第九章--RFID系统的安全.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,存在这么几个问题,1、RFID的安全漏洞在哪,有哪些攻击方式？,2,、,RFID有哪些安全解决方案,？,问题探究,第九章 RFID系统的安全,RFID系统是一个开放的无线系统，其安全问题日渐显著。读写器、电子标签和网络等各个环节数据都存在安全隐患，安全与隐私问题已经成为制约RFID技术的主要因素之一。为了防止某些试图侵入RFID系统而进行的非授权访问，或者防止跟踪、窃取甚至恶意篡改电子标签信息，必须采取措施来保证数据的有效性和隐私性，确保数据安全性。,场景 一,(1)超市已构建RFID系统并实现仓储管理、出售商品的自动化收费等功能，超市管理者使用的阅读器可以读写商品标签数据(写标签数据时需要接人密钥)，考虑到价格调整等因素，标签数据必须能够多次读写。,(2)移动RFID用户自身携带有嵌入在手机或PDA中的阅读器，该阅读器可以扫描超市中商品的标签以获得产品的制造商、生产日期和价格等详细信息。,RFID智能收货,RFID智能购物车,RFID智能结算,未来商店,(3)通过信道监听信息截获、暴力破解(利用定向天线和数字示波器监控标签被读取时的功率消耗，确定标签何时接受了正确的密码位)或其他人为因素，攻击者得到写标签数据所需的接人密钥。,(4)利用标签的接人密钥，攻击者随意修改标签数据，更改商品价格，甚至“kill”标签导致超市的商品管理和收费系统陷入混乱以谋取个人私利,。,德州仪器（,TI,）公司制造了一种称为数字签名收发器（,Digital Signature Transponder,，,DTS,）的内置加密功能的低频,RFID,设备。,DST,现已配备在数以百万计的汽车上，其功能主要是用于防止车辆被盗。,DST,同时也被,SpeedPass,无线付费系统所采用，该系统现用在北美的成千上万的,ExxonMobil,加油站内。,DST,执行了一个简单的询问,/,应答（,challenge-response,）协议来进行工作,.,阅读器的询问数据,C,长度为,40bits,，芯片产生的回应数据,R,长度为,24bits,，而芯片中的密钥长度亦为,40bits,。,密码破译者都知道，,40bits,的密钥长度对于现在的标准而言太短了，这个长度对于暴力攻击法毫无免疫力。,2004,年末，一队来自约翰霍普津斯大学和,RSA,实验室的研究人员示范了对,DST,安全弱点的攻击。他们成功的完全复制了,DST,，这意味着他们破解了含有,DST,的汽车钥匙，并且使用它执行了相同的功能。,场景 二,在,2006,年意大利举行的一次学术会议上，就有研究者提出病毒可能感染,RFID,芯片，通过伪造沃尔玛、家乐福这样的超级市场里的,RFID,电子标签，将正常的电子标签替换成恶意标签，即可进入他们的数据库及,IT,系统中发动攻击。,2011,年,9,月，北京公交一卡通被黑客破解，从而敲响了整个,RFID,行业的警钟。黑客通过破解公交一卡通，给自己的一卡通非法充值，获取非法利益,2200,元,2011,年,3,月，业内某安全专家破解了一张英国发行的、利用,RFID,来存储个人信息的新型生物科技护照。,2007,年,RSA,安全大会上，一家名为,IOActive,的公司展示了一款,RFID,克隆器，这款设备可以通过复制信用卡来窃取密码,场景 三,RFID应用的隐私泄露问题,因此，如何实现RFID系统的安全并保护电子标签持有人隐私将是目前和今后发展RFID技术十分关注的课题。,存在这么几个问题,1、RFID为什么会泄露个人隐私的,？,2、RFID的安全漏洞在哪,有哪些攻击方式？,3,、,RFID有哪些安全解决方案,？,问题探究,9.1 RFID系统面临的安全攻击,常见安全攻击类型,1电子标签数据的获取攻击,由于标签本身的,成本所限制,，标签本身很难具备保证安全的能,力，因此会面临着许多问题。