登錄
注冊
一種RFID網絡安全解決方案
RFID網絡是在現有Intemet基礎上利用RFID和數據通信等技術構建的一個包含萬事萬物的“信息網絡”。該網絡中的實體對象采用非人工干預的方式以lntemet為平臺實現信息的交互與共享。目前較為成功的是EPCglobal提出的EPC(Elec．tronic Product Code)網絡．簡稱為“物聯網”(Internet of Thing)。隨著RFID技術在零售行業和物流供應鏈管理等領域的廣泛應用．RFID網絡中各組件之間的數據信息的傳輸與交互也產生了各種各樣的安全隱患，RFID網絡中數據信息認證、完整性以及在傳輸過程中的信息泄漏等問題已經成為制約RFID技術推廣應用的關鍵因素之一。
當前DNS安全擴展(DNS security extension)在確保網絡信息安全方面正發揮著重要的作用。為此本文借鑒DNSSEC提出一種基于DNS安全擴展的RFID網絡安全解決方案，ONS服務器的數據信息的驗證和完整性檢查、ONS查詢和響應的信息的驗證和完整性檢查借鑒DNSSEC安全擴展實現。通過DNSSEC機制同樣可以保證RFID中間件和EPCIS服務器EPCIS和DONS等RFID網絡組件之間的交互信息的安全。
2 RFID 網絡
RFID網絡由識別系統(ID System：包括標簽和讀寫器)、對象名稱服務(ONS)、動態對象名稱服務(DONS：Dynamic ONS)、EPc信息服務(EPCIS：EPC Information Service)和中間件(Savant)等五部分組成。RFID網絡的組成如圖1所示。
查詢響應的信息驗證和完整性檢查提供對DNS查詢和報文頭的認證．以確保應答報文中的數據是對原始查詢的應答和應答來自于被查詢的服務器。查詢響應數據的驗證和完整性檢查包括TSIG記錄[RFC2845]或者SIG(O)記錄。采用DNSSEC機制也可以保證RFID中間件和EPCIS服務器EPCIS和DONS等RFID網絡組件之間的交互信息的安全。中間件、EPCIS服務器和DONS服務器需要通過公鑰(Public Key)彼此進行驗證，同時它們需要一個公鑰數據庫系統來存儲和管理這些密鑰。
3 DNSSEC研究
3．1概述
為解決DNS的安全問題，在1994年IETF的DNSSEC工作組提出了DNSSEC安全擴展思想。它的基本思想是通過簽名機制和公鑰機制來確保網絡的安全。簽名機制主要是在DNSSEC中的每個區產生一個通過密碼算法自動生成私鑰，公鑰對，并存放在管理每個區的權威名字服務器內。DNSSEC是從DNS內部著手為整個DNS提供安全機制，而不是從外部對DNS服務的種種限制來對抗各種網絡攻擊。
3．2 DNSSEC中的安全認證
DNSSEC中提供了三種新的認證服務：密鑰分配、數據源認證、事務和查詢認證。數據源認證是DNSSEC的關鍵，它利用私鑰對DNS數據進行數字簽名，然后通過密鑰分配獲取公鑰來對數據源進行認證；事務和查詢認證服務提供對DNS查詢和DNS報文頭的認證，以保證應答報文中的數據是對原始查詢的應答，并且確保應答來自于被查詢的服務器。
3．3 DNSSEC中的PKI加密機制
DNS中的加密機制主要采用目前通用的公鑰加密系統(PKI)，基于密鑰的算法有對稱和非對稱加密兩類。對稱加密的優點是計算開銷小．但它的不足是對密鑰管理上面的先天性缺陷。為此產生了非對稱加密的“公共密鑰算法”．它的優勢在于科學的密鑰管理在PKI系統中采用數字簽名技術來保證數據源的合法性，采用數字簽名技術可達到以下目的：(1)簽名是可信的；(2)簽名是不可偽造的；(3)簽名不可重用；(4)簽名的文件是不可改變的；(5)簽名是不可抵賴的。南于數字簽名的一個缺點是在生成簽名之前，必須先知道整條消息，它無法保證消息的完整性。為此，在PKI系統中采用MAC(Media Access Contro1)來實現消息的完整性。PKI系統中的密鑰交換主要使用RSA fRivest Shamir Adle．men)加密系統，既可以用公共密鑰加密，也可用私人密鑰加密。
4 基于DNS安全擴展的RFID 網絡安全方案
4．1 RFID網絡安全模型
數據源驗證、數據完整性檢查和訪問控制是解決RFID網絡信息安全問題的核心和關鍵。在RFID網絡中和組件之間應該有驗證機制，它們之問的通信通過安全傳輸協議層實現，如基于PKI的TLS(Transport Layer Signature：傳輸層加密)等。這些驗證數據信息都存儲在DNS驗證數據庫中． 驗證存取時通過TLS安全通道傳輸。鑒于供應鏈中的不同用戶會有不同的管理需求和認證需求，所以每個用戶應該可以識別，驗證和授權所有其它的用戶，訪問控制系統可以支持多個驗證機制并通過使用SAML(Security Assertions Markup Language)以增強驗證機制的互通性。RFID網絡安全模型如圖2所示。
在RFID網絡中，ONS服務器是聯系前臺中間件和后臺EPCIS服務器的樞紐。ONS服務器安全驗證模型對于確保RFID網絡的安全極為重要。ONS將一個EPC映射到一個或多個IP／URI．在這些IP／URI中可以查找到關于物品的詳細信息，通常對應著一個EPCIS。為從DNS驗證數據庫中找回驗證信息，RFID網絡中的組件ONS、DONS、EPCIS等會利用解算器產生查詢信息。當RFID中間件必須和遠端的EPCIS通信時，中間件可通過DNS查詢獲得遠端DNS服務器的驗證通過，然后通過DNS服務器的層次授權關系通過該驗證。最后查詢EPCIS的信息。ONS服務器的驗證模型如圖3所示。
(1)第一種情況：U1想要通過u2的驗證。請求直接發送到本地ONS服務器D中，D會返回帶有CA—D的私鑰的驗證簽名。此時ul也有一個CA—D的公鑰，它可以直接驗證返同的有效性。
(2)第二種情況：ul請求不在自己區域的用戶u3的驗證。請求可以以遞歸或者迭代的方式進行。
在本系統中．用戶ul可以是一個本地RFID網絡組件如中間件，EPCIS、DONS、ONS、ONS等，用戶u3也可以是另外一個RFID網絡組件，所有的服務器都可在其它域找回驗證。
4.3 ONS查詢驗證
基于上述驗證模型，ONS查詢驗證可在完成查詢的過程中實現。這里假定客戶機Client．example．a想要查詢主機m．exam—ple．b的IP地址。首先客戶端向名字服務器example．a服務器發送一個遞歸查詢，請求域名m．example．b的A記錄，ans．example．a服務器發現數據庫中沒有該記錄，便將查詢轉發給ans．example．b名字服務器。此處example．b是一個安全區，授權ans．example．b管理。該服務器在自己的權威數據庫中搜索，并將應答返回給ans．example．a服務器，后者對收到的每條信息進行安全認證，認有效之后再轉發給客戶端．同樣客戶端也要驗證數據并進行完整性檢查。該查詢中ONS服務器的驗證流程如圖4所示：
1)首先為所有的ONS服務器靜態配置根的解密公鑰(ROOT KEY)；
2)ans．example．b向ans．example．a服務器返回m．example．b的地址，同時返回．example．b區的解密公鑰．這個解密公鑰存放在KEY記錄中并由．b區的私鑰簽名。
3)為驗證這個公鑰，ans．example．corn向．b區的權威名字服務器查詢請求．b區的公鑰(B KEY)以及公鑰簽名。
4)ans．example．corn服務器獲得．b區的公鑰及簽名以后，它可以先通過預先靜態配置好的．．ROOT KEY”并驗證“．B KEY”的正確性，如果是對的，就接著通過”B KEY”驗證example．b區公鑰的正確性。
5)驗證無誤后，ans．example．a服務器就可以通過．example．b區公鑰解密ans．example．b返回的所有資源記錄簽名；如果其中有一個區公鑰認證時發現是不對．就認為這個區是不安全的。
4．4 DNSSEC性能分析和評價
DNSSEC最大的優點是從DNS系統內部人手，在提高DNS安全性的同時又沒有犧牲DNS開展的各種服務。DNSSEC數據源認證有效的防止了緩存中毒和對區數據的侵害，同時DNS事務和查詢認證服務也有效地防范了由動態更新帶來的安全隱患 DNSSEC也可以有效的防止對DNS名字服務器權威數據的侵害。
但是DNSSEC作為一個正在走向成熟的技術也還有需要改進的地方。DNSSEC還沒有從根本上解決傳輸過程中的信息泄露問題，這個缺陷依賴于訪問控制和Split DNS等技術彌補；DNSSEC在確保DNS安全的同時大大增加了DNS應答包的長度．從而影響網絡和服務器的性能，簽名的數據量很大，加重了DNS對Internet骨干網以及一些非骨干連接的負擔。然而不可否認的是，只有通過DNSSEC強大的加密技術才可能確保DNS的數據認證和數據完整性。DNSSEC仍然是目前解決網絡系統安全最有效的方案。
5 結論
我們提出的基于DNSSEC的RFID網絡安全方案對于RFID網絡安全體系的構建無疑具有重要的現實意義。采用基于非對稱算法的PKI驗證系統基本上能夠實現RFID網絡各個組件之間的安全通信，為RFID網絡安全提供了一個良好的安全體系平臺。本方案的具體實現細節是下一步研究的方向。
本文作者的創新觀點是：借鑒DNSSEC提出了一種基于DNS安全擴展的RFID網絡安全解決方案，主要包括RFID網絡安全模型和ONS服務器驗證模型。該方案中RFID網絡中ONS服務器的數據信息的驗證和完整性檢查、ONS查詢和響應的信息的驗證和完整性檢查借鑒DNSSEC安全擴展實現。
參考文獻
[1]劉志峰，王靜，楊文通等．EPC網絡及其在制造業中的應用分析[J]微計算機信息，2005，5-2：208—209．
[2]RFC 2845：Domain Name Security Extensions[0nline].Avaliable：Http：//www.ietf.org/rfc/rfe2845.txt，1997．
[3]YoungHwan Ham，NaeSoo Kim，CheolSig Pyo，JinWook Chung，“A Study on Establishment of Secure RFID Network Using DNS Security Extension”，2005 Asia～Pacific Conference on Communi—cations，Perth，Western Australia，3—5 October 2005．
[4]Benjam in Fabian and Sarah Spiekermann.“Security Analysis of the Object Name Service.”[Online]．Available：Http：//www.taucis.hu—berlin.de/_download/security_analysis.pdf
作者簡介：
馬選斌(1974-)，男(漢)，陜西西安人，碩士，專業為網絡通信與網絡安全；
彭昭(1983一)，男(漢)，湖北洪湖人，博士，專業為計算機網絡與網絡安全；
劉威(1977一)，男(漢)，湖北武漢人，副教授，博士，專業為計算機網絡與網絡安全；
杜旭(1969一)，男(漢)，湖北武漢人。教授，博士，專業為網絡通信與網絡安全。
(430074 湖北武漢華中科技大學電信系)馬選斌 彭昭 劉威 杜旭
通訊地址：(430074 湖北省武漢市華中科技大學沁苑東十二舍211室)馬選斌
