改進拉普拉斯的網絡數據鏈網關終端訪問認證

王 斌,王 業

(新疆農業大學,新疆 烏魯木齊 830052)

1 引言

移動網絡主要是由數據系統與加密設備、網關終端等組成,數據系統是由多個數據鏈構成,一般與數據所在的單元的主計算機連接,主要負責接收各種設備發出的數據,并把這些數據按照設定好的報文格式進行編排;加密設備根據加密算法,保證數據輸送時的安全;網關終端負責各種數據傳輸與連接任務。同時網關終端能夠根據數據需求轉換成不同數據格式,并制定鏈路轉發規則,有效解決數據鏈之間的可視化互操作。構建安全信息體系可確保網絡信息只被授權的人訪問,而沒有授權的人不能訪問這些信息[1-2]。假設沒有得當的身份認證方法,授權人的身份極易被盜取、冒用,因此身份認證是保證數據鏈網關終端訪問安全的必要手段。

相關學者、研究人員對安全訪問認證研究諸多,如戴聰[3]提出基于國密算法和模糊提取的多因素身份認證方案,根據秘密門與SM4分組密碼保護客戶私鑰相關信息,并通過模糊算法與SM3密碼雜湊算法完成客戶身份相關屬性信息的認證;林學聰等人[4]提出用于云計算數據訪問的多階段身份認證方法,采用抑制手段將客戶個人相關信息存儲在服務器中,并通過口令與令牌等屬性驗證訪問者身份。以上兩種認證方法均能完成認證,但是認證時間較長,易發生客戶信息丟失的問題。

針對以上問題,提出移動網絡數據鏈網關終端訪問安全性認證方法。通過差分隱私方式建立隱私數據保護機制與安全訪問權限,使隱私信息擾動轉換,有效保障信息使用安全;KDC秘密份額結合分布式聯合秘密份額來簡化密鑰生成流程,為訪問認證節省大量時間,并利用會聚算法提升認證速率。

2 建立移動網絡數據鏈隱私信息保護機制

采用拉普拉斯與差分隱私方式建立隱私數據保護機制[5-6],該方法能夠對數據鏈的隱私信息擾動轉換,有效保證信息安全的同時,數據還具備原始信息的屬性特征。假設有2個相似的數據鏈,使用隨機數法,判別這些鏈上數據是否存在差分隱私性。

設定,A1與A2描述為移動網絡2個數據鏈,f描述為隨機數法,P描述為數據差分隱私性,B描述為隨機方法得出數據集合,?描述為隱私保護估計數值,則

P[f(A1)∈B]≤?×P[(A2)∈B]

(1)

當中,?數值大小直接表現出數據鏈隱私數據保護程度,數據保護程度隨著估計數值升高而降低。將拉普拉斯算法與噪聲引入該機制中,建立差分隱私信息保護機制。這些數據經過拉普拉斯處理后生成數據噪聲,并將其引入數據鏈中,有效確保數據鏈信息安全。

全局靈敏程度運算過程為:

Δε=maxA1,A2‖f(A1)-f(A2)‖

(2)

其中,max代表極大值。通過隱私信息保護機制,能夠將隱私信息保護起來,并能保持原有信息的特征,利于日后信息共享時的聚類研究,該過程也是網關終端訪問安全性認證的必要前提條件。

3 設立安全訪問權限

經過差分隱私保護后的信息,按照信息投放者的網關終端訪問權限,設立一系列的限制條件與網關終端安全訪問權限標簽[7-8]。根據通信技術的信息采集、信息存儲部分為提出訪問申請的客戶附屬特定標簽,該標簽上數據作為訪問認證的標準。

信息標簽設定時,任意一個實體標簽都有各自含義。根據信息和進程安全程度級別,分別貼上信息標簽與進程標簽。根據給出的標簽解析,假設兩個標簽屬于包含關系時,包含標簽表示信息的安全訪問權限的級別越低,信息越安全。需要特別注意一點,各標簽具有流向的特性,如圖1所示。標簽生成時,箭頭符號代表兩個實體數據間存在一定流動性。

圖1 標簽生成過程

從圖1可以看出,{a,b,c}的安全訪問級別最高,e的安全訪問級別最低。

4 網關終端訪問安全認證

4.1 密鑰生成

CA與KDC是解決移動網絡數據鏈密鑰管理主要方式。最簡單方法就是從邏輯上將網絡劃分成多個部分,各部分通過指定的CA提供密鑰管理服務,該方法能夠有效提升移動網絡的擴展性,但CA具有移動性,大大增加數據節點定位難度,不能保證數據節點與CA通信的時效性,進而增加密鑰管理與認證的時延。為此,選用單點DKC方式生成密鑰,其就是將秘密份額發給g個D-PKG(命令)的形式,但在一些區域會出現單點KDC失效的問題,為此就需要結合D-PKG完成密鑰生產。下面從這兩種情況描述密鑰生成過程。

假設移動網絡數據鏈中各數據節點xi(i=1,….,g)都有自己專屬的ID,即IDi。Zp表示數據鏈上的全部數據,P表示管理中心選擇的生成元,Fp表示橢圓曲線函數,p為大于3的質數,Si秘密份額。C1：{0,1}×B→Fp與C2：{0,1}×B→seed為2個不同的散列函數,這兩個函數當作開始的密鑰種子[9-10]。

4.1.1 集中KDC秘密份額分發

KDC表示離線節點,用來設置開始秘密k∈Zp,同時設立(g,g′)門限多項式函數f(c),則

f(c)=k+a1c+a2c2+…+ag′-1cg′-1(modp)

(3)

其中,ai∈Zp。離線節點根據式(3)得出和g個D-PKGi相符的秘密份額Si=f(xi),且f(0)=k。因為式(3)屬于g′-1次的多項式,只需要按照g′個秘密份額f(xi)即能使用Lagrange插值方式恢復原秘密k。

同時KDC為了保證D-PKG獲得的秘密份額是通過式(3)得出的,計算并發布X0=kP,Xi=aiP(i∈1,2,3,…,g′-1)。發布結果后,KDC就會銷毀秘密k與式(3)的相關參數,之后不會參與任何通信,最終得出組密鑰為Pi=C1(kC2(seed))。

Si=Test(xi)

(4)

假設不符合,就拒絕接受秘密份額Si,反之,接受Si,并廣播PSi=PSi。

4.1.2 分布式聯合秘密份額生成

秘密份額生成過程中,如果單點KDC失效,則根據移動網絡數據鏈的某一部分或者所有數據節點所形成密鑰k[11-12]。假設有g個D-PKG參與密鑰生成的節點,則秘密份額是根據各節點xi特有的秘密ki,得出秘密k。詳細流程為:

各節點xi在Fp基礎上建立秘密ki的(g,g′)門限多項式函數fi(c)[13-14],即:

fi(c)=ki+ai,1c+ai,2c2+…+ai,(g′-1)cg′-1(modp)

(5)

其中,ai,j∈Zp。節點xi通過式(5)得出剩余節點xj(j≠i)的秘密份額Si,j=fi(xj),并轉發出去,同時計算,廣播Xi,0=kiP,Xi,j=ai,jP(j∈1,2,3,…,g′-1)。

節點xj收到來自節點xi的秘密份額Si,j后,可根據式(5)驗證Si,j是否有效,若有效就接收,反之就拒絕[15]。如果節點xj收到g-1個來自剩余節點Si,j(i≠j)后,結合自身秘密份額Si,j,廣播PSj=PSj。則:

(6)

4.2 認證

因數據鏈上節點數量較多,會出現多個節點同時向關網終端發出訪問請求,這就需要網關終端對這些節點的身份信息及時認證。設定δ表示管理中心選取的參數,Ppub=δP表示網關終端認證的公鑰。

網關終端對數據鏈上各節點認證步驟:

步驟一:時延驗證。網關終端需要的時間T,判斷Δti=T-Ti≤Tmax(Tmax表示數據節點到網關終端允許最大傳送時延)是否成立。若成立,就進行步驟二;反之,終止。

步驟三:當兩個以上數據節點同時認證時,為了縮短身份認證的時延,選用批量驗證的方式。但當多個客戶同一時間發出認證請求時,可能出現碰撞的現象,為此采用會聚算法來提升認證方法的安全性。

