CN105281910A - 带ca数字证书作为入网身份识别的物联网锁及其入网身份识别方法 - Google Patents

Abstract

本发明提供了一种带CA数字证书作为入网身份识别的物联网锁，能与物联网设备通信或连接到互联网，所述物联网锁配置有安全模块，所述安全模块设有一处理器及一存储单元，所述处理器用于随机生成非对称密钥对及进行加解密运算；所述存储单元用于存储所述非对称密钥对，且私钥始终保存于所述安全模块内，公钥和锁的基本信息导出安全模块后经第三方CA认证中心认证后发放数字证书，所述数字证书用于证明签名公钥和与之对应的物联网锁之间的唯一对应关系。本发明的物联网锁，可与其它物联网设备或互联网终端建立起保密的通信渠道，保证信息传输的保密性和完整性，以及锁的身份的真实性和抗抵赖性，具有良好的安全性能。

Description

带CA数字证书作为入网身份识别的物联网锁及其入网身份识别方法

技术领域

本发明涉及物联网设备领域，尤其是一种带CA数字证书作为入网身份识别的物联网锁及其入网身份识别方法。

背景技术

随着物联网技术的快速发展，越来越多的物联网智能设备进入了人们的生活。物联网智能设备一般具有和其它物联网设备或互联网进行通信的能力，从而实现了相关设备的远程控制或操作，为人们的工作和生活提供了很多的便利，提高了生活的便捷程度和工作效率。锁作为一种生活中不可缺少的设备，其对应的智能物联网锁具有广阔的应用前景和商业价值。

然而，锁的特殊性决定了智能物联网锁的使用必须要保证其安全性，包括其物理安全和信息传输的安全。因此，如何保证物联网锁信息传输的安全性，成为了一个重要的课题。在公开号为CN101246607A的中国发明专利申请《门禁系统的数字认证控制方法以及应用该方法的门禁系统》中，公开了一种门禁系统，包括门禁控制系统、内设私钥、数字证书及数字签名的USBKey及锁定机构；还公开了该门禁系统的数字认证控制方法。该公开申请的门禁系统和门禁系统控制方法，使用便利、安全性高、可靠性好。但仍存在下述不足：首先，该申请是通过USBkey携带数字证书，存在USBkey遗失或被人盗取的可能性。其次，该申请通过识别数字证书的非对称密钥对进行数据操作，但采用的架构设计根本无法对特定数字证书进行特征识别，唯一识别方式为证书所有者名字；尤其是步骤二中将密文、数字证书、数字签名由同一USBkey导出，极端不符合安全的要求。另外，根据该申请描述的操作步骤(1-4)，任何兼容对方的USBkey插入均可完成开锁操作，伪造证书只要确保证书所有者名字相同，即可开锁，无法保证身份识别。因此，该数字证书的使用方法无法确保安全，存在较大漏洞。再次，该申请的控制主机没有涉及安全模块芯片，相关算法运算在通用芯片或单片机中用软件执行，不安全也不规范；在通过识别后即直接开锁，没有进一步的验证。

发明内容

本发明解决的技术问题在于提供一种带CA数字证书作为入网身份识别的物联网锁，采用安全模块，保证了所述物联网锁与其它物联网设备通信或连接到互联网的安全性。

为解决上述技术问题，本发明采用了以下技术方案：

一种带CA数字证书作为入网身份识别的物联网锁，能与物联网设备通信或连接到互联网，所述物联网锁配置有安全模块，所述安全模块设有一处理器及一存储单元，所述处理器用于随机生成非对称密钥对及进行加解密运算，所述非对称密钥对包括公钥和私钥；所述存储单元用于存储所述非对称密钥对，且所述私钥始终保存于所述安全模块内；

所述安全模块内还包含所述物联网锁的基本信息，所述公钥和所述基本信息导出安全模块后经第三方CA认证中心认证后发放数字证书，所述数字证书包含所述基本信息和签名公钥，用于证明所述签名公钥和与之对应的物联网锁之间的唯一对应关系。

本发明的带CA数字证书作为入网身份识别的物联网锁，其安全模块配置于所述物联网锁内，从而避免了遗失或被盗的风险。所述安全模块内的处理器能够随机生成非对称密钥，且能进行加解密计算，从而使相关加解密步骤仅在安全模块内进行，符合安全要求。所述非对称密钥包括公钥和私钥，其中，公钥和锁的基本信息导出安全模块后经第三方CA认证中心认证并发放数字证书，从而使所述公钥和与之对应的物联网锁之间确立可信的唯一对应关系。同时，所述私钥始终保存于所述安全模块内，外界无法读取或修改，确保了私钥的安全性和与之对应的物联网锁之间的唯一对应关系。安全模块内的所述存储单元用于存储上述数字证书及私钥等信息。

优选的，所述安全模块包括一安全芯片，所述安全芯片集成于所述物联网锁中。

采用安全芯片，能够用物理方式保证其自身的安全性，从而在硬件方面保证了所述安全模块的安全性能。

优选的，所述安全芯片的封装方式包括TF卡封装。

采用此种封装方式，工艺成熟、安全性高，且使用方便，保证了所述物联网锁的质量。

优选的，所述安全模块支持多种信息安全算法，包括对称算法、非对称算法、杂凑和哈希算法。

采用此种设计，提高了所述安全模块的通用性，使配置有所述安全模块的物联网锁应用范围更广。同时，支持多种算法也使得所述安全模块能够灵活选取算法，以及综合采用多种算法进行加密，进一步提高了其安全性能。

本发明还提供了一种上述的物联网锁入网身份识别方法，包括如下步骤：

步骤一，生成密钥对：所述安全模块随机生成非对称密钥对，所述非对称密钥对包括公钥PK和私钥SK；

步骤二，申请数字证书：从所述安全模块导出所述公钥PK和物联网锁的基本信息，发送至权威第三方CA认证中心，CA认证中心经过信息核实无误后，发放数字证书，所述数字证书包含所述物联网锁的基本信息和公钥PK，证明所述公钥PK和与之对应的物联网锁的唯一对应关系；

步骤三，数字证书公开：公开所述物联网锁对应的数字证书；

步骤四，签名/验签：当所述物联网锁向物联网设备或互联网发送信息时，所述安全模块用私钥SK对信息X进行加密签名，接收方收到信息X后用已经公开的所述物联网锁的数字证书上的公钥PK解密信息，从而确认信息X的发送者是否为该数字证书对应的物联网锁。

优选的，所述步骤四中，签名/验签方式为：

所述安全模块用私钥SK加密信息X后发送，接收方用所述数字证书上的公钥PK解密；若解密出明文，则确定消息X的发送者为所述数字证书对应的物联网锁；若不能解密出明文，则确定消息X的发送者不是与所述数字证书对应的物联网锁，或是消息X中途被篡改。

采用此种验签方式，能够确认消息的发送者是否为与所述数字证书对应的物联网锁，从而使所述的物联网锁可信、可识别。

作为本发明的进一步改进，所述步骤四中，签名/验签方式为：

所述安全模块对信息X进行HASH函数运算，得到值H，然后用私钥SK加密H得到E_SK(H)，之后发送信息X和E_SK(H)；

接收方用所述数字证书上的公钥PK解密E_SK(H)，然后对消息X进行HASH函数运算，得到值H′，之后比较H和H′的值是否相同；

若H和H′的值相同，则确定消息X的发送者为所述数字证书对应的物联网锁；若不相同，则确定消息X的发送者不是与所述数字证书对应的物联网锁，或是消息X中途被篡改。

采用上述验签方式，进一步提高了签名/验签的保密性和安全性，及信息传输的完整性。

本发明的物联网锁入网身份识别方法，其密钥对的生成在所述物联网锁的安全模块内进行，且保存私钥不出安全模块，确保了私钥的安全性，且保证了所述私钥与安全模块及与之对应的物联网锁的唯一对应关系。所述公钥和锁的基本信息导出后，经可信的第三方CA认证中心认证并发放数字证书，证明了数字证书中的签名公钥确实是与之对应的物联网锁所有。该数字证书经公开后，可被其它物联网设备或互联网上的其它终端获取。从而在所述物联网锁向外发送信息时，用私钥对信息进行加密签名，接收方用数字证书上的公钥解密信息验签。由于相应的私钥在物联网锁的安全模块内随机生成，且与该物联网锁具有唯一对应关系，因而可以通过公钥验签确认发送信息者是否为对应的物联网锁，保证了物联网锁身份的真实性和抗抵赖特性。采用本发明的方法，能够完全避免第三方伪造数字证书来建立通信渠道，极大的提高了所述物联网锁的安全性能。

进一步的，经上述入网身份识别方法确认后，所述物联网锁与其它物联网设备或互联网终端建立起保密的通信渠道，保证了信息传输的保密性和完整性，为进一步传输其余指令，如开锁、锁定等指令奠定了安全基础；而签名/验程序签保证了锁的身份的真实性和抗抵赖性，从整体上提高了采用本发明的物联网锁的系统的安全性能，使之可广泛应用于安全要求较高的重要场所。

附图说明

图1为本发明的物联网锁入网身份识别方法一个实施例的签名/验签流程示意图；

图2为本发明的物联网锁入网身份识别方法另一个实施例的签名/验签流程示意图；

具体实施方式

为了进一步理解本发明，下面结合实施例对本发明优选实施方案进行描述，但是应当理解，这些描述只是为进一步说明本发明的特征和优点，而不是对本发明权利要求的限制。

本发明的一个实施例提供了一种带CA数字证书作为入网身份识别的物联网锁。所述的物联网锁具有普通锁的物理锁定功能及其它一切安全性能，因其具体结构与本发明要解决的技术问题无关，在此不做详细讨论。同时，本实施例中的物联网锁，能与物联网设备通信或连接到互联网，具体的通信装置及方法已有大量的现有技术公开，在此也不做详细描述。

为了解决本发明所要解决的技术问题，本实施例中的物联网锁，配置有安全模块，具体的，该安全模块为一安全芯片。该安全芯片能够在硬件方面保证所述安全模块的安全性能。特别的，该芯片的封装方法包括但不限于TF卡封装。

进一步的，该安全芯片设有一处理器及一存储单元，所述处理器可随机生成非对称密钥对及进行加解密运算；所述存储单元用于存储所述非对称密钥对，且所述私钥始终保存于所述安全模块内。同时，存储单元内还存有与之对应的物联网锁的基本信息。

采用上述技术方案，本实施例中的物联网锁，其安全模块配置于物联网锁内，从而避免了遗失或被盗的风险。所述安全模块内的处理器能够随机生成非对称密钥，且能进行加解密计算，从而使相关加解密步骤仅在安全模块内进行，符合安全要求。

当所述安全模块内随机产生非对称密钥对(包括公钥和私钥)后，公钥和所述物联网锁的基本信息导出安全模块，并发送至可信的第三方CA认证中心。第三方CA认证中心经确认信息无误后，发放数字证书。所述数字证书包含锁的基本信息和签名公钥，证明了所述签名公钥和与之对应的物联网锁之间的唯一对应关系。同时，所述私钥始终保存于安全模块内，从而保证了其私密性；外界无法读取或修改该私钥，确保了私钥和与之对应的物联网锁之间的唯一对应关系。

作为本实施例中物联网锁的进一步改进，所述安全模块支持多种信息安全算法(国密算法及国际通用算法)，包括但不限于对称算法(SM1，DES/3DES)和非对称算法(SM2，RSA，ECC)、杂凑和哈希算法(SM3，SHA-1)，从而提高了所述安全模块的通用性，使配置有所述安全模块的物联网锁应用范围更广。同时，支持多种算法也使得所述安全模块能够灵活选取算法，以及综合采用多种算法进行加密，进一步提高了其安全性能。

本实施例中的物联网锁，可结合成熟的PKI/CA体系，通过第三方CA中心，将用户公钥和其他标识信息捆绑，进行用户身份验证，并通过加密保证信息传输的保密性、完整性，通过签名保证身份的真实性和抗抵赖，具有极高的安全性能。

本发明还提供了一种上述的物联网锁入网身份识别方法，在其一个较佳实施例中，包括如下步骤：

步骤一，生成密钥对：所述安全模块随机生成非对称密钥对，所述非对称密钥对包括公钥PK和私钥SK；

步骤二，申请数字证书：从所述安全模块导出所述公钥PK和物联网锁的基本信息，发送至权威第三方CA认证中心，CA认证中心经过信息核实无误后，发放数字证书，所述数字证书包含所述物联网锁的基本信息和公钥PK，证明所述公钥PK和与之对应的物联网锁的唯一对应关系；

步骤三，数字证书公开：公开所述物联网锁对应的数字证书；

步骤四，签名/验签：当所述物联网锁向物联网设备或互联网发送信息时，所述安全模块用私钥SK对信息X进行加密签名，接收方收到信息X后用已经公开的所述物联网锁的数字证书上的公钥PK解密信息，从而确认信息X的发送者是否为该数字证书对应的物联网锁。

优选的，如图1所示，本实施例中，所述步骤四中签名/验签方式为：

所述安全模块用私钥SK加密信息X后发送，接收方用所述数字证书上的公钥PK解密；若解密出明文，则确定消息X的发送者为所述数字证书对应的物联网锁；若不能解密出明文，则确定消息X的发送者不是与所述数字证书对应的物联网锁，或是消息X中途被篡改。

采用此种验签方式，能够确认消息的发送者是否为与所述数字证书对应的物联网锁，从而使所述的物联网锁可信、可识别。

本实施例中的物联网锁入网身份识别方法，其密钥对的生成在所述物联网锁的安全模块内进行，且保存私钥不出安全模块，确保了私钥的安全性，且保证了所述私钥与安全模块及与之对应的物联网锁的唯一对应关系。所述公钥和锁的基本信息导出后，经可信的第三方CA认证中心认证并发放数字证书，证明了数字证书中的签名公钥确实是与之对应的物联网锁所有。该数字证书经公开后，可被其它物联网设备或互联网上的其它终端获取。从而在所述物联网锁向外发送信息时，用私钥对信息进行加密签名，接收方用数字证书上的公钥解密信息验签。由于相应的私钥在物联网锁的安全模块内随机生成，且与该物联网锁具有唯一对应关系，因而可以通过公钥验签确认发送信息者是否为对应的物联网锁，保证了物联网锁身份的真实性和抗抵赖特性。采用本发明的方法，能够完全避免第三方伪造数字证书来建立通信渠道，极大的提高了所述物联网锁的安全性能。

作为本发明的进一步改进，如图2所示，在本发明的物联网锁入网身份识别方法的另一个实施例中，所述步骤四中签名/验签方式为：

所述安全模块对信息X进行HASH函数运算，得到值H，然后用私钥SK加密H得到E_SH(H)，之后发送信息X和E_SH(H)；

接收方用所述数字证书上的公钥PK解密E_SK(H)，然后对消息X进行HASH函数运算，得到值H′，之后比较H和H′的值是否相同；

若H和H′的值相同，则确定消息X的发送者为所述数字证书对应的物联网锁；若不相同，则确定消息X的发送者不是与所述数字证书对应的物联网锁，或是消息X中途被篡改。

采用上述验签方式，进一步提高了签名/验签的保密性和安全性，及信息传输的完整性。

本发明上述实施例中的物联网锁，经上述入网身份识别方法确认后，所述物联网锁与其它物联网设备或互联网终端建立起保密的通信渠道，保证了信息传输的保密性和完整性，为进一步传输其余指令，如开锁、锁定等指令奠定了安全基础；而签名/验签程序保证了锁的身份的真实性和抗抵赖性，从整体上提高了采用本发明的物联网锁的系统的安全性能，使之可广泛应用于安全要求较高的重要场所。

以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (7)

1.一种带CA数字证书作为入网身份识别的物联网锁，能与物联网设备通信或连接到互联网，其特征在于：

所述物联网锁配置有安全模块，所述安全模块设有一处理器及一存储单元，所述处理器用于随机生成非对称密钥对及进行加解密运算，所述非对称密钥对包括公钥和私钥；所述存储单元用于存储所述非对称密钥对，且所述私钥始终保存于所述安全模块内；

所述安全模块内还包含所述物联网锁的基本信息，所述公钥和所述基本信息导出安全模块后经第三方CA认证中心认证后发放数字证书，所述数字证书包含所述基本信息和签名公钥，用于证明所述签名公钥和与之对应的物联网锁之间的唯一对应关系。

2.如权利要求1所述的带CA数字证书作为入网身份识别的物联网锁，其特征在于：所述安全模块包括一安全芯片，所述安全芯片集成于所述物联网锁中。

3.如权利要求2所述的带CA数字证书作为入网身份识别的物联网锁，其特征在于：所述安全芯片的封装方式包括TF卡封装。

4.如权利要求1-3任一项所述的带CA数字证书作为入网身份识别的物联网锁，其特征在于：所述安全模块支持多种信息安全算法，包括对称算法、非对称算法、杂凑和哈希算法。

5.一种如权利要求1-4任一项所述的物联网锁入网身份识别方法，其特征在于，包括如下步骤：

步骤一，生成密钥对：所述安全模块随机生成非对称密钥对，所述非对称密钥对包括公钥PK和私钥SK；

步骤二，申请数字证书：从所述安全模块导出所述公钥PK和物联网锁的基本信息，发送至权威第三方CA认证中心，CA认证中心经过信息核实无误后，发放数字证书，所述数字证书包含所述物联网锁的基本信息和公钥PK，证明所述公钥PK和与之对应的物联网锁的唯一对应关系；

步骤三，数字证书公开：公开所述物联网锁对应的数字证书；

步骤四，签名/验签：当所述物联网锁向物联网设备或互联网发送信息时，所述安全模块用私钥SK对信息X进行加密签名，接收方收到信息X后用已经公开的所述物联网锁的数字证书上的公钥PK解密信息，从而确认信息X的发送者是否为该数字证书对应的物联网锁。

6.如权利要求5所述的物联网锁入网身份识别方法，其特征在于，所述步骤四中，签名/验签方式为：

所述安全模块用私钥SK加密信息X后发送，接收方用所述数字证书上的公钥PK解密；若解密出明文，则确定消息X的发送者为所述数字证书对应的物联网锁；若不能解密出明文，则确定消息X的发送者不是与所述数字证书对应的物联网锁，或是消息X中途被篡改。

7.如权利要求5所述的物联网锁入网身份识别方法，其特征在于，所述步骤四中，签名/验签方式为：

所述安全模块对信息X进行HASH函数运算，得到值H，然后用私钥SK加密H得到E_SK(H)，之后发送信息X和E_SK(H)；

接收方用所述数字证书上的公钥PK解密E_SK(H)，然后对消息X进行HASH函数运算，得到值H′，之后比较H和H′的值是否相同；

若H和H′的值相同，则确定消息X的发送者为所述数字证书对应的物联网锁；若不相同，则确定消息X的发送者不是与所述数字证书对应的物联网锁，或是消息X中途被篡改。