基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法

摘 要：針對現(xiàn)有方法認(rèn)證效果不佳的問題，提出了基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法。先對商用密碼參數(shù)初始化，生成用于物聯(lián)網(wǎng)終端身份標(biāo)識的簽名主私鑰和加密主私鑰；然后對終端進(jìn)行身份標(biāo)識并生成終端簽名私鑰；最后采用基于證書的認(rèn)證機(jī)制對物聯(lián)網(wǎng)終端進(jìn)行接入安全認(rèn)證。實驗結(jié)果證明，應(yīng)用所提方法后，物聯(lián)網(wǎng)成功遭受入侵比例不足1%，身份認(rèn)證操作吞吐量明顯降低，基本可以實現(xiàn)物聯(lián)網(wǎng)終端身份的安全、快速認(rèn)證。

關(guān)鍵詞：商用密碼；物聯(lián)網(wǎng)終端；身份認(rèn)證；簽名主私鑰；加密主私鑰；身份標(biāo)識

中圖分類號：TP393；TN929.5 文獻(xiàn)標(biāo)識碼：A 文章編號：2095-1302（2024）08-00-03

DOI：10.16667/j.issn.2095-1302.2024.08.014

0 引 言

隨著物聯(lián)網(wǎng)設(shè)備的普及，大量個人信息和敏感數(shù)據(jù)都存儲在這些設(shè)備中。如果未經(jīng)身份認(rèn)證，任何人都可能訪問，導(dǎo)致數(shù)據(jù)泄露和濫用。通過身份認(rèn)證，可以確保只有授權(quán)的用戶才能訪問這些數(shù)據(jù)，提高數(shù)據(jù)的安全性。商用密碼技術(shù)是一種廣泛應(yīng)用于信息安全領(lǐng)域的加密技術(shù)，具有高度的安全性、可靠性和穩(wěn)定性，因此提出基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法。

1 物聯(lián)網(wǎng)終端身份認(rèn)證架構(gòu)

文中的研究對象為物聯(lián)網(wǎng)終端身份認(rèn)證，考慮到具體需求，決定采用商用密碼技術(shù)[1]。基于該技術(shù)構(gòu)建的物聯(lián)網(wǎng)終端身份認(rèn)證架構(gòu)主要由數(shù)據(jù)層、網(wǎng)絡(luò)層、共識層和表達(dá)層組成，具體如下：

（1）數(shù)據(jù)層是以商用密碼為基礎(chǔ)構(gòu)建的。在物聯(lián)網(wǎng)終端完成注冊后，身份信息會被存儲到數(shù)據(jù)層，并根據(jù)身份信息生成商用密碼，從而生成身份簽名。

（2）網(wǎng)絡(luò)層（P2P）是實現(xiàn)分布式物聯(lián)網(wǎng)節(jié)點(diǎn)之間通信的功能層，其保證了物聯(lián)網(wǎng)終端節(jié)點(diǎn)之間的通信、傳播和同步，從而實現(xiàn)物聯(lián)網(wǎng)負(fù)載的共享與分擔(dān)[2]。

（3）共識層是網(wǎng)絡(luò)節(jié)點(diǎn)遵循的規(guī)則，主要負(fù)責(zé)驗證，在分布式網(wǎng)絡(luò)節(jié)點(diǎn)之間創(chuàng)建一組明確的認(rèn)證協(xié)議，保持去中心化和分布式架構(gòu)，確保物聯(lián)網(wǎng)終端身份認(rèn)證交易在這些規(guī)則的邊界內(nèi)得到驗證。

（4）表達(dá)層主要分為執(zhí)行層和應(yīng)用層2個子功能層，應(yīng)用層負(fù)責(zé)連接物聯(lián)網(wǎng)終端身份認(rèn)證應(yīng)用程序接口，向執(zhí)行層發(fā)出身份認(rèn)證指令，然后執(zhí)行層根據(jù)物聯(lián)網(wǎng)重點(diǎn)提供的商用密碼對其身份進(jìn)行認(rèn)證，認(rèn)證成功后執(zhí)行終端設(shè)備接入物聯(lián)網(wǎng)操作。

