CN117858086A - 基于零信任网关的v2x安全认证方法、系统及装置 - Google Patents

基于零信任网关的v2x安全认证方法、系统及装置 Download PDF

Info

Publication number
CN117858086A
CN117858086A CN202410075596.5A CN202410075596A CN117858086A CN 117858086 A CN117858086 A CN 117858086A CN 202410075596 A CN202410075596 A CN 202410075596A CN 117858086 A CN117858086 A CN 117858086A
Authority
CN
China
Prior art keywords
certificate
key
node
request
zero trust
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202410075596.5A
Other languages
English (en)
Inventor
谢国琪
黄爽
石亦磊
李仁发
周声兆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hunan University
Original Assignee
Hunan University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hunan University filed Critical Hunan University
Priority to CN202410075596.5A priority Critical patent/CN117858086A/zh
Publication of CN117858086A publication Critical patent/CN117858086A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及车联网技术领域，具体公开了基于零信任网关的V2X安全认证方法、系统及装置，其中系统包括：云端服务器、零信任网关和车联网节点；车联网节点包括基于V2X设备的汽车节点和路侧单元；云端服务器用于提供证书管理与密钥管理，实现证书的颁发、更新与撤销以及密钥的生成、存储与更新，对通信节点实现授权；零信任网关用于连接云服务器与车联网内各通信节点，与汽车节点与路侧单元网络连接。采用本发明的技术方案能够提高车联网通信中的安全性，减少车云的交互，节约资源。

