CN112333701B - 一种大规模物联网场景下基于身份的跨域认证方法 - Google Patents

Abstract

本发明提出一种大规模物联网场景下基于身份的跨域认证方法，顶级域的公开密钥为sP，不同域中的节点U_i，j和U_p，q，节点U_i，j表示第i层第j个节点，节点U_p，q表示第p层第q个节点，跨域间身份认证包括：步骤1、节点U_i，j与节点U_p，q需要交换彼此父节点域的公开密钥s_i‑1，kP，s_p‑1，tP，以及身份验证信息SM_i，j，SM_p，q；如果某个节点是顶级域中的节点，则该节点交换的是自己节点域的公开密钥；节点U_p，q对节点U_i，j的跨域身份验证包括：判断节点U_i，j是否为顶级域中的节点；根据节点U_i，j为顶级域中的节点，或节点U_i，j非顶级域中的节点采用不同的方式对该节点进行跨域身份验证；步骤2、若验证成功，则跨域间身份认证过程结束，存储获取的身份标识信息和公开密钥，后续使用该信息与对方节点进行通信。

Description

一种大规模物联网场景下基于身份的跨域认证方法

技术领域

本发明涉及网络与信息安全领域，尤其涉及一种大规模物联网场景下基于身份的跨域认证方法。

背景技术

1)基于身份加密的算法

基于身份加密的算法中的公钥是由用户的身份标识生成的，这样可以很好的保证公钥不被篡改及可被验证。基于身份的加密方案中的私钥通常由私钥生成机构产生，用户向私钥生成机构发送请求后，私钥生成机构将根据该用户的身份计算私钥，并通过安全信道发给用户。在基于身份加密的算法中，密钥在更换或者撤销时用户的公钥均无需更换。

基于身份加密的算法主要包括4个步骤：系统初始化，密钥生成，加密和解密。

(1)系统初始化(产生系统的相关参数)：

G₁，G₂是阶为q的GDH(Group Diffie-Hellman)群，q是一个大素数，G₁是由椭圆曲线上的点构成的加法循环群，P是群G₁的生成元，G₂是域

的一个乘法子群，双线性映射e：G₁×G₁→G₂。

私钥生成机构选择一个随机数

作为系统的主密钥，令P_Pub＝s·P，系统的密钥对为{P_Pub，s}。再选择两个哈希函数：H₁：{0，1}ⁿ→G₁和H₂：G₂→{0，1}ⁿ。明文空间M＝{0，1}ⁿ，密文空间为C＝C₁×{0，1}ⁿ，系统参数为params＝(q，G₁，G₂，e，n，P，P_Pub，H₁，H₂)。其中，主密钥

应该被严格保密。

(2)密钥生成

如果向私钥生成机构认证的用户身份为ID∈{0，1}^*。私钥生成机构计算Q_ID＝H₁(ID)∈G₁，然后向用户颁发私钥d_ID＝s·Q_ID，s为系统的主密钥。

(3)加密

假设发送方需要发送的加密信息为m，m∈M，发送方计算Q_ID＝H₁(ID)∈G₁，再随机选取

计算U＝rP以及

最后，发送方将密文c＝(U，V)通过公开信道发送给接收方。

(4)解密

接收方收到密文c＝(U，V)，并对其进行解密。检查U∈G₁是否成立，如果不成立则拒绝该密文。如果成立，则使用自己的私钥d_ID进行解密，计算出明文：

2)跨域参数认证算法

为了对跨域的身份进行认证，发送方A的信息M在进行加密发送给接收方B的同时，发送方A还会额外发送给接收方B一个信息sQ_M。接收方B为了验证消息M的正确性，在解密得到信息M和sQ_M后，使用信息M计算出Q_M后，然后再任取一个信息M′，使用sP和Q_M对信息M′进行加密得到

