身份认证基础理论：你凭什么证明你是谁？
各位好，欢迎来到第二章。今天咱们聊点基础的，但也是整个边缘网关安全里最绕不开的话题——身份认证。
说白了，身份认证就是回答三个问题：你是谁？你凭什么证明？我凭什么信你？ 在边缘计算场景下，网关面对的可能是成千上万的传感器、摄像头、PLC，每一个都在喊“我是合法设备”。怎么分辨真假？这就是认证要干的事。
核心定义：身份认证（Authentication）是验证主体声称身份是否真实的过程。注意，它不等于授权（Authorization），认证只管“你是不是你”，不管“你能干什么”。
认证三要素：你有的、你知道的、你本身的
我习惯把认证要素分成三类，业内叫“三要素”。你想想看，任何认证手段，归根结底都跑不出这三个圈子：
- 你知道的（Knowledge Factor）——口令、密码、PIN码。最古老，也最容易被攻破。
- 你拥有的（Possession Factor）——硬件令牌、手机SIM卡、U盾、智能卡。丢了就麻烦。
- 你本身的（Inherence Factor）——指纹、人脸、虹膜、声纹。生物特征，理论上最难复制。
我在项目里见过不少只靠口令的网关，结果被暴力破解搞瘫痪。嗯，这里要注意：单要素认证风险极高，边缘网关这种暴露在物理环境下的设备，至少得上双要素。
| 要素类型 | 典型例子 | 优点 | 缺点 |
|---|---|---|---|
| 知识要素 | 密码、口令 | 实现简单、成本低 | 易被猜测、钓鱼、暴力破解 |
| 持有要素 | 硬件令牌、手机 | 攻击者需物理接触 | 易丢失、管理成本高 |
| 生物特征 | 指纹、人脸 | 难以复制、用户体验好 | 不可撤销、识别率受环境影响 |
我的建议：边缘网关的本地认证，优先考虑“持有要素 + 知识要素”的组合。比如硬件安全模块（HSM）存私钥，再加上操作员口令。生物特征在工业现场容易受油污、光照影响，我吃过这个亏。
AAA架构：认证、授权、审计，一个都不能少
很多人以为认证完就完事了。其实不然。完整的身份管理体系是AAA架构：认证（Authentication）、授权（Authorization）、审计（Accounting）。这三个字母，我建议你刻在脑子里。
- 认证（A1）：验证你是谁。上面刚讲过。
- 授权（A2）：确认你能干什么。比如某个传感器只能上报数据，不能下发指令。
- 审计（A3）：记录你干了什么。出事了能追溯。
我曾经帮一家工厂排查过安全事件，发现他们的网关只有认证没有审计。结果被入侵后，根本不知道攻击者从哪个端口进来的、改了什么配置。那叫一个被动。所以记住：没有审计的认证，等于没锁门。
避坑指南：边缘网关资源有限，很多厂商为了省存储，把审计日志关了。我曾经见过一个案例，网关被篡改固件，但因为日志全空，连入侵时间都定不了。审计日志再占空间，也得保留至少90天。
认证协议概览：选对协议，事半功倍
协议这东西，说白了就是“怎么打招呼、怎么验身份”的一套规矩。边缘网关场景下，我常用的认证协议有这么几类：
- PAP（密码认证协议）：明文传密码。别用，除非你想被中间人攻击。
- CHAP（挑战握手认证协议）：三次握手，不传明文密码。比PAP安全，但老了。
- EAP（可扩展认证协议）：框架协议，支持多种认证方法。Wi-Fi和802.1X的标配。
- RADIUS / TACACS+：集中式AAA协议。适合网关统一管理大量设备。
- 证书认证（X.509 / PKI）：基于公钥基础设施。边缘网关和云端通信的首选。
我个人习惯在边缘网关的南向接口（网关到传感器）用预共享密钥（PSK）加轻量级EAP，北向接口（网关到云）用证书双向认证。为什么？因为传感器算力弱，跑不动完整TLS握手，但PSK够轻；云端则必须强认证。
| 协议 | 适用场景 | 安全等级 | 资源开销 |
|---|---|---|---|
| PAP | 几乎不用 | 极低 | 极低 |
| CHAP | 老旧设备兼容 | 中等 | 低 |
| EAP-TLS | Wi-Fi、有线网络 | 高 | 中 |
| RADIUS | 集中式AAA | 高 | 中 |
| 证书双向认证 | 边缘-云通信 | 极高 | 高 |
一张图看懂本章核心逻辑
下面这张SVG图，把身份认证、三要素、AAA架构和协议的关系串起来了。你仔细看，会发现所有认证手段最终都落在“你是谁→凭什么信你→能干什么→记下来”这条线上。
好了，这一章的内容就这些。认证三要素、AAA架构、常见协议，都是后面实战章节的基石。你先把这些概念吃透，后面咱们聊边缘网关的证书管理、TLS握手优化、以及如何用硬件安全模块加固认证时，你才不会懵。