CN111683367A - 安全通信模组、安全通信系统、方法及可读存储介质 - Google Patents

Abstract

本发明提供一种安全通信模组、安全通信系统、方法及可读存储介质，所述安全通信模组包括安全芯片以及与之连接的无线通信模块，所述安全芯片用于：对物联网终端发送的明文消息进行解析，对消息内容进行重定向或加密后，重新组装消息，发送给无线通信模块；以及，接收无线通信模块发送的来自通信对端的消息并进行解析，对消息内容进行重定向或解密后，重新组装消息，发送给物联网终端；本发明通过安全通信模组的安全芯片提供的安全服务和安全网关的交互，实现安全连接以及保证业务数据在公网传输的任何时刻都是加密的，从根本上保证公网传输过程安全，同时无需物联网终端增设安全芯片或对业务服务器的改造，实现轻量级设备的无线传输安全。

Description

安全通信模组、安全通信系统、方法及可读存储介质

技术领域

本发明涉及无线通信领域，具体涉及一种安全通信模组、安全通信系统、方法及可读存储介质。

背景技术

现有技术中，物联网终端一般之间通过无线通信模组实现与外部的通信，图1是现有一种常见的业务场景。如图1所示，物联网终端在向业务服务器发送业务消息时，直接通过无线通信模组的无线通信模块将所述业务消息发送到WIFI、3G/4G/5G等公网环境下，再由业务服务器对接收的消息进行处理后通过公网环境传输到无线通信模块，然后由无线通信模组将所述业务消息发送给物联网终端。

现有技术中，攻击者可以采用伪造基站、DDOS攻击等方式窃取或篡改数据，无法解决无线网络公网固有的脆弱性给系统带来潜在的风险，无法保证公网传输的安全。

为了规避无线网络固有的脆弱性，一种方式为：采取在物联网终端增设硬件加密模块如安全芯片，通过端对端的加密实现业务消息在通信过程中数据安全；但是增设安全芯片时，通常安全逻辑是通过物联网终端的CPU来实现的，这就需要对现有物联网终端CPU的代码进行改进，而实际情况下，物联网终端的处理能力及存储空间是十分有限的，将安全逻辑附加在物联网终端，势必影响物联网终端现有功能的实现。另，为了实现安全芯片与物联网终端之间的物理连接，需要额外在物联网终端增加新的物理接口；也就是说，除了需要对物联网终端的CPU代码进行改进外，现有的物联网终端无法与安全芯片直接适配，需要设计新的物联网终端硬件。即在既有的物联网终端增加安全芯片，改造基数较大，且需要同时对通信对端的业务服务器进行改造，改造成本较高，且由于不同的物联网终端功能不一，无法采用统一的标准进行改造；

另一种方式为：在物联网终端增设带安全芯片的通信模组，实际应用中这种通信模组通常设置两个物理接口和两个逻辑接口，也就是说，安全芯片与通信模块分别占用一个物理接口和一个逻辑接口，分别通过单独的通道实现相应功能；但是，现有物联网终端与现有通信模组之间只有一个物理接口和一个逻辑接口，那么，若要现有物联网终端能够适配这种带安全芯片的通信模组，则势必需要在现有物联网终端再增设一个物理接口和一个逻辑接口，即设计新的物联网终端硬件。

申请号为201010192983.5的中国专利公开了一种无线通信装置及其实现业务安全的方法，所述无线通信装置包括控制模块以及与所述控制模块相连的存储模块和无线通信模块，还包括一个或多个安全芯片；其中，所述控制模块负责业务逻辑功能，如果收到的数据是控制数据，所述控制模块进行相应的控制，如向传感器发送控制命令，从传感器获取测量数据等。但是，现有物联网终端设置有自身CPU，负责业务逻辑处理；若要将上述无线通信装置应用在现有物联网终端上，需要对现有物联网终端的CPU代码进行改进，实现代价较大，付出成本高；且现有物联网终端的CPU代码量是十分庞大和复杂的，需要设计人员付出繁杂的创造性劳动，这在物联网终端的升级改造过程中是不现实的。也就是说，上述无线通信装置适用只具有感知功能的传感器，并不能用于现有物联网终端的升级改造。

