CN109992949A - 一种设备认证方法、空中写卡方法及设备认证装置 - Google Patents

Abstract

本发明实施例公开了一种设备认证方法、空中写卡方法及设备认证装置，包括：认证平台接收业务平台发送的设备认证请求，设备认证请求中包括待认证设备的IMSI和认证信息；根据设备的IMSI以及认证平台存储的各IMSI对应的设备公钥，确定设备的设备公钥，根据设备的设备公钥若验证认证信息有效，则发送认证成功消息。可见，一方面采用不对称密钥机制进行设备认证，可有效提高认证的安全性，另一方面由于认证信息是根据设备的设备私钥生成的，而认证平台中又存储有各个IMSI对应的设备公钥，因此，认证平台若利用与设备的IMSI匹配的设备公钥无法成功验证认证信息，则说明设备的IMSI与设备私钥不匹配，从而有效地检测机卡分离。

Description

一种设备认证方法、空中写卡方法及设备认证装置

技术领域

本发明涉及无线通信技术领域，尤其涉及一种设备认证方法、空中写卡方法及设备认证装置。

背景技术

随着物联网和移动互联网的发展，更多的物联网业务(远程抄表、智能家居等)被引入人们的生活，从而使得更多的物联网设备类型(如电表、水表、智能家居设备、可穿戴设备)不断出现，并作为终端接入到运营商网络中。

与移动通信网络中用户的智能手机等终端不同，在物联网中，物联网设备一般处于无人值守的环境中，容易受到攻击、破坏，设备内包含用户身份信息的物联网卡也容易被人蓄意破坏，或窃取后用于非法设备接入，从而引发设备的安全问题。因此，为了防止专卡它用，有必要将接入网络的物联网设备的身份，以及机卡是否分离进行验证。

现有技术中，一般采用设置固定密码或将设置密码与集成电路卡、指纹等认证方式结合的方式验证设备身份。如果用户输入的密码与认证平台中存储的密码匹配就认为是合法设备，可见，这种认证方式认证的安全性较低，而且并不能有效地检测机卡分离，而与集成电路卡、指纹等方式相结合的认证方式又需要在物联网设备上增加相应的识别模块或硬件，提高了认证成本。

因此，目前亟需要一种设备认证方法，用以提高物联网设备认证的安全性，有效地检测机卡分离。

发明内容

本发明提供一种设备认证方法、空中写卡方法及设备认证装置，用以提高物联网设备认证的安全性，有效地检测机卡分离。

本发明实施例提供的一种设备认证方法，包括：

认证平台接收业务平台发送的设备认证请求；所述设备认证请求中包括待认证的设备的国际移动用户识别码IMSI和认证信息，所述认证信息是所述待认证的设备根据自身的设备私钥生成的；

所述认证平台根据所述IMSI以及所述认证平台中存储的各IMSI对应的设备公钥，确定所述待认证的设备的设备公钥，根据所述待认证的设备的设备公钥验证所述认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。

可选地，所述认证平台中存储的各IMSI对应的设备公钥是所述认证平台为待写卡的设备成功生成IMSI后存储的。

可选地，所述认证平台为待写卡的设备成功生成IMSI，包括：

所述认证平台接收所述待写卡的设备发送的写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

所述认证平台根据所述设备标识为所述待写卡的设备生成IMSI并发送给所述待写卡的设备；

所述认证平台若确认所述IMSI成功写入所述待写卡的设备，则对应存储所述IMSI和所述设备公钥。

可选地，所述写卡请求是所述待写卡的设备利用所述认证平台的公钥对所述设备标识和所述设备公钥进行加密后发送的；

所述认证平台根据所述设备标识为所述待写卡的设备生成IMSI，并发送给所述待写卡的设备，包括：

所述认证平台利用自身的公钥解密所述写卡请求，得到所述设备标识和所述设备公钥；

所述认证平台根据所述设备标识为所述待认证设备生成所述IMSI，并将所述IMSI利用所述设备公钥加密后发送给所述待写卡的设备。

可选地，所述认证平台根据所述设备标识为所述待写卡的设备生成个性化数据之前，还包括：

所述认证平台根据所述设备标识，确认所述待认证设备已与用户账户成功绑定。

基于同样的发明构思，本发明还提供一种空中写卡方法，包括：

待写卡的设备向认证平台发送写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

所述待写卡的设备接收所述认证平台根据所述设备标识生成的IMSI，并将所述IMSI写入设备；

所述待写卡的设备向所述认证平台发送写卡确认请求，所述写卡确认请求中包括所述待写卡的设备成功写入的IMSI。

可选地，所述待写卡的设备向认证平台发送写卡请求，包括：

所述待写卡的设备将所述设备标识和设备公钥利用所述认证平台的公钥加密后发送给所述认证平台；

所述待写卡的设备接收所述认证平台根据所述设备标识生成的IMSI，并将所述IMSI写入设备，包括：

所述待写卡的设备利用设备私钥对所述认证平台利用所述设备公钥加密的IMSI进行解密，将解密得到的IMSI写入设备。

基于同样的发明构思，本发明还提供一种设备认证装置，所述装置包括：

收发模块，用于接收业务平台发送的设备认证请求；所述设备认证请求中包括待认证的设备的国际移动用户识别码IMSI和认证信息，所述认证信息是所述待认证的设备根据自身的设备私钥生成的；

