图片27

零信任物联网终端认证方案的组件设计包括以下5个方面：

1.统一的身份管理。

对数字标识进行维护。SIM卡、用户、终端、应用、服务等都需要根据身份编码规则输入系统。也需要维护、获取身份相关的状态和属性。对统一身份进行认证。该认证模式是通过对综合身份的分析认证，认证通过后发出的认证证书，认证失败则基于认证状况拒绝访问，或者要求它提供其他识别要素。

基于国密SM2的统一身份管理系统支持无证书标识密码认证技术，为用户实体提供了基于SM2不证书识别算法的身份认证、身份查询、身份绑定等接口，受理终端用户的认证申请，完成对终端用户身份的认证。

2.身份服务管理。

主要任务是收集访问请求场景，验证用户反馈与身份相关的状态、属性等信息，并通过大数据分析和智能算法不断优化身份认证模型，为身份管理系统提供持续的信任评估能力。智能化态势感知系统是根据终端系统所提供的与终端用户相关的数据信息(包括身份信息、GIS分布、终端状态、异常事件、终端日志等)进行业务建模、数据清洗、挖掘分析、动态智能调整基线策略。

3.安全认证入口。

安全认证网关作为服务方的安全代理，隐藏了服务与资源的外部接口，基于TLS协议的无证书标识密码认证技术，可提供对终端身份的安全认证能力，并可对数据包进行加密、解密。保证了数据传输的安全性、完整性、可用性和不可抵赖性等安全性能，并对数据包的发送源进行身份验签，终端数据包成功验签后，可接入云物联网业务系统，同时接收终端安全认证系统处理指令，实现对终端或物联网应用平台的进口出口安全控制；迅速封闭、隔离。

4.控制终端权限。

对认证权限进行分配。通过RBAC权限模型，获得了相应的角色权限，从而实现了角色权限的映射。并利用ABAC权限模型，根据关联属性计算动态权限。两种权限集合取交集为最终最小权限。基于应用策略的终端实时监控终端、基于业务的安全行为基准(黑名单、白名单、威胁情报、病毒库等)，对安全认证网关发出处理命令，对安全认证网关发出处理命令，隔离终端业务行为。

5.终端零信任安全代理。

最终的零信任包主要实现以下功能。

a)基于硬件模块和SIM卡的口令功能，为终端上层应用提供加解密和验签加密服务。

b)动态采集终端状态运行信息，并将安全事件定时上报到云上。

c)实现对终端设备的控制功能，接收云上的指令和政策信息，分析策略和执行指令的作用。

d)通过TLS协议提供了一个基于无证书识别口令的终端套件，实现了与安全认证网关的双向认证能力，实现数据的安全传输。

零信任物联网终端安全系统，以安全SIM卡作为密码载体，采用轻量化无证书的公钥识别技术，保证了对终端敏感数据的可靠安全传输，实现了终端身份的安全认证，抗抵赖的核心能力。