邊緣計(jì)算場(chǎng)景下的異構(gòu)終端安全接入技術(shù)研究

馬媛媛，劉周斌 ，汪自翔

1.全球能源互聯(lián)網(wǎng)研究院 信息通信研究所，南京 210000

2.信息網(wǎng)絡(luò)安全國(guó)網(wǎng)重點(diǎn)實(shí)驗(yàn)室，南京 210000

3.國(guó)網(wǎng)浙江省電力有限公司 雙創(chuàng)中心，杭州 310000

4.國(guó)網(wǎng)浙江省電力有限公司 電力科學(xué)研究院，杭州 310000

1 引言

在過(guò)去十年中，云計(jì)算[1-2]通過(guò)為客戶提供一系列計(jì)算服務(wù)，為企業(yè)提供了許多機(jī)會(huì)。“隨用隨付”云計(jì)算模式成為擁有和管理面向Web 應(yīng)用程序和批處理的客戶的私有數(shù)據(jù)中心的有效替代方案。云計(jì)算使企業(yè)及其最終用戶免于許多細(xì)節(jié)的規(guī)范，例如存儲(chǔ)資源、計(jì)算限制和網(wǎng)絡(luò)通信成本，但是無(wú)法滿足延遲敏感的應(yīng)用程序要求附近的節(jié)點(diǎn)滿足其延遲的要求。當(dāng)物聯(lián)網(wǎng)的技術(shù)和設(shè)備越來(lái)越多地涉及人們的生活，數(shù)百萬(wàn)這樣的設(shè)備獲得服務(wù)時(shí)，當(dāng)前的云計(jì)算架構(gòu)很難滿足他們對(duì)移動(dòng)性支持、位置感知和低延遲的要求。

邊緣計(jì)算層[3-4]是終端用戶（網(wǎng)絡(luò)邊緣）和云之間的一層中間層，可以使網(wǎng)絡(luò)空間中遠(yuǎn)離邊緣計(jì)算的云服務(wù)有更廣泛的范圍內(nèi)。在邊緣計(jì)算中，服務(wù)可以依托在終端設(shè)備上。這種新的多層分布式計(jì)算的基礎(chǔ)設(shè)施允許應(yīng)用程序盡可能接近地運(yùn)行，以感知來(lái)自人們的操作和大量數(shù)據(jù)。云計(jì)算和邊緣計(jì)算都為邊緣計(jì)算提供數(shù)據(jù)、計(jì)算、存儲(chǔ)和應(yīng)用服務(wù)。然而，邊緣計(jì)算與終端用戶更加接近，人們通常通過(guò)密集的地理分布和對(duì)移動(dòng)性的支持將其與云計(jì)算區(qū)分開(kāi)來(lái)。邊緣計(jì)算節(jié)點(diǎn)服務(wù)器部署在移動(dòng)用戶的本地區(qū)域中，例如商場(chǎng)、公交總站和公園等，通常以分布式的結(jié)構(gòu)分布，有著廣泛的應(yīng)用。

邊緣計(jì)算節(jié)點(diǎn)服務(wù)器（中間網(wǎng)絡(luò)組件）可確保云計(jì)算和邊緣計(jì)算中相應(yīng)移動(dòng)用戶之間的連接。移動(dòng)用戶可以在邊緣計(jì)算節(jié)點(diǎn)的架構(gòu)中從邊緣計(jì)算節(jié)點(diǎn)服務(wù)器提供的服務(wù)中獲利，不再需要通過(guò)云搜索，因此他們可以享受高速的本地連接。在設(shè)計(jì)邊緣計(jì)算系統(tǒng)時(shí)需要特別注意在邊緣計(jì)算層和終端設(shè)備層中的安全問(wèn)題。身份驗(yàn)證是安全防范中必須考慮的基本問(wèn)題，它可以避免虛假邊緣計(jì)算節(jié)點(diǎn)/服務(wù)器假裝成合法節(jié)點(diǎn)。邊緣計(jì)算節(jié)點(diǎn)通常缺少身份驗(yàn)證服務(wù)[5]，虛假邊緣計(jì)算節(jié)點(diǎn)/服務(wù)器將假裝是合法的邊緣計(jì)算節(jié)點(diǎn)/服務(wù)器以供邊緣計(jì)算用戶連接。連接成功后，攻擊者可以操縱來(lái)自終端用戶或云用戶的傳入和傳出請(qǐng)求，隱秘地收集或篡改用戶數(shù)據(jù)，并輕松地發(fā)起進(jìn)一步的攻擊。因此虛假邊緣計(jì)算節(jié)點(diǎn)或服務(wù)器的存在對(duì)用戶數(shù)據(jù)安全和隱私構(gòu)成嚴(yán)重威脅。

