CN101103366A - 射频识别应答器的安全性 - Google Patents

Abstract

本发明涉及射频识别应答器的安全性。通过使用基于单向散列函数而生成的伪名可以实现基于RFID的系统中标签信息的安全性和私密性。基于二叉单向树的系统允许对认证密钥进行可量测地生成和解码，以获得对标签标识的访问权。所描述的装置和方法还可适于为读取器提供对标签信息的有限访问权。

Description

射频识别应答器的安全性

技术领域

本发明总的来说涉及RFID(射频识别)技术，具体地说，描述了使用这种技术来操作安全系统和私密系统的装置和方法。

背景技术

射频识别(RFID)是一种具有高度潜力的能够从根本上改变收集与物理世界有关的信息的方式的技术。RFID标签通常被用于进行多个物品的识别而无需视线或手动干涉。使用RFID，供应链中的货物集装箱(pallet)可以在无需对该集装箱卸载或拆包的情况下进行清点。由于允许无需排队的结帐和抑制了伪造，被嵌入在消费产品中的RFID可以向客户提供新的购物体验。在初始的售出点之后，RFID标签可以被消费者用来实现在其家中的服务，或者被用于产品退货、回收和二手销售。自动识别设备已经在图书馆和媒体租赁公司成功地提高了循环存货系统的效率。将来，我们会看到更多的物品被打上标签以及许多新的应用得以实现。RFID的部署可能会影响消费者的购买习惯。消费者通过在互联网上引用标签ID可以获得更好的产品信息。RFID有望允许无收据退货和减少售后偷窃。然而，虽然有这些期望的优点，但是RFID技术已经引起了关于隐私的担忧。关于对RFID系统、它们的部件和操作的介绍，读者可以参考Sama、Weis和Engels的论文，所述论文的公开内容在下文中被引用，并且通过该引用而并入。

RFID标签可以无需视线地被读取并且可以被不可见地嵌入到消费产品中这一事实使得难以控制消费者信息的私密性。对于普遍存在的应用来说，标签必须便宜(这损害了其针对安全性的能力)并且可以被同时高速读取(这使其难以要求复杂的通知和授权)。私密性风险导致了两个基本要求：防止信息泄漏以及防止追踪。此外，由其本质决定，标签不能停留在单个所有权领域中，所以它们必须是可转移的，但是需要保护标签经过其手的各个当前(和过去)的所有者的隐私。在多方必须读取同一标签而不转移所有权的RFID应用中，RFID系统理想地应该包括向第二方授权访问标签的能力。

如果在产品的整个生命周期内使用同一RFID标签，或者如果该ID是用保持不变的密钥进行加密的，则可以沿供应链追踪该产品。能够访问该标签的任何方都有能力在标签的生命周期内这样做，而无需考虑当前所有者的隐私。这种标签(例如在工业间谍或更糟的情况下)易遭未授权访问。

因此，期望增加使用RFID标签的安全等级。具体来说，标签不应该损害加标签物品的持有者的隐私。这意味着未授权方应该不能访问标签信息。其一个方面在于，不应该存在允许被先前授权(但现在未授权)的尤其在供应链的环境下相关的读取者追踪到的长期关联。

本发明描述了以提高的安全性和私密性操作基于RFID的系统的装置和方法。出于例示的目的，下面的讨论在消费品的供应链的环境下进行，但是应该理解，本发明可以具有宽的应用范围，因此不受任何具体环境的限制。

以下是用于解决上述私密性和安全性问题的一些已知方法。

一种方法是使写在标签上的信息量最小化。按能够满足供应链实践但限制向不希望方公开信息的方式对产品信息进行编码。根据EPCglobal和ISO-18000标准的标签支持隐私保护命令，所述隐私保护命令包括用密码保护的“关掉(kill)”命令和一48位的读取密码，从而提供了访问控制能力。此处的思想在于，标签可以被检测和禁用，从而之后该标签和该加标签物品变为匿名的。例如在零售的情况下，标签可以在售出点被“关掉”。采用这种方案的一个问题是缺乏灵活性：在被“关掉”之前，任何人可以无区分地访问该标签；之后，没有人可以访问该标签。例如当售出后消费者想要对有缺陷的物品进行退货时，这将是不方便的。关掉命令方案假设标签ID对标签的读取范围内的任何方都是可开放访问的。在对标签发出关掉命令之前，在供应链中的实体之间或者对于其他方来说没有提供私密性。

另一种公知方法是对标签进行重新编码。目前，当加标签产品被售出时，即使对该加标签物品的控制已经脱离零售商，零售商仍然可以追踪该加标签物品。对标签进行重新编码包括使用可写入标签，以及当产品被易手时进行重新编码操作。在这种情况下，读取器将用一组新信息对标签进行重写，并且保持原始电子产品编码(EPC)和新编码之间的映射。如果没有对该映射的访问权，先前或未来的产品所有者将不能访问标签信息。对该映射的访问权可以用保持该映射的数据库所执行的私密性策略进行控制--增强安全性的任务从资源有限的标签转移到了数据库。该方法的缺点是使用基础设施的成本和管理。每次当加标签物品的所有权或控制权易手时，供应链中的各方必须要有必要的设备来执行重新编码操作，这代表额外的成本。此外，除非提供某种形式的访问控制，否则重新编码操作易遭恶意方重新编码。

