CN105162772A - 一种物联网设备认证与密钥协商方法和装置 - Google Patents

Abstract

本发明提供了一种物联网设备认证与密钥协商方法和装置，技术方案为：物联网管理中心为物联网设备生成授权码并发给物联网设备，为物联网设备生成密钥信息，利用授权码对密钥信息进行加密得到密文并计算校验信息，并将密文和校验信息发送给物联网设备；物联网设备利用授权码信息密文解密得到密钥信息，并根据校验信息完成物联网设备验证。本发明能够用于实现物联网的通信安全。

Description

一种物联网设备认证与密钥协商方法和装置

技术领域

本发明涉及通信技术领域，特别涉及一种物联网设备认证与密钥协商方法和装置。

背景技术

物联网(InternetofThings，缩写IOT)是一个基于互联网、传统电信网等信息承载体，让所有能够被独立寻址的普通物理对象实现互联互通的网络。在物联网中，每个人都可以应用电子标签将真实的物体上网联结，在物联网上都可以查找出它们的具体位置。通过物联网可以用中心计算机对机器、设备、人员进行集中管理、控制，也可以对家庭设备、汽车进行遥控，以及搜寻位置、防止物品被盗等。

物联网的发展推动世界进入万物互联的时代，不仅手机、电脑、电视机等传统信息化设备连入网络，家用电器和工厂设备、基础设施等也将逐步成为网络端点。但是，万物互联时代的安全形势极为严峻：智能设备甚至万物成为黑客攻击的对象，传统的网络安全边界正在消失。同时，互联网与实体经济快速整合，网络攻击的后果更加严重。智能电视、智能冰箱、智能吸尘器、智能无人机、智能手环、远程医疗设备甚至智能插座、智能电灯里都可以装载嵌入式系统，而且这些设备和手机一样都可以通过网络芯片，以更加不易察觉的方式接入互联网，悄悄上传各种数据。智能设备对于个人隐私数据的采集和分析，用户大多并不知情，也无人选择。

在实际应用场景中，通常采用“远程终端-云端-网关(gateway)-设备”的网络结构。以家庭物联网为例，网关是连接物联网设备与云端的桥梁：网关一方面连接多台物联网设备(包括智能手机、智能家电、智能厨房设备、网络摄像头等)，将设备采集到的数据信息发送给云端；另一方面登陆云端，将远程控制终端经由云端发送的控制信息发送给物联网设备。远程控制设备可以为某种手持式智能设备，如智能手机、智能手表等，也可以为PC、智能电视等设备。

“远程终端-云端”链路的安全问题可以采用多种现有技术完成，如SSL，但是“云端-网关(gateway)-设备”链路的安全问题则比较严峻。在一个家庭物联网中，网关是数据和控制信息的出入口，攻击者通过劫持网关可以提高窃取信息、推送垃圾广告、钓鱼挂马等攻击效率。而且相比安全防护水平较高(如安装木马/杀毒软件、防火墙等)的PC电脑，网关设备的防护机制较少，安全漏洞却更多。如果云端和物联网设备之间的数据交换都以明文形式被网关转发，而网关的安全防护手段少，那么黑客可以轻易利用网关来实施“中间人攻击”，通过抓获云端和物联网设备之间的交换数据进行逆向分析，进而获取到其它设备的内部协议。

发明内容

有鉴于此，本发明的目的在于提供一种物联网设备认证与密钥协商方法和装置，能够用于实现物联网的通信安全。

为了达到上述目的，本发明提供了如下技术方案：

一种物联网设备认证与密钥协商方法，应用于物联网管理中心，包括：

针对物联网设备生成授权码信息供物联网设备获取；

在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；

利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，以使物联网设备利用所述授权码信息对所述加密后的密钥信息进行解密得到所述密钥信息并根据所述校验信息完成物联网设备验证。

另一种物联网设备认证与密钥协商方法，应用于物联网设备，包括：

获取物联网管理中心针对物联网设备生成的授权码信息；

接收物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息；

利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证。

一种物联网设备认证与密钥协商装置，应用于物联网管理中心，包括：生成单元、处理单元；

所述生成单元，用于针对物联网设备生成授权码信息供物联网设备获取；用于在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；

所述处理单元，用于利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，以使物联网设备利用所述授权码信息对所述加密后的密钥信息进行解密得到所述密钥信息并根据所述校验信息完成物联网设备验证。

另一种物联网设备认证与密钥协商装置，应用于物联网设备，包括：获取单元、接收单元、处理单元；

所述获取单元，用于获取物联网管理中心针对物联网设备生成的授权码信息；

所述接收单元，用于接收物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息；

所述处理单元，用于接收单元接收到物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息时，利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证。

由上面的技术方案可知，本发明中由物联网管理中心生成授权码和密钥信息，利用授权码信息对密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，使得物联网设备可以利用授权码信息解密得到密钥信息并根据校验信息完成物联网设备验证，从而使物联网设备验证通过后可以利用密钥信息实现与远程终端之间的安全通信。

附图说明

图1是本发明物联网设备认证与密钥协商方法流程图；

图2是本发明实施例一物联网设备认证与密钥协商方法流程图；

图3是本发明实施例二物联网设备认证与密钥协商方法流程图；

图4是本发明实施例一物联网设备认证与密钥协商装置的结构示意图；

图5是本发明实施例二物联网设备认证与密钥协商装置的结构示意图；

图6是本发明实施例应用于物联网管理中心的物联网设备认证与密钥协商装置的硬件架构组成示意图；

图7是本发明实施例应用于物联网设备的物联网设备认证与密钥协商装置的硬件架构组成示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，下面结合附图并据实施例，对本发明的技术方案进行详细说明。

