物联网开发平台设备认证

一、认证方式介绍

设备连接物联网开发平台前，需要完成身份认证。平台通过产品 ID、设备名称及设备凭证验证设备身份，认证通过后，设备才能上线并进行消息通信。

物联网开发平台支持以下两种设备认证方式：

·设备密钥认证（PSK）：设备使用独立的设备密钥生成连接签名，平台通过校验签名确认设备身份。

·设备证书认证：设备使用独立的设备证书和设备私钥完成身份认证，平台与设备通过证书建立双向可信连接。

认证方式在创建产品时确定，同一产品下的设备使用该产品配置的认证方式。

两种认证方式的基本流程如下：

设备认证流程图

两种认证方式的主要区别在于设备使用的凭证及身份校验机制不同。

对比项	设备密钥认证（PSK）	设备证书认证
设备凭证	设备密钥（DeviceSecret/PSK）。	设备证书和设备私钥。
认证机制	使用设备密钥生成 HMAC 签名。	使用设备证书和私钥完成双向认证。
设备侧准备	ProductID、DeviceName、设备密钥。	ProductID、DeviceName、设备证书、设备私钥及 CA 证书。
实现复杂度	相对较低。	相对较高。
设备资源要求	相对较低。	需要支持证书和私钥的加载及运算。
凭证保护重点	防止设备密钥泄露。	防止设备私钥泄露。
适用场景	资源受限设备、快速接入及具备密钥安全存储能力的设备。	对设备身份安全要求较高，且具备证书和私钥安全存储能力的设备。

注意：说明：

注意：CA 证书不属于设备身份凭证。设备证书和设备私钥用于证明设备身份，CA 证书用于验证物联网平台服务端身份。

选择认证方式时，建议综合考虑设备资源、安全要求、生产方式及凭证管理能力。

以下场景可考虑使用设备密钥认证：

·设备计算或存储资源有限。

·希望降低设备侧接入复杂度。

·能够为每台设备安全保存独立设备密钥。

·现有产线具备设备密钥写入或首次获取能力。

设备密钥属于敏感凭证，不应写入日志、公开代码或由多台设备共用。

前往设备密钥认证，了解认证参数、连接参数生成方法及设备上线流程。

以下场景可考虑使用设备证书认证：

·业务对设备身份安全有较高要求。

·设备能够完成证书和私钥相关运算。

·设备具备安全芯片或其他私钥安全存储能力。

·企业具备证书及私钥的生产写入和生命周期管理能力。

设备私钥必须妥善保存。设备证书可以用于标识设备身份，但不能替代对应的设备私钥。

注意：说明：

注意：证书认证并非适用于所有生产场景。若设备缺少私钥安全存储能力，仍可能存在凭证泄露风险，应结合实际硬件和生产条件进行选择。