CN112532573B - 一种认证关联性的认证方法以及安全装置 - Google Patents

一种认证关联性的认证方法以及安全装置 Download PDF

Info

Publication number
CN112532573B
CN112532573B CN202010909311.5A CN202010909311A CN112532573B CN 112532573 B CN112532573 B CN 112532573B CN 202010909311 A CN202010909311 A CN 202010909311A CN 112532573 B CN112532573 B CN 112532573B
Authority
CN
China
Prior art keywords
field
encrypted
value
equipment
judging
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010909311.5A
Other languages
English (en)
Other versions
CN112532573A (zh
Inventor
黄自力
杨阳
陈舟
熊璐
邱震尧
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Unionpay Co Ltd
Original Assignee
China Unionpay Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Unionpay Co Ltd filed Critical China Unionpay Co Ltd
Priority to CN202010909311.5A priority Critical patent/CN112532573B/zh
Publication of CN112532573A publication Critical patent/CN112532573A/zh
Application granted granted Critical
Publication of CN112532573B publication Critical patent/CN112532573B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及用于认证设备和安全装置之间的关联性的认证方法及其认证系统。该方法包括：从设备读取设备参数信息；从安全装置读取存储在该安全装置中的、与该安全装置已关联的设备的设备参数信息以及将该设备参数信息经过规定加密后得到的初始加密结果数据；判断从设备读取的设备参数信息与从安全装置读取的设备参数信息是否一致以及判断对从设备读取的设备参数信息经过规定加密后得到的当前加密结果数据与初始加密结果数据是否一致。根据本发明，能够实现离线快速认证。

