CN108833445B - 一种适用于物联网系统的认证方法及装置 - Google Patents

Abstract

本发明提供一种适用于物联网系统的认证方法及装置，涉及物联网技术领域，方法包括：第一设备接收第二设备发送的通信消息，所述通信消息中包括认证参数；所述第一设备确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；所述第一设备确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息。与现有技术相比，第一设备在认证第二设备后，两者之间的消息认证不需要通过第三方，简化了认证的步骤，并且实现了离线化，本发明实施例中的方法既适用硬件层，也适用软件层的安全解决方案，有较强的普适性与推广性，任意设备均都应用。

Description

一种适用于物联网系统的认证方法及装置

技术领域

本发明涉及物联网技术领域，尤其涉及一种适用于物联网系统的认证方法及装置。

背景技术

物联网是新一代信息技术的重要组成部分，也是信息化时代的重要发展阶段。在物物相连的物联网时代，物联网可以将信息传输的目标延伸和拓展到了任何物品与物品之间，让各类设备进行信息交换和通信。物联网的本质概括起来主要体现在三个方面：一是互联网特征，即对需要联网的物一定要能够实现互联互通的互联网络；二是识别与通信特征，即纳入物联网的“物”一定要具备自动识别与物物通信的功能；三是智能化特征，即网络系统应具有自动化、自我反馈与智能控制的特点。

现有技术中物联网中的设备在进行认证时，通常有如下方法：1、通过第三方认证的方式：设备通过(除了设备双方)第三方协助进行交互认证，这里的第三方包括且不限于管理平台、认证平台、服务器等。2、通过密钥协商、对称加密的通信方式：物联设备之间或者设备与服务器之间通过安全通道，协商密钥的方式完成共享密钥的约定，然后再用对称加密方式通信。3、基于安全芯片的身份认证：通过安全的硬件与特定的环境，如SE+TEE，来保证安全认证。

但是现有技术中的方法1，认证的交互周期过于长，每次通信或每次与新设备交互均需要有第三方(如认证平台)收发认证消息，即通信流程过于复杂；方法2需要建立安全通道，对设备性能有较高的要求；方法3例如TEE+SE的方案，整体来说比较复杂，原理上也有冗余，对于“小”而“轻”的物联设备无法适用，在物联应用场景上的普适性不会太高。

综上所述，现有技术中不能提供一种应用场景广泛、认证方法简单的认证方法。

发明内容

本发明提供一种适用于物联网系统的认证方法及装置，用于解决现有技术不能提供一种应用场景广泛、认证方法简单的认证方法的问题。

本发明实施例提供一种适用于物联网系统的认证方法，包括：第一设备接收第二设备发送的通信消息，所述通信消息中包括认证参数；

所述第一设备确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；

所述第一设备确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息。

本发明实施例中，第一设备在接收到第二设备发送的通信消息后，通过第一设备在认证第二设备时生成的安全凭证来确定第二设备的通信消息是否可靠，与现有技术相比，第一设备在认证第二设备后，两者之间的消息认证不需要通过第三方，简化了认证的步骤，并且实现了离线化，本发明实施例中的方法既适用硬件层，也适用软件层的安全解决方案，有较强的普适性与推广性，任意设备均都应用。

进一步地，所述认证参数包括待认证令牌和待认证序列标识；

所述第一设备确定所述认证参数与所述安全凭证匹配，包括：

所述第一设备根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

所述第一设备根据所述安全凭证与所述待认证序列标识，生成比对令牌；

所述第一设备确定所述比对令牌与所述待认证令牌一致，则所述第一设备确定所述认证参数与所述安全凭证匹配。

本发明实施例中，首先确定安全凭证的有效性，并根据安全凭证生成比对令牌，比较认证参数中的待认证令牌，若两个令牌一致，则确定通信消息为安全的消息，本发明实施例中，采用令牌的方式进行比对，认证过程不建立安全通道。因此对于设备，不存在加解密的过程，认证过程简单，没有冗余。

进一步地，所述第一设备接收第二设备发送的通信消息前，还包括：

所述第一设备接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

所述第一设备使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

本发明实施例中，第一设备验证第二设备的认证请求时，通过获取到的第二设备对应的根证书来进行验证，认证方法简单，且第一设备获取第二设备的根证书的方式有多种，方法适用性强。

进一步地，所述认证请求中还包括所述第二设备的公钥，所述第一设备确定所述第二设备认证通过后，还包括：

所述第一设备生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

所述第一设备使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

本发明实施例中，当第一设备确定所述第二设备认证通过后，生成了用于进行之后通信使用的所述第二设备的安全凭证和所述第二设备的序列生成器，由于安全凭证和序列生成器为轻量级通信方式，适用于物联网设备中，并且使用第二设备的公钥进行加密，保证了通信的安全性。

本发明实施例还提供一种适用于物联网系统的认证方法，包括：

第二设备获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

所述第二设备根据所述安全凭证和所述序列生成器生成认证参数；

所述第二设备向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

本发明实施例中，第二设备根据第一设备发送的安全凭证和序列生成器生成认证参数，并将认证参数添加到通信消息中，以便第一设备在接收到认证参数后，确定通信消息是否被篡改。

进一步地，所述认证参数中包括待认证令牌以及待认证序列标识，所述第二设备根据所述安全凭证和所述序列生成器生成认证参数，包括：

所述第二设备根据所述序列生成器确定待认证序列标识；

所述第二设备根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

本发明实施例中，第二设备与第一设备的通信消息的验证过程是轻量级通信方式，认证过程不需要建立安全通道。

本发明实施例还提供一种适用于物联网系统的认证装置，包括：

通信消息确定单元，用于接收第二设备发送的通信消息，所述通信消息中包括认证参数；

安全凭证确定单元，用于确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；

安全凭证匹配单元，用于确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息。

本发明实施例中，在接收到第二设备发送的通信消息后，通过第一设备在认证第二设备时生成的安全凭证来确定第二设备的通信消息是否可靠，与现有技术相比，在认证第二设备后，两者之间的消息认证不需要通过第三方，简化了认证的步骤，并且实现了离线化，本发明实施例中的方法既适用硬件层，也适用软件层的安全解决方案，有较强的普适性与推广性，任意设备均都应用。

进一步地，所述认证参数包括待认证令牌和待认证序列标识；

所述安全凭证匹配单元具体用于：

根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

根据所述安全凭证与所述待认证序列标识，生成比对令牌；

确定所述比对令牌与所述待认证令牌一致，则所述第一设备确定所述认证参数与所述安全凭证匹配。

进一步地，所述装置还包括：

认证单元，用于接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

进一步地，所述认证请求中还包括所述第二设备的公钥，所述认证单元还用于：

生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

本发明实施例还提供一种适用于物联网系统的认证装置，包括：

获取单元，用于获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

认证参数生成单元，用于根据所述安全凭证和所述序列生成器生成认证参数；

发送单元，用于向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

本发明实施例中，根据第一设备发送的安全凭证和序列生成器生成认证参数，并将认证参数添加到通信消息中，以便第一设备在接收到认证参数后，确定通信消息是否被篡改。

进一步地，所述认证参数中包括待认证令牌以及待认证序列标识，所述认证参数生成单元具体用于：

根据所述序列生成器确定待认证序列标识；

根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

本发明实施例还提供一种电子设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；

其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述实施例中任一所述的方法。

本发明实施例还提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使所述计算机执行上述实施例中任一所述方法。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种适用于物联网系统的认证的系统结构示意图；

图2为本发明实施例提供的一种认证方法的流程示意图；

图3为本发明实施例提供的一种适用于物联网系统的认证的系统结构示意图；

图4为本发明实施例提供的一种通过第三方获取第二设备的根证书的流程示意图；

图5为本发明实施例提供的一种多认证平台通过BCA互信交互示意图；

图6为本发明实施例提供的一种第一设备与第二设备通信的方法流程示意图；

图7为本发明实施例提供的一种适用于物联网系统的认证装置的结构示意图；

图8为本发明实施例提供的另一种适用于物联网系统的认证装置的结构示意图；

图9为本发明实施例提供的一种适用于物联网系统的认证方法的流程示意图；

图10为本发明实施例提供的另一种适用于物联网系统的认证方法的流程示意图；

图11为本发明实施例提供的一种电子设备的结构示意图；

图12为本发明实施例提供的另一种电子设备的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

和传统的互联网相比，物联网有其鲜明的特征，首先，它是各种感知技术的广泛应用。物联网上部署了海量的多种类型传感器，每个传感器都是一个信息源，不同类别的传感器所捕获的信息内容和信息格式不同。传感器获得的数据具有实时性，按一定的频率周期性的采集环境信息，不断更新数据。其次，它是一种建立在互联网上的泛在网络。物联网技术的重要基础和核心仍旧是互联网，通过各种有线和无线网络与互联网融合，将物体的信息实时准确地传递出去。在物联网上的传感器定时采集的信息需要通过网络传输，由于其数量极其庞大，形成了海量信息，在传输过程中，为了保障数据的正确性和及时性，必须适应各种异构网络和协议。还有，物联网不仅仅提供了传感器的连接，其本身也具有智能处理的能力，能够对物体实施智能控制。物联网将传感器和智能处理相结合，利用云计算、模式识别等各种智能技术，扩充其应用领域。从传感器获得的海量信息中分析、加工和处理出有意义的数据，以适应不同用户的不同需求，发现新的应用领域和应用模式。而将不同的物联网设备进行认证，是实现物联网通信的基本要求。

现有技术中的安全认证的常见做法是：1、通过第三方认证的方式：设备通过(除了设备双方)第三方协助进行交互认证，这里的第三方包括且不限于管理平台、认证平台、服务器等。2、通过密钥协商、对称加密的通信方式：物联设备之间或者设备与服务器之间通过安全通道，协商密钥的方式完成共享密钥的约定，然后再用对称加密方式通信。3、基于安全芯片的身份认证：通过安全的硬件与特定的环境，如SE+TEE，来保证安全认证。

但是现有技术的缺点如下：1、第三方认证：可以保证较高的安全性，但认证的交互周期过于长，每次通信或每次与新设备交互均需要有第三方(如认证平台)收发认证消息，即通信流程过于复杂。

2、密钥协商、对称加密：对于物联设备而言，建立安全通道的方式过于繁琐，对设备性能有较高的要求。对于平台与设备之间可以采用此方式，但在设备之间做协商，以及之后复杂加解密过程均会造成极大的性能负担。

3、基于安全芯片的身份认证：TEE+SE的方案整体来说比较复杂，原理上也会觉得有冗余，对于“小”而“轻”的物联设备无法适用，因此在物联应用场景上的普适性不会太高。

本发明实施例提供一种适用于物联网系统的认证系统100，包括第一设备110以及第二设备120，如图1所示，第一设备110以及第二设备120均为物联网设备，例如智能汽车、智能交通设施等设备。

在本发明实施例中，第一设备110与第二设备120需要进行通信，且第一设备110在接收到第二设备120发送的通信消息后，第一设备110需要对通信消息的安全性进行认证，认证通过后，第一设备110与第二设备120才能进行通信。

在本发明实施例中，第一设备110与第二设备120进行通信前，第一设备110与第二设备120首先要进行认证，可选的，第一设备110为认证设备，第二设备120为待认证设备。

在本发明实施例中，第二设备120向第一设备110请求认证的过程如图2所示，包括：

步骤201，第一设备110接收第二设备120发送的认证请求；

步骤202，第一设备110根据认证请求确定第二设备120的认证请求是否通过，并返回认证结果。

可选的，在步骤201中，第二设备120发送的认证请求中包括第二设备120的标识信息，第二设备120的标识信息可以为第二设备120的设备号或者终端号，为第二设备120的唯一标识。

可选的，在步骤202中，第二设备120发送的认证请求中还包括第二设备120的证书信息，第一设备110在接收到第二设备120发送的认证请求后，解析出认证请求中的第二设备120的标识信息；第一设备110根据第二设备120的标识信息确定是否能够获取到第二设备120的根证书，若第一设备110能够获取到第二设备120的根证书，则使用第二设备120的根证书来验证第二设备120的证书信息，若验证通过，则第一设备110确定第二设备120认证通过。

可选的，在本发明实施例中，如图3所示，认证系统100还包括第一认证平台130以及第二认证平台140，第一认证平台130为第一设备110的认证平台，第二认证平台140位第二设备120的认证平台。为了使第一设备110能够获取到第二设备120的根证书，第一认证平台130以及第二平台140为互信认证的平台。

