物联网终端设备间的认证方法、认证系统及通讯方法与流程

1.本发明公开涉及物联网终端安全防护和网络安全的技术领域，尤其涉及一种物联网终端设备间的认证方法、认证系统及通讯方法。


背景技术：

2.物联网终端是物联网中连接传感网络层和传输网络层，实现采集数据及向网络层发送数据的设备。它担负着数据采集、初步处理、加密、传输等多种功能。物联网终端属于传感网络层和传输网络层的中间设备，也是物联网的关键设备，通过物联网终端的转换和采集，才能将各种外部感知数据汇集和处理，并将数据通过各种网络接口方式传输到互联网中。
3.物联网终端设备存在大量安全漏洞，安全防护深度和广度不足。物联网终端在电网中广泛使用，使电网更加网络化、智能化、多功能的同时，也带来了更多的安全风险。物联网终端设备使用的嵌入式系统，由于系统裁剪、应用定制、在线升级困难和通信协议专有复杂等因素，大部分感知设备存在大量安全隐患和安全漏洞，存在命令注入、硬编码等漏洞，同时由于其使用的专用实时操作系统计算资源有限，为了保证实时性和可用性，系统在设计时往往无法过多考虑信息安全的需求，现役和在售的物联网终端大多处于不设防状态，为恶意入侵提供了更多的可能。当前物联网终端设备，尤其是在其广泛应用的电力物联网中，面临的主要的安全威胁就是对这些终端设备的违规使用、仿冒和恶意攻击。
4.因此，如何研发一种用于物联网终端设备间的认证方法，以降低安全风险，成为人们亟待解决的问题。


技术实现要素：

5.鉴于此，本发明提供了一种物联网终端设备间的认证方法、认证系统及通讯方法，已解决以往物联网终端设备间大多不设防，存在安全风险高的问题。
6.一方面，本发明提供了一种物联网终端设备间的认证方法，该认证方法包括如下步骤：
7.s1：随机产生验证码并发送给待认证终端设备；
8.s2：接收所述待认证终端设备返回的认证信息，所述认证信息包括：所述待认证终端设备的身份识别信息和认证码，其中，所述认证码由待认证终端设备通过私钥将所述验证码加密后得到；
9.s3：在终端设备公钥列表中查找是否存在所述认证信息中的身份识别信息，若存在，执行步骤s4，否则执行步骤5；
10.s4：判断所述身份识别信息对应的公钥是否在有效期内，若在有效期内，则执行步骤s5,否则执行步骤s6；
11.s5：采用所述身份识别信息对应的公钥对所述认证码进行解密，获得解密后验证码，若解密后验证码与发送的验证码一致，则认证成功，否则认证失败；
12.s6：与认证服务器认证成功后，向认证服务器请求待认证终端设备在认证服务器处的注册信息；
13.s7：接收所述认证服务器的反馈信息，其中，若待认证终端设备在认证服务器处已注册且对应的公钥在有效期内，则所述反馈信息为待认证终端设备的身份识别信息、公钥以及公钥有效期，并将所述反馈信息更新到终端设备公钥列表中，并执行步骤s5，若待认证终端设备在认证服务器处未注册或对应的公钥不在有效期内，则所述反馈信息为认证失败。
14.优选，所述待认证终端设备的身份识别信息为所述待认证终端设备入网注册时，由所述认证服务器分配获得，且所述身份识别信息存储在所述认证服务器中。
15.进一步优选，所述身份识别信息为用于唯一身份识别的随机字符串、数字及其组合。
16.进一步优选，所述待认证终端设备的私钥为所述待认证终端设备入网注册时，由所述认证服务器分配获得，且所述私钥对应的公钥及公钥的有效期均存储在所述认证服务器中。
17.进一步优选，步骤s6中与认证服务器认证成功为终端设备对认证服务器的认证以及认证服务器对终端设备的认证均成功。
18.进一步优选，所述终端设备对认证服务器的认证，具体为：
19.s601：随机产生验证码并发送给认证服务器；
20.s602：接收所述认证服务器返回的认证信息，所述认证信息为认证服务器通过私钥将所述验证码加密后获得的认证码；
21.s603：查找所述认证服务器的公钥以及公钥的有效期，如果所述公钥在有效期内，采用所述公钥对所述认证信息进行解密，获得解密后验证码，若解密后验证码与发送的验证码一致，则认证成功，否则认证失败；如果所述公钥不在有效期内，则验证失败需重新注册。
22.进一步优选，所述认证服务器对终端设备的认证，具体为：
23.s604：接收所述认证服务器发送的验证码，并通过私钥对所述验证码进行加密，获得认证码；
