近年来，随着物联网行业的发展，边缘计算技术得到了长足的发展，边缘计算与物联网的融合也越来越紧密^[10]。由于存储的任务复杂度相对于计算更低，实现更为容易，所以首先在边缘网络中引入的功能是存储。随着技术的演进，在物联网移动通信中，将存储和计算能力一起下放到移动基站，使得结合缓存和计算能力来提高物联网系统效能的边缘计算进入到研究者的视野中。工业界在具体的应用场景上对边缘计算结合物联网进行了大胆的尝试，目前边缘计算在物联网中已经有很多应用^[11]，如智能车联网^[12]、智慧医疗^[13]、智慧家居^[14]、智慧电网^[15]等。

Xie等^[16]提出了一种基于卷积神经网络（Convolutional Neural Network，CNN）增强射频指纹的物联网认证方案。在该方案中，边缘服务器在接收设备发来的射频信号时，可以通过直接处理射频信号的瞬态波形来识别设备。这种认证方式无须再次使用加密算法处理认证身份信息，降低了设备在认证过程中的加密计算开销，提高了认证效率，满足物联网实时接入认证的需求。但该方案有着非常高的训练成本，且认证存在精度方面的挑战。Zhang等^[17]提出了一种结合第五代通信技术（5th Generation Mobile Communication Technology，5G）和边缘计算技术的隐私保护认证框架。该方案将有助于构建基于边缘计算的5G车联网系统框架，以解决现有车联网中的系统性能和网络负载问题。该框架采用模糊逻辑，同时考虑车辆间距离和可用计算性能等多个指标。然而，该方案没有考虑车辆本身属于低资源移动单位，难以承载大量的运算。Wu等^[18]提出了一种基于无人机辅助的边缘计算车联网认证方案。方案将RSU作为移动边缘计算服务器，用于处理来自车辆的数据。当车辆需要认证时，可以将认证请求交由RSU来处理。并且，在方案中TA还可以进一步跟踪车辆的身份信息。然而认证信息需要通过无人机向RSU广播，这使得方案对实际场景的要求过于严苛，难以部署到多变的实际交通场景中。Xiao等^[19]提出了一个最小优化问题，对计算卸载决策、数据包传输速率、边缘计算频率和数据块数目进行了联合优化，得到最优的目标值，该目标值能够同时兼顾时延和认证安全性。但是该方案只是优化了认证请求的过程，依然没有解决认证时的计算复杂度问题。Zeng等^[20]提出了一种具有完全可否认性的隐私保护认证方案，以避免边缘计算中物联网设备的位置泄露。该方案通过使用拒绝认证的反馈减少了认证通信次数，但对边缘设备的诚实度要求过高。Jia等^[21]提出了一种不需要加密算法的匿名认证方案。方案允许使用用户密码和生物识别技术，利用口令和生物特征生成的假名，使得移动用户对其他内部或外部用户都是匿名的。但方案中依然使用双线性映射，没有达到轻量级的要求。Nakkar等^[22]提出了一种基于秘密共享和对称密钥密码体制的轻量级组认证协议。方案实现了异步多重身份验证、密钥协商和前向保密，并且在面对分散式大规模身份验证时有一定的优势。此外，方案还增加了有效的会话密钥更新机制，而无须重新分配。在边缘节点瘫痪的区域，车辆用户无法访问TA。Kwon等^[23]提出了一种新的广播认证协议，该协议能够在装备边缘计算（Mobile Edge Computing，MEC）的无人机上恢复服务。该协议通过自认证公钥密码体制，无需TA即可验证通信方的合法性，为无人机和车载用户提供了高可靠性。该协议可以认证每个参与者以证明他们的合法性，而不需要在认证阶段使用自认证公钥密码系统^[24]的中央服务器。此外，所提出的协议使用生物哈希技术来确保登录过程的安全性。Chang等^[25]提出了一种用于物联网设备的无人机辅助MEC系统，其缺点是本地计算资源有限。为了平衡每架无人机的工作量，他们提出了一种使用差分进化技术的无人机部署机制。Zhang等^[26]使用深度强化学习优化了无人机辅助MEC环境中的无人机轨迹。在他们的系统模型中，协议根据用户分配、计算资源和无人机带宽提供物联网服务。Liu等^[27]讨论了一种无人机辅助MEC通信架构，以优化能源效率。在该网络架构中，MEC无人机可以执行从移动的用户上卸载计算任务和发挥数据解码和转发的功能。但方案只是在降低TA的负载和提高认证链路的安全性方面具有优势，移动设备的计算负担仍面临巨大的挑战。

移动边缘计算是一种分布式计算技术，已经成为一种有前途的解决方案^[28]。移动边缘计算将计算服务扩展到网络内的边缘基础设施。在移动边缘计算环境中，边缘节点可以通过合并足够的计算资源来分配中央云服务器上的负载以处理数据。因此，移动边缘计算具有减轻云服务器负担、提高数据处理速度、缓解瓶颈和最小化传输延迟的优点。同时，边缘任务的个性化部署能够有效节省总体资源，减少单个边缘设备的资源浪费。

区块链由于本身具有不可篡改、可溯源的特点，因此在物联网与边缘计算的数据安全和隐私保护的解决方案中，将区块链融合到边缘计算体系的架构也越来越受到人们的关注^[29]。当前，边缘计算与区块链融合的主要研究思路是，结合边缘计算和区块链的特点探索新型系统网络架构，将原本部署在云端的区块链系统通过轻节点接入、计算卸载、区块链轻量化等技术方案渗透到边缘计算设备中^[30]。学者们提出了许多集成边缘计算和区块链的架构模型，每个架构都有其独特的初衷、设计理念和工作环境。

Sharma等^[31]提出了一种混合分布式区块链架构，该架构由物联网设备层、边缘计算雾节点层和云服务层组成。物联网数据经过格式化处理后上传到边缘计算雾节点层，之后雾节点通过轻节点的方式加入到区块链网络中，并将数据的摘要保存到区块链网络中。这种架构在一定程度上解决了传统中心化云计算的数据安全性问题，但其边缘计算节点是以轻节点的方式加入到区块链网络中，其区块数据仍然保存在云端的全量区块链网络中，并没有实现边缘计算节点全量加入区块链网络的目的，不能避免数据在传输到云服务时的篡改风险。Tandon等^[32]提出了一种基于双区块链的分散架构，用于车辆身份验证和网络内安全高效的通信。该架构利用两个区块链，一个用于维护分散的车辆登记记录，另一个用于在网络中共享消息。这种模式可使任一区块链的性能提高，但也使得系统总开销增大，在实际应用中总资源需求并没有降低。Shahidinejad等^[33]提出了一种区块链辅助跨域认证协议，用户只须在云服务器上进行一次注册，即使跨域访问也能完成认证，此外区块链同时保证了认证记录的真实性和可追溯性。但方案没有考虑数据的跨域安全问题。Badshah等^[34]提出了一种基于投票的匿名认证密钥交换机制，减少了服务器的负载。Zhang等^[35]设计了一种双区块链辅助条件隐私保护认证协议，可以在不依赖可信中心的情况下实现身份验证和隐私保护。Son等^[36]提出了一种区块链辅助的初始认证和切换认证协议。车辆完成初始身份验证后，仅使用哈希和异或操作即可向其他通信节点进行身份验证。Yang等^[37]提出了一种基于量子密钥分发的安全高效的区块链车联网认证方案。方案通过轻量级签名算法和量子认证密钥，支持车辆与多台服务器之间的高效认证和再认证。但他们都没有考虑区块链的存储代价，使得系统整体负载没有得到优化。

当多方需要在多域网络中共享信息时，区块链是一个非常好的工具。当区块链技术融入IoT环境时，需要考虑的一个重要因素是链上存储的管理。大多数物联网设备都是资源受限的，而且每个身份验证参数在所有区块链对等点之间都是复制的，这会产生大量的存储成本^[38]，增加总体数据存储需求，同时也增加了维护区块链网络所需的计算资源，使高效的链上存储实践成为关键考虑因素^[39]。

如图2所示，本方案的网络架构主要包含可信中心TA、RSU、RSU集群和车辆。在该模型中，RSU与TA以及RSU与RSU之间通过有线连接的方式通信，RSU与车辆之间使用无线连接的方式直接通信。

以下是对实体的简述：

（1）TA，是一个可信的管理中心。首先，TA能够生成用户的公共参数以及私钥和公钥的部分。其次，它负责车辆和RSU的注册，以及管理车辆的认证信息。此外，它还负责做出RSU集群规划，划分出合适的集群。

（2）RSU，是路边单元，通常被部署在道路两侧，且具有一定的计算能力。在本方案中，RSU被认为是半可信的实体，它们在极端情况下会因损坏而造成计算错误等，使得通信或认证过程异常，但RSU不会主动破坏通信环境和认证流程。此外，RSU能够协助车辆认证并承担TA的一些计算开销。

（3）RSU集群，是部分RSU被TA划分后形成的群体。当车辆上线认证时，会同步向TA发送行驶路径，TA将根据车辆的路径拓扑出需要通信的RSU节点，并使用k-均值聚类将RSU划分出不同的集群。这个集群形成后，车辆只须与集群认证，即可在集群中直接通信。

（4）车辆。车辆向TA发送注册申请，获得车辆临时身份和私钥信息，并利用其向RSU发起认证请求。车辆利用与RSU建立的会话密钥解密获得系统提供的服务，以此实现智能交通的应用。

在此模型中，TA和RSU是静态节点，因此它们之间的连接可以看作是稳定的有线链路或长链路，只须在系统建立时完成一次认证。RSU集群是由部分近邻RSU组成的集群。车辆是一个动态节点，在行驶过程中直接与RSU建立无线链路。

本文中使用的符号和相应描述如表1所示。

本文方案采用广泛认可的Dolev-Yao威胁模型。在Dolev-Yao模型中，攻击者（表示为$\mathcal{A}$）可以拦截公共通道中交换的所有数据。对手还可以操纵、删除、重放，或在传输过程中伪造数据，达到欺骗目的。

此外，假设对手熟悉本文方案的整个过程。

（1）车辆是移动设备，其自身的安全性是未知的，因此认为它们处于不安全的环境中，不值得信赖。因此，攻击者可以在车辆注册阶段之外的任何阶段访问和损坏车辆。

（2）假设TA和RSU处于安全环境中，这意味着它们不能被对手访问或破坏。但是，假设攻击者可以捕获节点之间的通信信息。

本文方案的目标是在车联网环境中实现安全高效的身份认证。我们认为，车联网环境中的认证和密钥协议方案应该满足以下安全要求：

（1）相互认证。由于通信实体不可信，未经授权的恶意设备可能会泄露敏感数据。因此，在建立会话密钥和通信之前，必须对TA、RSU和车辆进行相互认证。

（2）会话密钥协商。对于通信频繁的实体，使用对称密钥作为会话密钥是为了提高系统效率。因此，在相互认证后，RSU和车辆需要建立一个对称的会话密钥，以便后续通信。

（3）抵抗已知攻击。方案必须能够抵抗现有的攻击，如冒充、中间人攻击、数据篡改、重放、捕获设备、内部特权攻击等。

（4）抵抗RSU节点破坏攻击。RSU属于户外节点，其物理安全性无法得到保障。因此，方案必须考虑在RSU被破坏或意外失效的情况下，系统依然能够高效运行。

为了完成车辆和RSU的动态安全认证，本文方案的认证模型主要包含4个阶段，分别为系统初始化阶段、车辆上线认证部署阶段、车辆认证阶段和车辆下线阶段。以下是对认证模型中4个阶段的简述：

（1）系统初始化阶段。认证系统在这个阶段完成初始化，为系统中的实体配置身份并选择系统参数，主要包括实体身份、算法和算法参数等。

（2）车辆上线认证部署阶段。当车辆需要进入认证系统运行时，将通过这一阶段为上线的车辆部署相应的认证策略。在这个过程中，认证信息首先会通过本文方案中设计的加解密算法在系统中加密交流。进一步，由TA使用饱和RSU网络拓扑生成算法计算出RSU的饱和网络。最后，TA利用基于平衡k-均值聚类的集群划分算法将RSU网络划分成合适的集群并部署信任。

（3）车辆认证阶段。车辆和RSU在此阶段通过使用方案中设计的密钥同步算法计算出通信密钥，完成认证和密钥协商。

（4）车辆下线阶段。当车辆下线时，在此阶段释放相关认证的资源。

混沌系统具有无限周期、随机相似性、遍历性、长期不可预测性和高灵敏度等良好的动态特性，符合一个好的密码系统的要求，因此混沌系统被用于解决密码学问题。在精度有限的设备上实现的混沌映射定义如下：

其中，f为混沌函数，x =X为第i次迭代的状态变量，FP_n(•)为控制状态变量精度的函数。以不动点表示为例，可以假设一个混沌变量用$x = 0.{x_1}{x_2}{x_3} \cdots {x_N}$表示，其中N为计算精度。Logistic Map计算简单，非常适合物联网环境，其映射方式如下：

其中，µ∈(1,4)，x_i∈(0,1)，i∈N。当 3.569 9···<µ≤4时，系统处于混沌状态。同时，混沌系统是确定性的，因为随机输出完全由x₀和µ 决定。由于Logistic Map是伪随机的，结果值落在(0,1)的无限空间中，因此可以利用它来计算私钥。

