1. 概述

近年来，物联网安全事件层出不穷，给国家安全、公民生命财产安全和个人隐私安全带来重大威胁和隐患。密码技术和基于密码技术的PKI数字证书技术的应用，为物联网安全所需的身份鉴别、访问控制、数据完整性、保密性和抗抵赖等提供了安全技术保障。

2. 现状和风险分析

2.1 物联网典型架构

物联网以“云、管、端”为主流系统架构模式，如下图所示：

图  2 1 物联网架构图

2.2 安全风险分析

目前物联网“云、管、端”的身份识别措施非常薄弱。物联网终端设备大多仅以设备出厂编号作为身份标识，通过预置密钥的HMAC认证作为身份验证方式，极易被破解、复制或重放攻击，物联网接入平台通过HMAC来向物联网终端设备发送控制指令，一旦预置密钥泄露，物联网终端设备将完全失控。手机APP的身份认证大多还停留在用户名+密码+动态验证码的低安全级别，存在较大安全隐患。

3. 方案设计

本方案将密码技术、PKI数字证书技术、TEE技术、SE技术结合物联网云、管、端进行场景落地和实施落地，以密码技术作为安全基石、以PKI数字证书技术标识物联网各端身份、以专用密码硬件设备/SE/TEE为密钥、数字证书安全存储和密码运算安全执行的载体，形成物联网安全密码应用的最佳实践。

3.1 技术架构

图 3 1 技术架构图

3.2 产品部署图

图 3 2 产品部署图

用户管理端的手机支持TEE（可信执行环境），TEE向手机APP应用提供安全接口用于生成随机数、公私钥对、CSR，同时TEE负责用户私钥安全存储、关键业务签名验签、用户生物特征识别等功能的安全执行。

设备端集成SE（加密芯片），随机数生成、公私钥对、CSR生成，私钥安全存储和签名验签等密码运算由SE完成，设备中集成证书应用SDK，完成设备和SE之间的密码应用接口调用。

业务平台端部署SVS（签名验签服务器），完成与物联网设备终端和用户APP之间交互信息的签名和验签。部署RA系统对接第三方CA系统，负责设备证书和用户证书的在线全生命周期管理。

3.3 主要功能

采用国密算法对云、管、端交互数据进行加密、解密，确保物联网数据的机密性、完整性和隐私保护；

采用PKI-CA数字证书技术标识物联网各端身份，结合国密签名、验签算法，确保物联网各端可信身份和行为的可追溯和不可篡改；

国密算法、数字证书技术和TEE/SE对接所需的中间件开发；

通过在业务流程中将随机数和时间戳嵌入签名报文中，有效避免重放攻击。

3.4 主要技术指标

4. 方案特色

基于PKI构建物联网云、管、端安全体系

结合云、管、端实际软硬件情况，提出了结合业务流程的PKI身份认证方案，结合实际项目验证，确保方案的可落地性。

充分考虑用户体验和安全性结合

用户通过操作APP进行操作，基于TEE软件可信执行环境进行密码运算、证书应用和生物识别，基本不改变原有业务体验。

在物联网设备端集成加密芯片（SE），实现高安全级别的私钥存储、密码运算和数字证书身份验证。

在业务流程设计中通过加随机数、时间戳等方式，避免重放攻击等安全威胁。

支持国密算法

本方案的设计，支持在云、端、端均基于国密算法进行设计和实现，符合国产密码算法各行业推广的趋势和要求。

5. 适用领域

车联网、智能门锁、智能家居、智慧安防、智慧地锁等。

6. 企业分工

7. 应用案例

                                            中金金融认证中心有限公司

                                             联系人：王自冲

                                             电  话：18612237006

                                                     010-80864104