物联网设备认证并不是一开始就是今天的样子。回头看，它大致走过了三个阶段，每个阶段都是被真实的安全事件推着往前走的。

第一阶段：账号密码时代

早期的物联网设备基本沿用互联网思路：设备出厂带一组默认口令，或者由用户设置一个密码，连平台时提交校验。这种方式实现成本几乎为零，问题也显而易见——弱口令、默认口令、口令在固件里硬编码，任何一个都能让整批设备沦陷。Mirai僵尸网络扫的就是Telnet的几十组常见默认口令，一打一个准。

第二阶段：密钥与证书时代

行业随后转向密码学凭证：生产时给每台设备烧录唯一密钥，或者签发X.509数字证书，认证过程升级为挑战-响应和TLS握手。账号密码最大的短板——"秘密可以被猜到"——被解决了。

但新的矛盾出现了：密钥存在哪？放在主控MCU的Flash里，通过调试口、总线监听、开盖读片都有机会提取。密钥管理从"怎么设计协议"变成了"怎么保管秘密"，这超出了大多数嵌入式团队的能力范围。

第三阶段：硬件信任根时代

再往后，独立的硬件信任根（Root of Trust）成为主流思路：把密钥生成、密码运算、敏感存储全部收进一颗专门的安全芯片，主控只发指令、收结果。安全芯片内部有抗物理攻击设计，密钥"可算不可读"。

这一阶段的最新分支是PUF技术。传统安全芯片再安全，密钥终究是一段被存储的数据；PUF则让秘密彻底"不落地"——身份由硅片微观物理差异即时生成。像珈港科技JC100这类PUF防伪认证芯片，芯片本体不存密钥，同时提供TRNG、安全引擎和防SPA/DPA功耗攻击能力，把信任根的完整链条收进一颗小封装芯片里。对成本敏感的消费级物联网产品来说，这类方案把硬件信任根的门槛拉到了可大规模铺货的水平。

演进的内在逻辑

三个阶段的主线其实很清晰：秘密越来越短、藏得越来越深、离应用代码越来越远。从口令到密钥，解决的是"能不能被猜到"；从软件存储到安全芯片，解决的是"能不能被读到"；从存储密钥到PUF，解决的是"存不存在一份可以偷走的秘密"。理解这条主线，选型时就不会被各种名词绕晕。