2 基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法

2.1 商用密碼系統(tǒng)參數(shù)初始化

為實現(xiàn)該架構(gòu)下物聯(lián)網(wǎng)終端的身份認(rèn)證，提出基于商用密碼的身份認(rèn)證方法。先進(jìn)行系統(tǒng)參數(shù)初始化，生成用于物聯(lián)網(wǎng)終端身份標(biāo)識的簽名主私鑰和加密主私鑰[3]。在該方法中，由物聯(lián)網(wǎng)終端設(shè)備廠商擔(dān)任第三方，作為商用密碼生成中心。隨機(jī)選取兩個數(shù)ks、ds分別作為商用密碼系統(tǒng)的簽名主私鑰和加密主私鑰，將N階循環(huán)子群中的元素作為商用密碼系統(tǒng)中簽名主公鑰和加密主公鑰，其可表示為：

（1）

式中：P1、P2分別為商用密碼系統(tǒng)中簽名主公鑰和加密主公鑰；N1、N2均為N階循環(huán)子群[4]。由2個隨機(jī)數(shù)與簽名主公鑰和加密主公鑰組合，生成簽名主密對和加密主密對，其中簽名主密對用于后續(xù)物聯(lián)網(wǎng)終端身份認(rèn)證，加密主密對用于對簽名密鑰的封裝與交換。

2.2 基于商用密碼的終端標(biāo)識及密鑰生成

物聯(lián)網(wǎng)終端節(jié)點(diǎn)在接入網(wǎng)絡(luò)時，先在商用密碼系統(tǒng)完成身份標(biāo)識，標(biāo)識是終端用戶實體無法否認(rèn)的身份信息，是物聯(lián)網(wǎng)終端身份認(rèn)證過程中唯一一個可以確認(rèn)用戶實體的信息，比如用戶ID、身份證號等，終端用戶只有完成用戶標(biāo)識，才能獲取加密私鑰，而加密私鑰是終端用戶身份認(rèn)證的唯一密碼[5]。所有接入網(wǎng)絡(luò)的物聯(lián)網(wǎng)終端在商用密碼系統(tǒng)中登記自己的身份，商用密碼系統(tǒng)會按一定的規(guī)則為其指定對應(yīng)的識別碼，并按照上一節(jié)描述的步驟產(chǎn)生對應(yīng)的公鑰和私鑰。其他物聯(lián)網(wǎng)終端只要按照該標(biāo)識操作就可以進(jìn)行認(rèn)證。當(dāng)物聯(lián)網(wǎng)終端受到外界破壞或者服務(wù)到期時，需要撤銷其身份標(biāo)識，將物聯(lián)網(wǎng)終端變更為非可信終端。在商用密碼系統(tǒng)中維護(hù)物聯(lián)網(wǎng)終端標(biāo)識撤銷列表，定期撤銷列表中的終端標(biāo)識并在全網(wǎng)廣播。當(dāng)物聯(lián)網(wǎng)終端所屬實體發(fā)生改變時，需要更改終端身份標(biāo)識，終端設(shè)備需要重新申請身份標(biāo)識和簽名私鑰。根據(jù)生成的終端身份標(biāo)識，表示商用密碼系統(tǒng)中的元素。

（2）

式中：t表示商用密碼系統(tǒng)在物聯(lián)網(wǎng)終端設(shè)備身份標(biāo)識中的元素；H表示哈希函數(shù)；IDA表示物聯(lián)網(wǎng)終端設(shè)備的身份標(biāo)識；hid表示一個字節(jié)的曲線識別符[6]。如果計算的元素值為0，則說明物聯(lián)網(wǎng)終端用戶的簽名主私鑰已失效，商用密碼系統(tǒng)需要再一次生成一個隨機(jī)數(shù)作為主私鑰。如果計算的元素值不為0，則終端簽名主私鑰和加密主私鑰通過標(biāo)識計算生成終端簽名私鑰。

（3）

式中：s表示物聯(lián)網(wǎng)終端簽名私鑰。將生成的簽名私鑰由物聯(lián)網(wǎng)終端私密保存在本地設(shè)備上，用于后續(xù)物聯(lián)網(wǎng)終端安全接入認(rèn)證。

2.3 終端安全接入認(rèn)證

在物聯(lián)網(wǎng)終端接入網(wǎng)絡(luò)時，根據(jù)保存在本地設(shè)備上的簽名私鑰，完成物聯(lián)網(wǎng)終端與網(wǎng)絡(luò)的雙向安全認(rèn)證。考慮到終端設(shè)備數(shù)量較多，且具有較強(qiáng)的計算能力，位置也相對固定，因此采用基于證書的認(rèn)證機(jī)制完成物聯(lián)網(wǎng)終端與網(wǎng)絡(luò)之間的認(rèn)證[7]。在終端數(shù)量較多時，采用證書鏈的方式降低證書頒發(fā)機(jī)構(gòu)的管理負(fù)荷量，把已有的證書頒發(fā)機(jī)構(gòu)按照層次化形式組合在一起，形成證書鏈，如圖1所示。

