CN116318873B - 一种物联网硬件设备的远程安全终端管理方法和系统 - Google Patents

一种物联网硬件设备的远程安全终端管理方法和系统 Download PDF

Info

Publication number
CN116318873B
CN116318873B CN202310120661.7A CN202310120661A CN116318873B CN 116318873 B CN116318873 B CN 116318873B CN 202310120661 A CN202310120661 A CN 202310120661A CN 116318873 B CN116318873 B CN 116318873B
Authority
CN
China
Prior art keywords
service
time
user
verification code
verification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202310120661.7A
Other languages
English (en)
Other versions
CN116318873A (zh
Inventor
盛金平
贺鹏飞
宋正春
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Tange Intelligent Technology Co ltd
Original Assignee
Shenzhen Tange Intelligent Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Tange Intelligent Technology Co ltd filed Critical Shenzhen Tange Intelligent Technology Co ltd
Priority to CN202310120661.7A priority Critical patent/CN116318873B/zh
Publication of CN116318873A publication Critical patent/CN116318873A/zh
Application granted granted Critical
Publication of CN116318873B publication Critical patent/CN116318873B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提出了一种物联网硬件设备的远程安全终端管理方法和系统，通过在telnet的基础上，结合服务器代理、签名校验、SSL加密传输通道、审计日志、风险监控等技术，采用账号的双因子校验、SSL的WebSocket长连接技术，确保了通信过程中的安全性；通过实时审计和事后审计，用于在产生可疑请求时，进行实时阻断和事后追查，确保了设备端本地的telnet服务只能通过可靠的代理服务器才能进行命令交互，确保了设备端的安全性。

