4. 物联网身份认证与访问控制

在物联网环境中，设备数量庞大、资源受限且物理暴露风险高，身份认证与访问控制是保障系统安全的第一道防线。本章节将深入剖析设备身份认证机制、基于PKI的证书管理体系以及主流的访问控制策略（RBAC/ABAC），帮助您构建从设备到云端的安全信任链。

4.1 设备身份认证机制

设备身份认证旨在验证物联网设备的合法身份，防止未授权设备接入网络。常见的认证机制包括基于对称密钥、非对称密钥以及零信任架构下的多因子认证。

核心认证方式对比

认证方式	原理	适用场景	安全等级
预共享密钥 (PSK)	设备与服务器预置相同密钥，通过哈希或加密验证	资源受限的传感器、智能家居	低（密钥易泄露）
基于证书 (PKI)	设备持有CA签发的数字证书，通过非对称加密验证	工业网关、车联网、医疗设备	高（防篡改、可吊销）
设备指纹	采集设备硬件特征（MAC、芯片ID）生成唯一标识	辅助认证、异常检测	中（可被模拟）
多因子认证 (MFA)	结合密码、生物特征、硬件Token等两种以上因子	高安全要求的运维管理接口	极高

设备身份认证流程（基于挑战-响应）

1. 设备发起连接请求：携带设备ID或证书。
2. 服务器发送随机挑战值（Nonce）。
3. 设备使用私钥签名挑战值，或使用共享密钥计算HMAC。
4. 服务器验证签名/HMAC，确认设备身份。
5. 建立安全会话：协商会话密钥，后续通信加密。

4.2 基于PKI的证书管理

公钥基础设施（PKI）为物联网提供可扩展、高安全的身份凭证体系。每个设备出厂时预置由CA签发的设备证书，实现设备与平台之间的双向认证。

PKI核心组件

• 证书颁发机构（CA）：签发、吊销设备证书，是信任的根。
• 注册机构（RA）：验证设备身份信息，辅助CA完成证书申请。
• 证书吊销列表（CRL） / OCSP：发布被吊销的证书信息，供验证方查询。
• 设备证书：包含设备公钥、设备ID、有效期、CA签名等信息。

证书生命周期管理

阶段	操作	安全要点
证书签发	设备生成密钥对 → CSR提交 → CA验证 → 签发证书	私钥必须在设备安全区域（如SE、TEE）生成
证书部署	将证书及CA根证书烧录至设备固件或安全芯片	防止证书被篡改或替换
证书验证	通信时双方交换证书，验证签名链及有效期	必须检查CRL或OCSP确保证书未被吊销
证书更新	证书到期前通过OTA或安全通道更新	更新过程需双向认证，防止中间人攻击
证书吊销	设备泄露或退役时，CA将其加入CRL	及时同步CRL到验证节点，阻断非法设备

证书管理最佳实践

• 安全存储：设备私钥必须存储在硬件安全模块（HSM）或安全元件（SE）中，禁止明文导出。
• 短生命周期：物联网设备证书有效期建议不超过1年，降低泄露风险。
• 自动化轮换：通过ACME协议或自研方案实现证书自动续期，减少人工干预。
• 吊销及时性：设备退役或泄露后，立即吊销证书并更新CRL，最大间隔不超过24小时。

4.3 访问控制策略（RBAC/ABAC）

访问控制决定了“谁（主体）能对什么（资源）执行哪些操作（动作）”。在物联网中，主体可以是设备、用户或服务，资源包括传感器数据、控制指令、固件升级接口等。

RBAC（基于角色的访问控制）

RBAC通过“角色”作为中间层，将权限授予角色，再将角色分配给主体。适用于权限结构相对稳定的场景。

角色	权限示例	适用对象
设备管理员	固件升级、配置修改、日志查看	运维人员
数据观察者	读取传感器数据、查看设备状态	监控系统、数据分析师
设备自身	上报数据、接收指令	物联网终端设备
受限访客	仅查看设备在线状态	第三方合作伙伴

ABAC（基于属性的访问控制）

ABAC利用主体、资源、环境的多维属性动态计算访问决策，粒度更细，适合复杂物联网场景。

• 主体属性：设备类型、安全等级、地理位置、所属组织。
• 资源属性：数据敏感度、资源分类、所属域。
• 环境属性：当前时间、网络风险等级、设备固件版本。
• 动作属性：读取、写入、删除、执行。

策略示例（ABAC策略语言）

策略名称: 仅允许高安全等级设备在办公时间写入敏感数据
主体.安全等级 == "高" AND
资源.敏感度 == "敏感" AND
环境.时间 BETWEEN "09:00" AND "18:00" AND
动作 == "写入"
→ 允许访问

物联网访问控制实施建议

• 最小权限原则：每个设备或用户只授予完成其任务所需的最小权限集。
• 动态策略：结合设备行为基线，当检测到异常时（如非正常时段上报），动态收紧权限。
• 审计与日志：所有访问请求必须记录日志，包括主体、资源、动作、时间、决策结果，用于事后追溯。
• 策略测试：在灰度环境中先验证ABAC策略的正确性，避免影响生产设备。

---

专注课程资料整理