一种设备物理身份认证方法、系统、装置及第一平台与流程

1.本发明涉及计算机及网络技术领域，特别是涉及一种设备物理身份认证方法、系统、装置及第一平台。


背景技术：

2.出于安全考虑，平台往往仅允许经过认证的合法设备执行业务。相关技术中，平台可以通过验证接入的设备的权限来判断设备是否为合法设备，但是验证权限往往较为繁琐，因此平台仅在设备第一次接入时验证设备的权限，若设备通过验证，则为设备分配设备物理标识，当有设备请求执行业务时，平台获取该设备发送的设备物理标识，若平台本地存储的设备物理标识中存在与设备发送的设备物理标识一致的设备物理标识，则认为该设备为合法设备，允许该设备执行业务。
3.但是，若存在多个物理隔离的平台，则由于一个平台无法获取另一个平台为设备分配的设备物理标识，因此若设备从另一个平台转移至该一个平台，则该一个平台无法根据另一个平台为设备分配的物理标识判断该设备是否为合法设备，需要重新为该设备分配新的设备物理标识，导致一个设备在不同平台处的物理设备标识不同，不利于对设备的跨平台管理。


技术实现要素：

4.本发明实施例的目的在于提供一种设备物理身份认证方法、装置及第一平台，以实现同一设备在不同平台的设备物理标识保持一致，以便于对设备进行跨平台的管理。具体技术方案如下：
5.在本发明实施例的第一方面，提供了一种设备物理身份认证方法，应用于第一平台，所述方法包括：
6.获取待识别设备发送的数字签名和第一设备信息，其中，所述数字签名为第二平台利用平台密钥对第二设备信息加密得到的，所述第二设备信息为所述待识别设备接入所述第二平台时发送至所述第二平台的设备信息；
7.根据所述平台密钥，从所述数字签名中解析得到所述第二设备信息；
8.若所述第二设备信息与所述第一设备信息一致，确定所述待识别设备为合法设备。
9.在一种可能的实施例中，所述方法还包括：
10.获取所述待识别设备发送的加密指示信息，所述加密指示信息为所述第二平台发送至所述待识别设备的，并且用于标识所述平台密钥；
11.根据所述加密指示信息确定所述平台密钥。
12.在一种可能的实施例中，所述获取待识别设备发送的数字签名和第一设备信息，包括：
13.若待识别设备已从第二平台获取数字签名，获取所述待识别设备发送的所述数字
签名和第一设备信息
14.所述方法还包括：
15.若待识别设备未从所述第二平台获取所述数字签名，获取所述待识别设备发送的第一信息摘要和所述第一设备信息，所述第一信息摘要为所述待识别设备根据短期密钥对所述第一设备信息进行加密得到的；
16.使用所述短期密钥对应的长期密钥对所述第一设备信息进行加密，得到第二信息摘要；
17.若所述第一信息摘要与所述第二信息摘要一致，确定所述待识别设备为合法设备。
18.在一种可能的实施例中，所述方法还包括：
19.若所述第一信息摘要与所述第二信息摘要一致，利用平台密钥对所述第一设备信息进行加密，得到密文；
20.将所述密文发送至所述待识别设备，作为所述待识别设备的数字签名。
21.在本发明实施例的第二方面，提供了一种跨平台物理身份识别系统，所述系统包括第一平台、第二平台以及待识别设备，所述第一平台与所述第二平台物理隔离；
22.所述待识别设备，用于依次接入所述第二平台和所述第一平台，并在接入所述第二平台时向所述第二平台发送第二设备信息；
23.所述第二平台，用于响应于所述待识别接入所述第二平台，确定所述待识别设备是否为合法设备；若识别出所述待识别设备为合法设备，则利用平台密钥对所述第二设备信息加密，得到数字签名，并将所述数字签名发送至所述待识别设备；
24.所述待识别设备，还用于在接入所述第一平台时向所述第一平台发送所述数字签名和第一设备信息；
25.所述第一平台，用于根据所述平台密钥，从所述数字签名解析得到所述第二设备信息；若所述第二设备信息与所述第一设备信息一致，则确定所述待识别设备为合法设备。
26.在一种可能的实施例中，所述第二平台，还用于若识别出所述待识别设备为合法设备，则将用于标识所述平台密钥的加密指示信息发送至所述待识别设备；
27.所述待识别设备，还用于在接入所述第一平台时向所述第一平台发送所述加密指示信息；
28.所述第一平台，还用于根据所述加密指示信息确定所述平台密钥。
29.在本发明实施例的第三方面，提供了一种设备物理身份认证装置，应用于第一平台，所述装置包括：
30.信息获取模块，用于获取待识别设备发送的数字签名和第一设备信息，其中，所述数字签名为第二平台利用平台密钥对第二设备信息加密得到的，所述第二设备信息为所述待识别设备接入所述第二平台时发送至所述第二平台的设备信息；
31.签名解析模块，用于根据所述平台密钥，从所述数字签名中解析得到所述第二设备信息；
32.第一验证模块，用于若所述第二设备信息与所述第一设备信息一致，确定所述待识别设备为合法设备。
33.在一种可能的实施例中，所述信息获取模块，还用于获取所述待识别设备发送的
加密指示信息，所述加密指示信息为所述第二平台发送至所述待识别设备的，并且用于标识所述平台密钥；
34.根据所述加密指示信息确定所述平台密钥。
35.在一种可能的实施例中，所述信息获取模块获取待识别设备发送的数字签名和第一设备信息，包括：
36.若待识别设备已从第二平台获取数字签名，获取所述待识别设备发送的所述数字签名和第一设备信息
37.所述装置还包括第二验证模块，用于若待识别设备未从所述第二平台获取所述数字签名，获取所述待识别设备发送的第一信息摘要和所述第一设备信息，所述第一信息摘要为所述待识别设备根据短期密钥对所述第一设备信息进行加密得到的；
38.使用所述短期密钥对应的长期密钥对所述第一设备信息进行加密，得到第二信息摘要；
39.若所述第一信息摘要与所述第二信息摘要一致，确定所述待识别设备为合法设备。
40.在一种可能的实施例中，所述装置还包括签名生成模块，用于若所述第一信息摘要与所述第二信息摘要一致，利用平台密钥对所述第一设备信息进行加密，得到密文；
41.将所述密文发送至所述待识别设备，作为所述待识别设备的数字签名。
42.在本发明实施例的第四方面，提供了一种电子设备，包括：
43.存储器，用于存放计算机程序；
44.处理器，用于执行存储器上所存放的程序时，实现上述第一方面任一所述的方法步骤。
45.在本发明实施例的第五方面，提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面任一所述的方法步骤。
46.本发明实施例有益效果：
47.本发明实施例提供的设备物理身份认证方法、装置及第一平台，可以由第二平台通过平台密钥对设备信息进行加密得到数字签名，由于待识别设备的设备信息并不会改变，因此即使待识别设备从第二平台转移至第一平台，第一平台也可以根据设备信息确定出第二平台为待识别设备生成的数字签名，从而确定出待识别设备发送的数字签名是否为第二平台为待识别设备生成的数字签名，而若待识别设备发送的数字签名为第二平台为待识别设备生成的数字签名，则认为待识别设备是通过第二平台验证的设备，因此待识别设备为合法设备。可见，第一平台能够根据第二平台为待识别设备生成的数字签名对待识别设备的物理身份进行认证，无需重新为待识别设备生成新的数字签名，因此能够通过同一数字签名标识待识别设备，从而能够有效地对设备进行跨平台的管理。
48.当然，实施本发明的任一产品或方法并不一定需要同时达到以上所述的所有优点。
附图说明
49.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现
有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的实施例。
50.图1为本发明实施例提供的设备物理身份认证方法的一种流程示意图；
51.图2为本发明实施例提供的设备在未曾接入第二平台的情况下接入第一平台时第一平台对设备物理身份进行认证的流程示意图；
52.图3为本发明实施例提供的设备物理身份认证方法的一种应用场景示意图；
53.图4为本发明实施例提供的设备在第二平台完成物理身份分配并转移至第一平台的情景下的交互示意图；
54.图5为本发明实施例提供的设备物理身份认证装置的一种结构示意图；
55.图6为本发明实施例提供的电子设备的一种结构示意图。
具体实施方式