再使用得到的sQ_M解密得到

如果可以恢复出信息M′，则可以验证出消息M是正确的，没有被篡改的，具体的过程如图1所示。

3)分层跨域认证

节点域指的是由一个密钥管理中心和若干子节点构成的管理单元，域内共享同一密钥参数。分层跨域的结构形式主要是将物联网中的节点分成多个分级的节点域。如图2所示。

分层跨域验证的方式主要是根据子节点对祖先节点身份的信任这一属性。跨域间的节点将自己的身份信息告知自己的祖先节点，然后通过两个跨域节点的共同祖先节点进行身份认证。如图3所示：

若要跨域通信，发送方需要先和自己的祖先节点进行通信，顶级祖先节点通过顶级域与接收方的顶级祖先节点进行通信，然后接收方的顶级祖先节点将消息传递给接收方。

上述现有的认证方法的需要进行多次的通信，身份认证的效率较低，不适用于大型的节点较多的物联网系统。

发明内容

本发明的目的是提出一种效率较高的物联网跨域节点身份认证的方法，可以在无需额外通信的条件下实现对跨域节点的身份信息验证。

本发明的技术方案为：一种大规模物联网场景下基于身份的跨域认证方法，顶级域的公开密钥为sP，其中，包括不同的域节点U_i，j和U_p，q，节点U_i，j表示第i层第j个节点，节点U_p，q表示第p层第q个节点，跨域间的身份认证过程包括如下步骤：

步骤(1)节点U_i，j与节点U_p，q需要交换彼此父节点域的公开密钥s_i-1，kP，s_p-1，tP，以及身份验证信息SM_i，j，SM_p，q；如果某个节点是顶级节点，则交换的是自己节点域的公开密钥(例如假设节点U_i，j为顶级节点，则其交换的公开密钥为s_i，jP)；节点U_p，q对节点U_i，j身份验证具体包括如下步骤(节点U_i，j对节点U_p，q的身份验证过程相同)：

判断节点U_i，j是否为顶级域中的节点，如果是，则转步骤(1.1)，否则转步骤(1.2)；

步骤(1.1)若节点U_i，j为顶级域中的节点，即节点U_1，j，则节点U_p，q获取的信息为s_{1， j}P，SM_1，j；其中，SM_1，j中包括：ID_1，j，s_1，jP，sign(sQ_1，j，M_1，j)，SM_0，j，；其中ID_1，j为节点U_i，j的标识信息，s_1，jP为节点U_i，j节点域的公开密钥，M_1，j为由节点U_1，j的标识信息ID_1，j和自己节点域的公开密钥s_1，jP组成的信息，sign(sQ_1，j，M_1，j)为节点ID_1，j使用自己在顶级域中的私钥sQ_1，j对信息M_1，j的签名，SM_0，j为由节点U_i，j的标识信息ID_1，j和顶级域的公开密钥sP组成的信息；

a)节点U_p，q先对比SM_0，j中的ID_1，j和sP信息与自己获取已知的是否一致，若一致则通过并进行下一轮验证；

b)节点U_p，q再使用验证通过的顶级域的公开密钥sP和ID_1，j对M_1，j进行验证，验证M_1，j中公开密钥s_1，jP的正确性；若验证通过，则跨域间身份认证过程结束，存储获取的ID_1，j和s_1，jP信息，后续使用该信息与节点U_i，j进行通信；

步骤(1.2)若节点U_i，j为非顶级节点，则节点U_p，q获取的信息为s_i-1，kP，SM_i，j；其中，SM_i，j包括ID_i，j，s_i-1，kP，sign(s_i-2Q_i-1，k，M_i，j)，SM_i-1，k；其中ID_i，j为节点U_i，j的标识信息，s_i-1，kP为节点U_i，j其父节点域的公开密钥，M_i，j为由节点U_i，j的标识信息ID_i，j和自己父节点域的公开密钥s_i-1，kP组成的信息，sign(s_i-2Q_i-1，k，M_i，j)为节点ID_i-1，k使用其在父节点域中的私钥s_i-2Q_i-1，k对信息M_i，j的签名，SM_i-1，k为节点U_i，j的父节点U_i-1，k的身份验证信息；

