1. 设备身份生命周期概述：定义、核心概念与风险管理框架
大家好，我是这次课程的主讲。在IoT安全这块摸爬滚打了十几年，我见过太多因为设备身份管理不当而翻车的案例。今天咱们聊聊这个最基础、也最关键的话题——设备身份的生命周期。
说白了，设备身份就是一台设备在网络世界里的“身份证”。跟人的身份证一样，它有颁发、使用、挂失、注销这些环节。我习惯把整个过程叫做“生命周期管理”。你想想看，如果一台设备的身份从出厂到报废都没人管，那跟把家门钥匙挂在门外有啥区别？
1.1 什么是设备身份？
设备身份，是一组能够唯一标识一台物理设备的信息集合。它通常包含：
- 设备标识符：比如IMEI、MAC地址、序列号
- 密钥材料：用于身份认证的私钥或对称密钥
- 元数据：设备类型、固件版本、所属用户等
我在项目中遇到过一家智能门锁厂商，他们早期只用MAC地址做设备身份。结果呢？攻击者伪造MAC地址，轻松冒充合法门锁，后台直接下发开锁指令。嗯，这就是典型的“身份太弱”问题。
核心观点：设备身份不是一串数字，而是一整套可验证的信任凭证。缺少任何一个环节，身份就是“裸奔”的。
1.2 生命周期的六个阶段
我个人习惯把设备身份的生命周期分成六个阶段。每个阶段都有不同的风险，也有不同的控制手段。
| 阶段 | 核心活动 | 典型风险 |
|---|---|---|
| 1. 身份预置 | 在设备出厂前写入身份信息 | 密钥泄露、批量克隆 |
| 2. 身份颁发 | 设备首次联网时激活身份 | 中间人攻击、重放攻击 |
| 3. 身份使用 | 日常通信中验证身份 | 身份伪造、会话劫持 |
| 4. 身份更新 | 密钥轮换、证书续期 | 更新机制被绕过 |
| 5. 身份挂起 | 设备丢失或被盗时暂停身份 | 挂起不及时、恢复漏洞 |
| 6. 身份注销 | 设备报废时彻底清除身份 | 残留身份被复用 |
我曾经帮一家车联网公司做审计，发现他们只做了前三个阶段，后面三个完全没管。结果一批报废的T-Box被翻新后流入市场，里面的证书还能正常连接云端。你说这风险大不大？
1.3 风险管理框架：从源头到终点
做设备身份管理，不能只盯着某一个环节。我建议用下面这个框架来通盘考虑：
这个框架里，我特别想强调三条贯穿始终的控制线：
- 密钥全生命周期管理：从密钥生成、存储、使用到销毁，每一步都要有记录、有审计。我曾经见过一家厂商把私钥硬编码在固件里，结果固件被反编译，所有设备都“裸奔”了。
- 身份状态审计与追溯：谁在什么时候对哪个设备做了什么操作，必须能查清楚。这不是为了事后追责，而是为了及时发现异常。
- 异常行为检测与自动响应：当设备的行为偏离了正常基线，系统要能自动告警甚至阻断。比如一台设备突然用不同的证书频繁登录，那八成是出问题了。
我的经验：很多团队把精力都放在“身份使用”阶段，觉得只要通信加密了就安全了。其实真正的风险往往出在“身份预置”和“身份注销”这两个容易被忽略的环节。建议你回去检查一下，你们的设备出厂时密钥是怎么写入的？报废设备上的证书有没有彻底清除？
1.4 常见误区与避坑指南
这些年我踩过不少坑，也帮别人填过不少坑。总结几个最常见的误区：
- 误区一：身份=密码
很多人觉得给设备设个密码就算有身份了。其实密码只是身份的一种载体，真正的身份是密码背后那套信任体系。没有PKI、没有证书链、没有吊销机制，密码就是一把随时可能被复制的钥匙。
- 误区二：一次性投入，终身使用
设备身份不是一锤子买卖。密钥会老化、算法会过时、设备会易主。我曾经遇到一个项目，设备用了五年还在用出厂时的证书，中间一次都没更新过。结果证书被泄露，整个网络都得重建。
- 误区三：只防外不防内
很多人觉得设备身份是防外部攻击者的。其实内部人员的误操作或恶意行为，风险更大。比如产线工人私自拷贝密钥、运维人员滥用管理权限。这些都需要在身份管理框架里考虑进去。
警告：千万不要把设备身份管理系统当成一个“一次性项目”来做。它需要持续运营、定期审计、不断迭代。我见过太多厂商，上线时做得漂漂亮亮，半年后就没人管了。等到出事再补救，代价往往是十倍百倍。
1.5 本章小结
设备身份生命周期管理，说白了就是回答三个问题：
- 这台设备是谁？（身份定义）
- 它凭什么证明自己是它？（身份认证）
- 它什么时候不再是它了？（身份注销）
这三个问题贯穿设备的整个生命周期。从出厂到报废，每个环节都不能掉链子。后面的章节，我会逐一拆解每个阶段的具体风险和控制手段。咱们一步步来，把这件事做扎实。