,电子标签通常包含一个带内存的微芯片，电子标签上数据的安,全和计算机中数据的安全都同样会受到威胁。非法用户可以利用合,法的读写器或者自构一个读写器与电子标签进行通信，可以很容易,地获取标签所存储的数据。,这种情况下，未经授权使用者可以像一个合法的读写器一样去,读取电子标签上的数据。在可写标签上，数据甚至可能被非法使用,者修改甚至删除。,9.1 RFID系统面临的安全攻击,2电子标签和读写器之间的通信侵入,当电子标签向读写器传输数据，或者读写器从电子标签上查询,数据时，数据是通过无线电波在空中传播的。在这个通信过程中，,数据容易受到攻击。,这类无线通信易受攻击的特性包括以下几个方面：,（1）非法读写器截获数据：非法读写器截取标签传输的数据。,（2）第三方堵塞数据传输：非法用户可以利用某种方式去阻塞数,据在电子标签和读写器之间的正常传输。最常用的方法是欺骗，通,过很多假的标签响应让读写器不能分辨正确的标签响应，使得读写,器过载，无法接收正常标签数据，这种方法也叫做拒绝服务攻击。,（3）伪造标签发送数据：伪造的标签向读写器提供虚假数据，欺,骗RFID系统接收、处理以及执行错误的电子标签数据。,9.1 RFID系统面临的安全攻击,3侵犯读写器内部的数据,在读写器发送数据、清空数据或是将数据发送给主机系统之,前，都会先将信息存储在内存中，并用它来执行某些功能。在这些,处理过程中，读写器就像其他计算机系统一样存在安全侵入问题。,4主机系统侵入,电子标签传出的数据，经过读写器到达主机系统后，将面临现,存主机系统的RFID数据的安全侵入问题。可参考计算机或网络安全,方面相关的文献资料。,9.1 RFID系统面临的安全攻击,由于目前RFID的主要应用领域对隐私性的要求不高，因此对于安全、隐私问题的注意力还比较少。然而，RFID这种应用面很广的技术，具有巨大的潜在破坏能力，如果不能很好地解决RFID系统的安全问题，随着物联网应用的扩展，未来遍布全球各地的RFID系统安全可能会像现在的网络安全难题一样考验人们的智慧。,9.2 RFID系统安全解决方案,RFID的安全和隐私保护与成本之间是相互制约的。例如，根据,自动识别（Auto-ID）中心的试验数据，在设计5美分标签时，集成,电路芯片的成本不应该超过2美分，这使集成电路门电路数量只能限,制在7.5k15k范围内。一个96bits的EPC芯片需要5k10k的门电,路，因此用于安全和隐私保护的门电路数量不能超过2.5k5k，,这样的限制使得现有密码技术难以应用。,优秀的RFID安全技术解决方案应该是平衡安全、隐私保护与成本,的最佳方案。,现有的RFID系统安全技术可以分为两大类：,（1）一类是通过物理方法阻止标签与读写器之间通信；,（2）一类是通过逻辑方法增加标签安全机制。,9.2 RFID系统安全解决方案,物理方法,RFID安全的物理方法有杀死（Kill）标签、法拉第网罩、,主动干扰、阻止标签等。,杀死（Kill）标签,的原理是使标签丧失功能，从而阻止对标签,及其携带物的跟踪。如EPC Class 1 Gen 2标签。但是，Kill命令使,标签失去了本身应有的优点，如商品在卖出后，标签上的信息将不,再可用，但这样不便于之后用户对产品信息的进一步了解以及相应,的售后服务。另外，若Kill识别序列号（PIN）一旦泄漏，可能导致,恶意者对商品的偷盗。,法拉第网罩（Faraday Cage）,的原理是根据电磁场理论，由传,导材料构成的容器如法拉第网罩可以屏蔽无线电波，使得外部的无,线电信号不能进入法拉第网罩，反之亦然。把标签放进由传导材料,构成的容器可以阻止标签被扫描，即被动标签接收不到信号。,9.2 RFID系统安全解决方案,物理方法,主动干扰,无线电信号是另一种屏蔽标签的方法。标签用户可以通,过一个设备主动广播无线电信号用于阻止或破坏附近的读写器的操,作。