CN113918976A - 基于安全标识算法的物联网动态安全分区框架及分区方法 - Google Patents

基于安全标识算法的物联网动态安全分区框架及分区方法 Download PDF

Info

Publication number
CN113918976A
CN113918976A CN202111227708.7A CN202111227708A CN113918976A CN 113918976 A CN113918976 A CN 113918976A CN 202111227708 A CN202111227708 A CN 202111227708A CN 113918976 A CN113918976 A CN 113918976A
Authority
CN
China
Prior art keywords
internet
things
partition
dynamic
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN202111227708.7A
Other languages
English (en)
Inventor
王梅
袁喜凤
李亚鹏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhengzhou Xinda Cloud Valley Technology Co ltd
Original Assignee
Zhengzhou Xinda Cloud Valley Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhengzhou Xinda Cloud Valley Technology Co ltd filed Critical Zhengzhou Xinda Cloud Valley Technology Co ltd
Priority to CN202111227708.7A priority Critical patent/CN113918976A/zh
Publication of CN113918976A publication Critical patent/CN113918976A/zh
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开一种基于安全标识算法的物联网动态安全分区框架，该框架包括协议层和算法层，所述协议层包括：基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议及基于安全标识的物联网动态安全分区协议；本发明还公开一种基于安全标识算法的物联网动态安全分区方法。本发明将国密SM9标识算法与网络分区技术相结合，相较于传统网络分区技术，更加安全，提高了信息机密性、完整性和不可否认性。

