CN104796265B - 一种基于蓝牙通信接入的物联网身份认证方法 - Google Patents

Abstract

一种基于蓝牙通信接入的物联网身份认证方法，涉及物联网通信的身份认证方法。用户端产生动态密钥对，与服务器端进行公钥交换；用户端根据注册码发起注册，服务器端生成独一无二的并带有权限的用户端身份认证ID；服务器端对用户ID进行加密和数字签名，发送给服务器端，服务器端解密和验签后保存自己的ID；用户端动态产生新的密钥对，将自己的身份认证ID经过加密和数字签名，发送给服务器端进行登陆认证；服务器端对用户端发送的信息进行解密和验签，鉴别用户身份的合法性，并根据用户身份认证ID权限等级规定用户的权限。只要在蓝牙覆盖区域内，就可方便地进行注册或登陆连接。在通信过程中只传输公钥和加密过的数据，保证数据传输安全。

Description

一种基于蓝牙通信接入的物联网身份认证方法

技术领域

本发明涉及物联网通信的一种身份认证方法，尤其是涉及一种基于蓝牙通信接入的物联网身份认证方法。

背景技术

随着物联网时代电子通信设备的日新月异，人们的生活中越来越依赖于电子设备所带来的便捷，与人们息息相关的日常隐私，成为了各种数据，存储在电子设备中，因此，信息安全越来越成为了人们关注的焦点。而身份认证作为一种检验通信实体合法性的手段，可以在一定程度上，有效地防止第三方伪装以达到未授权的通信目的，保护用户的隐私安全。

当今国内的很多认证方法，使用的都是最简单的基于静态口令的认证方法，但是静态口令认证属于当方向的认证方式，其安全性完全依赖于口令是否安全，一旦泄露就可以被冒充。

还有采用动态口令的方式进行身份认证，如文献[1]"A Dynamic ID-basedRemote User Authentication Scheme",(作者：M.L.Das,A.Saxena,and V.P.Gulati；出处：IEEE Transactions on Consumer Electronics，2004年2月，第50卷，第2号)中采用动态ID的方式进行用户身份认证，每次认证的时候，产生不同的ID来提高认证的安全性。但是动态口令有个最大的弱点是，它只支持服务器对用户单方面的鉴别，这样有可能造成假冒的服务器欺骗合法用户。

文献[2]“Research and implementation of embedded face recognitionsystem based on ARM9”(作者：W.Shimin and Y.Jihua；出处：IEEE ConferenceProceedings,2010年，第2618页～第2621页)中提出的是生物特征作为身份识别的一种，面部识别。生物特征识别是通过用户的独一无二的生物特征作为识别凭据，如还有指纹识别、声音识别等，登陆时通过和数据库中存储的用户生物特征进行鉴别用户的合法性。但是生物特征是一种不可撤销的属性，一旦泄露就会造成意想不到的后果。

采用非对称密码体制作为身份认证的手段是当下安全可靠度较高的一种方式。非对称密码体制的每个用户都有一对密钥对：一个是可以公开的公钥，一个是自己秘密保存的私钥。非对称密码体制实现了将加密和解密的功能分开，若用公钥进行加密,以私钥作为解密密钥,则可以实现多个用户加密的消息只能由一个用户解读；反之,以用户私钥作为加密密钥,而以公钥作为解密密钥,则可实现由一个用户加密的消息可被多个用户解读。前者可用于公共网络中实现保密通信,而后者可用于认证系统中对消息进行数字签名。文献[3]“Protecting the Privacy of Users in Retrieving Valuable Information by a PIRScheme with Mutual Authentication by RSA Signature Algorithm”(作者：Chun-HuaChen,Gwoboa Horng,Chao-Hsing Hsu,2007年9月)中使用RSA算法作为一种身份认证的加解密方法，但相比于RSA来说，在同样的密钥长度下，ECC加解密算法具有更高的安全性，而且存储空间占用也相应比较小。

发明内容

本发明的目的在于提供一种基于蓝牙通信接入的物联网身份认证方法。

本发明包括以下步骤：

1)主设备服务器端和从设备用户端进行蓝牙连接后，用户端发送约定格式的注册口令到服务器端，申请进行注册；

2)服务器端解析出注册口令后，切换到注册模式，用户端随机产生一组密钥对，与服务器端的内嵌固定密钥对通过蓝牙，进行公钥交换，并将各自的私钥进行私密保存；

3)用户端输入注册码Rc，将Rc和用户端的蓝牙MAC地址一起进行加密后通过蓝牙发送给服务器端，服务器端接收后进行解密，得到用户端发送过来的注册码和蓝牙MAC地址；

4)根据解密的注册码，产生相应的权限号，不同的权限号所开放的操作权限不同，服务器端产生一个随机数，将权限号、随机数以及用户端的MAC地址组合成用户端的身份识别码ID，主设备保存ID；

5)服务器端将ID进行加密、签名后，发送给用户端，用户端进行解密、验签，确定无误即返回给服务器端注册成功口令以结束注册模式，并保存ID；

6)注册成功后，用户端发送登陆口令，同时在每次登陆的时候均产生一组随机的密钥对，并将密钥对的公钥发送给服务器端；用户端随即把保存的ID进行加密、签名后发送给主设备进行解密和验签后，确定ID的真伪，无误后则根据ID中的权限号开启相应权限的操作。

在步骤1)中，认证过程中所涉及的口令一共包括4种，分别是注册口令、注册成功口令、登陆口令、登陆失败口令；4种口令定义如下：

注册口令	注册成功口令	登陆口令	登陆失败口令
				0x55AA	0x55BB	0x55CC	0x55DD

在步骤2)中，服务器端内部是内嵌了固定的密钥对{Kd,Ke}的，而用户端每次连接都随机产生密钥对{Kdi,Kei}，其中，Kd,Kdi为私钥，Ke,Kei为公钥；双方通过蓝牙交换公钥，在后续操作中，使用对方的公钥进行加密操作，用自己的私钥进行数字签名。

在步骤3)中，将注册码Rc和用户端的蓝牙MAC组合成{Rc，MAC}，用服务器的公钥Ke进行ECC加密，生成明文加密结果Ex；使用ECC加密后再传输，可有效保证发送内容的安全性，而且只有拥有私钥的服务器端才能进行解密。服务器端接收密文后即可用自己的私钥进行解密，得到注册码。

在步骤4)中，服务器端根据解密出来的注册码，判断这个用户的权限等级，分配相应的权限号，记为PMS。同时注册码的存在，也避免了任何用户都能进行注册的情况，有助于提高认证的可靠性。注册码分为三个等级，super，normal，limited。每个注册码用不同的权限号，从高到低分别是1，2，3。权限越高，能操作的内容就更广。随机数产生器产生一个随机数RAND，与之前的权限号，用户端的蓝牙MAC共同构成用户ID。

在步骤5)中，服务器端用用户端的公钥Kei对用户ID进行ECC加密，同时用自己的私钥Kd对用户ID进行数字签名，将数字签名和密文一起打包发给用户端。用户端接收到信息后，同样对接受的信息进行解密，验签，若验签一致，就说明信息没被篡改，则返回注册成功口令，保存ID；若1min内没有收到注册成功的口令，则默认为注册失败，服务器端将注册过程中产生的注册信息全部删除，用户端要发起新的一轮注册。

在步骤6)中，在注册成功后，进行身份认证的过程。经过注册的用户端，在每次进行登录认证的时候，都随机产生一组密钥对，并将公钥发送给服务器端，替换掉注册时发送的用户端的公钥。保存的ID和自己的MAC一起经过加密和数字签名后发送给服务器端，服务器端进行解密后，不仅和服务器端保存的ID进行对比，同时将ID中提取出来的MAC部分和用户端发送过来的MAC进行对比，确保用户身份的正确性。

该认证方法采用了非对称密钥体制，采用非对称ECC密码算法进行加解密后再传送，并加上数字签名，验签等手段进行信息安全确认，进而使得身份认证的整体安全性更高。

本发明利用蓝牙通讯作为传输手段，可以方便地通过无线方式进行身份认证并进行授权的操作。同时在身份认证过程中，使用非对称加密体制的ECC算法作为加解密手段，在认证过程中只传递公钥，并且数据内容均经过加密、数字签名、验签的手段，并在用户端采用动态的密钥对方式，有效地确保了数据的安全性。

附图说明

图1为本发明实施例的身份认证登陆流程图；

图2为本发明实施例的身份认证注册流程图；

图3为本发明实施例的密钥管理分配图；

图4为本发明实施例的加密和数字签名原理流程图；

图5为本发明实施例的解密和验签原理流程图。

具体实施方式

以下实施例将结合附图对本发明做进一步的说明。

利用本发明实施例的身份认证方法用户登陆过程如图1。用户端产生一组随机密钥对，并通过蓝牙将公钥发送给服务器端，同时向服务器端发起登陆申请。服务器端接收到后就切换为登陆连接模式。用户端继而将注册时保存的ID，用服务器端的公钥经过ECC加密，并且用自己的私钥进行数字签名后，发送给服务器端，凭借着这个ID作为身份信息。服务器端解密出明文，并进行验签，确定信息确实是由合法用户发送的，并根据自己保存的用户ID，对解密出的明文进行审核，审核成功才能进行授权操作，否则就告诉用户端登陆失败。

利用本发明实施例的身份认证方法用户注册过程如图2。用户在进行登录前，必须先进行注册，产生用户ID，凭借着用户ID才能进行登陆。用户端通过蓝牙，向服务器端发起注册，服务器端接收口令后，切换到注册模式。服务器端是内嵌一组固定密钥对的，用户端在发起注册后也随机产生一组密钥对。为了防止出现任何用户都可以进行注册的情况，增加系统的安全可靠性，用户注册前必须先输入官方授权的注册码，只有拥有注册码的用户才能进行成功注册。为适应不同用户的操作，在服务器端，内嵌了三种不同权限的注册码，三中权限等级从高到低分别是super，normal，limited。服务器端识别到注册码后会根据注册码的权限等级分别生成相应的权限号。用户端将注册码和用户端的蓝牙MAC地址打包成明文进行ECC加密后，发送给服务器端，服务器端则可以解密出用户端的MAC地址和注册码并生成相应的权限号。同时服务器端还有一个随机数产生器，可以产生一个随机数，随机数、权限号和用户端的蓝牙MAC地址一起构成了用户的ID定义如下：

ID＝{RAND，PMS，MAC}

其中，RAND是产生的随机数，PMS是权限号，MAC是用户蓝牙的MAC地址。这样的组合方式，可以确保用户ID的独一无二以及保密性，不容易被冒充。产生完用户ID后，进行ECC加密和数字签名后，通过蓝牙发送给用户端。用户端对信息进行解密后，进行验签，确保服务器端发送过来的用户ID没被篡改且证明的确由合法用户所发送。验签无误后，将解密出来的用户ID存储下来，在登陆的时候使用。

利用本发明实施例的身份认证方法密钥管理分配过程如图3。服务器端内部是内嵌着一组固定的密钥对的，而且服务器端的公钥是可以随意共享的，所有注册的用户都可以得到。用户端在每次注册或者登陆的时候，都动态地随机产生一组密钥对，服务器端和用户端进行公钥交换。用户端采用动态的密钥对，可有效避免非法用户截获密文冒充登陆的情况出现。

利用本发明实施例的身份认证方法加密和数字签名原理如图4，其中ECC()表示ECC加密，DE()表示ECC解密，Hash()表示哈希加密。数字签名等价于给发送的内容信息，添加上发送者的个人标签，本发明中采取加密和数字签名的方式，其过程是，发送方将明文信息，一方面用接收方的公钥进行加密，生成密文。用接收方的公钥加密，其结果是唯独有拥有私钥的接收方才能进行解密；另一方面，发送方先将明文信息经过哈希函数加密，利用哈希函数加密的不可逆性，生成明文的摘要，再用自己的私钥，对生成的摘要进行ECC加密，即生成数字签名。因为发送方自己的私钥只有发送方拥有，所以就相当于是打上了发送方的标签。最后将数字签名和密文一起打包，通过蓝牙，发送给接收方。加密和数字签名的一系列过程定义如下：

M＝{Ex,signature}

Ex＝ECC(Kei,Mp)

Signature＝ECC(Kd,H(Mp))

其中，M表示发送的全部信息，Ex表示加密后的密文，Signature表示数字签名，Kei表示接收方的公钥，Kd表示发送方自己的私钥，Mp表示明文信息。整个过程，没有任何密钥传递，而且传递的都是加密后的信息，可以极大地保证数据的安全。

利用本发明实施例的身份认证方法解密和验签原理如图5。接收方接收到加密完且带有数字签名的明文信息后，一方面用发送方的公钥对数字签名进行解密，得到由发送方生成的摘要1，另一方面，接收方用自己的私钥对密文信息进行解密，得到明文，再将明文同样经过哈希加密，得到由接收方获知的明文所产生的摘要2。将摘要1和摘要2进行对比是否相等，就是验签的过程。解密和验签产生两个摘要的一系列过程定义如下：

Digest1＝De(Ke,Signature)

Digest2＝H(De(Kdi,Ex))

其中，Digest1表示由发送方生成的摘要，Digest2表示由接收方生成的摘要，Ke发送方的公钥，Kdi表示接收方自己的私钥，Ex表示发送方加密的密文，signature表示发送方的数字签名。解密和验签的过程，可以有效保证发送方的合法身份，同时也可以确保所接收的信息没有被篡改。

本发明以蓝牙作为传输媒介，采用非对称密码体制作为加密手段进行的身份认证方法。其实施步骤如下：用户端产生动态密钥对，和服务器端进行公钥交换；用户端根据注册码发起注册，服务器端生成独一无二的并带有权限的用户端身份认证ID；服务器端对用户ID进行加密和数字签名，发送给服务器端，服务器端解密和验签后，保存自己的ID；用户端动态产生新的密钥对，将自己的身份认证ID经过加密和数字签名，发送给服务器端进行登陆认证；服务器端对用户端发送的信息进行解密和验签，鉴别用户身份的合法性，并根据用户身份认证ID权限等级规定用户的权限。本发明使用蓝牙进行通信，只要在蓝牙覆盖区域内，就可以方便地进行注册或登陆连接。采用非对称的椭圆曲线密码体制(ECC，EllipticCurve Cryptography)对蓝牙通信过程的数据进行数字签名和加密，在通信过程中只传输公钥和加密过的数据，极大地保证了数据传输的安全。

Claims (5)

1.一种基于蓝牙通信接入的物联网身份认证方法，其特征在于包括以下步骤：

1)主设备服务器端和从设备用户端进行蓝牙连接后，用户端发送约定格式的注册口令到服务器端，申请进行注册；

2)服务器端解析出注册口令后，切换到注册模式，用户端随机产生一组密钥对，与服务器端的内嵌固定密钥对通过蓝牙，进行公钥交换，并将各自的私钥进行私密保存；

3)用户端输入注册码Rc，将Rc和用户端的蓝牙MAC地址一起进行加密后通过蓝牙发送给服务器端，服务器端接收后进行解密，得到用户端发送过来的注册码和蓝牙MAC地址；

将注册码Rc和用户端的蓝牙MAC组合成{Rc，MAC}，用服务器的公钥Ke进行ECC加密，生成明文加密结果Ex；使用ECC加密后再传输，保证发送内容的安全性，而且只有拥有私钥的服务器端才能进行解密；服务器端接收密文后即可用自己的私钥进行解密，得到注册码；

4)根据解密的注册码，产生相应的权限号，不同的权限号所开放的操作权限不同，服务器端产生一个随机数，将权限号、随机数以及用户端的蓝牙MAC地址组合成用户端的身份识别码ID，主设备服务器端保存ID；

服务器端根据解密出来的注册码，判断该用户的权限等级，分配相应的权限号，记为PMS；同时注册码的存在，避免任何用户都能进行注册的情况；注册码分为三个等级，super，normal，limited，每个注册码用不同的权限号，从高到低分别是1，2，3；权限越高，能操作的内容就更广，随机数产生器产生一个随机数RAND，与之前的权限号，用户端的蓝牙MAC共同构成用户ID；

5)服务器端将ID进行加密、签名后，发送给用户端，用户端进行解密、验签，确定无误即返回给服务器端注册成功口令以结束注册模式，并保存ID；

6)注册成功后，用户端发送登陆口令，同时在每次登陆的时候均产生一组随机的密钥对，并将密钥对的公钥发送给服务器端；用户端随即把保存的ID进行加密、签名后发送给主设备服务器端进行解密和验签后，确定ID的真伪，无误后则根据ID中的权限号开启相应权限的操作。

2.如权利要求1所述一种基于蓝牙通信接入的物联网身份认证方法，其特征在于在步骤1)中，认证过程中所涉及的口令一共包括4种，分别是注册口令、注册成功口令、登陆口令、登陆失败口令；4种口令定义如下：

3.如权利要求1所述一种基于蓝牙通信接入的物联网身份认证方法，其特征在于在步骤2)中，服务器端内部内嵌固定的密钥对{Kd,Ke}，而用户端每次连接都随机产生密钥对{Kdi,Kei}，其中，Kd,Kdi为私钥，Ke,Kei为公钥；双方通过蓝牙交换公钥，在后续操作中，使用对方的公钥进行加密操作，用自己的私钥进行数字签名。

4.如权利要求1所述一种基于蓝牙通信接入的物联网身份认证方法，其特征在于在步骤5)中，服务器端用用户端的公钥Kei对用户ID进行ECC加密，同时用自己的私钥Kd对用户ID进行数字签名，将数字签名和密文一起打包发给用户端；用户端接收到信息后，同样对接收的信息进行解密，验签，若验签一致，说明信息没被篡改，则返回注册成功口令，保存ID；若1min内没有收到注册成功的口令，则默认为注册失败，服务器端将注册过程中产生的注册信息全部删除，用户端要发起新的一轮注册。

5.如权利要求1所述一种基于蓝牙通信接入的物联网身份认证方法，其特征在于在步骤6)中，在注册成功后，进行身份认证的过程；经过注册的用户端，在每次进行登录认证的时候，都随机产生一组密钥对，并将公钥发送给服务器端，替换掉注册时发送的用户端的公钥；保存的ID和自己的MAC一起经过加密和数字签名后发送给服务器端，服务器端进行解密后，不仅和服务器端保存的ID进行对比，同时将ID中提取出来的MAC部分和用户端发送过来的MAC进行对比，确保用户身份的正确性。