3. 身份认证基础：三要素与认证授权

聊边缘节点安全，绕不开身份认证。说白了，就是回答三个问题：你是谁？你凭什么证明？你能干什么？前两个是认证，最后一个是授权。很多项目出问题，就是把这俩混为一谈。

我个人习惯把认证三要素记成「知、有、是」。这三个字，能解决 90% 的边缘节点身份问题。

3.1 你知道的（Knowledge Factor）

最常见的形式——密码、PIN 码、口令。你脑子里记着的东西。

但密码在边缘节点上是个大坑。我记得有一次帮客户排查智能网关被入侵，发现设备出厂密码是 admin:admin，现场运维根本没改。攻击者扫到设备，三秒钟就进去了。

密码的优点是简单，缺点是太容易被猜、被偷、被钓鱼。在边缘场景里，我建议密码只作为辅助因子，别单独用。

3.2 你拥有的（Possession Factor）

你手里拿着的实物——硬件令牌、智能卡、手机、U 盾。边缘节点上最常见的是 TPM 芯片（可信平台模块）和 安全元件。

为什么边缘节点偏爱「你拥有的」？因为设备可以预置证书或密钥在硬件里，攻击者拿不走。我做过一个工业边缘网关的项目，每个设备出厂时烧录唯一的设备证书到 TPM 里，认证时用私钥签名。就算有人把设备偷走，也读不出私钥——硬件保护了它。

3.3 你是什么（Inherence Factor）

生物特征——指纹、人脸、虹膜、声纹。边缘节点上用得少，但不是没有。比如带摄像头的边缘 AI 盒子，可以用人脸识别做管理员登录。

但说实话，生物特征在边缘场景里坑也不少。指纹识别器在粉尘环境下容易失灵，人脸在暗光下识别率暴跌。我建议只在人机交互的边缘节点上用生物特征，纯设备对设备的认证，别碰它。

3.4 认证与授权的区别

很多人搞混这两个概念。我画个图你就明白了：

你看，认证是第一步，授权是第二步。认证通过后，系统才知道「你是谁」，然后根据你的身份去查权限表，决定你能不能读写某个资源。

我遇到过最典型的错误：一个边缘节点管理系统，认证通过后直接给管理员权限。结果普通运维人员登录后，能删掉生产环境的配置。这就是认证和授权没分开——认证只验证了身份，但没检查这个身份有没有操作权限。

3.5 三要素在边缘节点中的组合策略

实际项目中，我一般这样选型：