面向区块链的物联网终端跨域认证方法综述.pdf

计算机科学与探索Journal of Frontiers of Computer Science and Technology1673-9418/2023/17(09)-1995-20doi:10.3778/j.issn.1673-9418.2211004面向区块链的物联网终端跨域认证方法综述霍炜1+，张琼露2，欧嵬3，韩文报2,31.清华大学 计算机科学与技术系，北京 1000842.中国科学院 信息工程研究所 信息安全国家重点实验室，北京 1000933.海南大学 网络空间安全学院（密码学院），海口 570228+通信作者 E-mail:摘要：物联网终端设备分布广、数量多、层次复杂，并且涉及多个管理域，常处于不可控的环境中，相比于传统互联网终端，更容易受到攻击，其安全管控面临着更为巨大的风险与挑战。身份认证作为物联网终端安全防护的“第一道防线”，对物联网安全发展起着不可替代的作用。区块链具有去中心化、分布式、不易篡改、可追溯等特点优势，能够有效解决物联网终端跨域身份认证中存在的可信第三方单点信任失效，多域异构性难以满足最小授权原则等安全问题，使用区块链技术是物联网终端跨域认证未来发展的重要方向。按照融合了PKI和IBS/IBC等传统身份认证机制、采用跨链技术以及基于区块链的跨域认证技术三种类别，对近年来基于区块链的物联网终端跨域认证主要研究成果进行了分类和总结，并对不同方案进行了技术特点及优缺点分析。在此基础上，总结归纳了目前物联网终端跨域认证领域存在的问题，并给出了物联网终端跨域认证未来的研究方向和发展建议，以实现对基于区块链的物联网终端跨域认证方案研究进展和发展趋势的总体把握。关键词：物联网；跨域认证；区块链；身份认证文献标志码：A中图分类号：TP309Survey on Blockchain-Based Cross-Domain Authentication for Internet of ThingsTerminalsHUO Wei1+,ZHANG Qionglu2,OU Wei3,HAN Wenbao2,31.Department of Computer Science and Technology,Tsinghua University,Beijing 100084,China2.State Key Laboratory of Information Security,Institute of Information Engineering,Chinese Academy of Sciences,Beijing 100093,China3.School of Cyberspace Security(School of Cryptology),Hainan University,Haikou 570228,ChinaAbstract:Internet of things(IoT)devices are widely distributed,numerous and complex,which are involved inmultiple management domains.They are often in uncontrollable environments and are more vulnerable to attacksthan traditional Internet terminals,the security management and protection of IoT terminals face greater risks andchallenges.As“the first line of defense”for the security protection of IoT devices,authentication plays anirreplaceable and important role in the development of IoT security.The blockchain technology has the characteristicsand advantages of decentralization,distribution,immutability and traceability.And thus,it can effectively solve