一种工业物联网设备可信通讯的方法及系统技术方案

一种工业物联网设备可信通讯的方法及系统，属于工业物联网技术领域。本发明专利技术基于REE、TEE系统架构，方法包括：步骤1，从REE端将设备私钥写入TEE端的存储；步骤2，TEE端完成协议数据包处理，并返回给REE端；步骤3，建立REE端与服务器之间的可信信道；步骤4，REE端将处理完成的协议数据包通过可信信道发送给服务器。本发明专利技术能够有效保障物联网设备与服务器通信的可信，同时通用性更高，成本更低。成本更低。成本更低。

【技术实现步骤摘要】
一种工业物联网设备可信通讯的方法及系统


[0001]本专利技术涉及工业物联网
，尤其涉及一种工业物联网设备可信通讯的方法及系统。

技术介绍

[0002]工程建设领域，随着信息化的发展，国家在出台了相关法规，提出了智慧工地理念，智慧工地的建设依托于物联网技术，移动网络、BIM技术、大数据、人工智能等技术，让工地现场具备全面感知功能，实时准确地获取“人”、“机械设备”、“环境”等采集到的数据，对数据进行分析和预测，可以有效辅助管理者进行决策，实现智能化管理。而对数据的分析需要在服务器上进行，所以，如何安全可靠地将设备采集到的数据上传至服务器至关重要。
[0003]工业物联网场景下，保障设备与服务器之间的可信通讯，一般采用以下方案：1、离线烧写设备私钥和服务器公钥；2、设备使用服务器公钥对数据进行加密；3、服务器端使用服务器私钥进行解密，使用设备公钥封包数据，然后发送到客户端；4、协商完成对称密钥后，双方都使用对称密钥进行加密通讯。
[0004]该方案通过设备私钥文件来保证设备的真实性和网络私密性。但是，其私钥存储在设备的文件系统中，容易造成私钥文件的泄露，此时服务器将无法验证数据的真实性；并且，其需要向设备厂商提供数据组包，签名加密等资料，通用性较差。

技术实现思路

[0005]本专利技术的目的是为了解决上述现有技术存在的问题，提供一种工业物联网设备可信通讯的方法及系统，其能够有效保障物联网设备与服务器通信的可信，同时通用性更高，成本更低。
[0006]本专利技术的目的是通过以下技术方案实现的：一种工业物联网设备可信通讯的方法，基于REE、TEE系统架构，包括如下步骤：步骤1，从所述REE端将设备私钥写入TEE端的存储；步骤2，所述TEE端完成协议数据包处理，并返回给所述REE端；步骤3，建立所述REE端与服务器之间的可信信道；步骤4，所述REE端将处理完成的协议数据包通过所述可信信道发送给所述服务器。
[0007]本专利技术通过在TEE端完成协议数据包处理，以避免秘钥的泄露，而REE端只负责收发数据，且REE端与服务器之间通过建立可信信道来实现数据的加密传输，从而避免数据泄露。
[0008]作为本专利技术优选，所述步骤1具体包括：步骤1.1，调用所述REE端的CA接口，开始私钥写入；
步骤1.2，所述TEE端的TA接收到私钥数据后，验证私钥数据合法性；步骤1.3，私钥数据合法性验证通过后，写入安全存储；步骤1.4，所述TA向REE端返回调用结果。
[0009]作为本专利技术优选，所述步骤2具体包括：步骤2.1，所述REE端调用CA接口开始协议包组包；步骤2.2，所述TEE端的TA通过安全存储、加密、签名服务对数据进行处理；步骤2.3，TA将处理完成后的数据，通过CA返回给所述REE端。
[0010]作为本专利技术优选，所述步骤3具体包括：步骤3.1，所述REE端生成一个随机数A，并携带着版本号和加密方式发送给所述服务器；步骤3.2，所述服务器验证所述版本号和加密方式可用之后，生成一个随机数B，并携带着证书发送给所述REE端；步骤3.3，所述REE端验证所述证书可用之后，利用所述证书中的公钥对随机数A和B加密生成随机数C，并发送给所述服务器；步骤3.4，所述服务器利用所述证书中的私钥对随机数C进行解密；步骤3.5，所述REE端与服务器之间生成一个由随机数A、B、C构成的对话秘钥。
[0011]作为本专利技术优选，在所述步骤1之前还包括：在设备生产时，采用非对称算法秘钥在REE端和服务器之间建立可信鉴别机制，将私钥存储在设备中，公钥存储在服务器中。
[0012]本专利技术还提供一种工业物联网设备可信通讯的系统，基于REE、TEE系统架构，包括：私钥存储模块，用于从所述REE端将设备私钥写入TEE端的存储；协议数据包处理模块，用于通过所述TEE端完成协议数据包处理；可信信道建立模块，用于在REE端与服务器之间建立可信信道；数据发送模块，用于通过所述REE端将处理完成的协议数据包发送给所述服务器。
[0013]作为本专利技术优选，所述私钥存储模块包括：存储启动单元，用于调用所述REE端的CA接口，开始私钥写入；私钥验证单元，用于验证私钥数据的合法性；私钥写入单元，用于当私钥数据合法性验证通过后，写入安全存储；结果反馈单元，用于向所述REE端返回调用结果。
[0014]作为本专利技术优选，所述协议数据包处理模块包括：处理启动单元，用于调用所述REE端的CA接口开始协议包组包；数据处理单元，用于通过TA提供的安全存储、加密、签名服务对数据进行处理；数据反馈单元，用于将处理完成后的数据，通过CA返回给所述REE端。
[0015]作为本专利技术优选，所述可信信道建立模块包括：随机数生成单元，用于生成随机数，建立与服务器之间的对话秘钥；证书验证单元，用于验证所述服务器的证书；加解密单元，根据所述对话秘钥，在与所述服务器之间进行数据交互时，对数据进行加解密。
[0016]本专利技术的优点是：
1、基于ARM下通用的Trustzone技术实现物联网设备与服务器之间的可信通信，通用性更高，成本更低；2、在TEE端完成安全存储、数据组包、数据加密、数据签名等服务，而REE端只负责收发数据，避免秘钥和通讯细节的泄露；3、REE端与服务器之间的通讯，通过建立可信信道，实现对数据的加密通讯，避免数据泄露。
附图说明
[0017]图1为本专利技术一种工业物联网设备可信通讯的方法的流程图；图2为本专利技术所基于的架构示意图；图3为本专利技术中建立可信信道的示意图。
具体实施方式
[0018]下面将结合附图和具体实施方式对本专利技术做进一步的详细说明。本专利技术基于ARM Trustzone技术，物联网设备一般都采用ARM芯片，Trustzone 是由ARM官方定义，并提供硬件设计的方案，能提供芯片级别对硬件资源的保护和隔离，当前在ARM主流芯片领域已得到广泛应用，以ARM Trustzone技术为基础的可信执行环境，是在芯片内部实现了REE（Trusted Execution Environment，可信执行环境）和TEE（Rich Execution Environment，通用执行环境）的隔离，REE不能直接访问TEE中的数据的内容，只能访问由TA（Trusted Application，可信应用）提供的接口服务，实现了隐私数据和关键算法的隔离。具体的，以人脸识别设备为例，如图1所示，REE（linux/android）端的设备激活和注册、人员信息同步、考勤上报、OTA升级服务均需要通过CA程序去调用TEE端的TA接口服务，以将这些功能的私钥存储、RSA加/解密等相关隐私服务在TEE端完成，即REE端程序不参与密钥协商和密钥存储以及加解密过程，即使被恶意破坏，也无法获取密钥和通讯细节，可以有效避免系统安全风险。
[0019]具体的，如图2所示，基于该架构，本专利技术提供一种工业物联网设备可信通讯的方法，包括如下步骤：步骤1，从所述REE端将设备私钥写入TEE端的存储，以避免私钥本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种工业物联网设备可信通讯的方法，基于REE、TEE系统架构，其特征在于，包括如下步骤：步骤1，从所述REE端将设备私钥写入TEE端的存储；步骤2，所述TEE端完成协议数据包处理，并返回给所述REE端；步骤3，建立所述REE端与服务器之间的可信信道；步骤4，所述REE端将处理完成的协议数据包通过所述可信信道发送给所述服务器。2.根据权利要求1所述的一种工业物联网设备可信通讯的方法，其特征在于，所述步骤1具体包括：步骤1.1，调用所述REE端的CA接口，开始私钥写入；步骤1.2，所述TEE端的TA接收到私钥数据后，验证私钥数据合法性；步骤1.3，私钥数据合法性验证通过后，写入安全存储；步骤1.4，所述TA向REE端返回调用结果。3.根据权利要求1所述的一种工业物联网设备可信通讯的方法，其特征在于，所述步骤2具体包括：步骤2.1，所述REE端调用CA接口开始协议包组包；步骤2.2，所述TEE端的TA通过安全存储、加密、签名服务对数据进行处理；步骤2.3，TA将处理完成后的数据，通过CA返回给所述REE端。4.根据权利要求1所述的一种工业物联网设备可信通讯的方法，其特征在于，所述步骤3具体包括：步骤3.1，所述REE端生成一个随机数A，并携带着版本号和加密方式发送给所述服务器；步骤3.2，所述服务器验证所述版本号和加密方式可用之后，生成一个随机数B，并携带着证书发送给所述REE端；步骤3.3，所述REE端验证所述证书可用之后，利用所述证书中的公钥对随机数A和B加密生成随机数C，并发送给所述服务器；步骤3.4，所述服务器利用所述证书中的私钥对随机数C进行解密；步骤3.5，所述REE端与服务器之间生成一个由随机数A、B、C构成的对话...

【专利技术属性】
技术研发人员：王子鹏，田直，王昂哲，
申请(专利权)人：浙江清华长三角研究院，
类型：发明
国别省市：