基于量子密钥的高速铁路异构网络安全切换.pdf

第45卷第11期2023年11月铁道学报JOURNALOFTHE CHINA RAILWAY SOCIETYVol.45No.11November2023文章编号：10 0 1-8 36 0(2 0 2 3)11-0 0 7 8-12基于量子密钥的高速铁路异构网络安全切换陈永，刘小雯，常婷（兰州交通大学电子与信息工程学院，甘肃兰州730070)摘要：随着高速铁路新一代无线通信系统的建设推进和GSM-R逐步退网，GSM-R和LTE-R网络将存在较长的共存期，如何保证高速列车在GSM-R和LTE-R异构网络之间的快速、安全切换，函待解决。针对高速铁路无线通信异构网络切换认证过程中存在切换安全性低、认证开销高等问题，提出一种基于量子密钥的高速铁路异构网络安全切换认证方法。首先采用哈希操作生成伪身份PID和切换通行码PASS，实现异构网络间通信的平滑过渡。其次使用量子密钥分发策略实现认证切换过程中源网络和目标网络之间的预认证，降低异构网络间切换认证时延、抵抗临时通话密钥泄露。同时采用哈希、模指运算完成会话密钥的动态更新，实现密钥前后向安全性。最后采用认证测试方法进行安全性验证，并采用朔黄铁路LTE-R线路数据对本方法进行有效性验证。分析验证结果表明：本方法不仅能够抵抗伪装用户、中间人等攻击，而且在计算开销和通信开销等方面也较比较方法更优，能够满足下一代高速铁路异构网络的切换认证需求。关键词：异构通信网络；下一代铁路无线通信；量子密钥；切换认证协商中图分类号：U285.2;U929.5Safe Handoff Scheme for High-speed Railway Heterogeneous文献标志码：Adoi:10.3969/j.issn.1001-8360.2023.11.010Networks Based on Quantum KeyCHEN Yong,LIU Wen,CHANG Ting(School of Electronic and Information Engineering,Lanzhou Jiaotong University,Lanzhou 730070,China)Abstract:With the construction of a new generation of high-speed railway wireless communication system and the phaseout of GSM-R from the network,GSM-R and LTE-R networks will have a long coexistence period.Ensuring the fast andsafe switching between GSM-R and LTE-R heterogeneous networks for high-speed trains is required.Aiming at the problemsof low security and high authentication overhead in the process of high-speed railway wireless communication heterogeneousnetwork handoff authentication,a quantum key-based secure handoff authentication method was proposed for high-speedrailway heterogeneous networks.Firstly,a hash operation was used to generate the pseudo-identity PID and the switchingpass code PASS,which realized the smooth transition of communication between heterogeneous networks.Secondly,quantumkey distribution strategy was used to achieve pre-authentication between the source network and the target network in theprocess