又一种公知方法是在标签每次被读取器查询时修改标签的标识符。产品标识符和产品信息之间的关联被保持在安全数据库中。因此，通过用散列函数来刷新标签的标识符，标签不会可预测地响应读取器。安全数据库可以将标签输出与产品信息进行映射，因为它可以访问用于生成标签输出序列的密钥值。

已经作出了各种用于提高安全性的建议，包括以下建议：

-A Juels and R Pappu：“Squealing Euros：Privacy-Protection inRFID-Enabled Banknotes”(Financial Cryptography’03，pages 103-121，RWright，ed.Springer-Verlag.2003.LNCS no.2742.)

-Sanjay E Sarma，Stephen A Weis and Daniel W Engels：“RFIDSystems and Security and Privacy Implications”(Workshop on CryptographicHardware and Embedded Systems，pages 454-470.Lecture Notes inComputer Science，2002.)

-A Juels：“Minimalist Cryptography for RFID Tags”(Security ofCommunication Networks(SCN)，C.Blundo，ed.，2004.)

发明内容

根据本发明的第一方面，提供了一种射频识别应答器，该射频识别应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的。

根据本发明的第二方面，提供了一种射频识别应答器，该射频识别应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的，并且所述射频识别应答器响应于检测到的探询尝试的序列中的各探询尝试，提供预定的标识符序列中的一个标识符，所述标识符序列是或者基于所述散列树的预定的叶子序列。

根据本发明的第三方面，提供了一种用于向RFID应答器的读取器提供仅在预定的读取尝试次数内读取特定应答器的权限的系统，该系统包括：

所述读取器；

授权装置；和

射频识别应答器，该射频识别应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的；

所述授权装置和所述应答器共享标签的所述散列树的知识，所述知识不为所述读取器所知，

其中所述读取器：

(i)被配置为向所述应答器进行探询，以获得所述应答器所输出的标识符；

(ii)被安排与所述授权装置进行联络并揭示其自身的标识以及所获得的标识符；

所述授权装置被安排为检查所述读取器读取所述应答器的资格，并且如果所述读取器有资格读取所述应答器，则所述授权装置向所述读取器提供关于所述散列树的信息，以允许所述读取器在预定的探询尝试次数内/超过预定的探询尝试次数地读取所述应答器。

根据本发明的又一方面，提供了一种用于向射频识别应答器的读取器提供仅在预定的读取尝试次数内读取特定应答器的权限的方法，所述应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的，所述方法包括以下步骤：

(i)用所述读取器探询所述应答器以获得由所述应答器输出的标识符；

(ii)从所述读取器向授权机构提供所述读取器的标识以及所获得的应答器标识符；

(iii)所述授权机构检查所述读取器读取所述应答器的资格，并且如果所述读取器有资格读取所述应答器，则所述授权机构向所述读取器提供关于所述散列树的信息，以允许所述读取器在预定的探询尝试次数内/超过预定的探询尝试次数地读取所述应答器。

本发明使用在供应链上传播或在多个所有者之间传播的物品上的仅被授权方识别并且仅可进行有限次读取操作的RFID标签，解决了所引起的隐私问题和安全问题。这是通过使用伪名(pseudonym)方案实现的，伪名方案在标签和读取器之间提供更短暂的耦合，并且安排由信任的第三方来向读取器提供密钥。

代替现有技术所教导的方法，即，要求读取器针对各次和每次读取都要求助于第三方，读取器被给予了临时密钥，该临时密钥在指定次数的读取操作之后过期。这实现了一种灵活的系统，在该系统中，当商品沿供应链移动时，可以按期望增加或移除授权的读取器。

本发明还考虑到在这种RFID系统中可用的非常有限的资源。由于成本方面的考虑，仅有最基本的标签才可能被考虑普遍部署在例如消费品供应链中。因此，在标签中仅应实现简单的功能。本发明将要求使用标签装置中的单向散列函数或伪随机函数或它们的组合。

附图说明

现在将参照附图仅通过实施例来描述本发明的实施方式，在附图中：

图1描绘了本发明的在RFID系统中向读取器提供对标签的临时访问权的实施方式。

图2是描绘了图1中所描绘的方法的步骤的流程图。

图3描绘了标签如何生成标签伪名和提示消息的第一实施方式。

图4描绘了基于散列方案的隐私认证方案。

图5描绘了二叉单向树。

图6描绘了基于使用单向二叉树的散列方案的隐私认证策略。

图7描绘了如何结合单向二叉树使用提示消息来访问标签。

图8描绘了单向二叉树在本发明一另选实施方式中的使用。

图9描绘了本发明一另选实施方式中的读取操作。

图10描绘了本发明一另选实施方式中的提示消息的操作。

具体实施方式

图1是本发明的一实施方式的示意性概略图，示出了根据本发明的RFID系统的三个主要部件之间的关系和通信。在标签、读取器和第三方机构之间的事件期间发生了多次交换(exchange)E1到E5。

