毕业设计

（英文资料翻译）

英文题目： Risk adaptive hybrid RFID access control system

中文题目： 风险自适应混合RFID访问控制系统

学院 (系)： 自动化学院

专业班级： 自动化1502班

学生姓名： 刘阳

指导教师： 张素文

风险自适应混合RFID访问控制系统

Malek Al-Zewairi¹， Jarsquo;far Alqatawna²* and Jalal Atoum¹

1 苏美亚公主科技大学侯赛因国王计算科学学院，约旦安曼，11941

2约旦大学阿卜杜拉国王信息技术学院，约旦安曼，11942

摘要：动态环境对传统的访问控制模型提出了挑战，在传统的访问控制模型中，权限的授予或撤销只取决于预先确定的静态访问策略，这使得它们无法动态地适应变化的环境。风险自适应访问控制模型作为一种克服传统访问控制模型局限性的替代方法，越来越受到学术界的关注。射频识别（RFID）技术是一种新兴的，由于其非接触式、低成本、高读写速度和远距离通信等特点，广泛应用于物理和逻辑访问控制系统的技术。无服务器RFID系统结构体系提供了更好的可用性保证和更低的实施成本，而在基于服务器的体系结构中，访问权限管理变得更容易。在本研究中，我们在之前的RFID访问控制系统的隐私和安全研究的基础上继续深入，在没有后端数据库情况下，为了克服传统访问控制模型的局限性，我们提出了一种风险自适应RFID访问控制系统的混合设计方案；也就是说，在有线（基于服务器）和离线（无服务器）两种控制模式之间动态切换，基于规则的风险场景和当前风险值来适应风险级别。该设计结合了无服务器和风险自适应访问控制系统的特点。

关键词：风险适应；访问控制；RFID（射频识别）；安全；

1. 简介

访问控制系统往往代表着系统整体安全的第一道防线和瓶颈。主要是保护系统的接入点，其可用性反映了系统整体的可用性。大多数传统的访问控制模型，如自主访问控制（DAC）、Manda- tory访问控制（MAC）和基于角色的访问控制（RBAC），主要关注如何以一种精确的方式定义用户的权限，以防违背系统的访问控制策略^[1]。对于DAC，每个对象都有一个负责授予和撤销该对象权限的所有者。在Unix、类Unix和Windows操作系统上的文件系统权限是使用DAC系统的很好的例子。另一方面，在MAC系统中的每个对象都被分配了一个安全标签，该标签反映了其分类等级，而且每个主体都有一个安全许可，表明其授权级别。在RBAC系统中，只向主体授予执行操作功能所需的权限。^[2]

然而，传统的访问控制模型无法动态地适应变化的条件，因为访问是授予或撤销是取决于预先确定的静态策略，这可能会引入各种风险场景^[3,4]。例如，万一主治医生突然不在，可能需要向他/她的非主治医生授予对患者医疗记录的临时访问权限，或者一些组织在骚乱事件期间需要限制访问权限，这在传统的访问控制模型中是不能做到的。因此，传统的访问控制模型不适用于访问权限需要受时间、环境、情景、操作或基于风险因素影响的^[5,6]，需要根据多种因素提高或降低访问权限的动态环境。当需要根据多种因素调整访问权限的动态环境时，传统访问控制模型的局限性使其不再适用于这种情况^[3-8]。

风险自适应访问控制的概念是当前研究的一个新兴课题，其目的是通过在权限的授予或拒绝访问的风险与其整体利益之间进行平衡，动态地调整访问控制决策。它的安全性在美国国防部全球信息网（GIG）等关键系统中得到了验证，但它在商业和医疗应用中仍具有巨大的潜力。

在访问控制模型中引入风险自适应技术是在访问控制决策过程中通过引入风险评估来克服传统访问控制模型的局限性的一种替代方法。当接收到访问请求时，除了传统的访问控制策略外，系统还会计算批准或拒绝该请求的风险，并使用它来作出裁决^[8]。这种对访问控制中的安全风险的利用，使得系统能够处理紧急事件并适应当前的情况，这最终转化为更好地适应操作需求^[7]。

射频识别（RFID）是一种非接触式无线通信技术，其基本形式包括标记和识别器。它已被集成到多种应用中，例如人类识别，货运跟踪，电子货币交易，公交刷卡和电子游戏，并且它被广泛用于访问控制系统以保护物理和逻辑访问^[10-13]。

RFID系统架构的复杂程度因应用类型，安全要求和工作环境而异。 因此，每个RFID系统在其组件和子系统中可以是不同的。 国家标准技术研究所（NIST）发布了一个保护RFID系统的指南，该指南确定了三个子系统，即射频（RF），企业和企业间子系统^[14]。

在访问控制系统中，当RFID被使用时，通常需要一个后端数据库系统来存储访问控制信息。在这种情况下，系统的可用性将与包含后端数据库和访问控制决策机制的企业子系统的可用性关联^[15]。

其他系统采用无服务器方法，省略了企业子系统在提供访问控制和依赖RF子系统方面的作用，从而为更好的可用性提供了保证^[16-23]。

在本研究中，我们的目标是提出一种新的风险自适应混合RFID门禁控制系统，以克服我们以前的工作中发现的局限^[16]。通过在两种访问控制模式之间动态交替，所提出的设计结合了无服务器和风险自适应访问控制系统的优点：在线（基于服务器）和离线（无服务器）以适应风险等级; 因此，名称“混合”。

本文的其余部分的结构如下。在第二节中，我们研究了无服务器RFID和风险自适应访问控制的最新研究。在第3节中，我们简要概述了之前关于无后台数据库的RFID访问控制系统的研究的优势和局限性。在第4节中，提出了设计方案，并在第5节中进行了评价和讨论。第六部分给出了结论、局限性及今后的工作。

2．文献综述

2.1 无服务器RFID系统

Tan等^[17]引入了第一个不依赖后端数据库服务器进行身份验证的无服务器RFID身份验证协议，因而命名为“无服务器”。它们的协议在识别器(读取器)和应答器之间提供无服务器的相互身份验证(读取器到标记和标记到读取器) 来质询和响应。尽管如此，协议的可扩展性很差，并且在认证之后，标签信息很容易受到窃听攻击^[15]。此外，这还减少了提供相互身份验证的要求^[18]。

Kim等人^[19]提出了一种无服务器RFID认证协议来克服可跟踪性问题^[17，20]。在此协议中，受信任方负责在设置阶段将应答器分配给预定义的组。每个询问器都有一个基于预定义的应答器组及其对应的假名创建的不同访问列表。因为本协议转发器将回复被审讯者的组标识符，对手可以窃听这个反应和识别应答器根据其组织如果没有其他转发器同一组的那一刻，因此，妥协的匿名性质转发器。

Yin和Li^[21]提出了一种提供匿名无服务器相互认证的协议。该协议依赖于加密功能，即加密/解密，以提供所需的认证。它要求每个标签都有一个随机数生成器，执行逻辑运算（XOR）和连接操作；但是，它将加密/解密功能从标签转移到读取器上，这有助于降低标签成本。另一方面，该协议要求在每次成功的认证尝试之后在标签上执行认证所需的数据以在标签上进行更新，这使得标签容易受到同步攻击。

Xie等人^[22]在无服务器协议中解决了移动RFID识别器的隐私问题，其中识别器器标识符的保密性常常被忽略，使得识别器可以被识别和跟踪^[22]。他们提出在使用无服务器的身份验证或搜索协议之前调用两个“预协议”，以便将识别器标识符安全地发送到标记上。这两个预协议使用单向哈希函数从标签的标识符生成随机会话密钥，并使用随机盐对读取器标识符进行加密。

Jialiang等人^[23]提出了在无服务器环境中验证和搜索RFID标签的两种协议。他们声称他们的协议保护了读写标识符不受追踪；然而，由于身份验证的协议会在身份验证的第一步将现在的读卡器标识符的散列值发送到标签上，因此对手可以很容易地获得该识别器标识符。

2.2 基于风险适应性的方法

Chen和Crampton^[24]在RBAC系统中提出了一组基于图形的风险感知模型。每个模型在测量和计算风险值的方式上是不同的；但是，所有模型都在权限级别上定义了风险，这意味着风险与用户权限配对，用户权限提供深层次的访问控制。此外，在RBAC系统中定义了三个不同的风险因素，包括请求者的可信度、用户角色分配的能力和许可角色分配的适当性。

Baracaldo和Joshi^[5]提出了一个有趣的框架，旨在处理基于RBAC模型的内部威胁。他们的框架利用用户的行为来衡量他/她的信任级别，与分配给该特定用户的角色集相关的风险，与激活这些角色所获得的权限相关的风险以及通过以下方式推断敏感信息的风险 未授权用户。有趣的是，该框架不断测量用户信任级别，并且能够在用户恶意行为的情况下撤销其权限，从而主动防止滥用授予用户的权限。

Bijon等人^[25]采用了一种不同的方法，在这种方法中，他们首先确定了RBAC模型中的组件，这些组件可以进行修改并具有风险意识。它们识别了三个组件，即用户角色分配过程（为用户分配角色的过程），权限角色分配过程（为角色分配权限集的过程）和远程信息连接。然后，基于三个识别组件，提出了风险感知RBAC模型的框架。在他们的框架中，他们区分两种类型的风险感知方法，适应性和非适应性。在自适应量化风险感知方法中，当检测到系统中的异常行为时，不同RBAC组件中的风险值可能经常变化。相反，在非自适应量化风险感知方法中，针对每个风险感知组件估计风险值，并且基于风险值动态地进行访问决策。此外，引入了自适应风险感知RBAC会话模型的正式规则，并将其用于扩展NIST核心RBAC模型。

3.先前的设计

在这项工作中，我们以之前的研究为基础^[16]，提出了一种RFID访问控制系统，该系统免除了后端数据库的使用，并依靠RF子系统来执行访问控制功能。RFID标签用作内存转储以存储加密的访问控制信息。 特殊的RFID识别器用于执行对称加密函数，验证标签并做出访问决策。标签的持有者头部图像由安保人员验证当前的标签持有者身份。随机生成的salt值和验证的标记标识符与头部图像一起传递给加密的哈希函数，读取器使用哈希值确保标记未被篡改。对称密钥存储在识别器上的防篡改IC存储器上。

之前的设计具有多项优势，因为它几乎可与任何低成本RFID标签联用，通过执行后端数据库提高系统的整体可用性，通过加密访问控制保持高水平的安全性和隐私控制并降低总体成本以及系统的复杂性和实施时间。然而，它引入了访问权限管理方面的新问题（即撤销和更改访问权限，单一授权级别，增加数据传输时间和可信任的人类真实性控制）。这些限制极大地影响了它的可用性。表1总结了这些局限性。

4.方案设计

先前设计中的限制可能会极大地影响系统的可用性。为了克服这些问题，我们引入了一种新的风险自适应混合RFID访问控制系统，该系统结合了无服务器和风险自适应访问控制系统的优点。我们相信，与前一代产品相比，这种设计将提供更高的性能，具有更好的可扩展性和更高的安全性。方案的设计将在后续章节中讨论。

4.1系统架构

文献^[14]中定义的RFID系统架构被改编为将设计的基线。然后将一个名为“风险引擎”的多模块子系统引入到企业子系统中。风险引擎由三个主要模块组成:风险规则模块、风险分析模块和决策模块。

表I. 我们先前设计的局限性

风险规则模块负责定义“风险策略”，其中包括三个组成部分：基于规则的if-the

资料编号：[3783]