1.一种多因子物联网终端动态群组接入认证方法，其特征在于：包括以下步骤：S1：系统初始化阶段：SDN控制器与物联网网关建立安全连接，SDN控制器进行系统初始化，生成一个安全私钥，并选择一个安全单项哈希函数；

S2：物联网终端注册阶段：将物联网终端按群组进行划分，在安全信道下统一注册；

S3：登录阶段：物联网终端通过PUF解密智能卡中的秘密参数，并对物联网终端的安全性、可靠性进行验证；

S4：身份认证与会话密钥协商阶段：在一个待认证的群组中，首先组长向SDN控制器发起接入认证请求；SDN控制器通过注册时的信息与认证请求中的参数，验证组长的身份后，生成一个随机数并为群组中每一位成员计算加密密钥，然后发送给物联网网关；物联网网关为每个终端成员计算会话密钥，并通过加密密钥保护随机数，然后向群组成员广播认证消息；群组成员根据登录时的参数与认证消息在本地计算加密密钥、会话密钥、组密钥，然后验证认证消息并更新伪身份，随后计算认证成功消息发送给组长；组长将各个成员的验证成功消息进行融合发送给物联网网关；物联网网关对融合消息验证成功后，向SDN控制器发送认证成功消息，随后SDN控制器同步计算会话密钥与组密钥；

S5：动态加入终端阶段：当要向某一终端群组中添加新成员时，更新组密钥以保证前向安全；

S6：动态移除终端阶段：当发现一个群组中的某个成员存在恶意行为时，将该成员逐出群组，并更新组密钥SKG以保证后向安全；

S7：定时更新组身份与PUF激励响应对阶段：当一定时间段后，为防止跟踪攻击，对组身份标识和PUF激励响应对进行更新；各个物联网终端重新选择私钥与PUF输入激励，并计算相应注册参数发送给SDN控制器；SDN控制器根据新的参数，重新计算组身份标识与选择随机数，并通过原有会话密钥发送给各个物联网终端；随后各个终端与SDN控制器同步计算更新会话密钥与组密钥。

2.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：所述步骤S1具体包括：SDN控制器与物联网网关建立安全连接，然后生成一个安全私钥δsc，并选* n择一个安全单项哈希函数H():{0,1}→{0,1}，n是哈希函数消息摘要输出的位宽。

3.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：所述步骤S2中，群组中的k个终端成员都默认配备一个物理不可克隆函数PUF，并初始化一个激励响应对CRP(Ci,Ri)，物联网终端注册具体包括以下步骤：S21：物联网终端通过身份标识IDi与PUF输出计算注册参数GPWi，向SDN控制器发送注册信息；

Ri＝PUF(Ci)

GPWi＝H(IDi||Ri)

其中，Ri表示物理不可克隆函数PUF的输出响应，Ci表示物理不可克隆函数的输入激励，GPWi表示注册参数，H表示哈希函数；

S22：SDN控制器为物联网终端计算伪身份VIDi，选择大素数pi和指数运算的原根g，SDN控制器发送注册信息到物联网终端；VIDi的计算公式如下：VIDi＝H(IDi||δsc)

δsc表示SDN控制器的安全私钥；

xi

S22：物联网终端选择私钥xi，计算注册信息yi≡g mod pi，并向SDN发送注册信息；

S24：SDN控制器根据注册信息构建同余方程组计算得到组身份标识GID，通过注册信息加密组身份标识计算得Wi，SDN控制器发送注册信息到物联网终端；GID是同余方程的计算结果，公式如下：S25：物联网终端为加密私钥和参数完整性验证计算B1和B2，并将存储到智能卡SMCi中，其中Wi用于保护GID的参数：Wi＝GID⊕GPWi

B1和B2用于保护物联网终端的私钥和完整性验证，其计算过程如下所示：B1＝xi⊕H(VIDi||GPWi)

B2＝H(VIDi||IDi||xi||Ri||Wi||GID)。

4.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：步骤S3具体包括：物联网终端读取身份标识IDi和PUF输入激励Ci，以及智能卡中的参数，计算GPWi，解密B1保护的私钥并对参数进行完整性验证。

5.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：所述步骤S4具体包括：S41：群组组长生成时间戳T1，计算认证请求验证参数AUTHGL＝H(GID||VIDGL||IDGL||T1)，并将认证请求消息＜VIDGL,AUTHGL,T1>发送到物联网网关；

S42：物联网网关将认证请求消息转发给SDN控制器；

S43：SDN控制器验证消息新鲜性后验证AUTHGL，为每个终端成员计算加密密钥Ki＝H(VIDi||GID||GPWi)，选择随机数r，将消息＜{VIDi,Ki},r,GID>发送到物联网终端；

S44：物联网网关为保护随机数r计算Di，计算会话密钥SKi，以及完整性验证参数AUTHi‑ITG，将消息发送到群组组长，公式如下：Di＝r⊕H(VIDi||Ki)

SKi＝H(VIDi||GID||r||Ki)

AUTHi‑ITG＝H(VIDi||GID||r||SKi||Ki||Di)S45：组长将消息在组内进行广播，终端成员计算加密密钥Ki，解密Di得到随机数r，计算new会话密钥SKi，计算组密钥SKG，并进行完整性验证计算AUTHi‑ITG，更新伪身份计算VIDi ，计算认证成功参数AUTHi‑N，将消息发送给群组组长；公式如下：SKG＝H(r||GID)

new

VIDi ＝H(r||VIDi||IDi)

AUTHi‑N＝H(VIDi||GID||Di||r||SKi||SKG||Ki)S46：群组组长将各个成员的消息进行融合计算得到融合认证参数AUTHt，将消息发送到物联网网关；其中：AUTHt＝AUTH1‑N⊕AUTH2‑N⊕...⊕AUTHk‑NS47：物联网网关计算SKG，并验证AUTHt，向SDN控制器发送认证成功消息，SDN控制器同new步计算

6.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：步骤S5具体包括以下步骤：S51：新成员Nk+1生成一个时间戳T2，并计算认证请求验证参数AUTHk+1，将消息＜VIDk+1,AUTHk+1,T2>发送到该群组的组长，具体公式如下：AUTHk+1＝H(GID’||VIDk+1||IDk+1||GPWk+1||T2)S52：群组组长向消息中添加组身份标识，将消息

S53：SDN控制器验证消息的新鲜性，验证计算AUTHk+1，重新构建同余方程组计算新的组身份标识GIDnew，选择新的随机数rnew，计算加密密钥K’k+1和Kk+1，将消息<{VIDk+1,K’k+1,Kk+1},rnew,GIDnew＞发送给物联网网关；计算公式如下：K’k+1＝H(VIDk+1||GID’||GPWk+1)

Kk+1＝H(VIDk+1||GIDnew||GPWk+1)S54：物联网网关为加密新的组身份标识和随机数计算D’k+1和Dk+1，计算会话密钥SKk+1和完整性验证参数AUTH(k+1)‑ITG，将消息＜VIDk+1,D’k+1,Dk+1,AUTH(k+1)‑ITG＞发送到新成员，并将＜rnew,GIDnew＞通过原有组密钥广播给原有组成员；计算公式如下：D’k+1＝GIDnew⊕H(VIDk+1||K’k+1)

Dk+1＝rnew⊕H(VIDk+1||Kk+1)

SKk+1＝H(VIDk+1||GIDnew||rnew||Kk+1)AUTH(k+1)‑ITG＝H(VIDk+1||GIDnew||rnew||SKk+1||K’k+1||Kk+1||D’k+1||Dk+1)S55：新成员计算加密密钥K’k+1和Kk+1解密D’k+1和Dk+1得到新的组身份标识和随机数，计new new算会话密钥SKk+1和组密钥SKG ，计算验证AUTH(k+1)‑ITG，更新伪身份VIDk+1 ，计算认证成功参数AUTH(k+1)‑N，将消息＜VIDk+1,AUTH(k+1)‑N＞发送到物联网网关；于此同时，其它成员收到后，也将进行更新；计算公式如下：new

VIDk+1 ＝H(r||VIDk+1||IDk+1)

new

AUTH(k+1)‑N＝H(VIDk+1||GIDnew||D’k+1||Dk+1||rnew||SKk+1||SKG ||K’k+1||Kk+1)newS56：物联网网关计算SKG 并验证计算AUTH(k+1)‑N，向SDN控制器发送认证成功消息；SDN控制器同步对进行更新。

7.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：步骤S6具体包括以下步骤：S61：首先SDN控制器检索恶意成员Nk，并撤销Nk的合法身份，将其yk修改成其它值y’k，并重新构建同余方程组计算得GIDnew：SDN生成新的随机数rnew，并将消息＜rnew,GIDnew>通过SKi加密发送给除去恶意成员Nk之外的群组成员；

S62：其它成员将进行更新，SC也重新计算并通过加密与ITG同步。

8.根据权利要求1所述的多因子物联网终端动态群组接入认证方法，其特征在于：步骤new new new newS7包括：物联网终端生成新的PUF输入激励Ci ，计算Ri ，GPWi ，选择新的私钥xi 计算new new newyi ,将消息发送到SDN控制器；SDN控制器重新构建同余方程组得到GIDnew，生成新的随机数rnew，并将消息＜rnew,GIDnew>广播给所有群组成员；群组成员、SDN控制器和物联网网关，更新参数。