认证模块，用于根据所述IMSI以及所述设备认证装置中存储的各IMSI对应的设备公钥，确定所述待认证的设备的设备公钥，根据所述待认证的设备的设备公钥验证所述认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。

可选地，所述设备认证装置中存储的各IMSI对应的设备公钥是所述设备认证装置为待写卡的设备成功生成IMSI后存储的。

可选地，所述收发模块还用于：

接收所述待写卡的设备发送的写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

所述设备认证装置中还包括处理模块，用于：

根据所述设备标识为所述待写卡的设备生成IMSI并发送给所述待写卡的设备；以及，

若确认所述IMSI成功写入所述待写卡的设备，则对应存储所述IMSI和所述设备公钥。

可选地，所述写卡请求是所述待写卡的设备利用所述设备认证装置的公钥对所述设备标识和所述设备公钥进行加密后发送的；

所述处理模块具体用于：

利用自身的公钥解密所述写卡请求，得到所述设备标识和所述设备公钥；

根据所述设备标识为所述待写卡的设备生成所述IMSI，并将所述IMSI利用所述设备公钥加密后发送给所述待写卡的设备。

可选地，所述处理模块还用于：

所述认证平台根据所述设备标识，确认所述待写卡的设备已与用户账户成功绑定。

基于同样的发明构思，本发明还提供一种设备，所述设备包括：

收发模块，用于向认证平台发送写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；以及，用于接收所述认证平台根据所述设备标识生成的IMSI；

处理模块，用于将所述IMSI写入设备；

所述收发模块，还用于向所述认证平台发送写卡确认请求，所述写卡确认请求中包括所述待写卡的设备成功写入的IMSI。

可选地，所述处理模块还用于将所述设备标识和设备公钥利用所述认证平台的公钥加密后，通过所述收发模块发送给所述认证平台；以及，

利用设备私钥对所述认证平台利用所述设备公钥加密的IMSI进行解密，将解密得到的IMSI写入设备。

本发明另一实施例提供了一种认证设备，其包括存储器和处理器，其中，所述存储器用于存储程序指令，所述处理器用于调用所述存储器中存储的程序指令，按照获得的程序执行上述任一种方法。

本发明另一实施例提供了一种计算机存储介质，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令用于使所述计算机执行上述任一种方法。

本发明实施例提供了一种设备认证方法，包括：认证平台接收业务平台发送的设备认证请求，该设备认证请求中包括待认证设备的IMSI和认证信息；根据待认证的设备的IMSI以及认证平台中存储的各IMSI对应的设备公钥，确定待认证的设备的设备公钥，根据待认证的设备的设备公钥验证认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。可见，本发明实施例采用不对称密钥机制对设备进行认证，可有效提高设备认证的安全性，而且由于认证信息是根据待认证的设备自身的设备私钥生成的，而认证平台中又存储有各个IMSI对应的设备公钥，因此，认证平台利用其存储的与待认证的设备的IMSI匹配的设备公钥无法成功验证认证信息，则说明待认证的设备的IMSI与其设备私钥不匹配，从而有效地检测到机卡分离。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中设备认证方法适用的系统架构图；

图2为本发明实施例中提供的一种设备认证方法所对应的流程示意图；

图3为本发明实施例中提供的用户注册、账户实名认证、账户与设备绑定时对应的交互流程图；

图4为本发明实施例中提供的对设备进行写卡与激活操作时的交互流程图；

图5为本发明实施例中提供的由认证平台和写卡平台协作完成设备的写卡与激活操作时的交互流程图；

图6为本发明实施例中提供的对设备进行认证时的交互流程图；

图7为本发明实施例提供的一种设备认证装置的结构示意图；

图8为本发明实施例提供的一种设备的结构示意图；

图9为本发明实施例提供的一种认证设备的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例，仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

下面结合说明书附图对本发明实施例做进一步详细描述。

本发明实施例提供的设备认证方法，应用于物联网中的设备认证。图1为本发明实施例中的设备认证方法适用的系统架构图，如图1所示，所述系统中包括物联网客户端、物联网认证平台、物联网业务平台以及物联网设备，下文将分别简称为客户端、认证平台、业务平台及设备，此后不再赘述。

其中，客户端可通过有线或无线网络与认证平台进行通信，该客户端可以为安装在用户的手机、平板电脑、笔记本电脑等多种类型的智能终端上的应用程序，本发明对此不做具体限制。优选的，该客户端中设置有摄像头组件，能够采集设备上以二维码、条形码、设备标签等多种形式设置的设备信息。

