CN112235276B - 主从设备交互方法、装置、系统、电子设备和计算机介质 - Google Patents

Abstract

本申请公开了一种主从设备交互方法和装置。该方法的一具体实施方式包括：从主设备获取服务器证书授权码，以创建并注册主设备认证证书；响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书；响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。该实施方式提升了主设备与从设备交互的安全性。

Description

主从设备交互方法、装置、系统、电子设备和计算机介质

技术领域

本公开涉及物联网技术领域，具体涉及一种主从设备交互方法、装置、系统、电子设备和计算机可读介质。

背景技术

针对户外物联网设备的大规模部署场景，在安全性要求较高的场景下，一般采用的是在物联网设备和服务器端均配备硬件加解密模块，双方在进行通信之前通过加密模块获得授权，在数据传输到各自的目的地后通过解密模块进行解密剥离，如解密后验证通过数据一致性，则确定了硬件授权的正确性。

对于上述采用硬件设备加解密通信的方式，要求服务器和物联网设备都必须具备硬件模块的解密和识别能力，这无疑也同时增加了设备的功耗和部署的成本。

发明内容

本公开提出了一种主从设备交互方法、装置、系统、电子设备和计算机可读介质。

第一方面，本公开的实施例提供了一种主从设备交互方法，该方法包括：从主设备获取服务器证书授权码，以创建并注册主设备认证证书；响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书；响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。

在一些实施例中，上述响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书，包括：响应于确定与从设备第一次连接时从设备认证通过，向从设备发送初始授权令牌；响应于确定与从设备第二次连接时从设备认证通过，基于初始授权令牌以及服务器证书授权码，创建从设备的私有设备认证证书。

在一些实施例中，上述响应于确定与从设备第一次连接时从设备认证通过，向从设备发送初始授权令牌，包括：在从设备的第一次连接请求通过之后，接收并解密从设备发送的状态信息；基于状态信息，得到从设备的状态编码；响应于状态编码满足预设的编码规则，确定通过从设备的认证；响应于确定从设备记录在数据库中，向从设备发送初始授权令牌。

在一些实施例中，上述响应于确定与从设备第二次连接时从设备认证通过，基于初始授权令牌以及服务器证书授权码，创建从设备的私有设备认证证书，包括：在从设备的第二次连接请求通过之后，通过初始授权码解密出从设备的设备识别码；通过识别码创建从设备的私有设备密钥；将服务器证书授权码注入私有设备密钥，以生成私有设备证书；使用根证书签发私有设备证书，生成从设备的私有设备认证证书。

在一些实施例中，上述从主设备获取服务器证书授权码，以创建并注册主设备认证证书，包括：创建自签名的根证书；从主设备获取服务器证书授权码；基于服务器证书授权码，获取主设备的设备识别码；基于主设备的设备识别码，生成主设备的密钥；将根证书导入到主设备的密钥中，生成主设备的证书；通过根证书，签发主设备的证书，得到主设备认证证书。

在一些实施例中，上述创建自签名的根证书包括：自定义服务器类型；根据类型，创建服务器的密钥；根据服务器的密钥，建立自签名的根证书。

在一些实施例中，上述响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌，包括：响应于确定私有设备认证证书以及主设备认证证书两者的签发者相同，判断私有设备认证证书以及主设备认证证书两者中的服务器证书授权码是否相同；响应于判断的结果为私有设备认证证书以及主设备认证证书两者中的服务器证书授权码相同，生成动态授权令牌。

第二方面，本公开的实施例提供了一种主从设备交互装置，该装置包括：主创建单元，被配置成从主设备获取服务器证书授权码，以创建并注册主设备认证证书；从创建单元，被配置成响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书；授权单元，被配置成响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；通信单元，被配置成将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。

在一些实施例中，上述从创建单元包括：授权子单元，被配置成响应于确定与从设备第一次连接时从设备认证通过，向从设备发送初始授权令牌；创建子单元，被配置成响应于确定与从设备第二次连接时从设备认证通过，基于初始授权令牌以及服务器证书授权码，创建从设备的私有设备认证证书。

在一些实施例中，上述授权子单元包括：接收模块，被配置成在从设备的第一次连接请求通过之后，接收并解密从设备发送的状态信息；编码模块，被配置成基于状态信息，得到从设备的状态编码；认证模块，被配置成响应于状态编码满足预设的编码规则，确定通过从设备的认证；发送模块，被配置成响应于确定从设备记录在数据库中，向从设备发送初始授权令牌。

在一些实施例中，上述创建子单元包括：解密模块，被配置成在从设备的第二次连接请求通过之后，通过初始授权码解密出从设备的设备识别码；创密模块，被配置成通过识别码创建从设备的私有设备密钥；注入模块，被配置成将服务器证书授权码注入私有设备密钥，以生成私有设备证书；签发模块，被配置成使用根证书签发私有设备证书，生成从设备的私有设备认证证书。