在一些相關(guān)文獻(xiàn)中，已經(jīng)有學(xué)者針對(duì)云環(huán)境和移動(dòng)云計(jì)算MCC提出了各種認(rèn)證技術(shù)[6-10]。大多數(shù)傳統(tǒng)的認(rèn)證方案不適用于移動(dòng)設(shè)備，所以一些學(xué)者將ECC 用于其有限的計(jì)算資源中?；跈E圓曲線密碼系統(tǒng)（ECC）的遠(yuǎn)程認(rèn)證方案已經(jīng)用于云互聯(lián)網(wǎng)和遠(yuǎn)程設(shè)備。例如，Chen 等人提出了一種基于身份的遠(yuǎn)程相互認(rèn)證方案，該方案具有針對(duì)ECC 上的遠(yuǎn)程設(shè)備的密鑰協(xié)商方案。另有學(xué)者通過(guò)使用雙線性配對(duì)為MCC服務(wù)提出了一種有效的隱私感知認(rèn)證PAA方案。在文獻(xiàn)[11]中，相關(guān)學(xué)者使用雙線性配對(duì)密碼系統(tǒng)和安全硬件，如智能卡、生成器來(lái)加強(qiáng)分布式移動(dòng)云計(jì)算中用戶的認(rèn)證。其他的相關(guān)工作在文獻(xiàn)[7-9]中也有提及，包括遠(yuǎn)程云用戶-服務(wù)器認(rèn)證框架中的匿名性，其中用戶和服務(wù)器的相互認(rèn)證并建立會(huì)話密鑰而不在公共信道上公開(kāi)用戶的原始身份。這些解決方案考慮了云用戶-服務(wù)器相互認(rèn)證的遠(yuǎn)程問(wèn)題，但沒(méi)有考慮中間層霧計(jì)算。

在云霧系統(tǒng)中保留用戶身份至關(guān)重要，以防止泄露邊緣計(jì)算用戶的某些個(gè)人敏感數(shù)據(jù)。然而，在文獻(xiàn)[12]中Ibrahim 的方案為端-邊緣-云網(wǎng)絡(luò)架構(gòu)提供了安全有效的相互認(rèn)證方案，但并不能保護(hù)用戶的匿名性。在相互認(rèn)證階段，霧用戶的身份通過(guò)公共信道公開(kāi)傳輸。在文獻(xiàn)[13]中，Jebri 等人設(shè)計(jì)了一個(gè)安全通用模型，以確保物聯(lián)網(wǎng)和無(wú)線傳感器網(wǎng)絡(luò)WSN中節(jié)點(diǎn)之間的匿名通信。該模型通過(guò)使用基于偽名加密（PBC）機(jī)制的虛擬ID來(lái)解決身份公開(kāi)的問(wèn)題。

