[发明专利]一种用于物联网终端的数据安全认证传输方法及装置

说明书

本发明公开了一种用于物联网终端的数据安全认证传输方法及装置。该方法包括：分别在物联网终端出厂预置标识密钥对，以及在边缘网关预置对应公钥矩阵；根据物联网终端预置的标识密钥对和边缘网关预置的公钥矩阵，完成物联网终端和边缘网关的双向认证，并得到通信加/解密密钥；使用通信加/解密密钥完成物联网终端与边缘网关之间传输数据的加解密。有效解决传统安全手段难以物联场景需求的情况。通过轻量级的认证体制构建基于公钥密码技术实现的可应用于物联网终端上的密钥管理体系，不需要第三方的在线支持，方便实现大规模密钥产生，认证效率高，认证流程简单，并以国密算法为基础实现密码协议和密码模块，从而实现物联终端交互认证和数据加密。

技术领域

本发明涉及一种用于物联网终端的数据安全认证传输方法，同时也涉及相应的数据安全认证传输装置，属于网络安全技术领域。

背景技术

随着大量物联网终端的逐步建设，泛在物联终端设备接入物联网络，对基于传统的边界安全手段建设的安全体系造成巨大威胁。在整体的物联网建设中，可对设备划分为感知层、网络层、平台层和应用层，现阶段国内外主流的安全厂商都有相对成熟完备的针对网络安全、云安全、数据安全和应用安全的整体化的解决方案，对应到网络层、平台层和应用层，所以安全能力的最大短板出现在感知层的物联网终端上。

物联网的建设在物联网终端上面临的安全问题主要表现在三个方面能力的不足，一是身份体系缺失，二是交互数据无保护，三是设备本体安全防护不足，导致终端可能面临设备被逆向、劫持、仿冒、植毒，数据被窃取、篡改、伪造，以及终端设备供应链攻击等风险。表现在业务上即：采集数据来源、去向和内容是否可信，控制信令来源、去向和内容是否可信，终端设备是否可控。对于系统来说，表现为三个层面的安全危机：一是采集数据出现偏差，尤其是大范围、长期性偏差，导致错误的数据分析和决策依据，直接影响业务系统的运行；二是控制指令执行偏差，正确的人下发了错误的指令，或者正确的指令被错误的执行，即决策执行出错；三是终端设备本身被突破，尤其是在供应链环节，因为某几个设备的定向突破，并且被规模化复制，导致成批次的设备均被突破。

传统的身份认证方法主要是基于公共密钥基础设施(Public KeyInfrastructure，PKI)技术实现的认证系统。采用PKI技术实现身份认证具有存在如下问题：

(1)主要针对上位机与业务后台的安全认证，可以应用于网关与后台的认证，但并不适合物联网终端与网关的安全认证。

(2)由于PKI技术公钥产生不具有规模性，针对海量的多种通信协议的物联网终端统一发放证书，实际操作存在困难。

(3)证书目录需要在线运行，公钥以目录的形式存放在在线运行的目录库中，维护量大，并且无法解决物联网终端需要与网关离线认证的需求。

(4)认证可靠性依靠可信第三方证书授权中心(Certificate Authority，CA)认证链，限制了认证的灵活性。

发明内容

本发明所要解决的首要技术问题在于提供一种用于物联网终端的数据安全认证传输方法。

本发明所要解决的另一技术问题在于提供一种用于物联网终端的数据安全认证传输装置。

为了实现上述目的，本发明采用下述技术方案：

根据本发明实施例的第一方面，提供一种用于物联网终端的数据安全认证传输方法，包括如下步骤：

分别在物联网终端出厂预置标识密钥对，以及在边缘网关预置对应公钥矩阵；

根据物联网终端预置的标识密钥对和边缘网关预置的公钥矩阵，完成物联网终端和边缘网关的双向认证，并得到通信加/解密密钥；

使用通信加/解密密钥完成物联网终端与边缘网关之间传输数据的加解密。

其中较优地，所述物联网终端出厂预置标识密钥对，包括如下步骤：