本發(fā)明涉及信息安全技術(shù)、云計算和物聯(lián)網(wǎng)技術(shù)領(lǐng)域，具體的說是一種物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法。

背景技術(shù)：

近年來，物聯(lián)網(wǎng)技術(shù)發(fā)展迅速，對農(nóng)業(yè)、工業(yè)、服務(wù)業(yè)等人類社會基本業(yè)態(tài)都產(chǎn)生了深遠影響，對整個人類社會的生產(chǎn)和生活方式帶來深遠變革。物聯(lián)網(wǎng)技術(shù)通過實時采集來自傳感設(shè)備的信息，實現(xiàn)對設(shè)備的識別、監(jiān)控、定位、連接、跟蹤以及管理，讓設(shè)備、網(wǎng)絡(luò)和交互變得更加智能。物聯(lián)網(wǎng)技術(shù)已從單純技術(shù)上升到一種新經(jīng)濟形態(tài)。

物聯(lián)網(wǎng)中存在海量的智能終端設(shè)備，其產(chǎn)生的數(shù)據(jù)量也規(guī)模巨大，云計算技術(shù)的推廣普及和云基礎(chǔ)設(shè)施及平臺的建設(shè)，使得這些海量終端的實時動態(tài)管理以及智能分析變得可能。隨著各類接入智能終端設(shè)備的增多，出現(xiàn)了許多適合物聯(lián)網(wǎng)領(lǐng)域的標(biāo)準(zhǔn)協(xié)議，例如mqtt、tr-069、jt-808協(xié)議等。這些協(xié)議大多通過數(shù)字證書來完成終端設(shè)備與云中心的身份認(rèn)證，并基于數(shù)字證書來保證終端設(shè)備與云中心的信道安全。在這種情況下，如何將數(shù)字證書發(fā)放到海量的傳感終端，一方面，如何能夠保證物聯(lián)網(wǎng)終端的數(shù)字證書在線簽發(fā)的合法性；另一方面，如何保證物聯(lián)網(wǎng)終端產(chǎn)生的密鑰強度能夠滿足實際安全需求，這些都成為物聯(lián)網(wǎng)技術(shù)發(fā)展過程中亟需解決的問題。

技術(shù)實現(xiàn)要素：

本發(fā)明針對目前技術(shù)發(fā)展的需求和不足之處，提供一種物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法。

本發(fā)明所述一種物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法，解決上述技術(shù)問題采用的技術(shù)方案如下：所述物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法，該數(shù)字證書簽發(fā)系統(tǒng)的架構(gòu)主要包括：智能終端設(shè)備、第三方ca認(rèn)證中心和物聯(lián)網(wǎng)云中心，其中，

所述智能終端設(shè)備負責(zé)上傳身份信息數(shù)據(jù)，生成臨時非對稱密鑰并驗證物聯(lián)網(wǎng)云中心的身份，保存數(shù)字證書到本地硬件設(shè)備中；所述物聯(lián)網(wǎng)云中心設(shè)置有智能終端設(shè)備的數(shù)據(jù)中心和服務(wù)中心，提供身份認(rèn)證服務(wù)和密鑰相關(guān)安全認(rèn)證服務(wù)，同時與第三方ca認(rèn)證中心交互；所述第三方ca認(rèn)證中心提供數(shù)字證書簽發(fā)服務(wù)；

所述智能終端設(shè)備生成非對稱密鑰，將其身份信息簽名加密，并上傳到物聯(lián)網(wǎng)云中心，由物聯(lián)網(wǎng)云中心進行身份信息認(rèn)證，再交由第三方ca認(rèn)證中心進行正式簽發(fā)，并傳回智能終端設(shè)備。

優(yōu)選的，所述數(shù)字證書簽發(fā)系統(tǒng)還包括硬件加密設(shè)備，用于生成密鑰對。

優(yōu)選的，所述物聯(lián)網(wǎng)云中心還設(shè)置有注冊庫，通過注冊庫能夠查詢智能終端設(shè)備標(biāo)識，確定智能終端設(shè)備標(biāo)識是否合法。

本發(fā)明所述一種物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法，與現(xiàn)有技術(shù)相比具有的有益效果是：本發(fā)明將物聯(lián)網(wǎng)云中心與第三方ca認(rèn)證中心結(jié)合，提供證書簽發(fā)服務(wù)，根據(jù)物聯(lián)網(wǎng)智能終端設(shè)備的加密方式進行個性化的服務(wù)，既保證了擁有硬件加密芯片的終端的私鑰不被泄露，又解決了采用軟加密方式的終端的密鑰強度問題；整個簽發(fā)過程都是在服務(wù)中心與智能終端設(shè)備之間的管理信道上完成，保證了物聯(lián)網(wǎng)智能終端設(shè)備數(shù)字證書簽發(fā)過程的安全性，也保證了其數(shù)據(jù)通道的安全性。

附圖說明

附圖1為所述物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)的示意圖；

附圖2為智能終端設(shè)備的數(shù)字證書簽發(fā)的流程圖。

具體實施方式

為使本發(fā)明的目的、技術(shù)方案和優(yōu)點更加清楚明白，以下結(jié)合具體實施例，對本發(fā)明所述一種物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法進一步詳細說明。

為了解決物聯(lián)網(wǎng)智能終端設(shè)備的數(shù)字證書簽發(fā)問題，本發(fā)明提出了一種物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)和方法，將物聯(lián)網(wǎng)云中心與第三方ca認(rèn)證中心結(jié)合，提供證書簽發(fā)服務(wù)，根據(jù)物聯(lián)網(wǎng)智能終端設(shè)備的加密方式進行個性化的服務(wù)，既保證了擁有硬件加密芯片的終端的私鑰不被泄露，保證物聯(lián)網(wǎng)智能終端設(shè)備數(shù)字證書簽發(fā)過程的安全性，又解決了采用軟加密方式的終端的密鑰強度問題。

實施例：

本實施例所述物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)，如附圖1所示，該數(shù)字證書簽發(fā)系統(tǒng)的架構(gòu)主要包括：智能終端設(shè)備、第三方ca認(rèn)證中心和物聯(lián)網(wǎng)云中心，其中所述智能終端設(shè)備負責(zé)上傳身份信息數(shù)據(jù)，生成臨時非對稱密鑰并驗證物聯(lián)網(wǎng)云中心的身份，保存數(shù)字證書到本地硬件設(shè)備中；所述物聯(lián)網(wǎng)云中心設(shè)置有智能終端設(shè)備的數(shù)據(jù)中心和服務(wù)中心，提供身份認(rèn)證服務(wù)和密鑰相關(guān)安全認(rèn)證服務(wù)，同時與第三方ca認(rèn)證中心交互；所述第三方ca認(rèn)證中心提供數(shù)字證書簽發(fā)服務(wù)；

所述智能終端設(shè)備生成非對稱密鑰，將其身份信息簽名加密，并上傳到物聯(lián)網(wǎng)云中心，由物聯(lián)網(wǎng)云中心進行身份信息認(rèn)證，再交由第三方ca認(rèn)證中心進行正式簽發(fā)，并傳回智能終端設(shè)備。

該數(shù)字證書簽發(fā)系統(tǒng)還包括硬件加密設(shè)備，用于生成密鑰對。所述物聯(lián)網(wǎng)云中心還設(shè)置有注冊庫，通過注冊庫能夠查詢智能終端設(shè)備標(biāo)識，確定智能終端設(shè)備標(biāo)識是否合法。物聯(lián)網(wǎng)云中心的服務(wù)中心與智能終端設(shè)備之間建立管理信道用于交互通信；并且獲得證書后，數(shù)據(jù)中心與智能終端設(shè)備之間通過數(shù)據(jù)信道進行數(shù)據(jù)處理結(jié)果的傳輸。

采用上述物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)系統(tǒng)，在智能終端設(shè)備、第三方ca認(rèn)證中心和物聯(lián)網(wǎng)云中心構(gòu)成的數(shù)字證書簽發(fā)系統(tǒng)下，進行智能終端設(shè)備的數(shù)字證書簽發(fā)，如附圖2所示，其實現(xiàn)過程具體包括如下步驟：

步驟一，智能終端設(shè)備向物聯(lián)網(wǎng)云中心提出數(shù)字證書申請請求；

步驟二，物聯(lián)網(wǎng)云中心生成申請?zhí)枴⒁淮涡哉J(rèn)證碼和申請?zhí)栍行?，并對其進行數(shù)字簽名，發(fā)送到智能終端設(shè)備；

步驟三，智能終端設(shè)備驗證數(shù)字簽名；

步驟四，若智能終端設(shè)備包含加密芯片，則由硬件加密設(shè)備生成密鑰對—公鑰pubkey、私鑰prikey，標(biāo)識其為硬加密設(shè)備終端，連同申請?zhí)枴⒁淮涡哉J(rèn)證碼、申請?zhí)栍行凇⒅悄芙K端設(shè)備標(biāo)識以及生產(chǎn)的公鑰pubkey，使用其私鑰prikey進行數(shù)字簽名生成申請書；

若智能終端設(shè)備不包含加密芯片，則由智能終端設(shè)備利用軟算法生成密鑰對—公鑰tmppubkey、私鑰tmpprikey，標(biāo)識其為軟加密設(shè)備終端，并連同申請?zhí)?、一次性認(rèn)證碼、申請?zhí)栍行凇⒅悄芙K端設(shè)備標(biāo)識以及生成的公鑰tmppubkey，使用其私鑰tmpprikey進行數(shù)字簽名生成申請書；

步驟五，智能終端設(shè)備將申請書發(fā)送到物聯(lián)網(wǎng)云中心；

步驟六，物聯(lián)網(wǎng)云中心驗證申請書的數(shù)字簽名，比對申請?zhí)柡鸵淮涡哉J(rèn)證碼內(nèi)容，確定申請合法性，并在物聯(lián)網(wǎng)云中心注冊庫中查詢智能終端設(shè)備標(biāo)識，確定設(shè)備標(biāo)識是否合法；

步驟七、若智能終端設(shè)備采用硬加密方式，則直接根據(jù)其標(biāo)識信息和公鑰向第三方ca認(rèn)證中心提出數(shù)字證書單證書申請；

若智能終端設(shè)備采用軟加密方式，則根據(jù)其標(biāo)識信息和公鑰向第三方ca認(rèn)證中心提出數(shù)字證書雙證書申請；

步驟八，第三方ca認(rèn)證中心根據(jù)申請證書類型和智能終端設(shè)備產(chǎn)生的公鑰簽發(fā)相應(yīng)的數(shù)字證書，其中，單證書類型返回一張數(shù)字證書cert；雙證書類型返回兩張數(shù)字證書（cert1、cert2）和加密后的私鑰encprikey，密鑰管理中心的硬件加密設(shè)備生成公鑰kmcpubkey、私鑰kmcprikey，使用智能終端設(shè)備提供的公鑰tmppubkey對私鑰kmcprikey進行加密得到私鑰encprikey，并與另一張數(shù)字證書cert2的公鑰kmcpubkey對應(yīng)；

步驟九，物聯(lián)網(wǎng)云中心收到第三方ca認(rèn)證中心簽發(fā)的數(shù)字證書，發(fā)送給智能終端設(shè)備；

步驟十，若智能終端設(shè)備采用硬加密方式，則將接收的證書cert導(dǎo)入到加密芯片中；若智能終端設(shè)備采用軟加密方式，則接收到的結(jié)果為數(shù)字證書（cert1、cert2）和加密后的私鑰encprikey，使用本地軟生成的私鑰tmpprikey將私鑰encprikey解密，得到私鑰kmcprikey，將kmcprikey和數(shù)字證書cert2保存到本地，丟棄數(shù)字證書cert1；

步驟十一，上述通信都是在管理信道中進行，獲得證書后，進行數(shù)據(jù)處理則通過數(shù)據(jù)信道進行傳輸。

所述步驟八中，所述第三方ca認(rèn)證中心簽發(fā)的數(shù)字證書采用算法sm2和sm3，證書簽名算法為sm3sm2。

可見，本實施例所述物聯(lián)網(wǎng)終端數(shù)字證書簽發(fā)方法，軟加密終端的密鑰由密鑰管理中心的硬件加密設(shè)備生成，并通過終端生成的臨時密鑰對進行保護，報了其密鑰強度。另外，物聯(lián)網(wǎng)云中心通過一次性認(rèn)證碼、申請?zhí)栍行冢Ⅱ炞C智能終端設(shè)備標(biāo)識，來實現(xiàn)智能終端設(shè)備的認(rèn)證，同時整個簽發(fā)過程都是在管理信道上完成，保證了智能終端設(shè)備數(shù)字證書簽發(fā)過程的安全性，也保證了其數(shù)據(jù)通道的安全性。

具體實施方式僅是本發(fā)明的具體個案，本發(fā)明的專利保護范圍包括但不限于上述具體實施方式，任何符合本發(fā)明的權(quán)利要求書的且任何所屬技術(shù)領(lǐng)域的普通技術(shù)人員對其所做的適當(dāng)變化或替換，皆應(yīng)落入本發(fā)明的專利保護范圍。