CN115134143B - 一种全域物联网设备认证方法、装置及存储介质 - Google Patents

Abstract

本发明公开了一种全域物联网设备认证方法、装置及存储介质，该方法设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，记为第一标签，并将所述第一标签和标签容器写入代理或网关中；完成入网安装后，所述代理或网关自动执行电子标签运维程序，重新生成所述待入网设备的标签，记为第二标签，并将所述第二标签与所述第一标签进行比对，当比对一致时完成设备入网认证。在本发明提高了全域物联网中设备认证的安全性。

Description

一种全域物联网设备认证方法、装置及存储介质

技术领域

本发明涉及设备认证技术领域，尤其涉及一种全域物联网设备认证方法、装置及存储介质。

背景技术

在物联网领域，特别是海量设备接入的全域物联网，设备的认证是安全的基石之一，如果有设备的固件被修改、运行程序被修改，变成了攻击所需要的数据收集分析、恶意行为实施或单纯变成DDOS攻击的一个点，整个物联网将永无宁日。在电力领域，物联网涉及的发电、配电和用电领域，一旦发生攻击则必将导致一个区域的用电问题。所以如何解决设备认证，是安全领域的一个重点。

现有技术中的解决方案有以下几种：

电子标签：建立一套设备管理系统，然后通过发放二维码、RFID等标签，贴在设备上。设备信息的维护在设备管理系统上完成，通过标签扫描设备读取设备，以实现设备的库存管理。

主机审计：建立主机审计系统，这种情况在PC中比较普遍。通过主机审计系统，对主机的使用中的硬件驱动(代表硬件管理)，开放服务、安装软件、运行软件进行管控，从而实现主机的可信保障。

可信计算：通过在设备中植入可信计算芯片，并建立从bios、操作系统到应用软件的认证服务，从而用密码技术保障整个软硬件环境和通信。

网络准入：通过设备的MAC地址，对设备进行认证，或直接给设备发放入网证书，已确保入网设备的可信。

上述方案均把入网、认证、设备完整性作为割裂的需求来看待，且没有整体考虑设备的计算能力，因此在全域物联网中不适用。现有技术的设备认证中，通过电子标签实现设备的唯一标识，并不解决设备自身的的安全性问题(如设备的入网可信、设备软硬件完整性等)。因此存在以下问题：

认证能力弱：所有解决方案在设备自身信息和设备认证信息没有兼顾考虑，也没有考虑两者的结合关系，由此导致最多只能认证设备，但并不能保障设备及其运行的可靠。

价格高昂：所有解决方案(除电子标签)，其客户端的造价和所需计算力都十分高昂，在全域物联网中，海量设备接入，成本上也不可能实现。

适用范围：所有解决方案都适用于PC环境下，但是在物联网环境中，物联网的智能设备没有可运行应用程序的通用操作系统环境，很难将这些方案直接应用过来。

发明内容

本发明提供一种全域物联网设备认证方法、装置及介质，提高了全域物联网中设备认证的安全性。

本发明一实施例提供一种全域物联网设备认证方法，包括以下步骤：

设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，记为第一标签，并将所述第一标签和标签容器写入代理或网关中；

完成入网安装后，所述代理或网关自动执行电子标签运维程序，重新生成所述待入网设备的标签，记为第二标签，并将所述第二标签与所述第一标签进行比对，当比对一致时完成设备入网认证。

进一步的，设备巡检时，所述代理或网关定期调用所述电子标签运维软件，重新生成所辖设备标签，记为第三标签，将所述第三与所述第一标签进行比对，比对一致后，完成设备巡检。

进一步的，设备运维时，调用所述电子标签运维软件，重新生成标签，记为第四标签，并将所述第四标签与所述第一标签进行比对，比对一致后，用所述第四标签替代第一标签，以完成设备运维。