thesingle-point trust failure of trusted third parties and satisfy the principle of least authorization for multi-domainheterogeneity in cross-domain authentication for IoT terminals.Using the blockchain technology is an importanttrend in the future development of the IoT device cross-domain authentication.This paper categorizes and summarizesthe main research achievements of IoT cross-domain authentication based on blockchain technology in recent years收稿日期：2022-11-02修回日期：2023-03-09Journal of Frontiers of Computer Science and Technology计算机科学与探索2023,17(9)随着物联网（Internet of things，IoT）应用的日益普及，传感器、智能终端等海量设备呈指数级接入网络，并广泛应用于消费物联网、智慧城市、智能医疗和工业物联网等关系人们日常生产生活的各种场景。据全球移动通信系统协会（Global System forMobile Communications Association，GSMA）移动经济 2022 报告1显示，2021年全球物联网设备连接数量达到151亿；预计到2025年，全球物联网连接数将增长到 233 亿，我国物联网连接规模将达到 80 亿。物联网终端数量众多、种类多样、层次复杂，大多终端设备计算能力相对较弱、资源受限、常处于不可控环境中，相比于传统互联网终端，其受攻击面更大，更容易遭到攻击和威胁。2016年，Mirai僵尸网络控制了数以百万计的物联网设备，发起分布式拒绝服务（distributed denial of service，DDoS）攻击，致使若干重要互联网网站无法访问2。SAM Seamless Network2021物联网安全形势 报告指出，针对物联网设备的攻击占据 2021 年发生的 10 亿次与安全相关的攻击的九成，10亿级物联网设备遭到攻击3，安全已成为制约物联网发展的重要因素。身份认证作为安全防护的“首要防线”，被视为物联网安全发展的关键要求，身份认证的不健全或是安全漏洞都会直接导致整个物联网陷入安全危机。目前物联网终端身份认证方面已有大量成熟的研究成果，不同物联网终端设备会根据应用场景、接入位置等情况，采用基于公钥基础设施（public key infrastructure，PKI）、基于身份的签名（identity-based signature，IBS）、多因素认证、代理等机制的身份认证方案或方法接入相应的管理域/信任域，在域内进行资源共享与信息交互。例如，Yu等人4提出一种云环境下的物联网安全轻量级多因素认证方案。该方案利用秘密参数和生物特征提供安全的互认性和匿名性，且参与交互过程的云服务器在控制服务器进行注册后提供物联网服务，能够抵抗会话密钥泄露、重放和中间人等攻击，与同类型方案相比，具有更好的安全性和效率，适用于实际物联网云计算环境。Lin等人5提出基于代理的云边联合认证方案，引入可信第三方作为联合认证中心协助完成对各设备的认证，解决终端设备既要与云认证又要与边缘服务器认证的问题，减轻用户频繁认证的负担。但是这些方案都需要引入控制服务器和可信第三方，增加了额外的硬件或部署开销，成本较高。并且仅能解决域内身份认证的物联网终端认证方案也间接导致了物联网应用和系统逐渐呈现烟囱式状态，封闭式系统建设模式形成了一个个信息孤岛。不同系统之间认证模式各不相同，证书形式、区块链应用模式、密钥管理方式等均存在差异，造成了十分显著的应用隔离，形成了安全需求不同、信任模式迥异的多个信任域。随着物联网应用场景持续丰富，不同应用之间不可避免会迸发出价值交换、协同控制、信息交互以及多域访问等业务需求，如图 1所示，终端跨域访问也成为时下备受关注的研究热点问题之一。为此，学术界和产业界针对物联网终端跨域身份认证问according to three categories:integrating traditional identity authentication mechanisms such as PKI and IBS/IBC,adopting inter-blockchain technology,and other cross-domain authentication technologies based on blockchain.Then this paper analyzes the technical characteristics,advantages and disadvantages of each different scheme.Onthis basis,the current problems and issues in the field of cross-domain authentication of IoT devices are summarized,and the future research directions and development suggestions for the cross-domain authentication of IoT terminalsare given,so as to achieve a general and overall grasp of the research progress and development trend of IoT devicecross-domain authentication schemes based on blockchain technology.Key words:Internet of things;cross-domain authentication;blockchain;identity authentication图1多信任域间的跨域身份认证需求Fig.1Requirements of cross-domain authenticationbetween multiple trust domains1996霍炜 等：面向区块链的物联网终端跨域认证方法综述题，开展了大量方案设计和研究工作，以期打通物联网垂直应用，打破信息孤岛，构建互联互通的物联网应用访问环境。丁永善等人6利用PKI和IBS认证的相关特性，提出一种基于证书的签名（certificate basedsignature，CBS）方案，有效避免了 PKI证书管理复杂性和IBS密钥托管与分发等问题，实现了安全、高效、匿名的物联网跨域认证，具有更小的计算和通信开销，适用于资源受限的移动设备。万雨薇7提出了基于身份密码体制和无证书加密体制的不同系统参数的跨域签密方案，优化了跨域环境下的签密算法，并根据无线传感模型构建了一种物联网跨域认证机制。该方案能保证会话临时密钥的安全性，相比于已有方案计算量和能量消耗更少，成本更低。吴卫8提出一种适用于边缘计算环境的基于PKI和SM9标识的认证体系，设计基于标识的“云-边-端”认证方案和基于K匿名思想的位置隐私保护方案，物联网终端在边缘进行跨域认证，降低了复杂度，实现了高效安全接入、跨域认证及位置隐私保护，适用于低性能物联网终端设备。毛浥龙9针对物联网跨域认证和可信度量中的安全问题，提出了一种基于证书的物联网身份联盟跨域认证方案，通过组建身份联盟及其可信第三方密钥中心，为实体签发跨域证书，实现异构系统之间的实体身份管理和跨域认证；通过分析联盟中不同身份管理系统的身份认证方式、安全级别以及实体跨域访问记录等信息，对跨域实体的可信度进行计算评价，减少身份管理系统和认证机制对跨域认证结果的影响。季一木等人10面向物联网环境提出了一种分层身份加密（hierarchical identity-based encryption，HIBE）的多私钥生成机构（privatekey generator，PKG）联合跨域认证方案。该方案使用不同 PKG作为信任网关，通过密钥共享解决密钥托管问题，并建立安全的通信密钥协商机制，实现不同系统参数的信任域用户节点间的互相认证，方案安全可行，且提高了通信效率。以上仅采用 PKI等传统技术的认证方案存在证书管理体系复杂、跨域认证效率低、工作量大等诸多问题，不能有效解决物联网环境异构性和跨域安全等级差异大、终端设备计算能力有限带来的身份认证及其安全问题，尤其是在面向低延时、实时性高的物联网场景时，不能有效满足物联网跨域身份认证和通信业务需求。并且，这类集中式物联网终端认证方式严重依赖受信任的服务器，无法防止单点故障和针对集中存储的攻击，存在明显缺点。此外，部分方案还增加了额外的硬件、数据维护等成本和开销。区块链可用于建立物联网环境下的分布式信任机制，其去中心化、不可篡改等特性，能够有效解决集中式证书管理体系带来的低效、重负载以及认证服务系统单点信任失效等安全问题，实现分布式验证，缓解中央机构性能瓶颈问题，满足物联网终端设备跨域身份认证需求，提高跨域通信效率。例如，文献11-33给出了融合区块链技术同时采用传统认证机制（PKI机制、IBS/IBC体系、令牌等）的物联网终端跨域认证机制。Wang 等人11提出了 BlockCAM 模型，马晓婷14设计了 ISE-CBCM 模型，Kim 等人15提出了分布式 ID 管理系统，黄穗等人16提出了基于区块链和布谷鸟过滤器的跨域认证方法等，相比于仅采用传统认证的跨域认证方式，在性能、安全或成本等方面均有不同的改善和影响，但在带来技术便利性和优势的同时，也不可避免地引入了新的问题。因此，研究现有基于区块链的物联网终端跨域认证方案，分析其中存在的问题和不足，提出相应建议并找到未来物联网终端认证发展的方向，对于促进物联网跨域认证技术发展，确保物联网终端设备安全接入和整体规模有序健康扩展具有重要意义。本文的主要贡献如下：（1）研究总结了近年来基于区块链的物联网终端跨域认证的主要研究成果，并在此基础上分析了目前物联网跨域认证领域存在的问题。针对这些问题，提出了未来的研究方向和发展建议，实现对基于区块链技术解决物联网跨域身份认证问题研究进展的总体把握。（2）研究总结了基于区块链的物联网终端跨域认证方法和机制，有助于相关领域研究人员和从业者快速掌握区块链和物联网技术的交叉应用及研究进展，帮助他们快速获取相关的应用方法与知识，以便后续开展更为深入的研究工作。1关键技术1.1PKI体系PKI是指通过使用公开密钥技术和数字证书来确保系统信息安全，并负责验证数字证书持有者身份的一种信任体系，是完成用户身份鉴别、保护网络数据传输的常用方法。PKI体系主要由密钥管理中心（key management center，KMC）、证 书 颁 发 机 构（certification authority，CA）、证书注册机构（registerauthority，RA）和发布中心组成，包括两种重要技术，1997Journal of Frontiers of Computer Science and Technology计算机科学与探索2023,17(9)即证书和密钥。PKI证书是指授予实体参与 PKI密钥交换的权限文件。证书包括公钥和双方都信任的来源的官方证明。CA负责证书的颁发、更新以及维护证书废除列表（certificate revocation list，CRL）。RA用于接收证书的申请，负责用户身份信息收集、用户身份审查和确认，向CA发出证书请求，是用户和CA之间的接口。PKI通过采用对称加密算法、非对称加密算法、杂凑算法、数字签名等技术，提供公钥加密和数字签名服务，从而自动管理密钥和证书，验证用户身份的真实性，确保数据传输的保密性、完整性以及行为的不可否认性，最终实现数据安全和身份确认等安全功能。例如，PKI能够使用公钥对传输中的数据流进行加密操作，防止通信过程中被非法恶意窃取或监听，并且借助私钥唯一性这一特点，有效保证只有接收方才能正确成功解密相应数据流信息。1.2基于身份的密码体系基于身份的密码体系（identity-based cryptograph，IBC）最早由 Shamir于 1984 年提出34，是在 PKI基础上发展而来的，包括基于身份的签名（IBS）算法组、基于身份的加解密（identity-based encryption，IBE）算 法 组、基 于 身 份 的 密 钥 协 商（identity-based keyagreement，IBKA）身份认证协议。用户的身份作为公钥，对应私钥由可信密钥生成中心（key generatecenter，KGC）发布，且该私钥从 KGC的主密钥导出，并且KGC能够以带外（out-of-band）方法验证用户的身份，简化了 PKI要求，消除了 PKI体系和证书管理的成本，用户使用更方便，安全策略控制更灵活，安全应用更易部署和使用。例如，我国的商用密码算法SM9就是基于IBC体系设计的。IBC 体系保留了 PKI 的技术优点，具有数据加密、数字签名、数据完整性、数字信封、用户识别和用户认证等安全机制与功能，其安全性模型已经获得国际密码学界的证明。IBC 作为 PKI体系的发展和补充，尤其是 IBC与 PKI体系的融合，既保证了强签名的安全特性，又满足了各种应用更灵活的安全需求。当然，IBC体系也有技术缺点，例如固有的密钥托管特性会导致安全问题，因为 KGC可以导出系统中所有用户的私钥，所以必须确保其不会滥用这一能力和权限。这一点与PKI体系不同，PKI体系中的CA仅发布公钥证书，并不会获悉对应的私钥信息。1.3基于令牌的身份认证机制基于令牌（token）的身份验证是一种协议，它允许用户验证身份，并作为回报接收一个唯一的访问令牌，能够有效减少对密码系统的依赖，并增加第二层安全性，主要用于验证用户的身份，保证用户身份的真实性，从而实现对网站、安全系统或应用程序等的正常访问。身份认证令牌存储在用户浏览器中，在其生命周期内，用户可以访问已为其颁发令牌的网站或应用程序，如图 2所示，而不必在每次返回相同的网页、应用程序或受相同令牌保护的任何资源时重新输入身份凭据，再次进行身份认证。只要令牌保持有效，用户就保留访问权限。一旦用户注销，退出应用程序/服务或者超出令牌有效期，令牌就会失效。不同于传统的基于口令或基于服务器的身份验证技术，基于令牌的身份认证提供第二层安全性，用于表明用户的登录状态，管理员可以详细控制每个操作和交易，对令牌设置限制，比如在指定时间段结束后令牌自毁等。令牌提供了一种更难窃取和安全的访问方式，并且会话记录不占用服务器空间。身 份 认 证 令 牌 主 要 有 三 种 类 型：已 连 接 式（connected）、非接触式（contactless）和断开连接式（disconnected）。已连接令牌主要指密钥、驱动器等物理介质插入系统后进行访问。非接触式令牌指身份认证设备与服务器在一定距离范围内可与其进行非接触式通信，无需直接插入设备或系统。断开连接式令牌是指身份认证设备与服务器之间进行远距离通信，不受距离等因素的限制，服务端会生成一串字符作为令牌。当然，在以上三种类型令牌应用场景中，用户必须首先输入口令或通过回答问题等方式启动认证流程，但是即使完成第一次身份认证过程后，在没有令牌的帮助下后续依旧无法正常访问相应服务、应用程序等。1.4区块链技术区块链（blockchain）技术解决了传统网络安全的一些安全缺陷，例如通过分布式节点消除了单点故图2基于令牌的身份认证过程Fig.2Token-based identity authentication process1998霍炜 等：面向区块链的物联网终端跨域认证方法综述障隐患，密码学的密集应用可保证数据传输和访问安全，特有数据结构可验证存储数据，同时能够提供端到端的加密保护，因其可编程性、分布式、不可变、一致性和安全性等多种特性而备受关注。并且区块链具有较强的可拓展性，可以与其他安全技术相互融合应用，从而促进安全机制的完善与融合，构建更加安全的网络环境，其出现与应用发展对信息安全保护工作产生了极其重要的影响。具体而言，区块链以分布式方式实现的防篡改数字分类账本，是在计算机网络节点之间共享的分布式数据库，由多方共同维护、共享且不可变，也称为分布式账本技术（distributed ledger technology，DLT），用于记录交易、跟踪资产和建立信任。该技术利用共享账本记录交易，在区块链网络正常运行的情况下，一旦发布，任何交易都不能被更改，关键要素包括分布式账本技术、不可变记录以及智能合约，通过使用密码技术保证数据的一致存储，以及难以被篡改和防止抵赖。区块链具有防篡改、去中心化、多方维护、内置合约、匿名性、透明度等多种特征。目前，区块链结构主要有公共区块链架构、联盟区块链架构、私有区块链架构三种类型。区块链参与方按照约定规则存储信息，达成共识。为了防止共识信息被篡改，区块链以组的形式收集和存储信息，称为区块（block），其中包含信息集。块具有一定的存储容量，在填充时会关闭，并通过包含基于前一个块数据的唯一标识符来链接到先前填充的块，形成称为区块链的数据链（chain）。因此，区块链的数据结构包括两个主要元素，即指针和链表，如图3所示。指针是指向另一个变量位置的变量，链表是链表块的列表，其中每个块都有数据和指向前一个块的指针。区块链通过共识机制选取记录节点，其他节点参与区块的验证、存储和维护。块一旦上链，难以删除更改，仅能进行授权查询等操作。区块链技术框架如图4所示，密码机制为区块链各层提供相应的密码服务，保障系统安全。硬件和基础设施层包括虚拟机、容器、服务、消息等，涵盖数据中心服务器以及对等网络（peer-to-peer，P2P）中的每台计算机（节点）。区块链的内容托管在数据中心的服务器中，区块链网络中的计算机（节点）能够彼此共享这些数据，数据既能够存储在数据中心的服务器中也能够存储在节点上，节点是这一层的核心35-37。这进而导致了 P2P网络的形成，网络上的节点进行信息的验证。在达成共识的同时，节点将区块提交到区块链网络并更新本地账本副本。由于区块链是 P2P网络，它计算交易、验证交易并以有序的形式存储在共享账本中，形成一个分布式数据库。数据层的区块链数据结构表现为交易排序的区块链表。默克尔树（Merkle tree）、密码学和共识算法是区块链技术的基础，Merkle 树为区块链技术提供安全性、完整性和无可辩驳性。每个区块都包含Merkle根的哈希值（区块中所有交易的哈希值组合）以及前一个区块的哈希值、时间戳、随机数、区块版本号和当前难度目标等信息，具体可分为块头和块数据两个主要部分38，如图3所示。块头信息包括块号、前一个区块的哈希值、时间戳、块大小、随机数图3区块链通用链结构Fig.3General bockchain structure1999Journal of Frontiers of Computer Science and Technology计算机科学与探索2023,17(9)等。块数据则包括块中的交易与分类账事件的列表，以及其他可能存在的数据。交易使用私钥签名，以确保存储其中的数据安全完整。拥有公钥的人可以验证签名信息，检查信息是否被篡改。签名在法律上与所有者相关联，不能被拒绝。网络层（亦称 P2P层或传播层）负责分布式节点间的通信，确保节点可以相互发现并能够通信、传播和同步，共同分担网络负载。节点分为全节点和轻节点两种类型。全节点保证交易的验证和确认、共识规则的挖掘和执行，包含节点的完整信息。轻节点只保留区块链的头部，可以发送交易，节点同步速度更快，所占存储空间更少。共识层是区块链平台的核心和关键层，主要负责验证区块，对区块排序，并确保每个人都同意。共识层是节点遵循的规则，在分布式P2P网络的节点之间创建一组明确的协议，确保权力保持分布式和去中心化，确保交易在这些规则的边界内得到验证。应用层/表达层由智能合约、链码、分布式应用程序（decentralized application，DApp）和用户接口组成，分为应用层和执行层两个子层。应用层由用户应用组成，包括脚本、应用程序接口（application programminginterface，API）、用户界面和框架，应用程序通过 API与区块链网络连接。执行层包括智能合约、底层规则和链码。应用程序向执行层发出指令，交易从应用层传输到执行层，在执行层得到验证与执行。2现有方案经过对现有物联网终端设备跨域认证方案进行分析可以发现：域内物联网终端认证设备可通过有中心的方式（如PKI、令牌、IBC）实现身份认证，或通过无中心的方式（如边缘计算、区块链）等实现域内身份认证；在域内认证的基础上采用区块链、第三方可信中心（身份联盟）等进行终端设备的域间认证机制设计，从而实现终端设备的跨域认证，如图5所示。第三方可信中心存在单点失效、易受攻击等安全风险，且建立成本消耗相对较高。而区块链具有无中心、分布式、不可篡改等独特技术优势，是实现物联网终端跨域认证可选择的优势技术。因此本文主要针对基于区块链技术的物联网终端跨域认证方法和成果进行调研分析。本文对 52篇相关文献进行了研究分析与总结，将基于区块链的物联网终端跨域认证方案大致分为三种类型，即融合了传统身份认证机制的区块链跨域认证方案、采用跨链技术的跨域认证方案以及其他基于区块链的物联网终端跨域认证方案，具体分类如图6所示。其中，融合了传统身份认证机制的区块链跨域认证方案主要解决了跨域认证过程中引入可信第三方和有中心等导致的问题，跨链技术则解决了跨区块链信任建立，实现物联网跨域访问等问题，其他基于区块链的物联网终端跨域认证方案则采用了定制设备或满足特殊功能需求的机制等，解决了物联网终端设备的跨域访问问题。2.1基于传统身份认证方法的跨域认证2.1.1基于PKI/CA的认证方案为了确保安全高效地访问不同领域的资源，2018图4区块链技术框架Fig.4Technical framework of blockchain图5现有典型跨域认证方案分类Fig.5Classification of existing typical cross-domainauthentication schemes2000霍炜 等：面向区块链的物联网终端跨域认证方法综述年，Wang等人11提出了一种基于区块链的跨域认证模型（blockchain-based cross-domain authentication model，BlockCAM），采用联盟链构建了一个以根证书授权机构为验证节点的去中心化网络，并设计了跨域认证协议。授权证书的哈希值存储在每个区块中，身份验证过程省略了密钥加密和解密的开销，只需比较用户提供的证书哈希值是否与区块链中存储的哈希值一致。BlockCAM具有去中心化、匿名性和抗干扰性等特点，在效率上比现有的公钥基础设施（PKI）跨域认证方案更具优势。2018年，周致成12在不改变域内PKI认证体系结构的基础上，提出了一种基于联盟链的高效跨域认证方案，将认证服务器和根CA证书服务器设置为区块链的节点，通过代理认证服务器查询并验证对方域根 CA 证书服务器在区块链上的无签名证书哈希值，实现跨域认证。相比于已有方案，该方案减少了签名验签的次数，提升了跨域认证的效率，具有较强的可扩展性。2019年，面向电子政务应用，Chen等人13提出了一种利用区块链共识代替传统可信第三方的信任转移模式。作者探讨了如何通过共识解决国家层面PKI的统一信任服务问题，即将一些 CA管理功能转移到区块链上，从工程角度证明了该方案的可行性。与传统方案相比，该方案能够满足多个PKI系统的信任转移要求，可扩展性强，同时也能够保证安全性和效率。2019年，马晓婷14设计了基于区块链的PKI域联盟模型 ISE-CBCM，设计了 PKI域证书管理机制，简化了证书使用过程，降低了证书维护成本，实现了异构 PKI域间高效快速的跨域认证交流。该方案存在三方面的不足：一是设计的证书结构未与X.509证书进行仿真比较；二是未量化分析链上存储的证书在查询接口时产生的通信量、计算量以及时间开销；三是跨域方案未解决区块链存储数据造成的开销浪费固有问题，信息服务实体（information services entity，ISE）端的计算量待优化。为了克服传统 ID管理系统跨多个域的局限性，2020年，Kim等人15提出了一个使用区块链的分布式ID管理系统，为工业物联网（industrial Internet of things，IIoT）应用程序提供跨域联邦ID。该系统将在互联网规模的实体之间（即使它们第一次见面）产生更大的信任。Kim 认为，使用区块链的去中心化联邦 ID 管理（federated ID management，FIM）方案将是物联网世界一个很有前途的替代方案。2020年，黄穗等人16在不改变原有认证架构的前提下，提出一种基于区块链和布谷鸟过滤器的跨域认证方案（IABC）。通过智能合约构造布谷鸟过滤器，实现证书的注册、查询和撤销，提高了跨域用户身份认证效率；设计区块链跨域数字证书（blockchaincross-domain digital certificate，BCDC）组成结构，证书由区块链多个域的根CA节点生成，唯一性通过添加证书生成时间戳等信息进行保证，并将证书映射为二进制指纹信息插入过滤器，直接将证书存储成本降低了一个数量级。此外，方案的有效性和可行性通过在联盟链平台 Hyperledger Fabric上搭建测试模型得到了验证。2021年，张金花等人17设计了边缘计算环境下基于区块链的跨域认证与密钥协商协议，减轻了云中心的压力。该方案由物联网终端设备（devices，D）、边缘认证服务器（edge servers，ES）、区块链认证中心（blockchain certificate authority，BCCA）组成。BCCA负责颁发证书，将终端设备的证书 Hash值存储在区块链上，减少了证书签名验签次数。基于联盟链的图6现有基于区块链的跨域认证方案分类Fig.6Classification of existing blockchain-basedcross-domain authentication schemes2001Journal of Frontiers of Computer Science and Technology计算机科学与探索2023,17(9)跨域属性也使得不同域间的设备能够顺利完成认证和密钥协商。与已有方案相比，该方案能够抵抗重放攻击，具有前向安全性，且计算开销较少，效率较高，适用于低性能的物联网设备。为了解决电力终端跨域认证中复杂的认证过程和隐私泄漏问题，2020年，Wang等人18提出了一种基于区块链的身份认证机制。通过对电力通信网络的分析，详细设计了三种流程，包括身份认证、域内认证和终端的跨域认证。此外，为了解决交叉认证中不同安全级别的领域之间的安全问题，作者对身份安全进行了评估，然后建立了一个跨领域的认证可信度矩阵，通过优化可信度矩阵，能够更准确地计算出电力终端的识别级别。最后，从场景、算法科学、可扩展性和鲁棒性等方面对所提出的跨域认证机制进行了评估和分析。下一步，Wang等人将研究深度学习和机器学习等智能算法，并应用到提出的认证机制中，实现可信度评估的动态性和自适应性。针对智能电网 V2G（vehicle-to-grid）网络中的攻击威胁，2020 年，Liu 等人19基于联盟区块链和 SM9密码算法，提出了一种跨域认证方案，能够在不改变PKI认证模式的前提下，将授权域加入区块链中实现高效跨域认证。该方案在自适应选择消息攻击下具有生存性和不可遗忘的安全性，可以抵抗重放攻击和拒绝服务攻击，具有可扩展性。2020年，Li等人20提出了一种基于区块链智能合约的跨域认证和密钥协商系统，设计了一个跨域的认证和密钥协商协议，使用智能合约管理节点的公钥，系统参数通过合约查询确认。在该协议中，漫游用户可以根据漫游域的系统参数选择临时认证参数来完成认证和密钥协商，用户在此过程中是匿名的。协议安全性通过CK（Canetti Krawczyk）模型、形式化分析工具得到了证明和进一步的分析。由于该协议没有复杂的加密操作和证书验证，其计算和通信开销较低。但是该系统存在不足，系统只测试了计算消耗，没有对整个系统进行仿真实验来测试通信等其他性能。2020年，郭炜立21提出了一种基于区块链的跨域认证改进方案。该方案以区块链为基础，在系统内设置签名算法和加密算法，节点之间互相监督，从而在一定程度上保证去中心化区块链内存储的数据具有较高的可信度。该方案假定各个加入区块链的根CA 是可信的，作为验证节点自生成区块链根 CA 证书，在区块链内进行登记，以便其他节点查验区块链内的节点是否可进行有效的查询和读写操作，同时借助区块链的工作量证明（proof of work，PoW）共识算法，共同维护区块链。但是，该方案存在两方面的不足：一是采用和比特币一样的PoW共识机制，会浪费大量计算资源，且耗时较长；二是当跨域规模变大后，随着加入系统的节点数越来越多，系统的灵活性会降低。为了克服 IBE 不适合大规模跨域架构的缺点，2021年，Liu等人22提出了一种可以实现跨域认证的区块链模型。该方法在不改变现有 PKI认证模型的情况下引入了区块链，提出了一种将PKI环境和区块链相结合的认证协议。它允许跨不同的 IBE 和 PKI域进行通信，同时确保在分布式多域网络环境中的资源或服务共享的安全性。此外，它还提供了匿名性，因为在区块链中只存储用户的证书哈希就可以保护私有信息。该模型具有良好的安全性、实用性和较高的可伸缩性，避免了传统PKI模型和复杂的认证传输存在的瓶颈问题。与其他方法相比，该方法具有良好的计算能力和吞吐量，并且通用、简单。考虑到车辆制造的复杂性和智能传输终端的异构性，在消息交换过程中进行车辆身份验证至关重要，而现有的方案不能适应多域场景，满足安全性、匿名性和条件隐私保护。2021年，Yang等人23提出了一种基于区块链的分层多域车辆认证方案，感知层采用基于假名的认证方法保证匿名性和可追溯性，管理层采用 PKI体系，设置 CA、假名 CA（pseudonymcertificateauthority，PCA）和可信管理机构（trustauthority，TA），并在管理层上架构区块链层实现域联通。其中，假名的生成和分发由多个实体监督和执行，提高了可靠性，能够适应动态和不可预测的假名请求。安全性分析和实验结果表明，分层多域车辆认证方案可行且开销较低。2021年，魏欣等人24设计了适应于物联网跨域认证的架构。该架构通过引入边缘网关，实现对物联网设备的接入及管理，提高物联网的管理效率，屏蔽底层异构性问题。在不同CA之间部署联盟链，利用多CA共识简化域间认证流程，构建物联网可信跨域信息交互环境。通过边缘网关实现物的描述及接口上链，访问者可通过调用智能合约对物进行操作，增强了物联网的连通性。通过设计基于网关