of authentication handoff,reduce the handoff authentication delay between heterogeneous networks,and resist tempo-rary session key disclosure.Simultaneously,hash and modulus operations were used to dynamically update session keys,achieving key forward and backward security.Finally,the authentication test method was used to verify the safety,and themeasured data of the LTE-R line of the Shuohuang Railway was used to verify the effectiveness of the proposed method.Theanalysis and verification results show that the proposed method can not only resist attacks from masqueraded users and man-in-the-middle,but also is better than the comparative literature in terms of computing and communication overhead,which canmeet the handoff authentication requirements of the next-generation high-speed railway heterogeneous network.Key words:heterogeneous communication network;next generation railway wireless communication;quantum key;handoff authentication negotiation收稿日期：2 0 2 2-0 2-14；修回日期：2 0 2 2-0 6-16基金项目：国家自然科学基金（6 196 30 2 3,6 18 4130 3）；兰州交通大学天佑创新团队支持计划（TY202003）；兰州交通大学基础研究拔尖人才项目(2022JC36)作者简介：陈，永（197 9一），男，甘肃武威人，教授，博士。E-mail:第11期目前，高速铁路主要采用GSM-R作为无线通信系统，但该系统为2 G窄带通信系统，业务承载能力有限，已无法满足高速铁路智能化发展的需求。LTE-R作为下一代铁路无线通信系统，其技术标准成熟，具有高带宽、高速率、全IP扁平化网络结构，且具备完整的产业链支撑，可以承载铁路正线列车控制等安全性业务2。5G技术频段高、基站布设密集，与LTE-R相比，其应用到铁路区间覆盖成本较高，可作为站场枢纽区域的无线解决方案，基础设施监控业务可以采用NB-IOT等技术承载。未来LTE-R与5G-R、W iFi等技术将共同构成综合性的下一代铁路无线接入系统。目前,在GSM-R向LTE-R演进过程中，因建设周期或设备更新等因素,将长期存在 GSM-R 和 LTE-R共存的局面4-1。GSM-R与LTE-R网络的互联互通和平滑过渡存在以下困难：GSM-R属于在用设备，其功能已经固化，可改动空间很小；GSM-R基于电路域，而LTE-R基于全IP,业务流程和具体信令不同3。因此,在这种背景下,如何实现高速列车在GSM-R和LTE-R异构网络之间的快速、安全切换，以及减少异构网络之间的信令交互，已成为目前研究的难点问题，呕待解决。高速列车在异构网络间切换时，需要与不同的移动授权实体进行切换认证，一般采用3GPP定义的演进的数据包系统认证和密钥协议（Evolved PacketSystem Authentication and Key Agreement,EPS-AKA)作为车地通信认证密钥协商协议6。在异构网络切换认证过程中，不仅要确保切换的快速性，而且还必须保证切换的安全性。然而EPS-AKA被指出存在多种安全隐患，如明文传输，根密钥未更新，难以抵抗中间人、伪装用户等多种攻击等5。为此，国内外诸多学者针对EPS-AKA及异构网络间安全性问题进行了大量的研究工作。Alezabi等7 通过传输用户身份ID和网络号避免异构网络中永久移动用户识别码IMSI的明文传输和会话密钥未更新等问题，但该方法未实现用户匿名性，易受到伪装用户攻击。Sharma等8 针对切换认证过程中存在密钥未更新和难以抵抗DoS攻击等问题，使用临时身份进行传输来避免身份信息泄露，但该方法无法满足可追溯性，服务器无法识别虚假用户。Kumar等9提出一种基于椭圆曲线与用户识别卡相结合的异构网络切换认证协议，通过使用伪身份避免用户身份信息的泄露，同时采用哈希操作完成密钥更新，但该方法无法满足可追溯性。Yan 等10 提出一种使用预共享密钥实现通信双方相互认证和密钥更新、协商的方法，但该方法中用户、源基站与目标基站在每次切换认证时都需要向移动管理实体申请预共享密钥，陈永等：基于量子密钥的高速铁路异构网络安全切换性和实时性的要求。1基础理论1.1LTE-R演进异构网络结构根据GSM-R向LTE-R演进异构网络形态，新一79导致消息交互次数增加，开销增加。Wang等引人可信的第三方密钥生成中心保障切换认证的安全性，提出一种基于椭圆曲线密码系统的匿名代理签名方法，但IMSI在其假设的信道中传输时易遭受暴力攻击。Ozhelvaci等12 提出的切换协议，在可信第三方密钥生成中心的帮助下，实现了车地认证过程中的密钥更新和密钥协商，但该方法中高速列车初次接入目标网络时，列车身份是明文传输的，易被攻击者截获，未彻底实现用户暨名性。Li等131提出一种基于授权属性的多属性签名匿名切换认证协议，使用区块链作为可信第三方发布属性私钥以保障用户身份信息，但该方法存在计算签名开销大的问题。Zhang等14 提出一种基于椭圆曲线密码与区块链相结合的切换认证密钥协商协议，实现了用户匿名性和可追溯性，但该方法难以抵抗中间人攻击。Ma等15使用软件定义网络控制器作为可信第三方，提出的预切换方法减少了切换时延，但该方法中车地切换认证与密钥协商存在切换复杂性高、开销大等问题。Mo等16 提出一种基于双线性配对的切换认证协议,提高了切换认证的安全性，但该方法中双线性配对的计算开销和通信开销较高，无法降低切换时延。Lei 等17 提出一种基于身份的切换认证密钥协商协议，增强了切换协议的安全性，但该方法中需要传输签名信息，通信开销增大。综上所述，在GSM-R和LTE-R异构网络演进场景下，现有的切换认证密钥协商协议中存在用户身份明文传输、根密钥未动态更新、用户无追溯性等安全漏洞，以及在切换认证过程中高速列车切换到目标网络时存在计算、通信开销大等问题。针对上述问题，本文提出一种基于量子密钥的高速铁路异构网络切换安全认证协商方法：采用哈希操作生成伪身份PID和切换通行码PASS,实现了用户身份匿名性和可追溯性等安全特性，克服了EPS-AKA中用户身份IMSI明文传输等缺点；提出异构网络间预认证策略，降低了切换认证时延，提高了异构网络切换的实时性；采用量子密钥分发与哈希操作，完成了会话协商密钥的动态更新，实现密钥前后向安全性等；采用串空间形式化方法及朔黄铁路数据对所提方法进行了安全性验证，分析结果表明，所提方法在安全性等方面均优于比较方法，并且在计算和通信花销方面也有较高的优势,能够满足下一代高速铁路LTE-R异构网络切换认证安全80代铁路移动通信系统建设主要分为以下3个阶段2。阶段1：在同一线路中双网覆盖，部分线路首先使用LTE-R网络，在切换时等连接到LTE-R网络之后再断开GSM-R网络。阶段2:同一线路中双网络交替覆盖，既有GSM-R网络升级为LTE-R网络，GSM-R与LTE-R共存形成异构网络融合的形式，两种网络的核心网互联互通。阶段3:原有CSM-R网络退出服务,LTE-R网络逐步完成部署，覆盖全线路。在演进过程中,GSM-R和LTE-R共同组成的高速铁路无线通信异构网络的网络架构见图118。图1中,UE为高速列车;BS为基站；BSC为基站控制器；eNodeB为演进型基站；SGSN/MME为移动授权实体；HLR/HSS为用户归属服务器HLR/HSSS6dS6aGSM-R网络LTE-R网络SGSNS3BSCS1BSBSUE图1高速铁路无线通信异构网络架构为保证高速列车能够在异构网络连续切换时信息的及时、准确、可靠传输19,UE从源MME/SCSN移动到目标SGSN/MME时，除需要和目标SGSN/MME进行相互认证和密钥协商外，还需要具有较少的网络延时，这是高效无缝切换认证所必须的基本安全需求10。1.2传统EPS-AKA认证协议高速铁路无线通信系统采用EPS-AKA作为车地之间的认证通信协议。参与该协议的主要实体有高速列车UE、移动授权实体SGSN/MME和用户归属服务器HLR/HSS,协议中的其他符号及含义见表1。EPS-AKA协议具体执行步骤如下。Step1UE向MME发送认证接人请求消息，M1：(IMSI,IDHss/。Step2MME根据IDss进行查询，向HSS请求认证向量,M2：1M 1,SNI D Step3HSS验证SNID，若SNID不合法，则终止认证；否则,HSS检索IMSI并获取根密钥K,使用根密铁道学报钥K生成认证向量组AV,发送认证响应消息给MME，M3:1AV(i)li=1,.,n)。Step4MME将认证向量组存人数据库，按照最小序号原则选取AV（i），将用户认证鉴权请求发送到UE,M4:/RAND(i),AUTN(i),KSIAsME(i)。Step5UE接收消息之后，验证XMAC?=MAC,完成对HSS和MME的安全认证,UE计算消息响应RES=(RAND II K)和 KAsME=KDF(SNID II K II CK IIK),发送用户鉴权响应给MME，M 5：R ES，其中，IK为加密密钥，CK为完整性密钥。Step6MME验证RES?=XRES,完成对UE的安全认证。表1协议符号及含义符号含义IDHss用户归属服务器身份IDUE高速列车身份PID高速列车伪身份IMSI永久移动用户识别码SNID网络服务号MMET,KS1KASMEX2-S6d线路eNodeBX2线路eNodeBS1线路S3线路通信链路S6a线路UE第45卷长度/bit一一3212848时刻的时间戳32UE和HSS共享的长期根密钥128UE和HSS的共享密钥256KSIASMEKASME的密钥标识符Ki-ji-j之间使用QKD分发的预共享密钥TKMME与SGSN协商的临时通话密钥SKUE与目标MME/SCSN协商的会话密钥MAC/XMAC消息认证码RES/XRES响应消息AUTN身份验证令牌RAND随机数u/U/m/s/M/S随机数h()哈希函数KDF密钥导出函数异或11连接Ek/ml使用密钥K对消息加密Cs/M-M/s/Ss/M-M/s/完整性校验数CM/S-S/N/SM/s-S/MPASS;2本文方法本文提出一种基于量子密钥的高速铁路异构网络安全切换认证方法。量子密钥分发（QuantumKeyDis-tribution，Q K D)是一种利用量子力学特性来保证通信安全性的方法2 0 1，由于其基于海森堡测不准原理和量子不可克隆定理2 1，在量子信息传输中量子态不能被精确复制和放大，因而能够实现通信双方间的安全共享随机密钥。基于该原理，本文首先通过使用QKD实现高速铁路通信异构网络间不同移动授权实体的预认证和临时通话密钥的协商；其次加人伪身份PID和切3128128128160160128128128160一一设备i的切换通行码128第11期换通行码PASS,实现用户身份匿名性和可追溯性等安全特性，来提高高速铁路无线通信异构网络之间的高效通信需求和通信安全。根据高速铁路GSM-R和LTE-R异构网络切换实际场景，本方法设计时分为注册、异构网络间切换准备、异构网络间垂直切换认证等3个阶段。2.1注册阶段在注册阶段，UE和MME/SGSN需要在HSS处完成身份信息的注册以获得相关的算法、参数等重要信息，从而保证其能够正常工作。量子密钥制备与分发过程见图2，具体步骤如下：接收方：SGSN/发送方：HSS/MME/UEMME/SGSN/UE乙基区10)门一比特序列11010101001i量子序列一1一区王区王区1001111一VV10图2 量子密钥制备与分发过程Step1量子密钥制备。量子密钥分发使用4个光子的偏振态0）、丨1）、+）、-）进行信息传输，其中【0）、I1)为Z测量基，+、-为X测量基。Step1.1发送方HSS/MME/SGSN/UE根据特定编码规则对经典比特信息进行编码，比特0 对应量子态0 或1，比特1对应量子态+)或【-）,形成一个量子态序列，通过量子信道将其发送到接收方SGSN/MME/UE。Step1.2接收方接收到消息后，随机选择一组正交测量基对接收到的量子态序列进行测量并保存结果。Step1.3接收方通过经典信道告知发送方所选用的每个比特的测量基。Step1.4发送方对接收的消息与初始发送的量子态序列采用的基逐一对比，之后通过经典信道告知接收方选用的正确测量基，保留正确结果，舍弃错误结果，得到初始密钥。Step1.5发送方与接收方从初始密钥中随机选取部分比特进行公开比较，若比较错误率大于阈值，则认为存在窃听，重新开始通信；否则进行下一步。Step1.6发送方与接收方舍弃用于检测窃听的部分公开比特，对保留下来的比特进行“后处理”，完陈永等：基于量子密钥的高速铁路异构网络安全切换X基区王蒸序烈001选择结果一1。1共享密钥K81成量子密钥制备。Step2量子密钥分发。在完成量子密钥制备之后，为保障在异构网络中车地切换认证的安全，在参与车地认证的通信双方使用量子密钥分发生成预共享密钥之前，需要对UE和MME/SGSN完成注册，并开始生成预共享密钥，然后进行量子密钥分发。Step2.1UE向HSS提出注册申请，通过安全信道发送注册请求信息IDuE，I M SI。Step2.2MME/SGSN向HSS通过安全信道发送注册请求消息（IDMME/SCSN/。Step2.3HSS接收到UE的注册请求后，将IDuE与IMSI建立一一对应列表，QKD生成MME/SGSN与UE的预共享密钥KMV/S-U,将 IDMME/SCSN发送到UE。Step2.4HSS收到MME/SGSN的注册请求消息之后，QKD分别生成HSS与源MME/SGSN、目标SGSN/MME的预共享密钥KH-M/s/KH-S/M，将IDuE发送到MME/SGSN。Step2.5UE和MME/SCSN收到HSS消息之后，将共享密钥KM/s-u与IDMME/SGSN、ID u e 建立对应列表。Step2.6UE、M M E、SG SN根据预共享密钥K,制备量子序列，其中预共享密钥KM/s-U、K H-M/s、K H-s/M 为00.01、10、11的二进制组合,并根据预共享密钥的状态选择相应的编码量子信息的基。当预共享密钥K,=00时，制备的量子比特Q为0）态；当K,=01时，Q;为11）态；当K,=10时,Q,为|+）态；当K,=11时,Q;为1-态。当K，的值为0 0 或0 1时,接收方使用Z基测量接受的Q:；当K，的值为10 或11时，接收方使用X基测量接受的Q。测量基的选择见表2。表2 测量基的选择K,测量基 B,;=(Bz,Bxl00Bz=(1 0),1 1),0110112.2异构网络间切换准备阶段完成量子密钥分发后，在UE进人异构网络时，需要从源MME/SGSN频繁切换到目标SGSN/MME，为保证认证切换过程中信息的安全传输，需要不同异构网络中的MME/SGSN之间协商临时通信密钥，具体步骤如下：Step1 HSSMME/SGSN:11A),IB)1。在UE进行切换之前，源MME/SGSN在HSS协调下完成与目标SGSN/MME之间的通信密钥协商，从而实现MME/SGSN之间的预认证。Step1.1HSS分别为源MME/SGSN和目标测量结果10)11)1+)Bx=(1+),1)/1-)82SGSN/MME生成随机数和y，并根据随机数分别计算X=h(x,Ki-M/s)(ID M/s l l ID s/M),Y=h(y,K H-s/M)(ID s/M Il ID M/s)。Step1.2HSS基于共享密钥K,制备量子序列IA）=（X)和IB）=（Y）,并利用K,对量子序列IA）、I B）进行极化，在极化时要保证其位数相同，以便于进行身份验证和完整性校验。极化后的量子序列A）中，假设预共享密钥K，的长度为4m比特,随机数x长度为m比特，X部分的数据h（x,K u-M/s）、IDM/s、I D s/m 的长度均为m比特。量子序列IA）和基的结构见图3。同理,量子序列1B）和基的结构见图4。基4m比特m比特h(x,Kivs)值Xm比特图3量子序列1A）和基的结构基Km比特hoy,Ki.st)值+m比特m比特m比特图4量子序列IB）和基的结构通过上述操作，HSS使用量子通信信道分别将极化的IA）、丨B）发送到源MME/SGSN和目标SGSN/MME。Step2源MME/SGSN和目标SGSN/MME收到量子序列后将进行如下操作。Step2.1源MME/SGSN接收到量子序列之后，通过预共享密钥KH-M/s的状态得到x和X，根据获得信息计算（IDM/sIl IDs/m）X=h（x,K H-M/s），进行身份信息的检验：h（x ,K n-M/s）？=h(x,K-M/s）。若相等，则继续通信，否则放弃此次通信。Step2.2、目标SGSN/MME接收到量子序列后，通过预共享密钥K-s/m的状态得到y和Y，根据获得信息计算（IDs/MIIDM/s）Y=h(y,K-s/M），进行身份信息的检验：h(y,Ku-s/M）？=h(y,K H-s/M）。若相等，则继续通信，否则放弃此次通信。Step3源MME/SGSN和目标SGSN/MME完成铁道学报身份信息检验后将进行如下操作。Step3.1MME/SGSN SGSN/MME:I CM/s-s/M,SMv/s/l。源 MME/SCSN 生成一个随机数 TMv/s，,计算CM/s-s/M=h(Tmvs)h(ID M v s),Sw/s-s/M =h(Cn v/s-s/M,IDs/），通过经典通信信道发送（CN/s-s/M,SV/s/Ml到目标SGSN/MME。Step3.2SGSN/MME-MME/SGSN:(Cs/M-M/s,Ss/M-M/s+。目标SGSN/MME生成随机数Ts/M，计算Cs/N-M/s=h(Ts/M)h(IDs/N),Ss/M-MVs=h(Cs/M-M/s,IDM/s），通过经典通信信道发送（Cs/M-M/s,Ss/M-M/sl到源MME/SGSN。KStep4源MME/SGSN和目标SGSN/MME对收到的信息进行完整性校验，并协商通信密钥。Step4.1源MME/SGSN收到消息之后，计算S=h(Cs/M-M/s,IDMvs)，进行完整性校验：S/M-M/SSsM-s?=SM-MS。若不相等，则放弃此次通信；否IDMsIIDsM则，完成对目标SGSN/MME的真实性、完整性认证。+m比特m比特第45卷MME/SGSN计算 h(Ts/M)=Cs/M-M/sh(ID s/M）,与目标SGSN/MME的通信密钥TK=h(rM/s）h(r s/M）。Step4.2目标SGSN/MME收到消息之后，计算4m比特Sm/s-s/Nm=h(Cvs-m,IDm)，进行完整性校验：SNs-Wm?=Sws-M。若不相等，则放弃此次通信；否则,完成对源MME/SGSN的真实性、完整性认证。SG-SN/MME 计算 h(rM/s)=CM/s-S/M h(ID a v/s),与源MME/SGSN的通信密钥TK=h(rs/M）h(r M/s）。2.3异构网络间垂直切换认证阶段垂直切换是指在不同异构无线接人网络之间的切换。在完成上一阶段切换准备后，目标MME/SGSN需要与UE协商新的会话密钥SK，即使用新密钥进行切换过程中信息的安全传输，然后进人异构网络间垂直切换阶段。垂直切换认证步骤如下：Step1UE-MME/SGSN,MES,:(PID,PASSt,TU。当UE处于基站信号覆盖边缘时，由于网络信号较差，UE会在当前网络中发起切换接人其他网络的请求。Step1.1UE生成随机数u,计算U=g。Step1.2UE输人身份IDue，根据2.1节Step2.5中的列表查找目标网络IDscSN/ME及预共享密钥Ks/MU,计算伪身份PID=IDuEh(U Il Ks/M-u）。Step1.3生成时间戳T，计算切换通行码：PASS,=h(IDue II IDMME/SCS II T,II Ks/M-u)。Step1.4UE发送消息MES,给MME/SGSN。Step2MME/SGSNSGSN/MME,MES,:1ETKPID,PASSI,TI,U。M M E/SG SN收到UE的消息之后，使用MME/SCSN与SCSN/MME之间的临时密钥第11期TK加密消息，并将消息MES，发送到目标SGSN/MME。Step3 SGSN/MME-UE,MESs:1AV,MAC,T,S/M）。SG SN/M M E收到消息之后：Step3.1SGSN/MME使用TK解密消息得到(PID,PASSI,Ti,U)。Step3.2生成时间戳T,判断T，-T,T,若超过最大时限，则不通过切换请求；否则，根据2.1节Step2.5中的列表查找列车身份IDue及预共享密钥Ks/MU,计算UE的身份IDuE=PIDh(U Il K s/M-u），判断IDue？=ID u E，若不相等，则UE身份验证不通过，拒绝切换请求。Step3.3根据接收信息计算切换通行码PASS，=h(IDue II IDMME/SGSN II T,II Ks/M-u),判断 PASS,?=PASS,若相等，则满足切换请求，允许UE进行切换；否则，拒绝切换请求。Step3.4SGSN/MME生成随机数s/m,计算S/M=g，SCSN/M M E计算与UE的协商会话密钥SK=h(U)mII(U)s/M-U)。Step3.5生成时间戳T，,计算消息认证码MAC=h(Ks/M-uIRANDT,）。SG SN/M M E在数据库中根据最小序号原则选择认证向量AV,将消息MES，发送给UE，若认证向量AV已用完，则SGSN/MME向HSS发送请求认证向量消息，由HSS生成认证向量后发送给 SGSN/MME。Step4 UESGSN/MME,MES4:(RES。U E 收到消息之后：Step4.1生成时间戳T4,计算T4-T，T,若超过最大时限，则拒绝切换响应；否则，计算XMAC=h(Ks/M-uRANDT,），验证消息认证码XMAC?=MAC，若不相等，则验证失败，结束会话。Step4.2UE计算与SGSN/MME的协商会话密钥SK=h(（S/M)（g*s M-0)），接受SCSN/MME发送的认证向量AV并进行存储，后续与SGSN/MME使用协商会话密钥SK进行通信。Step4.3计算消息响应RES=h(SKRAND），并将消息MES4发送给SGSN/MME。Step5SGSN/MME收到消息之后，计算RES=h(SKIRAND）,判断XRES?=RES,若不相等,则SG-SN/MME对UE的验证失败，结束对话；否则，允许UE接人并继续保持通话。通过上述3个阶段的流程，在认证和密钥协商流程完毕后，列车UE已经接入到新网络，并使用与目标网络中的移动授权实体SGSN/MME协商出的会话密钥SK进行后续通信，从而完成异构网络间的切换认证工作。陈永等：基于量子密钥的高速铁路异构网络安全切换3.1安全性理论分析1）前/后向安全性在本文方法中，攻击者无法获得会话密钥SK，因为SK的生成与QKD生成的预共享密钥K,有关,而K,依赖于量子测不准原理和不可克隆定理2 1，一旦攻击者对该密钥进行检测，该密钥就会发生塌，攻击者无法获得K,;此外，SK还与随机数u、s、m 有关，而这些参数在每轮的通信会话结束之后都会进行动态更新。所以，本文方法具有密钥前/后向安全性。2）抵抗重放攻击本文方法中，UE发送给MME、SG SN的消息中包含时间戳T,MME、SG SN根据T来判断消息的新鲜性；在异构网络切换过程中，若所发消息已不具有时效性，则MME、SG SN所接收到的切换通行码也将失去时效性UE接收的消息认证码也会因为时间戳不再新鲜，而无法完成对SGSN/MME的认证。因此在本文方法中，通信参与者都可判断是否遭受重放攻击，故可以抵抗重放攻击。3）抵抗字典攻击本文方法中，攻击者在不知道正确编码方式和测量基的情况下，无法获得正确的预共享密钥K，；其次，攻击者想破获临时通话密钥，则需要知道随机数Ts/M和TM/s，而这两个随机数是由源MME/SGSN和目标SGSN/MME随机生成。因此，本文方法可以抵抗字典攻击。4)抵抗中间人攻击本文方法采用身份认证方式，UE与SCSN/MME双方通过计算IDuE、M A C 来完成对彼此的认证，而IDuE、M A C都依赖于量子密钥，根据量子测不准原理和不可克隆定理可知，攻击者无法获得该密钥，故不能发起中间人攻击。5)相互认证为确保通信方之间传输信息的安全性，需要在通信之前完成UE与SGSN/MME的相互认证。MME/SGSN在接收到UE的消息之后，首先通过计算IDuE=PID h(U K s/M-u),判断 IDu?=IDuE,完成对 UE身份的初步认证；其次SGSN/MME根据应答响应机制完成对UE身份的验证。而UE在接收到SGSN/MME833安全性分析为验证本文提出的基于量子密钥的高速铁路异构网络安全切换认证方法的正确性，首先进行安全性分析。分别从安全性理论和基于串空间第三方形式化工具证明2 个角度进行分析。84的消息之后，通过计算MAC=h（K s/M-u IIR A ND IIT,），判断XMAC?=MAC，从而完成对SGSN/MME身份的验证。通过上述UE与SCSN/MME的互认证分析，表明本文方法能够实现互认证安全。6用户匿名性本文方法中，UE向SGSN/MME通过发送伪身份PID发起请求,PID是由用户IDue和预共享的量子密钥异或生成，由于量子密钥具有不可克隆性，攻击者无法计算出用户的真实IDuE，所以本方法满足用户匿名性。7)可追溯性当发生恶意用户伪装成合法用户UE并使用伪身份向SGSN/MME发起切换请求从而窃取信息时，目标SGSN/MME会执行以下操作完成对UE身份信息的追溯：根据UE发送的切换请求消息PID，计算IDU=PIDh(U K s/M-u）通过判断IDue?=IDuE，完成对UE真实身份的验证，若是不合法的UE，SG SN/M M E则将广播恶意用户的真实身份IDuE，因此，本文方法具有可追溯性。8抵抗伪装用户攻击本文方法中，UE向SGSN/MME通过发送伪身份PID进行异构切换申请,PID是基于随机数U和预共享密钥Ks/M-u共同计算得出，攻击者需要获取U和Ks/M-u,而攻击者无法同时破解离散对数困难问题和量子不可克隆定理2 1，因此，攻击者无法伪装成合法用户发送PID进行切换申请，故本文方法能够抵抗伪装用户攻击。3.2基于串空间的安全性证明串空间模型是一种安全协议形式化证明方法，能够有效分析协议的正确性，被广泛应用于各种协议安全分析2 2-2 3。由于本文所提方法由源移动授权实体与目标移动授权实体之间的预认证，以及高速列车进人异构网络之后的切换认证共同组成，在切换认证时源移动授权实体只进行信息的转发，因此本文只对预认证过程和高速列车与目标移动授权实体之间进行身份认证。对于本文提出的方案采用串空间验证如下。Step1初始化定义。名称集合为Tame，其中包含UE、M M E/SG SN,SG SN/M M E。Step2串空间模型定义。假设串空间为Z,SueSME/SGSN丶SSCSN/ME、PEZ。其中,P为攻击者的串。Step2.1UE的串：其轨迹为tr（Su e）=;IDuEIDMME/SCsN E Tame,U、T,R A ND、T,S/M e T,KsM-u=Ks/W-u K,U、S/M 虽可形式化为其他项的加密项，但是由于其值分别作为秘密值,故铁道学报形式化为原子项。Sue为上述轨迹的串集合，即UE的串为 SueU,T,RAND,T,S/M。Step2.21MME/SGSN的串：其轨迹为tr(SMME/sSGsN)=;ID Mvs、ID s/M、ID u e、ID M E/s c s N e T a u me,CM/s-s/M、SM/s-s/M CM/s-S/M/SM/s-/M、Cs/M-M/s、Ss/M-M/s 虽可形式化为其他项的加密项，但是由于其值分别作为秘密值，故形式化为原子项。由此MME/SCSN的串为SMME/SCSNEStep2.3SSGSN/MME的串：其轨迹为tr(SsGsN/MME)=;ID M/sID s/M/IDuEID MME/SGSN E Tmme,CM/s-S/MVSNv/s/M、Cs/M/s、Ss/M/s、T,、U、R A ND、T,、S/M =T,虽可形式化为其他项的加密项，但是由于其值分别作为秘密值，故形式化为原子项。由此SGSN/MME的串为 SscsN/Mme e Cmvs-/M,SM/s-s/m,s/M-M/s,ss/M-M/s,T,U,RAND,T3,S/MJ。Step2.4攻击者的串:pEP,p为攻击者；Kp为攻击者密钥集合。Step3MME/SGSN对SGSN/MME身份认证的形式化证明。Step3.1构造测试分量：设C为一个簇，且 C-hight(SMME/SCsN）=4,T M/s 唯一产生于节点,边=*是 TM/s 在 Cv/s-s/M中的出测试。Step3.2由出测试原理2 3可知：存在正常节点m、m=C,使得CM/s-s/M是m的分量,且m=m是TM/s的变换边。Step3.3由变换边定义2 3可知：节点m为负节点，假设m为某SGSN/MME串SsCSN/MME中的结点，串U,RAND,T,S/M,故 m=,termStep3.4比较串的内容：通过比较ME,1和SGSN/MME串中分量可得CV/S-/M=CMV/-/M,SN/s-M=SW/s-M。由此可得，ME/SCSN实现了对SGSN/MME的身份认证，由参数rM/s生成的通话密钥TK能够确保其新鲜性和安全性。Step4SGSN/MME对MME/SGSN身份认证的形式化证明。Step4.1构造测试分量：设C为一个簇，且C-hight(SscSN/MME)=5,Ts/M唯一产生于节点,边=*MME,1是 Ts/M在 Cs/M-M/s中的出测试。Step4.2由出测试原理可知：存在正常节点m、mEC,使得 Cs/MM/s是m的分量,且m=m*是Ts/M的变换边。Step4.3由变换边定义可知：节点m为负节点，假设m为某MME/SGSN串SMME/SCsN中的结点，串U,故 m=,term=Cs/MM/s,Ss/M-M/s Step4.4比较串的内容:通过比较和MME