(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211059138.X (22)申请日 2022.08.30 (71)申请人 西北工业大 学 地址 710072 陕西省西安市友谊西路 (72)发明人 姚烨　朱怡安　李联　潘旭飞　 (74)专利代理 机构 西安凯多 思知识产权代理事 务所(普通 合伙) 61290 专利代理师 刘涛 (51)Int.Cl. H04L 9/08(2006.01) H04L 9/30(2006.01) H04L 9/32(2006.01) H04L 9/40(2022.01) H04L 67/10(2022.01) H04L 67/12(2022.01) (54)发明名称 一种基于云-边-端协同的工业设备可信接 入方法 (57)摘要 本发明公开了一种基于云 ‑边‑端协同的工 业设备可信接入 方法， 针对工业 设备数量巨大以 及异构性等特点， 构建分层的树形可信认证链模 型， 以解决工业设备可信接入的分布式认证问 题， 为云‑边‑端协同认证提供技术服务支撑； 为 确保边缘认证服务器的可信性， 采用基于切比雪 夫多项式的工业边缘设备云 ‑边接入认证； 考虑 到工业设备的移动性和随机性， 采用基于椭圆 曲 线的IBC标识密码边 ‑端双向接入认证和基于域 间节点协同的工业设备边 ‑端跨域接入认证， 以 满足工业设备接入认证的高效性、 实时性和移动 性要求。 本发 明方法避免了不同安全域内的设备 由于系统参数不同造成的认证困难问题， 缩短了 认证的时延， 提高了 工业设备跨 域认证的效率。 权利要求书2页 说明书6页 附图2页 CN 115514474 A 2022.12.23 CN 115514474 A 1.一种基于云 ‑边‑端协同的工业设备 可信接入方法， 其特 征在于， 包括如下步骤： 步骤1： 云 ‑边‑端协同工业设备认证环境构建； 采用三层树形分布式可信认证链模型， 解耦出云端服务器的部分认证与管理功能， 部 署到边缘节点上， 用于实现云 ‑边、 边‑边、 以及边 ‑端协同接入认证； 具体如下： 云‑边‑端协同工业设备认证环境包含3个实体： 云认证中心、 边缘节点和工业设备， 其 中云认证中心用于提供设备联网服务， 负责全局策略数据分发、 边缘节点管理、 接收工业设 备上传的数据进行分析处理并为边缘节点提供认证接入服务； 云 ‑边‑端协同工业设备认证 环境是以云端服务器为认证中心， 逐层分散延伸的认证模式， 包括云 ‑边协同、 边 ‑边协同和 边‑端协同认证三部分； 步骤2： 基于切比雪夫多 项式的工业 边缘设备云 ‑边接入认证； (1)边缘节点E将自己的ID与云端服 务器S的ID发送给服 务器S发起连接请求； (2)当云端服务器S收到连接请求后给边缘节点E返回云端服务器S的公钥和由云端服 务器S与第三方密钥分发中心KDC共享的密钥KSK的加密信息； (3)边缘节点E将收到的信息通过 时钟认证发送给可信 任的第三方密钥分发中心KDC来 验证云端服 务器S的身份； (4)第三方密钥分发中心KDC将收到的信息解密返回边 缘节点E； (5)边缘节点E根据收到解密得到 的数值， 基于Chebyshev多项式的半群特性计算出边 缘节点E与云端服 务器S的共享密钥KSE； 加密发送 认证信息 到云端服 务器S； (6)云端服务器S收到加密信息后， 计算共享密钥并核实边缘节点E的身份， 返回认证成 功的信息； (7)边缘节点E收来自云端的认证通过的信息后， 返回接入成功的应答， 边缘节点在云 ‑ 边接入认证阶段完成接入； 步骤3： 基于椭圆曲线的IBC标识密码边 ‑端双向接入认证； 工业设备在边 ‑端接入认证， 基于挑战应答的认证机制， 采取双向接入认证方法， 通过 工业设备和边缘节 点的两次挑战应答来实现通信 双方对彼此身份 真实性的验证； 其中， T 是 认证发起方， 即工业设备； U是认证服 务器， 即边 缘节点； 具体如下： (1)工业设备T选择随机数、 时间戳， 然后将其与 边缘节点U的ID号连接发送给边缘节点 U请求接入； (2)边缘节点U接收到工业设备T 的接入请求后， 计算工业设备T的公钥 并解密密文， 验 证时间戳的有效性核实消息的真实性， 如果不相符则丢弃接入请求； 否则边缘节点U选取随 机数向工业设备T发送身份认证挑战信息； (3)工业设备T收到来自边缘节点U的挑战后， 计算边边缘节点U的公钥并解密得到的信 息， 验证时间戳， 通过椭圆曲线双线性对性质检验边缘节点U是否是安全域内的注册设备， 若验证失败表 示边缘节 点U为非法设备， 认证失败， 否则证明工业设备T对边缘节点U认证成 功； (4)工业设备T生成新的时间戳和随机数， 向边缘节点U返回挑战的应答信息； 边缘节点 U收到工业设备T验证信息后， 验证时间戳有效性， 通过椭圆曲线双线性对性质检验工业设 备T是否是安全域内的注册设备， 若验证失败表明T为非法设备， 边缘节点U对工业设备T认 证失败， 验证成功则表明边缘节点U对工业设备T认证成功； 工业设备和边缘节点双向接入权　利　要　求　书 1/2 页 2 CN 115514474 A 2认证完成； 步骤4： 基于域间节点协同的工业设备边 ‑端跨域接入认证； 利用边缘节点认证服务器将整个工作区域划分为不同接入认证安全域， 通过中心节点 的协同认证来提升跨域认证的效率； 当工业设备进入某一安全域时， 发送接入认证的消息 给边缘节点， 若工业设备在另一安全域已经通过认证， 则该边缘节点通过域间的中心节点 协同认证来核实工业设备身份的真实性， 实现工业设备不受时间和地域限制的接入认证； 具体如下： (1)设M为待接入 的工业设备， A和B分别表示两个边缘节点， P和Q分别表示归属域和漫 游域的中心 节点服务器， 中心 节点服务器属于边 缘节点； (2)M发送一个消息给中心 节点服务器Q表明它想 接入B； (3)中心节点服务器Q通过信息连接到M的归属域的中心节点服务器P， 并请求核实M的 认证信息； (4)P验证通过后回应一个加密消息， 包括M的合法性及Q和M间的会话密钥的封装信息； (5)Q收到信息， 确认M的合法性， 获取会话密钥， 发送一条消息给M； (6)M收到消息， 获取M和Q以及M和B的会话密钥， 核实Q的身份， 发送消息给B； (7)B接收到消息， B首先解密该封装信息并检查时间截和生命周期， 如果封装信息产生 的时间在设定的时间范围内， 就用封装的密钥来解密， 然后用会话密钥kbm加密后返回时间 戳， 以供M确认B的身份； (8)B、 M相互确认身份合法性后， B将会通过M的接入请求， 并将用此会话密钥进行通信。权　利　要　求　书 2/2 页 3 CN 115514474 A 3