CN116566751B - 一种物联网终端设备的注册和连接实现方法及装置 - Google Patents

一种物联网终端设备的注册和连接实现方法及装置 Download PDF

Info

Publication number
CN116566751B
CN116566751B CN202310842464.6A CN202310842464A CN116566751B CN 116566751 B CN116566751 B CN 116566751B CN 202310842464 A CN202310842464 A CN 202310842464A CN 116566751 B CN116566751 B CN 116566751B
Authority
CN
China
Prior art keywords
sdk
request
equipment
signature
push service
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202310842464.6A
Other languages
English (en)
Other versions
CN116566751A (zh
Inventor
许可
陆舟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Feitian Technologies Co Ltd
Original Assignee
Feitian Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Feitian Technologies Co Ltd filed Critical Feitian Technologies Co Ltd
Priority to CN202310842464.6A priority Critical patent/CN116566751B/zh
Publication of CN116566751A publication Critical patent/CN116566751A/zh
Application granted granted Critical
Publication of CN116566751B publication Critical patent/CN116566751B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/55—Push-based network services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/72—Signcrypting, i.e. digital signing and encrypting simultaneously
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Abstract

本发明公开一种物联网终端设备的注册和连接实现方法及装置，适用于包含SDK、SE、上层应用的终端设备，当SDK接收到上层应用的调用时，判断SDK的状态的类型，如为制造前则将制造站公钥哈希值与设备归属信息的头部HMAC值对应保存在SE中，将SDK的非空闲状态设置为载入前；如为载入前则保存认证中心返回的重定向信息，将SDK的非空闲状态设置为转让前；如为转让前则用第二HMAC值替换SE中设备归属信息的头部HMAC值，将SDK状态设置为空闲；如为空闲则给上层应用返回空闲状态，上层应用与推送服务建立长连接进行业务处理。本发明将终端设备的注册、连接与业务处理进行区分，安全方便。

