一种基于无证书签名的物联网设备身份认证系统及方法

本发明涉及信息安全，特别涉及一种基于无证书签名的物联网设备身份认证系统及方法。

背景技术：

1、近年来，物联网规模迅速发展，物联网的安全问题也成为了亟待解决的问题。随着数以亿计的物联网设备接入网络，大量数据在用户与易受攻击的物联网终端设备之间传输，存在着相当大的隐私泄露风险。作为物联网安全体系的第一道防线，身份认证技术已被广泛应用到物联网设备之中，用以确保数据的安全性和接入设备的合法性。

2、目前，主流的基于数字签名技术的物联网身份认证方案主要有以下三种：基于证书的身份认证方案、基于身份签名的身份认证方案以及基于无证书签名的身份认证。基于证书的身份认证方案由于证书管理(包括撤销、存储、分发和认证等环节)造成了显著的计算与通信资源开销，难以适用于物联网这种带宽和计算存储资源受限并且需要在短时间内处理大量消息的场景；基于身份签名的身份认证方案则存在密钥管理问题：由于密钥生成中心kgc能够掌控认证系统内任意用户的私钥，一旦密钥生成中心被恶意节点攻陷，认证系统内所有用户的私钥都可能被窃取，造成较大的系统安全隐患；而基于无证书签名的身份认证方案则平衡了安全性与认证效率，有效地解决了前两者存在的证书管理问题或密钥管理问题。

3、然而，目前基于无证书的物联网设备身份认证方案仍存在以下问题：

4、1)中心化的认证方式：许多方案采用中心化的身份认证方式，所有物联网设备的认证过程都需要相同且唯一的可信权威机构参与。海量物联网设备的接入将导致可信权威机构承受巨大的计算与通信负担，一旦可信权威机构出现故障，则整个认证系统都无法正常工作。

5、2)计算开销较大：大多数方案都是基于双线性配对进行设计的，由于双线性配对运算的计算较为复杂，对于资源受限的物联网设备而言存在较大的计算负担；

6、3)设备匿名性问题：大多数方案不支持设备身份匿名或设备假名标识的动态更换，容易泄露设备身份信息。

技术实现思路

1、为解决现有技术存在的问题，本发明采用以下技术方案：

2、一种基于无证书签名的物联网设备身份认证方法，包括以下步骤：

3、系统初始化阶段：第一可信权威机构与第二可信权威机构共同生成公共参数及主密钥，并将公共参数上传到身份治理链中存证；

4、身份注册阶段：待注册设备与第一可信权威机构、第二可信权威机构通过标量乘法运算协作完成身份注册，待注册设备得到用于身份认证的秘密值对、公钥对以及假名标识；所述待注册设备包括物联网终端设备和边缘认证网关；

5、身份认证阶段：物联网终端设备通过标量乘法运算生成签名并发送至边缘认证网关，边缘认证网关根据签名对所述物联网终端设备身份的合法性进行验证；

6、设备假名更新阶段：当假名有效期已过或设备主动提出假名更新请求时，可信权威机构为边缘认证网关或物联网终端设备重新生成假名。

7、作为优选方案，所述系统初始化阶段，具体包括步骤：

8、输入安全参数λ，第一可信权威机构选取一个q阶群g；其中，q为素数且q>2λ；

9、第一可信权威机构和第二可信权威机构根据群g的生成元各自生成公私钥；

10、第二可信权威机构选取模糊提取器和系统的安全哈希函数；

11、第一可信权威机构与第二可信权威机构共同公开公共参数，并将公共参数上传到身份治理链中存证。

12、作为优选方案，所述身份注册阶段包括边缘认证网关注册阶段以及物联网终端设备注册阶段；所述边缘认证网关注册阶段具体包括步骤：

13、边缘认证网关生成秘密值；

14、第一可信权威机构生成部分私钥中间值；

15、第二可信权威机构生成部分私钥；

16、所述物联网终端设备注册阶段具体包括步骤：

17、物联网终端设备生成秘密值；

18、第一可信权威机构生成部分私钥中间值；

19、第二可信权威机构生成部分私钥。

20、作为优选方案，所述身份认证阶段包括物联网终端设备签名阶段和签名验签阶段。

21、作为优选方案，所述物联网终端设备签名阶段具体包括以下步骤：

22、物联网终端设备选取随机数以获取离线签名，并确定待发送消息；

23、物联网终端设备通过执行puf函数与哈希函数恢复密钥；

24、根据所述待发送消息和离线签名，物联网终端设备选取当前的时间戳ttm生成消息，并将消息发送至边缘认证网关。

25、作为优选方案，所述签名验签阶段具体包括以下步骤：

26、边缘认证网关检查时间戳是否处于合法时间范围内，若不在合法时间范围内，则拒绝消息；若处于合法时间范围内，边缘认证网关计算物联网终端设备的链上索引并判定设备假名标识的合法性，若假名标识不合法，则拒绝消息；

27、边缘认证网关验证签名的合法性。

28、作为优选方案，所述设备假名标识更换阶段包括边缘认证网关假名标识更换阶段和物联网终端设备假名标识更换阶段；

29、所述边缘认证网关假名标识更换阶段具体为：边缘认证网关将链上索引和假名标识更换请求发送给第二可信权威机构；第二可信权威机构检查是否存在链上索引，若不存在，拒绝该消息；否存在，第二可信权威机构执行智能合约，根据链上索引获取链上的边缘认证网关的原假名标识，并选取新假名标识发送给边缘认证网关；第二可信权威机构调用智能合约以更新边缘认证网关链上公开信息中的假名标识有效时间。

30、本发明还提供一种基于无证书签名的物联网设备身份认证系统，应用于如上所述的身份认证方法，包括第一可信权威机构、第二可信权威机构、身份治理链、若干个边缘认证网关和若干物联网终端设备；

31、所述第一可信权威机构和第二可信权威机构用于协同生成并公开系统公共参数，还用于协同响应所述边缘认证网关与物联网终端设备的身份注册请求；

32、所述身份治理链为联盟区块链，用于存证认证系统公共参数和物联网设备假名标识；

33、所述边缘认证网关用于验证所述物联网终端设备的身份合法性；

34、所述边缘认证网关以及物联网终端设备均内嵌有puf芯片。

35、结合上述的所有技术方案，本发明所具备的有益效果为：

36、1、本发明将身份注册阶段和身份认证阶段采用椭圆曲线上的标量乘法运算，替换了传统无证书签名中耗时的双线性配对运算，以减少时间和计算资源的消耗，同时解决了传统物联网设备身份认证方案中存在的密钥托管问题与证书管理问题，减少了系统对中心化认证机构的依赖。

37、2、本发明结合区块链技术，构建了去中心化的物联网系统架构，实现系统参数与物联网设备身份信息的公开透明与不可篡改，有效提升了身份认证系统的可信程度。

38、3、本发明通过引入边缘认证网关，有效降低了设备身份认证的通信时延和身份认证系统的网络负载，避免了传统物联网设备身份认证方案中可能存在的单点故障问题；同时，引入双重kgc机制，由两个可信权威机构共同完成公开参数以及部分密钥生成环节，一定程度上降低了单kgc因权力过大而带来的安全危害。

39、4、本发明通过引入物理不可克隆函数技术，将其与无证书密码体制相结合设计物联网设备认证方案，利用其不可复制的特性实现物联网设备秘密值的实时生成，提高了认证协议的安全性。

40、5、本发明通过引入模糊提取器技术，将其与物联网设备的假名标识更换与链上索引生成环节相结合，实现设备身份的动态匿名性。