图2是描述典型的读取和访问会话的步骤的流程图。

现在将结合图1和图2讨论本发明的实施方式。

在图2的步骤S1，读取器(4)通过用适当的射频辐射扫描标签(2)来建立与该标签的初始联络。这由图1中被标记为E1的箭头进行描绘。

在步骤S2，标签通过向读取器发送包括“伪名”的输出E2来进行响应。

在步骤S3，读取器接收该伪名(输出E2)。如果读取器在其自身内具有允许其“解码”该伪名的信息(“是”)，则不需要从第三方机构寻求解密密钥(在本说明书中有时被称为“种子(seed)”)。如果读取器没有该信息(“否”)，则处理移动到授权阶段。

步骤S4表示授权处理的开始。这是一可选步骤，并且它可以是响应于来自读取器的不同命令而产生的。在该阶段中，读取器可以从标签中获取更多信息以实现解密操作。该信息可以为“提示消息”的形式，或者可以为较长伪名的形式。

在步骤S5，读取器向具有读取器所需信息的第三方机构(6)发送授权请求(E5)。该授权请求可以包括伪名、读取器凭证与可选的提示消息的组合。读取器凭证可以是任何预先约定的事物，第三方机构出于确定特定读取器是否应该被授权并访问标签的实际ID会接受该事物。例如，它们可以包括或者是读取器自身的ID。另外或另选的是，它们可以是由供应链中的前一方通过电子帐单等传递给该读取器的信息。第三方机构检查该凭证(诸如证书)，以在发布信息之前对该读取器进行认证。一旦读取器被认证，则可以获得许可给该读取器的访问权限，并且可以根据这些权限发布信息。

在步骤S6，第三方机构确定授权请求(E5)的有效性。如果读取器应该被授权的条件满足，则可以向读取器发放一个或更多个解密密钥以及标签ID(E6)。可能有这种情况，即读取器所联络的机构没有足够的密钥来理解读取器所传递的信息或为读取器生成一个或更多个访问密钥。在这种情况下，该机构可以将该请求传递给具有更大访问权限的另一机构。

在步骤S7，读取器现在具有解密密钥。这使读取器可以用下面所讨论的方法来解码伪名并获得真实的标签ID。如上面结合步骤S3所谈到的，如果读取器在该阶段已经具有密钥，则它可以绕过授权处理(步骤S1到S6)而直接移动到步骤S7中的解密处理。

下面将结合图4讨论图1的交换E7和E8。这些交换涉及标签和读取器的互相认证的可选步骤，所述可选步骤在使用中提供甚至更高的安全性。

在本发明的该实施方式中，读取器将仅可临时访问标签。这是通过仅向读取器许可有限次数的读取而实现的。当达到该限制并且读取器需要更多访问时，必须申请新的授权阶段。

如上所述，第三方机构的作用可以由标签制造商或者发行者、或者标签的第一个用户来实现。所述作用还可以由本申请人的同时待审定专利申请GB 0428543.3中所描述的装置来实现。尽管至少一个机构必须具备标签可以产生的整个伪名集的知识，但是另外的机构可被委派这些知识的子集，这使它们可以仅针对标签生命周期的某阶段授予访问权。以层级结构联结这些机构可以减少施加给主要机构的负担。

第三方机构可以计算有时限密钥，该有时限密钥向读取器提供在有限次数内解码特定标签的伪名的能力。具体来说，可以允许第三方机构计算允许识别接下来的n个伪名的密钥，其中n是由应用策略指定的。该密钥通过安全信道传送给读取器。

一个问题是如何使伪名系统适于大量的标签而不会导致过度的复杂性。在n个标签的数据库中，对伪名进行单向解码要对所有n个标签进行线性扫描。在本发明的方案中，传递所有权和有时限密钥这一附加特征没有增加解码复杂度；这仍旧与当前RFID伪名解决方案中的解码复杂度相当。

图3是从标签生成提示消息的方法的表示，结合上面的步骤S4简要地讨论该方法。当读取器向标签请求提示消息(E3)时，可以使用与对下一伪名的请求(E1)不同的命令。另选的是，可以使用单个读取器命令，并且标签可以周期性地发布提示消息，例如，每生成n个伪名，产生一个提示消息。

标签的输出(图1中的交换E2)随着每个读取操作而改变。具体来说，未授权读取器无法将标签的每个输出与任何其他先前或未来的标签输出相关联。这是防止追踪的重要属性，并且类似地提示消息一定不能重复。这意味着(通过命令E3)明确要求提示消息的读取器将必须在发布提示之前(例如通过进行多次读取操作)将标签伪名推进(advance)多达n个步骤。如果其他读取器期望具有对该标签的同时访问权限，则这种输出提示的方式可能不是最有效的。下面结合图10的讨论还提供了涉及提示消息的另一解决方案。

以下例示了如何将在图1和图2中描述的方法应用于医药行业中的供应链环境。

医药物品(例如药品)在其制造点处被固定一标签。该标签实现根据本发明的安全方案。多个这种医药物品通常被包装在一起，并且被发送到供应链中的下一方，例如分销商。在各物品离开供应链并进入消费者领域之前，各物品上的标签将被不同方读取几次。

