【技术实现步骤摘要】
本专利技术是一种基于区块链的分布式可信网络接入方法，属于网络安全。
技术介绍
1、身份认证大致分为两类：一类基于生物特征的认证，另一类基于密码学算法的认证。
2、前者利用用户的指纹、虹膜和声音等生物特征，以及行走姿势、步态等行为特征作为标识进行身份认证。这些标识不易丢失且难以复制，使认证系统克服了密钥管理的难度，但需要提前采集生物特征信息并且需要用户实时参与。此外，这种认证方式无法适用于传感器等硬件设备的认证。
3、后者使用基于密码学的数学方法设计认证协议，通过密码学算法验证用户身份的合法性。常见的密码学技术包括基于对称加密算法的消息认证码(messageauthentication code,mac)、基于非对称加密算法的数字签名和群签名、环签名等技术。
4、tnc(trusted network connect，可信网络连接)是对可信平台应用的扩展，也是可信计算机制与网络接入控制机制的结合。它指在终端接入网络之前对用户的身份进行认证；一旦用户身份认证通过，对终端平台的身份进行认证；如果认证也通过，就对终端平台的可信状态进行度量。如果度量结果满足网络接入的安全策略，则允许终端接入网络；否则，将终端连接到指定的隔离区域，并对其进行安全性修补和升级。tnc的目标是将终端的可信状态延续到网络中，实现信任链从终端扩展到网络。
5、tnc是网络接入控制的一种实现方式，是一种主动性的防御方法，能够在大部分潜在攻击发生之前进行抑制。通过tnc，网络可以更好地管理和控制终端设备的接入，从而提高整
6、虽然上述的认证和证明方案，在设备接入时一定程度上保护网络不被恶意的节点破坏。
7、但总的来看，这些方案在安全性和可信性上还存在较大的局限：
8、(a)集中式的认证方式存在缺陷。集中式的认证方式是指所有用户的身份认证信息和凭证都集中存储在一个中心服务器或认证服务器上。当用户尝试访问资源或系统时，必须向该中心服务器提交认证请求，中心服务器验证用户的身份，并根据验证结果授予或拒绝访问权限。虽然集中式认证方式在一些情况下是有效的，但也存在一些缺陷和潜在风险：(1)单点故障：整个系统的安全性依赖于中心认证服务器的可用性。如果该服务器出现故障或遭受攻击，所有用户将无法访问资源，导致业务中断。(2)安全性风险：由于所有用户的认证信息都存储在同一个地方，一旦攻破中心服务器，攻击者可以获取所有用户的凭证信息，造成严重的安全漏洞。(3)扩展性问题：集中式认证服务器需要处理大量的认证请求，当用户数量增加时，服务器的负载将增大，可能导致性能下降。
9、(b)物联网场景下的可信度量存在难度。可信计算组(tcg)提出的tnc架构在完整性度量和远程证明方面主要依赖于tpm安全芯片来保证度量数据的真实性。然而，物联网设备由于考虑到成本、算力和体积等问题，通常不会搭载tpm安全芯片。因此，对于物联网设备的完整性度量就存在较大的难度。在物联网设备中，因为缺乏tpm安全芯片的支持，确保数据的完整性和真实性变得复杂。传统的安全解决方案难以直接适用于这些资源受限的设备。为了解决这个问题，需要采用其他创新性的方法来进行完整性度量和远程证明。
10、(c)存在一次性认证问题及静态信任级别问题。一次性认证是指用户每次接入网络时，只需要进行一次认证，而不会再关心接入网络之后设备的状态是否发生变化。这意味着一旦用户通过了初始认证，网络在其接入期间将不再对其进行进一步的身份验证。然而，这种方法可能导致安全性问题，因为一旦设备在接入后遭受入侵或恶意设备加入网络，网络将无法感知或阻止这些变化，从而使网络容易受到威胁。静态信任级别是指对于系统中的实体，如用户、设备等，在认证和授权方面赋予的固定级别。通常情况下，每个实体被分配一个预定义的信任级别，该级别用于决定其可访问的资源和权限。然而，这种静态信任级别可能会带来安全问题。例如，如果某个实体被授予过高的信任级别，即使其实际需要的权限较少，它仍可以访问更多的敏感资源，增加了遭受攻击的风险。
11、由此可见，现有的设备互信认证方式，在无人机集群自组网，智能车联网等有即兴组网、高动态特点的分布式动态场景下，存在着很大局限性和安全问题。
技术实现思路
1、在面对集中式认证方式存在的缺陷、物联网领域可信度量的难度、一次性认证问题及静态信任级别问题等多重挑战时，本专利技术设计了一种基于区块链的分布式可信网络接入方法，用于设备接入可信网络时及接入之后检测设备可信性，旨在应对这些问题与挑战，以提升网络的安全性和灵活性。
2、本专利技术提供的一种基于区块链的分布式可信网络接入方法，包括如下步骤：
3、步骤一、搭建基于区块链的分布式可信通信场景，通信场景中包括：arq，arc，b-naa，b-ttp，did区块链以及普通节点；其中：
4、arq为网络访问请求者：请求接入可信网络的节点；
5、arc为网络访问接收者：可信网络中接收arq接入请求消息的节点；
6、b-naa为基于区块链的网络访问授权者：由可信网络多个节点组成的基于区块链的访问控制系统，这些节点由共识机制选出，链上存储访问控制策略和访问控制日志；
7、b-ttp为基于区块链的可信第三方：扮演分布式ca和分布式可信验证者的角色，由几个终端组成的私有链；b-ttp是由终端组成的私有链，链上存储着能证明设备平台身份和完整性的信息；
8、did(去中心化身份)区块链：为设备提供身份认证的服务。
9、步骤二、针对待接入的网络访问请求者arq，arq在接入网络前，先将自己的身份信息绑定到did区块链上；并且向指定的发证方提交可验证声明申请，获得自己的did身份。
10、步骤三、arq发送did身份验证请求给arc，arc查询did区块链，验证arq的身份是否真实，如果是，进入步骤四，否则arc将直接拒绝arq的接入申请，arc将认证结果记录在日志中后结束接入。
11、步骤四、arc查询访问b-naa，b-naa通过查询访问控制日志判断是否有arq的身份信息与可信网络通信的记录，如果有，则arc按照查询到的身份信息和相关策略执行访问控制操作，允许arq与可信网络建立通信连接，进入步骤十一；否则，启动可信网络连接的身份验证和完整性状态验证，进入步骤五。
12、步骤五、采用dice方案对arq进行可信度量，得到arq的平台身份证据集合和完整性证据集合，arq发送终端平台的身份证据集合给arc。
13、步骤六、arc根据arq的平台身份证据集合，使用b-ttp的证书服务，验证arq的平台身份是否可信，如果可信，进入步骤七，否则arc认为arq的平台被篡改，arc拒绝arq加入可信网络，arc将认证结果记录在日志中后结束接入。
14、使用b-ttp的证书服务验证是指：每个dice内置设备均存储一个uds(唯一设备秘密)、一个单调增加的计数器c本文档来自技高网...
【技术保护点】
1.一种基于区块链的分布式可信网络接入方法，其特征在于，包括如下步骤：
2.根据权利要求1所述的方法，其特征在于，所述的步骤六中，使用B-TTP的证书服务是指：每个DICE内置设备存储一个唯一设备秘密UDS、一个单调增加的计数器CNT和一个固件版本Ver，将UDS、CNT和Ver与平台的唯一设备ID绑定，并与B-TTP共享作为背书；ARC将ARQ的平台身份证据集合中数据与背书做比对，如果匹配则说明ARQ的平台身份可信，否则认为ARQ的平台身份被篡改。
3.根据权利要求1所述的方法，其特征在于，所述的步骤八中，调用B-TTP的可信验证服务对完整性证据进行验证，包括如下步骤：
4.根据权利要求1所述的方法，其特征在于，所述的步骤十中，在B-NAA输出最终决策结果后，将产生相应的访问控制日志，B-NAA将最终决策结果和访问控制日志作为一条交易放入新区块中，将新区块广播到可信网络的所有节点。
5.根据权利要求1所述的方法，其特征在于，所述的步骤十二中，对接入可信网络的ARQ进行行为度量，包括：
【技术特征摘要】
1.一种基于区块链的分布式可信网络接入方法，其特征在于，包括如下步骤：
2.根据权利要求1所述的方法，其特征在于，所述的步骤六中，使用b-ttp的证书服务是指：每个dice内置设备存储一个唯一设备秘密uds、一个单调增加的计数器cnt和一个固件版本ver，将uds、cnt和ver与平台的唯一设备id绑定，并与b-ttp共享作为背书；arc将arq的平台身份证据集合中数据与背书做比对，如果匹配则说明arq的平台身份可信，否则认为arq的平台身份被篡改。
...【专利技术属性】
技术研发人员：邹仕洪，王宇琛，朱晓瑛，陆月明，
申请(专利权)人：北京邮电大学，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。