CN117811812A - 基于边缘自治网络的物联网设备接入认证方法及装置 - Google Patents

Abstract

本申请公开了一种基于边缘自治网络的物联网设备接入认证方法及装置，该方法可以应用于物联网设备或边缘认证节点，通过引入边缘认证节点，该边缘认证节点在通过中心认证节点的身份认证后取得对应的认证权限，当需要对新的物联网设备进行接入认证时，边缘认证节点即可独立实现物联网设备的接入认证，无需经过中心认证节点，从而减轻中心认证节点的负担，还提高了系统的可伸缩性。并且，在认证过程中，通过获取物联网设备的设备特征和物联网程序特征，边缘认证节点根据该设备特征和物联网程序特征对该物联网设备进行合法性验证，可以保证合法性验证结果的准确性，进而保证接入认证结果的有效性。

Description

基于边缘自治网络的物联网设备接入认证方法及装置

技术领域

本申请涉及物联网技术领域，尤其涉及一种基于边缘自治网络的物联网设备接入认证方法及装置。

背景技术

物联网可信节点认证技术是指一种通过验证物联网设备和节点的身份、完整性、可信性等特征，从而建立双方的信任关系，确保数据传输的完整性、机密性和可靠性的技术。在目前的技术方案中，常通过一中心认证节点对所有物联网设备进行接入认证，不仅增大中心认证节点的负担，且所有物联网设备由一中心认证节点进行集中管理，降低了系统的可伸缩性和灵活性。由此，如何在保证接入认证结果的有效性的同时，降低中心认证节点的负担以及提高系统的可伸缩性成为了亟待解决的技术问题。

发明内容

有鉴于此，本申请提供一种基于边缘自治网络的物联网设备接入认证方法及装置，进而至少在一定程度上可以在保证接入认证结果的有效性的同时，降低中心认证节点的负担以及提高系统的可伸缩性。

根据本申请的一个方面，提供了一种基于边缘自治网络的物联网设备接入认证方法，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述方法应用于物联网设备，所述方法包括：

响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征；

根据所述设备特征和所述物联网程序特征，生成设备接入认证请求；

将所述设备接入认证请求向目标边缘认证节点进行发送，以使所述目标边缘认证节点根据所述设备接入认证请求对所述当前物联网设备进行合法性验证；

接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书。

根据本申请的一个方面，提供了一种基于边缘自治网络的物联网设备接入认证方法，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述方法应用于任一所述边缘认证节点，所述方法包括：

响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征；

根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证；

在所述待认证物联网设备通过所述合法性验证的情况下，生成与所述待认证物联网设备对应的设备证书；

将所述设备证书向所述待认证物联网设备进行发送。

根据本申请的一个方面，提供了一种基于边缘自治网络的物联网设备接入认证装置，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述装置应用于物联网设备，所述装置包括：

第一获取模块，用于响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征；

第一生成模块，用于根据所述设备特征和所述物联网程序特征，生成设备接入认证请求；

第一发送模块，用于将所述设备接入认证请求向目标边缘认证节点进行发送，以使所述目标边缘认证节点根据所述设备接入认证请求对所述当前物联网设备进行合法性验证；

接收模块，用于接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书。

根据本申请的一个方面，提供了一种基于边缘自治网络的物联网设备接入认证装置，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述装置应用于任一所述边缘认证节点，所述装置包括：

第二获取模块，用于响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征；

验证模块，用于根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证；

第二生成模块，用于在所述待认证物联网设备通过所述合法性验证的情况下，生成与所述待认证物联网设备对应的设备证书；

第二发送模块，用于将所述设备证书向所述待认证物联网设备进行发送。

根据本申请的一个方面，提供了一种电子设备，包括处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行如上所述方法的步骤。

根据本申请的一个方面，提供了一种非瞬时性计算机可读存储介质，所述非瞬时性计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如上所述方法的步骤。

在本申请的一些实施例所提供的技术方案中，通过引入边缘认证节点，该边缘认证节点在通过中心认证节点的身份认证后取得对应的认证权限，当需要对新的物联网设备进行接入认证时，边缘认证节点即可独立实现物联网设备的接入认证，无需经过中心认证节点，从而减轻中心认证节点的负担，还提高了系统的可伸缩性。

并且，在认证过程中，通过获取物联网设备的设备特征和物联网程序特征，边缘认证节点根据该设备特征和物联网程序特征对该物联网设备进行合法性验证，可以保证合法性验证结果的准确性，进而保证接入认证结果的有效性。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1示出了根据本申请的一个实施例的边缘自治网络的框架示意图；

