本發(fā)明涉及物聯(lián)網(wǎng)安全通信技術(shù)領(lǐng)域，具體涉及一種基于iot設(shè)備的端云安全通信的方法。

背景技術(shù)：

當(dāng)今是信息科技高速發(fā)展的時(shí)代，互聯(lián)網(wǎng)正迅速成為各行各業(yè)的載體，推動(dòng)著行業(yè)的進(jìn)步，而物聯(lián)網(wǎng)作為提高互聯(lián)網(wǎng)應(yīng)用的基礎(chǔ)媒介以及先驅(qū)，大大提高著行業(yè)生產(chǎn)和人們生活的效率。它的應(yīng)用被稱為繼計(jì)算機(jī)、互聯(lián)網(wǎng)之后世界信息產(chǎn)業(yè)發(fā)展的第三次浪潮。與此同時(shí)，物聯(lián)網(wǎng)的安全性問題也備受人們關(guān)注。因?yàn)閺奈锫?lián)網(wǎng)的普及程度來看，一旦出現(xiàn)安全性問題，將會(huì)對(duì)人們的生產(chǎn)生活造成巨大的損失。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明克服了現(xiàn)有技術(shù)的不足，提供一種基于iot設(shè)備的端云安全通信方法，旨在保證iot設(shè)備在云端、與終端app之間安全通信。

考慮到現(xiàn)有技術(shù)的上述問題，根據(jù)本發(fā)明公開的一個(gè)方面，本發(fā)明采用以下技術(shù)方案：

一種基于iot設(shè)備的端云安全通信方法，包括：

建立iot設(shè)備端與移動(dòng)終端和家庭網(wǎng)絡(luò)之間的數(shù)據(jù)通訊；

iot設(shè)備端向認(rèn)證平臺(tái)發(fā)送用于激活的請(qǐng)求信息，所述認(rèn)證平臺(tái)根據(jù)所述iot設(shè)備端上傳的請(qǐng)求信息進(jìn)行審核、且所述iot設(shè)備端對(duì)所述認(rèn)證平臺(tái)進(jìn)行合法性驗(yàn)證，以及所述iot設(shè)備端與所述認(rèn)證平臺(tái)之間生成加解密信息，所述認(rèn)證平臺(tái)再將對(duì)所述iot設(shè)備端的身份信息和相應(yīng)的服務(wù)端的加解密信息存儲(chǔ)到服務(wù)端的數(shù)據(jù)庫，以及將相應(yīng)服務(wù)的加解密信息返回iot設(shè)備端存儲(chǔ)；

iot設(shè)備端第一次向服務(wù)端發(fā)起會(huì)話連接請(qǐng)求的情況下，所述服務(wù)端根據(jù)iot設(shè)備端發(fā)送的請(qǐng)求認(rèn)證的信息通過所述服務(wù)端的數(shù)據(jù)庫存儲(chǔ)的身份信息和相應(yīng)的加解密信息對(duì)其進(jìn)行解析認(rèn)證，所述服務(wù)端對(duì)所述iot設(shè)備端驗(yàn)證成功后，所述iot設(shè)備端對(duì)所述服務(wù)端進(jìn)行身份認(rèn)證，在所述iot設(shè)備端和所述服務(wù)端雙方驗(yàn)證成功后建立通信連接。

為了更好地實(shí)現(xiàn)本發(fā)明，進(jìn)一步的技術(shù)方案是：

根據(jù)本發(fā)明的一個(gè)實(shí)施方案，所述移動(dòng)終端通過設(shè)置無線ap的方式與所述iot設(shè)備端建立連接；以及

所述移動(dòng)終端通過掃描二維碼的方式獲取所述iot設(shè)備端的序列號(hào)。

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，所述移動(dòng)終端將家庭網(wǎng)絡(luò)中的路由器信息加密后發(fā)送給所述iot設(shè)備端，所述iot設(shè)備端接收所述路由器信息后連接至家庭網(wǎng)絡(luò)。

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，所述認(rèn)證平臺(tái)根據(jù)上傳的信息進(jìn)行審核的過程包括：

所述認(rèn)證平臺(tái)審核通過后，生成iot設(shè)備端的id，以及利用所述認(rèn)證平臺(tái)的私鑰對(duì)id進(jìn)行簽名，再將簽名值和審核通過的信息發(fā)送給所述iot設(shè)備端；

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，所述iot設(shè)備端對(duì)所述認(rèn)證平臺(tái)的合法性驗(yàn)證包括：

所述iot設(shè)備端集成終端sdk包，所述sdk包內(nèi)集成了ecc算法和認(rèn)證平臺(tái)的證書，所述iot設(shè)備端收到所述認(rèn)證平臺(tái)的簽名值后，進(jìn)行驗(yàn)簽，如果驗(yàn)簽成功，生成id，則認(rèn)為所述認(rèn)證平臺(tái)合法。

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，驗(yàn)證所述認(rèn)證平臺(tái)合法后，所述iot設(shè)備端調(diào)用ecc算法生成公鑰和私鑰，所述iot設(shè)備端通過私鑰對(duì)id進(jìn)行簽名生成簽名值并連同公鑰一起發(fā)送給所述認(rèn)證平臺(tái)，所述認(rèn)證平臺(tái)收到簽名值和公鑰后，利用公鑰對(duì)簽名值進(jìn)行驗(yàn)簽生成id，并存儲(chǔ)終端的公鑰信息。

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，所述服務(wù)器端驗(yàn)證所述iot設(shè)備端的身份過程，包括：

iot設(shè)備端產(chǎn)生一隨機(jī)值，連同所述iot設(shè)備端身份信息組成一字符串；

所述iot設(shè)備端利用私鑰pk1和sdk包的算法，對(duì)所述字符串進(jìn)行簽名并生成簽名值，再將所述簽名值和所述iot設(shè)備端身份信息發(fā)送給服務(wù)端；

所述服務(wù)端收到所述簽名值和所述iot設(shè)備端身份信息后，通過所述iot設(shè)備端身份信息找到對(duì)應(yīng)iot設(shè)備端的公鑰，以及利用服務(wù)器端sdk包的ecc算法進(jìn)行驗(yàn)簽，解析所述iot設(shè)備端身份信息和所述隨機(jī)值，在解析成功的情況下，則認(rèn)為服務(wù)端驗(yàn)證所述iot設(shè)備端身份的認(rèn)證成功。

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，所述iot設(shè)備端驗(yàn)證所述服務(wù)端的身份流程包括：

服務(wù)端為所述服務(wù)器端與所述iot設(shè)備端之間的會(huì)話配置數(shù)據(jù)的安全策略，根據(jù)所述安全策略，服務(wù)端生成一所述iot設(shè)備端可以解析所述安全策略的字符串；

所述服務(wù)端通過自己私鑰，利用sdk包的算法，對(duì)所述字符串進(jìn)行簽名并生成簽名值,再返回給所述iot設(shè)備端；

所述iot設(shè)備端收到所述簽名值后，利用iot設(shè)備端存儲(chǔ)的服務(wù)端的公鑰，通過iot設(shè)備端sdk包的ecc算法進(jìn)行驗(yàn)簽，解析所述安全策略，解析成功則認(rèn)為iot設(shè)備端驗(yàn)證服務(wù)端身份成功，并獲取所述安全策略，并返回給服務(wù)器端，身份驗(yàn)證成功。

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，還包括為所述安全策略使用加密算法，以及協(xié)商密鑰，其過程包括：

服務(wù)端根據(jù)雙方確定加密算法產(chǎn)生密鑰，連同iot設(shè)備端的身份信息組成字符串；

服務(wù)端利用iot設(shè)備端的身份信息，找到對(duì)應(yīng)的iot設(shè)備端公鑰，利用ecc算法，通過公鑰加密生成字符串，并發(fā)送給iot設(shè)備端；

iot設(shè)備端收到加密的字符串后,利用自己私鑰，通過ecc算法進(jìn)行解密，解密成功生成字符串，并返回確認(rèn)消息給服務(wù)端；服務(wù)端保存密鑰，如果解密失敗，返回失敗消息給服務(wù)器，請(qǐng)求服務(wù)端再次協(xié)商密鑰。

本發(fā)明還可以是：

根據(jù)本發(fā)明的另一個(gè)實(shí)施方案，還包括：

建立移動(dòng)終端與服務(wù)端的通信連接，以及移動(dòng)終端獲取iot設(shè)備端的相應(yīng)信息后，再向服務(wù)端申請(qǐng)獲取權(quán)限令牌；

服務(wù)確定移動(dòng)終端與iot設(shè)備端是否存在綁定關(guān)系，如果存在則生成權(quán)限令牌，并通過密鑰協(xié)商，把權(quán)限令牌和權(quán)限密鑰返回給移動(dòng)終端；

移動(dòng)終端將權(quán)限令牌發(fā)送給iot設(shè)備端，以及iot設(shè)備端接收到權(quán)限令牌，通過權(quán)限密鑰對(duì)權(quán)限令牌進(jìn)行鑒權(quán)，如果鑒權(quán)成功，開始移動(dòng)終端與iot設(shè)備端之間協(xié)商密鑰，協(xié)商密鑰完成后，建立安全通信。

與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果之一是：

本發(fā)明的一種基于iot設(shè)備的端云安全通信方法，保證了端云數(shù)據(jù)在整個(gè)會(huì)話連接的數(shù)據(jù)安全，包括身份認(rèn)證、數(shù)據(jù)的完整性校驗(yàn)、數(shù)據(jù)的隱私性，根據(jù)不同的業(yè)務(wù)的場(chǎng)景，可以靈活的進(jìn)行安全策略的配置，這種方式適應(yīng)了互聯(lián)網(wǎng)的輕量級(jí)的認(rèn)證體系，保證了性能的損失減小到最少，同時(shí)保證了云端的通信安全；以及通過權(quán)限令牌的方式，保證了云端對(duì)app向iot設(shè)備授權(quán)，app與iot設(shè)備之間鑒權(quán)，密鑰交換過程，實(shí)現(xiàn)了app與iot設(shè)備的安全通信。

附圖說明

為了更清楚的說明本申請(qǐng)文件實(shí)施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對(duì)實(shí)施例或現(xiàn)有技術(shù)的描述中所需要使用的附圖作簡(jiǎn)單的介紹，顯而易見地，下面描述中的附圖僅是對(duì)本申請(qǐng)文件中一些實(shí)施例的參考，對(duì)于本領(lǐng)域技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的情況下，還可以根據(jù)這些附圖得到其它的附圖。

圖1為根據(jù)本發(fā)明一個(gè)實(shí)施例的設(shè)備配網(wǎng)的示意圖。

圖2為根據(jù)本發(fā)明一個(gè)實(shí)施例的終端激活的流程示意圖。

圖3為根據(jù)本發(fā)明一個(gè)實(shí)施例的身份認(rèn)證的流程示意圖。

圖4為根據(jù)本發(fā)明一個(gè)實(shí)施例的密鑰協(xié)商的示意圖。

圖5為根據(jù)本發(fā)明一個(gè)實(shí)施例的設(shè)備與密鑰管理及設(shè)備與app安全傳輸?shù)牧鞒淌疽鈭D。

具體實(shí)施方式

下面結(jié)合實(shí)施例對(duì)本發(fā)明作進(jìn)一步地詳細(xì)說明，但本發(fā)明的實(shí)施方式不限于此。

系統(tǒng)實(shí)現(xiàn)主要包括云端(服務(wù)端)、app端(移動(dòng)終端/app)和iot端(iot設(shè)備端/終端)三個(gè)部分，主要包括設(shè)備配網(wǎng)、終端激活、身份認(rèn)證、設(shè)備與云端的密鑰協(xié)商、設(shè)備與權(quán)限密鑰獲取、設(shè)備與app密鑰管理、設(shè)備與app的安全傳輸?shù)确矫?。具體流程如下：

一、設(shè)備配網(wǎng)

在app與云端發(fā)起通信前，已經(jīng)通過以下步驟1、2建立了https安全連接，確保了app與云端之間的數(shù)據(jù)通信安全

步驟1：在app通過掃描二維碼獲得了當(dāng)前設(shè)備的序列號(hào)sn后，通過sn碼對(duì)家庭路由器的ssid和口令明文進(jìn)行加密后發(fā)送給設(shè)備；主要工作包括app可以設(shè)置無線ap，iot設(shè)備會(huì)自動(dòng)連到app設(shè)置的ap后，app把路由器的ssid和口令加密發(fā)送給iot設(shè)備；

步驟2：iot設(shè)備接受到家庭路由器的ssid和口令后自動(dòng)連到家庭路由器，并通過udp的方式把自己的狀態(tài)報(bào)給手機(jī)app，包括sn,ip等信息，app通過sn確認(rèn)iot的設(shè)備和iot所屬的ip地址；

二、終端激活流程

終端向認(rèn)證平臺(tái)發(fā)起激活請(qǐng)求，即向認(rèn)證平臺(tái)上傳終端的相關(guān)信息(包括終端的sn、mac、版本號(hào)等)，認(rèn)證平臺(tái)根據(jù)上傳的信息進(jìn)行審核，審核通過后，生成終端的id，利用平臺(tái)的私鑰對(duì)id進(jìn)行簽名，連同簽名值和終端審核成功的消返回給終端。由于終端集成了終端sdk包，sdk集成了ecc算法和認(rèn)證平臺(tái)的證書，終端收到認(rèn)證平臺(tái)的簽名值，進(jìn)行驗(yàn)簽，如果驗(yàn)簽成功，生成id，可認(rèn)為認(rèn)證平臺(tái)的合法性，然后調(diào)用ecc算法，生成了ecc算法的公、私鑰對(duì)pk1(私鑰)，pr1(公鑰)。終端通過pk1(私鑰)對(duì)id進(jìn)行簽名生成簽名值sign'，并連同pr1(公鑰)一起發(fā)送給認(rèn)證平臺(tái)，認(rèn)證平臺(tái)收到sign'和pr1后，利用pr1對(duì)sign'進(jìn)行驗(yàn)簽生成id，并存儲(chǔ)終端的公鑰信息，同時(shí)把終端公鑰和id同步到服務(wù)端數(shù)據(jù)庫，并把服務(wù)端的公鑰返回給終端存儲(chǔ)。

三、身份認(rèn)證流程

服務(wù)端驗(yàn)證終端身份認(rèn)證流程：

終端第一次發(fā)起會(huì)話連接請(qǐng)求時(shí)候，需要向服務(wù)器端驗(yàn)證終端的身份過程，過程如下：

1、終端會(huì)產(chǎn)生一個(gè)四位數(shù)的隨機(jī)值，連同終端id組成一個(gè)字符串r；

2、終端通過終端的私鑰pk1，利用sdk包的算法，對(duì)r進(jìn)行簽名生成簽名值r'，連同id一起發(fā)送給服務(wù)端；

3、服務(wù)端收到r'和id后，通過id找到對(duì)用終端的公鑰，利用服務(wù)器端sdk包的ecc算法進(jìn)行驗(yàn)簽，最后可解析成id和四位的隨機(jī)數(shù)，解析成功可認(rèn)為服務(wù)端驗(yàn)證終端身份認(rèn)證成功；

4、如果服務(wù)器端驗(yàn)證終端身份失敗，返回錯(cuò)誤信息，要求終端再一次驗(yàn)證身份，流程按1、2、3來執(zhí)行；

如果服務(wù)器端驗(yàn)證終端身份成功的話，那么需要終端驗(yàn)證服務(wù)端的身份，具體驗(yàn)證流程如下：

1、服務(wù)端確定這個(gè)會(huì)話過程的數(shù)據(jù)是否需要加密或者需要做數(shù)據(jù)完整性校驗(yàn)，如果需要加密，確定加密算法，如果需要做數(shù)據(jù)完整性校驗(yàn)，確定完整性校驗(yàn)的算法；

2、服務(wù)器端配置了數(shù)據(jù)的安全策略后，根據(jù)這個(gè)安全策略，生成一個(gè)終端可以解析這個(gè)安全策略的字符串m；

3、服務(wù)端通過自己私鑰pk2，利用sdk包的算法，對(duì)m進(jìn)行簽名生成簽名值m',返回給終端；

4、終端端收到m'后，利用終端存儲(chǔ)的服務(wù)端的公鑰，通過終端sdk包的ecc算法進(jìn)行驗(yàn)簽，最后可解析成這個(gè)會(huì)話的安全策略m，解析成功可認(rèn)為終端驗(yàn)證服務(wù)端身份成功，并獲取這個(gè)會(huì)話連接的安全策略，并返回給服務(wù)器端，身份驗(yàn)證成功，返回的過程連同終端id一起返回，服務(wù)器端收到id和成功消息，就明白是那個(gè)終端驗(yàn)證服務(wù)器端身份成功。如果終端驗(yàn)證服務(wù)器端失敗，連通id一起返回給服務(wù)端驗(yàn)證失敗的消息，告訴服務(wù)端，終端需要再次驗(yàn)證服務(wù)端身份。

四、密鑰協(xié)商流程

如果雙方驗(yàn)證成功，終端確認(rèn)了這個(gè)會(huì)話的安全策略，如果需要使用加密算法，那么雙方就要協(xié)商密鑰，一般算法都是使用對(duì)稱密鑰；主要流程如下：

1、服務(wù)器端根據(jù)雙方確定加密算法產(chǎn)生密鑰key，連同終端id組成字符串a(chǎn)；

2、服務(wù)端利用終端id，找到對(duì)應(yīng)的終端公鑰pr1，利用ecc算法，通過公鑰加密生成a'，并發(fā)送給終端；

3、終端收到a’,利用自己私鑰pk1，通過ecc算法進(jìn)行解密，解密成功生成a，并返回確認(rèn)消息給服務(wù)端；服務(wù)器端保存key，如果解密失敗，返回失敗消息給服務(wù)器，請(qǐng)求服務(wù)端再次協(xié)商密鑰；

雙方認(rèn)證成功，并協(xié)商密鑰的過程，如果成功只需要4次握手連接就可以完成，后續(xù)的整個(gè)會(huì)話過程，雙方交互的數(shù)據(jù)根據(jù)剛才交換的數(shù)據(jù)安全策略執(zhí)行。

1、如果是配置的加密策略，雙方在整個(gè)會(huì)話過程中，利用協(xié)商密鑰key，根據(jù)確定算法，對(duì)數(shù)據(jù)進(jìn)行加密，解密運(yùn)算，保證了數(shù)據(jù)的隱私；

2、如果配置的數(shù)據(jù)完整性校驗(yàn)策略，雙方在整個(gè)會(huì)話過程中根據(jù)確定算法，對(duì)數(shù)據(jù)進(jìn)行完整性校驗(yàn)，防止數(shù)據(jù)被第三方串改。

五、設(shè)備與權(quán)限密鑰獲取

為了能夠在設(shè)備端實(shí)現(xiàn)對(duì)app對(duì)的鑒權(quán)，即確認(rèn)云端授權(quán)終端app對(duì)某iot設(shè)備授權(quán)訪問，設(shè)備端獲取權(quán)限密鑰，具體方式如下：

通過身份認(rèn)證、密鑰協(xié)商機(jī)制，設(shè)備端根據(jù)sn號(hào)，向云端發(fā)起申請(qǐng)獲取權(quán)限密鑰請(qǐng)求；

云端通過了終端的身份認(rèn)證后，通過密鑰協(xié)商等機(jī)制，向設(shè)備端返回權(quán)限密鑰，設(shè)備端獲取權(quán)限密鑰后保存。

六、設(shè)備與app密鑰管理

app向云端獲取與終端通信的權(quán)限令牌，主要方式如下：

1、app以明文的方式向終端設(shè)備發(fā)送udp廣播；

2、iot設(shè)備成功連接云端后，以明文的方式向app發(fā)送ip、sn等信息；

3、app獲取iot設(shè)備ip、sn等信息后，向云端申請(qǐng)獲取權(quán)限令牌的請(qǐng)求；

4、app通過云端身份認(rèn)證連接到云端，云端確定app與iot設(shè)備是否存在綁定關(guān)系，如果存在則生成權(quán)限令牌，并通過密鑰協(xié)商，把權(quán)限令牌和權(quán)限密鑰返回給app。

七、設(shè)備與app安全傳輸

1、app獲取權(quán)限令牌和權(quán)限密鑰，把權(quán)限令牌發(fā)送給iot設(shè)備

2、iot設(shè)備接受到權(quán)限令牌通過權(quán)限密鑰對(duì)權(quán)限令牌進(jìn)行鑒權(quán)

3、如果鑒權(quán)成功，開始app與iot設(shè)備之間開始協(xié)商密鑰過程，如果失敗說明app與設(shè)備鑒權(quán)不成功能，它們之間不能通信

app與iot設(shè)備之間開始協(xié)商密鑰過程如下：

1、終端生成隨機(jī)數(shù)k1，通過權(quán)限密鑰加密生成k2，并傳送給app；

2、app獲得k2，通過權(quán)限密鑰解密生成k1，說明協(xié)商密鑰成功，向終端返回成功信息，如果失敗則向終端返回失敗結(jié)果；

3、終端與app通過協(xié)商密鑰k1進(jìn)行安全通信。

通過以上過程，保證了端云數(shù)據(jù)在整個(gè)會(huì)話連接的數(shù)據(jù)安全，包括身份認(rèn)證、數(shù)據(jù)的完整性校驗(yàn)、數(shù)據(jù)的隱私性，根據(jù)不同的業(yè)務(wù)的場(chǎng)景，可以靈活的進(jìn)行安全策略的配置，這種方式適應(yīng)了互聯(lián)網(wǎng)的輕量級(jí)的認(rèn)證體系，保證了性能的損失減小到最少，同時(shí)保證了云端的通信安全。同時(shí)通過權(quán)限令牌的方式，保證了云端對(duì)app向iot設(shè)備授權(quán)，app與iot設(shè)備之間鑒權(quán)，密鑰交換過程，實(shí)現(xiàn)了app與iot設(shè)備的安全通信。

本說明書中各個(gè)實(shí)施例采用遞進(jìn)的方式描述，每個(gè)實(shí)施例重點(diǎn)說明的都是與其它實(shí)施例的不同之處，各個(gè)實(shí)施例之間相同相似部分相互參見即可。

在本說明書中所談到的“一個(gè)實(shí)施例”、“另一個(gè)實(shí)施例”、“實(shí)施例”、等，指的是結(jié)合該實(shí)施例描述的具體特征、結(jié)構(gòu)或者特點(diǎn)包括在本申請(qǐng)概括性描述的至少一個(gè)實(shí)施例中。在說明書中多個(gè)地方出現(xiàn)同種表述不是一定指的是同一個(gè)實(shí)施例。進(jìn)一步來說，結(jié)合任一實(shí)施例描述一個(gè)具體特征、結(jié)構(gòu)或者特點(diǎn)時(shí)，所要主張的是結(jié)合其他實(shí)施例來實(shí)現(xiàn)這種特征、結(jié)構(gòu)或者特點(diǎn)也落在本發(fā)明的范圍內(nèi)。

盡管這里參照本發(fā)明的多個(gè)解釋性實(shí)施例對(duì)本發(fā)明進(jìn)行了描述，但是，應(yīng)該理解，本領(lǐng)域技術(shù)人員可以設(shè)計(jì)出很多其他的修改和實(shí)施方式，這些修改和實(shí)施方式將落在本申請(qǐng)公開的原則范圍和精神之內(nèi)。更具體地說，在本申請(qǐng)公開和權(quán)利要求的范圍內(nèi)，可以對(duì)主題組合布局的組成部件和/或布局進(jìn)行多種變型和改進(jìn)。除了對(duì)組成部件和/或布局進(jìn)行的變型和改進(jìn)外，對(duì)于本領(lǐng)域技術(shù)人員來說，其他的用途也將是明顯的。