Description

基于零信任网关的V2X安全认证方法、系统及装置
技术领域
本发明涉及车联网技术领域，特别涉及基于零信任网关的V2X安全认证方法、系统及装置。
背景技术
车联网(VehiCle-to-Everything，V2X)通信，作为新一代信息通信技术的重要应用，实现了车辆、人员、设施等的全方位网络连接。这种连接不仅提升了车辆的智能化和自动化水平，同时也提高了交通效率和驾驶体验。然而，V2X的实现和发展也面临着一系列的安全挑战。由于V2X的基础设施与互联网紧密相连，互联网中普遍存在的安全问题也在V2X中得以体现，包括网络通信和网络终端的安全问题。
传统的网络安全模型，如基于角色、属性、任务或工作流的访问控制，面临着在V2X环境中可能无法提供充足安全性，且策略复杂性增加的问题。V2X的广泛应用使得信息交互频繁，而信息在传输过程中可能遭受窃听、篡改或阻断，这可能导致隐私泄露，甚至引发严重的交通事故。同时，V2X网络的开放性和异构性使得网络攻击者可以轻易地将V2X终端作为攻击目标，可能引发数据泄露、拒绝服务等问题。随着V2X的普及，道路交通系统的终端数量急剧增加，设备类型多样化，这进一步模糊了传统的安全边界，对网络安全带来了巨大挑战。特别是随着V2X应用的快速演进，如高级驾驶辅助系统、远程驾驶、车辆编队行驶等，对其安全性的要求也在不断提高，这迫切需要一个确保通信机密性、可用性和完整性的安全通信体系。
具体而言，当前存在的问题包括：
1.现行的车联网系统与互联网之间存在紧密的连接性，这种结构使得车联网在面临互联网攻击时，其通信和端点安全性低，尤其是那些依赖于传统的基于信任的安全模型的部分，可能会面临潜在风险；
2.由于车联网中的终端设备数量正在快速增长，汽车节点与路侧节点等不同的终端节点所需的资源类型、数量以及进行的访问行为各异，无法对各个节点进行有效访问控制；
3.在车联网架构中，车路云之间的通信会消耗相当一部分汽车与路侧单元嵌入式系统的计算资源，因此尽量减少车云之间的交互次数也是非常重要的。
为此，需要一种能够提高车联网通信中的安全性，减少车云的交互，节约资源的基于零信任网关的V2X安全认证方法、系统及装置。
发明内容
本发明的目的之一在于，提供了基于零信任网关的V2X安全认证系统，能够提高车联网通信中的安全性，减少车云的交互，节约资源。
为了解决上述技术问题，本申请提供如下技术方案：
基于零信任网关的V2X安全认证系统，包括：云端服务器、零信任网关和车联网节点；车联网节点包括基于V2X设备的汽车节点和路侧单元；
云端服务器用于提供证书管理与密钥管理，实现证书的颁发、更新与撤销以及密钥的生成、存储与更新，对通信节点实现授权；
零信任网关用于连接云服务器与车联网内各通信节点，与汽车节点与路侧单元网络连接。
进一步，所述V2X设备包括OBU设备和RSU设备；车联网节点包括基于OBU设备的汽车节点，以及基于RSU设备的路侧单元。
本发明的目的之二在于，提供基于零信任网关的V2X安全认证方法，使用上述系统，包括如下内容：
步骤一、车联网节点身份认证，包括：
S101、节点离线注册，V2X设备在加入车联网之前，通过零信任网关的注册接口进行离线注册；
S1O2、节点生成身份证书请求，完成离线注册之后，当V2X设备想要首次加入车联网，作为车联网节点时，生成基于注册密钥的EC证书请求，并将其发送给云端服务器；
S103、零信任网关身份认证，零信任网关在收到车联网节点上V2X设备上传的证书申请请求后，首先检查是否能用云端服务器保存的ECA证书的私钥，对ECA证书公钥的加密的对称密钥进行解密，解密失败则身份认证失败；解密成功则使用该密钥对请求内容进行解密，得到该请求包含的注册ID；
零信任网关将注册ID发送至密钥管理平台的数据库进行校验，如果存在该ID，则身份认证通过；
零信任网关验证节点身份后，计算该节点的信任值；根据请求中的权限与信任值进行对比，如果满足要求则向云端服务器申请EC证书，并将V2X设备作为可信节点加入车联网，作为车联网节点；
零信任网关生成响应，使用V2X设备上传的对称密钥对EC证书进行加密，附上时间戳、对称密钥的执行哈希算法获得的Hash值与响应内容的ECA证书私钥签名，重新发送至V2X设备；
S104、车联网节点验证EC证书，车联网节点上的V2X设备收到零信任网关的响应后，比对本地的对称密钥的Hash值并使用ECA证书公钥验签；
如果比对结果一致且验签成功，再对下发的时间戳进行验证，如果时间戳在可使用的范围内，则将EC证书保存；
步骤二、授权通信，包括：
S201、节点生成通信许可证书请求，当V2X设备想要发送或者接收其他设备发出的消息时，生成通信许可证书申请请求；通信许可证书申请请求信息包括申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限；
S202、零信任网关申请证书并下发，零信任网关收到车联网节点上V2X设备上传的通信许可证书申请请求后，检查是哪种设备证书的请求以及请求的时间戳，判断是否对消息进行解析；
并使用云端服务器保存的PRA证书或ARA证书的私钥，对PRA证书或ARA证书公钥的加密的对称密钥进行解密，解密失败则身份认证失败；解密成功使用该密钥对请求内容进行解密，得到该请求包含的注册种子密钥；
零信任网关根据该请求中要求访问的权限与该节点注册时提交的权限进行判断，如果满足权限则将种子密钥发送给云端服务器；
云端服务器基于当前时间生成时间戳，分别对种子签名公钥与种子加密公钥基于处理后的时间戳使用密钥衍生算法，生成若干衍生签名密钥与若干衍生加密密钥；对每张通信许可证书，使用若干衍生签名密钥私钥对证书内容进行签名，使用衍生加密公钥对该证书内容进行加密；最后将加密后的通信许可证书、衍生签名密钥公钥签名与时间戳组成一个通信许可文件，将所有申请的该文件打包成文件包，附上PRA或ARA生成的签名后发送给车联网节点；
S203、节点收到证书并实现通信，车联网节点上的V2X设备收到文件包后，比对本地的对称密钥的Hash值并使用PRA证书或ARA证书公钥验签，如果验签成功，将该文件包保存。
进一步，还包括S204、汽车节点与路侧单元需要进行通信的时候，根据每个通信许可证书中的有效时间，对本地的种子签名密钥与种子加密密钥进行扩展，获得扩展后的加密密钥与签名密钥，使用扩展后的加密密钥公钥解密获得通信许可文件里的通信许可证书，使用扩展后的签名密钥公钥验证签名，验签成功后将证书存储；
在通信中使用通信许可证书公钥对发送消息进行签名，对收到的文件进行签名验证，实现对V2X消息的安全验证。
进一步，所述步骤S101中，V2X设备通过密钥生成算法，生成注册密钥与注册ID，提交并录入密钥管理平台，并密钥管理平台设置该录入节点的访问权限等级；
设备完成注册后，零信任网关向云端服务器申请离线证书包，离线证书包包括ECA证书、PRA证书与ARA证书。
进一步，所述步骤S1O2中，EC证书请求信息包括申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限。
进一步，所述步骤S103中，零信任网关验证节点身份后，还根据申请中的权限标识与设备基本信息，根据预置的信任值的算法，计算该节点的信任值。
进一步，所述步骤S201中，通信许可证书包括PC证书与AC证书。
本发明的目的之三在于，提供基于零信任网关的V2X安全认证装置，使用上述系统。
本方案基于车路云协同场景下V2X通信体系，采用零信任理念构建安全通信机制，涵盖车联网网络中通信节点身份的合法性、通信过程的安全以及数据消息的安全。本方案通过零信任网关实现车联网中各节点与云端，各节点之间通信时进行身份认证、权限管理与访问控制；通过云端服务器实现对车联网身份认证机制中的密钥管理与证书管理，并不断生成下发假名证书，节点之间通过证书内包含的密钥实现签名与验签；各节点接入车联网与云端服务器的允许，获取资源与权限需要零信任网关的访问控制，通信需要得到云端下发的证书授权，以此实现以身份为中心的安全通信，大大提高V2X通信的安全性。
有益效果：1.车联网通信中引入零信任网关：本方案中设立零信任网关，节点获取云端服务器的资源与节点之间的通信权限都要通过零信任网关，并且根据信任值决定是否下发证书与证书的权限，大大提高了车联网通信中的安全性。
2.通过密钥衍生减少车云交互：本方案中每张通信许可证书的签名与对每张通信许可证书加密的公钥均由V2X设备提交的种子密钥生成，从而实现每次需要进行通信时可申请一张或者多张通信许可证书，减少车云的交互，实现了资源节约。
3.遵循信息安全三原则：本方案利用对称加密算法对消息数据加密保证了通信的保密性、利用通信前后对比哈希值保证了通信的完整性、在通信请求与响应中包含了时间戳保证了通信的可用性。
附图说明
图1为实施例一基于零信任网关的V2X安全认证系统车联网通信架构图。
图2为实施例二基于零信任网关的V2X安全认证方法中离线注册方式示意图；
图3为实施例二基于零信任网关的V2X安全认证方法中证书请求生成方式示意图；
图4为实施例二基于零信任网关的V2X安全认证方法中响应生成方式示意图；
图5为实施例二基于零信任网关的V2X安全认证方法中零信任网关信任值计算流程图；
图6为实施例二基于零信任网关的V2X安全认证系统中V2X设备安全通信模块的逻辑框图；
图7为实施例二基于零信任网关的V2X安全认证系统中V2X设备证书申请与使用流程示意图。
具体实施方式
下面通过具体实施方式进一步详细说明：
实施例一
V2X包含汽车对汽车(V2V)、汽车对路侧设备(V2R)、汽车对基础设施(V2I)、汽车对行人(V2P)、汽车对机车(V2M)及汽车对公交车(V2T)等六大类。
如图1所示，本实施例的基于零信任网关的V2X安全认证系统，包括云端服务器，零信任网关和车联网节点；车联网节点包括基于V2X设备的汽车节点和路侧单元。
本实施例中，V2X设备包括OBU设备和RSU设备；车联网节点包括基于OBU设备的汽车节点，以及基于RSU设备的路侧单元，也就是车联网节点通过V2X设备进行车联网内相互之间的通信。
零信任网关通过蜂窝网络(4G/5G)与车联网节点通信，通过HTTP与云端服务器通信。V2X设备通过PC5接口，通过LTE-V实现V2X设备之间的通信。
云端服务器用于提供证书管理与密钥管理，实现证书的颁发、更新与撤销以及密钥的生成、存储与更新，对通信节点实现授权；
零信任网关用于连接云服务器与车联网内各通信节点，与汽车节点与路侧单元通过C-V2X网络连接。
实施例的基于零信任网关的V2X安全认证方法，使用上述系统，包括如下内容：
步骤一、车联网节点身份认证
具体包括：
S101、节点离线注册
V2X设备在加入车联网之前，通过零信任网关注册接口进行离线注册。
具体的，V2X设备通过密钥生成算法，生成注册密钥与注册ID，提交并录入密钥管理平台，并密钥管理平台设置该录入节点的访问权限等级。设备访问权限等级每个级别对应不同的证书权限。
设备完成注册后，零信任网关向云端服务器申请离线证书包，离线证书包包括ECA证书、PRA证书与ARA证书。
ECA证书(EleCtroniC CertifiCate Authority CertifiCate)是由电子证书管理机构(EleCtroniC CertifiCate Authority，ECA)签发的数字证书，用于验证其他数字证书的有效性。PRA证书指的是假名解析机构(Pseudonym Resolution Authority，PRA)的数字证书。在车联网中，PRA负责处理和解析车辆的假名(pseudonym)信息，并提供相应的解析服务，以便其他车辆或服务提供商能够识别和与车辆进行通信。ARA证书是由授权注册机构(Authorization Registration Authority，ARA)颁发的证书。ARA是一个负责为车联网中的设备进行注册和认证的机构。它可以颁发ARA证书，这种证书可以证明设备是由ARA注册和认证的，设备可以使用ARA证书进行安全的V2X通信。
S1O2、节点生成身份证书请求
完成离线注册之后，当V2X设备想要首次加入车联网时，生成基于注册密钥的EC证书请求，并将其发送给云端服务器。
EC证书(Entity Certificate)即实体证书,是一种数字证书，用于验证车辆和其他汽车设备的身份和安全性。V2X设备生成的EC证书请求信息应包括申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限。
为了证明节点已经在云端服务器完成注册，节点中会包含S101中提交的注册ID，为了保证通信过程的机密性，V2X设备会生成对称密钥对请求进行加密，并用S101中申请的ECA证书公钥加密的对称密钥发送至零信任网关。
S103、零信任网关身份认证
零信任网关在收到车联网节点上V2X设备上传的证书申请请求后，首先检查是否能用云端保存的ECA证书的私钥，对ECA证书公钥的加密的对称密钥进行解密，解密失败则身份认证失败；解密成功则使用该密钥对请求内容进行解密，得到该请求包含的注册ID。
零信任网关将注册ID发送至密钥管理平台的数据库进行校验，如果存在该ID，则代表身份认证通过。
为了对收到节点的可信任度做一个衡量，并对其可信度进行统一管理，本实施例在零信任网关引入了基于深度学习的区块链信任值管理方法。零信任网关验证节点身份后，将根据申请中的权限标识与设备基本信息，根据深度学习关于信任值的算法，结合区块链信任值计算方法，计算该节点的信任值。
根据请求中的权限与信任值进行对比，如果满足要求则可以申请具备对应权限的EC证书。如果合法则向云端服务器申请EC证书，并将其作为可信节点加入车联网区块链网络。生成响应则使用V2X设备上传的对称密钥对证书进行加密，同时附上时间戳、对称密钥的执行哈希算法获得的Hash值与响应内容的ECA证书私钥签名，重新发送至V2X设备，保证通信的机密性、完整性与可用性。
S104、车联网节点验证EC证书
车联网节点上的V2X设备收到零信任网关的响应后，比对本地的对称密钥的Hash值并使用ECA证书公钥验签。如果比对结果一致且验签成功，确定了EC证书来自云端服务器且内容没有遭到篡改。再对下发的时间戳进行验证，如果时间戳在可使用的范围内，则将EC证书保存至本地设备负责证书管理的内存中。
步骤二、授权通信
车联网内节点在加入车联网通信体系后，会不停发送自身V2X设备在车联网中角色对应的消息，如OBU设备发送BSM消息，RSU设备发送RSI消息。为了确保消息的安全性，发送的消息会附带一个基于此类消息的生成的签名，接收方只有验证了消息签名的真实性，才会接受此类消息。
具体包括：
S201、节点生成通信许可证书请求
当V2X设备想要发送或者接收其他设备发出的消息时，需要向其余节点证明自己的安全性。为了确保汽车节点的身份的机密性，往往通过假名证书的密钥对消息进行签名。假名证书(Pseudonym Certificate)是在车联网中用于验证和管理车辆假名的数字证书。假名是一种匿名标识，用于保护车辆的隐私和身份信息。
车辆在进行通信时，使用假名代替真实身份进行标识。而为了证明路侧单元的安全性，往往通过应用证书的密钥对消息进行签名。应用证书(Application Certificate)是车联网中用于设备身份验证和安全通信的一种数字证书。下面将PC证书与AC证书统称为通信许可证书。
V2X设备生成的通信许可证书请求信息包括申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限。为了避免每次通信都需要与云端服务器进行证书申请，同时进行证书下载，V2X设备生成种子密钥进行上传。为了证明节点已经加入车联网，节点中使用身份认证通过获得的EC证书进行签名。为了保证通信过程的机密性，V2X设备生成对称密钥对请求进行加密，并用S101中申请的PRA证书或ARA证书公钥加密对称密钥后发送至零信任网关。
为了减少判断来源是OBU设备还是RSU设备的资源消耗，会在消息头中注明设备种类。
S202、零信任网关申请证书并下发
零信任网关在收到车联网节点上V2X设备上传的通信许可证书申请请求后，首先检查是哪种设备证书的请求以及请求的时间戳，判断是否对消息进行解析。并使用云端服务器保存的PRA证书或ARA证书的私钥，对PRA证书或ARA证书公钥的加密的对称密钥进行解密，解密失败则身份认证失败。解密成功使用该密钥对请求内容进行解密，得到该请求包含的注册种子密钥。
零信任网关根据该请求中要求访问的权限与该节点注册时提交的权限进行判断，如果满足权限则将种子密钥发送给云端服务器。
云端服务器基于当前时间生成时间戳，分别对种子签名公钥与种子加密公钥基于处理后的时间戳使用密钥衍生算法，生成若干衍生签名密钥与若干衍生加密密钥；对每张通信许可证书，使用若干衍生签名密钥私钥对证书内容进行签名，使用衍生加密公钥对该证书内容进行加密；最后将加密后的通信许可证书、衍生签名密钥公钥签名与时间戳组成一个通信许可文件，将所有申请的该文件打包成文件包，附上PRA或ARA生成的签名后发送给车联网节点。
S203、节点收到证书并实现通信
车联网节点上的V2X设备收到零信任网关的响应以后，比对本地的对称密钥的Hash值并使用PRA证书或ARA证书公钥验签，如果验签成功，确定通信许可证书来自云端服务器且内容没有遭到篡改，将该证书包保存至设备内存密钥存储部分中。
至此在汽车节点与路侧单元上的V2X设备运行中，需要进行通信的时候，根据每个通信许可证书中的有效时间，对本地的种子签名密钥与种子加密密钥进行扩展，获得扩展后的加密密钥与签名密钥，使用扩展加密密钥公钥解密获得通信许可文件里的通信许可证书，使用扩展签名密钥公钥验证签名，验签成功后可以将证书存进内存密钥存储部分。在通信中使用通信许可证书公钥对发送消息进行签名，对收到的文件进行签名验证，实现对V2X消息的安全验证。
本实施例还提供基于零信任网关的V2X安全认证装置，使用上述系统。
本实施例的方案采用“永不信任，始终验证”的零信任理念，以身份为中心构建安全通信体系。区别于传统车联网通信体系采用基于信任的安全模型，零信任通信体系要求加入车联网的每个节点都具备一个身份，只有身份合法的节点才可以参与车联网V2X通信，并且每次执行通信都需要经过零信任网关的认证与云服务器的授权，并根据设备的行为和环境上下文进行风险评估。零信任网关将根据节点的身份进行认证，并限制节点获取资源的种类、数量以及访问行为；而云端服务器将执行对证书管理以及密钥管理服务，两者结合实现了一套以身份为中心的访问控制机制，进而实现V2X安全通信体系的建立。
具体而已，本实施例的方案：
1.采用零信任理念构建的车路云安全通信体系，引入了基于身份为核心的身份认证与授权机制，所有汽车节点与路侧单元加入车联网以及通信都需要经过验证；
2.构建了零信任网关，对车联网节点获取云端的资源与访问权限进行了细粒度的控制，在其上部署了基于深度学习的区块链信任值计算方法，通过区块链机制确保加入车联网的节点身份的安全与不可篡改性；
3.使用了密钥衍生算法来实现一次申请多张证书的打包方法，减少了车云之间的信息交互次数，减少了车云之间交互的资源消耗。
实施例二
本实施例使用的密码学相关算法程序来自国家密码局认定的国产密码算法，所有算法代码符合中国国家密码局公钥加密标准。本发明实施中使用的对称加密算法为SM4，非对称加密算法为SM2，哈希算法与哈希消息认证算法为SM3。密钥衍生算法采用基于时间生成的混合密钥衍生算法。本发明使用的加解密算法并不局限于本实施例提出的具体实现。
本实施例的离线注册格式、证书请求生成格式与密钥衍生方式只是一种演示，实际上的格式的设定可以根据实际场景定义。
本实施例的方法，步骤S101中，节点离线注册方式，如图2所示，V2X设备会生成注册密钥A，并离线提交注册公钥ID、注册公钥A1与该节点所申请的权限等级到零信任网关注册设备。
a)注册公钥A1为使用V2X设备ID作为输入的SM2密钥生成算法生成的SM2公钥，并使用十六进制大写表示；
b)注册公钥ID的获取过程为：使用SM3算法进行计算注册公钥的Hash值，并获取散列输出的低位16位字节(即散列值的最后16个字节)作为注册公钥ID。
c)权限等级φ用1个字节表示。离线证书包的ECA证书、PRA证书与ARA证书内包含公钥均可由CA机构生成。
步骤S1O2中身份证书的请求与步骤S201中通信许可证书的请求主要区别在a)的额外材料与b)的验证签名，实现如图3所示：
a)将申请节点的基本信息I与额外申请材料一起构成密钥申请的第一层结构X1。基本信息I包括V2X设备的设备号(汽车节点为车载ID以及OBU设备SVN号，路侧单元为RSU设备的SVN号)申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限。额外材料可以是注册ID、种子签名公钥与种子加密公钥等密钥衍生材料；
b)如果节点首次加入车联网，使用注册密钥A里的私钥A2对第一层结构进行签名，获得注册私钥签名W；如果节点通过了身份认证，则使用EC证书中的签名私钥对第一层结构进行签名获得W。将签名与第一层结构一起，组成第二层请求结构X2；
c)将第二层请求结构按照ASN1格式进行编码，同时生成SM4密钥生成算法生成SM4密钥C，将第二层结构用SM4密钥C进行加密，生成最终要传输的请求密文S1。将SM4密钥C用S101中获得的ECA/PRA/ARA证书的公钥ECA-1/PRA-1/ARA-1进行加密，生成SM4密钥C的密文S2，将S1与S2共同组成身份证书请求X3。将X3附上当前时间的时间戳组成证书请求，由节点通过HTTP协议由蜂窝(4G/5G)网络发向零信任网关，从而完成证书的申请过程。
