CN114362998A - 一种基于边缘云系统的网络安全保护方法 - Google Patents

Abstract

本发明提供了一种基于边缘云系统的网络安全保护方法。该方法包括：通过加密算法对云计算平台下发到边缘计算服务器的命令进行对称加密，通过哈希算法对云计算平台下发到边缘计算服务器的命令和云计算平台的身份标识符进行数字签名；通过加密算法对边缘计算服务器上传至云计算平台的回复进行对称加密，通过哈希算法对边缘计算服务器上传至云计算平台的回复和边缘计算服务器的身份标识符进行数字签名；对于边缘计算服务器和物联网设备之间的通信设立安全服务器，安全服务器为不同的物联网设备与边缘计算服务器之间的通信分配不同的密钥。本发明实现了边缘计算服务器之间和边缘计算服务器和物联网设备之间的安全通信，保障了系统的网络安全。

Description

一种基于边缘云系统的网络安全保护方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于边缘云系统的网络安全保护方法。

背景技术

近年来，随着万物互联和无线通信技术的飞速发展，网络边缘侧的设备数量及其产生的数据量都随之迅速增长。在此背景下，传统云计算模型存在着实时性差、带宽不足、能耗较高和不利于隐私保护等问题，因此，对边缘设备产生的海量数据进行计算的边缘计算模型成为了一种主流解决方案。

边缘计算操作的对象包括来自于云计算平台的下行数据和来自于物联网设备的上行数据，所以在边缘云系统中边缘计算服务器、云计算平台和物联网设备之间存在许多交互通信的过程。然而，目前现有技术中的边缘云系统中缺乏保障云计算平台与边缘计算服务器之间和边缘计算服务器与物联网设备之间的通信安全的相应网络安全技术。网络攻击者如果对云计算平台和边缘计算服务器之间的通信发起攻击，篡改云计算平台下发的任务，会造成系统无法对任务进行实时的处理，严重影响系统的工作效率；网络攻击者如果伪造边缘计算服务器的回复，会造成系统无法进一步完成任务的分配和处理。网络攻击者如果对边缘计算服务器和物联网设备之间的通信发起攻击，系统得到错误的感知信息，将会严重影响系统的决策和应对，造成无法挽回的严重损失。

发明内容

本发明的实施例提供了一种基于边缘云系统的网络安全保护方法，以保证边缘计算服务器之间和边缘计算服务器和物联网设备之间的安全通信。

为了实现上述目的，本发明采取了如下技术方案。

一种基于边缘云系统的网络安全保护方法，包括：

通过加密算法对云计算平台下发到边缘计算服务器的命令进行对称加密，通过哈希算法对云计算平台下发到边缘计算服务器的命令和云计算平台的身份标识符进行数字签名；通过所述加密算法对边缘计算服务器上传至云计算平台的回复进行对称加密，通过所述哈希算法对边缘计算服务器上传至云计算平台的回复和边缘计算服务器的身份标识符进行数字签名；

对于边缘计算服务器和物联网设备之间的通信设立安全服务器，所述安全服务器为不同的物联网设备与边缘计算服务器之间的通信分配不同的密钥。

优选地，所述安全服务器包括鉴别服务器AS和票据授予服务器TGS，所述安全服务器在密钥分配的过程中使用高级加密标准AES进行加密。

优选地，所述的云计算平台与边缘计算服务器之间的网络通信过程包括：

云计算平台向边缘计算服务器1发送身份标识符ID_CLOUD，用明文表明自己的身份；发送使用对称密钥

进行加密的命令COMMAND；发送使用

进行数字签名的身份标识符ID_CLOUD和命令COMMAND，云计算平台不可否认其下发的命令COMMAND；

边缘计算服务器1向云计算平台发送身份标识符ID_SEVER1，用明文表明自己的身份；发送使用对称密钥

进行加密的回复RESPONSE；发送使用

进行数字签名的身份标识符ID_SEVER1和回复RESPONSE，边缘计算服务器不可否认其上传的回复RESPONSE。

优选地，所述的边缘计算服务器与物联网设备之间的网络通信过程包括：

边缘计算服务器1向鉴别服务器AS发送身份标识符ID_SEVER1，用明文表明自己的身份，AS对边缘计算服务器1的身份进行验证，在验证结果为正确后，允许边缘计算服务器1和票据授予服务器TGS进行联系；