发明内容

本发明的目的在于针对现有技术中存在的不足，从而提供一种安全通信模组、安全通信系统、方法及可读存储介质。

第一方面，本发明首先提供了一种安全通信模组，通过物理接口与物联网终端通信连接，所述安全通信模组包括安全芯片以及与所述安全芯片连接的无线通信模块，所述安全芯片包括消息解析单元、安全服务单元和消息封装单元；所述安全服务单元包括加密子单元、解密子单元和认证子单元；

所述消息解析单元，用于接收物联网终端发送的明文消息或者通信对端发送的加密消息，并对消息内容进行解析后发送至所述安全服务单元；

所述安全服务单元，用于根据消息类型调用所述加密子单元对明文消息内容进行加密、调用所述解密子单元对加密消息内容进行解密或调用认证子单元对消息内容重定向后发送给所述消息封装单元；

所述消息封装单元，用于将加密或重定向后的消息重新组装为指定格式并向无线通信模块传输，或者将解密后的消息重新组装为特定格式并向物联网终端输出；

所述无线通信模块，用于接收所述安全芯片的消息封装单元发送的封装消息并向通信对端传输，以及接收通信对端发送的加密消息并向所述消息解析单元传输。

进一步地，所述消息解析单元接收的物联网终端发送的明文消息包括连接消息和业务消息；其中，所述连接消息用于请求和业务服务器建立连接，当所述消息解析单元接收到的消息类型为连接消息时，所述安全服务单元的认证子单元对消息内容进行重定向以进行认证、密钥协商和安全通道建立；所述业务消息用于进行业务消息流传输，当所述消息解析单元接收到的消息类型为业务消息时，所述安全服务单元的加密子单元将消息加密后发送至无线通信模块。

进一步地，所述安全服务单元的认证子单元对消息内容进行重定向包括：将消息内容中指向业务服务器的地址修改为指向安全网关的地址，并修改相关信息以进行安全芯片和安全网关之间的身份认证、密钥协商和安全通道建立；

进一步地，所述安全通信模组中指向安全网关的地址由安全芯片厂商在安全芯片出厂时刷写到安全芯片内部，并受安全芯片保护无法篡改。

进一步地，所述安全通道采用安全传输协议，所述安全传输协议包括SSL、TSL、HTTPS、Ipsec中的至少一种。

进一步地，所述安全芯片的认证子单元与所述安全网关进行密钥协商生成会话密钥，并将所述会话密钥发送给所述安全芯片的加密子单元、解密子单元执行加解密。

进一步地，所述与物联网终端进行通信的物理接口集成了UART、USB、SPI、I2C、PCIE、SD接口中的至少一种物理接口。

进一步地，所述无线通信模块集成了RFID、蓝牙、WIFI、ZIGBee、2G/3G/4G/5G、NB-IoT、LoRa中的至少一种无线通信协议。

第二方面，本发明还提供一种安全通信系统，所述基于安全通信模组的系统包括如上所述的任意一种安全通信模组，以及物联网终端和通信对端，所述通信对端包括安全网关以及与安全网关连接的业务服务器；其中：

所述物联网终端，用于通过物理接口与所述安全通信模组通信连接，并通过所述安全通信模组、所述安全网关与通信对端的业务服务器进行消息交互；

所述通信对端的安全网关，用于与安全芯片进行身份认证、密钥协商和安全通道建立，以及在安全通道建立之后，将安全芯片加密后的业务消息解密后发送到业务服务器，以及将来自业务服务器的业务消息加密后通过无线通信模块传送至安全芯片进行处理；

所述通信对端的业务服务器，用于处理物联网终端通过所述安全通信模组、所述安全网关发送的业务消息。

第三方面，本发明还提供一种安全通信方法，所述安全通信方法包括：

上述的任意一种安全通信模组接收物联网终端请求与通信对端的业务服务器建立连接的消息；所述安全芯片的消息解析单元对连接消息进行解析；所述安全服务单元将解析出的连接消息中的业务服务器地址重定向为安全网关的地址，并修改连接消息中的有关信息以进行安全芯片和安全网关的认证，所述消息封装单元将修改后的消息重新组装为指定格式，获得认证消息；

