一种物联网网关系统
技术领域
本发明涉及数据安全存储设备技术领域，尤其涉及一种物联网网关系统。
背景技术
现有物联网设备如智能音箱、网络摄像头等需要联网的设备一般都是直接通过WiFi接入互联网，其数据传输时，可能没有做加密或者使用相同密钥进行简单加密，现有技术的连接示意如图1所示。
由于传输数据时直接通过外网传输，很容易被网络黑客在传输过程中的截获。网络黑客通过多次截获数据包，可以获取其明文数据以及加密密钥，并且现有设备密钥传输的密钥一般不会轻易变化，一旦加密密钥被破解，网络黑客便可以获取设备的大量用户隐私信息。
发明内容
本发明的目的在于克服现有技术缺陷，提出了一种物联网网关系统。
为了实现上述目的，本发明提出了一种物联网网关系统，用于通过网关设备从外网接收外网业务数据，或/和从移动设备接收移动业务数据，经加/解密处理传输至物联网设备；其特征在于，所述系统包括设置在网关设备上的网关处理模块、设置在外网服务器上的密钥管理模块和外网业务处理模块，以及设置在移动设备上的移动业务处理模块；其中，
所述网关处理模块，用于接收外网业务数据或/和移动业务数据，经解密处理后发送至物联网设备；
所述密钥管理模块，用于生成外网业务数据传输使用的外网业务会话密钥；还用于生成移动设备消息传输使用的移动设备密钥，以及移动业务数据传输使用的移动业务会话密钥；
所述外网业务处理模块，用于根据物联网设备的请求生成外网业务数据，经加密处理后发送至网关处理模块；
所述移动业务处理模块，用于生成移动业务数据，经加密处理后发送至网关处理模块。
作为上述系统的一种改进，所述网关设备使用Linux操作系统，主板上设置用于预存网关设备密钥的硬件加密芯片，所述网关设备密钥包括公钥和私钥。
作为上述系统的一种改进，所述网关处理模块的具体实现过程为：
根据物联网设备申请外网业务数据的请求，生成获取外网业务数据申请，使用网关设备密钥的公钥进行加密处理后发送至密钥管理模块；
接收加密的外网业务会话密钥，使用网关设备密钥的私钥进行解密处理，得到外网业务会话密钥；
接收加密的外网业务数据，使用外网业务会话密钥进行解密处理，并发送至物联网设备；
接收移动设备发送的与物联网设备连接的请求；
生成获取移动设备密钥申请，使用网关设备密钥的公钥进行加密处理后发送至密钥管理模块；
接收加密的移动设备密钥，使用网关设备密钥的私钥进行解密处理，并发送至移动设备；
接收加密的移动业务会话密钥，使用移动设备密钥进行解密处理，得到移动业务会话密钥；
接收加密的移动设备业务数据，使用移动业务会话密钥进行解密处理，并发送至物联网设备。
作为上述系统的一种改进，所述密钥管理模块的具体实现过程为：
接收获取外网业务数据申请，使用预存的网关设备密钥的私钥进行解密处理，生成业务会话密钥，将业务会话密钥及解密后的获取外网业务数据申请发送至外网业务处理模块，使用网关设备密钥的公钥对外网业务会话密钥进行加密处理，并发送至网关设备；
接收获取移动设备密钥申请，使用网关设备密钥的私钥进行解密处理，生成移动设备密钥，使用网关设备密钥的公钥对移动设备密钥进行加密处理，并发送至网关设备；
接收移动设备与物联网设备传输业务数据的申请，使用移动设备密钥进行解密处理；生成移动设备业务会话密钥，使用移动设备密钥进行加密处理后分别发送至网关设备和移动设备。
作为上述系统的一种改进，所述密钥管理模块还用于在所述网关设备出厂前生成该网关设备对应的网关设备密钥的公钥和私钥，保存并发送至网关设备。
作为上述系统的一种改进，所述移动业务处理模块的具体实现过程为：
向网关设备发送与物联网设备连接的请求；
接收网关设备发送的移动设备密钥；
生成与物联网设备传输业务数据的申请，使用移动设备密钥进行加密处理后发送至服务器；
接收服务器发送的移动设备业务会话密钥，使用移动设备密钥进行解密处理，得到移动设备业务会话密钥；
使用移动设备业务会话密钥对移动设备业务数据进行加密处理后发送至网关设备。
作为上述系统的一种改进，所述网关设备密钥、移动设备密钥、外网业务会话密钥和移动业务会话密钥均采用国密SM4或DES高强度算法。
作为上述系统的一种改进，所述物联网设备上设置物联网设备业务处理模块，用于向网关设备发送获取外网业务数据的请求。
与现有技术相比，本发明的优势在于：
