無線信道物理層密鑰生成方法與密鑰協(xié)商體系

楊 碩，侯曉赟，朱 艷

(南京郵電大學 信號處理與傳輸研究院，江蘇 南京 210003)

無線信道物理層密鑰生成方法與密鑰協(xié)商體系

楊 碩，侯曉赟，朱 艷

(南京郵電大學 信號處理與傳輸研究院，江蘇 南京 210003)

由于信道的開放性，無線通信面臨著被竊聽的危險，通常采用加密來增強通信的安全傳輸。無線物理層密鑰技術(shù)利用了無線信道的時變性和互易性，不僅可以實現(xiàn)“一次一密”，而且無需進行密鑰分發(fā)，避免了傳統(tǒng)加密技術(shù)中因密鑰分發(fā)而引起的泄密風險，因而成為信息安全領(lǐng)域的最新研究熱點之一。為此，對基于無線信道特征的物理層密鑰生成方法進行了回顧與總結(jié)，并比較了各自優(yōu)缺點。針對通信雙方初始生成密鑰的不一致性問題，從信息調(diào)和、一致性認證、保密增強這三個方面分析研究了密鑰協(xié)商體系。歸納總結(jié)了一些典型的技術(shù)和算法，并對比分析了其優(yōu)缺點。未來研究方向應(yīng)是充分利用信道特征，并設(shè)計出更優(yōu)的量化策略，提高初始密鑰的一致性，降低信息協(xié)商的程度，同時要兼顧密鑰的隨機性以及密鑰生成速率；在信息協(xié)商階段，應(yīng)設(shè)計出更好的信道編碼進行糾錯。

物理層；密鑰生成；密鑰協(xié)商；信息調(diào)和；一致性認證；保密增強

0 引 言

隨著無線網(wǎng)絡(luò)的不斷發(fā)展，無線通信在生活中起到了越來越重要的作用。然而由于無線媒介的廣播性和開放性，傳播的信息極易被竊聽，無線通信的隱私以及安全問題已經(jīng)成為廣泛關(guān)注的焦點。保障通信安全的傳統(tǒng)技術(shù)主要是在網(wǎng)絡(luò)層以密碼學為基礎(chǔ)，其安全性依賴于計算能力，隨著量子信息時代的到來，很多傳統(tǒng)的加密方法越來越容易被破解。而物理層安全技術(shù)則可以達到信息理論意義上的安全，它通過物理層密鑰與探索信道隨機性的信道編碼技術(shù)來保證第三方無法在無線媒介上竊聽。

與傳統(tǒng)加密技術(shù)相比，物理層密鑰技術(shù)具有諸多優(yōu)勢。第一，密鑰在認證雙方直接生成，不需要密鑰管理中心及密鑰分發(fā)過程，降低了密鑰被竊聽的風險。第二，物理層密鑰是基于無線信道的隨機性機理，因此它獨立于計算復雜度，可以簡單高效地解決安全問題。第三，由于收發(fā)雙方的移動和不斷變化的環(huán)境，物理層密鑰生成是動態(tài)的，這樣可以提高共享密鑰的安全。

1949年，Shannon給出了完美保密的定義[1]，利用關(guān)于完善保密的兩個定理，證明了一次一密的無條件安全性。在此基礎(chǔ)上，Wyner提出了竊聽信道的數(shù)學模型[2]，假設(shè)竊聽的信道是合法接收者的退化信道。Maurer等的研究表明相關(guān)隨機性可以用來生成密鑰[3-4]，然而在文獻[3]中Maurer認為Wyner的退化竊聽信道未必現(xiàn)實，提出了通信雙方可以安全通信的密鑰協(xié)商協(xié)議。該方案的關(guān)鍵要素是信息調(diào)和與保密增強。此外，基于噪聲信道的密鑰協(xié)商方案在文獻[3-4]中提出，第三方可以在認證的公開信道中竊聽通信但不能破壞通信。這種方法在通信雙方分享相關(guān)高斯信源的模型中被拓展[5]。在文獻[6]中，在準靜態(tài)衰落信道中提出了機會通信，只在通信雙方信道狀態(tài)好于竊聽方的情況下傳送信號。由于合法通信用戶對于雙方之間的信道估計存在不可避免的誤差，提取的密鑰必然不一致，在密鑰提取方案中必須通過輔助方法進行密鑰協(xié)商。通信雙方需要通過公開信道交互一部分信息進行密鑰協(xié)商，進而提高密鑰一致性，而這部分信息在傳輸過程中存在泄漏的風險，需要進行保密增強。文獻[7-8]中對無線密鑰生成技術(shù)進行了總結(jié)分析，但主要集中在初始密鑰提取和生成階段。可見，基于無線信道特征的物理層密鑰生成方法是值得研究的。為此，在回顧總結(jié)的基礎(chǔ)上，比較分析了其各自優(yōu)缺點。針對通信雙方初始生成密鑰的不一致性問題，從信息調(diào)和、一致性認證、保密增強這三個方面分析研究了密鑰協(xié)商體系，歸納總結(jié)了一些典型的技術(shù)和算法，并對比分析了其優(yōu)缺點。