所述安全芯片的认证子单元将所述认证消息通过无线通信模块发送至通信对端的安全网关；所述安全网关对接收到的认证请求进行验证并通过无线通信模块向所述安全芯片反馈认证结果；认证通过后，所述安全芯片的认证子单元通过无线通信模块与通信对端的安全网关进行密钥协商，所述安全芯片和安全网关获得会话密钥，建立所述安全芯片与安全网关之间的安全通道；

所述安全芯片的认证子单元重新发起连接请求，将认证消息中的安全网关的地址重定向为指定的业务服务器地址，所述消息封装单元，再次组装为指定格式，获得连接请求消息；

所述安全芯片的认证子单元将连接请求消息通过无线通信模块和安全网关发送至通信对端的业务服务器，以建立物联网终端与指定的业务服务器之间的安全连接。

进一步地，在物联网终端与指定的业务服务器之间的安全连接建立后，所述的安全通信模组接收物联网终端向业务服务器发送的业务消息；

所述安全芯片调用消息解析单元对所述业务消息进行解析，调用加密子单元将所述业务消息中的敏感数据进行加密，调用消息封装单元将加密后的业务消息重新组装为指定格式，通过无线通信模块将加密消息体发送至通信对端的安全网关；所述安全网关接收无线通信模块发送的加密消息体，通过会话密钥解密后发送至通信对端的业务服务器进行处理；

所述安全网关还接收通信对端的业务服务器发送的业务消息，加密后通过无线通信模块发送给所述安全芯片；所述安全芯片调用消息解析单元对加密后的业务消息进行解析，调用解密子单元对加密数据进行解密后，调用消息封装单元重新组装为指定格式后，将所述业务消息发送给物联网终端进行处理。

第四方面，本发明还提供一种可读存储介质，其上存储有指令，该指令被处理器执行时实现如上述的安全通信方法的步骤。

本发明的有益效果如下：

1）本发明提出的安全通信模组通过单一的逻辑通道和物理通道实现安全芯片和无线通信模块的集成，同时，安全处理逻辑不通过物联网终端的CPU来实现，而是通过安全芯片来实现；通过安全通信模组和安全网关，在物联网终端与指定的业务服务器之间建立安全连接，针对通道进行加密，不考虑业务逻辑；在对现有物联网终端进行升级改造时，采用物联网终端现有的通信接口和逻辑接口即可与本发明的安全通信模组进行通讯，无需对现有物联网终端硬件进行改造，同时无需对物联网终端的CPU代码进行改进；

2）本发明通过安全网关实现业务服务器和公网环境的隔离，保证业务服务器端数据的安全，通过安全通信模组的安全芯片提供的安全服务和安全网关的交互，实现安全连接以及保证业务数据在公网传输的任何时刻都是加密的，从根本上保证公网传输过程安全，同时无需物联网终端增设安全芯片或对业务服务器进行改造，实现轻量级设备的无线传输安全。

附图说明

图1为现有无线通信模组通信过程的描述。

图2为本发明公开的第一方面实施例的结构示意图。

图3为本发明公开的第二方面实施例的结构示意图。

图4为本发明公开的第三方面实施例中实现方法的流程图之一。

图5为本发明公开的第三方面实施例中实现方法的流程图之二。

图6为本发明公开的第三方面实施例中实现方法的流程图之三。

图7为本发明公开的第三方面实施例中实现方法的流程图之四。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细描述。应当理解，此处所描述的具体实施例仅仅用于解释本发明，并不用于限定本发明。相反，本发明涵盖任何由权利要求定义的在本发明的精髓和范围上做的替代、修改、等效方法以及方案。进一步，为了使公众对本发明有更好的了解，在下文对本发明的细节描述中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本发明。

第一方面实施例

本发明首先提供了一种安全通信模组，所述安全通信模组包括安全芯片、与安全芯片连接的无线通信模块；所述安全通信模组的结构示意图如图2所示。

所述安全通信模组通过物理接口与物联网终端通信连接，并通过无线通信模块与外界收发消息，所述安全芯片为安全通信模组的主控芯片，用于：对物联网终端发送的明文消息进行解析，对消息内容进行重定向或加密后，重新组装消息，发送给无线通信模块；以及，接收无线通信模块发送的来自通信对端的消息并进行解析，对消息内容进行重定向或解密后，重新组装消息，发送给物联网终端。

进一步地，所述安全芯片包括消息解析单元、安全服务单元和消息封装单元；所述安全服务单元包括加密子单元、解密子单元和认证子单元，其中，

所述消息解析单元，用于接收物联网终端发送的明文消息或者通信对端发送的加密消息，并对消息内容进行解析后发送至所述安全服务单元；

所述安全服务单元，用于根据消息类型调用所述加密子单元对明文消息内容进行加密、调用所述解密子单元对加密消息内容进行解密或调用认证子单元对消息内容重定向后发送给所述消息封装单元；

所述消息封装单元，用于将加密或重定向后的消息重新组装为指定格式并向无线通信模块传输，或者将解密后的消息重新组装为特定格式并向物联网终端输出；

所述无线通信模块，用于接收所述安全芯片的消息封装单元发送的封装消息并向通信对端传输，以及接收通信对端发送的加密消息并向所述消息解析单元传输。

可以理解，所述消息解析单元还用于接收无线通信模块发送的来自通信对端的消息，并对消息内容进行解析后交由安全服务单元处理；所述安全服务单元还用于依据消息类型使用解密子单元对消息内容进行解密或使用认证子单元对消息内容重定向后发送给消息封装单元；所述消息封装单元还用于将解密或重定向后的消息重新组装为指定格式并将消息发送至物联网终端。

进一步地，所述消息解析单元接收的物联网终端发送的明文消息包括连接消息和业务消息，所述连接消息用于请求和业务服务器建立连接，所述业务消息用于进行业务消息流传输；当所述消息解析单元接收到的消息类型为连接消息时，所述安全服务单元的认证子单元对消息内容进行重定向以进行认证、密钥协商和安全通道建立，当所述消息解析单元接收到的消息类型为业务消息时，所述安全服务单元的加密子单元将消息加密后发送至无线通信模块。

进一步地，所述安全服务单元的认证子单元对消息内容进行重定向包括：将消息内容中指向业务服务器的地址修改为指向安全网关的地址，并修改相关信息以进行安全芯片和安全网关之间的身份认证、密钥协商和安全通道建立。

为了更好地对本发明的思路进行理解，使用 AT 指令进行 Socket 通信对本发明进行说明。

首先，需要创建一个 TCP 或 UDP Socket。

例如：AT+QSOCON=0,5000,"193.112.19.116"表示将 0 号 Socket 向地址为193.112.19.116 的远端服务器的 5000 端口发起连接。

安全芯片接收到所述AT指令，并将所述指令交给消息解析单元处理。消息解析单元解析到“0 号 Socket 向地址为 193.112.19.116 的远端服务器的 5000 端口发起连接”这个信息，并将所述信息交认证子单元处理；认证子单元将连接消息由连接至远端服务器重定向至连接至安全网关，并将地址替换为安全网关的地址，如：“194.111.15.118”，然后将上述消息交消息封装单元处理，消息封装单元将AT指令重新封装为AT+QSOCON=0,8888," 194.111.15.118"后发送给无线通信模块；

其次，在向通信对端发送数据时，

例如：AT+QSOSEND=0,5,48656C6C6F表示让 0 号 Socket 发送 5 个字节长度的数据[0x48,0x65,0x6C,0x6C,0x6F]。

安全芯片接收到所述AT指令，并将所述指令交消息解析单元处理。消息解析单元解析到“00x48,0x65,0x6C,0x6C,0x6F”这个信息，并将所述信息交加密子单元处理；加密子单元依据约定的密钥和密码算法对其中的信息加密后，使用消息封装单元将所述信息重新组装为AT+QSOSEND=0,5,***后发送给无线通信模块处理。

再次，在接收通信对端发送的数据时，安全网关对业务服务器的数据进行加密后发送给无线通信模块，此时收到的数据可能为AT+QSOSEND=0,5,***，所述消息解析单元解析到加密信息“***”，将所述信息交解密子单元处理；解密子单元依据约定的密钥和密码算法对其中的信息解密后，使用消息封装单元将所述信息重新组装为AT+QSOSEND=0,5,48656C6C6F后发送给物联网终端。

需要说明的是，所述安全通信模组可以通过消息解析单元、安全服务单元和消息封装单元识别并处理物联网终端发出的任何数据格式的消息，并将消息组装为安全网关或业务服务器可识别的指定格式，从而无需对物联网终端和业务服务器进行改造，即可实现轻量化升级。

本发明提出的安全通信模组通过单一的逻辑通道和物理通道实现安全芯片和无线通信模块的集成，同时，安全逻辑不通过物联网终端的CPU来实现，而是通过安全芯片来实现。

需要说明的是，无论是在物联网终端增设硬件加密模块如安全芯片，还是在物联网终端增设带安全芯片的通信模组，对物联网终端要求都比较高，甚至需要设计新的物联网终端，实现代价较大，付出成本高。本发明的安全通信模组针对通道进行加密，不考虑业务逻辑；应用在安全通信系统时，采用物联网终端现有的通信接口和逻辑接口即可与本发明的安全通信模组进行通讯，同时无需对物联网终端的CPU代码进行改进，更无需对现有物联网终端硬件进行改进。

进一步地，所述安全通信模组中指向安全网关的地址由安全芯片厂商在安全芯片出厂时刷写到安全芯片内部，并受安全芯片保护无法篡改；从而保证与安全通信模组连接的安全网关的安全性。

进一步地，所述安全通道采用安全传输协议，所述安全传输协议包括SSL、TSL、HTTPS、Ipsec中的至少一种。需要说明的是，本发明对安全通道采用的安全协议不进行限制，可以采用任何一种安全传输协议。

需要说明的是，所述安全芯片的认证子单元与所述安全网关进行密钥协商生成会话密钥，并将所述会话密钥发送给所述安全芯片的加密子单元、解密子单元执行加解密。所述会话密钥用于建立安全通道，在安全芯片与安全网关之间的安全通道建立后，所述安全芯片的认证子单元与所述安全网关可以再次进行密钥协商生成新的会话密钥，所述会话密钥可以是动态的，从而提高数据交互的安全可靠性；

进一步地，所述与物联网终端进行通信的物理接口集成了UART、USB、SPI、I2C、PCIE、SD接口中的至少一种物理接口。需要说明的是，所述物理接口为物联网终端通用的物理接口，除了上文列出的物理接口之外，还可以有其他形式的物理接口，本发明不对此进行限制，用户只需要考虑具体的产品及应用需求。

进一步地，所述无线通信模块集成了RFID、蓝牙、WIFI、ZIGBee、2G/3G/4G/5G、NB-IoT、LoRa中的至少一种无线通信协议。需要说明的是，所以无线通信模块可以采用单一的一种无线通信协议，也可以根据需要对所述模块进行改造以集成多种无线通信协议，本发明不对此进行限制。

需要说明的是，现有技术中在设备中集成无线通信模组不需要对设备进行改造直接集成即可，如果在既有的物联网终端上增加安全芯片，则需要对物联网终端进行重新设计，对设备厂商的要求较高，也会增加设计成本。通过本方案，使得安全通信模组中安全芯片可以为物联网终端提供安全服务保护，通信对端的网关可以对业务服务器提供保护，从而可以实现不改造现有物联网终端和通信对端的业务服务器情况下，保障物联网终端和业务服务器之间的通信过程的机密性和安全性。

第二方面实施例

本发明还提供一种安全通信系统，所述安全通信系统包括如上所述的任意一种安全通信模组，以及物联网终端和通信对端，所述基于安全通信模组的系统的结构示意图如图3所示。其中：

