CN113556732A - 物联网通信方法、设备、系统及存储介质 - Google Patents

Abstract

本发明公开了一种物联网通信方法、设备、系统及存储介质。其中，该方法包括：加解密网关接收物联网终端发送的访问物联网服务器的第一信息，第一信息携带物联网服务器对应的目的地址；加解密网关对目的地址进行GBA认证，确定目的地址通过认证；加解密网关对第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给物联网服务器。本发明实施例可以利用GBA的开放认证能力对物联网业务的信息交互进行认证，利于提升信息交互的安全性，且认证的过程与物联网终端无关，无需对物联网终端进行改造，亦不受物联网终端的软硬件配置的限制，适用范围广。

Description

物联网通信方法、设备、系统及存储介质

技术领域

本发明涉及物联网领域，尤其涉及一种物联网通信方法、设备、系统及存储介质。

背景技术

物联网领域中，物联网终端需要与相应的物联网服务器(又称为物联网平台)进行信息交互，由于物联网业务可能会涉及到用户隐私信息，对信息交互的安全性要求较高。若物联网业务的信息交互的安全性不足，可能会引起严重的安全事故。

然而，实际应用中，许多物联网终端的软硬件配置较低，自身资源和能耗受限，仅凭自身能力，很难实施完备的数据安全保护措施，无法满足物联网业务的信息交互的安全性要求。

发明内容

有鉴于此，本发明实施例提供了一种物联网通信方法、设备、系统及存储介质，旨在提高物联网业务的信息交互的安全性。

本发明实施例的技术方案是这样实现的：

本发明实施例提供了一种物联网通信方法，包括：

加解密网关接收物联网终端发送的访问物联网服务器的第一信息，所述第一信息携带所述物联网服务器对应的目的地址；

所述加解密网关对所述目的地址进行通用认证架构(General BootstrappingArchitecture，GBA)认证，确定所述目的地址通过认证；

所述加解密网关对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给所述物联网服务器。

本发明实施例还提供了一种物联网通信方法，包括：

物联网服务器接收加解密网关发送的第二信息；其中，所述第二信息携带所述加解密网关的网关身份信息；

所述物联网服务器基于所述网关身份信息查询所述加解密网关是否通过GBA认证；

若是，则所述物联网服务器基于相应GBA认证的认证信息解密所述第二信息，得到物联网终端发送的第一信息。

本发明实施例又提供了一种物联网通信方法，包括：

加解密网关接收物联网服务器发送的访问物联网终端的第三信息；

所述加解密网关基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；

若是，则所述加解密网关基于相应GBA认证的认证信息解密所述第三信息，并将解密后的消息发送至相应的物联网终端。

本发明实施例还提供了一种物联网通信装置，应用于加解密网关，所述物联网通信装置包括：

第一接收模块，用于接收物联网终端发送的访问物联网服务器的第一信息，所述第一信息携带所述物联网服务器对应的目的地址；

第一认证模块，用于对所述目的地址进行通用认证架构GBA认证，确定所述目的地址通过认证；

第一处理模块，用于对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成第二信息；

第一发送模块，用于发送所述第二信息给所述物联网服务器。

本发明实施例又提供了一种物联网通信装置，应用于物联网服务器，所述物联网通信装置包括：

第二接收模块，用于接收加解密网关发送的第二信息；其中，所述第二信息携带所述加解密网关的网关身份信息；

第二认证模块，用于基于所述网关身份信息查询所述加解密网关是否通过GBA认证；

第二处理模块，用于若所述加解密网关通过GBA认证，基于相应GBA认证的认证信息解密所述第二信息，得到物联网终端发送的第一信息。

本发明实施例还提供了一种物联网通信装置，应用于加解密网关，所述物联网通信装置包括：

第三接收模块，用于接收物联网服务器发送的访问物联网终端的第三信息；

第三认证模块，用于基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；

第三处理模块，用于若所述物联网服务器通过GBA认证，基于相应GBA认证的认证信息解密所述第三信息；

第三发送模块，用于将解密后的消息发送至相应的物联网终端。

本发明实施例又提供了一种加解密网关，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，其中，所述处理器，用于运行计算机程序时，执行本发明实施例加解密网关侧所述方法的步骤。

本发明实施例还提供了一种物联网服务器，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，其中，所述处理器，用于运行计算机程序时，执行本发明实施例物联网服务器侧所述方法的步骤。

本发明实施例又提供了一种物联网通信系统，包括前述任一实施例所述的加密网关和前述任一实施例所述的物联网服务器。

本发明实施例还提供了一种存储介质，所述存储介质上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现本发明任一实施例所述方法的步骤。

本发明实施例提供的技术方案，通过加解密网关对物联网终端发送的第一信息的目的地址进行GBA认证，确定目的地址通过认证后，对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给物联网服务器，或者加解密网关接收物联网服务器发送的访问物联网终端的第三信息，基于第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；若是，则所述加解密网关基于相应GBA认证的认证信息解密所述第三信息，并将解密后的消息发送至相应的物联网终端。如此，可以利用GBA的开放认证能力对物联网业务的信息交互进行认证，利于提升信息交互的安全性，且认证的过程与物联网终端无关，无需对物联网终端进行改造，亦不受物联网终端的软硬件配置的限制，适用范围广。

