CN101803273B - 执行加密计算的方法 - Google Patents

Abstract

依据加密算法，在电子器件中执行加密计算，该加密算法包括至少一个单向函数的应用，依据对该电子器件的一次入侵而禁用该单向函数。该单向函数基于对应于第一密钥的第一仿射运算。通过获取(11)第一和第二随机值(r，r’)、然后通过应用对应于第二密钥的第二仿射运算(σ_K1)而获取第一结果(13)，该单向函数被应用于该第一和第二随机值的第一组合(12)，以及其后通过应用对应于第三密钥的第三仿射运算(σ_K2)而获取(14)第二结果，该单向函数被应用于所述第一结果。第三和第二仿射运算的组合(σ_K2 o σ_K1)对应于第一仿射运算；此外加密运算被应用于(15)所述第二结果以及第一和第二随机值的第二组合的至少其中之一。

Description

执行加密计算的方法

本发明涉及对电子器件，特别是基于POK(“Physically ObfuscatedKeys”，物理模糊密钥)类型的技术构建的电子器件中的密钥的管理。

加密算法使得基于对一个或多个密钥的使用来确保数据的机密性成为可能。这些数据的机密性的安全等级依赖于在依据该加密算法所实现的加密运算的过程中所使用的这些密钥的机密性的安全等级。

当加密密钥存储于电子器件时，通过该电子器件自身的侵入方法，以一种欺骗的方式可以轻易地得到它的值。一旦拥有该存储的密钥，然后就能够存取原本打算保持机密的数据。

就此而论，为了提高加密数据的安全等级，必须提高存储的密钥的保护等级。

在这方面，2003年2月，Blaise Gassend发表了其硕士论文“Physical Random Functions”。在该文献中定义了“物理模糊密钥”或POK类型的密钥，通过对输入值应用不可克隆的函数来获取该密钥。这些不可克隆的函数一方面有着确定的特征，另一方面又难以描述这些函数的特征。此外，一旦对于该电子器件入侵，这些函数有着可被销毁的特性。

在上述文献中，这些函数被称为PUFs(“Physical UnclonableFunctions”)，即“物理不可克隆函数”。

对于同一输入值，这种PUF函数总是提供相同的结果值。然而，不能够从这一结果值中反向找到该输入值，并且在对一特定输入值首次应用该PUF函数获取该结果值之前，也不能够为该特定输入值预先确定该结果值。

因此POK类型的密钥是通过应用不可克隆的函数而获取的。就此而论，POK类型的密钥K可依据以下等式来获取：

$K=f\left(c\right)\⊕K^{,};$

其中f是PUF类型的函数；以及

c是存储于该电子器件的一给定值，或者称为“挑战”(“challenge”)；以及

其中K’是存储于该电子器件的密钥，在该电子器件中实现对于密钥K的获取。

此外，POK类型的密钥的特征是任何入侵对于它来说都是破坏性的。因此，一旦检测到试图对该电子器件进行入侵，所述电子器件中执行该PUF类型函数f的装置便被禁用。

为了提高POK类型密钥K的机密性的安全等级，有利地，应用基于该密钥K的加密运算的形式是分别基于两部分密钥K₁和K₂的两个加密运算，这两个加密运算被连续执行。

单独考虑每一个加密运算，都不能展示任何关于密钥K的值的信息。

在这些情况下，对于加密器件的一次入侵袭击最多仅能提供两部分密钥K₁和K₂的其中之一。因此，这样的袭击不可能完整地恢复POK类型的密钥K。

如Blaise Gassend在上述文献中所记载的，以两个加密运算的形式来实现基于密钥K的加密运算并不容易，特别是当对于使用同一密钥K的不同加密器件，要求两部分密钥K₁和K₂是不同的时。

在这一文献中，为此提出，在使用Rivest-Shamir-Adleman或RSA类型算法的情况下，通过操作形式为两部分密钥的组合的POK类型密钥K来确定两部分密钥K₁和K₂。然而并不是在所有电子器件中执行RSA类型的算法都是容易的，特别是当电子器件只有相当小的计算容量时，因为RSA类型算法的执行是复杂的。

