CN109451501B - 基于广播签密的IPv6工业无线网络数据安全传输方法 - Google Patents
基于广播签密的IPv6工业无线网络数据安全传输方法 Download PDFInfo
- Publication number
- CN109451501B CN109451501B CN201811543407.3A CN201811543407A CN109451501B CN 109451501 B CN109451501 B CN 109451501B CN 201811543407 A CN201811543407 A CN 201811543407A CN 109451501 B CN109451501 B CN 109451501B
- Authority
- CN
- China
- Prior art keywords
- user
- broadcast
- base station
- wireless network
- industrial wireless
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
- H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
本发明涉及一种基于广播签密的IPv6工业无线网络数据安全传输方法,属于通信领域。该方法在IPv6工业无线网络的用户广播通信模式基础上,提出一种基于ECC签密的数据安全传输方法,包括一种改进的ECDLP的数字签名方案和一种IPv6工业无线网络广播认证方案,保障端到端的数据传输安全。本发明的优点为:提出了一种IPv6工业无线网络广播认证方案,具有很强的安全性和效率,可以支持用户动态添加和移除,以保证网络的健壮性和灵活性,并实现用户匿名,有利于保护用户隐私;采用一种改进的ECDLP的数字签名方案,用以解决在IPv6工业无线网络中用户广播数据包的源认证和消息完整性认证问题,保证数据的机密性和认证性。
Description
技术领域
本发明属于通信领域,涉及基于广播签密的IPv6工业无线网络数据安全传输方法。
背景技术
在网络体系方面,传统的工业无线网络已经不能满足发展的应用需求,传统工业无线网络开始引入IP协议,趋向IP化发展。为使得这些终端和设备能够连入网络,必须加快推进工业互联网IPv6的应用部署,以满足工业互联网对海量地址空间的需求。IPv6将成为工业无线网络发展的必然选择。目前,IPv6工业无线网络标准化工作方面,全球整体推进都比较缓慢,尤其是在工厂内部靠近生产现场网络一侧,许多技术与标准还处于空白。
IPv6工业无线网络的用户通常需要发送控制信息、管理信息和查询信息等指令,为了减小通信开销和网络带宽,广播作为解决问题的有效通信方式。
IPv6工业无线网络广播通信过程涉及3种实体:用户、基站以及节点。
用户:即广播消息的发布者,在向基站进行注册后,通过将广播消息进行签名后形成广播数据包,将形成的广播数据包发送至基站。
基站:在IPv6工业无线网络中是具备更多资源的网关设备,用于为用户生成公私钥对,以及向IPv6工业无线网络广播数据包。
节点:在IPv6工业无线网络中是一些资源受限型的设备,只有少量的内存空间和有限的计算能力,是广播消息的接收方,需要对广播消息进行签名认证。
在IPv6工业无线网络的大环境下,安全问题关系到国家关键基础设施。工厂内网络与工厂外网络互联之后,数据安全将面临更大的威胁,所以保障工业数据安全传输是必要的。而且,广播通信作为IPv6工业无线网络很重要的通信方式之一,由于无线链路的开放性,一方面恶意节点会冒充合法节点发送非法广播数据包,另一方面在发送广播数据包的过程中很容易受到恶意攻击者篡改和插入虚假。为了保证广播源的合法性和消息的完整性,IPv6工业无线网络需要最基本的广播认证机制来保证广播数据的安全传输。
发明内容
有鉴于此,本发明的目的在于提供基于广播签密的IPv6工业无线网络数据安全传输方法,提出一种广播认证方案,采用改进的ECDLP数字签名方案对广播消息进行签名处理,实现广播数据包的源认证和消息完整性认证。同时,能够满足IPv6工业无线网络数据包的立即认证、随机广播、以及用户匿名等重要需求,增强了现有IPv6工业无线网络的安全特性。
为达到上述目的,本发明提供如下技术方案:
基于广播签密的IPv6工业无线网络数据安全传输方法,该方法包括以下步骤:
S1:系统初始化:由基站对IPv6工业无线网络进行初始化;
S2:用户添加:基站为加入IPv6工业无线网络的用户生成公私钥对;
S3:广播消息认证操作:用户或基站对消息进行签名并将其广播到IPv6工业无线网络,节点对广播消息签名进行验证;
S4:用户移除:基站对异常或被捕获用户进行移除。
进一步,所述步骤S1具体为:
S102:每个节点预存储初始化参数,包括椭圆曲线参数、基站公钥BQk、以及已注册用户的ID和公钥Qk。
进一步,所述步骤S2具体为:
S201:未注册用户i加入网络,首先用户i选择IDi作为唯一标识符并发送到基站;
S202:基站根据改进的ECDLP数字签名方案,随机选择[0,n-1]范围内的整数Pki作为用户i的私钥,计算Qki=PkiG,为用户i生成公私钥对<Qki,Pki>;
S203:基站将系统公共椭圆曲线参数和<Qki,Pki>发送给用户i,并使用安全信道向IPv6工业无线网络广播<IDi,Qki>;