进一步的，将标签进行比对时，包括比对两者的硬件信息、固件信息和应用软件的关键文件信息，所述关键文件信息包括关键文件清单和关键文件散列值。

进一步的，所述电子标签运维软件包括可信软硬件信息库模块、硬件探测模块、固件探测模块、文件比对模块、密码模块和标签读写接口模块；

其中，所述可信软硬件信息库模块用于获取设备的硬件信息、固件信息和应用软件的关键文件信息；

所述硬件探测模块用于根据标签的内容从所述可信软硬件信息库模块采集相应的硬件信息；

所述固件探测模块用于根据标签的内容从所述可信软硬件信息库模块采集相应的固件版本号，并启动固件的自检程序获取自检结果；

所述文件比对模块用于根据标签的内容从所述可信软硬件信息库模块获取应用软件的关键文件信息；

所述密码模块用于接收应用程序传输的密钥，并根据所述标签的加密算法和所述密钥对标签进行解密；

所述标签读写接口模块用于读取标签和写出新标签。

进一步的，所述标签的内容包括：标签标识段、标签版本号、设备ID、标签内容单向散列值、硬件模块数、硬件模块信息、软件模块数和软件模块信息；

所述标签容器包括：容器标识段、容器版本号、容器ID、标签数量、容器校验码和加密算法。

进一步的，所述标签的公私钥对存储在数字证书中。

进一步的，所述电子标签运维软件包括日志告警接口模块，所述日志告警接口模块用于对接标准日志接口和上报标签比对结果。

本发明另一实施例提供了一种全域物联网设备认证装置，包括标签签发模块和标签比对模块；

所述标签签发模块用于设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，并将所述标签和标签容器写入代理或网关中；

所述标签比对模块用于完成入网安装后，代理或网关自动执行电子标签运维程序，重新计算所述待入网设备的标签，并与所述签发标签进行比对，当比对一致时完成设备入网认证。

本发明另一实施例提供了一种可读存储介质，所述可读存储介质包括存储的计算机程序，所述计算机程序执行时，控制所述可读存储介质所在的设备执行本发明任意一项方法项实施例所述的全域物联网设备认证方法。

本发明的实施例，具有如下有益效果：

本发明提供了一种全域物联网设备认证方法、装置及存储介质，该方法通过在设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，记为第一标签，并将所述第一标签和标签容器写入代理或网关中；完成入网安装后，所述代理或网关自动执行电子标签运维程序，重新生成所述待入网设备的标签，记为第二标签，并将所述第二标签与所述第一标签进行比对，当比对一致时完成设备入网认证。因此，本发明通过将先生成可信标签(即第一标签)并存储于代理或网关中，再在验证设备是否可信时，重新生成标签(即第二标签)，通过将可信标签和重新生成的标签进行比对，以确认设备是否可信，提高了全域物联网中设备认证的安全性。

附图说明

图1是本发明一实施例提供的全域物联网设备认证方法的流程示意图；

图2是本发明一实施例提供的全域物联网设备认证装置的结构示意图；

图3是本发明一实施例提供的全域物联网设备认证方法的标签的数据结构示意图；

图4是本发明一实施例提供的全域物联网设备认证方法的应用场景示意图；

图5是本发明一实施例提供的全域物联网设备认证方法的又一应用场景示意图。

具体实施方式

下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明一实施例提供的一种全域物联网设备认证方法，包括以下步骤：

步骤S101：设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，记为第一标签，并将所述第一标签和标签容器写入代理或网关中。所述写入代理或网关中的签发标签由所述电子标签运维软件进行更新。具体的，由设备所属分中心调用电子标签运维软件向待入网设备签发标签和标签容器。

其中，代理，即安全代理，有硬件形式和软件形式，与原有硬件设备或软件程序的通信对接，负责面向原有应用的透明，并添加通信层面的安全功能，比如对通信内容进行加密、完整性校验，以及信源认证等。同时与管理中心通信实现密钥管理。

