推荐星级：

物联网移动节点直接匿名漫游认证协议

更新时间：2019-12-08 22:43:36 大小：1M 上传用户：xiaohei1810 查看TA发布的资源 标签：物联网 下载积分：1分评价赚积分（如何评价?）打赏收藏评论(0) 举报

资料介绍

无线网络下传统匿名漫游协议中远程域认证服务器无法直接完成对移动节点的身份合法性验证,必须在家乡域认证服务器的协助下才能完成,导致漫游通信时延较大,无法满足物联网感知子网的快速漫游需求.针对上述不足,提出可证安全的物联网移动节点直接匿名漫游认证协议,远程域认证服务器通过与移动节点间的1轮消息交互,可直接完成对移动节点的身份合法性验证.该协议在实现移动节点身份合法性验证的同时,具有更小的通信时延、良好的抗攻击能力和较高的执行效率.相较于传统匿名漫游协议而言,该协议快速漫游的特点更适用于物联网环境.安全性证明表明,该协议在CK安全模型下是可证安全的.

部分文件列表

文件名	大小
物联网移动节点直接匿名漫游认证协议.pdf	1M

立即下载

【关注视频号领20积分】【关注公众号立即送20积分】

部分页面预览

（完整内容请下载后查看）

E—mail：．ac．cn

软件学报ISSN 1000．9825，CODENRUXUEW

http：／／www．jos．org

Journal

ofSoftware，201 5,26(9)：2436—2450[doi：10．13328／j．cnki．jos．004712]

Tel：+86．10．62562563

木

物联网移动节点直接匿名漫游认证协议

周彦伟1,2,3杨波1,2,3

1f陕西师范大学计算机科学学院，陕西西安 710062)

2(保密通信重点实验室，四川成都610041)

3(信息安全国家重点实验室(中国科学院信息工程研究所)，北京100093)

通讯作者：杨波，E-mail：．edu．cn

无线网络下传统匿名漫游协议中远程域认证服务器无法直接完成对移动节点的身份合法性验证，必须在

摘要：

家乡域认证服务器的协助下才能完成，导致漫游通信时延较大，无法满足物联网感知子网的快速漫游需求．针对上述

不足．提出可证安全的物联网移动节点直接匿名漫游认证协议，远程域认证服务器通过与移动节点间的1轮消息交

互．可直接完成对移动节点的身份合法性验证．该协议在实现移动节点身份合法性验证的同时，具有更小的通信时

延、良好的抗攻击能力和较高的执行效率片目较于传统匿名漫游协议而言，该协议快速漫游的特点更适用于物联网

环境．安全性证明表明，该协议在CK安全模型下是可证安全的．

关键词：物联网；匿名漫游；直接认证；CK安全模型

中图法分类号：TP393

中文引用格式：周彦伟，杨波．物联网移动节点直接匿名漫游认证协议．软件学报，2015，26(9)：2436—2450．http：／／www．jos．org

on／1000．9825／4712．htm

with direct

for mobile nodes

roaming

B，Provable secure authentication

Jian XueBao／Journal of

英文引用格式：Zhou Yw，Yang

protocol

anonymity

in Internet of

service

Software，20 5，26(9)：2436—2450(in Chinese)．http：／／www．jos．org．cnY

things．Ruan

1000—9825／4712．htm

for Mobile Nodes

Provable Secure Authentication Protocol with Direct

Roaming

Anonymity

Service in Internet of

Things

ZHOUYan—Weil’2一．YANG B01，2，3

Normal

710062，China)

1(School ofComputer Science，Shaanxi

University，Xi’an

004_1，China)

Chinese

Engineering，The

and

Communication

Security Laboratory，Chengdu

2(Science

Technology

Information

00093

3(State KeyLaboratory

China)

Security(Institute

Academy^ofSciences)，Beijing

of Information

the traditional

mechanism of wireless

network，remote

mobile with the aid of home domain authentication

nodes．Thus，only

network authentication

not

Abstraet：In

roaming

server(RS)can

anonymous

authenticate the

server(HS)

directly

identity legitimacy

roaming

time

in communication and failure to meet the fast

roaming

needs

RS fulfill the

results

roaming

with

authentication，which

longer

delay

direct

above，this paper proposes

the mobile nodes

anonymous^{authentication}protocol

provable

of sensor subnets

address the defects mentioned

to fulfill the

authentication of their

secure mobile nodes in Internet of

things，enabling

legitimacy

identity through

authentication of

anonymous

not

achieves the

round of

with RS．The

this

message exchange

protocol proposed

and

paper

only

anti-attack

legitimacy

Fast also makes it more

roaming

also has shorter time

and

identity，but

delay

higher operating efficiency

good

capability

· 基金项日：国家自然科学基金f6l572303，61272436，61402275)；中国科学院信息工程研究所信息安全国家重点实验室开放课

2015-MS．10)：保密通信重点实验室基金(No．9140C110206140C11050)；中央高校基本科研业务费专项基金(No．GK201⁵

题(No

04016)；陕西师范大学优秀博士论文项目(No．X2014YB01)

