CAMRF：基于随机摆渡的跨链身份信息互认机制

CAMRF： Cross-Blockchain Authenticating Mechanism Based on Random Ferrying

摘要

为了解决不同管理域实体之间身份互认困难的问题，提出一种基于随机摆渡的跨链身份信息互认机制（Cross-blockchain Authenticating Mechanism based on Random Ferrying， CAMRF）。该机制首先通过改进的PageRank算法从普通节点中筛选高信誉候选摆渡节点；然后基于可验证随机函数（VRF）生成共识随机数，动态选举摆渡节点组作为公证人组；最后，由该组节点转发、签名和认证跨域消息，并采用BLS（Boneh-Lynn-Shacham）轻量级聚合签名技术验证消息的真实性与有效性，克服了传统机制存在的中心化依赖强、安全性低的问题。理论分析和实验表明，CAMRF机制具有高互操作性，能有效提高跨域身份认证的安全性和可靠性，具有一定的理论意义和较高的实用价值。

Abstract

To address the challenge of identity authentication between entities across different administrative domains, a cross-blockchain authenticating mechanism based on random ferrying (CAMRF) is proposed in the present study. The mechanism first selects high-reputation candidate ferry nodes from ordinary nodes through the improved PageRank algorithm. Then, the consensus random number is generated based on the verifiable random function, and the ferry node group is dynamically elected as the notary group. Finally, the group nodes forward, sign and authenticate cross-domain messages, and use BLS(Boneh-Lynn-Shacham) lightweight aggregate signature technology to verify the authenticity and validity of the messages, while addressing issues related to centralization and security. Both theoretical analysis and experimental results indicate that CAMRF markedly enhances interoperability and strengthens the security and reliability of cross-domain authentication, thereby providing some theoretical significance and high practical value.

Graphical abstract

0　 引 言

随着物联网技术的飞速发展以及5G移动通信业务的日益普及，物联网应用场景持续丰富，不同应用之间不可避免会迸发出价值交换、协同控制、信息交互以及多域访问等业务需求。但物联网终端设备分布广、数量多、层次复杂，并且通常涉及多个管理域，如何实现安全的跨域身份认证对于物联网场景下的多域交互十分重要。

传统的物联网平台多采用对称密钥管理^[1]和公钥基础设施(Public Key Infrastructure，PKI)^[2]等方式实现身份认证。然而，这些认证方法在海量物联网设备动态接入的场景下不仅运行成本高，而且在跨域认证中还面临多认证中心(Certificate Authority，CA)互信困难、证书管理效率低等问题^[3]。同时，这类集中式物联网终端认证方式严重依赖受信任的服务器，难以避免单点故障和针对集中存储的攻击^[4]。区块链技术具有去中心化、分布式、防篡改、可追溯等优势^[5]，能够有效解决上述安全问题。

在智能家居、智慧交通等物联网应用领域，往往同时存在多个不同的管理域和多个区块链。但在多区块链系统中，链与链之间垂直发展，认证信息只在单链上流通，导致“数据孤岛”现象。跨链技术^[6]的出现，使得链与链之间的认证信息可以共享共用，有效解决了链与链之间的互联互通问题。其中，公证人机制^[7]因其兼容性强、实施成本低等优势被广泛采用，但其固有缺陷仍有待解决。静态公证人组通过预设可信第三方节点实现跨链操作，存在信任锚点集中化，单点失效扩散效应，一旦公证人节点出现安全危机，将导致全网性（整个跨链网络生态系统整体）信任崩塌，且易受合谋攻击，难以抵御定向攻击。

基于此，本文设计了一种基于随机摆渡的跨链身份信息互认机制（Cross-blockchain Authenticating Mechanism based on Random Ferrying，CAMRF）。该机制通过改进的PageRank算法^[8]选出信誉较高的候选摆渡节点，基于可验证随机函数（Verifiable Random Function，VRF）^[9]产生的共识随机数选出摆渡节点组作为公证人组对跨域消息进行转发、签名和认证，可解决传统公证人机制中心化依赖严重等问题，降低合谋攻击风险，还可防止少数摆渡节点恶意拒绝签名对跨链认证造成的影响。由于采用VRF进行选举且周期性轮换摆渡节点组，攻击者无法针对特定摆渡节点进行定向攻击。因此，本机制从多种角度保障了跨链认证过程的安全性，实现了物联网终端高互操作性（不同管理域之间互联互通、无缝协作）跨域认证。

本文主要贡献如下：

1） 提出了一种基于VRF的动态公证人组选举机制：与传统静态公证人机制不同，本文设计了利用VRF生成共识随机数的动态公证人组选举机制，确保了节点选举的公平性与随机性，克服了传统公证人机制存在的中心化依赖强等问题，提升了跨链认证的安全性。

2） 结合改进的PageRank算法优化公证人节点信誉评估：通过改进的PageRank算法对候选节点的信誉进行评估，增强了跨链认证系统中节点的选择过程，使得选出的公证人节点更加可靠。

3） 加强了跨链身份认证的安全性与可操作性：本文通过引入BLS(Boneh-Lynn-Shacham)多重签名技术^[10-11]，确保了跨链身份认证数据的真实性与有效性，并有效减少了少数恶意节点对认证结果的影响。

1　 国内外研究现状

跨域身份认证是实现多域资源共享的关键技术，其发展路径呈现出从中心化架构向分布式体系演进的趋势。传统认证方案主要依赖于PKI和单点登录技术（Single Sign On，SSO）：Khan等^[12]通过实证分析指出，PKI体系在证书生命周期管理中存在更新延迟和撤销机制低效问题，容易导致密钥泄露风险；Shamir^[13]提出的基于身份的密码体制IBC（Identity-Based Cryptography）虽消除了证书管理负担，但本质上将信任锚点转移至密钥生成中心（Key Generation Center，KGC），形成新的单点故障源；Nguyen等^[14]设计的单点登录方案在跨域场景中暴露出严重的可用性缺陷——当认证服务器遭受DDoS（Distributed Denial of Service）攻击时，整体系统将陷入瘫痪状态；基于OAuth2.0的授权框架，相比SSO方案更加复杂和灵活，但是不同的域组织机构有各自OAuth2.0的实现方式，导致不同机构之间存在兼容性问题^[15]。由此可见，上述传统方案共同面临中心化架构带来的系统性风险，难以满足物联网多域协同场景的安全需求。

区块链技术因其去中心化特性被引入认证体系，为解决上述问题提供了新的技术路径。Hammi等^[16]提出的“信任泡泡”方案通过创建封闭式区块链网络实现设备安全通信，但其设计的排他性认证机制导致跨域互操作缺失。Ateniese等^[17]创新性地将PKI与比特币地址绑定，但沿用传统CA中心导致证书撤销难题未解。Li等^[18]尝试采用跨链技术提升多域认证能力，但其协议层设计缺乏通用性，难以适配不同物联网架构。Alsaeed等^[19]基于区块链和雾计算提出了一种跨域物联网认证框架，理论上增强了物联网系统的安全性和可扩展性，但未建立细粒度的跨链验证机制，导致实际性能与安全性存疑。上述研究表明，区块链认证方案在突破中心化桎梏的同时，面临着跨链互操作的技术瓶颈。为了实现真正的跨链互操作性，需要开发兼容性更强的协议和转换工具，以支持各种异构链的无缝交互。

当前主流的跨链技术为解决互操作问题提供了新思路，但其安全性和适用性仍存在显著差异：侧链/中继技术^[20-21]通过双向锚定实现价值转移，但徐淑奖等^[22]验证发现其在异构链场景下存在协议转换漏洞；哈希锁定虽能实现原子交换，但仅适用于特定交易类型^[23]。相较之下，公证人机制^[7]展现出更强的架构适应性，石润华等^[24]论证其可通过可信第三方集群实现跨链验证，但传统静态公证人组存在中心化依赖强、共谋攻击等风险。针对静态公证人组存在的单点失效扩散效应和节点作恶风险，罗焱等^[25]提出的多重签名机制虽提升了容错能力（即容忍部分节点失效或作恶），却未建立动态响应机制。蒋楚钰等^[26]设计的被动式公证人更换策略在实时攻击场景中响应滞后。张楦杰等^[27]提出的动态公证人组机制通过引入信誉评估模型，有效降低了中心化依赖程度，但其对比分析不足、指标片面化且安全性仅限于理论层面，缺乏恶意节点、节点失效等对抗性实验。

综合现有研究可见，当前跨域认证面临双重挑战：

1) 传统认证方案受限于中心化架构的安全脆弱性（如单点故障、证书管理低效等）；

2) 基于区块链的认证方案在实现跨链互操作时，存在协议兼容性差、动态适应性不足等缺陷。特别是，作为跨链互操作关键技术的公证人机制，在平衡去中心化与互操作性目标时，尚未建立完备的公证人动态管理体系和风险抵抗机制（如有效应对节点失效、恶意节点合谋、动态选举等）。

