[發明專利]一種基于權能的物聯網訪問控制方法及裝置

有效

• 申請號: 202110649002.3
• 申請日: 2021-06-10
• 公開（公告）號: CN113612724B
• 公開（公告）日: 2022-01-25
• 發明（設計）人: 殷麗華;李超;李凡;羅天杰;羅熙;孫哲;王濱;王星
• 申請（專利權）人: 廣州大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/32;G16Y30/10;G06F21/64
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郭浩輝;顏希文

1.一種基于權能的物聯網訪問控制方法，其特征在于，包括：

在第一用戶獲取訪問控制權限后，通過策略決策點生成所述第一用戶的權限對應的初始能力令牌，將所述初始能力令牌發送至所述第一用戶，使所述第一用戶接收所述初始能力令牌，并通過數字簽名對所述初始能力令牌進行加密；

接收所述第一用戶發送的第一資源請求以及簽名后的所述初始能力令牌，驗證到所述初始能力令牌是否合法，若是，將所述第一資源請求對應的資源對象發送至所述第一用戶；

建立時間能力樹，采用孩子兄弟法將所述時間能力樹存儲至所述第一用戶的時間能力樹庫中，并使用資源端公鑰進行加密，將所述第一用戶的初始能力令牌發送至第二用戶，對第二用戶的能力令牌的數字簽名進行驗證，在驗證到所述能力令牌的數字簽名合法后，使所述第二用戶擁有所述第一用戶的能力；所述建立時間能力樹，具體為：通過資源服務器將單獨令牌內包含的能力樹進行存儲，并對同一資源的同一能力進行時間能力樹組合，同時在所述資源服務器的相應節點記錄用戶每次訪問的時間，得到完整的時間能力樹，其中，所述時間能力樹在資源服務器端進行維護，所述時間能力樹由能力樹名稱、節點及節點關系組成；

根據所述第二用戶發送的能力令牌更新所述時間能力樹，接收第一用戶發送的第三資源請求，若所述第三資源請求對應的時間能力樹的節點在所述第一用戶中，且所述時間能力樹在能力生效時間段內，則將所述第三資源請求對應的能力發放給所述第一用戶，并將此時的時間記入所述時間能力樹的時間節點序列中。

2.如權利要求1所述的基于權能的物聯網訪問控制方法，其特征在于，在第一用戶獲取訪問控制權限之前，還包括：

接收第一用戶發送的第一權限信息，驗證所述第一權限信息是否符合訪問控制策略，若是，則將訪問控制權限授予所述第一用戶。

3.如權利要求1所述的基于權能的物聯網訪問控制方法，其特征在于，所述驗證到所述初始能力令牌是否合法，具體為:

對所述初始能力令牌解密得到所述第一用戶的公鑰，根據所述公鑰驗證所述第一用戶的初始能力令牌是否合法。

4.如權利要求1所述的基于權能的物聯網訪問控制方法，其特征在于，所述根據所述第二用戶發送的能力令牌更新所述時間能力樹，具體為：

接收所述第二用戶發送的能力令牌，對所述能力令牌中的數字簽名進行合法性驗證，驗證通過后向所述第二用戶發放所述能力令牌相應的能力，并更新所述時間能力樹。

5.一種基于權能的物聯網訪問控制裝置，其特征在于，包括：

能力令牌發送模塊，用于在第一用戶獲取訪問控制權限后，通過策略決策點生成所述第一用戶的權限對應的初始能力令牌，將所述初始能力令牌發送至所述第一用戶，使所述第一用戶接收所述初始能力令牌，并通過數字簽名對所述初始能力令牌進行加密；

資源對象發送模塊，用于接收所述第一用戶發送的第一資源請求以及簽名后的所述初始能力令牌，驗證到所述初始能力令牌是否合法，若是，將所述第一資源請求對應的資源對象發送至所述第一用戶；

數字簽名驗證模塊，用于建立時間能力樹，采用孩子兄弟法將所述時間能力樹存儲至所述第一用戶的時間能力樹庫中，并使用資源端公鑰進行加密，將所述第一用戶的初始能力令牌發送至第二用戶，對第二用戶的能力令牌的數字簽名進行驗證，在驗證到所述能力令牌的數字簽名合法后，使所述第二用戶擁有所述第一用戶的能力；所述建立時間能力樹，具體為：通過資源服務器將單獨令牌內包含的能力樹進行存儲，并對同一資源的同一能力進行時間能力樹組合，同時在所述資源服務器的相應節點記錄用戶每次訪問的時間，得到完整的時間能力樹，其中，所述時間能力樹在資源服務器端進行維護，所述時間能力樹由能力樹名稱、節點及節點關系組成；

能力發放模塊，用于根據所述第二用戶發送的能力令牌更新所述時間能力樹，接收第一用戶發送的第三資源請求，若所述第三資源請求對應的時間能力樹的節點在所述第一用戶中，且所述時間能力樹在能力生效時間段內，則將所述第三資源請求對應的能力發放給所述第一用戶，并將此時的時間記入所述時間能力樹的時間節點序列中。