CN110933112A - 一种入网认证方法、装置和存储介质 - Google Patents

Abstract

本发明实施例提供了一种入网认证方法、装置和存储介质，其中，所述方法包括：接收来自视联网设备的入网认证请求，根据入网认证请求对设备号码进行验证处理，入网认证请求基于网管签名证书、设备签名证书、设备加密证书和设备号码所得；在对设备号码验证通过的情况下，允许视联网设备入网。本发明实施例在对视联网设备进行入网认证时，不涉及到用户名和密码的验证，避免了用户名和密码被遗忘、被窃取而造成的入网认证的安全性较低的问题，提升了视联网业务的安全性、稳定性，降低了视联网设备入网认证的风险，从而减少了视联网业务的故障率。

Description

一种入网认证方法、装置和存储介质

技术领域

本发明涉及网络安全技术领域，特别是涉及一种入网认证方法、装置和存储介质。

背景技术

视联网是一种基于以太网硬件的用于高速传输高清视频及专用协议的专用网络，视联网是以太网的更高级形态，是一个实时网络。

随着视联网业务的快速发展，视联网设备的数量也迅速壮大。视联网设备需要在视联网网络管理服务器中入网认证之后才可以执行视联网业务。目前，视联网设备在向视联网网络管理服务器发起入网认证时，视联网网络管理服务器仅对视联网设备所登陆的用户的用户名和密码进行验证。用户名和密码容易遗忘、被窃取等，视联网设备入网认证的安全性较低。

发明内容

鉴于上述问题，提出了本发明实施例以便提供一种克服上述问题或者至少部分地解决上述问题的一种入网认证方法、装置和存储介质。

为了解决上述问题，本发明实施例公开了一种入网认证方法，应用于视联网中的网管服务器，所述网管服务器与所述视联网中的视联网设备通信连接，所述视联网设备配置有设备号码，所述设备号码用于传输视联网信令和/或执行视联网业务，所述方法包括：接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理，所述入网认证请求基于网管签名证书、设备签名证书、设备加密证书和所述设备号码所得；在对所述设备号码验证通过的情况下，允许所述视联网设备入网。

可选地，所述视联网设备包含网关设备和终端设备；当所述视联网设备为所述网关设备时，所述设备号码包含首席号码和子号码；当所述视联网设备为所述终端设备时，所述设备号码包含首席号码。

可选地，所述接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理的步骤，包括：接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理；其中，所述网关设备的首席号码入网认证请求信息基于所述网管签名证书、网关设备签名证书、网关设备加密证书和所述网关设备的首席号码所得；所述终端设备的首席号码入网认证请求信息基于所述网管签名证书、终端设备签名证书、终端设备加密证书和所述终端设备的首席号码所得。

可选地，所述接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理的步骤，还包括：在对所述网关设备的首席号码验证通过的情况下，接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理，所述子号码入网认证请求信息基于所述网管签名证书、所述网关设备签名证书、所述网关设备加密证书、所述网关设备的首席号码和所述子号码所得。

可选地，所述在对所述设备号码验证通过的情况下，允许所述视联网设备入网的步骤，包括：在对所述网关设备的首席号码和子号码均验证通过的情况下，允许所述网关设备入网；在对所述终端设备的首席号码验证通过的情况下，允许所述终端设备入网。

可选地，所述接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理的步骤，包括：接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，所述网关设备的首席号码入网认证请求信息包含所述网关设备的首席号码和网关设备加密证书序列号，所述终端设备的首席号码入网认证请求信息包含所述终端设备的首席号码和终端设备加密证书序列号；对所述网关设备或所述终端设备的首席号码入网认证请求信息进行验证处理，并在验证通过的情况下返回首席号码入网认证响应信息至所述网关设备或所述终端设备，所述首席号码入网认证响应信息包含所述网关设备或所述终端设备的首席号码、第一网络密钥、广播密钥、第一网管签名、网管签名证书以及，所述网关设备加密证书序列号或所述终端设备加密证书序列号，所述第一网络密钥为所述网管服务器为自身申请的网络密钥；接收所述网关设备或所述终端设备根据所述首席号码入网认证响应信息返回的首席号码入网认证完成信息，所述网关设备的首席号码入网认证完成信息包含网关设备签名和所述网关设备签名证书，所述终端设备的首席号码入网认证完成信息包含终端设备签名和所述终端设备签名证书；对所述网关设备或所述终端设备的首席号码入网认证完成信息进行验证处理。

可选地，所述对所述网关设备或所述终端设备的首席号码入网认证请求信息进行验证处理的步骤，包括：将所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号，与所述网管服务器本地存储的网关设备加密证书序列号进行比对，或者，将所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号，与所述网管服务器本地存储的终端设备加密证书序列号进行比对得到第一比对结果；当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同时，确定对所述网关设备的首席号码入网认证请求信息验证通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号相同时，确定对所述终端设备的首席号码入网认证请求信息验证通过；当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，确定对所述网关设备的首席号码入网认证请求信息验证未通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号不相同时，确定对所述终端设备的首席号码入网认证请求信息验证未通过。

可选地，所述第一网管签名的生成步骤，包括：利用所述网管签名证书中的私钥对所述网关设备或所述终端设备的首席号码、所述第一网络密钥和所述广播密钥进行签名得到所述第一网管签名。

可选地，所述对所述网关设备或所述终端设备的首席号码入网认证完成信息进行验证处理的步骤，包括：利用所述网关设备签名证书中的公钥对所述网关设备签名进行验签操作，或者，利用所述终端设备签名证书中的公钥对所述终端设备签名进行验签操作；当对所述网关设备签名验签通过时，确定对所述网关设备的首席号码验证通过，或者，当对所述终端设备签名验签通过时，确定对所述终端设备的首席号码验证通过；当对所述网关设备签名验签未通过时，确定对所述网关设备的首席号码验证未通过，或者，当对所述终端设备签名验签未通过时，确定对所述终端设备的首席号码验证未通过。

可选地，所述接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理的步骤，包括：接收来自所述网关设备的子号码入网认证请求信息，所述子号码入网认证请求信息包含所述网关设备的首席号码、所述子号码、所述网管签名证书序列号和所述网关设备加密证书序列号；对所述子号码入网认证请求信息进行验证处理，并在验证通过的情况下返回子号码入网认证响应信息至所述网关设备，所述子号码入网认证响应信息包含认证加密数据和第二网管签名；接收所述网关设备根据所述子号码入网认证响应信息返回的子号码入网认证完成信息，所述子号码入网认证完成信息包含入网认证完成数据；对所述子号码入网认证完成信息进行验证处理。

可选地，所述对所述子号码入网认证请求信息进行验证处理的步骤，包括：分别将所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号和所述网管签名证书序列号，与所述网管服务器本地存储的相对应的网关设备加密证书序列号和网管签名证书序列号进行比对得到第二比对结果；当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同，且所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号相同时，确定对所述子号码入网认证请求信息验证通过；当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，和/或所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号不相同时，确定对所述子号码入网认证请求信息验证未通过。

可选地，所述认证加密数据的生成步骤，包括：利用所述第一网络密钥中的私钥对第二网络密钥进行加密得到所述认证加密数据，所述第二网络密钥为所述网管服务器为所述网关设备申请的网络密钥；所述第二网管签名的生成步骤，包括：利用所述网管签名证书中的私钥对所述认证加密数据进行签名得到所述第二网管签名。

