我国政务网越来越多地使用蜂窝通信等无线信道。由于其无线信道的空口开放、部署范围的地域开阔、系统节点的丢失被俘等原因，安全认证问题是政务网的第一道防线。

政务网安全防护需要重点实施节点设备认证和信息传输加密。设备认证是指通过信息技术对设备或网络的身份进行鉴别，并验证其身份真实性与访问权限的过程。设备认证是政务网安全防护功能的基础和核心，本文对政务网设备安全认证技术展开研究。

1、安全认证技术

政务网设备认证通过交换认证信息完成双方身份的鉴别。认证信息是用于证明设备所宣称的唯一性的参数，可包括设备唯一序列号、随机数或通信网系信息等。认证信息一般使用认证算法进行保护。

1.1 认证算法

认证算法是用于保护认证信息不被第三方假冒、篡改的数学方法。认证算法区别于通信网络中的信息加密算法、密钥协商算法，主要包括预共享密钥的对称算法和使用非对称密钥的非对称算法。在具体实现中，可根据政务网的组网方式和信道带宽等情况选择，使用对称密码体制和非对称密码体制；根据安全强度要求，可选择使用不同的密钥长度。

对称密码体制在加密方和解密方使用同一个密钥，即认证双方需要共享一个共同的密钥。对称密码体制的优点是速度快，缺点是密钥的分发和管理非常复杂、代价高昂。对于具有n个设备的网络，需要n(n－1)/2个密钥。在设备数量不大的情况下，对称密码体制是有效的；但是对于大型网络，当设备数量很大、分布很广时，密钥的分配和保存就成了大问题。

非对称密码体制采用的加密钥匙（公钥）和解密钥匙（私钥）是不同的，认证双方不需要共享相同的密钥。由于加密钥匙是公开的，密钥的分配和管理就很简单，比如对于具有n个设备的网络，仅需要2n个密钥。公开密钥加密体制还能够很容易地实现数字签名。目前，公开密钥加密体制已成为设备认证和身份认证等应用的首选技术。

目前，主流的非对称认证算法主要有RSA/DSA和ECC。与RSA/DSA算法相比，ECC算法计算量小，运算速度快，带宽要求低，在相等密钥强度条件下，其密钥长度和计算速度都有较大的优势。因此，ECC算法更加适合政务网环境。非对称认证算法的强度比较如下表所示。

表1  非对称认证算法的强度比较

综上所述，在政务网设备认证中，由于对称密码体制需要通信双方共享相同的密钥，因此采用对称密码体制不能标识通信实体的唯一身份；非对称密码体制不需要通信双方共享密钥，通信实体的私钥只有通信实体自己拥有，因而采用非对称密码体制能够标识通信实体的唯一身份。因此，对称密码体制只适用于事先已具有相互信任基础条件的通信实体之间的身份鉴别，而非对称密码体制可适用于事先不具有相互信任基础条件的通信实体之间的身份鉴别。

1.2  认证流程

政务网设备认证可采取单向或双向认证的方式，每种方式又可采用不同的认证算法，形成了不同的<算法、方向>认证流程。

采用非对称体制的通信实体身份单向认证流程如下图所示：

 

 

 

 

 

图1  采用非对称体制的单向认证流程

采用非对称体制的通信实体身份双向认证流程如下图所示：

 

 

 

 

 

图2  采用非对称体制的双向认证流程

采用对称体制的通信实体身份单向认证流程如下图所示：

 

 

 

 

图3  采用对称体制的单向认证流程

采用对称体制的通信实体身份双向认证流程如下图所示：

 

 

 

 

 

图4  采用对称体制的双向认证流程

1.3  认证时机

政务网设备认证时机有所不同，一般可以选择在链路建立阶段或业务阶段进行认证。在建链阶段进行认证，可以确保无线信道资源不被滥用，但是由于受通信带宽影响，所采用认证信息和认证流程都受到限制，认证强度有限；在业务阶段进行认证，由于有一定的带宽保证，可以适当增强认证强度，以提供更高等级的安全防护，但不能控制非授权设备的入网。

2、政务网认证体系

根据政务网组网方式和通信信道特点，政务网主要可分为两类：一类是有中心的无线网络，在该类系统中，通信实体需首先向中心端进行入网注册后才能与其他通信实体进行通信；另一类是无中心的无线网络，如Ad Hoc无线自组织网等。

针对有中心端的无线网络，可与通信设备注册入网过程控制紧密结合，采用单向认证的方式，中心端可以保存所有机动用户的公开数字证书信息，负责鉴别入网设备的身份，而入网设备不需鉴别中心端的身份。采用ECC非对称算法的不同密钥长度的单向认证实现方案对比如下表所示。

表2  采用ECC算法的单向认证方案

表中的“时戳”可以认为是一个逻辑的概念。在有时统的政务网中，可使用当前时刻作为“时戳”；在没有时统的政务网中，可使用单调递增

的序列号作为“时戳”使用。

在无中心的无线网络中，通信实体之间事先难以保存对方的公开数字证书信息的情况下，一般采用双向鉴别的方式，以保证通信系统的安全。采用ECC非对称算法的不同长度密钥双向认证实现方案对比如下表所示。

表3  采用ECC算法的双向认证方案

3、结语

政务网无线通信信道类型较多，涉及蜂窝通信、卫星通信等多类型无线通信信道，除了使用ECC等传统技术外，还可以使用CPK、IBE等新型认证体制，这些新的设备认证技术强度更高、密钥管理工作量更小，在政务网中如何用好这些安全认证技术是一个值得深入研究的长期课题。（作者单位：中国电子设备研究所）