AS基于边缘计算服务器1的身份标识符ID_SEVER1使用高级加密标准AES为边缘计算服务器1生成会话密钥

AS还存储边缘计算服务器1的对称密钥

AS向边缘计算服务器1发送使用对称密钥

进行加密的报文，该报文中包括边缘计算服务器1和TGS通信时要使用的会话密钥

以及边缘计算服务器1要发送给TGS的票据，该票据使用TGS的对称密钥

进行加密；

边缘计算服务器1使用对称密钥

对AS发送过来的所述报文进行解密，提取出会话密钥

以及使用

进行加密的票据；

边缘计算服务器1向TGS转发AS发来的票据；向TGS发送物联网设备1的身份标识符ID_DEV1，表示要与物联网设备1通信，发送使用会话密钥

进行加密的时间戳T；

TGS基于物联网设备1的身份标识符ID_DEV1使用高级加密标准AES为物联网设备1生成会话密钥

TGS向边缘计算服务器1发送两个票据，每个票据中都包含边缘计算服务器1和物联网设备1通信的会话密钥

其中一个需要转发给物联网设备1的票据使用会话密钥

加密，另一个不需要转发的票据使用物联网设备1的密钥

加密；

边缘计算服务器1向物联网设备1转发TGS发来的使用会话密钥

加密的票据；向物联网设备1发送使用会话密钥

加密的时间戳T；

物联网设备1向边缘计算服务器1发送使用会话密钥

加密的时间戳T加1，证实收到了票据；

在密钥分配完成后，边缘计算服务器1和物联网设备1使用分配的会话密钥

进行通信。

由上述本发明的实施例提供的技术方案可以看出，本发明提出了一种基于边缘云系统的网络安全技术，实现了边缘计算服务器之间和边缘计算服务器和物联网设备之间的安全通信，让边缘云系统具有了一定的对抗网络攻击的能力，保障了系统的网络安全。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种基于边缘云系统的网络安全保护方法的实现原理图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

边缘计算是指在网络的边缘一侧，能够在边缘侧提供智能化的、安全性高的服务，并且集计算、网络、应用、存储等核心能力于一体的开放性平台，满足对于数据整合优化、隐私保护、智能化、低延迟业务等方面的关键需求，是一种全新类型的计算模型。其中，边缘计算中边缘的上行数据代表物物互联的服务，下行数据代表云计算平台的服务。因此，在边缘云系统中，云计算平台和边缘计算服务器之间、边缘计算服务器和物联网设备之间需要进行频繁的交互通信。

本发明实施例提出的一种基于边缘云系统的网络安全保护方法包括以下两个方面：

云计算平台与边缘计算服务器之间的网络安全技术：通过国产分组密码算法SM4对云计算平台下发到边缘计算服务器的命令进行对称加密，通过国产哈希算法SM3对云计算平台下发到边缘计算服务器的命令和云计算平台的身份标识符进行数字签名；同时，通过国产分组密码算法SM4对边缘计算服务器上传至云计算平台的回复进行对称加密，通过国产哈希算法SM3对边缘计算服务器上传至云计算平台的回复和边缘计算服务器的身份标识符进行数字签名，从而保障了边缘计算服务器和云计算平台之间通信的安全性和通信内容的完整性。

边缘计算服务器与物联网设备之间的网络安全技术：对于边缘计算服务器和物联网设备之间的通信，设立安全服务器，安全服务器通过Kerberos的方式为不同的物联网设备与边缘计算服务器之间的通信分配不同的密钥，在密钥分配的过程中使用比DES(DataEncryption Standard，数据加密标准)更加安全的AES(Advanced Encryption Standard，高级加密标准)进行加密，从而保障了边缘计算服务器和物联网设备之间通信的安全性。其中，安全服务器中包括了两个服务器：鉴别服务器AS(AuthenticationServer)和票据授予服务器TGS(Ticket-Granting Sever)，Kerberos用于边缘计算服务器和物联网设备之间的鉴别。

本发明实施例提出的一种基于边缘云系统的网络安全保护方法的实现原理如图1所示，该方法在交互通信的过程中使用的网络安全技术通过①～⑨的步骤得以体现，其中①～②反映了云计算平台与边缘计算服务器的网络安全技术；③～⑨反映了边缘计算服务器与物联网设备的网络安全技术，下面简单解释各步骤：

①：

②：

③：ID_SEVER1

④：

⑤：

⑥：

⑦：

⑧：

⑨：

表1各符号释义

本发明实施例中的云计算平台与边缘计算服务器之间的网络通信过程包括：

云计算平台向边缘计算服务器1发送身份标识符ID_CLOUD，用明文表明自己的身份；发送使用对称密钥

进行加密的命令COMMAND，防止攻击者截获命令；发送使用

进行数字签名的身份标识符ID_CLOUD和命令COMMAND，防止通信内容被篡改，同时，云计算平台不可否认其下发的命令COMMAND。

边缘计算服务器1向云计算平台发送身份标识符ID_SEVER1，用明文表明自己的身份；发送使用对称密钥

进行加密的回复RESPONSE，防止攻击者截获回复；发送使用

进行数字签名的身份标识符ID_SEVER1和回复RESPONSE，防止通信内容被篡改，同时，边缘计算服务器不可否认其上传的回复RESPONSE。

本发明实施例中的边缘计算服务器与物联网设备之间的网络通信过程包括：

边缘计算服务器1向鉴别服务器AS发送身份标识符ID_SEVER1，用明文表明自己的身份。AS就是密钥分配中心KDC，它掌握各个边缘计算服务器登记的身份和相应的口令。AS对边缘计算服务器1的身份进行验证。只有验证结果正确，才允许边缘计算服务器1和票据授予服务器TGS进行联系。

鉴别服务器AS向边缘计算服务器1发送使用边缘计算服务器1的对称密钥

进行加密的报文，其中包括边缘计算服务器1和TGS通信时要使用的会话密钥

以及边缘计算服务器1要发送给TGS的票据(使用TGS的对称密钥

进行加密)。边缘计算服务器1并不保存对称密钥

但当上述报文到达边缘计算服务器1时，边缘计算服务器1就键入其口令。在口令正确的情况下，该口令通过适当的算法生成对称密钥

这个口令在使用完后即被销毁。然后，边缘计算服务器1使用对称密钥

对AS发送过来的报文进行解密，从而提取出和TGS通信时要使用的会话密钥

以及使用

进行加密的票据，该票据下一步需要转发给TGS。

边缘计算服务器1向票据授予服务器TGS转发鉴别服务器AS发来的票据；发送物联网设备1的身份标识符ID_DEV1，表示要与物联网设备1通信，此时边缘计算服务器向TGS证明自己的身份时不再使用键入明文口令，而是通过转发AS发出的票据，攻击者既无法截获明文口令，也无法提取出使用边缘计算服务器1的对称密钥

进行加密的票据，同时由于票据是使用TGS的对称密钥

进行加密的，攻击者也无法进行伪造；发送使用会话密钥

进行加密的时间戳T，防止攻击者进行重放攻击。

TGS向边缘计算服务器1发送两个票据，每一个都包含边缘计算服务器1和物联网设备1通信的会话密钥

发送给边缘计算服务器1的票据使用会话密钥

加密，发送给物联网设备1的票据用物联网设备1的密钥

此时，攻击者不能提取边缘计算服务器1和物联网设备1通信的会话密钥

因为密钥

和密钥

未知；攻击者无法重放步骤⑤，因为密钥

未知，无法对时间戳进行更新；同时，即使攻击者在时间戳到期之前迅速发送步骤⑤的报文，仍然无法解密TGS发送回来的两个票据。

边缘计算服务器1向物联网设备1转发TGS发来的票据；发送使用会话密钥

加密的时间戳T。

物联网设备1向边缘计算服务器1发送使用会话密钥

加密的时间戳T加1，从而证实收到了票据。

在密钥分配完成后，边缘计算服务器1和物联网设备1使用分配的会话密钥

进行通信，保障了边缘计算服务器和物联网设备之间通信的安全性。

综上所述，本发明实施例提出的基于边缘云系统的网络安全保护方法可以保障云计算平台和边缘计算服务器之间的网络安全，通过对称加密和数字签名的方式保障通信的安全性和通信内容的完整性，同时，可以保障边缘计算服务器与物联网设备之间的网络安全，通过密钥分配的方式保障通信的安全性。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (4)

1.一种基于边缘云系统的网络安全保护方法，其特征在于，包括：

通过加密算法对云计算平台下发到边缘计算服务器的命令进行对称加密，通过哈希算法对云计算平台下发到边缘计算服务器的命令和云计算平台的身份标识符进行数字签名；通过所述加密算法对边缘计算服务器上传至云计算平台的回复进行对称加密，通过所述哈希算法对边缘计算服务器上传至云计算平台的回复和边缘计算服务器的身份标识符进行数字签名；

对于边缘计算服务器和物联网设备之间的通信设立安全服务器，所述安全服务器为不同的物联网设备与边缘计算服务器之间的通信分配不同的密钥。

2.根据权利要求1所述的方法，其特征在于，所述安全服务器包括鉴别服务器AS和票据授予服务器TGS，所述安全服务器在密钥分配的过程中使用高级加密标准AES进行加密。

3.根据权利要求1或者2所述的方法，其特征在于，所述的云计算平台与边缘计算服务器之间的网络通信过程包括：

云计算平台向边缘计算服务器1发送身份标识符ID_CLOUD，用明文表明自己的身份；发送使用对称密钥

进行加密的命令COMMAND；发送使用

进行数字签名的身份标识符ID_CLOUD和命令COMMAND，云计算平台不可否认其下发的命令COMMAND；

边缘计算服务器1向云计算平台发送身份标识符ID_SEVER1，用明文表明自己的身份；发送使用对称密钥

进行加密的回复RESPONSE；发送使用

进行数字签名的身份标识符ID_SEVER1和回复RESPONSE，边缘计算服务器不可否认其上传的回复RESPONSE。

4.根据权利要求2所述的方法，其特征在于，所述的边缘计算服务器与物联网设备之间的网络通信过程包括：

边缘计算服务器1向鉴别服务器AS发送身份标识符ID_SEVER1，用明文表明自己的身份，AS对边缘计算服务器1的身份进行验证，在验证结果为正确后，允许边缘计算服务器1和票据授予服务器TGS进行联系；

AS基于边缘计算服务器1的身份标识符ID_SEVER1使用高级加密标准AES为边缘计算服务器1生成会话密钥

AS还存储边缘计算服务器1的对称密钥

AS向边缘计算服务器1发送使用对称密钥

进行加密的报文，该报文中包括边缘计算服务器1和TGS通信时要使用的会话密钥

以及边缘计算服务器1要发送给TGS的票据，该票据使用TGS的对称密钥

进行加密；

边缘计算服务器1使用对称密钥

对AS发送过来的所述报文进行解密，提取出会话密钥

以及使用

进行加密的票据；

边缘计算服务器1向TGS转发AS发来的票据；向TGS发送物联网设备1的身份标识符ID_DEV1，表示要与物联网设备1通信，发送使用会话密钥

进行加密的时间戳T；

TGS基于物联网设备1的身份标识符ID_DEV1使用高级加密标准AES为物联网设备1生成会话密钥

TGS向边缘计算服务器1发送两个票据，每个票据中都包含边缘计算服务器1和物联网设备1通信的会话密钥

其中一个需要转发给物联网设备1的票据使用会话密钥

加密，另一个不需要转发的票据使用物联网设备1的密钥

加密；

边缘计算服务器1向物联网设备1转发TGS发来的使用会话密钥

加密的票据；向物联网设备1发送使用会话密钥

加密的时间戳T；

物联网设备1向边缘计算服务器1发送使用会话密钥

加密的时间戳T加1，证实收到了票据；

在密钥分配完成后，边缘计算服务器1和物联网设备1使用分配的会话密钥

进行通信。

Images