1
Mobile RFID 跨領域所有權轉移
楊明豪 中原大學資訊工程系 mhyang@cycu.edu.tw 蔡宗成 中原大學資訊工程系 cheng1012@gmail.com摘要―無線射頻識別(Radio Frequency Identification, RFID) 被 廣 泛 應 用 在 多 個 領 域 。 而 近 年 發 展 出 Mobile RFID，結合行動通訊設備與 RFID 讀取功能，提供不受限 於使用地點的 RFID 應用服務，使人們透過行動讀取器進 行電子交易。然而隨著 RFID 技術快速發展，也陸續出現 許多須克服的瓶頸，其中一個重要的議題為所有權轉移 (Ownership Transfer)。為能夠透過所有權轉移協定，安全 的將嵌入電子標籤物品的物權轉移給他人，並應用在多伺 服器的行動商務上，因此我們在本文中提出適用於 Mobile RFID 環境且支援跨越不同管轄領域伺服器的所有權轉移 協定(Cross Authority Ownership Transfer)，並證明我們所 提出的所有權轉移方法滿足向前安全和雙向認證，防止重 送攻擊、中間人攻擊、資料不同步之阻絕服務攻擊等安全 威脅，分析我們方法的效能與所需的儲存空間，並其它現 有的所有權轉移方法進行比較，證明我們方法的可行性。 關鍵詞―Mobile RFID、中間人攻擊、所有權轉移、 跨領域、重送攻擊
一、前言
近年無線射頻識別技術持續進步與成本不 斷降低，使其應用快速成長，目前應用已跨越物 流管理、生產製造、設備資產管理、門禁管制、 票據付款、智慧家電、醫療用藥管理等多個領域。 例如:美國最大的零售百貨業 Wal-Mart 在 2005 年 開始導入 RFID，藉由 RFID 追蹤貨品在供應鏈 上的資訊，提升補貨速度並有效降低庫存，使得This work was supported in part by National Science Council under the grants NSC-98-2221-E-003-041-.
收益增加[4] 。另外還有美國政府使用的 RFID 護照[14] ，以及其他組織[9] 和公司已投入 RFID 產業的標準訂定和產品生產[11] [15] [31] 。這些 例子顯示，隨著 RFID 應用技術趨於成熟，越來 越普遍的應用於人類的生活之中。 對於無法架設固定式讀取器的環境，近年來 發展出具移動性的無線行動讀取器，行動無線射 頻識別(Mobile RFID)[1] 。使用具 RFID 讀取功 能的個人行動手持設備作為行動讀取器，如行動 電話或 PDA，並整合無線通訊技術，提供使用者 具機動性的無線射頻識別服務。不同於傳統的 RFID 系統將讀取器設置於固定地點，使用者可 以攜帶讀取器到處移動，在讀取 RFID 電子標籤 後，利用電信通訊網路或 IEEE802.11 等無線通 訊技術，將資料透過網際網路傳回管理伺服器進 行應用服務[1] [21] ，例如：行動讀取器讀取貼 附於地標與景點的電子標籤，透過管理伺服器的 辨識，可以獲得定位資訊，進而提供地理資訊服 務。讀取貼附於公車的電子標籤取得公車路線圖 [7] [19] 。在未來，Mobile RFID 將是極具潛力的 RFID 應用型態。 但隨著 RFID 的應用越來越廣泛，也陸續出 現許多必須克服的瓶頸，RFID 安全議題為其中 的重要議題之一，並且越來越被重視。RFID 之 安全問題起因於 RFID 標籤之運算能力有限，以 及 RFID 標籤透過無線電波傳送資訊，因此容易 受到攻擊者之竊聽、追蹤、中間人攻擊、重送攻 擊、阻斷式服務攻擊等各種危害[17] [19] [27] 。 使用者可能因為這些危害造成隱私洩漏，財產損
2 失，嚴重可能因系統被有意人士利用造成極大威 脅，因此有許多的 RFID 之研究正朝向具備安全 性的 RFID 協定方法。 由於人們利用電子標籤進行各種物品的管 理與物品的交易活動，因此衍生出一個在無線射 頻識別應用重要的議題—所有權轉移(Ownership Transfer)。在一個電子標籤的生命週期中，我們 可以藉由所有權轉移來達到交易物品的目的，並 且將物品的管理權限交給新物品之擁有者。透過 所有權轉移的機制，我們可以更容易對電子標籤 進行權限的控管，只有擁有者才能對電子標籤進 行存取的權限，防止非擁有者對電子標籤進行竄 改，確保在商品轉手之後，貼有電子標籤的商品 不因他人的存取，而造成隱私外漏，而可繼續使 用電子標籤之功能進行管理。因此 Y. Seo 等人提 出以 Re-encrypted 之方法進行所有權轉移[32] 。 K. H. S. S. Koralalage 等人提出適用於 EPC Class-1 Gen-2 Base 之所有權轉移協定[16] 。D. Molnar 等人在研究[8] 中則提出 one-way key chain 來更新金鑰的 RFID 認證與所有權轉移協 定 。 