CN114710289B - 物联网终端安全注册和接入方法及*** - Google Patents

物联网终端安全注册和接入方法及*** Download PDF

Info

Publication number
CN114710289B
CN114710289B CN202210618982.5A CN202210618982A CN114710289B CN 114710289 B CN114710289 B CN 114710289B CN 202210618982 A CN202210618982 A CN 202210618982A CN 114710289 B CN114710289 B CN 114710289B
Authority
CN
China
Prior art keywords
certificate
internet
things
terminal
digital
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210618982.5A
Other languages
English (en)
Other versions
CN114710289A (zh
Inventor
王立伟
王吉伟
刘伟
张雪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Confident Information Co ltd
Original Assignee
Confident Information Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Confident Information Co ltd filed Critical Confident Information Co ltd
Priority to CN202210618982.5A priority Critical patent/CN114710289B/zh
Publication of CN114710289A publication Critical patent/CN114710289A/zh
Application granted granted Critical
Publication of CN114710289B publication Critical patent/CN114710289B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明涉及保密通信领域，公开了物联网终端安全注册和接入方法及***；方法包括：物联网终端与第二证书认证机构服务器进行会话密钥协商；第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后得到会话密钥；物联网终端向第二证书认证机构服务器发送第二根证书和证书注销列表的获取请求；第二证书认证机构服务器向物联网终端发送第二根证书；物联网终端生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将证书反馈给物联网终端。通过简化的证书结构紧凑的证书编码方式实现自动安全的注册和接入流程。

