CN117596068A - 一种低开销物联网终端与网关协同认证方法及系统 - Google Patents

一种低开销物联网终端与网关协同认证方法及系统 Download PDF

Info

Publication number
CN117596068A
CN117596068A CN202311682375.6A CN202311682375A CN117596068A CN 117596068 A CN117596068 A CN 117596068A CN 202311682375 A CN202311682375 A CN 202311682375A CN 117596068 A CN117596068 A CN 117596068A
Authority
CN
China
Prior art keywords
terminal
gateway
network access
random number
internet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311682375.6A
Other languages
English (en)
Inventor
孙翔
蔡博文
李朗
肖黄鑫
易沛恒
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Chengdu University of Information Technology
Original Assignee
Chengdu University of Information Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Chengdu University of Information Technology filed Critical Chengdu University of Information Technology
Priority to CN202311682375.6A priority Critical patent/CN117596068A/zh
Publication of CN117596068A publication Critical patent/CN117596068A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于物联网安全技术领域，公开了一种低开销物联网终端与网关协同认证方法及身份验证信息存储方法。物联网终端首先在网络安全服务器上注册设备信息，包括但不限于设备型号、序列号以及设备参数等；网络安全服务器在接收到设备信息后，根据该设备信息生成终端的私钥和公钥，这两个密钥均采用非对称密钥的方式生成，以确保安全性；之后，通过一个可信的手持设备配置的方式为物联网终端分配私钥和网关的公钥，这两个密钥将用于终端首次入网认证。本发明保证通信双方的真实可信，为安全通信建立互信基础；满足安全性的同时，减少了加密和复杂算法消耗的系统资源开销，可有效加快验证速率，降低设备功耗。