24.s605：发送认证信息给所述认证服务器，由认证服务器进行认证，所述认证信息包括：身份识别信息和认证码；
25.其中，认证服务器的认证过程为：
26.s6051：查找是否存在所述认证信息中的身份识别信息，若存在，执行步骤s6052,否则认证失败；
27.s6052：判断所述身份识别信息对应的公钥是否在有效期内，若不在有效期内，则认证失败，若在有效期内，采用所述身份识别信息对应的公钥对所述认证码进行解密，获得解密后验证码，若解密后验证码与发送的验证码一致，则认证成功，否则认证失败。
28.另一方面，本发明还提供了一种物联网终端设备间的认证系统，该认证系统包括：认证服务器以及多个终端设备；
29.多个所述终端设备之间通讯连接，每个所述终端设备均具有终端设备身份标签以及终端设备认证公钥列表；
30.所述终端设备身份标签中保存有终端设备的标识信息、终端设备用于身份认证的私钥、认证服务器的公钥以及所述公钥的有效期；
31.所述终端设备认证公钥列表用于保存物联网中其他终端设备的认证公钥信息，所述认证公钥信息包括：终端设备的标识信息、公钥以及公钥的有效期；
32.所述认证服务器与每个所述终端设备均通讯连接，所述认证服务器具有加密标签以及终端设备公钥列表；
33.所述加密标签中保存有认证服务器自动产生并分配给自身的公钥和私钥、以及所述公钥和私钥的有效期；
34.所述终端设备公钥列表存储有多条记录，每条记录对应物联网中通过注册的一台终端设备的认证公钥信息，所述公钥信息包括：对应终端设备的标识信息、公钥以及公钥的有效期。
35.优选，所述公钥和私钥通过非对称加密算法获得。
36.此外，本发明还提供了一种物联网终端设备间的通讯方法，用于终端设备a与终端设备b之间的通讯，该通讯方法包括如下步骤：
37.终端设备a对终端设备b进行认证，所述认证的方法为上述的任意一项认证方法；
38.终端设备b对终端设备a进行认证，所述认证的方法为上述的任意一项认证方法；
39.若终端设备a对终端设备b认证成功且终端设备b对终端设备a认证成功，则终端设备a与终端设备b进行通讯，否则不进行通讯。
40.本发明提供的物联网终端设备间的认证方法，把终端设备的唯一性身份识别信息和加密体制相结合，各终端设备间的身份认证，只有在首次认证或者公钥时效的情况下，才需要由认证服务器参与辅助认证，否则，各终端设备均可对另一物联网终端设备进行身份认证作业，大幅度降低了认证服务器在认证过程中的参与程度，进而降低认证服务器中心安全风险和瓶颈性能。
41.本发明提供的认证系统及通讯方法，均是基于上述的认证方法获得的，具有安全性高的优点。
42.应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明的公开。
附图说明
43.此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。
44.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
45.图1为本发明公开实施例提供的一种物联网终端设备间的认证方法的流程示意图；
46.图2为本发明公开实施例提供的一种物联网终端设备间的认证方法中终端设备对认证服务器的认证流程示意图；
47.图3为本发明公开实施例提供的一种物联网终端设备间的认证方法中认证服务器
对终端设备的认证流程示意图；
48.图4为本发明公开实施例提供的一种物联网终端设备间的认证方法中认证服务器的认证流程示意图；
49.图5为本发明公开实施例提供的一种物联网终端设备间的认证系统组成模块图；
50.图6为一种物联网终端设备间认证的具体流程图。
具体实施方式
51.这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。
52.目前，物联网终端设备大多处于不设防的状态，安全性较低，容易存在违规使用、仿冒和恶意攻击的问题，即使偶尔设置有认证机制，但是所有的认证操作都是需要由认证服务器参与，通过认证服务器进行各终端设备的身份认证，导致认证服务器的认证压力较大，存在瓶颈性能的问题，而且一旦认证服务器发生故障或被恶意攻击，会导致整个认证系统处于瘫痪的状态。
53.为此，本实施方案提供提出了一种新型的物联网终端设备间的认证方法，该认证方法大幅度降低了认证服务器的参与程度，只有在终端设备间首次认证或公钥时效的情况下，才需要认证服务器的参与，进而降低认证服务器中心安全风险和瓶颈性能。该认证方法，参见图1，主要包括以下步骤：
54.s1：随机产生验证码并发送给待认证终端设备；
55.s2：接收所述待认证终端设备返回的认证信息，所述认证信息包括：所述待认证终端设备的身份识别信息和认证码，其中，所述认证码由待认证终端设备通过私钥将所述验证码加密后得到；
56.s3：在终端设备公钥列表中查找是否存在所述认证信息中的身份识别信息，若存在，执行步骤s4，否则执行步骤5；
57.s4：判断所述身份识别信息对应的公钥是否在有效期内，若在有效期内，则执行步骤s5,否则执行步骤s6；
58.s5：采用所述身份识别信息对应的公钥对所述认证码进行解密，获得解密后验证码，若解密后验证码与发送的验证码一致，则认证成功，否则认证失败；
59.s6：与认证服务器认证成功后，向认证服务器请求待认证终端设备在认证服务器处的注册信息；
60.s7：接收所述认证服务器的反馈信息，其中，若待认证终端设备在认证服务器处已注册且对应的公钥在有效期内，则所述反馈信息为待认证终端设备的身份识别信息、公钥以及公钥有效期，并将所述反馈信息更新到终端设备公钥列表中，并执行步骤s5，若待认证终端设备在认证服务器处未注册或对应的公钥不在有效期内，则所述反馈信息为认证失败。
61.其中，待认证终端设备的身份识别信息为所述待认证终端设备入网注册时，由所述认证服务器分配获得，且所述身份识别信息存储在所述认证服务器中；身份识别信息为
用于唯一身份识别的随机字符串、数字及其组合；待认证终端设备的私钥为所述待认证终端设备入网注册时，由所述认证服务器分配获得，且所述私钥对应的公钥及公钥的有效期均存储在所述认证服务器中。
62.步骤s6中与认证服务器认证成功为终端设备对认证服务器的认证以及认证服务器对终端设备的认证均成功。
63.其中，参见图2，终端设备对认证服务器的认证，具体为：
64.s601：随机产生验证码并发送给认证服务器；
65.s602：接收所述认证服务器返回的认证信息，所述认证信息为认证服务器通过私钥将所述验证码加密后获得的认证码；
66.s603：查找所述认证服务器的公钥以及公钥的有效期，如果所述公钥在有效期内，采用所述公钥对所述认证信息进行解密，获得解密后验证码，若解密后验证码与发送的验证码一致，则认证成功，否则认证失败；如果所述公钥不在有效期内，则验证失败需重新注册。
67.参见图3，认证服务器对终端设备的认证，具体为：
68.s604：接收所述认证服务器发送的验证码，并通过私钥对所述验证码进行加密，获得认证码；
69.s605：发送认证信息给所述认证服务器，由认证服务器进行认证，所述认证信息包括：身份识别信息和认证码；
70.其中，参见图4，认证服务器的认证过程为：
71.s6051：查找是否存在所述认证信息中的身份识别信息，若存在，执行步骤s6052,否则认证失败；
72.s6052：判断所述身份识别信息对应的公钥是否在有效期内，若不在有效期内，则认证失败，若在有效期内，采用所述身份识别信息对应的公钥对所述认证码进行解密，获得解密后验证码，若解密后验证码与发送的验证码一致，则认证成功，否则认证失败。
73.参见图5，为一种物联网终端设备间的认证系统，该认证系统适用于上述的认证方法，认证系统包括：认证服务器2以及多个终端设备1。
74.其中，多个终端设备1之间通过局域网或互联网通讯连接，终端设备1可以是任何一种通用的物联网终端设备，但是必须包含加密芯片，其中的加密芯片能够支持非对称加密功能和随机数产生功能。
75.每个终端设备1均具有终端设备身份标签11以及终端设备认证公钥列表12。
76.上述终端设备身份标签11中保存有终端设备的标识信息(由认证服务器2分配)、终端设备用于身份认证的私钥(由认证服务器2产生并分配)、认证服务器的公钥以及所述公钥的有效期；
77.其中，终端设备的标识信息是用于标识终端设备身份的唯一性数字；
78.终端设备用于身份认证的私钥是用于认证过程中本设备签名的非对称加密的私钥；
79.认证服务器的公钥是用于认证过程中解密认证服务器签名的非对称加密的公钥；
80.公钥的有效期用于认证服务器和终端设备的非对称加密密钥的更新使用的有效性。
81.终端设备认证公钥列表12用于保存物联网中其他终端设备的认证公钥信息，认证公钥信息包括：终端设备的标识信息、公钥以及公钥的有效期，其中，每个设备终端设备的认证公钥信息在终端设备认证公钥列表12中均作为一条记录进行保存。
82.终端设备身份标签11和终端设备认证公钥列表12，可以使用终端设备中的flash存储器存储。其中，终端设备身份标签11存储只需要一条记录，而终端设备认证公钥列表12可以存储成包含多条记录的顺序存储表。
83.认证服务器2通过局域网或互联网与每个终端设备1通讯连接，认证服务器2具有加密标签21以及终端设备公钥列表22，认证服务器2可以使用通用的个人计算机或服务器来实现。
84.加密标签21中保存有认证服务器自动产生并分配给自身的公钥和私钥、以及所述服务器管理人员为公钥和私钥指定的有效期，其中，其中，私钥用于认证过程中认证服务器的签名，公钥用于对应私钥签名的解密；
85.终端设备公钥列表22存储有多条记录，每条记录对应物联网中通过注册的一台终端设备的认证公钥信息，所述公钥信息包括：对应终端设备的标识信息、公钥以及公钥的有效期；
86.终端设备的身份标识信息，以及该设备认证过程中需要使用的非对称加密的公私钥对，都是在该设备入网注册时，由认证服务器自动产生并分配。
87.其中，终端设备的身份标识信息，可以使用随机的整数值，其长度根据物联网联网设备的数量的多少，可以使用8位、16位或32位整数值；
88.非对称加密算法，可以使用标准的rsa算法或ecc算法，非对称加密的密钥长度，可以使用1024或2048比特位。
89.本实施方案提供了一种物联网终端设备间的通讯方法，该方法用于终端设备a与终端设备b之间的通讯，包括如下步骤：
90.1)终端设备a对终端设备b进行认证，所述认证的方法为上述实施方案提供的认证方法；
91.2)终端设备b对终端设备a进行认证，所述认证的方法为上述实施方案提供的认证方法；
92.3)若终端设备a对终端设备b认证成功且终端设备b对终端设备a认证成功，则终端设备a与终端设备b进行通讯，否则不进行通讯。
93.下面结合具体的实施例对上述实施方案提供的通讯以及认证方法进行进一步的解释说明。
94.参见图6，具体的流程如下：
95.1)认证服务器采用非对称加密标准rsa算法自动产生一对非对称加密的公钥pus和私钥prs，保存在认证服务器的非对称加密标签中，并由服务器管理员为该对公私钥指定有效期vs。其中，密钥长度为1024比特位，有效期vs是一个包含日期(年/月/日)和时间(时/分/秒)的时间值。
96.2)物联网终端设备入网注册。
97.2.1)物联网终端设备联入网络之前在认证服务器端实施注册，由认证服务器分配给入网的终端设备一个唯一的随机身份标识信息tid，该tid保存到终端设备中的身份标签
中，并且认证服务器在该服务器的终端设备公钥列表中产生一条新记录，将该终端设备的tid保存到新记录中。上述终端设备身份标识信息采用16位随机整数值表示。
98.2.2)认证服务器自动产生一对非对称加密的公钥put和私钥prt，该公私钥对分配给正在注册的终端设备使用，并由服务器管理员为该对公私钥指定有效期vt；其中的私钥prt保存到正在注册的终端设备的身份标签中，其中的公钥put以及密钥对的有效期保存到认证服务器中终端设备公钥列表中对应该设备tid的新记录中。
99.2.3)认证服务器将自身非对称加密标签中的服务器公钥pus和有效期保存到正在注册的终端设备的身份标签中。
100.3)终端设备间进行数据采集传输之前，需要互相验证对方的身份时。
101.3.1)假设终端设备ta和终端设备tb需要进行数据采集传输，终端设备ta首先认证终端设备tb的身份，终端设备ta是认证方，终端设备tb是被认证方。
102.3.1.1)ta产生一个随机数tr发送给tb，其中，随时数tr是一个64位的随机整数。
103.3.1.2)tb接收ta发送过来的tr，从tb的身份标签中取得tb的tid值(记为tidb)和私钥(记为prb)，使用私钥prb对随机数tr进行加密签名得到签名值sb，tb把自身的tid值tidb和随机数签名值sb发送给ta。
104.3.1.3)ta接收tb发送过来的tid值tidb和签名值sb，在ta自身保存的终端设备公钥列表中查找身份标识为tidb的记录，如果找到这样的记录并且记录中的公钥在有效期内，则ta使用该记录中的公钥pub解密随机数签名值sb，转向步骤3.1.4；如果找不到这样的记录或者记录中的公钥超过了有效期，则转向步骤3.1.5。
105.实施例中，公钥在有效期内，是指公钥的有效期日期时间值大于认证方ta设备的当前日期时间值。
106.3.1.4)ta使用公钥pub解密tb发送过来的随机数签名值sb后，得到随机数sb’，把解密得到的随机数sb’与原来自身产生的随机数sb相比较，如果两者相等，证明tb的私钥签名是正确的，对tb的身份验证成功；否则证明tb的私钥签名是错误的，认定tb为仿冒设备，对tb的身份验证失败。
107.3.1.5)ta在自身保存的终端设备公钥列表中找不到身份标识为tidb的记录，或者找到记录后发现记录中保存的公钥超过了有效期，则ta先与认证服务器进行相互认证，然后请求认证服务器向自己发送认证服务器中保存的终端设备公钥列表中对应身份标识为tidb的记录(设备tb对应的记录)；如果成功获得该记录，则使用认证服务器发送过来的记录值刷新ta中认证公钥列表中保存的原来tb的记录值，或为tb新增加一条记录(原来没有这样的记录)，转向步骤3.1.3继续认证tb的过程；如果不能获得该记录，则认定tb为仿冒设备或违规使用的设备，对tb的身份验证失败。
108.ta成功认证tb的身份后，tb需要认证ta的身份，其认证方法与ta对tb的认证过程相同(重复步骤3.1.1到3.1.5，不同的是tb是认证方，ta是被认证方)。
109.其中，终端设备ta与认证服务器的认证方法，包括以下步骤：
110.4)终端设备ta对认证服务器进行身份认证。
111.4.1)ta产生一个随机数tar发送给认证服务器，其中，tar是一个随机产生的64位整数。
112.4.2)认证服务器接收ta发送过来的随机数tar，从自身保存的非对称加密标签中
取得自身的私钥prs，使用prs对接收的随机数tar进行加密签名，把随机数签名值发送回ta。
113.4.3)ta接收认证服务器发送过来的随机数签名值，在自身保存的终端设备身份标签中取得认证服务器公钥pus并且公钥在有效期内，则ta使用公钥pus解密随机数签名值，转向步骤4.4；如果取得的认证服务器公钥pus超过了有效期，则设备ta属于违规使用，无法继续使用，需要重新注册。
114.4.4)ta解密认证服务器发送过来的随机数签名值后，把解密得到的随机数tar’与原来自身产生的随机数tar相比较，如果两者相等，证明认证服务器的私钥签名是正确的，对认证服务器的身份验证成功；否则证明认证服务器的私钥签名是错误的，认定认证服务器为仿冒服务器，对认证服务器的身份验证失败。
115.5)认证服务器对终端设备ta进行身份认证。
116.5.1)认证服务器产生一个随机数sr发送给ta。
117.5.2)ta接收认证服务器发送过来的随机数sr，从ta自身的身份标签中取得自身的tid值tida和私钥pra，使用私钥pra对随机数sr进行加密签名，把自身的tid值tida和随机数签名值发送给认证服务器。
118.5.3)认证服务器接收ta发送过来的tida和随机数签名值，在自身保存的终端设备公钥列表中查找身份标识为tida的记录，如果找到这样的记录并且记录中的公钥在有效期内，则认证服务器使用该记录中的公钥pua解密随机数签名值，转向步骤5.4；如果找不到这样的记录或者记录中的公钥超过了有效期，则转向步骤5.5。
119.5.4)认证服务器解密ta发送过来的随机数签名值后，把解密得到的随机数sr’与原来自身产生的随机数sr相比较，如果两者相等，证明ta的私钥签名是正确的，对ta的身份验证成功；否则证明ta的私钥签名是错误的，认定ta为仿冒设备，对ta的身份验证失败；
120.5.5)认证服务器在自身保存的终端设备公钥列表中找不到身份标识为tida的记录，或者找到记录后发现记录中保存的公钥超过了有效期，则认定ta为假冒设备或违规使用的设备，对ta的身份验证失败。
121.本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。
122.应当理解的是，本发明并不局限于上面已经描述的内容，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。