为此，本文提出基于随机摆渡的跨链身份信息互认机制CAMRF，可有效解决上述问题，实现安全性与互操作性的协同提升。

2　 本文方案

为实现任意不同管理域之间数据的安全共享，本文提出了CAMRF机制，其主要思想是：在跨链双方所在域的节点中，通过一定方式随机选取信誉较高的摆渡节点作为公证人，利用摆渡节点对域间消息进行转发、签名和认证，从而实现不同域间信息的安全传输与交互。

为保障摆渡节点选取的安全性、随机性，本文先筛选信誉值较高的候选摆渡节点，再由这些节点生成统一随机数，并基于该随机数进行分配，从而避免攻击者对摆渡节点实施定向攻击。此外，为保障摆渡节点传递数据的安全性，本文采用BLS轻量级聚合签名算法对跨链数据进行签名认证，每份数据只有在获得多数摆渡节点签名的情况下才会被视为安全，以此降低少数摆渡节点妥协对跨链数据传递造成的影响。

2.1　跨链认证模型

首先建立跨链身份认证模型，包括以下角色：

1) 普通节点（Ordinary Node）：向摆渡节点组发起身份认证请求，提交身份信息以获取跨链认证资格并接收认证结果，同时具备域内数据存储功能、身份信息核实功能、签名证书验证功能、数据检索收集功能等；

2) 候选摆渡节点（Candidate Ferryman Node）：通过改进的PageRank算法从普通节点中选出的高信誉节点；作为摆渡节点的候选者，等待VRF的随机选取以加入摆渡节点组；

3) 摆渡节点组（Notary Node Group）：从候选摆渡节点中通过VRF随机选举产生，定期轮换以确保安全；同时与普通节点交互，对相关请求者身份进行认证并对跨链消息进行转发、签名和认证，确保消息的真实性和有效性。

各角色之间的交互和管理关系如认证模型图1所示。

2.2　跨链认证算法设计

基于随机摆渡的跨链身份信息互认机制如图2所示。

访问域普通节点向摆渡节点组提出跨链查询请求后，摆渡节点组对请求的对象进行身份核验。核验通过后，摆渡节点组向被访问域提出数据收集请求，被访问域内的普通节点核实摆渡节点组身份信息后开始数据检索，并将检索结果反馈给摆渡节点组，摆渡节点组通过BLS轻量级聚合签名对查询结果进行认证，通过后将查询结果反馈给访问域普通节点。访问域普通节点对带有轻量级聚合签名的数据进行验证无误后，即得到了所需的信息。访问域与被访问域均将此次摆渡结果上链记录。

跨链认证算法如算法1所示。通过改进的PageRank算法从普通节点U中选出信誉较高的节点作为候选摆渡节点集C，再使用VRF从候选摆渡节点集C中随机选取若干节点组成摆渡节点组G。普通节点U向摆渡节点组G提交身份认证请求，包含其身份信息和目标域信息。摆渡节点组对跨链消息进行签名，采用BLS签名算法实现多重签名。访问域普通节点通过对聚合签名\sigma进行验证，以确保消息的安全性和有效性。

2.3　摆渡节点选举及更换策略

2.3.1　改进的PageRank算法

PageRank算法主要用于衡量网页的重要性，其核心思想基于链接分析：一个节点的重要性取决于链接到它的其他节点的重要性。然而，将其直接应用于物联网节点信誉评估还存在显著不足：

1) 中心化依赖与信任假设脆弱。原始算法假设节点评分数据是可信且不可篡改的，这在开放的、潜在恶意的物联网环境中不成立。恶意节点可能通过伪造或操控评分数据（如虚假好评或恶意差评）人为提升自身或降低他人的信誉排名。

2) 缺乏安全机制。算法本身未内置任何机制保护节点信誉数据在计算、传输和存储过程中的完整性、机密性和抗抵赖性。

3) 受协同操控。恶意节点可能通过合谋（如相互刷好评、组团攻击特定节点等）操控信誉评分，而原始算法缺乏有效检测和抑制此类协同攻击的能力。

为解决上述问题，本文对PageRank算法进行了改进，增强了算法的安全性设计，使其能够适应物联网跨链认证场景的信任挑战，并将其应用于候选摆渡节点的信誉评估，确保选出的候选节点具有较高的可信度。

改进的PageRank算法通过三重防护措施增强安全性：

首先，引入数据加密与签名机制保障信誉数据完整性。为防止信誉数据在传输和存储过程中被篡改，每个节点的信誉数据（如历史行为记录、评价信息等）都使用其私钥进行数字签名保护。\mathrm{I}{\mathrm{D}}_U对应的签名方式如下：

\mathrm{S}\mathrm{i}\mathrm{g}\mathrm{n}\mathrm{a}\mathrm{t}\mathrm{u}\mathrm{r}\mathrm{e}=\mathrm{S}\mathrm{i}{\mathrm{g}}_{\mathrm{s}\mathrm{k}}(\mathrm{I}{\mathrm{D}}_U)(1)

式中，\mathrm{I}{\mathrm{D}}_U指的是节点的信誉数据，\mathrm{S}\mathrm{i}{\mathrm{g}}_{\mathrm{s}\mathrm{k}}是使用私钥s_k生成的数字签名。

其次，为防止恶意节点通过操控评分提高其信誉，系统引入恶意节点的识别机制。设定信誉阈值，当节点的评分波动超过该阈值时，触发报警，并对该节点进行重新审查。通过这种动态监控机制，算法可以实时检测到异常行为并进行有效的干预。

最后，考虑到恶意节点可能通过合作（协同攻击）提升自身信誉，从而影响选举过程，因此，引入节点关联分析，检测是否存在异常的信誉提升行为。假设节点m_i和m_j之间的关联度为A_{ij}，系统将通过式（2）分析判断两个节点的信誉值是否存在异常关联：

A_{ij}=\frac{P_i\cdot P_j}{\left|P_i\right|\cdot \left|P_j\right|}(2)

其中，P_i和P_j分别为节点m_i和m_j的信誉得分。如果A_{ij}超过设定阈值\theta，判定关联异常，则需要对该节点对的信誉评估进行重新计算。

2.3.2　利用VRF生成共识随机数

VRF是一种基于公钥密码学的加密原语，兼具伪随机性、不可预测性及可验证性三重特性。其核心机制允许持有私钥的实体通过输入特定消息生成唯一随机数，同时任何验证者都可借助对应公钥验证该随机数的合法性，而无需获取私钥信息。该算法通过数学约束确保输出值的唯一确定性：在给定私钥和输入消息条件下，VRF输出值具有严格确定性；而缺失私钥的第三方既无法预测输出结果，亦无法伪造有效证明。这一特性使其在区块链共识、分布式系统节点选举等场景中展现出独特优势。

基于上述特性，在CAMRF的摆渡节点组选举中，VRF方案（已满足IETF拟定的VRF标准草案^[28]）被用于生成驱动选举的全局共识随机数R，具体流程如下：

对于每个候选摆渡节点m_i，使用其私钥sk _i 和当前轮次信息x_i作为输入，并基于VRF计算生成一个本地随机数s_i及其证明{\pi }_i，如（3）式所示：

(s_i,{\pi }_i)=\mathrm{V}\mathrm{R}{\mathrm{F}}_{m_i}(\mathrm{s}{\mathrm{k}}_i,x_i)(3)

所有候选节点广播其随机数s_i到网络中，每个候选节点收集到所有候选节点的s_i后，通过异或操作将这些本地随机数合并生成为全网统一的共识随机数R，作为摆渡节点组选举的客观依据，如（4）式所示：

R=s_{\mathrm{1}}\oplus s_{\mathrm{2}}\oplus \cdots \oplus s_N(4)

其中，\oplus表示异或操作，N是候选节点的总数。

在此过程中，VRF的不可预测性有效抵御了攻击者对选举种子的操控企图，而其可验证性则保障了各节点随机数生成过程的真实性。该设计依托密码学原语与分布式共识的协同作用，在确保选举结果不可偏倚的同时，显著降低了传统机制因中心化依赖而易被操控和遭受集中攻击的固有风险。具体而言，其安全性优势主要体现在三方面：

1） 能较好地防止攻击者对摆渡节点的定向攻击。VRF由于使用了私钥作为输入之一，结果无法提前预测，攻击者得到选举结果时已经错过攻击时间，且VRF输出的证明\pi实现了零知识证明，即不必知道各节点私钥也可证明对应随机值的产生，增强了机制的安全性。

2） 能有效防止摆渡节点选取结果的伪造。由于随机数s由证明者私钥sk和消息x唯一确定，输入不变则输出一定，攻击者无法通过多次尝试改变抽签结果；同时抽签结果可通过公钥进行验证，因此VRF抽签结果无法伪造。

3） 选举过程还能抵抗恶意节点或中间人攻击。即使恶意节点或中间人通过发送随机数影响摆渡人的选举过程，但选举结果仍是随机、不可预测且可靠的，因为候选节点为信誉值较高的一类节点，且在发生事故时会根据新的信誉值排序重新进行选举。

