💻 computer science

Secure Group Key Agreement on Cyber-Physical System Buses

本文通过系统化需求，并设计了一种基于 TreeKEM 的定制化、经过身份验证且完全分布式的协议，旨在解决现有分组密钥协商协议在受限信息物理系统总线上的局限性，该协议能够适应仅广播链路、动态成员变更以及强对抗威胁。

原作者： Sebastian N. Peters, Lukas Lautenschlager, David Emeis, Jason Lochert

发布于 2026-01-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Sebastian N. Peters, Lukas Lautenschlager, David Emeis, Jason Lochert

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个繁忙的工厂车间或一列长长的火车，其中数十台机器、传感器和计算机需要不断地相互通信。它们不使用 Wi-Fi 或互联网；它们都连接在一条单一的、共享的“导线”上，这被称为总线（例如汽车中的 CAN 总线或工厂中的 PROFIBUS）。

问题在于，这条导线就像一个公共城市广场：任何接入其中的设备都能听到所有的信息。如果黑客接入，他们可以窃听秘密，或者伪装成某台机器来制造混乱。为了阻止这种情况，所有的机器都需要一个秘密握手代码（组密钥），用它来锁定彼此的消息，使得只有真正的机器才能读取。

这篇论文介绍了一种新的方法，让这些机器能够达成那个秘密代码的共识，而不需要一个“老板”（中心控制节点），也不需要消耗过多的电池电量，并且在增加或移除机器时不会产生混乱。

以下是他们解决方案 GRACYBUS 的拆解，使用了简单的类比：

1. 问题所在：“旧方法”并不适用

通常，当计算机进行安全通信时（比如你访问银行网站时），它们会在两个人之间进行“握手”。但在工厂总线上，你可能有 100 多台机器。

旧方法： 如果每台机器都试图与每一台其他机器进行单独的握手，那就好比 100 个人试图在拥挤的房间里同时进行私人对话。这会导致信息量过大（数据过多）且速度过慢。
约束条件： 这些机器是“资源受限”的。可以把它们想象成微小的、廉价的计算器，而不是功能强大的笔记本电脑。它们的内存和电池都非常有限。此外，它们生活在“半双工”导线上，这意味着它们只能说话或倾听，不能同时进行，就像使用对讲机一样。

2. 解决方案：“树屋”策略

作者设计了一个名为 GRACYBUS 的协议。与其让每个人都与每个人交谈，不如将机器组织成一棵数字树。

树状结构： 想象一下家族树。
- 底部的叶子是单个机器。
- 向上的树枝是共享的秘密。
- 最顶端的树根是主要的组秘密代码。
运作方式： 当一台机器想要更改秘密代码（例如轮换密码）时，它只需要沿着自己的分支向上传递“耳语”，而不需要向整个小组大声喊叫。这保持了低噪声和高速度，即使小组规模增长到 100 多台机器也是如此。

3. 处理混乱：加入与离开

在工厂中，机器会被拔掉插头、被更换或意外损坏。

加入： 当一台新机器到达时，它不能直接闯入。它必须向一名“赞助者”（现有的机器）出示身份证（数字证书）。赞助者随后将新机器添加到树中，并更新秘密代码，使得新机器可以听到未来的消息，同时确保旧代码依然安全。
离开： 如果一台机器离开了（或被踢出了），小组需要更改代码，以便离开者无法再监听。
- 转折点： 有时机器会毫无征兆地消失（例如断电）。GRACY-BUS 非常聪明，它能注意到这种沉默，假设该机器已离开，并在不等待“告别”消息的情况下更新树结构。

4. 安全特性：“魔法护盾”

论文声称该系统非常难以被黑客攻破，即使黑客就在导线旁边（即 Dolev-Yao 攻击者）。

没有单点故障： 它没有中央服务器。如果一台机器坏了，其他的机器仍能继续通信。它们都是平等的。
前向安全性（Forward Secrecy）： 如果黑客在今天窃取了一台机器的秘密代码，他们仍然无法读取机器在昨天发送的消息。旧的代码在使用的瞬间就会被立即丢弃。
后向安全性（Post-Compromise Security）： 如果黑客确实入侵并窃取了一个代码，系统可以实现“自我修复”。一旦机器们执行下一次更新，黑客就会被挡在未来的所有消息之外。
面向未来： 该系统可以轻松更换其数学工具。如果出现了一台能够破解现有数学工具的超级计算机（量子计算机），机器可以在不需要中央“老板”进行软件更新的情况下，切换到新的数学工具。

5. 权衡

论文承认了一个局限性：如果黑客足够强大，能够切断导线中间的部分（将小组分割成两个孤立的岛屿），这两个岛屿可能会拥有不同的秘密代码。该系统无法阻止黑客物理切断线路，但它能确保只要线路是连通的，代码就是安全的。

总结

GRACYBUS 是一套关于工业导线上的机器如何达成秘密密码共识的新规则手册。它利用树状结构来保持高效和轻量化，无需中央控制节点即可运行，能够自动处理机器的加入与离开，并且即使在机器被攻破的情况下，也能保护过去和未来的秘密。它是专为汽车、火车和工厂中那些微小、坚固且长效运行的机器而设计的。

技术摘要：网络物理系统总线上的安全组密钥协商

1. 问题陈述

现代网络物理系统（CPS），如工业机械、列车和汽车网络，高度依赖广播总线架构（如 CAN、PROFIBUS、工业以太网）来互连嵌入式设备。确保这些总线上的消息完整性和真实性通常需要使用由共享组密钥派生的消息认证码（MAC）。然而，安全地建立该密钥面临着重大挑战：

不安全的默认设置： 当前的部署通常依赖于不安全的固定预共享密钥或“首次使用即信任”的概念，这缺乏动态适应能力。
可扩展性问题： 传统的点对点协议（如 TLS 握手）不适用于组设置，会导致状态和消息复杂度呈指数级增长，这与面向广播的通信特性相冲突。
CPS 约束： 现有的来自 IT 或 IoT 领域的组密钥协商（GKA）协议无法解决特定的 CPS 总线约束，包括：
- 资源限制： 设备在计算、内存和带宽方面有严格预算（例如，CAN 负载限制在 64 字节内）。
- 通信约束： 链路通常是仅广播或半双工的。
- 动态成员关系： 设备可能会突然加入或离开（例如，掉电循环、热插拔）而无需预警，且必须在不中断协议的情况下处理未通知的离开。
- 长生命周期： 系统需要密码学敏捷性，以适应未来的漏洞和后量子密码学（PQC）。
- 对手模型： 一个强大的 Dolev–Yao 对手，能够读取、修改、重放、注入、丢弃和重排消息，包括能够分割总线的能力。

核心问题在于缺乏一种能够满足这些特定工业约束，同时提供诸如前向安全性（FS）和后破坏安全性（PCS）等强安全保证的、经过身份验证的、完全分布式的 GKA 协议。

2. 方法论

作者采用系统化的方法来推导需求、分析现有解决方案并设计自定义协议。

系统模型与需求推导

作者定义了一个通用的总线系统模型，其中多个设备通过广播信道进行通信。他们假设了一个 Dolev–Yao 对手模型，并推导出了 12 项具体需求（R01–R12），用于实现 CPS 总线上的安全 GKA：

真实性 (R01)： 只有经过身份验证的参与者才能发送有效消息。
完全分布式 (R02) 与独立性 (R03)： 没有中央领导者或外部服务；任何节点都可以执行操作。
总线无关性 (R04)： 独立于特定的总线寻址或排序特性。
动态性 (R05)： 支持运行时加入和离开，包括移除不活跃节点。
可扩展性 (R06)： 对 100 多个设备的组高效。
鲁棒性 (R07)： 对 Dolev–Yao 攻击具有弹性。
安全保证 (R08–R10)： 后破坏安全性 (PCS)、前向安全性 (FS) 和密码学敏捷性。
资源约束 (R11)： 最小化计算、内存和带宽开销。
合并/拆分 (R12)： 实现子组合并和拆分的能力（注为未来目标）。

协议分析

作者对现有的 GKA 协议进行了系统化梳理（参考了 Prandtl 等人和 Xiong 等人的分类法），并根据推导的需求对其进行了评估。

排除项： 由于与“完全分布式”需求冲突，排除了集中式、去中心化、非对称和基于集群的协议。由于资源约束，排除了生成非对称共享密钥的协议。
选择： 在动态协议中，TreeKEM（消息层安全协议 MLS 的核心协议）被确定为最合适的基石，因为它具有最优的计算和消息开销（ $O(\log_2 n)$ ）。
差距分析： 直接使用 MLS 是不可能的，因为其需要集中的认证和服务交付服务，这违反了 CPS 总线的分布式和独立性要求。此外，标准的 TreeKEM 规范缺乏显式的真实性保证以及针对广播环境的详细消息格式。

3. 核心贡献：GRACYBUS 协议

本文提出了 GRACYBUS（GRoup key Agreement on Cyber-phYsical system BUSes），这是一种旨在将 TreeKEM 适配于 CPS 总线的自定义协议。

设计特性

树结构： 将成员组织在一个完美的二叉树中。每个叶节点代表一个设备。非叶节点密钥通过子节点密钥的哈希进行派生。
密钥调度： 使用基于纪元（epoch）的密钥调度。组流量密钥通过当前根密钥和前一纪元密钥的密钥派生函数（KF）导出。过去的密钥会被擦除以确保前向安全性。
操作：
- 更新 (UPDATE)： 成员轮换其叶密钥，将哈希后的密钥向上通过路径传播，并广播更新后的公钥。子树密钥被加密并发送至共路径公钥。
- 加入 (JOIN)： 加入者与发起人（sponsor）之间进行身份验证握手（使用 PKI 签名）。发起人插入新叶节点，计算密钥，并分发新的纪元密钥。
- 离开 (LEAVE)： 由另一名成员执行。新密钥被设置在离开者的路径上，并且仅加密给离开者无法解密的密钥。未通知的离开通过更新窗口进行检测。
消息机制： 消息结构专为广播设计。密钥使用子树公钥进行加密（允许多个接收者解密单个广播），而公钥则作为明文共享（受完整性保护）。所有改变状态的消息都使用当前纪元密钥进行 MAC 保护。
真实性： 依赖于共同的信任锚点（工业 PKI）进行初始引导。在组内，通过由纪元密钥派生的 MAC 来维持完整性。

实现细节

存储： 需要 $O(\log n)$ 个私钥和 $O(n)$ 个公钥（为了处理未通知离开而进行的冗余）。
复杂度： 计算和消息开销随组大小呈对数级缩放（ $O(\log_2 n)$ ）。
敏捷性： 所有密码学接口（哈希、KDF、MAC、签名、加密）都是算法无关的，便于未来采用 PQC。

4. 结果与评估

论文根据 12 项推导的需求对 GRACYBUS 进行了评估：

性能： 该协议在组操作中实现了 $O(\log_2 n)$ 的复杂度，符合如 CAN 总线等设备的资源约束。私钥的存储需求非常轻量，通过 $O(n)$ 的公钥存储来实现鲁棒性的权衡。
安全保证：
- 真实性与完整性： 通过用于加入过程的 PKI 签名和用于组更新的 MAC 来实现。
- 前向安全性 (FS) 与后破坏安全性 (PCS)： 通过纪元密钥调度和覆盖路径密钥来实现。如果一个节点被破坏，系统会在成功更新且没有对手干扰的情况下实现“自我修复”。
- 密码学敏捷性： 设计允许替换密码学原语，以应对未来的漏洞或量子威胁。
局限性： 该协议未能完全满足针对能够分割总线的 Dolev–Yao 对手的鲁棒性要求。如果对手丢弃消息导致网络分裂，不同的分区可能会派生出不同的密钥树，从而损害整体可用性。然而，作者指出这是在任何此类对手模型下的协议中固有的局限性。

5. 重要性与主张

本文声称 GRACYBUS 证明了专门为面向总线的 CPS 环境设计密钥建立机制的可行性，且并未削弱安全保证。

弥合差距： 它成功地将当代安全原则（FS、PCS、PQC 就绪性）集成到资源受限的多方系统中，而在这些系统中实现这些特性传统上是非常困难的。
以总线为中心的方法： 通过移除对集中式服务的需求并使 TreeKEM 适配广播/半双工约束，该协议为具有长生命周期的工业部署提供了切实可行的解决方案。
面向未来： 该协议为保护 CPS 通信（通过加密和完整性保护）提供了基础，在尊重物理和操作约束的同时，符合现代安全标准。

作者总结道，虽然该协议具有鲁棒性，但未来仍需解决组合并/拆分操作 (R12)、优化树截断以避免在最坏情况下的线性复杂度，以及探索并行化操作以提高效率。