CN114466359B - 适用于低轨卫星网络的分布式用户认证系统及认证方法 - Google Patents

适用于低轨卫星网络的分布式用户认证系统及认证方法 Download PDF

Info

Publication number
CN114466359B
CN114466359B CN202210018126.6A CN202210018126A CN114466359B CN 114466359 B CN114466359 B CN 114466359B CN 202210018126 A CN202210018126 A CN 202210018126A CN 114466359 B CN114466359 B CN 114466359B
Authority
CN
China
Prior art keywords
authentication
user
satellite
orbit
low
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210018126.6A
Other languages
English (en)
Other versions
CN114466359A (zh
Inventor
王嘉熙
付磊
文国莉
严晓云
陈菲菲
张云峰
关涛
臧肖
李承延
冯旭
关建峰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Academy of Electronic and Information Technology of CETC
Original Assignee
China Academy of Electronic and Information Technology of CETC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Academy of Electronic and Information Technology of CETC filed Critical China Academy of Electronic and Information Technology of CETC
Priority to CN202210018126.6A priority Critical patent/CN114466359B/zh
Publication of CN114466359A publication Critical patent/CN114466359A/zh
Application granted granted Critical
Publication of CN114466359B publication Critical patent/CN114466359B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B7/00—Radio transmission systems, i.e. using radiation field
    • H04B7/14—Relay systems
    • H04B7/15—Active relay systems
    • H04B7/185—Space-based or airborne stations; Stations for satellite systems
    • H04B7/18521—Systems of inter linked satellites, i.e. inter satellite service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/06—Airborne or Satellite Networks
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Abstract

本发明提出了一种适用于低轨卫星网络的分布式用户认证系统及认证方法，认证系统，包括：天基子系统和地面子系统，天基子系统包括多颗低轨道卫星，多颗低轨道卫星分布在多个轨道面，每个轨道面具有多颗低轨道卫星，同轨道相邻卫星之间、及相邻轨道面上相邻的低轨道卫星之间均通过星间链路通信连接；地面子系统与天基子系统通信连接，地面子系统包括：用户机、运营门店及数据中心，用户机具有认证客户端程序，用于供用户登录；运营门店用于提供注册服务；数据中心用于存储合法用户信息；其中，天基子系统中的多颗低轨道卫星按预设排布方式划分为互不重叠的多个认证区域，每个认证区域中均具有用于用户注册和登录进行认证的卫星认证节点。

Description

适用于低轨卫星网络的分布式用户认证系统及认证方法
技术领域
本发明涉及卫星通信技术领域，尤其涉及一种适用于低轨卫星网络的分布式用户认证系统及认证方法。
背景技术
在传统地面网络中，用户认证和登录通常使用固定、中心化的地面认证服务器统一执行。用户需要提交登录信息，通过网络发送到认证服务器，由认证服务器提取登录信息并与本地数据库内相关用户信息进行比对，从而给出认证结论。而加密手段上通常依靠输入密码、口令等方式进行。这种方案一定程度上提供了快捷的地面认证手段，为合法用户接入网络提供了便利和一定意义上的安全保证。
在传统的卫星网络中，用户认证和接入的惯用方法是基于公钥体制的集中式认证，通过非对称加密与对称加密结合，利用大数因式分解、椭圆曲线求解等对当前计算机算力要求极高的问题实现。由于低轨卫星网络具有传输时延大、易受攻击等特点，使得卫星网络集中式认证方法存在中心化管理节点易被定向攻击、权限信用度不足、宕机后全网瘫痪、认证时延大等问题。
传统地面网络和卫星网络的用户认证过程普遍存在星地交互次数多、集中式的中心化管理导致用户与网络之间的信任问题、中心节点受攻击、宕机或监守自盗等问题。信用的缺失会使协议机制不得不设计得更加复杂来相互取信、协商参数，致使节点交互次数更多，导致上层应用实现效果差的问题。
发明内容
本发明要解决的技术问题是解决当前集中式网络设计在安全和节点用户互信方面的问题，本发明提出一种适用于低轨卫星网络的分布式用户认证系统及认证方法。
根据本发明实施例的适用于低轨卫星网络的分布式用户认证系统，包括：
天基子系统，包括多颗低轨道卫星，多颗所述低轨道卫星分布在多个轨道面，每个所述轨道面具有多颗所述低轨道卫星，同轨道相邻卫星之间、及相邻轨道面上相邻的所述低轨道卫星之间均通过星间链路通信连接；
地面子系统，与所述天基子系统通信连接，所述地面子系统包括：用户机、运营门店及数据中心，所述用户机具有认证客户端程序，用于供用户登录；所述运营门店用于提供注册服务；所述数据中心用于存储合法用户信息；
其中，所述天基子系统中的多颗所述低轨道卫星按预设排布方式划分为互不重叠的多个认证区域，每个认证区域中均具有用于用户注册和登录进行认证的卫星认证节点。
根据本发明的一些实施例，所述认证区域按预设排布方式划分包括：将相邻的多个轨道面划分为一组，每组中每个所述轨道面包括多颗相邻的所述低轨卫星，构成一个所述认证区域。
在本发明的一些实施例中，每个所述认证区域中，将位于中间轨道面上的排序靠前的所述低轨卫星作为所述卫星认证节点。
根据本发明的一些实施例，所述星间链路包括：同轨星间链路和异轨星间链路，同轨道相邻卫星之间通过所述同轨星间链路通信连接，相邻轨道面上相邻的所述低轨道卫星之间通过所述异轨星间链路通信连接。
在本发明的一些实施例中，每个轨道面上的多颗所述低轨卫星按顺序依次编号，相邻轨道面上相邻的所述低轨卫星为相邻轨道面上编号相同的所述低轨卫星。
根据本发明的一些实施例，所述卫星认证节点具有部署认证模块，多颗所述卫星认证节点通过分布式共识方法对用户注册和登录进行认证。
根据本发明实施例的适用于低轨卫星网络的分布式用户注册认证方法，所述方法采用如上所述的适用于低轨卫星网络的分布式用户认证系统对用户注册进行认证，所述方法包括：
A100，所述运营门店基于用户提出的注册申请生成数字证书和AID；
A200，所述运营门店基于所述数字证书和AID构造数字证书申请请求，并将所述数字证书申请请求发送至覆盖所述运营门店位置的低轨卫星；
A300，所述低轨卫星将所述数字证书申请请求转发至所在认证区域中的所述卫星认证节点，由所述卫星认证节点将所述数字证书申请请求广播至所有卫星认证节点；
A400，所有所述卫星认证节点基于收的数字证书申请请求，完成用户注册信息共识后，保存用户的AID信息；
A500，所述卫星认证节点将用户信息发送至所述数据中心进行保存，并由收到用户注册请求的卫星认证节点生成通信密钥和注册成功消息，发送给所述运营门店；
A600，所述运营门店保存AID、数字证书、通信密钥，反馈至用户。
根据本发明的一些实施例，用户在通过运营门店提出注册申请后至收到反馈消息前，若覆盖所述运营门店位置的所述低轨卫星发生变化，由变更后的所述低轨卫星所在的认证区域中的卫星认证节点生成通信密钥和注册成功消息。
在本发明的一些实施例中，步骤A200中，所述运营门店每隔预设时间间隔向覆盖所述运营门店位置的低轨卫星发送一次数字证书申请请求，首次发送的所述数字证书申请请求具有识别标识。
根据本发明实施例的适用于低轨卫星网络的分布式用户登录认证方法，所述方法对采用如上所述的适用于低轨卫星网络的分布式用户注册认证方法完成注册的用户进行登录认证，所述方法包括：
S100，用户通过用户机中的认证客户程序进行登录认证；
S200，用户机向覆盖用户机位置的低轨卫星发送登录请求消息，登录请求消息中包括用户的AID信息，若低轨卫星为卫星认证节点，则进入步骤S300，否则进入步骤S400；
S300，卫星认证节点获取请求中的AID信息，与本地存储的AID信息进行比对，若比对成功，则将用户登录请求消息广播到所有卫星认证节点，并向客户端回复登录成功消息，执行步骤S500；若比对失败，则丢弃登录请求消息；
S400，低轨卫星向所在轨道面中的卫星认证节点转发登录请求，执行步骤S300相同的操作，然后进入步骤S500；
S500，用户登录成功后，使用网络资源。
本发明用户使用AID作为登录入网的凭证，经过分布式认证后，用户信息存在于所有的分布式账本中，用户登录后登录信息存在于所有的访问控制数据库中，通过应用分布式认证这类信用内生的机制，可有效打破节点与用户之间的信任壁垒，减少取信过程复杂度，并可使用户信息分布式存储，难以被篡改，提升用户信息的安全，解决了当前集中式网络设计在安全和节点用户互信方面的问题。而且，卫星进行认证区域划分，提高星间通信效率，在节省星上存储资源的同时降低通信时延。另外，针对卫星高动态移动的特点，在用户注册机制中进行了移动性设计。
附图说明
图1为根据本发明实施例的适用于低轨卫星网络的分布式用户认证系统的网络架构和基本元素组成示意图；
图2为根据本发明实施例的认证区域与卫星认证节点划分示意图；
图3为根据本发明实施例的适用于低轨卫星网络的分布式用户注册认证方法流程图；
图4为根据本发明实施例的用户注册认证非移动情况下的流程示意图；
图5为根据本发明实施例的用户注册认证移动情况下的流程示意图；
图6为根据本发明实施例的适用于低轨卫星网络的分布式用户登录认证方法流程图；
图7为根据本发明实施例的适用于低轨卫星网络的分布式用户登录认证方法流程图。
具体实施方式
为更进一步阐述本发明为达成预定目的所采取的技术手段及功效，以下结合附图及较佳实施例，对本发明进行详细说明如后。
本发明中说明书中对方法流程的描述及本发明说明书附图中流程图的步骤并非必须按步骤标号严格执行，方法步骤是可以改变执行顺序的。而且，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。
为了满足用户对网络越来越高的时延要求、信用要求和安全要求，需要设计一种低时延、高可信度、数据难以篡改、高鲁棒性的低轨卫星网络用户认证方法。
