基于邊緣計算的多域光網絡組密鑰加密分發

李曉嶸，陳逸銘，李美華

(江西理工大學，江西 贛州 341000)

1 引言

光傳輸網絡在面向用戶基礎上不斷涌現出新業務，這些業務均具有動態、跨區域等特點。在光通信不斷向高容量、智能化方向發展的過程中，綜合考慮管理、技術多樣性等因素，將不同網絡劃分為不同的域[1]。因此，各運營商之間也由不同域組成，將光傳輸網逐漸發展成為多域光網絡。在該網絡中，每個單獨的域均由獨立服務商管控，滿足安全保密通信要求[2]。隨著傳輸信息的增加，在通信過程中雙方是否有效獲得共享密鑰是確保安全通信的基礎，也成為保密通信研究領域的熱點話題。

文獻[3]提出基于壓縮光源的量子密鑰分發協議。此協議在接收方對信號進行循環位移，同時測量兩個信號的相位差來實現密鑰分發。不但能夠產生安全密鑰，并且無需考慮信號干擾，可降低復雜度，但該方法在密鑰存儲時開銷較大。文獻[4]提出具備雙向身份認證的密鑰分發方法。通過Bell態糾纏交換特征，完成通信雙方身份認證；經過認證后，通信方對粒子進行Pauli操作，獲得與對方相同的Bell粒子；結合約定編碼規則，獲取同樣的二進制字串符號作為密鑰，完成密鑰分發。該協議生成過程簡單，容易實現，但該方法分發的安全性較差。

為改善上述方法中存在的不足，本文利用邊緣計算方法對多域光網絡組密鑰加密分發進行研究。邊緣計算是指在靠近源頭網絡邊緣處，根據儲存等技術，就近提供隱私保護等服務，可有效提高網絡服務與管控能力，構造出一種與互聯網模式相近的新型業務形態。該技術不受網絡接入形式影響，可廣泛應用在不同網絡中。與傳統方法相比該方法可有效降低存儲開銷，并且能夠提升分發速率。

2 多域光網絡模型構建

為了實現多域光網絡組密鑰加密分發，首先需要構建多域光網絡模型。

假設圖G(V，E，W)代表多域光網絡，其中V、E、W分別表示不同波長集合，|W|為每條鏈路中存在的波長總數。該網絡包括n個域，域m可以描述為：

Gm(Vm，Em，W)，m=0，1，…，n

(1)

式中，N代表某域內節點數量。

多域光網絡內包括邊界節點與域內節點[5]，其中，邊界節點位于域的邊緣處，利用域間鏈路實現與其它域的連接，可掌握整體網絡結構信息。光通信網絡中經常采取分層圖的通信策略，可緩解網絡阻塞率。

本文利用分層圖，將G(V，E，W)劃分成波帶與波長分層圖，即

Gm(Vm，Em，W)，m=0，1，…，n，Bi(0≤i≤|B|-1)

(2)

通過式(2)描述波帶，|B|表述波帶數量，Bi是鏈路上H條持續波長λiH，λiH+1，…，λ(i+1)H-1組成而成。其余|W|-|B|·H條波長λ|B|H，λ|B|H+1，…，λ|w|-1可以組建波長分層圖。

針對某節點vp∈Vm，復制vpH次，得到

(3)

通過式(3)得到λb的波帶節點，復制vp|W|-|B|·H次，得到

(4)

通過式(4)獲取λw的波長節點。

圖1 多域光網絡拓撲結構

3 基于邊緣計算的密鑰加密分發

3.1 邊緣計算模型構建

邊緣計算是一種開放式平臺，可以為其鄰近對象提供服務，滿足隱私保護、實時處理等要求。

邊緣計算不但可以對本地數據進行決策，還能提供跨供應商操作，為用戶提供更加可靠、實時的計算服務。邊緣計算模型如圖2所示。

圖2 邊緣計算模型

在此模型中，數據中心采集來自數據庫與邊緣設備中的數據，邊緣設備是數據產生者與消費者，表明用戶終端和云計算之間的交互為雙向。所以，對邊緣計算模型提出了較高要求，以此滿足安全通信需求。如圖3所示的架構中包括設備、網絡、數據與應用四個域，均屬于邊緣計算目標。