可选地，所述对所述子号码入网认证完成信息进行验证处理的步骤，包括：利用所述第二网络密钥对所述入网认证完成数据进行解密得到第二网管随机数和第三网关随机数；分别将所述第二网管随机数和所述第三网关随机数与所述网管服务器本地存储的对应的第一网管随机数和第二网关随机数进行比对得到第三比对结果；当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数相同，且所述第三网关随机数与所述网管服务器本地存储的第二网关随机数相同时，确定对所述子号码验证通过；当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数不相同，和/或所述第三网关随机数与所述网管服务器本地存储的第二网关随机数不相同时，确定对所述子号码验证未通过。

本发明实施例还公开了一种入网认证装置，应用于视联网中的网管服务器，所述网管服务器与所述视联网中的视联网设备通信连接，所述视联网设备配置有设备号码，所述设备号码用于传输视联网信令和/或执行视联网业务，所述装置包括：验证模块，用于接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理，所述入网认证请求基于网管签名证书、设备签名证书、设备加密证书和所述设备号码所得；入网模块，用于在所述验证模块对所述设备号码验证通过的情况下，允许所述视联网设备入网。

可选地，所述视联网设备包含网关设备和终端设备；当所述视联网设备为所述网关设备时，所述设备号码包含首席号码和子号码；当所述视联网设备为所述终端设备时，所述设备号码包含首席号码。

可选地，所述验证模块，用于接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理；其中，所述网关设备的首席号码入网认证请求信息基于所述网管签名证书、网关设备签名证书、网关设备加密证书和所述网关设备的首席号码所得；所述终端设备的首席号码入网认证请求信息基于所述网管签名证书、终端设备签名证书、终端设备加密证书和所述终端设备的首席号码所得。

可选地，所述验证模块，还用于在对所述网关设备的首席号码验证通过的情况下，接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理，所述子号码入网认证请求信息基于所述网管签名证书、所述网关设备签名证书、所述网关设备加密证书、所述网关设备的首席号码和所述子号码所得。

可选地，所述入网模块，用于在对所述网关设备的首席号码和子号码均验证通过的情况下，允许所述网关设备入网；在对所述终端设备的首席号码验证通过的情况下，允许所述终端设备入网。

可选地，所述验证模块，包括：请求信息接收模块，用于接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，所述网关设备的首席号码入网认证请求信息包含所述网关设备的首席号码和网关设备加密证书序列号，所述终端设备的首席号码入网认证请求信息包含所述终端设备的首席号码和终端设备加密证书序列号；请求信息验证模块，用于对所述网关设备或所述终端设备的首席号码入网认证请求信息进行验证处理，并在验证通过的情况下返回首席号码入网认证响应信息至所述网关设备或所述终端设备，所述首席号码入网认证响应信息包含所述网关设备或所述终端设备的首席号码、第一网络密钥、广播密钥、第一网管签名、网管签名证书以及，所述网关设备加密证书序列号或所述终端设备加密证书序列号，所述第一网络密钥为所述网管服务器为自身申请的网络密钥；完成信息接收模块，用于接收所述网关设备或所述终端设备根据所述首席号码入网认证响应信息返回的首席号码入网认证完成信息，所述网关设备的首席号码入网认证完成信息包含网关设备签名和所述网关设备签名证书，所述终端设备的首席号码入网认证完成信息包含终端设备签名和所述终端设备签名证书；完成信息验证模块，用于对所述网关设备或所述终端设备的首席号码入网认证完成信息进行验证处理。

可选地，所述请求信息验证模块，包括：序列号比对模块，用于将所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号，与所述网管服务器本地存储的网关设备加密证书序列号进行比对，或者，将所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号，与所述网管服务器本地存储的终端设备加密证书序列号进行比对得到第一比对结果；验证结果确定模块，用于当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同时，确定对所述网关设备的首席号码入网认证请求信息验证通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号相同时，确定对所述终端设备的首席号码入网认证请求信息验证通过；当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，确定对所述网关设备的首席号码入网认证请求信息验证未通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号不相同时，确定对所述终端设备的首席号码入网认证请求信息验证未通过。

可选地，所述请求信息验证模块，还用于利用所述网管签名证书中的私钥对所述网关设备或所述终端设备的首席号码、所述第一网络密钥和所述广播密钥进行签名得到所述第一网管签名。

可选地，所述完成信息验证模块，包括：签名验签模块，用于利用所述网关设备签名证书中的公钥对所述网关设备签名进行验签操作，或者，利用所述终端设备签名证书中的公钥对所述终端设备签名进行验签操作；首席号码验证结果确定模块，用于当对所述网关设备签名验签通过时，确定对所述网关设备的首席号码验证通过，或者，当对所述终端设备签名验签通过时，确定对所述终端设备的首席号码验证通过；当对所述网关设备签名验签未通过时，确定对所述网关设备的首席号码验证未通过，或者，当对所述终端设备签名验签未通过时，确定对所述终端设备的首席号码验证未通过。

可选地，所述请求信息接收模块，还用于接收来自所述网关设备的子号码入网认证请求信息，所述子号码入网认证请求信息包含所述网关设备的首席号码、所述子号码、所述网管签名证书序列号和所述网关设备加密证书序列号；所述请求信息验证模块，还用于对所述子号码入网认证请求信息进行验证处理，并在验证通过的情况下返回子号码入网认证响应信息至所述网关设备，所述子号码入网认证响应信息包含认证加密数据和第二网管签名；所述完成信息接收模块，还用于接收所述网关设备根据所述子号码入网认证响应信息返回的子号码入网认证完成信息，所述子号码入网认证完成信息包含入网认证完成数据；所述完成信息验证模块，还用于对所述子号码入网认证完成信息进行验证处理。

可选地，所述序列号比对模块，还用于分别将所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号和所述网管签名证书序列号，与所述网管服务器本地存储的相对应的网关设备加密证书序列号和网管签名证书序列号进行比对得到第二比对结果；所述验证结果确定模块，还用于当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同，且所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号相同时，确定对所述子号码入网认证请求信息验证通过；当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，和/或所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号不相同时，确定对所述子号码入网认证请求信息验证未通过。

可选地，所述请求信息验证模块，还用于利用所述第一网络密钥中的私钥对第二网络密钥进行加密得到所述认证加密数据，所述第二网络密钥为所述网管服务器为所述网关设备申请的网络密钥；所述请求信息验证模块，还用于利用所述网管签名证书中的私钥对所述认证加密数据进行签名得到所述第二网管签名。

可选地，所述完成信息验证模块，包括：解密模块，用于利用所述第二网络密钥对所述入网认证完成数据进行解密得到第二网管随机数和第三网关随机数；随机数比对模块，用于分别将所述第二网管随机数和所述第三网关随机数与所述网管服务器本地存储的对应的第一网管随机数和第二网关随机数进行比对得到第三比对结果；子号码验证结果确定模块，用于当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数相同，且所述第三网关随机数与所述网管服务器本地存储的第二网关随机数相同时，确定对所述子号码验证通过；当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数不相同，和/或所述第三网关随机数与所述网管服务器本地存储的第二网关随机数不相同时，确定对所述子号码验证未通过。

本发明实施例还公开了一种装置，包括：一个或多个处理器；和其上存储有指令的一个或多个机器可读介质，当由所述一个或多个处理器执行时，使得所述装置执行如上所述的入网认证方法。

本发明实施例还公开了一种计算机可读存储介质，其存储的计算机程序使得处理器执行如上所述的入网认证方法。

本发明实施例包括以下优点：

本发明实施例提供了一种应用于视联网中的网管服务器的入网认证方法，该入网认证方法可以用于视联网中的视联网设备向网管服务器发起入网认证请求。视联网设备可以配置有设备号码，设备号码可以用于传输视联网信令和/或执行视联网业务。

网管服务器接收来自视联网设备的入网认证请求，根据入网认证请求对设备号码进行验证处理，在对设备号码验证通过的情况下，允许视联网设备入网。其中，入网认证请求可以基于网管签名证书、设备签名证书、设备加密证书和设备号码所得。本发明实施例在对视联网设备进行入网认证时，不涉及到用户名和密码的验证，避免了用户名和密码被遗忘、被窃取而造成的入网认证的安全性较低的问题，提升了视联网业务的安全性、稳定性，降低了视联网设备入网认证的风险，从而减少了视联网业务的故障率。

附图说明

图1是本发明实施例的一种视联网网络结构的拓扑图；

图2是本发明的一种入网认证方法实施例的步骤流程图；

图3是本发明实施例中根据首席号码入网认证请求信息对首席号码进行验证处理的步骤流程图；

图4是本发明实施例中根据子号码入网认证请求信息对子号码进行验证处理的步骤流程图；

图5是本发明的一种视联网设备入网认证方法的设计原理图；

图6是本发明的一种首席号码入网认证方法的流程示意图；

图7是本发明的一种子号码入网认证方法的流程示意图；

图8是本发明的一种入网认证装置实施例的结构框图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

本发明实施例提供的入网认证方案可以应用于视联网中，参照图1，示出了视联网网络结构的拓扑图。视联网的网络结构由多个称为自治云的子结构互相连接而成。自治云在互相连接时呈现出明显的层级结构。从最顶层的自治云开始，每个自治云可以和多个下一层的自治云互相连接，下层的自治云再和更下一层的自治云连接。所有的自治云层层连接后就形成了完整的视联网。自治云之间的层级结构就是标准的树状结构。每一个自治云就是树中的一个节点，整个视联网就是一棵自治云节点组成的树。

本发明实施例提供的入网认证方案具体可以应用于视联网中的网管服务器，网管服务器为视联网上的核心设备，控制视联网业务开通、设备注册等操作，是视联网的“大脑”，同时提供用户界面(User Interface，UI)接口供客户端调用。网管服务器可以通过本发明实施例提供的入网认证方案，对视联网中的视联网设备的设备号码进行入网认证。视联网设备可以包括网关设备和终端设备。其中，网关设备为接入设备，可以将传统互联网业务、监控摄像头等接入视联网中。网关设备位于在视联网和互联网边界，需要配置多个视联网号码，包括但不限于首席号码和子号码。而且，每个视联网号码都需要经过网管服务器的入网认证之后才可以执行各自的功能。终端设备为视联网上业务落地设备，视联网业务的实际参与者或服务者，包括各种会议机顶盒、可视电话机顶盒、手术试教机顶盒，流媒体网关、存储网关、媒体合成器等等。

参照图2，示出了本发明的一种入网认证方法实施例的步骤流程图，该方法可以应用于视联网中的网管服务器，网管服务器可以与视联网中的视联网设备通信连接。视联网设备配置有设备号码，设备号码用于传输视联网信令或执行视联网业务。该方法具体可以包括如下步骤：

步骤201，接收来自视联网设备的入网认证请求，根据入网认证请求对设备号码进行验证处理。

在本发明的实施例中，视联网设备可以包含网关设备和终端设备，当视联网设备为网关设备时，设备号码可以包含首席号码和子号码。此时，首席号码可以用于传输视联网信令，子号码可以用于执行视联网业务。当视联网设备为终端设备时，设备号码可以为首席号码。此时，首席号码可以用于传输视联网信令以及执行视联网业务。

当视联网设备为网关设备时，网关设备需要先后向网管服务器发起两次入网认证请求。网关设备先向网管服务器发出首席号码入网认证请求信息，该首席号码入网认证请求信息用于对首席号码进行入网认证，该首席号码入网认证请求信息可以基于网管签名证书、网关设备签名证书、网关设备加密证书和网关设备的首席号码等所得。

网管服务器接收到首席号码入网认证请求信息之后，可以对首席号码入网认证请求信息中携带的全部参数或者部分参数进行验证处理。若对首席号码入网认证请求信息中携带的全部参数或者部分参数验证通过，则表示对首席号码的入网认证验证通过；若对首席号码入网认证请求信息中携带的全部参数或者部分参数验证未通过，则表示对首席号码的入网认证验证未通过。

在网管服务器对网关设备的首席号码的入网认证验证通过的情况下，网关设备的首席号码注册并登录到网管服务器，至此，网关设备中的首席号码可以用于传输视联网信令。

网关设备再向网管服务器发出子号码入网认证请求信息，该子号码入网认证请求信息用于对子号码进行入网认证，该子号码入网认证请求信息可以基于网管签名证书、网关设备签名证书、网关设备加密证书、网关设备的首席号码和子号码等所得。

网管服务器接收到子号码入网认证请求信息之后，可以对子号码入网认证请求信息中携带的全部参数或者部分参数进行验证处理。若对子号码入网认证请求信息中携带的全部参数或者部分参数验证通过，则表示对子号码的入网认证验证通过；若对子号码入网认证请求信息中携带的全部参数或者部分参数验证未通过，则表示对子号码的入网认证验证未通过。

当视联网设备为终端设备时，终端设备可以向网管服务器发起一次入网认证请求。即终端设备向网管服务器发出首席号码入网认证请求信息，该首席号码入网认证请求信息用于对首席号码进行入网认证，该首席号码入网认证请求信息可以基于网管签名证书、终端设备签名证书、终端设备加密证书和终端设备的首席号码等所得。

与对网关设备的首席号码入网认证请求信息进行验证的过程相似，网管服务器接收到终端设备的首席号码入网认证请求信息之后，可以对首席号码入网认证请求信息中携带的全部参数或者部分参数进行验证处理。若对首席号码入网认证请求信息中携带的全部参数或者部分参数验证通过，则表示对首席号码的入网认证验证通过；若对首席号码入网认证请求信息中携带的全部参数或者部分参数验证未通过，则表示对首席号码的入网认证验证未通过。

步骤202，在对设备号码验证通过的情况下，允许视联网设备入网。

当视联网设备为网关设备时，在对网关设备的首席号码和子号码均验证通过的情况下，允许网关设备入网。

当视联网设备为终端设备时，在对终端设备的首席号码验证通过的情况下，允许终端设备入网。

在本发明的一种优选实施例中，参照图3，示出了本发明实施例中根据首席号码入网认证请求信息对首席号码进行验证处理的步骤流程图，具体可以包括如下步骤：

步骤301，接收来自网关设备或终端设备的首席号码入网认证请求信息，并对首席号码入网认证请求信息进行验证处理。

网关设备可以按照预设的交互协议生成首席号码入网认证请求信息。交互协议可以为“Key-Length-Value”协议，其中，“Key”表示参数类型，“Length”表示参数长度，“Value”表示参数值。如表1所示，首席号码入网认证请求信息的信令类型为查询类型，信令码为0x8317，各参数可以包含安全交互流程版本(0x004C)、网关安全配置信息(0x004D)、首席号码(0x004E)、第一网关随机数(0x004F)、网管签名证书序列号(0x0076)和网关设备加密证书序列号(0x0074)。

表1

终端设备的首席号码入网认证请求信息与网关设备的首席号码入网认证请求信息相似，具体可以包含安全交互流程版本、终端安全配置信息、首席号码、第一终端随机数、网管签名证书序列号和终端设备加密证书序列号。

在实际应用中，网管服务器对首席号码入网认证请求信息进行验证处理时，可以将网关设备的首席号码入网认证请求信息中携带的网关设备加密证书序列号，与网管服务器本地存储的网关设备加密证书序列号进行比对，或者，将终端设备的首席号码入网认证请求信息中携带的终端设备加密证书序列号，与网管服务器本地存储的终端设备加密证书序列号进行比对得到第一比对结果。当第一比对结果表示网关设备的首席号码入网认证请求信息中携带的网关设备加密证书序列号与网管服务器本地存储的网关设备加密证书序列号相同时，确定对网关设备的首席号码入网认证请求信息验证通过。或者，当第一比对结果表示终端设备的首席号码入网认证请求信息中携带的终端设备加密证书序列号与网管服务器本地存储的终端设备加密证书序列号相同时，确定对终端设备的首席号码入网认证请求信息验证通过；当第一比对结果表示网关设备的首席号码入网认证请求信息中携带的网关设备加密证书序列号与网管服务器本地存储的网关设备加密证书序列号不相同时，确定对网关设备的首席号码入网认证请求信息验证未通过。或者，当第一比对结果表示终端设备的首席号码入网认证请求信息中携带的终端设备加密证书序列号与网管服务器本地存储的终端设备加密证书序列号不相同时，确定对终端设备的首席号码入网认证请求信息验证未通过。

当对首席号码入网认证请求信息验证通过时，执行步骤302；当对首席号码入网认证请求信息验证未通过时，拒绝首席号码入网。

步骤302，返回首席号码入网认证响应信息至网关设备或终端设备。

网管服务器可以按照上述交互协议生成首席号码入网认证响应信息，如表2所示，返回至网关设备的首席号码入网认证响应信息的信令类型为响应类型，信令码为0x8418，各参数可以包含安全交互流程版本(0x004C)、网管安全配置信息(0x0050)、网管随机数(0x0051)、第一网关随机数(0x004F)、首席号码(0x004E)、网管ID(0x005E)、第一网络密钥(0x0078)、广播密钥(0x0079)、第一网管签名(0x0053)、网管签名证书(0x0054)和网关设备加密证书序列号(0x0074)。

表2

返回至终端设备的首席号码入网认证响应信息与返回至网关设备的首席号码入网认证响应信息相似，具体可以包含安全交互流程版本、网管安全配置信息、网管随机数(0x0051)、第一终端随机数、首席号码、网管ID、第一网络密钥、广播密钥、第一网管签名、网管签名证书和终端设备加密证书序列号。

其中，网管服务器可以利用网管签名证书中的私钥对安全交互流程版本、网管安全配置信息、网管随机数、第一网关随机数、网关设备的首席号码、网管ID、第一网络密钥和广播密钥进行签名得到返回至网关设备的首席号码入网认证响应信息中的第一网管签名。近似地，网管服务器可以利用网管签名证书中的私钥对安全交互流程版本、网管安全配置信息、网管随机数、第一终端随机数、终端设备的首席号码、网管ID、第一网络密钥和广播密钥进行签名得到返回至终端设备的首席号码入网认证响应信息中的第一网管签名。

网关设备或终端设备可以对首席号码入网认证响应信息进行验证处理，具体地，网关设备可以利用网关设备加密证书中的私钥对第一网络密钥和广播密钥进行解密，并利用网管签名证书中的公钥对第一网管签名进行验签操作。若验签通过，则网关设备向网管服务器返回首席号码入网认证完成信息；若验签未通过，则首席号码入网认证失败。终端设备可以利用终端设备加密证书中的私钥对第一网络密钥和广播密钥进行解密，并利用网管签名证书中的公钥对第一网管签名进行验签操作。若验签通过，则终端设备向网管服务器返回首席号码入网认证完成信息；若验签未通过，则首席号码入网认证失败。

步骤303，接收网关设备或终端设备根据首席号码入网认证响应信息返回的首席号码入网认证完成信息，并对首席号码入网认证完成信息进行验证处理。

网关设备或终端设备可以按照上述交互协议生成首席号码入网认证完成信息，如表3所示，网关设备的首席号码入网认证完成信息的信令类型为查询类型，信令码为0x8317，各参数可以包含安全交互流程版本(0x004C)、网关安全配置信息(0x004D)、网管随机数(0x0051)、第一网关随机数(0x004F)、网管ID(0x005E)、网关设备签名(0x0053)和网关设备签名证书(0x0054)。

表3

终端设备的首席号码入网认证完成信息与网关设备的首席号码入网认证完成信息相似，具体可以包含安全交互流程版本、终端安全配置信息、网管随机数、第一终端随机数、网管ID、终端设备签名和终端设备签名证书。

在实际应用中，网管服务器在对网关设备的首席号码入网认证完成信息进行验证处理时，可以利用网关设备签名证书中的公钥对网关设备签名进行验签操作，当网关设备签名验签通过时，表示对网关设备的首席号码入网认证完成信息验证通过；当网关设备签名验签未通过时，表示对网关设备的首席号码入网认证完成信息验证未通过。网管服务器在对终端设备的首席号码入网认证完成信息进行验证处理时，可以利用终端设备签名证书中的公钥对终端设备签名进行验签操作，当终端设备签名验签通过时，表示对终端设备的首席号码入网认证完成信息验证通过；当终端设备签名验签未通过时，表示对终端设备的首席号码入网认证完成信息验证未通过。

当对首席号码入网认证完成信息验证通过时，允许首席号码入网；当对首席号码入网认证完成信息验证未通过时，拒绝首席号码入网。

在本发明的一种优选实施例中，在网管服务器接收到首席号码入网认证请求信息之后，若网管服务器本地未存储网关设备加密证书，则无法对首席号码入网认证请求信息进行验证处理。因此，网管服务器需要向网关设备申请网关设备加密证书。具体地，网管服务器可以生成网关设备加密证书请求信息，并发送网关设备加密证书请求信息至网关设备。如表4所示，网关设备加密证书请求信息的信令类型为响应类型，信令码为0x0317，各参数可以包含安全交互流程版本(0x004C)和网管安全配置信息(0x0050)。

表4

在网关设备接收到上述网关设备加密证书请求信息之后，向网管服务器返回入网认证握手信息。如表5所示，入网认证握手信息的信令类型为查询类型，信令码为0x8317，各参数可以包含安全交互流程版本(0x004C)、网关安全配置信息(0x004D)、网关设备的首席号码(0x004E)、第一网关随机数(0x004F)、网管签名证书序列号(0x0076)和网关设备加密证书(0x0075)。

