一种基于物联网设备的认证系统的制作方法

本发明涉及物联网安全领域，特别是涉及一种基于物联网设备的认证系统。

背景技术：

物联网(internetofthings，iot)是建立在互联网基础上的泛在网络发展的一个新阶段，它可以通过各种有线和无线网络与互联网融合，综合应用海量的传感器、智能处理终端、全球定位系统等，实现物与物、物与人的随时随地连接，实现智能管理和控制。iot引领了信息产业革命的第三次浪潮，将成为未来社会经济发展、社会进步和科技创新的最重要的基础设施，也关系到国家在未来对一些物理设施的安全利用和管控。根据gartner公司的报告，2016年有64亿个iot设备上线，其中很大一部分是智能家居系统，如智能恒温器、健身追踪器、冰箱等，预计数量到2020年将达到200亿以上。虽然iot发展日趋迅猛，但iot的安全问题却日趋突出。

如果能改进iot设备的认证问题，就可以有效解决以上两点问题。目前，在iot中，iot终端设备一般处于无人值守的环境中，其设备容易受到攻击、破坏，从而带来利益的争端问题；同时，窃取用户身份的非法设备接入网络后也可能会对网络实施进一步的破坏。因此，网络侧有必要验证接入网络的设备合法性。

技术实现要素：

这个部分提供了本公开的一般概要，而不是其全部范围或其全部特征的全面披露。

本公开的目的在于提供一种基于物联网设备的认证系统，该系统包括：情境因素子系统(10)、身份认证子系统(20)、认证管理子系统(30)和用户特征数据库(40)；其中，

所述情境因素子系统(10)又包括数据采集模块(101)、因素提取模块(102)，该子系统具体用于通过抓取数据包的形式收集设备情境因素作为认证的决策因素；

所述身份认证子系统(20)又包括优先因素确认模块(201)、因素决策模块(202)、用户特征值计算模块(203)和对比模块(204)，该子系统具体用于对用户最新的情境因素和过去情境因素通过决策树进行计算，与用户特征数据库中的数据比对；

所述优先因素确认模块(201)用于预先设定各个因素的决策优先级，并且在认证过程中，根据各个因素历史使用频率或者变化情况调整各个因素的决策优先级；

所述因素决策模块(202)根据优先级顺序分类判断，获取判断结果，即按照高、中、低每一个优先级分类中各个因素的判断结果以及对应的前后逻辑关系，确定该物联网设备的因素决策结果；

所述用户特征值计算模块(203)用于根据所述因素决策模块(202)得到的因素决策结果，按照预定的规则或者公式，计算该物联网设备对应的用户特征值；

所述对比模块(204)接收所述用户特征值计算模块(203)计算得到的用户特征值，并与用户特征数据库(40)中该物联网设备对应的存储特征值进行比较，得到比较结果；

所述认证管理子系统(30)又包括二次认证模块(301)和认证控制模块(302)，该子系统用于认证管理根据身份认证模块传递来的结果决定是否发起身份认证挑战，或者直接为用户提供服务，若发起挑战，则身份认证挑战的作用在于通过预设的机制来验证用户是否合法。

优选的，所述数据采集模块(101)用于接收物联网设备发送的交互数据，同时，也接收或者采集网络参数以及物联网设备参数；

所述因素提取模块(102)用于接收所述数据采集模块(101)的各种数据或者参数，并从中提取所需的情境因素。

优选的，所述情境因素包括设备指纹是否吻合、用户名/密码是否正确、协议是否变化、登录频率是否异常、登录时间是否异常以及ip/mac是否异常。

优选的，所述二次认证模块(301)用于根据对比模块(204)得到的比较结果，判断是否需要进行用户二次认证，如果需要，则生成用户二次认证内容和界面，随后，发送到所述物联网设备中进行显示；如果不需要，则发送认证通过信息到认证控制模块(302)；

所述认证控制模块(302)用于根据二次认证模块(301)发送的认证结果，进行对应的处理；如果接收到认证通过信息，则通知对应的服务器为所述物联网设备提供服务，如果接收到认证不通过信息，则通知所述物联网设备认证错误消息。

优选的，所述二次认证模块(301)还用于在进行二次认证时，如果认证成功，则将对比模块(204)发送的比较结果中的用户特征值存储在用户特征数据库(40)中的该物联网设备对应的位置，作为后续设备认证的依据；如果认证不成功，则发送认证不通过信息到认证控制模块(302)。

本发明还提供一种基于物联网设备的认证方法，该方法应用于基于物联网设备的认证系统，具体包括：

(1)生成认证请求信息，并发送到情境因素子系统中；

(2)接收到认证请求信息后，提取和采集所需的情境因素，并上述接收和采集的情境因素发送到所述因素提取模块；

(3)接收到上述情境因素后，提取每一个情境因素的参数值，并发送到所述因素决策模块；优先因素确认模块根据预先设定的参数将上述情境因素分为高、中、低三个优先级，并将上述优先级分类规则发送到所述因素决策模块；

(4)接收到优先级分类规则和情境因素的参数值后，按照优先级顺序，进行情境因素的判断，得到判断结果并发送到所述用户特征值计算模块；

(5)接收到判断结果信息后，按照预设规则提取结果中各个情境因素，并转换为对应的结果参数值，按照公式利用结果中所有情境因素的值，计算得到用户特征值，并发送到所述对比模块；

(6)接收到用户特征值后，从用户特征数据库中获取该物联网设备或者用户对应的一个或者多个特征值。并接收到的用户特征值与数据库中的每一个特征值进行比较，并将比较结果发送到所述二次认证模块；

(7)接收到比较结果信息后，判断比较结果中匹配成功数量,如果匹配成功的特征值为一个或者多个，则判断为认证成功，并生成认证通过消息发送到所述认证控制模块；如果匹配成功的特征值为零，则判断为认证不成功，并生成二次认证内容和界面，发送到所述物联网设备进行显示。

有益效果：利用本申请的方法和系统，既不会修改这些设备的软件或硬件，也不会修改接入点的操作系统或是对路由器硬件作出任何假设，而是通过寻找通信流量之间的身份标识来进行认证访问；同时决策树具有分类精度高、操作简单以及对噪声数据有很好的健壮性等优点。

从在此提供的描述中，进一步的适用性区域将会变得明显。这个概要中的描述和特定例子只是为了示意的目的，而不旨在限制本公开的范围。

附图说明

在此描述的附图只是为了所选实施例的示意的目的而非全部可能的实施，并且不旨在限制本公开的范围。在附图中：

图1是基于物联网设备的认证系统示意图；

图2是基于物联网设备的认证方法流程图。

虽然本公开容易经受各种修改和替换形式，但是其特定实施例已作为例子在附图中示出，并且在此详细描述。然而应当理解的是，在此对特定实施例的描述并不打算将本公开限制到公开的具体形式，而是相反地，本公开目的是要覆盖落在本公开的精神和范围之内的所有修改、等效和替换。要注意的是，贯穿几个附图，相应的标号指示相应的部件。

具体实施方式

现在参考附图来更加充分地描述本公开的例子。以下描述实质上只是示例性的，而不旨在限制本公开、应用或用途。

提供了示例实施例，以便本公开将会变得详尽，并且将会向本领域技术人员充分地传达其范围。阐述了众多的特定细节如特定部件、装置和方法的例子，以提供对本公开的实施例的详尽理解。对于本领域技术人员而言，不需要使用特定的细节，示例实施例可以用许多不同的形式来实施，它们都不应当被解释为限制本公开的范围。在某些示例实施例中，没有详细地描述众所周知的过程、众所周知的结构和众所周知的技术。

下面将对本公开内容所提出的技术问题进行详细说明。需要注意的，该技术问题仅是示例性的，目的不在于限制本发明的应用。

本发明还提供一种基于物联网设备的认证系统，如图1所示，该系统包括：情境因素子系统10、身份认证子系统20、认证管理子系统30和用户特征数据库40。

其中，

所述情境因素子系统10又包括数据采集模块101、因素提取模块102，该子系统具体用于通过抓取数据包的形式收集设备的情境因素作为认证的决策因素。

所述数据采集模块101用于接收物联网设备发送的交互数据，同时，也接收或者采集网络参数以及物联网设备参数。

所述因素提取模块102用于接收所述数据采集模块101的各种数据或者参数，并从中提取所需的情境因素。该情境因素包括设备指纹是否吻合、用户名/密码是否正确、协议是否变化、登录频率是否异常、登录时间是否异常以及ip/mac是否异常。

所述身份认证子系统20又包括优先因素确认模块201、因素决策模块202、用户特征值计算模块203和对比模块204，该子系统具体用于对用户最新的情境因素和过去情境因素通过决策树进行计算，与用户特征数据库中的数据比对。

所述优先因素确认模块201用于预先设定各个因素的决策优先级，并且在认证过程中，根据各个因素历史使用频率或者变化情况调整各个因素的决策优先级。

所述因素决策模块202根据优先级顺序分类判断，获取判断结果，即按照高、中、低每一个优先级分类中各个因素的判断结果以及对应的前后逻辑关系，确定该物联网设备的因素决策结果。

所述用户特征值计算模块203用于根据所述因素决策模块202得到的因素决策结果，按照预定的规则或者公式，计算该物联网设备对应的用户特征值。

所述对比模块204接收所述用户特征值计算模块203计算得到的用户特征值，并与用户特征数据库40中该物联网设备对应的存储特征值进行比较，得到比较结果。

所述认证管理子系统30又包括二次认证模块301和认证控制模块302，该子系统用于认证管理根据身份认证模块传递来的结果决定是否发起身份认证挑战，或者直接为用户提供服务，若发起挑战，则身份认证挑战的作用在于通过预设的机制来验证用户是否合法。

所述二次认证模块301用于根据对比模块204得到的比较结果，判断是否需要进行用户二次认证，如果需要，则生成用户二次认证内容和界面，随后，发送到所述物联网设备中进行显示；如果不需要，则发送认证通过信息到认证控制模块302。

所述二次认证模块301还用于在进行二次认证时，如果认证成功，则将对比模块204发送的比较结果中的用户特征值存储在用户特征数据库40中的该物联网设备对应的位置，作为后续设备认证的依据。如果认证不成功，则发送认证不通过信息到认证控制模块302。

所述认证控制模块302用于根据二次认证模块301发送的认证结果，进行对应的处理。如果接收到认证通过信息，则通知对应的服务器为所述物联网设备提供服务，如果接收到认证不通过信息，则通知所述物联网设备认证错误消息。

下面将具体实例详细描述各个子系统之间的工作过程。

所述物联网设备生成认证请求信息，并发送到所述情境因素子系统10中，该认证请求信息中包括用户登录id/密码、登录时间。所述情境因素子系统10接收到认证请求信息后，提取其中的两个情境因素，即所述用户登录id/密码、登录时间，同时，所述情境因素子系统10采集网络参数和当前物联网设备参数，即网络参数为数据传输协议和ip/mac参数两个情境因素，而当前物联网设备参数为登录频率和设备指纹两个情境因素，得到6个情境因素。随后，所述情境因素子系统10将上述接收和采集的6个情境因素发送到所述因素提取模块102。

所述因素提取模块102接收到上述6个情境因素后，提取每一个情境因素的参数值，并发送到所述因素决策模块202。

与此同时，所述优先因素确认模块201首先根据预先设定的参数将上述6个情境因素分为高、中、低三个优先级，并将上述优先级分类规则发送到所述因素决策模块202。

例如：根据用户登录习惯或者网络攻击的特点，将用户登录id/密码和设备指纹设置为高优先级，将登录频率和数据传输协议设置为中优先级，而将ip/mac参数和登录时间设置为低优先级。

所述因素决策模块202接收到优先级分类规则和6个情境因素的参数值后，按照优先级顺序，进行情境因素的判断，得到判断结果并发送到所述用户特征值计算模块203。

具体为：所述因素决策模块202将情境因素的参数值与预设的各个因素值进行比较，如果相同则该情境因素符合要求，否则不符合要求。随后，所述因素决策模块202进行判断，如果高优先级分类的两个情境因素都不符合要求，则不进行后续优先级的判断，则将结果发送到所述用户特征值计算模块203；如果高优先级分类的两个情境因素至少有一个符合要求，则继续进行中优先级的判断。

同样地，所述因素决策模块202判断如果中优先级分类的两个情境因素都不符合要求，则不进行后续优先级的判断，则将结果发送到所述用户特征值计算模块203；如果中优先级分类的两个情境因素至少有一个符合要求，则继续进行低优先级的判断。随后，无论低优先级分类的两个情境因素是否符合要求，都将结果发送到所述用户特征值计算模块203。

例如：所述因素决策模块202首先将用户登录id/密码与预先设置的id和密码进行比较后，结果一致，但是设备指纹表明，用户使用的设备ip或者标识与预先设置的不同，则继续中优先级分类的判断。其次，所述因素决策模块202将登录频率和数据传输协议与预设或者之前登录时的频率和协议进行比较，结果一致，则继续低优先级分配的判断。最后，所述因素决策模块202将ip/mac参数与预先登录的参数比较后，确认一致，但是登录时间与历史登录习惯时间不同，则将上述每一个优先级的判断结果一起发送到所述用户特征值计算模块203。即，发送的信息为：用户登录id/密码(是)、设备指纹(否)--登录频率(是)、数据传输协议(否)--ip/mac参数(是)、登录时间(否)。

再例如：所述因素决策模块202首先将用户登录id/密码和设备指纹分别与预先设置的id和密码以及设备ip或者标识进行比较后，结果一致，则继续中优先级分类的判断。随后，所述因素决策模块202将登录频率和数据传输协议与预设或者之前登录时的频率和协议进行比较，结果都不一致，则停止情境因素的判断，将上述每一个优先级的判断结果一起发送到所述用户特征值计算模块203。即，发送的信息为：用户登录id/密码(是)、设备指纹(是)--登录频率(否)、数据传输协议(否)。

所述用户特征值计算模块203接收到所述因素决策模块202发送的判断结果信息后，按照预设规则提取结果中各个情境因素，并转换为对应的结果参数值。随后，所述用户特征值计算模块203按照公式利用结果中所有情境因素的值，计算得到用户特征值，并发送到所述对比模块204。

例如：对于上述结果信息：用户登录id/密码(是)、设备指纹(否)--登录频率(是)、数据传输协议(否)--ip/mac参数(是)、登录时间(否)。所述用户特征值计算模块203按照“--”分割每一个优先级，“、”分割每一个情境因素的规则，按照先后顺序提取三组情境因素，每一组2个；随后按照“(是)”等于1、“(否)”等于0的规则，形成提取的三组6个情境因素序列：(用户登录id/密码，设备指纹)(1，0)--(登录频率，数据传输协议)(1，0)--(ip/mac参数，登录时间)(1，0)。

上述公式为：用户特征值p＝a*(1+0)+b*(1+0)+c(1+0)，这里可以设置系数a＝3、系数b＝2、系数c＝1，则p＝6。

所述对比模块204接收到所述用户特征值计算模块203发送的用户特征值后，从用户特征数据库40中获取该物联网设备或者用户对应的一个或者多个特征值。随后，所述对比模块204将接收到的用户特征值与数据库中的每一个特征值进行比较，并将比较结果发送到所述二次认证模块301。

我们需要注意的是，由于用户特征数据库40中针对同一个物联网设备或者用户会存储一个或者多个合法的用户特征值，这些用户特征值都是预先设定或者在过去的设备认证过程中，通过认证的新的用户特征值，所以，所述对比模块204需要将接收到的用户特征值与数据库中的每一个特征值进行比较，来保证至少有一个用户特征值匹配成功，从而增加了匹配准确度。

例如：所述对比模块204将接收到的p＝6与用户特征数据库40中，该用户对应的特征值(p1＝6、p2＝7、p3＝8)进行比较，由于p＝p1，则结果为一个特征值匹配成功。随后，所述对比模块204将比较结果信息发送到所述二次认证模块301。

所述二次认证模块301接收到所述对比模块204发送的比较结果信息后，判断将结果中匹配成功数量。如果匹配成功的特征值为一个或者多个，则判断为认证成功，并生成认证通过消息发送到所述认证控制模块302。所述认证控制模块302接收到认证通过消息后，根据请求信息中的服务器或者其他设备标识发出认证通过的通知，并建立所述物联网设备与对应服务器或者设备的连接通道。也就是不再进行针对所述物联网设备的二次认证。

如果匹配成功的特征值为零，则所述二次认证模块301判断为认证不成功，并生成二次认证内容和界面。例如，进行用户身份id认证或者验证图形的认证，即生成用户身份证输入或者图形拖拉界面，并发送到所述物联网设备进行显示。

所述二次认证模块301接收到用户输入的内容后，将该内容与用户特征数据库40中预先存储的该用户或者物联网设备的对应信息进行比较，如预先存储的用户身份证号码、图形验证结果等，如果匹配成功，则生成认证通过消息发送到所述认证控制模块302，同时，将所述用户特征值计算模块203计算得到的所述物联网设备当前登录的用户特征值存储在用户特征数据库40对应该用户或者该物联网设备的位置，作为下一次物联网设备登录对比的特征值之一。

如果匹配不成功，则生成认证不通过消息发送到所述认证控制模块302。所述认证控制模块302接收到认证不通过消息后，通知所述物联网设备认证错误，并退出设备登录。

本发明还提供一种基于物联网设备的认证方法，如图2所示，具体包括：

(1)生成认证请求信息，并发送到情境因素子系统中。

该认证请求信息中包括用户登录id/密码、登录时间。

(2)接收到认证请求信息后，提取和采集情境因素，即所述用户登录id/密码、登录时间，同时，采集网络参数和当前物联网设备参数，即网络参数为数据传输协议和ip/mac参数两个情境因素，而当前物联网设备参数为登录频率和设备指纹两个情境因素，得到6个情境因素。随后，将上述接收和采集的情境因素发送到所述因素提取模块。

(3)接收到上述情境因素后，提取每一个情境因素的参数值，并发送到所述因素决策模块。

与此同时，首先根据预先设定的参数将上述6个情境因素分为高、中、低三个优先级，并将上述优先级分类规则发送到所述因素决策模块。

例如：根据用户登录习惯或者网络攻击的特点，将用户登录id/密码和设备指纹设置为高优先级，将登录频率和数据传输协议设置为中优先级，而将ip/mac参数和登录时间设置为低优先级。

(4)接收到优先级分类规则和情境因素的参数值后，按照优先级顺序，进行情境因素的判断，得到判断结果并发送到所述用户特征值计算模块。

具体为：将情境因素的参数值与预设的各个因素值进行比较，如果相同则该情境因素符合要求，否则不符合要求。随后，进行判断，如果高优先级分类的两个情境因素都不符合要求，则不进行后续优先级的判断，则将结果发送到所述用户特征值计算模块；如果高优先级分类的两个情境因素至少有一个符合要求，则继续进行中优先级的判断。

同样地，判断如果中优先级分类的两个情境因素都不符合要求，则不进行后续优先级的判断，则将结果发送到所述用户特征值计算模块；如果中优先级分类的两个情境因素至少有一个符合要求，则继续进行低优先级的判断。随后，无论低优先级分类的两个情境因素是否符合要求，都将结果发送到所述用户特征值计算模块。

例如：首先将用户登录id/密码与预先设置的id和密码进行比较后，结果一致，但是设备指纹表明，用户使用的设备ip或者标识与预先设置的不同，则继续中优先级分类的判断。其次，将登录频率和数据传输协议与预设或者之前登录时的频率和协议进行比较，结果一致，则继续低优先级分配的判断。最后，将ip/mac参数与预先登录的参数比较后，确认一致，但是登录时间与历史登录习惯时间不同，则将上述每一个优先级的判断结果一起发送到所述用户特征值计算模块。即，发送的信息为：用户登录id/密码(是)、设备指纹(否)--登录频率(是)、数据传输协议(否)--ip/mac参数(是)、登录时间(否)。

再例如：首先将用户登录id/密码和设备指纹分别与预先设置的id和密码以及设备ip或者标识进行比较后，结果一致，则继续中优先级分类的判断。随后，将登录频率和数据传输协议与预设或者之前登录时的频率和协议进行比较，结果都不一致，则停止情境因素的判断，将上述每一个优先级的判断结果一起发送到所述用户特征值计算模块。即，发送的信息为：用户登录id/密码(是)、设备指纹(是)--登录频率(否)、数据传输协议(否)。

(5)接收到判断结果信息后，按照预设规则提取结果中各个情境因素，并转换为对应的结果参数值。随后，按照公式利用结果中所有情境因素的值，计算得到用户特征值，并发送到所述对比模块。

例如：对于上述结果信息：用户登录id/密码(是)、设备指纹(否)--登录频率(是)、数据传输协议(否)--ip/mac参数(是)、登录时间(否)。按照“--”分割每一个优先级，“、”分割每一个情境因素的规则，按照先后顺序提取三组情境因素，每一组2个；随后按照“(是)”等于1、“(否)”等于0的规则，形成提取的三组6个情境因素序列：(用户登录id/密码，设备指纹)(1，0)--(登录频率，数据传输协议)(1，0)--(ip/mac参数，登录时间)(1，0)。

上述公式为：用户特征值p＝a*(1+0)+b*(1+0)+c(1+0)，这里可以设置系数a＝3、系数b＝2、系数c＝1，则p＝6。

(6)接收到用户特征值后，从用户特征数据库中获取该物联网设备或者用户对应的一个或者多个特征值。随后，将接收到的用户特征值与数据库中的每一个特征值进行比较，并将比较结果发送到所述二次认证模块。

我们需要注意的是，由于用户特征数据库中针对同一个物联网设备或者用户会存储一个或者多个合法的用户特征值，这些用户特征值都是预先设定或者在过去的设备认证过程中，通过认证的新的用户特征值，所以，需要将接收到的用户特征值与数据库中的每一个特征值进行比较，来保证至少有一个用户特征值匹配成功，从而增加了匹配准确度。

例如：将接收到的p＝6与用户特征数据库中，该用户对应的特征值(p1＝6、p2＝7、p3＝8)进行比较，由于p＝p1，则结果为一个特征值匹配成功。随后，将该结果信息发送到所述二次认证模块。

(7)接收到比较结果信息后，判断比较结果中匹配成功数量。如果匹配成功的特征值为一个或者多个，则判断为认证成功，并生成认证通过消息发送到所述认证控制模块。接收到认证通过消息后，根据请求信息中的服务器或者其他设备标识发出认证通过的通知，并建立所述物联网设备与对应服务器或者设备的连接通道。也就是不再进行针对所述物联网设备的二次认证。

如果匹配成功的特征值为零，则判断为认证不成功，并生成二次认证内容和界面。例如，进行用户身份id认证或者验证图形的认证，即生成用户身份证输入或者图形拖拉界面，并发送到所述物联网设备进行显示。

(8)接收到用户输入的内容后，将该内容与用户特征数据库中预先存储的该用户或者物联网设备的对应信息进行比较，如预先存储的用户身份证号码、图形验证结果等，如果匹配成功，则生成认证通过消息发送到所述认证控制模块，同时，将计算得到的所述物联网设备当前登录的用户特征值存储在用户特征数据库对应该用户或者该物联网设备的位置，作为下一次物联网设备登录对比的特征值之一。

如果匹配不成功，则生成认证不通过消息发送到所述认证控制模块。接收到认证不通过消息后，通知所述物联网设备认证错误，并退出设备登录。

以上参照附图描述了本公开的优选实施例，但是本公开当然不限于以上示例。本领域技术人员可在所附权利要求的范围内得到各种变更和修改，并且应理解这些变更和修改自然将落入本公开的技术范围内。

例如，在以上实施例中包括在一个单元中的多个功能可以由分开的装置来实现。替选地，在以上实施例中由多个单元实现的多个功能可分别由分开的装置来实现。另外，以上功能之一可由多个单元来实现。无需说，这样的配置包括在本公开的技术范围内。

在该说明书中，流程图中所描述的步骤不仅包括以所述顺序按时间序列执行的处理，而且包括并行地或单独地而不是必须按时间序列执行的处理。此外，甚至在按时间序列处理的步骤中，无需说，也可以适当地改变该顺序。

以上虽然结合附图详细描述了本公开的实施例，但是应当明白，上面所描述的实施方式只是用于说明本公开，而并不构成对本公开的限制。对于本领域的技术人员来说，可以对上述实施方式作出各种修改和变更而没有背离本公开的实质和范围。因此，本公开的范围仅由所附的权利要求及其等效含义来限定。