CN101242323A - 设备间管道的建立方法和家庭网络系统 - Google Patents

Abstract

本发明提供了一种设备间管道的建立方法和家庭网络系统，该方法主要包括：网络中设备组网后，组内一般设备和认证设备之间互相交换和验证随机数，所述认证设备给所述组内一般设备分配临时设备编号，组内一般设备和认证设备之间利用随机数、认证设备身份标识、和组内一般设备的临时设备编号同时生成衍生密钥；或者，认证设备给申请方组内设备和被申请方组内设备分别分配临时唯一身份标识和共享密钥，申请方组内设备和被申请方组内设备利用它们的临时唯一身份标识、随机数和认证设备与申请方组内设备的共享密钥同时生成衍生密钥。该系统主要包括：认证设备和组内一般设备；或者，认证设备、申请方组内设备和被申请方组内设备。利用本发明，可以在综合考虑各设备特征信息的前提下，保证生成衍生密钥的安全，在设备之间完成安全管道的建立。

Description

设备间管道的建立方法和家庭网络系统

技术领域

本发明涉及网络安全领域，尤其涉及一种设备间管道的建立方法和家庭网络系统。

背景技术

ITU(International Telecommunication Union，国际电信联盟)中提出的家庭网络的一般模型的结构示意图如图1所示。根据各个实体所处位置及作用的不同，图1所示的家庭网络的模型的可以分为7种，分别为：远程用户、远程终端、应用程序服务器、家庭安全网关、家庭应用程序服务器、家庭用户和家庭设备。其中家庭设备根据功能不同又被划分如下的A、B、C三类设备。

A类设备：具有控制功能；例如：电脑、机顶盒

B类设备：具有桥接功能；例如：交换机(switch)、集线器(hub)

C类设备：为其它家庭设备提供特定服务；例如：数字电视、冰箱。该C类设备没有通信接口直接连接到家庭网络，而是通过B类设备连接到家庭网络。

设备管道分两种：

1、安全设备管道：两设备间有共同支持的安全机制，两设备间基于该安全机制进行相应的鉴别交互之后而建立的设备间管道；

2、非安全设备管道：两设备间无共同支持的安全机制，两设备间没有经过相应的鉴别交互而建立的设备间管道。

现有技术中一种设备间管道的建立方法为：IGRS(智能互连、资源共享与协同服务)安全设备管道创建方案。该方案包括三个阶段：管道创建初始化阶段、安全身份鉴别及管道密钥协商阶段、管道创建确认阶段。

该方案的具体处理步骤为：

步骤1：IGRS设备1向IGRS设备2的可用设备连接地址发起TCP连接创建请求，如果该TCP连接创建成功，则执行步骤2；否则，管道创建失败，流程结束。

步骤2：设备1首先将设备2的宣告信息中所支持的安全机制及相应密码算法列表(注：列表顺序反映优先权重)与自己支持的安全机制及相应密码算法列表进行交集运算，若该交集运算的结果为非空，则设备1进一步根据设备1和设备2双方的安全属性选择一种“最合适”的安全机制及相应密码算法，然后，发送携带该安全机制及相应密码算法信息的管道创建请求给设备2。

步骤3：设备2接收到设备1发送的上述管道创建请求后，确认设备1所选择的安全机制及相应密码算法是否满足自己目前安全需求及状态，如果满足，则向设备1发送包括安全机制及相应密码算法确认信息的管道创建响应，继续执行步骤4；否则，设备2向设备1发送管道创建失败的失败确认消息。

步骤4：设备1通过随机数生成器产生一个随机数作为挑战值1(Challenge1)，并将该挑战值1封装成在一个鉴别请求中后，将该鉴别请求发送给设备2。

步骤5：设备2接收到上述鉴别请求后，获取该鉴别请求中携带的挑战值1，计算响应值1(Response1)。

Response1＝Hash(Challenge1||PreSharedKey)。

其中PreSharedKey为双方预共享密钥。同时产生一个随机数作为挑战值2，将携带上述响应值1、挑战值2的消息封装在一个鉴别响应中后，将该鉴别响应发送给设备1，该鉴别响应应在30秒内返回给设备1。

步骤6：设备1接收到上述鉴别响应后，获取该鉴别响应中携带的响应值1和挑战值2。然后，根据己方的Challenge1和PreSharedKey计算，将计算结果与响应值1进行比较，如果比较结果为相等，则计算(Challenge2||PreSharedKey)作为响应值2，并将该响应值2封装在一个鉴别结果中，将该鉴别结果发送给设备2；否则，设备1向设备2发送管道创建失败的失败确认消息。

