CN101529791A - 利用复杂性低的装置提供认证和保密的方法和设备 - Google Patents

Abstract

一种提供用于认证、保密和匿名的密码协议的方法和设备。在一个实施方式中，所述协议被设计成在少量的逻辑门中实现，在简单的装置上迅速地执行，以及提供军用级别的安全性。

Description

利用复杂性低的装置提供认证和保密的方法和设备

相关申请

本申请要求2006年6月9日提交的美国临时专利申请No.60/812,386的优先权。

技术领域

本发明涉及加密和认证，更具体地涉及复杂性低的装置中的加密和认证。

背景技术

射频识别(RFID)标签变得越来越普遍。射频识别标签被用于跟踪产品或者其他对象。通常，当查询RFID时，RFID提供它的标识，所述标识然后被用来查询由于该RFID所连接到的对象的数据。

然而，一些机构希望能够在不对第三方的询问公开RFID数据的情况下使用RFID。例如，美国政府想要向护照文件或者***大小的卡中嵌入RFID芯片，以有助于在美国边境口岸迅速处理识别文件。

当前的RFID解决方案具有四个主要缺点。第一，RFID一般不提供认证。第二，被认证方可以查询装置并获悉RFID芯片上的数据，在护照的情况下，所述RFID芯片上的数据可能包括足够的有关其持有者的身份的数据，从而造成了身份盗窃的可能性。第三，攻击者可以窃听与该装置的对话，并以此种方式来获取RFID上的数据。最后，攻击者可以使用RFID芯片的唯一标识符来对人一直进行跟踪。

发明内容

描述了一种在复杂性低的装置中提供用于安全认证、保密以及匿名的密码协议的方法和设备。在一个实施方式中，所述协议被设计成以少量的逻辑门来实现，在简单的装置上迅速执行，以及提供军用级别的安全性。

附图说明

本发明结合附图以示例的方式而非限制的方式被示出，在所述附图中，相似的附图标记指示相似的元件，其中：

图1是根据本发明的密码服务的组件的一个实施方式的网络示意图；

图2是可以实现本发明的密码协议的服务器和客户端的一个实施方式的框图；

图3是利用密码协议的一个实施方式的总体流程图；

图4A和图4B是根据本发明的利用阅读器和标签的一个实施方式的信号流示意图；

图5是使用用于加密、认证和保密的标签ID协议的一个实施方式的信号流示意图；

图6是使用用于加密和保密的标签ID协议的一个实施方式的信号流示意图；

图7是使用用于保密和不可跟踪的简化的标签ID协议的一个实施方式的信号流示意图；

图8是可以和本发明一起使用的计算机***的一个实施方式的框图。

具体实施方式

所述的方法和设备是用于那些提出大量安全要求的低功率装置的密码协议。该密码协议也为这些应用保留了性能特征。具体地，包括密码协议的装置能够使用标准技术相对低廉地被创建。该协议不需要大量的逻辑门来实现，所以该协议能够在例如无源RFID芯片的低功率装置上实现。最后，该协议允许大量的装置同时被查询。

该协议具有提供一个或者多个以下密码特征的能力：

认证：所述协议可以包括用于密码地检查标签的真实性的信息。

保密：所述协议可以保护标签的标识符，以使得未授权方不能获悉该标签的标识符。

不可跟踪/隐匿：在一个实施方式中，所述协议从不返回完全一样的值。这就是说，如果阅读器不知道获悉标签的标识符的密钥，阅读器就甚至不能够知道其正和相同的标签通信。

在一个实施方式中，通过椭圆曲线密码(EEC)提供认证，更具体地是使用公/私密钥对的椭圆曲线加密过程。在一个实施方式中，通过加密标签标识符提供保密。在一个实施方式中，使用基于Diffie-Helman的机构以得到标签标识符的加密密钥，并利用该密钥加密该标签标识符来完成加密。在一个实施方式中，通过生成用于每次交换的随机数来提供不可跟踪，所述随机数被用于产生加密密钥。

在一个实施方式中，本申请可以通过利用素域上的计算而被实现。简单地说，一些示例简单地讨论了椭圆曲线密码(EEC)或者素域的Diffie-Helman问题。然而，本领域的技术人员可以理解，任一种方法或者两个方法的结合可以被本发明使用。

注意虽然本申请中的实施例描述了一种通过使用射频识别(RFID)阅读器和标签而实现的***，但本发明可以用于任何复杂性低的装置。

图1是根据本发明的密码服务的组件的一个实施方式的网络示意图。在一个实施方式中，RFID***120包括阅读器，用于读取一个或者多个加密-射频识别(crypto-RFID)标签110A，110B，110C。在一个实施方式中，RFID***120能够同时读取多个RFID标签110A-C。在另一个实施方式中，每个标签依次被询问。在一个实施方式中，RFID***120包括密码***。在另一个实施方式中，RFID***120可以被连接到密码***以与阅读器联合起来执行这里描述的密码功能。

阅读器120请求来自加密RFID标签110A的标签ID。在一个实施方式中，请求包括口令。阅读器返回被加密的响应。该被加密的响应可以被具有正确密钥的***120解密。不管欺骗***130多久发送一次标签ID请求，欺骗***130都不会接收一致的响应(因为响应会被加密和被隐匿)。所以，欺骗***130不能够识别加密RFID标签110A的标签ID，并且从而不能够查找与RFID标签110A相关的数据。

在一个实施方式中，在对标签响应进行解密并获得标签ID之后，RFID***120查找与标签ID相关的公钥。在一个实施方式中，可以通过经由网络150可访问的远程***160执行公钥查找。可替换地，密钥查找可以是本地***或者是被合并在RFID***120本身之内。在一个实施方式中，公钥查找服务器160可以位于RFID***120的本地。在一个实施方式中，公钥查找服务器160可以是不能由公众访问的私人服务器。

在一个实施方式中，数据库170中每个RFID标签的记录包括标签标识符(标签ID)以及标签公钥Q。在一个实施方式中，记录还可以包括指示RFID什么时候被创建的时间戳。所以要注意，该数据不包括标签的私钥，所述私钥从不存储在标签本身之外的地方。

图2是低功率处理***(LPPS)及相关联的通信***的一个实施方式的框图。LPPS可以是RFID标签，同时通信***可以是RFID阅读器。

RFID标签110包括收发器250，或可替换的是分开的接收和发送逻辑。在一个实施方式中，收发器250是RFID收发器。在一个实施方式中，LPPS210可以是功率足够低的，以使收发器250由从***220接收的输入信号供电。

在初始化期间，密码逻辑255计算标签110的私钥，所述私钥存储在存储器260中。注意本说明书中的术语“私钥”可以指椭圆曲线上的点或者Diffie-Helman问题中使用的大素数。公钥是向私钥提供密钥对的函数或者值。

RFID标签110从RFID***120接收一个公钥，或者在另一个实施方式中接收多个公钥。RFID标签110还从***120接收其标签标识符(标签ID)，并将标签标识符存储在存储器260中。在一个实施方式中，私钥是和E(F)的量级具有一样长度的值，并随机地生成。标签110中的密码逻辑255还基于标签的私钥计算RFID标签的公钥。在一个实施方式中，该公钥由认证机构签名，用于认证LPPS 210。

存储器260用于存储私钥(在标签内生成的随机数a)，以及标签ID和阅读器的公钥(在初始化期间接收)。需要用来存储私钥、公钥和标签ID和计算认证函数的门的数量与密钥的长度成比例。所以，在确保安全的同时最小化密钥大小是有利的。所以，在一个实施方式中，***使用三进制域作为F，三进制域能够使字的大小从二进制域中的163减少到三进制域中的107，在字长上大约减少了35％，而不会降低***的安全性。这就是说，通过使用三进制逻辑门代替二进制逻辑门，会需要更少的逻辑门，并且一些运算(例如乘法)会更快。

在一个实施方式中，***包括篡改逻辑265。篡改逻辑265提供防篡改。在一个实施方式中，整个标签是防篡改的。在另一个实施方式中，只有存储器260或者存储器存储私钥的部分是防篡改的。在一个实施方式中，防篡改可以包括这样的逻辑，该逻辑用于如果***检测到要读取存储器的尝试、攻击总线等等，就擦除存储器。在一个实施方式中，这可以用引信(fuse)来实现。

在用于认证期间，密码逻辑255接收口令并计算对口令的响应。对口令的响应是被加密的、认证的和隐匿的响应，该响应确保了即使重复发送相同的口令，来自RFID标签110的响应总是不同的。在一个实施方式中，在选定的有限域上的选定椭圆曲线上完成计算。如上面所注意的，在一个实施方式中该域为已知的二进制域。

RFID***220包括RFID阅读器210，该RFID阅读器210向RFID标签210发送口令。该口令由口令计算器220基于随机数生成元素215创建的随机数而生成。在一个实施方式中，随机数是具有和E的量级相似的数量级的数。

当RFID标签210响应口令时，响应包括被加密的标签ID和口令响应。密码计算器230被用来对被加密的响应进行解密，并从所述响应获得标签ID。公钥查找逻辑225使用标签ID在数据库中查找标签的公钥。如上面所注意的，数据库可以是RFID***120的一部分，该数据库可以是本地的、或者远程的且可通过网络访问的。

密码计算器230获取随机数，并通过使用公钥来计算公钥值。该公钥值应该等于RFID标签返回的口令响应。所以，比较逻辑235在RFID标签210返回的口令响应和所计算的结果之间进行比较。如果值是一样的，然后RFID***120证实RFID标签210正确。在一个实施方式中，确认逻辑240输出指示RFID标签110已经被确认的适当信息。在一个实施方式中，RFID***120具有用于指示RFID标签110有效的输出机构。

图3是利用密码协议的一个实施方式的总体流程图。过程从初始化开始。

在框图310，公共数据在标签和阅读器之间共享。标签可以是任何复杂性低的处理装置，例如射频识别(RFID)标签。阅读器可以是任何被设计用来与标签连接的装置，例如RFID阅读器。在一个实施方式中，术语“阅读器”指与标签进行交互的***和提供密码服务的***。然而，在一个实施方式中，这些功能可以被分开，并且可以被通过网络连接或者其他方式相连的分开的装置执行。公共数据定义必要的椭圆曲线、域和用于椭圆加密的点，或者用于传统加密的生成元素和大素数。本专利申请中使用的术语“初始元素(originator)”指大素数的生成元素或者用于椭圆曲线加密的椭圆域中的点。

在框图315中，密钥在标签和阅读器之间共享。在一个实施方式中，密钥包括一个或多个公钥/私钥对，所述公钥/私钥对可以利用椭圆加密或者传统的大素数加密。在一个实施方式中，三个密钥对被创建，每个分别用于认证、加密和隐匿。在一个实施方式中，标签创建自己的密钥。

在框图320，一旦合适的私钥和公钥被存储，初始化完成。在一个实施方式中，标签存储阅读器的公钥及其自己的私钥和标识(n)，而阅读器存储其自己的私钥。在一个实施方式中，标签的公钥和标识(n)被存储在分开的公钥目录中。

下面的过程是为了识别的目的而获得标签的公钥的部分。除了提供被认证的标签ID，下面的步骤也以给标签ID加密的方式提供标签ID，并隐藏标签ID的值。这确保了如果欺骗阅读器试图通过多次发送相同的口令来了解加密，所返回的数据是不一样的。

在框图325，阅读器计算用于所述标签的口令。口令被设计成用于引出这样的信息，该信息能够使阅读器确定标签的标签ID。在一个实施方式中，口令是随机值。在一个实施方式中，口令是在选定的有限域上沿着椭圆曲线的随机值。

在框图330，标签计算对口令的响应。在一个实施方式中，对口令的响应是标签的私钥乘以口令。

在框图335，标签计算返回数据，所述返回数据是对口令的响应和用三个密钥加密的三个随机值的结合，所述三个密钥中的一个用于加密、一个用于认证、一个用于保密。在一个实施方式中，标签生成两个随机值(s和u)，并利用相应的密钥来加密每个随机值(分别加密和隐匿)。认证密钥被阅读器的公钥加密。然后标签返回包括所有四个随机值的联结值(concatenatedvalue)。在一个实施方式中，所返回的值包括标签标识符(n)。

在框图340，从标签接收到返回数据的阅读器利用其私钥来计算来自返回数据的n(标签ID)。

在框图345，阅读器使用标签ID查找标签的公钥。

在框图350，阅读器检验返回的数据是否包括被签名的口令响应。如在框图355中所检验的，如果包括被签名的口令响应，则阅读器知道标签的ID(n)并且该ID已经被口令的响应所认证。然后在框图360，阅读器能够利用标签ID来执行其他的活动。例如，标签ID可以被用来查找另一个数据库中的数据、检验标签的认证等等。然后在框图365，过程结束。

图4A和B是根据本发明利用阅读器和标签的一个实施方式的信号流示意图。***可以使用椭圆曲线密码(EEC)，或者使用传统的公钥密码参数。

在框图405，利用密码参数来初始化标签和阅读器。如果所使用的密码***是椭圆曲线***，则在一个实施方式中定义下面的值：

1、用于(标签)认证的第一椭圆曲线E_A，和有限域

2、用于(标签)认证的第一椭圆曲线E_A(

)上的第一点P_A＝(x_A，y_A)。

3、用于(标签id)加密的第二椭圆曲线E_E，和有限域

4、用于(标签id)加密的第二椭圆曲线E_E(

)上的第二点P_E＝(x_E，y_E)。

5、用于(标签id)隐匿的第三椭圆曲线E_O，和有限域

6、用于(标签id)隐匿的第三椭圆曲线E_O(

)上的第三点P_O＝(x_O，y_O)。

对于每个点，能够通过将P_A/E/O和整数相乘而生成的全部点的集合应该在大小上和域上椭圆曲线上的点的总数目相似。更正规地，集合{P_i|x以致p＝p_A ^x}的量级必须与E_A()的量级相似。

在一个实施方式中，如上所述，认证、加密和隐匿特征可以利用分开的椭圆曲线、有限域和/或椭圆曲线上的点。在另一个实施方式中，有限域、曲线和/或点可以是一样的。在一个实施方式中，相同的椭圆曲线、域和点可以被用于所有三个加密方面(认证、加密和隐匿)。这些方面(E_A，E_E，E_O，

和P_A，P_E，P_O)被用来初始化标签和阅读器。EEC的一种方式的函数是：f(a，B)＝a·B，其中点运算符意思是点乘。例如，a·B意思是“B被整数a点乘”。

对于传统的加密方法而言，使用在大的素数域上的计算来进行加密，在一个实施方式中，定义下面的值：

1、选择用于(标签)认证的素数Q_A。

2、选择用于(标签)认证的生成元素g_A∈[2，Q_A-1]。

3、选择用于(标签id)加密的素数Q_E。

4、选择用于(标签id)加密的生成元素g_E∈[2，Q_E-1]。

5、选择用于(标签id)隐匿的素数Q_O。

6、选择用于(标签id)隐匿的生成元素g_O∈[2，Q_O-1]。

在一个实施方式中，每个值(认证、加密和隐匿)的生成元素和素数可以是同样的。素数域上的计算的一种方式的函数是：

f(a，B)＝B^a mod p。

生成元素g_A/E/O和点P_A/E/O可以共同地作为初始元素O_A/E/O而被引用。

如上，这些密码生成元素被用来初始化标签和阅读器。注意阅读器/标签会使用一种类型的加密。这里描述了椭圆加密和大素数域上的计算。然而，可以使用生成安全加密和解密密钥对的可替换的加密函数。

初始化可以以各种方式发生。在一个实施方式中，先用相同的参数将所有***组件编程，从而不需要约定。在另一个实施方式中，每个***组件会接收哪些参数会被用来进行通信的完整描述。在又另一个实施方式中，两方会简要地指出哪些参数会被用来形成具有已知名称的标准参数集合。例如，参见http:www.fags.org/rfcs/rfc4492.html的RFC 4492的5.1.1部分，其中指出一些标准椭圆曲线和域的16位标识符。在另一个实施方式中，两方会从约定的或预先确定的参数集合中选择参数。确保两个组件都具有这些参数的可替换的方式可以被利用。

在框图410，阅读器挑选随机值r作为其加密密钥。在框图415，阅读器计算匹配密钥R＝f(r，P_E)，该密钥为与加密密钥r相关联的公钥，从而创建密钥对(R，r)。

在框图420，阅读器挑选第二个随机值j作为其隐匿密钥。在框图430，隐匿密钥对(J，j)通过计算J＝f(j，P_O)而被计算。因而，阅读器生成用于进行加密的密钥对(R，r)，以及用于隐匿标签的标识的第二个密钥对(J，j)。在一个实施方式中，R＝J，且r＝j。r和j的值存储在阅读器中。

在框图440，阅读器将公钥(R和J)和标签ID(n)一起发送给标签，告知标签初始化标签自己。在一个实施方式中，RFID***选择n作为随机数。在一个实施方式中，标签id值n被选择为比密钥(R和J)的长度短。在一个实施方式中，可以利用多个标签同时执行初始化过程。

在框图445，n，R和J的值被保存到标签的内部存储器。如上面所注意的，在一个实施方式中，内部存储器是安全存储器。在一个实施方式中，在不通过密码过程且不损坏标签的情况下内部存储器不能被访问。

在框图450，标签选择随机值a作为其私钥，并且该随机值a被保存到标签的内部存储器。在一个实施方式中，内部存储器是安全存储器。在一个实施方式中，只有标签ID和标签的私钥被存储在安全存储器中。

在框图455，标签计算公钥Q＝f(a，P_A)。在框图460，值Q被发送到阅读器/***。在一个实施方式中，阅读器/随机数将标签的公钥转送到公钥目录(框图465)。在框图470，公钥目录存储Q的值以及值n。在框图475，公钥目录确认所述值被成功存储。

图5是使用加密、认证和隐匿的标签ID协议的一个实施方式的信号流示意图。当RFID***希望从标签获得数据时，该过程被初始化。在一个实施方式中，RFID***可以与多个RFID标签同时执行相同的过程。

在框图510，RFID***挑选随机值c。在框图515，RFID***计算口令，C＝f(c，P_A)。口令C与随机值c是一对。在一个实施方式中，加密函数E对明文和密钥采取XOR运算以生成密文。对于消息n和点P_i，这个就是c＝E $(m,P_i)=m\⊕\mathrm{bin}\left(P_i\right).$ 选择这个加密函数，解密会以这种方式进行：m＝D $(c,P_i)=c\⊕\mathrm{bin}\left(P_i\right).$ 在框图520，***发送请求标签的标识以及标签对口令C的响应的消息。消息包括口令C。

在框图525，标签计算A＝f(a，C)。值a是RFID标签的私钥。

在框图530，标签生成随机值s。在一个实施方式中使用随机数生成元素生成随机值s。在另一个实施方式中，使用物理防克隆函数(physicalunclonable function(PUF))生成随机值s。在框图535，在一个实施方式中，计算S＝f(s，P_E)。如先前所注意的，P_E＝(x_E，y_E)是用于(标签id)加密的第二椭圆曲线E_E(

)上的点。

在框图540，***计算值k_E＝f(s，R)。R是RFID***的公钥之一，而s是上面生成的随机数。在框图542，RFID标签计算B＝E(n，k_E)。如上面所注意的，值n是标签ID，而k_E＝f(s，R)。

在一个实施方式中，在框图545，***挑选第二随机数u。在框图550，标签计算U＝f(u，P_O)。如上面所注意的，P_O＝(x_O，y_O)是用于(标签id)隐匿的第三椭圆曲线E_O(

)上的点。在框图555，***计算k_O＝f(u，J)，其中u是第二随机数以及J是RFID阅读器的第二公钥。

在框图565，标签计算G＝f(A，k_O)。A＝f(a，C)是标签的私钥与口令的函数，而k_o＝f(u，J)。

在框图570，标签返回值S，U，B和G，其中S＝f(s，P_E)，U＝f(u，P_O)，B＝E(n，k_E)，G＝f(A，k_O)。在一个实施方式中，标签返回这些值的联结。该协议的性质之一是标签每次返回不同的响应(所以标签不能被跟踪)，但是密钥持有者(被授权的阅读器)可以基于返回的数据来确定标签的标识。

然后阅读器执行下面的计算：

(572)使用私钥r和所提供的值S来计算k_E＝f(r，S)。

(574)使用私钥j和所提供的值U来计算k_O＝f(j，U)。

(576)使用所计算的值k_E和所提供的值B来计算n＝D(B，k_E)。

值n是标签ID，在框图580中被用来向公钥目录请求标签n的公钥。在框图585，公钥目录返回标签的公钥Q。然后阅读器使用所提供的值G和所计算的值k_O计算(590)A＝D(G，k_O)，并检验A＝f(c，Q)＝f(a，C)。如果检验无误，则阅读器知道标签是可信的，且标签ID是正确的，并且能够使用标签ID用于各种查找、证实或者其他功能。