2.3.3　摆渡节点具体选举流程

Step 1 利用改进的PageRank算法从普通节点中选出信誉值较高的N个候选摆渡节点，组成候选摆渡节点组\left\{m_{\mathrm{1}},m_{\mathrm{2}},\cdots ,m_N\right\}；

Step 2 候选摆渡节点m_i生成对应公钥\mathrm{p}{\mathrm{k}}_i，私钥\mathrm{s}{\mathrm{k}}_i，随机数s_i以及证明{\pi }_i(\mathrm{1}\le i\le N)，设所有节点的VRF输入x_i为候选摆渡节点的更替轮数，即：

x_{\mathrm{1}}=x_{\mathrm{2}}=\cdots =x_N=q-\mathrm{1}(5)

Step 3 候选摆渡节点m_i在组内广播自身对应的随机数s_i，从而每个节点将持有所有候选摆渡节点发来的随机数。每个候选摆渡节点m_i将收到所有候选摆渡节点发来的s_i合成全网统一的随机数R如（4）式所示。

Step 4 最后基于共识随机数R对候选摆渡节点进行分配，确保攻击者无法对摆渡节点进行定向攻击。定义候选摆渡节点m_i对应代表数为k_i，如(6)式所示：

k_i=\frac{s_i\oplus R}{R}(6)

选出k_i值较大的前n位作为摆渡节点，并设置任期时间T，当摆渡节点任期超过任期时间T时会失效。n与T值取决于不同场景的具体需求。当出现不诚信摆渡节点或者摆渡节点失效时按上述选取流程对相应的摆渡节点进行更替。

2.4　轻量级聚合签名BLS方案

为确保每份数据的安全性，需积累多数摆渡节点的签名，因此可采用轻量级聚合签名方案。常见的聚合签名有Schnorr签名^[29]和BLS签名^[11]，由于BLS签名实现m–\mathrm{o}\mathrm{f}–n类型的多重签名远比Schnorr签名简单，本文采用BLS聚合签名。

2.4.1　BLS签名基础

BLS签名算法由Boneh等^[11]提出，采用基于双线性映射的椭圆曲线配对技术，无需随机数生成器便可实现签名验证与聚合，且聚合后的签名长度与单个签名长度相同，减少节点间的多余通信开销。算法在3个p阶循环群G1、G2、G3（生成元分别为g_{\mathrm{1}}、g_{\mathrm{2}}和g_{\mathrm{3}}=B(g_{\mathrm{1}},g_{\mathrm{2}})）中定义了一个双线性映射函数B^[30]：

B:G\mathrm{1}\times G\mathrm{2}\to G\mathrm{3}(7)

该双线性映射函数B需满足（8）式：

\left\{\begin{array}{l}B\left(V,Q+C_{\mathrm{2}}\right)=B\left(V,Q\right)\times B\left(V,C_{\mathrm{2}}\right)\\ B\left(V+C_{\mathrm{1}},Q\right)=B\left(V,Q\right)\times B\left(Q,C_{\mathrm{1}}\right)\\ B\left(b\times V,d\times Q\right)=B{\left(V,Q\right)}^{b\times d}=B\left(b\times Q,d\times V\right)\end{array}\right.(8)

其中，V\mathrm{、}{C}_{\mathrm{1}}为群G1任意元素；Q\mathrm{、}{C}_{\mathrm{2}}为群G2任意元素；b\mathrm{、}d为任意整数。

2.4.2　方案实现

标准BLS聚合签名本身不区分签名者。为了实现数据签名可追溯——即能准确识别签名的摆渡节点，以便在发现不诚实摆渡节点时快速定位并替换，本文引入了摆渡节点对应的签名者编号，具体签名方法如下：

采用数字哈希h(x)以及曲线哈希H(x)算法，为每个摆渡节点设置一个签名者编号i\in [\mathrm{1},n]，以标识其在摆渡节点组中的位置，并获取相应的私钥\mathrm{s}{\mathrm{k}}_i及公钥\mathrm{p}{\mathrm{k}}_i=\mathrm{s}{\mathrm{k}}_i\times g_{\mathrm{2}}。

通过(9)式生成所有签名者对消息H(\mathrm{P}\mathrm{K},i)的有效n–\mathrm{o}\mathrm{f}–n签名\mathrm{M}{\mathrm{K}}_i：

\mathrm{M}{\mathrm{K}}_i=(a_{\mathrm{1}}\times \mathrm{s}{\mathrm{k}}_{\mathrm{1}})\times H(\mathrm{P}\mathrm{K},i)+(a_{\mathrm{2}}\times \mathrm{s}{\mathrm{k}}_{\mathrm{2}})\times

H(\mathrm{P}\mathrm{K},i)+\cdots +(a_n\times \mathrm{s}{\mathrm{k}}_n)\times H(\mathrm{P}\mathrm{K},i)(9)

式中，H(\mathrm{P}\mathrm{K},i)为包含聚合公钥PK和编号i的消息；PK为聚合公钥，其定义如下式：

\mathrm{P}\mathrm{K}=a_{\mathrm{1}}\times \mathrm{p}{\mathrm{k}}_{\mathrm{1}}+a_{\mathrm{2}}\times \mathrm{p}{\mathrm{k}}_{\mathrm{2}}+\cdots +a_n\times \mathrm{p}{\mathrm{k}}_n(10)

其中，a_{\mathrm{1}},a_{\mathrm{2}},\cdots ,a_n为各公钥\mathrm{p}{\mathrm{k}}_i对应的系数，由下式确定：

a_i=h(\mathrm{p}{\mathrm{k}}_i,\left\{\mathrm{p}{\mathrm{k}}_{\mathrm{1}},\mathrm{p}{\mathrm{k}}_{\mathrm{2}},\cdots ,\mathrm{p}{\mathrm{k}}_n\right\})(11)

假设现由前j个摆渡节点成功签署消息l，单个签名者分别对应签名S_{\mathrm{1}},S_{\mathrm{2}},\cdots ,S_j，在此称为成员签名S_i：

\left\{\begin{array}{l}{S}_{\mathrm{1}}=\mathrm{s}{\mathrm{k}}_{\mathrm{1}}\times H\left(\mathrm{P}\mathrm{K},l\right)+\mathrm{M}{\mathrm{K}}_{\mathrm{1}}\\ S_{\mathrm{2}}=\mathrm{s}{\mathrm{k}}_{\mathrm{2}}\times H\left(\mathrm{P}\mathrm{K},l\right)+\mathrm{M}{\mathrm{K}}_{\mathrm{2}}\\ ⋮\\ S_j=\mathrm{s}{\mathrm{k}}_j\times H\left(\mathrm{P}\mathrm{K},l\right)+\mathrm{M}{\mathrm{K}}_j\end{array}\right.(12)

将上述成员签名S_i相加，得到多重签名（此次为前j个摆渡节点的签名者集合签名）S^{\mathrm{*}}。S^{\mathrm{*}}以及对应的签名者集合公钥P^{\mathrm{*}}计算如下：

(S^{\mathrm{*}},P^{\mathrm{*}})=(S_{\mathrm{1}}+S_{\mathrm{2}}+\cdots +S_j,\mathrm{p}{\mathrm{k}}_{\mathrm{1}}+\mathrm{p}{\mathrm{k}}_{\mathrm{2}}+\cdots +\mathrm{p}{\mathrm{k}}_j)(13)

2.4.3　方案验证

验证者已知消息l、聚合签名S^{\mathrm{*}}、签名者集合公钥P^{\mathrm{*}}、聚合公钥PK以及签名者集合中签名者的编号，执行如下验证：

B(g_{\mathrm{2}},S^{\mathrm{*}})=B(P^{\mathrm{*}},H(\mathrm{P}\mathrm{K},l))\times B(\mathrm{P}\mathrm{K},H(\mathrm{P}\mathrm{K},\mathrm{1})+H(\mathrm{P}\mathrm{K},\mathrm{2})+\cdots +H(\mathrm{P}\mathrm{K},j))(14)