设备可以为如智能水表、电表、停车管理模块等多种类型的物联网设备，本发明对此不做具体限制。该设备中内置有物联网卡，该物联网卡可以是设备出厂时就以硬件或软件的形式嵌入在设备中的，也可以是设备出厂后才安装到设备内部的，本发明对此不做具体限制。可选的，本发明实施例中的设备中的物联网卡内嵌在设备内部，且不可拆卸，如此，一台设备与其内置的物联网卡一一对应，可实现专卡专用，提高数据传输的安全性。

认证平台可为部署在通信运营商或设备管理机构处的服务器，该认证平台可由一台物理或虚拟服务器构成，也可以有多台物理或虚拟服务器构成，多台物理或虚拟服务器协同完成涉及用户、设备及业务等多方面的管理功能。

由于设备的类型的不同，相关的物联网业务也不同，业务平台具体为与设备类型相匹配的业务平台。本发明实施例中，该业务平台可以由通信运营商来运营和管理，可以由第三方的业务提供方来运营和管理，本发明对此不做具体限制。本领域技术人员可根据设备相关的业务，在系统中部署相应的业务平台，用于为用户提供指定功能的服务。

例如，若设备为智能电表，则客户端可以为国家电网公司发布的应用，用户可登陆该应用进行注册账户、绑定设备、查询缴费等操作；认证平台可以为中国移动公司部署的服务器，用于为智能电表中的通信功能提供支持，并对设备进行认证和管理；业务平台可以为国家电网公司部署的服务器用于为用户提供如注册账户、绑定设备、查询缴费等多种类型的服务，并与设备通信获取设备采集的用电数据等。

图2中示例性地给出了本发明实施例提供的设备认证方法所对应的流程示意图，如图2所示，该方法包括如下步骤：

步骤S201：认证平台接收业务平台发送的设备认证请求；所述设备认证请求中包括待认证的设备的国际移动用户识别码IMSI和认证信息，所述认证信息是所述待认证的设备根据自身的设备私钥生成的；

步骤S202：所述认证平台根据所述IMSI以及所述认证平台中存储的各IMSI对应的设备公钥，确定所述待认证的设备的设备公钥，根据所述待认证的设备的设备公钥验证所述认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。

可见，本发明实施例采用不对称密钥机制对设备进行认证，可有效提高设备认证的安全性。此外，由于认证信息是根据待认证的设备自身的设备私钥生成的，设备私钥与设备唯一绑定，存储在设备内部不公开，而认证平台中又存储有各个IMSI对应的设备公钥，因此，认证平台利用其存储的与待认证的设备的IMSI匹配的设备公钥，无法成功验证认证信息，则说明待认证的设备的IMSI与其设备私钥不匹配，即待认证的设备的IMSI与待认证设备自身并不匹配，从而有效地检测到机卡分离。

需要说明的是，本发明实施例中提供的设备认证方法应用于设备成功注册和激活后，与业务平台进行通信、传输业务数据的过程中。本发明实施例中，在执行上述步骤S201至步骤S202进行设备认证之前，还包括通过认证平台进行用户注册、账户实名认证、账户与设备绑定、设备写卡与激活等操作。

如图1所示，步骤S101包括客户端与认证平台通信进行用户注册、账户实名认证、账户与设备绑定等操作，步骤S102包括设备与认证平台通信进行设备的写卡与激活操作，步骤S103包括设备与业务平台进行通信处理相关业务、交互业务数据的操作，步骤S104包括业务平台与认证平台进行通信，对设备的身份进行认证的操作。

对应步骤S101，图3示例性给出了本发明实施例中进行用户注册、账户实名认证、账户与设备绑定时的交互流程图。以客户端为用户智能手机中安装的应用为例，如图3所示，该过程具体包括：

步骤S301：用户通过该应用访问认证平台，向认证平台发送账户注册请求。其中，该账户注册请求中携带有用户通过应用输入的自身的用户信息，向认证平台请求注册一个新的账户。

在此步骤中，用户信息至少包括用户期望的用户名和设置的密码。此外，用户还可将认证平台中注册账户所需的其他用户信息如电子邮箱、家庭住址、联系电话等包含在账户注册请求中发送给认证平台，本发明对此不做具体限制。

步骤S302：认证平台根据账户注册请求中的用户信息为用户分配账户，并在分配成功后向用户返回注册成功消息。

步骤S303：用户在认证平台上成功注册账户后，通过该账户登陆认证平台上传身份信息进行实名认证。

在此步骤中，用户上传的身份信息包括用户的身份证号、身份证照片、利用客户端的应用程序接口获取的用户脸部照片等等。可选的，身份信息还可进一步包括例如用户的手机号码、银行卡、驾驶证、学历证书等相关的信息或照片。

