1　引言

　　應(yīng)急機(jī)動(dòng)衛(wèi)生分隊(duì)作為醫(yī)院衛(wèi)勤機(jī)動(dòng)力量具備獨(dú)立行動(dòng)和執(zhí)行任務(wù)能力，適應(yīng)于執(zhí)行戰(zhàn)時(shí)衛(wèi)勤和平時(shí)突發(fā)事件保障任務(wù)需要。衛(wèi)生分隊(duì)的物資管理系統(tǒng)通常采用射頻識別（radio frequency identifier，RFID）技術(shù)，在外出機(jī)動(dòng)執(zhí)行保障任務(wù)時(shí)。可通過手持PDA來管理物資的使用，在任務(wù)結(jié)束后再與醫(yī)院后臺數(shù)據(jù)庫進(jìn)行同步，減少了手工的參與，大大地提高衛(wèi)生分隊(duì)物資管理的自動(dòng)化程度。然而，現(xiàn)代高科技信息化局部戰(zhàn)爭使醫(yī)療物資呈現(xiàn)出高消耗特征llI，同時(shí)運(yùn)輸工具的多樣化使得跨地區(qū)執(zhí)行軍事任務(wù)成為常態(tài)，衛(wèi)勤保障地點(diǎn)往往離后方基地庫房較遠(yuǎn)，直接從戰(zhàn)備庫房運(yùn)輸醫(yī)療物資顯然不切實(shí)際，只能就近采購，戰(zhàn)備物資的應(yīng)急補(bǔ)充在所難免。傳統(tǒng)應(yīng)急物資采購的RFID標(biāo)簽通常包含物資的詳細(xì)信息，容易受到監(jiān)聽和攻擊。為安全起見，應(yīng)急采購物資的RFID標(biāo)簽信息應(yīng)避免使用明碼。針對這一現(xiàn)狀，本文提出一種基于RFID技術(shù)的物資安全保障方案。在該方案中。標(biāo)簽的具體內(nèi)容保存在后方數(shù)據(jù)庫中，PDA通過事先約定的RFID標(biāo)簽編碼，與后方軍用網(wǎng)絡(luò)建立無線連接來獲取射頻標(biāo)簽的物資內(nèi)容，同時(shí)在PDA與RFID之間建立一種雙向認(rèn)證機(jī)制，防止未授權(quán)的閱讀器和假冒的標(biāo)簽參與會話，確保了物資應(yīng)急保障的安全性和可靠性。

　　2　RFID技術(shù)簡介

　　射頻識別技術(shù)是一種通過使用輻射電磁場來傳輸和讀取數(shù)據(jù)的技術(shù)。通過將射頻電子標(biāo)簽粘貼在車輛、包裝箱或單元物品上，就可以實(shí)現(xiàn)對在運(yùn)或貨架上物資等相關(guān)信息的自動(dòng)存儲和傳遞，通常RFID技術(shù)可獲取10cm以上距離（高頻13.56MHz標(biāo)簽）乃至幾十米以上距離（超高頻915MHz、2.4GHz標(biāo)簽）電子標(biāo)簽中的信息，然后通過軟件進(jìn)行格式轉(zhuǎn)換并存人數(shù)據(jù)庫。近年來，RFID技術(shù)憑借其非接觸、可重復(fù)使用和快速讀取等優(yōu)點(diǎn)，廣泛應(yīng)用于軍事物流領(lǐng)域。

　　3　基于RFID技術(shù)的安全保障方案

　　圖1是我們借鑒移動(dòng)RFID服務(wù)架構(gòu)體系H建立的安全保障模型。在該模型中，RFID標(biāo)簽存儲的電子編碼唯一標(biāo)識了其對應(yīng)的物資編碼信息。就如同互聯(lián)網(wǎng)中的IP地址用來標(biāo)識網(wǎng)絡(luò)中的一臺計(jì)算機(jī)一樣：PDA用來承擔(dān)RFID標(biāo)簽的數(shù)據(jù)采集、信息傳輸與獲取：基站可以是軍用衛(wèi)通車，也可以是通過AP訪問的一個(gè)無線網(wǎng)絡(luò)，用于連接軍方內(nèi)部網(wǎng)絡(luò)：軍方內(nèi)部網(wǎng)絡(luò)設(shè)置有2種服務(wù)器，即對象解析服務(wù)器和信息內(nèi)容解析服務(wù)器。其中，對象解析服務(wù)器用于返回RFID標(biāo)簽電子編碼的統(tǒng)一資源標(biāo)識符（URL）地址；信息內(nèi)容服務(wù)器用來提供與電子標(biāo)簽對應(yīng)的詳細(xì)內(nèi)容。對于一般訪問模式，用戶首先利用PDA掃描物品上的RFID標(biāo)簽，獲取標(biāo)簽信息的電子編碼。電子編碼通過無線方式發(fā)送到后方軍隊(duì)網(wǎng)絡(luò)，然后通過網(wǎng)絡(luò)中的對象解析服務(wù)器獲得對應(yīng)的URL，最后，利用給定的URL從信息內(nèi)容服務(wù)器獲得電子編碼對應(yīng)的物品內(nèi)容，并返回給PDA。

　　在上述模型中，從2個(gè)方面來保障物資的安全，首先，通過約定一種軍事物資RFID標(biāo)簽的編碼格式，標(biāo)簽內(nèi)只存有物資的編碼，而具體的物品信息則在軍方后端數(shù)據(jù)庫內(nèi)保存，PDA需要通過無線方式連接到后方網(wǎng)絡(luò)才能獲得物資的具體內(nèi)容；另外，在RFID標(biāo)簽和PDA之間建立一種基于哈希函數(shù)雙向認(rèn)證機(jī)制，只有經(jīng)過授權(quán)的閱讀器和真實(shí)的標(biāo)簽才能進(jìn)行會話。下面我們從設(shè)計(jì)安全的電子編碼格式和雙向認(rèn)證協(xié)議2個(gè)方面人手，研究、討論基于RFID技術(shù)的安全保障方案如何確保物資應(yīng)急保障的安全性。

　　3.1 設(shè)計(jì)安全的電子編碼格式

　　在安全方案中，應(yīng)急保障戰(zhàn)備物資所用的射頻標(biāo)簽是經(jīng)過特殊處理的，通常由軍方和廠商約定解決。考慮到這類標(biāo)簽可以唯一確定某一類具體物資。但是又不能單獨(dú)靠PDA得到詳細(xì)的物資信息，將RFID標(biāo)簽的編碼設(shè)計(jì)由版本號、域名管理和序列號組成。其中域名管理描述了與此電子編碼相關(guān)的廠商信息，可用于加快內(nèi)容檢索速度；序列號唯一標(biāo)識某種物資信息，如表1描述了護(hù)理箱射頻標(biāo)簽上的編碼情況。為防止這種簡單編碼被截獲和利用，該文引入一串二進(jìn)制隨機(jī)數(shù)據(jù)，并與原域名管理編碼進(jìn)行簡單的邏輯運(yùn)算，從而實(shí)現(xiàn)對數(shù)據(jù)的加密。首先，在衛(wèi)生分隊(duì)和廠商之間約定一個(gè)“<序列號，二進(jìn)制隨機(jī)數(shù)據(jù)>”映射表。針對每個(gè)電子編碼序列號。都有一個(gè)唯一的二進(jìn)制隨機(jī)數(shù)與之對應(yīng)，在標(biāo)簽寫入前。先用真實(shí)的電子編碼與該隨機(jī)數(shù)據(jù)數(shù)進(jìn)行異或。然后將其結(jié)果寫入RFID標(biāo)簽，代替原有電子編碼中的域名管理字段，使得普通的PDA無法正確讀出標(biāo)簽信息，只有裝有反向解密軟件的PDA才能透過逆變換，獲取標(biāo)簽的真實(shí)數(shù)據(jù)。以表1域名管理字段為例，與序列號S對應(yīng)的二進(jìn)制隨機(jī)數(shù)為001110101O111010。則寫入射頻標(biāo)簽域名管理字段的值應(yīng)為它們的異或值10110000111011O1。

　　該方法簡單且易實(shí)現(xiàn)。對于帶有這一約定映射表的我方PDA來說，只需通過簡單的異或運(yùn)算便可獲得真正的電子編碼。并進(jìn)行下一步的查詢。而對敵方來說，在不知道該映射表的前提下，對于每一位編碼都有0、1兩種可能，其破解代價(jià)達(dá)到216=65536種，從而可以有效地保證電子編碼的安全性。

　　3.2 設(shè)計(jì)安全的雙向認(rèn)證協(xié)議

　　近年來，國際標(biāo)準(zhǔn)化組織出臺了ISO／IEC29176等移動(dòng)RFID保護(hù)隱私協(xié)議來確保智能移動(dòng)終端與RFID標(biāo)簽之間的信道安全，很多學(xué)者和組織在移動(dòng)RFID系統(tǒng)的安全與隱私保護(hù)方面做了大量研究，并取得一定成果。其中，文獻(xiàn)《一種RFID隱私保護(hù)雙向認(rèn)真協(xié)議》提出的零知識雙向認(rèn)證方法比較典型，它確保了信息擁有者在不泄露標(biāo)簽ID的情況下。通過一次一換的隨機(jī)會話密鑰（randomsessionkey，RSK）和時(shí)間戳（datetimestamp，DT），實(shí)現(xiàn)了PDA與Tag標(biāo)簽之間的雙向認(rèn)證。然而，該方法中隨機(jī)數(shù)由RFID標(biāo)簽生成，不僅增加了成本，而且運(yùn)算速度慢；加上時(shí)間戳DT是明文傳輸，也容易被假冒，不能完全實(shí)現(xiàn)所謂的零知識認(rèn)證。因此，本文提出一種改進(jìn)的雙向認(rèn)證協(xié)議。通過在PDA與Tag之間共享一個(gè)單向Hash函數(shù)日、擁有極小的初始時(shí)間戳、初始共享密鑰（sharedkey，SK）以及對原Tag進(jìn)行簡單異或等運(yùn)算。實(shí)現(xiàn)PDA與射頻標(biāo)簽間的雙向安全認(rèn)證。大致步驟為：

　　（1）PDA向Tag發(fā)送隨機(jī)數(shù)r和Query認(rèn)證請求。

　　（2）Tag使用自己的ID和SK計(jì)算a1=ID⊕H（r⊕SK），發(fā)送a1給PDA。

　　（3）PDA計(jì)算ID‘=a1⊕H（r⊕SK），在數(shù)據(jù)庫中查找是否有這樣的ID‘，如果有，Tag則通過初步認(rèn)證，之后PDA產(chǎn)生一個(gè)隨機(jī)數(shù)RSK，計(jì)算bo=DT⊕H（SK），b1=RSK⊕H（DT⊕SK），b2=H（ID⊕RSK⊕SK），并發(fā)送{bo、b1、b2}給Tag。

　　（4）Tag收到{bo、b1、b2}，首先，用SK計(jì)算DT=bo⊕H（SK），恢復(fù)出DT。如果恢復(fù)的DT比以前保存的大，則認(rèn)為其正常并保存，否則停止驗(yàn)證；然后，用SK計(jì)算RSK’=b1⊕H（DT⊕SK），b2'=H（ID⊕RSK⊕SK），如果b2'=b2，說明RSK'=RSK，通過對PDA的驗(yàn)證；最后，計(jì)算a2=H（r⊕SK⊕RSK⊕DT），并發(fā)送給PDA作為應(yīng)答，該應(yīng)答既確認(rèn)收到RSK，又證明Tag是整個(gè)認(rèn)證會話的參與者。如果DT不正常或者RSK無效。則Tag忽略此次收到的消息，持續(xù)保持靜默。

　　（5）PDA收到a2，并計(jì)算a2'=H（r⊕SK⊕RSK⊕DT），如果a2=a2'，則對Tag的認(rèn)證通過，否則認(rèn)證錯(cuò)誤，從而完成雙向身份認(rèn)證。圖2為其認(rèn)證流程示意圖。

 　　在該認(rèn)證過程中，Hash函數(shù)的單向性確保了從認(rèn)證消息中無法獲取SK、標(biāo)簽ID、時(shí)間戳DT等敏感信息；采用的共享SK使得PDA和Tag可以對收到的消息進(jìn)行正確性和完整性驗(yàn)證，從而確保認(rèn)證消息、時(shí)間戳DT和RSK的機(jī)密性：時(shí)間戳既可以作為認(rèn)證的參照，又可以作為會話序號，防止重放攻擊；認(rèn)證采用雙向認(rèn)證的機(jī)制可以有效防止未授權(quán)的閱讀器和假冒的標(biāo)簽參與會話，增加認(rèn)證的安全性。與基于傳統(tǒng)加密算法相比，該雙向認(rèn)證在計(jì)算量和通信量上對RFID標(biāo)簽是適度的，并可針對應(yīng)用的不同需求，選擇不同Hash函數(shù)等加密變換。

　　4　結(jié)語

　　本文提出一種基于RFID技術(shù)的物資安全保障方案。在方案中事先約定了RFID標(biāo)簽的編碼格式，PDA只有與后方數(shù)據(jù)庫連接、解析才能獲得應(yīng)急保障物資的詳細(xì)內(nèi)容；同時(shí)在PDA與RFID之間建立基于哈希函數(shù)的安全雙向認(rèn)證機(jī)制實(shí)現(xiàn)了射頻標(biāo)簽與PDA讀卡器之間編碼的安全讀取與通訊從而較好地解決了衛(wèi)生分隊(duì)外出應(yīng)急保障中物資應(yīng)急供應(yīng)的安全。