-
Radio-Frequency-Identification
(RFID) Tags werden verwendet, um Warenströme effizienter handhaben zu
können.
Dazu werden Produkte durch ein individuelles RFID-Tag gekennzeichnet.
Die Produktdaten selbst sind jedoch oft auf einem Server abgespeichert.
Eine auf dem RFID-Tag abgelegte Information dient nur zur Identifizierung
eines Produkts, einer Ware oder eines Gutes, wogegen weitere, das Produkt
beschreibende Daten auf einem beispielsweise zentralen Server abgelegt
sind.
-
In
komplexen Geschäftsbeziehungen
durchläuft
ein Gut unterschiedliche Firmen und damit auch unterschiedliche
Sicherheitsdomänen,
die jeweils auf die einem Gut zugeordneten, auf einem Server abgelegten
Daten zugreifen müssen,
sowohl lesend als auch schreibend oder lesend oder schreibend.
-
Um
auf einem Server abgelegte, einem durch ein RFID-Tag identifizierten
Gut zugeordnete Daten vor einem unberechtigten Zugriff zu schützen, sind
Sicherheitslösungen
für die
Schnittstelle zwischen RFID-Leser und RFID-Tag bekannt. Dadurch wird
gewährleistet,
dass nur ein berechtigter RFID-Leser
Daten von einem RFID-Tag lesen bzw. schreiben kann, bzw. dass die
gelesenen Daten von einem nicht manipulierten, authentisierten RFID-Tag stammen.
Solche Sicherheitslösungen
führen
lediglich ein Prüfen
der Berechtigung, Daten vom RFID-Tag
selbst zu lesen bzw. zu ändern
durch.
-
Weiterhin
ist bekannt, dass bei Abfrage von Produktdaten eines Produkts bzw.
Gutes, dem ein RFID-Tag zugeordnet ist, bei einem Server eine Authentisierung
und Berechtigungsprüfung
stattfindet. Dabei wird durch den Server überprüft, ob die Abfrage von einem
berechtigten Teilnehmer gestellt wird. Eine Überprüfung kann beispielsweise die
vorgegebene Logistik-Kette
berücksichtigen,
d. h. wenn das mit einem RFID-Tag versehene Produkt gerade bei einem
bestimmten Teilnehmer sein sollte, dann darf auch nur dieser bestimmte
Teilnehmer auf die Daten des beispielsweise zentralen Servers mit
den gespeicherten Produktdaten zugreifen. Dabei handelt es sich
aber nur um statische Sicherheitsmechanismen, die nicht berücksichtigen,
ob der auf die Datenbank bzw. den Server zugreifende Teilnehmer
auch tatsächlich
Zugriff auf das Produkt bzw. das zugehörige RFID-Tag hat.
-
Als
eine Aufgabe der Erfindung kann es deshalb angesehen werden, einen
besseren Schutz vor unberechtigtem Zugriff auf einem durch ein RFID-Tag identifiziertem
Gut zugeordnete, auf einem Server abgelegte Daten zu erreichen.
Insbesondere soll ein unberechtigter Zugriff auf geschäftskritische
Daten eines Wettbewerbers verhindert werden, beispielsweise um Wirtschaftsspionage
zu erschweren.
-
Die
Aufgabe wird gelöst
durch ein Verfahren mit den Merkmalen des Anspruchs 1.
-
Demnach
wird bei einem erfindungsgemäßen Verfahren
zum Schutz mindestens von Teilen von auf mindestens einem Server
und/oder in mindestens einer Datenbank abgelegten, einem durch ein
RFID-Tag identifizierten Produkt zugeordnete Produktdaten vor unberechtigtem
Zugriff, bei welchem Verfahren eine Authentisierung und Berechtigungsprüfung eines
Zugreifenden bei einem Server- und/oder Datenbankzugriff erfolgt,
bei einem Server- und/oder Datenbankzugriff zusätzlich ein Nachweis verlangt,
dass sich das Produkt innerhalb des Verfügungsbereichs des Zugreifenden
befindet, welcher Nachweis von dem RFID-Tag bei dessen Erfassung durch
einen RFID-Leser durch ein Access-Token in Form einer Datenstruktur
bereitgestellt wird, durch die das RFID-Tag den Zugreifenden ermächtigt,
zumindest auf Teile der dem RFID-Tag zugeordneten, auf dem Server
und/oder in der Datenbank abgelegten Produktdaten zuzufragen, also
je nach Anwendungsfall die Produktdaten abzufragen und/oder zu ändern.
-
Vorteile
der Erfindung gegenüber
dem Stand der Technik ergeben sich unter anderem daraus, dass die
einem Produkt zugeordneten Produktdaten nur dann von einem Server
und/oder einer Datenbank abgefragt oder geändert werden können, wenn auch
tatsächlich
das dem Produkt zugeordnete RFID-Tag zugreifbar ist, also wenn das
Produkt sich tatsächlich
innerhalb des Verfügungsbereichs
eines Zugreifenden befindet. Damit ist es dem Zugreifenden nicht
möglich,
Produktdaten von Produkten, die sich außerhalb seines Verfügungsbereichs
befinden, abzufragen. So können
auch keine Daten abgefragt werden, die beispielsweise Rückschlüsse auf
die Wirtschaftsaktivität
von Wettbewerbern zulassen, wie etwa welche Wettbewerber welche
und wie viele Produkte einer bestimmten Art bestellt oder verkauft haben.
Dies ist beim Stand der Technik anhand der EPC zumindest abschätzungsweise
möglich.
-
Weiterhin
verringert die Erfindung die Manipulationsmöglichkeiten beispielsweise
in Logistikketten. Wenn auf einem Server oder in einer Datenbank der
aktuelle Ort eines Produkts hinterlegt ist, beispielsweise „aus Lager
entnommen", „auf LKW
geladen", „beim Zwischenhändler abgeliefert", so kann diese Information
erfindungsgemäß nur mit
dem Nachweis beispielsweise aktualisiert oder verändert werden,
dass sich das RFID-Tag und damit das Produkt tatsächlich im
angegebenen Bereich, der in diesem Fall den Verfügungsbereich des Zugreifenden bildet,
befindet.
-
Eine
vorteilhafte Ausgestaltung der Erfindung sieht vor, dass sich das
Access-Token auf ein bestimmtes RFID-Tag bezieht, wobei es zur Abfrage der
Produktdaten desjenigen Produkts, das dem RFID-Tag zugeordnet ist,
gültig
ist. Im einfachsten Fall ist dies ein statisches Passwort. Das resultierende
Sicherheitsniveau ist vergleichbar mit dem Wissen um die Produkt-ID,
beispielsweise den Electronic Product Code (EPC), unter der Voraussetzung,
dass diese nicht kontinuierlich, sondern zufällig vergeben wird.
-
Eine
zusätzliche
vorteilhafte Ausgestaltung der Erfindung sieht vor, dass sich das
Access-Token auf einen bestimmten RFID-Leser und/oder auf eine Organisationseinheit
des RFID-Lesers
bezieht. Dabei ist auch eine Gruppe von Lesern vorstellbar. Dazu überträgt der RFID-Leser
bei der Abfrage eine Abfrage-Identifizierung, die den RFID-Leser
bzw. dessen Organisationseinheit, bzw. eine Gruppe von RFID-Lesern
kennzeichnet. Diese wird vom RFID-Tag in das Access-Token eingebaut.
Dadurch wird die Verwendungsmöglichkeit
und damit auch eine potentielle Missbrauchsmöglichkeit weiter eingeschränkt. Beim
Zugriff auf die in einer Datenbank beispielsweise auf einem Server
abgelegten Produktdaten erfolgt zusätzlich eine Authentisierung
des Zugreifenden, beispielsweise einem RFID-Leser oder einem Server der Organisationseinheit,
und es wird überprüft, ob die
durch die Authentisierung überprüfte Identität des Zugreifenden
zu der im Access-Token enthaltenen Abfrage-Identifizierung passt.
-
Eine
andere vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
das Access-Token eine zeitliche Beschränkung aufweist. Im einfachsten
Fall wird dabei ein Zählerwert,
der für
jedes ausgestellte Access-Token erhöht ist, verwendet. Die Datenbank speichert
den jeweils nächsten
Zählerwert
und erlaubt nur Access-Tokens mit einem höheren Zählerwert, als der hinterlegte.
So wird erreicht, dass alle vorher ausgestellten Access-Tokens ungültig sind.
-
Eine
weitere vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
das Access-Token eine Anzahl von erlaubten Abfragen beinhaltet,
um einem RFID-Leser zu ermöglichen,
ohne erneuten Lesevorgang des RFID-Tags eine bestimmte Anzahl an
Lese-/Schreibvorgängen durchzuführen. Diese
Anzahl kann beispielsweise durch den Server vorgegeben sein.
-
Eine
besonders vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
das Access-Token eine Berechtigung zum Zugriff auf nur bestimmte
Bestandteile der Produktdaten bzw. auf nur bestimmte Elemente des
die Produktdaten umfassenden Datensatzes umfasst, wie etwa nur Name
und Herstellungsdatum des Produkts, nicht aber letzter Lesezeitpunkt
des RFID-Tags.
-
Ebenfalls
ist denkbar, dass das Access-Token eine Berechtigung für bestimmte
Aktionen beinhalten, wie etwa für
Lese-/Schreibrechte
für Daten auf
dem Server bzw. in der Datenbank.
-
Sollte
es mehrere verschiedene Server geben, welche in einer oder mehreren
verteilten Datenbanken die Produktdaten speichern, kann das Access-Token
auch eine Identifikation des Servers beinhalten, für welchen
das Access-Token gültig
ist. Eine Einschränkung
bzw. Eingrenzung der Zugriffsberechtigung erfolgt hierbei hinsichtlich
des Servers. Dabei ist grundsätzlich
denkbar, dass Bestandteile der Produktdaten mit unterschiedlichen
Sicherheitseinstufungen auf unterschiedlichen Servern abgelegt sind.
-
Eine
vorteilhafte Ausgestaltung der Erfindung sieht vor, dass das Access-Token
sich wie ein einmal-Passwort verhält. Dabei ist das Access-Token beispielsweise
in Form von
<ID,
CTR, CKS>
aufgebaut,
wobei ID für
eine RFID-Tag Identifikation, CTR für einen Zähler und CKS für eine Prüfsumme stehen.
Die Prüfsummme
CKS ist eine auch Message Authentication Code genannte, kryptographische
Prüfsumme,
die mit einem der Datenbank und dem RFID-Tag bekannten kryptographischen
Schlüssel
berechnet wird. Das Access-Token erhöht den Zähler CTR bei jedem Ausstellen
eines Access-Token. Dabei gilt:
CKS:=F(key, <ID, CTR>)
-
Wobei
F eine so genannte keyed one-way function ist. Das Access-Token
besteht aus den Daten <ID,
CTR, CKS>. Der Server
oder die Datenbank überprüft das Access-Token
auf Korrektheit mithilfe seines der ID zugeordneten Keys. Stimmt
der CKS-Wert des RFID-Tokens mit dem selbst errechneten überein und
ist der CTR größer als
ein bereits der ID zugeordneter, wird der Zugriff akzeptiert.
-
Dabei
ist denkbar, dass jeweils nur ein Access-Token als gültig akzeptiert
wird, welches neuer als ein zuvor verwendetes Access-Token ist.
Alternativ oder zusätzlich
hierzu ist denkbar, dass eine bestimmte Anzahl von älteren Access-Tokens
und damit von Access-Tokens mit niedrigeren Countern als gültig akzeptiert
werden. Eine weitere Möglichkeit
ist, dass unabhängig
vom Alter eines Access-Tokens und damit unabhängig von einem letzten Counter-Wert
jedes Access-Token und damit jeder Counter-Wert nur einmal akzeptiert
wird.
-
Das
Alter eines Access-Tokens kann durch einen auch als Counter-Wert
bezeichneten Zähler-Wert
festgelegt werden.