S. Fouladgar 等 人 提 出 Hash Based 與 Encryption base 兩種方法之標籤管理委任協定與 所有權轉移協定，使讀取器可在與伺服器離線時， 進行標籤識別服務[25] [26] [27] 。楊等人提出運 作於 Mobile RFID 環境下，提供具雙向認證之所 有權轉移協定，且可指定所有權轉移之對象[1] 。 Osaka 等人提出一次性暫時之電子標籤識別碼的 所有權轉移方法[17] [10] [17]，但其方法並無法 抵抗阻斷服務攻擊，且未達到向前性安全[10] 。 S. Fouladgar 等人提出所有權轉移協定[26] [27] ，使消費者能將電子標籤之所有權自零售商 之 管 理 伺 服 器 轉 移 至 消 費 者 的 Smart Home system 伺服器。但其方法因後端伺服器直接傳送 標籤金鑰給轉移目地之伺服器，因此並未完全達 到向前性安全，且未提出在伺服器間進行雙向認 證之方法，因此並不適用於 Mobile RFID 環境。 楊 等 人 提 出 之 所 有 權 轉 移 方 法 可 運 作 於 Mobile RFID 環境下，並符合安全性需求，但只 能運用在單一後端管理(authority)資料庫伺服器， 並不適用在多管理伺服器環境下進行跨伺服器 之所有權轉移。為解決 Mobile RFID 環境下可能 跨管理伺服器進行所有權轉移之情形，我們提出 一個可以運作於 Mobile RFID 環境且支援跨伺服 器 之 跨 領 域 所 有 權 轉 移 (Cross Authority Ownership Transfer , CAOT)協定，並且符合 RFID 所有權轉移的安全需求。我們提出的方法可以使 電子標籤擁有者透過行動讀取設備進行所有權 轉移，並且可將後端管理的權限轉移至新擁有者 所指定的管理伺服器，使得無線射頻識別系統不 再侷限為只有單一管理伺服器，拓展為可以在多 個管理伺服器之間進行所有權轉移，並使新擁有 者的管理伺服器可以繼承來自原標籤之管理伺 服器所提供的物品管理資訊，因此所有權轉移後 的電子標籤可以立即與新的管理伺服器的服務 做結合。標籤的新擁有者可以在進行跨領域所有 權轉移時，將購買的商品之管理權限與所有權登 錄到私人的管理伺服器、公司的管理伺服器或是 專門提供管理服務的伺服器，這使得標籤擁有者 可以對電子標籤進行更有彈性的管理與服務。另 外，我們的方法也將同時確保在所有權轉移的過 程可以抵擋重送攻擊、防止竊聽、防範訊息竄改、 提供行蹤隱私保護、新舊擁有者之間雙向認證的 安全需求。 本篇論文在第二章介紹本論文所提的跨領 域所有權轉移協定環境假設，第三章詳細介紹我 們所提出的協定，並說明協定的每一步驟的意義。 接著在第四章分析協定的安全性並與目前我們 已知其它 RFID 所有權轉移方法的安全性做比較。 第五章對於我們提出方法的計算和儲存效能做 分析並和相關研究做比較。最後第六章是本篇論 文的結論。
3
二、跨領域所有權轉移環境假設
我們提出一個在 Mobile RFID 環境下進行所 有權轉移的方法，RFID 跨領域所有權轉移(Cross Authority Ownership Transfer, CAOT)。該方法使 得電子標籤擁有者可以在不同管理權責的伺服 器之間進行所有權轉移，達到標籤所有權之擁有 者變更、標籤金鑰更新以及標籤管理權限從原本 的管理伺服器轉移至指定的管理伺服器。我們的 方法會以 Mobile RFID 的網路服務為基礎架構， 如 Namje Park 等人在[23] 所提及，以個人行動 手持設備作為讀取器，透過該行動手持設備讀取 電子標籤以及透過網際網路連結後端伺服器進 行電子標籤管理的服務架構。 在 CAOT 方法中，我們假設的標籤管理服務 環境有三點性質。第一點，我們假設行動讀取器 在同一時間內只會連結至單一後端管理伺服器 對行動電子標籤進行管理，且轉入、轉出的行動 讀取器之管轄的後端伺服器可能為同一個或是 分別屬於不同管轄(Authority)的後端伺服器。也 就是說任一個由伺服器 DIDi 所管轄之讀取器 𝑅𝐼𝐷𝑝𝑖和讀取器集合𝑅𝑖必須滿足式(1)中的關係。 𝑅𝑖 = 𝑅𝐼𝐷 1𝑖, 𝑅𝐼𝐷2𝑖, … … , 𝑅𝐼𝐷𝑛𝑖 ，𝑅𝑖為𝐷𝐼𝐷𝑖所管轄，且滿足 ∀𝑖, 𝑗 𝑅𝑖 ∩ 𝑅𝑗 = ∅ 𝑖𝑓𝑓 𝑖 ≠ 𝑗，否則𝑅𝑖∩ 𝑅𝑗 = 𝑅𝑖 1 在式(1)中表示，若𝑅𝑖和𝑅𝑗內沒有任一相同讀 取器則𝑅𝑖和𝑅𝑗必分屬在不同的伺服器，反之𝑅𝑖和 𝑅𝑗則在同一管理伺服器內進行所有權轉移。 第二點，任一電子標籤必定只屬於特定之讀 取器𝑅𝐼𝐷𝑝𝑖所擁有，也就是只有該讀取器有權限對 其擁有之標籤集合𝑇𝑝𝑖內任一電子標籤𝑇𝐼𝐷 𝑎𝑖進行 所有權轉移。標籤與讀取器關係如式(2)所示。 