当医药物品在制造领域和批发领域之间转移时，帐单通常会发送到目的地(比如批发商)。该帐单可以包含对产品的描述(例如，其EPC)以及第三方机构的位置(例如统一资源定位符)。这可以单独地或者与其他信息一起充当在上面的步骤S5中提及的全部或部分读取器凭证。当这些物品到达批发商时，读取器将读取该标签的输出，并且向第三方机构请求访问权。在被授予访问权之后，该批发商将可以访问该标签ID。具有这种访问权，批发商可以随后验证帐单上列出的所有产品已经到达。此外，批发商还可以在数据库中查找与该标签相关联的信息，该信息可能给出关于诸如物品制造日期的事物等的信息。这种数据库可以在批发商本地，或者这可以是例如由制造商维护的、可以提供例如最新产品信息的集中式数据库。

当药房对医药物品下订单时，批发商安排发运和编制帐单。批发商向药房传递产品的EPC以及第三方机构的详细联系信息(诸如URL)。该信息可以再次被包含在电子帐单中。虽然在从批发商向药房运送货物时这些详细信息会伴随这些货物，但是如果优选地以安全的方式分开发送它们，则会提高安全性。这些医药物品将具有包装ID或发运ID，该ID也会出现在从批发商到药房的帐单或其他消息上，从而物品的EPC和相关URL可以清楚地与药房所接收到的货物相关联。

当所述物品到达药房时，标签将再次被读取，并且再次向第三方机构请求授权。

当然，发运人在以上处理的任何阶段中可能会要求访问标签，并且这可以以相同的方式通过向第三方机构发送请求来获得。

在到达零售药房后，物品随后将被放置在药房的货架上进行销售。当物品被售出时，所有权转移给终端用户。根据本发明的安全性解决方案包括一种取消药房对标签的访问权并将控制权转移给用户的方法。这是本系统的重要特征。例如，具有3TC处方的人可能携带人类免疫缺陷病毒，并且可能期望将这种信息保密。

现在标签处于消费者领域。消费者将具有两种选择。第一种选择是对于任何其他服务用户都不需要利用该标签。在这种情况下，根据本发明的解决方案确保了用户的隐私--对医疗信息的追踪和读取将是不可能的。任何没有解密密钥就读取标签的企图都会失败。然而，消费者可能需要访问标签的ID。例如，消费者可以将物品放在“智能货架”上，当应该拿取特定药品时该智能货架将通知消费者。在这种情况下，消费者的读取器将需要向第三方机构请求标签ID访问权。

当用户扔掉装有任何未使用药品的药品容器时，废物处理公司可以使用该标签用于回收用途。在这种情况下，该方案将保护消费者的隐私，但是出于追踪的目的以及为了链接到废物处理公司自己的数据库，仍保持了标签的功能。

图4描绘了在基于散列的伪名方案中发生的标签和读取器之间的交换。可以基于使用密钥散列的消息来防止对标签的未授权追踪和识别，所述密钥散列的消息例如由Krawczyk，H，Bellare，M和R Canetti在“HMAC：Keyed-Hashing for Message Authentication”(RFC 2104，1997年9月)中进行了描述。

在装配时，对标签设置唯一的标识符对(YID，ID)。YID是将在标签和授权的读取器之间共享的密钥(包括比特序列)。G是单向函数(例如SHA1或伪随机函数)，其运算使得其输出不揭示任何与输入有关的信息。当被查询时，标签生成新的元素(该元素是通过向密钥“YID”应用单向函数而得出的)并且通过多次读取而获得一系列元素：YID 1、YID 2...YID n-1、YID n。对于每次交易，伪名Sk＝r1，G(r1，G(r1，YID k))将被生成并被标签发送给读取器。

读取器将对用于验证标签消息的(YID，ID)对进行识别，并且可以可选地用ID XOR G(r1，YID k)来应答标签。该信息向允许互相认证的标签认证读取器的标识，因为G(r1，YID k)仅可由与该标签共享同一(YID，ID)对的读取器生成。

对于不知道(YID，ID)对的读取器来说，标签的单个输出与随机值无异，并且无法将其与先前或未来的输出相关联。针对标签和读取器之间的通信的窃听者不能获取与标签有关的任何其他信息。

上面描述的互相认证方法可以限制恶意用户使标签值沿散列链循环的能力，或者用于使标签或伴随的装置识别合法读取器，所述装置例如为在本申请人的同时待审定专利申请第GB 0428543.3号中所描述的装置。

如上所述的通过单向函数生成标签标识符的已知认证方法不能被视为有效的解决方案。首先，它们遇到可量测性(scalability)问题，如果要获得散列值，读取器必须检查可能标签的所有组合。其次，所述方法不支持所有权的安全转移。先前被授权访问标签的读取器可以继续读取该标签。然而，本发明的装置和方法解决了这两个问题。

图5示出了具有两个单向函数的二叉单向树。这两个单向函数在这里分别用术语“左(left)”函数和“右(right)”函数表示。通常，可以使用单向散列函数(例如SH1或MD5算法)来构建它们。