表5

近似地，网管服务器也可以向终端设备申请终端设备加密证书。

在本发明的一种优选实施例中，参照图4，示出了本发明实施例中根据子号码入网认证请求信息对子号码进行验证处理的步骤流程图，具体可以包括如下步骤：

步骤401，接收来自网关设备的子号码入网认证请求信息，并对子号码入网认证请求信息进行验证处理。

网关设备可以按照上述交互协议生成子号码入网认证请求信息。如表6所示，子号码入网认证请求信息的信令类型为查询类型，信令码为0x8317，各参数可以包含安全交互流程版本(0x004C)、网关安全配置信息(0x004D)、网关设备的首席号码(0x0060)、子号码(0x004E)、第二网关随机数(0x004F)、网管签名证书序列号(0x0076)和网关设备加密证书序列号(0x0074)。

表6

在实际应用中，网管服务器对子号码入网认证请求信息进行验证处理时，可以分别将子号码入网认证请求信息中携带的网关设备加密证书序列号和网管签名证书序列号，与网管服务器本地存储的相对应的网关设备加密证书序列号和网管签名证书序列号进行比对得到第二比对结果；当第二比对结果表示子号码入网认证请求信息中携带的网关设备加密证书序列号与网管服务器本地存储的网关设备加密证书序列号相同，且子号码入网认证请求信息中携带的网管签名证书序列号与网管服务器本地存储的网管签名证书序列号相同时，确定对子号码入网认证请求信息验证通过；当第二比对结果表示子号码入网认证请求信息中携带的网关设备加密证书序列号与网管服务器本地存储的网关设备加密证书序列号不相同时，和/或子号码入网认证请求信息中携带的网管签名证书序列号与网管服务器本地存储的网管签名证书序列号不相同时，确定对子号码入网认证请求信息验证未通过。

当对子号码入网认证请求信息验证通过时，执行步骤402；当对子号码入网认证请求信息验证未通过时，拒绝子号码入网。

步骤402，返回子号码入网认证响应信息至网关设备。

网管服务器可以按照上述交互协议生成子号码入网认证响应信息，如表7所示，子号码入网认证响应信息的信令类型为响应类型，信令码为0x8418，各参数可以包含安全交互流程版本(0x004C)、网管安全配置信息(0x0050)、网管ID(0x005E)、认证加密数据(0x007A)和第二网管签名。

表7

其中，网管服务器可以利用第一网络密钥中的私钥对第二网关随机数、网管随机数和第二网络密钥进行加密得到认证加密数据。网管服务器可以利用网管签名证书中的私钥对安全交互流程版本、网管安全配置信息、网管ID和认证加密数据进行签名得到第二网管签名。

网关设备可以对子号码入网认证响应信息进行验证处理，具体地，网关设备可以利用网管签名验证书中的公钥对第二网管签名进行验签操作。若验签通过，则网关设备向网管服务器返回子号码入网认证完成信息；若验签未通过，则子号码入网认证失败。

步骤403，接收网关设备根据子号码入网认证响应信息返回的子号码入网认证完成信息，并对子号码入网认证完成信息进行验证处理。

网关设备可以按照上述交互协议生成子号码入网认证完成信息，如表8所示，子号码入网认证完成信息的信令类型为查询类型，信令码为0x8317，各参数可以包含安全交互流程版本(0x004C)、网关安全配置信息(0x004D)和入网认证完成数据(0x0062)。

表8

其中，网关设备可以利用第一网络密钥中的公钥对认证加密数据进行解密得到第二网络密钥，再利用第二网络密钥对网管随机数和第二网关随机数进行加密得到入网认证完成数据。

在实际应用中，网管服务器在对子号码入网认证完成信息进行验证处理时，可以利用第二网络密钥对入网认证完成数据进行解密得到第二网管随机数和第三网关随机数；分别将第二网管随机数和第三网关随机数与网管服务器本地存储的对应的第一网管随机数和第二网关随机数进行比对得到第三比对结果；当第三比对结果表示第二网管随机数与网管服务器本地存储的第一网管随机数相同，且第三网关随机数与网管服务器本地存储的第二网关随机数相同时，确定对子号码验证通过；当第三比对结果表示第二网管随机数与网管服务器本地存储的第一网管随机数不相同，和/或第三网关随机数与网管服务器本地存储的第二网关随机数不相同时，确定对子号码验证未通过。

基于上述关于一种入网认证方法的相关说明，下面介绍一种视联网设备入网认证方法的设计原理图。如图5所示，该视联网设备可以包括认证安全交互模块、软件中间件和密码模块软件开发工具包(Software Development Kit，SDK)，其中，认证安全交互模块与网管服务器的认证安全交互模块通过管理透传通道通信。网管服务器还包括密钥管理服务软件中间件、密码模块软件中间件、证书服务器SDK和密码模块SDK。证书服务器SDK通过IP网络传输信道与证书服务器通信。视联网设备的密码模块SDK用于调用密码模块的密码模块软件/固件。网管服务器的密码模块SDK用于调用密码模块的密码模块软件/固件。

参照图6，示出了本发明的一种首席号码入网认证方法的流程示意图。网管服务器在接入到视联网之后，向密管服务器申请第一网络密钥和广播密钥。网管服务器可以预先在本地存储网关设备的加密证书和签名证书，网关设备可以预先在本地存储网管服务器的加密证书和签名证书。网关设备向网管服务器发送首席号码入网认证请求信息，该首席号码入网认证请求信息可以包含网关安全配置信息、首席号码和第一网关随机数。该首席号码入网认证请求信息还可以包含网关设备的加密证书和签名证书。网管服务器对首席号码入网认证请求信息进行验证，并向网关设备返回首席号码入网认证响应信息。该首席号码入网认证响应信息可以包含网管安全配置信息、网管随机数、第一网关随机数、首席号码、网管ID、第一网络密钥、广播密钥、第一网管签名和网关设备加密证书序列号。该首席号码入网认证响应信息还可以包含网管服务器的加密证书和签名证书。网关设备对首席号码入网认证响应信息进行验证，若验证未通过，则重新向网管服务器发送首席号码入网认证请求信息。若验证通过，则向网管服务器发送首席号码入网认证完成信息。该首席号码入网认证完成信息可以包含网关安全配置信息、第一网关随机数、网管随机数、网管ID和网关设备签名。网管服务器对首席号码入网认证完成信息进行验证，若验证未通过，则禁止首席号码入网；若验证通过，则允许首席号码入网。

参照图7，示出了本发明的一种子号码入网认证方法的流程示意图。网管服务器在接入到视联网之后，向密管服务器申请第二网络密钥和广播密钥。网管服务器可以预先在本地存储网关设备的加密证书和签名证书，网关设备可以预先在本地存储网管服务器的加密证书和签名证书。网关设备向网管服务器发送子号码入网认证请求信息，该子号码入网认证请求信息可以包含网关安全配置信息、子号码和第二网关随机数。网管服务器对子号码入网认证请求信息进行验证，并向网关设备返回子号码入网认证响应信息。该子号码入网认证响应信息可以包含网管安全配置信息、网管随机数、第二网关随机数、首席号码、子号码、网管ID、认证加密数据和第二网管签名。该子号码入网认证响应信息还可以包含网管服务器的加密证书和签名证书。网关设备对子号码入网认证响应信息进行验证，若验证未通过，则重新向网管服务器发送子号码入网认证请求信息。若验证通过，则向网管服务器发送子号码入网认证完成信息。该子号码入网认证完成信息可以包含第二网关随机数、网管随机数、网管ID、入网认证完成数据。该子号码入网认证完成信息还可以包含网关设备的加密证书和签名证书。网管服务器对子号码入网认证完成信息进行验证，若验证未通过，则禁止子号码入网；若验证通过，则允许子号码入网。

在本发明的一种优选实施例中，视联网设备与网管服务器之间可以相互传递证书。即视联网设备可以将视联网设备的加密证书传递至网管服务器，网管服务器也可以将网管服务器的签名证书至视联网设备。具体地，步骤a，视联网设备可以向网管服务器发送网管服务器的签名证书序列号，或者，将网管签名证书序列号留空发送至网管服务器。步骤b，情况①：网管服务器本地若未保存视联网设备的加密证书，则执行步骤c，网管服务器通知视联网设备发送视联网设备的加密证书至网管服务器。步骤b，情况②：网管服务器本地若保存有视联网设备的加密证书，则在视联网设备发送的签名证书序列号与本地的签名证书序列号匹配时，执行步骤d，网管服务器向视联网设备发送携带有随机数、密钥密文和视联网设备的签名证书序列号等参数的信令。步骤b，情况③：网管服务器本地若保存有视联网设备的加密证书，则在视联网设备发送的签名证书序列号与本地的签名证书序列号不匹配时，执行步骤d，向视联网设备发送携带有随机数、密钥密文、视联网设备的签名证书序列号和网管服务器的签名证书等参数的信令。步骤e，视联网设备接收到网管服务器发送的信令之后，利用网管服务器的签名证书对信令进行验签操作。若网管服务器发送的信令中携带的视联网设备的签名证书序列号与视联网设备本地的签名证书序列号不匹配，则视联网设备向网管服务器发送视联网设备的签名证书。步骤f，网管服务器对来自视联网设备的入网认证请求进行验证处理，若验证未通过，则禁止视联网设备入网。

上述视联网设备与网管服务器之间可以相互传递证书的过程可以理解为一种容错交互的过程。若视联网设备本地的加密证书序列号与网管服务器发送的加密证书序列号不一致，则视联网设备向网管服务器发送加密证书；若网管服务器本地的签名证书序列号与视联网设备发送的签名证书序列号不一致，则网管服务器向视联网设备发送签名证书。若视联网设备本地的加密证书序列号与网管服务器发送的加密证书序列号一致，且网管服务器本地的签名证书序列号与视联网设备发送的签名证书序列号一致，不执行上述容错交互过程。

本发明实施例提供了一种应用于视联网中的网管服务器的入网认证方法，该入网认证方法可以用于视联网中的视联网设备向网管服务器发起入网认证请求。视联网设备可以配置有设备号码，设备号码可以用于传输视联网信令和/或执行视联网业务。

网管服务器接收来自视联网设备的入网认证请求，根据入网认证请求对设备号码进行验证处理，在对设备号码验证通过的情况下，允许视联网设备入网。其中，入网认证请求可以基于网管签名证书、设备签名证书、设备加密证书和设备号码所得。本发明实施例在对视联网设备进行入网认证时，不涉及到用户名和密码的验证，避免了用户名和密码被遗忘、被窃取而造成的入网认证的安全性较低的问题，提升了视联网业务的安全性、稳定性，降低了视联网设备入网认证的风险，从而减少了视联网业务的故障率。

本发明实施例实现了视联网设备和网管服务器的双向验证，提高了入网认证的安全性。

本发明实施例中的网管服务器和视联网设备可以预先在各自的本地存储对方的证书，避免了证书的在线传输，减少了网络开销，提高了入网认证的效率。

本发明实施例中的入网认证请求信息、入网认证响应信息和入网认证完成信息均可以按照“Key-Length-Value”协议生成。网管服务器和视联网设备中如果有一方不认识“Key”，则可以直接忽略整个信息，无需进一步处理，增加了认证信息的处理灵活性。

本发明实施例还为视联网设备和网管服务器提供了一种容错交互的执行过程，若视联网设备和/或网管服务器本地未保存有正确的对端证书，则可以通知对端(网管服务器和/或视联网设备)发送正确的证书，避免了视联网设备和/或网管服务器本地未保存有正确的对端证书而造成的直接禁止网关设备入网。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

参照图8，示出了本发明的一种入网认证装置实施例的结构框图，该装置可以应用于视联网中的网管服务器，所述网管服务器与所述视联网中的视联网设备通信连接，所述视联网设备配置有首席号码，所述首席号码用于传输视联网信令和/或执行视联网业务，所述装置具体可以包括如下模块：

验证模块81，用于接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理，所述入网认证请求基于网管签名证书、设备签名证书、设备加密证书和所述设备号码所得；

入网模块82，用于在所述验证模块对所述设备号码验证通过的情况下，允许所述视联网设备入网。

在本发明的一种优选实施例中，所述视联网设备包含网关设备和终端设备；

当所述视联网设备为所述网关设备时，所述设备号码包含首席号码和子号码；

当所述视联网设备为所述终端设备时，所述设备号码包含首席号码。

在本发明的一种优选实施例中，所述验证模块81，用于接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理；

其中，所述网关设备的首席号码入网认证请求信息基于所述网管签名证书、网关设备签名证书、网关设备加密证书和所述网关设备的首席号码所得；所述终端设备的首席号码入网认证请求信息基于所述网管签名证书、终端设备签名证书、终端设备加密证书和所述终端设备的首席号码所得。

在本发明的一种优选实施例中，所述验证模块81，还用于在对所述网关设备的首席号码验证通过的情况下，接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理，所述子号码入网认证请求信息基于所述网管签名证书、所述网关设备签名证书、所述网关设备加密证书、所述网关设备的首席号码和所述子号码所得。

在本发明的一种优选实施例中，所述入网模块82，用于在对所述网关设备的首席号码和子号码均验证通过的情况下，允许所述网关设备入网；在对所述终端设备的首席号码验证通过的情况下，允许所述终端设备入网。

在本发明的一种优选实施例中，所述验证模块81，包括：

请求信息接收模块，用于接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，所述网关设备的首席号码入网认证请求信息包含所述网关设备的首席号码和网关设备加密证书序列号，所述终端设备的首席号码入网认证请求信息包含所述终端设备的首席号码和终端设备加密证书序列号；

请求信息验证模块，用于对所述网关设备或所述终端设备的首席号码入网认证请求信息进行验证处理，并在验证通过的情况下返回首席号码入网认证响应信息至所述网关设备或所述终端设备，所述首席号码入网认证响应信息包含所述网关设备或所述终端设备的首席号码、第一网络密钥、广播密钥、第一网管签名、网管签名证书以及，所述网关设备加密证书序列号或所述终端设备加密证书序列号，所述第一网络密钥为所述网管服务器为自身申请的网络密钥；

完成信息接收模块，用于接收所述网关设备或所述终端设备根据所述首席号码入网认证响应信息返回的首席号码入网认证完成信息，所述网关设备的首席号码入网认证完成信息包含网关设备签名和所述网关设备签名证书，所述终端设备的首席号码入网认证完成信息包含终端设备签名和所述终端设备签名证书；

完成信息验证模块，用于对所述网关设备或所述终端设备的首席号码入网认证完成信息进行验证处理。

在本发明的一种优选实施例中，所述请求信息验证模块，包括：

序列号比对模块，用于将所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号，与所述网管服务器本地存储的网关设备加密证书序列号进行比对，或者，将所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号，与所述网管服务器本地存储的终端设备加密证书序列号进行比对得到第一比对结果；

验证结果确定模块，用于当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同时，确定对所述网关设备的首席号码入网认证请求信息验证通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号相同时，确定对所述终端设备的首席号码入网认证请求信息验证通过；当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，确定对所述网关设备的首席号码入网认证请求信息验证未通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号不相同时，确定对所述终端设备的首席号码入网认证请求信息验证未通过。

在本发明的一种优选实施例中，所述请求信息验证模块，还用于利用所述网管签名证书中的私钥对所述网关设备或所述终端设备的首席号码、所述第一网络密钥和所述广播密钥进行签名得到所述第一网管签名。

在本发明的一种优选实施例中，所述完成信息验证模块，包括：

签名验签模块，用于利用所述网关设备签名证书中的公钥对所述网关设备签名进行验签操作，或者，利用所述终端设备签名证书中的公钥对所述终端设备签名进行验签操作；

首席号码验证结果确定模块，用于当对所述网关设备签名验签通过时，确定对所述网关设备的首席号码验证通过，或者，当对所述终端设备签名验签通过时，确定对所述终端设备的首席号码验证通过；当对所述网关设备签名验签未通过时，确定对所述网关设备的首席号码验证未通过，或者，当对所述终端设备签名验签未通过时，确定对所述终端设备的首席号码验证未通过。

在本发明的一种优选实施例中，所述请求信息接收模块，还用于接收来自所述网关设备的子号码入网认证请求信息，所述子号码入网认证请求信息包含所述网关设备的首席号码、所述子号码、所述网管签名证书序列号和所述网关设备加密证书序列号；

所述请求信息验证模块，还用于对所述子号码入网认证请求信息进行验证处理，并在验证通过的情况下返回子号码入网认证响应信息至所述网关设备，所述子号码入网认证响应信息包含认证加密数据和第二网管签名；

所述完成信息接收模块，还用于接收所述网关设备根据所述子号码入网认证响应信息返回的子号码入网认证完成信息，所述子号码入网认证完成信息包含入网认证完成数据；

所述完成信息验证模块，还用于对所述子号码入网认证完成信息进行验证处理。

在本发明的一种优选实施例中，所述序列号比对模块，还用于分别将所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号和所述网管签名证书序列号，与所述网管服务器本地存储的相对应的网关设备加密证书序列号和网管签名证书序列号进行比对得到第二比对结果；

所述验证结果确定模块，还用于当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同，且所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号相同时，确定对所述子号码入网认证请求信息验证通过；当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，和/或所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号不相同时，确定对所述子号码入网认证请求信息验证未通过。

在本发明的一种优选实施例中，所述请求信息验证模块，还用于利用所述第一网络密钥中的私钥对第二网络密钥进行加密得到所述认证加密数据，所述第二网络密钥为所述网管服务器为所述网关设备申请的网络密钥；

所述请求信息验证模块，还用于利用所述网管签名证书中的私钥对所述认证加密数据进行签名得到所述第二网管签名。

在本发明的一种优选实施例中，所述完成信息验证模块，包括：

解密模块，用于利用所述第二网络密钥对所述入网认证完成数据进行解密得到第二网管随机数和第三网关随机数；

随机数比对模块，用于分别将所述第二网管随机数和所述第三网关随机数与所述网管服务器本地存储的对应的第一网管随机数和第二网关随机数进行比对得到第三比对结果；

子号码验证结果确定模块，用于当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数相同，且所述第三网关随机数与所述网管服务器本地存储的第二网关随机数相同时，确定对所述子号码验证通过；当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数不相同，和/或所述第三网关随机数与所述网管服务器本地存储的第二网关随机数不相同时，确定对所述子号码验证未通过。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种入网认证方法、装置和存储介质，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (20)

1.一种入网认证方法，其特征在于，应用于视联网中的网管服务器，所述网管服务器与所述视联网中的视联网设备通信连接，所述视联网设备配置有设备号码，所述设备号码用于传输视联网信令和/或执行视联网业务，所述方法包括：

接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理，所述入网认证请求基于网管签名证书、设备签名证书、设备加密证书和所述设备号码所得；

在对所述设备号码验证通过的情况下，允许所述视联网设备入网。

2.根据权利要求1所述的方法，其特征在于，所述视联网设备包含网关设备和终端设备；

当所述视联网设备为所述网关设备时，所述设备号码包含首席号码和子号码；

当所述视联网设备为所述终端设备时，所述设备号码包含首席号码。

3.根据权利要求2所述的方法，其特征在于，所述接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理的步骤，包括：

接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理；

其中，所述网关设备的首席号码入网认证请求信息基于所述网管签名证书、网关设备签名证书、网关设备加密证书和所述网关设备的首席号码所得；所述终端设备的首席号码入网认证请求信息基于所述网管签名证书、终端设备签名证书、终端设备加密证书和所述终端设备的首席号码所得。

4.根据权利要求3所述的方法，其特征在于，所述接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理的步骤，还包括：

在对所述网关设备的首席号码验证通过的情况下，接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理，所述子号码入网认证请求信息基于所述网管签名证书、所述网关设备签名证书、所述网关设备加密证书、所述网关设备的首席号码和所述子号码所得。

5.根据权利要求4所述的方法，其特征在于，所述在对所述设备号码验证通过的情况下，允许所述视联网设备入网的步骤，包括：

在对所述网关设备的首席号码和子号码均验证通过的情况下，允许所述网关设备入网；

在对所述终端设备的首席号码验证通过的情况下，允许所述终端设备入网。

6.根据权利要求3所述的方法，其特征在于，所述接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理的步骤，包括：

接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，所述网关设备的首席号码入网认证请求信息包含所述网关设备的首席号码和网关设备加密证书序列号，所述终端设备的首席号码入网认证请求信息包含所述终端设备的首席号码和终端设备加密证书序列号；

对所述网关设备或所述终端设备的首席号码入网认证请求信息进行验证处理，并在验证通过的情况下返回首席号码入网认证响应信息至所述网关设备或所述终端设备，所述首席号码入网认证响应信息包含所述网关设备或所述终端设备的首席号码、第一网络密钥、广播密钥、第一网管签名、网管签名证书以及，所述网关设备加密证书序列号或所述终端设备加密证书序列号，所述第一网络密钥为所述网管服务器为自身申请的网络密钥；

接收所述网关设备或所述终端设备根据所述首席号码入网认证响应信息返回的首席号码入网认证完成信息，所述网关设备的首席号码入网认证完成信息包含网关设备签名和所述网关设备签名证书，所述终端设备的首席号码入网认证完成信息包含终端设备签名和所述终端设备签名证书；

对所述网关设备或所述终端设备的首席号码入网认证完成信息进行验证处理。

7.根据权利要求6所述的方法，其特征在于，所述对所述网关设备或所述终端设备的首席号码入网认证请求信息进行验证处理的步骤，包括：

将所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号，与所述网管服务器本地存储的网关设备加密证书序列号进行比对，或者，将所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号，与所述网管服务器本地存储的终端设备加密证书序列号进行比对得到第一比对结果；

当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同时，确定对所述网关设备的首席号码入网认证请求信息验证通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号相同时，确定对所述终端设备的首席号码入网认证请求信息验证通过；

当所述第一比对结果表示所述网关设备的首席号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，确定对所述网关设备的首席号码入网认证请求信息验证未通过，或者，当所述第一比对结果表示所述终端设备的首席号码入网认证请求信息中携带的所述终端设备加密证书序列号与所述网管服务器本地存储的终端设备加密证书序列号不相同时，确定对所述终端设备的首席号码入网认证请求信息验证未通过。

8.根据权利要求6所述的方法，其特征在于，所述第一网管签名的生成步骤，包括：

利用所述网管签名证书中的私钥对所述网关设备或所述终端设备的首席号码、所述第一网络密钥和所述广播密钥进行签名得到所述第一网管签名。

9.根据权利要求6所述的方法，其特征在于，所述对所述网关设备或所述终端设备的首席号码入网认证完成信息进行验证处理的步骤，包括：

利用所述网关设备签名证书中的公钥对所述网关设备签名进行验签操作，或者，利用所述终端设备签名证书中的公钥对所述终端设备签名进行验签操作；

当对所述网关设备签名验签通过时，确定对所述网关设备的首席号码验证通过，或者，当对所述终端设备签名验签通过时，确定对所述终端设备的首席号码验证通过；

当对所述网关设备签名验签未通过时，确定对所述网关设备的首席号码验证未通过，或者，当对所述终端设备签名验签未通过时，确定对所述终端设备的首席号码验证未通过。

10.根据权利要求6所述的方法，其特征在于，所述接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理的步骤，包括：

接收来自所述网关设备的子号码入网认证请求信息，所述子号码入网认证请求信息包含所述网关设备的首席号码、所述子号码、所述网管签名证书序列号和所述网关设备加密证书序列号；

对所述子号码入网认证请求信息进行验证处理，并在验证通过的情况下返回子号码入网认证响应信息至所述网关设备，所述子号码入网认证响应信息包含认证加密数据和第二网管签名；

接收所述网关设备根据所述子号码入网认证响应信息返回的子号码入网认证完成信息，所述子号码入网认证完成信息包含入网认证完成数据；

对所述子号码入网认证完成信息进行验证处理。

11.根据权利要求10所述的方法，其特征在于，所述对所述子号码入网认证请求信息进行验证处理的步骤，包括：

分别将所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号和所述网管签名证书序列号，与所述网管服务器本地存储的相对应的网关设备加密证书序列号和网管签名证书序列号进行比对得到第二比对结果；

当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号相同，且所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号相同时，确定对所述子号码入网认证请求信息验证通过；

当所述第二比对结果表示所述子号码入网认证请求信息中携带的所述网关设备加密证书序列号与所述网管服务器本地存储的网关设备加密证书序列号不相同时，和/或所述子号码入网认证请求信息中携带的所述网管签名证书序列号与所述网管服务器本地存储的网管签名证书序列号不相同时，确定对所述子号码入网认证请求信息验证未通过。

12.根据权利要求10所述的方法，其特征在于，所述认证加密数据的生成步骤，包括：

利用所述第一网络密钥中的私钥对第二网络密钥进行加密得到所述认证加密数据，所述第二网络密钥为所述网管服务器为所述网关设备申请的网络密钥；

所述第二网管签名的生成步骤，包括：

利用所述网管签名证书中的私钥对所述认证加密数据进行签名得到所述第二网管签名。

13.根据权利要求12所述的方法，其特征在于，所述对所述子号码入网认证完成信息进行验证处理的步骤，包括：

利用所述第二网络密钥对所述入网认证完成数据进行解密得到第二网管随机数和第三网关随机数；

分别将所述第二网管随机数和所述第三网关随机数与所述网管服务器本地存储的对应的第一网管随机数和第二网关随机数进行比对得到第三比对结果；

当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数相同，且所述第三网关随机数与所述网管服务器本地存储的第二网关随机数相同时，确定对所述子号码验证通过；

当所述第三比对结果表示所述第二网管随机数与所述网管服务器本地存储的第一网管随机数不相同，和/或所述第三网关随机数与所述网管服务器本地存储的第二网关随机数不相同时，确定对所述子号码验证未通过。

14.一种入网认证装置，其特征在于，应用于视联网中的网管服务器，所述网管服务器与所述视联网中的视联网设备通信连接，所述视联网设备配置有设备号码，所述设备号码用于传输视联网信令和/或执行视联网业务，所述装置包括：

验证模块，用于接收来自所述视联网设备的入网认证请求，根据所述入网认证请求对所述设备号码进行验证处理，所述入网认证请求基于网管签名证书、设备签名证书、设备加密证书和所述设备号码所得；

入网模块，用于在所述验证模块对所述设备号码验证通过的情况下，允许所述视联网设备入网。

15.根据权利要求14所述的装置，其特征在于，所述视联网设备包含网关设备和终端设备；

当所述视联网设备为所述网关设备时，所述设备号码包含首席号码和子号码；

当所述视联网设备为所述终端设备时，所述设备号码包含首席号码。

16.根据权利要求15所述的装置，其特征在于，所述验证模块，用于接收来自所述网关设备或所述终端设备的首席号码入网认证请求信息，根据所述首席号码入网认证请求信息对所述网关设备或所述终端设备的首席号码进行验证处理；

其中，所述网关设备的首席号码入网认证请求信息基于所述网管签名证书、网关设备签名证书、网关设备加密证书和所述网关设备的首席号码所得；所述终端设备的首席号码入网认证请求信息基于所述网管签名证书、终端设备签名证书、终端设备加密证书和所述终端设备的首席号码所得。

17.根据权利要求16所述的装置，其特征在于，所述验证模块，还用于在对所述网关设备的首席号码验证通过的情况下，接收来自所述网关设备的子号码入网认证请求信息，根据所述子号码入网认证请求信息对所述子号码进行验证处理，所述子号码入网认证请求信息基于所述网管签名证书、所述网关设备签名证书、所述网关设备加密证书、所述网关设备的首席号码和所述子号码所得。

18.根据权利要求17所述的装置，其特征在于，所述入网模块，用于在对所述网关设备的首席号码和子号码均验证通过的情况下，允许所述网关设备入网；在对所述终端设备的首席号码验证通过的情况下，允许所述终端设备入网。

19.一种装置，其特征在于，包括：

一个或多个处理器；和

其上存储有指令的一个或多个机器可读介质，当由所述一个或多个处理器执行时，使得所述装置执行如权利要求1至13中任一项所述的入网认证方法。

20.一种计算机可读存储介质，其特征在于，其存储的计算机程序使得处理器执行如权利要求1至13中任一项所述的入网认证方法。

Images