Description

物联网终端安全注册和接入方法及***
技术领域
本发明涉及保密通信领域，特别是涉及物联网终端安全注册和接入方法及***。
背景技术
本部分的陈述仅仅是提到了与本发明相关的背景技术，并不必然构成现有技术。
物联网是一个基于互联网、传统电信网等的信息承载体，它让所有能够被独立寻址的普通物理对象形成互联互通的网络。信息技术和各种传感器的快速发展，使微处理器设备具备检测自身状态、环境参数、网络传输和数据交换的能力，使人们进入到了物联网时代。随着物联网的快速发展，物联网在生活中的应用越来越广。物联网遍及智慧交通、环境保护、智慧城市、公共安全、工业监测、智慧医疗等多个领域。
物联网技术给现代社会带来了不可否认的进步，但同时也带来了新的挑战，尤其是在信息安全领域。随着万物互联概念的提出，作为物联网组成的实体的身份识别显得尤为重要，未授权设备的接入会给物联网造成严重的数据泄露和安全威胁。传统应用领域一般采用PKI体系的X.509数字证书作为身份唯一标识，但X.509数字证书采用ASN.1编解码，如使用数字证书作为物联网中实体的身份唯一标识，存在以下问题：
（1）物联网终端实体存储空间有限，目前单个数字证书文件的大小约为2~4KB，不利于物联网终端实体进行存储。
（2）物联网终端实体计算能力有限，对数字证书解析效率成为是否适用于物联网的关键。目前数字证书使用的递归定义以及ASN.1编解码方式，导致结构繁琐、解析过程复杂，特别是较大的证书链在 EAP-TLS等非约束协议中也存在问题，除非服务器发送的字节数少于验证客户端地址之前接收到的字节数的三倍，否则延迟会显著增加。
（3）对于一些采用电池供电的物联网终端设备，对数字证书进行编解码会导致过多的电量消耗，不适合电池供电设备使用；
（4）物联网应用一般终端设备数量庞大，传统的证书人工离线注册、颁发和导入，工作量大且无法保证人为操作的准确性和安全性，无法满足物联网应用场景需求；
（5）针对物联网通信数据的传输机密性，传统TLS协议由于采用TCP协议，协商过程繁琐、协商数据量大，无法满足物联网受限环境和网络的要求。
发明内容
为了解决现有技术的不足，本发明提供了物联网终端安全注册和接入方法及***；通过更简化的证书结构、更紧凑的证书编码方式实现自动安全的注册和接入流程。
第一方面，本发明提供了物联网终端安全注册和接入方法；
物联网终端安全注册和接入方法，包括：
物联网终端上线后，与第二证书认证机构服务器进行会话密钥协商；协商过程中，所述第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后，通过密钥交换得到会话密钥；
物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；
第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；
物联网终端生成密钥信息，并生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端。
第二方面，本发明提供了物联网终端安全注册和接入***；
物联网终端安全注册和接入***，包括：物联网终端；
物联网终端上线后，与第二证书认证机构服务器进行会话密钥协商；协商过程中，所述第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后，通过密钥交换得到会话密钥；
物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；
第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；
物联网终端生成密钥信息，并生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端。
与现有技术相比，本发明的有益效果是：
1、在原有标准X.509数字证书ASN.1编码结构的基础上对一些可固定的、已知的编码项进行固定和简化，在兼容原有证书结构的前提下，定义一种新的证书结构，以达到对证书格式进行瘦身的效果。
2、需要一种更加紧凑的证书编码方式，使得编码后的数字证书文件更紧凑，从而达到再次瘦身效果。
3、设计一种自动安全的零接触物联网终端注册流程，在保证安全传输的前提下，尽量减少通信双方的数据交换的大小和过程。
4、本发明通过对标准X.509证书的已知项进行固化和简化，定义一种新的适用于物联网受限环境的S509证书结构，减小数字证书文件的大小，节省物联网终端有限的存储空间；
5、本发明定义一种更加紧凑的SICC数字证书编码方式，使S509证书的编解码效率更高，节省了物联网有限的算力资源，同时通过该编码方式，进一步减小了编码后证书文件的大小；
6、本发明采用基于UDP的DTLS协议，避免了采用传统的基于TCP的TLS协议，减少了协商数据包的大小，简化协商过程，提供了一种在物联网受限环境下的安全传输方法；
7、本发明为物联网终端设计了一种轻量级物联网终端注册流程，实现物联网终端注册过程的自动化和零接触保护。
附图说明
构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。
图1为现有技术中X.509数字证书结构；
图2为本申请实施例一的S509数字证书结构；
图3为本申请实施例一的S509证书的SICC编码格式；
图4为本申请实施例一的物联网终端安全注册和接入过程。
具体实施方式
应该指出，以下详细说明都是示例性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。
需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。
本实施例所有数据的获取都在符合法律法规和用户同意的基础上，对数据的合法应用。
专业术语解释：
PKI：公钥基础设施（Public Key Infrastructure），用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等功能；
X.509数字证书：X.509是密码学里公钥数字证书的格式国际标准；
ASN.1：抽象语法标记（Abstract Syntax Notation One）ASN.1是一种 ISO/ITU-T标准，描述了一种对数据进行表示、编码、传输和解码的数据格式。传统的X.509公钥数字证书采用ASN.1进行编码和解码；
数字证书：数字证书是指在互联网中用于标识通讯各方身份信息的一个数字认证，属于个人/服务器等实体所有，可用于实体身份识别，数字证书里包括的证书项有：证书序列号、证书主题、颁发者信息、算法信息、签名值、公钥信息及其他扩展项。
证书请求文件：针对单个实体需按照标准规范生成数字证书请求文件，并提交数字证书颁发机构，颁发机构根据解析证书请求文件内容后为实体颁发数字证书。
证书注销列表文件：针对已经在数字证书机构注销的实体证书，证书机构会生成一个标准的证书注销列表文件，通过该文件，可验证某个实体所持有的数字证书是否在注销列表内，以验证其证书身份的合法性。
数据载荷：按一定规则排列的数据信息，作为消息传递的数据的一部分。
扩展项：在原有标准结构或信息中增加新的算法定义、结构定义等，但不影响原有结构、功能和使用方法。
DTLS：Datagram Transport Layer Security，数据包传输层安全性协议，是一种基于UDP协议的安全传输协议。
CoAP：Constrained Application Protocol，一种为受限网络环境及设备提供了低开销、低功耗的类Web服务，从而促进了智能设备与Web的融合。
MAC地址（Media Access Control Address），直译为媒体存取控制位址，也称为局域网地址，具有唯一性。
EUI 64 是由电气和电子工程师协会 (IEEE) 定义的地址，将EUI-64 地址指派给网络适配器，或从MAC地址派生得到该地址。
RSA是1977年由罗纳德•李维斯特（Ron Rivest）、阿迪•萨莫尔（Adi Shamir）和伦纳德•阿德曼（Leonard Adleman）一起提出的。当时他们三人都在麻省理工学院工作。RSA就是他们三人姓氏开头字母拼在一起组成的。
SHA：安全哈希算法(Secure Hash Algorithm)，SHA256是指哈希值长度为256位的哈希算法。
ECC（Elliptic Curves Cryptography），椭圆曲线算法，一种非对称算法。
ECDSA基于ECC算法的数字签名算法，英文Elliptic Curve Digital SignatureAlgorith的简写。
CA是Certificate Authority的简称，为证书认证机构。
IPv6的全称是Internet Protocol version 6。
标准ASN.1编码的X.509数字证书结构，包含：证书版本、证书序列号、签名信息、颁发者、有效期、证书主题、公钥信息、扩展项等，其中每个证书项对应的都有自己对应的结构，每个结构都有对应的OID和值，比如签名信息包括签名算法OID和签名值，有效期包括起止时间和截止时间等，具体如图1所示。
传统的X.509数字证书颁发过程基本为离线方式，过程如下：
（1）终端人工生成密钥及证书请求文件；
（2）将证书请求文件离线方式提交至CA认证机构；
（3）CA机构接收到证书请求文件后，为其颁发数字证书；
（4）终端设备通过离线方式导入CA机构颁发的证书，作为该终端的身份唯一标识。
但对于物联网应用场景来说，物联网终端数量庞大，采用离线方式工作量大、操作繁琐，同时也缺乏安全保障。传统的TCP协议通信采用TLS协议，但TLS协议基于传统X.509证书且协议交互数据量大，不适用物联网应用场景。
实施例一
本实施例提供了物联网终端安全注册和接入方法；
如图4所示，物联网终端安全注册和接入方法，包括：
S101：物联网终端上线后，与第二证书认证机构服务器进行会话密钥协商；协商过程中，所述第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后，通过密钥交换得到会话密钥；
S102：物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；
S103：第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；
S104：物联网终端生成密钥信息，并生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端。
进一步地，所述方法还包括：
S105：物联网终端通过第二根证书对获取的数字证书的有效性进行验证，验证通过后，将数字证书存储到物联网终端中，将数字证书作为后续安全接入物联网应用服务器的身份凭证。
进一步地，所述方法还包括：
S106：物联网终端向物联网应用服务器提出接入请求，并将第二证书认证机构服务器颁发的数字证书提交给物联网应用服务器；物联网应用服务器使用第二根证书以及证书注销列表验证数字证书的有效性；
S107：物联网应用服务器对数字证书验证通过后，向物联网终端发送认证挑战码；
S108：物联网终端收到挑战码后，使用密钥信息中的私钥对挑战码进行数字签名，并将签名信息发送至物联网应用服务器；
S109：物联网应用服务器，使用物联网终端数字证书的公钥和挑战码对签名信息进行验证，并向物联网终端返回验证结果，并允许验证通过的物联网终端接入物联网应用服务器，并进行后续的DTLS协议的会话密钥协商。
S110：物联网终端使用第二证书认证机构服务器颁发的数字证书与物联网服务器进行DTLS协议的会话密钥协商，协商完成后使用会话密钥对后续通信数据进行加密传输。
进一步地，所述预注册证书，是物联网终端出厂时，第一证书认证机构服务器将预注册证书颁发给物联网终端的；所述第一根证书，是第一证书认证机构服务器提交给第二证书认证机构服务器的。
进一步地，所述预注册证书，用于作为物联网终端正式上线后自动注册时的身份凭证，以固件形式写入物联网终端中。
进一步地，所述根证书，用于后续物联网终端自动注册时的身份认证。
进一步地，所述第一证书认证机构服务器，其采用S509证书格式进行设置。
其中，S509证书格式；具体包括：
签名算法：采用使用SHA256的ECDSA签名算法。
版本号：版本固定为3。
序列号：作为证书的唯一标识符，予以保留。
颁发者：作为证书的颁发机构的唯一标识，不再采用X.509证书对颁发者的结构定义（多对OID和其对应的值，如颁发者OID与其对应的值，通用名OID与之对应的值，组织OID与其对应的值等），将颁发者限定为一个包含通用名信息的字符串值。
有效期：证书包含起始日期和截止日期，使用UTCTime 格式 YYMMDDhhmmss 以获得最紧凑的表示。
证书主题：证书主题部分与颁发者的格式相同，将其限定为一个包含使用者名称的字符串值。对于物联网设备而言，设备的MAC地址派生的 EUI-64 很好地满足了这一目的。
公钥信息：对于物联网设备，与旧的基于 RSA 的密码套件相比，椭圆曲线密码(ECC) 算法可以以更短的密钥长度和更少的计算开销来满足安全要求。遵循 DTLS使用指南中的建议，S509证书将公钥算法固定为256位ECC密钥的secp256r1算法。
扩展项：为了保持前向兼容性，S509证书不限制扩展的使用。根据 X.509 标准，任何设备都必须能够处理八种扩展类型。由于其中只有四种扩展对物联网至关重要，故S509证书将密钥用法、主题备用名称、基本约束、扩展密钥使用证书签名算法四种扩展作为必选项，把其他主题密钥标识符、策略映射、策略约束、禁止任何策略四种扩展作为可选扩展项。扩展项的签名算法同样固定为基于SHA256的ECDSA算法。
证书签名：使用证书颁发机构的私钥进行签名得到的签名值，此项同样固定为基于256位ECC密钥的ECDSA签名。
应理解地，物联网终端出厂时，通过可信厂商的第一证书认证机构服务器（预注册机构服务器，采用本发明定义的S509物联网证书的证书认证服务器）为设备颁发预注册证书，作为物联网终端正式上线后自动注册时的身份凭证，以固件形式写入物联网终端中，同时第一证书认证机构将自己的根证书提交至第二证书认证机构服务器（正式认证机构服务器），用于后续自动注册过程中的身份验证。
进一步地，所述第一、第二证书认证机构服务器，其采用S509证书格式进行设置。
进一步地，所述会话密钥，用于后续通信加密。
应理解地，S101：物联网终端正式上线后，采用支持IPv6的DTLS协议进行加密密钥协商，协商过程中第二证书认证机构服务器通过使用第一证书认证机构的根证书来验证物联网终端预注册证书，并最终通过密钥交换得到会话密钥，用于后续通信加密。
应理解地，所述物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；具体是指：
物联网终端通过使用CoAP协议向第二证书认证机构服务器发送获取第二证书认证机构的根证书的请求。
进一步地，所述第一根证书，是第一证书认证机构服务器的根证书。
进一步地，所述第二根证书，是第二证书认证机构服务器的根证书。
进一步地，所述第二根证书，用于对第二证书认证机构服务器的身份进行验证；还用于对第二证书认证服务器所颁发的数字证书的有效性进行验证。
应理解地，所述第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；具体包括：
第二证书认证机构向物联网终端发送自己的根证书，物联网终端保存至终端中，用于以后对第二证书认证机构的身份验证和第二证书认证机构所颁发证书有效性的验证。
进一步地，所述物联网终端生成密钥信息；具体过程包括：
物联网终端通过使用固件中的密钥生成接口生成ECC算法的密钥对，包括公钥和私钥，用于后续S509证书的申请。
进一步地，所述生成数字证书注册请求指令，具体过程包括：
物联网终端把自己的通用名称、ECC算法公钥，通过SICC编码方式生成S509数字证书请求文件，通过使用第二证书认证机构服务器的CoAP服务，向第二证书认证机构服务器发送S509数字证书请求文件。
SICC编码方式，包括：物联网数字证书编码格式、数字证书编码、证书请求编码和证书吊销列表编码；
所述物联网数字证书编码格式，包括：数据头、数据载荷长度、数据载荷三部分；
所述数字证书编码，包括：证书数据结构、证书基本项编码和证书扩展项编码；
证书数据结构，包括：证书域信息和颁发者签名信息；
证书基本项编码，包括：版本号、证书序列号、颁发者、有效性、证书主题、公钥算法、公钥信息和签名值；
证书扩展项包括：主题密钥标识符、密钥用法、策略映射、基本约束、策略约束、扩展密码用法、禁止任何策略；
所述证书请求编码，包括：证书请求信息和签名证明信息；
所述证书吊销列表编码，包括：证书吊销列表信息和颁发者签名信息；
进一步地，所述第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端；具体过程包括：
所述第二证书认证机构服务器，接收到注册请求信息后，使用SICC编码方式对S509数字证书请求文件进行解码，解析出证书请求文件中的物联网终端通用名称、ECC公钥；
第二证书认证机构服务器，为物联网终端证书设置S509证书版本号、证书序列号、签名算法、颁发者信息、有效期，并使用第二证书认证机构的私钥对物联网终端的证书信息进行数字签名，并设置物联网终端的证书信息；
物联网终端的证书信息，包括：证书版本号、证书序列号、通用名称、签名算法、颁发者信息、有效期、签名值；
按照S509证书格式对证书信息，进行SICC编码生成物联网终端S509证书文件，并将S509证书文件反馈给物联网终端。
进一步地，所述S104还包括：
物联网终端对数字证书的有效期进行判断，如果距离有效期截止时间的范围小于设定范围时，物联网终端向第二证书认证机构服务器发起数字证书更新请求；第二证书认证机构服务器使用第二根证书和证书注销列表对物联网终端进行身份验证，验证通过后为物联网终端更新证书。
应理解地，S104：物联网终端生成正式ECC密钥信息，并生成S509证书请求文件，通过使用第二证书认证机构的CoAP服务，向第二证书认证机构发送证书注册请求。如证书接近有效期截止日期，物联网终端向第二证书认证机构发送证书更新请求。
应理解地，S105：第二证书认证机构服务器接收到注册/更新请求后，通过SICC编码方式对证书请求文件进行解码，解析出证书请求信息，使用自己的私钥对物联网终端注册信息进行数字签名，设置物联网终端证书的版本号、序列号、颁发者、证书主题、签名算法、签名值、有效期，并采用SICC编码后生成终端S509物联网证书；第二证书认证机构服务器将生成的终端S509证书发送给物联网终端，终端通过第二根证书来验证获取证书的有效性，验证通过后，保存至终端***中，用于后续安全接入的身份凭证。
进一步地，所述物联网应用服务器使用第二根证书以及证书注销列表验证数字证书的有效性；具体过程包括：
通过使用SICC编码方式对符合S509格式的第二根证书进行解码，得到第二根证书的公钥；通过使用SICC编码方式对符合S509格式的终端数字证书进行解码，得到颁发者签名值，该签名值为第二证书认证机构使用所拥有的私钥进行数字签名而来；使用解析出的第二根证书公钥验证解析出的终端证书中的签名值；如验证签名成功，说明该证书为第二证书认证机构所颁发，反之亦然；
通过使用SICC编码方式对符合S509注销列表格式的证书注销列表文件进行解码，得到第二证书认证机构已经注销的证书序列号清单；通过使用SICC编码方式对符合S509格式的终端数字证书进行解码，得到终端证书序列号；通过查找终端证书序列号是否在解析出的注销证书的序列号清单中；如不在清单中，说明该终端证书未被注销，证书有效，反之亦然。
应理解地，S106：物联网终端向物联网应用服务器提交接入请求，并提交第二证书认证机构颁发的物联网终端证书。
应理解地，S107：物联网应用服务器接收到物联网终端的接入请求后，生成挑战码，并将挑战码发送至物联网终端。
应理解地，S108：物联网终端接收到物联网应用服务器发送的挑战码后，使用终端的ECC私钥对挑战码进行数字签名，得到签名值，并将签名值发送至物联网应用服务器。
应理解地，S109：物联网应用服务器接收到物联网终端对挑战码的签名值后，使用第二根证书和第二证书认证机构的证书注销列表文件对终端证书有效性进行验证（包括是否为第二认证机构颁发，是否在有效期内，是否被注销等），同时使用物联网终端的ECC公钥来验证签名值有效性；验证通过后，向物联网终端返回验证结果，并允许该物联网终端接入并进行后续的DTLS密钥协商和数据加密传输。
进一步地，所述物联网应用服务器使用第二根证书和证书注销列表对物联网终端进行身份验证；具体包括：
通过使用SICC编码方式对符合S509格式的第二根证书进行解码，得到第二根证书的公钥；通过使用SICC编码方式对符合S509格式的终端数字证书进行解码，得到颁发者签名值，该签名值为第二证书认证机构使用所拥有的私钥进行数字签名而来；使用解析出的第二根证书公钥验证解析出的终端证书中的签名值；如验证签名成功，说明该证书为第二证书认证机构所颁发，反之亦然；
通过使用SICC编码方式对符合S509注销列表格式的证书注销列表文件进行解码，得到第二证书认证机构已经注销的证书序列号清单；通过使用SICC编码方式对符合S509格式的终端数字证书进行解码，得到终端证书序列号；通过查找终端证书序列号是否在解析出的注销证书的序列号清单中；如不在清单中，说明该终端证书未被注销，证书有效，反之亦然。
应理解地，S110：物联网应用服务器验证物联网终端身份通过后，物联网终端与物联网应用服务器通过DTLS协议进行会话密钥协商，协商完成后，使用会话密钥对后续的数据通信进行加密传输。
本发明基于S509证书和DTLS数据包传输层安全协议实现一种物联网安全注册方法，其主要包括：设备出厂预注册和上线自动注册服务。
预注册主要是为了保证设备上线后的自动注册的安全性，在设备出厂时，在设备固件中预生成一个可信的厂商CA颁发的预注册证书，用于在设备正式上线后的自动注册过程的身份安全。
设备自动注册服务，主要是指通过设备预注册证书、DTLS协议和证书注册服务来完成设备证书的自动注册。其中预注册证书用于自动注册过程的身份认证，DTLS协议用于数据包的安全传输，证书注册服务接口用于与第二证书认证机构服务器的证书自动注册。
证书注册服务采用CoAP服务架构，主要服务接口包括：
可信证书链服务：物联网终端可通过该接口获取第二证书认证机构的可信证书链。
证书注册服务：物联网终端生成密钥信息，并向第二证书认证服务器发送S509格式的数字证书请求，并获取CA服务器颁发的S509证书。
证书更新服务：物联网终端证书到期后自动向第二证书认证服务器提交证书更新请求，并获得新的数字证书。
随着物联网技术的发展和不断实践，针对物联网设备的DTLS使用指南中通过有力的实践数据，提出了对密码套件的使用建议。本发明针对该密码算法套件的建议，针对数字证书编码项进行固定，不再通过原有的OID来确定证书中所使用的的各种算法和代表的各种证书项。DTLS(Datagram Transport Layer Security)即数据包传输层安全性协议。OID一般指对象标识符，Object Identifier，作为一个算法或者格式的唯一标识符。
发明一种新的物联网数字证书结构（以下简称为S509证书），其主要目的是在与标准X.509证书兼容的前提下减少证书文件的大小，主要通过固定已知项和简化证书结构来实现。通过固化和简化后的S509证书的结构，如图2所示。
本发明采用简单物联网证书编码（Simple Iot Certificate Code，以下简称为SICC），并采用SICC编码格式对针对物联网设备进行简化后的S509证书格式进行编码，其目的是在向前兼容X.509数字证书标准内容的前提下，继续减少物联网应用中用于实体识别的数字证书文件的大小，并提高数字证书编解码的效率，使得优化后的编码格式更加适用于物联网应用等终端实体存储和计算能力受限的场景。
如图3所示，S509证书的SICC编码方式，包括：物联网数字证书编码格式定义（以下简称SICC编码格式）、SICC编码格式的数字证书定义（以下简称S509证书）、证书请求编码定义和证书吊销列表编码定义。
物联网数字证书编码（Simple Iot Certificate Code，以下简称为SICC），定位为一种具有良好的编解码效率，扩展性强，不需要版本协商的二进制数据交换方式。其特点优于ASN.1等二进制序列化方式，其具体编码格式包括数据头、数据载荷长度、数据载荷三部分，具体如下：
Header：数据头，长度为1个字节，其中高3位为数据类型Type，低5位为附加信息Info；
Length：数据载荷长度，长度为动态长度，可选项；
Data：数据载荷，指具体数据信息，可选项。
其中，SICC数据头的主要数据类型包括：Integer 整型、Byte String 字节字符串类型、Text 文本类型 String字符串类型、Array数组类型、Map关联数组类型、Tag标签类型、Special特殊类型，具体类型说明如下：
Integer：数据类型为值0，附加信息可以是整数本身或数据的长度。
Byte String：数据类型值为1，使用附加信息作为字节字符串的长度或声明载荷长度域的长度。
Text String：数据类型值为2，使用附加信息作为文本字符串的长度或声明载荷长度域的长度。
Array：数据类型值为3，Arrays（数组）也可以叫作Lists（列表）, Sequences（序列）, 或Tuples（元组），长度指数组元素的个数。
Map：数据类型值为4，键值对映射的数据项集合。Map中的长度指数据项的对数。每个Map实体包含两个按顺序排列的数据项，一个数据项作为键，一个数据项作为值。
Tag：数据类型值为5，用来作为其他Types（主要类型）可选语义标签。
Special：数据类型值为6，浮点数据和没有内容，没有结束码的简单数据类型。
SICC编码格式的数字证书定义：使用SICC对数字证书进行编码得到S509数字证书，用于代替传统的基于ASN.1编码的X.509数字证书。使用SICC编码的简化后的S509证书的大小比传统的ASN.1编码的X.509证书大小减少50%以上。
S509数据结构定义：具体S509数字证书数据结构定义（本发明对数据结构的定义均采用简明数据定义语言 CDDL进行定义）如下：
S509Certificate = [
TBSCertificate ，
issuerSignatureValue : any ,
]
其中，TBSCertificate为SICC证书项内容定义，issuerSignatureValue为颁发者签名值，其中S509证书项定义，包括S509数字证书类型、证书序列号、颁发者信息、证书主题、有效期、公钥算法、公钥信息、证书扩展和颁发者签名算法。
S509证书基本项编码定义：S509数字证书不改变传统X.509数字证书的证书项，只对各证书项进行SICC编码。
具体证书基本项编码定义如下：
版本号：本发明中固定版本号为3，该证书项编码后比传统的X.509证书的该字段节省5字节。
证书序列号：定义为SICC编码的Integer类型，最终包含在certificateSerialNumber的SICC编码中。在没有已知结构和简化结构的前提下，该证书项仅通过SICC编码比传统的X.509证书的该字段节省1字节。
颁发者：定义为SICC编码的数组或字符串类型，主要包含RelativeDistinguishedName的序列号内容。通过对简化后的该证书项进行编码后比传统的X.509证书的该字段节省13字节。
有效性：定义为SICC编码的Integer类型，包括validityNotBefore和validityNotAfter。通过对简化后的该证书项进行编码后比传统的X.509证书的该字段节省21字节。
证书主题：定义为SICC编码的数组或字符串类型，主要包含RelativeDistinguishedName的序列号内容，与颁发者相同。S509证书主题采用由唯一MACid进行派生的EUI-64的48 位进行标识，通过SICC编码后仅需要6个字节，比传统的X.509证书的该字段编码后的36字节节省30字节。
公钥算法：定义为SICC编码的字符串类型，固定为2ECC算法。通过对简化后的该证书项进行编码后比传统的X.509证书的该字段节省12字节。
公钥信息：定义为SICC编码的数组，由于S509证书对该证书项进行固化为256位ECC算法，故通过对简化后的该证书项进行编码仅需要35字节，比传统的X.509证书的该字段的91字节节省56字节。
签名值：定义为SICC编码的数组，固定为基于256位ECC密钥的ECDSA签名，只包含2个32位值，故通过对简化后的该证书项进行编码比传统的X.509证书的该字段节省9字节。
S509证书扩展项编码定义：除必须证书项字段外，S509编码格式证书同样支持原有扩展项的编码定义，主要指S509证书定义中的extensions字段。
具体数据结构定义如下：
Extensions = [ * Extension ] / Integer
Extension = ( extensionID: Integer, extensionValue: any ) //
( extensionID: ~oid,
Figure 370754DEST_PATH_IMAGE001
critical: true,
extensionValue: bytes )
其中，extensions字段被编码为SICC的Arrays数组，其中每个extensionID 被编码为SICC的Integer类型，如果扩展是关键扩展，并且省略了critical字段，则使用符号进行编码。关键扩展用负号编码，非关键扩展用正号编码。extensionValue字段被编码为SICC的Byte String字符串。
其中，适用于采用SICC编码的证书扩展项包括：主题密钥标识符、密钥用法、策略映射、基本约束、策略约束、扩展密码用法、禁止任何策略等。
具体扩展项的extensionValue 信息的SICC编码定义如下：
主题密钥标识符：其编码为KeyIdentifier = bytes。
密钥用法：如果 keyUsage 是唯一存在的扩展，具体定义如下：
KeyUsage = Integer。
策略映射：其编码定义包括：ssuerDomainPolicy: ~oid和subjectDomainPolicy:~oid 。
基本约束：其编码定义为BasicConstraints = Integer。
策略约束：其编码定义包括：requireExplicitPolicy: uint / null和inhibitPolicyMapping: uint / null。
扩展密钥用法：其extensionValue 被编码为 SICC Integer 数组，其中每个Integer编码一个密钥使用目KeyPurposeId。如果数组包含单个 KeyPurposeId，则省略该数组，其编码定义为ExtKeyUsageSyntax = [ 2* KeyPurposeId ] / KeyPurposeId。
禁止任何策略：其编码定义为InhibitAnyPolicy = uint。
S509证书请求：定义S509 证书请求格式，该格式基于并兼容国际RFC2986规范，重用了本文中定义的S509 数字证书证书格式。
S509证书请求编码定义如下：
S509CertificateSigningRequest = [
TBSCertificateSigningRequest,
subjectProofOfPossessionValue: any,
]
其中，证书请求类型与本文中所定义的S509证书类型s509CertificateType相对应，定义S509数字证书请求类型s509CertificateSigningRequestType，与s509CertificateType类型对应。TBSCertificateSigningRequest里所包含的S509证书请求信息重用TBSCertificate内定义的证书内容。
S509证书吊销列表：定义S509 证书吊销列表 CRL文件数据格式，该格式基于并兼容国际RFC5280规范，并重用本文中S509 证书格式。
具体定义如下：
S509CertificateRevocationList = [
TBSCertificateRevocationList,
issuerSignatureValue : any,
]
其中，TBSCertificateRevocationList为证书吊销列表，issuerSignatureValue为颁发者签名。其中证书吊销列表数据结构定义包括证书吊销列表类型、颁发者信息、本次更新时间、下次更新时间、吊销证书的列表详细信息、证书吊销列表扩展信息、颁发者签名算法等。其中，吊销证书的列表详细信息又被定义为包括吊销证书的序列号、吊销时间和扩展信息。
实施例二
本实施例提供了物联网终端安全注册和接入***；
物联网终端安全注册和接入***，包括：物联网终端；
物联网终端上线后，与第二证书认证机构服务器进行会话密钥协商；协商过程中，所述第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后，通过密钥交换得到会话密钥；
物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；
第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；
物联网终端生成密钥信息，并生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.物联网终端安全注册和接入方法，其特征是，包括：
物联网终端上线后，与第二证书认证机构服务器进行会话密钥协商；协商过程中，所述第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后，通过密钥交换得到会话密钥；
所述预注册证书，是物联网终端出厂时，第一证书认证机构服务器将预注册证书颁发给物联网终端的；所述第一根证书，是第一证书认证机构服务器提交给第二证书认证机构服务器的；
所述第一证书认证机构服务器，其采用S509证书格式进行设置；
其中，S509证书格式；具体包括：签名算法：采用使用SHA256的ECDSA签名算法；序列号：作为证书的唯一标识符；颁发者：作为证书的颁发机构的唯一标识，将颁发者限定为一个包含通用名信息的字符串值；有效期：证书包含起始日期和截止日期，使用UTCTime 格式YYMMDDhhmmss 以获得最紧凑的表示；证书主题：证书主题部分与颁发者的格式相同，将其限定为一个包含使用者名称的字符串值；公钥信息：将公钥算法固定为256位ECC密钥的secp256r1算法；扩展项：将密钥用法、主题备用名称、基本约束、扩展密钥使用证书签名算法四种扩展作为必选项，把其他主题密钥标识符、策略映射、策略约束、禁止任何策略四种扩展作为可选扩展项；扩展项的签名算法同样固定为基于SHA256的ECDSA算法；证书签名：使用证书颁发机构的私钥进行签名得到的签名值，此项同样固定为基于256位ECC密钥的ECDSA签名；
物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；
第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；
物联网终端生成密钥信息，并生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端；
所述生成数字证书注册请求指令，具体过程包括：
物联网终端把自己的通用名称、ECC算法公钥，通过SICC编码方式生成S509数字证书请求文件，通过使用第二证书认证机构服务器的CoAP服务，向第二证书认证机构服务器发送S509数字证书请求文件；
SICC编码方式，包括：物联网数字证书编码格式、数字证书编码、证书请求编码和证书吊销列表编码；
所述物联网数字证书编码格式，包括：数据头、数据载荷长度、数据载荷三部分；
所述数字证书编码，包括：证书数据结构、证书基本项编码和证书扩展项编码；
证书基本项编码，包括：版本号、证书序列号、颁发者、有效性、证书主题、公钥算法、公钥信息和签名值；
证书扩展项包括：主题密钥标识符、密钥用法、策略映射、基本约束、策略约束、扩展密码用法、禁止任何策略；
物联网终端通过第二根证书对获取的数字证书的有效性进行验证，验证通过后，将数字证书存储到物联网终端中，将数字证书作为后续安全接入物联网应用服务器的身份凭证；
物联网终端向物联网应用服务器提出接入请求，并将第二证书认证机构服务器颁发的数字证书提交给物联网应用服务器；物联网应用服务器使用第二根证书以及证书注销列表验证数字证书的有效性；
物联网应用服务器对数字证书验证通过后，向物联网终端发送认证挑战码；
物联网终端收到挑战码后，使用密钥信息中的私钥对挑战码进行数字签名，并将签名信息发送至物联网应用服务器；
物联网应用服务器，使用物联网终端数字证书的公钥和挑战码对签名信息进行验证，并向物联网终端返回验证结果，并允许验证通过的物联网终端接入物联网应用服务器，并进行后续的DTLS协议的会话密钥协商；
物联网终端使用第二证书认证机构服务器颁发的数字证书与物联网服务器进行DTLS协议的会话密钥协商，协商完成后使用会话密钥对后续通信数据进行加密传输。
2.如权利要求1所述的物联网终端安全注册和接入方法，其特征是，所述第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端；具体过程包括：
所述第二证书认证机构服务器，接收到注册请求信息后，使用SICC编码方式对S509数字证书请求文件进行解码，解析出证书请求文件中的物联网终端通用名称、ECC公钥；
第二证书认证机构服务器，为物联网终端证书设置S509证书版本号、证书序列号、签名算法、颁发者信息、有效期，并使用第二证书认证机构的私钥对物联网终端的证书信息进行数字签名，并设置物联网终端的证书信息；
物联网终端的证书信息，包括：证书版本号、证书序列号、通用名称、签名算法、颁发者信息、有效期、签名值；
按照S509证书格式对证书信息，进行SICC编码生成物联网终端S509证书文件，并将S509证书文件反馈给物联网终端。
3.如权利要求1所述的物联网终端安全注册和接入方法，其特征是，所述物联网应用服务器使用第二根证书以及证书注销列表验证数字证书的有效性；具体过程包括：
通过使用SICC编码方式对符合S509格式的第二根证书进行解码，得到第二根证书的公钥；通过使用SICC编码方式对符合S509格式的终端数字证书进行解码，得到颁发者签名值，该签名值为第二证书认证机构使用所拥有的私钥进行数字签名而来；使用解析出的第二根证书公钥验证解析出的终端证书中的签名值；如验证签名成功，说明该证书为第二证书认证机构所颁发，反之亦然。
4.如权利要求1所述的物联网终端安全注册和接入方法，其特征是，所述物联网应用服务器使用第二根证书以及证书注销列表验证数字证书的有效性；具体过程包括：
通过使用SICC编码方式对符合S509注销列表格式的证书注销列表文件进行解码，得到第二证书认证机构已经注销的证书序列号清单；通过使用SICC编码方式对符合S509格式的终端数字证书进行解码，得到终端证书序列号；通过查找终端证书序列号是否在解析出的注销证书的序列号清单中；如不在清单中，说明该终端证书未被注销，证书有效，反之亦然。
5.采用如权利要求1所述的物联网终端安全注册和接入方法的物联网终端安全注册和接入***，其特征是，包括：物联网终端；
物联网终端上线后，与第二证书认证机构服务器进行会话密钥协商；协商过程中，所述第二证书认证机构服务器使用第一根证书对物联网终端的预注册证书进行验证；验证通过后，通过密钥交换得到会话密钥；
物联网终端向第二证书认证机构服务器，发送第二根证书和证书注销列表的获取请求；
第二证书认证机构服务器向物联网终端，发送第二根证书；物联网终端将第二根证书进行保存；
物联网终端生成密钥信息，并生成数字证书注册请求指令；物联网终端将数字证书注册请求指令发送给第二证书认证机构服务器；第二证书认证机构服务器接收到注册请求指令后，生成数字证书，并将数字证书反馈给物联网终端。
CN202210618982.5A 2022-06-02 2022-06-02 物联网终端安全注册和接入方法及*** Active CN114710289B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210618982.5A CN114710289B (zh) 2022-06-02 2022-06-02 物联网终端安全注册和接入方法及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210618982.5A CN114710289B (zh) 2022-06-02 2022-06-02 物联网终端安全注册和接入方法及***

Publications (2)

Publication Number Publication Date
CN114710289A CN114710289A (zh) 2022-07-05
CN114710289B true CN114710289B (zh) 2022-09-02

Family

ID=82176455

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210618982.5A Active CN114710289B (zh) 2022-06-02 2022-06-02 物联网终端安全注册和接入方法及***

Country Status (1)

Country Link
CN (1) CN114710289B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115208687B (zh) * 2022-07-29 2024-01-30 浙江瑞瀛物联科技有限公司 一种基于网关签名认证的子设备动态签名方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103167491A (zh) * 2011-12-15 2013-06-19 上海格尔软件股份有限公司 一种基于软件数字证书的移动终端唯一性认证方法
WO2017197974A1 (zh) * 2016-05-20 2017-11-23 ***股份有限公司 一种基于生物特征的安全认证方法、装置及电子设备
CN112702312A (zh) * 2020-11-30 2021-04-23 航天信息股份有限公司 一种基于国密算法的轻量级物联网数字证书的处理方法及***
CN113204751A (zh) * 2021-05-28 2021-08-03 深圳市纽创信安科技开发有限公司 一种轻量级的sm2国密证书的生成方法和***

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102202307B (zh) * 2011-06-17 2013-08-07 深圳一卡通新技术有限公司 基于数字证书的移动终端身份认证***及方法
JP6550353B2 (ja) * 2016-07-21 2019-07-24 株式会社日立製作所 署名検証システム、署名検証方法及びプログラム
SG11202105077UA (en) * 2018-11-16 2021-06-29 Microsec Pte Ltd Method and architecture for securing and managing networks of embedded systems with optimised public key infrastructure
CN110213044B (zh) * 2019-05-15 2023-08-04 如般量子科技有限公司 基于多个非对称密钥池的抗量子计算https签密通信方法和***
US11258617B1 (en) * 2020-12-04 2022-02-22 Salesforce.Com, Inc. Device identity using key agreement
CN112350826A (zh) * 2021-01-08 2021-02-09 浙江中控技术股份有限公司 一种工业控制***数字证书签发管理方法和加密通信方法
CN112866236B (zh) * 2021-01-15 2023-03-31 云南电网有限责任公司电力科学研究院 一种基于简化数字证书的物联网身份认证***
CN114254284B (zh) * 2022-02-28 2022-06-17 南京大学 数字证书生成、身份认证方法及量子ca认证中心与***

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103167491A (zh) * 2011-12-15 2013-06-19 上海格尔软件股份有限公司 一种基于软件数字证书的移动终端唯一性认证方法
WO2017197974A1 (zh) * 2016-05-20 2017-11-23 ***股份有限公司 一种基于生物特征的安全认证方法、装置及电子设备
CN112702312A (zh) * 2020-11-30 2021-04-23 航天信息股份有限公司 一种基于国密算法的轻量级物联网数字证书的处理方法及***
CN113204751A (zh) * 2021-05-28 2021-08-03 深圳市纽创信安科技开发有限公司 一种轻量级的sm2国密证书的生成方法和***

Also Published As

Publication number Publication date
CN114710289A (zh) 2022-07-05

Similar Documents

Publication Publication Date Title
JP5513482B2 (ja) ネットワーク内のステーション分散識別方法
CN107659406B (zh) 一种资源操作方法及装置
Ha et al. Efficient authentication of resource-constrained IoT devices based on ECQV implicit certificates and datagram transport layer security protocol
CN108650227A (zh) 基于数据报安全传输协议的握手方法及***
CN113300836B (zh) 一种基于区块链和ecc的车载网络报文认证方法及***
CN111130777B (zh) 一种用于短效证书的签发管理方法和***
CN112866236B (zh) 一种基于简化数字证书的物联网身份认证***
CN108964892A (zh) 可信应用标识的生成方法、应用方法、管理***和应用***
CN113452522B (zh) 基于国密的硬件安全模块软件实现方法、存储介质及装置
US20220006652A1 (en) Method and architecture for securing and managing networks of embedded systems with optimised public key infrastructure
Hashimoto et al. A concrete treatment of efficient continuous group key agreement via multi-recipient PKEs
CN114710289B (zh) 物联网终端安全注册和接入方法及***
CN115801223A (zh) 一种基于ca证书的标识密钥体系与pki体系兼容方法
CN114398602A (zh) 一种基于边缘计算的物联网终端身份认证方法
CN113572607A (zh) 一种采用非平衡sm2密钥交换算法的安全通信方法
Malik et al. L-ecqv: Lightweight ecqv implicit certificates for authentication in the internet of things
CN114666040B (zh) 基于量子密码网络的射频识别认证***及方法
CN114079921B (zh) 会话密钥的生成方法、锚点功能网元以及***
US20160315779A1 (en) Entity Authentication in Network
CN116599659B (zh) 无证书身份认证与密钥协商方法以及***
CN112929166A (zh) 一种基于Modbus-TCP协议的主站、从站及数据传输***
KR100456624B1 (ko) 이동 통신망에서의 인증 및 키 합의 방법
CN109005029B (zh) 可信应用标识的生成方法和***、应用方法和应用端设备
CN114205082B (zh) 一种读写器与电子标签的双向身份认证方法及设备
CN112468983B (zh) 一种低功耗的电力物联网智能设备接入认证方法及其辅助装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of invention: Security registration and access methods and systems for IoT terminals

Granted publication date: 20220902

Pledgee: Shandong Fuxin Financing Guarantee Co.,Ltd.

Pledgor: Confident Information Co.,Ltd.

Registration number: Y2024980000626

PE01 Entry into force of the registration of the contract for pledge of patent right