S204:用户i收到公私钥对之后将其存储,用于发布广播消息时生成广播签名;
S205:节点收到基站广播消息后,将<IDi,Qki>进行存储,用于验证广播消息。
进一步,所述步骤S3具体为:
S301:已注册用户向IPv6工业无线网络广播消息M时,根据改进的ECDLP数字签名方案,对广播消息M进行签名生成操作;
S302:首先,从区间[0,n-1]随机生成整数d,且d≠Pki,计算F=dG=(x0,y0)和r=x0mod n,且r≠0;
S303:通过散列函数e=hash(M||Ti||IDi),获得M||Ti||IDi的摘要e,并将e的最高有效位(MSB)设置为1,其中M表示广播消息,Ti表示时间戳,IDi为用户身份标识;
S304:计算s=(dre+Pki)mod n和X=rF,其中r是F的x坐标;
S305:最后注册用户i为广播消息M产生签名Si(M||Ti||IDi)=(s,F,X),将广播消息M、时间戳Ti、用户公钥Qki和签名顺序连接从而构造广播数据包<M||Ti||Qki||Si(M||Ti||IDi)>并发送;
S306:当IPv6工业无线网络节点收到广播数据包后,首先提取时间戳Ti,检查Ti是否新鲜,如果Ti不是新鲜的,丢弃该广播数据包,否则根据ECDLP数字签名方案,验证广播数据包签名Si(M||Ti||IDi)的正确性;
S307:假设符号(*)表示攻击者可能已更改了广播数据包内容。首先,通过散列函数e*=hash(M*||Ti *||IDi),并将e*的最高有效位设置为1;
S308:计算v=s*×G和u=e*X*+Qki。如果v=u,则签名验证成功,节点接收消息,并将验证的消息传播到相邻节点,否则丢弃该消息并立即向基站报告异常。
进一步,所述步骤S4具体为:
S401:节点验证广播消息签名失败,则向基站报告异常。
S402:当基站收到节点的异常报告时,向IPv6工业无线网络广播移除用户消息;
S403:节点侦听到基站的广播消息后删除用户的ID和公钥Qk,以实现对被捕获用户的移除;
S404:如果节点接收到的消息都来自同一个用户,节点将丢弃该消息,并将该异常报告给基站,以防止DoS攻击。
本发明的有益效果在于:本发明的创新性在于提出了一种改进的ECDLP签名数字签名方案,并将其应用到了IPv6工业无线网络广播认证方案里面,解决了IPv6工业无线网络的广播认证问题,能实现对广播数据包的立即认证、用户匿名、抗非法/异常用户和抗DoS攻击等重要广播认证的需求。
附图说明
为了使本发明的目的、技术方案和有益效果更加清楚,本发明提供如下附图进行说明:
图1为本发明采用的IPv6工业无线网络模型示意图;
图2为本发明中IPv6工业无线网络广播认证流程图;
图3为本发明中用户添加流程图;
图4为本发明中生成广播消息签名的流程图;
图5为本发明中接收节点认证广播消息流程图;
图6为本发明中用户移除流程图。
具体实施方式
下面将结合附图,对本发明的优选实施例进行详细的描述。
图1为IPv6工业无线网络模型示意图。本发明采用的网络模型为n个工业设备节点随机部署在一个矩形监测区域内。网络中的节点在部署后通过自组织方式组网,在节点通信半径内的其他节点可作为邻居节点进行数据通信。
图2为本发明IPv6工业无线网络广播认证的流程图。为了更清晰易懂地描述本发明的设计思路,本发明可采用四个阶段实施:系统初始化,用户添加,广播消息认证,用户移除。本实施例的各种数据和方法,仅是作为明晰实施方法的一个特例。本专利的应用不限于实施例中的数据、方法等。
1.系统初始化阶段:
在用户或基站发布广播消息之前,首先需要进行IPv6工业无线网络初始化,即确定椭圆曲线参数,已注册用户,以及节点对相应椭圆曲线参数,基站公钥以及用户ID和公钥的存储。
步骤1-1:S101:基站进行系统初始化配置,根据改进的ECDLP数字签名方案进行预分配,在椭圆曲线E上选择基点G=(Gx,Gy),G是椭圆曲线上的有限点且具有最大阶数n,其中n是E在有限域的最大素数。
步骤1-2:每个节点预存储初始化参数,包括椭圆曲线参数、基站公钥BQk、以及已注册用户的ID和公钥Qk。
在步骤1-2中提及的预存储的已注册用户的ID和公钥Qk,是最开始部署节点时就确定加入的用户,未注册用户在IPv6工业无线网络部署完成后,可通过用户添加阶段注册。
2.用户添加
用户想向IPv6工业无线网络广播消息,需先进行注册加入网络。图3为用户添加流程图,其具体步骤如下:
步骤2-1:未注册用户i加入网络,首先用户i选择IDi作为唯一标识符并发送到基站;
步骤2-2:基站根据改进的ECDLP数字签名方案,随机选择[0,n-1]范围内的整数Pki作为用户i的私钥,计算Qki=PkiG,为用户i生成公私钥对<Qki,Pki>;
步骤2-3:基站将系统公共椭圆曲线参数以及<Qki,Pki>发送给用户i,并使用安全信道向IPv6工业无线网络广播<IDi,Qki>;
步骤2-4:用户i收到基站为其生成的公私钥对之后将其存储,用于发布广播消息时生成广播签名;
步骤2-5:节点收到基站广播消息后,将<IDi,Qki>进行存储,用于验证广播消息。
3.广播消息认证
广播消息认证分为签名生成阶段和签名验证阶段,其中图4为生成广播消息签名的流程图,具体步骤如下:
步骤3-1:已注册用户向IPv6工业无线网络广播消息M时,根据改进的ECDLP数字签名方案,对广播消息M进行签名生成操作;