在一些实施例中，上述主创建单元包括：创建子单元，被配置成创建自签名的根证书；获取子单元，被配置成从主设备获取服务器证书授权码；识别子单元，被配置成基于服务器证书授权码，获取主设备的设备识别码；生成子单元，被配置成基于主设备的设备识别码，生成主设备的密钥；导入子单元，被配置成将根证书导入到主设备的密钥中，生成主设备的证书；签证子单元，被配置成通过根证书，签发主设备的证书，得到主设备认证证书。

在一些实施例中，上述创建子单元包括：自定义模块，被配置成自定义服务器类型；创建模块，被配置成根据类型，创建服务器的密钥；建立模块，被配置成根据服务器的密钥，建立自签名的根证书。

在一些实施例中，上述授权单元包括：判断子单元，被配置成响应于确定私有设备认证证书以及主设备认证证书两者的签发者相同，判断私有设备认证证书以及主设备认证证书两者中的服务器证书授权码是否相同；生成子单元，被配置成响应于判断的结果为私有设备认证证书以及主设备认证证书两者中的服务器证书授权码相同，生成动态授权令牌。

第三方面，本公开的实施例提供了一种主从设备交互系统，该系统包括：服务器以及分别与服务器通信连接的主设备、从设备；服务器，用于实现如第一方面中任一实现方式描述的方法；主设备，被配置成向服务器发送服务器证书授权码，并接收由服务器生成的动态授权令牌；从设备，被配置成与服务器进行连接，并从服务器接收动态授权令牌；主设备与从设备通过动态授权令牌进行通信。

第四方面，本公开的实施例提供了一种电子设备，该电子设备包括：一个或多个处理器；存储装置，其上存储有一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如第一方面中任一实现方式描述的方法。

第五方面，本公开的实施例提供了一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面中任一实现方式描述的方法。

本公开的实施例提供的主从设备交互方法、装置和系统，首先从主设备获取服务器证书授权码，以创建并注册主设备认证证书。其次，响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书。然后，响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；最后，将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。主设备和从设备基于由服务器证书授权码创建的主设备认证证书和私有设备认证证书，在主设备认证证书和私有设备认证证书验证通过之后，生成的动态授权令牌进行交互，保障了主从设备网络交互的安全性的情况下，提高了现有网络资源使用率，节省了设备功耗和部署的成本。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：

图1是本公开的一个实施例可以应用于其中的示例性系统架构图；

图2是根据本公开的主从设备交互方法的一个实施例的流程图；

图3是根据本公开的创建从设备的私有设备认证证书的方法的一个实施例的流程图；

图4是根据本公开的创建并注册主设备认证证书的方法的一个实施例的流程图；

图5是根据本公开的生成动态授权令牌的方法的一个实施例的流程图；

图6是根据本公开的主从设备交互装置的一个实施例的结构示意图；

图7是根据本公开的主从设备交互系统的一个实施例的结构示意图；

图8是适于用来实现本公开的实施例的电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本公开作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本公开。

图1示出了可以应用本公开的主从设备交互方法或主从设备交互系统的示例性架构100。

如图1所示，系统架构100可以包括从设备101、102，主设备103，网络104和服务器105。网络104用以在从设备101、102，主设备103分别与服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，通常可以包括无线通信链路等等。

从设备101、102通过网络104与服务器105交互，以接收或发送消息等。从设备101、102上可以安装有各种通讯客户端应用，例如即时通信工具、邮箱客户端等。

主设备103通过网络104与服务器105交互，以接收或发送消息等。主设备103上可以安装有各种协议转换应用，各协议转换应用用于实现不同从设备之间的协议转换。

服务器105可以是提供各种服务的服务器，例如为获取从设备101、102，主设备103上资源系统的相关信息的资源获取服务器。资源获取服务器可以对网络中各资源系统的相关数据进行分析处理，并将处理结果反馈给从设备101、102和主设备103。

需要说明的是，服务器可以是硬件，也可以是软件。当服务器为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当服务器为软件时，可以实现成多个软件或软件模块(例如用来提供分布式服务的软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。

需要说明的是，本公开的实施例所提供的主从设备交互方法一般由服务器105执行，相应地，主从设备交互装置一般设置于服务器105中。

应该理解，图1中的主从设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的主从设备、网络和服务器。

继续参考图2，示出了根据本公开的主从设备交互方法的一个实施例的流程200。该主从设备交互方法包括以下步骤：

步骤201，从主设备获取服务器证书授权码，以创建并注册主设备认证证书。

本实施例中，主从设备交互方法运行于其上的执行主体可以部署在本地或云端，执行主体可以首先产生服务器根证书，然后向主设备发送网络请求，根据主设备返回的网络响应，获得服务器证书授权码。

