CN103457915A - 可形式化证明的军事物联网安全协议 - Google Patents

Abstract

一种应用于军事网联网中的安全协议，该安全协议具备形式化分析所具备的安全属性。安全协议包括4个通信主体，8个协议步骤组成。各通信主体与认证服务器建立共享密钥，与设备标识码共同完成双向认证，认证完成后，由认证服务器发放信息加密密钥，建立加密信息通道。为保证安全性，该安全协议在每次通信之前均要对通信主体实施双向认证，每次随机生成一个通信加密密钥，密钥的一次被破解不会泄露之前的通信加密的信息。

Description

可形式化证明的军事物联网安全协议

技术领域

本发明涉及一种应用于军事网联网中的安全协议，特别是涉及军事物联网中节点之间的认证和密钥建立，该安全协议具备形式化分析所具备的安全属性。

技术背景

迄今为止的军事物联网和之前在交通、家居、场馆应用的物联网中，均涉及到对节点的识别，识别认证之后才能建立密钥机制进行加密通信，在此过程中，需要建立一种协议来保证认证和密钥建立的安全。认证和密钥建立是安全协议中的最关键部分，其他的诸如选举协议、群组通信协议、非否认协议虽然从广义上来说也属于安全协议，但这些协议都建立在认证和密钥建立协议的基础之上，因此，本发明重点描述认证和密钥建立的安全协议。

军事物联网就是把军事实物通过各种军事信息传感系统，其与军事信息网络连接，进行军事信息交换和通信，实现智能化识别、定位、跟踪、监控和管理的一种网络。其实质就是用于军事领域的物联网。跟传统物联网相比，军事物联网处于更恶劣的部署环境，会受到光、辐射、电磁、生物、化学腐蚀等环境因素的影响。跟军事信息网相比：军事物联网联接的是军事物质世界，目的是收集节点的数据，其连接节点或终端受战场环境、成本、体积和应用因素影响，其智能程度、存储容量、计算能力、电池续航能力均有限，甚至有可能只是一个能够识别的标记(ID)；而军事信息网是军事信息天地的网络，目的为了信息的传输和处理，属于虚拟世界范畴，不受这些因素的限制。军事信息网是军事物联网的基础和依托，是军事信息网络的延伸和拓展。在信息化战场上，军事信息网与军事物联网融为一体，为战场指挥、决策和情报收集提供了手段，从而使战场物质能量精确释放成为可能，密码安全协议必须要适应军事物联网的恶劣环境和节点的硬件属性。

在未来信息化战场上，军事物联网的通信模式可能更加多样化，部分节点之间可能要求实时同步通信传输，部分节之间点可能只需要定期交换数据，甚至一天就一分钟入网，如容迟网(DTN)模式，或者仅仅是在逻辑层面上连接到网上，或者根本就不在网上。比如部署在地方阵地上的节点，这些节点没有直接上网，可能需要侦查飞机、探查机器人、侦查人员不定期的去收集数据。密码安全协议必须要适应这些通信模式。

安全协议还要适应军事物联网中数量庞大的节点。信息化战场将会是从深海到陆地，从陆地到外太空可能均为战场的阵地，在如此宽阔的空间范围内，会涉及到节点终端数量庞大，军用跟民用物联网要深层次的互联互通，需要安全协议采用尽量少的步骤，尽量快的速度完成节点之间的认证，建立起密钥加密的信息通道。

设计安全协议是一个较为困难的事情，稍有不慎，就可能使协议存在安全隐患，目前，存在大量采用非形式化方法设计的、并不安全的的“安全协议”，很多研究者对其进行改进，进而又产生许多不安全的“安全协议”，事实上，协议的安全性问题是不可确定的，即对于任何一个已知的协议分析器，总存在它所不能确定的安全问题，目前，许多协议分析集中于扩展和加强现有的方法使之能够分析更为复杂的攻击，与其如此，不如在协议的设计阶段增加相应的限制，引入形式化的设计理念，使之满足规定的结构和所定义的安全属性。

对安全协议在军事物联网中的运行环境做如下假设：

军事物联网的体系结构：军事物联网的体系结构跟传统物联网体系结构类似：最底层为传感层，负责对各类传感元器件节点的连接和管理，完成个节点的认证和建立加密的信息传输通道，收集各节点的数据和信息。中间为网络层，负责采用各种通信模式进行网络传输和信息处理，包括数据处理服务器、节点认证服务器、网络通信服务器、外网控制服务器、信息化指挥服务器等。最上层为应用层，跟军事信息网络连接起来负责提供战争中的决策、指挥、操控、监视、侦察、定位、通信、计算等方面的应用服务。

军事物联网的通信模式：既存在以有线方式提供服务的传统模式，也有而眼下处于初级阶段的、以节点之间的数据交换通过基站完成的Client/Server为主的无线方式，还有正在研究中的、以对等网(P2P)的模式实现物与物的多跳连接的真正自组织网络(Ad Hoc Network)模式，安全协议要基于某种通信模式完成节点之间的认证，而采用何种通信模式对安全协议的设计无影响，对安全协议的安全属性要求产生影响。

军事物联网的节点：军事物联网的节点可能由具备网络通讯能力的智能终端、传感元器件、RFID读写终端、Tag读写设备等主动和被动智能设备组成，为了保障必要的安全性，仅就安全协议的要求，假定每个节点最低应具备的硬件要求为：(1)、具备信息的发送和接收能力；(2)、具备512K的存储空间；(3)、具备简单的运算能力：如与和运算、生成随机数或随机密钥、根据密钥进行加密和解密运算；(4)、其他安全协议所需要的能力。

安全协议的通信主体：军事物联网安全协议的通信主体为4个：分别是位于网络层的认证服务器(C)、位于网络层的数据处理服务器(D)、位于传感层的数据获取设备(M)和位于传感层的各传感元器件节点(S)。认证服务器C的主要作用是：存储各数据获取设备M和传感元器件节点S的认证信息，生成密钥和控制安全协议的挂起、重启和中断等操作。数据处理服务器D的主要作用是建立认证之后对从M传送的数据进行存储、清洗、挖掘和归类，为应用层的应用提供数据源。数据获取设备M主要作用是部署在战场上实施对传感设备产生的信息进行收集，获取C中的认证信息完成自身和传感节点S的双向认证工作，M可能是一个侦查人员、侦查飞机上的设备，战场机器人或者是部署在战场的固定装设备。传感元器件节点S的主要作用是接受M的认证问询，配合完成认证，负责收集所感知的信息并在认证通过之后将信息发送给M。

攻击者的能力和行为：敌方攻击者能力的设置为：(1)、熟悉现代密码学，知道加解密等运算操作。(2)、知道参与协议运行的各实体及其公钥。(3)、拥有自己的加密密钥和解密密钥，并且能够将窃听或收到的消息增加为自己的新知识。(4)、对网络具有完全的控制能力，可窃听、拦截系统中传送的任何消息。(5)、可以用他拥有的加密或解密密钥对消息进行加密或解密操作。(6)、可在系统中插入新的消息。(7)、即使不知道加密部分的内容，也可重放他所看到的任何消息。(8)、可以生成新的随机数。攻击者行为有：(1)、销毁一条消息，即阻止它被继续传送。(2)、追踪一条消息，即获得它自己的拷贝。(3)、截获一条消息，即追踪并销毁一条消息。(4)、重新改变一条消息的路由。(5)、延迟一条消息的传送。(6)、记录消息。(7)、重放一条消息。(8)、伪造一条消息。

本发明采用将采用形式化的方法针对军事物联网设计一个安全协议，并采用多个形式化分析方法结合起来的方法来分析证明安全协议的安全属性：即采用CSP(CommunicatingSequential Processes)，分别从进程之间的消息传递的角度来证明安全协议的各种安全属性，如果安全协议通过分析步骤，则表示该安全协议在该形式化当前理论下是安全的，但随着科技的进步，可能会出现新的攻击方法，由于目前的形式化方法不具备完备性，该形式化方法也可能存在缺陷，通过形式化分析的安全协议不意味着该协议绝对正确。因此，由于形式化方法本身的缺陷而未发现安全协议中的其他安全属性问题，不在本发明的考虑之列。

发明内容

军事物联网安全协议存在4个通信主体，分别为：认证服务器C、数据处理服务器D，数据获取设备M和各传感元器件节点S，其安全协议为：

表1：安全协议

在表1中，Rm，Rs，Rc分别是M，S，C产生的随机数；IDs，IDm，IDd分别是S，M，D的设备识别码，是S，M，D设备IMEI码的映射，IDs，IDm，IDd可定期更新。IDs’，IDm’，IDd’分别为存储在C中的设备识别码，与S，M，D的设备识别码同步更新。Hs()，Hm()，Hd()分别为C与S，C与M，C与D的通信加密算法，既可基于对称密码机制，也可基于非对称密码机制。

下面对该安全协议进行安全分析，首先采用CSP对其模型检测，攻击者模型构建为：Intruder(X)＝comm？m：messages→Intruder(X∪{m})□lean？m：messages

       →Intruder(delay(X∪{m}))∪Intruder(close(X∪{m}))

       ∪Intruder(copy(X∪{m}))□say？m：X∩messages

       →Intruder(X′)∪Intruder(say？m′：X∩messages)

该模型表示攻击者可在正常发送信道comm上截获信息并对信息进行加工；可在侦听信道lean上侦听并截获一个信息，对其进行阻塞、重放、销毁；或者在发送信道say上对截获的消息结合自己的知识库进行伪造、穿插到另外的发送信道上去。

对安全协议的保密性分析为：

MSG，Nx，Kx，Idx分别表示攻击者所具有协议库、随机数库、密钥库、设备标识码库的集合。

从整个攻击过程可以看出：

认证服务器C跟每个通信主体进行通信的时候，均要求对方提供共享密钥和该设备的设备识别码进行认证，同时，通信主体接收到C的信息时，也要对通过随机数、存储在C中的自己的设备识别码进行认证，这个过程是双向的，攻击者无法采用虚拟通信主体进行欺骗。

每进行一次通信，便进行一次认证，重新分配新的信息加密密钥Kc，符合“一次一密”的原则，并且即使Kc在某次通信中被破解，也只能影响当次的信息的泄露，不会对以往和以后的加密通信信息造成影响。

攻击者在comm信道上截获信息，或对信息进行阻塞，将信息整理或分段整理存储于自己的知识库中，在learn信道上结合自己的知识库对信息进行分析，提取知识库中所存储的密钥、设备标识码、随机数等对信息进行加密解密、伪造、提取等操作，然后在say信道上重发信息、或对所伪造的信息进行发送，达到欺骗和获取密钥信息等目的。

在式29中，如果s∈Kxand IDs’∈Idx条件满足，安全防议就被破解，Kc就被攻击者从comm信道上截获放入自己的知识库中，如式30所示。式36表明在learn信道上发生了同样的情况。在式46和48，如果攻击者从D上进行攻击，当d∈Kx and IDd’⊕Rc∈MSG条件满足，Kc就被攻击者从comm信道和learn信道上截获放入自己的知识库中。

这表明：攻击者要获得密钥和设备识别码才能攻破安全协议。本发明所述的安全协议满足保密性要求。其是否安全在于通信主体与C之间的共享密钥，以及存储在双方的设备标识码的保护。不能被敌方同时获得，采用何种机制来保护这些数据不被敌方破解？不是设计安全协议所能解决的范围。

下面分析安全协议的认证性：在本发明所述的安全协议中，需要保密的信息是Kc。Kc由C产生，分别传递给了M、S和D。现要考察M、S和D收到的Kc是否唯一来自于C。

在CSP中，认证性的检测采用插入两个标识点running和commit来检测。标识点的插入规则是：running点放在Kc的发起方发出最后一条消息之前，commit点放在Kc响应方接收到最后一条消息之后。认证性满足的条件是，标识点插入之后，running点要在commit点的前面。

按照此规则插入running点和commit点，如图3所示，其中，C为初始方，running点放在C发送最后一条消息MSG5之前，当M为响应方时，commit点应放在M接收到最后一条消息MSG7之后，用Commit_M表示。当S为响应方时，commit点应放在M接收到最后一条消息MSG6之后，用Commit_S表示。当D为响应方时，commit点应放在M接收到最后一条消息MSG8之后，用Commit_D表示。

Commit_M点，Commit_S点，Commit_D点均在running点之后，安全协议符合认证性要求。

附图说明

图1为安全协议的协议过程图。

在图1中，表示了安全协议的运行步骤，首先协义由M发起，最后到D结束，完成整个协议的过程。

图2为安全协议的信道图。

在图2中，攻击者可以以代理或伪造的方式作为安全协议中的通信主体，他可以在正常的信道(comm)上截获、阻塞、重发信息，并且将截获的信息通过自己的知识库进行处理之后，通过构造的侦听信道(learn)和发送信道(say)替换安全协议中的某一个环节的交互信息，从而达到攻击和欺骗的目的。

图3为安全协议的认证图。

在图3中，C作为产生Kc的通信主体，是认证Kc的发起方，Kc由C产生，分别发给了M、S和D，因此，需要对C与M，C与S，C与D分别插入标识点进行认证分析，插入点commit分别用Commit_M，Commit_S，Commit_D表示。

具体实施方式

安全协议存在4个通信主体，分别为：认证服务器C、数据处理服务器D，数据获取设备M和各传感元器件节点S，其实施过程是：

M生成一个秘密随机数Rm，向S发送询问请求，将Rm发送给S；

S收到Rm之后，也生成一个随机数Rs和自己的设备识别码IDs，用与C共享的密钥s生成一个M1＝Hs(Rm⊕Rs⊕IDs)，Rs，并把(M1，Rs)发送给M；

M用其与C共享的密钥m和先前生成的随机数Rm，M2＝Hm(Rm⊕Rs⊕IDm)，并将(M1，M2，Rs，Rm)发给C；

C在此时需要分别认证M和S，在认证M时，认证服务器中检查是否有个IDj(1≤j≤h)和共享密钥m，其中，h表示传感器的个数，使得Hm(Rm⊕Rs⊕IDm)＝M2成立，在认证S时，认证服务器中检查是否有个IDi(1≤i≤n)和共享密钥k，其中，n表示传感器的个数，使得Hs(Rm⊕Rs⊕IDs)＝M1成立，如果有，则认证通过，认证都通过后，产生一个新密钥Kc，并将Hm(IDm’⊕Rm)，Hm(IDm’⊕IDd’⊕Rc)，Hs(IDs’)⊕Kc，Hs(IDs’⊕Rs)⊕IDm’发送给M；随后又将Hd(IDd’⊕Rc)⊕Kc，Rc发送给D。

M收到后，用自己跟C的公共密钥m运算Hm(IDm’⊕Rm)是否与Hm(IDm⊕Rm)相等，若相等，则认证C通过，然后计算Hm(IDm’⊕IDd’⊕Rc)得到IDd’⊕Rc，然后将Hs(IDs’)⊕Kc，Hs(IDs’⊕Rs)发给S；

S用自己跟C的公共密钥s运算Hs(IDs’⊕Rs)和Hs(IDs⊕Rs)是否相等，如相等，则认证通过，然后计算Hs(IDs’)⊕Kc得到Kc，并向C发送加密过的信息M32＝Kc⊕M。

C收到后，用IDd’⊕Rc加密M3，然后发给D。

D将先前C传过来的Hd(IDd’⊕Rc)⊕Kc进行解密，得到IDd’⊕Rc和Kc，然后用IDd’⊕Rc和Kc解密Kc⊕M⊕IDd’⊕Rc，得到信息M。

Claims (7)

1.本发明涉及一种应用于军事网联网中的安全协议，特别是涉及军事物联网中节点之间的认证和密钥建立，该安全协议包括4个通信主体，分别为：认证服务器C、数据处理服务器D，数据获取设备M和各传感元器件节点S。各通信主体与认证服务器建立共享密钥，与设备标识码共同完成双向认证，认证完成后，由认证服务器发放信息加密密钥，建立加密信息通道。为保证安全性，该安全协议在每次通信之前均要对通信主体实施双向认证，每次随机生成一个通信加密密钥，密钥的一次被破解不会泄露之前的通信加密的信息。

该安全协议由8个协议步骤组成。分别是：

M发起通信请求，发送一个随机数给S。

S收到之后，生成一个随机数，用自己与认证服务器共享的密钥s和设备号IDs加密成一认证包Hs(Rm⊕Rs⊕IDs)，Rs，发给M。

M自己也生成一个认证包Hs(Rm⊕Rs⊕IDs)，连同S发送的包，一起发送给C.

C检索数据库中M和S的的信息，分别对M和S进行认证，认证通过之后，生成一个加密密钥Kc，向M发送Hm(IDm’⊕Rm)，Hm(IDm’⊕IDd’⊕Rc)，Hs(IDs’)⊕Kc，Hs(IDs’⊕Rs)⊕IDm’，供M和S对C进行认证，同时向S传递加密的Kc密钥。随后向D发送Hs(IDs’)⊕Kc，Hs(IDs’⊕Rs)，向其传输加密密钥Kc和D对C的认证信息。

M收到之后，解密Hm(IDm’⊕Rm)和Hm(IDm’⊕IDd’⊕Rc)，完成对C的认证，然后向S发送Hd(IDd’⊕Rc)⊕Kc，Rc。

S收到后，解密核对是否与先前的问询应答一致，认证通过后获得加密密钥Kc。然后将用Kc加密过的信息传输给M。

M收到后，再次加密信息形成Kc⊕M⊕IDd’⊕Rc，然后传输给D。

D收到后进行解密，得到所加密的信息。

2.根据权利要求1的安全协议，其中，通信主体M、S均具有存储和生成随机数，加解密等运算和处理、网络通信功能。

3.根据权利要求1的安全协议，其中，在通信主体M建立一个虚拟的认证服务器，可以离线对S进行认证和数据收集工作，C离线时安全协议运行与C在线时运行一致。

4.根据权利要求1的安全协议，C和D分别位于军事物联网的网络层，可以部署在同一个机房甚至服务器上，二者之间的网络连接可以看做是安全的，只需单向认证即可。

5.根据权利要求1的安全协议，M和C，S和C的认证是双向的，认证信息是加密的。

6.根据权利要求2中说明，当M在针对不具备运算和存储功能的传感元器件S’进行数据收集时，可在S’和M之间设置一个具备运算和存储要求的中间设备，中间设备收集好S’的数据之后，再由该中间设备代替安全协议中的S，运行本发明中的安全协议。

7.根据权利要求5的认证方法，其中，C在认证通过后向M传输一个加密密钥Kc，该密钥跟M和C，S和C之间的共享密钥s和m没有因果关系，不能由一方推导出另一方。

Images