注意，虽然该实施例描述了椭圆曲线上的函数，但所描述的密码协议还可以换成利用大素数。对于大素数，每个f(x，P)被f(x，g)代替，其中g是大素数的生成元素。

图6是使用用于加密和隐匿的简化标签ID协议的一个实施方式的信号流示意图。通过把点设置成相同的值，该简化过程使一些计算简化。在框图610，RFID***挑选随机值c。在框图615，RFID***计算口令C＝f(c，P_A)。口令C和随机值c是一对。在框图620，***发送请求标签的标识的消息，该消息包括口令C。

在框图625，标签计算A＝f(a，C)。值a是RFID标签的私钥。

在款图630，标签生成随机值s。在一个实施方式中，随机值s可以使用随机数生成元素生成。在另一个实施方式中，随机值s可以使用物理防克隆函数(PUF)而被生成。在框图635中，计算S＝f(s，P_E)。如先前所注意的，P_E＝(x_E，y_E)是用于(标签id)加密的第二椭圆曲线E_E()上的点。

在框图640，计算T＝f(s，R)。R是RFID***的公钥之一，而s是上面生成的随机数。在框图645，标签计算k_E，k_O＝g(T)。函数g()计算足够长的字符串来与n|A进行XOR(异或)。使用函数g：k-＞k₁，k₂(根据长度的输入)生成两个长度值。所述值是伪随机的，在一个实施方式中，最好使用可靠加密的某些东西作为函数g()。

在框图650，RFID标签计算B＝E(n，k_E)。如上面所注意的，值n是标签ID，而k_E＝f(s，R)。在框图655，标签计算G＝f(A，k_O)。A＝f(a，C)标签的私钥与口令的函数。

在框图660，标签返回值S，B和G。在一个实施方式中，标签返回这些值的联结。S＝f(s，P_E)，B＝E(n，k_E)，G＝f(A，k_O)。

然后阅读器执行下面的计算：

(662)使用私钥r和所提供的值S来计算T＝f(r，S)。

(664)计算k_E，k_O＝g(T)。

(666)使用所计算的值k_E和所提供的值B来计算n＝D(B，k_E)。

(668)使用所提供的值G和所计算的值k_O来计算A＝D(G，k_O)。

值n是标签ID，在框图670中被用来向公钥目录请求标签n的公钥。在框图675，公钥目录返回标签的公钥Q。然后在框图680，阅读器检验A＝f(c，Q)＝f(a，C)。如果检验是无误，则阅读器知道标签是可信的，且标签ID是正确的，并且能够使用标签ID用于各种查找、证实或者其他功能。

图7是使用用于保密和不可跟踪的被简化的标签ID协议的一个实施方式的信号流示意图。该密码协议提供保密和不可跟踪，但是没有提供认证。在框图710，***发送请求标签的标识的消息。

在框图715，标签选择随机值s。

在框图720，标签计算S＝f(s，P_E)。如先前所注意的，P_E＝(x_E，y_E)是用于(标签id)加密的第二椭圆曲线E_E(

)上的点。

在框图725，标签计算k_E＝f(s，R)。R是阅读器的公钥，而s是随机值。

在框图730，标签计算B＝E(n，k_E)。如上面所注意的，值n是标签ID，而k_E＝f(s，R)。在框图735，标签返回值S和B给阅读器。注意由于S和B都至少一部分是随机数s的函数，所以这些值对于每个响应是不同的。

然后阅读器执行下面的计算：

(740)计算k_E＝f(r，S)，其中r是阅读器的私钥，而S从标签接收的。

(745)使用所计算的值k_E和所提供的值B来计算n＝D(B，k_E)。

值n是标签ID，然后被用于查找关于与标签相关的对象的数据。注意该过程不提供标签的认证。然而该过程提供不可跟踪和保密。

图8是可以和本发明一起被使用的计算机***的一个实施方式的框图。图8是可以和本发明仪器被使用的计算机***的一个实施方式。这对于本领域的技术人员来说是显而易见的，然而具有各种***构架的其他可替换的***也可以被使用。

图8中示出的数据处理***包括用于传输信息的总线或者其他内部通信工具815，以及耦合到总线815以处理信息的处理器810。***还包括随机存取存储器(RAM)或者其他易失性存储装置850(称为存储器)，被耦合到总线815以存储信息和被处理器810执行的指令。主存储器850也可以被用于存储临时变量或处理器810指令执行期间的其他中间信息。***还包括只读存储器(ROM)和/或静态存储装置820，被耦合到总线815以存储静态信息和处理器810的指令，***还包括诸如磁盘或者光盘的数据存储装置825及其相应的驱动器。数据存储装置825耦合到总线815，以存储信息和指令。

***还可以被耦合到显示装置870，所述显示装置例如为阴极射线管(CRT)或液晶显示器(LCD)，通过总线865耦合到总线815以用于向计算机用户显示信息。文字数字输入装置875包括文字数字键和其他键，也可以通过总线865被耦合到总线815以将信息和命令选择传输给处理器810。其他的用户输入装置是光标控制装置880，例如鼠标、跟踪球、触针或光标方向键，通过总线865耦合到总线815以将方向信息和命令选择传输给处理器810，以及控制显示装置870上的光标位移。

另一个可选择地耦合到计算机***800上的装置是用于通过网络访问分布式***的其他节点的通信装置890。通信装置890可以包括各种商业可用的网络***装置，例如用于耦合到以太网、令牌网、因特网或广域网的那些***装置。通信装置890还可以包括零-调制解调器连接，或者提供计算机***800和外面世界之间的连接的其他任何机构。注意图8中示出的该***的任何组件或者全部组件以及相关的硬件可以被用于本发明的各种实施方式之中。

对于本领域的普通技术人员来说显而易见的是***的任何配置可以根据特定的实现而被用于各种目的。实现本发明的控制逻辑或软件可以被存储在主存储器850、大容量存储装置825或其他本地的或者处理器810可远程访问的存储媒介中。

对于本领域的普通技术人员来说显而易见的是，这里描述的***、方法和处理可以被实现为存储在主存储器850或只读存储器820中以及被处理器810执行的软件。所述控制逻辑或软件也可以安在包括计算机可读媒介的一款产品上，所述计算机可读媒介具有嵌入其中的计算机可读程序代码，并且可以被大容量存储装置825读取以及用于使得处理器810根据这里的方法和教导进行操作。

本发明也可以被嵌入包括上述计算机硬件组件的一部分的手持或便携式装置。例如，手持装置可以被配置为只包括总线815、处理器810和存储器850和/或825。手持装置也可以被配置为包括一组按钮或输入信号组件，用户可以利用所述按钮和输入信号组件从一组可用的选项中进行选择。手持装置也可以被配置为包括诸如液晶显示器(LCD)或者显示单元矩阵的输出设备，用于向手持装置的用户显示信息。传统的方法可以被用来实现该手持装置。给出这里提供的本发明的公开内容，用于实现本发明的这种装置对于本领域的普通技术人员来说是显而易见的。

本发明也可以被嵌入到包括部分上述计算机硬件组件的专用设备中。例如，设备可以包括处理器810、数据存储装置825、总线815和存储器850，以及基本的通信机构，例如允许用户以基本方式与装置进行通信的小的触摸屏。通常，装置越专用，就需要越少的元件用于装置运行。在一些装置中，可以通过基于触摸的屏幕或者类似的机构与用户进行通信。

本领域的普通技术人员可以理解，根据特定的实施，***的任何配置可以被用于各种目的。实现本发明的控制逻辑或者软件可以存储在任何本地的或者处理器810可远程访问的机器可读媒介上。机器可读媒介包括任何用于以机器(例如计算机)可读的形式存储或者传送信息的机构。例如，机器可读媒介包括只读存储器(ROM)，随机存取存储器(RAM)，磁盘存储媒介，光存储媒介，闪存装置，电、光、声或者其他形式的传播信号(例如载波、红外信号、数字信号等)。

在前述的说明中，参照本发明的特定的实施方式描述了本发明。然而，很显然，在不脱离所附权利要求所述的本发明的较宽的精神和范围的前提下，可以做出各种修改和改变。因此，说明书和附图被认为是说明性的，而不是限制性的。

Claims (22)

1、一种提供密码协议的方法，该方法包括：

认证，基于使用低功率处理***(LPPS)的私钥；

保密，用于保护标签标识符(标签ID)以使未授权方不能够获悉标签的标识符；以及

不可跟踪，用于确保返回不同的值来响应口令，从而阅读器不能够通过响应来识别所述LPPS。

2、根据权利要求1所述的方法，其中密码协议包括椭圆曲线密码。

3、根据权利要求1所述的方法，其中认证包括：

利用所述LPPS的私钥，并计算该私钥与所述LPPS中接收到的口令的函数。

4、根据权利要求1所述的方法，其中所述不可跟踪包括：

提供与认证值联结的其他密码值。

5、根据权利要求1所述的方法，其中保密包括：

用阅读器的公钥加密所述标签ID。

6、根据权利要求1所述的方法，该方法还包括：

在阅读器和所述LPPS之间交换初始参数。

7、根据权利要求6所述的方法，其中所述初始参数包括：

标签ID，以及用于认证、保密、和隐匿的椭圆曲线和所述椭圆曲线上的点。

8、根据权利要求7所述的方法，其中所述椭圆曲线和所述点对于所述认证、所述保密和所述隐匿是相同的。

9、根据权利要求6所述的方法，其中所述阅读器向所述LPPS提供所述初始参数。

10、一种利用RFID标签的方法，包括：

从阅读器接收口令；

计算S＝f(s，O_E)，U＝f(u，O_O)，B＝E(n，k_E)，G＝f(A，k_O)，其中

A是所述口令与所述RFID标签的私钥的函数；

s和u是所述RFID标签生成的随机数；

n是标签ID；

k_E和k_O分别是所述阅读器的第一公钥和第二公钥的函数；和

O_E和O_O是所述阅读器提供的初始元素；以及

向所述阅读器返回S，U，B和G，所返回的数据包括口令响应和所述标签ID，并且即使当响应同样的口令时，所返回的数据对于每个响应也是唯一的。

11、根据权利要求10所述的方法，其中所述初始元素O_E和O_O是椭圆曲线上的点。

12、根据权利要求10所述的方法，其中所述初始元素O_E和O_O是大素数的生成元素。

13、根据权利要求10所述的方法，该方法还包括初始化所述RFID标签，其中所述初始化包括从所述阅读器接收：

用于保密的第一密钥对的所述第一公钥；

用于隐匿的第二密钥对的所述第二公钥；以及

标签ID。

14、根据权利要求13所述的方法，其中所述初始化还包括：

选择用于认证的第三密钥对；以及

发送所述第三密钥对的公钥到所述阅读器。

15、根据权利要求13所述的方法，其中所述初始化还包括：

从所述阅读器接收用于认证的第三密钥对的私钥，所述第三密钥对的所述私钥仅由所述RFID标签存储。

16、一种低功率处理***，该***包括：

用于传送和接收数据的收发器，所述收发器从阅读器***接收口令；

用于执行密码计算的密码逻辑，所述密码逻辑用于计算S＝f(s，O_E)，U＝f(u，O_O)，B＝E(n，k_E)，G＝f(A，k_O)，其中

A是所述口令与LPPS的私钥的函数；

s和u是随机数；

n是所述LPPS的标识符；

k_E和k_O分别是阅读器的第一公钥和第二公钥的函数；以及

O_E和O_O是所述阅读器提供的初始元素；以及

所述收发器还向所述阅读器***返回S，U，B和G，所返回的数据包括口令响应和标签ID，并且即使当响应同样的口令时，所返回的数据对于每个响应也是唯一的。

17、根据权利要求14所述的***，该***还包括用于存储所述LPPS的所述私钥和所述LPPS的标识符的安全存储器。

18、根据权利要求16所述的***，其中所述密码逻辑还用于生成所述随机数s和u。

19、根据权利要求16所述的***，该***还包括：

用于存储初始化数据的存储器，该初始化数据包括所述阅读器的所述公钥和所述标签ID。

20、根据权利要求16所述的***，其中所述初始元素O_E和O_O是椭圆曲线上的点，以及其中所述初始元素O_E和O_O是相同的椭圆曲线上的相同的点。

21、一种被设计成由阅读器***安全地询问的低功率处理***(LPPS)，所述LPPS包括：

用于从所述阅读器***接收口令的收发器；

用于计算对所述口令的响应的密码逻辑，所述响应包括所述LPPS的私钥；

所述密码逻辑用于计算返回给所述阅读器***的返回数据，所述返回数据是对所述口令的响应与加密密钥、认证密钥以及隐匿密钥的结合。

22、根据权利要求21所述的***，其中密码密钥用于生成两个随机数，并且还用于用加密密钥加密第一随机数、用隐匿密钥加密第二随机数、以及用阅读器的公钥加密认证密钥。

Images