習(xí)慣等設(shè)置PL。

　　根據(jù)控制者的設(shè)定，在閱讀器閱讀標(biāo)簽時(shí)IS可以提供不同的信息。具體過程如下：

　　1)首先控制者根據(jù)表1中的PL將信息分級(jí)。然后根據(jù)等級(jí)分類結(jié)果，確定隱私等級(jí)PL 并寫入標(biāo)簽。當(dāng)然，該P(yáng)TJ 可重復(fù)寫。類似地，控制者通過等級(jí)設(shè)置系統(tǒng)(提供已定義的相關(guān)隱私策略模板和良好的用戶接口)設(shè)置其自身的隱私策略。策略服務(wù)器中有兩類策略：固有策略和控制者設(shè)置的策略(設(shè)置者可修改)，其中前者的優(yōu)先級(jí)高于后者。

　　2)PL-r已定義并寫進(jìn)標(biāo)簽和IS后，系統(tǒng)進(jìn)入隱私保護(hù)服務(wù)階段。之前，RFID系統(tǒng)處于默認(rèn)狀態(tài)，只提供對(duì)隱私無害的非重要信息。

　　3)該機(jī)制的工作過程如下：

　?、匍喿x器訪問標(biāo)簽時(shí)，標(biāo)簽自檢其PL和ACL，根據(jù)不同的隱私等級(jí)或是接人控制等級(jí)，忽略閱讀器的查詢信息或發(fā)回包含標(biāo)簽ID，隱私等級(jí)和IS接人等級(jí)(Flag為0時(shí))在內(nèi)的信息包。

　?、谌绻喿x器收到標(biāo)簽數(shù)據(jù)包，它把數(shù)據(jù)包發(fā)到網(wǎng)絡(luò)，由此閱讀器在通過中間件或是ONS的ISURL解析之后請(qǐng)求接人IS。

　?、跧s中首先就是解析收到的信息包，取回PLT和ACL 并予以驗(yàn)證。

　?、苋绻枰脩舻慕尤丝刂?，根據(jù)已定義的ACL進(jìn)行用戶驗(yàn)證，如果通過驗(yàn)證，轉(zhuǎn)入⑤ ，否則忽略查詢。

　?、軮s依據(jù)PL處理請(qǐng)求提供相應(yīng)信息。信息服務(wù)器儲(chǔ)存事件日志并使用安全手段通報(bào)控制者。通過日志監(jiān)測(cè)，標(biāo)簽所有者可以修改標(biāo)簽或IS中的PL 。

　　3.5 IS接入控制

　　接人控制由標(biāo)簽儲(chǔ)存的IS接人控制等級(jí)確定，該信息應(yīng)置于安全保護(hù)中，如通過認(rèn)證和授權(quán)才能獲得。圖4所示為認(rèn)證過程，用戶的認(rèn)證基于ID口令、公共認(rèn)證等。用戶通過認(rèn)證后，信息服務(wù)器把結(jié)果反饋給閱讀器。

　　在實(shí)際的RFID系統(tǒng)中實(shí)現(xiàn)這種保護(hù)機(jī)制有一定困難，隱私策略的定義、實(shí)體間的安全通信和控制等都不易解決。這種安全保護(hù)方案的提供，便于為用戶提供更多的安全保護(hù)選擇，特別是把隱私分級(jí)后，用戶可以靈活的利用RFID技術(shù)。

　　4 結(jié)束語

　　在國內(nèi)，RFID技術(shù)的應(yīng)用目前局限于電子票務(wù)和二代身份證等，它的安全與隱私威脅還沒有完全浮現(xiàn)。由于標(biāo)簽資源受限，人們對(duì)RFID面臨的安全與隱私威脅尚不夠重視，文中描述的只是部分安全與隱私威脅和解決方案。隨著RFID應(yīng)用的進(jìn)一步普及，它所產(chǎn)生的問題也將更明顯的呈現(xiàn)于我們面前，作者期望采取一定措施，防患于未然，使消費(fèi)者在享受RFID技術(shù)便捷、高效的同時(shí)，不必為個(gè)人信息泄漏而擔(dān)憂。