5G-V2X中基于轨迹预测的安全高效群组切换认证协议.pdf

2023 年 8 月 Journal on Communications August 2023 第 44 卷第 8 期 通 信 学 报 Vol.44 No.85G-V2X 中基于轨迹预测的安全高效群组切换认证协议 张应辉1,2，钱佳乐1,2，曹进3，郑东1,2（1.西安邮电大学网络空间安全学院，陕西 西安 710121；2.西安邮电大学无线网络安全技术国家工程研究中心，陕西 西安 710121；3.西安电子科技大学网络与信息安全学院，陕西 西安 710071）摘 要：针对 5G-V2X 场景中大量车辆执行切换认证的效率问题，提出了一种基于轨迹预测的安全高效群组切换认证协议。首先，通过预测车辆轨迹，提前完成密钥协商协议。其次，通过用户分组算法将具有移动相关性的车辆视为同一群组，再采用无证书聚合签名技术批量验证群组内所有车辆。再次，针对聚合签名技术易遭受拒绝服务攻击的弊端，采用二分查找法快速定位恶意用户，提高群组切换认证协议的效率。最后，利用形式化验证工具Scyther 对所提协议进行了安全性分析，与现有最优协议相比，所提协议的计算效率提高了 30%。关键词：5G-V2X；群组切换认证；用户分组；无证书聚合签名；Scyther 中图分类号：TN918 文献标志码：A DOI:10.11959/j.issn.1000436x.2023136 Secure and efficient group handover authentication protocol based on trajectory prediction in 5G-V2X ZHANG Yinghui1,2,QIAN Jiale1,2,CAO Jin3,ZHENG Dong 1,2 1.School of Cyberspace Security,Xian University of Posts and Telecommunications,Xian 710121,China 2.National Engineering Research Center for Secured Wireless,Xian University of Posts and Telecommunications,Xian 710121,China 3.School of Cyber Engineering,Xidian University,Xian 710071,China Abstract:Aiming at the efficiency issue of handover authentication for a large number of vehicles in the 5G-V2X scena-rio,a secure and efficient group handover authentication protocol based on trajectory prediction was proposed.Firstly,the effect of completing key agreement protocol in advance was achieved by predicting vehicle trajectories.Secondly,ve-hicles with mobility relevance were treated as the same group through user grouping algorithms,and then all vehicles within the group were batch verified using certificateless aggregation signature technology.In addition,to address the vulnerability of aggregated signature technology to DoS attacks,a binary search method was used to quickly locate mali-cious users and improve the efficiency of group handover authentication protocol.Finally,the security analysis of the protocol was conducted using the formal verification tool Scyther,and compared with the existing optimal protocol,the computational efficiency is improved by 30%.Keywords:5G-V2X,group handover authentication,user grouping,certificateless aggregation signature,Scyther 收稿日期：20230509；修回日期：20230716 基金项目：国家自然科学基金资助项目（No.62072369,No.62072371）；陕西高校青年创新团队基金资助项目；陕西省特支计划青年拔尖人才支持计划基金资助项目；陕西省重点研发计划基金资助项目（No.2021ZDLGY06-02,No.2020ZDLGY08-04）；陕西省技术创新引导计划基金资助项目（No.2023-YD-CGZH-31）Foundation Items:The National Natural Science Foundation of China(No.62072369,No.62072371),The Youth Innovation Teamof Shaanxi Universities Foundation,The Shaanxi Special Support Program Youth Top-notch Talent Program,The Key Research andDevelopment Program of Shaanxi(No.2021ZDLGY06-02,No.2020ZDLGY08-04),The Technology Innovation Leading Program ofShaanxi(No.2023-YD-CGZH-31)第 8 期 张应辉等：5G-V2X 中基于轨迹预测的安全高效群组切换认证协议 145 0 引言 近年来，随着智能汽车领域的发展，人们对汽车的需求量日益增长，车用无线通信技术 V2X（vehicle-to-everything）受到工业界和学术界的广泛关注1。V2X 泛指车辆使用邻近服务实现和其他任意网络、任意个体间的通信，包含车辆到车辆（V2V,vehicle-to-vehicle）、车辆到行人（V2P,vehicle-to-pedestrian）、车辆到路边基础设施（V2I,ve-hicle-to-infrastructure）等多种通信形式2，可为许多新的应用场景提供支持，如车辆自动驾驶、公路安全系统、交通信息管理等3-8。V2X 融合了车辆和基站之间的蜂窝通信以及车辆之间的直接通信，2 种模式相互补充，实现基站和车辆之间的负载均衡9。为充分利用蜂窝移动通信网络的技术优势，基于蜂窝网络的车用无线通信技术（C-V2X,celluar vehicle-to-everything）应运而生。C-V2X 是由 3GPP定义的 V2X 技术，包含基于长期演进（LTE,long term evolution）以及 5G 的 V2X 系统，是专用短程通信（DSRC,dedicated short range communication）技术的有力补充10。随着 5G 大规模车辆连接和车辆数量的快速增长，当大量车辆在短时间内从源基站（s-gNB,source-generation nodeB）移动到目标基站（t-gNB,target-generation nodeB）范围内时，所有车辆会同时向 t-gNB 发起切换认证请求，这可能会造成严重的信号超载和网络拥堵。所以，将大量车辆分成不同群组进行监控管理已被视为一种道路交通管理策略11。例如，文献12提出了一种资源分配策略，以支持多车道队列系统中更大的队列规模。但是，目前的协议标准关于群组切换认证协议执行效率的讨论尚有不足之处。一方面，5G 的部署会引起互联网主干流量增加，端到端时延中传播时延所占比例增大13。另一方面，5G 基站分为宏基站和小基站，其中，宏基站体型大、覆盖面积广，主要用于室外覆盖；小基站发射功率较小，根据覆盖范围大小可分为微基站、皮基站和飞基站。因此，5G网络环境下不同大小的基站覆盖范围相互交错，可能会导致更加频繁的切换认证。此外，目前的标准在保护用户隐私方面也有不足。文献14-16研究表明，在切换认证过程中仍存在着许多安全问题，包括缺乏相互认证、密钥确认、完美前/后向安全（PFS/PBS,perfect forward/backward secrecy）、易遭受拒绝服务（DoS,denial of service）攻击等。虽然目前关于无线网络中大量车辆的切换认证协议的研究工作非常多，但是，在无线网络中的车辆接入认证的过程中，车辆的真实身份会以明文的形式发送到无线网络，这可能导致车辆的身份被伪造基站或被动攻击者获取，造成车辆隐私泄露和后续的切换认证过程失败，对车辆行驶安全造成威胁。在 5G 网络的车辆接入认证协议过程中，车辆的真实身份会以密文的形式发送到 5G 核心网络，不仅保证了车辆隐私安全和后续的切换认证过程安全，而且由于 5G 的低时延、高速率、高带宽等特点，也提高了 5G-V2X 场景下大量车辆执行切换认证协议的效率，保障车辆行驶安全。但是，到目前为止，关于 5G-V2X 场景下车辆群组切换认证协议的研究很少。此外，现有的研究工作在安全性和效率方面也存在缺陷。文献12提出了一种针对 5G网络中车辆队列的认证和再认证协议，由于它只使用了简单的密码操作，计算开销不高。但是，因为消息的长度与群组内车辆数目的平方成正比，该协议具有较高的通信成本。此外，该协议并不能保护车辆的隐私。文献17提出了一种 5G-V2X 网络的群组认证切换协议，该协议采用聚合消息验证码（AMAC,aggregated message authentication code）技术降低了信令开销。但是，该协议在切换认证过程中需要进行多次点乘运算，非常耗时。此外，该协议不能保护车辆的隐私，因为车辆的真实身份通过不安全的信道以明文的形式传输给车辆群组的组长，其中，在不同车辆群组内负责接收来自基站的消息，以及接收群组内其他车辆的消息再转发给基站的车辆，称为该车辆群组的组长，表示为 V1；群组内其他车辆称为组员，表示为 Vi(i=2,3,n)。此外，该协议易受到 DoS 攻击，因为只有当所有组员都合法时，AMAC 才能被成功验证，攻击者可以向组长发送错误的消息验证码，使整个群组验证失败。这个问题发生在所有采用聚合技术的协议中，当然，对于本文所采用的聚合技术也存在此问题，但本文提出了应对策略。对于文献18，主移动中继节点（MRN,mobile relay node）首先执行切换认证程序，然后一般的 MRN 才开始执行切换认证程序，这将导致切换时间延长。文献19中提出了2种用于5G高速铁路网络的群组切换认证协议。第一种协议是轻量级的群组切换认证协议，它可以满足大部分安全属性，并且只146 通 信 学 报 第 44 卷 消耗少量的信令和计算开销。第二种协议是安全性增强的群组切换认证协议，它可以实现相互认证、密钥协商、PFS/PBS、匿名性、不可链接性以及抵抗多种协议攻击。但是，这 2 种协议都只适用于固定轨迹移动。此外，由于分别采用了聚合消息验证码和聚合签名技术，且没有提出解决聚合技术易遭受攻击者破坏聚合验证的方法，这 2 种协议都易遭受 DoS 攻击。文献20提出了一种无证书、安全高效的车辆群组切换认证协议，同文献18的问题一样，该协议在大量车辆同时到达目标基站范围内时，到达的第一辆车先进行切换认证，其余车辆在第一辆车的协助下执行切换认证协议，这也将导致切换时间延长。针对 5G-V2X 场景下，大量车辆在密集部署的5G 小基站网络范围内频繁进行切换认证时所面临的效率和隐私问题，本文主要做出了以下贡献。1)提出了 5G-V2X 场景下的基于轨迹预测的安全高效的群组切换认证协议，根据车辆群组的移动信息对车辆轨迹进行预测，提前完成密钥协商协议。2)源基站根据用户分组算法21先将范围内的大量车辆分为不同临时组。然后，结合车辆与源基站和周围基站的信干噪比（SINR,signal to interfe-rence plus noise ratio）等信息将临时组内具有移动相关性的不同车辆视为一个群组。最后，执行群组切换认证协议。3)在验证车辆群组时，采用无证书聚合签名技术22批量验证群组内所有车辆，减少了证书管理和认证开销。为了保证无证书聚合签名的有效性，对于车辆群组内出现的恶意用户，采用二分查找法快速定位恶意用户产生的无效签名，提高群组切换认证效率。4)在安全分析方面，先通过 Scyther 进行形式化安全分析，然后进一步采用非形式化安全分析。5)在效率方面，通过图表分析比对，与现有最优协议相比，本文协议的计算效率提高了 30%。1 系统模型与攻击模型 1.1 系统模型 如图 1 所示，5G 核心网络的系统架构包括多种功能，如接入和移动管理功能（AMF,access and mobility management function）、认证服务器功能（AUSF,authentication server function）、会话管理功能（SMF,session management function）、策略控制功能（PCF,policy control function）和统一数据管理（UDM,unified data management）功能、认证凭证存储和处理功能（ARPF,authentication credential repository and processing function）等。在 5G 核心网络中，每个网络功能（NF,network function）使用基于服务的接口进行交互（如 Npcf、Nsmf、Nudm、Naprf 等）。NF 通过这些应用程序接口（API,ap-plication programming interface）向其他 NF 提供一项或多项服务，其中，API 可用于交互应用层信息和配置参数，包括对车辆iV和 V2X 通信有用的应用层信息和配置参数。N2 接口是 AMF 和基站之间的通信接口，Uu 接口是终端和基站之间的蜂窝网通信接口，PC5 是终端与终端之间的直接通信接口。PCF 为车辆iV提供基于 PC5 接口和 Uu 接口的用于V2X 通信的授权和策略参数，也为 AMF 提供车辆iV的必要参数，用于配合和管理 V2X 通信23。在切换认证期间，由 AMF 负责车辆iV的切换认证和密钥管理。图 1 5G-V2X 场景下的系统模型 3GPP R16 标准下的 V2X 通信仅支持一对用户设备（UE,user equipment）之间进行直接通信的单播传输。3GPP R17 标准24正在进行一个新的研究项目，以讨论在 5G-V2X 中对广播和组播传输的支持。其中，广播是单个 UE 向无线电传输范围内的所有 UE 发送消息，所有 UE 可以对该消息进行解码；组播是单个 UE 向一组满足特定条件（如作为一个组的成员）的 UE 发送消息25。在切换认证期第 8 期 张应辉等：5G-V2X 中基于轨迹预测的安全高效群组切换认证协议 147 间，组长1V向组员iV组播消息，组员iV向组长1V单播消息。在切换认证期间，AMF 可以根据车辆群组的移动信息预测车辆轨迹，判断车辆群组将要进入的下一个目标基站位置，并选择执行不同的群组切换认证程序。若在同一 AMF 中切换，则执行 AMF 域内切换程序，在图 1 中表示为从 s-AMF 内的基站s-gNB1切换到 s-AMF 内的基站 s-gNB2；若在不同AMF 之间切换，则执行 AMF 域间切换程序，在图 1中表示为从 s-AMF 内的源基站 s-gNB1切换到t-AMF 内的目标基站 t-gNB。本文将讨论车辆群组在以上 2 种切换场景下的协议流程。其中，协议共涉及 3 个实体，即车辆iV、基站 gNB 和 AMF。1.2 攻击模型 本文中的网络攻击模型为 Dolev-Yao 模型，该模型通常用于呈现各种无线网络的安全漏洞，模型的攻击者可以监听、拦截、分析和操纵无线信道上传输的信息。本文假设 5G 核心网络和基站之间的连接是安全的，因为核心网络和基站通常采用光纤等固定线路连接。同时，假设车辆和基站之间的连接不安全，因为基站通常被放置在远离核心网络的地方，而且保护措施有限。此外，假设 5G 核心网络中包括 AMF 在内的所有网络功能都是可信的，无线接入网中的实体车辆和基站是不可信的。2 协议设计 本节将详细介绍在 5G-V2X 场景中，车辆群组在不同切换场景下进行群组切换认证的协议流程，本文协议 TPGHA 共包括 3 个阶段：1)初始认证；2)群组切换准备；3)群组切换认证。表 1 列出了本文协议中用到的部分符号含义。2.1 初始认证 在本阶段，所有车辆1,2,iV in、AUSF和ARPF都将执行3GPP TS33.501 R16标准26的5G身份认证与密钥协商（5G-AKA,5G authentica-tion and key agreement）协议。首先，SEAF 由5G-AKA 协议得到的密钥SEAFK派生出密钥s-AMFK，并发送给 s-AMF。然后，车辆iV和 s-AMF 由密钥s-AMF-iK得到NHi值和密钥1-s-gNBiK，密钥1-s-gNBiK有一个相对应的NHi链路计数器值NCCi，其中，NHi和NCCi都用于派生出新会话密钥gNB-iK。表 1 符号含义 符号 含义 SEAF-iK 系统主密钥 车辆iV访问 SEAF 的对称密钥 AMF-iK 车辆iV访问 AMF 的对称密钥 gNB-iK 车辆iV与基站 gNB 的会话密钥 SUPIi 车辆iV的永久身份标识符 SUCIi 车辆iV的SUPIi经加密后的身份标识符 TIDi 车辆iV的临时身份标识符 NHi 车辆iV的下一跳参数值 NCCi 车辆iV的NHi链路计数器 GID 车辆群组的标识符 gNBID 基站 gNB 的身份标识符 gNBPCI 基站 gNB 的物理单元标识符 gNBARFCN-DL 基站 gNB 的下行链路的绝对射频信道号 Sigm m的签名 Kx 用对称密钥K加密x MAC 消息验证码 t 时间戳 初始认证后，s-gNB1根据用户分组算法将同一时间点内处于s-gNB1范围内的车辆视为一个临时组。然后，系统执行无证书聚合签名技术的初始化，具体步骤如下。步骤 1 s-AMF首先选择q阶循环加法群1G，P为其生成元，和q阶循环乘法群2G，形成双线性映射112:e GGG。然后，s-AMF选取系统主密钥*qZ，生成系统公钥TPP，再选取哈希函数*14:0,1qHZ，*5:0,1qHZ。接着，s-AMF为 车 辆iV生 成 用 于 聚 合 签 名 的 部 分 私 钥,0,1(,)iiDD,0,1(,)iiQQ，其中，,01(SUCI,0)iiQH，,1iQ1(SUCI,1)iH。再为s-AMF域内的所有基站gNB生成部分私钥gNB,0gNB,1(,)DD gNB,0gNB,1(,)QQ，其 中，gNB,01gNB(ID,0)QH，gNB,11gNB(ID,1)QH。然后，s-AMF通过安全信道发送,0,1(,)iiDD给车辆iV，并发送gNB,0gNB,1(,)DD给基站gNB。最 后，s-AMF公 布 系 统 参 数 列 表1215params,TG G e P P H。步骤 2 车辆iV选择随机数*iqxZ作为自己的私钥，计算并公布公钥iiPx P。148 通 信 学 报 第 44 卷 步骤 3 gNB选择随机数*gNBqxZ作为自己的私钥，计算并公布公钥gNBgNBPxP。2.2 群组切换准备 本阶段发生在下一次群组切换认证之前，流程如图2所示，各步骤详细描述如下。图 2 群组切换准备 步骤 1 s-gNB1通过用户分组算法结合源基站和周围基站的SINR、车辆的移动方向和车辆与当前基站以及周围基站的距离，判断车辆临时组内两两车辆之间是否具有移动相关性，将具有移动相关性的不同车辆视为一个群组。然后，s-gNB1发送同一群组内车辆的TIDi和群组切换准备请求到s-AMF，其中，TIDi在初始认证或群组切换认证结束后根据式(1)计算得出。s-AMF-TID(SUCI|NH|)iiiiHK(1)步骤 2 s-AMF接收到来自s-gNB1的TIDi和群组切换准备请求消息后，根据式(2)式(5)计算出1GID、GID、1MAC和MACi，然后通过安全信道发送11TID,GID,GID,MAC,MAC,NCC,iiis-AMF-1iKt到s-gNB1，其中，1t为s-AMF新生成的时间戳，用于抵抗重放攻击。12GID(TID)niiHH(2)11GID(GID(TID)HH(3)111s-AMF-11MAC(GID|NCC|)HKt(4)s-AMF-1MAC(GID|NCC|)iiiHKt(5)步骤 3 s-gNB1接收到请求响应后，对群组内的不同车辆发送不同消息。对组长1V发送消息s-AMF-11111GID,MAC,NCC,Kt。1V接收到s-gNB1的消息后，首先，由初始认证阶段获得的密钥s-AMF-1K检验时间戳1t的新鲜性，然后根据式(4)检验1NCC和1GID的完整性和有效性。对组员iV（2,3,i n）发送消息s-AMF-1GID,MAC,NCC,iiiKt，然后和组长1V一样检验消息。对于刚执行过初始认证并被划分到群组内的车辆(1,2,)jVjn，首先，s-AMF为其生成部分私钥,0,1,0,1(,)(,)jjjjDDQQ，并通过安全信道发送给jV。然后，由s-gNB1发送消息s-AMF-1GID,MAC,NCC,jjjKt到车辆jV。车辆jV收到消息后，首先选择随机数*jqxZ作为自己的私钥，然后计算并公布公钥jjPx P，最后，和车辆(2,3,)iV in一样检验消息。2.3 群组切换认证 本阶段发生在满足切换触发阈值条件时，如车辆群组停留在s-gNB1范围内的时间不超过3 s。即车辆群组在即将离开当前基站进入目标基站范围内的短时间里，开始执行群组切换认证阶段。群组切换认证流程如图3所示，各步骤详细描述如下。图 3 群组切换认证流程 步骤 1 组长1V通过V2V接口组播身份验证请求信息112TID,GID,t到组员(2,3,)iV in。步骤 2 组员iV接收到身份验证请求信息后，先检查时间戳2t的新鲜性，然后根据式(3)验证组长1V的身份。如果身份验证通过，iV选择随机数*iqrZ，计算iiRrP。然后，根据式(6)式(10)计算签名所需信息iTVWh、和iS，得到签名Sig(,)iiiR S。最后，单播签名Sigi到组长1V。2(GID)TH(6)3(GID)VH(7)4(GID)WH(8)5(TID|GID|SUPI|)iiiihHP(9),0,1()iiiiiiiSDxVh DxWrT(10)步骤 3 组长1V接收到所有组员的签名Sigi第 8 期 张应辉等：5G-V2X 中基于轨迹预测的安全高效群组切换认证协议 149 后，先生成自己的签名1Sig。然后，生成聚合签名Sig(,)R S，其中，1niiRR，1niiSS。最后，发送切换请求信息1-1s-gNB3Sig,Info,Kt到s-gNB1，其中，Info为群组的移动信息，包括群组位置、移动方向、移动速度等信息。步骤 4 s-gNB1接收到切换请求信息后，先检查时间戳3t的新鲜性，根据式(6)式(10)和在初始认证阶段获得的SUPIi来计算车辆签名所需信息iTVWh、和,0,1(,)iiQQ。然后，根据式(11)验证聚合签名Sig。如果验证成功，通过安全信道发送移动信息Info到s-AMF。如果验证失败，则通过二分查找法快速查找恶意用户，流程如下。s-gNB1请求组长1V把聚合签名Sig分为2份，其中，每一份包含组内一半车辆的聚合签名。然后，1V将2份签名发送给s-gNB1；s-gNB1验证2份聚合签名，将其中未通过验证的聚合签名再发送给1V，请求1V将未验证通过的聚合签名再次分为2份。重复步骤和步骤，直到查找到组内恶意用户。最后，组长1V重新发送聚合签名到s-gNB1，s-gNB1再重新执行本步骤。,0,11111(,),(,)nnTiiiiinniiiiie S Pe PQhQe VP e WhP e T R (11)步骤 5 s-AMF根据接收到的移动信息Info选择执行域内切换程序或域间切换程序，如果是域间切换则执行步骤7。AMF域内切换程序根据移动信息Info选择域内的s-gNB2，然后，通过安全信道发送域内切换请 求 信息Info,NH,NCC,SUCI,iii s-AMF-GID,TID,iiK到s-gNB2。步骤 6 s-gNB2接收到域内切换请求信息后，由NHi计算*NH(NH)NHiiiH，根据式(12)计算与车辆iV的新会话密钥2-s-gNBiK，其中，KDF为密钥派生函数。然后，更新相应的NCCi值，选择随机数2*s-gNBqrZ，计算2s-gNBR2s-gNBrP，再根据式(6)式(8)和式(13)式(14)计算签名所需信息2s-gNBTVWh、和2s-gNBS，得到签名2s-gNBSig 22s-gNBs-gNB(,)RS。最后，计算2s-gNBsMAC(Sig|H 222s-gNBs-gNBs-gNB4ID|PCI|NCC|ARFCNDL|)it，并发送域内切换响应信息22s-gNBs-gNBID,PCI,22s-gNB4s-gNBSig,ARFCNDL,ts-AMF-1sMACK到s-AMF，接着执行步骤11。2-22*s-gNBs-AMF-s-gNBs-gNBKDF(|NH|Info|PCI|ARFCNDL)iiiKK(12)222s-gNB5s-gNBs-gNB(Info|GID|ID|)hHP(13)22,0222,122s-gNBs-gNBs-gNBs-gNBs-gNBs-gNBs-gNB()SDxVhDxWrT(14)步骤 7 s-AMF根据接收到的移动信息Info选择域外的t-AMF，执行域间切换程序，根据式(15)为t-AMF和车辆iV计算新密钥。然后，通过安全信道把系统参数、会话密钥和身份信息等安全上下文发送给t-AMF，并删除相关信息。t-AMF-s-AMF-KDF(|TID|)iiiiKKP(15)步骤 8 t-AMF接收到安全上下文信息后，根据移动信息Info选择域内的t-gNB。然后，t-AMF通过安全信道发送域间切换请求信息NH,NCC,ii t-AMF-t-AMF-1,GID,TID,SUCI,InfoiiiKK到t-gNB。步骤 9 t-gNB接收到来自t-AMF的域间切换请求信息后，计算*NH(NH)NHiiiH，根据式(12)和从t-AMF获得的t-AMF-iK、Info等信息计算出新会话密钥t-gNB-iK，更新相应的NCCi值。然后，t-gNB选 择 随 机 数*t-gNBqrZ，计 算 并 公 布t-gNBRt-gNBrP，再根据式(6)式(8)和式(13)式(14)计算签名所需要的信息t-gNBTVWh、和t-gNBS，得到签名t-gNBt-gNBt-gNBSig(,)RS。最后，计算消息验证码t-gNBt-gNBt-gNBMAC(ID|Sig|PCI|tH 5t-gNBNCC|ARFCNDL)it。t-gNB发送域间切换响 应 信 息t-gNBt-gNBt-gNBPCI,ARFCNDL,Sig,t-AMF-1t-gNB5ID,tMAC,Kt到t-AMF。步骤 10 t-AMF转发响应信息到s-AMF。步骤 11 s-AMF转发响应信息到s-gNB1。步骤 12 s-gNB1转发响应信息到组长1V。步骤 13 如果是AMF域内切换，组长1V先计算*111NH(NH)NHH，再根据式(12)计算出新会话密钥2-1s-gNBK。然后，由消息验证码sMAC检验4t的新鲜性和1NCC的正确性，并更新1NCC值，再根据式(6)式(8)和式(13)计算T、V、W、2s-gNBh和2,02,1s-gNBs-gNB(,)QQ。最后，根据式(16)验证s-gNB2的签名。150 通 信 学 报 第 44 卷 22,022,12222s-gNBs-gNBs-gNBs-gNBs-gNBs-gNBs-gNBs-gNB(,)(,)(,)(,)(,)Te SPe P QhQe V Pe W hPe T R(16)如果签名验证成功，组长1V通过V2V接口向组 员iV组 播 新 会 话 密 钥 生 成 信 息2s-gNBPCI,22s-gNBs-gNB6ARFCNDL,ID,Info,t。组员iV接收到组播信息后，先检验6t的新鲜性，再根据接收到的信息计算*NHi和2-s-gNBiK，更新NCCi值。最后，s-AMF和车辆群组更新*TID(NHiiH s-AMF-SUCI|)iiK。如 果 是AMF域 间 切 换，组 长1V先 计 算*111NH(NH)NHH和新密钥t-AMF-1K s-AMF-111KDF(|TID|)TKx P，因 为TPP且1P1x P，所以，11TPx P成立。然后，由消息验证码tMAC检验5t的新鲜性和1NCC的正确性，并更新1NCC值，接下来的流程如步骤所述。组员iV在接收到组播消息后，先检查时间戳7t，然后计算*NHi、t-AMF-iK和t-gNB-iK，之后的流程如步骤所述。最 后，t-AMF和 车 辆 群 组 更 新 身 份*TID(NH|iiHt-AMF-SUCI|)iiK，为下次切换认证做准备。3 安全分析 3.1 基于 Scyther 的安全分析 Scyther是一种形式化安全协议分析工具，可以自动检测协议是否存在潜在攻击，如DoS攻击和重放攻击等。根据文献27对本文协议建模分析，建模共包括2个实体，即iV和t-gNB。Scyther形式化分析结果如图4所示。从图4可知，所有实体都可以满足文献28中的认证属性。此外，身份信息、密钥材料和新生成的会话密钥t-gNBK也是保密的。3.2 非形式化安全性分析 本节采用非形式化安全性分析的方式，进一步分析说明本文协议如何满足所有的安全属性。相互认证。对于本文协议，每个iV都通过安全信道从s-AMF处获得部分私钥,0,1(,)iiDD，用于生成自己的签名Sigi。然后，iV将签名发送到1V处生成聚合签名Sig，1V再将Sig发送到s-gNB1进行无证书聚合签名验证。若存在任何一个无效的签名，则聚合验证就会失败，只有车辆群组内所有的车辆都产生有效的签名时，才能验证成功。因此，s-gNB1可以通过检查无证书聚合签名验证结果来认证车辆群组。另一方面，目标基站s-gNB2（t-gNB）也从s-AMF（t-AMF）处通过安全信道获得自己的部分私钥，然后生成签名，发送给1V进行签名验证。由于目标基站只能从与AMF相连的安全信道中获得派生新会话密钥的NHGIDInfoi、等材料信息。因此，1V可以通过检查基站签名验证结果来认证基站。图 4 Scyther 形式化分析结果 密钥协商。1)在执行AMF域内切换时，车辆和目标基站都通过式(12)派生新会话密钥s-gNB2-iK，其中，s-gNB2只能从与s-AMF相连接的安全信道中获得派生新会话密钥的Info和NHi等材料信息，且车辆iV只能从s-gNB2处获得s-gNB2的2s-gNBPCI和2s-gNBARFCNDL等标识符信息，如果缺少以上任何一个参数都无法计算出新会话密钥2-s-gNBiK。2)在执行AMF域间切换时，车辆iV和t-AMF分别通过方法s-AMF-KDF(|TID|)iiiTKx P和s-AMF-KDF(|iK TID|)iiP来计算新密钥t-AMF-iK，其中，iiPx P、TPP、P是系统公共参数、参数ix和分别是车辆iV和t-AMF的秘密参数，在不知道参数ix和的前提下，计算出iP或TP求解新密钥t-AMF-iK等价于求解椭圆曲线迪菲赫尔曼密钥交换（ECDH,el-liptic curve Diffie-Hellman key exchange）问题或求第 8 期 张应辉等：5G-V2X 中基于轨迹预测的安全高效群组切换认证协议 151 解椭圆曲线离散对数（ECDL,elliptic curve discrete logarithm）问题。隐式密钥确认。当车辆群组执行完群组切换认证协议后，车辆与目标基站会协商出一个新会话密钥t-gNBK，但是，车辆并不会立即采用新会话密钥与目标基站交互信息获取网络服务，完成显式密钥确认，而是当车辆到达目标基站服务范围内时，才使用新会话密钥t-gNBK与目标基站交互信息，目标基站确认会话密钥的正确性后，为车辆提供网络服务，完成隐式密钥确认。抵抗重放攻击。本文协议在车辆第一次连接到5G核心网络时，都会先对车辆进行初始认证，然后对系统进行初始化，用于更新关键的系统参数等信息，防止重放攻击。一方面，1V与iV进行通信时，通过V2V接口采用单播与组播的方式保证信息传输安全，首先，iV采用群组切换准备阶段生成的临时身份标识符TIDi生成签名所需材料ih，然后单播签名到组长生成聚合签名，TIDi在每次切换认证协议执行前后都会更新，防止重放攻击；1V向iV组播信息时，会包含新生成的时间戳，用于iV验证组播消息的新鲜性，防止重放攻击。另一方面，1V与基站之间采用无线信道进行不安全的通信，采用临时身份标识符TIDi、时间戳t和移动信息Info抵抗重放攻击，其中，Info在每次协议执行过程中由1V临时生成。隐私保护（匿名性和不可链接性）。在本文协议中，iV采用临时身份标识符TIDi，而非车辆的永久身份标识符SUPIi。因为车辆的真实身份只有合法的基站和核心网络知道，所以车辆的匿名性得到了满足。此外，TIDi在每次协议执行前后都会更新，所以无法确定2个TIDi是否属于同一车辆。因此，也无法将车辆的移动信息Info与车辆联系起来，从而保证了不可链接性。抵抗DoS攻击。针对3GPP的5G-AKA协议标准，攻击者可以模拟一个合法的基站，并向车辆群组发送大量虚假的NCC值来破坏密钥派生过程。本文协议通过添加MAC来确保NCC值的机密性和完整性。此外，对于聚合签名技术易遭受Dos攻击的缺陷，本文提出了一种通用的基于二分查找法的解决方法来快速定位恶意用户，提高群组切换认证协议的执行效率。抵抗伪造基站攻击。在本文协议中，车辆群组和目标基站通过无证书聚合签名技术相互认证。此外，只有合法基站才能通过AMF的安全信道获得NHi和Info等用于派生新会话密钥的材料信息，缺少任何一个材料信息，伪造基站都无法与车辆群组建立通信。因此，本文协议可以抵抗伪造基站攻击。完美前向安全和抵抗密钥泄露。为了防止目标基站知道未进入其覆盖范围的iV的会话密钥，本文协议通过*NH(NH)NHiiiH方法对NHi值进行加密。这样，目标基站只有从与AMF相连接的安全信道中获得NHi值，才能派生出新的会话密钥。此外，即使当前的*NHi值泄露，由于哈希映射的单向性，攻击者也无法推理出之前的NHi值，从而保证了完美前向安全。完美后向安全。本文协议在每次开始执行时都会先对车辆进行初始认证，然后对系统进行初始化，用于更新关键的系统参数等信息。此外，在每次执行群组切换认证阶段，1V都会生成临时的移动信息Info，经s-gNB1验证聚合签名成功后，通