近年来受到广泛关注的分布式认证技术旨在打破传统中心化认证模式的安全、信任等弊端，其核心思想是去除中心化认证服务器，而原本需要中心化认证服务器存储的重要信息则通过网络节点的交互协议存储于事先选出的部分网络节点上的分布式账本内，这些分布式节点称为共识节点。分布式认证技术的最大特点就是生成重要信息的多个副本并分别存储，这样的存储手段使得恶意用户即使攻击某些节点，只要其无法成功篡改超过33％(这一比例在近年的不断优化中仍在提高，目前已有一些能使该比例达到50％以上的技术雏形出现)的共识节点数据，也同样无法影响整个网络的正常运行。
本发明基于分布式认证思想提出了一种适用于低轨卫星网络的分布式用户认证系统及认证方法。本发明适用于天基低轨卫星(LEO)网络，包括：用户注册和用户登录两个过程，为用户接入LEO卫星网络提供一套方案。
如图1所示，根据本发明实施例的适用于低轨卫星网络的分布式用户认证系统，包括：天基子系统和地面子系统。
天基子系统包括多颗低轨道卫星，多颗低轨道卫星分布在多个轨道面，每个轨道面具有多颗低轨道卫星，同轨道相邻卫星之间、及相邻轨道面上相邻的低轨道卫星之间均通过星间链路通信连接；
如图1所示，天基子系统由M颗LEO卫星组成，共分为P个轨道面(轨道面序号依次为1、2、……、P)，每个轨道面有S(S＝M/P)颗LEO卫星(卫星序号依次为S1、S2、……)。轨道面间呈现南北极交叉形态，覆盖全球。相邻轨道面上同序号卫星之间，以及同轨道相邻卫星之间都存在星间链路。
地面子系统与天基子系统通信连接，地面子系统包括：用户机、运营门店及数据中心，用户机具有认证客户端程序，用于供用户登录；运营门店用于提供注册服务；数据中心用于存储合法用户信息。
如图1所示，地面子系统由用户机、大量运营门店和少量数据中心构成。用户机(User Equipment，UE)可以为安装了认证客户端程序的用户计算机等设备，由用户自行使用；运营门店(Ground Node，GN)遍布全球，供服务提供商为用户提供各类服务使用，在本发明中它的作用是提供注册服务。数据中心(Data Centre，DC)部署在全国各地的少量选定位置上，存储全量合法用户信息。GN部署有注册模块和认证模块。
其中，天基子系统中的多颗低轨道卫星按预设排布方式划分为互不重叠的多个认证区域，每个认证区域中均具有用于用户注册和登录进行认证的卫星认证节点(如图1中所示的SN)。
根据本发明的一些实施例，如图1和图2所示，认证区域按预设排布方式划分包括：将相邻的多个轨道面划分为一组，每组中每个轨道面包括多颗相邻的低轨卫星，构成一个认证区域。
图1中，每颗卫星对应到地面上都有其覆盖范围。如图1和图2所示，可以将相邻的3个轨道面划分为一组，每组中每个轨道面上相邻的2颗卫星，共计6颗卫星划分为一个“认证区域”，认证区域之间互不重叠，具体划分方式如图2所示(划分方式可根据实际需求调整)。从每个认证区域中选取1颗卫星(本发明实例中选取每个认证区域的上排第2颗卫星，可根据实际情况更换)作为该认证区域的卫星认证节点(Satellite Node，SN，如图2的认证区域示例中轨道面2的黑色S5节点)，存储全量合法用户信息。其他卫星统称为卫星节点(Node，N)。
在本发明的一些实施例中，每个认证区域中，将位于中间轨道面上的排序靠前的低轨卫星作为卫星认证节点。
根据本发明的一些实施例，星间链路包括：同轨星间链路和异轨星间链路，同轨道相邻卫星之间通过同轨星间链路通信连接，相邻轨道面上相邻的低轨道卫星之间通过异轨星间链路通信连接。
在本发明的一些实施例中，每个轨道面上的多颗低轨卫星按顺序依次编号，相邻轨道面上相邻的低轨卫星为相邻轨道面上编号相同的低轨卫星。
根据本发明的一些实施例，卫星认证节点具有部署认证模块，多颗卫星认证节点通过分布式共识方法对用户注册和登录进行认证。N上可以只部署必要的消息转发模块，而每个SN上部署有认证模块，用于分布式共识过程。
根据本发明实施例的适用于低轨卫星网络的分布式用户注册认证方法，方法采用如上的适用于低轨卫星网络的分布式用户认证系统对用户注册进行认证，方法包括：
A100，运营门店基于用户提出的注册申请生成数字证书和AID；
A200，运营门店基于数字证书和AID构造数字证书申请请求，并将数字证书申请请求发送至覆盖运营门店位置的低轨卫星；
A300，低轨卫星将数字证书申请请求转发至所在认证区域中的卫星认证节点，由卫星认证节点将数字证书申请请求广播至所有卫星认证节点；
A400，所有卫星认证节点基于收的数字证书申请请求，完成用户注册信息共识后，保存用户的AID信息；
A500，卫星认证节点将用户信息发送至数据中心进行保存，并由收到用户注册请求的卫星认证节点生成通信密钥和注册成功消息，发送给运营门店；
A600，运营门店保存AID、数字证书、通信密钥，反馈至用户。
根据本发明的一些实施例，用户在通过运营门店提出注册申请后至收到反馈消息前，若覆盖运营门店位置的低轨卫星发生变化，由变更后的低轨卫星所在的认证区域中的卫星认证节点生成通信密钥和注册成功消息。
在本发明的一些实施例中，步骤A200中，运营门店每隔预设时间间隔向覆盖运营门店位置的低轨卫星发送一次数字证书申请请求，首次发送的数字证书申请请求具有识别标识。
需要说明的是，由于低轨卫星的移动，用户在进行通过运营门店提出注册申请后至收到反馈消息前，覆盖运营门店位置的低轨卫星可能发生变化，也可能不发生变化。下面对两种情况下用户注册认证方法进行详细描述：
(1)用户注册过程(非移动场景)：
用户希望成为LEO卫星网络的合法用户时，需要首先进行注册。注册过程就是一个将新用户的注册信息发送至卫星网络进行分布式认证，并备份至DC的过程，同时也是将用户从非法状态转变为合法状态的过程。该过程共分为如下6个步骤：
B1，用户携带身份证件、组织证明文件到地面GN处提出注册申请，并由GN人工审核其证件有效性(默认有效)。在GN注册机的注册模块内填写证件信息。注册模块内置算法自动生成数字证书和AID。
B2，工作人员在注册机上插入空白Ukey设备，其通过内置算法构造数字证书申请请求并加密传递给认证模块。认证模块向覆盖其位置的卫星N发送证书申请请求(其中State字段置0)，内含数字证书(包含AID信息)。此后认证模块每隔1秒向覆盖其位置的卫星(由于用户和卫星的相对移动，此卫星未必一直为N，但在非移动场景中默认始终为N)发送证书申请请求直到收到反馈，但将State字段改为1。
B3，卫星N识别到首次收到的证书申请请求中的State字段为0，其认证模块将该请求转发至自身认证区域中SN的认证模块，由该SN将请求广播至所有其他SN的认证模块。此后卫星N会持续收到State字段为1的证书申请请求，但由于State字段不为0，故保持沉默。
B4，所有SN节点收到证书申请请求，使用开源通用共识认证机制，如PBFT三段式机制，在所有SN节点认证模块间完成该用户注册信息共识。共识成功后，各SN认证模块将该用户的AID信息写入节点内置分布式账本中，表示该AID合法。
B5，各SN之间共识成功完成时，将用户各项信息发送至地面数据中心保存。由收到用户注册请求的SN认证模块为该用户生成通信密钥和注册成功消息，并通过N发送给GN。
B6，GN的认证模块收到上述消息后，检查消息中的注册结果为注册成功，将AID、数字证书、通信密钥存入Ukey中。由工作人员将Ukey交给用户保存和使用。
