一种基于云-边-端协同的工业设备可信接入方法

阅读：评论：0

1.本发明属于信息安全处理技术领域，具体涉及一种工业设备可信接入方法。

背景技术：

2.工业智能制造网络信息系统作为智能制造企业关键基础设施的“神经中枢”，系统的安全稳定的运行是企业生产业务正常开展的前提，而对系统最大的威胁就是接入系统的数以千万计的工业设备。工业设备作为智能制造系统的终端之一，具有数量规模大、分布广的特点，并且随着柔性生产技术引入，新、旧生产线不断组合，工业设备接入认证还存在移动性问题，这在离散行业表现尤为突出。工业设备种类繁多、结构差异大，网络接入/撤销具有随机性，以上这些特点均增加了工业设备可信接入的技术难度。要想降低系统的安全风险，安全可信认证机制就成为了设备可信接入的基础。在边缘计算场景下，边缘节点可以就近对数据进行处理分析，边缘节点和云端之间协同处理可大大减少云认证中心的负载及数据传输量，但同时由于边缘节点通信协议复杂，且安全功能不足，极易成为渗透至云平台的攻击跳板。边缘计算作为云计算的重要扩展，传统的云-端网络架构演变为云-边-端一体化架构。
3.由于工业智能制造系统中存在种类繁多的设备和应用系统，传统的安全认证模式很难适应工业设备数量大、移动性以及随机接入/撤销网络等特性。另一方面，传统的认证模式采用的是集中式认证架构，随着工业智能制造系统规模的扩大会使系统的复杂性快速增长，使管理维护的开销增加，并且该模式下的系统的开发、维护、功能添加较为复杂。另一方面，该模式下的系统健壮性较弱，认证服务器故障时会造成整个系统的认证服务瘫痪。此外，同一时段大量工业设备发起认证申请会造成网络延迟以及服务器工作效率降低等问题。

技术实现要素：

4.为了克服现有技术的不足，本发明提供了一种基于云-边-端协同的工业设备可信接入方法，针对工业设备数量巨大以及异构性等特点，构建分层的树形可信认证链模型，以解决工业设备可信接入的分布式认证问题，为云-边-端协同认证提供技术服务支撑；为确保边缘认证服务器的可信性，采用基于切比雪夫多项式的工业边缘设备云-边接入认证；考虑到工业设备的移动性和随机性，采用基于椭圆曲线的ibc标识密码边-端双向接入认证和基于域间节点协同的工业设备边-端跨域接入认证，以满足工业设备接入认证的高效性、实时性和移动性要求。本发明方法避免了不同安全域内的设备由于系统参数不同造成的认证困难问题，缩短了认证的时延，提高了工业设备跨域认证的效率。
5.本发明解决其技术问题所采用的技术方案包括如下步骤：
6.步骤1：云-边-端协同工业设备认证环境构建；
7.采用三层树形分布式可信认证链模型，解耦出云端服务器的部分认证与管理功能，部署到边缘节点上，用于实现云-边、边-边、以及边-端协同接入认证；具体如下：
8.云-边-端协同工业设备认证环境包含3个实体：云认证中心、边缘节点和工业设备，其中云认证中心用于提供设备联网服务，负责全局策略数据分发、边缘节点管理、接收工业设备上传的数据进行分析处理并为边缘节点提供认证接入服务；云-边-端协同工业设备认证环境是以云端服务器为认证中心，逐层分散延伸的认证模式，包括云-边协同、边-边协同和边-端协同认证三部分；
9.步骤2：基于切比雪夫多项式的工业边缘设备云-边接入认证；
10.(1)边缘节点e将自己的id与云端服务器s的id发送给服务器s发起连接请求；
11.(2)当云端服务器s收到连接请求后给边缘节点e返回云端服务器s的公钥和由云端服务器s与第三方密钥分发中心kdc共享的密钥k
sk
的加密信息；
12.(3)边缘节点e将收到的信息通过时钟认证发送给可信任的第三方密钥分发中心kdc来验证云端服务器s的身份；
13.(4)第三方密钥分发中心kdc将收到的信息解密返回边缘节点e；
14.(5)边缘节点e根据收到解密得到的数值，基于chebyshev多项式的半特性计算出边缘节点e与云端服务器s的共享密钥k
se
；加密发送认证信息到云端服务器s；
15.(6)云端服务器s收到加密信息后，计算共享密钥并核实边缘节点e的身份，返回认证成功的信息；
16.(7)边缘节点e收来自云端的认证通过的信息后，返回接入成功的应答，边缘节点在云-边接入认证阶段完成接入；
17.步骤3：基于椭圆曲线的ibc标识密码边-端双向接入认证；
18.工业设备在边-端接入认证，基于挑战应答的认证机制，采取双向接入认证方法，通过工业设备和边缘节点的两次挑战应答来实现通信双方对彼此身份真实性的验证；其中，t是认证发起方，即工业设备；u是认证服务器，即边缘节点；具体如下：
19.(1)工业设备t选择随机数、时间戳，然后将其与边缘节点u的id号连接发送给边缘节点u请求接入；
20.(2)边缘节点u接收到工业设备t的接入请求后，计算工业设备t的公钥并解密密文，验证时间戳的有效性核实消息的真实性，如果不相符则丢弃接入请求；否则边缘节点u选取随机数向工业设备t发送身份认证挑战信息；
21.(3)工业设备t收到来自边缘节点u的挑战后，计算边边缘节点u的公钥并解密得到的信息，验证时间戳，通过椭圆曲线双线性对性质检验边缘节点u是否是安全域内的注册设备，若验证失败表示边缘节点u为非法设备，认证失败，否则证明工业设备t对边缘节点u认证成功；
22.(4)工业设备t生成新的时间戳和随机数，向边缘节点u返回挑战的应答信息；边缘节点u收到工业设备t验证信息后，验证时间戳有效性，通过椭圆曲线双线性对性质检验工业设备t是否是安全域内的注册设备，若验证失败表明t为非法设备，边缘节点u对工业设备t认证失败，验证成功则表明边缘节点u对工业设备t认证成功；工业设备和边缘节点双向接入认证完成；
23.步骤4：基于域间节点协同的工业设备边-端跨域接入认证；
24.利用边缘节点认证服务器将整个工作区域划分为不同接入认证安全域，通过中心节点的协同认证来提升跨域认证的效率；当工业设备进入某一安全域时，发送接入认证的
消息给边缘节点，若工业设备在另一安全域已经通过认证，则该边缘节点通过域间的中心节点协同认证来核实工业设备身份的真实性，实现工业设备不受时间和地域限制的接入认证；具体如下：
25.(1)设m为待接入的工业设备，a和b分别表示两个边缘节点，p和q分别表示归属域和漫游域的中心节点服务器，中心节点服务器属于边缘节点；
26.(2)m发送一个消息给中心节点服务器q表明它想接入b；
27.(3)中心节点服务器q通过信息连接到m的归属域的中心节点服务器p，并请求核实m的认证信息；
28.(4)p验证通过后回应一个加密消息，包括m的合法性及q和m间的会话密钥的封装信息；
29.(5)q收到信息，确认m的合法性，获取会话密钥，发送一条消息给m；
30.(6)m收到消息，获取m和q以及m和b的会话密钥，核实q的身份，发送消息给b；
31.(7)b接收到消息，b首先解密该封装信息并检查时间截和生命周期，如果封装信息产生的时间在设定的时间范围内，就用封装的密钥来解密，然后用会话密钥k
bm
加密后返回时间戳，以供m确认b的身份；
32.(8)b、m相互确认身份合法性后，b将会通过m的接入请求，并将用此会话密钥进行通信。
33.本发明的有益效果如下：