Description

一种认证关联性的认证方法以及安全装置
技术领域
本发明涉及计算机技术，具体地涉及一种用于认证设备和安全装置之间的关联性的认证方法、认证系统以及安全装置。
背景技术
随着物联网的发展，越来越多的物联网终端与网关暴露在外部环境，这些设备容易被人为破坏、盗窃，从而泄露节点数据或密钥信息。为解决设备不可信的问题，大多厂商都使用安全芯片作为载体来标识物联网设备身份。
安全芯片可存储数字证书，通过与物联网设备身份的双向认证，以达到芯片关联唯一设备的目的。但是，常见的CA证书认证方式或挑战应答模式均与平台后端交互，流程相对复杂，需要预先存储根CA证书、设备证书或集成相应的SDK，且每次认证均需要较大的计算量。
因此，期望能够提出一种离线且计算量小的方法来关联设备。
发明内容
鉴于上述问题，本发明旨在提出一种能够实现离线快速认证的用于认证设备和安全装置之间的关联性的认证方法、认证系统以及安全装置。
本发明一方面的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，包括：
第一读取步骤，从所述设备读取设备参数信息；
第二读取步骤，从所述安全装置读取存储在该安全装置中的、与该安全装置已关联的设备的设备参数信息以及将该设备参数信息经过规定加密后得到的初始加密结果数据；以及
判断步骤，基于所述第一读取步骤读取的设备参数信息以及所述第二读取步骤读取的设备参数信息以及所述初始加密结果数据进行设备和安全装置之间的关联性判断。
可选地，所述判断步骤包括：
第一判断步骤，判断所述第一读取步骤中读取的设备参数信息与所述第二读取步骤中读取的设备参数信息是否一致，在一致的情况下继续以下的第二判断步骤，否则判断为设备和安全装置不关联；以及
第二判断步骤，判断对所述第一读取步骤中读取的设备参数信息经过规定加密后得到的当前加密结果数据与所述第二读取步骤中读取的所述初始加密结果数据是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
可选地，在所述第一读取步骤之前进一步包括首次关联步骤，
其中，所述首次关联步骤包括：
将所述设备的设备参数信息写入所述安全装置；
所述安全装置利用规定加密算法对所述设备参数信息进行加密得到所述初始加密结果数据并存储所述初始加密结果数据；以及
将所述初始加密结果数据发送并写入到所述设备。
可选地，所述设备参数信息包括：硬件参数信息以及/或者软件参数信息。
可选地，所述设备参数信息包括硬件参数信息和软件参数信息，
在所述第一读取步骤中，从设备读取硬件参数信息和软件参数信息，
在所述第二读取步骤中，从安全装置读取存储在该安全装置中的、与该安全装置已关联的设备的硬件参数信息和软件参数信息以及将硬件参数信息和软件参数信息进行规定加密后得到的初始加密结果数据，
在所述第一判断步骤中，判断所述第一读取步骤中读取的硬件参数信息与所述第二读取步骤中读取的硬件参数信息是否一致，如果判断结果为不一致则判断为设备和安全装置不关联，如果判断结果为一致的情况下，则继续判断所述第一读取步骤中读取软件参数信息与所述第二读取步骤中读取的软件参数信息是否一致，
在所述第二判断步骤中，判断对所述第一读取步骤中读取的硬件参数信息和软件参数信息经过规定加密后得到的当前加密结果数据与所述第二读取步骤中读取的所述初始加密结果数据是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
可选地，所述硬件参数信息包括：设备ID、MAC地址、设备生产信息、设备厂商信息、设备内存信息、设备硬盘信息以及设备处理器信息中的一种或者多种。
可选地，所述软件参数信息包括：设备系统安装时间、首次关联时间、用户唯一信息、系统信息、绑定信息中的一种或者多种。
可选地，所述规定加密算法包括：对称加密算法、消息散列函数以及映射算法中的一种或者多种的组合。
本发明一方面的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，包括：
第一读取步骤，从设备读取字段表T、字段值V以及加密字段表E（T）以及加密字段值E（V）；
修改步骤，对所述字段值V进行部分修改并得到字段变值V'；
第二读取步骤，从安全装置读取已存储在该安全装置中的字段值V以及加密字段表E（T）以及加密字段值E（V）；
第一判断步骤，判断所述第一读取步骤中读取的加密字段表E（T）与所述第二读取步骤中读取的加密字段表E（T）是否一致，在一致的情况下继续以下的第二判断步骤，否则判断为设备和安全装置不关联；以及
第二判断步骤，判断所述第一读取步骤中读取的字段值V与所述修改步骤中得到的字段变值V'是否相似，在判断两者不相似的情况下判断为设备和安全装置不关联，否则继续以下的第三判断步骤；以及
第三判断步骤，判断所述第一读取步骤中读取的加密字段值E（V）与所述第二读取步骤中读取的加密字段值E（V）是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联，
其中，所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，所述字段值V基于字段表T从设备读取自身对应字段而获得字段值V，所述加密字段表E（T）通过规定加密算法加密所述字段T表得到，所述加密字段值E（V）通过规定加密算法加密所述字段值V得到。
可选地，在所述第一读取步骤之前进一步包括首次关联步骤，
其中，所述首次关联步骤包括：
预先设置设备的设备参数信息的字段权重表以及字段总阈值；
将所述字段权重表映射为概率分布表，根据所述概率分布表抽取设备的设备参数信息的字段，直到字段的总阈值满足预先设置的所述字段总阈值，形成字段表T；
将所述字段表T写入所述安全装置；
所述安全装置利用规定加密算法对所述字段表T进行加密得到加密字段表E（T）并保存；
将所述字段表T和所述加密字段表E（T）写入所述设备；
所述设备根据所述字段表T，得到自身对应的字段值V并发送给所述安全装置；
所述安全装置利用规定加密算法加密字段值V并得到加密字段值E（V）并保存；以及
所述安全装置将加密字段值E（V）发送给所述设备保存。
可选地，所述设备参数信息的字段包括：硬件参数信息以及/或者软件参数信息。
可选地，所述硬件参数信息包括：设备ID、MAC地址、设备生产信息、设备厂商信息、设备内存信息、设备硬盘信息以及设备处理器信息中的一种或者多种。
可选地，所述软件参数信息包括：设备系统安装时间、首次关联时间、用户唯一信息、系统信息、绑定信息中的一种或者多种。
本发明一方面的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，在安全装置进行如下步骤：
第一读取步骤，获取设备的设备参数信息；
第二读取步骤，读取已存储的、与该安全装置已关联的设备的设备参数信息以及将该设备参数信息经过规定加密后得到的初始加密结果数据；
第一判断步骤，判断所述第一读取步骤中读取的设备参数信息与所述第二读取步骤中读取的设备参数信息是否一致，在一致的情况下继续以下的第二判断步骤，否则判断为设备和安全装置不关联；以及
第二判断步骤，判断对所述第一读取步骤中读取的设备参数信息经过规定加密后得到的当前加密结果数据与所述第二读取步骤中读取的所述初始加密结果数据是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
可选地，在所述第一读取步骤之前进一步包括首次关联步骤，
其中，所述首次关联步骤在安全装置执行下述步骤：
写入设备的设备参数信息；
利用规定加密算法对所述设备参数信息进行加密得到所述初始加密结果数据并存储所述初始加密结果数据；以及
将所述初始加密结果数据发送到设备。
本发明的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，在安全装置进行如下步骤：
第一接收步骤，从设备接收字段表T、字段值V以及加密字段表E（T）以及加密字段值E（V）；
第二接收步骤，从设备接收将所述字段值V进行部分修改得到的字段变值V'；
第二读取步骤，读取已存储在该安全装置中的字段值V以及加密字段表E（T）以及加密字段值E（V）；
第一判断步骤，判断所述第一读取步骤中读取的加密字段表E（T）与所述第二读取步骤中读取的加密字段表E（T）是否一致，在一致的情况下继续以下的第二判断步骤，否则判断为设备和安全装置不关联；以及
第二判断步骤，判断所述第一读取步骤中读取的字段值V与所述修改步骤中得到的字段变值V'是否相似，在判断两者不相似的情况下判断为设备和安全装置不关联，否则继续以下的第三判断步骤；以及
