CN104618369A - 一种基于OAuth的物联网设备唯一授权方法、装置及系统 - Google Patents

Abstract

本发明公开了一种基于OAuth的物联网设备唯一授权方法、装置及系统能保证用户在不需要向第三方应用暴露用户密钥的前提下，实现对第三方应用的访问授权，有效提高安全性，而且通过使得用户的授权随时随地只在一个终端设备上的应用中能够得到保存和使用，保证用户授权的唯一性，从而保证设备同一时刻只受一个终端控制，使设备正常运行。本发明中的访问密钥根据多个参数进行生成，保证生成移动终端设备的终端标识具有全局唯一性，且不随时间及外界环境的变化而不同，大大提高安全可靠性。本发明作为一种基于OAuth的物联网设备唯一授权方法、装置及系统可广泛应用于物联网应用中。

Description

一种基于OAuth的物联网设备唯一授权方法、装置及系统

技术领域

本发明涉及物联网通信技术领域，尤其涉及一种基于OAuth的物联网设备唯一授权方法、装置及系统。

背景技术

随着物联网的日益发展，各种智能互联设备将遍布现实世界的各个角落，形成一个庞大的控制网络。如何保障物联网设备在互联网中的控制权不受非拥有者或非授权者的干扰安全运行，是目前物联网设备安全领域的一个重要课题。

物联网设备与设备拥有者是强关联的，设备的访问和控制权限与设备拥有者紧密相关，只有设备拥有者自身能够对设备进行控制或授权他人对设备进行控制。

然而，设备拥有者可能在多个终端上登录不同的第三方应用进行授权访问，导致不同终端上的第三方应用均可访问设备拥有者的物联网设备，使物联网设备可能同时受到多个应用的控制，影响设备的正常运作。因此，物联网授权开放平台中良好设计的认证授权机制对于保护用户的物联网设备的运行，以及其数据的安全性具有极大的重要性。

发明内容

为了解决上述技术问题，本发明的目的是提供一种能提高安全性，且保证设备正常运行的一种基于OAuth的物联网设备唯一授权方法。

本发明的另一个目的是提供一种能提高安全性，且保证设备正常运行的一种基于OAuth的物联网设备唯一授权装置。

本发明的另一个目的是提供一种能提高安全性，且保证设备正常运行的一种基于OAuth的物联网设备唯一授权系统。

本发明所采用的技术方案是：

一种基于OAuth的物联网设备唯一授权方法，包括以下步骤：

A、向认证授权服务器申请获取终端标识和访问密钥；

B、向设备控制服务器发送物联网设备控制的授权请求；

C、从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行步骤D；反之，则提示应申请终端标识和访问密钥并返回执行步骤A；

D、发送临时授权码至认证授权服务器请求获取访问授权码；

E、认证授权服务器通知用户进行授权；

F、通过用户授权后，认证授权服务器和设备控制服务器对第三方应用进行唯一授权；

G、根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述步骤F包括：

F1、通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

F2、认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

F3、设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述访问密钥为根据以太网卡地址、纳秒级时间、芯片ID码、随机数字通过UUID算法生成的一个36字节长度的唯一标识。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述临时授权码是由设备控制服务器生成的随机字符串，该临时授权码需在5分钟内使用，超时无效。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述访问授权码设置有有效期，当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。

本发明所采用的另一技术方案是：

一种基于OAuth的物联网设备唯一授权装置，包括：

申请单元，用于向认证授权服务器申请获取终端标识和访问密钥；

授权请求发送单元，用于向设备控制服务器发送物联网设备控制的授权请求；

提取单元，用于从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行访问授权码请求单元；反之，则提示应申请终端标识和访问密钥并返回执行申请单元；

访问授权码请求单元，用于发送临时授权码至认证授权服务器请求获取访问授权码；

通知单元，用于认证授权服务器通知用户进行授权；

授权单元，用于通过用户授权后，认证授权服务器和设备控制服务器对第三方应用进行唯一授权；

授权判断单元，用根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

作为所述的一种基于OAuth的物联网设备唯一授权装置的进一步改进，所述授权单元包括：

访问授权码生成单元，用于通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

访问授权码发送单元，用于认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

授权回收单元，用于设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收。

作为所述的一种基于OAuth的物联网设备唯一授权装置的进一步改进，所述访问密钥为根据以太网卡地址、纳秒级时间、芯片ID码、随机数字通过UUID算法生成的一个36字节长度的唯一标识。

作为所述的一种基于OAuth的物联网设备唯一授权装置的进一步改进，所述访问授权码设置有有效期，当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。

本发明所采用的另一技术方案是：

一种基于OAuth的物联网设备唯一授权系统，包括：

终端设备，用于运行第三方应用；

认证授权服务器，用于提供OAuth认证服务；

设备控制服务器，用于实现设备控制的授权与数据中转，以及对物联网设备进行控制；

以及，物联网设备；

所述终端设备分别与认证授权服务器和设备控制服务器网络连接，所述认证授权服务器与设备控制服务器网络连接，所述设备控制服务器与物联网设备相连接。

本发明的有益效果是：

本发明一种基于OAuth的物联网设备唯一授权方法能保证用户在不需要向第三方应用暴露用户密钥的前提下，实现对第三方应用的访问授权，有效提高安全性，而且通过使得用户的授权随时随地只在一个终端设备上的应用中能够得到保存和使用，保证用户授权的唯一性，从而保证设备同一时刻只受一个终端控制，使设备正常运行。本发明中的终端标识根据多个参数进行生成，保证生成移动终端设备的访问密钥具有全局唯一性，且不随时间及外界环境的变化而不同，大大提高安全可靠性。

本发明的另一个有益效果是：

本发明一种基于OAuth的物联网设备唯一授权装置通过申请单元、授权请求发送单元、提起单元、访问授权码请求单元、通知单元、授权单元和授权判断单元能保证用户在不需要向第三方应用暴露用户密钥的前提下，实现对第三方应用的访问授权，有效提高安全性，而且通过使得用户的授权随时随地只在一个终端设备上的应用中能够得到保存和使用，保证用户授权的唯一性，从而保证设备同一时刻只受一个终端控制，使设备正常运行。本发明中的访问密钥根据多个参数进行生成，保证生成移动终端设备的终端标识具有全局唯一性，且不随时间及外界环境的变化而不同，大大提高安全可靠性。

本发明的另一个有益效果是：

本发明一种基于OAuth的物联网设备唯一授权系统通过终端设备、认证授权服务器、设备控制服务器和物联网设备能保证用户在不需要向第三方应用暴露用户密钥的前提下，实现对第三方应用的访问授权，有效提高安全性，而且通过使得用户的授权随时随地只在一个终端设备上的应用中能够得到保存和使用，保证用户授权的唯一性，从而保证设备同一时刻只受一个终端控制，使设备正常运行。本发明中的访问密钥根据多个参数进行生成，保证生成移动终端设备的终端标识具有全局唯一性，且不随时间及外界环境的变化而不同，大大提高安全可靠性。

附图说明

下面结合附图对本发明的具体实施方式作进一步说明：

图1是本发明一种基于OAuth的物联网设备唯一授权方法的步骤流程图；

图2是本发明一种基于OAuth的物联网设备唯一授权方法步骤F的步骤流程图；

图3是本发明一种基于OAuth的物联网设备唯一授权装置的模块方框图；

图4是本发明一种基于OAuth的物联网设备唯一授权系统的原理方框图。

具体实施方式

参考图1，本发明一种基于OAuth的物联网设备唯一授权方法，包括以下步骤：

A、向认证授权服务器申请获取终端标识和访问密钥；

B、向设备控制服务器发送物联网设备控制的授权请求；

C、从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行步骤D；反之，则提示应申请终端标识和访问密钥并返回执行步骤A；

D、发送临时授权码至认证授权服务器请求获取访问授权码；

E、认证授权服务器通知用户进行授权；

F、通过用户授权后，认证授权服务器和设备控制服务器对第三方应用进行唯一授权；

G、根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

参考图2，作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述步骤F包括：

F1、通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

F2、认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

F3、设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收。

其中，用户授权时，可以在授权信息中看到申请控制权的第三方应用的应用信息，包括名称、所在终端的IP地址、操作系统信息、申请控制权限等。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述访问密钥为根据以太网卡地址、纳秒级时间、芯片ID码、随机数字通过UUID算法生成的一个36字节长度的唯一标识。所述的全局唯一的终端标识，是由开发者向物联网开放平台申请所得，物联网开放平台会在分配终端标识时登记第三方应用的应用信息，包括名称、所在终端的IP地址、操作系统信息、以太网卡地址；所述物联网开放平台使用的访问密钥，可以根据以太网卡地址、纳秒级时间、芯片ID码和随机数字通过标准的UUID算法来生成的一个36字节长度唯一标识，访问密钥的典型格式为“xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”，每个x是0-9或a-f范围内的一个十六进制的数字。访问密钥具有全局唯一性。终端标识和访问密钥将作为第三方应用访问开放平台数据接口的重要凭证。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述临时授权码是由设备控制服务器生成的随机字符串，该临时授权码需在5分钟内使用，超时无效。第三方应用获取的临时授权码是全局唯一的，授权码中包含第三方应用申请的控制权限和应用的具体信息。临时授权码是个40字节长度的全局唯一标识，典型格式为“xxx-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”。其中前三位为第三方应用申请的控制权限，每个x是0-9或a-f范围内的一个十六进制的数字，控制权限标识是由设备控制服务器和第三方应用共同约定的，双方均可根据这三个字节的标识识别所申请的控制权限；后36位标识是具有全局唯一性的标识码，是根据以太网卡地址、纳秒级时间、芯片ID码、随机数字等通过标准的UUID算法来生成的，每个x是0-9或a-f范围内的一个十六进制的数字。

作为所述的一种基于OAuth的物联网设备唯一授权方法的进一步改进，所述访问授权码设置有有效期，当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。设备访问授权码在认证授权服务器对用户的授权进行校验通过后，该设备访问授权码与第三方应用的终端标识和访问密钥相关联，且根据第三方应用的信任等级具有不同的时效性。当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。设备访问授权码中包含第三方应用申请的控制权限和应用的具体信息。设备访问授权码是个40字节长度的全局唯一标识，典型格式为“xxx-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”。其中前三位为第三方应用申请的控制权限，每个x是0-9或a-f范围内的一个十六进制的数字，控制权限标识是由设备控制服务器和第三方应用共同约定的，双方均可根据这三个字节的标识识别所申请的控制权限；后36位标识是具有全局唯一性的标识码，是根据以太网卡地址、纳秒级时间、芯片ID码、随机数字等通过标准的UUID算法来生成的，每个x是0-9或a-f范围内的一个十六进制的数字。

参考图3，本发明一种基于OAuth的物联网设备唯一授权装置，包括：

申请单元，用于向认证授权服务器申请获取终端标识和访问密钥；

授权请求发送单元，用于向设备控制服务器发送物联网设备控制的授权请求；

提取单元，用于从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行访问授权码请求单元；反之，则提示应申请终端标识和访问密钥并返回执行申请单元；

访问授权码请求单元，用于发送临时授权码至认证授权服务器请求获取访问授权码；

通知单元，用于认证授权服务器通知用户进行授权；

授权单元，用于通过用户授权后，认证授权服务器和设备控制服务器对第三方应用进行唯一授权；

授权判断单元，用根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

作为所述的一种基于OAuth的物联网设备唯一授权装置的进一步改进，所述授权单元包括：

访问授权码生成单元，用于通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

访问授权码发送单元，用于认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

授权回收单元，用于设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收。

作为所述的一种基于OAuth的物联网设备唯一授权装置的进一步改进，所述访问密钥为根据以太网卡地址、纳秒级时间、芯片ID码、随机数字通过UUID算法生成的一个36字节长度的唯一标识。

作为所述的一种基于OAuth的物联网设备唯一授权装置的进一步改进，所述访问授权码设置有有效期，当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。

参考图4，本发明一种基于OAuth的物联网设备唯一授权系统，包括：

终端设备，用于运行第三方应用；终端设备可以是计算机、服务器、手机或其他互联网设备，终端设备上运行第三方应用。第三方应用可以是桌面应用、手机应用、B/S模式的WWW应用等等。

认证授权服务器，用于提供OAuth认证服务；

设备控制服务器，用于实现设备控制的授权与数据中转，以及对物联网设备进行控制；所述设备控制服务器一方面通过互联网与终端设备、认证授权服务器连接，实现设备控制的授权与数据中转；另一方面通过现场控制总线，如RS-485、CAN等，又或者是短距离无线通讯技术，如Zigbee，对物联网设备进行控制。

以及，物联网设备；物联网设备通过现场控制总线，如RS-485、CAN等，又或者是短距离无线通讯技术，如Zigbee，实现设备与服务器之间的数据传输。

所述终端设备分别与认证授权服务器和设备控制服务器网络连接，所述认证授权服务器与设备控制服务器网络连接，所述设备控制服务器与物联网设备相连接。

本发明的具体实施例如下：

S1、向认证授权服务器申请获取终端标识和访问密钥；

S2、向设备控制服务器发送物联网设备控制的授权请求；

S3、从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行步骤S4；反之，则提示应申请终端标识和访问密钥并返回执行步骤S1；

S4、发送临时授权码至认证授权服务器请求获取访问授权码；

S5、认证授权服务器通知用户进行授权；

S6、通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

S7、认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

S8、设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收；

S9、根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

从上述内容可知，本发明能有效保证用户在不需要向第三方应用暴露用户密钥的前提下，实现对第三方应用的访问授权，有效提高安全性，而且通过使得用户的授权随时随地只在一个终端设备上的应用中能够得到保存和使用，保证用户授权的唯一性，从而保证设备同一时刻只受一个终端控制，使设备正常运行。本发明中的访问密钥根据多个参数进行生成，保证生成移动终端设备的终端标识具有全局唯一性，且不随时间及外界环境的变化而不同，大大提高安全可靠性。

以上是对本发明的较佳实施进行了具体说明，但本发明创造并不限于所述实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可做作出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (10)

1.一种基于OAuth的物联网设备唯一授权方法，其特征在于，包括以下步骤：

A、向认证授权服务器申请获取终端标识和访问密钥；

B、向设备控制服务器发送物联网设备控制的授权请求；

C、从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行步骤D；反之，则提示应申请终端标识和访问密钥并返回执行步骤A；

D、发送临时授权码至认证授权服务器请求获取访问授权码；

E、认证授权服务器通知用户进行授权；

F、通过用户授权后，认证授权服务器和设备控制服务器对第三方应用进行唯一授权；

G、根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

2.根据权利要求1所述的一种基于OAuth的物联网设备唯一授权方法，其特征在于：所述步骤F包括：

F1、通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

F2、认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

F3、设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收。

3.根据权利要求1所述的一种基于OAuth的物联网设备唯一授权方法，其特征在于：所述访问密钥为根据以太网卡地址、纳秒级时间、芯片ID码、随机数字通过UUID算法生成的一个36字节长度的唯一标识。

4.根据权利要求1所述的一种基于OAuth的物联网设备唯一授权方法，其特征在于：所述临时授权码是由设备控制服务器生成的随机字符串，该临时授权码需在5分钟内使用，超时无效。

5.根据权利要求1所述的一种基于OAuth的物联网设备唯一授权方法，其特征在于：所述访问授权码设置有有效期，当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。

6.一种基于OAuth的物联网设备唯一授权装置，其特征在于，包括：

申请单元，用于向认证授权服务器申请获取终端标识和访问密钥；

授权请求发送单元，用于向设备控制服务器发送物联网设备控制的授权请求；

提取单元，用于从授权请求中提取终端标识和访问密钥，并判断终端标识和访问密钥是否合法，若是，则生成临时授权码并将临时授权码返回，然后将终端标识与临时授权码相关联后进行缓存，进而执行访问授权码请求单元；反之，则提示应申请终端标识和访问密钥并返回执行申请单元；

访问授权码请求单元，用于发送临时授权码至认证授权服务器请求获取访问授权码；

通知单元，用于认证授权服务器通知用户进行授权；

授权单元，用于通过用户授权后，认证授权服务器和设备控制服务器对第三方应用进行唯一授权；

授权判断单元，用根据访问授权码对设备控制服务器进行访问，将访问授权码与设备控制服务器从认证授权服务器处获取的访问授权码进行对比判断是否一致，若是，则获取物联网设备的控制权，实现物联网设备的控制；反之，则设备控制服务器拒绝服务。

7.根据权利要求6所述的一种基于OAuth的物联网设备唯一授权装置，其特征在于：所述授权单元包括：

访问授权码生成单元，用于通过用户授权后，认证授权服务器生成与第三方应用相关联的访问授权码，并将其返回至该第三方应用；

访问授权码发送单元，用于认证授权服务器将访问授权码发送至设备控制服务器，并通知设备控制服务器对访问授权码进行缓存和丢弃之前缓存的临时授权码；

授权回收单元，用于设备控制服务器获取缓存的终端标识，并对非该终端标识的设备上所有的授权进行回收。

8.根据权利要求6所述的一种基于OAuth的物联网设备唯一授权装置，其特征在于：所述访问密钥为根据以太网卡地址、纳秒级时间、芯片ID码、随机数字通过UUID算法生成的一个36字节长度的唯一标识。

9.根据权利要求6所述的一种基于OAuth的物联网设备唯一授权装置，其特征在于：所述访问授权码设置有有效期，当超过访问授权码的有效期后，访问授权码将被回收，第三方应用无法继续使用。

10.一种基于OAuth的物联网设备唯一授权系统，其特征在于，包括：

终端设备，用于运行第三方应用；

认证授权服务器，用于提供OAuth认证服务；

设备控制服务器，用于实现设备控制的授权与数据中转，以及对物联网设备进行控制；

以及，物联网设备；

所述终端设备分别与认证授权服务器和设备控制服务器网络连接，所述认证授权服务器与设备控制服务器网络连接，所述设备控制服务器与物联网设备相连接。