步骤S103中，零信任网关响应生成方式如图4所示，零信任网关利用网关存储的ECA证书的私钥，对申请到的证书或者文件进行签名，获得签名W。使用V2X设备上传的SM4密钥C对证书文件与签名W进行加密生成密文S。对SM4密钥C使用SM3算法获得Hash值，将密文S、Hash值与当前时间的时间戳组成响应内容，重新发送至V2X设备，保证通信的机密性、完整性与可用性。
步骤S103中，零信任网关节点计算引入基于深度学习的区块链信任值管理方法，具体包括：深度学习的V2X设备的信任值模型训练将所有历史节点类型的基本信息α(如设备类型、制造商、型号)、历史通信过程中的行为数据β(如通信频率、数据传输量、请求类型等)以及历史通信的性能指标γ(如延迟、吞吐量、可靠性等)作为对请求的评价的三个维度，并进行适当的预处理成为数据集。根据数据的特点和信任值计算的需求进行特征工程，包括选择合适的特征、进行特征缩放、处理缺失值、进行特征编码等，提取有信息量的特征以便模型能够更好地学习节点的信任模式。下一步根据信任值特点和数据的特征，传入推理引擎中，推理引擎可以加载模型文件，并提供一个API接口，用于接受输入数据，运行模型推理并返回预测结果。推理引擎训练好模型后，将模型集成到区块链网络。集成过程是将模型的调用接口封装为智能合约的一部分，然后在车联网区块链网络中执行智能合约。这个合约包含的函数能够调用模型的API接口并返回深度学习预测结果，编写好智能合约后，需要将其部署到区块链网络中。这通常涉及将合约编译为字节码，然后创建一个特殊的交易，将字节码发送到区块链网络，并打包到一个新的区块中，并被区块链网络的节点验证和确认。智能合约部署后可以调用合约中的函数，获取节点的信任分数。通过创建一个交易，指定合约的地址和要调用的函数以及函数的参数，这个交易被打包到一个新的区块中，并被车联网区块链网络的节点验证和确认。
如图5所示，零信任网关首先将收到的请求中的节点的基本信息与车联网中获取该节点或相似节点历史的通信过程中的行为数据、历史通信的性能指标提取出来，作为节点的特征向量输入智能合约中。智能合约根据其中封装的神经网络进行信任值的计算，并最终输出节点的信任值。将该车联网节点加入车联网区块链网络，并使用信任值评估节点的行为，还会随着车联网节点的行为和状态的变化，定期更新车联网节点的信任值。
本实施例中，密钥衍生算法实现包括：
V2X节点端：
通过SM2密钥生成算法生成两组密钥Ksig与Kenc，作为汽车的种子签名密钥与种子加密密钥，将两者的公钥Ksig-pub、Kenc-pub一起发送至零信任网关。
在收到零信任网关下发的证书文件之后，获取证书实际有效时间Tavailable并计算其中特定位数，Com为计算特定位数的函数：
Tcom＝Com(TTavailable)
使用密钥衍生算法，将种子签名密钥公钥Ksig-pub和时间戳的特定位数Tcom、种子加密密钥公钥Kenc-pub和时间戳的特定位数Tcom作为输入，||表示连接，根据如下公式计算：
SKsig-priv/SKenc-priv＝SM3(Tcom||Ksig-pub/Kenc-pub)；
其中，SM3算法是国密算法中的消息认证码函数，SKsig-priv/SKenc-priv是生成的哈希计算结果,也是衍生的签名密钥私钥与加密密钥私钥。
设置SM2为256位的素数域曲线，定义方程为
y^2\equivx^3+ax+b(mod\p)
设定p、a、b、n、G(xG,yG)的值,，使用生成的私钥SKsig-priv/SKenc-priv和椭圆曲线上的点乘法操作，计算对应的公钥SKsig-pub/SKenc-pub，再将公钥进行格式化并添加标识位。最后可以获得一对衍生的签名密钥SKsig与一对衍生的加密密钥SKenc并加以序号存至内存中密钥管理部分。再将生成的衍生签名密钥公钥SKsig-pub与衍生加密密钥公钥SKenc-pub用于下发通信许可文件的验签与解密。
云端：
收到种子签名公钥Ksig-pub与种子加密公钥Kenc-pub后，根据收到密钥的时间生成时间戳Tnow,对两个公钥与时间戳使用与V2X端相同的操作生成衍生的签名密钥SKsig与衍生的加密密钥SKenc。
利用签名私钥进行签名与加密。
本实施例的系统中V2X设备(包括OBU设备与RSU设备)还具有安全通信模块，如图6所示。安全通信模块兼具与其他V2X设备之间业务数据处理的功能、与零信任网关下发证书进行管理的功能以及可以实现加解密算法等安全算法的功能。
图7展示了V2X设备的功能在身份认证与授权通信上的作用与执行流程。
以上的仅是本发明的实施例，该发明不限于此实施案例涉及的领域，方案中公知的具体结构及特性等常识在此未作过多描述，所属领域普通技术人员知晓申请日或者优先权日之前发明所属技术领域所有的普通技术知识，能够获知该领域中所有的现有技术，并且具有应用该日期之前常规实验手段的能力，所属领域普通技术人员可以在本申请给出的启示下，结合自身能力完善并实施本方案，一些典型的公知结构或者公知方法不应当成为所属领域普通技术人员实施本申请的障碍。应当指出，对于本领域的技术人员来说，在不脱离本发明结构的前提下，还可以作出若干变形和改进，这些也应该视为本发明的保护范围，这些都不会影响本发明实施的效果和专利的实用性。本申请要求的保护范围应当以其权利要求的内容为准，说明书中的具体实施方式等记载可以用于解释权利要求的内容。