在本发明实施例中，若第一设备110不能从本地获取到第二设备120的根证书，则第一设备110则向第一认证平台130获取第二设备120的根证书，第一认证平台130由于与第二认证平台140为互信认证的平台，第一认证平台130与第二认证平台140之间共享了根证书，所以第一设备110可以从第一认证平台130获取到第二设备120的根证书。

可选的，在本发明实施例中，第一认证平台130与第二认证平台140可以使用基于专线的平台互信方法进行互信，该方法是将第一认证平台130与第二认证平台140直接利用专线打通，即第二认证平台140可直接将对不同的设备的认证结果返回给第一认证平台130，实现数据共享。例如，如图4所示，在本发明实施例中，第一认证平台130中获取不到第二设备120的根证书，则第一认证平台130从第二认证平台140获取第二设备130的根证书的具体流程为：

步骤401，第一设备110向第一认证平台130获取第二设备120的根证书；

步骤402，第一认证平台130向第二认证平台140发起认证结果请求；

步骤403，第二认证平台140查询本地对第二设备120的相应认证记录，将查询后的结果返回给第一认证平台130；

步骤402，第一认证平台130接收查询结果，并返回给第一设备110。

可选的，在本发明实施例中，第一认证平台130与第二认证平台140可以通过桥CA的方式进行互信，例如以第一认证平台130需要进入BCA为例进行说明，第一认证平台130准备资料，向BCA申请入桥；BCA做相关测试，同意认证平台130的入桥申请；BCA制定相关映射策略，向认证平台130分发证书；认证平台130收到证书，向BCA签发交叉认证证书。

通过上述方法可以将多个认证平台，例如第二认证平台140通过BCA建立互信关系，在建立BCA后，多个认证平台可以通过BCA的证书链关系，完成对IoT设备的信任链。如图5所示，第一设备110需要认证第二设备120的身份，则证书信任路径为：第一设备110-次级CA11-第一认证平台101-BCA-第二认证平台140-次级CA21-第二设备120。同理，其反向认证的证书信任路径也相反。

可选的，在本发明实施例中，当第一设备110确定第二设备120认证通过后，生成一个安全凭证，并将安全凭证发送给第二设备120。

可选的，在本发明实施例中，若安全凭证是一个固定的凭证，很容易进行伪造，造成认证的判断错误，将伪造的通信消息进行应答，所以，在本发明实施例中，第二设备120是根据安全凭证生成认证参数的，认证参数为一个可变的凭证。

为了使第一设备110能够验证第二设备120的安全凭证，所以在本发明实施例中，第一设备110在确定第二设备120验证通过后，还生成了序列生成器，根据序列生成器生成序列标识，根据安全凭证和序列标识确定了认证参数。

可选的，在本发明实施例中，安全凭证为母token，第一设备110将母token和序列生成器保存，序列生成器是能够产生有规律的序列标识，产生随机输，并将母token和序列生成器发送给第二设备120。

可选的，在本发明实施例中，其他基于token思想的如OTP(One-time Password，动态口令)、HOTP(HMAC-based One-Time Password，基于HMAC算法加密的一次性密码)、TOTP(Time-based One-Time Password algorithm，时间同步的动态密码)同样在本发明实施例的保护范围内。

可选的，在本发明实施例中，为了防止母token和序列生成器在传输过程中被篡改，第二设备120在向第一设备110发送认证请求时，认证请求中包括了第二设备120的公钥，用第二设备120的公钥将母token和序列生成器进行加密，将加密后的母token和序列生成器发送给第二设备120；第二设备120在接收得到加密文件后，用第二设备120的私钥进行解密，然后将解析出的母token和序列生成器进行存储。

可选的，在本发明实施例中，为了保证母token的有效性，还为母token设置了有效期，将该有效期保存在第一设备110中，在该有效期内有效，否则该母token为非法的安全凭证。

在确定了第一设备110以及第二设备120之间的认证关系后，第一设备110以及第二设备120可以直接进行通信，即离线认证，下面将具体介绍第一设备110以及第二设备120进行通信的过程。

第二设备120需要向第一设备110进行通信，第二设备120根据存储的序列生成器确定了当前时刻的待认证序列标识，在本发明实施例中，序列生成器是按照设定规律产生待认证序列标识，每次产生待认证序列标识后，就更新步长，以便下一次产生另一个待认证序列标识，同理，存储在第一设备110中的序列生成器也能够按照同样的规律产生待认证序列标识。

第二设备120根据母token以及待认证序列标识确定了子token，即子token为一个可变凭证，不容易被破解。

第二设备120将第二设备120的标识信息、子token、待认证序列标识以及通信消息作为认证参数发送给第一设备110，第一设备110在接收到认证参数后，首先根据认证参数中的第二设备120的标识信息确定存储在第一设备110本地的母token，确定母token的有效时间，然后对比当前的时间戳，确定母token是否有效。

若时间戳与有效时间匹配，则进一步确定待认证序列号与保存在第一设备110中的序列生成器生成的序列标识是否一致；若不匹配，则确定当前通信消息为非法信息，拒绝应答。

若确定待认证序列号与保存在第一设备110中的序列生成器生成的序列标识一致，第一设备110则利用保存在本地的母token以及待认证序列标识确定了比对子token，与第二设备120发送的子token进行比较。

若确定待认证序列号与保存在第一设备110中的序列生成器生成的序列标识不一致，则确定当前通信消息为非法信息，拒绝应答。

若确定比对子token与第二设备120发送的子token一致，则认为该通信消息为安全的通信消息，则进行应答；否则拒绝应答。

下面通过具体的实施场景来描述第一设备以及第二设备之间的通信过程，如图6所示，在本发明实施例中，默认的前提为第二设备已经通过了第一设备的认证，第二设备向第一设备发送通信消息，通信消息中包括认证参数，认证参数为第二设备的标识ID，第二设备的子token，第二设备的待认证序列标识。

步骤601，第一设备接收第二设备的通信消息；

步骤602，第一设备根据第一设备的标识ID确定保存在第一设备中的母token以及母token的有效期；

步骤603，第一设备获取当前时间戳，确定当前时间戳是否与母token的有效期是否匹配，若匹配，则执行步骤604；否则执行步骤605；

步骤604，第一设备确定保存在本地的序列生成器的序列标识，与第二设备的待认证序列标识进行比较，执行步骤606；

步骤605，第一设备拒绝应答通信消息；

步骤606，第一设备确定保存在本地的序列生成器的序列标识与待认证序列标识是否一致，若一致，则执行步骤607，否则返回步骤605；

步骤607，第一设备根据母token以及待认证序列标识确定了比对token，与第二设备的子token进行比较；

步骤608，第一设备确定比对token与第二设备的子token是否一致，若一致，则执行步骤609，否则返回步骤605；

步骤609，第一设备应答第二设备的通信消息。

为了更好的解释本发明实施例中第一设备以及第二设备的认证过程以及通过程，下面通过具体的实施场景描述本发明实施例提供的认证方法，在本发明实施例中，第一设备为智能汽车A，第二设备为智能汽车B，具体如下：

智能汽车A与智能汽车B均已经在银联认证平台通过认证，即自身的认证设备可被自有的认证平台互信。如果智能汽车B想与智能汽车A进行交互通信，那么，智能汽车A需要对智能汽车B的身份进行认证。

本发明实施例中，由于智能汽车A已在银联平台认证，存放有银联平台的根证书。智能汽车A与智能汽车B的离线认证流程如下：

1、智能汽车B向智能汽车A发送通信请求，携带自己认证平台的证书与自身公钥；

2、智能汽车A查询本地存有银联认证平台的根证书，用根证书对智能汽车B的证书验证；

3、证书验证通过后，智能汽车A随机生成一个母token、序号记录表以及母token的时间有效期，并记录在本地；

4、智能汽车A用智能汽车B公钥加密母token与序号记录表，发送给智能汽车B；

5、智能汽车B收到智能汽车A的消息后，用自身私钥解密得到母token与序号记录表，作为其与智能汽车A通信的安全身份凭证。

在母token有效期内，智能汽车B均可使用母token与序号记录表中的序号生成的子token、自身标识及其他信息与智能汽车A建立通信联系。

智能汽车B获得母token后，与智能汽车A的通信交互流程如下：

1、在智能汽车B拿到了母token与序号记录表后，使用母token与当前的序号，生成一个新的子token，将身份标识号，子token、序号以及消息内容一起发送智能汽车A；

2、智能汽车B收到消息后，根据身份标识号，查找到本地存储的母token，在确认母token时间有效性并且对比序号有效性后，同样地生成一个子token，与收到的子token对比，如果一致则表示认证通过，则应答消息内容；

3、在确定认证通过后，智能汽车A将相应的应答消息与新生成的序号发送给智能汽车B，B收到消息后，即获得了应答与新的序号，智能汽车B可使用母token与新的序号生成新的子token与智能汽车A进行交互。

为了更好的解释本发明实施例中第一设备以及第二设备的认证过程以及通过程，下面通过另一个具体的实施场景描述本发明实施例提供的认证方法，在本发明实施例中，第一设备为智能汽车C，第二设备为高速智能收费终端D，智能汽车C的认证平台为银联认证平台，智能收费终端D的认证平台为车联网认证平台，银联认证平台与车联网认证平台之间为互信平台，则智能汽车C与智能收费终端D的离线认证流程如下：

1、智能收费终端D向智能汽车C发送通信请求，携带自己认证平台的证书、标识信息与自身公钥；

2、智能汽车C根据智能收费终端D的标识信息查询到本地没有智能收费终端D对应的根证书，则智能汽车C向银联认证平台发送获取请求；

3、银联认证平台根据获取请求确定银联认证平台中没有保存智能收费终端D的根证书，则银联认证平台向互信的车联网认证平台发送获取请求；

4、车联网认证平台根据获取请求确定了智能收费终端D的根证书，并将智能收费终端D的根证书发送给银联认证平台；

5、银联认证平台将智能收费终端D的根证书发送给智能汽车C；

6、智能汽车C用智能收费终端D的根证书对智能收费终端D的证书验证；

7、证书验证通过后，智能汽车C随机生成一个母token、序号记录表以及母token的时间有效期，并记录在本地；

8、智能汽车C用智能收费终端D的公钥加密母token与序号记录表，发送给智能收费终端D；

9、智能收费终端D收到智能汽车C的消息后，用自身私钥解密得到母token与序号记录表，作为其与智能汽车C通信的安全身份凭证。

在母token有效期内，智能收费终端D均可使用母token与序号记录表中的序号生成的子token、自身标识及其他信息与智能汽车C建立通信联系。

智能收费终端D获得母token后，与智能汽车C的通信交互流程如下：

1、在智能收费终端D拿到了母token与序号记录表后，使用母token与当前的序号，生成一个新的子token，将身份标识号，子token、序号以及消息内容一起发送智能汽车C；

2、智能汽车C收到消息后，根据身份标识号，查找到本地存储的母token，在确认母token时间有效性并且对比序号有效性后，同样地生成一个子token，与收到的子token对比，如果一致则表示认证通过，则应答消息内容；

3、在确定认证通过后，智能汽车C将相应的应答消息与新生成的序号发送给智能收费终端D，智能收费终端D收到消息后，即获得了应答与新的序号，智能收费终端D可使用母token与新的序号生成新的子token与智能汽车C进行交互。

通过上述实施例，不同认证平台的两个物联网设备智能汽车C以及智能收费终端D可以实现认证以及通信，绝大部分情况下，在时间阈值内，设备双方可直接离线认证并通信，无需借助第三方平台，节省运算的时间与成本；即使在本地未找到根证书时，也仅在与设备首次认证时，会通过第三方交互。

本发明上述实施例中采用母token+序号记录+时间戳的方式，认证过程不建立安全通道。因此对于设备，不存在加解密的过程，仅有母token计算与序号记录的计算。

本发明上述实施例既适用硬件层，也适用软件层的安全解决方案，有较强的普适性与推广性，任意设备均都应用。并且可根据场景的具体需求，通过更换算法、添加交互参数等方式调整认证的安全等级。

基于同样的原理，本发明实施例还提供一种适用于物联网系统的认证装置，如图7所示，包括：

通信消息确定单元701，用于接收第二设备发送的通信消息，所述通信消息中包括认证参数；

安全凭证确定单元702，用于确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；

安全凭证匹配单元703，用于确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息。

进一步地，所述认证参数包括待认证令牌和待认证序列标识；

所述安全凭证匹配单元703具体用于：

根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

根据所述安全凭证与所述待认证序列标识，生成比对令牌；

确定所述比对令牌与所述待认证令牌一致，则所述第一设备确定所述认证参数与所述安全凭证匹配。

进一步地，所述装置还包括：

认证单元704，用于接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

进一步地，所述认证请求中还包括所述第二设备的公钥，所述认证单元704还用于：

生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

本发明实施例还提供一种适用于物联网系统的认证装置，如图8所示，包括：

获取单元801，用于获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

认证参数生成单元802，用于根据所述安全凭证和所述序列生成器生成认证参数；

发送单元803，用于向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

进一步地，所述认证参数中包括待认证令牌以及待认证序列标识，所述认证参数生成单元802具体用于：

根据所述序列生成器确定待认证序列标识；

根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

本发明实施例还提供一种适用于物联网系统的认证方法，如图9所示，包括：

步骤901，第一设备接收第二设备发送的通信消息，所述通信消息中包括认证参数；

步骤902，所述第一设备确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；

步骤903，所述第一设备确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息。

进一步地，所述认证参数包括待认证令牌和待认证序列标识；

所述第一设备确定所述认证参数与所述安全凭证匹配，包括：

所述第一设备根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

所述第一设备根据所述安全凭证与所述待认证序列标识，生成比对令牌；

所述第一设备确定所述比对令牌与所述待认证令牌一致，则所述第一设备确定所述认证参数与所述安全凭证匹配。

进一步地，所述第一设备接收第二设备发送的通信消息前，还包括：

所述第一设备接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

所述第一设备使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

进一步地，所述认证请求中还包括所述第二设备的公钥，所述第一设备确定所述第二设备认证通过后，还包括：

所述第一设备生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

所述第一设备使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

本发明实施例还提供一种适用于物联网系统的认证方法，如图10所示，包括：

步骤1001，第二设备获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

步骤1002，所述第二设备根据所述安全凭证和所述序列生成器生成认证参数；

步骤1003，所述第二设备向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

进一步地，所述认证参数中包括待认证令牌以及待认证序列标识，所述第二设备根据所述安全凭证和所述序列生成器生成认证参数，包括：

所述第二设备根据所述序列生成器确定待认证序列标识；

所述第二设备根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

基于相同的原理，本发明还提供一种电子设备，如图11所示，包括:处理器1101、存储器1102、收发机1103、总线接口1104，其中处理器1101、存储器1102与收发机1103之间通过总线接口1104连接；

所述处理器1101，用于读取所述存储器1102中的程序，执行下列方法：

从收发机1103接收第二设备发送的通信消息，所述通信消息中包括认证参数；确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息。

进一步地，所述认证参数包括待认证令牌和待认证序列标识；所述处理器1101具体用于：

根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

根据所述安全凭证与所述待认证序列标识，生成比对令牌；

确定所述比对令牌与所述待认证令牌一致，则所述第一设备确定所述认证参数与所述安全凭证匹配。

进一步地，所述处理器1101具体用于：

从收发机1103接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

进一步地，所述认证请求中还包括所述第二设备的公钥，所述处理器501还用于：

生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

本申请实施例提供了一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行上述任一项认证方法。

基于相同的原理，本发明还提供一种电子设备，如图12所示，包括:处理器1201、存储器1202、收发机1203、总线接口1204，其中处理器1201、存储器1202与收发机1203之间通过总线接口1204连接；

所述处理器1201，用于读取所述存储器1202中的程序，执行下列方法：

从收发机1203获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

根据所述安全凭证和所述序列生成器生成认证参数；进一步地，所述认证参数包括待认证令牌和待认证序列标识；

通过收发机1203向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

进一步地，所述认证参数中包括待认证令牌以及待认证序列标识，所述处理器1201具体用于：

根据所述序列生成器确定待认证序列标识；

根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

本申请实施例提供了一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行上述任一项认证方法。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种适用于物联网系统的认证方法，其特征在于，所述方法包括：

第一设备接收第二设备发送的通信消息，所述通信消息中包括认证参数，其中所述认证参数包括待认证令牌和待认证序列标识；

所述第一设备确定所述第二设备的安全凭证，所述安全凭证是所述第一设备对所述第二设备认证通过后生成的；

所述第一设备确定所述认证参数与所述安全凭证匹配，则所述第一设备确定所述通信消息为可信任的通信消息；

其中，所述第一设备确定所述认证参数与所述安全凭证匹配，包括：

所述第一设备根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

所述第一设备根据所述安全凭证与所述待认证序列标识，生成比对令牌；

所述第一设备确定所述比对令牌与所述待认证令牌一致，则所述第一设备确定所述认证参数与所述安全凭证匹配。

2.如权利要求1所述的方法，其特征在于，所述第一设备接收第二设备发送的通信消息前，还包括：

所述第一设备接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

所述第一设备使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

3.如权利要求2所述的方法，其特征在于，所述认证请求中还包括所述第二设备的公钥，所述第一设备确定所述第二设备认证通过后，还包括：

所述第一设备生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

所述第一设备使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

4.一种适用于物联网系统的认证方法，其特征在于，所述方法包括：

第二设备获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

所述第二设备根据所述安全凭证和所述序列生成器生成认证参数；

所述第二设备向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

5.如权利要求4所述的方法，其特征在于，所述认证参数中包括待认证令牌以及待认证序列标识，所述第二设备根据所述安全凭证和所述序列生成器生成认证参数，包括：

所述第二设备根据所述序列生成器确定待认证序列标识；

所述第二设备根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

6.一种适用于物联网系统的认证装置，其特征在于，包括：

通信消息确定单元，用于接收第二设备发送的通信消息，所述通信消息中包括认证参数，其中所述认证参数包括待认证令牌和待认证序列标识；

安全凭证确定单元，用于确定所述第二设备的安全凭证，所述安全凭证是所述认证装置对所述第二设备认证通过后生成的；

安全凭证匹配单元，用于确定所述认证参数与所述安全凭证匹配，则所述认证装置确定所述通信消息为可信任的通信消息；

其中，所述安全凭证匹配单元具体用于：

根据所述待认证序列标识确定所述第二设备的安全凭证处于有效状态；

根据所述安全凭证与所述待认证序列标识，生成比对令牌；

确定所述比对令牌与所述待认证令牌一致，则所述认证装置确定所述认证参数与所述安全凭证匹配。

7.如权利要求6所述的认证装置，其特征在于，所述装置还包括：

认证单元，用于接收所述第二设备的认证请求，所述认证请求中包括所述第二设备的标识信息以及所述第二设备的证书信息；

使用所述第二设备的根证书验证所述第二设备的证书信息为有效证书信息后，确定所述第二设备认证通过；所述第二设备的根证书是通过所述第二设备的认证平台获取的。

8.如权利要求7所述的认证装置，其特征在于，所述认证请求中还包括所述第二设备的公钥，所述认证单元还用于：

生成所述第二设备的安全凭证和所述第二设备的序列生成器，所述序列生产器用于生成所述待认证序列标识；

使用所述第二设备的公钥将所述安全凭证和所述序列生成器进行加密后发送给所述第二设备。

9.一种适用于物联网系统的第二设备，其特征在于，包括：

获取单元，用于获取第一设备发送的安全凭证和序列生成器，所述安全凭证和序列生成器是所述第一设备对所述第二设备认证通过后生成并发送给所述第二设备的；

认证参数生成单元，用于根据所述安全凭证和所述序列生成器生成认证参数；

发送单元，用于向所述第一设备发送通信消息，所述通信消息中包括所述认证参数。

10.如权利要求9所述的第二设备，其特征在于，所述认证参数中包括待认证令牌以及待认证序列标识，所述认证参数生成单元具体用于：

根据所述序列生成器确定待认证序列标识；

根据所述安全凭证和所述待认证序列标识确定所述待认证令牌。

11.一种电子设备，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-3任一所述的方法或者执行权利要求4或5所述的方法。

12.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使所述计算机执行权利要求1-3任一所述的方法或者执行权利要求4或5所述的方法。

Images