[發明專利]一種物聯網安全架構

有效

• 申請號: 201810671036.0
• 申請日: 2018-06-26
• 公開（公告）號: CN108810007B
• 公開（公告）日: 2020-11-17
• 發明（設計）人: 包子健;費天龍;史聞博;李子超
• 申請（專利權）人: 東北大學秦皇島分校
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京科億知識產權代理事務所(普通合伙) 11350
• 代理人: 湯東鳳

1.一種物聯網安全架構，其特征在于，所述物聯網安全架構為三層架構；所述三層架構包括：認證層、應用層以及區塊鏈層；

所述認證層包括認證中心以及檢測中心；所述認證層用于根據請求注冊信息進行認證，并將注冊事務發送至所述區塊鏈層；

所述應用層包括局部節點；所述局部節點用于保存事務信息，并通過默克爾樹對所述事務信息進行處理，得到默克爾樹根，將所述默克爾樹根發布到所述區塊鏈層；

所述區塊鏈層用于處理事務；所述事務包括注冊事務、刪除事務、更新事務、查詢事務、設備存儲事務、授權事務、請求事務以及本地相關事務；

基于區塊鏈的物聯網安全架構的使用方法，包括如下步驟：

步驟1：物聯網設備根據要求，設備在硬件安全模塊初始化設備認證號；云服務提供商向局部網絡提交注冊請求，并執行步驟2；用戶向認證中心發送注冊請求，并執行步驟3；

物聯網設備在出廠時都會有一個唯一的設備認證號，設備會被唯一標識；硬件安全模塊是一種用于保護和管理強認證系統所使用的密鑰，并同時提供相關密碼學操作的計算機硬件設備；設備認證號就是硬件安全模塊生成的密鑰對；

兩者是不同的實體，并行非同步執行的；云服務提供商主要向用戶提供數據云存儲功能；用戶是物聯網設備制造商與設備使用者；注冊請求是不一樣的；比如根據身份的不同所發送的注冊事務不一樣；

步驟2：局部網絡根據注冊請求，向云服務提供商提供認證發布；云服務商獲得認證，不繼續執行下列步驟；

步驟3：認證中心根據請求，審核注冊請求是否符合要求；

注冊事務有對應的格式要求與身份要求，注冊事務結構包括相關描述信息、公鑰信息、簽名；

步驟4：認證中心審核成功，則執行步驟5；否則，退回請求；

步驟5：認證中心將相關密鑰對發送給申請者，并將注冊事務發送到區塊鏈中；如果申請者為制造商，則執行步驟6；如果申請者為普通用戶，則執行步驟8；

步驟6：制造商依照設備新功能需求，根據更新范圍將安全或軟件更新發布到網絡中；如果在大范圍區域或者全球申請軟件更新操作時，更新操作將被直接發布到區塊鏈中；如果更新僅僅局限在一些區域時，更新事務將被發送到需要被更新的設備所在局部節點中；

步驟7：設備根據需求，周期地構建一個更新查詢事務提交給普通用戶；

步驟8：普通用戶檢查更新表是否存在更新請求；如果存在，用戶將更新內容傳給設備；否者，執行步驟10；

步驟9：設備根據收到的更新內容，對更新內容進行驗證；如果更新內容的簽名和數據完整，設備進行更新；否者，執行步驟10；

步驟10：檢查中心對更新內容進行檢測；如果更新內容存在惡意，則對內容進行調查，并執行相應的懲罰；否則，執行步驟11；

步驟11：普通用戶根據需求，對設備的內置存儲容量是否滿足所需數據存儲進行檢查；如果不滿足，設備將數據上傳到本地局部存儲節點，執行步驟12，或者云服務提供者，執行步驟13；如果滿足，則執行步驟16；

步驟12：設備將更新數據會直接被上傳到本地局部存儲器節點；

步驟13：設備直接上傳數據到云服務提供者，生成數據的哈希，然后構建存儲信息事務；

步驟14：設備用密鑰對存儲信息事務進行加密，然后把事務發送到區塊鏈中；

步驟15：區塊鏈確認收到事務后，云服務提供商對數據進行存儲；

步驟16：設備根據請求發布設備間相關服務，用戶根據不同的區域選擇不同的權限發布；如果設備在同一區域，則執行步驟17；如果設備在不同區域，則執行步驟20；

步驟17：普通用戶根據設備認證號設置相同區域設備間的訪問權限，并將權限內容寫到權限表中；執行步驟18；

步驟18：設備根據用戶請求，構建權限請求事務，并將它發布到局部節點；

步驟19：局部節點根據權限表，檢查所請求權限是否匹配；如果匹配，用戶獲得設備所請求使用權限；否者，拒絕權限請求；

步驟20：普通用戶根據請求，生成權限發布事務，不同的用戶對其進行簽名，然后將權限發布事務發送到區塊鏈；

步驟21：設備根據用戶請求，構建權限請求事務，并將它發布到局部節點；

步驟22：局部節點根據權限表，檢查所請求權限是否匹配，如果匹配，局部節點對請求權限事務簽名，然后將其發布到區塊鏈，并生成通信密鑰；

步驟23：用戶收到通信密鑰，獲得設備所請求的使用權限。