CN105577384A - 用于保护网络的方法 - Google Patents

Abstract

本发明涉及用于保护网络的方法。介绍一种用于保护由至少第一设备和第二设备构成的网络的方法。在此，第一设备从第一设备与第三设备之间的第一通信信道的物理特性中导出第一请求。此外，第一设备通过第一设备与第二设备之间的第二通信信道将第一请求传输给第二设备。第一设备通过第一通信信道从第三设备接收与第一请求对应的第一应答并且通过第二通信信道从第二设备接收与第一请求对应的第二应答。第一设备将第一应答和第二应答互相比较，以便验证：第二设备与第三设备通信。

Description

用于保护网络的方法

技术领域

本发明涉及信息安全（Security），更具体地涉及分布式系统中的通信的真实性和机密性。在比如用于家庭自动化或用于传感器网络的所谓的“物联网”的许多场景中，资源受限的小型设备互相通信并且在此分享关于这些设备以及关于其环境中的人员的潜在关键的信息。这样的设备还增强地连接到执行器上，并且例如在暖气装置或电压源的家庭自动化中或者在工业自动化中实现关键功能的常常无线的控制，甚至实现全部制造的控制。

因此重要的是，确保通信的真实性（即该通信源自确定的容许的设备或者在确定的容许的设备之间进行的特性）以及通信的机密性（即该通信不能被不期望的设备截取的特性）。

背景技术

例如从DE102010038703B3和DE102010041447A1中已知将物理不可克隆函数（physicalunclonablefunctions或PUF）用于认证。在未预先公开的申请DE102014208975A1以及DE102014209042A1中描述了用于在分布式系统中基于所连接的单元的信道特性进行受保护的通信的方法。最后提到的方法属于如下方案：所述方案以关键字“物理层安全（PhysicalLayerSecurity）”被研究和开发，并且借助于所述方案，尤其是可以基于所涉及节点之间的传输信道的物理特性自动地产生用于对称方法的密钥。在此，利用这些传输信道的互易性和内在随机性。

发明内容

提出一种用于保护网络的方法，其中网络的第一用户设备与另一设备一起从共同的通信信道的物理特性中确定共同的请求，并且从所述另一设备获得对该请求的应答，并且其中第一用户设备附加地通过第二用户设备将该请求传送给所述另一设备，并且同样从该第二用户设备接收所述另一设备的相应应答。可以将这两个应答互相比较，并且因此可以通过第一设备验证：与其通信的两个设备也相互之间通信。为此，也可以紧接着或并行地在所述另一设备和第二用户设备交换角色的情况下附加地执行相同的方法。

所述应答优选地在所描述的挑战-响应方法中由所述设备通过根据依赖于所述请求的激励测量所述设备的物理特性来确定。在此，尤其是可以利用物理不可克隆函数。这样的挑战-响应方法的优点是与完整的挑战-响应信息必须在两个设备中都存在的方法相比提高的安全性和更低的管理花费。

替代地，尤其是当该方法附加地通过经加密的数据传输来保护时，可以将伪随机函数用于挑战-响应方法。伪随机函数的使用允许所提出的挑战-响应方法的完全特别有利的实现。对请求的应答可以要么在设备中要么在数据库服务器本身上被计算。如果该通信以经加密的方式进行，则所使用的算法也不一定必须被保密，因为攻击者于是不能监听所交换的信息。这将进一步简化实现。

为了还进一步保护网络，第一设备也还可以通过挑战-响应方法对两个其它设备中的至少一个进行认证。

在特别优选的实施方案中，所介绍的方法被用于互相无线通信的设备。在这样的无线系统的情况下特别简单的是，从无线通信信道中导出用于创建如对于确定请求所需的在所述设备之间分享的秘密的合适参数。

