面向云辅助工业互联网的群密钥共享无证书签名方案

《Computer Networks》：Certificateless Signature Scheme with Group Secret-Sharing for Cloud-Assisted Industrial Internet of Things

　　

工业物联网（IIoT）已成为近年来的最新趋势；它结合了云计算和物联网技术，允许公司将物联网（IoT）数据存储到云中，从而降低其资源管理成本并提高其移动性和效率。然而，由此带来的竞争优势以增加数据泄露风险为代价。已提出许多轻量级无证书签名方案，用于解决云计算环境中单用户的数据真实性、数据安全和第三方不可信问题。然而，这些方案对恶意攻击并不完全具有鲁棒性。例如，通过替换公钥，可以伪造目标用户的签名，然后将恶意传输发送给合法用户。此外，当使用云计算进行 IIoT 时，许多用户可能希望同时访问和下载相同的数据。因此，用于一对一传输的无证书签名方案已不再足够。因此，本研究提出了一种带有群秘密共享的无证书签名（CLS-GS）方案，其中传输受到密码秘密共享技术的保护。此外，本文中的 CLS-GS 仅需采用融合在 CLS 中的群加密和秘密共享。第 4 节证明该方案对公钥替换攻击和恶意但被动的第三方伪造攻击具有鲁棒性。此外，与 RCLS 和其他现有 CLS 方案相比，它在云辅助 IIoT 环境的安全性和计算成本方面均表现更优。

如今，物联网（IoT）设备和系统无处不在。2020 年，全球物联网设备数量约为 87.4 亿。此外，预计到 2030 年，这一数字将增至近 300 亿，增长至三倍 [1]。工业物联网（IIoT）通过整合传感器、联网机械、工业控制系统、数据分析平台等，在提高业务流程运营效率方面发挥着至关重要的作用。IIoT 与云计算技术的进一步整合为企业提供了更多机遇，包括更低的资源管理成本、更好的洞察、更大的移动性和更好的灾难恢复能力。因此，它具有革新生产、物流、仓储和营销流程的能力 [2]。然而，虽然 IIoT 与云技术的结合有可能产生显著的竞争优势，但也引起了重要的安全问题，如第三方不可信、数据真实性、数据泄露等。对物联网数据的恶意篡改可能会对企业绩效产生严重的负面影响 [3]。因此，在分析或处理 IIoT 数据时，数据必须是真实且正确的。然而，由于 IIoT 系统的规模和动态特性，以及典型物联网设备有限的存储和处理能力，传统的可信第三方认证方案在此范围内已不再足够 [4]。此外，在多个用户经常寻求同时访问相同数据的 IIoT 环境中，无法实现常规一对一云传输中可实现的安全通道。

作为两种常见的密码原语，公钥密码体制（PKC）和基于身份的密码体制（IBC）[5] 似乎是 IIoT 环境中数据认证的有前途的解决方案。然而，各自的缺点不容忽视。在工业物联网（IIoT）背景下，传统公钥密码体制（PKC）为数据传输和存储保护提供了稳健的安全机制。PKC 通过使用一对密钥实现安全通信：公钥可以自由共享并用于加密信息，私钥保密并用于解密信息。该机制确保即使在公共网络上，信息的传输也能保持安全。然而，在 IIoT 环境中，PKC 面临几个挑战。首先，PKC 中的加密和解密过程需要大量的计算能力，这对计算能力有限的 IIoT 设备构成了主要障碍。其次，PKC 系统中的公钥管理也带来了挑战。每个设备都需要一个唯一的公钥和相应的私钥，这些必须安全分发和存储。在大规模 IIoT 系统中，管理这些密钥成为一项艰巨的任务，需要可靠的基础设施来支持密钥生成、分发、更新和撤销。此外，在 PKC 中，公钥认证引入了额外的证书管理负担，例如密钥证书的有效期 [6]，如图 1 所示。

另一方面，基于身份的密码体制（IBC）通过直接将用户身份信息与公钥结合使用，消除了对公钥加密和解密的依赖，显著降低了系统的成本和复杂性。在 IBC 中，只需要认证密钥生成中心（KGC），简化了公钥管理。然而，IBC 的主要问题在于其依赖于密钥托管安排，要求 KGC 知道所有用户的私钥，这引入了信任问题。这在需要高安全和隐私保护水平的 IIoT 应用中尤为令人担忧 [5,7]。