步骤7：若设备2接收到设备1发送的上述鉴别结果后，从该鉴别结果中获取响应值2，同时根据己方的Challenge2和PreSharedKey计算Hash(Challenge1||PreSharedKey)，将计算结果与响应值2进行比较，如果比较结果为相等，则向设备1发送鉴别成功的成功确认消息(OK)；否则，设备2向设备1发送管道创建失败的失败确认消息(Failed)，该消息应在30秒内返回给设备1。

步骤8：设备1生成衍生密钥，根据该衍生密钥建立和设备之间的管道，然后向设备2发送管道创建成功的成功确认消息(OK)，并且通过该管道将上述衍生密钥发送给设备2；否则，向设备2发送管道创建失败的失败确认消息(Failed)。

步骤9：当设备2接收到设备1发送的上述管道创建成功的成功确认消息(OK)时，同时己方前期相关协议步骤成功完成，则向设备1返回管道创建成功的确认消息(OK)，其它情形都返回管道创建失败的失败确认消息(Failed)，该消息应在30秒内返回给设备1。

上述现有技术中的设备间管道的建立方法的缺点为：在该方法中，衍生密钥是由一方IGRS设备生成的，然后，通过管道发送给另一个设备。没有考虑到家庭网络中的各设备的级别和权限，同时不能保证生成衍生密钥过程的安全，不能保证建立的设备间管道的安全性。该方案不能保证第三方对管道的威胁，并且不适合家庭网络的自身特点。

发明内容

本发明实施例的目的是提供一种设备间管道的建立方法和家庭网络系统，可以在综合考虑各设备身份特征信息的前提下，保证生成衍生密钥的安全，在设备之间完成安全管道的建立。

本发明实施例的目的是通过以下技术方案实现的：

一种设备间管道的建立方法，包括步骤：

A、组内一般设备和认证设备之间互相交换和验证随机数，在验证随机数通过后，所述认证设备给所述组内一般设备生成临时设备编号，并将该临时设备编号发送给所述组内一般设备；

B、所述组内一般设备和认证设备利用所述随机数、认证设备身份标识、和组内一般设备的临时设备编号分别生成衍生密钥，根据该衍生密钥在所述组内一般设备和认证设备之间建立管道。

一种家庭网络，包括：认证设备和组内一般设备，其中，

认证设备：用于和所述组内一般设备之间互相交换和验证随机数，给所述组内一般设备生成临时设备编号，将该临时设备编号发送给组内一般设备；利用所述随机数、认证设备身份标识、组内一般设备的临时设备编号生成衍生密钥，根据该衍生密钥和组内一般设备之间建立管道；

组内一般设备：用于和认证设备之间互相交换和验证随机数，利用所述随机数和认证设备发送过来的组内一般设备的临时设备编号、认证设备身份标识生成衍生共享密钥，根据该衍生密钥和认证设备之间建立管道。

一种设备间管道的建立方法，包括步骤：

C、申请方组内设备向被申请方组内设备发送携带其临时唯一身份标识和随机数的管道连接请求；

D、所述申请方组内设备和被申请方组内设备利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、随机数和申请方组内设备的第一共享密钥分别生成衍生密钥，根据该衍生密钥在所述申请方组内设备和被申请方组内设备之间建立管道。

一种家庭网络，包括：

认证设备：用于将申请方组内设备的共享密钥和临时唯一身份标识发送给所述申请方组内设备，将被申请方组内设备的共享密钥和临时唯一身份标识发送给所述被申请方组内设备；

申请方组内设备：管道建立申请方，用于利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、随机数和申请方组内设备的第一共享密钥生成衍生密钥，根据该衍生密钥和被申请方组内设备之间建立管道；

被申请方组内设备：管道建立被申请方，用于利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、随机数和申请方组内设备的第一共享密钥生成衍生密钥，根据该衍生密钥和申请方组内设备之间建立管道。

由上述本发明实施例提供的技术方案可以看出，本发明实施例通过引入认证服务器，通过认证服务器对设备进行认证和验证后，在设备与认证服务器上同时根据随机数、认证设备身份标识、临时唯一身份标识生成衍生密钥；或者，在同级设备之间根据随机数、各个同级设备的临时唯一身份标识、共享密钥生成衍生密钥。从而可以在保证生成衍生密钥过程的安全性、综合考虑个设备的特征信息的前提下，在设备和认证设备或者同级设备之间建立管道。

