身份管理技术综述

身份管理是解决大规模异构网络环境中的信息安全技术,联盟身份管理和相关标准成为发展主流,其通过对用户身份标识和管理策略进行绑定和对其进行全生命周期管理,形成集身份认证、授权管理、责任认定于一体的基础设施框架,以降低管理用户身份、属性和信任证书的成本,提高安全性,保护用户的隐私,方便信息共享等。     

基于区块链的信息网络信任支撑环境构建研究

网络信任体系是信息网络安全的重要基础设施。针对网络信任体系建设中存在的身份认证技术体制不统一、跨信任域互信互认难实现、跨体制统一信任管理缺手段、统一信任服务应用难满足等突出问题,通过采用安全可控的联盟区块链技术,研究构建信息网络信任支撑环境,建立全网统一信任源,实现多认证体制互信互认、统一身份认证服务和网络信任安全监管,为信息网络安全保障能力建设和信息网络共享应用提供有效支撑。     

考虑属性加密的物联网隐私数据跨域安全共享模型

物联网隐私数据共享中，由于远距离的高速跨域问题，在数据共享时存在安全隐患，为此设计考虑属性加密的物联网隐私数据跨域安全共享模型。考虑属性加密方法设计重量级物联网隐私数据属性加密方案，实现数据加密模块的设计。基于区块链技术设计跨域安全共享模块设置三个实体，分别为监管中心、云存储器与联盟区块链，实现数据的跨域共享。在角色信誉评估模块中，考虑角色信誉评估角色的恶意行为实施其信誉评估，将评估结果作为选择数据共享对象时的数据基础。测试结果表明：所构建模型的通信开销较低；在4台普通计算机总跨域距离为200 km时，跨域数据共享时间仅为45 000 ms左右；在各阶段其操作数量与加解密时间都较低。     

基于区块链技术的跨域认证方案

针对现有交互频繁的信息服务信任域（PKI域和IBC域）之间不能实现信息服务实体（ISE）安全高效的跨域认证的问题,提出一种基于区块链的跨异构域认证方案.在IBC域设置区块链域代理服务器参与SM9（国产标识密码）算法中密钥生成,并与PKI域区块链证书服务器等构成联盟链模型,利用区块链技术去中心化信任、数据不易篡改等优点保证模型内第三方服务器的可信性.基于此设计了跨域认证协议与重认证协议,并进行SOV逻辑证明.分析表明,与目前相关方案相比,协议在满足安全需求的前提下,降低了用户终端的计算量、通信量和存储负担,简化了重认证过程,实现域间安全通信,在信息服务跨异构域身份认证过程中具有良好的实用性.     

区块链架构下具有条件隐私的车辆编队跨信任域高效群组认证研究

为了均衡车辆编队跨信任域身份认证的安全和效率,提出了区块链架构下具有条件隐私的车辆编队跨信任域高效群组认证方案。设计了面向车辆编队身份认证的新型区块结构BM-Tree,通过多信任域间链上认证参数共享为跨信任域群组认证提供支撑;采用动态匿名进行车辆身份隐私保护,通过双线性映射进行信任域参数变换,实现了具有条件隐私的跨信任域群组认证;提出了基于BM-Tree的高效群组认证协议,实现了车辆编队批量身份认证和重认证。所提方案在安全性和计算开销方面明显优于现有跨信任域认证方法,相比BLA、MDPA和BBA,整体认证时延平均减少了29%、25%和53%。     

基于联盟链的身份环签密方案

针对联盟链交易时存在的用户隐私泄露问题,该文提出基于联盟链的身份环签密(CB-IDRSC)方案。CB-IDRSC利用智能合约技术控制新交易加入,实现了公平可靠性;利用多个私钥生成器(PKGs)为用户生成私钥信息,满足联盟链部分去中心化要求和起到保护节点隐私的作用;并且具有机密性、不可伪造性和环签密者的无条件匿名性。性能分析中首先对CB-IDRSC中用到的智能合约进行部署;其次通过效率分析说明CB-IDRSC具有较高的计算效率;最后在忽略网络延时等因素影响的情况下,通过实验得出多私钥生成器的数量对系统参数生成和密钥生成阶段的效率影响不到3%。     

区块链用户匿名与可追踪技术

区块链具有透明性、数据完整性、防篡改等优点,在金融、政府、军事等领域有重要应用价值。目前有越来越多的工作研究区块链的隐私保护问题,典型的包括门罗币、Zerocash, Mixcoin等等。这些隐私保护方法可以用于保护区块链上用户的身份和交易的金额。隐私保护方案是双刃剑,一方面是对合法用户隐私的完善保护,另一方面如果完全脱离监管,则是对洗钱、勒索等违法犯罪行为的姑息和纵容。针对区块链上各种层出不穷的隐私保护方案,监管也要与时俱进。该文研究区块链用户身份的隐私保护和监管方法,提出了用户匿名和可追踪的技术,旨在推动区块链在实际中的应用。     

基于新型公平盲签名和属性基加密的食用农产品溯源方案

为解决食用农产品溯源中存在的身份隐私易泄露、难监管以及溯源数据共享困难等问题,该文提出一种基于新型公平盲签名和属性基加密的食用农产品溯源方案。该方案在联盟链授权访问、不可篡改特性的基础上,结合椭圆曲线和零知识证明提出一种新型公平盲签名方法,实现了食用农产品数据上传者身份条件匿名并通过双重ID机制避免了签名方陷害问题;方案同时采用Asmuth-Bloom门限改进的属性基加密结合智能合约技术实现了权限分层的食用农产品溯源数据秘密共享。各项分析及实验结果表明,该方案具备良好的安全性和功能性。     

一种基于ITU—T身份管理的双向认证系统

联邦身份管理是一个在大规模异构网络环境中对身份进行统一管理的安全技术。在分析ITU—T联邦身份管理双向认证模型的基础上,根据实体安全需求设计认证系统,并针对模型的特点设计出一种面向实体安全需求的双向认证系统,最后简要分析了系统的安全性。该系统不仅能够有效保护实体身份信息的安全性,而且兼顾了实体需求和认证效率,可用于不同安全等级的应用场合,有较高的实用价值。     

基于区块链技术的新能源汽车充电桩安全认证与管理系统研究

针对现有管理系统在对新能源汽车充电桩安全认证与管理时,存在充电桩启动时间长,影响运行效率的问题,引入区块链技术,开展新能源汽车充电桩安全认证与管理系统的设计研究。通过对远程服务器、数据库服务器等众多设备选型,完成系统的硬件设计。通过建立新能源汽车充电桩共识机制、新能源汽车充电桩跨域身份安全认证、新能源汽车充电桩跨域身份安全认证,完成系统的软件设计。通过对比实验证明,新的管理系统应用下充电桩启动的时间大大缩短,有效促进运行效率的提升。     

基于VDS的异构环境统一身份管理解决方案

为了解决异构网络环境中存在多种形式的身份信息整合问题,提出一种基于身份聚合和虚拟目录技术的统一身份解决方案,实现身份信息的统一管理,保障了身份信息的一致性,减少了维护管理,满足应用系统单点登录和安全审计等需求。尤其针对包含多分支机构集团的管理需求,实现了多分支机构身份信息的"分治"和企业级身份信息的"统治"。     

Credibility protection for resource sharing and collaborating in non-center network computing environments

Non-center network computing environments have some unique characteristics, such as instability, heterogeneity, autonomy, distribution and openness, which bring serious issues of security and reliability. This article proposes a brand-new credibility protection mechanism for resource sharing and collaboration in non-center network computing environments. First, the three-dimensional hierarchical classified topology （3DHCT） is proposed, which provides a basic framework for realizations of the identity credibility, the behavior credibility and the capability credibility. Next, the agent technology is utilized to construct the credibility protection model. This article also proposes a new comprehensive credibility evaluation algorithm with simple, efficient, quantitative and able to meet the requirements of evaluating behavior credibility and the capability credibility evaluation as well. The Dempster-Shafer theory of evidence and the combination rule are used to achieve the evaluation of the capability credibility. The behavior credibility is evaluated with the current and historical performance of nodes for providers and consumers to realize more accurate prediction. Based on the non-center network computing simulation test platform, simulation is been conducted to test the performance and validity of the proposed algorithms. Experiment and analysis show that the proposed algorithms are suitable for large-scale, dynamic network computing environments, and able to maintain the credibility for networks without relying on central node, make a non-center network gradually evolve into an orderly, stable and reliable computing environment efficiently.     

基于交互模式的隐私保护方法研究

In network environments, before meaningful interactions can begin, trust may need to be established between two interactive entities in which an entity may ask the other to provide some information involving privacy. Consequently, privacy protection and trust establishment become important in network interactions. In order to protect privacy while facilitating effective interactions, we propose a trust based privacy protection method. Our main contributions in this paper are as follows: (1) We introduce a novel concept of k sensitive privacy as a measure to assess the potential threat of inferring privacy; (2) According to trust and k sensitive privacy evaluation, our proposed method can choose appropriate interaction patterns with lower degree of inferring privacy threat; (3) By considering interaction patterns for privacy protection, our proposed method can overcome the shortcomings of some current privacy protection methods which may result in low interaction success rate. Simulation results show that our method can achieve effective interactions with less privacy loss.     

Privacy preserving friend discovery cross domain scheme using re-encryption in mobile social networks

In order to guarantee the users’ privacy in the process of making friends in the mobile social networks,a new scheme of proxy re-encryption privacy protection in the cross-domain environment was introduced.The scheme employed the cross-domain multi-authority to sharing secret keys,so as to realize the access and shave of the cross-domain users data.And the secret keys of users’ attributes were re-encrypted,based on the technology of the proxy re-encryption and attribute encryption,to achieve the friends matching under the conditions of extending the access policy.Meanwhile,in purpose of enhancing the privacy of users’ data,the technology which contained the separation of users’ privacy ciphertext and secret keys was adopted.Based on that,problems in the existing system such as user data’s inability to be shared cross-cloud,less matching during the process of making friends and users’ inability to make friends when offline had been addressed.Security and experimental analysis show that this scheme can achieve chosen plaintext attack (CPA) security,ensure the privacy of friend discovery,and that is more effective than existing solutions.     

隐私计算研究范畴及发展趋势

随着移动互联网、云计算和大数据技术的广泛应用,电商、搜索、社交网络等服务在提供便利的同时,大数据分析使用户隐私泄露的威胁日益凸显,不同系统隐私保护策略和能力的差异性使隐私的延伸管理更加困难,同一信息的隐私保护需求随时间变化需要多种隐私保护方案的组合协同。目前已有的各类隐私保护方案大多针对单一场景,隐私缺乏定量化的定义,隐私保护的效果、隐私泄露的利益损失以及隐私保护方案融合的复杂性三者之间的关系刻画缺乏系统的计算模型。因此,在分析隐私保护研究现状的基础上,提出隐私计算的概念,对隐私计算的内涵加以界定,从隐私信息的全生命周期讨论隐私计算研究范畴,并从隐私计算模型、隐私保护场景适应的密码理论、隐私控制与抗大数据分析的隐私保护、基于信息隐藏的隐私保护以及支持高并发的隐私保护服务架构等方面展望隐私计算的发展趋势。     

基于AHP-GRA 的用户身份可信评价方法

随着互联网和社交媒体的快速发展,我国的经济活动对网络依赖性逐步增强,涉及到资金和财产的网络活动加剧,对用户身份进行认证的需求变得更加迫切。因此,提出了一种将层次分析法(Analytic Hierarchy Process)和灰色关联分析(Grey Relation Analysis)结合使用的用户身份可信评价方法(Analytic Hierarchy Process-Grey Relation Analysis,AHP-GRA),以现有的权威身份认证提供商提供的身份信息为原始输入,个体用户后续输入的身份属性信息通过属性聚类及相似度计算进行评分,使用层次分析法和灰色关联分析将各条属性可信评价进行多层次关联决策分析,并得到用户身份的可信评价。     

移动设备加密流量的用户信息探测研究展望

移动设备加密流量分析可以用主动或被动的方式获取多种类型的用户信息,为网络安全管理和用户隐私保护提供保障。重点分析、归纳了用户信息探测所涉及的数据采集、特征选择、模型与方法以及评价体系的基本原理和关键方法。总结了现有方案中存在的问题,以及未来研究方向和面临的挑战。     

基于可视数据的可信身份识别和认证方法

近年来,深度学习技术在基于视频和图像等可视数据的身份识别和认证任务（如人脸、行人识别等）中得到了广泛应用。然而,机器学习（特别是深度学习模型）容易受到特定的对抗攻击干扰,从而误导身份识别系统做出错误的判断。因此,针对身份识别系统的可信认证技术研究逐渐成为当前的研究热点。分别从基于信息空间和物理空间的可视数据身份识别和认证攻击方法展开介绍,分析了针对人脸检测与识别系统、行人重识别系统的攻击技术及进展,以及基于人脸活体伪造和可打印对抗图案的物理空间攻击方法,进而讨论了可视数据身份匿名化和隐私保护技术。最后,在简要介绍现有研究中采用的数据库、实验设置与性能分析的基础上,探讨了可能的未来研究方向。