有利地，所有被用于设备之间的通信的通信信道都通过加密算法而受到密码保护。由于在该实施方案中挑战-响应方法的请求和应答因此都变为不公开的，因此可以多次使用挑战-应答对。因此，必须提供少量的这样的值对，这简化该方法的组织。此外，该方法由此被加速。在一个优选的扩展方案中，通过物理层安全的方法、即尤其是从所参与的通信信道的物理特性中确定用于密码保护的密钥。这些方法与常规非对称加密方法相比显示出对所需计算效率明显减小的要求，并且与通常带来昂贵的密钥管理的常规对称加密方法相比显示出明显更简单的实现。此外，通过将物理层安全不仅用于为挑战-响应方法导出信息而且用于通过加密保护通信，得出所参与的软件和硬件的协同效应。

总的来说，所提出的方法是非常鲁棒的，因为不仅挑战-响应方法而且加密都可以基于物理特性被实现，而不（单单）基于数学机制。数学机制基于拥有结构特性的数学构造（比如椭圆曲线）。这样的结构特性的存在隐藏如下风险：总有一天发现能够在多项式时间内破解（brechen）（即求解）这些数学机制的算法。而基于物理的机制在实际实现中不具有结构特性，因为噪声和非线性使理论行为大大失真。此外，数学机制可能在未来由于明显更强的计算效率（譬如量子计算机）的可能的可用性而变为更可攻击。

也即，所描述的方法可以简单地实现并且还适合于具有受限资源（比如受限的计算效率、受限的存储器、受限的蓄能器）的设备。

除了所介绍的方法以外，本发明还涉及执行这些方法的计算机程序、以及设备和系统，在该设备和系统上运行所描述的方法。

附图说明

随后参考附图并按照实施例进一步描述本发明。在此：

图1示出具有多个作为用户的设备的示例性网络；以及

图2示意性地示出用于在网络中验证通信伙伴的示例性方法。

具体实施方式

为了保证具有多个用户的生长网络的安全，重要的是监视新用户到网络上的连接。如果在这样的网络中例如要新接纳的用户与已经存在的用户通信，则该通信的可靠性应当被监控或者这些用户应当借助于该通信被验证或认证。这尤其是在该网络是网状网络时适用，在网状网络的情况下，网络用户的新连接不一定必须通过中央节点进行。

为此，介绍如下方法：在该方法中，网络上的用户设备确保第二设备确实与确定的第三设备通信，该第二设备相信其与该第三设备通信，而不是与例如仅仅冒充该身份的另一设备通信。如果这被确保，则用户设备例如可以发起第二和第三设备之间的连接过程。整个过程可以主动地由设备之一（尤其是由用户设备）来触发，或者简单地通过不同设备彼此足够靠近这一事实来触发。

在此情况下，可以使用挑战-响应方法，其中对请求（挑战）的应答（响应）通过根据由该请求（挑战）确定的激励测量物理特性、尤其是基于物理不可克隆函数来确定。

在此，预先借助系统的物理特性的测量来确定值对，其中每个值对都对应于对系统的激励和系统的相应应答。如果在此所基于的物理特性在所模仿的系统中非常难以再调整或（至少利用可实现的花费）完全不能再调整，则这些值对在一定程度上用作该系统的指纹，所基于的特性常常被称为物理不可克隆函数（PUF）。挑战-响应对可以被用于识别或认证该系统。此外，也可以使用基于物理不可克隆函数（PUF）的建模的挑战-响应机制。一种模型可以为每个查询（挑战）生成应答（响应），该应答尽管由于不完美的建模通常是有缺陷的，但是对于认证方法的目的而言可以被足够精确地产生。

此外，针对所述方法，可以由各两个设备从共同的通信信道的物理特性中导出并且必要时协商共同的秘密、如密钥或请求（挑战）。在此，这些设备从其共同的传输信道的物理特性中分别确定分别所确定的秘密所基于的值、尤其是位序列。在此，利用所参与设备之间的传输信道的互易性和内在随机性。这可以例如详细地如下面所述的那样来进行。

这两个设备估计确定数目的信道参数，可能还关于时间进行估计。这些信道参数由两个设备以合适的方式量化。优选地，然后跟随用于例如通过使用纠错码来进行噪声或错误减小的措施。