具体推导如下式所示：

\begin{array}{l}B(g_{\mathrm{2}},S^{\mathrm{*}})=\\ B(g_{\mathrm{2}},S_{\mathrm{1}}+S_{\mathrm{2}}+\cdots +S_j)=\\ B(g_{\mathrm{2}},\mathrm{s}{\mathrm{k}}_{\mathrm{1}}\times H(\mathrm{P}\mathrm{K},l)+\cdots +\mathrm{s}{\mathrm{k}}_j\times H(\mathrm{P}\mathrm{K},l)+\mathrm{M}{\mathrm{K}}_{\mathrm{1}}+\cdots +\mathrm{M}{\mathrm{K}}_j)=\\ B(g_{\mathrm{2}},\mathrm{s}{\mathrm{k}}_{\mathrm{1}}\times H(\mathrm{P}\mathrm{K},l)+\cdots +\mathrm{s}{\mathrm{k}}_j\times H(\mathrm{P}\mathrm{K},l))\times B(g_{\mathrm{2}},\mathrm{M}{\mathrm{K}}_{\mathrm{1}}+\cdots +\mathrm{M}{\mathrm{K}}_j)=\\ B(\mathrm{s}{\mathrm{k}}_{\mathrm{1}}\times g_{\mathrm{2}}+\cdots +\mathrm{s}{\mathrm{k}}_j\times g_{\mathrm{2}},H(\mathrm{P}\mathrm{K},l))\times B((a_{\mathrm{1}}\times \mathrm{s}{\mathrm{k}}_{\mathrm{1}}+a_{\mathrm{2}}\times \mathrm{s}{\mathrm{k}}_{\mathrm{2}}+\cdots +a_{\mathrm{n}}\times \mathrm{s}{\mathrm{k}}_{\mathrm{n}})\times g_{\mathrm{2}},\\ H(\mathrm{P}\mathrm{K},\mathrm{1})+H(\mathrm{P}\mathrm{K},\mathrm{2})+\cdots +H(\mathrm{P}\mathrm{K},j)))=\\ B(P^{\mathrm{*}},H(\mathrm{P}\mathrm{K},l))\times B(\mathrm{P}\mathrm{K},H(\mathrm{P}\mathrm{K},\mathrm{1})+H(\mathrm{P}\mathrm{K},\mathrm{2})+\cdots +H(\mathrm{P}\mathrm{K},j))\end{array}(15)

由此可知，当（15）式成立时，即可证明消息l经由前j个摆渡节点签署。

通过上述带签名者编号的BLS签名方案可以知道每份数据由哪些摆渡节点签署，签名者数量是否满足m–\mathrm{o}\mathrm{f}–n签名条件，故可实现每份数据具有安全性的前提是积累多数摆渡节点签名的目标。

相比其他n–\mathrm{o}\mathrm{f}–n聚合方案，BLS聚合签名方案具有防恶意阻止签名功能，即使攻击者控制少数节点，也无法令整个签名失效，使消息无法验证。同时，由于需要积累多数摆渡节点签名，方案可防止少数摆渡节点恶意联合签名虚假数据，最大程度降低对跨链数据传递造成的影响，保证了系统安全有效地运行。

3　 安全性分析

CAMRF的安全性依赖关键组件的协同作用，包括基于VRF的节点选举、改进的PageRank的信誉评估、摆渡节点组的动态轮换以及BLS多重签名机制。为此安全性分析涵盖以下核心问题：

1） 节点选举安全性：VRF生成的共识随机数的不可预测性与可验证性；

2） 信誉评估抗干扰性：PageRank算法抵御恶意评分操控的能力；

3） 聚合签名安全性：BLS多重签名在恶意节点参与下的不可伪造性；

4） 动态轮换抗攻击性：摆渡节点组轮换对定向攻击的防御效果；

5） 跨链流程完整性：消息传输与验证过程对篡改和伪造的抵抗能力。

3.1　关键组件的安全性证明

3.1.1　节点选举安全性

VRF技术的应用确保了共识随机数R的不可预测性和可验证性，即使攻击者知道了输入x_i和公钥\mathrm{p}{\mathrm{k}}_i，也无法推断出随机数s_i的输出。由（4）式可知，攻击者无法进一步推断出共识随机数R，同时任何验证者均可验证随机数s_i的正确性。这一机制保障了摆渡节点组选举过程的公平性与安全性，使其难以被攻击者操控。

1） 不可预测性

VRF的输出由私钥与输入唯一确定，攻击者无法通过已知公钥推导出随机数。假设攻击者试图预测选举结果，则其成功渗透概率为：

\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}\le \frac{\mathrm{1}}{{\mathrm{2}}^{\lambda }}(16)

其中\lambda为安全参数（取\lambda=256），该概率太小可忽略不计。

2） 可验证性

VRF生成的随机数附带零知识证明{\pi }_i，任何节点均可通过公钥验证随机数的合法性，防止伪造。验证过程满足：

\mathrm{V}\mathrm{e}\mathrm{r}\mathrm{i}\mathrm{f}\mathrm{y}(\mathrm{p}{\mathrm{k}}_i,x_i,s_i,{\pi }_i)=\mathrm{1}\iff \mathrm{V}\mathrm{R}{\mathrm{F}}_{m_i}(\mathrm{s}{\mathrm{k}}_i,x_i)(17)

因此，可确保选举结果的公平性。

3.1.2　信誉评估抗干扰性

1） 数据完整性保护

节点的信誉数据通过数字签名\mathrm{S}\mathrm{i}{\mathrm{g}}_{\mathrm{s}\mathrm{k}}(\mathrm{I}{\mathrm{D}}_U)保护，任何篡改行为将导致签名验证失败。

2） 动态监控机制

引入信誉波动阈值\Delta，若节点评分变化\left|{\Delta }_{P_i}\right|>\Delta，则触发审计流程。如公式(2)所示，通过分析节点关联度检测协同攻击：当A_{ij}>\theta，判定为异常关联，剔除恶意节点。

3.1.3　聚合签名安全性

设定在此m–\mathrm{o}\mathrm{f}–n签名中，一次至少需要c位签名者才可签名成功。

1) 形式化分析

对于此BLS多重签名方案的安全定义如下：

定义1 多重签名方案安全 在博弈中，若拥有最大攻击资源的攻击者仍无法完成最小的攻击目标任务，则称该BLS多重签名方案是安全的。

假定攻击者为A，挑战者为C。有n位签名者\left\{M_{\mathrm{1}},M_{\mathrm{2}},\cdots ,M_n\right\}，其中有k位签名者被攻击者A控制，即攻击者A可以生成k位签名者的合法部分签名。

① 初始化

挑战者C运行初始化算法，生成系统参数Parm，然后向攻击者A发送系统参数公共部分。

② 签名查询-应答

Hash询问：攻击者A发起Hash询问，挑战者C可控制Hash随机预言机，对攻击者A的查询进行回应。

部分BLS多重签名询问：攻击者A可以随机选取信息l_i作为输入，挑战者C控制签名随机预言机对攻击者A的查询进行回应，返回l_i对应BLS多重签名。

③ 输出签名

多项式轮询问后，攻击者A输出一个对信息l^{\mathrm{*}}的BLS多重签名结果{\sigma }^{\mathrm{*}}，且信息l^{\mathrm{*}}非部分BLS多重签名询问中的任何一次输入。若BLS多重签名结果{\sigma }^{\mathrm{*}}是积累了\left\{M_{\mathrm{1}},M_{\mathrm{2}},\cdots ,M_n\right\}中多数签名者对信息l^{\mathrm{*}}的有效BLS签名，则攻击者A在博弈中获胜。

定义2 攻破BLS多重签名 在随机预言机模型下，对于安全参数{\mathrm{1}}^k，有n个签名者的集合\left\{M_{\mathrm{1}},M_{\mathrm{2}},\cdots ,M_n\right\}，攻击者A可控制其中k位签名者。内部攻击者A可任意地适应性选择消息，在多项式时间t内，向挑战者C最多发起q_h次Hash询问和q_s次签名查询。若攻击者A能在上述博弈中以概率\epsilon获胜，则称攻击者A能以((n,k),q_h,q_s,\epsilon )攻破BLS多重签名方案。否则称BLS多重签名方案在内部攻击者A适应性选择消息攻击((n,k),q_h,q_s,\epsilon )下具有不可伪造性，是EUF-CMA安全的。

定理1 轻量级聚合签名BLS方案在内部攻击者A适应性选择消息攻击((n,k),q_h,q_s,\epsilon )下是安全的。

证 假定攻击者A拥有最大的攻击资源，即可控制k=c-\mathrm{1}个内部签名者，则由签名方案（13）式的结构可知攻击者A可以造出c-\mathrm{1}个签名者的聚合签名S^{\mathrm{*}}，并通过（14）式验证。为达成最小攻击目标，攻击者必须能成功伪造任意一位签名者的成员签名S_i，由（12）式可知伪造任一签名的代价等效，现假定攻击者想伪造诚实签名者M_{\mathrm{1}}的成员签名S_{\mathrm{1}},S_{\mathrm{1}}=\mathrm{s}{\mathrm{k}}_{\mathrm{1}}\times H(\mathrm{P}\mathrm{K},l)+\mathrm{M}{\mathrm{K}}_{\mathrm{1}},由于攻击者具有最大攻击资源，因而假设\mathrm{s}{\mathrm{k}}_i，\mathrm{M}{\mathrm{K}}_i可通过签名询问得到，同时，可通过签名询问获得其他所有签名者的签名。群G1的生成元为g_{\mathrm{1}}，群G2的生成元为g_{\mathrm{2}}，则该BLS方案的安全性可以被规约到co-CDH问题^[31]上，即a{g}_{\mathrm{1}}\in G\mathrm{1},b{g}_{\mathrm{2}}\in G\mathrm{2}，挑战者C调用攻击者A为子程序，输出a{g}_{\mathrm{1}}b值。

