06標(biāo)識認(rèn)證在網(wǎng)絡(luò)安全的創(chuàng)新應(yīng)用

1、一、網(wǎng)絡(luò)安全認(rèn)證體系現(xiàn)狀分析萬物互聯(lián)，網(wǎng)絡(luò)互聯(lián)網(wǎng)移動互聯(lián)網(wǎng)物聯(lián)網(wǎng)融合網(wǎng)絡(luò)萬物互聯(lián)的泛在網(wǎng)絡(luò)網(wǎng)絡(luò)開放網(wǎng)絡(luò)，泛濫Gmail、雅虎和賬號泄露360公司“電網(wǎng)”1、網(wǎng)絡(luò)行為從以竊取用戶、盜取用戶資金為目的傳統(tǒng)互聯(lián)網(wǎng)和移動互聯(lián)網(wǎng)，演進(jìn)為可危及工業(yè)設(shè)施安全、公共交通安全等的對工控網(wǎng)、車聯(lián)網(wǎng)等泛在網(wǎng)絡(luò)的。2、網(wǎng)絡(luò)安全頻發(fā)的大多數(shù)可歸結(jié)于認(rèn)證、的問題。捍衛(wèi)安全，認(rèn)證為本l 基于知識因素的認(rèn)證Ø 賬號口令l 基于擁有因素的認(rèn)證Ø 驗證碼Ø 對稱密鑰認(rèn)證技術(shù)Ø PKI簽名認(rèn)證技術(shù)Ø 其他簽名認(rèn)證技術(shù)l 基于固有因素的認(rèn)證Ø 人的聲紋、面紋等Ø

2、的ID等OSI安全體系架構(gòu)對進(jìn)行認(rèn)證主要依托對稱密鑰認(rèn)證技術(shù)以及簽名認(rèn)證技術(shù)。新的網(wǎng)絡(luò)，新的融合網(wǎng)絡(luò)多對多結(jié)構(gòu)演進(jìn)節(jié)點(diǎn)計算能力不均衡新型網(wǎng)絡(luò)（如車聯(lián)網(wǎng)）拓?fù)?快速變化中小型規(guī)模規(guī)模龐大新型網(wǎng)絡(luò)條件下對認(rèn)證技術(shù)提出的：融合網(wǎng)絡(luò)中的短程通信網(wǎng)絡(luò)帶寬資源受限；多對多結(jié)構(gòu)導(dǎo)致由中心認(rèn)證方式轉(zhuǎn)變?yōu)槎喙?jié)點(diǎn)交叉認(rèn)證；拓?fù)淇焖僮兓笤诠?jié)點(diǎn)間可通信范圍內(nèi)完成認(rèn)證；規(guī)模龐大的節(jié)點(diǎn)增加了并發(fā)計算的，節(jié)點(diǎn)計算能力不均衡需要輕量級的認(rèn)證服務(wù)。單一網(wǎng)絡(luò)一對多結(jié)構(gòu)傳統(tǒng)網(wǎng)絡(luò)節(jié)點(diǎn)計算能力強(qiáng)大拓?fù)湎鄬π碌木W(wǎng)絡(luò)，新的萬物互聯(lián)，傳統(tǒng)PKI能否獨(dú)當(dāng)泛在網(wǎng)絡(luò)下的可信認(rèn)證之大任？3驗證鏈，驗證簽名RSU2PKI在車聯(lián)網(wǎng)應(yīng)用中的缺陷：1、

3、帶寬占用量大，ETSI標(biāo)準(zhǔn)定義一個環(huán)境通知消息DENM數(shù)據(jù)包消息體長度約40Byte，而單個 容量基本超過1K，將增加了傳輸報文20倍以上。在大用戶量下，將會造成極大的通信擁堵。2、RSU驗證簽名之前要驗證 鏈的 ，大大增加了驗證的時間， RSU需要集中處理眾多車輛的消息，驗證時間加長可能會導(dǎo)致RSU消息處理時間大于消息報文傳輸時間，將會導(dǎo)致大量的消息丟棄。因此，PKI體系不適合在車聯(lián)網(wǎng)很多場景下的應(yīng)用。1計算消息簽名計算消息簽名計算消息簽名車聯(lián)網(wǎng)等新型網(wǎng)絡(luò)場景下的可信認(rèn)證技術(shù)何去何從二、標(biāo)識認(rèn)證在網(wǎng)絡(luò)安全的創(chuàng)新應(yīng)用標(biāo)識技術(shù)基于標(biāo)識的系統(tǒng)（Identity-Based Cryptograph,

