基于区块链的智慧城市边缘设备可信管理方法研究

由于物联网设备的资源受限,当前智慧城市相关应用系统,在抵御以物联网设备为目标的恶意攻击时存在局限性,难以提供安全可靠的服务。本文设计了基于区块链的智慧城市边缘设备管理架构,将区块链技术引入智慧城市建设研究中,利用区块链分布式架构和去中心化的思想,实现感知数据的可信收集和存储,并基于该架构提出了一种新的基于信誉的PoW共识算法,为物联网设备提供信任机制,该算法极大的增加了由物联网设备端发起的恶意攻击的成本,有效的预防了设备的恶意攻击行为,实现了边缘设备行为的可信管理。基于所提方法实现的智慧城市应用案例验证了其可行性,有效防范了来自节点的恶意攻击,增强了系统的信息安全性。     

RISC-V架构的轻量化内存保护单元

随着互联网和物联网的快速发展,全球联网设备数量高速增长,“万物互联”成为全球网络未来发展的重要方向。边缘物联代理设备繁荣的同时也催生了多样化的安全问题,然而传统的安全保护机制在现有边缘物联代理设备上已变得低效,且可信执行环境过大,需要依赖远程授权。目前应用普遍存在被破解、数据被窃取篡改等安全风险,对金融数据安全、个人隐私数据保护、业务数据完整性等带来极大的威胁。本文提出了一种基于RISC-V架构的轻量化内存保护单元,实现基于硬件可信根的硬件安全启动机制。通过对RISC-V指令集进行扩展,并利用新增指令创建内存安全空间,将一般的内存转换成安全的加密空间,实现可信嵌入式系统。     

基于TCM的全盘加密系统的研究与实现

基于可信计算技术中的可信根、信任链和可信存储的概念,设计并实现了一种基于TCM (trusted cryptography module)的全盘加密系统(full disk encryption system,FDES).FDES系统具有加密和认证功能,利用device-mapper(DM)提供的从逻辑设备到物理设备的映射框架机制,嵌入在Linux内核中,利用TCM芯片提供的加密、认证和存储等功能,实现对全部硬盘的透明加解密功能,从而确保了安全机制的不可旁路性和可靠性.     

基于联盟链的物联网动态数据溯源机制

物联网动态数据安全保护的重点是拒绝非授权用户的篡改,实现对物联网动态数据操作的过程留痕和追踪溯源.为解决大量物联网设备产生的动态数据安全存储与共享问题,建立了物联网动态数据存储安全问题的数学模型,提出了用于实现操作实体多维授权与动态数据存储的双联盟链结构,设计了基于验证节点列表的共识算法,给出了一种基于联盟链的动态数据溯源机制优化方案.进行了分析及实验,物联网操作实体个数小于106,操作实体授权特征值位数取64时,攻击者篡改授权的概率几乎为0,验证了所提方案具有较强的抵抗双重输出攻击、重放攻击及隐藏攻击的能力,能够有效杜绝攻击者对物联网动态数据的篡改、伪造等非授权访问操作,具有较好的应用价值.     

基于数据集中存储的数据安全技术研究

云存储、数据集中管控等数据集中存储应用日益广泛,集中存储数据的安全性面临挑战.在对现有数据防泄露技术和基于数据集中存储的安全技术进行分析比较的基础上,提出了基于数据集中存储的数据保护框架,综合利用身份认证、访问控制、网络安全、安全交换等多种技术实现集中存储数据安全.     

自认证可信云存储框架与算法设计

为了使用户获得可信的云存储服务,通过对云存储系统的用户数据机密性和数据完整性的数据保护策略进行研究,设计了一个自认证可信的云存储框架.在无第三方参与的情况下用户直接对存储到云存储系统上的数据进行审计,规避了第三方验证的云存储策略的安全风险.在该框架中,设计了两级Merkle哈希树更有效地实现了用户数据安全的读、写、更新等功能,设计了实现以上功能的详细算法.比较分析结果显示,该框架的具有更高的安全性和运行效率.     

