基于分級的RFID隱私安全

　　隨著標簽制造成本的下降，RFID技術(shù)的應(yīng)用必將更加廣泛，隨之帶來一系列安全與隱私問題。文中介紹了RFID應(yīng)用可能產(chǎn)生的安全與隱私威脅，以及數(shù)據(jù)保護的若干方案，描述了一個假定應(yīng)用場合中的安全威脅，主要介紹基于分級的RFID隱私保護方法。

　　射頻識別(Radio Frequency Identification，RFID)技術(shù)是射頻信號通過電磁耦合實現(xiàn)無接觸信息傳遞，并通過所傳遞的信息達到識別目的的技術(shù)。由于可以方便快捷的實現(xiàn)自動識別、信息共享等，RFID技術(shù)在交通運輸、倉儲管理、電子票務(wù)和電子支付等領(lǐng)域有廣泛的應(yīng)用前景。

　　該系統(tǒng)通常由標簽、閱讀器和射頻網(wǎng)絡(luò)組成，標簽內(nèi)存儲有一定格式的電子數(shù)據(jù)，常以此作為依據(jù)識別物體;閱讀器與標簽之間以約定的通信協(xié)議傳遞信息;射頻網(wǎng)絡(luò)主要由中間件、ONS(Object Name Service)和IS(Information Sever)三部分組成，提供即時的信息交互功能。圖1所示為一個簡易的RFID系統(tǒng)構(gòu)架，系統(tǒng)工作過程如下：

　　(1)閱讀器把查詢得到的標簽信息發(fā)送到中間件，中間件把收到的標簽代碼轉(zhuǎn)換為ONS可讀碼，然后通過轉(zhuǎn)換的代碼為ONS請求Is的URL，ONS解析與所傳輸代碼相應(yīng)的URL并發(fā)回到中間件。

　　(2)使用獲得的URL和標簽信息，中間件查詢Is，Is在數(shù)據(jù)庫中尋找匹配信息。

　　(3)通過中間件或應(yīng)用系統(tǒng)，Is把查詢到的信息發(fā)回給閱讀器。

　　1 RFID的安全與隱私威脅

　　1.1 RFID的隱私威脅

　　隱私權(quán)是個人有其信息不受侵犯的權(quán)利。在RFID系統(tǒng)中，射頻波能透過建筑物或金屬傳遞，使標簽和閱讀器可以嵌入到任何物體之中;其次閱讀器和標簽之間是無線通信，信道竊聽問題異常嚴重;再者，標簽資源有限，加密算法與接人過程相對簡單;以上原因讓攻擊者有大量漏洞可以使用，而對標簽的控制更使攻擊者獲取現(xiàn)實利益，由此增大了RFID系統(tǒng)的安全與隱私危險，下面是幾種常見的威脅。

　　1)跟蹤 用戶攜帶有標簽或在購買帶標簽的商品時可能因為被監(jiān)視而泄漏個人信息或暴露所在位置。

　　2)喜好威脅 商品的標簽標明制造商、產(chǎn)品類型和其它特征，在顧客購買商品時會暴露顧客的品質(zhì)偏好和個性特征。

　　3)布局威脅 不管用戶的身份是否與標簽集關(guān)聯(lián)，每個人周圍都形成特定的標簽格局，廣告商可以利用這種布局跟蹤顧客。

　　4)泄密 由于RFID系統(tǒng)讀取速度快，可以迅速對供應(yīng)鏈中所有商品進行掃描并跟蹤變化等，而被用來竊取商業(yè)機密。

　　1.2 RFID安全威脅的一個設(shè)想

　　相對于中高頻的RFID系統(tǒng)，工作在800 MHz(歐洲)/900 MHz(美國)的超市超高頻RFID系統(tǒng)的讀取距離更遠，數(shù)據(jù)率更高。但在這些工作頻率下，射頻波容易被水或金屬吸收而人體的主要成份就是水，射頻波會給人體帶來傷害;更重要的是，消費者購買罐裝飲料等商品時，由于射頻波被吸收使得閱讀器和標簽之間的通信不再精確，擾亂正常的支付過程。

　　下面描述～個對超市RFID系統(tǒng)工作構(gòu)成嚴重威脅的場景。

　　(1)超市已構(gòu)建RFID系統(tǒng)并實現(xiàn)倉儲管理、出售商品的自動化收費等功能，超市管理者使用的閱讀器可以讀寫商品標簽數(shù)據(jù)(寫標簽數(shù)據(jù)時需要接人密鑰)，考慮到價格調(diào)整等因素，標簽數(shù)據(jù)必須能夠多次讀寫。