𝑇𝑝𝑖 = 𝑇𝐼𝐷1𝑖, 𝑇𝐼𝐷2𝑖, … … , 𝑇𝐼𝐷𝑚𝑖 ，𝑇𝑝𝑖為𝑅𝐼𝐷𝑝𝑖所擁有，且滿足 ∀𝑖, 𝑗 𝑇𝑝𝑖∩ 𝑇𝑞𝑗 = ∅ 𝑖𝑓𝑓 𝑖 ≠ 𝑗，否則 𝑇𝑝𝑖∩ 𝑇𝑞𝑗 = 𝑇𝑝𝑖 2 假 設一 屬 於 式(2) 之標 籤 群𝑇𝑝𝑖的 電 子 標籤 𝑇𝐼𝐷𝑎𝑖轉出到標籤群𝑇 𝑞𝑗，且𝑇𝑝𝑖和𝑇𝑞j內沒有任一相同 電子標籤則𝑇𝑝𝑖和𝑇𝑞j必分屬在不同的讀取器𝑅𝐼𝐷𝑝𝑖 和𝑅𝐼𝐷𝑞𝑗的管轄，由式(1)讀取器和伺服器的關係可 知其標籤屬於不同伺服器管轄，反之𝑇𝐼𝐷𝑎𝑖則在同 一後端伺服器內進行所有權轉移。 第三點，標籤之所有權對應至擁有者之專屬 行動設備並將此一資訊儲存於後端管理伺服器， 且預設後端資料庫和電子標籤利用其它的安全 通道共享一把金鑰 Kx。 我們所提出的 CAOT 所有權轉換協定之網 路架構如圖 1 所示，包含 RFID 標籤、行動讀取 器和管理伺服器三種類型的設備。由於上列三種 設備的計算能力與移動能力不同，因此設備之間 的網路連線依安全等級由高至低分為三種類型: 圖 1 所有權轉換網路環境架構圖 1. 管理伺服器 DID i與 DID j之間透過有線的網 際網路連結，如圖 1 中的連線(1)所示。由於 伺服器計算能力足以負擔現有最安全之加密 方法，如 AES、RSA，且伺服器相較於行動 設備，為固定地點的設備，因此網路不會因 設備移動而造成無法存取的狀況，所以我們 利用現有的加密方法來確保訊息傳輸的安全 性，並假設伺服器之間的通訊是安全的。
4 2. 行動讀取器藉由現有個人行動通訊技術或 IEEE802.11 之無線網路技術連結至網際網路， 對後端管理伺服器或其他的行動讀取器進行 雙向通訊，如圖 1 中的連線(2)所示。由於行 動讀取設備的計算能力不如伺服器的計算能 力，且行動讀取器具有移動特性，而需要使 用無線網路，因此通訊安全性相對低於第一 種類型。但我們可以藉由無線網路現有之安 全通訊技術來保護訊息傳輸的安全性。如 3G 在 3GPP 的 Security Architecture[3] ，或是 IEEE802.11i[12] 的 WPA2。當兩個行動讀取 器之間進行連線時，我們假設標籤擁有者之 行動讀取器透過 Mobile IPv6[6] 等方法連結 至網際網路找到另一方行動讀取器，所以我 們環境不需要考慮因讀取器移動而找不到無 線設備的問題。 3. 電子標籤與行動讀取裝置之間透過無線傳輸 的方式進行通訊，如圖 1 中的連線(3)所示。 由於電子標籤以及行動讀取裝置具有可移動 性質，且無線傳輸之訊號直接在開放空間中 廣播傳送，因而在無線通訊的過程中，可能 遭受來自惡意攻擊者的竊聽、重送攻擊、中 間人攻擊等各種危害，造成電子標籤擁有者 的個人資訊洩漏[30] 及隱私權的安全受到威 脅。所以我們在電子標籤與行動讀取裝置間， 透過以加密訊息的方式來進行通訊。由於加 密訊息的方法會受限於電子標籤的運算能力， 因而無法使用現行的加密演算法。因此必須 使用實作於 RFID 標籤的加密演算法如 M. Feldhofer 等人提出以 AES-128 演算法的方法 [20] 或是 S. Kumar 與 K. Sakiyama 等人提出 利用橢圓曲線密碼學方法進行加密[18] [28] 。 但這類加密方法計算負擔仍太大，所以我們 的 CAOT 利用後端資料庫和電子標籤的共享 的金鑰𝐾𝑥𝑎𝑖以及採用其他輕量級的加密演算 法 來 進 行 電 子 標 籤 訊 息 的 加 密 ， 如 ： DESLite[5] 和 Grain[22] 。我們在本文中將 著重探討 RFID 標籤與行動讀取器之間通訊 協定的安全問題，並且在我們提出的 CAOT 方法中解決這些安全問題。 由於我們的所有權轉移協定跨越一個管理 區域，而讀取器之後端管理伺服器無法確認非後 端管理伺服器所管轄之另一讀取器的身份，因此 伺服器必須透過現有機制(如 Object Name Server) 註冊並可查詢其位置。另外需要利用現有之方法 (如：PKI[13] )對所有權轉移雙方之身份進行雙向 認 證 ， 取 得 執 行 所 有 權 轉 換 用 之 階 段 金 鑰 (Session key)，並透過此方法來達到設備之間的 雙向認證。舉例來說，行動讀取器和管理伺服器 必須在數位憑證中心(CA)註冊並取得憑證。每次 進行通訊前驗證憑證的正確性與時效性，並使用 憑證中的公鑰及私鑰進行加密通訊和數位簽章， 交換四把彼此的階段金鑰 SK1、SK2、SK3、SK4。 圖 2 資料庫與讀取器間的階段金鑰交換示意圖 如圖 2 所示，讀取器𝑅𝐼𝐷𝑝𝑖持有人想將其擁 有的標籤物品之所有權轉移給已知讀取器𝑅𝐼𝐷𝑞𝑗 之持有人時，𝑅𝐼𝐷𝑝𝑖與𝑅𝐼𝐷𝑞𝑗之間會透過現有機制交 換階段金鑰 SK1。同樣地，當𝑅𝐼𝐷𝑝𝑖與管轄𝑅𝐼𝐷𝑝𝑖的 伺服器𝐷𝐼𝐷𝑖進行通訊時，會交換階段金鑰 SK 2， 𝑅𝐼𝐷𝑞𝑗與管轄𝑅𝐼𝐷𝑞𝑗的伺服器𝐷𝐼𝐷𝑗所交換的階段金 鑰為 SK3。由於伺服器𝐷𝐼𝐷𝑖與伺服器𝐷𝐼𝐷𝑗之間會 進行通訊，因此亦會交換階段金鑰 SK4。當所有 權轉換雙方之伺服器和讀取器擁有彼此溝通用 的階段金鑰後，雙方就可以利用這四把金鑰進行 所有權轉移方法溝通訊息的加密和認證。