Description

一种低开销物联网终端与网关协同认证方法及系统
技术领域
本发明属于物联网安全技术领域，尤其涉及一种低开销物联网终端与网关协同认证方法及身份验证信息存储方法。
背景技术
目前，物联网终端安全加入网关的过程涉及到身份认证，通常采用的方法有：单向认证和双向认证。
其中单向认证是建立在对方身份可信的基础上，但是这种前提是很难保证的，因此为保证通信双方身份真实可信，采用双向认证的方法。
双向认证方法包括基于数字证书与身份凭据的验证方法、基于非对称密钥验证的方法、基于对称密钥验证的方法，基于白名单与动态口令的验证方法等。但是，这些双向认证方法在物联网场景中存在缺陷：
基于数字证书与身份凭据的验证方法和基于非对称密钥验证的方法将产生较大的系统开销，对于资源受限的低功耗物联网终端，由于其需要频繁休眠唤醒，每次唤醒都将重新入网认证，那么如此频繁的入网认证计算将为系统带来巨大的能量消耗，因此该类方法不适用于低功耗物联网频繁入网身份验证过程。
基于对称密钥的验证方法，相对于上述两种方法产生的系统开销较低，但是其存在密钥容易被暴力破解的问题。而且，由于该方法也需要进行加解密运算，对于频繁入网的设备来说，其产生的能耗也不容忽视。
而基于白名单与动态口令的验证方法，尽管其产生的功耗较低，但是其身份验证信息容易被欺骗攻击获取，攻击者获取到该信息后可对网络进行进一步渗透，存在巨大安全风险。
上述的身份验证方法在提高物联网安全性方面具有一定的作用，但仍然存在一些缺陷需要解决。在实际应用中，需要综合考虑各种安全威胁和开销，并采取相应的措施来提高物联网的整体安全性。
与本发明物联网终端与网关协同认证系统相近的现有技术是传统的物联网设备认证方法，通常基于简单的密码认证或静态密钥认证方案。以下是对这种现有技术的分析，包括它存在的技术问题：
现有技术：传统物联网设备密码或静态密钥认证
在这种方法中，物联网设备通过预先配置的密码或静态密钥与网关进行认证。
通常，设备在出厂时就被分配了密钥或密码，并在其生命周期内使用相同的认证信息。
认证过程简单，设备在尝试连接到网络时提供其认证信息，网关验证这些信息后决定是否允许设备接入。
#存在的技术问题
1)安全性问题:
静态密钥或密码在长时间使用后容易受到破解。一旦密钥被破解，所有使用相同认证信息的设备都会面临安全风险。
缺乏密钥管理机制，使得一旦密钥泄露，需要手动更换设备上的密钥，这在大规模部署的物联网环境中是不现实的。
2)可扩展性和管理问题:
随着设备数量的增加，管理静态密钥变得越来越复杂。对于大型物联网系统，密钥的分发和管理是一个巨大的挑战。
在设备需要更换或更新时，静态密钥系统无法灵活应对，导致维护成本增加。
3)缺乏灵活性和适应性:
传统方法缺乏应对不断变化的网络威胁的能力。一旦密钥生成和分发机制确定，便难以适应新的安全需求。
对于不同类型的设备和不同的网络环境，静态密钥方案缺乏必要的灵活性，不能提供针对性的安全保护。
4)缺少动态认证和持续验证机制:
一旦设备被认证并接入网络，传统方案通常不再进行进一步的安全验证，这导致已经受到攻击或被控制的设备继续留在网络中。
发明内容
针对低功耗物联网终端多次入网的场景以及现有技术存在的问题，本发明提供了一种低开销物联网终端与网关协同认证方法及身份验证信息存储方法。
本发明是这样实现的，考虑物联网终端首次入网与再次入网面临的安全威胁不同，针对首次入网认证过程采用非对称密钥双向认证的方式，针对再次入网认证过程采用低开销的多方协同认证方式，以防止入网过程中的欺骗攻击、劫持攻击、DOS攻击等。为完整展现本发明方案实现全流程，所述低开销物联网终端与网关协同认证方法，包括以下步骤：
第一步，首次入网密钥分发过程：首先，物联网终端在网络安全服务器注册设备信息，网络安全服务器根据设备信息，采用非对称密钥的方式生成终端的私钥和公钥；然后通过可信的手持设备配置的方式为物联网终端分配私钥和网关的公钥，用于终端首次入网认证。同时网络安全服务器与物联网网关同步物联网终端的注册信息和公钥。
第二步，物联网终端入网认证方式判定过程：首先，终端向网关发出入网请求，网关验证终端的设备信息及MAC地址，然后查询该终端入网次数，若为首次入网则进入首次入网认证过程，否则进入再次入网认证过程。
第三步，首次入网身份认证过程：首先终端生成一个随机数r1使用网关的公钥加密并发送给网关；网关使用自己私钥解密得到随机数r1，同时另外生成一个随机数r2用终端的公钥加密，网关将解密的随机数r1和加密的密文返回给终端；终端验证随机数r1并解密密文得到网关生成的随机数r2，然后返回给网关验证；终端与网关通过这种方式进行双向认证。
在完成首次入网认证后，需要协商下次入网身份验证信息。再次入网的身份验证信息包括终端本次入网时间戳ti(i＝1,2,3,···)、网关生成的随机数Grj(j＝2,3,···)和终端生成的随机数Erj(j＝2,3,···)。其中ti同步保存在网关中，表示终端第i次入网时间戳，用于下次入网认证过程中，终端预先验证网关的身份。随机数Drj同步保存在终端中，用于终端第j次入网认证过程中，网关验证终端的身份。随机数Erj通过网关传输至随机选择的其他3个在线终端保存，而网关不保存Erj，用于终端第j次入网认证过程中，终端最终验证网关的身份，随机数Erj能辅助证明网关身份的真实可信。
第四步，再次入网身份认证过程：首先网关向终端发送终端上次入网时间戳ti，终端验证ti，验证通过后，终端向网关发送Drj，网关验证Drj，验证通过后，网关从保存Erj的终端中随机选择一个，获取Erj，然后发送给终端验证，验证通过后，双方才建立安全通信通道，并按照第二步的方法协商下次入网身份验证信息。以此实现协同认证。
进一步，所述低开销物联网终端与网关协同认证方法的物联网终端首次接入网关密钥分发过程，包括：
(1)密钥分发过程涉及到4种角色：网络安全服务器、手持终端、物联网网关、物联网终端；
(2)密钥分发过程采用非对称密钥生成方法，由网络安全服务器分别生成网关的公钥和私钥，终端的公钥和私钥；采用公钥加密、私钥解密的方式；其中，网关的公钥和私钥采取周期性更新的方式，物联网终端的公钥和私钥只用于首次入网认证过程；
(3)网关的密钥通过网络安全服务器与物联网网关已有连接中的安全通道分发；
(4)终端的密钥通过可信的手持设备从网络安全服务器获取，然后由手持设备写入终端；
物联网终端首次入网密钥分发流程如下：
(1)网络安全服务器注册物联网终端的设备ID与MAC地址；
(2)网络安全服务器生成对应终端的公钥和私钥，并形成设备ID、MAC地址、公钥、私钥、网关网络地址、网关公钥映射表；
(3)网络安全服务器通过安全通道将终端的设备ID、MAC地址、公钥同步至对应网关；
(4)网关存储终端的设备ID、MAC地址、公钥信息；
(5)可信手持设备通过安全通道从网络安全服务器获取设备ID、MAC地址、公钥、私钥、网关网络地址、网关公钥映射表；网络与安全服务器不保存终端公钥和私钥；
(6)手持设备根据设备ID，将映射表中的安全参数通过安全通道写入物联网终端；手持设备不保存已写入终端的安全信息；
(7)终端保存安全配置信息。
进一步，所述低开销物联网终端与网关协同认证方法的物联网终端入网认证方式判断流程，包括以下步骤：
(1)终端向网关发出入网请求，并附带设备ID与MAC地址信息；
(2)网关采用查询MAC地址白名单的方式验证设备ID与MAC地址；若验证通过则查询其入网次数，若入网次数为0，则进入首次入网身份认证过程；若入网次数不为0，则进入再次入网身份认证过程；若终端的MAC地址验证未通过拒绝该终端加入。
进一步，所述低开销物联网终端与网关协同认证方法的物联网终端首次入网身份认证过程，涉及到两个阶段，分别为双向认证阶段和下次入网身份验证信息分发阶段，包括：
(1)双向认证阶段涉及到角色有终端、网关；下次入网身份验证信息分发阶段有终端、网关和网关随机选择的3个在线终端；
(2)终端首次入网采用非对称密钥验证对方身份，互相验证通过后，由网关生成分发用于双方安全通信公共密钥，后续通信传输采用对称加密的方式；不同终端采用不同的公共密钥；
(3)终端首次入网成功后，将与网关协商下次入网身份验证信息，针对终端的身份采用网关分发的随机数进行认证，针对网关的身份采用终端的入网时间戳与生成的随机数认证；
(4)网关生成的随机数通过公共密钥加密传输，终端的入网时间戳和随机数由终端生成，通过公共密钥加密传输，终端每次入网完成后，双方下次的认证信息均需更新；
进一步，首次入网流程如下：
(1)终端生成一个随机数r1，用网关的公钥加密随机数r1得到密文m1；
(2)终端向网关发送密文m1；
(3)网关使用私钥解密密文m1，得到明文d1；
(4)网关生成随机数r2，使用对应终端的私钥加密，得到密文m2；
(5)网关将明文d1，密文m2发送至对应终端；
(6)终端验证明文d1和随机数r1是否相等，若验证通过则进入下一步，若验证未通过，则中断入网过程。
(7)终端使用私钥解密密文m2，得到明文m2；
(8)终端将验证响应与明文d2发送给网关；
(9)网关验证明文d2与随机数r2是否相等，若验证通过则进入下一步，若验证未通过或终端无响应，则拒绝该终端加入并拉入黑名单。
(10)网关生成公共密钥和随机数Grj(j＝2,3,····)；
(11)网关使用终端的公钥加密公共密钥和随机数Grj，得到密文m3，并保存随机数Grj；
(12)网关将入网响应和密文m3发送给终端；
(13)终端用私钥解密密文m3，得到公共密钥和随机数Grj，并保存；
(14)终端获取此时时间戳作为本次入网时间戳ti(i＝1,2,3,·····)，并生成一个随机数Erj(j＝2,3,····)，采用公共密钥加密入网时间戳ti和随机数Erj，得到密文m4。
(15)终端将密文m4发送给网关，并保存入网时间戳ti和随机数Erj；
(16)网关用公共密钥解密密文m4，得到该终端入网时间戳ti和随机数Erj；保存入网时间戳ti；
(17)网关将随机数Erj随机分发至3个其他在线终端进行存储，传输过程采用各自相应的公共密钥加密；网关记录随机数Erj分发的地址映射；
(18)网关不保存随机数Erj，销毁该终端的的公钥；
(19)该终端入网次数加1；
进一步，针对下次身份验证信息分发阶段的以下特殊情况进行说明
当网关在随机选择3个在线终端时，若在线终端未达到3个，则随机数Erj将暂存在网关，当在线终端达到3个时，则将暂存的随机数Erj以此分发出去；分发出去的随机数Erj，网关需要销毁。
进一步，物联网终端再次入网身份认证过程，涉及到两个阶段，分别为协同认证阶段和下次入网身份验证信息分发阶段，相关说明如下：
(1)双向认证阶段双方身份验证信息基于上次入网认证完成后，网关产生的随机数Grj、终端记录的上次入网时间戳ti和产生的随机数Erj；
(2)网关通过对随机数Grj的比对实现对终端的身份验证；
(3)为防止伪冒网关欺骗终端窃取随机数Grj，采用终端对网关进行两次认证的方式保证网关身份的真实性；终端对网关身份的第一次验证使用终端的入网时间戳ti，第二次验证采用随机数Erj，网关若能正确响应随机数Erj，前提是其必须与可信的存储过对应终端随机数Erj的在线终端建立安全可信的连接；
(4)下次入网身份验证信息分发阶段与首次入网成功后的身份验证信息分发过程相同；
进一步，终端再次入网过程如下：
(1)网关查询该终端的上次入网时间戳ti，向终端发送MAC地址验证响应及该终端的上次入网时间戳ti；
(2)终端验证时间戳ti，若验证通过则查询随机数Grj，并向网关发送验证响应及随机数Grj；若验证未通过，则中断入网过程，将该网关标记为风险，防止被假冒网关欺骗；
(3)网关验证随机数Grj，若验证通过则从在存储有该终端随机数Erj的其他在线终端中随机选一个，通过安全传输通道获取随机数Erj；若验证未通过，则中断认证过程，并将该终端MAC地址进行风险标记，网关发出风险预警信号；
(4)网关更新随机数Grj+1，使用公共密钥加密，得到密文m1；
(5)网关将验证响应、随机数Erj、密文m1发送给终端；
(6)终端验证随机数Erj，若验证通过，终端记录此时时间戳作为本次入网时间戳，更新随机数Erj+1，使用公共密钥加密，得到密文m2，并进入下一步；若验证未通过，则中断入网过程，将该网关标记为风险，防止被假冒网关欺骗；
(7)终端将验证结果和密文m2发送给网关，并解密密文m1，保存更新本次入网时间戳和随机数Grj+1；
(8)网关解密密文m2，得到该终端本次入网时间戳ti+1和随机数Erj+1，并更新时间戳ti+1；
(9)网关与其他终端通过安全传输通道更新随机数Erj+1，网关不保存随机数Erj+1；
(10)该终端入网次数加1；至此终端再次入网完成。
进一步，针对再次入网协同认证过程包括：
当网关需要从其他终端获取随机数Erj时，若终端都不在线或网关无法唤醒终端，则可视为网络异常，需要网络管理员现场检查处置。同理在更新随机数Erj时也一样。
本发明的另一目的在于提供一种物联网终端与网关协同认证系统，包括：
物联网终端，负责发出入网请求和接收网关的响应；
中心WIA无线智能融合网关，用于接收物联网终端的入网请求，进行身份认证，并分配唯一的入网密钥；
网络安全服务器，负责生成和管理网关与终端的公钥和私钥，以及维护相关的映射表；
可信手持设备，用于从网络安全服务器获取安全参数，并将这些参数安全地写入物联网终端。
本发明的另一目的在于提供一种物联网终端首次入网密钥分发和认证方法，适用于上述系统，其特征在于，包括以下步骤：
网络安全服务器注册物联网终端的设备ID与MAC地址，并生成对应的公钥和私钥；
通过安全通道将终端的公钥信息同步至对应网关；
可信手持设备获取终端的安全参数，并通过安全通道将这些参数写入物联网终端；
物联网终端使用入网密钥与网关进行首次身份认证。
本发明的另一目的在于提供一种物联网终端再次入网身份认证方法，适用于上述系统，其特征在于，包括以下步骤：
物联网终端向网关发出再次入网请求，并提供身份验证信息；
网关验证终端提供的身份信息，并确认终端的真实身份；
终端与网关协商更新下次入网身份验证信息。
本发明的另一目的在于提供一种物联网终端与网关的安全数据传输方法，适用于上述系统，其特征在于，包括以下步骤：
物联网终端对需要发送的数据进行加密，并通过安全通道将加密数据传输到网关；
网关接收加密数据，进行数据完整性校验，根据需要解密数据；
网关向物联网终端发送加密数据，确保数据传输过程中的安全性和数据的完整性。
结合上述的技术方案和解决的技术问题，本发明所要保护的技术方案所具备的优点及积极效果为：
第一、本发明协同认证方法安全防范机制如下：首先，若攻击者使用假冒终端骗取网关发送真实终端的入网时间戳，那么假冒终端此时无法响应正确的随机数Grj或无响应，网关即可对此MAC地址的设备进行风险标记，并可以防止对网关发起的DOS攻击；然后，若攻击者使用假冒网关通过入网时间戳欺骗真实终端，在真实终端发送了随机数Grj后，尽管假冒网关获取了随机数Grj，但是无法正确回应随机数Erj，或者无响应，那么真实终端即可中断入网过程，假冒网关无法再次与该终端建立连接。总之，入网时间戳、随机数Grj、随机Erj都具备随机性，攻击者难以猜测，并且试探一次错误便被拒绝加入丢弃会话；不同设备的入网时间戳、随机数Grj、随机Erj不同，攻击者获取了其中一个终端的身份验证信息，无法使用在其他终端；一个设备在不同入网次数的情况下，其入网时间戳、随机数Grj和随机数Erj也不同，尽管攻击者窃取了本次入网验证信息，但是很难窃取建立连接后双方协商的下次身份验证信息；网关身份需要经过两次认证，并且第二次认证是建立在已有可信网络连接的基础上完成的，单个假冒网关很难猜对随机数Erj，便难以完成欺骗。经过以上分析，本物联网系统身份认证机制安全性极高。
第二，本发明针对物联网安全威胁中的伪冒身份设备的欺骗攻击，采用终端与网关双向认证的方式，保证通信双方的真实可信，为安全通信建立互信基础。本发明协同认证方法采用验证随机数与时间戳的方式，满足安全性的同时，减少了加密和复杂算法消耗的系统资源开销，可有效加快验证速率，降低设备功耗；根据低功耗物联网无线连接特点，采用分布式多方协同认证机制，系统整体性安全得到了保障；采用动态身份验证信息降低了身份信息被窃取的概率，提高了身份信息的保密性，尽管在认证过程中被欺骗，伪冒终端或网关也很难完成攻击。
第三，作为本发明的权利要求的创造性辅助证据，还体现在以下几个重要方面：
(1)本发明的技术方案转化后的预期收益和商业价值为：
当前物联网系统普遍存在安全问题，本发明方法的应用将增强物联网安全防护能力，避免用户因受物联网络攻击造成的损失。
应用本发明方法的物联网产品，当用户提出安全与低功耗的需求时，其竞争力将大大提高。
该专利方法不仅适用于终端-网关的自组网网络结构，也同样适用于终端-基站的蜂窝网络结构。
(2)本发明的技术方案填补了国内外业内技术空白：
在物联网领域，采用了一种全新的协同认证方法，不止通信双方参与互相认证，还引入协终端进行辅助认证，提高了网络设备的可信性。
(3)本发明的技术方案是否解决了人们一直渴望解决、但始终未能获得成功的技术难题：
在身份认证过程中，容易遭受欺骗攻击，伪冒设备骗取真实设备的真实身份信息，然后基于此身份信息入侵网络。尽管受验证方将身份信息加密发送，但是攻击者依然可以作为中间人，通过两次欺骗，即可受信，从而截取通信双方的数据。本发明方法解决了这一逻辑问题，尽管攻击者获取验证信息，但是如果无法进行多次验证，也很难完成攻击。
(4)本发明的技术方案是否克服了技术偏见：。
通常来说安全性增强意味着系统开销增加，但是本发明采用随机数和时间戳验证的方法，减少了繁杂的加解密计算过程，从而相对于传统加解密方式降低了系统开销，同时还保证了高安全性。
第四，本发明提供的物联网(IoT)终端与网关的协同认证方法和系统，旨在提高网络安全性，尤其是在物联网环境中。这个系统考虑到了物联网终端在首次入网和再次入网时面临不同的安全挑战，并采用了适应性强的认证策略来处理这些情况。该系统的目的是通过先进的认证机制，确保物联网环境中的数据安全和网络完整性，防止欺骗攻击、劫持攻击和DOS攻击等安全威胁。这种方法显著提高了物联网终端和网关之间的安全性，是物联网安全领域的一个重要技术进步。
附图说明
图1是本发明实施例提供的低开销物联网终端与网关协同认证方法流程图；
图2是本发明实施例提供的物联网终端首次入网密钥分发流程图；
图3是本发明实施例提供的物联网终端首次入网密钥分发过程示意图；
图4是本发明实施例提供的物联网终端入网认证方式判断流程图；
图5是本发明实施例提供的物联网终端首次入网身份认证协议流程图；
图6是本发明实施例提供的物联网终端再次入网身份验证信息协商示意图；
图7是本发明实施例提供的物联网终端再次入网身份认证协议流程图；
图8是本发明实施例提供的物联网终端再次入网身份认证示意图；
图9是本发明应用实施例提供的WIA融合网络系统架构示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
为了使本领域技术人员充分了解本发明如何具体实现，该部分是对权利要求技术方案进行展开说明的解释说明实施例。
下面列举两个具体的实施例说明物联网终端与网关协同认证系统的实现方案。
实施例1：智能家居系统
1)场景描述:
在一个智能家居环境中，各种物联网设备(如智能灯泡、温度传感器、安全摄像头)需要安全地连接到家庭的中心网关。
2)首次入网密钥分发:
用户购买新的智能设备并在家庭网络安全服务器上进行注册。
服务器为每个设备生成唯一的公钥和私钥。
用户通过可信手机应用将私钥和家庭网关的公钥传输到新设备上。
3)入网认证方式判定:
智能设备首次尝试连接家庭网关时，网关检查设备的入网次数并确认为首次入网。
4)首次入网身份认证:
设备使用网关的公钥发送加密信息，网关用私钥解密并回应。
双方通过加密的随机数进行双向认证。
5)协同认证与安全通信:
首次认证成功后，设备和网关协商下次入网的认证信息。
设备之后的连接使用更简化的认证流程，确保安全且效率高。
实施例2：工业物联网系统
1)场景描述:
在工业环境中，大量传感器和控制器需要安全地连接到工厂的中心网关以监控和控制生产过程。
2)首次入网密钥分发:
工厂网络管理员在工厂的网络安全服务器上注册新的工业物联网设备。
服务器为每个设备生成公钥和私钥，并通过安全的手持设备配置到每个设备上。
3)入网认证方式判定:
当设备首次尝试连接工厂网关时，网关确认其为首次入网。
4)首次入网身份认证:
与智能家居实施例类似，设备和网关通过加密的随机数进行双向认证。
5)协同认证与安全通信:
完成首次认证后，设备使用之前协商的认证信息进行再次入网。
网关通过检查设备的入网时间戳和随机数来验证设备身份。
在这两个实施例中，重要的是确保物联网设备和网关之间的通信既安全又高效。这些方案通过使用非对称密钥技术实现首次入网的强认证，然后采用更为高效的方法来处理再次入网的情况，确保了系统的安全性和可靠性。
如图1所示，本发明实施例提供的低开销物联网终端与网关协同认证方法是以多个过程为前提实现的，包括以下过程：
(1)首次入网密钥分发过程：分为基于非对称密码算法的密钥生成过程和分发过程。
(2)入网方式选择：网关根据终端的入网次数，选择相应的入网认证协议，分为首次入网认证和再次入网认证。
(3)首次入网认证过程：分为基于非对称密钥的终端与网关双向认证过程和引入协终端的下次入网身份验证信息协商过程。
(4)再次入网认证过程：分为终端和网关协同认证流程及下次入网身份验证信息协商过程。
本发明实施例提供的低开销物联网终端与网关协同认证方法，每个步骤具体实施方式如下：
步骤一，如图2和图3所示，物联网终端首次入网密钥分发流程如下：
(1)网络安全服务器注册物联网终端的设备ID与MAC地址；
(2)网络安全服务器生成对应终端的公钥和私钥，并形成设备ID、MAC地址、公钥、私钥、网关网络地址、网关公钥映射表；
(3)网络安全服务器通过安全通道将终端的设备ID、MAC地址、公钥同步至对应网关；
(4)网关存储终端的设备ID、MAC地址、公钥信息；
(5)可信手持设备通过安全通道从网络安全服务器获取设备ID、MAC地址、公钥、私钥、网关网络地址、网关公钥映射表；网络与安全服务器不保存终端公钥和私钥；
(6)手持设备根据设备ID，将映射表中的安全参数通过安全通道写入物联网终端；手持设备不保存已写入终端的安全信息；
(7)终端保存安全配置信息。
步骤二，如图4所示，物联网终端入网认证方式判断流程
(1)终端向网关发出入网请求，并附带设备ID与MAC地址信息；
(2)网关采用查询MAC地址白名单的方式验证设备ID与MAC地址；若验证通过则查询其入网次数，若入网次数为0，则进入首次入网身份认证过程；若入网次数不为0，则进入再次入网身份认证过程；若终端的MAC地址验证未通过拒绝该终端加入。
步骤三，如图5和图6所示，物联网终端首次入网身份认证过程
(1)终端生成一个随机数r1，用网关的公钥加密随机数r1得到密文m1；
(2)终端向网关发送密文m1；
(3)网关使用私钥解密密文m1，得到明文d1；
(4)网关生成随机数r2，使用对应终端的私钥加密，得到密文m2；
(5)网关将明文d1，密文m2发送至对应终端；
(6)终端验证明文d1和随机数r1是否相等，若验证通过则进入下一步，若验证未通过，则中断入网过程。
(7)终端使用私钥解密密文m2，得到明文m2；
(8)终端将验证响应与明文d2发送给网关；
(9)网关验证明文d2与随机数r2是否相等，若验证通过则进入下一步，若验证未通过或终端无响应，则拒绝该终端加入并拉入黑名单。
(10)网关生成公共密钥和随机数Grj(j＝2,3,····)；
(11)网关使用终端的公钥加密公共密钥和随机数Grj，得到密文m3，并保存随机数Grj；
(12)网关将入网响应和密文m3发送给终端；
(13)终端用私钥解密密文m3，得到公共密钥和随机数Grj，并保存；
(14)终端获取此时时间戳作为本次入网时间戳ti(i＝1,2,3,·····)，并生成一个随机数Erj(j＝2,3,····)，采用公共密钥加密入网时间戳ti和随机数Erj，得到密文m4。
(15)终端将密文m4发送给网关，并保存入网时间戳ti和随机数Erj；
(16)网关用公共密钥解密密文m4，得到该终端入网时间戳ti和随机数Erj；保存入网时间戳ti；
(17)网关将随机数Erj随机分发至3个其他在线终端进行存储，传输过程采用各自相应的公共密钥加密；网关记录随机数Erj分发的地址映射；
(18)网关不保存随机数Erj，销毁该终端的的公钥；
(19)该终端入网次数加1；
针对下次身份验证信息分发阶段的以下特殊情况进行说明：
当网关在随机选择3个在线终端时，若在线终端未达到3个，则随机数Erj将暂存在网关，当在线终端达到3个时，则将暂存的随机数Erj以此分发出去；分发出去的随机数Erj，网关需要销毁。
步骤四，如图7和图8所示，物联网终端再次入网身份认证过程
(1)网关查询该终端的上次入网时间戳ti，向终端发送MAC地址验证响应及该终端的上次入网时间戳ti；
(2)终端验证时间戳ti，若验证通过则查询随机数Grj，并向网关发送验证响应及随机数Grj；若验证未通过，则中断入网过程，将该网关标记为风险，防止被假冒网关欺骗；
(3)网关验证随机数Grj，若验证通过则从在存储有该终端随机数Erj的其他在线终端中随机选一个，通过安全传输通道获取随机数Erj；若验证未通过，则中断认证过程，并将该终端MAC地址进行风险标记，网关发出风险预警信号；
(4)网关更新随机数Grj+1，使用公共密钥加密，得到密文m1；
(5)网关将验证响应、随机数Erj、密文m1发送给终端；
(6)终端验证随机数Erj，若验证通过，终端记录此时时间戳作为本次入网时间戳，更新随机数Erj+1，使用公共密钥加密，得到密文m2，并进入下一步；若验证未通过，则中断入网过程，将该网关标记为风险，防止被假冒网关欺骗；
(7)终端将验证结果和密文m2发送给网关，并解密密文m1，保存更新本次入网时间戳和随机数Grj+1；
(8)网关解密密文m2，得到该终端本次入网时间戳ti+1和随机数Erj+1，并更新时间戳ti+1；
(9)网关与其他终端通过安全传输通道更新随机数Erj+1，网关不保存随机数Erj+1；
(10)该终端入网次数加1；至此终端再次入网完成。
进一步，针对再次入网协同认证过程中的以下特殊情况进行说明：
当网关需要从其他终端获取随机数Erj时，若终端都不在线或网关无法唤醒终端，则可视为网络异常，需要网络管理员现场检查处置。同理在更新随机数Erj时也一样。
为了证明本发明的技术方案的创造性和技术价值，该部分是对权利要求技术方案进行具体产品上或相关技术上的应用实施例。
本发明技术方法可应用于WIA-PA终端、WIA-FA终端与WIA融合网关的组网认证过程。如图9所示，该网络系统包括用于网络管理和密钥管理的网络安全服务器、安全WIA融合网关、具备休眠模式的低功耗WIA-PA终端和WIA-FA终端以及用于配置入网参数的手持设备。该网络系统的架构代表了一种典型的物联网星型网络拓扑结构，能解释本发明方法的应用流程。
(1)首次入网密钥分发过程：网络安全服务器采用非对称加密方式生成注册WIA-PA终端或WIA-FA终端的公钥和私钥，然后通过可信手持设备将WIA终端的私钥和WIA融合网关的公钥传递给相应的WIA终端，并与WIA融合网关同步该WIA终端的设备信息和公钥。
(2)入网方式选择：网关根据WIA终端的入网次数，选择相应的入网认证协议，分为首次入网认证和再次入网认证。
(3)首次入网认证过程：WIA终端和WIA融合网关各自生成随机数，分别采用对方的公钥加密，然后验证随机数的方式实现首次入网双向认证。在完成入网认证后，WIA融合网关协商公共密钥用于安全会话，并协商下次入网双向身份验证信息。下次入网身份验证信息包括WIA终端本次入网时间戳、WIA终端生成的随机数、WIA融合网关生成的随机数。其中时间戳保存在WIA融合网关中、WIA融合网关生成的随机数保存在WIA终端中，WIA终端生成的随机数通过WIA融合网关传递，保存在其他三个随机在线WIA终端中.
(4)再次入网认证过程：首先WIA终端通过上次入网时间戳验证WIA融合网关身份；然后WIA融合网关通过上次入网成功后协商给终端的随机数，验证WIA终端身份；最后，WIA融合网关使用上次入网成功后终端协商出的保存在其他WIA终端的随机数来证明自己的身份，以此完成再次入网认证过程。该过程WIA终端对WIA融合网关验证了两次，其他WIA终端参与了对网关的协同认证。
本发明实施例在研发或者使用过程中取得了一些积极效果，和现有技术相比的确具备很大的优势，下面内容结合试验过程的数据、图表等进行描述。
在低开销方面，从终端的角度来说，针对本发明中基于非对称密钥的首次入网双向认证过程产生的系统开销和能耗与再次入网采用的协同认证的方法进行对比：
通过以上分析，协同认证方法看似计算操作更多，但是其计算多为简单操作，反而产生的系统开销更低。
在安全性方面，根据技术方案优势的分析，协同认证方法能抵抗多种网络攻击，并且其认证机制还能感知网络安全状态，其安全性与基于非对称密钥的双向认证方法相近。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (11)

1.一种低开销物联网终端与网关协同认证方法，其特征在于，包括以下步骤：
物联网终端首先在网络安全服务器上注册设备信息，包括但不限于设备型号、序列号以及设备参数等；
网络安全服务器在接收到设备信息后，根据该设备信息生成终端的私钥和公钥，这两个密钥均采用非对称密钥的方式生成，以确保安全性；
之后，通过一个可信的手持设备配置的方式为物联网终端分配私钥和网关的公钥，这两个密钥将用于终端首次入网认证。
2.根据权利要求1的方法，其特征在于，该方法进一步包括以下步骤：
物联网终端向网关发出入网请求，该请求包含设备信息、MAC地址及其他网络配置信息；
网关在接收到入网请求后，首先验证终端的设备信息和MAC地址，以确认请求的合法性；
在完成设备信息和MAC地址的验证后，网关进一步查询该终端的入网次数，若为首次入网，则进入首次入网认证过程。
3.根据权利要求2的方法，其特征在于，该方法还涉及以下步骤：
在首次入网身份认证过程中，终端与网关进行双向认证。这个过程包括使用网关公钥加密的随机数交换、使用终端私钥解密的验证等步骤；
在完成首次入网认证后，终端与网关协商下次入网的身份验证信息。这些信息包括但不限于终端本次入网的时间戳、网关生成的随机数以及终端生成的随机数；
在再次入网身份认证过程中，网关首先向终端发送终端上次入网的时间戳。终端在接收到时间戳后进行验证，如果验证通过，终端则向网关发送网关生成的随机数；
网关在接收到随机数后进行验证，如果验证通过，网关从保存终端生成的随机数的终端中随机选择一个，获取随机数，然后发送给终端进行验证；
终端在接收到随机数后进行验证，如果验证通过，双方则建立安全通信通道；
在特殊情况下，例如当网关在随机选择3个在线终端时，若在线终端未达到3个，则随机数将暂存在网关，当在线终端达到3个时，则将暂存的随机数分发出去。分发出去的随机数，网关需要销毁，以保证系统的安全性。
4.如权利要求1所述的低开销物联网终端与网关协同认证方法，其特征在于，所述低开销物联网终端与网关协同认证方法的物联网终端首次接入网关密钥分发过程，密钥分发过程涉及到4种角色：网络安全服务器、手持终端、物联网网关、物联网终端；密钥分发过程采用非对称密钥生成方法，由网络安全服务器分别生成网关的公钥和私钥，终端的公钥和私钥；采用公钥加密、私钥解密的方式；其中，网关的公钥和私钥采取周期性更新的方式，物联网终端的公钥和私钥只用于首次入网认证过程；网关的密钥通过网络安全服务器与物联网网关已有连接中的安全通道分发；终端的密钥通过可信的手持设备从网络安全服务器获取，然后由手持设备写入终端；
物联网终端首次入网密钥分发流程如下：
网络安全服务器注册物联网终端的设备ID与MAC地址；
网络安全服务器生成对应终端的公钥和私钥，并形成设备ID、MAC地址、公钥、私钥、网关网络地址、网关公钥映射表；
网络安全服务器通过安全通道将终端的设备ID、MAC地址、公钥同步至对应网关；
网关存储终端的设备ID、MAC地址、公钥信息；
可信手持设备通过安全通道从网络安全服务器获取设备ID、MAC地址、公钥、私钥、网关网络地址、网关公钥映射表；网络与安全服务器不保存终端公钥和私钥；
手持设备根据设备ID，将映射表中的安全参数通过安全通道写入物联网终端；手持设备不保存已写入终端的安全信息；
终端保存安全配置信息。
5.如权利要求1所述的低开销物联网终端与网关协同认证方法，其特征在于，所述低开销物联网终端与网关协同认证方法的手持终端与无线智能测控终端的双向验证及固件安全传输过程，包括以下步骤：
(1)手持终端向无线智能测控终端发出连接请求，连接请求中包括手持终端身份验证信息；
(2)无线智能测控终端验证手持终端身份；
(3)手持终端身份验证通过后，无线智能测控终端向手持终端发出连接响应，连接响应中包括验证结果、无线智能测控终端的身份验证信息；
(4)手持终端验证无线智能测控终端身份；
(5)无线智能测控终端身份验证通过后，手持终端将加密的固件包发送给无线智能测控终端；
(6)无线智能测控终端接收并保存固件包、安装更新固件是才解密，更新固件的同时更新固件解密密钥、手持终端验证相关密钥、配置参数解密密钥；
手持终端从无线智能融合网关获取网络参数与安全参数过程，包括以下步骤：
(1)手持终端向无线智能融合网关发出连接请求，连接请求中包括手持终端身份验证信息；
(2)无线智能融合网关验证手持终端身份；
(3)手持终端身份验证通过后，无线智能融合网关向手持终端发出连接响应，连接响应中包括验证结果、无线智能融合网关的身份验证信息；
(4)手持终端验证无线智能融合网关身份；
(5)无线智能融合网关身份验证通过后，手持终端向无线智能融合网关发出网络参数与安全参数批量获取请求；
(6)无线智能融合网关收到请求后，根据请求数量，批量生成并加密网络参数与安全参数；
(7)无线智能融合网关将网络参数与安全参数发送给手持终端；
(8)手持终端返回接收完成响应；
手持终端将网络参数与安全参数传递给无线智能测控终端的过程，包括以下步骤：
(1)手持终端向无线智能测控终端发出连接请求，连接请求中包括手持终端身份验证信息；
(2)无线智能测控终端验证手持终端身份；
(3)手持终端身份验证通过后，无线智能测控终端向手持终端发出连接响应，连接响应中包括验证结果、无线智能测控终端的身份验证信息；
(4)手持终端验证无线智能测控终端身份；
(5)无线智能测控终端身份验证通过后，手持终端随机选择一组加密过的网络参数和安全参数发送给无线智能测控终端；
(6)无线智能测控终端接收网络参数和安全参数并保存，在使用时进行解密调用。
无线智能测控终端入网认证过程，包括以下步骤：
(1)无线智能融合网关启动网络并广播信标帧；
(2)无线智能测控终端接收信标帧并同步时钟；
(3)无线智能测控终端向无线智能融合网关发出加入请求，加入请求中包括无线智能测控终端的身份验证信息；
(4)无线智能融合网关验证无线智能测控终端身份；
(5)无线智能融合网关向无线智能测控终端返回加入响应，加入响应中包括验证结果与无线智能融合网关身份信息；
(6)无线智能测控终端验证无线智能融合网关身份；
(7)无线智能测控终端验证通过后，向无线智能融合网关发出确认加入信号；
(8)无线智能融合网关为无线智能测控终端分配通信资源，建立网络连接；
无线智能测控终端向无线智能融合网关发送加密数据过程，包括以下步骤：
(1)无线智能测控终端加密数据；
(2)无线智能测控终端向无线智能融合网关传输加密数据；
(3)无线智能融合网关进行数据完整性校验；
(4)无线智能融合网关向无线智能测控终端发送接收完成响应；
(5)无线智能融合网关根据需求解密数据；
无线智能融合网关向无线智能测控终端发送加密数据过程，包括以下步骤：
(1)无线智能融合网关加密数据；
(2)无线智能融合网关向无线智能测控终端传输加密数据；
(3)无线智能测控终端进行数据完整性校验；
(4)无线智能测控终端向无线智能融合网关发送接收完成响应；
(5)无线智能测控终端根据需求解密数据。
6.如权利要求1所述的低开销物联网终端与网关协同认证方法，其特征在于，所述低开销物联网终端与网关协同认证方法的物联网终端入网认证方式判断流程，包括以下步骤：
终端向网关发出入网请求，并附带设备ID与MAC地址信息；
网关采用查询MAC地址白名单的方式验证设备ID与MAC地址；若验证通过则查询其入网次数，若入网次数为0，则进入首次入网身份认证过程；若入网次数不为0，则进入再次入网身份认证过程；若终端的MAC地址验证未通过拒绝该终端加入。
7.如权利要求1所述的低开销物联网终端与网关协同认证方法，其特征在于，所述低开销物联网终端与网关协同认证方法的物联网终端首次入网身份认证过程，包括以下步骤：
(1)物联网终端首次接入网关双向认证过程涉及到两个阶段：
双向认证阶段；
下次入网身份验证信息分发阶段；
(2)双向认证阶段涉及到角色有终端、网关；下次入网身份验证信息分发阶段有终端、网关和网关随机选择的3个在线终端；
(3)终端首次入网采用非对称密钥验证对方身份，互相验证通过后，由网关生成分发用于双方安全通信公共密钥，后续通信传输采用对称加密的方式；不同终端采用不同的公共密钥；
(4)终端首次入网成功后，将与网关协商下次入网身份验证信息，针对终端的身份采用网关分发的随机数进行认证，针对网关的身份采用终端的入网时间戳与生成的随机数认证；
(5)网关生成的随机数通过公共密钥加密传输，终端的入网时间戳和随机数由终端生成，通过公共密钥加密传输，终端每次入网，双方的认证信息均需更新；
(6)首次入网流程如下：
终端生成一个随机数1，用网关的公钥加密随机数1得到密文1；
向网关发送密文1；
网关使用私钥解密密文1，得到明文1；
网关生成随机数2，使用对应终端的私钥加密，得到密文2；
网关将明文1，密文2发送至对应终端；
终端验证明文1和随机数1是否相等，若验证通过则进入下一步，若验证未通过，则中断入网过程。
终端使用私钥解密密文2，明文2；
终端将验证响应与明文发送给网关；
网关验证明文2与随机数2是否相等，若验证通过则进入下一步，若验证未通过或终端无响应，则拒绝该终端加入并拉入黑名单。
网关生成公共密钥和随机数3；
网关使用终端的公钥加密公共密钥和随机数3，得到密文3，并保存随机数3；
网关将入网响应和密文3发送给终端；
终端用私钥解密密文3，得到公共密钥和随机数3，并保存；
获取此时时间戳作为本次入网时间戳，并生成一个随机数4，采用公共密钥加密入网时间戳和随机数4，得到密文4。
终端将密文4发送给网关，并保存入网时间戳和随机数4；
网关用公共密钥解密密文4，得到该终端入网时间戳和随机数4；保存入网时间戳；
网关将随机数4随机分发至3个其他在线终端进行存储，传输过程采用各自相应的公共密钥加密；网关记录随机数4分发的地址映射；
网关不保存随机数4，销毁该终端的的公钥；
该终端入网次数加1；
物联网终端再次入网身份认证过程，包括以下步骤：
(1)物联网终端再次接入网关双向认证过程涉及到两个阶段：
①双向认证阶段；
②下次入网身份验证信息分发阶段；
(2)双向认证阶段双方身份验证信息基于上次入网认证完成后，网关产生的随机数3、终端记录的上次入网时间戳和产生的随机数4；
(3)网关通过对随机数3的比对实现对终端的身份验证；
(4)为防止伪冒网关欺骗终端窃取随机数3，采用终端对网关进行两次认证的方式保证网关身份的真实性；终端对网关身份的第一次验证使用终端的入网时间戳，第二次验证采用随机数4，网关若能正确响应随机数4，前提是其必须与可信的存储过对应终端随机数4的在线终端建立安全可信的连接；
(5)下次入网身份验证信息分发阶段与首次入网成功后的身份验证信息分发过程相同；
(6)终端再次入网过程如下：
网关查询该终端的上次入网时间戳，向终端发送MAC地址验证响应及该终端的上次入网时间戳；
终端验证时间戳，若验证通过则查询随机数3，并向网关发送验证响应及随机数3；若验证未通过，则中断入网过程，并关闭入网功能，防止被假冒网关欺骗；
网关验证随机数3，若验证通过则从在存储有该终端随机数4的其他在线终端中随机选一个，通过安全传输通道获取随机数4；若验证未通过，则中断认证过程，并将该终端MAC地址拉入黑名单，网关发出风险预警信号；
网关更新随机数3，使用公共密钥加密，得到密文1；
网关将验证响应、随机数4、密文1发送给终端；
终端验证随机数4，若验证通过，终端记录此时时间戳作为本次入网时间戳，更新随机数4，使用公共密钥加密，得到密文2，并进入下一步；若验证未通过，则中断入网过程，并关闭入网功能，防止被假冒网关欺骗；
终端将入网响应和密文2发送给网关，并解密密文1，保存更新本次入网时间戳和随机数3；
网关解密密文2，得到该终端本次入网时间戳和随机数4，并更新时间戳；
网关与其他终端通过安全传输通道更新随机数4，网关不保存随机数4；
该终端入网次数加1；至此终端再次入网完成。
8.一种基于权利要求1～6任意一项所述低开销物联网终端与网关协同认证方法的低开销物联网终端与网关协同认证系统，其特征在于，所述低开销物联网终端与网关协同认证系统包括：
物联网终端，负责发出入网请求和接收网关的响应；
中心WIA无线智能融合网关，用于接收物联网终端的入网请求，进行身份认证，并分配唯一的入网密钥；
网络安全服务器，负责生成和管理网关与终端的公钥和私钥，以及维护相关的映射表；
可信手持设备，用于从网络安全服务器获取安全参数，并将这些参数安全地写入物联网终端。
9.一种物联网终端首次入网密钥分发和认证方法，适用于权利要求7所述的系统，其特征在于，包括以下步骤：
网络安全服务器注册物联网终端的设备ID与MAC地址，并生成对应的公钥和私钥；
通过安全通道将终端的公钥信息同步至对应网关；
可信手持设备获取终端的安全参数，并通过安全通道将这些参数写入物联网终端；
物联网终端使用入网密钥与网关进行首次身份认证。
10.一种物联网终端再次入网身份认证方法，适用于权利要求7所述的系统，其特征在于，包括以下步骤：
物联网终端向网关发出再次入网请求，并提供身份验证信息；
网关验证终端提供的身份信息，并确认终端的真实身份；
终端与网关协商更新下次入网身份验证信息。
11.一种物联网终端与网关的安全数据传输方法，适用于权利要求7所述的系统，其特征在于，包括以下步骤：
物联网终端对需要发送的数据进行加密，并通过安全通道将加密数据传输到网关；
网关接收加密数据，进行数据完整性校验，根据需要解密数据；
网关向物联网终端发送加密数据，确保数据传输过程中的安全性和数据的完整性。
CN202311682375.6A 2023-12-08 2023-12-08 一种低开销物联网终端与网关协同认证方法及系统 Pending CN117596068A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311682375.6A CN117596068A (zh) 2023-12-08 2023-12-08 一种低开销物联网终端与网关协同认证方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311682375.6A CN117596068A (zh) 2023-12-08 2023-12-08 一种低开销物联网终端与网关协同认证方法及系统

Publications (1)

Publication Number Publication Date
CN117596068A true CN117596068A (zh) 2024-02-23

Family

ID=89911440

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311682375.6A Pending CN117596068A (zh) 2023-12-08 2023-12-08 一种低开销物联网终端与网关协同认证方法及系统

Country Status (1)

Country Link
CN (1) CN117596068A (zh)

Similar Documents

Publication Publication Date Title
CN112235235B (zh) 一种基于国密算法的sdp认证协议实现方法
CN101340436B (zh) 基于便携式存储设备实现远程访问控制的方法及装置
CN103685323B (zh) 一种基于智能云电视网关的智能家居安全组网实现方法
CN103532713B (zh) 传感器认证和共享密钥产生方法和系统以及传感器
CN105162808B (zh) 一种基于国密算法的安全登录方法
WO2011006341A1 (zh) 一种传感器网络鉴别与密钥管理机制的融合方法
US9998287B2 (en) Secure authentication of remote equipment
CN112769568B (zh) 雾计算环境中的安全认证通信系统、方法、物联网设备
CN110020524A (zh) 一种基于智能卡的双向认证方法
CN105553666A (zh) 一种智能电力终端安全认证系统及方法
CN113572765B (zh) 一种面向资源受限终端的轻量级身份认证密钥协商方法
EP3506137A1 (en) User authentication at an offline secured object
CN101192927A (zh) 基于身份保密的授权与多重认证方法
Zhang et al. Is Today's End-to-End Communication Security Enough for 5G and Its Beyond?
CN115865320A (zh) 一种基于区块链的安全服务管理方法及系统
CN117278330B (zh) 一种电力物联网设备网络的轻量级组网与安全通信方法
Ma et al. A robust authentication scheme for remote diagnosis and maintenance in 5G V2N
Xia et al. An identity authentication scheme based on SM2 algorithm in UAV communication network
CN111132143B (zh) 一体化多媒体智能设备安全保护系统及方法
KR100553792B1 (ko) 단말 대 단말간의 인증기능을 구비한 통신장치 및 방법
CN110430220A (zh) 一种输变电设备安全接入方法及系统
CN100589384C (zh) 一种用户终端接入软交换系统的安全交互方法
CN111274570A (zh) 一种加密认证方法、装置、服务器、可读存储介质及空调器
CN117596068A (zh) 一种低开销物联网终端与网关协同认证方法及系统
CN112069487B (zh) 一种基于物联网的智能设备网络通讯安全实现方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination