基于區(qū)塊鏈的軟件定義物聯(lián)網(wǎng)訪問控制模型研究

摘要：軟件定義物聯(lián)網(wǎng)通過應(yīng)用軟件定義網(wǎng)絡(luò)技術(shù)，實(shí)現(xiàn)了網(wǎng)絡(luò)平面與控制平面的有效分離，從而顯著提升了物聯(lián)網(wǎng)服務(wù)的靈活性與可管理性，然而其開放性也帶來了更多的安全挑戰(zhàn)。因此，提出將區(qū)塊鏈技術(shù)集成到軟件定義物聯(lián)網(wǎng)架構(gòu)中，利用區(qū)塊鏈的去中心化和不可篡改的核心特性來加強(qiáng)網(wǎng)絡(luò)控制與數(shù)據(jù)訪問的安全性。另外，還通過智能合約來自動(dòng)執(zhí)行安全策略，采用基于密文策略的屬性加密方案保證數(shù)據(jù)在傳輸和存儲(chǔ)過程中的安全。

關(guān)鍵詞：軟件定義物聯(lián)網(wǎng)區(qū)塊鏈密文策略屬性基加密網(wǎng)絡(luò)安全

中圖分類號(hào)：TP311

ResearchonBlockchain-BasedAccessControlModelforSoftware-DefinedInternetofThings

ZHANGZhen

SchoolofInformationEngineering，HenanIndustryandTradeVocationalCollege，Zhengzhou，HenanProvince，450053China

Abstract：TheSoftware-DefinedInternetofThings（SD-IoT）achieveseffectiveseparationofthenetworkplaneandcontrolplanebyapplyingSoftware-DefinedNetworking（SDN）technology，therebysignificantlyenhancingtheflexibilityandmanageabilityofIoTservices.However，itsopennessalsobringsadditionalsecuritychallenges.Therefore，itisproposedtointegrateBlockchaintechnologyintotheSD-IoTarchitecture，leveragingthedecentralizedandimmutablecorecharacteristicsofBlockchaintostrengthenthesecurityofnetworkcontrolanddataaccess.Additionally，smartcontractscanareusedtoautomaticallyenforcesecuritypolicies，andaciphertext-policyattribute-basedencryptionschemecanbeadoptedtoensurethesecurityofdataduringtransmissionandstorage.

KeyWords：Software-DefinedInternetofThings;Blockchain;Ciphertext-policyattribute-basedencryption;Networksecurity

隨著相關(guān)技術(shù)的不斷發(fā)展，海量的物聯(lián)網(wǎng)設(shè)備被接入各種系統(tǒng)當(dāng)中，其帶來的管理壓力也越來越大。傳統(tǒng)的物聯(lián)網(wǎng)管理體系難以支撐系統(tǒng)的正常運(yùn)轉(zhuǎn)，無法做到如臂揮使。軟件定義網(wǎng)絡(luò)（Software-DefinedNetworking，SDN）是一種可以編程調(diào)節(jié)的網(wǎng)絡(luò)架構(gòu)，它的主要思想是將網(wǎng)絡(luò)設(shè)備的控制平面和數(shù)據(jù)平面分開，使用集中式的SDN控制器來完成對(duì)網(wǎng)絡(luò)的可編程任務(wù)[1]。它被業(yè)界引入集成到了物聯(lián)網(wǎng)當(dāng)中，構(gòu)建了一種新型的體系結(jié)構(gòu)——軟件定義物聯(lián)網(wǎng)（Software-DefinedInternetofThings，SD-IoT）。它解耦了數(shù)據(jù)平面和控制平面，在集中化的控制器當(dāng)中實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)的編程，大大提升了物聯(lián)網(wǎng)的性能和安全。但是他也面臨控制器容易發(fā)生單點(diǎn)故障，數(shù)據(jù)層和控制層通信不安全，網(wǎng)絡(luò)防御性能較低的問題。區(qū)塊鏈作為一種可信分布式的網(wǎng)絡(luò)架構(gòu)，可以有效解決這些問題。

