车机POC Rom联网/断网双模式授权使用方案
一、方案概述
本方案针对车机POC测试版Rom，设计联网在线ECDSA签名授权、断网离线轻量化ECDH挑战-响应授权两套完全独立的激活机制，解决车机无网络环境无法授权激活的问题，同时兼顾测试便捷性与设备授权安全性、可溯源性。
方案统一采用「车机生成加密二维码→工具/后台解析签名→车机输入授权码校验激活」的操作流程，两套场景算法、密钥体系、签名逻辑完全隔离，授权码不互通、不通用，可适配车间调试、封闭测试、联网备案、批量交付等全类POC测试场景。
核心规则：车机刷入POC Rom后默认处于未授权受限状态，锁定全部POC专属功能，必须通过8位场景专属授权码激活解锁；联网、断网采用独立加密算法与签名机制，无通用授权码，杜绝跨场景复用、篡改、盗刷风险。
二、整体架构与核心组件
整套授权系统由车机设备端、授权管理后台（联网）、离线PC签名工具（断网）三部分组成，双场景架构解耦、能力独立，互不依赖、互不冲突。
2.1 核心组件能力
- 车机设备端：固化设备唯一指纹（SN、硬件ID、Rom版本），支持网络状态自动检测，可生成加密授权二维码；提供授权码录入、本地校验、授权状态持久化存储能力，未授权状态下锁定所有POC高阶功能与调试权限。
- 授权管理后台（联网专属）：完全替代原有联网PC签名工具，提供专属授权管理页面，集成二维码解析、设备合规校验、云端ECDSA自动签名、授权码生成、申请人登记、台账归档全链路能力，支持授权记录查询、导出、溯源。
- 离线PC签名工具（断网专属）：独立本地工具，无需网络、不依赖后台，内置轻量化ECDH离线签名能力，仅用于断网场景设备授权激活，适配封闭无网络测试环境。
- 双算法隔离校验体系：联网采用云端ECDSA签名算法，断网采用轻量化定制ECDH挑战-响应算法，两套算法、密钥、校验规则完全独立，从底层杜绝授权码串用、批量伪造风险。
2.2 授权状态定义
- 未授权状态（默认）：车机刷入POC Rom后默认锁定所有POC定制功能、调试权限，仅保留基础开机与显示功能。
- 已授权状态：授权码校验通过后，车机本地固化授权证书，永久解锁POC测试权限；联网场景可同步云端备案，断网场景本地持久生效，后续联网可自动补录台账。
三、通用授权基础流程
联网与断网场景前端操作流程一致，核心差异为后端签名算法、密钥来源与授权链路，通用流程如下：
- 生成授权二维码：车机检测未授权状态，自动生成加密二维码，内嵌设备指纹、Rom版本、随机校验因子，无明文隐私数据，防止信息泄露。
- 解析并签名生成授权码：联网场景由后台页面扫码解析、云端ECDSA签名生成授权码；断网场景由离线PC工具扫码解析、本地ECDH挑战响应签名生成授权码。
- 车机校验激活：人工输入8位授权码，车机自动识别当前网络状态，匹配对应场景校验规则，校验通过则固化授权状态、解锁功能，校验失败则保留未授权状态并提示异常。
四、分场景详细授权方案
4.1 联网在线授权方案
适用场景：设备可连接内网/外网，需要云端备案、人员溯源、台账管理、批量管控的正式POC测试与对外交付场景。
4.1.1 操作步骤
- 车机正常联网，开机检测未授权状态，自动展示加密授权二维码；
- 管理员登录云端授权管理页面，扫码/导入二维码，系统自动解密设备信息，强制录入申请授权人名称（必填），方可触发签名流程；
- 后台校验设备白名单合规后，通过云端ECDSA算法自动签名，生成唯一8位授权码，同步写入云端授权记录表；
- 车机输入授权码，上传授权码与设备指纹至云端完成二次校验；
- 云端校验签名、设备绑定关系合法后，返回激活指令，车机固化授权状态，后台同步更新台账为「已激活」，授权生效。
4.1.2 核心能力
实现授权人实名登记、设备全溯源、授权周期管控、记录归档导出，全程云端留痕，可管控、可审计，适配批量设备测试与对外交付场景。
4.2 断网离线授权方案
适用场景：车间调试、封闭环境、无任何网络的离线测试场景，无需云端参与即可完成授权激活。
4.2.1 操作步骤
- 车机断网开机，自动识别离线状态，生成离线专属加密二维码；
- 打开独立离线PC签名工具，扫码解析设备加密数据；
- 工具通过轻量化ECDH挑战-响应机制完成本地签名，生成离线专属8位授权码（与联网授权码不通用）；
- 车机输入授权码，本地调用ECDH校验逻辑，完成设备指纹与签名合法性校验；
- 校验通过后，车机本地固化离线授权证书，永久解锁POC权限；
- 后续设备恢复联网，自动同步离线授权记录至云端，补全台账归档。
4.2.2 核心规则
- 离线授权一机一码、单次有效，不可跨设备复用、不可重复使用；
- 离线授权状态本地持久保存，重启、断电不丢失；
- 离线与在线授权功能权限完全一致，无功能阉割。
五、后台授权管理与台账规范
5.1 后台授权页面核心能力
作为联网授权唯一入口，完全替代传统PC签名工具，支持二维码解析、设备校验、ECDSA云端签名、授权人登记、授权码下发、记录自动归档，支持数据查询、筛选、导出、溯源。
5.2 授权记录表完整字段
每笔联网授权自动生成唯一台账，离线授权联网后自动补录，完整字段如下：
- 系统唯一流水ID、申请授权人名称、管理员账号、操作IP
- 设备SN、硬件唯一ID、POC Rom版本号
- 8位授权码、授权类型（在线/离线）
- 授权生成时间、激活时间、有效期、过期时间
- 授权状态（未激活/已激活/已过期/已失效）
六、双场景加密算法与安全设计
本方案最终采用联网ECDSA+SHA256、断网轻量化ECDH双椭圆曲线高安全架构，摒弃传统AES固定密钥方案，同时规避标准ECDH交互繁琐问题，兼顾高安全性与测试便捷性，两套算法完全隔离、互不互通。
6.1 联网授权算法：ECDSA secp256r1+SHA256
6.1.1 算法原理与优势
ECDSA为车载、IoT、TLS1.3通用标准签名算法，256位椭圆曲线密钥安全强度等价3072位RSA，密钥更短、验签速度更快、嵌入式车机算力友好，安全等级高于传统RSA2048。
- 签名逻辑：云端私钥唯一签名，全局公钥校验，不可伪造、不可抵赖；
- 加密数据源：设备指纹+Rom版本+时间戳+申请人哈希+服务端随机盐；
- 防重放机制：每笔签名随机因子唯一，一次一签、一机一密，无重放复用风险；
- 权限隔离：私钥仅云端独占，车机与本地工具无私钥、无签名能力，仅可公钥验签。
6.1.2 ECDSA风险规避（无可用漏洞）
- 随机数复用风险：服务端采用密码学级真随机数+多因子混合加盐，全局随机数永不复用，杜绝私钥泄露；
- 侧信道攻击风险：仅云端执行私钥签名，车机仅公钥验签、无私钥数据，无侧信道泄露风险；
- 远期量子风险：现阶段车联网、国标体系均通用ECDSA，2035年前无替代刚需，完全满足POC与中长期量产使用。
6.2 断网授权算法：轻量化定制ECDH挑战-响应
针对离线场景定制优化，解决标准ECDH双向握手繁琐、传统AES固定密钥易批量泄露的痛点，核心特性：管理员一次预置全局参数、设备每次动态生成临时密钥、无公钥交换、零交互、原生防重放。
6.2.1 定制ECDH核心设计
- 管理员一次性初始化：仅需提前生成一次全局ECDH曲线参数、静态公私钥对，预置至全系POC Rom与离线工具，终身复用、无需重复维护；
- 设备动态单次密钥：车机每次授权实时生成全新临时ECDH公私钥对，不固化、不存储、用完销毁，彻底杜绝固定密钥批量泄露风险；
- 无握手无公钥交换：车机将临时公钥、设备指纹、随机挑战因子加密写入二维码，工具通过预置全局私钥直接解密响应签名，省去双向交互流程；
- 原生防重放：每次挑战值、临时密钥唯一，二维码单次有效，杜绝截图复用、重放攻击。
6.2.2 方案选型对比结论
综合POC测试场景的安全性、稳定性、效率需求，轻量化定制ECDH为离线场景最优解：相比AES固化密钥无批量泄露风险，相比标准ECDH无繁琐交互、测试效率更高、适配性更强。
6.3 双算法密钥管理体系（完全隔离）
两套密钥池完全独立、互不通用，一套泄露不影响另一套安全，实现分层安全防护。
6.3.1 联网ECDSA密钥体系（云端管控）
- 密钥组成：云端私钥（核心签名）+ 全局公钥（设备验签）；
- 私钥全程云端加密存储，不落地、不对外分发、仅核心运维可管理；
- 公钥预置车机与后台，仅用于验签，无签名权限；
- 支持云端批量轮换密钥，实现旧授权码批量失效管控。
6.3.2 断网ECDH密钥体系（本地管控）
- 全局静态密钥对一次性预置，私钥仅封存离线工具，公钥预置全系车机；
- 车机临时密钥单次生成、单次使用、即时销毁，无留存风险；
- 密钥体系独立于云端ECDSA，双向隔离、不互通、不兼容。
七、双场景完整数据流
7.1 联网授权数据流（车机→后台→车机）
- 车机数据封装：车机整合设备指纹、版本、时间戳，哈希加密生成二维码数据包；
- 后台解析登记：后台扫码解密设备信息，录入授权申请人信息，生成完整申请数据体；
- 云端ECDSA签名：服务端通过专属算法与私钥签名，生成8位授权码，同步写入台账；
- 设备校验激活：车机输入授权码，上传数据至云端公钥验签；
- 状态固化归档：校验通过后车机解锁权限，后台更新授权状态，流程闭环。
7.2 断网授权数据流（车机→离线工具→车机）
- 车机动态密钥与挑战封装：车机生成临时ECDH密钥对，结合设备指纹、随机挑战值，加密生成离线二维码；
- 工具挑战响应签名：离线工具扫码解密，通过全局私钥校验挑战、完成ECDH响应签名，生成离线授权码；
- 车机本地闭环校验：车机通过临时密钥+全局公钥校验签名合法性，匹配本次挑战与设备绑定关系；
- 状态固化与密钥销毁：校验通过后解锁权限，本次临时密钥即时销毁；
- 联网补录归档：后续联网自动同步授权记录，补齐云端台账。
八、授权码统一规范与异常处理
8.1 授权码规范
- 格式：固定8位，数字+大写字母组合，无特殊字符，适配人工输入；
- 唯一性：一机一码、一次一密，全局无重复；
- 场景隔离：内置场景标识，在线/离线授权码不互通、不可跨场景校验；
- 时效可控：支持永久有效、自定义周期有效、单次激活有效。
8.2 核心异常处理机制
- 二维码失效：二维码限时有效、超时自动刷新，防止静态盗用；
- 场景不匹配报错：在线/离线授权码交叉输入直接校验失败，杜绝串用；
- 未填申请人拦截：联网后台未录入申请人禁止生成授权码，保证全程可溯源；
- 刷机重置失效：设备重刷Rom后原有授权失效，需重新授权，管控可控；
- 校验失败提示：区分网络异常、授权过期、签名非法、场景不匹配等差异化报错。
九、方案整体优势总结
- 全场景全覆盖：完美适配联网备案、断网调试、封闭测试、批量交付所有POC场景，无使用死角；
- 高安全架构闭环：双椭圆曲线算法隔离，联网ECDSA防伪造、断网定制ECDH防批量泄露与重放，无私钥传输、无固定密钥风险；
- 极简运维与操作：联网统一后台管理、全程溯源，断网工具零配置、管理员一次预置终身复用，测试效率高；
- 可迭代可扩展：当前架构适配POC场景，预留量产升级能力，可无缝适配后续商用设备安全需求；
- 全程可审计溯源：联网授权到人、离线授权可补录台账，实现设备、人员、时间、授权状态全维度管控。
十、双算法小白通俗科普讲解（无公式、易懂版）
为方便非技术人员、测试、运维快速理解整套授权安全逻辑，本节用通俗比喻讲解联网ECDSA、断网轻量化ECDH的核心作用、区别与安全逻辑，不涉及复杂密码学原理，完全贴合本项目实际业务。
10.1 联网授权 ECDSA 通俗讲解（云端盖章认证）
核心定位：唯一官方盖章，保证授权「真的来自后台、没被篡改」
可以把 ECDSA 签名 理解为「公司唯一官方公章」。
逻辑非常简单：
1. 服务器后台手里握着唯一的公章（ECDSA私钥），仅此一份、不外泄、不对外发放；
2. 每一台车机的授权申请、设备信息、申请人信息，都会由后台盖一次「专属公章」，这个盖章过程就是ECDSA签名；
3. 车机和所有设备手里只有「验章工具（公钥）」，只能检查公章真不真，绝对造不出假公章；
4. 只要公章是真的，就代表：这条授权记录是官方正规生成、没有被篡改、不是别人伪造的。
为什么它安全？
别人没有公章，就造不出合法授权码；哪怕改了设备信息、改了授权码，公章校验直接不通过。每一次授权盖章都是独一无二的，不会重复、不会被复用。
适配场景总结
联网需要「官方备案、可溯源、防伪造」，ECDSA 就是最合适的官方唯一盖章机制。
10.2 断网授权 轻量化ECDH 通俗讲解（临时动态密钥+挑战问答）
核心定位：无网络不用找服务器，设备和工具私下「动态配对、一问一答、单次有效」
断网最大的问题：连不上服务器，没人帮忙盖章。
以前传统AES固定密钥，相当于「一把万能钥匙用到底」，一旦钥匙泄露，所有设备都能被破解。
本项目轻量化 ECDH 是改良版安全配对机制，可以通俗理解为：
1. 管理员提前布置好「通用配对规则」（全局公钥/私钥参数），一辈子只配置一次；
2. 每台车机每次授权，都会临时随机生成一把全新的临时钥匙，用完立刻销毁，绝不重复；
3. 车机主动抛出一个「随机问题（挑战值）」；
4. 离线工具用专属密钥正确「回答问题（响应签名）」；
5. 问答对上了，才生成合法授权码。
核心优势（小白理解）
- 没有固定万能钥匙，每次开锁钥匙都不一样；
- 截图旧二维码、复制旧授权码，完全没用，因为下次钥匙和问题全变了；
- 不用联网、不用和服务器通信，本地就能安全配对；
- 杜绝批量破解、批量盗授权的风险。
10.3 两种算法最直白的区别（一句话区分）
- 联网ECDSA：找官方后台盖唯一公章，主打 权威、可溯源、防伪造。
- 断网ECDH：设备临时动态配对问答，主打 无网可用、单次一密、防复用。
10.4 为什么不用老旧的AES固定密钥？（通俗对比）
AES固定密钥 = 全厂同一把钥匙，只要一个人偷到钥匙，所有设备全部沦陷。
本方案ECDH = 每次开门临时新钥匙，开完门立刻扔掉，没有泄露风险。
所以本次双椭圆曲线架构，是POC场景下安全和便捷性的最优平衡。