收稿时问：2014．02．16：修改时间：2014．06．26；定稿时间：2014．08．02

万方数据

周彦伟等：物联网移动节点直接匿名漫游认证协议

2437

suitable for the environment ofInternet of

with the traditional

comparison

The

security proof

things

anonymous roaming protocol

model

showsthat the new_protocol

secure in the CK_securitymodel．

provably

words：Internet of

Key

things；anonymous roaming；direct authentication；CK

security

随着移动通信技术的发展，更多的用户期望得到随时随地的通信服务，促进了对无线网络环境下漫游认证

协议的研究；同时，由于无线网络中网络带宽和终端的计算能力有限，因此对无线网络环境下的漫游认证协议提

出了更高的设计要求，使得安全高效漫游认证协议的设计成为当前无线网络领域的研究热点，

文献[1—7]在对无线网络漫游需求的研究基础上，分别提出了相应的无线漫游认证协议，但上述方案的设计

思路是：首先，根据不同的应用环境定义各自的漫游需求；然后，根据需求设计兼顾效率和安全性的漫游认证协

议．文献[2—4]主要关注匿名性和不可追踪性；文献[5，6]重在实现漫游节点在远程域的本地认证，以避免DOS攻

击；文献[63J丕提出了基于动态群签名机制的本地化匿名安全漫游协议，以提供隐私保护功能；文献[7】在文献[6]