1密文策略屬性基加密

基于密文策略的屬性基加密（CiphertextPolicyAttribute-BasedEncryption，CP-ABE）中加密數(shù)據(jù)的可訪問性由用戶的屬性與預(yù)定義的訪問策略共同決定。當(dāng)且僅當(dāng)屬性集合滿足訪問結(jié)構(gòu)的時(shí)候，才可以解密成功，從而實(shí)現(xiàn)一對(duì)多的數(shù)據(jù)細(xì)粒度訪問控制[2]。物聯(lián)網(wǎng)接入設(shè)備眾多，身份認(rèn)證是系統(tǒng)安全的第一道防線[3]。CP-ABE的操作過程包括幾個(gè)關(guān)鍵階段：系統(tǒng)初始化階段、密鑰生成階段、加密階段和解密階段。

1.1系統(tǒng)初始化階段

系統(tǒng)初始化算法為，輸入包括安全參數(shù)λ和屬性全集U。U枚舉了可能被授權(quán)訪問的所有屬性，輸出包括公共參數(shù)PK和主密鑰MK[4]。公共參數(shù)PK將被系統(tǒng)內(nèi)的所有參與者使用，用于數(shù)據(jù)加密和驗(yàn)證訪問策略的合法性。主密鑰MK由TA安全保管，不對(duì)外公開，用于后續(xù)的密鑰派生過程中生成與特定用戶屬性相關(guān)的解密密鑰。

1.2密鑰生成階段

密鑰生成算法為，輸入包括主密鑰MK和用戶的屬性集合T。在密鑰生成階段，可信授權(quán)中心首先驗(yàn)證提供的用戶屬性集合的有效性和完整性，然后根據(jù)用戶的屬性特征去選擇訪問策略，這一過程的目的是保證合適的屬性才能被用于生成私鑰。

1.3加密階段

加密算法為，公共參數(shù)PK被用來加密數(shù)據(jù)和構(gòu)建與訪問策略相關(guān)的加密結(jié)構(gòu)。消息M是需要被加密的數(shù)據(jù)，可以是任意類型的數(shù)字信息。與消息M相關(guān)聯(lián)的策略樹將會(huì)在加密過程中被構(gòu)建。這個(gè)策略樹定義了哪些屬性集合能成功解密消息。公共參數(shù)PK和策略樹可以將消息M加密為密文。

1.4解密階段

解密算法為，輸入的參數(shù)包含了公共參數(shù)PK，嵌入了訪問結(jié)構(gòu)MA的密文CT，以及嵌入了屬性S的私鑰SKA。公共參數(shù)PK用于輔助解密過程，確保密文的結(jié)構(gòu)與加密時(shí)一致。密文包含了加密的消息M及定義哪些屬性集合能解密消息的訪問結(jié)構(gòu)MA。私鑰SKA則包括了用戶的屬性集合T以及必要的解密信息。

2.2基于區(qū)塊鏈的軟件定義物聯(lián)網(wǎng)訪問控制模型

系統(tǒng)架構(gòu)由5個(gè)主要層次構(gòu)成：應(yīng)用層、控制層、數(shù)據(jù)層、區(qū)塊鏈層和CP-ABE層。應(yīng)用層負(fù)責(zé)與用戶進(jìn)行交互，以及提供網(wǎng)絡(luò)服務(wù)應(yīng)用，能夠使用北向API和控制層通信；控制層作為系統(tǒng)的核心，處理網(wǎng)絡(luò)策略和安全，同時(shí)與數(shù)據(jù)層通過南向API連接，并利用區(qū)塊鏈和CP-ABE技術(shù)確保數(shù)據(jù)安全性；數(shù)據(jù)層用以數(shù)據(jù)的存儲(chǔ)和管理，為其他層次提供數(shù)據(jù)支持。整體架構(gòu)通過這些分層和技術(shù)整合，確保了網(wǎng)絡(luò)的高效運(yùn)行和安全。

2.2.1應(yīng)用層

應(yīng)用層是SDNIoT系統(tǒng)架構(gòu)中與用戶直接交互的部分，負(fù)責(zé)提供各種網(wǎng)絡(luò)服務(wù)和用戶界面。它通過北向API將用戶請(qǐng)求轉(zhuǎn)化為具體的網(wǎng)絡(luò)命令，傳遞給控制層進(jìn)行處理。此層還負(fù)責(zé)展示網(wǎng)絡(luò)操作的結(jié)果和狀態(tài)給用戶，使用戶能夠直觀地管理和監(jiān)控網(wǎng)絡(luò)設(shè)備及其性能。