1、本发明通过引入安全网关提高数据传输的安全性，从而有效保护了用户在使用物联网设备时的隐私信息；
2、本发明通过设计基于国密SM4或DES高强度算法的网关设备密钥、外网业务会话密钥、移动设备密钥和移动业务会话密钥，保证了在外网传输的所有数据和消息都经过了加密处理，复杂的密钥设计，不易被网络黑客破解；
3、本发明的外网业务会话密钥和移动业务会话密钥仅此次会话内有效，短时间内基本不可能通过交互的信息破解出此会话密钥，所以攻击者无法通过截获网络信息来获取用户物联网设备的隐私数据。
附图说明
图1是现有技术物联网设备、移动设备以及外网的连接示意图；
图2是本发明的物联网网关系统组成示意图；
图3是本发明实施例1和实施例2的物联网网关系统处理时序图。
具体实施方式
如图2所示，所有的物联网设备的所有数据交互均传输给本系统，通过网关设备进行会话与数据加密，让传输的数据即便被截获，也无法读取其明文信息。本系统包括设置在网关设备上的网关处理模块、设置在外网服务器上的密钥管理模块和外网业务处理模块以及设置在移动设备上的移动业务处理模块。具体实现原理如下：
1、系统主要包括安全网关设备与密钥管理模块，通过网关设备和密钥管理模块的配合，将外网的业务服务，外网移动设备，内网物联网设备安全连接起来。
1）安全网关设备使用Linux操作系统，主板上有一个硬件加密芯片，还有一个输出设备（此输出设备可以是电脑显示器，也可以是可以显示二维码的微型单色LED屏）。此安全网关跟物联网设备在同一个区域，可以通过内部路由器/WiFi或者蓝牙等内部短距离的方式连接；
2）密钥管理模块由部署在外网的服务器提供，此服务器与外网业务服务器部署在一起，两者可以直接通过内部安全通道连接。
2、密钥安全：密钥算法采用国密SM4或者DES等高强度算法。密钥不在任何情况下做明文传输：
1）网关设备密钥：网关设备密钥只存在于硬件加密芯片跟密钥管理服务器内，每个安全网关的密钥都不一样。安全网关可以使用此公私钥对会话信息进行加密，与密钥管理模块进行安全交互。网关设备密钥用于网关处理模块与密钥管理模块之间的消息加密传输，其中公钥用于加密，私钥用于解密；
2）移动设备密钥：此密钥需要使用安全网关设备向密管设备发起请求，显示在安全网关设备显示输出屏上，使用移动设备扫一扫得到密钥信息，此密钥只存于与移动设备与部署密钥管理模块的外网服务器内。该密钥用于移动设备与密钥管理模块之间的消息加密传输；
3）外网业务会话密钥：请求会话密钥后，使用网关设备密钥加密传输。该密钥用于业务处理模块至物联网设备的业务数据的加密传输；
4）移动业务会话密钥：请求会话密钥后，使用移动设备密钥加密传输。该密钥用于移动设备至物联网设备的移动设备业务数据的加密传输。
3、数据交互各个终端之间所有交互都通过密钥加密传输，密钥数据任何阶段都不在外网进行传输，这样就可以解决物联网设备联网传输过程中数据不安全的问题。
下面结合附图和实施例对本发明的技术方案进行详细的说明。
实施例1
如图3所示，本发明的实施例1提出了一种物联网网关系统。系统包括设置在网关设备上的网关处理模块、和网关设备在一个局域网内的智能音箱、设置在外网服务器上的密钥管理模块和外网业务处理模块。本实施例以单个语音控制的智能音箱为例加以说明。
1、网关初始化：网关在出厂时会内置一个网关设备密钥在硬件加密芯片内，出厂的同时录入了密钥管理模块，此项操作在厂房内部进行，故不会在外网传输。除了密钥管理模块，在设备外部无法获取到此密钥数据。故可以保证此密钥自身的安全；
2、智能音箱建立会话，与音箱业务服务的安全会话：首先向安全网关设备获取会话密钥，网关会使用安全通道向密钥管理模块申请返回此会话密钥，密钥管理服务同时也会将此会话密钥传给音箱业务服务，然后音箱通过安全网关的安全通道便可以安全的与音箱业务服务交互，获取/上传所需数据。具体步骤如下：
1）智能音箱向网关设备发送申请外网业务数据的请求；由于在内网内，不需要加密处理；
2）网关处理模块生成获取外网业务数据申请，使用预存的网关设备密钥的公钥对申请进行加密处理后使用安全通道发送至外网服务器；密钥管理模块与外网业务模块部署在一起，两者可以直接通过内部安全通道连接；并且把生成的外网业务会话密钥通过网关设备密钥的公钥进行加密处理后发送至网关处理模块；
3）外网业务模块根据数据申请，获取业务数据，使用外网业务会话密钥加密后发送至网关处理模块；
4）网关处理模块收到加密的外网业务会话密钥，使用网关设备密钥的私钥进行解密，得到外网业务会话密钥；
5）网关处理模块收到外网业务数据，使用外网业务会话密钥解密后发送至智能音箱。
实施例2
本发明的实施例2提出了一种物联网网关系统，系统包括设置在网关设备上的网关处理模块、与网关设备在一个局域网内的智能音箱、设置在外网服务器上的密钥管理模块和外网业务处理模块，以及手机；本实施例以手机向智能音箱传输音频文件为例加以说明。
1、网关初始化：网关在出厂时会内置一个网关设备密钥在硬件加密芯片内，出厂的同时录入了密钥管理模块，此项操作在厂房内部进行，故不会在外网传输。除了密钥管理模块，在设备外部无法获取到此密钥数据。故可以保证此密钥自身的安全；
2、手机设备初始化：手机在使用前安全网关设备需要获取手机的移动设备密钥。首先操作网关设备上面的按钮，让其使用安全通道向密钥管理服请求一个移动设备密钥，移动设备密钥会显示在安全网关设备上，手机通过扫一扫获得此移动设备密钥；
3、移动设备交互：首先手机使用移动设备密钥加密数据向密钥管理服请求与音箱交互的会话密钥，密钥管理服务获取一个密钥返移动设备，然后通过密钥管理服务使用安全通道同步给安全网关设备，同时并将移动设备与安全网关建立点对点通道。此时手机就可以使用交互会话密钥与网关直接进行点对点交互。此外手机也可以向密钥管理服务请求与业务服务的交互密钥，通过手机安全地与音箱业务服务交互。具体步骤如下：
1）手机向网关设备发送与物联网设备连接的请求；
2）网关处理模块接收手机发送的与物联网设备连接的请求，生成获取移动设备密钥申请，使用网关设备密钥进行加密处理后发送至密钥管理模块；
3密钥管理模块对收到的请求使用网关设备密钥的私钥进行解密，生成移动设备密钥，经过网关设备密钥的公钥加密后发送至网关处理模块；
3）网关处理模块收到加密的移动设备密钥，使用网关设备密钥的私钥进行解密，保存，并发送至手机；
4）手机生成与物联网设备传输业务数据的申请，使用移动设备密钥进行加密处理后发送至密钥管理模块；
5）密钥处理模块根据申请生成移动业务会话密钥，使用移动设备密钥进行加密处理后分别发送至网关设备和手机；
6）网关处理模块对收到的移动业务会话密钥进行解密处理，得到移动业务会话密钥；
7）手机对使用移动设备密钥对加密的移动会话密钥进行解密处理，得到移动业务会话密钥，并用此密钥对业务数据进行加密处理后发送至网关设备；
8）网关处理模块使用移动业务会话密钥对收到的业务数据进行解密处理后发送至智能音箱。
实施例3
由于物联网设备种类繁多，来自不同厂家，本系统的物联网设备支持以下两种：
1、与网关在同一个安全局域网，有些需要安装物联网业务处理模块；用于向网关设备发送获取外网业务数据的请求；
2、有些外网设备也可以接入网关，如定位手表等，此部分设备是需要内置了一个“物联网设备密钥”，此密钥跟网关密钥功能类似，用户由此再获取安全的会话密钥。其他处理流程同实施例1和2，不再赘述。
本发明的设计思想是：
物联网设备（如智能音箱）通过局域网/蓝牙等协议与网关连接，物联网设备需要通过网关通过会话密钥与外网设备进行加密交互；
为了获取此会话密钥，其交互数据需要使用自身的网关设备密钥进行加密。得到会话密钥后会将会话密钥同步给相关业务的服务，业务服务与密钥服务在同一个局域网内故可以保证会话密钥在传输过程中是安全的；
而后物联网设备传递数据时，通过网关使用会话密钥对数据进行加密，这样就可以保证物联网设备与外部业务服务的交互是安全的；
外网移动设备需要与此内网物联网设备交互，需要在网关的显示输出设备上，通过扫一扫二维码，获取一个新的移动设备密钥，此密钥由密钥处理模块下发。得到此移动设备密钥后，就可以作为一个安全终端与密钥处理模块进行安全的交互，获取与内网物联网设备的会话密钥，进行P2P交互了；
会话密钥仅此次会话内有效，短时间内基本不可能通过交互的信息破解出此会话密钥，所以攻击者无法通过截获网络信息来获取用户物联网设备的隐私数据。
最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。