4、IBC），是一種公鑰體系。標(biāo)識最主要觀點(diǎn)是系統(tǒng)中不需要證書，使用用戶/的標(biāo)識如郵箱地址、號碼、ID等作為公鑰。用戶的私鑰由密鑰生成中心根據(jù)系統(tǒng)主密鑰和用戶標(biāo)識計算得出。用戶的公鑰由用戶標(biāo)識唯一確定，從而用戶不需要第來保證公鑰的真實(shí)性。通過標(biāo)識技術(shù)，無需的簽發(fā)和交換，極大簡化了公鑰認(rèn)證和加密的流程。IBC包含PBC和CPK兩種技術(shù)體系。IBC的提出 （1984） IBE系統(tǒng)發(fā)現(xiàn) （2001）CPK體系提出 （2003）SM9標(biāo)準(zhǔn)發(fā)布 （2016）skID密鑰生成中心（KGC）（skKGC）pkKGC 于2016 年發(fā)布了基于雙線性對技術(shù)的“SM9標(biāo)識算法標(biāo) 2003年我國南湘浩提出了基于組合公鑰

5、CPK 技術(shù)的IBC體 Boneh和Franklin發(fā)明了基于Weil 雙線性對的IBE系統(tǒng)； Shamir提出了基于標(biāo)識的系統(tǒng)的概念；IDMM|signatureResult標(biāo)識認(rèn)證技術(shù)CPK體制CPK即組合公鑰體制，將密鑰生產(chǎn)和管理結(jié)合，能夠?qū)崿F(xiàn)數(shù)字簽名和密鑰交換，可以滿足超大規(guī)模的標(biāo)識鑒別、實(shí)體鑒別、數(shù)據(jù) 需求。密鑰生產(chǎn)管理集中、使用去中心化、可離線認(rèn)證的特性， 尤其適用于物聯(lián)網(wǎng)（車聯(lián)網(wǎng)）場景。地球上有多少顆沙子？10 23 量級！Ø 大規(guī)模Ø 輕體量Ø 去中心Ø 高效率公鑰Ø 更簡潔用戶標(biāo)識hashECC私鑰公鑰加密 /驗證/ 簽名私鑰

6、Ø 抗量子Ø 更安全密鑰管理中心標(biāo)識認(rèn)證技術(shù)CPK體制中心CERT1 B的CERT3網(wǎng)絡(luò)A的終端A終端B2 4終端A傳統(tǒng)認(rèn)證流程終端BØ 有傳遞過程，對網(wǎng)絡(luò)環(huán)境敏感度高Ø 認(rèn)證流程復(fù)雜，對接和開發(fā)成本高Ø 系統(tǒng)間依賴程度高，故障易傳導(dǎo)Ø 信任傳遞使安全性脆弱，中間人Ø 基于標(biāo)識直接認(rèn)證，對網(wǎng)絡(luò)環(huán)境度高Ø 認(rèn)證流程簡潔高效，對接和開發(fā)成本低Ø 系統(tǒng)掌握，故障率低Ø 不信任傳遞，沒有中間人CPK基于橢圓曲線運(yùn)算，而SM9基于雙線性對運(yùn)算，雙線性對計算復(fù)雜，因此CPK相比于SM9具有更快的運(yùn)算速度！標(biāo)

7、識保障車聯(lián)網(wǎng)安全車聯(lián)網(wǎng)架構(gòu)骨干網(wǎng)絡(luò)基站基站基站802.16802.11p有線連接車內(nèi)結(jié)構(gòu)OBDCAN總線T-BOX車載操作系統(tǒng)ECUAP/RSUAP/RSUAP/RSUAP/RSUOBU標(biāo)識保障車聯(lián)網(wǎng)安全車聯(lián)網(wǎng)安全威脅序號目的安全訴求1享受更 道路資源通過 定義無線電等冒充RSU或者篡改 合法RSU向其他車輛發(fā)布虛交通擁堵、事故等 ，以達(dá)到享受更道路資源目的。RSU消息的認(rèn)證性、完整性（車輛對RSU消息的認(rèn)證）2非 互聯(lián)網(wǎng)接入服務(wù)分析AP接入認(rèn)證的漏洞，達(dá)到非 的AP接入目的，享受 的互聯(lián)網(wǎng)接入服務(wù)車輛消息的認(rèn)證性（AP對車輛的認(rèn)證）3或交通事故逃避責(zé)任通過在篡改車輛傳輸過程中的消息或篡改已保

