團(tuán)體標(biāo)準(zhǔn)TechnicalSpecificationforLightweightAuthenticationofIoTDevicesBasedon廣東省物聯(lián)網(wǎng)協(xié)會(huì)發(fā)布 2本文件依據(jù)GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任。本文件起草單位：深圳大學(xué)、鵬城實(shí)驗(yàn)室、南京信息工程大學(xué)、廣州技象科技有限公本文件主要起草人：謝寧、譚海軍、蘇健、張沛昌、鐘世達(dá)、溫文坤、劉軍林、宋書(shū)基于物理層安全的物聯(lián)網(wǎng)設(shè)備輕量級(jí)認(rèn)證技術(shù)規(guī)范本文件規(guī)定了基于物理層安全的物聯(lián)網(wǎng)設(shè)備輕量級(jí)認(rèn)證技術(shù)的基本模型、核心功能、認(rèn)下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注明日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件。不注日期的引用文件，其最新版本（包括所有的GB/T25069信息安全技術(shù)術(shù)語(yǔ)GB/T37044-2018信息安全GB/T37093-2018信息安全技術(shù)GB/T38636信息安全技術(shù)傳輸層密碼協(xié)議（TLCP）GB/T36962-2018GB/T34068物聯(lián)網(wǎng)總體技術(shù)智能傳感器T/TAF062-2020物聯(lián)網(wǎng)設(shè)備安全平臺(tái)技術(shù)ISO/IEC27402網(wǎng)絡(luò)安全-物聯(lián)網(wǎng)安全和隱私-設(shè)備基線(xiàn)要求RFC7252ISO/IEC20922信息技術(shù)消息隊(duì)列遙測(cè)傳輸（MQTT）連接物聯(lián)網(wǎng)感知層與網(wǎng)絡(luò)層的橋接設(shè)備，具有數(shù)據(jù)轉(zhuǎn)發(fā)、協(xié)議轉(zhuǎn)換、設(shè)備管理等功能，能夠通過(guò)標(biāo)準(zhǔn)接口與物聯(lián)網(wǎng)終端設(shè)備和網(wǎng)關(guān)進(jìn)行交互，對(duì)采集的物理層特征數(shù)據(jù)進(jìn)行處理、分析和存4利用無(wú)線(xiàn)通信信道固有的物理特性（如信道狀態(tài)信息、射頻指紋等）建立安全機(jī)制，實(shí)現(xiàn)通適用于計(jì)算資源和能源受限設(shè)備的低復(fù)雜度、低能耗的身份認(rèn)證機(jī)制，通?；谖锢韺犹卣骰蚝?jiǎn)AES高級(jí)加密標(biāo)準(zhǔn)(AdvancedEncryptionAWGN加性白高斯噪聲(AdditiveWhiteGaussiCSI信道狀態(tài)信息(CSKG信道秘密密鑰生成(ChannelSecrDTLS數(shù)據(jù)報(bào)傳輸層安全(DatagramTransportLMQTT消息隊(duì)列遙測(cè)傳輸(MessageQueuingTelemetrRSS接收信號(hào)強(qiáng)度(RTLS傳輸層安全(TrWSN無(wú)線(xiàn)傳感器網(wǎng)絡(luò)(WirelessSenso基于物理層安全的物聯(lián)網(wǎng)設(shè)備輕量級(jí)認(rèn)證系統(tǒng)包含終端設(shè)備、邊緣網(wǎng)關(guān)和認(rèn)證服務(wù)器三個(gè)核心組件，構(gòu)成分層認(rèn)證架構(gòu)。該架構(gòu)利用信道特征和射頻指紋等物理層特性建立設(shè)備唯一性標(biāo)識(shí)，終端設(shè)備根據(jù)認(rèn)證功能部署位置和實(shí)現(xiàn)方式，劃分為終端內(nèi)生認(rèn)證模型和網(wǎng)關(guān)代理認(rèn)證模型兩種基本物理層特征提取與認(rèn)證算法直接集成于物聯(lián)網(wǎng)終端設(shè)備中，設(shè)備能夠自主完成物理層特征采集、量化和認(rèn)證協(xié)議交互。該模型適用于具備一定計(jì)算能力的終端設(shè)備，實(shí)現(xiàn)端到端的安全認(rèn)證。物理層特征采集認(rèn)證協(xié)議物理層特征采集特征量化 網(wǎng)絡(luò)接口特征量化邊緣網(wǎng)關(guān)終端設(shè)備邊緣網(wǎng)關(guān)由具備物理層特征提取能力的網(wǎng)關(guān)設(shè)備代理資源受限物聯(lián)網(wǎng)終端完成認(rèn)證過(guò)程。網(wǎng)關(guān)負(fù)責(zé)信道特征測(cè)量、射頻指紋提取和認(rèn)證協(xié)議執(zhí)行，降低終端設(shè)備的計(jì)算負(fù)擔(dān)。該模型適用于超低功耗或計(jì)算資源極度受限的物聯(lián)網(wǎng)終端?；竟δ芙Y(jié)構(gòu)見(jiàn)6信道特征測(cè)量邊緣網(wǎng)關(guān)終端設(shè)備邊緣網(wǎng)關(guān)射頻指紋提取網(wǎng)絡(luò)接口認(rèn)證協(xié)議執(zhí)行認(rèn)證系統(tǒng)應(yīng)具備物理層特征提取功能、輕量級(jí)認(rèn)證協(xié)議處理功能和安全密鑰管理功能。應(yīng)支持基于信道特征或射頻指紋的設(shè)備唯一性識(shí)別，宜支持多特征融合認(rèn)證。系統(tǒng)應(yīng)具有遠(yuǎn)程和本地配置管理能力，應(yīng)具有安全參數(shù)存儲(chǔ)和更新能力。應(yīng)具備與現(xiàn)有物聯(lián)網(wǎng)安全框架的兼容性，能夠b)射頻指紋特征提取，包括頻率偏移、I/Q不平衡、相位噪聲等硬件特征提取精度應(yīng)滿(mǎn)足認(rèn)證需求，信噪比應(yīng)不低于15dB，特征量化誤差應(yīng)控制在b)認(rèn)證時(shí)延應(yīng)小于500ms（終端內(nèi)生模型）或200ms（網(wǎng)關(guān)代理模型a)應(yīng)支持基于物理層特征的密鑰生成（b)應(yīng)具備密鑰動(dòng)態(tài)更新機(jī)制，更新周期應(yīng)與信道相干時(shí)間適配；c)密鑰熵值應(yīng)不低于128比特，密鑰不一致率應(yīng)控制在a)應(yīng)支持基于DTLS或TLS的安全c)應(yīng)具備安全遠(yuǎn)程固件升級(jí)能力，并支a)應(yīng)記錄認(rèn)證事件日志，包括認(rèn)證成功、失敗c)支持標(biāo)準(zhǔn)安全協(xié)議（如MQTT-TLS、CoAP-DTa)信道狀態(tài)信息（CSI）提取接口：采樣精度應(yīng)不低于12比特，采樣頻率應(yīng)與信道相干b)射頻特征提取接口：應(yīng)支持頻率偏移、相位噪聲、I/Q不平衡等參數(shù)采集，特征量化分辨c)信號(hào)強(qiáng)度（RSS）監(jiān)測(cè)接口：測(cè)量精度應(yīng)優(yōu)于±2dB，動(dòng)物理層特征提取接口應(yīng)支持標(biāo)準(zhǔn)化數(shù)據(jù)格式輸出，便于特征處理單元進(jìn)行后續(xù)處理。8a)設(shè)備認(rèn)證接口應(yīng)支持標(biāo)準(zhǔn)化的挑戰(zhàn)響應(yīng)交互機(jī)制，接口延遲應(yīng)小b)認(rèn)證結(jié)果接口應(yīng)提供標(biāo)準(zhǔn)化的認(rèn)證狀態(tài)指示和安全度量參數(shù)；c)密鑰管理接口應(yīng)支持密鑰生成、更新和分發(fā)功能，接口應(yīng)提供密鑰熵值d)應(yīng)提供與上層安全機(jī)制的互操作接口，支持認(rèn)d)應(yīng)支持密鑰動(dòng)態(tài)更新機(jī)制，更新周期應(yīng)與a)應(yīng)支持DTLS/TLS保護(hù)的CoAP或MQTTb)應(yīng)支持認(rèn)證結(jié)果與設(shè)備狀態(tài)信息的安全d)通信協(xié)議應(yīng)具備資源適應(yīng)性，能根據(jù)設(shè)備計(jì)算能力對(duì)于5.2所述終端內(nèi)生認(rèn)證模型，應(yīng)能通過(guò)統(tǒng)一的配置界面，對(duì)物理層特征參數(shù)和認(rèn)證協(xié)對(duì)于5.3所述網(wǎng)關(guān)代理認(rèn)證模型，應(yīng)能分別配置物理層特征提取參數(shù)和認(rèn)證協(xié)議參應(yīng)支持通過(guò)安全通道對(duì)認(rèn)證系統(tǒng)進(jìn)行遠(yuǎn)程配置。應(yīng)采用TLS或DTLS協(xié)議保護(hù)遠(yuǎn)程配置通道。參數(shù)配置與遠(yuǎn)程參數(shù)配置不一致時(shí)，應(yīng)優(yōu)先使用遠(yuǎn)程應(yīng)具備認(rèn)證系統(tǒng)組件的安全遠(yuǎn)程升級(jí)能力。應(yīng)支持基于HTTPS或DTLS保護(hù)的CoAP等標(biāo)準(zhǔn)軟件升級(jí)應(yīng)進(jìn)行版本兼容性檢查，對(duì)不適用于當(dāng)前設(shè)備的軟件禁止進(jìn)行升級(jí)操作，并返升級(jí)過(guò)程中，應(yīng)通過(guò)密碼學(xué)方法對(duì)升級(jí)文件進(jìn)行完整性驗(yàn)證。當(dāng)完整性驗(yàn)證失敗時(shí)，應(yīng)終認(rèn)證系統(tǒng)應(yīng)具備安全參數(shù)的本地或遠(yuǎn)程備份功能。應(yīng)對(duì)參數(shù)備份操作實(shí)施權(quán)限控制。宜限定僅管應(yīng)提供本地和遠(yuǎn)程恢復(fù)認(rèn)證系統(tǒng)默認(rèn)參數(shù)配置的操作應(yīng)具備日志功能，記錄影響認(rèn)證系統(tǒng)的本地和遠(yuǎn)程操作的時(shí)間、類(lèi)型、操作員等信息。日志應(yīng)能認(rèn)證系統(tǒng)宜在出廠(chǎng)時(shí)，根據(jù)應(yīng)用場(chǎng)景預(yù)置認(rèn)證服務(wù)器連接應(yīng)支持通過(guò)本地配置修改認(rèn)證服務(wù)器連接參數(shù)，包括服務(wù)器URL和認(rèn)證系統(tǒng)應(yīng)支持MQTT-TLS或CoAP-DTLS等標(biāo)準(zhǔn)物聯(lián)網(wǎng)安全協(xié)議與認(rèn)證服務(wù)器進(jìn)行安全通對(duì)于使用TLS/DTLS進(jìn)行安全通信的系a)物理層認(rèn)證機(jī)制：應(yīng)基于物理層特征（如信道狀態(tài)信息、射頻指紋等）建立終端設(shè)備唯一性標(biāo)識(shí)，并符合GB/T37024-2018第6.2.1節(jié)關(guān)b)網(wǎng)絡(luò)訪(fǎng)問(wèn)控制：應(yīng)根據(jù)物理層認(rèn)證結(jié)果實(shí)施訪(fǎng)問(wèn)權(quán)限控制，限制未通過(guò)認(rèn)證設(shè)備的訪(fǎng)問(wèn)范c)傳輸數(shù)據(jù)保護(hù)：在無(wú)線(xiàn)通信環(huán)境中（如ZigBee、Wi-Fi、藍(lán)牙等），應(yīng)采用基于物理層特征a)雙向認(rèn)證要求：認(rèn)證系統(tǒng)與物聯(lián)網(wǎng)認(rèn)證服務(wù)器之間應(yīng)實(shí)現(xiàn)基于物理層特征與傳統(tǒng)密碼學(xué)相b)安全協(xié)議要求：使用CoAP協(xié)議時(shí)，應(yīng)使用RFC6347規(guī)定的DTLS協(xié)議進(jìn)行安全保護(hù)，確保認(rèn)d)Web接口保護(hù)：使用HTTP協(xié)議時(shí)，應(yīng)強(qiáng)制采用HTTPS，并禁用不安全的密碼套件，確保認(rèn)證a)數(shù)據(jù)保護(hù)機(jī)制：物理層特征數(shù)據(jù)和認(rèn)證結(jié)果應(yīng)采用安全存儲(chǔ)技術(shù)保護(hù)，實(shí)現(xiàn)數(shù)據(jù)加密存儲(chǔ)b)訪(fǎng)問(wèn)控制：對(duì)認(rèn)證參數(shù)和特征數(shù)據(jù)的訪(fǎng)問(wèn)應(yīng)實(shí)施基于角色的權(quán)限控制，確保只有授權(quán)組件c)物理安全防護(hù)：包含物理層特征處理功能的硬件模塊應(yīng)具備防物理攻擊能力，包括但不限a)特征容錯(cuò)處理：認(rèn)證系統(tǒng)應(yīng)具備信道特征抖動(dòng)容錯(cuò)能力，在環(huán)境干擾下仍能保持認(rèn)證b)冗余認(rèn)證機(jī)制：應(yīng)支持多特征融合認(rèn)