56.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员基于本技术所获得的所有其他实施例，都属于本发明保护的范围。
57.为了更清楚的对本发明提供的设备物理身份认证方法进行说明，下面将对本发明提供的设备物理身份认证方法的应用场景进行示例性的说明，可以理解的是，以下示例仅是本发明实施例提供的设备物理身份认证方法的一种可能的应用场景，在其他可能的实施例中，本发明实施例提供的设备物理方法也可以应用于其他可能的应用场景中，以下示例对此不做任何限制。
58.假设存在两个物理隔离的平台，分别记为第一平台和第二平台，并且假设第一平台和第二平台为设备分配设备物理标识的方式均为：根据设备的接入顺序为设备分配设备物理标识，例如，若设备第一个接入平台，则平台为设备分配的设备物理标识1，若设备第二个接入平台，则平台为设备分配的设备物理标识2，依次类推。
59.假设第一平台已经接入10个设备，而第二平台已经接入5个设备，将第十个接入第一平台的设备称为第一设备，则第一平台为第一设备分配的设备物理标识为10，出于实际需求，第一设备从第一平台转移至第二平台，由于第一平台与第二平台物理隔离，因此第二平台无法知悉第一平台为第一设备分配的设备物理标识，因此第二平台无法根据第一设备发送的设备标识“10”判断第一设备是否为合法设备，即第二平台无法根据第一设备的设备物理标识认证第一设备的物理身份，因此第二平台需要重新为第一设备分配新的设备物理标识，由于第一设备是第六个接入第二平台的设备，因此第二平台为第一设备分配的设备物理标识为6，可见，第一平台和第二平台为同一设备分配了不同的设备物理标识，同理，第一平台和第二平台也可能为不同设备分配相同的设备物理标识，导致设备物理标识无法唯一标识设备，因此难以根据设备物理标识对设备进行跨平台管理。
60.基于此，本发明实施例提供了一种设备物理身份认证方法，应用于第一平台，第一平台可以为任一平台，如图1所示，本发明实施例提供的设备物理身份识别方法包括：
61.s101，获取待识别设备发送的数字签名和第一设备信息，其中，数字签名为第二平
台利用平台密钥对第二设备信息加密得到的，第二设备信息为待识别设备接入第二平台时发送至第二平台的设备信息。
62.s102，根据平台密钥，从数字签名中解析得到第二设备信息。
63.s103，若第二设备信息与第一设备信息一致，确定待识别设备为合法设备。
64.选用该实施例，可以由第二平台通过平台密钥对设备信息进行加密得到数字签名，由于待识别设备的设备信息并不会改变，因此即使待识别设备从第二平台转移至第一平台，第一平台也可以根据设备信息确定出第二平台为待识别设备生成的数字签名，从而确定出待识别设备发送的数字签名是否为第二平台为待识别设备生成的数字签名，而若待识别设备发送的数字签名为第二平台为待识别设备生成的数字签名，则认为待识别设备是通过第二平台验证的设备，因此待识别设备为合法设备。可见，第一平台能够根据第二平台为待识别设备生成的数字签名对待识别设备的物理身份进行认证，无需重新为待识别设备生成新的数字签名，因此能够通过同一数字签名标识待识别设备，从而能够有效地对设备进行跨平台的管理。
65.下面将分别对前述s101-s103进行说明：
66.在s101中，第二平台与第一平台可以是同一平台也可以是不同平台，下文中为描述方便，仅以第二平台为不同于第一平台的情况为例进行说明，对于第二平台与第一平台是同一平台的情况原理是相同的，因此在此不再赘述。
67.第一设备信息可以为待识别设备本地存储的任何不变化的信息，如待识别设备的设备序列号，由于设备序列号是在产生待识别设备时烧录于待识别设备上的，因此待识别设备的设备序列号不会发生变化。第一设备信息也可以是待识别设备的设备验证码，还可以是待识别设备的设备序列号的任意子串、待识别设备的设备验证码的任意子串、待待识别设备的设备序列号和设备验证码拼接得到的拼接字符串等，本实施例对此不做任何限制。
68.第二设备信息应当与第一设备信息完全相同，本文中为描述方便，将第一平台对待识别设备进行设备物理身份认证过程中待识别设备发送的设备信息记为第一设备信息，并将第二平台为待识别设备生成数字签名的过程中待识别设备发送的设备信息记为第二设备信息。
