1、前言

　　射頻識別(RFID)是一種非接觸式的自動識別技術，它通過射頻信號自動識別目標對象并獲取相關數(shù)據(jù)。RFID可廣泛應用于工業(yè)自動化、商業(yè)自動化、交通運輸控制管理、圖書管理系統(tǒng)等眾多領域被列為本世紀十大重要技術之一。

　　RFID 技術在圖書館領域的應用實踐正在蓬勃發(fā)展之中：Molnar 2004年指出北美有超過130家圖書館使用RFID系統(tǒng)。在國內，廈門集美大學誠毅學院于2006年2月率先成為國內第一家使用RFID館藏管理系統(tǒng)的圖書館;隨后深圳圖書館新館也選擇RFID系統(tǒng)作為圖書館服務體系改進的技術手段.接著，武漢圖書館成為第三家研發(fā)并全線使用RFID智能館藏管理系統(tǒng)的圖書館。

　　保密和鑒別等安全問題是當前RFID 技術的研究熱點，而且不同的應用領域對RFID安全性的要求也不盡相同。為了保障圖書館應用環(huán)境下RFID 系統(tǒng)的安全性，有必要對安全需求進行系統(tǒng)的研究，并提出安全的解決辦法。

　　本文將針對RFID 技術在圖書館文獻管理中的應用，來探討其認證協(xié)議問題。本文首先分析了RFID系統(tǒng)的組成結構及安全協(xié)認證議研究現(xiàn)狀，在構建了圖書館RFID系統(tǒng)安全模型的基礎上，設計了一個保證圖書館RFID 系統(tǒng)安全通信的認證協(xié)議：PA-Lock協(xié)議，最后，對該PA—LOCK協(xié)議進行了安全性能分析并與其他協(xié)議做了比較。

　　2 RFID系統(tǒng)構成及安全協(xié)議現(xiàn)狀

　　本部分簡要介紹RFID系統(tǒng)的基本組成結構、通信模型和安全協(xié)議的研究現(xiàn)狀。

　　2.1 RFID系統(tǒng)組成

　　RFID系統(tǒng)一般由三大部分組成：RFID標簽(tag)、RFID讀寫器(reader)和后端數(shù)據(jù)庫(database，后端服務器)，如圖1所示。

　　1)RFID標簽：由芯片和耦合元件(天線)構成，芯片用于計算，天線用于無線通信，芯片的計算和存儲能力十分有限。每個標簽具有唯一的電子編碼。

　　2)RFID 讀寫器：由射頻接口和控制單元組成，其計算能力和存儲能力都比較大，RFID讀寫器通過射頻接口來獲取標簽中的數(shù)據(jù)，并將其傳遞給后端數(shù)據(jù)庫。RFID讀寫器和標簽之間的信道是不安全信道。

　　3)RFID后端數(shù)據(jù)庫：接收來自RFID讀寫器的數(shù)據(jù)，存儲有標簽的信息或關聯(lián)信息，RFID讀寫器和后端數(shù)據(jù)庫之間是安全信道。

　　2.2 RFID 安全認證協(xié)議研究現(xiàn)狀

　　RFID技術的無線傳輸、信號廣播以及標簽只具有很弱的計算能力等特征對RFID 系統(tǒng)安全機制的設計提出了特殊的要求，設計安全、高效、低成本的RFID協(xié)議一直是一個具有挑戰(zhàn)性的課題。

　　使用密碼學方法來設計RFID 安全認證協(xié)議是一種主要的研究方法。迄今為止，已經(jīng)有許多RFID 安全認證協(xié)議被提出。這些協(xié)議大致可以分為兩類：一類是從協(xié)議的通用安全性方面著手設計， 如Hash-Lock協(xié)議、Hash鏈協(xié)議、基于雜湊的ID變化協(xié)議等，這些認證協(xié)議主要解決在標簽識別過程中的安全問題，如保密性、信息泄露、和不可追蹤性等：另一類是從應用領域的特殊性方面來著手設計RFID安全認證協(xié)議。通過詳細分析應用的特性過程，對RFID 安全問題作針對性的設計，使之滿足該應用領域的需求，如供應鏈環(huán)境下通用可組合安全的RFID通信協(xié)議，該協(xié)議就是通過對供應鏈管理領域中RFI D技術的安全機制進行深入的研究，從而設計出具有應用針對性的RFID安全認證協(xié)議。

