3、身份与设备信任评估：设备身份注册机制（证书/密钥对）、设备指纹采集与信任评分、动态信任评估引擎设计思路
这一章，我们聊聊边缘网关接入时最核心的问题——信任。
你想想看，一个设备要接入你的网络，你怎么确定它是它自己？光靠一个密码？太弱了。在零信任的体系里，我们讲究的是持续验证，永不信任。所以，身份注册、指纹采集、动态评分，这三板斧缺一不可。
我个人习惯把这一章拆成三个部分来讲：设备怎么拿到合法的“身份证”、我们怎么通过“指纹”识别它是不是冒牌货、以及如何动态地给它的信任度打分。
3.1 设备身份注册机制：给设备发一张“身份证”
设备第一次接入网络，就像一个新员工入职。你得先给它办工牌、录指纹、分配权限。这个过程，我们叫设备身份注册。
在边缘网关的场景下，我见过两种主流的注册方式：证书注册和密钥对注册。说白了，一个是用CA签发的数字证书，一个是用非对称密钥对。
3.1.1 基于证书的注册（PKI体系）
这是最正统、最安全的方式。设备在出厂或首次部署时，会生成一个私钥，然后向企业的CA（证书颁发机构）申请一个设备证书。
流程大概是这样的：
- 设备生成密钥对：设备本地生成一个RSA或ECC密钥对，私钥永远不出设备。
- 发起CSR：设备把公钥和它的身份信息（比如序列号、型号）打包成一个证书签名请求（CSR），发给注册中心。
- CA签发证书：注册中心验证设备身份后，CA用它的根证书私钥给这个CSR签名，生成设备证书。
- 证书下发：设备证书被安全地写回设备存储区。
- 双向认证：设备连接边缘网关时，双方交换证书，验证签名链，完成TLS握手。
核心要点：私钥必须硬件隔离。我在项目中遇到过，有些设备把私钥明文存在Flash里，结果被逆向工程直接读出来了。后来我们强制要求使用TPM或SE安全芯片，才彻底解决这个问题。
3.1.2 基于密钥对的注册（轻量级方案）
有些物联网设备性能太差，跑不动完整的PKI。这时候，我们可以用预置的密钥对来做身份标识。
做法很简单：
- 预置公钥：设备出厂时，把公钥烧录到固件里，同时把公钥注册到边缘网关的信任列表中。
- 挑战-响应认证：设备连接时，网关发送一个随机数挑战。设备用私钥签名后返回，网关用预置的公钥验签。
这种方式省去了CA的环节，但管理起来比较麻烦。一旦设备公钥泄露，你得手动去更新所有网关的信任列表。
| 对比项 | 证书注册（PKI） | 密钥对注册（预置） |
|---|---|---|
| 安全性 | 高，有CA背书，防伪造 | 中，依赖预置信任 |
| 管理复杂度 | 需要CA基础设施 | 低，但密钥更新困难 |
| 适用场景 | 高安全要求的工业/金融设备 | 资源受限的IoT传感器 |
| 吊销机制 | 支持CRL/OCSP | 不支持，需手动移除 |
我的建议：如果条件允许，优先用证书。虽然前期搭建CA有点麻烦，但后续的吊销、续期、审计都方便很多。我曾经帮一个客户从密钥对迁移到证书体系，光是清理那些泄露的预置密钥就花了两个月。
3.2 设备指纹采集与信任评分：不只是看“脸”
身份注册解决了“你是谁”的问题。但万一设备被劫持了，或者固件被篡改了呢？这时候，我们需要设备指纹。
设备指纹，就是设备的“生物特征”。它不是一个单一的值，而是一组多维度的数据。
3.2.1 指纹采集的维度
我一般会采集以下几类信息：
- 硬件指纹：CPU序列号、MAC地址、TPM芯片ID、硬盘序列号。这些是相对固定的。
- 软件指纹：操作系统版本、内核哈希、关键进程列表、已安装的软件包列表。
- 行为指纹：启动时间、网络流量模式、CPU使用率基线。这些是动态的。
- 网络指纹：DHCP请求中的Option字段、TCP/IP栈的细微差异（比如初始TTL值、窗口大小）。
注意：MAC地址是可以伪造的。我在一次渗透测试中，用了一个简单的工具就改了网卡的MAC。所以，千万别把MAC地址作为唯一的信任依据。它只能作为众多指纹中的一个因子。
3.2.2 信任评分模型
采集到指纹后，我们需要给它打分。我习惯用一个加权评分模型。
举个例子：
- 硬件指纹匹配：+40分（权重高，因为难伪造）
- 软件指纹匹配：+30分
- 行为指纹匹配：+20分
- 网络指纹匹配：+10分
如果总分低于60分，直接拒绝接入。60-80分，允许接入但限制访问权限。80分以上，完全信任。
当然，这个阈值和权重不是固定的。你需要根据实际环境去调优。我记得有个项目，现场环境特别嘈杂，网络指纹经常抖动，后来我们就把网络指纹的权重从10降到了5，才避免了大量误判。
3.3 动态信任评估引擎设计思路
静态评分只能管住接入那一刻。设备接入后，如果突然开始扫描内网端口，或者流量异常增大，怎么办？这就需要动态信任评估引擎了。
这个引擎的核心思想是：信任不是一成不变的，它需要持续评估。
3.3.1 引擎架构
我设计过的一个简化版引擎，包含以下几个模块：
- 数据采集器：实时收集设备的运行状态、网络流量、安全事件。
- 策略引擎：定义了一系列规则。比如“如果设备在1分钟内发起了超过100次TCP连接，则判定为扫描行为”。
- 评分计算器：根据策略引擎的判定结果，动态调整信任分数。
- 执行器：根据最终的信任分数，执行相应的动作。比如降低带宽、断开连接、触发告警。
3.3.2 动态评分算法
评分算法不能太复杂，否则边缘网关扛不住。我推荐用衰减积分的思路。
基本公式：
当前信任分 = 基础分 × 衰减因子 + 行为加分 - 行为扣分举个例子：
- 设备刚接入时，基础分是80。
- 如果设备持续正常上报数据，每5分钟加1分，上限100分。
- 如果设备突然发起大量连接，扣20分。
- 如果设备连续3次认证失败，直接扣到0分，并触发告警。
衰减因子的作用是让信任分随时间缓慢下降。如果设备长时间没有活动，它的信任分就会慢慢降低，直到下一次活动时重新评估。这样可以防止设备被静默劫持后，依然保持高信任度。
避坑指南：我曾经把衰减因子设得太高，结果设备只是网络波动了一下，信任分就掉到了阈值以下，导致大量误阻断。后来我把衰减周期从5分钟改成了30分钟，才稳定下来。调参是个细活，建议你在测试环境多跑几天数据再上线。
3.4 小结
这一章的内容，说白了就是三个步骤：注册身份、采集指纹、动态评分。
身份注册是基础，决定了设备能不能进门。指纹采集是辅助，帮你识别设备是不是“本人”。动态评分是核心，让信任成为一个持续的过程，而不是一次性的判断。
嗯，这里要注意的是，这三个环节是环环相扣的。没有好的身份注册，指纹采集就失去了锚点。没有动态评分，指纹采集就只是一次性的快照。只有把它们组合起来，才能构建一个真正可靠的零信任接入体系。