本发明实施例为家庭网络等网络中设备之间的管道建立提供一种安全机制，防止第三方在管道上对衍生密钥进行篡改，保证建立的设备之间的管道的安全。

附图说明

图1为ITU中提出的家庭网络的一般模型的结构示意图；

图2为本发明实施例所述组内设备与认证设备之间建立管道的方法的实施例的处理流程图；

图3为本发明实施例所述组内设备之间建立管道的方法的处理流程图；

图4为本发明实施例所述被动建立管道方申请拆除管道方案的处理流程图；

图5为本发明实施例所述主动建立管道方申请拆除管道方案的处理流程图；

图6为本发明所述家庭网络系统的实施例1的结构示意图；

图7为本发明所述家庭网络系统的实施例2的结构示意图。

具体实施方式

本发明实施例提供了一种设备间管道的建立方法和家庭网络系统。

本发明实施例所述方法适用于各种小形局域网络，比如家庭网络。下面以家庭网络为例来说明本发明实施例所述方法和系统。

家庭网络的最初组网可以通过多播和单播的形式来构建，不同的设备以多播或单播的形式发送服务或请求服务的信息，有需求的相应设备组成设备组，该设备组即为家庭网络。在家庭网络中可以通过单播组播确定某个设备作为认证设备。除了认证设备之外的其它的设备之间为同级的组内设备。在已经形成的家庭网络中如果需要再加入某个设备，则该设备通过组播的形式进入家庭网络，同时该家庭网络中的共享密钥也可以根据设备组来重新确定。

上述家庭网络中的组内设备可以是A类设备(例如一台家庭电脑，PDA)或B类设备(例如路由器)。而认证设备一般就是作为家庭应用服务器的认证服务器或具有认证功能的家庭安全网关，认证设备是一种特殊的组内设备。下面本发明实施例的具体实施方式的描述中所述的组内设备是指除认证设备之外的组内一般设备。

在组内设备与认证设备之间需要建立管道，该管道可以为家庭网络中组内设备的身份验证和组内会话服务。本发明所述在组内设备与认证设备之间建立管道的方法的实施例的处理流程如图2所示，包括如下步骤；

步骤21、组内设备1生成随机数1，将该随机数1和设备1的身份标识一起封装在连接请求中后，将该连接请求发送给认证设备。

步骤22、认证设备收到上述连接请求后，利用预共享密钥对随机数1进行加密生成响应值1，同时生成随机数2。

预共享密钥是在管道建立之前使用某种特定的组网方式例如：多播、组播，在整个组内范围内使用的一种密钥。

步骤23、认证设备把上述响应值1、随机数2和认证设备的身份标识封装在响应消息中后，将该响应消息发送给设备1。

步骤24、设备1收到上述响应消息后，获取其中包含的响应值1、随机数2，将该响应值1与自己根据预共享密钥和随机数1生成的值进行比较，如果比较结果为相等，则设备1用预共享密钥对随机数2进行加密得到响应值2，执行步骤25；否则，则设备1与认证设备之间的管道建立失败。

步骤25、设备1把上述响应值2发送给认证设备。

步骤26、认证设备收到上述设备1发送的响应值2后，根据自身预共享密钥计算对随机数2进行加密，将加密所得结果与响应值2进行比较，如果比较结果为相等，则认证设备为设备1生成临时设备编号，继续执行步骤27；否则，则设备1与认证设备之间的管道建立失败。

步骤27、认证设备把生成的临时设备编号封装在连接成功消息中后，将该连接成功消息发送给设备1。

步骤28、设备1与认证设备分别根据上述随机数1、随机数2、认证设备身份标识、设备1的临时设备编号生成衍生共享密钥。根据该衍生密钥在所述设备1和认证设备之间建立管道。

上述设备1为具有计算功能的家庭设备，可以生成衍生共享密钥。而对于能力不足的家庭设备与认证设备建立管道的方法如下：

能力不足的家庭设备首先向认证设备发送连接请求，认证设备对该能力不足的家庭设备的身份进行识别，若认证设备确认其为家庭网络中能力不足的设备，则由认证设备自身直接随机产生一密钥，作为认证设备与该能力不足的设备建立管道的衍生共享密钥，并告知该设备此衍生共享密钥，管道建立成功。若认证设备确定不了该能力不足的设备的身份，则管道建立失败。

在家庭网络中，还需要在同级组内设备间建立管道，就是在A类设备和B类设备内部或之间建立管道。该管道可以为家庭电脑间建立资源共享连接，或帮助电脑通过控制电视机顶盒为数字电视定制收费节目等设备间的会话提供安全管道建立。

