物联网设备安全通信方法及系统与流程

[0001]
本发明涉及物联网数据传输技术领域，特别涉及一种物联网设备安全通信方法及系统。


背景技术：

[0002]
随着物联网行业的快速创新发展，物联网应用层出不穷、百花齐放，物联网设备渗透进智能交通、智慧医疗、智慧电网、智慧农业等各行各业，走进人民的生产生活，全面推动物联网设备呈指数增长态势。物联网设备可基于电信企业提供的物联网卡作为通信媒介，接入以nb-iot技术为代表的蜂窝移动通信网络。其中，nb-iot具有广覆盖、大连接、低功耗、低成本的特性，主要应用于设备数据量多、分布范围广、移动性较低等场景，如智能抄表、智能路灯、智能井盖等应用。
[0003]
物联网设备在进行通信时，需要物联网平台进行配合，例如物联网平台中包括有业务系统、设备通讯系统等，可进行设备的行为记录、敏感数据存储和向相应的物联网设备发送控制指令信息等；然而，物联网设备与物联网平台之间进行数据或控制指令信息的传输时存在一定的安全隐患，在进行双方通信时缺少安全保护机制，会导致信息被窃取、篡改等，使得设备用户的行为、隐私敏感数据外泄，更有攻击者利用安全漏洞入侵物联网设备，对应用服务带来巨大影响。因此如何设计一种物联网设备的安全通信方法，能够保证物联网设备和物联网平台之间信息的安全传输，防止信息被窃取、篡改是目前急需解决的问题。


技术实现要素：

[0004]
为此，本发明提供一种物联网设备安全通信方法及系统，能够保证物联网设备和物联网平台之间信息的安全传输，防止信息被窃取、篡改，提升物联网数据传输的安全稳定性。
[0005]
按照本发明所提供的设计方案，一种物联网设备安全通信方法，用于物联网设备和物联网平台之间的数据传输，该方法包含：
[0006]
物联网设备利用物联网平台公钥对数据加密后，使用设备签名证书私钥对密文数据和设备签名证书序列号进行签名后生成第一签名信息，并将密文数据、第一签名信息及设备签名证书序列号发送至物联网平台；
[0007]
物联网平台根据设备签名证书序列号查询设备签名证书公钥，利用该查询到的公钥对第一签名信息进行验签，验签通过后利用物联网平台私钥对密文数据通过解密获取明文数据。
[0008]
作为本发明物联网设备安全通信方法，进一步地，物联网设备集成安全sim卡和nb模组，利用安全sim卡实现数据加密及签名，并通过nb模组进行数据传输。
[0009]
作为本发明物联网设备安全通信方法，进一步地，该方法还包含：在物联网平台进行物联网设备信息注册，并通过证书灌装工具将物联网设备加密证书及加密私钥、签名证书及签名私钥，及物联网平台证书和物联网平台私钥在物联网设备和物联网平台分别进行
对应信息写入，然后进行物联网设备和物联网平台之间的数据传输。
[0010]
作为本发明物联网设备安全通信方法，进一步地，利用灌装工具依次将物联网设备加密证书及加密公私钥信息、物联网设备签名证书及签名公私钥信息和物联网平台证书及物联网平台公钥信息写入物联网设备，并向证书灌装工具返回写入结果。
[0011]
作为本发明物联网设备安全通信方法，进一步地，信息写入时，首先，向物联网设备的nb模组写入物联网设备对应证书及相应私钥和物联网平台证书，nb模组获取对应证书中的公钥，并将证书、公钥及对应私钥和物联网平台证书及对应公钥写入物联网设备的安全sim卡。
[0012]
作为本发明物联网设备安全通信方法，进一步地，信息写入后，首先进行初始化，再进行设备和平台间的数据传输，其中，初始化过程包含：nb模组从安全sim卡中读取设备加密证书和设备签名证书并获取对应证书序列号。
[0013]
作为本发明物联网设备安全通信方法，进一步地，还包含：物联网平台获取明文数据后进行相应处理，并生成控制指令，对控制指令加密处理后发送至物联网设备。
[0014]
作为本发明物联网设备安全通信方法，进一步地，控制指令加密包含如下内容：依据设备加密证书序列号获取的设备加密公钥对控制指令进行加密，并使用物联网平台私钥对密文指令和设备加密证书序列号进行签名生成第二签名信息，将密文指令、第二签名信息及设备加密证书序列号发送至物联网设备。
[0015]
