淺析PKI技術在數字家庭網絡中的應用

張偉麗

（中國電子信息產業(yè)發(fā)展研究院 賽迪智庫，北京 100846）

隨著數字家電的發(fā)展，數字家庭網絡的應用越來越普及。數字家庭網絡提高了人們家庭生活、學習、工作、娛樂的品質，但是數字家庭在給人們家庭生活帶來諸多便利的同時，也面臨著身份認證、數據安全傳輸、家庭隱私泄露等信息安全問題。如何保障數字家庭網絡安全是人們越來越關注的問題。針對這些問題，本文提出了基于PKI技術的數字家庭網絡身份認證機制，PKI技術的引入既保證了數字家庭網絡訪問者身份的合法性、真實性，也保證了智能家庭設備的真實性，同時還保證了實體之間信息傳輸的保密性和不可否認性，對于保護數字家庭網絡安全起到了很好的作用。

1 PKI的體系結構及功能

PKI是“Public Key Infrastructure”的縮寫，意為“公鑰基礎設施”。簡單地說，PKI技術就是利用公鑰理論和技術建立的提供信息安全服務的基礎設施。

1.1 PK I的體系結構

根據PKIX系列標準中RFC 2510[1]的定義，一個完整的PKI基礎設施通常應具備以下幾個組成部分：最終實體（End Entity，EE），權威認證機構（Certification Authority，CA），注冊機構（Registration Authority，RA），證書庫（Repository）。其中，最終實體是指證書持有者和依賴方（relying party）。RA負責驗證證書申請者身份的真實性，通過驗證后將證書申請者的申請信息提交給CA。CA是可信的權威機構，根據RA提交的證書申請信息，為申請者頒發(fā)證書，并對證書進行全生命周期的管理。在PKI系統(tǒng)中，RA是一個可選組件，若沒有RA，則CA必須承擔相應的功能。證書庫，負責向所有的最終用戶公開數字證書和證書廢止列表（CRL）。

1.2 PKI的基本功能

在公鑰體制中，加密密鑰與解密密鑰各不相同，應用中通過基于PKI體系的數字證書實現(xiàn)用戶的身份認證以及信息的機密性、完整性、不可否認性[2]。數字證書將公鑰和證書持有者的真實身份信息進行綁定，相當于證書持有者的網上身份證。在應用中，發(fā)送者利用接收者的公鑰對發(fā)送信息進行加密，接收者利用自己專有的私鑰進行解密。這種方式既保證了傳輸信息的機密性，又能保證傳輸信息具有不可否認性。同時，發(fā)送者用自己的私鑰對發(fā)送信息的摘要進行加密實現(xiàn)數字簽名，接收者通過CA機構獲取簽名私鑰對應的公鑰進行簽名驗證，實現(xiàn)對證書持有者身份真實性的認證。由于在這一過程中，信息摘要是通過一個單項Hash函數對消息進行運算而產生的，經過用戶簽名后的Hash值若被篡改很容易被發(fā)現(xiàn)，從而保證信息的完整性。

PKI的功能使得數字證書被廣泛應用于電子商務、電子政務等眾多領域中。在我國CA機構的設立實行行政許可制度，截至2014年3月底，我國獲得許可的CA機構共有34家。

2 數字家庭網絡構成及安全需求

2.1 數字家庭網絡簡介

依據IDC定義，數字家庭是指可以實現(xiàn)家庭內部所有設施的控制并可以得到反饋信息，同時聲音、文字、圖像信息可以在不同家用設備上共享，并可以隨時隨地實現(xiàn)這些控制與信息共享。數字家庭的主要功能包括以下幾個方面[3]：一是因特網業(yè)務，諸如網上購物、家庭保健、遠程醫(yī)療、瀏覽、收發(fā)E-mail、家電的網上升級等；二是家庭智能管理，諸如遠程控制（計算機控制和電話控制）、遠程查詢、集中控制、管理與監(jiān)控、家庭安全防衛(wèi)、遠程家庭設備維護、遠程醫(yī)療、遠程集中抄表等；三是家庭信息處理，諸如家庭內部事務相關管理、文檔處理等；四是個性化、日程化管理，包括記事提醒、電子詞典、電子圖書閱讀等功能；五是家庭電子娛樂以及多媒體處理，例如遠程定時電視節(jié)目錄制等。