本发明所述同级组内设备间管道的建立方法的实施例的处理流程如图3所示，包括如下步骤：

步骤31、设备1和设备2为同级组内设备，设备1和设备2分别向认证设备发送认证请求。

步骤32、认证设备分别对设备1和设备2进行认证，验证成功后分别生成设备1和设备2的临时唯一身份标识(包括设备认证资料、临时设备编号等)，同时，认证设备随机生成与设备1和设备2之间的共享密钥K1和K2。

步骤33、认证设备把生成的临时唯一身份标识和共享密钥封装在认证响应中后，将认证响应分别发送给设备1和设备2。

步骤34、设备1收到上述认证响应后，向设备2发送管道建立请求，同时把设备1生成的随机数1和设备1的临时唯一身份标识一起封装在该管道建立请求中。

步骤35、设备2收到上述管道建立请求后，把设备1的临时唯一身份标识封装在设备1身份的认证请求中，将该设备1身份的认证请求发送给认证设备。

步骤36、认证设备获取上述认证请求中封装的设备1的临时唯一身份标识，若该设备1的临时唯一身份标识与数据库中的对应值一致。则向设备2发送设备1身份认证成功消息，并把设备1与认证设备之间的共享密钥K1告知设备2。若该设备1的临时唯一身份标识与数据库中的对应值不一致，则向设备2发送设备1身份认证失败消息，设备1和设备2间的管道创建失败。

步骤37、设备2收到上述设备1认证成功消息后，用K1加密设备1发送过来的随机数1生成响应值1。

步骤38、设备2把设备2的临时唯一身份标识、K2、上述响应值1封装在响应消息中后，将该响应消息发送给设备1。

步骤39、设备1获取上述响应消息中封装的响应值1。用K1加密随机数1，将加密所得结果与响应值1进行比较，如果比较结果为相等，则执行步骤310；否则，设备1和设备2间的管道创建失败。

步骤310、设备1向设备2发送连接成功消息。

步骤311、设备1与设备2分别根据随机数1、设备1的临时唯一身份标识、设备2的临时唯一身份标识、K1生成衍生共享密钥。根据该衍生密钥在所述设备1和设备2之间建立管道。

上述设备1和设备2双方均为具有计算功能的家庭设备，可以自己计算生成衍生共享密钥。而对于能力不足的家庭设备与其他同级设备建立管道，可以分为两种情况。

情况一：其他同级设备为有计算能力的设备。此时，上述能力不足的家庭设备与其他有计算能力的同级设备之间建立管道的方法如下：

双方设备同时向认证设备发送认证请求，认证设备为认证成功的设备生成临时唯一身份标识(包括设备认证资料、临时设备编号)和该设备和认证设备之间的共享密钥。然后，由能力不足的设备向有计算能力的其他同级设备发送管道建立请求。

上述有计算能力的其他同级设备接收到上述管道建立请求后，向认证设备发送携带能力不足设备的身份标识的认证请求，认证设备告知该有计算能力的其他同级设备：能力不足的设备是否通过验证。若没有通过验证，则管道建立失败；若通过验证，则将认证设备与能力不足的设备间已经生成的共享密钥发送给该有计算能力的其他同级设备。该共享密钥即作为管道双方的衍生共享密钥，管道建立成功。

情况二：其他同级设备亦为能力不足的设备，此时，上述能力不足的家庭设备之间建立管道的方法如下：

双方设备同时向认证设备发送认证请求，认证设备为认证成功的设备生成临时唯一身份标识(包括设备认证资料、临时设备编号)和共享密钥。然后，由能力不足的设备1向能力不足的设备2发送管道建立请求。

上述能力不足的设备2接收到上述管道建立请求后，向认证设备发送携带设备1的身份标识的认证请求，认证设备告知设备2：能力不足的设备1是否通过验证。若没有通过验证，则管道建立失败；若通过验证，则将认证设备与设备1间已经生成的共享密钥发送给该设备2。该共享密钥即作为管道双方的衍生共享密钥，管道建立成功。

由于申请拆除管道方的不同，同时存在网络的各种突发状况，所以，上述建立的设备间管道的拆除方案包括如下三种。方案一和方案二是用单播的形式发送管道拆除请求的，方案三利用组播发送管道拆除请求。

方案一、由主动建立管道方申请拆除管道，该主动建立管道方申请拆除管道方案的处理流程如图4所示，包括如下步骤：

步骤41、设备1向设备2发送管道拆除请求。

步骤42、设备2收到上述管道拆除请求后，对设备1进行判断，判断设备1是否为授权使用该管道的设备。上述授权是建立管道的双方互相授权的，当管道建立成功授权也就完成了。

