CN110493263A - 网关离线认证方法、装置、系统及计算机可读存储介质 - Google Patents

Abstract

本发明涉及一种网关离线认证方法、装置、系统及计算机可读存储介质，属于通信领域。客户端先向数据平台发起验证信息验证是否与目标网关已建立绑定关系，在数据平台确定客户端与目标网关建立了绑定关系后，生成密钥，然后再通过预先获取到的与目标网关对应的公钥以及与客户端对应的私钥对密钥进行多重加密，得到多重加密密钥，并将密钥以及多重加密密钥发送给客户端，使得客户端将多重加密密钥发送给目标网关。目标网关再根据预先保存的与自身对应的私钥以及与客户端对应的公钥对多重加密密钥进行解密，得到密钥。由于在传递密钥这一过程中，对密钥也进行加密、解密，因此，可以保证网关离线认证过程的安全性。

Description

网关离线认证方法、装置、系统及计算机可读存储介质

技术领域

本申请属于通信领域，具体涉及一种网关离线认证方法、装置、系统及计算机可读存储介质。

背景技术

用户在租赁或者购买离线网关后，需要对离线网关进行相关的配置才能激活网关的功能。

在现有技术中，用户直接使用数据平台通过网络传输为在线网关下发配置信息或者使用命令行的方式对在线网关下发配置，但是，如果网关处于离线状态，需要将配置信息发送到网关进行初始化。再者，用户通过网络向网关下发配置或者命令，这个过程很容易被抓包，破解。因此，如何安全地将配置信息发送到离线网关是我们亟待解决的问题。

发明内容

有鉴于此，本申请的目的在于提供一种网关离线认证方法、装置、系统及计算机可读存储介质，以实现密钥的安全传递。

本申请的实施例是这样实现的：

第一方面，本申请实施例提供一种网关离线认证方法，应用于网关，所述方法包括：获取与所述网关完成绑定的客户端无线传输的多重加密密钥，所述多重加密密钥由数据平台在确定所述客户端与所述网关完成绑定后，基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥多次加密后生成；基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥，其中，与所述客户端对应的公钥由所述网关与所述客户端建立绑定关系时获取到。由于在传递密钥这一过程中，对密钥也进行加密、解密，因此，可以保证网关离线认证过程的安全性，从而保障通信双方的通信数据安全。

结合第一方面实施例，在一种可能的实施方式中，所述基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥，包括：基于与所述客户端对应的公钥对所述多重加密密钥进行解密，得到第一重密钥；基于与所述网关对应的私钥对所述第一重密钥进行解密，得到所述密钥；其中，所述数据平台先基于与所述网关对应的公钥对所述密钥进行加密，得到所述第一重密钥，再基于与所述客户端对应的私钥对所述第一重密钥进行加密，得到所述多重加密密钥。即在解密过程中，同时需要与客户端对应的公钥以及与网关对应的私钥，保证了密钥的安全。

结合第一方面实施例，在一种可能的实施方式中，在所述获取与所述网关完成绑定的客户端无线传输的多重加密密钥之前，所述方法还包括：获取所述客户端无线发送的与所述客户端对应的公钥以及客户端ID，所述客户端对应的公钥以及所述客户端ID由所述客户端在向数据平台发起注册请求时，由所述数据平台分配给所述客户端；在确定所述网关未与其它客户端完成绑定时，与所述客户端建立绑定关系，并将与所述网关对应的网关ID发送给所述客户端。即客户端先向数据平台发起验证信息，以验证客户端与所述某一个网关是否已经建立好绑定关系。

结合第一方面实施例，在一种可能的实施方式中，在所述基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密之后，所述方法还包括：在基于预先设置的密钥有效时长确定所述密钥失效时，通知所述数据平台重新生成新的密钥以及新的多重加密密钥，所述网关获取所述数据平台发送的所述新的多重加密密钥；对所述新的多重加密密钥进行解密，得到用于与所述客户端进行通信的所述新的密钥。即为了进一步提高密钥的安全性，可以在网关侧配置密钥的有效时长。

