RFID系統(tǒng)安全分析

　　無線射頻識別（RFID）技術(shù)與條形碼技術(shù)等識別技術(shù)相比，具有防水防磁、讀取距離遠、存儲數(shù)據(jù)多、數(shù)據(jù)可加密等優(yōu)點，目前己被廣泛應(yīng)用于交通、物流、醫(yī)療、食品安全等領(lǐng)域。但作為物聯(lián)網(wǎng)重要的感知設(shè)備因其缺乏有效的安全機制，影響到物聯(lián)網(wǎng)的應(yīng)用與推廣。從物理安全、通信安全和信息安全三個角度分析 RFID系統(tǒng)安全問題及其解決方法。

　　0 引言

　　目前，物聯(lián)網(wǎng)逐步被人們廣泛地應(yīng)用，它可以將人們和身邊無數(shù)物品聯(lián)系起來，使物品成為網(wǎng)絡(luò)中用戶的一分子，并給人們帶來諸多便利。但是，在享受物聯(lián)網(wǎng)帶給人類便利的同時，物聯(lián)網(wǎng)在信息安全方面也亟待解決，因為實現(xiàn)信息安全和網(wǎng)絡(luò)安全是物聯(lián)網(wǎng)大規(guī)模應(yīng)用的必要條件，也是物聯(lián)網(wǎng)應(yīng)用系統(tǒng)成熟的重要標(biāo)志［1］。

　　作為物聯(lián)網(wǎng)感知層重要設(shè)備之一的RFID技術(shù)因其具有防水防磁、讀取距離遠、讀取速度快、存儲容量大且數(shù)據(jù)可加密、搞污染能力和耐久性、可重復(fù)使用等優(yōu)點，已被廣泛應(yīng)用于交通、物流、醫(yī)療、食品安全、零售、制造、海關(guān)、安檢、機場等應(yīng)用領(lǐng)域，可見，RFID系統(tǒng)安全直接關(guān)系到物聯(lián)網(wǎng)安全和應(yīng)用的推廣。另外標(biāo)簽信息泄露，如護照、身份證、處方等都會侵犯個人隱私，因此，RFID系統(tǒng)的安全一直是研究的熱點問題。

　　最基本的RFID 系統(tǒng)主要由下面三部分組成：

　?。?）標(biāo)簽：又稱電子標(biāo)簽、智能卡、識別卡或標(biāo)識卡，由嵌入式微處理器及其軟件、卡內(nèi)發(fā)射與接收天線、收發(fā)電路組成。標(biāo)簽為信息載體，含有內(nèi)置天線，用于和射頻天線間進行通信。

　?。?）閱讀器：讀取／寫入標(biāo)簽信息的設(shè)備。

　?。?）后臺數(shù)據(jù)庫：用于存儲標(biāo)簽標(biāo)識所對應(yīng)的相關(guān)數(shù)據(jù)

　　一般情況下，閱讀器和后臺數(shù)據(jù)庫之間的通信可以認(rèn)為是安全可靠的。關(guān)鍵是標(biāo)簽、讀寫器安全，因此，我們把RFID系統(tǒng)安全問題主要分為：物理安全、通信安全、信息安全三個方面。

　　1 RFID物理安全

　　RFID讀寫器偽造是RFID系統(tǒng)面臨的一大威脅。RFID讀寫器與主機之間的通信可以采用傳統(tǒng)的攻擊方法截獲， RFID讀寫器自然也是攻擊者要攻擊的對象。

　　電子標(biāo)簽偽造是RFID系統(tǒng)面臨的另一大威脅。如果不法分子能夠輕易地偽造電子標(biāo)簽就意味著能夠篡改商品或人員的身份，輕而易舉地破壞RFID系統(tǒng)的信用。比如在RFID的商品防偽應(yīng)用領(lǐng)域，能夠非法偽造RFID意味著防偽系統(tǒng)的失敗，目前防止偽造的主要對策是通過ID加密、特殊加工等方法提高偽造的成本。另外，為防止RFID的重復(fù)利用，采用特殊工藝把RFID牢固地固定在物品的開啟之處，一旦物品開啟標(biāo)簽就損壞，不能再利用。比如酒的防偽應(yīng)用中，RFID內(nèi)嵌在木塞里，只要開啟木塞，里面的RFID就遭破壞，無法再利用。

