CN104580233A - 一种物联网智能家居安全网关系统 - Google Patents

Abstract

本发明涉及一种物联网智能家居安全网关系统，该系统包括用户端、安全网关、终端节点；用户端和终端节点包括数据加/解密模块，用于在远程客户端或终端节点上使用预置的加密程序对发送的控制命令以及接收到的数据进行加/解密；安全网关包括安全通信模块、用户访问控制与节点身份认证模块、可信平台模块、日志审计与报警模块；安全通信模块实现数据安全过滤、重组及转发，保证双向传输过程的安全；可信平台模块用于实现系统安全认证、用户行为可信分析、数据密封存储，且实现其自由解耦，可进行单独维护和升级；日志审计与报警模块用于对用户访问和节点认证行为进行记录，并对查看日志的操作进行安全审计，对网关系统安全监测过程中发现的异常现象及时报警。本发明能够提升智能家居系统的安全性能和网关的运行效率，为物联网智能家居提供安全保障。

Description

一种物联网智能家居安全网关系统

技术领域

本发明属于物联网网络安全测控与可信技术领域，涉及一种物联网智能家居安全网关系统。

背景技术

现有智能家居系统主要着眼于基于物联网技术的家用设备远程或本地控制与室内环境监测，还没有对信息的传输安全、控制安全和用户隐私等提供保障，存在安全隐患，容易遭到攻击。作为智能家居系统控制中枢的网关，是外部攻击进入智能家居系统内部的必经节点，担负着网内外信息交换的核心任务，面临着来自智能家居系统外部的诸多安全威胁，同时，是实施对智能家居系统访问控制、保障智能家居系统安全的关键部位。另一方面，受限于网关本身的硬件与软件资源，难以执行复杂的数据安全处理工作，且网络的快速发展，为智能家居系统的安全维护和升级带了严峻的挑战。

因此特别针对智能家居网关进行安全设计，保证用户与终端的安全、信息内容安全、信息处理与传输安全，提升智能家居系统抵御攻击的能力显得尤为重要。

发明内容

有鉴于此，本发明的目的在于提供一种物联网智能家居安全网关系统，该系统能够提升智能家居系统的安全性能，提高网关系统的运行效率。

为达到上述目的，本发明提供如下技术方案：

一种物联网智能家居安全网关系统，包括用户端、安全网关、终端节点；所述用户端和终端节点包括数据加/解密模块；所述安全网关包括：安全通信模块、用户访问控制与节点身份认证模块、可信平台模块、日志审计与报警模块；

所述用户端和终端节点中的数据加/解密模块，用于在远程客户端或终端节点上使用预置的加密程序对发送的控制命令以及接收到的数据进行加/解密；

所述安全通信模块，用于同其他模块相互配合，保证数据双向传输过程的安全；

所述用户访问控制与节点身份认证模块用于实现对用户的访问进行控制和节点身份的认证；

所述日志审计与报警模块，用于对用户访问和节点认证行为进行记录，并对查看日志的操作进行安全审计，同时对网关系统安全监测过程中发现的异常现象及时报警。

进一步，所述用户端和终端节点中的数据加/解密模块，加密流程采用数字签名与分组加密相结合的混合加密方法；其中用于加/解密的公钥或私钥均存储在usb-key中，由用户保管，并与可信平台中使用的usb-key一样，通过服务商定期更换其中的密钥内容。

进一步，所述安全通信模块所采用的安全机制为：钩子函数hook+安全处理模块；即每一个hook挂接一个或多个安全处理模块，当数据包在安全通信链路上传输时，遇到hook则触发进入相应的安全处理模块；安全通信链路分为两条：指向互联网的对外通信链路，指向智能家居网络的对内通信链路；两者的安全运行机制如下：

对外通信链路：

1)网关在接收来自智能家居网络内部的加密数据包时，首先经过hook1，此处挂接节点身份认证模块，此模块采用针对智能家居系统特点专门设计的基于硬件标识的身份认证机制，用于鉴别新加入节点的合法身份，一旦身份认证通过则记录在日志中，后期通信只需识别即可，无需再次认证；

2)节点身份认证通过后，网关接收加密数据包，此时经过hook2，此处挂接可信平台模块与包重组模块；可信平台对数据包进行解密和重新加密，再由包重组模块对数据包进行统一格式转换成TCP包；

3)包重组完成后，经过hook3，此处挂接网络地址转换模块，采用NAT技术对数据包中的源地址信息进行动态转换，将数据包中的私有IP地址伪装、转换成合法的公用IP地址，即达到隐藏内部网络设备的目的，使攻击者无法找到家居节点的私有IP进行攻击；此公用IP地址从一个合法地址池中随机抽取，并由系统日志建立地址转换映射表，最后由网关发送加密数据包至互联网；

对内通信链路：

1)网关在接收来自互联网的加密数据包时，首先经过hook4，此处挂接用户访问控制模块，此模块采用基于强制访问控制策略MAC的两级验证机制，即用户名/密码+验证码，确认访问用户的合法性和赋予相应权限；

2)用户认证通过后，网关接收加密数据包，此时经过hook5，此处挂接包过滤模块，根据过滤规则只接受TCP包，同时对包头信息(如源地址、协议类型、端口号、传输方向等)进行检查，过滤规则存在优先次序，一旦任一规则检测未通过则该包被丢弃；

3)包过滤完成后，经过hook6，此处挂接可信平台模块与包重组模块，可信平台对数据包进行解密、可信分析和重新加密，再经过包重组模块，将TCP包转换成zigbee包；

4)包重组完成后，经过hook7，此处挂接网络地址转换模块，根据地址转换映射表将数据包的目的地址转换成智能家居网络中设备节点对应的私有IP地址，最后由网关将加密数据包发送至智能家居网络。

进一步，所述可信平台可与安全网关实现自由解耦，即可单独对可信平台进行维护和安全升级，所述可信平台模块包括：系统可信检测模块、可信分析与信誉度评估模块、数据加/解密模块、密封存储模块；

所述系统可信检测模块，用于网关启动前对其操作系统及日志审计模块的完整性与完好性进行验证，实现系统级安全和日志审计安全；

所述可信分析与信誉度评估模块，用于对安全通信模块转发的加密数据包进行解密和深度可信分析，判断用户和节点行为的合法性，实现行为的风险评估和预警；同时，建立信誉度库，对行为进行跟踪评价，提升系统对行为的预测、监管和控制，对检测到的非法控制命令、恶意数据等记录在日志中，并发出报警信号；

所述可信平台中的数据加/解密模块，用于对经过解密、可信分析后的数据包重新加密；

所述密封存储模块，用于对安全网关中的重要数据进行密封存储，通过完全独立的存储区域对数据进行密封存储，且数据只有在确认访问者身份和访问调用命令的双重保护下，才会被访问和调用。因此即使入侵者控制了网关的操作系统或者取得了进入可信平台数据库的权限，也无法获取加密数据库中的内容。此外，用户和节点的身份认证名单、包过滤规则、地址转换映射表等均存储在此。但只能读取，不能写入，以此防止篡改攻击。

本发明的有益效果在于：本发明针对现有智能家居网关系统无安全保护或安全保护较弱的缺陷，有针对性地设计安全网关的内核机制，依此实现用户和节点的身份认证，数据包的过滤与重组、安全转发，日志审计与报警。同时创造性的构建专用可信平台作为安全处理系统，与网关安全内核机制相配合，实现系统和日志安全验证、数据可信分析与信誉度评估、数据重新加密、密封存储。且实现两者的自由解耦，利于对其进行单独维护和安全升级。不仅能够极大地增强安全网关系统抵御攻击的能力，也使得它的运行更加高效和实用，从而为物联网智能家居系统提供了重要的安全保障。

附图说明

为了使本发明的目的、技术方案和有益效果更加清楚，本发明提供如下附图进行说明：

图1为本发明物联网智能家居安全网关系统整体结构示意图；

图2为本发明物联网智能家居安全网关系统安全网关结构示意图；

图3为本发明物联网智能家居安全网关系统安全网关对外通信方式示意图；

图4为本发明物联网智能家居安全网关系统安全网关对内通信方式示意图；

图5为本发明物联网智能家居安全网关系统中节点身份认证方法示意图；

图6为本发明物联网智能家居安全网关系统可信平台结构示意图；

图7为本发明物联网智能家居安全网关系统可信平台工作方式示意图。

具体实施方式

下面将结合附图，对本发明的优选实施例进行详细的描述。

如图1所示，本发明提供的物联网智能家居安全网关系统，包括用户端、安全网关、终端节点。

用户端/安全网关采用基于C/C++语言编写的linux或uC/OS II操作系统作为内核，并设计应用程序作为逻辑与控制界面。

本物联网智能家居安全网关系统中所使用到的加密算法，如分组加密算法、对称加密算法、非对称加密算法、数字签名方法等是可以公开的、未公开的或者相结合的算法。

本物联网智能家居安全网关系统的安全网关包括：安全通信模块、用户访问控制与节点身份认证模块、日志审计与报警模块、可信平台模块，其结构示意图如图2所示。

安全网关，用于双向安全通信、用户访问控制、终端节点身份识别、日志审计与报警、可信平台分析。其硬件平台采用基于ARM处理器与相应的节点外设构建而成。安全网关工作方式如图3、图4所示。

安全通信模块，在基于操作系统的内核机制上，主要针对因特网(IPv4协议)和Zigbee网络的双向通信而设计。在包过滤规则中设置数据包格式采用TCP包和Zigbee包，以此提高运行效率，增强实用性。但从可能的物理传输方式上来说，并不局限于此，还可以是以太网、Wifi、蓝牙、无线(430M/470M)、RS232/RS485、串口通信、GPRS/3G等。

节点身份认证模块，根据智能家居系统实际特点，采用专门设计的基于硬件标识的身份鉴别机制对节点进行身份认证，一旦认证通过，下次通信无需可信的第三方(可信平台)维系，直接由网关认证IP和MAC地址正确即可实现通信。其认证方法如图5所示。

日志审计与报警模块，当安全网关系统在监测过程中发现异常情况时，将及时向用户发出报警信号，信号的发送途径可以是短信、邮件等多种形式。

本物联网智能家居安全网关系统的可信平台模块包括：系统可信检测模块、行为可信分析与信誉度评估模块、数据加密模块、密封存储模块。其结构示意图如图6所示。

可信平台，用于实现对网关系统的可信安全验证，对网关转发的加密数据进行解密和深度可信分析，行为特征分析和信誉度评估，数据重新加密，重要数据密封存储。可信平台工作方式如图7所示。

系统可信检测模块，网关启动前，对网关发送来的操作系统和日志审计数据的验证信息，如bootloader、kemel等，使用相应的验证算法，验证其完好性，然后再返回启动命令，允许网关加载OS。

行为特征分析与信誉度库模块，采用数据库与分析算法结合的方式，对用户和节点的行为(数据和指令内容)进行评估和监管。对行为的结果做到可预期、可知与可控。

数据加密模块，提供多种加密算法和随机数生成算法，加密并不局限于对数据加密，也可以对网关的更新、应用程序进行加密。加/解密所使用的密钥存储在usb-key一类的硬件加密存储器中。

密封存储模块，使用存储器屏蔽技术，提供了完全独立的存储区域，即使网关操作系统自身也没有对密封存储模块的完全访问权限，所以即使入侵者控制了操作系统，数据也是安全的。而如果入侵者获得了访问权限，但没有掌握正确的访问命令，也无法获取数据。

具体来说：

本发明提出了一种物联网智能家居安全网关系统，其包括：用户端、安全网关、终端节点。

所述用户端和终端节点包括：

数据加/解密模块，用于对发送的控制命令以及接收到的数据采用混合加密方法进行加/解密。对接收到的数据使用usb-key中存储的密钥进行解密，并与可信平台中使用的usb-key一样，通过服务商定期更换其中的密钥内容。所述混合加密方法包括如下步骤：

1)加密程序对用户的控制、查看命令，或者服务商的升级程序，进行签名计算(如ECDES等)，签名完成后生成对应唯一的验证码；

2)将该验证码与控制、查看命令或升级程序打包，使用非对称加密的私钥(如ECC、RSA)或对称加密的公钥(如AES)进行加密；

3)加密完成后将数据包通过因特网发送至网关处；

通过此混合加密方法，可以实现对智能家居网络中数据包的安全保护和密钥维护。

所述安全网关包括：

安全通信模块，用于同其他模块相互配合，保证数据双向传输过程的安全。其中为了让传输更加安全和高效，综合考虑TCP包、UDP包、ICMP包的特点，最后选择TCP包(按性能划分包大小、自带校验机制、抵御dos攻击)作为对外发送的数据包格式。此模块在基于网关操作系统的内核机制上设计实现安全功能。

用户访问控制与节点身份认证模块，用于确认访问用户的合法性和访问权限，并对新加入的终端节点进行身份鉴别。其中对用户采用强制访问控制策略(MAC)实现访问控制，对用户和安全网关系统的各模块赋予一定的安全级别，用户和各模块不能改变自身或对方的安全级别，通过比较用户和访问对象的安全级别，决定用户是否可以访问，对例如日志审计报警等模块赋予最高的安全级别，只允许进行读操作，不允许进行写操作。所述用户访问控制方法包括如下内容：

1)若用户在已安装数字证书的用户端上进行访问，则还需输入用户名与密码。由访问控制模块识别数字证书的有效性，然后验证访问者的用户名与密码；

2)若用户在没有安装数字证书的用户端上进行访问，则首先由访问控制模块验证用户名与密码，验证通过后，访问控制模块根据用户注册时的手机号码，发送短信验证码，用户输入正确验证码后可以进行访问操作；

此外，根据智能家居系统的实际特点，采用专门设计的基于硬件标识的身份鉴别机制，此机制仅使用节点固有的设备号和MAC地址，通过两级验证实现初始密钥协商和身份鉴别，其后续运行不需要可信的第三方参与，且有利于可信平台的密钥维护，具有较高的安全性，所述身份认证方法包括如下步骤：

1)终端节点出厂前，在其硬件上固化设备号；

2)节点入网认证前，将设备号与MAC地址通过使用网关公布的公钥进行加密，但网关并不持有解密私钥；

3)网关接收到加密信息后，由于没有可供解密的私钥，因此须向可信平台申请私钥；

4)可信平台验证网关身份后，向网关发送其私钥，网关使用私钥解密验证信息，得到设备号与MAC地址，并与可信平台加密数据库中存储的合法设备信息进行比对，比对成功则允许该终端节点加入。

日志审计与报警模块，用于对用户的访问、操作行为和节点通信进行记录，并由审计机制判断用户访问日志的权限，对查看日志的行为进行安全审计。日志中记录的用户访问及操作行为、节点通信、报警信息等被设置为最高安全级别，只允许进行读操作，不能进行写操作，防止记录被篡改和删除，同时对网关系统安全监测过程中发现的异常现象通过短信或其他方式及时向用户发出报警信号。

可信平台模块，用于对网关的操作系统和日志审计进行安全验证、数据加/解密、可信分析与信誉度评估、密封存储等。其子模块包括如下：

系统可信检测模块：用于网关启动前对其操作系统及日志数据库进行完好性验证，实现系统级安全，所述验证方法包括如下步骤：

1)可信平台向网关发送准备验证的信号(SYN)，网关接收并解析成功后返回操作系统和数据库的验证性息；

2)可信平台对该验证信息进行完整性验证，验证成功后返回启动命令(ACK)；

3)网关收到启动命令后加载OS，以上两步中若出现验证失败的情况，则进行日志记录，并发送报警信号给用户。

数据可信检测模块，用于对经过网关认证和过滤后的加密数据进行解密和深度可信分析。同时，对检测到的非法控制命令、恶意数据等记录在日志中，并发出报警信号，所述可信分析检测方法包括如下步骤：

1)可信平台接收网关转发的加密数据，使用存储在usb-key中的公钥解密；

2)解密成功后，对数据进行可信计算分析，分析内容包括：消息完整性检查(MIC)、数据格式检测。

行为特征分析与信誉度评估模块，用于对用户和节点的行为(命令和数据内容的合法性)进行判定，实现行为的风险评估和预警。并建立信誉度库，就用户和节点的行为进行跟踪评价。提升系统对行为的预测、监管和控制，使行为和结果总是可预期、可知与可控的。所述检测、评估方法包括如下内容：

1)行为特征库根据用户和节点的大量历史行为记录和行为判定算法而建立，此模块用于对用户和节点行为进行风险评估和预警(包括恶意信息扫描、敏感数据分析、异常行为检测等)，实现行为的可信，提升系统对行为的预测、监管、控制；

2)信誉度库是根据对用户和节点行为的跟踪评价，以及相应的信誉度评估算法而建立的。通过信誉度库的分析，不仅能避免或减少与恶意用户来往，还能在用户与服务提供者之间建立互信的关系，从而提高双方合作的可能性，减少因不信任所花费在监测和防护上的额外开销。此外，对于信誉度低的节点将检测权重提高，增加检测的次数和深度。

数据加密模块，用于将经过可信分析和行为特征分析后的数据，采用混合加密方式(与客户端加密方式相同，但使用的密钥不同)进行重新加密处理。

密封存储模块，用于对安全网关中的重要数据进行密封存储，包括用户和节点的身份认证名单、访问操作记录、包过滤规则、地址转换映射表等。

最后说明的是，以上优选实施例仅用以说明本发明的技术方案而非限制，尽管通过上述优选实施例已经对本发明进行了详细的描述，但本领域技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离本发明权利要求书所限定的范围。

Claims (4)

1.一种物联网智能家居安全网关系统，其特征在于：包括用户端、安全网关、终端节点；所述用户端和终端节点包括数据加/解密模块；所述安全网关包括：安全通信模块、用户访问控制与节点身份认证模块、可信平台模块、日志审计与报警模块；

所述用户端和终端节点中的数据加/解密模块，用于在远程客户端或终端节点上使用预置的加密程序对发送的控制命令以及接收到的数据进行加/解密；

所述安全通信模块，用于同其他模块相互配合，保证数据双向传输过程的安全；

所述用户访问控制与节点身份认证模块用于实现对用户的访问进行控制和节点身份的认证；

所述日志审计与报警模块，用于对用户访问和节点认证行为进行记录，并对查看日志的操作进行安全审计，同时对网关系统安全监测过程中发现的异常现象及时报警。

2.根据权利要求1所述的一种物联网智能家居安全网关系统，其特征在于：所述用户端和终端节点中的数据加/解密模块，加密流程采用数字签名与分组加密相结合的混合加密方法；其中用于加/解密的公钥或私钥均存储在usb-key中，由用户保管，并与可信平台中使用的usb-key一样，通过服务商定期更换其中的密钥内容。

3.根据权利要求1所述的一种物联网智能家居安全网关系统，其特征在于：所述安全通信模块所采用的安全机制为：钩子函数hook+安全处理模块；即每一个hook挂接一个或多个安全处理模块，当数据包在安全通信链路上传输时，遇到hook则触发进入相应的安全处理模块；安全通信链路分为两条：指向互联网的对外通信链路，指向智能家居网络的对内通信链路；两者的安全运行机制如下：

对外通信链路：

1)网关在接收来自智能家居网络内部的加密数据包时，首先经过hook1，此处挂接节点身份认证模块，此模块采用针对智能家居系统特点专门设计的基于硬件标识的身份认证机制，用于鉴别新加入节点的合法身份，一旦身份认证通过则记录在日志中，后期通信只需识别即可，无需再次认证；

2)节点身份认证通过后，网关接收加密数据包，此时经过hook2，此处挂接可信平台模块与包重组模块；可信平台对数据包进行解密和重新加密，再由包重组模块对数据包进行统一格式转换成TCP包；

3)包重组完成后，经过hook3，此处挂接网络地址转换模块，采用NAT技术对数据包中的源地址信息进行动态转换，将数据包中的私有IP地址伪装、转换成合法的公用IP地址，即达到隐藏内部网络设备的目的，使攻击者无法找到家居节点的私有IP进行攻击；此公用IP地址从一个合法地址池中随机抽取，并由系统日志建立地址转换映射表，最后由网关发送加密数据包至互联网；

对内通信链路：

1)网关在接收来自互联网的加密数据包时，首先经过hook4，此处挂接用户访问控制模块，此模块采用基于强制访问控制策略MAC的两级验证机制，即用户名/密码+验证码，确认访问用户的合法性和赋予相应权限；

2)用户认证通过后，网关接收加密数据包，此时经过hook5，此处挂接包过滤模块，根据过滤规则只接受TCP包，同时对包头信息进行检查，过滤规则存在优先次序，一旦任一规则检测未通过则该包被丢弃；

3)包过滤完成后，经过hook6，此处挂接可信平台模块与包重组模块，可信平台对数据包进行解密、可信分析和重新加密，再经过包重组模块，将TCP包转换成zigbee包；

4)包重组完成后，经过hook7，此处挂接网络地址转换模块，根据地址转换映射表将数据包的目的地址转换成智能家居网络中设备节点对应的私有IP地址，最后由网关将加密数据包发送至智能家居网络。

4.根据权利要求1所述的一种物联网智能家居安全网关系统，其特征在于：所述可信平台可与安全网关实现自由解耦，即可单独对可信平台进行维护和安全升级，所述可信平台模块包括：系统可信检测模块、可信分析与信誉度评估模块、数据加/解密模块、密封存储模块；

所述系统可信检测模块，用于网关启动前对其操作系统及日志审计模块的完整性与完好性进行验证，实现系统级安全和日志审计安全；

所述可信分析与信誉度评估模块，用于对安全通信模块转发的加密数据包进行解密和深度可信分析，判断用户和节点行为的合法性，实现行为的风险评估和预警；同时，建立信誉度库，对行为进行跟踪评价，提升系统对行为的预测、监管和控制，对检测到的非法控制命令、恶意数据等记录在日志中，并发出报警信号；

所述可信平台中的数据加/解密模块，用于对经过解密、可信分析后的数据包重新加密；

所述密封存储模块，用于对安全网关中的重要数据进行密封存储，通过完全独立的存储区域对数据进行密封存储，且数据只有在确认访问者身份和访问调用命令的双重保护下，才会被访问和调用。