(2)用户注册过程(移动场景)：
与非移动场景相对，移动场景是指用户在通过GN发送完注册请求消息后，在收到反馈消息前，和当前覆盖其位置的卫星发生相对位移，导致用户移出该卫星覆盖范围到达另一颗卫星覆盖范围的情况。该过程共分为如下6个步骤：
C1，用户携带身份证件、组织证明文件到地面GN处提出注册申请，并由GN人工审核其证件有效性(默认有效)。在GN注册机的注册模块内填写证件信息。注册模块内置算法自动生成数字证书和AID。
C2，工作人员在注册机上插入空白Ukey设备，其通过内置算法构造数字证书申请请求并加密传递给认证模块。认证模块向覆盖其位置的卫星N1发送证书申请请求，内含数字证书(包含AID信息)。此后认证模块每隔1秒向覆盖其位置的卫星(由于卫星移动，此卫星未必一直是N1，在移动场景下，用户通过GN发送完注册请求消息后，移动到了N2卫星下)发送证书申请请求直到收到反馈，但将State字段改为1。
C3，卫星N1识别到首次收到的证书申请请求中的State字段为0，其认证模块将该请求转发至自身认证区域中的SN1的认证模块，由该SN1将请求广播至所有其他SN的认证模块。此后N1卫星会在一定时间内持续收到State字段为1的证书申请请求，并在用户发生移动后不再收到该请求。由于收到的请求中State字段不为0，故保持沉默。
C4，所有SN节点收到证书申请请求，使用开源通用共识认证机制，如PBFT三段式机制，在所有SN节点认证模块间完成该用户注册信息共识。共识成功后，各SN认证模块将该用户的AID信息写入节点内置分布式账本中，表示该AID合法。
C5，各SN之间共识成功完成时，将用户注册信息发送至地面数据中心保存。此过程中由于卫星移动，用户已从N1覆盖范围移动到了N2覆盖范围中，则N2会持续收到State字段为1的证书申请请求。N2检查发现State字段为1，且此前未收到任何State字段为0的该用户(AID)的证书申请请求，表明此用户是刚刚移动过来的。N2立即发送用户移动通知给其认证区域的SN2，告知其有一名用户在注册过程中发生了移动，且移动到本地。由SN2的认证模块为该用户生成通信密钥和注册成功消息，并通过N2发送给GN。
C6，GN的认证模块收到上述消息后，检查消息中的注册结果为注册成功，将AID、数字证书、通信密钥存入Ukey中。由工作人员将Ukey交给用户保存和使用。
用户在已注册并成为合法用户的前提下，希望在用户计算机上登录进入网络并使用网络资源时，需要进行登录。登录过程是将用户登录信息上传至卫星网络，将用户从离线状态转变为在线状态的过程。根据本发明实施例的适用于低轨卫星网络的分布式用户登录认证方法，方法对采用如上的适用于低轨卫星网络的分布式用户注册认证方法完成注册的用户进行登录认证，方法包括：
S100，用户通过用户机中的认证客户程序进行登录认证；
用户在地面任意一台已安装认证客户端程序的用户计算机上插入Ukey设备并打开认证客户端程序，程序自动识别到Ukey，读取到其中的AID信息。
S200，用户机向覆盖用户机位置的低轨卫星发送登录请求消息，登录请求消息中包括用户的AID信息，若低轨卫星为卫星认证节点，则进入步骤S300，否则进入步骤S400；
用户可以通过认证客户端程序向覆盖其位置的最近一个N卫星发送登录请求消息，登录请求消息包括该用户的AID信息。
S300，卫星认证节点获取请求中的AID信息，与本地存储的AID信息进行比对，若比对成功，则将用户登录请求消息广播到所有卫星认证节点，并向客户端回复登录成功消息，执行步骤S500；若比对失败，则丢弃登录请求消息；
卫星认证节点可以将获取请求中的AID信息与本地分布式账本中的AID条目逐条比对，直到比对成功，或比对失败。若比对成功则将该用户登录通知消息广播到所有SN，所有SN在各自本地的访问控制数据库内写入该用户的登录时间、状态等信息，并向客户端回复登录成功消息。若比对失败则丢弃登录请求消息。认证客户端程序一段时间后未收到任何回复，自动判定登录失败。
S400，低轨卫星向所在轨道面中的卫星认证节点转发登录请求，执行步骤S300相同的操作，然后进入步骤S500；
S500，用户登录成功后，使用网络资源。
此后该用户的任何发送数据均需SN检查访问控制数据库，只有访问控制数据库内存在该用户条目才能通信，否则用户发送的报文将被SN丢弃。
综上所述，本发明中用户使用AID作为登录入网的凭证，经过分布式认证后，用户信息存在于所有的分布式账本中；用户登录后登录信息存在于所有的访问控制数据库中，即使一个节点的数据库被篡改，也无法影响全网整体数据库的一致性。卫星进行认证区域划分，提高星间通信效率，在节省星上存储资源的同时降低通信时延。针对卫星高动态移动的特点，在用户注册机制中进行了移动性设计。
本发明解决了当前集中式网络设计在安全和节点用户互信方面的问题。通过应用分布式认证这类信用内生的机制，可有效打破节点与用户之间的信任壁垒，减少取信过程复杂度，并可使用户信息分布式存储，难以被篡改，提升用户信息的安全。
下面参照附图以三个具体的实施例详细描述根据本发明的适用于低轨卫星网络的分布式用户注册及登录认证方法。值得理解的是，下述描述仅是示例性描述，而不应理解为对本发明的具体限制。
实例1，用户注册(非移动场景)：
设计拓扑如图1、图2所示，并采取12个LEO轨道面、每个轨道面10颗卫星的部署方式。某非法用户在地面某GN处向图2中轨道面2的S6卫星发起注册请求，该卫星所属认证区域中的SN为轨道面2的S5卫星。用户注册过程如下所示：
1、用户携带身份证件、组织证明文件到地面GN处提出注册申请，并由GN人工审核其证件有效性(默认有效)。在GN注册机的注册模块内填写证件信息。注册模块内置算法自动生成数字证书和AID。本次生成的AID如表1所示。
表1:AID示例
AID 0000:0000:0000:0000:0000:0000:0000:0081
2、工作人员在注册机上插入空白Ukey设备，其通过内置算法构造数字证书申请请求并加密传递给认证模块。认证模块向覆盖其位置的轨道面2的S6卫星发送证书申请请求，内含数字证书(包含AID信息)，如表2所示。
表2:证书申请请求示例(首次发送)
Type 0(0表示证书申请请求)
AID 0000:0000:0000:0000:0000:0000:0000:0081
CE(证书) AID、timestamp等
State 0(0表示首次发送)
此后认证模块每隔1秒向覆盖其位置的卫星(由于卫星移动，此卫星未必是2轨道面的S6，但本实例仅考虑不移动的情况)发送证书申请请求直到收到反馈，但将State字段改为1，如表3所示。
表3:证书申请请求示例(非首次发送)
Type 0(0表示证书申请请求)
AID 0000:0000:0000:0000:0000:0000:0000:0081
CE(证书) AID、timestamp等
State 1(1表示非首次发送)
3、轨道面2的S6卫星识别到首次收到的证书申请请求中的State字段为0，其认证模块将该请求转发至轨道面2的S5卫星(其认证区域的SN)的认证模块，由该卫星将请求广播至所有其他SN的认证模块。此后轨道面2的S6卫星会持续收到State字段为1的证书申请请求，但由于State字段不为0，故保持沉默。
