藍(lán)牙mesh網(wǎng)絡(luò)好比是一個VIP俱樂部。如果您是這個俱樂部的會員，就可以隨意進(jìn)入，享受與會員類別相對應(yīng)的設(shè)施和服務(wù)。如果您不是會員，便無論如何也過不了門衛(wèi)這一關(guān)。 藍(lán)牙m(xù)esh設(shè)備有可能是某一特定藍(lán)牙m(xù)esh網(wǎng)絡(luò)的成員，也有可能不是。如果它是成員，則有權(quán)與同為該網(wǎng)絡(luò)成員的其他設(shè)備進(jìn)行通信（至少以一種基本的方式）。如果它不是成員，那么該設(shè)備傳輸?shù)乃袃?nèi)容都將被網(wǎng)絡(luò)中的其他設(shè)備忽略。 其實(shí)可以理解為藍(lán)牙m(xù)esh設(shè)備也擁有不同的會員類型，例如可以使用某些特定的俱樂部服務(wù)設(shè)施（如健身房、高爾夫球場等），但不是全部。它只能與網(wǎng)絡(luò)中的某些設(shè)備進(jìn)行充分的交互。而對其進(jìn)行管理的就是“應(yīng)用”（application）這一概念。例如，藍(lán)牙m(xù)esh照明開關(guān)可以在網(wǎng)絡(luò)中打開或關(guān)閉藍(lán)牙m(xù)esh照明燈，因?yàn)樗羞@些設(shè)備都是照明應(yīng)用的一部分。而由于供暖系統(tǒng)并非照明應(yīng)用的一部分，因此照明開關(guān)就無法打開供暖系統(tǒng)。 藍(lán)牙m(xù)esh網(wǎng)絡(luò) 設(shè)備要想成為藍(lán)牙m(xù)esh網(wǎng)絡(luò)的成員，則必須經(jīng)過一個稱為“啟動配置(provisioning)”的安全流程，將設(shè)備添加到網(wǎng)絡(luò)中。 安全性 安全性是藍(lán)牙m(xù)esh網(wǎng)絡(luò)的核心，我們將在本系列的后續(xù)文章中詳細(xì)介紹這一主題。將設(shè)備添加到藍(lán)牙m(xù)esh網(wǎng)絡(luò)、或從中移除設(shè)備的過程都將嚴(yán)格遵循安全性要求。 藍(lán)牙m(xù)esh網(wǎng)絡(luò)使用一套包含各類安全密鑰的系統(tǒng)，從整體上保護(hù)網(wǎng)絡(luò)，同時保護(hù)網(wǎng)絡(luò)內(nèi)的各個應(yīng)用并將其彼此分離。擁有正確的安全密鑰，設(shè)備才能成為網(wǎng)絡(luò)成員并有權(quán)參與特定應(yīng)用。網(wǎng)絡(luò)中的所有節(jié)點(diǎn)（node）都擁有一個名為“網(wǎng)絡(luò)密鑰”或“NetKey”的密鑰。只有設(shè)備擁有了這個密鑰，才能成為該網(wǎng)絡(luò)的成員，即成為其中的節(jié)點(diǎn)之一。 命名法 在解密藍(lán)牙m(xù)esh系列之前的文章中（第一篇、第二篇、第三篇、第四篇、第五篇），我們介紹了“設(shè)備”（Device）和“節(jié)點(diǎn)”（Node）這兩個正式的技術(shù)術(shù)語： 作為mesh網(wǎng)絡(luò)成員的設(shè)備稱為“節(jié)點(diǎn)”，而不構(gòu)成節(jié)點(diǎn)的設(shè)備就稱為“設(shè)備”。本文將用英文首字母大寫“D”的“設(shè)備（Device）”一詞來代指非mesh網(wǎng)絡(luò)成員的設(shè)備，用全部字母小寫的“設(shè)備（device）”來代指一般的日常電子設(shè)備。 啟動配置設(shè)備（Provisioner） 啟動配置的流程會將普通的“設(shè)備（Device）”變身為“節(jié)點(diǎn)（Node）”，使其正式成為藍(lán)牙m(xù)esh網(wǎng)絡(luò)的成員。這一流程通常需要通過一個應(yīng)用程序來實(shí)現(xiàn)，該程序一般由產(chǎn)品制造商所提供，可在智能手機(jī)或平板電腦上使用，但也可以采用其他形式，例如桌面或Web應(yīng)用程序。 運(yùn)行啟動配置應(yīng)用程序的設(shè)備稱為“啟動配置設(shè)備（Provisioner）”，由于它的作用至關(guān)重要，因此在物理上必須要保證它的安全性。 啟動配置協(xié)議(Provisioning Protocol) 在啟動配置期間，啟動配置設(shè)備會采用稱為“啟動配置協(xié)議”的藍(lán)牙m(xù)esh協(xié)議，與將要被啟動配置的設(shè)備進(jìn)行通信。啟動配置設(shè)備可通過PB-ADV或PB-GATT承載層[i]兩者中的任何一個使用啟動配置協(xié)議，確保在較早版本的智能手機(jī)上亦可實(shí)施啟動配置設(shè)備的應(yīng)用程序，只要它們支持低功耗藍(lán)牙(Bluetooth Low Energy)和GATT。 向網(wǎng)絡(luò)中添加新設(shè)備 將設(shè)備添加至網(wǎng)絡(luò)的過程中，最重要的一點(diǎn)是要為其提供網(wǎng)絡(luò)所有其他節(jié)點(diǎn)擁有的網(wǎng)絡(luò)密鑰。當(dāng)然，這一過程本身必須是安全的，這樣惡意設(shè)備才無法竊取添加新設(shè)備時進(jìn)行的通信，也無法竊取NetKey。 當(dāng)購買了新的設(shè)備（Device）并需要將其添加至當(dāng)前藍(lán)牙m(xù)esh網(wǎng)絡(luò)時，用戶將使用啟動配置設(shè)備（ Provisioner），同時參考這一新設(shè)備制造商的說明，將其添加至藍(lán)牙m(xù)esh網(wǎng)絡(luò)。這樣，新設(shè)備（Device）就變身為節(jié)點(diǎn)（Node），成為藍(lán)牙m(xù)esh網(wǎng)絡(luò)的成員。 該流程涉及幾個步驟，見下方流程圖： 啟動配置流程 1、Beacon廣播 藍(lán)牙m(xù)esh網(wǎng)絡(luò)規(guī)格中介紹了新的GAP廣播類型，包括 > 廣播類型[ii]。 設(shè)備（ Device）可采用> 廣播類型來發(fā)出廣播，聲明自己是未經(jīng)啟動配置的設(shè)備，可被啟動配置。用戶可能需要根據(jù)制造商的說明，按照一定的流程，例如鍵入一組按鈕，或?qū)⒛骋话粹o長按一段時間等，以此方式啟動新設(shè)備的廣播。 用戶還需要在啟動配置設(shè)備中啟動“添加設(shè)備到網(wǎng)絡(luò)”的流程，以便從Beacon設(shè)備（Device）接收廣播數(shù)據(jù)包。需要記住的一點(diǎn)是，啟動配置設(shè)備可能是智能手機(jī)或平板電腦應(yīng)用，因此在實(shí)際操作中會涉及到智能手機(jī)解鎖、應(yīng)用程序啟動、也許還需要登錄應(yīng)用程序（為了進(jìn)一步確保安全性），并通過其用戶界面啟動Beacon設(shè)備（Devices）搜尋。這樣，啟動配置設(shè)備就會意識到新設(shè)備（Device）的存在和準(zhǔn)備就緒狀態(tài)，可進(jìn)入后續(xù)的啟動配置流程。 2、邀請 接下來，啟動配置設(shè)備將以啟動配置邀請PDU（Provisioning Invite PDU）的形式向要進(jìn)行啟動配置設(shè)備發(fā)送邀請，這是啟動配置協(xié)議的一部分。Beacon設(shè)備會在啟動配置功能PDU中回應(yīng)有關(guān)自身的信息。 啟動配置功能PDU可提供一系列信息，例如其所擁有的元素?cái)?shù)量、所支持的啟動配置相關(guān)算法等。它還能指示設(shè)備（Device）擁有的輸入輸出功能類型，這些信息將用于認(rèn)證（Authentication）步驟。 3、交換公共密鑰(Public Key) 包括啟動配置設(shè)備在內(nèi)的所有藍(lán)牙m(xù)esh設(shè)備都支持FIPS P-256橢圓曲線算法，因此必須擁有公共密鑰。可通過基于該算法的非對稱加密來創(chuàng)建安全通道，以完成剩余的啟動配置流程。為此，啟動配置設(shè)備會與將被啟動配置的設(shè)備（Device）交換公共密鑰。需注意的是，將被啟動配置的設(shè)備（Device）可以通過帶外方式(Out of Band)，例如QR碼，來提供公共密鑰。本系列的后續(xù)文章將重點(diǎn)討論mesh安全性，包括啟動配置的安全性。 4、認(rèn)證（Authentication） 啟動配置設(shè)備基于對新設(shè)備（Device）功能的了解，向其發(fā)送消息，指示其輸出單一或多位數(shù)值，對其所支持的多種用戶操作（例如按下按鈕）作出響應(yīng)。值的形式會因設(shè)備差異而有所不同。一臺設(shè)備可能會在LED面板上顯示一個三位的數(shù)值，另一臺設(shè)備則可能是紅色LED燈閃爍幾次，閃爍的次數(shù)就是輸出的驗(yàn)證值。啟動配置設(shè)備的用戶將觀察到設(shè)備（Device）輸出的值，并將值輸入啟動配置設(shè)備的用戶界面。 然后，設(shè)備（Device）和啟動配置設(shè)備交換密碼散列，這些數(shù)據(jù)來源包括設(shè)備（Device）輸出的隨機(jī)值，允許它們完成對彼此的驗(yàn)證。 5、啟動配置數(shù)據(jù)的分配 認(rèn)證成功完成之后，會通過兩臺設(shè)備的私有密鑰（Private Key）和交換的對等公共密鑰生成會話密鑰（Session Key）。隨后，會話密鑰即可用于保護(hù)完成啟動配置流程所需數(shù)據(jù)的后續(xù)分發(fā)，包括網(wǎng)絡(luò)密鑰（NetKey）和設(shè)備的唯一地址，即單播地址（Unicast Address）。 啟動配置完成后，啟動配置設(shè)備就會擁有網(wǎng)絡(luò)的NetKey，這是一個稱為“IV索引（IV Index）”的藍(lán)牙m(xù)esh安全性參數(shù)，且擁有一個由啟動配置設(shè)備分配的單播地址[iii]。至此，新設(shè)備就正式成為了節(jié)點(diǎn)，即成為藍(lán)牙m(xù)esh網(wǎng)絡(luò)中的一員。 從網(wǎng)絡(luò)中移除節(jié)點(diǎn) 有時會需要從藍(lán)牙m(xù)esh網(wǎng)絡(luò)中移除節(jié)點(diǎn)。設(shè)備可能已經(jīng)損壞并需要更換，或者可能需要將它移到另一藍(lán)牙m(xù)esh網(wǎng)絡(luò)，如公司位于其他城市的另一個辦公室。同樣，設(shè)備可能已經(jīng)被出售，新的設(shè)備所有者可能會采用上述啟動配置流程，將設(shè)備添加至自己的藍(lán)牙m(xù)esh網(wǎng)絡(luò)。 設(shè)備有時會破損