的基础上提出了具有强不可追踪性的安全漫游协议，但该协议为实现不可追踪性，在重认证时具有较大的计算

开销；上述协议拉。7J都是基于公钥加解密机制的，协议的运算量较大，无法满足无线网络对漫游认证协议的轻量

级要求．

针对上述不足，研究者相继提出了无线网络下安全高效的漫游认证协议18-"】．文献[8】提出了无线网络下安

全的匿名身份认证协议，但遗憾的是，文献[9】通过构造具体的攻击算法，证明了文献[8]中的方案易受到伪造攻

击，在文献【8]方案的基础上，文献[9】提出了移动网络下安全的匿名漫游认证协议，但是文献【10】指出，文献[9】的

方案在用户匿名性和保密性方面存在一定的缺陷；文献【1 1]提出一个无线环境下安全的匿名身份认证方案，分

析发现，该方案无法提供匿名性【111，并且能够披露合法用户的隐私信息，未能达到完美的前向保密性【131；文献

[14]提出了组合安全的无线漫游协议，该协议兼顾安全性和实际应用的可行性，实现了漫游的轻量级身份认证，

保护了漫游节点的隐私，同时具有前向安全性，即，该协议是物联网环境下的轻量级匿名漫游认证协议；文献[15】

提出一种无线Mesh网下的漫游认证协议，并基于串空间模型证明了该方案的安全性；文献[16】提出了移动网络

下抗攻击的双向匿名密钥协商协议，并分析了该协议的身份匿名性和密钥协商公平性等安全属性；文献[17】提

出了无线网络下抗攻击的匿名认证协议，该协议不仅可抵抗现有的攻击，而且具有较高的执行效率，可适用于电

池供电的无线通信系统．

上述传统的无线网络匿名漫游认证协议l}171中，移动节点漫游时，由于远程访问域认证服务器并未掌握漫

游节点的注册信息，因此，远程域认证服务器需在家乡域认证服务器的协助下完成对移动节点的身份合法性验

证，即：远程域认证服务器将移动节点的漫游证明信息发给家乡域认证服务器，由家乡域认证服务器负责验证移

动节点的身份合法性，远程域认证服务器根据家乡域认证服务器的验证反馈制定相应的决策．即：传统漫游认证

协议中，往往需要2轮消息交互才能完成对移动节点的身份合法性验证．因此，传统匿名漫游认证协议的2轮消

息交互模式具有较大的通信时延，无法满足无线网络环境对漫游机制的高效漫游需求．

近年来，随着物联网技术的兴起及发展，使得无线通信技术得到了广泛的应用．物联网是由感知子网、传输

子网和应用子网组成的混合式异构网络，一方面，其感知子网由计算和通信能力极弱的、廉价的感知节点组成，

往往使用移动节点和静态节点问合作的方式完成跨区域的信息采集及数据传输任务；另一方面，其传输骨干网

依托互联网现有的固定基础设施，共享其强大的计算、传输及信息资源服务．

在物联网感知子网中，移动节点的漫游目标域通常是随机的，鉴于物联网的未来应用趋势，移动节点的漫游

现象也必然是大量存在的，移动节点加入远程域，通过身份合法性验证后，可以任意获取远程域的一切网络资

源，在实现移动节点漫游的刚时，不能降低远程域及与之相关联的传输骨干网的安全性．因此，匿名漫游认证协

议是物联网感知子网的关键技术之～．由于物联网感知子网的计算和通信能力有限，而传统漫游协议需要2轮

消息交互，通信时延较大，那么如何在感知子网中确保安全高效快速漫游的同时完成对移动节点的身份合法性

验证，则需设计适合物联网需求的安全高效快速漫游认证协议．

如图l所示，物联网移动节点漫游认证模型主要包括移动节点(mobile node，简称MN)、节点家乡域认证服

domain authentication

server，简称HS)和节点访问的远程域认证服务器(remote

务器(home

万方数据

2015

2438

Journal

of Software软件学报V01．26，No．9，September

server，简称RS)组成，同时还包括物联网管理中心CA—IoT．在物联网感知子网中，认证服务器即为该区域的基站，

在实现对节点认证管理的同时，基站也充当了感知子网和传输骨干网的接入网关节点【l引．在图l中，对于给定的

移动节点MN而言，家乡域认证服务器即为区域彳的认证服务器(日&)，远程域认证服务器则为区域曰和区域c

的认证服务器(即R品和Rsc)．为了方便协议的描述和协议间的性能比较，下文描述物联网下移动节点的直接匿

名漫游认证协议时，将基站统称为认证服务器．

物联网感知子网中移动节点的漫游过程如图1所示。移动节点MN从初始区域A进入区域B进行数据采集，

并和区域B内的静态节点合作，将数据传送给区域曰的认证服务器R岛，由尼％通过传输骨干网发送到目标节点；

当区域曰中的数据采集完成后，节点MN从区域曰进入区域C进行采集．显然，MN若想与区域占或区域C内的

节点协作完成相关信息数据的采集及传输任务，首先，MN需要通过认证服务器尺＆和RSc的安全性检测，即，R品

和R昂需对MN的身份合法性进行验证．

model ofmobile

Internet of

Roaming ^{authentication}

nodes

Fig．1

things

图1 物联网移动节点漫游认证模型

由于物联网感知子网中节点性能的限制，物联网移动节点的匿名漫游机制除了保证移动节点身份匿名性

和不可追踪性的同时，还需兼顾以下两个方面：①感知子网中，无论移动节点还是静态节点都是资源极端受限

的，因此应尽量减轻漫游认证协议参与方的计算量，特别是移动节点的计算量；②由于物联网感知子网的带宽

相对较低，信道出错率较高，在降低消息长度的同时，应减少协议的交互轮数，以削减身份认证过程的通信时延，

实现物联网下移动节点的快速漫游需求．

针对上述问题，本文以物联网感知子网为应用环境，设计安全高效的物联网移动节点直接匿名漫游认证协

议．在该协议中，当MN成功注册时，将获得家乡域认证服务器签发的注册信息；删可基于注册信息生成漫游证

明信息，远程域认证服务器基于漫游证明信息的合法性对MN的身份合法性进行验证，同时保证了MN隐私信息

的安全性；漫游过程仅需1轮消息交互，减少了匿名漫游认证协议的消息交互轮数，降低了通信时延，并提高了协

议的执行效率；在CK安全模型下，证明本文协议是可证明安全的；相较与无线网络下现有的匿名漫游认证协

议【l¨ ”，本文协议的通信时延更小，其快速漫游的特点更加适用于物联网环境．

1基础知识

1．1安全性假设

定义l(computational

Diffie-Heuman(CDH)问题)．令q(q>2k,k为安全参数)是大素数，循环群G的阶为q,P

万方数据

周彦伟等：物联网移动节点直接匿名漫游认证协议

2439

是群G的生成元；给定P，ap，bPEG，对于任意且未知的口，b Z，CDH困难问题的目标是计算abP．

CDH假设．定义概率多项式时间算法彳解决CDH问题的优势为爿咖cDⅣ(乃=Pr[／敌P，aP，bP)=abe]．xCY-4王：

意的多项式时间算法以优势爿咖∞Ⅳ(力都是可忽略的，则称之为满足CDH假设．

定义2(离散对数(discrete logarithm，简称DL)f司题)．令q(q>2k,k为安全参数)是大素数，循环群G的阶为

q,P是群G的生成元；给定JD，apsG，对于任意且未知的a Z：，DL困难问题的目标是计算a．

DL假设．定义概率多项式时间算法彳解决DL问题的优势为Adv毗(力=Pr【硝JP，口P)=口】．对于任意的多项式

时间算法以优势Adv优(力都是可忽略的，则称之为满足DL假设．

1．2双线性映射

定义3．设群Gl和G2是阶为素数q的循环群．当映射e：Gl× G1一G2满足下列性质时，称其为双线性映射：

(1)

双线性：e(aP，bQ)=e(P，Q)口6；对于P，Q G1，el,b Z：均成立；

(2)

(3)