设H是一个随机预言机，如果G\mathrm{1}\times G\mathrm{2}是间隙群组，H:{\left\{\mathrm{0,1}\right\}}^{\mathrm{*}}\to G\mathrm{1}是全域哈希函数，则轻量级聚合签名BLS方案是EUF-CMA安全的。

具体而言，假设存在一个EUF-CMA敌手A以\epsilon的优势攻破轻量级聚合签名BLS方案，A最多进行q_h次H询问和最多q_s次签名询问，那么一定存在一个挑战者C至少以\mathrm{A}\mathrm{d}{\mathrm{v}}_C^{\mathrm{c}\mathrm{o}-\mathrm{C}\mathrm{D}\mathrm{H}}\ge \frac{\epsilon }{\mathrm{e}{q}_h}的优势解决co-CDH问题，其中e是自然常数。

① 初始化

挑战者C运行初始化算法，生成３个p阶乘法循环群G1,G2,G3，以及双线性映射函数B:G\mathrm{1}\times G\mathrm{2}\to G\mathrm{3}，然后将生成的系统参数\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{m}=\left\{G\mathrm{1},G\mathrm{2},\right.\left.G\mathrm{3},B,g_{\mathrm{1}},g_{\mathrm{2}},p,H\right\}发送给攻击者A。

② 签名查询-应答

提取私钥查询：挑战者C用列表L_{\mathrm{1}}记录各签名者私钥值。攻击者A输入签名者M_i，若M_i\ne M_{\mathrm{1}}，则C任意地选取签名者私钥\mathrm{s}{\mathrm{k}}_i\leftarrow Z_q^{\mathrm{*}}，计算公钥\mathrm{p}{\mathrm{k}}_i=\mathrm{s}{\mathrm{k}}_i\times g_{\mathrm{2}}\in G\mathrm{2}，然后将(M_i,\mathrm{s}{\mathrm{k}}_i,\mathrm{p}{\mathrm{k}}_i)记录到列表S中，返回\mathrm{s}{\mathrm{k}}_i给A。若M_i=M_{\mathrm{1}}，则C令\mathrm{p}{\mathrm{k}}_{\mathrm{1}}=b{g}_{\mathrm{2}}并将(M_i,\mathrm{N}\mathrm{o}\mathrm{n}\mathrm{e},\mathrm{p}{\mathrm{k}}_i)记录到列表L_{\mathrm{1}}中后，返回None（空值）给A。

H询问：挑战者C用列表L_{\mathrm{2}}记录询问值。攻击者A输入信息l_i，挑战者C随机选取j{\to }_R\left\{\mathrm{1,2},\cdots ,q_h\right\}，如果i=j，返回H(\mathrm{P}\mathrm{K},l_i)=a{g}_{\mathrm{1}}，如果i\ne j，则C查询列表L_{\mathrm{2}}，若存在对应记录(l_i,g_{\mathrm{1}},H(\mathrm{P}\mathrm{K},l_i))，则返回H(\mathrm{P}\mathrm{K},l_i)给攻击者A，否则C随机地选取c_i\leftarrow Z_q^{\mathrm{*}}，计算H(\mathrm{P}\mathrm{K},l_i)=c_i\times g_{\mathrm{1}}\in G\mathrm{1}，然后将(l_i,g_{\mathrm{1}},H(\mathrm{P}\mathrm{K},l_i))记录到列表L_{\mathrm{2}}，返回H(\mathrm{P}\mathrm{K},l_i)给攻击者A。

对聚合公钥和编号签名(\mathrm{M}{\mathrm{K}}_i,\mathrm{P}\mathrm{K},M_i)询问：挑战者C用列表L_{\mathrm{3}}记录各签名者的聚合公钥和编号签名结果。攻击者A输入签名者M_i和聚合公钥PK，查询签名者M_i对聚合公钥和编号的签名。若存在对应记录(\mathrm{M}{\mathrm{K}}_i,\mathrm{P}\mathrm{K},M_i)，则C返回\mathrm{M}{\mathrm{K}}_i给攻击者A；若不存在对应记录，则C随机选取\mathrm{M}{\mathrm{K}}_i，\mathrm{M}{\mathrm{K}}_i满足B\left(g_{\mathrm{2}},\mathrm{M}{\mathrm{K}}_i\right)=B\left(\mathrm{P}\mathrm{K},H\left(\mathrm{P}\mathrm{K},i\right)\right)，然后将(\mathrm{M}{\mathrm{K}}_i,\mathrm{P}\mathrm{K},M_i)记录到列表L_{\mathrm{3}}，返回\mathrm{M}{\mathrm{K}}_i给攻击者A。

成员签名(M_i,l_i,\mathrm{M}{\mathrm{K}}_i,S_i)询问：挑战者C用列表L_{\mathrm{4}}记录用户M_i的成员签名结果。攻击者A输入用户M_i、信息l_i及对聚合公钥和编号签名\mathrm{M}{\mathrm{K}}_i，查询(M_i,\mathrm{M}{\mathrm{K}}_i,S_i)对信息l_i的签名。当M_i\ne M_{\mathrm{1}}时，C查询表L_{\mathrm{1}}中的(M_i,\mathrm{s}{\mathrm{k}}_i,\mathrm{p}{\mathrm{k}}_i)，表L_{\mathrm{2}}中的(l_i,g_{\mathrm{1}},H(\mathrm{P}\mathrm{K},l_i))以及表L_{\mathrm{3}}中的(\mathrm{M}{\mathrm{K}}_i,\mathrm{P}\mathrm{K},M_i)计算M_i对l_i的成员签名S_i=\mathrm{s}{\mathrm{k}}_i\times H(\mathrm{P}\mathrm{K},l_i)+\mathrm{M}{\mathrm{K}}_i，返回S_i给攻击者A。当M_i=M_{\mathrm{1}}时，退出成员签名查询，返回失败。

③ 输出签名（伪造签名）

对于签名者集合\left\{M_{\mathrm{1}},M_{\mathrm{2}},\cdots ,M_n\right\}和信息l^{\mathrm{*}}，攻击者A输出伪造的多重签名结果S^{\mathrm{*}}。若②中的所有询问过程没有终止，签名者M_{\mathrm{1}}的私钥没有提交到私钥查询列表，且S^{\mathrm{*}}并未经过部分签名询问，多重签名结果S^{\mathrm{*}}有效。则攻击者A在博弈中获胜，即l^{\mathrm{*}}、S^{\mathrm{*}}满足下式：

B\left(g_{\mathrm{2}},S^{\mathrm{*}}\right)=B\left(P^{\mathrm{*}},H\left(\mathrm{P}\mathrm{K},l^{\mathrm{*}}\right)\right)\times

B\left(\mathrm{P}\mathrm{K},H\left(\mathrm{P}\mathrm{K},\mathrm{1}\right)+H\left(\mathrm{P}\mathrm{K},\mathrm{2}\right)+\cdots +H\left(\mathrm{P}\mathrm{K},j\right)\right)(18)

那么，挑战者C可以通过查询各列表L_{\mathrm{4}}的记录以及攻击者A的有效多重签名结果S^{\mathrm{*}}，计算M_{\mathrm{1}}的部分签名结果S_{\mathrm{1}}，如（19）式所示：

S_{\mathrm{1}}=S^{\mathrm{*}}-\sum _{i\ne \mathrm{1}}{S}_i(19)

又由部分签名公式可知：

S_{\mathrm{1}}=b\times a\times g_{\mathrm{1}}+\mathrm{M}{\mathrm{K}}_{\mathrm{1}}(20)

通过查询列表L_{\mathrm{2}}、L_{\mathrm{3}}，挑战者C可以计算出a{g}_{\mathrm{1}}b：

a{g}_{\mathrm{1}}b=S_{\mathrm{1}}-\mathrm{M}{\mathrm{K}}_{\mathrm{1}}(21)

即C成功解决给定的co-CDH问题。

为了简化且不失一般性，假设：

a) A不会对H(\mathrm{P}\mathrm{K},l_i)发起两次相同的询问；

b) 如果A请求消息l的一个签名，则它之前已经询问过H(\mathrm{P}\mathrm{K},l_i)；

c) 如果A输出(l^{\mathrm{*}},S^{\mathrm{*}})，则它之前已经询问过H(\mathrm{P}\mathrm{K},l_i)。

C的成功由以下三个事件决定。

E1：C在A的签名询问中不中断；

E2：A产生一个有效的消息签名对(l^{\mathrm{*}},S^{\mathrm{*}})；

E3：E2发生且H(\mathrm{P}\mathrm{K},l_i)中下标i=j。

\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{1}]={(\mathrm{1}-\frac{\mathrm{1}}{q_s})}^{q_s},\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{2}\left|\mathrm{E}\mathrm{1}\right.]=\epsilon，而\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{3}|\mathrm{E}\mathrm{2}\mathrm{E}\mathrm{1}]=\mathrm{P}\mathrm{r}[i=j\left|\mathrm{E}\mathrm{2}\right.\mathrm{E}\mathrm{1}]=\frac{\mathrm{1}}{q_h}。所以C的优势为：

\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{1}\mathrm{E}\mathrm{2}\mathrm{E}\mathrm{3}]=

\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{1}]\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{2}\left|\mathrm{E}\mathrm{1}\right.]\mathrm{P}\mathrm{r}[\mathrm{E}\mathrm{3}\left|\mathrm{E}\mathrm{2}\mathrm{E}\mathrm{1}\right.]=

{(\mathrm{1}-\frac{\mathrm{1}}{q_s})}^{q_s}\frac{\mathrm{1}}{q_h}\epsilon \approx \frac{\mathrm{1}}{\mathrm{e}{q}_h}\epsilon

因此攻击者A若能在多项式时间内以不可忽略的优势\epsilon攻破BLS多重签名方案，则挑战者C可以在多项式时间内借助A的能力以不可忽略的优势\mathrm{A}\mathrm{d}{\mathrm{v}}_C^{\mathrm{c}\mathrm{o}–\mathrm{C}\mathrm{D}\mathrm{H}}解决CDH问题。然而本文假设CDH是困难的。所以在随机预言模型中，不存在这样的攻击者A可以在多项式时间内攻破BLS多重签名方案。在本安全模型中，攻击者可通过询问得到\mathrm{M}{\mathrm{K}}_i，事实上\mathrm{M}{\mathrm{K}}_i的安全性也可规约至co-CDH问题上，即\mathrm{M}{\mathrm{K}}_i也无法被攻击者伪造攻破，进一步证明了本方案的安全性。

2) 安全性分析

BLS签名的安全性基于双线性映射的难题，尤其是基于离散对数问题的计算困难，当前不存在高效的算法能够破解这一问题。由上述分析可知只有当大多数摆渡节点签署该消息时，认证结果才会被认为是有效的。即使某些摆渡节点受到攻击，恶意节点也无法伪造有效的签名。

① 抗恶意签名者攻击：

即使c-\mathrm{1}个签名者被控制，攻击者仍需至少1个诚实节点签名才能通过验证。安全性规约至co-CDH问题，满足：

\mathrm{A}\mathrm{d}{\mathrm{v}}_{\mathrm{B}\mathrm{L}\mathrm{S}}^{\mathrm{E}\mathrm{U}\mathrm{F}–\mathrm{C}\mathrm{M}\mathrm{A}}\le q_h\cdot \mathrm{e}\cdot \mathrm{A}\mathrm{d}{\mathrm{v}}_C^{\mathrm{c}\mathrm{o}–\mathrm{C}\mathrm{D}\mathrm{H}}(22)

其中q_h为哈希询问次数，\mathrm{e}为自然常数。

② 签名可追溯性：

（9）式中MK _i 通过对含有聚合公钥和编号信息的消息H(\mathrm{P}\mathrm{K},i)进行签名引入编号i，确保节点与身份绑定。后续通过（12）式将MK _i 融入成员签名S_i中，再通过（13）式计算多重签名S^{\mathrm{*}}以及集合公钥P^{\mathrm{*}}，从而使得聚合签名携带签名者编号，为精确溯源提供基础。

当（14）式成立时，表示聚合签名有效，即可基于编号信息开展节点溯源。分为两种情况：

a) 消息为虚假的，即攻击者控制了超过签名阈值的摆渡节点（恶意节点）对消息进行签署，此时通过（13）式对S^{\mathrm{*}},P^{\mathrm{*}}进行拆分，可得到对应签署了该消息的节点编号，定位签署虚假消息的恶意节点。

b) 消息为真实的，此时将未参与此消息签名的摆渡节点的对应成员签名和公钥叠加至现有的S^{\mathrm{*}},P^{\mathrm{*}}，可生成新的（13）式，若新结果能通过（14）式的验证，则该摆渡节点非恶意节点；若不能通过，则为恶意节点。

3.1.4　动态轮换抗攻击性

① 抗合谋攻击：

摆渡节点组通过VRF随机选举产生，通过前期分析可知此过程具有不可预测性，成功渗透概率为\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}\le \frac{\mathrm{1}}{{\mathrm{2}}^{\mathrm{256}}}，基本可忽略不计。若攻击者想影响签名结果，则在摆渡节点组中至少需控制c个摆渡节点，当n=5,c=3时，可得：

\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}^{\mathrm{*}}=\mathrm{1}-(\mathrm{1}-\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}{)}^{\mathrm{5}}-\mathrm{5}\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}(\mathrm{1}-\mathrm{4}\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}{)}^{\mathrm{4}}-

\mathrm{10}\mathrm{P}{{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}}^{\mathrm{2}}(\mathrm{1}-\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}{)}^{\mathrm{3}}(23)

若\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}=\mathrm{0.1}时，\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}^{\mathrm{*}}为0.008 6，而实际渗透概率远小于0.1，表明合谋攻击难以生效。

② 失效节点快速替换：

每轮摆渡节点组任期T受限，超时或发生攻击事件时自动失效，触发轮换。攻击者难以在有限任期T内完成渗透，且每轮选举将产生全新摆渡节点组，迫使攻击者重新选择攻击目标，显著增加攻击成本。

3.1.5　跨链流程完整性

跨链流程的完整性依赖于消息传输与验证过程中对篡改和伪造的抵抗能力。为保障流程完整性，CAMRF机制引入以下措施：

摆渡节点安全性：节点信誉数据通过数字签名保护无法篡改；VRF生成的随机数在选举过程中不可预测，攻击者无法提前锁定目标节点；动态轮换机制进一步降低长期控制风险。

分布式验证：认证结果需多数摆渡节点签名，即使部分节点被攻破，系统仍能通过剩余诚实节点维持安全运行。

消息完整性保护：每条跨链消息的哈希值H(l, t)与时间戳结合，通过BLS签名确保消息未被篡改或重放。

消息可验证性和不可否认性：（15）式验证了聚合签名的合法性，确保跨链流程具备可验证性和不可否认性。

3.2　攻击模型与抗性验证

3.2.1　攻击模型

为全面评估CAMRF机制的安全性，定义以下威胁模型：

1） Sybil攻击：攻击者创建大量伪节点以影响摆渡节点选择。

2） 节点伪造攻击：恶意节点伪装为合法节点参与认证。

3） 摆渡节点组合谋攻击：攻击者控制部分摆渡节点以破坏认证过程。

4） 消息篡改或重放攻击：拦截、修改或重放认证消息。

5） 长期控制攻击：攻击者通过长期操控固定关键节点。

3.2.2　抗性验证

CAMRF通过多层次设计抵御上述攻击，具体机制如下：

BLS签名：确保消息完整性和不可否认性，每个摆渡节点对消息进行签名。

改进的PageRank算法：引入可信度因子(sybil_resistance_factor)，限制伪节点排名。

动态摆渡节点组更新：每隔update_interval（如5 s）重新随机选择摆渡节点。

分布式认证：多节点协同验证，容错性强，需多数摆渡节点签名（c位）。

VRF（可验证随机函数）：确保摆渡节点选举的公平性和不可预测性。

1) 抗Sybil攻击

机制 改进的PageRank算法通过可信度因子\alpha限制伪节点排名，动态更新，进一步降低长期影响。

分析 伪节点入选概率为：

P_{\mathrm{s}\mathrm{y}\mathrm{b}\mathrm{i}\mathrm{l}}=\frac{M\cdot \alpha }{N}(24)

其中，M为所有节点数；\alpha \ll \mathrm{1}。实验中设定\alpha =\mathrm{0.15}，当候选节点数N=20时，伪节点占比\frac{M}{N}超过30%时，入选概率低于0.05，有效抑制Sybil攻击。

2) 抗节点伪造攻击

机制 BLS签名验证节点身份，私钥与公钥绑定。

分析 伪造签名需破解离散对数问题，计算复杂度为O({\mathrm{2}}^{\lambda })(\lambda =\mathrm{256})，实际不可行。

3) 抗摆渡节点组合谋攻击

机制 动态轮换与多数签名阈值。

分析 攻击者需控制至少c个摆渡节点才能篡改结果。假设攻击者渗透概率为\eta，则攻击成功概率为(c=\left[\frac{n}{\mathrm{2}}\right]+\mathrm{1})：

\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}^{\mathrm{*}}=\mathrm{1}-{\displaystyle \sum _{k=\mathrm{0}}^{c-\mathrm{1}}}{C}_n^k{\eta }^k{(\mathrm{1}-\eta )}^{n-k}(25)

上述计算值随着n的增大和\eta的减小逐渐接近于0。当n=\mathrm{5},\eta =\mathrm{0.01}时，\mathrm{P}{\mathrm{r}}_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}}^{\mathrm{*}}\approx \mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{5}}，风险极低。

4) 抗消息篡改或重放攻击

机制 BLS签名结合时间戳t，消息哈希为H(m,t)。

分析 篡改需同时破解签名与时间戳同步。成功概率为：

P_{\mathrm{t}\mathrm{a}\mathrm{m}\mathrm{p}\mathrm{e}\mathrm{r}}=\frac{\mathrm{1}}{{\mathrm{2}}^{\lambda }}\cdot \frac{\mathrm{1}}{T_{\mathrm{v}\mathrm{a}\mathrm{l}\mathrm{i}\mathrm{d}}}\approx \mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{30}}(26)

其中，λ为安全参数（取λ=256）；\frac{\mathrm{1}}{{\mathrm{2}}^{\lambda }}为攻破BLS签名概率；T_{\mathrm{v}\mathrm{a}\mathrm{l}\mathrm{i}\mathrm{d}}为时间戳有效窗口；\frac{\mathrm{1}}{T_{\mathrm{v}\mathrm{a}\mathrm{l}\mathrm{i}\mathrm{d}}}为时间戳伪造概率。最终攻击成功概率极低，实际不可行。

5) 抗长期控制攻击

机制 动态摆渡节点组更新。

分析 假设攻击者每轮都必然控制j个系统内节点，若需连续k轮控制同一个摆渡节点，则成功概率为：

P_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{c}\mathrm{e}\mathrm{s}\mathrm{s}}(k)=j\cdot {(\frac{N}{M}\cdot \frac{n}{N})}^k(27)

攻击者需持续操控节点并且遵守相关规则以应对持续监控才能维持高信誉，成本随轮次呈指数增长，而控制的节点持续入选的概率随轮次呈指数减少。

4　 实验与分析

4.1　实验环境和评价指标

为验证CAMRF机制有效性，实验模拟用户节点跨链身份认证流程并与3种主流方案进行对比，通过100次跨域跨链认证实验消除偶然误差。其中，PKI（公钥基础设施）是传统且广泛应用的身份认证方法，通常被认为具有较高的认证成功率和较短的认证时间；SSO（单点登录）方案适用于多个系统之间的身份认证，具有便捷性和跨域认证能力；Trust Bubble基于区块链的“信任泡泡”方案，为物联网应用提供去中心化的认证服务。本文采用成熟且广泛应用的Hyperledger Fabric 2.2区块链框架，运行于搭载Intel Core i5-8400处理器的Windows 10 64位平台，软件环境整合Python 3.9.1、Matplotlib及NetworkX模拟工具。

为平衡系统性能，关键参数经优化具体设定如下：

1) 摆渡节点组规模n=\mathrm{5}，满足拜占庭容错要求；

2) 候选节点数C=\mathrm{20}控制选举复杂度；

3) 随机数周期T=\mathrm{5}\mathrm{s}增强抗预测攻击能力；

4) PageRank权重\alpha =\mathrm{0.15}与\beta =\mathrm{0.85}维持信誉收敛；

5) BLS签名阈值c=\mathrm{3}实现(3,5)门限签名。

评价体系聚焦三项核心指标，分别是平均认证时间（反映系统响应速度）、标准差（量化系统确定性）和认证成功率（反映系统鲁棒性）。

4.2　动态摆渡节点组更新机制的验证

为进一步验证CAMRF的动态适应性和抗攻击能力，通过实验模拟摆渡节点组的动态更新过程，分析了其在时间周期和节点失效（模拟10%的节点随机失效）下的表现。图3展示了CAMRF摆渡节点组在10个时间步内的动态更新过程。图3表明，CAMRF在10个时间步内共触发了10次更新，其中时间周期触发更新发生在T0和T5，节点失效触发更新则分布在T1~T4以及T6~T9。这种动态调整机制确保了系统在面对节点失效时能够迅速响应并维持摆渡节点组的可用性，展现出较高的稳定性和鲁棒性。

传统PKI和SSO依赖固定中心节点，在节点失效时需人工干预重建信任链。Trust Bubble虽具去中心化特性，但其预设信任关系难以实时调整拓扑变化。而CAMRF的主动更新机制通过周期性和事件驱动的双重触发，显著提升分布式网络中的持续服务能力。

4.3　认证时间评估与分析

为验证不同认证机制的响应时间表现，本文评估了CAMRF、PKI、SSO和Trust Bubble在实际认证过程中的平均认证时间（表1）以及具体时间分布（图4）。

在认证效率方面，CAMRF平均认证时间为0.189 0 s，高于SSO、Trust Bubble方案，与广泛应用的PKI方案相近。

由图4(a)可知，CAMRF机制的认证时间分布较为集中，主要分布在0.18 s到0.22 s之间。结合表2可知，该机制的标准差为0.018 7 s，表明其响应时间较为稳定，在跨域认证请求处理中表现出较高的可靠性。图4(b)展示了在PKI机制下的认证时间分布，PKI的认证时间分布较为分散，标准差为0.026 4 s，显示出较大的时间波动。这种波动可能是中心节点负载不均衡引起的，导致不同情况下的响应时间不一致，影响了整体的稳定性。图4(c)展示了在SSO机制下的认证时间分布，在0.06 s至0.11 s之间，标准差为0.016 6 s，反映了其中心化架构在响应时间上的确定性。图4(d)展示了在Trust Bubble机制下的认证时间分布，该机制的时间分布相对较为分散，位于0.08 s至0.16 s之间，标准差为0.020 5 s。这反映了Trust Bubble在固定信任关系下的适应性较差，特别在动态网络环境中表现出的稳定性不如CAMRF。

4.4　认证成功率评估与分析

为了评估不同认证机制的有效性，分析了CAMRF、PKI、SSO和Trust Bubble在认证成功率上的表现，以确定哪种机制在实际应用中表现更好，特别是面对跨域认证请求时的可用性和可靠性。结果如图5所示。

由图5可知，CAMRF的认证成功率显著高于其他三种方案，表明CAMRF在认证成功率上具有明显优势，即在处理跨域认证请求时CAMRF可用性更好，更适合处理对可用性、可靠性要求较高的数据。结合表1可知，虽然SSO方案在4个方案中表现最佳，但其认证成功率仅为41%，表明这种快速响应是以高失败率为代价的，整体表现仍需改进。

分析认证成功率较低的方案时发现，成功率不完全取决于认证方案设计，而与身份本身的合法性、信息完整性及跨链信息传递的有效性相关。网络延迟和信息同步问题可能导致认证失败，因此，低成功率的原因往往与信息传递延迟、网络拥堵或跨链同步等因素有关，而非机制本身的设计缺陷。例如，PKI和SSO的中心化结构在网络波动时易受影响，而Trust Bubble的固定信任关系难以适应动态变化。相比之下，CAMRF通过动态摆渡节点组、分布式设计以及BLS多重签名有效缓解了这些问题，成功率更高且更稳定，确保了在物联网等分布式环境中的高效、安全认证。

上述结果表明，相比于PKI、SSO和Trust Bubble方案，CAMRF在保持较高认证成功率的同时，提供了更稳定的认证时间，并且具有更强的网络适应能力，在跨域认证请求处理中表现出优越性。优化后，CAMRF有望在实际应用中提供更加安全、可靠的身份认证方案。

5　 结 语

为了解决物联网场景下多个应用管理域之间的安全跨域身份认证问题，本文提出了一种随机摆渡的跨链身份信息互认机制。该机制基于公证人跨链机制实现了应用管理域安全的跨域身份认证。机制从各物联网域中利用改进的PageRank算法选出信誉较高的候选摆渡节点后，基于VRF产生共识随机数后选出摆渡节点组作为公证人组并不断进行更替，由摆渡节点对跨域消息进行转发、签名、认证，通过BLS多重签名对每份跨域数据的安全性负责，从理论和实验角度分析证明了该机制具有高互操作性、高安全性，能有效提高跨域身份认证的可靠性和可用性，具备较高的实用价值。但由于采用VRF以及涉及多重签名，对带宽要求较高，更适用于带宽充足、安全性需求较高的应用场景。未来研究可从以下几个方面进行：1） 优化VRF生成与验证效率，探索更轻量的共识随机数生成方案，降低通信开销；2） 探索跨链隐私保护技术，在确保身份互认的同时，增强用户及交易数据的机密性。

参考文献

[1] 王捷， 李晶， 罗影. 面向移动云服务的分级访问控制的认证协议［J］. 应用科学学报， 2022， 40（6）： 1006-1018. DOI： 10.3969/j.issn.0255-8297.2022.06.011 .

[2] WANG J， LI J， LUO Y. An authentication protocol with hierarchical access control for mobile cloud services［J］. Journal of Applied Sciences， 2022， 40（6）： 1006-1018. DOI： 10.3969/j.issn.0255-8297.2022.06.011（Ch ）.

[3] COOPER D， SANTESSON S， FARRWLL S， et al. Internet X.509 public key infrastructure certificate and certificate revocation list （CRL） profile［EB/OL］. ［2008-05-30］. DOI: 10.17487/rfc5280 .

[4] LI M C， REN Y Z， WANG Z H， et al. A new modified bridge certification authority PKI trust model［C］//2006 First International Symposium on Pervasive Computing and Applications. New York： IEEE Press， 2006： 23-26. DOI：10.1109/SPCA.2006.297465 .

