[论文解读] On the Privacy of Two Tag Ownership Transfer Protocols for RFIDs

Mohammad Reza Sohizadeh Abyaneh|arXiv (Cornell University)|Feb 21, 2012

RFID technology advancements参考文献 13被引用 4

一句话总结

本文分析了两种RFID标签所有权转移协议——ROTIV和Chen等人的协议——的隐私漏洞，证明先前所有者能够追踪标签，甚至在未来的交互中冒充标签。作者提出了被动攻击和主动攻击，表明这两种协议均无法确保前向隐私、后向隐私和所有者隐私，从而破坏了其核心安全保证。

ABSTRACT

In this paper, the privacy of two recent RFID tag ownership transfer protocols are investigated against the tag owners as adversaries. The first protocol called ROTIV is a scheme which provides a privacy-preserving ownership transfer by using an HMAC-based authentication with public key encryption. However, our passive attack on this protocol shows that any legitimate owner which has been the owner of a specific tag is able to trace it either in the past or in the future. Tracing the tag is also possible via an active attack for any adversary who is able to tamper the tag and extract its information. The second protocol called, Chen et al.'s protocol, is an ownership transfer protocol for passive RFID tags which conforms EPC Class1 Generation2 standard. Our attack on this protocol shows that the previous owners of a particular tag are able to trace it in future. Furthermore, they are able even to obtain the tag's secret information at any time in the future which makes them capable of impersonating the tag.

研究动机与目标

• 调查两种近期RFID标签所有权转移协议（ROTIV和Chen等人的协议）的隐私保障。
• 分析这些协议是否保护前向隐私和后向隐私，以及先前所有者和新所有者的隐私。
• 识别并演示破坏标签所有者隐私的实际攻击。
• 在先前所有者或被篡改的标签为攻击者的威胁模型下，评估协议的安全性。

提出的方法

• 作者将攻击者建模为在所有权期间保有标签静态ID和动态密钥的先前所有者。
• 对ROTIV实施被动攻击，通过分析所有权转移期间的消息流，追踪标签在不同时期的踪迹。
• 对于Chen等人的协议，利用密钥派生的可预测结构和基于CRC的认证机制，实施密钥恢复攻击。
• 该攻击采用类似暴力破解的密钥恢复过程，利用从拦截消息中获得的已知值，对伪随机密钥生成过程进行推导。
• 推导出将拦截值（Yj, Zj）与秘密密钥k*关联的方程，并通过CRC计算验证一致性。
• 通过将迭代次数限制在可行的τ数量级，对攻击进行优化，使其在密钥空间不大时效率较高。

实验结果

研究问题

• RQ1 在所有权转移后，RFID标签的先前所有者能否在未来或过去的交易中追踪该标签？
• RQ2 在被动或主动攻击下，ROTIV协议是否能保持前向隐私和后向隐私？
• RQ3 若攻击者在任意时间点获得标签的密钥信息，能否在未来交互中冒充该标签？
• RQ4 Chen等人的协议是否能抵御先前所有者尝试恢复标签密钥或追踪其使用情况的攻击？
• RQ5 这些协议在多大程度上未能保护新所有者隐私和先前所有者隐私？

主要发现

• ROTIV协议未能提供前向隐私、后向隐私、先前所有者隐私和新所有者隐私，因为任何先前所有者都能在未来或过去的交互中追踪该标签。
• 在ROTIV中，被动攻击者可利用拦截消息和密钥派生模式，从两个候选标签中区分出目标标签。
• 主动攻击者若篡改标签，可提取其秘密信息，并用于在未来通信中冒充该标签。
• Chen等人的协议易受先前所有者发起的密钥恢复攻击，使其能够计算出秘密密钥k*，从而冒充标签。
• 当密钥空间较小时，对Chen等人的协议的攻击效率较高，且可完全攻破标签的密钥并实现追踪能力。
• 两种协议均未能实现所需的隐私属性，尤其是在先前所有者为攻击者的威胁模型下。