云环境下非人员实体的零信任身份认证方案

doi:10.11772/j.issn.1001-9081.2025070901

《计算机应用》唯一官方网站 ›› 2026, Vol. 46 ›› Issue (8): 2505-2514.DOI: 10.11772/j.issn.1001-9081.2025070901

云环境下非人员实体的零信任身份认证方案

贾悠¹, 吴娅玲², 苗青鹏¹()

^1.中国电子科技集团公司第三十研究所，成都 610041
^2.西南交通大学数学与信息交叉实验室，成都 611756

收稿日期:2025-08-07 修回日期:2025-10-31 接受日期:2025-10-31 发布日期:2025-12-22 出版日期:2026-08-10
通讯作者: 苗青鹏
作者简介:贾悠（1987—），男，四川成都人，高级工程师，硕士，主要研究方向：网络安全
吴娅玲（2000—），女，四川绵阳人，硕士研究生，主要研究方向：网络与信息安全、零信任安全
苗青鹏（1981—），男，四川德昌人，高级工程师，主要研究方向：网络安全、零信任安全。
基金资助:
四川省科技创新人才项目(2024JDRC0007);四川省科技厅重点研发项目(2023YFG0146)

Zero-trust authentication scheme for non-person entities in cloud environments

You JIA¹, Yaling WU², Qingpeng MIAO¹()

^1.The 30th Research Institute，China Electronics Technology Group Corporation，Chengdu Sichuan 610041，China
^2.Interdisciplinary Laboratory of Mathematics and Information，Southwest Jiaotong University，Chengdu Sichuan 611756，China

Received:2025-08-07 Revised:2025-10-31 Accepted:2025-10-31 Online:2025-12-22 Published:2026-08-10
Contact: Qingpeng MIAO
About author:JIA You， born in 1987， M. S.， senior engineer. His research interests include network security.
WU Yaling， born in 2000， M. S. candidate. Her research interests include network and information security， zero-trust security.
Supported by:
Sichuan Provincial Science and Technology Innovation Talent Project(2024JDRC0007);Key Research and Development Project of Sichuan Provincial Department of Science and Technology(2023YFG0146)

摘要/Abstract

摘要：

当前云环境普遍使用基于边界的安全防护手段，仅依赖防火墙端口策略或简单的认证机制进行访问控制，因而存在多重不足：一方面，可能造成内部实体身份盗用与抵赖、横向移动、流量攻击或敏感数据泄露；另一方面，现有的JWT（JSON Web Token）和TLS（Transport Layer Security）等机制虽被部分采用，但存在重放攻击、端口暴露和管理复杂等问题。针对上述风险，提出一种基于零信任思想的非人员实体（NPE）身份注册与认证方案。该方案中，设计多级身份注册机制，引入国密算法SM9，以实现NPE密钥生成、身份绑定及自动分发；通过改进现有的单包授权（SPA）技术并结合JWT，实现NPE间的双向认证与细粒度授权。安全性分析表明，所提方案能够缓解分布式拒绝服务（DDoS）攻击，抵抗重放攻击和中间人攻击等多种网络威胁，相较于JWT、TLS和基于UDP （User Datagram Protocol）的SPA等认证方案具有安全优势。实验结果表明，相较于使用软件定义边界（SDP）控制器的认证方案，所提方案降低了50%的通信时延，减少了62.03%的认证开销。

关键词: 零信任, 非人员实体, 多级身份注册, 单包授权, 身份认证

Abstract:

Current cloud environments commonly use perimeter-based security mechanisms， only relying on firewall port policies or simple authentication for access control， so there are several limitations： first， they may lead to identity theft and repudiation among internal entities， lateral movement， traffic-based attacks， or sensitive data leakage； second， the existing mechanisms such as JWT （JSON Web Token） and TLS （Transport Layer Security）， though partially adopted， still suffer from replay attacks， port exposure， and management complexity. To address these risks， we proposed a Non-Person Entity （NPE） identity registration and authentication scheme based on the zero-trust principle. In the scheme， we designed a multi-level identity registration mechanism and employed the Chinese national cryptographic algorithm SM9 to achieve NPE key generation， identity binding， and automatic distribution. By improving the existing Single Packet Authorization （SPA） technique and integrating JWT， we realized bidirectional authentication and fine-grained authorization among NPEs. Security analysis shows that the proposed scheme can mitigate Distributed Denial-of-Service （DDoS） attacks and resist various network threats such as replay and man-in-the-middle attacks， offering security advantages over authentication schemes such as JWT， TLS and UDP （User Datagram Protocol）-based SPA. Experimental results demonstrate that compared with the Software-Defined Perimeter （SDP） controller-based authentication scheme， the proposed scheme reduces the communication latency by 50% and decreases the authentication overhead by 62.03%.

Key words: zero trust, Non-Person Entity (NPE), multi-level identity registration, Single Packet Authorization (SPA), authentication

中图分类号:

TP393.08

贾悠, 吴娅玲, 苗青鹏. 云环境下非人员实体的零信任身份认证方案[J]. 计算机应用, 2026, 46(8): 2505-2514.

You JIA, Yaling WU, Qingpeng MIAO. Zero-trust authentication scheme for non-person entities in cloud environments[J]. Journal of Computer Applications, 2026, 46(8): 2505-2514.

图/表 11

图1 NPE零信任认证方案的总体架构

Fig. 1 Overall architecture of NPE zero-trust authentication scheme

图2 NPE身份注册流程

Fig. 2 Flow of NPE identity registration

图3 NPE身份认证流程

Fig. 3 Flow of NPE authentication

表1 GNY逻辑的基本符号

Tab. 1 Basic symbols in GNY logic

符号	定义
$* X$	表示公式X不是由此首发的
$⊲$	表示被告知
$∍$	表示拥有
$# (X)$	表示X是新鲜的
$φ (X)$	表示公式X是可以识别的
$\| ≡$	表示相信
$(X, Y)$	公式X、Y的合取式
${X} + K$ 和 ${X} - K$	对消息X进行公钥加密和解密
$P ↔ K Q$	P相信K是P和Q之间的秘密，P和Q可以使用它互相证明身份或派生密钥
$P → + K Q$	P相信 $+ K$ 是Q的公钥，对应私钥 $- K$ 不应该被除Q及其信任实体外任何实体知晓

表1 GNY逻辑的基本符号

Tab. 1 Basic symbols in GNY logic

符号	定义
$* X$	表示公式X不是由此首发的
$⊲$	表示被告知
$∍$	表示拥有
$# (X)$	表示X是新鲜的
$φ (X)$	表示公式X是可以识别的
$\| ≡$	表示相信
$(X, Y)$	公式X、Y的合取式
${X} + K$ 和 ${X} - K$	对消息X进行公钥加密和解密
$P ↔ K Q$	P相信K是P和Q之间的秘密，P和Q可以使用它互相证明身份或派生密钥
$P → + K Q$	P相信 $+ K$ 是Q的公钥，对应私钥 $- K$ 不应该被除Q及其信任实体外任何实体知晓

表2 不同认证方案安全性对比

Tab. 2 Security comparison of different authentication schemes

攻击类型	JWT	TLS	UDP SPA	TCP SPA	UDP+TCP SPA	本文方案
重放攻击	×	√	√	√	√	√
DDoS攻击	×	×	缓解	×	缓解	缓解
源IP认证放大	√	√	×	√	√	√
端口扫描	×	×	√	×	√	√
证书伪造	/	×	/	×	×	/
内部威胁	缓解	缓解	×	缓解	缓解	缓解
中间人攻击	×	√	×	√	√	√

图4 不同方案的认证字节数对比

Fig. 4 Comparison of authentication byte size of different schemes

表3 计算开销符号

Tab. 3 Computational overhead symbols

符号	描述	符号	描述
$T s g$	签名密钥生成算法	$T d$	解密算法
$T e g$	加密密钥生成算法	$T h$	哈希算法
$T s$	签名算法	$T s y g$	对称密钥生成算法
$T v$	验签算法	$T s y$	对称加密算法
$T e$	加密算法

表3 计算开销符号

Tab. 3 Computational overhead symbols

符号	描述	符号	描述
$T s g$	签名密钥生成算法	$T d$	解密算法
$T e g$	加密密钥生成算法	$T h$	哈希算法
$T s$	签名算法	$T s y g$	对称密钥生成算法
$T v$	验签算法	$T s y$	对称加密算法
$T e$	加密算法

表4 不同SM9算法实现的性能对比

Tab. 4 Performance comparison of different SM9 algorithm implementations

方案	$T s g$		$T e g$		$T s$		$T v$		$T e$		$T d$
方案	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数
GmSSL	0.10	9 636	1.58	634	9.71	103	17.54	57	10.31	97	6.41	156
文献［34］方案	0.23	4 224	0.38	2 652	1.37	728	9.43	106	1.66	602	6.85	146
本文方案	0.04	22 084	0.09	11 040	0.17	5 610	0.58	1 730	0.20	5 065	0.39	2 549

表4 不同SM9算法实现的性能对比

Tab. 4 Performance comparison of different SM9 algorithm implementations

方案	$T s g$		$T e g$		$T s$		$T v$		$T e$		$T d$
方案	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数	耗时/ms	每秒操作数
GmSSL	0.10	9 636	1.58	634	9.71	103	17.54	57	10.31	97	6.41	156
文献［34］方案	0.23	4 224	0.38	2 652	1.37	728	9.43	106	1.66	602	6.85	146
本文方案	0.04	22 084	0.09	11 040	0.17	5 610	0.58	1 730	0.20	5 065	0.39	2 549

表5 认证开销对比

Tab. 5 Authentication overhead comparison

方案	认证开销	计算耗时/ms	总耗时/ms
Waverley SDP	2 $T s$ +4 $T v$ +3 $T e$ +16 $T h$	2.39	4.73
文献［30］方案	1 $T s$ +2 $T v$ +1 $T e$ +2 $T d$ + $T h$	2.32	4.02
文献［31］方案	3 $T b p$ +2 $T e$ +2 $T d$ +8 $T s y$ +2 $T h$	1.14	2.93
文献［32］方案	3 $T m$ +2 $T s y$ +1 $T y$ +11 $T h$	1.24	3.79
文献［33］方案	4 $T m u l$ +4 $T h$ + $T r$	22.51	40.14
本文方案	1 $T s$ +1 $T v$ +1 $T e$ +1 $T d$ +12 $T h$	1.35	2.70

表5 认证开销对比

Tab. 5 Authentication overhead comparison

方案	认证开销	计算耗时/ms	总耗时/ms
Waverley SDP	2 $T s$ +4 $T v$ +3 $T e$ +16 $T h$	2.39	4.73
文献［30］方案	1 $T s$ +2 $T v$ +1 $T e$ +2 $T d$ + $T h$	2.32	4.02
文献［31］方案	3 $T b p$ +2 $T e$ +2 $T d$ +8 $T s y$ +2 $T h$	1.14	2.93
文献［32］方案	3 $T m$ +2 $T s y$ +1 $T y$ +11 $T h$	1.24	3.79
文献［33］方案	4 $T m u l$ +4 $T h$ + $T r$	22.51	40.14
本文方案	1 $T s$ +1 $T v$ +1 $T e$ +1 $T d$ +12 $T h$	1.35	2.70

表6 通信效率对比

Tab. 6 Communication efficiency comparison

方案	通信时延/RTT	延迟/ms	响应时间/ms	会话吞吐量/（Sessions·s ^-¹）
Waverley SDP	7	162.04	172.15	5.81
文献［31］方案	5	114.53	125.24	7.98
文献［30］方案	4	98.81	110.32	9.06
本文方案	2	56.36	68.12	14.68

表7 本文方案的资源利用率

Tab. 7 Resource utilization of proposed scheme

CPU使用率/%		数值常驻内存/MB		堆分配量/MB		磁盘占用量/MB
峰值	平均值	峰值	平均值	峰值	总量	磁盘占用量/MB
3.06	2.19	19.16	15.47	4.34	5.43	33.50

参考文献 34

[1]	Bartakke J， Kashyap R. The usage of clouds in zero-trust security strategy： an evolving paradigm［J］. Journal of Information and Organizational Sciences， 2024， 48，（1）：149-165.
[2]	Buck C， Olenberger C， Schweizer A， et al. Never trust， always verify： a multivocal literature review on current knowledge and research gaps of zero-trust［J］. Computers and Security， 2021， 110： No.102436.
[3]	Saleem M， Warsi M R， Islam S. Secure information processing for multimedia forensics using zero-trust security model for large scale data analytics in SaaS cloud computing environment［J］. Journal of Information Security and Applications， 2023， 72： No.103389.
[4]	Department of the Navy Chief Technology Officer. DON major design concept： implement zero trust［R/OL］. （2023-06-09）［2025-10-30］..
[5]	Department of Defense， Office of the Chief Information Officer. DoD enterprise Identity， Credential， and Access Management （ICAM） reference design［R/OL］. （2020-06）［2025-10-30］..
[6]	Cybersecurity and Infrastructure Security Agency. Continuous diagnostics and mitigation program： Identity， Credential， and Access Management （ICAM） reference architecture［R/OL］. （2023-09）［2025-10-30］..
[7]	Yu D， Jin Y， Zhang Y， et al. A survey on security issues in services communication of Microservices-enabled fog applications［J］. Concurrency and Computation： Practice and Experience， 2019， 31（22）： No.e4436.
[8]	Nehme A， Jesus V， Mahbub K， et al. Fine-grained access control for microservices［C］// FPS 2018， LNCS 11358. Cham： Springer， 2019： 285-300.
[9]	Pereira-Vale A， Fernandez E B， Monge R， et al. Security in microservice-based systems： a multivocal literature review［J］. Computers and Security， 2021， 103： No.102200.
[10]	Reichert B M， Obelheiro R R. IT-SPIRE： improving the resilience of the SPIFFE/SPIRE architecture with an intrusion-tolerant server［C］// LADC 2024. New York： ACM， 2024： 252-261.
[11]	Naik N， Jenkins P. Securing digital identities in the cloud by selecting an apposite federated identity management from Saml， OAuth and OpenID Connect［C］// RCIS 2017. Piscataway： IEEE， 2017：163-174.
[12]	Naik N， Jenkins P. An analysis of open standard identity protocols in cloud computing security paradigm［C］// DASC/PiCom/DataCom/CyberSciTech 2016. Piscataway： IEEE， 2016： 428-431.
[13]	Bhutada S， Jyothi K K. Enhancing security to the MicroService （MS） architecture by implementing Authentication and Authorization （AA） service using Docker and Kubernetes［J］. International Journal of Innovative Technology and Exploring Engineering， 2019， 8（6S3）： 401-407.
[14]	Rahaman M S， Tisha S N， Song E， et al. Access control design practice and solutions in cloud-native architecture： a systematic mapping study［J］. Sensors， 2023， 23（7）： No.3413.
[15]	李雪涛. 基于区块链的无证书公钥系统设计与实现［D］. 北京：北京邮电大学， 2022： 1-97.
	Li Xuetao. Design and implementation of certificateless public key system based on blockchain［D］. Beijing： Beijing University of Posts and Telecommunications， 2022： 1-97.
[16]	Rose S， Borchert O， Mitchell S， et al. Zero trust architecture： NIST special publication 800-207［R/OL］. （2020-08）［2025-10-30］..
[17]	Moubayed A， Refaey A， Shami A. Software-Defined Perimeter （SDP）： state of the art secure solution for modern networks［J］. IEEE Network， 2019， 33（5）： 226-233.
[18]	Sheikh N， Pawar M， Lawrence V. Zero trust using network micro segmentation［C］// IEEE INFOCOM 2021. Piscataway： IEEE， 2021： 1-6.
[19]	Cloud Security Alliance. Software-Defined Perimeter （SDP） specification v2.0［EB/OL］. （2022-03-10）［2025-10-30］..
[20]	Sallam A， Refaey A， Shami A. On the security of SDN： a completed secure and scalable framework using the software-defined perimeter［J］. IEEE Access， 2019， 7： 146577-146587.
[21]	Krmelj G R， Pančur M， Grohar M， et al. OpenSPA： an open and extensible protocol for single packet authorization［C］// CECC 2018. New York： ACM， 2018： No.4.
[22]	郭锐. 基于国密算法的轻量级无人机网络认证密钥协商协议设计［D］. 西安：西安电子科技大学， 2021： 1-74.
	Guo Rui. Design of lightweight authentication and key agreement protocol in UAV network based on Chinese commercial cryptography［D］. Xi’an： Xidian University， 2021： 1-74.
[23]	国家市场监督管理总局，中国国家标准化管理委员. 信息安全技术SM9标识密码算法第1部分：总则［S］.
	State Administration for Market Regulation， National Standardization Administration of China. ： Information security technology： identity-based cryptographic algorithm SM9-part 1： general［S］.
[24]	唐晓婷，俞少华，鲍亮. 设备指纹技术在银行业务中的应用［J］. 计算机应用与软件， 2020， 37（9）： 42-44， 61.
	Tang Xiaoting， Yu Shaohua， Bao Liang. Application of device fingerprint technology in banking business［J］. Computer Applications and Software， 2020， 37（9）： 42-44， 61.
[25]	Grace M C， Zhou W， Jiang X， et al. Unsafe exposure analysis of mobile in-app advertisements［C］// WISEC 2012. New York： ACM， 2012： 101-112.
[26]	Cloud Google. Service accounts［EB/OL］. ［2025-03-03］..
[27]	Gong L， Needham R， Yahalom R. Reasoning about belief in cryptographic protocols［C］// 1990 IEEE Computer Society Symposium on Research in Security and Privacy. Piscataway： IEEE， 1990： 234-248.
[28]	Burrows M， Abadi M， Needham R M. A logic of authentication［J］. Proceedings of the Royal Society of London. A. Mathematical， Physical and Engineering Sciences， 1989， 426（1871）： 233-271.
[29]	陈瑜，殷浩，姚蕾，等. 基于双模单包授权的公路零信任安全应用研究［J］. 网络安全与数据治理， 2023， 42（10）： 87-93.
	Chen Yu， Yin Hao， Yao Lei， et al. Research on the application of road zero trust security based on dual mode single packet authorization［J］. Cyber Security and Data Governance， 2023， 42（10）： 87-93.
[30]	吴克河，程瑞，姜啸晨，等. 基于SDP的电力物联网安全防护方案［J］. 信息网络安全， 2022（2）： 32-38.
	Wu Kehe， Cheng Rui， Jiang Xiaochen， et al. Security protection scheme of power IoT based on SDP［J］. Netinfo Security， 2022（2）： 32-38.
[31]	李惟贤，张建辉，曾俊杰，等. 基于软件定义边界的零信任匿名访问方案［J］. 计算机科学， 2024， 51（12）： 293-302.
	Li Weixian， Zhang Jianhui， Zeng Junjie， et al. Zero trust anonymous access scheme based on software-defined perimeters［J］. Computer Science， 2024， 51（12）： 293-302.
[32]	安宇航，冯景瑜，庹善德，等. 工业互联网中抗APT窃取身份的零信任动态认证［J］. 信息安全研究， 2024， 10（10）： 928-936.
	An Yuhang， Feng Jingyu， Shande Tuo， et al. Zero trust dynamic authentication to resist APT identity compromise in the industrial internet［J］. Journal of Information Security Research， 2024， 10（10）： 928-936.
[33]	Son S， Kwon D， Lee S， et al. A zero-trust authentication scheme with access control for 6G-enabled IoT environments［J］. IEEE Access， 2024， 12： 154066-154079.
[34]	谢振杰，刘奕明，蔡瑞杰，等. 国密算法SM9的性能优化方法［J］. 计算机科学， 2025， 52（6）： 390-396.
	Xie Zhenjie， Liu Yiming， Cai Ruijie， et al. Performance optimization method for domestic cryptographic algorithm SM9［J］. Computer Science， 2025， 52（6）： 390-396.

云环境下非人员实体的零信任身份认证方案

Zero-trust authentication scheme for non-person entities in cloud environments

RichHTML

PDF

可视化

摘要/Abstract

引用本文

使用本文

图/表 11

参考文献 34

相关文章 15

编辑推荐

Metrics

[1]	王诗雨, 贾林鹏, 金键, 李忠诚, 周继华, 孙毅. 按需披露的区块链数字身份认证机制DCIdentity[J]. 《计算机应用》唯一官方网站, 2026, 46(4): 1171-1181.
[2]	王作广, 李超, 赵利. 基于零信任的网络数据安全保护框架与实现[J]. 《计算机应用》唯一官方网站, 2025, 45(4): 1232-1240.
[3]	王睿, 潘恒, 刘坤, 斯雪明, 张博伟, 李坤阳. 基于区块链的电子政务跨部门协作身份认证方案[J]. 《计算机应用》唯一官方网站, 2025, 45(11): 3477-3485.
[4]	刘德渊, 张金全, 张鑫, 万武南, 张仕斌, 秦智. 基于无证书签密的跨链身份认证方案[J]. 《计算机应用》唯一官方网站, 2024, 44(12): 3731-3740.
[5]	王群, 袁泉, 李馥娟, 夏玲玲. 零信任网络及其关键技术综述[J]. 《计算机应用》唯一官方网站, 2023, 43(4): 1142-1150.
[6]	田洪亮, 王佳玥, 李晨曦. 基于混合算法区块链和节点身份认证的数据存储方案[J]. 《计算机应用》唯一官方网站, 2022, 42(8): 2481-2486.
[7]	杜心雨, 王化群. LTE-A网络中基于动态组的有效的身份认证和密钥协商方案[J]. 计算机应用, 2021, 41(6): 1715-1722.
[8]	张兴兰, 赵怡静. 基于单光子的量子双向同步身份认证协议[J]. 计算机应用, 2020, 40(9): 2634-2638.
[9]	江泽涛, 徐娟娟. 云环境下基于签密的异构跨域身份认证方案[J]. 计算机应用, 2020, 40(3): 740-746.
[10]	刘威, 汪阳, 郑建彬, 詹恩奇. 基于加速度传感器的中文签名身份认证[J]. 计算机应用, 2017, 37(4): 1004-1007.
[11]	胡振宇, 李志华, 陈超群. 基于用户社会关系的移动终端认证方案[J]. 计算机应用, 2016, 36(6): 1552-1557.
[12]	王康, 李清宝. 结合容量伪装和双文件系统的文件隐藏方法[J]. 计算机应用, 2016, 36(4): 979-984.
[13]	庞永春, 孙子文, 王尧. 基于手机触摸屏传感器多点触摸身份认证算法[J]. 计算机应用, 2015, 35(6): 1780-1784.
[14]	薛锋, 汪定, 曹品军, 李勇. 对两个无线传感器网络中匿名身份认证协议的安全性分析[J]. 计算机应用, 2015, 35(12): 3424-3428.
[15]	刘超耿焕同刘文杰. 基于对称W态和身份认证的安全量子通信协议[J]. 计算机应用, 2014, 34(2): 438-441.