GMT 0035.4-2025 射频识别系统密码应用技术要求 第4部分电子标签与读写器通信密码应用技术要求标准立项发展报告

射频识别系统密码应用技术要求第4部分：电子标签与读写器通信密码应用技术要求标准立项发展报告StandardizationDevelopmentReport:TechnicalRequirementsforCryptographicApplicationofRFIDSystems—Part4:TechnicalRequirementsforCryptographicApplicationofCommunicationbetweenElectronicTagsandReaders摘要射频识别（RFID）技术作为物联网感知层的关键核心技术，在供应链管理、智能交通、门禁安防、动物标识及药品追溯等领域得到广泛应用。随着RFID系统应用场景的不断拓展和网络空间安全形势的日益严峻，电子标签与读写器之间无线通信环节面临的数据窃取、标签伪造、重放攻击等安全威胁愈发突出，亟需通过标准化的密码应用技术要求加以规范。本标准《射频识别系统密码应用技术要求第4部分：电子标签与读写器通信密码应用技术要求》（标准编号：GM/T0035.4-2025）由国家密码管理局归口管理，由行业标准—密码行业标准发布，将于2026年7月1日正式实施。本报告围绕该标准的立项背景、编制过程、核心技术内容、主要参与单位及未来展望等方面展开系统论述。标准在全面分析RFID系统通信安全风险的基础上，从密码算法选择、密钥管理体系、安全认证协议、数据加密保护及安全性能指标等维度，构建了覆盖电子标签与读写器通信全过程的安全防护框架，填补了我国在RFID无线通信环节密码应用领域的标准空白，对提升我国物联网基础设施安全防护能力具有重要的战略意义和现实价值。关键词：射频识别；密码应用；电子标签；读写器；信息安全；密码行业标准；物联网安全Keywords:RFID;CryptographicApplication;ElectronicTag;Reader;InformationSecurity;CryptographyIndustryStandard;IoTSecurity一、引言1.1研究背景射频识别（RadioFrequencyIdentification，RFID）技术是一种利用无线射频信号实现非接触式自动识别的技术，通过射频信号的空间耦合实现信息传递与目标识别。近年来，随着物联网、工业互联网和智能供应链的快速发展，RFID技术的应用范围持续扩大。据中国物联网研究发展中心统计，2024年我国RFID市场规模已突破800亿元，年均增长率保持在15%以上，广泛应用于物流仓储、智慧零售、交通管理、身份识别、医疗健康和军事物资管理等重要领域。然而，RFID系统的无线通信特性使其天然面临多种安全威胁。由于电子标签与读写器之间的通信通过开放的射频信道传输，攻击者可以在通信范围内实施窃听、截获、篡改、伪造和重放等恶意行为。具体而言，RFID系统面临的安全威胁主要包括：一是数据窃取风险，攻击者通过截获无线信号获取标签中的敏感性信息；二是标签伪造风险，未经授权的标签可被仿制并冒充合法标签进入系统；三是重放攻击风险，攻击者捕获合法通信数据并在后期重放以欺骗系统；四是拒绝服务攻击，攻击者通过干扰射频信号导致通信中断。这些安全威胁的存在，使得制定统一的密码应用技术要求规范成为当务之急。1.2标准化必要性分析当前，我国在RFID安全领域已发布部分国家标准和行业标准，如GB/T29768-2013《信息技术射频识别800/900MHz空中接口协议》、GB/T28925-2012《信息技术射频识别2.45GHz空中接口协议》等，但这些标准主要侧重于空中接口协议的物理层和数据链路层技术规范，对密码算法应用、密钥管理和安全认证协议等方面的规定尚不完善。与此同时，国际标准ISO/IEC18000系列也有类似的情况，安全机制的描述多为框架性内容，缺乏具体可操作的技术要求。在此背景下，国家密码管理局组织编制了GM/T0035系列标准，对射频识别系统密码应用提出系统性技术要求。本标准作为该系列标准的第4部分，聚焦于电子标签与读写器之间的通信环节，是系列标准中技术细节最为丰富、应用指导性最强的部分之一。该标准的制定和实施，将有效填补我国射频识别系统通信安全密码应用标准体系的空白，为各行业RFID系统的安全设计和密码应用提供权威技术依据。二、标准编制背景与工作过程2.1国内外相关标准概况在国际层面，ISO/IECJTC1/SC31（自动识别与数据采集技术委员会）主导制定了一系列RFID空中接口标准，其中ISO/IEC18000系列标准规定了各类频段RFID系统的空中接口协议。在安全方面，ISO/IEC29167系列标准定义了RFID空中接口的安全服务和安全协议，但该标准体系中的密码算法主要依托国际通用算法（如AES、PRESENT-80等），不适用于我国密码管理政策要求。此外，ISO/IEC9798系列实体鉴别标准也可适用于RFID系统的身份认证场景，但在具体应用层面缺乏针对RFID通信特点的优化设计。在国内层面，密码行业标准体系中已发布GM/T0001《祖冲之序列密码算法》、GM/T0002《SM4分组密码算法》、GM/T0003《SM2椭圆曲线公钥密码算法》、GM/T0004《SM3密码杂凑算法》等一系列商用密码算法标准，为RFID系统的国产密码应用提供了算法基础。在RFID安全标准方面，GB/T29271系列标准对RFID协议的测试方法作出了相关规定。然而，专门针对RFID电子标签与读写器通信环节的密码应用技术要求，在GM/T0035.4-2025发布之前尚属空白。2.2标准编制过程本标准的编制工作遵循了科学严谨、公开透明的原则，整个编制过程大致经历了以下阶段：（1）预研阶段（2022年1月至2022年8月）：编制组广泛调研了国内外RFID安全相关标准和技术文献，收集分析了各行业RFID应用的安全需求，梳理了现有密码技术应用于RFID系统的主要技术瓶颈，形成了标准立项建议书和可行性研究报告。（2）立项阶段（2022年9月至2023年2月）：标准立项申请经全国密码标准化技术委员会评审通过，国家密码管理局批准立项。随后组建了由密码技术专家、RFID技术专家、行业应用单位代表等组成的标准起草工作组。（3）起草阶段（2023年3月至2024年6月）：工作组先后召开十余次工作会议，对标准框架结构、核心技术内容进行多轮讨论和修改。在充分吸收各方意见和研究成果的基础上，形成了标准征求意见稿。（4）征求意见阶段（2024年7月至2024年12月）：标准征求意见稿面向全社会广泛征求意见，共收到来自科研院所、高校、企业和行业用户等单位的反馈意见220余条。工作组逐条分析、充分讨论，采纳或部分采纳了其中大部分意见，形成了标准送审稿。（5）审查与报批阶段（2025年1月至2025年6月）：标准送审稿经全国密码标准化技术委员会审查通过，于2025年正式发布。标准编号为GM/T0035.4-2025，实施日期为2026年7月1日。三、标准主要技术内容3.1标准适用范围与定位本标准规定了射频识别系统中电子标签与读写器通信环节的密码应用技术要求，包括密码算法选择、密钥管理、安全认证协议、数据安全保护以及安全性能要求等内容。标准适用于采用密码技术保护电子标签与读写器通信安全的RFID系统的设计、开发、检测和应用。3.2密码算法要求在密码算法方面，本标准明确要求采用我国商用密码算法，具体包括：-对称密码算法：采用SM4分组密码算法（GB/T32907）作为数据加密和消息认证的基础算法。考虑到RFID系统电子标签的资源受限性（计算能力有限、存储空间小、功耗受限），标准规定了SM4算法在轻量化实现中的具体优化策略和适用边界。-公钥密码算法：采用SM2椭圆曲线公钥密码算法（GB/T32918）实现双向身份鉴别和密钥协商。标准中明确了SM2算法在RFID场景下的曲线参数选择、密钥长度要求和计算性能优化方案。-密码杂凑算法：采用SM3密码杂凑算法（GB/T32905）用于完整性校验和密钥派生。标准规定了SM3算法在RFID通信协议中的具体调用方式和数据格式。-序列密码算法：必要时可采用祖冲之序列密码算法（ZUC，GB/T33133）实现高速数据流的加密保护。3.3密钥管理体系要求密钥管理是RFID通信安全的核心环节。本标准对密钥管理体系提出了系统性要求：-密钥分级结构：建立由系统根密钥、标签专用密钥、会话密钥和认证密钥组成的多级密钥体系，实现不同安全级别数据的差异化保护。-密钥生成：要求采用符合GB/T32918.5的随机数发生器或经国家密码管理局认可的随机数生成模块，确保密钥的随机性和不可预测性。-密钥分发与注入：针对电子标签的出厂预置、发行注入和在线更新三种场景，分别规定了密钥安全传输和存储的技术要求。其中，预置密钥应采用安全写入方式，防止密钥在制造环节泄露。-密钥更新与废止：规定了密钥定期更新机制和紧急废止流程，确保在密钥泄露或系统受到威胁时能够及时响应。-密钥存储保护：要求电子标签内置安全存储区域，密钥不得以明文形式存储在标签外部可访问的存储空间中。3.4安全认证协议要求在身份认证方面，本标准规定了电子标签与读写器之间应实现双向认证（mutualauthentication），以防止非授权读写器读取标签信息和伪造标签欺骗读写器。标准规定了以下认证机制：-基于对称密钥的认证协议：采用“挑战—应答”（Challenge-Response）模式，利用SM4算法实现双向认证。该模式适用于计算资源和存储空间有限的低成本无源标签。-基于公钥密码的认证协议：采用SM2算法实现更高级别的双向认证，适用于安全性要求较高的应用场景（如高价值物品追踪、身份识别等）。-防重放攻击机制：要求在认证协议中引入随机数和时间戳，确保认证过程的时效性，防止重放攻击。-安全传输通道建立：在认证成功的基础上，通过SM4算法和密钥协商机制建立安全通信通道，确保后续数据传输的机密性和完整性。