Secure-Channel-Free Key Distribution for Identity-Based Signatures with One-Time Pseudonyms in Intelligent Transport Systems

每当汽车进行制动、加速或转向时，它都会向周围的车辆发出一次数字化的“呐喊”。在智能交通系统的世界里，这些信息每秒钟会发生数十次，承载着关于速度和位置的关键信息，使汽车能够避免那些肉眼无法察觉的碰撞。为了让这一系统正常运行，每辆车都必须相信它接收到的信息是真实的，且来自一辆真正的汽车，而非试图制造连环车祸的黑客。然而，这种信任产生了一个悖论：为了验证一条信息，接收者通常需要知道发送者的身份，但如果精确知道谁在发送每一条信息，任何人都能追踪驾驶员的整个行程，从而揭示其住所、工作地点和生活习惯。工程师面临的挑战在于，如何构建一个既能证明车辆合法性，又不会泄露其真实身份，同时还能在驾驶员行为危险时允许当局将其身份公开的系统。

这种被称为“条件隐私”的微妙平衡，长期以来一直依赖于复杂的数字证书和用于分发密钥的安全通道。Muhammad Asghar Khan的一项新研究提出了一种简化这一过程的方法，它不再需要安全通道，同时还让追踪驾驶员变得更加困难。该研究引入了一种方法，使车辆可以通过开放的公共无线连接（类似于标准的互联网连接）进行注册并接收其密钥，而无需担心被拦截。这项创新的核心在于使用了一种特定类型的数学曲线——亏格为2的超椭圆曲线（genus-2 hyperelliptic curve），与目前许多安全系统中使用的标准曲线相比，它能够实现更快的计算和更小的数据量。通过利用这种数学结构，所提出的方案确保了每一条安全消息都由一个唯一的、一次性的名称进行签名，该名称无法与之前的消息相联系，从而有效地使汽车在监管机构面前保持透明，同时对窥探者隐形。

研究人员构建了一个完整的系统，其中一个作为私钥生成器的受信机构负责向车辆发放这些临时名称及相应的密钥。与以往需要通过专用安全线路来交付这些密钥的方法不同，这种新方法会对身份和密钥进行加密，使得即使数据在公共信道上传输，也只有特定的车辆和机构才能对其进行解码。这意味着汽车可以在路侧单元处停下，请求新的凭证，并立即收到它们，而无需预先建立复杂的安全连接。一旦完成注册，车辆在每次广播时都会使用一个新的、一次性的伪名来签署其安全消息。这确保了即使黑客收集了来自同一辆车的数千条消息，也无法将它们关联起来以重建行驶路线。然而，如果驾驶员违规或进行恶意行为，中央机构可以使用其主密钥将该一次性名称追溯到真实的车辆，并撤销其发送未来消息的能力。

早期尝试解决这一问题的若干方案中存在一个关键缺陷，即容易受到“密钥替换”攻击，攻击者可以通过将公钥替换为自己的公钥来伪造签名。新方案通过直接从一次性名称和机构的公钥中导出验证密钥，将签名与系统的信任机制紧密绑定，从而防止了此类攻击。研究在数学上证明，在当前的假设条件下，通过计算手段伪造签名的难度是极高的。在速度方面，研究人员测量了签署和验证消息所需的时间，发现其方法总共仅需1.44毫秒。这明显快于基于标准椭圆曲线的最佳现有方法（后者需要2.56毫秒），并且比使用配对密码学（pairing-based cryptography）的方法（后者耗时超过5毫秒）要快得多。

为了理解这些数字在现实世界中的意义，作者模拟了一个繁忙的交通场景：单个接收器必须在100毫秒的安全时限内检查来自许多邻近车辆的消息。由于该方法非常迅速，单个处理核心可以在该时间限制内成功验证来自92辆邻近车辆的消息。相比之下，最佳的椭圆曲线方案只能处理77辆车，而基于配对的方案在系统变得过慢而无法保证安全之前，只能处理32辆车。这种差异在密集的城市交通中至关重要，因为在这样的环境下，哪怕是极短的延迟都可能导致汽车无法对突发危险做出反应。研究还检查了这些一次性名称所需的存储空间，发现车辆在行驶两小时后，仅需约4.3兆字节（MB）的存储空间来保存必要的凭证，这对于现代车载计算机来说是微不足道的。

研究承认，尽管该系统效率极高，但并非没有局限性。由于中央机构掌握着生成每个私钥的权力，这造成了“密钥托管”（key escrow）的情况，即该机构理论上可以代表任何车辆签署消息。作者指出，考虑到该机构本身就承担着发放驾照和凭证的职责，这是一种可以接受的权衡，但他们建议未来的版本可以通过修改来消除这种中央控制。此外，用于保障系统安全的数学问题虽然目前在经典计算机面前是不可破解的，但在未来的量子计算机面前将变得脆弱，就像目前许多其他加密方法一样。尽管存在这些约束，该研究仍展示了一条通往更安全、更具隐私性且更高效的自动驾驶车辆通信的清晰路径，证明了高安全性并不一定需要沉重、缓慢或复杂的底层架构。