ZT-RIASE：一种零信任（Zero Trust）防护机制下的身份认证技术，用于保障智能工业物联网环境的安全性

摘要

在工业5.0的范式中，协同智能、人机协作以及实时认知自动化提高了工业系统对安全且不间断的工业物联网（IIoT）连接的依赖性。然而，这种融合也扩大了网络攻击面，使资源有限的工业设备容易受到伪装攻击、重放攻击、中间人攻击、恶意网关攻击、内部攻击和会话劫持攻击。现有的认证方案主要集中在初始访问验证上，通常缺乏持续的零信任（Zero Trust）执行机制、容错的重连功能以及基于网络状态的运行时验证机制。为了解决这些问题，本文提出了ZT-RIASE，这是一种适用于保护智能工业物联网环境的零信任弹性身份认证框架。ZT-RIASE采用了一种混合式的引导-对称运行时设计：在设备初始注册和密钥协商过程中使用公钥加密技术，而后续的运行时身份认证、会话维护、重连和持续验证则依赖于轻量级的对称密钥和基于行为的机制。运行时协议使用AES-128-GCM算法、基于哈希/MAC的完整性验证、随机数-时间戳的新鲜度检查以及会话连续性令牌来确保数据的保密性、完整性和抗重放能力，同时避免了重复的公钥操作。为了进一步降低认证开销，ZT-RIASE引入了基于网络状态的加密行为持续认证（NA-CBCA）机制，该机制通过检查令牌使用规律性、路径/网关一致性、命令访问一致性、消息大小偏差、请求速率行为、数据包传输时间偏差、重传/错误行为以及能耗/处理能力偏差来验证活跃会话。对于对时间敏感的行为特征，系统利用基于RTT（往返时间）、抖动、数据包丢失率和重传率的网络条件指数进行标准化处理，从而在变化的工业网络环境下减少误报率。通过使用代表性受限设备配置文件和ns-3仿真工具进行的性能评估显示，运行时认证所需的计算时间为2.400毫秒，通信开销为0.625 KB，内存消耗为3.800 KB，能耗为1.998毫焦耳；而NA-CBCA所需的计算时间为0.350毫秒，通信开销为64字节，内存消耗为2.100 KB，能耗为0.246毫焦耳。从100到1000个IIoT设备的大规模扩展分析表明，总体开销呈可预测的增长趋势，同时每个设备的运行时延迟保持稳定。这些结果表明，ZT-RIASE提供了一种轻量级、具备容错能力且能适应行为变化的零信任身份认证方案，非常适合实际的智能工业物联网应用。