所述通信对端包括安全网关以及与安全网关连接的业务服务器；

所述物联网终端通过物理接口与所述安全通信模组通信连接，并通过所述安全通信模组、所述安全网关与通信对端的业务服务器进行消息传输；

所述通信对端的安全网关用于与安全芯片进行身份认证、密钥协商和安全通道建立，以及在安全通道建立之后，将安全芯片加密后的业务消息解密后发送到业务服务器，以及将来自业务服务器的业务消息加密后通过无线通信模块传送至安全芯片处理。其中，所述安全网关为基于硬件密码模块的安全网关，具有数据加密/解密处理功能，并提供身份认证、数字签名和数据完整性验证功能。

所述通信对端的业务服务器用于处理物联网终端通过所述安全通信模组、所述安全网关发送的业务消息。比如采集物联网终端的业务数据并进行存储、计费等，以及向物联网终端发送业务消息，比如向物联网终端发送控制命令，或者断开物联网终端的某项服务等。

第三方面实施例

本发明还提供一种安全通信方法，所述安全通信方法包括：

第一方面，物联网终端与业务服务器建立安全连接流程，具体可参考图4。

S101，接收物联网终端请求与通信对端的业务服务器建立连接的消息，所述安全芯片的消息解析单元对所述连接消息进行解析后，所述安全服务单元将所述消息中的业务服务器地址重定向为安全网关的地址，并将连接消息中的连接请求修改为认证请求后，所述消息封装单元对所述消息重新组装为指定格式，通过无线通信模块完成安全芯片与安全网关的身份认证、密钥协商和安全通道建立；

进一步地，所述步骤S101包括图5所示的流程。

S1011，接收物联网终端请求与通信对端的业务服务器建立连接的消息，连接消息中包括有业务服务器的地址信息；调用安全芯片的消息解析单元对所述连接消息进行解析，交由所述安全芯片的认证子单元处理；

S1012，所述安全芯片的认证子单元将所述连接消息中的业务服务器地址信息修改为安全网关地址信息，并修改连接消息中的有关信息以进行安全芯片和安全网关的认证，并将修改后的消息交给安全芯片的消息封装单元处理；修改连接消息中的有关信息包括将连接消息中的连接请求修改为认证请求；

S1013，所述消息封装单元将修改后的连接消息重新组装为指定格式后，获得认证消息；所述消息封装单元将所述认证消息发送给无线通信模块；

S1014，所述无线通信模块将所述认证消息发送给所述安全网关，通过交互完成安全芯片与安全网关的身份认证；

S1015，所述安全芯片和所述安全网关通过无线通信模块进行密钥协商，建立安全通道；所述安全芯片和所述安全网关各自获得会话密钥；

S1016，所述安全芯片的认证子单元重新发起连接请求，将连接消息中的安全网关地址信息修改为业务服务器地址信息,所述消息封装单元将消息重新组装后获得连接请求消息；所述安全芯片的认证子单元将连接请求消息发送给所述无线通信模块；

S1017，所述无线通信模块将所述连接请求消息发送给所述安全网关，通过交互完成物联网终端与业务服务器之间的安全连接。

第二方面，物联网终端发送业务消息流程，具体可参考图6。

S201，所述的安全通信模组接收物联网终端向业务服务器发送的业务消息，所述安全芯片调用消息解析单元对所述业务消息进行解析，调用加密子单元将所述业务消息中的敏感数据进行加密，调用消息封装单元将所述加密后的消息重新组装为安全网关可识别的指定格式，通过无线通信模块将所述加密消息体发送至通信对端的安全网关；

S202，所述安全网关接收无线通信模块发送的加密消息体，通过会话密钥解密后发送至通信对端的业务服务器进行处理；

第三方面，物联网终端接收业务消息流程，具体可参考图7。

S301，所述安全网关接收通信对端的业务服务器发送的业务消息，通过会话密钥加密后通过安全通信模组的无线通信模块发送给所述安全芯片；

S302，所述安全芯片调用消息解析单元对所述加密后的业务消息进行解析，调用解密子单元对加密数据进行解密后，调用消息封装单元重新组装为物联网终端可识别的指定格式，并将所述业务消息发送给物联网终端。

进一步地，所述安全服务与通信对端的网关建立的安全通道采用安全协议，所述安全协议包括SSL、TSL、HTTPS、Ipsec中的至少一种。

进一步地，所述物联网终端通过物理接口与安全通信模组通信，所述物理接口集成了UART、USB、SPI、I2C、PCIE、SD接口中的至少一种物理接口。需要说明的是，所述物理接口为物联网终端通用的物理接口，除了上文列出的物理接口之外，还可以有其他形式的物理接口，本发明不对此进行限制，用户只需要考虑具体的产品及应用需求。

本发明的有益效果如下：

本发明通过网关实现服务器和公网环境的隔离，保证服务器端数据的安全，通过安全通信模组的安全芯片提供的安全服务和网关的交互，实现安全连接以及保证业务数据在公网传输的任何时刻都是加密的，从根本上保证公网传输过程安全，同时无需物联网终端增设安全芯片或对业务服务器的改造，实现轻量级设备的无线传输安全。

第四方面实施例

本发明还提供一种可读存储介质，其上存储有指令，该指令被处理器执行时实现如上述的安全通信方法的步骤。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

在本申请所提供的实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的，例如，上述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

上述集成的模块如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，上述的计算机程序可存储于计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，上述计算机程序包括计算机程序代码，上述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，所属领域的普通技术人员在不脱离本发明技术方案的精神下，对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (14)

1.一种安全通信模组，通过物理接口与物联网终端通信连接，其特征在于，该安全通信模组包括安全芯片以及与所述安全芯片连接的无线通信模块，所述安全芯片包括消息解析单元、安全服务单元和消息封装单元；所述安全服务单元包括加密子单元、解密子单元和认证子单元；

所述消息解析单元，用于接收物联网终端发送的明文消息或者通信对端发送的加密消息，并对消息内容进行解析后发送至所述安全服务单元；

所述安全服务单元，用于根据消息类型调用所述加密子单元对明文消息内容进行加密、调用所述解密子单元对加密消息内容进行解密或调用认证子单元对消息内容重定向后发送给所述消息封装单元；

所述消息封装单元，用于将加密或重定向后的消息重新组装为指定格式并向无线通信模块传输，或者将解密后的消息重新组装为特定格式并向物联网终端输出；

所述无线通信模块，用于接收所述安全芯片的消息封装单元发送的封装消息并向通信对端传输，以及接收通信对端发送的加密消息并向所述消息解析单元传输。

2.基于权利要求1所述的安全通信模组，其特征在于，所述消息类型包括连接消息和业务消息；其中，

所述连接消息用于请求和业务服务器建立连接，当所述消息解析单元接收到的消息类型为连接消息时，所述安全服务单元的认证子单元对消息内容进行重定向以进行认证、密钥协商和安全通道建立；

所述业务消息用于进行业务消息流传输，当所述消息解析单元接收到的消息类型为业务消息时，所述安全服务单元的加密子单元将消息加密后发送至无线通信模块。

3.基于权利要求2所述的安全通信模组，其特征在于，所述安全服务单元的认证子单元对消息内容进行重定向包括：将消息内容中指向业务服务器的地址修改为指向安全网关的地址，并修改相关信息以进行安全芯片和安全网关之间的身份认证、密钥协商和安全通道建立。

4.基于权利要求3所述的安全通信模组，其特征在于，指向安全网关的地址由安全芯片厂商在安全芯片出厂时刷写到安全芯片内部，并受安全芯片保护无法篡改。

5.基于权利要求3所述的安全通信模组，其特征在于，所述安全通道采用安全传输协议，所述安全传输协议包括SSL、TSL、HTTPS、Ipsec中的至少一种。

6.基于权利要求3所述的安全通信模组，其特征在于，所述安全芯片的认证子单元与所述安全网关进行密钥协商生成会话密钥，并将所述会话密钥发送给所述安全芯片的加密子单元、解密子单元执行加解密。

7.基于权利要求1所述的安全通信模组，其特征在于，所述物理接口集成了UART、USB、SPI、I2C、PCIE、SD接口中的至少一种物理接口。

8.基于权利要求1所述的安全通信模组，其特征在于，所述无线通信模块集成了RFID、蓝牙、WIFI、ZIGBee、2G/3G/4G/5G、NB-IoT、LoRa中的至少一种无线通信协议。

9.一种安全通信系统，其特征在于，包括权利要求1至8任一项所述的安全通信模组，以及物联网终端和通信对端，所述通信对端包括安全网关以及与安全网关连接的业务服务器；其中：所述物联网终端，用于通过物理接口与所述安全通信模组通信连接，并通过所述安全通信模组、所述安全网关与通信对端的所述业务服务器进行消息交互；

所述通信对端的安全网关，用于与安全芯片进行身份认证、密钥协商和安全通道建立，以及在安全通道建立之后，将安全芯片加密后的业务消息解密后发送到业务服务器，以及将来自业务服务器的业务消息加密后通过无线通信模块传送至安全芯片进行处理；

所述通信对端的业务服务器，用于处理物联网终端通过所述安全通信模组、所述安全网关发送的业务消息。

10.一种安全通信方法，其特征在于，包括以下步骤：

权利要求1至8任一项所述的安全通信模组接收物联网终端请求与通信对端的业务服务器建立连接的消息；所述安全芯片的消息解析单元对连接消息进行解析；所述安全服务单元将解析出的连接消息中的业务服务器地址重定向为安全网关的地址，并修改连接消息中的有关信息以进行安全芯片和安全网关的认证，所述消息封装单元将修改后的消息重新组装为指定格式，获得认证消息；

所述安全芯片的认证子单元将所述认证消息通过无线通信模块发送至通信对端的安全网关；所述安全网关对接收到的认证请求进行验证并通过无线通信模块向所述安全芯片反馈认证结果；认证通过后，所述安全芯片的认证子单元通过无线通信模块与通信对端的安全网关进行密钥协商，所述安全芯片和安全网关获得会话密钥，建立所述安全芯片与安全网关之间的安全通道；

所述安全芯片的认证子单元重新发起连接请求，将认证消息中的安全网关的地址重定向为指定的业务服务器地址，所述消息封装单元将消息再次组装为指定格式，获得连接请求消息；

所述安全芯片的认证子单元将连接请求消息通过无线通信模块和安全网关发送至通信对端的业务服务器，以建立物联网终端与指定的业务服务器之间的安全连接。

11.基于权利要求10所述的安全通信方法，其特征在于，在物联网终端与指定的业务服务器之间的安全连接建立后，所述的安全通信模组接收物联网终端向业务服务器发送的业务消息；

所述安全芯片调用消息解析单元对所述业务消息进行解析，调用加密子单元将所述业务消息中的敏感数据进行加密，调用消息封装单元将加密后的业务消息重新组装为指定格式，通过无线通信模块将加密消息体发送至通信对端的安全网关；所述安全网关接收无线通信模块发送的加密消息体，通过会话密钥解密后发送至通信对端的业务服务器进行处理；

所述安全网关还接收通信对端的业务服务器发送的业务消息，加密后通过无线通信模块发送给所述安全芯片；所述安全芯片调用消息解析单元对加密后的业务消息进行解析，调用解密子单元对加密数据进行解密后，调用消息封装单元重新组装为指定格式后，将所述业务消息发送给物联网终端进行处理。

12.基于权利要求10所述的安全通信方法，其特征在于，所述安全通道采用安全协议，所述安全协议包括SSL、TSL、HTTPS、Ipsec中的至少一种。

13.基于权利要求10所述的安全通信方法，其特征在于，所述物联网终端通过物理接口与安全通信模组通信，所述物理接口集成UART、USB、SPI、I2C、PCIE、SD接口中的至少一种物理接口。

14.一种可读存储介质，其上存储有指令，其特征在于：该指令被处理器执行时实现如权利要求10-13任一项所述的安全通信方法的步骤。

Images