2.2.2控制層

控制層在SDNIoT系統(tǒng)架構(gòu)中充當(dāng)網(wǎng)絡(luò)的大腦，負(fù)責(zé)處理來自應(yīng)用層的請(qǐng)求并執(zhí)行網(wǎng)絡(luò)策略管理和決策。它使用南向API與數(shù)據(jù)層和網(wǎng)絡(luò)設(shè)備建立溝通的渠道，實(shí)施安全控制和流量調(diào)度等操作。此層還集成了區(qū)塊鏈和CP-ABE技術(shù)，確保網(wǎng)絡(luò)操作的安全性和數(shù)據(jù)的完整性。

2.2.3數(shù)據(jù)層

數(shù)據(jù)層是SDNIoT系統(tǒng)架構(gòu)中負(fù)責(zé)收集、存儲(chǔ)和管理所有網(wǎng)絡(luò)數(shù)據(jù)的基礎(chǔ)層。這一層保障了網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)的安全存儲(chǔ)，使用CP-ABE技術(shù)加密敏感數(shù)據(jù)，確保數(shù)據(jù)安全性。數(shù)據(jù)層還為控制層提供實(shí)時(shí)和歷史數(shù)據(jù)，支持網(wǎng)絡(luò)性能監(jiān)控和決策分析。

2.2.4區(qū)塊鏈層

區(qū)塊鏈?zhǔn)且粋€(gè)去中心化的分布式賬本，數(shù)據(jù)所有者通過存儲(chǔ)交易將要分享的數(shù)據(jù)發(fā)送至區(qū)塊鏈，從而實(shí)現(xiàn)一對(duì)多的安全數(shù)據(jù)共享[5]。每個(gè)區(qū)塊的哈希值受其內(nèi)容和父哈希的影響，因此任何對(duì)該區(qū)塊內(nèi)容的修改都將導(dǎo)致該哈希值的更改[6]。區(qū)塊鏈層在SDNIoT系統(tǒng)架構(gòu)中提供了一個(gè)去中心化的數(shù)據(jù)記錄和驗(yàn)證平臺(tái)，增強(qiáng)了網(wǎng)絡(luò)的透明度和數(shù)據(jù)的不可篡改性。它記錄了網(wǎng)絡(luò)策略變更、設(shè)備狀態(tài)更新以及所有關(guān)鍵的網(wǎng)絡(luò)事務(wù)，確保操作的可追溯性和安全性。

Buterin在以太坊白皮書中率先引入了智能合約。智能合約本質(zhì)上是一個(gè)用戶自定義的計(jì)算機(jī)協(xié)議程序，在一些外部或內(nèi)部條件的觸發(fā)下自動(dòng)運(yùn)行在以太坊虛擬機(jī)上，借助其專用加密貨幣以太幣來計(jì)量和控制程序執(zhí)行的資源開銷[7]。此層可以使用預(yù)設(shè)的智能合約自動(dòng)處理較多的網(wǎng)絡(luò)策略和訪問控制任務(wù)，從而提高了網(wǎng)絡(luò)管理的效率和可靠性。

2.2.5CP-ABE層

CP-ABE層在SDNIoT系統(tǒng)架構(gòu)中負(fù)責(zé)實(shí)施基于屬性的加密，確保數(shù)據(jù)在整個(gè)網(wǎng)絡(luò)中的安全傳輸和存取。該層在加密時(shí)設(shè)計(jì)一個(gè)訪問控制策略，契合特定屬性的用戶和設(shè)備才能解密，進(jìn)而訪問數(shù)據(jù)。系統(tǒng)使用CP-ABE進(jìn)行了細(xì)粒度的訪問控制，加強(qiáng)了數(shù)據(jù)的保密性和安全性，應(yīng)對(duì)多樣化的網(wǎng)絡(luò)安全需求。

3.3工作流程

在使用基于區(qū)塊鏈和CP-ABE的SDNIoT訪問控制模型時(shí)，主要的工作流程可概括為以下3個(gè)步驟。

3.3.1屬性和密鑰管理

屬性授權(quán)中心（AttributeAuthorityCenter，AAC）負(fù)責(zé)精確定義用戶和設(shè)備的屬性，這些屬性涉及角色、權(quán)限級(jí)別、部門歸屬或設(shè)備類別等方面。AAC基于已定義的屬性生成密鑰對(duì)：公鑰與私鑰。公鑰用于數(shù)據(jù)的加密，保障網(wǎng)絡(luò)中傳輸或存儲(chǔ)的數(shù)據(jù)的安全性，且該公鑰對(duì)所有網(wǎng)絡(luò)用戶開放，用以加密目標(biāo)接收者的數(shù)據(jù)。私鑰的生成則是屬性特定的，即私鑰的產(chǎn)生與分發(fā)基于用戶或設(shè)備的屬性集，確保只有具備相應(yīng)屬性集的實(shí)體能夠解密相應(yīng)加密的數(shù)據(jù)。

3.3.2數(shù)據(jù)加密和策略

數(shù)據(jù)發(fā)送者使用CP-ABE加密技術(shù)對(duì)其加密處理，并其在加密過程中，會(huì)把訪問控制策略以屬性形式嵌入到加密數(shù)據(jù)中。此策略基于數(shù)據(jù)訪問需求及相關(guān)安全政策，明確規(guī)定了可以解密和訪問該數(shù)據(jù)的用戶或設(shè)備的屬性要求。這種基于屬性的加密策略提升了數(shù)據(jù)安全性，因?yàn)閿?shù)據(jù)即便在不安全的網(wǎng)絡(luò)環(huán)境中被截獲，也無法被無關(guān)實(shí)體解讀，從而防止了數(shù)據(jù)的未授權(quán)訪問和泄露。

3.3.3數(shù)據(jù)訪問和驗(yàn)證

當(dāng)用戶或設(shè)備發(fā)起對(duì)加密數(shù)據(jù)的訪問請(qǐng)求時(shí)，系統(tǒng)首先對(duì)請(qǐng)求者的屬性進(jìn)行認(rèn)證，以確定其是否符合數(shù)據(jù)加密時(shí)所嵌入的屬性基訪問控制策略。

系統(tǒng)會(huì)利用一個(gè)集成的屬性驗(yàn)證機(jī)制來審核請(qǐng)求者提交的屬性證明，這些證明必須與數(shù)據(jù)加密策略中規(guī)定的屬性相匹配。只有請(qǐng)求者的屬性符合數(shù)據(jù)訪問策略，系統(tǒng)才會(huì)允許其用私鑰對(duì)數(shù)據(jù)進(jìn)行解密。其中私鑰的構(gòu)成與請(qǐng)求者的屬性密切相關(guān)，確保了只有合格的實(shí)體能解密特定的數(shù)據(jù)。

4結(jié)語

區(qū)塊鏈技術(shù)有效地提高了SDNIoT數(shù)據(jù)的安全性和網(wǎng)絡(luò)的可靠性，特別是在數(shù)據(jù)層和控制層的通信安全上取得了顯著改進(jìn)。該模型不僅增強(qiáng)了系統(tǒng)的防篡改能力，還通過智能合約和細(xì)粒度的訪問控制策略，增強(qiáng)了用戶與服務(wù)提供者之間的信任。此外，通過集成密文策略屬性基加密（CP-ABE）技術(shù)，還可以進(jìn)一步加強(qiáng)了數(shù)據(jù)的隱私保護(hù)，確保只有符合特定屬性的用戶才能訪問敏感信息。

參考文獻(xiàn)

[1] YIND，ZHANGL，YANGK.ADDoSattackdetectionandmitigationwithsoftware-definedInternetofThingsframework[J].IEEEAccess，2018，6：24694-24705.

[2] 王有恒，王瑞民，張建輝.基于CP-ABE算法的Fabric隱私保護(hù)模型[J].計(jì)算機(jī)工程與設(shè)計(jì)，2024，45（4）：961-966.

[3] 徐川，艾星好，王杉杉，等.一種基于格的輕量級(jí)物聯(lián)網(wǎng)群簽密認(rèn)證方案[J/OL].電信科學(xué)：1-19[2024-05-15].http：//kns.cnki.net/kcms/detail/11.2103.TN.20240508.1457.020.html.

[4] 楊驍.基于屬性加密的移動(dòng)agent安全研究[D].武漢：武漢理工大學(xué)，2017.

[5] 巴陽，陳越，胡學(xué)先，等.基于區(qū)塊鏈與屬性基加密的數(shù)據(jù)共享方案[J].信息工程大學(xué)學(xué)報(bào)，2022，23（4）：443-451.

[6] 張星星.基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)安全研究[D].南京：南京郵電大學(xué)，2023.

[7] 曾志兵，吳曉鸰，凌捷.結(jié)合區(qū)塊鏈和可追蹤C(jī)P-ABE的數(shù)據(jù)存儲(chǔ)與共享研究[J].小型微型計(jì)算機(jī)系統(tǒng)，2024，45（4）：919-925.