CN112333214B - 一种用于物联网设备管理的安全用户认证方法及系统 - Google Patents

一种用于物联网设备管理的安全用户认证方法及系统 Download PDF

Info

Publication number
CN112333214B
CN112333214B CN202110010531.9A CN202110010531A CN112333214B CN 112333214 B CN112333214 B CN 112333214B CN 202110010531 A CN202110010531 A CN 202110010531A CN 112333214 B CN112333214 B CN 112333214B
Authority
CN
China
Prior art keywords
internet
information
management server
things
registration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110010531.9A
Other languages
English (en)
Other versions
CN112333214A (zh
Inventor
徐国爱
落红卫
徐国胜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing University of Posts and Telecommunications
Original Assignee
Beijing University of Posts and Telecommunications
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing University of Posts and Telecommunications filed Critical Beijing University of Posts and Telecommunications
Priority to CN202110010531.9A priority Critical patent/CN112333214B/zh
Publication of CN112333214A publication Critical patent/CN112333214A/zh
Application granted granted Critical
Publication of CN112333214B publication Critical patent/CN112333214B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y40/00—IoT characterised by the purpose of the information processing
    • G16Y40/50—Safety; Security of things, users, data or systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本说明书一个或多个实施例提供一种用于物联网设备管理的安全用户认证方法及系统；该方法包括：网关节点响应于对物联网设备的操作指令，向身份认证管理服务器发送认证请求；身份认证管理服务器将密钥句柄、应用程序标识和挑战信息返回至网关节点并中继至硬件令牌；硬件令牌根据私钥对应用程序标识、临时负载信息和计数信息得到签名信息；网关节点将临时负载信息、签名信息和计数信息中继至身份认证管理服务器；身份认证管理服务器根据公钥对签名信息、临时负载信息和计数信息进行检查，得到认证结果并发送至物联网服务器，以使物联网服务器根据认证结果处理对物联网设备的操作指令。本公开的方案能够显著增强物联网设备管理的安全性。