　　與其他特定的RFID 應用領域一樣，圖書館文獻資源管理領域的特點也對RFID安全協(xié)議提出了特殊的需求。其特點主要表現(xiàn)在以下幾個方面：

　　ADDING-BOTTOM: 0px; MARGIN: 20px 0px 0px; WORD-SPACING: 0px; FONT: 14px/25px 宋體, arial; TEXT-TRANSFORM: none; COLOR: rgb(0,0,0); TEXT-INDENT: 0px; PADDING-TOP: 0px; WHITE-SPACE: normal; LETTER-SPACING: normal; BACKGROUND-COLOR: rgb(255,255,255); orphans: 2; widows: 2; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px">　　1)圖書在整個流通期間具有兩個狀態(tài)：在館典藏狀態(tài)和外借狀態(tài)。圖書管理中對不同狀態(tài)的圖書具有不同的約束規(guī)則，如對于在館典藏狀態(tài)的圖書則不允許被帶出圖書館，而對于外借狀態(tài)的圖書則可以自由出入圖書館。

　　2)圖書的狀態(tài)變化具有周期性。每本圖書從在館典藏狀態(tài)開始，經(jīng)外借狀態(tài)再回到在館典藏狀態(tài)，周而復始，循環(huán)變化。

　　3)圖書管理需要對圖書進行實時跟蹤、狀態(tài)定位以及統(tǒng)計分析。分析圖書的使用狀況及利用率。目前，還沒有針對圖書館文獻資源管理中RFID安全機制的深入研究成果。本文的重點是針對圖書館文獻資源管理中的各種主要流程，分析設計出對RFID標簽認證識別的安全認證協(xié)議，保證只有授權用戶才能夠識別特定標簽，同時攻擊者無法對這些標簽進行跟蹤。

　　3 圖書館RFID安全需求建模

　　設計RFID安全認證協(xié)議的一個重要前提就是需要定義RFID 系統(tǒng)的安全模型。安全模型又與系統(tǒng)的實際應用場景有著密切的聯(lián)系。因此，在設計圖書館RFID系統(tǒng)安全認證協(xié)議之前，首先要詳細分析圖書館RFID系統(tǒng)的應用模型、主要的安全威脅以及系統(tǒng)的安全需求等問題。

　　3.1圖書館RFID系統(tǒng)模型

　　通常情況下，圖書館RFID 系統(tǒng)有標簽、讀寫器和后臺數(shù)據(jù)庫三部分組成。由于讀寫器和后臺數(shù)據(jù)庫之間是安全信道，所以，我們在設計安全協(xié)議時，把這兩部分作為一個整體來考慮，因此，主要關心讀寫器和標簽兩部分。對于標簽，我們假設既有鑒定合法的標簽，也有惡意的標簽。而讀寫器主要有四類：標簽轉換器、排架器、自助借還機和安全檢測門。標簽轉換器主要用于實現(xiàn)從條碼到RFID 的快速轉換，負責相關信息的寫入操作。排架器通過對圖書RFID標簽進行掃描，結合層位標簽進行定位盤點，需要獲取的信息量較少。自助借還機對RFID 實施掃描，對圖書進行借還處理，還需要連接訪問后臺數(shù)據(jù)庫。安全檢測門對圖書進行識別，判定圖書是否處于借閱狀態(tài)。

　　在圖書館中使用的RFID標簽主要是工作頻率為1 3.56MHZ的被動式標簽。這種標簽存儲容量小，只能存儲書名、書架號等少量圖書信息;同時標簽的計算能力也很弱，只能進行兩個數(shù)比較大小、執(zhí)行hash散列、產(chǎn)生隨機數(shù)、檢索自身的信息等簡單功能，這些功能在Class 1 Generation 2標準的標簽上容易實現(xiàn)。

