63、射频识别（RFID）系统中的破坏性隐私与相互认证

射频识别（RFID）系统中的破坏性隐私与相互认证

1. 游戏证明过程

在证明协议的破坏性隐私时，采用了一系列游戏的方法。在某个步骤中，将协议里的特定部分，即原本与密钥 K 相关的部分（K 如协议图 3 所示），替换为集合{(x, y, z, w) | x, y ←{0, 1}ℓ1(λ), z, w ←{0, 1}ℓ2(λ)}。由于这两个分布是不可区分的（F 是伪随机函数且密钥 K 是随机选取的），所以 |P(G5) - P(G6)| 是可忽略不计的。该证明采用反证法，与游戏 G5 的证明类似，故省略。

游戏 G7 与 G6 基本相同，唯一的区别在于 SendTag(w, vtag) 预言机的模拟方式按照遮蔽器的描述进行。不过，这并没有改变概率分布，即 P(G6) = P(G7)。可以证明 G7 实际上就是 RFIDprv−1 A,S,B。被遮蔽的对手 AB 会将每个标签视为标准的物理不可克隆函数（PUF）标签，只是使用随机的秘密密钥而非 PUF 生成的密钥。对手 A 可直接查询的 CreateTag、Draw、Free 和 Corrupt 预言机，在回答对手的查询时并不使用 PUF 生成的密钥（实际上不使用任何秘密密钥），其他预言机的回答由遮蔽器模拟，也不使用秘密密钥，所以 G7 确实是 RFIDprv−1 A,S,B。

最后，通过 PA(G0) = P(RFIDprv−0 A,S(λ) = 1) 和 PA(G7) = P(RFIDprv−1 A,S,B(λ) = 1)，将所有概率 P(Gi) 结合起来，得出 Advprv A,S,B(λ) 是可忽略的，从而证明协议实现了破坏性隐私。

2. 方法学要点

2.1 遮蔽器模拟结果预言机 <