Description

一种用于物联网设备管理的安全用户认证方法及系统
技术领域
本说明书一个或多个实施例涉及物联网技术领域，尤其涉及一种用于物联网设备管理的安全用户认证方法及系统。
背景技术
物联网是新一代信息技术的重要组成部分，也是信息化时代的重要发展阶段，其英文名称是：“Internet of things（IoT）”。物联网的命名有两层意思：其一、物联网的核心和基础仍然是互联网，是在互联网基础上的延伸和扩展的网络；其二、物联网的用户端延伸和扩展到了任何物品与物品之间，进行信息交换和通信。
在相关技术中心，物联网设备常常被托管在云服务器以方便管理，用户可以通过云服务器，使用自己的账户对物联网设备进行操作和管理，例如更新固件、配置设备等。然而，用户的帐户可能会被黑客攻击，从而产生对托管的物联网设备的对抗性攻击。攻击者可能会在用户无感知的情况下，通过云服务器远程对托管的物联网设备执行恶意操作。
发明内容
有鉴于此，本说明书一个或多个实施例的目的在于提出一种用于物联网设备管理的安全用户认证方法及系统。
基于上述目的，本说明书一个或多个实施例提供了一种用于物联网设备管理的安全用户认证方法，应用于包括有网关节点、硬件令牌、身份认证管理服务器和物联网服务器的安全用户认证系统；其中，所述硬件令牌能够通过物理接口与所述网关节点通信连接，且所述硬件令牌存储有向所述身份认证管理服务器注册后得到的私钥和密钥句柄；所述身份认证管理服务器存储有所述硬件令牌对应的公钥和密钥句柄，以及存储有用于管理物联网设备的应用程序的应用程序标识；
所述方法，包括：
所述网关节点响应于所述物联网服务器接到对物联网设备的操作指令，向所述身份认证管理服务器发送认证请求；
所述身份认证管理服务器根据所述认证请求，将所述密钥句柄、所述应用程序标识和随机生成的挑战信息返回至所述网关节点；
所述网关节点检查所述应用程序标识以生成临时负载信息，并将所述应用程序标识、所述密钥句柄和所述临时负载信息中继至所述硬件令牌；
所述硬件令牌根据所述密钥句柄检索得到所述私钥，并更新用于记载已执行的认证次数的计数信息；根据所述私钥对所述应用程序标识、所述临时负载信息和所述计数信息进行签名，得到签名信息；将所述签名信息和所述计数信息返回至所述网关节点，并由所述网关节点将所述临时负载信息、所述签名信息和所述计数信息中继至所述身份认证管理服务器；
所述身份认证管理服务器根据所述密钥句柄检索得到所述公钥，并根据所述公钥对所述签名信息、所述临时负载信息和所述计数信息进行检查，得到认证结果；将所述认证结果发送至所述物联网服务器，以使所述物联网服务器根据所述认证结果处理对物联网设备的操作指令。
基于同一发明构思，本说明书一个或多个实施例还提供了一种用于物联网设备管理的安全用户认证系统，包括：网关节点、硬件令牌、身份认证管理服务器和物联网服务器；其中，所述硬件令牌能够通过物理接口与所述网关节点通信连接，且所述硬件令牌存储有向所述身份认证管理服务器注册后得到的私钥和密钥句柄；所述身份认证管理服务器存储有所述硬件令牌对应的公钥和密钥句柄，以及存储有用于管理物联网设备的应用程序的应用程序标识；
所述网关节点，被配置为响应于所述物联网服务器接到对物联网设备的操作指令，向所述身份认证管理服务器发送认证请求；
所述身份认证管理服务器，被配置为根据所述认证请求，将所述密钥句柄、所述应用程序标识和随机生成的挑战信息返回至所述网关节点；
所述网关节点，还被配置为检查所述应用程序标识以生成临时负载信息，并将所述应用程序标识、所述密钥句柄和所述临时负载信息中继至所述硬件令牌；
所述硬件令牌，被配置为根据所述密钥句柄检索得到所述私钥，并更新用于记载已执行的认证次数的计数信息；根据所述私钥对所述应用程序标识、所述临时负载信息和所述计数信息进行签名，得到签名信息；将所述签名信息和所述计数信息返回至所述网关节点，并由所述网关节点将所述临时负载信息、所述签名信息和所述计数信息中继至所述身份认证管理服务器；
所述身份认证管理服务器，还被配置为根据所述密钥句柄检索得到所述公钥，并根据所述公钥对所述签名信息和所述计数信息进行检查，得到认证结果；将所述认证结果发送至所述物联网服务器，以使所述物联网服务器根据所述认证结果处理对物联网设备的操作指令。
从上面所述可以看出，本说明书一个或多个实施例提供的用于物联网设备管理的安全用户认证方法及系统，创造性的将身份认证转移到网关节点，硬件令牌作为强的身份认证因素，需要通过物理接口与网关节点相连后进一步与云服务器进行身份认证交互，以增强物联网设备管理的安全性。此外，还可以仅通过一次用户认证来实现对多个物联网设备进行操作。
附图说明
为了更清楚地说明本说明书一个或多个实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书一个或多个实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本说明书一个或多个实施例中的安全用户认证系统结构示意图；
图2为本说明书一个或多个实施例的用于物联网设备管理的安全用户认证方法流程图；
图3为本说明书一个或多个实施例的用于物联网设备管理的安全用户认证方法的交互示意图；
图4为本说明书一个或多个实施例的方法中注册阶段流程图；
图5为本说明书一个或多个实施例的方法中注册阶段的交互示意图。
具体实施方式
为使本公开的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本公开进一步详细说明。
需要说明的是，除非另外定义，本说明书一个或多个实施例使用的技术术语或者科学术语应当为本公开所属领域内具有一般技能的人士所理解的通常意义。本说明书一个或多个实施例中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。
如背景技术部分所述，物联网设备被托管在云服务器上进行管理时，会存在安全隐患。具体的，由于缺乏对这些设备的用户界面，对设备的固件升级、数据读取和状态控制等操作，均只能在云上操作或借助特定应用程序进行协助。不可避免的，这些针对物联网设备的管理面临潜在风险，例如云帐户被盗，或跨站点请求伪造攻击。攻击者可以通过钓鱼获取用户帐户的密码，访问该帐户并对物联网设备执行恶意操作。例如，攻击者可能给物联网设备升级病毒感染或版本过时的固件。这些固件可能对托管的物联网设备构成严重安全威胁，例如数据过滤、数据操纵等。
现有技术中，已有一些相关的安全技术。例如，多个互联网工程任务组（IETF）已经成立以解决物联网安全问题。IETF提出了一系列协议，对资源受限的物联网设备安全通信起着至关重要的作用。但即便这样，依然没有提供一个安全有效的物联网设备管理架构。当前虽然有若干建议方案来保护关键物联网应用，但大多需要有经验的网络技术人员通过专业工具来维护安全的系统级设计，这样就限制了以上安全方案在许多应用场景中的应用。
申请人在实现本公开的过程中发现：与借助特定应用程序支持的身份认证相比，硬件令牌具有防篡改等硬件特性，故具有更高的安全性并用于在线用户认证。大多数硬件令牌采用快速身份在线（FIDO）联盟制定的、基于“挑战-应答”方式的通用第二因子（U2F）协议 。用户使用硬件令牌通过用户客户端响应来自服务器的身份认证请求。虽然硬件令牌是身份认证的一个重要因素，但它一次只能对用户的一个客户端进行身份认证。考虑到物联网设备数量庞大，相应的客户端数量众多，该协议在物联网认证效率方面存在潜在的漏洞。
基于上述现有技术，并针对上述现有技术存在的问题，本说明书一个或多个实施例提供了一种用于物联网设备管理的安全用户认证方法及系统，创造性的将身份认证转移到网关节点，硬件令牌作为强的身份认证因素，需要通过物理接口与网关节点相连后进一步与云服务器进行身份认证交互，以增强物联网设备管理的安全性。此外，还可以仅通过一次用户认证来实现对多个物联网设备进行操作。
以下，通过具体的实施例进一步详细说明本公开的技术方案。
首先，本说明书一个或多个实施例提供了一种用于物联网设备管理的安全用户认证方法。该方法应用于安全用户认证系统。参考图1，示出了该安全用户认证系统的结构组成和交互方式。该安全用户认证系统包括：网关节点、硬件令牌、身份认证管理服务器和物联网服务器。其中，身份认证管理服务器提供身份认证管理服务，物联网服务器提供物联网服务，二者共同构成一般理解的云服务器。网关节点除了提供网络服务外，还集成了软件子模块U2F主机，用于实现身份认证管理服务器与硬件令牌的交互。硬件令牌由用户持有，由加密子模块和用户接口构成。用户，也即物联网设备所有者，将物联网设备托管在物联网服务器上，并通过计算机或移动终端上的客户端图形用户界面与物联网服务器交互，以对托管的物联网设备进行管理。具体的：
物联网服务器（IoT Server），作为云服务器的子模块，提供物联网设备远程控制和配置等物联网服务。用户通过客户端图形用户界面登录物联网服务器，托管和管理物联网设备，如固件更新、传感器数据中继等。其包括一决策子模块，能够根据用户的请求决定何时通知身份认证管理服务器开始注册和认证，并根据结果决定是否执行用户提交的对物联网设备的操作指令。
身份认证管理服务器（U2F Server），作为云服务器的子模块，能够与硬件令牌交互以实现基于U2F协议的注册和身份认证，存储类似于如密钥和密钥句柄等安全元素，并与物联网服务器交互以实现用户身份认证。
网关节点（GWN），将物联网设备连接到云服务器的实体。除了从物联网设备收集数据并将其发送到云服务器以供应用程序使用外，GWN还设置有用于硬件令牌连接的的物理接口（如USB）和在接口上监听与U2F注册和认证相关数据的软件子模块，用于实现硬件令牌和云服务器之间的交互。
硬件令牌（Hardware Token），由用户持有、并防篡改的安全元素，由一系列私钥和其他安全元素组成，并可以通过物理接口与网关节点交互。用户可以通过按硬件令牌的按钮（物理按钮或虚拟按钮）来响应注册和身份认证请求。
物联网设备（IoT Device），归用户所有、并被托管在物联网服务器上进行管理。它们通过无线方式连接到网关节点以获得网络服务。用户可以通过物联网服务器的客户端图形用户界面对物联网设备进行操作。
基于上述的安全用户认证系统，参考图2和图3，本说明书一个或多个实施例的安全用户认证方法，包括以下步骤：
步骤201、所述网关节点响应于所述物联网服务器接到对物联网设备的操作指令，向所述身份认证管理服务器发送认证请求。
本步骤中，参考图3，当用户需要对物联网设备IoT Device进行操作时，通过其持有的终端设备访问物联网服务器IoT Server，并通过物联网服务器IoT Server提供的图形用户界面，发出对物联网设备IoT Device的操作指令。物联网服务器IoT Server接收到该对物联网设备IoT Device的操作指令之后，会通知网关节点GWN，使得网关节点GWN向身份认证管理服务器U2F Server发送认证请求。
步骤202、所述身份认证管理服务器根据所述认证请求，将所述密钥句柄、所述应用程序标识和随机生成的挑战信息返回至所述网关节点。
本步骤中，参考图3，身份认证管理服务器U2F Server接收到认证请求后，将密钥句柄h、应用程序标识APP_id和随机生成的挑战信息challenge返回至网关节点GWN。
其中，密钥句柄h是在注册阶段中，用户使用硬件令牌Hardware Token向身份认证管理服务器U2F Server注册后，存储于身份认证管理服务器U2F Server中的；此外，身份认证管理服务器U2F Server中还相应存储有密钥句柄h对应的公钥kpub。应用程序标识APP_id，为物联网服务器IoT Server中用于管理物联网设备IoT Device的程序的标识，其预存于身份认证管理服务器U2F Server中。挑战信息challenge，为基于“挑战-应答”方式的通用第二因子（U2F）协议而随机生成的。
步骤203、所述网关节点检查所述应用程序标识以生成临时负载信息，并将所述应用程序标识、所述密钥句柄和所述临时负载信息中继至所述硬件令牌。
本步骤中，参考图3，网关节点GWN首先检查应用程序标识APP_id是否正确，已确定当前交互的数据是来自于管理物联网设备IoT Device的应用程序。当应用程序标识APP_id正确时，则进一步获取身份认证管理服务器U2F Server的网络地址origin（一般为URI，统一资源标识符），以及获取用于安全传输数据的渠道标识channel_id（如基于安全传输层协议TLS）。然后，将挑战信息challenge、身份认证管理服务器U2F Server的网络地址origin和渠道标识channel_id整合生成临时负载信息c。
网关节点GWN将应用程序标识APP_id、密钥句柄h和临时负载信息c中继至硬件令牌Hardware Token。
步骤204、所述硬件令牌根据所述密钥句柄检索得到所述私钥，并更新用于记载已执行的认证次数的计数信息；根据所述私钥对所述应用程序标识、所述临时负载信息和所述计数信息进行签名，得到签名信息；将所述签名信息和所述计数信息返回至所述网关节点，并由所述网关节点将所述临时负载信息、所述签名信息和所述计数信息中继至所述身份认证管理服务器。
本步骤中，参考图3，硬件令牌Hardware Token通过网关节点GWN中继来的密钥句柄h来检索得到私钥kpriv。该私钥kpriv，是硬件令牌Hardware Token在注册阶段中生成的。此外，还会更新用于记载已执行的认证次数的计数信息counter，该计数信息counter在每次执行认证时进行计数，以在后续步骤中进行验证。
然后，硬件令牌Hardware Token通过函数签名signature（）的方式，对应用程序标识APP_id、临时负载信息c和计数信息counter进行签名，得到签名信息s。
最后，硬件令牌Hardware Token将计数信息counter和签名信息s返回至网关节点GWN。网关节点GWN将其前述生成的临时负载信息c，以及硬件令牌Hardware Token返回的计数信息counter和签名信息s，一并中继至身份认证管理服务器U2F Server。
其中，硬件令牌Hardware Token接收到网关节点GWN中继来的密钥句柄h之后，还会将其与硬件令牌Hardware Token本地存储的密钥句柄进行比对，仅当二者相同时，才执行后续的检索得到私钥kpriv等其他步骤。当二者不同时，则直接判定为认证失败，身份认证管理服务器U2F Server发送内容为认证失败的所述认证结果，使得物联网服务器IoTServer不执行对物联网设备IoT Device的操作指令。
步骤205、所述身份认证管理服务器根据所述密钥句柄检索得到所述公钥，并根据所述公钥对所述签名信息、所述临时负载信息和所述计数信息进行检查，得到认证结果；将所述认证结果发送至所述物联网服务器，以使所述物联网服务器根据所述认证结果处理对物联网设备的操作指令。
本步骤中，参考图3，身份认证管理服务器U2F Server根据其存储的密钥句柄h检索得到公钥kpub。然后，通过该公钥kpub对签名信息s、临时负载信息c和计数信息counter进行检查。
其中，对通过公钥kpub对签名信息s进行检查，具体包括：身份认证管理服务器U2FServer根据公钥kpub解密签名信息s（通过私钥kpriv签名的），得到临时负载信息c。然后，将该从签名信息s中得到的临时负载信息c，与网关节点GWN中继来的临时负载信息c进行比对。
其中，对临时负载信息c和计数信息counter进行检查，具体包括：身份认证管理服务器U2F Server根据公钥kpub解密签名信息s，得到临时负载信息c，并确定得到的临时负载信息c中的网络地址origin和渠道标识channel_id。然后，将计数信息counter以及上述从签名信息s中得到的网络地址origin和渠道标识channel_id，与身份认证管理服务器U2FServer本地存储的相应数据进行比对。
对于上述的比对，若从签名信息s中获得的临时负载信息c与网关节点GWN中继来的临时负载信息c相同，且网络地址origin、渠道标识channel_id和计数信息counter与身份认证管理服务器U2F Server本地存储的相应数据相同，则身份认证管理服务器U2FServer得到内容为认证成功的认证结果；反之，若上述任一比对的结果为不同，则身份认证管理服务器U2F Server得到内容为认证失败的认证结果。
身份认证管理服务器U2F Server将认证结果发送至物联网服务器IoT Server。物联网服务器IoT Server根据认证结果的内容相应处理对物联网设备IoT Device的操作指令。具体的，当认证结果的内容为认证成功时，物联网服务器IoT Server执行对物联网设备IoT Device的操作指令；反之，当认证结果的内容为认证失败时，物联网服务器IoT Server不执行对物联网设备IoT Device的操作指令。
以上实施例给出了所述的用于物联网设备管理的安全用户认证方法，其对应于所述方法中的认证阶段。
在认证阶段之前，还可以包括注册阶段。参考图4和图5，所述的注册阶段，包括以下步骤：
步骤401、所述网关节点响应于所述物联网服务器接到注册指令，向所述身份认证管理服务器发送注册请求。
本步骤中，参考图5，当用户需要进行注册以实现后续对于托管的物联网设备IoTDevice进行管理时，通过其持有的终端设备访问物联网服务器IoT Server，并通过物联网服务器IoT Server提供的图形用户界面进行注册操作。
