CN114390478A - 设备认证***、方法及终端设备 - Google Patents

设备认证***、方法及终端设备 Download PDF

Info

Publication number
CN114390478A
CN114390478A CN202111593011.1A CN202111593011A CN114390478A CN 114390478 A CN114390478 A CN 114390478A CN 202111593011 A CN202111593011 A CN 202111593011A CN 114390478 A CN114390478 A CN 114390478A
Authority
CN
China
Prior art keywords
authentication
equipment
authentication server
key
esam
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202111593011.1A
Other languages
English (en)
Inventor
张宏彬
朱源泉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Chenggu Technology Co ltd
Original Assignee
Shenzhen Chenggu Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Chenggu Technology Co ltd filed Critical Shenzhen Chenggu Technology Co ltd
Priority to CN202111593011.1A priority Critical patent/CN114390478A/zh
Publication of CN114390478A publication Critical patent/CN114390478A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请适用于信息安全技术领域，提供了设备认证***、方法及终端设备，所述设备认证***包括：第一设备、认证服务器以及第二设备；所述第一设备向所述第二设备发起连接请求消息；若所述第二设备检测到所述第一设备没有经过认证，则向所述第一设备回复连接响应消息；所述第一设备与所述认证服务器基于ESAM方式进行认证；在所述认证服务器被成功认证后，所述第一设备确定一个通信密钥；所述认证服务器生成所述通信密钥；所述第二设备从所述认证服务器获取所述通信密钥；所述第二设备和所述第一设备基于所述通信密钥进行双向认证。通过上述方法，能够提高ESAM的利用率。