步骤3-2:首先,从区间[0,n-1]随机生成整数d,且d≠Pki,计算F=dG=(x0,y0)和r=x0mod n,且r≠0;
步骤3-3:通过散列函数e=hash(M||Ti||IDi),获得M||Ti||IDi的摘要e,并将e的最高有效位(MSB)设置为1,其中M表示广播消息,Ti表示时间戳,IDi为用户身份标识;
步骤3-4:计算s=(dre+Pki)mod n和X=rF,其中r是F的x坐标;
步骤3-5:最后注册用户i为广播消息M产生签名Si(M||Ti||IDi)=(s,F,X),将广播消息M、时间戳Ti、用户公钥Qki和签名顺序连接从而构造广播数据包<M||Ti||Qki||Si(M||Ti||IDi)>并发送;
图5为接收节点认证广播消息流程图,具体步骤如下:
步骤3-6:当IPv6工业无线网络节点收到广播数据包后,首先提取时间戳Ti,检查Ti是否新鲜,如果Ti不是新鲜的,丢弃该广播数据包,否则根据ECDLP数字签名方案,验证广播数据包签名Si(M||Ti||IDi)的正确性;
步骤3-7:假设符号(*)表示攻击者可能已更改了广播数据包内容。首先,通过散列函数e*=hash(M*||Ti *||IDi),并将e*的最高有效位设置为1;
步骤3-8:计算v=s*×G和u=e*X*+Qki。如果v=u,则签名验证成功,节点接收消息,并将验证的消息传播到相邻节点,否则丢弃该消息并立即向基站报告异常。
4.用户移除:
图6为用户移除流程图,当签名认证失败时,或遇到DoS攻击时,基站会对异常用户做出处理,具体步骤如下:
步骤4-1:节点验证广播消息签名失败,则向基站报告异常。
在步骤4-1中,节点向基站报告异常的数据包,根据具体实施应用协商报文格式。
步骤4-2:当基站收到节点的异常报告时,向IPv6工业无线网络广播移除用户消息;
步骤4-3:节点侦听到基站的广播消息后删除用户的ID和公钥Qk,以实现对被捕获用户的移除;
步骤4-4:如果节点接收到的消息都来自同一个用户,节点将丢弃该消息,并将该异常报告给基站,以防止DoS攻击。
最后说明的是,以上优选实施例仅用以说明本发明的技术方案而非限制,尽管通过上述优选实施例已经对本发明进行了详细的描述,但本领域技术人员应当理解,可以在形式上和细节上对其做出各种各样的改变,而不偏离本发明权利要求书所限定的范围。
Claims (1)
1.基于广播签密的IPv6工业无线网络数据安全传输方法,其特征在于:该方法包括以下步骤:
S1:系统初始化:由基站对IPv6工业无线网络进行初始化;
S2:用户添加:基站为加入IPv6工业无线网络的用户生成公私钥对;
S3:广播消息认证操作:用户或基站对消息进行签名并将其广播到IPv6工业无线网络,节点对广播消息签名进行验证;
S4:用户移除:基站对异常或被捕获用户进行移除;
所述步骤S1具体为:
S102:每个节点预存储初始化参数,包括椭圆曲线参数、基站公钥BQk、以及已注册用户的ID和公钥Qk;
所述步骤S2具体为:
S201:未注册用户i加入网络,首先用户i选择IDi作为唯一标识符并发送到基站;
S202:基站根据改进的ECDLP数字签名方案,随机选择[0,n-1]范围内的整数Pki作为用户i的私钥,计算Qki=PkiG,为用户i生成公私钥对<Qki,Pki>;
S203:基站将系统公共椭圆曲线参数和<Qki,Pki>发送给用户i,并使用安全信道向IPv6工业无线网络广播<IDi,Qki>;
S204:用户i收到公私钥对之后将其存储,用于发布广播消息时生成广播签名;
S205:节点收到基站广播消息后,将<IDi,Qki>进行存储,用于验证广播消息;
所述步骤S3具体为:
S301:已注册用户向IPv6工业无线网络广播消息M时,根据改进的ECDLP数字签名方案,对广播消息M进行签名生成操作;
S302:首先,从区间[0,n-1]随机生成整数d,且d≠Pki,计算F=dG=(x0,y0)和r=x0modn,且r≠0;
S303:通过散列函数e=hash(M||Ti||IDi),获得M||Ti||IDi的摘要e,并将e的最高有效位MSB设置为1,其中M表示广播消息,Ti表示时间戳,IDi为用户身份标识;
S304:计算s=(dre+Pki)modn和X=rF,其中r是F的x坐标;
S305:最后注册用户i为广播消息M产生签名Si(M||Ti||IDi)=(s,F,X),将广播消息M、时间戳Ti、用户公钥Qki和签名顺序连接从而构造广播数据包<M||Ti||Qki||Si(M||Ti||IDi)>并发送;
S306:当IPv6工业无线网络节点收到广播数据包后,首先提取时间戳Ti,检查Ti是否新鲜,如果Ti不是新鲜的,丢弃该广播数据包,否则根据ECDLP数字签名方案,验证广播数据包签名Si(M||Ti||IDi)的正确性;
S307:假设符号(*)表示攻击者可能已更改了广播数据包内容;首先,通过散列函数e*=hash(M*||Ti *||IDi),并将e*的最高有效位设置为1;
S308:计算v=s*×G和u=e*X*+Qki;如果v=u,则签名验证成功,节点接收消息,并将验证的消息传播到相邻节点,否则丢弃该消息并立即向基站报告异常;
所述步骤S4具体为:
S401:节点验证广播消息签名失败,则向基站报告异常;
S402:当基站收到节点的异常报告时,向IPv6工业无线网络广播移除用户消息;
S403:节点侦听到基站的广播消息后删除用户的ID和公钥Qk,以实现对被捕获用户的移除;
S404:如果节点接收到的消息都来自同一个用户,节点将丢弃该消息,并将该异常报告给基站,以防止DoS攻击。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201811543407.3A CN109451501B (zh) | 2018-12-17 | 2018-12-17 | 基于广播签密的IPv6工业无线网络数据安全传输方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201811543407.3A CN109451501B (zh) | 2018-12-17 | 2018-12-17 | 基于广播签密的IPv6工业无线网络数据安全传输方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN109451501A CN109451501A (zh) | 2019-03-08 |
CN109451501B true CN109451501B (zh) | 2021-05-28 |
Family
ID=65559914
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201811543407.3A Active CN109451501B (zh) | 2018-12-17 | 2018-12-17 | 基于广播签密的IPv6工业无线网络数据安全传输方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN109451501B (zh) |
Family Cites Families (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101588235B (zh) * | 2009-01-23 | 2013-04-17 | 西安电子科技大学 | 一种基于MIPv6的安全组播方法及步骤 |
CN101977380A (zh) * | 2010-11-15 | 2011-02-16 | 天津工业大学 | 一种无线Mesh网络认证方法 |
CN102572821B (zh) * | 2012-01-13 | 2014-06-04 | 河南科技大学 | 一种低功耗实时无线传感器网络广播认证方法 |
US9210578B2 (en) * | 2012-07-12 | 2015-12-08 | Nokia Technologies Oy | Methods and apparatus for authentication |
CN103368731B (zh) * | 2013-07-23 | 2016-07-06 | 华南理工大学 | 基于哈希树的无线传感器网络安全数据发现和传播方法 |
US9234757B2 (en) * | 2013-11-29 | 2016-01-12 | Fedex Corporate Services, Inc. | Determining node location using a variable power characteristic of a node in a wireless node network |
CN103813372B (zh) * | 2014-02-19 | 2017-04-05 | 重庆邮电大学 | 一种基于IPv6的无线传感器网络管理方法 |
US10257159B2 (en) * | 2014-12-04 | 2019-04-09 | Belkin International, Inc. | Methods, systems, and apparatuses for providing a single network address translation connection for multiple devices |
CN104639329B (zh) * | 2015-02-02 | 2017-10-03 | 浙江大学 | 基于椭圆曲线码的用户身份相互认证方法 |
CN104837150B (zh) * | 2015-06-03 | 2018-01-05 | 重庆邮电大学 | IPv6无线传感网安全测试系统 |
CN106533886B (zh) * | 2016-12-09 | 2019-12-06 | 重庆邮电大学 | 基于IPv6协议的全互联制造网络架构及管理方法 |
CN107920352A (zh) * | 2017-12-11 | 2018-04-17 | 广西师范大学 | 一种基于混沌的无线传感器网络广播身份认证方法 |
-
2018
- 2018-12-17 CN CN201811543407.3A patent/CN109451501B/zh active Active
Also Published As
Publication number | Publication date |
---|---|
CN109451501A (zh) | 2019-03-08 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN111818031B (zh) | 基于区块链的隐蔽通信消息安全编码方法、系统和介质 | |
US8473744B2 (en) | Methods and systems for unilateral authentication of messages | |
US7624264B2 (en) | Using time to determine a hash extension | |
Anjum et al. | Security for wireless ad hoc networks | |
US7409544B2 (en) | Methods and systems for authenticating messages | |
Murdoch et al. | Embedding covert channels into TCP/IP | |
US8098823B2 (en) | Multi-key cryptographically generated address | |
He et al. | DiCode: DoS-resistant and distributed code dissemination in wireless sensor networks | |
Venkatraman et al. | Strategies for enhancing routing security in protocols for mobile ad hoc networks | |
He et al. | Cyber security analysis and protection of wireless sensor networks for smart grid monitoring | |
Law et al. | Secure rateless deluge: Pollution-resistant reprogramming and data dissemination for wireless sensor networks | |
US20110208971A1 (en) | Method of Using ECDSA with Winternitz One Time Signature | |
JP2016520271A (ja) | メッセージ認証をもつブロードキャストwlanメッセージのためのシステムおよび方法 | |
Carbunar et al. | JANUS: towards robust and malicious resilient routing in hybrid wireless networks | |
CN114389835A (zh) | 一种IPv6选项显式源地址加密安全验证网关及验证方法 | |
AlMheiri et al. | Data link layer security protocols in wireless sensor networks: A survey | |
Lu et al. | A lightweight authentication protocol for mobile ad hoc networks | |
Vučinić et al. | Constrained join protocol (CoJP) for 6TiSCH | |
Alanazi et al. | Analysis of denial of service impact on data routing in mobile eHealth wireless mesh network | |
CN109451501B (zh) | 基于广播签密的IPv6工业无线网络数据安全传输方法 | |
CN105141620A (zh) | 无线传感网安全及可抵御拒绝服务攻击的小数据分发方法 | |
Rahbari et al. | Securematch: Scalable authentication and key relegation for iot using physical-layer techniques | |
Narang et al. | Survey of Mobile WiMAX and its threats | |
WO2024164249A1 (zh) | 一种身份管理方法及装置 | |
KR101222619B1 (ko) | 무선 메쉬 네트워크의 데이터 인증 방법 및 장치 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant | ||
TR01 | Transfer of patent right |
Effective date of registration: 20220512 Address after: 901, 8 / F, building 2, yard 30, Shixing street, Shijingshan District, Beijing Patentee after: KYLAND TECHNOLOGY Co.,Ltd. Address before: 400065 Chongqing Nan'an District huangjuezhen pass Chongwen Road No. 2 Patentee before: CHONGQING University OF POSTS AND TELECOMMUNICATIONS |
|
TR01 | Transfer of patent right |