Description

一种物联网硬件设备的远程安全终端管理方法和系统
技术领域
本发明涉及物联网设备远程安全管理领域，具体涉及一种物联网硬件设备的远程安全终端管理方法和系统
背景技术
远程终端是一种远程登录设备进行配置、管理、排错等操作的重要方法，是物联网硬件需要具备的一种功能。通常的实现方案是在物联网硬件系统中直接运行telnetd服务端程序，并打开相应的端口，以及设置默认登录的账号和密码。但是简单的远程终端实现方案，会导致物联网硬件有被攻击和利用的风险。2016年就出现过黑客控制大规模摄像头对DNS系统进行DDos攻击的事例。但如果因此去掉远程终端功能，将会给物联网硬件的运维管理带来很大的成本。因此，物联网硬件需要一个安全可控的远程安全终端方案显得很有必要。
发明内容
基于上述问题，本发明提出了一种物联网硬件设备的远程安全终端管理方法和系统，通过在telnet的基础上，结合服务器代理、签名校验、SSL加密传输通道、审计日志、风险监控等技术，采用账号的双因子校验、SSL的WebSocket长连接技术，确保了通信过程中的安全性；通过实时审计和事后审计，用于在产生可疑请求时，进行实时阻断和事后追查，确保了设备端本地的telnet服务只能通过可靠的代理服务器才能进行命令交互，确保了设备端的安全性。
根据本发明一方面，提出了一种物联网硬件设备的远程安全终端管理方法，该方法包括以下步骤：
步骤S1：用户通过执行工具终端来发起连接到指定设备的请求，该请求包括指定设备ID、用户ID和密码、验证码；
步骤S2：工具终端通过https安全协议连接到网关服务，网关服务请求账号服务对用户ID和密码、验证码进行验证；
步骤S3：验证通过后，网关服务将步骤S1的连接到指定设备的请求和和步骤S2的用户验证结果发送给日志服务进行记录；
步骤S4：审计服务通过本地安全策略对日志进行实时分析，判断是否存在风险，并定时更新本地安全策略；
步骤S5：在通过步骤S2的验证以及步骤S4的审计后，网关服务将连接到指定设备的请求转发给代理服务，并通过WebSocket+SSL协议与代理服务建立长连接；
步骤S6：代理服务开启telnet的指令、telnet的一次性临时用户名和密码，并通过长连接信令服务发送给设备端；
步骤S7：设备端开启telnet服务监听本地网络接口，并使用WebSocket+SSL协议与代理服务器建立长连接；
步骤S8：代理服务器使用telnet的一次性临时用户名和密码，自动进行登录认证；
步骤S9：登录认证成功后，工具终端通过代理服务器，与设备端的telnet进程进行安全交互。
可选地，步骤S1中，工具终端提供用户与远程设备端的命令行交互界面，支持Web浏览器和文本终端。
可选地，步骤S2中，通过两种机制提供安全性：1、账号和密码，需要提前在服务器的后台账号服务中开通账号，使用时用账号和密码登录；2、双因子校验，必须开通以下任意一种双因子校验方式：在后台账号中设置用户手机号并开启短信校验，连接时会自动发短信验证码到用户手机号，输入正确验证码才能登录或者在后台账号中设置开启基于时间的一次性校验码，将密钥保存到用户手机端，服务器和手机端程序同时使用以下算法计算验证码，验证码必须一致才能登录。
可选地，基于时间的一次性校验算法具体为：假设，当时时间与1970-1-1相差的秒数为TS，服务器和用户手机端共同使用的密钥为SK，容许手机端和服务端时间误差的秒数为D。
手机端生成6位验证码的通过HMAC_SHA256算法实现，具体为：HASH＝HMAC_SHA256(TS,SK)，取HASH的低32位，并将其转换为整数N，通过N可以计算得到6位验证码C，C＝N％1000000。
服务端校验验证码的算法如下：根据TS和D得到容错的时间范围为[TS-D,TS+D]，对容错时间范围内的每1个时间数值，使用上述生成6位验证码的算法生成验证码集合S，检查用户传入的验证码是否在集合S中，如果在则通过，否则不通过。
可选地，步骤S4中监控审计服务通过连接设备的频次、用户发起频次、发起IP和目标设备ID信息综合进行风险判断；
可选地，步骤S4中风险策略判断标准为：
1)如果同一设备ID在短时间内(设定为1小时)连接次数超过阈值(设定为100次)，则禁止该设备ID的相关请求4个小时；
2)如果同一用户账号在短时间内(设定为1小时)连接设备数超过阈值(设定为100次)，则禁止该用户账号的相关请求4个小时；
3)如果同一用户IP在短时间内(设定为1小时)连接设备数超过阈值(设定为100次)，则禁止该用户IP的相关请求4个小时；
4)如果同一用户账号在短时间内(设定为1小时)验证密码或校验码错误超过阈值(设定为5次)，则禁止该用户账号的相关请求4个小时；
5)如果同一用户IP在短时间内(设定为1小时)验证密码或校验码错误超过阈值(设定为10次)，则禁止该用户IP的相关请求4个小时。
最终形成的风险策略数据为以下带有有效时间段的黑名单：设备ID、禁止时间段；用户账号、禁止时间段；用户IP、禁止时间段。
本发明还提出了一种物联网硬件设备的远程安全终端管理系统，该系统包括工具终端、网关服务、日志服务、审计服务、代理服务、账号服务、数据库、设备端长连接服务和设备端。
可选地，网关服务给用户终端提供统一的接口服务。其包括使用基于SSL的WebSocket协议监听端口，与工具终端建立安全连接；基于当前的风险策略，在本地根据请求的设备ID、用户账号、用户IP等信息判断请求是否通过，若通过，自动转发工具终端的连接请求到账号服务进行验证；在得到验证结果后，自动转发连接请求和账号验证结果到日志服务；安全验证通过后，转发工具终端的请求给代理服务器；网关将工具终端与代理服务器之间的交互命令，都会转发给日志服务进行记录。
可选地，账号服务提供以下校验用户身份的机制：账号和密码，必须提前申请和分配、手机短信验证码、基于时间的一次性验证码。
可选地，日志服务记录连接请求中的时间、设备ID、用户账号、用户IP等信息，其可用于：实时审计：通过审计服务实时计算是否有风险，更新风险策略并同步给网关服务；事后审计：用于回溯和追查可疑的连接请求。
可选地，审计服务用于实时分析请求日志，判断是否有可疑请求，并实时生成风险策略，阻断后续的可疑请求。
可选地，代理服务提供工具终端和设备之间的通信通道。工具终端和设备都会在代理服务上建立长连接，代理服务内部会转发工具终端/设备的请求给设备/工具终端，以实现两端的实时通信。具体为：工具终端通过网关发给连接指定设备ID的请求，代理服务生成一次性临时telnet账号和密码，连同自身的IP/端口，一起通过长连接服务发送给设备端，设备端接收到请求后，使用临时账号和密码启用本地的telnet服务，并通过IP/端口连接同一台代理服务；代理服务发送临时telnet账号和密码登录设备端的telnet服务，此时就建立起了工具终端和设备端之间的安全telnet连接。
可选地，长连接服务提供物联网服务接收远程指令的功能，在物联网设备联网后，会自动建立长连接，这里同样使用基于SSL的WebSocket协议。
可选地，设备端在联网后，会自动连接长连接服务器。此时，telnet服务默认不开启。当接收到代理服务器的请求后，才启动本地的telnet服务，并且仅监听本地127.0.0.1:60022端口。此时telnet服务并没有暴露到互联网上，设备仍具有安全性。然后再使用独立的本地进程，连接代理服务器，通过该本地进程，仅打通代理服务器与本地telnet之间的交互通道。
相对于现有技术，本发明在远程登录telnet服务前端使用了多种安全技术，具有如下有益效果：增加了账号的双因子校验，确保了发起连接方是经过授权的；使用了基于SSL的WebSocket长连接，确保了通信过程没有信息能被窃取；使用了实时审计和事后审计，用于在产生可疑请求时，进行实时阻断和事后追查；确保了设备端本地的telnet服务只能通过可靠的代理服务器才能进行命令交互，确保了设备端的安全性。在整个网络连接过程中，都能确保交互是经过授权和验证的，因此具备了极高的安全性。
附图说明
通过结合附图对本发明实施例进行更详细的描述，本发明的上述以及其它目的、特征和优势将变得更加明显。附图用来提供对本发明实施例的进一步理解，并且构成说明书的一部分，与本发明实施例一起用于解释本发明，并不构成对本发明的限制。在附图中，相同的参考标号通常代表相同部件或步骤。
图1示出根据本发明一个实施例的远程安全终端管理方法流程图；
图2示出根据本发明一个实施例的远程安全终端管理系统结构图。
具体实施方式
为了使得本发明的目的、技术方案和优点更为明显，下面将参照附图详细描述根据本发明的示例实施例。显然，所描述的实施例仅仅是本发明的一部分实施例，而不是本发明的全部实施例，应理解，本发明不受这里描述的示例实施例的限制。基于本发明中描述的本发明实施例，本领域技术人员在没有付出创造性劳动的情况下所得到的所有其它实施例都应落入本发明的保护范围之内。
参见图1，其为一种物联网硬件设备的远程安全终端管理方法的流程图，该方法包括以下步骤：
步骤S1：用户通过执行工具终端来发起连接到指定设备的请求，该请求包括指定设备ID、用户ID和密码、验证码。
步骤S1中，工具终端提供用户与远程设备端的命令行交互界面，支持Web浏览器和文本终端。
步骤S2：工具终端通过https安全协议连接到网关服务，网关服务请求账号服务对用户ID和密码、验证码进行验证。
步骤S2中，通过两种机制提供安全性：1、账号和密码，需要提前在服务器的后台账号服务中开通账号，使用时用账号和密码登录；2、双因子校验，必须开通以下任意一种双因子校验方式：在后台账号中设置用户手机号并开启短信校验，连接时会自动发短信验证码到用户手机号，输入正确验证码才能登录或者在后台账号中设置开启基于时间的一次性校验码，将密钥保存到用户手机端，服务器和手机端程序同时使用以下算法计算验证码，验证码必须一致才能登录。
其中，基于时间的一次性校验算法具体为：假设，当时时间与1970-1-1相差的秒数为TS，服务器和用户手机端共同使用的密钥为SK，容许手机端和服务端时间误差的秒数为D。
手机端生成6位验证码的通过HMAC_SHA256算法实现，具体为：HASH＝HMAC_SHA256(TS,SK)，取HASH的低32位，并将其转换为整数N，通过N可以计算得到6位验证码C，C＝N％1000000。
服务端校验验证码的算法如下：根据TS和D得到容错的时间范围为[TS-D,TS+D]，对容错时间范围内的每1个时间数值，使用上述生成6位验证码的算法生成验证码集合S，检查用户传入的验证码是否在集合S中，如果在则通过，否则不通过。
步骤S3：验证通过后，网关服务将步骤S1的连接到指定设备的请求和和步骤S2的用户验证结果发送给日志服务进行记录；
步骤S4：审计服务通过本地安全策略对日志进行实时分析，判断是否存在风险，并定时更新本地安全策略；
步骤S4中监控审计服务通过连接设备的频次、用户发起频次、发起IP和目标设备ID信息综合进行风险判断；
步骤S4中风险策略判断标准为：
1)如果同一设备ID在短时间内(设定为1小时)连接次数超过阈值(设定为100次)，则禁止该设备ID的相关请求4个小时；
2)如果同一用户账号在短时间内(设定为1小时)连接设备数超过阈值(设定为100次)，则禁止该用户账号的相关请求4个小时；
3)如果同一用户IP在短时间内(设定为1小时)连接设备数超过阈值(设定为100次)，则禁止该用户IP的相关请求4个小时；
4)如果同一用户账号在短时间内(设定为1小时)验证密码或校验码错误超过阈值(设定为5次)，则禁止该用户账号的相关请求4个小时；
5)如果同一用户IP在短时间内(设定为1小时)验证密码或校验码错误超过阈值(设定为10次)，则禁止该用户IP的相关请求4个小时。
最终形成的风险策略数据为以下带有有效时间段的黑名单：设备ID、禁止时间段；用户账号、禁止时间段；用户IP、禁止时间段。
步骤S5：在通过步骤S2的验证以及步骤S4的审计后，网关服务将连接到指定设备的请求转发给代理服务，并通过WebSocket+SSL协议与代理服务建立长连接；
步骤S6：代理服务开启telnet的指令、telnet的一次性临时用户名和密码，并通过长连接信令服务发送给设备端；
步骤S7：设备端开启telnet服务监听本地网络接口，并使用WebSocket+SSL协议与代理服务器建立长连接；
步骤S8：代理服务器使用telnet的一次性临时用户名和密码，自动进行登录认证；
步骤S9：登录认证成功后，工具终端通过代理服务器，与设备端的telnet进程进行安全交互。
参见图2，本发明还提出了一种物联网硬件设备的远程安全终端管理系统，该系统包括工具终端、网关服务、日志服务、审计服务、代理服务、账号服务、数据库、设备端长连接服务和设备端。
网关服务给用户终端提供统一的接口服务。其包括使用基于SSL的WebSocket协议监听端口，与工具终端建立安全连接；基于当前的风险策略，在本地根据请求的设备ID、用户账号、用户IP等信息判断请求是否通过，若通过，自动转发工具终端的连接请求到账号服务进行验证；在得到验证结果后，自动转发连接请求和账号验证结果到日志服务；安全验证通过后，转发工具终端的请求给代理服务器；网关将工具终端与代理服务器之间的交互命令，都会转发给日志服务进行记录。
账号服务提供以下校验用户身份的机制：账号和密码，必须提前申请和分配、手机短信验证码、基于时间的一次性验证码。
日志服务记录连接请求中的时间、设备ID、用户账号、用户IP等信息，其可用于：实时审计：通过审计服务实时计算是否有风险，更新风险策略并同步给网关服务；事后审计：用于回溯和追查可疑的连接请求。
审计服务用于实时分析请求日志，判断是否有可疑请求，并实时生成风险策略，阻断后续的可疑请求。
代理服务提供工具终端和设备之间的通信通道。工具终端和设备都会在代理服务上建立长连接，代理服务内部会转发工具终端/设备的请求给设备/工具终端，以实现两端的实时通信。具体为：工具终端通过网关发给连接指定设备ID的请求，代理服务生成一次性临时telnet账号和密码，连同自身的IP/端口，一起通过长连接服务发送给设备端，设备端接收到请求后，使用临时账号和密码启用本地的telnet服务，并通过IP/端口连接同一台代理服务；代理服务发送临时telnet账号和密码登录设备端的telnet服务，此时就建立起了工具终端和设备端之间的安全telnet连接。
长连接服务提供物联网服务接收远程指令的功能，在物联网设备联网后，会自动建立长连接，这里同样使用基于SSL的WebSocket协议。
设备端在联网后，会自动连接长连接服务器。此时，telnet服务默认不开启。当接收到代理服务器的请求后，才启动本地的telnet服务，并且仅监听本地127.0.0.1:60022端口。此时telnet服务并没有暴露到互联网上，设备仍具有安全性。然后再使用独立的本地进程，连接代理服务器，通过该本地进程，仅打通代理服务器与本地telnet之间的交互通道。
本发明提出了一种物联网硬件设备的远程安全终端管理方法和系统，其采用账号的双因子校验、SSL的WebSocket长连接技术，确保了通信过程中的安全性；通过实时审计和事后审计，用于在产生可疑请求时，进行实时阻断和事后追查，确保了设备端本地的telnet服务只能通过可靠的代理服务器才能进行命令交互，确保了设备端的安全性。
尽管本文已经参考附图描述了示例实施例，应理解上述示例实施例仅仅是示例性的，并且不意图将本发明的范围限制于此。本领域普通技术人员可以在其中进行各种改变和修改，而不偏离本发明的范围和精神。所有这些改变和修改意在被包括在所附权利要求所要求的本发明的范围之内。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该本发明的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如相应的权利要求书所反映的那样，其发明点在于可以用少于某个公开的单个实施例的所有特征的特征来解决相应的技术问题。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。本领域的技术人员可以理解，除了特征之间相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的组件或步骤。位于组件之前的单词“一”或“一个”不排除存在多个这样的组件。本发明可以借助于包括有若干不同组件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
以上所述，仅为本发明的具体实施方式或对具体实施方式的说明，本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。本发明的保护范围应以权利要求的保护范围为准。

Claims (6)

1.一种物联网硬件设备的远程安全终端管理方法，其特征在于，该方法包括以下步骤：
步骤S1：用户通过执行工具终端来发起连接到指定设备的请求，该请求包括指定设备ID、用户ID和密码、验证码；
步骤S2：工具终端通过https安全协议连接到网关服务，网关服务请求账号服务对用户ID和密码、验证码进行验证；
在步骤S2中，通过两种机制提供安全性：1、账号和密码，需要提前在服务器的后台账号服务中开通账号，使用时用账号和密码登录；2、双因子校验，开通以下任意一种双因子校验方式：在后台账号中设置用户手机号并开启短信校验，连接时会自动发短信验证码到用户手机号，输入正确验证码才能登录或者在后台账号中设置开启基于时间的一次性校验码，将密钥保存到用户手机端，服务器和手机端程序同时使用以下算法计算验证码，验证码必须一致才能登录；
其中，基于时间的一次性校验算法具体为：当时间与1970-1-1相差的秒数为TS，服务器和用户手机端共同使用的密钥为SK，容许手机端和服务器时间误差的秒数为D；
手机端生成6位验证码通过HMAC_SHA256算法实现，具体为：HASH＝HMAC_SHA256(TS,SK)，取HASH的低32位，并将其转换为整数N，通过N可以计算得到6位验证码C，C＝N％1000000；
服务器校验验证码的算法如下：根据TS和D得到容错的时间范围为[TS-D,TS+D]，对容错时间范围内的每1个时间数值，使用上述生成6位验证码的算法生成验证码集合S，检查用户传入的验证码是否在集合S中，如果在则通过，否则不通过；
步骤S3：验证通过后，网关服务将步骤S1的连接到指定设备的请求和步骤S2的用户验证结果发送给日志服务进行记录；
步骤S4：审计服务通过本地安全策略对日志进行实时分析，判断是否存在风险，并定时更新本地安全策略；
在步骤4中，监控审计服务通过连接设备的频次、用户发起频次、发起IP和目标设备ID信息综合进行风险判断；
步骤S5：在通过步骤S2的验证以及步骤S4的审计后，网关服务将连接到指定设备的请求转发给代理服务，并通过WebSocket+SSL协议与代理服务建立长连接；
步骤S6：代理服务开启telnet的指令、telnet的一次性临时用户名和密码，并通过长连接信令服务发送给设备端；
步骤S7：设备端开启telnet服务监听本地网络接口，并使用WebSocket+SSL协议与代理服务器建立长连接；
步骤S8：代理服务器使用telnet的一次性临时用户名和密码，自动进行登录认证；
步骤S9：登录认证成功后，工具终端通过代理服务器，与设备端的telnet进程进行安全交互。
2.如权利要求1所述的一种物联网硬件设备的远程安全终端管理方法，其特征在于：步骤S1中，工具终端提供用户与远程设备端的命令行交互界面，支持Web浏览器和文本终端。
3.如权利要求1所述的一种物联网硬件设备的远程安全终端管理方法，其特征在于：基于时间的一次性校验算法中的验证码具体通过HMAC_SHA256算法实现。
4.一种采用权利要求1-3中一个或多个所述的方法的物联网硬件设备的远程安全终端管理系统，该系统包括工具终端、网关服务、日志服务、审计服务、代理服务、账号服务、数据库、设备端长连接服务和设备端。
5.一种计算机设备，其特征在于，包括：一个或多个处理器；和其上存储有指令的一个或多个机器可读介质，当所述一个或多个处理器执行时，使得所述设备执行如权利要求1-3中一个或多个所述的方法。
6.一种计算机设备存储介质，其特征在于，其上存储有指令，当由一个或多个处理器执行时，使得设备执行如权利要求1-3中一个或多个所述的方法。
CN202310120661.7A 2023-02-16 2023-02-16 一种物联网硬件设备的远程安全终端管理方法和系统 Active CN116318873B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310120661.7A CN116318873B (zh) 2023-02-16 2023-02-16 一种物联网硬件设备的远程安全终端管理方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310120661.7A CN116318873B (zh) 2023-02-16 2023-02-16 一种物联网硬件设备的远程安全终端管理方法和系统

Publications (2)

Publication Number Publication Date
CN116318873A CN116318873A (zh) 2023-06-23
CN116318873B true CN116318873B (zh) 2024-03-08

Family

ID=86836971

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310120661.7A Active CN116318873B (zh) 2023-02-16 2023-02-16 一种物联网硬件设备的远程安全终端管理方法和系统

Country Status (1)

Country Link
CN (1) CN116318873B (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101951366A (zh) * 2010-08-31 2011-01-19 深圳市络道科技有限公司 一种基于字符终端的单点登录方法及系统
CN109995792A (zh) * 2019-04-11 2019-07-09 苏州浪潮智能科技有限公司 一种存储设备的安全管理系统
CN110415124A (zh) * 2019-07-31 2019-11-05 深圳市思迪信息技术股份有限公司 证券营销活动限流防刷方法及装置
CN110851837A (zh) * 2019-11-04 2020-02-28 中电长城(长沙)信息技术有限公司 一种基于可信计算的自助设备、其安全管理系统及方法
CN112202872A (zh) * 2020-09-28 2021-01-08 华云数据控股集团有限公司 一种数据转发方法、api网关及消息服务系统
CN113154623A (zh) * 2021-04-15 2021-07-23 宁波奥克斯电气股份有限公司 智能空调的设备操作方法、装置及空调器

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101951366A (zh) * 2010-08-31 2011-01-19 深圳市络道科技有限公司 一种基于字符终端的单点登录方法及系统
CN109995792A (zh) * 2019-04-11 2019-07-09 苏州浪潮智能科技有限公司 一种存储设备的安全管理系统
CN110415124A (zh) * 2019-07-31 2019-11-05 深圳市思迪信息技术股份有限公司 证券营销活动限流防刷方法及装置
CN110851837A (zh) * 2019-11-04 2020-02-28 中电长城(长沙)信息技术有限公司 一种基于可信计算的自助设备、其安全管理系统及方法
CN112202872A (zh) * 2020-09-28 2021-01-08 华云数据控股集团有限公司 一种数据转发方法、api网关及消息服务系统
CN113154623A (zh) * 2021-04-15 2021-07-23 宁波奥克斯电气股份有限公司 智能空调的设备操作方法、装置及空调器

Also Published As

Publication number Publication date
CN116318873A (zh) 2023-06-23

Similar Documents

Publication Publication Date Title
US10154049B2 (en) System and method for providing an in-line sniffer mode network based identity centric firewall
US9467475B2 (en) Secure mobile framework
CN104125226B (zh) 一种锁定和解锁应用的方法、装置及系统
CN114598540B (zh) 访问控制系统、方法、装置及存储介质
CN101714918A (zh) 一种登录vpn的安全系统以及登录vpn的安全方法
CN108769007B (zh) 网关安全认证方法、服务器及网关
US11451959B2 (en) Authenticating client devices in a wireless communication network with client-specific pre-shared keys
CN112910867B (zh) 一种受信任的设备访问应用的双重验证方法
US20220217143A1 (en) Identity security gateway agent
CN111277607A (zh) 通信隧道模块、应用监控模块及移动终端安全接入系统
CN111031540B (zh) 一种无线网络连接方法及计算机存储介质
JP5186648B2 (ja) 安全なオンライン取引を容易にするシステム及び方法
CN112929388B (zh) 网络身份跨设备应用快速认证方法和系统、用户代理设备
KR20130057678A (ko) 인증서 검증 장치 및 방법, 그리고 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체
EP3738012B1 (en) Asserting user, app, and device binding in an unmanaged mobile device
CN116318873B (zh) 一种物联网硬件设备的远程安全终端管理方法和系统
CN114374529B (zh) 资源访问方法、装置、系统、电子设备、介质及程序
CN116962088B (zh) 登录认证方法、零信任控制器及电子设备
KR20130024934A (ko) 스마트폰에서 음성정보를 이용한 일회용 패스워드 기반 사용자 인증 방법
CN114567479B (zh) 一种智能设备安全管控加固及监测预警方法
CN114374529A (zh) 资源访问方法、装置、系统、电子设备、介质及程序
US20220138310A1 (en) Keystroke Cipher Password Management System and Method
Yoo et al. TAPS: Trust-based Access Control and Protect System
WO2016045307A1 (zh) Ike认证方法、ike发起终端、ike响应终端及ike认证系统
CN118094511A (zh) 登录二次验证方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant