一种基于公开密钥证书的终端设备管控方法技术

本发明专利技术涉及终端设备管控技术领域，具体为一种基于公开密钥证书的终端设备管控方法，本发明专利技术统一安全模型，基于国内外安全行业通用技术标准，与业务规则无关，同时系统效率更高，未经授权终端设备在网络协议内核层级拒绝服务，另外安全系数更高，终端管控平台设备证书获取需通过我司自研可信认证SDK这条唯一路径，而可信认证SDK获取需走通相关授权审批流程。内核层级的安全防控，可以有效防止系统感染风险，最后国产信创支持，具体是基于大数分解逆模运算，还是椭圆曲线加密算法，本方案未做限定，信创环境可根据实际业务需求进行灵活选配和定制。和定制。和定制。

【技术实现步骤摘要】
一种基于公开密钥证书的终端设备管控方法


[0001]本专利技术涉及终端设备管控
，具体为一种基于公开密钥证书的终端设备管控方法。

技术介绍

[0002]现阶段终端管控技术方案实现逻辑，主要集中在服务器端，基于企业私有化业务规则及商业协议设计，在操作系统应用层面进行封装和技术实现。
[0003]具体有如下几种方案：
[0004]1.基于唯一识别码的方案。首先，由系统运营人员在服务器端导入可信终端固有且用户难以篡改的唯一设备识别码，或者由系统采用随机算法结合用户请求信息运算得出唯一授权识别码。之后，可信终端发起业务请求时携带该设备唯一识别码，经互联网传输到服务器端应用系统，应用系统从业务请求中提取设备唯一识别码后，将其与系统中预登记信息进行完整比对。若比对成功，则业务请求可信。若比对失败，则系统给出相应错误提示。该方案优点是技术实现容易，且有较多成熟案例可以借鉴。缺点是唯一设备识别码并不容易获取且厂家之间差异交大，唯一授权识别码与终端设备的绑定较为松散潜在被冒用盗用安全风险，应用层面业务规则企业之间难以共通而难以形成行业技术标准，技术实现上应用层面终端管控实现逻辑资源消耗大且潜在系统层面被攻击风险。
[0005]2.基于标准化M2M协议的方案。比如，YD公司基于OMA开放移动联盟国际标准化组织制定的轻量化M2M协议LwM2M实现的终端管控技术方案。LwM2M协议包含LwM2M服务器端，LwM2M客户端以及LwM2M引导服务器三个逻辑实体，客户端用于待管控终端使用，服务器端用于YD公司后台终端管控平台进行终端管理和设备监控。该方案的优点是兼容国际标准可扩展性好，协议语义完备性有利于YD公司针对市场变化进一步深化终端管控技术方案以便更好满足客户需求，现状终端管控业务范围涵盖硬件终端，终端软件应用以及业务数据等多种场景。缺点是该方案侧重2G，4G，WIFI，NB，ZigBee等无限网络移动通信技术标准，轻量化M2M协议针对物联网场景进行了网络协议优化，终端管控仍然是在系统应用层面实现，不适用于大规模网络攻击场景。
[0006]3.基于客户端服务器CS模式的方案。比如，BXY公司基于专有协议，开发了专有客户端APP和终端管控平台。终端管控平台仅支持平台自定义设备的网络通信，管控环境下移动平板PAD以及业务PC等需要采用BXY公司专有APP进行平台注册登记并获得管理人员审批之后，才有使用有限的网络资源。该方案的优点是方案针对政务场景的高度定制，能较好满足政务领域客户需求。缺点是公司私有协议定制，缺乏标准化和生态方面可扩展性。

技术实现思路

[0007]本专利技术的目的在于提供一种基于公开密钥证书的终端设备管控方法，本案主要基于网络协议内核层级终端系统管控技术方案，尤其针对非法终端设备的误用及盗用场景，能起到较好防护作用。
[0008]为实现上述目的，本专利技术提供如下技术方案：一种基于公开密钥证书的终端设备管控方法，包括以下步骤，
[0009]S01:已认证终端向终端管控平台发起HTTPS通信请求，而未认证终端经集约中继服务模块发送HTTPS通信请求；
[0010]S02:已认证终端通过终端管控平台对HTTPS通信请求进行客户端设备证书验证；若证书无效，则终端为非法设备拒绝访问，跳转下一步，而未认证终端通过集约中继服务模块转发HTTPS通信请求至终端管控平台；
[0011]S03:已认证终端若证书验证失败，则终端管控平台向已认证终端返回校验失败消息，而未认证终端通过终端管控平台对已认证终端HTTPS通信请求进行客户端设备证书验证；若证书无效，则终端为非法设备拒绝访问，跳转下一步；
[0012]S04:已认证终端启动独立进程并载入可信认证SDK；而未认证终端若证书验证失败，则终端管控平台向集约中继服务模块返回校验失败消息；
[0013]S05:已认证终端则通过可信认证SDK向终端管控平台发起注册请求，而未认证终端则通过集约中继服务模块转发校验失败消息至未认证设备，因集约中继服务模块未注册有效设备证书，HTTPS通信请求转发失败；
[0014]S06:已认证终端通过终端管控平台验证可信认证SDK请求是否有效，防止黑客伪造SDK盗取合法设备证书，终端管控平台验证请求是否携带有效二进制签名，若签名无效，则终端管控平台第一时间拒绝请求，而未认证终端则通过集约中继服务模块启动独立进程并载入可信认证SDK，可信认证SDK为本案专用设备证书注册SDK，采用难读化技术有效防止SDK反编译破解，采用二进制签名技术有效防止SDK篡改及伪造；
[0015]S07:已认证终端通过终端管控平台向CA认证机构申请并购买CA根证书，而未认证终端则通过可信认证SDK向终端管控平台发起注册请求；
[0016]S08:已认证终端通过CA认证机构向终端管控平台返回CA根证书，终端管控平台缓存CA根证书到系统本地安全存储区域，而未认证终端则通过终端管控平台验证可信认证SDK注册请求是否有效，为防止黑客伪造SDK盗取合法设备证书，终端管控平台验证请求是否携带有效二进制签名，若签名无效，则终端管控平台第一时间拒绝请求；
[0017]S09:已认证终端基于CA根证书终端管控平台计算并发行有效设备证书，而未认证终端则通过终端管控平台向CA认证机构申请并购买CA根证书；
[0018]S10:已认证终端通过终端管控平台向可信认证SDK返送有效设备证书，而未认证终端则通过CA认证机构向终端管控平台返回CA根证书，终端管控平台缓存CA根证书到系统本地安全存储区域；
[0019]S11:已认证终端通过可信认证SDK向已认证终端返送有效设备证书，已认证终端缓存有效设备证书直到证书过期或被召回，而未认证终端则基于CA根证书终端管控平台计算并发行有效设备证书；
[0020]S12:已认证终端再次向终端管控平台发起HTTPS通信请求，而未认证终端则通过终端管控平台向可信认证SDK返送有效设备证书；
[0021]S13:已认证终端通过终端管控平台对已认证终端HTTPS通信请求进行客户端设备证书验证，若设备证书有效，则通信请求有效，跳转下一步，而未认证终端则通过可信认证SDK向集约中继服务模块返送有效设备证书，集约中继服务模块缓存有效设备证书直到证
书过期或被召回；
[0022]S14:已认证终端通过终端管控平台转发通信请求到业务系统集群，而未认证终端则通过未认证设备再次经集约中继服务模块发起HTTPS通信请求；
[0023]S15:已认证终端通过业务系统集群完成常规业务处理并返回处理结果，而未认证终端则通过集约中继服务模块转发HTTPS通信请求至终端管控平台；
[0024]S16:已认证终端通过业务系统集群向终端管控平台返送业务处理结果，而未认证终端则通过终端管控平台对集约中继服务模块HTTPS通信请求进行客户端设备证书验证，若设备证书有效，则通信请求有效，跳转下一步；
[0025]S17:已认证终端通过终端管控平台向已认证终端返送业务处理本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于公开密钥证书的终端设备管控方法，其特征在于：包括以下步骤，S01:已认证终端向终端管控平台发起HTTPS通信请求，而未认证终端经集约中继服务模块发送HTTPS通信请求；S02:已认证终端通过终端管控平台对HTTPS通信请求进行客户端设备证书验证；若证书无效，则终端为非法设备拒绝访问，跳转下一步，而未认证终端通过集约中继服务模块转发HTTPS通信请求至终端管控平台；S03:已认证终端若证书验证失败，则终端管控平台向已认证终端返回校验失败消息，而未认证终端通过终端管控平台对已认证终端HTTPS通信请求进行客户端设备证书验证；若证书无效，则终端为非法设备拒绝访问，跳转下一步；S04:已认证终端启动独立进程并载入可信认证SDK；而未认证终端若证书验证失败，则终端管控平台向集约中继服务模块返回校验失败消息；S05:已认证终端则通过可信认证SDK向终端管控平台发起注册请求，而未认证终端则通过集约中继服务模块转发校验失败消息至未认证设备，因集约中继服务模块未注册有效设备证书，HTTPS通信请求转发失败；S06:已认证终端通过终端管控平台验证可信认证SDK请求是否有效，防止黑客伪造SDK盗取合法设备证书，终端管控平台验证请求是否携带有效二进制签名，若签名无效，则终端管控平台第一时间拒绝请求，而未认证终端则通过集约中继服务模块启动独立进程并载入可信认证SDK，可信认证SDK为本案专用设备证书注册SDK，采用难读化技术有效防止SDK反编译破解，采用二进制签名技术有效防止SDK篡改及伪造；S07:已认证终端通过终端管控平台向CA认证机构申请并购买CA根证书，而未认证终端则通过可信认证SDK向终端管控平台发起注册请求；S08:已认证终端通过CA认证机构向终端管控平台返回CA根证书，终端管控平台缓存CA根证书到系统本地安全存储区域，而未认证终端则通过终端管控平台验证可信认证SDK注册请求是否有效，为防止黑客伪造SDK盗取合法设备证书，终端管控平台验证请求是否携带有效二进制签名，若签名无效，则终端管控平台第一时间拒绝请求；S09:已认证终端基于CA根证书终端管控平台计算并发行有效设备证书，而未认证终端则通过终端管控平台向CA认证机构申请并购买CA根证书；S10:已认证终端通过终端管控平台向可信认证SDK返送有效设备证书，而未认证终端则通过CA认证...

【专利技术属性】
技术研发人员：王良霖，余力，吴斌，
申请(专利权)人：福建海峡基石科技集团有限公司，
类型：发明
国别省市：