第二方面，本申请实施例提供一种网关离线认证方法，应用于客户端，所述方法包括：向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；获取所述数据平台发送的密钥以及多重加密密钥，所述密钥由所述数据平台在验证所述客户端与所述网关完成绑定后生成，所述多重加密密钥由所述数据平台基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；将所述多重加密密钥无线发送给所述网关，以使所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。由于在传递密钥这一过程中，对密钥也进行加密、解密，因此，可以保证网关离线认证过程的安全性，从而保障通信双方的通信数据安全。

结合第二方面实施例，在一种可能的实施方式中，在向所述数据平台发起验证信息之前，所述方法还包括：向所述数据平台发送注册请求；获取所述数据平台分配的与所述客户端对应的公钥以及客户端ID；向所述网关无线发送与述客户端对应的公钥以及所述客户端ID；获取所述网关在确定未与其它客户端完成绑定时发送的网关ID。当客户端需要向某一个网关传递密钥时，密钥客户端需要先向数据平台发起验证信息，以验证客户端与所述某一个网关是否已经建立好绑定关系。

第三方面，本申请实施例提供一种网关离线认证方法，所述方法包括：客户端向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；所述数据平台在确定所述客户端与所述网关完成绑定时，生成与所述客户端以及与所述网关对应的密钥；所述数据平台通过预先保存的与所述网关对应的公钥以及与所述客户端对应的私钥对所述密钥进行多重加密得到多重加密密钥，并将所述密钥以及所述多重加密密钥发送给所述客户端；所述客户端将所述多重加密密钥无线发送给所述网关；所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。由于在传递密钥这一过程中，对密钥也进行加密、解密，因此，可以保证网关离线认证过程的安全性，从而保障通信双方的通信数据安全。

第四方面，本申请实施例提供一种网关离线认证装置，应用于网关，所述装置包括：获取模块，用于获取与所述网关完成绑定的客户端无线传输的多重加密密钥，所述多重加密密钥由数据平台在确定所述客户端与所述网关完成绑定后，基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；解密模块，用于基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

结合第四方面，在一种可能的实施方式中，所述解密模块，用于基于与所述客户端对应的公钥对所述多重加密密钥进行解密，得到第一重密钥；基于与所述网关对应的私钥对所述第一重密钥进行解密，得到所述密钥；其中，所述数据平台先基于与所述网关对应的公钥对所述密钥进行加密，得到所述第一重密钥，再基于与所述客户端对应的私钥对所述第一重密钥进行加密，得到所述多重加密密钥。

结合第四方面，在一种可能的实施方式中，所述装置还包括绑定模块以及发送模块。所述获取模块，还用于获取所述客户端无线发送的与所述客户端对应的公钥以及客户端ID，所述客户端对应的公钥以及所述客户端ID由所述客户端在向数据平台发起注册请求时，由所述数据平台分配给所述客户端；所述绑定模块，用于在确定所述网关未与其它客户端完成绑定时，与所述客户端建立绑定关系；所述发送模块，还用于将与所述网关对应的网关ID发送给所述客户端。

结合第四方面，在一种可能的实施方式中，所述装置还包括通知模块。所述通知模块，用于在基于预先设置的密钥有效时长确定所述密钥失效时，通知所述数据平台重新生成新的密钥以及新的多重加密密钥；所述获取模块，还用于获取所述数据平台发送的所述新的多重加密密钥；所述解密模块，还用于对所述新的多重加密密钥进行解密，得到用于与所述客户端进行通信的所述新的密钥。

第五方面，本申请实施例提供一种网关离线认证装置，应用于客户端，所述装置包括：发送模块，用于向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；获取模块，用于获取所述数据平台发送的密钥以及多重加密密钥，所述密钥由所述数据平台在验证所述客户端与所述网关完成绑定后生成，所述多重加密密钥由所述数据平台基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥加密生成；所述发送模块，还用于将所述多重加密密钥无线发送给所述网关，以使所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