本实施例中，主设备为具有控制功能的设备，比如网关、集中器、代理机等，主设备的控制端为从设备，比如，便携终端、传感器等，本实施例中，从设备也是没有控制功能的设备。在物联网技术领域中，执行主体可以是数据服务器，从设备可以是物联网终端设备，比如为传感器，物联网终端设备部署于物联网网络终端节点，通过无线网络与数据服务器进行通信。主设备部署于接口物联网终端设备周围，通过有线或无线方式分别与数据服务器以及物联网终端设备相连。

本实施例中，服务器证书授权码是包含域和服务器类型信息的字符串，在物联网技术领域中，数据服务器与集中器相连，集中器可以生成数据服务器的服务器证书授权码，并在与数据服务器通信过程中，将服务器证书授权码发送给数据服务器。

本实施例中，可以通过服务器证书授权码创建并注册主设备认证证书。可选地，还可以根据主设备返回的网络响应获得主设备(比如边缘集中器)的唯一设备识别码，基于主设备的唯一设备识别码以及上述服务器证书授权码，创建并注册主设备认证证书。

步骤202，响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书。

本实施例中，在从设备连接执行主体时，执行主体首先对从设备进行身份验证，以判断从设备是否合格，若合格，确定从设备认证通过。

本实施例中，可以基于服务器证书授权码，创建从设备的私有设备认证证书。可选地，还可以获取从设备的唯一的设备识别码，并基于服务器证书授权码和从设备的设备识别码，创建从设备的私有设备认证证书。

步骤203，响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌。

本实施例中，动态授权令牌可以是使用动态口令的硬件令牌或软件令牌，每登陆一次产生一个新的密码。密码由机器不断变化产生，不需要记忆也不会搞错，每个密码仅用一次，可有效解决密码被盗问题。

本实施例中，可以基于私有设备认证证书和主设备认证证书均包含的内容进行验证，例如，由上述步骤可知，私有设备认证证书和主设备认证证书均包含服务器证书授权码，因此通过验证私有设备认证证书和主设备认证证书中的服务器证书授权码是否相同，若相同，则验证通过。

可选地，还可以首先验证私有设备认证证书以及主设备认证证书两者中的服务器证书授权码是否相同；若两者中的服务器证书授权码相同，进一步地，再验证私有设备认证证书以及主设备认证证书两者的签发者是否相同；若验证结果为两者的签发者相同，则生成动态授权令牌。

步骤204，将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。

本实施例中，动态授权令牌可以包括：起始时间，失效时间，采用的安全协议，采用的加密算法，应用授权可信访问层次，安全等级载体等等。

本实施例可以针对不同的物联网设备类型，可以根据运算存储能力携带或不携带操作系统。在考虑到物联网在窄带宽和低功耗环境中的实际运用情况，在首次进行设备注册的时候，需要少量的与服务器交互次数的同时，也仅需要提供服务器证书授权码进行验证。

进一步地，针对户外物联网设备的大规模部署场景，可以利用窄带宽模块实现执行主体与从设备进行初始化时有限的网络交互，从而极大的减少网络负载；同时，还可以采用了低功耗的互联网模块，在电池性能一定的情况下，从而极大的提升物联网设备的续航能力；最后，可以采用本申请的主从设备交互方法实现服务器证书的签发授权，管理和控制物联网设备，有效防范非法侵入。在保证了信息安全通信的基础上，有效降低了成本。在此大规模部署的应用中，考虑了低功耗的续航要求以及部署成本的经济性和实用性。从而对于承载能力有限的物联网设备，也可以利用最终的动态授权令牌进行交互，提高了现有网络资源使用率，扩展了户外物联网设备的大规模部署适用场景。

本公开的实施例提供的主从设备交互方法，首先从主设备获取服务器证书授权码，以创建并注册主设备认证证书。其次，响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书。然后，响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；最后，将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。主设备和从设备基于由服务器证书授权码创建的主设备认证证书和私有设备认证证书，在主设备认证证书和私有设备认证证书验证通过之后，生成的动态授权令牌进行交互，保障了主从设备网络交互的安全性的情况下，提高了现有网络资源使用率，节省了设备功耗和部署的成本。

在本实施例的一些可选实现方式中，参见图3，示出了根据本公开的创建从设备的私有设备认证证书的方法的一个实施例的流程300。该创建从设备的私有设备认证证书的方法包括以下步骤：

步骤301，响应于确定与从设备第一次连接时从设备认证通过，向从设备发送初始授权令牌。

本实施例中，主从设备交互方法运行于其上的执行主体可以根据与从设备第一次连接时的两者的交互信息确定从设备是否通过认证，其中，交互信息可以根据从设备在物联网系统的功能确定，比如，从设备为温度采集器，执行主体可以通过与从设备交互接收从设备采集的信息，并判断该信息与预设的温度信息表示方式是否相同，若是相同，确定从设备通过认证；否则，确定从设备不通过认证。当然，交互信息还可以其他可以验证从设备的信息，此处不做限定。

在本实施例的一些可选实现方式中，响应于确定与从设备第一次连接时从设备认证通过，向从设备发送初始授权令牌包括：在从设备的第一次连接请求通过之后，接收并解密从设备发送的状态信息；基于状态信息，得到从设备的状态编码；响应于状态编码满足预设的编码规则，确定通过从设备的认证；响应于确定从设备记录在数据库中，向从设备发送初始授权令牌。

本可选实施例中，数据服务器在网络上创建连接节点，物联网终端设备在第一次上线后主动连接数据服务器的节点；数据服务器根据物联网终端设备所带的状态信息进行第一次认证，在认证成功服务器解密出物联网终端设备的状态编码，确认是否为已知设备还是非法侵入设备，若为已知设备，则在设备数据库中查询该物联网终端设备的记录，通过查询确认有记录后向物联网终端设备发送初始授权令牌。本实施例中，初始授权令牌为包括：生效期和失效期。并在通信过程中，只能在生效期中使用初始授权令牌。

本可选实现方式提供的从设备第一次连接的认证方式，首先解密从设备的状态信息，基于状态信息得到从设备的状态编码，响应于状态编码满足预设的编码规则，确定通过从设备的认证，从而在加密的基础上提取有效信息进行规则验证，从多方面实现了对从设备的认证，保证了与从设备进行信息交互的安全性。

步骤302，响应于确定与从设备第二次连接时从设备认证通过，基于初始授权令牌以及服务器证书授权码，创建从设备的私有设备认证证书。

本实施例中，执行主体可以基于与从设备在第一次连接时得到初始授权令牌确定从设备认证是否通过，比如，在从设备进行第二次连接时，获取从设备发送的初始授权令牌，与数据库中记录的该从设备的初始授权令牌进行比对，若两者相同，确定从设备认证通过。

在本实施例的一些可选实现方式中，响应于确定与从设备第二次连接时从设备认证通过，基于初始授权令牌以及服务器证书授权码，创建从设备的私有设备认证证书，包括：在从设备的第二次连接请求通过之后，通过初始授权码解密出从设备的设备识别码；通过识别码创建从设备的私有设备密钥；将服务器证书授权码注入私有设备密钥，以生成私有设备证书；使用根证书签发私有设备证书，生成从设备的私有设备认证证书。

本可选实现方式中，物联网终端设备根据初始授权令牌，将自身设备的唯一识别码进行加密，通过数据服务器认证的连接节点进去再次的发送第二次请求；在数据服务器接到第二次请求后，也通过前述的初始授权令牌进行解密，从而得到物联网终端设备的唯一的设备识别码。

数据服务器在得到物联网终端设备唯一的设备识别码后，通过该识别码创建对应于此设备的私有设备密钥；为了同主设备认证证书匹配，需将上述步骤中的服务器证书授权码注入私有设备密钥，从而生成私有设备证书；再使用数据服务器的根证书对该私有设备证书进行签发，生成私有设备认证证书。

本可选实现方式提供的从设备第二次连接时的私有设备认证证书生成方法，首先通过初始授权令牌解密从设备的设备识别码，基于从设备的设备识别码的唯一性以及服务器授权码的可验证性，生成私有设备认证证书，保证了私有设备认证证书的可靠性。

综上，在本实施例的可选实现方式中，在从设备第一连接认证通过时，向从设备发送初始授权令牌；在从设备第二连接认证通过时，基于服务器证书授权码，创建从设备的私有设备认证证书，由此，利用服务器证书授权签发授权机制，采用了多重认证方法，提高了物联网设备的信息安全性，可以有效防范非法侵入。

在本实施例的一些可选实现方式，继续参见图4，示出了根据本公开的创建并注册主设备认证证书的方法的一个实施例的流程400，该创建并注册主设备认证证书的方法包括以下步骤：

步骤401，创建自签名的根证书。

根证书是一份特殊的证书，根证书的签发者是根证书本身，下载根证书就表明对该根证书以下所签发的证书都表示信任，而技术上则是建立起一个验证证书信息的链条，证书的验证追溯至根证书即为结束。本实施例中，可以根据服务器的信息(比如服务器类型、种类、型号等等)创建自签名的根证书。

在本实施例的一些可选实现方式，创建自签名的根证书包括：自定义服务器类型；根据类型，创建服务器的密钥；根据服务器的密钥，建立自签名的根证书。

本可选实现方式中，采用服务器的类型创建服务器的密钥，在密钥中体现了服务器的类型，保证了根证书的可靠性和有效性。

步骤402，从主设备获取服务器证书授权码。

本可选实现方式中，主设备会根据执行主体所属的不同的服务器类型生成不同的服务器证书授权码。

步骤403，基于服务器证书授权码，获取主设备的设备识别码。

本可选实现方式中，执行主体根据服务器证书授权码，再相应的从主设备中取得主设备的设备识别码。

步骤404，基于主设备的设备识别码，生成主设备的密钥。

本可选实现方式中，通过常规生成密钥的方式在服务器端生成主设备的密钥，比如，以主设备的设备识别码作为种子，在这个基础上运用加密算法可以生成密钥。本实施例中，主设备的密钥也是主设备的认证证书的密钥。