5
三、跨領域所有權轉移方法
CAOT 協定分為兩個階段進行所有權轉移。 第一階段協定，如圖 3、圖 4 所示，進行所有權 轉移的前置作業，使得新擁有者之讀取器有能力 和該電子標籤進行雙向認證，以及交換一個只有 原有伺服器和電子標籤共享的階段性金鑰，並透 過此階段性金鑰來確保所有權轉換完成前，未被 授權之伺服器與讀取器在第二階段協定無法辨 識該電子標籤，以保護電子標籤在所有權轉移前 的安全。第二階段將電子標籤所有權轉移轉移至 新擁有者，並確保舊擁有者無法再對該標籤進行 讀取。在我們的協定中以 E(,)表示使用傳統對稱 金鑰的加密方法，如 AES，對訊息進行加密。以 LE(,)表示用 DESLite[6]或 Grain[24] 等輕量對稱 金鑰加密演算法。其中 E(,)和 LE(,)第一個參數表 示加密演算法使用的金鑰，第二個參數表示需要 加密的訊息，例如 LE(𝐾𝑥𝑎𝑖, 𝑇𝐼𝐷𝑎𝑖||r2)，表示利用 金鑰𝐾𝑥𝑎𝑖將𝑇𝐼𝐷𝑎𝑖||r2用輕量加密演算法變成密文， 其中 “||”表示連結兩訊息的符號。 所有權轉換第一階段的部分主要分為三個 部分，(1) 用來進行原物品持有者讀取器和物品 電子標籤交換所有權轉移時雙向認證，並交換讀 取器和電子標籤的階段性金鑰。(2)確認金鑰完成 交換。(3)原標籤持有者之讀取器將金鑰移轉至新 擁有者之讀取器，其三部分詳述如下。 第一部分包含第一階段協定的訊息 1 至 5， 用以進行電子標籤與讀取器的雙向認證，並由伺 服器產生標籤所有權轉移所需的階段性金鑰𝐾𝑦𝑎𝑖、 共享金鑰𝐾𝑡𝑎𝑖與共享秘密𝑆𝑎𝑖。當讀取器𝑅𝐼𝐷𝑝𝑖之持 有者要將電子標籤𝑇𝐼𝐷𝑎𝑖轉移給讀取器𝑅𝐼𝐷𝑞𝑗之持 有者，且已經獲得其和伺服器𝐷𝐼𝐷𝑖與讀取器𝑅𝐼𝐷 𝑞𝑗 溝通加密使用的兩把共享金鑰 SK1 和 SK2 時， 𝑅𝐼𝐷𝑝𝑖會向欲轉出的電子標籤𝑇𝐼𝐷𝑎𝑖發出所有權轉 移請求。標籤𝑇𝐼𝐷𝑎𝑖在收到請求訊息後，利用和資 料庫𝐷𝐼𝐷𝑖共享的金鑰𝐾𝑥 𝑎𝑖和輕量加密演算法將 隨機數 r2與𝑇𝐼𝐷𝑎𝑖加密後送給讀取器𝑅𝐼𝐷𝑝𝑖。在此 r2可以確保每次標籤傳出的訊息皆為不同，使攻 擊者無法利用兩次訊息間的關係來追蹤標籤擁 有者之位置。接著𝑅𝐼𝐷𝑝𝑖將標籤回傳的訊息 2 連同 轉出對象的讀取器識別資訊𝑅𝐼𝐷𝑞𝑗與伺服器識別 資訊𝐷𝐼𝐷𝑗傳送給𝑅𝐼𝐷 𝑝𝑖的管理伺服器𝐷𝐼𝐷𝑖，如訊 息 3 所示，以要求𝐷𝐼𝐷𝑖對標籤進行所有權轉移協 定第一階段。𝐷𝐼𝐷𝑖在收到訊息 3 後，會先驗證 𝑅𝐼𝐷𝑝𝑖是否為𝐷𝐼𝐷𝑖所管轄，若驗證成功，則利用金 鑰𝐾𝑥𝑎𝑖解密 LE(𝐾𝑥 𝑎𝑖, r2||𝑇𝐼𝐷𝑎𝑖)，並比對識別碼 𝑇𝐼𝐷𝑎𝑖來認證電子標籤。在完成標籤認證後，將隨 機產生的金鑰𝐾𝑦𝑎𝑖、𝐾𝑡 𝑎𝑖、共享秘密𝑆𝑎𝑖、隨機數 r2、識別碼𝑇𝐼𝐷𝑎𝑖與指令 OT1加密為設定標籤之訊 息，如圖 3 中的 M3。而此訊息和金鑰𝐾𝑡𝑎𝑖、共享 秘密𝑆𝑎𝑖會一同傳送給讀取器𝑅𝐼𝐷 𝑝𝑖，如訊息 4 所示， 並於伺服器上記錄轉移目標識別碼𝐷𝐼𝐷𝑗與𝑅𝐼𝐷 𝑞𝑗。 讀取器𝑅𝐼𝐷𝑝𝑖在收到訊息 4 後取出𝑆 𝑎𝑖和𝐾𝑡𝑎𝑖後，將 設定標籤之訊息傳送給標籤，如訊息 5 所示。在 標籤收到訊息 5 後，利用標籤和資料庫共享的金 鑰𝐾𝑦𝑎𝑖解密，並比對識別碼𝑇𝐼𝐷 𝑎𝑖，藉此方法驗證 讀取器所傳送的訊息。 若讀取器成功通過認證，則電子標籤依據指 令 OT1進行所有權轉移設定，更新第二階段原擁 有者伺服器與標籤共享的金鑰𝐾𝑦𝑎𝑖、𝐾𝑡𝑎𝑖、標籤與 新擁有者共享的秘密值𝑆𝑎𝑖，並使表示標籤是否正 在進行所有權轉移的旗標𝑓𝑙𝑎𝑔𝑎𝑖由尚未進行的 None 改變為正在進行所有權轉移的 OT。由於伺 服器與讀取器尚未確認標籤是否完成階段性金 鑰𝐾𝑦𝑎𝑖的設定，為避免非同步而造成無法讀取， 所以在完成設定後回傳𝑂𝑇1𝑠𝑢𝑐𝑐𝑒𝑠𝑠，以告之標籤設 定成功。若驗證失敗，則回傳隨機數訊息，如訊 息 6 所示。在𝑅𝐼𝐷𝑝𝑖收到訊息 6 後，則會轉送該訊 息給𝐷𝐼𝐷𝑖，如訊息 7 所示，使伺服器可依此訊息 來判斷標籤是否設定完成。若未成功更新標籤， 則必須重新進行所有權轉移第一階段。在𝐷𝐼𝐷𝑖收6 到訊息 7 後，若為𝑂𝑇1𝑠𝑢𝑐𝑐𝑒𝑠𝑠設定成功，則回傳 𝑂𝑇1𝑠𝑢𝑐𝑐𝑒𝑠𝑠訊息給𝑅𝐼𝐷𝑝𝑖，如訊息 8，以告知標籤設 定完成，反之則回傳失敗訊息給𝑅𝐼𝐷𝑝𝑖。一旦𝑅𝐼𝐷𝑝𝑖 接收到失敗訊息，下次必須從重新進行所有權轉 移第一階段程序。 圖 3 所有權轉移第一階段，標籤與讀取器認證和標籤設定程序 在𝑅𝐼𝐷𝑝𝑖收到𝐷𝐼𝐷𝑖告知標籤完成設定的訊息 後，一旦決定要進行所有權轉移，則會將識別碼 𝐷𝐼𝐷𝑖、暫存的金鑰𝐾𝑡 𝑎𝑖與共享秘密𝑆𝑎𝑖、r1 加密傳 送給指定之轉移目標讀取器𝑅𝐼𝐷𝑞𝑗，如圖 4 所示。 圖 4 所有權轉移第一階段，傳送認證金鑰 在𝑅𝐼𝐷𝑞𝑗收到𝑅𝐼𝐷𝑝𝑖的訊息後，會從訊息中擷取認證 電子標籤的訊息𝑆𝑎𝑖、𝐾𝑡 𝑎𝑖和所有權轉出管理伺服 器資訊𝐷𝐼𝐷𝑖並將這些資料儲存於𝑅𝐼𝐷 𝑞𝑗的關聯性 資料表，如表格 1 所示。 表格 1 𝑅𝐼𝐷𝑞𝑗的關聯性資料表 共享秘密 s 共享金鑰 t 管理伺服器識別編號 𝑆𝑎𝑖 𝐾𝑡𝑎𝑖 𝐷𝐼𝐷𝑖 𝑆𝑏𝑖 𝐾𝑡𝑏𝑖 𝐷𝐼𝐷𝑖
7 在新讀取器𝑅𝐼𝐷𝑞𝑗取得能在下一階段認證電 子標籤的資訊後，則完成所有權轉移協定第一階 段。接下來轉入讀取器𝑅𝐼𝐷𝑞𝑗即可進行 CAOT 所有 權轉移協定第二階段，如圖 5 所示，標籤的新擁 有者將與所有權轉出管理伺服器𝐷𝐼𝐷𝑖進行驗證 程序，以完成所有權轉移。 圖 5 所有權轉移第二階段，標籤金鑰更新與擁有者變更程序 所有權轉移第二階段主要分為四個部分，(1) 讀取器與電子標籤進行認證程序 (2)新標籤管轄 伺服器與原標籤管轄伺服器進行認證與所有權 轉移 (3)伺服器進行標籤金鑰變更 (4)確認標籤
8 金鑰是否變更完成。 在第一部分包含訊息 1 至 3，新標籤擁有者 使 用 行 動 讀 取 器𝑅𝐼𝐷𝑞𝑗 發 送 所 有 權 轉 移 請 求 𝑅𝑒𝑞𝑢𝑒𝑠𝑡𝑂𝑇給標籤𝑇𝐼𝐷𝑎𝑖。標籤在收到請求後，將 產生的隨機數 r5、標籤識別碼𝑇𝐼𝐷𝑎𝑖以金鑰𝐾𝑦𝑎𝑖加 密，再將此加密訊息與共享祕密𝑆𝑎𝑖以共享金鑰 𝐾𝑡𝑎𝑖進行第二次加密後傳送給𝑅𝐼𝐷𝑞𝑗，如圖 5 之訊 息 2 所示。在𝑅𝐼𝐷𝑞𝑗收到訊息 2 後，嘗詴找尋對應 金鑰𝐾𝑡𝑎𝑖解開密文並利用𝑆𝑎𝑖認證電子標籤。認證 通過後，將 LE(𝐾𝑦𝑎𝑖, 𝑇𝐼𝐷𝑎𝑖)與資料表(表格 1)中對 應的伺服器識別碼𝐷𝐼𝐷𝑖傳送給欲轉入之讀取器 𝑅𝐼𝐷𝑞𝑗的管理伺服器𝐷𝐼𝐷𝑗，如訊息 3 所示。 所有權轉入之管理伺服器收到要求所有權 轉移請求和轉出伺服器之識別碼並經過現有之 雙向認證方法確認雙方身分後，轉入伺服器𝐷𝐼𝐷𝑗 會與轉出伺服器𝐷𝐼𝐷𝑖進行所有權轉移驗證，以取 得所有權轉移的階段性金鑰𝐾𝑦𝑎𝑖與標籤識別碼。 首先，𝐷𝐼𝐷𝑗將自己本身的識別碼𝐷𝐼𝐷𝑗、讀取器 識別碼𝑅𝐼𝐷𝑞𝑗以及標籤訊息傳送給 DIDi，如訊息 4 所示，以進行所有權轉移的驗證。𝐷𝐼𝐷𝑖收到訊息 後，藉由解析標籤訊息 M1以確認自己為轉移標 籤𝑇𝐼𝐷𝑎𝑖之管轄伺服器，並確認𝐷𝐼𝐷𝑗和𝑅𝐼𝐷 𝑞𝑗的識 別碼是否符合先前登錄所指定轉移的目標。若發 生驗證失敗，則回傳錯誤訊息給𝐷𝐼𝐷𝑗；若驗證成 功，則𝐷𝐼𝐷𝑖如訊息 5 所示回傳隨機數 r 5、所有權 交換金鑰 Kyai 以及標籤識別碼𝑇𝐼𝐷𝑎𝑖給𝐷𝐼𝐷𝑗，並 使轉入伺服器具有該標籤相關資訊查詢能力。 在所有權轉入伺服器通過認證得到標籤所 有權轉換之必要資訊後，則可進行標籤金鑰𝐾𝑡𝑎𝑖 更換與指定擁有者來解除原有標籤擁有人對該 標籤之所有權。在𝐷𝐼𝐷𝑗取得所有權轉移金鑰𝐾𝑦 𝑎𝑖 後，將𝑇𝐼𝐷𝑎𝑖加入讀取器𝑅𝐼𝐷𝑞𝑗所管轄之電子標籤群 𝑇𝑞𝑗內。將隨機數 r5、標籤識別碼𝑇𝐼𝐷𝑎𝑖、更換金鑰 指令 CK 以及𝐷𝐼𝐷𝑗隨機產生的新標籤管理金鑰 𝐾𝑧𝑎𝑖以金鑰𝐾𝑦𝑎𝑖加密為標籤更新金鑰訊息，傳送 給𝑅𝐼𝐷𝑞𝑗，如訊息 6 所示，以進行標籤金鑰更換。 同時 DIDj 的資料庫將對新標籤進行登錄，記錄 其金鑰𝐾𝑧𝑎𝑖、𝐾𝑦𝑎𝑖、標籤資訊相關資訊與標籤識 別碼𝑇𝐼𝐷𝑎𝑖，並指定標籤的所有權讀取器為𝑅𝐼𝐷 𝑞𝑗。 在𝑅𝐼𝐷𝑞𝑗收到訊息 6 後，將標籤金鑰更新訊息轉 M6 送給標籤𝑇𝐼𝐷𝑎𝑖，以進行標籤金鑰更新，如訊 息 7 所示。標籤𝑇𝐼𝐷𝑎𝑖在收到來訊息 7 後，會以金 鑰𝐾𝑦𝑎𝑖解密訊息，並驗證解密後的標籤識別碼 𝑇𝐼𝐷𝑎𝑖是否符合。若驗證不符合則回傳隨機數訊息； 若是驗證符合，則更新金鑰𝐾𝑥𝑎𝑖為金鑰𝐾𝑧 𝑎𝑖，並 且將標籤的狀態旗標𝑓𝑙𝑎𝑔𝑎𝑖由表示所有權轉換中 的 OT 更改為所有權轉換完成的 None。最後以新 的金鑰𝐾𝑧𝑎𝑖加密隨機數 r 5與標籤識別碼𝑇𝐼𝐷𝑎𝑖回傳 給𝑅𝐼𝐷𝑞𝑗再轉送至後端伺服器，讓伺服器確認是否 轉移成功，如訊息 8 所示。 最後，𝑅𝐼𝐷𝑞𝑗將收到的訊息 8 轉送至𝐷𝐼𝐷𝑗進行 驗證，如訊息 9，使伺服器能確認是否正確完成 標籤所有權轉移。而𝐷𝐼𝐷𝑗在收到訊息 9 後，嘗詴 以金鑰𝐾𝑧𝑎𝑖將標籤訊息解密，並驗證識別碼𝑇𝐼𝐷𝑎𝑖 是否符合，以確認標籤金鑰是否更新。若驗證資 料不符，則回傳錯誤訊息告知𝑅𝐼𝐷𝑞𝑗驗證失敗；若 是資料驗證正確，則在資料庫中記錄所有權交換 成功、並且回傳𝑂𝑇2𝑠𝑢𝑐𝑐𝑒𝑠𝑠給𝑅𝐼𝐷𝑞𝑗，以告知所有權 轉移完成。
四、安全性分析
