CN111435913A - 一种物联网终端的身份认证方法、装置和存储介质 - Google Patents

Abstract

本申请提供了一种物联网终端的身份认证方法、装置和存储介质，用以解决现有技术中物联网终端认证方式复杂的问题，涉及物联网技术领域。该方法中，接收模组端发送的携带有第一密文与模组端唯一标识的认证信息；根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较。这样，认证服务器和模组端之间通过较少的信息(随机数、模组端唯一标识)和简单的对称密钥即可完成认证，认证操作的步骤少，操作简单且无需数字签名或证书，所以认证过程简单易实现。

Description

一种物联网终端的身份认证方法、装置和存储介质

技术领域

本申请涉及物联网技术领域，尤其涉及一种物联网终端的身份认证方法、装置和存储介质。

背景技术

随着物联网、大数据技术的发展，物联网设备数量增长迅速。与此同时，物联网设备的安全事件频发，例如摄像头被远程智能设备非法控制等。为了避免智能设备的非法接入与控制物联网设备，对物联网设备的身份认证是必不可少的。传统的身份认证方法有基于口令的认证方法、基于生物特征的认证方法以及PKI(Public Key Infrastructure公钥基础设施)公钥等。另外，还有一些成熟的身份认证协议，如Kerberos(计算机网络授权协议)、SSH(Secure Shell安全外壳协议)、(D)TLS(Datagram Transport Layer Security数据包传输层安全性协议)等。

然而，由于很多物联网设备不具有输入操作界面所以基于口令的认证方法并不适用、由于物联网终端没有专门的用户使用，所以基于生物特征的认证方法也并不适用于物联网终端。而PKI公钥、(D)TLS等认证方法需要数字签名或者证书，这些方法认证过程繁琐，效率低也不适用于物联网终端。

发明内容

为了实现物联网终端的轻量级身份认证，本申请实施例提供一种物联网终端的身份认证方法、装置和存储介质。

第一方面本申请实施例提供一种物联网终端的身份认证方法，该方法包括：

模组端：

生成第一随机数；

获取模组端唯一标识；

将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串；

利用预置对称密钥，对所述字符串进行加密，得到第一密文；

将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器。

认证服务器：

接收模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识；

根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；

根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；

将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较；

若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；

若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

另一方面，本申请实施例还提供一种物联网终端的身份认证装置。

模组端：

生成模块，用于生成第一随机数；

获取模块，用于获取模组端唯一标识；

排序模块，用于将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串；

加密模块，用于利用预置对称密钥，对所述字符串进行加密，得到第一密文；

发送模块，用于将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器。

认证服务器：

接收模块，用于接收所述模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识；

解密模块，用于根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；

提取模块，用于根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；

确定模块，用于若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

本申请另一实施例还提供了一种计算装置，包括至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本申请实施例提供的任一物联网终端的身份认证方法。

本申请另一实施例还提供了一种计算机存储介质，其中，所述计算机存储介质存储有计算机可执行指令，所述计算机可执行指令用于使计算机执行本申请实施例中的任一物联网终端的身份认证方法。

本申请实施例提供的物联网终端的身份认证方法、装置和存储介质，由于认证服务器和模组端之间通过较少的信息(随机数、模组端唯一标识)和简单的对称密钥即可完成认证，认证操作的步骤少，操作简单且无需数字签名或证书，所以认证过程简单易实现。

本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍，显而易见地，下面所介绍的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中物联网终端的身份认证方法应用场景示意图；

图2为本申请实施例中物联网终端的身份认证方法流程图；

图3为本申请实施例中物联网终端的身份认证方法另一应用场景示意图；

图4为本申请实施例中物联网终端的身份认证方法另一流程图；

图5为本申请实施例中物联网终端的身份认证方法的时序图；

图6为本申请实施例中物联网终端的身份认证装置示意图；

图7为本申请实施例中物联网终端的身份认证装置另一示意图；

图8为根据本申请实施方式的计算装置示意图。

具体实施方式

为了能够合理的对物联网终端进行身份认证，本申请提供了一种物联网终端的身份认证方法、装置和存储介质。为了更好的理解本申请提供的技术方案，这里对本申请的名词做一下解释：

物联网终端：物联网的终端设备，用于采集数据。如交通管理系统中的测速传感器、摄像头。还例如温度传感器、湿度传感器等等任何可以构建物联网并采集数据的设备。

模组端：与物联网终端连接，用于将物联网终端采集的数据通过物联网网络传输给云平台服务器。

模组端唯一标识：唯一标识模组端的标识，例如可以为IMEI(InternationalMobile Equpment Identity国际移动设备识别码)。

云平台服务器：负责与模组端进行数据传输,用于收集物联网终端的数据，和/或管理物联网终端。

认证服务器：主要负责模组端的身份认证和密钥的分发。

KGC：密钥生成中心，用于生成对称密钥、公钥及其对应的私钥。

接下来对本申请提供的技术方案的原理做一下简单的说明：

目前，传统的身份认证方法，例如基于口令的、基于生物特征的认证方法并不适用于物联网终端。而PKI公钥或者(D)TLS等认证方法需要数字签名或者证书，认证过程繁琐，导致认证效率低。

为了能够简洁高效的实现对物联网终端设备的身份认证，本申请实施例中提供一种物联网终端的身份认证方法。该方法中，模组端01生成第一随机数，并获取模组端唯一标识。之后模组端01按照随机数和模组端唯一标识的排列规则将第一随机数与模组端唯一标识进行排序，得到第一随机数和模组端唯一标识的字符串。模组端利用预置对称密钥，对该字符串进行加密得到第一密文，并将第一密文与模组端唯一标识作为认证信息发送给认证服务器。认证服务器接收模组端发送的携带有第一密文与模组端唯一标识的认证信息之后，根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串。认证服务器根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识，并将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较。若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

这样，认证服务器与模组端仅通过对比解密后得到的模组端唯一标识与认证信息中的模组端唯一标识，即可达到身份认证的目的。相对于现有技术中的身份认证方式，无需数字签名或证书，身份认证操作简单，效率高。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

如图1所示，其为通过本申请实施例提供的方案完成物联网终端的身份认证的应用场景示意图。该场景包括：模组端01、认证服务器02和基站03。需要说明的是，认证服务器可以连接多个模组端，图1为了便于说明仅示出了一个模组端。

模组端01生成第一随机数，并获取模组端唯一标识。将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序后得到第一随机数和模组端唯一标识的字符串，再利用预置对称密钥，对该字符串进行加密，得到第一密文。而后模组端01将第一密文与模组端唯一标识作为认证信息发送给基站03，基站03将所述认证信息发送给认证服务器02。认证服务器02接收到基站03发送的认证信息后，根据预置对称密钥解密认证信息中的第一密文，得到第一随机数和模组端唯一标识的字符串。认证服务器02根据随机数和模组端唯一标识的排列规则，在字符串中提取模组端唯一标识。认证服务器02将提取的模组端唯一标识与认证信息中的模组端唯一标识比较，若相同则确定认证成功。若不同，则确定认证失败。

其中，认证服务器02可以由云平台服务器充当，也可以由不同于云平台服务器的第三方服务器充当。此外，预置对称密钥为KGC利用SM9国密标准中的密钥生成算法计算得到的，并存储在认证服务器与模组端。较佳的，可以将KGC写进认证服务器，认证服务器的预置对称密钥即为KGC生成，将对称密钥存储在模组端。或者，由于KGC为密钥生成中心，需要保护，可以将KGC部署在不同于认证服务器的其他安全的服务器中，之后由KGC生成对称密钥，并分别将对称密钥存储在模组端和认证服务器中。

本申请实施例中的物联网适用于窄带物联网，也适用于除窄带物联网之外的物联网。

下面结合参照附图对本申请实施例提供的物联网终端的身份认证方法作进一步说明。

首先，为了完成身份认证，如前所述认证服务器生成对称密钥后自己留存一份，并将对称密钥分发给各个模组端存储。其中，不同模组端可以使用相同的对称密钥，也可以使用不同的对称密钥，本申请对此不作限定。具体实施时，可以利用SM4国家密码标准算法的对称密钥。

认证服务器和模组端有了对称密钥后，双方可以执行后续的认证操作。如图2所示，其为本申请实施例提供的物联网终端的身份认证方法流程图，包括以下步骤：

步骤201：接收模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识。

步骤202：根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串。

步骤203：根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识。

步骤204：将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较，若相同，则执行步骤205；若不同，则执行步骤206。

步骤205：确定认证成功。

步骤206：确定认证失败。

需要说明的是，排列规则可以根据实际情况自行设置，本申请对此不作限定。例如，第一随机数为00，模组端唯一标识为1001时，可以将模组端唯一标识与第一随机数按照顺序排列，解密第一密文得到的字符串即为100100(其中前四位为模组端唯一标识后两位为随机数)。之后按照排列规则，提取的模组端唯一标识为1001。或者，还可以将模组端唯一标识与第一随机数交错排序，例如第2、4位是第一随机数，其他位的数字依序排列即为模组端唯一标识。那么，解密第一密文得到的字符串为100001，按照排列规则，提取的模组端唯一标识为1001。

这样，认证服务器和模组端之间通过较少的信息(随机数、模组端唯一标识)和简单的对称密钥即可完成认证。认证操作的步骤少，操作简单且无需数字签名或证书，所以认证过程简单易实现，所以本申请给出了一种适用于物联网的轻量级身份认证方案。

此外，由于随机数和模组端唯一表示按照排列规则排列，这样，在第一密文被窃取后非法用于由于不知道排列规则也无法冒用模组端收发信息，当第一密文被篡改后由于会导致提取出错误的模组端唯一标识将导致身份认证失败，从而阻止非法设备的入侵。

由于已经对模组端进行了身份认证来保证模组端的安全性和可靠性，所以身份认证成功后，由认证服务器分别向模组端和云平台服务器发送身份认证成功的通知，模组端与云平台服务器接收到通知后，模组端和云平台服务器即可采用明文进行通信，传输数据。当然，为了保障模组端和云平台服务器之间数据传输的安全性，认证服务器在对模组端进行身份认证之后，还可以与模组端协商进行数据传输的会话密钥。具体的，认证服务器在对模组端身份认证成功之后，还可以生成第二随机数；利用预置对称密钥，对所述第二随机数进行加密，得到第二密文；然后将所述第二密文发送至所述模组端，以使所述模组端采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

具体实施时，模组端利用密码散列函数计算得到的结果，可以取前16个字节作为会话密钥。当模组端计算得到会话密钥后，可以将会话密钥发送给认证服务器，然后由认证服务器发送给云平台服务器。

此外，除了由认证服务器转发会话密钥给云平台服务器之外，认证服务器还可以自己生成会话密钥并发送给云平台服务器。即认证服务器生成第二随机数之后可以采用密码散列函数对第二随机数和所述第一密文中的第一随机数进行计算得到会话密钥。然后发送给云平台服务器即可。当然，认证服务器利用密码散列函数计算得到结果后，同样选取前16个字节作为会话密钥以便于使生成的会话密钥与模组端相同。

在传输会话密钥的过程中为了保证会话密钥的安全性，在计算得到会话密钥之后，需要对该会话密钥进行加密后发送给云平台服务器。具体实施时，认证服务器可以通过以下两种方法对会话密钥进行加密操作。

方法一：当会话密钥数量过大时，可用附加的密钥加密。为描述方便，这里将附加的密钥对称为第一公钥和第一私钥，然后将云平台服务器的ID称为第二公钥。具体实施时，随机生成第一公钥及其对应的第一私钥，采用第一公钥对会话密钥进行加密得到第一部分密文，并采用第二公钥对第一私钥进行加密后得到第二部分密文；将第一部分密文和第二部分密文发送给所述云平台服务器，以使云平台服务器根据预先存储的与第二公钥对应的第二私钥对第二部分密文进行解密得到第一私钥后利用第一私钥对第一部分密文解密得到会话密钥。

方法二：当会话密钥数量不多的情况下，可以直接使用前述的第二公钥(云平台服务器的ID)对所述会话密钥进行加密，得到第一部分密文；将所述第一部分密文发送给所述云平台服务器，以使云平台服务器根据预先存储的第二公钥对应的第二私钥，对第一部分密文进行解密，得到会话密钥。

需要说明的是，以云平台服务器的ID为公钥，根据SM9国密算法生成对应的私钥，将与公钥对应的私钥交由云平台服务器保管。不同的云平台服务器对应不同的公私钥对。也即同一认证服务器可以管理不同的云平台服务器，并为不同的云平台服务器生成相应的会话密钥。

认证服务器在发送加密后的会话密钥时，将该会话密钥对应的模组端唯一标识发送给云平台服务器。云平台服务器在存储会话密钥时，可以以模组端唯一标识+会话密钥的形式，将模组端唯一标识与对应的会话密钥对应存储。

通过将会话密钥加密后发送，可以保证会话密钥的安全性。即使会话密钥被截获，也由于没有公钥对应的私钥，所以无法解密得到会话密钥。

此外，为了防止会话密钥被窃取后导致信息泄露，生成的会话密钥是具有有效期的。具体实施时，模组端与认证服务器双方可以预先协商一个会话密钥的更新周期。例如，将会话密钥的更新周期设置为1天，会话密钥的有效期可以会话密钥的生成时间开启起算、或者从第一次使用会话密钥传输数据的开始传输时间开始起算。

其中，模组端可以在确定会话密钥失效后，主动向认证服务器请求重新进行身份认证，然后生成新的会话密钥。也可以由云平台服务器在确定会话密钥失效后，通知认证服务器，然后由认证服务器通知模组端重新进行身份认证和生成会话密钥。当然，具体实施时，只要能够在确定会话密钥失效后能够及时更新会话密钥均适用于本申请实施例，本申请对此不作限定。

进一步的，为了防止模组端发出的认证信息被截获后由其他设备冒充模组端发送截获的认证信息，所述第一密文中还包括时间戳，这样可以通过时间戳来保证认证信息只有在有效期内才能通过认证。过期的认证信息即使被截获和破解，也已经失效，失效的认证信息将导致身份认证失败从而达到防止非法设备冒充模组端的目的。该方案可具体实施为获取当前时间，然后确定所述当前时间与所述第一密文中的时间戳的时间差值是否在预设时间差值范围；相应的在对模组端进行身份认证时，若所述时间差值在预设时间差值范围且所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功。

而，若所述时间差值不在预设时间差值范围；和/或，所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

具体的，预设时间差值范围由实际情况自行设置。例如，可以设置小于3秒，小于5秒等。当然具体实施时，可以通过测量认证服务器和模组端之间的信息传输时延确定。通过上述方法，可以保证认证信息的时效性，防止认证消息被截获后其他设备冒充模组端发送认证信息，保证身份认证准确性。

下面结合图3对本申请实施例中如何使用时间戳进行身份认证和计算会话密钥做详细的说明。该场景中预设时间差值范围为小于等于3秒，该场景中包括模组端01、认证服务器02、基站03和云平台服务器04。

模组端01生成第一随机数，并获取模组端唯一标识。之后模组端01按照随机数和模组端唯一标识的排列规则将第一随机数与模组端唯一标识进行排序，得到第一随机数和模组端唯一标识的字符串。模组端01获取当前时间，作为时间戳，并利用预置对称密钥，对所述字符串与时间戳进行加密得到第一密文。将第一密文与模组端唯一标识作为认证信息发送给基站03。基站03将所述认证信息发送给认证服务器02。认证服务器02接收所述认证信息之后，利用预置对称密钥对认证信息中的第一密文进行解密，获取字符串与时间戳。并获取当前时间，确定当前时间与第一密文中的时间戳的时间差值小于3秒，则根据随机数和模组端唯一标识的排列规则提取所述字符串中的模组端唯一标识。之后，将提取的模组端唯一标识与认证信息中的模组端唯一标识比较，确定所述提取的模组端唯一标识与认证信息中的模组端唯一标识相同，从而确定认证成功。

认证成功之后，认证服务器02生成第二随机数，并将利用预置对称密钥对第二随机数进行加密得到第二密文。并将第二密文通过基站03发送给认证信息中的模组端唯一标识对应的模组端01。并采用密码散列函数对第二随机数和第一密文中的第一随机数进行计算得到会话密钥。然后以云平台服务器身份标识ID为公钥，对所述会话密钥进行加密；将所述加密后的会话密钥发送给所述云平台服务器ID对应的云平台服务器04，以使云平台服务器04根据预先存储的私钥，对加密后的会话密钥进行解密，得到会话密钥

模组端01接收到第二密文后，通过预置对称密钥对第二密文进行解密，得到第二随机数，并采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。至此模组端01和认证服务器都具备了会话密钥，后续可以进行通信。

其中，需要说明的，确定时间差值是否在预设时间差值范围内的步骤，可以在比较提取的模组端唯一标识与认证信息中的模组端唯一标识的步骤之后执行，也可以与该步骤同时执行。

基于相同的发明构思，本申请实施例提供模组端的一种物联网终端的身份认证方法。如图4所示，其为本申请实施例提供的物联网终端的身份认证方法流程图，包括以下步骤：

步骤401：生成第一随机数。

步骤402：获取模组端唯一标识。

步骤403：将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串。

步骤404：利用预置对称密钥，对所述字符串进行加密，得到第一密文。

步骤405：将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器。

具体实施时，如前文所述，随机数和模组端唯一标识的排列规则根据实际情况设置。例如，可以将模组端唯一标识与第一随机数依次排序，当第一随机数为01、模组端唯一标识1011，按照随机数和模组端唯一标识的排列规则，得到字符串为101101。所述随机数和模组端唯一标识的排列规则与认证服务器端，在字符串中提取模组端唯一标识的随机数和模组端唯一标识的排列规则相同。

这样，认证服务器和模组端之间通过较少的信息(随机数、模组端唯一标识)和简单的对称密钥即可完成认证。认证操作的步骤少，操作简单且无需数字签名或证书，所以认证过程简单易实现，所以本申请给出了一种适用于物联网的轻量级身份认证方案。

在身份认证成功后，还需要进一步协商会话密钥。该方法还包括：接收所述认证服务器发送的第二密文；利用预置对称密钥对所述第二密文进行解密，得到第二随机数；采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

模组端利用密码散列函数计算得到的结果，取前16个字节作为会话密钥。这样，当模组端与认证服务器双方完成身份认证后，双方协商会话密钥，并将会话密钥用于数据传输中，可以保证数据的安全性。模组端与认证服务器双方可以预先设置一个会话密钥的更新周期，当达到更新周期后会话密钥将不可使用，需重新进行身份认证，身份认证通过后才可以更新并协商会话密钥。

为了保证认证信息的时效性，还可以加入时间戳进行验证。对所述字符串进行加密之前，还包括：获取当前时间，作为时间戳；对所述字符串进行加密具体包括：对所述字符串以及时间戳进行加密。

通过上述方法，可以保证认证信息的时效性，防止认证消息被截获后其他设备冒充模组端发送认证信息，保证身份认证的安全性。

为便于系统理解本申请实施例，如图5所示，其为本申请实施例提供的方案的时序图。包括以下步骤：

步骤501：模组端生成第一随机数。

步骤502：模组端获取模组端唯一标识。

其中，步骤501和步骤502的执行顺序不受限。

步骤503：模组端将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串。

步骤504：模组端获取当前时间，作为时间戳。

步骤505：模组端利用预置对称密钥，对所述字符串以及时间戳进行加密。

步骤506：模组端将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器。

步骤507：认证服务器接收所述模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识和时间戳。

步骤508：认证服务器根据预置对称密钥解密所述第一密文，时间戳。

步骤509：认证服务器获取当前时间。

步骤510：认证服务器若所述当前时间与所述第一密文中的时间戳的时间差值在预设时间差值范围则在所述字符串中，提取模组端唯一标识。

步骤511：认证服务器将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较，若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功。

步骤512：认证服务器生成第二随机数。

步骤513：认证服务器利用预置对称密钥，对所述第二随机数进行加密，得到第二密文。

步骤514：认证服务器将所述第二密文发送至所述模组端。

步骤515：模组端采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

步骤516：认证服务器采用密码散列函数对第二随机数和所述第一密文中的第一随机数进行计算得到会话密钥。

其中，步骤516的执行时机在步骤512之后和步骤517之前即可，本申请对此不作具体限定。例如步骤516可以和步骤513同时执行。

步骤517：认证服务器以云平台服务器身份标识ID为公钥，对所述会话密钥进行加密。

步骤518：认证服务器将所述加密后的会话密钥发送给所述云平台服务器ID对应的云平台服务器。

步骤519：云平台服务器根据预先存储的私钥，对加密后的会话密钥进行解密，得到会话密钥。

通过本申请实施例提供的物联网终端的身份认证方法，可以减少身份认证的步骤，仅通过一个步骤就可以完成身份认证，通过两个步骤的信息交互就可以协商完成会话密钥，提高身份认证以及协商会话密钥的效率。

基于相同的发明构思，本申请实施例还提供一种物联网终端的身份认证装置。如图6所示，其为本申请实施例中物联网终端的身份认证装置示意图。该装置包括：

接收模块601，用于接收所述模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识；

解密模块602，用于根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；

提取模块603，用于根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；

确定模块604，用于若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

进一步的，该装置还包括：

第二生成模块，用于在确定模块确定认证成功之后，生成第二随机数；

第二加密模块，用于利用预置对称密钥，对所述第二随机数进行加密，得到第二密文；

第二发送模块，用于将所述第二密文发送至所述模组端，以使所述模组端采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

进一步的，该装置还包括：

计算模块，用于在第二发送模块将所述第二密文发送至模组端之后，采用密码散列函数对第二随机数和所述第一密文中的第一随机数进行计算得到会话密钥。

进一步的，所述第一密文中还包括时间戳，该装置还包括：

第二获取模块，用于获取当前时间；

第二确定模块，用于确定所述时间差值是否在预设时间差值范围；

确定模块具体用于若所述时间差值在预设时间差值范围和所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功。

确定模块具体还用于若所述时间差值不在预设时间差值范围；和/或，所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

进一步的，该装置还包括：

第三生成模块，用于随机生成第一公钥及其对应的第一私钥；

第三加密模块，用于采用第一公钥对会话密钥进行加密得到第一部分密文，并采用第二公钥对第一私钥进行加密后得到第二部分密文；其中，第二公钥为平台服务器身份标识ID；

第三发送模块，用于将第一部分密文和第二部分密文发送给所述云平台服务器，以使云平台服务器根据预先存储的与第二公钥对应的第二私钥对第二部分密文进行解密得到第一私钥后利用第一私钥对第一部分密文解密得到会话密钥。

基于相同的发明构思，本申请实施例还提供模组端的物联网终端的身份认证装置。如图7所述，其为本申请实施例提供的物联网终端的身份认证装置示意图。该装置包括：

生成模块701，用于生成第一随机数；

获取模块702，用于获取模组端唯一标识；

排序模块703，用于将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串；

加密模块704，用于利用预置对称密钥，对所述字符串进行加密，得到第一密文；

发送模块705，用于将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器，以使认证服务器接收所述模组端发送的携带有第一密文与模组端唯一标识的认证信息；根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较。

进一步的，该装置还包括：

接收模块，用于接收所述认证服务器发送的第二密文；

第二解密模块，用于利用预置对称密钥对所述第二密文进行解密，得到第二随机数；

第二计算模块，用于采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

进一步的，该装置还包括：

第三获取模块，用于在加密模块对所述字符串进行加密之前，获取当前时间，作为时间戳；

加密模块具体用于对所述字符串以及时间戳进行加密。

在介绍了本申请示例性实施方式的物联网终端的身份认证方法和装置之后，接下来，介绍根据本申请的另一示例性实施方式的计算装置。

所属技术领域的技术人员能够理解，本申请的各个方面可以实现为系统、方法或程序产品。因此，本申请的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

在一些可能的实施方式中，根据本申请的计算装置可以至少包括至少一个处理器、以及至少一个存储器。其中，存储器存储有程序代码，当程序代码被处理器执行时，使得处理器执行本说明书上述描述的根据本申请各种示例性实施方式的物联网终端的身份认证方法中的步骤。例如，处理器可以执行如图2中所示的步骤201-206或者如图4所示的步骤401-405。

下面参照图8来描述根据本申请的这种实施方式的计算装置130。图8显示的计算装置130仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图8所示，计算装置130以通用计算装置的形式表现。计算装置130的组件可以包括但不限于：上述至少一个处理器131、上述至少一个存储器132、连接不同系统组件(包括存储器132和处理器131)的总线133。

总线133表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器、外围总线、处理器或者使用多种总线结构中的任意总线结构的局域总线。

存储器132可以包括易失性存储器形式的可读介质，例如随机存取存储器(RAM)1321和/或高速缓存存储器1322，还可以进一步包括只读存储器(ROM)1323。

存储器132还可以包括具有一组(至少一个)程序模块1324的程序/实用工具1325，这样的程序模块1324包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

计算装置130也可以与一个或多个外部设备134(例如键盘、指向设备等)通信，还可与一个或者多个使得用户能与计算装置130交互的设备通信，和/或与使得该计算装置130能与一个或多个其它计算装置进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口135进行。并且，计算装置130还可以通过网络适配器136与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器136通过总线133与用于计算装置130的其它模块通信。应当理解，尽管图中未示出，可以结合计算装置130使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

在一些可能的实施方式中，本申请提供的物联网终端的身份认证方法的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在计算机设备上运行时，程序代码用于使计算机设备执行本说明书上述描述的根据本申请各种示例性实施方式的物联网终端的身份认证方法中的步骤，例如，计算机设备可以执行如图2中所示的步骤201-206或者如图4所示的步骤401-405。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

本申请的实施方式的用于物联网终端的身份认证的程序产品可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在计算装置上运行。然而，本申请的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括——但不限于——电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算装置上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算装置上部分在远程计算装置上执行、或者完全在远程计算装置或服务器上执行。在涉及远程计算装置的情形中，远程计算装置可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算装置，或者，可以连接到外部计算装置(例如利用因特网服务提供商来通过因特网连接)。

应当注意，尽管在上文详细描述中提及了装置的若干单元或子单元，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本申请的实施方式，上文描述的两个或更多单元的特征和功能可以在一个单元中具体化。反之，上文描述的一个单元的特征和功能可以进一步划分为由多个单元来具体化。

此外，尽管在附图中以特定顺序描述了本申请方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (10)

1.一种物联网终端的身份认证方法，其特征在于，所述方法包括：

接收模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识；

根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；

根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；

将提取的模组端唯一标识与所述认证信息中的模组端唯一标识比较；

若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；

若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

2.根据权利要求1所述的方法，其特征在于，确定认证成功之后，所述方法还包括：

生成第二随机数；

利用预置对称密钥，对所述第二随机数进行加密，得到第二密文；

将所述第二密文发送至所述模组端，以使所述模组端采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

3.根据权利要求2所述的方法，其特征在于，将所述第二密文发送至模组端之后，还包括：

采用密码散列函数对第二随机数和所述第一密文中的第一随机数进行计算得到会话密钥。

4.根据权利要求1所述的方法，其特征在于，所述第一密文中还包括时间戳，所述方法还包括：

获取当前时间；

确定所述当前时间与所述第一密文中的时间戳的时间差值是否在预设时间差值范围；

确定认证成功，具体包括：

若所述时间差值在预设时间差值范围和所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；

确定认证失败，具体包括：

若所述时间差值不在预设时间差值范围；和/或，所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

5.根据权利要求3所述的方法，其特征在于，计算得到会话密钥之后，所述方法还包括：

随机生成第一公钥及其对应的第一私钥；

采用第一公钥对会话密钥进行加密得到第一部分密文，并采用第二公钥对第一私钥进行加密后得到第二部分密文；其中，第二公钥为平台服务器身份标识ID；

将第一部分密文和第二部分密文发送给所述云平台服务器，以使云平台服务器根据预先存储的与第二公钥对应的第二私钥对第二部分密文进行解密得到第一私钥后利用第一私钥对第一部分密文解密得到会话密钥。

6.一种物联网终端的身份认证方法，其特征在于，所述方法包括：

生成第一随机数；

获取模组端唯一标识；

将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串；

利用预置对称密钥，对所述字符串进行加密，得到第一密文；

将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

接收所述认证服务器发送的第二密文；

利用预置对称密钥对所述第二密文进行解密，得到第二随机数；

采用密码散列函数对第一随机数和所述第二密文中的第二随机数进行计算得到会话密钥。

8.根据权利要求6所述的方法，其特征在于，对所述字符串进行加密之前，还包括：

获取当前时间，作为时间戳；

对所述字符串进行加密,具体包括：

对所述字符串以及时间戳进行加密。

9.一种物联网终端的身份认证装置，其特征在于，所述装置包括：

接收模块，用于接收所述模组端发送的携带有第一密文与模组端唯一标识的认证信息；所述第一密文包括第一随机数和模组端唯一标识；

解密模块，用于根据预置对称密钥解密所述第一密文，得到第一随机数和模组端唯一标识的字符串；

提取模块，用于根据随机数和模组端唯一标识的排列规则，在所述字符串中，提取模组端唯一标识；

确定模块，用于若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识相同，则确定认证成功；若所述提取的模组端唯一标识与所述认证信息中的模组端唯一标识不同，则确定认证失败。

10.一种物联网终端的身份认证装置，其特征在于，所述装置包括：

生成模块，用于生成第一随机数；

获取模块，用于获取模组端唯一标识；

排序模块，用于将所述第一随机数与模组端唯一标识，按照随机数和模组端唯一标识的排列规则进行排序，得到第一随机数和模组端唯一标识的字符串；

加密模块，用于利用预置对称密钥，对所述字符串进行加密，得到第一密文；

发送模块，用于将所述第一密文与所述模组端唯一标识作为认证信息发送给认证服务器。

Images