可撤销属性加密结合快速密度聚类算法的非结构化大数据安全存储方法

针对非结构化大数据难以实现安全存储和易遭受安全攻击的问题,提出可撤销属性加密结合快速密度聚类算法的非结构化大数据安全存储方法.利用可撤销属性方法为非结构化大数据提供安全的存储结构,通过区分安全攻击和传输错误来防止大数据的误传和避免安全攻击;利用霍夫曼压缩技术对数据进行快速压缩,节省非结构化大数据处理过程中的时间开销;利用错误控制技术为潜在丢失的数据提供备份系统,并利用快速密度聚类算法有效处理多维大数据文件.实验证明,相比于其他现有非结构化大数据安全存储方法,该方法的执行速度更快,时间开销更小,信息损失百分比更低,信噪比(SNR)和压缩比更高.     

基于雾计算的工业互联网安全数据访问方法

针对工业互联网应用场景中的低时延、低功耗和安全性要求,提出一种雾计算架构的工业互联网数据安全访问方法,基于属性集生成对应的非对称密钥对进行加密消息并存储在云端服务器,由雾节点层来完成密文的部分加解密任务,消除对云服务层的信任依赖和降低设备层的计算开销负担。雾节点层和云服务层对密文数据来说是半信任状态,它们无法根据密文获取任何原始消息,只有授权的设备使用私钥才能完成完全解密获取原始消息,实现工业互联网中端到端的高效安全数据访问方式。通过性能分析验证,提出的方法相比其他方案计算开销和响应延迟更低,安全隐私性更可靠。     

基于可信执行环境的物联网边缘流处理安全技术综述

万物互联时代,物联网中感知设备持续产生大量的敏感数据。实时且安全的数据流处理是面向物联网关键应用中需要解决的一个挑战。在近年兴起的边缘计算模式下,借助靠近终端的设备执行计算密集型任务与存储大量的终端设备数据,物联网中数据流处理的安全性和实时性可以得到有效的提升。然而,在基于边缘的物联网流处理架构下,数据被暴露在边缘设备易受攻击的软件堆栈中,从而给边缘带来了新的安全威胁。为此,文章对基于可信执行环境的物联网边缘流处理安全技术进行研究。从边缘出发,介绍边缘安全流处理相关背景并探讨边缘安全流处理的具体解决方案,接着分析主流方案的实验结果,最后展望未来研究方向。     

可信云存储环境下支持访问控制的密钥管理

可信云存储采用本地数据加解密来保证用户外包数据在网络传输和云端存储的安全性.该环境下数据拥有者通过对数据密钥的安全共享和管理来实现对不同用户的选择性数据访问授权控制.针对多数据拥有者可信云存储环境,以最小化用户的密钥安全传输/存储等密钥管理代价及其安全风险为目标,提出了一种新的基于全局逻辑层次图(global logical hierarchical graph,GLHG)的密钥推导机制的密钥管理方法.该方法通过GLHG密钥推导图来安全、等价地实施全局用户的数据访问授权策略,同时利用云服务提供商(半可信第三方)来执行GLHG密钥推导图结构的管理并引入代理重加密技术,从而进一步提高密钥管理执行效率.阐述了基于GLHG密钥推导图更新的动态访问控制支持策略,并对该方法进行安全性分析和实验对比分析.     

基于BRLWE的物联网后量子加密技术研究

随着量子计算机的发展,现有的公钥加密体系无法保障物联网通信的安全性。后量子加密算法所基于的数学难题目前还不能被量子计算机攻破,因此具备良好的抗量子安全性,尤其是基于格的公钥密码体制,有望成为下一代公钥加密体系的主流。然而,后量子加密算法存在计算量大、存储空间大等问题,如果将其直接应用于物联网终端的轻量级设备中,会降低物联网环境的通信效率。为了更好地保护物联网通信安全,保障物联网通信效率,提出了Sym-BRLWE(symmetrical binary RLWE)后量子加密算法。该算法在基于二进制环上容错学习(BRLWE,binary ring-learning with errors)问题的加密算法的基础上,改进了离散均匀分布上的随机数选取方式和多项式乘法的计算方式,从而满足物联网通信的效率要求,增加了加密安全性防护性措施以保证算法在取得高效率的同时具有高安全性,更加适应于物联网轻量设备。安全性分析表明,Sym-BRLWE加密算法具有高安全性,从理论上能够抵抗格攻击、时序攻击、简单能量分析和差分能量分析;仿真实验结果表明,Sym-BRLWE加密算法具有通信效率高的优势,加密解密效率高且密钥尺寸小,在模拟8 bit微型设备的二进制运算环境下,选择140 bit的抗量子安全级别参数时,相较于其他已有的基于BRLWE的加密算法,同等加密条件下Sym-BRLWE加密算法能够在加密总时间上减少30%~40%。     

Secure mobile device structure for trust IoT

In the IoT environment, all devices are connected to each other, and mobile device is considered as key device. But hacking into mobile devices is increasing rapidly with the increase in mobile device users. As the market share of Android OS increases, hacking of mobile devices has focused on Android devices. Although there are many security solutions for mobile devices, they are fragmentary for mobile threats; that is, they are solutions for only several threats rather than comprehensive solutions. There is hence a limit to protecting user’s and company’s data stored or used on mobile devices from various types of hacking. To address this, we propose a mobile device protection technology based on domain isolation. Virtualization technology has emerged to increase CPU utilization in server-class PCs and to run various OSs in one system. As these virtualization technologies become lightweight, they are beginning to be applied to embedded devices. In this paper, we applied this lightweight embedded virtualization technology to mobile devices to divide mobile devices into two areas. Therefore, users can have hidden area from hacker attack in addition to Android OS area which can use same as existing mobile device. There is a hardware-based mobile security solution using an secure element, but this has to be reflected in the manufacturing process of the mobile device. However, since the domain separation technology using the virtualization, proposed in this paper, is a software solution, it has an advantage that it can be applied to a device that is already in use. In addition, to protect the hidden area, application authentication/authorization and user authentication technology were applied. And we use white-box cryptography to get root of trust of the key which is used for secure storage and data encryption/decryption. We believe this is a fundamental solution for protecting the mobile device users from hacking. We implemented and tested various mobile applications operating on a mobile device that incorporates our proposed structure based on domain isolation. There is some performance degradation caused by the domain separation, but it is negligible. According to https://www.wired.com/insights/2012/11/mobile-supercomputers/, the chips for mobile phones have evolved and mobile phones will soon become supercomputers. In this case, the addition of virtualization to the mobile device will have less impact on the computing power of the mobile device, and data protection stored in mobile devices and secure execution environment of security programs will become more important issues. Therefore, our TeeMo structure is a necessary technology to protect mobile device users.     

DECENT: Secure and fine-grained data access control with policy updating for constrained IoT devices

The Internet of Things (IoT) is a novel paradigm where many of the objects that surround us can be connected to the internet. Since IoT is always related to user’s personal information, it raises lot of data security and privacy issues. In this paper, we present a secure and fine-grained data access control scheme for constrained IoT devices and cloud computing based on hierarchical attribute-based encryption, which reduces the key management by introducing hierarchical attribute authorities. In order to relieve local computation burden, we propose an outsourced encryption and decryption construction by delegating most of laborious operations to gateway and cloud server. Further, our scheme achieves efficient policy updating, which allows the sender device to update access policies without retrieving and re-encrypting the data. The security and performance analysis results show that our scheme is secure and efficient.     

雾计算中支持计算外包的微型属性加密方案

密文策略属性加密为基于云存储的物联网系统提供了一对多的访问控制,然而现有方案中存在开销大、粒度粗等问题.基于此,结合雾计算技术提出了一种支持计算外包的微型属性加密方案.该方案缩短了密钥与密文的长度,减少了客户端的存储开销;将部分计算转载到雾节点,提高了加解密效率;具有更加丰富的策略表达能力,并且可以快速验证外包解密的正...     

嵌入式系统的安全启动机制研究与实现

针对目前移动智能平台系统面临的安全威胁,利用可信计算技术解决嵌入式系统的安全问题,是一种可行且高效的安全解决方案。在不改变现有移动设备硬件架构的前提下,提出了一种嵌入式平台系统的安全启动机制,将安全TF卡作为外置可信平台模块,构建了一条从Bootloader到上层应用程序的完整的信任链,该信任链的起点保护在安全TF卡的安全区域内,启动过程中各个组件的度量标准值由安全TF卡中的密钥签名存放。描述了该机制的实现过程,并对其安全性、效率进行了详细的分析测试。实验结果显示,该机制能够抵御针对嵌入式平台的多种攻击,有效保护嵌入式系统安全。     

A Cloud-Manager-Based Re-Encryption Scheme for Mobile Users in Cloud Environment: a Hybrid Approach

Cloud computing is an emerging computing paradigm that offers on-demand, flexible, and elastic computational and storage services for the end-users. The small and medium-sized business organization having limited budget can enjoy the scalable services of the cloud. However, the migration of the organizational data on the cloud raises security and privacy issues. To keep the data confidential, the data should be encrypted using such cryptography method that provides fine-grained and efficient access for uploaded data without affecting the scalability of the system. In mobile cloud computing environment, the selected scheme should be computationally secure and must have capability for offloading computational intensive security operations on the cloud in a trusted mode due to the resource constraint mobile devices. The existing manager-based re-encryption and cloud-based re-encryption schemes are computationally secured and capable to offload the computationally intensive data access operations on the trusted entity/cloud. Despite the offloading of the data access operations in manager-based re-encryption and cloud-based re-encryption schemes, the mobile user still performs computationally intensive paring-based encryption and decryption operations using limited capabilities of mobile device. In this paper, we proposed Cloud-Manager-based Re-encryption Scheme (CMReS) that combines the characteristics of manager-based re-encryption and cloud-based re-encryption for providing the better security services with minimum processing burden on the mobile device. The experimental results indicate that the proposed cloud-manager-based re-encryption scheme shows significant improvement in turnaround time, energy consumption, and resources utilization on the mobile device as compared to existing re-encryption schemes.     

雾计算中支持外包与撤销的属性基加密方案

雾计算将云计算的计算能力、数据分析应用等扩展到网络边缘,可满足物联网设备的低时延、移动性等要求,但同时也存在数据安全和隐私保护问题。传统云计算中的属性基加密技术不适用于雾环境中计算资源有限的物联网设备,并且难以管理属性变更。为此,提出一种支持加解密外包和撤销的属性基加密方案,构建“云-雾-终端”的三层系统模型,通过引入属性组密钥的技术,实现动态密钥更新,满足雾计算中属性即时撤销的要求。在此基础上,将终端设备中部分复杂的加解密运算外包给雾节点,以提高计算效率。实验结果表明,与KeyGen、Enc等方案相比,该方案具有更优的计算高效性和可靠性。     

基于TPM的可信文件系统CIVFS的研究和实现

本文提出一种利用可信计算技术增强文件系统可信性的方法,以Linux为基础,设计实现了一个可信文件系统原型CIVFS.CIVFS是一个结合加密和完整性校验两种保护措施的文件系统,它借助堆式文件系统技术,嵌入在Linux内核中,添加了文件加密和完整性校验模块,利用TPM芯片提供的可信计算和安全存储等功能,增强了对系统安全组件和数据的安全保护.