然后，借助于合适的机制，优选地在使用公共协议的情况下在所述设备之间进行经量化的信道参数的均衡。这常常是必需的，因为由于测量不精确性、噪声、干扰等等，两个设备一般而言首先没有确定相同的参数组。在此，该均衡应当被构成为使得可能偷听所交换的数据的潜在攻击者不能容易地从中推断出经量化的信道参数。为此，例如可以在设备之间交换奇偶校验位。可选地还可以执行所分享的秘密的证实（例如熵估计）和这样确定的所分享的参数组或所分享的位序列的改善（例如通过经由散列值形成进行压缩）。最后，两个设备基于这样被量化、被处理和被均衡的信道参数而具有所分享的秘密。

在此，假定：潜在攻击者与两个设备有足够大的距离，在所述两个设备中应当产生所分享的秘密。在此，该距离应当至少处于所谓的相干长度的数量级，所述相干长度在常见无线通信系统的情况下处于几厘米的范围内。因此，攻击者看见到这两个设备的分别其它的（无关的）传输信道，并且不能容易地重建相同的所分享的密钥。

作为信道参数，例如可以考虑由传输信道决定的相移、衰减以及由此导出的参量。接收信号强度指示器（RSSI）例如是针对无线通信应用的接收场强的常见指示器，并且可以被用于这些目的。为了确定信道参数，可以在设备之间传输双方都已知的促进所需信道估计的导频信号序列。

在所描述的方法中，出发点是：设备之间的传输信道具有其信道特性的足够波动，以便能够由此导出合适的信道参数，所述信道参数适于作为用于在用户中生成所分享的秘密的基础（尤其是具有足够的随机特性）。在此，这些波动尤其是能够既在时域中又在频域中出现，以及在多天线系统的情况下还在空域中出现。但是还假定：信道特性在短时间段上具有足够高的相关性，使得数据传输可以在两个方向上进行，从所述数据传输，相应设备尽管时间上的偏移仍能够估计足够相同的信道特性，以便获得足够相似的信道参数，从所述信道参数中可以获得相同的所分享的秘密。所分享的秘密于是可以要么直接被用作请求（挑战）要么被用作用于加密的密钥，或者至少作为这些参量的基础。

所描述的方法适于保护由至少两个设备构成的网络，所述设备优选地通过无线通信连接或无线通信信道相互之间通信。在此，设备可以通过点到点连接或者在其它实现形式的通信网络中互相联系。

通信网络的一种可能的构造在图1中予以示出。在此，多个设备、在所示实施例中用户1、2和4在通信网络中互相联系。此外，示出了第三用户3，该第三用户3应当或想要如附图中所表明的那样例如通过到用户1和用户2的连接与网络连接。设备2、3和4尤其是小型的资源受限的传感器节点或执行器节点。这些用户2至4可以例如通过同样位于网络中的例如可以被设计为用户终端设备1的用户1而被监控或控制。这样的用户终端设备1通常具有明显更多的资源（计算能力、存储空间、接口、能量），并且例如可以通过智能电话、平板计算机或类似设备来实现。此外，还可以设置数据库服务器10，用户终端设备1例如通过因特网11与该数据库服务器连接。数据库服务器10尤其是可以由用户终端设备1的制造商或其它可信赖实体来提供，并且尤其是还可以被用于用户终端设备1的在线支持。

该方法在下面主要根据图1中的三个设备1、2和3来描述，所述三个设备中的第一设备1想要验证：第二设备2和第三设备3确实互相通信，并且例如未经授权的另一设备未参加该通信。例如当第三设备3如所示那样首先想要连接到第一设备1和第二设备2已经所位于的网状网络上时，这样的场景可能变得重要。“连接”优选地是指，第三设备3不仅仅与该网络通信，而是在该网络中作为可信赖的通信用户被注册。在此情况下，第一设备1可以承担监控或监视通过与第二设备2的通信对第三设备3的受保护的添加的任务。此外，该添加也可以由第一设备1来发起。如果第一设备1是用户终端设备，则其对新用户到现有网络中的添加的参与可以向用户提供关于哪些设备可以被接纳到该网络中的明确监控。但是所述方法原则上可以被用于由第一设备验证第二设备的通信伙伴。