在本文中，以“端-邊緣-云”為整體的網(wǎng)絡(luò)架構(gòu)，側(cè)重邊緣計(jì)算的場(chǎng)景，提出邊緣計(jì)算場(chǎng)景下多級(jí)匿名接入認(rèn)證的通信方案。本文的解決方案在于引入邊緣用戶進(jìn)行接入認(rèn)證時(shí)可以多級(jí)匿名的認(rèn)證方案，其中邊緣用戶和邊緣計(jì)算服務(wù)器相互認(rèn)證并建立會(huì)話密鑰而不泄露用戶的真實(shí)身份。此外，只要邊緣用戶想要在相同的計(jì)算環(huán)境中從一個(gè)服務(wù)器移動(dòng)到另一個(gè)服務(wù)器，就可以確保輕量級(jí)認(rèn)證，移動(dòng)的過(guò)程中不必移動(dòng)身份驗(yàn)證的服務(wù)器。

2 相關(guān)理論基礎(chǔ)

2.1 密碼學(xué)基礎(chǔ)

常見(jiàn)的加密算法分為對(duì)稱加密算法和非對(duì)稱加密算法。對(duì)稱加密算法是一種傳統(tǒng)的加密算法，消息的發(fā)送方使用對(duì)稱的加解密密鑰和加密算法對(duì)明文進(jìn)行處理，將明文變成復(fù)雜的加密密文再發(fā)送出去[14]。接收方接收到加密密文后，使用相同的加密密鑰和同一種加密算法的逆算法對(duì)密文進(jìn)行解密，才能得到想要的明文數(shù)據(jù)。在對(duì)稱加密算法中，數(shù)據(jù)的發(fā)送方和接收方使用相同的密鑰對(duì)要發(fā)送的明文進(jìn)行加解密，所以對(duì)稱加密算法要求數(shù)據(jù)的接收方事先知道加密密鑰。常見(jiàn)的對(duì)稱加密算法主要有DES 算法、3DES 算法、TDEA 算法、RC5算法、Blowfish算法和IDEA算法等。

1976年Diffie W和Hellman M的文章“New Direction in Cryptography”提出了一個(gè)新的概念：非對(duì)稱密碼體制即公開(kāi)密鑰密碼體制。這一概念使得密碼學(xué)研究有了新的方向[15]。作為一種新的密鑰保密方法，非對(duì)稱加密算法需要兩個(gè)不同的密鑰，分別是公開(kāi)密鑰（publickey）和私有密鑰（privatekey）。若使用私有密鑰對(duì)數(shù)據(jù)進(jìn)行加密，則只有相對(duì)應(yīng)的公開(kāi)密鑰才能解密該數(shù)據(jù)；若使用公開(kāi)密鑰對(duì)數(shù)據(jù)加密，只有相對(duì)應(yīng)的私有密鑰才能解密該數(shù)據(jù)。由于非對(duì)稱加密的加密解密過(guò)程復(fù)雜，使得其速度遠(yuǎn)遠(yuǎn)慢于對(duì)稱加密。常見(jiàn)的非對(duì)稱加密算法主要有RSA、Elgamal 算法、Rabin 算法和ECC（橢圓曲線加密算法），其中Elgamal和RSA算法的使用最為廣泛。

2.2 IBC標(biāo)識(shí)密碼

1984 年Shamir 提出身份標(biāo)識(shí)密碼技術(shù)（Identity-Based Cryptograph，IBC）。IBC是一種基于標(biāo)識(shí)的非對(duì)稱加密的公鑰密碼體系[16]。IBC體系是PKI密碼體系的最新發(fā)展，它除了保留有PKI 的技術(shù)優(yōu)點(diǎn)外，主要解決了在具體安全應(yīng)用中PKI 需要大量交換數(shù)字證書(shū)的問(wèn)題，使安全應(yīng)用更加易于部署和使用。其最主要特點(diǎn)是系統(tǒng)中不再需要數(shù)字證書(shū)的存在，取而代之的是使用用戶的身份標(biāo)識(shí)作為加密的公鑰，如姓名、IP地址、電子郵箱地址、手機(jī)號(hào)碼。用戶的私鑰則是由密鑰生成中心（Key Generate Center，KGC）根據(jù)系統(tǒng)主密鑰和用戶的身份標(biāo)識(shí)計(jì)算得出。用戶的公鑰由用戶唯一的身份標(biāo)識(shí)來(lái)確定，從而不需要第三方來(lái)保證公鑰的真實(shí)性。但I(xiàn)BC體系概念剛被提出時(shí)，只停留在思想層面的理論階段，并未出現(xiàn)具體的實(shí)施方案。之后IBC體系又經(jīng)歷了近20多年的實(shí)現(xiàn)論證。

3 邊緣計(jì)算場(chǎng)景下匿名認(rèn)證方案

本文結(jié)合邊緣計(jì)算“云-邊-端”三層體系結(jié)構(gòu)，提出了一個(gè)輕量級(jí)的邊緣計(jì)算場(chǎng)景下終端匿名安全通信方案，本文方案包含了終端設(shè)備的接入認(rèn)證以及傳輸數(shù)據(jù)的安全性校驗(yàn)，下面就認(rèn)證方案進(jìn)行詳細(xì)闡述。

3.1 網(wǎng)絡(luò)模型

通過(guò)在邊緣計(jì)算終端設(shè)備和云之間引入中間層來(lái)擴(kuò)展基于云的互聯(lián)網(wǎng)架構(gòu)，旨在幫助用戶實(shí)現(xiàn)從云到邊緣的平滑、低延遲的服務(wù)交付，因此產(chǎn)生了三層“云-邊-端”的體系架構(gòu)。云層的云服務(wù)器由云服務(wù)提供商（CSP）提供，這是一個(gè)被稱為云的注冊(cè)中心的特殊服務(wù)器，負(fù)責(zé)將云用戶注冊(cè)到云層，并且邊緣計(jì)算里一些邊緣用戶由這個(gè)特定的云服務(wù)器管理。因此，如圖1所示，在注冊(cè)中心的權(quán)限下有幾個(gè)位置，對(duì)于這其中的每個(gè)位置，有一組邊緣計(jì)算服務(wù)器/節(jié)點(diǎn)，ES={ES1,ES2,…,ESn}。ES直接與終端設(shè)備通信EU={EU1,EU2,…}，在其位置使用現(xiàn)成的無(wú)線接口通過(guò)單跳無(wú)線連接，如WiFi、Zigbee，甚至藍(lán)牙。借助邊緣計(jì)算網(wǎng)關(guān)和預(yù)先緩存的內(nèi)容，這些節(jié)點(diǎn)可以獨(dú)立地為終端設(shè)備提供預(yù)定義的服務(wù)應(yīng)用程序，而無(wú)需云或Internet 的幫助。另一方面，一個(gè)邊緣計(jì)算節(jié)點(diǎn)ES可以連接到云，以便于使用云的豐富功能和應(yīng)用工具。

圖1 邊緣計(jì)算網(wǎng)絡(luò)模型

邊緣計(jì)算節(jié)點(diǎn)的動(dòng)態(tài)連接和離開(kāi)。與云服務(wù)器不同，邊緣計(jì)算服務(wù)器/節(jié)點(diǎn)在加入和離開(kāi)時(shí)是動(dòng)態(tài)的。不同地方的服務(wù)器（例如小區(qū)、公交站、電表等）可能是在任何時(shí)候添加到（或從中移除）邊緣側(cè)，這是時(shí)常會(huì)發(fā)生。這些新添加的服務(wù)器提供的服務(wù)仍必須可供注冊(cè)用戶使用。必須從邊緣計(jì)算用戶的角度以有效的方式處理邊緣計(jì)算節(jié)點(diǎn)的這個(gè)屬性。邊緣計(jì)算的這種動(dòng)態(tài)變化必須對(duì)邊緣計(jì)算終端設(shè)備透明，即邊緣計(jì)算終端設(shè)備仍然必須能夠與新加入的邊緣計(jì)算節(jié)點(diǎn)進(jìn)行相互認(rèn)證，與此同時(shí)邊緣計(jì)算終端設(shè)備無(wú)需重新注冊(cè)任何參數(shù)，也不增加終端的復(fù)雜性。

3.2 方案流程

一個(gè)邊緣計(jì)算場(chǎng)景下的多級(jí)匿名接入認(rèn)證方案包含3 個(gè)支持概率多項(xiàng)式時(shí)間的算法，為了便于描述，首先對(duì)本方案中涉及的符合進(jìn)行說(shuō)明，如表1所示。

表1 方案中涉及符號(hào)的含義

3.2.1 初始化階段

初始化算法由云平臺(tái)執(zhí)行，通過(guò)輸入λ比特長(zhǎng)度的安全參數(shù)，算法輸出公共參數(shù)PP，公共參數(shù)由方案中的所有參與實(shí)體間共享，具體包含如下步驟：

（1）云平臺(tái)的注冊(cè)中心通過(guò)λ比特長(zhǎng)度的安全參數(shù)選取階為q的循環(huán)群G和大整數(shù)群Zq?，群的生成元為g，選取不同的Hash函數(shù)，H0:G×G→Zq?。

（2）隨機(jī)選取兩個(gè)安全參數(shù)n和k，從群中計(jì)算生成兩個(gè)長(zhǎng)度為n/k位的兩個(gè)素?cái)?shù)p和m，使得gcd((p-1),(m-1))=2。然后，計(jì)算N=p(k-1)?m。

3.2.2 設(shè)備注冊(cè)階段

在邊緣計(jì)算場(chǎng)景下，每一個(gè)邊緣計(jì)算終端設(shè)備EU及邊緣服務(wù)器ES均擁有其唯一的標(biāo)識(shí)信息IDEU和IDES，終端設(shè)備均憑借其唯一的身份標(biāo)識(shí)信息IDEU向云平臺(tái)發(fā)送注冊(cè)請(qǐng)求。

（1）云平臺(tái)首先通過(guò)偽隨機(jī)函數(shù)生成器隨機(jī)生成一組偽隨機(jī)數(shù)a1,a2,…,az∈，然后根據(jù)終端設(shè)備的身份信息IDEU為其生成公鑰信息MKEU={MKEU,1,MKEU,i,…,MKEU,z} ，其中MKEU,i=gai，以及匿名的身份信息PIDEU={PIDEU,1,PIDEU,i,…,PIDEU,z} ，其中PIDEU,i=H0((IDEU||IDES)⊕MKEU,i)，以此來(lái)保證終端設(shè)備的真實(shí)身份信息隱藏在匿名身份中。

（2）通過(guò)公式（1）計(jì)算生成兩個(gè)秘密值KEU和KES，然后通過(guò)遍歷尋找整數(shù)d，使得d=KEUmod(p-1)=KESmod(m-1)，最后，計(jì)算e使得e=d-1mod(φ(N))，云平臺(tái)的注冊(cè)中心中心將＜MKEU,PIDEU,KEU ＞通過(guò)安全信道返回給終端設(shè)備中。

（3）云平臺(tái)生成終端設(shè)備的匿名身份多項(xiàng)式acc(x)=，多項(xiàng)式的系數(shù)可以通過(guò)集合{g1,gs,gs2,…,gsz}進(jìn)行表示，對(duì)于邊緣計(jì)算節(jié)點(diǎn)，云平臺(tái)將相應(yīng)的已注冊(cè)終端設(shè)備的匿名身份信息集合Set_PID、KES發(fā)送給邊緣計(jì)算節(jié)點(diǎn)，并利用自己的私鑰進(jìn)行簽名，如下：

（4）最后，邊緣計(jì)算節(jié)點(diǎn)接收到云平臺(tái)發(fā)送的信息并驗(yàn)證簽名后，通過(guò)私鑰進(jìn)行解密并將已注冊(cè)終端設(shè)備的身份信息存儲(chǔ)于本地。

3.2.3 接入認(rèn)證階段

身份認(rèn)證階段起始于已注冊(cè)的終端設(shè)備訪問(wèn)邊緣計(jì)算節(jié)點(diǎn)過(guò)程，當(dāng)終端設(shè)備EU需要訪問(wèn)該位置中的邊緣計(jì)算節(jié)點(diǎn)ES時(shí)，一般的，終端設(shè)備并不知道邊緣計(jì)算節(jié)點(diǎn)的身份標(biāo)識(shí)信息，它只是向具體的邊緣服務(wù)發(fā)送請(qǐng)求，具體描述如下：

EU→ES：

終端設(shè)備從＜PKEU,PIDEU,SKEU ＞中隨機(jī)選取PKEU,i,PIDEU,i,SKEU,i，然后廣播報(bào)文＜HelloEdge,PIDEU,i,Ti ＞，其中Ti是當(dāng)前的時(shí)間戳。

ES→EU：

邊緣計(jì)算節(jié)點(diǎn)接收到接入請(qǐng)求后，通過(guò)公式（3）驗(yàn)證時(shí)間戳Ti是否過(guò)期，以及終端設(shè)備是否已經(jīng)注冊(cè)，若驗(yàn)證通過(guò)，則向終端設(shè)備返回＜IDES,PIDEU,i,Ti ＞。

EU→ES：

終端設(shè)備首先驗(yàn)證時(shí)間戳Ti是否過(guò)期，然后通過(guò)公式（4）驗(yàn)證邊緣計(jì)算節(jié)點(diǎn)的標(biāo)識(shí)正確性，并隨機(jī)選取c∈生成挑戰(zhàn)報(bào)文cha，最后將＜cha,Ti ＞發(fā)送給邊緣計(jì)算節(jié)點(diǎn)。

ES→EU：

邊緣計(jì)算節(jié)點(diǎn)接收到挑戰(zhàn)報(bào)文后，首先驗(yàn)證時(shí)間戳Ti是否過(guò)期，然后通過(guò)計(jì)算chaKESmodq恢復(fù)出終端設(shè)備發(fā)送的挑戰(zhàn)值c′，最后計(jì)算應(yīng)答報(bào)文res=(c′+Ti+PIDEU,i)emodN，將＜res,Ti ＞發(fā)送給終端設(shè)備。

最后終端設(shè)備驗(yàn)證獲得的挑戰(zhàn)值是否正確，若驗(yàn)證通過(guò)，則可以將挑戰(zhàn)值作為后續(xù)通信的數(shù)據(jù)加密密鑰，保障通信的安全相和完整性。

由于本方案中云平臺(tái)會(huì)將所有已經(jīng)注冊(cè)的邊緣計(jì)算終端的標(biāo)識(shí)信息發(fā)送給邊緣計(jì)算節(jié)點(diǎn)，因此當(dāng)邊緣計(jì)算節(jié)點(diǎn)具有移動(dòng)性時(shí)，終端在連接到不同邊緣節(jié)點(diǎn)并進(jìn)行認(rèn)證的過(guò)程中，通過(guò)重復(fù)上述步驟，仍然可以完成終端與邊緣計(jì)算節(jié)點(diǎn)的雙向認(rèn)證，并得到相同的認(rèn)證結(jié)果。

4 方案復(fù)雜性及安全性分析

本章將對(duì)本文提出的方案的復(fù)雜度以及安全性進(jìn)行分析，首先介紹了本文方案在完成基本雙向認(rèn)證過(guò)程中的計(jì)算復(fù)雜度，然后分析了本文方案對(duì)于常見(jiàn)的攻擊手段的抵抗能力。

4.1 實(shí)驗(yàn)驗(yàn)證

本文基于上述方案搭建了測(cè)試環(huán)境對(duì)方案的正確性和可行性進(jìn)行了驗(yàn)證，方案分別模擬了位于云平臺(tái)的注冊(cè)中心，邊緣計(jì)算節(jié)點(diǎn)以及接入節(jié)點(diǎn)的智能終端設(shè)備，如圖2所示。

其中云注冊(cè)中心可以對(duì)注冊(cè)的邊緣設(shè)備生成對(duì)應(yīng)的MKPID等信息，邊緣節(jié)點(diǎn)負(fù)責(zé)對(duì)接入的終端設(shè)備進(jìn)行認(rèn)證，根據(jù)本文提出的方案，假設(shè)智能終端以其MAC地址為標(biāo)識(shí)，則為其生成的匿名的身份信息及公私鑰信息并進(jìn)行匿名認(rèn)證過(guò)程如圖3所示。

4.2 方案的計(jì)算復(fù)雜度

本文方案的提出主要是圍繞終端向邊緣計(jì)算節(jié)點(diǎn)發(fā)起服務(wù)請(qǐng)求過(guò)程中，邊緣計(jì)算節(jié)點(diǎn)ES和終端設(shè)備EU之間可以實(shí)現(xiàn)雙向認(rèn)證，在本文方案中，由于終端設(shè)備可以采用離線的方式實(shí)現(xiàn)完成在云平臺(tái)的身份注冊(cè)和私鑰生成，而在終端與邊緣計(jì)算節(jié)點(diǎn)的認(rèn)證過(guò)程中不需要再與云平臺(tái)進(jìn)行交互，因此當(dāng)邊緣計(jì)算節(jié)點(diǎn)處理終端的認(rèn)證請(qǐng)求時(shí)，必定可以根據(jù)終端設(shè)備的身份標(biāo)識(shí)信息判斷等式（5）是否成立。

圖2 仿真環(huán)境實(shí)體圖

圖3 安全接入認(rèn)證結(jié)果

而對(duì)于終端設(shè)備來(lái)說(shuō)，其可以通過(guò)cha=(c+Ti+IDES)emodN以及對(duì)終端設(shè)備選擇的挑戰(zhàn)值進(jìn)行恢復(fù)，進(jìn)而完成挑戰(zhàn)應(yīng)答階段，實(shí)現(xiàn)通信雙方的相互認(rèn)證。在這一過(guò)程中，終端設(shè)備只需要執(zhí)行一次指數(shù)運(yùn)算既可以完成對(duì)邊緣計(jì)算節(jié)點(diǎn)的認(rèn)證，同時(shí)也可以完成雙方的密文通信的密鑰協(xié)商，使用已建立的會(huì)話密鑰對(duì)邊緣計(jì)算節(jié)點(diǎn)ES和終端設(shè)備EU之間交換的數(shù)據(jù)進(jìn)行加密，與傳統(tǒng)的基于非對(duì)稱加密的認(rèn)證算法相比，具有更低的計(jì)算復(fù)雜度和計(jì)算資源需求。

4.3 安全性分析

本文所提方案在滿足基本的邊緣計(jì)算場(chǎng)景下，終端設(shè)備與邊緣計(jì)算節(jié)點(diǎn)相互認(rèn)證的同時(shí)，還支持對(duì)終端設(shè)備身份標(biāo)識(shí)的隱私保護(hù)、通信雙方的密鑰保護(hù)以及抵御重放攻擊、中間人攻擊、拒絕服務(wù)攻擊典型的攻擊手段。

在終端設(shè)備隱私保護(hù)方面，本文方案通過(guò)使用匿名身份來(lái)隱藏用戶的真實(shí)身份信息，終端設(shè)備在向云平臺(tái)的認(rèn)證中心發(fā)送注冊(cè)請(qǐng)求后，由云平臺(tái)為其頒發(fā)用于隱藏身份的匿名身份信息PIDEU={PIDEU,1,PIDEU,i,…,PIDEU,z}，且在每一次的服務(wù)請(qǐng)求過(guò)程中，終端設(shè)備都選擇了不同的匿名身份，這對(duì)于邊緣計(jì)算節(jié)點(diǎn)來(lái)說(shuō)，無(wú)法學(xué)習(xí)到任何關(guān)于終端設(shè)備身份的知識(shí)，因此本文方案能夠有效地保障終端設(shè)備的隱私信息。

其次，在通信雙方的密鑰防護(hù)方面，由于通信雙方通過(guò)挑戰(zhàn)應(yīng)答的方式實(shí)現(xiàn)了密文通信，且從未使用敵手已知的明文信息進(jìn)行加密，任意敵手都無(wú)法獲知具體的通信信道內(nèi)容，因此能夠保障通信密鑰的安全性。并且，在執(zhí)行后續(xù)的通信前，會(huì)話密鑰是由通信雙方通過(guò)協(xié)商的方式進(jìn)行共享，會(huì)話密鑰僅為邊緣計(jì)算節(jié)點(diǎn)和終端設(shè)備知道，因此，本文方案能夠支持對(duì)通信數(shù)據(jù)的安全防護(hù)。

在抵御重放攻擊等典型的攻擊手段方面，本文方案通過(guò)使用時(shí)間戳的方式用于對(duì)每次傳輸數(shù)據(jù)的時(shí)效性進(jìn)行驗(yàn)證verify(T-Ti)≤ΔT，由于時(shí)間戳在每一次通信工程都不同，這使得對(duì)于任意的敵手無(wú)法構(gòu)造出重放攻擊的報(bào)文信息，可以有效地抵御重放攻擊。同時(shí)本文方案的認(rèn)證階段以及數(shù)據(jù)傳輸階段，通信數(shù)據(jù)均是通過(guò)密文進(jìn)行傳輸，敵手在不知道邊緣計(jì)算節(jié)點(diǎn)和終端設(shè)備的加密密鑰的情況下，無(wú)法針對(duì)密文數(shù)據(jù)發(fā)動(dòng)中間人攻擊。

最后在抵御拒絕服務(wù)攻擊（Dos）方面，邊緣計(jì)算節(jié)點(diǎn)對(duì)于任意的訪問(wèn)請(qǐng)求會(huì)對(duì)其時(shí)效性進(jìn)行校驗(yàn)，如果請(qǐng)求時(shí)間戳無(wú)效，邊緣計(jì)算節(jié)點(diǎn)可以放棄登陸請(qǐng)求，而不需要對(duì)密文數(shù)據(jù)進(jìn)行處理，同樣的，若時(shí)間戳有效，節(jié)點(diǎn)仍需要通過(guò)解密算法對(duì)密文數(shù)據(jù)進(jìn)行解密，這保障了對(duì)于任意的敵手，即便其偽造了正確的時(shí)間戳信息，也無(wú)法實(shí)現(xiàn)對(duì)合理的通信數(shù)據(jù)進(jìn)行偽造，節(jié)點(diǎn)可以將惡意的請(qǐng)求報(bào)告給管理員，并將相應(yīng)的訪問(wèn)規(guī)則設(shè)置為drop。

5 結(jié)論

邊緣計(jì)算服務(wù)的提出是為了面向大規(guī)模終端用戶，而在網(wǎng)絡(luò)邊緣難以大規(guī)模實(shí)現(xiàn)傳統(tǒng)的基于PKI 方式的接入認(rèn)證機(jī)制，因此本文提出了一種安全有效的邊緣計(jì)算場(chǎng)景下的接入認(rèn)證方案，允許任何邊緣計(jì)算終端設(shè)備在云服務(wù)提供商的授權(quán)下，與任何邊緣計(jì)算節(jié)點(diǎn)進(jìn)行互認(rèn)證。本文方案不需要在任何的PKI 體系中包含終端設(shè)備。終端設(shè)備只需在注冊(cè)階段存儲(chǔ)一個(gè)云中心頒發(fā)的主密鑰，利用該密鑰，終端設(shè)備可以與邊緣計(jì)算節(jié)點(diǎn)進(jìn)行相互認(rèn)證，而不需要第三方的參與。同時(shí)，本文所提出的方案中，終端設(shè)備與邊緣計(jì)算節(jié)點(diǎn)都只需要執(zhí)行少量的哈希運(yùn)算和加解密預(yù)算，因此支持對(duì)海量終端設(shè)備的接入認(rèn)證，適合在資源受限的終端設(shè)備中實(shí)現(xiàn)，能夠保障認(rèn)證效率。