1 密鑰生成

無線物理層密鑰生成是基于公共無線信道的互易特性。系統(tǒng)模型如圖1所示。假設(shè)無線通信系統(tǒng)有兩個合法節(jié)點A和B以及被動攻擊者E。A和B測量物理信道的互易特性，分別用hAB和hBA表示。當竊聽者Eve與合法通信用戶Alice和Bob之間的距離大于λ/2以上時,E的測量hAE和hBE與A和B的測量幾乎沒有相關(guān)性。

一般地，在一個散射的環(huán)境中，兩個認證實體Alice和Bob分別用特殊的估計算法估計上行和下行信道狀態(tài)，根據(jù)信道互易性特征，它們的估計在某種程度上是相關(guān)的，因此可以提取幾乎相同的密鑰，差異不大。運用某種量化準側(cè)，可以將估計的樣值轉(zhuǎn)換成一定的比特序列，這些比特序列是初始密鑰。

圖1 系統(tǒng)模型

最常見的密鑰生成方法是根據(jù)接收到的信號強度量化成比特流。然而其他信道特征也可以進行密鑰生成，例如信道相位、信道包絡(luò)和多徑下的信道特征等。文獻[9]提出了一種基于接收信號強度(ReceivedSignalStrength，RSS)的密鑰提取方法。將信息論的理論研究轉(zhuǎn)化為實際的密鑰提取過程，提出一種有別于以前的依賴于雙方鑒權(quán)的密鑰提取的新算法，并利用基于FPGA平臺的802.11協(xié)議進行算法驗證。針對基于RSS生成密鑰速率低以及隨機性差等缺點，文獻[10]探索了信道相位隨機性，取得了較高的密鑰生成速率，并在此基礎(chǔ)上提出了協(xié)作密鑰生成方案[11]。文獻[12]提出了一種基于多徑相對時延的密鑰生成方法，利用相對時延與平均時延的差值產(chǎn)生密鑰，具有一定的抗噪性能。根據(jù)基于放大轉(zhuǎn)發(fā)的雙向中繼信道的特性，文獻[13]利用時分系統(tǒng)無線多徑信道的互易性和卷積性，采用基于壓縮感知的重構(gòu)算法對信道狀態(tài)信息進行估計，提出了基于多徑相對幅度和基于多徑相對相位的密鑰生成方案，均可以達到較高的密鑰一致性。

很多對于密鑰生成性能的改進是從信道估計和量化策略入手，例如文獻[14]提出一種ESPAR(ElectronicallySteerableParasiticArrayRadiator)天線的波束成型技術(shù)，可以增強信道的波動特征，并且有能力基于接收信號強度充分獨立地生成密鑰。這樣的信道估計更加準確。同時，更優(yōu)的量化策略也可以產(chǎn)生更好的性能效果。由于缺少信道波動，提取的比特具有很低的熵值，無法作為密鑰。文獻[15]提出一種自適應(yīng)有損量化器結(jié)合交互式環(huán)境自適應(yīng)的密鑰提取方案。為了取得更好的密鑰一致性，文獻[16]提出一種利用RSS的多電平密鑰提取量化方案并采用校驗序列，提升了合法通信用戶之間的密鑰一致性，該算法在密鑰一致性和密鑰生成速率之間作了折衷。

密鑰生成算法的性能評價指標主要有3個：

(1)密鑰生成速率，指相干時間內(nèi)生成的比特流數(shù)目，加快信道的變化可以提高密鑰生成速率；

(2)密鑰不一致率，指通信雙方錯誤比特數(shù)與總比特的比率；

(3)密鑰隨機性，反映0和1的均勻程度，0和1均勻分布會有好的隨機性，保證安全性。

2 密鑰協(xié)商系統(tǒng)模型

圖2表示共同信息通過公開討論的密鑰協(xié)商系統(tǒng)模型[17]。Alice，Bob，Eve分別表示發(fā)送者、合法接收者和竊聽者。X為Alice的發(fā)送信號，Y為Bob的接收信號，而Z是Eve的接收信號，P是X,Y和Z的聯(lián)合概率分布。一開始Alice和Bob不分享密鑰，他們知道隨機變量X和Y,而Eve知道隨機變量Z。

為了把我國建成“交通強國”，為了推進“一帶一路”建設(shè)，我國鐵路相關(guān)院校的大學生一定會響應(yīng)習近平總書記今年5月2日在北京大學師生座談會上發(fā)出的號召：“廣大青年要努力成為有理想、有學問、有才干的實干家，在新時代干出一番事業(yè)。”(圖為筆者為榮獲2015年國家科技進步獎特等獎的梁建英總工程師頒發(fā)杰出校友獎杯,照片由同濟大學老科協(xié)張宗桐提供。)

圖2 協(xié)商模型

同時也給出了密鑰協(xié)商協(xié)議的定義，包括通信階段和密鑰生成階段，假設(shè)生成的密鑰取決于雙方所知道的信息而不是額外的隨機比特。此外，在假設(shè)通過公共信道是認證而不是秘密的情況下也給出了定義。

密鑰協(xié)商是在初始密鑰生成之后進行的，主要包括以下步驟：

(1)信息調(diào)和：丟棄或糾正兩端生成密鑰的差異。

(2)一致性確認：確定雙方是否生成了完全一致的密鑰。

(3)保密增強：Alice和Bob從正確數(shù)據(jù)中提取秘密比特。

3 信息調(diào)和

上述討論的是通過一些經(jīng)典算法進行密鑰協(xié)商，然而由于信息調(diào)和本質(zhì)上是進行糾錯的過程，所以可以根據(jù)信道隨機性的信道編碼技術(shù)實現(xiàn)密鑰協(xié)商。問題的關(guān)鍵在于帶有編碼的邊信息譯碼器，在這里Alice提供附加信息以便Bob恢復Alice傳輸?shù)男蛄?。LDPC碼由于具有很強的糾錯能力，因此應(yīng)用比較廣泛。文獻[21]中利用LDPC降低了由信道噪聲引起的密鑰序列不一致。文獻[22]采用BCH碼，文獻[23]則采用了Reed-Muller碼實現(xiàn)信息調(diào)和。

4 一致性確認

單向Hash函數(shù)是現(xiàn)代密碼學的核心概念，用于通信過程中的身份驗證和信息完整性驗證。Hash的安全性是指它的單向性，即輸出的不反映任何與輸入數(shù)據(jù)有關(guān)的信息。令Hash算法用Hash()表示，則Y=Hash(X),表示輸出序列Y為輸入序列X的Hash值。由Hash函數(shù)的性質(zhì)可知，即使截獲Y，想反向推斷X也十分困難。

在密鑰生成的最后階段，合法通信用戶Alice和Bob在使用密鑰進行安全通信之前要確認是否生成相同的密鑰，為了執(zhí)行這個確認，通過三個步驟進行說明。該過程將采用AVISPA(AutomatedValidationofInternetSecurityProtocolsandApplications)協(xié)議[24]，如圖3所示。

圖3 認證過程

步驟1：Bob選取一個真實隨機數(shù)R，使用自己的密鑰KB進行加密，然后通過公開信道發(fā)送加密值EKB(R)給Alice，EK(.)表示的是通過密鑰K進行的加密操作。

步驟2：Alice通過自己的密鑰KA解密接收到的數(shù)值，進行Hash處理后用KA再進行加密。將EKA(H(DKA(EKB(R))))通過公開信道發(fā)送給Bob，其中DK(.)和H(.)表示的是用K解密和哈希操作。

步驟3：接收者Bob通過密鑰KB進行解碼操作。如果解密出的結(jié)果和H(R)相等，則Bob發(fā)送確認信息給Alice，確認密鑰相同。如果解密出的結(jié)果和H(R)不相等，則Bob發(fā)送否認信息給Alice，表示密鑰不相同。

這里需要注意的是EK(.)、DK(.)和H(.)均是公開操作，并且，每次R都要進行更新，因為存在重復攻擊對抗這個算法。

文獻[25]提到基于雙Hash函數(shù)的密鑰一致性協(xié)商，主要是利用Hash_2函數(shù)進行密鑰去相關(guān)。當信道緩慢變化時，連續(xù)多次信道估計得到的信道特征值相近，因此經(jīng)過相同的密鑰生成算法生成的密鑰也很相近，具有很強的相干性，從而降低了密鑰的動態(tài)安全性。因此需要進行密鑰去相關(guān)處理。

5 保密增強

假設(shè)Alice和Bob有一樣的序列Xl,l是其長度。Eve有一相關(guān)序列Zl。保密增強的作用是通過壓縮函數(shù)，將部分安全的密鑰壓縮為幾乎不被Eve所利用的信息。文獻[26]中Bennett等利用Hash函數(shù)，以二階瑞利熵為工具，給出了對保密增強的完整證明。

文獻[27]中介紹了兩種保密增強協(xié)議，一種是UH(通用Hash函數(shù))協(xié)議，另一種是EX(提取器)協(xié)議。UH協(xié)議是基于通用Hash函數(shù)以及部分密鑰的瑞利熵研究，在竊聽方看來部分密鑰的長度是超過三分之二序列的部分。然后，協(xié)議提取與這長度等同的序列。UH協(xié)議的計算非常簡單。對于更長的序列，基于EX協(xié)議是可以使用的。它的優(yōu)勢是可以重復使用相同的密鑰在保密增強的步驟中。

保密增強環(huán)節(jié)雖然不能增加原有密鑰的隨機性，但是卻避免了弱密鑰導致加密算法出現(xiàn)漏洞的幾率。

6 結(jié)束語

為了更加深入、系統(tǒng)地研究無線物理層密鑰安全技術(shù)，總結(jié)回顧了無線物理層密鑰生成與協(xié)商的發(fā)展歷程，從信息調(diào)和、一致性認證、保密增強三個方面討論了密鑰協(xié)商協(xié)議。在信息調(diào)和的過程中一些算法和信道編碼技術(shù)值得深入研究，從而設(shè)計出更好的方法。密鑰協(xié)商主要解決密鑰不一致問題，因此要想進行安全通信，必須處理好這個問題，加強對密鑰協(xié)商的研究。

由于噪聲和估計同步等問題的影響，導致密鑰提取階段存在誤差，可以考慮充分利用信道特征，以及設(shè)計出更優(yōu)的量化策略，提高初始密鑰的一致性，降低信息協(xié)商的程度，同時要兼顧密鑰的隨機性以及密鑰生成速率。在信息協(xié)商階段，設(shè)計出更好的信道編碼進行糾錯應(yīng)該是接下來研究的重點。

[1]ShannonCE.Communicationtheoryofsecrecysystems[J].BellSystemTechnicalJournal,1949,28(4):656-715.

[2]WynerAD.Thewire-tapchannel[J].BellSystemTechnicalJournal,1975,54(8):1355-1387.

[3]MaurerUM.Secretkeyagreementbypublicdiscussionfromcommoninformation[J].IEEETransactionsonInformationTheory,1993,39(4):733-742.

[4]AhlswedeR,CsiszárI.Commonrandomnessininformationtheoryandcryptography,partI:secretsharing[J].IEEETransactionsInformationTheory,1993,39(4):1121-1132.

[5]NaitoM,WatanabeS,MatsumotoR,etal.Secretkeyagreementbysoft-decisionofsignalsinGaussianMaurer’smodel[J].IEICETransactionsonFundamentals,2009,E-92(2):525-534.

[6]BlochM,BarrosJ,RodriguezMRD,etal.Wirelessinformation-theoreticsecurity[J].IEEETransactionsInformationTheory,2008,54(6):2515-2534.

[7] 李古月,胡愛群,石 樂.無線信道的密鑰生成方法[J].密碼學報,2014,1(3):211-224.

[8] 隋 雷,郭淵博,姜文博,等.基于無線信道特征的密鑰生成與提取研究[J].計算機科學,2015,42(2):137-141.

[9]KimHS.Measurementandmodelbasedcharacterizationofindoorwirelesschannels[D].Lowell:UniversityofMassachusetts,1989.

[10]WangQ,SuH,RenK,etal.Fastandscalablesecretkeygenerationexploitingchannelphaserandomnessinwirelessnetworks[C]//ProceedingsofInINFOCOM.[s.l.]:IEEE,2011:1422-1430.

[11]WangQ,SuH,RenK.Cooperativesecretgenerationfromphaseestimationinnarrowbandfadingchannels[J].IEEEJournalonSelectedAreasinCommunications,2012,30(9):1666-1674.

[12] 周百鵬,黃開枝,金 梁,等.一種基于多徑相對時延的密鑰生成方法[J].計算機應(yīng)用研究,2011,28(6):2196-2198.

[13] 魏 浩,鄭寶玉,侯曉赟,等.基于放大轉(zhuǎn)發(fā)的雙向中繼信道密鑰生成[J].電子與信息學報,2013,35(6):1344-1350.

[14]AonoT,HiguchiK,OhiraT,etal.Wirelesssecretkeygenerationexploitingreactance-domainscalarresponseofmultipathfadingchannels[J].IEEETransactionsonAntennasandPropagation,2005,53(11):3776-3784.

[15]JanaS,PremnathSN,ClarkM,etal.Ontheeffectivenessofsecretkeyextractionfromwirelesssignalstrengthinrealenvironments[C]//Proceedingsofthe15thannualinternationalconferenceonmobilecomputingandnetworking.[s.l.]:ACM,2009:321-332.

[16]OhiraT.Secretkeygenerationexploitingantennabeamsteeringandwavepropagationreciprocity[C]//ProceedingsofEUMC.London,UK:[s.n.],2005:23-27.

[17]MaurerU,WolfS.Secret-keyagreementoverunauthenticatedpublicchannels.i:definitionsandacompletenessresult[J].IEEETransactionsonInformationTheory,2003,49(4):832-838.

[18]BrassardG,SalvailL.Secret-keyreconciliationbypublicdiscussion[C]//EU-ROCRYPT93.Berlin:Springer,1994:410-423.

[19]BennettCH,BrassardG,RobertJM.Secret-keyreconciliationbypublicdiscussion[M].Berlin:Springer-Vering,1986.

[20]ButtlerWT,LamoreauxSK，TorgersonJR,etal.Fastefficienterrorreconciliationforquantumcryptography[J].PhysicalReviewA,2003,67:052303.

[21]MadisekMG,McGuireML,NevilileSS,etal.SecretkeygenerationandagreementinUWBcommunicationchannels[C]//IEEEglobaltelecommunicationsconference.[s.l.]:IEEE,2008:1-5.

[22]LiuH,WangY,YangJ,etal.Collaborativesecretkeyextractionleveragingreceivedsignalstrengthinmobilewirelessnetworks[C]//IEEEinternationalconferenceoncomputercomputercommunication.[s.l.]:IEEE,2012:927-935.

[23]WilsonR,TseD,ScholtzRA.Channelidentification:secretsharingusingreciprocityinultrawidebandchannels[J].IEEETransactiononInformationForensicsandSecurity,2007,2(3):364-375.

[24]ArmandoA,BasinD,BoichutY,etal.TheAVISPAtoolfortheautomatedvalidationofinternetsecurityprotocolsandapplications[C]//Proceedingsofcomputeraidedverification.[s.l.]:[s.n.],2005:281-285.

[25] 周百鵬.基于無線信道特征提取的密鑰生成技術(shù)研究[D].鄭州:解放軍信息工程大學,2011.

[26]BennettCH,BrassardG,CrépeauC,etal.Generalizedprivacyamplification[J].IEEETransactionsonInformationTheory,1995,41(6):1915-1923.

[27]MaurerU,WolfS.Secret-keyagreementoverunauthenticatedpublicchannels.III：privacyamplification[J].IEEETransactionsonInformationTheory,2003,49(4):839-851.

Generation and Agreement of Secret Keys for Physical Layer Security Based on Wireless Channels

YANG Shuo,HOU Xiao-yun,ZHU Yan

(Institute of Signal Processing & Transmission,Nanjing University of Posts & Telecommunications,Nanjing 210003,China)

Due to the openness of the channel,the wireless communication faces the danger of being eavesdropped,so it usually uses encryption to enhance the security of communication.The wireless physical layer key technology utilizes the time-varying and reciprocity of radio channel,not only to achieve "one-time pad",but also to eliminate the need for key distribution,avoiding the risk of leak caused by key distribution for the traditional encryption technology.Therefore it has become one of the latest research hotspots in the field of information security.For this reason,the physical layer key generation method based on the characteristics of the wireless channel is reviewed and summarized,and their advantages and disadvantages are compared.According to the inconsistent problem of the initial generation of the key,the key agreement protocol are analyzed in three aspects:information reconciliation,consistency authentication and privacy amplification.Some typical techniques and algorithms are summarized,and their advantages and disadvantages are compared.Further research direction is to make full use of channel characteristics,and to design better quantitative strategies,which can improve the consistency of the initial key and reduce the level of information reconciliation.At the same time,the randomness of the key and the rate of the key generation should be considered.In the key agreement phase,a better channel coding is designed to correct the error.

physical layer;secret key generation;secret key agreement;information reconciliation;consistency authentication;privacy amplification

2016-05-26

2016-09-08 網(wǎng)絡(luò)出版時間：2017-03-07

國家自然科學基金資助項目(61201270)

楊 碩(1991-)，男，碩士研究生，研究方向為無線物理層密鑰安全。

http://kns.cnki.net/kcms/detail/61.1450.TP.20170307.0921.050.html

TP301

A

1673-629X(2017)05-0123-05

10.3969/j.issn.1673-629X.2017.05.026