34.本发明针对工业智能制造环境中设备跨域难，实时性不高，接入认证效率低等技术问题，提出一种基于云-边-端协同的可信接入认证方法，实现了工业设备云-边、边-边、以及边-端的协同接入认证。云-边接入认证阶段采用基于切比雪夫多项式的工业边缘设备接入认证方法，利用基于切比雪夫多项式的半特性减少了通信双方的资源消耗，在身份认证过程中自动生成边缘节点e和s会话密钥，不需要依靠kdc来分发会话密钥。这样既解决了当边缘节点很多时kdc分发密钥可能会遇到的瓶颈的问题，也解决了边缘节点与云端之间会话的安全性问题。工业设备边-端接入认证阶段，采用基于椭圆曲线的ibc标识密码的双向接入认证方法，相较于其它方法，该方法无需预先协商密码或者交换证书，可以大大减少传统证书认证方式的申请和验证环节，易于使用，接入效率更高。工业设备边-端跨域接入认证阶段，采用基于域间节点协同的工业设备跨域接入认证方法，在安全域内构建中心认证服务器作为域间协同节点，将工业设备跨域接入过程中的身份核实问题交给不同域的中心服务器来协商完成，避免了不同安全域内的设备由于系统参数不同造成的认证困难问题，相比其他跨域认证方法缩短了认证的时延，提高了工业设备跨域认证的效率。
附图说明
35.图1为本发明云-边-端分布式工业设备认证环境。
36.图2为本发明工业设备可信接入场景拓扑图。
37.图3为本发明云-边接入认证流程图。
38.图4为本发明工业设备边-端接入认证方法示意图。
39.图5为本发明工业设备跨域接入认证示意图。
具体实施方式
40.下面结合附图和实施例对本发明进一步说明。
41.本发明提出了一种基于云-边-端协同的工业设备可信接入技术。针对工业设备数量巨大以及异构性等特点，构建分层的树形可信认证链模型，以解决工业设备可信接入的分布式认证问题，为云-边-端协同认证提供技术服务支撑。为确保边缘认证服务器的可信性，采用一种基于云-边协同可信认证方法；考虑到工业设备的移动性和随机性，采用一种基于不同安全域的边-端协同和跨域安全接入认证技术，以满足工业设备接入认证的高效性、实时性和移动性要求。具体方法描述如下：
42.1、云-边-端协同工业设备认证环境构建
43.该方法主要针对的问题是工业设备的接入认证，为了解决工业设备数量多、移动性强、资源受限等问题，同时还要保证认证高效性和实时性，提出了一种基于云-边-端协同的接入认证技术。该方法采用一种分层的树形可信认证链模型，采用分布式认证方式，实现云-边、边-边、以及边-端协同接入认证。云-边-端协同接入认证技术，可以有效的解决云认证中心负载、认证距离远而产生的时延以及数据传输量大的问题，云-边-端三层认证模式采取解耦出云端服务器的部分认证与管理功能，部署到工业边缘节点上的办法，设计以边缘网关为基础的分布式终端认证机制，实现工业设备的边缘认证与管理。云-边-端分布式工业设备认证环境如图1所示。
44.云-边-端分布式工业设备认证环境主要包含3个实体：云认证中心、边缘节点和工业设备，其中云认证中心主要用来提供设备联网服务，负责全局的一些策略数据分发、边缘节点管理，接收工业设备上传的数据进行分析处理，并为边缘设备提供认证接入服务，其主要包括数据存储模块、信息展示模块。云-边、边-边、边-端形成了整体的云-边-端协同网络。云-边-端协同认证系统是以云认证服务器为中心，逐层分散延伸的认证模式，其中主要涉及到云-边协同、边-边协同和边-端协同认证三部分。
45.基于云-边-端协同的可信接入系统的一个基本应用模式是分布式认证模式，工业设备在身份认证系统注册后，即可在所有支持身份认证系统的不同安全域内请求接入。工业设备可信接入系统拓扑图如图2所示。
46.2、基于切比雪夫多项式的工业边缘设备云-边接入认证方法
47.针对基于证书交换的集中式认证方式实时性差、效率低的问题，本发明采用一种基于chebyshev多项式的无证书接入认证方法。该方法降低了公钥证书在管理和维护上的复杂性，同时减少了公钥认证过程中的计算量、通信开销以及节点的存储容量；其次，基于分层树型结构建立了云端与边缘设备在内的树形认证链模型。同时基于混沌非对称加密算法采用挑战应答的认证方式来解决云环境中边缘节点和云端之间的身份认证问题。
48.在图3中，边缘设备在云-边接入认证阶段，首先，边缘设备e将自己的id与想要登录的服务器s的id发送给服务器s发起连接请求；当服务器s收到后返回s的公钥和由服务器s和kdc的共享密钥加密的信息；边缘设备e收到后将收到的信息发送给可信任的第三方kdc来验证s的身份；然后，边缘节点e根据收到解密得到的数值，基于chebyshev多项式的半特性计算出其与服务器s的共享密钥k
se
；云端服务器s收到加密信息后，计算共享密钥并核实e的身份，返回认证成功的信息；边缘节点e收来自云端的认证通过的信息后，返回接入成功的应答。至此，边缘节点在云-边接入认证阶段完成接入。
49.在整个认证过程中，首先引入可信任第三方kdc，同时使用了时钟，而不是随机数。通过时钟t的传送加密的，使攻击者无法得到这一值；其次，认证使用的算法利用有限域上chebyshev良好的半特性，认证过程中双方没有公开素数，而只是各自公开了大数，因此攻击者即使得到了传输过程中边缘节点e与服务器s的信息也无法从中到有效的公钥信息。有效抵挡了中间人攻击。最后，本专利方法中边缘节点e和s会话密钥的生成是基于chebyshev多项式的半特性，在身份认证过程中自动生成的，不需要依靠kdc来分发会话密钥。
50.3、基于椭圆曲线的ibc标识密码边-端双向接入认证方法
51.在ibc标识的密码系统中，每个实体具有一个有意义的、唯一的标识，这个标识本身就是实体的公钥。无需预先协商密码或者交换证书，可以大大减少传统证书认证方式的申请和验证环节，易于使用。但是现有的基于ibc标识密码认证协议只实现了认证服务器对于工业设备的认证，属于单向认证，仍然存在安全隐患，本方法对现有基于身份标识的认证协议进行改进，提出了相较ca认证运算复杂度更低、效率更高，相较ibc单向认证更安全的认证方法，即边缘节点与工业设备的双向接入认证方法。
52.工业设备在边-端接入认证，基于挑战应答的认证机制，采取双向接入认证方法，通过工业设备和边缘节点的两次挑战应答来实现通信双方对彼此身份真实性的验证。其中，t是认证发起方(即工业设备)，u是认证服务器(边缘节点)。工业设备接入认证原理如图4所示。
53.在图4中，工业设备边-端接入认证阶段，首先，工业设备t选择随机数、时间戳，然后将其与u的id号连接发送给u请求接入；u接收接t的入请求后，计算工业设备t的公钥并解密密文，验证时间戳的有效性核实消息的真实性，如果不相等则丢弃报文。u选取随机数等相关数值，然后向t发送身份认证挑战信息；工业设备t收到来自u的挑战后，计算u的公钥并解密得到信息，验证时间戳，通过椭圆曲线双线性对性质检验u是否是安全域内的注册设备，若验证失败表示u为非法设备，认证失败，否则证明t对u认证成功。生成新的时间戳和随机数，向u返回挑战的应答信息；u收到t验证信息后，验证时间戳有效性，通过椭圆曲线双线性对性质检验t是否是安全域内的注册设备，若验证失败t表明t为非法设备，u对t认证失败，验证成功则表明u对t认证成功。至此，工业设备和边缘节点双向接入认证完成。
54.在工业设备边-端接入认证阶段，该认证方法将随机数和时间戳组合使用，这样就只需保存某个很短时间段内的所有随机数，而且时间戳的同步也不需要太精确，从而实现了防重放攻击。其次，在工业设备接入认证方法中，认证双方的信息必须通过对方的公钥加密后进行发送，因此，只有接受方对应的私钥才能解密。在基于身份标识密码的通信过程中，窃听一方很容易获取双方的公钥，但是私钥的分发由密钥生成中心通过安全信道私发给设备，在可信第三方密钥生成中心pkg被攻破的情况下，中间人无法获得通信双方的私钥，实现了防窃听；同时，因为第三方有可能进行截留发送方的信息，自己伪造一个然后用接收方的公钥加密发送，所以通信双方先用自己的私钥进行签名然后用对方的公钥加密，最后发送数据信息给接收方，实现了防窃听、防篡改信息的功能。
55.4、基于域间节点协同的工业设备边-端跨域接入认证方法
56.在工业智能制造系统中，工业设备具有规模大、移动性和接入随机性等特点，其中工业设备的移动性造成了不同边缘节点对其重复认证的问题，这大大增加了边缘节点的认
证资源消耗以及认证效率的降低。本发明提出基于边缘节点认证托管机制的跨域认证方法，即利用边缘认证服务器将整个区域划分为不同接入认证安全域，通过中心节点的协同认证来提升跨域认证的效率。当工业设备进入某一安全域时，发送接入认证的消息给边缘节点，若其在另一安全域已经通过认证，则该边缘节点通过域间的中心节点协同认证来核实工业设备身份的真实性，实现工业设备不受时间和地域限制的接入认证，解决了工业设备跨域接入难、效率低的问题。工业设备跨域接入认证示意图如图5所示。
57.在图5中，m为待接入的工业设备主体，a和b分别表示两个边缘节点，p和q分别表示归属域和漫游域的中心节点服务器。首先m发送一个消息给q表明它想接入b；中心节点q通过信息连接到m的归属域的中心节点q，并请求核实m的认证信息；p验证通过后回应一个加密消息，包括m的合法性、q和m间的会话密钥，以及证明q合法性标记和q、m会话密钥的封装信息；q收到信息，确认m的合法性，获取会话密钥，发送一条消息给m；m收到消息，获取和q以及和b的会话密钥，核实q的身份，发送消息给b；b接收到消息，b首先解密该封装信息并检查时间截和生命周期，如果封装信息产生的时间足够近，他就用封装的密钥来解密。然后用会话密钥k
bm
加密后返回时间戳，以供m确认b的身份。b、m相互确认身份合法性后，b将会通过m的接入请求，并将用此会话密钥进行通信。

技术特征：

1.一种基于云-边-端协同的工业设备可信接入方法，其特征在于，包括如下步骤：步骤1：云-边-端协同工业设备认证环境构建；采用三层树形分布式可信认证链模型，解耦出云端服务器的部分认证与管理功能，部署到边缘节点上，用于实现云-边、边-边、以及边-端协同接入认证；具体如下：云-边-端协同工业设备认证环境包含3个实体：云认证中心、边缘节点和工业设备，其中云认证中心用于提供设备联网服务，负责全局策略数据分发、边缘节点管理、接收工业设备上传的数据进行分析处理并为边缘节点提供认证接入服务；云-边-端协同工业设备认证环境是以云端服务器为认证中心，逐层分散延伸的认证模式，包括云-边协同、边-边协同和边-端协同认证三部分；步骤2：基于切比雪夫多项式的工业边缘设备云-边接入认证；(1)边缘节点e将自己的id与云端服务器s的id发送给服务器s发起连接请求；(2)当云端服务器s收到连接请求后给边缘节点e返回云端服务器s的公钥和由云端服务器s与第三方密钥分发中心kdc共享的密钥k
sk
的加密信息；(3)边缘节点e将收到的信息通过时钟认证发送给可信任的第三方密钥分发中心kdc来验证云端服务器s的身份；(4)第三方密钥分发中心kdc将收到的信息解密返回边缘节点e；(5)边缘节点e根据收到解密得到的数值，基于chebyshev多项式的半特性计算出边缘节点e与云端服务器s的共享密钥k
se
；加密发送认证信息到云端服务器s；(6)云端服务器s收到加密信息后，计算共享密钥并核实边缘节点e的身份，返回认证成功的信息；(7)边缘节点e收来自云端的认证通过的信息后，返回接入成功的应答，边缘节点在云-边接入认证阶段完成接入；步骤3：基于椭圆曲线的ibc标识密码边-端双向接入认证；工业设备在边-端接入认证，基于挑战应答的认证机制，采取双向接入认证方法，通过工业设备和边缘节点的两次挑战应答来实现通信双方对彼此身份真实性的验证；其中，t是认证发起方，即工业设备；u是认证服务器，即边缘节点；具体如下：(1)工业设备t选择随机数、时间戳，然后将其与边缘节点u的id号连接发送给边缘节点u请求接入；(2)边缘节点u接收到工业设备t的接入请求后，计算工业设备t的公钥并解密密文，验证时间戳的有效性核实消息的真实性，如果不相符则丢弃接入请求；否则边缘节点u选取随机数向工业设备t发送身份认证挑战信息；(3)工业设备t收到来自边缘节点u的挑战后，计算边边缘节点u的公钥并解密得到的信息，验证时间戳，通过椭圆曲线双线性对性质检验边缘节点u是否是安全域内的注册设备，若验证失败表示边缘节点u为非法设备，认证失败，否则证明工业设备t对边缘节点u认证成功；(4)工业设备t生成新的时间戳和随机数，向边缘节点u返回挑战的应答信息；边缘节点u收到工业设备t验证信息后，验证时间戳有效性，通过椭圆曲线双线性对性质检验工业设备t是否是安全域内的注册设备，若验证失败表明t为非法设备，边缘节点u对工业设备t认证失败，验证成功则表明边缘节点u对工业设备t认证成功；工业设备和边缘节点双向接入
认证完成；步骤4：基于域间节点协同的工业设备边-端跨域接入认证；利用边缘节点认证服务器将整个工作区域划分为不同接入认证安全域，通过中心节点的协同认证来提升跨域认证的效率；当工业设备进入某一安全域时，发送接入认证的消息给边缘节点，若工业设备在另一安全域已经通过认证，则该边缘节点通过域间的中心节点协同认证来核实工业设备身份的真实性，实现工业设备不受时间和地域限制的接入认证；具体如下：(1)设m为待接入的工业设备，a和b分别表示两个边缘节点，p和q分别表示归属域和漫游域的中心节点服务器，中心节点服务器属于边缘节点；(2)m发送一个消息给中心节点服务器q表明它想接入b；(3)中心节点服务器q通过信息连接到m的归属域的中心节点服务器p，并请求核实m的认证信息；(4)p验证通过后回应一个加密消息，包括m的合法性及q和m间的会话密钥的封装信息；(5)q收到信息，确认m的合法性，获取会话密钥，发送一条消息给m；(6)m收到消息，获取m和q以及m和b的会话密钥，核实q的身份，发送消息给b；(7)b接收到消息，b首先解密该封装信息并检查时间截和生命周期，如果封装信息产生的时间在设定的时间范围内，就用封装的密钥来解密，然后用会话密钥k
bm
加密后返回时间戳，以供m确认b的身份；(8)b、m相互确认身份合法性后，b将会通过m的接入请求，并将用此会话密钥进行通信。

技术总结

本发明公开了一种基于云-边-端协同的工业设备可信接入方法，针对工业设备数量巨大以及异构性等特点，构建分层的树形可信认证链模型，以解决工业设备可信接入的分布式认证问题，为云-边-端协同认证提供技术服务支撑；为确保边缘认证服务器的可信性，采用基于切比雪夫多项式的工业边缘设备云-边接入认证；考虑到工业设备的移动性和随机性，采用基于椭圆曲线的IBC标识密码边-端双向接入认证和基于域间节点协同的工业设备边-端跨域接入认证，以满足工业设备接入认证的高效性、实时性和移动性要求。本发明方法避免了不同安全域内的设备由于系统参数不同造成的认证困难问题，缩短了认证的时延，提高了工业设备跨域认证的效率。提高了工业设备跨域认证的效率。提高了工业设备跨域认证的效率。