Logistic Map的运算简单，具有无法通过片段序列推断生成器状态、微小扰动即可生成完全不同的密钥流和抵抗高复杂性破坏频率分析等传统破译手段的优势，非常适用于小型加密安全算法。但其具有密钥空间有限的缺点，因此本文采用混合架构，结合哈希函数的无限可输入性，设计一种基于时间事件的轻量级加解密算法${{\mathrm{EN}}} (p,m,t)/{{\mathrm{DEC}}} (p,e,t)$，如算法1所示。

在交换密钥过程中，使用传统的双线性对等密钥交换方法会造成大量的计算开销，这进一步增加了车辆等资源有限设备的负担。因此，利用Logistic Map运算简单的优势，并结合哈希算法的单向输出的特性，提出一种混合架构的动态密钥同步算法${\mathrm{TKGen}}(x)/{\mathrm{RKGen}}(x)$，如算法2所示。

TA在接收到车辆的行驶路径时，需要根据行驶路径获取所有路径上的RSU。为避免RSU在运行过程中出现意外损坏或敌手破坏，将路径上的RSU向周围拓展，引入备用RSU，当路径上的RSU失去功能时，还可以向周围最近的RSU请求协助，形成饱和式部署环境。假设TA本地储存了实时更新的全体RSU网络拓扑图，那么需要通过这一整体图生成基于车辆路径的网络拓扑图，具体步骤如算法3所示。

平衡k-均值聚类是一种在k-均值基础上增加簇大小约束的算法，适用于需要均匀划分数据的场景。这符合本方案所提出的系统对集群大小具有良好的可控性的需求。在网络中，RSU之间的距离由网络拓扑距离计算，即在网络拓扑图中，两个RSU之间的最短路径中包含边的个数，记作mindist(r_i, r_j)。为使得过远的RSU也被划分到同一集群，设置门限值为maxdist，当距离超出门限值时，认为两个RSU不可达，即无穷远。因此，RSU之间的距离定义如下：

由于RSU会聚集在车辆的行驶路径两侧，具有一定的规律性，因此对传统的平衡k-均值聚类做了优化，具体如算法4所示。将RSU数量记为N，集群大小记为k，迭代次数为T，则传统的算法复杂度为O(N·k·T)，经过优化后的算法只迭代一次，因此时间复杂度为O(N·k)。

（1）TA初始化阶段。TA为系统中的实体生成相应的私有和公共参数。TA为两个密钥生成算法${{\mathrm{TKGen}}} (x)/{{\mathrm{RKGen}}} (x)$和加解密算法${{\mathrm{EN}}} (p,m,t)/ {{\mathrm{DEC}}} (p,e,t)$选择安全的参数。TA规定密钥长度，选择一个安全的密钥生成算法为注册实体生成初始密钥。

（2）RSU初始化阶段。在ITS中，需要接入IoV的RSU需要向TA注册。TA首先为它们分别分配一个唯一的标识符$ID_{{\mathrm{rsu}}}^i$，其中$ID_{{\mathrm{rsu}}}^i$表示RSU_i的唯一标识符。接下来，RSU之间以及RSU与TA之间完成身份验证，并建立加密通道以传输信任参数。

（3）车辆初始化阶段。当一辆新车在TA注册时，TA首先为其分配一个唯一的标识符ID_v。接下来，TA选择一个随机数x作为车辆的通信主密钥P_m。TA通过安全通道向车辆发布(ID_v, P_m)。

如图3所示，车辆初次上线时，进行第一次认证。在这次认证中，车辆除了上传认证数据外，还需要上传行驶路径至TA，TA对车辆的行驶路径进行分析聚类，划分出相应的RSU集群，最后TA对每个集群部署对应的ID和信任参数。具体步骤如下：

步骤1：首先，车辆与附近的RSU_x建立无线通信，进行上线认证。车辆生成行驶路径Route，选择一个随机数x、当前消息的序列号s和当前时间戳t作为认证信息。然后车辆计算出$x' = I{D_v} \oplus x \oplus s \oplus {T_s}$，以及认证消息密文的值$ {e_{x'}} = {{\mathrm{En}}} ({P_m},x',{T_s}) $和路径的密文信息$ {e_{Route}} = {{\mathrm{En}}} ({P_m},Route,x) $。最后车辆把消息$ \left\{ {{e_{x'}},I{D_v},s,{T_s},{e_{Route}}} \right\} $发送给RSU_i。

步骤2：RSU_i从车辆接收到上线请求信息$ \left\{ {e_{x'}}, I{D_v},s,{T_s},{e_{Route}} \right\} $后，将$\{ {e_{x'}},I{D_v},s, {T_s},ID_{{\mathrm{rsu}}}^i,{e_{Route}}\} $连同自己的信息发送给TA请求认证。

步骤3：TA收到请求信息$\{ {e_{x'}},I{D_v},s,{T_s},ID_{{\mathrm{rsu}}}^i, {e_{Route}}\} $。TA对密文进行解密得到$ x' = {{\mathrm{Dec}}} ({P_m},{e_{x'}},{T_s}) $，并计算出$x'' = x' \oplus I{D_v} \oplus s \oplus {T_s}$。接下来TA对路径信息进行解密，获得车辆的行驶路径$ Route = {{\mathrm{Dec}}} ({P_m}, {e_{Route}},x'') $。TA通过算法3和算法4划分出N个RSU集群G，记${g_i}$为G中第i个集群，RSU数量为m，则集群标识为$ ID_G^i=\mathrm{\mathit{\mathrm{Hash}}}\left(ID_{\mathrm{rsu}}^1||ID_{\mathrm{rsu}}^2||...||ID_{\mathrm{rsu}}^m\right) $。随后TA计算出每个集群的信任参数$ T{R}_{i}=\mathrm{TKGen}({x}^{\prime\prime}\Vert I{D}_{v}\Vert {T}_{s}\Vert {P}_{m}\Vert I{D}_{G}^{i}) $，最后把信息$\{ T{R_i},I{D_v},ID_G^i,{g_i}\} $分别安全发送至RSU_i和其以外每个集群中的一个RSU。

步骤4：RSU接收到TA分发的认证参数$\{ T{R_i}, I{D_v},ID_G^i,{g_i}\} $后，在群组内安全广播，将参数分发至组内各节点。这里所提到的安全广播是指使用对称加密点对点安全方法分享数据。广播后，RSU会收集分发情况反馈至TA，若TA没有收到分发结果，将重新下发至组内其他节点，以保证参数下发正确。

集群信任部署完成后，RSU会主动开始与车辆的认证。此外，当车辆行驶过程中与新的RSU重新建立认证，如当前认证RSU是已认证集群中的，则无须再次认证，否则重新建立集群认证。在车辆与RSU建立连接的时候，车辆的ID_v已经公开并被RSU获取。如图4所示，车辆开始与集群G_i中的节点RSU_x认证时，由RSU_i发出认证信息，车辆认证成功后返回密钥参数，与RSU_i建立通信密钥。具体步骤如下:

步骤1：首先，RSU_i生成当前消息的序列号$s'$和时间戳${T_{s'}}$作为认证信息，然后计算出$M = ID_G^i \oplus I{D_v} \oplus s' \oplus {T_{s'}}$和$ {e_{{{x'}_i}}} = {{\mathrm{En}}} (T{R_i},M,{T_{s'}}) $，最后RSU_i向车辆发送消息$ \left\{ {{e_{{{x'}_i}}},I{D_v},ID_{{\mathrm{rsu}}}^i,ID_G^i,s',{T_{s'}}} \right\} $进行认证。

步骤2：车辆接收到认证信息$ \left\{ {e_{{{x'}_i}}},I{D_v},ID_{{\mathrm{rsu}}}^i, ID_G^i,s',{T_{s'}} \right\} $后，计算信任参数$ T{R}_{i}=\mathrm{TKGen}(x\Vert I{D}_{v}\Vert {T}_{s}\Vert {P}_{m}\Vert I{D}_{G}^{i}) $，其中x和${T_s}$为车辆上线时的参数。计算出认证信息$M' = ID_G^i \oplus I{D_v} \oplus s' \oplus {T_{s'}}$，验证$ {e_{{{x'}_i}}} = {{\mathrm{En}}} (T{R_i},M', {T_{s'}}) $，若等式成立，则认证成功。车辆生成当前消息的序列号$s''$和时间戳${T_{s''}}$，并使用信任$ T{R_i} $计算出随机通信密钥$ {P}_{r}=\mathrm{RKGen}(T{R}_{i}\Vert I{D}_{v}\Vert I{D}_{G}^{i}\Vert {T}_{{s}^{\prime }}\Vert {T}_{{s}^{\prime\prime}}) $，并向RSU_i发送认证成功信息$ \left\{ {I{D_v},s'',{T_{s''}}} \right\} $。

步骤3：RSU_i接收到车辆发送的成功认证信息$ \left\{ {I{D_v},s'',{T_{s''}}} \right\} $，计算出随机通信密钥$ {P}_{r}=\mathrm{RKGen} (T{R}_{i}\Vert I{D}_{v}\Vert I{D}_{G}^{i}\Vert {T}_{{s}^{\prime }}\Vert {T}_{{s}^{\prime\prime}}) $。

当车辆离开RSU集群的通信范围或完成此行程时，RSU集群需要通知周围节点车辆离线。如果收到离线通知的RSU记录了车辆的相关认证信息，就会删除对应车辆的信息，并继续传播离线通知。否则，RSU将丢弃此通知消息。

使用ROR模型对本文提出的协议进行形式化的安全性分析。

参与者：本文提出的协议涉及4个参与者，即TA、RSU_i、RSU集群和车辆，可以将它们分别实例化为${\mathcal{H}^t}$、${\mathcal{H}^r}$、${\mathcal{H}^g}$和${\mathcal{H}^v}$。用$\mathcal{H}$来表示实例集，${\mathcal{H}^s}$是$\mathcal{H}$的第s个实例。

伙伴：当同时满足以下3个条件时，认为${\mathcal{H}^1}$和${\mathcal{H}^2}$是伙伴关系。

（1）${\mathcal{H}^1}$和${\mathcal{H}^2}$都处于接受状态；

（2）${\mathcal{H}^1}$和${\mathcal{H}^2}$相互认证，并共享相同的会话标识；

（3）${\mathcal{H}^1}$和${\mathcal{H}^2}$互为伙伴。

新鲜度：如果实例${\mathcal{H}^r}$和${\mathcal{H}^v}$之间的会话密钥没有暴露给攻击者，那么实例${\mathcal{H}^r}$和${\mathcal{H}^v}$是新鲜的。

本文定义了一些与攻击者$\mathcal{A} $的攻击能力相对应的查询，具体如下：

${{\mathrm{Execute}}} ({\mathcal{H}^t},{\mathcal{H}^r},{\mathcal{H}^v})$：通过执行此查询，$\mathcal{A}$可以获得在3个合法参与者${\mathcal{H}^t}$、${\mathcal{H}^r}$和${\mathcal{H}^v}$之间传输的所有消息。

${{\mathrm{Send}}} ({\mathcal{H}^s},m)$：$\mathcal{A}$可以主动伪造消息m并将其发送给${\mathcal{H}^s}$，它模拟主动攻击。如果m通过${\mathcal{H}^s}$的验证，$\mathcal{A}$会收到${\mathcal{H}^s}$的响应。

${{\mathrm{Reveal}}} ({\mathcal{H}^s})$：此查询表示已知的会话密钥攻击，它揭示了会话密钥SK泄露给对手A的场景。

${{\mathrm{Corrupt}}} ({\mathcal{H}^r},{\mathcal{H}^v})$：该查询模拟实例化的${\mathcal{H}^r}$或${\mathcal{H}^v}$被泄露的场景，并且将本地数据泄露给$\mathcal{A} $。

${{\mathrm{Test}}} ({\mathcal{H}^s})$：$\mathcal{A}$可以通过此查询测试${\mathcal{H}^t}$、${\mathcal{H}^r}$和${\mathcal{H}^v}$之间会话密钥的语义安全性。在$\mathcal{A}$执行此查询之后，如果已建立的会话密钥SK也是新鲜的，则抛出一个公平且无偏的硬币b。如果b = 1，它返回会话密钥SK，如果b = 0，它返回一个随机数。否则，它将输出⊥（null）。

定理1　当$\mathcal{A}$扮演一个多项式时间的概率攻击者的角色，在ROR模型内对本文提出的协议进行操作时，$\mathcal{A}$在危及本文方案语义安全方面的优势表示为：

其中，${q_h}$、${q_r}$和${q_s}$分别表示哈希预言机（Hash Oracle，HO）查询、逻辑映射预言机（Logistic Map Oracle，LMO）查询和Send查询的数量。$\left| {Hash} \right|$、$\theta $、l分别表示哈希函数的范围、逻辑映射函数的位精度、设备通信密钥的位长度。$Ad{v^{{\mathrm{IND - CPA}}}}$是$\mathcal{A}$在攻破选择明文攻击下不可分辨性安全对称密码方面的优势。

证明　证明步骤类似于前面的认证方案。定义5款游戏并将它们表示为$Gm_j^\mathcal{A}$，其中j = 1,2,3,4,5。假设$Suc{c_{Gm_j^\mathcal{A}}}$是$\mathcal{A} $正确猜测$Gm_j^\mathcal{A}$中的位c的事件，并定义$Adv_\mathcal{A}^\mathcal{P} = {\mathrm{Pr}}\left[ {Suc{c_{Gm_j^\mathcal{A}}}} \right]$。

$Gm_1^\mathcal{A}$：在这个博弈中，本文方案遭遇了$\mathcal{A}$的直接攻击，而位c是在$Gm_1^\mathcal{A}$开始时随机生成的。因此，可以得到：

$Gm_2^\mathcal{A}$：在这个博弈中，模拟方案遭遇来自$\mathcal{A}$的窃听攻击的场景。$\mathcal{A}$可以进行${{\mathrm{Execute}}} ({\mathcal{H}^t},{\mathcal{H}^r},{\mathcal{H}^v})$查询，以拦截来自$\mathcal{H}$的所有消息。$\mathcal{A}$检查Test查询结果是随机数还是实际会话密钥SK，其中会话的随机密钥SK的计算公式为$ S K=\mathrm{RKGen}(T{R}_{i}\Vert I{D}_{v}\Vert I{D}_{G}^{i}\Vert {T}_{{s}^{\prime }}\Vert {T}_{{s}^{\prime\prime}}) $。所以$\mathcal{A}$必须有消息和TR_i才能计算出SK。由于TR_i是通过加密传输的，所以$\mathcal{A}$是未知的。因此，$\mathcal{A}$在赢得$Gm_1^\mathcal{A}$比赛中没有获得额外的优势。所以有：

$Gm_3^\mathcal{A}$：在这个博弈中，$\mathcal{A}$可以执行Send查询和Hash查询来发起主动攻击。这种攻击允许$\mathcal{A}$伪造消息，目的是通过接收方的验证。但是，每个消息都经过散列处理，并与消息号、时间戳和秘密随机数相关。$\mathcal{A}$很难找到正确的碰撞概率。根据生日悖论，有：

$Gm_4^\mathcal{A}$：在这个博弈中，HO查询被LMO查询取代。因此，$\mathcal{A}$的优势类似于$Gm_3^\mathcal{A}$，有：

$Gm_5^\mathcal{A}$：当$Gm_4^\mathcal{A}$变成$Gm_5^\mathcal{A}$时，$\mathcal{A}$有能力使用腐败预言机（Corruption Oracle）。然后，$\mathcal{A}$可以物理捕获$ID_G^i$和$ I{D_v} $，也可以尝试从存储在${\mathcal{H}^g}$、${\mathcal{H}^r}$和${\mathcal{H}^v}$中的信息中分别获取P_m和TR_i。P_m在登记后安全地分配到车辆上，不会再泄露。TR_i经过对称加密后分发到${\mathcal{H}^r}$，并由${\mathcal{H}^g}$内部安全广播。最后$\mathcal{A}$只能使用Send查询并尝试突破对称加密算法。因此，有：

在$Gm_5^\mathcal{A}$之后，$\mathcal{A}$尝试了所有的预言机查询。因此，$\mathcal{A}$唯一剩下的方法就是通过测试查询猜测位c，从而获胜。因此，有：

根据三角不等式$|a \pm b| \leqslant |a| + |b|$，由式（5）至式（10）可得：

本文所提方案可以满足以下安全属性：

（1）双向认证。车辆作为认证发起者，使用自己的ID和密钥来生成身份验证参数。只有真实的TA才能正确识别车辆的身份验证参数，并生成正确的信任参数下发至RSU。车辆和RSU通过验证信任参数相互辨认对方的真实性。

（2）抵抗用户冒充攻击。如果$\mathcal{A}$想要模拟车辆，则需要通过车辆的主密钥P_m生成正确的信任参数TR_i。

（3）抗服务器欺骗攻击。如果$\mathcal{A}$想要冒充服务器，则需要获得TA的认证。但只有真实服务器能够与TA建立安全通道并获得车辆认证。

（4）抗中间人攻击。$\mathcal{A}$试图扮演中间人的角色，分别与RSU和车辆建立通信。此时，$\mathcal{A}$可以通过交换RSU和车辆的通信数据，以达到拦截、监控、篡改、伪造消息的目的。但是，身份验证数据是由通信会话密钥加密的。$\mathcal{A}$需要知道通信会话密钥，会话密钥为预共享密钥，$\mathcal{A}$需要破解该预共享密钥，这是极难实现的。

（5）抗重放攻击。认证请求消息包含时间戳和随机数，相同的时间戳将被拒绝，不同的时间戳将对应不同的随机数。因此，车辆和RSU通过建立时间戳与随机数之间的关系来避免重放攻击。

（6）抗离线密钥猜测攻击。在重新认证过程中，数据加密和密钥生成都需要两个步骤：第一步是对变换后的密钥进行哈希运算，第二步是计算混沌序列。因此，即使提取各种参数，$\mathcal{A}$也无法恢复车辆的身份和密码。如果不违反加密散列函数的不可逆转性，则$\mathcal{A}$无法获得密钥。

（7）完美的前向隐私。由于每次认证双方都选择一个新的随机数和时间戳，并通过哈希函数和混沌序列生成新的认证信息，因此即使$\mathcal{A}$获得了当前密钥，也无法成功伪造一个通过的认证信息。此外，用于身份验证的密钥也会在每次通信后更新。这样即使私钥泄露，也可以保证之前信息的安全性。

（8）抗内部攻击。首先，确保车辆在与RSU的认证过程中不会泄露其主密钥P_m，并且新协商的密钥包含有关ID_rsu的信息。因此，TA可以通过协商的密钥跟踪恶意的RSU。

（9）抗未知密钥共享攻击。当TA收到认证请求时，会验证ID_v和ID_rsu是否有效。TA还会进一步验证签名$ < Route,SIG{N_{Route}} > $是否有效，未知身份将不会被TA回复。

（10）抗去同步化攻击。认证过程中的通信和密钥生成都与通信的时间戳相关，从而保证了整个过程的完整性。$\mathcal{A}$不能通过伪造非法的时间戳来破坏通信过程，因为消息的密钥包含时间戳特征。

（11）动态密钥。在认证协商过程中，通过密钥同步算法能够不断更新出新的密钥，来保证密钥的新鲜性。

在本方案所描述的认证系统中，实体主要有TA、RSU和车辆，其中RSU通常部署在道路周围等不可控环境中，因此他们极容易在系统中出现异常。下面将对可能出现的异常进行分析：

（1）RSU个别损坏。TA在下发信任参数时，会依据RSU的网络拓扑特点对RSU划分集群，并向集群下发信任参数。当参数下发至集群中某个节点时，该RSU会迅速在集群内部广播，并收集信息，保证集群内每个非故障点都可以接收到正确的数据。

（2）RSU集群被破坏。当RSU整个集群异常时，TA将无法下发信任参数。但是信任传递仅仅是在集群内部，这使得其他非异常集群依然能够获取到正确的信任参数，完成与车辆的认证。

比较和总结了本文提出的协议和现有协议的功能特点和安全性，如表2所示。可以观察到，本文提出的协议具有完善的功能特性和安全性。本方案使用的饱和部署模式使得其在抵抗边缘节点破坏时有着优秀的表现。

在认证过程的计算中，数据异或和拼接等计算简单，对认证过程计算时长的影响可以忽略不计。因此，在对认证阶段的计算成本进行比较时，我们提取了主要的基础运算模块进行仿真，其中包括哈希函数、椭圆曲线密码（Elliptic Curve Cryptography，ECC）点加、ECC点乘、物理不可克隆函数、对称加解密、双线性配对、随机数算法、逻辑映射、模糊提取和模逆运算，并使用符号T_h、T_eca、T_ecm、T_puf、T_e/d、T_bp、T_ran、T_lm、T_fe和T_me分别表示基本操作的运行时间，其中对称加密使用的是高级加密标准（Advanced Encryption Standard，AES）。计算了10 000次基本操作，并取其平均执行时间，如表3所示。考虑到在实验中哈希函数和物理不可克隆函数的计算速度几乎没有差异，将它们近似相等。

在所提方案在初始阶段，车辆上线的过程会产生部分与路径以及RSU集群划分有关的计算量，由于这些操作仅在初始时发生一次，且主要由服务端计算，因此计算成本分析时只考虑上线结束后认证过程的计算及通信。表4和表5给出了各协议的总计算成本，从表中可以看出，本文所提的方案通过使用简单的伪随机数加密模式，相比与其他方案的点乘、线性对运算更加高效。整个方案只在RSU端做了两次耗时的对称加密，这使得车辆端能够更高效地完成身份验证。

本文使用256位的SHA-3、64位的身份、256位的密钥、256位的对称密钥加解密、64位的随机数和64位的时间戳。同时，假设网络中车辆数量为N，平均车辆经过RSU节点数量为M，存储单位车辆信任的开销为1。表6显示了参与者的通信成本和单个边缘节点的信任存储成本，从表中可以看出，本文方案的消息数与其他协议相差不多，与Jia等^[21]和Yang等^[41]的方案相同，但是本文方案通信报文长度相对较短，完成认证过程所需要的信息较少。因此本文方案在通信成本上有一定的优势。在存储成本方面，通常车辆数N远高于单个车辆经过的RSU节点数M，因此在降低边缘节点的存储开销上本文方案也具有一定的优势。