Al-Riyami 和 Paterson [8] 提出了一种名为无证书公钥密码体制（CL-PKC）的新密码系统，旨在通过基于 KGC 的部分贡献和用户选择的秘密值生成用户私钥来解决密钥托管问题。值得注意的是，CL-PKC 提供的针对密钥替换攻击的保护不需要使用凭证来保证公钥的真实性。此外，CL-PKC 中采用的组合方案保证了即使恶意用户成功替换了受害者的公钥，也无法伪造有效的签名。一般来说，如 CL-PKC 这样的无证书签名（CLS）方案似乎为传统 PKC 和 IBC 方法提供了一条有前途的替代途径，以确保 IIoT 系统中数据的真实性。然而，大多数现有 CLS 方案基于映射到点（MTP）哈希函数和随机预言模型（ROM）[7]，这使它们的实施变得复杂并限制了其实用性。为了解决这个问题，Karati 等人 [7] 提出了一种新的轻量级 CLS 方案，无需 MTP 或 ROM，以便以更轻量的方式实现 IIoT 云系统中的数据认证。他们的方案特别值得注意，因为它消除了对映射到点哈希函数和随机预言模型的依赖，而这两者在先前的 CLS 构造中是熟悉但有问题的假设。通过在 EBSDH 和 BSDH 问题难度下于标准模型中证明安全性，同时保持轻量级的计算成本，这项工作确立了在 IIoT 设置中平衡可证明安全性和实际效率的基准。

如图 2 所示，假设 IIoT 云数据系统包括四个实体：可信第三方、IIoT 数据所有者（DO）、IIoT 数据消费者（DC）和云服务提供商（CSP）。细节将在相关工作部分介绍。一般来说，如果第三方成功成为恶意 KGC [7,9]，它可以帮助欺诈性 DO 和 DC 加入系统。然后 DO 可以将各种工业设备的 IIoT 数据发送给 CSP，CSP 存储 DO 和数据用户（DU）之间共享的数据，允许 DU 提取有价值的信息。然而，Karati 等人提出的方案仍然是评估安全性严谨性与计算可行性之间权衡的公认基准。后续研究揭示，Karati 等人 [7] 提出的轻量级 CLS 方案仍然存在潜在弱点。特别是，Zhang 等人 [10] 的工作通过提出多种攻击方法为该领域做出了另一项关键贡献。Zhang 等人 [10] 发现 [7] 中的 CLS 方案易受四种签名伪造攻击。此外，Karati 等人 [7] 假设云服务器和 DC 之间的通道是安全的，因此数据可以明文传输。然而，许多研究表明，这一假设给系统引入了重大漏洞。Zhang 等人 [10] 提出了一种新的健壮无证书签名（RCLS）方案，以解决 CLS [7] 的局限性。 however，RCLS 未能解决身份盗窃问题，且许多研究表明两位学者的框架仍存在信息安全风险 [11,12]。因此，本研究提出了一种新的带有群秘密共享的无证书签名（CLS-GS）方案，通过使用群加密将传输过程中的明文转换为密文。理论和实验都表明，该方案解决了 Zhang 等人 [10] 在 Karati 等人 [7] 的轻量级 CLS 方案中确定的漏洞。此外，在性能和计算成本方面，我们的方案优于现有研究中提出的方案。

数据众包感知在各种行业的数字化转型中发挥着重要作用 [12,13]，这使得人们意识到数据在云计算等技术中的重要性，并有助于实现物联网和 IIoT [14]。然而，在这样的计算范式中，许多用户在组内相互连接，因此系统安全成为主要担忧，存在数据盗窃、匿名修改、系统操纵等显著风险。为了减轻这些担忧，Shu 等人 [15] 提出了一种面向云计算环境的隐私保护任务推荐方案。此外，Zhang 等人 [16] 提出了一种在云计算传输中实现属性隐私保护和快速解密的技术。

CLS 方案的安全性已在两种不同的证明范式下得到广泛研究：随机预言模型（ROM）和标准模型。Huang 等人 [17] 表明，Al-Riyami 和 Paterson [8] 提出的 CL-PKC 方案易受 I 型对手发动的密钥替换攻击。Zhang 等人 [18] 提出了一种基于双线性配对的 CLS 方案，以在减少 ROM 的情况下实现严格安全性。Yeh 等人 [19] 为物联网环境中的智能对象提出了一种 CLS 方案，并声称该方案在 ROM 中对 I 型和 II 型对手均具有鲁棒性。然而，Jia 等人 [20] 表明，I 型攻击者仍然可以通过发动公钥替换攻击来冒充 KGC。文献中还有其他几种声称在 ROM 中安全的 CLS 方案 [21,22]。然而，一旦应用了哈希函数，随机预言方案可能会变得不安全 [7]。