Description

一种物联网终端设备的注册和连接实现方法及装置
技术领域
本发明涉及信息安全领域，尤其涉及一种物联网终端设备的注册和连接实现方法及装置。
背景技术
物联网高速发展的今天涌现出非常多的终端设备厂商，各厂商对安全协议大多为自定义实现方案，这种自定义实现方案缺乏统一标准，且各终端设备的实现大多为业务和安全交叉，各厂商的终端设备在生产、运输、认证和安全机制方面均不一致，无法保证设备注册和连接的安全性，故亟需提供一种安全可靠便捷的注册和连接方法。
发明内容
本发明的目的是为了克服现有技术的不足，提供一种物联网终端设备的注册和连接实现方法及装置。
第一方面，本发明实施例提供了一种物联网终端设备的注册和连接实现方法，适用于包含SDK、SE、上层应用的终端设备，所述终端设备上电之后所述方法包括：
步骤S1：当所述SDK接收到所述上层应用的调用时，判断SDK的状态，如为空闲则给所述上层应用返回空闲状态，执行步骤S12，如为非空闲则给所述上层应用返回非空闲状态，在接收到所述上层应用发送的运行请求时判断SDK的非空闲状态的类型，如为制造前则执行步骤S2，如为载入前则执行步骤S6，如为转让前则执行步骤S8，所述SDK的状态的初始值为非空闲状态的制造前；
步骤S2：所述SDK判断是否保存有设备公钥，是则执行步骤S3，否则通知所述SE生成设备密钥对，执行步骤S3；
步骤S3：所述SDK使用所述SE中的设备私钥对设备标识进行签名得到第一签名结果，根据所述第一签名结果、所述设备标识和设备公钥生成设备初始化启动请求，根据预置的制造站地址将所述设备初始化启动请求发送给制造站；
步骤S4：所述SDK对接收到的所述制造站返回的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，通过所述SE对所述设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给所述制造站；
步骤S5：所述SDK接收到所述制造站返回的成功响应后对所述制造站公钥计算哈希得到制造站公钥哈希值，将所述制造站公钥哈希值与所述设备归属信息的头部HMAC值对应保存在所述SE中，将SDK的非空闲状态设置为载入前，执行步骤S6；
步骤S6：所述SDK根据设备标识生成载入请求并发送给认证中心，对接收到的所述认证中心返回的载入请求响应进行解析得到第一随机数，通过所述SE中的设备私钥对所述第一随机数和设备标识进行签名得到第二签名结果，根据所述第一随机数、所述设备标识和所述第二签名结果生成身份验证请求并发送给所述认证中心；
步骤S7：所述SDK接收到所述认证中心返回的重定向信息并保存，将SDK的非空闲状态设置为转让前，执行步骤S8；
步骤S8：所述SDK根据设备标识、所述SE生成的第二随机数生成设备连接请求，根据保存的重定向信息中的推送服务地址将所述设备连接请求发送给对应的推送服务；
步骤S9：所述SDK对接收到的所述推送服务返回的设备连接响应中的数据进行验证，如验证成功则通过所述SE中的设备私钥对所述设备标识和密钥交换参数进行签名得到第三签名结果，保存所述设备连接响应中的第三随机数，根据所述设备标识、密钥交换参数、第三签名结果和所述第三随机数生成设备证明请求并发送给所述推送服务；
步骤S10：当所述SDK接收到所述推送服务返回的设备归属信息重置请求时根据所述密钥交换参数生成第二密钥，使用所述第二密钥对所述设备归属信息重置请求进行解密并验证解密结果，如验证成功则判断解密结果中的第三随机数和保存的第三随机数是否一致，是则对所述设备归属信息重置请求中的设备归属信息进行HMAC计算得到第二HMAC值，对所述设备归属信息重置请求中的推送服务公钥计算哈希值，并将推送服务公钥哈希值和所述第二HMAC值缓存在所述SE中；
步骤S11：所述SDK将设备状态变化通知发送给所述推送服务，当接收到所述推送服务返回的确认响应时用所述第二HMAC值替换所述SE中保存的设备归属信息的头部HMAC值，给所述上层应用返回运行请求响应，将SDK状态设置为空闲并返回给所述上层应用，执行步骤S12；
步骤S12：当所述上层应用接收到所述SDK返回的空闲状态时，所述上层应用根据所述设备标识和所述第二密钥生成长连接请求并发送给推送服务，当接收到所述推送服务返回的连接成功响应时与所述推送服务建立长连接。
第二方面，本发明实施例又提供一种物联网终端设备的注册和连接实现装置，包括：
第一判断发送模块，用于当所述SDK接收到所述上层应用的调用时，判断SDK的状态，如为空闲则给所述上层应用返回空闲状态，触发发送接收建立模块，如为非空闲则给所述上层应用返回非空闲状态，在接收到所述上层应用发送的运行请求时判断SDK的非空闲状态的类型，如为制造前则触发判断生成模块，如为载入前则触发第二签名生成发送模块，如为转让前则触发第一生成发送模块，所述SDK的状态的初始值为非空闲状态的制造前；
所述判断生成模块，用于判断是否保存有设备公钥，是则触发第一签名生成发送模块，否则通知所述SE生成设备密钥对，触发第一签名生成发送模块；
所述第一签名生成发送模块，用于使用所述SE中的设备私钥对设备标识进行签名得到第一签名结果，根据所述第一签名结果、所述设备标识和设备公钥生成设备初始化启动请求，根据预置的制造站地址将所述设备初始化启动请求发送给制造站；
接收保存计算模块，用于对接收到的所述制造站返回的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，通过所述SE对所述设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给所述制造站；
第一接收保存设置模块，用于接收到所述制造站返回的成功响应后对所述制造站公钥计算哈希得到制造站公钥哈希值，将所述制造站公钥哈希值与所述设备归属信息的头部HMAC值对应保存在所述SE中，将SDK的非空闲状态设置为载入前，触发第二签名生成发送模块；
所述第二签名生成发送模块，用于根据设备标识生成载入请求并发送给认证中心，对接收到的所述认证中心返回的载入请求响应进行解析得到第一随机数，通过所述SE中的设备私钥对所述第一随机数和设备标识进行签名得到第二签名结果，根据所述第一随机数、所述设备标识和所述第二签名结果生成身份验证请求并发送给所述认证中心；
第二接收保存设置模块，用于接收到所述认证中心返回的重定向信息并保存，将SDK的非空闲状态设置为转让前，触发第一生成发送模块；
所述第一生成发送模块，用于根据设备标识、所述SE生成的第二随机数生成设备连接请求，根据保存的重定向信息中的推送服务地址将所述设备连接请求发送给对应的推送服务；
验证生成发送模块，用于对接收到的所述推送服务返回的设备连接响应中的数据进行验证，如验证成功则通过所述SE中的设备私钥对所述设备标识和密钥交换参数进行签名得到第三签名结果，保存所述设备连接响应中的第三随机数，根据所述设备标识、密钥交换参数、第三签名结果和和所述第三随机数生成设备证明请求并发送给所述推送服务；
生成验证保存模块，用于当接收到所述推送服务返回的设备归属信息重置请求时根据所述密钥交换参数生成第二密钥，使用所述第二密钥对所述设备归属信息重置请求进行解密并验证解密结果，如验证成功则判断解密结果中的第三随机数和保存的第三随机数是否一致，是则对所述设备归属信息重置请求中的设备归属信息进行HMAC计算得到第二HMAC值，对所述设备归属信息重置请求中的推送服务公钥计算哈希值，并将推送服务公钥哈希值和所述第二HMAC值缓存在所述SE中；
发送接收设置模块，用于将设备状态变化通知发送给所述推送服务，当接收到所述推送服务返回的确认响应时用所述第二HMAC值替换所述SE中保存的设备归属信息的头部HMAC值，给所述上层应用返回运行请求响应，将SDK状态设置为空闲并返回给所述上层应用，触发发送接收建立模块；
所述发送接收建立模块，用于当接收到所述SDK返回的空闲状态时，所述上层应用根据所述设备标识和所述第二密钥生成长连接请求并发送给推送服务，当接收到所述推送服务返回的连接成功响应时与所述推送服务建立长连接。
第三方面，本发明实施例又提供一种电子设备，所述电子设备包括至少一个处理器、存储器及存储在所述存储器上并可被所述至少一个处理器执行的指令，所述至少一个处理器执行所述指令以实现前述的物联网终端设备的注册和连接实现方法。
第四方面，本发明实施例又提供一种计算机可读存储介质，所述计算机可读存储介质包括计算机程序，当所述计算机程序在物联网设备上运行时，使得所述物联网设备执行前述的一种物联网终端设备的注册和连接实现方法。
第五方面，本发明实施例又提供一种芯片系统，包括芯片，所述芯片与存储器耦合，用于执行所述存储器中存储的计算机程序，以执行前述的一种物联网终端设备的注册和连接实现方法。
本发明与现有技术相比，具有以下优点：
本发明技术方案提供一种物联网终端设备的注册和连接实现方法，其中注册过程（即制造前状态）没有推送服务的参与，连接准备过程（载入前状态和转让前状态）和长连接过程（空闲状态）没有认证中心的参与，使得攻击者在注册过程中没有办法获取终端设备想要连接的推送服务的信息，且在连接准备过程（即认证过程）和长连接过程无法获取认证中心的信息，保证了推送服务和认证中心的安全性，可避免物联网终端设备、推送服务和认证中心遭受攻击，提高物联网终端设备注册和连接的安全性。
附图说明
图1为本发明实施例一提供的一种物联网终端设备的注册和连接实现方法的流程图；
图2至图6为本发明实施例二提供的一种物联网终端设备的注册和连接实现方法的流程图；
图7为本发明实施例三提供的一种物联网终端设备的注册和连接实现装置方框示意图。
具体实施方式
本申请提出了一种物联网终端设备的注册和连接实现方法及装置，下面结合附图，对本申请具体实施方式进行详细说明。所述实施例的示例在附图中示出。下面通过参考附图描述的实施例是示例性的，仅用于解释本申请，而不能解释为对本申请的限制。
本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语（包括技术术语和科学术语），具有与本申请所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。
为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明实施方式作进一步地详细描述。
在本实施例中，物联网终端设备包括：SE（中文全称：安全元件，英文全称：SecureElement）、SDK（中文全称：软件开发工具包，英文全称：Software Development Kit）和上层应用，三者生成的数据保存在共享存储区中。
其中，物联网终端设备的SE主要负责数据处理（包括加解密、签名验签、计算等），物联网终端设备的SDK主要负责实现安全生产、注册和认证；物联网终端设备上层应用主要负责调度SDK、完成后续业务处理；制造站主要负责在SDK状态为制造前时为物联网终端设备嵌入设备归属信息；认证中心主要负责在SDK状态为载入前时为物联网终端设备提供注册服务；推送服务主要负责在SDK状态为转让前时为物联网终端设备提供认证，在SDK状态为空闲时与物联网终端设备建立长连接并提供业务处理服务。本实施例中的物联网终端设备可以为网络打印机、加湿器、空调等设备。
实施例一
本发明实施例一提供了一种物联网终端设备的注册和连接实现方法，适用于包含SDK、SE、上层应用的终端设备，终端设备上电之后，如图1所示，本实施例的方法包括：
步骤S1：当SDK接收到上层应用的调用时，判断SDK的状态，如为空闲则给上层应用返回空闲状态，执行步骤S12，如为非空闲则给上层应用返回非空闲状态，在接收到上层应用发送的运行请求时判断SDK的非空闲状态的类型，如为制造前则执行步骤S2，如为载入前则执行步骤S6，如为转让前则执行步骤S8；
在本实施例中，SDK的状态的初始值为非空闲状态的制造前；
可选的，在本实施例中，步骤S1之前还包括：
步骤A1：上层应用组装SDK初始化指令并发送给SDK；
步骤A2：SDK接收到SDK初始化指令后进行初始化，组装SE初始化请求并发送给SE；
步骤A3：SE接收到SE初始化请求后进行初始化，给SDK返回SE初始化响应；
步骤A4：SDK接收SE初始化响应，组装获取SE状态请求并发送给SE；
步骤A5：SE接收到获取SE状态请求后组装SE状态响应并返回给SDK；
步骤A6：SDK根据接收到的SE状态响应中的状态码判断是否需要对SE执行复位操作，是则调用SE复位接口，进行SE复位操作，否则组装SDK初始化响应并返回给上层应用；
具体的，本实施例中的步骤S1包括：
步骤S1-1：上层应用组装获取SDK状态请求并发送给SDK；
步骤S1-2：SDK接收到获取SDK状态请求后，根据SDK状态组装SDK状态响应并返回给上层应用；
步骤S1-3：上层应用接收SDK状态响应并解析，判断解析得到的SDK的状态的类型，如为非空闲给SDK发送运行请求，则执行步骤S1-4，如为空闲则执行步骤S12，如为错误则报错，结束；
步骤S1-4：SDK判断SDK的非空闲状态的类型，如为制造前则执行步骤S2，如为载入前则执行步骤S6，如为转让前则执行步骤S8；
步骤S2：SDK判断是否保存有设备公钥，是则执行步骤S3，否则通知SE生成设备密钥对，执行步骤S3；
具体的，在本实施例中，步骤S2包括：
步骤S21：SDK判断是否保存有设备公钥，是则执行步骤S3，否则执行步骤S22；
步骤S22：SDK组装生成密钥请求，将生成密钥请求发送给SE；
步骤S23：SE接收到生成密钥请求后根据预设算法生成设备密钥对，将设备密钥对中的设备公钥返回给SDK；
步骤S24：SDK接收设备公钥并保存，执行步骤S3；
步骤S3：SDK使用SE中的设备私钥对设备标识进行签名得到第一签名结果，根据第一签名结果、设备标识和设备公钥生成设备初始化启动请求，根据预置的制造站地址将设备初始化启动请求发送给制造站；
具体的，在本实施例中，步骤S3包括：
步骤S31：SDK根据设备标识、公钥类型、公钥编码、证书申请信息组装设备初始化签名请求，将设备初始化签名请求发送给SE；
步骤S32：SE使用设备私钥对接收到的设备初始化签名请求进行签名得到第一签名结果，将第一签名结果返回给SDK；
步骤S33：SDK根据接收到的第一签名结果、设备初始化签名请求和保存的设备公钥组装设备初始化启动请求，根据预置的制造站地址将设备初始化启动请求发送给制造站；
对应的，步骤S3与步骤S4之间还包括：
步骤B1：制造站对接收到设备初始化启动请求进行解析得到第一签名结果、设备初始化签名请求和设备公钥，使用设备公钥和设备初始化签名请求对第一签名结果进行验签，如验签成功则对设备初始化签名请求进行解析得到设备标识、公钥类型、公钥编码、证书申请信息，根据设备标识判断是否保存有对应的设备证书，是则报错，结束，否则根据设备公钥、公钥类型、公钥编码、证书申请信息和设备标识生成设备证书并与设备标识对应保存，执行步骤B2；
步骤B2：制造站根据制造站公钥、设备证书、认证中心地址、协议版本号生成设备归属信息的头部，将设备归属信息的头部发送给SDK；
步骤S4：SDK对接收到的制造站返回的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，通过SE对设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给制造站；
在本实施例中，步骤S4中的通过SE对设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给制造站，包括：SDK根据设备归属信息的头部生成第一HMAC计算请求，将第一HMAC计算请求发送给SE；SE对接收到的第一HMAC计算请求进行解析，对解析得到的设备归属信息的头部进行HMAC计算，将计算得到的设备归属信息的头部HMAC值返回给SDK，SDK将设备归属信息的头部和接收到的设备归属信息的头部HMAC值发送给制造站；
步骤S5：SDK接收到制造站返回的成功响应后对制造站公钥计算哈希得到制造站公钥哈希值，将制造站公钥哈希值与设备归属信息的头部HMAC值对应保存在SE中，将SDK的非空闲状态设置为载入前，执行步骤S6；
在本实施例中，步骤S4与步骤S5之间还包括：制造站对保存的推送服务公钥进行哈希计算得到推送服务公钥哈希值，根据设备归属信息的头部、接收到的设备归属信息的头部HMAC值和推送服务公钥哈希值组装设备归属信息并与设备标识对应保存，组装成功响应并发送给SDK；
具体的，在本实施例中，步骤S5包括：
步骤S51：SDK接收到成功响应后对制造站公钥计算哈希得到制造站公钥哈希值，将设备归属信息的头部HMAC值和制造站公钥哈希值发送给SE；
步骤S52：SE保存接收到的设备归属信息的头部HMAC值和制造站公钥哈希值，给SDK返回存储成功响应；
步骤S53：SDK接收到存储成功响应后将SDK的非空闲状态设置为载入前，给上层应用返回运行请求响应，执行步骤S6；
步骤S6：SDK根据设备标识生成载入请求并发送给认证中心，对接收到的认证中心返回的载入请求响应进行解析得到第一随机数，通过SE中的设备私钥对第一随机数和设备标识进行签名得到第二签名结果，根据第一随机数、设备标识和第二签名结果生成身份验证请求并发送给认证中心；
具体的，在本实施例中，步骤S6包括：
步骤S61：SDK根据设备标识生成载入请求，并将载入请求发送给认证中心；
步骤S62：认证中心对接收到的载入请求进行解析，根据解析得到的设备标识判断是否保存有对应的协议数据，是则执行步骤S63，否则给SDK返回错误信息，结束；
步骤S63：认证中心生成第一随机数并与设备标识对应保存，根据第一随机数生成载入请求响应，将载入请求响应返回给SDK；
步骤S64：SDK对接收到的载入请求响应进行解析得到第一随机数，根据第一随机数和设备标识组装签名请求，将签名请求发送给SE；
步骤S65：SE对接收到的签名请求进行解析得到第一随机数和设备标识，使用设备私钥对第一随机数和设备标识进行签名得到第二签名结果，将第二签名结果发送给SDK；
步骤S66：SDK根据接收到的第二签名结果、第一随机数和设备标识生成身份验证请求，将身份验证请求发送给认证中心；
相应的，步骤S6与步骤S7之间还包括：
步骤C1：认证中心对接收到的身份验证请求进行解析得到第二签名结果、第一随机数和设备标识，根据设备标识获取本地保存的对应的第一随机数；
步骤C2：认证中心判断获取到的第一随机数与解析得到的第一随机数是否一致，是则执行步骤C3，否则给SDK返回错误信息，结束；
步骤C3：认证中心根据设备标识获取对应的协议数据，使用协议数据中的设备公钥对第二签名结果进行验证，如验证成功则执行步骤C4，如验证失败则给SDK返回错误信息，结束；
步骤C4：认证中心根据协议数据中的推送服务地址和签名数据生成重定向信息，将重定向信息返回给SDK；
步骤S7：SDK接收到认证中心返回的重定向信息并保存，将SDK的非空闲状态设置为转让前，执行步骤S8；
步骤S8：SDK根据设备标识、SE生成的第二随机数生成设备连接请求，根据保存的重定向信息中的推送服务地址将设备连接请求发送给对应的推送服务；
具体的，在本实施例中，步骤S8包括：
步骤S81：SDK生成随机数产生请求并发送给SE；
步骤S82：SE接收到随机数产生请求后生成第二随机数，将第二随机数返回给SDK；
步骤S83：SDK保存接收到的第二随机数，生成密码交换算法参数获取请求并发送给SE；
步骤S84：SE接收到密码交换算法参数获取请求后获取ECDH密码协议和密码套件，将ECDH密码协议和密码套件返回给SDK；
步骤S85：SDK根据接收到的ECDH密码协议和密码套件、保存的第二随机数、设备标识生成设备连接请求，根据保存的重定向信息中的推送服务地址将设备连接请求发送给对应的推送服务；
步骤S9：SDK对接收到的推送服务返回的设备连接响应中的数据进行验证，如验证成功则通过SE中的设备私钥对设备标识和密钥交换参数进行签名得到第三签名结果，保存设备连接响应中的第三随机数，根据设备标识、密钥交换参数、第三签名结果和第三随机数生成设备证明请求并发送给推送服务，如验证失败则报错，结束；
在本实施例中，推送服务接收到设备连接请求后执行以下操作，即步骤S8与步骤S9之间还包括：推送服务对接收到的设备连接请求进行解析得到ECDH密码协议、密码套件、第二随机数和设备标识，根据设备标识查找保存的设备归属信息，根据ECDH密码协议和密码套件生成第一参数，对设备连接请求进行哈希计算得到设备连接请求哈希值，根据设备归属信息的头部、设备归属信息中的HAMC、第二随机数、第一参数、设备连接请求哈希值生成第一待签名数据，使用推送服务私钥对第一待签名数据进行签名得到第一签名值，根据第一待签名数据、第一签名值、推送服务公钥和生成的第三随机数生成设备连接响应并返回给SDK，保存第三随机数；
具体的，在本实施例中，步骤S9包括：
步骤S9-1：SDK对接收到的设备连接响应进行解析得到第一待签名数据、第一签名值、推送服务公钥和第三随机数，保存第三随机数，对第一待签名数据进行解析得到设备归属信息的头部、设备归属信息中的HAMC、第二随机数、第一参数、设备连接请求哈希值，生成HMAC读取请求并发送给SE；
步骤S9-2：SE接收到HMAC读取请求后读取保存的设备归属信息的头部HMAC值，将设备归属信息的头部HMAC值返回给SDK；
步骤S9-3：SDK判断接收到的设备归属信息的头部HMAC值与解析得到的设备归属信息中的HMAC是否一致，是则执行步骤S9-4，否则报错，结束；
步骤S9-4：SDK根据保存的重定向信息和推送服务公钥生成载入期间的重定向信息验证请求并发送给SE；
步骤S9-5：SE对接收到的载入期间的重定向信息验证请求进行解析得到重定向信息和推送服务公钥，使用推送服务公钥对重定向信息中的签名数据进行验签，并将验签结果返回给SDK；
步骤S9-6：SDK判断接收到的验签结果是否为成功，是则执行步骤S9-7，否则报错，结束；
步骤S9-7：SDK根据第一待签名数据、第一签名值和推送服务公钥生成验签请求并发送给SE；
步骤S9-8：SE对接收到验签请求进行解析得到第一待签名数据、第一签名值和推送服务公钥，使用第一待签名数据和推送服务公钥对第一签名值进行验签，并将验签结果返回给SDK；
