CN112261062A - 支持多协议转换的物联网安全接入方法及网关、系统 - Google Patents

Abstract

本发明涉及物联网数据传输技术领域，特别涉及一种支持多协议转换的物联网安全接入方法及网关、系统，用于适用多个类型物联网终端的网络应用场景接入，包含：对物联网终端请求数据进行加密和协议封装，生成终端数据密文，并对终端数据密文添加用于区分的接入标识信息；对终端数据密文进行解密并通过应用系统响应获取对应响应数据，对响应数据加密后生成响应密文；解析响应密文，并通过接入标识确定待回复的物联网终端。本发明能够支持多种物联网IoT终端接入和应用对接协议，可同时提供不同设备类型、不同接入协议的SDK支持，方便IoT终端设备接入云平台，提升物联网接入协议的易用性；可适应于不同应用场景，进一步扩大适用范围，具有较好的应用前景。

Description

支持多协议转换的物联网安全接入方法及网关、系统

技术领域

本发明涉及物联网数据传输技术领域，特别涉及一种支持多协议转换的物联网安全接入方法及网关、系统。

背景技术

在万物互联时代，将物理世界的数据进行数字化采集、传输和分析，最终通过丰富的物联网应用实现智慧化，是未来发展的大势所趋。随着物联网、云计算和大数据技术的快速发展，中大型物联网云平台初具雏形，同时各种物联网终端设备联网需求强烈；物联网终端类型整体上可分为：NB-IoT窄带类设备、LTE/WIFI宽带类设备，通常情况下各种接入协议适用的场景如下：(1)在考虑低功耗以及广覆盖的场景，常使用CoAP协议接入；(2)在需要与设备实时通信的场景，常使用MQTT协议接入；(3)在设备单纯上报数据的场景，常使用HTTP/HTTPS协议接入；(4)物联网设备通过传输网络，一般通过以下两种方式将终端侧数据发送至应用侧：(5)物联网设备直接接入云业务平台，常见的接入协议包括但不限于TCP、HTTP/HTTPS和MQTT等协议；(6)物联网设备先接入物联网云平台，物联网云平台对数据进行解析处理并转给业务应用，常见的接入协议包括但不限于TCP、HTTP和HTTPS、CoAP等。

鉴于不同应用场景对物联网设备的传输速率、功耗、待机时间、接入网络类型等要求千差万别，其接入网络采用的传输协议不同。因此为了迎合物联网的多样化需求，急需提出一种支持多接入协议转换的物联网安全接入方法。

发明内容

为此，本发明提供一种支持多协议转换的物联网安全接入方法及网关、系统，能够解决物联网场景下不同类型物联网终端的接入协议的问题。

按照本发明所提供的设计方案，一种支持多协议转换的物联网安全接入方法，用于适用多个类型物联网终端的网络应用场景接入，该方法包含：

对物联网终端请求数据进行加密和协议封装，生成终端数据密文，并对终端数据密文添加用于区分的接入标识信息；

对终端数据密文进行解密并通过应用系统响应获取对应响应数据，对响应数据加密后生成响应密文；

解析响应密文，并通过接入标识确定待回复的物联网终端。

作为本发明支持多协议转换的物联网安全接入方法，进一步地，针对物联网终端产生的原始请求数据，采用物联网平台端公钥进行加密，通过协议封装生成终端数据密文。

作为本发明支持多协议转换的物联网安全接入方法，进一步地，物联网平台端对终端数据密文进行协议解析并添加接入标识信息后，利用平台端私钥对密文进行解密。

作为本发明支持多协议转换的物联网安全接入方法，进一步地，物联网终端设置有用于存储终端公私钥对和物联网平台端公钥信息的安全芯片，针对终端请求数据利用安全芯片内的平台端公钥进行加密，针对应用系统响应密文利用终端私钥进行解密。