　　3.2主要的安全威脅

　　結合圖書館RFID 系統(tǒng)應用模型的特征，可以做出以下重要假設：

　　假設：在圖書館內部發(fā)生的讀寫器與標簽之間的通信是安全的，可以采用明文傳輸;在圖書館外的通信存在安全威脅，需要采用保密和鑒別措施。

　　在此安全性假設的基礎上，圖書館RFID 系統(tǒng)所面臨的安全威脅主要包括以下幾種：

　　1)攻擊者作為一個正常的讀寫器具有掃描標簽的能力。

　　2)攻擊者具有克隆標簽的能力，即改寫標簽的內容。

　　3.3協(xié)議安全性要求

　　本文提出的RFID 安全認證協(xié)議是基于一個狀態(tài)鎖(Lock)的實現(xiàn)通信保密(Privacy)與身份鑒別(Authentication)的認證協(xié)議： Privacy and Authentication protocol based on a Lock，簡記PA-Lock協(xié)議。

　　OR: rgb(255,255,255); orphans: 2; widows: 2; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px">　　安全認證協(xié)議PA-Lock試圖滿足兩個要求：保密性和鑒別性。保密性要求每一個標簽只能把保密信息發(fā)送給經(jīng)過鑒別的讀寫器。鑒別性則要求標簽和讀寫器之間能實現(xiàn)相互鑒別，即標簽能夠鑒別讀寫器、讀寫器也能夠鑒別標簽。此外，鎖是一個圖書狀態(tài)位，表示圖書處于借出或者在館的狀態(tài)。

　　保密性和鑒別性也將作為本文分析PA-Lock協(xié)議安全性能的兩個指標，將在第5部分詳細討論。

　　4 PA-Lock協(xié)議描述

　　在PA-Lock協(xié)議中，RFID標簽具有一個偽隨機數(shù)發(fā)生器，具有hash計算及數(shù)值大小比較能力，所存儲的數(shù)據(jù)包括四部分：(1)標簽ID，此lD具有全球唯一性;(2)書目信息，包括圖書條碼號(圖書的唯一識別)、書名、架位號等;(3)圖書館RFID系統(tǒng)的共享密鑰k;(4)圖書狀態(tài)鎖bit(0表示在館狀態(tài)、1表示借出狀態(tài))，在圖書典藏時設置bit值為0。RFID讀寫器具有一個偽隨機數(shù)發(fā)生器，能執(zhí)行hash計算，能轉發(fā)后臺數(shù)據(jù)庫和標簽之間傳輸?shù)臄?shù)據(jù)。RFID后臺數(shù)據(jù)庫存儲著標簽ID與圖書條碼號之間的關聯(lián)信息，能執(zhí)行hash計算、快速查找等能力。在該協(xié)議中，當狀態(tài)鎖為0時，采用不需保密與鑒別的方式通信：當狀態(tài)鎖為1時，通過先對私密信息進行hash加密然后再傳輸?shù)拇胧崿F(xiàn)保密功能，讀寫器通過共享密鑰k來鑒別標簽，標簽通過圖書的條碼號來鑒別讀寫器，從而實現(xiàn)讀寫器與標簽的雙向相互鑒別。PA—Lock協(xié)議中使用的參數(shù)如表1所示。

　　下面，按照圖書館RFID系統(tǒng)的三種應用場景來對PA-Lock協(xié)議做詳細的描述，三種應用場景分別是：排架、外借和自動還書。

　　4.1排架

　　由于排架工作發(fā)生在圖書館預覽室內部，有理由假設此時的通信是安全的，因此可以設計不需保密鑒別的認證協(xié)議，這樣有利于提高通信效率。協(xié)議的執(zhí)行過程如圖2所示。

