[发明专利]一种物联网系统多级身份认证方法

说明书

本发明公开了一种物联网系统多级身份认证方法，包括：根据物联网系统中不同设备所处的网络环境和使用的底层通信协议，将设备进行分级；部署认证基础设施，部署范围包括服务端和汇聚设备端，由服务端对汇聚设备和端点汇聚的终端设备进行认证，由汇聚设备对现场汇聚的终端设备进行认证；由认证基础设施为不同级别的设备匹配不同的认证方式或者认证方式组合，安全等威胁级越高的设备，匹配的认证方式的安全等级越高；面向设备提供的统一的代理接口包括注册接口和认证接口；认证过程包括接入认证和传输认证。本发明可以为物联网系统异构网络环境下的不同功能、不同层级的设备提供统一的接口以匹配相应认证方式，解决单一认证方案难以处理的问题。

技术领域

本发明涉及物联网信息安全技术领域，具体而言涉及一种物联网系统多级身份认证方法。

背景技术

物联网是数字经济的基石，物联网安全关系到国家数字基础设施的安全。面对大规模设备接入和复杂多样的部署环境，物联网安全问题日益凸显。受制于物联网设备有限的资源，传统互联网安全解决方案难以适用，因此，探索轻量、灵活、兼容性强的安全方案，保证物联网数据传输的安全可信成为了当务之急。

现有认证机制基于面向PC设备、移动设备的安全协议，使用最广泛的为PKI(Public Key Infrastructure)机制。PKI机制中，系统需建设有公信力的CA中心鉴定用户身份，并为用户签发数字证书，其主要功能是绑定证书持有者的身份和相关的密钥对(通过为公钥及相关的用户身份信息签发数字证书)。为用户提供方便的证书申请、证书作废、证书获取、证书状态查询的途径，并利用数字证书及相关的各种服务(证书发布，黑名单发布，时间戳服务等)实现通信中各实体的身份认证、完整性、抗抵赖性和保密性。证书的交换、验证、撤销等操作有着较大的开销，虽然PKI机制可以提供较为完备的认证方式，但其不适用于资源受限的设备。

除此之外，还有较为简单的基于口令的认证技术，口令认证为账号密码方式，在物联网应用中，通常将系统生成的账号密码信息提前预置到物联网设备中。当需要物联网连接时，通过验证账号密码的正确性来确定物联网设备或用户的合法性。这种技术的优点是简单易用，但是其安全性较低，存在账号密码容易被窃听或者重放攻击的危险，一般通过强化口令的复杂性来增强其安全性，适用于带宽、算力极其受限的设备。

对于异构网络环境、设备标准不统一、资源受限的物联网设备，难以通过单一的认证方式进行设备身份的验证。

为了解决以上问题，研究人员提出了几种可能的解决方案。

Dongxing Li等人提出了一种基于区块链的物联网身份认证方案，参见【D.Li,W.Peng,W.Deng and F.Gai,A Blockchain-Based Authentication and SecurityMechanism for IoT,2018 27th International Conference on ComputerCommunication and Networks(ICCCN),2018,pp.1-6,doi:10.1109/ICCCN.2018.8487449.】，利用区块链技术作为物联网设备的安全防篡改分布式账本，来实现去中心化的相互认证机制。在设备入网注册阶段提交其ID及固件信息以散列的形式存储在每一个区块链节点中，并和周围临近节点结合成为共识节点，在连接阶段由共识节点对其ID及固件信息进行验证，在运行阶段节点的固件变化信息其他节点会随时更新。这个方案节省了验证时与服务端通信的开销，但对于大规模物联网系统设备频繁的接入与登出需要耗费大量算力进行验证，并且对于资源更加有限的终端设备来说，在算力、带宽和能源消耗方面难以达到要求。