[论文解读] An Authentication Protocol Based on Combined RFID-Biometric System RFID-Biometric System

Noureddine Chikouche, Foudil Cherif+1 more|arXiv (Cornell University)|Jul 24, 2012

Advanced Authentication Protocols Security参考文献 9被引用 3

一句话总结

本文提出了一种轻量级的RFID-生物识别认证协议，通过结合RFID标签与生物识别数据，利用伪随机数生成器（PRNG）、安全哈希函数和生物识别哈希函数，增强了安全性和隐私性。该协议确保了相互认证、机密性，并能抵抗常见攻击，通过AVISPA和SPAN工具进行形式化验证，确认了其安全属性。

ABSTRACT

Radio Frequency Identification (RFID) and biometric technologies saw fast evolutions during the last years and which are used in several applications, such as access control. Among important characteristics in the RFID tags, we mention the limitation of resources (memory, energy, ...). Our work focuses on the design of a RFID authentication protocol which uses biometric data and which confirms the secrecy, the authentication and the privacy. Our protocol requires a PRNG (Pseud-Random Number Generator), a robust hash function and Biometric hash function. The Biometric hash function is used to optimize and to protect biometric data. For Security analysis of protocol proposed, we will use AVISPA and SPAN tools to verify the authentication and the secrecy.

研究动机与目标

• 解决基于RFID的访问控制系统中的安全与隐私挑战。
• 设计一种适用于资源受限RFID标签的轻量级认证协议。
• 在不存储原始生物识别模板的情况下，安全地将生物识别数据集成到认证过程中。
• 确保相互认证、数据机密性，并抵抗冒充和重放攻击。
• 使用自动化工具对协议的安全属性进行形式化验证。

提出的方法

• 协议使用伪随机数生成器（PRNG）生成会话特定密钥。
• 采用强大的密码学哈希函数以确保数据完整性和机密性。
• 应用生物识别哈希函数将原始生物识别数据转换为安全且不可逆的模板。
• 通过涉及标签、读写器和中心服务器的质询-响应机制实现相互认证。
• 协议设计最大限度地减少计算和内存开销，以适应低功耗RFID设备。
• 使用AVISPA和SPAN工具对安全属性进行形式化验证，以分析认证和机密性。

实验结果

研究问题

• RQ1 如何在不暴露原始生物识别信息的情况下，安全地将生物识别数据集成到基于RFID的认证中？
• RQ2 哪些轻量级密码学组件能够在资源受限的RFID系统中确保强安全性？
• RQ3 所提出的协议能否抵抗重放、冒充和密钥泄露等常见攻击？
• RQ4 如何在实际的RFID-生物识别系统中对相互认证和数据机密性进行形式化验证？
• RQ5 自动化验证工具（如AVISPA和SPAN）在验证协议安全性方面的有效性如何？

主要发现

• 该协议成功实现了RFID标签、读写器和服务器之间的相互认证，且计算资源消耗极低。
• 使用生物识别哈希函数确保原始生物识别数据从未被存储或传输，从而保护了用户隐私。
• 通过AVISPA和SPAN进行的形式化验证确认了协议对常见攻击的抵抗能力及其保密性保持能力。
• PRNG与密码学哈希函数的集成在保持低功耗设备高效性的同时增强了安全性。
• 在威胁模型下，该协议表现出强大的安全属性，包括对重放和冒充攻击的防护。
• 该解决方案在符号模型中被形式化证明是安全的，验证了其在实际部署中的适用性。