　　(2)移動RFID用戶自身攜帶有嵌入在手機或PDA中的閱讀器，該閱讀器可以掃描超市中商品的標簽以獲得產(chǎn)品的制造商、生產(chǎn)日期和價格等詳細信息。

　　(3)通過信道監(jiān)聽信息截獲、暴力破解(利用定向天線和數(shù)字示波器監(jiān)控標簽被讀取時的功率消耗，確定標簽何時接受了正確的密碼位)或其他人為因素，攻擊者得到寫標簽數(shù)據(jù)所需的接人密鑰。

　　(4)利用標簽的接人密鑰，攻擊者隨意修改標簽數(shù)據(jù)，更改商品價格，甚至“kill”標簽導(dǎo)致超市的商品管理和收費系統(tǒng)陷入混亂以謀取個人私利。

　　2 數(shù)據(jù)保護方案

　　1)自毀與休眠商品被購買以后，標簽從閱讀器那里接收到“kill”命令后永久失效，但在圖書館或租賃店等場合，標簽在使用周期內(nèi)必須有效而不能一次性“kill”;休眠與自毀相似，但是休眠標簽可以通過“wake up”激活后再次使用。

　　2)加密被動式標簽不能將標簽上的數(shù)據(jù)傳送給閱讀器，加密應(yīng)該成為最起碼信息保護手段。但是加密的標識符本身恰恰就是一個標識符，此外引入密鑰管理后的成本問題使加密難以應(yīng)用于低成本的標簽中。

　　3)移動RFID 使用具有RFID閱讀器功能的手機或PDA，而不是公共RFID閱讀器獲取或修改標簽數(shù)據(jù)，標簽被跟蹤的危險有所降低，然而移動的閱讀器本身也會被跟蹤而帶來安全隱患，此時的隱私威脅不僅涉及標簽攜帶者，還關(guān)系到閱讀器攜帶者的隱私。

　　4)阻止標簽 由A.Juels，et a1.提出，不需要修改標簽，而是在標簽中加入一個稱為隱私比特的可變比特，“0”把標簽標識為公有標簽;“1”把標簽標識為隱私標簽，用來防止對隱私標簽的非授權(quán)掃描。

　　5)Hash.Lockl2 由S.Weis，et al.提出。標簽收到查詢請求時返回一個hash值，如果閱讀器發(fā)送了正確的逆向hash值，標簽返回其標識符，該方案需要對后臺的標簽和密鑰管理應(yīng)用單向hash函數(shù)。隨機Hash Lock是一種改進方案，能確保本地隱私安全，然而后臺必須完成大量hash工作，標簽上還要有隨機數(shù)產(chǎn)生器。還有一種“基于Hash的ID變化”方案，每次閱讀器查詢請求時標簽改變一次標識符，需要在后臺引入相關(guān)數(shù)據(jù)庫。

　　此外，有人提出標簽原始ID隱藏和clG2協(xié)議改進兩種方法保護移動RFID的隱私安全。沒有哪種方案可以確保RFID信息的安全，各種安全或隱私保護方法都有自身優(yōu)勢和不足。針對不同的應(yīng)用場合，采取綜合的保護策略才能更好的保護消費者權(quán)益，下面提出一種基于隱私分級的隱私保護策略。

　　3 基于分級的RFID隱私保護

　　3.1 系統(tǒng)結(jié)構(gòu)

　　圖2所示為隱私分級構(gòu)架的核心部分。通過Pc等終端，標簽擁有者可以設(shè)置標簽的隱私等級(Privacy Leve1.PL)和接人控制等級(Access Control Leve1.ACL)。閱讀器請求查詢時標簽返回已確定的PTJ，閱讀器將其發(fā)送到后臺Is，Is分析請求的數(shù)據(jù)包，并根據(jù)所設(shè)置的PL提供相對應(yīng)的信息服務(wù)。

　　3.2 隱私分級(PL)

　　PL的設(shè)置包括PL設(shè)置和ACL設(shè)置兩個部分。隱私等級表示所有者向公眾開放信息的隨意度。如表1所示，根據(jù)個人隱私敏感程度不同以及設(shè)置者的個人偏好和所處環(huán)境，標簽中設(shè)置了5個PL。1級標簽可以提供所有自身相關(guān)信息，而5級標簽不會提供任何信息，即標簽進入休眠或鎖狀態(tài)，除非收到激活碼或解鎖等口令信息，標簽不會相應(yīng)任何查詢。

　　定義這樣的PL對于在RFID分析所需的PL和貫徹隱私政策相當(dāng)有用。

　　閱讀器閱讀標簽時，標簽確認其PL，然后把PL和其他所需信息像標識碼一起發(fā)回到閱讀器。如果需要屏蔽標簽，就把標簽的PL設(shè)置為5級，不響應(yīng)任何查詢。

　　通過傳輸已得到的包含PL信息的信息包，Is根據(jù)PL把相關(guān)信息發(fā)送至閱讀器或應(yīng)用系統(tǒng)。

　　3.3 接入控制分級(ACL)

　　對于確保隱私安全和根據(jù)隱私級別進行的標簽高級安全管理，接人控制等級十分重要，有助于解決攻擊者在未授權(quán)的情況下改變隱私等級。根據(jù)用戶策略 (信息量的大小和重要性)可以把接人控制等級分兩類：標簽接人控制等級(ACL )和Is接人控制等級(ACL )，兩者可共存，所需接人數(shù)據(jù)略有不同，表2所示為ACL 。為支持接人控制功能，IS需要有良好的性能和處理能力。

　　需要強調(diào)的是，接人控制等級和所需的接人信息成正比，為從標簽或Is請求更高接人控制等級的數(shù)據(jù)，用戶需要更安全的認證過程。表3所示為加入隱私等級和接人控制等級后的標簽數(shù)據(jù)結(jié)構(gòu)，其中Flag為ACL 控制標識，為0時關(guān)閉ACLIS，為1時啟用ACLIS。

　　3.4 隱私保護機制

　　圖3所示為所提出的隱私保護機制。圖3中的控制者即為標簽所有者，他根據(jù)個人的偏好、習(xí)慣等設(shè)置PL。

　　根據(jù)控制者的設(shè)定，在閱讀器閱讀標簽時IS可以提供不同的信息。具體過程如下：

　　1)首先控制者根據(jù)表1中的PL將信息分級。然后根據(jù)等級分類結(jié)果，確定隱私等級PL 并寫入標簽。當(dāng)然，該PTJ 可重復(fù)寫。類似地，控制者通過等級設(shè)置系統(tǒng)(提供已定義的相關(guān)隱私策略模板和良好的用戶接口)設(shè)置其自身的隱私策略。策略服務(wù)器中有兩類策略：固有策略和控制者設(shè)置的策略(設(shè)置者可修改)，其中前者的優(yōu)先級高于后者。

　　2)PL-r已定義并寫進標簽和IS后，系統(tǒng)進入隱私保護服務(wù)階段。之前，RFID系統(tǒng)處于默認狀態(tài)，只提供對隱私無害的非重要信息。

　　3)該機制的工作過程如下：

　?、匍喿x器訪問標簽時，標簽自檢其PL和ACL，根據(jù)不同的隱私等級或是接人控制等級，忽略閱讀器的查詢信息或發(fā)回包含標簽ID，隱私等級和IS接人等級(Flag為0時)在內(nèi)的信息包。

　?、谌绻喿x器收到標簽數(shù)據(jù)包，它把數(shù)據(jù)包發(fā)到網(wǎng)絡(luò)，由此閱讀器在通過中間件或是ONS的ISURL解析之后請求接人IS。

　　③Is中首先就是解析收到的信息包，取回PLT和ACL 并予以驗證。

　?、苋绻枰脩舻慕尤丝刂?，根據(jù)已定義的ACL進行用戶驗證，如果通過驗證，轉(zhuǎn)入⑤ ，否則忽略查詢。

　?、軮s依據(jù)PL處理請求提供相應(yīng)信息。信息服務(wù)器儲存事件日志并使用安全手段通報控制者。通過日志監(jiān)測，標簽所有者可以修改標簽或IS中的PL 。

　　3.5 IS接入控制

　　接人控制由標簽儲存的IS接人控制等級確定，該信息應(yīng)置于安全保護中，如通過認證和授權(quán)才能獲得。圖4所示為認證過程，用戶的認證基于ID口令、公共認證等。用戶通過認證后，信息服務(wù)器把結(jié)果反饋給閱讀器。

　　在實際的RFID系統(tǒng)中實現(xiàn)這種保護機制有一定困難，隱私策略的定義、實體間的安全通信和控制等都不易解決。這種安全保護方案的提供，便于為用戶提供更多的安全保護選擇，特別是把隱私分級后，用戶可以靈活的利用RFID技術(shù)。

　　4 結(jié)束語

　　在國內(nèi)，RFID技術(shù)的應(yīng)用目前局限于電子票務(wù)和二代身份證等，它的安全與隱私威脅還沒有完全浮現(xiàn)。由于標簽資源受限，人們對RFID面臨的安全與隱私威脅尚不夠重視，文中描述的只是部分安全與隱私威脅和解決方案。隨著RFID應(yīng)用的進一步普及，它所產(chǎn)生的問題也將更明顯的呈現(xiàn)于我們面前，作者期望采取一定措施，防患于未然，使消費者在享受RFID技術(shù)便捷、高效的同時，不必為個人信息泄漏而擔(dān)憂。