藍牙mesh網絡好比是一個VIP俱樂部。如果您是這個俱樂部的會員，就可以隨意進入，享受與會員類別相對應的設施和服務。如果您不是會員，便無論如何也過不了門衛這一關。 藍牙mesh設備有可能是某一特定藍牙mesh網絡的成員，也有可能不是。如果它是成員，則有權與同為該網絡成員的其他設備進行通信（至少以一種基本的方式）。如果它不是成員，那么該設備傳輸的所有內容都將被網絡中的其他設備忽略。 其實可以理解為藍牙mesh設備也擁有不同的會員類型，例如可以使用某些特定的俱樂部服務設施（如健身房、高爾夫球場等），但不是全部。它只能與網絡中的某些設備進行充分的交互。而對其進行管理的就是“應用”（application）這一概念。例如，藍牙mesh照明開關可以在網絡中打開或關閉藍牙mesh照明燈，因為所有這些設備都是照明應用的一部分。而由于供暖系統并非照明應用的一部分，因此照明開關就無法打開供暖系統。 藍牙mesh網絡 設備要想成為藍牙mesh網絡的成員，則必須經過一個稱為“啟動配置(provisioning)”的安全流程，將設備添加到網絡中。 安全性 安全性是藍牙mesh網絡的核心，我們將在本系列的后續文章中詳細介紹這一主題。將設備添加到藍牙mesh網絡、或從中移除設備的過程都將嚴格遵循安全性要求。 藍牙mesh網絡使用一套包含各類安全密鑰的系統，從整體上保護網絡，同時保護網絡內的各個應用并將其彼此分離。擁有正確的安全密鑰，設備才能成為網絡成員并有權參與特定應用。網絡中的所有節點（node）都擁有一個名為“網絡密鑰”或“NetKey”的密鑰。只有設備擁有了這個密鑰，才能成為該網絡的成員，即成為其中的節點之一。 命名法 在解密藍牙mesh系列之前的文章中（第一篇、第二篇、第三篇、第四篇、第五篇），我們介紹了“設備”（Device）和“節點”（Node）這兩個正式的技術術語： 作為mesh網絡成員的設備稱為“節點”，而不構成節點的設備就稱為“設備”。本文將用英文首字母大寫“D”的“設備（Device）”一詞來代指非mesh網絡成員的設備，用全部字母小寫的“設備（device）”來代指一般的日常電子設備。 啟動配置設備（Provisioner） 啟動配置的流程會將普通的“設備（Device）”變身為“節點（Node）”，使其正式成為藍牙mesh網絡的成員。這一流程通常需要通過一個應用程序來實現，該程序一般由產品制造商所提供，可在智能手機或平板電腦上使用，但也可以采用其他形式，例如桌面或Web應用程序。 運行啟動配置應用程序的設備稱為“啟動配置設備（Provisioner）”，由于它的作用至關重要，因此在物理上必須要保證它的安全性。 啟動配置協議(Provisioning Protocol) 在啟動配置期間，啟動配置設備會采用稱為“啟動配置協議”的藍牙mesh協議，與將要被啟動配置的設備進行通信。啟動配置設備可通過PB-ADV或PB-GATT承載層[i]兩者中的任何一個使用啟動配置協議，確保在較早版本的智能手機上亦可實施啟動配置設備的應用程序，只要它們支持低功耗藍牙(Bluetooth Low Energy)和GATT。 向網絡中添加新設備 將設備添加至網絡的過程中，最重要的一點是要為其提供網絡所有其他節點擁有的網絡密鑰。當然，這一過程本身必須是安全的，這樣惡意設備才無法竊取添加新設備時進行的通信，也無法竊取NetKey。 當購買了新的設備（Device）并需要將其添加至當前藍牙mesh網絡時，用戶將使用啟動配置設備（ Provisioner），同時參考這一新設備制造商的說明，將其添加至藍牙mesh網絡。這樣，新設備（Device）就變身為節點（Node），成為藍牙mesh網絡的成員。 該流程涉及幾個步驟，見下方流程圖： 啟動配置流程 1、Beacon廣播 藍牙mesh網絡規格中介紹了新的GAP廣播類型，包括 > 廣播類型[ii]。 設備（ Device）可采用> 廣播類型來發出廣播，聲明自己是未經啟動配置的設備，可被啟動配置。用戶可能需要根據制造商的說明，按照一定的流程，例如鍵入一組按鈕，或將某一按鈕長按一段時間等，以此方式啟動新設備的廣播。 用戶還需要在啟動配置設備中啟動“添加設備到網絡”的流程，以便從Beacon設備（Device）接收廣播數據包。需要記住的一點是，啟動配置設備可能是智能手機或平板電腦應用，因此在實際操作中會涉及到智能手機解鎖、應用程序啟動、也許還需要登錄應用程序（為了進一步確保安全性），并通過其用戶界面啟動Beacon設備（Devices）搜尋。這樣，啟動配置設備就會意識到新設備（Device）的存在和準備就緒狀態，可進入后續的啟動配置流程。 2、邀請 接下來，啟動配置設備將以啟動配置邀請PDU（Provisioning Invite PDU）的形式向要進行啟動配置設備發送邀請，這是啟動配置協議的一部分。Beacon設備會在啟動配置功能PDU中回應有關自身的信息。 啟動配置功能PDU可提供一系列信息，例如其所擁有的元素數量、所支持的啟動配置相關算法等。它還能指示設備（Device）擁有的輸入輸出功能類型，這些信息將用于認證（Authentication）步驟。 3、交換公共密鑰(Public Key) 包括啟動配置設備在內的所有藍牙mesh設備都支持FIPS P-256橢圓曲線算法，因此必須擁有公共密鑰。可通過基于該算法的非對稱加密來創建安全通道，以完成剩余的啟動配置流程。為此，啟動配置設備會與將被啟動配置的設備（Device）交換公共密鑰。需注意的是，將被啟動配置的設備（Device）可以通過帶外方式(Out of Band)，例如QR碼，來提供公共密鑰。本系列的后續文章將重點討論mesh安全性，包括啟動配置的安全性。 4、認證（Authentication） 啟動配置設備基于對新設備（Device）功能的了解，向其發送消息，指示其輸出單一或多位數值，對其所支持的多種用戶操作（例如按下按鈕）作出響應。值的形式會因設備差異而有所不同。一臺設備可能會在LED面板上顯示一個三位的數值，另一臺設備則可能是紅色LED燈閃爍幾次，閃爍的次數就是輸出的驗證值。啟動配置設備的用戶將觀察到設備（Device）輸出的值，并將值輸入啟動配置設備的用戶界面。 然后，設備（Device）和啟動配置設備交換密碼散列，這些數據來源包括設備（Device）輸出的隨機值，允許它們完成對彼此的驗證。 5、啟動配置數據的分配 認證成功完成之后，會通過兩臺設備的私有密鑰（Private Key）和交換的對等公共密鑰生成會話密鑰（Session Key）。隨后，會話密鑰即可用于保護完成啟動配置流程所需數據的后續分發，包括網絡密鑰（NetKey）和設備的唯一地址，即單播地址（Unicast Address）。 啟動配置完成后，啟動配置設備就會擁有網絡的NetKey，這是一個稱為“IV索引（IV Index）”的藍牙mesh安全性參數，且擁有一個由啟動配置設備分配的單播地址[iii]。至此，新設備就正式成為了節點，即成為藍牙mesh網絡中的一員。 從網絡中移除節點 有時會需要從藍牙mesh網絡中移除節點。設備可能已經損壞并需要更換，或者可能需要將它移到另一藍牙mesh網絡，如公司位于其他城市的另一個辦公室。同樣，設備可能已經被出售，新的設備所有者可能會采用上述啟動配置流程，將設備添加至自己的藍牙mesh網絡。 設備有時會破損