物联网设备的认证方法与流程

本技术涉及物联网，特别是涉及一种物联网设备的认证方法。

背景技术：

1、随着物联网技术的发展，物联网设备被广泛应用到各种领域中，导致物联网设备的安全与管理面临巨大挑战，而为了确保物联网设备与平台之间的通信安全，往往需要对物联网设备进行认证。

2、相关技术中，通常采用依赖于卡尔曼滤波等线性预测模型的物理层认证方案、固定阈值判决方案、固定核函数相似度计算方案等，对物联网设备进行认证。

3、然而，上述相关技术中的认证方案，存在依赖静态预测模型、无法适应非线性信道漂移、无法利用历史累积认证信息等缺陷，导致物联网设备认证的鲁棒性、准确性和环境自适应性较低，严重影响物联网设备的通信安全。

技术实现思路

1、基于此，有必要针对上述技术问题，提供一种物联网设备的认证方法，能够提高物联网设备认证的鲁棒性、准确性和环境自适应性，进而提高物联网设备的通信安全。

2、第一方面，本技术提供了一种物联网设备的认证方法，应用于安全认证平台，该方法包括：

3、接收加密网关发送的第二认证请求，其中，物联网设备与加密网关存在关联关系且加密网关与物联网设备在安全认证平台已注册，第二认证请求是加密网关响应于第一认证请求对物联网设备认证通过后向安全认证平台发送的，第一认证请求用于请求加密网关对物联网设备进行第一认证；

4、基于第一信道特征、第二信道特征和第一量子熵源令牌对物联网设备进行第二认证，以确定物联网设备的认证结果；

5、其中，第二认证请求包括第一量子熵源令牌、物联网设备采集的第一信道特征和加密网关采集的第二信道特征，第一信道特征和第二信道特征是物联网设备与加密网关间通信信道的特征。

6、在其中一个实施例中，基于第一信道特征、第二信道特征和第一量子熵源令牌对物联网设备进行第二认证，以确定物联网设备的认证结果，包括：基于第一信道特征、第二信道特征和物联网设备的先验可信度概率，确定物联网设备的后验可信度概率；以及，对第一量子熵源令牌与物联网设备在安全认证平台的注册随机数进行匹配验证，得到量子熵源验证结果；基于后验可信度概率和量子熵源验证结果，确定物联网设备的认证结果。

7、在其中一个实施例中，基于第一信道特征、第二信道特征和物联网设备的先验可信度概率，确定物联网设备的后验可信度概率，包括：对第一信道特征和第二信道特征进行特征融合处理，得到当前融合特征；基于当前融合特征和物联网设备的历史融合特征，确定物联网设备的似然估计值；其中，历史融合特征是安全认证平台针对物联网设备的历史认证过程中认证通过时所确定的融合特征；根据似然估计值和先验可信度概率，确定物联网设备的后验可信度概率。

8、在其中一个实施例中，基于后验可信度概率和量子熵源验证结果，确定物联网设备的认证结果，包括：确定后验可信度概率的第一权重和量子熵源验证结果的第二权重；基于第一权重和第二权重，对后验可信度概率和量子熵源验证结果进行加权处理，得到物联网设备的认证置信度；基于认证置信度，确定物联网设备的认证结果。

9、在其中一个实施例中，第二认证请求还包括第一量子熵源锚定特征、物联网设备的设备标识和加密网关的网关标识；该方法还包括：采用物联网设备的第一公钥，基于第一量子熵源锚定特征、设备标识、网关标识、认证置信度、当前时间戳和会话随机数，生成会话密钥；通过加密网关，与物联网设备对会话密钥进行协商。

10、在其中一个实施例中，通过加密网关，与物联网设备对会话密钥进行协商，包括：生成包含会话密钥和封装密文的初始密钥协商响应报文；其中，封装密文是采用第一公钥生成的；采用安全认证平台的第二私钥，对初始密钥协商响应报文进行签名，得到目标密钥协商响应报文；通过加密网关，向物联网设备发送目标密钥协商响应报文、当前时间戳、会话随机数和认证置信度；其中，当前时间戳、会话随机数和认证置信度用于供物联网设备结合安全认证平台的第二公钥，对目标密钥协商响应报文进行验证。

11、在其中一个实施例中，该方法还包括：接收物联网设备通过加密网关发送的业务数据；其中，业务数据在目标密钥协商响应报文验证成功后发送，且业务数据采用会话密钥加密传输。

12、在其中一个实施例中，该方法还包括：通过加密网关，向物联网设备发送第二公钥；以及，接收物联网设备通过加密网关发送的第一公钥。

13、在其中一个实施例中，采用物联网设备的第一公钥，基于第一量子熵源锚定特征、设备标识、网关标识、认证置信度、当前时间戳和会话随机数，生成会话密钥，包括：采用物联网设备的第一公钥，生成共享秘密值和封装密文；基于第一量子熵源锚定特征、当前时间戳和会话随机数，生成第一绑定凭证；采用密钥派生函数，基于共享秘密值、第一绑定凭证、设备标识、网关标识、认证置信度、当前时间戳和会话随机数，生成会话密钥。

14、在其中一个实施例中，该方法还包括：获取物联网设备的硬件响应值和物联网设备生成的注册随机数；以及，通过加密网关，向物联网设备发送多轮探测信号，以采集加密网关与安全认证平台之间的通信信道的基础信道特征；基于注册随机数、基础信道特征和硬件响应值，生成物联网设备的注册绑定凭证，并对应存储注册随机数和注册绑定凭证。

15、在其中一个实施例中，该方法还包括：接收加密网关发送的认证随机数；其中，认证随机数在加密网关接收到第一认证请求后发送；基于认证随机数和注册随机数，生成第二量子熵源令牌；向加密网关发送第二量子熵源令牌；其中，第二量子熵源令牌用于供加密网关对物联网设备进行第一认证。

16、在其中一个实施例中，接收加密网关发送的认证随机数，包括：接收加密网关发送的认证随机数和第一时间戳；其中，第一时间戳是物联网设备生成第一量子熵源锚定特征的时间戳；基于认证随机数和注册随机数，生成第二量子熵源令牌，包括：在第一时间戳与第二时间戳之间的时间差小于预设阈值时，基于认证随机数和注册随机数，生成第二量子熵源令牌；其中，第二时间戳是安全认证平台接收到认证随机数和第一时间戳的时间戳。

17、第二方面，本技术还提供了一种物联网设备的认证方法，应用于加密网关，该方法包括：

18、接收关联的物联网设备发送的第一认证请求；其中，加密网关与物联网设备存在关联关系且加密网关与物联网设备在安全认证平台已注册；

19、基于第一认证请求对物联网设备进行第一认证；

20、在认证通过后，向安全认证平台发送物联网设备的第二认证请求；

21、其中，第二认证请求包括第一量子熵源令牌、物联网设备采集的第一信道特征和加密网关采集的第二信道特征，第一信道特征和第二信道特征是物联网设备与加密网关间通信信道的特征；第二认证请求用于指示安全认证平台基于第一量子熵源令牌、第一信道特征和第二信道特征对物联网设备进行第二认证。

22、在其中一个实施例中，第一认证请求包括第一量子熵源锚定特征、认证随机数、第一信道特征和物联网设备的设备标识；基于第一认证请求对物联网设备进行第一认证，包括：向安全认证平台发送认证随机数；以及，采集通信信道的第二信道特征；其中，认证随机数用于供安全认证平台基于认证随机数和物联网设备在安全认证平台的注册随机数生成第二量子熵源令牌；基于第二信道特征、设备标识和安全认证平台发送的第二量子熵源令牌，确定第二量子熵源锚定特征；基于第一量子熵源锚定特征和第二量子熵源锚定特征的第一对比结果，以及第一信道特征和第二信道特征的第二对比结果，对物联网设备进行第一认证。

23、在其中一个实施例中，基于第一量子熵源锚定特征和第二量子熵源锚定特征的第一对比结果，以及第一信道特征和第二信道特征的第二对比结果，对物联网设备进行第二认证，包括下述任一项：在第一对比结果表征第一量子熵源锚定特征和第二量子熵源锚定特征相同，或第二对比结果表征第一信道特征和第二信道特征的相似性大于相似性阈值的情况下，确定物联网设备的第一认证结果为认证通过；在第一对比结果表征第一量子熵源锚定特征和第二量子熵源锚定特征相同，且第二对比结果表征第一信道特征和第二信道特征的相似性大于相似性阈值的情况下，确定物联网设备的第一认证结果为认证通过。

24、在其中一个实施例中，第一认证请求还包括物联网设备生成第一量子熵源锚定特征的第一时间戳；向安全认证平台发送认证随机数，包括：向安全认证平台发送认证随机数和第一时间戳；其中，第一时间戳用于供安全认证平台在第一时间戳与第二时间戳之间的时间差小于预设阈值时，生成第二量子熵源令牌；第二时间戳是安全认证平台接收到认证随机数和第一时间戳的时间戳。

25、在其中一个实施例中，第一认证请求还包括第一量子熵源锚定特征、设备标识和加密网关的网关标识；第二认证请求还用于指示安全认证平台采用物联网设备的第一公钥，基于第一量子熵源锚定特征、设备标识、网关标识、认证置信度、当前时间戳和会话随机数，生成会话密钥，并通过加密网关，与物联网设备对会话密钥进行协商。

26、在其中一个实施例中，该方法还包括：接收物联网设备发送的业务数据，并向安全认证平台发送业务数据；其中，业务数据采用会话密钥加密传输。

27、第三方面，本技术还提供了一种物联网设备的认证方法，应用于物联网设备，该方法包括：

28、向关联的加密网关发送第一认证请求；

29、其中，加密网关与物联网设备存在关联关系且加密网关与物联网设备在安全认证平台已注册；

30、第一认证请求用于请求加密网关对物联网设备进行第一认证，并在物联网设备认证通过后，向安全认证平台发送第二认证请求；以及，

31、第二认证请求包括第一量子熵源令牌、物联网设备采集的第一信道特征和加密网关采集的第二信道特征，第一信道特征和第二信道特征均是物联网设备与加密网关间的通信信道的特征，第二认证请求用于请求安全认证平台基于第一量子熵源令牌、第一信道特征和第二信道特征对物联网设备进行第二认证。

32、在其中一个实施例中，向关联的加密网关发送第一认证请求，包括：生成认证随机数；采集通信信道的第一信道特征；基于认证随机数和物联网设备在安全认证平台的注册随机数，生成第一量子熵源令牌；基于第一信道特征、第一量子熵源令牌和物联网设备的设备标识，生成第一量子熵源锚定特征；生成包括第一量子熵源锚定特征、认证随机数、第一信道特征和设备标识的第一认证请求，并向加密网关发送第一认证请求。

33、在其中一个实施例中，第一认证请求还包括生成第一量子熵源锚定特征时对应的第一时间戳；第一认证请求还用于请求加密网关向安全认证平台发送第一时间戳，以供安全认证平台在第一时间戳与第二时间戳之间的时间差小于预设阈值时，生成第二量子熵源令牌；其中，第二时间戳是安全认证平台接收到第一时间戳的时间戳，第二量子熵源令牌用于供加密网关对物联网设备进行第一认证。

34、在其中一个实施例中，该方法还包括：在安全认证平台对物联网设备的认证通过后，经由加密网关与安全认证平台对会话密钥进行协商；其中，会话密钥是安全认证平台基于物联网设备的第一公钥、第一量子熵源锚定特征、物联网设备的设备标识、加密网关的网关标识、认证置信度、当前时间戳和会话随机数确定的；以及，当前时间戳是安全认证平台确定会话密钥时的时间戳。

35、在其中一个实施例中，经由加密网关与安全认证平台对会话密钥进行协商，包括：接收安全认证平台经由加密网关发送的目标密钥协商响应报文、当前时间戳、会话随机数和认证置信度；基于安全认证平台的第二公钥、当前时间戳、会话随机数和认证置信度，对目标密钥协商响应报文进行验证。

36、在其中一个实施例中，该方法还包括：响应于目标密钥协商响应报文验证通过，经由加密网关向安全认证平台发送业务数据，其中，业务数据采用会话密钥加密传输。

37、在其中一个实施例中，基于安全认证平台的第二公钥、当前时间戳、会话随机数和认证置信度，对目标密钥协商响应报文进行验证，包括：基于安全认证平台的第二公钥，对目标密钥协商响应报文进行验签；响应于目标密钥协商响应报文验签通过，基于物联网设备的第一私钥和目标密钥协商响应报文中的封装密文，确定共享秘密值；基于第一量子熵源锚定特征、当前时间戳和会话随机数，生成第二绑定凭证；采用密钥派生函数、共享秘密值、第二绑定凭证、物联网设备的设备标识、加密网关的网关标识、认证置信度、当前时间戳和会话随机数，生成候选密钥；对比候选密钥和会话密钥，得到目标密钥协商响应报文的验证结果。

38、在其中一个实施例中，该方法还包括：提取物联网设备的硬件响应值；生成注册随机数；经由加密网关，接收安全认证平台响应于注册请求发送的多轮探测信号；其中，多轮探测信号用于指示对加密网关与安全认证平台之间的通信信道的基础信道特征进行采集；经由加密网关，向安全认证平台发送硬件响应值和注册随机数；其中，硬件响应值、注册随机数和基础信道特征用于供安全认证平台生成物联网设备的注册绑定凭证，并对应存储注册随机数和注册绑定凭证。

39、在其中一个实施例中，该方法还包括：经由加密网关，接收安全认证平台发送的安全认证平台的第二公钥；以及，经由加密网关，向安全认证平台发送物联网设备的第一公钥。

40、第四方面，本技术还提供了一种物联网设备的认证装置，应用于安全认证平台，包括：

41、第二接收模块，用于接收加密网关发送的第二认证请求，其中，物联网设备与加密网关存在关联关系且加密网关与物联网设备在安全认证平台已注册，第二认证请求是加密网关响应于第一认证请求对物联网设备认证通过后向安全认证平台发送的，第一认证请求用于请求加密网关对物联网设备进行第一认证；

42、第二认证模块，用于基于第一信道特征、第二信道特征和第一量子熵源令牌对物联网设备进行第二认证，以确定物联网设备的认证结果；

43、其中，第二认证请求包括第一量子熵源令牌、物联网设备采集的第一信道特征和加密网关采集的第二信道特征，第一信道特征和第二信道特征是物联网设备与加密网关间通信信道的特征。

44、第五方面，本技术还提供了一种物联网设备的认证装置，应用于加密网关，包括：

45、第一接收模块，用于接收关联的物联网设备发送的第一认证请求，其中，加密网关与物联网设备存在关联关系且加密网关与物联网设备在安全认证平台已注册；

46、第一认证模块，用于基于第一认证请求对物联网设备进行第一认证；

47、第一发送模块，用于在认证通过后，向安全认证平台发送物联网设备的第二认证请求；

48、其中，第二认证请求包括第一量子熵源令牌、物联网设备采集的第一信道特征和加密网关采集的第二信道特征，第一信道特征和第二信道特征是物联网设备与加密网关间通信信道的特征；第二认证请求用于指示安全认证平台基于第一量子熵源令牌、第一信道特征和第二信道特征对物联网设备进行第二认证。

49、第六方面，本技术还提供了一种物联网设备的认证装置，应用于物联网设备，包括：

50、第二发送模块，用于向关联的加密网关发送第一认证请求，其中，加密网关与物联网设备存在关联关系且加密网关与物联网设备在安全认证平台已注册；第一认证请求用于请求加密网关对物联网设备进行第一认证，并在物联网设备认证通过后，向安全认证平台发送第二认证请求；以及，第二认证请求包括第一量子熵源令牌、物联网设备采集的第一信道特征和加密网关采集的第二信道特征，第一信道特征和第二信道特征均是物联网设备与加密网关间的通信信道的特征，第二认证请求用于请求安全认证平台基于第一量子熵源令牌、第一信道特征和第二信道特征对物联网设备进行第二认证。

51、第七方面，本技术还提供了一种安全认证平台，包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时实现第一方面提供的各方法。

52、第八方面，本技术还提供了一种加密网关，包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时实现第二方面提供的各方法。

53、第九方面，本技术还提供了一种物联网设备，包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时实现第三方面提供的各方法。

54、第十方面，本技术还提供了一种计算机可读存储介质，其上存储有计算机可执行指令，在计算机可执行指令被处理器执行时，实现第一方面、第二方面或第三方面提供的各方法。

55、第十一方面，本技术还提供了一种计算机程序产品，包括计算机程序或指令，计算机程序或指令在被处理器执行时，实现第一方面、第二方面或第三方面提供的各方法。

56、上述物联网设备的认证方法，通过在安全认证平台注册存在关联关系的加密网关和物联网设备，可以首先由加密网关响应于第一认证请求，对物联网设备进行第一认证，并该第一认证通过后，向安全认证平台发送第二认证请求，且该第二认证请求包括第一量子熵源令牌、物联网设备对物联网设备与加密网关之间的通信信道进行特征采集的第一信道特征，以及加密网关对上述通信信道进行特征采集的第二信道特征，从而，安全认证平台在接收到上述第二认证请求后，可以基于上述第一信道特征、第二信道特征和第一量子熵源令牌对物联网设备进行第二认证，以确定物联网设备的认证结果。这样，一方面，通过第一量子熵源令牌、第一信道特征和第二信道特征，将物理层信道特征与量子随机数进行绑定，由于攻击者无法同时复制物理信道和量子随机源，因此，相较于单纯的物理层认证方法，能够有效方法信道模拟攻击和重放攻击；另一方面，通过物联网设备、加密网关和安全认证平台三者之间协同执行所实现的第一认证和第二认证，对物联网设备的认证过程进行了分层，任一层级被攻击可以不影响物联网设备的整体安全，从而，避免了单一层级的认证过程被破坏所导致的物联网设备通信安全性下降，降低了攻击成功率。基于此，本方案能够提高物联网设备认证的鲁棒性、准确性和环境自适应性，进而提高物联网设备的通信安全。