1 引言 

　　RFID网络是在现有Intemet基础上利用RFID和数据通信等技术构建的一个包含万事万物的“信息网络”。该网络中的实体对象采用非人工干预的方式以lntemet为平台实现信息的交互与共享。目前较为成功的是EPCglobal提出的EPC(Elec．tronic Product Code)网络．简称为“物联网”(Internet of Thing)。随着RFID技术在零售行业和物流供应链管理等领域的广泛应用．RFID网络中各组件之间的数据信息的传输与交互也产生了各种各样的安全隐患，RFID网络中数据信息认证、完整性以及在传输过程中的信息泄漏等问题已经成为制约RFID技术推广应用的关键因素之一。 

　　当前DNS安全扩展(DNS security extension)在确保网络信息安全方面正发挥着重要的作用。为此本文借鉴DNSSEC提出一种基于DNS安全扩展的RFID网络安全解决方案，ONS服务器的数据信息的验证和完整性检查、ONS查询和响应的信息的验证和完整性检查借鉴DNSSEC安全扩展实现。通过DNSSEC机制同样可以保证RFID中间件和EPCIS服务器EPCIS和DONS等RFID网络组件之间的交互信息的安全。 

2 RFID 网络 

　　RFID网络由识别系统(ID System：包括标签和读写器)、对象名称服务(ONS)、动态对象名称服务(DONS：Dynamic ONS)、EPc信息服务(EPCIS：EPC Information Service)和中间件(Savant)等五部分组成。RFID网络的组成如图1所示。 

　　RFID网络的主要功能是实现网络中数据信息的传输与交互，数据信息的安全性和完整性检查是解决RFID网络安全问题的关键。ONS服务器中的密钥分配、数据源认证、事务和查询认证均可借鉴DNSSEC安全扩展中的认证服务实现。DNS中的密钥被存储在DNS服务器的公钥中控制工程网版权所有，有需求时由分管这些密钥的DNS服务器负责分配 其中资源记录的数据验证和完整性检查利用私钥对DNS数据进行数字签名，通过分配密钥获取公钥来验证数据。存储在DNS服务器中资源记录都必须由DNS服务器签名，这些签名记录被存储在一个单独的资源记录(RR)中。 

　　查询响应的信息验证和完整性检查提供对DNS查询和报文头的认证．以确保应答报文中的数据是对原始查询的应答和应答来自于被查询的服务器。查询响应数据的验证和完整性检查包括TSIG记录[RFC2845]或者SIG(O)记录。采用DNSSEC机制也可以保证RFID中间件和EPCIS服务器EPCIS和DONS等RFID网络组件之间的交互信息的安全。中间件、EPCIS服务器和DONS服务器需要通过公钥(Public Key)彼此进行验证www.cechina.cn，同时它们需要一个公钥数据库系统来存储和管理这些密钥。 

3 DNSSEC研究 

3．1概述 
　　为解决DNS的安全问题控制工程网版权所有，在1994年IETF的DNSSEC工作组提出了DNSSEC安全扩展思想。它的基本思想是通过签名机制和公钥机制来确保网络的安全。签名机制主要是在DNSSEC中的每个区产生一个通过密码算法自动生成私钥，公钥对，并存放在管理每个区的权威名字服务器内。DNSSEC是从DNS内部着手为整个DNS提供安全机制，而不是从外部对DNS服务的种种限制来对抗各种网络攻击。 

3．2 DNSSEC中的安全认证 
　　DNSSEC中提供了三种新的认证服务：密钥分配、数据源认证、事务和查询认证。数据源认证是DNSSEC的关键，它利用私钥对DNS数据进行数字签名www.cechina.cn，然后通过密钥分配获取公钥来对数据源进行认证；事务和查询认证服务提供对DNS查询和DNS报文头的认证www.cechina.cn，以保证应答报文中的数据是对原始查询的应答，并且确保应答来自于被查询的服务器。 

3．3 DNSSEC中的PKI加密机制 
　　DNS中的加密机制主要采用目前通用的公钥加密系统(PKI)，基于密钥的算法有对称和非对称加密两类。对称加密的优点是计算开销小．但它的不足是对密钥管理上面的先天性缺陷。为此产生了非对称加密的“公共密钥算法”．它的优势在于科学的密钥管理在PKI系统中采用数字签名技术来保证数据源的合法性，采用数字签名技术可达到以下目的：(1)签名是可信的；(2)签名是不可伪造的；(3)签名不可重用；(4)签名的文件是不可改变的；(5)签名是不可抵赖的。南于数字签名的一个缺点是在生成签名之前，必须先知道整条消息，它无法保证消息的完整性。为此，在PKI系统中采用MAC(Media Access Contro1)来实现消息的完整性。PKI系统中