　　執(zhí)行步驟說明如下：

　　1、Tag讀寫器向Tag發(fā)送Query認證請求：

　　2、如果bit值為0，Tag將標簽ID、圖書名、書架號發(fā)送給Tag讀寫器。

　　4.2借書

　　借書場景的認證協(xié)議的前兩步與排架場景認證協(xié)議相同。在借書的過程中，管理系統(tǒng)需要做借書操作，此外，標簽還要把其狀態(tài)位bit設置為1，以表示圖書處于借出狀態(tài)。該協(xié)議通過由讀寫器給標簽發(fā)送圖書的條碼號(barcode lD)作為驗證信物，驅使標簽修改狀態(tài)位的值。協(xié)議執(zhí)行過程如圖3所示。

　　FONT: 14px/25px 宋體, arial; TEXT-TRANSFORM: none; COLOR: rgb(0,0,0); TEXT-INDENT: 0px; PADDING-TOP: 0px; WHITE-SPACE: normal; LETTER-SPACING: normal; BACKGROUND-COLOR: rgb(255,255,255); orphans: 2; widows: 2; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px">　　執(zhí)行步驟說明如下：

　　1、Tag讀寫器向Tag發(fā)送Query認證請求;

　　2、如果bit值為0，Tag將標簽ID、圖書名、書架號發(fā)送給Tag讀寫器：

　　3、Tag讀寫器將標簽ID、圖書名、書架號發(fā)送給后臺數(shù)據(jù)庫;

　　4、后臺數(shù)據(jù)庫根據(jù)標簽lD 查找圖書的條形碼barcode ID，并把該barcode ID發(fā)送給Tag讀寫器;

　　5、Tag讀寫器把該barcode ID發(fā)送給Tag。Tag判斷該barcode ID和自身存儲的barcode ID，是否相等，如果相等則設置bit值為1，表示該圖書已外借。

　　4.3 自動還書

　　自動還書的過程中，除了文獻管理系統(tǒng)需要辦理還書操作以外，還要驅動標簽設置bit的值為0。這是具有高威脅性的過程，需要實現(xiàn)讀寫器和標簽的相互鑒別并且需要對發(fā)送的信息進行加密，以防止重要私密信息泄露和標簽克隆。協(xié)議執(zhí)行過程如圖4所示。

　　執(zhí)行步驟說明如下：

　　1、Tag讀寫器向Tag發(fā)送Query認證請求;

　　2、如果bit值為1，Tag產(chǎn)生一個偽隨機數(shù)rT，將Hash(ID、k、rT)和rT 發(fā)送給Tag讀寫器，其中ID為Tag標示，k為RFID系統(tǒng)公共密鑰

　　3、Tag讀寫器將Hash(ID、k、rT)、k和rT發(fā)送給后臺數(shù)據(jù)庫。后臺數(shù)據(jù)庫查找是否存在一個lD、(數(shù)據(jù)庫中存儲有所有Tag的ID)使得Hash(ID、k、rT)= Hash(ID、k、rT)成立。如果有，則可鑒別該Tag是合法標簽，并根據(jù)該ID查找圖書的條形碼barcode ID。如果沒有，則返回給Tag讀寫器認證失敗信息。

　　4、后臺數(shù)據(jù)庫把該barcode ID發(fā)送給Tag讀寫器：

　　5、Tag讀寫器產(chǎn)生一個偽隨機數(shù)rR，把Hash(barcode ID、rR)，rR發(fā)送給Tag。Tag根據(jù)自己存儲的圖書條形碼barcode ID、計算Hash(barc0de lD、rR)，并比較Hash(barc0de ID、rR)=Hash(barcodeID、rP0是否成立。如果成立，則可鑒別該Tag讀寫器是合法讀寫器，并設置bit=0，否則認證失敗。

　　5 協(xié)議安全性能分析

　　本文第3部分討論了圖書館RFID系統(tǒng)的安全需要及對安全協(xié)議的要求，下面將圍繞保密性能和鑒別性能來分析PA-Lock協(xié)議的安全性及性能。

　　保密指保護信息不被未授權者訪問。由于RFID系統(tǒng)借助無線信號廣播，這為偷聽者提供了便利，所以為了保密，只能通過加密的辦法避免重要的私密信息?

　　明文傳送。PA-Lock協(xié)議中通過基于偽隨機數(shù)的hash 函數(shù)來對共享密鑰k、標簽ID、圖書條碼barcode lD等重要私密信息進行加密保護，減小了因這些信息的明文傳輸而被竊取的威脅。單向hash函數(shù)的不可逆性為保密提供了可靠地保障，即使偷聽者竊取到了Hash(ID、k、rT)和rT的值，它也不可能知道ID和k的值，而且每次傳輸?shù)腍ash(ID、k、rT)都不同，有效避免了Tag被跟蹤的可能。

　　鑒別主要指在揭示敏感信息或進行事物處理之前先確認對方的身份。PA-Lock協(xié)議實現(xiàn)了Tag與Tag讀寫器之間的相互鑒別功能。協(xié)議中，Tag讀寫器通過系統(tǒng)共享密鑰k來鑒別Tag的身份，Tag通過圖書條碼號barcode ID來鑒別Tag讀寫器的身份。由于共享密鑰k和來源于后臺數(shù)據(jù)庫的圖書條碼號barcode ID可以保證安全性，所以該協(xié)議能夠保證相互鑒別的正確和安全性。

　　PA-Lock協(xié)議中通過圖書狀態(tài)鎖bit的值對協(xié)議作了分支設計，既適合圖書館RFID系統(tǒng)的實際需求，又減少了Tag與Tag讀寫器之間傳輸?shù)男畔⒘?，提高了該安全協(xié)議的效率。此外，PA—Lock協(xié)議對各部分設備的計算能力要求也較低， Tag和Tag讀寫器只需具有比較大小、hash計算、生成隨機數(shù)的能力，后臺數(shù)據(jù)庫只需具有hash計算以及時間復雜度為O(Logn)的快速查詢能力，這些計算需求不會增加系統(tǒng)的硬件成本。所以，PA-Lock協(xié)議具有較高的效率。

　　6 協(xié)議性能分析比較

　　RFID系統(tǒng)所面臨的常見安全威脅包括假冒攻擊、重傳攻擊、追蹤、去同步化等類型。本文基于這些常見的攻擊類型，對Hash—Lock協(xié)議、基于雜湊的ID變化協(xié)議、LCAP協(xié)議及PA-Lock協(xié)議的安全性能在文獻8的基礎上進行了詳細的比較分析，分析結果如表2所示。由于基于雜湊的ID變化協(xié)議和LCAP協(xié)議是動態(tài)ID協(xié)議，標簽ID在不停的刷新，這就存在去同步化的問題(即標簽內ID與其在數(shù)據(jù)庫內ID不一致)：而Hash-Lock協(xié)議和PA-Lock協(xié)議是靜態(tài)ID協(xié)議，不存在lD不一致的安全威脅，但是Hash-Lock協(xié)議的安全性問題基本沒有解決， 本文提出的PA-Lock協(xié)議較好的解決了假冒攻擊、重傳攻擊、追蹤等安全問題。

　　7 結語

　　RFID 技術是改進圖書館服務體系的重要技術手段之一，隨著圖書館RFID 系統(tǒng)的逐漸推廣，其安全認證問題成為一個關注的焦點?；诿艽a技術的RFID安全認證協(xié)議是實現(xiàn)RFID 系統(tǒng)安全性的重要方法。本文在詳細分析圖書館RFID 系統(tǒng)的應用特征及其特殊的安全性需求的基礎上，設計了一個針對被動式RFID標簽能夠實現(xiàn)保密和相互鑒別的PA-Lock協(xié)議，結合圖書館RFID系統(tǒng)的實際應用場景，對PA-Lock協(xié)議做了詳細的描述，并通過對該認證協(xié)議的安全性分析以及和相關協(xié)議的分析比較，證明了PA-Lock協(xié)議的安全性和高效性。