CN115842657A - 一种基于区块链的物联网匿名身份认证方法及装置 - Google Patents

Abstract

一种基于区块链的物联网匿名身份认证方法及装置，包括以下步骤：S1、系统初始化部署；S2、身份注册；S3、身份认证；S4、用户信息更新；S5、用户身份撤销步骤。本发明的一种基于区块链的物联网匿名身份认证方法，将区块链技术应用于物联网环境中，利用智能合约将用户或设备的隐私信息存储到区块链上，可以有效解决传统物联网身份认证方案中易出现的单点故障问题，还实现了可追溯的匿名身份验证，添加了身份撤销功能，具有良好的安全性和功能性。

Description

一种基于区块链的物联网匿名身份认证方法及装置

技术领域

本发明涉及本发明涉及物联网技术领域。

背景技术

近年来，物联网应用爆炸式增长，物联网也更加突显出其在信息科技时代的重要性。全球物联网设备的连接数量大大增加。物联网技术的高速发展使物联网应用在日常生活的各个领域中广泛可见，并发挥着越来越重要的作用。

当前的物联网身份认证方案大多是中心化的，用受信任的第三方证明物联网用户或设备的合法性，这种认证模式容易出现单点故障问题，并且无法适应环境复杂、所需资源庞大的物联网系统，受信中心遭到其他节点恶意攻击或系统本身失灵时，不仅整个物联网系统无法正常工作，甚至还会出现隐私数据泄露的安全问题。

物联网设备接入网络进行信息共享和数据通信使得许多安全问题变得尤为突出，用于数据传输的设备一旦被攻击，就会泄露用户曾经传输过的身份认证信息。身份认证机制能保证物联网用户与设备的安全身份，从而在他们之间建立信任关系，保障通信数据的安全，限制非法设备对物联网系统的访问，避免其带来的一系列安全风险，使整个物联网系统安全可靠地运行。

区块链技术利用分布式账本存储与管理数据，新数据则要在区块链节点则通过共识算法验证后才能添加到区块链上，这就使得区块链本身就具有去中心化、防篡改和可追溯等特点，可以帮助解决如何在物联网环境中构建出去中心化的点对点网络身份认证架构的问题。

发明内容

为了解决现有物联网身份认证方法存在的上述问题，本发明提供了一种基于区块链的物联网匿名身份认证方法。

本发明为实现上述目的所采用的技术方案是：一种基于区块链的物联网匿名身份认证方法，其特征在于：包括以下步骤：

验证节点接收物联网终端发送的验证信息，其中所述验证信息是物联网终端向物联网设备发送指令时，通过用户身份加密算法发送的；

所述验证节点基于验证算法，和所述验证信息中包含的物联网终端的身份信息，判断所述物联网终端的合法性；

若所述物联网终端是合法，所述验证节点将所述身份信息发送给物联网设备，其中所述物联网设备根据所述身份信息，通过物联网设备加密算法和存储的密钥处理所述接收到的验证信息；

所述验证节点接受物联网设备发送的响应信息，其中所述响应信息是所述物联网设备根据处理过的验证信息发送的；

所述验证节点根据接收到的响应信息，通过物联网设备验证算法和自身存储的密钥处理物联网设备验证信息，验证所述物联网设备身份的合法性。

系统初始化部署步骤中注册机构初始化具体方法为：

在有限域F(p)上选择一条椭圆曲线Ep(a,b)，并在曲线上选择具有生成器P和质数n阶的循环加性群G，再选择一个随机数x∈Z*_n作为私钥，Z*_n表示整数模质数n的剩余类去掉0构成的乘法群，并且基于椭圆曲线加密，计算相对应的公钥X＝xP；注册机构还需要选择一个长期有效的主密钥K和一个安全的单向哈函数h():{0,1}^*×G→Z*_n，注册机构将私钥x和K存储到验证节点的内存中，并公布公共的系统参数{Ep、P、G、X、h}；

区块链初始化方法为：注册机构创建包含配置参数的genesis文件以建立区块链，然后注册机构选择几个受信任的合作伙伴并按照特定的共识机制启动区块链；

身份注册方法为：物联网用户和物联网设备向注册机构发送注册申请，注册机构在接收到注册申请后通过安全注册算法生成注册信息，发送给物联网用户和物联网设备，同时上传到智能合约并存储到区块链上，完成物联网用户和物联网设备的身份注册，身份注册步骤中所述的物联网用户或物联网设备注册申请信息通过以下方法生成：用户或设备自行设定用户名ID_i和密码PW_i，同时用户还需要一个随机数a，然后用户通过HPW_i＝h(PW_i|a)计算出注册申请信息，其中h(x)为哈希函数，HPW_i为用户U_i的注册申请信息；

计算并生成物联网用户或物联网设备的唯一注册信息，具体算法为：接收到注册申请信息后，注册机构首先计算K_U＝h(PW_i|K)，通过区块链溯源将K_U与现存数据比对，检查该用户之前是否注册过，若该用户已注册，则算法会返回现有注册信息序列号，将终止用户注册请求；若该用户没有注册过，则算法会返回false，注册机构将继续计算用户的关键信息，注册机构首先生成一个随机数w₁，然后计算

A₂＝w₁P，A₃＝w₁X，

得到注册信息{K_U、A₃、DID_i}，K为验证节点的主密钥，K_U表示用户密码和K或运算后再进行哈希运算后的哈希值。

身份认证之后还包括以下步骤：

S4、用户信息更新步骤：若物联网用户需要修改用户信息，物联网用户通过与注册机构交互身份验证和更新信息，注册机构保存更新后的身份信息并上传至智能合约保存到区块链中，完成用户身份信息的更新。

还包括以下步骤：

S5、用户身份撤销步骤：若物联网用户主动申请撤销身份认证信息或用户被判定为恶意节点后，注册机构根据用户唯一序列号将用户身份信息从存储单元中删除。

5.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：用户身份加密算法为：物联网用户U_i生成一个随机数R₁，选择发送命令的物联网设备G_k的身份GID_k，计算出：

V₁＝h(ID_i||R₁||K_U||M₁)，得到验证信息{A₂，M₁，V₁}；

验证算法为：验证节点收到物联网用户U_i的验证请求后，使用存储的密钥x计算A₃ ^*＝xA₂，通过A₃ ^*从区块链中检索该用户的唯一序列号，再通过该唯一序列号从区块链中检索出用户关键信息{A₃、K_U、DID_i}，并计算

得到V₁*后比对V₁*＝V₁是否成立，若不成立，则验证节点终止会话，否则验证节点对用户的身份验证成功；/>

物联网设备加密算法为：物联网设备收到用户U_i的信息{DID_i}后，物联网设备G_k生成一个随机数R₂，计算：

GV₁＝h(GID_k||R₂||GK_U||GM₁)，得到物联网设备验证信息{GA₂,GM₁,GV₁}；

物联网设备验证算法为：验证节点收到物联网设备的验证请求后，首先使用存储的密钥x计算GA₃ ^*＝xGA₂，通过GA₃ ^*从区块链中检索获得该物联网设备的唯一序列号和物联网用户序列号，进而获得物联网设备关键信息{GA₃、GK_U、GID_K}，并计算：

GV₁ ^*＝h(GID_K ^*||R₂ ^*||GK_U||GM₁)，得到GV₁*后比对GV₁*＝GV₁是否成立，若不成立，则验证节点终止会话，否则验证节点对物联网设备的身份验证成功。

所述步骤S4中，物联网用户与注册机构交互身份验证和更新信息算法为：用户设置新的用户名ID_i ^new和密码PW_i ^new，然后选择新的随机数a^new，计算HPW_i ^new＝h(PW_i ^new||a^new)发送给注册机构。注册机构生成一个新的随机数w₁ ^new，然后计算K_U ^new＝h(HPW_i ^new||K)，

A₂ ^new＝w₁ ^newP,A₃ ^new＝w₁ ^newX,/>

得到新的用户信息{K_U ^new、A₃ ^new、DID_i ^new}。

一种基于区块链的物联网匿名身份认证装置，包括存储器和处理器，存储器用于存储计算机程序，所述计算机程序用于被处理器加载时执行权利要求1所述的方法。

一种计算机可读存储介质，所述存储介质中存储有计算机程序，所述计算机程序适用于被处理器加载时执行权利要求1所述的方法

本发明的一种基于区块链的物联网匿名身份认证方法及装置，将区块链技术应用于物联网环境中，利用智能合约将用户或设备的隐私信息存储到区块链上，可以有效解决传统物联网身份认证方案中易出现的单点故障问题，还实现了可追溯的匿名身份验证，添加了身份撤销功能，具有良好的安全性和功能性。

附图说明

图1为本发明所依托的网络结构图；

图2为本发明中物联网用户注册流程图。

图3为本发明中身份认证流程图。

具体实施方式

本发明的基于区块链的物联网匿名身份认证方法及装置，其应用网络环境需要以下5部分组成：注册机构、验证节点、用户、物联网设备和区块链。具体网络拓扑如图1所示。

注册机构是一个受信任的服务器，负责对新的用户和物联网设备进行安全注册，为参与者分发密钥，并利用智能合约将这些信息记录到区块链上，以方便验证节点进行身份验证，注册机构支持对密钥的更新和身份吊销。在物联网匿名身份认证系统中，设置若干个验证节点，所有想对物联网设备发送命令的用户和要接收命令的物联网设备，都需要由验证节点对其进行身份验证。

物联网用户使用可以连接互联网的智能设备(例如智能手机和电脑)进行身份注册，对验证节点发送身份认证请求，并且对物联网设备发送控制家庭智能设备的命令。物联网设备在接收到物联网用户发送出的诸如访问或控制命令之类的相关消息并且在双方身份验证成功之后，执行相应的任务。在本文提出的系统中，物联网设备也需要向验证节点发送身份认证请求，防止恶意用户冒充物联网设备获取用户发送的控制命令，用以推断出用户的私密信息。

本发明提供的具体技术方案包括以下步骤：

系统初始化部署步骤：在计算机设备上部署用于身份认证的服务，用于提供基于区块链的物联网匿名身份认证。所述系统初始化包括注册机构服务初始化和区块链服务初始化。

身份注册步骤：物联网用户和物联网设备向注册机构发送注册申请，注册机构在接收到注册申请后通过安全注册算法生成注册信息，发送给物联网用户和物联网设备，同时上传到智能合约并存储到区块链上。完成物联网用户和物联网设备的身份注册。

身份认证步骤：当物联网用户需要向物联网设备发送指令时，首先通过用户身份加密算法将验证信息发送给验证节点，然后验证节点通过验证算法判定用户合法性，若用户为合法用户则验证节点将用户信息发送给需要接收用户指令的物联网设备。物联网设备接收到验证节点发送的用户信息后，通过物联网设备加密算法和自身存储的密钥处理用户信息数据，将处理过的物联网设备验证信息发送给验证节点，验证节点通过物联网设备验证算法和自身存储的密钥处理物联网设备验证信息，验证物联网设备身份的合法性。

用户信息更新步骤:若物联网用户需要修改用户信息，物联网用户通过与注册机构交互身份验证和更新信息，注册机构保存更新后的身份信息并上传至智能合约保存到区块链中，完成用户身份信息的更新。

用户身份撤销步骤：若物联网用户主动申请撤销身份认证信息或用户被判定为恶意节点后，注册机构根据用户唯一序列号将用户身份信息从存储单元中删除。

对于系统初始化部署步骤，注册机构需要在有限域F(p)上选择一条椭圆曲线Ep(a,b)，并在曲线上选择具有生成器P和质数n阶的循环加性群G，再选择一个随机数x∈Z*_n作为私钥，并且基于椭圆曲线加密，计算相对应的公钥X＝xP。注册机构选择一个长期有效的主密钥K和一个安全的单向哈希函数h():{0,1}^*×G→Zn*，Z*_n是跟椭圆曲线加密算法相关的一个表示法，表示整数模质数n的剩余类去掉0构成的乘法群。注册机构将私钥x和K存储到验证节点的内存中，并公布公共的系统参数{Ep、P、G、X、h}。。同时注册机构创建包含配置参数的genesis文件以建立区块链，然后注册机构选择几个受信任的合作伙伴并按照特定的共识机制(例如，POW共识、POS共识、PBFT共识)启动区块链。

对于身份注册步骤，由注册机构和用户或物联网设备交互执行。注册步骤包括物联网用户注册阶段和物联网设备注册两个部分。以物联网用户身份注册为例，注册步骤如图2所示。

要想对物联网设备发送控制命令，每个用户必须先由注册机构进行身份注册。新用户U_i设置自己的用户名ID_i和密码PW_i，生成一个随机数a，然后用户通过HPW_i＝h(PW_i|a)计算出注册申请信息，并通过安全信道将{ID_i，HPW_i}发送给注册机构。

接收到注册消息后，注册机构首先计算K_U＝h(PW_i|K)，K是验证节点的主密钥，K_U表示用户密码和K或运算后再进行哈希运算后的哈希值，其用来作为组成用户关键信息的一部分，其依据是密文策略属性基加密机制(CP-APE)，再通过向区块链输入K_U检索序列号，检查该物联网用户之前是否注册过，若该物联网用户已注册，注册机构会返回一串序列号，将终止该物联网用户注册请求；若该物联网用户没有注册过，注册机构会返回false。注册机构将继续计算物联网用户的关键信息，注册机构首先生成一个随机数w₁，然后计算

A₂＝w₁P，A₃＝w₁X，/>

注册机构再将{K_U、A₃、DID_i}上传到智能合约并存储的区块链上，并通过安全信道将数据{A₁、A₂}发送给物联网用户U_i。

物联网设备的注册过程与用户类似，物联网设备G_k将自己的用户名GID_k通过安全信道发送给注册机构。接收到注册消息后，注册机构首先通过向区块链输入GID_k检索序列号，检查该设备之前是否注册过，若该设备已注册，注册机构会返回用户唯一序列号，将终止设备注册请求；若该设备没有注册过，则注册会返回false，注册机构将继续计算物联网设备的关键信息，注册机构首先生成一个随机数w₂，然后计算GK_U＝h(GID_k||K)，

GA₂＝w₂P，A₃＝w₂X，注册机构再将{GK_U、GA₃、GID_k}上传到智能合约并存储的区块链上，通过安全信道将数据{GA₁，GA₂}发送给物联网设备Gk。

对于身份认证骤，用户要对物联网设备发送控制命令，需在用户、物联网设备和验证节点之间相互认证，并在用户和物联网设备间建立会话密钥SK来进行安全通信。这一阶段区块链为身份认证提供信任帮助，过程如图3所示。

用户U_i生成一个随机数R₁，选择出它想发送命令的物联网设备G_k的身份GID_k，计算出：

V₁＝h(ID_i||R₁||K_U||M₁)，用户U_i通过公共信道将验证信息{A₂，M₁，V₁}发送给对应的验证节点。

验证节点收到用户的验证请求后，使用存储的密钥x计算A₃ ^*＝xA₂，通过向区块链输入A₃ ^*检索该用户的唯一序列号，再通过向区块链输入用户的唯一序列号，检索获得用户关键信息{A₃、K_U、DID_i}，并计算：

V₁*＝h(ID_i ^*||R₁*||K_U||M₁)，检查V₁*＝V₁是否成立，若不成立，则验证节点终止会话，否则验证节点对用户的身份验证成功。

验证节点对用户身份验证成功后，将用户U_i的信息{DID_i}发送给物联网设备，物联网设备G_k生成一个随机数R₂，计算：

GV₁＝h(GID_k||R₂||GK_U||GM₁)，物联网设备G_k通过公共信道将验证信息{GA₂,GM₁,GV₁}发送给对应验证节点。

验证节点收到物联网设备的验证请求后，首先使用存储的密钥x计算GA₃ ^*＝xGA₂，通过向区块链输入GA₃ ^*检索该物联网设备的唯一序列号，再通过向区块链输入物联网设备的唯一序列号，检索获得物联网设备关键信息{GA₃、GK_U、GID_K}，并计算：

GV₁ ^*＝h(GID_K ^*||R₂ ^*||GK_U||GM₁)，检查GV₁*＝GV₁是否成立，若不成立，则验证节点终止会话，否则验证节点对物联网设备的身份验证成功。

对于物联网用户信息更新步骤，注册机构与物联网用户交互完成用户身份信息更新。更新之前，注册机构先要对物联网用户进行身份认证，步骤与验证节点对物联网用户的身份认证相同。

注册机构对物联网用户的身份验证成功后，物联网用户设置新的用户名ID_i ^new和密码PW_i ^new，然后选择新的随机数a^new，计算HPW_i ^new＝h(PW_i ^new||a^new)发送给注册机构。注册机构生成一个新的随机数w₁ ^new，然后计算K_U ^new＝h(HPW_i ^new||K)，

A₂ ^new＝w₁ ^newP,A₃ ^new＝w₁ ^newX,/>

注册机构将{K_U ^new、A₃ ^new、DID_i ^new}上传到智能合约，若算法返回true，则证明用户信息更新成功，再通过安全信道将数据{A₁ ^new、A₂ ^new}发送给用户。

对于用户身份撤销步骤，有两种情况可以对用户身份进行撤销，第一种是当注册机构收到用户主动撤销其身份的请求时，注册机构对该用户进行身份验证后，删除其所存储的用户信息，输入该用户的唯一序列号，将用户存储在区块链上的信息删除。第二种是注册机构检测到用户发生恶意行为，侵犯他人隐私或发布一些违法指令，注册机构有权利直接删除其所存储的用户信息，使其失去权限。

本发明的一种基于区块链的物联网匿名身份认证装置，包括存储器和处理器，存储器用于存储计算机程序，所述计算机程序用于被处理器加载时执行权利要求1所述的方法。

本发明的一种计算机可读存储介质，所述存储介质中存储有计算机程序，所述计算机程序适用于被处理器加载时执行权利要求1所述的方法。

本发明是通过实施例进行描述的，本领域技术人员知悉，在不脱离本发明的精神和范围的情况下，可以对这些特征和实施例进行各种改变或等效替换。另外，在本发明的教导下，可以对这些特征和实施例进行修改以适应具体的情况及材料而不会脱离本发明的精神和范围。因此，本发明不受此处所公开的具体实施例的限制，所有落入本申请的权利要求范围内的实施例都属于本发明的保护范围。

Claims (10)

1.一种基于区块链的物联网匿名身份认证方法，其特征在于：包括以下步骤：

验证节点接收物联网终端发送的验证信息，其中所述验证信息是物联网终端向物联网设备发送指令时，通过用户身份加密算法发送的；

所述验证节点基于验证算法，和所述验证信息中包含的物联网终端的身份信息，判断所述物联网终端的合法性；

若所述物联网终端是合法，所述验证节点将所述身份信息发送给物联网设备，其中所述物联网设备根据所述身份信息，通过物联网设备加密算法和存储的密钥处理所述接收到的验证信息；

所述验证节点接受物联网设备发送的响应信息，其中所述响应信息是所述物联网设备根据处理过的验证信息发送的；

所述验证节点根据接收到的响应信息，通过物联网设备验证算法和自身存储的密钥处理物联网设备验证信息，验证所述物联网设备身份的合法性。

2.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：系统初始化部署步骤中注册机构初始化具体方法为：

在有限域F(p)上选择一条椭圆曲线Ep(a,b)，并在曲线上选择具有生成器P和质数n阶的循环加性群G，再选择一个随机数x∈Z*_n作为私钥，Z*_n表示整数模质数n的剩余类去掉0构成的乘法群，并且基于椭圆曲线加密，计算相对应的公钥X＝xP；注册机构还需要选择一个长期有效的主密钥K和一个安全的单向哈函数h():{0,1}^*×G→Z*_n，注册机构将私钥x和K存储到验证节点的内存中，并公布公共的系统参数{Ep、P、G、X、h}；

