基于零知识证明的物联网单向增强验证模型

An One-Way Enhanced Verification Model for the Internet of Things Based on Zero-Knowledge Proof

摘要

面向物联网的大量端对端相互访问、综合性密码保护、多因素验证保护等需求，提出了基于零知识证明的单向增强验证模型。该模型由单向一次性计算类型任务组成，融合五种共识验证技术形成多因素的链式共识验证方法，通过区块链架构分布式共识机制，实现多因素的一次性难题任务链式增强处理，以及高性能的本地并发验证，支撑端到本地中心授权、点对点离线认证等应用。同时，通过动态设置令牌中零知识证据的种类，实现了弹性的访问控制和隐私保护。实验结果表明，该模型实现了动态难度策略的简明点对点验证，展示出毫秒级高性能和灵活性，并提升了物联网认证方法的安全性。

Abstract

Aiming at the problems of weak keys, low security and many loopholes in the lightweight cryptography and authentication protocols used in most authentication models of the Internet of Things, a multi-factor enhanced authentication model was proposed based on zero-knowledge proof. The model was composed of one-way one-time computing type tasks, and combines various consensus verification technologies to form a multi-factor consensus verification method. And through the distributed consensus mechanism of the blockchain architecture, the enhanced processing function of multi-factor one-time difficult tasks had been realized. At the same time, flexible access control and privacy protection were realized by dynamically setting the type of evidence in the token. Finally, a simulation experiment was carried out to verify, and a prototype scene was constructed for the offline smart lock scene. Experimental results show that the model implements concise peer-to-peer verification of dynamic difficulty policies, exhibiting millisecond-level high performance and flexibility. Compared with other IoT authentication models, it has better security and practicality.

Graphical abstract

关键词

物联网 / 零知识证明 / 共识验证技术 / 区块链

Key words

Internet of Things / zero-knowledge proof / consensus verification technology / blockchain

0　 引 言

目前，人与各种类型物联网设备和基础设施系统之间都可实时交互，但由于物联网设备的资源有限、分布范围广、异构环境复杂，导致了物联网安全性较差。其中，在身份和权限的连续验证、证据的多方公开验证、隐私的不可见验证等方面，还存在物联网安全能力所亟需解决的问题。

传统的物联网验证模型利用云计算的方式对设备的身份进行安全管理和验证，以获得最优的响应时间和成本消耗^[1，2]，同时加快了面向用户体验的数据分析和服务处理速度^[3]。但中心化安全管理模式缺乏可靠的信任机制，且面临着内部和外部攻击的威胁。分布式的本地安全中心能够增强物联网的隐私和各类证据的多方公开验证功能，应用已经被广泛验证的区块链技术，可在安全性差的公开环境中解决分布式的信息共识、信任传导、敏感数据和权益保护等问题，实现各类业务证据的可靠存储并可多方公开验证。近年，零知识证明(zero-knowledge proof)被称为区块链最新应用的突破性技术^[4]，实现了网络隐私保护和分布式数据的可靠传输，是下一代价值物联网^[5]的基石。

对于身份和权限的连续验证，为保障数据源头的真实性，传统的方式主要通过密码认证技术来保持数据的私密性。为进一步提高安全性，可考虑使用短信、证书、环境和生物特征等多因素，采用多步交互式方法识别对方身份，完成认证。在物联网设备之间完成端到端身份验证是一项挑战性的任务。首先，设备所在的物理环境和互联网中充满潜在的恶意用户。其次，虽然基于物理接近度和管理员PIN设置，便于绑定和解除设备以及建立信任关系，但是带来了中间人攻击、物理挟持以及暴力破解等风险。由于设备类型众多、与各系统的交互频繁，导致缺乏动态的自动或半自动的注册管控机制。再者由于物联网设备资源有限，导致身份验证机制薄弱，因此针对相关薄弱环节的恶意软件已经成为实现物联网安全功能的重要威胁。在物联网这种异构和复杂^[6]的网络环境中，身份和授权是基本安全流程的重要组成部分^[7]，针对以上问题,Luk等^[8]提出了身份认证的7个需要满足的属性。Yao等^[9]提出了一种快速单向累加器，实现了轻量级多播认证机制。Cirani等^[10]提出一种基于OAuth的物联网安全服务场景中授权服务架构，能够轻量化实现信任的多方传导。Devi等^[11]提出一种物联网应用的相互认证方案，借助硬件设备ID自动识别和控制接入方。Lamport等^[12]提出一次性动态密码（OTP）概念，设计在不安全通信中进行密码验证，实现长周期的持续安全保障。Shivraj等^[13]提出一种轻量级的IBE-ECC算法，用于认证物联网设备和应用，并在云服务器中生成OTP以提高性能。Kairaldeen等^[14]通过修改默克尔树内部的数据结构算法构建各种哈希函数来检查基于用户签名的身份管理框架，提高了区块链网络中的用户完整性检查性能。虽然这些方法利用轻量化认证和在第三方服务器运行复杂任务，解决了设备的耗电以及资源占用问题，但未考虑DDoS（distributed denial of service)攻击、中间人攻击和物理威胁等问题。

对于证据的多方公开验证，去中心化的区块链系统^[15]通过公开一次性匿名式签名和工作量的简明验证方式，实现了任意方的可信验证^[16]，且提交的证据结果容易被多方公开验证，建立了高可靠的分布式防御体系。Kalapaaking等^[17]提出基于区块链的安全可验证联邦学习架构，以抵御医疗保健系统的智能模型中毒攻击。虽然多方可信验证式防御体系的应用场景广泛，但是亟须解决算力资源消耗、交互简化和隐私保护等问题。

对于隐私的不可见验证，随着密码技术不断突破发展，朴素的工作量证明(Proof of Work, PoW)通过公开、不安全的网络实现了可信交易。Koblitz等^[18]提出了将椭圆曲线算法(elliptic curve cryptography, ECC)应用于数字签名、密钥交换等场景中。与传统RSA算法相比，ECC加密有着更强的抗攻击性和更低的硬件需求。Courtois等^[19]提出了在比特币挖掘中使用优化的SHA256算法，性能提高约90%。

零知识证明由Goldwasser等^[20]于1989年第一次提出并加以概念化，其定义为除了命题的正确性之外不传达任何其他知识的证据。目前在性能和隐私保护等方面产生了突破性技术^[21~24]。在边缘安全中心应用零知识证明技术，可解决当前物联网设备认证问题，实现数据的隐私保护，并利用区块链账本实现证据的可持续公开验证。因此，本文基于密码学点对点共识验证技术提出了一种零知识证明的多因素共识方法，实现了端到端本地身份认证和一次性多任务关联验证。在本地管理用户和设备，通过认证和批量授权处理，完成点对点的离线直接令牌验证。基于零知识证明理论，嵌套工作量PoW、哈希消息认证码(Hash-based message authentication code, HMAC)、一次性签名、单向累加器、同态加密、zk-SNARK（zero-knowledge succinct non-interactive arguments of knowledge）等NP算法生成各类难破解且验证简明高效的动态长度验证串。动态设置令牌中证据的种类，可指数级扩展破解的计算难度，实现弹性的访问控制和隐私保护。

1　 轻量化零知识证明算法

zk-SNARK是目前最成熟的通用非交互零知识证明方案之一。零币Zcash^[25]就是使用zk-SNARK证明满足有效交易的条件，而不会泄露所涉及的地址或价值的任何重要信息。zk-SNARK核心技术是同态隐藏。

对于满足下面三个条件的函数E(x)，称之为加法同态：

1) 在给定的E(x)的情况下，很难求出x；

2) 如果x\ne y，则有E(x)\ne E(y)，即不同的输入将会得到不同的输出；

3) 若有E(x)和E(y)，可以计算E(x)\oplus E(y)=E(x+y)。

同理可得乘法同态：E(x)\otimes E(y)=E(x\times y)。利用同态的特性，可以将零知识证明推广到多项式计算。假设A有一个最高d次的多项式：

P(x)=a_{\mathrm{0}}+a_{\mathrm{1}}X+a_{\mathrm{1}}{X}^{\mathrm{2}}+\cdots +a_d{X}^d(1)

B想知道某个s对应的E(P(s))，可通过以下方式：

1) B首先计算\{E(s^i{)\}}_{\mathrm{0}\le i\le d}，并发送给A；

2) 将每个E(s^i)当作多项式P的系数，并利用同态特性计算E(P(s))，并返回给B。

在零知识证明中QAP(quadratic arithmetic program)实现了将任意布尔计算转化为向量计算，再将向量计算转化为多项式计算。对于输入长度为n的在域F的QAP，主要由以下几个部分构成：

1) 一组在有限域F上的多项式：v_{\mathrm{0}},v_{\mathrm{1}},\cdots ,v_m,w_{\mathrm{0}},w_{\mathrm{1}},\cdots ,w_m；

2) 有限域F上目标多项式t；

3) 单射函数f:\{(i,j)|\mathrm{1}\le i\le n,j\in \{\mathrm{0,1}\}\}\to \{\mathrm{1},\cdots ,m\}。

一个输入u若被QAP接受，当且仅当有限域F中向量组a=(a_{\mathrm{1}},a_{\mathrm{2}},\cdots ,a_m)，b=(b_{\mathrm{1}},b_{\mathrm{2}},\cdots ,b_m)符合以下条件：

1) 若k=f(i,u[i])，则a_k,b_k=\mathrm{1}，其中u[i]为u的第i位；

2) 若k=f(i,\mathrm{1}-u[i])，则a_k,b_k=\mathrm{0}；

3) 目标多项式t可以整除v_a{w}_b，其中v_a=v_{\mathrm{0}}+a_{\mathrm{1}}{v}_{\mathrm{1}}+\cdots +a_m{v}_m，w_a=w_{\mathrm{0}}+b_{\mathrm{1}}{w}_{\mathrm{1}}+\cdots +b_m{w}_m。

所有验证者都通过检查目标多项式t是否能被v_a{w}_b整除来验证其正确性。

通过上述不同复杂度多项式计算的单向验证模型组合，从最简单的加法同态，到多系数、多次数的多项式计算同态，进行灵活的安全级别定义，避免使用全同态的高复杂度算法。能够以指数方式增强零知识证明算法的复杂度，实现算力资源的动态调度，从而轻量化适配异构物联网的资源约束。

2　 本文模型

2.1　模型构架

区块链技术通过去中心化的方式实现数据的安全共享，但由于物联网的异构性和分布式特性，需要在区块验证阶段具有普适性和轻量化特性。此外，为了管理不断增长的设备数量和数据，需要感知业务状态，合理调度富余算力，逐步提高安全性。针对以上问题，本文提出了一种基于零知识证明的增强型连续性随机验证模型，可不断增强每个成员会话分布式访问控制的安全性，以及区块共识的安全性。其模型如图1所示。

首先，是在一个相对稳定的网络节点\mathrm{C}\mathrm{S}\mathrm{E}\mathrm{T}集合中，建立连续性的信任关系。CSET存储了候选节点\mathrm{I}\mathrm{D}、地址A和可信度信息C。信任关系通过公共参考串\mathrm{C}\mathrm{R}\mathrm{S}和公共的零知识证明算法集E_n=\{E_{\mathrm{1}},E_{\mathrm{2}},\cdots \}组成，E_i是算法集中的一个可以表达成多项式计算公式的NP难题函数。通过秘密共享信任关系(\mathrm{C}\mathrm{R}\mathrm{S},E_n)给网络中优选的令牌生成者节点，从而增强生成证据过程的安全性。

为了保证链上存储的安全，设计了CHASH构建连续和动态的信任关系，CHASH是通过初始化可信\mathrm{R}\mathrm{O}\mathrm{O}\mathrm{T}不断嵌套计算来实现的，它承载了所有历史状态以供验证。当前时间\mathrm{T}{\mathrm{S}}_n计算的HASH结果仅与前一时间点的数据状态相关。因此可以连续验证数据完整性，该过程可表示为如下形式：

\mathrm{C}\mathrm{R}\mathrm{S}=\mathrm{C}\mathrm{H}\mathrm{A}\mathrm{S}\mathrm{H}(\mathrm{T}{\mathrm{S}}_n,\mathrm{C}\mathrm{S}\mathrm{E}{\mathrm{T}}_n,

\mathrm{C}\mathrm{H}\mathrm{A}\mathrm{S}\mathrm{H}(\dots (\mathrm{T}{\mathrm{S}}_{\mathrm{1}},\mathrm{C}\mathrm{S}\mathrm{E}{\mathrm{T}}_{\mathrm{1}},\mathrm{R}\mathrm{O}\mathrm{O}\mathrm{T})))(2)

这种连续的验证机制增强了区块链在各个阶段的进化过程，如通过共识算法随机分配选举领导者节点、创世区块和区块头的初始化等。因此，上下文链接内的任何异常数据都可以被成员节点检测到。经过查询和丢弃的过程，整个网络都可以恢复正常的数据。此外，还建立了可验证且难以伪造的可信根\mathrm{R}\mathrm{O}\mathrm{O}\mathrm{T}，构建可信机制，增强集体边界控制，隔离恶意和自私节点。

其次，在每个轮次周期中，使用上一阶段输出的共享信任关系(\mathrm{C}\mathrm{R}\mathrm{S},E_n)，协商和变换处理G完成协作集合内的秘密知识更新，如下式：

\mathrm{p}\mathrm{k},\mathrm{v}\mathrm{k}=G(\mathrm{C}\mathrm{R}\mathrm{S},E_n)(3)

其中，\mathrm{p}\mathrm{k}为生产证据的密钥，\mathrm{v}\mathrm{k}为验证证据的可公开密钥。

然后，针对每次需要保护的知识x_i，顺序逐个计算NP难题函数E_i，生成连续性证据：

\mathrm{o}\mathrm{u}{\mathrm{t}}_i=E_{\mathrm{1}}(x_i),\mathrm{o}\mathrm{u}{\mathrm{t}}_i\cancel{\Rightarrow }{x}_i,x_i=\mathrm{h}\mathrm{a}\mathrm{s}\mathrm{h}(\mathrm{o}\mathrm{u}{\mathrm{t}}_i)(4)

\mathrm{o}\mathrm{u}{\mathrm{t}}_i=E_{\mathrm{2}}(x_i),\mathrm{o}\mathrm{u}{\mathrm{t}}_i\cancel{\Rightarrow }{x}_i,x_i=\mathrm{h}\mathrm{a}\mathrm{s}\mathrm{h}(\mathrm{o}\mathrm{u}{\mathrm{t}}_i),\dots ,\mathrm{l}\mathrm{o}\mathrm{o}\mathrm{p}\begin{array}{c}\end{array}\mathrm{t}\mathrm{o}\begin{array}{c}\end{array}{E}_n(5)

\mathrm{R}\mathrm{a}\mathrm{n}\mathrm{d}=\mathrm{Z}\mathrm{H}\mathrm{a}\mathrm{s}\mathrm{h}(\mathrm{p}\mathrm{k},\mathrm{o}\mathrm{u}{\mathrm{t}}_i,\mathrm{p}\mathrm{r}\mathrm{e}\_\mathrm{p}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f})(6)

\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}=\mathrm{Z}\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}(\mathrm{p}\mathrm{k},\mathrm{o}\mathrm{u}{\mathrm{t}}_i)(7)

其中,\mathrm{o}\mathrm{u}{\mathrm{t}}_i\cancel{\Rightarrow }{x}_i为单向计算约束，动态生成随机性的证据\mathrm{R}\mathrm{a}\mathrm{n}\mathrm{d}和连续性的零知识证明\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}，通过关联上一个证明\mathrm{p}\mathrm{r}\mathrm{e}\_\mathrm{p}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}，实现了所有的历史证明都会影响当前证明产生的连续性效果。

最终，在证据\mathrm{v}\mathrm{k},\mathrm{o}\mathrm{u}\mathrm{t},\mathrm{R}\mathrm{a}\mathrm{n}\mathrm{d},\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}公开后，各参与节点可随机采样、高效验证证据的合法性，分布式完成计算结果随机数与公开的Rand值一致性验证（公式(8)）和布尔确认处理（公式(9)）：

\mathrm{i}\mathrm{f}\mathrm{R}\mathrm{a}\mathrm{n}\mathrm{d}=\mathrm{R}\mathrm{V}\mathrm{e}\mathrm{r}\mathrm{i}\mathrm{f}\mathrm{y}(\mathrm{v}\mathrm{k},\mathrm{o}\mathrm{u}\mathrm{t},\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f},\mathrm{p}\mathrm{r}\mathrm{e}\_\mathrm{p}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f})(8)

\mathrm{i}\mathrm{f}\mathrm{Z}\mathrm{V}\mathrm{e}\mathrm{r}\mathrm{i}\mathrm{f}\mathrm{y}(\mathrm{v}\mathrm{k},\mathrm{o}\mathrm{u}\mathrm{t},\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f})=\mathrm{t}\mathrm{r}\mathrm{u}\mathrm{e}(9)

而被保护的原始知识x无须公开，即可证明生成者掌握知识x。并且，在历史证据的约束下，应用了正确的NP难题集E_n，生成可公开的\mathrm{o}\mathrm{u}\mathrm{t}和\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}。算法通过\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}和\mathrm{v}\mathrm{k}限制了x被造假，攻击者随机伪造的x，会难以找到正确的算法E计算出\mathrm{o}\mathrm{u}\mathrm{t}，并更难找到\mathrm{p}\mathrm{k}生成合法的\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}。同时任何一个环节的\mathrm{P}\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{f}被篡改，都会导致后续\mathrm{R}\mathrm{a}\mathrm{n}\mathrm{d}证据的一致性验证出错。而在算法集E_n中，应用椭圆曲线算法进行签名处理，可验证生成者的身份。

2.2　多因素级联共识算法

依据上述增强型共识验证的框架，提出了基于零知识证明的多因素级联共识算法，实现了在不泄露任何重要信息的情况下，非交互式验证请求者的合法身份和合法令牌。

首先，安全中心在认证阶段约定相关预置共享信息。通过令牌SP中的加密信息，设备可以证明令牌SP是所拥有的安全中心生产的，并且用户具有该设备的一个时间段内的授权。每次预约服务令牌SP时，使用下列可验证的五种事实，批量生产加密令牌SP。

事实1 时间段的证明

需要同态隐藏算法E隐藏的信息为：令牌SP生成时间t_{\mathrm{g}}、时间间隔t_{\mathrm{i}}、服务开始时间t_{\mathrm{b}}。设备通过收到的E(t_{\mathrm{g}}-x),E(t_{\mathrm{i}}+x)，利用加法同态计算出E(t_{\mathrm{g}}+t_{\mathrm{i}})，若与收到的E(t_{\mathrm{b}})相等，则有t_{\mathrm{g}}+t_{\mathrm{i}}=t_{\mathrm{b}}，x为随机数。这样可以确保某些操作或数据访问仅在特定时间窗口内发生。

事实2 合法令牌的证明

需要证明用户通过申请活动，拥有了一次服务的令牌SP，赋予访问某个设备权利。生成签名串和加密串两个对应的证明：(i) 用户的私钥对Hash串(预约行为串CBS)签名，使用用户的公钥可验证签名；(ii) 设备公钥针对Hash串(预约行为串CBS)签发的令牌SP加密，由设备私钥可解密令牌SP。合法令牌的证明可以确保令牌是有效的，并且持有者有权访问特定资源。

事实3 工作量证明

安全中心基于预约生产令牌SP请求内容，使用SHA256算法计算一定难度的共识串，作为令牌SP的一部分。在物联网中，设备可能需要执行某些计算任务或消耗资源，以证明它们是合法的。可筛选出不良设备或恶意攻击者。

事实4 合法成员的证明

Nyberg单向累加器^[9]基于通用散列函数构造，简单的位操作效率高。其吸收性公式：

H^{\mathrm{N}\mathrm{y}\mathrm{b}}(H^{\mathrm{N}\mathrm{y}\mathrm{b}}(K_a,y_{\mathrm{1}}),y_{\mathrm{1}})=H^{\mathrm{N}\mathrm{y}\mathrm{b}}(K_a,y_{\mathrm{1}})=A(10)

利用其吸收性，可以将累加值A=H^{\mathrm{N}\mathrm{y}\mathrm{b}}(K_a,y_{\mathrm{1}})作为各累加项的证据，验证函数直接使用累加函数H^{\mathrm{N}\mathrm{y}\mathrm{b}}。如果累加项y_{\mathrm{1}}是累加值A的一个元素，则累加验证后结果还是A。利用这个原理，在用户U完成身份认证后，生成累加值A作为预置的共享信息，设备使用累加函数H^{\mathrm{N}\mathrm{y}\mathrm{b}}快速验证用户U是否为累加值A的一个累加项。合法成员的证明可确保只有授权的设备或成员可以参与到网络中。

事实5 zk-SNARK证明

安全中心选取随机点x和随机系数k预置共享信息E，E为两组加密函数的值：E(\mathrm{1})，E(x)，E(x^{\mathrm{2}})，E(x^{\mathrm{3}})；E(k)，E(kx)，E(k{x}^{\mathrm{2}})，E(k{x}^{\mathrm{3}})。针对每个设备的注册信息和访问关系绑定结果信息，生成对应多项式P(x)。zk-SNARKs是非常强大的隐私保护工具，可隐藏参与者之间的交互细节，同时提供证明的有效性。

基于上述五种可零知识验证的事实，定义服务时间范围为beg_date和end_date之间，授权的功能身份为Service、预约备注信息为data、生成时间戳为Timestamp。预约批量生产令牌SP的算法以目标设备的匿名身份SAID和授权用户或设备的匿名身份DAID为输入，产生一个由用户公钥+签名数据+令牌+beg_timestamp+end_timestamp+4个随机数+难度要求+HPC的结果串，输出对应的二维码照片。其过程如算法1所示。

算法1中的HPC可根据当前的安全级别k定义，k在1~5范围内动态叠加五个事实的验证算法，使用上述的ECC签名、PoW、同态加密E、Nyberg单向累加器以及zk-SNARKS简明单向零知识证明算法生成令牌串，增强验证串的难度(公式11)。在各种需要保护访问和验证真实性场景的情况下，都可以使用这种动态增强性令牌串，进行PoV(Proof of Verify)证明。

\mathrm{H}\mathrm{P}{\mathrm{C}}_k=\{k,\mathrm{S}\mathrm{A}\mathrm{I}\mathrm{D},\mathrm{e}\mathrm{n}\mathrm{c}\mathrm{r}\mathrm{y}\mathrm{p}\mathrm{t}(k,\mathrm{s}\mathrm{i}\mathrm{g}\mathrm{n}(\mathrm{H}\mathrm{C}\mathrm{B}\mathrm{S})),

\mathrm{P}\mathrm{o}\mathrm{W}(k,\mathrm{H}\mathrm{C}\mathrm{B}\mathrm{S}),E(k,\mathrm{H}\mathrm{C}\mathrm{B}\mathrm{S}),

\mathrm{N}\mathrm{y}\mathrm{b}\mathrm{e}\mathrm{r}\mathrm{g}(k,\mathrm{B}\mathrm{l}\mathrm{o}\mathrm{o}\mathrm{m}(\mathrm{S}\mathrm{A}\mathrm{I}\mathrm{D})),\mathrm{z}\mathrm{k}(k,\mathrm{H}\mathrm{C}\mathrm{B}\mathrm{S})\}(11)

在进行验证时，用户每次使用一个预约的令牌SP进行验证。算法以需验证串的二维码照片为输入，输出1或者0。其过程如算法2所示。

2.3　安全性分析

对超过令牌截止时间的情况，设备的时间戳控制机制可实现二维码自动失效。通过每次服务需要提供一次性令牌进行验证，实现了以下防护机制：

1) 防止攻击者通过窃听获取数据。服务令牌SP是加密的一次性证据，攻击者无法求解获得预置共享信息CRS伪造新令牌。时间戳控制机制，每次的请求报文和签名令牌都不一样。使用安全的ECC算法加密报文。

2) 防止篡改数据。攻击者无合法身份则无法构造新的合法匿名签名证据通过验证。

3) 防止中间人攻击。伪装时，没有与安全中心建立信任关系，无合法令牌SP，无法伪装成请求方发送报文。重放报文时，需要更新报文的时间戳，令牌也需要重新生成。

4) 防止DDoS攻击。无集中的验证服务，直接点对点单向验证。单设备受攻击不影响其他设备。

5) 防止物理挟持。无法通过多因素认证，解除原有绑定关系，从而不能读取和解密预置共享信息CRS。非法使用安全通道上传给设备伪造的共享数据时，也不能通过验证。

6) 防止虚构合法用户。没有与安全中心建立信任关系，无法批量申请合法令牌。用户使用单向累加器在身份认证后，生成累加值A作为预置共享信息CRS。设备可使用累加函数快速验证对手是否为累加值A的一个累加项。就算能够虚构身份，完成了新身份的注册加入，但是每次申请令牌会留下审计信息，可追溯和发现异常节点。

7) 防止隐私查询。加入成为安全中心成员的智能设备，可以根据匿名ID查询对应设备，查看资源、审计日志。设备在验证阶段都使用匿名的唯一ID。

3　 多因素共识验证方法的实现

3.1　实现步骤

为实现离线认证和增加零知识证明的随机性，首先，设备间共享秘密机制协商，形成多方一致的公共参考串CRS。然后，使用匿名的身份批量申请指定时间范围的一次性多任务组合的令牌SP。最后，由申请方直接出示令牌给验证方，验证方使用CRS串中秘密要素，单向离线认证令牌是否合法，过程如图2所示。成员参与、建立信任、获得令牌验证的完整过程如下。

步骤1：注册，共享秘密CRS。使用智能手机或本地的区域中心设备，安装本地安全中心软件。本地安全中心管理本区域范围的所有物联网设备，并且控制点对点、点对云计算中心的安全访问，实现本地化的防御体系。安全中心使用蓝牙、Wi-Fi等物联网网络协议，扫描环境中设备，发现所有设备并显示。按用户要求调整设置个性化名称、部署位置等元数据信息，形成网络的总体视图。为新构建的网络增加管理员和普通用户，设置用户基本信息和手机号。

步骤2：本地认证，申请获得访问令牌。使用生物特征、PIN、短信等多因素方式进行用户认证；设备认证由可信管理员在本地完成物理位置识别、配对、唯一ID确认、绑定等操作。网络内部实行全面匿名化处理，为用户和设备分配多组地址和密钥对。建立安全通道传输密钥和分发安全共享信息CRS。一旦成员通过本地认证后，只有管理员能在安全中心软件中查看机密的审计信息、解除绑定和重新开放访问设备。设备和用户之间都用匿名和加密的方式传输数据。

步骤3：本地授权，批量申请一次性的服务令牌SP。管理员在用户和设备间、设备和设备间设置访问关系，约定访问共享信息CRS，并通过安全通道同步共享信息CRS。用户通过预约服务，批量申请服务令牌SP，动态组合多个NP任务实现弹性安全级别。通过安全通道将SP发送给发起申请的用户和设备，SP的有效时间段越短，每个批次的SP数量越多，被攻击者利用和破解的概率越低。

步骤4：点对点验证，用户可以灵活选择声、光、电不同方式，通过不安全的网络提供当前有效SP。验证者根据验证串中的证明要求，动态执行验证任务集，通过后才能执行服务和返回结果。

3.2　本地认证中心方案

本地安全中心进行管控操作，需自动上链、可审查、自动感知和预警。为了实现这些功能，设备、用户之间首先需约定好秘密信息CRS，然后建立可离线共识的机制实现安全的传输CRS。图3是用户使用二维码令牌SP驱动智能锁设备开锁例子，是一个典型的基于本地安全中心的端到端离线控制过程。

管理人员首先登记房间号、锁号、可预约人员的手机号，然后分配密钥和算法参数，并设置到离线锁和安全中心。预约行为需要包含这些关键字段，离线锁才可以计算校验输入串的合法性。

用户手机预约时，安全中心通过组织密钥、锁的密钥、行为串，计算出一个鉴权令牌。离线锁可以直接根据行为串和内部存储的密钥，以上述零知识证明方法计算出相关数据，确定令牌是否为合法产生的（不知道预先设置的秘密就无法伪造令牌），即使用工作量证明等机制对预约相关的秘密内容达成共识。

其他的访问控制应用场景，也同样可以通过多因素方式完成用户和设备的身份认证，并绑定设备之间的访问关系。通过计算能力强大的安全中心节点预约产生令牌，资源受限的物联网设备可以点对点提交令牌和简明验证，节省验证过程的计算功耗和网络访问功耗。如图4所示，核心的本地安全中心由三个分权模式的数据治理模块构成：

1） 数据管理模块配置系统参数和资源参数。在安全性要求更高的场景，可以设置定时与共识设备交换审计日志和黑名单数据。

2） 密钥管理模块完成安全中心、用户和管理员、设备的密钥管理，与数据管理和预约管理交换启用资源的数据；完成安全中心的后台日常管理，为预约管理提供服务。可根据预约行为串，生产令牌串。

3） 预约管理模块增加设备类型，可针对新设备类型，接受批量启用设备过程生产的数据（房间位置，管理员的启用数据，设备号，授权用户和设备信息），根据预约行为串、调用密钥管理接口、批量生产令牌SP，通过二维码介质进行安全示证。

4　 实验结果与分析

针对离线智能锁场景，实现基于零知识证明的物联网单向增强验证方案的原型系统，具体的硬件环境配置如图5所示，包括二维码读头、主控器和总体设备线路。二维码读头如图5(a)，主要获取二维码图片，并解码转换成字符串，通过模拟键盘设备，输出给当前读键盘输入的程序；主控器如图5(b)，通过嵌入系统实现解码和验证，充电电池保障稳定供电，接出显示屏幕完成维护操作，通过U盘初始化系统；总体设备线路如图5(c)所示，通过控制板驱动直流电机转动开关锁。

实验设备情况如表1所示，由PC和ARM两类设备组成，验证基于零知识证明的物联网单向增强验证方案。在PC环境上创建100个用户、每个用户匿名化10个地址和密钥对（GU100），生成100个证据串（GP100），生成证据串对应的QRcode文件（GPQR100）。在ARM环境上使用二维码扫描器AD703_G2J1，完成扫描100次QR（SQR100），对100个证据串文件进行验证（VP100）。

在表2中列出了5个实验案例的执行耗时数据，并针对VP100在PC上进行对比实验。

从表2可以看到GP100生成一个证据串平均耗时5.140 s，VP100在嵌入系统验证一个证据串耗时需要0.339 s，在PC系统只需要0.036 s。可以根据物联网算力规模和安全级别要求，调整工作量验证的难度bit数，动态控制工作量证明的生成耗时在1~30 s。在SQR100案例中，扫描器定位读取和识别图片使用手工操作，相对于验证处理的耗时慢许多，因此采用其耗时作为SQR100案例的耗时。

为了度量实验过程的CPU、内存、IO的利用率，每秒采集一次操作系统的资源使用情况，并且查看运行程序的情况。运行程序占用了近10 MB的内存，磁盘IO操作低，在计算高峰时会占满一个CPU，达到25%的利用率。图6显示了在PC环境下的3个案例过程的资源使用情况。图7显示了ARM环境下的2个案例过程的资源使用情况。

根据实验中程序运行的情况可知，GP100生成的证据串长度为593 B，对应QR图片文件大小为23 KB；假设每天申请100个QR图片形式的SP令牌，则需占用安全中心3 MB的磁盘空间。这说明验证证据信息、二维码图片、ECC密钥和其他的预置共享信息CRS数据量不大，验证计算的CPU和内存使用量可控，可在现有智能设备和资源受限的物联网节点中部署和稳定运行。构建开源、通用的本地安全中心客户端程序，可不断扩展更智能的策略库，完成多因素认证和多NP任务动态验证，从而弹性适配不同类型物联网系统的CIA安全等级要求。此外，一次性令牌传输和点对点盲验证机制可使网络窃听和暴力破解失效。

参考Luk等在文献[8]中提出的七个方面评估物联网认证机制的性能指标，将本文方案与已有认证机制进行对比，结果如表3。

从表3可知，OAuth^[10]、DB+HMAC^[11]、一次性签名^[12]和基于公钥的签名^[13]方案在集中的云服务器中完成认证，增加了网络开销，难以完成大规模物联网设备管理。基于单向累加器的广播认证^[9]在区域内验证，签名数据量小、验证高效。但是需要在广播者和预定接受者之间共享密钥，缺乏认证过程设计和相关保护共享密钥的机制，广播者会受攻击和有单点故障风险。本文方案验证任务可在本地节点上运行，虽然少量增加了本地的计算和通信资源开销，但可点对点完成验证，避免了单点故障和广域网传输风险，建立了本地安全中心,完成了自动注册和强化的认证过程，可保护端到端预置共享秘密CRS的同步；难题任务的组合，可弹性调整安全等级，特别是每次动态组合时间戳、身份、工作量、关系属性、成员集合等多因素机制，对抗节点挟持性强、信息熵高。

5　 结 语

本文基于零知识证明，提出了一种新型的验证模型。模型可应用于离线点对点共识验证的本地化物联网场景，基于零知识证明以扩展多因素的单向共识验证协议取消了多方通信式的区块链账本检验，可直接通过密码学的难题完成单向一次性点对点提交。通过分布式的方式管理密钥和共享秘密，保证了认证中隐私信息的可靠性，且无须调用集中的认证服务。同时，能够动态组合多个关联证据验证，比静态多因素身份认证或静态令牌更安全。

未来，一方面，可类似扩展NP难题的数量，基于动态安全级别机制设计算力调度策略，实现数据和隐私的增强保护；另一方面，可对多层级、仓库式的单向密钥管理机制进行研究，提升系统内生的机密性。

参考文献

[1] LIN F H， LÜ X， YOU I， et al. A novel utility based resource management scheme in vehicular social edge computing［J］. IEEE Access， 2018， 6： 66673-66684. DOI： 10.1109/ACCESS.2018.2878879 .

[2] SU J T， LIN F H， ZHOU X W， et al. Steiner tree based optimal resource caching scheme in fog computing［J］. China Communications， 2015， 12（8）： 161-168. DOI： 10.1109/CC.2015.7224698 .

[3] RIDHAWI I AL， OTOUM S， ALOQAILY M， et al. Providing secure and reliable communication for next generation networks in smart cities［J］. Sustainable Cities and Society， 2020， 56： 102080. DOI： 10.1016/j.scs.2020.102080 .

[4] TECHNOLOGY REVIEW MIT. 10 Breakthrough Technologies［EB/OL］. ［2023-03-01］.

[5] XIAO G L， XIAO M J， GAO G J， et al. Incentive mechanism design for federated learning： A two-stage stackelberg game approach［C］//2020 IEEE 26th International Conference on Parallel and Distributed Systems （ICPADS）. New York： IEEE Press， 2021： 148-155. DOI： 10.1109/ICPADS51040.2020.00029 .

[6] GHEMAWAT S， GOBIOFF H， LEUNG S T. The Google file system［C］//Proceedings of the 19th ACM symposium on Operating systems principles. New York： ACM， 2003： 29-43. DOI： 10.1145/945445.945450 .

[7] KIM H， LEE E A. Authentication and authorization for the Internet of Things［J］. IT Professional， 2017， 19（5）： 27-33. DOI： 10.1109/MITP.2017.3680960 .

[8] LUK M， PERRIG A， WHILLOCK B. Seven cardinal properties of sensor network broadcast authentication［C］// Proceedings of the 4th ACM Workshop on Security of Ad-Hoc and Sensor Networks. New York： ACM， 2006： 147-156. DOI： 10.1145/1180345.1180364 .

[9] YAO X X， HAN X G， DU X J， et al. A lightweight multicast authentication mechanism for small scale IoT applications［J］. IEEE Sensors Journal， 2013， 13（10）： 3693-3701. DOI： 10.1109/JSEN.2013.2266116 .

[10] CIRANI S， PICONE M， GONIZZI P， et al. IoT-OAS： An OAuth-based authorization service architecture for secure services in IoT scenarios［J］. IEEE Sensors Journal， 2015， 15（2）： 1224-1234. DOI： 10.1109/JSEN.2014.2361406 .

[11] GOKULNATH C B， DEVI G U， BALAN E V， et al. Mutual authentication scheme for IoT application［J］. Indian Journal of Science and Technology， 2015， 8（26）：1-5. DOI： 10.17485/ijst/2015/v8i26/80996 .

[12] LAMPORT L. Password authentication with insecure communication［J］. Communications of the ACM， 1981， 24（11）： 770-772. DOI： 10.1145/358790.358797 .

[13] SHIVRAJ V L， RAJAN M A， SINGH M， et al. One time password authentication scheme based on elliptic curves for Internet of Things （IoT）［C］//2015 5th National Symposium on Information Technology： Towards New Smart World （NSITNSW）. New York： IEEE Press， 2015： 1-6. DOI： 10.1109/NSITNSW.2015.7176384 .

[14] KAIRALDEEN A R， ABDULLAH N F， ABU-SAMAH A， et al. Peer-to-peer user identity verification time optimization in IoT blockchain network［J］. Sensors， 2023， 23（4）： 2106. DOI： 10.3390/s23042106 .

[15] NAKAMOTO S. Bitcoin： A Peer-to-Peer Electronic Cash System［EB/OL］. ［2023-04-01］.DOI: 10.2139/ssrn.3977007 .

[16] MARIJAN D， LAL C. Blockchain verification and validation： Techniques， challenges， and research directions［J］. Computer Science Review， 2022， 45： 100492. DOI： 10.1016/j.cosrev.2022.100492 .

[17] KALAPAAKING A P， KHALIL I， YI X. Blockchain-based federated learning with SMPC model verification against poisoning attack for healthcare systems［J］. IEEE Transactions on Emerging Topics in Computing， 2023， PP（99）： 1-11. DOI： 10.1109/TETC.2023.3268186 .

[18] KOBLITZ N， MENEZES A， VANSTONE S. The state of elliptic curve cryptography［J］. Designs， Codes and Cryptography， 2000， 19： 173-193. DOI： 10.1023/A： 1008354106356 .

[19] COURTOIS N T， GRAJEK M， NAIK R. Optimizing SHA256 in bitcoin mining［C］// Cryptography and Security Systems. Heidelberg： Springer，2014： 131-144. DOI： 10.1007/978-3-662-44893-9_12 .

[20] GOLDWASSER S， MICALI S， RACKOFF C. The knowledge complexity of interactive proof systems［J］. SIAM Journal on Computing， 1989， 18（1）： 186-208. DOI： 10.1137/0218012 .

[21] GERVAIS A， KARAME G O， WÜST K， et al. On the security and performance of proof of work blockchains［C］// Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. New York： ACM， 2016： 3-16. DOI： 10.1145/2976749.2978341 .

[22] GEBOTYS C H， WHITE B A， MATEOS E. Preaveraging and carry propagate approaches to side-channel analysis of HMAC-SHA256［J］. ACM Transactions on Embedded Computing Systems， 2016， 15（1）： 1-19. DOI： 10.1145/2794093 .

[23] STEFFEN S， BICHSEL B， BAUMGARTNER R， et al. ZeeStar： Private smart contracts by homomorphic encryption and zero-knowledge proofs［C］//2022 IEEE Symposium on Security and Privacy （SP）. New York： IEEE Press， 2022： 179-197. DOI： 10.1109/SP46214.2022.9833732 .

[24] NI N， ZHU Y X. Enabling zero knowledge proof by accelerating zk-SNARK kernels on GPU［J］. Journal of Parallel and Distributed Computing， 2023， 173： 20-31. DOI： 10.1016/j.jpdc.2022.10.009 .

[25] ZCASH. A Privacy-Protecting， Digital Currency［EB/OL］. ［2023-02-01］.

基金资助

国家重点研发计划项目(2021YFB3101904)