步骤43、若设备2判断设备1不符合要求，则设备2直接向设备1发送驳回管道拆除请求消息，管道拆除失败。

步骤44、若设备2判断设备1符合要求，则设备2删除与设备1共有的管道创建数据。

步骤45、设备2删除上述管道创建数据完成后，向设备1发送允许管道拆除消息。

步骤46、设备1收到允许管道拆除消息后，删除管道建立请求信息。管道拆除成功。

方案二、由被动建立管道方申请拆除，该被动建立管道方申请拆除管道方案的处理流程如图5所示，包括如下步骤：

步骤51、设备2向设备1发送管道拆除请求。

步骤52、设备1收到上述管道拆除请求后，对设备2进行判断，判断该设备2是否为授权，使用该管道的设备。

步骤53、若设备1判断设备2不符合要求，则设备1直接向设备2发送驳回拆除请求消息，管道拆除失败

步骤54、若设备1判断设备2符合要求，则设备1删除管道建立请求。管道拆除成功。

方案三、特殊原因突然拆除管道。

在设备间的管道创建完成后，将周期性地发送创建管道请求，若一方发送的创建管道请求由于设备断电、断网等情况，不能在规定的响应时间内得到另一方的响应，则设备间的管道直接断开。

本发明所述家庭网络系统的实施例1的示意图如图6所示，包括如下模块：认证设备及组内设备。

认证设备：用于根据接收到的组内设备发送的管道连接请求，利用共享密钥机制和组内设备之间交换和验证随机数，向组内设备发送连接成功消息。将分配的组内设备的临时唯一身份标识、认证设备的身份标识发送给组内设备；以及利用随机数、组内设备的临时唯一身份标识、认证设备的身份标识生成衍生共享密钥。包括：随机数验证模块、设备临时唯一身份标识分配模块、密钥生成模块。

其中，随机数验证模块：用于在接收到组内一般设备发送的携带第一随机数和设备身份标识的连接请求后，利用预共享密钥对所述第一随机数进行加密生成第一响应值且生成第二随机数，向所述组内一般设备发送携带所述第一响应值、第二随机数和认证设备的身份标识的连接响应；根据所述预共享密钥对所述第二随机数进行加密，将加密所得结果与组内一般设备发送的第二响应值进行验证；

其中，临时设备编号生成模块：用于在随机数验证模块对所述第二响应值验证通过后，给所述组内一般设备生成临时设备编号，向组内一般设备发送携带该组内一般设备的临时设备编号的连接成功消息；

其中，密钥生成模块：用于在向组内一般设备发送所述连接成功消息后，利用所述第一随机数、第二随机数、组内设备的临时设备编号、认证设备的身份标识生成衍生密钥。组内设备：用于向认证设备发送管道连接请求，利用共享密钥机制和认证设备之间交换和验证随机数，在接收到认证设备发送的连接成功消息后，利用随机数和认证设备发送过来的组内设备的临时唯一身份标识、认证设备的身份标识生成衍生共享密钥。包括：随机数验证模块、密钥生成模块。

其中，随机数验证模块：用于向认证设备发送携带随机数和组内一般设备的设备身份标识的连接请求，利用共享密钥机制和认证设备之间交换和验证随机数；将认证设备返回的连接响应中包含的第一响应值与根据所述预共享密钥和第一随机数生成的值进行比较，当比较结果为相等时，所述组内一般设备用预共享密钥对认证设备返回的连接响应中包含的第二随机数进行加密得到第二响应值，将该第二响应值发送给所述认证设备；

其中，密钥生成模块：用于接收到认证设备发送的携带组内一般设备的临时唯一身份标识的连接成功消息后，利用所述第一随机数、第二随机数、组内一般设备的临时设备编号、认证设备的身份标识生成衍生密钥。

本发明所述家庭网络系统的实施例2的示意图如图7所示，包括如下模块：认证设备、组内设备1和组内设备2。

认证设备：用于在接收到组内设备1和组内设备2发送的认证请求后，将分配的组内设备1的临时唯一身份标识，以及组内设备1与认证服务器之间的第一共享密钥发送给组内设备1，将分配的组内设备2的临时唯一身份标识，以及组内设备2与认证服务器之间的第二共享密钥发送给组内设备2。接收到组内设备2发送过来的携带组内设备1的临时唯一身份标识的验证请求后，对该组内设备1的临时唯一身份标识进行验证，根据验证结果向组内设备2返回相应的验证响应消息。包括：临时唯一身份标识分配模块、临时唯一身份标识验证模块。

组内设备1：用于向认证设备发送认证请求，接收到认证设备发送的携带组内设备1的临时唯一身份标识和组内设备1与认证服务器之间的第一共享密钥的认证响应后，向组内设备2发送携带组内设备1的临时唯一身份标识和随机数的管道连接请求，接收组内设备2返回的携带组内设备2的临时唯一身份标识和第二共享密钥的管道连接响应后，向组内设备2发送管道连接成功消息。利用随机数和组内设备1和组内设备2的临时唯一身份标识、第一共享密钥生成衍生共享密钥。包括：认证请求处理模块、管道连接请求处理模块和密钥生成模块。

组内设备2：用于向认证设备发送认证请求，接收认证设备发送的携带组内设备2的临时唯一身份标识和第二共享密钥的认证响应。接收到组内设备1发送的携带组内设备1的临时唯一身份标识和随机数的管道连接请求后，向认证设备发送验证请求，根据认证设备返回的验证结果，向组内设备1发送携带组内设备2的临时唯一身份标识和第二共享密钥的管道连接响应。接收到组内设备1发送的管道连接成功消息后，利用随机数和组内设备1和组内设备2的临时唯一身份标识、第一共享密钥生成衍生共享密钥。包括：认证请求处理模块、管道连接请求处理模块和密钥生成模块。

上述认证设备中的临时唯一身份标识分配模块：用于在接收到组内设备1和组内设备2发送的认证请求后。给组内设备1和组内设备2分别分配临时唯一身份标识和共享密钥；向所述组内设备1发送携带所述组内设备1的临时唯一身份标识和第一共享密钥的认证响应，向所述组内设备2发送携带所述组内设备2的唯一身份标识和第二共享密钥的认证响应。

上述认证设备中的临时唯一身份标识验证模块：用于接收到设备2发送的携带设备1的临时唯一身份标识的验证请求后，对该设备1的临时唯一身份标识进行验证，在验证通过后向设备2发送携带设备1的第一共享密钥的验证响应。

上述组内设备1中的认证请求处理模块：用于向认证设备发送认证请求，接收认证设备发送的携带组内设备1的临时唯一身份标识和组内设备1与认证服务器之间的第一共享密钥的认证响应。

上述组内设备1中的管道连接请求处理模块：用于接收到认证设备返回的上述认证响应后，向组内设备2发送携带组内设备1的临时唯一身份标识和随机数的管道连接请求，接收组内设备2返回的携带组内设备2的临时唯一身份标识和第二共享密钥的管道连接响应。

上述组内设备1中的密钥生成模块：用于在向组内设备2发送了管道连接成功消息后，利用随机数和组内设备1和组内设备2的临时唯一身份标识、第一共享密钥生成衍生共享密钥。

上述组内设备2中的认证请求处理模块：用于向认证设备发送认证请求，接收认证设备发送的携带组内设备2的临时唯一身份标识和组内设备2与认证服务器之间的第二共享密钥的认证响应。

上述组内设备2中的管道连接请求处理模块：用于接收到组内设备1发送的携带组内设备1的临时唯一身份标识和随机数的管道连接请求后，向认证设备发送验证请求，接收认证设备返回的携带组内设备1的第一共享密钥的验证响应后，向组内设备1发送携带组内设备2的临时唯一身份标识和第二共享密钥的管道连接响应。

上述组内设备2中的密钥生成模块：用于接收到组内设备1发送的管道连接成功消息后，利用随机数和组内设备1和组内设备2的临时唯一身份标识、第一共享密钥生成衍生共享密钥。

本发明实施例引入唯一身份标识、临时设备编号、设备认证资料，访问时间戳、设备临时唯一标识等来保证管道建立的安全性。并在响应应答的基础上通过双方握手的方式分别生成衍生密钥，避免了衍生密钥在不安全管道上的传输，保证了管道的安全通信，防止第三方在管道上篡改密钥。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (13)

1. 一种设备间管道的建立方法，其特征在于，包括步骤：

A、组内一般设备和认证设备之间互相交换和验证随机数，在验证随机数通过后，所述认证设备给所述组内一般设备生成临时设备编号，并将该临时设备编号发送给所述组内一般设备；

B、所述组内一般设备和认证设备利用所述随机数、认证设备身份标识、和组内一般设备的临时设备编号分别生成衍生密钥，根据该衍生密钥在所述组内一般设备和认证设备之间建立管道。

2. 根据权利要求1所述的方法，其特征在于，所述的步骤A具体包括：

A1、所述组内一般设备向所述认证设备发送携带第一随机数和组内一般设备的身份标识的连接请求，所述认证设备利用预共享密钥对所述第一随机数进行加密生成第一响应值且生成第二随机数，向所述组内一般设备发送携带所述第一响应值、第二随机数和认证设备的身份标识的连接响应；

A2、所述组内一般设备将所述连接响应中包含的第一响应值与根据所述预共享密钥和第一随机数生成的值进行比较，当比较结果为相等时，所述组内一般设备用预共享密钥对所述第二随机数进行加密得到第二响应值，将该第二响应值发送给所述认证设备；

A3、所述认证设备根据所述预共享密钥对所述第二随机数进行加密，将加密所得结果与所述第二响应值进行比较，当比较结果为相等时，则认证设备为所述组内一般设备生成临时设备编号，并向该组内一般设备发送携带所述临时设备编号的连接成功消息。

3. 根据权利要求2所述的方法，其特征在于，所述步骤B具体包括：

所述组内一般设备接收到所述认证设备返回的连接成功消息后，利用所述第一随机数、第二随机数、认证设备的身份标识、临时设备编号和认证设备一起分别生成衍生密钥，根据该衍生密钥在所述组内一般设备和认证设备之间建立管道。

4. 一种家庭网络系统，其特征在于，包括：认证设备和组内一般设备，其中，

认证设备：用于和所述组内一般设备之间互相交换和验证随机数，给所述组内一般设备生成临时设备编号，将该临时设备编号发送给组内一般设备；并利用所述随机数、认证设备身份标识、组内一般设备的临时设备编号生成衍生密钥，根据该衍生密钥和组内一般设备之间建立管道；

组内一般设备：用于和认证设备之间互相交换和验证随机数，利用所述随机数和认证设备发送过来的组内一般设备的临时设备编号、认证设备身份标识生成衍生共享密钥，根据该衍生密钥和认证设备之间建立管道。

5. 根据权利要求4所述的系统，其特征在于，所述认证设备具体包括：

随机数验证模块：用于在接收到组内一般设备发送的携带第一随机数和设备身份标识的连接请求后，利用预共享密钥对所述第一随机数进行加密生成第一响应值且生成第二随机数，向所述组内一般设备发送携带所述第一响应值、第二随机数和认证设备的身份标识的连接响应；以及根据所述预共享密钥对所述第二随机数进行加密，将加密所得结果与组内一般设备发送的第二响应值进行验证；

临时设备编号生成模块：用于在随机数验证模块对所述第二响应值验证通过后，给所述组内一般设备生成临时设备编号，向组内一般设备发送携带该组内一般设备的临时设备编号的连接成功消息；

密钥处理模块：用于在向组内一般设备发送所述连接成功消息后，利用所述第一随机数、第二随机数、组内设备的临时设备编号、认证设备的身份标识生成衍生密钥，根据该衍生密钥和组内一般设备之间建立管道。

6. 根据权利要求4或5所述的系统，其特征在于，所述组内一般设备具体包括：

随机数验证模块：用于向认证设备发送携带第一随机数和组内一般设备的设备身份标识的连接请求，将认证设备针对该连接请求返回的连接响应中包含的第一响应值与根据预共享密钥和第一随机数生成的值进行比较，并当比较结果为相等时，用预共享密钥对认证设备返回的连接响应中包含的第二随机数进行加密得到第二响应值，将该第二响应值发送给所述认证设备；

密钥处理模块：用于接收认证设备在对所述第二响应值验证通过后发送的连接成功消息，所述连接成功消息携带有组内一般设备的临时唯一身份标识，并利用所述第一随机数、第二随机数、组内一般设备的临时设备编号、认证设备的身份标识生成衍生密钥，根据该衍生密钥和认证设备之间建立管道。

7. 一种设备间管道的建立方法，其特征在于，包括步骤：

C、申请方组内设备向被申请方组内设备发送携带其临时唯一身份标识和随机数的管道连接请求；

D、所述申请方组内设备和被申请方组内设备分别利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、随机数、申请方组内设备的第一共享密钥生成衍生密钥，根据该衍生密钥在所述申请方组内设备和被申请方组内设备之间建立管道。

8. 根据权利要求7所述的方法，其特征在于，所述步骤C之前还包括：

认证设备在接收到申请方组内设备和被申请方组内设备发送的认证请求后，给所述申请方组内设备和被申请方组内设备分别分配临时唯一身份标识和共享密钥，向所述申请方组内设备发送携带所述申请方组内设备的临时唯一身份标识和第一共享密钥的认证响应，向所述被申请方组内设备发送携带所述被申请方组内设备的唯一身份标识和第二共享密钥的认证响应。

9. 根据权利要求7或8所述的方法，其特征在于，所述步骤D具体包括：

D1、被申请方组内设备接收到所述管道连接请求后，向认证设备发送携带所述申请方组内设备的临时唯一身份标识的验证请求；认证设备对该申请方组内设备的临时唯一身份标识验证通过后，向被申请方组内设备发送携带申请方组内设备的第一共享密钥的验证响应；

D2、被申请方组内设备用所述申请方组内设备的第一共享密钥对所述随机数进行加密获得响应值，向申请方组内设备发送携带该响应值、被申请方组内设备的临时唯一身份标识和第二共享密钥的管道连接响应；

D3、申请方组内设备用第一共享密钥对所述响应值验证通过后，向被申请方组内设备发送连接成功消息；申请方组内设备和被申请方组内设备利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、第一共享密钥和随机数分别生成衍生密钥，根据该衍生密钥在申请方组内设备和被申请方组内设备之间建立安全管道。

10. 一种家庭网络系统，其特征在于，包括：

认证设备：用于将申请方组内设备的共享密钥和临时唯一身份标识发送给所述申请方组内设备，将被申请方组内设备的共享密钥和临时唯一身份标识发送给所述被申请方组内设备；

申请方组内设备：管道建立申请方，用于利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、随机数和申请方组内设备的第一共享密钥生成衍生密钥，根据该衍生密钥和被申请方组内设备之间建立管道；

被申请方组内设备：管道建立被申请方，用于利用所述申请方组内设备和被申请方组内设备的临时唯一身份标识、随机数和申请方组内设备的第一共享密钥生成衍生密钥，根据该衍生密钥和申请方组内设备之间建立管道。

11. 根据权利要求10所述的系统，其特征在于，所述认证设备具体包括：

临时唯一身份标识分配模块：用于在接收到申请方组内设备和被申请方组内设备发送的认证请求后，给申请方组内设备和被申请方组内设备分别分配临时唯一身份标识和第一共享密钥；并向所述申请方组内设备发送携带所述申请方组内设备的临时唯一身份标识和第一共享密钥的认证响应，向所述被申请方组内设备发送携带所述被申请方组内设备的唯一身份标识和第二共享密钥的认证响应；

临时唯一身份标识验证模块：用于接收到被申请方组内设备发送的携带申请方组内设备的临时唯一身份标识的验证请求后，对该申请方组内设备的临时唯一身份标识进行验证，在验证通过后向被申请方组内设备发送携带申请方组内设备的共享密钥的验证响应。

12. 根据权利要求10所述的系统，其特征在于，所述申请方组内设备具体包括：

认证请求处理模块：用于向认证设备发送认证请求，接收认证设备发送的携带申请方组内设备的临时唯一身份标识和第一共享密钥的认证响应；

管道连接请求处理模块：用于接收到认证设备返回的所述认证响应后，向被申请方组内设备发送携带申请方组内设备的临时唯一身份标识和随机数的管道连接请求，接收被申请方组内设备返回的携带被申请方组内设备的第二共享密钥和临时唯一身份标识的管道连接响应；

密钥生成模块：用于向被申请方组内设备发送了管道连接成功消息后，利用所述随机数和申请方组内设备和被申请方组内设备的临时唯一身份标识、第一共享密钥和被申请方组内设备分别生成衍生密钥。

13. 根据权利要求10或11或12所述的系统，其特征在于，所述被申请方组内设备具体包括：

认证请求处理模块：用于向认证设备发送认证请求，接收认证设备发送的携带被申请方组内设备的临时唯一身份标识和第二共享密钥的认证响应；

管道连接请求处理模块：用于接收到申请方组内设备发送的携带申请方组内设备的临时唯一身份标识和随机数的管道连接请求后，向认证设备发送验证请求，接收认证设备返回的携带申请方组内设备的第一共享密钥的验证响应后，向申请方组内设备发送携带被申请方组内设备的临时唯一身份标识和第二共享密钥的管道连接响应；

密钥生成模块：用于接收到申请方组内设备发送的管道连接成功消息后，利用所述随机数和申请方组内设备和被申请方组内设备的临时唯一身份标识、第一共享密钥和申请方组内设备分别生成衍生密钥。

Images