Description

基于安全标识算法的物联网动态安全分区框架及分区方法
技术领域
本发明属于网络安全技术领域，尤其涉及一种基于安全标识算法的物联网动态安全分区框架及分区方法。
背景技术
目前，一般的物联网系统构建模式通常采用了星状网络结构，构造一个总控制或数据中心服务器，所有的物联网终端均与中心服务器进行通信。这种结构使得随着终端数量的逐渐增多，中心服务器的负担越来越大，中心服务器需要不断增强扩容。此外，这种星状网络结构中，物联网终端都是相互平等的，很难实现物联网设备的分区。随着进入移动物联网时代，物联网数量激增导致中心服务器难以实现物联网终端的网络分区管理，物联网设备在网络空间同样难以实现分区的动态切换。
现在，智能家居、智能大棚、智能车间、智能供电系统及智慧城市均离不开物联网设备，多种物联网信息系统已经成为多数据采集与多节点控制的必然选择。《关于深入推进移动物联网全面发展的通知》将“建立健全移动物联网安全保障体系”作为推进移动物联网发展的五项重点任务，而移动物联网中的安全分区问题更是亟待解决的关键问题。现在也存在一些物联网的安全解决方案和网络分区策略，例如《基于商密SM9算法的物联网安全平台设计与应用》中虽然使用了SM9算法实现安全通信，但是物联网云平台与其他所有的物联网终端之间采用了星状网络通信结构，难以实现物联网终端的网络分区；《基于固定分区的无线传感器分簇路由算法研究》中提到的FZCP算法，但是通常采用的是固定分区，无法实现动态分区，同时分区的过程无法实现信息安全的不可否认性；《软件定义物联网分布式控制机制研究》中提出了针对城市尺度物联网使用多个控制器将网络空间划分为多个网络分区进行管理，但是采用的分区方法需要不断查询分布式哈希表实现，动态分区过程非常繁琐，且方案并没有采用密码算法保障通信的安全性。
发明内容
本发明针对移动物联网中的安全分区问题，提出一种基于安全标识的物联网动态安全分区方法。
为了实现上述目的，本发明采用以下技术方案：
本发明一方面提出一种基于安全标识算法的物联网动态安全分区框架，该框架部署于物联网信息系统，所述物联网信息系统由网络分区控制器及物联网设备两部分组成；所述网络分区控制器用于管理物联网设备分区；所述物联网设备包括物联网终端、物联网分区中心服务器，一个物联网分区中存在一个物联网分区中心服务器和多个物联网终端；该框架包括协议层和算法层：
所述协议层用于存储各协议，包括：基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议及基于安全标识的物联网动态安全分区协议；
所述算法层用于存储SM9标识算法和SM3杂凑算法；
所述安全标识的固定密钥生成协议包括：基于国密SM9标识算法的密钥生成算法、利用物联网设备的固定标识生成固定的{验证公钥，签名私钥}对，及固定的{加密公钥, 解密私钥}对；
所述基于安全标识的动态分区密钥生成协议包括：基于国密SM9标识算法的密钥生成算法、利用物联网设备的网络分区标识和固定标识生成动态的{验证公钥，签名私钥}对及动态的{加密公钥, 解密私钥}对；
所述数字认证协议包括：物联网设备在更换网络分区后，获取网络分区标识之前，使用固定的{验证公钥，签名私钥}对进行数字认证；获取网络分区标识之后，生成动态的{验证公钥，签名私钥}对，再进行基于动态的{验证公钥，签名私钥}对的数字认证；
所述安全通信协议包括：物联网设备在更换网络分区之后，获取网络分区标识前，使用固定的{加密公钥, 解密私钥}对进行安全通信；获取网络分区标识之后，生成动态的{加密公钥, 解密私钥}对，再进行基于动态的{加密公钥, 解密私钥}对的安全通信；
所述基于安全标识的物联网动态安全分区协议包括：物联网设备发起切换分区变换请求时，由物联网网络分区控制器与该物联网设备通过基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议进行数字认证及进行安全通信，实现对物联网设备的身份合法性认证，同时实现物联网分区标识的交互。
进一步地，所述基于安全标识的动态分区密钥生成协议中，动态的公私钥对会随着物联网设备的网络分区变化而动态改变，网络分区标识通过与网络分区控制器采用固定的公私钥对加密通信获得。
进一步地，所述数字认证协议中，基于固定的公私钥对的数字认证仅能使用在物联网设备与网络分区控制器之间，其余数字认证均采用基于动态的公私钥对的数字认证方式。
进一步地，所述安全通信协议中，基于固定的公私钥对的安全通信仅能使用在物联网设备与网络分区控制器之间，其余安全通信均采用基于动态的公私钥对的安全通信方式。
本发明第二方面提出一种基于安全标识算法的物联网动态安全分区方法，该方法基于所述的一种基于安全标识算法的物联网动态安全分区框架，包括：
物联网设备选取自身的唯一设备标识FID，根据自身唯一设备标识FID、利用SM9算法的密钥生成算法生成设备固定的{加密公钥, 解密私钥}对、{验证公钥，签名私钥}对，将该物联网设备的加密公钥和验证公钥在网络分区控制器中进行注册、备案，经审查后，获得相应的公钥证书；