[5] RAJENDRAN B. Evolution of PKI ecosystem［C］//2017 International Conference on Public Key Infrastructure and its Applications （PKIA）. New York： IEEE Press， 2017： 9-10. DOI：10.1109/PKIA.2017.8278951 .

[6] BHUTTA M N M， KHWAJA A A， NADEEM A， et al. A survey on blockchain technology： Evolution， architecture and security［J］. IEEE Access， 2021， 9： 61048-61073. DOI: 10.1109/access.2021.3072849 .

[7] MAO H Y， NIE T Z， SUN H， et al. A survey on cross-chain technology： Challenges， development， and prospect［J］. IEEE Access， 2022， 11： 45527-45546. DOI: 10.1109/access.2022.3228535 .

[8] HOPE-BAILIE A， THOMAS S. Interledger： Creating a standard for payments［C］//Proceedings of the 25th International Conference Companion on World Wide Web. New York： ACM Press， 2016： 281-282. DOI：10.1145/2872518.2889307 .

[9] 戴炳荣， 姜胜明， 李顿伟， 等. 基于改进PageRank算法的跨链公证人机制评价模型［J］. 计算机工程， 2021， 47（2）： 26-31. DOI： 10.19678/j.issn.1000-3428.0056460 .

[10] DAI B R， JIANG S M， LI D W， et al. Evaluation model of cross-chain notary mechanism based on improved page rank algorithm［J］. Computer Engineering， 2021， 47（2）： 26-31. DOI： 10.19678/j.issn.1000-3428.0056460（Ch ）.

[11] MICALI S， RABIN M， VADHAN S. Verifiable random functions［C］//40th Annual Symposium on Foundations of Computer Science. New York： IEEE Press， 2002： 120-130. DOI：10.1109/SFFCS.1999.814584 .

[12] JOHNCY G， SHAJI R S， ANGELIN MONISHA SHAREAN T M， et al. Enhancing smart grid security using BLS privacy blockchain with Siamese Bi-LSTM for electricity theft detection［J］. Transactions on Emerging Telecommunications Technologies， 2025， 36（1）： e70033. DOI： 10.1002/ett.70033 .

[13] BONEH D， LYNN B， SHACHAM H. Short signatures from the Weil pairing［J］. Journal of Cryptology， 2004， 17（4）： 297-319. DOI：10.1007/s00145-004-0314-9 .

[14] KHAN S， LUO F， ZHANG Z J， et al. A survey on X.509 public-key infrastructure， certificate revocation， and their modern implementation on blockchain and ledger technologies［J］. IEEE Communications Surveys & Tutorials， 2023， 25（4）： 2529-2568. DOI：10.1109/COMST.2023.3323640 .

[15] SHAMIR A. Identity-based cryptosystems and signature schemes［M］//Advances in Cryptology. Heidelberg： Springer， 2007： 47-53. DOI：10.1007/3-540-39568-7_5 .

[16] NGUYEN T T L， NGUYEN T A， VO H K， et al. Toward a unique IoT network via single sign-on protocol and message queue［C］//Computer Information Systems and Industrial Management. Cham： Springer International Publishing， 2021： 270-284. DOI：10.1007/978-3-030-84340-3_22 .

[17] SIRIWARDENA P. Advanced API Security： OAuth 2.0 and Beyond［M］. California： Apress Berkeley， 2019：287-304. DOI: 10.1007/978-1-4842-2050-4_14 .

[18] HAMMI M T， HAMMI B， BELLOT P， et al. Bubbles of trust： A decentralized blockchain-based authentication system for IoT［J］. Computers & Security， 2018， 78： 126-142. DOI：10.1016/j.cose.2018.06.004 .

[19] ATENIESE G， FAONIO A， MAGRI B， et al. Certified bitcoins［C］//Applied Cryptography and Network Security. Cham： Springer International Publishing， 2014： 80-96. DOI：10.1007/978-3-319-07536-5_6 .

[20] LI D W， YU J， GAO X， et al. Research on multidomain authentication of IoT based on cross-chain technology［J］. Security and Communication Networks， 2020， 2020（1）： 6679022. DOI：10.1155/2020/6679022 .

[21] ALSAEED N， NADEEM F. A framework for blockchain and fogging-based efficient authentication in Internet of Things［C］//2022 2nd International Conference on Computing and Information Technology （ICCIT）. New York： IEEE Press， 2022： 409-417. DOI：10.1109/ICCIT52419.2022.9711603 .

[22] FRAUENTHALER P， SIGWART M， SPANRING C， et al. ETH relay： A cost-efficient relay for ethereum-based blockchains［C］//2020 IEEE International Conference on Blockchain （Blockchain）. New York： IEEE Press， 2020： 204-213. DOI：10.1109/Blockchain50366.2020.00032 .

[23] ZHONG C， LIANG Z H， HUANG Y X， et al. Research on cross-chain technology of blockchain： Challenges and prospects［C］//2022 IEEE 2nd International Conference on Power， Electronics and Computer Applications （ICPECA）. New York： IEEE Press， 2022： 422-428. DOI：10.1109/ICPECA53709.2022.9719075 .

[24] 徐淑奖， 张朝阳， 王连海， 等. 基于区块链的跨数据中心匿名可监管身份认证方案［J］. 网络与信息安全学报， 2024， 10（2）： 47-58. DOI： 10.11959/j.issn.2096-109x.2024031 .

[25] XU S J， ZHANG C Y， WANG L H， et al. Blockchain-based cross-data center anonymous and verifiable identity authentication scheme［J］. Chinese Journal of Network and Information Security， 2024， 10（2）： 47-58. DOI： 10.11959/j.issn.2096-109x.2024031（Ch ）.

[26] RUSSELL R. Lightning Networks Part Ⅱ： Hashed timelock contracts （HTLCs）［EB/OL］. ［2015-04-01］.

[27] 石润华， 杨婧怡， 王鹏博， 等. V2G中基于区块链的在线/离线跨域身份认证方案［J］. 信息网络安全， 2024， 24（4）： 587-601. DOI： 10.3969/j.issn.1671-1122.2024.04.009 .

[28] SHI R H， YANG J Y， WANG P B， et al. Online/off line cross-domain identity authentication scheme based on blockchain in vehicle to grid［J］. Netinfo Security， 2024， 24（4）： 587-601. DOI： 10.3969/j.issn.1671-1122.2024.04.009（Ch ）.

[29] 罗焱， 何梦颖. 基于跨域认证协议的区块链数据同态加密仿真［J］. 计算机仿真， 2024， 41（3）： 426-430. DOI： 10.3969/j.issn.1006-9348.2024.03.077 .

[30] LUO Y， HE M Y. Simulation of homomorphic encryption of blockchain data based on cross domain authentication protocol［J］. Computer Simulation， 2024， 41（3）： 426-430. DOI： 10.3969/j.issn.1006-9348.2024.03.077（Ch ）.

[31] 蒋楚钰， 方李西， 章宁， 等. 基于公证人组的跨链交互安全模型［J］. 计算机应用， 2022， 42（11）： 3438-3443. DOI： 10.11772/j.issn.1001-9081.2021111915 .

[32] JIANG C Y， FANG L X， ZHANG N， et al. Cross-chain interaction safety model based on notary groups［J］. Journal of Computer Applications， 2022， 42（11）： 3438-3443. DOI： 10.11772/j.issn.1001-9081.2021111915（Ch ）.

[33] 张楦杰， 张敏， 刘韬， 等. 基于区块链的无人机网络跨域身份认证研究［J］. 计算机应用研究， 2024， 41（7）： 1959-1964. DOI： 10.19734/j.issn.1001-3695.2023.11.0532 .

[34] ZHANG X J， ZHANG M， LIU T， et al. Research on cross-domain identity authentication of unmanned aerial vehicle network based on blockchain［J］. Application Research of Computers， 2024， 41（7）： 1959-1964. DOI： 10.19734/j.issn.1001-3695.2023.11.0532（Ch ）.

[35] GOLDBERG S， REYZIN L， PAPADOPOULOS D， et al. Verifiable random functions（VRFs） ［EB/OL］. ［2023-08-23］. DOI: 10.17487/rfc9381 .

[36] SCHNORR C P. Efficient identification and signatures for smart cards［M］//Advances in Cryptology — CRYPTO’ 89 Proceedings. New York： Springer， 2007： 239-252. DOI：10.1007/0-387-34805-0_22 .

[37] OKAMOTO T. Cryptography based on bilinear maps［M］//Applied Algebra， Algebraic Algorithms and Error-Correcting Codes. Heidelberg： Springer， 2006： 35-50. DOI：10.1007/11617983_3 .

[38] GOLDSHORE M， LAND S， FLOHR S， et al. The impact of comprehensive fetal care on mortality of children with congenital diaphragmatic hernia when delivery is co-located in a pediatric hospital［J］. Journal of Pediatric Surgery， 2024， 59（3）：445-450.DOI：10.1016/j.jpedsurg.2023.09.039 .