a)节点U_p，q先对身份验证信息中包括的所有信息进行层层解析，即将所有的SM信息展开，直至得到节点U_i，j的根节点U_1，m的身份验证信息SM_1，m；

b)节点U_i，j的根节点U_1，m的身份验证信息SM_1，m中包括ID_1，m，s_1，mP，sign(sQ_1，m，M_1，m)，SM_0，m，M_1，m由ID_1，m和s_1，mP组成，SM_0，m由ID_1，m和sP组成；节点U_p，q使用已知的顶级域的公开密钥sP和ID_1，m对M_1，m中的ID_1，m，s_1，mP进行验证，得到验证后的公开密钥s_1，mP；

c)节点U_p，q再对下一层包进行验证，假设该链路上第二层的节点为U_2，n，该身份验证信息包中的内容为ID_2，n，s_1，mP，sign(s_1，mQ_1，m，M_2，n)，SM_1，m，其中M_2，n由ID_2，n和s_1，mP组成；即节点U_p，q使用验证后的公开密钥s_1，mP和ID_1，m对M_2，n中的ID_2，n，s_1，mP进行验证，得到验证后的公开密钥s_1，mP；

d)节点U_p，q再对下一层包进行验证，假设该链路上第三层的节点为U_3，l，该身份验证信息包中的内容为ID_3，l，s_2，nP，sign(s_1，mQ_2，n，M_3，l)，SM_3，l，其中M_3，l由ID_3，l和s_2，nP组成。即节点U_p，q使用验证后的公开密钥s_1，mP和ID_2，n对M_3，l中的ID_3，l，s_2，nP进行验证，得到验证后的公开密钥s_2，nP；

e)逐层验证，直至验证到包的最内层，即使用已经验证后的公开密钥和标识信息对节点U_i，j的身份ID_i，j以及其父节点域的公开密钥s_i-1，kP进行验证；

步骤(2)、若验证成功，则跨域间身份认证过程结束，存储获取的ID_i，j和s_i-1，kP信息，后续使用该信息与节点U_i，j进行通信。

进一步的，所述步骤(1)之前，还包括节点身份验证信息生成步骤，节点U_i，j分为顶级节点和非顶级节点两种，顶级节点的身份验证信息由该节点在生成自身节点域的同时生成，非顶级节点的身份验证信息在该节点加入父节点的节点域时由父节点分发。

进一步的，所述顶级节点的身份验证信息生成步骤，具体方式如下：

(1)顶级节点U_1，j选择自己域的公开密钥s_1，jP，并生成自己的私钥s_1，jQ_1，j；

(2)顶级节点用自己的身份信息ID_1，j，顶级域的公开密钥sP、自己在顶级域中的私sQ_1，j以及自己节点域的公开密钥s_1，jP生成身份验证信息SM_1，j，信息SM_1，j的格式为：ID_1，j，s_1，jP，sign(sQ_1，j，M_1，j)，SM_0，j，其中M_1，j由ID_1，j和s_1，jP组成，sign(sQ_1，j，M_1，j)为使用自己在顶级域中的私钥sQ_1，j对信息M_1，j进行签名后的信息，SM_0，j由ID_1，j和sP组成。

进一步的，所述非顶级节点在加入父节点的节点域时，由父节点生成该节点的身份验证信息，具体如下：

(1)节点U_i，j向节点U_i-1，k发送申请加入该节点的节点域；

(2)若节点U_i-1，k同意，则为节点U_i，j生成该节点的私钥s_i-1，kQ_i，j；

(3)节点U_i-1，k用节点U_i，j的标识信息ID_i，j，自己在父节点域中的私钥s_i-2Q_i-1，k以及自己的身份验证信息SM_i-1，k为节点U_i，j生成其身份验证信息SM_i，j，身份验证信息SM_i，j的格式为ID_i，j，s_i-1，kP，sign(s_i-2，tQ_i-1，k，M_i，j)，SM_i-1，k，其中M_i，j由ID_i，j和s_i-1，kP组成，sign(s_{i-2， t}Q_i-1，k，M_i，j)为节点U_i-1，k使用其在父节点域中的私钥s_i-2，tQ_i-1，k对信息M_i，j进行签名后的信息，SM_i-1，k为节点U_i-1，k的身份验证信息。

