适用于天地一体化网络的无证书密钥协商协议.pdf

第 45 卷第 1 期2024 年 1 月Vol.45,No.1Jan.2024遥 测 遥 控Journal of Telemetry,Tracking and CommandWebsite：适用于天地一体化网络的无证书密钥协商协议于 勇1，郑鉴学1，张瑞嵩1，何亚光2，徐松艳1（1.北京遥测技术研究所 北京 100076；2.中国人民解放军96901部队 北京 100094）摘要：为了保证天地一体化网络中用户信息的传输安全，改进传统方案的高时延等问题，本文提出一种轻量级的无证书密钥协商方案。首先，本文分析无证书密钥协商协议系统模型，针对天地一体化网络的特点提出协议需要满足双向认证、抗重放、完整性等安全需求。其次，本文选择一种轻量级的无证书加密方案，在此基础上提出密钥协商协议，满足天地一体化网络的资源和安全要求。最终，本文对提出的密钥协商协议进行BAN（Burrow-Adadi-Needham）逻辑安全性分析，并结合软件对协议性能仿真进行比较，结果表明：该方案在满足网络安全性需求的同时实现高效快速的协商。关键词：无证书密钥协商；BAN逻辑；天地一体化网络；轻量级密码协议中图分类号：V556.1;TN953 文献标志码：A 文章编号：2095-1000(2024)01-0031-07DOI：10.12347/j.ycyk.20230927001引用格式：于勇，郑鉴学，张瑞嵩，等.适用于天地一体化网络的无证书密钥协商协议 J.遥测遥控，2024，45（1）：3137.A Certificateless Key Agreement Protocol for the Integrated Network of Space and GroundYU Yong1，ZHENG Jianxue1，ZHANG Ruisong1，He Yaguang2，XU Songyan1（1.Beijing Research Institute of Telemetry，Beijing 100076，China；2.96901 Troops，PLA，Beijing 100094，China）Abstract:In order to ensure the communication security of users and improve the high latency of traditional solutions in the integrated network of space and ground.In this paper,we propose a lightweight certificateless key agreement scheme.Firstly,we analyze the certificateless key agreement protocol system model.Based on the characteristics of the integrated network of space and ground,it is proposed that the protocol needs to satisfy some security requirements such as two-way authentication,anti-replay,and integrity.Then,we choose a lightweight certificateless encryption scheme.Base on the encryption scheme,we propose a key agreement protocol to meet the resource and security requirements of the integrated network of space and earth.Finally,we prove the proposed key agreement protocol security conducted on the BAN logical analysis,and compare the protocol performance with software simulation.The results show that the solution not only meets the network security requirements,but also provides fast and efficient negotiation.Keywords:Certificateless key agreement scheme;BAN logical analysis;Integrated network of space and ground;lightweight encryptionCitation:YU Yong,ZHENG Jianxue,ZHANG Ruisong,et al.A Certificateless Key Agreement Protocol for the Integrated Network of Space and GroundJ.Journal of Telemetry,Tracking and Command,2024,45(1):3137.0引言传统网络的密钥协商研究技术已经非常成熟，但大多数需要进行复杂的密码学运算，并且交互次数频繁。