3.5数据类型与保护等级标准根据RFID系统传输数据类型的不同，规定了差异化的密码保护要求：-标签标识符（TID，TagIdentifier）：属于标签唯一性标识信息，应采取至少SM4算法保护，防止被非法读取和克隆。-物品编码（EPC等）：属于业务数据类别，可根据应用场景选择明文传输或加密传输。在高安全等级场景下应使用SM4算法进行加密保护。-用户数据区内容：属于业务敏感数据或个人信息类别，必须采用SM4算法加密存储和加密传输。-认证信息和密钥相关数据：属于最高安全等级数据类别，应采用SM2公钥密码或SM4对称密码进行高强度保护，并严格遵守密钥管理相关规定。3.6安全性能要求考虑到RFID系统特别是无源电子标签的资源极端受限性，本标准对密码应用的性能指标提出了明确要求：-密码运算时延：要求单次认证过程的密码运算时延不超过200毫秒（根据标签类型和应用场景分类规定）；-存储开销：密码算法实现所需的存储空间（包含代码存储和数据存储）应符合标签芯片的容量限制；-功耗预算：密码运算所消耗的功耗应在标签可获取的能量范围内，不得显著缩短标签的识别距离；-通信开销：密码协议增加的通信数据量应控制在合理范围内，避免对识别效率产生显著影响。四、主要起草单位介绍本标准的编制工作由多家在密码技术和RFID领域具有深厚积累的单位共同完成。以下介绍主要起草单位之一——北京中电华大电子设计有限责任公司。北京中电华大电子设计有限责任公司（以下简称“华大电子”）成立于2000年，是中国电子信息产业集团有限公司（CEC）旗下专业从事安全芯片设计的高新技术企业。公司是国内最早从事RFID标签芯片和信息安全芯片研发的企业之一，在射频识别安全芯片设计、商用密码算法实现和芯片安全防护技术方面积累了二十余年的丰富经验。在技术能力方面，华大电子拥有国内领先的安全芯片研发团队，已成功开发出多款符合国家商用密码算法要求的RFID安全标签芯片和读写器安全模块产品。公司的安全芯片产品已通过国家密码管理局的安全审查，被广泛应用于二代身份证、电子护照、社保卡、金融IC卡和各类RFID安全应用系统中。其中，华大电子自主研发的超高频RFID安全标签芯片已在烟草物流、药品追溯、航空行李管理等重要领域实现规模化部署。在本标准编制过程中，华大电子充分发挥其芯片级设计的技术优势，重点承担了以下方面的研究和编制工作：一是RFID标签资源受限条件下密码算法的轻量化实现方案；二是芯片级密钥安全存储和防物理攻击技术指标制定；三是标签与读写器安全认证协议的嵌入式实现优化方案。通过将工程实践经验与技术规范编制深度融合，为标准技术内容的科学性和可实施性提供了坚实保障。除华大电子外，参与本标准编制的主要单位还包括国家密码管理局商用密码检测中心、中国科学院信息工程研究所、北京中电华大电子设计有限责任公司等，涵盖密码科学研究、标准检测认证、芯片设计制造和行业应用等各个层面，形成了产、学、研、用协同推进的标准编制机制。五、标准实施意义与应用展望5.1标准实施的意义本标准的发布实施，具有多方面的重要意义：一是提升RFID系统安全防护能力。标准为电子标签与读写器通信环节提供了明确、可操作、可检测的密码应用技术要求，将有效提升我国RFID系统的整体安全水平，抵御各种形式的网络攻击和数据泄露风险。二是促进国产密码算法的深化应用。标准明确要求采用SM2、SM3、SM4等国产商用密码算法，这将有力推动国产密码技术在物联网领域的规模化应用，促进密码技术的自主可控和安全可信。三是完善密码行业标准体系。本标准作为GM/T0035系列标准的重要组成部分，填补了RFID通信安全密码应用领域的技术标准空白，进一步完善了我国密码行业标准体系，为后续相关标准的制定提供了参考和基础。四是支撑数字经济安全发展。随着RFID技术在智慧物流、智能制造、数字医疗等数字经济核心场景中的深度应用，统一可靠的密码应用技术要求将为各行业的数字化转型提供有力的安全保障。5.2未来发展趋势与展望展望未来，射频识别系统密码应用技术标准化的进一步发展将在以下方向持续推进：一是与新型通信技术的融合。随着5G-A（5G-Advanced）、UWB（超宽带）和无源物联网等新型通信技术的兴起，RFID技术将向更高速率、更远距离、更大规模方向发展，相应的密码应用技术要求也需要持续更新和完善。二是面向新型安全威胁的防护。量子计算的发展对现有密码体系构成潜在威胁，后量子密码（Post-QuantumCryptography）技术在RFID系统的应用研究需要提前布局。三是与人工智能技术的结合。基于人工智能的RFID安全威胁检测和智能密钥管理技术，可能成为未来标准制定的新方向。四是国际标准的对接与互认。在确保密码安全自主可控的前提下，推动与ISO/IEC等国际标准的对接互认，支撑我国RFID产业的国际化发展。六、结论参考文献[1]国家密码管理局.GM/T0035.4-2025射频识别系统密码应用技术要求第4部分：电子标签与读写器通信密码应用技术要求[S].2025.[2]国家密码管理局.