进一步地，本发明还提供一种支持多协议转换的物联网安全网关，包括：物联网接入端和物联网平台端，物联网接入端通过数据总线与物联网平台端连接，其中，

物联网接入端，设置有支撑多种协议接入方式的若干接入模块，每个接入模块支持对应协议方式的数据封装和解析；

物联网平台端，通过数据总线与接入模块建立连接，对数据加解密，以接收应用系统响应数据并利用接入标识将响应数据反馈至对应接入模块。

作为本发明支持多协议转换的物联网安全网关，进一步地，物联网平台端设置有用于存储不同物联网终端标识和对应公钥信息的数据库，针对物联网终端已签名终端数据密文，基于终端标识在数据库中查找对应公钥，采用查找到的公钥对终端数据密文进行验签，验签通过后利用平台端私钥进行解密，以获取终端数据明文。

作为本发明支持多协议转换的物联网安全网关，进一步地，物联网平台端设置有用于记录数据加解密流程的日志管理模块，实现业务监控和追溯。

作为本发明支持多协议转换的物联网安全网关，进一步地，物联网平台端和物联网终端基于公私钥对的签名和验签机制进行双向身份认证。

作为本发明支持多协议转换的物联网安全网关，进一步地，物联网终端利用云平台网络并通过云平台网络插件来适配数据总线，以建立数据传输链路。

进一步地，基于上述的方法，本发明还提供一种支持多协议转换的物联网安全接入系统，用于适用多个类型物联网终端的网络应用场景接入，包含：物联网终端、应用系统及网关，所述网关采用上述的支持多协议转换的物联网安全网关实现用于物联网终端和应用系统之间的数据交互。

本发明的有益效果：

本发明能够支持多种物联网IoT终端接入和应用对接协议，同时能够提供不同设备类型、不同接入协议的SDK支持，方便IoT终端设备接入云平台，提升物联网接入协议的易用性；能够适应于不同应用场景，进一步扩大适用范围，具有较好的应用前景。

附图说明：

图1为实施例中物联网安全接入方法流程示意；

图2为实施例中物联网安全接入系统示意；

图3为实施例中物联网安全接入原理示意。

具体实施方式：

为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。

鉴于不同应用场景对物联网设备的传输速率、功耗、待机时间、接入网络类型等要求千差万别，其接入网络采用的传输协议不同。为了迎合物联网的多样化需求，本发明实施例，参见图1所示，提供一种支持多协议转换的物联网安全接入方法，用于适用多个类型物联网终端的网络应用场景接入，该方法包含：

S101、对物联网终端请求数据进行加密和协议封装，生成终端数据密文，并对终端数据密文添加用于区分的接入标识信息；

S102、对终端数据密文进行解密并通过应用系统响应获取对应响应数据，对响应数据加密后生成响应密文；

S103、解析响应密文，并通过接入标识确定待回复的物联网终端。。

通过附加有关接入的标识信息，使IoT接入端支持不同类型IoT终端的接入协议，能够适应于不同应用场景。

进一步地，本发明实施例还提供一种支持多协议转换的物联网安全网关，包括：物联网接入端和物联网平台端，物联网接入端通过数据总线与物联网平台端连接，其中，

物联网接入端，设置有支撑多种协议接入方式的若干接入模块，每个接入模块支持对应协议方式的数据封装和解析；

物联网平台端，通过数据总线与接入模块建立连接，对数据加解密，以接收应用系统响应数据并利用接入标识将响应数据反馈至对应接入模块。

在实际应用中，IoT接入端和IoT平台端共同构成物联网安全网关，且所述安全网关采用数据总线架构，支持IoT终端通过TCP、UDP、CoAP+LWM2M、HTTP/HTTPS以及MQTT等协议方式连接并发送IoT终端数据至物联网安全网关；同时也支持IoT终端先对接物联网云平台并由物联网云平台通过HTTP(S)、MQTT等方式推送IoT终端数据的接入方式，可对接第三方物联网云平台提供插件以适配数据总线。IoT终端发送的IoT终端数据密文经接入模块转到数据总线，经安全服务模块处理还原为明文后，可通过MQTT、TCP或HTTP(S)等协议方式与应用系统对接。

具体的，IoT终端先对原始数据(即IoT终端数据明文)进行加密，并将得到IoT终端数据密文作为传输协议的负载发送到物联网安全网关，安全网关各个接入模块根据接入协议类型进行处理，将协议头去除得到密文报文，通过与安全服务模块的连接将密文报文封装到数据总线队列，安全服务模块从数据总线队列中取出密文数据包，并对连接进来的接入模块进行标识，然后对密文数据包进行解包和分析，还原成明文数据包。安全服务模块将明文数据转发给应用系统并接收应用系统的回复，对应用系统回复的明文数据包进行加密处理得到密文数据包，根据接入模块的标识将密文数据包封装到数据总线队列，接入模块从数据总线队列中得到密文数据包，按照接入协议封装成网络数据包并回复给IoT终端。

进一步地，本发明实施例还提供一种支持多协议转换的物联网安全接入系统，用于适用多个类型物联网终端的网络应用场景接入，包含：物联网终端、应用系统及网关，所述网关采用上述的支持多协议转换的物联网安全网关实现用于物联网终端和应用系统之间的数据交互。

参见图2所示，系统中包括：多个IoT终端、IoT接入端、IoT平台端以及应用系统；其中，IoT终端为多个，且多个IoT终端能够分别通过不同协议方式网络连接至所述IoT接入端，所述IoT终端能够向所述IoT接入端发送带有IoT终端数据密文的网络数据包，同时接收所述IoT接入端返回的带有应用系统回复数据密文的网络数据包；IoT接入端，包括多种接入模块，每一种接入模块支持接收对应协议方式的带有IoT终端数据密文的网络数据包，并对所述网络数据包进行解析，去除协议头后将得到的IoT终端数据密文转发给IoT平台端；同时还支持将接收到的应用系统回复数据密文封装为对应协议方式的网络数据包，并返回给对应的IoT终端；IoT平台端，包括数据总线和安全服务模块，所述安全服务模块通过数据总线与多种接入模块建立连接，所述数据总线用于接收各个接入模块转交的IoT终端数据密文，并建立IoT终端数据密文对应到接入模块的标识；还用于接收安全服务模块返回的应用系统回复数据密文，并基于标识将所述应用系统回复数据密文转交给对应的接入模块；所述安全服务模块用于对接收到IoT终端数据密文进行解密得到IoT终端数据明文，并对应用系统回复数据明文加密得到应用系统回复数据密文；应用系统，用于接收所述IoT平台端转交的IoT终端数据明文，并返回所述应用系统回复数据明文作为响应。

IoT接入端支持接收的协议方式至少包括TCP、UDP、CoAP+LWM2M、HTTP、HTTPS以及MQTT中的一种或几种。但不限于此。

IoT平台端可通过设置应用对接模块，应用系统可包括多个业务逻辑模块，多个业务逻辑模块分别支持不同协议方式的数据报文，所述应用对接模块在接收到所述安全服务模块转交的IoT终端数据明文后，基于业务需求，对所述IoT终端数据明文进行协议封装，并将封装后的数据包传送给对应的业务逻辑模块；对应的业务逻辑模块接收到该数据包后，进行协议解析得到IoT终端数据明文，然后基于接收的IoT终端数据明文形成应用系统回复数据明文以作为响应，该业务逻辑模块对应用系统回复数据明文进行协议封装，并将封装后的数据包传送给所述应用对接模块，最后由应用对接模块对接收的数据包进行协议解析，并将得到的应用系统回复数据明文转交给安全服务模块进行加密处理。

IoT平台端还可设置应用管理模块，所述应用管理模块与所述应用对接模块进行通信连接，所述应用管理模块用于控制所述应用对接模块将不用业务的IoT终端数据明文转交给应用系统中对应的业务逻辑模块。

IoT平台端还包括数据库，所述数据库存储有不同IoT终端的标识以及对应的公钥信息，当所述安全服务模块接收到某IoT终端发送来的已签名的IoT终端数据密文后，基于标识在数据库中查找该IoT终端对应的公钥，并采用查找到的公钥对已签名的IoT终端数据密文进行验签，待验签通过后，采用所述IoT平台端的私钥对其中的IoT终端数据密文进行解密，得到IoT终端数据明文；当所述安全服务模块接收到应用系统回复数据明文后，基于标识在数据库中查找对应的公钥信息，并采用查找到的公钥对应用系统回复数据明文进行加密，得到应用系统回复数据密文，然后采用所述IoT平台端的私钥对所述应用系统回复数据密文进行签名。

IoT平台端还包括日志管理模块，所述日志管理模块通信连接于所述安全服务模块，所述日志管理模块用于记录所述安全服务模块加解密流程，以便于管理人员进行业务监控和追溯。

IoT终端包括安全芯片，所述安全芯片存储有所述IoT终端的公私钥对与所述IoT平台端的公钥信息，所述IoT终端产生原始的IoT终端数据明文并调用安全芯片内部的IoT平台端公钥进行加密得到IoT终端数据密文，当所述IoT终端接收到IoT接入端返回的应用系统回复数据密文时，则调用安全芯片内部的IoT终端私钥进行解密得到应用系统回复数据明文。IoT终端与所述IoT平台端分别基于所述安全芯片和所述安全服务模块之间的签名、验签运算机制实现双向身份认证。

如图2中所示，IoT接入端还包括云平台接入模块，所述云平台接入模块与外部的物联网云平台对接，所述IoT终端通信连接于外部的物联网云平台，并通过所述物联网云平台推送IoT终端数据密文给所述云平台接入模块。

如图3所示，应用于支持多接入协议转换的物联网安全接入系统，其原理可进一步描述如下：

步骤1，由IoT终端产生原始的IoT终端数据明文，采用IoT平台端的公钥对IoT终端数据明文进行加密得到IoT终端数据密文，进行协议封装，并将封装后的第一网络数据包上报给IoT接入端对应的接入模块；

步骤2，对应的接入模块接收到第一网络数据包，并进行相应的协议解析得到IoT终端数据密文，然后将IoT终端数据密文上载至数据总线；

步骤3，所述数据总线建立所述IoT终端数据密文对应到接入模块的标识，并将所述IoT终端数据密文转交给所述安全服务模块；

步骤4，所述安全服务模块采用IoT平台端的私钥对所述IoT终端数据密文进行解密，还原得到所述IoT终端数据明文并传输给应用系统；

步骤5，所述应用系统接收所述IoT终端数据明文，并返回所述应用系统回复数据明文作为响应；

步骤6，所述安全服务模块采用IoT终端的公钥对接收到的应用系统回复数据明文进行加密，生成应用系统回复数据密文并返回上载给所述数据总线；

步骤7，所述数据总线基于所述应用系统回复数据密文进行标识查找，以确定出对应的接入模块，并将所述应用系统回复数据密文返回至对应的接入模块；

步骤8，所述接入模块对所述应用系统回复数据密文进行协议封装，并将封装后的第二网络数据包回复给所述IoT终端；

步骤9，所述IoT终端接收到第二网络数据包，并进行相应的协议解析得到应用系统回复数据密文，然后采用IoT终端的私钥对所述应用系统回复数据密文进行解密，还原得到应用系统回复数据明文。

可以理解，所述数据总线建立所述IoT终端数据密文对应到接入模块的标识。具体的，所述数据总线可以将接收到的IoT终端数据密文封装到数据总线队列中，并在数据总线队列上附加有关接入模块的标识信息，且标识信息将随着IoT终端数据密文一同被送至安全服务模块，待安全服务模块解密完成后，则会将IoT终端数据明文以及对应的标识信息一同传输至应用系统，应用系统产生回复数据明文，并对其附加对应的标识信息后，传送给安全服务模块，经安全服务模块加密处理后，将应用系统回复数据密文以及附带的标识信息返回给数据总线；数据总线即可基于标识信息确定出对应的接入模块，并将应用系统回复数据密文转交给对应的接入模块进行协议封装。

本发明能够支持多种物联网IoT终端接入和应用对接协议，同时能够提供不同设备类型、不同接入协议的SDK支持，方便IoT终端设备接入云平台，提升物联网接入协议的易用性。本发明的物联网安全接入系统能够适应于不同应用场景，进一步扩大适用范围。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对步骤、数字表达式和数值并不限制本发明的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述系统实施例中的对应过程，在此不再赘述。

在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、系统和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和系统，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述系统的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种支持多协议转换的物联网安全接入方法，用于适用多个类型物联网终端的网络应用场景接入，其特征在于，该方法包含：

对物联网终端请求数据进行加密和协议封装，生成终端数据密文，并对终端数据密文添加用于区分的接入标识信息；

对终端数据密文进行解密并通过应用系统响应获取对应响应数据，对响应数据加密后生成响应密文；

解析响应密文，并通过接入标识确定待回复的物联网终端。

2.根据权利要求1所述的支持多协议转换的物联网安全接入方法，其特征在于，针对物联网终端产生的原始请求数据，采用物联网平台端公钥进行加密，通过协议封装生成终端数据密文。

3.根据权利要求2所述的支持多协议转换的物联网安全接入方法，其特征在于，物联网平台端对终端数据密文进行协议解析并添加接入标识信息后，利用平台端私钥对密文进行解密。

4.根据权利要求1所述的支持多协议转换的物联网安全接入方法，其特征在于，物联网终端设置有用于存储终端公私钥对和物联网平台端公钥信息的安全芯片，针对终端请求数据利用安全芯片内的平台端公钥进行加密，针对应用系统响应密文利用终端私钥进行解密。

5.一种支持多协议转换的物联网安全网关，其特征在于，包括：物联网接入端和物联网平台端，物联网接入端通过数据总线与物联网平台端连接，其中，

物联网接入端，设置有支撑多种协议接入方式的若干接入模块，每个接入模块支持对应协议方式的数据封装和解析；

物联网平台端，通过数据总线与接入模块建立连接，对数据加解密，以接收应用系统响应数据并利用接入标识将响应数据反馈至对应接入模块。

6.根据权利要求5所述的支持多协议转换的物联网安全网关，其特征在于，物联网平台端设置有用于存储不同物联网终端标识和对应公钥信息的数据库，针对物联网终端已签名终端数据密文，基于终端标识在数据库中查找对应公钥，采用查找到的公钥对终端数据密文进行验签，验签通过后利用平台端私钥进行解密，以获取终端数据明文。

7.根据权利要求5所述的支持多协议转换的物联网安全网关，其特征在于，物联网平台端设置有用于记录数据加解密流程的日志管理模块，实现业务监控和追溯。

8.根据权利要求5所述的支持多协议转换的物联网安全网关，其特征在于，物联网平台端和物联网终端基于公私钥对的签名和验签机制进行双向身份认证。

9.根据权利要求5所述的支持多协议转换的物联网安全网关，其特征在于，物联网终端利用云平台网络并通过云平台网络插件来适配数据总线，以建立数据传输链路。

10.一种支持多协议转换的物联网安全接入系统，用于适用多个类型物联网终端的网络应用场景接入，其特征在于，包含：物联网终端、应用系统及网关，所述网关采用权利要求5～9任一项所述的支持多协议转换的物联网安全网关实现用于物联网终端和应用系统之间的数据交互。

Images