树中的密钥序列可如下地构建。初始根种子“S(root)”与树相关联，而参数深度D表示树的叶子数N＝2d-1。

中间值如下地生成：

1.D层密钥值为Z(0)＝left{Z(root)}，Z(1)＝right{Z(root)}。

2.D-1层的密钥为：Z(00)＝left{Z(0)}，Z(01)＝right{Z(0)}，Z(10)＝left{Z(1)}，Z(11)＝right{Z(1)}。

3.树的D-2层为：Z(000)＝left{Z(00)}，Z(001)＝right{Z(00)}，Z(010)＝left{Z(01)}，Z(011)＝right{Z(01)}，Z(100)＝left{Z(10)}，Z(101)＝right{Z(10)}，Z(110)＝left{Z(11)}，Z(111)＝right{Z(11)}并以此类推，创建深度为D层的中间种子值的二叉树。

在该实施例中，可以注意到：

·层“i”中的种子生成2^(i-1)数目的叶子。

·由于“left”和“right”单向函数的性质，种子的孩子彼此之间没有类同之处。

·树中的孩子的价值为双亲的一半，这是因为双亲可以生成两倍的叶子因而给予对标签标识符的更大访问权。如果被授予了对树的一部分的访问权，则访问权被给予与使树中所有密钥的计算能够被公开的叶子最接近的种子的较小集合。当给予了对种子的访问权时，接收者需要知道种子位于树中的哪里。

在例如D＝8的树中，如果访问权被给予层3中的种子(例如S001)，则接收者将能够生成4个叶子密钥。所有其他密钥将保持隐藏。层的选择限制了所公开密钥的数目。如果读取器需要访问更多密钥，则可以公开一个或更多个新密钥以扩展读取器的访问权。

以上工具通过应用于上面针对图4讨论的基于散列的认证方案，但是限制读取器可进行的读取操作的数目，可以用来向读取器授予临时访问权。除了达到限制曾经被授权但不再有授权的读取器访问标签的目的以外，这还有助于减小读取器的计算复杂性。

根据本发明的此方面，在认证协议中使用的种子YID k是二叉单向树的叶子。如上所述，YID k随着每次读取操作而改变。YID k沿着树的叶子前进。

按此方式根据本发明实现的方案的优点是：

·向读取器给出了良定义的序列，从而共享该序列的知识的读取器和标签可以通信。

·揭示树中的中间值可以向读取器揭示子序列。读取器将仅能够以有限数目的读取操作来认证和访问标签(因为它将用完它所理解的树的叶子值)。

为了获取可进行“n”次操作的对标签的访问权，可给予读取器在层log(n)+1中的少到1个的种子。例如，通过知道层4中的单个种子值可以授权进行8次读取操作。另选的是，可以利用各自位于层3的2个种子来授权进行8次读取操作。为进行“n”次操作而必须授权的密钥的数目根据在树中的起始位置而变化。

知道树的值的读取器现在与标签松散耦合，并且仅持续这样的读取操作的时长，即对于所述读取操作来说已知足够的种子。每次读取查询时，所有标签生成新的伪名。因为读取器将仅能在授予其的读取操作次数内追踪和访问标签，所以当物品易手时不需要标签重新编码操作。当读取器用完授予其的读取操作次数时，它对标签的访问权自动结束。在标签从链中的一方转移到下一方而前一方仍有未使用的读取操作的情况下，可以处理掉这些操作。这可以通过多次读取标签来实现，或者如果扩展了读取协议，则可以沿树的叶子直接跳到某距离之外的值。这用来取消先前的对标签的访问权而无需向标签写入新的密钥。

读取器和标签之间的耦合留给了第三方机构。在一可能的场景中，原始制造商控制(YID，ID)对，并且担当标签的第三方机构来存储读取器凭证以及授权或拒绝访问。当读取器需要访问特定标签时，它需要种子(或者树的元素)的集合。该集合由给予达到所要求读取操作次数的访问权的树的中间节点组成。所允许的操作次数可以通过新的授权请求来扩展。

当请求授权时，新的读取器必须向第三方机构通知标签的当前状态。这是因为第三方机构不知道标签的当前状态以及该读取器当前正在使用哪个叶子值。第三方机构可以根据标签生成的伪名值来计算标签ID和树序列的当前状态。

第三方机构需要在读取器事先不知道标签标识的情况下知道要将哪个种子分配给特定读取器。如果标签不能向当前未授权读取器发布关于标签ID的信息，则可以替代地发布关于树序列的状态的信息，以帮助实现标签ID/当前密钥值对的单一性(sigulation)。

一种方法是，读取器在要求访问时将向第三方机构提供普通凭证、以及当前标签消息和根据伪名树中沿着从根到当前使用的叶子值的路径上的中间节点生成的提示消息。

使用上述方案，如果第三方机构仅从标签接收到伪名，则识别该特定标签的正确标识的处理将具有O((n)(N))数量级的复杂度，其中n表示树所生成的叶子的数目，而N是第三方机构管理的标签的数目。

使用提示消息可以将识别标签所涉及的计算复杂度降低到O(N)数量级的复杂度。在本发明的方案中，提示可以被用于比搜索全部可能的伪名空间更快地识别标签。将提出两种不同的提示机制解决方案：树位置提示和根到叶子提示。