步骤405，将根证书导入到主设备的密钥中，生成主设备的证书。

步骤406，通过根证书，签发主设备的证书，得到主设备认证证书。

本可选实现方式中，将服务器根证书和主设备认证证书同时注册；通过此种形式，在确保主设备的认证证书唯一性的同时，也保证了该主设备的认证证书和服务器根证书绑定的一致性。

本可选实现方式提供的创建注册主设备认证证书的方法，从主设备获取服务器证书授权码，基于服务器证书授权码，获取主设备的设备识别码，基于从设备的设备识别码的唯一性以及根证书的可验证性，得到主设备认证证书，保证了主设备的认证证书的可靠性，在确保主设备的认证证书唯一性的同时，也保证了该主设备的认证证书和服务器根证书绑定的一致性。

在本实施例的一些可选实现方式中，继续参考图5，示出了根据本公开的生成动态授权令牌的方法的一个实施例的流程500，该生成动态授权令牌的方法包括以下步骤：

步骤501，判断私有设备认证证书以及主设备认证证书两者的签发者相同；若判断结果为是，之后执行步骤502，若判断结果为否，之后执行步骤504。

步骤502，判断私有设备认证证书以及主设备认证证书两者中的服务器证书授权码是否相同；若判断结果为是，之后执行步骤503；若判断结果为否，之后执行步骤504。

步骤503，生成动态授权令牌。

步骤504，结束。

本可选实现方式提供的生成动态授权令牌的方法，首先判断私有设备认证证书与主设备认证证书两者的签发者；在两者的签发者相同时，再判断私有设置认证证书以及主设备认证证书两者中的服务器证书授权码是否相同，并在两者相同时，生成动态授权令牌。由此在生成动态授权令牌之前进过两次验证，保证生成的动态授权令牌的可靠性，为后续主从设备之间通过动态授权令牌进行通信奠定了可靠的基础。

进一步参考图6，作为对上述各图所示方法的实现，本公开提供了主从设备交互装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图6所示，本实施例提供的主从设备交互装置600包括主创建单元601、从创建单元602、授权单元603、通信单元604。其中，主创建单元601，被配置成从主设备获取服务器证书授权码，以创建并注册主设备认证证书。从创建单元602，被配置成响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书。授权单元603，被配置成响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌。通信单元604，被配置成将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。

在本实施例中，主从设备交互装置600中：主创建单元601、从创建单元602、授权单元603、通信单元604的具体处理及其所带来的技术效果可分别参考图2对应实施例中的步骤201、步骤202、步骤203和步骤204的相关说明，在此不再赘述。

在本实施例的一些可选的实现方式中，上述从创建单元602包括：授权子单元(图中未示出)、创建子单元(图中未示出)。其中，上述授权子单元，可以被配置成响应于确定与从设备第一次连接时从设备认证通过，向从设备发送初始授权令牌。上述创建子单元，可以被配置成响应于确定与从设备第二次连接时从设备认证通过，基于初始授权令牌以及服务器证书授权码，创建从设备的私有设备认证证书。

在本实施例的一些可选的实现方式中，上述授权子单元包括：接收模块(图中未示出)，编码模块(图中未示出)，认证模块(图中未示出)，发送模块(图中未示出)。其中，上述接收模块，可以被配置成被配置成在从设备的第一次连接请求通过之后，接收并解密从设备发送的状态信息。上述编码模块，可以被配置成基于状态信息，得到从设备的状态编码。上述认证模块，可以被配置成响应于状态编码满足预设的编码规则，确定通过从设备的认证。上述发送模块，可以被配置成响应于确定从设备记录在数据库中，向从设备发送初始授权令牌。

在本实施例的一些可选的实现方式中，上述创建子单元包括：解密模块(图中未示出)、创密模块(图中未示出)、注入模块(图中未示出)、签发模块(图中未示出)。其中，上述解密模块模块，可以被配置成在从设备的第二次连接请求通过之后，通过初始授权码解密出从设备的设备识别码。上述创密模块，可以被配置成通过识别码创建从设备的私有设备密钥。上述注入模块，可以被配置成将服务器证书授权码注入私有设备密钥，以生成私有设备证书。上述签发模块，可以被配置成使用根证书签发私有设备证书，生成从设备的私有设备认证证书。

在本实施例的一些可选的实现方式中，上述主创建单元包括：创建子单元(图中未示出)、获取子单元(图中未示出)、识别子单元(图中未示出)、生成子单元(图中未示出)、导入子单元(图中未示出)、签证子单元(图中未示出)。其中，上述创建子单元，可以被配置成创建自签名的根证书。上述获取子单元，可以被配置成从主设备获取服务器证书授权码。上述识别子单元，可以被配置成基于服务器证书授权码，获取主设备的设备识别码。上述生成子单元，可以被配置成基于主设备的设备识别码，生成主设备的密钥。上述导入子单元，可以被配置成将根证书导入到主设备的密钥中，生成主设备的证书。上述签证子单元，可以被配置成通过根证书，签发主设备的证书，得到主设备认证证书。