物联网设备向网络分区控制器发送申请接入的网络分区的分区标识SID，利用自身的FID拼接，并通过SM3算法进行杂凑，然后利用SM9算法进行签名和加密，发送给网络分区控制器；
网络分区控制器利用自身的解密私钥进行解密并验证物联网设备的身份合法性和数据的完整性，利用分区代码表查询与SID对应的固定编码Scode；
网络分区控制器将查询到的Scode进行杂凑，并进行签名，将签名值与Scode拼接，并使用物联网设备的固定的加密公钥进行加密，将加密结果发送给物联网设备；
物联网设备解密得到Scode，并验证其完整性与合法性，并利用Scode与自身的FID进行异或处理，并利用SM9算法的密钥生成算法计算得到该物联网设备的动态的加密公钥、解密私钥、验证公钥及签名私钥；
物联网设备将自身的动态的加密公钥与验证公钥加密发送给网络分区设备，网络分区设备再通过FID与Scode计算，验证加密公钥与验证公钥的正确性，如果正确，则下发相应动态证书，分区动态密钥建立成功；
安全通信与认证过程中，物联网设备通过获取其他物联网设备的FID，再将此FID与该网络分区的Scode进行异或，即可得到其他物联网设备的动态的加密公钥和验证公钥，能够快速实现安全通信和数字认证。
与现有技术相比，本发明具有的有益效果：
1）本发明创造性的将国密SM9标识算法与网络分区技术相结合，相较于传统网络分区技术，更加安全，提高了信息机密性、完整性和不可否认性。相较于物联网安全平台，提出了动态分区方案，实现了物联网设备在不同网络分区中动态切换的身份合法认证与安全通信；
2）对于动态公私钥对生成，提出了基于固定的和动态的两种公私钥对，解决了在网络分区切换过程中出现的安全隐患，防止了身份假冒；
3）本发明能够满足物联网信息系统的弹性变化，同时当新的物联网系统接入时，可以通过增加新的物联网网络分区，解决物联网规模不断扩大的运维问题；
4）本发明自动化程度高，无需多次手动配置或更改物联网设备的网络分区标识，能够通过物联网设备与网络分区控制器之间数字认证及安全通信协议自动实现网络分区标识的安全快速数据交换。
附图说明
图1为本发明实施例一种基于安全标识算法的物联网动态安全分区框架的示意图；
图2为本发明实施例物联网信息系统部署示意图；
图3为本发明实施例一种基于安全标识算法的物联网动态安全分区方法的流程图。
具体实施方式
下面结合附图和具体的实施例对本发明做进一步的解释说明：
本发明一方面提出一种基于安全标识算法的物联网动态安全分区框架，如图1所示，该框架部署于物联网信息系统，如图2所示，所述物联网信息系统由网络分区控制器及物联网设备两部分组成；所述网络分区控制器用于管理物联网设备分区；所述物联网设备包括物联网终端、物联网分区中心服务器，一个物联网分区中存在一个物联网分区中心服务器和多个物联网终端；该框架包括协议层和算法层：
所述协议层用于存储各协议，包括：基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议及基于安全标识的物联网动态安全分区协议；
所述算法层用于存储SM9标识算法和SM3杂凑算法；
所述安全标识的固定密钥生成协议包括：基于国密SM9标识算法的密钥生成算法、利用物联网设备的固定标识生成固定的{验证公钥，签名私钥}对及固定的{加密公钥, 解密私钥}对；固定的公私钥对（{验证公钥，签名私钥}对、{加密公钥, 解密私钥}对）在物联网设备接入网络之后，固定不变；
所述基于安全标识的动态分区密钥生成协议包括：基于国密SM9标识算法的密钥生成算法、利用物联网设备的网络分区标识和固定标识生成动态的{验证公钥，签名私钥}对及动态的{加密公钥, 解密私钥}对；具体地，动态的公私钥对会随着物联网设备的网络分区变化而动态改变，网络分区标识通过与网络分区控制器采用固定的公私钥对加密通信获得；
所述数字认证协议包括：物联网设备在更换网络分区后，获取网络分区标识之前，使用固定的{验证公钥，签名私钥}对进行数字认证；获取网络分区标识之后，生成动态的{验证公钥，签名私钥}对，再进行基于动态的{验证公钥，签名私钥}对的数字认证；具体地，数字认证分为基于固定的{验证公钥，签名私钥}对的数字认证和基于动态的{验证公钥，签名私钥}对的数字认证，基于固定的{验证公钥，签名私钥}对的数字认证仅能使用在物联网设备与网络分区控制器之间，其余数字认证均采用基于动态的{验证公钥，签名私钥}对的数字认证方式；
所述安全通信协议包括：物联网设备在更换网络分区之后，获取网络分区标识前，使用固定的{加密公钥, 解密私钥}对进行安全通信；获取网络分区标识之后，生成动态的{加密公钥, 解密私钥}对，再进行基于动态的{加密公钥, 解密私钥}对的安全通信；具体地，安全通信分为基于固定的{加密公钥, 解密私钥}对的安全通信和基于动态的{加密公钥, 解密私钥}对的安全通信；基于固定的{加密公钥, 解密私钥}对的安全通信仅能使用在物联网设备与网络分区控制器之间，其余安全通信均采用基于动态的{加密公钥, 解密私钥}对的安全通信方式；
