一種基于安全標(biāo)簽的單向身份認(rèn)證技術(shù)*

賈 悠，葉常華，盧宇浩，邱海彬

（中國電子科技集團(tuán)公司第三十研究所，四川 成都 610041）

0 引 言

隨著信息技術(shù)的飛速發(fā)展，目前的無線通信大量應(yīng)用了WIFI、4G、5G、衛(wèi)星等技術(shù)手段，傳輸高效、穩(wěn)定[1]，但都是依賴于大規(guī)模的系統(tǒng)級應(yīng)用，設(shè)備成本、應(yīng)用成本及維護(hù)成本較高。傳統(tǒng)的基于短波、超短波的無線通信手段憑借其長距離、低成本[2]以及抗干擾[3]等技術(shù)特點，廣泛應(yīng)用于政治、軍事、外交、氣象、商業(yè)等部門，用以傳送語音、文字、圖像、數(shù)據(jù)等信息，但在實際應(yīng)用過程中，受限于帶寬及傳輸時延等信道物理特性，基本沒有采取任何安全防護(hù)手段，數(shù)據(jù)在無線傳輸過程中容易被篡改、假冒，存在大量的安全風(fēng)險。

1 無線通信安全防護(hù)現(xiàn)狀分析

隨著移動互聯(lián)網(wǎng)的快速發(fā)展，移動通信設(shè)備被大眾廣泛使用，隨之而來的是對用戶隱私的眾多安全性問題，在工作和生活中通過無線網(wǎng)絡(luò)進(jìn)行通信應(yīng)用，如何保障無線通信雙方的安全可信和數(shù)據(jù)信息的無線安全傳輸成為了最敏感的安全問題，與有線網(wǎng)絡(luò)不同，無線網(wǎng)絡(luò)沒有物理邊界，任何用戶可以在任何地點接入無線網(wǎng)絡(luò)，眾多安全廠商目前都已實現(xiàn)了無線安全解決方案，主要包括端到端的加密、基于PKI 體制的無線身份認(rèn)證以及數(shù)據(jù)簽名等，很好地適用于WIFI、4G、5G 等目前主流的無線通信網(wǎng)絡(luò)，在終端安全接入、身份安全認(rèn)證、數(shù)據(jù)安全傳輸、信息安全訪問等安全保障下實現(xiàn)信息的可信互聯(lián)和安全互通。

但目前已有的安全解決方案大多都是基于WIFI、4G、5G 等公用互聯(lián)網(wǎng)絡(luò)的，屬于寬帶信息網(wǎng)絡(luò)，在認(rèn)證過程中較多采用的是傳統(tǒng)交互式的身份認(rèn)證流程[4-5]，不需要過多考慮身份認(rèn)證開銷對網(wǎng)絡(luò)帶寬的影響；但對于短波、超短波等窄帶無線通信手段，信道帶寬極其有限的情況下，交互式的身份認(rèn)證開銷會嚴(yán)重影響無線網(wǎng)絡(luò)數(shù)據(jù)的正常傳送，對無線網(wǎng)絡(luò)的吞吐量及傳輸時延都有較大的影響。受限于帶寬及傳輸時延等信道物理特性，目前大多使用短波、超短波進(jìn)行無線通信的應(yīng)用系統(tǒng)都沒有使用任何安全保密措施，如若通過該類系統(tǒng)傳遞敏感數(shù)據(jù)，會存在極高的安全風(fēng)險。

針對應(yīng)用系統(tǒng)利用短波、超短波等窄帶無線信道組網(wǎng)進(jìn)行無線數(shù)據(jù)互通的使用場景，通過一種基于標(biāo)簽的單向身份認(rèn)證技術(shù)，實現(xiàn)數(shù)據(jù)的完整性和真實性保護(hù)，防止非法假冒節(jié)點的接入，防止數(shù)據(jù)在無線通信過程中被篡改、假冒，在提供必要安全防護(hù)機制的同時，盡可能小地消耗信道帶寬資源，保證無線網(wǎng)絡(luò)數(shù)據(jù)的正常收發(fā)。

以兩個應(yīng)用系統(tǒng)通過短波、超短波等窄帶無線信道進(jìn)行數(shù)據(jù)互通的典型應(yīng)用場景為例進(jìn)行設(shè)計，在每個應(yīng)用系統(tǒng)上加載認(rèn)證處理模塊并分配唯一的身份ID，應(yīng)用系統(tǒng)在無線通信過程中，發(fā)送端通過隨機數(shù)生成密鑰號，根據(jù)密鑰號選擇一組系統(tǒng)內(nèi)置的密鑰Key，與數(shù)據(jù)內(nèi)容Data 一起計算出安全摘要Hash1（Key，Data），再加上異或后的密鑰號和身份ID，一同組成安全標(biāo)簽，在發(fā)送數(shù)據(jù)時附加到應(yīng)用數(shù)據(jù)尾部進(jìn)行發(fā)送；接收端收到數(shù)據(jù)后，獲取安全標(biāo)簽，解析密鑰號和身份ID，驗證發(fā)送端的身份ID，并根據(jù)密鑰號獲取密鑰Key，根據(jù)Key 和數(shù)據(jù)Data 計算出安全摘要Hash2（Key，Data），與接收到的安全摘要Hash1 進(jìn)行比對，只有當(dāng)身份ID 合法且安全摘要一致時，才允許接收無線數(shù)據(jù)，否則丟棄此數(shù)據(jù)包。具體實現(xiàn)流程如圖1 所示。

2 單向身份認(rèn)證技術(shù)設(shè)計

圖1 認(rèn)證流程

（1）在應(yīng)用系統(tǒng)加載時，為每個應(yīng)用系統(tǒng)預(yù)置唯一的身份ID 作為應(yīng)用系統(tǒng)標(biāo)識，并同時把所有合法的身份ID 列表下發(fā)到各應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)接收應(yīng)用數(shù)據(jù)時根據(jù)合法身份ID 列表對發(fā)送端的用戶身份進(jìn)行驗證；

（2）在應(yīng)用系統(tǒng)加載時，為應(yīng)用系統(tǒng)預(yù)置多組密鑰，每組密鑰分配一個密鑰編號，所有應(yīng)用系統(tǒng)中預(yù)置的密鑰相同，加密儲存在應(yīng)用系統(tǒng)中；

（3）當(dāng)應(yīng)用系統(tǒng)需要通過窄帶無線信道向外發(fā)送數(shù)據(jù)包時，系統(tǒng)會通過隨機數(shù)生成器隨機生成一個密鑰編號，系統(tǒng)根據(jù)密鑰編號獲取相應(yīng)的密 鑰Key；

（4）獲取密鑰后，通過默認(rèn)的算法根據(jù)IP 數(shù)據(jù)包的數(shù)據(jù)Data 與密鑰Key 一同計算出安全摘要Hash1（Data，Key）；

（5）系統(tǒng)對隨機生成的密鑰號及系統(tǒng)身份的唯一標(biāo)識身份ID 進(jìn)行異或處理，與根據(jù)數(shù)據(jù)包內(nèi)容計算出的安全摘要一同組裝為安全標(biāo)簽；

（6）在發(fā)送數(shù)據(jù)時，將安全標(biāo)簽附加在IP 數(shù)據(jù)包的尾部再通過無線信道進(jìn)行數(shù)據(jù)發(fā)送；

（7）接收端應(yīng)用系統(tǒng)在接收到無線數(shù)據(jù)后，提取IP 數(shù)據(jù)包尾部的安全標(biāo)簽進(jìn)行解析，獲取數(shù)據(jù)發(fā)送端的身份ID 后，在合法身份ID 列表中進(jìn)行查詢，驗證身份ID 的合法性，如果身份ID 非法，則丟棄該數(shù)據(jù)包，防止非法假冒用戶進(jìn)行數(shù)據(jù)互通；

系統(tǒng)所有的操作都在一個界面上完成，實現(xiàn)“一張看板的功能”，如圖1所示。輸入井號，選擇設(shè)計井類型，點擊“確定”按鈕，系統(tǒng)會從A2生產(chǎn)數(shù)據(jù)庫中自動獲取該井所有的動態(tài)數(shù)據(jù)，如圖2所示。

（8）根據(jù)安全標(biāo)簽中的密鑰編號獲取相應(yīng)的密鑰Key；

（9）通過系統(tǒng)默認(rèn)的算法，根據(jù)IP 數(shù)據(jù)包的數(shù)據(jù)Data 及獲取的密鑰Key 一同計算出安全摘要Hash2（Data，Key），與安全標(biāo)簽中的安全摘要Hash1 進(jìn)行比對，如果安全摘要不一致，則丟棄數(shù)據(jù)包，防止數(shù)據(jù)包在無線傳輸過程中被篡改，如果安全摘要一致，則接收該數(shù)據(jù)包，傳入網(wǎng)絡(luò)協(xié)議棧繼續(xù)處理。

3 通信效能影響評估分析

3.1 實驗理論分析

單向身份認(rèn)證技術(shù)為窄帶無線通信提供了安全防護(hù)功能，但同時也會對窄帶無線通信的通信效能帶來一定的影響，主要體現(xiàn)在丟包率方面，無線通信系統(tǒng)在采用單向身份認(rèn)證技術(shù)后，數(shù)據(jù)包會增加一定長度的安全標(biāo)簽，致使數(shù)據(jù)包整體長度增加，相同數(shù)據(jù)包比特數(shù)量增加，增大了數(shù)據(jù)包因誤碼引起出錯的概率，繼而增大了丟包的概率。

無線通信過程中，接收端從無線信道接收到數(shù)據(jù)包后會對收到的數(shù)據(jù)包進(jìn)行校驗和計算，而后將計算出的校驗和同接收數(shù)據(jù)包中的校驗和進(jìn)行比對，如果一致則接收，否則丟棄此數(shù)據(jù)包。

假設(shè)發(fā)送長度為N字節(jié)的數(shù)據(jù)包，在誤碼率為P的情況下，系統(tǒng)丟包率為：

系統(tǒng)采用單向身份認(rèn)證技術(shù)后，增加長度為M字節(jié)的安全標(biāo)簽，丟包率為：

系統(tǒng)采用單向身份認(rèn)證技術(shù)后,增大的丟包 率為：

系統(tǒng)不采用單向身份認(rèn)證技術(shù)時的丟包率為：18.52%；

系統(tǒng)采用單向身份認(rèn)證技術(shù)后丟包率為：20.58%；

系統(tǒng)采用單向身份認(rèn)證技術(shù)后增大的丟包率為：2.06%。

3.2 實驗方案

通過搭建兩套分別互通的模擬應(yīng)用系統(tǒng)來進(jìn)行實驗，模擬應(yīng)用系統(tǒng)1 采用透明傳輸，不采用任何安全防護(hù)手段，模擬應(yīng)用系統(tǒng)2 加載安全防護(hù)模塊，采用單向身份認(rèn)證技術(shù)，實驗拓?fù)淙鐖D2 所示。

圖2 實驗拓?fù)?/p>

由于短波無線信道質(zhì)量受外界因素影響很大，外界因素的改變，使得無線信道的質(zhì)量也會隨之變化，因此實驗過程中發(fā)送端使用兩臺安裝有模擬應(yīng)用系統(tǒng)的計算機同時發(fā)送測試數(shù)據(jù)包，接收端兩臺計算機同時接收數(shù)據(jù)包，以達(dá)到較為準(zhǔn)確的實驗效果。

3.3 實驗結(jié)果

實驗過程中通過調(diào)整短波電臺參數(shù)，分別在信道質(zhì)量良好、一般、較差、很差4 種情況下對兩組模擬應(yīng)用系統(tǒng)無線通信的丟包率進(jìn)行了測試，實驗數(shù)據(jù)結(jié)果如表1 所示。

實驗結(jié)果可以看出，短波無線通信系統(tǒng)采用單向身份認(rèn)證技術(shù)實現(xiàn)安全防護(hù)功能后，對丟包率只會有微小的增加，不會影響應(yīng)用業(yè)務(wù)的正常通信。

表1 實驗數(shù)據(jù)結(jié)果

4 結(jié) 語

在窄帶無線通信系統(tǒng)上應(yīng)用單向身份認(rèn)證技術(shù)后，能極大提升無線通信的安全性，防止非法的節(jié)點接入無線通信網(wǎng)絡(luò)，防止數(shù)據(jù)信息在無線通信過程中被篡改、假冒，保證無線交互數(shù)據(jù)信息的完整性和真實性。但由于單向身份認(rèn)證技術(shù)會在無線通信數(shù)據(jù)的數(shù)據(jù)包后端附加一定長度的安全標(biāo)簽，從而增加數(shù)據(jù)包長度，導(dǎo)致數(shù)據(jù)包的整體丟包率會有微小的提高。但總的來看，基于安全標(biāo)簽的單向身份認(rèn)證技術(shù)對通信傳輸效能的影響是比較微小的，是在可接受范圍內(nèi)，通過損失微小的通信傳輸效能換取了數(shù)據(jù)信息的無線安全傳輸，無論是在軍用還是民用領(lǐng)域，都具有廣闊的應(yīng)用價值。