图2示出了根据本申请的一个实施例的应用于物联网设备的基于边缘自治网络的物联网设备接入认证方法中接入认证处理的流程示意图；

图3示出了根据本申请的一个实施例的应用于边缘认证节点的基于边缘自治网络的物联网设备接入认证方法的流程示意图；

图4示出了根据本申请的再一个实施例的基于边缘自治网络的物联网设备接入认证方法的流程示意图。

具体实施方式

下面结合附图对本申请实施例进行详细描述。

需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合；并且，基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

需要说明的是，下文描述在所附权利要求书的范围内的实施例的各种方面。应显而易见，本文中所描述的方面可体现于广泛多种形式中，且本文中所描述的任何特定结构及/或功能仅为说明性的。基于本公开，所属领域的技术人员应了解，本文中所描述的一个方面可与任何其它方面独立地实施，且可以各种方式组合这些方面中的两者或两者以上。举例来说，可使用本文中所阐述的任何数目个方面来实施设备及/或实践方法。另外，可使用除了本文中所阐述的方面中的一或多者之外的其它结构及/或功能性实施此设备及/或实践此方法。

图1示出了根据本申请的一个实施例的边缘自治网络的框架示意图。

如图1所示，该边缘自治网络包括一中心认证节点和若干边缘认证节点，该中心认证节点分别通过网络与各个边缘认证节点进行信息传输，该网络可以包括有线网络和无线网络。中心认证节点可以对每一边缘认证节点进行身份认证，在身份认证通过后，边缘认证节点可以取得对应的认证权限，即中心认证节点将认证权限下发到边缘认证节点，中心认证节点只需认证和管理边缘认证节点，而边缘认证节点可以独自对物联网设备进行认证，以实现边缘自治。由此，减轻了中心认证节点的负担，还提高了系统的可伸缩性和灵活性。

需要说明的，物理网设备可以是能够与其它设备和网络相通信的联网设备，根据其形状和功能的不同，物联网设备可以执行各种任务。许多物联网设备利用其网络连接，可以允许用户远程访问并操作设备，远程访问数据库以获取信息，或者接受制造商的固件更新，等等。

当有新的物联网设备需要进行网络接入时，其可以通过上述边缘认证节点对其进行合法性验证，以确定新的物联网设备的合法性，当确定其合法后，则可以信任该物联网设备，并与其建立安全的通信通道。由此，设备之间的通信就可以在加密的环境中进行，以确保数据的机密性和完整性。

以下对本申请实施例的技术方案的实现细节进行详细阐述：

图2示出了根据本申请的一个实施例的基于边缘自治网络的物联网设备接入认证方法的流程示意图。该方法可以应用于物联网设备。应该理解的，该物联网设备可以是待接入网络的新的物联网设备，也可以是接入认证过期后需要重新进行接入认证的物联网设备。

如图2所示，该方法至少包括步骤S210至步骤S240，详细介绍如下：

在步骤S210中，响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征。

其中，网络接入请求可以是用以请求对物联网设备进行接入认证处理的请求信息。该网络接入请求可以是由物联网设备自动生成，例如当物联网设备开机完成后，其可以对自身状态进行检测，如果还未接入网络或者之前的认证结果已到期，则可以自动生成该网络接入请求；在其他示例中，该网络接入请求也可以是由用户手动生成，例如用户可以通过按压配置于物联网设备上的物理按键或者点击物联网设备的显示界面上的特定区域(例如“设备身份验证”按钮等)，以生成该网络接入请求。

设备特征可以是与物联网设备相关的硬件信息，例如设备型号、设备类别、设备MAC地址等等。

物联网程序特征可以是与配置于物联网设备上的物联网程序相关的信息，在一示例中，该物联网程序特征可以包括但不限于二进制文件路径、进程名、业务特征以及操作系统环境安全信息中的一种或多种。

以物联网设备为摄像头设备为例，其物联网程序特征值可以是：

1.二进制文件路径，例如/usr/bin/cameraA；

2.进程名，例如：cameraA_process；

3.业务特征描述，例如：实时UDP音视频数据包，按照音频和视频的预定帧率(xx帧/秒)进行发送；

4.操作系统环境安全信息，例如：内存使用情况(5M-10M是安全范围)以及网络连接状态(单个网卡地址，并处于预定IP范围内是安全范围)。

在一实施例中，物联网设备在生产制造时可以配置有物联网程序，以通过该物联网程序实现对应功能，例如数据处理、传输等等。当需要得到边缘认证节点的认证时(即网络接入请求生成时)，物联网程序可以对当前物联网设备执行本申请实施例提供的接入认证方法，从而确定该当前物联网设备的合法性。

在上述步骤中，物联网程序可以响应于针对当前物联网设备的网络接入请求，通过调用当前物联网设备的操作系统的API以获取对应的设备特征和物联网程序特征，且在获取到设备特征和物联网程序特征后，可以将上述设备特征和物联网程序特征转换为向量表示，以便于后续处理。

在步骤S220中，根据所述设备特征和所述物联网程序特征，生成设备接入认证请求。

其中，该设备接入认证请求可以是用于请求边缘认证节点对物联网设备进行合法性验证的请求信息，基于该设备接入认证请求，边缘认证节点可以获取待认证物联网设备的设备特征和物联网程序特征，以根据二者对待认证物联网设备进行合法性验证。

在一示例中，该设备接入认证请求可以包括当前物联网设备的设备标识(例如设备IP地址等等)，边缘认证节点在接收到该设备接入认证请求后，可以知晓当前物联网设备的请求意图，启动合法性验证流程，并向当前物联网设备发送特征获取请求，当前物联网设备则可以根据该特征获取请求向边缘认证节点发送自身的设备特征和物联网程序特征。

在另一示例中，可以对当前物联网设备的设备特征和物联网程序特征对应的向量表示按照预先约定的规则进行拼接，并将拼接得到的向量表示包含在所生成的设备接入认证请求中。由此，当边缘认证节点接收到该设备接入认证请求后，即可对该设备接入认证请求进行解析并获取当前物联网设备的设备特征和物联网程序特征。

在步骤S230中，将所述设备接入认证请求向目标边缘认证节点进行发送，以使所述目标边缘认证节点根据所述设备接入认证请求对所述当前物联网设备进行合法性验证。

其中，目标边缘认证节点可以是与当前物联网设备相对应的边缘认证节点，例如目标边缘认证节点可以是用于管理当前物联网设备所在区域的所有物联网设备的边缘认证节点，或者可以是通过域名解析等对应关系确定的边缘认证节点，等等。

在该实施例中，当生成设备接入认证请求之后，可以将其向目标边缘认证节点进行发送。而当目标边缘认证节点接收到该设备接入认证请求后，则可以对应获取当前物联网设备的设备特征和物联网程序特征，由此可以基于二者对当前物联网设备进行合法性验证，以确定当前物联网设备是否合法。

在一实施例中，中心认证节点的数据库保存有若干边缘认证节点的相关信息(例如身份信息和认证信息等)，中心认证节点的数据库还存储有每一边缘认证节点可接入的物联网设备对应的特征库和第二认证器程序库。其中，特征库中可以包含每一可接入的物联网设备的设备特征和物联网程序特征。第二认证器程序库可以包含至少一个第二认证器程序，每一第二认证器程序与一个类别的物联网设备相对应，即一个第二认证器程序可以用于对应类别的物联网设备的合法性验证。

边缘认证节点中可以持有预先分配的边缘节点证书，并根据该边缘节点证书，向中心认证节点发送节点认证请求，例如可以将该边缘节点证书通过该节点认证请求向中心认证节点发送，中心认证节点则可以使用证书颁发机构的公钥对边缘认证节点所发送的边缘节点证书进行验证，以保证边缘节点证书的有效性。其中，该验证可以包括验证边缘节点证书的数字签名是否有效，以及边缘节点证书是否在有效期内等等。

接着，当边缘节点证书验证通过后，中心认证节点还可以使用公钥对边缘认证节点进行身份验证，其可以通过使用公钥加密随机的挑战值，并要求边缘认证节点使用其私钥进行解密和返回签名来完成。

当边缘认证节点通过上述身份认证(包括证书验证和身份验证)后，中心认证节点可以与边缘认证节点建立安全连接，边缘认证节点可以通过该安全连接接收由中心认证节点所发送的认证节点根证书、以及可接入的物联网设备的特征库和第二认证器程序库，以备对物联网设备进行合法性验证。

在一实施例中，当边缘认证节点需要对当前物联网设备进行合法性验证时，其可以根据所获取的当前物联网设备的设备类别，从第二认证器程序库中选取与该设备类别对应的第二认证器程序。通过调用该第二认证器程序，该第二认证器程序可以将边缘认证节点接收到的当前物联网设备的设备特征和物联网程序特征与特征库中的数据进行比对，确定当前物联网设备的设备特征和物联网程序特征是否存在于该特征库中。若存在，则表示当前物联网设备合法，反之，若不存在，则表示该当前物联网设备不合法，从而可以拒绝其接入。