步骤S102：完成入网安装后，所述代理或网关自动执行电子标签运维程序，重新生成所述待入网设备的标签，记为第二标签，并将所述第二标签与所述第一标签进行比对，当比对一致时完成设备入网认证。

作为其中一种实施例，设备巡检时，所述代理或网关定期调用所述电子标签运维软件，重新生成所辖设备标签，记为第三标签，将所述第三与所述第一标签(即设备所属分中心下发的标签)进行比对，比对一致后，完成设备巡检，若比对不一致，则认为设备已经遭到不可信的修改，并提交警告，由相关安全设备或运维人员采取进一步措施。

作为其中一种实施例，设备运维时，调用所述电子标签运维软件，重新生成标签，记为第四标签，并将所述第四标签与所述第一标签进行比对，比对一致后，用所述第四标签替代第一标签，以完成设备运维。具体的，在设备运维任务中，由设备所属分中心签发运维任务，并在所述运维任务中记录标签中可修改的字段，运维人员进行硬件模块变更或软件模块变更后，调用电子标签运维软件，重新生成标签，并与原标签(即存储在代理或网关中的标签)进行比对，同时比对运维任务中的变更权限，比对一致后，采用新标签替代原标签，运维人员带回运维数据，对运维任务进行核销。

设备退役时，由运维分中心签发设备退役任务，注销标签密钥。运维人员带回设备后，进行退役任务核销。

作为其中一种实施例，所述电子标签运维软件包括可信软硬件信息库模块、硬件探测模块、固件探测模块、文件比对模块、密码模块和标签读写接口模块；

其中，所述可信软硬件信息库模块用于获取设备的硬件信息、固件信息和应用软件的关键文件信息；具体的，该模块包含了硬件信息采集程序、固件探测程序、固件自检程序、文件读取程序(用于获取特定软件的关键文件清单及其中每个文件的单向散列值)；通过这些程序，电子标签运维软件可对管辖设备的硬件信息、固件信息和应用软件的关键文件信息进行采集。

所述硬件探测模块用于根据标签的内容从所述可信软硬件信息库模块采集相应的硬件信息；具体的，所述硬件探测模块为硬件探测器用于根据标签里的硬件型号，执行所述可信软硬件信息库模块中的硬件信息采集程序，采集硬件的序列号、硬件模块配置清单和硬件模块序列号等。

所述固件探测模块用于根据标签的内容从所述可信软硬件信息库模块采集相应的固件版本号，并启动固件的自检程序获取自检结果；具体的，所述固件探测模块为固件探测器用于根据标签里的硬件型号，执行所述可信软硬件信息库模块中的固件探测程序，采集固件的版本号，并启动固件的自检程序和获取自检程序执行结果。

所述文件比对模块用于根据标签的内容从所述可信软硬件信息库模块获取应用软件的关键文件信息；具体的，所述文件比对模块为文件对比器用于根据标签中的软件信息，获取所述可信软硬件信息库模块中所述软件信息对应的关键文件清单和关键文件散列值，即通过执行所述可信软硬件信息库模块中的文件传输程序，获取关键文件清单，并计算关键文件散列值。

所述密码模块用于接收应用程序传输的密钥，并根据所述标签的加密算法和所述密钥对标签进行解密；

所述标签读写接口模块用于读取标签和写出新标签。

所述电子标签运维软件包括日志告警接口模块，所述日志告警接口模块用于对接标准日志接口和上报标签比对结果。

本发明的电子标签运维软件根据所述可信软件信息库模块，读取管辖设备的硬件信息、固件信息和关键文件信息，并在内部生成全明文标签。同时，根据实际工作需要，在运维过程中，写出新标签替换老标签，或在巡检期间与原有标签比对，以检验设备是否仍然可信。所述电子标签运维软件为一个软件模块，可部署在软件代理、硬件代理、网关、便携式运维设备和管理中心，执行标签相关操作。电子标签运维软件本身不执行业务工作，业务工作由上层应用系统根据业务调用电子标签运维软件执行。

作为其中一种实施例，如图3所示，所述标签容器包括：容器标识段、容器版本号(对应图3中的标识容器标识段)、容器ID：签发系统颁发的系统唯一容器ID、标签数量、容器校验码：解密后标签内容的单向散列值、加密算法：标签内容的加密算法。

所述标签的内容包括：标签标识段、标签版本号、设备ID：签发系统颁发的系统唯一设备ID、标签内容单向散列值、硬件模块数：设备所含可识别的硬件模块数、硬件模块信息(包括硬件的品牌、型号和序列号)、软件模块数(包括软件品牌、型号和单向散列值)、软件模块信息。所述标签存在于标签容器中。所述标签加密和解密所需的公私钥对存储在数字证书中。

作为其中一种实施例，将标签进行比对时，包括比对两者的硬件信息、固件信息和应用软件的关键文件信息，所述关键文件信息包括关键文件清单和关键文件散列值。所述将标签进行比对包括将第一标签和第二标签进行比对、将第一标签和第三标签进行比对、将第一标签和第四标签进行比对。

本发明应用在面向海量感知设备接入的全域物联网纵深防护的场景中和应用在全域物联网野外站设备及网络安全管理的场景中。如图4所示，当应用在面向海量感知设备接入的全域物联网纵深防护的场景中时，将标签部署在软件代理或硬件代理中，每个代理存储一个设备的标签，为使用代理接入网络的设备存储标签并保障代理设备的软硬件完整性。如图5所示，当应用在全域物联网野外站设备及网络安全管理的场景中时，将标签部署在通用野外站网关上。一个网关上保存多个标签，野外站每个设备对应一个标签，为整个野外站提供设备的软硬件完整性保障。

本发明将设备的标签从原有的设备唯一标识，强化为设备的一个可信存储，通过与可信存储进行对比，实现了对设备可信的长期监控。本发明扩展了电子标签的应用内容段，引入了密码技术，从而使得标签可服务于安全等级较高的物联网在设备可信认证方面的应用。标签作为设备终端的一个可信存储空间，所存储的设备信息与设备所在网段的安全设备联动，可定期检测设备的变更情况，及时发现设备的非法变更，从根本上保证了整个网络的设备可信。

本发明通过电子标签将设备自身可信和全生命周期的运维过程中的软硬件可信业务结合进来，并引入密码技术，使得本发明的电子标签可以成为设备信息的安全摘要，以及保障设备的唯一标识和软硬件完整性。同时，通过检测工具可以根据管理中心需要检查设备安装状态和维护标签，从而使得设备可信，不仅实现了认证，同时，实现了适用于全域物联网的对设备本身及工作状态的认证管理。

在本发明的设备认证在业务过程中，可通过标签内容与信息系统内容的比对，立即发现标签自身的安全性，也可核查运维过程完整性；并可通过重新计算标签，检验设备的安全性。实现了设备全生命周期的认证安全。

在上述发明实施例的基础上，本发明对应提供了装置项实施例，如图2所示；

本发明另一实施例提供了一种全域物联网设备认证装置包括标签签发模块101和标签比对模块102；

所述标签签发模块用于设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，并将所述标签和标签容器写入代理或网关中；

所述标签比对模块用于完成入网安装后，代理或网关自动执行电子标签运维程序，重新计算所述待入网设备的标签，并与所述签发标签进行比对，当比对一致时完成设备入网认证。

为描述的方便和简洁，本发明装置项实施例包括上述全域物联网设备认证方法实施例中的全部实施方式，此处不再赘述。

在上述发明项实施例的基础上，本发明对应提供了可读存储介质项实施例；本发明另一实施例提供了一种可读存储介质，所述可读存储介质包括存储的计算机程序，所述计算机程序执行时，控制所述可读存储介质所在的设备执行如本发明任意一项方法项实施例所述的全域物联网设备认证方法。

示例性的，所述计算机程序可以被分割成一个或多个模块，所述一个或者多个模块被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述终端设备中的执行过程。

所述终端设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述终端设备可包括，但不仅限于，处理器、存储器。

所称处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述终端设备的控制中心，利用各种接口和线路连接整个终端设备的各个部分。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述终端设备的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

其中，所述终端设备集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质(即上述可读存储介质)中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。

需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

本领域普通技术人员可以理解实现上述实施例中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

Claims (10)

1.一种全域物联网设备认证方法，其特征在于，包括以下步骤：

设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，记为第一标签，并将所述第一标签和标签容器写入代理或网关中；

完成入网安装后，所述代理或网关自动执行电子标签运维程序，重新生成所述待入网设备的标签，记为第二标签，并将所述第二标签与所述第一标签进行比对，当比对一致时完成设备入网认证。

2.根据权利要求1所述的全域物联网设备认证方法，其特征在于，设备巡检时，所述代理或网关定期调用所述电子标签运维软件，重新生成所辖设备标签，记为第三标签，将所述第三标签与所述第一标签进行比对，比对一致后，完成设备巡检。

3.根据权利要求2所述的全域物联网设备认证方法，其特征在于，设备运维时，调用所述电子标签运维软件，重新生成标签，记为第四标签，并将所述第四标签与所述第一标签进行比对，比对一致后，用所述第四标签替代第一标签，以完成设备运维。

4.根据权利要求3述的全域物联网设备认证方法，其特征在于，将标签进行比对时，包括比对两者的硬件信息、固件信息和应用软件的关键文件信息，所述关键文件信息包括关键文件清单和关键文件散列值。

5.根据权利要求4述的全域物联网设备认证方法，其特征在于，所述电子标签运维软件包括可信软硬件信息库模块、硬件探测模块、固件探测模块、文件比对模块、密码模块和标签读写接口模块；

其中，所述可信软硬件信息库模块用于获取设备的硬件信息、固件信息和应用软件的关键文件信息；

所述硬件探测模块用于根据标签的内容从所述可信软硬件信息库模块采集相应的硬件信息；

所述固件探测模块用于根据标签的内容从所述可信软硬件信息库模块采集相应的固件版本号，并启动固件的自检程序获取自检结果；

所述文件比对模块用于根据标签的内容从所述可信软硬件信息库模块获取应用软件的关键文件信息；

所述密码模块用于接收应用程序传输的密钥，并根据所述标签的加密算法和所述密钥对标签进行解密；

所述标签读写接口模块用于读取标签和写出新标签。

6.根据权利要求5述的全域物联网设备认证方法，其特征在于，所述标签的内容包括：标签标识段、标签版本号、设备ID、标签内容单向散列值、硬件模块数、硬件模块信息、软件模块数和软件模块信息；

所述标签容器包括：容器标识段、容器版本号、容器ID、标签数量、容器校验码和加密算法。

7.根据权利要求6述的全域物联网设备认证方法，其特征在于，所述标签的公私钥对存储在数字证书中。

8.根据权利要求1至7任一项所述的全域物联网设备认证方法，其特征在于，所述电子标签运维软件包括日志告警接口模块，所述日志告警接口模块用于对接标准日志接口和上报标签比对结果。

9.一种全域物联网设备认证装置，其特征在于，包括标签签发模块和标签比对模块；

所述标签签发模块用于设备入网时，调用电子标签运维软件向待入网设备签发标签和标签容器，并将所述标签和标签容器写入代理或网关中；

所述标签比对模块用于完成入网安装后，代理或网关自动执行电子标签运维程序，重新计算所述待入网设备的标签，并与所述签发标签进行比对，当比对一致时完成设备入网认证。

10.一种可读存储介质，其特征在于，所述可读存储介质包括存储的计算机程序，所述计算机程序执行时，控制所述可读存储介质所在的设备执行如权利要求1至8中任意一项所述的全域物联网设备认证方法。

Images