2、设备身份基础：设备身份的定义、设备身份与数字孪生、设备身份的生命周期管理

聊设备身份之前，我想先问一个问题：你凭什么相信一个设备是它自己？

这个问题听起来有点哲学，但在物联网安全里，它是最现实的问题。我见过太多项目，设备上线后直接裸奔，网关根本不验证设备是谁。结果呢？攻击者伪造一个设备ID，就能混进系统，窃取数据甚至下发恶意指令。

所以，设备身份这件事，必须从一开始就讲清楚。

2.1 设备身份的定义

设备身份，说白了就是一组能够唯一标识一个物理设备，并且能够被系统信任的数字凭证。它不仅仅是设备的名字或者序列号，而是一整套可验证的、不可伪造的标识体系。

我个人习惯把设备身份拆成三个层次来看：

层次	含义	举例
标识层	设备在系统中的唯一名字	设备序列号、MAC地址、UUID
凭证层	证明设备拥有该标识的密钥材料	X.509证书、预共享密钥、TPM密钥
信任层	系统对设备身份的认可程度	信任锚、证书链、信任评分

你想想看，如果只靠标识层，那跟贴个标签有什么区别？攻击者完全可以伪造一个序列号。真正的设备身份，必须把标识和凭证绑定在一起，而且凭证要存储在安全硬件里。

我在项目中遇到过一家智能门锁厂商，他们最初只用MAC地址做设备身份。结果呢？攻击者抓包后直接伪造MAC地址，冒充门锁发送开锁指令。后来我们帮他们引入了基于证书的设备身份体系，才彻底解决这个问题。

2.2 设备身份与数字孪生

数字孪生这个概念，这几年特别火。但很多人把它理解成了“3D模型+传感器数据”，这其实是个误区。

从设备身份的角度看，数字孪生是物理设备在数字世界里的映射。但这个映射不是随便建的——它必须基于设备身份来建立信任关系。

我画了一张图，帮你理解物理设备、设备身份和数字孪生之间的关系：

这张图想表达什么？物理设备通过安全硬件生成密钥对，向信任锚申请设备身份证书。数字孪生必须绑定这个证书，才能建立可信的数据通道。没有设备身份，数字孪生就是个空壳。

2.3 设备身份的生命周期管理

设备身份不是一成不变的。从设备出厂到报废，身份凭证需要经历多个阶段。我习惯把它分成五个阶段：

1. 注册阶段：设备出厂时，在安全芯片中注入初始凭证。
2. 激活阶段：设备首次上线，向信任锚申请正式身份证书。
3. 运营阶段：设备正常运行，定期更新凭证、轮换密钥。
4. 变更阶段：设备固件升级、所有权转移，需要更新身份属性。
5. 退役阶段：设备报废，撤销证书、销毁密钥。

每个阶段都有安全风险。我挑几个重点跟你聊聊。

2.3.1 注册阶段：初始凭证的安全注入

设备出厂时，必须注入一个初始凭证。这个凭证可以是预共享密钥，也可以是设备证书。但问题来了——谁来做这件事？

我见过两种做法：

• 工厂注入：在生产线上，通过安全编程器写入安全芯片。优点是可控，缺点是成本高。
• 云端注入：设备首次联网后，从云端拉取凭证。优点是灵活，缺点是首次连接不安全。

我个人更推荐工厂注入。虽然成本高一点，但安全基线有保障。我曾经帮一家车联网厂商设计过方案，他们在T-Box生产线上用HSM（硬件安全模块）直接注入设备证书，密钥从不离开安全芯片。这个方案后来成了行业参考。

2.3.2 运营阶段：凭证轮换与更新

设备上线后，凭证不能一直用下去。密钥会老化，证书会过期。所以必须建立凭证轮换机制。

这里有个关键点：轮换不能影响设备正常运行。我建议采用“双证书”策略：

证书类型	用途	有效期	轮换方式
长期证书	设备身份认证	1-3年	到期前自动续期
短期证书	会话加密	24小时	每次通信自动更新

长期证书用于证明设备身份，短期证书用于实际通信。这样即使短期证书泄露，攻击者也只能控制一个会话，无法伪造设备身份。

2.3.3 退役阶段：安全销毁

设备退役时，很多人直接扔了或者回收了。但设备里的密钥还在啊！

正确的做法是：

• 在信任锚上撤销设备证书，加入CRL（证书撤销列表）。
• 如果设备还能通信，远程擦除安全芯片中的密钥。
• 如果设备无法通信，物理销毁安全芯片。

我记得有个项目，客户把退役的工业路由器直接卖给了二手商。结果二手商从路由器里提取了私钥，伪造了设备身份，混进了客户的工业网络。后来我们帮他们建立了退役流程，所有设备退役前必须执行密钥销毁操作。

2.4 设备身份与SBOM的关联

你可能要问：设备身份和SBOM有什么关系？

关系大了。SBOM记录了设备的所有软件组件，而设备身份决定了谁可以访问这些组件。举个例子：

• 设备身份证书中，可以嵌入SBOM的哈希值，确保软件清单不被篡改。
• 设备身份可以绑定软件版本，只有特定版本的固件才能使用该身份。
• 当SBOM发现漏洞时，设备身份可以用来定位受影响的设备，精准下发补丁。

说白了，设备身份是SBOM的信任基础。没有设备身份，你连设备是谁都不知道，怎么管理它的软件成分？