RFID隱私保護與成本是相互制約的，如何在低成本的被動(dòng)標簽上提供確保隱私安全的增強技術(shù)面臨諸多挑戰?，F有的RFID隱私增強技術(shù)可以分為兩大類(lèi)：一類(lèi)是通過(guò)物理方法阻止標簽與閱讀器通信的隱私增強技術(shù)，即物理安全機制；另一類(lèi)是通過(guò)邏輯方法增加標簽安全機制的隱私增強技術(shù)，即邏輯安全機制。RFID的邏輯機制主要通過(guò)基于Hash函數的安全認證協(xié)議來(lái)實(shí)現。

通過(guò)對RFID隱私安全威脅的分析可知，RFID隱私威脅的根源是RFID標簽的唯一性和標簽數據的易獲得性。為了保證RFID的隱私安全，防止隱私攻擊，可以采用以下RFID隱私保護方法。

保證RFID標簽的ID匿名性。標簽匿名性（anonymity）是指標簽響應的消息不會(huì )暴露出標簽身份的任何可用信息。加密是保護標簽響應的方法之一。盡管標簽的數據可被加密，但如果加密的數據在每輪協(xié)議中都固定，則攻擊者仍然能夠通過(guò)唯一的標簽標識分析出標簽的身份，這是因為攻擊者可以通過(guò)固定的加密數據來(lái)確定每一個(gè)標簽。因此，使標簽信息隱蔽是確保標簽ID匿名的重要方法。

保證RFID標簽的ID隨機性。即便對標簽ID信息進(jìn)行加密，但是因為標簽ID是固定的，所以未授權掃描也將侵害標簽持有者的定位隱私。如果標簽的ID為變量，標簽每次輸出都不同，則隱私侵犯者不可能通過(guò)固定輸出獲得同一標簽的信息，從而可以在一定范圍內解決ID追蹤問(wèn)題和信息推斷的隱私安全威脅問(wèn)題。

保證RFID標簽的前向安全性。所謂RFID標簽的前向安全，是指隱私侵犯者即便獲得了標簽內存儲的加密信息，也不能通過(guò)回溯當前信息獲得標簽的歷史數據。也就是說(shuō)，隱私侵犯者不能通過(guò)聯(lián)系當前數據和歷史數據對標簽進(jìn)行分析以獲得消費者的隱私信息。

增強RFID標簽的訪(fǎng)問(wèn)控制性。RFID標簽的訪(fǎng)問(wèn)控制，是指標簽可以根據需要確定讀取RFID標簽數據的權限。通過(guò)訪(fǎng)問(wèn)控制，可以避免未授權RFID閱讀器的掃描，并保證只有經(jīng)過(guò)授權的RFID閱讀器才能獲得RFID標簽數據及相關(guān)隱私數據。訪(fǎng)問(wèn)控制對于實(shí)現RFID標簽隱私保護具有非常重要的作用。

1、RFID的物理安全機制

通過(guò)無(wú)線(xiàn)技術(shù)手段進(jìn)行RFID隱私保護是一種物理性手段，可以阻擾RFID閱讀器獲取標簽數據，避免RFID標簽數據被閱讀器非法獲得。無(wú)線(xiàn)隔離RFID標簽的方法包括電磁屏蔽方法、無(wú)線(xiàn)干擾方法、可變天線(xiàn)方法等。

（1）基于電磁屏蔽的方法

利用電磁屏蔽原理，把RFID標簽置于由金屬薄片制成的容器中，無(wú)線(xiàn)電信號將被屏蔽，從而可使閱讀器無(wú)法讀取標簽信息，標簽也無(wú)法向閱讀器發(fā)送信息。最常使用的電磁屏蔽容器就是法拉第網(wǎng)罩。法拉第網(wǎng)罩可以有效屏蔽電磁波，這樣無(wú)論是外部信號還是內部信號，都將無(wú)法穿過(guò)。對被動(dòng)標簽來(lái)說(shuō)，在沒(méi)有接收到查詢(xún)信號的情況下就沒(méi)有能量和動(dòng)機來(lái)發(fā)送相應的響應信息；對主動(dòng)標簽來(lái)說(shuō)，它的信號無(wú)法穿過(guò)法拉第網(wǎng)罩，因此也無(wú)法被攻擊者攜帶的閱讀器接收到。這種方法的缺點(diǎn)是在使用標簽時(shí)需要把標簽從法拉第網(wǎng)罩中取出，這就失去了使用RFID標簽的便利性。另外，如果要提供廣泛的物聯(lián)網(wǎng)服務(wù)，不能總是讓標簽處于屏蔽狀態(tài)中，而是需要在更多的時(shí)間內使標簽能夠與閱讀器處于自由通信的狀態(tài)。

（2）基于無(wú)線(xiàn)干擾的方法

能主動(dòng)發(fā)出無(wú)線(xiàn)電干擾信號的設備可以使其附近的RFID閱讀器無(wú)法正常工作，從而達到保護隱私的目的。這種方法的缺點(diǎn)在于可能會(huì )產(chǎn)生非法干擾，使其附近的其他RFID系統甚至其他無(wú)線(xiàn)系統都不能正常工作。

（3）基于可變天線(xiàn)的方法

利用RFID標簽物理結構上的特點(diǎn)，IBM公司推出了可分離的RFID標簽。其基本設計理念是使無(wú)源標簽上的天線(xiàn)和芯片可以方便地被拆分。這種可分離的設計可以使消費者改變標簽的天線(xiàn)長(cháng)度，從而大大縮減標簽的讀取距離，使用時(shí)，手持的閱讀器設備必須要緊貼標簽才可以讀取到信息。這樣一來(lái)，沒(méi)有用戶(hù)本人許可，閱讀器設備就不可能通過(guò)遠程方式獲取信息?？s短天線(xiàn)后，標簽本身還是可以運行的，這樣就方便了貨物的售后服務(wù)和產(chǎn)品退貨時(shí)的識別。但是，可分離標簽的制作成本比較高，標簽制造的可行性有待進(jìn)一步研究。

以上這些安全機制是以犧牲RFID標簽的部分功能為代價(jià)來(lái)滿(mǎn)足隱私保護要求的。這些方法都可以在一定程度上起到保護低成本的RFID標簽的目的，但是由于驗證、成本和法律等的約束，物理安全機制仍存在著(zhù)各種各樣的缺點(diǎn)。

2、RFID的邏輯安全機制

RFID的邏輯安全機制主要包括改變唯一性方法、隱藏信息方法和同步方法。

（1）改變唯一性方法

改變RFID標簽輸出信息的唯一性是指標簽在每次響應RFID閱讀器的請求時(shí)，返回不同的RFID序列號。不論是跟蹤攻擊還是羅列攻擊，很大程度上是由RFID標簽每次返回的序列號都相同所致。因此，解決RFID隱私安全問(wèn)題的另一個(gè)方法是改變序列號的唯一性。改變RFID標簽數據需要技術(shù)手段支持，根據所采用技術(shù)的不同，主要方法包括基于標簽重命名的方法和基于密碼學(xué)的方法。

1）基于標簽重命名的方法是指改變RFID標簽響應閱讀器請求的方式，每次返回一個(gè)不同的序列號。例如，在購買(mǎi)商品后，可以去掉商品標簽的序列號而保留其他信息（如產(chǎn)品類(lèi)別碼等），也可以為標簽重新寫(xiě)入一個(gè)序列號。由于序列號發(fā)生了改變，因此攻擊者無(wú)法通過(guò)簡(jiǎn)單的攻擊來(lái)破壞隱私性。但是，與銷(xiāo)毀等隱私保護方法類(lèi)似，序列號改變后帶來(lái)的售后服務(wù)等問(wèn)題需要借助其他技術(shù)手段來(lái)解決。

例如，下面的方案可以讓顧客暫時(shí)更改標簽ID：當標簽處于公共狀態(tài)時(shí)，存儲在芯片只讀存儲器（Read-Only Memory，ROM）里的ID可以被閱讀器讀??；當顧客想要隱藏ID信息時(shí)，可以在芯片的隨機存取存儲器（Random Access Memory，RAM）中輸入一個(gè)臨時(shí)ID；當隨機存取存儲器中存儲有臨時(shí)ID時(shí)，標簽會(huì )利用這個(gè)臨時(shí)ID回復閱讀器的詢(xún)問(wèn)；只有把隨機存取存儲器重置，標簽才會(huì )顯示其真實(shí)ID。這個(gè)方法給顧客使用RFID技術(shù)帶來(lái)了額外的負擔，同時(shí)臨時(shí)ID的更改也存在潛在的安全問(wèn)題。

2）基于密碼學(xué)的方法是指加解密等方法，此類(lèi)方法確保RFID標簽序列號不被非法讀取。例如，采用對稱(chēng)加密算法和非對稱(chēng)加密算法對RFID標簽數據以及RFID標簽和閱讀器之間的通信進(jìn)行加密，可使一般攻擊者由于不知道密鑰而難以獲得數據。同樣，在RFID標簽和閱讀器之間進(jìn)行認證，也可以避免非法閱讀器獲得RFID標簽的數據。

例如，最典型的密碼學(xué)方法是利用Hash函數給RFID標簽加鎖。該方法使用metaID來(lái)代替標簽的真實(shí)ID，當標簽處于封鎖狀態(tài)時(shí)，它將拒絕顯示電子編碼信息，只返回使用Hash函數產(chǎn)生的散列值。只有發(fā)送正確的密鑰或電子編碼信息時(shí)，標簽才會(huì )在利用Hash函數確認后解鎖。哈希鎖（Hash-lock）是一種抵制標簽未授權訪(fǎng)問(wèn)的隱私增強型協(xié)議，是由麻省理工學(xué)院和Auto-ID Center在2003年共同提出的。整個(gè)協(xié)議只需要采用單向密碼學(xué)Hash函數即可實(shí)現簡(jiǎn)單的訪(fǎng)問(wèn)控制，因此可以保證較低的標簽成本。使用哈希鎖機制的標簽有鎖定和非鎖定兩種狀態(tài)。在鎖定狀態(tài)下，標簽使用metaID響應所有的查詢(xún)；在非鎖定狀態(tài)下，標簽向閱讀器提供自己的標識信息。

由于這種方法較為直接和經(jīng)濟，因此受到了普遍關(guān)注。但是協(xié)議采用靜態(tài)ID機制，metaID保持不變，且ID以明文形式在不安全的信道中傳輸，因此非常容易被攻擊者竊取。攻擊者因而可以計算或者記錄（metaID，key，ID）這一組合，并在與合法的標簽或者閱讀器交互時(shí)假冒閱讀器或者標簽，實(shí)施欺騙。哈希鎖協(xié)議并不安全，因此出現了各種改進(jìn)的算法，如隨機哈希鎖（Randomized Hash Lock）、哈希鏈（Hash Chain Scheme）協(xié)議等。

另外，為防止RFID標簽和閱讀器之間的通信被非法監聽(tīng)，可以通過(guò)公鑰密碼體制實(shí)現重加密（Re-encryption），即對已加密的信息進(jìn)行周期性再加密，這樣因標簽和閱讀器間傳遞的加密ID信息變化很快，所以標簽電子編碼信息很難被盜竊，非法跟蹤也很困難。但是，由于RFID標簽資源有限，因此使用公鑰加密RFID標簽的機制比較少見(jiàn)。

近年來(lái)，隨著(zhù)計算機技術(shù)的發(fā)展，出現了一些新的RFID隱私保護方法，包括基于物理不可克隆函數（Physical Unclonable Function，PUF）的方法、基于掩碼的方法、基于策略的方法、基于中間件的方法等。

從安全的角度來(lái)看，基于密碼學(xué)的方法可以從根本上解決RFID隱私問(wèn)題，但是由于成本和體積的限制，在普通RFID標簽上幾乎難以實(shí)現典型的加密方法（如數據加密標準算法）。因此，基于密碼學(xué)的方法雖然具有較強的安全性，但給成本等帶來(lái)了巨大的挑戰。

（2）隱藏信息方法

隱藏RFID標簽是指通過(guò)某種保護手段，避免RFID標簽數據被閱讀器獲得，或者阻擾閱讀器獲取標簽數據。隱藏RFID標簽的技術(shù)包括基于代理的技術(shù)、基于距離測量的技術(shù)、基于阻塞的技術(shù)等。

1）基于代理的RFID標簽隱藏技術(shù)。在基于代理的RFID標簽隱藏技術(shù)中，被保護的RFID標簽與閱讀器之間的數據交互不是直接進(jìn)行的，而是需要借助一個(gè)第三方代理設備（如RFID閱讀器）。因此，當非法閱讀器試圖獲得標簽的數據時(shí)，實(shí)際的響應是由第三方代理設備發(fā)送的。由于代理設備功能比一般的標簽強大，因此可以實(shí)現加密、認證等很多在標簽上無(wú)法實(shí)現的功能，從而增強隱私保護?；诖淼姆椒梢詫FID標簽的隱私起到很好的保護作用，但是由于需要額外的設備，因此成本較高，實(shí)現起來(lái)也較為復雜。

2）基于距離測量的RFID標簽隱藏技術(shù)?；诰嚯x測量的RFID標簽隱藏技術(shù)是指RFID標簽測量自己與閱讀器之間的距離，依據距離的不同而返回不同的標簽數據。一般來(lái)說(shuō)，為了隱藏自己的攻擊意圖，攻擊者與被攻擊者之間需要保持一定的距離，而合法用戶(hù)（如用戶(hù)自己）可以近距離獲取RFID標簽數據。因此，如果標簽可以知道自己與閱讀器之間的距離，則可以認為距離較遠的閱讀器具有攻擊意圖的可能性較大，因此可以返回一些無(wú)關(guān)緊要的數據；而當收到近距離的閱讀器的請求時(shí)，則返回正常數據。通過(guò)這種方法，可以達到隱藏RFID標簽的目的?；诰嚯x測量的標簽隱藏技術(shù)對RFID標簽有很高的要求，而且要實(shí)現距離的精確測量也非常困難。此外，如何選擇合適的距離作為評判合法閱讀器和非法閱讀器的標準，也是一個(gè)非常復雜的問(wèn)題。

3）基于阻塞的RFID標簽隱藏技術(shù)?；谧枞腞FID標簽隱藏技術(shù)是指通過(guò)某種技術(shù)，妨礙RFID閱讀器對標簽數據的訪(fǎng)問(wèn)。阻塞的方法可以通過(guò)軟件實(shí)現，也可以通過(guò)一個(gè)RFID設備來(lái)實(shí)現。此外，通過(guò)發(fā)送主動(dòng)干擾信號，也可以阻礙閱讀器獲得RFID標簽數據。與基于代理的標簽隱藏方法相似，基于阻塞的標簽隱藏方法成本高、實(shí)現復雜，而且如何識別合法閱讀器和非法閱讀器也是一個(gè)難題。

（3）同步方法

閱讀器可以將標簽所有可能的回復（表示為一系列的狀態(tài)）預先計算出來(lái)，并存儲到后臺的數據庫中，在收到標簽的回復時(shí)，閱讀器只要直接從后臺數據庫中查找和匹配，即可達到快速認證標簽的目的。在使用這種方法時(shí)，閱讀器需要知道標簽所有可能的狀態(tài)，即和標簽保持狀態(tài)的同步，以此來(lái)保證標簽的回復可以根據其狀態(tài)預先進(jìn)行計算和存儲，因此這種方法被稱(chēng)為同步方法。同步方法的缺點(diǎn)是攻擊者可以攻擊一個(gè)標簽任意多次，使標簽和閱讀器失去彼此的同步狀態(tài)，從而破壞同步方法的基本條件。具體來(lái)說(shuō)，攻擊者可以變相地“殺死”某個(gè)標簽或者讓這個(gè)標簽的行為與沒(méi)有受到攻擊的標簽不同，從而識別這個(gè)標簽并實(shí)施跟蹤。同步方法的另一個(gè)問(wèn)題是標簽的回復是可以預先計算并存儲后以備匹配的，與回放的方法相同。攻擊者可以記錄標簽的一些回復信息數據并回放給第三方，以達到欺騙第三方閱讀器的目的。

3、RFID的綜合安全機制

RFID的物理安全與邏輯安全相結合的綜合安全機制主要包括改變RFID標簽關(guān)聯(lián)性方法。

所謂改變RFID標簽與具體目標的關(guān)聯(lián)性，就是取消RFID標簽與其所屬依附物品之間的聯(lián)系。例如，購買(mǎi)帶有RFID標簽的錢(qián)包后，該RFID標簽與錢(qián)包之間就建立了某種聯(lián)系。而改變它們之間的關(guān)聯(lián)，就是采用技術(shù)和非技術(shù)手段，取消它們之間已經(jīng)建立的關(guān)聯(lián)（如將RFID標簽丟棄）。改變RFID標簽與具體目標的關(guān)聯(lián)性的基本方法包括丟棄、銷(xiāo)毀和睡眠。

（1）丟棄

丟棄（discarding）是指將RFID標簽從物品上取下來(lái)后遺棄。丟棄不涉及技術(shù)手段，因此簡(jiǎn)單、易行，但是丟棄的方法存在很多問(wèn)題：第一，采用RFID技術(shù)的目的不僅是銷(xiāo)售，還包含售后、維修等環(huán)節，因此，如果簡(jiǎn)單地丟棄RFID標簽后，在退貨、換貨、維修、售后服務(wù)等方面都可能會(huì )面臨很多問(wèn)題；第二，丟棄后的RFID標簽會(huì )面臨前面所述的垃圾收集威脅，因此并不能解決隱私問(wèn)題；第三，如果處理不當，RFID標簽的丟棄會(huì )帶來(lái)環(huán)保等問(wèn)題。

（2）銷(xiāo)毀

銷(xiāo)毀（killing）是指讓RFID標簽進(jìn)入永久失效狀態(tài)。銷(xiāo)毀可以是毀壞RFID標簽的電路，也可以是銷(xiāo)毀RFID標簽的數據。例如，如果破壞了RFID標簽的電路，則該標簽將無(wú)法向RFID閱讀器返回數據，此外，即便對其進(jìn)行物理分析也可能無(wú)法獲得相關(guān)數據。銷(xiāo)毀需要借助技術(shù)手段，一般需要借助特定的設備來(lái)實(shí)現，對普通用戶(hù)而言可能存在一定的困難，因此實(shí)現難度較大。與丟棄相比，由于標簽已經(jīng)無(wú)法繼續使用，因此不存在垃圾收集等威脅。但在標簽被銷(xiāo)毀后，也會(huì )面臨售后服務(wù)等問(wèn)題。

銷(xiāo)毀命令機制是一種從物理上毀壞標簽的方法。RFID標準設計模式中包含銷(xiāo)毀命令，執行銷(xiāo)毀命令后，標簽所有的功能都將喪失，從而使其不會(huì )響應攻擊者的掃描行為，進(jìn)而防止攻擊者對標簽以及標簽的攜帶者進(jìn)行跟蹤。例如，在超市購買(mǎi)完商品后，即在閱讀器獲取完標簽的信息并經(jīng)過(guò)后臺數據庫的認證操作之后，就可以“殺死”消費者所購買(mǎi)的商品上的標簽，從而起到保護消費者隱私的作用。完全“殺死”標簽可以完全防止攻擊者的掃描和跟蹤，但是這種方法也破壞了RFID標簽的功能，無(wú)法讓消費者繼續享受以RFID標簽為基礎的物聯(lián)網(wǎng)服務(wù)。例如，如果商品被售出后標簽上的信息無(wú)法再次使用，則售后服務(wù)以及與此商品相關(guān)的其他服務(wù)項目也就無(wú)法進(jìn)行了。另外，如果銷(xiāo)毀命令的識別序列號（PIN）泄露，則攻擊者就可以使用這個(gè)PIN來(lái)“殺死”超市中商品上的RFID標簽，然后就可以將對應的商品帶走而不會(huì )被察覺(jué)。

（3）睡眠

睡眠（sleeping）是指通過(guò)技術(shù)或非技術(shù)手段讓標簽進(jìn)入暫時(shí)失效狀態(tài)，當需要的時(shí)候可以重新激活標簽。這種方法具有顯著(zhù)的優(yōu)點(diǎn)：由于可以重新激活，因此避免了售后服務(wù)等需要借助于RFID標簽的問(wèn)題，而且也不會(huì )存在垃圾收集威脅和環(huán)保等問(wèn)題。但與銷(xiāo)毀一樣，需要借助于專(zhuān)業(yè)人員和專(zhuān)業(yè)設備才能實(shí)現標簽睡眠。