最新论文笔记(+4)：Blockchain-Based Solutions to Security and Privacy Issues in the Internet of Things

Blockchain-Based Solutions to Security and Privacy Issues in the Internet of Things(基于区块链的物联网安全和隐私问题解决方案)

这篇论文是基于区块链技术在物联网中解决安全和隐私问题的一个研究综述，可想而知在物联网中解决安全和隐私问题，是两个比较重要的属性。

本文提到了物联网已经普遍应用于我们的各个场景，包括在智能家居和智慧城市中的应用，并开发了一个将区块链与物联网集成的框架，该框架可以为物联网数据和各项功能提供良好的保障，以及达到理想的可扩展性，包括认证、去中心化等。最后，作者还针对基于区块链和以太坊技术，应用于物联网中存在的安全和隐私问题提出了一些可能的解决方案。

• 原文链接：Blockchain-Based Solutions to Security and Privacy Issues in the Internet of Things

一、写作背景

论文名称	作者 / 单位	来源	年份	简要内容
Blockchain-Based Solutions to Security and Privacy Issues in the Internet of Things	禹勇 (陕西师范大学密码学国家重点实验室)	IEEE Wireless Communication	2018	针对IoT的问题，开发了一个区块链与IoT集成的应用框架

文章指出，物联网（IoT）引领学术界和工业界的数字革命，其安全级别较低的设备会成为恶意敌手的攻击目标，系统中的数据可能会暴露，存在着安全和隐私问题亟待解决。以此为写作背景，作者开发了一个将区块链与IoT集成的系统框架，为IoT数据和各项功能提供良好的保障。

二、主要内容

前面几段大部分介绍相关背景，存在的问题和一些初步设想等，这里就不过多介绍，以下为核心内容。

本篇论文的作者研究了传统IoT架构，并分析其中的安全和隐私问题，包括数据完整性、数据共享、身份验证、访问控制和隐私等方面，描述了区块链和物联网协同工作的框架，并从物理层、通信层、数据库层和接口层等四层架构来陈述，这几个方面特性也是基于区块链的物联网方案许哟啊解决的痛点问题。另外，作者论证了区块链如何与IoT集成，描述了区块链和IoT协同工作的框架，并指出了区块链如何从IoT系统中受益。最后，论文展示了一些可能的解决方案，以解决基于区块链和以太坊的IoT系统中的安全和隐私问题。另外还考虑了更多基于区块链的潜在解决方案，以展示区块链在IoT中的强大功能。

（1）数据完整性

采用以太坊和智能合约来解决分布式系统中数据的完整性，如上图所示。

• a) 点对点(peer-to-peer, P2P)系统中的节点需要通过生成空间证明(proof of space)来提交它们所拥有的空间，以证明他们的claims并进行deposits。这是在同行注册到系统中以生成交易$T_{regist}$时实现。
• b) 矿工通过验证空间证明方程来验证这笔交易和链接有效交易在区块链中。然后，IoT用户宣布在P2P网络中的交易$T_{store}$、索赔的claim和涉及的费用。矿工为用户匹配交易的需求、服务和提供存储。
• c) 当IoT用户需要检查外包数据的完整性时，会生成一个新的交易$T_{chal}$。然后，存储数据的矿工计算一个证明，并将其放在区块链上，由用户验证。
• d) 若验证未通过，交易$T_{regist}$的deposit将奖励给用户，作为对承载数据的矿工的惩罚。若矿工想撤销存储空间，需要产生一个交易$T_{cancel}$，并在交易$T_{regist}$中撤销deposit。

（2）数据共享

基于以太坊区块链提供了一个可能的解决方案。假设数据所有者收集IoT系统中生成的数据，并以$d$ BTC的价格作为收入共享数据。为保证交易双方的公平，买方需要支付一定的deposit，且不低于$d$ BTC，如下图所示。

• a) 预定义一个时间t的时间承诺，卖方在t时间内诚实地向卖方付款后，就可以赎回deposit。否则，deposit可以在交易熔断(Fuse)签字后转寄给卖方。
• b) 如果卖方在时间t之前签署了Fuse交易，它是无效的。因为它不能再交易时间$t_{lock}$内通过矿工的验证。这确保了恶意买家再获得预期数据时不会损害卖方利益。
• c) 如果买方也需要受到公平交易的保护，卖方也需要产生一笔交易来支付deposit。

（3）身份验证和访问控制

以太坊可以为智能设备、服务器和IoT中的数据提供身份认证和访问控制。用户可以在智能合约中预定义访问策略，并生成多种交易，如$T_{policy}$、$T_{access}$和$T_{query}$。这个交易$T_{policy}$包括预定义访问策略，$T_{access}$是为了访问管理，$Tquery$是为了访问查询。当新实体第一次注册到IoT系统时，将确定新生成的公钥和相应的访问权限，并将其放入区块链上的交易$T_{access}$中。随后，当实体需要访问IoT系统时，通过构造和签名交易$T_{query}$生成查询。

（4）隐私

可以结合多种加密技术来实现完全匿名。可链接环签名(Linkable Ring Signatures)非常适合于自发环中隐藏发送者身份的交易签名。同态承诺(Homomorphic Commitments)可以隐藏账单交易中的货币金额。零知识证明(Zero Knowledge Proof of Knowledge)和零知识论证(Zero Knowledge Argument of Knowledge)是将交易中的任何信息转为随机信息的完美工具，可以防止任何第三方获取一丁点的信息。当涉及到IoT系统中的数据隐私时，为了提高效率，使用了对称加密(Symmetric Encryption)，如AES加密。

三、总结

本篇论文研究的是基于区块链技术在IoT中解决安全和隐私问题，重点描述了区块链与IoT协同工作的框架，为了便于读者理解，作者采用了一个实例描述了基于区块链的身份验证和访问控制过程。最后，作者也提供了几种解决隐私问题更多可能的方向，包括GHOST协议，以及一种基于有向无环图(Directed Acyclic Graph, DAG)结构的区块链，对后面的研究具有重要的参考意义。

四、个人疑问和思考

• 作者提出的模型是客户想要某项服务需要支付比该服务价格还要高的押金，即相当于支付大于双倍价格的服务，是否可能存在客户缺乏购买欲而导致的效率问题？
• 此模型只有对恶意客户的惩罚措施，是否可以增加对积极客户的激励措施？
• 以及，最后指出在隐私方面可以结合加密技术来实现匿名，但是没有具体给出那种加密技术更适合该场景？

以上仅代表我个人的疑惑，欢迎大家在下方留言积极讨论，一起学习，一起进步！