本发明涉及车辆通信领域，尤指一种v2x通信快速身份认证系统及方法。
背景技术：
v2x(vehicletoeverything)技术，既车辆与外界通信，是智能网联汽车的一项关键技术。随着lte-v和5g通信标准的推进和v2x应用场景的明晰，v2x的商用化脚步越来越近。v2x包括v2v，v2r，v2i等多种方式，相对于路侧设施和网络设备的信息安全防护水平及可信程度，车辆之间的通信安全性往往是大家最为关心的焦点。在v2x通信场景下，安全性主要包括保密性、完整性、可认证性和抗抵赖性。可认证性和完整性保护在v2x通信中尤为重要，特别是传递的信息都是关于道路紧急状况、拥堵状态和安全事故时，必须保证消息是合法设备所发出的，而且没有被篡改或者重放。但是可认证性一般要基于用户的身份进行鉴别，而直接使用车辆或者所有者的信息，又可能造成用户隐私泄露。因此要充分平衡可信和隐私保护，并且结合v2x通信高移动性、低时延要求等特点，选择有效的身份认证和完整性保护措施，构建v2x通信的安全可信体系。
在现有技术中存在一种pki/ca体系，该方案中通过证书，来证明用户的身份。为了兼顾隐私保护，欧盟研究项目preserve(preparingsecurev2xcommunicationsystems)提出了使用两种证书组合，多种ca级联的解决方案以同时满足v2x通信安全和隐私保护需求。
在现有技术中还存在另一种处理方案，该方案主要为美国v2x可信体系架构，该美国的v2x通信支持安全消息传递和重要信息收集(supportnhtsamission-basedinformationalneeds)。其可信体系整体架构与欧洲方案类似，也采用多级ca级联的pki/ca体系，同样存在两种证书：ltc和pc。为了优化性能，还增加了中间级ca。为了更加有效的管理恶意车辆，美国的体系中较欧洲方案增加了misbehaviorauthority，类似信用管理中心，负责记录曾经被判定为恶意的车辆信息。全美国共有8个pseudonymca中心，其中一个为gm运营；这些pca年签发5亿张证书，这是以往其它行业ca中心无法企及的体量。
上述方案中均使用了ca的级联，证书管理流程复杂，不适用于车车通信低时延要求；特别是pca中心需要持续快速生成大量证书，用于较短时间的通信各方身份认证与安全防护，这就要求ca中心要有很高的处理能力，容易存在性能瓶颈；同时，pc签发等环节会形成时延，与v2x通信高实时性要求不符。因此，该体系并不适合v2x应用场景要求。
技术实现要素：
本发明目的在于提供一种v2x通信快速身份认证系统及方法，能够满足v2x通信低时延，密钥需求量大的要求；可信技术体系能够提供身份认证和完整性防护等多项安全服务。
为达上述目的，本发明所提供的v2x通信快速身份认证系统具体包含：ltca模块、rootca模块、ibe服务器和v2x终端；所述ltca模块用于根据车辆信息生成身份标识并存储至对应车辆的所述v2x终端中；所述rootca模块分别与所述ltca模块和所述ibe服务器相连，用于根据验证请求通过所述ltca模块对车辆的身份进行验证，并将验证结果输出；所述ibe服务器与所述v2x终端通信连接，用于获取预定范围内车辆的身份标识，根据所述身份标识生成验证请求并发送至所述rootca模块；以及根据所述验证结果与所述身份标识，通过椭圆曲线算法生成通信密钥，将所述通信密钥输出至所述身份标识对应的所述v2x终端；所述v2x终端设置于车辆上，用于通过所述通信密钥对待通信的消息进行签名，将签名后的待通信的消息发送至待通信车辆上的所述v2x终端；以及校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。
在上述v2x通信快速身份认证系统中，优选的，所述通信密钥包含当前时段的域参数、域公钥和通信私钥。
在上述v2x通信快速身份认证系统中，优选的，所述v2x终端包含验证模块，所述验证模块用于根据椭圆曲线函数双映射特性校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。
在上述v2x通信快速身份认证系统中，优选的，所述v2x终端包含报警模块，所述报警模块用于在所述验证模块校验接收到的待通信的消息未通过时，生成报警信息并输出至所述ibe服务器。
在上述v2x通信快速身份认证系统中，优选的，所述ltca模块、所述rootca模块和所述ibe服务器之间通过有线通信连接；所述ibe服务器与所述v2x终端无线通信连接。
本发明还提供一种v2x通信快速身份认证方法，所述认证方法包含：根据车辆信息生成身份标识并存储；获取预定范围内车辆的身份标识，根据所述身份标识生成验证请求；根据验证请求通过生成所述身份标识的ltca模块对车辆的身份进行验证，并将验证结果输出；根据所述验证结果与所述身份标识，通过椭圆曲线算法生成通信密钥，将所述通信密钥输出至所述身份标识对应车辆的v2x终端；通过所述通信密钥对待通信的消息进行签名，将签名后的待通信的消息发送至待通信车辆上的所述v2x终端；待通信车辆上的所述v2x终端校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。
在上述v2x通信快速身份认证方法中，优选的，所述身份标识为车辆的vin号码及相关信息通过非对称加密算法生成的密钥信息。
在上述v2x通信快速身份认证方法中，优选的，所述待通信车辆上的所述v2x终端校验接收到的待通信的消息包含：根据椭圆曲线函数双映射特性校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。
在上述v2x通信快速身份认证方法中，优选的，所述根据校验结果与发送所述待通信的消息的v2x终端建立通信连接还包含：当校验接收到的待通信的消息未通过时，生成报警信息并输出。
本发明所提供的v2x通信快速身份认证系统及方法使用长期证书ltc作为v2x通信方的身份标识，有效的保护了用户隐私；ibe技术提供身份认证功能，又满足了系统对安全性的要求；同时，避免了签发pc通信证书的时间和系统资源开销，从而能够灵活部署；因此，使用ibe技术构建满足v2x通信可信体系整体来说更为可信且高效。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，并不构成对本发明的限定。在附图中：
图1为本发明所提供的v2x通信快速身份认证系统的结构示意图；
图2为本发明所提供的v2x通信快速身份认证方法的流程示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。
在本说明书的描述中，参考术语“一实施例”、“一具体实施例”、“例如”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本申请的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。各实施例中涉及的步骤顺序用于示意性说明本申请的实施，其中的步骤顺序不作限定，可根据需要作适当调整。
请参考图1所示，本发明所提供了一种v2x通信快速身份认证系统，该认证系统具体包含：ltca模块、rootca模块、ibe服务器和v2x终端；所述ltca模块用于根据车辆信息生成身份标识并存储至对应车辆的所述v2x终端中；所述rootca模块分别与所述ltca模块和所述ibe服务器相连，用于根据验证请求通过所述ltca模块对车辆的身份进行验证，并将验证结果输出；所述ibe服务器与所述v2x终端通信连接，用于获取预定范围内车辆的身份标识，根据所述身份标识生成验证请求并发送至所述rootca模块；以及根据所述验证结果与所述身份标识，通过椭圆曲线算法生成通信密钥，将所述通信密钥输出至所述身份标识对应的所述v2x终端；所述v2x终端设置于车辆上，用于通过所述通信密钥对待通信的消息进行签名，将签名后的待通信的消息发送至待通信车辆上的所述v2x终端；以及校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。其中，所述通信密钥包含当前时段的域参数、域公钥和通信私钥。值得说明的是，在上述实施例中，所述ltca模块包含多个ltca认证端，车辆在出厂时，各车辆制造商即可根据车辆的相关信息通过非对称加密算法等方式对其进行加密，生成唯一标识的身份标识，该身份标识即为ltc，通常情况下该ltc可永久使用，复用率较高。
在上述实施例中，所述v2x终端可包含验证模块，所述验证模块用于根据椭圆曲线函数双映射特性校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。所述v2x终端还可包含报警模块，所述报警模块用于在所述验证模块校验接收到的待通信的消息未通过时，生成报警信息并输出至所述ibe服务器。其中，根据椭圆曲线函数双映射特性校验接收到的待通信的消息的方法将在后续详述，在此就不再说明，当验证未通过时，接收端的车辆可将该消息上传至ibe服务器备案，进行后续补充验证或记录，本发明在此就不再详述，本领域相关技术人员可根据实际需要选择设置。
在上述实施例中，为保证v2x通信快速身份认证系统的通信安全，所述ltca模块、所述rootca模块和所述ibe服务器之间通过传统的有线通信连接的方式进行连接，例如光纤网络连接等；而所述ibe服务器与所述v2x终端无线通信连接，例如蜂窝通信网络无线连接等。
为更清楚的说明本发明所提供的上述v2x通信快速身份认证系统，以下将整体对上述实例做进一步说明，其目的仅在于帮助理解本发明所提供的方案，并不构成对本发明的进一步限定。
本发明整体方案主要包括4类基本组成部分：ltca模块、rootca模块、ibe服务器、v2x终端。其中，ltca模块与rootca模块，root服务器与ibe服务器之间通过传统通信网络，连接需安全可靠，用来传送验证请求、待验证证书信息以及验证结果；ibe服务器与车辆之间通过蜂窝通信网络无线连接，用来传送域参数，车辆通信私钥等参数，以及车辆向ibe服务器报告异常车辆。车辆与车辆之间通过v2x终端通信无线连接，先传送签名进行验证，并且当确认车辆身份无异常后，车辆之间互相传送v2x各类应用信息。
ltca模块给作为车辆零部件的v2x终端发放永久证书ltc，用来证明该车辆和车辆中的v2x终端的合法性，并起到标识的作用。ltc证书类似于以往的vin号码但是包含更多信息，例如非对称加密算法生成的密钥信息，可以用于身份认证。ltc一般会在车辆生产时就预置到v2x终端中，正常情况下可以永久使用。由于ltca模块通常为整车厂自主维护，而道路上需要进行车车通信的车辆来自不同车厂，因此需要建设国家层面的顶级ca中心rootca模块，也叫根ca(主备，或者负载均衡等形式)，实现各ltca模块之间的互联互通。当ibe服务器向rootca模块查询ltc的真实性时，rootca模块将向车厂的ltca模块转发该验证申请，并将认证结果转回到ibe服务器。
ibe服务器完成其所管理的域内的域参数选择，对域内车辆发送域参数p以及域公钥ppub＝s·p，以及该车辆的通信私钥dltc＝s·qltc。根据v2x通信终端数量，将部署多个ibe服务器系统，实现负载分担。其后，车辆基于通信私钥、域参数及域公钥，对需要传输的消息进行签名并发送。接收车辆完成验签。如有异常，接收车辆向ibe服务器发送告警信息。
再请参考图2所示，本发明还提供一种v2x通信快速身份认证方法，所述认证方法包含：s101根据车辆信息生成身份标识并存储；s102获取预定范围内车辆的身份标识，根据所述身份标识生成验证请求；s103根据验证请求通过生成所述身份标识的ltca模块对车辆的身份进行验证，并将验证结果输出；s104根据所述验证结果与所述身份标识，通过椭圆曲线算法生成通信密钥，将所述通信密钥输出至所述身份标识对应车辆的v2x终端；s105通过所述通信密钥对待通信的消息进行签名，将签名后的待通信的消息发送至待通信车辆上的所述v2x终端；s106待通信车辆上的所述v2x终端校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。其中，所述身份标识为车辆的vin号码及相关信息通过非对称加密算法生成的密钥信息。当然实际工作中，工作人员也可通过其他加密方法对其进行加密，本发明在此并不做过多限制。
在上述步骤s106中，所述待通信车辆上的所述v2x终端校验接收到的待通信的消息包含：根据椭圆曲线函数双映射特性校验接收到的待通信的消息，根据校验结果与发送所述待通信的消息的v2x终端建立通信连接。其中，所述根据校验结果与发送所述待通信的消息的v2x终端建立通信连接还包含：当校验接收到的待通信的消息未通过时，生成报警信息并输出。
在上述实施例中,主要理论依据为：ibe技术所使用的椭圆曲线算法，具有双线性映射的特性。举例来说，设g1，g2是两个阶为q的循环群，q是一个大素数，g1是加法群，g2是乘法群。两个群之间的双线性映射为paire：g1*g1→g2满足以下条件：当p，q属于g1时：
paire(ap，bq)＝paire(p,q)ab，其中a，b为属于z的任意数；
建立以ibe服务器为中心的可信系统，首先选择系统参数g1、g2、
按如下算法生成签名：k为发送消息的车辆选择的随机数，满足
(r,t)∈g1╳g1；(1)
r＝k·p；(2)
t＝k-1(h2(m)·p,h3(r)·dltc)；(3)
验签是基于椭圆曲线函数双映射特性。验签时，通过分别计算以下等式(4)等号两侧的值，判断是否相等。如果相等则认为用户可信，否则身份认证不通过：
等式推导过程如下：
为此，以车辆间通信为例，当车辆进入某ibe服务器所管理的域时，首先向ibe服务器提交ltc。ibe服务器将ltc转发rootca模块请求验证，并接收验证结果。
接收到验证通过的反馈后，车辆在需要发送消息时，首先进行v2x认证。流程如下：
步骤1：ibe服务器向其管理的域内的已经通过ltc有效性验证的车辆下发本时段的域参数p以及域公钥ppub＝s·p。p将用来计算进行签名时所需的r＝k·p。同时，域服务器下发该车辆的通信私钥；
步骤2：当车辆要发送消息是，首先选择随机数k，满足
(r,t)∈g1╳g1
r＝k·p
t＝k-1(h2(m)·p,h3(r)·dltc)
步骤3：接收车辆验签，也就是判断以下等式是否成立。如果等式成立，则发送消息的车辆身份可靠，接收车辆将保留发送车辆的公钥等信息供后续通信使用。如有等式不成立，接收车辆将报告ibe服务器，该发送车辆身份可疑。并且不再接收该车辆发出的信息。
基于此，本发明所提供的v2x通信快速身份认证系统及方法使用长期证书ltc作为v2x通信方的身份标识，有效的保护了用户隐私；ibe技术提供身份认证功能，又满足了系统对安全性的要求；同时，避免了签发pc通信证书的时间和系统资源开销，从而能够灵活部署；因此，使用ibe技术构建满足v2x通信可信体系整体来说更为可信且高效。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。