这些方案无法直接结合天地一体化网络特点使用，虽有部分学者针对网络特点设计了合适的密钥协商方案1-9，Cruickshank3等结合天地一体化网络特点设计了基于公钥体制的认证方法，用户和卫星能够进行双向认证，但是效率不高且未考虑重复接入的问题，并且不具有匿名性。收稿日期：2023-09-27；修回日期：2023-11-01第 45 卷第 1 期于 勇等，适用于天地一体化网络的无证书密钥协商协议Hwang4等对上述方案加以改进，设计了适用于卫星通信系统的认证方法，但是降低了计算开销，不具备前向安全。Bao9等提出的基于身份的跨域密钥协商协议使用了双线性映射，能够快速高效认证，降低了存储和通信开销，但是计算开销增加。这些方案基本上都包含可信第三方的参与，需要进行多次的星地交互，这会带来高传输时延，进而影响服务质量。因此，为了保证天地一体化网络中用户信息的传输安全，解决传统方案的高时延等问题，需要设计一种轻量级的密钥协商方案。由于网络规模持续增大，用户节点数也愈多，若只使用对称密码体制进行密钥协商协议，将会带来大量的密钥存储问题，而传统公钥体制需要可信第三方管理证书，存储和计算开销也随之增加，易造成单点访问瓶颈，不适用于资源受限的网络。Shamir10提出的基于身份的公钥体制无需证书管理，但存在密钥托管问题。Al-Riyami和Paterson11为了解决密钥托管和证书管理问题，提出了无证书公钥密码（Certificateless Public Key Cryptography，CL-PKC），它的特性适合用于天地一体化网络中。基于无证书密码系统协商方案，REN12等提出的加密认证方案降低了通信开销，但是计算开销却大大提升，效率降低。Chen13等为了减少用户计算开销，提出的高效认证协议只需进行哈希和异或运算，但是无法抵抗中间人攻击。因此，本文针对上述问题，结合天地一体化网络特点提出了无证书的密钥协商协议，显著降低了通信开销和计算开销，协商过程中无需可信第三方参与，且仅需三次交互就能够完成密钥协商，降低了传输时延。通信双方只需执行哈希、异或和椭圆曲线上的点运算，降低了计算开销。随后对协议进行形式化分析，证明本协议能够满足天地一体化网络安全需求。最后使用软件仿真，证明协议的实用性。1系统模型与安全需求结合天地一体化网络特点14-16，基于无证书密钥协商协议的模型如图1所示，系统包含用户、卫星及中心站。其中，用户作为协商的发起方，是具有卫星通信功能的终端。卫星作为协商的接收方，与用户进行三次交互产生密钥。用户进行密钥协商之前首先需要在中心站进行身份注册，生成自身公私钥对。中心站在初始化阶段负责整个系统参数的生成、用户密钥的协商、卫星密钥的分发以及后续阶段密钥的管理，不参与用户和卫星的密钥协商过程。本模型中的中心站是被认为完全可信的，在整个流程中控制器不参与，视为可信的转发者，只负责将消息进行转发，不参与协议的交互。若用户不具有卫星通信功能，则它与卫星通信需要控制器进行转发，固定用户通过有线方式发送给地面控制器，移动用户可通过无线方式发送给地面控制器或空间控制器，由控制器制定相应路由策略发送到通信接收卫星。卫星返回消息给用户也是如此。结合天地一体化网络的特点，本节提出协议需要满足的安全需求如下：双向认证性：用户和卫星之间能够完成双向认证，攻击者无法假冒任何一方从而协商出密钥。抗重放攻击：协议保证用户和卫星的交互消息被截获后，即使被重放也无法协商密钥。完整性：消息在传输时若遭到篡改，则参与方无法正确协商出密钥。2无证书密钥协商协议设计传统无证书密钥协商协议普遍使用椭圆曲线加密算法来实现用户的双向认证和密钥协商，但是传统加密算法存在计算复杂、密文较长等问题，若基于传统无证书加密方案设计协议，则会带来身份认证时间长、计算开销大等问题。因此首先需要选择一种轻量级的无证书加密方案，在此基础上设计密钥协商协议能更好地满足天地一体化图 1无证书密钥协商协议系统模型 Fig.1The system model of certificatless key agreement protocol322024 年 1 月遥 测 遥 控网络的资源和安全要求。2.1BSNS-CLPKE方案2005年，Bake17等提出了基于Schnorr签名的无证书加密方案，该方案不需要双线性对运算，且满足目前的强安全需求，方案概述如下：系统建立私钥生成中心(Private Key Generator，PKG)对于安全参数k，产生两个大素数p、q，且满足q|p-1。产生Z*p上的生成元g，随机选择xZ*q作为系统的主私钥，计算y=gx作为系统主公钥。产生杂凑函数如下：H1:01*Z*pZ*q，H2:01*Z*pZ*pZ*q，H3:01*Z*q，H4:Z*pZ*p01n+k0，其中，n和k0分别是明文和随机数的比特长度。最后产生系统公共参数params=pqgyH1H2H3H4。部分私钥产生对 于 给 定 的 身 份ID，PKG 随 机 选 择s0s1RZ*q，计算w0=gs0，w1=gs1，d0=s0+xH1(IDw0)，d1=s1+xH2(IDw0w1)，返回用户部分私钥DID=d0，部分公钥PID=(w0w1d1)。秘密值产生实体用户ID选择zRZ*q，返回sID=z。私钥产生实体用户ID输入(DIDsID)，返回用户的完整私钥SKID=(d0z)。公钥产生输入(PIDsID)，计算u=gz，返回用户的完整公钥PKID=(uw0w1d1)。加密假设消息的比特长度是n，分解用户的公钥PKID=(uw0w1d1)。判断等式gd1=w1yH2(IDw0w1)，若相等，随机选择R01k0，计算r=H3(MIDu)，U=gr，V=(M|)H4(w0ryH1(IDw0)rur)，输出密文C=(UV)。解密分解密文消息C=(UV)，用户私钥SKID=(d0z)。计算(M|)=VH4(Ud0Uz)，r=H3(MIDu)，若gr=U，返回明文M，否则解密失败。2.2无证书密钥协商协议流程结合上述方案，本节对该加密方案进行修改，在此基础上提出了一个无证书密钥协商协议，该协议运行在椭圆曲线上。假设参与双方为用户A和卫星B，其身份信息分别是IDA和IDB，协议包含系统参数生成阶段、用户密钥生成阶段和密钥协商阶段。系统参数生成PKG对于安全参数k，产生大素数q。选取椭圆曲线上点的P是阶为q的循环群G的生成元，随机选择xZ*q作为系统的主私钥，计算y=xP作为系统主公钥。产生杂凑函数如下：H1:01*GZ*q，H2:01*GGGGZ*q，H3:01*01k最终公开系统参数params=qPYH1H2H3 用户密钥生成用户密钥生成的具体过程如图2所示，相关描述如下：用户A首先发送身份标识IDA给PKG。PKG收到后，判断IDA的合法性，若IDA不是合法且未注册过的用户，拒绝服务请求，否则同意用户的注册请求，随机选择s0AZ*q，计算w0A=s0AP，d0A=s0A+xH1(IDAw0A)，w0A为用户的部分公钥，d0A为用户的部分私钥，发送(w0Ad0A)给用户A。用户A收到 PKG 返回的信息后，首先利用图 2注册流程Fig.2The flow of registration33第 45 卷第 1 期于 勇等，适用于天地一体化网络的无证书密钥协商协议PKG 的公钥y和接收的信息(w0Ad0A)验证等式d0AP=w0A+yH1(IDAw0A)是否成立，若不成立，则此消息不是合法PKG产生，丢弃会话并重新发送注册请求；若成立，则随机选择zAs1AZ*q，计算w1A=s1AP，uA=zAP，d1A=zA+s1AH2(IDAw0Aw1AuA)，发送(w1Ad1AuA)给PKG，则(w1AuA)是用户产生的秘密值，d1A为用户A产生的公开参数，用户A的私钥包含PKG产生的部分私钥和用户本身产生的秘密值，即为(s1Ad0AzA)。PKG接收到信息后，通过判断等式d1AP=uA+w1AH2(IDAw0Aw1AuA)是否成立来验证用户A的公开参数d1A的合法性，若成立，则保存d1A为用户的公钥分量，并公开用户的公钥为(w1Aw0Ad1AuA)。密钥协商在此阶段，本协议通过三次信息交互完成了用户A和卫星B之间的双向认证，并且生成了会话密钥SK，方案流程如图3所示：详细描述如下：用户A随机选择rAZ*q，计算TA1=rAP，并和自身标识一同(IDATA1)发送给卫星B。卫星B收到消息后，随机选择rBZ*q，计算TB1=rBP。根 据IDA分 解 用 户A公 钥 为(w1Aw0Ad1AuA)，分解自身私钥为(s1Bd0BzB)，利用用户A公钥和自身私钥进行如下计算：TB2=(zB+d0B+s1B)(TA1+uA)TB3=(rB+zB)(uA+w0A+w1A+yH1(IDA|w0A)TB4=TB2TB3TB5=(rB+zB+s1B)(TA1+uA+w1A)SKBA=H2(IDA|IDB|TA1|TB1|TB4|TB5)SB=H3(d1A|d1B|SK)(1)发送(TB1SB)给用户A。用 户A收 到 信 息 后，分 解 卫 星B公 钥 为(w1Bw0Bd1BuB)，分解自身私钥为(s1Ad0AzA)，进行如下计算：TA2=(rA+zA)(uB+W1B+W0B+yH1(IDB|W0B)TA3=(zA+d0A+s1A)(TB1+uB)TA4=TA2TA3TA5=(rA+zA+S1A)(uB+TB1+W1B)SKAB=H2(IDA|IDB|TA1|TB1|TA4|TA5)SA=H3(d1A|d1B|SK)(2)验证SA和SB是否相等，若不相等，则会话密钥 协 商 失 败，否 则 计 算TA6=rATB1，S1=H3(d1A|d1B|SK|TA6)，发送S1给卫星B。卫星B接收到消息后，计算TB6=rBTA1，S2=H3(d1A|d1B|SK|TB6)，验证S1和S2是否相等，若相等，则协商成功，SK为此次会话协商的密钥。3协议分析3.1正确性分析可以验证双方计算的密钥是相等的：TA2=(rA+zA)(uB+W1B+W0B+yH1(IDB|W0B)=(rA+zA)(zBP+S1BP+d0BP)=(rAP+zAP)(zB+S1B+d0B)=(TA1+uA)(zB+d0B+S1B)=TB2(3)同理，TA3=TB3，所以TA4=TB4。TA5=(rA+zA+S1A)(uB+TB1+W1B)=(rA+zA+S1A)(zBP+rBP+S1BP)=(rAP+zAP+S1AP)(zBP+rB+S1B)=(TA1+uA+W1A)(rB+zB+S1B)=TB5(4)通过上述等式，能够得到SKAB=SKBA，因此本协议会话协商能够保证密钥的一致性。3.2安全性分析BAN逻辑是最为广泛使用的形式化逻辑分析图 3密钥协商流程Fig.3The flow of key agreement342024 年 1 月遥 测 遥 控方法，其通过证明密码协议参与方之间的可信认证，辅以逻辑推理对协议进行证明，在身份认证和密钥协商协议中起着重要的作用，能够分析协议在通信参与实体中是否能协商出秘密的会话密钥。因此，基于BAN逻辑分析本章提出的协议过程如下：首先列出协议最终需要满足的安全目标；其次，对协议的状态初始化、传输信息理想化；最后，结合BAN逻辑的规则进行推导，分析是否能够满足安全目标。结合BAN逻辑标识定义和含义，协议证明过程如下：安全目标：G1:A|ASKB，主体A相信，SK是主体A和B的秘密共享密钥，仅被A，B所知。G2:B|BSKA，主体B相信，SK是主体A和B的秘密共享密钥，仅被A，B所知。协议理想的初始化状态：A1:B|#(TA1)，主体 B 相信，消息TA1是新鲜的，此之前未被发送过。A2:A|#(TB1)，主体 A 相信，消息TA1是新鲜的，此之前未被发送过。A3:A|(uBB)，主体 A 相信，uB是主体 B 的公钥。A4:A|(w0BB)，主体A相信，w0B是由PKG颁发给主体B的公钥。A5:A|(w1BB)；A6:A|(d1BB)，主体A相信，w1B，d1B是主体B的公开值。A7:B|(uAA)，主体 B 相信，uA是主体 A 的公钥。A8:B|(w0AA)，主体B相信，w0A是由PKG颁发给主体A的公钥。A9:B|(w1AA)；A10:B|(d1AA)，主体 B 相信，w1A，d1A是主体A的公开值。A11:A|B(zBd0Bs1B)，主体 A 相信，主体 B拥有秘密值zBd0Bs1B。A12:B|A(zAd0As1A)，主体 B 相信，主体 A拥有秘密值zAd0As1A。A13:B|A(TA1)，主体 B 相信，TA1是主体 A发送的消息。A14:A|B(TB1)，主体 A 相信，TB1是主体 B发送的消息。协议理想化：本文协议传递的 3 条消息，形式化语言描述如下：M1:AB:(TA1)M2:BA:(TB1 d1Ad1B TB1TA1)M3:AB:(TA1 d1Ad1B TA1TB1)证明推导：根据M1可得：S1:B(TA1)，主体B收到消息M1。根据M2可得：S2:A(TB1 d1Ad1B TB1TA1)，主体A收到消息M2。根据M3可得：S3:B(TA1 d1Ad1B TA1TB1)，主体B收到消息M3。根据A7，A9，S2和消息含义规则P|KQPXKP|Q|X可得：S4:B|A|(TA1uAw1A)，主体B相信，主体A之前某个时刻发送过消息TA1uAw1A。根据A3，A5，S3和消息含义规则，可得：S5:A|B|(TB1uBw1B)，主体A相信，主体B之前某个时刻发送过消息TA1uAw1A。根据S4，A1和临时值验证规则P|#(X)P|Q|XP|Q|X可得：S6:B|A|TA1，主体B相信，主体A相信TA1。根据S5，A2和临时值验证规则P|#(X)P|Q|XP|Q|X可得：S7:A|B|TB1，主体A相信，主体B相信TB1。根据S6，A13和管辖权规则P|Q|XP|Q|XP|X可得：35第 45 卷第 1 期于 勇等，适用于天地一体化网络的无证书密钥协商协议S8:B|TA1，主体B相信TA1。根据S7，A14和管辖权规则，可得：S9:A|TB1，主体A相信TB1。根据A1和新鲜性规则P|#(X)P|#(XY)，可得：S10:A|#(SKBA)，主体A相信，SKBA是新鲜的。根据A2和新鲜性规则，可得：S11:B|#(SKAB)，主体B相信，SKAB是新鲜的。根据S10，S6和会话密钥规则P|#(X)P|Q|XP|PSKQ可得：A|ASKB，满足目标G1根据S11，S7和会话密钥规则，可得：B|BSKA，满足目标G2通过基于BAN逻辑的形式化分析，能够证明本协议可以满足安全目标。这意味着本协议可以实现双向认证和秘密协商出会话密钥。3.3性能分析将一次群上的乘法运算记作M，一次数字签名运算记作S，LG表示群中元素的长度，Lz表示Z*q中元素的长度，LS表示签名的长度，本文方案与现有相关方案的效率比较表见表1。从上表中可以看出，本文的交互次数少，密钥协商在第二步就可完成，第三步是为了保证通信双方的认证性。消息长度短，并且计算开销少。本文方案选用的 NIST 标准的 Koblitz 曲线K-233，主要是执行在有限域GF(2233)中的各种运算，因此群元素的长度不超过462 bit，H3哈希值的信息长度不超过231 bit。假设在天地一体化与卫星通信的场景下2，相关参数见表2。完成协议会产生的通信延迟大约为32 ms，其中接入网络延迟占比较大。所以本文的交互次数少，消息长度短，并且计算开销少，与文献18,19相比通信延迟较低。本文的密钥协商协议在选型为 Xilinx 公司的Kintex-7型FPGA芯片，相应开发软件选择Vivado 2018.3，该软件在Windows 7 操作系统环境下实现对协议仿真。仿真曲线选择NIST标准的Koblitz曲线K-233，最终协议运行耗费时间如表3所示：由于在密钥协商协议的所有运算中，点乘运算耗费时间最久，并且包含了点加和模乘运算，所以协议运行的速度主要取决于点乘运算的花费时间。点乘运算的性能比较图，如图4所示。本文点乘运算采用滑动窗法，从图 4 可以看出，该点乘运行耗费时间较少，因此密钥协商协议能够在较短时间内协商出密钥，满足天地一体化网络的需求。4结束语本文针对传统天地一体化网络密钥协商交互次数多、通信开销大等问题，提出了一种基于无证书的协商协议，该协议基于改进的轻量级无证表 1性能分析Table 1The performance analysis协议文献18文献19本文协议计算开销7M2M+2S5M消息长度2LG+2LzLG+LSLG+Lz交互次数343表 2模拟天地一体化网络环境参数设定 Table 2The parameter settings of the integrated network of space and ground参数封装包大小协议仿真时间卫星最大带宽接入网络延迟卫星覆盖面积参数值1 024 Bytes0.75 ms1T bits/s10 ms30104 km2表 3运行时间Table 3The runtime analysis运算运行时间（s）模乘0.09点加0.77点乘159协议运行752图 4点乘性能比较图Fig.4The comparison of dot product runtime362024 年 1 月遥 测 遥 控书加密方案，用户和卫星交互次数仅为三次，信息传输内容最多为椭圆曲线点与哈希值的比特长度，通信开销小，双方计算仅使用椭圆曲线点运算和哈希运算，计算开销小。最后使用BAN逻辑对协议进行安全性分析，并结合软件仿真对协议性能进行比较，结果表明方案在满足网络安全性需求的同时提供高效快速的协商。参考文献1 孟薇.天地一体化信息网络安全接入认证机制研究D.合肥:中国科学技术大学,20192 刘子琦.天地一体化网络安全接入认证方案设计与实现D.重庆:重庆邮电大学,2020.3 CRUICKSHANK H.S.A security system for satellite networksC/The Fifth International Conference on Satellite Systems for Mobile Communications and Navigation,London.UK.IET,1996:187-190.4 HWANG M S,YANG C C,SHIU C Y.An authentication scheme for mobile satellite communication systemsJ.ACM SIGOPS Operating Systems Review,2003,37(4):42-47.5 张民,罗光春,王俊峰,等.空间信息网络可靠传输协议研究J.通信学报,2008,29(6):63-68.ZHANG Min,LUO Guangchun,WANG Junfeng,et al.Reliable transmission control protocol for spatial information networksJ.Journal on Communications,2008,29(6):63-68.6 HE D,CHEN C,CHAN S,et al.Secure and efficient handover authentication based on bilinear pairing functionsJ.IEEE Transactions on Wireless Communications,2012,11(1):48-53.7 LI X,ZHANG Y,LIU X,et al.A lightweight roaming authentication protocol for anonymous wireless commu-nicationC/Global Communications Conference.IEEE,2012:1029-1034.8 CAO J,MA M,LI H.A group-based authentication and key agreement for MTC in LTE networksC/Global Communications Conference(GLOBECOM).IEEE,2012.9 BAO BAO Q,HOU M,CHOO K K R.A one-pass identity-based authentication and key agreement protocol for wireless RoamingC/The Sixth International Confe-rence on Information Science and Technology.IEEE,2016:443-447.10 SHAMIR A.Identity-based cryptosystems and signature schemesC/Proceedings of the CRYPTO84,Lecture Notes in Computer Science 196.Berlin:Springer-Verlag,1984:47-53.11 AL-RIYAMI S S,PATERSON K G.Certificateless public key cryptographyC/Advances in Cryptology ASIA-CRYPT 2003.Heidelberg:Springer Berlin,2003:452-473.12 REN F,MA J F,HAO X W.Certificate-based hybrid public key infrastructure for space information networksJ.Jilin Daxue Xuebao(Gongxueban)/Joumal of Jilin University(Engineering and Technology Edition),2012,42(2):440-445.13 CHEN T H,LEE W B,CHEN H B.A self-verification authentication mechanism for mobile satellite communication systemsJ.Computers&Electrical Engineering,2009,35(1):41-48.14 李凤华,殷丽华,吴巍,等.天地一体化信息网络安全保 障 技 术 研 究 进 展 及 发 展 趋 势 J.通 信 学 报,2016(11):156-168.LI Fenghua,YIN Lihua,WU Wei,et al.Research status and development trends of security assurance for space-ground integration information networkJ.Journal on Communications,2016(11):156-168.15 吴曼青,吴巍,周彬,等.天地一体化信息网络总体架构设想J.卫星与网络,2016,158(3):30-36.16 沈荣骏.我国天地一体化航天互联网构想J.中国工程科学,2006(10):19-30.17 BAEK J.,SAFAVI-NAINI R.Certifieateless public key encryption without pairingC/Proc.of the 8th International Conference on Information Security(ISCZoos),Springer Verilag,2005:134-148,18 莫天庆,何咏梅.一种基于无证书的SIP认证密钥协商协议J.计算机科学,2020,47(6A):413-419.MO Tianqing,HE Yongmei.SIP authentication key agreement of protocol base on certificatelessJ.Computer Science,2020,47(6A):413-419.19 NI L.Research on some issues in authenticated key agreement protocolsD.Shanghai:Shanghai Jiao Tong University,2012.20 YANG G Q,KONG F Y,XU Q L.Optimized FPGA implementation of elliptic curve cryptosystem over prime fieldsC/International conference on trust,security and privacy in computing and communications(Trust Com).IEEE,2020:243-249.作者简介于 勇 1970年生，博士，研究员。郑鉴学 1998年生，硕士研究生。张瑞嵩 1998年生，硕士研究生。何亚光 1973年生，硕士，副研究员。徐松艳 1978年生，硕士，研究员。(本文编辑：潘三英)37