物联网服务器IoT Server接收到用户的注册操作后，会通知网关节点GWN，使得网关节点GWN向身份认证管理服务器U2F Server发送注册请求。
步骤402、所述身份认证管理服务器根据所述注册请求，将所述应用程序标识和随机生成的注册用挑战信息返回至所述网关节点。
本步骤中，参考图5，身份认证管理服务器U2F Server接收到注册请求后，将应用程序标识APP_id和随机生成的注册用挑战信息challenge_r返回至网关节点GWN。
步骤403、所述网关节点检查所述应用程序标识以生成注册用临时负载信息，并将所述应用程序标识和所述注册用临时负载信息中继至所述硬件令牌。
本步骤中，参考图5，网关节点GWN首先检查应用程序标识APP_id是否正确，当应用程序标识APP_id正确时，则进一步获取身份认证管理服务器U2F Server的网络地址origin，以及获取用于安全传输数据的渠道标识channel_id。然后，将注册用挑战信息challenge_r、身份认证管理服务器U2F Server的网络地址origin和渠道标识channel_id整合生成注册用临时负载信息c_r。
网关节点GWN将应用程序标识APP_id和注册用临时负载信息c_r中继至硬件令牌Hardware Token。
步骤404、所述硬件令牌根据所述应用程序标识生成所述公钥、所述私钥和所述密钥句柄；根据所述私钥对所述应用程序标识、所述注册用临时负载信息、所述公钥和所述密钥句柄进行签名，得到注册用签名信息；将所述注册用签名信息、所述公钥和所述密钥句柄返回至所述网关节点，并由所述网关节点将将所述注册用签名信息、所述注册用临时负载信息、所述公钥和所述密钥句柄中继至所述身份认证管理服务器。
本步骤中，参考图5，硬件令牌Hardware Token根据应用程序标识APP_id，生成公钥kpub、私钥kpriv和密钥句柄h。然后，硬件令牌Hardware Token通过函数签名signature（）的方式，对应用程序标识APP_id、注册用临时负载信息c_r、公钥kpub和密钥句柄h进行签名，得到注册用签名信息s_r。
硬件令牌Hardware Token将注册用签名信息s_r、公钥kpub和密钥句柄h返回至网关节点GWN。网关节点GWN将将其前述生成的注册用临时负载信息c_r，以及硬件令牌Hardware Token返回的注册用签名信息s_r、公钥kpub和密钥句柄h，一并中继至身份认证管理服务器U2F Server。
步骤405、所述身份认证管理服务器根据所述公钥对所述注册用签名信息进行检查，得到注册结果；将所述注册结果发送至所述物联网服务器，以使所述物联网服务器展示所述注册结果。
本步骤中，参考图5，身份认证管理服务器U2F Server使用网关节点GWN中继来的公钥kpub，解密注册用签名信息s_r，得到注册用临时负载信息c_r。然后，将从注册用签名信息s_r中获得的注册用临时负载信息c_r，与网关节点GWN中继来的注册用临时负载信息注册用临时负载信息c_r进行比对。若二者相同，则身份认证管理服务器U2F Server得到内容为注册成功的注册结果；若二者不同，则身份认证管理服务器U2F Server得到内容为注册失败的注册结果。其中，当注册成功时，身份认证管理服务器U2F Server为注册的用户相应的存储钥kpub和密钥句柄h。
身份认证管理服务器U2F Server将注册结果发送至物联网服务器IoT Server。物联网服务器IoT Server可以向用户返回或展示该注册结果。至此，注册阶段完成。
基于上述实施例，所述的用于物联网设备管理的安全用户认证方法，可以应用于智能家居场景。在智能家居场景中，物联网设备为居室中的用于实现不同日常功能的智能家电，其均被托管在云服务器上进行管理。如果用户想要执行一些关键操作（如更新物联网设备固件、打开家庭监控摄像头），可以先登录物联网平台（如阿里云、AWS、Azure）的物联网管理页面。然后，用户在GWN上插入硬件令牌，并一次从物联网服务器向物联网设备发出一条或多条命令。物联网服务器发送消息通知GWN启动用户身份验证。硬件令牌的指示符（例如LED）告诉用户响应认证请求（例如，按下硬件令牌上的按钮）。然后向GWN发送几个与身份相关的消息。GWN将消息发送到U2F服务器进行验证。只有用户通过验证，物联网服务器才会按照用户的意愿向物联网设备发送所需的命令/命令（即物联网设备启动固件更新，打开监控摄像头），才能启动与这一组操作对应的命令。
需要说明的是，上述智能家居场景并不构成本公开的方法的限定。也即，除了上述智能家居场景以外，本说明书一个或多个实施例的方法还可以应用于任何将物联网设备托管在云服务器上进行管理的应用场景中。
需要说明的是，本说明书一个或多个实施例的方法可以由单个设备执行，例如一台计算机或服务器等。本实施例的方法也可以应用于分布式场景下，由多台设备相互配合来完成。在这种分布式场景的情况下，这多台设备中的一台设备可以只执行本说明书一个或多个实施例的方法中的某一个或多个步骤，这多台设备相互之间会进行交互以完成所述的方法。
需要说明的是，上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
有上述实施例可见，本公开的用于物联网设备管理的安全用户认证方法，创造性的将身份认证转移到网关节点，硬件令牌作为强的身份认证因素，需要通过物理接口与网关节点相连后进一步与云服务器进行身份认证交互，以增强物联网设备管理的安全性。此外，还可以仅通过一次用户认证来实现对多个物联网设备进行操作。
基于同一发明构思，本说明书一个或多个实施例还提供了一种用于物联网设备管理的安全用户认证系统，包括：网关节点、硬件令牌、身份认证管理服务器和物联网服务器；其中，所述硬件令牌能够通过物理接口与所述网关节点通信连接，且所述硬件令牌存储有向所述身份认证管理服务器注册后得到的私钥和密钥句柄；所述身份认证管理服务器存储有所述硬件令牌对应的公钥和密钥句柄，以及存储有用于管理物联网设备的应用程序的应用程序标识；