Claims (9)

1.基于零信任网关的V2X安全认证系统，其特征在于，包括：云端服务器、零信任网关和车联网节点；车联网节点包括基于V2X设备的汽车节点和路侧单元；
云端服务器用于提供证书管理与密钥管理，实现证书的颁发、更新与撤销以及密钥的生成、存储与更新，对通信节点实现授权；
零信任网关用于连接云服务器与车联网内各通信节点，与汽车节点与路侧单元网络连接。
2.根据权利要求1所述的基于零信任网关的V2X安全认证系统，其特征在于：所述V2X设备包括OBU设备和RSU设备；车联网节点包括基于OBU设备的汽车节点，以及基于RSU设备的路侧单元。
3.基于零信任网关的V2X安全认证方法，使用权利要求1-2任一项所述的系统，其特征在于，包括如下内容：
步骤一、车联网节点身份认证，包括：
S101、节点离线注册，V2X设备在加入车联网之前，通过零信任网关的注册接口进行离线注册；
S1O2、节点生成身份证书请求，完成离线注册之后，当V2X设备想要首次加入车联网，作为车联网节点时，生成基于注册密钥的EC证书请求，并将其发送给云端服务器；
S103、零信任网关身份认证，零信任网关在收到车联网节点上V2X设备上传的证书申请请求后，首先检查是否能用云端服务器保存的ECA证书的私钥，对ECA证书公钥的加密的对称密钥进行解密，解密失败则身份认证失败；解密成功则使用该密钥对请求内容进行解密，得到该请求包含的注册ID；
零信任网关将注册ID发送至密钥管理平台的数据库进行校验，如果存在该ID，则身份认证通过；
零信任网关验证节点身份后，计算该节点的信任值；根据请求中的权限与信任值进行对比，如果满足要求则向云端服务器申请EC证书，并将V2X设备作为可信节点加入车联网，作为车联网节点；
零信任网关生成响应，使用V2X设备上传的对称密钥对EC证书进行加密，附上时间戳、对称密钥的执行哈希算法获得的Hash值与响应内容的ECA证书私钥签名，重新发送至V2X设备；
S104、车联网节点验证EC证书，车联网节点上的V2X设备收到零信任网关的响应后，比对本地的对称密钥的Hash值并使用ECA证书公钥验签；
如果比对结果一致且验签成功，再对下发的时间戳进行验证，如果时间戳在可使用的范围内，则将EC证书保存；
步骤二、授权通信，包括：
S201、节点生成通信许可证书请求，当V2X设备想要发送或者接收其他设备发出的消息时，生成通信许可证书申请请求；通信许可证书申请请求信息包括申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限；
S202、零信任网关申请证书并下发，零信任网关收到车联网节点上V2X设备上传的通信许可证书申请请求后，检查是哪种设备证书的请求以及请求的时间戳，判断是否对消息进行解析；
并使用云端服务器保存的PRA证书或ARA证书的私钥，对PRA证书或ARA证书公钥的加密的对称密钥进行解密，解密失败则身份认证失败；解密成功使用该密钥对请求内容进行解密，得到该请求包含的注册种子密钥；
零信任网关根据该请求中要求访问的权限与该节点注册时提交的权限进行判断，如果满足权限则将种子密钥发送给云端服务器；
云端服务器基于当前时间生成时间戳，分别对种子签名公钥与种子加密公钥基于处理后的时间戳使用密钥衍生算法，生成若干衍生签名密钥与若干衍生加密密钥；对每张通信许可证书，使用若干衍生签名密钥私钥对证书内容进行签名，使用衍生加密公钥对该证书内容进行加密；最后将加密后的通信许可证书、衍生签名密钥公钥签名与时间戳组成一个通信许可文件，将所有申请的该文件打包成文件包，附上PRA或ARA生成的签名后发送给车联网节点；
S203、节点收到证书并实现通信，车联网节点上的V2X设备收到文件包后，比对本地的对称密钥的Hash值并使用PRA证书或ARA证书公钥验签，如果验签成功，将该文件包保存。
4.根据权利要求3所述的基于零信任网关的V2X安全认证方法，其特征在于：还包括S204、汽车节点与路侧单元需要进行通信的时候，根据每个通信许可证书中的有效时间，对本地的种子签名密钥与种子加密密钥进行扩展，获得扩展后的加密密钥与签名密钥，使用扩展后的加密密钥公钥解密获得通信许可文件里的通信许可证书，使用扩展后的签名密钥公钥验证签名，验签成功后将证书存储；
在通信中使用通信许可证书公钥对发送消息进行签名，对收到的文件进行签名验证，实现对V2X消息的安全验证。
5.根据权利要求4所述的基于零信任网关的V2X安全认证方法，其特征在于：所述步骤S101中，V2X设备通过密钥生成算法，生成注册密钥与注册ID，提交并录入密钥管理平台，并密钥管理平台设置该录入节点的访问权限等级；
设备完成注册后，零信任网关向云端服务器申请离线证书包，离线证书包包括ECA证书、PRA证书与ARA证书。
6.根据权利要求5所述的基于零信任网关的V2X安全认证方法，其特征在于：所述步骤S1O2中，EC证书请求信息包括申请的证书的种类、请求生成时间、证书有效时间、可使用地域以及可在应用程序中使用的权限。
7.根据权利要求6所述的基于零信任网关的V2X安全认证方法，其特征在于：所述步骤S103中，零信任网关验证节点身份后，还根据申请中的权限标识与设备基本信息，根据预置的信任值的算法，计算该节点的信任值。
8.根据权利要求7所述的基于零信任网关的V2X安全认证方法，其特征在于：所述步骤S201中，通信许可证书包括PC证书与AC证书。
9.基于零信任网关的V2X安全认证装置，其特征在于，使用权利要求1-2任一项所述的系统。
CN202410075596.5A 2024-01-18 2024-01-18 基于零信任网关的v2x安全认证方法、系统及装置 Pending CN117858086A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202410075596.5A CN117858086A (zh) 2024-01-18 2024-01-18 基于零信任网关的v2x安全认证方法、系统及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202410075596.5A CN117858086A (zh) 2024-01-18 2024-01-18 基于零信任网关的v2x安全认证方法、系统及装置

Publications (1)

Publication Number Publication Date
CN117858086A true CN117858086A (zh) 2024-04-09

Family

ID=90541913

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202410075596.5A Pending CN117858086A (zh) 2024-01-18 2024-01-18 基于零信任网关的v2x安全认证方法、系统及装置

Country Status (1)

Country Link
CN (1) CN117858086A (zh)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553568A (zh) * 2022-02-25 2022-05-27 重庆邮电大学 一种基于零信任单包认证与授权的资源访问控制方法
CN115499177A (zh) * 2022-08-30 2022-12-20 新华三技术有限公司 云桌面访问方法、零信任网关、云桌面客户端和服务端

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553568A (zh) * 2022-02-25 2022-05-27 重庆邮电大学 一种基于零信任单包认证与授权的资源访问控制方法
CN115499177A (zh) * 2022-08-30 2022-12-20 新华三技术有限公司 云桌面访问方法、零信任网关、云桌面客户端和服务端

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
车联网身份认证和安全信任工作专家委员会: "车联网身份认证和安全信任试点技术指南（1.0）", 《HTTP://WWW.CAICT.AC.CN/XWDT/YNXW/202109/P020210924326795055693.PDF》, 30 September 2021 (2021-09-30), pages 3 - 7 *

Similar Documents

Publication Publication Date Title
Liu et al. Efficient privacy-preserving dual authentication and key agreement scheme for secure V2V communications in an IoV paradigm
Ma et al. An efficient decentralized key management mechanism for VANET with blockchain
CN109687976B (zh) 基于区块链与pki认证机制的车队组建及管理方法及系统
CN108768652B (zh) 一种可抗量子攻击的联盟区块链底层加密方法
Horng et al. b-SPECS+: Batch verification for secure pseudonymous authentication in VANET
Feng et al. P2BA: A privacy-preserving protocol with batch authentication against semi-trusted RSUs in vehicular ad hoc networks
Mei et al. Blockchain-enabled privacy-preserving authentication mechanism for transportation CPS with cloud-edge computing
CN112399382A (zh) 基于区块链网络的车联网认证方法、装置、设备和介质
CN113596778A (zh) 一种基于区块链的车联网节点匿名认证方法
CN106330910A (zh) 车联网中基于节点身份和信誉的强隐私保护双重认证方法
CN110830245B (zh) 基于身份秘密共享和隐式证书的抗量子计算分布式车联网方法及系统
CN105577383A (zh) 密码密钥的管理
Roman et al. Authentication protocol in CTNs for a CWD-WPT charging system in a cloud environment
CN114036539A (zh) 基于区块链的安全可审计物联网数据共享系统及方法
CN116032495B (zh) 基于智慧交通系统的车云协同安全传输数据异常检测方法
CN115580488A (zh) 基于区块链和物理不可克隆函数的车载网消息认证方法
CN114286332A (zh) 一种具有隐私保护的动态高效车载云管理方法
Rajkumar et al. An elliptic curve cryptography based certificate-less signature aggregation scheme for efficient authentication in vehicular ad hoc networks
Zhang et al. Authentication methods for internet of vehicles based on trusted connection architecture
Li et al. A Privacy‐Preserving Authentication Scheme for VANETs with Exculpability
Sun et al. Anonymous authentication and key agreement scheme combining the group key for vehicular ad hoc networks
CN114091009A (zh) 利用分布式身份标识建立安全链接的方法
Lai et al. SPGS: a secure and privacy‐preserving group setup framework for platoon‐based vehicular cyber‐physical systems
Das et al. Design of a trust-based authentication scheme for blockchain-enabled iov system
CN116033414B (zh) 一种VANETs隐私保护方法和设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination