CN109918878B - 一种基于区块链的工业物联网设备身份认证及安全交互方法 - Google Patents

Abstract

本发明涉及一种基于区块链的工业物联网设备身份认证及安全交互方法，对工业物联网设备预置信任信息，然后设备生成身份公私钥信息，并利用设备软硬件信息生成该工业物联网设备的唯一指纹ID；利用预置信任信息对设备的公钥+ID签名发送至区块链上的身份服务节点，身份服务节点利用预置信息验证设备请求合法性后，将设备公钥+ID信息写入区块链；工业物联网设备利用身份私钥对业务数据进行签名，发送给业务交互方，业务交互方接收到业务数据及签名信息后，通过区块链查询发送方设备对应的公钥，利用发送方的公钥对上述签名信息进行验签；工业物联网设备通过智能合约智能配置设备之间的访问权限，阻止不符合访问规则的设备交互，保证授权设备之间的互相访问。

Description

一种基于区块链的工业物联网设备身份认证及安全交互方法

技术领域

本发明属于信息安全的工业物联网设备身份认证领域，具体涉及到一种基于区块链的工业物联网设备身份认证及安全交互方法。

背景技术

随着“互联网+”智能设备的发展和物联网技术的进一步普及，工业物联网设备数量增长迅速。海量的工业物联网设备接入对设备的身份鉴定及交互提出了更多的要求，工业物联网设备的可信身份认证及安全访问控制是构建高可用安全的工业物联网的前提基础。工业物联网设备之间的交互过程亟需提升信息共享和协同操作能力。设备端身份与其拥有者或者使用者身份之间，其映射关系的管理需要设备端能够验证请求方的身份，以实现人与设备、设备与设备之间的高效、可信安全地交换设备状态信息。目前大量的工业物联网设备依赖权威的第三方中心服务器进行身份管理。但不可否认，随着工业物联网设备数量的迅速增长，对负责物联网设备的中心服务器造成的压力(如计算、网络带宽等)也急剧增长。目前，在工业物联网设备进行身份认证、安全交互等业务时，普遍存在着以下制约其安全与效率的重大弊端：(1)现有的中心化服务器致使工业物联网设备的身份管理效率低下，并且耗费较高的成本对中心服务器进行维护，一旦中心服务器受到攻击将会导致整个身份管理系统的失败并可能导致不可修复的后果，因此急需分布式具有可伸缩性的工业物联网设备身份管理解决方案；(2)各工业物联网设备互动协作不通畅，进行业务交互需进行繁琐冗余的沟通，效率低下，可信性低。

针对上述问题，现有技术并不能满足工业物联网设备发展后的业务和安全需求，尤其是不能够完全解决工业物联网设备身份认证管理需求以及设备交互高效、可信、安全问题。专利《一种基于移动通信网络的物联网安全认证方法》(CN102932790A)提出采用组认证机制为同一传感器网络中的物联网设备提供接入移动通信网络的接入认证功能，但并没有解决认证数据的安全保护问题如认证数据的不可篡改；专利《用于安全性信息交互的身份认证方法》(CN104980276A)用户基于包含安全芯片的安全设备与服务提供商进行安全性信息交互的方法，尤其依赖第三方认证中心对安全设备的激活、认证与交互，没有给出第三方认证中心管理效率低下、易受攻击的解决方案。

区块链是一种分布式账本技术，由多方经过共识对数据进行记账，可以实现数据的可追溯、不可篡改以及多份存储。目前区块链可分为公有链和联盟链两大类，其中公有链的节点数量较多，节点可自由加入；联盟链中的节点规模相对较小，并且具有准入机制，从效率上来说，联盟链的交易吞吐量也比较高，因此针对工业物联网设备的特点，联盟链是比较适合工业物联网设备的身份认证管理与安全交互应用的。

基于区块链去中心化、透明性、公平性以及公开性的特性及优势，利用联盟链技术，在工业物联网设备相关部门部署节点构建联盟区块链，实现工业物联网设备身份快速标识和可信验证功能，基于工业物联网设备的身份设计工业物联网设备间的安全交互方案，从而促进工业物联网设备之间的协同与共享，提升工业物联网设备之间交互的安全性与高效性。

而目前还未有将区块链技术与工业物联网设备身份认证与安全交互相结合的方案，能够有效解决工业物联网设备身份认证管理、设备交互高效、可信、安全问题。

发明内容

本发明技术解决问题：克服现有技术的不足，提供一种基于区块链的工业物联网设备身份认证及安全交互方法，通过建立基于区块链的工业物联网设备身份标识生成机制对物联网设备进行身份标识，通过建立基于区块链的工业物联网设备身份验证机制对物联网设备进行身份验证，通过建立基于区块链智能合约的设备安全交互机制促进设备间安全数据交互，实现工业物联网设备分布式具有可伸缩性的身份管理，促进工业物联网设备交互高效、可信、安全性。

本发明技术解决方案：构建工业相关部门的联盟区块链网络。首先，对工业物联网设备预置信任信息，然后工业物联网设备生成身份公私钥信息，并利用设备软硬件信息生成该设备的唯一指纹ID；利用设备预置信任信息对公钥+ID签名发送至区块链上的身份服务节点，身份服务节点利用预置信息验证设备请求合法性后，将设备公钥+ID信息写入区块链，经共识后设备身份公钥和ID在区块链存储，无法篡改；其次，基于上述工业物联网设备身份标识信息对身份进行验证。工业物联网设备利用身份私钥对业务数据进行签名，发送给业务交互方，业务交互方接收到业务数据及签名信息后，通过区块链查询发送方设备对应的公钥，利用发送方的公钥对上述签名信息进行验签；最后，基于区块链上存储的身份认证信息，工业物联网设备通过智能合约智能配置工业物联网设备之间的访问权限，阻止不符合访问规则的设备交互，保证授权设备之间的互相访问。

一种基于区块链的工业物联网设备身份认证及安全交互方法，实现步骤如下：

(1)建立基于区块链的工业物联网身份标识机制，通过工业物联网设备预置信任信息以及利用密码学方法生成身份标识，并且在区块链上进行身份标识信息的存储。对各类工业物联网设备预置信任信息以防止仿冒设备的接入；工业物联网设备生成身份公私钥信息，并利用设备软硬件信息生成该设备的唯一指纹ID；利用设备预置信任信息对公钥+ID进行签名发送至区块链上的身份服务节点；身份服务节点利用预置信息验证设备请求合法性后，在区块链查询该设备未注册后，将设备公钥+ID信息写入区块链；若查询到该设备已进行注册，则对区块链上该设备的公钥+ID信息进行更新。

(2)建立基于区块链的工业物联网设备身份验证机制，设备身份不再经由中心认证服务器进行身份验证，避免服务器遭受单点攻击导致验证失败。工业物联网设备利用私钥对业务数据进行签名生成身份验证信息，发送给业务交互方；业务交互方接收到业务数据及签名信息后，通过区块链查询发送设备对应的公钥，利用公钥对上述签名信息进行验签。若通过身份验证，则判断该设备为所要进行交互的设备；若未通过身份验证，则与该设备交互失败。

(3)基于所述(2)中区块链上存储的身份认证信息，建立基于区块链智能合约的工业物联网设备安全交互机制，实现可灵活配置的合约层访问控制，达到无缝的安全数据交互。在智能合约中配置访问者对设备的访问授权，并通过智能合约对这些授权进行管理。所述访问授权由被访问的设备调用设备管理智能合约定义并发布在区块链上。通过智能合约智能配置工业物联网设备之间的访问权限，阻止不符合访问规则的设备交互，保证授权设备之间的相互访问。

本发明与现有技术相比的优点在于：

(1)针对现有的工业物联网设备身份认证中心化服务器致使工业物联网设备的身份管理效率低下，并且耗费较高的成本对中心服务器进行维护问题。本发明将区块链技术应用到工业物联网设备身份认证当中，构建联盟区块链网络，通过建立严格的身份标识机制、身份验证机制，使得身份认证过程实现了由业务双方自行完成，不依赖于中心验证服务器；此外，区块链的分布式存储，为工业物联网设备提供了更可靠的身份验证支撑。

(2)针对现有各工业物联网设备交互协作不通畅，进行业务交互需进行繁琐冗余的沟通，效率低下，可信性低问题。本发明通过基于智能合约的工业物联网设备安全交互机制，通过智能合约配置设备间的访问权限，实现了可灵活配置的合约层访问控制，达到安全数据交互。身份验证和访问控制依赖于区块链，保证各方对数据的共识与过程可信，解决了当前工业物联网设备业务交互协作的可信性低、效率低的问题。

(3)现有技术多采用中心服务器，一旦中心服务器收到攻击将会导致整个身份管理系统的失败并可能导致不可修复的后果。本发明的优点在于本发明基于区块链技术对工业物联网设备进行设备的身份标识与验证、安全交互，区块链作为一种新型的分布式技术及其不可篡改性，每个节点都拥有同样内容的所有节点的设备身份公钥ID信息，完全避免了传统中心服务器存在的受到单点攻击的威胁。

附图说明

图1为本发明的整体实施架构示意图；

图2为本发明的基于区块链的工业物联网设备身份标识机制示意图；

图3为本发明的基于区块链的工业物联网设备身份验证机制示意图；

图4为本发明的基于区块链智能合约的工业物联网设备安全交互机制示意图。

具体实施方式

为使本发明的目的、优点以及技术方案更加清楚明白，通过以下具体措施，并结合附图1-4，对本发明作进一步详细说明。

本发明利用联盟链技术，在工业物联网设备相关部门部署节点构建区块链，实现工业物联网设备身份快速标识和可信身份验证功能，并基于工业物联网设备身份设计设备间的安全交互机制。如图1所示，基于区块链的工业物联网设备身份认证及安全交互的整体架构为：首先构建实现底层区块链基础平台及存储方案，为上层提供支撑；其次根据身份标识验证机制及安全交互机制，编写相应的智能合约，自主实现相关业务功能；最后根据技术方案对工业物联网设备和业务节点功能进行升级，实现业务所需功能。

一、基于区块链的工业物联网设备身份标识机制

如图2所示，建立基于区块链的工业物联网设备身份标识机制，通过工业物联网设备预置信任信息以及利用密码学方法生成身份标识，并且在区块链上进行身份标识信息的存储。其具体实现过程为：

(1)对工业物联网设备以及区块链身份服务节点预置信任信息。该预置信息可以为一对公私钥(sk_p,pk_p)，其中sk代表私钥，pk代表公钥，下标p代表pre(预置)，私钥sk_p在设备存储，公钥pk_p在区块链的身份服务节点存储，该公私钥对由国家级的设备身份认证中心生成，并在设备出厂时将该私钥信息嵌入到设备中，该私钥主要用于防止恶意设备接入，不作为后续设备开展具体业务的签名用途，因此同一批次的设备，可以用同一个信任信息。

(2)工业物联网设备所有者利用工业物联网设备的软硬件信息生成该设备的唯一指纹ID，然后设备中生成身份密钥对(sk_r,pk_r)，其中sk代表私钥，pk代表公钥，下标r代表real(真实使用)，(sk_r,pk_r)与(1)中的(sk_p,pk_p)的关系是，(sk_p,pk_p)是预置信任信息使用的公私钥对，用于设备注册，(sk_r,pk_r)是设备自己生成的公私钥对(也称业务公私钥对)，用于设备身份注册完成后开展业务时使用。其中私钥用来对业务数据进行签名，公钥pk_r用来验证数字签名。

(3)工业物联网设备生成注册请求(pk_r,ID)，该注册请求的含义为：标识为ID的设备的公钥为pk_r，然后利用步骤(1)中的信任信息sk_p对注册请求进行签名得到签名信息σ_p＝sig(sk_p,(pk_r,ID))，其中sig代表签名操作，然后将注册请求加签名信息σ_p，广播至区块链网络；

(4)区块链网络中的身份服务节点接收到注册请求后，首先检测该ID是否注册过，如果注册过，则忽略该请求，如果没有注册过，则利用步骤(1)中的pk_p(设备的预置公钥)验证签名信息σ_p，如果ver(pk_p,σ_p,(pk_r,ID))＝＝1，ver代表验签操作，即验签通过，将该注册请求(pk_r,ID)存入区块链账本，其它区块链身份服务节点在接收到注册请求后，也采取相同的处理流程，即如果注册请求是合法的，(pk_r,ID)也会被存入其它区块链节点的账本中。

(5)基于各节点构建组成的可信区块链网络，工业物联网设备的身份公钥和指纹ID利用区块链的共识机制完成工业物联网设备在各节点本地账本中实现分布式可靠存储。

二、基于区块链的工业物联网设备身份验证机制

结合图3对基于区块链的工业物联网设备身份验证机制进行详细说明，其具体实现过程如下：

(1)假定工业互联网设备A与工业互联网设备B进行通信，工业物联网设备A利用业务私钥sk_r对待发送给B的业务数据data进行签名，生成签名信息σ_r＝sig(sk_r,data)，然后将A的ID_A、业务数据data和签名信息σ_r发送给设备B；

(2)设备B收到A的消息后，首先利用ID_A向区块链账本发出查询请求，得到设备A的业务公钥pk_r，然后利用pk_r对签名信息σ_r进行验签，如果ver(pk_r,σ_r,data)＝＝1，即验签通过，则设备B可以断定该消息的确是由设备A发出的，从而进行后续的业务处理，如果验签不通过，则设备B丢弃该消息。

三、基于区块链智能合约的工业物联网安全交互机制

基于区块链上存储的身份认证信息，建立基于区块链智能合约的工业物联网设备安全交互机制，实现可灵活配置的合约层访问控制，达到无缝的安全数据交互。基于区块链智能合约的工业物联网设备安全交互机制的实现过程，如图4所示：

(1)工业物联网设备在互相建立通信前，基于工业物联网设备身份验证机制，进行通信双方的身份验证，该身份验证过程参见“二、基于区块链的工业物联网设备身份验证机制”。

(2)访问授权生成。当工业物联网设备B要访问某个受保护工业物联网设备A时，需要获得相应的访问授权。访问授权的实现过程如下：

(2.1)工业物联网设备B将访问的目标设备ID和相应的操作op发给设备A，op代表操作类型，可以为query、edit、delete中的一种。

(2.2)设备A查询自己本地存储的访问控制策略，判断设备B的访问是否符合策略，如果符合，则为设备B创建相应的访问授权(ID_B,op,ram1)，其中ID_B代表设备B的ID，ram1是设备A生成的一个随机数。

(2.3)设备A用设备B的公钥对访问授权进行加密，生成加密信息ρ_B＝enc(pk_rB,(ID_B,op,ram1))，enc代表加密操作，pk_rB是B的业务公钥，op代表(2.1)中的操作类型，ram1代表(2.2)中的随机数，然后设备A用自己的私钥对加密后的访问授权进行签名，生成签名信息σ_A＝sig(sk_rA,ρ_B)，sk_rA代表A的业务私钥，ρ_B代表上述的加密后的访问授权，最后调用智能合约将加密后的访问授权ρ_B以及签名信息σ_A发送到区块链网络，区块链节点收到请求后进行验签，如果ver(pk_rA,σ_A,ρ_B)＝1，pk_rA代表A的业务公钥，即验签通过，则将该加密后的访问授权存入本地账本，其它区块链节点接收到请求后，也采取类似的处理流程，如果验签通过，加密后的访问授权也会被存入其它节点的账本中。

(3)访问执行。当工业物联网设备B请求某个工业物联网设备A已授权的服务时，实现过程如下：

(3.1)首先查询区块链上是否存储所需的访问授权，若存在则设备B通过自己的私钥解密区块链上存储的访问授权dec(sk_rB,ρ_B)，dec代表解密操作，sk_rB代表B的业务私钥，ρ_B为加密后的访问授权，如果解密成功，则B可以得到加密前的访问授权，即(ID_B,op,ram1)，ID_B为B的ID，op代表(2.1)中的操作类型，ram1代表(2.2)中的随机数。

(3.2)B获取访问授权以后，利用设备A的公钥对(ID_B,op,ram1)进行加密，生成加密信息ρ_A＝enc(pk_rA,(ID_B,op,ram1))，pk_rA代表A的业务公钥，ID_B为B的ID，op代表(2.1)中的操作类型，ram1代表(2.2)中的随机数，然后发送给设备A，设备A首先解密dec(skr_A,ρ_A)，skr_A代表A的业务私钥，验证解密后的访问授权是否为设备A在步骤(2.2)中生成的针对设备B的访问授权，如果验证通过，则允许设备B对设备A进行已授权的服务访问，否则拒绝。

提供以上实例仅仅是为了描述本发明的目的，而并非要限制本发明的范围。本发明的范围由所附权利要求限定。不脱离本发明的精神和原理而做出的各种等同替换和修改，均应涵盖在本发明的范围之内。

Claims (1)

1.一种基于区块链的工业物联网设备身份认证及安全交互方法，其特征在于：

(1)建立基于区块链的工业物联网身份标识机制，对工业物联网设备预置信任信息，然后工业物联网设备生成身份公私钥信息，并利用工业物联网设备软硬件信息生成该工业物联网设备的唯一指纹ID；利用所述预置信任信息对工业物联网设备的公钥+ID签名发送至区块链上的身份服务节点，身份服务节点利用预置信息验证工业物联网设备请求合法性后，将工业物联网设备的公钥+ID信息写入区块链，经共识后工业物联网设备身份公钥和ID在区块链存储，无法篡改；

(2)基于上述工业物联网设备身份标识信息对身份进行验证，工业物联网设备利用身份私钥对业务数据进行签名，发送给业务交互方，业务交互方接收到业务数据及签名信息后，通过区块链查询发送方设备对应的公钥，利用发送方的公钥对上述签名信息进行验签；

(3)基于区块链上存储的身份认证信息，工业物联网设备通过智能合约智能配置工业物联网设备之间的访问权限，阻止不符合访问规则的设备交互，保证授权设备之间的互相访问；

所述步骤(1)中，身份服务节点利用预置信息验证设备请求合法性后，在区块链查询该设备未注册后，将设备公钥+ID信息写入区块链；若查询到该设备已进行注册，则对区块链上该设备的公钥+ID信息进行更新；

所述步骤(2)中，业务交互方接收到业务数据及签名信息后，通过区块链查询发送设备对应的公钥，利用公钥对上述签名信息进行验签，若通过身份验证，则判断该设备为所要进行交互的设备；若未通过身份验证，则与该设备交互失败；

所述步骤(3)中，在智能合约中配置访问者对设备的访问授权，并通过智能合约对这些授权进行管理，所述访问授权由被访问的设备调用设备管理智能合约定义并发布在区块链上，通过智能合约智能配置工业物联网设备之间的访问权限，阻止不符合访问规则的设备交互，保证授权设备之间的相互访问。

Images