为了克服基于 ROM 的证明的局限性，随后在标准模型下提出了几种 CLS 方案。然而，其中许多方案仍然易受主动对抗攻击或缺乏完整的安全证明。Liu 等人 [23] 提出了一种特定的标准 CLS 方案模型。然而，未考虑 II 型对手发动的恶意攻击。随后提出了许多其他标准模型下的方案 [[24], [25], [26]]。然而，[27,28] 中的方案易受 I 型对手攻击 [29]，而 [29] 中的方案本身易受 I 型和 II 型对手攻击 [31]。此外，在 [24,25] 和 [31] 中，作者未提供针对标准模型下 II 型对手的形式化安全证明。Yang 等人 [26] 和 Shim [32] 提出了 CLS 方案，但计算成本高。Karati 等人 [7] 试图通过消除对 MTP 和 ROM 的需求来减少 CLS 过程计算负担。然而，Zhang 等人 [10] 表明提出的方案易受四种签名伪造攻击。因此，他们提出了一种新方案，称为健壮无证书签名（RCLS），通过使用椭圆曲线密码技术来提高系统的安全性。然而，正如我们在 2.2.2 节中所展示，RCLS 仍存在关键漏洞，包括在公共通道上暴露部分私钥以及身份认证过程中的明文泄露。

上述所有 CLS 方案共有的一项根本局限性是它们严格依赖点对点单播传输。然而，在实际的云辅助 IIoT 部署中，对安全的一对多数据分发和群共享的需求已在近期文献中得到广泛认可。Ming 等人 [33] 明确指出，绝大多数现有安全协议仅实现单个用户与单个智能设备之间的认证。当用户或控制中心需要同时与多个 IIoT 设备交互时，发起多个独立的一对一握手会产生高昂的计算和通信开销。

为了解决这一可扩展性问题，他们提出了一种专为工业物联网环境设计的安全一对多认证方案。此外，Li 等人 [34] 强调，在工业云应用中，数据共享通常涉及层级和多重结构，其中安全、真实和面向组的数据分发至关重要。最近，Tseng 等人 [35] 表明，轻量级多接收者签名加密仍然是资源受限物联网设备高度活跃且必不可少的研究方向。为了评估所提出的 CLS-GS 方案与技术相似范式的对比，我们还回顾了依赖密码学秘密共享或多接收者构建的最新安全方案。群秘密共享（GSS）和多接收者密码学已被广泛用于实现云辅助环境中的高效群密钥分发和安全多播。例如，Peng 等人 [36] 设计了一种基于椭圆曲线密码学的有效无证书多消息和多接收者签名加密（CLMMSC）方案，用于边缘计算中的多播通信。尽管该方案实现了接收者匿名性和保密性，但边缘客户端处的多项式构造和重建开销随授权接收者数量线性增长，使其不太适合能量受限的 IIoT 设备。Shen 等人 [37] 提出了一种轻量级无证书多接收者安全数据传输协议，该协议将无证书公钥密码学与门限秘密共享相结合。然而，Dong 和 Zhang [38] 最近的一次密码分析表明，Shen 等人的协议易受 I 型攻击者攻击，且无法保证密文不可链接性。

上述分析揭示，现有方案无法同时实现强健的无证书源认证和具有常数客户端复杂度的高效群数据共享。这一关键差距激励了本研究提出一种新方案，称为无证书签名与群共享，该方案独特地旨在实现云辅助 IIoT 环境中的安全、高效和强健的一对多数据分发。为了提供现有方案及其局限性的清晰且系统概述，表 1 总结了最新 CLS 方案与所提出 CLS-GS 方案之间的比较。

本研究对云辅助 IIoT 文献做出了两项贡献。首先，Zhang 等人 [10] 表明，Karati 等人 [7] 提出的轻量级 CLS 方案易受四种类型的签名伪造攻击，即（1）基于公钥替换的 I 型攻击者攻击；（2）使用恶意但被动 KGC 的 II 型攻击者攻击；（3）无需替换公钥的任何攻击者攻击；以及（4）无需访问主密钥的任何攻击者攻击。本研究不仅指出了 CLS 方案 [7] 的进一步缺点，还指出了 RCLS 方案 [10] 的漏洞。然而，RCLS 未能解决身份盗窃问题，且许多研究表明两位学者的框架仍存在信息安全风险 [11,12]。

此外，本研究提出了一种新的 CLS 方案，称为无证书签名与群秘密共享（CLS-GS），以解决云辅助 IIoT 的各种缺陷，即 IIoT 数据的真实性、第三方的不可靠性以及系统的稳定性和效率。值得注意的是，所提出的 CLS-GS 方案对 Zhang 等人 [10] 识别出的所有四种篡改攻击都具备强健性。此外，CLS-GS 非常强大，因为它具有群组型组织结构，因此在加密和解密过程中不需要安全信道。另外，由于 CLS-GS 是专门为团队成员间共享信息而设计的，因此只需下载一次，从而节省了带宽。性能评估表明，CLS-GS 优于现有的 CLS 方案，如轻量级 CLS 方案 [7] 和 RCLS [10]。此外，在性能和计算成本方面，我们的方案优于现有研究中提出的方案。

本文其余部分组织如下。第 2 节回顾了 Karati 等人 [7] 提出的 CLS 方案，并讨论了 Zhang 等人 [10] 识别出的 CLS 漏洞。参考 Deng [40] 提出的秘密共享方法。第 3 节介绍了本研究提出的 CLS-GS 方案的架构和操作。第 4 节分析了所提出的 CLS-GS 方案的安全性。第 5 节评估了其性能。最后，第 6 节给出了简要的结论性评论。

章节片段
预备知识
本节提供了必要的密码学预备知识，并确立了所提出 CLS-GS 方案的安全动机。第 2.1 节回顾了 Karati 等人 [7] 提出的代表性轻量级 CLS 方案。第 2.2 节系统分析了原始 CLS 方案 [7] 和后续 RCLS 方案 [10] 中识别出的安全漏洞，证明现有方法仍存在根本缺陷。第 2.3 节介绍了基于拉格朗日多项式的
提出的无证书签名与群共享方案架构
如上所述，Karati 等人 [7] 提出的 CLS 方法在部署于云辅助 IIoT 系统中时易受四种伪造攻击，在这些系统中，多个用户经常希望同时访问相同的数据。此外，由于 [7] 中的传输是一对一传输，当多个用户同时需要数据时，会发生严重的带宽浪费。因此，本研究提出了一种基于群秘密共享的新 CLS 方案

安全分析
如上所述，Karati 等人 [7] 提出的 CLS 方法在部署于云辅助 IIoT 系统中时易受四种伪造攻击，在这些系统中，多个用户经常希望同时访问相同的数据。此外，由于 [7] 中的传输是一对一传输，当多个用户同时需要数据时，会发生严重的带宽浪费。因此，本研究提出了一种基于群秘密共享的新 CLS 方案

性能评估
为了确保公平且可复现的性能比较，我们在统一平台上测量了核心密码学操作的执行时间，该平台配备第 11 代 Intel Core i7-11800H 处理器和 32 GB 内存，运行 Ubuntu 26.04 LTS 操作系统，使用 PBC 库版本 0.5.14 [42]。配对操作实例化为超奇异曲线 ??2=??3+???????????? 上 ???? 的 A1 型配对，字段位数为 1024 位，这对应于 80 位安全级别在

结论
云辅助 IIoT 有潜力为公司提供显著的竞争优势。然而，确保 IIoT 数据的真实性是一个关键关切。因此，本研究提出了一种新的无证书签名与群秘密共享（CLS-GS）方案，该方案基于椭圆曲线群上的双线性配对，旨在增强云辅助 IIoT 系统的强健性，在这些系统中，多个用户可能希望同时访问相同的 IIoT 数据。这

未引用参考文献

CRediT 作者贡献声明
Kuan-Chu Lu：写作 – 原稿撰写，数据整理，概念构思。Chang-De Lin：写作 – 审阅与编辑，可视化，方法论，正式分析。Jung-Shian Li：写作 – 审阅与编辑，监督，项目管理，概念构思。
Kuan-Chu Lu|Chang-De Lin|Jung-Shian Li