步骤S9-9：SDK判断接收到的验签结果是否为成功，是则执行步骤S9-10，否则报错，结束；
步骤S9-10：SDK将设备标识和第一参数发送给SE；
步骤S9-11：SE对接收到的第一参数进行计算得到密钥交换参数并缓存，使用设备私钥对设备标识和密钥交换参数进行签名得到第三签名结果，将第三签名结果和密钥交换参数返回给SDK；
步骤S9-12：SDK根据接收到的第三签名结果和密钥交换参数、设备标识、第三随机数生成设备证明请求，将设备证明请求发送给推送服务；
步骤S10：当SDK接收到推送服务返回的设备归属信息重置请求时根据密钥交换参数生成第二密钥，使用第二密钥对设备归属信息重置请求进行解密并验证解密结果，如验证成功则判断解密结果中的第三随机数和保存的第三随机数是否一致，是则对设备归属信息重置请求中的设备归属信息进行HMAC计算得到第二HMAC值，对设备归属信息重置请求中的推送服务公钥计算哈希值，并将推送服务公钥哈希值和第二HMAC值缓存在SE中，否则报错，结束，如验证失败则报错，结束；
可选的，在本实施例中，步骤S10还包括：SDK将生成的第二密钥保存在共享存储区中；
在本实施例中，推送服务接收到设备证明请求执行以下操作，即步骤S9与步骤S10之间还包括：
步骤D1：推送服务对接收到的设备证明请求进行解析得到第三签名结果、密钥交换参数、设备标识和第三随机数，根据设备标识从对应的设备归属信息中获取设备公钥，使用设备公钥对第三签名结果进行验证，如验证成功则执行步骤D2，如验证失败则给SDK返回错误信息，结束；
步骤D2：推送服务判断解析得到的第三随机数与保存的第三随机数是否一致，是则执行步骤D3，否则给SDK返回错误信息，结束；
步骤D3：推送服务根据密钥交换参数生成第一密钥，根据推送服务公钥、设备归属信息、设备标识和第三随机数生成第二待签名数据，使用推送服务私钥对第二待签名数据进行签名得到第二签名值，使用第一密钥对第二待签名数据进行加密得到第一加密结果，根据第一加密结果和第二签名值生成设备归属信息重置请求，将设备归属信息重置请求发送给SDK；
具体的，在本实施例中，步骤S10包括：
步骤S10-1：SDK对接收到的推送服务返回的设备归属信息重置请求进行解析得到第一加密结果和第二签名值，根据第一加密结果和第二签名值生成第一解密验签请求，将第一解密验签请求发送给SE；
步骤S10-2：SE对接收到的第一解密验签请求进行解析得到第一加密结果和第二签名值，根据缓存的密钥交换参数生成第二密钥，使用第二密钥对第一加密结果进行解密，解密成功得到第二待签名数据；
步骤S10-3：SE从第二待签名数据中获取推送服务公钥和第三随机数，使用推送服务公钥对第二签名值进行验证，如验证成功则将第二待签名数据返回给SDK，执行步骤S10-4，如验证失败则给SDK返回错误信息，结束；
步骤S10-4：SDK接收第二待签名数据，判断获取的第三随机数与保存的第三随机数是否一致，是则执行步骤S10-5，否则给SDK返回错误信息，结束；
步骤S10-5：SDK从第二待签名数据中获取推送服务公钥，根据保存的设备归属信息和推送服务公钥生成HMAC计算请求，将HMAC计算请求发送给SE；
步骤S10-6：SE对接收到的HMAC计算请求进行解析得到设备归属信息和推送服务公钥，使用推送服务公钥对设备归属信息进行HMAC计算得到第二HMAC值，将第二HMAC值返回给SDK；
步骤S10-7：SDK接收到第二HMAC值后，对推送服务公钥进行哈希计算得到推送服务公钥哈希值，将第二HMAC值和推送服务公钥哈希值发送给SE；
步骤S10-8：SE接收第二HMAC值和推送服务公钥哈希值并保存，给SDK返回存储成功响应；
步骤S11：SDK将设备状态变化通知发送给推送服务，当接收到推送服务返回的确认响应时用第二HMAC值替换所述SE中保存的设备归属信息的头部HMAC值，给上层应用返回运行请求响应，将SDK状态设置为空闲并返回给上层应用，执行步骤S12；
具体的，在本实施例中，步骤S11包括：SDK根据设备所能接收的最大消息字节数生成设备状态变化通知，将设备状态变化通知发送给推送服务，接收推送服务返回的服务接收数据的最大长度，给推送服务发送确认请求并当接收到推送服务返回的确认响应时将SDK状态设置为空闲，给上层应用返回运行请求响应，执行步骤S12；
更进一步地，步骤S11具体包括：
步骤S11-1：SDK接收到存储成功响应后，根据第二HMAC值和设备所能接收的最大消息字节数生成第一加密签名请求，将第一加密签名请求发送给SE；
步骤S11-2：SE对接收到的第一加密签名请求进行解析得到第二HMAC值和设备所能接收的最大消息字节数，使用设备私钥对第二HMAC值和设备所能接收的最大消息字节数进行签名得到第四签名结果，使用第二密钥对第二HMAC值和设备所能接收的最大消息字节数进行加密得到第二加密结果，将第二加密结果和第四签名结果返回给SDK；
步骤S11-3：SDK根据接收到的第二加密结果和第四签名结果生成设备状态变化通知，将设备状态变化通知发送给推送服务；
步骤S11-4：推送服务对接收到的设备状态变化通知进行解析得到第二加密结果和第四签名结果，使用第一密钥对第二加密结果进行解密，解密成功得到第二HMAC值和设备所能接收的最大消息字节数，使用保存的设备公钥对第四签名结果进行验证，如验证成功则执行步骤S11-5，如验证失败则给SDK返回错误信息，结束；
步骤S11-5：推送服务根据设备所能接收的最大消息字节数生成服务接收数据的最大长度，使用推送服务私钥对服务接收数据的最大长度进行签名得到第五签名结果，使用第一密钥对服务接收数据的最大长度进行加密得到第三密文，根据第五签名结果和第三密文生成服务接收数据上限通知，将服务接收数据上限通知发送给SDK；
步骤S11-6：SDK对接收到的服务接收数据上限通知进行解析得到第三密文和第五签名结果，根据第五签名结果和第三密文生成第二解密验签请求，将第二解密验签请求发送给SE；
步骤S11-7：SE对第二解密验签请求进行解析得到第五签名结果和第三密文，使用第二密钥对第三密文进行解密，解密成功得到服务接收数据的最大长度，使用保存的推送服务公钥和服务接收数据的最大长度对第五签名结果进行验证，如验证成功则将服务接收数据的最大长度返回给SDK，执行步骤S11-8，如验证失败则给SDK返回错误信息，结束；
步骤S11-8：SDK接收服务接收数据的最大长度并保存，根据保存的第三随机数生成第三加密签名请求，将第三加密签名请求发送给SE；
步骤S11-9：SE对接收到的第三加密签名请求进行解析得到第三随机数，使用第二密钥对第三随机数进行加密得到第四密文，使用设备私钥对第三随机数进行签名得到第六签名结果，将第四密文和第六签名结果发送给SDK；
步骤S11-10：SDK根据接收到的第四密文和第六签名结果生成确认请求，将确认请求发送给推送服务；
步骤S11-11：推送服务对接收到的确认请求进行解析得到第四密文和第六签名结果，使用第一密钥对第四密文进行解密，解密成功得到第三随机数，使用设备公钥和第三随机数对第六签名结果进行验证，如验证成功则执行步骤S11-12，如验证失败则给SDK返回错误信息，结束；
步骤S11-12：推送服务使用推送服务私钥对第三随机数进行签名得到第七签名结果，使用第一密钥对第三随机数进行加密得到第五密文，根据第五密文和第七签名结果得到确认响应，将确认响应返回给SDK；
步骤S11-13：SDK对接收到的确认响应进行解析得到第五密文和第七签名结果，根据第五密文和第七签名结果生成第四解密验签请求，将第四解密验签请求发送给SE；
步骤S11-14：SE对接收到的第四解密验签请求进行解析得到第五密文和第七签名结果，使用第二密钥对第五密文进行解密，解密成功得到第三随机数，使用第三随机数和推送服务公钥对第七签名结果进行验证，如验证成功则用第二HMAC值替换保存的设备归属信息的头部HMAC，将第三随机数返回给SDK，执行步骤S11-15，如验证失败则给SDK返回错误信息，结束；
步骤S11-15：SDK接收到第三随机数后将SDK状态设置为空闲，执行步骤S12；
步骤S12：当上层应用接收到SDK返回的空闲状态时，上层应用根据设备标识和第二密钥生成长连接请求并发送给推送服务，当接收到推送服务返回的连接成功响应时与推送服务建立长连接；
具体的，在本实施例中，步骤S12包括：
步骤S12-1：上层应用根据设备标识生成用户名，使用第二密钥加密用户名生成密码，根据用户名和密码生成长连接请求，根据SDK保存的重定向信息中的推送服务地址将长连接请求发送给对应的推送服务；
步骤S12-2：推送服务对接收到的长连接请求进行解析得到用户名和密码，根据用户名和密码验证用户身份，如验证合法则执行步骤S12-3，如不合法则给上层应用返回错误信息，结束；
更进一步地，步骤S12-2包括：
步骤Q1：推送服务解析长连接请求得到用户名和密码，根据保存的设备标识生成新的用户名，判断解析得到的用户名与新的用户名是否一致，是则执行步骤Q2，否则验证失败，给上层应用返回错误信息，结束；
步骤Q2：推送服务根据匹配的新的用户名对应的设备标识获取对应的第一密钥，使用第一密钥对解析得到的用户名进行加密，判断加密结果与解析得到的密码是否一致，是则执行步骤S12-3，如不合法则给上层应用返回错误信息，结束；
步骤S12-3：推送服务与上层应用建立长连接，给上层应用返回连接成功响应；
步骤S12-4：上层应用接收到连接成功响应后与推送服务开始进行业务通讯。
本实施例的方法将终端设备的注册、连接与业务处理进行区分，安全方便。本技术方案中的注册过程（即制造前状态）没有推送服务的参与，连接准备过程（载入前状态和转让前状态）和长连接过程（空闲状态）没有认证中心的参与，使得攻击者在注册过程中没有办法获取终端设备想要连接的推送服务的信息且在连接准备过程和长连接过程无法获取认证中心的信息，保证了推送服务和认证中心的安全性，可避免物联网终端设备、推送服务和认证中心遭受攻击，提高物联网终端设备注册和连接的安全性。
实施例二
本发明实施例二提供一种物联网终端设备的注册和连接实现方法，适用于包含SDK、SE、上层应用的终端设备，终端设备上电之后，如图2至图6所示，本实施例方法包括：
步骤201：上层应用组装SDK初始化指令，并将SDK初始化指令发送给SDK；
在本实施例中，步骤201之前，上层应用在制造站被烧录到终端设备中并验证成功；终端设备开机后启动上层应用，上层应用被启动后执行步骤201；
可选的，在本实施例中，步骤201之前还包括：
认证中心内保存有推送服务信息、推送服务所管理设备的设备信息和设备归属信息；推送服务信息包括推送服务公钥；
制造站内保存有订单信息；
推送服务内保存有其管理设备的设备信息和设备归属信息，设备归属信息包括设备公钥；
步骤202：SDK接收到SDK初始化指令后进行初始化，组装SE初始化请求，将SE初始化请求发送给SE；
步骤203：SE接收到SE初始化请求后进行初始化，给SDK返回SE初始化响应；
步骤204：SDK接收SE初始化响应，组装获取SE状态请求，将获取SE状态请求发送给SE；
步骤205：SE接收到获取SE状态请求后组装SE状态响应，给SDK返回SE状态响应；
步骤206：SDK根据接收到的SE状态响应中的状态码判断是否需要对SE执行复位操作，是则调用SE复位接口，进行SE复位操作，否则组装SDK初始化响应，并将SDK初始化响应返回给上层应用；
步骤207：上层应用接收到SDK初始化响应后，组装获取SDK状态请求，将获取SDK状态请求发送给SDK；
可选的，在本实施例中，如207中上层应用接收到的SDK初始化响应包括失败信息则判断初始化请求发送次数是否小于预设值，是则更新初始化请求发送次数，重新发送SDK初始化指令给SDK，返回202，否则报错；
步骤208：SDK接收到获取SDK状态请求后，根据SDK的状态组装SDK状态响应，给上层应用返回SDK状态响应；
可选的，本实施例中的SDK的状态包括：空闲状态或非空闲状态或错误状态；SDK的状态的初始值为非空闲状态的制造前；
步骤209：上层应用接收SDK状态响应并解析，判断解析得到的SDK的状态的类型，如为非空闲给SDK发送运行请求，执行步骤210，如为空闲则执行步骤282，如为错误则报错，结束；
可选的，在本实施例中，如209中上层应用接收到的SDK的状态为错误状态则判断获取状态请求发送次数是否小于预设值，是则更新获取状态请求发送次数，重新发送获取SDK状态请求给SDK，返回208，否则报错，结束；
步骤210：SDK接收到运行请求后判断SDK的非空闲状态的类型，如为制造前则执行步骤211，如为载入前则执行步骤226，如为转让前则执行步骤237；
步骤211：SDK判断是否保存有设备公钥，是则执行步骤214，否则组装生成密钥请求，将生成密钥请求发送给SE，执行步骤212；
步骤212：SE接收到生成密钥请求后根据预设算法生成设备密钥对，将设备密钥对中的设备公钥返回给SDK；
可选的，在步骤212中，SE根据预设算法生成设备密钥对，设备密钥对包括设备私钥和设备公钥；预设算法可以为ECC（中文：椭圆曲线加密法）算法、RSA算法等；
步骤213：SDK接收设备公钥并保存；
步骤214：SDK根据设备标识、公钥类型、公钥编码、证书申请信息组装设备初始化签名请求，将设备初始化签名请求发送给SE；
例如，该步骤中的设备初始化签名请求为：
{
"manufacturingInfo"：{
"certInfo": {
"object":""
},
"deviceInfo": "DemoDevice",
"keyEnc": "X509",
"keyType": "SECP256R1",
"guid": "102391944303101521000001"
}
}；
步骤215：SE使用设备私钥对接收到的设备初始化签名请求进行签名得到第一签名结果，将第一签名结果返回给SDK；
步骤216：SDK根据接收到的第一签名结果、设备初始化签名请求和设备公钥组装设备初始化启动请求，根据预置的制造站地址将设备初始化启动请求发送给制造站；
优选的，在本实施例中，将设备初始化启动请求发送给制造站包括：SDK对设备初始化启动请求进行cbor编码，根据预置的制造站地址将设备初始化启动请求编码结果发送给制造站；
步骤217：制造站对接收到设备初始化启动请求进行解析得到第一签名结果、设备初始化签名请求和设备公钥，使用设备公钥和设备初始化签名请求对解析得到的第一签名结果进行验签，如验证成功则对设备初始化签名请求进行解析得到设备标识、公钥类型、公钥编码、证书申请信息，根据设备标识判断是否保存有对应的设备证书，是则报错，结束，否则根据设备公钥、公钥类型、公钥编码、证书申请信息和设备标识生成设备证书并与设备标识对应保存，执行步骤218，如验证失败则报错，结束；
相应的，在步骤217之前制造站对接收到的设备初始化启动请求编码结果进行解码得到设备初始化启动请求；
具体的，使用设备公钥和设备初始化签名请求对解析得到的第一签名结果进行验签，包括：使用设备私钥对第一签名结果进行解密，对设备初始化签名请求进行哈希计算，判断解密结果和哈希计算结果是否匹配，是则验证成功，否则验证失败；
步骤218：制造站根据制造站公钥、设备证书、认证中心地址、协议版本号生成设备归属信息的头部，将设备归属信息的头部发送给SDK；
优选的，在本实施例中，将设备归属信息的头部发送给SDK包括：制造站对设备归属信息的头部进行cbor编码，将头部编码结果发送给SDK；
例如，该步骤中生成的设备归属信息的头部为：
{
"voucherHeader": {
"certHash": {
"hashType": "SHA256",
"hashValue": "/cgPU8g6VNx3SheH41HPSTSlgccuqEty/7B8cmpeO8w="
},
"deviceInfo": "DemoDevice",
"guid":"102391944303101521000001",
"publicKey": {
"body": {
"object": ""
},
"enc": "X509",
"type": "SECP256R1"
},
"rendezvousInfo": [{
"value": "aTEyNy4wLjAuMQ==",
"variable": "DNS"
}, {
"value": "80",
"variable": "DEV_PORT"
}, {
"value": "192.168.0.2",
"variable": "IP_ADDRESS"
}, {
"value": "80",
"variable": "OWNER_PORT"
} {
"value": "HTTPS",
"variable": "PROTOCOL"
}]
"version": "V101"
}
}
步骤219：SDK对接收到的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，根据设备归属信息的头部生成第一HMAC（中文全称：哈希运算消息认证码，英文全称：Hash-based Message Authentication Code）计算请求，将第一HMAC计算请求发送给SE；
相应的，在步骤219之前SDK对接收到的头部编码结果进行解码得到设备归属信息的头部；
步骤220：SE对接收到的HMAC计算请求进行解析，对解析得到的设备归属信息的头部进行HMAC计算，将计算得到的设备归属信息的头部HMAC值返回给SDK；
步骤221：SDK将设备归属信息的头部和接收到的设备归属信息的头部HMAC值发送给制造站；
优选的，在本实施例中，步骤221包括：制造站对设备归属信息的头部和设备归属信息的头部HMAC值进行cbor编码，将编码结果发送给SDK；
例如，该步骤中的设备归属信息的头部HMAC值为：
{
"hmac": {
"hashType": "HMAC_SHA256",
"hashValue": "Juczi1QtAlkrvi3JTpHFc/pqQ2V3HF+ufZdqMm/v0Vs="
}
}
步骤222：制造站对保存的推送服务公钥进行哈希计算得到推送服务公钥哈希值，根据收到的设备归属信息的头部、设备归属信息的头部HMAC值和推送服务公钥哈希值组装设备归属信息并与设备标识对应保存，组装成功响应并发送给SDK；
相应的，在步骤222之前制造站对接收到的编码结果进行解码得到设备归属信息的头部和设备归属信息的头部HMAC值；
优选的，在本实施例中，该步骤的成功响应为空，将成功响应发送给SDK包括：制造站对成功响应进行编码并将成功响应编码结果发送给SDK；
在本实施例中，设备归属信息包括：协议版本、设备归属信息的头部、设备归属信息的头部HMAC值、设备证书链以及条目信息；
例如该步骤中组装得到的设备归属信息为：
"voucher": {
"certChain": {
"chain": [{
"basicConstraints": -1,
"elements": ["x509.info", "x509.algorithm", "x509.signature", "x509.signed_cert"],
"encoded": "MIIBHTCBxKADAgECAggy/gmfiLFF0DAKBggqhkjOPQQDAjAUMRIwEAYDVQQDDAlGZG9FbnRpdHkwIBcNMjIwNzI4MDEzNDMxWhgPMjA1MjAyMjEwMTM0MzFaMBQxEjAQBgNVBAMMCUZkb0VudGl0eTBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABEa71ejdOBFuXSQMUbI0TiZ+jts9YSI5bQi87GOHx+HHUzdRYcke7yZR9BZuZcLdX2Fab7vdJaJLUnBbHUDrhIowCgYIKoZIzj0EAwIDSAAwRQIhAL4EDFUFv1JMoNZBQpz4LZs8qUktLg82dQjsTJl0lE2MAiBb+fQD7vv3QQI7VBz3ioa8Hz/m3jyUy6P3S7XKHHnktA==",
"encodedInternal": "MIIBHTCBxKADAgECAggy/gmfiLFF0DAKBggqhkjOPQQDAjAUMRIwEAYDVQQDDAlGZG9FbnRpdHkwIBcNMjIwNzI4MDEzNDMxWhgPMjA1MjAyMjEwMTM0MzFaMBQxEjAQBgNVBAMMCUZkb0VudGl0eTBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABEa71ejdOBFuXSQMUbI0TiZ+jts9YSI5bQi87GOHx+HHUzdRYcke7yZR9BZuZcLdX2Fab7vdJaJLUnBbHUDrhIowCgYIKoZIzj0EAwIDSAAwRQIhAL4EDFUFv1JMoNZBQpz4LZs8qUktLg82dQjsTJl0lE2MAiBb+fQD7vv3QQI7VBz3ioa8Hz/m3jyUy6P3S7XKHHnktA==",
"issuerDN": {
"commonName": "FdoEntity",
"empty": false,
"encoded": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"encodedInternal": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"name": "CN=FdoEntity",
"rFC1779Name": "CN=FdoEntity",
"rFC2253CanonicalName": "cn=fdoentity",
"rFC2253Name": "CN=FdoEntity",
"type": 4
},
"name": "x509",
"notAfter": 2592092071000,
"notBefore": 1658972071000,
"publicKey": {
"algorithm": "EC",
"algorithmId": {
"encodedParams": "BggqhkjOPQMBBw==",
"name": "EC",
"oID": {},
"parameters": {
"algorithm": "1.2.840.10045.2.1",
"encoded": "BggqhkjOPQMBBw==",
"provider": {
"Alg.Alias.AlgorithmParameters.EllipticCurve": "EC",
"KeyAgreement.X448": "sun.security.ec.XDHKeyAgreement.X448",
"Signature.SHA1withECDSA ImplementedIn": "Software",
"Signature.SHA512withECDSA ImplementedIn": "Software",
"Signature.SHA512withECDSA SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"KeyPairGenerator.X448 ImplementedIn": "Software",
"Alg.Alias.KeyPairGenerator.OID.1.3.101.111": "X448",
"KeyFactory.X448": "sun.security.ec.XDHKeyFactory.X448",
"Alg.Alias.KeyPairGenerator.OID.1.3.101.110": "X25519",
"KeyAgreement.ECDH KeySize": "256",
"Signature.SHA384withECDSA ImplementedIn": "Software",
"AlgorithmParameters.EC KeySize": "256",
"Alg.Alias.KeyPairGenerator.EllipticCurve": "EC",
"Signature.SHA224withECDSA KeySize": "256",
"KeyAgreement.ECDH ImplementedIn": "Software",
"KeyFactory.EC KeySize": "256",
"Alg.Alias.KeyFactory.1.3.101.111": "X448",
"Alg.Alias.KeyFactory.1.3.101.110": "X25519",
"Signature.SHA256withECDSA": "sun.security.ec.ECDSASignature$SHA256",
"KeyAgreement.ECDH SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"Alg.Alias.KeyFactory.OID.1.3.101.111": "X448",
"Alg.Alias.KeyFactory.OID.1.3.101.110": "X25519",
"KeyFactory.EC SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"KeyFactory.XDH ImplementedIn": "Software",
"Alg.Alias.Signature.1.2.840.10045.4.3.4": "SHA512withECDSA",
"Signature.SHA512withECDSAinP1363Format": "sun.security.ec.ECDSASignature$SHA512inP1363Format",
"Signature.NONEwithECDSA SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"KeyFactory.EC": "sun.security.ec.ECKeyFactory",
"Alg.Alias.Signature.1.2.840.10045.4.3.2": "SHA256withECDSA",
"Alg.Alias.Signature.1.2.840.10045.4.3.3": "SHA384withECDSA",
"KeyAgreement.X25519 ImplementedIn": "Software",
"Provider.id version": "11",
"Alg.Alias.KeyAgreement.OID.1.3.101.110": "X25519",
"KeyPairGenerator.XDH": "sun.security.ec.XDHKeyPairGenerator",
"Provider.id info": "Sun Elliptic Curve provider (EC, ECDSA, ECDH)",
"Alg.Alias.KeyAgreement.OID.1.3.101.111": "X448",
"KeyPairGenerator.XDH ImplementedIn": "Software",
"Alg.Alias.Signature.OID.1.2.840.10045.4.1": "SHA1withECDSA",
"Signature.SHA384withECDSAinP1363Format": "sun.security.ec.ECDSASignature$SHA384inP1363Format",
"Alg.Alias.Signature.1.2.840.10045.4.3.1": "SHA224withECDSA",
"Provider.id className": "sun.security.ec.SunEC",
"Signature.SHA224withECDSA SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"Alg.Alias.AlgorithmParameters.1.2.840.10045.2.1": "EC",
"KeyPairGenerator.X25519": "sun.security.ec.XDHKeyPairGenerator.X25519",
"Signature.SHA256withECDSA ImplementedIn": "Software",
"Signature.SHA1withECDSA SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"Alg.Alias.AlgorithmParameters.OID.1.2.840.10045.2.1": "EC",
"Signature.SHA384withECDSA SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"KeyAgreement.XDH": "sun.security.ec.XDHKeyAgreement",
"Provider.id name": "SunEC",
"KeyPairGenerator.EC": "sun.security.ec.ECKeyPairGenerator",
"KeyPairGenerator.EC ImplementedIn": "Software",
"Signature.SHA256withECDSA SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"Signature.SHA512withECDSA KeySize": "256",
"Alg.Alias.KeyFactory.EllipticCurve": "EC",
"Signature.SHA1withECDSA KeySize": "256",
"Signature.NONEwithECDSA KeySize": "256",
"Signature.SHA256withECDSA KeySize": "256",
"KeyPairGenerator.X448": "sun.security.ec.XDHKeyPairGenerator.X448",
"Signature.SHA256withECDSAinP1363Format": "sun.security.ec.ECDSASignature$SHA256inP1363Format",
"KeyFactory.XDH": "sun.security.ec.XDHKeyFactory",
"Signature.NONEwithECDSA ImplementedIn": "Software",
"Signature.SHA1withECDSAinP1363Format": "sun.security.ec.ECDSASignature$SHA1inP1363Format",
"KeyAgreement.X25519": "sun.security.ec.XDHKeyAgreement.X25519",
"Signature.SHA384withECDSA KeySize": "256",
"Signature.SHA512withECDSA": "sun.security.ec.ECDSASignature$SHA512",
"Signature.SHA224withECDSA ImplementedIn": "Software",
"KeyAgreement.XDH ImplementedIn": "Software",
"KeyPairGenerator.EC KeySize": "256",
"Signature.SHA384withECDSA": "sun.security.ec.ECDSASignature$SHA384",
"AlgorithmParameters.EC": "sun.security.util.ECParameters",
"KeyFactory.X25519 ImplementedIn": "Software",
"Signature.NONEwithECDSAinP1363Format": "sun.security.ec.ECDSASignature$RawinP1363Format",
"KeyPairGenerator.EC SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"KeyFactory.X448 ImplementedIn": "Software",
"Signature.SHA224withECDSAinP1363Format": "sun.security.ec.ECDSASignature$SHA224inP1363Format",
"AlgorithmParameters.EC SupportedKeyClasses": "java.security.interfaces.ECPublicKey|java.security.interfaces.ECPrivateKey",
"KeyFactory.X25519": "sun.security.ec.XDHKeyFactory.X25519",
"KeyAgreement.X448 ImplementedIn": "Software",
"Signature.NONEwithECDSA": "sun.security.ec.ECDSASignature$Raw",
"AlgorithmParameters.EC ImplementedIn": "Software",
"AlgorithmParameters.EC SupportedCurves": "[secp112r1,1.3.132.0.6]|[secp112r2,1.3.132.0.7]|[secp128r1,1.3.132.0.28]|[secp128r2,1.3.132.0.29]|[secp160k1,1.3.132.0.9]|[secp160r1,1.3.132.0.8]|[secp160r2,1.3.132.0.30]|[secp192k1,1.3.132.0.31]|[secp192r1,NIST P-192,X9.62 prime192v1,1.2.840.10045.3.1.1]|[secp224k1,1.3.132.0.32]|[secp224r1,NIST P-224,1.3.132.0.33]|[secp256k1,1.3.132.0.10]|[secp256r1,NIST P-256,X9.62prime256v1,1.2.840.10045.3.1.7]|[secp384r1,NIST P-384,1.3.132.0.34]|[secp521r1,NIST P-521,1.3.132.0.35]|[X9.62 prime192v2,1.2.840.10045.3.1.2]|[X9.62 prime192v3,1.2.840.10045.3.1.3]|[X9.62 prime239v1,1.2.840.10045.3.1.4]|[X9.62 prime239v2,1.2.840.10045.3.1.5]|[X9.62 prime239v3,1.2.840.10045.3.1.6]|[sect113r1,1.3.132.0.4]|[sect113r2,1.3.132.0.5]|[sect131r1,1.3.132.0.22]|[sect131r2,1.3.132.0.23]|[sect163k1,NIST K-163,1.3.132.0.1]|[sect163r1,1.3.132.0.2]|[sect163r2,NIST B-163,1.3.132.0.15]|[sect193r1,1.3.132.0.24]|[sect193r2,1.3.132.0.25]|[sect233k1,NIST K-233,1.3.132.0.26]|[sect233r1,NIST B-233,1.3.132.0.27]|[sect239k1,1.3.132.0.3]|[sect283k1,NIST K-283,1.3.132.0.16]|[sect283r1,NIST B-283,1.3.132.0.17]|[sect409k1,NIST K-409,1.3.132.0.36]|[sect409r1,NIST B-409,1.3.132.0.37]|[sect571k1,NIST K-571,1.3.132.0.38]|[sect571r1,NIST B-571,1.3.132.0.39]|[X9.62 c2tnb191v1,1.2.840.10045.3.0.5]|[X9.62 c2tnb191v2,1.2.840.10045.3.0.6]|[X9.62 c2tnb191v3,1.2.840.10045.3.0.7]|[X9.62 c2tnb239v1,1.2.840.10045.3.0.11]|[X9.62 c2tnb239v2,1.2.840.10045.3.0.12]|[X9.62c2tnb239v3,1.2.840.10045.3.0.13]|[X9.62 c2tnb359v1,1.2.840.10045.3.0.18]|[X9.62 c2tnb431r1,1.2.840.10045.3.0.20]|[brainpoolP160r1,1.3.36.3.3.2.8.1.1.1]|[brainpoolP192r1,1.3.36.3.3.2.8.1.1.3]|[brainpoolP224r1,1.3.36.3.3.2.8.1.1.5]|[brainpoolP256r1,1.3.36.3.3.2.8.1.1.7]|[brainpoolP320r1,1.3.36.3.3.2.8.1.1.9]|[brainpoolP384r1,1.3.36.3.3.2.8.1.1.11]|[brainpoolP512r1,1.3.36.3.3.2.8.1.1.13]",
"Alg.Alias.Signature.OID.1.2.840.10045.4.3.2": "SHA256withECDSA",
"Signature.SHA1withECDSA": "sun.security.ec.ECDSASignature$SHA1",
"Alg.Alias.Signature.OID.1.2.840.10045.4.3.3": "SHA384withECDSA",
"Alg.Alias.Signature.OID.1.2.840.10045.4.3.4": "SHA512withECDSA",
"Signature.SHA224withECDSA": "sun.security.ec.ECDSASignature$SHA224",
"Alg.Alias.KeyPairGenerator.1.3.101.110": "X25519",
"Alg.Alias.KeyPairGenerator.1.3.101.111": "X448",
"Alg.Alias.Signature.OID.1.2.840.10045.4.3.1": "SHA224withECDSA",
"KeyPairGenerator.X25519 ImplementedIn": "Software",
"Alg.Alias.Signature.1.2.840.10045.4.1": "SHA1withECDSA",
"KeyAgreement.ECDH": "sun.security.ec.ECDHKeyAgreement",
"KeyFactory.EC ImplementedIn": "Software",
"Alg.Alias.KeyAgreement.1.3.101.111": "X448",
"Alg.Alias.KeyAgreement.1.3.101.110": "X25519"
}
}
},
"encoded": "MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAERrvV6N04EW5dJAxRsjROJn6O2z1hIjltCLzsY4fH4cdTN1FhyR7vJlH0Fm5lwt1fYVpvu90loktScFsdQOuEig==",
"encodedInternal": "MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAERrvV6N04EW5dJAxRsjROJn6O2z1hIjltCLzsY4fH4cdTN1FhyR7vJlH0Fm5lwt1fYVpvu90loktScFsdQOuEig==",
"encodedPublicValue": "BEa71ejdOBFuXSQMUbI0TiZ+jts9YSI5bQi87GOHx+HHUzdRYcke7yZR9BZuZcLdX2Fab7vdJaJLUnBbHUDrhIo=",
"format": "X.509",
"params": {
"cofactor": 1,
"curve": {
"a": 1.1579208921035625e+77,
"b": 4.105836372515214e+76,
"field": {
"fieldSize": 256,
"p": 1.1579208921035625e+77
}
},
"encoded": "BggqhkjOPQMBBw==",
"generator": {
"affineX": 4.8439561293906455e+76,
"affineY": 3.6134250956749796e+76
},
"name": "secp256r1 [NIST P-256, X9.62 prime256v1]",
"objectId": "1.2.840.10045.3.1.7",
"order": 1.1579208921035625e+77
},
"w": {
"affineX": 3.199377615191878e+76,
"affineY": 3.7639704698723336e+76
}
},
"serialNumber": 3674384926778672600,
"serialNumberObject": {
"number": 3674384926778672600
},
"sigAlgName": "SHA256withECDSA",
"sigAlgOID": "1.2.840.10045.4.3.2",
"signature": "MEUCIQC+BAxVBb9STKDWQUKc+C2bPKlJLS4PNnUI7EyZdJRNjAIgW/n0A+7790ECO1Qc94qGvB8/5t48lMuj90u1yhx55LQ=",
"subjectDN": {
"commonName": "FdoEntity",
"empty": false,
"encoded": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"encodedInternal": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"name": "CN=FdoEntity",
"rFC1779Name": "CN=FdoEntity",
"rFC2253CanonicalName": "cn=fdoentity",
"rFC2253Name": "CN=FdoEntity",
"type": 4
},
"tBSCertificate": "MIHEoAMCAQICCDL+CZ+IsUXQMAoGCCqGSM49BAMCMBQxEjAQBgNVBAMMCUZkb0VudGl0eTAgFw0yMjA3MjgwMTM0MzFaGA8yMDUyMDIyMTAxMzQzMVowFDESMBAGA1UEAwwJRmRvRW50aXR5MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAERrvV6N04EW5dJAxRsjROJn6O2z1hIjltCLzsY4fH4cdTN1FhyR7vJlH0Fm5lwt1fYVpvu90loktScFsdQOuEig==",