所述网关节点，被配置为响应于所述物联网服务器接到对物联网设备的操作指令，向所述身份认证管理服务器发送认证请求；
所述身份认证管理服务器，被配置为根据所述认证请求，将所述密钥句柄、所述应用程序标识和随机生成的挑战信息返回至所述网关节点；
所述网关节点，还被配置为检查所述应用程序标识以生成临时负载信息，并将所述应用程序标识、所述密钥句柄和所述临时负载信息中继至所述硬件令牌；
所述硬件令牌，被配置为根据所述密钥句柄检索得到所述私钥，并更新用于记载已执行的认证次数的计数信息；根据所述私钥对所述应用程序标识、所述临时负载信息和所述计数信息进行签名，得到签名信息；将所述签名信息和所述计数信息返回至所述网关节点，并由所述网关节点将所述临时负载信息、所述签名信息和所述计数信息中继至所述身份认证管理服务器；
所述身份认证管理服务器，还被配置为根据所述密钥句柄检索得到所述公钥，并根据所述公钥对所述签名信息和所述计数信息进行检查，得到认证结果；将所述认证结果发送至所述物联网服务器，以使所述物联网服务器根据所述认证结果处理对物联网设备的操作指令。
作为一个可选的实施例，所述网关节点，具体被配置为检查所述应用程序标识是否正确，若是则进一步获取所述身份认证管理服务器的网络地址，以及获取用于安全传输数据的渠道标识；将所述网络地址、所述渠道标识和所述挑战信息整合生成所述临时负载信息。
作为一个可选的实施例，所述硬件令牌，还被配置为将所述身份认证管理服务器中继来的所述密钥句柄与其本地存储的密钥句柄进行比对；若二者不相同，则通过所述网关节点使所述身份认证管理服务器发送内容为认证失败的所述认证结果。
作为一个可选的实施例，所述身份认证管理服务器，具体被配置为根据所述公钥从所述签名信息中获得临时负载信息；将从所述签名信息中获得的临时负载信息，与所述网关节点中继来的临时负载信息进行比对；以及，根据从所述签名信息中获得的所述临时负载信息，得到所述网络地址、所述渠道标识；将所述网络地址、所述渠道标识和所述计数信息与所述身份认证管理服务器本地存储的相应数据进行比对；
若从所述签名信息中获得的临时负载信息与所述网关节点中继来的临时负载信息相同，且所述网络地址、所述渠道标识和所述计数信息与所述身份认证管理服务器本地存储的相应数据相同，则所述身份认证管理服务器得到内容为认证成功的所述认证结果；
若从所述签名信息中获得的临时负载信息与所述网关节点中继来的临时负载信息不同，和/或，所述网络地址、所述渠道标识和所述计数信息与所述身份认证管理服务器本地存储的相应数据不同，则所述身份认证管理服务器得到内容为认证失败的所述认证结果。
作为一个可选的实施例，所述物联网服务器，具体被配置为当所述认证结果的内容为认证成功时，执行所述对物联网设备的操作指令；当所述认证结果的内容为认证失败时，不执行所述对物联网设备的操作指令。
作为一个可选的实施例，所述网关节点，还被配置为响应于所述物联网服务器接到注册指令，向所述身份认证管理服务器发送注册请求；
所述身份认证管理服务器，还被配置为根据所述注册请求，将所述应用程序标识和随机生成的注册用挑战信息返回至所述网关节点；
所述网关节，还被配置为点检查所述应用程序标识以生成注册用临时负载信息，并将所述应用程序标识和所述注册用临时负载信息中继至所述硬件令牌；
所述硬件令牌，还被配置为根据所述应用程序标识生成所述公钥、所述私钥和所述密钥句柄；根据所述私钥对所述应用程序标识、所述注册用临时负载信息、所述公钥和所述密钥句柄进行签名，得到注册用签名信息；将所述注册用签名信息、所述公钥和所述密钥句柄返回至所述网关节点，并由所述网关节点将将所述注册用签名信息、所述注册用临时负载信息、所述公钥和所述密钥句柄中继至所述身份认证管理服务器；
所述身份认证管理服务器，还被配置为根据所述公钥对所述注册用签名信息进行检查，得到注册结果；将所述注册结果发送至所述物联网服务器，以使所述物联网服务器展示所述注册结果。
作为一个可选的实施例， 所述网关节点，具体被配置为检查所述应用程序标识是否正确，若是则进一步获取所述身份认证管理服务器的网络地址，以及获取用于安全传输数据的渠道标识；将所述网络地址、所述渠道标识和所述注册用挑战信息整合生成所述注册用临时负载信息。
作为一个可选的实施例，所述身份认证管理服务器，具体被配置为根据所述公钥从所述注册用签名信息中获得注册用临时负载信息；将从所述注册用签名信息中获得的注册用临时负载信息，与所述网关节点中继来的注册用临时负载信息进行比对；若二者相同，则所述身份认证管理服务器得到内容为注册成功的所述注册结果；若二者不同，则所述身份认证管理服务器得到内容为注册失败的所述注册结果。
作为一个可选的实施例，所述身份认证管理服务器，还被配置为存储所述公钥和所述密钥句柄。
上述实施例的系统用于实现前述实施例中相应的方法，并且具有相应的方法实施例的有益效果，在此不再赘述。
所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本公开的范围（包括权利要求）被限于这些例子；在本公开的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本说明书一个或多个实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。
本说明书一个或多个实施例旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。因此，凡在本说明书一个或多个实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本公开的保护范围之内。

Claims (10)

1.一种用于物联网设备管理的安全用户认证方法，其特征在于，应用于包括有网关节点、硬件令牌、身份认证管理服务器和物联网服务器的安全用户认证系统；其中，所述硬件令牌能够通过物理接口与所述网关节点通信连接，且所述硬件令牌存储有向所述身份认证管理服务器注册后得到的私钥和密钥句柄；所述身份认证管理服务器存储有所述硬件令牌对应的公钥和密钥句柄，以及存储有用于管理物联网设备的应用程序的应用程序标识；
所述方法，包括：
所述网关节点响应于所述物联网服务器接到对物联网设备的操作指令，向所述身份认证管理服务器发送认证请求；
所述身份认证管理服务器根据所述认证请求，将所述密钥句柄、所述应用程序标识和随机生成的挑战信息返回至所述网关节点；
所述网关节点检查所述应用程序标识以生成临时负载信息，并将所述应用程序标识、所述密钥句柄和所述临时负载信息中继至所述硬件令牌；
所述硬件令牌根据所述密钥句柄检索得到所述私钥，并更新用于记载已执行的认证次数的计数信息；根据所述私钥对所述应用程序标识、所述临时负载信息和所述计数信息进行签名，得到签名信息；将所述签名信息和所述计数信息返回至所述网关节点，并由所述网关节点将所述临时负载信息、所述签名信息和所述计数信息中继至所述身份认证管理服务器；
所述身份认证管理服务器根据所述密钥句柄检索得到所述公钥，并根据所述公钥对所述签名信息、所述临时负载信息和所述计数信息进行检查，得到认证结果；将所述认证结果发送至所述物联网服务器，以使所述物联网服务器根据所述认证结果处理对物联网设备的操作指令。
2.根据权利要求1所述的方法，其特征在于，所述网关节点检查所述应用程序标识以生成临时负载信息，具体包括：
所述网关节点检查所述应用程序标识是否正确，若是则进一步获取所述身份认证管理服务器的网络地址，以及获取用于安全传输数据的渠道标识；将所述网络地址、所述渠道标识和所述挑战信息整合生成所述临时负载信息。
3.根据权利要求1所述的方法，其特征在于，所述硬件令牌根据所述密钥句柄检索得到所述私钥，之前还包括：
所述硬件令牌将所述身份认证管理服务器中继来的所述密钥句柄与其本地存储的密钥句柄进行比对；若二者不相同，则通过所述网关节点使所述身份认证管理服务器发送内容为认证失败的所述认证结果。
4.根据权利要求2所述的方法，其特征在于，所述根据所述公钥对所述签名信息、所述临时负载信息和所述计数信息进行检查，得到认证结果，具体包括：
所述身份认证管理服务器根据所述公钥从所述签名信息中获得临时负载信息；将从所述签名信息中获得的临时负载信息，与所述网关节点中继来的临时负载信息进行比对；
所述身份认证管理服务器根据从所述签名信息中获得的所述临时负载信息，得到所述网络地址、所述渠道标识；将所述网络地址、所述渠道标识和所述计数信息与所述身份认证管理服务器本地存储的相应数据进行比对；
若从所述签名信息中获得的临时负载信息与所述网关节点中继来的临时负载信息相同，且所述网络地址、所述渠道标识和所述计数信息与所述身份认证管理服务器本地存储的相应数据相同，则所述身份认证管理服务器得到内容为认证成功的所述认证结果；
若从所述签名信息中获得的临时负载信息与所述网关节点中继来的临时负载信息不同，和/或，所述网络地址、所述渠道标识和所述计数信息与所述身份认证管理服务器本地存储的相应数据不同，则所述身份认证管理服务器得到内容为认证失败的所述认证结果。
5.根据权利要求4所述的方法，其特征在于，所述物联网服务器根据所述认证结果处理对物联网设备的操作指令，具体包括：
当所述认证结果的内容为认证成功时，所述物联网服务器执行所述对物联网设备的操作指令；当所述认证结果的内容为认证失败时，所述物联网服务器不执行所述对物联网设备的操作指令。
6.根据权利要求1所述的方法，其特征在于，还包括：
所述网关节点响应于所述物联网服务器接到注册指令，向所述身份认证管理服务器发送注册请求；
所述身份认证管理服务器根据所述注册请求，将所述应用程序标识和随机生成的注册用挑战信息返回至所述网关节点；
所述网关节点检查所述应用程序标识以生成注册用临时负载信息，并将所述应用程序标识和所述注册用临时负载信息中继至所述硬件令牌；
所述硬件令牌根据所述应用程序标识生成所述公钥、所述私钥和所述密钥句柄；根据所述私钥对所述应用程序标识、所述注册用临时负载信息、所述公钥和所述密钥句柄进行签名，得到注册用签名信息；将所述注册用签名信息、所述公钥和所述密钥句柄返回至所述网关节点，并由所述网关节点将所述注册用签名信息、所述注册用临时负载信息、所述公钥和所述密钥句柄中继至所述身份认证管理服务器；
所述身份认证管理服务器根据所述公钥对所述注册用签名信息进行检查，得到注册结果；将所述注册结果发送至所述物联网服务器，以使所述物联网服务器展示所述注册结果。
7.根据权利要求6所述的方法，其特征在于，所述网关节点检查所述应用程序标识以生成注册用临时负载信息，具体包括：
所述网关节点检查所述应用程序标识是否正确，若是则进一步获取所述身份认证管理服务器的网络地址，以及获取用于安全传输数据的渠道标识；将所述网络地址、所述渠道标识和所述注册用挑战信息整合生成所述注册用临时负载信息。
8.根据权利要求7所述的方法，其特征在于，所述身份认证管理服务器根据所述公钥对所述注册用签名信息进行检查，得到注册结果，具体包括：
所述身份认证管理服务器根据所述公钥从所述注册用签名信息中获得注册用临时负载信息；将从所述注册用签名信息中获得的注册用临时负载信息，与所述网关节点中继来的注册用临时负载信息进行比对；若二者相同，则所述身份认证管理服务器得到内容为注册成功的所述注册结果；若二者不同，则所述身份认证管理服务器得到内容为注册失败的所述注册结果。
9.根据权利要求8所述的方法，其特征在于，所述身份认证管理服务器得到内容为注册成功的所述注册结果，之后还包括：
所述身份认证管理服务器存储所述公钥和所述密钥句柄。
10.一种用于物联网设备管理的安全用户认证系统，其特征在于，包括：网关节点、硬件令牌、身份认证管理服务器和物联网服务器；其中，所述硬件令牌能够通过物理接口与所述网关节点通信连接，且所述硬件令牌存储有向所述身份认证管理服务器注册后得到的私钥和密钥句柄；所述身份认证管理服务器存储有所述硬件令牌对应的公钥和密钥句柄，以及存储有用于管理物联网设备的应用程序的应用程序标识；
所述网关节点，被配置为响应于所述物联网服务器接到对物联网设备的操作指令，向所述身份认证管理服务器发送认证请求；
所述身份认证管理服务器，被配置为根据所述认证请求，将所述密钥句柄、所述应用程序标识和随机生成的挑战信息返回至所述网关节点；
所述网关节点，还被配置为检查所述应用程序标识以生成临时负载信息，并将所述应用程序标识、所述密钥句柄和所述临时负载信息中继至所述硬件令牌；
所述硬件令牌，被配置为根据所述密钥句柄检索得到所述私钥，并更新用于记载已执行的认证次数的计数信息；根据所述私钥对所述应用程序标识、所述临时负载信息和所述计数信息进行签名，得到签名信息；将所述签名信息和所述计数信息返回至所述网关节点，并由所述网关节点将所述临时负载信息、所述签名信息和所述计数信息中继至所述身份认证管理服务器；
所述身份认证管理服务器，还被配置为根据所述密钥句柄检索得到所述公钥，并根据所述公钥对所述签名信息、所述临时负载信息和所述计数信息进行检查，得到认证结果；将所述认证结果发送至所述物联网服务器，以使所述物联网服务器根据所述认证结果处理对物联网设备的操作指令。
CN202110010531.9A 2021-01-06 2021-01-06 一种用于物联网设备管理的安全用户认证方法及系统 Active CN112333214B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110010531.9A CN112333214B (zh) 2021-01-06 2021-01-06 一种用于物联网设备管理的安全用户认证方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110010531.9A CN112333214B (zh) 2021-01-06 2021-01-06 一种用于物联网设备管理的安全用户认证方法及系统

Publications (2)

Publication Number Publication Date
CN112333214A CN112333214A (zh) 2021-02-05
CN112333214B true CN112333214B (zh) 2021-03-30

Family

ID=74302511

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110010531.9A Active CN112333214B (zh) 2021-01-06 2021-01-06 一种用于物联网设备管理的安全用户认证方法及系统

Country Status (1)

Country Link
CN (1) CN112333214B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023069106A1 (en) * 2021-10-22 2023-04-27 Schlumberger Technology Corporation Methods and systems for managing user authentication in iiot environments using hardware tokens

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108092776A (zh) * 2017-12-04 2018-05-29 南京南瑞信息通信科技有限公司 一种身份认证服务器和身份认证令牌
WO2019104323A1 (en) * 2017-11-27 2019-05-31 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
CN111585771A (zh) * 2020-05-20 2020-08-25 浙江大学 一种基于u2f物理令牌的物联网设备的集中式认证系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108781216B (zh) * 2016-01-25 2021-03-16 瑞典爱立信有限公司 用于网络接入的方法和设备

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019104323A1 (en) * 2017-11-27 2019-05-31 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
CN108092776A (zh) * 2017-12-04 2018-05-29 南京南瑞信息通信科技有限公司 一种身份认证服务器和身份认证令牌
CN111585771A (zh) * 2020-05-20 2020-08-25 浙江大学 一种基于u2f物理令牌的物联网设备的集中式认证系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于生物特征识别的多因子身份认证即服务研究与应用;徐静;《中国优秀硕士学位论文全文数据库(信息科技辑)》;20190515(第5期);全文 *

Also Published As

Publication number Publication date
CN112333214A (zh) 2021-02-05

Similar Documents

Publication Publication Date Title
EP3641266A1 (en) Data processing method and apparatus, terminal, and access point computer
CN114679293A (zh) 基于零信任安全的访问控制方法、设备及存储介质
CN107148019B (zh) 一种用于连接无线接入点的方法与设备
EP3639498B1 (en) Certificate pinning in highly secure network environments using public key certificates obtained from a dhcp (dynamic host configuration protocol) server
US11282079B2 (en) Method for securing contactless transactions
US9344417B2 (en) Authentication method and system
CN101986598B (zh) 认证方法、服务器及系统
CN112989426B (zh) 授权认证方法及装置、资源访问令牌的获取方法
CN106230594B (zh) 一种基于动态口令进行用户认证的方法
CA2914426A1 (en) Method for authenticating a user, corresponding server, communications terminal and programs
CN109716725B (zh) 数据安全系统及其操作方法和计算机可读存储介质
CN109729000B (zh) 一种即时通信方法及装置
JP2016521029A (ja) セキュリティ管理サーバおよびホームネットワークを備えるネットワークシステム、およびそのネットワークシステムにデバイスを含めるための方法
CN103944716A (zh) 用户认证的方法和装置
CN114301617A (zh) 多云应用网关的身份认证方法、装置、计算机设备及介质
CN112333214B (zh) 一种用于物联网设备管理的安全用户认证方法及系统
US20210377239A1 (en) Method for distributed application segmentation through authorization
US10972912B1 (en) Dynamic establishment of trust between locally connected devices
KR101619928B1 (ko) 이동단말기의 원격제어시스템
CN114221822B (zh) 配网方法、网关设备以及计算机可读存储介质
CN112887261B (zh) 通信设备与远程终端之间的数据流的防护方法、实施该方法的设备
CN111698096B (zh) 基于ndn的智能家居设备自动化安全登录方法
CN113992387A (zh) 资源管理方法、装置、系统、电子设备和可读存储介质
CN105681364B (zh) 一种基于增强绑定的IPv6移动终端抗攻击方法
EP3815297B1 (en) Authentication through secure sharing of digital secrets previously established between devices

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant