CN111783068A - 设备认证方法、系统、电子设备及存储介质 - Google Patents

Abstract

本发明实施例涉及通信技术领域，公开了一种设备认证方法、系统、电子设备及存储介质。本发明中，所述设备认证方法应用于物联网设备，通过获取认证服务器发送的唯一设备密钥；响应于上线激活指令，根据唯一设备密钥生成验证码；向认证服务器发送携带有验证码的验证请求；获取认证服务器在验证通过后返回的设备身份验证结果，其中，验证结果携带有通信连接密钥；利用通信连接密钥与物联网平台建立安全连接通道的技术手段，使得物联网设备和设备管理平台、业务平台等物联网平台实现了每一个通信连接对应于一个密钥，提升了平台密钥使用的灵活性和安全性。

Description

设备认证方法、系统、电子设备及存储介质

技术领域

本发明实施例涉及通信技术领域，特别涉及一种设备认证方法、系统、电子设备及存储介质。

背景技术

万物互联大趋势下，物联网产业规模不断扩大，物联网终端设备和业务应用发展迅速。物联网设备接入认证是物联网服务的关键环节，包含物联网服务平台对物联网终端设备的认证，以及物联网设备对物联网服务平台的认证两方面。如果物联网设备认证不足，可能会发生设备伪造、仿冒以及恶意控制等安全风险，并且可能因非法物联网设备接入进而攻击物联网服务平台或攻击其他物联网设备，造成更大安全事故，给企业和用户带来经济或名誉损失。

发明人发现在相关技术中，一般基于预置的平台密钥来进行物联网设备认证，即物联网设备在出厂时预置相同的平台对称密钥或平台公钥，使用预置密钥对媒体接入控制地址MAC、设备序列号SN等设备标识进行加密传输，服务平台侧解密后获取并验证设备标识，平台完成对设备身份认证。平台返回加密认证结果，物联网设备接收并解密认证结果，完成整个双向认证流程，但这种认证方式下黑客可通过破解一个设备获取平台密钥，进而批量破解其他设备，安全性较低；此外，还可以基于一机一密设备密钥进行物联网设备认证，即每个设备使用不同的密钥加密设备标识进行认证，此种认证方式解决不同设备具有唯一独特可信根的问题，安全性较高，但是设备密钥预置成本也较高。

发明内容

本发明实施方式的目的在于提供一种设备认证方法、系统、电子设备及存储介质，使得在设备产线改动较小的前提下，物联网设备与物联网平台之间能够实现一个通信连接对应于一个密钥，提高物联网设备与平台之间连接的安全性。

为解决上述技术问题，本发明的实施方式提供了一种设备认证方法，应用于物联网设备，包括：获取认证服务器发送的唯一设备密钥；响应于上线激活指令，根据唯一设备密钥生成验证码；向认证服务器发送携带有验证码的验证请求；获取认证服务器在验证通过后返回的设备身份验证结果，其中，验证结果携带有通信连接密钥；利用通信连接密钥与物联网平台建立安全连接通道。

本发明的实施方式还提供了一种设备认证方法，应用于认证服务器，包括：向物联网设备发送唯一设备密钥；响应于物联网设备的验证请求，对物联网设备进行身份验证；其中，验证请求中携带有根据唯一设备密钥生成的验证码；向物联网设备返回验证结果；其中，验证结果中携带有通信连接密钥，通信连接密钥用于供物联网设备与物联网平台建立安全连接通道。

本发明的实施方式还提供了一种物联网设备，包括：消息接收模块，用于获取认证服务器发送的唯一设备密钥，以及，获取认证服务器在验证通过后返回的认证结果其中，认证结果携带有通信连接密钥；验证码生成模块，用于根据唯一设备密钥生成验证码；请求发送模块，用于向认证服务器发送携带有验证码的验证请求；通道建立模块，利用通信连接密钥与物联网平台建立安全连接通道。

本发明的实施方式还提供了一种认证服务器，包括：消息发送模块，用于向物联网设备发送唯一设备密钥；设备验证模块，用于对物联网设备进行身份验证；其中，验证请求中携带有根据唯一设备密钥生成的验证码；消息发送模块，还用于向物联网设备返回验证结果；其中，验证结果中携带有通信连接密钥，通信连接密钥用于与物联网平台建立安全连接通道的。

本发明的实施方式还提供了一种设备认证系统，包括：如上所述的·物联网设备、认证服务器以及物联网平台；其中，物联网设备与认证服务器以及物联网平台通信连接，物联网平台与认证服务器通信连接。

本发明的实施方式还提供了一种电子设备，其特征在于，包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被所述至少一个处理器执行，以使至少一个处理器能够执行如上述应用于物联网设备的设备认证方法，或，如上述应用于认证服务器的设备认证方法。

一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如上述应用于物联网设备的设备认证方法，或，实现如上述应用于认证服务器的设备认证方法。

本发明实施方式相对于现有技术而言，物联网设备联网激活之前的出厂阶段获取认证服务器发送的唯一设备密钥，降低预置设备密钥的难度；然后根据唯一设备密钥生成验证码，向认证服务器发送携带有验证码的验证请求，提高验证过程的安全性；获取认证服务器在对验证码进行验证并通过后返回的设备身份验证结果，验证结果中携带有通信连接密钥；然后利用通信连接密钥与物联网平台建立安全连接通道，从而实现物联网设备与物联网平台间每一个连接对应一个密钥，进而提高物联网设备联网认证过程的安全性。

另外，在获取认证服务器发送的唯一密钥之前，还包括：向认证服务器发送携带有设备标识和厂商信息的密钥申请请求，供认证服务器进行设备合法性认证并生成唯一设备密钥。采用设备出厂的厂商信息与物联网设备的设备标识结合的匹配校验的方式来对请求密钥的设备进行合法性校验，有效避免设备伪造行为，提高密钥发放的安全性。

另外，在获取认证服务器返回的认证结果之后，在利用通信连接密钥与物联网平台建立安全连接通道之前，包括：解析验证结果得到通信连接密钥；根据验证结果验证物联网平台身份。物联网设备在接收到验证结果后，对物联网平台进行认证，实现双向认证，提高物联网平台与物联网设备间通信连接的安全性。

附图说明

一个或多个实施例通过与之对应的附图中的图片进行示例性说明，这些示例性说明并不构成对实施例的限定。

图1是根据本发明第一实施方式中设备认证方法的流程图；

图2是根据本发明第二实施方式中设备认证方法的流程图；

图3是根据本发明第三实施方式中物联网设备的结构示意图；

图4是根据本发明第四实施方式中认证服务器的结构示意图；

图5是根据本发明第五实施方式中设备认证系统的结果示意图；

图6是根据本发明第五实施方式中设备认证系统的交互流程图；

图7是根据本发明第六实施方式中电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的技术方案和优点更加清楚，下面将结合附图对本发明的各实施方式进行详细的阐述。然而，本领域的普通技术人员可以理解，在本发明各实施方式中，为了使读者更好地理解本申请而提出了许多技术细节。但是，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请所要求保护的技术方案。以下各个实施例的划分是为了描述方便，不应对本发明的具体实现方式构成任何限定，各个实施例在不矛盾的前提下可以相互结合相互引用。

本发明的第一实施方式涉及一种设备认证方法，应用于物联网设备。具体流程如图1所示，包括：获取认证服务器发送的唯一设备密钥；响应于上线激活指令，根据唯一设备密钥生成验证码；向认证服务器发送携带有验证码的验证请求；获取认证服务器在验证通过后返回的设备身份验证结果，其中，验证结果携带有通信连接密钥；利用通信连接密钥与物联网平台建立安全连接通道。

下面对本实施方式的设备认证方法的实现细节进行具体的说明，以下内容仅为方便理解提供的实现细节，并非实施本方案的必须。

本实施方式中的设备认证方法如图1所示，具体包括：

步骤101，获取认证服务器发送的唯一设备密钥。

具体地说，物联网设备在从生产厂商的产线上完成生产流程后，在出厂阶段会向认证服务器发送密钥申请请求，并在密钥申请请求中携带本机的设备标识和厂商信息。认证服务器根据密钥申请请求中的设备标识和厂商信息对物联网设备进行身份验证后，验证成功则进一步根据设备标识和厂商信息为发送密钥申请请求的物联网设备生成唯一设备密钥，然后将唯一设备密钥发送给该物联网设备。

步骤102，响应于上线激活指令，根据唯一设备密钥生成验证码。

具体地说，物联网设备在出厂后，用户开启设备使用时，物联网设备自动发起上线激活指令，根据预先接收到的唯一设备密钥来生成一个一次性的验证码。

步骤103，向认证服务器发送携带有验证码的验证请求。

具体地说，由于物联网设备需要与物联网平台进行连接，为了保证物联网设备身份的合法性，需要先通过认证服务器对设备身份进行认证，然后才能够与物联网平台进行通信连接。

在一个例子中，物联网设备在用户使用阶段，首先向物联网平台发送携带有验证码的验证请求，由于物联网平台本身不对物联网设备进行认证，因此将验证请求转发给认证服务器，由认证服务器来验证物联网设备的设备身份。

步骤104，获取认证服务器在验证通过后返回的验证结果。

具体地说，对于激活使用的物联网设备，必须要经过设备身份的认证以后，也就是说只有合法的物联网设备才能够与物联网平台建立连接。设备身份的认证也通过认证服务器来进行，认证服务器在接收到设备的验证请求后，基于物联网平台同步的设备标识列表，根据验证请求中携带的一次性验证码，基于对物联网设备进行身份认证，并在认证成功后返回验证结果，同时在验证结果中携带通信连接密钥。

进一步讲，物联网设备通过密钥来生成验证码，利用验证码来进行认证，使得唯一设备密钥在被黑客截取到的情况下，如果黑客没有掌握验证码的生成算法，即使进一步截取到验证码，也无法通过伪造设备的方式来获得认证服务器的认证，提高了物联网设备认证过程的可靠性。

步骤105，利用通信连接密钥与物联网平台建立安全连接通道。

具体地说，物联网设备在接收到认证服务器返回的验证结果后，对验证结果进行解析，得到验证结果中携带的通信连接密钥，利用通信连接密钥与物联网平台建立双向可信的通信连接。

在一个例子中，认证服务器首先将验证结果发送给物联网平台，此时物联网平台对验证结果进行解析，获得了物联网设备身份可信的消息，然后将通信连接密钥保存在本地。此时相当于物联网平台获知物联网设备的身份是可信的，将验证结果转发物联网设备，等待物联网设备通过通信连接密钥与自身建立双向可信的通信连接。由此，实现了每一个物联网设备与物联网平台之间的通信连接均对应于以唯一的密钥，进一步提高了物联网的安全性。

需要说明的是，本实施方式中的上述各示例均为为方便理解进行的举例说明，并不对本发明的技术方案构成限定。

与现有技术相比，本实施方式中本提案在物联网设备产线生产阶段使用自动化空中分发的方式实现设备唯一密钥生成和预置，规避现有技术在设备上线使用阶段用户终端参与流程，简化了密钥预置复杂度，提升密钥预置效率和准确率；同时，基于物联网设备出厂时预置的唯一设备密钥来进行物联网设备和物联网平台的双向可信认证，并基于认证结果生成通信连接密钥，建立双向可信连接，实现了物联网设备和设备管理平台、业务平台等物联网平台的一连一密，提升平台使用的灵活性和安全性。

本发明的第二实施方式涉及一种设备认证方法，应用于认证服务器，具体流程如图2所示，包括：向物联网设备发送唯一设备密钥；响应于物联网设备的验证请求，对物联网设备进行身份验证；其中，验证请求中携带有根据唯一设备密钥生成的验证码；向物联网设备返回验证结果；其中，验证结果中携带有通信连接密钥，通信连接密钥用于供物联网设备与物联网平台建立安全连接通道。

本实施方式中的设备认证方法如图2所示，具体包括：

步骤201，向物联网设备发送唯一设备密钥。

具体地说，认证服务器响应于物联网设备在出厂阶段发起的密钥申请请求，对密钥申请请求进行解析，得到发起请求的物联网设备的设备标识和出厂信息。然后根据物联网设备的设备标识和出厂信息对物联网设备的合法性进行认证，然后通过硬件加密机根据设备标识和出厂信息生成对应于该物联网设备的唯一设备密钥，并将唯一设备密钥发送给物联网设备。

在一个例子中，认证服务器预先向物联网平台同步所有物联网设备的设备标识列表，并预先保存好物联网设备生产厂商的相关信息，包括设备产线的网络地址IP白名单。通过将发起密钥申请请求的物联网设备的设备标识与设备标识列表进行比对、将厂商信息中的IP与设备产线的网络地址IP白名单进行比对，来对物联网设备的身份合法性进行验证。

步骤202，响应于物联网设备的验证请求，对物联网设备进行身份验证。

步骤203，向物联网设备返回验证结果。

具体地说，物联网设备在用户首次使用时会进入激活过程，这一过程主要是为了与物联网平台进行连接，为了保证物联网平台能够确认物联网设备的合法性，物联网设备首先需要向认证服务器发送一个验证请求，通过认证服务器来进行设备身份的认证。认证服务器在接收到设备的验证请求后，根据验证请求中携带的一次性验证码，对物联网设备进行身份认证，并在认证成功后向物联网设备返回验证结果，同时在验证结果中携带通信连接密钥。

在一个例子中，认证服务器首先将验证结果发送给物联网平台，此时物联网平台对验证结果进行解析，获得了物联网设备身份可信的消息，然后将通信连接密钥保存在本地。此时相当于物联网平台获知物联网设备的身份是可信的，将验证结果转发物联网设备，等待物联网设备通过通信连接密钥与自身建立双向可信的通信连接。

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包括相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

本发明第三实施方式涉及一种物联网设备，如图3所示，包括：

消息接收模块301，用于获取认证服务器发送的唯一设备密钥，以及，获取认证服务器在验证通过后返回的认证结果其中，认证结果携带有通信连接密钥。

验证码生成模块302，用于根据唯一设备密钥生成验证码。

请求发送模块303，用于向认证服务器发送携带有验证码的验证请求。

在一个例子中，请求发送模块303还用于在设备出厂阶段，向认证服务器发送携带有设备标识和厂商信息的密钥申请请求，供认证服务器进行设备合法性认证并生成唯一设备密钥。

通道建立模块304，利用通信连接密钥与物联网平台建立安全连接通道。

不难发现，本实施方式为与第一实施方式相对应的虚拟装置实施例，本实施方式可与第一实施方式互相配合实施。第一实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

值得一提的是，本实施方式中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本发明的创新部分，本实施方式中并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，但这并不表明本实施方式中不存在其它的单元。

本发明第四实施方式涉及一种认证服务器，如图4所示，包括：

消息发送模块401，用于向所述物联网设备发送唯一设备密钥。

设备验证模块402，用于对物联网设备进行身份验证；其中，验证请求中携带有根据所述唯一设备密钥生成的验证码。

消息发送模块403，还用于向物联网设备返回验证结果；其中，验证结果中携带有通信连接密钥，通信连接密钥用于与物联网平台建立安全连接通道。

不难发现，本实施方式为与第二实施方式相对应的虚拟装置实施例，本实施方式可与第一实施方式互相配合实施。第一实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

值得一提的是，本实施方式中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本发明的创新部分，本实施方式中并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，但这并不表明本实施方式中不存在其它的单元。

本发明第五实施方式涉及一种设备认证系统，如图5所示，包括：物联网设备501、物联网平台502以及认证服务器503；其中，物联网设备501与物联网平台502和认证服务器503通信连接，物联网平台502与认证服务器503通信连接。

具体地说，本实施方式中的设备认证系统中各部分的交互流程如图6所示：

认证服务器503预先添加了厂商产线IP白名单；并且物联网平台502向认证服务器同步物联网设备ID列表；

物联网设备501在出厂阶段，携带设备ID和厂商信息申请设备密钥，其中通信报文使用物联网平台的密钥进行加密；

认证服务器503在接收到物联网设备501的密钥申请请求后，验证请求来源的合法性，验证物联网设备503设备ID的合法性，如果验证成功，则基于设备ID、厂商等信息利用硬件加密机为物联网设备503生成唯一设备密钥，并将密钥返回给物联网设备503；

物联网设备501出厂后在现网激活时，基于设备密钥生成一次性验证码，在物联网设备501上线使用时，携带验证码进行认证，也就是向认证服务器发送携带有验证码的验证请求；

其中，验证请求首先发送给物联网平台502，然后由物联网平台502转发给认证服务器503；

认证服务器503在成功验证物联网设备501的身份后，向物联网平台502返回验证结果，物联网平台记录设备验证成功的结果，并向物联网设备501返回验证结果；其中，验证结果中含有通信连接密钥；

物联网设备501在接收到验证结果后，对验证结果进行解析，得到通信连接密钥，然后利用通信连接密钥与物联网平台建立安全通信连接通道(双向可信连接)。

不难发现，本实施方式为与第三实施方式以及第四实施方式配合实施的系统实施例，第三实施方式或第四实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第三实施方式以及第四实施方式中。

本发明第六实施方式涉及一种电子设备，如图7所示，包括至少一个处理器701；以及，与至少一个处理器71通信连接的存储器702；其中，存储器702存储有可被至少一个处理器701执行的指令，指令被至少一个处理器701执行，以使至少一个处理器701能够执行第一、或第二实施方式中的设备认证方法。

其中，存储器702和处理器701采用总线方式连接，总线可以包括任意数量的互联的总线和桥，总线将一个或多个处理器701和存储器702的各种电路连接在一起。总线还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路连接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口在总线和收发机之间提供接口。收发机可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器701处理的数据通过天线在无线介质上进行传输，进一步，天线还接收数据并将数据传送给处理器701。

处理器701负责管理总线和通常的处理，还可以提供各种功能，包括定时，外围接口，电压调节、电源管理以及其他控制功能。而存储器702可以被用于存储处理器701在执行操作时所使用的数据。

本发明第七实施方式涉及一种计算机可读存储介质，存储有计算机程序。计算机程序被处理器执行时实现上述方法实施例。

即，本领域技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域的普通技术人员可以理解，上述各实施方式是实现本发明的具体实施例，而在实际应用中，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (10)

1.一种设备认证方法，其特征在于，应用于物联网设备，所述方法包括：

获取认证服务器发送的唯一设备密钥；

响应于上线激活指令，根据所述唯一设备密钥生成验证码；

向所述认证服务器发送携带有所述验证码的验证请求；

获取所述认证服务器在验证通过后返回的验证结果，其中，所述验证结果携带有通信连接密钥；

利用所述通信连接密钥与物联网平台建立安全连接通道。

2.根据权利要求1所述的设备认证方法，其特征在于，在所述获取认证服务器发送的唯一密钥之前，还包括：

向所述认证服务器发送携带有设备标识和厂商信息的密钥申请请求，供所述认证服务器进行设备合法性认证并生成所述唯一设备密钥。

3.根据权利要求1所述的设备认证方法，其特征在于，在所述获取所述认证服务器返回的认证结果之后，在所述利用所述通信连接密钥与所述物联网平台建立安全连接通道之前，包括：

解析所述验证结果得到所述通信连接密钥；

根据所述验证结果验证所述物联网平台身份。

4.一种设备认证方法，其特征在于，应用于认证服务器，所述方法包括：

向物联网设备发送唯一设备密钥；

响应于所述物联网设备的验证请求，对所述物联网设备进行身份验证；其中，所述验证请求中携带有根据所述唯一设备密钥生成的验证码；

向所述物联网设备返回验证结果；其中，所述验证结果中携带有通信连接密钥，所述通信连接密钥用于供所述物联网设备与物联网平台建立安全连接通道。

5.根据权利要求4所述的设备认证方法，其特征在于，在向所述物联网设备发送唯一设备密钥之前，还包括：

响应于所述物联网设备的密钥申请请求，为所述物联网设备生成所述唯一设备密钥；其中，所述密钥申请请求中携带有所述物联网设备的设备标识和厂商信息。

6.一种物联网设备，其特征在于，包括：

消息接收模块，用于获取认证服务器发送的唯一设备密钥，以及，获取所述认证服务器在验证通过后返回的认证结果其中，所述认证结果携带有通信连接密钥；

验证码生成模块，用于根据所述唯一设备密钥生成验证码；

请求发送模块，用于向所述认证服务器发送携带有所述验证码的验证请求；

通道建立模块，利用所述通信连接密钥与物联网平台建立安全连接通道。

7.一种认证服务器，其特征在于，包括：

消息发送模块，用于向所述物联网设备发送唯一设备密钥；

设备验证模块，用于对所述物联网设备进行身份验证；其中，所述验证请求中携带有根据所述唯一设备密钥生成的验证码；

所述消息发送模块，还用于向所述物联网设备返回验证结果；其中，所述验证结果中携带有通信连接密钥，所述通信连接密钥用于与物联网平台建立安全连接通道的。

8.一种设备认证系统，其特征在于，包括：如权利要求6所述的物联网设备、如权利要求7所述的认证服务器，以及物联网平台；

其中，所述物联网设备与所述认证服务器以及所述物联网平台通信连接，所述物联网平台与所述认证服务器通信连接。

9.一种电子设备，其特征在于，包括：至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1至3中任一项所述的设备认证方法，或，执行如权利要求4至5中任一项所述的设备认证方法。

10.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至3中任一项所述的设备认证方法，或，实现权利要求4至5中任一项所述的设备认证方法。

Images