本发明在下面针对刚才所概述的场景根据图2予以描述。

在可选步骤200中，可以由第一设备1从第一设备1所连接的数据库服务器10查询挑战-响应对或者挑战-响应函数以用于认证。如果不仅应当验证第二设备2事实上与第三设备3通信，而且还应当认证第二设备2或第三设备3，则该步骤是必需的。相应地，所查询的挑战-响应信息必须适合于其认证。

在步骤201中，所有设备1、2、3相互之间建立机密通信信道。也就是说，设备1建立与设备2的机密通信信道12以及与设备3的机密通信信道13，并且设备2和3同样相互之间建立机密通信信道23。为此，成对联系的设备必须分别具有合适的密钥，以便能够通过所交换的数据的加密来保证其机密性。这样的加密例如可以通过上面所描述的所谓的物理层安全的方法来进行。也即，在此，各两个设备从共同的通信信道的物理特性中产生相同的密钥，所述密钥可以作为机密通信的基础。

在步骤202中，在设备1、2、3中确定针对挑战-响应方法的请求（挑战）。为此，第一设备1与第二设备2共同地从共同的通信信道12的物理特性中确定第一秘密请求（挑战），并且同样与第三设备3共同地从共同的通信信道13的物理特性中确定第二请求（挑战）。为此，又可以使用上面所描述的物理层安全的方法。

通过从通信信道的物理特性中确定请求，这些请求在该时刻还未通过任何通信信道被传送，也即不可能被攻击者监听。

在步骤203中，第一设备1向第三设备3传送第一设备与第二设备2一样从与第二设备2的共同的传输信道12的物理特性中导出的请求（挑战），并且向第二设备2传送第一设备与第三设备3一样从与第三设备3的传输信道13的物理特性中导出的请求（挑战）。也就是说，迄今仅仅在设备1、2、3中所确定的请求现在也被发送。为此，相应消息优选地被加密，以便攻击者不能截获所述请求（挑战）。该加密分别利用设备1、2、3的在步骤201中所协商的共同的秘密密钥进行。

在步骤204中，第二设备2把在步骤203中从第一设备1接收的请求（挑战）转交给第三设备3，并且第三设备3把在步骤203中从第一设备1接收的请求（挑战）转交给第二设备2。第二设备确定对从第三设备3接收的请求（挑战）的应答（响应），并将该应答（响应）发回给第三设备3。第三设备3确定对从第二设备2接收的请求（挑战）的应答（响应），并将该应答（响应）发回给第二设备2。请求（挑战）和应答（响应）的该交换分别直接通过第二设备2与第三设备3之间的共同的机密通信信道23进行，并且优选地以经加密的方式进行。

在此所接收的请求（挑战）现在应当对应于已经存在于设备中的请求，所述设备已经分别在步骤202中从与第一设备的共同信道12或13中导出所述请求。但是如果与第二设备2对话的该设备不是与第一设备1同样具有连接并且在步骤202中与第一设备一起导出该请求（挑战）的第三设备3，而是例如恶意的另一设备，则这些请求将必然不同。

在步骤205中，第二设备2把在步骤204中从第三设备3获得的应答（响应）传送给第一设备1，并且第三设备3把在步骤204中从第二设备2获得的应答（响应）传送给第一设备1。该传送又以经加密的方式通过相应的到第一设备1的直接的通信信道12或13进行。

在步骤206中，第二设备2和第三设备3现在将内部导出的对在步骤202中与第一设备1共同地从传输信道的物理特性中导出的请求（挑战）的应答（响应）发送给第一设备1。所述应答（响应）又通过直接的机密通信信道12或13以经加密的方式传输到第一设备1。

如果出发点如在步骤204中所描述的那样是，在步骤202中导出的请求（挑战）是与在步骤204中接收的相同的请求（挑战），则在此情况下同样确定相同的（或者在具有不安全性的挑战-响应方法的情况下很大程度上相同的）应答（响应）。当与第一设备1通信的两个设备2和3不是也想要互相通信的两个设备，而是例如另一恶意设备参加了该通信时，看上去不同。