步骤S304：认证平台接收到用户上传的身份信息后，校验身份信息的有效性，若有效，则将身份信息与用户的账户绑定。

在此步骤中，认证平台可通过多种方式校验用户身份信息的有效性。例如，检查用户上传的身份证照片是否清晰、是否可准确获取身份证照片中的信息，用户上传的身份证号是否符合有效身份证号的命名规定，用户上传的姓名、身份证号是否与上传的身份证照片中的姓名、身份证号一致，用户上传的姓名、身份证号是否与公安系统中的姓名、身份证号相匹配，用户上传的脸部照片是否清晰、是否与身份证照片中的照片为同一人等等。

若身份信息中进一步包括手机号码、银行卡、驾驶证、学历证书等信息，则认证平台也可通过相似的方式来校验身份的有效性，此处不再赘述。

步骤S305：若用户的身份信息校验通过，则向用户发送实名认证成功消息。

进一步地，用户经过账户注册和实名认证的步骤之后，还可继续执行如下步骤，通过客户端将账户与用户持有的设备绑定，如此，用户便可通过客户端访问其所持有的设备相关的数据，并对该设备进行操作和管理。

步骤S306：用户通过客户端获取设备外壳上设置的设备信息，并发送给认证平台。

此步骤中，设备信息可包括设备的IMEI(International Mobile EquipmentIdentity，国际移动设备身份码)、MAC(Message Authentication Code,消息认证码)和SN(SerialNumber，序列号)、设备名称、设备类型、设备的出厂批次等信息。

这些设备信息可以二维码、条形码或设备标签等多种形式设置在设备的外壳上。可选的，客户端可通过其应用程序接口访问智能终端中的摄像头组件，扫描二维码、条形码或设备标签，并解析得到设备信息。或者，客户端也可先采集包含设备信息的设备照片，再通过图像识别的方式，获取照片中包含的设备信息。

步骤S307：认证平台获取到设备信息后，校验设备信息的有效性，若各项设备信息均是真实有效的设备信息，且多项设备信息之间相匹配，则将设备信息与用户的账户绑定。

步骤S308：成功将设备信息与用户账户绑定后，向用户反馈设备绑定成功消息。

举例来说，若设备为智能电表，则将设备与用户账户绑定后，用户可通过其账户登录认证平台查询电费账单、缴存电费等等。若设备为智能空调、智能机器人、智能电饭煲等家居设备，用户通过其账户登录认证平台后，还可向设备发送控制指令对设备进行远程控制。

本发明实施例中，可将设备与已注册的任一账户绑定。优选的，为了提高设备的安全性，可仅将设备信息与已进行过实名认证的账户绑定，也就是说，用户只有将其注册的账户进行实名认证后，才可将其持有的设备与账户绑定。

本发明实施例中，设备中内置有物联网卡，设备通过该物联网卡与认证平台进行无线通信。但是由于设备为白卡设备，用户将其用户账户与设备成功绑定后，设备并不能直接与认证平台进行通信，还要对其内部的物联网卡进行激活操作，将设备与物联网卡在认证平台上唯一绑定。所谓白卡设备具体是指，虽然该设备内置有物联网卡，但是通信运营商还未给该物联网卡设置通信所需的个性化数据，这些个性化数据包括IMSI(InternationalMobile Subscriber Identification Number，国际移动用户识别码)，以及opc(operatorvariant algorithm configuration field，运营商鉴权密钥)等各类鉴权密钥。

对应步骤S102，图4示例性给出了本发明实施例中对设备进行写卡与激活操作时的交互流程图，如图4所示，包括如下步骤：

步骤S401:待写卡的设备向认证平台发送写卡请求。

在此步骤中，写卡请求中包括待写卡的设备的设备标识以及设备公钥，并且待写卡的设备利用认证平台的公钥对上述设备标识和设备公钥进行了加密。该设备标识可为设备的IMEI码，本发明对此不做具体限制。

本发明实施例中，待写卡的设备可在开机启动时，检查该设备中的物联网卡的状态，若确认该物联网卡没有激活，则触发设备执行步骤S401，通过空中接口接入认证平台，并在成功接入后发送写卡请求。

待写卡的设备中预先存储有认证平台的公钥和预置私钥，待写卡的设备可通过该预置私钥对其发送给认证平台的写卡请求进行签名，以增强设备与认证平台之间交互交互的安全性。本发明实施例中，本领域技术人员可对上述预置私钥进行具体的设置，且为了便于管理，多台设备可共用同一预置私钥。例如，可为同一出厂批次的设备设置相同的预置私钥，或者也可以采用其他方式设置预置私钥，本发明对此不做具体限制。

此外，每台设备还具有一对设备公钥和设备私钥，该设备公钥即是设备携带在写卡请求中发送给认证平台的设备公钥，用于认证平台对后续与设备交互的信息进行加密，该设备私钥对外保密，用于解密认证平台利用设备的设备公钥发送的信息。本发明实施例中，采用不对称密钥加密机制对设备与认证平台之间交互的信息进行加密可有效提高写卡过程中关键敏感数据的保护。

具体的，该设备公钥和设备私钥是设备开机启动之后，执行步骤S401向认证平台发送写卡请求之前，设备自己生成的。本发明实施例对生成设备公钥/私钥的密钥生成算法不做具体限制，优选的，该密钥生成算法可确保为设备生成的公钥/私钥具有唯一性，或者某一设备与其他设备生成相同公钥/私钥的比率尽量小。

步骤S402：认证平台接收写卡请求，根据自身的私钥解密写卡请求，获取其中的设备标识和设备公钥，并根据获取到的设备标识，验证写卡请求的有效性。

在此步骤中，认证平台验证写卡请求的有效性具体包括：验证设备标识是否符合该设备类型的设备标识的命名规定、设备标识是否为真实存在的设备的设备标识、设备标识是否为已经成功绑定用户账户的设备标识。

本发明实施例中，由于设备每次开机启动时只要确认物联网卡未被激活，就会向认证平台发送写卡请求。为了避免在设备出厂前，相关技术人员对设备测试时为设备上电也会成功激活物联网卡的情况，认证平台仅将已与用户的账户成功绑定的设备发送的写卡请求确认为有效的写卡请求。如此，可有效避免对未出厂处于测试中的设备，以及已出厂但未投入使用的设备的误激活操作，节省通信运营商的号码资源。

步骤S403：认证平台若验证写卡请求有效，则为该待写卡的设备生成IMSI码，并将该设备的设备标识和IMSI码对应存储。

在此步骤中，为待写卡的设备生成的IMSI码可作为其物联网卡与认证平台交互时的标识，因而，认证平台为每台设备生成的IMSI都是唯一的，不同设备的IMSI码互不相同。

本发明实施例中，认证平台为待写卡的设备生成IMSI码的同时，还可为该待写卡的设备生成其他个性化数据，包括但是不限于opc等鉴权密钥，这些个性化数据在设备与认证平台的业务交互过程将起到重要作用，是设备可正常工作的必要条件。

步骤S404：认证平台利用设备公钥对生成的IMSI进行加密，并发送给设备。

在此步骤中，设备公钥即是步骤S401中待写卡的设备携带在写卡请求中发送的设备公钥。

步骤S405：待写卡的设备利用自身的设备私钥解密认证平台加密发送的IMSI，并将该IMSI成功写入设备的设定存储区后，利用认证平台的公钥加密成功写入的IMSI，并携带在写卡确认请求中发送给认证平台。

步骤S406：认证平台利用自身的私钥解密待写卡的设备发送的写卡确认请求，获取其中该待写卡的设备成功写入的IMSI，若确定设备成功写入的IMSI与之前为该设备生成的IMSI一致，则确认该设备写卡成功。

步骤S407：认证平台发送写卡成功消息给设备，并在写卡成功消息中指示该设备将其物联网卡的状态修改为已激活。

需要说明的是，由于设备以及认证平台均具有自身的一对公/私钥，因此，在上述写卡过程中，设备与认证平台的每次交互中还可携带有利用自身私钥签发的签名，进一步提高写卡过程中数据的安全性。

此外，在上述步骤S102中，认证平台可以负责处理对待写卡的设备进行验证、为待写卡的设备生成个性化数据等全部任务；或者，作为另外一种实现方式，认证平台将仅负责与待写卡的设备进行交互，验证待写卡的设备发送的写卡请求、为待写卡的设备发送个性化数据等操作，而由通信运营商布署的写卡平台负责生成个性化数据的操作，该写卡平台仅与认证平台直接交互。如此，可实现认证操作与写卡操作的功能分离，有效减轻认证平台的负担。

下面给出本发明实施例中认证平台对设备进行写卡和激活操作的一个具体实施例，在该具体实施例中，认证平台与写卡平台协作完成设备的写卡与激活操作，而且设备与认证平台的之间的每次交互时均携带有利用自身私钥签发的签名。

图5示例性示出了本发明提供的具体实施例中设备、认证平台与写卡平台进行写卡与激活操作时的交互流程图，如图5中所示，包括如下步骤：

步骤S501：待写卡的设备向认证平台发送写卡请求。

在此步骤中，待写卡的设备首先生成自身的设备公钥和设备私钥，随后利用设备中存储的认证平台的公钥对设备IMEI、设备公钥和时间戳进行加密，接着用设备的预置私钥对加密后的设备IMEI、设备公钥和时间戳签名，并携带在写卡请求中发送给认证平台。

步骤S502：认证平台接收写卡请求，验证写卡请求中签名的有效性，若有效，则根据认证平台的私钥解密写卡请求，获取其中的设备IMEI和设备公钥，并根据获取到的设备IMEI，验证写卡请求的有效性，若有效，则对应存储该设备IMEI和设备公钥。

在此步骤中，认证平台利用与待写卡的设备的预置私钥相匹配的预置公钥验证写卡请求中签名的有效性。本发明实施例中，认证平台中预先存储有各个设备的预置私钥所对应的预置公钥，由于多台设备可共用一个预置私钥，预置私钥的总数量是有限的，因此，认证平台可对其存储的预置公钥逐一遍历从而确定出与待写卡的设备的预置私钥相匹配的预置公钥。或者，认证平台还可根据待写卡的设备的批次信息获取预置公钥，本发明对此不做具体限制。

若验证签名有效，认证平台还将通过如下方式验证写卡请求的有效性：

验证设备IMEI是否符合该设备类型的设备IMEI的命名规定、设备IMEI是否为真实存在的设备的设备标识、设备IMEI是否已经成功绑定用户账户。

步骤S503：若认证平台确认写卡请求有效，则向写卡平台发送数据生成请求，以请求写卡平台为待写卡的设备生成IMSI和其他个性化数据，如鉴权密钥opc等等。

步骤S504：写卡平台接收数据生成请求，为待写卡设备生成IMSI和个性化数据后，将生成的IMSI和个性化数据发送给认证平台。

步骤S505：认证平台将为该待写卡的设备生成的IMSI和个性化数据，与该待写卡的设备的IMEI、设备公钥对应存储，通过设备公钥加密生成的IMSI和个性化数据，利用认证平台的私钥签名后发送给待写卡的设备。

步骤S506：待写卡的设备首先利用认证平台的公钥验证签名的有效性，若有效，则利用自身的设备私钥解密认证平台发送的IMSI和个性化数据，并将其写入设备。

步骤S507：待写卡的设备将成功写入的IMSI、时间戳利用认证平台的公钥加密，再利用设备私钥签名后，携带在写卡确认请求中发送给认证平台。

步骤S508：认证平台首先利用设备公钥验证写卡确认请求中签名的有效性，若有效，则利用认证平台的私钥解密写卡确认请求，获取其中待写卡的设备成功写入的IMSI。若确定设备成功写入的IMSI与在步骤S505中为该待写卡的设备生成的IMSI一致，则确认该设备写卡成功。

步骤S509：认证平台向写卡平台发送写卡成功消息，以告知写卡平台成功完成对待写卡的设备的写卡操作。

步骤S510：认证平台将该待写卡的设备的状态和IMSI利用认证平台的私钥签名后携带在写卡成功消息中发送给待写卡的设备，以修改该物联网卡的状态。

需要说明的是，作为一种可选的实现方式，在认证平台与写卡平台协作完成设备的写卡与激活操作的场景中，认证平台与写卡平台之间的每次消息交互可进行消息的加密处理，也可明文传输不进行加密处理，本发明对此不做具体限制。

对应步骤S103，当认证平台成功对设备进行写卡和激活后，用户便可利用正常使用设备。设备使用过程中，与业务平台的通信过程中，业务平台还可通过认证平台对设备的身份进行验证。该身份认证过程即包括上述步骤S201至步骤S202。

图6为本发明实施例中提供的对设备进行认证时的交互流程图，如图6所示，包括如下步骤：

步骤S601：待认证的设备将其对应的IMSI码、认证信息和业务数据发送给业务平台。

在此步骤中，设备的认证信息是待认证的设备根据自身的设备私钥生成的，该认证信息可以为待认证的设备利用自身的设备私钥签发的签名，或者也可以为其他形式的认证信息，本发明对此不做限制。

步骤S602：业务平台接收到待认证的设备的IMSI、认证信息和业务数据后，向认证平台发送设备认证请求，该设备认证请求中包括待认证的设备的IMSI和认证信息。

步骤S603：同步骤S201，认证平台接收业务平台发送的设备认证请求。

步骤S604：同步骤S202，认证平台根据设备认证请求中待认证的设备的IMSI，从认证平台中存储的各IMSI对应的设备公钥中，查找出待认证的设备的设备公钥。认证平台根据待认证的设备的设备公钥验证设备认证请求中认证信息的有效性，若有效，则业务平台发送认证成功消息。

在此步骤中，若认证信息为待认证的设备利用设备私钥签发的签名，则认证平台可用待认证的设备的设备公钥验证签名的有效性。

步骤S605：业务平台接收认证平台发送的认证成功消息后，对待认证的设备在步骤S601中发送的业务数据进行处理，并向待认证的设备返回处理结果。

需要说明的是，设备认证的过程也可以由待认证的设备主动向业务平台发送设备认证请求，在这一场景下，设备认证请求中仅包括设备的IMSI、认证信息，并不包括设备的业务数据，业务平台接收到该设备认证请求后，将设备认证请求转发到认证平台，以触发认证平台执行认证操作。