但这种方法可能导致非法干扰，使附近其他合法的RFID系统受,到干扰，严重时可能阻断附近其他无线系统。,阻止标签,的原理是通过采用一个特殊的阻止标签干扰的防碰撞算,法来实现的，读写器读取命令每次总获得相同的应答数据，从而保,护标签。,综上，物理安全机制存在很大的局限性，往往需要附加额外的辅助设备，这不但增加了额外的成本，还存在其他缺陷。如Kill命令对标签的破坏性是不可逆的；某些有RFID标签的物品不便置于法拉第笼中等,。,9.2 RFID系统安全解决方案,9.2 RFID系统安全解决方案,逻辑方法,在RFID安全技术中，常用逻辑方法有,哈希（Hash）锁方案,随机Hash锁方案,Hash链方案,匿名ID方案,重加密方案,在诸多的基于密码技术的安全机制中，基于hash函数的RFID安全协议的设计备受关注。因为，无论是从安全需求来讲，还是从低成本的RFID标签的硬件执行上来讲，hash函数都是最适合于RFID认证协议的。,哈希(Hash)锁,Hash锁是一种更完善的,抵制标签未授权访问的安全与隐私技术,。整个方案只需要采用Hash函数，因此成本很低。,Hash函数的特点：,给定x，计算h(x)容易，但给定h(x)，求x计算上不可行；,对于任意x，找到一个y，且yx使得h(x)=h(y)，计算上是不可行的；同时，发现一对(x，y)使得h(x)=h(y)，计算上也是不可行的。,给定函数h及安全参数k，输入为任意长度二进制串，输出为k位二进制串，记为,92 RFID系统安全解决方案,安全协议执行步骤：,标签 T 进入阅读器 R 的有效范围，接收到阅读器 R 发出的仲裁命令 Query。,标签 T 通过反向信道发送 metalID 作为回复。,阅读器 R 将 metalID 传送给后台数据库 B，数据库查询是否存在相等的,metalID 值，若匹配则发送相应的标签信息(key,ID)给阅读器 R。,阅读器仅将其中的 key发送给标签。标签验证 key是否等于 key。,若 keykey 则标签将其 ID 发送给阅读器。,锁定标签：,对于唯一标志号为ID的标签，首先阅读器随机产生该标签的Key，计算metaID=Hash(Key)，将metaID发送给标签；标签将metaID存储下来，进入锁定状态。阅读器将(metaID，Key，ID)存储到后台数据库中，并以metaID 为索引。,9.2 RFID系统安全解决方案,解锁标签：,阅读器询问标签时，标签回答,metaID,；,阅读器查询后台数据库，找到对应的,(,metaID,，,Key,，,ID),记录，然后将该,Key,值发送给标签；,标签收到,Key,值后，计算,Hash(Key,),值，并与自身存储的,metaID,值比较，若,Hash(Key,)=,metaID,，标签将其,ID,发送给阅读器，这时标签进入已解锁状态，并为附近的阅读器开放所有的功能。,方法的优点：,解密单向Hash函数是较困难的，因此该方法可以阻止未授权的阅读器读取标签信息数据，在一定程度上为标签提供隐私保护；该方法只需在标签上实现一个Hash函数的计算，以及增加存储metaID值，因此在低成本的标签上,容易实现,。,方法的缺陷：,由于每次询问时标签回答的数据是特定的，因此其不能防止位置跟踪攻击；阅读器和标签问传输的数据未经加密，窃听者可以轻易地获得标签Key和ID值。,9.2 RFID系统安全解决方案,注：常用的,Hash算法,硬件开销是比较大的，例如SHA-1算法大概需要20000个等效门电路来实现，完全不适用于低成本的RFID标签。但是Yksel提出了一个低成本的64位Hash函数，只需要1700个等效门便可实现。,9.2 RFID系统安全解决方案,9.2 RFID系统安全解决方案,2随机Hash锁,作为Hash锁的扩展，随机Hash锁解决了标签位置隐私问题。采用随机Hash锁方案，读写器每次访问标签的输出信息不同。,随机Hash锁原理,是标签包含Hash函数和随机数发生器，后台服务器数据库存储所有标签ID。