　　RFID碰撞影響RFID系統(tǒng)正常運行。隨著RFID技術(shù)的應(yīng)用越來越廣泛，多個標(biāo)簽進入識別區(qū)域和信號互相干擾在很多情況是不可避免，RFID沖突問題也越發(fā)突出。RFID系統(tǒng)沖突主要有標(biāo)簽沖突和讀寫器沖突。

　?。?）標(biāo)簽沖突。在RFID系統(tǒng)中，當(dāng)多個標(biāo)簽進入到一個讀寫器的讀寫區(qū)域時就會產(chǎn)生沖突，沖突會導(dǎo)致誤讀、漏讀。如圖1所示，沖突還會導(dǎo)致讀寫器讀取數(shù)據(jù)效率大大的降低，最后導(dǎo)致一些標(biāo)簽在讀寫器區(qū)域無法被識別。

　　（2）讀寫器與讀寫器間沖突。當(dāng)兩個或多個讀寫器距離很近時，一個讀寫器會受到另外一個讀寫器的信號干擾。當(dāng)其中一個讀寫器被其他讀寫器干擾時，讀寫器讀取數(shù)據(jù)的效率會降低，或者出現(xiàn)誤讀，如圖2所示。

　　（3）讀寫器與標(biāo)簽沖突。在讀寫器網(wǎng)絡(luò)中，當(dāng)一個或多個標(biāo)簽同時處于兩個或多個讀寫器的讀取范圍內(nèi)的話，也會出現(xiàn)讀寫器沖突的情況。如圖3所示有一個標(biāo)簽在讀寫器1與讀寫器2都可以讀取的區(qū)域內(nèi)，該標(biāo)簽會被讀寫器1和讀寫器2重復(fù)讀取，或者標(biāo)簽無法決定發(fā)送信號給哪個讀寫器，從而導(dǎo)致讀寫器效率的降低，讀取數(shù)據(jù)混亂。

　　目前，多讀寫器對標(biāo)簽的干擾問題主要由標(biāo)簽自身的抗干擾能力來解決。對讀寫器碰撞問題，人們首先考慮在工程安裝時按讀寫器可識讀范圍不重疊的原則來安裝，但因RFID讀寫器具有很高的靈敏度，它甚至可以接受空間里的1個納瓦的能量，因此讀寫范圍不重疊的相距較遠的讀寫器之間也會發(fā)生讀寫器碰撞的問題。目前，針對多讀寫器碰撞問題的解決方法有時隙分配、信道分配、載波偵聽、功率控制等方法。

　　2 RFID通信安全

　　RFID使用的是無線通信信道，這就給非法用戶的攻擊帶來了方便。攻擊者可以非法截取通信數(shù)據(jù)；可以通過發(fā)射干擾信號來堵塞通信鏈路，使得讀寫器過載，無法接收正常的標(biāo)簽數(shù)據(jù)，制造DoS攻擊；可以冒名頂替向RFID發(fā)送數(shù)據(jù)，篡改或偽造數(shù)據(jù)。

　?。?）使用加密手段保證數(shù)據(jù)安全。由于RFID標(biāo)簽的使用數(shù)量大、范圍廣，必須將其造價控制在比較低廉的水平，這使得RFID標(biāo)簽通常只能擁有大約 5 000－10 000個邏輯門，而且這些邏輯門主要用于實現(xiàn)一些最基本的標(biāo)簽功能，僅剩少許可用于實現(xiàn)安全功能。但AES（advanced encryption standard）算法需要大約20 000個-30 000個邏輯門，RSA、橢圓曲線密碼等公鑰密碼算法則需要更多的邏輯門。因此，文獻［4］提出了在RFID標(biāo)簽芯片計算資源有限的情況下解決這些問題的一個安全通信協(xié)議。該協(xié)議利用Hash函數(shù)技術(shù)實現(xiàn)了防止消息泄漏、偽裝、定位跟蹤等安全攻擊，因在目前已有的技術(shù)和芯片制造水平，在tag標(biāo)簽芯片中實現(xiàn)SHA－l等成熟Hash算法大約需要3 000個-4 000個邏輯門，基于Hash函數(shù)的安全通信協(xié)議，用于保證tag和reader之間數(shù)據(jù)傳輸?shù)陌踩裕瑫r防止在傳輸時泄漏tag所攜帶的個人信息和位置信息。

　?。?）Gen-2認(rèn)證協(xié)議提高安全性。針對RFID系統(tǒng)的Gen-2類標(biāo)簽容量有限，僅支持單片16 bit偽隨機數(shù)發(fā)成器（PRNG）和用于數(shù)據(jù)傳輸過程中探測錯誤的循環(huán)冗余碼（CRC）校驗的特點，難以實現(xiàn)復(fù)雜的安全算法，文獻［5］克服使用Hash 函數(shù)增加標(biāo)簽設(shè)計成本的弱點，提出了一種基于Gen-2標(biāo)簽的RFID認(rèn)證協(xié)議，選擇基于異或的方法，將標(biāo)簽32位ID號分為低16位和高16位，利用標(biāo)簽的CRC-16位生成相應(yīng)校驗碼作為密文傳輸。該協(xié)議解決了已有協(xié)議在信息保密性、不可跟蹤性、前向安全性、Tag反克隆性、不可重放性五個方面安全性的問題，提高了數(shù)據(jù)庫查詢速度、降低了RFID標(biāo)簽的設(shè)計成本。

　?。?）非法截取讀寫器的無線信號。讀寫器的輸出功率要遠遠大于無源電子標(biāo)簽，因此讀寫器的電波傳送距離要比無源電子標(biāo)簽遠得多，比如超高頻的讀寫器和無源電子標(biāo)簽的最大通信距離大約是5米，這主要是受電子標(biāo)簽的功率和天線尺寸的限制，而讀寫器本身的電波可以傳播到很遠的地方。如果有人在離讀寫器較遠的地方架設(shè)天線截取讀寫器的電波信號，就很難被人察覺。通過截收讀寫器發(fā)射的電波來獲取信息是一件非常專業(yè)的工作，需要非常大的成本投入，一般的RFID 系統(tǒng)并沒有必要考慮這種信息泄露風(fēng)險，但對一些機密性非常大的信息需要考慮防范措施，比如用吸波材料封閉讀寫器作業(yè)空間，適當(dāng)調(diào)小讀寫器的輸出功率。

　　3 RFID數(shù)據(jù)安全

　　RFID系統(tǒng)中最主要的安全風(fēng)險是“數(shù)據(jù)保密性”。信息泄露是指暴露標(biāo)簽發(fā)送信息，這個信息包括標(biāo)簽用戶或識別對象的相關(guān)信息。如RFID設(shè)備管理信息是公開的，但當(dāng)電子標(biāo)簽應(yīng)用于藥品時，很可能暴露藥物使用者的病理。當(dāng)個人信息如電子檔案、生物特征添加到電子標(biāo)簽中時，標(biāo)簽信息泄露問題便極大地危害了個人隱私。美國于2005年8月在入境護照裝備電子標(biāo)簽的計劃因考慮到信息泄露的安全問題已經(jīng)被推遲。

　　（1）竊取電子標(biāo)簽數(shù)據(jù)。電子標(biāo)簽可能含有企業(yè)關(guān)鍵信息或個人隱私信息，比如產(chǎn)品的生產(chǎn)批次、生產(chǎn)數(shù)量、個人身份、購物習(xí)慣等，如果這些電子標(biāo)簽被盜，意味著企業(yè)內(nèi)部信息或個人隱私信息被泄露。為了防止數(shù)據(jù)的被竊，可采用以下兩種方法：（1）數(shù)據(jù)加密。（2）電子標(biāo)簽不存敏感數(shù)據(jù)，只存無特殊意義的 ID信息，關(guān)鍵數(shù)據(jù)分散在各個服務(wù)器中。

　?。?）篡改電子標(biāo)簽數(shù)據(jù)。如果巧妙地篡改電子標(biāo)簽的數(shù)據(jù)，可能造成非法物品或數(shù)據(jù)容易混入整體業(yè)務(wù)系統(tǒng)，最終破壞業(yè)務(wù)的運行。防止數(shù)據(jù)被篡改的主要方法有：（1）限制存儲器的寫入次數(shù)。如果標(biāo)簽在業(yè)務(wù)整體流程中數(shù)據(jù)不需要改變，就可以采用只讀標(biāo)簽或一次性讀寫標(biāo)簽。切斷了篡改數(shù)據(jù)的物理手段。（2） 限制存儲器的可寫區(qū)域。提前把存儲器的區(qū)域分割成可寫區(qū)域和不可寫區(qū)域，把關(guān)鍵數(shù)據(jù)（如標(biāo)簽ID）放進不可寫區(qū)域，可以防止關(guān)鍵數(shù)據(jù)的篡改。（3）密碼保護。預(yù)先設(shè)定密碼來保護數(shù)據(jù)，每個標(biāo)簽的密碼不一樣，需要增加密碼管理成本。（4）變更存儲器區(qū)域讀寫屬性。對關(guān)鍵數(shù)據(jù)區(qū)域或全體區(qū)域設(shè)置只讀屬性就可以防止篡改。四個措施可以根據(jù)成本要求單獨使用，也可以復(fù)合使用。

　?。?）往電子標(biāo)簽植入病毒。電子標(biāo)簽由于存儲量很小，且存儲的是數(shù)據(jù)而不是執(zhí)行代碼、很難把病毒本身寫進標(biāo)簽本體中，但是篡改存儲器中的參數(shù)變量（比如數(shù)據(jù)長度等）擾亂系統(tǒng)處理的可能性大，如果在中間件、服務(wù)器軟件方面進行嚴(yán)格的排錯處理，可以保證系統(tǒng)的正常運行。目前還沒有有關(guān)電子標(biāo)簽內(nèi)植入病毒，引起系統(tǒng)崩潰的實際案例的報道，成品電子標(biāo)簽也沒有防病毒的措施，但隨著電子標(biāo)簽的大容量、高智能化的發(fā)展，今后需要研究病毒的寄生機制和防范措施。

　?。?）泄露電子標(biāo)簽數(shù)據(jù)格式。電子標(biāo)簽數(shù)據(jù)格式需要對外保密，如果這些數(shù)據(jù)被泄露，不法分子就很容易進行標(biāo)簽的偽造和篡改。有些重要的數(shù)據(jù)要進行分散管理，即不能把所有數(shù)據(jù)集中到一個人身上，以防一旦那個人出事，所有的數(shù)據(jù)暴露無遺。要對標(biāo)簽的制作進行嚴(yán)格的管理，比如設(shè)門禁系統(tǒng)，安裝計算機操作記錄追查系統(tǒng)等。

　　針對用戶個人信息和隱私問題日益突出，考慮到基于公鑰加密的RFID認(rèn)證協(xié)議相對基于哈希函數(shù)和基于對稱密鑰加密的RFID認(rèn)證協(xié)議，有較好的安全性，文獻［6］借助效率較高的公鑰加密算法NTRU （Number Theory Research Unit），開發(fā)出一種新的RFID協(xié)議，為RFID系統(tǒng)提供更好的安全性，能為用戶提供更好的隱私保護，表1顯示出文獻［6］比文獻［7-9］的性能要好。

　　表1 RFID認(rèn)證協(xié)議的安全性對比表

　　文獻［11］利用混沌系統(tǒng)產(chǎn)生的混沌序列對RFID系統(tǒng)中閱讀器與標(biāo)簽之間傳輸?shù)臄?shù)據(jù)進行了加密，并建立了一個基于混沌加密技術(shù)的RFID系統(tǒng)安全模型。

　　為了解決克隆攻擊、重傳攻擊、標(biāo)簽跟蹤等幾種常見的RFID安全問題，文獻［12］在分析單證明者交互模型的基礎(chǔ)上，提出了一種改進的、安全性更好的、適用于RFID的多證明者交互證明模型，并在此模型的基礎(chǔ)上進一步提出了一個適用于分布式RFID環(huán)境的基于橢圓曲線門限秘密共享方案的RFID安全協(xié)議。

　　由于碼分多址技術(shù)具有很好的保密性、抗干擾性和多址通信能力，文獻［13］運用認(rèn)證密鑰和Hash函數(shù)，設(shè)計了一種基于碼分多址技術(shù)的RFID系統(tǒng)安全認(rèn)證協(xié)議，不僅能有效地解決標(biāo)簽的碰撞問題，而且可抵抗包括重傳、跟蹤、阻斷和篡改在內(nèi)的多種攻擊手段。

　　4 結(jié)論

　　由于RFID技術(shù)進步和成本的迅速下降，RFID系統(tǒng)已被各領(lǐng)域廣泛應(yīng)用，但RFID日益突出的安全問題影響到RFID的進一步應(yīng)用。為此，本文分析了 RFID系統(tǒng)安全存在的問題和解決對策，我們有理由相信，從RFID技術(shù)、RFID系統(tǒng)設(shè)計、加密技術(shù)和安全意識、安全管理等多種手段入手，RFID安全問題一定能得到解決。