文獻標識碼： A
DOI：10.16157/j.issn.0258-7998.190791
中文引用格式： 陳孝蓮，虎嘯，沈超，等. 基于區塊鏈的電力物聯網接入認證技術研究[J].電子技術應用，2019，45(11)：77-81.
英文引用格式： Chen Xiaolian，Hu Xiao，Shen Chao，et al. Research on access authentication technology of power IoT based on Blockchain[J]. Application of Electronic Technique，2019，45(11)：77-81.
0 引言
隨著信息通信技術的發展，電網智能化業務以及能源互聯網泛在業務接入需求的不斷增加，對信息通信技術支撐電網業務的能力提出了更高的要求，電力通信網支撐業務安全、可信、靈活接入的需求非常迫切[1-3]。
當前電力通信網是典型的匯聚型網絡，終端與終端之間幾乎沒有數據交互。隨著能源互聯網的建設，大量終端之間直接通信的需求日益凸顯，傳統中心化匯聚型網絡在認證性能和效率上難以滿足泛在業務需求[4]。
電力物聯網的廣泛應用也帶來了愈加嚴峻的安全挑戰。一方面，電力物聯網終端節點數量多部署范圍廣，節點物理環境不可控，容易受到物理劫持、節點復制、信號截獲竊取重放、中間人攻擊等威脅；另一方面，電力物聯網終端由于體積和電量限制，其計算、存儲和通信能力有限，無法部署完整的密碼算法。
電力物聯網存在海量的設備，應采用去中心化的安全體系，構建輕量級的密鑰管理系統。區塊鏈是一種在對等網絡環境下，通過透明和可信規則，構建可追溯的塊鏈式數據結構，實現和管理事務處理的模式，具有分布式對等、防偽造和防篡改、透明可信和高可靠性等方面的特征，可以有效解決物聯網發展中面臨的大數據管理、信任、安全和隱私等問題，從而推進物聯網發展到分布式、智能化的高級形態。
區塊鏈是一種允許創建交易分布式數字賬本的技術，其賬本共享給網絡中的所有節點，具有主體對等、公開透明、安全通信、難以篡改和多方共識等特性，已應用到越來越多的領域中[5-7]。
本文針對電力物聯網接入認證需求，利用區塊鏈技術去中心化、不可否認的特性，結合Shamir門限秘密共享機制實現了一種PBFT共識機制，提出了適用于電力物聯網的分布式認證方案，并仿真分析了方案的實際效能。
1 相關研究
1.1 物聯網接入認證
接入認證是物聯網終端設備接入電力物聯網系統實現其功能的第一步，實現對物聯網設備的可信認證以及對于操作者身份的可信確認，從而確定該用戶對電力物聯網資源是否具有相應的訪問和使用權限，進而使物聯網系統的訪問控制策略能夠可靠、有效地執行。
認證就是在物聯網工作過程中確認資源申請者身份的過程，是控制資源非法外泄的有效手段，也是實現分級管理的有效方法，當前的認證技術主要有口令認證、X.590的認證、域認證等。
靜態口令和動態口令認證都屬于口令認證，早期一般都使用靜態口令認證，包括PC登錄口令、系統認證口令、金融系統認證口令等。靜態口令認證比較簡單，在計算機上容易操作，但是安全性不高。鑒于這種缺點才提出了動態口令認證，動態認證使用了智能認證和特征認證相結合的認證方法，加強了口令的抗攻擊性和破解難度。
X.509的認證是基于X.509證書的一種認證技術，該認證技術主要依靠權威機構實現，并且采用加密算法加密使得實現更加安全簡單，持有X.509證書的主體可以獲得CA的認證。
在X.509里，組織機構通過發起證書簽名請求(CSR)來得到一份簽名的證書。首先需要生成一對鑰匙對，然后用其中的私鑰對CSR進行簽名，并安全地保存私鑰。CSR進而包含有請求發起者的身份信息、用來對此請求進行驗證的公鑰以及所請求證書專有名稱。CSR里還可能帶有CA要求的其他有關身份證明的信息。然后CA對這個專有名稱發布一份證書，并綁定一個公鑰，組織機構可以把受信的根證書分發給所有的成員。
目前電力物聯網接入認證主要是基于公鑰證書的中心化認證方式[8-10]。PKI(公鑰基礎設施)技術采用證書管理公鑰，通過第三方的可信任機構CA(認證中心)，把用戶的公鑰和用戶的其他標識信息(如名稱、E-mail、身份證號等)進行綁定，用于驗證用戶的身份。這種認證方式需要可信的第三方認證服務器來對用戶進行身份管理，通過用戶的數字證書或身份令牌來確認用戶身份。電力物聯網具有覆蓋范圍廣、傳輸地區多、提前信息量龐大的特點，采用集中認證的方式會降低認證效率和安全性，分布式的、點對點的認證方式更適合于電力大型電力物聯網。