本发明实施例，设备认证过程中设备、业务平台、认证平台之间的消息交互也可以采用约定的密钥进行加密处理，本发明对此不做具体限制。

如此，本发明实施例提供了一种设备认证方法、空中写卡方法，结合上述方法，本发明实施例还提供了在物联网系统中注册账户、对账户进行实名认证、将用户的账户与设备绑定、对设备写卡激活、验证设备身份的完整的智能化流程，从而为物联网设备的广泛部署提供便利。

基于同样的发明构思，本发明实施例还提供一种设备认证装置，图7为本发明实施例中提供的一种设备认证装置的结构示意图，如图7所示，该设备认证装置700包括：

收发模块701，用于接收业务平台发送的设备认证请求；所述设备认证请求中包括待认证的设备的国际移动用户识别码IMSI和认证信息，所述认证信息是所述待认证的设备根据自身的设备私钥生成的；

认证模块702，用于根据所述IMSI以及所述设备认证装置中存储的各IMSI对应的设备公钥，确定所述待认证的设备的设备公钥，根据所述待认证的设备的设备公钥验证所述认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。

可选地，所述设备认证装置中存储的各IMSI对应的设备公钥是所述设备认证装置为待写卡的设备成功生成IMSI后存储的。

可选地，所述收发模块701还用于：

接收所述待写卡的设备发送的写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

所述设备认证装置中还包括处理模块703，用于：

根据所述设备标识为所述待写卡的设备生成IMSI并发送给所述待写卡的设备；以及，

若确认所述IMSI成功写入所述待写卡的设备，则对应存储所述IMSI和所述设备公钥。

可选地，所述写卡请求是所述待写卡的设备利用所述设备认证装置700的公钥对所述设备标识和所述设备公钥进行加密后发送的；

所述处理模块703具体用于：

利用自身的公钥解密所述写卡请求，得到所述设备标识和所述设备公钥；

根据所述设备标识为所述待写卡的设备生成所述IMSI，并将所述IMSI利用所述设备公钥加密后发送给所述待写卡的设备。

可选地，所述处理模块703还用于：

所述认证平台根据所述设备标识，确认所述待写卡的设备已与用户账户成功绑定。

本发明实施例还提供一种设备，图8为本发明实施例中提供的一种设备结构示意图，如图8所示，该设备800包括：

收发模块801，用于向认证平台发送写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；以及，用于接收所述认证平台根据所述设备标识生成的IMSI；

处理模块802，用于将所述IMSI写入设备；

所述收发模块801，还用于向所述认证平台发送写卡确认请求，所述写卡确认请求中包括所述待写卡的设备成功写入的IMSI。

可选地，所述处理模块802还用于将所述设备标识和设备公钥利用所述认证平台的公钥加密后，通过所述收发模块发送给所述认证平台；以及，

利用设备私钥对所述认证平台利用所述设备公钥加密的IMSI进行解密，将解密得到的IMSI写入设备。

基于同样的发明构思，本发明实施例还提供另一种认证设备，该认证设备具体可以为桌面计算机、便携式计算机、智能手机、平板电脑、个人数字助理(Personal DigitalAssistant，PDA)等。如图9所示，该认证设备900可以包括中央处理器(Center ProcessingUnit，CPU)901、存储器902、输入/输出设备903及总线系统904等。其中，输入设备可以包括键盘、鼠标、触摸屏等，输出设备可以包括显示设备，如液晶显示器(Liquid CrystalDisplay，LCD)、阴极射线管(Cathode Ray Tube，CRT)等。

存储器可以包括只读存储器(ROM)和随机存取存储器(RAM)，并向处理器提供存储器中存储的程序指令和数据。在本发明实施例中，存储器可以用于存储上述设备认证方法的程序。

处理器通过调用存储器存储的程序指令，处理器用于按照获得的程序指令执行上述设备认证方法。

基于同样的发明构思，本发明实施例提供了一种计算机存储介质，用于储存为上述检测终端所用的计算机程序指令，其包含用于执行上述设备认证方法的程序。

所述计算机存储介质可以是计算机能够存取的任何可用介质或数据存储设备，包括但不限于磁性存储器(例如软盘、硬盘、磁带、磁光盘(MO)等)、光学存储器(例如CD、DVD、BD、HVD等)、以及半导体存储器(例如ROM、EPROM、EEPROM、非易失性存储器(NAND FLASH)、固态硬盘(SSD))等。