"type": "X.509",
"version": 3
}, {
"basicConstraints": -1,
"elements": ["x509.info", "x509.algorithm", "x509.signature", "x509.signed_cert"],
"encoded": "MIIBHDCBxKADAgECAghvZ0B8AEZKVjAKBggqhkjOPQQDAjAUMRIwEAYDVQQDDAlGZG9FbnRpdHkwIBcNMjIwNzI4MDEzNDMxWhgPMjA1MjAyMjEwMTM0MzFaMBQxEjAQBgNVBAMMCUZkb0VudGl0eTBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABOxDOEIeykscEy0GMmTFT73dZMamgR26ESlbO7VCbcGhqeDMBt6JnCFxFDVcZt006dhF+cKCl+08qcNpqcz11Q8wCgYIKoZIzj0EAwIDRwAwRAIgS9bt/eyOITXwecbkEoNzXK1FmRHqFmuzOSk7pW7UngsCIDANFhTP0fJ5X5q1zYh3iSVIrFFQ9BVTW8GSuAae4otM",
"encodedInternal": "MIIBHDCBxKADAgECAghvZ0B8AEZKVjAKBggqhkjOPQQDAjAUMRIwEAYDVQQDDAlGZG9FbnRpdHkwIBcNMjIwNzI4MDEzNDMxWhgPMjA1MjAyMjEwMTM0MzFaMBQxEjAQBgNVBAMMCUZkb0VudGl0eTBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABOxDOEIeykscEy0GMmTFT73dZMamgR26ESlbO7VCbcGhqeDMBt6JnCFxFDVcZt006dhF+cKCl+08qcNpqcz11Q8wCgYIKoZIzj0EAwIDRwAwRAIgS9bt/eyOITXwecbkEoNzXK1FmRHqFmuzOSk7pW7UngsCIDANFhTP0fJ5X5q1zYh3iSVIrFFQ9BVTW8GSuAae4otM",
"issuerDN": {
"commonName": "FdoEntity",
"empty": false,
"encoded": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"encodedInternal": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"name": "CN=FdoEntity",
"rFC1779Name": "CN=FdoEntity",
"rFC2253CanonicalName": "cn=fdoentity",
"rFC2253Name": "CN=FdoEntity",
"type": 4
},
"name": "x509",
"notAfter": 2592092071000,
"notBefore": 1658972071000,
"publicKey": {
"algorithm": "EC",
"algorithmId": {
"encodedParams": "BggqhkjOPQMBBw==",
"name": "EC",
"oID": {},
"parameters": {
"algorithm": "1.2.840.10045.2.1",
"encoded": "BggqhkjOPQMBBw==",
"provider": {
"$ref": "$.to0d.voucher.certChain.chain[0].publicKey.algorithmId.parameters.provider"
}
}
},
"encoded": "MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE7EM4Qh7KSxwTLQYyZMVPvd1kxqaBHboRKVs7tUJtwaGp4MwG3omcIXEUNVxm3TTp2EX5woKX7Typw2mpzPXVDw==",
"encodedInternal": "MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE7EM4Qh7KSxwTLQYyZMVPvd1kxqaBHboRKVs7tUJtwaGp4MwG3omcIXEUNVxm3TTp2EX5woKX7Typw2mpzPXVDw==",
"encodedPublicValue": "BOxDOEIeykscEy0GMmTFT73dZMamgR26ESlbO7VCbcGhqeDMBt6JnCFxFDVcZt006dhF+cKCl+08qcNpqcz11Q8=",
"format": "X.509",
"params": {
"$ref": "$.to0d.voucher.certChain.chain[0].publicKey.params"
},
"w": {
"affineX": 1.068645992993855e+77,
"affineY": 7.683805329453275e+76
}
},
"serialNumber": 8027455762135928000,
"serialNumberObject": {
"number": 8027455762135928000
},
"sigAlgName": "SHA256withECDSA",
"sigAlgOID": "1.2.840.10045.4.3.2",
"signature": "MEQCIEvW7f3sjiE18HnG5BKDc1ytRZkR6hZrszkpO6Vu1J4LAiAwDRYUz9HyeV+atc2Id4klSKxRUPQVU1vBkrgGnuKLTA==",
"subjectDN": {
"commonName": "FdoEntity",
"empty": false,
"encoded": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"encodedInternal": "MBQxEjAQBgNVBAMMCUZkb0VudGl0eQ==",
"name": "CN=FdoEntity",
"rFC1779Name": "CN=FdoEntity",
"rFC2253CanonicalName": "cn=fdoentity",
"rFC2253Name": "CN=FdoEntity",
"type": 4
},
"tBSCertificate": "MIHEoAMCAQICCG9nQHwARkpWMAoGCCqGSM49BAMCMBQxEjAQBgNVBAMMCUZkb0VudGl0eTAgFw0yMjA3MjgwMTM0MzFaGA8yMDUyMDIyMTAxMzQzMVowFDESMBAGA1UEAwwJRmRvRW50aXR5MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE7EM4Qh7KSxwTLQYyZMVPvd1kxqaBHboRKVs7tUJtwaGp4MwG3omcIXEUNVxm3TTp2EX5woKX7Typw2mpzPXVDw==",
"type": "X.509",
"version": 3
}],
"path": {
"certificates": [{
"$ref": "$.to0d.voucher.certChain.chain[0]"
}, {
"$ref": "$.to0d.voucher.certChain.chain[1]"
}],
"encoded": "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",
"encodings": ["PkiPath", "PKCS7"],
"type": "X.509"
}
},
"entries": [{
"payload": "hIIvWCBEqXfLX292SrawWgDqbHzMS3kAa7Qj6R5oQM5s6lN+uYIvWCCpYodNV6SilmgANxHNCAjMOSj+8i1TRhw3rARsqQY0TfaDCgFYWzBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABGNDwai+L6zgRxHgQzPNqKExP7r/BX2QWrf+g5TVNhPdLXInadFx7JdSBzcZDqNpswfsCH0KYrKKPR9Sf2wyB7g=",
"protectedHeader": "oQEm",
"signature": "mhujAJoU2qzmyPiZzMAWlPy1WD2RFWhn/j2V9RbQR0QnfOqfODb0AmlESmYpsPX4taBFazTojZSn/xLYGzXz4Q==",
"tag": "COSE_SIGN_1",
"unprotectedHeader": {}
}],
"header": "hhhlUEUJzgc4L0JEsfUGWlIdry2BhYIFSmkxMjcuMC4wLjGCA0MZH5CCDEEBggJFRH8AAAGCBEMZH5BqRGVtb0RldmljZYMKAVhbMFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE7EM4Qh7KSxwTLQYyZMVPvd1kxqaBHboRKVs7tUJtwaGp4MwG3omcIXEUNVxm3TTp2EX5woKX7Typw2mpzPXVD4IvWCD9yA9TyDpU3HdKF4fjUc9JNKWBxy6oS3L/sHxyal47zA==",
"hmac": {
"hashType": "HMAC_SHA256",
"hashValue": "Juczi1QtAlkrvi3JTpHFc/pqQ2V3HF+ufZdqMm/v0Vs="
},
"version": "V101"
},
"waitSeconds": 86400
};
步骤223：SDK接收到成功响应后对制造站公钥计算哈希得到制造站公钥哈希值，将设备归属信息的头部HMAC值和制造站公钥哈希值发送给SE；
相应的，在步骤223之前还包括：SDK对接收到的成功响应编码结果进行解码得到成功响应报文；
步骤224：SE保存接收到的设备归属信息的头部HMAC值和制造站公钥哈希值，给SDK返回存储成功响应；
步骤225：SDK接收到存储成功响应后将SDK的非空闲状态设置为载入前，给上层应用返回运行请求响应，执行步骤226；
步骤226：SDK根据设备标识生成载入请求，并将载入请求发送给认证中心；
优选的，在本实施例中，将载入请求发送给认证中心包括：SDK对载入请求进行编码，并将载入请求编码结果发送给认证中心；
例如，该步骤中的载入请求为：
{
"guid": "102391944303101521000001"
}；
步骤227：认证中心对接收到的载入请求进行解析，根据解析得到的设备标识判断是否保存有对应的协议数据，是则执行步骤228，否则给SDK返回错误信息，结束；
相应的，在步骤227之前还包括：认证中心对接收到的载入请求编码结果进行解码得到载入请求；
在本实施例中，协议数据包括第一协议数据和第二协议数据，第一协议数据中包括设备公钥，第二协议数据中包括推送服务地址和签名数据；
步骤228：认证中心生成第一随机数并与设备标识对应保存，根据第一随机数生成载入请求响应，将载入请求响应返回给SDK；
优选的，在本实施例中，将载入请求响应返回给SDK包括：认证中心对载入请求响应进行编码并将载入请求响应编码结果发送给SDK；
例如，该步骤中的载入请求响应为：
{
"nonce": "VUNofYx1QBO/6LlOu0ANfQ=="
}；
步骤229：SDK对接收到的载入请求响应进行解析得到第一随机数，根据第一随机数和设备标识组装签名请求，将签名请求发送给SE；
相应的，在步骤229之前还包括：SDK对载入请求响应编码结果进行解码得到载入请求响应；
步骤230：SE对接收到的签名请求进行解析得到第一随机数和设备标识，使用设备私钥对第一随机数和设备标识进行签名得到第二签名结果，将第二签名结果发送给SDK；
步骤231：SDK根据接收到的第二签名结果、第一随机数和设备标识生成身份验证请求，将身份验证请求发送给认证中心；
优选的，在本实施例中，将身份验证请求发送给认证中心包括：SDK对身份验证请求进行编码并将身份验证请求编码结果发送给认证中心；
例如，该步骤中生成的身份验证请求为：
{
"payload": {
"nonce": "VUNofYx1QBO/6LlOu0ANfQ=="，
"guid": "102391944303101521000001"
},
"protectedHeader": "",
"signature": "hhhlUEUJzgc4L0JEsfUoKX7JNKWBxy6oS3L/sHxyal47zA==",
"tag": "COSE_SIGN_1",
"unprotectedHeader": { }
}；
步骤232：认证中心对接收到的身份验证请求进行解析得到第二签名结果、第一随机数和设备标识，根据设备标识获取本地保存的对应的第一随机数；
相应的，在步骤232之前还包括：认证中心对接收到的身份验证请求编码结果进行解码得到身份验证请求；
步骤233：认证中心判断获取到的第一随机数与解析得到的第一随机数是否一致，是则执行步骤234，否则给SDK返回错误信息，结束；
步骤234：认证中心根据设备标识获取对应的协议数据，使用协议数据中的设备公钥对第二签名结果进行验证，如验证成功则执行步骤235，如验证失败则给SDK返回错误信息，结束；
本实施例中的协议数据包括第一协议数据和第二协议数据，设备公钥包含在第一协议数据中；
具体的，在本实施例中，使用第一协议数据中的设备公钥对第二签名结果进行验证，包括：对第一随机数和设备标识计算哈希得到第一哈希值，使用第一协议数据中的设备公钥对第二签名结果进行解密得到第一解密值，判断第一哈希值与第一解密值是否匹配，是则验证成功，否则验证失败；
步骤235：认证中心根据设备标识查找对应的第二协议数据，获取第二协议数据中的推送服务地址和签名数据，根据推送服务地址和签名数据生成重定向信息，将重定向信息返回给SDK；
优选的，在本实施例中，将重定向信息返回给SDK包括：认证中心对重定向信息进行编码并将重定向信息编码结果发送给SDK；
第二协议数据中的签名数据为推送服务注册到认证中心的过程中使用推送服务私钥对第二协议数据的头部进行签名得到的；
例如，该步骤中的重定向信息为：
"payload":{
"rendezvousInfo": [{
"value": "aTEyNy4wLjAuMQ==",
"variable": "DNS"
}, {
"value": "80",
"variable": "DEV_PORT"
}, {
"value": "192.168.1.1",
"variable": "IP_ADDRESS"
}, {
"value": "80",
"variable": "OWNER_PORT"
} {
"value": "HTTPS",
"variable": "PROTOCOL"
}],
"protectedHeader": "oQEm",
"signature": "df0o5r3aFZ3OWXxVocbcUIQXQ3O0cx7oOQU7GK9vUcK0AzK90qWlx+w==",
"tag": "COSE_SIGN_1",
"unprotectedHeader": {}
步骤236：SDK接收重定向信息并保存，将SDK的非空闲状态设置为转让前，给上层应用返回运行请求响应，执行步骤237；
相应的，在步骤236之前还包括：认证中心对接收到的重定向信息编码结果进行解码得到重定向信息；
步骤237：SDK生成随机数产生请求，将随机数产生请求发送给SE；
步骤238：SE接收到随机数产生请求后生成第二随机数，将第二随机数返回给SDK；
步骤239：SDK保存接收到的第二随机数，生成密码交换算法参数获取请求，将密码交换算法参数获取请求发送给SE；
步骤240：SE接收到密码交换算法参数获取请求后获取ECDH密码协议和密码套件，将ECDH密码协议和密码套件返回给SDK；
步骤241：SDK根据接收到的ECDH密码协议和密码套件、保存的第二随机数、设备标识生成设备连接请求，根据保存的重定向信息中的推送服务地址将设备连接请求发送给对应的推送服务；
优选的，根据保存的重定向信息中的推送服务地址将设备连接请求发送给对应的推送服务包括：SDK对设备连接请求进行cbor编码，并根据保存的重定向信息中的推送服务地址将设备连接请求编码结果发送给对应的推送服务；
例如，该步骤中的设备连接请求为：{
"cipherSuiteType": "",
"guid": "102391944303101521000001",
"kexSuiteName": "ECDH256",
"maxMessageSize": 13000,
"nonce": "uwNHSFbOSf+N2IVfqAVPag=="
}；
步骤242：推送服务对接收到的设备连接请求进行解析得到ECDH密码协议、密码套件、第二随机数和设备标识，根据设备标识查找保存的设备归属信息，根据ECDH密码协议和密码套件生成第一参数，对设备连接请求进行哈希计算得到设备连接请求哈希值，根据设备归属信息的头部、设备归属信息中的HAMC、第二随机数、第一参数、设备连接请求哈希值生成第一待签名数据，使用推送服务私钥对第一待签名数据进行签名得到第一签名值，根据第一待签名数据、第一签名值、推送服务公钥和生成的第三随机数生成设备连接响应，将设备连接响应返回给SDK；
相应的，在步骤242之前还包括：推送服务对接收到的设备连接请求编码结果进行解码得到设备连接请求；
优选的，将设备连接响应返回给SDK包括：推送服务对将设备连接响应进行编码，将设备连接响应编码结果返回给SDK；
可选的，在步骤242中还包括：推送服务保存生成的第三随机数；
例如，该步骤生成的设备连接响应为：
{
"payload": {
"header": {
"certHash": {
"hashType": "SHA256",
"hashValue": "/cgPU8g6VNx3SheH41HPSTSlgccuqEty/7B8cmpeO8w="
},
"deviceInfo": "DemoDevice",
"guid": "102391944303101521000001",
"publicKey": {
"body": {
"object": ""
},
"enc": "X509",
"type": "SECP256R1"
},
"rendezvousInfo": [{
"value": "aTEyNy4wLjAuMQ==",
"variable": "DNS"
}, {
"value": "80",
"variable": "DEV_PORT"
}, {
"value": "192.168.0.2",
"variable": "IP_ADDRESS"
}, {
"value": "80",
"variable": "OWNER_PORT"
} {
"value": "HTTPS",
"variable": "PROTOCOL"
}]
"version": "V101"
}
}
"helloDeviceHash": {
"hashType": "SHA256",
"hash": "8J/Go6zRmTgU97nBvfcjHba/PGFxgbPZ9GKkNlmnrdk="
},
"hmac": {
"hashType": "HMAC_SHA256",
"hash": "HI9lE0ekjPIzpF05XWR/+HcM1M0aKezJWoRQ5RUWvRE="
},
"xAKeyExchange": "",
"maxOwnerMessageSize": 0,
"nonceTO2ProveOV": "uwNHSFbOSf+N2IVfqAVPag=="，
"numOVEntries": 1,
},
"protectedHeader": "oQEm",
"signature": "df0o5r3aFZ3OWXxVocbcUIQXQ3O0cx7oOQU7GK9vUcK0AzK90qWlx+w==",
"tag": "COSE_SIGN_1",
"unprotectedHeader": {
"cupNonce": {
"nonce": "8mhw+9TwS7OzbGVvVsqxOw=="
},
"ownerPublicKey": {
"body": {
"object": "BOxDOEIeykscEy0GMmTFT73dZMamgR26ESlbO7VCbcGhqeDMBt6JnCFxFDVcZt006dhF+cKCl+08qcNpqcz11Q8="
},
"enc": "X509",
"type": "SECP256R1"
}
}
}；
步骤243：SDK对接收到的设备连接响应进行解析得到第一待签名数据、第一签名值、推送服务公钥和第三随机数，保存第三随机数，对第一待签名数据进行解析得到设备归属信息的头部、设备归属信息中的HAMC、第二随机数、第一参数、设备连接请求哈希值，生成HMAC读取请求，将HMAC读取请求发送给SE；
相应的，在步骤243之前还包括：SDK对接收到的设备连接响应编码结果进行解码得到设备连接响应；
步骤244：SE接收到HMAC读取请求后读取保存的设备归属信息的头部HMAC值，将设备归属信息的头部HMAC值返回给SDK；
步骤245：SDK判断接收到的设备归属信息的头部HMAC值与解析得到的设备归属信息中的HMAC是否一致，是则执行步骤246，否则报错，结束；
步骤246：SDK根据保存的重定向信息和推送服务公钥生成载入期间的重定向信息验证请求，将载入期间的重定向信息验证请求发送给SE；
步骤247：SE对接收到载入期间的重定向信息验证请求进行解析得到重定向信息和推送服务公钥，使用推送服务公钥对重定向信息中的签名数据进行验签，将验签结果返回给SDK；
步骤248：SDK判断接收到的验签结果是否为成功，是则执行步骤249，否则报错，结束；
步骤249：SDK根据第一待签名数据、第一签名值和推送服务公钥生成验签请求，将验签请求发送给SE；
步骤250：SE对接收到验签请求进行解析得到第一待签名数据、第一签名值和推送服务公钥，使用第一待签名数据和推送服务公钥对第一签名值进行验签，将验签结果返回给SDK；
具体的，在本实施例中，使用第一待签名数据和推送服务公钥对第一签名值进行验签，包括：对第一待签名数据进行哈希计算，使用推送服务公钥对第一签名值进行解密，判断哈希结算结果与解密结果是否匹配，是则验签结果为成功，否则验签结果为失败；
步骤251：SDK判断接收到的验签结果是否为成功，是则执行步骤252，否则报错，结束；
步骤252：SDK将设备标识和第一参数发送给SE；
步骤253：SE对接收到的第一参数进行计算得到密钥交换参数并缓存，使用设备私钥对设备标识和密钥交换参数进行签名得到第三签名结果，将第三签名结果和密钥交换参数返回给SDK；
步骤254：SDK根据接收到的第三签名结果和密钥交换参数、设备标识、第三随机数生成设备证明请求，将设备证明请求发送给推送服务；
优选的，在本实施例中，将设备证明请求发送给推送服务包括：SDK对设备证明请求进行cbor编码，并将设备证明请求编码结果发送给推送服务；
例如，该步骤中生成的设备证明请求为：
"payload": {
"xBKeyExchange": 3081d202010030819706092a864886f70d010301308189024100fca682ce8e12caba26efccf7110e526db078b05edecbcd1eb4a208f3ae1617ae01f35b91a47e6df63413c5e12ed0899bcd132acd50d99151bdc43ee737592e170240678471b27a9cf44ee91a49c5147db1a9aaf244f05a434d6486931d2d14271b9e35030b71fd73da179069b32e2935630e1c2062354d0da20a6c416e50be794ca4020201800433023100fafa6943274c4cdc612ca383b6251dbef545023f1919e2d07dbc1466b906e7b0e58934fe57a02bbf34388df009d5ee97",
"nonceTO2ProveDv": "zAN+aqLdRJWoAn3zpGvTWg=="，
"guid": "102391944303101521000001"
},
"protectedHeader": "oQEm",
"signature": Qizt0axf5/l6lBG1xyH+Pt/oGcFaCbE1QvV+4EgMR0QVOKo8XOYdM6zOfa36/yHOv0BiCUXQPEQOUJ43j1+QMg==",
"tag": "COSE_SIGN_1"，
"unprotectedHeader": {
"euphNonce": {
"nonceTO2SetupDv": "8mhw+9TwS7OzbGVvVsqxOw=="
},
}
}；
步骤255：推送服务对接收到的设备证明请求进行解析得到第三签名结果、密钥交换参数、设备标识和第三随机数，根据设备标识从对应的设备归属信息中获取设备公钥，使用设备公钥对第三签名结果进行验证，如验证成功则执行步骤256，如验证失败则给SDK返回错误信息，结束；
相应的，步骤255之前还包括：推送服务对接收到的设备证明请求编码结果进行解码得到设备证明请求；
具体的，使用设备公钥对第一签名结果进行验证包括：使用设备公钥对第三签名结果进行解密，对设备标识和密钥交换参数进行哈希计算，判断解密结果和哈希计算结果是否匹配，是则验证成功，否则验证失败；
步骤256：推送服务判断解析得到的第三随机数与保存的第三随机数是否一致，是则执行步骤257，否则给SDK返回错误信息，结束；
步骤257：推送服务根据密钥交换参数生成第一密钥，根据推送服务公钥、设备归属信息、设备标识和第三随机数生成第二待签名数据，使用推送服务私钥对第二待签名数据进行签名得到第二签名值，使用第一密钥对第二待签名数据进行加密得到第一加密结果，根据第一加密结果和第二签名值生成设备归属信息重置请求，将设备归属信息重置请求发送给SDK；
优选的，在本实施例中，将设备归属信息重置请求发送给SDK包括：推送服务对设备归属信息重置请求进行cbor编码，并将设备归属信息重置请求编码结果发送给SDK；
例如，该步骤中生成的设备归属信息重置请求为：
{
"payload": {
"rendezvousInfo": [{
"value": "aTEyNy4wLjAuMQ==",
"variable": "DNS"
}, {
"value": "80",
"variable": "DEV_PORT"
}, {
"value": "192.168.0.2",
"variable": "IP_ADDRESS"
}, {
"value": "80",
"variable": "OWNER_PORT"
} {
"value": "HTTPS",
"variable": "PROTOCOL"
}],
"nonceTO2SetupDv": "zAN+aqLdRJWoAn3zpGvTWg=="，
"guid": {102391944303101521000001},
"owner2Key":"MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBALFdBCHzc88aTZsenekRo//Se4wyaPpP
r3F3zbVl5ebrZ6SN4/hugPJmMa4gEUGo+c0n9tO8vl7T4jBB3u0ZlEUCAwEAAQ=="
},
"protectedHeader": "oQEm",
"signature": "MIIBVQIBADANBgkqhkiG9w0BAQEFAASCAT8wggE7AgEAAkEAsV0EIfNzzxpNmx6d
6RGj/9J7jDJo+k+vcXfNtWXl5utnpI3j+G6A8mYxriARQaj5zSf207y+XtPiMEHe
7RmURQIDAQABAkADBS541Yh3Ul9X8OG",
"tag": "COSE_SIGN_1"，
"unprotectedHeader": {}
}；
步骤258：SDK对接收到的设备归属信息重置请求进行解析得到第一加密结果和第二签名值，根据第一加密结果和第二签名值生成第一解密验签请求，将第一解密验签请求发送给SE；
对应的，在步骤257之前还包括：SDK对接收到的设备归属信息重置请求编码结果进行解码得到设备归属信息重置请求；
步骤259：SE对接收到的第一解密验签请求进行解析得到第一加密结果和第二签名值，根据缓存的密钥交换参数生成第二密钥，使用第二密钥对第一加密结果进行解密，解密成功得到第二待签名数据；
可选的，在本实施例中，步骤259还包括：SE将生成的第二密钥保存在共享存储区中，SDK和上层应用可直接使用该第二密钥；
步骤260：SE从第二待签名数据中获取推送服务公钥和第三随机数，使用推送服务公钥对第二签名值进行验证，如验证成功则将第二待签名数据返回给SDK，执行步骤261，如验证失败则给SDK返回错误信息，结束；
具体的，在本实施例中，使用推送服务公钥对第二签名值进行验证，包括：使用推送服务公钥对第二签名值进行解密，对第二待签名数据进行哈希计算，判断哈希计算结果和解密结果是否匹配，是则验证成功，否则验证失败；
步骤261：SDK接收第二待签名数据，判断第二待签名数据中的第三随机数与保存的第三随机数是否一致，是则执行步骤262，否则报错，结束；
步骤262：SDK从第二待签名数据中获取推送服务公钥，根据设备归属信息和推送服务公钥生成HMAC计算请求，将HMAC计算请求发送给SE；
步骤263：SE对接收到的HMAC计算请求进行解析得到设备归属信息和推送服务公钥，使用推送服务公钥对设备归属信息进行HMAC计算得到第二HMAC值，将第二HMAC值返回给SDK；
步骤264：SDK接收到第二HMAC值后，对推送服务公钥进行哈希计算得到推送服务公钥哈希值，将第二HMAC值和推送服务公钥哈希值发送给SE；
步骤265：SE接收第二HMAC值和推送服务公钥哈希值并缓存，给SDK返回存储成功响应；
步骤266：SDK接收到存储成功响应后，根据第二HMAC值和设备所能接收的最大消息字节数生成第一加密签名请求，将第一加密签名请求发送给SE；
步骤267：SE对接收到的第一加密签名请求进行解析得到第二HMAC值和设备所能接收的最大消息字节数，使用设备私钥对第二HMAC值和设备所能接收的最大消息字节数进行签名得到第四签名结果，使用第二密钥对第二HMAC值和设备所能接收的最大消息字节数进行加密得到第二加密结果，将第二加密结果和第四签名结果返回给SDK；
步骤268：SDK根据接收到的第二加密结果和第四签名结果生成设备状态变化通知，将设备状态变化通知发送给推送服务；
优选的，在本实施例中，将设备状态变化通知发送给推送服务，包括：SDK对设备状态变化通知进行cbor编码，将设备状态变化通知编码结果发送给推送服务；
步骤269：推送服务对接收到的设备状态变化进行解析得到第二加密结果和第四签名结果，使用第一密钥对第二加密结果进行解密，解密成功得到第二HMAC值和设备所能接收的最大消息字节数，使用保存的设备公钥对第四签名结果进行验证，如验证成功则执行步骤270，如验证失败则给SDK返回错误信息，结束；
相应的，步骤269之前还包括：推送服务对接收到设备状态变化通知编码结果进行解码得到设备状态变化通知；
优选的，在本实施例中，给SDK返回错误信息包括：推送服务对错误信息进行cbor编码，给SDK返回错误信息编码结果；
具体的，使用保存的设备公钥对第四签名结果进行验证，包括：使用保存的设备公钥对第四签名结果进行解密，对第二HMAC值和设备所能接收的最大消息字节数进行哈希计算，判断解密结果与哈希计算结果是否匹配，是则验证成功，否则验证失败；
步骤270：推送服务根据设备所能接收的最大消息字节数生成服务接收数据的最大长度，使用推送服务私钥对服务接收数据的最大长度进行签名得到第五签名结果，使用第一密钥对服务接收数据的最大长度进行加密得到第三密文，根据第五签名结果和第三密文生成服务接收数据上限通知，将服务接收数据上限通知发送给SDK；
优选的，在本实施例中，将服务接收数据上限通知发送给SDK，包括：推送服务对服务接收数据上限通知进行cbor编码并将服务接收数据上限通知编码结果发送给SDK；
步骤271：SDK对接收到的服务接收数据上限通知进行解析得到第三密文和第五签名结果，根据第五签名结果和第三密文生成第二解密验签请求，将第二解密验签请求发送给SE；
相应的，步骤271之前还包括：SDK对接收到的服务接收数据上限通知编码结果进行解码得到服务接收数据上限通知；
步骤272：SE对第二解密验签请求进行解析得到第五签名结果和第三密文，使用第二密钥对第三密文进行解密，解密成功得到服务接收数据的最大长度，使用保存的推送服务公钥和服务接收数据的最大长度对第五签名结果进行验证，如验证成功则将服务接收数据的最大长度返回给SDK，执行步骤273，如验证失败则给SDK返回错误信息，结束；
具体的，在本实施例中，使用保存的推送服务公钥和服务接收数据的最大长度对第五签名结果进行验证，包括：使用保存的推送服务公钥对第五签名结果进行解密，对服务接收数据的最大长度进行哈希计算，判断解密结果与哈希计算结果是否匹配，是则验证成功，否则验证失败；
步骤273：SDK接收服务接收数据的最大长度并保存，根据保存的第三随机数生成第三加密签名请求，将第三加密签名请求发送给SE；
步骤274：SE对接收到的第三加密签名请求进行解析得到第三随机数，使用第二密钥对第三随机数进行加密得到第四密文，使用设备私钥对第三随机数进行签名得到第六签名结果，将第四密文和第六签名结果发送给SDK；
步骤275：SDK根据接收到的第四密文和第六签名结果生成确认请求，将确认请求发送给推送服务；
优选的，在本实施例中，SDK对确认请求进行cbor编码，将确认请求编码结果发送给SDK；
步骤276：推送服务对接收到的确认请求进行解析得到第四密文和第六签名结果，使用第一密钥对第四密文进行解密，解密成功得到第三随机数，使用设备公钥和第三随机数对第六签名结果进行验证，如验证成功则执行步骤277，如验证失败则给SDK返回错误信息，结束；
相应的，在步骤276之前还包括：推送服务对确认请求编码结果进行解码得到确认请求；
优选的，在本实施例中，给SDK返回错误信息包括：推送服务对错误信息进行cbor编码，给SDK返回错误信息编码结果；
具体的，使用设备公钥和第三随机数对第六签名结果进行验证，包括：使用设备公钥对第六签名结果进行解密，对第三随机数进行哈希计算，判断解密结果与哈希计算结果是否匹配，是则验证成功，否则验证失败；
步骤277：推送服务使用推送服务私钥对第三随机数进行签名得到第七签名结果，使用第一密钥对第三随机数进行加密得到第五密文，根据第五密文和第七签名结果得到确认响应，将确认响应返回给SDK；
优选的，在本实施例中，将确认响应返回给SDK包括：推送服务对确认响应进行cbor编码，将确认响应编码结果发送给SDK；
步骤278：SDK对接收到的确认响应进行解析得到第五密文和第七签名结果，根据第五密文和第七签名结果生成第四解密验签请求，将第四解密验签请求发送给SE；
相应的，在步骤278之前包括：SDK对接收到的确认响应编码结果进行解码得到确认响应；
步骤279：SE对第四解密验签请求进行解析得到第五密文和第七签名结果，使用第二密钥对第五密文进行解密，解密成功得到第三随机数，使用第三随机数和推送服务公钥对第七签名结果进行验证，如验证成功则用第二HMAC值替换保存的设备归属信息的头部HMAC值，将第三随机数返回给SDK，执行步骤280，如验证失败则给SDK返回错误信息，结束；
具体的，在本实施例中，使用第三随机数和推送服务公钥对第七签名结果进行验证，包括：对第三随机数进行哈希计算，使用推送服务对第七签名结果进行解密，判断哈希计算结果与解密结果是否匹配，是则验证成功，否则验证失败；
步骤280：SDK接收到第三随机数后，生成运行请求响应，将运行请求响应返回给上层应用，将SDK状态设置为空闲；
步骤281：上层应用接收运行请求响应，执行步骤282；
步骤282：上层应用根据设备标识生成用户名，使用SE生成的第二密钥加密用户名生成密码，根据用户名和密码生成长连接请求，根据SDK保存的重定向信息中的推送服务地址将长连接请求发送给对应的推送服务；
步骤283：推送服务对接收到的长连接请求进行解析得到用户名和密码，根据用户名和密码验证用户身份，如合法则执行步骤284，如不合法则给上层应用返回错误信息，结束；
具体的，在本实施例中，步骤283包括：
步骤283-1：推送服务解析长连接请求得到用户名和密码，根据保存的设备标识生成新的用户名，判断解析得到的用户名与新的用户名是否一致，是则执行步骤283-2，否则验证失败，给上层应用返回错误信息，结束；
步骤283-2：推送服务根据匹配的新的用户名对应的设备标识获取对应的第一密钥，使用第一密钥对解析得到的用户名进行加密，判断加密结果与解析得到的密码是否一致，是则执行步骤284，如不合法则给上层应用返回错误信息，结束；
步骤284：推送服务与上层应用建立长连接，给上层应用返回连接成功响应；
步骤285：上层应用接收到连接成功响应后与推送服务开始进行业务通讯；
在本实施例中，上层应用与推送服务成功建立长连接后，上层应用开始向推送服务发送业务请求，进行业务处理。
实施例三
本发明实施例三提供一种物联网终端设备的注册和连接实现装置，如图7所示，包括：
第一判断发送模块，用于当SDK接收到上层应用的调用时，判断自身状态，如为空闲则给上层应用返回空闲状态，触发发送接收建立模块，如为非空闲则给上层应用返回非空闲状态，在接收到上层应用发送的运行请求时判断SDK的非空闲状态的类型，如为制造前则触发判断生成模块，如为载入前则触发第二签名生成发送模块，如为转让前则触发第一生成发送模块；
在本实施例中，SDK的状态的初始值为非空闲状态的制造前；
判断生成模块，用于判断是否保存有设备公钥，是则触发第一签名生成发送模块，否则通知SE生成设备密钥对，触发第一签名生成发送模块；
第一签名生成发送模块，用于使用SE中的设备私钥对设备标识进行签名得到第一签名结果，根据第一签名结果、设备标识和设备公钥生成设备初始化启动请求，根据预置的制造站地址将设备初始化启动请求发送给制造站；
接收保存计算模块，用于对接收到的制造站返回的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，通过SE对设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给制造站；
第一接收保存设置模块，用于接收到制造站返回的成功响应后对制造站公钥计算哈希得到制造站公钥哈希值，将制造站公钥哈希值与设备归属信息的头部HMAC值对应保存在SE中，将SDK的非空闲状态设置为载入前，触发第二签名生成发送模块；
第二签名生成发送模块，用于根据设备标识生成载入请求并发送给认证中心，对接收到的认证中心返回的载入请求响应进行解析得到第一随机数，通过SE中的设备私钥对第一随机数和设备标识进行签名得到第二签名结果，根据第一随机数、设备标识和第二签名结果生成身份验证请求并发送给认证中心；
第二接收保存设置模块，用于接收到认证中心返回的重定向信息并保存，将SDK的非空闲状态设置为转让前，触发第一生成发送模块；
第一生成发送模块，用于根据设备标识、SE生成的第二随机数生成设备连接请求，根据保存的重定向信息中的推送服务地址将设备连接请求发送给对应的推送服务；
验证生成发送模块，用于对接收到的推送服务返回的设备连接响应中的数据进行验证，如验证成功则通过SE中的设备私钥对设备标识和密钥交换参数进行签名得到第三签名结果，保存设备连接响应中的第三随机数，根据设备标识、密钥交换参数、第三签名结果和和第三随机数生成设备证明请求并发送给推送服务；
生成验证保存模块，用于当接收到推送服务返回的设备归属信息重置请求时根据密钥交换参数生成第二密钥，使用第二密钥对设备归属信息重置请求进行解密并验证解密结果，如验证成功则判断解密结果中的第三随机数和保存的第三随机数是否一致，是则对设备归属信息重置请求中的设备归属信息进行HMAC计算得到第二HMAC值，对设备归属信息重置请求中的推送服务公钥计算哈希值，并将推送服务公钥哈希值和第二HMAC值缓存在SE中；
发送接收设置模块，用于将设备状态变化通知发送给推送服务，当接收到推送服务返回的确认响应时用第二HMAC值替换SE中保存的设备归属信息的头部HMAC值，给上层应用返回运行请求响应，将SDK状态设置为空闲并返回给上层应用，触发发送接收建立模块；
发送接收建立模块，用于当接收到SDK返回的空闲状态时，上层应用根据设备标识和第二密钥生成长连接请求并发送给推送服务，当接收到推送服务返回的连接成功响应时与推送服务建立长连接。
可选的，本申请的实施例还提供了一种电子设备，电子设备包括至少一个处理器、存储器及存储在该存储器上并可被至少一个处理器执行的指令，至少一个处理器执行该指令以实现上述实施例中的一种物联网终端设备的注册和连接实现方法。该物联网设备是芯片系统时，可以由芯片构成，也可以包含芯片和其他分立器件，本申请实施例对此不作具体限定；该芯片与存储器耦合，用于执行存储器中存储的计算机程序，以执行上述实施例中公开的一种物联网终端设备的注册和连接实现方法。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式来实现。该计算机程序产品包括一个或多个计算机程序。在物联网设备上加载和执行计算机程序时，全部或部分地产生按照本申请实施例所述的流程或功能。该计算机程序可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个基站、物联网设备、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个基站、物联网设备、服务器或数据中心进行传输。所述计算机可读存储介质可以是物联网设备能够存取的任何可用介质或者是包含一个或多个可以用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质(例如，DVD)、 或者半导体介质(例如固态硬盘(solid state disk，SSD))等。本申请实施例中，物联网设备可以包括前面所述的装置。
尽管在此结合各实施例对本申请进行了描述，然而，在实施所要求保护的本申请过程中，本领域技术人员通过查看所述附图、公开内容、以及所附权利要求书，可理解并实现所述公开实施例的其他变化。在权利要求中，“包括”(comprising)一词不排除其他组成部分或步骤，“一”或“一个”不排除多个的情况。单个处理器或其他单元可以实现权利要求中列举的若干项功能。相互不同的从属权利要求中记载了某些措施，但这并不表示这些措施不能组合起来产生良好的效果。
尽管结合具体特征及其实施例对本申请进行了描述，显而易见的，在不脱离本申请的精神和范围的情况下，可对其进行各种修改和组合。相应地，本说明书和附图仅仅是所附权利要求所界定的本申请的示例性说明，且视为已覆盖本申请范围内的任意和所有修改、变化、组合或等同物。显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (22)

1.一种物联网终端设备的注册和连接实现方法，其特征在于，适用于包含SDK、SE、上层应用的终端设备，所述终端设备上电之后所述方法包括：
步骤S1：当所述SDK接收到所述上层应用的调用时，判断SDK的状态，如为空闲则给所述上层应用返回空闲状态，执行步骤S12，如为非空闲则给所述上层应用返回非空闲状态，在接收到所述上层应用发送的运行请求时判断SDK的非空闲状态的类型，如为制造前则执行步骤S2，如为载入前则执行步骤S6，如为转让前则执行步骤S8，所述SDK的状态的初始值为非空闲状态的制造前；
步骤S2：所述SDK判断是否保存有设备公钥，是则执行步骤S3，否则通知所述SE生成设备密钥对，执行步骤S3；
步骤S3：所述SDK使用所述SE中的设备私钥对设备标识进行签名得到第一签名结果，根据所述第一签名结果、所述设备标识和设备公钥生成设备初始化启动请求，根据预置的制造站地址将所述设备初始化启动请求发送给制造站；
步骤S4：所述SDK对接收到的所述制造站返回的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，通过所述SE对所述设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给所述制造站；
步骤S5：所述SDK接收到所述制造站返回的成功响应后对所述制造站公钥计算哈希得到制造站公钥哈希值，将所述制造站公钥哈希值与所述设备归属信息的头部HMAC值对应保存在所述SE中，将SDK的非空闲状态设置为载入前，执行步骤S6；
步骤S6：所述SDK根据设备标识生成载入请求并发送给认证中心，对接收到的所述认证中心返回的载入请求响应进行解析得到第一随机数，通过所述SE中的设备私钥对所述第一随机数和设备标识进行签名得到第二签名结果，根据所述第一随机数、所述设备标识和所述第二签名结果生成身份验证请求并发送给所述认证中心；
步骤S7：所述SDK接收到所述认证中心返回的重定向信息并保存，将SDK的非空闲状态设置为转让前，执行步骤S8；
步骤S8：所述SDK根据设备标识、所述SE生成的第二随机数生成设备连接请求，根据保存的重定向信息中的推送服务地址将所述设备连接请求发送给对应的推送服务；
步骤S9：所述SDK对接收到的所述推送服务返回的设备连接响应中的数据进行验证，如验证成功则通过所述SE中的设备私钥对所述设备标识和生成的密钥交换参数进行签名得到第三签名结果，保存所述设备连接响应中的第三随机数，根据所述设备标识、密钥交换参数、第三签名结果和所述第三随机数生成设备证明请求并发送给所述推送服务；
步骤S10：当所述SDK接收到所述推送服务返回的设备归属信息重置请求时根据所述密钥交换参数生成第二密钥，使用所述第二密钥对所述设备归属信息重置请求进行解密并验证解密结果，如验证成功则判断解密结果中的第三随机数和保存的第三随机数是否一致，是则对所述设备归属信息重置请求中的设备归属信息进行HMAC计算得到第二HMAC值，对所述设备归属信息重置请求中的推送服务公钥计算哈希值，并将推送服务公钥哈希值和所述第二HMAC值缓存在所述SE中；
步骤S11：所述SDK将设备状态变化通知发送给所述推送服务，当接收到所述推送服务返回的确认响应时用所述第二HMAC值替换所述SE中保存的设备归属信息的头部HMAC值，给所述上层应用返回运行请求响应，将SDK状态设置为空闲并返回给所述上层应用，执行步骤S12；
步骤S12：当所述上层应用接收到所述SDK返回的空闲状态时，所述上层应用根据所述设备标识和所述第二密钥生成长连接请求并发送给推送服务，当接收到所述推送服务返回的连接成功响应时与所述推送服务建立长连接。
2.如权利要求1所述的方法，其特征在于，所述步骤S1之前还包括：
步骤A1：所述上层应用组装SDK初始化指令并发送给所述SDK；
步骤A2：所述SDK接收到所述SDK初始化指令后进行初始化，组装SE初始化请求并发送给所述SE；
步骤A3：所述SE接收到SE初始化请求后进行初始化，给所述SDK返回SE初始化响应；
步骤A4：所述SDK接收SE初始化响应，组装获取SE状态请求并发送给所述SE；
步骤A5：所述SE接收到获取所述SE状态请求后组装SE状态响应并返回给所述SDK；
步骤A6：所述SDK根据接收到的所述SE状态响应中的状态码判断是否需要对SE执行复位操作，是则调用SE复位接口，进行SE复位操作，否则组装SDK初始化响应并返回给所述上层应用。
3.如权利要求1所述的方法，其特征在于，步骤S1包括：
步骤S1-1：所述上层应用组装获取SDK状态请求并发送给所述SDK；
步骤S1-2：所述SDK接收到获取SDK状态请求后，根据SDK状态组装SDK状态响应并返回给所述上层应用；
步骤S1-3：所述上层应用接收所述SDK状态响应并解析，判断解析得到的SDK的状态的类型，如为非空闲给所述SDK发送运行请求，则执行步骤S1-4，如为空闲则执行步骤S12，如为错误则报错，结束；
步骤S1-4：所述SDK判断SDK的非空闲状态的类型，如为制造前则执行步骤S2，如为载入前则执行步骤S6，如为转让前则执行步骤S8。
4.如权利要求1所述的方法，其特征在于，所述步骤S2包括：
步骤S21：所述SDK判断是否保存有设备公钥，是则执行步骤S3，否则执行步骤S22；
步骤S22：所述SDK组装生成密钥请求，将生成密钥请求发送给所述SE；
步骤S23：所述SE接收到生成密钥请求后根据预设算法生成设备密钥对，将所述设备密钥对中的设备公钥返回给所述SDK；
步骤S24：所述SDK接收设备公钥并保存，执行步骤S3。
5.如权利要求1所述的方法，其特征在于，所述步骤S3包括：
步骤S31：所述SDK根据设备标识、公钥类型、公钥编码、证书申请信息组装设备初始化签名请求，将设备初始化签名请求发送给所述SE；
步骤S32：所述SE使用设备私钥对接收到的设备初始化签名请求进行签名得到第一签名结果，将第一签名结果返回给SDK；
步骤S33：所述SDK根据接收到的第一签名结果、所述设备初始化签名请求和保存的所述设备公钥组装设备初始化启动请求，根据预置的制造站地址将所述设备初始化启动请求发送给制造站；
所述步骤S3与所述步骤S4之间还包括：
步骤B1：所述制造站对接收到所述设备初始化启动请求进行解析得到第一签名结果、所述设备初始化签名请求和设备公钥，使用所述设备公钥和所述设备初始化签名请求对所述第一签名结果进行验签，如验签成功则对所述设备初始化签名请求进行解析得到设备标识、公钥类型、公钥编码、证书申请信息，根据所述设备标识判断是否保存有对应的设备证书，是则报错，结束，否则根据所述设备公钥、所述公钥类型、所述公钥编码、所述证书申请信息和所述设备标识生成设备证书并与所述设备标识对应保存，执行步骤B2；
步骤B2：所述制造站根据制造站公钥、所述设备证书、认证中心地址、协议版本号生成设备归属信息的头部，将所述设备归属信息的头部发送给所述SDK。
6.如权利要求1所述的方法，其特征在于，所述步骤S4中的通过所述SE对所述设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给所述制造站，包括：
所述SDK根据所述设备归属信息的头部生成第一HMAC计算请求，将所述第一HMAC计算请求发送给所述SE；所述SE对接收到的所述第一HMAC计算请求进行解析，对解析得到的设备归属信息的头部进行HMAC计算，将计算得到的设备归属信息的头部HMAC值返回给所述SDK，所述SDK将所述设备归属信息的头部和接收到的设备归属信息的头部HMAC值发送给所述制造站。
7.如权利要求1所述的方法，其特征在于，所述步骤S4与所述步骤S5之间还包括：所述制造站对保存的推送服务公钥进行哈希计算得到推送服务公钥哈希值，根据所述设备归属信息的头部、接收到的所述设备归属信息的头部HMAC值和所述推送服务公钥哈希值组装设备归属信息并与所述设备标识对应保存，组装成功响应并发送给所述SDK；
所述步骤S5包括：
步骤S51：所述SDK接收到成功响应后对制造站公钥计算哈希得到制造站公钥哈希值，将所述设备归属信息的头部HMAC值和所述制造站公钥哈希值发送给所述SE；
步骤S52：所述SE保存接收到的所述设备归属信息的头部HMAC值和所述制造站公钥哈希值，给所述SDK返回存储成功响应；
步骤S53：所述SDK接收到所述存储成功响应后将SDK的非空闲状态设置为载入前，给所述上层应用返回运行请求响应，执行步骤S6。
8.如权利要求1所述的方法，其特征在于，所述步骤S6包括：
步骤S61：所述SDK根据所述设备标识生成载入请求，并将所述载入请求发送给认证中心；
步骤S62：所述认证中心对接收到的所述载入请求进行解析，根据解析得到的设备标识判断是否保存有对应的协议数据，是则执行步骤S63，否则给所述SDK返回错误信息，结束；
步骤S63：所述认证中心生成第一随机数并与设备标识对应保存，根据第一随机数生成载入请求响应，将所述载入请求响应返回给所述SDK；
步骤S64：所述SDK对接收到的载入请求响应进行解析得到第一随机数，根据所述第一随机数和所述设备标识组装签名请求，将所述签名请求发送给所述SE；
步骤S65：所述SE对接收到的签名请求进行解析得到第一随机数和设备标识，使用设备私钥对所述第一随机数和所述设备标识进行签名得到第二签名结果，将所述第二签名结果发送给所述SDK；
步骤S66：所述SDK根据接收到的所述第二签名结果、所述第一随机数和所述设备标识生成身份验证请求，将所述身份验证请求发送给所述认证中心。
9.如权利要求8所述的方法，其特征在于，所述步骤S6与所述步骤S7之间还包括：
步骤C1：所述认证中心对接收到的身份验证请求进行解析得到第二签名结果、第一随机数和设备标识，根据所述设备标识获取本地保存的对应的第一随机数；
步骤C2：所述认证中心判断获取到的第一随机数与解析得到的第一随机数是否一致，是则执行步骤C3，否则给所述SDK返回错误信息，结束；
步骤C3：所述认证中心根据所述设备标识获取对应的协议数据，使用所述协议数据中的设备公钥对所述第二签名结果进行验证，如验证成功则执行步骤C4，如验证失败则给所述SDK返回错误信息，结束；
步骤C4：所述认证中心根据所述协议数据中的推送服务地址和签名数据生成重定向信息，将所述重定向信息返回给所述SDK。
10.如权利要求1所述的方法，其特征在于，所述步骤S8包括：
步骤S81：所述SDK生成随机数产生请求并发送给所述SE；
步骤S82：所述SE接收到所述随机数产生请求后生成第二随机数，将所述第二随机数返回给所述SDK；
步骤S83：所述SDK保存接收到的所述第二随机数，生成密码交换算法参数获取请求并发送给所述SE；
步骤S84：所述SE接收到所述密码交换算法参数获取请求后获取ECDH密码协议和密码套件，将所述ECDH密码协议和所述密码套件返回给所述SDK；
步骤S85：所述SDK根据接收到的所述ECDH密码协议和所述密码套件、保存的第二随机数、设备标识生成设备连接请求，根据保存的重定向信息中的推送服务地址将所述设备连接请求发送给对应的推送服务。
11.如权利要求1所述的方法，其特征在于，所述步骤S8与所述步骤S9之间还包括：所述推送服务对接收到的设备连接请求进行解析得到ECDH密码协议、密码套件、第二随机数和设备标识，根据所述设备标识查找保存的设备归属信息，根据ECDH密码协议和密码套件生成第一参数，对所述设备连接请求进行哈希计算得到设备连接请求哈希值，根据设备归属信息的头部、设备归属信息中的HAMC、所述第二随机数、所述第一参数、设备连接请求哈希值生成第一待签名数据，使用推送服务私钥对所述第一待签名数据进行签名得到第一签名值，根据所述第一待签名数据、所述第一签名值、推送服务公钥和生成的第三随机数生成设备连接响应并返回给所述SDK，保存所述第三随机数。
12.如权利要求11所述的方法，其特征在于，所述步骤S9包括：
步骤S9-1：所述SDK对接收到的所述设备连接响应进行解析得到第一待签名数据、第一签名值、推送服务公钥和第三随机数，保存第三随机数，对所述第一待签名数据进行解析得到设备归属信息的头部、设备归属信息中的HAMC、第二随机数、第一参数、设备连接请求哈希值，生成HMAC读取请求并发送给所述SE；
步骤S9-2：所述SE接收到所述HMAC读取请求后读取保存的设备归属信息的头部HMAC值，将所述设备归属信息的头部HMAC值返回给SDK；
步骤S9-3：所述SDK判断接收到的设备归属信息的头部HMAC值与解析得到的设备归属信息中的HMAC是否一致，是则执行步骤S9-4，否则报错，结束；
步骤S9-4：所述SDK根据保存的重定向信息和推送服务公钥生成载入期间的重定向信息验证请求并发送给所述SE；
步骤S9-5：所述SE对接收到的载入期间的重定向信息验证请求进行解析得到重定向信息和推送服务公钥，使用所述推送服务公钥对所述重定向信息中的签名数据进行验签，并将验签结果返回给所述SDK；
步骤S9-6：所述SDK判断接收到的验签结果是否为成功，是则执行步骤S9-7，否则报错，结束；
步骤S9-7：所述SDK根据所述第一待签名数据、所述第一签名值和推送服务公钥生成验签请求并发送给所述SE；
步骤S9-8：所述SE对接收到验签请求进行解析得到第一待签名数据、第一签名值和推送服务公钥，使用所述第一待签名数据和所述推送服务公钥对所述第一签名值进行验签，并将验签结果返回给所述SDK；
步骤S9-9：所述SDK判断接收到的验签结果是否为成功，是则执行步骤S9-10，否则报错，结束；
步骤S9-10：所述SDK将所述设备标识和所述第一参数发送给所述SE；
步骤S9-11：所述SE对接收到的第一参数进行计算得到密钥交换参数并缓存，使用设备私钥对所述设备标识和所述密钥交换参数进行签名得到第三签名结果，将所述第三签名结果和所述密钥交换参数返回给所述SDK；
步骤S9-12：所述SDK根据接收到的所述第三签名结果和所述密钥交换参数、所述设备标识、第三随机数生成设备证明请求，将所述设备证明请求发送给所述推送服务。
13.如权利要求1所述的方法，其特征在于，所述步骤S9与所述步骤S10之间还包括：
步骤D1：所述推送服务对接收到的所述设备证明请求进行解析得到第三签名结果、密钥交换参数、设备标识和第三随机数，根据所述设备标识从对应的设备归属信息中获取设备公钥，使用所述设备公钥对所述第三签名结果进行验证，如验证成功则执行步骤D2，如验证失败则给所述SDK返回错误信息，结束；
步骤D2：所述推送服务判断解析得到的第三随机数与保存的第三随机数是否一致，是则执行步骤D3，否则给SDK返回错误信息，结束；
步骤D3：所述推送服务根据所述密钥交换参数生成第一密钥，根据推送服务公钥、所述设备归属信息、所述设备标识和所述第三随机数生成第二待签名数据，使用推送服务私钥对所述第二待签名数据进行签名得到第二签名值，使用所述第一密钥对所述第二待签名数据进行加密得到第一加密结果，根据所述第一加密结果和所述第二签名值生成设备归属信息重置请求，将所述设备归属信息重置请求发送给所述SDK。
14.如权利要求13所述的方法，其特征在于，所述步骤S10包括：
步骤S10-1：所述SDK对接收到的所述推送服务返回的设备归属信息重置请求进行解析得到第一加密结果和第二签名值，根据所述第一加密结果和所述第二签名值生成第一解密验签请求，将所述第一解密验签请求发送给所述SE；
步骤S10-2：所述SE对接收到的第一解密验签请求进行解析得到第一加密结果和第二签名值，根据缓存的密钥交换参数生成第二密钥，使用所述第二密钥对所述第一加密结果进行解密，解密成功得到第二待签名数据；
步骤S10-3：所述SE从所述第二待签名数据中获取推送服务公钥和第三随机数，使用所述推送服务公钥对所述第二签名值进行验证，如验证成功则将所述第二待签名数据返回给所述SDK，执行步骤S10-4，如验证失败则给所述SDK返回错误信息，结束；
步骤S10-4：所述SDK接收所述第二待签名数据，判断获取的所述的第三随机数与保存的第三随机数是否一致，是则执行步骤S10-5，否则给SDK返回错误信息，结束；
步骤S10-5：所述SDK从所述第二待签名数据中获取推送服务公钥，根据保存的设备归属信息和所述推送服务公钥生成HMAC计算请求，将所述HMAC计算请求发送给所述SE；
步骤S10-6：所述SE对接收到的所述HMAC计算请求进行解析得到设备归属信息和推送服务公钥，使用所述推送服务公钥对所述设备归属信息进行HMAC计算得到第二HMAC值，将所述第二HMAC值返回给所述SDK；
步骤S10-7：所述SDK接收到所述第二HMAC值后，对所述推送服务公钥进行哈希计算得到推送服务公钥哈希值，将所述第二HMAC值和所述推送服务公钥哈希值发送给所述SE；
步骤S10-8：所述SE接收所述第二HMAC值和所述推送服务公钥哈希值并保存，给所述SDK返回存储成功响应。
15.如权利要求1所述的方法，其特征在于，所述步骤S11包括：所述SDK根据设备所能接收的最大消息字节数生成设备状态变化通知，将所述设备状态变化通知发送给所述推送服务，接收所述推送服务返回的服务接收数据的最大长度，给所述推送服务发送确认请求并当接收到所述推送服务返回的确认响应时将SDK状态设置为空闲，给所述上层应用返回运行请求响应，执行步骤S12。
16.如权利要求14所述的方法，其特征在于，所述步骤S11具体包括：
步骤S11-1：所述SDK接收到所述存储成功响应后，根据所述第二HMAC值和设备所能接收的最大消息字节数生成第一加密签名请求，将所述第一加密签名请求发送给所述SE；
步骤S11-2：所述SE对接收到的所述第一加密签名请求进行解析得到第二HMAC值和设备所能接收的最大消息字节数，使用设备私钥对所述第二HMAC值和所述设备所能接收的最大消息字节数进行签名得到第四签名结果，使用所述第二密钥对所述第二HMAC值和所述设备所能接收的最大消息字节数进行加密得到第二加密结果，将所述第二加密结果和所述第四签名结果返回给所述SDK；
步骤S11-3：所述SDK根据接收到的所述第二加密结果和所述第四签名结果生成设备状态变化通知，将所述设备状态变化通知发送给所述推送服务；
步骤S11-4：所述推送服务对接收到的所述设备状态变化通知进行解析得到第二加密结果和第四签名结果，使用所述第一密钥对所述第二加密结果进行解密，解密成功得到第二HMAC值和设备所能接收的最大消息字节数，使用保存的设备公钥对所述第四签名结果进行验证，如验证成功则执行步骤S11-5，如验证失败则给所述SDK返回错误信息，结束；
步骤S11-5：所述推送服务根据所述设备所能接收的最大消息字节数生成服务接收数据的最大长度，使用推送服务私钥对所述服务接收数据的最大长度进行签名得到第五签名结果，使用所述第一密钥对所述服务接收数据的最大长度进行加密得到第三密文，根据所述第五签名结果和所述第三密文生成服务接收数据上限通知，将所述服务接收数据上限通知发送给所述SDK；
步骤S11-6：所述SDK对接收到的所述服务接收数据上限通知进行解析得到第三密文和第五签名结果，根据所述第五签名结果和所述第三密文生成第二解密验签请求，将所述第二解密验签请求发送给所述SE；
步骤S11-7：所述SE对所述第二解密验签请求进行解析得到第五签名结果和第三密文，使用第二密钥对第三密文进行解密，解密成功得到服务接收数据的最大长度，使用保存的推送服务公钥和所述服务接收数据的最大长度对所述第五签名结果进行验证，如验证成功则将所述服务接收数据的最大长度返回给所述SDK，执行步骤S11-8，如验证失败则给所述SDK返回错误信息，结束；
步骤S11-8：所述SDK接收所述服务接收数据的最大长度并保存，根据保存的所述第三随机数生成第三加密签名请求，将所述第三加密签名请求发送给所述SE；
步骤S11-9：所述SE对接收到的所述第三加密签名请求进行解析得到第三随机数，使用所述第二密钥对所述第三随机数进行加密得到第四密文，使用设备私钥对所述第三随机数进行签名得到第六签名结果，将所述第四密文和所述第六签名结果发送给所述SDK；
步骤S11-10：SDK根据接收到的所述第四密文和所述第六签名结果生成确认请求，将所述确认请求发送给所述推送服务；
步骤S11-11：所述推送服务对接收到的所述确认请求进行解析得到第四密文和第六签名结果，使用所述第一密钥对所述第四密文进行解密，解密成功得到第三随机数，使用设备公钥和所述第三随机数对所述第六签名结果进行验证，如验证成功则执行步骤S11-12，如验证失败则给所述SDK返回错误信息，结束；
步骤S11-12：所述推送服务使用所述推送服务私钥对所述第三随机数进行签名得到第七签名结果，使用所述第一密钥对第三随机数进行加密得到第五密文，根据所述第五密文和所述第七签名结果得到确认响应，将所述确认响应返回给所述SDK；
步骤S11-13：所述SDK对接收到的所述确认响应进行解析得到第五密文和第七签名结果，根据所述第五密文和所述第七签名结果生成第四解密验签请求，将所述第四解密验签请求发送给所述SE；
步骤S11-14：所述SE对接收到的所述第四解密验签请求进行解析得到第五密文和第七签名结果，使用所述第二密钥对所述第五密文进行解密，解密成功得到第三随机数，使用所述第三随机数和所述推送服务公钥对所述第七签名结果进行验证，如验证成功则用所述第二HMAC值替换保存的设备归属信息的头部HMAC值，将所述第三随机数返回给所述SDK，执行步骤S11-15，如验证失败则给所述SDK返回错误信息，结束；
步骤S11-15：所述SDK接收到第三随机数后将SDK状态设置为空闲，执行步骤S12。
17.如权利要求1所述的方法，其特征在于，所述步骤S12包括：
步骤S12-1：所述上层应用根据设备标识生成用户名，使用所述第二密钥加密所述用户名生成密码，根据所述用户名和所述密码生成长连接请求，根据所述SDK保存的重定向信息中的推送服务地址将所述长连接请求发送给对应的推送服务；
步骤S12-2：所述推送服务对接收到的长连接请求进行解析得到用户名和密码，根据所述用户名和所述密码验证用户身份，如验证合法则执行步骤S12-3，如不合法则给所述上层应用返回错误信息，结束；
步骤S12-3：所述推送服务与所述上层应用建立长连接，给所述上层应用返回连接成功响应；
步骤S12-4：所述上层应用接收到连接成功响应后与所述推送服务开始进行业务通讯。
18.如权利要求17所述的方法，其特征在于，所述步骤S12-2包括：
步骤Q1：所述推送服务解析长连接请求得到用户名和密码，根据保存的设备标识生成新的用户名，判断解析得到的用户名与所述新的用户名是否一致，是则执行步骤Q2，否则验证失败，给所述上层应用返回错误信息，结束；
步骤Q2：所述推送服务根据匹配的新的用户名对应的设备标识获取对应的第一密钥，使用所述第一密钥对解析得到的用户名进行加密，判断加密结果与解析得到的密码是否一致，是则执行步骤S12-3，如不合法则给所述上层应用返回错误信息，结束。
19.一种物联网终端设备的注册和连接实现装置，其特征在于，包括：
第一判断发送模块，用于当SDK接收到上层应用的调用时，判断SDK的状态，如为空闲则给所述上层应用返回空闲状态，触发发送接收建立模块，如为非空闲则给所述上层应用返回非空闲状态，在接收到所述上层应用发送的运行请求时判断SDK的非空闲状态的类型，如为制造前则触发判断生成模块，如为载入前则触发第二签名生成发送模块，如为转让前则触发第一生成发送模块，所述SDK的状态的初始值为非空闲状态的制造前；
所述判断生成模块，用于判断是否保存有设备公钥，是则触发第一签名生成发送模块，否则通知SE生成设备密钥对，触发第一签名生成发送模块；
所述第一签名生成发送模块，用于使用所述SE中的设备私钥对设备标识进行签名得到第一签名结果，根据所述第一签名结果、所述设备标识和设备公钥生成设备初始化启动请求，根据预置的制造站地址将所述设备初始化启动请求发送给制造站；
接收保存计算模块，用于对接收到的所述制造站返回的设备归属信息的头部进行解析得到制造站公钥、认证中心地址和设备证书并保存，通过所述SE对所述设备归属信息的头部进行HMAC计算，将设备归属信息的头部HMAC值发送给所述制造站；
第一接收保存设置模块，用于接收到所述制造站返回的成功响应后对所述制造站公钥计算哈希得到制造站公钥哈希值，将所述制造站公钥哈希值与所述设备归属信息的头部HMAC值对应保存在所述SE中，将SDK的非空闲状态设置为载入前，触发第二签名生成发送模块；
所述第二签名生成发送模块，用于根据设备标识生成载入请求并发送给认证中心，对接收到的所述认证中心返回的载入请求响应进行解析得到第一随机数，通过所述SE中的设备私钥对所述第一随机数和设备标识进行签名得到第二签名结果，根据所述第一随机数、所述设备标识和所述第二签名结果生成身份验证请求并发送给所述认证中心；
第二接收保存设置模块，用于接收到所述认证中心返回的重定向信息并保存，将SDK的非空闲状态设置为转让前，触发第一生成发送模块；
所述第一生成发送模块，用于根据设备标识、所述SE生成的第二随机数生成设备连接请求，根据保存的重定向信息中的推送服务地址将所述设备连接请求发送给对应的推送服务；
验证生成发送模块，用于对接收到的所述推送服务返回的设备连接响应中的数据进行验证，如验证成功则通过所述SE中的设备私钥对所述设备标识和密钥交换参数进行签名得到第三签名结果，保存所述设备连接响应中的第三随机数，根据所述设备标识、密钥交换参数、第三签名结果和和所述第三随机数生成设备证明请求并发送给所述推送服务；
生成验证保存模块，用于当接收到所述推送服务返回的设备归属信息重置请求时根据所述密钥交换参数生成第二密钥，使用所述第二密钥对所述设备归属信息重置请求进行解密并验证解密结果，如验证成功则判断解密结果中的第三随机数和保存的第三随机数是否一致，是则对所述设备归属信息重置请求中的设备归属信息进行HMAC计算得到第二HMAC值，对所述设备归属信息重置请求中的推送服务公钥计算哈希值，并将推送服务公钥哈希值和所述第二HMAC值缓存在所述SE中；
发送接收设置模块，用于将设备状态变化通知发送给所述推送服务，当接收到所述推送服务返回的确认响应时用所述第二HMAC值替换所述SE中保存的设备归属信息的头部HMAC值，给所述上层应用返回运行请求响应，将SDK状态设置为空闲并返回给所述上层应用，触发发送接收建立模块；
所述发送接收建立模块，用于当接收到所述SDK返回的空闲状态时，所述上层应用根据所述设备标识和所述第二密钥生成长连接请求并发送给推送服务，当接收到所述推送服务返回的连接成功响应时与所述推送服务建立长连接。
20.一种电子设备，其特征在于，所述电子设备包括至少一个处理器、存储器及存储在所述存储器上并可被所述至少一个处理器执行的指令，所述至少一个处理器执行所述指令以实现权利要求1至18任一项所述的物联网终端设备的注册和连接实现方法。
21.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括计算机程序，当所述计算机程序被执行时实现如权利要求1至18任一项所述的物联网终端设备的注册和连接实现方法。
22.一种芯片系统，其特征在于，包括芯片，所述芯片与存储器耦合，用于执行所述存储器中存储的计算机程序，以执行权利要求1-18任一项所述的物联网终端设备的注册和连接实现方法。
CN202310842464.6A 2023-07-11 2023-07-11 一种物联网终端设备的注册和连接实现方法及装置 Active CN116566751B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310842464.6A CN116566751B (zh) 2023-07-11 2023-07-11 一种物联网终端设备的注册和连接实现方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310842464.6A CN116566751B (zh) 2023-07-11 2023-07-11 一种物联网终端设备的注册和连接实现方法及装置