圖3 邊緣計算參考架構圖

1)設備域：邊緣計算能夠在此層內直接處理感知信息；

2)網絡域：該部分實現計算能力部署[6]，使數據滿足標準化需求。為處理網絡中數據異構現象，可在該域內調節數據標準化格式完成數據傳輸。還能去除網絡冗余，優化網絡性能。

3)數據域：使該域內數據儲存方式變得更加靈活，可對數據進行清洗處理，去除冗余數據。此外，可動態調節儲存與負載功能，使運算任務分配更加合理。

4)應用域：該域提供智能應用程序，具有靈活響應等優勢，能為用戶獨立提供本地化程序服務[7]。

將邊緣計算引入到上述網絡架構中，提高設備感知性能與自適應能力，有助于評估網絡中用戶可靠性。

3.2 邊緣計算可信評估模型構建

為有效評估多域光網絡中通信雙方的可靠性，本文利用邊緣計算方式分別從身份、行為與能力三方面進行綜合評價，形成用戶可信期望。

邊緣計算可信模型包含公共屬性[8](common attribute)與可信屬性[9](trusted attribute)兩種，即

entity=(ca，ta)

(5)

式中，ca表示公共屬性，一般為全部元素共同擁有的屬性，例如名稱、類別與功能等；ta為可信屬性。

結合身份、行為與能力三個因素對ta進行如下建模，即

ta=(ic，bc，ac)

(6)

式中，bc表示用戶所需遵守的行為限定，行為可信度具有模糊動態性，可被量化處理，ac表示能力可信度。

1)身份可信度

身份可信度ic表示用戶身份的非法性，有兩種取值結果：合法位1，非法為0。利用身份可靠技術辨別，常用身份認證與授權委托[10]，即

(7)

2)行為可信度

分析該行為可信度的關鍵是選取恰當行為依據，再利用直接或間接方法確定與行為依據對應的數值。此時行為可信度計算公式為

bc=(Tnu1，Tnu2，Tnu3)

(8)

式中，Tnu1代表直接可信度，Tnu2為間接可信度，Tnu3表示獎懲因子，其主要作用是減少惡意行為對可行度評估產生影響。

3)能力可信度

在能力可信度中包括服務質量QoS的有關向量，即

(9)

由式(9)可知，能力可信度中服務質量包括CPU計算性能、可用帶寬與儲存空間大小等信息。在能力可信度評估中具有一定復雜性，為提高評估準確度，需結合應用場景、實際通信任務等特征完成科學評估[11]。

假設參加評估的元素集合為

U={entityi|i∈N}

(10)

將通信用戶entityi的QoS有關能力歸屬度量表示為

Pentityi=(acQoS1，acQoS2，…，acQoSK)

(11)

則有關權重系數矢量公式為

Wentityi=(WQoS1，WQoS2，…，WQoSK)

(12)

假設

(13)

則最終能力可信度評估表達式為

acentityi=Wentityi×Pecui

=WQoS1acQoS1+WQoS2acQoS2+…+WQoSKacQoSKa

(14)

利用邊緣計算架構對通信用戶的可信度進行評估，使滿足要求的用戶完成下一步成員的注冊。

3.3 成員注冊

根據上述可信度評價結果，對全部符合通信要求成員進行管理，即注冊身份信息?？蓪⒆赃^程視為新成員Ui與管理者GC通過雙向認證后形成會話密鑰Ki的全部過程[12]。

signcryp-tUi，GC(reg-requestUi，IDUi，TUi)

(15)

當GC獲取Ui傳輸的注冊請求后，使用自身私鑰SGC與Ui的公鑰QUi完成解簽密活動，獲得全部請求內容，再驗證消息合法性，實現請求節點認證。此時，GC向Ui發出響應消息reg-re-sponse。

signcry，ptGC，Ui(reg-tesponseGC，TGC，time)

(16)

假設在time時刻，Ui與GC需運算會話密鑰，協商過程表示為

(17)

Ui則對如下內容進行處理，即

(18)

由此可知，通信雙方均成功注冊身份信息，可獲取共享密鑰Ki。

3.4 組密鑰加密分發實現

當全部成員均屬于組成員時，組管理員構建邏輯樹，并將全部成員安置在葉子節點中，形成與非葉子節點相對的密鑰。為實現密鑰加密分發，本文在用戶身份基礎上利用多接收者簽密機制實現密鑰分發。具體過程如下：

步驟一：GC將K12簽密獲得的信息signcryptGC，U1，U2傳輸到U1與U2；再將K34簽密獲取的信息signcryptGC，U3，U4(K34)傳輸到U3與U4；然后再將K56簽密信息signcryptGC，U5，U6(K56)傳輸至U5與U6；最后將K78簽密信息signcryptGC，U7，U8(K78)傳輸至U7與U8；

步驟二：GC將K14的簽密信息signcryptGC，U1，U2，U3，U4(K14)傳輸到組員U1，U2，U3，U4中，將K58簽密信息signcryptGC，U5，U6，U7，U8(K58)傳輸到U5，U6，U7，U8；

步驟三：GC將根節點相對密鑰K18簽密信息signcryptGC，U1，U2，U3，U4U5，U6，U7，U8(K18)傳輸至全部成員節點。

經過上述過程，完成組密鑰加密分發，避免成員間的單播傳輸。

4 仿真分析

4.1 仿真環境

通過仿真分析所提密鑰加密分發算法性能，仿真運行系統為Windows7旗艦版，運行內存為8 GB，樣本密鑰數量為1000個，通過100次的迭代完成1000個樣本密鑰的分發。

4.2 仿真方案

為驗證所提方法的有效性，分別從儲存開銷、通信開銷、密鑰分發速率方面進行測試，并與文獻[3]、文獻[4]算法進行對比，驗證方法的優勢。

4.3 仿真結果分析

1)儲存與通信開銷分析

針對用戶而言，儲存開銷是由節點內部公私鑰對組合形成。通信開銷包括會話密鑰經過加密處理后生成密文信息與通信白名單。為對比不同方法的開銷，設置成員數量與非法成員數量分別為n′、r′，合法成員數量為n′-r′。在相同實驗環境下，所提方法、文獻[3]方法以及文獻[4]方法對樣本密鑰的儲存開銷結果分別如圖4所示。

如圖4所示，儲存開銷和成員數量之間存在線性關系。在相同用戶數量下，本文方法的儲存開銷比其它方法低，且上升趨勢比較平緩。這是由于本文方法對通信方能力可信度進行有效評估，評估指標中包括CPU計算性能、儲存空間大小等指標，去除不滿足要求的通信方，提高通信能力，降低儲存開銷。三種方法通信開銷的仿真結果如圖5 所示。

圖4 不同方法儲存開銷對比

分析圖5可以看出，三種方法的通信開銷存在一定差異。其中文獻[3]方法與文獻[4]方法的通信開銷均高于本文方法。這是由于其它兩種方法中用戶在進入或離開選擇密鑰時，計算消耗較大，增加了額外通信開銷，進而驗證了所提方法的有效性。

圖5 不同方法通信開銷對比

2)分發速率分析

為驗證本文方法的優勢，將量化網絡噪聲以信噪比作為量化指標，分析不同方法的分發速率，得到的實驗結果如圖6 所示。

圖6 不同方法密鑰分發速率對比

由圖6可以看出，當信噪比較低時，噪聲影響較大，在此狀況下，本文方法依舊可以保持較高的密鑰分發速率；隨著信噪比的逐漸增大，其它方法的分發速率得到改善，縮小了本文方法的差距，但本文方法仍舊優于其它方法。這是由于所提方法對成員注冊實施了可靠性評價，降低外界干擾對加密數據的影響，不需要在此核對，使分發速度始終保持15bit/s以上，驗證了所提方法的分發速率較高。

5 結束語

本文利用邊緣計算構建通信方可信模型，并且提出基于身份的密鑰加密分發機制。該方法可有效適應多域光網絡的層次化結構，滿足其對儲存、通信開銷的要求，具有更強的抗聯合攻擊性能。但用戶行為存在較強動態性，會對評估結果產生一定影響。因此，在今后研究中需利用屬性重要度理論對其進一步改進，分析邊緣服務器和用戶之間的博弈關系，確保用戶可信等級的持續更新。