8、存的消息（如位置、時間等 ）， 不在場等證據(jù)，已達(dá)到逃避責(zé)任的目的車輛消息的認(rèn)證性、完整性、不可否認(rèn)性（RSU對車輛、 車輛對車輛的認(rèn)證）4擾 通車輛、RSU消息的認(rèn)證性、完整性、不可否認(rèn)性。可通過冒充RSU等多種發(fā)布虛假以擾通秩序或事故標(biāo)識保障車聯(lián)網(wǎng)安全V2V、V2I快速認(rèn)證V2V認(rèn)證：車輛A的ID消息數(shù)據(jù)時間戳簽名值基站車輛A向車輛B發(fā)送的認(rèn)證數(shù)據(jù)骨干網(wǎng)絡(luò)車輛B向車輛A發(fā)送的認(rèn)證數(shù)據(jù)車輛B的ID消息數(shù)據(jù)時間戳簽名值RSURSURSUV2I認(rèn)證：車輛A的ID消息數(shù)據(jù)時間戳簽名值車輛A向RSU發(fā)送的認(rèn)證數(shù)據(jù)RSU的ID消息數(shù)據(jù)時間戳簽名值RSU向車輛A發(fā)送的認(rèn)證數(shù)據(jù)OBU基于ID的快速認(rèn)證，認(rèn)

9、證速度快（無需驗鏈）， 網(wǎng)絡(luò)負(fù)載低（無需傳輸），解決了車輛和RSU 發(fā)送消息的認(rèn)證性、完整性和不可抵賴性。標(biāo)識保障車聯(lián)網(wǎng)安全認(rèn)證密鑰管理中心通過摘要等算法將車輛真1實(shí)ID成多個虛擬ID虛擬ID 將真實(shí)的VIN號等 成虛擬ID，通過虛擬ID對應(yīng)的私鑰簽名，保障了發(fā)送消息的 性2將<虛擬ID，私鑰>組數(shù)據(jù)分發(fā)給車輛多虛擬ID機(jī)制 通過給車輛生成多個虛擬ID， 車輛簽名時可隨機(jī)選擇使用哪個虛擬ID私鑰進(jìn)行驗簽，避免使用同一ID被追蹤路徑RSURSU 可將有效期作為ID的一部認(rèn)證認(rèn)證短時效的ID分，驗證方直接ID是否失效認(rèn)證3認(rèn)證可追溯責(zé)任 車輛發(fā)生消息對其他車輛和RSU是的，但密鑰管理中

10、心保存著真實(shí)ID的匹配， 能夠?qū)灻黧w進(jìn)行追責(zé)。標(biāo)識保障車聯(lián)網(wǎng)安全基于移動的快速認(rèn)證切換AP1及平臺基1 于標(biāo)識算法認(rèn)認(rèn)證服務(wù)器2 感知算法車輛行為預(yù)認(rèn)證處理，3 后認(rèn)證處理。 車輛請求AP或平臺認(rèn)證時， 只攜帶標(biāo)識、簽名值等， 無需攜，數(shù)據(jù)量小， 極大減少了DSRC的帶寬資源和傳輸速率的； AP或平臺對車輛認(rèn)證時，只需根據(jù)ID計算公鑰， 再對簽名進(jìn)行驗證，而無需驗證鏈，極大加快了驗證的效率；證車輛AP1AP2 基于感知網(wǎng)絡(luò)的，可提前進(jìn)行預(yù)認(rèn)證處理，加快了車輛在不同AP切換時的認(rèn)證速度。車輛A，T時刻，AP1接入中車輛A，T+T時刻，切換AP2標(biāo)識保障車聯(lián)網(wǎng)安全安全性分析1 算法強(qiáng)度 CPK算法是基于ECC/SM2算法根據(jù)ID組合出公鑰，本質(zhì)上是利用ECC的簽名驗簽原理， 因此其算法強(qiáng)度是等價于ECC/SM2算法的強(qiáng)度。2 無中間人 CPK算法直接以用戶ID綁定用戶的公鑰，無需第 保證公鑰的 ，無需傳遞 ， 不 信任的傳遞，因此無中間人 。3 抗重放 V2X通信本身是高速 狀態(tài)下的認(rèn)證，并且通信距離相對較短，重放 的實(shí)施條件較難具備； 認(rèn)證報文中加入時間戳，有效抵抗重放 。標(biāo)識保障車聯(lián)網(wǎng)安全其他應(yīng)用場景CPK 安全云密鑰下發(fā)交通設(shè)施管理云密鑰下發(fā)路基上傳路基固件升級軟盾TSP平臺安全上固傳件軟盾車升況級藍(lán)牙泊車安全密鑰管理軟盾認(rèn)證藍(lán)牙鑰匙密鑰矩陣