基于设备指纹的传感终端安全保障方法、装置、设备及介质

技术领域

本发明涉及物联网技术领域，具体涉及一种基于设备指纹的传感终端安全保障方法、装置、设备及介质。

背景技术

随着物联网技术及应用的发展，对信息感知的深度、广度和密度提出了更高要求，传感终端部署环境越来越多样。当前数据价值日益凸显，传感终端作为数据获取的源头，必须保证数据的机密性和有效性。现有的传感终端与接入终端之间的无线网络通信安全主要通过集成安全芯片来保障，尽管传感终端在数据传输中能够进行身份认证以保证数据传输双方的安全性，避免机密数据被窃取。但是其在身份认证时会通过网络传输密钥或者生成密钥的关键参数，以使接入终端能够从中解密出密钥进行数据解密。恶意终端则可以攻击该认证请求并对其进行暴力破解以窃取到认证信息或密钥，进而利用窃取到的身份信息伪装成传感终端或者接入节点，进而窃取机密数据或向网络发送不实数据，影响了数据的机密性和有效性。同时，对于低成本、低功耗的传感终端来说，集成安全芯片易导致传感终端成本及功耗加倍，且其处理器RAM资源多为64KB或128KB，FLASH资源多为128MB或256MB，软件资源不足以处理SM4、AES128等成熟的加密算法，只能应用轻量级软件实现的加密算法满足传感终端计算、存储和功耗要求，但会影响数据的机密性。

发明内容

有鉴于此，本发明实施例提供了一种基于设备指纹的传感终端安全保障方法、装置、设备及介质，以解决低成本、低功耗传感终端难以保证数据机密性以及有效性的问题。

根据第一方面，本发明实施例提供了一种基于设备指纹的传感终端安全保障方法，用于传感终端，包括：获取待入网传感终端生成的认证信息；查询所述待入网传感终端的设备指纹，获取第一加密密钥，所述设备指纹存储在所述待入网传感终端本地；通过所述第一加密密钥对所述认证信息进行加密，生成认证请求报文，所述认证请求报文中携带有待入网传感终端标识、所述第一加密密钥对应的第一加密参数；将所述认证请求报文发送至接入终端；接收所述接入终端发送的认证响应报文，所述认证响应报文中携带有第二加密参数，所述第二加密参数与所述第一加密参数不同；基于所述第二加密参数查询所述设备指纹，确定对应于所述第二加密参数的解密密钥；通过所述解密密钥对所述认证响应报文进行解密，验证认证响应信息，确定身份认证是否成功。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，在待入网传感终端本地存储有待入网传感终端的设备指纹，认证信息的以及认证响应的解密密钥无需通过网络进行传输，且在无待入网传感终端设备指纹时无法根据认证报文中传输的信息破译出解密密钥，待入网传感终端能够根据本地存储的设备指纹进行解密，由此保证了身份认证过程的安全性，从而避免恶意终端攻击身份认证过程而影响后续数据传输的机密性和有效性。同时，待入网传感终端仅需要存储和处理能够用于加解密的设备指纹即可，且无需应用复杂的加密算法，从而降低了处理器RAM以及FLASH等硬件资源的使用成本，降低了待入网传感终端的处理功耗。第一加密参数和第二加密参数不同，其对应的加密密钥不同，通过待入网传感终端验证认证响应信息是否正确，能够避免恶意终端伪装成接入终端向待入网传感终端发送认证响应报文，实现待入网传感终端对接入终端的认证。

结合第一方面，在第一方面的第一实施方式中，所述设备指纹由所述待入网传感终端唯一确定，用于待入网传感终端的身份认证，所述设备指纹用于提取多个密钥位置以及与所述密钥位置对应的密钥对；所述密钥对包括加密密钥以及所述加密密钥对应的加密参数。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，即使恶意终端能够获取到加密参数，但是在其无设备指纹的情况下，仍难以恢复出加密密钥，由此保证了身份认证过程的安全性。

结合第一方面第一实施方式，在第一方面的第二实施方式中，所述通过所述第一加密密钥对所述认证信息进行加密，生成认证请求报文，包括：从所述设备指纹中随机选择第一密钥位置及其对应的第一密钥对；采用所述第一密钥对中的第一密钥加密所述认证信息，并将所述第一密钥位置、所述待入网传感终端标识以及所述第一密钥对应的第一加密参数封装在所述认证信息对应的报文报头中，得到所述认证请求报文。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，采用第一加密密钥加密认证信息，而在认证请求报文中携带有第一密钥位置、待入网传感终端标识以及第一加密参数，即第一加密密钥并不会通过网络传输，大大保证了身份认证过程的安全性，能够有效避免通过监听身份认证流程而发起的攻击。

结合第一方面第一实施方式，在第一方面的第三实施方式中，所述基于所述第二加密参数查询所述设备指纹，确定对应于所述第二加密参数的解密密钥，包括：基于所述第二加密参数查询所述设备指纹，确定所述第二加密参数对应的第二密钥位置以及所述第二加密参数所处的第二密钥对；从所述第二密钥对中确定出对应于所述第二加密参数的解密密钥。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，第二加密参数的解密密钥可以直接通过查询存储在本地的设备指纹获取，由此无需传感终端进行复杂的数据解密处理，从而降低了处理功耗以及对硬件资源的需求，提高了低功耗传感终端的适用性，避免了低功耗传感终端处理器受限的问题。

结合第一方面或第一方面第一实施方式至第三实施方式中任一实施方式，在第一方面的第四实施方式中，在所述获取待入网传感终端生成的认证报文之前，还包括：对所述待入网传感终端进行安全校验。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，在待入网传感终端入网之前对其进行安全校验，能够有效避免传感终端的后门和漏洞，保障传感终端的自身安全。

根据第二方面，本发明实施例提供了一种基于设备指纹的传感终端安全保障方法，用于接入终端，包括：接收待入网传感终端发送的认证请求报文，所述认证请求报文头中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数，所述接入终端中存储有所述待入网传感终端的设备指纹；基于所述第一加密参数查询所述待入网传感终端的设备指纹，确定对应于所述第一加密参数的解密密钥；通过所述解密密钥对所述认证请求报文进行解密，恢复所述待入网传感终端发送的认证信息；基于所述认证信息确定所述待入网传感终端是否通过身份认证；当所述待入网传感终端通过身份认证时，生成对应于所述认证请求报文的认证响应报文，所述认证响应报文中携带有第二加密参数；将所述认证响应报文发送至所述待入网传感终端，以使所述待入网传感终端确定身份认证结果。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，在接入终端中同样存储有传感终端的设备指纹，该设备指纹与传感终端侧存储的一致，待入网传感终端发送的认证请求报文的解密密钥无需通过网络进行传输，接入终端能够根据本地存储的设备指纹对待入网传感终端进行身份认证，保证了身份认证的安全性，避免恶意终端攻击身份认证过程。

结合第二方面，在第二方面的第一实施方式中，所述基于所述认证信息确定所述待入网传感终端是否通过身份认证，包括：获取所述认证信息中的待入网传感终端标识；当所述认证信息对应的待入网传感终端标识与所述认证请求报文所携带的待入网传感终端标识相同时，检测所述接入终端本地存储的设备接入列表中是否存在所述待入网传感终端标识；当所述接入终端本地存储的设备接入列表中存在所述待入网传感终端标识时，判定所述待入网传感终端通过身份认证。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，通过检测接入终端本地存储的设备接入列表中是否存在待入网传感终端标识，以确定待入网传感终端是否安全，进一步保证了身份认证的安全性。

结合第二方面，在第二方面的第二实施方式中，所述生成对应于所述认证请求报文的认证响应报文，包括：当所述待入网传感终端通过身份认证时，生成对应于所述认证信息的响应信息；从所述设备指纹中随机选择第二密钥位置及其对应的第二密钥对；采用所述第二密钥对中的第二密钥加密所述响应信息，将所述第二密钥位置与所述第二密钥对应的第二加密参数封装在所述响应信息对应的报文报头中，得到所述认证响应报文。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，采用随机选择的第二密钥位置及其对应的第二密钥对中的第二密钥加密响应报文，而认证响应报文中并未封装有第二密钥，由此避免通过网络传输第二密钥，由此保证了身份认证过程的安全性。

结合第二方面或第二方面第一实施方式或第二实施方式，在第二方面的第三实施方式中，所述方法还包括：监测网络中的传感终端的流量状态；基于所述流量状态确定所述传感终端是否存在安全威胁。

本发明实施例提供的基于设备指纹的传感终端安全保障方法，通过监测网络中的传感终端的流量状态，以确定传感终端是否存在安全威胁，便于在传感终端存在安全威胁时及时予以干预处理。

根据第三方面，本发明实施例提供了一种传感终端的安全保障装置，用于传感终端，包括：获取模块，用于获取待入网传感终端生成的认证信息；第一查询模块，用于查询所述待入网传感终端的设备指纹，获取第一加密密钥，所述设备指纹存储在所述待入网传感终端本地；第一加密模块，用于通过所述第一加密密钥对所述认证信息进行加密，生成认证请求报文，所述认证请求报文中携带有待入网传感终端标识、所述第一加密密钥对应的第一加密参数；第一发送模块，用于将所述认证请求报文发送至接入终端；第一接收模块，用于接收所述接入终端发送的认证响应报文，所述认证响应报文中携带有第二加密参数，所述第二加密参数与所述第一加密参数不同；第二查询模块，用于基于所述第二加密参数查询所述设备指纹，确定对应于所述第二加密参数的解密密钥；第一解密模块，用于通过所述解密密钥对所述认证响应报文进行解密，确定所述待入网传感终端是否通过身份认证。

根据第四方面，本发明实施例提供了一种传感终端的安全保障装置，用于接入终端，包括：第二接收模块，用于接收待入网传感终端发送的认证请求报文，所述认证请求报文头中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数，所述接入终端中存储有所述待入网传感终端的设备指纹；第三查询模块，用于基于所述第一加密参数查询所述待入网传感终端的设备指纹，确定对应于所述第一加密参数的解密密钥；第二解密模块，用于通过所述解密密钥对所述认证请求报文进行解密，恢复所述待入网传感终端发送的认证信息；认证模块，用于基于所述认证信息确定所述待入网传感终端是否通过身份认证；生成模块，用于当所述待入网传感终端通过身份认证时，生成对应于所述认证请求报文的认证响应报文，所述认证响应报文中携带有第二加密参数；第二发送模块，用于将所述认证响应报文发送至所述待入网传感终端，以使所述待入网传感终端确定身份认证结果。

根据第五方面，本发明实施例提供了一种电子设备，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行第一方面或第一方面任一实施方式所述的基于设备指纹的传感终端安全保障方法，或执行第二方面或第二方面任一实施方式所述的基于设备指纹的传感终端安全保障方法。

根据第六方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使计算机执行第一方面或第一方面任一实施方式所述的基于设备指纹的传感终端安全保障方法，或执行第二方面或第二方面任一实施方式所述的基于设备指纹的传感终端安全保障方法。

需要说明的是，本发明实施例提供的传感终端的安全保障装置、电子设备及计算机可读存储介质的相应有益效果，请参见基于设备指纹的传感终端安全保障方法中相应内容的描述，在此不再赘述。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图；

图2是根据本发明实施例的基于设备指纹的传感终端安全保障方法的另一流程图；

图3是根据本发明实施例的基于设备指纹的传感终端安全保障方法的另一流程图；

图4是根据本发明实施例的基于设备指纹的传感终端安全保障方法的另一流程图；

图5是根据本发明实施例的基于设备指纹的传感终端安全保障方法的另一流程图；

图6是根据本发明优选实施例的基于设备指纹的传感终端安全保障方法的流程图；

图7是根据本发明实施例的传感终端与接入终端的通信示意图；

图8是根据本发明实施例的设备指纹的示意图；

图9是根据本发明实施例的APUF延时电路的结构示意图；

图10是根据本发明实施例的延时单元的延时示意图；

图11是根据本发明实施例的传感终端的结构框图；

图12是根据本发明实施例的接入终端的结构框图；

图13是根据本发明实施例的电子设备的硬件结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

传感终端的种类繁多，根据传感终端的带宽可大致划分为宽带终端和窄带终端。宽带终端的通信速率通常大于1Mbps，其计算、存储能力较强，通常会集成硬件加密芯片，通信安全有较强的保障。窄带终端的通信速率通常小于100kbps，其计算、存储能力受限，且通常因供电受限导致其对功耗有较高要求，难以承载复杂的安全机制，网络拓扑结构为星形、树形或者网状网。宽带业务和窄带业务之间通过逻辑或物理方式实现安全隔离。本申请主要应用于低功耗的窄带终端，以实现低功耗传感终端的网络安全保障。

根据本发明实施例，提供了一种基于设备指纹的传感终端安全保障方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

在本实施例中提供了一种基于设备指纹的传感终端安全保障方法，可用于低功耗的传感终端，图1是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图，如图1所示，该流程包括如下步骤：

S11，获取待入网传感终端生成的认证信息。

认证信息为待入网传感终端生成的用于进行身份认证的数据信息，该认证信息包括待入网传感终端标识(例如ID)以及随机生成的序列数，当然还可以包括其他信息，此处不作具体限定。待入网传感终端为低功耗的无线传感终端，该无线传感网络通常包含1个接入终端、若干个汇聚终端以及多个传感终端构成，如图7所示。

S12，查询待入网传感终端的设备指纹，获取第一加密密钥，设备指纹存储在待入网传感终端本地。

在待入网传感终端侧存储有设备指纹，该设备指纹包括但不限于基于芯片物理不可克隆函数提取的设备硬件指纹、基于射频特性提取的射频指纹等。该设备指纹用于对认证信息进行加密，并对接入终端发送的认证响应报文进行解密以确认待入网传感终端是否通过身份验证。

待入网传感终端在入网时，可通过其对应的汇聚终端或者直接向接入终端发送加密的认证信息。具体地，待入网传感终端可以查询其本地存储的设备指纹，从中随机选择出第一加密密钥加密认证信息。

可选地，该设备指纹基于传感终端的自身硬件特性构造，即设备指纹由待入网传感终端唯一确定，不同的传感终端，其对应的设备指纹不同。该设备指纹用于进行待入网传感终端的身份认证，具体地，可以从该设备指纹中提取出多个密钥位置以及与密钥位置对应的密钥对，该密钥对包括加密密钥及其对应的加密参数。待入网传感终端通过加密密钥对认证信息进行加密，并根据该设备指纹确定出用于解密接入终端发送的认证响应报文的解密密钥，以根据解密结果确认待入网传感终端是否通过身份验证。

其中，设备指纹可以以3维数组(a1，a2，a3)的形式存储在传感终端以及接入终端的认证中心，如图8所示，a1表示激励输出的编号(即传感终端的密钥位置编号)，a2表示激励值，a3表示输出值，a2与a3构成加密的密钥对。待入网传感终端可以从设备指纹的密钥对中随机选择出第一加密密钥。

具体地，设备指纹可以通过由上下两条并行的n级多路选择器(MUltipleXer，MUX)和由D触发器组成的仲裁器构成的APUF延时电路获取，如图9所示，输入信号T通过APUF的n级偏差延时单元到达仲裁器的输入端，由于延时电路制造过程中不可避免引入的工艺偏差，信号T到达仲裁器输入端的先后顺序不同，该偏差信号经仲裁器判决产生输出响应。当ci＝0时(i＝1，2，...，n)，信号平行通过延时单元，反之则交叉通过，如图10所示，第i级APUF延时单元分别在ci等于0和1时对应的延时路径及延时值，每位激励将延时单元分成平行或交叉的传播路径。

S13，通过第一加密密钥对认证信息进行加密，生成认证请求报文，认证请求报文中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数。

待入网传感终端根据从设备指纹中获取到的第一加密密钥对认证信息进行加密，并将待入网传感终端标识、第一加密密钥对应的第一加密参数封装在认证信息的报头中，生成认证请求报文，并将其发送至接入终端。例如，若通过a3加密，则a3作为第一加密密钥，a2作为第一加密参数，那么将待入网传感终端标识ID、a1和a2封装在认证信息的报头中通过网络传输至接入终端，而a3并不会通过网络传输；若通过a2加密，则a2作为第一加密密钥，a3作为第一加密参数，那么将待入网传感终端标识ID、a1和a3封装在认证信息的报头中通过网络传输至接入终端，而a2并不会通过网络传输，由此不存在通信泄露的风险。

S14，将认证请求报文发送至接入终端。

待入网传感终端将其生成的认证请求报文经由汇聚节点发送至接入终端。

S15，接收接入终端发送的认证响应报文，该认证响应报文中携带有第二加密参数，且第二加密参数与第一加密参数不同。

第二加密参数为接入终端重新选择的第二加密密钥对应的加密参数。接入终端在完成待入网传感终端的身份认证时，通过第二加密密钥对认证请求相对应的响应信息进行加密以生成认证响应报文，将第二加密密钥对应的第二加密参数封装在认证响应报文的报头中，并通过汇聚节点将该认证响应报文发送至待入网传感终端，且第二加密参数与第一加密参数不同，由此能够保证身份认证过程的安全性。相应地，待入网传感终端则能够接收接入终端发送的认证响应报文。

S16，基于第二加密参数查询设备指纹，确定对应于第二加密参数的解密密钥。

待入网传感终端在接收到认证响应报文时，从认证响应报文报头中取出第二加密参数，根据第二加密参数查询设备指纹，从设备指纹中搜索出与其所对应的解密密钥。

S17，通过解密密钥对认证响应报文进行解密，验证认证响应信息，确定身份认证是否成功。

待入网传感终端根据该解密密钥对认证响应报文携带的响应信息进行解密，该响应信息用于表征待入网传感器的身份认证结果，该响应信息可以包括待入网传感终端标识ID以及认证信息中的随机序列数，还可以包括认证通过与否的结果(例如通过为“S”，未通过为“F”)，当然还可以包括其他信息，此处不作具体限定。继而，该待入网传感终端对该解密结果进行验证，以确定接入终端为安全的，例如，待入网传感终端可以判断响应信息所包含的随机序列数与认证信息中所包含的随机序列数是否一致，若一致，则判定接入终端通过验证，进一步的，待入网传感终端可以根据解密结果确定其是否通过身份验证。

本实施例提供的基于设备指纹的传感终端安全保障方法，在待入网传感终端本地存储有待入网传感终端的设备指纹，认证信息的以及认证响应的解密密钥无需通过网络进行传输，且在无待入网传感终端设备指纹时无法根据认证报文中传输的信息破译出解密密钥，待入网传感终端能够根据本地存储的设备指纹进行解密，由此保证了身份认证过程的安全性，从而避免恶意终端攻击身份认证过程而影响后续数据传输的机密性和数据获取的有效性。同时，待入网传感终端仅需要存储和处理能够用于加解密的设备指纹即可，且无需应用复杂的加密算法，从而降低了处理器RAM以及FLASH等硬件资源的使用成本，降低了待入网传感终端的处理功耗。第一加密参数和第二加密参数不同，其对应的加密密钥不同，通过待入网传感终端验证认证响应信息是否正确，能够避免恶意终端伪装成接入终端向待入网传感终端发送认证响应报文，实现待入网传感终端对接入终端的认证。

在本实施例中提供了一种基于设备指纹的传感终端安全保障方法，可用于低功耗的传感终端，图2是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图，如图2所示，该流程包括如下步骤：

S21，获取待入网传感终端生成的认证信息。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S22，查询待入网传感终端的设备指纹，获取第一加密密钥，设备指纹存储在待入网传感终端本地。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S23，通过第一加密密钥对认证信息进行加密，生成认证请求报文，认证请求报文中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数。

具体地，上述步骤S23可以包括：

S231，从设备指纹中随机选择第一密钥位置及其对应的第一密钥对。

任意一个待入网传感终端存在多个3维数组形式构成的设备指纹，第一密钥位置用于表征当前待入网传感终端对应的密钥位置编号，第一密钥对为对应于第一密钥位置的密钥对，该密钥对为加密密钥和加密参数。待入网传感终端可以从设备指纹中随机选择出任意的第一密钥位置及其对应的第一密钥对。如图8所示的设备指纹，待入网传感终端可以从中任意选择一密钥位置，例如a1为0x01，继而根据该密钥位置确定对应的密钥对，例如0x01对应的密钥对为a2为01011011，a3为10010011。

S232，采用第一密钥对中的第一密钥加密认证信息，并将第一密钥位置、待入网传感终端标识以及第一密钥对应的第一加密参数封装在认证信息对应的报文报头中，得到认证请求报文。

加密是基于软件实现的轻量级加密，支持非对称加密或者对称加密，当采用非对称加密算法时，设备指纹中的第二维数据为公钥，第三维数据为私钥；当采用对称加密算法时，第二维数据用于指示第三维数据，第三维数据为实际密钥。认证过程中仅通过网络传输第一维和第二维数据，第三维数据并不通过网络传输。

具体地，待入网传感终端利用第一密钥对中的第一密钥加密认证信息，例如利用第一密钥对的an3对认证信息进行加密，并将an1以及an3对应的an2封装至认证信息的报文报头中，得到加密的认证请求报文，且该认证请求中并不包含加密密钥，其中n表示密钥位于设备指纹中第n行。

S24，将认证请求报文发送至接入终端。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S25，接收接入终端发送的认证响应报文，该认证响应报文中携带有第二加密参数，且第二加密参数与第一加密参数不同。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S26，基于第二加密参数查询设备指纹，确定对应于第二加密参数的解密密钥。

具体地，上述步骤S26可以包括：

S261，基于第二加密参数查询设备指纹，确定第二加密参数所处的第二密钥对。

待入网传感终端在接收到认证响应报文时，可以从认证响应报文的报头中解析出接入终端加密响应信息所采用的第二密钥位置以及第二加密参数，即加密响应信息时所采用的第二密钥位置am1以及第二加密参数am2。

待入网传感终端本地存储有设备指纹的，待入网传感终端可以根据第二密钥位置am1以及第二加密参数am2对设备指纹进行查询，从而确定出第二加密参数am2所处的第二密钥对。

S262，从第二密钥对中确定出对应于第二加密参数的解密密钥。

待入网传感终端根据第二加密参数所处的第二密钥对，确定出第二加密参数对应的第二加密密钥am3。其中，该第二加密参数am2与第二加密密钥am3即为第二密钥对。当采用对称加密算法时，该第二加密密钥am3即为用于解密认证响应报文的解密密钥。当采用非对称加密算法时，可以根据第二加密密钥am3与解密密钥之间的数学关系，确定出解密密钥。可选地，在采用非对称加密算法时，待入网传感终端本地还可以存储有对应于加密密钥的解密密钥列表，在其确定出第二加密密钥am3时，可以通过查询解密密钥列表，确定出与其对应的解密密钥，本申请对此不作具体限定，本领域技术人员可以根据实际需求确定获取解密密钥的方式。

S27，通过解密密钥对认证响应报文进行解密，验证认证响应信息，确定身份认证是否成功。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

本实施例提供的基于设备指纹的传感终端安全保障方法，采用第一加密密钥加密认证信息，而在认证请求报文中携带有第一密钥位置、待入网传感终端标识以及第一加密参数，即第一加密密钥并不会通过网络传输，即使恶意终端能够获取到加密参数，但是在其无设备指纹的情况下，仍难以恢复出加密密钥，大大保证了身份认证过程的安全性，能够有效避免通过监听身份认证流程而发起的攻击。加密参数的解密密钥可以直接通过查询存储在本地的设备指纹获取，由此无需传感终端进行复杂的数据解密处理，从而降低了处理功耗以及对硬件资源的需求，提高了低功耗传感终端的适用性，避免了低功耗传感终端处理器受限的问题。

在本实施例中提供了一种基于设备指纹的传感终端安全保障方法，可用于低功耗的传感终端，图3是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图，如图3所示，该流程包括如下步骤：

S30，对待入网传感终端进行安全校验。

待入网传感终端在入网前首先需要进行安全校验以确保其自身是安全的。具体地，安全校验的形式可以包括但不限于协议形式化分析验证、协议代码安全检测和传感终端固件安全检测。

协议形式化分析验证针对待入网传感终端承载的安全协议进行形式化分析验证，用于检查安全协议设计是否合理、逻辑是否存在缺陷、是否能够保证数据的机密性和终端的合法性。

协议代码安全检测针对源代码的安全性进行检测，用于验证源代码中是否存在不恰当的资源权限分配、明文传输的敏感信息、不适当的身份验证、隐藏字段等代码缺陷等漏洞、后门、可疑行为。

传感终端固件安全检测针对传感终端中的固件进行检测，用于判断固件中是否存在目标漏洞、后门，确保接入网络的传感终端自身是安全可信的。

S31，获取待入网传感终端生成的认证信息。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S32，查询待入网传感终端的设备指纹，获取第一加密密钥，设备指纹存储在待入网传感终端本地。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S33，通过第一加密密钥对认证信息进行加密，生成认证请求报文，认证请求报文中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S34，将认证请求报文发送至接入终端。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S35，接收接入终端发送的认证响应报文，该认证响应报文中携带有第二加密参数，且第二加密参数与第一加密参数不同。

S36，基于第二加密参数查询设备指纹，确定对应于第二加密参数的解密密钥。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S37，通过解密密钥对认证响应报文进行解密，验证认证响应信息，确定身份认证是否成功。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

本实施例提供的基于设备指纹的传感终端安全保障方法，在待入网传感终端入网之前对其进行安全校验，能够有效避免传感终端的后门和漏洞，保障传感终端的自身安全。

在本实施例中提供了一种基于设备指纹的传感终端安全保障方法，可用于接入终端，例如网络的接入节点，图4是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图，如图4所示，该流程包括如下步骤：

S41，接收待入网传感终端发送的认证请求报文，该认证请求报文头中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数，该接入终端中存储有待入网传感终端的设备指纹。

待入网传感终端在加密认证信息生成认证请求报文后，将该认证请求报文发送至接入终端。相应地，接入终端可以接收待入网传感终端发送的认证请求报文，且该认证请求报文头中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数，接入终端中亦存储有待入网传感终端的设备指纹，且该设备指纹与待入网传感终端中存储的设备指纹是相同的。

S42，基于第一加密参数查询待入网传感终端的设备指纹，确定对应于第一加密参数的解密密钥。

接入终端解析认证请求报文中所携带的第一加密参数以及待入网传感终端标识，根据该待入网传感终端标识确定与其对应的设备指纹，继而根据第一加密参数查询设备指纹，找到与其对应的解密密钥。

S43，通过解密密钥对认证请求报文进行解密，恢复待入网传感终端发送的认证信息。

接入终端根据该解密密钥对认证请求报文中的数据进行解密，从而可以得到待入网传感终端发送的认证信息。

S44，基于认证信息确定待入网传感终端是否通过身份认证。

接入终端根据该认证信息验证其所对应的待入网传感终端的身份，以确定其是否属于能够接入传感网络的终端设备，即判断待入网传感终端是否通过身份认证。当待入网传感终端通过身份认证时，执行步骤S45，否则向待入网传感终端发送认证失败报文。

S45，生成对应于认证请求报文的认证响应报文，该认证响应报文中携带有第二加密参数。

第二加密参数为接入终端重新选择的加密密钥所对应的加密参数。当待入网传感终端通过身份认证时，表示该传感终端能够加入传感网络，此时接入终端可以将该认证结果以及待入网传感终端的相关信息封装为响应信息，并重新根据第二加密参数对响应信息进行加密，得到认证响应报文。

S46，将认证响应报文发送至待入网传感终端，以使待入网传感终端确定身份认证结果。

接入终端将认证响应报文发送至待入网传感终端，以使待入网传感终端能够根据该认证响应报文确定其身份认证结果。对于待入网传感终端确定身份认证结果的相关说明参见上述实施例对应的相关描述，此处不再赘述。

本实施例提供的基于设备指纹的传感终端安全保障方法，在接入终端中同样存储有传感终端的设备指纹，该设备指纹与传感终端侧存储的一致，待入网传感终端发送的认证请求报文的解密密钥无需通过网络进行传输，接入终端能够根据本地存储的设备指纹对待入网传感终端进行身份认证，保证了身份认证的安全性，避免恶意终端攻击身份认证过程。

在本实施例中提供了一种基于设备指纹的传感终端安全保障方法，可用于接入终端，例如网络的接入节点，图5是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图，如图5所示，该流程包括如下步骤：

S51，接收待入网传感终端发送的认证请求报文，该认证请求报文头中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数，该接入终端中存储有待入网传感终端的设备指纹。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S52，基于第一加密参数查询待入网传感终端的设备指纹，确定对应于第一加密参数的解密密钥。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S53，通过解密密钥对认证请求报文进行解密，恢复待入网传感终端发送的认证信息。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S54，基于认证信息确定待入网传感终端是否通过身份认证。

具体地，上述步骤S54可以包括：

S541，获取认证信息中的待入网传感终端标识。

每个传感终端的标识号ID是唯一的，接入终端可以通过认证信息所包含的内容确定出待入网传感终端标识ID，继而通过该ID即可确定出发出该认证请求报文的传感终端及其对应的设备指纹。

S542，当认证信息对应的待入网传感终端标识与认证请求报文所携带的待入网传感终端标识相同时，检测接入终端本地存储的设备接入列表中是否存在待入网传感终端标识。

接入终端将认证信息对应的待入网传感终端标识与认证请求报文报头中所携带的待入网传感终端标识进行比较，判断两者是否一致。当两者一致时，接入终端进一步获取其本地存储的设备接入列表以确定所允许接入的各个待入网传感终端标识ID。

接入终端通过查询设备接入列表中，确定本地是否存在该待入网传感终端标识，当接入终端本地存储的设备接入列表中存在该待入网传感终端标识时，执行步骤S543，否则判定待入网传感终端认证失败，并向待入网传感终端发送认证失败报文。

S543，判定待入网传感终端通过身份认证。

当接入终端本地存储的设备接入列表中存在待入网传感终端标识时，表示允许该待入网传感终端接入传感网络，即该待入网传感终端的相关设备信息已经事先存储在接入终端的认证中心，此时接入终端可以判定该待入网传感终端通过身份认证。

S55，当待入网传感终端通过身份认证时，生成对应于认证请求报文的认证响应报文，该认证响应报文中携带有第二加密参数。

具体地，上述步骤S55可以包括：

S551，当待入网传感终端通过身份认证时，生成对应于认证信息的响应信息。

当待入网传感终端通过身份认证时，接入终端可以将待入网传感终端标识、认证结果以及相应认证信息等封装为数据包，该数据包即为对应于认证信息的响应信息。

S552，从设备指纹中随机选择第二密钥位置及其对应的第二密钥对。

第二密钥位置不同于第一密钥位置，即两者所对应的密钥位置编号不同，第二密钥对是对应于当前所选定的第二密钥位置的密钥对，该密钥对由第二加密密钥及其对应的第二加密参数构成。接入终端可以从设备指纹中随机选择出不同于第一密钥位置的任意一个第二密钥位置及其对应的第二密钥对。如图8所示的设备指纹，接入终端可以从中任意选择不同于第一密钥位置的第二密钥位置，继而根据该密钥位置确定对应的密钥对，例如第二密钥位置选择0xFF，其对应的第二密钥对为10010010和10010101。

S553，采用第二密钥对中的第二密钥加密响应信息，将第二密钥位置与第二密钥对应的第二加密参数封装在响应信息对应的报文报头中，得到认证响应报文。

接入终端利用第二密钥对中的第二密钥加密响应信息，例如利用a3对响应报文进行加密，并将a3对应的a1和a2封装至响应信息对应的报文报头中，得到经过加密的认证响应报文，而a3并不会通过网络传输。

S56，将认证响应报文发送至待入网传感终端，以使待入网传感终端确定身份认证结果。详细说明参见上述实施例对应的相关描述，此处不再赘述。

S57，监测网络中的传感终端的流量状态。

接入终端中设置有传感终端的监控模块，接入终端可以通过该监控模块对接入无线传感网络的各个传感终端发送的数据流量进行监测，以确定各个传感终端的流量状态。

S58，基于流量状态确定传感终端是否存在安全威胁。

接入终端根据其监测到流量状态确定接入无线传感网络的传感终端是否存在安全威胁。具体地，当接入终端在超过预设时间T1时仍未检测到任一传感终端流量时，认为该传感终端已离网，其中预设时间T1可以为10分钟、30分钟、1小时、2小时等，此处对预设时间T1不做限定，本领域技术人员可以根据经验值确定。

当接入终端在预设时间T2内检测到任一传感终端流量远大于预设流量时，可以判定该传感终端存在安全威胁，此时可以停止该传感终端的接入，并发出提醒信息。其中预设时间T2以及预设流量由本领域技术人员根据经验值确定，此处不作具体限定。

本实施例提供的基于设备指纹的传感终端安全保障方法，通过检测接入终端本地存储的设备接入列表中是否存在待入网传感终端标识，以确定待入网传感终端是否安全，进一步保证了身份认证的安全性。采用随机选择的第二密钥位置及其对应的第二密钥对中的第二密钥加密响应报文，而认证响应报文中并未封装有第二密钥，由此避免通过网络传输第二密钥，由此保证了身份认证过程的安全性。通过监测网络中的传感终端的流量状态，以确定传感终端是否存在安全威胁，便于在传感终端存在安全威胁时及时予以干预处理。

在本实施例中提供了一种基于设备指纹的传感终端安全保障方法，可用于低功耗的传感终端与接入终端，图6是根据本发明实施例的基于设备指纹的传感终端安全保障方法的流程图，如图6所示，该流程包括如下步骤：

S60，待入网传感终端对其自身进行安全校验。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S61，待入网传感终端生成认证信息。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S62，待入网传感终端查询其本地存储的设备指纹，获取第一加密密钥。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S63，待入网传感终端通过第一加密密钥对认证信息进行加密，生成认证请求报文，认证请求报文中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S64，待入网传感终端将认证请求报文发送至接入终端。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S65，接入终端接收待入网传感终端发送的认证请求报文，该接入终端中存储有待入网传感终端的设备指纹。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S66，接入终端基于第一加密参数查询待入网传感终端的设备指纹，确定对应于第一加密参数的解密密钥。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S67，接入终端通过解密密钥对认证请求报文进行解密，恢复待入网传感终端发送的认证信息。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S68，接入终端基于认证信息确定待入网传感终端是否通过身份认证。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S69，当待入网传感终端通过身份认证时，接入终端生成对应于认证请求报文的认证响应报文，该认证响应报文中携带有第二加密参数。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S610，接入终端将认证响应报文发送至待入网传感终端。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S611，待入网传感终端接收接入终端发送的认证响应报文，该认证响应报文中携带有第二加密参数，且第二加密参数与第一加密参数不同。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S612，待入网传感终端基于第二加密参数查询设备指纹，确定对应于第二加密参数的解密密钥。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S613，待入网传感终端通过解密密钥对认证响应报文进行解密，验证认证响应信息，确定身份认证是否成功。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S614，接入终端监测网络中的传感终端的流量状态。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

S615，接入终端基于流量状态确定传感终端是否存在安全威胁。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

本实施例提供的基于设备指纹的传感终端安全保障方法，在待入网传感终端和接入终端存储有相同的设备指纹，认证请求报文以及认证响应报文的解密密钥无需通过网络进行传输，待入网传感终端以及接入终端均能够根据本地存储的设备指纹获取解密密钥以进行身份认证过程中的解密操作，所有信息使用传感终端私有密钥加密，无法通过窃听网络信息破解私有密钥，保证了身份认证的安全性，实现了传感终端和接入终端间双向认证，从而避免恶意终端攻击身份认证过程而影响后续数据传输的机密性以及数据获取的有效性。同时，待入网传感终端仅需要存储和处理能够用于加解密的设备指纹即可，无需设置复杂的加密算法，从而降低了处理器RAM以及FLASH等硬件资源的使用成本，降低了待入网传感终端的功耗。

在本实施例中还提供了一种传感终端的安全保障装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

本实施例提供一种传感终端的安全保障装置，用于传感终端，如图11所示，包括：

获取模块71，用于获取待入网传感终端生成的认证信息。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

第一查询模块72，用于查询待入网传感终端的设备指纹，获取第一加密密钥，设备指纹存储在待入网传感终端本地。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

第一加密模块73，用于通过第一加密密钥对认证信息进行加密，生成认证请求报文，认证请求报文中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

第一发送模块74，用于将认证请求报文发送至接入终端。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

第一接收模块75，用于接收接入终端发送的认证响应报文，该认证响应报文中携带有第二加密参数，且第二加密参数与第一加密参数不同。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

第二查询模块76，用于基于第二加密参数查询设备指纹，确定对应于第二加密参数的解密密钥。详细说明参见上述方法实施例对应的相关描述，此处不再赘述。

第一解密模块77，用于通过解密密钥对认证响应报文进行解密，验证认证响应信息，确定身份认证是否成功。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

本实施例提供的传感终端的安全保障装置，在待入网传感终端本地存储有待入网传感终端的设备指纹，认证信息的以及认证响应的解密密钥无需通过网络进行传输，且在无待入网传感终端设备指纹时无法根据认证报文中传输的信息破译出解密密钥，待入网传感终端能够根据本地存储的设备指纹进行解密，由此保证了身份认证过程的安全性，从而避免恶意终端攻击身份认证过程而影响后续数据传输的机密性和有效性。同时，待入网传感终端仅需要存储和处理能够用于加解密的设备指纹即可，且无需应用复杂的加密算法，从而降低了处理器RAM以及FLASH等硬件资源的使用成本，降低了待入网传感终端的处理功耗。第一加密参数和第二加密参数不同，其对应的加密密钥不同，通过待入网传感终端验证认证响应信息是否正确，能够避免恶意终端伪装成接入终端向待入网传感终端发送认证响应报文，实现待入网传感终端对接入终端的认证。

本实施例中的传感终端的安全保障装置是以功能单元的形式来呈现，这里的单元是指ASIC电路，执行一个或多个软件或固定程序的处理器和存储器，和/或其他可以提供上述功能的器件。

上述各模块的更进一步的功能描述与上述对应实施例相同，在此不再赘述。

在本实施例中还提供了一种传感终端的安全保障装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

本实施例提供一种传感终端的安全保障装置，用于接入终端，如图12所示，包括：

第二接收模块81，用于接收待入网传感终端发送的认证请求报文，该认证请求报文头中携带有待入网传感终端标识、第一加密密钥对应的第一加密参数，该接入终端中存储有待入网传感终端的设备指纹。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

第三查询模块82，用于基于第一加密参数查询待入网传感终端的设备指纹，确定对应于第一加密参数的解密密钥。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

第二解密模块83，用于通过解密密钥对认证请求报文进行解密，恢复待入网传感终端发送的认证信息。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

认证模块84，用于基于认证信息确定待入网传感终端是否通过身份认证。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

生成模块85，用于当待入网传感终端通过身份认证时，生成对应于认证请求报文的认证响应报文，该认证响应报文中携带有第二加密参数。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

第二发送模块86，用于将认证响应报文发送至待入网传感终端，以使待入网传感终端确定身份认证结果。详细说明参见上述实施例对应步骤的相关描述，此处不再赘述。

本实施例提供的传感终端的安全保障装置，在接入终端中同样存储有传感终端的设备指纹，该设备指纹与传感终端侧存储的一致，待入网传感终端发送的认证请求报文的解密密钥无需通过网络进行传输，接入终端能够根据本地存储的设备指纹对待入网传感终端进行身份认证，保证了身份认证的安全性，避免恶意终端攻击身份认证过程。

本实施例中的传感终端的安全保障装置是以功能单元的形式来呈现，这里的单元是指ASIC电路，执行一个或多个软件或固定程序的处理器和存储器，和/或其他可以提供上述功能的器件。

上述各模块的更进一步的功能描述与上述对应实施例相同，在此不再赘述。

本发明实施例还提供一种电子设备，具有上述图11或图12所示的传感终端的安全保障装置。

请参阅图13，图13是本发明可选实施例提供的一种电子设备的结构示意图，如图13所示，该电子设备可以包括：至少一个处理器901，例如CPU(Central Processing Unit，中央处理器)，至少一个通信接口903，存储器904，至少一个通信总线902。其中，通信总线902用于实现这些组件之间的连接通信。其中，通信接口903可以包括显示屏(Display)、键盘(Keyboard)，可选通信接口903还可以包括标准的有线接口、无线接口。存储器904可以是高速RAM存储器(Random Access Memory，易挥发性随机存取存储器)，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。存储器904可选的还可以是至少一个位于远离前述处理器901的存储装置。其中处理器901可以结合图11或图12所描述的装置，存储器904中存储应用程序，且处理器901调用存储器904中存储的程序代码，以用于执行上述任一方法步骤。

其中，通信总线902可以是外设部件互连标准(peripheral componentinterconnect，简称PCI)总线或扩展工业标准结构(extended industry standardarchitecture，简称EISA)总线等。通信总线902可以分为地址总线、数据总线、控制总线等。为便于表示，图13中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

其中，存储器904可以包括易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，缩写：RAM)；存储器也可以包括非易失性存储器(英文：non-volatile memory)，例如快闪存储器(英文：flash memory)，硬盘(英文：hard diskdrive，缩写：HDD)或固态硬盘(英文：solid-state drive，缩写：SSD)；存储器904还可以包括上述种类存储器的组合。

其中，处理器901可以是中央处理器(英文：central processing unit，缩写：CPU)，网络处理器(英文：network processor，缩写：NP)或者CPU和NP的组合。

其中，处理器901还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路(英文：application-specific integrated circuit，缩写：ASIC)，可编程逻辑器件(英文：programmable logic device，缩写：PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(英文：complex programmable logic device，缩写：CPLD)，现场可编程逻辑门阵列(英文：field-programmable gate array，缩写：FPGA)，通用阵列逻辑(英文：generic arraylogic，缩写：GAL)或其任意组合。

可选地，存储器904还用于存储程序指令。处理器901可以调用程序指令，实现如本申请图1至图5实施例中所示的基于设备指纹的传感终端安全保障方法。

本发明实施例还提供了一种非暂态计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的基于设备指纹的传感终端安全保障方法的处理方法。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State Drive，SSD)等；所述存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下做出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。