本发明的目的是使得在不同类型的电子器件中执行加密运算成为可能。

本发明的第一方面提出了一种依据给定的加密算法在电子器件中执行加密计算的方法，该加密算法包括至少一个单向函数的应用，依据对该电子器件的一次入侵而禁用该单向函数；所述单向函数基于第一仿射运算(σ_K)，该第一仿射运算对应于第一密钥(K)；

所述方法包括与所述单向函数的应用相关的以下步骤：

/a/获取第一和第二随机值(r，r’)；

/b/通过对第一和第二随机值的第一组合应用第二仿射运算(σ_K1)来获取第一结果，第二仿射运算对应于第二密钥；

/c/通过对第一结果应用第三仿射运算(σ_K2)来获取第二结果，该第三仿射运算对应于第三密钥；

其中第三和第二仿射运算的组合(σ_K2οσ_K1)对应于第一仿射运算(σ_K)；以及

其中加密运算被应用于所述第二结果以及第一和第二随机值的第二组合的至少其中之一。

在本发明的一个实施例中，由于其使用POK执行，该单向函数被禁用。

该第二组合可能相同于或不同于该第一组合。

通过以这种方式进行，使第一仿射运算对应于第一密钥，该第一仿射运算可为一线性运算。然后，以两个连续仿射运算的方式来应用该第一仿射运算，并在其后要么对前面获取的结果，要么对两个随机值的另外一个组合，执行加密运算。

在上述这些情况的任何一种情况下，加密运算的应用能够获取加密的总体结果。在其中一种情况下，该加密的总体结果对应于第二加密结果。在另一种情况下，该加密的总体结果分为两部分，第一部分是获取的第二结果，并且第二部分对应于两个随机值的加密的组合。

在这里，术语“组合”的意思是指能够将两个值进行组合的任何一种应用，例如将两个值首尾相接(end-to-end)、或者“异或”运算，或其他可将两个值变成一个的应用。

下文中，使用的多个值的组合被标记为“comb_i”，i是一整数索引。可能会提供相同、相似或不同的组合的使用。

凭借这些方法，通过将基于该密钥的单向函数的应用分割为两个连续的加密子运算(sub-operations)，能够保护用于加密数据的密钥的机密性。

为了发现该密钥，然后必须找回这两个加密子运算。

对于POK类型这一情况，其中依据对于该电子器件的一次入侵，应用该单向函数的装置被销毁，或被禁用，该电子器件可以以第二仿射运算被发现的方式被打开。然而在这一情况下，第三仿射运算可以不再被发现。

在另一种情况下，可以设想该电子器件以第三仿射运算被发现的方式被打开。然而在这种情况下，不能被确定的是该第二仿射运算。

因此，在这些条件下不可能在该电子器件的硬件基础上发现第一加密运算。

应指出，通过考虑依据第一仿射运算的密钥，可容易地确定多个被连续应用的第二和第三仿射运算对，使得以两个连续的步骤来完成第一仿射应用成为可能。因此，通过两个连续的步骤来执行对数据的加密，可容易地基于POK类型的密钥来加密数据，这种执行从而能够在任意类型的电子器件中进行，包括那些不具有很大的计算能力的电子器件。

该加密运算可对应于哈希函数或伪随机函数。例如，有利地，该函数的执行可利用对称的加密函数，例如AES，即“高级加密标准”(“Advanced Encryption Standard”)。

在本发明的一个实施例中，当该加密运算应用于第二结果时，该第一、第二和第三仿射运算可对应于线性位级置换(linear bit-levelpermutations)。

在这种情况下，第一和第二随机值的组合对应于将第一和第二随机值作为输入的加密运算的应用。

在后的加密运算也可对应于哈希函数。

在一个实施例中，第一和第二随机值的组合对应于第一和第二随机值之间的“异或”运算(“exclusive or”operation)的应用。

在一个变化实施例中，当该加密运算应用于第一和第二随机值的第二组合时，该第一、第二和第三仿射操作分别对应于与第一、第二和第三密钥的“异或”运算，从而该第一密钥等于第二和第三密钥之间“异或”运算的结果。

这样的执行加密计算的方法能够有利地应用于识别无线标签的方法的情形中。因此其能够有效地保护已被分配给该无线标签的密钥的机密性。

因此，本发明的第二方面提出了一种在识别服务器中识别无线标签的方法，该识别服务器依据一Q叉树来管理多个密钥，该Q叉树有一根结点和多个叶结点，其中Q是一大于或等于2的整数，该树上的每个叶结点对应于一个密钥；所述多个密钥中的一个密钥与所述无线标签相关；对所述无线标签进行识别的所述识别方法包括以下步骤：

/1/从所述识别服务器接收第一随机值；

/2/生成一第二随机值；

/3/基于与所述无线标签相关的所述密钥的至少一部分，通过对所述第一和第二随机值应用加密计算来获取一结果；以及

/4/将所述结果传输至所述识别服务器；

其中使用根据本发明第一方面所述的执行加密计算的方法来执行所述加密计算。

当所述密钥以多个部分的形式来表示，该多个部分分别表示从该树的根结点至相应叶结点的路径的多个部分时，针对所述密钥的所述多个部分的每一部分重复执行步骤/1/至/4/。

也可以仅重复执行步骤/3/和/4/，以避免为密钥的每一部分生成一新的随机值以及避免在合适的地方对这些值的传输。

有利地，依据下述方程式，第二密钥的每一部分可由一POK来确定：

K＝f(c)；

其中f是PUF类型的函数；并且

其中c是存储于该电子器件的一给定值，或称为“挑战”；

因此能够节省用于存储K’的存储空间，如上所述。

如上所述关于执行该加密计算的方法，在一个变化实施例中，通过对第二结果应用加密运算可以获取第三结果。在此情形下，在所述识别方法的步骤/4/中，第三结果以及由该无线标签生成的第二随机值被传输至该识别服务器。

接下来，该认证服务器拥有该第一和第二随机值以及第二加密结果，然后其能够确定哪个密钥与相应的无线标签相关并从而识别该无线标签。该确定基于一与在该无线标签上执行的计算相似的计算，然而该计算应用于由该识别服务器所管理的所有密钥。应指出，不必以相同的方式来执行这些在无线标签和识别服务器之间相似的计算。事实上，该识别服务器可基于该密钥执行该运算而并不将其分为两部分。

然后可基于对这些计算完成时获取的结果以及从该无线标签接收的结果之间的比较，来确定该无线标签是否被识别。

在另一个变化实施例中，该加密运算被应用于第一和第二随机值的第二组合。在这种情况下，在步骤/4/中，第二结果和对这些随机值的第二组合执行的加密运算的结果被传输至该识别服务器。

还是在这一变化实施例中，基于针对该识别服务器所管理的所有密钥执行的类似于在无线标签上所执行的计算的计算所获取的结果以及从该无线标签接收到的信息之间的比较，该识别服务器可确定该无线标签是否被识别，所述信息是第二结果和对r和r’的组合执行的加密运算的结果。

本发明的第三方面提出了一种适于依据给定的加密算法来执行加密计算的电子器件，该加密算法包括至少一个单向函数的应用，依据对该电子器件的一次入侵而禁用该单向函数；所述单向函数基于密钥(K)，该密钥对应于第一仿射运算(σ_K)；所述电子器件包括适于执行根据本发明的第一方面所述的方法的装置。

本发明的第四方面提出了一种包括根据本发明的第三方面所述的电子器件的无线标签，所述标签适于执行根据本发明的第二方面所述的识别方法。

本发明的第五方面提出了一种无线标签识别系统，包括识别服务器和根据本发明的第四方面所述的标签。

本发明的其他方面、目的和优点可通过阅读其中一个实施例的说明而变得更加明显、清晰。

结合附图，本发明可被更好地理解，其中：

-图1示出了根据本发明的一个实施例的执行加密计算的方法的主要步骤；

-图2示出了根据本发明的一个实施例的依据二叉树的密钥管理；

-图3示出了根据本发明的一个实施例的识别无线标签的方法的主要步骤；

-图4示出了根据本发明的另一实施例的识别无线标签的方法的主要步骤；

图1示出了根据本发明的一个实施例在一个电子器件中执行的主要步骤。

在步骤11中，第一和第二随机值r和r’被获取。本发明并不对这一步骤加以限制。具体地，如下情形是可行的，该电子器件生成两个随机值的其中之一并且从该电子器件的外部接收另一个随机值。

在步骤12中，依据组合comb_i，第一和第二随机值被组合。

在一个变化实施例中，还可以对这两个随机值r和r’的组合应用加密运算。然而这一步骤仍是可选的，根据本发明的一个实施例的方法可以基于这些随机值r和r’的任意组合进行执行，例如“异或”运算，且不应用加密运算。但是，为了更进一步地提高密钥的机密性的安全等级，在该步骤中应用加密运算例如哈希函数，是有利地。

根据本发明的一个实施例，在执行加密计算的方法中应用的该单向函数基于密钥K。认为一个仿射函数对应于该密钥K，该仿射函数例如是对输入值的第一位级置换σ_K。通过将第一仿射应用分解为至少第二和第三仿射应用的组合，分别为σ_K1和σ_K2，能够提高第一仿射应用的机密性的保护等级，以及因此可提高对应的密钥K的安全等级。在此情形下，当对该电子器件的第一次入侵发生时，单向函数的执行被立即禁用。

因此，在步骤13中，第二仿射运算σ_K1被应用于之前的步骤12完成时所获取的结果。然后，在步骤14中，第三仿射运算σ_K2被应用于步骤13所获取的结果。

最后，在步骤15中，加密运算，例如哈希函数的加密运算，被应用于步骤14获取的结果。

当步骤15完成时，通过应用一包括考虑到密钥K的单向函数的应用的方法来获取一加密结果，在执行该方法的时候，而不会危及密钥值的机密性。

在一个变化实施例中，执行于步骤15中的加密运算被应用于两个随机值r和r’的组合，该组合可不同于在步骤12中使用的组合。在这一情况下，通过应用这里所考虑的加密计算而加密的结果，一方面，对应于该第二结果，也就是说在步骤14完成时所获取的结果源于第二和第三仿射运算的组合，以及，另一方面，对应于两个随机值的加密后的组合。

在这里，第一、第二和第三仿射运算，分别为σ_K、σ_K1和σ_K2，可验证以下等式：

${\mathrm{\σ}}_K\left(x\right)=x\⊕K$

${\mathrm{\σ}}_{K1}\left(x\right)=x\⊕K_1$

${\mathrm{\σ}}_{K2}\left(x\right)=x\⊕K_2$

其中x是输入值；

其中K、K1和K2分别是第一、第二和第三密钥，其验证了以下等式：

$K=K_1\⊕K_2$

为了加密r和r’的组合，可应用哈希函数或伪随机函数。

有利地，在识别无线标签的情形下，实施根据本发明的一个实施例的执行加密计算的方法，例如在使用下述文档中描述的识别协议的类型的无线标签的情形下，该文档的名称为“A scalable，delegatablepseudonym protocol enabling ownership transfer of RFID tags”，作者为David Molnar，Andrea Soppera以及David Wagner，发表于2005年。

“RFID标签”是使用称为“无线射频识别”(“radiofrequencyidentification”)技术的无线标签。这些标签都包括与电子芯片相关的天线，以便接收和发送信息。在这种情况下，识别数据被存储于无线标签中。

