硬件三元组下发方案

一、背景与定义

什么是硬件三元组

硬件三元组是 IoT 设备在云平台上的唯一身份凭据，通常由以下三部分组成：

下发的核心目标

• 确保每台设备具备唯一身份
• 将凭据安全地写入设备，防止泄露和仿冒
• 支持设备合法接入云平台，建立可信连接

二、下发方案详解

方案一：产线烧录（离线预置）

核心思路：在生产阶段由产线工具将三元组逐台写入设备 Flash。

流程：

云平台批量申请三元组
        ↓
导出 CSV / 导入烧录工具
        ↓
产线逐台扫描设备 SN → 匹配三元组 → 写入 Flash
        ↓
出厂检验（验证写入是否成功）

优点：

• 不依赖网络，安全性高，密钥不经过任何网络传输
• 三元组与设备一一对应，身份明确

缺点：

• 产线管理复杂，需严格防止重复烧录、错烧
• 三元组与设备的对应关系需精确管控，一旦出错难以追溯

适用场景： 大批量标准化生产、安全要求较高的场景

方案二：一型一密（动态注册）

核心思路：设备预置产品级凭据，首次联网时自主向云端申请设备级密钥。

流程：

产线烧录 ProductKey + ProductSecret（同型号设备相同）
        ↓
设备上电，自动联网
        ↓
设备用产品级凭据向云端发起注册请求
        ↓
云端验证通过，下发该设备专属 DeviceSecret
        ↓
设备本地持久化存储，后续使用三元组进行认证

优点：

• 产线只需烧录产品级凭据，大幅简化管理
• 设备全程自主完成，无需人工介入

缺点：

• ProductSecret 被所有同型号设备共享，一旦泄露影响整批次
• 需云端配合做防刷限流和异常检测

适用场景： 大批量无人值守设备、自动化部署场景（网关、传感器、工业设备）

方案三：纯后台下发

核心思路：设备持有唯一 SN，上线后主动请求云后台，由后台验证并下发三元组。

流程：

设备出厂（烧录 SN 或唯一标识）
        ↓
设备上电，自动联网
        ↓
设备携带 SN 请求云后台
        ↓
后台通过 SN 白名单 / 设备证书验证合法性
        ↓
验证通过，后台下发加密三元组
        ↓
设备存储并激活

优点：

• 产线无需预置敏感信息，管控简单
• 全程自动化，无需人工介入

缺点：

• SN 通常规律可预测，存在被枚举冒充的风险
• 需配合额外安全手段（设备指纹、证书、双向 TLS）

与一型一密的关键区别：

适用场景： 无人值守自动激活、设备无法预置产品密钥的情况

方案四：扫码激活（云端下发）

核心思路：用户通过 App 扫描设备上的二维码/条码触发激活，App 从云端获取三元组后推送给设备。

流程：

出厂时设备贴附 SN 码（或二维码）
        ↓
用户 App 扫码，携带 SN 请求云端
        ↓         ← 后台下发：云端返回加密三元组给 App
App 收到三元组
        ↓         ← App 下发：通过蓝牙/局域网推送给设备
设备存储并上云激活，同时绑定用户账号

注意：扫码激活包含两段下发——“后台→App”和”App→设备”，需区分两段的安全设计。

优点：

• 设备出厂前无需预置任何敏感信息
• 激活与账号绑定天然合一，可溯源
• 用户体验友好，操作直观

缺点：

• 必须依赖 App 和用户操作，无法全自动
• App 到设备的推送通道（蓝牙/局域网）需保证安全

适用场景： 消费类 IoT 产品（智能家居、智能穿戴等）

方案五：安全芯片预置（SE / eFuse）

核心思路：由芯片厂或模组厂在生产阶段将三元组注入硬件安全区，设备主控通过安全通道读取使用。

流程：

方案设计阶段与芯片厂协商 → 生产时将三元组注入 SE/eFuse
        ↓
设备主控上电，通过安全通道读取三元组
        ↓
直接使用三元组上云认证

优点：

• 三元组固化在硬件安全区，无法被软件提取或篡改
• 最高安全等级，适合最严苛场景

缺点：

• 硬件成本增加
• 需提前与芯片/模组厂深度合作，周期较长

适用场景： 金融终端、工业控制、车联网等高安全要求场景

方案六：U 盘 / SD 卡导入（离线文件下发）

核心思路：将三元组写入加密文件，通过移动存储介质人工导入设备。

流程：

云端生成三元组 → 加密写入文件 → 拷入 U 盘/SD 卡
        ↓
人工将存储介质插入设备
        ↓
设备读取并解密文件，存储三元组后激活

优点：

• 完全离线，适合无网络环境
• 不依赖产线专用工具

缺点：

• 需人工操作，效率较低
• 存储介质需严格管控，防止丢失或复制

适用场景： 无网络的工业/政府专网设备、高安全隔离环境

方案七：蓝牙 / NFC 近场下发

核心思路：通过近场无线通道，由手机或专用读写器将三元组推送给设备。

流程：

手机/读写器持有待下发的三元组
        ↓
靠近目标设备（蓝牙配对 / NFC 感应）
        ↓
通过近场加密通道推送三元组
        ↓
设备存储并激活

优点：

• 设备本身无需联网即可完成激活
• 适合低功耗、无 Wi-Fi 模块的设备

缺点：

• 依赖手机或专用设备辅助
• NFC 距离极短，BLE 配对流程需防中间人攻击

适用场景： BLE 传感器、低功耗标签、无线门锁等

方案八：二维码印刷在设备标签上

核心思路：三元组加密后编码成二维码，印在设备标签上，产测或激活时扫码录入。

注意：与”扫码激活”不同，此方案的三元组直接编码在码中，而非通过 SN 查询云端。

优点：

• 流程简单，无需额外系统配合
• 适合小批量或定制化设备

缺点：

• 二维码如不加密则存在明文泄露风险
• 标签损毁或脱落后无法恢复

适用场景： 小批量定制设备、快速激活场景

三、全方案横向对比

四、安全通用要求

无论选择哪种方案，以下安全措施均需关注：

五、选型建议

设备场景
    │
    ├── 有 App / 需绑定用户账号
    │       └── 扫码激活（云端下发）
    │
    ├── 无人值守 / 全自动部署
    │       ├── 安全要求高 → 产线烧录（一机一密）
    │       └── 安全要求中等 → 一型一密动态注册
    │
    ├── 无网络环境
    │       ├── 有人操作 → U盘/SD卡导入 或 蓝牙/NFC近场
    │       └── 产线阶段 → 产线烧录
    │
    ├── 高安全要求（金融/车联网/工业）
    │       └── 安全芯片预置（SE/eFuse）
    │
    └── 小批量 / 定制场景
            └── 二维码标签 或 产线烧录