第三判断步骤，判断所述第一读取步骤中读取的加密字段值E（V）与所述第二读取步骤中读取的加密字段值E（V）是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联，
其中，所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，所述字段值V基于字段表T从设备读取自身对应的字段值V，所述加密字段表E（T）通过规定加密算法加密所述字段T表得到，所述加密字段值E（V）通过规定加密算法加密所述字段值V得到。
可选地，在所述第一读取步骤之前进一步包括首次关联步骤，
在所述首次关联步骤中在安全装置进行如下步骤：
从所述设备接收所述字段表T并存储，其中，基于预先设置的设备的设备参数信息的字段权重表以及字段总阈值得到字段表T；
利用规定加密算法对所述字段表T进行加密得到加密字段表E（T）并保存；
将所述字段表T和所述加密字段表E（T）发送到所述设备；
从所述设备接收根据所述字段表T得到该设备对应的字段值V并存储；
利用规定加密算法加密字段值V并得到加密字段值E（V）并存储；以及
将加密字段值E（V）发送给设备。
本发明的用于认证设备和安全装置之间的关联性的认证系统，其特征在于，包括认证设备和安全装置，
其中，所述设备包括：
存储模块，用于存储该设备的设备参数信息以及存储下述的初始加密结果数据；以及
接收模块，用于从所述安全装置接收下述的初始加密结果数据，
其中，所述安全装置包括：
读取模块，用于读取所述设备的设备参数信息；
初始化模块，用于对首次读取的所述设备的设备参数信息进行加密生成初始加密结果数据并且存储首次读取的外部设备的设备参数信以及所述初始加密结果数据；
发送模块，用于将所述初始加密结果数据发送给所述设备；以及
判断模块，用于判断从所述读取模块读取的设备参数信息与所述初始化模块中已存储的设备参数信息是否一致并且用于判断对从所述读取模块读取的设备参数信息采用规定加密算法加密后得到的当前加密结果数据与所述初始化模块中已存储的所述初始加密结果数据与是否一致。
本发明的安全装置，其特征在于，包括：
读取模块，用于读取外部设备的设备参数信息；
初始化模块，用于对首次读取的外部设备的设备参数信息进行加密生成初始加密结果数据并且存储首次读取的外部设备的设备参数信以及所述初始加密结果数据；
发送模块，用于将所述初始加密结果数据发送给所述外部设备；以及
判断模块，用于判断从所述读取模块读取的设备参数信息与所述初始化模块中已存储的设备参数信息是否一致并且用于判断对从所述读取模块读取的设备参数信息采用规定加密算法加密后得到的当前加密结果数据与所述初始化模块中已存储的所述初始加密结果数据与是否一致。
可选地，所述设备参数信息包括硬件参数信息以及软件参数信息。
可选地，所述判断模块进行以下三层验证判断：
判断从所述读取模块读取的硬件参数信息与所述初始化模块中已存储的硬件参数信息是否一致；
判断从所述读取模块读取的软件参数信息与所述初始化模块中已存储的软件参数信息是否一致；以及
用于判断对从所述读取模块读取的硬件参数信息和软件参数信息采用规定加密算法加密后得到的当前加密结果数据与所述初始化模块中已存储的所述初始加密结果数据与是否一致。
可选地，所述硬件参数信息包括：设备ID、MAC地址、设备生产信息、设备厂商信息、设备内存信息、设备硬盘信息以及设备处理器信息中的一种或者多种，
所述软件参数信息包括：设备系统安装时间、首次关联时间、用户唯一信息、系统信息、绑定信息中的一种或者多种。
可选地，所述规定加密算法包括：对称加密算法、消息散列函数以及映射算法中的一种或者多种的组合。
本发明的一方面的用于认证设备和安全装置之间的关联性的认证系统，其特征在于，包括认证设备和安全装置，
其中，所述设备包括：
计算模块，用于基于下述的字段表T生成自身对应的字段值V并将所述字段值V发送给所述安全装置；
存储模块，用于存储所述字段值V以及从所述安全装置接收到的字段表T、下述的加密字段表E（T）、以及下述的加密字段值E（V）；
接收模块，用于从所述安全装置接收下述的加密字段表E（T）和下述的加密字段值E（V），
其中，安全装置包括：
字段表形成模块，用于按照预先设置的字段权重表抽取所述设备的字段得到字段表T；
读取模块，用于从所述设备读取所述字段值V'、所述加密字段表E（T）、所述加密字段值E（V）；
初始化模块，用于存储从所述设备首次接收到的字段值V，并且用于对首次接收到的字段值V进行加密生成加密字段值E（V）并存储，并且用于对所述字段表T进行加密生成加密字段表E（T）并存储；
发送模块，用于将所述字段表T、所述加密字段表E（T）以及所述加密字段值E（V）发送给所述设备；以及
判断模块，用于分别判断从所述设备读取字段值V'、加密字段表E（T）、加密字段值E（V）与所述初始化模块中存储的字段值V、加密字段表E（T）、加密字段值E（V）的一致性。
本发明的一方面的安全装置，其特征在于，包括：
字段表形成模块，用于按照预先设置的字段权重表抽取外部设备的字段得到字段表T；
读取模块，用于从外部设备读取字段值V'、加密字段表E（T）、加密字段值E（V）；
初始化模块，用于存储从外部设备发送来的字段值V，并且用于对首次收到的字段值V进行加密生成加密字段值E（V）并存储，并且用于对所述字段表T进行加密生成加密字段表E（T）并存储；
发送模块，用于将所述字段表T、所述加密字段表E（T）以及所述加密字段值E（V）发送给所述外部设备；以及
判断模块，用于分别判断从外部设备读取字段值V'、加密字段表E（T）、加密字段值E（V）与所述初始化模块中存储的字段值V、加密字段表E（T）、加密字段值E（V）的一致性。
可选地，所述判断模块用于判断从外部设备读取的加密字段表E（T）与所述初始化模块中存储的加密字段表E（T）是否一致，在一致的情况下继续进行以下的判断，否则判断为设备和安全装置不关联；判断所述从外部设备读取的字段变值V'与所述初始化模块中存储的字段值V是否，在判断两者不相似的情况下判断为设备和安全装置不关联，否则继续以下的步骤；以及判断从外部设备读取的加密字段值E（V）与所述初始化模块中存储的加密字段值E（V）是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
可选地，所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，
所述字段值V基于字段表T从设备读取自身对应的字段值V，
所述加密字段表E（T）通过规定加密算法加密所述字段T表得到，
所述加密字段值E（V）通过规定加密算法加密所述字段值V得到。
本发明的计算机可读介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现所述的用于认证设备和安全装置之间的关联性的认证方法。
本发明的计算机设备，包括存储模块、处理器以及存储在存储模块上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现所述的用于认证设备和安全装置之间的关联性的认证方法。
附图说明
图1是表示第一实施方式的用于认证设备和安全装置之间的关联性的认证方法的流程的示意图。
图2表示第一实施方式的用于认证设备和安全装置之间的关联性的认证系统的结构框图。
图3表示第二实施方式的用于认证设备和安全装置之间的关联性的认证系统的结构框图。
图4是表示第三实施方式的用于认证设备和安全装置之间的关联性的认证方法的具体流程的示意图。
图5表示第三实施方式的用于认证设备和安全装置之间的关联性的认证系统的结构框图。
具体实施方式
下面介绍的是本发明的多个实施例中的一些，旨在提供对本发明的基本了解。并不旨在确认本发明的关键或决定性的要素或限定所要保护的范围。
出于简洁和说明性目的，本文主要参考其示范实施例来描述本发明的原理。但是，本领域技术人员将容易地认识到，相同的原理可等效地应用于所有类型的用于认证设备和安全装置之间的关联性的认证方法、认证系统以及安全装置，并且可以在其中实施这些相同的原理，以及任何此类变化不背离本专利申请的真实精神和范围。
而且，在下文描述中，参考了附图，这些附图图示特定的示范实施例。在不背离本发明的精神和范围的前提下可以对这些实施例进行电、机械、逻辑和结构上的更改。此外，虽然本发明的特征是结合若干实施/实施例的仅其中之一来公开的，但是如针对任何给定或可识别的功能可能是期望和/或有利的，可以将此特征与其他实施/实施例的一个或多个其他特征进行组合。因此，下文描述不应视为在限制意义上的，并且本发明的范围由所附权利要求及其等效物来定义。
诸如“具备”和“包括”之类的用语表示除了具有在说明书和权利要求书中有直接和明确表述的单元（模块）和模块以外，本发明的技术方案也不排除具有未被直接或明确表述的其它单元（模块）和模块的情形。
首先对于本发明中出现的英文缩写进行简单说明。
ID（Identity），身份标识；
USB Key（Universal Serial Bus Key），一种USB接口的硬件设备；
CA（Certificate Authority），证书认证中心；
MCU（Micro Controller Unit），微控制器；
MAC（Media Access Control），网卡物理地址。
第一实施方式
第一实施方式的用于认证设备和安全装置之间的关联性的认证方法以及认证系统主要的发明构思在于通过三层认证手段来将安全芯片（对应于权利要求书中的“安全装置”）与物联网设备（也简称为“设备”）关联，以保证关联设备的安全性和唯一性，不易被仿冒和攻击。
其中，三层认证手段包括：
（1）硬件层次校验
是指校验设备的硬件参数信息，例如设备的标识ID和MAC地址等。设备出厂时设备有唯一的身份识别编号和物理地址。除此之外，还可包含设备的厂商信息（厂商编号、厂商地区、厂商大类等）、设备的生产信息（生产序列号、生产日期、生产批次、生产地区等）、设备的资源信息（内存、硬盘、CPU/MCU型号等）。
（2）软件层次检验
是指校验设备的软件参数信息，例如系统安装时间Time1与首次关联时间Time2等。对于需做身份认证的物联网设备，大多具有操作系统，系统中记录着系统安装时间。在首次关联设备时，会在设备中写入当前时间作为首次关联时间。除此之外，还可包含用户唯一信息（用户注册号、用户注册时间、用户注册地区等）、系统信息（系统类型、系统版本、系统资源等）、绑定信息（绑定号、芯片序号的散列值、芯片证书等）。
（3）加密数据校验
是指校验加密后的硬件参数信息和软件参数信息，例如加密后的标识ID、MAC地址、系统安装时间以及首次关联时间等。安全装置即安全芯片基于内置算法加密数据，该加密算法包含对称加密算法、消息散列函数以及其他自设计的映射算法等，并将密文数据保存到物联网设备的指定位置，同时也保存到安全装置中。
通常地，用户无法从外部直接读取安全芯片密钥，对密钥文件的读写都必须由安全芯片自身调用相应的程序文件执行。禁止外部接口对密钥区的内容进行读取、修改、更新和删除。
接着，对于第一实施方式的用于认证设备和安全装置之间的关联性的认证方法进行说明。
这里，作为设备硬件参数以设备的标识ID和MAC地址为例、作为设备软件参数以系统安装时间以及首次关联时间为例进行说明。
首先，在出厂时，对于安全装置进行出厂前初始化设置，将全0作为初始化值写入安全装置。具体地，将安全装置内置加密算法加密（全部是0的数据），加密后得到加密结果值S（初始化值为0）并写入到安全装置的特定位置。可以通过判断该加密结果值S是否为0而来判断是否于设备关联过。
图1是表示第一实施方式的用于认证设备和安全装置之间的关联性的认证方法的流程的示意图。
如图1所示，第一实施方式的用于认证设备和安全装置之间的关联性的认证方法包括：
步骤S100：插入设备（例如物理网设备）；
步骤S101：安全装置从设备读取设备的标识ID、MAC地址、系统安装时间Time1以及首次关联时间Time2；
步骤S102：从安全装置读取存储在该安全装置中的加密结果值S；
步骤S103：判断加密结果值S是否为0，若为0则进入步骤104，若不为0，则进入步骤S111；
步骤S104：若为0表示安全装置与设备没有关联过，第一次使用关联设备（即首次关联设备）；
步骤S105：将设备的标识ID、MAC地址写入安全装置；
步骤S106：将系统安装时间Time1写入安全装置，将当前时间作为首次关联时间Time2写入安全装置与设备；
步骤S107：安全装置利用规定加密算法对于标识ID、MAC地址、系统安装时间Time1以及首次关联时间Time2进行加密得到加密结果值S，即S=加密（ID+MAC+Time1+Time2 ）；
步骤S108：将加密结果值S写入安全装置和设备；
步骤S109：设备正常使用；
步骤S110：结束流程；
步骤S111：安全装置读取已存储（例如存储在安全芯片）的设备的标识ID和MAC地址；
步骤S112：安全装置判断从设备读取的设备的标识ID和MAC地址与安全装置中已存储的设备的标识ID和MAC地址是否一致，若一致则继续步骤S113，否则继续步骤S116；
步骤S113：安全装置读取已存储的系统安装时间Time1以及首次关联时间Time2；
步骤S114：安全装置判断从设备读取的系统安装时间Time1以及首次关联时间Time2与安全装置中已存储的系统安装时间Time1以及首次关联时间Time2是否一致，若一致则继续步骤S115，否则继续步骤S116；
步骤S115：安全装置利用规定加密算法对于标识ID、MAC地址、系统安装时间Time1以及首次关联时间Time2进行加密得到加密结果值S'，即S'=加密（ID+MAC+Time1+Time2 ）并且比较加密结果值S'是否于已存在安全装置中的加密结果值S一致，若一致则继续步骤S109，若不一致则继续步骤S116；
步骤S116：得出该设备与安全装置不关联的结论；
步骤S117：报错退出。
图2表示第一实施方式的用于认证设备和安全装置之间的关联性的认证系统的结构框图。
如图2所示，用于认证设备和安全装置之间的关联性的认证系统包括：设备100和安全装置200。
设备100包括：
存储模块110，用于存储该设备的设备参数信息以及存储下述的初始加密结果数据；以及
接收模块120，用于从安全装置200接收下述的初始加密结果数据。
安全装置200包括：
读取模块210，用于读取设备100的设备参数信息；
初始化模块220，用于对首次读取的设备的设备参数信息进行加密生成初始加密结果数据并且存储首次读取的设备的设备参数信以及所述初始加密结果数据；
发送模块230，用于将所述初始加密结果数据发送给设备100；
判断模块240，用于判断在使用时从读取模块210读取的设备参数信息与所述初始化模块220中已存储的设备参数信息是否一致并且用于判断对使用时从读取模块210读取的设备参数信息采用规定加密算法加密后得到的加密结果数据与所述初始化模块220中已存储的所述初始加密结果数据与是否一致。
其中，在判断模块240中，如果判断在使用时读取的设备参数信息与所述初始化模块220中已存储的所述设备参数信息不一致的情况下，则判断设备100与安全装置200不关联，如果判断一致的情况下，则继续对使用时从设备读取的设备参数信息采用规定加密算法加密后得到的加密结果数据与所述初始化模块220中已存储的所述初始加密结果数据与是否一致，如果判断结果不一致则判断设备100与安全装置200不关联，如果判断一致的情况下，判断设备100与安全装置200关联。
可选地是，在判断模块240中可以进行三个层次的判断，即硬件层次校验、软件层次校验、以及加密结果数据校验。具体地，例如作为硬件层次校验，采用设备100的标识ID和硬件MAC地址作为设备参数数据，作为软件层次校验，采用设备100的系统安装时间Time1和首次关联时间Time2作为设备参数数据。这里，首次关联时间Time2可以由读取模块210来获取并且存储初始化模块220中，同时通过发送模块230发送给设备100，由设备100的接收模块220接收并存储在存储模块110中。
这样，在判断模块240中进行以下三个层次的校验，包括：
（1）硬件层次的校验
进行设备100的标识ID和硬件MAC地址的校验，判断使用时从设备100读取的标识ID和硬件MAC地址与所述初始化模块220中已存储的标识ID和硬件MAC地址是否一致，如果两者不一致的情况下，则判断设备100和安全装置200不关联，如果两者一致的情况下，则继续进行以下的软件层次的校验。
（2）软件层次的校验
进行设备100的系统安装时间Time1和首次关联时间Time2的校验，判断使用时从设备100读取的系统安装时间Time1和首次关联时间Time2与所述初始化模块220中已存储的系统安装时间Time1和首次关联时间Time2是否一致，如果两者不一致的情况下，则判断设备100和安全装置200不关联，如果两者一致的情况下，则继续进行以下的加密结果数据校验。
（3）加密结果数据校验
对从网管100读取的标识ID、硬件MAC、系统安装时间Time1以及首次关联时间Time2采用规定加密算法加密并得到加密结果数据判断该加密结果数据与存储在初始化模块220中的初始加密结果数据是否一致，如果判断结果不一致，则判断设备100和安全装置200不关联，如果判断一致的情况下，则判断设备100和安全装置200关联。
如上所述，根据第一实施方式的用于认证设备和安全装置之间的关联性的认证方法以及认证系统，能够实现离线快速认证，无需联网与远端平台在线认证，也无需校验CA证书，而只需要在设备本地就能够进行快速认证。而且，第一实施方式的用于认证设备和安全装置之间的关联性的认证方法以及认证系统实现简单，成本低，无需增加新的硬件，仅需对设备和安全装置增加实现上述功能的逻辑即可，可节省额外的硬件成本与软件开发成本。再者，通过三个层次的认证，能够保证认证的准确性和安全性。