{E退化性：存在P，QeGl，使得e(P，Q)≠1，其中，l为G2的单位元；

可计算性：对于任意的P，Q Gl，可在多项式时间内完成e(P，Q)的计算．

1．3 CK安全模型

CK安全模型[18t01中定义了理想模型AM和现实模型UM两种攻击模型．

理想模型AM表示认证的链路模型．在AM中，攻击者是被动的，并且具有调用协议运行、查询会话密

钥、暴漏会话密钥、攻陷协议参与者以及测试会话密钥的能力；但在AM中，攻击者只能忠实地传递

同一消息一次，不能伪造、篡改或重放来自未被攻陷参与者的消息；

现实模型UM表示未认证的链路模型．在UM中，攻击者除能够执行AM中的所有攻击外，还具有伪

造、篡改和重放消息的能力，则在UM中，攻击者能够控制协议事件的调度和通信链路，同时还能够通

8,19]．

过攻击者具体的攻击手段获知协议参与者存储器中的秘密信息【1

定义4【201．设，7是运行在AM中的胛方消息驱动协议，，7是运行在UM中的门方消息驱动协议．若对于任何

UM敌手幺始终存在一个AM敌手g，使得两个协议的全局输出在计算上是不可区分的，则称协议刀在UM中

仿真了AM中的协议仃

定义512

01．编译器C是一个算法，它的输入是协议的描述，输出也是协议的描述．若一个编译器C对于任何

协议门均有协议c(Jr7)在UM中仿真且则这个编辑器称为认证器．因此，AM中的安全协议可由认证器转化为UM

中的安全协议．

定义6(会话密钥安全)【201．若对于AM中的任意敌手4当且仅当下列性质都满足时，该协议在AM中是会

话密钥安全的：

性质1．未被攻陷的参与双方完整执行协议后，参与者获得相同的会话密钥，即，协商了相同的会话密钥．

性质2．敌手崩挂行测试会话查询攻击，它猜中正确会话的概率不超过÷ +占，其中，提安全参数范围内可忽

略的任意小数．

定理l【2叭．假设2是一个消息传输认证器，即，五在UM中仿真了简单消息传输协议；假设C^是在兄的基础之上

定义的编译器，则C^也是一个认证器．

2物联网移动节点直接匿名漫游认证协议

针对传统匿名漫游认证协议存在远程域认证服务器无法直接完成对移动节点的身份合法性验证和漫游通

信时延较大的不足，本文提出可证安全的物联网移动节点直接匿名漫游认证协议．为方便本文协议的介绍，首先

在第2．1节和第2．2节简述网络认证服务器的初始化及移动节点的家乡域注册过程；然后，在第2．3节对移动节

点的直接匿名漫游过程进行详细介绍．

如图1所示：注册阶段，移动节点MN向家乡域认证服务器HS申请注册，获得由HS签发的注册信息；漫游阶

万方数据

201

2440

Journal

of Software软件学报V01．26，No．9，September

段，MN基于注册信息生成漫游证明信息，远程域认证服务器尺s基于漫游证明信息直接完成对MN的身份合法

性验证，并且完成会话密钥的安全协商．

本文可证安全的物联网移动节点直接匿名漫游认证协议的安全性基于下述假设：

假设1．各区域认证服务器均安全可信，既不会发送虚假信息，也不会利用已掌握的用户信息实施假冒攻

击，更不会随意揭示用户的真实身份；同时，认证服务器均安全保存私钥，避免密钥泄露事件的发生．

假设2．各网络认证服务器间的时间同步机制可保证消息时间戳的新鲜性及同步性．

2．1系统初始化

系统建立过程的主要操作有：

(1) 各区域认证服务器向管理中心CA—loT注册，由CA．IoT管理各认证服务器的安全性及相关事宜；

(2) CA．10T选取满足条件的q(q为大素数，且q>2k,k为安全参数)阶加法循环群Gl和乘法循环群G2，Gi

的一个生成元为尸：

定义群Gl和G2上的双线性映射e：GlxGl一G2；

定义抗碰撞的单向哈希函数：

H：G1× Z：j z：，Hl：{o，1)+× Gl xz；--ff z；，抒2：{o，1)+× Z；寸z；，玛：{o，l}‘× z；j{o，1}’；

定义非对称密钥加／解密算法EncO和DPc()；

并向各认证服务器发布基础参数Params={G1，G2，e，q，P，且Hl，马，143，Enc，Dec)；

(3) 各区域认证服务器分别产生本区域的主密钥和公开钥，妥善保管主密钥，并公开相应的系统参数．

立[1：HS选取随机数SH Z：作为HS的主密钥，则其公钥为鼢母，P，HS秘密保存主密钥％公开系统参数

{G1，G2,P，q，P，PKH，HⅣl，玩，1-13，Eric，Dec}；RS选取随机数& 乏作为RS的主密钥，则其公钥为PKR=受尸，RS秘密

保存主密钥&，公开系统参数{Gl，G2，e，q，P，P磁，EHl，凰，I-13，Enc，Dec}．

2．2节点注册本地服务域

节点注册阶段主要完成节点的家乡域注册，使节点获得家乡域认证服务器HS签发的注册信息．

(1) 删选取随机秘密数n，‘ Z：，利用身份标识∞萨生注册秘密信．息Sar=Hz(ID肼，胛)，计算RM=rlP．删产

生时戳丁k并将消。皂,Enc(PKn，∞一ls一僻一I丁彩通过安全信道发送给HS；

(2) 收到MN的注册请求后，HS验证MN的身份合法性，并为MN生成注册授权信息：

①

②

随机选取秘密数r2 Z：，计算R=RM+r2P和L=r2+S#C(其中，C=H1(囝胁胄，s彩)，则f嚣为MN生成

的注册授权信息为∞，尺)；

随机选取秘密数r Z：，为MⅣ计算临时身份TIDM=H3(IDg,r)，则MN的身份认证凭证为

AUTHEN=Enc(Sn，1DⅣ||TID一]Tsl『珏)，

其中，岛为HS的私钥，珏为身份凭证的起始时间，珏为身份凭证的结束时间，则耻B为身份凭

证的有效时长：

③

生成消息时戳％并通过安全信道将注册授权信息发送给MN9同时，HS在相应的数据库中为

朋Ⅳ建立注册信息：

(3)

MTV收到HS的应答消息后，首先用HS的公钥瞄，解密消息，验证应答消息是由其合法家乡域认证服

务器HS所发；然后，通过等式￡P+R肘=R+P犯∥(其中，C=HI(IDM,R，su))验证授权信息(￡，胄)的正确性，若

该等式成立，则注册授权信息的合法性验证通过，MN计算T=rI也，则元组(LR，C,AUTHEN)(其中，C．

Hl(IDM,R，sM))即为HS为MN基于秘密信息％签发的注册信息，MN安全保存(LR，C,AUTHEN)，并及

时销毁秘密信息s胁r1和HS签发的部分注册授权信息L，使其不对外泄漏；同时，MN从身份凭证

AUTHEN中可获得HS为其生成的临时身份信息TIDM!'可验证该临时身份信息是否与接收到的临时

身份信息相同：同时，可获知身份认证凭证的有效授权时间．

万方数据

2441

周彦伟等：物联网移动节点直接匿名漫游认证协议

2．3直接匿名漫游认证

如图2所示，在漫游阶段，MN基于注册信息生成漫游证明信息，远程域认证服务器基于漫游证明信息直接

完成对MN的身份合法性验证，并且完成会话密钥的安全协商．

远程域认证服务器

移动节点

Ⅳ)

Enc(PKRjDHllTID^dlMessagell巧)

TRl凶laig(&，引∞

。

Direct

authentication

protocol

Fig．2

anonymous roaming

图2随机的匿名漫游协议

(1)MN基于注册信息生成匿名漫游证明信息，并发送给RS；

①

MN随机选取秘密数s，Y Z，计算UM=SR，VM=sCP，WM=STP，一JP和MM=yH(Y,O)+sT；MN基于注

册信息生成的漫游证明信息为Message=(AUTHEN,‰ ‰ WM,y’Mm，其中，(‰ ‰ 为MN身

份合法性证明信息：y为会话密钥协商参数；MM为密钥协商参数的正确性验证信息4UTHEN是

HS为MN生成的身份认证凭证：

②

MN读取时间戳％后，发送消息Enc(PK。，IDH||TIDM||MessageIl％)给Rs，漫游申请消息的加

密传输保证了MN临时身份标识TIDM的安全性，因为该消息仅有其议定的远程域认证服务器

RS才能解密．

(2)RS基于MN的漫游证明消息完成对MN的身份合法性验证：

①

②

Rs用私钥品解密消息，并检查时戳的新鲜性，用HS的公钥瞄，解密AUTHEN即可获知HS和

MN的相关身份信息(记为峨和加：：，)，验证等式ID；=峨和TID*M=TIDM是否成立：若不成

立，则终止验证；否则，RS基于AUTHEN验证Message在当前时间是否有效，若AUTHEN在当前

时间已过期，则终止验证．

尺s验证漫游证明信息Message的正确性：当且仅当等式e(％厂‰ ，尸)=e(‰ ，PKH)和MMP=

肌Y，O)Y+WM都成立时，消息Message是正确的．此时，R5完成了对MN的身份合法性验证，即，RS

认为MN是其家乡域认证服务器HS上注册的合法节点．

③

④

Rs计算与MN间的会话密钥：RS随机选取秘密数X Z：，计算X=xP，则JRs与MN间的会话密钥

为‰ ．xc=H(xy’1)=日 P，1)．

尺s读取当前时间戳珏，并生成签名Sig(&，珏llX)，发送消息{TRl冈ISig(&，％l∞}给MN．在物联网

感知子网中，移动节点需漫游进入多个远程域进行数据收集，本文协议中，由于漫游证明信息

Message中不包含访问域的相关信息(即，访问域是随机选取的)，因此在AUTHEN的有效期内，

MN可重复使用Message．即：Message生成后，MN可持其向多个域的认证服务器证明其身份的

合法性．如在图1中，当MN从区域A漫游进入区域B时，JR品基于Message可验证MN的身份合

法性；MN从区域曰直接漫游进入区域C后，尺＆同样可基于Message验证MN的身份合法性；

(3)MN计算与尺S间的会话密钥，并验证RS的身份合法性：

①

MN基于签名信息Sig(&，％IIx)验证Rs的身份合法性，并检查时戳％的新鲜性．即，MTV确认尺s

是否是其议定的远程域认证服务器，实现MN与远程域认证服务器RS间的双向身份认证；

②

MN计算与尺s间的会话密钥‰ R=H(yX,1)=H(xyP，1)，则MN与尺s问协商了相同的会话密钥．

万方数据

2442

Journal

2015

of Software软件学报V01．26，No．9，September

2．4正确性

本节对协议中注册授权信息合法性验证和漫游证明信息合法性验证的正确性进行分析．

定理2．MN能够验证注册授权信息的合法性．

证明：由于等式￡P+R旷 +．罗相P+R肘=72P+品r户C+尺^广尺+P．酶∥成立，则注册授权信息∞，R)满足上述等式

口

时，MN可知HS为其生成了合法的注册授权信息．

定理3．Rs能够基于漫游证明信息Message验证MN的身份合法性．

证明：由于等式P(F％厂‰ 即=e0(7l+rz+SnC)P-s(rl+r2)P，尸)=POCP，母，P)=g(VM,PKH)和％fP_)，尸．瞰y，0)+J乃k

顶y，0)y+‰ 成立，则解密身份认证凭证AUTHEN,根据当前时间判断身份认证凭证AUTHEN的有效性，可实现

漫游证明信息Message的有效性判断．因此，若Message同时满足上述等式且AUTHEN在当前时间有效，则RS

口

认为MN是其家乡域认证服务器HS授权的合法移动节点．

3协议安全性分析及特点

3．1安全性分析

3．1．1双向身份认证

匿名漫游认证阶段，RS通过HS授权的漫游证明信息确定MN身份的合法性，即，RS通过漫游证明信息的合

法性完成对MN的身份合法性鉴别，当MN持合法证明信息进行漫游时，RS就认为MN是HS认证的合法移动

节点；MN根据RS的签名信息验证应答消息是否是其议定的远程域认证服务器所发送，完成对RS身份的合法性

验证；并且在协议交互过程中随机数的使用保证了消息的新鲜性．

3．1．2会话密钥的安全协商

RS与MN完成双向身份合法性认证的同时，完成会话密钥的安全协商，会话密钥由双方选取的随机秘密数

工和Y所决定，因此任何一方都无法伪造合法的会话密钥；同时，对随机秘密数x和y的安全存储，保证了会话密

钥的安全性；并且，秘密数的随机性保证了协商会话密钥的新鲜性；即使为了实现快速漫游，MN使用同一漫游证

明信息Message向多个远程域申请漫游，由于远程域认证服务器产生的随机秘密数互不相同，因此，MN与各远

程域协商的会话密钥各不相同．

若外部攻击者捕获了RS和MN的密钥协商参数X=xP和掣，若通过X和y计算会话密钥肛H(xyP，1)，

则其将面临求解CDH困难问题，因此，攻击者无法通过密钥协商参数完成对会话密钥的攻击；RS或MN预想通

过密钥协商参数z和J，计算对方的随机秘密数石和Y，则其将面临求解DL困难问题，因此，尺s和MN也无法获

知对方的随机秘密数．

3．1．3前／后向安全性

由于MN和RS每次使用不同的随机秘密数进行会话密钥的协商，即，会话密钥分别由互不相同的随机秘密

数生成，随机秘密数的强新鲜性保证了当MN漫游过程中某次密钥协商参数的泄露，并不会对已有和即将协商

的会话密钥的安全性造成威胁，即，本文协议中会话密钥具有完美的前后向安全性．

3．1．4抗攻击性

(1)抗伪造攻击

尺s通过等式P(％l厂‰ P)=e(Vm,PKH)和MMP=H(Y,O)Y+WM验证MN漫游证明信息Message的合法性，由于

通过等式e(WM-UM,P)=e(VM,PKH)，RS可确认WM中含有HS的系统主密钥‰ 因此，WM是无法伪造的；若对uM

和‰ 进行了伪造，由于伪造信息无法与‰ 问形成对应关系，因此等式e(啊旷UM,P)=e(VM,PKH)不成立；y和MM

同样是无法伪造的，若进行了伪造，则无法通过等式MMP=H(Y,O)Y+％的验证．因此，由于敌手无法获知HS的主

密钥曲，所以敌手的任意伪造都无法通过认证服务器的合法性验证．

(2)抗中间人攻击

由于Enc是语义安全的，攻击者无法通过MN的漫游申请消息Enc(PKR，佃ⅣIITID—lMessage)获知MN的漫

万方数据

周彦伟等：物联网移动节点直接匿名漫游认证协议

2443

游证明信息Message；若攻击者使用伪造的漫游证明信息Message’向远程域认证服务器RS申请漫游，由于伪造

信息Message’的合法性无法通过尺s的验证，协议将终止执行，则攻击者无法对本文协议进行中间人攻击．

(3)抗重放攻击

会话密钥的安全协商和秘密保存以及消息交互过程中随机数和消息时戳的使用，都具有阻止敌手进行重

放攻击的能力；同时，RS与MN间的双向身份认证同样能够抵抗敌手的重放攻击．

(4)抗替换攻击

本文协议中，移动节点MN基于身份标识生成漫游证明信息Message；同时，身份认证凭证AUTHEN中同样

包含MN的身份信息．由于攻击者无法提供正确的身份标识，所以攻击者无法使用合法MN的漫游证明信息进行

漫游申请，即，认证信息与身份间具有一一对应关系．

3．1．5身份匿名性

r1)匿名性描述

匿名漫游认证过程中，MN使用Message作为身份合法性鉴别凭证，由于漫游证明信息中不包含MN的真实

身份等隐私信息，并且经过了随机数的随机化处理，即，不同节点的漫游证明信息分别由互不相等的随机数产

生，保证了MN漫游过程的匿名性，则RS和攻击者均无法确定MN的真实身份信息．

不同的MN对应不同的临时身份标识HDM且由瓦不相同的随机参数计算产生，同时，任意合法的MN均无

法通过自己的TID_】l，计算其他MN的身份标识．MN将TID^f加密后传给RS,在实现用户真实身份∞^，对尺S匿名

的同时，又实现了对其临时身份的保护，增强临时身份的安全性．即便用户的临时身份TIDM遭泄露，攻击者也无

法获知用户的真实身份．

特别地，本文为实现用户漫游过程的高效性，注册家乡域时，HS基于MN的真实身份为其产生临时身份标识

TIDM,并将其封装在身份认证凭证AUTHEN中．对丁：RS而言，无法获知MN的真实身份．可当MN向同一RS多

次申请漫游时，尺S可将多次漫游申请关联起来，由于RS是安全可信的，则RS对漫游申请的关联并未对协议的安

全性造成影响；若MN追求漫游过程的强匿名性，则MN每次漫游之前向HS申请凭证AUTHEN,保证MN每次

漫游时所持有的临时身份标识各不相同，确保MN具有强匿名性和不可追踪性．

(2)匿名性证明

根据文献[4167关于匿名性的游戏设计，定义下述游戏，其中：集合Ju(L)是移动节点集合，且MN JM(L)；JR(L)

为认证服务器集合，且RSe山(￡)；集合的长度都均为￡．在游戏中，仿真器S将敌手彳作为子程序运行．

①

仿真器s建立系统，参与者为MN和RS；同时，s运行敌手以并回答彳的所有询问：

②彳可以激活系统中的任意参与者和询问，从而在这些参与者之上运行协议：

③彳从集合JM(L)eP随机选择MM(0 j ￡)和MNj(O ．，￡)，从集合厶(三)中选择RS,卿J有MNi，朋％

Ju(L)和RS6厶(￡)；将MM，MNj和尺S作为协议的参与者；

④

⑤

彳向s发送测试询问，输入Yg(MNi，^卵Ⅵ，R∞；

S仿真匿名漫游认证协议的两个完整运行过程：一个参与方是MNi和JRS．另一个参与方是MNj

和RS；同时，s更新每个参与方的状态信息．s随机选取6卜{O，1)：若b=0，则返回关于MNi的仿真信息；

否则，返回关于MNi的仿真信息：

⑥

收到测试询问的响应后，彳可以继续发起所有允许的攻击，以激活参与者运行协议：

⑦彳输出对b的猜测”运行终止．

在上述游戏中，如果参与者M]Vi，MNj和尺S均未被攻陷，且彳输出正确的猜测6，-6，则称彳赢得游戏．定义彳

赢得上述游戏的优势为Adv仃(彳)=1Pr[b’=b卜÷ 1．

定理4．若函数也()是抗碰撞的单向哈希函数，则优势爿咖77(两是可忽略的．

证明：若本文匿名漫游认证协议不满足匿名性，即，有敌手彳能够以不可忽略的优势爿咖7彳确在上述游戏中

口

获胜，则可以构造算法属能够以不可忽略的优势攻破抗碰撞的单向哈希函数％0的单向性．

万方数据

2015

Journal

of Software软件学报V01．26，No．9，September

算法劂哈希函数阮()的攻击过程包含下述步骤：

①

魇应性的选取身份标识询问仍预言机；

②

飚择两个不同的身份标识四。和四1，向游戏仿真者s进行飓询问，s随机选择6卜{O，1}，并返回

马(上巩)；

③

收到s返回的应答后，崩俞出对b的猜测b’．

算法筋真游戏，磁拟敌手彳的预言机，即，彳作为蹦子程序运行：

①

首先，统U建集合JM(L)和靠(￡)，其中，MⅣ 碱￡)且Rs 山(三)；

②

脯彳作为子程序激活运行，回答彳的所有询问，仿真协议运行过程中参与者激活的所有响应，并将协

议的输出返回给4

根据敌手俐0试询问中是否选择月s作为参与者，分下述两种情况讨论：

①

未选择RS，则脯机选取6’卜{0，1}作为b的猜测，并终止，则彳猜测成功的概率为=1．

②

选择了RS，痢造并返回协议运行结果：首先构造两个等长的消息％={n0)仞‰ )和M。={伟，∞‰ ．}；

然后，将％和M作为输入询问％预言机，预言机返回应答值TID6；最后，脯造消息mo={TR肖,Sig(SKR，TRI∞)和

m。={IDH，TIDb，Message，％)，鹏坍。和m1作为测试询问应答．之后，算法劂i续执行游戏，回答彳的所有询问并仿

真协议运行中参与者激活的所有响应．彳输出对b的猜测6’，∥喻出67并终止，由于敌手角皂以不可忽略的优势

4咖仃(砷在匿名性游戏中获胜，则彳猜测成功的概率为=I+Adv刀(彳)．令事件穰示敌手彳在测试询问中选择了

RS作为参与者，即Pr[纠=÷ ，则有：

Pr[彳猜测成功】=(吉+爿咖，7(彳)]Pr[绷+丢(1一Pr[纠)=i1+TAdvl7(．A)．

算法脯测成功的情况有：

①

魔过自适应询问见预言机获得应答值，根据这些知识对TID6进行猜测．此时，脯测成功的优势为

AdvⅣ：(∥)，则脯测成功的概率为=1+AdvH2(∥)；

②

脘全以随机的方式输出猜测，此时，脯测成功的概率为去．

令情况①发生的概率为易，则有：Pr[∥猜测成功】一(三+AdvH2(∥)]易+(1-易)=圭+彳dvn2(∥)易．

由于算法剧敌手彳为子程序运行，即Pr[Z猜测成功]=Pr[彳猜测成功]，则有：

吉+4咖Ⅳ：(∥) 专+4幽Ⅳ：(∥)易=了1+TAdva(．．4)．

由于AJ(均是不可忽略的，则彳西也(∥)是不可忽略的．因此，若敌手彳以不可忽略的优势Aav"(A)赢得相

关游戏，即可构造算法属能以不可忽略的优势攻破抗碰撞的单向哈希函数马()的单向性．

综上所述，本文匿名漫游认证协议满足匿名性，尺s只能验证MN是HS处注册的合法移动节点，却无法获知

MN的真实身份等隐私信息；由于MN的身份标识具有强匿名性，则其身份标识同样具有不可追踪性．

3．2协议特点

3．2．1

直接性

MN从HS处获得注册授权信息后，无需HS的参与，MN就可直接向RS进行身份合法性证明，减少了漫游认

证协议的消息交互轮数，即Rs基于漫游证明信息直接完成对MN身份合法性的验证．

3．2．2

认证性

在没有泄露MN秘密信息及其注册信息的前提下，Rs可基于Message的合法性完成对MN的身份合法性

万方数据

周彦伟等：物联网移动节点直接匿名漫游认证协议

2445

验证；若Message是合法的漫游证明信息，尺S就认为朋Ⅳ是HS上注册的合法移动节点，即，RS对MN的身份合法

性鉴别通过．

4安全性证明

本节在CK安全模型下证明本文物联网移动节点直接匿名漫游认证协议的安全性．

4．1 AM中的漫游协议

本文协议中，RS依赖MN持有的漫游证明信息鉴别MN的身份合法性．为了简化协议的证明，将协议抽象描

述为协议d协议踹述如下：

(1) 漫游请求．MN已完成本地域注册并获得HS为其签发的注册授权信息(L尺，C,AUTHEN)；MN选取秘密

随机数J，Y 乏，计算UM=sR，VM=sCP，WM=sTP，Y=yP和MM=yH(Y,O)+sT；MN向RS发送漫游请求消息：

Message=(AUTHEN,UM,yM，wM，Y，M旃l

(2) 漫游响应．RS收到MN的漫游申请后，验证漫游证明信息的合法性，若通过，则选取秘密随机数X Z：，

并计算KR—M—H(xY,1)和X=xP；最后，发送漫游响应消息％J和Sig(SR，TRl∞给MN；

(3) MN计算会话密钥K肛R=蹦1)，完成漫游申请．

定理5．当签名、非对称加密、哈希等算法均安全且难解时，协议硅AM中是会话密钥安全的．

证明：如果AM中的匿名漫游协议满足会话密钥安全定义的两个性质，则赃AM中是会话密钥安全的．

(1)在AM中，由于协议跤互过程中消息参与者没有被敌手彳攻陷，则协议执行完毕时，MN和尺S分别得

到没有篡改的密钥协商参数X=xP和y专尸．RS计算的会话密钥为‰ 一旷脚y，1)=朋砂P，1)；MN计算的会话密钥

为K肛R=朋置1)=H(xyP，1)，则有KM_月=KR．胁因此，协议蹒足会话密钥安全的性质1．

(2)对于会话密钥安全的性质2，采用反证法证明．

假设在AM中存在一个敌手确＆以不可忽略的优势碱功猜测会话密钥是真实的还是随机的，那么存在输

入为(p，qY，y．，K+)的算法届通过调用敌手儡％以不可忽略的优势区分真实会话密钥和随机值．

设猜测游戏的交互过程中敌手彳发起会话的轮数为三．具体交互过程如下：

①

②

选择随机数aE{1，2，¨ ．，三}；

调用敌手彳完成对AM中MN与尺s间匿名漫游认证协议的模拟，给彳提交P和q作为协议执行的公

共参数：

③

只要彳作为参与者，无论是参与一个新的会话密钥的建立(除第a次会话外)还是获得消息，都遵循匿

名漫游认证协议中相应参与者的执行．当一个会话结束，与之相关的密钥就要在参与者的内存中擦

除；若参与者被攻陷或会话已暴漏(除第a次会话外)，就把这个被攻陷的参与者或相应会话密钥的所

有信息提供给4

④

⑤

⑥

⑦

在第口次会话中，输入(MN,RS，口)，调用MN和尺s的会话，设MN向RS发送(删，口，，)；

JRs收到(删，日，，)后，向MN发送(Rs，口∥)；

如果MN选择会话(MN,RS，口)作为最后一次测试会话，那么向彳提供F作为询问应答；

如果会话(MN,RS，a)没有暴漏，或者选择第a轮会话之外的某一次会话作为最后一次测试会话，或者彳

没有选择测试会话就终止了，那么彳随机输出6卜{0，1}，然后终止；

⑧

如果彳终止并输出比特6’，那么麟止并也输出比特b‘．

根据彳的测试会话是否与算法脱择的一致，分两种情况讨论：

f1)敌手彳选择的测试会话和威机选择的会话相同．

在测试会话中，如果蹦输入为(p，g凡y，目，即，是真实的会话密钥协商参数和会话密钥，则给彳的询问应答就

是MN和尺s在会话a中的真实会话密钥K；如果∥的输入为p，qY，，，F)，即，是随机值，那么询问的应答也是随

万方数据

全部评论(0)

暂无评论

评论赚积分>>

上传资源上传优质资源有赏金

物联网移动节点直接匿名漫游认证协议

资料介绍

部分文件列表

部分页面预览

相关下载

全部评论(0)

热门标签

最新上传

热门下载

推荐下载

专栏首页