在一示例中，特征库中可以将每一可接入的物联网设备的设备特征和物联网程序特征转换成对应的向量形式，并根据按照预定规则进行拼接，以得到与该类别的物联网设备对应的整体特征向量表示。第二认证器程序在进行合法性验证时，可以将对应形式的当前物联网设备的整体特征向量表示与特征库中的每一整体特征向量表示进行比对，若特征库中存在与当前物联网设备相一致的整体特征向量表示，则表示该当前物联网设备合法，反之，若不存在，则表示当前物联网设备不合法。由此，通过将设备特征和物联网程序特征转换为向量形式进而得到对应的整体特征向量表示，在比对时，只有当前物联网设备的设备特征和物联网程序特征与边缘认证节点可接入的物联网设备的设备特征和物联网程序特征均相同的情况下，才可以通过合法性验证，保证了合法性验证结果的准确性。

请继续参考图2，在步骤S240中，接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书。

在该实施例中，当当前物联网设备通过目标边缘认证节点的合法性验证后，即确定该当前物联网设备合法后，目标边缘认证节点可以与该当前物联网设备建立安全连接，并通过节点认证根证书向当前物联网设备签发设备证书，并设定该设备证书的有效性，接着，目标边缘认证节点将该设备证书向当前物联网设备进行发送。

由此，基于前述实施例提供的基于边缘知识网络的物联网设备接入认证方法，通过引入边缘认证节点，该边缘认证节点在通过中心认证节点的身份认证后取得对应的认证权限，当需要对新的物联网设备进行接入认证时，边缘认证节点即可独立实现物联网设备的接入认证，无需经过中心认证节点，从而减轻中心认证节点的负担，还提高了系统的可伸缩性。并且，在认证过程中，通过获取物联网设备的设备特征和物联网程序特征，边缘认证节点根据该设备特征和物联网程序特征对该物联网设备进行合法性验证，可以保证合法性验证结果的准确性，进而保证接入认证结果的有效性。

在本申请的一些实施例中，所述物联网设备内安装有第一认证器程序；在所述响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征之前，包括：

调用所述第一认证器程序，使所述第一认证器程序从响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征开始执行，直至完成所述接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书的步骤，其中，所述第一认证器程序执行上述方法步骤时，所述第一认证器程序与配置于所述当前物联网设备的其他程序相互独立。

在该实施例中，第一认证器程序可以是由独立三方开发的认证器程序，以物联网设备为摄像头为例，摄像头硬件和自带的物联网程序可以是由摄像头厂商进行开发，而对应的第一认证器程序则是非摄像头厂商的第三方开发的。应该理解的，物联网程序是不可信的，该第一认证器程序可以不依赖于其他程序或模块的输入，直接独立从操作系统API采集所需的设备特征和物联网程序特征，以用于设备和程序的可信认证和程序运行环境的风险认证。

每一物联网设备可以预先配置有对应的第一认证器程序，当需要进行接入认证时，当前物联网设备的物联网程序可以调用该第一认证器程序，以通过该第一认证器程序对当前物联网设备执行图2所示的接入认证方法，且在执行上述接入认证方法时，第一认证器程序与配置于当前物联网设备的其他程序相互独立，以保证后续合法性验证结果的有效性。

在一示例中，第一认证器程序可以包括采集模块和认证模块，采集模块可以根据物联网程序的类型，直接调用操作系统API，以获取关于当前物联网设备及其配置的物联网程序的特征(即设备特征和物联网程序特征)。接着，采集模块可以将收集到的设备特征和物联网程序特征发送至认证模块，由认证模块访问目标边缘认证节点的服务，即认证模块可以根据设备特征和物联网程序特征生成对应的设备接入认证请求，并将其向目标边缘认证节点进行发送，以供目标边缘认证节点对当前物联网设备进行合法性验证。

由此，第一认证器程序可以独立通过采集模块和认证模块，对当前物联网设备在目标边缘认证节点上进行认证，实现了零信任的物联网设备向边缘认证节点的认证过程。

在本申请的一个实施例中，所述方法还包括：

在超出所述设备证书的有效期的情况下，从所述响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征开始，重新对所述当前物联网设备进行接入认证，以更新所述当前物联网设备的合法性。

在该实施例中，为保证系统的安全性，每一物联网设备接收到的设备证书，都具有对应的有效期，只有在设备证书的有效的基础上，该物联网设备才是安全可信的。由此，在超出设备证书的有效期的情况下，可以对当前物联网设备再次进行上述接入认证方法，以获取新的设备证书，从而更新当前物联网设备的合法性。

需要说明的是，本申请所述超出设备证书的有效期的情况，可以是超出设备证书的有效期的预设时长，其中，该预设时长可以是任意时长，例如可以是刚超过有效期、超过有效期1小时或者超过有效期一天，等等。应该理解的，以上数字仅为示例性举例，本领域技术人员可以根据实际实现需要，设定对应的预设时长，本申请对此不作特殊限定。

请参考图3，在本申请的一些实施例中，还提供了一种基于边缘自治网络的物联网设备接入认证方法，该方法可以应用于任一边缘认证节点，如图3所示，该方法至少包括步骤S310至步骤S340，详细介绍如下：

在步骤S310中，响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征。

在该实施例中，待认证物联网设备可以是还未接入网络的新的物联网设备，也可以是设备证书有效期截止的物联网设备。

在一示例中，当接收到由待认证物联网设备发送的设备接入认证请求后，当前边缘认证节点可以对该设备接入认证请求进行解析，并从中获取该待认证物联网设备的设备特征和物联网程序特征；

在另一示例中，当接收到由待认证物联网设备发送的设备接入认证请求后，当前边缘认证节点可以向待认证物联网设备发送特征获取请求，以使待认证物联网设备反馈自身的设备特征和物联网程序特征。

在一实施例中，边缘认证节点所获取的待认证物联网设备的设备特征和物联网程序特征，可以是二者转换为对应的向量形式后按照预定规则进行拼接得到的整体特征向量表示，从而便于后续进行合法性验证。

在步骤S320中，根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证。

在步骤S330中，在所述待认证物联网设备通过所述合法性验证的情况下，则生成与所述待认证物联网设备对应的设备证书。

在步骤S340中，将所述设备证书向所述待认证物联网设备进行发送。

在本申请的一些实施例中，在响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征之前，所述方法还包括：

基于预分配的边缘节点证书，向所述中心认证节点发送节点认证请求，以使所述中心认证节点根据所述节点认证请求，对当前边缘认证节点进行身份认证；

接收由所述中心认证节点在所述身份认证通过后发送的认证节点根证书、以及可接入的物联网设备的特征库和第二认证器程序库。

在该实施例中，中心认证节点的数据库保存有若干边缘认证节点的相关信息(例如身份信息和认证信息等)，中心认证节点的数据库还存储有每一边缘认证节点可接入的物联网设备对应的特征库和第二认证器程序库。其中，特征库中可以包含每一可接入的物联网设备的设备特征和物联网程序特征。第二认证器程序库可以包含至少一个第二认证器程序，每一第二认证器程序与一个类别的物联网设备相对应，即一个第二认证器可以用于对应类别的物联网设备的合法性验证。

边缘认证节点中可以持有预先分配的边缘节点证书，并根据该边缘节点证书，向中心认证节点发送节点认证请求，例如可以将该边缘节点证书通过该节点认证请求向中心认证节点发送，中心认证节点则可以使用证书颁发机构的公钥对边缘认证节点所发送的边缘节点证书进行验证，以保证边缘节点证书的有效性，其中，该身份认证可以包括验证边缘节点证书的数字签名是否有效，以及边缘节点证书是否在有效期内等等。

接着，当边缘节点证书验证通过后，中心认证节点还可以使用公钥对边缘认证节点进行身份验证，其可以通过使用公钥加密随机的挑战值，并要求边缘认证节点使用其私钥进行解密和返回签名来完成。

当边缘认证节点通过上述身份认证(包括证书验证和身份验证)后，中心认证节点可以与边缘认证节点建立安全连接，边缘认证节点可以通过该安全连接接收由中心认证节点所发送的认证节点根证书、以及可接入的物联网设备的特征库和第二认证器程序库，以备对物联网设备进行合法性验证。

基于上述实施例，步骤S320包括：

从所述第二认证器程序库中，获取与所述待认证物联网设备对应的第二认证器程序；

调用所述第二认证器程序，以确定所述设备特征和所述物联网程序特征是否存在于所述特征库中；

在所述设备特征和所述物联网程序特征存在于所述特征库的情况下，确定所述待认证物联网设备合法。

在该实施例中，当边缘认证节点需要对待认证物联网设备进行合法性验证时，其可以根据所获取的待认证物联网设备的设备类别，从第二认证器程序库中选取与该设备类别对应的第二认证器程序。通过调用该第二认证器程序，第二认证器程序可以将边缘认证节点接收到的待认证物联网设备的设备特征和物联网程序特征与特征库中的数据进行比对，确定待认证物联网设备的设备特征和物联网程序特征是否存在于该特征库中。若存在，则表示待认证物联网设备合法，反之，若不存在，则表示该待认证物联网设备不合法，从而可以拒绝其接入。

在一示例中，特征库中可以将每一可接入的物联网设备的设备特征和物联网程序特征转换成对应的向量形式，并根据按照预定规则进行拼接，以得到与该类别的物联网设备对应的整体特征向量表示。第二认证器程序在进行合法性验证时，可以将对应形式的待认证物联网设备的整体特征向量表示与特征库中的每一整体特征向量表示进行比对，若特征库中存在与待认证物联网设备相一致的整体特征向量表示，则表示该待认证物联网设备合法，反之，若不存在，则表示待认证物联网设备不合法。

由此，通过将设备特征和物联网程序特征转换为向量形式进而得到对应的整体特征向量表示，在比对时，只有待认证物联网设备的设备特征和物联网程序特征与边缘认证节点可接入的物联网设备的设备特征和物联网程序特征均相同的情况下，才可以通过合法性验证，保证了合法性验证结果的准确性。

在本申请的一些实施例中，所述设备特征、所述物联网程序特征以及所述接入认证请求由配置于所述待认证物联网设备上的第一认证器程序独立采集、生成和发送。

在该实施例中，每一物联网设备可以预先配置有对应的第一认证器程序，当需要进行接入认证时，待认证物联网设备的物联网程序可以调用该第一认证器程序，以通过该第一认证器程序对待认证物联网设备执行图2所示的接入认证方法，且在执行接入认证方法时，第一认证器程序与配置于待认证物联网设备的其他程序相互独立，以保证后续合法性验证结果的有效性。

在一示例中，第一认证器程序可以包括采集模块和认证模块，在进行接入认证处理时，采集模块可以根据物联网程序的类型，直接调用操作系统API，以获取关于待认证物联网设备及其配置的物联网程序的特征(即设备特征和物联网程序特征)。接着，采集模块可以将收集到的设备特征和物联网程序特征发送至认证模块，由认证模块访问当前边缘认证节点的服务，即认证模块可以根据设备特征和物联网程序特征生成对应的设备接入认证请求，并将其向边缘认证节点进行发送，以供边缘认证节点对待认证物联网设备进行合法性验证。

由此，第一认证器程序可以独立通过采集模块和认证模块，对待认证物联网设备在当前边缘认证节点上进行认证，实现了零信任的物联网设备向边缘认证节点的认证过程。

基于上述实施例的技术方案，以下介绍本申请实施例的一个具体应用场景：

图4示出了根据本申请的再一个实施例的基于边缘自治网络的物联网设备接入认证方法的流程示意图，该方法可以应用于图1所示的边缘自治网络。

如图4所示，该方法至少包括步骤S410至步骤S470。具体地：

在步骤S410中，边缘认证节点基于预分配的边缘节点证书向中心认证节点发送节点认证请求。

在步骤S420中，中心认证节点根据接收到的节点认证请求，对当前边缘认证节点进行身份认证。

在步骤S430中，在身份认证通过后，中心认证节点向边缘认证节点发送认证节点根证书、以及可接入的物联网设备的特征库和第二认证器程序库。

由此，边缘认证节点获得认证权限，可以对待接入的物联网设备进行合法性验证。

在步骤S440中，物联网设备响应于网络接入请求，获取设备特征和物联网程序特征，并生成对应的设备接入认证请求。

在步骤S450中，物联网设备向边缘认证节点发送设备接入认证请求。

在步骤S460中，边缘认证节点根据接收到的设备接入认证请求，对物联网设备进行合法性验证。

在步骤S470中，边缘认证节点在合法性验证通过后，向物联网节点发送设备证书。

对于上述实施例中未披露的细节，请参照本申请上述的基于边缘自治网络的物联网设备接入认证方法的实施例，本申请在此不再赘述。

基于图4所示的实施例，通过引入边缘认证节点，该边缘认证节点在通过中心认证节点的身份认证后取得对应的认证权限，当需要对新的物联网设备进行接入认证时，边缘认证节点即可独立实现物联网设备的接入认证，无需经过中心认证节点，从而减轻中心认证节点的负担，还提高了系统的可伸缩性。

并且，在认证过程中，通过获取物联网设备的设备特征和物联网程序特征，边缘认证节点根据该设备特征和物联网程序特征对该物联网设备进行合法性验证，可以保证合法性验证结果的准确性，进而保证接入认证结果的有效性。

以下介绍本申请的装置实施例，可以用于执行本申请上述实施例中的基于边缘自治网络的物联网设备接入认证方法。对于本申请装置实施例中未披露的细节，请参照本申请上述的基于边缘自治网络的物联网设备接入认证方法的实施例。

在本申请的一个实施例中提供了一种基于边缘自治网络的物联网设备接入认证装置，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述装置应用于物联网设备，所述装置包括：

第一获取模块，用于响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征；

第一生成模块，用于根据所述设备特征和所述物联网程序特征，生成设备接入认证请求；

第一发送模块，用于将所述设备接入认证请求向目标边缘认证节点进行发送，以使所述目标边缘认证节点根据所述设备接入认证请求对所述当前物联网设备进行合法性验证；

接收模块，用于接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书。

在本申请的一个实施例中，所述物联网设备内安装有第一认证器程序；在所述响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征之前，调用所述第一认证器程序，使所述第一认证器程序从响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征开始执行，直至完成所述接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书的步骤，其中，所述第一认证器程序执行上述方法步骤时，所述第一认证器程序与配置于所述当前物联网设备的其他程序相互独立。

在本申请的一个实施例中，所述装置还被配置为：

在超出所述设备证书的有效期的情况下，从所述响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征开始，重新对所述当前物联网设备进行接入认证，以更新所述当前物联网设备的合法性。

在本申请的一个实施例中，所述物联网程序特征包括二进制文件路径、进程名、业务特征以及操作系统环境安全信息中的一种或多种。

在本申请的另一个实施例中，还提供了一种基于边缘自治网络的物联网设备接入认证装置，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得认证权限；

所述装置应用于任一所述边缘认证节点，所述装置包括：

第二获取模块，用于响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征；

验证模块，用于根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证；

第二生成模块，用于在所述待认证物联网设备通过所述合法性验证的情况下，生成与所述待认证物联网设备对应的设备证书；

第二发送模块，用于将所述设备证书向所述待认证物联网设备进行发送。

在本申请的一个实施例中，所述装置还包括认证模块，所述认证模块被配置为：基于预分配的边缘节点证书，向所述中心认证节点发送节点认证请求，以使所述中心认证节点根据所述节点认证请求，对当前边缘认证节点进行身份认证；接收由所述中心认证节点在所述身份认证通过后发送的认证节点根证书、以及可接入的物联网设备的特征库和第二认证器程序库。

在本申请的一个实施例中，所述验证模块被配置为：从所述第二认证器程序库中，获取与所述待认证物联网设备对应的第二认证器程序；调用所述第二认证器程序，以确定所述设备特征和所述物联网程序特征是否存在于所述特征库中；在所述设备特征和所述物联网程序特征存在于所述特征库的情况下，确定所述待认证物联网设备合法。

在本申请的一个实施例中，所述设备特征、所述物联网程序特征以及所述接入认证请求由配置于所述待认证物联网设备上的第一认证器程序独立采集、生成和发送。

在本申请的一个实施例中，所述物联网程序特征包括二进制文件路径、进程名、业务特征以及操作系统环境安全信息中的一种或多种。

由此，通过引入边缘认证节点，该边缘认证节点在通过中心认证节点的身份认证后取得对应的认证权限，当需要对新的物联网设备进行接入认证时，边缘认证节点即可独立实现物联网设备的接入认证，无需经过中心认证节点，从而减轻中心认证节点的负担，还提高了系统的可伸缩性。

并且，在认证过程中，通过获取物联网设备的设备特征和物联网程序特征，边缘认证节点根据该设备特征和物联网程序特征对该物联网设备进行合法性验证，可以保证合法性验证结果的准确性，进而保证接入认证结果的有效性。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本申请的各个方面可以实现为系统、方法或程序产品。因此，本申请的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

根据本申请的这种实施方式的电子设备。电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

电子设备以通用计算设备的形式表现。电子设备的组件可以包括但不限于：上述至少一个处理器、上述至少一个储存器、连接不同系统组件(包括储存器和处理器)的总线。

其中，所述储存器存储有程序代码，所述程序代码可以被所述处理器执行，使得所述处理器执行本说明书上述“示例性方法”部分中描述的根据本申请各种示例性实施方式的步骤。

储存器可以包括易失性储存器形式的可读介质，例如随机存取储存器(RAM)和/或高速缓存储存器，还可以进一步包括只读储存器(ROM)。

储存器还可以包括具有一组(至少一个)程序模块的程序/实用工具，这样的程序模块包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线可以为表示几类总线结构中的一种或多种，包括储存器总线或者储存器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。

电子设备也可以与一个或多个外部设备(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备交互的设备通信，和/或与使得该电子设备能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口进行。并且，电子设备还可以通过网络适配器与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器通过总线与电子设备的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本申请的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本申请各种示例性实施方式的步骤。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

此外，上述附图仅是根据本申请示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (13)

1.一种基于边缘自治网络的物联网设备接入认证方法，其特征在于，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述方法应用于物联网设备，所述方法包括：

响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征；

根据所述设备特征和所述物联网程序特征，生成设备接入认证请求；

将所述设备接入认证请求向目标边缘认证节点进行发送，以使所述目标边缘认证节点根据所述设备接入认证请求对所述当前物联网设备进行合法性验证；

接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书。

2.根据权利要求1所述的方法，其特征在于，所述物联网设备内安装有第一认证器程序；在所述响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征之前，包括：

调用所述第一认证器程序，使所述第一认证器程序从响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征开始执行，直至完成所述接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书的步骤，其中，所述第一认证器程序执行上述方法步骤时，所述第一认证器程序与配置于所述当前物联网设备的其他程序相互独立。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在超出所述设备证书的有效期的情况下，从所述响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征开始，重新对所述当前物联网设备进行接入认证，以更新所述当前物联网设备的合法性。

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述物联网程序特征包括二进制文件路径、进程名、业务特征以及操作系统环境安全信息中的一种或多种。

5.一种基于边缘自治网络的物联网设备接入认证方法，其特征在于，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得认证权限；

所述方法应用于任一所述边缘认证节点，所述方法包括：

响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征；

根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证；

在所述待认证物联网设备通过所述合法性验证的情况下，生成与所述待认证物联网设备对应的设备证书；

将所述设备证书向所述待认证物联网设备进行发送。

6.根据权利要求5所述的方法，其特征在于，在响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征之前，所述方法还包括：

基于预分配的边缘节点证书，向所述中心认证节点发送节点认证请求，以使所述中心认证节点根据所述节点认证请求，对当前边缘认证节点进行身份认证；

接收由所述中心认证节点在所述身份认证通过后发送的认证节点根证书、以及可接入的物联网设备的特征库和第二认证器程序库。

7.根据权利要求6所述的方法，其特征在于，根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证，包括：

从所述第二认证器程序库中，获取与所述待认证物联网设备对应的第二认证器程序；

调用所述第二认证器程序，以确定所述设备特征和所述物联网程序特征是否存在于所述特征库中；

在所述设备特征和所述物联网程序特征存在于所述特征库的情况下，确定所述待认证物联网设备合法。

8.根据权利要求5所述的方法，其特征在于，所述设备特征、所述物联网程序特征以及所述接入认证请求由配置于所述待认证物联网设备上的第一认证器程序独立采集、生成和发送。

9.根据权利要求5-8中任一项所述的方法，其特征在于，所述物联网程序特征包括二进制文件路径、进程名、业务特征以及操作系统环境安全信息中的一种或多种。

10.一种基于边缘自治网络的物联网设备接入认证装置，其特征在于，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得接入认证权限；

所述装置应用于物联网设备，所述装置包括：

第一获取模块，用于响应于针对当前物联网设备的网络接入请求，获取所述当前物联网设备的设备特征和物联网程序特征；

第一生成模块，用于根据所述设备特征和所述物联网程序特征，生成设备接入认证请求；

第一发送模块，用于将所述设备接入认证请求向目标边缘认证节点进行发送，以使所述目标边缘认证节点根据所述设备接入认证请求对所述当前物联网设备进行合法性验证；

接收模块，用于接收由所述目标边缘认证节点在所述合法性验证通过后发送的设备证书。

11.一种基于边缘自治网络的物联网设备接入认证装置，其特征在于，所述边缘自治网络包括一中心认证节点和若干边缘认证节点，各所述边缘认证节点通过所述中心认证节点的身份认证以取得认证权限；

所述装置应用于任一所述边缘认证节点，所述装置包括：

第二获取模块，用于响应于接收到的针对待认证物联网设备的设备接入认证请求，获取所述待认证物联网设备对应的设备特征和物联网程序特征；

验证模块，用于根据所述设备特征和所述物联网程序特征，对所述待认证物联网设备进行合法性验证；

第二生成模块，用于在所述待认证物联网设备通过所述合法性验证的情况下，生成与所述待认证物联网设备对应的设备证书；

第二发送模块，用于将所述设备证书向所述待认证物联网设备进行发送。

12.一种电子设备，其特征在于，包括处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行如权利要求1-4、5-9中任一项所述方法的步骤。

13.一种非瞬时性计算机可读存储介质，其特征在于，所述非瞬时性计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如权利要求1-4、5-9中任一项所述方法的步骤。