作为一实施例：在装配时，再次对标签设置唯一的(YID，ID)对，其中YID是该标签的树的根种子。假设有一可进行“n”次读取操作的树，其中树深度为log(n)+1。

n＝4096的标签将要求树的深度为d＝12+1。如果标签保持中间节点值，则需要针对每次读取操作计算2个单向散列函数(最小为1，最大为log(n))的平均值。为了保持树，标签需要例如利用计数器来存储树中的当前位置。当被查询时，标签生成新的叶子“Yleaf”(之前被称为YID k)，并且生成消息Sk＝G(r1，G(r1，(Yleaf)))。

假设已经对授权的读取器授予了对树的子集的访问权。读取器通过(Yi，ID)对来识别标签，Yi是树的在“i”层的元素。层“i”(其中i＝1是树的叶子)的密钥将给予2(i-1)次读取操作的访问权。为了效率，将“i”选择为小的值，这将限制读取器访问特定标签所需执行的工作量(限制为2(2(i-1))-2次散列函数求值)。当接收到标签消息时，读取器将寻找用于验证该标签消息的(Yi，ID)对。

平均起来，对于每个读取循环需要为标签调用四次单向散列函数(即，针对二叉树的两次以及两次G)。树信息需要在每个循环进行更新。该实施例使用二叉单向树，并且标签可以存储从根密钥到树的当前叶子的log(n)+1个密钥。

当读取器不知道标签的标识时，由于如何识别标签标识的问题而引起了可量测性问题。例如，读取器接收到新的标签，并且读取器不知道应该使用哪个密钥来解码伪名。第三方机构可以授予访问权，但是为了这样做，它需要具有一些关于标签所使用的当前树叶的信息。

图7描绘了根据本发明的解决方案。

标签可以生成树位置提示。提示消息包括指向二叉单向树中的种子的信息。因此，该提示可以充当关于当前正在使用树的哪部分的指示符。通过采用提示消息，第三方机构可以识别标签，并且从该时间点向授权读取器公开用于访问标签的种子的有效集合。可以在用于产生伪名的根种子和当前伪名自身之间的不同层发布提示消息。

现在描述的方案使用如早先在图3中所描述的伪名值与根据树的中间节点而产生的提示的交织。在该实施例中，仅使用一层的中间节点来产生提示消息，但是在实践中可以使用许多层，只要该层被标签的输出清楚地指出即可。对(不同层的)提示和伪名进行交织的一个缺点是一些序列信息对于未授权读取器是清楚的，并且可以被用于对标签进行有限的追踪。另一个缺点是必须有意地推进标签伪名以获得提示值。通过下面结合图10所描述的提供提示消息的另选方法可以解决这些问题。

在以下步骤中，示出了如何使用提示消息来识别当前标签：

每2i次读取操作，标签公开一提示消息。提示可以是H(Yi)，其中Yi是层i中给予2(i-1)次操作的访问权的种子，而H是散列函数。由于是单向函数，所以H(Yi)不向对手公开关于树的任何信息。H(Yi)被第三方机构共享(所知)。

该提示将被读取器用来请求访问权。当读取器接收到新的标签时，它需要检索H(Yi)。根据图3所示的方案的读取器将重复地读取标签，直到提示值被公开。此时，读取器将能够访问第三方机构，并且通过向该机构提供提示消息来请求访问权。

如果读取器被授权，则第三方机构将随后把种子值Yi传送给读取器。该读取器将被临时授予访问权。

使用提示消息是有益的，因为它大大降低了复杂度。如果不使用提示消息，在以下情况下会发生问题：

·标签出乎意料地到达新的所有者，没有信息伴随该标签被转移。

·从标签最近一次被特定读取器扫描以来，其他方已经对标签进行了未知次数的读取。

在这些情况下，读取器必须在对每个可能的标签沿伪名链进行有限次的检查后放弃，并且得出标签不明的结论。读取器不能分辨对不明标签的响应和来自已知标签、但超出读取器所检查的点的伪名。

使用提示消息，复杂度被降低到O((k)(N))，其中k取决于所公开种子的层数。如果层数高(其中，该提示靠近根)，则第三方机构将必须进行有限次的散列运算以找到正确的树并识别标签。例如：d＝10(树的维度)，i＝8，为了识别标签，密钥机构遍历2(d-i)＝4个密钥。搜索复杂度为O(4×N)。

在该第一实施方式中，处理如下进行工作：

1.读取器从标签中读取当前伪名，并尝试将该伪名针对预测的伪名值空间进行匹配。

2.如果该匹配失败，则读取器从标签中获得提示值。这可以通过重复读取直到获得提示值或者通过自动推进标签直到给出提示值的特殊指令来获得。

3.如果该提示值位于散列树中可以被为读取器所知的密钥覆盖的层中，则读取器可以尝试将该提示值与已知标签进行匹配。例如，尝试针对在树的叶子之上的4层来匹配一提示值等同于沿树的叶子搜索32个伪名的空间。因此，通过沿已知的较高层的提示值进行搜索，读取器可以快速地识别该标签是否为已知。标签必须向读取器给出关于正被使用的层提示的信息。

4.如果获得的提示值在树中比读取器所知的更高，或者如果提示值因为超出了为读取器所知的序列而不能被匹配，则读取器必须询问第三方机构。该机构可能知道根种子，并因此知道该树的全部，或者仅知道该树的部分，但是该部分是具有比读取器自身所知的种子多的种子的部分。

5.如果上述机构不能够解码提示消息，则可以向其他机构(例如具有关于整棵树的知识的根机构)提出请求，以解码该提示值。

根机构总是能够解码标签，因为它知道树的根密钥。对于根机构来说，解码提示值的成本取决于提示在树中的层数。如果提示是根值本身，则该机构可以立即在根种子的列表中查找该值。对于根以下的某些层来说，针对每个标签预先计算出所有可能的值并且进行立即查找是可行的。如果该匹配失败，则该标签对于该机构是不明的。对于在树中较低的提示值来说，该机构将存储树中最后所知的位置，并且沿有限的值空间进行检查。如果该搜索失败，则该标签可能是不明的，或者沿伪名树充分地推进从而无法识别。应该再次注意，搜索提示消息的有限集合等同于沿着树的叶子搜索大得多的伪名空间。

应该注意，在根据本发明的系统中，树中的多个层可以被用作提示值。的确，一种解决方案是要通过提供“根到叶提示”而使用树中的所有层。在下面描述了在所有层发布提示的一种实现。

可以响应于读取器请求而产生交织的伪名值和提示消息。在两种情况下标签可以以相同方式进行响应，但是使用树中的中间节点的散列值来替代叶子处的散列值，所述中间节点是比叶子更接近根的节点。因此，发布提示消息可以整合到伪名序列。例如，散列值可以是图5中所描绘的树中的值(从左至右展现)。

在该附图中，用于产生标签响应的散列值可以这样前进：Z000，Z00，Z001，Z0，Z010，Z01，Z011等等。对于每次发布，必须识别出所使用的层，从而读取器可以确定尝试与哪个散列值匹配。

现在将讨论在本发明的系统中包括提示消息的成本效益。如上所述，接收到伪名的读取器会发现没有提示消息的话就难以识别标签。将针对一组期望的伪名和标签来检查伪名。该组标签可以用知识(例如关于当天哪些产品可能到达特定读取器前的过程/存货知识)来限制。然而，通过从最后所知的伪名值开始搜索，可以限制伪名搜索。提示消息的使用允许跨树中的中间层中的小得多的值集合进行搜索。此外，同时从树的多个层获得的提示能够实现标签的快速识别(根据高层提示)以及容易地向下导航到当前叶子伪名(但是匹配中间层提示)。

我们现在提出第二实施方式，该实施方式通过将伪名与提示结合在一结合标签消息中，提高了标签读取操作的效率。

(图8、9和10中示出的)该方法将提示信息和伪名作为一整体的标签响应进行发布。当标签响应较大时，优势相当显著，因为伪名不需要像上面结合图3所讨论的实施方式那样必需被读取器推进来获得提示值。此外，与伪名同时发布的提示值允许读取器(或者机构)直接导航到伪名，而不是在一空间中搜索匹配。

该另选方法降低了后端系统的复杂度，但是就在读取器和标签之间交换的消息而言增加了通信复杂度。

这里，H被定义为单向散列函数，R被定义为伪随机数。通过标识符对(YID，ID)来识别标签，其中YID是密钥，ID是标签标识符。在读取操作期间，读取器发送随机数R1，标签作为响应发送消息R1、R2、H(R1，R2，YID)。只有可以访问(YID，ID)对的读取器才能识别标签。

可以按两种方式获得随机数的生成：(i)通过随机数生成器，或者(ii)通过单向散列函数。在使用单向散列函数时，生成作为随机数的R，R＝H(CNT，S)，CNT是每次读取操作都递增的计数器，S为128位密钥(未共享)，H为单向散列函数或伪随机函数。

该方案实现了在David Molnar、David Wagner的“Privacy and securityin library RFID Issues，Practices and Architectures”(2004 ACM Computerand Communications Security conference)中提出的某些建议。然而，Molnar和Wagner的方案不允许加标签物品的控制权或所有权易手，但是我们的应用二叉单向散列树的方法允许提供对标签标识的有限访问。

在应用上文提出的单向二叉树工具时，后端系统的计算复杂度降低。密钥YID与二叉单向树中的种子相关联。与上面描述的第一方案不同，标签不生成与树的叶子相关联的单个输出，而是生成与从树的根到叶子的不同密钥相关联的多个输出。

如图8所示，在装配时对标签设置唯一的标识符对(Z-Root，ID)，其中YID＝ZRoot为树的根种子。结果，存在可进行“n”次读取操作的树，其中树深度D＝log(n)。将需要针对每次读取操作计算2个单向散列函数的平均值。

当被读取器探询时，标签生成包括新分支的树的新叶子。读取器发送随机数R1，并且标签发送消息序列R1，R2，H(R1，R2，Z-root)，H(R1，R2，Zi)，H(R1，R2，Zi+1)，H(R1，R2，Zlog(n))。该序列中的消息与从树的根到叶子的不同种子相关联。

