1-Wire安全认证中如何防止重放攻击？

Question

在1-Wire安全认证（如DS2432、DS28E01等）中，重放攻击是典型威胁：攻击者截获合法主机与iButton/传感器间的一次挑战-响应交互（如CRYPTO命令），后续重发该响应以冒充合法器件。常见技术问题在于：**部分系统仅依赖静态密钥和固定算法，未引入时间/序列/状态相关因子，导致响应可被无限重用**。例如，若每次认证使用相同challenge或未校验nonce唯一性，且器件不维护递增计数器或不支持真随机challenge生成，则即使采用SHA-1 HMAC，也无法抵御重放。更严峻的是，某些嵌入式应用为降低主控复杂度，省略同步机制（如时间戳校验或双向计数器配对），使离线重放成为可能。此外，1-Wire单总线特性加剧风险——物理层缺乏天然信道隔离，易被监听。因此，单纯依赖“密钥保密”远不够，必须结合动态挑战生成、单调递增序列号、会话绑定及响应时效性验证等纵深防御措施。

Answer 1

```html

一、现象层：重放攻击在1-Wire系统中的典型表现

攻击者利用逻辑分析仪或定制1-Wire监听器（如DS2480B+MCU方案），在单总线空闲期捕获主机发出的CRYPTO命令帧（含Challenge）及器件返回的HMAC-SHA-1响应。由于DS2432等器件默认不校验Challenge新鲜性，同一Challenge可被多次提交并获得相同响应——该响应即成为“万能令牌”。实测表明，在无防护的DS28E01部署中，重放成功率接近100%，平均耗时＜200ms。

二、机理层：为何静态密钥+固定算法必然失效？

• 算法层面：HMAC本质是确定性函数：HMAC(K, C) = H((K ⊕ opad) ∥ H((K ⊕ ipad) ∥ C))。若C恒定，则输出恒定；
• 器件限制：DS2432无内部RTC、无真随机数发生器（TRNG）、无持久化计数器寄存器；
• 协议缺陷：1-Wire CRYPTO命令未定义Nonce生命周期字段，主机无法强制要求“一次性Challenge”语义。

三、架构层：纵深防御的四维技术栈

维度	技术手段	器件支持度（DS28E01/DS2432）	主控开销
动态挑战	主机生成强随机Challenge（RFC 4086）	✅（需主控实现）	中（需TRNG或熵池）
状态绑定	使用Page 0x02计数器（DS28E01支持写保护递增）	✅（DS28E01）/❌（DS2432）	低（仅读计数器）
时效约束	嵌入时间戳（需外接RTC或PTP同步）	❌（纯硬件不支持）	高（需校时+漂移补偿）
会话绑定	Challenge派生Session Key + AES-GCM加密通道	❌（需额外安全协处理器）	极高（需AES加速）

四、实施层：面向工程落地的渐进式加固方案

1. Level 1（基础加固）：主机侧强制Challenge熵值≥64bit，每次认证前调用getrandom(2)（Linux）或CryptGenRandom（Win）；
2. Level 2（状态强化）：启用DS28E01的Page 0x02计数器，主机校验counter_new > counter_old且Δ≤10（防跳变）；
3. Level 3（混合防御）：Challenge = HMAC-SHA256(K_host, timestamp || rand_32bit || device_id)，其中timestamp取自主控RTC（±5s容错）；
4. Level 4（硬件升级）：替换为DS28C22（内置TRNG+SHA-256+计数器锁存），支持AuthCompute指令链式验证。

五、验证层：重放攻击检测与响应流程

graph TD A[捕获总线帧] --> B{是否含CRYPTO命令？} B -->|否| C[丢弃] B -->|是| D[解析Challenge字段] D --> E[查重放缓存表
（LRU-1000，TTL=30s）] E -->|命中| F[触发告警
阻断会话
记录日志] E -->|未命中| G[执行标准认证流程] G --> H[将Challenge哈希存入缓存]

六、演进层：超越1-Wire协议的安全范式迁移

当系统安全等级提升至IEC 62443-3-3 SL2以上时，应放弃对旧器件的兼容性妥协：采用DS28S60（ECDSA-P256签名+密钥隔离区）配合TLS 1.3 over UART桥接，将1-Wire降级为物理层传输载体，而将认证逻辑上移至安全MCU（如NXP LPC55S69）。此时，重放防护由PKI非对称机制天然保障——每个签名含唯一随机数k，且验证端维护已用r值集合（RFC 6979 deterministic k可规避熵依赖）。

```