第二实施方式
第二实施方式的用于认证设备和安全装置之间的关联性的认证方法以及认证系统主要的发明构思在于，在第一实施方式的基础上，增加设备参数信息的字段权重设置。
这是由于，在设备中所有的软硬件参数字段有上百个，如果要一一对比，效率较低，且有时更改了一个数值会导致整个校验失败。因此，软硬件参数字段优选地可选取不是固定的字段，在本实施方式中，通过一个概率生成过程，保证了每个设备的关联除了本身标识不同，更具有自身特色的字段组合，在关联认证时，也只需要传输与自身有关的字段即可。而且，在本实施方式中设置字段总阈值，通过字段总阈值则能够保证需要选取字段的重要性，即如果选取了权重值较小的字段，则需要更多的字段才能满足场景安全性。
在第二实施方式中以物联网设备和安全芯片为例进行说明。
具体地，在第二实施方式中，首次关联物联网设备时进行以下步骤：
（1）根据字段的重要性，设置每个字段的权重大小，形成权重表；
（2）将字段权重表映射为概率分布表，例如采用softmax方法；
（3）根据字段概率分布，逐一抽取字段，直到所有抽取字段的总阈值超过预先设定的字段总阈值，将抽取的字段填入字段表T；
（4）安全芯片加密字段表T，得到加密字段表E(T)，将加密字段表E(T)保存在安全芯片内；
（5）安全芯片将字段表T与加密字段表E(T)一并返回给物联网设备；
（6）物联网设备在本地保存字段表T与加密字段表E(T)；
（7）物联网设备根据段表T，得到自身对应的字段值V并发送给安全芯片；
（8）安全芯片对字段值V进行加密，得到加密字段值E(V)并保存，并且将该加密字段值E(V)发送给物联网设备；以及
（9）在物联网设备中保存加密字段值E(V)。
在首次关联物联网设备时，安全芯片输入的数据包括：字段权重表，字段总阈值，默认值为随机概率，安全芯片输出的数据包括：字段表T、加密字段表E(T)、加密字段值E(V)。
在对物联网设备和安全芯片之间的关联性进行认证时，进行以下步骤：
（1）物理网设备查询本地保存的T，读取自身对应的字段值V；
（2）物理网设备可任意修改V的部分信息，形成字段变值V'；
（3）物理网设备发送字段变值V'、以及本地保存的加密字段表E(T)、加密字段值E(V)给安全芯片；
（3）安全芯片对比自身保存的加密字段表E(T)与设备发送的加密字段表E(T)是否相等，如果相等，转第（5）步，如果不相等，转第（8）步；
（5）安全芯片对比自身保存的字段值V与物理网设备发送来的字段变值V'的相似性是否大，如果不大，转第（6）步，如果大，转第（8）步；
（6）安全芯片对比自身保存的加密字段值E(V)与物理网设备发送来的加密字段值E(V)是否相等，如果相等，转第（7）步，如果不相等，转第（8）步；
（7）物理网设备与安全芯片关联认证通过，认证成功，正常使用；
（8）物理网设备与安全芯片关联认证未通过，认证失败，报错退出。
在对物联网设备和安全芯片之间的关联性进行认证时，安全芯片输入的数据包括：字段变值V'、加密字段表E(T)、加密字段值E(V)，安全芯片输出的数据包括：关联认证是否通过。
在本实施方式中，字段变值V'之所以可以修改，是因为这个值在通信时是明文传输，通信链路也存在被窃听的可能性。而由于已经有加密字段表E(T)和加密字段值E(V)的对比，字段变值V'是字段值V的变值，它可以保证信息的隐藏性，也不丢失整体信息的准确性。
另外，在本实施方式中，假设物理网设备的全字段只有4个，分别是硬件标识ID、MAC地址、系统安装时间TIME1、首次关联时间TIME2，并且设定字段权重表为[1,1,1,1]，字段总阈值为1（选取全字段），物联网设备的V'=V，则关联认证流程会简化图1所示描写的过程。
图3表示第二实施方式的用于认证设备和安全装置之间的关联性的认证系统的结构框图。
如图3所示，23. 第二实施方式的用于认证设备和安全装置之间的关联性的认证系统包括：设备300和安全装置400。
其中，所述设备300包括：
计算模块310，用于基于下述的字段表T生成自身对应的字段值V并将所述字段值V发送给所述安全装置；
存储模块320，用于存储所述字段值V以及从所述安全装置接收到的字段表T、下述的加密字段表E（T）、以及下述的加密字段值E（V）；
接收模块330，用于从所述安全装置接收下述的加密字段表E（T）和下述的加密字段值E（V），
其中，安全装置400包括：
字段表形成模块410，用于按照预先设置的字段权重表抽取所述设备的字段得到字段表T；
读取模块420，用于从所述设备300读取所述字段值V'、所述加密字段表E（T）、所述加密字段值E（V）；
初始化模块430，用于存储从所述设备300首次接收到的字段值V，并且用于对首次接收到的字段值V进行加密生成加密字段值E（V）并存储，并且用于对所述字段表T进行加密生成加密字段表E（T）并存储；
发送模块440，用于将所述字段表T、所述加密字段表E（T）以及所述加密字段值E（V）发送给所述设备300；以及
判断模块450，用于分别判断从所述设备读取字段值V'、加密字段表E（T）、加密字段值E（V）与所述初始化模块430中存储的字段值V、加密字段表E（T）、加密字段值E（V）的一致性。
其中，判断模块450用于判断从设备300读取的加密字段表E（T）与初始化模块430中存储的加密字段表E（T）是否一致，在一致的情况下继续进行以下的判断，否则判断为设备和安全装置不关联；判断从设备300读取的字段变值V'与初始化模块430中存储的字段值V是否，在判断两者不相似的情况下判断为设备和安全装置不关联，否则继续以下的步骤；以及判断从设备300读取的加密字段值E（V）与初始化模块430中存储的加密字段值E（V）是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
其中，所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，所述字段值V基于字段表T从设备读取自身对应的字段值V，所述加密字段表E（T）通过规定加密算法加密所述字段T表得到，所述加密字段值E（V）通过规定加密算法加密所述字段值V得到。
如上所述，根据第二实施方式的用于认证设备和安全装置之间的关联性的认证方法以及认证系统，除了能够实现第一实施方式相同的技术效果之外，可以根据自身特色组成字段，在关联认证时，只需要传输与自身有关的字段即可，提高了关联性认证的灵活性和安全性。
第三实施方式
第三实施方式是将本发明的用于认证设备和安全装置之间的关联性的认证方法以及认证系统应用于车联充电桩网关的具体实施方式。在第三实施方式中采用本发明的认证方法来认证充电网关和USBKey之间的关联性。
在车联网充电无感支付场景中，将基于安全芯片的定制USB Key焊接到充电桩网关上，而不增加任何硬件设备，复用现有的物联网设备，就可以避免一个USB Key（Ukey）同时在多个充电桩网关设备上使用。根据本发明，一旦充电桩网关遭到破坏或盗窃，USB Key就会失效，避免了因为USB Key遗失而带来的不必要的损失。
第三实施方式的用于认证设备和安全装置之间的关联性的认证方法实现过程概要如下。
USB Key出厂时，在指定存储位置设置debug（调试）标志位，为零是正常模式，不为零则是debug模式（调试模式）。然后，初始化充电桩网关，这里，采用唯一标识ID、物理地址MAC作为充电桩网关的硬件参数信息，采用Linux系统安装时间、首次关联时间作为作为充电桩网关的软件参数信息。假设充电桩网关的唯一标识ID、物理地址MAC、Linux系统安装时间、首次关联时间全都为零，使用国密算法对这些信息加密运算，将密文结果K1保存在USBKey中指定存储位置。
USB Key出厂后，在充电桩网关上使用时，首先，从USB Key指定存储位置读出debug标志位，如果是debug模式，USB Key在充电桩网关设备上可以正常使用；如果是正常模式，先从USB Key指定存储位置读出上次保存的密文结果，与国密加密后的全零信息比较：如果相同，则表示USB Key是首次使用。在此情况下，读取充电桩网关的ID、MAC、系统安装时间Time1，使用USB Key中内置的国密算法对ID、MAC、Time1以及当前时间Time2加密，得到密文结果。将此密文写入USB Key和充电桩网关上指定存储位置。同时，将充电桩网关标识ID、硬件MAC地址、网关Linux系统安装时间Time1写入USB Key中；将首次关联时间Time2写入USB Key和网关中。如果不同，说明已关联了相关设备。在此情况下，读取充电桩网关的ID、MAC、系统安装时间Time1和首次关联时间Time2，并从USB Key中读出对应信息，并先后比较这些值，只要存在不同，则表示网关设备不匹配，退出使用。如果都相同，使用USB Key中的国密算法对上述信息加密，得到密文结果。比较这两个密文，相等则表示该网关是该USB Key所关联的唯一设备，可以正常使用；不相等则表示USB Key与充电桩网关设备不匹配，在此充电桩网关设备上不能正常使用。由此，能够避免USB Key在多个充电桩网关设备使用。
接着，参照图4对于第三实施方式的用于认证设备和安全装置之间的关联性的认证方法进行说明。图4是表示第三实施方式的用于认证设备和安全装置之间的关联性的认证方法的具体流程的示意图。
首先，在说明认证过程之前，先说明USB Key出厂前初始化步骤（未图示），包括：
1. USB Key颁发者确定此产品模式：debug模式/正常模式；
2. 在USB Key内指定存储位置保存此debug标志位；
3. 初始化赋值，将充电桩网关标识ID、硬件MAC地址和网关设备上Linux系统安装时间Time1、首次关联时间Time2均设置为0；
4. 基于国密算法对上述值（ID+MAC+Time1+Time2）加密得到密文结果；以及
5. 将加密后的加密结果值S保存在USB Key指定存储位置；
6. USB Key初始化结束，可以提供用户使用。
接着，参照图4说明USB Key在充电桩网关进行使用时的认证过程，认证过程包括下述步骤：
S1：将USB Key连接到充电桩网关，充电桩网关识别此USB Key，读取debug模式位，如果为debug模式，则跳过关联设备过程，正常使用（用于初期调试阶段）；
S2：如果为正常模式，则获取充电桩网关的标识ID、硬件MAC地址、网关设备Linux系统安装时间Time1、首次关联时间Time2；
S3：从USB Key指定存储位置读出保存的加密结果值S，比较是否和全零的加密密文相同，如果相同则继续步骤S4，如果不相同则继续步骤S6；
S4：加密结果值S相同的情况（即为零），表示此USBKey是第一次在此充电桩网关上使用，在USB Key中写入充电桩网关标识ID、设备MAC地址、网关设备Linux系统安装时间Time1，在USB Key和网关中同时写入当前Time2作为首次关联时间，基于USB Key内置的国密算法对充电桩网关设备网关标识ID、设备MAC地址、网关设备Linux系统安装时间Time1、首次关联时间Time2加密并得到加密结果值S；
S5：将加密结果值S同时保存到USB Key和充电桩网关设备上指定的位置，充电桩网关设备正常使用；
S6：比较结果不相同，表示不是第一次使用USBkey，则从硬件层次（第一层次）进行校验，即对充电桩网关设备网关标识ID、设备MAC地址进行校验，如果硬件层次校验通过则继续S7，如果硬件层次校验不通过则表示此充电桩网关为非法接入设备，报错退出；
S7：从软件层次（第二层次）进行校验，即网关设备Linux系统安装时间Time1、首次关联时间Time2进行校验，如果软件层次校验通过则继续S8，如果软件层次校验不通过则表示此充电桩网关为非法接入设备，报错退出；
S8：从密文层次（第三层次）进行校验，即基于USB Key内置的国密算法对充电桩网关标识ID、硬件MAC地址、网关设备Linux系统安装时间Time1、首次关联时间Time2加密，得到加密结果值S'，与步骤S4中的加密结果值S进行比较，如果两者一致，则表示第三层次验证通过，表示此充电桩网关为USB Key关联的唯一设备，USB Key可在充电桩设备上正常使用，如果两者不一致，则第三层次校验未通过，则表示此充电桩网关为非法接入设备，报错退出。
接着，说明第三实施方式的用于认证设备和安全装置之间的关联性的认证系统。
图5表示第三实施方式的用于认证设备和安全装置之间的关联性的认证系统的结构框图。
如图5所示，用于认证设备和安全装置之间的关联性的认证系统包括：充电桩网关500和USBKey 600。
充电桩网关500包括：
存储模块510，用于存储该充电桩网关的设备参数信息、模式标志信息（可选）以及存储下述的初始加密结果数据；以及
接收模块520，用于从USBKey 600接收下述的初始加密结果数据。
USBKey 600包括：
读取模块610，用于读取充电桩网关500的设备参数信息；
初始化模块620，用于对首次读取的充电桩网关500的设备参数信息进行加密生成初始加密结果数据并且存储首次读取的充电桩网关500的设备参数信以及所述初始加密结果数据；
发送模块630，用于将所述初始加密结果数据发送给充电桩网关500；以及
判断模块640，用于判断在使用时由读取模块610读取的充电桩网关500的设备参数信息与所述初始化模块620中已存储的充电桩网关500的设备参数信息是否一致并且用于判断对使用时从读取模块210读取的充电桩网关500的设备参数信息采用规定加密算法加密后得到的加密结果数据与所述初始化模块620中已存储的所述初始加密结果数据与是否一致。
其中，在判断模块640中，如果判断在使用时从充电桩网关500读取的设备参数信息与所述初始化模块620中已存储的所述设备参数信息不一致的情况下，则判断充电桩网关500与USBKey 600不关联，如果判断一致的情况下，则继续判断对使用时从充电桩网关读取的设备参数信息采用规定加密算法加密后得到的加密结果数据与所述初始化模块620中已存储的所述初始加密结果数据与是否一致，如果判断结果不一致则判断充电桩网关500与USBKey 600不关联，如果判断一致的情况下，则判断充电桩网关500与USBKey 600关联。
可选地是，在判断模块640中可以进行三个层次的判断，即硬件层次校验、软件层次校验、以及加密结果数据校验。具体地，例如作为硬件层次校验，采用充电桩网关的标识ID和硬件MAC地址作为设备参数数据，作为软件层次校验，采用网关设备Linux系统安装时间Time1和首次关联时间Time2作为设备参数数据。这里，首次关联时间Time2可以由读取模块610来获取并且存储初始化模块620中，同时通过发送模块630发送给充电桩网关500，由充电桩网关500的接收模块520接收并存储在存储模块510中。
这样，在判断模块640中进行如下三层次的校验：
（1）硬件层次的校验
进行充电桩网关标识ID和硬件MAC地址的校验，判断使用时从充电桩网关读取的充电桩网关标识ID和硬件MAC地址与所述初始化模块620中已存储的充电桩网关标识ID和硬件MAC地址是否一致，如果两者不一致的情况下，则判断充电桩网关500与USBKey 600不关联，如果两者一致的情况下，则继续进行以下的软件层次的校验。
（2）软件层次的校验
进行网关设备Linux系统安装时间Time1和首次关联时间Time2的校验，判断使用时从充电桩网关500读取的网关设备Linux系统安装时间Time1和首次关联时间Time2与所述初始化模块620中已存储的网关设备Linux系统安装时间Time1和首次关联时间Time2是否一致，如果两者不一致的情况下，则判断充电桩网关500与USBKey 600不关联，如果两者一致的情况下，则继续进行以下的加密结果数据校验。
（3）加密结果数据校验
判断对使用时从充电桩网关读取的充电桩网关标识ID、硬件MAC、Linux系统安装时间Time1以及首次关联时间Time2采用规定加密算法加密后得到的加密结果数据与存储在初始化模块620中的初始加密结果数据（即由初始化模块620对首次读取的充电桩网关标识ID、硬件MAC、Linux系统安装时间Time1以及首次关联时间Time2采用规定加密算法加密后得到的初始加密结果数据）是否一致，如果判断结果不一致则判断充电桩网关500与USBKey 600不关联，如果判断一致的情况下，则判断充电桩网关500与USBKey 600关联。
本发明还提供一种计算机可读介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述的用于认证设备和安全装置之间的关联性的认证系统以及认证方法、安全装置。
本发明还提供一种计算机设备，包括存储模块、处理器以及存储在存储模块上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时上述的用于认证设备和安全装置之间的关联性的认证系统以及认证方法、安全装置。
以上例子主要说明了本发明的用于认证设备和安全装置之间的关联性的认证系统以及认证方法、安全装置。尽管只对其中一些本发明的具体实施方式进行了描述，但是本领域普通技术人员应当了解，本发明可以在不偏离其主旨与范围内以许多其他的形式实施。因此，所展示的例子与实施方式被视为示意性的而非限制性的，在不脱离如所附各权利要求所定义的本发明精神及范围的情况下，本发明可能涵盖各种的修改与替换。

Claims (12)

1.一种用于认证设备和安全装置之间的关联性的认证方法，其特征在于，包括：
第一读取步骤，从设备读取字段表T、字段值V以及加密字段表E(T)以及加密字段值E(V)；
修改步骤，对所述字段值V进行部分修改并得到字段变值V'；
第二读取步骤，从安全装置读取已存储在该安全装置中的字段值V以及加密字段表E(T)以及加密字段值E(V)；
第一判断步骤，判断所述第一读取步骤中读取的加密字段表E(T)与所述第二读取步骤中读取的加密字段表E(T)是否一致，在一致的情况下继续以下的第二判断步骤，否则判断为设备和安全装置不关联；以及
第二判断步骤，判断所述第一读取步骤中读取的字段值V与所述修改步骤中得到的字段变值V'是否相似，在判断两者相似的情况下判断为设备和安全装置不关联，否则继续以下的第三判断步骤；以及
第三判断步骤，判断所述第一读取步骤中读取的加密字段值E(V)与所述第二读取步骤中读取的加密字段值E(V)是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联，
其中，所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，所述字段值V基于字段表T从设备读取自身对应字段而获得字段值V，所述加密字段表E(T)通过规定加密算法加密所述字段T表得到，所述加密字段值E(V)通过规定加密算法加密所述字段值V得到。
2.如权利要求1所述的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，在所述第一读取步骤之前进一步包括首次关联步骤，
其中，所述首次关联步骤包括：
预先设置设备的设备参数信息的字段权重表以及字段总阈值；
将所述字段权重表映射为概率分布表，根据所述概率分布表抽取设备的设备参数信息的字段，直到字段的总阈值满足预先设置的所述字段总阈值，形成字段表T；
将所述字段表T写入所述安全装置；
所述安全装置利用规定加密算法对所述字段表T进行加密得到加密字段表E(T)并保存；将所述字段表T和所述加密字段表E(T)写入所述设备；
所述设备根据所述字段表T，得到自身对应的字段值V并发送给所述安全装置；
所述安全装置利用规定加密算法加密字段值V并得到加密字段值E(V)并保存；以及
所述安全装置将加密字段值E(V)发送给所述设备保存。
3.如权利要求2所述的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，所述设备参数信息的字段包括：硬件参数信息以及/或者软件参数信息。
4.如权利要求3所述的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，所述硬件参数信息包括：设备ID、MAC地址、设备生产信息、设备厂商信息、设备内存信息、设备硬盘信息以及设备处理器信息中的一种或者多种。
5.如权利要求3所述的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，所述软件参数信息包括：设备系统安装时间、首次关联时间、用户唯一信息、系统信息、绑定信息中的一种或者多种。
6.一种用于认证设备和安全装置之间的关联性的认证方法，其特征在于，在安全装置进行如下步骤：第一接收步骤，从设备接收字段表T、字段值V以及加密字段表E(T)以及加密字段值E(V)；
第二接收步骤，从设备接收将所述字段值V进行部分修改得到的字段变值V'；
第二读取步骤，读取已存储在该安全装置中的字段值V以及加密字段表E(T)以及加密字段值E(V)；
第一判断步骤，判断所述第一接收步骤中接收的加密字段表E(T)与所述第二读取步骤中读取的加密字段表E(T)是否一致，在一致的情况下继续以下的第二判断步骤，否则判断为设备和安全装置不关联；以及
第二判断步骤，判断所述第一接收步骤中接收的字段值V与所述第二接收步骤中得到的字段变值V'是否相似，在判断两者相似的情况下判断为设备和安全装置不关联，否则继续以下的第三判断步骤；以及
第三判断步骤，判断所述第一接收步骤中接收的加密字段值E(V)与所述第二读取步骤中读取的加密字段值E(V)是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联，
其中，所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，所述字段值V基于字段表T从设备读取自身对应的字段值V，所述加密字段表E(T)通过规定加密算法加密所述字段T表得到，所述加密字段值E(V)通过规定加密算法加密所述字段值V得到。
7.如权利要求6所述的用于认证设备和安全装置之间的关联性的认证方法，其特征在于，在所述第一接收步骤之前进一步包括首次关联步骤，
在所述首次关联步骤中在安全装置进行如下步骤：
从所述设备接收所述字段表T并存储，其中，基于预先设置的设备的设备参数信息的字段权重表以及字段总阈值得到字段表T；
利用规定加密算法对所述字段表T进行加密得到加密字段表E(T)并保存；
将所述字段表T和所述加密字段表E(T)发送到所述设备；
从所述设备接收根据所述字段表T得到该设备对应的字段值V并存储；
利用规定加密算法加密字段值V并得到加密字段值E(V)并存储；以及
将加密字段值E(V)发送给设备。
8.一种用于认证设备和安全装置之间的关联性的认证系统，其特征在于，包括认证设备和安全装置，
其中，所述设备包括：
计算模块，用于基于下述的字段表T生成自身对应的字段值V并将所述字段值V发送给所述安全装置；
存储模块，用于存储所述字段值V以及从所述安全装置接收到的字段表T、下述的加密字段表E(T)、以及下述的加密字段值E(V)；
接收模块，用于从所述安全装置接收下述的加密字段表E(T)和下述的加密字段值E(V)，
其中，安全装置包括：
字段表形成模块，用于按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T；
读取模块，用于从所述设备读取字段变值V'、所述加密字段表E(T)、所述加密字段值E(V)，其中，所述字段变值V'是所述字段值V的变值；
初始化模块，用于存储从所述设备首次接收到的字段值V，并且用于对首次接收到的字段值V进行加密生成加密字段值E(V)并存储，并且用于对所述字段表T进行加密生成加密字段表E(T)并存储；
发送模块，用于将所述字段表T、所述加密字段表E(T)以及所述加密字段值E(V)发送给所述设备；以及
判断模块，用于分别判断从所述设备读取的加密字段表E(T)、加密字段值E(V)与所述初始化模块中存储的加密字段表E(T)、加密字段值E(V)的一致性以及用于判断从所述设备读取的字段变值V'与所述初始化模块中存储的字段值V的相似性，
其中，所述判断模块用于判断从外部设备读取的加密字段表E(T)与所述初始化模块中存储的加密字段表E(T)是否一致，在一致的情况下继续进行以下的判断，否则判断为设备和安全装置不关联；判断所述从外部设备读取的字段变值V'与所述初始化模块中存储的字段值V是否相似，在判断两者相似的情况下判断为设备和安全装置不关联，否则继续以下的步骤；以及判断从外部设备读取的加密字段值E(V)与所述初始化模块中存储的加密字段值E(V)是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
9.一种安全装置，其特征在于，包括：
字段表形成模块，用于按照预先设置的字段权重表抽取设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T；
读取模块，用于从外部设备读取字段变值V'、加密字段表E(T)、加密字段值E(V)；
初始化模块，用于存储从外部设备发送来的字段值V，并且用于对首次收到的字段值V进行加密生成加密字段值E(V)并存储，并且用于对所述字段表T进行加密生成加密字段表E(T)并存储；
发送模块，用于将所述字段表T、所述加密字段表E(T)以及所述加密字段值E(V)发送给所述外部设备；以及
判断模块，用于分别判断从外部设备读取的加密字段表E(T)、加密字段值E(V)与所述初始化模块中存储的加密字段表E(T)、加密字段值E(V)的一致性以及用于判断从外部设备读取的字段变值V'与所述初始化模块中存储的字段值V的相似性，其中，所述字段变值V'是所述字段值V的变值，
其中，所述判断模块用于判断从外部设备读取的加密字段表E(T)与所述初始化模块中存储的加密字段表E(T)是否一致，在一致的情况下继续进行以下的判断，否则判断为设备和安全装置不关联；判断所述从外部设备读取的字段变值V'与所述初始化模块中存储的字段值V是否相似，在判断两者相似的情况下判断为设备和安全装置不关联，否则继续以下的步骤；以及判断从外部设备读取的加密字段值E(V)与所述初始化模块中存储的加密字段值E(V)是否一致，在一致的情况下判断为设备和安全装置关联，否则判断为设备和安全装置不关联。
10.如权利要求9所述的安全装置，其特征在于，
所述字段表T是按照预先设置的字段权重表抽取所述设备的设备参数信息的字段，直到字段的总阈值满足预先设置的字段总阈值而形成字段表T，
所述字段值V基于字段表T从设备读取自身对应的字段值V，
所述加密字段表E(T)通过规定加密算法加密所述字段T表得到，
所述加密字段值E(V)通过规定加密算法加密所述字段值V得到。
11.一种计算机可读介质，其上存储有计算机程序，其特征在于，
该计算机程序被处理器执行时实现权利要求1～7任意一项所述的用于认证设备和安全装置之间的关联性的认证方法。
12.一种计算机设备，包括存储模块、处理器以及存储在存储模块上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1～7任意一项所述的用于认证设备和安全装置之间的关联性的认证方法。
CN202010909311.5A 2020-09-02 2020-09-02 一种认证关联性的认证方法以及安全装置 Active CN112532573B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010909311.5A CN112532573B (zh) 2020-09-02 2020-09-02 一种认证关联性的认证方法以及安全装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010909311.5A CN112532573B (zh) 2020-09-02 2020-09-02 一种认证关联性的认证方法以及安全装置

Publications (2)

Publication Number Publication Date
CN112532573A CN112532573A (zh) 2021-03-19
CN112532573B true CN112532573B (zh) 2023-07-07

Family

ID=74978774

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010909311.5A Active CN112532573B (zh) 2020-09-02 2020-09-02 一种认证关联性的认证方法以及安全装置

Country Status (1)

Country Link
CN (1) CN112532573B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113742707B (zh) * 2021-09-08 2023-12-08 深圳市精锋医疗科技股份有限公司 认证方法、认证装置及手术机器人

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108933757A (zh) * 2017-05-22 2018-12-04 李海磊 一种硬件设备的安全可靠联网接入方法
CN110839037A (zh) * 2019-11-19 2020-02-25 武汉思普崚技术有限公司 一种sdn网络的攻击场景挖掘方法及系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103108327B (zh) * 2011-11-15 2016-07-06 中国移动通信集团公司 验证终端设备和用户卡安全关联的方法、装置及系统
WO2014154236A1 (en) * 2013-03-25 2014-10-02 Irdeto B.V. Obtaining or providing key data
CN104244227A (zh) * 2013-06-09 2014-12-24 中国移动通信集团公司 一种物联网系统中终端接入认证的方法及装置
CN109190362B (zh) * 2018-08-31 2020-09-11 深圳市元征科技股份有限公司 安全通信方法及相关设备
CN111092820B (zh) * 2018-10-23 2023-04-07 中国移动通信有限公司研究院 一种设备节点认证方法、装置和系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108933757A (zh) * 2017-05-22 2018-12-04 李海磊 一种硬件设备的安全可靠联网接入方法
CN110839037A (zh) * 2019-11-19 2020-02-25 武汉思普崚技术有限公司 一种sdn网络的攻击场景挖掘方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
证书认证系统中安全事件关联模型的设计及应用;温辉;徐开勇;赵彬;周计成;;信息工程大学学报(第02期);全文 *

Also Published As

Publication number Publication date
CN112532573A (zh) 2021-03-19

Similar Documents

Publication Publication Date Title
US8131996B2 (en) Distributed management of a certificate revocation list
CN108616504B (zh) 一种基于物联网的传感器节点身份认证系统及方法
JP7277270B2 (ja) 埋め込まれたルートオブトラストシークレットで生成される集積回路の個人化
CN107004083B (zh) 设备密钥保护
CN109347642A (zh) 一种抵抗入侵的方法、装置及机器可读存储媒体
CN111723383A (zh) 数据存储、验证方法及装置
US11791984B2 (en) Local ledger block chain for secure updates
CN107846396B (zh) 存储器系统及其与主机之间的绑定方法
US11128474B2 (en) Secure device communication
US11397814B2 (en) Local ledger block chain for secure electronic control unit updates
US9679117B2 (en) System and method for obtaining an authorization key to use a product
CN112532573B (zh) 一种认证关联性的认证方法以及安全装置
CN112437068B (zh) 认证及密钥协商方法、装置和系统
US20160277182A1 (en) Communication system and master apparatus
CN103248490B (zh) 一种备份电子签名令牌中信息的方法和系统
CN113572717B (zh) 通信连接的建立方法、洗护设备及服务器
CN111651740B (zh) 一种面向分布式智能嵌入式系统的可信平台共享系统
CN110740043B (zh) 一种智能密钥设备及其验证方法
CN108449753B (zh) 一种手机设备读取可信计算环境中的数据的方法
JP2005503059A (ja) メモリの整合性検証を有する認証プロトコル
EP3901797A1 (en) Method for processing digital information
KR20240024610A (ko) 차량 진단 시스템 및 그 방법
US9830442B2 (en) Method for generating at least one derived identity
JP2023527251A (ja) オフライン制御装置を起動又は管理するための方法及びシステム
CN116346398A (zh) 安全汽车系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant