基于分級的RFID隱私安全

　　隨著標(biāo)簽制造成本的下降，RFID技術(shù)的應(yīng)用必將更加廣泛，隨之帶來一系列安全與隱私問題。文中介紹了RFID應(yīng)用可能產(chǎn)生的安全與隱私威脅，以及數(shù)據(jù)保護(hù)的若干方案，描述了一個假定應(yīng)用場合中的安全威脅，主要介紹基于分級的RFID隱私保護(hù)方法。

　　射頻識別(Radio Frequency Identification，RFID)技術(shù)是射頻信號通過電磁耦合實現(xiàn)無接觸信息傳遞，并通過所傳遞的信息達(dá)到識別目的的技術(shù)。由于可以方便快捷的實現(xiàn)自動識別、信息共享等，RFID技術(shù)在交通運輸、倉儲管理、電子票務(wù)和電子支付等領(lǐng)域有廣泛的應(yīng)用前景。

　　該系統(tǒng)通常由標(biāo)簽、閱讀器和射頻網(wǎng)絡(luò)組成，標(biāo)簽內(nèi)存儲有一定格式的電子數(shù)據(jù)，常以此作為依據(jù)識別物體;閱讀器與標(biāo)簽之間以約定的通信協(xié)議傳遞信息;射頻網(wǎng)絡(luò)主要由中間件、ONS(Object Name Service)和IS(Information Sever)三部分組成，提供即時的信息交互功能。圖1所示為一個簡易的RFID系統(tǒng)構(gòu)架，系統(tǒng)工作過程如下：

　　(1)閱讀器把查詢得到的標(biāo)簽信息發(fā)送到中間件，中間件把收到的標(biāo)簽代碼轉(zhuǎn)換為ONS可讀碼，然后通過轉(zhuǎn)換的代碼為ONS請求Is的URL，ONS解析與所傳輸代碼相應(yīng)的URL并發(fā)回到中間件。

　　(2)使用獲得的URL和標(biāo)簽信息，中間件查詢Is，Is在數(shù)據(jù)庫中尋找匹配信息。

　　(3)通過中間件或應(yīng)用系統(tǒng)，Is把查詢到的信息發(fā)回給閱讀器。

　　1 RFID的安全與隱私威脅

　　1.1 RFID的隱私威脅

　　隱私權(quán)是個人有其信息不受侵犯的權(quán)利。在RFID系統(tǒng)中，射頻波能透過建筑物或金屬傳遞，使標(biāo)簽和閱讀器可以嵌入到任何物體之中;其次閱讀器和標(biāo)簽之間是無線通信，信道竊聽問題異常嚴(yán)重;再者，標(biāo)簽資源有限，加密算法與接人過程相對簡單;以上原因讓攻擊者有大量漏洞可以使用，而對標(biāo)簽的控制更使攻擊者獲取現(xiàn)實利益，由此增大了RFID系統(tǒng)的安全與隱私危險，下面是幾種常見的威脅。

　　1)跟蹤 用戶攜帶有標(biāo)簽或在購買帶標(biāo)簽的商品時可能因為被監(jiān)視而泄漏個人信息或暴露所在位置。

　　2)喜好威脅 商品的標(biāo)簽標(biāo)明制造商、產(chǎn)品類型和其它特征，在顧客購買商品時會暴露顧客的品質(zhì)偏好和個性特征。

　　3)布局威脅 不管用戶的身份是否與標(biāo)簽集關(guān)聯(lián)，每個人周圍都形成特定的標(biāo)簽格局，廣告商可以利用這種布局跟蹤顧客。

　　4)泄密 由于RFID系統(tǒng)讀取速度快，可以迅速對供應(yīng)鏈中所有商品進(jìn)行掃描并跟蹤變化等，而被用來竊取商業(yè)機(jī)密。

　　1.2 RFID安全威脅的一個設(shè)想

　　相對于中高頻的RFID系統(tǒng)，工作在800 MHz(歐洲)/900 MHz(美國)的超市超高頻RFID系統(tǒng)的讀取距離更遠(yuǎn)，數(shù)據(jù)率更高。但在這些工作頻率下，射頻波容易被水或金屬吸收而人體的主要成份就是水，射頻波會給人體帶來傷害;更重要的是，消費者購買罐裝飲料等商品時，由于射頻波被吸收使得閱讀器和標(biāo)簽之間的通信不再精確，擾亂正常的支付過程。

　　下面描述～個對超市RFID系統(tǒng)工作構(gòu)成嚴(yán)重威脅的場景。

　　(1)超市已構(gòu)建RFID系統(tǒng)并實現(xiàn)倉儲管理、出售商品的自動化收費等功能，超市管理者使用的閱讀器可以讀寫商品標(biāo)簽數(shù)據(jù)(寫標(biāo)簽數(shù)據(jù)時需要接人密鑰)，考慮到價格調(diào)整等因素，標(biāo)簽數(shù)據(jù)必須能夠多次讀寫。

　　(2)移動RFID用戶自身攜帶有嵌入在手機(jī)或PDA中的閱讀器，該閱讀器可以掃描超市中商品的標(biāo)簽以獲得產(chǎn)品的制造商、生產(chǎn)日期和價格等詳細(xì)信息。

　　(3)通過信道監(jiān)聽信息截獲、暴力破解(利用定向天線和數(shù)字示波器監(jiān)控標(biāo)簽被讀取時的功率消耗，確定標(biāo)簽何時接受了正確的密碼位)或其他人為因素，攻擊者得到寫標(biāo)簽數(shù)據(jù)所需的接人密鑰。

　　(4)利用標(biāo)簽的接人密鑰，攻擊者隨意修改標(biāo)簽數(shù)據(jù)，更改商品價格，甚至“kill”標(biāo)簽導(dǎo)致超市的商品管理和收費系統(tǒng)陷入混亂以謀取個人私利。

　　2 數(shù)據(jù)保護(hù)方案

　　1)自毀與休眠商品被購買以后，標(biāo)簽從閱讀器那里接收到“kill”命令后永久失效，但在圖書館或租賃店等場合，標(biāo)簽在使用周期內(nèi)必須有效而不能一次性“kill”;休眠與自毀相似，但是休眠標(biāo)簽可以通過“wake up”激活后再次使用。

　　2)加密被動式標(biāo)簽不能將標(biāo)簽上的數(shù)據(jù)傳送給閱讀器，加密應(yīng)該成為最起碼信息保護(hù)手段。但是加密的標(biāo)識符本身恰恰就是一個標(biāo)識符，此外引入密鑰管理后的成本問題使加密難以應(yīng)用于低成本的標(biāo)簽中。

　　3)移動RFID 使用具有RFID閱讀器功能的手機(jī)或PDA，而不是公共RFID閱讀器獲取或修改標(biāo)簽數(shù)據(jù)，標(biāo)簽被跟蹤的危險有所降低，然而移動的閱讀器本身也會被跟蹤而帶來安全隱患，此時的隱私威脅不僅涉及標(biāo)簽攜帶者，還關(guān)系到閱讀器攜帶者的隱私。

　　4)阻止標(biāo)簽 由A.Juels，et a1.提出，不需要修改標(biāo)簽，而是在標(biāo)簽中加入一個稱為隱私比特的可變比特，“0”把標(biāo)簽標(biāo)識為公有標(biāo)簽;“1”把標(biāo)簽標(biāo)識為隱私標(biāo)簽，用來防止對隱私標(biāo)簽的非授權(quán)掃描。

　　5)Hash.Lockl2 由S.Weis，et al.提出。標(biāo)簽收到查詢請求時返回一個hash值，如果閱讀器發(fā)送了正確的逆向hash值，標(biāo)簽返回其標(biāo)識符，該方案需要對后臺的標(biāo)簽和密鑰管理應(yīng)用單向hash函數(shù)。隨機(jī)Hash Lock是一種改進(jìn)方案，能確保本地隱私安全，然而后臺必須完成大量hash工作，標(biāo)簽上還要有隨機(jī)數(shù)產(chǎn)生器。還有一種“基于Hash的ID變化”方案，每次閱讀器查詢請求時標(biāo)簽改變一次標(biāo)識符，需要在后臺引入相關(guān)數(shù)據(jù)庫。

　　此外，有人提出標(biāo)簽原始ID隱藏和clG2協(xié)議改進(jìn)兩種方法保護(hù)移動RFID的隱私安全。沒有哪種方案可以確保RFID信息的安全，各種安全或隱私保護(hù)方法都有自身優(yōu)勢和不足。針對不同的應(yīng)用場合，采取綜合的保護(hù)策略才能更好的保護(hù)消費者權(quán)益，下面提出一種基于隱私分級的隱私保護(hù)策略。

　　3 基于分級的RFID隱私保護(hù)

　　3.1 系統(tǒng)結(jié)構(gòu)

　　圖2所示為隱私分級構(gòu)架的核心部分。通過Pc等終端，標(biāo)簽擁有者可以設(shè)置標(biāo)簽的隱私等級(Privacy Leve1.PL)和接人控制等級(Access Control Leve1.ACL)。閱讀器請求查詢時標(biāo)簽返回已確定的PTJ，閱讀器將其發(fā)送到后臺Is，Is分析請求的數(shù)據(jù)包，并根據(jù)所設(shè)置的PL提供相對應(yīng)的信息服務(wù)。

　　3.2 隱私分級(PL)

　　PL的設(shè)置包括PL設(shè)置和ACL設(shè)置兩個部分。隱私等級表示所有者向公眾開放信息的隨意度。如表1所示，根據(jù)個人隱私敏感程度不同以及設(shè)置者的個人偏好和所處環(huán)境，標(biāo)簽中設(shè)置了5個PL。1級標(biāo)簽可以提供所有自身相關(guān)信息，而5級標(biāo)簽不會提供任何信息，即標(biāo)簽進(jìn)入休眠或鎖狀態(tài)，除非收到激活碼或解鎖等口令信息，標(biāo)簽不會相應(yīng)任何查詢。

　　定義這樣的PL對于在RFID分析所需的PL和貫徹隱私政策相當(dāng)有用。

　　閱讀器閱讀標(biāo)簽時，標(biāo)簽確認(rèn)其PL，然后把PL和其他所需信息像標(biāo)識碼一起發(fā)回到閱讀器。如果需要屏蔽標(biāo)簽，就把標(biāo)簽的PL設(shè)置為5級，不響應(yīng)任何查詢。

　　通過傳輸已得到的包含PL信息的信息包，Is根據(jù)PL把相關(guān)信息發(fā)送至閱讀器或應(yīng)用系統(tǒng)。

　　3.3 接入控制分級(ACL)

　　對于確保隱私安全和根據(jù)隱私級別進(jìn)行的標(biāo)簽高級安全管理，接人控制等級十分重要，有助于解決攻擊者在未授權(quán)的情況下改變隱私等級。根據(jù)用戶策略 (信息量的大小和重要性)可以把接人控制等級分兩類：標(biāo)簽接人控制等級(ACL )和Is接人控制等級(ACL )，兩者可共存，所需接人數(shù)據(jù)略有不同，表2所示為ACL 。為支持接人控制功能，IS需要有良好的性能和處理能力。

　　需要強調(diào)的是，接人控制等級和所需的接人信息成正比，為從標(biāo)簽或Is請求更高接人控制等級的數(shù)據(jù)，用戶需要更安全的認(rèn)證過程。表3所示為加入隱私等級和接人控制等級后的標(biāo)簽數(shù)據(jù)結(jié)構(gòu)，其中Flag為ACL 控制標(biāo)識，為0時關(guān)閉ACLIS，為1時啟用ACLIS。

　　3.4 隱私保護(hù)機(jī)制

　　圖3所示為所提出的隱私保護(hù)機(jī)制。圖3中的控制者即為標(biāo)簽所有者，他根據(jù)個人的偏好、習(xí)慣等設(shè)置PL。

　　根據(jù)控制者的設(shè)定，在閱讀器閱讀標(biāo)簽時IS可以提供不同的信息。具體過程如下：

　　1)首先控制者根據(jù)表1中的PL將信息分級。然后根據(jù)等級分類結(jié)果，確定隱私等級PL 并寫入標(biāo)簽。當(dāng)然，該PTJ 可重復(fù)寫。類似地，控制者通過等級設(shè)置系統(tǒng)(提供已定義的相關(guān)隱私策略模板和良好的用戶接口)設(shè)置其自身的隱私策略。策略服務(wù)器中有兩類策略：固有策略和控制者設(shè)置的策略(設(shè)置者可修改)，其中前者的優(yōu)先級高于后者。

　　2)PL-r已定義并寫進(jìn)標(biāo)簽和IS后，系統(tǒng)進(jìn)入隱私保護(hù)服務(wù)階段。之前，RFID系統(tǒng)處于默認(rèn)狀態(tài)，只提供對隱私無害的非重要信息。

　　3)該機(jī)制的工作過程如下：

　?、匍喿x器訪問標(biāo)簽時，標(biāo)簽自檢其PL和ACL，根據(jù)不同的隱私等級或是接人控制等級，忽略閱讀器的查詢信息或發(fā)回包含標(biāo)簽ID，隱私等級和IS接人等級(Flag為0時)在內(nèi)的信息包。

　　②如果閱讀器收到標(biāo)簽數(shù)據(jù)包，它把數(shù)據(jù)包發(fā)到網(wǎng)絡(luò)，由此閱讀器在通過中間件或是ONS的ISURL解析之后請求接人IS。

　?、跧s中首先就是解析收到的信息包，取回PLT和ACL 并予以驗證。

　?、苋绻枰脩舻慕尤丝刂?，根據(jù)已定義的ACL進(jìn)行用戶驗證，如果通過驗證，轉(zhuǎn)入⑤ ，否則忽略查詢。

　　⑤Is依據(jù)PL處理請求提供相應(yīng)信息。信息服務(wù)器儲存事件日志并使用安全手段通報控制者。通過日志監(jiān)測，標(biāo)簽所有者可以修改標(biāo)簽或IS中的PL 。

　　3.5 IS接入控制

　　接人控制由標(biāo)簽儲存的IS接人控制等級確定，該信息應(yīng)置于安全保護(hù)中，如通過認(rèn)證和授權(quán)才能獲得。圖4所示為認(rèn)證過程，用戶的認(rèn)證基于ID口令、公共認(rèn)證等。用戶通過認(rèn)證后，信息服務(wù)器把結(jié)果反饋給閱讀器。

　　在實際的RFID系統(tǒng)中實現(xiàn)這種保護(hù)機(jī)制有一定困難，隱私策略的定義、實體間的安全通信和控制等都不易解決。這種安全保護(hù)方案的提供，便于為用戶提供更多的安全保護(hù)選擇，特別是把隱私分級后，用戶可以靈活的利用RFID技術(shù)。

　　4 結(jié)束語

　　在國內(nèi)，RFID技術(shù)的應(yīng)用目前局限于電子票務(wù)和二代身份證等，它的安全與隱私威脅還沒有完全浮現(xiàn)。由于標(biāo)簽資源受限，人們對RFID面臨的安全與隱私威脅尚不夠重視，文中描述的只是部分安全與隱私威脅和解決方案。隨著RFID應(yīng)用的進(jìn)一步普及，它所產(chǎn)生的問題也將更明顯的呈現(xiàn)于我們面前，作者期望采取一定措施，防患于未然，使消費者在享受RFID技術(shù)便捷、高效的同時，不必為個人信息泄漏而擔(dān)憂。