在步骤207中，第一设备1现在把在步骤206中从第二设备2获得的应答（响应）与在步骤205中从第三设备3获得的应答（响应）相比较，并且把在步骤206中从第三设备3获得的应答（响应）与在步骤205中从第二设备2获得的应答（响应）相比较。

如针对步骤204和206所阐明的那样，如果与第一设备1分别通过机密信道12或13通信的两个设备2和3也是互相通信的两个设备，则该比较得出：被比较的应答（响应）（足够）互相一致。于是，出发点可以是，这两个设备同样分享安全的机密信道。如果这些比较之一得出不相同的应答（响应），则必须担心：另一可能恶意的设备想要连接到网络上。在这种情况下，第一设备1要么可以将相应报警提示发送给所述设备之一（例如针对第三设备3应新连接到该网络上的上面所描述的情况发送给第二设备2），要么第一设备1可以不继续支持或者甚至主动阻止这些设备之一的进一步连接。这尤其是在第一设备1如所述的那样在网络中占有特殊地位、例如作为用户终端设备执行对网络的监控时适用。

直到该步骤为止，第一设备1检查或确保了：与第一设备维持受保护的通信信道12和13的两个设备2和3也互相（受保护地）通信。为了现在也还确保：这些设备之一（尤其是要新连接到网络上的设备3）是确定的（尤其是可靠的）设备，也就是说，为了认证该设备，设置有优选地与可选步骤200相结合的可选步骤208。利用在第一设备1中存在的挑战-响应对或者挑战-响应函数，第二设备2和/或第三设备3可以被认证。为此，要么可以使用已经由第一设备1在步骤205和206中获得的应答（响应），要么与要认证的设备完成新的挑战-响应循环。设备1在后一种情况下将请求（挑战）发送给要认证的设备2或设备3，并且在正确应答（响应）的情况下对其进行认证。优选地为了认证又在使用物理不可克隆函数（PUF）的情况下动用挑战-响应方法。

如果步骤207中的比较肯定地进行并且可选地设置的认证也是成功的，则第一设备1可以支持或初始化要连接的设备的进一步连接，或者更一般而言释放第二设备2与第三设备3之间的进一步通信。

第二设备2和第三设备3在步骤201之后具有共同的密钥，所述设备可以在其进一步通信时将该密钥用于诸如机密性、消息认证、完整性确保等的不同密码目的。第二设备2和第三设备3又可以还将第一设备1认证为可靠的。此外特别有利的是，第二设备2和第三设备3在被第一设备1成功释放之后相互之间交换挑战-响应信息。利用所述挑战-响应信息，它们可以在将来被认证，并且例如在以后断开并且随后重新连接之后不依靠第一设备1的支持。

这些步骤的所描述的顺序对应于该方法的一种优选实施方案。但是按该顺序的流程不是强制性的。例如步骤206也可以已经直接在步骤202之后或在步骤203之后进行。

在所描述的优选实施方案中，由第一设备1既检查：涉及与第二设备2通信的为第一设备1所已知的第三设备3，又检查：涉及与第三设备3通信的为第一设备1所已知的第二设备2。在替代的实施方案中，也可以通过以下方式仅仅覆盖这些目标之一，例如仅仅第一目标：第一设备1在步骤202中仅仅与第三设备3协商请求（挑战），在步骤203中仅仅将该请求（挑战）发送给第二设备2，在步骤204中仅仅第二设备2将请求（挑战）发送给第三设备3，并且从该第三设备收回相应的应答（响应），并且第二设备2在步骤205中将应答（响应）发送给第一设备1。然后，第一设备1可以在步骤207中将该应答（响应）与其在步骤206中从第三设备3获得的应答（响应）相比较。

替代所描述的PUF认证方法，还可以尤其是在加密相应通信的情况下为各种各样的挑战-响应方法使用伪随机函数（PseudoRandomFunktionPRF）。由于于是不仅请求（挑战）而且应答（响应）都通过攻击者不能从中获取信息的机密信道被传送，因此伪随机函数可以是足够安全的。作为伪随机函数例如可以考虑加密分散值函数或者消息认证码（例如HMAC）。请求设备在这种情况下不需要存在的挑战-响应对来验证对请求（挑战）的正确应答（响应），而是可以借助于伪随机函数来计算该应答（响应）本身。

例如在无线通信的微型传感器中或在家庭自动化的传感器网络中，可以使用所提出的认证方法。

Claims (14)

1.一种用于保护由至少第一设备（1）和第二设备（2）构成的网络的方法，其中所述第一设备（1）：

-从所述第一设备（1）与第三设备（3）之间的第一通信信道（13）的物理特性中导出第一请求，

-通过所述第一设备（1）与所述第二设备（2）之间的第二通信信道（12）将所述第一请求传输给所述第二设备（2），

-通过所述第一通信信道（13）从所述第三设备（3）接收与所述第一请求对应的第一应答，

-通过所述第二通信信道（12）从所述第二设备（2）接收与所述第一请求对应的第二应答，以及

-将所述第一应答和所述第二应答互相比较，以便验证：所述第二设备（2）与所述第三设备（3）通信。

2.根据权利要求1所述的方法，其中通过所述第一通信信道（13）和所述第二通信信道（12）的通信分别通过数据加密被保护。

3.根据权利要求1或2之一所述的方法，其中所述第二应答是由所述第三设备（3）作为对所述第二设备（2）将所述第一请求传送给所述第三设备（3）的反应而传送给所述第二设备（2）的应答。

4.根据权利要求3所述的方法，其中所述第一请求从所述第二设备（3）到所述第三设备（3）的传送以及所述第二应答从所述第三设备（3）到所述第二设备（2）的传送通过所述第二设备（2）与第三设备（3）之间的第三通信信道（23）进行，并且通过所述第三通信信道（23）的通信通过数据加密被保护。

5.根据权利要求2或4之一所述的方法，其中用于两个设备之间的通信信道的至少一个数据加密的至少一个密钥由所述两个设备从所述通信信道的物理特性中导出。

6.根据前述权利要求之一所述的方法，其中由所述第三设备（3）通过根据依赖于所述第一请求的激励测量所述第三设备（3）的物理特性来确定对所述第一请求的第一和第二应答。

7.根据权利要求6所述的方法，其中对所述第一请求的第一和第二应答通过基于物理不可克隆函数（PUF）的挑战-响应方法进行。

8.根据权利要求1至5之一所述的方法，其中对所述第一请求的第一应答和第二应答由所述第三设备（3）根据基于伪随机函数（PRF）的挑战-响应方法确定。

9.根据前述权利要求之一所述的方法，其特征在于，所述第一设备（1）通过保存在所述第一设备（1）中的挑战-响应信息来认证所述第二设备（2）和所述第三设备（3）中的至少一个。

10.根据前述权利要求之一所述的方法，其特征在于，所述设备（1，2，3）无线地互相通信。

11.根据前述权利要求之一所述的方法，其中所述第一设备（1）从所述第一设备（1）与所述第二设备（2）之间的第二通信信道（12）的物理特性中导出第二请求，所述第一设备（1）通过所述第一设备（1）与所述第三设备（3）之间的第一通信信道（13）将所述第二请求传输给所述第三设备（3），所述第一设备（1）通过所述第二通信信道（12）从所述第二设备（2）接收与所述第二请求对应的第三应答，以及通过所述第一通信信道（13）从所述第三设备（3）接收与所述第二请求对应的第四应答，并且所述第一设备（1）将所述第三应答和所述第四应答互相比较，以便验证：所述第三设备（3）与所述第二设备（2）通信。

12.一种计算机程序，被设立用于执行根据权利要求1至11之一所述的方法。

13.一种机器可读存储介质，在所述存储介质上存储有根据权利要求12所述的计算机程序。

14.一种设备（1，2），具有用于无线通信的装置以及具有根据权利要求13所述的存储介质。