Description

设备认证***、方法及终端设备
技术领域
本申请属于信息安全技术领域，尤其涉及设备认证***、方法、终端设备及计算机可读存储介质。
背景技术
PSAM-ESAM安全机制主要用于包含嵌入式安全存取模块(Embedded SecureAccess Module，ESAM)的设备和包含销售点终端安全存取模块(Purchase Secure AccessModule，PSAM)的设备之间的安全认证。
现有的交通***中，若路侧单元(Road Side Unit，RSU)中包含PSAM卡，而车载单元(On Board Unit，)OBU中包含ESAM模块，则该RSU和OBU先基于PSAM-ESAM安全机制进行认证，认证通过之后再进行有效数据的传输。也即，若需要进行通信的两个设备(假设为设备A和设备B)中，只有设备A包括ESAM模块，而设备B没有包括PSAM模块，则设备A和设备B将不能进行基于PSAM-ESAM安全机制的认证，从而降低了ESAM的利用率。
发明内容
本申请实施例提供了设备认证***、方法、终端设备及计算机可读存储介质，可以解决现有方法中ESAM的利用率较低的问题。
第一方面，本申请实施例提供了一种设备认证***，所述设备认证***包括第一设备、认证服务器以及第二设备，所述第一设备包括嵌入式安全存取模块ESAM，所述认证服务器包括销售点终端安全存取模块PSAM，且所述认证服务器与所述第二设备已建立互信关系；
所述第一设备向所述第二设备发起连接请求消息，其中，所述连接请求消息携带所述第一设备的设备标识和所述第一设备支持的认证方式；
所述第二设备根据所述第一设备的设备标识检测所述第一设备是否已经过认证；
若所述第二设备检测到所述第一设备没有经过认证，则向所述第一设备回复连接响应消息，所述连接响应消息包括用于指示所述第一设备向所述认证服务器基于ESAM方式进行认证的信息；
在接收到所述回复连接响应消息后，所述第一设备与所述认证服务器基于ESAM方式进行认证；
在所述认证服务器被成功认证后，所述第一设备确定一个通信密钥；
在通信密钥生成条件满足时，所述认证服务器生成所述通信密钥，所述通信密钥生成条件包括所述第一设备被成功认证；
所述第二设备从所述认证服务器获取所述通信密钥；
所述第二设备和所述第一设备基于所述通信密钥进行双向认证。
第二方面，本申请实施例提供了一种设备认证方法，应用于第一设备，所述第一设备包括ESAM，所述设备认证方法包括：
向第二设备发起连接请求消息，其中，所述连接请求消息携带所述第一设备的设备标识和所述第一设备支持的ESAM认证方式；
接收所述第二设备回复的连接响应消息，所述连接响应消息包括用于指示所述第一设备向认证服务器基于ESAM方式进行认证的信息；
与所述认证服务器基于ESAM方式进行认证，所述认证服务器与所述第二设备已建立互信关系；
在所述认证服务器被成功认证后，确定一个通信密钥；
与所述第二设备基于所述通信密钥进行双向认证。
第三方面，本申请实施例提供了一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现第一方面所述的方法。
第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现如第一方面所述的方法。
第五方面，本申请实施例提供了一种计算机程序产品，当计算机程序产品在终端设备上运行时，使得终端设备执行上述第一方面中所述的方法。
本申请实施例与现有技术相比存在的有益效果是：
在本申请实施例中，由于第一设备包括ESAM且认证服务器包括PSAM，因此，在该第一设备与第二设备没有经过认证时，该第一设备可以基于ESAM方式与认证服务器进行双向认证。同时，由于认证服务器和第二设备已预先建立了互信关系，因此，第二设备能够从认证服务器获取到可信的、与第一设备所确定的相同的通信密钥，进而利用该通信密钥与第一设备进行双向认证。即，通过上述方式，即使第一设备与第二设备不能直接基于PSAM-ESAM安全机制进行认证，也能利用第一设备的ESAM得到一通信密钥，进而使得该第一设备与第二设备能够基于该通信密钥进行双向认证，从而提高了ESAM的利用率，并且，由于第一设备和第二设备经过了双向认证，因此，也能够保证在两个设备之间传输的数据的安全性。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。
图1是本申请一实施例提供的一种设备认证***的结构示意图；
图2是本申请一实施例提供的第一设备、认证服务器和第二设备的交互示意图；
图3是本申请一实施例提供的一种应用场景示意图；
图4是本申请一实施例提供的一种设备认证方法的流程图；
图5是本申请另一实施例提供的一种设备认证装置的结构框图；
图6是本申请实施例提供的终端设备的结构示意图。
具体实施方式
以下描述中，为了说明而不是为了限定，提出了诸如特定***结构、技术之类的具体细节，以便透彻理解本申请实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本申请。在其它情况中，省略对众所周知的***、装置、电路以及方法的详细说明，以免不必要的细节妨碍本申请的描述。
应当理解，当在本申请说明书和所附权利要求书中使用时，术语“包括”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。
还应当理解，在本申请说明书和所附权利要求书中使用的术语“和/或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。
另外，在本申请说明书和所附权利要求书的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
在本申请说明书中描述的参考“一个实施例”或“一些实施例”等意味着在本申请的一个或多个实施例中包括结合该实施例描述的特定特征、结构或特点。由此，在本说明书中的不同之处出现的语句“在一个实施例中”、“在一些实施例中”、“在其他一些实施例中”、“在另外一些实施例中”等不是必然都参考相同的实施例，而是意味着“一个或多个但不是所有的实施例”，除非是以其他方式另外特别强调。
实施例一：
当设备A包括ESAM模块，且设备B包括PSAM模块时，该设备A和设备B能够基于PSAM-ESAM安全机制进行认证。而在实际情况中，可能存在包括ESAM模块的设备A需要与没有包括PSAM模块(或者不包括ESAM分散出来的子密钥)的设备C进行通信，此时，设备A和设备C将不能基于PSAM-ESAM安全机制进行双向认证。若设备A和设备C不进行双向认证，将导致该设备A和设备C之间的通信具有一定的安全风险，而若进行双向认证，则需要采用其他方式进行，比如，通过安装数字证书、预置共享密钥等方式进行双向认证。而通过安装数字证书、预置共享密钥等方式进行双向认证时并不需要使用设备A的ESAM模块，也即，由于没有充分利用设备A的ESAM模块，因此，浪费了该ESAM模块的资源。
为了提高ESAM模块(后续简称为ESAM)的利用率以及提高设备A和设备C之间的通信安全，本申请实施例提供了一种设备认证***。该设备认证***包括第一设备、第二设备和认证服务器。其中，第一设备包括ESAM，认证服务器包括PSAM，第二设备和认证服务器预先建立了互信关系，即预先进行了双向认证。当第一设备和第二设备需要通信时，若第一设备没有与第二设备进行双向认证，则该第一设备需要先与认证服务器进行相互认证，认证通过之后，第一设备再与第二设备进行双向认证。
下面结合具体的附图对本申请实施例提供的设备认证***进行描述。
图1示出了本申请实施例提供的一种设备认证***的结构示意图。在图1中，设备认证***1包括第一设备11、认证服务器12以及第二设备13，该第一设备11包括嵌入式安全存取模块ESAM，该认证服务器12包括销售点终端安全存取模块PSAM，且该认证服务器12与该第二设备13已建立互信关系。
需要指出的是，认证服务器12和第二设备13建立的互信关系可通过通用的安全流程来建立，建立的互信关系可以是永久的互信关系，也可以是具有有效期的互信关系。其中，上述通用的安全流程包括：基于数字证书的安全流程、基于预置共享密钥等方式对应的安全流程。
图2示出了第一设备11、认证服务器12和第二设备13的交互示意图。
步骤S21、第一设备11向该第二设备13发起连接请求消息，其中，该连接请求消息携带该第一设备11的设备标识和该第一设备11支持的认证方式。
其中，第一设备11的设备标识用于唯一标识该第一设备11，其可以为该第一设备11的序列号。
具体地，由于第一设备11包括ESAM，因此，为了使得第二设备知悉该第一设备11包括该ESAM，进而提高该ESAM的利用率，则设置第一设备11支持的认证方式包括ESAM认证。
步骤S22、该第二设备13根据该第一设备11的设备标识检测该第一设备11是否已经过认证，若该第二设备13检测到该第一设备11没有经过认证，则向该第一设备11回复连接响应消息，该连接响应消息包括用于指示该第一设备11向该认证服务器12基于ESAM方式进行认证的信息。
本实施例中，为了保证安全性，不同的设备标识对应的与认证相关的信息通常不同，因此，第二设备13需要根据设备标识查找对应的与认证相关的信息，以检测其是否存储了已与第一设备11进行认证的相关信息。若没有查找到与认证相关的信息，则认为没有与第一设备11进行相互认证，否则，认为已与第一设备11进行相互认证，该第二设备13可以与第一设备11进行数据的传输。在第二设备13判断出其没有与第一设备11进行相互认证后，将通知第一设备11向认证服务器12基于ESAM方式进行认证。
在一些实施例中，连接响应消息还可包括认证服务器12的网络地址，这样，第一设备11接收到连接响应消息后，能够直接从连接响应消息获取该认证服务器12的网络地址。当然，第一设备11也可以通过其他方式获取该认证服务器12的网络地址，例如，第一设备11从本地的配置信息获取该认证服务器12的网络地址。
步骤S23、在接收到该回复连接响应消息后，该第一设备11与该认证服务器12基于ESAM方式进行认证。
本实施例中，由于认证服务器12包括PSAM，而第一设备11包括ESAM，因此，该第一设备11和认证服务器12能够基于ESAM方式进行认证。
步骤S24、在该认证服务器12被成功认证后，该第一设备11确定一个通信密钥。
步骤S25、在通信密钥生成条件满足时，该认证服务器12生成该通信密钥，该通信密钥生成条件包括该第一设备11被成功认证。
本实施例中，认证服务器12可以在第一设备11被成功认证后就生成上述的通信密钥，这样，当后续第二设备13希望获取通信密钥时能够尽快将该通信密钥发送给第二设备13。
也可以在第一设备11被成功认证后且满足其他条件后再生成上述的通信密钥。
步骤S26、该第二设备13从该认证服务器12获取该通信密钥。
步骤S27、该第二设备13和该第一设备11基于该通信密钥进行双向认证。
其中，上述的通信密钥为一个密钥，比如为一个字符串。
本实施例中，当第一设备11和认证服务器12经过双向认证后，该第一设备11和认证服务器12将确定一个通信密钥，第二设备13再从该认证服务器12获取该通信密钥。这样，由于第一设备11和第二设备13均具有相同的通信密钥，因此，该第一设备11和第二设备13能够基于该通信密钥进行双向认证，进而在双向认证成功后传输对应的数据。
在本申请实施例中，由于第一设备11包括ESAM且认证服务器包括PSAM，因此，在该第一设备11与第二设备13没有经过认证时，该第一设备11可以基于ESAM方式与认证服务器12进行双向认证。同时，由于认证服务器12和第二设备13已预先建立了互信关系，因此，第二设备13能够从认证服务器12获取到可信的、与第一设备11所确定的相同的通信密钥，进而利用该通信密钥与第一设备11进行双向认证。即，通过上述方式，即使第一设备11与第二设备13不能直接基于PSAM-ESAM安全机制进行认证，也能利用第一设备11的ESAM得到一通信密钥，进而使得该第一设备11与第二设备13能够基于该通信密钥进行双向认证，从而提高了ESAM的利用率。并且，由于第一设备11和第二设备13经过了双向认证，因此，也能够保证在两个设备之间传输的数据的安全性。
在一些实施例中，当第二设备13从认证服务器12获取到可以用于与第一设备11进行双向认证的通信密钥后，将该通信密钥与第一设备11的设备标识对应存储，这样，后续能够通过查找是否存储该第一设备11的设备标识对应的通信密钥来判断第一设备11是否已经过认证。即该步骤S22中第二设备13根据该第一设备11的设备标识检测该第一设备11是否已经过认证，包括：
A1、该第二设备13查找是否已存储与该第一设备11的设备标识对应的通信密钥，得到查找结果。
A2、该第二设备13基于该查找结果检测该第一设备11是否已经过认证。
其中，第一设备11与第二设备13可以采用该通信密钥进行双向认证，也可以采用该通信密钥加密或解密在第一设备设备11与第二设备13之间传输的数据。因此，只要第二设备13得到的查找结果指示其存储有第一设备11对应的通信密钥，则表明该第二设备13和第一设备11曾进行过双向认证，即通过查找是否存储有通信密钥能够准确判断出第一设备11是否曾进行过认证。
本实施例中，若第二设备13存储有与第一设备11对应的通信密钥，则得到的查找结果包括该通信密钥。若该第二设备13没有存储与第一设备11对应的通信密钥，则得到的查找结果包括用于指示该第二设备13没有存储通信密钥的信息。
在一些实施例，为了进一步提高传输的数据的安全性，则可对通信密钥设置一个有效期，此时，该A2包括：
A21、若该查找结果指示该第二设备13已存储与该第一设备11的设备标识对应的通信密钥，则判断该通信密钥的有效期是否已过期，并在该通信密钥的有效期没有过期时，判定该第一设备11已经过认证，在该通信密钥的有效期已经过期时，判定该第一设备11没有经过认证。
A22、若该查找结果指示该第二设备13没有存储与该第一设备11的设备标识对应的通信密钥，则判定该第一设备11没有经过认证。
本实施例中，若查找结果指示第二设备13存储有第一设备11对应的通信密钥，则检测该通信密钥是否具有有效期，若具有有效期，则获取该有效期，将该有效期与当前日期比较，若当前日期在有效期的范围内，则判定该通信密钥仍有效，即判定第一设备11当前仍处于认证期间，否则，判定第一设备11当前不再处于认证期间，即判定该第一设备11没有经过认证。由于为通信密钥设置了一个有效期，因此，将通信密钥以及对应的有效期一起判断第一设备11是否经过认证，能够提高得到的判断结果的准确性。
在一些实施例中，该步骤S23包括：
B1、该第一设备11向该认证服务器12发起认证请求，该认证请求携带该第一设备11的设备标识以及第一数值。
其中，第一数值可以为预先设定的数值，也可以为根据随机函数随机生成的数值。
本实施例中，第一设备11可根据获取的网络地址向认证服务器12发起认证请求。
B2、该认证服务器12基于PSAM的主认证密钥、该第一设备11的设备标识以及该第一数值计算出第一接入认证密钥。
其中，PSAM中包括主认证密钥(MasterAccessKey)，基于该MasterAccessKey、设备标识以及第一数值能够计算出一个数值，计算出的数值作为第一接入认证密钥。
B3、该认证服务器12向该第一设备11发送认证响应消息，该认证响应消息携带该第一接入认证密钥以及第二数值。
本实施例中，第二数值可以为该认证服务器12预先设定的数值，也可以为根据随机函数随机生成的数值。通常情况下，该第二数值与第一数值不等。
B4、该第一设备11基于ESAM的认证密钥和该第一数值计算出第二接入认证密钥，并在判断出该第二接入认证密钥与该第一接入认证密钥相等时，判定该认证服务器12为可信的设备。
本实施例中，ESAM包括认证密钥(AccessKey)，假设第一数值为RandA，则可根据下式计算出第二接入认证密钥(tmpAccessCredentialsA)：
tmpAccessCredentialsA＝SM4(AccessKey,RandA)。
其中，SM4是一种分组密码算法。当然，在实际情况中，也可以选择其他的加密算法来得到第二接入认证密钥，此处不作限定。
在本实施例中，当第一设备11判定认证服务器12为可信的设备时，表明该认证服务器12被成功认证。
B5、该第一设备11基于该ESAM的认证密钥和该第二数值计算出第一校验值，向该认证服务器12发送认证确认消息，该认证确认消息携带该第一校验值。
本实施例中，可根据以下方式计算第一校验值(accessCredentialsM)：
accessCredentialsM＝SM4(AccessKey,RandM)。其中，RandM为第二数值，AccessKey为认证密钥。
B6、该认证服务器12根据该第二数值计算出第二校验值，并在判断出该第一校验值和该第二校验值相等时，判定该第一设备11为可信的设备。
当认证服务器12判定第一设备11为可信的设备时，表明该第一设备11被成功认证。
上述B1～B6中，由于第一接入认证密钥是认证服务器12基于其内置的算法计算得到，第二接入认证密钥则是由第一设备11基于其内置的算法计算得到，即第一接入认证密钥和第二接入认证密钥是由两个设备独立计算得到，因此，当第一接入认证密钥与第二接入认证密钥相等时，表明内置在认证服务器12的算法和内置在第一设备11的算法并没有发生改变，也即，认证服务器12为第一设备11可信的设备。同理，当第一校验值和第二校验值相等时，表明第一设备11为认证服务器12可信的设备。即通过上述方式，能够准确实现第一设备11和认证服务器12的相互认证。
在一些实施例中，该步骤B2包括：
B21、该认证服务器基于PSAM的主认证密钥和该第一设备的设备标识分散出临时认证密钥。
B22、采用该临时认证密钥加密该第一数值，得到该第一接入认证密钥。
上述步骤B21和步骤B22中，假设第一设备的设备标识为ID_A，主认证密钥为MasterAccessKey，第一数值为RandA，则可根据下式分散出临时认证密钥(tmpAccessKey)：
tmpAccessKey＝SM4(MasterAccessKey,ID_A)，或者，也可以采用以下算法计算得到：tmpAccessKey＝SM4(MasterAccessKey,ID_A|0x00)。
该认证服务器12再利用该tmpAccessKey加密RandA，产生第一接入认证密钥(accessCredentialsA)，具体可采用以下加密算法：
accessCredentialsA＝SM4(tmpAccessKey,RandA)。
对应地，步骤B6中认证服务器12根据该第二数值计算出第二校验值，包括：
该认证服务器12基于该临时认证密钥和该第二数值计算出该第二校验值。
本实施例中，认证服务器12可采用以下加密算法计算出第二校验值(tmpAccessCredentialsM)：
tmpAccessCredentialsM＝SM4(tmpAccessKey,RandM)。
在一些实施例中，上述步骤S24包括：
在该认证服务器被成功认证后，该第一设备根据该ESAM的认证密钥、该第一数值和该第二数值确定该通信密钥。
本实施例中，若认证服务器12已被验证为可信的设备，则第一设备11创建通信密钥Ks，具体地，可采用如下加密算法：
Ks＝SM4(AccessKey,RandA|RandM)。
其中，“|”表示串接。例如0x1234|0x5678＝0x12345678。
若该通信密钥生成条件还包括该第一设备被成功认证且接收到该第二设备发起的安全上下文请求，该安全上下文请求携带该第一设备的设备标识，则该步骤S25包括：
在该第一设备被成功认证且接收到该第二设备发起的安全上下文请求后，该认证服务器根据该临时认证密钥、该第一数值和该第二数值确定该通信密钥。
本实施例中，认证服务器12在认证第一设备11为可信的设备之后，没有马上生成通常密钥，而是在接收到第二设备13发起的安全上下文请求之后再生成上述的通信密钥。由于只有在第二设备13需要通信密钥时才生成该通信密钥，因此，能够避免该通信密钥过早地占用资源。
在一些实施例中，考虑到第二设备13具有PSAM时，该第一设备11能够直接与第二设备13进行相互认证，因此，在该步骤S21之前，包括：
该第一设备11判断是否能够直接与该第二设备13基于PSAM-ESAM安全机制进行认证。
对应地，该步骤S21，包括：
若该第一设备11不能够直接与该第二设备13基于PSAM-ESAM安全机制进行认证，则向该第二设备13发起连接请求消息。
其中，当第二设备13没有包含PSAM，且没有包含ESAM分散出来的分散子密钥(一个原始密钥经过分散算法(如SM4)计算出来的新的密钥称为分散子密钥)时，该第二设备13不能直接与第一设备11基于PSAM-ESAM安全机制进行认证。
本实施例中，由于只有在第一设备11判断出不能直接与该第二设备13基于PSAM-ESAM安全机制进行认证后，才执行步骤S21，因此，避免第一设备11能够直接与该第二设备13基于PSAM-ESAM安全机制进行认证时也通过认证服务器12进行认证，从而既保证了第一设备11的认证效率，也能够保证该第一设备的ESAM的利用率。
为了更清楚地描述本申请实施例提供的设备认证***，下面结合具体应用场景进行描述。
参考图3的应用场景示意图，在图3中，路侧传感器为包含ESAM的设备，业务平台为没有包含PSAM、且没有包含ESAM分散出来的分散子密钥的设备，认证服务器包含PSAM，且业务平台和认证服务器预先经过认证。
当路侧传感器向业务平台发起连接请求消息后，若该业务平台判断出该路侧传感器没有经过认证，则向该路侧传感器回复连接响应消息，该连接响应消息包括用于指示该路侧传感器向认证服务器基于ESAM方式进行认证的信息。
该路侧传感器将与认证服务器进行双向认证，在认证成功后，该路侧传感器生成通信密钥，并向业务平台发起新的连接请求消息，该新的连接请求消息携带该路侧传感器已与认证服务器完成双向认证的指示，比如，在该新的连接请求消息中携带一个特殊字段，该特殊字段的参数用于表示路侧传感器已与认证服务器完成双向认证。
业务平台在接收到路侧传感器发起的新的连接请求消息后，向认证服务器发起安全上下文请求，该安全上下文请求用于向认证服务器请求通信密钥。
该认证服务器生成通信密钥，并向业务平台发送安全上下文响应，该安全上下文响应携带其生成的通信密钥。当然，若该通信密钥具有有效期，则该安全上下文响应也携带该通信密钥对应的有效期。
业务平台和路侧传感器再基于通信密钥进行双向认证和传输的数据的加密。
应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。
实施例二：
与上述实施例一的设备认证***对应，图4示出了本申请实施例提供的一种设备认证方法的流程图，该设备认证方法应用于第一设备。
步骤S41，向第二设备发起连接请求消息，其中，该连接请求消息携带该第一设备的设备标识和该第一设备支持的ESAM认证方式。
步骤S42，接收该第二设备回复的连接响应消息，该连接响应消息包括用于指示该第一设备向认证服务器基于ESAM方式进行认证的信息。
在一些实施例中，连接响应消息还可包括认证服务器的网络地址。
步骤S43，与该认证服务器基于ESAM方式进行认证，该认证服务器与该第二设备已建立互信关系。
步骤S44，在该认证服务器被成功认证后，确定一个通信密钥。
步骤S45，与该第二设备基于该通信密钥进行双向认证。
采用本申请实施例提供的方案，即使第一设备与第二设备不能直接基于PSAM-ESAM安全机制进行认证，也能利用第一设备的ESAM得到一通信密钥，进而使得该第一设备与第二设备能够基于该通信密钥进行双向认证，从而提高了ESAM的利用率，并且，由于第一设备和第二设备经过了双向认证，因此，也能够保证在两个设备之间传输的数据的安全性。
在一些实施例中，步骤S43包括：
C1、向认证服务器发起认证请求，该认证请求携带该第一设备的设备标识以及第一数值。
其中，第一数值可以为预先设定的数值，也可以为根据随机函数随机生成的数值。
C2、接收认证服务器发送的认证响应消息，该认证响应消息携带第一接入认证密钥以及第二数值，该第一接入认证密钥由认证服务器基于PSAM的主认证密钥、该第一设备的设备标识以及该第一数值计算得到。
其中，计算第一接入认证密钥的过程与实施例一的相同，此处不再赘述。
C3、基于ESAM的认证密钥和该第一数值计算出第二接入认证密钥，并在判断出该第二接入认证密钥与该第一接入认证密钥相等时，判定该认证服务器为可信的设备。
其中，计算第二接入认证密钥的过程与实施例一的相同，此处不再赘述。
C4、基于该ESAM的认证密钥和该第二数值计算出第一校验值，向该认证服务器发送认证确认消息，该认证确认消息携带该第一校验值。后续认证服务器根据该第二数值计算出第二校验值后，若判断出该第一校验值和该第二校验值相等时，则判定该第一设备为可信的设备。
其中，计算第一校验值、第二校验值的过程与实施例一的相同，此处不再赘述。
在一些实施例中，步骤S44包括：
在该认证服务器被成功认证后，根据该ESAM的认证密钥、该第一数值和该第二数值确定该通信密钥。
其中，通信密钥的计算过程与实施例一的相同，此处不再赘述。
在一些实施例中，在步骤S41之前，包括：
判断是否能够直接与该第二设备基于PSAM-ESAM安全机制进行认证。
对应地，该步骤S41包括：
若不能够直接与该第二设备基于PSAM-ESAM安全机制进行认证，则向该第二设备发起连接请求消息。
实施例三：
对应于上文实施例二该的设备认证方法，图5示出了本申请实施例提供的一种设备认证装置的结构框图，为了便于说明，仅示出了与本申请实施例相关的部分。
参照图5，该设备认证装置5应用于第一设备，包括：连接请求消息发起模块51、连接响应消息接收模块52、第一认证模块53、通信密钥确定模块54、第二认证模块55，其中：
连接请求消息发起模块51，用于向第二设备发起连接请求消息，其中，该连接请求消息携带该第一设备的设备标识和该第一设备支持的ESAM认证方式。
连接响应消息接收模块52，用于接收该第二设备回复的连接响应消息，该连接响应消息包括用于指示该第一设备向认证服务器基于ESAM方式进行认证的信息。
第一认证模块53，用于与该认证服务器基于ESAM方式进行认证，该认证服务器与该第二设备已建立互信关系。
通信密钥确定模块54，用于在该认证服务器被成功认证后，确定一个通信密钥。
第二认证模块55，用于与该第二设备基于该通信密钥进行双向认证。
本申请实施例中，即使第一设备与第二设备不能直接基于PSAM-ESAM安全机制进行认证，也能利用第一设备的ESAM得到一通信密钥，进而使得该第一设备与第二设备能够基于该通信密钥进行双向认证，从而提高了ESAM的利用率，并且，由于第一设备和第二设备经过了双向认证，因此，也能够保证在两个设备之间传输的数据的安全性。
在一些实施例中，第一认证模块53具体用于：
向认证服务器发起认证请求，该认证请求携带该第一设备的设备标识以及第一数值。
接收认证服务器发送的认证响应消息，该认证响应消息携带第一接入认证密钥以及第二数值，该第一接入认证密钥由认证服务器基于PSAM的主认证密钥、该第一设备的设备标识以及该第一数值计算得到。
基于ESAM的认证密钥和该第一数值计算出第二接入认证密钥，并在判断出该第二接入认证密钥与该第一接入认证密钥相等时，判定该认证服务器为可信的设备。
基于该ESAM的认证密钥和该第二数值计算出第一校验值，向该认证服务器发送认证确认消息，该认证确认消息携带该第一校验值。
在一些实施例中，通信密钥确定模块54具体用于：
在该认证服务器被成功认证后，根据该ESAM的认证密钥、该第一数值和该第二数值确定该通信密钥。
在一些实施例中，该设备认证装置5还包括：
是否能够直接认证判断模块，用于判断是否能够直接与该第二设备基于PSAM-ESAM安全机制进行认证。
对应地，连接请求消息发起模块51具体用于：
若不能够直接与该第二设备基于PSAM-ESAM安全机制进行认证，则向该第二设备发起连接请求消息。
需要说明的是，上述装置/单元之间的信息交互、执行过程等内容，由于与本申请方法实施例基于同一构思，其具体功能及带来的技术效果，具体可参见方法实施例部分，此处不再赘述。
实施例四：
图6为本申请一实施例提供的终端设备的结构示意图。如图6所示，该实施例的终端设备6包括：至少一个处理器60(图6中仅示出一个处理器)、存储器61以及存储在所述存储器61中并可在所述至少一个处理器60上运行的计算机程序62，所述处理器60执行所述计算机程序62时实现上述任意各个方法实施例中的步骤。
所述终端设备6可以是路侧单元等计算设备。该终端设备可包括，但不仅限于，处理器60、存储器61。本领域技术人员可以理解，图6仅仅是终端设备6的举例，并不构成对终端设备6的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如还可以包括输入输出设备、网络接入设备等。
所称处理器60可以是中央处理单元(Central Processing Unit，CPU)，该处理器60还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
所述存储器61在一些实施例中可以是所述终端设备6的内部存储单元，例如终端设备6的硬盘或内存。所述存储器61在另一些实施例中也可以是所述终端设备6的外部存储设备，例如所述终端设备6上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。进一步地，所述存储器61还可以既包括所述终端设备6的内部存储单元也包括外部存储设备。所述存储器61用于存储操作***、应用程序、引导装载程序(BootLoader)、数据以及其他程序等，例如所述计算机程序的程序代码等。所述存储器61还可以用于暂时地存储已经输出或者将要输出的数据。
所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元、模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述***中单元、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
本申请实施例还提供了一种网络设备，该网络设备包括：至少一个处理器、存储器以及存储在所述存储器中并可在所述至少一个处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述任意各个方法实施例中的步骤。
本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现可实现上述各个方法实施例中的步骤。
本申请实施例提供了一种计算机程序产品，当计算机程序产品在终端设备上运行时，使得终端设备执行时实现可实现上述各个方法实施例中的步骤。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质至少可以包括：能够将计算机程序代码携带到拍照装置/终端设备的任何实体或装置、记录介质、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，RandomAccess Memory)、电载波信号、电信信号以及软件分发介质。例如U盘、移动硬盘、磁碟或者光盘等。在某些司法管辖区，根据立法和专利实践，计算机可读介质不可以是电载波信号和电信信号。
在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
在本申请所提供的实施例中，应该理解到，所揭露的装置/网络设备和方法，可以通过其它的方式实现。例如，以上所描述的装置/网络设备实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
以上所述实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围，均应包含在本申请的保护范围之内。

Claims (10)

1.一种设备认证***，其特征在于，所述设备认证***包括第一设备、认证服务器以及第二设备，所述第一设备包括嵌入式安全存取模块ESAM，所述认证服务器包括销售点终端安全存取模块PSAM，且所述认证服务器与所述第二设备已建立互信关系；
所述第一设备向所述第二设备发起连接请求消息，其中，所述连接请求消息携带所述第一设备的设备标识和所述第一设备支持的认证方式；
所述第二设备根据所述第一设备的设备标识检测所述第一设备是否已经过认证；
若所述第二设备检测到所述第一设备没有经过认证，则向所述第一设备回复连接响应消息，所述连接响应消息包括用于指示所述第一设备向所述认证服务器基于ESAM方式进行认证的信息；
在接收到所述回复连接响应消息后，所述第一设备与所述认证服务器基于ESAM方式进行认证；
在所述认证服务器被成功认证后，所述第一设备确定一个通信密钥；
在通信密钥生成条件满足时，所述认证服务器生成所述通信密钥，所述通信密钥生成条件包括所述第一设备被成功认证；
所述第二设备从所述认证服务器获取所述通信密钥；
所述第二设备和所述第一设备基于所述通信密钥进行双向认证。
2.如权利要求1所述的设备认证***，其特征在于，所述第二设备根据所述第一设备的设备标识检测所述第一设备是否已经过认证，包括：
所述第二设备查找是否已存储与所述第一设备的设备标识对应的通信密钥，得到查找结果；
所述第二设备基于所述查找结果检测所述第一设备是否已经过认证。
3.如权利要求2所述的设备认证***，其特征在于，所述第二设备基于所述查找结果检测所述第一设备是否已经过认证，包括：
若所述查找结果指示所述第二设备已存储与所述第一设备的设备标识对应的通信密钥，则判断所述通信密钥的有效期是否已过期，并在所述通信密钥的有效期没有过期时，判定所述第一设备已经过认证，在所述通信密钥的有效期已经过期时，判定所述第一设备没有经过认证；
若所述查找结果指示所述第二设备没有存储与所述第一设备的设备标识对应的通信密钥，则判定所述第一设备没有经过认证。
4.如权利要求1所述的设备认证***，其特征在于，所述第一设备与所述认证服务器基于ESAM方式进行认证，包括：
所述第一设备向所述认证服务器发起认证请求，所述认证请求携带所述第一设备的设备标识以及第一数值；
所述认证服务器基于PSAM的主认证密钥、所述第一设备的设备标识以及所述第一数值计算出第一接入认证密钥；
所述认证服务器向所述第一设备发送认证响应消息，所述认证响应消息携带所述第一接入认证密钥以及第二数值；
所述第一设备基于ESAM的认证密钥和所述第一数值计算出第二接入认证密钥，并在判断出所述第二接入认证密钥与所述第一接入认证密钥相等时，判定所述认证服务器为可信的设备；
所述第一设备基于所述ESAM的认证密钥和所述第二数值计算出第一校验值，向所述认证服务器发送认证确认消息，所述认证确认消息携带所述第一校验值；
所述认证服务器根据所述第二数值计算出第二校验值，并在判断出所述第一校验值和所述第二校验值相等时，判定所述第一设备为可信的设备。
5.如权利要求4所述的设备认证***，其特征在于，所述认证服务器基于PSAM的主认证密钥、所述第一设备的设备标识以及所述第一数值计算出第一接入认证密钥，包括：
所述认证服务器基于PSAM的主认证密钥和所述第一设备的设备标识分散出临时认证密钥；
采用所述临时认证密钥加密所述第一数值，得到所述第一接入认证密钥；
对应地，所述认证服务器根据所述第二数值计算出第二校验值，包括：
所述认证服务器基于所述临时认证密钥和所述第二数值计算出所述第二校验值。
6.如权利要求5所述的设备认证***，其特征在于，所述在所述认证服务器被成功认证后，所述第一设备确定一个通信密钥，包括：
在所述认证服务器被成功认证后，所述第一设备根据所述ESAM的认证密钥、所述第一数值和所述第二数值确定所述通信密钥；
若所述通信密钥生成条件还包括所述第一设备被成功认证且接收到所述第二设备发起的安全上下文请求，所述安全上下文请求携带所述第一设备的设备标识，则所述在通信密钥生成条件满足时，所述认证服务器生成所述通信密钥，包括：
在所述第一设备被成功认证且接收到所述第二设备发起的安全上下文请求后，所述认证服务器根据所述临时认证密钥、所述第一数值和所述第二数值确定所述通信密钥。
7.如权利要求1至6任一项所述的设备认证***，其特征在于，在所述第一设备向所述第二设备发起连接请求消息之前，包括：
所述第一设备判断是否能够直接与所述第二设备基于PSAM-ESAM安全机制进行认证；
对应地，所述第一设备向所述第二设备发起连接请求消息，包括：
若所述第一设备不能够直接与所述第二设备基于PSAM-ESAM安全机制进行认证，则向所述第二设备发起连接请求消息。
8.一种设备认证方法，其特征在于，应用于第一设备，所述第一设备包括ESAM，所述设备认证方法包括：
向第二设备发起连接请求消息，其中，所述连接请求消息携带所述第一设备的设备标识和所述第一设备支持的ESAM认证方式；
接收所述第二设备回复的连接响应消息，所述连接响应消息包括用于指示所述第一设备向认证服务器基于ESAM方式进行认证的信息；
与所述认证服务器基于ESAM方式进行认证，所述认证服务器与所述第二设备已建立互信关系；
在所述认证服务器被成功认证后，确定一个通信密钥；
与所述第二设备基于所述通信密钥进行双向认证。
9.一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求8所述的方法。
10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求8所述的方法。
CN202111593011.1A 2021-12-23 2021-12-23 设备认证***、方法及终端设备 Pending CN114390478A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111593011.1A CN114390478A (zh) 2021-12-23 2021-12-23 设备认证***、方法及终端设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111593011.1A CN114390478A (zh) 2021-12-23 2021-12-23 设备认证***、方法及终端设备

Publications (1)

Publication Number Publication Date
CN114390478A true CN114390478A (zh) 2022-04-22

Family

ID=81198006

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111593011.1A Pending CN114390478A (zh) 2021-12-23 2021-12-23 设备认证***、方法及终端设备

Country Status (1)

Country Link
CN (1) CN114390478A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115174180A (zh) * 2022-06-28 2022-10-11 珠海奔图电子有限公司 认证方法、装置、服务器及存储介质

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115174180A (zh) * 2022-06-28 2022-10-11 珠海奔图电子有限公司 认证方法、装置、服务器及存储介质
CN115174180B (zh) * 2022-06-28 2023-10-27 珠海奔图电子有限公司 认证方法、装置、服务器及存储介质

Similar Documents

Publication Publication Date Title
CN108429740B (zh) 一种获得设备标识的方法及装置
US11546173B2 (en) Methods, application server, IoT device and media for implementing IoT services
US11228438B2 (en) Security device for providing security function for image, camera device including the same, and system on chip for controlling the camera device
CN111181928B (zh) 车辆诊断方法、服务器及计算机可读存储介质
CN107743067B (zh) 数字证书的颁发方法、***、终端以及存储介质
WO2011105350A1 (ja) 無線通信装置及び認証処理方法
CN112084234B (zh) 数据获取方法、装置、设备和介质
CN112887282B (zh) 一种身份认证方法、装置、***及电子设备
CN102096841B (zh) 安装有计算机代码的集成电路和***
CN109005032B (zh) 一种路由方法和装置
CN111565182B (zh) 一种车辆诊断方法、装置及存储介质
CN112669104B (zh) 租赁设备的数据处理方法
CN113094686A (zh) 认证方法及相关设备、计算机可读存储介质
CN114444134A (zh) 一种数据使用授权方法、***及装置
CN112632573A (zh) 智能合约执行方法、装置、***、存储介质及电子设备
CN111414640A (zh) 秘钥访问控制方法和装置
CN114390478A (zh) 设备认证***、方法及终端设备
US9038143B2 (en) Method and system for network access control
CN114172923B (zh) 数据传输方法、通信***及通信装置
CN116599719A (zh) 一种用户登录认证方法、装置、设备、存储介质
CN113992387B (zh) 资源管理方法、装置、***、电子设备和可读存储介质
CN115344848A (zh) 标识获取方法、装置、设备及计算机可读存储介质
JP7310003B2 (ja) 遠隔認証方法および装置
CN114329632A (zh) 一种数字签名方法、装置、终端设备及存储介质
CN109067806B (zh) 一种车联网环境下基于移动存储的安全通信方法及其***

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination