CN116232599A - 一种物联网身份认证方法、物联网终端及服务器 - Google Patents

Abstract

本申请涉及一种物联网身份认证方法、物联网终端及服务器，所述方法应用于物联网终端，所述方法包括以下步骤：在向所述服务器注册后，向服务器发送认证请求；接收来自所述服务器的第一加密PUF激励，其中所述第一加密PUF激励为所述服务器基于SM9算法对预存的与所述物联网终端相关联的PUF激励进行加密得到的；对所述第一加密PUF激励进行解密得到第一解密PUF激励；根据所述第一解密PUF激励得到第一PUF响应；基于SM9算法对所述第一PUF响应进行加密得到第一加密响应；将所述第一加密响应发送到所述服务器，以由所述服务器确定所述物联网终端是否通过认证。本申请具有提升物联网身份认证过程的效率和安全性的效果。

Description

一种物联网身份认证方法、物联网终端及服务器

技术领域

本申请涉及网络安全的技术领域，更具体地涉及一种物联网身份认证方法、物联网终端及服务器。

背景技术

随着信息技术的发展，关于物联网安全研究方兴未艾。物联网终端处于多源异构复杂的网络环境中，比单纯的互联网存在更多的数据传输方式，比互联网更容易遭受攻击。物联网的接入设备由计算机、手机等需要与人交互的设备扩展到了所有能够被独立寻址的普通物理实体设备。为了实现万物互联，物联网设备之间需要进行频繁的交互，如数据访问、服务请求等。物联网设备间的资源访问或者操作等通信过程要确保安全，因此需要保证各物联网设备的真实可靠性，这依赖于设备认证机制。认证是物联网安全的关键问题，接入物联网的物联网设备的身份认证对于网络安全来说至关重要。

目前，传统物联网的安全认证方式，要么安全性不够，要么需要复杂的安全证书管理，不满足低功耗的要求。

因此需要提供一种物联网的身份认证方法，以解决上述问题中的至少一个。

发明内容

为了解决上述问题而提出了本申请。根据本申请一方面，提供了一种物联网身份认证方法，应用于物联网终端，所述方法包括以下步骤：在向所述服务器注册后，向服务器发送认证请求；接收来自所述服务器的第一加密PUF激励，其中所述第一加密PUF激励为所述服务器基于SM9算法对预存的与所述物联网终端相关联的PUF激励进行加密得到的；对所述第一加密PUF激励进行解密得到第一解密PUF激励；根据所述第一解密PUF激励得到第一PUF响应；基于SM9算法对所述第一PUF响应进行加密得到第一加密响应；将所述第一加密响应发送到所述服务器，以由所述服务器基于所述第一加密响应和预存的与所述物联网终端相关联的PUF响应确定所述物联网终端是否通过认证。

在本申请的一个实施例中，所述注册包括：向所述服务器发送注册请求；接收来自所述服务器的第二加密PUF激励，其中所述第二加密PUF激励为所述服务器生成并存储与所述物联网终端相关联的PUF激励后、基于SM9算法对所生成的PUF激励加密后得到的；对所述第二加密PUF激励进行解密得到第二解密PUF激励；根据所述第二解密PUF激励得到第二PUF响应；基于SM9算法对所述第二PUF响应进行加密得到第二加密响应；将所述第二加密响应发送到所述服务器，以由所述服务器解密后存储为所述预存的与所述物联网终端相关联的PUF响应。

在本申请的一个实施例中，所述与所述物联网终端相关联的PUF激励是所述服务器基于所述服务器的介质访问地址、所述物联网终端的标识号和随机数生成的。

在本申请的一个实施例中，所述第二加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对所生成的PUF激励进行加密得到的；所述第二解密PUF激励是所述物联网终端以私钥对所述第二加密PUF激励进行解密得到的。

在本申请的一个实施例中，所述第一加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对预存的与所述物联网终端相关联的PUF激励进行加密得到的；所述第一解密PUF激励是所述物联网终端以私钥对所述第一加密PUF激励进行解密得到的。

在本申请的一个实施例中，在向所述服务器发送所述注册请求之后、以及在所述服务器发送认证请求之前，所述方法还包括：向所述服务器发送心跳数据；接收来自所述服务器的第一提示消息，所述第一提示消息包括提示所述物联网终端尚未认证或认证已过期的消息；基于所述提示消息向所述服务器发送所述认证请求。

在本申请的一个实施例中，在将所述第一加密响应发送到所述服务器后，所述方法还包括：接收来自所述服务器的第二提示消息，所述第二提示消息包括提示所述物联网终端认证通过的消息或者提示所述物联网终端认证未通过的消息；在接收到提示所述物联网终端认证通过的消息后，向所述服务器传输数据。

在本申请的一个实施例中，所述数据为经SM9算法加密后的数据。

根据本申请又一方面，提供了一种物联网终端，所述物联网终端包括存储器和处理器，所述存储器上存储有由所述处理器运行的计算机程序，所述计算机程序在由所述处理器运行时，执行上述的物联网身份认证方法。

根据本申请再一方面，提供了一种物联网身份认证方法，应用于服务器，所述方法包括以下步骤：接收来自物联网终端的认证请求，基于所述认证请求获取预存的与所述物联网终端相关联的PUF激励；基于SM9算法对所述预存的与所述物联网终端相关联的PUF激励进行加密得到第一加密PUF激励，并将所述第一加密PUF激励发送至所述物联网终端；接收来自所述物联网终端的第一加密响应，其中所述第一加密响应是所述物联网终端对所述第一加密PUF激励解密得到第一解密PUF激励、根据第一解密PUF激励得到第一PUF响应后、基于SM9算法对所述第一PUF响应进行加密得到的；基于所述第一加密响应和预存的与所述物联网终端相关联的PUF响应确定所述物联网终端是否通过认证。

在本申请的一个实施例中，在接收来自物联网终端的认证请求之前，所述方法还包括：接收来自所述物联网终端的注册请求，基于所述注册请求生成并存储与所述物联网终端相关联的PUF激励；基于SM9算法对所生成的PUF激励进行加密得到第二加密PUF激励，并将所述第二加密PUF激励发送至所述物联网终端；接收来自所述物联网终端的第二加密响应，其中所述第二加密响应是所述物联网终端对所述第二加密PUF激励解密得到第二解密PUF激励、根据第二解密PUF激励得到第二PUF响应后、基于SM9算法对所述第二PUF响应进行加密得到的；对所述第二加密响应进行解密并存储为所述预存的与所述物联网终端相关联的PUF响应。

在本申请的一个实施例中，所述基于所述注册请求生成并存储与所述物联网终端相关联的PUF激励，包括：基于所述注册请求确定所述物联网终端的标识号；基于所述服务器的介质访问地址、所述物联网终端的标识号和随机数生成并存储与所述物联网终端相关联的PUF激励。

在本申请的一个实施例中，所述第二加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对所生成的PUF激励进行加密得到的；所述第二解密PUF激励是所述物联网终端以私钥对所述第二加密PUF激励进行解密得到的。

在本申请的一个实施例中，所述第一加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对预存的与所述物联网终端相关联的PUF激励进行加密得到的；所述第一解密PUF激励是所述物联网终端以私钥对所述第一加密PUF激励进行解密得到的。

在本申请的一个实施例中，在从所述物联网终端接收所述认证请求之前，所述方法还包括：从所述物联网终端接收心跳数据；基于所述心跳数据确定所述物联网终端是否通过认证以及认证是否过期，并生成第一提示消息发送至所述物联网终端。

在本申请的一个实施例中，所述基于所述第一加密响应和预存的与所述物联网终端相关联的PUF响应确定所述物联网终端是否通过认证，包括：将解密后的所述第一加密响应和所述预存的与所述物联网终端相关联的PUF响应进行比较，当两者相同时确定所述物联网终端通过认证，反之则确定不通过认证。

在本申请的一个实施例中，所述方法还包括：在确定所述物联网终端是否通过认证后，向所述物联网终端发送第二提示消息，所述第二提示消息包括提示所述物联网终端认证通过的消息或者提示所述物联网终端认证未通过的消息。

在本申请的一个实施例中，在向所述物联网终端发送提示所述物联网终端认证通过的消息后，所述方法还包括：接收来自所述物联网终端的数据；将所述数据存储在数据库中。

在本申请的一个实施例中，所述数据为经SM9加密后的数据，所述方法还包括：对所述加密后的数据进行解密后再存储到所述数据库中。

根据本申请再一方面，提供了一种服务器，所述服务器包括存储器和处理器，所述存储器上存储有由所述处理器运行的计算机程序，所述计算机程序在由所述处理器运行时，执行上述的物联网身份认证方法。

根据本申请实施例的物联网身份认证方法，物联网终端向服务器请求进行认证，服务器生成PUF激励并在加密之后发送给物联网终端，物联网终端进行解密并基于PUF激励生成响应，物联网终端再将该响应发送到服务器和预存的PUF响应相互对照以进行身份认证。因为PUF的激励与响应之间的关系仅是由设备的物理差异决定，存在有单向性物理上不可复制的特性，在此基础上再基于SM9算法进行激励与响应的加密解密，提升了物联网身份认证过程的效率和安全性，使用方便且容易实施。

附图说明

通过结合附图对本申请实施例进行更详细的描述，本申请的上述以及其他目的、特征和优势将变得更加明显。附图用来提供对本申请实施例的进一步理解，并且构成说明书的一部分，与本申请实施例一起用于解释本申请，并不构成对本申请的限制。在附图中，相同的参考标号通常代表相同部件或步骤。

图1示出了本申请实施例中应用于物联网终端的物联网身份认证方法的流程图。

图2示出了本申请实施例中应用于物联网终端的注册过程的流程图。

图3示出了本申请实施例中物联网注册及身份认证方法的流程框图。

图4示出了本申请实施例中物联网注册过程的流程框图。

图5示出了本申请实施例中物联网身份认证方法的流程框图。

图6示出了本申请实施例中应用于服务器的物联网身份认证方法的流程图。

图7示出了本申请实施例中应用于服务器的注册过程的流程图。

具体实施方式

为了使得本申请的目的、技术方案和优点更为明显，下面将参照附图详细描述根据本申请的示例实施例。显然，所描述的实施例仅仅是本申请的一部分实施例，而不是本申请的全部实施例，应理解，本申请不受这里描述的示例实施例的限制。基于本申请中描述的本申请实施例，本领域技术人员在没有付出创造性劳动的情况下所得到的所有其他实施例都应落入本申请的保护范围之内。

首先需要说明的是，服务器中安装有应用程序，支持对物联网终端设备的响应。物理不可克隆函数(Physical unclonable function，简称PUF)通过提取芯片制造过程中的差异，生成无数个独特的、不可预测的“密钥”，其输入也称为激励(Challenge)，输出也称为响应(Response)，PUF的一组输入输出称为激励——响应对(Challenge——ResponsePair，简称CRP)。激励和响应之间的关系仅仅由设备的某些物理差异决定，由于芯片制造过程中产生的差异，具有不可复制的特性，因此，PUF技术使得芯片具有防伪功能。SM9是基于双线性对的标识密码算法(相关标准为“GM/T 0044-2016SM9标识密码算法”)，可用于实现基于身份的密码体制，基于SM9算法的安全应用，可以采用号码、邮件地址等作为公钥，以用于进行数据加密、身份认证、通话加密和通道加密等。

本申请实施例提供了一种物联网身份认证方法，该方法应用于物联网终端，参照图1，本方法包括以下步骤：

S11、在向服务器注册后，向服务器发送认证请求。

S12、接收来自服务器的第一加密PUF激励，其中第一加密PUF激励为服务器基于SM9算法对预存的与物联网终端相关联的PUF激励进行加密得到的。

S13、对第一加密PUF激励进行解密得到第一解密PUF激励。

S14、根据第一解密PUF激励得到第一PUF响应。

S15、基于SM9算法对第一PUF响应进行加密得到第一加密响应。

S16、将第一加密响应发送到服务器，以由服务器基于第一加密响应和预存的与物联网终端相关联的PUF响应确定物联网终端是否通过认证。

基于上述的物联网身份认证方法，物联网终端向服务器请求进行认证，服务器生成PUF激励并在加密之后发送给物联网终端，物联网终端进行解密并基于PUF激励生成响应，物联网终端再将该响应发送到服务器和预存的PUF响应相互对照以进行身份认证。因为PUF的激励与响应之间的关系仅是由设备的物理差异决定，存在有单向性物理上不可复制的特性，在此基础上再基于SM9算法进行激励与响应的加密解密，提升了物联网身份认证过程的效率和安全性，使用方便且容易实施。

示例性地，在物联网终端向服务器发送认证请求之前，先向服务器进行注册，如图2所示，注册的过程如下：

S21、向服务器发送注册请求。

S22、接收来自服务器的第二加密PUF激励，其中第二加密PUF激励为服务器生成并存储与物联网终端相关联的PUF激励后、再基于SM9算法对所生成的PUF激励加密后得到的。

S23、对第二加密PUF激励进行解密得到第二解密PUF激励。

S24、根据第二解密PUF激励得到第二PUF响应。

S25、基于SM9算法对第二PUF响应进行加密得到第二加密响应。

S26、将第二加密响应发送到服务器，以由服务器解密后存储为预存的与物联网终端相关联的PUF响应。

基于上述的方法，物联网终端进行认证之前，需要先经过注册的过程，通过物联网终端接收加密后的PUF激励，再根据PUF激励来得到第二PUF响应，将其加密之后发送给服务器，服务器解密之后得到解密的PUF响应并进行储存，以此得到了预存的与物联网终端关联的PUF响应并对之进行存储，在物联网终端请求认证时与物联网终端发送的第一加密响应进行对比，来实现物联网终端的认证，完成了物联网终端认证的前置注册过程。

请参照图3，图3示出了本申请实施例中物联网终端的注册和认证的流程。在进行物联网终端的注册时，物联网终端向服务器发送注册请求，服务器接收之后向物联网终端发送基于SM9加密的PUF激励，物联网终端在接收到之后进行解密，并根据解密结果来生成PUF激励，基于SM9对PUF响应进行加密发送到服务器，服务器将得到了预存的和物联网终端关联的PUF响应。之后进入到认证的过程，物联网终端发送认证请求，服务器接收到请求之后向物联网终端发送其存储的对应终端的加密后的PUF激励，物联网终端接收之后进行解密并生成响应，发送加密之后的PUF响应到服务器，服务器进行验证，若与已存储的与物联网关联的PUF响应相同，则验证通过，否则验证不通过。

请参照图4，对物联网终端的注册过程进行示例性地介绍。示例性地，与物联网终端相关联的PUF激励是由服务器基于服务器的介质访问地址、物联网终端的标识号和随机数生成的，该过程可以通过下式表示：

h＝f(mac,id,rn)(1)

其中，h代表哈希摘要(在此处作为服务器生成的PUF激励)，f可以是任意一种哈希消息摘要算法，mac为服务器的介质访问地址，id为物联网终端的标识号，rn表示一个随机数。mac、id以及rn均可储存在服务器中，通过上述方式可以获得与物联网关联的PUF激励，服务器获得PUF激励之后进行存储。

示例性地，服务器通过PUF激励之后可以根据PUF激励来得到第二加密PUF激励，第二加密PUF激励是服务器基于SM9算法以物联网终端的标识号为公钥对所生成的PUF激励进行加密得到的，具体通过下式来表示：

k＝Fe(h,id)(2)

其中，k表示基于SM9算法加密后的密文，在此处表示第二加密PUF激励，Fe表示SM9加密算法函数，h表示PUF激励，id表示物联网终端的设备标识号，并且在式(2)中id作为公钥。其中h、id均已在服务器中存储。

物联网终端在接收到第二加密PUF激励之后，以私钥对其进行解密得到第二解密PUF激励，具体如下式所示：

h＝Fd(k,s)(3)

其中，h代表解密后的明文，也即第二解密PUF激励，k为密文，也即式(2)中得到的第二加密PUF激励，Fd为SM9解密算法函数,s代表物联网终端的私钥。

物联网终端在得到第二解密PUF激励之后，通过第二加密PUF激励得到第二PUF响应r，再对第二PUF响应r进行加密得到第二加密响应。具体如下式所示：

R＝Fe(r,s)(4)

其中，其中R为加密后的密文，也即第二加密响应，Fe为SM9加密算法函数，r为第二PUF响应，s为私钥。

服务器在接收到第二加密响应之后，基于SM9算法根据公钥进行解密，并将解密的结果作为预存的与物联网终端关联的PUF响应，如下式所示：

r＝Fd(R,id)(5)

其中，其中r为解密后的PUF响应，Fd为SM9解密函数，R为密文，id代表物联网终端的设备标识号(也就是公钥)。

至此，物联网得到了预存的PUF响应，在进行物联网终端的身份认证时，通过预存的PUF响应和物联网终端认证过程中发送的PUF响应进行对比可以实现身份认证。

下面请参照图5，结合图5对物联网终端的认证过程进行示例性的描述。

首先，物联网终端向服务器发送认证请求，服务器接收到认证请求之后，基于SM9算法对PUF激励进行加密得到第一加密PUF激励。第一加密PUF激励是服务器基于SM9算法以物联网终端的标识号为公钥对预存的与物联网终端相关联的PUF激励进行加密得到的。在上述的注册过程中，服务器已经生成了该PUF激励并进行了存储。得到第一加密PUF激励之后服务器将其发送到物联网终端，物联网终端进行接收，示例性地，生成第一加密PUF激励的过程如下式所示：

k＝Fe(h,id)(6)

其中k表示第一加密PUF激励，h为服务器预存的PUF激励，id表示物联网终端的设备标识号，id在此作为加密算法的公钥，h和id都可以在服务器存储的数据中获得。

物联网终端接收到了第一加密PUF激励之后进行解密得到第一解密PUF激励，第一解密PUF激励是物联网终端以私钥对第一加密PUF激励进行解密得到的，示例性地，如下式所示：

h＝Fd(k,s)(7)

在上式中，h表示第一解密PUF激励，k为第一加密激励，Fd为SM9解密算法函数,s代表物联网终端的私钥。

物联网终端得到第一解密PUF激励之后，向PUF激励响应程序中输入h，得到第一PUF响应r。再对r进行加密传输发送到服务器，通过下式表示：

R＝Fe(r,s)(8)

其中R为加密后的第一加密PUF响应，Fe为SM9加密算法函数，r为PUF响应，s为私钥。

服务器在接收到第一加密PUF响应之后，基于第一加密响应和预存的与物联网终端相关联的PUF响应确定物联网终端是否通过认证。示例性地，服务器对第一加密PUF响应进行解密得到第一解密PUF响应r1，将r1和前文中服务器预存的物联网终端关联的PUF响应r进行对比来进行身份认证，如下式所示：

r1＝Fd(R,id)(9)

其中r1为解密后的第一解密PUF响应，Fd为SM9解密函数，R为第一加密PUF响应，id为物联网终端的设备标识(也就是公钥)。服务器将r1和预存的PUF响应r进行对比，若r1＝r，则物联网终端的身份认证通过，否则不通过。

示例性的，在物联网终端向服务器发送注册请求之后，并且在服务器发送认证请求之前，本方法还包括以下步骤：

物联网终端向服务器发送心跳数据；接收来自服务器的第一提示消息，第一提示消息包括提示物联网终端尚未认证或认证已过期的消息，物联网终端基于提示消息向服务器发送认证请求。

基于上述的步骤，物联网终端向服务器发送心跳数据可以用来确认与服务器之间的连接，当服务器接收到心跳数据之后确认了其与物联网终端仍保持连接，当服务器判断物联网终端需要进行认证时，通过发送第一提示消息可以提醒物联网终端进行认证，其中需要判断物联网终端需要进行认证的情况包括物联网终端尚未认证或者认证已过期。物联网终端在接收到第一提示消息之后会发送认证请求，开始进行认证。

示例性地，本方法还包括：在将第一加密响应发送到服务器之后，接收来自服务器的第二提示消息，第二提示消息包括提示物联网终端认证通过的消息或者提示所述物联网终端认证未通过的消息；在接收到提示物联网终端认证通过的消息后，向服务器传输数据。

当服务器通过第二提示消息通知物联网终端的身份认证通过之后，物联网终端开始向服务器传输数据，物联网发送的数据为经SM9算法加密后的加密数据，服务器接收之后再对加密数据进行解密和存储，实现了数据传输的功能。

示例性地，数据传输的过程如下，当物联网终端接收到来自服务器的认证通过的消息之后，基于SM9算法对需要发送的数据进行加密，加密过程如下所示：

R＝Fe(data,s)(10)

其中R为加密后的密文，也即加密数据，Fe为SM9加密算法函数，data为待传输的数据，s为私钥。

服务器在接收到加密数据之后，再对该加密数据进行解密，得到解密后的数据，如下式所示：

data＝Fd(R,id)(11)

其中，data为解密后的数据，Fd为SM9解密函数，R为密文，也即加密数据，id为物联网终端的设备标识(也即公钥)。

通过上述的方式，在物联网终端完成了认证之后，可以进行加密数据的传输，在发送数据之前进行数据的加密，服务器接收数据之后对加密数据进行解密，从而得到解密的数据并将其存储到数据库中。

本申请实施例还提供了一种物联网终端，物联网终端包括存储器和处理器，存储器上存储有由处理器运行的计算机程序，计算机程序在由处理器运行时，执行上述的物联网身份认证方法。

本申请实施例提供了一种物联网身份认证方法，应用于服务器，如图6所示，本方法包括以下步骤：

S61、接收来自物联网终端的认证请求，基于所述认证请求获取预存的与所述物联网终端相关联的PUF激励。

S62、基于SM9算法对预存的与物联网终端相关联的PUF激励进行加密得到第一加密PUF激励，并将第一加密PUF激励发送至物联网终端。

S63、接收来自物联网终端的第一加密响应，其中第一加密响应是物联网终端对第一加密PUF激励解密得到第一解密PUF激励、根据第一解密PUF激励得到第一PUF响应后、基于SM9算法对所述第一PUF响应进行加密得到的。

S64、基于第一加密响应和预存的与物联网终端相关联的PUF响应确定物联网终端是否通过认证。

基于上述的物联网身份认证方法，服务器接收到认证请求之后，服务器生成PUF激励并在加密之后发送给物联网终端，物联网终端进行解密并基于PUF激励生成响应，物联网终端再将该响应发送到服务器和预存的PUF响应相互对照以进行身份认证。因为PUF的激励与响应之间的关系仅是由设备的物理差异决定，存在有单向性物理上不可复制的特性，在此基础上再基于SM9算法进行激励与响应的加密解密，提升了物联网身份认证过程的效率和安全性，使用方便且容易实施。

示例性地，如图7所示，在接收来自物联网终端的认证请求之前，本方法还包括：

S71、接收来自物联网终端的注册请求，基于注册请求生成并存储与物联网终端相关联的PUF激励。

S72、基于SM9算法对所生成的PUF激励进行加密得到第二加密PUF激励，并将第二加密PUF激励发送至物联网终端。

S73、接收来自物联网终端的第二加密响应，其中第二加密响应是物联网终端对第二加密PUF激励解密得到第二解密PUF激励、根据第二解密PUF激励得到第二PUF响应后、基于SM9算法对第二PUF响应进行加密得到的。

S74、对第二加密响应进行解密并存储为预存的与物联网终端相关联的PUF响应。

基于上述的方法，服务器接收物联网终端的认证请求之前，物联网终端需要先经过注册的过程，通过服务器发送加密后的PUF激励，物联网终端再根据PUF激励来得到第二PUF响应，将其加密之后发送给服务器，服务器解密之后得到解密的PUF响应并进行储存，以此得到了预存的与物联网终端关联的PUF响应并对之进行存储，在物联网终端请求认证时，用于和解密后的第一加密响应进行对比，来实现物联网终端的认证，完成了物联网终端认证的前置注册过程。

如图3所示，图3示出了本申请实施例中物联网终端的注册和认证的流程。在进行物联网终端的注册时，物联网终端向服务器发送注册请求，服务器接收之后向物联网终端发送基于SM9加密的PUF激励，物联网终端在接收到之后进行解密，并根据解密结果来生成PUF激励，基于SM9对PUF响应进行加密发送到服务器，服务器将得到了预存的和物联网终端关联的PUF响应。之后进入到认证的过程，物联网终端发送认证请求，服务器接收到请求之后向物联网终端发送其存储的对应终端的加密后的PUF激励，物联网终端接收之后进行解密并生成响应，发送加密之后的PUF响应到服务器，服务器进行验证，若与已存储的与物联网关联的PUF响应相同，则验证通过，否则验证不通过。

下面对物联网的注册过程进行介绍，示例性地，服务器生成PUF激励的过程包括：基于注册请求确定物联网终端的标识号，基于服务器的介质访问地址、物联网终端的标识号和随机数生成并存储与所述物联网终端相关联的PUF激励，如下式所示：

h＝f(mac,id,rn)(1)

其中，h代表哈希摘要(在此处作为服务器生成的PUF激励)，f可以是任意一种哈希消息摘要算法，mac为服务器的介质访问地址，id为物联网终端的标识号，rn表示一个随机数。mac、id以及rn均可储存在服务器中，通过上述方式可以获得与物联网关联的PUF激励，服务器获得PUF激励之后进行存储。

示例性地，第二加密PUF激励是服务器基于SM9算法以物联网终端的标识号为公钥对所生成的PUF激励进行加密得到的，如式(2)所示，其中，k表示基于SM9算法加密后的密文，在此表示第二加密PUF激励，Fe表示SM9加密算法函数，h表示PUF激励，id表示物联网终端的设备标识号，并且在式(2)中id作为公钥，其中h、id均已在服务器中存储。第二解密PUF激励是物联网终端以私钥对第二加密PUF激励进行解密得到的，也即物联网终端在接收到第二加密PUF激励之后，以私钥对其进行解密得到第二解密PUF激励，具体如式(3)所示。

服务器在向物联网终端发送第二及解密PUF激励之后，物联网终端通过第二解密PUF激励得到第二PUF响应r，再对第二PUF响应r进行加密得到第二加密响应。具体过程如式(4)所示，物联网终端得到第二加密响应之后将其发送到服务器。

服务器在接收到第二加密响应之后，基于SM9算法根据公钥进行解密，并将解密的结果作为预存的与物联网终端关联的PUF响应，如式(5)所示。

至此，物联网得到了预存的PUF响应，在进行物联网终端的身份认证时，通过预存的PUF响应和物联网终端认证过程中发送的PUF响应进行对比可以实现身份认证。

下面结合图5对物联网终端的身份认证过程进行示例性的描述。

首先，物联网终端向服务器发送认证请求，服务器接收到认证请求之后，基于SM9算法对PUF激励进行加密得到第一加密PUF激励。

示例性地，第一加密PUF激励是服务器基于SM9算法以物联网终端的标识号为公钥对预存的与物联网终端相关联的PUF激励进行加密得到的。在注册过程中，服务器已经生成了该PUF激励并进行了存储。服务器生成第一加密PUF激励的过程如式(6)所示。

物联网终端接收到了第一加密PUF激励之后进行解密得到第一解密PUF激励。第一解密PUF激励是物联网终端以私钥对第一加密PUF激励进行解密得到的，解密过程如式(7)所示。

物联网终端得到第一解密PUF激励之后，向PUF激励响应程序中输入h，得到第一PUF响应r。再对r进行加密传输发送到服务器，加密过程如式(8)所示。

服务器在接收到第一加密PUF响应之后，基于第一加密响应和预存的与物联网终端相关联的PUF响应确定物联网终端是否通过认证。示例性地，服务器对第一加密PUF响应进行解密得到第一解密PUF响应r1，将r1和前文中服务器预存的物联网终端关联的PUF响应r进行对比来进行身份认证，获取r1的过程如式(9)所示。服务器将r1和预存的PUF响应r进行对比，若r1＝r，则物联网终端的身份认证通过，否则不通过，基于上述的流程，完成了对物联网终端的身份认证过程。

示例性地，本方法还包括：服务器在从物联网终端接收认证请求之前，从物联网终端接收心跳数据，并基于心跳数据确定物联网终端是否通过认证以及认证是否过期，并生成第一提示消息发送至物联网终端。在确定物联网终端是否通过认证后，服务器向物联网终端发送第二提示消息，第二提示消息包括提示物联网终端认证通过的消息或者提示物联网终端认证未通过的消息。

其中，物联网终端向服务器发送心跳数据可以用来确认与服务器之间的连接，当服务器接收到心跳数据之后确认了其与物联网终端仍保持连接，当服务器判断物联网终端需要进行认证时，通过发送第一提示消息可以提醒物联网终端进行认证，其中需要判断物联网终端需要进行认证的情况包括物联网终端尚未认证或者认证已过期。物联网终端在接收到第一提示消息之后会发送认证请求，开始进行认证。

示例性地，本方法还包括，在向物联网终端发送提示物联网终端认证通过的消息后，接收来自所述物联网终端的数据并将此数据存储在数据库中。数据传输和存储的过程如下：

当物联网终端接收到来自服务器的认证通过的消息之后，基于SM9算法对需要发送的数据进行加密，加密过程如式(10)所示，服务器在接收到加密数据之后，再对该加密数据进行解密，得到解密后的数据，解密过程如式(11)所示。通过上述的方式，在物联网终端完成了认证之后，可以进行加密数据的传输，在发送数据之前进行数据的加密，服务器接收数据之后对加密数据进行解密，从而得到解密的数据并将其存储到数据库中。

本申请实施例还提供了一种服务器，本服务器包括存储器和处理器，存储器上存储有由处理器运行的计算机程序，计算机程序在由处理器运行时，执行上述的物联网身份认证方法。

基于上面的描述，根据本申请实施例的物联网身份认证方法，物联网终端向服务器请求进行认证，服务器生成PUF激励并在加密之后发送给物联网终端，物联网终端进行解密并基于PUF激励生成响应，物联网终端再将该响应发送到服务器和预存的PUF响应相互对照以进行身份认证。因为PUF的激励与响应之间的关系仅是由设备的物理差异决定，存在有单向性物理上不可复制的特性，在此基础上再基于SM9算法进行激励与响应的加密解密，提升了物联网身份认证过程的效率和安全性。并且不需要另外增加设备，只需要改动现有程序，算法简单、容易实施使用方便且容易实施。

尽管这里已经参考附图描述了示例实施例，应理解上述示例实施例仅仅是示例性的，并且不意图将本申请的范围限制于此。本领域普通技术人员可以在其中进行各种改变和修改，而不偏离本申请的范围和精神。所有这些改变和修改意在被包括在所附权利要求所要求的本申请的范围之内。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其他的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个设备，或一些特征可以忽略，或不执行。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本申请的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本申请并帮助理解各个发明方面中的一个或多个，在对本申请的示例性实施例的描述中，本申请的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该本申请的方法解释成反映如下意图：即所要求保护的本申请要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如相应的权利要求书所反映的那样，其发明点在于可以用少于某个公开的单个实施例的所有特征的特征来解决相应的技术问题。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本申请的单独实施例。

本领域的技术人员可以理解，除了特征之间相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其他实施例中所包括的某些特征而不是其他特征，但是不同实施例的特征的组合意味着处于本申请的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本申请的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本申请实施例的一些模块的一些或者全部功能。本申请还可以实现为用于执行这里所描述的方法的一部分或者全部的装置程序(例如，计算机程序和计算机程序产品)。这样的实现本申请的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本申请进行说明而不是对本申请进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本申请可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

以上所述，仅为本申请的具体实施方式或对具体实施方式的说明，本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。本申请的保护范围应以权利要求的保护范围为准。

Claims (20)

1.一种物联网身份认证方法，应用于物联网终端，其特征在于，所述方法包括以下步骤：

在向所述服务器注册后，向服务器发送认证请求；

接收来自所述服务器的第一加密PUF激励，其中所述第一加密PUF激励为所述服务器基于SM9算法对预存的与所述物联网终端相关联的PUF激励进行加密得到的；

对所述第一加密PUF激励进行解密得到第一解密PUF激励；

根据所述第一解密PUF激励得到第一PUF响应；

基于SM9算法对所述第一PUF响应进行加密得到第一加密响应；

将所述第一加密响应发送到所述服务器，以由所述服务器基于所述第一加密响应和预存的与所述物联网终端相关联的PUF响应确定所述物联网终端是否通过认证。

2.根据权利要求1所述的方法，其特征在于，所述注册包括：

向所述服务器发送注册请求；

接收来自所述服务器的第二加密PUF激励，其中所述第二加密PUF激励为所述服务器生成并存储与所述物联网终端相关联的PUF激励后、基于SM9算法对所生成的PUF激励加密后得到的；

对所述第二加密PUF激励进行解密得到第二解密PUF激励；

根据所述第二解密PUF激励得到第二PUF响应；

基于SM9算法对所述第二PUF响应进行加密得到第二加密响应；

将所述第二加密响应发送到所述服务器，以由所述服务器解密后存储为所述预存的与所述物联网终端相关联的PUF响应。

3.根据权利要求2所述的方法，其特征在于，所述与所述物联网终端相关联的PUF激励是所述服务器基于所述服务器的介质访问地址、所述物联网终端的标识号和随机数生成的。

4.根据权利要求3所述的方法，其特征在于，所述第二加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对所生成的PUF激励进行加密得到的；

所述第二解密PUF激励是所述物联网终端以私钥对所述第二加密PUF激励进行解密得到的。

5.根据权利要求1或3所述的方法，其特征在于，所述第一加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对预存的与所述物联网终端相关联的PUF激励进行加密得到的；

所述第一解密PUF激励是所述物联网终端以私钥对所述第一加密PUF激励进行解密得到的。

6.根据权利要求1所述的方法，其特征在于，在向所述服务器发送所述注册请求之后、以及在所述服务器发送认证请求之前，所述方法还包括：

向所述服务器发送心跳数据；

接收来自所述服务器的第一提示消息，所述第一提示消息包括提示所述物联网终端尚未认证或认证已过期的消息；

基于所述提示消息向所述服务器发送所述认证请求。

7.根据权利要求1所述的方法，其特征在于，在将所述第一加密响应发送到所述服务器后，所述方法还包括：

接收来自所述服务器的第二提示消息，所述第二提示消息包括提示所述物联网终端认证通过的消息或者提示所述物联网终端认证未通过的消息；

在接收到提示所述物联网终端认证通过的消息后，向所述服务器传输数据。

8.根据权利要求7所述的方法，其特征在于，所述数据为经SM9算法加密后的数据。

9.一种物联网终端，其特征在于，所述物联网终端包括存储器和处理器，所述存储器上存储有由所述处理器运行的计算机程序，所述计算机程序在由所述处理器运行时，执行权利要求1-8中的任一项所述的物联网身份认证方法。

10.一种物联网身份认证方法，应用于服务器，其特征在于，所述方法包括以下步骤：

接收来自物联网终端的认证请求，基于所述认证请求获取预存的与所述物联网终端相关联的PUF激励；

基于SM9算法对所述预存的与所述物联网终端相关联的PUF激励进行加密得到第一加密PUF激励，并将所述第一加密PUF激励发送至所述物联网终端；

接收来自所述物联网终端的第一加密响应，其中所述第一加密响应是所述物联网终端对所述第一加密PUF激励解密得到第一解密PUF激励、根据第一解密PUF激励得到第一PUF响应后、基于SM9算法对所述第一PUF响应进行加密得到的；

基于所述第一加密响应和预存的与所述物联网终端相关联的PUF响应确定所述物联网终端是否通过认证。

11.根据权利要求10所述的方法，其特征在于，在接收来自物联网终端的认证请求之前，所述方法还包括：

接收来自所述物联网终端的注册请求，基于所述注册请求生成并存储与所述物联网终端相关联的PUF激励；

基于SM9算法对所生成的PUF激励进行加密得到第二加密PUF激励，并将所述第二加密PUF激励发送至所述物联网终端；

接收来自所述物联网终端的第二加密响应，其中所述第二加密响应是所述物联网终端对所述第二加密PUF激励解密得到第二解密PUF激励、根据第二解密PUF激励得到第二PUF响应后、基于SM9算法对所述第二PUF响应进行加密得到的；

对所述第二加密响应进行解密并存储为所述预存的与所述物联网终端相关联的PUF响应。

12.根据权利要求11所述的方法，其特征在于，所述基于所述注册请求生成并存储与所述物联网终端相关联的PUF激励，包括：

基于所述注册请求确定所述物联网终端的标识号；

基于所述服务器的介质访问地址、所述物联网终端的标识号和随机数生成并存储与所述物联网终端相关联的PUF激励。

13.根据权利要求12所述的方法，其特征在于，所述第二加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对所生成的PUF激励进行加密得到的；

所述第二解密PUF激励是所述物联网终端以私钥对所述第二加密PUF激励进行解密得到的。

14.根据权利要求10或12所述的方法，其特征在于，所述第一加密PUF激励是所述服务器基于SM9算法以所述物联网终端的标识号为公钥对预存的与所述物联网终端相关联的PUF激励进行加密得到的；

所述第一解密PUF激励是所述物联网终端以私钥对所述第一加密PUF激励进行解密得到的。

15.根据权利要求10所述的方法，其特征在于，在从所述物联网终端接收所述认证请求之前，所述方法还包括：

从所述物联网终端接收心跳数据；

基于所述心跳数据确定所述物联网终端是否通过认证以及认证是否过期，并生成第一提示消息发送至所述物联网终端。

16.根据权利要求10所述的方法，其特征在于，所述基于所述第一加密响应和预存的与所述物联网终端相关联的PUF响应确定所述物联网终端是否通过认证，包括：

将解密后的所述第一加密响应和所述预存的与所述物联网终端相关联的PUF响应进行比较，当两者相同时确定所述物联网终端通过认证，反之则确定不通过认证。

17.根据权利要求10或16所述的方法，其特征在于，所述方法还包括：

在确定所述物联网终端是否通过认证后，向所述物联网终端发送第二提示消息，所述第二提示消息包括提示所述物联网终端认证通过的消息或者提示所述物联网终端认证未通过的消息。

18.根据权利要求17所述的方法，其特征在于，在向所述物联网终端发送提示所述物联网终端认证通过的消息后，所述方法还包括：

接收来自所述物联网终端的数据；

将所述数据存储在数据库中。

19.根据权利要求18所述的方法，其特征在于，所述数据为经SM9加密后的数据，所述方法还包括：

对所述加密后的数据进行解密后再存储到所述数据库中。

20.一种服务器，其特征在于，所述服务器包括存储器和处理器，所述存储器上存储有由所述处理器运行的计算机程序，所述计算机程序在由所述处理器运行时，执行权利要求10-19中的任一项所述的物联网身份认证方法。

Images