CN118174902A - 基于预埋安全非对称密钥的分布式设备认证方法及系统 - Google Patents

Abstract

本发明公开了一种基于预埋安全非对称密钥的分布式设备认证方法及系统，涉及设备安全认证技术领域，包括步骤S1：对每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；S2：在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；S3：对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。本发明能够在广播或组播的发现和服务发布过程中自动对连接设备进行安全认证。

Description

基于预埋安全非对称密钥的分布式设备认证方法及系统

技术领域

本发明涉及设备安全认证技术领域，提供了一种基于预埋安全非对称密钥的分布式设备认证方法及系统。

背景技术

目前P2P网络技术的核心技术为UPNP和SSDP协议，SSDP协议即简单服务发现协议为局域网中的服务提供端和服务使用端提供了发现和连接功能。同样iot领域也开发了类似的协议——COAP约束应用协议，鸿蒙系统软总线模块应用了该技术，并在COAP协议基础之上，建立了设备密钥协商、连接及传输。这两种协议应用场景极大的简化了局域网大量设备的连接和管理问题。以上提及的两种场景，只考虑了如何高效的发现和连接设备，对于连接认证和连接安全性，并没有进行考虑，无线网络的开放性，导致可能存在冒充设备入侵的风险，如何有效预防中间人攻击是一个问题，一般认证和安全性会在这个协议更上层，由用户实现。而且设备连接认证一般采用交互式确认，难以做到自动发现、连接、组网。

发明内容

为了解决背景技术中提到的至少一个技术问题，本发明的目的在于提供一种基于预埋安全非对称密钥的分布式设备认证方法及系统，在广播或组播的发现和服务发布过程中自动对连接设备进行安全认证。

为实现上述目的，本发明提供如下技术方案：

一种基于预埋安全非对称密钥的分布式设备认证方法，包括步骤：

S1：对每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；

S2：在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；

S3：对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。

进一步地，所述步骤S2包括：

S21：将设备序列号和当前时刻的时间戳数据通过哈希算法生成哈希值，利用私钥对哈希值进行加密得到哈希签名数据；

S22：利用与私钥匹配的设备公钥，将设备序列号、时间戳数据和加密的哈希签名数据作为输入进行加密，得到加密身份验证数据包。

进一步地，所述步骤S2还包括：

S23：在请求发现广播环节中，设备将携带自身的身份验证数据包捎带在广播消息中发送出去；

S24：在服务发布环节中，设备将携带自身的身份验证数据包捎带在发布的服务信息中。

进一步地，所述步骤S3包括：

S31：利用接收端内置的身份验证私钥，将加密身份验证数据包进行解密，得到设备序列号明文，时间戳明文和哈希签名密文；

S32：利用接收端内置的身份验证公钥进行哈希签名密文的解密，得到哈希明文。

进一步地，所述步骤S3还包括：

S33：进行设备哈希签名校验，调用与步骤S21相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到的哈希值与步骤S32得到的哈希值进行比对，比对一致则表示通过，不一致则表示失败；

S34：进行TOTP验证，对比接收端系统当前的时间戳与步骤S31的解密数据中时间戳的差值绝对值，若差值绝对值大于阈值，则表示不通过；若差值绝对值小于等于阈值，则表示通过；

S35：在设备哈希签名校验结果一致，且TOTP验证通过时，识别连接请求的设备为可信。

一种基于预埋安全非对称密钥的分布式设备认证系统，包括：

公私密钥预置模块：用于为每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；

加密携带及接收模块：用于在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；

解密及验证模块：用于对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。

进一步地，所述加密携带及接收模块包括：

哈希签名数据生成单元：用于将设备序列号和当前时刻的时间戳数据通过哈希算法生成哈希值，利用私钥对哈希值进行加密得到哈希签名数据；

加密身份验证数据包生成单元：利用与私钥匹配的设备公钥，将设备序列号、时间戳数据和加密的哈希签名数据作为输入进行加密，得到加密身份验证数据包。

进一步地，所述加密携带及接收模块还包括：

发送单元：用于在请求发现广播环节中，设备将携带自身的身份验证数据包捎带在广播消息中发送出去；

发布单元：用于在服务发布环节中，设备将携带自身的身份验证数据包捎带在发布的服务信息中。

进一步地，所述解密及验证模块包括：

第一解密单元：利用接收端内置的身份验证私钥，将加密身份验证数据包进行解密，得到设备序列号明文，时间戳明文和哈希签名密文；

第二解密单元：利用接收端内置的身份验证公钥进行哈希签名密文的解密，得到哈希明文。

进一步地，所述解密及验证模块还包括：

哈希签名校验单元：用于进行设备哈希签名校验，调用与哈希签名数据生成单元中相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到的哈希值与第二解密单元得到的哈希值进行比对，比对一致则表示通过，不一致则表示失败；

TOTP验证单元：用于进行TOTP验证，对比接收端系统当前的时间戳与第一解密单元的解密数据中时间戳的差值绝对值，若差值绝对值大于阈值，则表示不通过；若差值绝对值小于等于阈值，则表示通过；

识别单元：用于在设备哈希签名校验结果一致，且TOTP验证通过时，识别连接请求的设备为可信。

与现有技术相比，本发明的有益效果是：

本发明利用预置在TPM设备或者TCM安全存储中的公私密钥对，进行设备身份验证数据包的生成，通过发现协议捎带及接收端的验证，设备在请求发现广播和服务发布环节，捎带设备自身的加密身份验证数据包进行设备类型校验，以确认设备是否为可信设备。如果是可信设备，则无需进行额外的连接认证，直接互联并建立安全通信通道。如果不是可信设备，接收端则拒绝与该设备的通信。以增强分布式设备连接认证的安全性，简化分布式设备互联的流程，实现在广播或组播的发现和服务发布过程中自动对连接设备进行自动认证和连接。

附图说明

图1为本发明实施例一提供的基于预埋安全非对称密钥的分布式设备认证方法流程图；

图2为本发明实施例一提供的基于预埋安全非对称密钥的分布式设备认证方法中步骤S2的流程图；

图3为本发明实施例一提供的基于预埋安全非对称密钥的分布式设备认证方法中步骤S3的流程图；

图4为本发明实施例一提供的基于预埋安全非对称密钥的分布式设备认证方法中设备身份验证数据包的生成流程图；

图5为本发明实施例一提供的基于预埋安全非对称密钥的分布式设备认证方法中设备利用接收到的身份验证数据包进行可信认证的流程图；

图6为本发明实施例二提供的基于预埋安全非对称密钥的分布式设备认证系统结构框图一；

图7为本发明实施例二提供的基于预埋安全非对称密钥的分布式设备认证系统结构框图二。

具体实施方式

下面对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

请参阅图1，本实施例提供了一种基于预埋安全非对称密钥的分布式设备认证方法，包括步骤：

S1：对每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；

S2：在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；

S3：对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。

具体的，为每种设备类型颁发统一的私钥和不同的公钥，有助于确保设备的唯一性和类型识别。私钥用于生成有效的签名数据，而公钥用于验证这些签名数据。其中，私钥用于设备生成签名数据或进行加密操作。由于私钥是统一的，它可以确保设备间的通信和验证的一致性。为每个设备颁发一个独特的公钥。其中，公钥用于验证签名数据或解密接收到的加密数据。由于每个设备的公钥是唯一的，它可以确保只有拥有相应私钥的设备才能成功验证或解密数据。

具体的，TPM模块存储公私钥对，将设备的公私钥对存储在TPM模块即可信平台中，可以提高密钥的安全性。TPM模块通常具有硬件级别的安全存储和加密功能，可以保护密钥免受未经授权的访问和篡改。

具体的，时间戳签名数据，在广播发现和服务发布时，设备捎带带时间戳的签名数据，可以增加消息的完整性和可信度。时间戳可以验证消息的时效性，而签名数据可以验证消息的来源和内容是否被篡改。

具体的，接收端验证设备签名与TOTP，接收广播端在进行设备签名校验的同时，进行TOTP验证即基于时间的一次性密码，进一步增强了安全性。TOTP基于时间的变化产生一次性的密码，与当前时间戳匹配的密码才视为有效。

具体的，加密身份验证数据包，在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，这有助于接收端验证设备的身份和类型。加密身份验证数据包包含了用于验证设备身份的信息，如设备序列号、时间戳数据和加密的哈希签名数据等。

具体的，建立加密会话链路，在验证通过后，接收端与设备建立加密会话链路。这通常涉及使用强加密算法和安全的通信协议，以确保在通信过程中数据的机密性和完整性。

具体的，验证失败则拒绝通信，如果设备的加密身份验证数据包无法通过验证，接收端可以选择拒绝与该设备的通信。这样可以防止潜在的恶意设备接入网络，提高整体的安全性。

具体的，身份验证数据包在协议中的数据结构，一般是放在协议请求数据体部分。ssdp协议和coap协议，具体的组织形式可能有区别，主要的区别是ssdp基于http协议，需要将二进制数据转换成文本才能传输。coap协议直接支持二进制的数据传输，只需要把加密数据按照协商自定的格式放入payload区域即可。利用发现协议的消息结构体或者负载结构体，捎带了各自设备的加密身份数据验证包，接收到数据包的设备对加密身份数据验证包进行解密和验证，验证通过后，可以认为连接请求的设备已经是可信的，建立加密会话链路后，可以直接进行业务交互该。方法确保了只有经过认证和授权的设备能够参与通信，从而提高了物联网系统的安全性。

参阅图2，其中，步骤S2包括：

S21：将设备序列号和当前时刻的时间戳数据通过哈希算法生成哈希值，利用私钥对哈希值进行加密得到哈希签名数据；

S22：利用与私钥匹配的设备公钥，将设备序列号、时间戳数据和加密的哈希签名数据作为输入进行加密，得到加密身份验证数据包。

具体的，生成哈希值：设备首先将其序列号即一个唯一标识设备的字符串和当前时刻的时间戳即一个表示特定时间的数字结合起来。使用哈希算法如sha、md5等，对这个组合数据进行哈希处理，生成一个固定长度的哈希值。这个哈希值是对原始数据的摘要，具有唯一性和不可篡改性，意味着只要原始数据发生变化，哈希值也会改变。

具体的，生成哈希签名数据：使用设备的私钥对哈希值进行加密，生成一个哈希签名。这个签名是对哈希值的数字签名，用于验证数据的完整性和来源。私钥和公钥是一对，用于非对称加密。私钥用于签名数据，公钥用于验证签名。

具体的，生成加密身份验证数据包：将设备序列号、时间戳数据和加密的哈希签名数据三者结合起来。使用与私钥匹配的公钥对这个组合数据进行加密，生成加密身份验证数据包。这个数据包包含了设备的身份信息和时间戳，以及一个能够验证其完整性和来源的签名。

其中，步骤S2还包括：

S23：在请求发现广播环节中，设备将携带自身的身份验证数据包捎带在广播消息中发送出去；

S24：在服务发布环节中，设备将携带自身的身份验证数据包捎带在发布的服务信息中。

具体的，请求发现广播环节：当设备需要被其他设备发现时，它会在广播消息中附带自己的身份验证数据包。广播消息包含了加密身份验证数据包，这样任何接收到广播的设备都可以使用公钥解密数据包，验证设备的身份和消息的新鲜性即时间戳是否在当前有效范围内。服务发布环节：当设备提供某种服务时，它会在发布服务信息时附带自己的身份验证数据包。服务请求者接收到服务信息和身份验证数据包后，同样可以使用公钥解密数据包，验证设备的身份和服务的真实性。上述可以防止恶意设备假冒其他设备的身份，或者发送过时或篡改过的信息。通过验证身份和数据的完整性，系统可以更加安全和可靠地运行。

参阅图3，其中，步骤S3包括：

S31：利用接收端内置的身份验证私钥，将加密身份验证数据包进行解密，得到设备序列号明文，时间戳明文和哈希签名密文；

S32：利用接收端内置的身份验证公钥进行哈希签名密文的解密，得到哈希明文。

具体的，解密身份验证数据包，其中操作为：使用接收端内置的身份验证私钥对加密身份验证数据包进行解密。其中结果为：得到设备序列号明文、时间戳明文和哈希签名密文。其中，设备序列号明文：设备的唯一标识符。时间戳明文：表示消息创建时间的数据。哈希签名密文：经过私钥加密的哈希值，用于验证消息的完整性和来源。

具体的，解密哈希签名密文，其中操作为：使用接收端内置的身份验证公钥对哈希签名密文进行解密。其中结果为：得到哈希明文，即原始的哈希值。

其中，步骤S3还包括：

S33：进行设备哈希签名校验，调用与步骤S21相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到的哈希值与步骤S32得到的哈希值进行比对，比对一致则表示通过，不一致则表示失败；

S34：进行TOTP验证，对比接收端系统当前的时间戳与步骤S31的解密数据中时间戳的差值绝对值，若差值绝对值大于阈值，则表示不通过；若差值绝对值小于等于阈值，则表示通过；

S35：在设备哈希签名校验结果一致，且TOTP验证通过时，识别连接请求的设备为可信。

具体的，设备哈希签名校验，其中操作为：使用与步骤S21相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到一个新的哈希值。将这个新计算出的哈希值与步骤S32中得到的哈希值进行比较。其中结果为：一致，则表示消息在传输过程中没有被篡改，且确实来自拥有相应私钥的设备。不一致，则表示消息可能被篡改，或者不是来自预期的设备。

具体的，TOTP验证即基于时间的一次性密码。其中操作为：计算接收端系统当前的时间戳。计算步骤S31中解密得到的时间戳与当前时间戳之间的差值绝对值。将这个差值绝对值与一个预设的阈值进行比较。其结果为：差值绝对值大于阈值，则表示消息可能过时，或者在传输过程中被延迟。差值绝对值小于等于阈值，则表示消息是新鲜的，且在合理的时间范围内到达。

具体的，识别设备可信性的条件：设备哈希签名校验结果一致，且TOTP验证通过。其结果为：满足条件：识别连接请求的设备为可信。不满足条件：拒绝连接请求或采取其他安全措施。这个过程确保了只有具有有效私钥和相应公钥的设备能够成功进行身份验证，并且消息在传输过程中没有被篡改或延迟。同时，TOTP验证确保了消息的新鲜性，即它不是在很久以前创建的。这样的机制对于保护系统免受中间人攻击、重放攻击和其他安全威胁非常有效。

参阅图4，身份验证数据包的生成，经过两道加密：

第一道加密，是将设备的序列号和生成加密身份验证数据这个时刻的时间戳数据，用哈希算法SHA生成哈希值即原始哈希数据，利用私钥对哈希值进行加密，且明文哈希数据入TPM设备后加密哈希数据出。这一步的作用是利用私钥的唯一性让接收端后续对哈希签名进行公钥解密验证，以确定这个数据不是仿冒的。

第二道加密，是用与私钥匹配的设备专用公钥，将设备序列号、时间戳和加密哈希签名数据作为输入进行加密，且设备认证原始数据入TPM设备后设备认证加密数据出，生成加密设备认证数据即加密身份验证数据包。这一步的目的是为了保证传输过程中数据是安全的。

这里进行的私钥加密和公钥加密，都是在TPM设备中进行，密钥不出TPM硬件，可以保证公私钥不会泄露，将私钥和公钥都内置进TPM，确保公私钥的安全。

参阅图5，设备加密身份验证数据验证，需要经过两次解密，并且会进行两次安全验证。

两次解密：

第一次解密，接收端利用内置的身份验证私钥，将加密设备认证数据即加密身份验证数据包进行解密，可以得到以下三组数据：设备序列号明文，设备时间戳明文，序列号+时间戳的哈希签名密文。

第二次解密：接收端利用内置的身份验证公钥进行SHA哈希密文的解密，得到一个哈希明文。

两次验证：

第一次验证，接收端调用相同的哈希算法SHA，对设备序列号+时间戳数据进行哈希计算，计算得到的哈希值与上面解密得到的哈希值进行比对，比对一致代表验证通过，不一致则不通过。

第二次验证，接收端对比接收端系统当前的时间戳与发送端解密数据中的时间戳的差值绝对值，如果差值绝对值超过一个阈值，则不通过。小于等于这个阈值，则通过。阈值一般建议控制在10秒以内，不宜过长。原则上阈值设置的越小，发生重放攻击成功的概率越低。但是阈值越小，对多个设备之间的同步要求越高。实际应用可以根据设备时间同步性能和安全要求等级做动态的设置。需要两次验证都为通过的情况下，才会认为设备身份验证通过，进行下一阶段密钥交换安全会话等流程。只有任何一次验证通过或者两次都失败的情况都视为验证失败。解密验证用到的密钥与加密端流程相似，利用TPM保证密钥的安全性。

本方法利用预置在TPM设备或者TCM安全存储中的公私密钥对，进行设备身份验证数据包的生成，通过发现协议捎带及接收端的验证，设备在请求发现广播和服务发布环节，捎带设备自身的加密身份验证数据包进行设备类型校验，以确认设备是否为可信设备。如果是可信设备，则无需进行额外的连接认证，直接互联并建立安全通信通道。如果不是可信设备，接收端则拒绝与该设备的通信。以增强分布式设备连接认证的安全性，简化分布式设备互联的流程，实现在广播或组播的发现和服务发布过程中自动对连接设备进行自动认证和连接。

实施例二

请参阅图6，本实施例提供了一种基于预埋安全非对称密钥的分布式设备认证系统，包括：

公私密钥预置模块：用于为每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；

加密携带及接收模块：用于在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；

解密及验证模块：用于对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。

参阅图7，其中，加密携带及接收模块包括：

哈希签名数据生成单元：用于将设备序列号和当前时刻的时间戳数据通过哈希算法生成哈希值，利用私钥对哈希值进行加密得到哈希签名数据；

加密身份验证数据包生成单元：利用与私钥匹配的设备公钥，将设备序列号、时间戳数据和加密的哈希签名数据作为输入进行加密，得到加密身份验证数据包。

其中，加密携带及接收模块还包括：

发送单元：用于在请求发现广播环节中，设备将携带自身的身份验证数据包捎带在广播消息中发送出去；

发布单元：用于在服务发布环节中，设备将携带自身的身份验证数据包捎带在发布的服务信息中。

其中，解密及验证模块包括：

第一解密单元：利用接收端内置的身份验证私钥，将加密身份验证数据包进行解密，得到设备序列号明文，时间戳明文和哈希签名密文；

第二解密单元：利用接收端内置的身份验证公钥进行哈希签名密文的解密，得到哈希明文。

其中，解密及验证模块还包括：

哈希签名校验单元：用于进行设备哈希签名校验，调用与哈希签名数据生成单元中相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到的哈希值与第二解密单元得到的哈希值进行比对，比对一致则表示通过，不一致则表示失败；

TOTP验证单元：用于进行TOTP验证，对比接收端系统当前的时间戳与第一解密单元的解密数据中时间戳的差值绝对值，若差值绝对值大于阈值，则表示不通过；若差值绝对值小于等于阈值，则表示通过；

识别单元：用于在设备哈希签名校验结果一致，且TOTP验证通过时，识别连接请求的设备为可信。

本系统利用公私密钥预置模块预置在TPM设备或者TCM安全存储中的公私密钥对，在加密携带及接收模块进行设备身份验证数据包的生成，通过发现协议捎带及接收端的验证，设备在请求发现广播和服务发布环节，捎带设备自身的加密身份验证数据包在解密及验证模块中进行设备类型校验，以确认设备是否为可信设备。如果是可信设备，则无需进行额外的连接认证，直接互联并建立安全通信通道。如果不是可信设备，接收端则拒绝与该设备的通信。以增强分布式设备连接认证的安全性，简化分布式设备互联的流程，实现在广播或组播的发现和服务发布过程中自动对连接设备进行自动认证和连接。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。

Claims (10)

1.一种基于预埋安全非对称密钥的分布式设备认证方法，其特征在于，包括步骤：

S1：对每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；

S2：在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；

S3：对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。

2.根据权利要求1所述的基于预埋安全非对称密钥的分布式设备认证方法，其特征在于，所述步骤S2包括：

S21：将设备序列号和当前时刻的时间戳数据通过哈希算法生成哈希值，利用私钥对哈希值进行加密得到哈希签名数据；

S22：利用与私钥匹配的设备公钥，将设备序列号、时间戳数据和加密的哈希签名数据作为输入进行加密，得到加密身份验证数据包。

3.根据权利要求2所述的基于预埋安全非对称密钥的分布式设备认证方法，其特征在于，所述步骤S2还包括：

S23：在请求发现广播环节中，设备将携带自身的身份验证数据包捎带在广播消息中发送出去；

S24：在服务发布环节中，设备将携带自身的身份验证数据包捎带在发布的服务信息中。

4.根据权利要求3所述的基于预埋安全非对称密钥的分布式设备认证方法，其特征在于，所述步骤S3包括：

S31：利用接收端内置的身份验证私钥，将加密身份验证数据包进行解密，得到设备序列号明文，时间戳明文和哈希签名密文；

S32：利用接收端内置的身份验证公钥进行哈希签名密文的解密，得到哈希明文。

5.根据权利要求4所述的基于预埋安全非对称密钥的分布式设备认证方法，其特征在于，所述步骤S3还包括：

S33：进行设备哈希签名校验，调用与步骤S21相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到的哈希值与步骤S32得到的哈希值进行比对，比对一致则表示通过，不一致则表示失败；

S34：进行TOTP验证，对比接收端系统当前的时间戳与步骤S31的解密数据中时间戳的差值绝对值，若差值绝对值大于阈值，则表示不通过；若差值绝对值小于等于阈值，则表示通过；

S35：在设备哈希签名校验结果一致，且TOTP验证通过时，识别连接请求的设备为可信。

6.一种基于预埋安全非对称密钥的分布式设备认证系统，其特征在于，包括：

公私密钥预置模块：用于为每种设备类型颁发相同的私钥和不同的公钥，并将设备的私钥和公钥对存放在TPM模块中；

加密携带及接收模块：用于在发现协议的消息结构体或负载结构体中捎带设备的加密身份验证数据包，并通过接收端在请求发现广播和服务发布环节中接收捎带设备的加密身份验证数据包；

解密及验证模块：用于对设备的加密身份验证数据包进行解密和验证，在验证通过后，识别连接请求的设备为可信，并建立加密会话链路后进行业务交互；在验证失败后，接收端拒绝与该设备的通信。

7.根据权利要求6所述的基于预埋安全非对称密钥的分布式设备认证系统，其特征在于，所述加密携带及接收模块包括：

哈希签名数据生成单元：用于将设备序列号和当前时刻的时间戳数据通过哈希算法生成哈希值，利用私钥对哈希值进行加密得到哈希签名数据；

加密身份验证数据包生成单元：利用与私钥匹配的设备公钥，将设备序列号、时间戳数据和加密的哈希签名数据作为输入进行加密，得到加密身份验证数据包。

8.根据权利要求7所述的基于预埋安全非对称密钥的分布式设备认证系统，其特征在于，所述加密携带及接收模块还包括：

发送单元：用于在请求发现广播环节中，设备将携带自身的身份验证数据包捎带在广播消息中发送出去；

发布单元：用于在服务发布环节中，设备将携带自身的身份验证数据包捎带在发布的服务信息中。

9.根据权利要求8所述的基于预埋安全非对称密钥的分布式设备认证系统，其特征在于，所述解密及验证模块包括：

第一解密单元：利用接收端内置的身份验证私钥，将加密身份验证数据包进行解密，得到设备序列号明文，时间戳明文和哈希签名密文；

第二解密单元：利用接收端内置的身份验证公钥进行哈希签名密文的解密，得到哈希明文。

10.根据权利要求9所述的基于预埋安全非对称密钥的分布式设备认证系统，其特征在于，所述解密及验证模块还包括：

哈希签名校验单元：用于进行设备哈希签名校验，调用与哈希签名数据生成单元中相同的哈希算法，对设备序列号和时间戳数据进行哈希计算，得到的哈希值与第二解密单元得到的哈希值进行比对，比对一致则表示通过，不一致则表示失败；

TOTP验证单元：用于进行TOTP验证，对比接收端系统当前的时间戳与第一解密单元的解密数据中时间戳的差值绝对值，若差值绝对值大于阈值，则表示不通过；若差值绝对值小于等于阈值，则表示通过；

识别单元：用于在设备哈希签名校验结果一致，且TOTP验证通过时，识别连接请求的设备为可信。