区块链初始化方法为：注册机构创建包含配置参数的genesis文件以建立区块链，然后注册机构选择几个受信任的合作伙伴并按照特定的共识机制启动区块链；

身份注册方法：物联网用户和物联网设备向注册机构发送注册申请，注册机构在接收到注册申请后通过安全注册算法生成注册信息，发送给物联网用户和物联网设备，同时上传到智能合约并存储到区块链上，完成物联网用户和物联网设备的身份注册，身份注册步骤中所述的物联网用户或物联网设备注册申请信息通过以下方法生成：用户或设备自行设定用户名ID_i和密码PW_i，同时用户还需要一个随机数a，然后用户通过HPW_i＝h(PW_i|a)计算出注册申请信息,其中h(x)为哈希函数，HPW_i为用户U_i的注册申请信息；

计算并生成物联网用户或物联网设备的唯一注册信息，具体算法为：接收到注册申请信息后，注册机构首先计算K_U＝h(PW_i|K)，通过区块链溯源将K_U与现存数据比对，检查该用户之前是否注册过，若该用户已注册，则算法会返回现有注册信息序列号，将终止用户注册请求；若该用户没有注册过，则算法会返回false，注册机构将继续计算用户的关键信息，注册机构首先生成一个随机数w₁，然后计算

A₂＝w₁P，A₃＝w₁X，

得到注册信息{K_U、A₃、DID_i}，K为验证节点的主密钥，K_U表示用户密码和K或运算后再进行哈希运算后的哈希值。

3.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：身份认证之后还包括以下步骤：

S4、用户信息更新步骤：若物联网用户需要修改用户信息，物联网用户通过与注册机构交互身份验证和更新信息，注册机构保存更新后的身份信息并上传至智能合约保存到区块链中，完成用户身份信息的更新。

4.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：还包括以下步骤：

S5、用户身份撤销步骤：若物联网用户主动申请撤销身份认证信息或用户被判定为恶意节点后，注册机构根据用户唯一序列号将用户身份信息从存储单元中删除。

5.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：用户身份加密算法为：物联网用户U_i生成一个随机数R₁，选择发送命令的物联网设备G_k的身份GID_k，计算出：

V₁＝h(ID_i||R₁||K_U||M₁)，得到验证信息{A₂，M₁，V₁}。

6.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：验证算法为：验证节点收到物联网用户U_i的验证请求后，使用存储的密钥x计算A₃ ^*＝xA₂，通过A₃ ^*从区块链中检索该用户的唯一序列号，再通过该唯一序列号从区块链中检索出用户关键信息{A₃、K_U、DID_i}，并计算

V₁*＝h(ID_i ^*||R₁*||K_U||M₁)，得到V₁*后比对V₁*＝V₁是否成立，若不成立，则验证节点终止会话，否则验证节点对用户的身份验证成功。

7.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：物联网设备加密算法为：物联网设备收到用户U_i的信息{DID_i}后，物联网设备G_k生成一个随机数R₂，计算：

GV₁＝h(GID_k||R₂||GK_U||GM₁)，得到物联网设备验证信息{GA₂,GM₁,GV₁}；

物联网设备验证算法为：验证节点收到物联网设备的验证请求后，首先使用存储的密钥x计算GA₃ ^*＝xGA₂，通过GA₃ ^*从区块链中检索获得该物联网设备的唯一序列号和物联网用户序列号，进而获得物联网设备关键信息{GA₃、GK_U、GID_K}，并计算：

GV₁ ^*＝h(GID_K ^*||R₂ ^*||GK_U||GM₁)，得到GV₁*后比对GV₁*＝GV₁是否成立，若不成立，则验证节点终止会话，否则验证节点对物联网设备的身份验证成功。

8.根据权利要求1所述的一种基于区块链的物联网匿名身份认证方法，其特征在于：所述步骤S4中，物联网用户与注册机构交互身份验证和更新信息算法为：用户设置新的用户名

和密码

然后选择新的随机数a^new，计算

发送给注册机构，注册机构生成一个新的随机数w₁ ^new，然后计算

得到新的用户信息

9.应用于权利要求1-6的一种基于区块链的物联网匿名身份认证装置，其特征在于：包括存储器和处理器，存储器用于存储计算机程序，所述计算机程序用于被处理器加载时执行权利要求1所述的方法。

10.应用于权利要求1-6的一种计算机可读存储介质，其特征在于：所述存储介质中存储有计算机程序，所述计算机程序适用于被处理器加载时执行权利要求1所述的方法。

Images