一种低功耗高安全性的智能访问控制方法与流程

1.本发明属于访问控制技术领域，尤其是涉及一种低功耗高安全性的智能访问控制方法。


背景技术：

2.智能设备例如智能锁、智能洗衣机、智能冰箱、智能空调等，以及能够远程操作的其他设备日益流行，这些设备运行通常使用如蓝牙低功耗ble网络等低功率网络实现数据的传输。近年来，业界已经提出了基于智能手机的控制访问解决方案。尽管其中许多已在展会上进行了展示，甚至进行了试点，但实际上很少有产品进入市场。广泛使用基于智能手机的解决方案的主要障碍是它们与现有系统的不兼容，这可能需要在新基础架构上进行大量投资，例如联锁控制电路、通信系统和电源线。此外至关重要的是，需要确保系统具有支持和组织智能手机的用户访问的能力。
3.系统交互是确定智能设备是否成功的一个重要因素，智能设备需要限制与系统其他部分进行必要信息交换。原则上，甚至可能希望将与系统其他部分的信息交换限制在某种程度，使得几乎可以离线进行操作。能源供应也是智能设备是否成功的一个重要因素，当使用智能设备时，使用永久性电源来实施访问控制负担称重。
4.为增加这种这能设备的灵活性，将允许将访问权限或特权从一个用户委派或转移到另一个用户，这可以帮助减少管理开销。例如，访问者可以被其他用户授予某些特权，而该用户不必经过中央权限。
5.当然，除了灵活性和上述其他属性外，这种访问控制系统的安全性应该是主要设计目标之一，因为资源代表着必须保护的某些价值。因此，需要提供一种智能访问控制工具，来改善智能设备的功能性，以减少其能量消耗，并同时保持高度的安全性。


技术实现要素：

6.本发明旨在解决提升智能访问控制系统的安全性、降低被访问设备的功率损耗的技术问题，提供一种低功耗高安全性的智能访问控制方法。
7.为了达到上述目的，本发明采用如下技术方案：一种低功耗高安全性的智能访问控制方法，所述被访问设备通过低功率网络实现对数据的传输，所述被访问的设备生成并存储一个或多个主令牌，主令牌包括主设备令牌和主访问令牌，主设备令牌用于被访问设备允许智能访问控制工具验证被访问设备的身份，主访问令牌用于确保用户终端可以访问被访问设备；所述智能访问控制工具包括主访问令牌接收模块、关联用户识别模块、用户权限验证模块、本地访问令牌生成模块和用户权限授予模块；主访问令牌接收模块接收用户终端发送的主访问令牌，该主访问令牌具有用户密钥和用户权限；关联用户识别模块基于所获得的用户密钥识别与被访问设备相关联的用户；用户权限验证模块验证所获得的用户权限；本地访问令牌生成模块基于主设备令牌和基于主访问令牌的本地访问令牌来创建本地设备令牌，本地设备令牌使用户终端通过智
能访问控制工具实现用户终端和被访问设备的无线连接，被访问设备经由低功率网络将本地令牌呈现给用户终端，并且根据所施加的约束和限制来协商访问；用户权限授予模块在满足预定的访问条件时准予对被访问设备的访问，预定的访问条件至少包括对所述用户终端的肯定认证和对所获得的用户权限的肯定验证。
8.作为一种优选的技术方案，所述智能访问控制工具还包括访问控制列表生成模块和本地存储器，所述访问控制列表生成模块标识被授权的一个或多个用户终端、生成访问控制列表，并将访问控制列表存储在本地存储器中，访问控制列表中包括从用户终端接收的对被访问设备的受限访问请求，该受限访问请求包括用户的标识符或用户终端的标识符中的至少一个。
9.作为一种优选的技术方案，被访问设备对主设备令牌进行加密，在该种情形下，所述主访问令牌接收模块还包括解密接收的主设备令牌。
10.作为一种优选的技术方案，被访问设备对主设备令牌进行加密，所述关联用户识别模块通过对用户密钥的“质询-响应”机制实现对用户终端的认证，关联用户识别模块通过向终端提出问题来质询用户终端，用户终端必须使用秘密信息来响应问题，然后发送给关联用户识别模块，如果关联用户识别模块接收到的用户响应与所获得的用户密钥相对应，则智能访问控制工具识别该用户终端为关联用户终端。
11.作为一种优选的技术方案，所述关联用户识别模块包括随机数生成器，关联用户识别模块将生成的响应值发送给用户终端，用户终端对响应值进行处理并将处理后的响应值发送回关联用户识别模块，关联用户识别模块可以对响应值进行相同的处理，然后将处理得到的值与接收到的用户终端处理后的响应值进行比较，如果二者相匹配，则关联用户识别模块识别该用户终端为关联用户终端。
12.作为一种优选的技术方案，所述用户权限验证模块对所获得的用户权限的验证包括对用户权限是否允许访问被访问设备的验证以及用户权限的有效性的验证；用户权限的有效性的验证包括验证用户权限是否过期或用户权限是否被撤销或用户权限是否真实或用户权限是否遵守本地区域限制；通过主访问令牌或用户权限设置序列号，用户权限验证模块通过该序列号验证用户权限是否过期；通过用户权限设置具有已撤销标识符的序列号并设置用户特权验证码的撤销列表，以验证用户权限是否被撤销；通过用户权限设置具有上下文信息的时间表，设定用户的优先访问次数以及绑定到特定区域的指定位置。
13.作为一种优选的技术方案，所述本地访问令牌生成模块使用基于对称密钥的对称密钥算法对本地设备令牌进行加密，对称密钥是特定于访问控制的对称密钥，仅由智能访问控制工具和被访问设备共同使用，即智能访问控制工具可以针对一个访问控制单独生成特定于访问控制的密钥，并且可以选择仅与被访问设备一起使用。
14.作为一种优选的技术方案，本地设备令牌还包括由一用户颁发给另一用户的委托权限；本地访问令牌生成模块从接收到的主访问令牌中获得用户权限，基于本地设备令牌获取用户密钥和委派权限；关联用户识别模块基于本地访问令牌生成模块获得的用户密钥，对用户终端进行验证；用户权限验证模块基于本地访问令牌生成模块获得的委派权限以及主设备令牌所发行的权限，进行肯定认证。
15.作为一种优选的技术方案，本地设备令牌是由若干部分令牌组成，通过一个通信通道或者一个以上的通信通道来发送各个部分令牌。
16.作为一种优选的技术方案，本地访问令牌生成模块基于所述访问控制列表识别与用户相关联的访问参数，将本地访问令牌的撤销时间和所识别的访问参数设置在本地访问令牌中。
17.采用上述技术方案后，本发明具有如下优点：本发明的一种低功耗高安全性的智能访问控制方法，被访问设备可以将访问控制决策委托给智能访问控制工具，这为被访问设备提供了安全性和复杂的访问控制决策，同时降低了被访问设备的功耗、处理需求和带宽需求；本智能访问控制工具允许细粒度的访问控制，把安全控制细化到数据库的行列级别，并给出特定的权限或者限制；智能访问控制工具还能够授权用户根据各种约束条件委托对他人的限制访问。
18.此外，智能访问控制工具使得远程控制系统与被访问设备的网络通信是非必要的。用户终端请求访问时，智能访问控制工具能够直接确定用户是否被授权，因此被访问设备不需要与远程控制系统进行通信。被访问设备能够在没有网络连接的情况下，通过智能访问控制工具实现对用户终端的认证，可以降低被访问设备的功率需求。
19.本发明通过智能访问控制工具，避免了被访问设备与用户终端的直接通信，避免被访问设备直接允许访问资源。因此可以减少传输的数据量，改善能量消耗，还能够满足各种安全性条件，实现了访问控制系统的简单性、低能耗、灵活性和安全性的均衡。
具体实施方式
20.以下结合具体实施例，对本发明作进一步的详细说明。
21.一种低功耗高安全性的智能访问控制方法，通过智能访问控制工具实现用户终端和被访问设备的数据交互。所述被访问设备通过低功率网络实现对数据的传输，所述被访问的设备生成并存储一个或多个主令牌，主令牌包括主设备令牌和主访问令牌，主设备令牌用于被访问设备允许智能访问控制工具验证被访问设备的身份，主访问令牌用于确保用户终端可以访问被访问设备。
22.所述智能访问控制工具包括主访问令牌接收模块、关联用户识别模块、用户权限验证模块、本地访问令牌生成模块、用户权限授予模块、访问控制列表生成模块和本地存储器。
23.主访问令牌接收模块接收用户终端发送的主访问令牌，该主访问令牌具有用户密钥和用户权限。主访问令牌可以确保智能访问控制工具可以访问使用低功率网络的被访问设备。被访问设备可以将其主访问令牌和主设备令牌发送到智能访问控制工具来将其访问控制决策委托给智能访问控制工具的计算芯片。智能访问控制工具的计算芯片存储所接收的主访问令牌和主设备令牌并识别请求访问被访问设备的用户终端以及被访问设备所施加的约束和限制。此外，主访问令牌接收模块还能够代表被访问设备维护访问控制列表。
24.为进一步提升访问控制系统的安全性，主设备令牌可以进行加密，在该种情形下，主访问令牌接收模块还包括解密接收的主设备令牌。
25.关联用户识别模块基于所获得的用户密钥识别与被访问设备相关联的用户。关联用户识别模块通过对用户密钥的“质询-响应”机制实现对用户终端的认证。关联用户识别模块通过向终端提出问题来质询用户终端，用户终端必须使用秘密信息来响应问题，然后发送给关联用户识别模块，如果关联用户识别模块接收到的用户响应与所获得的用户密钥
相对应，则智能访问控制工具识别该用户终端为关联用户终端。
26.关联用户识别模块对用户密钥的“质询-响应”机制可以通过随机数生成器实现。随机数生成器首次输入某一输入时，将输出伪随机的输出作为响应；但第二次输入相同的输入时，随机数生成器将以相同的输出进行响应。关联用户识别模块将生成的响应值发送给用户终端，用户终端对响应值进行处理并将处理后的响应值发送回关联用户识别模块，关联用户识别模块可以对响应值进行相同的处理，然后将处理得到的值与接收到的用户终端处理后的响应值进行比较，如果二者相匹配，则关联用户识别模块识别该用户终端为关联用户终端。
27.用户权限验证模块验证所获得的用户权限。对所获得的用户权限的验证包括对用户权限是否允许访问被访问设备的验证、以及用户权限的有效性的验证。用户权限的有效性的验证包括验证用户权限是否过期、用户权限是否被撤销、用户权限是否真实、用户权限是否遵守本地区域限制。主访问令牌或用户权限设置序列号，用户权限验证模块通过该序列号验证用户权限是否过期；用户权限设置具有已撤销标识符的序列号并设置用户特权验证码的撤销列表，以验证用户权限是否被撤销；用户权限设置具有上下文信息的时间表，设定用户的优先访问次数以及绑定到特定区域的指定位置。
28.本地访问令牌生成模块基于主设备令牌和基于主访问令牌的本地访问令牌来创建本地设备令牌。本地设备令牌使用户终端通过智能访问控制工具实现用户终端和被访问设备的无线连接，被访问设备经由低功率网络将本地令牌呈现给用户终端，并且根据所施加的约束和限制来协商访问。
29.本地访问令牌生成模块接收主访问令牌导出的令牌数据、用户终端访问被访问设备的请求、主设备令牌导出的令牌数据，而不通过网络通信。本地访问令牌提供用户终端请求的访问权限，但不确定其是由被访问设备的有效令牌生成的，还是由智能访问控制工具派生的，故需要确定本地访问令牌基于的令牌数据来自有效令牌，并且确定本地访问令牌已经被授予足以提供被访问设备所需访问的访问级别。
30.本地访问令牌生成模块使用基于对称密钥的对称密钥算法对本地设备令牌进行加密。使用加密的本地设备令牌，能够进一步提升访问控制的安全性，能够使攻击者难于篡改用户令牌。采用对称密钥算法相对使用非对称密钥算法加密可以降低计算复杂度，使得智能访问控制工具集成化程度更高。对称密钥是特定于访问控制的对称密钥，仅由智能访问控制工具和被访问设备共同使用。即智能访问控制工具可以针对一个访问控制单独生成特定于访问控制的密钥，并且可以选择仅与被访问设备一起使用。
31.本地访问令牌生成模块获得基于主访问令牌的本地访问令牌，本地访问令牌同主访问令牌一样，具有用户密钥和与用户密钥相关联的用户权限。本地设备令牌具有用户密钥或者基于用户密钥的标识符。
32.进一步的，本地设备令牌还包括由一用户颁发给另一用户的委托权限。具体地说，本地访问令牌生成模块是从接收到的主访问令牌中获得用户权限，基于本地设备令牌获取用户密钥和委派权限。关联用户识别模块基于本地访问令牌生成模块获得的用户密钥，对用户终端进行验证；用户权限验证模块基于本地访问令牌生成模块获得的委派权限以及主设备令牌所发行的权限，进行肯定认证。
33.为增加这种这能设备的灵活性，将允许将访问权限或特权从一个用户委派或转移
到另一个用户，这可以帮助减少管理开销。访问者可以被其他用户授予某些特权，而该用户不必经过中央权限。
34.本地设备令牌是由若干部分令牌组成，通过一个通信通道或者一个以上的通信通道来发送各个部分令牌。一个或多个部分令牌可以用过第一个通信通道发送，例如，基于无线电的通信信道（wlan）发送；或者，基于近场通信（nfc）的通信信道发送；或者，基于蓝牙低功耗的ble网络通信信道发送；或者，基于通信光纤发送。其他的一个或多个部分令牌可以使用第二个通信信道来发送。
35.用户权限授予模块在满足预定的访问条件时准予对被访问设备的访问，预定的访问条件至少包括对所述用户终端的肯定认证和对所获得的用户权限的肯定验证。对用户终端的肯定认证包括由用户权限验证模块验证所获得的用户权限的验证结果、以及由关联用户识别模块对用户密钥的识别结果。用户权限授予模块将加密的本地设备令牌发送到用户终端。
36.所述访问控制列表生成模块标识被授权的一个或多个用户终端、生成访问控制列表，并将访问控制列表存储在本地存储器中。访问控制列表中包括从用户终端接收的对被访问设备的受限访问请求，该受限访问请求包括用户的标识符或用户终端的标识符中的至少一个。
37.所述访问控制列表生成模块与用户权限验证模块相联系，访问控制列表包括访问参数，建立用户受限访问的范围，即访问控制列表包括了用户权限验证模块所需的验证信息。
38.本地访问令牌生成模块基于所述访问控制列表识别与用户相关联的访问参数，将本地访问令牌的撤销时间和所识别的访问参数设置在本地访问令牌中。
39.在用户终端与被访问设备成功配对后，用户终端向被访问设备实现一个或多个访问控制过程。
40.被访问设备可以将访问控制决策委托给智能访问控制工具，这为被访问设备提供了安全性和复杂的访问控制决策，同时降低了被访问设备的功耗、处理需求和带宽需求；本智能访问控制工具允许细粒度的访问控制，把安全控制细化到数据库的行列级别，并给出特定的权限或者限制；智能访问控制工具还能够授权用户根据各种约束条件委托对他人的限制访问。
41.此外，智能访问控制工具使得远程控制系统与被访问设备的网络通信是非必要的。用户终端请求访问时，智能访问控制工具能够直接确定用户是否被授权，因此被访问设备不需要与远程控制系统进行通信。被访问设备能够在没有网络连接的情况下，通过智能访问控制工具实现对用户终端的认证，可以降低被访问设备的功率需求。
42.通过智能访问控制工具，避免了被访问设备与用户终端的直接通信，避免被访问设备直接允许访问资源。因此可以减少传输的数据量，改善能量消耗，还能够满足各种安全性条件，实现了访问控制系统的简单性、低能耗、灵活性和安全性的均衡。
43.除上述优选实施例外，本发明还有其他的实施方式，本领域技术人员可以根据本发明作出各种改变和变形，只要不脱离本发明的精神，均应属于本发明所附权利要求所定义的范围。