所述基于安全标识的物联网动态安全分区协议包括：物联网设备发起切换分区变换请求时，由物联网网络分区控制器与该物联网设备通过基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议进行数字认证及进行安全通信，实现对物联网设备的身份合法性认证，同时实现物联网分区标识的交互。
在上述实施例的基础上，本发明还提出一种基于安全标识算法的物联网动态安全分区方法，如图3所示，该方法基于所述的一种基于安全标识算法的物联网动态安全分区框架，包括：
1）物联网设备的初始化
首先物联网设备选取自身的固定唯一设备标识，例如芯片的序列号、计算机主板的序列号、可被证明唯一的芯片物理不可克隆函数、固定的网络IP地址等，该标识应具备以下特性：固定性和唯一性。固定性是指物联网设备在使用过程中，该设备标识不会因环境变化、温度变化和使用时长变化而变化，也不能够通过读写操作修改。唯一性是指同一个物联网信息系统中，该设备固定标识是唯一的，任意两个物联网设备的标识均不相同。
其次物联网设备根据自身唯一设备标识，利用国密SM9算法的密钥生成算法，生成固定的设备{加密公钥, 解密私钥}对、{验证公钥，签名私钥}对。
将该物联网设备的公钥在网络分区控制器中进行注册、备案。管理员定期审查合法物联网设备的注册申请，并将相应的公钥证书发送至该物联网设备中。
2）物联网设备首次接入网络及切换网路分区执行步骤
如图3所示，具体符号及缩写表示如下：
C：表示网络分区控制器；
D：表示物联网设备；
FID：表示物联网设备D的固定唯一标识；
SID：表示分区标识；
Scode：表示分区标识对应的固定编码，不同的SID对应的Scode不同；
FEnPub：表示固定的加密公钥；
FEnPri：表示固定的解密私钥；
FSigPub：表示固定的验证公钥；
FSigPri：表示固定的签名私钥；
SEnPub：表示动态（分区固定）的加密公钥；
SEnPri：表示动态的解密私钥；
SSigPub：表示动态的验证公钥；
SSigPri：表示动态的签名私钥。
具体步骤如下：
第一步：物联网设备D向网络分区控制器C发送申请接入的网络分区SID，利用自身的FID拼接，并进行SM3算法进行杂凑，然后利用SM9算法进行签名和加密，发送给网络分区控制器C；
第二步：网络分区控制器C利用自身解密私钥进行解密并验证物联网设备D的身份合法性和数据的完整性，利用分区代码表查询与SID对应的Scode；具体地，所述分区代码表用于存储分区标识SID对应的固定编码Scode；分区代码表随着分区的建立而新增，随着分区的撤销而删除；分区代码表是公知的，但Scode并不是公知的，仅网络分区控制器C知道，需要根据SID查询得到，每个物联网设备仅知道自己所在分区对应的Scode。
第三步：网络分区控制器C将查询到的Scode进行杂凑，并进行签名，将签名值与Scode拼接，并使用物联网设备D的加密公钥FEnPub进行加密，将加密结果发送给物联网设备D；
第四步：物联网设备D解密得到Scode，并验证其完整性与合法性，并利用Scode与FID进行异或处理，并利用SM9算法的密钥生成算法计算得到物联网设备D的SEnPub、SEnPri、SSigPub、SSigPri；
第五步：物联网设备D将SEnPub与SSigPub加密发送给网络分区设备，网络分区设备再通过FID与Scode计算，验证物联网设备D的SEnPub与SSigPub的正确性，如果正确，则下发相应动态证书，分区动态密钥建立成功。
3）分区内物联网设备安全通信及认证协议。
安全通信与认证过程中，物联网设备通过获取其他物联网设备的固定标识FID，再将此FID与该网络分区的Scode进行异或，即可得到其他物联网设备的动态的加密公钥和验证公钥，能够快速实现安全通信和数字认证。由于不同网络分区的Scode不相同，因此不同的网络分区之间无法实现正常通信，从而达到网络分区效果。
综上，
1）本发明创造性的将国密SM9标识算法与网络分区技术相结合，相较于传统网络分区技术，更加安全，提高了信息机密性、完整性和不可否认性。相较于物联网安全平台，提出了动态分区方案，实现了物联网设备在不同网络分区中动态切换的身份合法认证与安全通信；
2）对于动态公私钥对生成，提出了基于固定的和动态的两种公私钥对，解决了在网络分区切换过程中出现的安全隐患，防止了身份假冒；
3）本发明能够满足物联网信息系统的弹性变化，同时当新的物联网系统接入时，可以通过增加新的物联网网络分区，解决物联网规模不断扩大的运维问题；
4）本发明自动化程度高，无需多次手动配置或更改物联网设备的网络分区标识，能够通过物联网设备与网络分区控制器之间数字认证及安全通信协议自动实现网络分区标识的安全快速数据交换。
以上所示仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (5)