4、所有SN节点收到证书申请请求，使用开源通用共识认证机制，如PBFT三段式机制，在所有SN节点认证模块间完成该用户注册信息共识。共识成功后，各SN认证模块将该用户的AID信息写入节点内置分布式账本中，表示该AID合法，如表4所示。
表4:分布式账本中一个条目的示例
AID 0000:0000:0000:0000:0000:0000:0000:0081
T0(注册时间) T0
State(状态) L(合法用户且正在使用中)
其他信息 ……
5、各SN之间共识成功完成时，将表4中各项信息发送至地面数据中心保存。由轨道面2的S5卫星的认证模块为该用户生成通信密钥和注册成功消息，如表5，并发送给GN。
表5:注册成功消息示例
Type 2(2表示注册成功消息)
Key(通信密钥) Key(对称加密密钥)
AID 0000:0000:0000:0000:0000:0000:0000:0081
Timestamp T1
6、GN的认证模块收到上述消息后，检查消息中的注册结果为注册成功(Type＝2)，将AID、数字证书、通信密钥存入Ukey中。由工作人员将Ukey交给用户保存和使用。
实例2，用户注册(移动场景)：
设计拓扑如图1、图2所示，采取的部署方式与实例1相同。某非法用户在地面某GN处向图2中轨道面2的S6卫星发起注册请求，该卫星所属认证区域中的SN为轨道面2的S5卫星。用户注册过程如下所示：
1、用户携带身份证件、组织证明文件到地面GN处提出注册申请，并由GN人工审核其证件有效性(这里默认有效)。在GN注册机的注册模块内填写证件信息。注册模块内置算法自动生成数字证书和AID。本次生成的AID如表6所示。
表6:AID示例
AID 0000:0000:0000:0000:0000:0000:0000:0081
2、工作人员在注册机上插入空白Ukey设备，其通过内置算法构造数字证书申请请求并加密传递给认证模块。认证模块向覆盖其位置的轨道面2的S6卫星发送证书申请请求，内含数字证书(包含AID信息)，如表7。
表7:证书申请请求示例(首次发送)
Type 0(0表示证书申请请求)
AID 0000:0000:0000:0000:0000:0000:0000:0081
CE(证书) AID、timestamp等
State 0(0表示首次发送)
此后认证模块每隔1秒向覆盖其位置的卫星(由于卫星移动，此卫星未必是轨道面2的S6)发送证书申请请求直到收到反馈，但将State字段改为1，如表8。
表8:证书申请请求示例(非首次发送)
Type 0(0表示证书申请请求)
AID 0000:0000:0000:0000:0000:0000:0000:0081
CE(证书) AID、timestamp等
State 1(1表示非首次发送)
3、轨道面2的S6卫星识别到首次收到的证书申请请求中的State字段为0，其认证模块将该请求转发至轨道面2的S5卫星(其认证区域的SN)的认证模块，由该卫星将请求广播至所有其他SN的认证模块。此后轨道面2的S6卫星会持续收到State字段为1的证书申请请求，但由于State字段不为0，故保持沉默。
4、所有SN节点收到证书申请请求，使用开源通用共识认证机制，如PBFT三段式机制，在所有SN节点认证模块间完成该用户注册信息共识。共识成功后，各SN认证模块将该用户的AID信息写入节点内置分布式账本中，表示该AID合法，如表9。
表9:分布式账本中一个条目的示例
AID 0000:0000:0000:0000:0000:0000:0000:0081
T0(注册时间) T0
State(状态) L(合法用户且正在使用中)
其他信息 ……
5、各SN之间共识成功完成时，将表9中各项信息发送至地面数据中心保存。假定上述分布式共识过程中，由于卫星移动，用户已从轨道面2的S6卫星覆盖范围移动到了轨道面2的S4卫星覆盖范围中，则轨道面2的S4卫星会持续收到State字段为1的证书申请请求，而轨道面2的S6卫星不再收到此请求。轨道面2的S4卫星检查证书申请请求发现State字段为1，且此前未收到任何State字段为0的该用户(AID)的证书申请请求，表明此用户是刚刚移动过来的。于是轨道面2的S4卫星立即发送用户移动通知给轨道面2的S3卫星(其认证区域的SN)，用户移动通知消息格式如表10所示。
表10:用户移动通知消息示例
Type 5(5表示用户移动通知)
AID 0000:0000:0000:0000:0000:0000:0000:0081
由轨道面2的S3卫星的认证模块在共识完成后为该用户生成通信密钥和注册成功消息，如表11，并通过轨道面2的S4卫星发送给GN。
表11:注册成功消息示例
6、GN的认证模块收到上述消息后，检查消息中的注册结果为注册成功(Type＝2)，将AID、数字证书、通信密钥存入Ukey中。由工作人员将Ukey交给用户保存和使用。
实例3，用户登录：
网络拓扑设计与实例1相同。以合法用户UE(AID＝0000:0000:0000:0000:0000:0000:0000:0081)在任一安装了认证客户端的用户计算机上向轨道面2的S6卫星发起登录请求为例：
1、用户在计算机上插入Ukey并打开认证客户端程序，程序自动识别到Ukey，读取到其中的AID信息。
2、认证客户端程序向轨道面2的S6卫星发送登录请求，请求中包括该用户的AID信息，如表12。
表12:登录请求消息示例
Type 3(3表示登录请求消息)
AID 0000:0000:0000:0000:0000:0000:0000:0081
Timestamp T2
3、轨道面2的S6卫星将登录请求消息转发给轨道面2的S5卫星(其认证区域的SN)，轨道面2的S5卫星检查其中的AID，与本地分布式账本逐条比对并成功，于是将该用户登录通知消息广播到所有SN，所有SN在各自本地的访问控制数据库内写入该用户的登录时间、状态等信息，如表13。
表13:访问控制数据库条目示例
AID 0000:0000:0000:0000:0000:0000:0000:0081
Status(状态) 1(1表示在线，0表示离线)
Login T(登录时间) T3
Location(登录位置) 0206(轨道面2第6颗卫星)
同时立即向客户端回复登录成功消息如表14。
表14登录成功通知示例
Type 4(4表示登录成功通知)
AID 0000:0000:0000:0000:0000:0000:0000:0081
Status(状态) 1(1表示在线，0表示离线)
Login T(登录时间) T3
Location(登录位置) 0206(轨道面2第6颗卫星)
利用本发明提供的方法实现用户注册、认证和权限管理，具有以下优点：
1、采用分布式认证机制，解决单一认证中心造成的信任问题以及宕机、网络攻击问题。一个节点被网络攻击攻陷或宕机，不影响全网正常运行。
2、降低注册过程时延，提高星上有限存储资源的利用率。
3、针对卫星网络高移动特点设计，支持用户和卫星的相对移动场景。
通过具体实施方式的说明，应当可对本发明为达成预定目的所采取的技术手段及功效得以更加深入且具体的了解，然而所附图示仅是提供参考与说明之用，并非用来对本发明加以限制。

Claims (4)

1.一种适用于低轨卫星网络的分布式用户注册认证方法，其特征在于，所述方法采用适用于低轨卫星网络的分布式用户认证系统对用户注册进行认证，所述认证系统包括：
天基子系统，包括多颗低轨道卫星，多颗所述低轨道卫星分布在多个轨道面，每个所述轨道面具有多颗所述低轨道卫星，同轨道相邻卫星之间、及相邻轨道面上相邻的所述低轨道卫星之间均通过星间链路通信连接；
地面子系统，与所述天基子系统通信连接，所述地面子系统包括：用户机、运营门店及数据中心，所述用户机具有认证客户端程序，用于供用户登录；所述运营门店用于提供注册服务；所述数据中心用于存储合法用户信息；
其中，所述天基子系统中的多颗所述低轨道卫星按预设排布方式划分为互不重叠的多个认证区域，每个认证区域中均具有用于用户注册和登录进行认证的卫星认证节点；
所述方法包括：
A100，所述运营门店基于用户提出的注册申请生成数字证书和AID；
A200，所述运营门店基于所述数字证书和AID构造数字证书申请请求，并将所述数字证书申请请求发送至覆盖所述运营门店位置的低轨卫星；
A300，所述低轨卫星将所述数字证书申请请求转发至所在认证区域中的所述卫星认证节点，由所述卫星认证节点将所述数字证书申请请求广播至所有卫星认证节点；
A400，所有所述卫星认证节点基于收的数字证书申请请求，完成用户注册信息共识后，保存用户的AID信息；
A500，所述卫星认证节点将用户信息发送至所述数据中心进行保存，并由收到用户注册请求的卫星认证节点生成通信密钥和注册成功消息，发送给所述运营门店；
A600，所述运营门店保存AID、数字证书、通信密钥，反馈至用户。
2.根据权利要求1所述的适用于低轨卫星网络的分布式用户注册认证方法，其特征在于，用户在通过运营门店提出注册申请后至收到反馈消息前，若覆盖所述运营门店位置的所述低轨卫星发生变化，由变更后的所述低轨卫星所在的认证区域中的卫星认证节点生成通信密钥和注册成功消息。
3.根据权利要求1所述的适用于低轨卫星网络的分布式用户注册认证方法，其特征在于，步骤A200中，所述运营门店每隔预设时间间隔向覆盖所述运营门店位置的低轨卫星发送一次数字证书申请请求，首次发送的所述数字证书申请请求具有识别标识。
4.一种适用于低轨卫星网络的分布式用户登录认证方法，其特征在于，所述方法对采用如权利要求1-3中任一项所述的适用于低轨卫星网络的分布式用户注册认证方法完成注册的用户进行登录认证，所述方法包括：
S100，用户通过用户机中的认证客户程序进行登录认证；
S200，用户机向覆盖用户机位置的低轨卫星发送登录请求消息，登录请求消息中包括用户的AID信息，若低轨卫星为卫星认证节点，则进入步骤S300，否则进入步骤S400；
S300，卫星认证节点获取请求中的AID信息，与本地存储的AID信息进行比对，若比对成功，则将用户登录请求消息广播到所有卫星认证节点，并向客户端回复登录成功消息，执行步骤S500；若比对失败，则丢弃登录请求消息；
S400，低轨卫星向所在轨道面中的卫星认证节点转发登录请求，执行步骤S300相同的操作，然后进入步骤S500；
S500，用户登录成功后，使用网络资源。
CN202210018126.6A 2022-01-07 2022-01-07 适用于低轨卫星网络的分布式用户认证系统及认证方法 Active CN114466359B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210018126.6A CN114466359B (zh) 2022-01-07 2022-01-07 适用于低轨卫星网络的分布式用户认证系统及认证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210018126.6A CN114466359B (zh) 2022-01-07 2022-01-07 适用于低轨卫星网络的分布式用户认证系统及认证方法

Publications (2)

Publication Number Publication Date
CN114466359A CN114466359A (zh) 2022-05-10
CN114466359B true CN114466359B (zh) 2024-03-01

Family

ID=81409874

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210018126.6A Active CN114466359B (zh) 2022-01-07 2022-01-07 适用于低轨卫星网络的分布式用户认证系统及认证方法

Country Status (1)

Country Link
CN (1) CN114466359B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114828005A (zh) * 2022-05-24 2022-07-29 西安电子科技大学 一种基于位置密钥的增强型星间组网认证方法

Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5926745A (en) * 1995-11-30 1999-07-20 Amsc Subsidiary Corporation Network operations center for mobile earth terminal satellite communications system
EP0955737A2 (en) * 1998-05-07 1999-11-10 Loral Spacecom Corp. A two-way/broadcast mobile and portable satellite communications system
CN107147489A (zh) * 2017-05-02 2017-09-08 南京理工大学 一种leo卫星网络内分布式的接入认证管理方法
CN108566240A (zh) * 2018-03-28 2018-09-21 西安电子科技大学 一种适用于双层卫星网络的星间组网认证系统及方法
CN109039436A (zh) * 2018-10-23 2018-12-18 中国科学院信息工程研究所 一种卫星安全接入认证的方法及系统
CN109547213A (zh) * 2018-12-14 2019-03-29 西安电子科技大学 适用于低轨卫星网络的星间组网认证系统及方法
CN112087750A (zh) * 2020-08-05 2020-12-15 西安电子科技大学 卫星网络断续连通场景下的接入和切换认证方法及系统
CN112235792A (zh) * 2020-09-15 2021-01-15 西安电子科技大学 一种多类型终端接入与切换认证方法、系统、设备及应用
CN112351445A (zh) * 2019-08-08 2021-02-09 千寻位置网络有限公司 通信方法、地基网络系统、通信系统及终端
CN112564775A (zh) * 2020-12-18 2021-03-26 江苏省未来网络创新研究院 一种基于区块链的空间信息网络访问控制系统与认证方法
CN112953726A (zh) * 2021-03-01 2021-06-11 西安电子科技大学 融合双层卫星网络星地和星间组网认证方法、系统及应用
CN113079016A (zh) * 2021-03-23 2021-07-06 中国人民解放军国防科技大学 一种面向天基网络的身份基认证方法
CN113098686A (zh) * 2021-03-31 2021-07-09 中国人民解放军国防科技大学 一种面向低轨卫星网络的组密钥管理方法
CN113115313A (zh) * 2021-03-26 2021-07-13 电子科技大学 一种基于节点信任度的leo卫星网络安全路由方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019040963A1 (en) * 2017-08-28 2019-03-07 Myriota Pty Ltd METHOD FOR PROTECTING TERMINAL IDENTITY IN A COMMUNICATION SYSTEM
CN110034817B (zh) * 2019-04-29 2020-06-19 北京邮电大学 基于软件定义网络的低轨道卫星网络路由方法及装置

Patent Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5926745A (en) * 1995-11-30 1999-07-20 Amsc Subsidiary Corporation Network operations center for mobile earth terminal satellite communications system
EP0955737A2 (en) * 1998-05-07 1999-11-10 Loral Spacecom Corp. A two-way/broadcast mobile and portable satellite communications system
CN107147489A (zh) * 2017-05-02 2017-09-08 南京理工大学 一种leo卫星网络内分布式的接入认证管理方法
CN108566240A (zh) * 2018-03-28 2018-09-21 西安电子科技大学 一种适用于双层卫星网络的星间组网认证系统及方法
CN109039436A (zh) * 2018-10-23 2018-12-18 中国科学院信息工程研究所 一种卫星安全接入认证的方法及系统
CN109547213A (zh) * 2018-12-14 2019-03-29 西安电子科技大学 适用于低轨卫星网络的星间组网认证系统及方法
CN112351445A (zh) * 2019-08-08 2021-02-09 千寻位置网络有限公司 通信方法、地基网络系统、通信系统及终端
CN112087750A (zh) * 2020-08-05 2020-12-15 西安电子科技大学 卫星网络断续连通场景下的接入和切换认证方法及系统
CN112235792A (zh) * 2020-09-15 2021-01-15 西安电子科技大学 一种多类型终端接入与切换认证方法、系统、设备及应用
CN112564775A (zh) * 2020-12-18 2021-03-26 江苏省未来网络创新研究院 一种基于区块链的空间信息网络访问控制系统与认证方法
CN112953726A (zh) * 2021-03-01 2021-06-11 西安电子科技大学 融合双层卫星网络星地和星间组网认证方法、系统及应用
CN113079016A (zh) * 2021-03-23 2021-07-06 中国人民解放军国防科技大学 一种面向天基网络的身份基认证方法
CN113115313A (zh) * 2021-03-26 2021-07-13 电子科技大学 一种基于节点信任度的leo卫星网络安全路由方法
CN113098686A (zh) * 2021-03-31 2021-07-09 中国人民解放军国防科技大学 一种面向低轨卫星网络的组密钥管理方法

Non-Patent Citations (5)

* Cited by examiner, † Cited by third party
Title
Huang Ji ; Hongchao Wang ; Dong Yang ; Yuhong Xiang ; .A Distributed Identifier Mapping Resolving System for Space-Air-Ground Integrated Network.2021 IEEE 5th Advanced Information Technology, Electronic and Automation Control Conference (IAEAC).2021,全文. *
卫星网络基于信任的认证路由协议;潘艳辉;王韬;吴杨;王文豪;;计算机应用(第03期);全文 *
卫星通信网中一种新的实体认证与访问控制方案;祝烈煌;王龙;李嘉盛;张川;原卫华;;通信学报(第06期);全文 *
面向LEO卫星网络的分布式认证协议研究;李刚;中国优秀硕士学位论文全文数据库信息科技辑;论文正文第39-51页第4节 *
面向天地一体化信息网络的卫星链路仿真研究;刘渊;张浩;叶海洋;李剑锋;王晓锋;张桂珠;;通信学报(第04期);全文 *

Also Published As

Publication number Publication date
CN114466359A (zh) 2022-05-10

Similar Documents

Publication Publication Date Title
JP3937475B2 (ja) アクセス制御システムおよびその方法
CN100592827C (zh) 用于联合单点登录服务的系统、方法和设备
DE60312911T2 (de) System für mobile Authentifizierung mit reduzierten Authentifizierungsverzögerung
US6275941B1 (en) Security management method for network system
CN1332521C (zh) 用于管理网络业务接入与登记的系统和方法
US7194761B1 (en) Methods and apparatus providing automatic client authentication
CN101068245B (zh) 共享文件的发布、下载方法及文件共享可控系统
CN101166173B (zh) 一种单点登录系统、装置及方法
US6237037B1 (en) Method and arrangement relating to communications systems
CN108667612A (zh) 一种基于区块链的信任服务架构及方法
EP3316544A1 (en) Token generation and authentication method, and authentication server
CN102209046A (zh) 网络资源整合系统及方法
CN104283880A (zh) 安全工作组管理和通信的系统和方法
US20230089134A1 (en) Data communication method and apparatus, computer device, and storage medium
CN111049835B (zh) 分布式公共证书服务网络的统一身份管理系统
CN101421970A (zh) 避免服务器对客户端状态的存储
CN107277049A (zh) 一种应用系统的访问方法及装置
CN111818056B (zh) 一种基于区块链的工业互联网身份认证方法
CN113079215B (zh) 一种基于区块链的配电物联网无线安全接入方法
CN114466359B (zh) 适用于低轨卫星网络的分布式用户认证系统及认证方法
CN111200500A (zh) 基于区块链及物理不可克隆函数的卫星管理方法
CN102083066B (zh) 统一安全认证的方法和系统
CN112039910B (zh) 一种认证与权限的统一管理的方法、系统、设备及介质
CN109150290A (zh) 一种卫星轻量化数据传输保护方法及地面安全服务系统
CN102208980A (zh) 一种通信方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant