一种基于机器学习的分布式数字身份物联网设备跨域认证方法与流程

本发明涉及物联网安全与身份认证，且更为具体地，涉及一种基于机器学习的分布式数字身份物联网设备跨域认证方法。

背景技术：

1、随着物联网（iot）技术的规模化部署与智能家居、工业互联网等典型应用的深度渗透，物联网设备跨域互操作需求日益迫切。不同厂商或管理域（称为认证域）下的设备（如智能门锁、摄像头、传感器等）往往采用各自独立设计的身份认证协议、加密算法及身份凭证格式，导致跨域设备联动必须实现身份与权限的异构转换。现有跨域认证技术主要可分为三类：基于中心化代理的认证桥接方案，即引入第三方可信域作为认证锚点，统一转换各域凭证；基于联邦身份（如saml、oauth）的跨域单点登录方案，通过域间预先建立的信任联盟实现凭证互认；以及基于分布式账本的去中心化身份（did）方案，将设备身份注册于区块链上，各域按需验证。上述技术在常规跨域场景下具备一定可行性，但面向资源受限的物联网设备（计算能力弱、内存小、电池供电）且面临大规模并发认证请求时，暴露出显著局限。具体而言，中心化代理方案存在单点故障风险与认证瓶颈，联邦身份方案要求各域预先完成复杂的安全策略协商且难以适应动态拓扑变化，did方案则因链上验证时延高及设备计算开销大而不适于实时性敏感场景。

2、现有跨域认证方法在解决物联网设备跨域实际接入时面临三重核心矛盾。其一，各认证域身份凭证格式与密码学参数（加密算法、密钥长度、哈希位数、签名方案）存在异构性，传统基于固定映射的转换方法通常向下兼容低强度算法，导致跨域认证中密码学强度被动降级，从而削弱全链路安全性；其二，跨域认证路径的选择多采用静态路由或基于跳数的最短路径算法，缺乏对认证域实时负载、历史认证成功率及设备自身可信度的动态感知能力，易造成认证请求拥塞于低质量路径，引发高时延与高失败率；其三，现有链式验证方案中，中间域通常仅验证前驱签名而无全局一致性校验，且认证结果未能有效反馈至各域以累积信任证据，难以形成分布式的动态信任关系。综上所述，跨域认证技术领域亟需一种能够兼容异构凭证格式、动态选择最优认证路径、保持密码学强度不降级并建立分布式信任关系的方法。

技术实现思路

1、为了解决上述技术问题，本发明提供了一种基于机器学习的分布式数字身份物联网设备跨域认证方法，可以一定程度上解决物联网设备在跨域认证过程中，由于各认证域的身份凭证格式差异和设备计算能力限制，导致认证请求在多域转发时出现凭证格式不兼容和认证路径选择低效的问题，进而造成跨域认证失败率高和认证时延过长。

2、根据本发明的一个方面，提供了一种基于机器学习的分布式数字身份物联网设备跨域认证方法，其包括：

3、接收来自源域物联网设备的跨域认证请求，提取请求中的设备身份标识和目标域信息，基于历史认证成功记录对设备身份标识进行信任度量化评估，生成包含信任分值的设备认证画像；

4、根据所述设备认证画像中的信任分值和目标域信息，通过预训练的域间路径预测模型对可用认证路径进行动态权重分配，选择权重最高的认证路径作为优选认证通路；

5、将源域身份凭证按照所述优选认证通路中各中间域的凭证格式要求进行自适应转换，在转换过程中保持身份验证的密码学强度不降级，形成多格式兼容的跨域凭证链；

6、通过所述跨域凭证链在各认证域间进行链式验证传递，当目标域完成最终身份验证后，将认证结果反向传播至源域，建立分布式的跨域认证信任关系。

7、进一步地，采用信任度数值对所述设备身份标识进行信任度量化评估，所述信任度数值的计算如下式所示：

8、；

9、其中，为设备信任度数值，为连续成功认证次数，为总认证次数，为成功率权重指数，为时间稳定性衰减系数，为认证时间间隔标准差，为认证时间间隔均值，为实际资源访问类型数量，为预期资源访问类型数量，为资源访问匹配度指数，为异常触发事件次数，为总触发事件次数，为历史连续性增益系数，为当前连续正常认证周期数，为连续性调节常数。

10、进一步地，所述域间路径预测模型通过接收设备信任分值、源域标识符和目标域标识符作为输入，基于域间连接矩阵查找所有可达路径序列并提取各路径的时延、成功率和节点数量参数，然后利用预训练的三隐藏层全连接神经网络输出时延权重系数、成功率权重系数和节点数量权重系数，最终根据路径综合权重评分公式计算每条路径的评分并选择评分最高的路径作为优选认证通路。

11、进一步地，所述路径综合权重评分公式如下式所示：

12、；

13、其中，为路径综合权重评分，为时延权重系数，为成功率权重系数，为节点数量权重系数，为路径总认证时延，为参考认证时延，为路径整体成功率，为路径上认证节点数量，为最小节点数量，为最大节点数量。

14、进一步地，所述密码学强度不降级的自适应转换包括以下步骤：

15、读取源域凭证使用的加密算法及密钥长度、哈希算法及输出长度、签名算法及密钥长度，并查询各中间域所支持的算法列表及其要求的安全强度； 对每种算法类型，取源域与中间域均支持的且安全强度最高的算法参数作为转换后的参数；若中间域不支持不低于源域强度的算法，则拒绝本次转换并回退通知所述域间路径预测模型重新选择不包含该中间域的其他路径； 根据预设的域间凭证映射规则库，将源域凭证中的身份标识符和权限字段转换为中间域要求的格式； 使用协商确定的加密算法、哈希算法和签名算法对转换后的凭证内容重新加密、计算摘要并生成数字签名。

16、进一步地，所述域间凭证映射规则库为包含算法类型、密钥长度、哈希位数和签名长度四个字段的数据表结构，分别填入源域凭证和各中间域凭证的密码学参数，然后逐一比较源域与各中间域在密钥长度、哈希位数和签名长度三个维度的数值大小关系，将比较结果标记为保持源域参数、提升至中间域要求或降级处理三种调整策略，形成包含具体数值比较结果和明确调整指令的密码学强度对比表。

17、进一步地，所述链式验证传递包括：

18、按照优选认证通路依次将跨域凭证链发送至各中间域，每一中间域对本域对应的凭证进行验证，验证通过后使用本域私钥对本域验证信息及当前凭证链的全局特征进行签名，并将签名结果添加至凭证链的验证记录中后转发至下一域；

19、目标域接收到凭证链后，验证所述验证记录中各中间域签名的有效性及时间顺序的合理性，验证通过后完成最终身份认证，并生成包含认证成功标志、域标识、时间戳、凭证链全局特征及目标域签名的认证结果数据包；

20、目标域按照所述验证记录的逆序将认证结果数据包反向传播至各中间域和源域，各收到结果数据包的域首先验证目标域签名及凭证链全局特征的一致性，验证通过后将本次认证成功记录存储于本地的信任关系数据库中，以实现分布式的跨域认证信任关系。

21、根据本发明的另一方面，提供了一种基于机器学习的分布式数字身份物联网设备跨域认证系统，其包括：

22、设备信任评估与画像生成模块，用于接收跨域认证请求，提取设备身份标识和目标域信息，基于历史认证记录对设备进行信任度量化评估，并生成包含信任分值的设备认证画像；

23、动态路径选择模块，用于根据设备认证画像中的信任分值和目标域信息，通过预训练的域间路径预测模型对可用认证路径进行动态权重分配，选择权重最高的认证路径作为优选认证通路；

24、凭证自适应转换模块，用于按照优选认证通路中各中间域的凭证格式要求，对源域身份凭证进行自适应格式转换，并在转换过程中保持密码学强度不降级，形成多格式兼容的跨域凭证链；

25、链式验证与信任传播模块，用于通过跨域凭证链在各认证域间进行链式验证传递，并在目标域完成最终身份验证后，将认证结果反向传播至源域，建立分布式的跨域认证信任关系。

26、与现有技术相比，本发明提供的基于机器学习的分布式数字身份物联网设备跨域认证方法，其通过接收跨域认证请求并基于历史认证成功记录对设备进行多维信任度量化评估生成设备认证画像，进而利用预训练的域间路径预测神经网络结合设备信任分值和实时网络负载动态分配时延、成功率及节点数量权重系数，选择综合权重最高的认证路径作为优选通路，随后按照优选通路中各中间域的凭证格式要求进行自适应凭证转换并在转换过程中通过协商双方支持的最高安全强度算法保持密码学强度不降级，最终通过跨域凭证链在各认证域间进行链式验证传递并将认证结果反向传播至各域以更新本地信任数据库。这样，一方面通过信任驱动的动态路径选择有效降低了跨域认证的端到端时延并提高了成功率，另一方面通过强度保持的凭证转换避免了传统映射方案中因向下兼容导致的密码学强度降级风险，同时链式验证与反向传播机制使得各认证域能够累积跨域认证信任证据，形成分布式的动态信任关系，从而系统性解决了物联网设备跨域认证中凭证格式不兼容、路径选择低效及安全强度衰减的技术问题。