CN104202308B - Wi‑Fi物联网系统的安全的批量配置实现方法 - Google Patents

Abstract

一种Wi‐Fi物联网系统的安全的批量配置实现方法，使用安全方式配置Wi‐Fi物联网中的一个主设备，然后使用点对多方式由主设备对Wi‐Fi物联网内其他设备进行认证和配置；主设备通过使用两个不同的MAC地址且同时支持Wi‐Fi Soft‐AP和Wi‐Fi STA两种工作模式；当用户的移动终端对处于Soft‐AP模式的Wi‐Fi物联网主设备进行初始配置；然后主设备通过另一个Wi‐Fi功能来连接同一群体其它设备，帮助其它设备完成代理初始配置。本发明能以指数增长形式来完成大量Wi‐Fi物联网设备的配置，在确保隐私数据安全的同时节约了大量人力成本。

Description

Wi-Fi物联网系统的安全的批量配置实现方法

技术领域

本发明涉及的是一种物联网技术领域的方法，具体是一种Wi‐Fi物联网系统的安全的批量配置实现方法。

背景技术

物联网(IOT，Internet Of Things)设备可以是各种信息传感器和控制器，也可以是各种智能化的家用电器。物联网设备接入互联网形成的一个巨大网络，实现了互联网从人向物的延伸，引发了一场新的技术革新。其中，Wi‐Fi物联网设备即物联网设备使用Wi‐Fi技术接入互联网，具有最低的接入成本和最好的可扩展性。例如，家用电器、电灯和各种传感器作为Wi‐Fi物联网设备通过家庭Wi‐Fi接入点(Wi‐Fi Access Point也称Wi‐Fi热点或无线路由器)连上互联网，即可连接到云端，实现家用物联网。随着Wi‐Fi模块成本不断降低，一个家庭中Wi‐Fi物联网设备可能多达几十到几百个。

Wi‐Fi物联网设备使用前需要进行一些初始配置，包括选择连接某一个无线路由器及其加密方式和加密密码，也可能包括云端服务器的信息。但是，与个人电脑、平板电脑或手机不同，Wi‐Fi物联网设备通常不带有键盘或显示屏幕，需要借助个人电脑、平板电脑或智能手机来进行初始配置。如何在保证这些敏感的配置信息的不被泄露的同时，快速完成大量的Wi‐Fi物联网设备成为本领域急需解决的技术问题。

中国专利文献号CN103763757A公开(公告)日2014.04.30，公开了一种基于物联网嵌入式Wi‐Fi模块的快速联网方法，但该方法存在安全隐患：黑客使用任何一个Wi‐Fi设备进行监听，即可截获这些未加密传输的配置信息。在注重网络安全的今天，该方法无法满足使用者基本的个人信息安全要求。CN103841626A公开(公告)日2014.06.04，公开了一种物联网无线终端及其配置方法及移动终端，该技术使用广播包的类似方案，同样没有解决安全性问题。

另一种传统的配置方式为：完成初始配置前，即处于待配置模式时，Wi‐Fi物联网设备处于Soft‐AP模式(即标准的无线网卡通过驱动程序使其提供与访问接入点AP一样的信号转接、路由等功能)；移动终端发现并连接上作为一个Wi‐Fi接入点的该物联网设备。然后，通过网页或手机软件APP传输配置信息给该物联网设备(包括该物联网设备在工作状态时需要使用的无线路由器的加密方式和加密密码等)。配置完成后，即处于工作模式时，该Wi‐Fi物联网设备连接到相应的无线路由器，并使用正确的方式和密码来连接Wi‐Fi接入点，从而连上互联网，最后连上云端的物联网服务器。该方法中，处于Soft‐AP模式的Wi‐Fi物联网设备之间和移动终端之间传输配置信息，可使用加密方式，如WPS、WAPI或WPA/WPA2等，不易被监听和破译，安全性较好。但是，传统的配置方式的缺点有：用需要使用移动终端来登录每个Wi‐Fi物联网设备进行配置。当有大量的Wi‐Fi物联网需要一起安装或修改无线路由器信息时，就费时费力。

经过对现有技术的检索发现，中国专利文献号CN103529793A公开(公告)日2014.01.22，公开了一种基于Wi‐Fi的STA模式与AP模式物联网控制系统及其控制方法，所述控制器内加载有AP软件控制模块和STA软件控制模块，所述AP软件控制模块控制Wi‐Fi模块通过AP信道与用户控制终端连接而实现AP直连控制，所述STA软件控制模块控制Wi‐Fi模块通过STA信号与无线路由器连接而实现STA跨互联网连接。用户可同时对物联网电器进行STA模式的互联网控制和AP模式的直连控制，也可以实现STA模式的互联网控制和AP模式的直连控制之间的自动切换功能。但该技术没有考虑无线传输的安全性问题，即没有考虑如何将敏感的配置信息传给物联网控制器。此外，该技术中一个物联网控制器仅将AP模式用于用户终端的直连控制，没有考虑和其他物联网控制器连接。

发明内容

本发明针对现有技术存在的上述不足，提出一种Wi‐Fi物联网系统的安全的批量配置实现方法，支持批量加密操作，能以指数增长形式来完成大量Wi‐Fi物联网设备的配置，在确保隐私数据安全的同时节约了大量人力成本。

本发明是通过以下技术方案实现的：本发明使用安全方式配置Wi‐Fi物联网中的一个设备，称为主设备，然后使用点对多方式由主设备对Wi‐Fi物联网内其他设备进行认证和配置，其中：Wi‐Fi物联网中的设备通过使用两个不同的MAC地址且同时支持两种Wi‐Fi工作模式，包括：

a)Wi‐Fi Soft‐AP，即软件模拟接入点模式：在处于待配置模式时，Wi‐Fi物联网中的Wi‐Fi物联网设备使用Wi‐Fi Soft‐AP功能允许移动终端的接入。

b)Wi‐Fi STA，即无线站点模式：初始配置完成后，处于工作模式时，Wi‐Fi物联网中的Wi‐Fi物联网设备使用Wi‐Fi STA功能来连接上特定的Wi‐Fi接入点，从而接入Internet互联网来连接到物联网服务器；同时，主设备通过另一个Wi‐Fi功能来连接到同一群体的其他的Wi‐Fi物联网设备，帮助其它设备以安全的方式完成代理初始配置。同一群体的其他的Wi‐Fi物联网设备是指连接到同一个物联网服务器且属于同一用户的其他的Wi‐Fi物联网设备。

所述的安全方式配置是指：当用户使用移动终端发现处于Soft‐AP模式的Wi‐Fi物联网主设备时，该主设备通过WPS、WAPI或WPA/WPA2等加密方式与移动终端进行加密连接；然后，用户在移动终端上，通过网页或手机软件APP向物联网设备传输配置信息。

所述的配置信息包括但不限于：设备在工作状态时需要使用的无线路由器的加密方式和加密密码。

所述的点对多方式是指：当主设备通过加密保护链路由无线路由器连接到物联网服务器且进入工作模式时，主设备使用Wi‐Fi Soft‐AP方式允许同一群体中处于待配置模式的其他设备接入，而其他设备则通过Wi‐Fi STA方式寻找并尝试接入主设备。也可以使用另一种方式：主设备使用Wi‐Fi STA方式逐一接入同一群体中处于待配置模式的其他设备，而其他设备处于Wi‐Fi Soft‐AP方式等待主设备接入。

所述的认证采用以下任一方式实现：

方式1、通过物联网服务器来完成认证：新增设备向主设备发送包含设备的设备编号的代理初始配置请求；处于工作模式的主设备通过安全链路将代理初始配置请求发送到物联网服务器；物联网服务器认证新增设备是否是同一群体的Wi‐Fi物联网设备，如是，则物联网服务器帮助新增设备和主设备之间建立加密通信，由主设备将初始配置信息发给新增设备。

方式2、在方式1中，物联网服务器认证设备是同一群体的Wi‐Fi物联网设备后，物联网服务器通知移动终端，需要得到用户的确认后，才进行下一步操作。

方式3、用户通过移动终端完成认证：新增设备向主设备发送包含设备的设备编号的代理初始配置请求；处于工作模式的主设备通过安全链路将新增设备的代理初始配置请求转发到处于互联网或无线局域网中的移动终端，通过移动终端人工确认或由移动终端中的预设信息比对确认新增设备是否是同一群体的Wi‐Fi物联网设备，如是，则移动终端帮助新增设备和主设备之间建立加密通信链路，由主设备将初始配置信息发给新增设备。

方式4、主设备通过Wi‐Fi WPS(带有保护设置的Wi‐Fi，Wi‐Fi with ProtectedSetup)协议认证设备：通过主设备和新增设备同时实现指定操作实现人工配对认证，如认证通过，则在主设备和新增设备之间建立一个临时的加密通信链路，由主设备将初始配置信息发给新增设备。

技术效果

与现有技术相比，本发明可保护Wi‐Fi物联网设备配置信息的传输安全，避免被人恶意破解；本发明支持批量操作，能以指数增长形式来完成大量Wi‐Fi物联网设备的配置。从而节约了大量人力成本。

附图说明

图1为本发明示意图。

具体实施方式

下面对本发明的实施例作详细说明，本实施例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。

实施例1

如图1所示，本实施例中无线路由器R连接到互联网，移动终端(如：智能手机)P可连接无线路由器R。有大量的Wi‐Fi物联网设备w0，w1，w2，…需要安装，并进行初始配置来连接无线路由器R连上云端的物联网服务器S。

本实施例通过使用安全的方式配置其中一个Wi‐Fi物联网设备w0，选择w0为主设备，然后使用安全的方式，由主设备w0对其他Wi‐Fi物联网设备w1，w2，…进行配置，依此类推。

所述的Wi‐Fi物联网设备使用两个不同的MAC地址且同时支持两个Wi‐Fi功能：Wi‐FiSoft‐AP功能(即表现为一个功能有限的Wi‐Fi接入点)和Wi‐Fi STA功能(即一个标准的Wi‐Fi设备)。在不同时候，使用这两个功能的作用不同。

a)，具体为：初始配置完成前，处于待配置模式时，Wi‐Fi物联网设备使用Wi‐FiSoft‐AP功能来允许智能手机接入；同时使用Wi‐Fi STA功能来寻找并尝试接入一个已经配置好的Wi‐Fi物联网设备。

b)，具体为：初始配置完成后，处于工作模式时，Wi‐Fi物联网设备使用Wi‐Fi STA功能来连接上特定的无线路由器(Wi‐Fi接入点)，从而接入互联网；同时，使用Soft‐AP功能来允许其他同一群体的Wi‐Fi物联网设备接入。

本实施例具体包括以下步骤：

步骤1)先使用安全的方式，配置其中一个Wi‐Fi物联网主设备w0。例如采用传统方法，智能手机P发现并连接上作为一个Wi‐Fi接入点的该物联网设备，称为主设备w0。处于Soft‐AP模式的Wi‐Fi物联网主设备w0之间和智能手机之间的连接应使用WPS、WAPI或WPA/WPA2等加密方式。然后，通过网页或手机软件APP传输配置信息给该物联网设备(包括该物联网设备在工作状态时需要使用的无线路由器的加密方式和加密密码等)。

步骤2)Wi‐Fi物联网主设备w0进入工作模式，已通过无线路由器R连接到物联网服务器S，整个链路是经过加密保护。其他Wi‐Fi物联网设备w1，w2，…等仍然处于待配置模式。主设备w0使用Soft‐AP功能来允许其他同一群体的Wi‐Fi物联网设备接入，设备w1，w2，…等使用Wi‐Fi STA功能来寻找并尝试接入主设备w0。

步骤3)当Wi‐Fi物联网设备w1会自动发现主设备w0已完成配置时，就会使用Wi‐FiSTA功能连接上主设备w0，并向主设备w0发送请求。物联网服务器S、智能手机P或主设备w0通过认证设备w1是同一群体的Wi‐Fi物联网设备，然后通过主设备w0向设备w1发送包含配置信息的数据包，这些数据包必须经过加密。这样，设备w1即可自动完成代理初始配置进入工作模式连上互联网。

同理，w2，w3，…等可通过主设备w0或设备w1完成配置。整个Wi‐Fi物联网的配置即可以指数形式快速完成。

同一群体的Wi‐Fi物联网设备是指连接到同一个物联网服务器S且属于同一用户。

所述的认证设备w1采用以下任一方式实现，例如：

方式1、通过物联网服务器S来完成认证：设备w1向主设备w0发送的代理初始配置的请求中包含设备w1的设备编号device‐id。处于工作模式的主设备w0通过安全链路，将设备w1的代理初始配置的请求发送到物联网服务器S，并负责设备w1和S之间的数据传输。物联网服务器S认证设备w1是否是同一群体的Wi‐Fi物联网设备。如是，物联网服务器S根据w1的设备编号device‐id，查找数据库得到w1在待配置模式时使用的密钥，并发给w0。w0使用此密钥来加密数据，仅有使用w1使用对应的密钥才可解密，这样设备w1和主设备w0之间就建立了加密通信，由主设备w0将初始配置信息发给设备w1。

方式2、在方式1中，物联网服务器认证设备是同一群体的Wi‐Fi物联网设备后，物联网服务器通知移动终端，需要得到用户的确认后，才进行下一步操作。

方式3、用户通过智能手机P完成认证：设备w1向主设备w0发送的代理初始配置的请求中包含设备w1的设备编号device‐id。处于工作模式的主设备w0通过安全链路，将设备w1的代理初始配置的请求转发到处于互联网或无线局域网中的智能手机P。智能手机P的界面上出现设备w1的信息，然后由人工确认或由智能手机P中的软件根据事先获得的信息比对确认。(例如，可通过智能手机P对设备w1拍照或扫描获得设备w1标志信息的二维码)。智能手机P查找事先存储的w1在待配置模式时使用的密钥，并发给w0。w0使用此密钥来加密数据，仅有使用w1使用对应的密钥才可解密，这样设备w1和主设备w0之间就建立了加密通信链路，由主设备w0将初始配置信息发给设备w1。

方式4、主设备w0通过Wi‐Fi WPS协议认证设备w1：Wi‐Fi WPS协议要求人工同时按住主设备w0和设备w1上的一个按钮来完成配对，这样就可在主设备w0和设备w1之间建立一个临时的加密通信链路，由主设备w0将初始配置信息发给设备w1。

实施例2

本实施例要求Wi‐Fi物联网设备需支持两个Wi‐Fi功能：Wi‐Fi Soft‐AP功能(即表现为一个功能有限的Wi‐Fi接入点)和Wi‐Fi STA功能(即一个标准的Wi‐Fi设备)。在不同时候，分别使用这两个功能。

a)，具体为，初始配置完成前，处于待配置模式时，Wi‐Fi物联网设备使用Wi‐FiSoft‐AP功能来允许智能手机或者一个已经处于工作模式的Wi‐Fi物联网设备接入；

b)，具体为，初始配置完成后，处于工作模式时，Wi‐Fi物联网设备使用Wi‐Fi STA功能来连接上特定的无线路由器R即Wi‐Fi接入点，从而接入互联网Internet，连上云端的物联网服务器S；同时，使用另一个Wi‐Fi STA功能来查找连接上一个同一群体的处于配置模式的Wi‐Fi物联网设备，并完成代理初始配置。同时支持这两个Wi‐Fi STA功能，可以使用两个不同的MAC地址也可采用同一个MAC地址分时进行的方式。

本实施例具体操作步骤如下：

步骤1)先使用安全的方式，配置其中一个Wi‐Fi物联网主设备w0。例如采用传统方法，智能手机P发现并连接上作为一个Wi‐Fi接入点的该物联网设备，称为主设备w0。处于Soft‐AP模式的Wi‐Fi物联网主设备w0之间和智能手机之间的连接应使用WPS、WAPI或WPA/WPA2等加密方式。然后，通过网页或手机软件APP传输配置信息给该物联网设备(包括该物联网设备在工作状态时需要使用的无线路由器的加密方式和加密密码等)。

步骤2)Wi‐Fi物联网主设备w0进入工作模式，已通过无线路由器R连接到物联网服务器S，整个链路是经过加密保护。其他Wi‐Fi物联网设备w1，w2，…等仍然处于待配置模式，使用Wi‐Fi Soft‐AP功能。主设备w0同时使用另一个Wi‐Fi STA功能，寻找处于待配置模式的可能的同一群体的Wi‐Fi物联网设备。

步骤3)主设备w0发现并连上设备w1，然后设备w1并向主设备w0发送请求。物联网服务器S、智能手机P或主设备w0通过某种方式认证设备w1是同一群体的Wi‐Fi物联网设备，然后通过主设备w0向设备w1发送包含配置信息的数据包，这些数据包必须经过加密。这样，设备w1即可自动完成代理初始配置进入工作模式连上互联网。

同理，w2，w3，…等可通过主设备w0或设备w1完成配置。整个Wi‐Fi物联网的配置即可以指数形式快速完成。

所述的认证设备w1为同一群体的Wi‐Fi物联网设备，采用和实施实例1中的相同方式实现。

本方法与现有技术相比的优点在于：可保护Wi‐Fi物联网设备配置信息的传输安全，难以被人恶意破解；支持批量操作，能以指数增长形式来完成全网络的配置。从而节约了大量人力成本。

Claims (3)

1.一种Wi-Fi物联网系统的安全的批量配置实现方法，其特征在于，使用安全方式配置Wi-Fi物联网中的一个主设备，然后使用点对多方式由主设备对Wi-Fi物联网内其他设备进行认证和配置；

所述的主设备通过使用两个不同的MAC地址且同时支持Wi-Fi Soft-AP和Wi-Fi STA两种工作模式；

当用户使用移动终端发现处于Soft-AP模式的Wi-Fi物联网主设备时，该主设备通过加密方式与移动终端进行加密连接；然后用户在移动终端上向物联网设备传输配置信息；

所述的工作模式具体是指：

a)Wi-Fi Soft-AP，即软件模拟接入点模式：在处于待配置模式时，Wi-Fi物联网中的Wi-Fi物联网设备使用Wi-Fi Soft-AP功能允许移动终端的接入；

b)Wi-Fi STA，即无线站点模式：初始配置完成后，处于工作模式时，Wi-Fi物联网中的Wi-Fi物联网设备使用Wi-Fi STA功能来连接上特定的Wi-Fi接入点，从而接入Internet互联网来连接到物联网服务器；同时，该Wi-Fi物联网设备使用另一个Wi-Fi功能来连接同一群体的其他的Wi-Fi物联网设备，即连接同一个物联网服务器且属于同一用户的其他的Wi-Fi物联网设备，帮助其它设备以安全的方式完成代理初始配置；

所述的点对多方式是指：当主设备通过加密保护链路由无线路由器连接到物联网服务器且进入工作模式时，主设备使用Soft-AP方式允许同一群体中处于待配置模式的其他设备接入，而其他设备则通过Wi-Fi STA方式寻找并尝试接入主设备；或当主设备通过加密保护链路由无线路由器连接到物联网服务器且进入工作模式时，主设备使用Wi-Fi STA方式逐一接入同一群体中处于待配置模式的其他设备，而其他设备处于Wi-Fi Soft-AP方式等待主设备接入；

所述的认证采用以下任一方式实现：

方式1、通过物联网服务器来完成认证：新增设备向主设备发送包含设备的设备编号的代理初始配置请求；处于工作模式的主设备通过安全链路将代理初始配置请求发送到物联网服务器；物联网服务器认证新增设备是否是同一群体的Wi-Fi物联网设备，如是，则物联网服务器帮助新增设备和主设备之间建立加密通信，由主设备将初始配置信息发给新增设备；

方式2、在方式1中，物联网服务器认证设备是同一群体的Wi-Fi物联网设备后，物联网服务器通知移动终端，需要得到用户的确认后，才进行下一步操作；

方式3、用户通过移动终端完成认证：新增设备向主设备发送包含设备的设备编号的代理初始配置请求；处于工作模式的主设备通过安全链路将新增设备的代理初始配置请求转发到处于互联网或无线局域网中的移动终端，通过移动终端人工确认或由移动终端中的预设信息比对确认新增设备是否是同一群体的Wi-Fi物联网设备，如是，则移动终端帮助新增设备和主设备之间建立加密通信链路，由主设备将初始配置信息发给新增设备；

方式4、主设备通过Wi-Fi WPS协议认证设备：通过主设备和新增设备同时实现指定操作实现人工配对认证，如认证通过，则在主设备和新增设备之间建立一个临时的加密通信链路，由主设备将初始配置信息发给新增设备。

2.根据权利要求1所述的方法，其特征是，所述的加密方式包括：WPS、WAPI、WPA或WPA2。

3.根据权利要求1或2所述的方法，其特征是，所述的配置信息包括：设备在工作状态时需要使用的无线路由器的加密方式和加密密码。