摘要
2010年，Juang等學者提出一個在多重伺服器之環境下之RFID驗證協定。Juang等學者宣稱該協定具有標籤匿名性且能夠防範阻斷服務攻擊。標籤之匿名性為確保僅有伺服器可以透過通訊過程辨認標籤，即便攻擊者搜集完整之通訊過程，仍無法得到標籤之任何資訊。阻斷服務攻擊為攻擊者對標籤進行某種惡意行為，造成伺服器無法辨認標籤。本論文認為Juang等學者提出的驗證協定有許多過於理想的想法，認為這些想法會造成該協定無法運作，先將該協定不合理處做一說明。隨後，本論文提出追蹤攻擊及阻斷服務攻擊。追蹤攻擊可證明不同回合的兩筆通訊記錄為同一標籤所產生，攻擊者可以追蹤該標籤。阻斷服務攻擊為攻擊者可以造成標籤與伺服器所共同擁有的資料不同步，導致伺服器無法辨認標籤，造成標籤無法繼續使用。上述攻擊證明該機制並未如宣稱般達成標籤匿名性與防範阻斷服務攻擊。除此之外，本研究亦指出該協定並未詳細考慮在多重伺服器之環境下才有的安全需求。在多重伺服器之環境下，假設標籤尚未與任何伺服器進行通訊時，每個伺服器與該標籤所共同擁有的資料為一樣的，這表示惡意伺服器可以扮演該標籤通過其它伺服器的驗證，形成惡意伺服器扮演攻擊。若該標籤讓惡意伺服器扮演攻擊連續進行兩次，則該標籤將與受害伺服器失去了共同擁有得的資料同步，該標籤未來也無法修復與受害伺服器的資料同步，導致伺服器無法辨認標籤，造成標籤無法繼續使用。