1.2 基于區塊鏈的接入認證
基于數字證書的認證是一項重要的身份認證技術，由于CA是數字證書的關鍵部分，目前實現數字證書管理的集中式PKI在分布式環境中面臨的最大問題是CA的可信性問題。
基于區塊鏈的接入認證方法領域已有研究主要利用區塊鏈的去中心化特征建立分布式PKI，例如，麻省理工大學的Conner等人利用公共總賬來記錄用戶證書，用公開的方式把用戶ID與公鑰證書關聯，實現了首個區塊鏈分布式PKI系統[11]。該系統雖然支持用戶查詢證書簽發過程，但是帶來了隱私泄露隱患，無法應用于電力物聯網等對用戶隱私保護有要求的場景。為此，AXON L等提出了一個隱私感知的區塊鏈認證模型PB-PKI，該模型用線上和線下密鑰進行用戶身份保護，減少了隱私泄露的風險[12]。MASTSUMOTO S針對提高認證CA的安全性問題，提出了機遇以太坊激勵策略的PKI框架IKP[13]。
2 基于區塊鏈的分布式認證
2.1 認證模型
身份認證技術是通過密碼學手段在計算機系統中確認實體對某種資源或服務是否有訪問權限的方法和機制。電力物聯網中終端節點數量多、單點計算存儲能力弱，其身份認證需要采用效率高的方案。常見的電力物聯網接入場景如圖1所示。物聯網終端通過接入網關接入電力通信網，訪問相關業務。其中所有合法接入的物聯網終端共同維護一個區塊鏈分布式賬本，用于記錄合法的接入事件。
合法接入的電力物聯網終端根據其配置不同分為主節點和從節點兩類。其中，電力物聯網業務系統的每次合法接入形成一個區塊，新物聯網節點申請加入時，主節點從區塊鏈上隨機選擇符合閾值數量的合法接入節點形成認證組，認證組通過共識算法進行分布式認證，認證通過后生成新加入物聯網節點的數字證書，并將接入過程記錄在一個新的區塊中。成功接入的物聯網節點通過鏈上部署的智能合約實現業務功能。
所有合法的電力物聯網終端節點的接入過程存儲在可方便查詢、無法篡改的區塊鏈分布式賬本中。區塊保存節點接入業務系統的時間、業務類型、權限和狀態信息。區塊包含區塊頭和區塊體兩部分。其中區塊頭包含前一區塊的hash值、時間戳、隨機數、目標區塊hash值和Merkle根等內容，通過前后的hash值形成可追溯的鏈狀結構；區塊體存儲接入認證所需要的信息，包括物聯網終端節點ID、公鑰和證書、運行狀態、接入時間、業務類型和權限等級。
電力物聯網終端節點需要接入認證時，首先向主節點發送認證請求，主節點進行首次驗證并將認證請求進行封包，同時檢索接入認證區塊鏈中合適的節點，形成分布式認證組。合適節點首先應滿足合法性，即節點已經成功接入業務系統；其次應滿足認證性，例如與待接入節點屬于同類業務或同小區的業務；第三應滿足功能要求，即有足夠的電量和處理能力運行認證算法。隨后主節點通過組播方式將請求發送給認證組，發起分布式認證。認證中結合投票式共識算法和待接入節點的公鑰證書，形成新的區塊。接入認證過程如圖2所示。
2.2 認證過程
具體認證過程分為請求和確認兩個階段：
(1)請求階段
電力物聯網終端向主節點發起認證申請，申請信息包括終端標識的注冊信息，其中，ID為包含終端類型字段的唯一標識字符串， 表示終端對ID的簽名；Pub為終端公鑰；R為授權機構頒發的數字證書。主節點使用終端公鑰對終端簽名進行確認，提取請求信息形成分布式認證協議請求報文。
(2)確認階段
確認階段是基于區塊鏈的分布式認證過程。主節點響應認證申請，從終端ID中截取節點類型字段作為關鍵詞檢索認證區塊鏈，從區塊鏈節點中的節點類型、接入時間、運行狀態和業務類型進行綜合匹配，擇優選取滿足閾值設定數量的節點，組成認證組G={P1，P2，…，Pt}，并在G中廣播發送認證協議請求報文。G中節點運行PBFT共識算法完成分布式認證，并生成新的區塊，主節點返回確認信息給終端。
在共識算法執行過程中，采用(t，t)門限秘密共享算法實現接入認證秘密信息的分發與合成。在(t，t)門限秘密共享體制中，秘密K被分成t個部分(稱作子秘密或影子密鑰)，分別給t個參與者持有，使得：①同時獲得t個參與者所持有的部分信息可重構K；②少于t個參與者所持有的部分信息則無法重構K。