69.数字签名可以是直接对第二设备信息进行加密得到的，也可以是对第二设备信息进行预处理后，再对经过预处理的第二设备信息进行加密得到的。示例性的，若第二设备信息的长度为预设长度，则直接对第二设备信息进行加密，得到数字签名，若第二设备信息的长度不为预设长度，则计算第二设备信息的哈希值，并对计算得到的哈希值的前预设长度位进行加密，得到数字签名，选用该实施例可以使得数字签名的长度为定值，不会随着第二设备信息的长度变化而变化，以便于后续处理。
70.并且，数字签名可以是仅对第二设备信息进行加密得到，还可以是对第二设备信息以及其他信息共同加密得到的，示例性的，在一种可能的实施例中，第二平台对第二设备信息和时间戳组合得到的组合字符串进行加密，得到数字签名，其中，时间戳用于表示第二平台开始生成数字签名的时刻。选用该实施例，可以避免为具有相同设备信息的待识别设备分配相同的设备物理标识，从而使得平台能够区别设备信息相同的待识别设备。
71.组合字符串的格式根据应用场景的不同可以不同，示例性的，组合字符串为长度
为20个字节的字符串，其中第1至第9个字节为第二设备信息，第10个字节为固定值“&”，第11至第20个字节为时间戳。该示例中，若第二设备信息的长度不为9个字节，则计算第二设备信息的哈希值，并取哈希值的前9个字节作为经过预处理的第二设备信息。
72.在s102中，可以理解的是，若第二平台是对经过预处理的第二设备信息进行加密得到数字签名的，则根据平台密钥从数字签名中解析得到的第二设备信息同样为经过预处理的设备信息。反之，若第二平台是对未经过预处理的第二设备信息进行加密得到数字签名的，则根据平台密钥从数字签名中解析得到的第二设备信息为未经过预处理的设备信息。
73.在s103中，若解析得到的第二设备信息为经过预处理的第二设备信息，则对第一设备信息进行预处理，得到经过预处理的第一设备信息，第二设备信息与第一设备信息一致是指：解析得到的经过预处理的第二设备信息与经过预处理的第一设备信息相同。
74.示例性的，假设预处理的方式为计算哈希值，并取哈希值的前9字节，则计算第一设备的哈希值，并取计算得到的哈希值的前9字节，记为平台摘要。若平台摘要与解析得到的经过预处理的第二设备信息相同，则确定待识别设备为合法设备。
75.若解析得到的第二设备信息为未经过预处理的第二设备信息，则第二设备信息与第一设备信息一致是指：解析得到的未经过预处理的第二设备信息与的待识别设备发送的第一设备信息相同。
76.在前述s102中，第一平台从数字签名中解析得到第二设备信息所根据的平台密钥应当与第二平台生成数字签名时所根据的平台密钥相同。在一种可能的实施例中，可以预先将平台密钥分别存储于第一平台和第二平台。
77.在另一种可能的实施例中前述方法还包括：
78.s104，获取待识别设备发送的加密指示信息，加密指示信息为第二平台发送至待识别设备的，并且用于标识平台密钥。
79.其中，待识别设备可以分别将数字签名和加密指示信息发送至第一平台，也可以将数字签名和加密指示信息携带于同一信息中发送至第一平台。示例性的，在一种可能的实施例中，待识别设备向第一平台发送物理标识信息，物理标识信息中携带有加密指示信息和数字签名，例如，物理标识信息为长度22个字节的信息，其中第1个字节为加密指示信息，第2个字节为固定值“&”，第3至22个字节为数字签名。
80.加密指示信息用于唯一标识平台密钥，即不同加密指示信息对应于不同的平台密钥，相同的加密指示信息对应于同一平台密钥。示例性的，以加密指示信息的长度为1字节为例，则加密指示信息可以表示为一个两位的十六进制数，该示例中，加密指示信息与平台密钥之间的关系如表1所示：
81.[0082][0083]
表1.加密指示信息-平台密钥对应关系表
[0084]
表1中第2行表示：加密指示信息0x00对应于第一平台密钥，表1中第3行表示：加密指示信息0x01对应于第二平台密钥，依次类推。
[0085]
以表1为例，若第二平台生成数字签名时所使用的平台密钥为第一平台密钥，则第二平台发送至待待识别设备的加密指示信息为0x00，若第二平台生成数字签名时所使用的平台密钥为第二平台密钥，则第二平台发送至待待识别设备的加密指示信息为0x01，依次类推。
[0086]
s105，根据加密指示信息确定平台密钥。
[0087]
仍以前述表1为例，若加密指示信息为0x00，则第一平台确定平台密钥为第一平台密钥，若加密指示信息为0x01，则第一平台确定平台密钥为第二平台密钥，依次类推。
[0088]
选用该实施例，使得第二平台可以通过不同的密钥生成数字签名，从而降低了数字签名被破解的可能性，因此非法设备更加难以通过伪造数字签名通过认证，有效提供了安全性。
[0089]
数字签名为第二平台为待识别设备生成的，在一种可能的实施例中，可以将数字签名视为待识别设备的设备物理标识，在另一种可能的实施例中，也可以将数字签名和其他信息组合得到的组合信息视为待识别设备的设备物理标识，例如，将前述设备标识信息视为待识别设备的设备物理标识。
[0090]
并且，在待识别设备接入第二平台前，待识别设备无法获取第二平台为待识别设备生成的数字签名，因此，在执行s101前，待识别设备应当曾经接入过第二平台。
[0091]
对于待识别设备未曾接入过第二平台的情况，可以参见图2，包括：
[0092]
s201，若待识别设备未从第二平台获取数字签名，获取待识别设备发送的第一信息摘要和第一设备信息。
[0093]
其中，第一信息摘要为待识别设备根据平台密钥对第一设备信息加密得到的。
[0094]
s202，使用平台密钥对第一设备信息进行加密，得到第二信息摘要。
[0095]
s203，若第一信息摘要与第二信息摘要一致，则确定待识别设备为合法设备。
[0096]
若第一信息摘要与第二信息摘要一致，则认为待识别设备所使用的短期密钥与第一平台所使用的长期密钥为一对密钥对，因此待识别设备为已经通过第一平台权限验证的设备，因此认为待识别设备为合法设备。
[0097]
选用该实施例，可以在待识别设备未曾接入第二平台的情况下对待识别设备进行认证，以避免合法设备无法正常执行业务。
[0098]
可以理解的是，若待识别设备未从第二平台获取数字签名，则认为待识别设备尚未被分配设备物理标识，因此第一平台需要为待识别设备分配设备物理标识。因此，在一种可能的实施例中，在前述图2的基础上，还包括：
[0099]
s204，若第一信息摘要与第二信息摘要一致，利用平台密钥对第一设备信息进行
加密，得到密文。
[0100]
s205，将密文发送至待识别设备，作为待识别设备的数字签名。
[0101]
为了更清楚的对本发明实施例提供的设备物理身份认证方法进行说明，下面将结合第一平台、第二平台、待识别设备进行示例性的说明。参见图3，图3所示为本发明实施例提供的设备物理身份认证方法的一种应用场景示意图，图3所示的应用场景中存在三个彼此物理隔离的平台：平台a、平台b以及平台c，iot(internet of things，物联网)设备首先接入平台a，并在平台a的调度下执行业务，一段时间后，出于实际需求，iot设备被从平台a转移至平台b，并在平台b的调度下执行业务，又一段时间后，出于实际需求，iot设备被从平台b转移至平台c，并在平台c的调度下执行业务。
[0102]
下面将分别对该应用场景中存在的以下三个子场景进行说明：子场景1：iot设备接入平台a，并在平台a的调度下执行业务；子场景2：iot设备接入平台b，并在平台b的调度下执行业务；子场景3：iot设备接入平台c，并在平台c的调度下执行业务。
[0103]
对于子场景1：iot设备第一次接入平台，因此iot设备尚未被任意平台分配设备物理标识，平台a需要对iot设备进行物理身份认证，并在确定iot设备为合法设备的情况下为iot设备分配设备物理标识。
[0104]
在子场景1中，iot设备相当于前述待识别设备，平台a相当于前述第二平台。响应于iot设备接入平台a，平台a对iot设备进行物理身份认证，以确定接入的iot设备是否为合法设备。若接入的iot设备为非法设备，则平台a中断与iot设备的连接，若接入的iot设备为合法设备，则平台a获取iot设备的第二设备信息，并基于第二设备信息为iot设备生成设备物理标识，并发送至iot设备以使得iot设备在iot设备本地保存设备物理标识。
[0105]
在该示例中，设备物理标识由22个字节组成，其中，第1个字节用于表示加密指示信息，第2个字节为固定值“&”，第3至第22个字节为经过平台密钥加密的数字签名。若第二设备信息的长度为9字节，则数字签名中第1至第9个字节为第二设备信息，若第二设备信息的长度不为9字节，则数字签名中第1至第9个字节为第二设备信息的哈希值的前9个字节，数字签名中的第10个字节为固定值“&”，第11至第20个字节为时间戳。下文中为描述方便，以第二设备信息的长度不为9个字节的情况进行说明。
[0106]
对于子场景2：iot设备并非第一次接入平台，因此iot设备已经被平台a分配设备物理标识，平台b基于iot设备的设备物理标识对iot设备进行物理身份认证，但是由于平台a与平台b之间物理隔离，因此平台b本地并未存储平台a为iot设备分配的设备物理标识。
[0107]
在子场景2中，iot设备相当于前述待识别设备，平台a相当于前述第二平台，平台b相当于前述第一平台，平台b按照本技术提供的任一设备物理身份识别方法对iot设备进行物理身份认证。
[0108]
在该示例中，响应于iot设备接入平台b，iot设备将第一设备信息和设备物理标识发送至平台b，平台b解析设备物理标识得到加密指示信息和数字签名，并根据加密指示信息确定平台密钥，使用所确定的平台密钥对数字签名进行解密，从而得到第二设备信息的哈希值的前9个字节，平台b对第一设备信息进行哈希，得到第一设备信息的哈希值的前9个字节，平台b确定第一设备信息的哈希值的前9个字节与第二设备信息的哈希值的前9个字节是否相同，若相同，则认为第一设备信息与第二设备信息相同，即iot设备为合法设备，反之，若不同，则认为第一设备信息与第二设备信息不同，即iot设备为非法设备。
[0109]
若iot设备为合法设备，则平台b后续通过iot设备的设备物理标识识别iot设备。
[0110]
对于子场景3：iot设备并非第一次接入平台，因此iot设备已经被平台a分配设备物理标识，平台c基于iot设备的设备物理标识对iot设备进行物理身份认证，但是由于平台a与平台c之间物理隔离，因此平台c本地同样并未存储平台a为iot设备分配的设备物理标识。
[0111]
在子场景3中，iot设备相当于前述待识别设备，平台a相当于前述第二平台，平台c相当于前述第一平台，平台c按照本技术提供的任一设备物理身份识别方法对iot设备进行物理身份认证。平台c对iot设备进行物理身份认证的方式与平台b相同，可以参见前述关于子场景2的相关说明，在此不再赘述。
[0112]
若iot设备为合法设备，则平台c后续通过iot设备的设备物理标识识别iot设备。
[0113]
下面将对待识别设备、第一平台以及第二平台之间的交互过程进行说明，可以参见图4，图4所示为本发明实施例提供的设备在第二平台完成物理身份分配并转移至第一平台的情景下的交互示意图，下面将分别对其中各个步骤进行说明：
[0114]
auth1、auth2、获取短期密钥请求、获取短期密钥答复为待识别设备与第二平台约定短期密钥(sessionkey)的过程，在约定sessionkey后，待识别设备使用短期密钥与第一平台进行后续的业务交互。
[0115]
在约定sessionkey后，待识别设备向第二平台发送携带有第二设备信息的短期密钥请求，响应于短期密钥请求，第二平台根据第二设备信息生成待识别设备的数字签名，并基于数字签名生成待识别设备的设备物理标识。关于数字签名和设备物理标识可以参见前述相关描述在此不再赘述。
[0116]
第二平台向待识别设备发送携带有设备物理标识的获取设备物理标识答复，待识别设备通过解析获取设备物理标识答复得到设备物理标识，并将设备物理标识持久化，即在待识别设备本地存储设备物理标识。
[0117]
后续待识别设备与第二平台进行业务交互时，向第二平台发送业务请求，并在业务请求中携带第二设备信息和设备物理标识，第二平台查询为待识别设备分配的设备物理标识，若查询到的设备物理标识与业务请求中携带的设备物理标识一致，则第二平台确定待识别设备通过认证，从而响应待识别设备发送的业务请求与待识别设备继续进行业务交互。
[0118]
待识别设备在从第二平台转移至第一平台后，通过auth1、auth2、获取短期密钥请求、获取短期密钥答复与第一平台约定短期密钥(sessionkey)的过程，在约定sessionkey后，待识别设备使用短期密钥与第一平台进行后续的业务交互。
[0119]
后续待识别设备与第一平台进行业务交互时，向第一平台发送业务请求，并在业务请求中携带第一设备信息和设备物理标识，第一平台查询为待识别设备分配的设备物理标识，若查询到的设备物理标识与业务请求中携带的设备物理标识一致，则第一平台确定待识别设备通过认证，从而响应待识别设备发送的业务请求与待识别设备继续进行业务交互。
[0120]
若第一平台未查询到为待识别设备分配的设备物理标识，则第一平台利用平台密钥从设备物理标识中的数字签名内解析得到设备信息，若解析得到的设备信息与业务请求中携带的第一设备信息一致，则第一平台确定待识别设备通过认证，从而响应待识别设备
发送的业务请求与待识别设备继续进行业务交互。并将业务请求中携带的设备物理标识作为第一平台为待识别设备分配的设备物理标识。
[0121]
对应于前述设备物理身份认证方法，本发明实施例还提供了一种跨平台物理身份识别系统，包括第一平台、第二平台以及待识别设备，第一平台与第二平台物理隔离。
[0122]
其中，待识别设备，用于依次接入所述第二平台和所述第一平台，并在接入所述第二平台时向所述第二平台发送第二设备信息；
[0123]
第二平台，用于响应于所述待识别接入所述第二平台，确定所述待识别设备是否为合法设备；若识别出所述待识别设备为合法设备，则利用平台密钥对所述第二设备信息加密，得到数字签名，并将所述数字签名发送至所述待识别设备；
[0124]
待识别设备，还用于在接入所述第一平台时向所述第一平台发送所述数字签名和第一设备信息；
[0125]
第一平台，用于根据所述平台密钥，从所述数字签名解析得到所述第二设备信息；若所述第二设备信息与所述第一设备信息一致，则确定所述待识别设备为合法设备。
[0126]
第一平台为待识别设备第一次接入的平台，即待识别设备在接入第一平台之前，未接入跨平台设备物理身份识别系统中的任一平台。
[0127]
在一种可能的实施例中，所述第二平台，还用于若识别出所述待识别设备为合法设备，则将用于标识所述平台密钥的加密指示信息发送至所述待识别设备；
[0128]
所述待识别设备，还用于在接入所述第一平台时向所述第一平台发送所述加密指示信息；
[0129]
所述第一平台，还用于根据所述加密指示信息确定所述平台密钥。
[0130]
对应于前述设备物理身份认证方法，本发明实施例还提供了一种设备物理身份认证装置，应用于第一平台，装置如图5所示，包括：
[0131]
信息获取模块501，用于获取待识别设备发送的数字签名和第一设备信息，其中，所述数字签名为第二平台利用平台密钥对第二设备信息加密得到的，所述第二设备信息为所述待识别设备接入所述第二平台时发送至所述第二平台的设备信息；
[0132]
签名解析模块502，用于根据所述平台密钥，从所述数字签名中解析得到所述第二设备信息；
[0133]
第一验证模块503，用于若所述第二设备信息与所述第一设备信息一致，确定所述待识别设备为合法设备。
[0134]
在一种可能的实施例中，所述信息获取模块，还用于获取所述待识别设备发送的加密指示信息，所述加密指示信息为所述第二平台发送至所述待识别设备的，并且用于标识所述平台密钥；
[0135]
根据所述加密指示信息确定所述平台密钥。
[0136]
在一种可能的实施例中，所述信息获取模块获取待识别设备发送的数字签名和第一设备信息，包括：
[0137]
若待识别设备已从第二平台获取数字签名，获取所述待识别设备发送的所述数字签名和第一设备信息
[0138]
所述装置还包括第二验证模块，用于若待识别设备未从所述第二平台获取所述数字签名，获取所述待识别设备发送的第一信息摘要和所述第一设备信息，所述第一信息摘
要为所述待识别设备根据短期密钥对所述第一设备信息进行加密得到的；
[0139]
使用所述短期密钥对应的长期密钥对所述第一设备信息进行加密，得到第二信息摘要；
[0140]
若所述第一信息摘要与所述第二信息摘要一致，确定所述待识别设备为合法设备。
[0141]
在一种可能的实施例中，所述装置还包括签名生成模块，用于若所述第一信息摘要与所述第二信息摘要一致，利用平台密钥对所述第一设备信息进行加密，得到密文；
[0142]
将所述密文发送至所述待识别设备，作为所述待识别设备的数字签名。
[0143]
本发明实施例还提供了一种第一平台，如图6所示，包括：
[0144]
存储器601，用于存放计算机程序；
[0145]
处理器602，用于执行存储器601上所存放的程序时，实现如下步骤：
[0146]
获取待识别设备发送的数字签名和第一设备信息，其中，所述数字签名为第二平台利用平台密钥对第二设备信息加密得到的，所述第二设备信息为所述待识别设备接入所述第二平台时发送至所述第二平台的设备信息；
[0147]
根据所述平台密钥，从所述数字签名中解析得到所述第二设备信息；
[0148]
若所述第二设备信息与所述第一设备信息一致，确定所述待识别设备为合法设备。
[0149]
本发明实施例提供的第一平台除了包括存储器601和处理器602以外，还可以包括其他组件，示例性的，在一种可能的实施例中，电子设备还包括通信接口、通信总线。
[0150]
上述第一平台提到的通信总线可以是外设部件互连标准(peripheral component interconnect，pci)总线或扩展工业标准结构(extended industry standard architecture，eisa)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。
[0151]
通信接口用于上述电子设备与其他设备之间的通信。
[0152]
存储器可以包括随机存取存储器(random access memory，ram)，也可以包括非易失性存储器(non-volatile memory，nvm)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。
[0153]
上述的处理器可以是通用处理器，包括中央处理器(central processing unit，cpu)、网络处理器(network processor，np)等；还可以是数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integrated circuit，asic)、现场可编程门阵列(field-programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。
[0154]
在本发明提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一设备物理身份认证方法的步骤。
[0155]
在本发明提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一设备物理身份认证方法。
[0156]
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或
部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘solid state disk(ssd))等。
[0157]
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
[0158]
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
[0159]
以上所述仅为本发明的较佳实施例，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。