参见图1，图1是本发明物联网设备认证与密钥协商方法流程图，主要包括以下步骤：

步骤101、物联网设备获取物联网管理中心针对该物联网设备生成的授权码信息。

物联网管理中心是对物联网信息具备计算、存储和传输能力的计算机或计算机集群，具体可以为本地服务器、工作站、分布式服务器集群、云等。

物联网管理中心针对物联网设备生成的授权码信息中包括根密钥，另外，还可以包括根密钥有效期、物联网设备的产品信息、物联网设备的生产厂商信息等。

物联网设备获取物联网管理中心生成的授权码信息的方式有两种，下面分别进行说明：

第一种，物联网设备生产厂商预先向物联网管理中心申请授权码信息并将申请的授权码信息存储到物联网设备。

具体过程如下：

(1)物联网设备生产厂商向物联网管理中心发送授权码申请；

(2)物联网管理中心接收到授权码申请后，生成根密钥等授权码信息，将生成的授权码信息发送给物联网设备生产厂商；

(3)物联网设备生产厂商将该授权码信息植入到物联网设备。

其中，将授权码信息植入到物理网的方式至少有以下几种：在硬件生产过程中烧制到芯片上；在软件生产过程中定义在程序中；以序列号等形式印刷在产品或产品包装上。

这种授权码申请方法中，授权码的申请和发送由物联网设备的生产厂商与物联网管理中心交互完成，可以降低物联网设备通信开销，适合于一些计算和通信能力较小的低配置设备，如智能电灯、传感器节点等。

第二种，物联网设备在线向物联网管理中心申请授权码信息。

具体过程如下：

(1)物联网设备向物联网管理中心发送授权码申请；

(2)物联网管理中心为物联网设备生成一个随机字段S1，用物联网设备的数字证书Cert_D中的公钥对S1进行加密，用物联网管理中心的数字证书Cert_C中的私钥对加密后的S1进行签名，将S1对应的加密信息(对S1的加密结果)和签名信息(对加密后的S1的签名结果)发送给物联网设备；

(3)物联网设备生成一个随机字段S2，并用物联网管理中心的数字证书Cert_C中的公钥对S2进行加密，用物联网设备的数字证书Cert_D中的私钥对加密后的S2进行签名，将S2对应的加密信息(对S2的加密结果)和签名信息(对加密后的S2的签名结果)发送给物联网管理中心；

(4)物联网设备和物联网管理中心分别用自身的数字证书中的私钥对接收到加密信息进行解密得到对方生成的随机字段(物联网设备接收到物联网管理中心发送的S1对应的加密信息，用物联网设备的数字证书Cert_D中的私钥解密后得到S1；物联网管理中心接收到物联网管理设备发送的S2对应的加密信息，用物联网管理中心的数字证书Cert_C中的私钥解密后得到S2)，并用对方的数字证书中的公钥对接收到的签名信息进行验证，验证通过后均根据S1和S2生成授权码信息，其中包括根据S1和S2计算出一个密钥，该密钥作为物联网设备的授权码信息中的根密钥。这里，根据字段S1和S2计算密钥的方法可以采用现有技术。

(5)物联网管理中心将生成的授权码信息发送给物联网设备。这里，由于物联网侧已经根据S1和S2生成了根密钥，因此，物联网管理中心将授权码信息发送给物联网设备时，可以只发送除根密钥外的授权码信息，例如根密钥有效期、物联网设备的产品信息、物联网设备的生产厂商信息等。不发送根密钥是为了防止根密钥被截获。

物联网管理中心可以预先向数字证书服务器申请获得自身的数字证书Cert_C，物联网设备也可以预先向数字证书服务器申请并获得数字证书Cert_D；证书格式如X.509标准。另外，物联网管理中心和物联网设备之间还需要预先获取对方的数字证书，两者互相获取对方数字证书的方法与现有技术相同，例如，均向第三方(数字证书服务器)请求获得对方的数字证书。

这种授权码申请方法中，授权码的申请和发送由物联网设备与物联网管理中心交互完成，适合于一些计算和通信能力较高的高配置设备，如计算机、智能电视、手持式移动设备、智能电话等。

步骤102、物联网管理中心针对物联网设备生成密钥信息，利用授权码信息对密钥信息进行加密并计算校验信息，并将加密后的密钥信息和计算的校验信息给物联网设备。

步骤103、物联网设备利用授权码信息对加密后的密钥信息进行解密得到密钥信息，并根据校验信息完成物联网设备验证。

上述步骤102和步骤103是物联网设备与物联网管理中心的认证与密钥协商过程，具体实现方法有两种：

第一种方法、物联网管理中心生成包含了会话密钥的密钥信息，用授权码信息中的根密钥对会话密钥进行加密并根据密钥信息计算出校验信息，将加密结果和校验信息发送给物联网设备，物联网设备解密得到密钥信息并利用校验信息完成物联网设备验证。

这种方法中，密钥信息中包括会话密钥，校验信息中包括挑战值。

在物联网管理中心侧，利用授权码信息对密钥信息进行加密并计算校验信息，并发送加密信息和校验信息的过程如下：

(1)物联网管理中心为物联网设备生成会话密钥SESSION_KEY；

(2)物联网管理中心利用授权码信息中的根密钥ROOT_KEY对会话密钥SESSION_KEY进行加密，得到密钥密文KEY_CIPHER；

(3)物联网管理中心利用会话密钥SESSION_KEY对一随机数Nonce进行加密，得到挑战值CHALLENGE；

(4)物联网管理中心将密钥密文KEY_CIPHER作为加密后的密钥信息，挑战值CHALLENGE作为校验信息发送给物联网设备。

(5)物联网管理中心接收物联网设备返回的应答信息，计算随机数Nonce的摘要d_Nonce，将d_Nonce与应答信息中携带的应答值d_Nonce’进行对比，如果相同，则确定物联网设备验证通过，物联网设备已拥有授权码信息并已得到用于和远程终端通信的密钥信息，此时，可以返回验证通过确认，否则，确定物联网设备验证未通过。

相应地，物联网设备侧，利用授权码信息对加密后的密钥信息进行解密得到密钥信息，并根据校验信息完成物联网设备验证的过程如下：

(1)物联网设备收到物联网管理中心发来的密钥密文KEY_CIPHER和挑战值CHALLENGE后，用授权码信息中的根密钥ROOT_KEY对密钥密文KEY_CIPHER进行解密得到会话密钥SESSION_KEY(即：解密密钥密文KEY_CIPHER得到密钥信息)；

(2)物联网设备利用会话密钥SESSION_KEY对挑战值CHALLENGE进行解密得到Nonce’；

(3)物联网设备D计算Nonce’的摘要值d_Nonce’，将d_Nonce’作为应答值携带在应答信息中发送给物联网管理中心，如果接收到物联网管理中心返回的验证通过确认，则确定物联网设备验证通过，否则，确定物联网设备验证未通过。

物联网设备验证通过后，可以利用对密钥密文KEY_CIPHER进行解密得到的会话密钥SESSION_KEY，实现与远程终端之间的安全通信，通信过程将在后续进行说明。

此种方法中，物联网管理中心侧和物联网设备侧的实现都比较简单，如果远程终端与物联网设备之间的认证和安全通信要求较低，则可以考虑采用。

第二种，物联网管理中心生成包含了主密钥和会话密钥的密钥信息，用授权码信息中的根密钥对主密钥进行加密，用主密钥对会话密钥进行加密，并根据密钥信息计算出校验信息，将加密结果和校验信息发送给物联网终端，使得物联网终端解密得到密钥信息并利用校验信息完成物联网设备验证。

这种方法中，密钥信息中包括主密钥和会话密钥，校验信息中包括挑战值和摘要值。

在物联网管理中心侧，利用授权码信息对密钥信息进行加密并计算校验信息，并发送加密信息和校验信息的过程如下：

(1)物联网管理中心为物联网设备生成主密钥MASTER_KEY_1和会话密钥SESSION_KEY_1(MASTER_KEY_1和SESSION_KEY_1分别为密钥信息中的主密钥和会话密钥)；

(2)物联网管理中心用授权码信息中的根密钥ROOT_KEY对主密钥MASTER_KEY_1进行加密，得到第一密钥密文KEY_CIPHER_1；用主密钥MASTER_KEY_1对会话密钥SESSION_KEY_1进行加密，得到第二密钥密文KEY_CIPHER_2；

(3)物联网管理中心用会话密钥SESSION_KEY_1对随机数Nonce2进行加密，得到挑战CHALLENGE2，计算随机数Nonce2的摘要值d_Nonce2；

(4)物联网管理中心将第一密钥密文KEY_CIPHER_1、第二密钥密文KEY_CIPHER_2作为加密后的密钥信息，挑战值CHALLENGE2和摘要值d_Nonce2作为校验信息发送给物联网设备；

(5)物联网管理中心如果未接收到物联网设备发回的应答信息，则确定物联网设备验证未通过；如果接收到物联网设备发回的应答信息，则用主密钥MASTER_KEY_1对收到的应答信息中的应答值进行解密得到数Nonce2”，将Nonce2”和随机数Nonce2进行比较，若相同，则确定物联网设备验证通过，物联网设备已拥有授权码信息并已得到用于和远程终端通信的密钥信息，否则，确定物联网设备验证未通过。

相应地，在物联网设备侧，利用授权码信息对加密后的密钥信息进行解密得到密钥信息，并根据校验信息完成物联网设备验证的过程如下：

(1)物联网设备收物联网管理中心发送的加密信息(包括KEY_CIPHER_2、KEY_CIPHER_1)和校验信息(包括CHALLENGE、d_Nonce2)；

(2)物联网设备利用授权码信息中的根密钥ROOT_KEY对第一密钥密文KEY_CIPHER_1进行解密得到密钥MASTER_KEY_1’；用密钥MASTER_KEY’对第二密钥密文KEY_CIPHER_2进行解密得到密钥SESSION_KEY_1’；

(3)物联网设备利用密钥SESSION_KEY_1’对挑战CHALLENGE进行解密得到数Nonce2’，并计算Nonce2’的摘要值d_Nonce2’，将d_Nonce2’与收到的校验信息中的d_Nonce2进行比较，如果不相同，则确定物联网设备验证未通过；如果相同，则确定物联网设备验证通过,将MASTER_KEY_1’、SESSION_KEY_1’分别作为密钥信息中的主密钥和会话密钥，用主密钥MASTER_KEY_1’对Nonce2’进行加密得到应答值，将应答值携带在应答信息中发给物联网管理中心。

上述过程中，物联网管理中心可根据物联网设备的mac地址、产品标识等、随机数等信息为物联网设备生成主密钥MASTER_KEY_1，生成方法采用现有技术。主密钥的可以是用于对称加密算法(如AES，3-DES等)的单密钥，也可以是用于非对称加密算法(如RSA)生成公/私钥密钥对(物联网管理中心需将私钥通过加密方式、将公钥通过明文形式发送给物联网设备)。

另外，物联网管理中心生成会话密钥SESSION_KEY_1的方法也可以采用现有技术，例如，用密钥生成器随机产生的会话密钥、根据某种密钥生成算法来生成会话密钥；还可以预先生成多个随机密钥组成密钥池，每次在密钥池中选取一个作为会话密钥等。为提高会话密钥的安全性，物联网管理中心可以周期性地对物联网设备对应的会话密钥SESSION_KEY_1进行更新，并将新的会话密钥发送给物联网设备。

物联网设备验证通过后，可以利用对第二密钥密文KEY_CIPHER_1进行解密得到的会话密钥SESSION_KEY_1’，实现与远程终端之间的安全通信，通信过程将在后续进行说明。

此种方法中，物联网管理中心侧和物联网设备侧的实现都比较复杂，如果远程终端与物联网设备之间的认证和安全通信要求较高，则可以考虑采用。

以上是物联网管理中心和物联网设备之间的密钥协商和认证过程，在实际应用中，当物理网管理中心和物联网设备之间完成密钥协商和认证过程之后，物联网设备和远程终端之间就可以使用协商的密钥进行安全通信，通信过程需要物联网管理中心协助。

其中，

当远程终端需要向物联网设备发送控制信息时，远程终端可以将控制信息发送到物联网管理中心；物联网管理中心利用物联网设备对应的密钥信息中的会话密钥对控制信息进行加密，将加密后的控制信息发送到物联网设备；加密后的控制信息送至物联网设备后，物联网设备利用对应的密钥信息中的会话密钥对加密后的控制信息进行解密得到控制信息，从而根据控制信息执行相应的动作。

当物联网设备需要向远程终端发送数据信息时，物联网设备可以利用对应的密钥信息中的会话信息对数据信息进行加密后发送到物联网管理中心；物联网管理中心利用物联网设备对应的密钥信息中的会话密钥对数据信息进行解密得到数据信息，将数据信息发送到远程终端。

远程终端与物联网管理中心之间的信息传输安全问题可以采用现有技术方法，例如SSL技术。

在物联网中，物联网设备一般是通过物联网Hub连接到云端。在物联网设备与远程终端通信的过程中，物联网HUB只对经物联网管理中心加密的控制信息及物联网设备加密的数据信息进行转发但是无法解密，因此物联网设备与远程控制终端间通信对网关透明，从而有效阻止网关上的中间人攻击、防止第三方厂商设备的技术泄露。

以上是本发明物联网设备认证与密钥协商方法的原理性说明，基于上述原理，本发明提供了一种应用于物联网管理中心的物联网设备认证与密钥协商方法、及一种应用于物联网设备的物联网设备认证与密钥协商方法，下面结合图2和图3进行说明：

参见图2，图2是本发明实施例一物联网设备认证与密钥协商方法流程图，如图2所示，该方法应用于物联网管理中心，包括以下步骤：

步骤201、针对物联网设备生成授权码信息供物联网设备获取；

步骤202、在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；

步骤203、利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，以使物联网设备利用所述授权码信息对所述加密后的密钥信息进行解密得到所述密钥信息并根据所述校验信息完成物联网设备验证。

图2所示方法进一步包括：

接收到远程终端发送的需要发往物联网设备的控制信息时，利用所述密钥信息对所述控制信息进行加密并将加密后的控制信息发送到物联网设备，以使物联网设备利用所述密钥信息解密加密后的控制信息得到控制信息；

接收到物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息时，利用所述密钥信息将加密后的数据信息解密得到数据信息，将所述数据信息发送到远程终端。

图2所示方法中，

针对物联网设备生成授权码的方法为：

接收物联网设备厂商针对该物联网设备发送的授权码申请，为该物联网设备生成授权码信息，将授权码信息发送给物联网设备厂商，由物联网设备厂商将授权码信息存储到物联网设备；

或者，

接收物联网设备发送的授权码申请；

随机生成一字段S1，用物联网设备的数字证书Cert_D中的公钥对S1进行加密，用物联网管理中心的数字证书Cert_C中的私钥对加密后的S1进行签名，将S1对应的加密信息和签名信息发送给物联网设备，用以使物联网设备用Cert_D中的私钥对S1对应的加密信息进行解密得到S1，用Cert_C中的公钥对S1对应的签名信息进行验证，并在验证通过后根据S1和S2生成授权码信息；

接收物联网设备用Cert_C中的公钥对随机生成的字段S2进行加密，用Cert_D中的私钥对加密后的S2进行签名得到的S2对应的加密信息和签名信息；用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，验证通过后根据S1和S2生成授权码信息，将授权码信息发送给物联网设备。

图2所示方法中，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；

利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备的方法为：

用所述授权码信息中的根密钥对所述密钥信息中的会话密钥进行加密得到密钥密文；用所述密钥信息中的会话密钥对第一随机数进行加密得到挑战值；将所述密钥密文作为加密后的密钥信息，所述挑战值作为验证信息发送给物联网设备；

将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步包括：接收物联网设备返回的应答信息，计算第一随机数的摘要值，将计算结果与应答信息中的应答值进行比较，若相同，则确定物联网设备验证通过，返回验证通过确认，否则，确定物联网设备验证未通过。

图2所示方法中，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；

利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和所述校验信息发送到物联网设备的方法为：

用所述授权码信息中的根密钥对所述密钥信息中的主密钥进行加密，得到第一密钥密文；用所述密钥信息中的主密钥对所述密钥信息中的会话密钥进行加密，得到第二密钥密文；用所述密钥信息中的会话密钥对第二随机数进行加密得到第一挑战值并计算第二随机数的摘要值；

将所述第一密钥密文、第二密钥密文作为加密后的密钥信息，所述第一挑战值和二随机数的摘要值作为校验信息发送给物联网设备；

将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步包括：如果未接收到物联网设备返回的应答信息，则确定物联网设备验证未通过；如果接收到物联网设备返回的应答信息，则用所述密钥信息中的主密钥对应答信息进行解密得到应答值，若该应答值为第二随机数，则确定物联网设备验证通过，否则，确定物联网设备验证未通过。

参见图3，图3是本发明实施例二物联网设备认证与密钥协商方法，如图3所示，该方法应用于物联网设备，包括以下步骤：

步骤301、获取物联网管理中心针对物联网设备生成的授权码信息；

步骤302、接收物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息；

步骤303、利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证。

图3所示方法中，方法进一步包括：

需要向远程终端发送数据信息时，利用所述密钥信息对数据信息进行加密，将加密后的数据信息发往物联网管理中心，并由物联网管理中心利用所述密钥信息对加密后的数据信息进行解密后发送到远程终端；

接收到物联网管理中心在接收到远程终端发送的控制信息后利用所述密钥信息对控制信息加密后转发来的加密后的控制信息时，利用所述密钥信息进行解密得到控制信息。

图3所示方法中，

获取物联网管理中心针对物联网设备生成的授权码信息的方法为：

读取预先由物联网管理中心生成并由物联网设备厂商存储在物联网设备中的授权码信息；

或者，

向物联网管理中心发送授权码申请；

随机生成一字段S2，用物联网管理中心的数字证书Cert_C中的公钥对S2进行加密，用物联网设备的数字证书Cert_D中的私钥对加密后的S2进行签名，将S2对应的加密信息和签名信息发送给物联网管理中心，用以使物联网管理中心用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，并在验证通过后根据随机生成的字段S1和S2生成授权码信息；

接收物联网管理中心用Cert_D中的公钥对随机生成的字段S1进行加密，用Cert_C中的私钥对加密后的S1进行签名得到的S1对应的加密信息和签名信息；利用Cert_D中的私钥对S1对应的加密信息进行解密得到字段S1并利用Cert_C中的公钥对S1对应的签名信息进行验证，验证通过后根据S1和S2计算物联网设备的授权码信息。

图3所示方法中，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；所述加密后的密钥信息包括密钥密文；

利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证的方法为：

用所述授权码信息中的根密钥对密钥密文进行解密得到一密钥；用该密钥对所述校验信息中的挑战值进行解密，并将解密结果的摘要值作为应答值携带在应答信息中发送到物联网管理中心，如果接收到验证通过确认，则确定物联网设备验证通过，将该密钥作为所述密钥信息中的会话密钥，否则，确定物联网设备验证未通过。

图3所示方法中，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；所述加密后的密钥信息包括第一密钥密文、第二密钥密文；

利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证的方法为：

用授权码信息中的根密钥对第一密钥密文解密得到第一密钥；用第一密钥对第二密钥密文解密得到第二密钥；

用第二密钥对所述校验信息中的挑战值进行解密，计算该解密结果的摘要值，将该摘要值与所述校验信息中的摘要值进行比较，如果相同，则确定物联网设备验证通过，将所述第一密钥、第二密钥分别作为所述密钥信息中的主密钥和会话密钥，并用所述密钥信息中的主密钥对解密结果进行加密，将加密结果作为应答值携带在应答信息中返回给物联网管理中心；如果不同，则确定物联网设备验证未通过。

本发明还提供了一种应用于物联网管理中心的物联网设备认证与密钥协商装置、及一种应用于物联网设备的物联网设备认证与密钥协商装置，下面结合图4和图5进行说明：

参见图4，图4是本发明实施例一物联网设备认证与密钥协商装置的结构示意图，如图4所示，该装置应用于物联网管理中心，包括：生成单元401、处理单元402；其中，

生成单元401，用于针对物联网设备生成授权码信息供物联网设备获取；用于在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；

处理单元402，用于利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，以使物联网设备利用所述授权码信息对所述加密后的密钥信息进行解密得到所述密钥信息并根据所述校验信息完成物联网设备验证。

图4所示装置还包括接收单元403；

所述接收单元403，用于接收远程终端发送的需要发往物联网设备的控制信息；用于接收物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息；

所述处理单元402，用于接收单元403接收到远程终端发送的需要发往物联网设备的控制信息时，利用所述密钥信息对所述控制信息进行加密并将加密后的控制信息发送到物联网设备，以使物联网设备利用所述密钥信息解密加密后的控制信息得到控制信息；用于接收单元403接收到物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息时，利用所述密钥信息将加密后的数据信息解密得到数据信息，将所述数据信息发送到远程终端。

图4所示装置中，

所述生成单元402针对物联网设备生成授权码时，用于：

接收物联网设备厂商针对该物联网设备发送的授权码申请，为该物联网设备生成授权码信息，将授权码信息发送给物联网设备厂商，由物联网设备厂商将授权码信息存储到物联网设备；

或者，

接收物联网设备发送的授权码申请；

随机生成一字段S1，用物联网设备的数字证书Cert_D中的公钥对S1进行加密，用物联网管理中心的数字证书Cert_C中的私钥对加密后的S1进行签名，将S1对应的加密信息和签名信息发送给物联网设备，用以使物联网设备用Cert_D中的私钥对S1对应的加密信息进行解密得到S1，用Cert_C中的公钥对S1对应的签名信息进行验证，并在验证通过后根据S1和随机生成的字段S2生成授权码信息；

接收物联网设备用Cert_C中的公钥对S2进行加密，用Cert_D中的私钥对加密后的S2进行签名得到的S2对应的加密信息和签名信息；用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，验证通过后根据S1和S2生成授权码信息，将授权码信息发送给物联网设备。

图4所示装置中，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；

所述处理单元402利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备时，用于：用所述授权码信息中的根密钥对所述密钥信息中的会话密钥进行加密得到密钥密文；用所述密钥信息中的会话密钥对第一随机数进行加密得到挑战值；将所述密钥密文作为加密后的密钥信息，所述挑战值作为验证信息发送给物联网设备；

所述处理单元402将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步用于：接收物联网设备返回的应答信息，计算第一随机数的摘要值，将计算结果与应答信息中的应答值进行比较，若相同，则确定物联网设备验证通过，返回验证通过确认，否则，确定物联网设备验证未通过。

图4所示装置中，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；

所述处理单元402利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和所述校验信息发送到物联网设备时，用于：用所述授权码信息中的根密钥对所述密钥信息中的主密钥进行加密，得到第一密钥密文；用所述密钥信息中的主密钥对所述密钥信息中的会话密钥进行加密，得到第二密钥密文；用所述密钥信息中的会话密钥对第二随机数进行加密得到第一挑战值并计算第二随机数的摘要值；将所述第一密钥密文、第二密钥密文作为加密后的密钥信息，所述第一挑战值和第二随机数的摘要值作为校验信息发送给物联网设备；

所述处理单元402将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步用于：如果未接收到物联网设备返回的应答信息，则确定物联网设备验证未通过；如果接收到物联网设备返回的应答信息，则用所述密钥信息中的主密钥对应答信息进行解密得到应答值，若该应答值为第二随机数，则确定物联网设备验证通过，否则，确定物联网设备验证未通过。

参见图5，图5是本发明实施例二物联网设备认证与密钥协商装置的结构示意图，如图5所示，该装置应用于物联网设备，包括：获取单元501、接收单元502、处理单元503；其中，

获取单元501，用于获取物联网管理中心针对物联网设备生成的授权码信息；

接收单元502，用于接收物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息；

处理单元503，用于接收单元502接收到物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息时，利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证。

图5所示装置中，

所述接收单元502，进一步用于接收物联网管理中心在接收到远程终端发送的控制信息后利用所述密钥信息对控制信息加密后转发来的加密后的控制信息；

所述处理单元503，进一步用于需要向远程终端发送数据信息时，利用所述密钥信息对数据信息进行加密，将加密后的数据信息发往物联网管理中心，并由物联网管理中心利用所述密钥信息对加密后的数据信息进行解密后发送到远程终端；用于接收单元502接收到物联网管理中心在接收到远程终端发送的控制信息后利用所述密钥信息对控制信息加密后转发来的加密后的控制信息时，利用所述密钥信息进行解密得到控制信息。

图5所示装置中，

所述获取单元501获取物联网管理中心针对物联网设备生成的授权码信息时，用于：

读取预先由物联网管理中心生成并由物联网设备厂商存储在物联网设备中的授权码信息；

或者，

向物联网管理中心发送授权码申请；

随机生成一字段S2，用物联网管理中心的数字证书Cert_C中的公钥对S2进行加密，用物联网设备的数字证书Cert_D中的私钥对加密后的S2进行签名，将S2对应的加密信息和签名信息发送给物联网管理中心，用以使物联网管理中心用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，并在验证通过后根据随机生成的字段S1和S2生成授权码信息；

接收物联网管理中心用Cert_D中的公钥对随机生成的字段S1进行加密，用Cert_C中的私钥对加密后的S1进行签名得到的S1对应的加密信息和签名信息；利用Cert_D中的私钥对S1对应的加密信息进行解密得到字段S1并利用Cert_C中的公钥对S1对应的签名信息进行验证，验证通过后根据S1和S2计算物联网设备的授权码信息。

图5所示装置中，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；所述加密后的密钥信息包括密钥密文；

所述处理单元503利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证时，用于：

用所述授权码信息中的根密钥对密钥密文进行解密得到一密钥；用该密钥对所述校验信息中的挑战值进行解密，并将解密结果的摘要值作为应答值携带在应答信息中发送到物联网管理中心，如果接收到验证通过确认，则确定物联网设备验证通过，将该密钥作为所述密钥信息中的会话密钥，否则，确定物联网设备验证未通过。

图5所示装置中，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；所述加密后的密钥信息包括第一密钥密文、第二密钥密文；

所述处理单元503利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证时，用于：

用授权码信息中的根密钥对第一密钥密文解密得到第一密钥；用第一密钥对第二密钥密文解密得到第二密钥；用第二密钥对所述校验信息中的挑战值进行解密，计算该解密结果的摘要值，将该摘要值与所述校验信息中的摘要值进行比较，如果相同，则确定物联网设备验证通过，将所述第一密钥、第二密钥分别作为所述密钥信息中的主密钥和会话密钥，并用所述密钥信息中的主密钥对解密结果进行加密，将加密结果作为应答值携带在应答信息中返回给物联网管理中心；如果不同，则确定物联网设备验证未通过。

以上分别对本发明实施例应用于物联网管理中心的物联网设备认证与密钥协商装置以及应用于物联网设备的物联网设备认证与密钥协商装置进行了说明，这两个装置均是可以软硬件结合的可编程设备，下面给出这两个装置的硬件架构组成。

参见图6，图6是本发明实施例应用于物联网管理中心的物联网设备认证与密钥协商装置的硬件架构组成示意图，包括非易失性存储器、CPU(中央处理器)、内存和其他硬件；其中，

非易失性存储器，用于存储各种数据，包括：各物联网设备的授权码信息等。

内存，用于存储指令代码，当所述指令代码被执行时完成的操作主要为图4所示装置中的生成单元、处理单元、接收单元等模块完成的功能，这里不再详述。

CPU，用于与内存通信，进行信息收发和处理，包括：读取和执行内存中存储的所述指令代码，完成装置中的资源收生成单元、处理单元、接收单元完成的功能；用于与非易失性存储器通信，读/写非易失性存储器中的数据，如授权码信息。

其中，生成单元，用于针对物联网设备生成授权码信息供物联网设备获取；用于在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；接收单元，用于接收远程终端发送的需要发往物联网设备的控制信息；用于接收物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息；处理单元，用于利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备；用于利用所述密钥信息对远程终端发来的需要发往物联网设备的控制信息进行加密并将加密后的控制信息发送到物联网设备；用于利用所述密钥信息对物联网设备发来的需要发往远程终端的加密数据信息进行解密得到数据信息，将所述数据信息发送到远程终端。

参见图7，图参见图7，图7是本发明实施例应用于物联网设备的物联网设备认证与密钥协商装置的硬件架构组成示意图，包括非易失性存储器、CPU(中央处理器)、内存和其他硬件；其中，

非易失性存储器，用于存储各种数据，包括：各物联网设备的授权码信息等。

内存，用于存储指令代码，当所述指令代码被执行时完成的操作主要为图4所示装置中的获取单元、接收单元、处理单元等模块完成的功能，这里不再详述。

CPU，用于与内存通信，进行信息收发和处理，包括：读取和执行内存中存储的所述指令代码，完成装置中的获取单元、接收单元、处理单元完成的功能；用于与非易失性存储器通信，读/写非易失性存储器中的数据，如授权码信息。

其中，获取单元，用于获取物联网管理中心针对物联网设备生成的授权码信息；接收单元，用于接收物联网管理中心发来的加密密钥信息以及验证信息；用于接收物联网管理中心发来加密控制信息；处理单元，用于利用所述授权码信息对接收单元接收的加密密钥信息进行解密得到密钥信息，并根据所述校验信息完成物联网设备验证，用于需要向远程终端发送数据信息时，利用所述密钥信息对数据信息进行加密，将加密后的数据信息发往物联网管理中心，并由物联网管理中心利用所述密钥信息对加密后的数据信息进行解密后发送到远程终端；用于利用所述密钥信息对接收单元接收的加密控制信息进行解密得到控制信息

需要说明的是，图6、7所示的装置只是具体的例子，也可以通过其他的与本实施例描述不同结构实现，例如，执行指令代码时所完成的操作，也可以由特定应用专用集成电路(ASIC)实现。另外，CPU可以是一个或多个，如果是多个，则由多个CPU共同负责读取和执行所述指令代码。因此，本申请对装置的具体结构不作具体限定。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (20)

1.一种物联网设备认证与密钥协商方法，其特征在于，该方法应用于物联网管理中心，包括：

针对物联网设备生成授权码信息供物联网设备获取；

在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；

利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，以使物联网设备利用所述授权码信息对所述加密后的密钥信息进行解密得到所述密钥信息并根据所述校验信息完成物联网设备验证。

2.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

接收到远程终端发送的需要发往物联网设备的控制信息时，利用所述密钥信息对所述控制信息进行加密并将加密后的控制信息发送到物联网设备，以使物联网设备利用所述密钥信息解密加密后的控制信息得到控制信息；

接收到物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息时，利用所述密钥信息将加密后的数据信息解密得到数据信息，将所述数据信息发送到远程终端。

3.根据权利要求2所述的方法，其特征在于，

针对物联网设备生成授权码的方法为：

接收物联网设备厂商针对该物联网设备发送的授权码申请，为该物联网设备生成授权码信息，将授权码信息发送给物联网设备厂商，由物联网设备厂商将授权码信息存储到物联网设备；

或者，

接收物联网设备发送的授权码申请；

随机生成一字段S1，用物联网设备的数字证书Cert_D中的公钥对S1进行加密，用物联网管理中心的数字证书Cert_C中的私钥对加密后的S1进行签名，将S1对应的加密信息和签名信息发送给物联网设备，用以使物联网设备用Cert_D中的私钥对S1对应的加密信息进行解密得到S1，用Cert_C中的公钥对S1对应的签名信息进行验证，并在验证通过后根据S1和S2生成授权码信息；

接收物联网设备用Cert_C中的公钥对随机生成的字段S2进行加密，用Cert_D中的私钥对加密后的S2进行签名得到的S2对应的加密信息和签名信息；用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，验证通过后根据S1和S2生成授权码信息，将授权码信息发送给物联网设备。

4.根据权利要求3所述的方法，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；

利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备的方法为：

用所述授权码信息中的根密钥对所述密钥信息中的会话密钥进行加密得到密钥密文；用所述密钥信息中的会话密钥对第一随机数进行加密得到挑战值；将所述密钥密文作为加密后的密钥信息，所述挑战值作为验证信息发送给物联网设备；

将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步包括：接收物联网设备返回的应答信息，计算第一随机数的摘要值，将计算结果与应答信息中的应答值进行比较，若相同，则确定物联网设备验证通过，返回验证通过确认，否则，确定物联网设备验证未通过。

5.根据权利要求3所述的方法，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；

利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和所述校验信息发送到物联网设备的方法为：

用所述授权码信息中的根密钥对所述密钥信息中的主密钥进行加密，得到第一密钥密文；用所述密钥信息中的主密钥对所述密钥信息中的会话密钥进行加密，得到第二密钥密文；用所述密钥信息中的会话密钥对第二随机数进行加密得到第一挑战值并计算第二随机数的摘要值；

将所述第一密钥密文、第二密钥密文作为加密后的密钥信息，所述第一挑战值和二随机数的摘要值作为校验信息发送给物联网设备；

将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步包括：如果未接收到物联网设备返回的应答信息，则确定物联网设备验证未通过；如果接收到物联网设备返回的应答信息，则用所述密钥信息中的主密钥对应答信息进行解密得到应答值，若该应答值为第二随机数，则确定物联网设备验证通过，否则，确定物联网设备验证未通过。

6.一种物联网设备认证与密钥协商方法，其特征在于，该方法应用于物联网设备，包括：

获取物联网管理中心针对物联网设备生成的授权码信息；

接收物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息；

利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证。

7.根据权利要求6所述的方法，其特征在于，该方法进一步包括：

需要向远程终端发送数据信息时，利用所述密钥信息对数据信息进行加密，将加密后的数据信息发往物联网管理中心，并由物联网管理中心利用所述密钥信息对加密后的数据信息进行解密后发送到远程终端；

接收到物联网管理中心在接收到远程终端发送的控制信息后利用所述密钥信息对控制信息加密后转发来的加密后的控制信息时，利用所述密钥信息进行解密得到控制信息。

8.根据权利要求7所述的方法，其特征在于，

获取物联网管理中心针对物联网设备生成的授权码信息的方法为：

读取预先由物联网管理中心生成并由物联网设备厂商存储在物联网设备中的授权码信息；

或者，

向物联网管理中心发送授权码申请；

随机生成一字段S2，用物联网管理中心的数字证书Cert_C中的公钥对S2进行加密，用物联网设备的数字证书Cert_D中的私钥对加密后的S2进行签名，将S2对应的加密信息和签名信息发送给物联网管理中心，用以使物联网管理中心用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，并在验证通过后根据随机生成的字段S1和S2生成授权码信息；

接收物联网管理中心用Cert_D中的公钥对随机生成的字段S1进行加密，用Cert_C中的私钥对加密后的S1进行签名得到的S1对应的加密信息和签名信息；利用Cert_D中的私钥对S1对应的加密信息进行解密得到字段S1并利用Cert_C中的公钥对S1对应的签名信息进行验证，验证通过后根据S1和S2计算物联网设备的授权码信息。

9.根据权利要求7所述的方法，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；所述加密后的密钥信息包括密钥密文；

利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证的方法为：

用所述授权码信息中的根密钥对密钥密文进行解密得到一密钥；用该密钥对所述校验信息中的挑战值进行解密，并将解密结果的摘要值作为应答值携带在应答信息中发送到物联网管理中心，如果接收到验证通过确认，则确定物联网设备验证通过，将该密钥作为所述密钥信息中的会话密钥，否则，确定物联网设备验证未通过。

10.根据权利要求7所述的方法，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；所述加密后的密钥信息包括第一密钥密文、第二密钥密文；

利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证的方法为：

用授权码信息中的根密钥对第一密钥密文解密得到第一密钥；用第一密钥对第二密钥密文解密得到第二密钥；

用第二密钥对所述校验信息中的挑战值进行解密，计算该解密结果的摘要值，将该摘要值与所述校验信息中的摘要值进行比较，如果相同，则确定物联网设备验证通过，将所述第一密钥、第二密钥分别作为所述密钥信息中的主密钥和会话密钥，并用所述密钥信息中的主密钥对解密结果进行加密，将加密结果作为应答值携带在应答信息中返回给物联网管理中心；如果不同，则确定物联网设备验证未通过。

11.一种物联网设备认证与密钥协商装置，其特征在于，该装置应用于物联网管理中心，包括：生成单元、处理单元；

所述生成单元，用于针对物联网设备生成授权码信息供物联网设备获取；用于在物联网设备获取所述授权码信息后，针对物联网设备生成密钥信息；

所述处理单元，用于利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备，以使物联网设备利用所述授权码信息对所述加密后的密钥信息进行解密得到所述密钥信息并根据所述校验信息完成物联网设备验证。

12.根据权利要求11所述的装置，其特征在于，该装置还包括接收单元；

所述接收单元，用于接收远程终端发送的需要发往物联网设备的控制信息；用于接收物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息；

所述处理单元，用于接收单元接收到远程终端发送的需要发往物联网设备的控制信息时，利用所述密钥信息对所述控制信息进行加密并将加密后的控制信息发送到物联网设备，以使物联网设备利用所述密钥信息解密加密后的控制信息得到控制信息；用于接收单元接收到物联网设备利用所述密钥信息对需要发往远程终端的数据信息进行加密得到的加密后的数据信息时，利用所述密钥信息将加密后的数据信息解密得到数据信息，将所述数据信息发送到远程终端。

13.根据权利要求12所述的装置，其特征在于，

所述生成单元针对物联网设备生成授权码时，用于：

接收物联网设备厂商针对该物联网设备发送的授权码申请，为该物联网设备生成授权码信息，将授权码信息发送给物联网设备厂商，由物联网设备厂商将授权码信息存储到物联网设备；

或者，

接收物联网设备发送的授权码申请；

随机生成一字段S1，用物联网设备的数字证书Cert_D中的公钥对S1进行加密，用物联网管理中心的数字证书Cert_C中的私钥对加密后的S1进行签名，将S1对应的加密信息和签名信息发送给物联网设备，用以使物联网设备用Cert_D中的私钥对S1对应的加密信息进行解密得到S1，用Cert_C中的公钥对S1对应的签名信息进行验证，并在验证通过后根据S1和随机生成的字段S2生成授权码信息；

接收物联网设备用Cert_C中的公钥对S2进行加密，用Cert_D中的私钥对加密后的S2进行签名得到的S2对应的加密信息和签名信息；用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，验证通过后根据S1和S2生成授权码信息，将授权码信息发送给物联网设备。

14.根据权利要求13所述的装置，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；

所述处理单元利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和计算的校验信息发送到物联网设备时，用于：用所述授权码信息中的根密钥对所述密钥信息中的会话密钥进行加密得到密钥密文；用所述密钥信息中的会话密钥对第一随机数进行加密得到挑战值；将所述密钥密文作为加密后的密钥信息，所述挑战值作为验证信息发送给物联网设备；

所述处理单元将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步用于：接收物联网设备返回的应答信息，计算第一随机数的摘要值，将计算结果与应答信息中的应答值进行比较，若相同，则确定物联网设备验证通过，返回验证通过确认，否则，确定物联网设备验证未通过。

15.根据权利要求13所述的装置，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；

所述处理单元利用所述授权码信息对所述密钥信息进行加密并计算校验信息，将加密后的密钥信息和所述校验信息发送到物联网设备时，用于：用所述授权码信息中的根密钥对所述密钥信息中的主密钥进行加密，得到第一密钥密文；用所述密钥信息中的主密钥对所述密钥信息中的会话密钥进行加密，得到第二密钥密文；用所述密钥信息中的会话密钥对第二随机数进行加密得到第一挑战值并计算第二随机数的摘要值；将所述第一密钥密文、第二密钥密文作为加密后的密钥信息，所述第一挑战值和第二随机数的摘要值作为校验信息发送给物联网设备；

所述处理单元将加密后的密钥信息和计算的校验信息发送到物联网设备之后，进一步用于：如果未接收到物联网设备返回的应答信息，则确定物联网设备验证未通过；如果接收到物联网设备返回的应答信息，则用所述密钥信息中的主密钥对应答信息进行解密得到应答值，若该应答值为第二随机数，则确定物联网设备验证通过，否则，确定物联网设备验证未通过。

16.一种物联网设备认证与密钥协商装置，其特征在于，该装置应用于物联网设备，包括：获取单元、接收单元、处理单元；

所述获取单元，用于获取物联网管理中心针对物联网设备生成的授权码信息；

所述接收单元，用于接收物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息；

所述处理单元，用于接收单元接收到物联网管理中心针对物联网设备生成密钥信息后，利用所述授权码信息对所述密钥信息加密后得到的加密后的密钥信息以及计算出的验证信息时，利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证。

17.根据权利要求16所述的装置，其特征在于，

所述接收单元，进一步用于接收物联网管理中心在接收到远程终端发送的控制信息后利用所述密钥信息对控制信息加密后转发来的加密后的控制信息；

所述处理单元，进一步用于需要向远程终端发送数据信息时，利用所述密钥信息对数据信息进行加密，将加密后的数据信息发往物联网管理中心，并由物联网管理中心利用所述密钥信息对加密后的数据信息进行解密后发送到远程终端；用于接收单元接收到物联网管理中心在接收到远程终端发送的控制信息后利用所述密钥信息对控制信息加密后转发来的加密后的控制信息时，利用所述密钥信息进行解密得到控制信息。

18.根据权利要求17所述的装置，其特征在于，

所述获取单元获取物联网管理中心针对物联网设备生成的授权码信息时，用于：

读取预先由物联网管理中心生成并由物联网设备厂商存储在物联网设备中的授权码信息；

或者，

向物联网管理中心发送授权码申请；

随机生成一字段S2，用物联网管理中心的数字证书Cert_C中的公钥对S2进行加密，用物联网设备的数字证书Cert_D中的私钥对加密后的S2进行签名，将S2对应的加密信息和签名信息发送给物联网管理中心，用以使物联网管理中心用Cert_C中的私钥对S2对应的加密信息进行解密得到S2，用Cert_D中的公钥对S2对应的签名信息进行验证，并在验证通过后根据随机生成的字段S1和S2生成授权码信息；

接收物联网管理中心用Cert_D中的公钥对随机生成的字段S1进行加密，用Cert_C中的私钥对加密后的S1进行签名得到的S1对应的加密信息和签名信息；利用Cert_D中的私钥对S1对应的加密信息进行解密得到字段S1并利用Cert_C中的公钥对S1对应的签名信息进行验证，验证通过后根据S1和S2计算物联网设备的授权码信息。

19.根据权利要求17所述的装置，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括会话密钥；所述校验信息包括挑战值；所述加密后的密钥信息包括密钥密文；

所述处理单元利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证时，用于：

用所述授权码信息中的根密钥对密钥密文进行解密得到一密钥；用该密钥对所述校验信息中的挑战值进行解密，并将解密结果的摘要值作为应答值携带在应答信息中发送到物联网管理中心，如果接收到验证通过确认，则确定物联网设备验证通过，将该密钥作为所述密钥信息中的会话密钥，否则，确定物联网设备验证未通过。

20.根据权利要求17所述的装置，其特征在于，

所述授权码信息包括根密钥，所述密钥信息包括主密钥和会话密钥；所述校验信息包括挑战值和摘要值；所述加密后的密钥信息包括第一密钥密文、第二密钥密文；

所述处理单元利用所述授权码信息对加密后的密钥信息进行解密得到所述密钥信息，并根据所述校验信息完成物联网设备验证时，用于：

用授权码信息中的根密钥对第一密钥密文解密得到第一密钥；用第一密钥对第二密钥密文解密得到第二密钥；用第二密钥对所述校验信息中的挑战值进行解密，计算该解密结果的摘要值，将该摘要值与所述校验信息中的摘要值进行比较，如果相同，则确定物联网设备验证通过，将所述第一密钥、第二密钥分别作为所述密钥信息中的主密钥和会话密钥，并用所述密钥信息中的主密钥对解密结果进行加密，将加密结果作为应答值携带在应答信息中返回给物联网管理中心；如果不同，则确定物联网设备验证未通过。