CN119402205A 一种基于puf实现的轻量级动态安全认证方法及系统 （中国人民解放军国防科技大学）

一种基于PUF实现的轻量级动态安全认证方本发明公开一种基于PUF实现的轻量级动态服务器端收集待注册信息并生成随机挑战以及辅助信息，接收到物联网设备端利用PUF结构产化过程中利用当前认证的挑战生成下一轮认证物联网设备端发送的数据包后对设备身份进行服务端产生下一轮的挑战与CRP对，发送给物联2步骤S2、身份认证及密钥协商阶段：服务器端接收到战Ci生成下一轮认证的挑战Ci+1，并将CRP对及下一轮的挑战Ci+1进行隐藏后发送给物联网步骤S3、动态认证凭证更新阶段：在服务器端按照与物2.根据权利要求1所述的基于PUF实现的轻量级S1中，服务器端收集的待注册信息包括物联网设备的设备身份标识信息IDe以及对应的用服务器针对待注册的物联网设备产生SM2的私钥，并将相应的公钥发送给物联网设备服务器为该待注册的物联网设备产生一个随机挑战Ci以作为后续认证的凭3.根据权利要求1所述的基于PUF实现的轻量先利用自身的PUF结构获取服务器指定挑战C物联网设备端将指定挑战Ci的响应Ri发送给服务器，并在本地存储单元上存储用户校4.根据权利要求1所述的基于PUF实现的轻量级动态安全认服务器端接收到物联网设备发送的认证请求后，首先产生时间戳TS2以校验时间戳TS1的登录操作并校验用户合法性后由物联网设备3服务器将利用本轮认证的挑战Ci作为真随机数发生器的种子产生下一轮认证所用的挑5.根据权利要求4所述的基于PUF实现的轻量务器端按照下式产生下一轮认证挑战Ci+1以及对CRDci=R1田ci6.根据权利要求4所述的基于PUF实现的轻量级动态利用本地产生的随机数R1获取挑战Ci以及下一轮的挑战Ci+1，并通过自身PUF结构产生物联网设备恢复出服务器产生的随机数R2，并基于本地产生的随机数R1以及响应Ri计物联网设备利用恢复出的服务器产生的随机数R2和响应Ri产7.根据权利要求1～6中任意一项所述的基于PUF实现的轻量级动态安全认证方法，其利用安全数据库中存储的响应Ri及服务器8.根据权利要求1～6中任意一项所述的基于PUF实现的轻量级动态安全认证方法，其其中，FIDi+1为物联网设备端下一轮认证假名，FIDi为4理器执行时实现如权利要求1～8中任意一项所5[0001]本发明涉及物联网安全认证技术领域，尤其涉及一种基于PUF(物理不可克隆函联网中的安全问题也更加复杂。物联网网络通信不仅面临着传统互联网网络的安全问题，[0003]现有技术中物联网的安全认证通常是采用基于非对称加6的挑战Ci生成下一轮认证的挑战Ci+1，并将CRP对及下一轮的挑战Ci+1进行隐藏后发送给物联网设备端；服务器端接收到物联网设备端发送的数据包后对物联网设备身份进行验证，其中利用安全数据库中存储的响应Ri校验物联网设备产生的验证信息V2，采用与物联网设识信息IDe以及对应的用户口令PWe，所述服务器端收集待注册信息并生成随机挑战Ci的步[0015]服务器查询注册表中是否存在当前待注册的设备身份标识信息IDe，并为待注册[0016]服务器针对待注册的物联网设备产生SM2的私钥，并将相应的公钥发送给物联网[0017]服务器为该待注册的物联网设备产生一个随机挑战Ci以作为后续认证的凭证之[0019]物联网设备端接收到服务器端分发的用户假名FIDi、随机挑战Ci和[0020]物联网设备端将指定挑战Ci的响应Ri发送给服务器，并在本地存储[0025]服务器端接收到物联网设备发送的认证请求后，首先产生时间戳TS2以校验时间用户的登录操作并校验用户合法性后由物联网设备生成得7[0028]服务器将利用本轮认证的挑战Ci作为真随机数发生器的种子产生下一轮认证所[0029]进一步地，在服务器端按照下式产生下一轮认证挑战Ci+1以及对CRP对和Ci+1的隐[0036]在物联网设备端接收到服务器端发来的数据包后，首先产生时间戳TS3校验时间[0037]利用本地产生的随机数R1获取挑战Ci以及下一轮的挑战Ci+1，并通过自[0039]物联网设备恢复出服务器产生的随机数R2，并基于本地产生的[0047]cix1=RisDcix18[0053]与现有技术相比，本发明的优点在于：本发明通过在协议中引入硬件安全原语[0054]图1是本实施例基于PUF实现的轻量级动态安全认证方法中服务器端的实现流程是当前基于PUF实现的协议方法中均是默认有一个理想化PUF硬件，但实际上并没有相关于PUF的轻量级动态身份认证协议设计形成高效的安全机制，可以解决目前协议资源开销9认证的目的是完成对通信双方的合法身份的识别并协商出该次会话密钥。[0064]协议中非对称加密体系与对称加密体制具体分别为SM2密码体制与AES－256密码[0076]本实施例中，服务器端收集的待注册信息包括物联网设备的设备身份标识信息[0081]物联网设备端接收到服务器端分发的用户假名FIDi、随机挑战Ci和[0082]物联网设备端将指定挑战Ci的响应Ri发送给服务器，并在本地存储的挑战Ci生成下一轮认证的挑战Ci+1，并将CRP对及下一轮的挑战Ci+1进行隐藏后发送给物联网设备端；服务器端接收到物联网设备端发送的数据包后对物联网设备身份进行验证，其中利用安全数据库中存储的响应Ri校验物联网设备产生的验证信息V2，采用与物联网设完成用户的登录操作并校验用户合法性后由物联网设备生成一轮的挑战Ci+1进行隐藏后发送给物联网[0093]在物联网设备端接收到服务器端发来的数据包后，首先产生时间戳TS3校验时间[0094]利用本地产生的随机数R1获取挑战Ci以及下一轮的挑战Ci+1，并通过自[0096]物联网设备恢复出服务器产生的随机数R2，并基于本地产生的[0100]步骤S212、利用安全数据库中存储的响应Ri及服务器产生的则更新，而下一轮的挑战Cii1是由服务端独立产生并在隐藏后发送给设备端，新一轮挑战经在设备验证服务器身份的阶段就已经被设备[0106]本实施例能够充分利用PUF的安全特性及物理特性，认证过程以及随后的通信过[0108]以下以采用本发明上述方法在服务器端与设备端实现安全认证的完整流程为例[0111]服务器需要收集待注册的信息，包括设备的设备身份标识信息IDe以及对应的用2战Ci作为真随机数发生器的种子来产生下一轮认证所用的挑战Ci+1，并利用解密出的设备[0116]在服务器端具体按照下式产生下一轮认证挑战Ci+1以及对CRP对和Ci+1的隐藏操V2[0134]针对物联网安全认证的需求，本发明通过在身份认证协议中引入PUF这一物理结得可以充分利用PUF本身的安全特性显著降低协议的时间、计算与资源存储开销，且利用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的