CN103621040B - 促成对等覆盖网络中对数据对象的群访问控制 - Google Patents

促成对等覆盖网络中对数据对象的群访问控制 Download PDF

Info

Publication number
CN103621040B
CN103621040B CN201280031422.4A CN201280031422A CN103621040B CN 103621040 B CN103621040 B CN 103621040B CN 201280031422 A CN201280031422 A CN 201280031422A CN 103621040 B CN103621040 B CN 103621040B
Authority
CN
China
Prior art keywords
peer
group
node
peer node
certificate
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201280031422.4A
Other languages
English (en)
Other versions
CN103621040A (zh
Inventor
Y·毛
V·纳拉亚南
A·斯瓦弥纳杉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qualcomm Inc
Original Assignee
Qualcomm Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Qualcomm Inc filed Critical Qualcomm Inc
Publication of CN103621040A publication Critical patent/CN103621040A/zh
Application granted granted Critical
Publication of CN103621040B publication Critical patent/CN103621040B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/104—Peer-to-peer [P2P] networks
    • H04L67/1044—Group management mechanisms 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Theoretical Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

提供了用于促成对等或其他类似覆盖网络中的群访问控制的方法和装置。群管理员可在覆盖网络中创建群，并且可向该群的每个成员指派因对等方而异的证书以用于指示在该群中的成员关系。群成员对等节点可使用其相应的因对等方而异的证书以认证其自己为群成员来访问该覆盖网络中的数据对象。该认证是由该网络中的另一对等节点执行的。证实方对等节点可使用与被颁予该因对等方而异的证书的对等节点相关联的公钥来认证该群成员是该因对等方而异的证书的合法拥有者。证实方对等节点还可使用颁发该因对等方而异的证书的装置的公钥来证实该因对等方而异的证书是被正当地颁予该群成员的。