由上述内容可以看出：

本发明实施例提供了一种设备认证方法，包括：认证平台接收业务平台发送的设备认证请求，该设备认证请求中包括待认证设备的IMSI和认证信息；根据待认证的设备的IMSI以及认证平台中存储的各IMSI对应的设备公钥，确定待认证的设备的设备公钥，根据待认证的设备的设备公钥验证认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。可见，本发明实施例采用不对称密钥机制对设备进行认证，可有效提高设备认证的安全性，而且由于认证信息是根据待认证的设备自身的设备私钥生成的，而认证平台中又存储有各个IMSI对应的设备公钥，因此，认证平台利用其存储的与待认证的设备的IMSI匹配的设备公钥无法成功验证认证信息，则说明待认证的设备的IMSI与其设备私钥不匹配，从而有效地检测到机卡分离。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或两个以上其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或两个以上流程和/或方框图一个方框或两个以上方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或两个以上流程和/或方框图一个方框或两个以上方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或两个以上流程和/或方框图一个方框或两个以上方框中指定的功能的步骤。

尽管已描述了本发明的可选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括可选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (11)

1.一种设备认证方法，其特征在于，应用于物联网中的设备认证，所述方法包括：

认证平台接收业务平台发送的设备认证请求；所述设备认证请求中包括待认证的设备的国际移动用户识别码IMSI和认证信息，所述认证信息是所述待认证的设备根据自身的设备私钥生成的；

所述认证平台根据所述IMSI以及所述认证平台中存储的各IMSI对应的设备公钥，确定所述待认证的设备的设备公钥，根据所述待认证的设备的设备公钥验证所述认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。

2.根据权利要求1所述的方法，其特征在于，所述认证平台中存储的各IMSI对应的设备公钥是所述认证平台为待写卡的设备成功生成IMSI后存储的。

3.根据权利要求2所述的方法，其特征在于，所述认证平台为待写卡的设备成功生成IMSI，包括：

所述认证平台接收所述待写卡的设备发送的写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

所述认证平台根据所述设备标识为所述待写卡的设备生成IMSI并发送给所述待写卡的设备；

所述认证平台若确认所述IMSI成功写入所述待写卡的设备，则对应存储所述IMSI和所述设备公钥。

4.根据权利要求3所述的方法，其特征在于，所述写卡请求是所述待写卡的设备利用所述认证平台的公钥对所述设备标识和所述设备公钥进行加密后发送的；

所述认证平台根据所述设备标识为所述待写卡的设备生成IMSI，并发送给所述待写卡的设备，包括：

所述认证平台利用自身的公钥解密所述写卡请求，得到所述设备标识和所述设备公钥；

所述认证平台根据所述设备标识为所述待写卡的设备生成所述IMSI，并将所述IMSI利用所述设备公钥加密后发送给所述待写卡的设备。

5.根据权利要求4所述的方法，其特征在于，所述认证平台根据所述设备标识为所述待写卡的设备生成所述IMSI之前，还包括：

所述认证平台根据所述设备标识，确认所述待写卡的设备已与用户账户成功绑定。

6.一种空中写卡方法，其特征在于，应用于物联网中的设备写卡，所述方法包括：

待写卡的设备向认证平台发送写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

所述待写卡的设备接收所述认证平台根据所述设备标识生成的IMSI，并将所述IMSI写入设备；

所述待写卡的设备向所述认证平台发送写卡确认请求，所述写卡确认请求中包括所述待写卡的设备成功写入的IMSI。

7.根据权利要求6所述的方法，其特征在于，所述待写卡的设备向认证平台发送写卡请求，包括：

所述待写卡的设备将所述设备标识和设备公钥利用所述认证平台的公钥加密后发送给所述认证平台；

所述待写卡的设备接收所述认证平台根据所述设备标识生成的IMSI，并将所述IMSI写入设备，包括：

所述待写卡的设备利用设备私钥对所述认证平台利用所述设备公钥加密的IMSI进行解密，将解密得到的IMSI写入设备。

8.一种设备认证装置，其特征在于，所述装置包括：

收发模块，用于接收业务平台发送的设备认证请求；所述设备认证请求中包括待认证的设备的国际移动用户识别码IMSI和认证信息，所述认证信息是所述待认证的设备根据自身的设备私钥生成的；

认证模块，用于根据所述IMSI以及所述认证平台中存储的各IMSI对应的设备公钥，确定所述待认证的设备的设备公钥，根据所述待认证的设备的设备公钥验证所述认证信息是否有效，若有效，则向所述业务平台发送认证成功消息。

9.一种设备，其特征在于，所述设备包括：

收发模块，用于向认证平台发送写卡请求，所述写卡请求中包括所述待写卡的设备的设备标识和设备公钥；

处理模块，用于接收所述认证平台根据所述设备标识生成的IMSI，并将所述IMSI写入设备；

所述收发模块，还用于向所述认证平台发送写卡确认请求，所述写卡确认请求中包括所述待写卡的设备成功写入的IMSI。

10.一种认证设备，其特征在于，包括：

存储器，用于存储程序指令；

处理器，用于调用所述存储器中存储的程序指令，按照获得的程序执行如权利要求1至8中任一项所述的方法。

11.一种计算机存储介质，其特征在于，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令用于使所述计算机执行如权利要求1至8中任一项所述的方法。