1　引言

随着物联网、5G等技术的快速发展，万物互联的趋势不断加深，物联网技术和智能设备越来越多地渗透到人们的日常生活，智能电网、智慧城市、自动驾驶等新型业务模式不断涌现，智能设备数量将呈爆炸式增长，据IDC预测，到2020年全世界将有多达500亿的智能设备接入互联网 ^[1]，如图1所示。随之而来的是终端产生的“海量级”数据，以工业现场为例，单个摄像头1080p格式视频在4Mbps码率下每天将产生330G的视频数据。

图1 物联网设备增长趋势

海量终端设备互联模式对资源请求的响应时间和安全性提出了更高的要求，云计算^[3]的“按需付费”模式使企业及最终用户在拥有和管理数据上摆脱了许多细节的约束，如存储资源、计算限制和网络通信成本等。但是在工业现场等延迟敏感的应用环境中，当数以百万的智能设备请求服务时，当前的云计算架构很难满足智能设备对移动支持、位置感知和低延迟的需求。由此催生了在边缘侧数据处理的模式，即边缘计算（Edge Computing） ^[2]，并得到了学术界和产业界的广泛关注。边缘计算通过赋予边缘侧的智能设备执行计算和数据处理能力，结合当前的云计算集中式数据处理模型，降低了云中心的计算负载，减缓了网络带宽的压力，提高了海量设备数据的处理效率。

边缘计算作为以网络边缘设备为核心的新型计算模式，为解决时延和网络带宽负载问题带来极大的便利，支持将云中心任务向网络边缘侧迁移，将服务带到离边缘更近、范围更广的地方。通过部署边缘服务设备（如边缘计算节点、私有云等），服务可以驻留在边缘设备上，在处理海量数据的同时还可以确保高效的网络运营和服务交付。但是由于这种边缘侧计算服务模式的复杂性、数据多源异构、终端资源受限等特性，边缘计算的安全防护面临着新的挑战^[4]，传统的云环境下的信息安全问题在边缘计算场景中尤为突出，亟待开展适用于边缘计算的安全技术^[5]。

本文阐述了边缘计算的产生、概念，以及参考架构的特点，分析了边缘计算范式下的身份认证和隐私保护的安全需求，总结了近年来可能适用于边缘计算安全与隐私保护的研究成果，剖析了方案的可扩展性和适用性，并指出了边缘计算在身份认证和隐私保护方面的未来技术发展方向。

2　边缘计算架构与安全挑战

2.1　边缘计算参考架构

目前边缘计算尚处于发展阶段，还未形成严格、统一的定义和标准，不同组织对边缘计算的定义和侧重点都不相同。边缘计算产业联盟在《边缘计算参考架构2.0》[6]中提出：“边缘计算是融合网络、计算、存储、应用核心能力的开放平台，在靠近物或数据源头的网络边缘侧，就近提供智能互联服务，满足行业在业务实时、业务智能、数据聚合与互操作、安全与隐私保护等方面的关键需求。”并给出了边缘计算参考架构2.0，如图2所示。

图2 边缘计算参考架构

边缘计算参考架构在每层提供了模型化的开放接口，实现了架构的全层次开放。边缘计算参考架构通过纵向管理服务、数据全生命周期服务、安全服务，实现业务的全流程、全生命周期的智能服务。

智能服务是基于模型驱动的统一服务框架，通过开发服务框架和部署运营服务框架实现开发与部署智能协同，能够实现软件开发接口一致和部署运营自动化。

业务Fabric通过定义端到端的业务流和工作负载，由多种类型的功能服务按照一定逻辑关系组成和协作，和OICT基础设施、硬件平台等解耦，屏蔽技术细节并支持跨技术平台，支撑业务敏捷。

联接计算是一个虚拟化的服务层，可以屏蔽边缘计算节点的异构性，降低智能分布式架构在数据一致性、容错处理等方面的复杂性，实现资源服务的发现、统一管理和编排，支持ECN节点间的数据和知识模型的共享，支持业务负载的动态调度和优化，支持分布式的决策和策略执行。

边缘计算节点(ECN，Edge Computing Node)兼容多种异构联接、支持实时处理与响应、提供软硬一体化安全等，网络边缘设备不仅扮演着服务请求者的角色，而且还需要执行部分计算任务，包括数据存储、处理、搜索、管理和传输等。

在边缘计算场景中，由于终端设备数量的爆炸式增长和复杂业务的高实时性需求，传统的集中式业务处理方式将会转变为云+边的双向计算模式，在这种复杂的计算范式下，多实体之间的身份识别以及实体间跨信任域验证等问题变得更加突出。

2.2　边缘计算身份认证和隐私保护技术挑战

本文主要从身份认证和隐私保护等角度对边缘计算的信息安全需求进行分析，在边缘计算中，由于不同的部署选择，边缘计算服务提供者可以位于不同的地方，将计算服务灵活地扩展到网络边缘侧，但是这种灵活性使边缘计算的可信任情况复杂化，使其不同于其他网络架构，如图3所示，边缘计算网络体系中涉及终端智能设备、边缘计算设备、云中心等不同的功能实体，边缘计算设备是介于网络边缘的终端用户和云服务器之间的中间层。在这种开放式互联背景下，身份认证和管理功能遍布边缘计算参考架构的所有功能层级，用户的身份认证是边缘计算的第一道防线，身份识别对确保应用和数据的安全保密至关重要。

图3 边缘计算网络体系

当边缘设备需要使用边缘计算提供的服务时，如果缺乏身份验证服务，一个流动的边缘计算节点/服务器可以假装成一个合法的边缘计算设备或边缘计算实例，并诱使边缘侧终端设备连接到它。一旦终端设备与虚假的边缘计算节点建立连接，敌手就可以操纵来自终端用户或云的传入和传出请求，秘密地收集或篡改终端设备数据，并很容易发起进一步的攻击，虚假边缘计算节点或服务器的存在是对用户数据安全和隐私的严重威胁。除此之外，当海量设备同时接入时，传统的集中式安全认证面临巨大的性能压力，特别是在设备集中接入时认证系统往往不堪重负。最后，在这种通过不同网络基础设施互联的分层体系架构中，功能实体并非完全可信，而与用户身份相关联的信息都存储在这些半可信的功能实体中，这极易引发用户身份信息泄漏问题。因此在必要的时候，亟待开展适用于边缘计算场景的去中心化、分布式的认证方式，在实现轻量级认证的同时，兼顾匿名性、群组认证等功能。

3　边缘计算身份认证和隐私保护技术研究现状

3.1　边缘计算身份认证技术研究现状

身份认证是边缘计算安全的一个重要问题，因为边缘计算节点/服务器向大规模终端用户提供服务。本文将边缘计算的主要安全问题视为不同级别的边缘节点的认证问题。传统的基于PKI的身份验证效率不高，并且在网络边缘使用雾计算的用户可扩展性较差。

代表性的研究文献主要有：Maged在文献^[8]中提出了在“云-边-端”三层体系架构下的边缘网络终端和边缘服务器之间的安全相互认证方案Octopus，该方案中不需要纳入传统的PKI体系，只是在注册阶段，每个终端设备需保存一个云中心颁发的长期主密钥。Octopus允许任何终端设备在已获得云中心授权的情况下，与边缘计算网络体系中的任一边缘服务器进行相互认证，能够有效地抵抗重放攻击、中间人攻击等多种类型攻击。该方案能够有效实现在边缘计算架构下终端设备的安全接入认证，并且在认证过程中采用对称加密算法，适用于边缘侧计算资源和存储资源受限的设备，但是该方案不支持匿名认证。Amor ^[9]在该方案的基础上做出了改进，利用双线性配对算法实现了支持匿名认证的接入认证方案，在该方案中，认证可以在不暴露真实身份的同时，验证对方的合法性，保证了恶意设备无法搜集终端设备的身份信息。

综上所述，当前关于边缘计算身份认证机制的研究尚未形成较为完善的研究体系和方法，已有的研究方案大多用于解决边缘侧设备的身份授权及单一作用域内的身份认证问题，而在跨不同作用域认证场景下存在局限。边缘计算身份认证技术的研究需结合其分布式、移动性等特点，在已有研究方案的基础上，加强具有隐私保护性质的认证机制、跨作用域认证等技术的研究，保障边缘侧业务在异构网络中的应用安全。

3.2　边缘计算身份隐私保护技术研究现状

针对边缘计算中身份信息隐私保护技术的研究，代表性的研究文献主要有：Khalil 等 ^[10]通过引入身份管理系统（IDM）服务器来代替服务提供商管理终端用户的身份信息，通过将授权、IDM 服务器和边缘计算服务提供商分离，并添加额外的认证层，来抵御IDM非法访问、流量拦截攻击和设备妥协等攻击。Khan等^[11]针对身份认证过程中存在的凭证泄漏问题，提出了一种基于动态凭证的身份隐私保护方案，即通过云分组交换机制对终端设备的身份凭证进行动态更新，以此防止凭证泄漏导致的攻击问题，不仅如此，该方案还引入了第三方可信实体，通过将认证凭证操作外包给可信实体，降低了终端设备的计算开销。

当前，针对边缘计算^[12]身份隐私保护技术的研究仅有一些探索性成果，边缘计算设备更贴近数据源头，与核心网中的云中心相比，边缘计算设备可以收集更多的与用户身份相关的敏感信息，而由于终端设备的计算资源受限，难以执行代价昂贵的隐私保护算法，在边缘计算服务中，如何保障终端用户的身份隐私是亟待解决的问题之一。

4　未来技术发展方向

由于将现有身份认证协议直接应用于边缘计算环境下存在一些问题，研究人员正在寻求解决的办法。当前国内外学者对边缘计算中信息安全技术的研究也处于探索阶段，针对身份认证协议的研究成果大多是生、参考架构和信息安全需求，围绕边缘计算身份认以现有的安全协议为基础，从灵活性、高效性、隐私证和隐私保护等关键技术，对适用于边缘计算架构的保护等方面进行改进和优化。但是由于边缘计算中终身份认证和隐私保护的最新研究成果进行了阐述和分端设备的地理位置分布、高移动性和高实时性等特析。随着国内外研究的开展，将会出现更适合边缘计点，传统的集中式安全认证机制不再适用于该场景。算体系的信息安全技术，需进一步深入探讨和研究。

边缘计算身份认证和隐私保护技术发展方向应该包括以下几点：

（（1）研究适用于边缘计算架构体系的关键技术，支持用户和边缘计算设备建立连接时的端到端双向认证机制，以及边缘计算设备对接入用户的群组认证、跨域认证等；

（2）在边缘计算中存在大量的分布式边缘网关，不同层次的边缘网关等网络实体的认证，以及与云中心之间的统一身份管理等是一个需要考虑的安全问题；

（3）在安全功能适配特定的边缘计算架构的同时，还需实现安全功能的轻量化，使其能够部署在各类硬件资源受限的网络边缘侧终端设备中，最大限度地保障整个架构的安全与可靠，提高海量终端设备的接入认证效率。

5　结论

未来超过50%的数据需要在边缘侧分析、处理和储存，边缘计算应用广阔。本文介绍了边缘计算的产生、参考架构和信息安全需求，围绕边缘计算身份认证和隐私保护等关键技术，对适用于边缘计算架构的身份认证和隐私保护的最新研究成果进行了阐述和分析。随着国内外研究的开展，将会出现更适合边缘计算体系的信息安全技术，需进一步深入探讨和研究。

★ 基金项目： 国家自然科学基金项目“ 面向工业通信行为的异常检测及安全感知方法研究” （ 6 1 7 7 3 3 6 8 ） 、预研基金项目（6140242010116Zk63001）和国家电网公司科技项目“边缘计算在智能电网的应用和安全防护技术研究”（52110118001H）。

作者简介

陈春雨（1992-），男，硕士，黑龙江哈尔滨人，现就职于中国科学院网络化控制系统重点实验室，主要研究方向为信息安全。

尚文利（1974-），男，博士、研究员，黑龙江北安人，现就职于中国科学院网络化控制系统重点实验室，现任全国工业过程测量控制和自动化标准化技术委员会可编程序控制器及系统分技术委员会（SAC/TC124/SC5）委员、工业控制系统信息安全产业联盟理事、边缘计算产业联盟安全组副组长。主要从事工业信息安全、计算智能与机器学习方向研究。

参考文献：

[1] Cisco cloud index supplement. Cloud readiness regional details white paper[R]. 2017.

[2] 施巍松, 孙辉, 曹杰, 张权, 刘伟. 边缘计算：万物互联时代新型计算模型[J]. 计算机研究与发展, 2017, 54 ( 5 ) : 907 - 924.

[3] 林闯, 苏文博, 孟坤, 刘渠, 刘卫东. 云计算安全：架构、机制与模型评价[J]. 计算机学报, 2013, 36 ( 9 ) : 1765 - 1784.

[4] MAO YY, YOU CS, ZHANG J, et al. A survey on mobile edge computing:the communication perspective[J]. IEEE CommunicationsSurveys & Tutorials, 2017, PP ( 99 ) : 1.

[5] LOPEZ P G, MONTRESOR A, EPEMA D, et al. Edge-centric computing:vision and challenges[J]. ACM Sigcomm Computer Communication Review, 2015, 45 ( 5 ) : 37 - 42.

[6] 联盟边缘计算参考架构2.0(下)[J]. 自动化博览, 2018, 35 ( 3 ) : 58 - 61.

[7] 张佳乐, 赵彦超, 陈兵, 胡峰, 朱琨. 边缘计算数据安全与隐私保护研究综述[J]. 通信学报, 2018, 39 ( 3 ) : 1 - 21.

[8] Ibrahim M H. Octopus: An Edge-Fog Mutual Authentication Scheme[J]. International Journal of Network Security, 2016, 18 ( 6 ) : 1089 - 1101.

[9] Amor A B, Abid M, Meddeb A. A Privacy-Preserving Authentication Scheme in an Edge-Fog Environment[C]. Ieee/acs, International Conference on Computer Systems and Applications. IEEE Computer Society, 2017 : 1225 - 1231.

[10] KHALIL I, KHREISHAH A, AZEEM M. Consolidated identity management system for secure mobile cloud computing[J]. Computer Networks, 2014, 65 ( 2 ) : 99 -110.

[11] KHAN A N, KIAH M L M, MADANI S A, et al. Enhanced dynamic credential generation scheme for protection of user identity in mobile-cloud computing[J]. The Journal of Supercomputing, 2013, 66 ( 3 ) : 1687 - 1706.

[12] 施魏松, 刘芳. 边缘计算：Edge Computing[M]. 北京 : 科学出版社, 2018.

摘自《工业控制系统信息安全专刊（第五辑）》