一种物联网的访问控制方法、用户设备以及系统

技术领域

本发明涉及物联网技术领域，涉及一种物联网的访问控制方法、用户设备以及系统。

背景技术

访问控制作为一种核心的信息安全技术，用于对用户权限进行管理，防止越权操作发生。它在保证系统安全和业务正常运转方面都发挥了至关重要的作用。而物联网(Internet of Thing，IoT)作为新一代信息技术的重要组成部分，得到了广泛的接受和普及，已逐渐应用到智慧城市、车联网、智慧医疗等众多领域。物联网的广泛部署与应用，虽然有效解决了多个行业发展中存在的痛点问题，但面临的网络安全威胁也随之变得越发复杂。物联网感知节点的分散性、数据采集的规模性、设备与软件的脆弱性使近些年来针对物联网的攻击层出不穷，且范围和影响逐年递增。作为核心的信息安全技术之一，访问控制是物联网应用安全中不可或缺的一环。

在现有技术中，公认最具潜力的访问控制模型为基于权能的访问控制模型(Capability-Based Access Control，CapBAC)模型。

但是，该模型仍然存在以下缺陷：1、端到端之间的通信存在密钥管理负担问题或开销较大问题；2、单次访问请求验证耗时长，会增加访问控制的延迟。

因此，当前需要一种物联网的访问控制方法、装置以及系统，从而解决现有技术中存在的上述问题。

发明内容

针对现存的上述技术问题，本发明的目的在于提供一种物联网的访问控制方法、装置以及系统，以降低物联网访问控制的管理成本，并提升物联网访问控制的响应速度。

本发明提供了一种物联网的访问控制方法，所述访问控制方法包括：根据第一用户的输入操作，生成第一访问信息，并以预设的加密方式对所述第一访问信息进行基于身份的加密，生成第一访问控制请求；所述第一访问信息包括第一用户设备当前存储的第一权能令牌链以及所述第一用户需控制的第一物联网设备；所述第一权能令牌链包括验证过数字证书的一个或多个第一权能令牌；根据预设的消息列队传输协议，通过代理服务器向网关转发所述第一访问控制请求，以使所述网关在对所述第一访问控制请求进行解密后，对所有第一权能令牌分别进行签名验证，并在根据解密后的内容生成第一控制指令后，向所述第一物联网设备发送所述第一控制指令；根据预设的消息列队传输协议，通过代理服务器接收所述网关发送的所述第一控制结果；其中，所述第一控制结果由所述第一物联网设备在执行所述第一控制指令后生成并反馈给所述网关。

在一个实施例中，所述访问控制方法包括：根据第一用户的输入操作，生成第一访问信息，并以预设的加密方式对所述第一访问信息进行基于身份的加密，生成第一访问控制请求；所述第一访问信息包括第一用户设备当前存储的第一权能令牌链以及所述第一用户需控制的第一物联网设备；所述第一权能令牌链包括一个或多个第一权能令牌；根据预设的消息列队传输协议，通过代理服务器向网关转发所述第一访问控制请求，以使所述网关在对所述第一访问控制请求进行解密后，对所有第一权能令牌分别进行签名验证，并在根据解密后的内容生成第一控制指令后，向所述第一物联网设备发送所述第一控制指令；根据预设的消息列队传输协议，通过代理服务器接收所述网关发送的所述第一控制结果；其中，所述第一控制结果由所述第一物联网设备在执行所述第一控制指令后生成并反馈给所述网关。

在一个实施例中，所述访问控制方法还包括：当第一权能令牌链的长度达到预设的阈值时，向具有令牌归并权限的第二用户发送所述第一权能令牌链以及令牌归并请求，以使所述第二用户在确认所述第一权能令牌链合法后，对所有第一有权能令牌进行归并，以生成包括一个或多个第二权能令牌的第二权能令牌链，并使用所述第二用户的用户私钥对所述第二权能令牌链中的所有第二权能令牌分别进行签名；所述第二权能令牌链的长度短于所述第一权能令牌链的长度，所述第一权能令牌链的权限与所述第二权能令牌链的权限相同；接收所述第二权能令牌链，并在对所述第二权能令牌链进行验证后，保存所述第二权能令牌链。

在一个实施例中，所述访问控制方法还包括：当接收到第一用户输入的权限传递指令时，通过预设的验证方法，验证待接受传递权限的第三用户是否满足传递条件；当验证通过时，生成与所述第三用户对应的公钥证书，并根据所述公钥证书以及所述第一权能令牌链，派生出与所述权限传递指令对应的第三权能令牌链，并将所述第三权能令牌链发送给第三用户。

在一个实施例中，所述访问控制方法还包括：当接收到第一用户输入的授权撤销指令时，生成第一撤销授权信息并以预设的加密方式对所述第一撤销授权信息进行基于身份的加密，以获取撤销授权信息；所述第一授权信息包括权限待撤销的第四用户的用户信息；根据预设的消息队列传输协议，将所述撤销授权信息通过所述代理服务器发送给所述网关，以使所述网关对所述撤销授权信息进行解密，并将所述第四用户的用户信息加入所述网关的权限撤销列表中，以使当网关再次接收到所述第四用户发送的第四访问请求时，拒绝所述第四访问请求；根据预设的消息队列传输协议，通过所述代理服务器接收所述网关发送的反馈信息，从而完成权限撤销；所述反馈信息由所述网关在将所述第四用户的用户信息加入所述网关的权限撤销列表中后产生。

在一个实施例中，所述访问控制方法还包括：当接收到第一用户输入的权能令牌请求指令时，生成第一权能令牌请求信息并使用所述第一用户的用户私钥进行签名，以获取第一权能令牌请求信息；将所述第一权能令牌请求信息发送给中心服务器，以使所述中心服务器根据用户公钥对所述第一权能令牌请求信息进行验证，并根据用户属性信息与访问控制策略进行决策，在验证和决策均通过后，根据所述第一权能令牌请求信息生成相应的第一权能令牌链；接收所述中心服务器发送的所述第一权能令牌链并进行保存。

在一个实施例中，所述以预设的加密方式对所述第一访问请求进行基于身份的加密，以获取第一访问控制请求，具体为：从所述中心服务器获取所述代理服务器的主题名称；以所述代理服务器的主题名称作为公共密钥，对所述第一访问请求进行基于身份的加密，以生成第一访问控制请求。

本发明还提供了一种物联网的用户设备，所述用户设备包括：指令获取模块、访问控制模块以及结果接收模块，其中，所述指令获取模块用于根据第一用户的输入操作，生成第一访问信息，并以预设的加密方式对所述第一访问信息进行基于身份的加密，生成第一访问控制请求；所述第一访问信息包括第一用户设备当前存储的第一权能令牌链以及所述第一用户需控制的第一物联网设备；所述第一权能令牌链包括一个或多个第一权能令牌；所述访问控制模块用于根据预设的消息列队传输协议，通过代理服务器向网关转发所述第一访问控制请求，以使所述网关在对所述第一访问控制请求进行解密后，对所有第一权能令牌分别进行签名验证，并在根据解密后的内容生成第一控制指令后，向所述第一物联网设备发送所述第一控制指令；所述结果接收模块用于根据预设的消息列队传输协议，通过代理服务器接收所述网关发送的所述第一控制结果；其中，所述第一控制结果由所述第一物联网设备在执行所述第一控制指令后生成并反馈给所述网关。

在一个实施例中，所述用户设备还包括令牌归并模块以及权限管理模块，其中，所述令牌归并模块：当第一权能令牌链的长度达到预设的阈值时，向具有令牌归并权限的第二用户发送所述第一权能令牌链以及令牌归并请求，以使所述第二用户在确认所述第一权能令牌链合法后，对所有第一有权能令牌进行归并，以生成包括一个或多个第二权能令牌的第二权能令牌链，并使用所述第二用户的用户私钥对所述第二权能令牌链中的所有第二权能令牌分别进行签名；所述第二权能令牌链的长度短于所述第一权能令牌链的长度，所述第一权能令牌链的权限与所述第二权能令牌链的权限相同；接收所述第二权能令牌链，并在对所述第二权能令牌链进行验证后，保存所述第二权能令牌链；所述权限管理模块用于：当接收到第一用户输入的权限传递指令时，通过预设的验证方法，验证待接受传递权限的第三用户是否满足传递条件；当验证通过时，生成与所述第三用户对应的公钥证书，并根据所述公钥证书以及所述第一权能令牌链，派生出与所述权限传递指令对应的第三权能令牌链，并将所述第三权能令牌链发送给第三用户；当接收到第一用户输入的授权撤销指令时，生成第一撤销授权信息并以预设的加密方式对所述第一撤销授权信息进行基于身份的加密，以获取撤销授权信息；所述第一授权信息包括权限待撤销的第四用户的用户信息；根据预设的消息队列传输协议，将所述撤销授权信息通过所述代理服务器发送给所述网关，以使所述网关对所述撤销授权信息进行解密，并将所述第四用户的用户信息加入所述网关的权限撤销列表中，以使当网关再次接收到所述第四用户发送的第四访问请求时，拒绝所述第四访问请求；根据预设的消息队列传输协议，通过所述代理服务器接收所述网关发送的反馈信息，从而完成权限撤销；所述反馈信息由所述网关在将所述第四用户的用户信息加入所述网关的权限撤销列表中后产生。

在一个实施例中，所述权限管理模块还用于：当接收到第一用户输入的权能令牌请求指令时，生成第一权能令牌请求信息并使用所述第一用户的用户私钥进行签名，以获取第一权能令牌请求信息；将所述第一权能令牌请求信息发送给中心服务器，以使所述中心服务器根据用户公钥对所述第一权能令牌请求信息进行验证，并根据用户属性信息与访问控制策略进行决策，在验证和决策均通过后，根据所述第一权能令牌请求信息生成相应的第一权能令牌链；接收所述中心服务器发送的所述第一权能令牌链并进行保存。

本发明还提供了一种物联网的访问控制系统，所述访问控制系统包括：中心服务器、代理服务器、网关、一个或多个物联网设备以及一个或多个如前所述的物联网的用户设备，所述用户设备分别连接到所述中心服务器以及所述代理服务器，所述代理服务器连接到所述网关，所述网关分别连接到所述中心服务器以及所述一个或多个物联网设备，其中，所述用户设备用于执行如前所述的物联网的访问控制方法。

相比于现有技术，本发明实施例具有如下有益效果：

本发明提供了一种物联网的访问控制方法、用户设备以及系统，通过基于身份的加密技术以及基于消息队列传输协议的代理服务器相配合，在整个传输过程中直接以代理服务器的相应主题名称作为公钥进行验证，同时，通过在生成第一权能令牌链时事先验证所述第一用户的数字证书，在验证通过后，将数字证书放置在所述第一权能令牌链中并对其签名，使得在通过所述第一权能令牌链，验证所述第一用户的第一访问控制请求时，仅需对所述第一权能令牌链的签名进行验证，该访问控制方法、用户设备以及系统不仅避免了大量密钥的产生以及随之而来的密钥管理负担，还使针对访问者数字证书的验证程序与第一权能令牌链的签名验证程序一起进行，在保证访问控制合法性的前提下提升了访问控制的响应速度。

进一步地，本发明提供的物联网的访问控制方法、用户设备以及系统还通过用户与用户之间的授权传递实现了去中心化的授权过程，从而简化了权限申请的步骤流程，也减轻了中心服务器的负担。

进一步地，本发明提供的物联网的访问控制方法、用户设备以及系统还通过令牌归并缩短了多次授权后访问控制的验证时间，从而进一步提升了访问控制的响应速度。

附图说明

下文将结合说明书附图对本发明进行进一步的描述说明，其中：

图1示出了根据本发明的物联网的访问控制方法的一个实施例的流程图；

图2示出了根据本发明的物联网的访问控制方法的另一实施例的流程图；

图3示出了根据本发明的物联网的用户设备的一个实施例的结构图；

图4示出了根据本发明的物联网的用户设备的又一实施例的结构图；

图5示出了根据本发明的物联网的访问控制系统的一个实施例的结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

具体实施例一

图1示出了根据本发明的物联网的访问控制方法的一个实施例的流程图，该方法包括如下步骤：

S1:根据第一用户的输入操作，生成第一访问信息，并以预设的加密方式对所述第一访问信息进行基于身份的加密，生成第一访问控制请求。

要实现物联网设备的访问控制过程，首先要根据第一用户的输入操作确定第一用户想要访问控制的第一物联网设备，以及该第一用户期望对所述第一物联网设备进行的操作，并同时获取第一用户的第一权能令牌链，以便后续对于该操作的合法性进行验证。因此，第一访问信息应当包括第一用户设备当前存储的第一权能令牌链，以及所述第一用户需控制的第一物联网设备。事实上，由于第一访问信息还指明了第一用户期望对所述第一物联网设备进行的具体访问控制操作，该第一访问信息还应当包括第一用户期望对所述第一物联网设备进行的第一操作信息。

由上述可知，第一访问信息用于指定第一用户期待进行的第一操作信息，以及该第一用户是否具有进行该第一操作的权限。

此外，在获取上述信息后，为了保证整个访问控制过程具有安全性和稳定性，应当对过程中传递的信息进行加密。在现有技术中，为了实现端到端的安全通信，往往采用一对一加密方式进行加密，这样会产生大量的密钥，随之而来的是沉重的密钥管理负担。

为了解决这一问题，本发明将基于身份的加密(IBE)以及基于消息队列传输协议(MQTT)的代理服务器进行了结合运用。MQTT协议是一种消息列队传输协议，采用订阅、发布机制，订阅者只接收自己已经订阅的数据，非订阅数据则不接收，既保证了必要的数据的交换，又避免了无效数据造成的储存与处理。因此在工业物联网中得到广泛的应用。而基于身份的加密技术是一种公钥加密方式。在本发明实施例中，通过将二者配合使用，直接将MQTT代理服务器的订阅主题作为给相应信息进行基于身份的加密的密钥，从而使得仅订阅了相关主题的第一物联网设备能够接收第一访问控制请求，与此同时，直接用订阅的相关主题名称作为公钥，切实解决了需要产生并保存大量密钥，以对不同的访问控制请求进行加密的问题，从而显著降低了密钥的计算管理负担。

具体地，从所述中心服务器获取所述代理服务器的主题名称；以所述代理服务器的主题名称作为公共密钥，对所述第一访问请求进行基于身份的加密，以生成第一访问控制请求。

S2:根据预设的消息列队传输协议，通过代理服务器向网关转发所述第一访问控制请求，以使所述网关在对所述第一访问控制请求进行解密后，对所有第一权能令牌分别进行签名验证，并在根据解密后的内容生成第一控制指令后，向所述第一物联网设备发送所述第一控制指令。

为了分摊了后台中心服务器的负担，提升了系统的可扩展性，本发明实施例将访问控制执行从后台转移到计算力更强的网关上，即，使得访问控制发生在靠近设备的一侧。

在经过如上所述的加密和信息传输后，网关接收第一访问控制请求并解密，为了保证安全性和合法性，首先要对该访问控制请求进行验证。

应当注意的是，在现有技术中，由于在为请求授权的访问者生成权能令牌链时，往往不会对请求授权的访问者进行数字证书的验证，因此，现有技术对于访问控制请求的验证，不仅需要对权能令牌链进行签名验证，还需要等待获取访问者的数字证书以进行数字证书验证，这就导致了验证时间的浪费，降低了访问控制的响应速度。

针对这一问题，本发明提出一种新的验证思路，即在生成权能令牌链时就对访问者的数字证书进行验证，并在验证通过后，将所述数字证书放置于权能令牌链中，从而使得在需要验证访问控制请求的合法性时，仅需对权能令牌链进行签名验证即可。因此，在本发明的实施例中，所述第一权能令牌链包括验证过数字证书的一个或多个第一权能令牌。

在签名验证通过后，即可根据第一访问控制请求解密后的内容，生成第一控制指令，并将该第一控制指令发送给第一物联网设备。

S3:根据预设的消息列队传输协议，通过代理服务器接收所述网关发送的所述第一控制结果。

其中，所述第一控制结果由所述第一物联网设备在执行所述第一控制指令后生成并反馈给所述网关。

本发明提供了一种物联网的访问控制方法，通过基于身份的加密技术以及基于消息队列传输协议的代理服务器相配合，在整个传输过程中直接以代理服务器的相应主题名称作为公钥进行验证，同时，通过在生成第一权能令牌链时事先验证所述第一用户的数字证书，在验证通过后，将数字证书放置在所述第一权能令牌链中并对其签名，使得在通过所述第一权能令牌链，验证所述第一用户的第一访问控制请求时，仅需对所述第一权能令牌链的签名进行验证，访问控制方法不仅避免了大量密钥的产生以及随之而来的密钥管理负担，还使针对访问者数字证书的验证程序与第一权能令牌链的签名验证程序一起进行，在保证访问控制合法性的前提下提升了访问控制的响应速度。

具体实施例二

图2示出了根据本发明的物联网的访问控制方法的另一实施例的流程图，该方法包括如下步骤：

S1:根据第一用户的输入操作，生成第一访问信息，并以预设的加密方式对所述第一访问信息进行基于身份的加密，生成第一访问控制请求。

实际上，本步骤的执行是有前提的，即，第一用户设备当前必须保存有与访问控制请求相对应的第一权能令牌链，否则在后续传递的第一访问控制请求中就无法证明其身份和操作权限的合法性。因此，如果第一用户需要访问控制第一物联网设备，就应当通过向第一用户设备输入权能令牌请求指令，来获取第一权能令牌链，从而完成权限申请过程。具体包括如下步骤：

A101：当接收到第一用户输入的权能令牌请求指令时，生成第一权能令牌请求信息并使用所述第一用户的用户私钥进行签名，以获取第一权能令牌请求信息。

当需要申请获取第一权能令牌链时，第一用户需要输入期望访问控制的第一物联网设备的设备信息以及期待对该第一物联网设备执行的访问控制操作，随后通过用户私钥签名表明第一用户的身份(账户信息)。

A102：将所述第一权能令牌请求信息发送给中心服务器，以使所述中心服务器根据用户公钥对所述第一权能令牌请求信息进行验证，并根据用户属性信息与访问控制策略进行决策，在验证和决策均通过后，根据所述第一权能令牌请求信息生成相应的第一权能令牌链。

A103：接收所述中心服务器发送的所述第一权能令牌链并进行保存。

S2:根据预设的消息列队传输协议，通过代理服务器向网关转发所述第一访问控制请求，以使所述网关在对所述第一访问控制请求进行解密后，对所有第一权能令牌分别进行签名验证，并在根据解密后的内容生成第一控制指令后，向所述第一物联网设备发送所述第一控制指令。

S3:根据预设的消息列队传输协议，通过代理服务器接收所述网关发送的所述第一控制结果。

其中，所述第一控制结果由所述第一物联网设备在执行所述第一控制指令后生成并反馈给所述网关。

在上述过程中，步骤S1中的步骤A101-A103描述了第一用户需要访问控制第一物联网设备时，向中心服务器申请授权的过程，这也是现有技术的常用授权申请方法，但是，由于在一个物联网中往往存在许多用户，如果每个用户的每一次访问控制都需要经由中心服务器授权，那么中心服务器的计算负担是非常沉重的。

针对这一问题，在一个实施例中，本发明实施例提供了一个去中心化的授权传递方法，即，不经过中心服务器，直接由一个具有授权权限的用户设备向另一个请求授权的用户设备进行授权，从而简化权限申请的步骤流程，减轻中心服务器的负担。具体地，该授权传递过程包括以下步骤：

B101：当接收到第一用户输入的权限传递指令时，通过预设的验证方法，验证待接受传递权限的第三用户是否满足传递条件。

在一个实施例中，预设的验证方法为：通过检查第三用户出示的身份证明和公钥，确认第三用户身份的合法性；检测第三用户申请的权限要求与有效期是否与第一用户设置的访问控制策略相符，若相符，则认为通过验证。

B102：当验证通过时，生成与所述第三用户对应的公钥证书，并根据所述公钥证书以及所述第一权能令牌链，派生出与所述权限传递指令对应的第三权能令牌链，并将所述第三权能令牌链发送给第三用户。

与去中心化授权相对应地，在一个实施例中，具有授权撤销权限的用户还可以通过输入授权撤销指令，直接取消部分或全部用户的部分或全部权限。具体地，用户之间的撤销授权过程包括如下步骤：

C101：当接收到第一用户输入的授权撤销指令时，生成第一撤销授权信息并以预设的加密方式对所述第一撤销授权信息进行基于身份的加密，以获取撤销授权信息；所述第一授权信息包括权限待撤销的第四用户的用户信息。

C102：根据预设的消息队列传输协议，将所述撤销授权信息通过所述代理服务器发送给所述网关，以使所述网关对所述撤销授权信息进行解密，并将所述第四用户的用户信息加入所述网关的权限撤销列表中，以使当网关再次接收到所述第四用户发送的第四访问请求时，拒绝所述第四访问请求。

C103：根据预设的消息队列传输协议，通过所述代理服务器接收所述网关发送的反馈信息，从而完成权限撤销。

其中，所述反馈信息由所述网关在将所述第四用户的用户信息加入所述网关的权限撤销列表中后产生。

此外，由于步骤S1的作用是根据第一用户的控制需求以及第一用户设备当前存储的第一权能令牌链，在保证通信安全性和操作安全性的前提下，生成第一访问控制请求，为了保证安全性的实现，除了加密和解密之外，第一权能令牌链的合法验证也是必不可少的一步。

但是，由于每进行一次权限委托，都生成一个新的权能令牌，即网关在验证原有令牌的基础上需要多验证一次。委托的次数越多，令牌链就越长，验证次数也增加，这会对访问控制的响应速度造成很大影响。针对这一问题，在一个实施例中，为了缩短多次授权后访问控制的验证时间，进一步提升访问控制的响应速度，本发明提出了一种令牌归并方法，从而在保持原有权限不变的情况下，缩短需要验证的权能令牌链的长度。具体地，令牌归并方法包括以下步骤：

D101：当第一权能令牌链的长度达到预设的阈值时，向具有令牌归并权限的第二用户发送所述第一权能令牌链以及令牌归并请求，以使所述第二用户在确认所述第一权能令牌链合法后，对所有第一有权能令牌进行归并，以生成包括一个或多个第二权能令牌的第二权能令牌链，并使用所述第二用户的用户私钥对所述第二权能令牌链中的所有第二权能令牌分别进行签名。

其中，所述第二权能令牌链的长度短于所述第一权能令牌链的长度，所述第一权能令牌链的权限与所述第二权能令牌链的权限相同。

D102：接收所述第二权能令牌链，并在对所述第二权能令牌链进行验证后，保存所述第二权能令牌链。

本发明提供了一种物联网的访问控制方法，通过基于身份的加密技术以及基于消息队列传输协议的代理服务器相配合，在整个传输过程中直接以代理服务器的相应主题名称作为公钥进行验证，同时，通过在生成第一权能令牌链时事先验证所述第一用户的数字证书，在验证通过后，将数字证书放置在所述第一权能令牌链中并对其签名，使得在通过所述第一权能令牌链，验证所述第一用户的第一访问控制请求时，仅需对所述第一权能令牌链的签名进行验证，访问控制方法不仅避免了大量密钥的产生以及随之而来的密钥管理负担，还使针对访问者数字证书的验证程序与第一权能令牌链的签名验证程序一起进行，在保证访问控制合法性的前提下提升了访问控制的响应速度；进一步地，本发明提供的物联网的访问控制方法还通过用户与用户之间的授权传递实现了去中心化的授权过程，从而简化了权限申请的步骤流程，也减轻了中心服务器的负担；进一步地，本发明提供的物联网的访问控制方法还通过令牌归并缩短了多次授权后访问控制的验证时间，从而进一步提升了访问控制的响应速度。

具体实施例三

除上述方法外，本发明还提供一种物联网的用户设备。图3示出了根据本发明的物联网的用户设备的一个实施例的结构图。如图3所示，该用户设备15包括：指令获取模块151、访问控制模块152以及结果接收模块153。

指令获取模块151用于根据第一用户的输入操作，生成第一访问信息，并以预设的加密方式对所述第一访问信息进行基于身份的加密，生成第一访问控制请求；所述第一访问信息包括第一用户设备当前存储的第一权能令牌链以及所述第一用户需控制的第一物联网设备；所述第一权能令牌链包括一个或多个第一权能令牌。

访问控制模块152用于根据预设的消息列队传输协议，通过代理服务器向网关转发所述第一访问控制请求，以使所述网关在对所述第一访问控制请求进行解密后，对所有第一权能令牌分别进行签名验证，并在根据解密后的内容生成第一控制指令后，向所述第一物联网设备发送所述第一控制指令。

结果接收模块153用于根据预设的消息列队传输协议，通过代理服务器接收所述网关发送的所述第一控制结果；其中，所述第一控制结果由所述第一物联网设备在执行所述第一控制指令后生成并反馈给所述网关。

此外，图4示出了根据本发明的物联网的用户设备的又一实施例的结构图。如图4所示，在一个实施例中，所述用户设备15还包括令牌归并模块154以及权限管理模块155。

其中，令牌归并模块154用于当第一权能令牌链的长度达到预设的阈值时，向具有令牌归并权限的用户发送所述权能令牌链以及令牌归并请求，以使所述用户在确认所述第一权能令牌链合法后，对所有第一有权能令牌进行归并，以生成包括一个或多个第二权能令牌的第二权能令牌链，并使用用户私钥对所述第二权能令牌链中的所有第二权能令牌分别进行签名；所述第二权能令牌链的长度短于所述第一权能令牌链的长度，所述第一权能令牌链的权限与所述第二权能令牌链的权限相同；接收所述第二权能令牌链，并在对所述第二权能令牌链进行验证后，保存所述第二权能令牌链。

权限管理模块155用于当接收到第一用户输入的权限传递指令时，通过预设的验证方法，验证待接受传递权限的第二用户是否满足传递条件；当验证通过时，生成与所述第二用户对应的公钥证书，并根据所述公钥证书以及所述第一权能令牌链，派生出与所述权限传递指令对应的第三权能令牌链，并将所述第三权能令牌链发送给第二用户。

在一个实施例中，权限管理模块155还用于当接收到第一用户输入的授权撤销指令时，生成第一撤销授权信息并以预设的加密方式对所述第一撤销授权信息进行基于身份的加密，以获取撤销授权信息；所述第一授权信息包括权限待撤销的第三用户的用户信息；根据预设的消息队列传输协议，将所述撤销授权信息通过所述代理服务器发送给所述网关；根据预设的消息队列传输协议，通过所述代理服务器接收所述网关发送的反馈信息，从而完成权限撤销。所述反馈信息由所述网关在将所述第三用户的用户信息加入所述网关的权限撤销列表中后产生。在完成权限撤销后，当网关再次接收到所述第三用户发送的第三访问请求时，网关将会拒绝所述第三访问请求。

在一个实施例中，权限管理模块155还用于当接收到第一用户输入的权能令牌请求指令时，生成第一权能令牌请求信息并使用用户私钥进行签名，以获取第一权能令牌请求信息；将所述第一权能令牌请求信息发送给中心服务器，以使所述中心服务器根据用户公钥对所述权能令牌请求信息进行验证，并根据用户属性信息与访问控制策略进行决策，在验证和决策均通过后，根据所述权能令牌请求信息生成相应的第三权能令牌链；接收所述中心服务器发送的所述第三权能令牌链并进行保存。

本发明提供了一种物联网的用户设备，通过基于身份的加密技术以及基于消息队列传输协议的代理服务器相配合，在整个传输过程中直接以代理服务器的相应主题名称作为公钥进行验证，同时，通过在生成第一权能令牌链时事先验证所述第一用户的数字证书，在验证通过后，将数字证书放置在所述第一权能令牌链中并对其签名，使得在通过所述第一权能令牌链，验证所述第一用户的第一访问控制请求时，仅需对所述第一权能令牌链的签名进行验证，该用户设备不仅避免了大量密钥的产生以及随之而来的密钥管理负担，还使针对访问者数字证书的验证程序与第一权能令牌链的签名验证程序一起进行，在保证访问控制合法性的前提下提升了访问控制的响应速度；进一步地，本发明提供的物联网的用户设备还通过用户与用户之间的授权传递实现了去中心化的授权过程，从而简化了权限申请的步骤流程，也减轻了中心服务器的负担；进一步地，本发明提供的物联网的用户设备还通过令牌归并缩短了多次授权后访问控制的验证时间，从而进一步提升了访问控制的响应速度。

具体实施例四

除上述方法和用户设备外，本发明还提供一种物联网的访问控制系统。图5示出了根据本发明的物联网的访问控制系统的一个实施例的结构图。如图5所示，该访问控制系统1包括：中心服务器11、代理服务器12、网关13、一个或多个物联网设备14以及一个或多个如前所述的物联网的用户设备15。

其中，用户设备15分别连接到所述中心服务器11以及所述代理服务器12，所述代理服务器12连接到所述网关13，网关13分别连接到所述中心服务器11以及所述一个或多个物联网设备14。

在物联网刚刚搭建完毕时，物联网中所有的网关13、物联网设备14以及用户设备15都应在中心服务器11进行注册和权限申请，随后，注册信息和对应的权限信息(权限信息包括用户设备15的第一权能令牌链)由中心服务器11统一管理。当用户期望访问控制物联网设备14时，通过用户设备15进行输入操作，以使用户设备15根据第一权能令牌链以及该输入操作生成第一访问信息，并通过预设的加密方式对所述第一访问信息进行基于身份的加密(IBE加密)，从而生成第一访问控制请求，随后，根据预设的消息列队传输协议，通过代理服务器12向网关13转发第一访问控制请求；网关13在通过代理服务器12接收到第一访问控制请求后，通过IBE密钥对第一访问控制请求进行解密从而获取第一权能令牌链以及请求内容，在对第一权能令牌链进行签名验证，并验证通过后，根据解密后的内容生成第一控制指令，向所述第一物联网设备14发送所述第一控制指令，所述第一物联网设备14在对第一控制指令进行解密后，执行解密后的指令内容，并在执行动作结束后向网关13反馈第一控制结果，网关13再根据预设的消息列队传输协议，通过代理服务器12将该第一控制结果反馈给用户设备15。

在上述过程中，用户设备15用于执行如前所述的物联网的访问控制方法；物联网设备14用于接收网关13发送的加密后的控制命令，使用对称密钥解密并执行该命令，同时发送执行结果反馈给网关13；代理服务器12用于根据预设的消息队列传输协议对请求或信息进行转发；中心服务器11用于管理各个用户设备、物联网设备以及网关的各类信息和各类密钥(包括公钥和私钥，在本实施例中包括但不限于数字证书的形式)，以及审核验证用户设备15的权能令牌申请。

在一个实施例中，中心服务器11包括注册管理模块111、信息管理模块112、访问控制策略管理模块113、权能令牌管理模块114、数字证书管理模块115以及IBE加密模块116。

其中，注册管理模块111用于审核和通过用户设备15、物联网设备14以及网关13的注册请求。信息管理模块112用于管理用户设备15、物联网设备14以及网关13的注册信息，并提供物联网设备14的信息查询服务。注册信息至少包括用户资料和属性信息(包括用户公钥和用户私钥)、物联网设备14的ID和设备信息、以及网关13的设备信息。访问控制决策模块113用于管理访问控制策略，并根据访问控制策略对权能令牌请求信息进行决策。权能令牌管理模块114用于根据访问控制策略与用户信息，审核访问控制请求，生成并发放权能令牌链给用户设备15；对权能令牌链进行归并，维护已发放的权能令牌链信息。IBE模块115用于初始化IBE，生成并保存用于端到端加密的IBE私钥，以及将IBE私钥下发给用户设备15和网关13。

除上述的基本访问控制功能之外，用户设备15还可以进行多个用户设备之间的权限传递、权限撤销以及令牌归并。

当用户设备15期望进行权限传递时，先通过预设的验证方法，验证待接受传递权限的第三用户是否满足传递条件；当验证通过时，生成与所述第三用户对应的公钥证书，并根据所述公钥证书以及所述第一权能令牌链，派生出与所述权限传递指令对应的第三权能令牌链，并将所述第三权能令牌链发送给所述第三用户。

当用户设备15期望进行权限撤销时，生成第一撤销授权信息并以预设的加密方式对所述第一撤销授权信息进行基于身份的加密，以获取撤销授权信息；随后，根据预设的消息队列传输协议，将所述撤销授权信息通过所述代理服务器发送给所述网关13；网关13在接收到撤销授权消息后，对所述撤销授权信息进行解密，并将所述第四用户的用户信息加入所述网关13的权限撤销列表中，并根据预设的消息队列传输协议，通过所述代理服务器12向用户设备15发送反馈信息，从而完成权限撤销。所述反馈信息由所述网关在将所述第四用户的用户信息加入所述网关的权限撤销列表中后产生。所述第一授权信息包括权限待撤销的第四用户的用户信息。撤销完成后，当网关13再次接收到所述第四用户发送的第四访问请求时，会拒绝所述第四访问请求。

而当用户设备15需要进行令牌归并时，向具有令牌归并权限的第二用户设备发送所述第一权能令牌链以及令牌归并请求；第二用户在确认所述第一权能令牌链合法后，对所有第一有权能令牌进行归并，以生成包括一个或多个第二权能令牌的第二权能令牌链，并使用所述第二用户的用户私钥对所述第二权能令牌链中的所有第二权能令牌分别进行签名；在签名完成后，第二用户设备将第二权能令牌链发送给第一用户设备，第一用户设备接收所述第二权能令牌链，并在对所述第二权能令牌链进行验证后，保存所述第二权能令牌链。

其中，令牌归并后所获得的第二权能令牌链的长度短于所述第一权能令牌链的长度，所述第一权能令牌链的权限与所述第二权能令牌链的权限相同。

在一个实施例中，还可以通过中心服务器11实现令牌归并。具体地，当用户设备15需要进行令牌归并时，向中心服务器11发送所述第一权能令牌链以及令牌归并请求；中心服务器11在确认所述第一权能令牌链合法后，对所有第一有权能令牌进行归并，以生成包括一个或多个第六权能令牌的第六权能令牌链，并使用IBE模块对所述第六权能令牌链中的所有第六权能令牌分别进行IBE加密；在加密完成后，中心服务器11将第六权能令牌链发送给用户设备15，用户设备15接收所述第六权能令牌链，并在对所述第六权能令牌链进行解密验证后，保存所述第六权能令牌链。

本发明提供了一种物联网的访问控制系统，通过基于身份的加密技术以及基于消息队列传输协议的代理服务器相配合，在整个传输过程中直接以代理服务器的相应主题名称作为公钥进行验证，同时，通过在生成第一权能令牌链时事先验证所述第一用户的数字证书，在验证通过后，将数字证书放置在所述第一权能令牌链中并对其签名，使得在通过所述第一权能令牌链，验证所述第一用户的第一访问控制请求时，仅需对所述第一权能令牌链的签名进行验证，访问控制系统不仅避免了大量密钥的产生以及随之而来的密钥管理负担，还使针对访问者数字证书的验证程序与第一权能令牌链的签名验证程序一起进行，在保证访问控制合法性的前提下提升了访问控制的响应速度；进一步地，本发明提供的物联网的访问控制系统还通过用户与用户之间的授权传递实现了去中心化的授权过程，从而简化了权限申请的步骤流程，也减轻了中心服务器的负担；进一步地，本发明提供的物联网的访问控制系统还通过令牌归并缩短了多次授权后访问控制的验证时间，从而进一步提升了访问控制的响应速度。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步的详细说明，应当理解，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围。特别指出，对于本领域技术人员来说，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。