身份認(rèn)證在企業(yè)智能物聯(lián)場景中的應(yīng)用

劉廷峰 李江鑫

(四川中電啟明星信息技術(shù)有限公司 四川成都 610041)

隨著通信技術(shù)、云計算、人工智能等技術(shù)的不斷發(fā)展，物聯(lián)網(wǎng)相關(guān)技術(shù)逐步成熟與應(yīng)用場景的落地，并在以5G技術(shù)為代表的新架構(gòu)的支撐下，物聯(lián)網(wǎng)在數(shù)字經(jīng)濟規(guī)模效應(yīng)逐步顯現(xiàn)。《物聯(lián)網(wǎng)終端安全白皮書（2019）》顯示，智能交通、智慧醫(yī)療等行業(yè)的普及應(yīng)用全面推進(jìn)物聯(lián)網(wǎng)終端呈指數(shù)級增長，截至2019 年，全球物聯(lián)網(wǎng)設(shè)備連接數(shù)量達(dá)到110 億個，且據(jù)全球移動通信系統(tǒng)協(xié)會（Global System for Mobile Communications Association，GSMA）預(yù)測至2025 年將達(dá)到250 億個，較2018 年實現(xiàn)年復(fù)合增長率15.71%。目前，越來越多的行業(yè)及應(yīng)用將AI與智能物聯(lián)設(shè)備結(jié)合到一起，A智能物聯(lián)設(shè)備已經(jīng)成為各大傳統(tǒng)行業(yè)智能化升級的最佳通道，也是未來物聯(lián)網(wǎng)發(fā)展的重要方向。例如：在消費級市場三大常用場景（家、路、辦公）中，圍繞消費者場景A 智能物聯(lián)設(shè)備生態(tài)正被不斷構(gòu)建，并催生了華為鴻蒙、海爾智能家居、小米智能物聯(lián)設(shè)備、涂鴉等行業(yè)內(nèi)領(lǐng)先的智能物聯(lián)業(yè)務(wù)或公司。

智能設(shè)備的硬件和組件成本不斷降低，為傳統(tǒng)設(shè)備增加聯(lián)網(wǎng)能力和數(shù)據(jù)處理能力也更容易。在萬物智聯(lián)的場景中，設(shè)備與設(shè)備間將互聯(lián)互通，進(jìn)行信息交互。在這個過程中，系統(tǒng)及物聯(lián)網(wǎng)會不斷收集和分析數(shù)據(jù)，因此保障物聯(lián)場景中的人、設(shè)備、系統(tǒng)的安全性及可靠性就變得尤為關(guān)鍵，一旦系統(tǒng)遭受入侵或者信息泄露，隨時可能危及企業(yè)或個人資產(chǎn)安全。該文主要探討在大型企業(yè)相對封閉的環(huán)境中，如何利用身份認(rèn)證技術(shù)幫助企業(yè)建立安全可靠、簡單易用的智能物聯(lián)場景應(yīng)用。

1 應(yīng)用場景

在企業(yè)辦公場景，越來越多的智能物聯(lián)硬件進(jìn)入企業(yè)辦公區(qū)，例如智能考勤、通行、車輛、環(huán)境監(jiān)測、無紙化辦公設(shè)備等。在大型企業(yè)或者集團型企業(yè)中，這類設(shè)備隨處可見，例如：帶人臉識別、二維碼打卡、定位一體的智能考勤終端，或是可智能聯(lián)網(wǎng)的云打印的打印設(shè)備、生產(chǎn)線上的手持智能終端等。這類智能物聯(lián)設(shè)備在企業(yè)生命周期中，可能需要經(jīng)過網(wǎng)絡(luò)層面管理者配置安全接入、業(yè)務(wù)系統(tǒng)的管理員進(jìn)行權(quán)限控制、用戶所在組的管理者進(jìn)行日常維護(hù)、個人用戶進(jìn)行訪問與使用等，其中的每一個環(huán)節(jié)，都需要對參與的人、設(shè)備進(jìn)行身份認(rèn)證，應(yīng)用場景敘述具體如下。

（1）設(shè)備接入場景：基礎(chǔ)網(wǎng)絡(luò)層的管理者，智能物聯(lián)設(shè)備完成基本認(rèn)證開通管理場景，考慮到物聯(lián)網(wǎng)設(shè)備往往分布在組織的各個單元，智能物聯(lián)設(shè)備管理員角色應(yīng)通過身份認(rèn)證系統(tǒng)統(tǒng)一認(rèn)證。

（2）系統(tǒng)配置場景：應(yīng)用系統(tǒng)層的管理者，對智能物聯(lián)設(shè)備進(jìn)行網(wǎng)絡(luò)接入和系統(tǒng)訪問權(quán)限的配置單獨規(guī)劃的獨立角色，方便靈活適應(yīng)具體業(yè)務(wù)場景。

（3）業(yè)務(wù)管理場景，各業(yè)務(wù)部門的管理者，需要完成物聯(lián)網(wǎng)設(shè)備的日常維護(hù)管理，此類管理業(yè)務(wù)通常是較為復(fù)雜的業(yè)務(wù)操作，例如：對考勤設(shè)備進(jìn)行數(shù)據(jù)導(dǎo)入導(dǎo)出、設(shè)置該部門考勤規(guī)則等。

（4）員工使用場景，即日常實際使用設(shè)備開展相關(guān)業(yè)務(wù)的員工，比如：普通員工刷臉完成考勤、通過手機端連接打印機完成打印等。

在傳統(tǒng)的智能設(shè)備管理與使用生命周期中，設(shè)備的接入、分配、使用、運維等各個階段都是分割、獨立的，實體之間缺少信息交互，關(guān)鍵的身份信息沒有打通，無法統(tǒng)一對設(shè)備、對管理者、對使用者的身份進(jìn)行認(rèn)證，導(dǎo)致設(shè)備接入使用非常復(fù)雜，使用門檻較高。該方案將介紹基于身份認(rèn)證技術(shù)，實現(xiàn)更貼近消費級智能硬件使用體驗的解決方案。

2 系統(tǒng)架構(gòu)思路

通過設(shè)計一種面向企業(yè)用戶、信息系統(tǒng)、智能物聯(lián)設(shè)備三方互聯(lián)互信的身份認(rèn)證與互聯(lián)方案，來改變在企業(yè)中人與設(shè)備的交互方式，提升身份認(rèn)證安全性與便捷性。架構(gòu)主要體現(xiàn)設(shè)計思路與頂層邏輯關(guān)系，其主要包含3個部分，分別是身份認(rèn)證中心、智能物聯(lián)設(shè)備、用戶手機（系統(tǒng)應(yīng)用）組成，具體情況見圖1。

圖1 身份認(rèn)證中心示意圖

2.1 身份認(rèn)證中心

身份認(rèn)證中心包含統(tǒng)一用戶身份認(rèn)證中心和物聯(lián)設(shè)備認(rèn)證服務(wù)中心這兩個主要模塊。

2.1.1 統(tǒng)一用戶身份認(rèn)證中心

統(tǒng)一用戶身份認(rèn)證中心一般由企業(yè)的統(tǒng)一身份認(rèn)證系統(tǒng)或者是IAM 系統(tǒng)承擔(dān)，也可以全新開發(fā)。它主要完成對用戶的認(rèn)證。統(tǒng)一身份認(rèn)證服務(wù)系統(tǒng)的一個基本應(yīng)用模式是統(tǒng)一認(rèn)證模式，它是以統(tǒng)一身份認(rèn)證服務(wù)為核心的服務(wù)使用模式。用戶登錄統(tǒng)一身份認(rèn)證服務(wù)后，即可使用所有支持統(tǒng)一身份認(rèn)證服務(wù)的管理應(yīng)用系統(tǒng)。

2.1.2 物聯(lián)設(shè)備認(rèn)證服務(wù)中心

物聯(lián)設(shè)備認(rèn)證服務(wù)中心主要完成對接入設(shè)備的身份合法性進(jìn)行鑒別。企業(yè)可以使用在不同協(xié)議層上的身份認(rèn)證技術(shù)，比如鏈路層的802.1x、傳輸層的TLS、應(yīng)用層的OAuth2.0 等。目前市面上有多種商業(yè)實現(xiàn)方案，一種比較典型的是IFAA 的物聯(lián)設(shè)備認(rèn)證方案（見圖2），其中的關(guān)鍵是利用設(shè)備終端的安全能力（如TEE、安全沙箱）、數(shù)字簽名與加密技術(shù)、移動技術(shù)等實現(xiàn)設(shè)備的認(rèn)證。物聯(lián)網(wǎng)設(shè)備的認(rèn)證服務(wù)通常可以配合企業(yè)的物聯(lián)網(wǎng)管理平臺進(jìn)行部署與實現(xiàn)，并以獨立服務(wù)的形式面向所有需要認(rèn)證的設(shè)備提供認(rèn)證服務(wù)[1]。

圖2 IFAA物聯(lián)設(shè)備認(rèn)證鏈路

2.2 智能物聯(lián)設(shè)備

即在該場景中需要接入企業(yè)網(wǎng)絡(luò)環(huán)境，為企業(yè)特定場景提供功能和服務(wù)的設(shè)備。因設(shè)備使用場景千差萬別，設(shè)備間計算能力、接入方式、交互方式必然有所差別，部分設(shè)備的連接上線需要借助企業(yè)的物聯(lián)網(wǎng)平臺，設(shè)備與服務(wù)端的驗證過程中，可以采用國密算法，通過兩次簽名驗證完[2]。

2.3 用戶手機（系統(tǒng)應(yīng)用）

用戶手機為企業(yè)實現(xiàn)員工安全、便捷、高效地接入、使用、維護(hù)智能物聯(lián)設(shè)備提供了可能性。

3 系統(tǒng)demo設(shè)計

在該方案的架構(gòu)設(shè)計下，要完整地實現(xiàn)一套系統(tǒng)需要非常多的資源，為了便于簡明扼要地展示方案的系統(tǒng)方法，在該方案中對整個系統(tǒng)進(jìn)行簡化，并以支持藍(lán)牙、Wi-Fi、掃碼、指紋等接口的智能考勤終端作為場景進(jìn)行demo案例的實現(xiàn)，在移動端基于微信小程序?qū)崿F(xiàn)各類用戶的需求，具體思路如下。

（1）將智能物聯(lián)設(shè)備接入管理員和配置管理員融合為一個角色，即啟動設(shè)備管理小程序，指紋認(rèn)證后直接掃描二維碼建立藍(lán)牙近場通信，通過設(shè)備側(cè)SDK直接配置設(shè)備的Wi-Fi 訪問點和密碼，讓設(shè)備快速接入網(wǎng)絡(luò)，在設(shè)備接入網(wǎng)絡(luò)后，通過小程序界面配置設(shè)備名稱型號，并可以在后臺看到對應(yīng)更新信息，在設(shè)備管理小程序內(nèi)也可以訪問對應(yīng)設(shè)備的管理界面。

（2）服務(wù)端智能物聯(lián)設(shè)備身份認(rèn)證服務(wù)與設(shè)備管理平臺融合為一個后臺供demo，包括設(shè)備的信息查詢等基本功能，底層API 完整實現(xiàn)了注冊激活狀態(tài)查詢設(shè)備操作等功能。

（3）智能物聯(lián)設(shè)備側(cè)通過SDK[3]，實現(xiàn)藍(lán)牙近場通信和企業(yè)網(wǎng)絡(luò)下與小程序及后臺的互操作。

（4）智能物聯(lián)設(shè)備側(cè)的密碼學(xué)認(rèn)證體系由于采用本地的數(shù)字證書與加密簽名機制[4-5]，主要用于驗證小程序-服務(wù)器-物聯(lián)網(wǎng)設(shè)備的完整操作過程及提供用戶側(cè)的基本體驗。

3.1 用戶側(cè)邏輯設(shè)計

在用戶側(cè)，為用戶實現(xiàn)的demo程序是借助了微信小程序，用戶無需安裝App，可降低使用門檻與推廣成本、研發(fā)成本。企業(yè)員工通過微信掃描設(shè)備上的二維碼，會將用戶引導(dǎo)至demo 小程序，讓用戶在企業(yè)的身份認(rèn)證完成驗證。驗證通過后，可以通過藍(lán)牙與設(shè)備進(jìn)行連接。管理員藍(lán)牙連接完成后，可以為設(shè)備配置無線網(wǎng)絡(luò)、有線網(wǎng)絡(luò)，所有操作都在手機上完成。同時，管理員可以通過小程序與服務(wù)器端進(jìn)行交互，獲取更多的設(shè)備信息與權(quán)限。與設(shè)備的交互主要過程如下。

（1）連接藍(lán)牙配置Wi-Fi網(wǎng)絡(luò)：掃描設(shè)備上的二維碼，進(jìn)行藍(lán)牙連接；藍(lán)牙連接完成，配置Wi-Fi 網(wǎng)絡(luò)。這個過程中主要進(jìn)行掃碼藍(lán)牙握手、獲取Wi-Fi列表、連接Wi-Fi等。

（2）設(shè)備初始化（注冊）、設(shè)備激活：通過第一步設(shè)備入網(wǎng)后，設(shè)備端的程序會自動向服務(wù)端請求，將設(shè)備自身的基本信息上傳，請求設(shè)備狀態(tài)激活；這個過程主要進(jìn)行獲取設(shè)備ID、獲取設(shè)備狀態(tài)、設(shè)備注冊/激活。

另外，無論是管理員用戶還是普通用戶，在完成服務(wù)端—設(shè)備—人的三方認(rèn)證后，都可以從服務(wù)端再獲取與自身權(quán)限匹配的設(shè)備列表。用戶從設(shè)備列表選擇設(shè)備后，則進(jìn)行身份認(rèn)證，完成之后返回令牌，并在本地生成二維碼，可以用于后續(xù)設(shè)備對人的身份識別。

3.2 服務(wù)端接口設(shè)計

服務(wù)端是作為協(xié)調(diào)用戶移動端、智能物聯(lián)設(shè)備端進(jìn)行三方互聯(lián)、完成身份認(rèn)證的關(guān)鍵，在服務(wù)側(cè)需要實現(xiàn)用戶與設(shè)備交互的每一個關(guān)鍵過程的后端接口能力。包括如下：（1）設(shè)備注冊；（2）設(shè)備激活；（3）設(shè)備狀態(tài)查詢；（4）已授權(quán)的設(shè)備列表查詢（管理員）；（5）已授權(quán)的設(shè)備列表查詢（用戶）；（6）設(shè)備開鎖令牌；（7）設(shè)備令牌校驗。

3.3 設(shè)備側(cè)接口設(shè)計

設(shè)備側(cè)的底層通信的功能實現(xiàn)主要是基于SDK開發(fā)相應(yīng)的認(rèn)證代理功能來實現(xiàn)，并且在業(yè)務(wù)層面會定義好完成的業(yè)務(wù)協(xié)議與設(shè)備請求功能。

3.3.1 業(yè)務(wù)數(shù)據(jù)協(xié)議定義

主要是定義交互數(shù)據(jù)的規(guī)范格式，數(shù)據(jù)流采用定長包頭+變長包體的形式。

定長包頭數(shù)據(jù)結(jié)構(gòu)如下，具體參數(shù)說明見表1。

表1 參數(shù)說明

變長包體：二進(jìn)制流數(shù)據(jù)

3.3.2 設(shè)備請求

設(shè)備請求提供了一系列的設(shè)備與服務(wù)端、與移動端通過藍(lán)牙、網(wǎng)絡(luò)交互的接口，例如：（1）上報設(shè)備狀態(tài)接口，設(shè)備連上網(wǎng)絡(luò)成功或者失敗后應(yīng)主動調(diào)網(wǎng)該接口；（2）上報設(shè)備Wi-Fi 信號列表接口，當(dāng)設(shè)備收到調(diào)取設(shè)備探測到的Wi-Fi 信號列表推送后，應(yīng)調(diào)用該接口上報Wi-Fi列表。

3.4 設(shè)備藍(lán)牙通信設(shè)計

該demo中用戶與設(shè)備交互頻繁地使用了藍(lán)牙，在設(shè)備端規(guī)定了藍(lán)牙BLE 設(shè)備需要先模擬成流(即stream，輸入輸出流)。流具有的特性有：（1）可以傳輸無限長度的數(shù)據(jù)；（2）雙工，讀寫可以并發(fā)，互不干擾。

顯然，藍(lán)牙BLE無法傳輸無限長的數(shù)據(jù)，為了實現(xiàn)這個目的，需要定義一個規(guī)范。藍(lán)牙設(shè)備需暴露兩個特征值（Characteristics）：Write特征值和Indication特征值。藍(lán)牙設(shè)備從Write 特征值接受數(shù)據(jù)，從Indication特征值發(fā)送數(shù)據(jù)，Indication特征值類型是bytes。把一個特征值一次傳輸?shù)臄?shù)據(jù)，稱為一幀（不同類型的特征值一次傳輸?shù)臄?shù)據(jù)長度是不一樣的）。

3.4.1 藍(lán)牙設(shè)備寫過程

（1）分幀。假設(shè)設(shè)備上有1K數(shù)據(jù)，要發(fā)給移動端。由于一個特征值長度有限（如20個字節(jié)），顯然需要分多次才能傳輸完成。1K數(shù)據(jù)，要分成1 024字節(jié)/20字節(jié)=51個幀。剩下的4個字節(jié)不足一幀（20個字節(jié)），需補齊一幀并對剩下的16個字節(jié)賦0。總共是52幀。（2）發(fā)送第一個幀。把第一個幀的內(nèi)容放入特征值里面。然后通知用戶手機端應(yīng)用讀取數(shù)據(jù)，通知有兩種方式，Indication 和notify，這里使用Indication 方式，即帶響應(yīng)的通知。當(dāng)通知完成的時候，可以認(rèn)為手機已經(jīng)讀完數(shù)據(jù)，這就完成了發(fā)送第一個幀。（3）按照2的步驟，依次發(fā)送剩下的幀[6]。

3.4.2 藍(lán)牙設(shè)備讀過程

當(dāng)藍(lán)牙設(shè)備發(fā)現(xiàn)讀特征值收到數(shù)據(jù)的時候，就接收數(shù)據(jù)，并追加到設(shè)備的buf里。

4 結(jié)語

在企業(yè)的日常經(jīng)營活動中，智能物聯(lián)設(shè)備的使用已非常普遍，包括智能門鎖、智能攝像頭、終端考勤設(shè)備、會議門禁等設(shè)備都存在很強的身份認(rèn)證安全需求，涉及用戶在綁定設(shè)備、使用設(shè)備和解綁設(shè)備等各個生命周期的環(huán)節(jié)里。該文中的設(shè)計思路，融合了企業(yè)的統(tǒng)一身份認(rèn)證系統(tǒng)、物聯(lián)網(wǎng)管理平臺等既有基礎(chǔ)設(shè)施，將人、設(shè)備、系統(tǒng)的身份打通。通過身份認(rèn)證在企業(yè)智能物聯(lián)場景中的應(yīng)用，改變傳統(tǒng)的設(shè)備入網(wǎng)、分配、使用的交付模式與管理模式，為用戶提供了安全、便捷、易用的設(shè)備接入、維護(hù)、管理、使用的應(yīng)用思路。