读写器请求访问标签，标签接收到访问请求后，由Hash函数,计算标签ID与随机数,r,的Hash值,。标签再发送数据给请求的阅读器，同时读写器发送给后台服务器数据库，后台服务器数据库穷举搜索所有标签ID和,r,的Hash值，判断是否为对应标签ID，标签接收到读写器发送的ID后解锁。,2随机Hash锁,锁定标签,：向未锁定标签发送锁定指令，即可锁定该标签。,解锁标签,：读写器向标签ID发出询问，标签产生一个随机数,R,，计算Hash（ID|,R,），并将（,R,，Hash(ID|,R,)）数据传输给读写器；读写器收到数据后，从后台数据库取得所有的标签ID值，分别计算各个Hash（ID|,R,）值，并与收到的Hash（ID|,R,）比较，若Hash（ID,k,|,R,）=Hash（ID|,R,），则向标签发送ID,k,；若标签收到ID,k,=ID，此时标签解锁。,9.2 RFID系统安全解决方案,随机Hash锁方案的缺点：,（1）尽管Hash函数可以在低成本情况下完成，但要集成随机数发生,器到计算能力有限的低成本被动标签上却很困难。,（2）随机Hash锁仅解决了标签位置隐私问题，一旦标签的秘密信息,被截获，隐私侵犯者可以获得访问控制权，通过信息回溯得到标签,历史记录，推断标签持有者隐私。,（3）后台服务器数据库的解码操作通过穷举搜索，标签数目很多,时，系统延时会很长，效率并不高。,9.2 RFID系统安全解决方案,3Hash链,为了解决可跟踪性，标签使用了Hash函数在每次读写器访问后,自动更新标识符的方案，实现前向安全性。,Hash链原理,是标签在存储器中设置一个随机的初始化标识符,S,1，这个标识符也存储到后台数据库。标签包含两个Hash函数,G,和,H当读写器请求访问标签时，标签返回当前标签标识符,ak,=,G,(,Sk,),给读写器，标签从电磁场获得能量时自动更新标识符,Sk,+1=,H,(,Sk,)。,Hash链工作机制如图所示。,9.2 RFID系统安全解决方案,3Hash链,锁定标签,：对于标签ID，读写器随机选取一个数,S,1发送给标,签，并将（ID，,S,1）存储到后台数据库中，标签存储接收到,S,1后便,进入锁定状态。,解锁标签,：在第,i,次事务交换中，读写器向标签发出询问消息，,标签输出,ai,=,Gi,，并更新,Si,+1=,H,(,Si,)，其中,G,和,H,为单向Hash函数。读,写器收到,ai,后，搜索数据库中所有的（ID，,S,1）数据对，并为每个,标签递归计算,ai,=,G,(,H,(,Si,1)，比较是否等于,ai,，若相等，则返回相,应的ID。该方法使得隐私侵犯者无法获得标签活动的历史信息，但,不适合标签数目较多的情况。,9.2 RFID系统安全解决方案,3Hash链优缺点分析,在Hash链协议中，标签是一个具有自主ID更新能力的标签，这使得,前向安全性问题得到了解决；,Hash链协议只能对标签身份进行认证；,容易受到重传和假冒攻击；,标签每次认证后，后台数据库都要对每一个标签进行i次杂凑运算；,该协议需要两个不同的hash函数，增加了标签的制造成本。,9.2 RFID系统安全解决方案,4匿名ID方案,匿名ID方案,采用匿名ID，在消息传输过程中，隐私侵犯者即使,截获标签信息也不能获得标签的真实ID。该方案采用公钥加密、私,钥加密或者添加随机数生成匿名标签ID。,虽然标签信息只需要采用随机读取存储器（RAM）存储，成本较,低，但数据加密装置与高级加密算法都将导致系统的成本增加。,因为标签ID加密以后仍具有固定输出，因此，使得标签的跟踪,成为可能，存在标签位置隐私问题。并且，该方案的实施前提是读,写器与后台服务器的通信建立在可信任的通道上。,9.2 RFID系统安全解决方案,5.重加密方案,重加密方案,采用公钥加密。标签可以在用户请求下,通过第三方,数据加密装置定期对标签数据进行重写,。因为采用公钥加密，大量,的计算负载将超出标签的能力，因此这个过程通常由读写器处理。,该方案存在的最大缺陷是标签的数据必须经常重写，否则，即使加,密标签ID固定的输出也将导致标签定位隐私泄漏。,与匿名ID方案相似，标签数据加密装置与公钥加密将导致系统成,本的增加，使得大规模的应用受到限制，且经常重复加密操作也给,实际操作带来困难。,没有任何一种单一的手段可以彻底保证RFID系统的应用安全。实际上往往需要采用综合性的解决方案。当然，,安全又是相对的,，不存在绝对安全的标签，安全措施的级别(破解的难易程度、随时间地点的变化等)会视应用不同而改变。在实施和部署RFID应用系统之前，有必要进行充分的业务安全评估和风险分析，综合的解决方案需要,考虑成本和收益之间,的关系。,9.2 RFID系统安全解决方案,9.3 智能卡的安全问题,本书深入介绍智能卡原理的基础上，着眼于智能卡安全内容，逐层描述了安全攻击、安全目标、安全算法、安全机制和安全规范等内容；然后介绍智能卡系统设计，包括低层设计、应用设计等内容；最后给出了智能卡未来发展的趋势。本书附有大量的研发实例。,9.3 智能卡的安全问题,影响智能卡安全的基本问题,根据各种对智能卡攻击所采用的手段和攻击对象的不同，一般,可以归纳为以下三种方式:,（1）,使用伪造的智能卡，以期进入某一系统,。模拟智能卡与接口,设备之间的信息，使接口设备无法判断出是合法的还是伪造的智能,卡。例如，像制造伪钞那样直接制造伪卡；对智能卡的个人化过程,进行攻击；在交易过程中替换智能卡等。,（2）,冒用他人遗失的，或是使用盗窃所得的智能卡,。试图冒充别,的合法用户进入系统，对系统进行实质上未经授权的访问。,（3）,主动攻击方式。,直接对智能卡与外部通信时所交换的信息流,（包括数据和控制信息）进行截听、修改等非法攻击，以谋取非法,利益或破坏系统。,9.3 智能卡的安全问题,物理安全,用于实施物理攻击的主要方法包括以下三种:,（1）,微探针技术,：攻击者通常使用专业手段去除芯片的各层金,属，在去除芯片封装后，通过使用亚微米级微探针获取感兴趣的信,号，从而分析出智能卡的有关设计信息和存储结构，甚至直接读取,出存储器的信息进行分析。,（2）,版图重构,：利用特制显微镜研究电路的连接模式，跟踪金属,连线穿越可见模块（如ROM、RAM等）的边界，可以迅速识别芯片上,的一些基本结构，如数据线和地址线。,（3）,聚离子束（FIB）技术,：采用镓粒子束攻击芯片表面，在不,破坏芯片表面电路结构的情况下，用含有不同气体的粒子束，可在,芯片上沉积出导线、绝缘体甚至半导体。这种方法可重新连接测试,电路的熔断丝，或将多层芯片中深藏内部的信号连到芯片的表面，,或加粗加强无法置放探针的导线，从而形成一个“探针台”。,9.3 智能卡的安全问题,物理攻击是实现成功探测的强有力手段，但其缺点在于入侵式,的攻击模式，智能卡在物理安全方面一些措施如下：,（1）在制造过程中使用特定的复杂昂贵的生产设备，同时制造人,员需具备专业知识技能，以增加伪造的难度，甚至使之不能实现。,（2）对智能卡在制造和发行过程中所使用的一切参数严格保密。,（3）增强智能卡在包装上的完整性。给存储器加上若干保护层，,把处理器和存储器做在智能卡内部的芯片上。选用一定的特殊材料,防止非法对存储器内容进行直接分析。,（4）在智能卡的内部安装监控程序，以防止外界对处理器/存储器,数据总线及地址总线的截听。,（5）对智能卡的制造和发行的整个工序加以分析。确保没人能完,整地掌握智能卡的制造和发行过程，在一定程度上防止内部职员的,非法行为。,9.3 智能卡的安全问题,逻辑安全,逻辑攻击者在软件的执行过程中插入窃听程序，利用这些缺陷诱骗智能卡泄漏机密数据或允许非期望的数据修改。攻击者只需具备智能卡、读写器和PC即可；其另一优点在于非入侵式的攻击模式以及可轻松地复制。,智能卡的逻辑安全主要由下列的途径实现。,9.3 智能卡的安全问题,1鉴别与核实,鉴别与核实：鉴别与核实其实是两个不同的概念，但是它们二者,在所实现的功能十分相似.,鉴别,（Authentication）是对智能卡（或者是读写设备）,的合法性的验证，,即如何判定一张智能卡（或读写设备）不是伪造,的卡（或读写设备）的问题,；,核实,（Verify）是指对智能卡的持有者的合法性进行验证，,也,就是如何判定一个持卡人是否经过了合法的授权的问题。,由此可见，二者实质都是对合法性的一种验证，但是，在具体的,实现方式上，由于二者所要验证的对象的不同，所采用的手段也就,不尽相同。,9.3 智能卡的安全问题,鉴别,是通过智能卡和读写设备双方同时对任意一个相同的随机数进行某种相同的加密运算（目前常用DES算法），然后判断双方运算结果的一致性来达到验证的目的。,以智能卡作为参照点，分为外部鉴别和内部鉴别。,外部鉴别,就是智能卡对读写设备的合法性进行的验证。先由读写器向智能卡发一串口令（产生随机数）命令，智能卡产生一个随机数，然后由读写器对随机数加密成密文密钥预先存放在读写器和IC卡中，密钥的层次则要按需要设定。读写器将密文与外部鉴别命令发送给IC卡，卡执行命令时将密文解密成明文，并将明文和原随机数相比较，若相同则卡承认读写器是真的，否则卡认为读写器是伪造的。,内部鉴别,就是读写设备对智能卡的合法性进行的验证，原理与IC卡鉴别读写器的真伪相似，但使用内部鉴别命令，解密后的结果与随机数进行比较的操作应在读写器中进行，而不是由IC卡来鉴别真伪。,三次认证过程,外部鉴别,注：该协议在认证过程中，属于同一应用的所有标签和阅读器共享同一的加密密钥。由于同一应用的所有标签都使用唯一的加密密钥，所有三次认证协议具有安全隐患。,42,射频识别中的认证技术,三次认证过程,阅读器发送查询口令的命令给应答器，应答器作为应答响应传送所产生的一个随机数,R,B给阅读器。,阅读器产生一个随机数,R,A，使用共享的密钥,K,和共同的加密算法,EK,，算出加密数据块TOKEN,AB,，并将TOKEN,AB,传送给应答器。,TOKEN,AB,EK,(,R,A,R,B),应答器接受到TOKEN,AB,后，进行解密，将取得的随机数与原先发送的随机数,R,B进行比较，若一致，则阅读器获得了应答器的确认。,应答器发送另一个加密数据块TOKEN,BA,给阅读器，TOKEN,BA,为,TOKEN,BA,EK,(,R,B1,R,A),阅读器接收到TOKEN,BA,并对其解密，若收到的随机数与原先发送的随机数,R,A相同，则完成了阅读器对应答器的认证。,44,例如：Mifare卡，采用三次认证协议，其密钥为6字节，即48位，一次典型的验证需要6ms，如果外部使用暴力破解的话，需要的时间为一个非常大的数字，常规破解手段将无能为力。,9.3 智能卡的安全问题,核实,是通过用户向智能卡出示仅有他本人知道的通行字，并由,智能卡对该通行字的正确性进行判断来达到验证的目的。在通行字,的传输过程中，有时还可对要传输的信息进行加/解密运算，这一过,程通常也称为通行字鉴别。用得最多的是通过验证用户个人识别号,（PIN）来确认使用卡的用户是不是合法持卡人。验证过程如图所,示，持卡人利用读写设备向智能卡提供PIN，智能卡把它和事先存储,在卡内的PIN相比较，比较结果在以后访问存储器和执行指令时可,作为参考，用来判断是否可以访问或者执行。,9.3 智能卡的安全问题,2.智能卡的通信安全与保密,智能卡通过鉴别与核实可防止伪卡的使用，防止非法用户的入,侵，但无法防止在信息交换过程中发生的窃听。,在通信方面对信息的修改主要包括：对信息内容进行更改、删,除及添加、改变信息的源点或目的点、改变信息组/项的顺序等。,保密性,主要是利用密码技术对信息进行加密处理，以掩盖真实,信息，使之变得不可理解，达到保密的目的。,智能卡系统中常用的两种密码算法：对称密钥密码算法或数据,加密算法（,DES,）和非对称密钥密码算法或公共密钥密码算法（,RSA,）。