在这种情况下，不是用从叶子产生的单个伪名来识别标签，而是用消息序列来识别标签。读取器或第三方机构将不必进行对标签的从共享种子到叶子的复杂度为O(N.log(n))的认证，而将直接访问种子(复杂度为O(N))。

如在前面的情况中那样，可以假设授权的读取器已被授予对树的子集的访问权。在图9中，读取器通过(Yi，ID)对来识别标签，其中Yi是树的在层“i”中的元素。层“i”中的密钥将给予2(i-1)次读取操作的访问权。当接收到标签消息时，后端系统将寻找验证该标签消息的(Yi，ID)对。

该方案和以前一样私密，但是它允许以有限的代价来认证标签。与标签的数目O(N)成线性的代价和通信代价具有复杂度O(log(n))。注意到不同消息的输出可以被截短成更少的位是重要的，按这种方式可以改善通信代价。

图10描绘了本实施方式中的提示消息的作用。

例如，在上面结合图1讨论的第一方案中，标签生成了一些显式提示。通过利用提示消息，第三方机构可以识别标签并且向授权的读取器公开用于访问该标签的有效种子。

然而，在这种情况下，不需要生成显式提示消息。当读取器接收到无法被认证的消息时，它将该消息传递给可以验证根种子并识别该标签的第三方机构。在这种情况下，标签的输出暗含索引信息。在识别出标签之后，第三方机构将授予可进行一定次数读取操作的对该特定标签的访问权。

此外，通过利用上面引用的论文中Molnar和Wagner提出的伪名树来实现该方案可以实现针对可量测性的改善。在第三方搜索结合方案的代价将是O(log(N))，并且其将允许对标签标识的所有权和有限访问权进行控制。我们已经描述了具有为2的分支因子的方案，但是实际上我们可以使用大得多的因子(例如10)。更大的分支因子将减小标签存储和对于标签的计算代价。

本发明描述了一种仅允许授权的读取器在有限时段内访问与其相关的信息的安全、有效的方法。这是通过不断地改变标签标识符、允许更灵活地控制标签访问权而实现的。

技术人员还将认识到，可以有实现本发明的其他方式，所以本发明既不限于在这里描述的具体实现，也不限于在所描述的具体环境中的使用。例如，上面描述的树结构的使用不限于二叉树，还可以使用具有更多分支的树。

Claims (8)

1、一种射频识别应答器，该射频识别应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的。

2、一种射频识别应答器，该射频识别应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的，并且所述射频识别应答器响应于检测到的探询尝试的序列中的各探询尝试，提供预定的标识符序列中的一个标识符，所述标识符序列是或者基于所述散列树的预定的叶子序列。

3、如权利要求1或2所述的射频识别应答器，其中所述应答器响应于检测到探询尝试而输出的各标识符是以下的组合：(i)所述散列树的叶子或基于所述散列树的叶子；或者(ii)所述散列树的节点或基于所述散列树的节点；或者基于这种组合。

4、如权利要求1或2所述的射频识别应答器，其中所述应答器响应于检测到探询尝试而输出的各标识符是以下中的任一个：(i)所述散列树的叶子或基于所述散列树的叶子；或者(ii)所述散列树的节点或基于所述散列树的节点。

5、如权利要求4所述的射频识别应答器，其中所述应答器响应于检测到探询尝试而输出的各标识符是所述散列树的叶子或者基于所述散列树的叶子。

6、如前述权利要求中任一项所述的射频识别应答器，其中所述散列树是单向二叉散列树。

7、一种用于向RFID应答器的读取器提供仅在预定的读取尝试次数内读取特定应答器的权限的系统，该系统包括：

所述读取器；

授权装置；和

射频识别应答器，该射频识别应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的；

所述授权装置和所述应答器共享标签的所述散列树的知识，所述知识不为所述读取器所知，

其中所述读取器：

(i)被配置为向所述应答器进行探询，以获得所述应答器所输出的标识符；

(ii)被安排与所述授权装置进行联络并揭示其自身的标识以及所获得的标识符；

所述授权装置被安排为检查所述读取器读取所述应答器的资格，并且如果所述读取器有资格读取所述应答器，则所述授权装置向所述读取器提供关于所述散列树的信息，以允许所述读取器在预定的探询尝试次数内/超过预定的探询尝试次数地读取所述应答器。

8、一种用于向射频识别应答器的读取器提供仅在预定的读取尝试次数内读取特定应答器的权限的方法，所述应答器被配置为在检测到探询尝试时通过提供作为标识符的输出而进行响应，所述标识符是或者基于至少为二叉级的散列树的叶子或节点，其中所提供的所述标识符对于每个检测到的探询尝试是不同的，所述方法包括以下步骤：

(i)用所述读取器探询所述应答器以获得由所述应答器输出的标识符；

(ii)从所述读取器向授权机构提供所述读取器的标识以及所获得的应答器标识符；

(iii)所述授权机构检查所述读取器读取所述应答器的资格，并且如果所述读取器有资格读取所述应答器，则所述授权机构向所述读取器提供关于所述散列树的信息，以允许所述读取器在预定的探询尝试次数内/超过预定的探询尝试次数地读取所述应答器。

Images