CN112887978A

CN112887978A - Wsn中的匿名身份认证与密钥协商协议

Info

Publication number: CN112887978A
Application number: CN202110210240.4A
Authority: CN
Inventors: 李凤银; 于新颖; 王伊蕾; 王颖; 崔洋; 于思琦
Original assignee: Qufu Normal University
Current assignee: Hangzhou Houquantum Cryptography Technology Co ltd
Priority date: 2021-02-24
Filing date: 2021-02-24
Publication date: 2021-06-01
Anticipated expiration: 2041-02-24
Also published as: CN112887978B

Abstract

本发明公开了一种WSN中的匿名身份认证与密钥协商协议（Anonymous Authentication and Key Agreement protocol,AAKA协议）。该协议完成了用户、网关与传感器节点之间的双向认证，并在三类实体之间生成了会话密钥，旨在实现合法用户对无线传感器网络的安全访问，防止非授权用户进入网络获取敏感数据，保障后期数据在公开信道上的机密传输。其技术要点是：通过智能卡的预认证功能实现用户身份合法性的本地认证，基于动态序列号、共享秘密值和动态随机数实现用户与网关之间、网关与传感器节点之间的双向身份认证和密钥协商，降低了认证和密钥协商过程中的通信和计算成本，有效防止攻击者冒充用户、网关或者传感器节点，为合法用户访问无线传感器网络提供了安全保障。性能分析表明，AAKA协议在满足安全性的前提下，具有较低的计算、存储与通信开销，适用于无线传感器网络下的数据安全访问与传输。

Description

WSN中的匿名身份认证与密钥协商协议

技术领域

本发明属于无线传感器网络信息安全领域，涉及单向哈希函数、异或加密算法与BAN逻辑安全性分析方法等技术，针对无线传感器网络中用户访问传感器节点时存在的身份合法性问题，以及敏感数据在公开信道上传输时存在的安全隐患，提出了适用于无线传感器网络的轻量级匿名身份认证与密钥协商协议。协议中的用户、网关与传感器节点基于动态序列号和共享秘密值完成双向身份认证并生成会话密钥，旨在实现合法用户对无线传感器网络的安全访问，保障后期数据在公开信道上的机密传输。

背景技术

哈希函数是一种将任意长度比特串映射到固定长度的不可逆运算，广泛应用在身份认证与密钥协商协议中。哈希函数的输出值称为哈希值，其长度取决于所采用的算法，通常在128～256bits。哈希函数的安全特性有：

(1)单向性：给定x，求解h(x)是容易的；但已知h(x)，求解x在计算上是困难的，即在多项式时间内不可解。

(2)抗碰撞性：给定x和h(x)，找到x'≠x使得h(x')＝h(x)是不可行的。

(3)快速性：哈希函数计算简单快速，即给定x，计算h(x)是容易的，如线性时间。

(4)雪崩效应：输入中一个比特位发生变化将引起输出中一半以上的比特位发生变化。

异或加密运算因其能够简单快速的加解密而常用于身份认证协议。假如a＝b⊕c，已知其中任意两个参数，便能轻松求解第三个；若只知道其中一个参数，求解另外两个是不可能的。因此，异或加密操作广泛用于简单的加密运算以实现敏感信息的私密传输。

Burrow、Abadi、Needham等人于1989年提出了BAN逻辑，该逻辑在认证协议的安全分析中起着重要作用。使用BAN逻辑对身份认证协议进行安全性分析时，首先要将协议中的交互信息转化为BAN逻辑中的公式，即进行协议的“理想化步骤”；然后根据具体情况进行合理的假设；最后利用推理规则推断协议是否达到预期目标。