Description

促成对等覆盖网络中对数据对象的群访问控制
背景
领域
本文所公开的各种特征一般涉及对等覆盖网络，并且至少一些特征涉及用于促成对等覆盖网络中对数据对象的群访问控制的设备和方法。
背景
对等（或即P2P）和其他类似覆盖网络包括在各对等方之间划分任务或工作负载的分布式应用架构。此类对等覆盖网络可被构建在底层网络（诸如利用网际协议（IP）的网络）之上。
典型情况下，对等方是应用中特权相同的、均等的参与者，并且通常被称为形成对等节点网络。各个对等节点彼此协作以既提供服务又维护该网络。对等节点通常使得它们的资源（诸如处理能力、盘存储或网络带宽）的一部分直接可供其他网络参与者使用，而无需服务器或稳定主机的集中协调。一般而言，对等节点既是资源的提供者又是资源的消费者，这与只有服务器提供而客户端消费的传统客户端-服务器模型形成对比。
对等网络和类似覆盖网络可出于应用的低成本可伸缩性和易于部署而被用在许多环境中。典型情况下，此类网络是相对开放的，从而允许各设备（即，节点）随意加入和离开。在此类网络的一些实现中，用户的数据可按分布式方式存储在该网络中的远程节点上，这对用户而言可以是已知或未知的。结果，一些用户可能不完全信任该覆盖的数据存储能力，除非能保证用户的数据将不会以未授权方式被访问（例如，读取和/或修改）。数据所有者因而可以能够指定定义谁能访问所存储的数据对象的访问控制。
常规情况下，存储在对等覆盖网络中的每个数据对象具有相应的访问控制列表，其指示关于该特定数据对象的访问控制策略。例如，相应的访问控制列表可指示哪些用户或用户群具有对该数据对象的指定类型的访问。然而，在可能有或可能没有任何中央权威机构以基于群成员关系来实施访问控制的对等覆盖网络中提供高效的基于群的访问控制可能是有挑战的。例如，在没有中央权威机构的情况下，可能难以认证对等节点是有效的群成员。因此，需要用于在对等覆盖网络中管理和认证对等节点间的群成员关系的系统、设备和/或方法。
概述
各种特征提供用于促成对等覆盖网络中基于群的访问控制的对等节点。一种或多种特征提供了群管理员对等节点，其可包括各自耦合到处理电路的通信接口和存储介质。通信接口可适配成促成对等覆盖网络上的通信。存储介质可包括与群管理员对等节点相关联的私钥和公钥对。
根据各种实现，处理电路可适配成创建对等群，该群将一个或多个对等节点定义为该群的成员。该处理电路可进一步向作为该群的成员的群成员对等节点指派因对等方而异的证书，该因对等方而异的证书适配成向对等覆盖网络中的其他对等节点认证在该群中的成员关系，并且包括群身份、群成员对等节点的身份、颁发装置的身份、以及通过颁发装置的私钥在该因对等方而异的证书的一个或多个组成部分上的签名。
还提供了在群管理员对等节点中操作的方法。根据此类方法的一种或多种实现，可获得与群管理员对等节点相关联的公钥和私钥对。可在对等覆盖网络中创建对等群，其中该群将一个或多个对等节点定义为该群的成员。可向作为该群的成员的群成员对等节点指派因对等方而异的证书，其中该因对等方而异的证书适配成向对等覆盖网络中的其他对等节点认证在该群中的成员关系。该因对等方而异的证书可包括群身份、群成员对等节点的身份、颁发装置的身份、以及通过颁发装置的私钥在该因对等方而异的证书的一个或多个组成部分上的签名。
至少一个其他特征提供了群成员对等节点，其可包括各自耦合到处理电路的通信接口和存储介质。通信接口可适配成促成对等覆盖网络上的通信。存储介质可包括与群成员对等节点相关联的私钥和公钥对。
根据各种实现，处理电路可适配成经由通信接口接收因对等方而异的群证书。该因对等方而异的群证书可从群管理员对等节点颁予群成员对等节点，并且可包括群身份、群成员对等节点的身份、群管理员对等节点的身份、以及通过群管理员对等节点的私钥在该因对等方而异的群证书的一个或多个组成部分上的签名。该处理电路可进一步经由通信接口将该因对等方而异的群证书发送给证实方对等节点。该处理电路还可经由通信接口将认证数据发送给证实方对等节点。该认证数据可以是使用与群成员对等节点相关联的私钥来签名的。
还提供了在群成员对等节点中操作的方法。根据此类方法的一种或多种实现，可获得与群成员对等节点相关联的公钥和私钥对。可接收从群管理员对等节点颁予群成员对等节点的因对等方而异的群证书。该因对等方而异的群证书可包括群身份、群成员对等节点的身份、群管理员对等节点的身份、以及通过群管理员对等节点的私钥在该因对等方而异的群证书的一个或多个组成部分上的签名。可将该因对等方而异的群证书发送给证实方对等节点以认证该群成员对等节点为群成员，其中该因对等方而异的群证书适配成由证实方对等节点来认证。还可将认证数据发送给证实方对等节点，其中该认证数据是使用与该群成员对等节点相关联的私钥来签名的。
附加特征提供了证实方对等节点，其可包括：通信接口，其适配成促成对等覆盖网络上的通信；以及处理电路，其耦合到该通信接口。根据各种实现，该处理电路可适配成经由通信接口从寻求认证为群的成员的群成员对等节点接收因对等方而异的群证书。该因对等方而异的群证书可包括群身份、群成员对等节点的身份、群管理员对等节点的身份、以及通过群管理员对等节点的私钥在该因对等方而异的群证书的一个或多个组成部分上的签名。该处理电路可从对等覆盖网络获得群令牌。该群令牌可包括通过群管理员对等节点的私钥进行的签名，并且可作为由群身份来标识的数据对象被存储在对等覆盖网络中。该处理电路可使用群管理员对等节点的公钥来验证该群令牌的签名，以证实该群管理员对等节点获授权颁发该因对等方而异的群证书，并且可使用与群管理员对等节点相关联的公钥来验证该因对等方而异的群证书。
还提供了在证实方对等节点中操作的方法。根据此类方法的一种或多种实现，可从寻求认证为群的成员的群成员对等节点接收因对等方而异的群证书。该因对等方而异的群证书可包括群身份、群成员对等节点的身份、群管理员对等节点的身份、以及通过群管理员对等节点的私钥在该因对等方而异的群证书的一个或多个组成部分上的签名。可从对等覆盖网络获得群令牌。该群令牌可包括通过群管理员对等节点的私钥进行的签名，并且可作为由群身份来标识的数据对象被存储在对等覆盖网络中。可使用群管理员对等节点的公钥来验证该群令牌的签名，以证实该群管理员对等节点获授权颁发该因对等方而异的群证书，并且可使用与群管理员对等节点相关联的公钥来验证该因对等方而异的群证书。
附图简述
图1是解说包括对等覆盖网络的网络的框图，其中数据对象可被存储在该覆盖网络的各节点之间。
图2是解说根据至少一个示例的用于从受信任权威机构向对等覆盖网络的对等节点提供节点证书的过程的流程图。
图3是针对不由服务器或稳定主机集中式地协调的覆盖网络解说用于促成群管理和成员认证的网络环境的框图。
图4（包括图4A和4B）是解说根据对群成员对等节点采用因对等方而异的群证书的至少一种实现的群管理和成员认证的流程图。
图5（包括图5A和5B）是解说根据对群成员对等节点采用因对等方而异的节点证书的至少一种实现的群管理和成员认证的流程图。
图6是解说根据至少一种实现的被用作群管理员的对等节点的组件选集的框图。
图7是解说可在群管理员对等节点上操作的用于促成对等覆盖网络中的群成员关系认证的方法的至少一种实现的示例的流程图。
图8是解说根据至少一种实现的被用作意图访问数据对象的群成员的对等节点的组件选集的框图。
图9是解说可在群成员对等节点上操作的用于促成对等覆盖网络中的群成员关系认证的方法的至少一种实现的示例的流程图。
图10是解说根据至少一种实现的被用于证实另一对等节点的群成员关系的对等节点的组件选集的框图。
图11是解说可在证实方对等节点上操作的用于促成对等覆盖网络中的群成员关系认证的方法的至少一种实现的示例的流程图。
详细描述
在以下描述中，给出了具体细节以提供对所描述的实现的透彻理解。然而，本领域普通技术人员将理解，没有这些具体细节也可实践各种实现。例如，电路可能以框图形式示出，以免使这些实现湮没在不必要的细节中。在其他实例中，公知的电路、结构和技术可能被详细示出以免湮没所描述的实现。
措辞“示例性”在本文中用于表示“用作示例、实例或解说”。本文中描述为“示例性”的任何实现或实施例不必被解释为优于或胜过其他实施例或实现。同样，术语“实施例”并不要求所有实施例都包括所讨论的特征、优点、或工作模式。本文中使用的术语“对等覆盖网络”和“对等节点”旨在被宽泛地解释。例如，“对等覆盖网络”可以指不由服务器或稳定主机集中式地协调的且包括在各对等方之间划分任务或工作负载的分布式应用架构的覆盖网络。此外，“对等节点”可以指促成对等覆盖网络上的通信的设备。“对等节点”的示例可包括打印机、平板计算机、电视机、移动电话、个人数字助理、个人媒体播放器、膝上型计算机、笔记本计算机、台式计算机等。
综览
一个特征促成对等覆盖网络内的群访问控制。可由用户在对等覆盖网络中形成群。群被给予群名称，群在对等覆盖网络中由群名称来标识，并且群名称可以是与该对等覆盖网络中的其他群和/或数据对象相异的。群管理员（其可以是创建该群的对等节点或用户）可管理该群的成员关系。群管理员可向每个群成员指派因对等方而异的证书。在一些实现中，群管理员可通过自己颁发证书来指派因对等方而异的证书。在其他实现中，群管理员可请求受信任权威机构为每个群成员颁发因对等方而异的证书。
根据一种特征，具有因对等方而异的证书的每个群成员可使用该证书来认证其自己为该群的有效成员。此类认证规程可分布在覆盖网络的各对等节点间。例如，证实方对等节点可从群成员接收因对等方而异的证书，并且可证实该群成员以认证该群成员是该证书的合法拥有者。证实方对等节点使用该证书被颁予的节点的公钥来证实该群成员，该公钥要么被包括在该证书中，要么可根据与该证书中所包括的公钥相关联的该对等节点的身份来定位。另外，证实方对等节点还可使用颁发该证书的装置的公钥来证实该证书本身，以认证该因对等方而异的群证书是被正当地颁发的。
示例性网络环境
图1是示出包括不由服务器或稳定主机集中式地协调的覆盖网络的网络100的框图，其中数据对象可存储在该覆盖网络的各节点间。该覆盖网络可包括对等覆盖网络102。此类对等覆盖网络102可利用任何类型的底层网络（诸如网际协议网络）以允许覆盖网络102上的多个对等节点104A-104F彼此通信。底层网络可包括任何数量的网络类型，诸如广域网（WAN）、局域网（LAN）、无线网络（例如，WWAN、WLAN）和/或任何其他类型的网络。
对等节点104A-104F可包括适于经由对等覆盖网络102通信的任何设备。此类设备可包括适于促成经由对等覆盖网络102的通信的中间件层。作为示例而非限定，对等节点104A-104F可包括诸如打印机、平板计算机、电视机、移动电话、个人数字助理、个人媒体播放器、膝上型和笔记本计算机、和/或台式计算机之类的设备以及其他设备。
根据本文描述的一种或多种实现，向每个对等节点104A-104F提供私钥和公钥对。私钥由相应的对等节点104A-104F保密，并且只有它自己知道。公钥可被分发给其他对等节点。每个对等节点104A-104F进一步从受信任权威机构（例如，登记服务器）获得节点证书。每个节点证书可包括相应的对等节点的身份和/或用户身份、对等节点的公钥、颁发该节点证书的受信任权威机构的身份、以及该受信任权威机构的签名。受信任权威机构的公钥可被分发给每个对等节点104A-104F以用于验证由该受信任权威机构所签名的证书。
图2是解说用于从受信任权威机构202向对等节点104（例如，图1的对等节点104A-104F中的任一者）提供节点证书的过程的至少一个示例的流程图。可向加入对等覆盖网络（例如，图1的对等覆盖网络102）的对等节点104或其用户提供唯一性的包括公钥（PbK-Peer）和私钥（PvK-Peer）的密钥对，如204处所示。在其他实现中，此类密钥对可由受信任权威机构202颁发。受信任权威机构202（诸如登记服务器）具有身份（TA-ID）并且还具有唯一性的私钥和公钥对（PvK-TA,PbK-TA），如206处所示。
对等节点104可向受信任权威机构202发送传输208以请求节点证书。如果先前向对等节点104提供了公钥（PbK-Peer），则该传输可包括该对等节点的公钥（PbK-Peer）。在收到该请求之后，受信任权威机构202生成对等方身份（Peer ID）（210）。如本文中所使用的，对等方身份可包括对等设备的身份和/或对等设备的用户的身份。受信任权威机构202随后可为对等节点104生成节点证书（Node Cert）（212），并将该节点证书发送（214）给对等节点104。该节点证书包括对等节点104的对等方身份（Peer ID）、该对等节点的公钥（PbK-Peer）、受信任权威机构的身份（TA-ID）、以及通过受信任权威机构的公钥进行的签名（SigPvK-TA）。根据各种实现，通过该受信任权威机构的公钥进行的签名（SigPvK-TA）可包括对整个节点证书的签名（如图所示），或对该节点证书中所包括的一个或多个个体数据片（或组成部分）的签名。受信任权威机构202的公钥（PbK-TA）可被分发给该对等覆盖网络上的每个对等节点以用于验证节点证书。
节点证书可相应地被用来认证对等节点104。例如，证实方对等节点可接收来自对等节点104的节点证书。使用该证书中所包括的对等节点104的公钥（PbK-Peer），证实方对等节点可执行质询响应以验证对等节点104是该节点证书的真正拥有者。另外，证实方对等节点可使用受信任权威机构的身份（TA-ID）来检索受信任权威机构202的公钥。使用受信任权威机构202的公钥，证实方对等节点还可证实该节点证书的签名（SigPvK-TA），这指示该节点证书是由该受信任权威机构202颁发的。
再次参照图1，每个对等节点104A-104F能够经由对等覆盖网络102与其他对等节点104A-104F进行通信，而无需由服务器或稳定主机进行的集中协调。例如，每个对等节点104A-104F可使其资源（例如，处理能力、盘存储、网络带宽）的一部分可供另一对等节点使用，并且可利用另一对等节点的资源的一部分，而无需服务器或稳定主机进行集中协调。在至少一些实现中，至少一些对等节点104A-104F可将数据对象存储在对等覆盖网络102中。当数据对象被存储在对等覆盖网络102中时，与该数据对象相关联的标识符被用来在需要访问该数据对象时在对等覆盖网络中定位该数据对象。随后通过将该数据对象存储在其他对等节点104A-104F之一处来将该数据对象存储在对等覆盖网络102内。
数据对象的所有者可指定对存储在对等网络覆盖102中的数据对象的访问控制。例如，对等节点104和/或其用户可指定获授权访问其已存储在对等覆盖网络102中的数据对象的对等节点群和/或用户群。此类获授权对等节点群和/或用户群可在本文中被一般性地称为群。
促成群管理和成员认证
转到图3，针对不由服务器或稳定主机集中式地协调的覆盖网络示出了用于促成群管理和成员认证的网络环境。在该示例中，来自图1的对等节点104A-104F被用于解说目的。当对等节点104A和/或其用户指定（或创建）群时，该对等节点104A和/或其用户可在对等覆盖网络102中管理该群的成员关系，并且可在本文中被称为群管理员。如贯穿本公开所使用的，对群管理员对等节点（例如，群管理员对等节点104A）的引述是指该对等节点设备和/或其用户。根据一种特征，群管理员对等节点104A可向作为该群成员的每个对等节点104和/或用户指派因对等方而异的证书。在一些实现中，因对等方而异的证书可包括由群管理员对等节点104A颁发的因对等方而异的群证书。在其他实现中，因对等方而异的证书可包括由受信任权威机构在来自群管理员对等节点104A的授权之后颁予每个群成员的因对等方而异的节点证书。
作为该群成员的对等节点和/或用户（例如，对等节点104B）可随后请求经由对等覆盖网络102访问所存储的数据对象。如本文所使用的，访问请求可包括对各级访问之一的请求，包括但不限于读取访问或读取/修改访问（即读/写访问）。作为该群成员并请求访问数据对象的对等节点和/或用户在本文中可被称为群成员对等节点（例如，群成员对等节点104B）或访问方对等节点。访问控制可指定该群的成员被允许某些访问，但是可期望证实群成员对等节点104B确实是该群的成员。
根据一种特征，群访问控制的实施可分布在覆盖网络的各对等节点间。例如，一对等节点可被用来证实群成员对等节点104B实际上是该群的成员，如群成员对等节点104B所声称的。认证或证实群成员对等节点104B的群成员关系的此类对等节点可在本文中被称为证实方对等节点104C。根据一种或多种实现，群成员对等节点104B可将其因对等方而异的证书（例如，因对等方而异的群证书、因对等方而异的节点证书）发送给证实方对等节点104C。证实方对等节点104C随后可使用要么是在该因对等方而异的证书中所包括的、要么是根据该因对等方而异的证书中所包括的其他信息（例如，群成员对等节点104B的身份）定位的公钥来证实群成员对等节点104B。证实方对等节点104C还可使用颁发该证书的装置（例如，在因对等方而异的群证书的情形中为群管理员对等节点、在因对等方而异的节点证书的情形中为受信任权威机构）的公钥来证实该因对等方而异的证书。根据一种特征，证实方对等节点104C能够独立地证实群成员对等节点104B是群的成员。即，证实方对等节点104C可自主地证实群成员对等节点104B的群成员关系，而不必采用另一对等节点或中央服务器来提供证实信息或执行一个或多个证实功能。
应注意，尽管根据所解说的实现将群管理员对等节点104A、群成员对等节点104B和证实方对等节点104C描绘为不同的对等节点，但是在各种实现中，一对等节点可执行多个所描绘的对等节点的轮转。例如，群管理员对等节点104A也可以是请求访问数据对象的群成员对等节点104B并由证实方对等节点104C来证实。在另一示例中，群管理员对等节点104A可被用来证实请求访问数据对象的群成员对等节点104B，在这种情形中，群管理员对等节点104A还将是证实方对等节点104C。在又一示例中，群成员对等节点104B在被用来证实另一群成员对等节点时也可作为证实方对等节点104C而操作。
图4和5是解说根据本公开的各种实现的群管理和成员认证的一些示例的流程图。首先转到图4（包括图4A和4B），示出了解说根据对群成员对等节点采用因对等方而异的群证书的至少一种实现的群管理和成员认证的流程图。在该示例中，参照图1所描述的群管理员对等节点104A、群成员对等节点104B和证实方对等节点104C被用于解说目的。
最初，群管理员对等节点A104A可从受信任权威机构（例如，图2中的受信任权威机构202）获得节点证书（Node Cert-A）402。节点证书402包括对等节点A的身份（Peer-A ID）、对等节点A的公钥（PbK-A）、受信任权威机构的身份（TA-ID）、以及受信任权威机构的签名，并且可按与以上参照图2所描述的类似的方式来获得。
在404，对等节点A104A可创建群并给予该群一名称（例如，群X）。群名称是用于标识该群的唯一性名称。为了确保群名称是唯一性的，对等节点A104A可生成群令牌并且可在对等覆盖网络中将该群令牌存储在该群名称之下（406）。群令牌（图4A中示为群令牌408）可使用单值模型来存储，其中在对等覆盖网络中在任何特定名称下只能存储一个数据对象。相应地，如果另一数据对象或群已在使用该群名称作为标识符，则使用重复名称的群令牌408将由对等覆盖网络路由至与该另一同样地命名的对象相同的存储方对等节点，从而导致该存储方对等节点处的名称冲突。当发生此类冲突时，可向群管理员对等节点A104A通知要选取不同的群名称。当没有发生名称冲突时，可向群管理员对等节点A104A确保所选群名称是唯一的。
群令牌408可包括该群（例如，Group-X）的描述、群管理员的身份、该群的成员的身份和/或其他信息。群令牌还可包括使用群管理员对等节点A104A的私钥生成的签名（Group-X令牌(SigPvK-A)）。
在创建了群并且群令牌被存储在对等覆盖网络中之后，群管理员对等节点A104A可为该群的每个成员生成因对等方而异的群证书（410），并且可将相应的因对等方而异的群证书发送给每个成员对等节点（412）。例如，可在410为对等节点B104B生成因对等方而异的群证书（例如，Group-X_Certpeer-B），并随后在412将其发送给对等节点B104B。因对等方而异的群证书（Group-X_Certpeer-B）可包括群名称（Group-X）、群管理员对等节点A104A的身份（Peer-A ID）、以及接收方对等节点的身份（Peer-B ID）。根据至少一些实现，因对等方而异的群证书（Group-X_Certpeer-B）还可包括接收方对等节点的公钥（PbK-B）。群管理员对等节点A104A可使用其私钥来对该因对等方而异的群证书进行签名（SigPvK-A）。例如，可使用诸如RSA签名、椭圆曲线签名、或其他已知的算法等签名方案来对因对等方而异的群证书进行签名。尽管图4将通过私钥进行的签名（SigPvK-A）示为包括对整个因对等方而异的群证书（Group-X_Certpeer-B）的签名，但在其他实现中，签名（SigPvK-A）可包括对因对等方而异的群证书（Group-X_Certpeer-B）中所包括的任何一个或多个个体数据片的签名。对等节点B104B可在414接收并存储该因对等方而异的群证书以供将来用于将其自己标识为群X的成员。
转到图4B，当群成员对等节点B104B希望访问要求群成员关系的某个数据对象时，该对等覆盖网络中的另一对等节点可被用来证实该群成员对等节点在该群中的成员关系。在图4中所示的示例中，对等节点C104C被用作证实方对等节点。证实方对等节点C104C可以是存储群成员对等节点B104B正请求访问的数据对象的同一个对等节点，或者证实方对等节点C104C可以是该网络中的另一对等节点。为了证实群成员对等节点B104B的群成员关系，群成员对等节点B104B可将因对等方而异的群证书（Group-X_Certpeer-B）发送给证实方对等节点C104C。
采用来自该因对等方而异的群证书（Group-X_Certpeer-B）的信息，证实方对等节点C104C可认证对等节点B104B是群X的有效成员。例如，证实方对等节点C104C可验证群成员对等节点B104B是该因对等方而异的群证书（Group-X_Certpeer-B）的合法拥有者，并且该证书是由群管理员对等节点A104A合法地颁发的。
如图4B中所示，证实方对等节点C104C可获得与使用群成员对等节点B104B的私钥所签名的数据片相对应的数字签名，以验证群成员对等节点B104B拥有要么是与该因对等方而异的群证书中的公钥相对应的、要么是与关联于该因对等方而异的群证书中所包括的对等节点B身份（Peer-B ID）的公钥相对应的私钥。例如，证实方对等节点C104C可向群成员对等节点B104B发送（418）随机质询。群成员对等节点B104B可使用其私钥对该随机质询进行签名并在步骤420将经签名的随机质询（SigPvK-B(随机质询)）发送给证实方对等节点C104C。证实方对等节点C104C随后可使用该因对等方而异的群证书（Group-X_Certpeer-B）中所包括的因对等方而异的公钥（PbK-B）来证实该经签名的响应（421）。
在其他实现中，证实方对等节点C104C可使用来自因对等方而异的群证书的群成员对等节点B104B的身份（Peer-B ID）从对等覆盖网络获得因对等方而异的公钥（PbK-B）。例如，证实方对等节点C104C可使用来自该群证书的身份Peer-B ID直接从群成员对等节点B104B获得公钥。在其他实现中，证实方对等节点C104C可使用身份Peer-B ID获得对等节点B104B的节点证书，该节点证书包括如上所述的其公钥并且还提供进一步的信任，因为它是由受信任权威机构所颁发和签名的。
证实方对等节点C104C还可验证群管理员对等节点A104A确实是群管理员、以及该因对等方而异的群证书的签名，以验证该证书是由群管理员对等节点A104A签名的。例如，证实方对等节点C104C可获得（422）群管理员对等节点A104A的节点证书（Node Cert-A），其可以从受信任权威机构的签名（SigPvK-TA）得到认证。在至少一个示例中，证实方对等节点C104C可使用来自因对等方而异的群证书（Group-X_Certpeer-B）的群管理员对等节点的身份（Peer-A ID）来检索群管理员对等节点104A的节点证书（Node Cert-A）。在因对等方而异的群证书中可能不包括群管理员的身份的至少另一个示例中，证实方对等节点C104C可使用群名称（Group-X）从对等覆盖网络获得群令牌，以发现群管理员的身份。
若证实方对等节点C104C尚未访问群令牌，则可从对等覆盖网络检索该群令牌（424），并且来自节点证书（Node Cert-A）的群管理员对等节点A104A的公钥（PbK-A）可被用于验证该群令牌的签名，以验证对等节点A104A是群管理员并且获授权颁发该因对等方而异的群证书和/或对该因对等方而异的群证书进行签名（426）。使用来自群管理员对等节点A104A的节点证书（NodeCert-A）的公钥（PbK-A），证实方对等节点C104C还可验证随该因对等方而异的群证书（Group-X_Certpeer-B）所包括的签名（SigPvK-A）（428）。
如果证实方对等节点C104C成功验证了群成员对等节点B104B是该因对等方而异的群证书（Group-X_Certpeer-B）的合法拥有者并且该证书是由群管理员对等节点A104A合法地颁发的，则群成员对等节点B104B的群成员关系得到验证（430），并且证实方对等节点C104C可准予对所请求的数据对象的访问（432）。如果任何验证步骤失败，则群成员对等节点B104B的群成员关系不被确立并且对该数据对象的访问可被拒绝。
根据至少一些实现，证实方对等节点C104C可高速缓存群管理员对等节点A104A的身份（Peer-A ID）和公钥（PbK-A）、连同群名称，以供将来验证同一个群的其他成员。在参照图4所描述的实现中，群成员关系管理和因对等方而异的证书颁发是由群管理员对等节点执行的。因此，受信任权威机构不参与群管理过程，但参与通过向各个对等节点颁发节点证书来提供附加的信任层，这些节点证书可被用来验证公钥和身份，如本文中所陈述的。
现在转到图5（包括图5A和5B），示出了解说根据对群成员对等节点采用因对等方而异的节点证书的至少一种实现的群管理和成员认证的流程图。在该示例中，受信任权威机构负责向群成员颁发因对等方而异的证书，而对群访问控制的实施仍分布在对等覆盖网络的所有对等节点间。如图所示，参照图1所描述的群管理员对等节点A104A、群成员对等节点B104B、和证实方对等节点C104C，以及参照图2描述的受信任权威机构202被用于解说目的。在图5中所示的实现中，并非由群管理员对等节点A104A自己生成因对等方而异的证书，而是群管理员对等节点A104A与受信任权威机构202通信，而受信任权威机构202为每个群成员生成因对等方而异的节点证书。
初始参照图5A，群管理员对等节点A104A可从受信任权威机构202获得节点证书（Node Cert-A）502，并且对等节点B104B可从受信任权威机构202获得节点证书（Node Cert-B）504。对等节点A的节点证书包括对等节点A的身份（Peer-A ID）、对等节点A的公钥（PbK-A）、受信任权威机构的身份（TA-ID）、以及由受信任权威机构202进行的签名（SigTA）。类似地，对等节点B的节点证书包括对等节点B的身份（Peer-B ID）、对等节点B的公钥（PbK-B）、受信任权威机构的身份（TA-ID）、以及由受信任权威机构202进行的签名（SigTA）。各相应的节点证书可按与以上参照图2所描述的类似的方式来获得。
在506，对等节点A104A可创建群并给予该群一名称（例如，群X）。群名称是用于标识该群的唯一性名称。在该示例中，群管理员对等节点A104A将该群向受信任权威机构202注册（508）在该群名称下。受信任权威机构202检查和确保该群名称的唯一性。受信任权威机构202可维持所有群名称的记录以及每个群的群管理员的身份。在一些实现中，向受信任权威机构202注册该群也可协同将群令牌存储在对等覆盖网络上来使用，在这种情形中，受信任权威机构202可通过验证存储在该覆盖上的信息来验证该群名称的唯一性，如以上参照图4所描述的。
当对等节点或其用户希望加入群时，可向群管理员发送请求。例如，若对等节点B104B希望加入group-X（群-X），则加入group-X的请求510可被发送给群管理员对等节点A104A。加入group-X的请求包括对等节点B104B的节点证书（Node Cert-B）。群管理员对等节点A104A可批准或拒绝该请求。若加入group-X的请求被批准，则群管理员对等节点A104A为对等节点B104B指派因对等方而异的证书。例如，群管理员对等节点A104A可通过向受信任权威机构202发送请求512以要求受信任权威机构202将对等节点B104B添加为group-X的成员并向对等节点B104B颁发因对等方而异的节点证书来指派因对等方而异的证书。添加对等节点B104B的请求可包括将对等节点B104B的节点证书（Node Cert-B）转发给受信任权威机构202。
在收到来自群管理员对等节点A104A的请求时，受信任权威机构202认证群管理员对等节点A104A的节点身份（Peer-A ID），并且验证该节点身份（Peer-A ID）匹配其群记录中的该群管理员的身份（514）。若该验证成功，则受信任权威机构202向对等节点B104B颁发（516）新的节点证书（新的Node Cert-B）。该新的节点证书包括旧的证书（Node Cert-B）中的所有信息加上该对等方新近加入的群名称。例如，该新的节点证书（新的Node Cert-B）包括对等节点B的身份（Peer-B ID）、对等节点B的公钥（PbK-B）、受信任权威机构的身份（TA-ID）、和由受信任权威机构202进行的签名（SigTA）、以及群名称（Group-X），以指示对等节点B104B是群Group-X的成员。该新的节点证书（新的Node Cert-B）可直接从受信任权威机构202发送给对等节点B104B，或者经由群管理员对等节点A104A发送给对等节点B104B。如本文中所使用的，指示群成员关系的新的节点证书也可被称为因对等方而异的节点证书。
转到图5B，当对等节点B104B希望访问要求群（例如，Group-X）中的成员关系的某个数据对象时，该对等覆盖网络中的另一对等节点可被用来证实该群成员对等节点在该群中的成员关系。在图5中所示的示例中，对等节点C104C被用作证实方对等节点。应注意，出于清楚起见，图5A中所示的受信任权威机构202未在图5B中示出，而对等节点A104A和对等节点B104B被解说为继续到图5B上。带圈‘A’和带圈‘B’被示为描绘对等节点A104A和对等节点B104B从图5A继续到图5B上。还应注意，在图5B中解说了对等节点C104C，其在图5A中没有解说。
如所陈述的，图5B中所示的证实方对等节点C104C被用来证实群成员对等节点B104B是群的成员。证实方对等节点C104C可以是存储群成员对等节点B104B正请求访问的数据对象的同一个对等节点，或者证实方对等节点C104C可以是该网络中的另一对等节点。为了证实群成员对等节点B104B的群成员关系，群成员对等节点B104B可将其因对等方而异的节点证书（新的Node Cert-B）发送（518）给证实方对等节点C104C。
采用来自该因对等方而异的节点证书（新的Node Cert-B）的信息，证实方对等节点C104C可认证群成员对等节点B104B是群X的有效成员。例如，证实方对等节点C104C可验证群成员对等节点B104B是该因对等方而异的节点证书（新的Node Cert-B）的合法拥有者，并且该证书确实是由受信任权威机构202颁发的。
为了验证群成员对等节点B104B是该因对等方而异的节点证书（新的Node Cert-B）的合法拥有者，证实方对等节点C104C可获得与使用群成员对等节点B104B的私钥来签名的数据片相对应的数字签名。证实方对等节点C104C可使用该数字签名来验证群成员对等节点B104B拥有与该因对等方而异的节点证书（新的Node Cert-B）中的公钥相对应的私钥。例如，证实方对等节点C104C可向群成员对等节点B104B发送随机质询520。群成员对等节点B104B可使用其私钥对该随机质询进行签名并在步骤522将经签名的随机质询（SigPvK-B(随机质询)）发送给证实方对等节点C104C。证实方对等节点C104C随后可使用因对等方而异的公钥（PbK-B）来证实该经签名的响应（524）。若该响应得到证实，则证实方对等节点C104C确信群成员对等节点B104B拥有与该因对等方而异的节点证书（新的Node Cert-B）相关联的私钥。
证实方对等节点C104C还可验证该因对等方而异的节点证书（新的NodeCert-B）的签名，以验证该证书是由受信任权威机构202颁发的。例如，证实方对等节点C104C可检索受信任权威机构202的公钥（PbK-TA）。在某些实例中，证实方对等节点C104C可能已经具有受信任权威机构的公钥（PbK-TA）的副本，或者证实方对等节点C104C可使用该因对等方而异的节点证书（新的Node Cert-B）中所包括的受信任权威机构202的身份（Peer-A ID）来检索受信任权威机构的公钥（PbK-TA）。使用受信任权威机构202的公钥（PbK-TA），证实方对等节点C104C可验证随该因对等方而异的节点证书（新的NodeCert-B）所包括的签名（SigTA）（526）。
如果证实方对等节点C104C成功验证了群成员对等节点B104B是该因对等方而异的节点证书（新的Node Cert-B）的合法拥有者并且该证书是由受信任权威机构202合法地颁发的，则群成员对等节点B104B的群成员关系得到验证（528），并且证实方对等节点C104C可准予对所请求的数据对象的访问（530）。如果任何验证步骤失败，则群成员对等节点B104B的群成员关系不被确立并且对该数据对象的访问可被拒绝。
示例性群管理员对等节点
图6是解说根据至少一种实现的被用作群管理员的对等节点600的组件选集的框图。群管理员对等节点600在本文中也可被称为群主对等节点。对等节点600可包括耦合至存储介质604和通信接口606的处理电路602。
处理电路602一般被安排成获得、处理和/或发送数据，控制数据访问和存储，发布命令，以及控制其他期望操作，并且在至少一个实施例中可包括被配置成实现由恰适的介质（诸如存储介质604）提供的期望编程的电路系统。
存储介质604可表示用于存储诸如处理器可执行代码或指令（例如，软件、固件）、电子数据、数据库、或其他数字信息之类的编程和/或数据的一个或更多个设备。存储介质604可被耦合至处理电路602以使得处理电路602能从/向存储介质604读取信息和写入信息。在替换方案中，存储介质604可被整合到处理电路602。
群管理员对等节点600的存储介质604可包括其中存储的私钥608、公钥610和节点证书612。私钥608被用于使用常规签名算法来对由群管理员对等节点600传达的数据进行签名，并且通常是仅该群管理员对等节点600知道（即，不被传达给其他对等节点）。公钥610被分发给其他对等节点并且用于验证用私钥608签名的数据。
存储介质604可附加地包括其中存储的群创建操作614和因对等方而异的证书指派操作616。群创建操作614可由处理电路602在例如群创建器模块618中实现以创建群。因对等方而异的证书指派操作616可由处理电路602在例如证书指派器模块620中实现以向所创建的群的每个成员指派因对等方而异的证书。在一些实现中，因对等方而异的证书指派操作616可被适配成为每个群成员生成因对等方而异的群证书。在其他实现中，因对等方而异的证书指派操作616可被适配成请求受信任权威机构向每个群成员颁发因对等方而异的节点证书。
通信接口606被配置成促成对等节点600的无线和/或有线通信。例如，通信接口606可被配置成关于对等覆盖网络中的其他对等节点双向地传达信息。通信接口606可耦合到天线并且可包括无线收发机电路，和/或可包括网络接口卡（NIC）、串行或并行连接、通用串行总线（USB）接口、火线接口、Thunderbolt（雷电）接口、或用于与公共和/或私有网络进行通信的任何其他合适的安排，其中无线收发机电路包括用于与对等覆盖网络进行无线通信的至少一个发射机622和/或至少一个接收机624（例如，一个或多个发射机/接收机链）。
根据被实现为群管理员的对等节点600的一个或多个特征，处理电路602可被适配成执行与上文参照图3-5描述的各种群管理员对等节点（例如，群管理员对等节点104A）有关的任何或所有过程、功能、步骤和/或例程。如本文中所使用的，与处理电路602相关的术语“适配”可以是指处理电路602被进行了配置、采用、实现、或编程中的一者或多者以执行根据各种特征的特定过程、功能、步骤和/或例程。
图7是解说可在对等节点（诸如群管理员对等节点600）上操作的方法的至少一种实现的示例的流程图。参照图6和7两者，在步骤702，对等节点可获得公钥和私钥对。例如，对等节点600可获得公钥610和私钥608。如上所述，公钥610可被分发给其他对等节点并且可用于验证用私钥608签名的数据。另一方面，私钥608可以仅为该对等节点600所知。在至少一些实现中，该私钥和公钥对可通过（例如由制造商）向对等节点600供应此类密钥来获得，或者这些密钥可由对等节点600使用常规的密钥生成技术和算法来生成。
在步骤704，可创建对等群，其中该群定义作为该群的成员的一个或多个对等节点。如上所述，对一个或多个群对等节点的引述可以指对等节点和/或用户。作为示例，处理电路602可采用来自存储介质的群创建操作614来创建群。例如，可由处理电路602的群创建器模块618通过选择群名称以及通过将一个或多个对等节点定义为该群的成员来创建该群。在一些实现中，作为群创建操作614的一部分，处理电路602还可生成群令牌，其中群令牌由对等节点600存储为对等覆盖网络中由群身份标识的数据对象。即，群令牌可被存储为对等覆盖网络中在该群的名称下的数据对象。群令牌被适配成向对等覆盖网络中的其他对等节点（例如，证实方对等节点）认证该群管理员对等节点600获授权向群成员对等节点颁发因对等方而异的群证书。
群管理员对等节点随后可向作为该群的成员的群成员对等节点（例如，图3-5中的群成员对等节点104B）指派因对等方而异的证书（706）。因对等方而异的证书被适配成指示该群中的成员关系，并且一般可包括群身份、群成员对等节点的身份、颁发装置的身份、以及通过颁发装置的私钥在该因对等方而异的证书的一个或多个组成部分上的签名。在一些实现中，因对等方而异的证书还可包括群成员对等节点的公钥。根据至少一个示例，处理电路602可被适配成（例如，在证书指派器模块620中）实现存储介质604中的因对等方而异的证书指派操作616，以向群成员对等节点指派因对等方而异的证书。
在至少一种实现中，因对等方而异的证书指派操作616可包括适配成使处理电路602（例如，证书指派器模块620）通过为群成员对等节点生成因对等方而异的群证书来指派因对等方而异的证书的指令。在处理电路602处生成的因对等方而异的群证书可包括群身份、群成员对等节点的身份、群管理员对等节点的身份、以及通过群管理员对等节点600的私钥608在该因对等方而异的群证书的一个或多个组成部分上的签名。在一些实现中，因对等方而异的群证书还可包括群成员对等节点的公钥。作为示例，通过私钥608进行的签名可由处理电路602采用常规的签名方案（诸如RSA签名算法或椭圆曲线签名算法等）来执行。在此类实现中，因对等方而异的证书指派操作616可进一步包括适配成使处理电路602经由通信接口606将因对等方而异的群证书发送给群成员对等节点的指令。
在至少另一种实现中，因对等方而异的证书指派操作616可包括适配成使处理电路602（例如，证书指派器模块620）通过经由通信接口606向受信任权威机构发送请求以向群成员对等节点颁发因对等方而异的节点证书来指派因对等方而异的证书的指令。由受信任权威机构颁发的因对等方而异的节点证书可包括群身份、群成员对等节点的身份、受信任权威机构的身份、以及通过受信任权威机构的私钥在该因对等方而异的节点证书的一个或多个组成部分上的签名。因对等方而异的节点证书还可包括群成员对等节点的公钥。
被指派了因对等方而异的证书的群成员对等节点可随后由证实方对等节点（例如，图3-5中的证实方对等节点104C）通过以下操作来认证：使用要么是在该因对等方而异的证书中所包括的、要么是利用该群成员对等节点的身份从对等覆盖网络获得的该群成员对等节点的公钥来验证该群成员对等节点，以及使用与该因对等方而异的证书中的颁发装置的身份相关联的公钥（例如，使用公钥610或受信任权威机构的公钥）来验证该因对等方而异的证书。
示例性群成员对等节点（即，访问方对等节点）
图8是解说根据至少一种实现的被用作意图访问数据对象的群成员的对等节点800的组件选集的框图。群成员对等节点800在本文中也可被称为访问方对等节点800。对等节点800可包括耦合至存储介质804和通信接口804的处理电路802。
处理电路802一般被安排成获得、处理和/或发送数据，控制数据访问和存储，发布命令，以及控制其他期望操作，并且在至少一个实施例中可包括被配置成实现由恰适的介质（诸如存储介质804）提供的期望编程的电路系统。
存储介质804可表示用于存储诸如处理器可执行代码或指令（例如，软件、固件）、电子数据、数据库、或其他数字信息之类的编程和/或数据的一个或更多个设备。存储介质804可被耦合至处理电路802以使得处理电路802能从/向存储介质804读取信息和写入信息。在替换方案中，存储介质804可被整合到处理电路802。
群成员对等节点800的存储介质804可包括其中存储的私钥808和公钥810。私钥808被用于对由群成员对等节点800传达的数据进行签名，并且通常仅为该群成员对等节点800所知（即，不被传达给其他对等节点）。公钥810被分发给其他对等节点并且用于验证用私钥808签名的数据。
存储介质804还包括其中存储的因对等方而异的证书812。根据各种实现，因对等方而异的证书812可包括因对等方而异的群证书或因对等方而异的节点证书（即，新的节点证书）。
通信接口806被配置成促成群成员对等节点800的无线和/或有线通信。例如，通信接口806可被配置成关于对等覆盖网络中的其他对等节点双向地传达信息。通信接口806可耦合到天线并且可包括无线收发机电路，和/或可包括网络接口卡（NIC）、串行或并行连接、通用串行总线（USB）接口、火线接口、Thunderbolt（雷电）接口、或用于与公共和/或私有网络进行通信的任何其他合适的安排，其中无线收发机电路包括用于与对等覆盖网络进行无线通信的至少一个发射机814和/或至少一个接收机816（例如，一个或多个发射机/接收机链）。
根据群成员对等节点800的一个或多个特征，处理电路802可适配成执行与上文参照图3-5描述的各种群成员对等节点（例如，群成员对等节点104B）有关的任何或所有过程、功能、步骤和/或例程。如本文中所使用的，与处理电路802相关的术语“适配”可以是指处理电路802被进行了配置、采用、实现、或编程中的一者或多者以执行根据各种特征的特定过程、功能、步骤和/或例程。
图9是解说可在对等节点（诸如群成员对等节点800）上操作的方法的至少一种实现的示例的流程图。参照图8和9两者，在步骤902，对等节点可获得公钥和私钥对。例如，对等节点800可获得公钥810和私钥808。如上所述，公钥810可被分发给其他对等节点并且可用于验证用私钥808使用常规签名算法来签名的数据。另一方面，私钥808可以仅为该对等节点800所知。在至少一些实现中，与群成员对等节点800相关联的该私钥和公钥对可通过（例如由制造商）向对等节点800供应此类密钥来获得，或者这些密钥可由对等节点800使用常规的密钥生成技术和算法来生成。
在步骤904，对等节点800可接收因对等方而异的证书。例如，处理电路802可经由通信接口806接收因对等方而异的证书812。因对等方而异的证书812被适配成向对等覆盖网络中的其他对等节点（例如，证实方对等节点）指示群中的成员关系。因对等方而异的证书812一般可包括群身份、群成员对等节点800的身份、颁发装置的身份、以及通过颁发装置的私钥在该因对等方而异的证书812的一个或多个组成部分上的签名。因对等方而异的证书812可进一步包括公钥810。在一些实现中，因对等方而异的证书812可以是响应于从对等节点800发送给群管理员对等节点的请求而被接收到的。
在至少一种实现中，因对等方而异的证书812可包括从群管理员对等节点颁发的因对等方而异的群证书。此类因对等方而异的群证书可包括群身份、群成员对等节点800的身份、群管理员对等节点的身份、以及通过群管理员对等节点的私钥在该因对等方而异的群证书的一个或多个组成部分上的签名。因对等方而异的群证书还可包括公钥810。在因对等方而异的证书812包括因对等方而异的群证书的实现中，该因对等方而异的群证书中所包括的群身份可被适配成定位作为由该群身份来标识的数据对象被存储在对等覆盖网络中的群令牌。如本文中所述，群令牌可被适配成认证群管理员对等节点获授权颁发因对等方而异的群证书和对因对等方而异的群证书进行签名。
在另一实现中，因对等方而异的证书812可包括从受信任权威机构颁发的因对等方而异的节点证书（或新的节点证书）。此类因对等方而异的节点证书（或新的节点证书）可包括群身份、群成员对等节点800的身份、颁发该因对等方而异的节点证书的受信任权威机构的身份、以及通过受信任权威机构的私钥在该因对等方而异的节点证书的一个或多个组成部分上的签名。因对等方而异的节点证书还可包括公钥810。在采用因对等方而异的节点证书（或新的节点证书）的实现中，因对等方而异的节点证书（或新的节点证书）可取代先前接收到的可能存储在对等节点800的存储介质804中的节点证书。
对等节点800可随后采用该因对等方而异的证书来认证其自己是该群的成员。相应地，在步骤906，群成员对等节点800可向证实方对等节点（例如，图3-5中的证实方对等节点104C）发送因对等方而异的证书以认证其自己是该群的成员。例如，处理电路802可经由通信接口806向证实方对等节点发送传输，其中该传输包括因对等方而异的证书812（例如，因对等方而异的群证书或因对等方而异的节点证书）。
在步骤908，对等节点800可向证实方对等节点发送认证数据，该认证数据是使用私钥808来签名的。例如，处理电路802可使用常规的签名算法（诸如RSA签名算法或椭圆曲线签名算法等）来对该认证数据进行签名。经签名的认证数据可由处理电路802经由通信接口806发送给证实方对等节点。
对等节点800的群成员关系可由证实方对等节点通过以下操作来认证：使用从该因对等方而异的证书或对等网络获得的公钥810以证实经签名的认证数据来验证对等节点800。另外，证实方对等节点可通过采用与颁发装置的身份相关联的公钥（例如，使用群管理员对等节点的公钥、或受信任权威机构的公钥）来验证由对等节点800发送的因对等方而异的证书812，颁发装置的身份被包括在因对等方而异的证书812中。
示例性证实方对等节点
图10是解说根据至少一种实现的被用于证实另一对等节点的群成员关系的对等节点1000的组件选集的框图。证实方对等节点1000可包括耦合至存储介质1004和通信接口1006的处理电路1002。
处理电路1002一般被安排成获得、处理和/或发送数据，控制数据访问和存储，发布命令，以及控制其他期望操作，并且在至少一个实施例中可包括被配置成实现由恰适的介质（诸如存储介质1004）提供的期望编程的电路系统。
存储介质1004可表示用于存储诸如处理器可执行代码或指令（例如，软件、固件）、电子数据、数据库、或其他数字信息之类的编程和/或数据的一个或更多个设备。存储介质1004可被耦合至处理电路1002以使得处理电路1002能从/向存储介质1004读取信息和写入信息。在替换方案中，存储介质1004可被整合到处理电路1002。
存储介质1004可包括其中存储的群成员验证操作1008和因对等方而异的证书验证操作1010。群成员验证操作1008和因对等方而异的证书验证操作1010两者可由处理电路1002例如在对等方及证书认证器模块1012中实现，以证实群成员对等节点（例如，图3-5中的群成员对等节点104B）的群成员关系。在至少一些实现中，存储介质1004可包括其中存储的对等覆盖网络的数据对象1011，并且群成员关系证实可以是响应于群成员对等节点请求作为获授权访问数据对象1011的群的成员来访问数据对象1011。
通信接口1006被配置成促成证实方对等节点1000的无线和/或有线通信。例如，通信接口1006可被配置成关于对等覆盖网络中的其他对等节点双向地传达信息。通信接口1006可耦合到天线并且可包括无线收发机电路，和/或可包括网络接口卡（NIC）、串行或并行连接、通用串行总线（USB）接口、火线接口、Thunderbolt（雷电）接口、或用于与公共和/或私有网络进行通信的任何其他合适的安排，其中无线收发机电路包括用于与对等覆盖网络进行无线通信的至少一个发射机1014和/或至少一个接收机1016（例如，一个或多个发射机/接收机链）。
根据证实方对等节点1000的一个或多个特征，处理电路1002可被适配成执行与上文参照图3-5描述的各种证实方对等节点（例如，证实方对等节点104C）有关的任何或所有过程、功能、步骤和/或例程。如本文中所使用的，与处理电路1002相关的术语“适配”可以是指处理电路1002被进行了配置、采用、实现、或编程中的一者或多者以执行根据各种特征的特定过程、功能、步骤和/或例程。
图11是解说可在对等节点（诸如证实方对等节点1000）上操作的用于促成对等覆盖网络中的群成员关系认证的方法的至少一种实现的示例的流程图。参照图10和11两者，在步骤1102，对等节点可从正寻求认证为群的成员的群成员对等节点接收因对等方而异的证书。例如，处理电路1002可经由通信接口1004从群成员对等节点（例如，图3-5中的群成员对等节点104B）接收因对等方而异的证书。一般而言，因对等方而异的证书可包括群名称、群成员对等节点的身份、颁发装置的身份、以及通过颁发装置的私钥在该因对等方而异的证书的一个或多个组成部分上的签名。因对等方而异的证书还可包括群成员对等节点的公钥。
在至少一种实现中，所接收到的因对等方而异的证书包括由群管理员对等节点向该群成员对等节点颁发的因对等方而异的群证书。在此情形中，因对等方而异的群证书可包括群身份、群成员对等节点的身份、群管理员对等节点的身份、以及通过群管理员对等节点的私钥在该因对等方而异的群证书的一个或多个组成部分上的签名。因对等方而异的群证书也可任选地包括群成员对等节点的公钥。
在另一实现中，所接收到的因对等方而异的证书包括由受信任权威机构颁发的因对等方而异的节点证书。在此情形中，因对等方而异的节点证书可包括群身份、群成员对等节点的身份、受信任权威机构的身份、以及通过受信任权威机构的私钥在该因对等方而异的节点证书的一个或多个组成部分上的签名。因对等方而异的节点证书也可任选地包括群成员对等节点的公钥。
在步骤1108（注意，步骤1104和1106在下文讨论），证实方对等节点1000可从群成员对等节点接收认证数据，其中该认证数据是通过该群成员对等节点的私钥来签名的。例如，处理电路1002可经由通信接口1004接收包括通过该群成员对等节点的私钥来签名的认证数据的传输。
在收到经签名的认证数据时，在步骤1110，证实方对等节点1000可使用与该群成员对等节点相关联的公钥来验证该认证数据的签名。与群成员对等节点相关联的公钥可要么是从该因对等方而异的证书获得的（若其中包括该公钥）、要么是使用随该因对等方而异的证书所包括的群成员对等节点的身份从对等覆盖网络获得的。例如，群成员对等节点的身份可被用于获得该群成员对等节点的节点证书，该节点证书包括与该群成员对等节点相关联的公钥并且因该节点证书是由受信任权威机构颁发和签名而格外值得信任。例如，处理电路1002（例如，对等方及证书认证器模块1012）可采用群成员验证操作1008用来自该因对等方而异的证书的该群成员对等节点的公钥来验证该签名。根据各种实现，群成员验证操作1008可被适配成采用常规签名算法来验证该签名，诸如RSA签名算法、椭圆曲线签名算法、或任何其他已知的签名算法。
在步骤1112，证实方对等节点1000还可使用与在该因对等方而异的证书中发现的颁发装置的身份相关联的公钥来验证该因对等方而异的证书。例如，处理电路1002可使用该因对等方而异的证书中所包括的颁发装置的身份来检索与该颁发装置的身份相关联的公钥（例如，群管理员对等节点的公钥、或受信任权威机构的公钥）。利用该颁发装置的公钥，处理电路1002（例如，对等方及证书认证器模块1012）可采用因对等方而异的证书验证操作1010来验证随该因对等方而异的证书所包括的签名。根据各种实现，因对等方而异的证书验证操作1010可被适配成使用常规签名算法（诸如RSA签名算法、椭圆曲线签名算法、或任何其他已知的签名算法）来验证该签名。
在采用因对等方而异的群证书的实现中，证实方对等节点1000可从对等覆盖网络获得群令牌，如任选步骤1104中所解说的。例如，处理电路1002可采用该因对等方而异的群证书中的群身份来获得作为由该群身份来标识的数据对象被存储在对等覆盖网络中的群令牌。如先前所述，群令牌包括通过群管理员对等节点的私钥进行的签名。相应地，证实方对等节点1000可使用群管理员对等节点的公钥来验证该群令牌的签名，以证实该群管理员对等节点是群管理员和/或获授权颁发该因对等方而异的群证书，如任选步骤1106中解说的。
此外，在采用因对等方而异的群证书的实现中，证实方对等节点（例如，处理电路1002）可通过从对等覆盖网络获得群管理员对等节点的节点证书来检索群管理员对等节点的公钥。如本文中所述，对等节点的节点证书包括其相应的对等节点的公钥并且由受信任权威机构签名。
尽管群管理员对等节点和受信任权威机构已在本文中被描述为分开的设备，但是应注意，群管理员和受信任权威机构的角色可以是完全逻辑性的。相应地，在至少一些实现中，群管理员和受信任权威机构可包括驻留在同一物理设备上的两个代码片。在此类实现中，群管理员与受信任权威机构之间的通信和认证可被简化并且可依赖于编程API（应用编程接口）。
此外，本公开中的群概念可映射到对等覆盖网络中的服务，其中每个服务提供者可用作群管理员并且其中可以存在一个或多个受信任权威机构来服务所有服务提供者。在此类实现中，在每个对等节点加入群之前，服务提供者可要求来自每个对等节点的费用。受信任权威机构也可由与每个服务提供者有某种（某些）商业协定的企业实体来运作。
图1、2、3、4、5、6、7、8、9、10和/或11中解说的组件、步骤、特征和/或功能中的一个或多个可以被重新安排和/或组合成单个组件、步骤、特征或功能，或可以实施在数个组件、步骤、或功能中。还可添加更多的元件、组件、步骤、和/或功能而不会脱离本公开的范围。图1、3、6、8和/或10中解说的装置、设备、和/或组件可以被配置成执行图2、4、5、7、9和/或11中描述的方法、特征、或步骤中的一个或多个。本文中描述的新颖算法还可以高效地实现在软件中和/或嵌入在硬件中。
另外，注意到至少一些实现是作为被描绘为流图、流程图、结构图、或框图的过程来描述的。尽管流程图可能会把诸操作描述为顺序过程，但是这些操作中有许多能够并行或并发地执行。另外，这些操作的次序可以被重新安排。过程在其操作完成时终止。过程可以对应于方法、函数、规程、子例程、子程序等。当过程对应于函数时，其终止对应于该函数返回到调用方函数或主函数。
此外，各实施例可由硬件、软件、固件、中间件、微代码、或其任何组合来实现。当在软件、固件、中间件或微码中实现时，执行必要任务的程序代码或代码段可被存储在诸如存储介质之类的机器可读介质或其它存储中。处理器可以执行这些必要的任务。代码段可表示规程、函数、子程序、程序、例程、子例程、模块、软件包、类，或是指令、数据结构、或程序语句的任何组合。通过传递和/或接收信息、数据、自变量、参数、或存储器内容，一代码段可被耦合到另一代码段或硬件电路。信息、自变量、参数、数据等可以经由包括存储器共享、消息传递、令牌传递、网络传输等的任何合适的手段被传递、转发、或传输。
本文描述的各种处理电路602、802和1002一般被安排成获得、处理和/或发送数据，控制数据访问和存储，发布命令，以及控制其他期望操作。在至少一个实施例中，此类处理电路可包括配置成实现由恰适介质，诸如存储介质（例如，存储介质604、804、1004），提供的期望编程的电路系统。例如，处理电路可被实现为处理器、控制器、多个处理器和/或被配置成执行包括例如软件和/或固件指令的可执行指令的其他结构、和/或硬件电路系统中的一者或更多者。处理电路的实施例可包括被设计成执行本文中所描述的功能的通用处理器、数字信号处理器（DSP）、专用集成电路（ASIC）、现场可编程门阵列（FPGA）或其他可编程逻辑组件、分立的门或晶体管逻辑、分立的硬件组件、或其任何组合。通用处理器可以是微处理器，但在替换方案中，处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可以实现为计算组件的组合，诸如DSP与微处理器的组合、数个微处理器、与DSP核心协作的一个或多个微处理器、或任何其他此类配置。处理电路的这些示例是为了解说，并且本公开范围内的其他合适的配置也被构想。
本文描述的各种存储介质604、804和1004可各自表示用于存储诸如处理器可执行代码或指令（例如，软件、固件）、电子数据、数据库、或其他数字信息之类的编程和/或数据的一个或多个设备。存储介质可以是能被通用或专用处理器访问的任何可用介质。作为示例而非限定，存储介质可包括只读存储器（例如，ROM、EPROM、EEPROM）、随机存取存储器（RAM）、磁盘存储介质、光存储介质、闪存设备、和/或其他用于存储信息的非瞬态计算机可读介质。
术语“机器可读介质”、“计算机可读介质”、和/或“处理器可读介质”可包括，但不限于，便携或固定的存储设备、光学存储设备、以及能够存储、包含或携带指令和/或数据的各种其他非瞬态介质。因此，本文中描述的各种方法可部分或全部地由可存储在“机器可读介质”、“计算机可读介质”和/或“处理器可读介质”中并由一个或多个处理器、机器和/或设备执行的指令和/或数据来实现。
结合本文中公开的示例描述的方法或算法可直接在硬件中、在能由处理器执行的软件模块中、或在这两者的组合中以处理单元、编程指令、或其他指示的形式实施，并且可包含在单个设备中或跨多个设备分布。软件模块可驻留在RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动盘、CD-ROM、或本领域内已知的任何其他形式的存储介质中。存储介质可被耦合到处理器以使得该处理器能从/向该存储介质读取和写入信息。在替换方案中，存储介质可以被整合到处理器。
本领域技术人员将可进一步领会，结合本文中公开的实施例描述的各种解说性逻辑块、模块、电路、和算法步骤可被实现为电子硬件、计算机软件、或两者的组合。为清楚地解说硬件与软件的这一可互换性，各种解说性组件、框、模块、电路、和步骤在上面是以其功能性的形式作一般化描述的。此类功能性是被实现为硬件还是软件取决于具体应用和施加于整体系统的设计约束。
本文中所描述的实施例的各种特征可实现于不同系统中而不会脱离本公开的范围。应注意，以上实施例仅是示例，且并不应被解释成限定本公开。这些实施例的描述旨在解说，而并非旨在限定权利要求的范围。由此，本发明的教导可以现成地应用于其他类型的装置，并且许多替换、修改、和变形对于本领域技术人员将是显而易见的。

Claims (39)

1.一种群管理员对等节点，包括：
通信接口，其适配成促成对等覆盖网络上的通信；
存储介质，其包括与所述群管理员对等节点相关联的私钥和公钥对；以及耦合到所述通信接口和所述存储介质的处理电路，所述处理电路适配成：
创建对等群，所述群将一个或多个对等节点定义为所述群的成员；
向作为所述群的成员的群成员对等节点指派因对等方而异的证书，所述因对等方而异的证书适配成向所述对等覆盖网络中的其他对等节点认证在所述群中的成员关系，并且包括群身份、所述群成员对等节点的身份、与所述群成员对等节点相关联的公钥，颁发装置的身份、以及通过所述颁发装置的私钥在所述因对等方而异的证书的一个或多个组成部分上的签名；以及
获取群令牌，所述群令牌适配成向所述对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书。
2.如权利要求1所述的群管理员对等节点，其特征在于，所述存储介质进一步包括由受信任权威机构颁发的、或由所述群管理员对等节点自己签名的所述群管理员对等节点的节点证书。
3.如权利要求1所述的群管理员对等节点，其特征在于，所述因对等方而异的证书适配成一旦使用与所述群成员对等节点相关联的公钥来验证了所述群成员对等节点、并且一旦使用与所述因对等方而异的证书中的所述颁发装置的身份相关联的公钥来验证了所述因对等方而异的证书就向所述对等覆盖网络中的其他对等节点认证所述群成员对等节点的群成员关系。
4.如权利要求1所述的群管理员对等节点，其特征在于，所述处理电路进一步适配成：
向所述群成员对等节点颁发因对等方而异的群证书，所述因对等方而异的群证书包括所述群身份、所述群成员对等节点的身份、所述群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名。
5.如权利要求4所述的群管理员对等节点，其特征在于，所述处理电路适配成通过以下操作来向所述群成员对等节点颁发所述因对等方而异的群证书：
为所述群成员对等节点生成所述因对等方而异的群证书；以及
经由所述通信接口将所述因对等方而异的群证书发送给所述群成员对等节点。
6.如权利要求4所述的群管理员对等节点，其特征在于，所述处理电路进一步适配成：
将所述群令牌生成为用所述群管理员对等节点的私钥来签名的令牌；以及
将所述群令牌作为由所述因对等方而异的群证书中所包括的所述群身份来标识的数据对象存储在所述对等覆盖网络中。
7.如权利要求1所述的群管理员对等节点，其特征在于，所述处理电路适配成通过向受信任权威机构发送请求以向所述群成员对等节点颁发因对等方而异的节点证书来向所述群成员对等节点指派所述因对等方而异的证书，所述因对等方而异的节点证书包括所述群身份、所述群成员对等节点的身份、所述受信任权威机构的身份、以及通过所述受信任权威机构的私钥在所述因对等方而异的节点证书的一个或多个组成部分上的签名。
8.一种在群管理员对等节点中操作的方法，包括：
获得与所述群管理员对等节点相关联的公钥和私钥对；
在对等覆盖网络中创建对等群，所述群将一个或多个对等节点定义为所述群的成员；
向作为所述群的成员的群成员对等节点指派因对等方而异的证书，所述因对等方而异的证书适配成向所述对等覆盖网络中的其他对等节点认证在所述群中的成员关系，并且包括群身份、所述群成员对等节点的身份、与所述群成员对等节点相关联的公钥、颁发装置的身份、以及通过所述颁发装置的私钥在所述因对等方而异的证书的一个或多个组成部分上的签名；以及
获取群令牌，所述群令牌适配成向所述对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书。
9.如权利要求8所述的方法，其特征在于，所述因对等方而异的证书适配成一旦使用与所述群成员对等节点相关联的公钥来验证了所述群成员对等节点、并且一旦使用与所述因对等方而异的证书中的所述颁发装置的身份相关联的公钥来验证了所述因对等方而异的证书就向所述对等覆盖网络中的其他对等节点认证所述群成员对等节点的群成员关系。
10.如权利要求8所述的方法，其特征在于，向所述群成员对等节点指派所述因对等方而异的证书包括：
向所述群成员对等节点颁发因对等方而异的群证书，所述因对等方而异的群证书包括所述群身份、所述群成员对等节点的身份、所述群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名。
11.如权利要求10所述的方法，其特征在于，向所述群成员对等节点颁发所述因对等方而异的群证书包括：
为所述群成员对等节点生成所述因对等方而异的群证书；以及
将所述因对等方而异的群证书发送给所述群成员对等节点。
12.如权利要求10所述的方法，其特征在于，进一步包括：
生成用所述群管理员对等节点的私钥来签名的群令牌；以及
将所述群令牌作为由所述因对等方而异的群证书中所包括的所述群身份来标识的数据对象存储在所述对等覆盖网络中。
13.如权利要求8所述的方法，其特征在于，向所述群成员对等节点指派所述因对等方而异的证书包括：
向受信任权威机构发送请求以向所述群成员对等节点颁发因对等方而异的节点证书，所述因对等方而异的节点证书包括所述群身份、所述群成员对等节点的身份、所述受信任权威机构的身份、以及通过所述受信任权威机构的私钥在所述因对等方而异的节点证书的一个或多个组成部分上的签名。
14.一种群管理员对等节点，包括：
用于获得与所述群管理员对等节点相关联的公钥和私钥对的装置；
用于在对等覆盖网络中创建对等群的装置，所述群将一个或多个对等节点定义为所述群的成员；
用于向作为所述群的成员的群成员对等节点指派因对等方而异的证书的装置，所述因对等方而异的证书适配成向所述对等覆盖网络中的其他对等节点认证在所述群中的成员关系，并且包括群身份、所述群成员对等节点的身份、与所述群成员对等节点相关联的公钥、颁发装置的身份、以及通过所述颁发装置的私钥在所述因对等方而异的证书的一个或多个组成部分上的签名；
用于获取群令牌的装置，所述群令牌适配成向所述对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书。
15.如权利要求14所述的群管理员对等节点，其特征在于，所述用于获取所述群令牌的装置进一步包括：
用于将所述群令牌生成为用所述群管理员对等节点的私钥来签名的令牌的装置；以及
用于将所述群令牌作为由所述因对等方而异的证书中所包括的所述群身份来标识的数据对象存储在所述对等覆盖网络中的装置。
16.一种在群管理员对等节点上操作的装置，包括：
用于获得与所述群管理员对等节点相关联的公钥和私钥对的电路系统；
用于在对等覆盖网络中创建对等群，所述群将一个或多个对等节点定义为所述群的成员的电路系统；以及
用于向作为所述群的成员的群成员对等节点指派因对等方而异的证书的电路系统，所述因对等方而异的证书适配成向所述对等覆盖网络中的其他对等节点认证在所述群中的成员关系，并且包括群身份、所述群成员对等节点的身份、与所述群成员对等节点相关联的公钥、颁发装置的身份、以及通过所述颁发装置的私钥在所述因对等方而异的证书的一个或多个组成部分上的签名；
用于获取群令牌的装置，所述群令牌适配成向所述对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书。
17.如权利要求16所述的装置，其特征在于，进一步包括：
用于将所述群令牌生成为用所述群管理员对等节点的私钥来签名的令牌的电路系统以及
用于将所述群令牌作为由所述因对等方而异的群证书中所包括的所述群身份来标识的数据对象存储在所述对等覆盖网络中的电路系统。
18.一种群成员对等节点，包括：
通信接口，其适配成促成对等覆盖网络上的通信；
存储介质，其包括与所述群成员对等节点相关联的私钥和公钥对；以及耦合到所述通信接口和所述存储介质的处理电路，所述处理电路适配成：
经由所述通信接口从群管理员对等节点接收向所述群成员对等节点颁发的因对等方而异的群证书，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、所述群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名，所述因对等方而异的群证书包括标识适配成向所述对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书的群令牌的信息；
经由所述通信接口将所述因对等方而异的群证书发送给证实方对等节点以认证所述群成员对等节点为群成员，其中所述因对等方而异的群证书适配成由所述证实方对等节点来认证；以及
经由所述通信接口将认证数据发送给所述证实方对等节点，所述认证数据是使用与所述群成员对等节点相关联的私钥来签名的。
19.如权利要求18所述的对等节点，其特征在于，所述因对等方而异的群证书适配成由所述证实方对等节点通过如下方式来认证：使用与所述群成员对等节点相关联的公钥来验证经签名的认证数据、以及使用与所述群管理员对等节点相关联的公钥来验证所述因对等方而异的群证书。
20.如权利要求18所述的对等节点，其特征在于，所述因对等方而异的群证书中的所述群身份适配成定位作为由所述群身份来标识的数据对象被存储在所述对等覆盖网络中的所述群令牌。
21.如权利要求18所述的对等节点，其特征在于，所述处理电路进一步适配成：
向所述群管理员对等节点发送对群成员关系的请求，其中所述因对等方而异的群证书是响应于发送所述请求而由所述群管理员对等节点颁发的。
22.一种在群成员对等节点中操作的方法，包括：
获得与所述群成员对等节点相关联的公钥和私钥对；
从群管理员对等节点接收向所述群成员对等节点颁发的因对等方而异的群证书，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、所述群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名，所述因对等方而异的群证书包括标识适配成向对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书的群令牌的信息；
将所述因对等方而异的群证书发送给证实方对等节点以认证所述群成员对等节点为群成员，其中所述因对等方而异的群证书适配成由所述证实方对等节点来认证；以及
将认证数据发送给所述证实方对等节点，所述认证数据是使用与所述群成员对等节点相关联的私钥来签名的。
23.如权利要求22所述的方法，其特征在于，所述因对等方而异的群证书适配成由所述证实方对等节点通过如下方式来认证：使用与所述群成员对等节点相关联的公钥来验证经签名的认证数据、以及使用与所述群管理员对等节点相关联的公钥来验证所述因对等方而异的证书。
24.如权利要求22所述的方法，其特征在于，接收包括所述群身份的所述因对等方而异的群证书包括：
接收包括群身份的所述因对等方而异的群证书，所述群身份适配成定位作为由所述群身份来标识的数据对象被存储在所述对等覆盖网络中的所述群令牌。
25.如权利要求22所述的方法，其特征在于，进一步包括：
向所述群管理员对等节点发送对群成员关系的请求，其中所述因对等方而异的群证书是响应于发送所述请求而由所述群管理员对等节点颁发的。
26.一种群成员对等节点，包括：
用于获得与所述群成员对等节点相关联的公钥和私钥对的装置；
用于从群管理员对等节点接收向所述群成员对等节点颁发的因对等方而异的群证书的装置，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、所述群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名，所述因对等方而异的群证书包括标识适配成向对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书的群令牌的信息；
用于将所述因对等方而异的群证书发送给证实方对等节点以认证所述群成员对等节点为群成员的装置，其中所述因对等方而异的群证书适配成由所述证实方对等节点来认证；以及
用于将认证数据发送给所述证实方对等节点的装置，所述认证数据是使用所述群成员对等节点的私钥来签名的。
27.一种在群成员对等节点上操作的装置，包括：
用于获得与所述群成员对等节点相关联的公钥和私钥对的电路系统；
用于从群管理员对等节点接收向所述群成员对等节点颁发的因对等方而异的群证书的电路系统，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、所述群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名，所述因对等方而异的群证书包括标识适配成向对等覆盖网络中的其他对等节点认证所述群管理员对等节点获授权向所述群成员对等节点颁发所述因对等方而异的群证书的群令牌的信息；
用于将所述因对等方而异的群证书发送给证实方对等节点以认证所述群成员对等节点为群成员的电路系统，其中所述因对等方而异的群证书适配成由所述证实方对等节点来认证；以及
用于将认证数据发送给所述证实方对等节点的电路系统，所述认证数据是使用所述群成员对等节点的私钥来签名的。
28.一种证实方对等节点，包括：
通信接口，其适配成促成对等覆盖网络上的通信；
耦合到所述通信接口的处理电路，所述处理电路适配成：
经由所述通信接口从寻求认证为群的成员的群成员对等节点接收因对等方而异的群证书，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名；
从所述对等覆盖网络获得群令牌，所述群令牌包括通过所述群管理员对等节点的私钥进行的签名，其中所述群令牌作为由所述群身份来标识的数据对象被存储在所述对等覆盖网络中；
使用与所述群管理员对等节点相关联的公钥来验证所述群令牌的所述签名，以证实所述群管理员对等节点获授权颁发所述因对等方而异的群证书；以及
使用与所述群管理员对等节点相关联的公钥来验证所述因对等方而异的群证书。
29.如权利要求28所述的对等节点，其特征在于，所述处理电路适配成：
从所述群管理员对等节点的节点证书获得与所述群管理员对等节点相关联的公钥，其中所述节点证书包括与所述群管理员对等节点相关联的公钥、受信任权威机构的身份、以及通过所述受信任权威机构的私钥进行的签名。
30.如权利要求28所述的对等节点，其特征在于，所述处理电路进一步适配成：
经由所述通信接口从所述群成员对等节点接收认证数据，其中所述认证数据是通过与所述群成员对等节点相关联的私钥来签名的；以及
使用从所述因对等方而异的群证书获得的或利用在所述因对等方而异的群证书中的所述群成员对等节点的身份从所述对等覆盖网络获得的、与所述群成员对等节点相关联的公钥来验证经签名的认证数据。
31.如权利要求28所述的对等节点，其特征在于，进一步包括：
耦合至所述处理电路的存储介质，所述存储介质包括所述群成员对等节点正在请求作为所述群的成员来访问的数据对象。
32.一种在证实方对等节点中操作的方法，包括：
从寻求认证为群的成员的群成员对等节点接收因对等方而异的群证书，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名；
从对等覆盖网络获得群令牌，所述群令牌包括通过所述群管理员对等节点的私钥进行的签名，其中所述群令牌作为由所述群身份来标识的数据对象被存储在所述对等覆盖网络中；
使用与所述群管理员对等节点相关联的公钥来验证所述群令牌的所述签名，以证实所述群管理员对等节点获授权颁发所述因对等方而异的群证书；以及
使用与所述群管理员对等节点相关联的公钥来验证所述因对等方而异的群证书。
33.如权利要求32所述的方法，其特征在于，进一步包括：
从所述群管理员对等节点的节点证书获得与所述群管理员对等节点相关联的公钥，其中所述群管理员对等节点的所述节点证书包括与所述群管理员对等节点相关联的公钥、受信任权威机构的身份、以及通过所述受信任权威机构的私钥在所述节点证书的一个或多个组成部分上的签名。
34.如权利要求32所述的方法，其特征在于，进一步包括：
从所述群成员对等节点接收认证数据，其中所述认证数据是通过与所述群成员对等节点相关联的私钥来签名的；以及
使用从所述因对等方而异的群证书获得的或从所述对等覆盖网络获得的、与所述群成员对等节点相关联的公钥来验证经签名的认证数据。
35.如权利要求32所述的方法，其特征在于，进一步包括：
从所述群成员对等节点接收对访问存储在所述证实方对等节点处的数据对象的请求，其中对所述数据对象的访问限于群成员。
36.一种证实方对等节点，包括：
用于从寻求认证为群的成员的群成员对等节点接收因对等方而异的群证书的装置，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名；
用于从对等覆盖网络获得群令牌的装置，所述群令牌包括通过所述群管理员对等节点的私钥进行的签名，其中所述群令牌作为由所述群身份来标识的数据对象被存储在所述对等覆盖网络中；
用于使用与所述群管理员对等节点相关联的公钥来验证所述群令牌的所述签名，以证实所述群管理员对等节点获授权颁发所述因对等方而异的群证书的装置；以及
用于使用与所述群管理员对等节点相关联的公钥来验证所述因对等方而异的群证书的装置。
37.如权利要求36所述的证实方对等节点，其特征在于，进一步包括：
用于从所述群成员对等节点接收认证数据的装置，其中所述认证数据是通过与所述群成员对等节点相关联的私钥来签名的；以及
用于使用从所述因对等方而异的群证书获得的或从所述对等覆盖网络获得的、与所述群成员对等节点相关联的公钥来验证经签名的认证数据的装置。
38.一种在证实方对等节点上操作的指令的装置，包括：
用于从寻求认证为群的成员的群成员对等节点接收因对等方而异的群证书的电路系统，所述因对等方而异的群证书包括群身份、所述群成员对等节点的身份、群管理员对等节点的身份、以及通过所述群管理员对等节点的私钥在所述因对等方而异的群证书的一个或多个组成部分上的签名；
用于从对等覆盖网络获得群令牌的电路系统，所述群令牌包括通过所述群管理员对等节点的私钥进行的签名，其中所述群令牌作为由所述群身份来标识的数据对象被存储在所述对等覆盖网络中；
用于使用与所述群管理员对等节点相关联的公钥来验证所述群令牌的所述签名，以证实所述群管理员对等节点获授权颁发所述因对等方而异的群证书的电路系统；以及
用于使用与所述群管理员对等节点相关联的公钥来验证所述因对等方而异的群证书的电路系统。
39.如权利要求38所述的装置，其特征在于，进一步包括：
用于从所述群成员对等节点接收认证数据的电路系统，其中所述认证数据是通过与所述群成员对等节点相关联的私钥来签名的；以及
用于使用从所述因对等方而异的群证书获得的或从所述对等覆盖网络获得的、与所述群成员对等节点相关联的公钥来验证经签名的认证数据的电路系统。
CN201280031422.4A 2011-06-30 2012-06-29 促成对等覆盖网络中对数据对象的群访问控制 Expired - Fee Related CN103621040B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/174,532 US8874769B2 (en) 2011-06-30 2011-06-30 Facilitating group access control to data objects in peer-to-peer overlay networks
US13/174,532 2011-06-30
PCT/US2012/045060 WO2013003783A1 (en) 2011-06-30 2012-06-29 Facilitating group access control to data objects in peer- to-peer overlay networks

Publications (2)

Publication Number Publication Date
CN103621040A CN103621040A (zh) 2014-03-05
CN103621040B true CN103621040B (zh) 2016-12-07

Family

ID=46545482

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280031422.4A Expired - Fee Related CN103621040B (zh) 2011-06-30 2012-06-29 促成对等覆盖网络中对数据对象的群访问控制

Country Status (6)

Country Link
US (1) US8874769B2 (zh)
EP (1) EP2727311A1 (zh)
JP (1) JP5944501B2 (zh)
KR (1) KR101553491B1 (zh)
CN (1) CN103621040B (zh)
WO (1) WO2013003783A1 (zh)

Families Citing this family (51)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8443191B2 (en) 2007-04-09 2013-05-14 Objective Interface Systems, Inc. System and method for accessing information resources using cryptographic authorization permits
US8380981B2 (en) * 2008-05-16 2013-02-19 Objective Interface Systems, Inc. System and method that uses cryptographic certificates to define groups of entities
US8880880B2 (en) * 2011-07-29 2014-11-04 Qualcomm Incorporated Facilitating access control in peer-to-peer overlay networks
US10038679B2 (en) * 2012-12-24 2018-07-31 Intel Corporation Centralized secure device pairing
US10075519B2 (en) * 2013-01-10 2018-09-11 Telefonaktiebolaget Lm Ericsson (Publ) Connection mechanism for energy-efficient peer-to-peer networks
US9100175B2 (en) 2013-11-19 2015-08-04 M2M And Iot Technologies, Llc Embedded universal integrated circuit card supporting two-factor authentication
US9350550B2 (en) 2013-09-10 2016-05-24 M2M And Iot Technologies, Llc Power management and security for wireless modules in “machine-to-machine” communications
US9288672B2 (en) 2013-09-23 2016-03-15 Qualcomm Incorporated Method for configuring a remote station with a certificate from a local root certificate authority for securing a wireless network
US10498530B2 (en) 2013-09-27 2019-12-03 Network-1 Technologies, Inc. Secure PKI communications for “machine-to-machine” modules, including key derivation by modules and authenticating public keys
KR102398221B1 (ko) * 2013-10-30 2022-05-16 삼성전자주식회사 무선 직접통신 네트워크에서 비대칭 키를 사용하여 아이덴티티를 검증하기 위한 방법 및 장치
US10700856B2 (en) 2013-11-19 2020-06-30 Network-1 Technologies, Inc. Key derivation for a module using an embedded universal integrated circuit card
EP3105888B1 (en) * 2014-02-14 2020-05-06 Intertrust Technologies Corporation Network security systems and methods
US9853977B1 (en) 2015-01-26 2017-12-26 Winklevoss Ip, Llc System, method, and program product for processing secure transactions within a cloud computing system
WO2016163836A1 (ko) * 2015-04-10 2016-10-13 김태정 서버와 클라이언트의 동작 방법, 서버, 및 클라이언트 장치
US10009359B2 (en) 2015-06-09 2018-06-26 Intel Corporation System, apparatus and method for transferring ownership of a device from manufacturer to user using an embedded resource
WO2017004466A1 (en) 2015-06-30 2017-01-05 Visa International Service Association Confidential authentication and provisioning
US11290879B2 (en) 2015-07-02 2022-03-29 Telefonaktiebolaget Lm Ericsson (Publ) Method for obtaining initial access to a network, and related wireless devices and network nodes
US20170288866A1 (en) * 2016-03-30 2017-10-05 AVAST Software s.r.o. Systems and methods of creating a distributed ring of trust
JP6746427B2 (ja) * 2016-08-10 2020-08-26 キヤノン株式会社 通信装置、通信方法、及びプログラム
US10284378B2 (en) * 2016-10-05 2019-05-07 The Toronto-Dominion Bank Certificate authority master key tracking on distributed ledger
US10540652B2 (en) * 2016-11-18 2020-01-21 Intel Corporation Technology for secure partitioning and updating of a distributed digital ledger
US11025596B1 (en) * 2017-03-02 2021-06-01 Apple Inc. Cloud messaging system
EP3465578B1 (en) * 2017-06-07 2019-07-24 Nchain Holdings Limited Methods and systems to establish trusted peer-to-peer communications between nodes in a blockchain network
CN107566337B (zh) 2017-07-26 2019-08-09 阿里巴巴集团控股有限公司 一种区块链节点间的通信方法及装置
CN107360248B (zh) 2017-07-31 2020-08-25 众安信息技术服务有限公司 用于配置局部共识的方法和装置及计算机可读存储介质
EP3619886A4 (en) 2017-08-18 2020-04-29 Samsung Electronics Co., Ltd. METHOD AND APPARATUS FOR BOARDING IN AN IOT NETWORK
US11374754B2 (en) * 2017-09-07 2022-06-28 Visa International Service Association System and method for generating trust tokens
US9967238B1 (en) * 2017-11-09 2018-05-08 Broadridge Financial Solutions, Inc. Database-centered computer network systems and computer-implemented methods for cryptographically-secured distributed data management
KR102025989B1 (ko) * 2017-11-21 2019-09-26 순천향대학교 산학협력단 IoT 경량단말 환경에서 프록시 재암호화 기반의 데이터 관리 방법 및 시스템
US10686844B2 (en) 2018-01-17 2020-06-16 International Business Machines Corporation Trusted group identification code
CN109547206B (zh) * 2018-10-09 2020-11-06 深圳壹账通智能科技有限公司 数字证书的处理方法及相关装置
CN109992953A (zh) * 2019-02-18 2019-07-09 深圳壹账通智能科技有限公司 区块链上的数字证书签发、验证方法、设备、系统及介质
US11283623B1 (en) * 2019-06-03 2022-03-22 Wells Fargo Bank, N.A. Systems and methods of using group functions certificate extension
CN112039821B (zh) * 2019-06-03 2022-09-27 本无链科技(深圳)有限公司 一种基于区块链的群组内私密消息交换方法及系统
US11695543B2 (en) * 2019-08-22 2023-07-04 Myndshft Technologies, Inc. Blockchain network control system and methods
US10839060B1 (en) * 2019-08-27 2020-11-17 Capital One Services, Llc Techniques for multi-voice speech recognition commands
US11038699B2 (en) * 2019-08-29 2021-06-15 Advanced New Technologies Co., Ltd. Method and apparatus for performing multi-party secure computing based-on issuing certificate
KR102219277B1 (ko) * 2019-09-03 2021-02-23 구글 엘엘씨 인증된 컨텐츠 전달 제어를 위한 시스템 및 방법
US11595369B2 (en) * 2019-11-08 2023-02-28 Seagate Technology Llc Promoting system authentication to the edge of a cloud computing network
US11398916B1 (en) 2019-12-18 2022-07-26 Wells Fargo Bank, N.A. Systems and methods of group signature management with consensus
US11483162B1 (en) 2019-12-18 2022-10-25 Wells Fargo Bank, N.A. Security settlement using group signatures
US11611442B1 (en) 2019-12-18 2023-03-21 Wells Fargo Bank, N.A. Systems and applications for semi-anonymous communication tagging
CN110912696B (zh) * 2019-12-26 2022-08-30 成都三零瑞通移动通信有限公司 一种适用于即时群组的快速身份认证方法及系统
WO2021219769A1 (en) * 2020-04-29 2021-11-04 Nahra Loui Methods, server and mobile entity for managing access to a service
US11463250B2 (en) 2020-12-14 2022-10-04 Kyndryl, Inc. Sharing data among different service providers at edge level through collaboration channels
CN112636929B (zh) * 2020-12-29 2023-01-17 北京百度网讯科技有限公司 群组业务实现方法、装置、设备和存储介质
JP7517177B2 (ja) * 2021-01-28 2024-07-17 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム
US20220286295A1 (en) * 2021-03-08 2022-09-08 Bloom Protocol, Llc Systems, methods, and storage media for selective graph-based disclosure of a computer data structure
JP2022151953A (ja) * 2021-03-29 2022-10-12 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システム及び情報処理プログラム
CN114172668B (zh) * 2022-02-10 2022-07-05 亿次网联(杭州)科技有限公司 一种基于数字证书的群成员管理方法和系统
CN115022090B (zh) * 2022-08-04 2022-12-16 亿次网联(杭州)科技有限公司 一种数据分享方法、系统、电子设备和计算机存储介质

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6754829B1 (en) 1999-12-14 2004-06-22 Intel Corporation Certificate-based authentication system for heterogeneous environments
US7383433B2 (en) * 2001-07-31 2008-06-03 Sun Microsystems, Inc. Trust spectrum for certificate distribution in distributed peer-to-peer networks
US7068789B2 (en) * 2001-09-19 2006-06-27 Microsoft Corporation Peer-to-peer name resolution protocol (PNRP) group security infrastructure and method
US7051102B2 (en) * 2002-04-29 2006-05-23 Microsoft Corporation Peer-to-peer name resolution protocol (PNRP) security infrastructure and method
US8108455B2 (en) * 2002-10-31 2012-01-31 Oracle America, Inc. Mobile agents in peer-to-peer networks
JP2004171274A (ja) * 2002-11-20 2004-06-17 Ntt Data Corp 分散型認証システム及び分散型認証プログラム
US7613812B2 (en) * 2002-12-04 2009-11-03 Microsoft Corporation Peer-to-peer identity management interfaces and methods
US20040260701A1 (en) 2003-05-27 2004-12-23 Juha Lehikoinen System and method for weblog and sharing in a peer-to-peer environment
US7397922B2 (en) 2003-06-27 2008-07-08 Microsoft Corporation Group security
US20050063563A1 (en) 2003-09-23 2005-03-24 Soliman Samir S. System and method for geolocation using imaging techniques
US7860243B2 (en) 2003-12-22 2010-12-28 Wells Fargo Bank, N.A. Public key encryption for groups
DE102004004606A1 (de) 2004-01-29 2005-08-25 Siemens Ag Schaltungsanordnung und Verfahren zur Kommunikationssicherheit innerhalb von Kommunikationsnetzen
US20050177715A1 (en) 2004-02-09 2005-08-11 Microsoft Corporation Method and system for managing identities in a peer-to-peer networking environment
US7478120B1 (en) * 2004-04-27 2009-01-13 Xiaohai Zhang System and method for providing a peer indexing service
KR100759489B1 (ko) * 2004-11-18 2007-09-18 삼성전자주식회사 이동통신망에서 공개키 기반구조를 이용한 아이피보안터널의 보안 방법 및 장치
JP4701706B2 (ja) 2004-12-22 2011-06-15 富士ゼロックス株式会社 情報処理装置、方法、及びプログラム
JP2006268573A (ja) * 2005-03-24 2006-10-05 Fuji Xerox Co Ltd 情報処理装置
WO2007055054A1 (ja) * 2005-11-08 2007-05-18 Sony Computer Entertainment Inc. データ通信方法、コンピュータ及び情報記憶媒体
US8041942B2 (en) * 2006-09-05 2011-10-18 Panasonic Corporation Robust peer-to-peer networks and methods of use thereof
JP5144685B2 (ja) * 2007-02-12 2013-02-13 テレフオンアクチーボラゲット エル エム エリクソン（パブル） 移動ネットワークにおけるシグナリング委任
CN101267303B (zh) * 2007-03-13 2012-07-04 中兴通讯股份有限公司 服务节点间的通信方法
US8560732B2 (en) * 2008-02-19 2013-10-15 Red Hat, Inc. Peer-to-peer object distribution
CN101600200B (zh) * 2008-06-02 2012-10-17 华为技术有限公司 异构网络间切换的方法、移动节点及认证接入点
US8281023B2 (en) * 2008-11-14 2012-10-02 Qualcomm Incorporated Systems and methods for data authorization in distributed storage networks
US10764748B2 (en) * 2009-03-26 2020-09-01 Qualcomm Incorporated Apparatus and method for user identity authentication in peer-to-peer overlay networks
CN101635922B (zh) * 2009-08-20 2011-08-31 上海交通大学 无线网状网络安全通信方法

Also Published As

Publication number Publication date
US20130007442A1 (en) 2013-01-03
EP2727311A1 (en) 2014-05-07
CN103621040A (zh) 2014-03-05
JP2014526171A (ja) 2014-10-02
JP5944501B2 (ja) 2016-07-05
US8874769B2 (en) 2014-10-28
KR20140026619A (ko) 2014-03-05
WO2013003783A1 (en) 2013-01-03
KR101553491B1 (ko) 2015-09-15

Similar Documents

Publication Publication Date Title
CN103621040B (zh) 促成对等覆盖网络中对数据对象的群访问控制
US12008561B2 (en) System for verification of pseudonymous credentials for digital identities with managed access to personal data on trust networks
CN104160653B (zh) 用于提供多因素数字安全证书的方法、装置、介质和设备
Sánchez et al. Enhancing privacy and dynamic federation in IdM for consumer cloud computing
CN105659558B (zh) 计算机实现的方法、授权服务器以及计算机可读存储器
US7818576B2 (en) User controlled anonymity when evaluating into a role
CN103843299B (zh) 促成对等覆盖网络中的访问控制的方法和系统
CN111316303A (zh) 用于基于区块链的交叉实体认证的系统和方法
US9037849B2 (en) System and method for managing network access based on a history of a certificate
CN111213350A (zh) 用于创建去中心化标识的系统和方法
CN111213147A (zh) 用于基于区块链的交叉实体认证的系统和方法
JP6082015B2 (ja) パラメータベースのキー導出
US7512782B2 (en) Method and system for using a web service license
Basney et al. CILogon: A federated X. 509 certification authority for cyberinfrastructure logon
KR20140018362A (ko) 소셜 네트워크 기반의 ｐｋｉ 인증
AU2017275376B2 (en) Method and apparatus for issuing a credential for an incident area network
US20170104748A1 (en) System and method for managing network access with a certificate having soft expiration
Forné et al. Pervasive authentication and authorization infrastructures for mobile users
Mukta et al. Credtrust: Credential based issuer management for trust in self-sovereign identity
Kavassalis Designing an academic electronic identity management system for student mobility using eidas eid and self-sovereign identity technologies
US11664987B2 (en) Updating public key certificates in network devices using a blockchain network
US7747850B1 (en) Automated, internet-based secure digital certificate distribution and maintenance
KR100857991B1 (ko) 선택적 익명 인증서 서비스 제공방법 및 시스템
US11539533B1 (en) Access control using a circle of trust
Vullings et al. Secure federated authentication and authorisation to grid portal applications using saml and xacml

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20161207

Termination date: 20190629