1.一种基于安全标识算法的物联网动态安全分区框架，其特征在于，该框架部署于物联网信息系统，所述物联网信息系统由网络分区控制器及物联网设备两部分组成；所述网络分区控制器用于管理物联网设备分区；所述物联网设备包括物联网终端、物联网分区中心服务器，一个物联网分区中存在一个物联网分区中心服务器和多个物联网终端；该框架包括协议层和算法层：
所述协议层用于存储各协议，包括：基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议及基于安全标识的物联网动态安全分区协议；
所述算法层用于存储SM9标识算法和SM3杂凑算法；
所述安全标识的固定密钥生成协议包括：基于国密SM9标识算法的密钥生成算法、利用物联网设备的固定标识生成固定的{验证公钥，签名私钥}对，及固定的{加密公钥, 解密私钥}对；
所述基于安全标识的动态分区密钥生成协议包括：基于国密SM9标识算法的密钥生成算法、利用物联网设备的网络分区标识和固定标识生成动态的{验证公钥，签名私钥}对及动态的{加密公钥, 解密私钥}对；
所述数字认证协议包括：物联网设备在更换网络分区后，获取网络分区标识之前，使用固定的{验证公钥，签名私钥}对进行数字认证；获取网络分区标识之后，生成动态的{验证公钥，签名私钥}对，再进行基于动态的{验证公钥，签名私钥}对的数字认证；
所述安全通信协议包括：物联网设备在更换网络分区之后，获取网络分区标识前，使用固定的{加密公钥, 解密私钥}对进行安全通信；获取网络分区标识之后，生成动态的{加密公钥, 解密私钥}对，再进行基于动态的{加密公钥, 解密私钥}对的安全通信；
所述基于安全标识的物联网动态安全分区协议包括：物联网设备发起切换分区变换请求时，由物联网网络分区控制器与该物联网设备通过基于安全标识的固定密钥生成协议、基于安全标识的动态分区密钥生成协议、数字认证协议、安全通信协议进行数字认证及进行安全通信，实现对物联网设备的身份合法性认证，同时实现物联网分区标识的交互。
2.根据权利要求1所述的一种基于安全标识算法的物联网动态安全分区框架，其特征在于，所述基于安全标识的动态分区密钥生成协议中，动态的公私钥对会随着物联网设备的网络分区变化而动态改变，网络分区标识通过与网络分区控制器采用固定的公私钥对加密通信获得。
3.根据权利要求1所述的一种基于安全标识算法的物联网动态安全分区框架，其特征在于，所述数字认证协议中，基于固定的公私钥对的数字认证仅能使用在物联网设备与网络分区控制器之间，其余数字认证均采用基于动态的公私钥对的数字认证方式。
4.根据权利要求1所述的一种基于安全标识算法的物联网动态安全分区框架，其特征在于，所述安全通信协议中，基于固定的公私钥对的安全通信仅能使用在物联网设备与网络分区控制器之间，其余安全通信均采用基于动态的公私钥对的安全通信方式。
5.一种基于安全标识算法的物联网动态安全分区方法，其特征在于，该方法基于权利要求1-4任一所述的一种基于安全标识算法的物联网动态安全分区框架，包括：
物联网设备选取自身的唯一设备标识FID，根据自身唯一设备标识FID、利用SM9算法的密钥生成算法生成设备固定的{加密公钥, 解密私钥}对、{验证公钥，签名私钥}对，将该物联网设备的加密公钥和验证公钥在网络分区控制器中进行注册、备案，经审查后，获得相应的公钥证书；
物联网设备向网络分区控制器发送申请接入的网络分区的分区标识SID，利用自身的FID拼接，并通过SM3算法进行杂凑，然后利用SM9算法进行签名和加密，发送给网络分区控制器；
网络分区控制器利用自身的解密私钥进行解密并验证物联网设备的身份合法性和数据的完整性，利用分区代码表查询与SID对应的固定编码Scode；
网络分区控制器将查询到的Scode进行杂凑，并进行签名，将签名值与Scode拼接，并使用物联网设备的固定的加密公钥进行加密，将加密结果发送给物联网设备；
物联网设备解密得到Scode，并验证其完整性与合法性，并利用Scode与自身的FID进行异或处理，并利用SM9算法的密钥生成算法计算得到该物联网设备的动态的加密公钥、解密私钥、验证公钥及签名私钥；
物联网设备将自身的动态的加密公钥与验证公钥加密发送给网络分区设备，网络分区设备再通过FID与Scode计算，验证加密公钥与验证公钥的正确性，如果正确，则下发相应动态证书，分区动态密钥建立成功；
安全通信与认证过程中，物联网设备通过获取其他物联网设备的FID，再将此FID与该网络分区的Scode进行异或，即可得到其他物联网设备的动态的加密公钥和验证公钥，能够快速实现安全通信和数字认证。
CN202111227708.7A 2021-10-21 2021-10-21 基于安全标识算法的物联网动态安全分区框架及分区方法 Withdrawn CN113918976A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111227708.7A CN113918976A (zh) 2021-10-21 2021-10-21 基于安全标识算法的物联网动态安全分区框架及分区方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111227708.7A CN113918976A (zh) 2021-10-21 2021-10-21 基于安全标识算法的物联网动态安全分区框架及分区方法

Publications (1)

Publication Number Publication Date
CN113918976A true CN113918976A (zh) 2022-01-11

Family

ID=79242165

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111227708.7A Withdrawn CN113918976A (zh) 2021-10-21 2021-10-21 基于安全标识算法的物联网动态安全分区框架及分区方法

Country Status (1)

Country Link
CN (1) CN113918976A (zh)

Similar Documents

Publication Publication Date Title
CN106487743B (zh) 用于支持多用户集群身份验证的方法和设备
US11115418B2 (en) Registration and authorization method device and system
CN101189827B (zh) 综合认证和管理服务提供者、终端和用户身份模块的方法以及使用该方法的系统和终端
CN110264200B (zh) 区块链数据处理方法及装置
CN110572258B (zh) 一种云密码计算平台及计算服务方法
JP5215289B2 (ja) 分散式の委任および検証のための方法、装置、およびシステム
CN106790261B (zh) 分布式文件系统及用于其中节点间认证通信的方法
JP2021511743A (ja) Ｉｏｔサービスを実施するための方法、アプリケーションサーバ、ｉｏｔ装置および媒体
JP5380583B1 (ja) デバイス認証方法及びシステム
Gao et al. A Privacy‐Preserving Identity Authentication Scheme Based on the Blockchain
CN112187470A (zh) 物联网证书分发方法及装置、系统、存储介质、电子装置
CN112235290B (zh) 基于区块链的物联网设备管理方法及第一物联网设备
CN115459928A (zh) 数据共享方法、装置、设备及介质
CN108632037B (zh) 公钥基础设施的公钥处理方法及装置
CN113259722B (zh) 一种安全视频物联网密钥管理方法、装置和系统
WO2020018187A1 (en) Network device, method for security and computer readable storage medium
US11570008B2 (en) Pseudonym credential configuration method and apparatus
CN111107550A (zh) 5g终端设备双通道接入注册方法、设备及存储介质
CN116055177A (zh) 一种适用于物联网设备的轻量级认证及密钥协商方法
CN113918976A (zh) 基于安全标识算法的物联网动态安全分区框架及分区方法
CN115277007A (zh) 基于私有链的边缘网关鉴权方法、系统、装置、设备
CN114844700A (zh) 一种分布式环境中基于可信存储的身份认证方法、系统、设备及存储介质
Lin Secure cloud Internet of vehicles based on blockchain and data transmission scheme of map/reduce
KR20210020851A (ko) 컨소시엄 블록체인 네트워크에서의 프라이빗 키를 백업 및 복원하는 방법 및 장치
CN112417400A (zh) 基于多集群系统的安全优化方法、装置、电子设备及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication

Application publication date: 20220111

WW01 Invention patent application withdrawn after publication