在這此章節我們將針對我們提出的 CAOT 協定進行安全性分析。由於我們假設有線網路、 個人行動通訊上網和 IEEE802.11 的無線上網方 式因有對應的安全架構而可被信任，並且在有線 網路和無線網路方面，都利用現有之機制，透過 憑證驗證程序取得階段金鑰，進行加密通訊來確 保通訊的安全性。因此在此節分析 CAOT 協定中 行動讀取器與電子標籤之間通訊的安全性。 機密性：電子標籤送出的訊息利用和管轄標籤的9 伺服器共享金鑰的𝐾𝑥𝑎𝑖、𝐾𝑦𝑎𝑖和標籤識別碼𝑇𝐼𝐷𝑎𝑖 加密。攻擊者因無法解讀加密的訊息而無法取得 這些資訊。 防止重送攻擊：由於 CAOT 協定在每一個完整階 段的通訊過程中，電子標籤會產生一個隨機數共 同加密，並且與伺服器共享這個隨機數，做為每 次完整階段通訊的驗證值。所以當攻擊者在下一 次通訊嘗詴使用搜集的資訊進行重送攻擊時，會 因無法符合電子標籤所產生的隨機數而失敗。 所有權轉移的雙向認證：由於所有權轉移的時候， 行動讀取器和管理伺服器會利用彼此共享的金 鑰確認身份，才能進行所有權轉移。因此在攻擊 者沒有共享金鑰與標籤識別碼的狀況下，無法偽 造標籤或讀取器以及後端資料庫的認證訊息，且 我們已經證明攻擊者無法在我們協定中進行重 送攻擊。所以在所有權轉移過程可以達到雙向認 證的需求。 防止中間人攻擊：由於行動讀取器和電子標籤之 通訊均加密，且攻擊者無法偽照標籤或讀取器以 及後端資料庫的合法的訊息。且無法利用重送攻 擊來躲過我們的雙向認證機制，因此攻擊者無法 假裝成標籤或讀取器來進行中間人攻擊。 所有權轉移的向前性安全：由於所有權轉移的過 程中，透過階段性金鑰𝐾𝑦𝑎𝑖來更新原標籤管理金 鑰𝐾𝑥𝑎𝑖為新標籤管理金鑰𝐾𝑧 𝑎𝑖。又階段性金鑰𝐾𝑦𝑎𝑖 為一隨機產生之暫時性金鑰，新標籤擁有者並無 法透過金鑰𝐾𝑦𝑎𝑖推導出先前的金鑰𝐾𝑥𝑎𝑖 ，因此 CAOT 協定達到所有權轉移的向前性安全。 抵禦資料不同步更新的阻斷服務攻擊：CAOT 協 定因在管理伺服器在更新階段會記錄所有權交 換金鑰與要更換的標籤管理金鑰，因此發生標籤 管理金鑰不同步更新時，管理伺服器仍有所有權 交換金鑰可以解讀標籤的加密訊息，所以 CAOT 協定並不會因阻斷服務攻擊而造成的電子標籤 與管理伺服器產生不同步更新，而出現標籤管理 金鑰失效的問題，因此我們的方法具抵禦資料不 同步更新阻斷服務攻擊之能力。 位置隱私：由於協定中所有傳輸的訊息加密時會 加入隨機數，使得每次同類型訊息的加密結果不 會相同，因此攻擊者無法利用同一標籤兩次傳輸 訊息的關係來分析使用者為何，也無法辨識是否 為同一標籤所傳出之訊息，所以無法利用標籤傳 輸的訊息來追蹤標籤持有人。 隱私保護：由於 CAOT 協定達到上文敘述的安全 性需求以及具抵抗安全性威脅的能力，且標籤相 關資料置於管理伺服器，藉由管理伺服器的權限 控管，以及通訊過程的的雙向認證，在攻擊者沒 有合法讀取器的狀況，難以取得電子標籤的相關 資訊，因此可以保護標籤持有人的個人隱私。 為分析我們方法的安全性相對於其它所有 權轉移方法的強度，我們對[26] 和[17] 的傳統 RFID 所 有 權 轉 移 方 法 以 及 楊 所 提 出 運 作 於 Mobile RFID 環境的所有權轉移方法[1] ，以及 我們所提出的 CAOT 方法進行安全性與功能性 之比較分析。 表格 2 RFID 所有權轉移方法安全性比較表 Method Function Osaka’s et al. Method[17] S. Fouladgar et al.’s Method[27] 楊 et al.’s Method[1] Our Method Reply Attack V V V V
MITM Attack N/A V V V
DoS Attack N/A V V V
Forward
Security N/A N/A V V
Mutual
Authentication N/A V V V
Mobile RFID N/A N/A V V
Cross
Authority N/A N/A N/A V
由表格 2 我們可以得知，我們提出的 CAOT 所有權轉移方法相較於 Osaka 等人的方法提供更 多的安全性支援；我們的方法將 S.Fouladgar 等 人提出在兩伺服器之間進行所有權轉移概念拓 展至多伺服器環境，並且解決其向前性安全問題； 相較於楊等人提出的方法，我們的方法可支援 Mobile RFID 環境下進行跨伺服器所有權轉移。
10
五、效能分析比較
在此章節，我們將針對 CAOT 方法的計算量 與儲存空間做分析。 在表格 3 的 CAOT 計算量評估表中，我們 各別評估兩階段協定中標籤、讀取器與伺服器所 需的計算量。我們以 TE 表示進行一次加解密通 訊所需的時間，TLE 表示進行一次輕量級加解密 所需的時間，TRNG表示產生一個隨機數所需的時 間。 表格 3 CAOT 計算量評估表 第 一 階 段 𝑇𝐼𝐷𝑎𝑖 3TLE+TRNG 𝑅𝐼𝐷𝑝𝑖 6TE+TRNG 𝐷𝐼𝐷𝑖 4T E+3TLE+3TRNG 𝑅𝐼𝐷𝑞j 2TE 第 二 階 段 𝑇𝐼𝐷𝑎𝑖 4TLE+TRNG 𝑅𝐼𝐷𝑞𝑗 4TE 𝐷𝐼𝐷𝑗 6T E+TLE+TRNG 𝐷𝐼𝐷𝑖 2T E+TLE 總計 23TE+9TLE+6TRNG 在表格 3 中可見，我們的方法因兩階段協定 具有可分割性，在進行完第一階段協定後，可以 隔一段時間再進行第二階段協定來完成所有權 轉移，所以標籤上的運算量仍是電子標籤所能負 擔的範圍。