裝備保障信息網絡身份認證體系研究

盧昱 晏杰 陳立云 陳興凱 連云峰

1.軍械工程學院裝備指揮與管理系河北石家莊050003 2.軍械工程學院信息工程系河北石家莊050003

裝備保障信息網絡是實現裝備保障信息化建設的基礎，是信息時代裝備保障信息資源成為重要的戰略資源后發展起來的新型網絡，是對裝備保障活動主體及相關客體的信息實現實時反應的網絡[1].隨著我軍裝備保障信息網絡的建設和發展，它已成為承載裝備保障業務的重要基礎設施.但是，裝備保障信息網絡提供的能力必須建立在網絡安全的基礎之上.身份認證可以對抗假冒攻擊，是重要的網絡安全服務之一[2?3].身份認證是證實對象身份的過程，即驗證者檢驗一個實體是否為符合某種條件的實體.在裝備保障信息網絡中，身份認證主要指對網絡節點、人員(用戶)、物資或射頻識別(Radio Frequency Identificatio，RFID)標簽的身份認證.目前，對裝備保障信息網絡身份認證的研究還較少，本文將從裝備保障信息網絡的網絡結構及特點入手，構建裝備保障信息網絡的身份認證體系，為裝備保障信息網絡身份認證的研究構建總體框架.

1 裝備保障信息網絡概述

裝備保障信息網絡是指能夠執行全部裝備保障信息功能的網絡，其功能具體包括裝備保障的信息獲取、信息傳輸、信息處理和信息執行等.在信息化戰爭中，裝備保障信息網絡的一個重要作用就是將戰場中的裝備保障信息采集系統、裝備保障指揮控制系統以及各保障裝備系統連接起來，形成一個以裝備保障信息環境為依托，以信息化保障裝備和裝備保障指揮控制系統為支撐，能夠實現各類裝備保障信息資源的實時共享，以支持裝備保障指揮人員和作業人員信息活動的信息網絡[1].

裝備保障信息網絡承載的裝備保障總體業務流程為：各作戰分隊向裝備指揮所上報戰損情況，裝備指揮所根據接收到的戰損情況向維修分隊、器材倉庫和彈藥倉庫下達對作戰分隊實施保障的命令，維修分隊、器材倉庫和彈藥倉庫根據接收到的命令派遣保障單元對作戰分隊實施保障.根據裝備保障的業務流程和裝備保障信息網絡的組網方式，得到裝備保障信息網絡的網絡結構如圖1所示.

根據裝備保障信息網絡的網絡結構和組網方式，裝備保障信息網絡是基于電臺的無線移動自組網、基于衛星的移動通信網、RFID系統等在戰場裝備保障業務中的一種組合應用.因此，它既具有無線移動自組網、衛星移動通信網、射頻識別系統的一般特點，又具有由戰場裝備保障業務所決定的獨有特點.根據上述分析，裝備保障信息網絡具有如下一些一般特點.

1)獨立自組的組網方式.裝備保障信息網絡中的許多子網具有獨立組網能力，即網絡的布設不需要依賴于預先建設的網絡基礎設施，而是采用無中心、自組織路由策略，具有一定的獨立性.

2)動態變化的拓撲結構.在裝備保障信息網絡中，許多網絡節點經常移動，節點經常在開機狀態和關機狀態間切換，網絡中的無線信道可能會相互干擾，地形地物可能對節點之間的無線通信產生影響，這些都可能使得網絡拓撲結構隨時發生變化.

3)較小的傳輸帶寬.在裝備保障信息網絡中，大部分節點之間的通信通過無線信道完成，而無線信道自身的物理特性使其提供的帶寬小于有線信道提供的帶寬.

4)節點資源(CPU、存儲器等)受限.在裝備保障信息網絡中，大部分節點是移動節點，由于體積等因素的限制，節點的硬件資源有限，其CPU的計算能力較低、存儲空間較小.

5)存在RFID系統.在裝備保障信息網絡中，彈藥、器材等物資的信息非常重要，因此，物資內可以放置有存儲其詳細信息的RFID標簽，RFID系統通過識別RFID標簽獲得物資的詳細信息，并將該信息傳輸給需要的節點.

此外，由于戰場裝備保障業務的特殊性，裝備保障信息網絡還具有如下獨有特點.

1)節點脆弱性.由于戰場環境的特殊性，裝備保障信息網絡的節點更容易遭到敵人的攻擊或被敵人俘獲而落入敵人的控制之中.

2)信道脆弱性.在激烈的戰場環境下，裝備保障信息網絡中的信道是敵人的首要干擾、壓制的目標，信道中傳輸的信息更容易遭到敵人的竊聽和攻擊.根據上述特點，與其他的一般網絡相比，裝備保障信息網絡中的認證需求主要具有兩個不同點：1)認證的對象更加多樣化，由于裝備保障信息網絡是多種網絡的一種組合應用，因此，認證的對象包含了用戶、RFID標簽和網絡節點；2)認證的安全性要求更高，由于裝備保障信息網絡更容易遭受敵人攻擊，因此,對認證的安全性提出了更高的要求.為了滿足以上需求，現有的一般網絡中的認證方法還需要進行適當的改進，再將它們進行組合才能應用到裝備保障信息網絡中.

圖1 裝備保障信息網絡的網絡結構

從目前裝備保障信息網絡的特點來看，安全認證存在以下威脅：1)在部分無線子網中，網絡節點一般采用戰術無線電臺組網，網絡采用無中心、自組織路由策略，也沒有統一的認證機構，這使得節點之間難以建立起安全可靠的信任關系[4]；2)網絡拓撲結構、節點之間的信任關系一直處于動態變化之中，這使得節點之間身份認證的難度增大，攻擊者有機會冒充我軍裝備和人員從而加入我軍網絡中[5?6]；3)有關身份認證的信息大部分通過無線信道進行傳輸，這使得攻擊者更容易竊聽、修改在無線信道中傳輸的數據[7].因此，對裝備保障信息網絡身份認證體系及相關技術進行研究，對于提高我軍裝備保障信息網絡的信息安全保障能力具有十分重要的現實意義.

2 裝備保障信息網絡身份認證體系構建

2.1 裝備保障信息網絡身份認證體系總體結構

根據文獻[8]中對戰術互聯網網絡層次的劃分方法，將裝備保障信息網絡指揮權限中位于同一層級的節點劃分到同一網絡層次.采用這樣的劃分方法得到的每一個網絡層次中，各個子網采用相同的組網方式，這樣便于將每一個網絡層次中的身份認證進行統一研究.在裝備保障信息網絡的每一層子網中，都需要利用適當的認證方式提供所需的認證服務.因此，本文在裝備保障信息網絡結構的基礎上，從網絡層次、認證服務和認證方式3個維度，設計裝備保障信息網絡身份認證體系的總體結構如圖2所示.在圖2中，針對裝備保障信息網絡中具體的某一層，根據所需提供的認證服務，選擇適當的認證方式.例如，點A表示針對裝備保障信息網絡中的第1層(骨干通信網)，選擇基于示證者所擁有信物的認證方式提供節點對用戶的身份認證服務.下面對網絡層次、認證服務和認證方式分別進行詳細介紹.

圖2 裝備保障信息網絡身份認證體系的總體結構

2.2 裝備保障信息網絡的網絡層次

如圖1所示，裝備保障信息網絡采用分層網絡結構，具體可以分為4層.

1)第1層為骨干通信網，骨干通信網是根據作戰編成編組、通信保障需求，使用無線電接入節點車和用戶節點車上的衛星設備，快速組建的大覆蓋范圍、動中通的骨干網絡.骨干通信網上開設了若干干線節點，主要通過野戰大容量微波傳輸設備、高速無線電臺將干線節點、用戶節點、無線電接入節點互連，構成了柵格狀、分布式、機動、寬帶骨干網，滿足用戶各種業務通信需求.各級指揮所和武器平臺通過短波、超短波、通用高速數據電臺、微波可以接入骨干網.

2)第2層為裝備指揮所與作戰分隊中的上級指揮車、維修分隊的指揮部、器材倉庫的指揮部和彈藥倉庫的指揮部組成的子網，主要采用高速無線電臺、超短波電臺和短波電臺組網.

3)第3層為作戰分隊中的上級指揮車與下級指揮車之間、維修分隊指揮部與搶修單元和搶救單元的指揮車之間、器材倉庫指揮部與器材供應單元指揮車之間、彈藥倉庫指揮部與彈藥供應單元指揮車之間分別組成的子網，一般采用超短波電臺組網，網絡采用無中心、自組織組網策略.

4)第4層為作戰分隊指揮車與單裝之間、搶修單元指揮車與搶修裝備之間、搶救單元指揮車與搶救裝備之間、器材供應單元指揮車與器材供應車輛之間、彈藥供應單元指揮車與彈藥供應車輛之間分別組成的子網，一般采用與第3層子網相同的超短波電臺組網，網絡采用無中心、自組織組網策略.

2.3 裝備保障信息網絡中的認證服務

從裝備保障信息網絡的網絡層次、網絡特點及安全性需求來看，裝備保障信息網絡中需要提供的身份認證服務可以概括為如下3大類.

1)節點之間的身份認證服務.節點之間的身份認證服務用于確保在通信過程中一個網絡節點所聲稱的身份是真實而非假冒的，包括對信源和信宿的認證.在裝備保障信息網絡中，節點之間的身份認證服務既可以用于同一個子網中兩臺裝備之間的雙向身份認證，也可以用于一臺裝備進入到一個新的子網時與新子網中的另一臺裝備之間的雙向身份認證，從而防止敵人的裝備冒充我方裝備加入我方網絡中.

2)射頻系統中的身份認證服務.射頻系統中的身份認證服務用于實現RFID讀寫器和RFID標簽之間的身份識別，確保只有合法的RFID讀寫器才能訪問RFID標簽內存儲的數據，同時防止虛假RFID標簽冒充合法標簽.在裝備保障信息網絡中，射頻系統中的身份認證服務可以應用于對軍用物資存儲、運輸、分發等過程的監控中，一方面可以防止敵人用假冒的RFID讀寫器在一定距離內讀取我方軍用物資的相關信息，另一方面也可以防止敵人用假冒的RFID標簽向我方RFID讀寫器發送虛假的信息，從而干擾我方后端的物資數據庫、影響我方的裝備保障決策.

3)節點對用戶的身份認證服務.節點對用戶的身份認證服務用于當用戶在進入節點中的操作系統或訪問不同保護級別的系統資源時，系統驗證該用戶的身份是否真實、合法.在裝備保障信息網絡中，節點對用戶的身份認證服務一方面可以應用于當用戶登錄節點中的操作系統或訪問網絡中的信息資源時系統對用戶身份的驗證，另一方面也可以應用于當裝備保障指揮人員下達保障命令時裝備保障指揮控制系統對指揮人員身份和權限的驗證.

2.4 裝備保障信息網絡中的認證方式

認證方式是提供認證服務的基礎.針對上面總結的裝備保障信息網絡中需要提供的3大類身份認證服務，可以將裝備保障信息網絡中的認證方式總結為圖2中的11種，由于篇幅限制，下面僅對部分認證方式進行介紹和分析.

1)基于對稱密碼體制的認證方式[9].在基于對稱密碼體制的認證方式中，節點擁有相同的密鑰，并依靠該相同的密鑰實現雙向認證.該認證方式實現簡單、效率高，但安全性相對基于非對稱密碼體制的認證方式較低，并且當節點數量較大時，密鑰管理相對比較困難.由于裝備保障信息網絡的第3層子網中節點數目較少，且子網采用無中心、自組織路由策略，因此，可以將基于對稱密碼體制的認證方式應用于該層子網中以提供節點之間的身份認證服務.

2)基于集中式認證中心(Certificat Authority,CA)的認證方式[10?11].基于集中式CA的認證方式是指由第三方權威的CA為示證者提供證明其身份的信息，然后該示證者將CA提供的信息發送給驗證者以證明其身份.該方式的優點是利用CA可以方便地建立和維護一個可信的網絡環境，可以減小各個網絡節點的計算量和通信量，但需要建立專門的CA，且存在單點失效的問題，即一旦CA出現故障，整個網絡中的身份認證將無法實現.對于裝備保障信息網絡的第1層子網(即骨干通信網)，由于其網絡帶寬較大，網絡中節點的計算、存儲能力較強，且網絡對安全性的要求較高，因此，可以將基于集中式CA的認證方式應用于該層子網中以提供節點之間的身份認證服務.

3)基于分布式CA的認證方式[12?13].基于分布式CA的認證方式將CA的功能由網絡中的多個節點共同實現，因此，避免了基于集中式CA認證方式中的單點失效問題，但增加了網絡節點的計算量和通信量.根據網絡中所有節點是否均為服務節點，基于分布式CA的認證方式又可分為基于完全分布式CA的認證方式和基于部分分布式CA的認證方式[14].在基于完全分布式CA的認證方式中，網絡中所有節點均為服務節點，因此，該認證方式的服務可用性較強，但安全性相對較差；在基于部分分布式CA的認證方式中，網絡中只有一部分節點為服務節點，因此，該認證方式安全性較高，但服務可用性較差.由于裝備保障信息網絡的第4層子網中節點數目較多，且子網采用無中心、自組織路由策略，因此，可以將基于分布式CA的認證方式應用于該層子網中以提供節點之間的身份認證服務.

4)輕量級認證方式[15].輕量級認證方式主要使用偽隨機數發生器和循環冗余校驗(Cyclic Redundancy Check，CRC)碼設計射頻系統的身份認證協議，計算相對簡單，對內存要求也不高，因此，該方式應用非常廣泛.由于裝備保障相關的物資經常需要運輸，物資中RFID標簽的硬件條件受到很大限制，因此，可以將輕量級認證方式應用于裝備保障信息網絡中以提供射頻系統中的身份認證服務.

5)基于示證者所知道秘密的認證方式，如基于密碼、口令的用戶身份認證方式，該認證方式屬于弱因子認證方式，成本很低、易于實現，但由于密碼、口令長度一般較短，該認證方式容易遭到竊聽攻擊、字典攻擊、重放攻擊和窮搜索攻擊.基于上述特點，在裝備保障信息網絡中，可以將基于示證者所知道秘密的認證方式與其他認證方式組合起來使用以提供節點對用戶的身份認證服務.

6)基于示證者所擁有信物的認證方式，如基于智能卡、USB KEY等的用戶身份認證方式.該認證方式具有標準化和智能化等特點，且由于信物中存儲著長度較長的秘密信息、安全性較高，目前已被廣泛應用于各個領域，但該認證方式的不便之處是用戶必須隨身攜帶信物，如果信物丟失，則任何撿到信物的人員都可以容易地冒充真正的用戶.基于上述特點，在裝備保障信息網絡中，可以將基于示證者所擁有信物的認證方式與其他認證方式組合起來使用以提供節點對高權限用戶的身份認證服務.

在裝備保障信息網絡中，根據具體的網絡層次、網絡特點及安全性需求，可以單獨使用一種認證方式，也可以將幾種認證方式組合起來綜合運用.在認證方式的具體運用時，要根據裝備保障信息網絡的特點，對認證方式做一些必要的改進，從而提供安全的認證服務.例如，將基于對稱密碼體制的認證方式應用于裝備保障信息網絡的第3層子網中以提供節點之間的身份認證服務時，要設計好密鑰的更新機制，從而確保認證方式的安全性；將基于集中式CA的認證方式應用于裝備保障信息網絡的第1層子網(即骨干通信網)中以提供節點之間的身份認證服務時，要對集中式CA提供強有力的保護措施，從而確保認證方式的安全性；將基于分布式CA的認證方式應用于裝備保障信息網絡的第4層子網中以提供節點之間的身份認證服務時，要設計好分布式CA的門限值，從而同時確保認證方式的安全性和可用性；將輕量級認證方式應用于裝備保障信息網絡中以提供射頻系統中的身份認證服務時，要設計能夠實現RFID閱讀器和RFID標簽之間雙向認證的協議，從而確保認證方式的安全性；此外，可將基于口令的認證方式與基于USB KEY的認證方式組合起來使用,以提供節點對用戶的身份認證服務，將兩種認證方式的優勢互補，從而確保認證方式的安全性.

3 結論

本文在分析裝備保障信息網絡網絡結構及特點的基礎上，從網絡層次、認證服務和認證方式3個維度，構建了裝備保障信息網絡的身份認證體系.根據裝備保障的業務流程和裝備保障信息網絡的組網方式，將裝備保障信息網絡分為4層.根據裝備保障信息網絡的網絡層次、網絡特點及安全性需求，將裝備保障信息網絡中需要提供的身份認證服務概括為3大類：1)節點之間的身份認證服務；2)射頻系統中的身份認證服務；3)節點對用戶的身份認證服務.并對這3大類身份認證服務在裝備保障信息網絡中的具體作用進行了分析.總結了11種能夠提供這些認證服務的認證方式，對其中部分認證方式進行了介紹與分析，并對如何綜合運用這些認證方式進行了論證和闡述.所構建的裝備保障信息網絡身份認證體系為裝備保障信息網絡身份認證的研究構建了總體框架.下一步，根據裝備保障信息網絡的特點和需求，設計具體的安全高效的身份認證方案將是研究的重點.