-
Das
Alter bzw. die Gültigkeit
eines Access-Tokens kann anstelle von durch einen auch als Counter-Wert
bezeichneten Zähler-Wert
auch durch eine Nonce und/oder eine Pseudozufallszahl festgelegt
werden. Alternativ zu der Lösung
mit dem Counter kann der Server eine Nonce N in Form beispielsweise
einer Pseudozufallszahl an den RFID-Leser schicken, der diese an
das RFID-Tag überträgt. Das Access-Token
besteht dann aus einem Tupel <ID,
N, CKS>, wobei hier
CKS zu CKS:=F(key, <ID,
N>) bestimmt wird,
also als Prüfsumme
aus der ID und der Nonce N.
-
Eine
vorteilhafte Ausgestaltung der Erfindung sieht vor, dass das Access-Token
automatisch ausgestellt wird.
-
Eine
andere vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
das Access-Token auf Anfrage ausgestellt wird, beispielsweise erst
wenn der Server und/oder die Datenbank einen Nachweis darüber verlangt,
dass sich das Produkt innerhalb des Verfügungsbereichs des Zugreifenden
befindet.
-
Der
Server oder die Datenbank kann die Auswahl anhand bekannter statischer
Regeln treffen und nur bei fragwürdigen
Zugriffen eine weitere Autentisierung oder Autorisierung durch das RFID-Tag
verlangen.
-
Eine
zusätzliche
vorteilhafte Ausgestaltung der Erfindung sieht vor, dass der Server
oder die Datenbank die Rechte eines bestimmten Teilnehmers oder
Zugreifenden anhand von mehreren Access-Tokens bestimmt, beispielsweise
entweder von einem RFID-Tag, oder von mehreren verschiedenen.
-
Eine
besonders vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
ein erstes RFID-Tag ein Access-Token stellvertretend für ein zweites RFID-Tag
erstellt. Dabei ist denkbar, dass das von dem ersten RFID-Tag erstellte
Access-Token auch für
einen Server- und/oder Datenbankzugriff auf einem durch das zweite
RFID-Tag identifizierten Produkt zugeordnete Produktdaten gültig ist.
Von Vorteil ist hierbei, dass nur ein erstes RFID-Tag innerhalb
einer Gruppe oder eines Verbunds mehrerer RFID-Tags ein Access-Token
ausstellen können muss.
Die verbleibenden zweiten RFID-Tags innerhalb der Gruppe oder des
Verbunds können
einfache RFID-Tags sein, die nur ihre Identität, beispielsweise ihre EPC
melden.
-
Eine
weitere vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
Identifikation und Access-Token getrennt zwischen RFID-Tag und RFID-Leser übertragen
werden.
-
Eine
zusätzliche,
besonders vorteilhafte Ausgestaltung der Erfindung sieht vor, dass
Identifikation und Access-Token gemeinsam zwischen RFID-Tag und
RFID-Leser übertragen
werden, wobei die Identifikation im Access-Token enthalten ist,
und deshalb nicht separat übertragen
werden muss.
-
In
den beiden letzt genannten Fällen
handelt es sich bei der Identifikation um eine Nummer, wie etwa
einen EPC, durch die ein mit einem RFID-Tag versehenes Produkt sowie
die dem Produkt zugeordnete Produktdaten identifiziert werden.
-
Ausführungsbeispiele
der Erfindung werden nachfolgend anhand der Zeichnung näher erläutert. Dabei
zeigen:
-
1 eine
schematische Darstellung einer auf die wesentlichen Komponenten
reduzierten Einrichtung zur Durchführung eines erfindungsgemäßen Verfahrens,
-
2 eine
schematische Darstellung eines verteilten Netzwerks zur Durchführung eines
erfindungsgemäßen Verfahrens,
sowie
-
3 eine
schematische Darstellung des zeitlichen Ablaufs von bei der Durchführung des
erfindungsgemäßen Verfahrens
auftretenden RFID-Ereignissen zwischen RFID-Tag, RFID-Leser und
Produktdaten-Server bzw. -Datenbank.
-
Eine
in 1 dargestellte Einrichtung 01 besteht
aus einem RFID-Tag 02, einem RFID-Leser 03 sowie
einem Produktdaten-Server 04,
auf dem Produktdaten beispielsweise in einer Produktdaten-Datenbank
abgelegt sind. Das beispielsweise auf einer Produktverpackung beispielsweise
in einem Etikett aufgebrachte RFID-Tag ist im Wesentlichen ein Transponder
umfassend eine Antenne, einen analogen Schaltkreis zum Empfangen
und Senden, sowie einen digitalen Schaltkreis und einen permanenten Speicher.
RFID-Tags 02 können über einen
mehrfach beschreibbaren Speicher verfügen, in den während der
Lebensdauer Informationen abgelegt werden können. Zumindest der digitale
Schaltkreis und der Speicher sind vorzugsweise in Form eines Mikrochips
ausgeführt.
-
Der
RFID-Leser 03 erzeugt ein hochfrequentes elektromagnetisches
Wechselfeld geringer Reichweite, vorzugsweise mit Induktionsspulen,
welches die Antenne des RFID-Tags beleuchtet. Damit werden nicht
nur Daten übertragen,
sondern auch das RFID-Tag 02 mit Energie versorgt. In der
Antennenspule entsteht, sobald sie in das elektromagnetische Wechselfeld kommt,
ein Induktionsstrom. Dieser Induktionsstrom wird gleichgerichtet
und damit ein Kondensator als Kurzzeitenergiespeicher aufgeladen,
welcher für
den Lesevorgang die Stromversorgung des Mikrochips besorgt. Sollen
größere Reichweiten
erzielt werden und spielen die Kosten des RFID-Tags 02 eine
untergeordnete Rolle, können auch
aktive RFID-Tags mit eigener Stromversorgung eingesetzt werden.
Bei aktiven RFID-Tags übernimmt
eine eingebaute Batterie die Stromversorgung. Bei halb-aktiven RFID-Tags übernimmt
die Batterie lediglich die Versorgung des Mikrochips.
-
Der
so aktivierte Mikrochip im RFID-Tag 02 empfängt Befehle
vom RFID-Leser 03, die dieser in sein elektromagnetisches
Wechselfeld moduliert. Der Mikrochip erzeugt eine Antwort und moduliert beispielsweise
durch Feldschwächung
im kontaktfreien Kurzschluss oder per Reflexion des vom RFID-Leser 03 ausgesendeten
Wechselfeldes. Damit sendet das RFID-Tag 02 seine eigene,
vorzugsweise unveränderliche
Seriennummer, weitere Nummern wie etwa den EPC des mit dem RFID-Tag 02 versehenen
und damit gekennzeichneten Produkts sowie andere vom RFID-Leser 03 abgefragte
Daten, insbesondere ein Access-Token.
-
Der
RFID-Leser 03 enthält
vorzugsweise eine Software in Form eines Mikroprogramms, das den
eigentlichen Leseprozess steuert und eine RFID-Middleware mit Schnittstellen
zu weiteren EDV-Systemen und Datenbanken, insbesondere zu der Produktdaten-Datenbank
auf dem Produktdaten-Server 04.
-
Bei
der Einrichtung 01 findet eine Bearbeitung der RFID-Ereignisse, das heißt Abfrage
oder Änderung
von auf dem RFID-Tag
gespeicherten Daten, Abfrage eines Access-Token sowie Anfrage einer
Datenbankabfrage oder -änderung
direkt durch den RFID-Leser statt. Wichtig ist hervorzuheben, dass
die Lese- und Bearbeitungsfunktionalitäten auch
auf separaten Komponenten verwirklicht werden können.
-
Ein
in 2 dargestelltes verteiltes Netzwerk 05 zur
Abfrage und Änderung
von Produktdaten besteht aus drei RFID-Lesern 06 zur Abfrage
von RFID-Tags 12 in einem Partner-Netzwerk 07.
In dem Partner-Netzwerk 07 findet auch eine Bearbeitung von
RFID-Ereignissen statt, das so genannte RFID Event Processing. Das
RFID Event Processing wird von einem separaten Server 13 im
Partner-Netzwerk 07 verwaltet. Durch Firewalls 08 getrennt
wird ein Produktdaten-Server 09, auf dem Produktdaten in
einer Produktdaten-Datenbank abgelegt sind, und der sich in einem
Hersteller-Netzwerk 10 befindet, über ein Verbindungsnetzwerk 11,
beispielsweise über das
Internet 11, fernabgefragt. Zwischen den Firewalls 08 kann
beispielsweise ein Virtuelles Privates Netzwerk (VPN) aufgebaut
sein, um die Daten während
der Übertragung über das
Verbindungsnetzwerk 11 zu schützen.
-
Ein
erfindungsgemäßes Verfahren
läuft in der
in 1 dargestellten Einrichtung 01 ebenso
wie in dem in 2 dargestellten verteilten Netzwerk
wie folgt ab:
Die Produktdaten eines oder mehrerer Produkte
sind in einer Produktdaten-Datenbank auf einem Produktdaten-Server
abgelegt. Ein Produkt ist durch eine Produkt-Identifikation, kurz
eine Produkt-ID gekennzeichnet, beispielsweise durch einen EPC,
der es erlaubt, den einem Produkt zugeordneten Datensatz zu identifizieren.
Die Produkt-ID wird von einem RFID-Tag bereitgestellt. So kann ein
Zugriff auf die einem Produkt zugeordneten Produktdaten der Datenbank
erfolgen, je nach Anwendungsfall um zu lesen und zu schreiben, oder
um zu lesen oder um zu schreiben. Dabei erfolgt eine Authentisierung
und Berechtigungsprüfung
des Zugreifenden beim Zugriff auf die Datenbank.
-
Erfindungsgemäß wird nun
zusätzlich
beim Datenbankzugriff ein Nachweis verlangt, dass sich das Produkt
im Verfügungsbereich
des Zugreifenden befindet. Dazu wird vom RFID-Tag dem RFID-Leser ein Access-Token
bereitgestellt. Das Access-Token ist eine Datenstruktur, durch die
das RFID-Tag den Empfänger
bzw. Zugreifenden, beispielsweise den RFID-Leser, ermächtigt,
auf die dem RFID-Tag zugeordneten, auf einem Server abgelegten Produktdaten zuzufragen,
was bedeutet, je nach Anwendungsfall die Produktdaten abzufragen
oder zu ändern.
Dieses Access-Token
wird der Datenbank bzw. dem Server mit der Anfrage vorgelegt, um
Zugriff auf den dem Produkt zugeordneten Datensatz zu erlangen.
-
Das
Access-Token kann in unterschiedlich komplexer Art ausgestaltet
sein:
- – Es
bezieht sich immer auf ein bestimmtes RFID-Tag, d. h. ist nur gültig zur
Abfrage der Produktdaten desjenigen Produkts, das dem RFID-Tag zugeordnet
ist. Im einfachsten Fall ist dies ein statisches Passwort. Das resultierende Sicherheitsniveau
ist vergleichbar mit dem Wissen um die Produkt-ID, beispielsweise
den EPC, unter der Voraussetzung, dass diese nicht kontinuierlich,
sondern zufällig
vergeben wird.
- – Es
bezieht sich zusätzlich
auf einen bestimmten RFID-Leser
bzw. auf die Organisationseinheit des RFID-Lesers. Dabei ist auch
eine Gruppe von Lesern vorstellbar. Dazu überträgt der RFID-Leser bei der Abfrage
eine Abfrage-Identifizierung,
die den RFID-Leser bzw. dessen Organisationseinheit, bzw. eine Gruppe
von RFID-Lesern kennzeichnet. Diese wird vom RFID-Tag in das Access-Token
eingebaut. Dadurch wird die Verwendungsmöglichkeit und damit auch eine
potentielle Missbrauchsmöglichkeit
weiter eingeschränkt. Beim
Zugriff auf die in einer Datenbank beispielsweise auf einem Server
abgelegten Produktdaten erfolgt zusätzlich eine Authentisierung
des Zugreifenden, beispielsweise einem RFID-Leser oder einem Server
der Organisationseinheit, und es wird überprüft, ob die durch die Authentisierung überprüfte Identität des Zugreifenden
zu der im Access-Token enthaltenen Abfrage-Identifizierung passt,
beispielsweise Identität.
- – Es
erfolgt eine zeitliche Beschränkung:
Im einfachsten Fall wird ein Zählerwert,
der für
jedes ausgestellte Access-Token erhöht ist, verwendet. Die Datenbank
speichert den jeweils nächsten Zählerwert
und erlaubt nur Access-Tokens mit einem höheren Zählerwert, als der hin terlegte.
So wird erreicht, dass alle vorher ausgestellten Access-Tokens ungültig sind.
- – Das
Access-Token kann auch die Anzahl der erlaubten Abfragen beinhalten,
um es dem RFID-Leser zu ermöglichen,
ohne erneuten Lesevorgang des RFID-Tags eine bestimmte Anzahl an
Lese-/Schreibvorgängen
durchzuführen.
Diese Anzahl kannn auch durch den Server vorgegeben sein.
- – Das
Access-Token kann auch eine Berechtigung zum Zugriff auf nur bestimmte
Bestandteile der Produktdaten bzw. auf nur bestimmte Elemente des
die Produktdaten umfassenden Datensatzes erhalten, wie etwa nur
Name und Herstellungsdatum des Produkts, nicht aber letzter Lesezeitpunkt
des RFID-Tags.
- – Das
Access-Token kann auch eine Berechtigung für bestimmte Aktionen beinhalten,
wie etwa für
Lese-/Schreibrechte
für Daten
auf dem Server.
- – Sollte
es mehrere verschiedene Server geben, welche in einer oder mehreren
verteilten Datenbanken die Produktdaten speichern, kann das Access-Token
auch eine Identifikation (ID) des Servers beinhalten, für welchen
das Access-Token gültig
ist. Eine Einschränkung
bzw. Eingrenzung der Zugriffsberechtigung erfolgt hierbei hinsichtlich
des Servers. Dabei ist grundsätzlich
denkbar, dass Bestandteile der Produktdaten mit unterschiedlichen
Sicherheitseinstufungen auf unterschiedlichen Servern abgelegt sind.
-
Dies
kann beispielsweise wie folgt erreicht werden.: Ein Access-Token
ist wie folgt aufgebaut:
<ID,
CTR, CKS>
wobei
ID für
eine RFID-Tag Identifikation (Identifier; ID), CTR für einen
Zähler
(Counter; CTR) und CKS für
eine Prüfsumme
(Checksum; CKS) stehen. Die Prüfsummme
CKS ist eine auch Message Authentication Code genannte, kryptographische
Prüfsumme,
die mit einem der Datenbank und dem RFID-Tag bekannten kryptographischen
Schlüssel
berechnet wird. Das Access-Token erhöht den Zähler CTR bei jedem Ausstellen
eines Access-Token.
-
Dabei
gilt:
CKS:=F(key, <ID,
CTR>)
-
Wobei
F eine so genannte keyed one-way function ist.
-
Das
Access-Token besteht aus den Daten <ID, CTR, CKS>. Dieses Access-Token verhält sich wie
ein Einmal-Passwort. Der Server oder die Datenbank überprüft das Access-Token
auf Korrektheit mithilfe seines der ID zugeordneten Keys. Stimmt
der CKS-Wert des RFID-Tokens mit dem selbst errechneten überein und
ist der CTR größer als
ein bereits der ID zugeordneter, wird der Zugriff akzeptiert. Weitere
Möglichkeiten
einer Gültigkeitsprüfung des
CTR sind:
- – Sliding
Window: Eine bestimmte Anzahl von älteren, und damit niedrigeren
Countern wird auch als gültig
akzeptiert.
- – Unabhängig vom
letzten Counter-Wert wird jeder Counter-Wert nur einmal akzeptiert.
-
Alternativ
zu der Lösung
mit dem Counter kann der Server eine Nonce N in Form beispielsweise
einer Pseudozufallszahl an den RFID-Leser schicken, der diese an
das RFID-Tag überträgt. Das
Access-Token besteht dann aus einem Tupel <ID, N, CKS>, wobei hier CKS zu CKS:=F(key, <ID, N>) bestimmt wird, also
als Prüfsumme
aus der ID und der Nonce N.
-
Das
Access-Token kann automatisch oder auf Anfrage ausgestellt werden,
beispielsweise erst wenn der Server und/oder die Datenbank einen Nachweis
darüber
verlangt, dass sich das Produkt innerhalb des Verfügungsbereichs
des Zugreifenden befindet. Der Server oder die Datenbank kann die Auswahl
anhand bekannter statischer Regeln treffen und nur bei fragwürdigen Zugriffen
eine weitere Autentisierung oder Autorisierung durch das RFID-Tag
verlangen. Des Weiteren besteht auch die Möglichkeit, dass der Server
oder die Datenbank die Rechte eines bestimmten Teilnehmers oder
Zugreifenden anhand von mehreren Access-Tokens bestimmt, beispielsweise
entweder von einem RFID-Tag, oder von mehreren verschiedenen.
-
Eine
weitere Möglichkeit
besteht darin, dass ein erstes RFID-Tag ein Access-Token stellvertretend für ein zweites
RFID-Tag erstellt. Dabei ist denkbar, dass das von dem ersten RFID-Tag
erstellte Access-Token auch für
einen Server- und/oder Datenbankzugriff auf einem durch das zweite
RFID-Tag identifizierten Produkt zugeordnete Produktdaten gültig ist.
Von Vorteil ist hierbei, dass nur ein erstes RFID-Tag innerhalb
einer Gruppe oder eines Verbunds mehrerer RFID-Tags ein Access-Token ausstellen
können
muss. Die verbleibenden zweiten RFID-Tags innerhalb der Gruppe oder des Verbunds können einfache
RFID-Tags sein, die nur ihre Identität, beispielsweise ihre EPC
melden.
-
Der
zeitliche Ablauf der RFID-Ereignisse bei einer RFID-Abfrage ist in 3 dargestellt.
Kommt ein RFID-Tag 14 in Reichweite eines RFID-Lesers 15 stellt
der RFID-Leser in einem ersten RFID-Ereignis 17 eine Anfrage 17 an
das RFID-Tag 14. Die Anfrage 17 beinhaltet eine
Abfrage bzw. Anforderung einer Identifikation ID, beisielsweise
dem EPC, und eine Abfrage bzw. Anforderung eines Access-Tokens T. Hat
das RFID-Tag 14 die
Anfrage 17 erhalten, antwortet es mit einem zweiten RFID-Ereignis 18 in Form
einer Antwort 18 auf die Anfrage 17. Die Antwort 18 enthält die angefragte
Identifikation ID und ein Access-Token T. Nachdem der RFID-Leser 15 das
Access-Token T erhalten
hat, ist der RFID-Leser nun ermächtigt,
einem durch die übermittelte
Identifikation ID identifizierten Produkt zugeordnete Produktdaten
PD bei einem Produktdaten-Server 16 abzurufen.
Hierzu führt
der RFID-Leser 15 ein drittes RFID-Ereignis 19 in
Form eines Lesezugriffs 19 aus. Bei diesem Lesezugriff 19 übermittelt
der RFID-Leser 15 die Identifikation ID und das Access-Token
T an den Server 16. Der Server 16 prüft die Authentisierung
des Zugreifenden, hier dem RFID-Leser 15. Der Server 16 führt anschließend in
einem Prüfschritt 21 eine Überprüfung des
Access-Tokens T durch. Der Server 16 erkennt anhand des
Access-Tokens T, dass sich das Produkt, bzw. das RFID-Tag 14 im
Verfügungsbereich
des RFID-Lesers 15 befindet. Bei gültigem Access-Token T übermittelt
der Server 16 daraufhin in einem vierten RFID-Ereignis 20 in
einer Antwort 20 an den RFID-Leser 15 die angefragten Produktdaten
PD oder Teile hiervon. Identifikation ID und Access-Token T werden
dabei getrennt zwischen RFID-Tag 14 und RFID-Leser 15 übertragen. Wichtig
ist hervorzuheben, dass Identifikation ID und Access-Token T auch
gemeinsam zwischen RFID-Tag 14 und RFID-Leser 15 übertragen
werden können,
wobei die Identifikation ID dann im Access-Token T enthalten ist,
und deshalb nicht separat übertragen
werden muss.