一种物联网信息安全传输方法与流程

本发明涉及一种基于指纹和终端认证实现物联网信息安全传输技术领域，尤其涉及一种物联网信息安全传输方法，包括物联网终端与云端、终端与终端的安全认证及安全信息传输，通过这种方式保证了交互双方身份的安全认证、信息传输的完整性、机密性等安全要素，主要涉及到技术包括pki、数字证书、国密对称算法sm4等。

背景技术：

随着互联网迅速普及和蓬勃发展，网络速度及网络响应越来越快，人们不再局限于关注互联网，物联网借着互联网的发展开始进入人类发展的浪潮中来。物联网时代的到来，是技术使然也是历史必然，它将推动人类的发展，同时也带来了安全技术进一步发展和应用。目前，物联网已然成为各大商业巨头争相逐利和放眼未来发展的重要领域。但由于物联网的安全性和相关的安全标准有限，导致物联网的发展也不尽人意。当然，最为显著的问题就是包括物联网设备的认证和相关操作实体身份认证的合法性、物联网交互过程中数据传输的完整性、准确性、安全性及数据处理的安全性。目前最好的防范措施就是建立一套以指纹识别与终端认证为基础的信息安全传输机制，来保证物联网时代安全至上的终极目标。

目前，物联网还未制定相关的安全标准和协议，只有少量的互联网公司投身物联网的安全方向，但物联网却未停止发展的脚步，在这个大环境下，一套安全可靠的物联网安全信息传输机制即保证大环境下物联网的设备与人的安全，同时也保证了物联网这一行业发展的安全。本发明，根据物联网的特点及互联网实名认证和物联网未来安全领域的发展，提出了一种基于指纹识别和终端认证实现物联网信息安全传输的方式。

技术实现要素：

针对现有技术存在的不足之处，本发明的目的在于提供一种物联网信息安全传输方法，保证了终端设备与服务器在整个会话过程的数据安全，同时保证了指纹身份认证、数据的完整性、准确性，采用对称加密算法同时也保证了响应时间的及时性、可靠性。

本发明的目的通过下述技术方案实现：

一种物联网信息安全传输方法，包括终端设备和服务器，所述终端设备内部存储有rsa数字证书公钥(puk)、终端sn号、厂家名称、终端型号、sdk包以及sdk包md5值，所述sdk包md5值为sdk包的md5值，所述服务器内部存储有rsa数字证书私钥(prk)，所述终端设备与服务器构成一个物联网，其方法步骤如下：

a、终端设备向服务器发起激活请求：终端设备向服务器上传经过rsa数字证书公钥(puk)签名的终端相关信息，所述终端相关信息包括终端sn号、厂家名称、终端型号、sdk包以及sdk包md5值；服务器通过rsa数字证书私钥(prk)验签终端相关信息，当服务器验签成功后，服务器对终端设备上传的终端相关信息进行审核，当服务器审核通过后，则生成终端设备的唯一标签识别号tid与对应服务器真实身份的sid，然后通过服务器的rsa数字证书私钥(prk)将tid和sid签名后回传给终端设备；终端设备获取到服务器回传的tid与sid信息后经过puk验签，当终端设备验签成功后，终端设备旋即获取到tid与sid信息，然后终端设备再次采用rsa数字证书公钥(puk)签名后上传激活tof值至服务器，服务器即可完成该终端设备的tid的激活，同时服务器与终端设备均存储相关数据，该相关数据包括终端相关信息、激活tof值、tid与sid信息；

b、终端设备指纹激活流程：终端设备录入使用人的指纹信息，该指纹信息包括不超过使用人的三个指纹数据；当终端设备录入指纹信息成功后，然后终端设备将最新的指纹信息与tid关联后通过rsa数字证书(puk)签名上传给服务器，服务器获取终端设备上传的指纹信息保存后并返回经rsa数字证书(prk)签名的tof值与sid值，tof值为步骤a的激活tof值，sid值为步骤a的sid信息，终端设备获取返回的tof值与sid值；若服务器成功录入，则终端设备保存指纹信息，在指纹激活完成后，终端设备即可正常使用；在每次重启终端设备后，需先通过指纹认证后才能正常进行物联网信息安全传输使用；

c、身份认证：包括服务器验证终端设备身份与终端设备验证服务器身份；

c1、终端第一次向服务器发起会话连接请求时，服务器需要验证终端设备的身份，服务器验证终端设备身份方法如下：

c11、终端设备获取当前时间的时间戳ttm；

c12、终端设备将时间戳ttm通过sdk包中的国密对称加密算法sm4进行加密后tsm4数据与tid一起上传至服务器，国密对称加密算法sm4加密的密钥为sid信息与指纹信息的组合密钥；

c13、服务器收到tid后，服务器获取相关的指纹信息与sid信息，采用国密对称加密算法sm4解密方法进行解密；当解密成功后，服务器记录时间戳ttm及终端设备上传时间的时间差值ttmv，时间差值ttmv＝当前时间-时间戳ttm，所述当前时间为服务器解密成功时的时间，则服务器验证终端设备成功；

c14、如果服务器验证终端设备身份失败，则向终端设备返回错误信息并要求终端设备再一次验证终端设备身份，然后按照流程c11～c13依次重新执行一次；

c2、待服务器验证终端设备身份成功后，终端设备需要验证服务器身份，终端设备验证服务器身份方法如下：

c21、服务器通过tid获取终端设备对应的sid信息，再获取当前时间stm，同时获取终端设备的指纹信息；

c22、服务器使用国密对称加密算法sm4对当前时间stm加密，国密对称加密算法sm4加密的密钥为sid信息与指纹信息的组合密钥，服务器对当前时间stm加密后为ssm4数据，同时服务器回传ssm4数据与sid信息给终端设备；

c23、终端设备利用sdk包中国密对称加密算法sm4将服务器回传的ssm4数据与sid信息进行解密；若解密成功，终端设备记录当前时间及本次回传时间的时间差值stmv，时间差值stmv＝当前时间-stm，所述当前时间为终端设备解密成功时的时间，则验证服务器成功；

c24、若果终端设备验证服务器失败，则向服务器返回错误信息，要求服务器再一次验证服务器身份，然后按照流程c21～c23依次重新执行一次；

d、服务器与终端设备之间独立安全的会话：包括如下步骤：

d1、服务器与终端设备之间加密算法密钥协商：如果服务器与终端设备均认证成功，那么终端设备与服务器就确认本次会话的安全性，此时双方需要协商密钥；协商密钥采用双向对称密钥加密，双向对称密钥加密即服务器向终端设备发送的数据采用一套密钥，终端设备向服务器采用另外一套密钥，也就是一次会话期间加解密采用两套密钥，双方解密数据时采用对方的加密密钥进行解密；

d11、服务器根据终端设备的sdk包的版本vtsdk确定加密算法alg；

d12、服务器根据指纹信息、sid信息、时间戳ttm通过该加密算法alg产生密钥skey，利用通过rsa数字证书私钥(prk)签名生成skey'，并发送给终端设备；终端设备根据指纹信息、sid信息、时间戳ttm通过该加密算法alg产生密钥tkey，利用通过rsa数字证书(puk)签名生成tkey'，并发送给服务器；

d13、终端设备收到skey'，利用rsa数字证书(puk)成功获取skey，并返回确认消息给服务器；服务器收到tkey'，利用rsa数字证书私钥(prk)成功获取tkey，并返回确认消息给终端；

d14、若服务器解密失败，则返回失败消息给终端设备，并且两者再次请求协商加密算法alg，然后重复步骤d11～d13；若终端设备解密失败，则返回失败消息给服务器，并且两者再次请求协商加密算法alg，然后重复步骤d11～d13；

d15、服务器与终端设备之间的本次会话期间，服务器将一直使用该密钥skey进行加密，同时服务器一直使用tkey进行解密；终端设备将一直采用tkey进行加密，同时终端设备一直使用skey进行解密；并直到本次会话结束。

本发明较现有技术相比，具有以下优点及有益效果：

本发明保证了终端设备与服务器在整个会话过程的数据安全，同时保证了指纹身份认证、数据的完整性、准确性，采用对称加密算法同时也保证了响应时间的及时性、可靠性。

附图说明

图1为本发明终端设备激活的原理示意图；

图2为本发明终端设备指纹激活的原理示意图；

图3为本发明服务器与终端设备认证的原理示意图；

图4为本发明服务器与终端设备之间安全会话的原理示意图。

具体实施方式

下面结合实施例对本发明作进一步地详细说明：

实施例

如图1～图4所示，一种物联网信息安全传输方法，包括终端设备和服务器，所述终端设备内部存储有rsa数字证书公钥(puk)、终端sn号、厂家名称、终端型号、sdk包以及sdk包md5值，所述sdk包md5值为sdk包的md5值，所述服务器内部存储有rsa数字证书私钥(prk)，所述终端设备与服务器构成一个物联网，其方法步骤如下：

a、终端设备向服务器发起激活请求：终端设备向服务器上传经过rsa数字证书公钥(puk)签名的终端相关信息，所述终端相关信息包括终端sn号、厂家名称、终端型号、sdk包以及sdk包md5值；服务器通过rsa数字证书私钥(prk)验签终端相关信息，当服务器验签成功后，服务器对终端设备上传的终端相关信息进行审核，当服务器审核通过后，则生成终端设备的唯一标签识别号tid与对应服务器真实身份的sid，然后通过服务器的rsa数字证书私钥(prk)将tid和sid签名后回传给终端设备；终端设备获取到服务器回传的tid与sid信息后经过puk验签，当终端设备验签成功后，终端设备旋即获取到tid与sid信息，然后终端设备再次采用rsa数字证书公钥(puk)签名后上传激活tof值至服务器，服务器即可完成该终端设备的tid的激活，同时服务器与终端设备均存储相关数据，该相关数据包括终端相关信息、激活tof值、tid与sid信息；

b、终端设备指纹激活流程：终端设备录入使用人的指纹信息，该指纹信息包括不超过使用人的三个指纹数据；当终端设备录入指纹信息成功后，然后终端设备将最新的指纹信息与tid关联后通过rsa数字证书(puk)签名上传给服务器，服务器获取终端设备上传的指纹信息保存后并返回经rsa数字证书(prk)签名的tof值与sid值，tof值为步骤a的激活tof值，sid值为步骤a的sid信息，终端设备获取返回的tof值与sid值；若服务器成功录入，则终端设备保存指纹信息，在指纹激活完成后，终端设备即可正常使用；在每次重启终端设备后，需先通过指纹认证后才能正常进行物联网信息安全传输使用；

c、身份认证：包括服务器验证终端设备身份与终端设备验证服务器身份；

c1、终端第一次向服务器发起会话连接请求时，服务器需要验证终端设备的身份，服务器验证终端设备身份方法如下：

c11、终端设备获取当前时间的时间戳ttm；

c12、终端设备将时间戳ttm通过sdk包中的国密对称加密算法sm4进行加密后tsm4数据与tid一起上传至服务器，国密对称加密算法sm4加密的密钥为sid信息与指纹信息的组合密钥；

c13、服务器收到tid后，服务器获取相关的指纹信息与sid信息，采用国密对称加密算法sm4解密方法进行解密；当解密成功后，服务器记录时间戳ttm及终端设备上传时间的时间差值ttmv，时间差值ttmv＝当前时间-时间戳ttm，所述当前时间为服务器解密成功时的时间，则服务器验证终端设备成功；

c14、如果服务器验证终端设备身份失败，则向终端设备返回错误信息并要求终端设备再一次验证终端设备身份，然后按照流程c11～c13依次重新执行一次；

c2、待服务器验证终端设备身份成功后，终端设备需要验证服务器身份，终端设备验证服务器身份方法如下：

c21、服务器通过tid获取终端设备对应的sid信息，再获取当前时间stm，同时获取终端设备的指纹信息；

c22、服务器使用国密对称加密算法sm4对当前时间stm加密，国密对称加密算法sm4加密的密钥为sid信息与指纹信息的组合密钥，服务器对当前时间stm加密后为ssm4数据，同时服务器回传ssm4数据与sid信息给终端设备；

c23、终端设备利用sdk包中国密对称加密算法sm4将服务器回传的ssm4数据与sid信息进行解密；若解密成功，终端设备记录当前时间及本次回传时间的时间差值stmv，时间差值stmv＝当前时间-stm，所述当前时间为终端设备解密成功时的时间，则验证服务器成功；

c24、若果终端设备验证服务器失败，则向服务器返回错误信息，要求服务器再一次验证服务器身份，然后按照流程c21～c23依次重新执行一次；

d、服务器与终端设备之间独立安全的会话：如图4所示，包括如下步骤：

d1、服务器与终端设备之间加密算法密钥协商：如果服务器与终端设备均认证成功，那么终端设备与服务器就确认本次会话的安全性，此时双方需要协商密钥；协商密钥采用双向对称密钥加密，双向对称密钥加密即服务器向终端设备发送的数据采用一套密钥，终端设备向服务器采用另外一套密钥，也就是一次会话期间加解密采用两套密钥，双方解密数据时采用对方的加密密钥进行解密；

d11、服务器根据终端设备的sdk包的版本vtsdk确定加密算法alg；

d12、服务器根据指纹信息、sid信息、时间戳ttm通过该加密算法alg产生密钥skey，利用通过rsa数字证书私钥(prk)签名生成skey'，并发送给终端设备；终端设备根据指纹信息、sid信息、时间戳ttm通过该加密算法alg产生密钥tkey，利用通过rsa数字证书(puk)签名生成tkey'，并发送给服务器；

d13、终端设备收到skey'，利用rsa数字证书(puk)成功获取skey，并返回确认消息给服务器；服务器收到tkey'，利用rsa数字证书私钥(prk)成功获取tkey，并返回确认消息给终端；

d14、若服务器解密失败，则返回失败消息给终端设备，并且两者再次请求协商加密算法alg，然后重复步骤d11～d13；若终端设备解密失败，则返回失败消息给服务器，并且两者再次请求协商加密算法alg，然后重复步骤d11～d13；

d15、服务器与终端设备之间的本次会话期间，服务器将一直使用该密钥skey进行加密，同时服务器一直使用tkey进行解密；终端设备将一直采用tkey进行加密，同时终端设备一直使用skey进行解密；并直到本次会话结束。

本发明如果服务器与终端设备双方需要检测数据完整性校验，可以采用sdk包中数据完整性算法，在获取数据的时候对数据完整性进行校验，防止数据传输的过程中被第三方截取篡改。

本发明保证了终端与服务器在整个会话过程的数据安全，包括指纹身份认证、数据的完整性、准确性，采用对称加密算法同时也保证响应时间的及时性、可靠性。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。