證書頒發(fā)機(jī)構(gòu)為終端頒發(fā)根證書、中間證書和終端證書，證書的產(chǎn)生與驗證一致，只要能夠被其中一個信任的證書頒發(fā)機(jī)構(gòu)驗證合法即可。

當(dāng)物聯(lián)網(wǎng)終端設(shè)備要接入網(wǎng)絡(luò)時，向網(wǎng)絡(luò)發(fā)送接入證書請求，請求信息中包含一次性隨機(jī)數(shù)、身份標(biāo)識，將證書請求消息使用本地設(shè)備保存的私鑰簽名和終端證書發(fā)送給身份認(rèn)證中心，其用公式表示為：

（4）

式中：IDE表示終端接入證書請求；SK表示對稱會話密鑰；PEM表示終端證書。網(wǎng)絡(luò)通過證書驗證物聯(lián)網(wǎng)終端設(shè)備的身份合法性，并通過產(chǎn)生的隨機(jī)數(shù)與密鑰會話協(xié)商，利用物聯(lián)網(wǎng)終端設(shè)備的公鑰對會話進(jìn)行加密處理。會話密鑰協(xié)商后再生成一個隨機(jī)數(shù)，用于加密協(xié)商返回消息。利用終端設(shè)備的私鑰簽名，將該消息與終端證書一同反饋給物聯(lián)網(wǎng)終端，物聯(lián)網(wǎng)終端設(shè)備通過證書對對方的合法身份進(jìn)行驗證，并使用私鑰解密，完成物聯(lián)網(wǎng)終端設(shè)備與網(wǎng)絡(luò)之間的基于證書的密鑰協(xié)商與雙向安全認(rèn)證。為保證物聯(lián)網(wǎng)終端身份認(rèn)證效率，建立物聯(lián)網(wǎng)終端之間的雙向認(rèn)證及信任列表，終端設(shè)備周期性廣播自身的身份標(biāo)識。當(dāng)終端之間需要通信時，雙方可根據(jù)信任列表檢查對方終端ID是否在信任列表中，如果屬于則無需再次進(jìn)行身份認(rèn)證，可直接通信；如果不屬于則需要按照上文描述流程進(jìn)行身份認(rèn)證，以此實現(xiàn)基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證[8-9]。

3 實驗論證

3.1 實驗準(zhǔn)備與設(shè)計

為驗證文中提出的基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法的性能，搭建實驗環(huán)境，進(jìn)行了性能測試。實驗搭建適用于ARM、X68等平臺的通信網(wǎng)絡(luò)。由一臺i8 400M 32G服務(wù)器作為商用密碼管理服務(wù)端，由一臺i8 400M 16G服務(wù)器作為商用密碼管理客戶端，8個物聯(lián)網(wǎng)終端作為客戶端終端設(shè)備。物聯(lián)網(wǎng)終端在通信過程中利用IHFAS-A8F8入侵軟件發(fā)起入侵行為，入侵種類包括欺騙入侵、女巫入侵、重放入侵、消息替換入侵等，入侵次數(shù)為800次，利用文中方法對物聯(lián)網(wǎng)終端進(jìn)行身份認(rèn)證，抵抗非法入侵[10]。

3.2 實驗結(jié)果與討論

以物聯(lián)網(wǎng)成功遭受入侵比例和身份認(rèn)證操作吞吐量作為指標(biāo)完成方法性能的評價。物聯(lián)網(wǎng)成功遭受入侵比例可以檢驗身份認(rèn)證的有效性，比例越低，說明身份認(rèn)證安全性越高，有效性越好；身份認(rèn)證操作吞吐量可以檢驗認(rèn)證速度和效率，操作吞吐量越小，說明物聯(lián)網(wǎng)終端身份認(rèn)證操作消耗資源越少，執(zhí)行速度越快，用戶體驗越好。為保證實驗數(shù)據(jù)具有一定的說明性，將文中方法、基于區(qū)塊鏈的認(rèn)證方法和基于SM9的認(rèn)證方法進(jìn)行對比分析，3種方法下的對比結(jié)果見表1、表2所列。

3種方法在2個指標(biāo)中均表現(xiàn)出明顯差異，從物聯(lián)網(wǎng)成功遭受入侵比例方面來看，文中方法表現(xiàn)最佳，平均入侵比例僅為0.23%；基于區(qū)塊鏈的認(rèn)證方法比其高約7個百分點(diǎn)；基于SM9的認(rèn)證方法比其高約12個百分點(diǎn)。說明文中方法安全性能良好。從身份認(rèn)證操作吞吐量方面看，文中方法的平均吞吐量約為40 TPS，基于區(qū)塊鏈的認(rèn)證方法約是其9.46倍，

基于SM9的認(rèn)證方法約是其11.87倍，說明應(yīng)用該方法后身份認(rèn)證操作計算量小、執(zhí)行快，方法的響應(yīng)性能良好。通過以上實驗數(shù)據(jù)的對比分析證明了文中方法性能良好，相較當(dāng)前主流方法更適用于物聯(lián)網(wǎng)終端身份認(rèn)證。

4 結(jié) 語

為保證物聯(lián)網(wǎng)數(shù)據(jù)安全，文中提出了一種基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法。該方法利用商用密碼算法生成了動態(tài)密鑰，實現(xiàn)了對終端設(shè)備的唯一標(biāo)識和安全認(rèn)證，有效避免了非法終端的入侵和數(shù)據(jù)泄露的風(fēng)險。在實際應(yīng)用中，該方法表現(xiàn)出了良好的性能和穩(wěn)定性，能夠滿足大規(guī)模物聯(lián)網(wǎng)系統(tǒng)的需求。同時，該方法還具有較好的擴(kuò)展性，能夠方便地與其他安全機(jī)制集成，提高物聯(lián)網(wǎng)系統(tǒng)的安全性。然而，物聯(lián)網(wǎng)安全是復(fù)雜而廣泛的領(lǐng)域，單一的身份認(rèn)證方法并不能完全解決所有的安全問題。因此，未來的研究應(yīng)該進(jìn)一步探索如何結(jié)合多種安全技術(shù)，構(gòu)建更加完善和健全的物聯(lián)網(wǎng)安全體系，基于商用密碼的物聯(lián)網(wǎng)終端身份認(rèn)證方法將具有更廣泛的應(yīng)用前景和更大的價值。

參考文獻(xiàn)

[1]江為強(qiáng)，劉利軍，王川功，等. 物聯(lián)網(wǎng)場景下算力網(wǎng)絡(luò)終端安全接入研究[J]. 電信工程技術(shù)與標(biāo)準(zhǔn)化，2023，36 （11）： 56-61.

[2]杜瀚霖，郭志達(dá)，李曉莉，等. 基于區(qū)塊鏈技術(shù)的電力物聯(lián)網(wǎng)終端安全認(rèn)證系統(tǒng)應(yīng)用研究[J]. 電力大數(shù)據(jù)，2023，26 （9）： 10-17.

[3]張金花，李曉偉，曾新，等. 邊緣計算環(huán)境下基于區(qū)塊鏈的跨域認(rèn)證與密鑰協(xié)商協(xié)議[J]. 信息安全學(xué)報，2021，6 （1）： 54-61.

[4]何佩，鄭文斌，池曉金，等. 電力物聯(lián)網(wǎng)終端存儲設(shè)備身份認(rèn)證與數(shù)據(jù)保護(hù)方法研究[J]. 西北工業(yè)大學(xué)學(xué)報，2022，40 （5）： 1188-1194.

[5]李聰，孫吉斌，解沖鋒. 基于IPv6的5G專網(wǎng)終端身份認(rèn)證技術(shù)與應(yīng)用[J]. 移動通信，2022，46 （8）： 47-52.

[6]廖會敏，俞果，班國民，等. 基于國密SM9算法的電力物聯(lián)網(wǎng)身份認(rèn)證技術(shù)研究[J].山東電力技術(shù)，2020，47 （10）： 1-5.

[7]李曉璇，何涇沙.分簇?zé)o線傳感器網(wǎng)絡(luò)基于隨機(jī)數(shù)的兩級身份認(rèn)證[J].電子設(shè)計工程，2014，22（23）：151-153.

[8]王森.基于商用密碼的射頻標(biāo)簽安全管理[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2022，22（9）：35-37.

[9]蔣月華.基于改進(jìn)EAP的無線局域網(wǎng)絡(luò)安全身份認(rèn)證的研究[J].電子設(shè)計工程，2020，28（16）：124-127.

[10]王晶，馬淑暉.基于身份加密技術(shù)的商用密碼應(yīng)用研究[J].中國科技成果，2021，22（13）：32-34.

收稿日期：2024-01-05 修回日期：2024-02-07

作者簡介：劉斯遠(yuǎn)（1974—），男，江西南昌人，副教授，研究方向為信息化建設(shè)和管理。