G節點數量為t，共享的秘密信息K=R。
認證組節點運行的PBFT共識算法包含預準備、準備、提交等過程，如圖3所示。
①預準備
②準備
G中所有節點收到認證請求和認證份額后，運行秘密共享算法中的恢復算法。具體如下：G中節點之間互相交換所持有的秘密份額，從而得到t個點對：(x1，y1)，…，(xt，yt)。根據拉格朗日插值算法，可得待認證終端的證書信息：
從而恢復出共享秘密R，G中每個節點可根據第三方公信機構的公鑰信息對R進行驗證。
③提交
G中對待接入終端認證通過的節點提交認證結果給主節點，主節點綜合認證組結果，完成對電力物聯網終端的認證，生成接入會話密鑰給電力物聯網終端。同時在系統中形成一個新的區塊，區塊以分布式總賬的方式記錄了新節點的接入情況。
終端返回加密后的確認信息給網關，認證結束。
系統通過共識算法形成區塊后，合法接入的電力物聯網終端節點根據鏈上智能合約進行電力網業務訪問，主要實現業務接入、費用計算和權限控制等功能。
3 仿真實驗
電力物聯網系統屬于行業應用，因此采用基于HyperLedger Fabric聯盟鏈進行實驗環境的搭建。聯盟鏈是指其共識過程受到預選節點控制的區塊鏈，是介于私有鏈和公有鏈之間的一種區塊鏈，除具有一般區塊鏈的優點外，還具有可控性強、數據默認不公開、交易速度快、可定制訪問控制策略等優點。
HyperLedger Fabric是由Digital Asset和IBM公司貢獻的、由Linux基金會主辦的一個超級賬本項目，是目前非常流行的模塊化區塊鏈網絡框架實現方案。HyperLedger Fabric支持認證、共識和智能合約模塊的即插即用和定制開發，并適應整個經濟生態系統的復雜性和高精度性。HyperLedger Fabric利用docker容器技術運行稱為鏈碼(Chaincode)的智能合約，該合約包含了系統的應用程序邏輯。
本文的驗證環境采用Hyperledger Fabric 1.0版本運行于CentOS中的docker 18.06容器中。接入網關采用Intel i7-7700HQ CPU，主頻2.80 GHz，16 GB DDR2400內存。物聯網終端采用樹莓派3b模擬，配置為博通BCM2837B0 SoC，集成4核ARM Cortex-A53 64位CPU，主頻為1.4 GHz，具有1 GB LPDDR2 SDRAM。
圖4顯示了基于區塊鏈的電力物聯網接入認證方案中認證時間隨物聯網規模變化的情況。可以看出，在傳統的集中式接入認證方案下，當認證節點數量增多時，認證中心計算和網絡開銷增大，認證效率降低，認證時間增長迅速。在基于區塊鏈的分布式認證方案下，當物聯網終端節點數量較少時，認證效率較集中式認證低，這是因為區塊鏈方案中運行分布式認證協議開銷在網絡規模較小時占比較大，當物聯網規模增大時，認證效率提高較明顯。
圖5為相同物聯網節點規模下，認證組節點閾值分別在3、5、7下的認證時間對比。根據拜占庭容錯原理可知，認證組節點數量增加會帶來安全性的增加，但信息交互次數增加使認證時間相應增大，降低了認證效率。
圖6為新區塊生成時間與已有區塊鏈規模的關系，數據顯示，隨著區塊鏈長度的增加，新區塊生成時間相應增加，但總體性能下降不明顯，因此可適用于大規模并發接入的情景，符合智能化電力物聯網系統應用需求。
4 結論
隨著物聯技術在智能電網領域的深入發展，電力物聯網終端對分布式智能化高效率接入提出了更高的要求。本文基于區塊鏈中去中心化的分布式總賬技術、全網驗證的共識機制，提出了一種適用于電力物聯網安全高效接入認證方案。相比于傳統方案，本方案基于區塊鏈的可驗證性，避免了驗證時運行解密算法所帶來的系統開銷。通過基于Hyperledger平臺的仿真實驗顯示，所提方案比傳統集中式認證方案在認證效率上有顯著提升。下一步研究將側重于在實際電力業務應用場景中，通過試點應用，測試系統在海量接入情況下的接入認證性能。
參考文獻
[1] 陳昕，姜怡喆，王雪，等.互聯網視角下的能源互聯網發展研究[J].中國電力，2018，51(8)：43-48.
[2] 高峰，曾嶸，屈魯，等.能源互聯網概念與特征辨識研究[J].中國電力，2018，51(8)：10-16.
[3] 于佳，馬平，劉銳，等.電力無線專網業務支撐能力研究[J].廣東電力，2018，30(12)：49-56.
[4] 李黎，華奎，姜昀芃，等.輸電線路多源異構數據處理關鍵技術研究綜述[J].廣東電力，2018，31(8)：124-133.
[5] 王安平，范金剛，郭艷來.區塊鏈在能源互聯網中的應用[J].電力信息與通信技術，2016，14(9)：1-6.
[6] SAMANIEGO M，DETERS R.Blockchain as a service for IoT[C].2016 IEEE International Conference on Internet of Things(iThings) and IEEE Green Computing and Communications(GreenCom) and IEEE Cyber，Physical and Social Computing(CPSCom) and IEEE Smart Data(SmartData)，Chengdu，2016：433-436.
[7] KAN L，WEI Y.，MUHAMMAD A H，et al.A multiple Blockchains architecture on Inter-Blockchain communication[C].2018 IEEE International Conference on Software Quality,Reliability and Security Companion(QRS-C)，Lisbon，Portugal，2018：139-145.
[8] Li Huige，Tian Haibo，Zhang Fangguo，et al.Blockchain-based searchable symmetric encryption scheme[J].Computers and Electrical Engineering，2019，73：32-45.
[9] ANDONI M，ROBU V，FLYNN D，et al.Blockchain technology in the energy sector：a systematic review of challenges and opportunities[J].Renewable and Sustainable Energy Reviews，2019，100：143-174.
[10] LOU J，ZHANG Q，QI Z，et al,A Blockchain-based key management scheme for named data networking[C].2018 1st IEEE International Conference on Hot Information-Centric Networking(HotICN)，Shenzhen，China，2018：141-146.
[11] FROMKNECHT C，VELICANU D.CertCoin：a NameCoin based decentralized authentication system[R].Technical Report，6.857 Class Project，Massachusetts Institute of Technology，2014.
[12] AXON L.Privacy-awareness in blockchain-based PKI[R].CDT Technical Report.University of OxFORD，2015.
[13] MATSUMOTO S，REISCHUI R M.IKP：Turning a PKI around with decentralized automated incentives[C].2017 IEEE Symposium on Security and Privacy，2017.
作者信息:
陳孝蓮1，虎 嘯1，沈 超1，李 洋2，高 雪2，于 佳2
(1．國網無錫供電公司，江蘇 無錫214002；2.南瑞集團有限公司(國網電力科學研究院)，江蘇 南京211106)