结合第五方面，在一种可能的实施方式中，所述发送模块，还用于向所述数据平台发送注册请求；所述获取模块，还用于获取所述数据平台分配的与所述客户端对应的公钥以及客户端ID；所述发送模块，还用于向所述网关无线发送与述客户端对应的公钥以及所述客户端ID；所述获取模块，还用于获取所述网关在确定未与其它客户端完成绑定时发送的网关ID。

第六方面，本申请实施例提供一种通信系统，包括客户端、数据平台及网关；所述客户端，用于向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；所述数据平台，用于在确定所述客户端与所述网关完成绑定时，生成与所述客户端以及与所述网关对应的密钥；所述数据平台，用于通过预先保存的与所述网关对应的公钥以及与所述客户端对应的私钥对所述密钥进行多重加密得到多重加密密钥，并将所述密钥以及所述多重加密密钥发送给所述客户端；所述客户端，用于将所述多重加密密钥无线发送给所述网关；所述网关，用于基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

第七方面，本申请实施例还提供一种非易失性计算机可读存储介质(以下简称计算机可读存储介质)，其上存储有计算机程序，所述计算机程序被计算机运行时执行上述任一一种网关离线认证方法。

本申请的其它特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例而了解。本申请的目的和其它优点可通过在所写的说明书以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。通过附图所示，本申请的上述及其它目的、特征和优势将更加清晰。在全部附图中相同的附图标记指示相同的部分。并未刻意按实际尺寸等比例缩放绘制附图，重点在于示出本申请的主旨。

图1示出了本申请实施例提供的通信系统的结构示意图。

图2示出了本申请实施例提供的网关离线认证方法的时序图。

图3示出了本申请实施例提供的网关离线认证方法的流程图之一。

图4示出了本申请实施例提供的网关离线认证装置的结构示意图之一。

图5示出了本申请实施例提供的网关离线认证方法的流程图之二。

图6示出了本申请实施例提供的网关离线认证装置的结构示意图之二。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

申请人在经过实践并仔细研究后发现，现有的传递密钥的方式的安全性较低，为了解决上述问题，本申请实施例提供一种网关离线认证方法、装置、系统及计算机可读存储介质，可以实现密钥的安全传递。该技术可采用相应的软件、硬件以及软硬结合的方式实现。以下对本申请实施例进行详细介绍。

首先，参照图1来描述用于实现本申请实施例的通信系统100。通信系统100可以为用户提供绑定网关、配置网关等功能。

其中，通信系统100可以包括客户端110、网关120、数据平台130。

数据平台130可以是网络服务器，其内保存有用于分配给客户端110的公私钥对，当数据平台130接收到某一个客户端110发起的注册请求时，可以随机生成一对公私钥对分配给该客户端110。此外，在数据平台130内还保存有各个网关120的公钥。当然，在网关120侧保存有与自身对应的私钥。

网关120在未经过配置之前，处于离线状态，不具备与其他网络设备(客户端110除外)进行通信的功能。值得指出的是，于本申请实施例中，客户端110可以通过蓝牙技术与网关120实现通信。

客户端110可以是，但不限于个人电脑(Personal computer，PC)、智能手机、平板电脑、移动上网设备(Mobile Internet Device，MID)、个人数字助理等电子设备，还可以是安装在上述电子设备上的应用程序(Application，APP)。

用户完成注册并登陆客户端110，在购买或者租赁网关120之后，可以通过客户端110扫描设置在网关120上的标识码(例如一维码、二维码等)，与网关120建立绑定关系。其次客户端110携带网关120唯一标识ID向数据平台130发起获取会话密钥请求，最后，客户端110向网关120下发密钥。当客户端110与网关120两侧都获取到密钥后，客户端110可以获取用户输入的与网关120对应的配置信息，并将该配置信息通过密钥加密后发送给网关120，以便网关120获取到配置信息后进行解密。

当客户端110向网关120传递密钥时，通信系统100所起到的作用如下。

客户端110，用于向数据平台130发送验证信息，所述验证信息包括预先保存的与网关120对应的网关ID，所述验证信息用于验证客户端110与网关120是否完成绑定；数据平台130，用于在确定客户端110与网关120完成绑定时，生成与客户端110以及与网关120对应的密钥；数据平台130，用于通过预先保存的与网关120对应的公钥以及与客户端110对应的私钥对所述密钥进行多重加密得到多重加密密钥，并将所述密钥以及所述多重加密密钥发送给客户端110；客户端110，用于将所述多重加密密钥无线发送给网关120；网关120，用于基于预先保存的与网关120对应的私钥以及与客户端110对应的公钥对所述多重加密密钥进行解密，得到用于与客户端110进行通信的密钥。

由于上述客户端110向网关120传递密钥的过程与后续出现的网关离线认证方法的内容相似，为避免赘述，两者其中之一未提及之处，可参考另一者的实施例中的相应内容。

请参阅图2，本申请实施例提供一种应用于上述通信系统100的网关离线认证方法。下面将结合图2对其所包含的步骤进行说明。

步骤S110：客户端向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定。

当客户端A需要向某一个网关120(例如用户所购买的网关A)传递密钥时，客户端A可以先向数据平台130发起验证信息，以使得数据平台130验证客户端A携带的网关A的网关ID是否有效，以及验证客户端A与网关A是否已经建立好绑定关系。若数据平台130验证通过，则为客户端A分配一对公私钥对。

其中，验证信息中包括待验证网关的网关ID以及与自身对应的客户端ID。

当然，对于客户端A而言，在发起验证信息之前，需要与网关A建立绑定关系，以获取网关A的网关ID。此外，在与网关A建立绑定关系之前，客户端A还需要向数据平台130发起注册请求，以获取数据平台130给客户端A分配的客户端ID以及公钥。下面分别对上述两个过程进行介绍。

数据平台130获取到客户端A的注册请求后，可以分配给客户端A一对公私钥对。

其中，公私钥对的分配原则可以是随机生成公私钥对并进行分配。

其中，在公私钥对内包括相匹配的公钥以及私钥。当通过某一公钥对信息进行加密后，可以通过与该公钥相匹配的私钥进行解密，同理，当通过某一私钥对信息进行加密后，也可以通过与该私钥相匹配的公钥进行解密。当数据平台130为客户端A分配公私钥对后，客户端A将公私钥对中的公钥进行保存，数据平台130将公私钥对中的私钥进行保存，上述公钥以及上述私钥即为后文中与客户端A对应的公钥以及与该客户端A对应的私钥。

此外，数据平台130还可以为客户端A分配客户端ID，客户端ID可以是数据平台130随机编码生成，也可以是数据平台按照预设的编码顺序生成。

当客户端A需要与网关A建立绑定关系时，由于此时的网关A未获取到配置信息，还处于离线状态，因此，客户端A可以通过与网关A之间临时建立无线通信通道进行通信。可选的，客户端A可以与网关A建立蓝牙通信通道，也可以与网关A建立ZigBee通信通道。

当建立起无线通信通道之后，客户端A可以将与自身对应的公钥以及与自身对应的客户端ID发送给网关A。

网关A在收到与客户端A对应的公钥以及与客户端A对应的客户端ID后，开始判断自身是否与其他客户端110已建立绑定关系。

网关A在确定自身已经与其它任一客户端110完成绑定后，向客户端A返回绑定失败。

网关A在确定自身未与其它客户端110完成绑定后，可以与客户端A建立绑定关系，然后向客户端A返回绑定成功，并将与自身对应的网关ID发送给客户端A。同时，客户端A再将绑定成功的信息发送给数据平台130，在绑定成功的信息中包括与客户端A对应的客户端ID以及与网关A对应的网关ID。

其中，作为一种可选的实施方式，当网关120与客户端110建立绑定关系时，通过内部程序将自身的网关ID与客户端110的客户端ID进行关联，建立映射关系。网关A在判断自身是否与其它客户端110完成绑定时，即检测自身的网关ID是否与任一一个客户端ID存在关联。

步骤S120：所述数据平台在确定所述客户端与所述网关完成绑定时，生成与所述客户端以及与所述网关对应的密钥。

数据平台130在获取到验证信息后，先验证客户端A是否与网关A已经完成绑定。若没有完成绑定，则流程结束。若已经完成绑定，数据平台130随机生成密钥Kses。

可选的，密钥Kses可以为对称密钥，也可以为非对称密钥。

步骤S130：所述数据平台通过预先保存的与所述网关对应的公钥以及与所述客户端对应的私钥对所述密钥进行多重加密得到多重加密密钥，并将所述密钥以及所述多重加密密钥发送给所述客户端。

数据平台130在生成Kses后，需要将Kses传递给客户端A以及网关A，使得客户端A与网关A之间的交互信息可以通过Kses进行加密以及解密。

为了避免传递Kses这一过程本身被截取导致Kses泄漏，于本申请实施例中，数据平台130在传递Kses之前，先对Kses进行一系列的加密。

可选的，数据平台130可以基于与网关A对应的公钥(在数据平台130内还保存有各个网关120的公钥。当然，在网关120侧保存有与自身对应的私钥)以及与客户端A对应的私钥对Kses进行多重加密得到多重加密密钥。

例如数据平台130可以先使用与网关A对应的公钥加密Kses，得到第一重密钥’Kses，然后再使用与客户端A对应的私钥加密’Kses，得到多重加密密钥”Kses。当然，数据数据平台130还可以先使用与客户端A对应的私钥加密Kses，得到第一重密钥’Kses，然后再使用与网关A对应的公钥加密’Kses，得到多重加密密钥”Kses。

步骤S140：所述客户端将所述多重加密密钥无线发送给所述网关。

由于数据平台130不能与离线的网关A进行通信，因此，数据平台130将Kses以及”Kses发送给客户端A，经由客户端A将”Kses发送给网关A。

步骤S150：所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

网关A在获取到”Kses后，可以根据自身的私钥以及与所述客户端A对应的公钥对”Kses进行解密，从而得到Kses。

可选的，当数据平台130先使用与网关A对应的公钥加密Kses，得到’Kses，再使用与客户端A对应的私钥加密’Kses，得到”Kses时，网关A可以先使用与客户端A绑定时获取到的与客户端A对应的公钥对”Kses进行解密，得到’Kses，然后再使用与自身对应的私钥解密’Kses，得到Kses。

当数据平台130先使用与客户端A对应的私钥加密Kses，得到’Kses，再使用与网关A对应的公钥加密‘Kses，得到”Kses时，网关A可以先使用与自身对应的私钥对”Kses进行解密，得到’Kses，然后再使用与客户端A对应的公钥解密’Kses，得到Kses。

在网关A对”Kses进行解密得到Kses后，在网关A侧以及客户端A侧都获取到了Kses，那么在后续客户端A向网关A下发配置信息时，客户端A可以先使用Kses对配置信息进行加密后再发送给网关A，网关A在获取到加密后的配置信息后，也可以使用Kses进行解密，从而得到配置信息，保证了两者之间的通信安全。

为了进一步提高Kses的安全性，作为一种可选的实施方式，可以在网关120侧配置Kses的有效时长，该有效时长定义了每个Kses的有效期限。例如有效时长为24小时，那么网关120在获取到密钥后开始对该密钥的存在时间进行计时，当计时时间累积到24小时时，该密钥被认定为失效。

在一种可选的实施方式中，网关120在获取到密钥后，可以基于预先设置的密钥有效时长判断密钥是否失效。当网关120确定密钥失效时，可以通知数据平台130按照上述的密钥及多重加密密钥的生成方式，重新生成新的密钥以及新的多重加密密钥，以使数据平台130将新的密钥以及新的多重加密密钥发送给客户端110，再由客户端110将新的多重加密密钥发送给网关120。

其中，可选的，网关120可以将密钥失效的信息传递给客户端110，再由客户端110将密钥失效的信息发送给数据平台130。

作为另一种可选的实施方式，由于此时网关120已经注册在线，因此，网关120可以密钥失效的信息直接传递给数据平台130，数据平台也可以直接通过HTTPS将新的密钥以及新的多重加密网关离线认证给网关120。

网关120获取到新的多重加密密钥后，再对新的多重加密密钥进行解密，得到用于与客户端110进行通信的新的密钥。

本申请实施例所提供的网关离线认证方法，客户端110先向数据平台130发起验证信息验证是否与目标网关120已建立绑定关系。在数据平台130确定客户端110与目标网关120建立了绑定关系后，生成密钥，然后再通过预先获取到的与目标网关120对应的公钥以及与客户端110对应的私钥对密钥进行多重加密，得到多重加密密钥，并将密钥以及多重加密密钥发送给客户端110，使得客户端110将多重加密密钥发送给目标网关120。目标网关120再根据预先保存的与自身对应的私钥以及与客户端110对应的公钥对多重加密密钥进行解密，得到密钥。至此，在客户端110侧以及目标网关120侧都获取到密钥，那么在后续客户端110与目标网关120的通信过程中，其中的一侧可以将待发送的信息使用密钥进行加密，另一侧可以使用密钥对接收到的加密后的信息进行解密。由于在传递密钥这一过程中，对密钥也进行加密、解密，因此，可以保证网关离线认证过程的安全性，从而保障通信双方的通信数据安全。

此外，请参看图3，本申请实施例还提供一种应用于网关120的网关离线认证方法，包括以下步骤。

步骤S210：获取与所述网关完成绑定的客户端无线传输的多重加密密钥，所述多重加密密钥由数据平台在确定所述客户端与所述网关完成绑定后，基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成。

步骤S220：基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

在一种可选的实施方式中，网关在对多重加密密钥进行解密时，可以先基于与所述客户端对应的公钥对所述多重加密密钥进行解密，得到第一重密钥；然后基于与所述网关对应的私钥对所述第一重密钥进行解密，得到所述密钥；其中，所述数据平台先基于与所述网关对应的公钥对所述密钥进行加密，得到所述第一重密钥，再基于与所述客户端对应的私钥对所述第一重密钥进行加密，得到所述多重加密密钥。

在一种可选的实施方式中，网关在获取多重加密密钥之前，可以获取所述客户端无线发送的与所述客户端对应的公钥以及客户端ID，所述客户端对应的公钥以及所述客户端ID由所述客户端在向数据平台发起注册请求时，由所述数据平台分配给所述客户端；在确定所述网关未与其它客户端完成绑定时，与所述客户端建立绑定关系，并将与所述网关对应的网关ID发送给所述客户端。

在一种可选的实施方式中，网关在基于预先设置的密钥有效时长确定所述密钥失效时，通知所述数据平台重新生成新的密钥以及新的多重加密密钥；获取所述数据平台发送的所述新的多重加密密钥；对所述新的多重加密密钥进行解密，得到用于与所述客户端进行通信的所述新的密钥。

此外，对应于图3，请参看图4，本申请实施例还提供一种网关离线认证装置400，包括：获取模块410以及解密模块420。

获取模块410，用于获取与所述网关完成绑定的客户端无线传输的多重加密密钥，所述多重加密密钥由数据平台在确定所述客户端与所述网关完成绑定后，基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；

解密模块420，用于基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

本申请实施例所提供的网关离线认证装置500，其实现原理及产生的技术效果和前述对应的方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

在一种可能的实施方式中，解密模块420，用于基于与所述客户端对应的公钥对所述多重加密密钥进行解密，得到第一重密钥；基于与所述网关对应的私钥对所述第一重密钥进行解密，得到所述密钥；其中，所述数据平台先基于与所述网关对应的公钥对所述密钥进行加密，得到所述第一重密钥，再基于与所述客户端对应的私钥对所述第一重密钥进行加密，得到所述多重加密密钥。

在一种可能的实施方式中，网关离线认证装置400还包括绑定模块以及发送模块。获取模块410，还用于获取所述客户端无线发送的与所述客户端对应的公钥以及客户端ID，所述与所述客户端对应的公钥以及所述客户端ID由所述客户端在向数据平台发起注册请求时，由所述数据平台分配给所述客户端；所述绑定模块，用于在确定所述网关未与其它客户端完成绑定时，与所述客户端建立绑定关系；所述发送模块，还用于将与所述网关对应的网关ID发送给所述客户端。

在一种可能的实施方式中，网关离线认证装置400还包括通知模块。所述通知模块，用于在基于预先设置的密钥有效时长确定所述密钥失效时，通知所述数据平台重新生成新的密钥以及新的多重加密密钥；所述获取模块410，还用于获取所述数据平台发送的所述新的多重加密密钥；所述解密模块420，还用于对所述新的多重加密密钥进行解密，得到用于与所述客户端进行通信的所述新的密钥。

本申请实施例所提供的网关离线认证装置400，其实现原理及产生的技术效果和前述对应的方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

此外，请参看图5，本申请实施例还提供一种应用于客户端110的网关离线认证方法，包括以下步骤。

步骤S310：向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定。

步骤S320：获取所述数据平台发送的密钥以及多重加密密钥，所述密钥由所述数据平台在验证所述客户端与所述网关完成绑定后生成，所述多重加密密钥由所述数据平台基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后。

步骤S330：将所述多重加密密钥无线发送给所述网关，以使所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

在一种可选的实施方式中，客户端110在向数据平台130发起验证信息之前，还可以向所述数据平台发送注册请求；获取所述数据平台分配的与所述客户端对应的公钥以及客户端ID；向所述网关无线发送与述客户端对应的公钥以及所述客户端ID；获取所述网关在确定未与其它客户端完成绑定时发送的网关ID。

此外，对应于图5，请参看图6，本申请实施例还提供一种网关离线认证装置500，包括：发送模块510以及获取模块520。

发送模块510，用于向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；

获取模块520，用于获取所述数据平台发送的密钥以及多重加密密钥，所述密钥由所述数据平台在验证所述客户端与所述网关完成绑定后生成，所述多重加密密钥由所述数据平台基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；

发送模块510，还用于将所述多重加密密钥无线发送给所述网关，以使所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

在一种可能的实施方式中，发送模块510，还用于向所述数据平台发送注册请求；获取模块520，还用于获取所述数据平台分配的与所述客户端对应的公钥以及客户端ID；发送模块510，还用于向所述网关无线发送所述客户端对应的公钥以及所述客户端ID；获取模块520，还用于获取所述网关在确定未与其它客户端完成绑定时发送的网关ID。

本申请实施例所提供的网关离线认证装置500，其实现原理及产生的技术效果和前述对应的方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

此外，本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被计算机运行时，执行如上述的任一网关离线认证方法所包含的步骤。

综上所述，本发明实施例提出的网关离线认证方法、装置、系统及计算机可读存储介质，客户端110先向数据平台130发起验证信息验证是否与目标网关120已建立绑定关系。在数据平台130确定客户端110与目标网关120建立了绑定关系后，生成密钥，然后再通过预先获取到的与目标网关120对应的公钥以及与客户端110对应的私钥对密钥进行多重加密，得到多重加密密钥，并将密钥以及多重加密密钥发送给客户端110，使得客户端110将多重加密密钥发送给目标网关120。目标网关120再根据预先保存的与自身对应的私钥以及与客户端110对应的公钥对多重加密密钥进行解密，得到密钥。至此，在客户端110侧以及目标网关120侧都获取到密钥，那么在后续客户端110与目标网关120的通信过程中，其中的一侧可以将待发送的信息使用密钥进行加密，另一侧可以使用密钥对接收到的加密后的信息进行解密。由于在传递密钥这一过程中，对密钥也进行加密、解密，因此，可以保证网关离线认证过程的安全性，从而保障通信双方的通信数据安全。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，笔记本电脑,服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。

Claims (10)

1.一种网关离线认证方法，其特征在于，应用于网关，所述方法包括：

获取与所述网关完成绑定的客户端无线传输的多重加密密钥，所述多重加密密钥由数据平台在确定所述客户端与所述网关完成绑定后，基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；

基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

2.根据权利要求1所述的方法，其特征在于，所述基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥，包括：

基于与所述客户端对应的公钥对所述多重加密密钥进行解密，得到第一重密钥；

基于与所述网关对应的私钥对所述第一重密钥进行解密，得到所述密钥；

其中，所述数据平台先基于与所述网关对应的公钥对所述密钥进行加密，得到所述第一重密钥，再基于与所述客户端对应的私钥对所述第一重密钥进行加密，得到所述多重加密密钥。

3.根据权利要求1所述的方法，其特征在于，在所述获取与所述网关完成绑定的客户端无线传输的多重加密密钥之前，所述方法还包括：

获取所述客户端无线发送的与所述客户端对应的公钥以及客户端ID，所述与所述客户端对应的公钥以及所述客户端ID由所述客户端在向所述数据平台发起注册请求时，由所述数据平台分配给所述客户端；

在确定所述网关未与其它客户端完成绑定时，与所述客户端建立绑定关系，并将与所述网关对应的网关ID发送给所述客户端。

4.根据权利要求1所述的方法，其特征在于，在所述基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密之后，所述方法还包括：

在基于预先设置的密钥有效时长确定所述密钥失效时，通知所述数据平台重新生成新的密钥以及新的多重加密密钥；

获取所述数据平台发送的所述新的多重加密密钥；

对所述新的多重加密密钥进行解密，得到用于与所述客户端进行通信的所述新的密钥。

5.一种网关离线认证方法，其特征在于，应用于客户端，所述方法包括：

向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；

获取所述数据平台发送的密钥以及多重加密密钥，所述密钥由所述数据平台在验证所述客户端与所述网关完成绑定后生成，所述多重加密密钥由所述数据平台基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；

将所述多重加密密钥无线发送给所述网关，以使所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

6.根据权利要求5所述的方法，其特征在于，在所述向数据平台发起验证信息之前，所述方法还包括：

向所述数据平台发送注册请求；

获取所述数据平台分配的与所述客户端对应的公钥以及客户端ID；

向所述网关无线发送与述客户端对应的公钥以及所述客户端ID；

获取所述网关在确定未与其它客户端完成绑定时发送的网关ID。

7.一种网关离线认证方法，其特征在于，所述方法包括：

客户端向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；

所述数据平台在确定所述客户端与所述网关完成绑定时，生成与所述客户端以及与所述网关对应的密钥；

所述数据平台通过预先保存的与所述网关对应的公钥以及与所述客户端对应的私钥对所述密钥进行多重加密得到多重加密密钥，并将所述密钥以及所述多重加密密钥发送给所述客户端；

所述客户端将所述多重加密密钥无线发送给所述网关；

所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

8.一种网关离线认证装置，其特征在于，应用于网关，所述装置包括：

获取模块，用于获取与所述网关完成绑定的客户端无线传输的多重加密密钥，所述多重加密密钥由数据平台在确定所述客户端与所述网关完成绑定后，基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；

解密模块，用于基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

9.一种网关离线认证装置，其特征在于，应用于客户端，所述装置包括：

发送模块，用于向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；

获取模块，用于获取所述数据平台发送的密钥以及多重加密密钥，所述密钥由所述数据平台在验证所述客户端与所述网关完成绑定后生成，所述多重加密密钥由所述数据平台基于预先保存的与所述客户端对应的私钥以及与所述网关对应的公钥对预先生成的密钥加密后生成；

所述发送模块，还用于将所述多重加密密钥无线发送给所述网关，以使所述网关基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。

10.一种通信系统，其特征在于，所述通信系统包括客户端、数据平台及网关；

所述客户端，用于向数据平台发起验证信息，所述验证信息包括预先保存的与网关对应的网关ID，所述验证信息用于验证所述客户端与所述网关是否完成绑定；

所述数据平台，用于在确定所述客户端与所述网关完成绑定时，生成与所述客户端以及与所述网关对应的密钥；

所述数据平台，用于通过预先保存的与所述网关对应的公钥以及与所述客户端对应的私钥对所述密钥进行多重加密得到多重加密密钥，并将所述密钥以及所述多重加密密钥发送给所述客户端；

所述客户端，用于将所述多重加密密钥无线发送给所述网关；

所述网关，用于基于预先保存的与所述网关对应的私钥以及与所述客户端对应的公钥对所述多重加密密钥进行解密，得到用于与所述客户端进行通信的密钥。