1. 设备身份生命周期概述
大家好，我是你们这堂课的老朋友。今天咱们聊聊设备身份生命周期管理。说实话，这个题目看着有点大，但你别被吓着。我做了十几年 IoT 安全，踩过不少坑，今天就把这些经验掰开揉碎了讲给你听。
什么是设备身份
设备身份，说白了就是设备在网络世界里的「身份证」。就像我们每个人都有身份证号一样，每个 IoT 设备也需要一个独一无二的标识。
但这个身份不只是个 ID 那么简单。它通常包含三样东西：
- 唯一标识符：比如设备序列号、MAC 地址、IMEI 号。这是最基础的。
- 凭证材料：比如数字证书、预共享密钥、Token。用来证明「我就是我」。
- 属性信息：设备类型、固件版本、所属用户、地理位置等。这些决定了设备的权限和行为。
核心观点：设备身份 = 标识 + 凭证 + 属性。缺一个，身份就不完整。
我在项目中遇到过一家智能门锁厂商，他们最初只用 MAC 地址做设备身份。结果呢？攻击者伪造了 MAC 地址，直接远程开了锁。嗯，这就是典型的「有标识无凭证」的坑。
为什么需要生命周期管理
你想想看，一个设备从出厂到报废，中间要经历多少阶段？生产、入库、发货、激活、使用、维修、转让、回收……每个阶段，设备的身份状态都不一样。
没有生命周期管理，会出现什么问题？
- 凭证泄露：设备被破解，密钥被提取，攻击者用这个身份伪装成合法设备。
- 身份冒用：旧设备报废了，但身份还在系统里活跃，被坏人捡去用。
- 权限失控：设备转卖了，但原主人的权限没撤销，新主人还能控制旧设备。
- 合规风险：审计时发现大量「僵尸身份」，根本说不清这些设备在哪、归谁管。
我曾经帮一家车联网公司做安全审计。他们的 T-Box（车载通信盒子）出厂时烧录了固定证书，证书有效期 10 年。结果第三年就发现私钥被批量提取了。为什么？因为没有密钥轮换机制，一个密钥用到底，一旦泄露全盘皆输。
避坑指南：我曾经见过一个项目，设备身份只在出厂时注册一次，后续从不更新。三年后，系统里 30% 的设备身份已经失效或被盗用，但平台还在给它们发指令。这就是没有生命周期管理的后果。
核心概念与术语
在深入之前，咱们先把几个关键术语理清楚。这些词后面会反复出现，我建议你记牢了。
| 术语 | 英文 | 我的理解 |
|---|---|---|
| 设备身份 | Device Identity | 设备在网络中的唯一标识 + 凭证 + 属性集合 |
| 身份注册 | Identity Enrollment | 设备首次接入平台时，建立身份记录的过程 |
| 身份认证 | Authentication | 验证设备是否持有合法凭证，确认「你是谁」 |
| 身份授权 | Authorization | 根据设备身份决定「你能做什么」 |
| 密钥轮换 | Key Rotation | 定期或按需更换设备的密钥/证书，降低泄露风险 |
| 身份吊销 | Identity Revocation | 设备不再可信时，撤销其身份和权限 |
| 身份归档 | Identity Archival | 设备报废后，保留身份记录供审计，但标记为不可用 |
小提示：我个人习惯把设备身份生命周期分成六个阶段：预置 → 注册 → 激活 → 运营 → 吊销 → 归档。后面每一章都会围绕这个框架展开。
设备身份的生命周期阶段
咱们用一张图把整个生命周期串起来。这张图我画了很多遍，每次给客户讲都先用它开场。
这张图我每次讲课时都会拿出来。你看，六个阶段像一条流水线，设备从出生到退役，每个环节都有对应的管理动作。
每个阶段的核心任务
咱们逐个拆开看看，每个阶段到底要做什么。
1. 预置阶段
设备还在工厂里，或者刚拆封还没联网。这时候要做的，是把初始身份烧进去。我见过两种做法：
- 工厂预置：在生产线上用安全芯片或 HSM 生成密钥对，写入证书。优点是安全，缺点是成本高。
- 现场预置：设备到用户手里后，通过 App 或管理后台注册身份。优点是灵活，缺点是容易被中间人攻击。
我的建议：能工厂预置就别现场预置。如果必须现场预置，一定要用带外验证（比如扫描二维码 + 蓝牙配对）。
2. 注册阶段
设备第一次连接平台，把身份信息登记到服务端。这里有个关键动作：绑定。把设备身份和用户账号、产品型号、固件版本等信息关联起来。
3. 激活阶段
注册完成后，设备正式进入可用状态。平台会下发初始配置，设备开始正常工作。我记得有个项目，设备注册后忘了激活，结果平台一直以为设备离线，排查了两天才发现是状态机没走完。
4. 运营阶段
这是最长的阶段，也是咱们这门课的重点。运营阶段要做的事包括：
- 定期密钥轮换
- 身份状态监控
- 异常行为检测
- 固件升级后的身份更新
5. 吊销阶段
设备丢失、被盗、被破解，或者用户主动解绑。这时候要立即吊销设备身份，让它无法再访问平台。吊销不是删除，而是把状态标记为「不可用」。
6. 归档阶段
设备彻底报废后，把身份记录归档保存。为什么要保留？因为审计和溯源需要。比如出了安全事故，要查某台设备在某个时间点做了什么操作。
注意：归档不等于删除。我曾经见过一家公司，设备报废后直接删数据库记录，结果被监管部门罚款——因为无法提供完整的设备操作日志。
为什么密钥轮换是核心
你可能会问：生命周期管理这么多事，为什么课程标题里专门提了「密钥轮换」？
原因很简单：密钥是设备身份的命门。只要密钥没泄露，身份就是安全的。但现实是，密钥总会泄露——被逆向、被侧信道攻击、被内部人员窃取。密钥轮换就是给身份加了一道「保鲜期」：就算密钥泄露了，只要轮换够快，攻击者拿到手的也是一张过期身份证。
我个人习惯把密钥轮换比作换牙刷。你不可能一把牙刷用十年，对吧？密钥也一样。定期换，成本低，收益高。
好了，这一章的概念就讲到这里。记住六个阶段、七个术语、一个核心（密钥轮换）。后面每一章，咱们都会深入其中一个环节，手把手带你落地。