因此我們所提出的方法是可行的。 Koralalage 等人提出的方法[16] 中，對 EPC 規格之標籤進行擴展，假設使用 Martin Hell 等 人提出的 Grain1 stream 加密演算法保護標籤送 出的訊息。我們將參考其方法來評估我們方法在 標籤上所需使用的記憶體空間，在表格 4 中，以 括號內之值來表示。 表格 4 電子標籤儲存空間評估 TID Tag ID (96bits)Kx Authentication key (80bits) Ky Authentication key (80bits) Kt Authentication key (80bits) S shared secret (48bits) flag Status flag (1 bit)
r Nonce generated by tag (40bits)
由表格 4 電子標籤儲存空間評估可得知， 我 們 方 法 電 子 標 籤 所 需 的 記 憶 體 空 間 只 要 425bits，在 EPC 規格最大記憶體 512bits 的範圍 內[9] 。所以我們提出的 CAOT 方法之記憶體需 求，對 EPC 等級的電子標籤可負擔之範圍，因 此在低成本的電子標籤上，我們的方法是可行 的。 表格 5 相關研究計算量比較表 方法名稱 設備 所有權轉移協定計算量
S. Fouladgar et al.’s Method[27]
標籤 TLE+TRNG 讀取器 TRNG 後端伺服器 2TLE+2TRNG 楊 et al.’s Method[1] 標籤 11TH+1TRNG 讀取器 2TH+TRNG 後端伺服器 8TH+TRNG Our Method 標籤 7TLE+2TRNG 讀取器 None 後端伺服器 5TLE+4TRNG 在表格 5 相關研究計算量比較表，將 S. Fouladgar 等人提出之方法[26] 以及楊等人提出 之方法[1] 與我們的 CAOT 方法進行計算量之比 較。由於 S. Fouladgar 直接假設其方法在後端伺 服器與讀取器之間透過安全的通道進行，並未說 明透過何種機制，因此為站在公平的角度進行比 較，我們不對建立安全通道所需的計算量進行分 析，Osaka 等人方法因無法達到安全上的需求， 因此我們不列入計算。 我們的方法在讀取器上所需的計算量優於 另兩者之方法。在後端伺服器上所需的計算量相 較於楊等人以及 S. Fouladgar 所提出的方法來得 少。另外，在標籤上的計算量仍略優於楊等人的 方法，但因為我們所提出的所有權轉移具有跨越 管理伺服器的能力，所以標籤需要和兩個伺服器 進行認證和所有權轉換，所以較 S. Fouladgar 提 出的方法所需的計算量來得多。不過，依照我們 在表 3 和表 4 分析在 RFID 標籤上利用 DESLit[5] 或 Grain[22] 實做加密電路以及我們的所有權交 換協定所需的邏輯閘數可在 3000 個邏輯閘內達
11 成，因此我們提出的 CAOT 方法仍是可在 RFID 上被實行。
六、結論
在未來 RFID 的應用會更加的廣泛，並且隨 著 Mobile RFID 的發展，帶動行動電子商務的發 展，進而提供更多個人化的應用服務與商業服務。 因此在 Mobile RFID 環境下進行交易活動，將成 為未來趨勢，而所有權轉移的功能也將不可或缺。 當生活周遭的許多物品都嵌入有 RFID 標籤，且 提供相關服務的 RFID 管理伺服器的選擇越來越 多樣化，將會延伸出在多伺服器進行所有權轉移 的議題。因此我們提出一個跨所有權管理區域的 所有權轉移協定，來解決利用隸屬於不同後端管 理伺服器之行動讀取器以 RFID 標籤進行所有權 轉換的問題，並且證明我們提出的方法可以抵禦 竊聽、重送攻擊、中間人攻擊、阻斷服務攻擊等 常發生於 RFID 通訊的攻擊，並且於利用 RFID 網路進行所有權轉移時滿足向前安全性與雙向 認證的安全性需求，且在效能分析可於 RFID 標 準提供之邏輯閘數目內完成，標籤儲存空間分析 也滿足 EPC 標準所提供的容量範圍內，因此可 使得使用者在安全的狀況下於 RFID 網路內進行 跨領域所有權轉移。七、參考文獻
[1] 楊明豪、羅嘉寧、李昱霖，“Mobile RFID 雙 向認證及所有權轉移，” Taiwan Academic network conference 2008 , pp. 133-138. [2] 3GPP, “Mobile-services SwitchingCentre-Base Station System (MSC-BSS) interface; layer 3 specification (Release 8),” 3GPP TS 48.008, March 2009.