作为本发明物联网设备安全通信方法，进一步地，针对密文指令，物联网设备通过nb模组依次验证控制指令合法性和设备加密证书序列号，及通过安全sim卡利用物联网平台公钥对第二签名信息验签，验签通过后使用设备加密私钥对密文指令进行解密获取控制指令并执行。
[0016]
进一步地，基于上述的方法，本发明还提供一种物联网设备安全通信系统，包含：物联网设备和与之连接的物联网平台，所述物联网设备集成nb模组和安全sim卡，其中，
[0017]
物联网设备，通过nb模组、安全sim卡利用物联网平台公钥对数据加密后，使用设备签名证书私钥对密文数据和设备签名证书序列号进行签名后生成第一签名信息；通过nb模组将密文数据、第一签名信息及设备签名证书序列号发送至物联网平台；
[0018]
物联网平台，根据设备签名证书序列号查询设备签名证书公钥，利用该查询到的公钥对第一签名信息进行验签，验签通过后利用物联网平台私钥对密文数据通过解密获取明文数据。
[0019]
本发明的有益效果：
[0020]
本发明在物联网设备和物联网平台之间进行通信时，发送方对传输的信息进行加密和签名操作，接收方进行验签和解密操作，且在通信过程中涉及到设备签名证书、签名公私钥对，设备加密证书、加密公私钥对，平台证书、平台公钥，以及设备签名证书和加密证书序列号，加强通信时的安全操作，能够有效保证信息的安全传输，防止信息被不法分子泄露、篡改；通过物联网平台进行物联网设备签名证书、设备加密证书和平台证书的颁发，通过证书能够获取相应的公钥信息，签名公钥进行验签，加密公钥进行加密，且物联网平台颁发的证书在应用中是具有权威性、可信性和数字证书认证机构进行分发的可信数字化文件，能够有效提升物联网设备通信的安全性；在物联网平台中可接入多个物联网设备，实现对物联网设备信息的有效管理和实时监控；通过证书序列号进行查询、验证操作，能够有效
验证身份合法性，具有较好的应用前景。
附图说明：
[0021]
图1为实施例中物联网设备安全通信方法流程示意；
[0022]
图2为实施例中物联网设备安全通信设备数据传输原理示意；
[0023]
图3为实施例中信息写入过程流程示意；
[0024]
图4为实施例中初始化过程流程示意；
[0025]
图5为实施例中控制指令传输流程示意。
具体实施方式：
[0026]
为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。
[0027]
本发明实施例，参见图1所示，提供一种物联网设备安全通信方法，用于物联网设备和物联网平台之间的数据传输，该方法包含：
[0028]
s101、物联网设备利用物联网平台公钥对数据加密后，使用设备签名证书私钥对密文数据和设备签名证书序列号进行签名后生成第一签名信息，并将密文数据、第一签名信息及设备签名证书序列号发送至物联网平台；
[0029]
s102、物联网平台根据设备签名证书序列号查询设备签名证书公钥，利用该查询到的公钥对第一签名信息进行验签，验签通过后利用物联网平台私钥对密文数据通过解密获取明文数据。
[0030]
通过数据加密及签名双重身份认证机制，保证物联网设备和物联网平台之间信息的安全传输，防止信息被窃取、篡改，提升物联网数据传输安全稳定性。
[0031]
进一步地，基于上述的方法，本发明实施例还提供一种物联网设备安全通信系统，包含：物联网设备和与之连接的物联网平台，所述物联网设备集成nb模组和安全sim卡，其中，
[0032]
物联网设备，通过nb模组、安全sim卡利用物联网平台公钥对数据加密后，使用设备签名证书私钥对密文数据和设备签名证书序列号进行签名后生成第一签名信息；通过nb模组将密文数据、第一签名信息及设备签名证书序列号发送至物联网平台；
[0033]
物联网平台，根据设备签名证书序列号查询设备签名证书公钥，利用该查询到的公钥对第一签名信息进行验签，验签通过后利用物联网平台私钥对密文数据通过解密获取明文数据。
[0034]
设备和平台之间数据传输原理如图2所示，物联网设备通过nb模组、安全sim卡使用物联网平台公钥对数据d进行加密生成密文数据d’，并使用设备签名证书私钥对所述密文数据d’和获得的设备签名证书序列号sn进行签名得到第一签名信息s后，所述nb模组将所述密文数据d’、所述第一签名信息s和所述设备签名证书序列号sn一起发送至所述物联网平台。所述物联网平台根据所述设备签名证书序列号sn查询设备签名证书公钥，并使用所述设备签名证书公钥对所述第一签名信息s进行验签、使用所述物联网平台私钥对所述密文数据d’进行解密后获得明文数据d并进行相应处理。
[0035]
参见图3所示，在所述设备数据传输过程之前所述安全通信方法还可包括：信息写
入过程，具体包括：
[0036]
在所述物联网平台中进行物联网设备信息注册和获取物联网设备的加密证书和加密私钥、签名证书和签名私钥、物联网平台证书和物联网平台私钥，并写入证书灌装工具中；
[0037]
通过所述证书灌装工具向所述nb模组写入设备加密证书和加密私钥，所述nb模组从所述设备加密证书中获取加密公钥后，将所述设备加密证书、加密公钥和加密私钥写入所述安全sim卡中，并在所述安全sim卡写入完成后向所述证书灌装工具返回结果；
[0038]
通过所述证书灌装工具向所述nb模组写入设备签名证书和签名私钥，所述nb模组从所述设备签名证书中获取签名公钥后，将所述设备签名证书、签名公钥和签名私钥写入所述安全sim卡中，并在所述安全sim卡写入完成后向所述证书灌装工具返回结果；
[0039]
通过所述证书灌装工具向所述nb模组写入所述物联网平台证书，所述nb模组从所述物联网平台证书中获取所述物联网平台公钥后，将所述物联网平台证书、物联网平台公钥写入所述安全sim卡中，并在所述安全sim卡写入完成后向所述证书灌装工具返回结果。
[0040]
参见图4所示，在所述信息写入过程之后所述安全通信方法还可包括：初始化过程，具体包括：
[0041]
所述nb模组上电后，向所述安全sim卡发送读取所述设备加密证书请求；所述安全sim卡读取所述设备加密证书，并返回至所述nb模组；所述nb模组从所述设备加密证书中获取设备加密证书序列号sn；
[0042]
所述nb模组向所述安全sim卡发送读取所述设备签名证书请求；所述安全sim卡读取所述设备签名证书，并返回至所述nb模组；所述nb模组从所述设备签名证书中获取设备签名证书序列号sn。
[0043]
参见图5所示，在所述设备数据传输过程之后所述安全通信方法还可包括：平台控制指令传输过程，具体包括：
[0044]
所述物联网平台根据控制指令d获知要发送的物联网设备信息后，查询获得设备加密证书序列号sn，通过所述设备加密公钥对控制指令d进行加密生成密文控制指令d”，并使用物联网平台私钥对所述密文控制指令d”和设备加密证书序列号sn进行签名得到第二签名信息s’后，将所述密文控制指令d”、所述第二签名信息s’和所述设备加密证书序列号sn一起发送至所述物联网设备的nb模组；
[0045]
所述物联网设备验证控制指令合法性后，通过所述nb模组验证所述设备加密证书序列号sn，并通过所述安全sim卡使用所述物联网平台公钥对所述第二签名信息s’进行验签、使用所述设备加密私钥对密文控制指令d”进行解密后获得明文控制指令d并执行控制指令d。
[0046]
具体的，所述物联网设备通过nb模组、安全sim卡使用物联网平台公钥对数据d进行加密生成密文数据d’，并使用设备签名证书私钥对所述密文数据d’和获得的设备签名证书序列号sn进行签名得到第一签名信息s，具体包括：
[0047]
物联网设备通过nb模组将数据d发送至安全sim卡，所述安全sim卡使用物联网平台公钥对数据d进行加密生成密文数据d’，并返回至所述nb模组；
[0048]
所述nb模组将所述密文数据d’和设备签名证书序列号sn发送至所述安全sim卡；
[0049]
所述安全sim卡使用设备签名证书私钥对所述密文数据d’和设备签名证书序列号
sn进行签名得到第一签名信息s，并返回至所述nb模组。
[0050]
具体的，所述物联网设备验证控制指令合法性后，通过所述nb模组验证所述设备加密证书序列号sn，并通过所述安全sim卡使用所述物联网平台公钥对所述第二签名信息s’进行验签、使用所述设备加密私钥对密文控制指令d”进行解密后获得明文控制指令d并执行控制指令d，具体包括：
[0051]
所述物联网设备通过其处理器验证控制指令合法性后，通过所述nb模组验证加密证书序列号sn，将所述密文控制指令d”、所述第二签名信息s’和所述设备加密证书序列号sn一起发送至所述安全sim卡；
[0052]
所述安全sim卡使用所述物联网平台公钥对所述第二签名信息s’进行验签，并将验签结果返回至所述nb模组；
[0053]
所述nb模组将所述密文控制指令d”发送至所述安全sim卡；所述安全sim卡使用所述设备加密私钥对密文控制指令d”进行解密后获得明文控制指令d，并返回至所述nb模组；
[0054]
所述nb模组将明文控制指令d返回至所述物联网设备的处理器，进行控制指令执行。
[0055]
在实际的应用中，连接物联网平台的物联网设备至少为一个，通过物联网平台可以对多个物联网设备进行设备信息、行为的获取、管理以及物联网平台通过相关的业务平台对相应的物联网设备进行控制操作；可想可知巨量化的物联网终端感知、采集、存储海量涉及个人、家庭、行业的隐私数据，因此物联网终端必须引入数据保护机制，一方面防止数据被窃取、泄露隐私；另一方面数据被篡改，污染数据源，攻击者入侵物联网设备，篡改数据源并向决策服务端回传伪造的数据，将对应用服务带来巨大影响，如智慧医疗、智慧交通等应用数据源遭到篡改，将极大危害用户生命财产安全。
[0056]
传统物联网设备安全能力普遍较低，物联网卡难实名登记，成为物联网整体安全的薄弱环节，如果物联网设备或物联网卡出现安全问题，将影响网络、应用和服务，危及网络关键基础设置，威胁社会稳定和国家安全，因此本发明物联网设备中可针对安全sim卡设置有相关的硬件安全模块，实现数据信息的密码服务操作，例如加密、签名、验签等，增强物联网设备自身的安全性。
[0057]
通过对物联网设备中安全sim卡进行证书的颁发，通过证书表明物联网终端的合法性，在物联网设备与物联网平台之间进行信息交互时，能够确保设备和平台的合法性。
[0058]
需要说明的是，为了实现相关业务的命令及响应的数据格式，可自定义相关的命令集，包括数据压缩命令、获取响应数据命令、切换状态命令(灌装状态和正常状态)、导入证书命令、导出证书命令、ecc密钥对导入命令、ecc内部公钥加密命令、ecc内部私钥解密命令、ecc签名命令、ecc验签命令。
[0059]
除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对步骤、数字表达式和数值并不限制本发明的范围。
[0060]
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述系统实施例中的对应过程，在此不再赘述。
[0061]
在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。
[0062]
附图中的流程图和框图显示了根据本发明的多个实施例的系统、系统和计算机程
序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
[0063]
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和系统，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
[0064]
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
[0065]
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述系统的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-only memory)、随机存取存储器(ram，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。
[0066]
最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。