在本实施例的一些可选的实现方式中，上述创建子单元包括：自定义模块(图中未示出)、创建模块(图中未示出)、建立模块(图中未示出)。其中，上述自定义模块，可以被配置成自定义服务器类型。上述创建模块，可以被配置成根据类型，创建服务器的密钥。上述建立模块，可以被配置成根据服务器的密钥，建立自签名的根证书。

在本实施例的一些可选的实现方式中，上述授权单元603包括：判断子单元(图中未示出)、生成子单元(图中未示出)。其中，上述判断子单元，可以被配置成响应于确定私有设备认证证书以及主设备认证证书两者的签发者相同，判断私有设备认证证书以及主设备认证证书两者中的服务器证书授权码是否相同。上述生成子单元，可以被配置成响应于判断的结果为私有设备认证证书以及主设备认证证书两者中的服务器证书授权码相同，生成动态授权令牌。

本公开的实施例提供的主从设备交互装置，首先主创建单元601从主设备获取服务器证书授权码，以创建并注册主设备认证证书。其次，从创建单元602响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书。然后，授权单元603响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；最后，通信单元604将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。主设备和从设备基于由服务器证书授权码创建的主设备认证证书和私有设备认证证书，在主设备认证证书和私有设备认证证书验证通过之后，生成的动态授权令牌进行交互，保障了主从设备网络交互的安全性的情况下，提高了现有网络资源使用率，节省了设备功耗和部署的成本。

进一步参考图7，作为对上述各图所示方法的实现，本公开提供了主从设备交互系统的一个实施例，该系统实施例与方法实施例相对应。

如图7所示，本实施例提供的主从设备交互系统700包括：服务器701(例如图1所示的服务器105)以及分别与服务器701通信连接的主设备702(例如图1所示的主设备103)、从设备703(例如图1所示的从设备101、102)；其中，服务器701，可以用于实现如前述实施例的主从设备交互的方法；上述主设备702，可以被配置成向服务器701发送服务器证书授权码，并接收由服务器701生成的动态授权令牌。上述从设备703，可以被配置成与服务器701进行连接，并从服务器701接收动态授权令牌；上述主设备702与上述从设备703通过动态授权令牌进行通信。

本实施例中，主设备为具有控制功能的设备，比如网关、集中器、代理机等，主设备的控制端为从设备，比如，便携终端、传感器等，本实施例中，从设备也是没有控制功能的设备。在物联网技术领域中，执行主体可以是数据服务器，从设备可以是物联网终端设备，比如为传感器，物联网终端设备部署于物联网网络终端节点，通过无线网络与数据服务器进行通信。主设备部署于接口物联网终端设备周围，通过有线或无线方式分别与数据服务器以及物联网终端设备相连。

下面以物联网技术领域中数据服务器、物联网终端设备以及边缘集中器三者之间交互过程，详细说明本公开主从设备交互系统的具体工作流程如下：

1)数据服务器首先生成自身密钥，以及带签名功能的根证书，再与集中器通信，注册服务器根证书和边缘集中器认证证书。

2)数据服务器建立网络通道，等待物联网终端设备连接。

3)当有效的物联网终端设备接入后，解密物联网终端设备的类型编码，通过查询数据服务器的数据库判断物联网终端设备是否非法接入网络，如为有效接入，则数据服务器向物联网终端设备发放设备初始授权令牌。

4)物联网终端设备在得到初始授权令牌后，与数据服务器进行第二次连接，在数据服务器认证通过后提供物联网终端设备的唯一设备识别码给数据服务器；数据服务器根据该设备识别码生成对应的私有设备密钥，在制备密钥的过程中，为了使得物联网终端设备的密钥中包含对应边缘集中器的授权，还应同时注入边缘集中器的授权码；在制作完成私有设备密钥后，再生成私有设备证书；最后，使用服务器端的根证书对私有设备证书进行签发，得到物联网终端设备认证证书。

5)数据服务器验证物联网终端设备认证证书和边缘集中器认证证证书是否一致性合法。因为两个证书的签发者都为唯一的数据服务器根证书，所以在签发者的验证上应为一致；在授权证书的具体内容中，因为要保证物联网终端设备能正确的在边缘集中器上注册，所以在制作物联网终端设备私有证书时注入了边缘集中器的授权码。这样的多重认证在确保了数据一致性的同时，也保证了证书的安全性。

6)经过一致性合法验证，数据服务器向物联网终端设备和边缘集中器颁发动态授权令牌；物联网终端设备在得到此动态授权令牌后，可以直接与边缘集中器通信。

本公开的上述实施例提供的主从设备交互系统，首先服务器701从主设备获取服务器证书授权码，以创建并注册主设备认证证书。其次，服务器701响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书。然后，服务器701响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；最后，服务器701将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。主设备和从设备基于由服务器证书授权码创建的主设备认证证书和私有设备认证证书，在主设备认证证书和私有设备认证证书验证通过之后，生成的动态授权令牌进行交互，保障了主从设备网络交互的安全性的情况下，提高了现有网络资源使用率，节省了设备功耗和部署的成本。

下面参考图8，下面参考图8，其示出了适于用来实现本公开的实施例的电子设备(例如图1中的服务器)800的结构示意图。图8示出的服务器仅仅是一个示例，不应对本公开的实施例的功能和使用范围带来任何限制。

如图8所示，电子设备800可以包括处理装置(例如中央处理器、图形处理器等)801，其可以根据存储在只读存储器(ROM)802中的程序或者从存储装置808加载到随机访问存储器(RAM)803中的程序而执行各种适当的动作和处理。在RAM 803中，还存储有电子设备800操作所需的各种程序和数据。处理装置801、ROM 802以及RAM803通过总线804彼此相连。输入/输出(I/O)接口805也连接至总线804。

通常，以下装置可以连接至I/O接口805：包括例如触摸屏、触摸板、键盘、鼠标、等的输入装置806；包括例如液晶显示器(LCD，Liquid Crystal Display)、扬声器、振动器等的输出装置807；包括例如磁带、硬盘等的存储装置808；以及通信装置809。通信装置809可以允许电子设备800与其他设备进行无线或有线通信以交换数据。虽然图8示出了具有各种装置的电子设备800，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图8中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置809从网络上被下载和安装，或者从存储装置808被安装，或者从ROM 802被安装。在该计算机程序被处理装置801执行时，执行本公开的实施例的方法中限定的上述功能。

需要说明的是，本公开的实施例的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开的实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开的实施例中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(Radio Frequency，射频)等等，或者上述的任意合适的组合。

上述计算机可读介质可以是上述服务器中所包含的；也可以是单独存在，而未装配入该服务器中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该服务器执行时，使得该服务器：从主设备获取服务器证书授权码，以创建并注册主设备认证证书；响应于确定与从设备连接时从设备认证通过，基于服务器证书授权码，创建从设备的私有设备认证证书；响应于确定私有设备认证证书和主设备认证证书验证通过，生成动态授权令牌；将动态授权令牌分别发送给主设备、从设备，以使主设备和从设备根据动态授权令牌进行通信。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开的实施例的操作的计算机程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开的各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开的实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器，包括主创建单元、从创建单元、授权单元和通信单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，主创建单元还可以被描述为“被配置成从主设备获取服务器证书授权码，以创建并注册主设备认证证书”的单元。

以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开的实施例中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开的实施例中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (15)

1.一种主从设备交互方法，所述方法包括：

从主设备获取服务器证书授权码，以创建并注册主设备认证证书；

响应于确定与从设备连接时所述从设备认证通过，基于所述服务器证书授权码，创建所述从设备的私有设备认证证书；

响应于确定所述私有设备认证证书和所述主设备认证证书验证通过，生成动态授权令牌；

将所述动态授权令牌分别发送给所述主设备、所述从设备，以使所述主设备和所述从设备根据所述动态授权令牌进行通信；所述响应于确定与从设备连接时所述从设备认证通过，基于所述服务器证书授权码，创建所述从设备的私有设备认证证书，包括：

响应于确定与从设备第一次连接时所述从设备认证通过，向所述从设备发送初始授权令牌；

响应于确定与所述从设备第二次连接时所述从设备认证通过，基于所述初始授权令牌以及所述服务器证书授权码，创建所述从设备的私有设备认证证书。

2.根据权利要求1所述的方法，其中，所述响应于确定与从设备第一次连接时所述从设备认证通过，向所述从设备发送初始授权令牌，包括：

在从设备的第一次连接请求通过之后，接收并解密所述从设备发送的状态信息；

基于所述状态信息，得到所述从设备的状态编码；

响应于所述状态编码满足预设的编码规则，确定通过所述从设备的认证；

响应于确定所述从设备记录在数据库中，向所述从设备发送初始授权令牌。

3.根据权利要求1所述的方法，其中，所述响应于确定与所述从设备第二次连接时所述从设备认证通过，基于所述初始授权令牌以及所述服务器证书授权码，创建所述从设备的私有设备认证证书，包括：

在所述从设备的第二次连接请求通过之后，通过所述初始授权令牌解密出所述从设备的设备识别码；

通过所述设备识别码创建所述从设备的私有设备密钥；

将所述服务器证书授权码注入所述私有设备密钥，以生成私有设备证书；

使用根证书签发所述私有设备证书，生成所述从设备的私有设备认证证书。

4.根据权利要求1所述的方法，其中，所述从主设备获取服务器证书授权码，以创建并注册主设备认证证书，包括：

创建自签名的根证书；

从主设备获取服务器证书授权码；

基于所述服务器证书授权码，获取所述主设备的设备识别码；

基于所述主设备的设备识别码，生成主设备的密钥；

将所述根证书导入到所述主设备的密钥中，生成主设备的证书；

通过所述根证书，签发所述主设备的证书，得到主设备认证证书。

5.根据权利要求4所述的方法，其中，所述创建自签名的根证书包括：

自定义服务器类型；

根据所述类型，创建服务器的密钥；

根据所述服务器的密钥，建立自签名的根证书。

6.根据权利要求1所述的方法，其中，所述响应于确定所述私有设备认证证书和所述主设备认证证书验证通过，生成动态授权令牌，包括：

响应于确定所述私有设备认证证书以及所述主设备认证证书两者的签发者相同，判断所述私有设备认证证书以及所述主设备认证证书两者中的服务器证书授权码是否相同；

响应于判断的结果为所述私有设备认证证书以及所述主设备认证证书两者中的服务器证书授权码相同，生成动态授权令牌。

7.一种主从设备交互装置，所述装置包括：

主创建单元，被配置成从主设备获取服务器证书授权码，以创建并注册主设备认证证书；

从创建单元，被配置成响应于确定与从设备连接时所述从设备认证通过，基于所述服务器证书授权码，创建所述从设备的私有设备认证证书；

授权单元，被配置成响应于确定所述私有设备认证证书和所述主设备认证证书验证通过，生成动态授权令牌；

通信单元，被配置成将所述动态授权令牌分别发送给所述主设备、所述从设备，以使所述主设备和所述从设备根据所述动态授权令牌进行通信；

所述从创建单元包括：

授权子单元，被配置成响应于确定与从设备第一次连接时所述从设备认证通过，向所述从设备发送初始授权令牌；

创建子单元，被配置成响应于确定与所述从设备第二次连接时所述从设备认证通过，基于所述初始授权令牌以及所述服务器证书授权码，创建所述从设备的私有设备认证证书。

8.根据权利要求7所述的装置，其中，所述授权子单元包括：

接收模块，被配置成在从设备的第一次连接请求通过之后，接收并解密所述从设备发送的状态信息；

编码模块，被配置成基于所述状态信息，得到所述从设备的状态编码；

认证模块，被配置成响应于所述状态编码满足预设的编码规则，确定通过所述从设备的认证；

发送模块，被配置成响应于确定所述从设备记录在数据库中，向所述从设备发送初始授权令牌。

9.根据权利要求7所述的装置，其中，所述创建子单元包括：

解密模块，被配置成在所述从设备的第二次连接请求通过之后，通过所述初始授权令牌解密出所述从设备的设备识别码；

创密模块，被配置成通过所述设备识别码创建所述从设备的私有设备密钥；

注入模块，被配置成将所述服务器证书授权码注入所述私有设备密钥，以生成私有设备证书；

签发模块，被配置成使用根证书签发所述私有设备证书，生成所述从设备的私有设备认证证书。

10.根据权利要求7所述的装置，其中，所述主创建单元包括：

创建子单元，被配置成创建自签名的根证书；

获取子单元，被配置成从主设备获取服务器证书授权码；

识别子单元，被配置成基于所述服务器证书授权码，获取所述主设备的设备识别码；

生成子单元，被配置成基于所述主设备的设备识别码，生成主设备的密钥；

导入子单元，被配置成将所述根证书导入到所述主设备的密钥中，生成主设备的证书；

签证子单元，被配置成通过所述根证书，签发所述主设备的证书，得到主设备认证证书。

11.根据权利要求10所述的装置，其中，所述创建子单元包括：

自定义模块，被配置成自定义服务器类型；

创建模块，被配置成根据所述类型，创建服务器的密钥；

建立模块，被配置成根据所述服务器的密钥，建立自签名的根证书。

12.根据权利要求7所述的装置，其中，所述授权单元包括：

判断子单元，被配置成响应于确定所述私有设备认证证书以及所述主设备认证证书两者的签发者相同，判断所述私有设备认证证书以及所述主设备认证证书两者中的服务器证书授权码是否相同；

生成子单元，被配置成响应于判断的结果为所述私有设备认证证书以及所述主设备认证证书两者中的服务器证书授权码相同，生成动态授权令牌。

13.一种主从设备交互系统，所述系统包括：服务器以及分别与所述服务器通信连接的主设备、从设备；

所述服务器，用于实现如权利要求1-6中任一所述的方法；

所述主设备，被配置成向所述服务器发送服务器证书授权码，并接收由所述服务器生成的动态授权令牌；

所述从设备，被配置成与所述服务器进行连接，并从所述服务器接收所述动态授权令牌；

所述主设备与所述从设备通过所述动态授权令牌进行通信。

14.一种服务器，包括：

一个或多个处理器；

存储装置，其上存储有一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-6中任一所述的方法。

15.一种计算机可读介质，其上存储有计算机程序，其中，该程序被处理器执行时实现如权利要求1-6中任一所述的方法。

Images