[3] 3GPP;TSG SA, “3G Security; Security
Architecture (Release 8),” 3GPP TS 33.102, March 2009.
[4] A. Juels, “RFID security and privacy: a
research survey,” IEEE Journal on Selected Areas in Communications, 2006.
[5] A. Poschmann, G. Leander, K. Schramm, C.
Paar, “New Light-Weight Crypto Algorithms for RFID,” Circuits and Systems, 2007, PP. 1843-1846.
[6] D. Johnson, C. Perkins, “Mobility Support in IPv6,” RFC 3775, June 2004.
[7] D. M. Konidala, K. Kim, “Mobile RFID
Security Issues,” Symposium on Cryptography and Information Security SCIS, Hiroshima, Japan, IEICE, January 2006.
[8] D. Molnar, A. Soppera, and D. Wagner, “A
scalable, delegatable pseudonym protocol enabling ownership transfer of RFID tags,” Proc. Sel. Areas Cryptography, B. Preneel and S. Tavares, Ed. New York: Springer-Verlag, 2005, Lecture Notes in Computer Science.
[9] EPCglobal Inc, Retrieved July. 1, 2009, from
the World Wide Web:
http://www.epcglobalinc.org/home
[10] Eun-Jun Yoon, Kee-Young Yoo, “Two Security
Problems of RFID Security Method with Ownership Transfer,” Network and Parallel Computing, 2008. NPC 2008. pp. 68-73.
[11] HITACHI RFID Solutions - The Mu Chip
Products Retrieved July. 1, 2009, from the
World Wide Web:
http://www.hitachi-eu.com/mu/Products/Mu% 20Chip.htm
[12] Institute of Electrical and Electronics
Engineers, Inc., “Wireless Medium Access Control (MAC) and Physical Layer (PHY) Specifications: Medium Access Control (MAC) Security Enhancements,” Std.802.11i-2004, July, 2004.
[13] Internet X.509 Public Key Infrastructure
Certificate Management Protocols, Retrieved July. 1, 2009, from the World Wide Web:
http://www.ietf.org/rfc/rfc2510.txt
[14] P. Jappinen, H. Hamalainen, “Enhanced RFID
Security Method with Ownership Transfer,” Computational Intelligence and Security, 2008. Volume 2, pp. 382-385.
12
[15] K. Finkenzeller. RFID-Handbook. Carl Hanser
Verlag M¨unchen, 2nd edition, April 2003.
[16] K. H. S. S. Koralalage, M. R. Selim, J. Miura,
Y. Goto, and J. Cheng, “POP Method: An Approach to Enhance the Security and Privacy of RFID Systems Used in Product Lifecycle with an Anonymous Ownership Transferring Mechanism,” In Proc. SAC, ACM Press, 2007, pp. 270-275.
[17] K. Osaka, T. Takagi, K. Yamazaki, and O.
Takahashi, “An Efficient and Secure RFID Security Method with Ownership Transfer,” in International Conference on Computational Intelligence and Security, pp. 1090-1095, Nov. 2006.
[18] K. Sakiyama, L. Batina, N. Mentens, B.
Preneel, and I. Verbauwhede, “Small-footprint ALU for public-key processors for pervasive security,” presented at the Workshop RFID Sec., Graz, Austria, 2006.
[19] H. Lee and J. Kim, (2006), “Privacy Threats and Issues in Mobile RFID,” Proceedings of the First International Conference on Availability, Reliability and Security (ARES'06), IEEE Computer Society, pp. 1-5.
[20] M. Feldhofer, S. Dominikus, and J.
Wolkerstorfer, “Strong authentication for RFID systems using the AES algorithm,” in Proc. Workshop Cryptographic Hardware Embedded Syst.(CHES 2004), Lecture Notes in Computer Science. Berlin, Germany: Springer-Verlag, vol. 3156, pp. 357-370.
[21] M.-H. Yang, J.-N. Luo, “Authentication
Protocol in Mobile RFID Network,” The Fourth International Conference on Systems (ICONS’09), 2009 pp. 108-113.
[22] Martin Hell, Thomas Johansson, WilliMeier,
“Grain - a stream cipher for constrained environments,” International Journal of Wireless and Mobile Computing, Volume 2, Issue 1 (May 2007), Pages 86-93
[23] Namje Park, Youjin Song, Dongho Won,
“Policy and Role based Mobile RFID User Privacy Data Management System,” Network
Operations and Management Symposium, PP. 1003-1006, 2008.
[24] NFC Forum, Retrieved July. 1, 2009, from the
World Wide Web:
http://www.nfc-forum.org/home
[25] S. Fouladgar and H. Afifi( 2007) , “A Simple
Delegation Scheme for RFID Systems
(SiDeS) ,” IEEE International Conference on RFID,2007 ,pp.1-6.
[26] S. Fouladgar and H. Afifi., “A simple privacy protecting scheme enabling delegation and ownership transfer for RFID tags,” Journal of Communications, 2(6):6-13, November 2007.
[27] S. Fouladgar and H. Afifi., “An efficient
delegation and transfer of ownership protocol for RFID tags,” In First International EURASIP Workshop on RFID Technology, Vienna, Austria, September 2007.
[28] S. Kumar and C. Paar, “Are standards
compliant elliptic curve cryptosystems feasible on RFID?,” presented at the Workshop RFID Sec., Graz, Austria, 2006.
[29] Sony Felica Web Site, Retrieved July. 1, 2009,
from the World Wide Web:
http://www.sony.net/Products/felica/index.html
[30] Vaudenay, S., “On Privacy Models for RFID,”
ASIACRYPT 2007. LNCS, vol. 4833, pp. 68-87. Springer, Heidelberg (2007).
[31] R. Want, “An introduction to RFID technology,”
Pervasive Computing, IEEE Volume 5, Issue 1, Jan.-March 2006 Page(s):25 - 33 Digital Object Identifier 10.1109/MPRV.2006.2
[32] Y. Seo, T. Asano, H. Lee, and K. Kim, “A Lightweight Protocol Enabling Ownership Transfer and Granular Data Access of RFID Tags,” the 2007 Symposium on Cryptography and Information Security Sasebo, Japan, Jan. 2007, pp. 23-26.