2)驗證Υ=Υ′,是否相等,假設相等,表示驗證成功;假設不等,表示驗證失敗,網關終端運用折半查找方式檢測這些節點數據相關屬性,直到發現偽節點停止查找。

步驟四:網關終端認證成功后,任意選取一個節點x?i,并反饋D=x?iP給每一個數據節點,計算,kgω-i=x?iRi=x?ix′iP,將其當做網關終端與數據節點xi之間的共享密鑰。計算Siggω-i=bPi=x?i(xi+hiδ)P(1≤i≤g),發布全部簽名數據。

步驟五:每個數據節點都得到反饋數據后,計算kgω-i=x′iD=x′ix?iP,將其當做數據節點與安全網關終端的共享密鑰。

5 實驗分析

5.1 實驗環境與相關參數

選用Windows10操作系統、Link-20數據鏈、360瀏覽器等工具作為仿真平臺。為了確保實驗有效性,硬件設備選用內存32G的服務器,選用3種不同形式的文件,即Action.java、Show Record List.java與Certi Record List.java。

實驗從互聯網平臺注冊匿名賬戶中,隨機選取400賬戶作為實驗的目標對象。這些目標對象可通過該平臺的查詢頁面,得出賬戶相關屬性信息。為驗證移動網絡數據鏈環境下網關終端訪問安全性認證方法的有效性,選取密碼方法與多階段方法作為對比方法,在仿真平臺內采取相同的訪問認證實驗。

5.2 訪問認證精度對比分析

訪問認證精度能夠有效表現出身份認證精度,就是客戶身份認證正確數量與仿真需要考慮客戶總數量的比值。

從圖2可以看出,隨著訪問客戶的增多,所提方法獲得的認證精度始終保持在90%以上,因為所提方法能夠使每個數據節點都參與密鑰管理,提升密鑰安全性,進而提升身份認證精度;對比方法所產出的密鑰長度較長且繁瑣,這大大增加訪問認證的難度,得出精度均在90%以下。由此證實,所提方法認證精度較高。

圖2 各方法下訪問認證精度對比情況

5.3 訪問認證時長對比分析

訪問認證用時多少是衡量該方法性能的關鍵指標之一。隨著隱私信息量的增多,這三種方法得出400位客戶的平均認證時長如圖3所示。

圖3 各方法的平均訪問認證時間

通過圖3可知,隨著文件數據量的增多,隱私信息訪問認證平均用時隨之增加。明顯能夠看出所提方法的認證時間低于3ms,而對比方法訪問認證時間遠大于所提方法,這是因為所提方法通過差分隱私方式建立隱私數據保護機制,能夠保證信息安全,同時持有原數據特征,這大大縮短身份信息認證時間。為此,所提方法身份認證用時最少優于對比方法。

5.4 吞吐量對比分析

吞吐量表示在單位時間內各方法能夠完成認證請求的數量。吞吐量計算過程為:

(7)

其中,packet描述為基站、傳感器等生成功能密鑰的數量;L描述為密鑰平均長度,T′描述為密鑰輸送時長。TH數值越大則代表性能越好。不同方法下文件吞吐量變化情況如圖4所示。

圖4 不同方法下文件吞吐量變化情況

根據圖4可知,三種文件形式均能看出,所提方法吞吐量性能優于其它兩種對比方法,這是因為所提方法通過會聚算法提升認證速度,在相同時間內身份認證數量最多,所獲得的吞吐量也是最多的,進而驗證所提方法的訪問認證性能良好。

6 結論

由于網關終端訪問是通過用戶賬號名與密碼認證方式,認證需要較長時間,且效率低。為此,提出移動網絡數據鏈環境下網關終端訪問安全性認證方法,運用差分隱私方式建立隱私數據保護機制,并設立網關終端安全訪問權限標簽,通過KDC秘密份額與分布式聯合秘密份額生成密鑰,并采用匯聚算法完成終端訪問認證。實驗證實所提方法的效率高,且吞吐量大,進而有效提升網關終端訪問的安全。