发明内容

WSN中的匿名身份认证与密钥协商协议(Anonymous Authentication and KeyAgreement protocol,AAKA协议)包含五个阶段，分别为网络初始化、用户注册、用户身份预认证、匿名身份认证与密钥协商、用户密码更改；在网络初始化阶段，管理员将基本运算函数写入智能卡、网关和传感器节点的内存中，为后续阶段的执行提供保障；在用户注册阶段，协议中的用户采用身份和密码在网关注册成为合法用户，并将生成的身份注册信息存入智能卡，为智能卡的预认证功能提供基础；在用户身份预认证阶段，AAKA协议通过智能卡的预认证功能实现用户身份合法性的本地认证，降低用户与网关之间的通信和计算成本，抵御攻击者发起拒绝服务攻击；在匿名身份认证与密钥协商阶段，AAKA协议中的用户与网关基于动态序列号、网关与传感器节点基于共享秘密值分别实现双向身份认证，防止攻击者冒充合法用户、网关或传感器节点获得网络数据，为合法用户安全访问无线传感器网络提供了保障；AAKA协议根据用户、网关和传感器节点在认证过程中选择的随机数生成会话密钥，该密钥为后期数据的安全传输提供了保障；在用户密码更改阶段，用户定期更新密码，智能卡根据用户的新密码更新存储的身份注册信息，避免密码泄露所带来的损失；具体过程如下：

(1)网络初始化阶段：在无线传感器网络在部署到监测区域之前，网关GWN、传感器节点N_j和智能卡SC需要进行以下初始化操作：

(1.1)管理员在智能卡SC、网关GWN和传感器节点N_j的内存中存入单向哈希函数、异或运算函数、连接运算函数、随机数生成器等基本运算函数；管理员为智能卡SC选择的身份标识ID_SC和随机数R_SC，并将{ID_SC,R_SC}存入网关GWN的用户认证表UT和智能卡SC的内存中，使之成为合法的智能卡；然后管理员将合法的智能卡SC分发给用户U_i；

(1.2)网关GWN选择随机数X作为主密钥并秘密保存，并为传感器节点N_j生成身份标识ID_Nj、计算秘密值SV_j＝h(ID_Nj||X)；然后，网关GWN将{ID_Nj,SV_j}存储在传感器节点认证表NT和传感器节点N_j的内存中，使之成为合法的传感器节点；最后，管理员将传感器节点部署在监测区域中；

(2)用户注册阶段：在该阶段，用户U_i选择身份标识ID_i和密码PW_i生成注册请求，向网关GWN发送注册请求进行身份注册；网关GWN生成用户U_i的身份注册信息并存入用户认证表UT，用户U_i则将身份注册信息存入智能卡SC；

(3)用户身份预认证阶段：当用户U_i想要访问无线传感器网络时，智能卡SC需要预先认证用户U_i的合法性，只有用户U_i输入的身份标识ID_i ^*和密码PW_i ^*通过认证，智能卡SC才生成用户U_i的访问请求S₁并发送到网关GWN；

(4)匿名身份认证与密钥协商阶段：在该阶段，用户U_i、网关GWN与传感器节点N_j完成双向认证并生成会话密钥，具体过程如下：

(4.1)网关GWN收到用户U_i访问请求S₁后，根据访问请求S₁和用户认证表UT中U_i的身份注册信息认证U_i身份的合法性；若认证成功，网关GWN计算自己的身份认证信息S₂并发送给目标传感器节点N_j；

(4.2)目标传感器节点N_j根据GWN的身份认证信息S₂和存储的秘密值认证GWN的合法性；若认证成功，目标传感器节点N_j计算会话密钥SK和自己的身份认证信息S₃，并将S₃发送给网关GWN；

(4.3)网关GWN根据目标传感器节点N_j的身份认证信息S₃计算会话密钥SK，然后认证N_j身份的合法性；若认证成功，网关GWN计算自己的身份认证信息S₄并发送给用户U_i；

(4.4)用户U_i根据网关GWN的身份认证信息S₄计算会话密钥SK，然后认证GWN的合法性进；若认证成功，用户U_i便可访问无线传感器网络获取敏感数据；会话密钥SK则保证了敏感数据在用户U_i与传感器节点N_j之间的机密传输；在用户U_i、网关GWN和传感器节点N_j的身份认证过程中，若有一方认证失败，则终止会话；

(5)用户密码更改阶段：在该阶段，用户U_i可以使用智能卡SC本地更换密码：智能卡SC根据用户U_i输入的身份标识ID_i ^*和旧密码PW_i ^*认证U_i的合法性；若认证成功，用户U_i输入新密码PW_i ^new，智能卡SC更新存储的身份注册信息；本发明在实现安全性的同时，具有较低的计算、存储与通信开销，达到了如下效果：用户、网关与传感器节点之间的双向身份认证，实现了合法用户对无线传感器网络的安全访问，防止非授权用户进入网络获取敏感数据；三类实体在每次会话中均使用单向哈希函数和异或加密算法协商会话密钥，该密钥用于未来的保密通信，实现了数据的机密性传输。本发明可用于无线传感器网络下的数据安全访问与传输。

附图说明

图1无线传感器网络体系结构

图2 Ui,GWN与Nj的身份认证与密钥协商过程

图3四种协议计算开销对比图

图4三种协议计算开销对比图

图5四种协议通信开销对比图

图6四种协议存储开销对比图

具体实施方式

(1)网络初始化阶段：在无线传感器网络在部署到监测区域之前，网关GWN、传感器节点N_j和智能卡SC需要进行以下初始化操作，协议中的符号及意义如表1所示：

表1 符号描述

(1.1)管理员在智能卡SC、网关GWN和传感器节点N_j的内存中存入单向哈希函数、异或运算函数、连接运算函数、随机数生成器等基本运算函数；管理员为智能卡SC选择的身份标识ID_SC和随机数R_SC，并将{ID_SC,R_SC}存入网关GWN的用户认证表UT(如表2所示，初始时用户身份信息XT与序列号TS为空)和智能卡SC的内存中，使之成为合法的智能卡；然后管理员将合法的智能卡SC分发给用户U_i；

表2 网关GWN维护的用户认证表UT

(1.2)网关GWN选择随机数X作为主密钥并秘密保存，并为传感器节点N_j生成身份标识ID_Nj、计算秘密值SV_j＝h(ID_Nj||X)；然后，网关GWN将{ID_Nj,SV_j}存储在传感器节点认证表NT(如表3所示)和N_j的内存中，使之成为合法的传感器节点；最后，管理员将传感器节点部署在监测区域中；

表3 网关GWN维护的传感器节点认证表NT

(2)用户注册阶段：在该阶段，用户U_i选择身份标识ID_i和密码PW_i生成注册请求，向网关GWN发送注册请求进行身份注册；网关GWN生成用户U_i的身份注册信息并存入用户认证表UT；用户U_i则将身份注册信息存入智能卡SC，具体过程如下：

(2.1)用户U_i生成注册请求：首先，用户U_i将智能卡SC插入读卡器中，获得智能卡SC的身份标识ID_SC；然后，用户U_i输入自己的身份标识ID_i、密码PW_i和随机数R_U，计算注册请求RPW_i和REG_i：

RPW_i＝h(PW_i||R_U)

最后，用户U_i将注册请求{ID_SC,RPW_i,REG_i}发送给网关GWN；

(2.2)网关GWN生成用户U_i身份注册信息：网关GWN收到消息后，首先在用户认证表UT中检查智能卡SC的身份标识ID_SC是否存在，若不存在，网关GWN拒绝用户U_i的注册请求；否则，网关GWN根据ID_SC在用户认证表UT中找到匹配的随机数R_SC；然后，网关GWN计算当前已处理的所有合法注册请求和登录请求的总数目sum，生成动态序列号TS_i＝sum，并且根据用户U_i的注册请求{ID_SC,RPW_i,REG_i}计算U_i的身份注册信息ID_i、US、UR、SE、UV、RSP_i和XT_i：

US＝h(ID_i||X)

最后，网关GWN将身份注册信息{RSP_i}发送给用户U_i，并在用户认证表UT中存储{XT_i,TS_i}(如表2所示)；

(2.3)用户U_i将身份注册信息存入智能卡SC：U_i收到身份注册信息{RSP_i}后，根据RSP_i、身份ID_i和智能卡SC中存储的随机数R_SC还原UR、SE、UV：

然后，U_i选择随机数R_U，利用R_U、身份ID_i和密码PW_i计算RE：

最后，U_i将身份注册信息{UR,SE,UV,RE}保存在智能卡SC中并删除{ID_SC,R_SC}，此时智能卡SC中包含参数{UR,SE,UV,RE,h()}；

(3)用户身份预认证阶段：当用户U_i想要访问无线传感器网络时，智能卡SC需要预先认证用户U_i的合法性；只有用户U_i输入的身份标识ID_i ^*和密码PW_i ^*通过认证，智能卡SC才生成用户U_i的访问请求S₁并发送到网关GWN，具体过程如下：

(3.1)智能卡SC根据用户U_i的身份和密码预先认证U_i的合法性：首先，用户U_i将智能卡SC插入读卡器，输入身份ID_i ^*、密码PW_i ^*和目标传感器节点N_j的身份标识ID_Nj；然后，智能卡SC根据其存储的参数RE、UR,、SE和用户U_i输入的身份ID_i ^*、密码PW_i ^*执行以下计算：

RPW_i*＝h(PW_i*||R_U*)

智能卡SC检查计算的UV^*是否等于SC中存储的UV：若相等，智能卡SC认证U_i为合法用户，否则终止会话；

(3.2)智能卡SC生成用户U_i的访问请求：智能卡SC选择时间戳T₁，生成用户U_i的访问请求M₁、M₂：

然后，智能卡SC将用户U_i的访问请求S₁＝{M₁,M₂,T₁,TS_i}发送给网关GWN；

(4)匿名身份认证与密钥协商阶段：在该阶段，用户U_i、网关GWN与传感器节点N_j完成双向认证并生成会话密钥：

(4.1)网关GWN收到用户U_i访问请求S₁后，根据S₁和用户认证表UT中U_i的身份注册信息认证U_i身份的合法性；若认证成功，网关GWN计算自己的身份认证信息S₂并发送给目标传感器节点N_j；具体过程如下：

(4.1.1)网关GWN认证用户U_i身份的合法性：网关GWN收到用户U_i的访问请求S₁＝{M₁,M₂,T₁,TS_i}后，首先检查时间戳T₁的有效性，若T₁与当前时间T_c的时间差超出可容忍传输时延△T，GWN拒绝请求；否则，GWN根据S₁中的序列号TS_i从用户认证表UT中检索用户U_i对应的身份注册信息XT_i，根据TS_i和XT_i计算U_i的身份标识

然后，GWN根据ID'和主密钥X执行以下计算：

US'＝h(ID_i'||X)

GWN检查M₂'是否等于访问请求S₁中的M₂，若相等，GWN认证U_i为合法用户；否则，GWN终止会话；

(4.1.2)网关GWN更新用户认证表UT中用户U_i的身份注册信息：首先，GWN选择时间戳T₂和随机数R_GWN，计算当前已处理的所有合法注册请求和登录请求的总数目sum^new，生成新的动态序列号TS_i ^new＝sum^new；然后，GWN根据TS_i ^new计算

并将用户认证表UT中的用户注册信息更新为{XT_i ^new,TS_i ^new}；

(4.1.3)网关GWN计算自己的身份认证信息S₂并发送给目标传感器节点N_j：首先，GWN根据目标传感器节点N_j的身份标识ID_Nj'从传感器节点认证表NT中找到匹配的秘密值SV_j'；然后，GWN计算c和自己的身份认证信息M₃、M₄：

最后，GWN将身份认证信息S₂＝{M₃、M₄、T₂}发送给N_j；

(4.2)目标传感器节点N_j根据网关GWN的身份认证信息S₂和存储的秘密值认证GWN的合法性；若认证成功，目标传感器节点N_j计算会话密钥SK和自己的身份认证信息S₃，并将S₃发送给网关GWN；具体过程如下：

(4.2.1)目标传感器节点N_j认证网关GWN的合法性：目标传感器节点N_j收到网关GWN的身份认证信息S₂＝{M₃、M₄、T₂}后，首先检查时间戳T₂的有效性，若T₂为无效的时间戳，目标传感器节点N_j终止会话；否则，N_j根据秘密值SV_j和身份认证信息S₂执行以下计算：

目标传感器节点N_j检查M₄'是否等于身份认证信息S₂中的M₄，若相等，N_j认证网关GWN是合法的；否则，N_j终止会话；

(4.2.2)目标传感器节点N_j生成会话密钥SK和自己的身份认证信息S₃：首先，目标传感器节点N_j选择时间戳T₃和随机数R_N，根据随机数R_U”、R_GWN'和R_N计算会话密钥SK＝h(R_U”||R_GWN'||R_N)；然后，目标传感器节点N_j计算自己的身份认证信息M₅、M₆：

最后，目标传感器节点N_j将身份认证信息S₃＝{M₅,M₆,T₃}发送给网关GWN；

(4.3)网关GWN根据目标传感器节点N_j的身份认证信息S₃计算会话密钥SK，然后认证N_j身份的合法性；若认证成功，网关GWN计算自己的身份认证信息S₄并发送给用户U_i；具体过程如下：

(4.3.1)网关GWN认证目标传感器节点N_j身份的合法性：网关GWN收到目标传感器节点N_j的身份认证信息S₃＝{M₅,M₆,T₃}后，首先检查时间戳T₃的有效性，若T₃为无效的时间戳，网关GWN终止会话；否则，网关GWN根据秘密值SV_j'和M₅还原目标传感器节点N_j的随机数

然后，网关GWN根据随机数R_U'、R_GWN、R_N'以及秘密值SV_j'等计算会话密钥SK'和M₆'：

SK'＝h(R_U'||R_GWN||R_N')

网关GWN检查M₆'是否等于身份认证信息S₃中的M₆：若相等，GWN认证N_j是合法的传感器节点；否则，GWN终止会话；

(4.3.2)网关GWN生成自己的身份认证信息S₄：首先，网关GWN选择时间戳T₄；然后计算身份认证信息M₇、M₈、M₉：

M₉＝h(SK'||ID_i'||TS_i ^new||US'||T₄)

最后，网关GWN将自己的身份认证信息S₄＝{M₇,M₈,M₉,T₄}发送给U_i；

(4.4)用户U_i根据网关GWN的身份认证信息S₄计算会话密钥，然后认证GWN的合法性，若认证成功，用户U_i便可访问无线传感器网络获取敏感数据；会话密钥则保证了敏感数据在用户U_i与传感器节点N_j之间的机密传输；具体过程如下：

(4.4.1)用户U_i计算会话密钥：用户U_i收到网关GWN的身份认证信息S₄＝{M₇,M₈,M₉,T₄}后，首先检查时间戳T₄的有效性，若T₄为无效的时间戳，用户U_i终止会话；否则，U_i执行以下过程计算会话密钥：

SK”＝h(R_U||R_GWN'||R_N”)

M₉'＝h(SK”||ID_i||TS_i ^new'||US||T₄)

(4.4.2)用户U_i认证网关GWN的合法性：首先，用户U_i根据会话密钥、身份标识ID_i、序列号TS_i ^new、时间戳T₄和US计算M₉'＝h(SK”||ID_i||TS_i ^new'||US||T₄)；然后，用户U_i检查M₉'是否等于身份认证信息S₄中的M₉，若相等，用户U_i认证GWN是合法的；否则，U_i终止会话；

(4.4.3)用户U_i更新智能卡SC中存储的参数：用户U_i选择随机数R_U ^new，利用c'和R_U ^new更新智能卡SC中的参数SE、RE、UR、UV：

RPW_i ^new＝h(PW_i||R_U ^new)

智能卡SC更新为{SE^new,RE^new,UR^new,UV^new,h()}；

(5)用户密码更改阶段：用户U_i的密码虽然仅本人持有，但仍存在着密码泄露的可能，因此，用户U_i需要定期的更换密码；具体过程如下：

(5.1)用户U_i将智能卡SC插入读卡器，输入自己的身份标识ID_i ^*和旧密码PW_i ^*；

(5.2)智能卡SC根据用户U_i输入的身份标识ID_i ^*和旧密码PW_i ^*预先认证用户U_i的合法性，该过程与用户身份预认证阶段的步骤(3.1)相同；如果预认证失败，智能卡SC拒绝用户U_i的密码更新请求；否则，智能卡SC允许用户U_i更新密码：U_i输入新密码PW_i ^new，智能卡SC根据新密码更新存储的参数：

RPW_i ^new＝h(PW_i ^new||R_U ^*)

最终，智能卡SC中的参数更新为{SE,RE^new,UR^new,UV^new,h()}。

本发明有效性验证

为了验证AAKA协议的有效性，我们对比分析了AAKA协议与其它三种认证协议在计算、通信和存储上的开销。图1为AAKA协议所对应的无线传感器网络体系结构，图2详细描述了AAKA协议的匿名身份认证与密钥协商阶段。图3为AAKA协议与其它三种身份认证协议在计算开销上的对比结果。如图3所示Li等人因使用了椭圆曲线点乘运算而具有较高的计算开销；Devender等人、Zhang等人所提协议与AAKA协议仅采用了哈希函数和异或运算，因而三者都具有较低的计算开销。因此，在图4中我们只比较了Devender等人、Zhang等人所提协议与AAKA协议的计算开销。如图4所示，AAKA协议与Zhang等人所提协议具有相同的计算开销，且低于Devender等人所提协议。图5为AAKA协议与其它三种身份认证协议在通信开销上的对比结果。如图5所示，AAKA协议的通信开销低于Zhang等人、Li等人所提协议；与Devender等人所提协议相比，虽然AAKA协议的通信开销略高，但AAKA协议具有更低的计算开销。图6为AAKA协议与其它三种身份认证协议在存储开销上的对比结果。如图6所示，AAKA协议与Devender等人所提协议的存储开销相同，且低于Li等人所提协议。综合来说，AAKA协议在平衡计算、存储与通信开销方面性能较为良好，满足无线传感器网络低成本要求，因此更适用于无线传感器网络。

Claims

1.WSN中的匿名身份认证与密钥协商协议(Anonymous Authentication and KeyAgreement protocol,AAKA协议)包含五个阶段，分别为网络初始化、用户注册、用户身份预认证、匿名身份认证与密钥协商、用户密码更改；在网络初始化阶段，管理员将基本运算函数写入智能卡、网关和传感器节点的内存中，为后续阶段的执行提供保障；在用户注册阶段，协议中的用户采用身份和密码在网关注册成为合法用户，并将生成的身份注册信息存入智能卡，为智能卡的预认证功能提供基础；在用户身份预认证阶段，AAKA协议通过智能卡的预认证功能实现用户身份合法性的本地认证，降低用户与网关之间的通信和计算成本，抵御攻击者发起拒绝服务攻击；在匿名身份认证与密钥协商阶段，AAKA协议中的用户与网关基于动态序列号、网关与传感器节点基于共享秘密值分别实现双向身份认证，防止攻击者冒充合法用户、网关或传感器节点获得网络数据，为合法用户安全访问无线传感器网络提供了保障；AAKA协议根据用户、网关和传感器节点在认证过程中选择的随机数生成会话密钥，该密钥为后期数据的安全传输提供了保障；在用户密码更改阶段，用户定期更新密码，智能卡根据用户的新密码更新存储的身份注册信息，避免密码泄露所带来的损失；具体过程如下：

(4.4)用户U_i根据网关GWN的身份认证信息S₄计算会话密钥SK，然后认证GWN的合法性进；若认证成功，用户U_i便可访问无线传感器网络获取敏感数据；会话密钥SK则保证了敏感数据在用户U_i与传感器节点N_j之间的机密传输；

在用户U_i、网关GWN和传感器节点N_j的身份认证过程中，若有一方认证失败，则终止会话；

(5)用户密码更改阶段：在该阶段，用户U_i可以使用智能卡SC本地更换密码：智能卡SC根据用户U_i输入的身份标识ID_i ^*和旧密码PW_i ^*认证U_i的合法性；若认证成功，用户U_i输入新密码PW_i ^new，智能卡SC更新存储的身份注册信息。