物联网设备的烧录校验方法及装置、身份认证方法及装置与流程

本申请涉及物联网数据处理技术领域，特别涉及一种物联网设备的烧录校验方法及装置，以及一种物联网设备的身份认证方法及装置，以及一种身份认证系统。

背景技术：

物联网(Internet of Things，IoT)，就是物物相连的互联网。因此，物联网的核心和基础是互联网，是在互联网基础上的延伸和扩展的网络，并且，物联网的用户端延伸和扩展到了任何物品与物品之间，进行信息交换和通信，也就是物物相息。

物联网的用户使用物联网设备进行信息交互。在任意物联网设备进行信息交互的过程中，每一个物联网设备都需要采用一个身份标识来唯一表示自己的身份，通常情况下，该身份标识以及该物联网设备在通信中所使用的设备私钥预先烧录在该物联网设备中。

在烧录物联网设备时，物联网设备之间的身份标识和设备私钥由于可能具有某种关联，并且直接烧录在物联网设备的存储空间中，所以很容易被恶意盗取。进而，导致后续在物联网设备之间进行通信时，可能有其他设备冒充物联网设备向物联网服务平台请求服务的情况，这也无法保证物联网服务的安全和服务器平台侧的安全运行。

技术实现要素：

但是发明人在研究过程中发现，如果在烧录身份标识和设备私钥时先由烧录校验装置校验烧录产线的合法性，校验通过后再由烧录校验装置统一为物联网设备分配，并且在烧录物联网设备时就直接将身份标识和设备私钥烧录至可信执行环境中。因此，一方面烧录校验装置在校验烧录产线之后再统一分配身份标识和设备私钥，另一方面身份标识和设备私钥也烧录在可信执行环境中，保证了身份标识和设备私钥的安全性。

进一步的，在进行物联网设备的身份认证时，采用物联网设备生成授权码的方式，该授权码不仅包括烧录在可信执行环境中的设备私钥，还包括了平台侧的身份认证装置生成的随机数，这就保证了只有发起物联网服务请求的那个物联网设备才能通过平台侧的身份认证，因此，提升了物联网服务的安全性，也保证了平台侧的安全运行。

基于此，本申请提供了一种物联网身份信息的烧录校验方法和一种物联网设备身份的认证方法，用以采用由烧录校验装置为各物联网设备进行身份标识和设备公私钥进行分配的方式，统一下发给烧录产线以便烧录至物联网设备的可信执行环境中，从而降低身份标识和设备私钥被盗取的风险和可能性；并且，在物联网设备发起物联网服务的时候，平台侧的身份认证装置可以通过物联网设备生成的授权码来验证物联网设备的身份，还能提升物联网身份认证的安全性。

本申请还提供了一种烧录校验装置，一种身份认证装置和一种身份认证系统，用以保证上述方法在实际中的实现及应用。

为了解决上述问题，本申请公开了一种物联网设备的烧录校验方法，该方法应用于烧录校验装置上，该方法包括：

烧录校验装置接收烧录产线发送的烧录请求，所述烧录请求用于请求所述烧录校验装置为待烧录的物联网设备分配身份标识和设备密钥；所述设备密钥包括设备私钥和设备公钥；

烧录校验装置验证所述烧录请求是否合法，如果是，则为所述待烧录的物联网设备分配身份标识和设备密钥；

烧录校验装置将所述身份标识和设备私钥发送至所述烧录产线，以便所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备。

其中，所述设备密钥包括设备私钥和设备公钥；在所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备后，还包括：

烧录校验装置接收所述烧录产线返回的烧录结果，其中，烧录结果用于表示：物联网设备与其烧录的身份标识和设备私钥之间的对应关系；

烧录校验装置将所述烧录结果发送至身份认证装置，以便所述身份认证装置在对所述物联网设备进行认证时，依据所述烧录结果验证物联网设备的设备私钥是否合法。

其中，所述烧录校验装置将所述身份标识和设备私钥发送至所述烧录产线，以便所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备，包括：

所述烧录校验装置将所述身份标识和设备私钥发送至所述烧录产线，以便所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备的可信执行环境中，其中，所述物联网设备中具有独立的一块存储空间作为可信执行环境。

本申请公开了一种物联网设备的烧录方法，该方法应用于烧录产线上，该方法包括：

向烧录校验装置发送烧录请求，所述烧录请求中用于请求所述烧录校验装置为待烧录的物联网设备分配身份标识和设备密钥；所述设备密钥包括设备私钥和设备公钥；

响应于所述烧录校验装置发送身份标识和设备密钥，将所述身份标识和设备私钥烧录至物联网设备中；

向所述烧录校验装置返回烧录结果，所述烧录结果用于表示：物联网设备与其烧录的身份标识和设备私钥之间的对应关系。

本申请公开了一种物联网设备的身份认证方法，该方法应用于身份认证平台中的身份认证装置上，所述身份认证平台位于身份认证系统中，所述身份认证系统还包括：物联网服务平台和物联网设备，所述物联网服务平台用于向所述物联网设备提供物联网服务；该方法包括：

响应于物联网设备向所述身份认证装置发送生成随机数请求，所述身份认证装置依据所述生成随机数请求中的请求标识生成随机数；所述物联网设备中具有独立的一块存储空间作为可信执行环境，所述可信执行环境中烧录有该物联网设备的设备私钥和身份标识；

所述身份认证装置将所述随机数发送至所述物联网设备，以便所述物联网设备依据所述随机数和设备私钥生成授权码，并向物联网服务平台发起服务请求，所述服务请求包括：服务内容和所述授权码；

响应于所述物联网服务平台向所述身份认证装置发送所述授权码，所述身份认证装置验证所述授权码是否合法；

如果是，则所述身份认证装置确认所述物联网设备的身份合法，如果否，则所述身份认证装置确认所述物联网设备的身份不合法。

其中，所述授权码包括：设备私钥和所述随机数，所述响应于所述物联网服务平台发送所述授权码，所述身份认证装置验证所述授权码是否合法，包括：

所述身份认证装置校验所述物联网服务平台发送的、授权码中的随机数是否与生成的随机数是否一致，以及，所述设备私钥是否是烧录校验装置发送的烧录结果中包括的设备私钥。

其中，在所述物联网设备的身份合法的情况下，该方法还包括：

所述身份认证装置向所述物联网服务平台发送会话密钥生成指令，所述会话密钥生成指令用于指示所述物联网服务平台生成会话密钥；

所述身份认证装置将所述物联网服务平台返回的会话密钥发送至所述物联网设备，以便所述物联网服务器平台和所述物联网设备采用所述会话密钥进行通信。

其中，该方法还包括：

在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，所述身份认证装置将泄露的身份标识或设备私钥相关的烧录结果进行删除。

其中，该方法还包括：

在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，所述身份认证装置将所述物联网设备中烧录的身份标识和设备私钥进行删除。

本申请还包括一种物联网设备的烧录校验装置，该烧录校验装置包括：

第一接收单元，用于接收烧录产线发送的烧录请求，所述烧录请求用于请求所述烧录校验装置为待烧录的物联网设备分配身份标识和设备密钥；所述设备密钥包括设备私钥和设备公钥；

验证许可证单元，用于验证所述烧录请求是否合法；

分配单元，用于在所述验证许可证单元的结果为是的情况下，为所述待烧录的物联网设备分配身份标识和设备密钥；

第一发送单元，用于将所述身份标识和设备私钥发送至所述烧录产线，以便所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备。

其中，所述装置还包括：

第二接收单元，用于接收所述烧录产线返回的烧录结果，其中，烧录结果用于表示：物联网设备与其烧录的身份标识和设备私钥之间的对应关系；

第二发送单元，用于将所述烧录结果发送至身份认证装置，以便所述身份认证装置在对所述物联网设备进行认证时，依据所述烧录结果验证物联网设备的设备私钥是否合法。

其中，所述第一发送单元，具体用于：

将所述身份标识和设备私钥发送至所述烧录产线，以便所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备的可信执行环境中，其中，所述物联网设备中具有独立的一块存储空间作为可信执行环境。

本申请还包括一种物联网设备的烧录装置，该装置包括：

第三发送单元，用于向烧录校验装置发送烧录请求，所述烧录请求中用于请求所述烧录校验装置为待烧录的物联网设备分配身份标识和设备密钥；所述设备密钥包括设备私钥和设备公钥；

烧录单元，用于响应于所述烧录校验装置发送身份标识和设备密钥，将所述身份标识和设备私钥烧录至物联网设备中；

返回结果单元，用于向所述烧录校验装置返回烧录结果，所述烧录结果用于表示：物联网设备与其烧录的身份标识和设备私钥之间的对应关系。

本申请还包括一种物联网设备的身份认证装置，所述身份认证装置集成于身份认证平台上，所述身份认证平台位于身份认证系统中，所述身份认证系统还包括：物联网服务平台和物联网设备，所述物联网服务平台用于向所述物联网设备提供物联网服务；所述身份认证装置包括：

生成随机数单元，用于响应于物联网设备向所述身份认证装置发送生成随机数请求，依据所述随机数请求中的请求标识生成随机数；所述物联网设备中具有独立的一块存储空间作为可信执行环境，所述可信执行环境中烧录有该物联网设备的设备私钥和身份标识；

发送随机数单元，用于将所述随机数发送至所述物联网设备，以便所述物联网设备依据所述随机数和设备私钥生成授权码，并向物联网服务平台发起服务请求，所述服务请求包括：服务内容和所述授权码；

验证授权码单元，用于响应于所述物联网服务平台向所述身份认证装置发送所述授权码，验证所述授权码是否合法；

第一确认单元，用于在所述验证授权码单元的结果为是的情况下，置确认所述物联网设备的身份合法；

第二确认单元，用于在所述验证授权码单元的结果为否的情况下，确认所述物联网设备的身份不合法。

其中，所述验证授权码单元包括：

校验子单元，用于校验所述物联网服务平台发送的、授权码中的随机数是否与所述生成随机数单元生成的随机数是否一致，以及，所述设备私钥是否是所述烧录校验装置发送的烧录结果中包括的设备私钥。

其中，所述装置还包括：

第四发送单元，用于向所述物联网服务平台发送会话密钥生成指令，所述会话密钥生成指令用于指示所述物联网服务平台生成会话密钥；

第五发送单元，用于将所述物联网服务平台返回的会话密钥发送至所述物联网设备，以便所述物联网设备和所述物联网服务器平台采用所述会话密钥进行通信。

其中，所述装置还包括：

第一删除单元，用于在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，将泄露的身份标识或设备私钥相关的烧录结果进行删除。

其中，所述装置还包括：

第二删除单元，用于在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，将所述物联网设备中烧录的身份标识和设备私钥进行删除。

本申请还包括一种物联网设备的身份认证系统，所述身份认证系统包括身份认证平台，物联网设备和物联网服务平台；其中，

所述身份认证平台包括：前述的烧录校验装置，和，前述的身份认证装置。

与现有技术相比，本申请包括以下优点：

在本申请实施例中，在烧录产线对物联网设备进行烧录之前，先由烧录校验装置对该烧录产线的生产许可证进行校验，如果校验通过再为物联网设备分配身份标识及对应的设备公钥和设备私钥，并且身份标识和设备私钥都烧录在物联网设备的可信执行环境中，这样就使得烧录物联网设备的安全性大大增加，同时烧录产线还可以向烧录校验装置批量请求物联网设备的身份标识和设备公私钥，因此，也提高了烧录的效率。进一步的，在对物联网设备进行烧录之后，烧录校验装置还将烧录结果发送至身份认证装置进行保存，从而对烧录过物联网设备进行注册，这就使得后续注册过的物联网设备才有可能身份校验成功，为后续物联网设备的身份验证过程提高了安全性。

此外，物联网设备在发起服务请求之前，先生成本次发起物联网服务请求的请求标识，进而请求身份认证装置根据该请求标识生成随机数，物联网设备再根据身份认证装置返回的随机数来生成唯一的授权码，从而保证只有本次发起物联网请求的该物联网设备才能通过身份认证装置的校验，因此，也提高了身份验证的安全性，从而保证了物联网服务的安全性。

当然，实施本申请的任一产品并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请的物联网设备的身份信息的烧录场景的架构图；

图2是本申请的物联网设备的烧录校验方法实施例的流程图；

图3是本申请的物联网设备的身份认证场景的架构图；

图4是本申请的物联网设备的身份认证方法实施例的流程图；

图5是本申请的一种烧录校验装置实施例的结构框图；

图6是本申请的身份认证装置的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

术语定义：

物联网设备：指的是在物联网(Internet of Things，IoT)中进行信息交互的设备，例如，智能家电等。

物联网设备的身份标识，可以在物联网中唯一标识物联网设备。

可信执行环境(TEE，Trusted Execution Environment)，是物联网设备的主处理器上的一个安全区域，其可以保证存储到该安全区域的代码和数据的安全性、机密性以及完整性。

设备密钥，包括设备公钥和设备私钥，设备公钥和设备私钥对称使用，物联网设备使用设备私钥对数据进行加密时，服务器侧使用设备公钥对数据进行解密；反之，服务器侧使用设备公钥对数据进行加密时，物联网设备使用设备私钥进行解密。

在本申请实施例中，参考图1所示，为本申请实施例中物联网设备的烧录校验方法在实际应用中的场景架构图。

烧录厂商在生产物联网设备时需要对物联网设备的设备信息进行烧录，通常情况下将烧录厂商所使用的、对物联网设备进行烧录的流水线称为烧录产线。图1中的烧录产线102可以将和烧录校验装置预先约定好的烧录许可证，通过烧录请求发送至图1中的烧录校验装置101，请求烧录校验装置101为待烧录的物联网设备103分配身份标识、设备公钥和设备私钥。其中，身份标识可以在物联网中唯一标识物联网设备，设备公钥和设备私钥对称使用，物联网设备使用设备私钥对数据进行加密时，服务器侧使用设备公钥对数据进行解密；反之，服务器侧使用设备公钥对数据进行加密时，物联网设备使用设备私钥进行解密。接着，烧录校验装置会对烧录许可证进行校验，如果合法则为待烧录的物联网设备分配身份标识及设备公钥、私钥，并下发给烧录产线，由烧录产线将身份标识和设备私钥烧录至物联网设备中。待烧录成功后，物流网设备会将烧录结果，例如，哪一个物联网设备烧录哪个设备私钥的信息，返回给烧录产线，烧录产线再将烧录结果发送给烧录校验装置101。烧录校验装置101还可以将烧录结果发送给身份认证装置104，以使烧录成功的物联网设备在身份认证装置104处进行注册。

下面基于图1介绍的烧录场景架构图详细介绍本申请实施例中的烧录流程。参考图2，示出了本申请一种物联网设备的烧录校验方法实施例的流程图，本实施例可以包括以下步骤：

步骤201：烧录产线将烧录请求发送至烧录校验装置。

在本步骤中，烧录产线在获取到烧录许可证之后，可以将烧录许可证携带于烧录请求中发送给烧录校验装置，同时，该烧录请求用于请求烧录校验装置为待烧录的物联网设备分配身份标识、成对的设备公钥和设备私钥。其中，烧录许可证是烧录厂商授权烧录产线对物联网设备进行烧录的序列号，该序列号可以由字符和/或数字组成，例如“AKJ20151012”等，“AKJ”可以表示烧录厂商的代码，“20151012”用于表示时间等。而烧录校验装置可以预先保存烧录产线合法的烧录许可证“AKJ1234”，以便后续对接收到的烧录许可证进行合法性验证。

可以理解的是，在实际应用中，烧录请求中可以批量为多个物联网设备同时申请身份标识及设备密钥的分配，这样可以在减少烧录校验装置和烧录产线之间的通信次数的情况下实现批量物联网设备的分配；当然，烧录请求中也可以为一个物联网设备申请身份标识及设备密钥的分配，

步骤202：烧录校验装置验证所述烧录请求是否合法，如果是，则进入步骤203。

烧录校验装置在验证烧录请求的合法性时，可以通过验证烧录请求中的烧录许可证的合法性来实现，例如，可以根据预先保存的烧录许可证，来对接收到的烧录产线发送的烧录许可证进行比较，如果一致则认为烧录请求中的烧录许可证合法，如果不一致则认为不合法。烧录校验装置可以采用一个单独的数据库存储烧录许可证，例如，将各厂商与其分别允许的烧录许可证的对应关系进行保存。例如，烧录校验装置从烧录请求中提取的烧录许可证号为“AKJ1234”，该烧录请求是代码为“AKJ”的烧录厂商的烧录产线发送的，则烧录校验装置可以从数据库中查找到“AKJ”对应的烧录许可证号为“AKJ1234”，在这种情况下，则认为合法，如果不一致，则认为不合法，则烧录校验装置可以拒绝烧录产线发送的烧录请求，不再为待烧录的物联网设备分配身份标识及设备公钥、私钥。

步骤203：烧录校验装置为所述待烧录的物联网设备分配身份标识和设备密钥。

接着烧录校验装置为待烧录的物联网设备分配唯一的身份标识，以及成对的设备密钥，包括设备公钥和设备私钥。具体的，烧录校验装置可以按照生产唯一的序列号的方式来为每个物联网设备随机生成不同的序列号，也可以按照预先设置的方式来为每个物联网设备分配不同的序列号。例如，烧录校验装置可以维护一张身份标识信息表，在该信息表中，预先保存了批量的、待分配的身份标识，以及与各个身份标识对应的设备密钥(包括设备公钥和设备私钥)，则烧录校验装置就可以依次从该信息表中获得身份标识及相对于的设备密钥来分配给物联网设备。

在实际应用中，烧录产线可以将烧录请求通过数字签名的方式发送给烧录校验装置，则烧录校验装置在接收到进行数字签名的烧录请求后，还可以校验签名信息，如果合法才认为烧录许可证合法。

步骤204：烧录校验装置将所述身份标识和设备私钥发送至所述烧录产线。

烧录校验装置在分配了身份标识、设备公钥和设备私钥之后，将身份标识和设备私钥发送给烧录产线。

步骤205：烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备。

烧录产线可以将其中的身份标识和设备私钥烧录至物联网设备中。具体的，在物联网设备中，烧录校验装置可以将身份标识和设备私钥烧录至单独划分出的一块作为可信执行环境中。其中，可信执行环境(TEE，Trusted Execution Environment)是物联网设备的主处理器上的一个安全区域，其可以保证加载到该安全区域的代码和数据的安全性、机密性以及完整性。TEE可以提供一个隔离的执行环境，提供的安全特征包含：隔离执行、可信应用的完整性、可信数据的机密性和安全存储等。

步骤206：烧录产线将烧录结果发送至烧录校验装置。

烧录产线再将哪个物联网设备中烧录了哪些身份标识和设备私钥的烧录结果，发送给烧录校验装置。烧录结果可以例如，物联网设备A中烧录的身份标识为“123456789”，设备私钥为“XKNHJH”。

步骤207：烧录校验装置将烧录结果发送给身份认证装置。

烧录校验装置再将烧录结果发送给身份认证装置，由身份认证装置将烧录结果进行保存，从而对烧录成功的物联网设备在平台侧进行注册。

可见，在本申请实施例中，在烧录产线对物联网设备进行烧录之前，先由烧录校验装置对该烧录产线的生产许可证进行校验，如果校验通过再为物联网设备分配身份标识及对应的设备公钥和设备私钥，并且身份标识和设备私钥都烧录在物联网设备的可信执行环境中，这样就使得烧录物联网设备的安全性大大增加，同时烧录产线还可以向烧录校验装置批量请求物联网设备的身份标识和设备公私钥，因此，也提高了烧录的效率。进一步的，在对物联网设备进行烧录之后，烧录校验装置还将烧录结果发送至身份认证装置进行保存，从而对烧录过物联网设备进行注册，这就使得后续注册过的物联网设备才有可能身份校验成功，为后续物联网设备的身份验证过程提高了安全性。

参考图3，示出了本申请的一种物联网身份认证的方法在实际应用中的场景架构图。在图3中，身份认证系统可以包括：物联网服务平台301、身份认证平台302和物联网设备303，其中，身份认证平台302可以包括：身份认证装置104和烧录校验装置101，物联网设备103可以有很多个。烧录校验装置101在将设备私钥和身份标识烧录至物联网设备103之后，会将烧录结果发送至身份认证装置104，以便将烧录成功的物联网设备103在身份认证装置104上进行注册，身份认证装置104可以将烧录结果进行保存。

物联网服务平台301可以是能够向物联网设备103提供物联网服务的第三方平台，例如能够与物联网设备103进行通信实现物联网设备103在线下单的购物平台等，厂商等，而物联网设备103可以是智能家电厂商生产的智能家电，例如智能冰箱等，可以在检测到箱体内存储的某种食物缺失的情况下，向物联网服务平台301发起在线下单购买该种食物的服务请求；而身份认证平台302则是在物联网设备303向物联网服务平台301请求物联网服务时，对物联网设备103的身份进行校验，在其身份合法的情况下再允许物联网服务平台301向物联网设备提供物联网服务。

基于图3所示的场景架构图，参考图4所示，示出了一种物联网设备身份认证的方法实施例的流程图，该方法应用于身份认证平台中的身份认证装置上，该身份认证平台位于身份认证系统中，所述身份认证系统还包括：物联网服务平台和物联网设备，所述物联网服务平台用于向所述物联网设备提供物联网服务；本实施例可以包括以下步骤：

步骤400：响应于烧录校验装置发送烧录结果，身份验证装置保存物联网设备与其烧录的身份标识和设备私钥之间的对应关系。

在本实施例中，在烧录校验装置接收到烧录产线返回的烧录结果之后，再将该烧录结果发送给与其相连的身份验证装置，身份验证装置可以将烧录结果进行保存，烧录结果中包括物联网设备的身份标识，以及该物联网设备上烧录的设备私钥之间的对应关系。

当然，本步骤也可以在步骤408身份验证装置对物联网设备进行校验之前的任一个步骤执行，其顺序并不影响本实施例的实现。

步骤401：物联网设备从可信执行环境中读取身份标识，并生成用于标识该物联网设备的、本次物联网服务请求的请求标识。

在本实施例中，物联网设备从可信执行环境中读取烧录的身份标识，以便后续为自己生成该身份标识对应的授权码。首先，物联网设备可以生成本次自己进行物联网服务请求的请求标识(sid)，具体的，该请求标识只要能够唯一标识一个物联网设备发起的一次物联网服务请求即可，例如，可以是一个字母和/或数字组成的字符串或者序列号等。

步骤402：物联网设备将生成随机数请求发送给身份认证平台中的身份认证装置，所述随机数请求中包括所述请求标识。

物联网设备将生成的请求标识携带于生成随机数请求中，发送给身份认证平台中的身份认证装置，该生成随机数请求同时用于请求身份认证装置为自己本次的物联网服务请求生成一个随机数。

步骤403：身份认证装置依据所述请求标识生成随机数。

身份认证装置在接收到物联网设备发送的生成随机数请求后，根据其中的请求标识为该物联网设备生成一个随机数。具体的，随机数可以采用时钟，通过请求标识+时间戳的方式生成，例如，AJKBJ010-20160508，“AJKBJ010”为请求标识，用于唯一标识一个设备发起的一次物联网请求，而“20160508”则为时间。

步骤404：所述身份认证装置将生成的随机数发送至所述物联网设备。

身份认证装置将生成的随机数再发送给物联网设备。

步骤405：所述物联网设备依据所述随机数和设备私钥生成所述身份标识对应的授权码。

物联网设备根据接收到的随机数和从可信执行环境中读取的设备私钥，来生成自己本次物联网服务请求的授权码。具体的，该授权码例如可以是将设备私钥和随机数进行数字签名得到的信息。因为随机数又是由请求标识生成的，所以授权码框可以通过以下方式得到：授权码＝签名函数(设备私钥，随机数+请求标识)。该授权码中包含有设备私钥、请求标识和随机数信息，可以用于标识当前发起物联网服务请求的一个物联网设备的合法性。

步骤406：物联网设备向物联网服务平台发起服务请求，该服务请求中可以包括：服务内容和授权码。

在生成授权码之后，物联网设备向物联网服务平台发起服务请求，该服务请求中携带了需要物联网服务平台提供的服务内容，以及生成的授权码。具体的，授权码可以用物联网服务平台的公钥进行数字签名后再进行发送，服务内容则用于表示该物联网设备需要物联网服务平台向自己提供的物联网服务，例如，可以是某个智能冰箱从物联网服务平台在线购买商品的服务等。

步骤407：物联网服务平台向身份识别装置发送所述服务请求中的授权码。

物联网服务平台接收到服务请求之后，可以通过自己的私钥进行解密，从而得到授权码和服务内容。在本实施例中，物联网服务平台在向物联网设备提供该服务内容所表示的物联网服务之前，需要将授权码发送给身份认证装置进行该物联网设备的身份认证。

步骤408：身份认证装置验证所述授权码是否合法，如果是，则进入步骤409，如果否，则进入步骤410。

身份认证装置接收到授权码之后，对授权码中包括的设备私钥、随机数和请求标识等信息进行验证。具体的，对于设备私钥，身份认证装置可以检查该设备私钥是否是烧录校验装置已经发送给自己的、该物联网设备的身份标识对应的设备私钥，即该设备私钥对应的物联网设备是否在身份认证装置处注册过；对于随机数，身份认证装置则校验是否与步骤403中生成的随机数一致；对于请求标识，则校验是否与步骤402中接收到的该物联网设备发送的请求标识一致即可。

步骤409：身份认证装置确认所述物联网设备的身份合法。

如果设备私钥是注册过的，且随机数和请求标识也都是一致的，则说明该物联网设备的身份是合法的。在实际应用中为了保证校验结果的安全性和准确性，可以当设备私钥、随机数和请求标识都校验通过的时候，再执行步骤409。

步骤410：所述身份认证装置确认所述物联网设备的身份不合法。

而如果设备私钥不是注册过的，或者，随机数或请求标识也不是一致的，则说明该物联网设备的身份不是合法的。在实际应用中，设备私钥、随机数或者请求标识中如果有一个没有校验通过，则可以确认该物联网设备的身份不是合法的，这样就能进一步提高身份验证的安全性。

在实际应用中，在所述物联网设备的身份合法的情况下，在步骤409之后还可以包括：

步骤B：身份验证装置向物联网服务平台发送会话密钥生成指令，会话密钥生成指令用于指示所述物联网服务平台生成会话密钥。

身份验证装置在验证物联网设备的身份合法之后，将向物联网服务平台发送一个生成会话密钥的指令，触发物联网服务平台生成会话密钥，该会话密钥可以用于后续和物联网设备之间进行安全通信。

步骤C：身份验证装置将物联网服务平台返回的会话密钥发送至所述物联网设备。

物联网服务平台在生产会话密钥之后，将该会话密钥发送给身份验证装置，身份验证装置再将该会话密钥发送给已经验证其身份合法的物联网设备。具体的，身份验证装置可以用物联网设备的设备公钥对该会话密钥加密之后再进行发送。

步骤D：物联网设备和物联网服务平台采用所述会话密钥进行通信。

接着物联网设备采用自己的设备私钥对加密的会话密钥进行解密，从而得到用于和物联网服务平台进行通信的会话密钥。其中，物联网服务平台可以通过已经建立的安全通信向物联网设备提供其请求的物联网服务。

在实际应用中，本实施例在步骤409或步骤410之后还可以包括：

步骤F：在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，所述身份认证装置将泄露的身份标识或设备私钥相关的烧录结果进行删除。

在实际应用中，有可能会出现烧录在物联网设备中的身份标识或设备私钥发生泄露的情况，在这种情况下，其身份标识和设备私钥都已经不再安全，则身份认证装置就已经保存的、泄露的身份标识或设备私钥相关的烧录结果进行删除。

在实际应用中，本实施例在步骤409或步骤410之后还可以包括：

步骤G：在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，所述身份认证装置将所述物联网设备中烧录的身份标识和设备私钥进行删除。

此外，在烧录在物联网设备中的身份标识或设备私钥发生泄露的情况下，身份认证装置还可以将物联网设备中烧录的、已经泄露的身份标识和设备私钥进行删除。

在本实施例中，物联网设备在发起服务请求之前，先生成本次发起物联网服务请求的请求标识，进而请求身份认证装置根据该请求标识生成随机数，物联网设备再根据身份认证装置返回的随机数来生成唯一的授权码，从而保证只有本次发起物联网请求的该物联网设备才能通过身份认证装置的校验，因此，与现有技术相比，就提高了身份验证的安全性，从而保证了物联网服务的安全性。

对于前述的方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

与上述本申请一种物联网设备的烧录校验方法实施例所提供的方法相对应，参见图5，本申请还提供了一种物联网设备的烧录校验装置实施例，在本实施例中，该烧录校验装置可以包括：

接收单元501，用于接收烧录产线发送的烧录请求，所述烧录请求用于请求所述烧录校验装置为待烧录的物联网设备分配身份标识和设备密钥；所述设备密钥包括设备私钥和设备公钥。

验证许可证单元502，用于验证所述烧录请求是否合法。

分配单元503，用于在所述验证许可证单元的结果为是的情况下，为所述待烧录的物联网设备分配身份标识和设备密钥。

第一发送单元504，用于将所述身份标识和设备私钥发送至所述烧录产线，以便所述烧录产线将所述身份标识和设备私钥烧录至对应的物联网设备中。

在实际应用中，该烧录校验装置还可以包括：

第二发送单元505，用于将所述烧录产线返回的烧录结果发送至身份认证装置，所述烧录结果用于表示：物联网设备与其烧录的身份标识和设备私钥之间的对应关系。

本实施例中，在烧录产线对物联网设备进行烧录之前，先由烧录校验装置对该烧录产线的生产许可证进行校验，如果校验通过再为物联网设备分配身份标识及对应的设备公钥和设备私钥，并且身份标识和设备私钥都烧录在物联网设备的可信执行环境中，这样就使得烧录物联网设备的安全性大大增加，同时烧录产线还可以向烧录校验装置批量请求物联网设备的身份标识和设备公私钥，因此，也提高了烧录的效率。进一步的，在对物联网设备进行烧录之后，烧录校验装置还将烧录结果发送至身份认证装置进行保存，从而对烧录过物联网设备进行注册，这就使得后续注册过的物联网设备才有可能身份校验成功，为后续物联网设备的身份验证过程提高了安全性。

与上述本申请另一种物联网设备的烧录方法实施例所提供的方法相对应，本申请还提供了另一种物联网设备的烧录装置实施例，在本实施例中，该烧录装置可以集成到烧录产线上，该烧录装置可以包括：

第三发送单元，用于向烧录校验装置发送烧录请求，所述烧录请求中用于请求所述烧录校验装置为待烧录的物联网设备分配身份标识和设备密钥；所述设备密钥包括设备私钥和设备公钥；烧录单元，用于响应于所述烧录校验装置发送身份标识和设备密钥，将所述身份标识和设备私钥烧录至物联网设备中；和，返回结果单元，用于向所述烧录校验装置返回烧录结果，所述烧录结果用于表示：物联网设备与其烧录的身份标识和设备私钥之间的对应关系。

与上述本申请一种物联网设备身份认证的方法实施例所提供的方法相对应，参考图6所示，本申请还提供了一种物联网设备身份认证的装置实施例，在本实施例中，所述身份认证装置集成于身份认证平台上，所述身份认证平台位于身份认证系统中，所述身份认证系统还包括：物联网服务平台和物联网设备，所述物联网服务平台用于向所述物联网设备提供物联网服务；所述身份认证装置可以包括：

生成随机数单元601，用于响应于物联网设备向所述身份认证装置发送生成随机数请求，依据所述随机数请求中的请求标识生成随机数；所述物联网设备中具有独立的一块存储空间作为可信执行环境，所述可信执行环境中烧录有该物联网设备的设备私钥和身份标识。

发送随机数单元602，用于将所述随机数发送至所述物联网设备，以便所述物联网设备依据所述随机数和设备私钥生成授权码，并向物联网服务平台发起服务请求，所述服务请求包括：服务内容和所述授权码。

验证授权码单元603，用于响应于所述物联网服务平台向所述身份认证装置发送所述授权码，验证所述授权码是否合法。

其中，该验证授权码单元603可以包括：

校验子单元，用于校验所述物联网服务平台发送的、授权码中的随机数是否与所述生成随机数单元生成的随机数是否一致，以及，所述设备私钥是否是所述烧录校验装置发送的烧录结果中包括的设备私钥。

第一确认单元604，用于在所述验证授权码单元的结果为是的情况下，置确认所述物联网设备的身份合法。

第二确认单元605，用于在所述验证授权码单元的结果为否的情况下，确认所述物联网设备的身份不合法。

其中，在另外一个实施例中，该身份认证装置还可以包括：

第四发送单元，用于向所述物联网服务平台发送会话密钥生成指令，所述会话密钥生成指令用于指示所述物联网服务平台生成会话密钥，和，第五发送单元，用于将所述物联网服务平台返回的会话密钥发送至所述物联网设备，以便所述物联网设备和所述物联网服务器平台采用所述会话密钥进行通信。

其中，在另外一个实施例中，该身份认证装置还可以包括：

第一删除单元，用于在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，将泄露的身份标识或设备私钥相关的烧录结果进行删除。

其中，在另外一个实施例中，该身份认证装置还可以包括：

第二删除单元，用于在所述身份标识或设备私钥从所述可信执行环境中泄露的情况下，将所述物联网设备中烧录的身份标识和设备私钥进行删除。

在本实施例中，物联网设备在发起服务请求之前，先生成本次发起物联网服务请求的请求标识，进而请求身份认证装置根据该请求标识生成随机数，物联网设备再根据身份认证装置返回的随机数来生成唯一的授权码，从而保证只有本次发起物联网请求的该物联网设备才能通过身份认证装置的校验，因此，与现有技术相比，就提高了身份验证的安全性，从而保证了物联网服务的安全性。

请实施例还提供了一种物联网设备的身份认证系统，所述身份认证系统可以包括身份认证平台，物联网设备和物联网服务平台；其中，身份认证平台包括：图5所示的烧录校验装置和图6所示的身份认证装置。在该身份认证系统中，物联网设备向物联网服务平台发起物联网服务请求后，物联网服务平台会将该服务请求中的授权码发送给身份认证平台，身份认证平台中的身份认证装置会对该授权码进行校验，验证该物联网设备的身份是否合法，如果合法再将验证结果告知物联网服务平台，以便物联网服务平台向物联网设备提供物联网服务。因此，本实施例与现有技术相比，通过授权码来实现物联网设备的身份认证，而该授权码是由物联网设备根据可信执行环境中烧录的设备私钥以及身份认证装置生成的随机数生成的，因此，就使得可被恶意复制的可能性大大降低，从而提高了物联网设备的身份验证的安全性以及物联网服务的安全性。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本申请所提供的物联网设备的烧录、身份验证方法及装置进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。