一种NB-IOT物联网终端安全接入系统及接入方法与流程

一种nb-iot物联网终端安全接入系统及接入方法
技术领域
1.本发明涉及一种nb-iot物联网终端安全接入系统及接入方法，属于物联终端安全接入技术领域。


背景技术：

2.nb-iot技术作为5g的先行者，具有低功耗、强连接、深覆盖、低成本等优点，目前已在全国基本实现全覆盖，在各行业得到了广泛应用。但是nb-iot在实际应用中也存在潜在风险，主要体现在：（1）使用nb-iot的终端大多部署于露天、无人看守等安全性较低的户外环境，存在被替换或非法接入的风险；（2）使用nb-iot的终端多为计算、存储、供电等能力较弱的弱资源终端，自身安全防护能力较弱，极易被攻破，造成拒绝服务攻击；（3）nb-iot完全借助于运营商提供的公共无线信道，存在敏感信息泄露的风险。
3.现有nb-iot终端的接入过程涉及nb-iot终端、运营商物联网平台和业务主站三类实体，nb-iot终端向业务主站传输数据的过程包括两个阶段：1） nb-iot终端与运营商物联网平台基于dtls协议建立安全数据传输通道，将数据加密后发送至物联网平台；2） 物联网平台将数据解密，并与业务主站基于ssl/tls协议建立安全通道，重新将数据加密后发送至业务主站。反之，业务主站向nb-iot终端发送指令的过程类似。
4.现有技术通过安全协议所包含的认证和加密机制，在一定程度上提升了终端接入和数据传输的安全性，但是仍存在如下不足：（1）未对终端进行安全防护，仍然存在终端非法接入的风险；（2）dtls密钥协商和身份认证流程复杂，需要交互大量数据包，网络通信效率较低；（3）数据在运营商物联网平台先解密再加密转发存在泄露的风险。


技术实现要素：

5.本发明所要解决的技术问题是提供一种nb-iot物联网终端安全接入系统，不仅能提升终端自身安全防护能力，而且能实现数据加密下的安全传输。
6.本发明为了解决上述技术问题采用以下技术方案：本发明设计了一种nb-iot物联网终端安全接入系统，包括运营商物联网平台、布设于用户现场的各个安全nb-iot物联网终端、以及布设于业务企业内网的nb-iot安全接入网关、安全认证系统、业务主站；其中，nb-iot安全接入网关部署于业务企业内网中的边界安全接入区，安全认证系统部署于业务企业内网中的安全基础设施区；nb-iot安全接入网关分别连接业务主站、安全认证系统进行通信；各个安全nb-iot物联网终端分别经运营商物联网平台对接业务企业内网中的nb-iot安全接入网关进行通信；各个安全nb-iot物联网终端分别用于对现场数据进行采集、以及对发送接收数据
的加解密；nb-iot安全接入网关用于实现与安全nb-iot物联网终端之间安全数据传输通道的建立、以及对安全nb-iot物联网终端进行身份认证、对传输数据进行加解密；安全认证系统用于来自安全nb-iot物联网终端和nb-iot安全接入网关的终端证书的申请进行审核、并将终端证书分发给相应nb-iot物联网终端和nb-iot安全接入网关，同时安全认证系统用于对终端证书的时效性和合法性进行验证；各个安全nb-iot物联网终端基于nb-iot安全接入网关的身份认证、以及安全认证系统的审核与验证，进而实现与业务主站之间的业务数据通信。
7.作为本发明的一种优选技术方案：还包括布设于业务企业内网中安全基础设施区的统一管理与监测系统，nb-iot安全接入网关连接统一管理与监测系统进行通信；由统一管理与监测系统用于针对各安全nb-iot物联网终端和nb-iot安全接入网关的运行状态、在线/离线状态、安全状态进行实时监控。
8.作为本发明的一种优选技术方案：所述各安全nb-iot物联网终端的结构彼此相同，各安全nb-iot物联网终端分别均包括数据采集模块、安全检测模块、安全通信模块、以及硬件密码模块；其中，数据采集模块与安全检查模块相连进行通信，数据采集模块用于对现场数据进行采集、以及用于接收来自业务主站下发的控制指令进行工作，并将采集所获数据转发到安全检查模块；安全检查模块用于对来自数据采集模块的数据和来自业务主站下发的控制指令进行格式检查和内容检查，过滤预设非法数据，并继续向安全通信模块或数据采集模块发送；安全通信模块分别与安全检查模块和硬件密码模块相连进行通信，安全通信模块调用所连硬件密码模块所提供的加解密安全服务对来自安全检查模块过滤后的数据进行安全保护，并向运营商物联网平台发送，以及安全通信模块调用所连硬件密码模块所提供的加解密安全服务对自业务主站下发的控制指令解除安全保护，并向安全检查模块发送。
9.作为本发明的一种优选技术方案：所述nb-iot安全接入网关包括安全接入服务模块、安全过滤模块、数据转发模块、硬件密码模块；安全接入服务模块分别与安全过滤模块和硬件密码模块相连进行通信，由安全接入服务模块读取存储在所连硬件密码模块中各安全nb-iot物联网终端对应的终端证书列表，验证安全nb-iot物联网终端的身份；并且由安全接入服务模块调用所连硬件密码模块所提供的加解密安全服务、针对来自安全nb-iot物联网终端的数据进行解密，并转发给安全过滤模块；以及由安全接入服务模块调用所连硬件密码模块所提供的加解密安全服务、针对自业务主站下发的控制指令进行加密；安全过滤模块分别与数据转发模块和硬件密码模块相连进行通信，由安全过滤模块读取存储在所连硬件密码模块中的安全策略文件，针对来自安全接入服务模块的数据和自业务主站下发、来自数据转发模块的控制指令，依据安全策略文件中过滤策略进行格式和内容检查，将符合策略的进行转发，不符合策略进行丢弃；数据转发模块用于将经过安全过滤模块过滤的数据转发给业务主站，以及数据转发模块用于将自业务主站下发的控制指令转发给安全过滤模块。
10.作为本发明的一种优选技术方案：所述运营商物联网平台包括交换机与物联网平
台，各个安全nb-iot物联网终端分别经nb-iot网络对接运营商物联网平台中的交换机，并经该交换机分别对接物联网平台、以及业务企业内网；业务企业内网中还包括第一交换机与第二交换机，各安全nb-iot物联网终端分别经运营商物联网平台中的交换机后、通过公共有线网络对接业务企业内网中的第一交换机，并经该第一交换机通过企业局域网对接nb-iot安全接入网关进行通信，同时nb-iot安全接入网关通过企业局域网经第二交换机分别对接统一管理与监测系统、业务主站、安全认证系统进行通信。
11.与上述相对应，本发明还要解决的技术问题是提供一种nb-iot物联网终端安全接入系统的接入方法，设计具体认证加密通信逻辑，不仅提升终端认证安全性，而且实现数据加密下的安全高效传输。
12.本发明为了解决上述技术问题采用以下技术方案：本发明设计了一种nb-iot物联网终端安全接入系统的接入方法，基于以下四点初始化操作，然后执行如下步骤i至步骤v，实现安全nb-iot物联网终端的身份认证、以及会话密钥的确认；1）初始化各安全nb-iot物联网终端中安全通信模块的唯一标识和硬件密码模块的唯一标识，组合作为各安全nb-iot物联网终端的终端可信标识，实现各安全nb-iot物联网终端的终端证书分别与其终端可信标识的一一对应；2）初始化将各安全nb-iot物联网终端的终端证书预先存储到nb-iot安全接入网关的硬件密码模块中终端证书列表中，不同安全nb-iot物联网终端的终端证书用通过终端可信标识进行区分；3）初始化各安全nb-iot物联网终端分别获得自身的公私钥对、以及nb-iot安全接入网关的公钥，并分别存储到对应安全nb-iot物联网终端中的硬件密码模块中；4）初始化各安全nb-iot物联网终端分别向nb-iot安全接入网关发送的连接请求中包含对应终端可信标识；步骤i. 安全nb-iot物联网终端调用其硬件密码模块生成随机数r
t
，并应用nb-iot安全接入网关的公钥dg进行加密，再结合通信序列号sn与终端可信标识id
t
，调用其硬件密码模块中的哈希算法h生成散列，然后应用安全nb-iot物联网终端的私钥dt进行签名，发送至nb-iot安全接入网关请求身份认证，并进入步骤ii；步骤ii. nb-iot安全接入网关针对所接收到的终端可信标识id
t
，基于各安全nb-iot物联网终端的终端证书分别与其终端可信标识的一一对应，不同安全nb-iot物联网终端的终端证书用通过终端可信标识进行区分，在nb-iot安全接入网关的硬件密码模块中的终端证书列表中查找相应终端证书，并验证终端证书的有效性，若验证通过，则进入步骤iii；若验证不通过，则nb-iot安全接入网关将验证结果返回至安全nb-iot物联网终端，网络连接终止；步骤iii. nb-iot安全接入网关应用安全nb-iot物联网终端的公钥p
t
验证签名信息，并应用nb-iot安全接入网关的私钥pg解密获得其中的随机数r
t
，然后nb-iot安全接入网关调用其硬件密码模块生成随机数rs，并应用安全nb-iot物联网终端的公钥p
t
进行加密、返回至安全nb-iot物联网终端，同时nb-iot安全接入网关将rs和r
t
合成会话密钥rs∧r
t
，并调用其硬件密码模块的哈希算法进行哈希运算，再进入步骤iv；步骤iv. 安全nb-iot物联网终端使用所获rs和r
t
合成会话密钥rs∧r
t
，并调用其硬件密码模块的哈希算法进行哈希运算后，再应用nb-iot安全接入网关的公钥dg加密、并
发送给nb-iot安全接入网关进行会话密钥确认，进入步骤v；步骤v. nb-iot安全接入网关使用私钥pg解密信息获得解密结果，并验证判断解密结果是否与步骤iii中会话密钥rs∧r
t
的哈希运算结果相一致，是则确认该会话密钥为安全nb-iot物联网终端与nb-iot安全接入网关之间的会话密钥；否则nb-iot安全接入网关将验证结果返回至安全nb-iot物联网终端，网络连接终止。
13.作为本发明的一种优选技术方案：基于步骤v中安全nb-iot物联网终端与nb-iot安全接入网关之间会话密钥的确认，按如下步骤a至步骤f，实现安全nb-iot物联网终端与nb-iot安全接入网关之间安全通道的建立；步骤a. 安全nb-iot物联网终端与运营商物联网平台建立网络连接，由安全nb-iot物联网终端将其与nb-iot安全接入网关的连接请求发送给运营商物联网平台，然后由运营商物联网平台将连接请求转发给nb-iot安全接入网关，再进入步骤b；步骤b. nb-iot安全接入网关获得连接请求中安全nb-iot物联网终端的终端可信标识，然后基于各安全nb-iot物联网终端的终端证书分别与其终端可信标识的一一对应，不同安全nb-iot物联网终端的终端证书用通过终端可信标识进行区分，在nb-iot安全接入网关的硬件密码模块中的终端证书列表中查找相应终端证书，若查到则进入步骤c；若查不到判定接入失败；步骤c. nb-iot安全接入网关调用所连安全认证系统，验证所查找到的终端证书是否有效，是则进入步骤d；否则判定接入失败；步骤d. nb-iot安全接入网关应用自身私钥对连接请求进行解密获得其中的随机数r
t
，并生成随机数rs，应用安全nb-iot物联网终端的公钥加密、经运营商物联网平台转发安全nb-iot物联网终端，然后进入步骤e；步骤e. 安全nb-iot物联网终端应用其私钥进行解密获得rs，然后应用nb-iot安全接入网关的公钥，针对rs与r
t
融合后的会话密钥进行加密，并经运营商物联网平台转发至nb-iot安全接入网关，然后进入步骤f；步骤f. nb-iot安全接入网关解密获得会话密钥，并验证判断该会话密钥与对应会话密钥对比是否一致，是则安全nb-iot物联网终端经nb-iot安全接入网关与业务主站进行加密通信；否则判定接入失败。
14.本发明所述一种nb-iot物联网终端安全接入系统及接入方法，采用以上技术方案与现有技术相比，具有以下技术效果：本发明所设计一种nb-iot物联网终端安全接入系统，采用全新模块结构设计，通过安全nb-iot物联网终端，提升终端自身的安全防护能力，并结合nb-iot安全接入网关，实现对安全nb-iot物联网终端的身份认证，以及构建安全传输通道，确保数据的全过程加密传输，此外设计接入方法，通过优化认证及密钥协商流程，在确保适度安全的前提下，实现了数据的高效、安全传输；整个设计不仅确保了安全nb-iot物联网终端自身的安全性，也能够防止业务数据经过物联网平台中转时泄漏或者被篡改，从而保障业务系统免受干扰、破坏或者未经授权的访问。
附图说明
15.图1是本发明设计nb-iot物联网终端安全接入系统的架构示意图；
图2是本发明设计中安全nb-iot物联网终端的架构示意图；图3是本发明设计中nb-iot安全接入网关的架构示意图；图4是本发明设计中安全nb-iot物联网终端的身份认证、以及会话密钥确认的流程图；图5是本发明设计中安全nb-iot物联网终端与nb-iot安全接入网关之间安全通道建立的流程图。
具体实施方式
16.下面结合说明书附图对本发明的具体实施方式作进一步详细的说明。
17.本发明设计了一种nb-iot物联网终端安全接入系统，如图1所示，实际应用当中，具体设计包括运营商物联网平台、布设于用户现场的各个安全nb-iot物联网终端、以及布设于业务企业内网的nb-iot安全接入网关、安全认证系统、业务主站、统一管理与监测系统。
18.其中，nb-iot安全接入网关部署于业务企业内网中的边界安全接入区，安全认证系统与统一管理与监测系统部署于业务企业内网中的安全基础设施区；nb-iot安全接入网关分别连接业务主站、安全认证系统、统一管理与监测系统进行通信；各个安全nb-iot物联网终端分别经运营商物联网平台对接业务企业内网中的nb-iot安全接入网关进行通信。
19.各个安全nb-iot物联网终端分别用于对现场数据进行采集、以及对发送接收数据的加解密；nb-iot安全接入网关用于实现与安全nb-iot物联网终端之间安全数据传输通道的建立、以及对安全nb-iot物联网终端进行身份认证、对传输数据进行加解密；安全认证系统用于来自安全nb-iot物联网终端和nb-iot安全接入网关的终端证书的申请进行审核、并将终端证书分发给相应nb-iot物联网终端和nb-iot安全接入网关，同时安全认证系统用于对终端证书的时效性和合法性进行验证；各个安全nb-iot物联网终端基于nb-iot安全接入网关的身份认证、以及安全认证系统的审核与验证，进而实现与业务主站之间的业务数据通信；统一管理与监测系统用于针对各安全nb-iot物联网终端和nb-iot安全接入网关的运行状态（如cpu利用率、内存占用率、存储使用率等）、在线/离线状态、安全状态进行实时监控。
20.关于各装置模块的具体结构设计中，各安全nb-iot物联网终端的结构彼此相同，如图2所示，各安全nb-iot物联网终端分别均包括数据采集模块、安全检测模块、安全通信模块、以及硬件密码模块；其中，数据采集模块与安全检查模块相连进行通信，数据采集模块用于对现场数据进行采集、以及用于接收来自业务主站下发的控制指令进行工作，并将采集所获数据转发到安全检查模块；安全检查模块用于对来自数据采集模块的数据和来自业务主站下发的控制指令进行格式检查和内容检查，过滤预设非法数据，并继续向安全通信模块或数据采集模块发送；安全通信模块分别与安全检查模块和硬件密码模块相连进行通信，安全通信模块调用所连硬件密码模块所提供的加解密安全服务对来自安全检查模块过滤后的数据进行安全保护，并向运营商物联网平台发送，以及安全通信模块调用所连硬件密码模块所提供的加解密安全服务对自业务主站下发的控制指令解除安全保护，并向安全检查模块发送；硬件密码模块通过api接口为安全通信模块提供加解密、hash运算、签名、验证签名、随机数生成等服务，为密钥、安全策略文件、数字证书等提供安全存储，同时作为
终端的安全可信标识的组成部分。
21.如图3所示，具体设计nb-iot安全接入网关包括安全接入服务模块、安全过滤模块、数据转发模块、硬件密码模块；其中，安全接入服务模块分别与安全过滤模块和硬件密码模块相连进行通信，由安全接入服务模块读取存储在所连硬件密码模块中各安全nb-iot物联网终端对应的终端证书列表，验证安全nb-iot物联网终端的身份；并且由安全接入服务模块调用所连硬件密码模块所提供的加解密安全服务、针对来自安全nb-iot物联网终端的数据进行解密，并转发给安全过滤模块；以及由安全接入服务模块调用所连硬件密码模块所提供的加解密安全服务、针对自业务主站下发的控制指令进行加密；安全过滤模块分别与数据转发模块和硬件密码模块相连进行通信，由安全过滤模块读取存储在所连硬件密码模块中的安全策略文件，针对来自安全接入服务模块的数据和自业务主站下发、来自数据转发模块的控制指令，依据安全策略文件中过滤策略进行格式和内容检查，将符合策略的进行转发，不符合策略进行丢弃；数据转发模块用于将经过安全过滤模块过滤的数据转发给业务主站，以及数据转发模块用于将自业务主站下发的控制指令转发给安全过滤模块；硬件密码模块通过api接口为安全接入服务模块提供加解密、hash运算、签名、验证签名、随机数生成等服务，同时为密钥、安全策略文件、数字证书等提供安全存储。
22.将上述所设设计nb-iot物联网终端安全接入系统应用于实际当中，如图1所示，运营商物联网平台包括交换机与物联网平台，各个安全nb-iot物联网终端分别经nb-iot网络对接运营商物联网平台中的交换机，并经该交换机分别对接物联网平台、以及业务企业内网；业务企业内网中还包括第一交换机与第二交换机，各安全nb-iot物联网终端分别经运营商物联网平台中的交换机后、通过公共有线网络对接业务企业内网中的第一交换机，并经该第一交换机通过企业局域网对接nb-iot安全接入网关进行通信，同时nb-iot安全接入网关通过企业局域网经第二交换机分别对接统一管理与监测系统、业务主站、安全认证系统进行通信。
23.基于上述所设计nb-iot物联网终端安全接入系统，实际应用当中，进一步设计具体接入方法，基于以下四点初始化操作，然后按图4所示，执行如下步骤i至步骤v，实现安全nb-iot物联网终端的身份认证、以及会话密钥的确认。
24.1）初始化各安全nb-iot物联网终端中安全通信模块的唯一标识和硬件密码模块的唯一标识，组合作为各安全nb-iot物联网终端的终端可信标识，实现各安全nb-iot物联网终端的终端证书分别与其终端可信标识的一一对应。
25.2）初始化将各安全nb-iot物联网终端的终端证书预先存储到nb-iot安全接入网关的硬件密码模块中终端证书列表中，不同安全nb-iot物联网终端的终端证书用通过终端可信标识进行区分。
26.3）初始化各安全nb-iot物联网终端分别获得自身的公私钥对、以及nb-iot安全接入网关的公钥，并分别存储到对应安全nb-iot物联网终端中的硬件密码模块中。
27.4）初始化各安全nb-iot物联网终端分别向nb-iot安全接入网关发送的连接请求中包含对应终端可信标识。
28.步骤i. 安全nb-iot物联网终端调用其硬件密码模块生成随机数r
t
，并应用nb-iot安全接入网关的公钥dg进行加密，再结合通信序列号sn与终端可信标识id
t
，调用其硬件密码模块中的哈希算法h生成散列，然后应用安全nb-iot物联网终端的私钥dt进行签名，
发送至nb-iot安全接入网关请求身份认证，并进入步骤ii。
29.步骤ii. nb-iot安全接入网关针对所接收到的终端可信标识id
t
，基于各安全nb-iot物联网终端的终端证书分别与其终端可信标识的一一对应，不同安全nb-iot物联网终端的终端证书用通过终端可信标识进行区分，在nb-iot安全接入网关的硬件密码模块中的终端证书列表中查找相应终端证书，并验证终端证书的有效性，若验证通过，则进入步骤iii；若验证不通过，则nb-iot安全接入网关将验证结果返回至安全nb-iot物联网终端，网络连接终止。
30.步骤iii. nb-iot安全接入网关应用安全nb-iot物联网终端的公钥p
t
验证签名信息，并应用nb-iot安全接入网关的私钥pg解密获得其中的随机数r
t
，然后nb-iot安全接入网关调用其硬件密码模块生成随机数rs，并应用安全nb-iot物联网终端的公钥p
t
进行加密、返回至安全nb-iot物联网终端，同时nb-iot安全接入网关将rs和r
t
合成会话密钥rs∧r
t
，并调用其硬件密码模块的哈希算法进行哈希运算，再进入步骤iv。
31.步骤iv. 安全nb-iot物联网终端使用所获rs和r
t
合成会话密钥rs∧r
t
，并调用其硬件密码模块的哈希算法进行哈希运算后，再应用nb-iot安全接入网关的公钥dg加密、并发送给nb-iot安全接入网关进行会话密钥确认，进入步骤v。
32.步骤v. nb-iot安全接入网关使用私钥pg解密信息获得解密结果，并验证判断解密结果是否与步骤iii中会话密钥rs∧r
t
的哈希运算结果相一致，是则确认该会话密钥为安全nb-iot物联网终端与nb-iot安全接入网关之间的会话密钥；否则nb-iot安全接入网关将验证结果返回至安全nb-iot物联网终端，网络连接终止。
33.实际应用当中，基于步骤v中安全nb-iot物联网终端与nb-iot安全接入网关之间会话密钥的确认，进一步按图5所示，执行如下步骤a至步骤f，实现安全nb-iot物联网终端与nb-iot安全接入网关之间安全通道的建立。
34.步骤a. 安全nb-iot物联网终端与运营商物联网平台建立网络连接，由安全nb-iot物联网终端将其与nb-iot安全接入网关的连接请求发送给运营商物联网平台，然后由运营商物联网平台将连接请求转发给nb-iot安全接入网关，再进入步骤b。
35.步骤b. nb-iot安全接入网关获得连接请求中安全nb-iot物联网终端的终端可信标识，然后基于各安全nb-iot物联网终端的终端证书分别与其终端可信标识的一一对应，不同安全nb-iot物联网终端的终端证书用通过终端可信标识进行区分，在nb-iot安全接入网关的硬件密码模块中的终端证书列表中查找相应终端证书，若查到则进入步骤c；若查不到判定接入失败。
36.步骤c. nb-iot安全接入网关调用所连安全认证系统，验证所查找到的终端证书是否有效，是则进入步骤d；否则判定接入失败。
37.步骤d. nb-iot安全接入网关应用自身私钥对连接请求进行解密获得其中的随机数r
t
，并生成随机数rs，应用安全nb-iot物联网终端的公钥加密、经运营商物联网平台转发安全nb-iot物联网终端，然后进入步骤e。
38.步骤e. 安全nb-iot物联网终端应用其私钥进行解密获得rs，然后应用nb-iot安全接入网关的公钥，针对rs与r
t
融合后的会话密钥进行加密，并经运营商物联网平台转发至nb-iot安全接入网关，然后进入步骤f。
39.步骤f. nb-iot安全接入网关解密获得会话密钥，并验证判断该会话密钥与对应
会话密钥对比是否一致，是则安全nb-iot物联网终端经nb-iot安全接入网关与业务主站进行加密通信；否则判定接入失败。
40.上述技术方案所设计一种nb-iot物联网终端安全接入系统，采用全新模块结构设计，通过安全nb-iot物联网终端，提升终端自身的安全防护能力，并结合nb-iot安全接入网关，实现对安全nb-iot物联网终端的身份认证，以及构建安全传输通道，确保数据的全过程加密传输，此外设计接入方法，通过优化认证及密钥协商流程，在确保适度安全的前提下，实现了数据的高效、安全传输；整个设计不仅确保了安全nb-iot物联网终端自身的安全性，也能够防止业务数据经过物联网平台中转时泄漏或者被篡改，从而保障业务系统免受干扰、破坏或者未经授权的访问。
41.上面结合附图对本发明的实施方式作了详细说明，但是本发明并不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。