附图说明

图1为本发明实施例物联网通信系统的结构示意图；

图2为本发明一实施例物联网通信方法的流程示意图；

图3为本发明另一实施例物联网通信方法的流程示意；

图4为本发明又一实施例物联网通信方法的流程示意图；

图5为本发明应用实施例物联网通信方法的流程示意图；

图6为本发明一实施例物联网通信装置的结构示意图；

图7为本发明另一实施例物联网通信装置的结构示意图；

图8为本发明又一实施例物联网通信装置的结构示意图；

图9为本发明实施例加解密网关的结构示意图；

图10为本发明实施例物联网服务器的结构示意图；

图11为本发明实施例物联网通信系统的结构示意图。

具体实施方式

下面结合附图及实施例对本发明再作进一步详细的描述。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。

物联网终端由于内存小或者供电受限等原因，往往很难实施完备的数据安全保护措施，无法满足物联网业务的信息交互的安全性要求。比如，能力受限的窄带物联网(Narrow Band Internet of Things,NB-IoT)终端：插入了NB-IoT芯片的水表、电表、气表等设备，由于终端能力受限，无法支持复杂的认证方案。相关技术中，往往针对物联网服务器对应的物联网业务部署相应的网关，通过网关对物联网业务的数据进行加密处理等安全保护措施。该网关一般与业务部署一一对应，且还需要在物联网服务器和网关之间部署专门的密钥管理系统，由密钥管理系统对物联网服务器及其对应的网关实现密钥分发和管理，实现加解密操作，部署和维护成本较高。

基于此，在本发明的各种实施例中，引入基于GBA的开放认证能力的加解密网关，利用该加解密网关对物联网终端和物联网服务器之间的信息交互进行认证，并对交互的信息进行相应的加密、解密操作，从而可以在无需改造物联网终端的情况下，提供了一种轻量级的、适用广泛的、和物联网业务的物联网服务器松耦合的物联网通信方法。

在对本发明实施例物联网通信方法进行介绍之前，先对本发明实施例物联网通信方法涉及的物联网通信系统进行介绍。

如图1所示，该物联网通信系统包括：物联网终端100、加解密网关102、移动蜂窝网络104及物联网服务器106。其中，物联网终端100可以包括多个终端，比如，图1中示例的物联网终端1、物联网终端2、物联网终端3等。加解密网关102包括：网络转发模块1021、透明加解密模块1022及安全认证模块1023。移动蜂窝网络104提供GBA开放认证能力。物联网服务器106可以包括多个服务器，例如，图1中示例的业务应用服务器1、业务应用服务器2、业务应用服务器3等。

对加解密网关102中各模块的功能说明如下：

网络转发模块1021，为网关的基本功能模块，实现网络数据的转发。除标准的网络转发功能外，在加解密网关102内，网络转发模块1021对转发的数据先交由透明加解密模块1022进行处理后再进行转发。

透明加解密模块1022，实现对网络数据的加解密操作，对数据的最终使用者物联网终端来说，数据的加密、解密操作是透明的，即物联网终端是无感知的。

安全认证模块1023，实现基于移动蜂窝网络的GBA开放认证能力的认证，负责和物联网服务器106进行认证并进行多认证结果的管理和查询。

如图2所示，本发明实施例提供了一种物联网通信方法，包括：

步骤201，加解密网关接收物联网终端发送的访问物联网服务器的第一信息，所述第一信息携带所述物联网服务器对应的目的地址；

步骤202，所述加解密网关对所述目的地址进行GBA认证，确定所述目的地址通过认证；

步骤203，所述加解密网关对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给所述物联网服务器。

如此，加解密网关将物联网终端发送的第一信息转发至物联网服务器之前，加解密网关先对目的地址进行GBA认证，可以有效避免物联网终端发送的第一信息被篡改后发送至其他业务服务器，且第一信息基于相应GBA认证信息进行加密及处理后发送，避免了数据传递过程中的泄密，从而保障了物联网业务的信息交互的安全性。

在一些实施例中，所述加解密网关对所述目的地址进行GBA认证，确定所述目的地址通过认证，包括：

所述加解密网关确定所述目的地址已通过GBA认证且相应GBA认证的认证信息有效；则确定所述目的地址通过认证。

实际应用中，物联网服务器连接至网络侧的GBA NAF(Network ApplicationFunction，网络应用功能)网元。加解密网关与GBA NAF网元之间可以基于BSF(Bootstrapping Server Function，引导服务器功能)网元进行GBA认证。比如，进行GBA密钥协商(Authentication and Key Agreement，AKA)认证，从而得到共享密钥等认证信息。GBA AKA的具体认证过程可以参照3GPP TS33.220，在此不再赘述。需要说明的是，共享密钥可以采用AES(Advanced Encryption Standard)、DES(Data Encryption Standard)、国密算法等对称加密算法，可以由加密网关与物联网服务器进行预先协商，还可以使用离线预配置等方式确定，本发明实施例对此不做具体限定。

在一些实施例中，加解密网关和NAF网元均可以存储已通过认证的认证信息，该认证信息可以包括：共享密钥、密钥生命周期、网关身份信息。其中，加解密网关侧还存储认证信息与NAF网元的对应关系。NAF网元侧还存储认证信息与加解密网关的对应关系，比如，存储认证信息与网关身份信息的对应关系，该网关身份信息可以为NAF网元给加解密网关分配的标识信息，从而可以基于该网关身份信息判断对应的加解密网关是否已通过GBA认证。

在一些实施例中，加解密网关可以从第一信息中提取目的地址，基于目的地址确定物联网服务器对应的NAF网元，并在存储的认证信息与NAF网元的对应关系(比如，认证信息查询表)中查询该NAF网元是否已通过GBA认证，若已通过认证且认证信息有效，则确定目的地址通过认证，并获取相应的共享密钥和网关身份信息。

在一些实施例中，所述加解密网关对所述目的地址进行GBA认证，确定所述目的地址通过认证，包括：

所述加解密网关确定所述目的地址未通过GBA认证或者相应GBA认证的认证信息失效；则所述加密网关基于所述目的地址启动GBA认证，若认证通过，则确定所述目的地址通过认证。

这里，若加解密网关在认证信息查询表中未查询到目的地址对应的NAF网元，或者查询到相应的认证信息已失效，则加解密网关启动GBA认证，即加解密网关与目的地址对应的NAF网元之间可以基于BSF网元进行GBA认证，并接收GBA认证结果，若认证通过，则存储新生成的认证信息，并确定目的地址通过认证。若认证失败，则跳过对第一信息的转发处理，从而使得没有经过认证的第一信息无法发送至物联网服务器，避免了物联网终端发送的信息被篡改后发送至物联网服务器。

在一些实施例中，所述认证信息包括：共享密钥和所述加解密网关的网关身份信息，所述加解密网关对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给所述物联网服务器，包括：

所述加解密网关基于所述共享密钥加密所述第一信息；并在消息头中添加所述网关身份信息，生成第二信息；

所述加解密网关发送所述第二信息给所述物联网服务器。

如此，可以将第一信息经加密后传递至物联网服务器，提高了数据传递的安全性。

结合图1，在一些实施例中，网络转发模块1021接收物联网终端发送的第一信息，该第一信息携带物联网服务器对应的目的地址。网络转发模块1021将接收到的第一信息转发给透明加解密模块1022。透明加解密模块1022提取目的地址，并基于该目的地址向安全认证模块1023查询认证结果，安全认证模块1023根据目的地址，查询加解密网关是否与目的地址之间进行了GBA认证。

若目的地址未经过认证或者认证信息已失效，则安全认证模块1023按照GBA标准中规定的UE认证实现流程，向物联网服务器连接的网络侧的NAF网元发起GBA认证流程，认证通过之后，在网关和网络侧的NAF网元之间，将产生共享对称密钥。若GBA认证过程成功，安全认证模块1023把共享密钥、密钥生命周期及网络侧返回的该次认证的网关身份信息等认证信息保存，把共享密钥和网关身份信息返回给透明加解密模块1022。若GBA认证过程失败，安全认证模块1023向透明加解密模块1022返回认证失败的结果，透明加解密模块1022及网络转发模块1021可以跳过该第一信息的后续处理。

若目的地址存在已通过认证，且认证信息有效，则安全认证模块1023直接将有效的认证信息返回给透明加解密模块1022。

透明加解密模块1022采用认证信息中的共享密钥对第一信息进行加密，并在消息头中添加网关身份信息，得到第二信息，并返回第二信息给网络转发模块1021，网络转发模块1021将第二信息发送至目的地址对应的物联网服务器。

如图3所示，本发明实施例提供了一种物联网通信方法，包括：

步骤301，物联网服务器接收加解密网关发送的第二信息；其中，所述第二信息携带所述加解密网关的网关身份信息；

步骤302，所述物联网服务器基于所述网关身份信息查询所述加解密网关是否通过GBA认证；

在一些实施例中，所述物联网服务器基于所述网关身份信息查询所述加解密网关是否通过GBA认证，包括：

所述物联网服务器基于所述网关身份信息发送认证查询请求给网络侧的NAF网元，并接收NAF网元返回的查询结果；

所述物联网服务器基于查询结果，确定所述加解密网关是否通过GBA认证。

实际应用中，由于NAF网元存储有已通过的认证信息与网关身份信息的对应关系，可以基于该对应关系查询第二信息对应的加解密网关是否通过GBA认证。物联网服务器可以提取第二信息的消息头中携带的网关身份信息，基于该网关身份信息发送认证查询请求给NAF网元，并接收NAF网元返回的查询结果，若查询结果为已通过认证且认证信息有效，则物联网服务器获取相应的认证信息，并执行步骤303，若查询结果为未通过认证或者认证信息失效，则物联网服务器丢弃该第二信息，即跳过对第二信息的处理。

步骤303，所述物联网服务器基于相应GBA认证的认证信息解密所述第二信息，得到物联网终端发送的第一信息。

这里，物联网服务器基于认证信息中的共享密钥解密第二信息，得到物联网终端发送的第一信息。

如此，物联网服务器基于第二信息携带的网关身份信息进行认证，且在认证通过后，利用共享密钥对第二信息进行解密，得到物联网终端发送的第一信息，确保了物联网业务的信息交互的安全性。

在一些实施例中，物联网服务器还可以生成响应于第一信息的信息，并对响应于第一信息的信息基于认证信息中共享密钥进行加密，得到第三信息，并发送第三信息给加密网关。

如此，物联网服务器还对发送给物联网终端的信息基于共享密钥进行加密，利于提升信息交互的安全性。

如图4所示，本发明实施例还提供了一种物联网通信方法，包括：

步骤401，加解密网关接收物联网服务器发送的访问物联网终端的第三信息；

步骤402，所述加解密网关基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；

在一些实施例中，所述加解密网关基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证，包括：

所述加解密网关查询所述第三信息对应的源地址是否已通过GBA认证；

若所述源地址已通过GBA认证且相应GBA认证的认证信息有效；则确定所述物联网服务器通过GBA认证；

若所述源地址未通过GBA认证或者相应GBA认证的认证信息失效；则确定所述物联网服务器未通过GBA认证。

实际应用中，由于加解密网关存储有已通过的认证信息与NAF网元的对应关系，加解密网关可以根据接收的第三信息确定第三信息对应的源地址，并基于源地址确定发送该第三信息的物联网服务器对应的NAF网元，并在认证信息查询表中查询该NAF网元是否已通过GBA认证，若已通过认证且认证信息有效，则获取相应的共享密钥，并执行步骤403；若未通过认证或者认证信息失效，则跳过对第三信息的处理。

步骤403，所述加解密网关基于相应GBA认证的认证信息解密所述第三信息，并将解密后的消息发送至相应的物联网终端。

加解密网关基于认证信息中的共享密钥解密第三信息，并将解密后的信息发送至相应的物联网终端。实际应用中，解密后的信息可以携带物联网终端的标识信息，加解密网关可以根据物联网终端的标识信息将解密后的信息发送至相应的物联网终端。

结合图1，在一些实施例中，网络转发模块1021接收物联网服务器发送的第三信息。网络转发模块1021将第三信息转发至透明加解密模块1022，透明加解密模块1022提取第三信息的源地址，并基于该源地址向安全认证模块1023查询认证结果，安全认证模块1023根据源地址，查询加解密网关是否与源地址之间进行了GBA认证。

若源地址未经过认证或者相应的认证信息已失效，则安全认证模块1023向透明加解密模块1022返回认证失败的结果，透明加解密模块1022则跳过对第三信息的处理。

若源地址已经过认证且相应的认证信息有效，则安全认证模块1023直接将认证信息返回给透明加解密模块1022。透明加解密模块1022基于认证信息中的共享密钥解密第三信息，返回解密后的信息至网络转发模块1021，网络转发模块1021将该解密后的信息发送至相应的物联网终端。

下面结合应用实施例对本发明再作进一步详细的描述。

结合图1及图5，本应用实施例物联网通信方法，包括：

步骤501，发送访问物联网服务器的第一信息。

这里，物联网终端通过配置参数，连接加解密网关102，物联网终端发送第一信息给加解密网关102，即物联网终端发送的第一信息需要经加解密网关102转发给物联网服务器。

步骤502，发送第一信息。

加解密网关102的网络转发模块1021接收第一信息后，将第一信息发送给透明加解密模块1022。

步骤503，提取目的地址。

透明加解密模块1022基于第一信息提取目的地址，该目的地址为物联网终端访问的物联网服务器的网络地址，比如，可以为IP(互联网协议)地址。

步骤504，查询请求。

透明加解密模块1022基于该目的地址向安全认证模块1023发送查询请求。

步骤505，基于查询请求进行安全认证。

这里，安全认证模块1023基于查询请求中的目的地址，可以确定相应的物联网服务器对应的NAF网元。安全认证模块1023可以将已通过GBA认证的NAF网元及认证信息的对应关系存储在认证信息查询表中，基于确定的NAF网元查询是否存在对应的认证信息，若未经过认证或者认证信息已失效，则执行步骤506，若存在有效的认证信息，则执行步骤507。

步骤506，发起GBA认证流程。

这里，安全认证模块1023按照GBA标准中规定的UE认证实现流程，向物联网服务器连接的网络侧的NAF网元发起GBA认证流程，并基于GBA认证的结果执行步骤507。

步骤507，返回认证结果。

这里，安全认证模块1023在步骤505中，若确定目的地址存在已通过认证，且认证信息有效，则安全认证模块1023直接将有效的认证信息，比如，共享密钥和网关身份信息，返回给透明加解密模块1022。

安全认证模块1023在步骤506中，若确定GBA认证过程成功，则安全认证模块1023存储共享密钥、密钥生命周期及网络侧返回的该次认证的网关身份信息等认证信息保存，将认证信息，比如共享密钥和网关身份信息，返回给透明加解密模块1022。

安全认证模块1023在步骤506中，若GBA认证过程失败，则安全认证模块1023向透明加解密模块1022返回认证失败的结果，透明加解密模块1022及网络转发模块1021可以跳过该第一信息的后续处理。

步骤508，对第一信息进行加密及处理。

这里，透明加解密模块1022采用认证信息中的共享密钥对第一信息进行加密，并在消息头中添加网关身份信息，得到第二信息。

步骤509，发送第二信息。

这里，透明加解密模块1022将第二信息发送给网络转发模块1021。

步骤510，发送第二信息。

这里，网络转发模块1021将第二信息发送至目的地址对应的物联网服务器。

步骤511，提取消息头中的身份信息。

这里，物联网服务器提取第二信息的消息头中携带的网关身份信息。

步骤512，获取认证信息。

这里，物联网服务器基于所述网关身份信息发送认证查询请求给网络侧的NAF网元。

步骤513，查询是否经过认证。

这里，NAF网元存储有已通过的认证信息与网关身份信息的对应关系，可以基于该对应关系查询第二信息对应的加解密网关是否通过GBA认证。

步骤514，返回认证结果。

NAF网元若查询到相应的认证信息，且认证信息有效，则返回该有效的认证信息给物联网服务器。若为查询到相应的认证信息或者认证信息失效，则返回认证失败。

步骤515，解密第二信息。

这里，若物联网接收的认证结果为认证失败，则跳过对第二信息的处理。若物联网服务器接收的认证结果为有效的认证信息，则基于认证信息中的共享密钥解密第二信息，得到物联网终端发送的第一信息。

步骤516，发送第三信息。

这里，物联网服务器还可以生成响应于第一信息的信息，并对响应于第一信息的信息基于认证信息中的共享密钥进行加密，得到第三信息，并发送第三信息给加密网关。

步骤517，转发第三信息。

这里，网络转发模块1021接收物联网服务器发送的第三信息。网络转发模块1021将第三信息转发至透明加解密模块1022。

步骤518，查询请求。

这里，透明加解密模块1022提取第三信息的源地址，并基于该源地址向安全认证模块1023发送查询请求。

步骤519，基于查询请求进行安全认证。

这里，安全认证模块1023根据查询请求中的源地址，查询加解密网关是否与源地址之间进行了GBA认证。

步骤520，返回认证结果。

这里，安全认证模块1023根据源地址，查询加解密网关是否与源地址之间进行了GBA认证。

若源地址未经过认证或者相应的认证信息已失效，则安全认证模块1023向透明加解密模块1022返回认证失败的结果；若源地址已经过认证且相应的认证信息有效，则安全认证模块1023直接将认证信息返回给透明加解密模块1022。

步骤521，对第三信息进行解密。

这里，透明加解密模块1022接收的认证结果为认证失败，则省去对第三信息的处理，若接收的认证结果为有效的认证信息，则透明加解密模块1022基于认证信息中的共享密钥解密第三信息。

步骤522，发送解密后的信息。

透明加解密模块1022发送解密后的信息给网络转发模块1021

步骤523，发送解密后的信息。

网络转发模块1021将该解密后的信息发送至相应的物联网终端。

如此，本应用实施例物联网通信方法，加解密网关将物联网终端的信息转发至物联网服务器之前，加解密网关对目的地址进行身份认证(GBA认证)，可有效避免物联网终端的消息被恶意篡改后发送至其他服务器，一定程度上保障了业务数据的安全。加解密网关在把网络上接收到的数据转发至物联网终端前，先对源地址进行GBA认证，能有效避免恶意的网络攻击被转发至物联网终端，一定程度上也保障了物联网终端的安全。

此外，本应用该实施例物联网通信方法，利用移动蜂窝网络的GBA开放认证能力对网络访问行为进行认证和自动加解密管理，无需额外部署密钥管理服务器和身份认证服务器，即可满足身份认证和数据安全传输的基本要求，实现简单，成本低。由于无需部署特定的密钥管理系统，仅需加解密网关接入移动蜂窝网络，比如，采用USIM(UniversalSubscriber Identity Module，全球用户识别)卡接入移动蜂窝网络，本方案部署简单，具有更广泛的适用性和推广价值。

为了实现本发明实施例的方法，本发明实施例还提供一种物联网通信装置，应用于加解密网关。如图6所示，该装置包括：第一接收模块601、第一认证模块602、第一处理模块603及第一发送模块604。其中，第一接收模块601用于接收物联网终端发送的访问物联网服务器的第一信息，所述第一信息携带所述物联网服务器对应的目的地址；第一认证模块602用于对所述目的地址进行通用认证架构GBA认证，确定所述目的地址通过认证；第一处理模块603用于对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成第二信息；第一发送模块604用于发送所述第二信息给所述物联网服务器。

在一些实施例中，第一认证模块602具体用于：确定所述目的地址已通过GBA认证且相应GBA认证的认证信息有效；则确定所述目的地址通过认证。

在一些实施例中，第一认证模块602具体用于：确定所述目的地址未通过GBA认证或者相应GBA认证的认证信息失效；则基于所述目的地址启动GBA认证，若认证通过，则确定所述目的地址通过认证。

在一些实施例中，所述认证信息包括：共享密钥和所述加解密网关的网关身份信息，第一处理模块603具体用于：所述加解密网关基于所述共享密钥加密所述第一信息；并在消息头中添加所述网关身份信息，生成第二信息。第一发送模块604用于发送第二信息给物联网服务器。

实际应用时，第一接收模块601、第一认证模块602、第一处理模块603及第一发送模块604，可以由物联网通信装置中的处理器来实现。当然，处理器需要运行存储器中的计算机程序来实现它的功能。

为了实现本发明实施例的方法，本发明实施例还提供一种物联网通信装置，应用于物联网服务器。如图7所示，该装置包括：第二接收模块701、第二认证模块702及第二处理模块703。第二接收模块701用于接收加解密网关发送的第二信息；其中，所述第二信息携带所述加解密网关的网关身份信息；第二认证模块702用于基于所述网关身份信息查询所述加解密网关是否通过GBA认证；第二处理模块703用于若所述加解密网关通过GBA认证，基于相应GBA认证的认证信息解密所述第二信息，得到物联网终端发送的第一信息。

在一些实施例中，第二认证模块702具体用于：

基于所述网关身份信息发送认证查询请求给网络侧的NAF网元，并接收NAF网元返回的查询结果；

所述物联网服务器基于查询结果，确定所述加解密网关是否通过GBA认证。

在一些实施例中，该装置还包括：第二发送模块704，用于基于所述认证信息发送访问物联网终端的第三信息给所述加解密网关。其中，所述第三信息基于所述认证信息中的共享密钥加密。

实际应用时，第二接收模块701、第二认证模块702、第二处理模块703及第二发送模块704，可以由物联网通信装置中的处理器来实现。当然，处理器需要运行存储器中的计算机程序来实现它的功能。

为了实现本发明实施例的方法，本发明实施例还提供一种物联网通信装置，应用于加解密网关。如图8所示，该装置包括：第三接收模块801、第三认证模块802、第三处理模块803及第三发送模块804。其中，第三接收模块801用于接收物联网服务器发送的访问物联网终端的第三信息；第三认证模块802用于基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；第三处理模块803用于若所述物联网服务器通过GBA认证，基于相应GBA认证的认证信息解密所述第三信息；第三发送模块804用于将解密后的消息发送至相应的物联网终端。

在一些实施例中，第三认证模块802具体用于：

查询所述第三信息对应的源地址是否已通过GBA认证；

若所述源地址已通过GBA认证且相应GBA认证的认证信息有效；则确定所述物联网服务器通过GBA认证；

若所述源地址未通过GBA认证或者相应GBA认证的认证信息失效；则确定所述物联网服务器未通过GBA认证。

实际应用时，第三接收模块801、第三认证模块802、第三处理模块803及第三发送模块804，可以由物联网通信装置中的处理器来实现。当然，处理器需要运行存储器中的计算机程序来实现它的功能。

实际应用中，加解密网关上可以同时部署图6及图8所示的物联网通信装置。

需要说明的是：上述实施例提供的物联网通信装置在进行物联网通信时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将装置的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的物联网通信装置与物联网通信方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

基于上述程序模块的硬件实现，且为了实现本发明实施例的方法，本发明实施例还提供一种加解密网关。图9仅仅示出了该加解密网关的示例性结构而非全部结构，根据需要可以实施图9示出的部分结构或全部结构。

如图9所示，本发明实施例提供的加解密网关900包括：至少一个处理器901、存储器902、用户接口903和至少一个网络接口904。加解密网关900中的各个组件通过总线系统905耦合在一起。可以理解，总线系统905用于实现这些组件之间的连接通信。总线系统905除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图9中将各种总线都标为总线系统905。

其中，用户接口903可以包括显示器、键盘、鼠标、轨迹球、点击轮、按键、按钮、触感板或者触摸屏等。

本发明实施例中的存储器902用于存储各种类型的数据以支持加解密网关的操作。这些数据的示例包括：用于在加解密网关上操作的任何计算机程序。

本发明实施例揭示的物联网通信方法可以应用于处理器901中，或者由处理器901实现。处理器901可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，物联网通信方法的各步骤可以通过处理器901中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器901可以是通用处理器、数字信号处理器(DSP，Digital Signal Processor)，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器901可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本发明实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器902，处理器901读取存储器902中的信息，结合其硬件完成本发明实施例提供的物联网通信方法的步骤。

在示例性实施例中，加解密网关可以被一个或多个应用专用集成电路(ASIC，Application Specific Integrated Circuit)、DSP、可编程逻辑器件(PLD，ProgrammableLogic Device)、复杂可编程逻辑器件(CPLD，Complex Programmable Logic Device)、FPGA、通用处理器、控制器、微控制器(MCU，Micro Controller Unit)、微处理器(Microprocessor)、或者其他电子元件实现，用于执行前述方法。

基于上述程序模块的硬件实现，且为了实现本发明实施例的方法，本发明实施例还提供一种物联网服务器。图10仅仅示出了该物联网服务器的示例性结构而非全部结构，根据需要可以实施图10示出的部分结构或全部结构。

如图10所示，本发明实施例提供的物联网服务器1000包括：至少一个处理器1001、存储器1002、用户接口1003和至少一个网络接口1004。物联网服务器1000中的各个组件通过总线系统1005耦合在一起。可以理解，总线系统1005用于实现这些组件之间的连接通信。总线系统1005除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图10中将各种总线都标为总线系统1005。

其中，用户接口1003可以包括显示器、键盘、鼠标、轨迹球、点击轮、按键、按钮、触感板或者触摸屏等。

本发明实施例中的存储器1002用于存储各种类型的数据以支持物联网服务器的操作。这些数据的示例包括：用于在物联网服务器上操作的任何计算机程序。

本发明实施例揭示的物联网通信方法可以应用于处理器1001中，或者由处理器1001实现。处理器1001可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，物联网通信方法的各步骤可以通过处理器1001中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1001可以是通用处理器、数字信号处理器(DSP，Digital SignalProcessor)，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器1001可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本发明实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器1002，处理器1001读取存储器1002中的信息，结合其硬件完成本发明实施例提供的物联网通信方法的步骤。

在示例性实施例中，物联网服务器1000可以被一个或多个ASIC、DSP、PLD、CPLD、FPGA、通用处理器、控制器、MCU、Microprocessor、或其他电子元件实现，用于执行前述方法。

可以理解，存储器902、1002可以是易失性存储器或非易失性存储器，也可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(ROM，Read OnlyMemory)、可编程只读存储器(PROM，Programmable Read-Only Memory)、可擦除可编程只读存储器(EPROM，Erasable Programmable Read-Only Memory)、电可擦除可编程只读存储器(EEPROM，Electrically Erasable Programmable Read-Only Memory)、磁性随机存取存储器(FRAM，ferromagnetic random access memory)、快闪存储器(Flash Memory)、磁表面存储器、光盘、或只读光盘(CD-ROM，Compact Disc Read-Only Memory)；磁表面存储器可以是磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，Random AccessMemory)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(SRAM，Static Random Access Memory)、同步静态随机存取存储器(SSRAM，Synchronous Static Random Access Memory)、动态随机存取存储器(DRAM，Dynamic Random Access Memory)、同步动态随机存取存储器(SDRAM，SynchronousDynamic Random Access Memory)、双倍数据速率同步动态随机存取存储器(DDRSDRAM，Double Data Rate Synchronous Dynamic Random Access Memory)、增强型同步动态随机存取存储器(ESDRAM，Enhanced Synchronous Dynamic Random Access Memory)、同步连接动态随机存取存储器(SLDRAM，SyncLink Dynamic Random Access Memory)、直接内存总线随机存取存储器(DRRAM，Direct Rambus Random Access Memory)。本发明实施例描述的存储器旨在包括但不限于这些和任意其它适合类型的存储器。

本发明实施例还提供了一种物联网通信系统，如图11所示，该物联网通信系统包括至少一个物联网服务器1000和至少一个加解密网关900。物联网终端可以将访问物联网服务器1000的信息先发送至加解密网关900，并经加解密网关900进行认证及加密处理后，转发给物联网服务器1000；物联网服务器1000下发给物联网终端的信息，可以先经加解密网关900进行认证及解密处理后，转发给物联网终端。具体的物联网通信方法可以参照前述方法实施例，在此不再赘述。

在示例性实施例中，本发明实施例还提供了一种存储介质，即计算机存储介质，具体可以是计算机可读存储介质，例如，包括存储计算机程序的存储器902，上述计算机程序可由加解密网关的处理器901执行，以完成本发明实施例加解密网关侧方法所述的步骤。又如，包括存储计算机程序的存储器1002，上述计算机程序可由物联网服务器的处理器1001执行，以完成本发明实施例物联网服务器侧方法所述的步骤。计算机可读存储介质可以是ROM、PROM、EPROM、EEPROM、Flash Memory、磁表面存储器、光盘、或CD-ROM等存储器。

需要说明的是：“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。

另外，本发明实施例所记载的技术方案之间，在不冲突的情况下，可以任意组合。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (17)

1.一种物联网通信方法，其特征在于，包括：

加解密网关接收物联网终端发送的访问物联网服务器的第一信息，所述第一信息携带所述物联网服务器对应的目的地址；

所述加解密网关对所述目的地址进行通用认证架构GBA认证，确定所述目的地址通过认证；

所述加解密网关对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给所述物联网服务器。

2.根据权利要求1所述的方法，其特征在于，所述加解密网关对所述目的地址进行GBA认证，确定所述目的地址通过认证，包括：

所述加解密网关确定所述目的地址已通过GBA认证且相应GBA认证的认证信息有效；则确定所述目的地址通过认证。

3.根据权利要求1所述的方法，其特征在于，所述加解密网关对所述目的地址进行GBA认证，确定所述目的地址通过认证，包括：

所述加解密网关确定所述目的地址未通过GBA认证或者相应GBA认证的认证信息失效；则所述加密网关基于所述目的地址启动GBA认证，若认证通过，则确定所述目的地址通过认证。

4.根据权利要求1所述的方法，其特征在于，所述认证信息包括：共享密钥和所述加解密网关的网关身份信息，所述加解密网关对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成并发送第二信息给所述物联网服务器，包括：

所述加解密网关基于所述共享密钥加密所述第一信息；并在消息头中添加所述网关身份信息，生成第二信息；

所述加解密网关发送所述第二信息给所述物联网服务器。

5.一种物联网通信方法，其特征在于，包括：

物联网服务器接收加解密网关发送的第二信息；其中，所述第二信息携带所述加解密网关的网关身份信息；

所述物联网服务器基于所述网关身份信息查询所述加解密网关是否通过GBA认证；

若是，则所述物联网服务器基于相应GBA认证的认证信息解密所述第二信息，得到物联网终端发送的第一信息。

6.根据权利要求5所述的方法，其特征在于，所述物联网服务器基于所述网关身份信息查询所述加解密网关是否通过GBA认证，包括：

所述物联网服务器基于所述网关身份信息发送认证查询请求给网络侧的网络应用功能NAF网元，并接收NAF网元返回的查询结果；

所述物联网服务器基于查询结果，确定所述加解密网关是否通过GBA认证。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

所述物联网服务器基于所述认证信息发送访问物联网终端的第三信息给所述加解密网关；

其中，所述第三信息基于所述认证信息中的共享密钥加密。

8.一种物联网通信方法，其特征在于，包括：

加解密网关接收物联网服务器发送的访问物联网终端的第三信息；

所述加解密网关基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；

若是，则所述加解密网关基于相应GBA认证的认证信息解密所述第三信息，并将解密后的消息发送至相应的物联网终端。

9.根据权利要求8所述的方法，其特征在于，所述加解密网关基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证，包括：

所述加解密网关查询所述第三信息对应的源地址是否已通过GBA认证；

若所述源地址已通过GBA认证且相应GBA认证的认证信息有效；则确定所述物联网服务器通过GBA认证；

若所述源地址未通过GBA认证或者相应GBA认证的认证信息失效；则确定所述物联网服务器未通过GBA认证。

10.一种物联网通信装置，其特征在于，应用于加解密网关，所述物联网通信装置包括：

第一接收模块，用于接收物联网终端发送的访问物联网服务器的第一信息，所述第一信息携带所述物联网服务器对应的目的地址；

第一认证模块，用于对所述目的地址进行通用认证架构GBA认证，确定所述目的地址通过认证；

第一处理模块，用于对所述第一信息基于相应GBA认证的认证信息进行加密及处理，生成第二信息；

第一发送模块，用于发送所述第二信息给所述物联网服务器。

11.一种物联网通信装置，其特征在于，应用于物联网服务器，所述物联网通信装置包括：

第二接收模块，用于接收加解密网关发送的第二信息；其中，所述第二信息携带所述加解密网关的网关身份信息；

第二认证模块，用于基于所述网关身份信息查询所述加解密网关是否通过GBA认证；

第二处理模块，用于若所述加解密网关通过GBA认证，基于相应GBA认证的认证信息解密所述第二信息，得到物联网终端发送的第一信息。

12.根据权利要求11所述的物联网通信装置，其特征在于，还包括：

第二发送模块，用于基于所述认证信息发送访问物联网终端的第三信息给所述加解密网关；

其中，所述第三信息基于所述认证信息中的共享密钥加密。

13.一种物联网通信装置，其特征在于，应用于加解密网关，所述物联网通信装置包括：

第三接收模块，用于接收物联网服务器发送的访问物联网终端的第三信息；

第三认证模块，用于基于所述第三信息对应的源地址查询所述物联网服务器是否通过GBA认证；

第三处理模块，用于若所述物联网服务器通过GBA认证，基于相应GBA认证的认证信息解密所述第三信息；

第三发送模块，用于将解密后的消息发送至相应的物联网终端。

14.一种加解密网关，其特征在于，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，其中，

所述处理器，用于运行计算机程序时，执行权利要求1至4或者8至9中任一项所述方法的步骤。

15.一种物联网服务器，其特征在于，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，其中，

所述处理器，用于运行计算机程序时，执行权利要求5至7中任一项所述方法的步骤。

16.一种物联网通信系统，其特征在于，包括权利要求14所述的加密网关和权利要求15所述的物联网服务器。

17.一种存储介质，所述存储介质上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现权利要求1至9任一项所述方法的步骤。

Images