控制方法、装置和系统制造方法及图纸

本申请提供了一种控制方法、装置和系统，应用于物联网技术领域。其中，第一设备与中枢设备拥有相同的TEE平台，第二设备与中枢设备拥有不同的TEE平台，所述方法包括：中枢设备接收第二设备发送的第二设备的身份凭证和第一设备的公钥信息；中枢设备根据第二设备的身份凭证，控制IoT设备；中枢设备接收第一设备发送的第一设备的私钥信息；中枢设备根据第一设备的公钥信息和第一设备的私钥信息构成第一设备的身份凭证，控制所述IoT设备。本申请第二设备通过在中枢设备中配置一套身份凭证，实现与中枢设备进行绑定并通过中枢设备控制IoT设备。当后续第一设备与中枢设备连接时，在中枢设备中配置另一套身份凭证，使第一设备通过中枢设备控制IoT设备。

【技术实现步骤摘要】
控制方法、装置和系统
本专利技术涉及物联网
，尤其涉及一种控制方法、装置和系统。
技术介绍
通常物联网(internetofthings，IoT)解决方案中包含IoT设备和用于控制IoT设备的IoT应用。随着IoT设备和IoT应用的快速增长，控制IoT设备的安全性越来越受到重视。一般情况下，IoT应用可以为APP。装载有IoT应用的控制设备通过无线保真(wireless-fidelity，Wi-Fi)、紫蜂(zigbee)、蓝牙低功耗(bluetoothlowenergy，BLE)等通信技术直接连接到IoT设备上，或通过IoT云转发控制消息给可直接连接因特网的IoT设备。但是，如果IoT设备直接连接IoT云，IoT设备就暴露在公网里，被攻击的风险就会变大。现有技术中，为了解决上述问题，增加中枢设备(通常为常驻在家庭中的设备，如电视、音箱、路由器、IoT网关等)。中枢设备在本地通过Wi-Fi、Zigbee、BLE等通信技术与IoT设备连接，再通过近场/远程通信与控制设备连接，从而隔绝IoT设备与公网，降低IoT设备被攻击的风险。其中，控制设备与中枢设备之间的绑定关系建立过程中，控制设备与中枢设备通过PAKE协议建立近端安全通道，然后控制设备通过该近端安全通道将用于控制IoT设备的公私钥对发送给中枢设备，从而使中枢设备可以使用控制设备的身份作为代理去控制IoT设备。目前终端厂商均基于安全元件(secureelement，SE)和可信执行环境(trustedexecutionenvironment，TEE)在自身品牌的终端设备上构建安全能力(如指纹识别、密码处理、数据加解密、安全认证等)，使其能安全应用如移动支付、指纹解锁等功能，从程序的执行环境层面隔离敏感操作，避免隐私数据和敏感操作被破解。这些终端厂商往往也是IoT解决方案的提供商，因为拥有自身品牌的TEE平台，可以在自身品牌的终端上构建基于硬件的IoT设备的控制设备，进一步提升IoT的安全性。但是，各提供商不会将TEE平台向第三方IoT应用厂商开放。当IoT应用安装在与中枢设备相同品牌设备厂商的控制设备上时，控制设备在中枢设备连接过程中，会生成一套身份凭证(例如公私钥对)进行配对。当IoT应用安装在与中枢设备不相同品牌设备厂商的控制设备上时，由于第三方品牌控制设备没有基于SE的保护能力，如果仍使用上述那套身份凭证时，可能会导致身份凭证中的秘钥在第三方品牌控制设备上被破解，所以对于不同品牌设备厂商的控制设备使用相同的身份凭证存在很大的风险。
技术实现思路
为了克服上述问题，本申请的实施例提供了一种身份权限提升的方法、装置和系统。为了达到上述目的，本申请的实施例采用如下技术方案：第一方面，本申请提供一种控制方法，第一设备与中枢设备拥有相同的可信执行环境TEE平台，第二设备与所述中枢设备拥有不同的TEE平台，所述方法包括：第二设备向中枢设备发送的第二设备的身份凭证和第一设备的身份凭证的公钥信息；其中，所述第二设备的身份凭证包括第二设备的公钥信息和第二设备的私钥信息；所述中枢设备根据接收到的第二设备的身份凭证，控制至少一个IoT设备；第一设备向中枢设备发送的所述第一设备的身份凭证的私钥信息；中枢设备根据接收到的第一设备的公钥信息和第一设备的私钥信息构成的第一设备的身份凭证，控制所述至少一个IoT设备。本申请实施例中，通过第二设备在中枢设备中配置一套身份凭证，与中枢设备进行绑定，使第二设备通过中枢设备控制IoT设备。当后续第一设备与中枢设备连接时，通过第一设备在中枢设备中配置另一套身份凭证，使第一设备通过中枢设备控制IoT设备。当用户同时使用与中枢设备相同TEE平台的第一设备和不相同TEE平台的第二设备来控制IoT设备时，中枢设备可以优先使用权限高的第一设备的身份凭证，让第一设备控制IoT设备，以提升中枢设备控制权限。在另一个可能的实现中，所述中枢设备接收所述第二设备发送的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息之前，还包括：第二设备向中枢设备发起的PAKE协议协商，然后中枢设备与第二设备建立安全加密通道；所述中枢设备接收所述第二设备发送的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息，包括：第二设备通过安全加密通道向中枢设备发送加密后的第二设备的身份凭证和第一设备的身份凭证的公钥信息。本申请通过第二设备发起的PAKE协议协商后，与中枢设备建立安全通道，以用于保护第二设备与中枢设备之间发送信息的安全。在另一个可能的实现中，所述方法还包括：中枢设备对第二设备的身份凭证和第一设备的身份凭证的公钥信息进行解密，然后存储在所述中枢设备中的安全存储单元中。本申请中由于安全存储单元具有不可更改性，所以将接收到的第二设备的身份凭证和第一设备的公钥信息存储在安全存储单元中，以保证数据不被篡改。在另一个可能的实现中，所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证的私钥信息之前，还包括：第一设备向中枢设备发起STS协议协商，中枢设备利用从第二设备接收到的第一设备的身份凭证的公钥信息验证第一设备的身份；当中枢设备验证第一设备为从第二设备接收到的第一设备的身份凭证的公钥信息对应的设备时，与第一设备建立安全加密通道；所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证的私钥信息，包括：第一设备通过安全加密通道向中枢设备发送加密后的第一设备的身份凭证的私钥信息。本申请中枢设备与第一设备建立安全通道过程中，先验证第一设备的身份是否为已接收到的第一设备的公钥信息对应的第一设备，防止其他设备的非法连接。在确定建立安全通道的第一设备身份后，再建立安全通道，保护第一设备与中枢设备之间发送信息的安全。在另一个可能的实现中，所述方法还包括：对所述第一设备的私钥信息进行解密，然后存储在所述中枢设备中的安全存储单元中。第二方面，本申请提供一种控制装置，该装置执行如第一方面中任一可能实现的实施例。第三方面，本申请提供一种控制方法，第一设备与中枢设备拥有相同的可信执行环境TEE平台，第二设备与所述中枢设备拥有不同的TEE平台，其特征在于，所述方法包括：第一设备向中枢设备发送第一设备的身份凭证和第二设备的身份凭证，或发送第一设备的身份凭证和第二设备的身份凭证的公钥信息；其中，身份凭证包括公钥信息和私钥信息；中枢设备根据第一设备的身份凭证，控制至少一个IoT设备。本申请实施例中，通过第一设备在中枢设备中配置一套身份凭证，与中枢设备进行绑定，使第一设备通过中枢设备控制IoT设备；在后续特殊情况下，通过第二设备在中枢设备中配置另一套身份凭证，第二设备通过中枢设备控制一些特殊的IoT设备。在另一个可能的实现中，所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证以及所述第二设备的身份凭证或所述第二设备的身份凭证的公钥信息之前，还包括：第一设备向中枢设备发起的PAKE协议协商后，中枢设备与第一设备建立安全加密通道；所述中枢设备接收所述第一设本文档来自技高网...

【技术保护点】
1.一种控制方法，第一设备与中枢设备拥有相同的可信执行环境TEE平台，第二设备与所述中枢设备拥有不同的TEE平台，其特征在于，所述方法包括：/n所述中枢设备接收所述第二设备发送的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息；所述第二设备的身份凭证包括所述第二设备的公钥信息和所述第二设备的私钥信息；/n所述中枢设备根据所述第二设备的身份凭证，控制至少一个IoT设备；/n所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证的私钥信息；/n所述中枢设备根据所述第一设备的公钥信息和所述第一设备的私钥信息构成的所述第一设备的身份凭证，控制所述至少一个IoT设备。/n

【技术特征摘要】
1.一种控制方法，第一设备与中枢设备拥有相同的可信执行环境TEE平台，第二设备与所述中枢设备拥有不同的TEE平台，其特征在于，所述方法包括：
所述中枢设备接收所述第二设备发送的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息；所述第二设备的身份凭证包括所述第二设备的公钥信息和所述第二设备的私钥信息；
所述中枢设备根据所述第二设备的身份凭证，控制至少一个IoT设备；
所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证的私钥信息；
所述中枢设备根据所述第一设备的公钥信息和所述第一设备的私钥信息构成的所述第一设备的身份凭证，控制所述至少一个IoT设备。


2.根据权利要求1所述的方法，其特征在于，所述中枢设备接收所述第二设备发送的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息之前，还包括：
所述中枢设备接收所述第二设备发起的PAKE协议协商，与所述第二设备建立安全加密通道；
所述中枢设备接收所述第二设备发送的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息，包括：
所述中枢设备通过所述安全加密通道接收所述第二设备发送加密后的所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息。


3.根据权利要求2所述的方法，其特征在于，所述方法还包括：
所述中枢设备对所述第二设备的身份凭证和所述第一设备的身份凭证的公钥信息进行解密，然后存储在所述中枢设备中的安全存储单元中。


4.根据权利要求1所述的方法，其特征在于，所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证的私钥信息之前，还包括：
所述中枢设备接收所述第一设备发起的STS协议协商，利用从所述第二设备接收到的所述第一设备的身份凭证的公钥信息验证所述第一设备的身份；
当所述中枢设备验证所述第一设备为从第二设备接收到的所述第一设备的身份凭证的公钥信息对应的设备时，与所述第一设备建立安全加密通道；
所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证的私钥信息，包括：
所述中枢设备通过所述安全加密通道接收所述第一设备发送加密后的所述第一设备的身份凭证的私钥信息。


5.根据权利要求4所述的方法，其特征在于，所述方法还包括：
对所述第一设备的私钥信息进行解密，然后存储在所述中枢设备中的安全存储单元中。


6.一种控制方法，第一设备与中枢设备拥有相同的可信执行环境TEE平台，第二设备与所述中枢设备拥有不同的TEE平台，其特征在于，所述方法包括：
所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证以及所述第二设备的身份凭证或所述第二设备的身份凭证的公钥信息；所述第一设备的身份凭证包括所述第一设备的身份凭证的公钥信息和所述第一设备的身份凭证的私钥信息，所述第二设备的身份凭证包括所述第二设备的身份凭证的公钥信息和所述第二设备的身份凭证的私钥信息；
所述中枢设备根据所述第一设备的身份凭证，控制至少一个IoT设备。


7.根据权利要求6所述的方法，其特征在于，所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证以及所述第二设备的身份凭证或所述第二设备的身份凭证的公钥信息之前，还包括：
所述中枢设备接收所述第一设备发起的PAKE协议协商，与所述第一设备建立安全加密通道；
所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证以及所述第二设备的身份凭证或所述第二设备的身份凭证的公钥信息，包括：
所述中枢设备通过所述安全加密通道接收所述第一设备发送加密后的所述第一设备的身份凭证以及所述第二设备的身份凭证或所述第二设备的身份凭证的公钥信息。


8.根据权利要求7所述的方法，其特征在于，所述方法还包括：
所述中枢设备对所述第一设备的身份凭证以及所述第二设备的身份凭证或所述第二设备的公钥信息进行解密，然后存储在所述中枢设备中的安全存储单元中。


9.根据权利要求6所述的方法，其特征在于，当所述中枢设备接收所述第一设备发送的所述第一设备的身份凭证以及所述第二设备的身份凭证的公钥信息时，所述方法还包括：
所述中枢设备接收所述第二设备发送所述第二设备的身份凭证的私钥信息；
所述中枢设备根据所述第二设备的公钥信息和所述第二设备的私钥信息构成的所述第二设备的身份凭证，控制所述至少一个IoT设备。


10.根据权利要...

【专利技术属性】
技术研发人员：甘璐，马小双，黄剑豪，何超，
申请(专利权)人：华为终端有限公司，
类型：发明
国别省市：广东;44