,智能卡经常采用DES算法,因为该算法已被证明十分成功，且运算复,杂度相对也较小.,数据加密标准（Data Encryption Standard，DES）,DES由IBM公司1975年研究成功并发表，1977年被美国定为联邦信息标准。,DES 使用一个 56 位的密钥以及附加的 8 位奇偶校验位，将64位的明文经加密算法变换为64位的密文。,加密和解密共用同一算法，使工程实现的工作量减半。,综合运用了置换、代替、代数等多种密码技术。,48,DES加密算法,L,i,=,R,i-1,R,i,L,i-1,f,(,R,i-1,K,i,),从左图可知,i=,1,2,3,16,49,矩阵,58 50 42 34 26 18 10 2,60 52 44 36 28 20 12 4,62 54 46 38 30 22 14 6,64 56 48 40 32 24 16 8,57 49 41 33 25 17 9 1,59 51 43 35 27 19 11 3,61 53 45 37 29 21 13 5,63 55 47 39 31 23 15 7,作用:,把64位明文打乱重排。,左一半为L0(左32位)，,右一半为R0(右32位)。,例：把输入的第,1,位置换到第,40,位，把输入的第,58,位置换到第,1,位。,初始置换IP,3重DES3DES是DES加密数据的一种模式，它使用3条56位的密钥对数据进行三次加密。,高级加密标准（Advanced Encryption Standard，AES）,高级加密标准由美国国家标准与技术研究院（NIST）于2001年11月26日发布于FIPS PUB 197，并在2002年5月26日成为有效的标准。2006年，高级加密标准已然成为对称密钥加密中最流行的算法之一。,AES是分组加密算法，分组长度为128位，密钥长度有128位、192位、256位三种，分别称为AES-128，AES-192，AES-256。,目前尚未存在对AES的完整攻击的算法,52,AES,基本要求：,比3重DES快,至少与3重DES一样安全,数据长度为128bit,密钥长度为128/192/256bit,设计原则：,能抵抗所有已知的攻击；,在各种平台上易于实现，速度快；,设计简单。,注1：国际上，世界领先的嵌入式 RFID 阅读器供应商 SkyeTek，于 2006 年初发布了高频和超高频 RFID 领域最先进的保护数据完整性及私密性的安全技术也即目前全球各地政府，金融，互联网应用等领域证实，迄今为止前景最好的密码技术由 NIST 提出的 AES密码算法，SkyeTek 已于 2006 年将这种安全技术引入嵌入式 RFID 阅读器。据最近科技查新报告显示:在国内，还没有企业或是实验室将 AES 算法应用在射频识别系统中，而对于 AES 密码芯片的研究很多也只是处于实验室研究阶段。,注2：在应用方面，尽管DES在安全上是脆弱的，但由于快速DES芯片的大量生产，使得DES仍能暂时继续使用，为提高安全强度，通常使用独立密钥的三级DES。但是DES迟早要被AES代替。,AES,标准的,高级加密算法(AES),大概需要20000-30000个等效门电路来实现。但Feldhofer等人提出了一个128位的AES算法只需要3600个等效门（和256bit的RAM）实现。该算法是迄今为止已知的最低成本的AES方案。,RSA算法,MIT三位年青数学家R.L.Rivest，A.Shamir和L.Adleman等发现了一种用数论构造双钥的方法，称作MIT体制，后来被广泛称之为RSA体制。,它既可用于加密、又可用于数字签字。,RSA算法的安全性基于数论中大整数分解的困难性。即要求得两个大素数的乘积是容易的，但要分解一个合数为两个大素数的乘积，则在计算上几乎是不可能的。,密钥长度应该介于1024bit到2048bit之间,RSA-129历时8个月被于1996年4月被成功分解，RSA130于1996年4月被成功分解，RSA-140于1999年2月被成功分解，RSA-155于1999年8月被成功分解。,DES和RSA两种算法各有优缺点：DES算法处理速度快，而RSA算法速度慢很多；DES密钥分配困难，而RSA简单；DES适合用于加密信息内容比较长的场合，而RSA适合用于信息保密非常重要的场合。,56,椭圆曲线密码体制（ECC）,椭圆曲线,Weierstrass方程,y,2+,a,1,xy,+,a,3,y,=,x,3+,a,2,x,2+,a,4,x,+,a,6,57,椭圆曲线的基本ElGamal加解密方案,加密算法：首先把明文,m,表示为椭园曲线上的一个点,M,，然后再加上KQ进行加密，其中,K,是随机选择的正整数，,Q,是接收者的公钥。发方将密文,c,1=,KP,和,c,2=,M,+,KQ,发给接收方。,解密算法：接收方用自己的私钥计算,dc,1,=,d,(,KP,)=,K,(,dP,)=,KQ,恢复出明文点,M,为,M,=,c,2,-,KQ,58,RSA算法的特点之一是数学原理简单,，在工程应用中比较易于实现，但它的单位安全强度相对较低，用目前最有效的攻击方法去破译RSA算法，其破译或求解难度是亚指数级。,ECC算法的数学理论深奥复杂，在工程应用中比较困难，但它的安全强度比较高，其破译或求解难度基本上是指数级的。这意味着对于达到期望的安全强度，ECC可以使用较RSA更短的密钥长度。,ECC的密钥尺寸和系统参数与RSA相比要小得多，因此,ECC在智能卡中已获得相应的应用,，可不采用协处理器而在微控制器中实现，而在RFID中的应用尚需时日。,59,9.3 智能卡的安全问题,3存储区域保护,把智能卡的数据存储器划分成若干个区，对每个区都设定各,自的访问条件；只有在符合设定条件的情况下，才允许对相应的,数据存储区域进行访问。,下表为一金融智能卡的存储区域保护措施。,存储区域,确认发行密码以后,确认PIN以后,确认PIN以前,存 放 数 据,读,写,读,写,读,写,条件1区,0,0,X,X,X,X,加密密钥,条件2区,X,X,O,O,X,X,交易数据,条件3区,O,O,O,X,X,X,户头名、存取权限,条件4区,O,O,O,X,O,X,用户姓名、住址,9.3 智能卡的安全问题,3存储区域保护,如上表所示，O为允许，X为不允许，发行密码用来验证发行者,的身份，PIN用来验证持卡人的身份通过对存储区域的划分，普通,数据和重要数据被有效地分离，各自接受不同程度的条件保护，相,应地提高了逻辑安全的强度。,对存储区的访问控制，本书已经介绍了一个具体的实例（Mifare,S50卡的存储区访问控制），可作为本部分的参考。,9.4 本章小结,本章主要介绍了RFID系统中面临的安全挑战。RFID的安全技术,分为两类：物理方法和逻辑方法。,物理方法,有杀死标签、法拉第网,罩、主动干扰、阻止标签等；,逻辑方法,包括Hash锁方案、随机Hash,锁、Hash链、匿名ID方案及重加密方案通用重加密。,智能卡作为一种应用最为广泛的电子标签，其安全性备受关,注。攻击者可利用物理的方法窃取智能卡芯片中的数据，但是难得,很大。而智能卡的逻辑安全手段则包含鉴别与核实、加密通信和存,储区域保护措施。,填空题,1、常见的RFID系统面临的安全攻击：,、,、,、,。,2、常见的RFID安全的物理方法有：,、,、,、,等。,3、在RFID安全技术中，常见逻辑方法有：,、,、,、,、,等,每种方法的优缺点各是什么？,5、智能卡的逻辑安全方法有：,、,、,等。,电子标签数据的获取攻击,电子标签和读写器之间的通信侵入,侵犯读写器内部的数据,主机系统侵入,杀死（kill）标签,法拉第网罩,主动干扰,阻止标签,Hash锁方案,随机Hash锁方案,Hash链方案,匿名ID方案,重加密方案,鉴别与核实,智能卡的通信安全与保密,存储区域保护,作业：,P143 1-5,