2.2 數字家庭網絡面臨的威脅

隨著數字家庭網絡的發(fā)展，可連接上網的智能家電設備日益增多，智能家電設備的狀態(tài)和控制信息在家庭網絡上不停地傳輸，以及可通過開放的Internet和電話網很方便地對其進行遠程監(jiān)控，數字家庭網絡受到的安全威脅也日益增加。具體表現(xiàn)在以下幾個方面[4-5]：一是家庭隱私信息的泄露，攻擊者通過家庭傳感器可以截獲許多家庭內部信息，如家庭報警器是否開啟等家用設備的工作狀態(tài)；二是身份假冒，攻擊者非法冒用物業(yè)公司的工作人員或者智能家電廠商的工作人員讀取數據、發(fā)布虛假指令等；三是非授權的操作，攻擊者非法使用或者盜取主人的授權進行破壞家用報警系統(tǒng)等其他有目的的破壞活動；四是數據竊取，通過竊聽行為，截獲家庭網關與遠程控制主機的數據，并進行非授權的添加、減少、修改等。

2.3 數字家庭網絡安全需求分析

基于當前數字家庭的主要應用，數字家庭網絡可以分為四個不同的層面[5-6]：遠程用戶層，包括遠程家庭用戶和第三方應用提供商，例如醫(yī)院、物業(yè)類單位、在線娛樂商、設備維修商等；家庭網絡接入層，在此主要是指家庭網關，家庭網關是家庭負責家庭網絡與外部異構網絡（廣播電視網、電信網、互聯(lián)網）的接入工作。家庭設備層主要是指家庭中各種智能家電設備的集合。家庭用戶層主要指家庭用戶在家庭內部，操作和控制各種智能家庭設備。

各層面之間的安全需求如下：

1）在遠程用戶與家庭接入層之間，為防止攻擊者假冒家庭用戶對家庭網絡進行訪問，假冒物業(yè)公司的工作人員或者智能家電廠商的工作人員讀取數據、發(fā)布虛假指令等，需要對家庭接入層的訪問用戶進行身份驗證，同時需要保證相關數據（智能抄表數據）的不被篡改和安全傳輸。

2）家庭網絡接入層與家庭智能設備之間，為確保每條操作指令對應相應的智能家電設備而不是其他的智能家電設備，需要考慮設備之間的認證。

3）在遠程家庭用戶與家庭智能設備之間，需要考慮其通信的機密性，以及操作權限。例如，小孩和大人用戶對家庭不同智能設備的操作權限不同。遠程抄表系統(tǒng)必須確保只能對三表（水、電、煤）進行數據讀取，而不能對其他家庭智能設備進行操作，設備維修商只能遠程對自己廠家的智能設備進行檢測而不能對其他設備進行操作。同時還應保證所讀取數據的安全、保密傳輸。需要提供機密性（保證通信數據不被竊聽和泄漏）、完整性（驗證通信數據的完整性，防止數據的破壞與丟失）。

4）在家庭用戶與家庭設備之間主要是指家庭用戶訪問和控制家庭設備時的通信。在家庭設備面與家庭用戶面之間，在安全要求不高的情況下，可以不用采取安全措施。

綜上可以看出，遠程用戶與家庭接入層之間的安全性、遠程家庭用戶與家庭智能設備之間的安全性是數字家庭網絡首要考慮的。因此本文主要分析了基于PKI技術在這兩個層面的應用，以提高數字家庭網絡的安全性。

3 基于PKI技術的數字家庭網絡安全解決方案

3.1 具有身份認證功能的數字家庭網絡模型

在圖1模型中，第三方應用提供商、遠程家庭用戶需要實現(xiàn)對家庭網絡的安全訪問，首先要到CA認證中心申請自己的數字證書。獲得數字證書后第三方應用提供商、遠程家庭用戶在訪問家庭網關時，家庭網關通過離線或者在線的方式驗證數字證書的真實性及有效性，在確認用戶的身份后允許其訪問家庭內部網絡，并通過訪問控制列表進行授權操作，確保其操作權限的安全可控。

圖1 具有身份認證功能的數字家庭網絡模型

基于PKI的身份認證過程主要包括證書申請和證書驗證兩個階段，具體根據其工作原理示意圖進行分析。

通過圖2可以說明家庭網關對遠程家庭用戶和第三方應用提供商身份認證的過程。

1）證書申請者，遠程家庭用戶持自己的身份證明信息（身份證）、第三方應用提供商持企業(yè)證明信息（組織機構代碼證）向注冊機構RA提交證書申請。

2）注冊機構RA按照CA的規(guī)定對證書申請者，即遠程家庭用戶和第三方應用提供商的身份信息真實性進行核實，若其身份真實則提交相關信息給CA，并向CA申請數字證書。若經核實其身份信息不實，則拒絕其申請。

3）CA機構根據注冊機構RA提交的證書申請，按照其唯一身份標識制作數字證書，并通過注冊機構RA返回給證書申請者，即遠程家庭用戶和第三方應用提供商。

圖2 用戶證書申請和證書驗證示意圖

4）證書持有者（遠程家庭用戶和第三方應用提供商）擁有自己的證書和與證書中公鑰相匹配的私鑰，并通過私鑰對訪問請求信息進行簽名，向家庭網關提出訪問請求。

5）家庭網關接到請求后，通過離線的證書撤銷列表（Certificate Revocation List，CRL）或在線的證書狀態(tài)查詢協(xié)議（Online Certificate Status Protocol，OCSP）登錄到CA中心查看證書持有者（遠程家庭用戶和第三方應用提供商）的證書是否有效。

6）若證書有效，則利用證書公鑰對證書持有者（遠程家庭用戶和第三方應用提供商）的簽名進行驗證，驗證成功則說明證書持有者（遠程家庭用戶和第三方應用提供商）的身份是合法真實的，允許其通過家庭網關訪問家庭內部網絡。若證書已經被撤銷，或者未查詢到證書的有效性，則身份驗證失敗，拒絕相關的訪問申請。

3.2 遠程家庭用戶與家庭智能設備之間的認證

家庭智能設備同樣可以基于自己的唯一設備標識碼、序列號、MAC地址、條形碼等信息，向注冊機構RA進行設備注冊，通過認證中心CA獲得關于自己的設備證書。在遠程家庭用戶（或第三方應用提供商）和家庭智能設備都獲得數字證書的情況下，利用上述原理，即可實現(xiàn)遠程家庭用戶（或第三方應用提供商）與家庭智能設備之間相互的身份認證。在實現(xiàn)身份認證的基礎上，同樣可以利用公鑰機制進行信息的加密傳輸。例如遠程抄表應用中，智能電表需要將本月的用電數值傳遞給電力公司，智能電表就可以利用電力公司證書中的公鑰對要傳遞的數據進行加密，再用自己的私鑰對本月用電數值進行簽名，再傳輸。電力公司在得到智能電表傳遞的數據后，先用智能電表證書的公鑰對其簽名進行驗證，確認傳輸的數據來自智能電表，再用自己的證書對應的私鑰進行解密，得到本月用電數值。同樣電力公司要發(fā)送支付賬單時，進行同樣的操作即可實現(xiàn)信息的加密傳輸。

3.3 利用PK I技術的優(yōu)勢分析

PKI具有以下功能：交易者的身份鑒別、信息發(fā)送的不可否認性、信息傳輸的完整性和機密性。在家庭網絡應用中，其優(yōu)點主要體現(xiàn)在以下方面：

1）利用PKI的公鑰密碼體制，可以實現(xiàn)遠程家庭用戶（第三方應用提供商）與家庭網關、遠程家庭用戶（第三方應用提供商）與智能家庭設備之間公開的身份驗證，確保數字家庭網絡訪問者的身份是合法有效的，同時保證用戶所通信的設備是真實的設備，有效防范了數字家庭網絡中的假冒攻擊。

2）PKI所利用的公鑰密碼體制，不僅能為認識的實體之間提供保密性服務，還能通過CA認證中心，利用數字證書，實現(xiàn)陌生實體之間的通信保密。

3）實體的數字證書除了采用在線驗證外，還能通過CA認證中心提供的證書撤銷列表CRL實現(xiàn)離線驗證，在各種智能家電設備的使用上具有便利性，這種便利性也有利于PKI應用的推廣。

4 結束語

目前，PKI技術在電子商務和電子政務中的應用已經較為成熟，基于PKI技術的網站可信認證也已經初現(xiàn)端倪，隨著數字家庭網絡應用的普及，以及人們對于數字家庭網絡安全問題的日益重視，PKI技術必將在此領域廣泛應用。當然本文只是針對數字家庭網絡安全中的身份認證和信息安全傳輸提出解決方案，具體實現(xiàn)以及不同認證機構CA簽發(fā)證書之間的相互認證還需要進一步研究。

[1] RFC2510,Internet X.509 public key infrastructure,certificate management protocols[S].1999.

[2] 荊繼武，林璟鏘，馮登國.PKI技術[M].北京：科學出版社，2008.

[3] 田玉靜.淺議數字家庭[J].電視技術，2007，31（8）：54-55.

[4] 白志剛.家庭網絡及其關鍵技術研究[D].成都：四川大學，2006.

[5] 翟紹軍，劉宏.家庭網路安全的研究[J].航空計算技術，2007（2）：112.

[6] 高飛.基于三網融合的數字家庭網絡體系結果及安全技術研究[D].西安：西安電子科技大學，2011.