在前面提到的文档中，识别中心或“可信赖中心”或“识别服务器”负责基于相关的密钥来识别无线标签。为此，它以Q叉树的形式管理着多个密钥，其中Q是大于或等于2的整数，该树的每个叶节点对应于一个密钥。密钥用从树的根节点至对应于该密钥的叶节点的路径部分的形式来表示。更具体地，例如，对于二叉树来说，表示密钥的每个路径部分通过在每个节点上指示需要从两个分支中选择哪个分支来到达期望的叶节点，来指明该树的路径。

图2示出了根据这种树对密钥的管理，这里所示的是二叉树。因此，在这样的一个识别系统中，用于识别无线标签的密钥以二叉树路径的形式来表示。

例如，在图2中用箭头指示的、对应于该树叶节点的密钥K的表示、存储和控制对应于k₀ ⁰k₀ ¹k₁ ²。

图3示出了根据本发明的一个实施例的在识别系统中执行的识别无线标签的方法的主要步骤。

这一识别系统包括无线标签31和识别服务器32，该识别服务器依据图2所示的二叉树管理密钥。

无线标签31首先从识别服务器32接收第一随机值r，然后其生成第二随机值r’。

然后它基于以树路径的方式对其密钥的表示，对第一和第二随机值应用一加密计算，并且将该加密计算的执行结果传输至识别服务器。然后后者将该加密计算应用于它所管理的树的叶节点所对应的不同密钥的各自表示。因而，基于接收到的结果与从树叶节点获取的结果之间的比较，其能够确定哪个密钥与该无线标签相关，从而可以识别该无线标签。

在此情形下，通常根据标签用途类型的分类，密钥被分配给不同的无线标签。因此，例如，如果这些无线标签用在钞票(banknotes)上，指派给给定数量纸币的密钥可对应于有着许多相同比特值的密钥。

在这种情况下，当攻击者恢复一些值时，这些值或者已经通过识别中心和例如500欧元纸币的无线标签的接口，或者通过一适合的无线标签读取器，并且当攻击者还取回了上述的对500欧元纸币的密钥的表示时，他就可能基于在识别中心和这些纸币的无线标签之间传输的信息，掌握足够信息以定位具有该值的纸币。这是因为，依赖于在密钥树中使用的分类，掌握关于密钥位置的信息可提供密钥信息，对其他依赖于相同上级节点的叶节点来说，这些密钥信息是非常有用的。

在通过Q叉树管理密钥的情况下，上述可能出现的攻击仅仅是多个攻击中的其中一例，其开始于一个无线标签的密钥的值，能够获取其他无线标签上的机密信息。

为提高附着于物理存储于无线标签的密钥的机密性的安全等级，有利地，通过使用用上述方式存储和管理关于POK类型的密钥的特性来防御任意入侵式攻击。

因此，在无线标签上实施根据本发明的一个实施例的执行加密计算的方法在这里被提出。

这样的无线标签拥有一个接收自识别服务器的随机值r，并生成另一随机值r’。然后其在步骤35中执行根据本发明的一个实施例的方法的步骤11到15。

在这里描述的一个变化实施例中，步骤15的加密运算被应用于从步骤14获取的结果。

依据该方法，对应于例如k₀ ⁰k₀ ¹k₁ ²的密钥K的路径部分被相继处理。

在所描述的实施例中，该方法包括两个随机值r和r’的组合。然后，加密运算h₁被应用于该组合，之后进行线性位置换(linear bitpermutation)运算σ_K。最后，加密运算h₂被应用于位置换运算的结果。

这一计算的结果可写为：

h₂(σ_K(h₁(comb₁(r，r’))))

其中comb₁(r，r’)是随机值r和r’的组合。

该方法被应用于路径部分k₀ ⁰，并且将获取的结果，对应于

通过消息36传输至识别服务器32。然后，该方法被应用于路径部分k₀ ¹，并且将获取的结果，对应于

通过消息37传输至识别服务器32。最后，该方法被应用于路径部分k₁ ²，并且将获取的结果，对应于

通过消息38传输至识别服务器。

为涉及所有密钥部分k₀ ⁰、k₀ ¹、k₁ ²所有步骤保留随机值r和r’，或者为密钥的每部分重新生成随机值r和r’。

然后，与该无线标签一样，服务器拥有了两个随机值r和r’。其将与由无线标签所执行的计算相似的计算应用于树中不同的密钥，直到其能够通过比较从后者获取的加密值来识别该标签。

这里应当指出，识别服务器其自身能够执行这种计算，而并不将仿射运算的执行分割成两步。因而，根据本发明的一个实施例的无线识别方法对于现存的识别服务器是兼容的。

图4示出了根据本发明的另一个实施例的识别无线标签的方法的主要步骤。在这一应用示例中，步骤15实施的加密运算被应用于两个随机值r和r’的组合。在这种情况下，有利地，两个随机值的组合对应于随机值r’。

因此，在这种情况下，如前一实施例，无线标签31并不将第二随机值传输至识别服务器32，反而其仅仅传输第二随机值的加密图像。

在根据上述执行的方法的加密计算完成时，也就是步骤41完成时，标签能够将消息42传输至识别服务器32，消息42表示r和r’加密后的组合，h’(comb₂(r，r’))，其中h’是加密函数，例如其可能是哈希函数或伪随机函数，以及其中comb₂是随机值r和r’的组合。

下面几个部分描述了仅应用于密钥的第一部分的识别方法的步骤，据此能够轻易地推断与其他部分相关的其他步骤。

通过消息43，将仿射运算

应用的结果传输给r和r’的组合。

这里，该仿射运算应用的结果可对应于密钥部分k₀ ⁰和r与r’的组合之间的“异或”运算，下述等式被验证：

${\mathrm{\σ}}^{k_0^0}=k_0^0\⊕{\mathrm{comb}}_3(r,r^{,})$

其中comb₃是r和r’的组合。

为涉及所有密钥部分k₀ ⁰、k₀ ¹、k₁ ²的所有步骤保留随机值r和r’，或者为密钥的每部分重新生成随机值r和r’。

在此示例中，为了识别无线标签，识别服务器32拥有第一随机值、两个随机值的组合的加密结果、以及根据其管理的密钥被应用的仿射运算。

基于在识别服务器32中管理的密钥、在消息42中接收的随机值r和r’的加密后的组合、消息43的内容、以及r的值，能够验证其是否获得了相同的r和r’的加密后的组合，以识别所使用的密钥。这里应当指出该识别服务器仅仅接收了r’加密后的图像。

为了确定密钥第一部分的值，可为密钥的第一部分应用以下等式：

${\mathrm{comb}}_3\left(r{,r^{,}}_1\right)=k_0^0\⊕(k_0^0\⊕{\mathrm{comb}}_3(r,r^{,}));$

${\mathrm{comb}}_3(r,{r^{,}}_2)=k_0^1\⊕(k_0^0\⊕{\mathrm{comb}}_3(r,r^{,}));$

其中

对应于接收到的消息42的内容；以及

其中comb₃(r，r’1)和comb₃(r，r’₂)是两个随机值r和r’的组合潜在的候选者。

接下来，其将与在无线标签中应用的加密运算相同的加密运算应用于r和r₁’的组合以及r和r₂’的组合。然后其比较与该加密运算相关的这些计算执行完成时所获取的两个结果，并且之后确定密钥第一部分的值。

其通过对密钥所有的部分执行相同的处理来确定整个密钥的值。

Claims (14)

1.一种依据给定的加密算法在电子器件中执行加密计算的方法，该加密算法包括至少一个单向函数的应用，依据对该电子器件的一次入侵而禁用该单向函数；

所述单向函数基于第一仿射运算(σ_K)，该第一仿射运算使用第一密钥(K)；

所述方法包括与所述单向函数的应用相关的以下步骤：

/a/获取第一和第二随机值(r，r’)；

/b/通过对第一和第二随机值的第一组合应用第二仿射运算(σ_K1)来获取第一结果，该第二仿射运算使用第二密钥；

/c/通过对第一结果应用第三仿射运算(σ_K2)来获取第二结果，该第三仿射运算使用第三密钥；

其中第三和第二仿射运算的组合(σ_K2оσ_K1)对应于第一仿射运算(σ_K)；以及

其中加密运算被应用于所述第二结果以及第一和第二随机值的第二组合的至少其中之一。

2.根据权利要求1所述的执行加密计算的方法，其中该加密运算对应于哈希函数和伪随机函数的其中之一。

3.根据权利要求1或2所述的执行加密计算的方法，其中该加密运算被应用于第二结果，并且其中第一、第二和第三仿射运算对应于位级置换。

4.根据权利要求3所述的执行加密计算的方法，其中所述第一和第二随机值的第一组合对应于将第一和第二随机值作为输入的加密运算的应用。

5.根据权利要求4所述的执行加密计算的方法，其中该加密运算对应于哈希函数。

6.根据权利要求1所述的执行加密计算的方法，其中所述第一和第二随机值的第一组合对应于第一和第二随机值之间的“异或”运算的应用。

7.根据权利要求1所述的执行加密计算的方法，其中该加密运算应用于所述第一和第二随机值的第二组合；

其中该第一、第二和第三仿射操作(σ_K，σ_K1，σ_K2)对应于分别与第一、第二和第三密钥的“异或”运算；以及

其中该第一密钥(K)等于所述第二和第三密钥(K₁，K₂)之间“异或”运算的结果。

8.一种在识别服务器中识别无线标签的方法，该识别服务器依据一Q叉树来管理多个密钥，该Q叉树有一根结点和多个叶结点，其中Q是一大于或等于2的整数，该树上的每个叶结点对应于一个密钥；所述多个密钥中的一个密钥与所述无线标签相关；对所述无线标签进行识别的所述识别方法包括以下步骤：

/1/从所述识别服务器接收第一随机值(r)；

/2/生成第二随机值(r’)；

/3/基于与所述无线标签相关的所述密钥的至少一部分，通过对所述第一和第二随机值应用加密计算来获取一结果；以及

/4/将所述结果传输至所述识别服务器；

其中使用根据前述权利要求中任一项所述的执行加密计算的方法来执行所述加密计算，且所述识别服务器基于所述传输的结果识别所述无线标签。

9.根据权利要求8所述的识别无线标签的方法，其中通过对该第二结果应用加密运算来获取第三结果；以及

其中，在步骤/4/中，第三结果和第二随机值被传输至该识别服务器。

10.根据权利要求8所述的识别无线标签的方法，其中通过对该第一和第二随机值的第二组合应用加密运算来获取第四结果；以及

其中，在步骤/4/中，所述第二结果和第四结果被传输至该识别服务器。

11.根据权利要求8至10中任一项所述的识别无线标签的方法，其中所述密钥以多个部分的形式来表示，该多个部分分别代表从该树的根结点至相应叶结点的路径的多个部分，以及

其中针对所述密钥的所述多个部分的每一部分重复执行步骤/1/至/4/。

12.一种适于依据给定的加密算法来执行加密计算的电子器件，该加密算法包括至少一个单向函数的应用，依据对该电子器件的一次入侵而禁用该单向函数；所述单向函数基于第一仿射运算(σ_K)，该第一仿射运算使用第一密钥(K)；所述电子器件包括适于执行根据权利要求1至7中任一项所述的方法的装置，其包括：

-获取装置，其获取第一和第二随机值(r，r’)；

-第一结果计算装置，其通过对第一和第二随机值的第一组合应用第二仿射运算(σ_K1)来获取第一结果，该第二仿射运算使用第二密钥；

-第二结果计算装置，其通过对第一结果应用第三仿射运算(σ_K2)来获取第二结果，该第三仿射运算使用第三密钥。

13.一种包括根据权利要求12所述的电子器件的无线标签，所述标签适于执行根据权利要求8至11中任一项所述的识别方法。

14.一种无线标签识别系统，包括识别服务器和根据权利要求13所述的标签。

Images