有益效果

本发明的验证方法相对于现有技术，具有如下优点：

1)适用性广：能广泛适用于大型的节点较多的物联网系统中的通信及身份信息验证。

2)高效性：跨域间节点进行身份验证时无需额外的通信条件，也不需要与祖先节点进行通信，只需在本地对对方的验证信息进行计算验证即可，减少通信的开销，提高了认证的效率。

3)安全性：该身份验证方法为基于身份的加密算法，可以抵抗被动攻击，冒充攻击和重放攻击等多种攻击。

4)权力下放：允许除顶级节点外同一链路上的父节点可以分发身份验证信息，提高了节点在生成域获取自身验证信息的效率，减少了顶级节点的工作负荷。

5)便捷性：每个节点加入系统后只需将获取的身份验证信息保存在本地，随后在进行身份验证时将该信息公开发送给对方节点进行验证即可，无需额外的加密操作。

附图说明

图1跨域参数认证算法；

图2节点域示意图；

图3分层跨域验证方式；

图4物联网基于身份的分层加密示意图；

图5非顶级节点加入域示意图；

图6跨域间顶级节点身份认证；

图7跨域间非顶级节点身份认证。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅为本发明的一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域的普通技术人员在不付出创造性劳动的前提下所获得的所有其他实施例，都属于本发明的保护范围。

由于物联网中顶级域的公开密钥为已知的，且所有节点均为顶级域引出的下层链路中的节点，因此所有节点均信任顶级域和顶级域的公开密钥。顶级域可以使用其公开密钥生成供跨域节点间身份认证的相关信息，也可以将权利进行下放，使得下层的节点也可以生成该身份认证信息。物联网中基于身份的分层加密结构如图4所示。

假设顶级域的公开密钥为sP，现将详细描述不同的域节点U_i，j和U_p，q的身份验证信息获取过程，以及跨域间的身份认证过程。其中节点U_i，j表示第i层第j个节点。

1)节点身份验证信息生成过程

节点U_i，j可分为顶级节点和非顶级节点两种，顶级节点的身份验证信息由该节点在生成自身节点域的同时生成，非顶级节点的身份验证信息在该节点加入父节点的节点域时由父节点分发。

首先我们阐述顶级节点的身份验证信息生成过程，具体方式如下：

(1)顶级节点U_1，j选择自己域的公开密钥s_1，jP，并生成自己的私钥s_1，jQ_1，j；

(2)顶级节点用自己的身份信息ID_1，j，顶级域的公开密钥sP、自己在顶级域中的私钥sQ_1，j以及自己节点域的公开密钥s_1，jP生成身份验证信息SM_1，j，信息SM_1，j的格式为：ID_1，j，s_1，jP，sign(sQ_1，j，M_1，j)，SM_0，j，其中M_1，j由ID_1，j和s_1，jP组成，sign(sQ_1，j，M_1，j)为节点U_1，j使用自己在顶级域中的私钥sQ_1，j对信息M_1，j进行签名后的信息，SM_0，j由ID_1，j和sP组成。

非顶级节点在加入父节点的节点域时，由父节点生成该节点的身份验证信息，如图5所示，具体阐述如下：

(1)节点U_i，j向节点U_i-1，k发送申请加入该节点的节点域；

(2)若节点U_i-1，k同意，则为节点U_i，j生成该节点的私钥s_i-1，kQ_i，j；

(3)节点U_i-1，k用节点U_i，j的标识信息ID_i，j，自己在自己节点域中的私钥s_i-1，kQ_i-1，k以及自己的身份验证信息SM_i-1，k为节点U_i，j生成其身份验证信息SM_i，j，身份验证信息SM_i，j的格式为ID_i，j，s_i-1，kP，sign(s_i-2，tQ_i-1，k，M_i，j)，SM_i-1，k，其中M_i，j由ID_i，j和s_i-1，kP组成，sign(s_i-2，tQ_i-1，k，M_i，j)为节点U_i-1，k使用其在父节点域中的私钥s_i-2，tQ_i-1，k对信息M_i，j进行签名后的信息，SM_i-1，k为节点U_i-1，k的身份验证信息。

节点U_p，q生成域的方式同上。

2)跨域节点身份认证的过程

若节点U_i，j需要与节点U_p，q进行跨域的身份验证，首先双方节点需要交换彼此父节点域的公开密钥s_i-1，kP，s_p-1，tP(若顶级节点，则其交换的是自己节点域的公开密钥)以及身份验证信息SM_i，j，SM_p，q。

下面将详细说明节点U_p，q对节点U_i，j身份验证的过程，过程如图6、7所示。(节点U_i，j对节点U_p，q的验证过程相同)

(1)假设节点U_i，j为顶级域中的节点，即节点U_1，j，则节点U_p，q获取的信息为s_1，jP，SM_1，j。其中，SM_1，j中包括：ID_1，j，s_1，jP，sign(sQ_1，j，M_1，j)，SM_0，j，M_1，j由ID_1，j和s_1，jP组成，SM_0，j由ID_1，j和sP组成。

c)节点U_p，q先对比SM_0，j中的ID_1，j和sP与自己获取已知的是否一致，若一致则通过并进行下一轮验证。

d)节点U_p，q再使用验证通过的顶级域的公开密钥sP和ID_1，j对M_1，j进行验证，验证其M_1，j中s_1，jP的正确性。若验证通过，则跨域间身份认证过程结束，存储获取的ID_1，j和s_1，jP信息，后续可以使用该信息与节点U_i，j进行通信。

(2)假设节点U_i，j为非顶级节点，则节点U_p，q获取的信息为s_i-1，kP，SM_i，j。其中，SM_i，j包括ID_i，j，s_i-1，kP，sign(s_i-1，kQ_i-1，k，M_i，j)，SM_i-1，k，M_i，j由ID_i，j和节点U_i，j父节点域的公开密钥s_i-1，kP组成，SM_i-1，k为节点U_i，j的父节点U_i-1，k的身份验证信息。

f)节点U_p，q先对身份验证信息中包括的所有信息进行层层解析，即将所有的SM信息展开，直至得到节点U_i，j的根节点U_1，m的身份验证信息SM_1，m。

g)节点U_i，j的根节点U_1，m的身份验证信息SM_1，m中包括ID_1，m，s_1，mP，sign(sQ_1，m，M_1，m)，SM_0，m，M_1，m由ID_1，m和s_1，mP组成，SM_0，m由ID_1，m和sP组成。节点U_p，q使用已知的顶级域的公开密钥sP和ID_1，m对M_1，m中的ID_1，m，s_1，mP进行验证，得到验证后的公开密钥s_1，mP。

h)节点U_p，q再对下一层包进行验证，假设该链路上第二层的节点为U_2，n，该身份验证信息包中的内容为ID_2，n，s_1，mP，sign(s_1，mQ_1，m，M_2，n)，SM_1，m，其中M_2，n由ID_2，n和s_1，mP组成。即节点U_p，q使用验证后的公开密钥s_1，mP和ID_1，m对M_2，n中的ID_2，n，s_1，mP进行验证，得到验证后的公开密钥s_1，mP。

i)节点U_p，q再对下一层包进行验证，假设该链路上第三层的节点为U_3，l，该身份验证信息包中的内容为ID_3，l，s_2，nP，sign(s_1，mQ_2，n，M_3，l)，SM_3，l，其中M_3，l由ID_3，l和s_2，nP组成。即节点U_p，q使用验证后的公开密钥s_1，mP和ID_2，n对M_3，l中的ID_3，l，s_2，nP进行验证，得到验证后的公开密钥s_2，nP。

j)按照上述的方法进行逐层的验证，直至验证到包的最后一层，即使用已经验证后的公开密钥和标识信息对节点U_i，j的身份ID_i，j以及其父节点域的公开密钥s_i-1，kP进行验证。

k)若验证成功，则跨域间身份认证过程结束，存储获取的ID_i，j和s_i-1，kP信息，后续可以使用该信息与节点U_i，j进行通信。

应用举例

本发明中的节点对应的是大规模物联网场景中的网络节点。在面临大规模物联网系统中网络节点较多的情况下，不同节点域间的网络节点往往需要进行跨域间的通信。然而，跨域间的网络节点并不能信任对方节点的身份，因此需要对对方网络节点的身份信息进行验证。

根据本发明的一个实施例，若大规模物联网系统下第一层的第七个网络节点U_1，7和第十二层的第十五个网络节点U_12，15分别生成或加入物联网系统的节点域，获取自己的身份验证信息并对对方域的身份验证信息进行验证。

1、身份验证信息的生成

节点U_1，7为顶级节点，选择自己域的公开密钥为s_1，7P，并生成自己的身份验证信息SM_1，7保存在本地，信息SM_1，7由ID_1，7，s_1，7P，sign(sQ_1，7，M_1，7)，SM_0，7构成，其中M_1，7包含ID_1，7和s_1，7P，SM_0，7包含ID_1，7和顶级域的公开密钥sP。

节点U_12，15申请加入父节点U_11，12的节点域，若节点U_11，12同意，则为节点U_12，15生成其私钥s_11，12Q_12，15，及其身份验证信息SM_12，15并发送给该节点。身份验证信息SM_12，15由ID_12，15，s_11，12P，sign(s_10，8Q_11，12，M_12，15)，SM_11，12构成，其中M_12，15由ID_12，15和s_11，12P组成，SM_11，12为节点U_11，12的身份验证信息。节点U_12，15收到了父节点U_11，12发来的私钥s_11，12Q_12，15，及其身份验证信息SM_12，15后将其均保存在本地，私钥s_11，12Q_12，15用于后续的通信解密，身份验证信息SM_12，15用于后续跨域间的身份验证。

2、身份认证

现节点U_12，15对节点U_1，7的身份进行验证。节点U_12，15对SM_1，7进行解析，可以得到ID_1，7，s_1，7P，sign(sQ_1，7，M_1，7)，SM_0，7。先使用已知的顶级域的公开密钥sP和顶级节点的身份信息ID_1，7对SM_0，7中的sP和ID_1，7进行验证，再使用验证后的sP和ID_1，7对sign(sQ_1，7，M_1，7)验证，验证M_1，7中的ID_1，7和s_1，7P，若成功，则保存其s_1，7P用于后续的通信。

节点U_1，7对节点U_12，15进行身份信息的验证，节点U_1，7对SM_12，15进行解析，可以得到ID_12，15，s_11，12P，sign(s_10，8Q_11，12，M_12，15)，SM_11，12，再对SM_11，12进行解析，依次向上，最后可以得到SM_3，6，SM_2，5，SM_1，3(节点U_12，15链路上前几个节点的身份验证信息)。

a)先对SM_1，3进行验证，SM_1，3中包含ID_1，3，s_1，3P，sign(sQ_1，3，M_1，3)，SM_0，3，即使用已知的顶级域的公开密钥sP和顶级节点的身份信息ID_1，3对SM_0，3进行验证，再使用sP对sign(sQ_1，3，M_1，3)验证，验证M_1，3中的ID_1，3和s_1，3P，若成功，则进行下一步。

b)对SM_2，5进行验证，SM_2，5中包含ID_2，5，s_1，3P，sign(s_1，3Q_1，3，M_2，5)，SM_1，3，其中M_2，5中包含ID_2，5和s_1，3P，即使用验证后的公开密钥s_1，3P、ID_1，3和解析得到的sign(s_1，3Q_1，3，M_2，5)对M_2，5中的ID_2，5和s_1，3P进行验证，若成功，则进行下一步。

c)对SM_3，6进行验证，SM_3，6中包含ID_3，6，s_2，5P，sign(s_1，3Q_2，5，M_3，6)，SM_2，5，其中M_3，6中包含ID_3，6，s_2，5P，即使用验证后的公开密钥s_1，3P、ID_2，5和解析得到的sign(s_1，3Q_2，5，M_3，6)对M_3，6中的ID_3，6和s_2，5P进行验证，若成功，则进行下一步。

d)使用验证后的公开密钥s_2，5P和ID_3，6对后续的一个身份验证信息包进行验证，以此类推。

最后可以得到验证后的公开密钥s_10，8P、ID_11，12，用其对最后一层身份验证信息SM_12，15进行验证，SM_12，15中包括ID_12，15，s_11，12P，sign(s_10，8Q_11，12，M_12，15)，SM_11，12，其中M_12，15中包含ID_12，15，s_11，12P，即使用s_10，8P、ID_11，12和sign(s_10，8Q_11，12，M_12，15)验证M_12，15中的ID_12，15，s_{11， 12}P。若验证成功，则保存其s_11，12P用于后续的通信。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领域的技术人员理解本发明，且应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims (4)

1.一种大规模物联网场景下基于身份的跨域认证方法，顶级域的公开密钥为sP，其中，不同域中的节点U_i，j和U_p，q，节点U_i，j表示第i层第j个节点，节点U_p，q表示第p层第q个节点，其特征在于，跨域间的身份认证过程包括如下步骤：

步骤(1)节点U_i，j与节点U_p，q需要交换彼此父节点域的公开密钥分别为s_i-1，kP，s_p-1，tP，以及身份验证信息分别为SM_i，j，SM_p，q；如果某个节点是顶级节点，则交换的是自己节点域的公开密钥；节点U_p，q对节点U_i，j身份验证具体包括如下步骤：

判断节点U_i，j是否为顶级域中的节点，如果是，则转步骤(1.1)，否则转步骤(1.2)；

步骤(1.1)若节点U_i，j为顶级域中的节点，即节点U_1，j，则节点U_p，q获取的信息为s_1，jP，SM_1，j；其中，SM_1，j中包括：ID_1，j，s_1，jP，sign(sQ_1，j，M_1，j)，SM_0，j，其中ID_1，j为节点U_1，j的标识信息，s_1，jP为节点U_1，j节点域的公开密钥，M_1，j为由节点U_1，j的标识信息ID_1，j和自己节点域的公开密钥s_1，jP组成的信息，sign(sQ_1，j，M_1，j)为节点U_1，j使用自己在顶级域中的私钥sQ_1，j对信息M_1，j的签名，SM_0，j为由节点U_1，j的标识信息ID_1，j和顶级域的公开密钥sP组成的信息；

a)节点U_p，q先对比SM_0，j中的ID_1，j和sP信息与自己获取已知的是否一致，若一致则通过并进行下一轮验证；

b)节点U_p，q再使用验证通过的顶级域的公开密钥sP和ID_1，j对M_1，j进行验证，验证M_1，j中公开密钥s_1，jP的正确性；若验证通过，则跨域间身份认证过程结束，存储获取的ID_1，j和s_1，jP信息，后续使用该信息与节点U_1，j进行通信；

步骤(1.2)若节点U_i，j为非顶级节点，则节点U_p，q获取的信息为s_i-1，kP，SM_i，j；其中，SM_i，j包括ID_i，j，s_i-1，kP，sign(s_i-2Q_i-1，k，M_i，j)，SM_i-1，k；其中ID_i，j为节点U_i，j的标识信息，s_i-1，kP为节点U_i，j其父节点域的公开密钥，M_i，j为由节点U_i，j的标识信息ID_i，j和自己父节点域的公开密钥s_i-1，kP组成的信息，sign(s_i-2Q_i-1，k，M_i，j)为节点U_i-1，k使用其在父节点域中的私钥s_i-2Q_i-1，k对信息M_i，j的签名，SM_i-1，k为节点U_i，j父节点U_i-1，k的身份验证信息；

a)节点U_p，q先对身份验证信息中包括的所有信息进行层层解析，即将所有的SM信息展开，直至得到节点U_i，j的根节点U_1，m的身份验证信息SM_1，m；

b)节点U_i，j的根节点U_1，m的身份验证信息SM_1，m中包括ID_1，m，s_1，mP，sign(sQ_1，m，M_1，m)，SM_0，m，M_1，m由ID_1，m和s_1，mP组成，SM_0，m由ID_1，m和sP组成；节点U_p，q使用已知的顶级域的公开密钥sP和ID_1，m对M_1，m中的ID_1，m，s_1，mP进行验证，得到验证后的公开密钥s_1，mP；

c)节点U_p，q再对下一层包进行验证，链路上第二层的节点为U_2，n，该身份验证信息中的内容为ID_2，n，s_1，mP，sign(s_1，mQ_1，m，M_2，n)，SM_1，m，其中M_2，n由ID_2，n和s_1，mP组成；即节点U_p，q使用验证后的公开密钥s_1，mP和ID_1，m对M_2，n中的ID_2，n，s_1，mP进行验证，得到验证后的公开密钥s_1，mP；

d)节点U_p，q再对下一层包进行验证，该链路上第三层的节点为U_3，l，该身份验证信息中的内容为ID_3，l，s_2，nP，sign(s_1，mQ_2，n，M_3，l)，SM_2，n，其中M_3，l由ID_3，l和s_2，nP组成；即节点U_p，q使用验证后的公开密钥s_1，mP和ID_2，n对M_3，l中的ID_3，l，s_2，nP进行验证，得到验证后的公开密钥s_{2， n}P；

e)逐层验证，直至验证到包的最后一层，即使用已经验证后的公开密钥和标识信息对节点U_i，j的身份ID_i，j以及其父节点域的公开密钥s_i-1，kP进行验证；

步骤(2)若验证成功，则跨域间身份认证过程结束，存储获取的ID_i，j和s_i-1，kP信息，后续使用该信息与节点U_i，j进行通信。

2.根据权利要求1所述的一种大规模物联网场景下基于身份的跨域认证方法，其特征在于，所述步骤(1)之前，还包括节点身份验证信息生成步骤，节点U_i，j分为顶级节点和非顶级节点两种，顶级节点的身份验证信息由该节点在生成自身节点域的同时生成，非顶级节点的身份验证信息在该节点加入父节点的节点域时由父节点分发。

3.根据权利要求2所述的一种大规模物联网场景下基于身份的跨域认证方法，其特征在于，所述顶级节点的身份验证信息生成步骤，具体方式如下：

(1)顶级节点U_1，j选择自己域的公开密钥s_1，jP，并生成自己的私钥s_1，jQ_1，j；

(2)顶级节点用自己的身份信息ID_1，j，顶级域的公开密钥sP、自己在顶级域中的私钥sQ_1，j以及自己节点域的公开密钥s_1，jP生成身份验证信息SM_1，j，信息SM_1，j的格式为：ID_1，j，s_1，jP，sign(sQ_1，j，M_1，j)，SM_0，j，其中M_1，j由ID_1，j和s_1，jP组成，sign(sQ_1，j，M_1，j)为使用自己在顶级域中的私钥sQ_1，j对信息M_1，j进行签名后的信息，SM_0，j由ID_1，j和sP组成。

4.根据权利要求2所述的一种大规模物联网场景下基于身份的跨域认证方法，其特征在于，所述非顶级节点在加入父节点的节点域时，由父节点生成该节点的身份验证信息，具体如下：

(1)节点U_i，j向节点U_i-1，k发送申请加入该节点的节点域；

(2)若节点U_i-1，k同意，则为节点U_i，j生成该节点的私钥s_i-1，kQ_i，j；

(3)节点U_i-1，k用节点U_i，j的标识信息ID_i，j，自己在父节点域中的私钥s_i-2Q_i-1，k以及自己的身份验证信息SM_i-1，k为节点U_i，j生成其身份验证信息SM_i，j，身份验证信息SM_i，j的格式为ID_i，j，s_i-1，kP，sign(s_i-2Q_i-1，k，M_i，j)，SM_i-1，k，其中M_i，j由ID_i，j和s_i-1，kP组成，sign(s_i-2Q_i-1，k，M_i，j)为节点U_i-1，k使用其在父节点域中的私钥s_i-2Q_i-1，k对信息M_i，j进行签名后的信息，SM_i-1，k为节点U_i-1，k的身份验证信息。

Images