AUAKE-SG：面向智能电网SM–NAN通信的基于ASCON的超轻量级认证密钥交换方案

《Journal of King Saud University Computer and Information Sciences》：AUAKE-SG: An ASCON-based ultra-lightweight authenticated key exchange scheme for smart grids

　　

智能电网中智能电表（SMs）与邻域网络（NAN）网关之间的通信通常发生在公共信道上，使这些链路暴露于冒充、可追踪、重放以及物理捕获辅助攻击。面向该场景的认证协议必须在智能电表有限计算资源内提供明确定义的安全保证。研究人员提出AUAKE-SG，一种基于认证海绵结构（ASCON）的超轻量级认证密钥交换方案，支持低开销的相互认证、会话密钥建立和隐私保护。其安全性通过非正式攻击分析、自动化ProVerif验证以及随机预言机模型（ROM）中的证明进行评估。崩溃一致性的每电表加密计数器在受保护状态假设下防止在长期密钥下对请求随机数输入的操作性重用，并消除电表运行时随机数生成需求。AUAKE-SG以两条消息完成认证，通信成本为1408 bits（176 bytes）。在所采用的Raspberry Pi 4/桌面配置下，估计密码处理成本为0.050389 ms，其中SM处为0.032089 ms，NAN处为0.018300 ms。这些结果表明，在所评估的SM–NAN场景中具有平衡的安全–效率特性。

研究背景与问题。智能电网基础设施（SGI）将传统电力网络与信息通信技术结合，支持发电单元、控制中心、网关和用户侧设备间双向信息物理交互。智能电表（SM）采集消费与运行数据，邻域网络（NAN）网关聚合数据以供上游服务。SM–NAN网关通信常依赖无线或共享链路，可能遭窃听和主动干扰；SM又常部署于可物理接触位置，增加篡改、侧信道探测和直接设备妥协风险。敌手可能冒充电表或网关、重放或修改消息、链接会话推断用户行为、注入虚假计量数据。2009年波多黎各某电力公司请求FBI调查与智能电表部署相关的广泛窃电，调查称电表通过光学维护端口被重新编程以少报用电量；该事件涉及未授权本地访问而非电表–网关协议妥协，但说明保护不足的仪表接口和状态修改会破坏计费完整性。已有智能电网认证协议存在安全–效率差距：功能更广的方案计算更大、消息更长或轮次更多；高度轻量方案可能缺少相互认证、会话不可链接性或主动攻击韧性。因此需要在实际资源约束下兼顾安全属性与可部署性的SM–NAN认证密钥交换方案。

研究开展与结论意义。研究人员提出AUAKE-SG，一种两消息、基于ASCON的超轻量级认证密钥交换方案，支持相互认证、会话密钥建立和隐私保护。方案将ASCON-AEAD和ASCON-Hash256与物理不可克隆函数（PUF）派生设备秘密结合，该秘密经BCH[255,131,37]模糊提取器（FE）重建，使SM非易失内存不存储长期秘密K_j；崩溃一致性加密计数器防止长期密钥下请求随机数输入重用；域分离将会话密钥与握手消息保护密钥隔离。安全性通过非正式攻击分析、ProVerif自动验证和ROM证明评估，并明确新鲜性、妥协、随机数状态和PUF假设。性能评估将通信与计算分开，在两平台使用一致C实现。结论称AUAKE-SG以两条消息、1408 bits（176 bytes）完成认证，估计密码处理成本0.050389 ms（SM 0.032089 ms，NAN 0.018300 ms），在所评估SM–NAN场景中呈平衡安全–效率特性。意义在于为受限AMI部署提供兼顾相互认证、隐私与低开销的候选方案，并明确安全边界。

关键技术方法（≤250字）。该研究设计两消息SM–NAN认证密钥交换协议，采用ASCON-AEAD与ASCON-Hash256，将PUF响应经BCH[255,131,37]模糊提取器生成K_j，并用崩溃一致性加密计数器管理请求nonce；安全性采用非正式攻击分析、ProVerif符号验证和ROM证明；性能在Raspberry Pi 4（SM）与Intel i5-7500桌面（NAN）上以共同C基准测试原语，每项1000次计时、100次预热，PUF以255位响应和独立误码率p=0.02模拟；无样本队列来源。

研究结果。5.1非正式安全分析：通过逐类攻击分析，得出所述假设下的安全结论。5.1.1 SM冒充攻击：无目标PUF响应不能重建K_j，伪造M1难成。5.1.2 NAN冒充攻击：无K_j不能计算K_e，伪造M2失败。5.1.3匿名与不可追踪：动态伪名PID_j每会话更新，外部窃听者难以链接。5.1.4密钥妥协冒充（KCI）攻击：K_j暴露后不提供该电表KCI安全。5.1.5中间人（MitM）攻击：M1/M2认证使修改被检测。5.1.6 SM只读内存捕获/泄漏：在PUF接口受控且易失K_j清零假设下，仅泄露非易失值，不能恢复K_j；不覆盖一般物理捕获。5.1.7重放：时间戳、r_s缓存、伪名/计数器状态和ASCON验证联合拒绝。5.1.8 nonce状态失败限制：计数器状态丢失/回滚须停止认证并重注册替换K_j。5.1.9 NAN安全区妥协限制：s_i暴露可恢复该网关注册电表秘密和记录会话密钥，不声称该域安全。5.1.10前向保密限制：K_j后期暴露可结合公开转录重算旧会话密钥，不提供完美前向保密。5.1.11已知会话密钥攻击：每会话新鲜nonce，单个SK泄露不推出其他SK或K_j。5.1.12去同步攻击：丢失M2后恢复模式使双方最多差一步，有效恢复响应可恢复同步。5.2 ProVerif自动分析：通过符号模型验证，得到SM与NAN注入式认证对应为真、SK保密为真。5.3.2可证明安全：在ROM中通过游戏序列证明定理1相互认证优势界、定理2 AKE优势界、定理3已知会话密钥安全与重放抵抗界。5.3.3额外安全属性：命题4给出动态伪名不可链接性界；命题5给出只读内存SM妥协下K_j恢复和伪造M1概率界。6.1安全与功能特性：通过与Badshah等、Chaudhry等、Bera等、Garg等和Alrashdi等方案比较，AUAKE-SG支持正确性、相互认证、会话密钥不可区分、冒充/MitM/重放抵抗、所述SM内存只读妥协、匿名、不可链接、已知会话密钥隔离和去同步恢复，但不支持完美前向保密。6.2通信开销比较：通过位长计算得M1为832 bits、M2为576 bits，总1408 bits（176 bytes），低于Badshah等、Chaudhry等、Bera等和Alrashdi等，但高于Garg等，并与比较方案同处两消息最小交换长度。6.3计算开销比较：通过共同C基准和操作计数估算，SM成本T_SM=3T_H+2T_a+T_p+T_f=0.032089 ms，NAN成本T_NAN=5T_H+2T_a+T_f=0.018300 ms，总0.050389 ms，在比较方案中估计总成本最低；该估计不含持久nonce计数器提交/预留的平台相关延迟与磨损成本。

讨论与结论。讨论部分明确了方案安全范围：不声称K_j暴露后的KCI抵抗和完美前向保密；NAN安全区妥协影响该网关及其注册电表；只读内存捕获结论依赖PUF接口禁用/访问控制与易失K_j清零，不覆盖原始设备继续运行、PUF建模、侧信道或易失状态提取；持久加密计数器状态丢失、回滚或耗尽须重注册并替换K_j。未来工作包括物理PUF硬件和更广AMI部署评估、在代表性非易失存储上测量持久nonce状态管理、轻量后量子扩展。结论段翻译如下：研究人员提出AUAKE-SG，一种用于智能电表与NAN网关之间通信的基于ASCON的认证密钥交换协议。它结合ASCON-AEAD、ASCON-Hash256、PUF派生秘密和基于BCH的模糊提取，以在所声明敌手模型下支持相互认证、会话密钥建立和隐私保护。崩溃一致性加密计数器在长期密钥保持活动期间防止请求随机数输入的操作性重用，残余哈希输出碰撞概率被纳入安全界。域分离的握手密钥和会话密钥将应用密钥材料与协议消息保护隔离。安全评估结合非正式分析、ProVerif验证和基于ROM的论证，并给出明确的新鲜性和妥协条件。该协议以两条消息完成认证，总计1408 bits（176 bytes）。将测得原语计时应用于协议操作计数，得到SM处估计成本0.032089 ms、NAN处0.018300 ms，总计0.050389 ms。这些结果表明，AUAKE-SG在所评估SM–NAN场景中提供了有竞争力的安全–功能–效率平衡。未来工作将用物理PUF硬件和更广泛AMI部署评估协议，在代表性非易失存储上测量持久随机数状态管理，并研究轻量后量子扩展。