Publications (2)

Publication Number Publication Date
CN116566751A CN116566751A (zh) 2023-08-08
CN116566751B true CN116566751B (zh) 2023-09-19

Family

ID=87496937

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310842464.6A Active CN116566751B (zh) 2023-07-11 2023-07-11 一种物联网终端设备的注册和连接实现方法及装置

Country Status (1)

Country Link
CN (1) CN116566751B (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109274684A (zh) * 2018-10-31 2019-01-25 中国—东盟信息港股份有限公司 基于eSIM通讯与导航服务为一体的物联网终端系统及其实现方法
CN111786799A (zh) * 2020-07-24 2020-10-16 郑州信大捷安信息技术股份有限公司 基于物联网通信模组的数字证书签发方法及系统
CN115968473A (zh) * 2020-08-28 2023-04-14 高通股份有限公司 物联网网络中的自管理信任

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10856122B2 (en) * 2016-05-31 2020-12-01 Intel Corporation System, apparatus and method for scalable internet of things (IoT) device on-boarding with quarantine capabilities
US11042609B2 (en) * 2017-08-03 2021-06-22 Cable Television Laboratories, Inc. Systems and methods for secure element registration and provisioning

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109274684A (zh) * 2018-10-31 2019-01-25 中国—东盟信息港股份有限公司 基于eSIM通讯与导航服务为一体的物联网终端系统及其实现方法
CN111786799A (zh) * 2020-07-24 2020-10-16 郑州信大捷安信息技术股份有限公司 基于物联网通信模组的数字证书签发方法及系统
CN115968473A (zh) * 2020-08-28 2023-04-14 高通股份有限公司 物联网网络中的自管理信任

Also Published As

Publication number Publication date
CN116566751A (zh) 2023-08-08

Similar Documents

Publication Publication Date Title
US11159658B2 (en) Homogenization of telematics data through unified messaging protocol
AU2012283124B2 (en) Communication protocols
US20190245704A1 (en) Template based credential provisioning
AU2003284144B2 (en) Lightweight extensible authentication protocol password preprocessing
TWI531254B (zh) H(e)NB完整性驗證及認證方法及裝置
US8724515B2 (en) Configuring a secure network
US7188253B2 (en) Wireless authentication protocol
US7533257B2 (en) Server authentication verification method on user terminal at the time of extensible authentication protocol authentication for internet access
US8549198B2 (en) Communication protocol
US20140298037A1 (en) Method, apparatus, and system for securely transmitting data
US9705878B2 (en) Handling expired passwords
US11218873B2 (en) Communication system and method
US9648650B2 (en) Pairing of devices through separate networks
EP4231680A1 (en) Identity authentication system, method and apparatus, device, and computer readable storage medium
CN105407102A (zh) http请求数据可靠性验证方法
CN116566751B (zh) 一种物联网终端设备的注册和连接实现方法及装置
CN108932425B (zh) 一种离线身份认证方法、认证系统及认证设备
CN111541650A (zh) 一种多站点单点登录实现方法
CN109067742A (zh) 外围设备认证方法、电梯控制设备及电梯外围设备
WO2018172776A1 (en) Secure transfer of data between internet of things devices
WO2008014666A1 (fr) Appareil et procédé de communication de l'erreur de chaque niveau du paquet de données tunnel dans un réseau de communication
EP3994840A1 (en) Certificate revocation check
CN116566746B (zh) 一种基于物联网的认证实现方法及系统
CN113839927B (zh) 一种基于第三方进行双向认证的方法及系统
GB2560895A (en) Secure transfer of data between internet of things devices

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant