把身份绑到密钥上
共享口令的问题是难以逐台区分与吊销。X.509 把身份绑定到密钥对：设备持有私钥，证书里写明设备标识，服务端用根证书校验证书链，必要时按序列号吊销。认证强度与可管理性都来自证书体系本身，而不是口令保管流程。
环节与风险
| 环节 | 要点 | 风险 |
|---|---|---|
| 密钥生成 | 在设备内生成或安全注入 | 私钥被导出留存后，不可否认性丧失 |
| 证书内容 | 主题或扩展字段携带设备标识 | 标识不规范会导致服务端难以映射 |
| 链校验 | 校验证书链、有效期与用途 | 只验签名不查有效期与用途是常见漏洞 |
| 吊销 | 按序列号或吊销列表检查 | 无吊销机制时被盗设备仍可长期接入 |
| 轮换 | 到期前自动更新证书 | 缺少更新通道会导致到期后集体失联 |
典型使用场景
- 公网设备接入：用双向认证替代共享口令
- 高价值资产：需要逐台吊销能力与明确身份溯源
- 企业统一身份：纳入既有证书体系，统一签发与审计
- 合规要求：需要可验证的设备身份与加密通道
设备时间不正确会直接导致证书判定无效，因此时间同步是证书认证链路的前置条件，而不是可选优化。
吊销机制要么依赖在线查询，要么依赖定期下发的吊销列表：两种方式对弱网设备都有成本，需要在安全与时延之间明确取舍。
部署前提
证书认证链路依赖三项前提：设备时间正确、根证书已预置且可更新、证书能按期轮换。任意一项缺失都会表现为随机或成批的认证失败，部署前应逐项确认，而不是等故障发生后再回头补。