CN105577623B - 一种联网终端安全域建立的方法及系统 - Google Patents

Abstract

本发明公开了一种联网终端安全域建立的方法及系统，包括：第一安全域中的第一终端节点与第二安全域中的第二终端节点进行新域配置协商。在完成新域配置协商后，第一终端节点和第二终端节点分别向各自所在的安全域中的其它终端节点发送域配置更新指令。第一安全域和第二安全域中的其它终端节点完成配置更新，使全部终端节点都加入新的安全域中。通过本发明的方法及系统，组网节点能够通过非加密通道完成与外来域的域配置协商，通过加密通道侦听并完成当前域的域配置更新，将两个不同域中的所有节点同时划分到一个新的安全域中，新建域的操作简便、灵活，并且能够减少终端节点的信令交互开销，减少出错率，使建立安全域的过程高效、安全、可靠。

Description

一种联网终端安全域建立的方法及系统

技术领域

本发明涉及宽带通信技术领域，尤其涉及一种联网终端安全域建立的方法及系统。

背景技术

随着信息技术的发展，家庭宽带的带宽越来越高。很多宽带用户家庭的布线并不充分，成为电信业务部署的瓶颈。为提高电信业务在用户家庭的覆盖能力，基于新型家庭联网终端的家庭组网技术将被广泛使用。安全域是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络。安全域划分是保证网络及基础设施稳定正常的基础，也是保障业务信息安全的基础。安全域设计方法采用同构性简化方法，基本思路是认为一个复杂的网络应当是由一些相通的网络结构元所组成，这些网络结构元以拼接、递归等方式构造出一个大的网络。

目前，安全域是联网终端子网划分的手段，不同安全域内的终端采用不同的加密密钥以确保数据安全。随着联网终端应用的普及，很多场景需要用户在已有的2个安全域基础上建立新的安全域。但是，现有的技术方案需要用户终端依次操作原有安全域中的每个节点，建立安全域的过程比较复杂，并且当安全域中的终端发生变化时操作也很复杂。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种联网终端安全域建立的方法，能够将不同域中的所有节点同时划分到一个新的安全域中。

一种联网终端安全域建立的方法，包括：第一安全域中的第一终端节点与第二安全域中的第二终端节点进行新域配置协商；在完成新域配置协商后，所述第一终端节点和所述第二终端节点分别向各自所在的安全域中的其它终端节点发送域配置更新指令；所述第一安全域和所述第二安全域中的其它终端节点完成配置更新，使所述第一安全域和所述第二安全域中的全部终端节点都加入新的安全域中。

根据本发明的一个实施例，进一步的，所述第一终端节点与所述第二终端节点通过非加密通道进行新域配置协商；所述第一安全域和所述第二安全域中的其它终端节点侦听本域中节点在加密通道上发送的域配置更新指令；所述第一终端节点与所述第二终端节点通过加密通道分别向各自所在的安全域中的其它终端节点发送域配置更新指令。

根据本发明的一个实施例，进一步的，所述加密通道采用的加密算法包括：DES、AES、RSA；所述域配置更新指令包括：新域名称、新域ID、密钥。

根据本发明的一个实施例，进一步的，当所述第一终端节点和所述第二终端节点接收到用户发送的域建立指令时，所述第一终端节点和所述第二终端节点分别开启时间窗，并发布域配置广播；在所述时间窗内，所述第一终端节点和所述第二终端节点在所述非加密通道侦听来自本身所在安全域外的消息。

根据本发明的一个实施例，进一步的，所述域配置广播采用的报文包括：HTTP、SOAP、二进制数据报文；所述域配置广播中携带的信息包括：收到域建立指令、开放注册状态、超时时间。

根据本发明的一个实施例，进一步的，当所述第一终端节点在所述非加密通道上接收到所述第二终端节点发送所述域配置广播时，通过所述非加密通道向所述第二终端节点发送域配置协商指令；所述第二终端节点通过所述非加密通道向所述第一终端节点返回域配置协商确认指令；所述第一终端节点通过所述非加密通道向所述第二终端节点发送新域配置消息；所述第二终端节点通过所述非加密通道返回新域配置确认消息，所述第一终端节点和所述第二终端节点完成新域的配置。

根据本发明的一个实施例，进一步的，所述域配置协商指令和所述域配置协商确认指令采用的报文包括：HTTP、SOAP、二进制数据报文。

本发明要解决的一个技术问题是提供一种联网终端安全域建立的系统，能够将不同域中的所有节点同时划分到一个新的安全域中。

一种联网终端安全域建立的系统，包括：第一安全域、属于所述第一安全域的多个终端节点、第二安全域、属于所述第二安全域的多个终端节点；第一安全域中的第一终端节点与第二安全域中的第二终端节点进行新域配置协商；在完成新域配置协商后，所述第一终端节点和所述第二终端节点分别向各自所在的安全域中的其它终端节点发送域配置更新指令；所述第一安全域和所述第二安全域中的其它终端节点完成配置更新，使所述第一安全域和所述第二安全域中的全部终端节点都加入新的安全域中。

根据本发明的一个实施例，进一步的，所述第一终端节点与所述第二终端节点通过非加密通道进行新域配置协商；所述第一安全域和所述第二安全域中的其它终端节点侦听本域中节点在加密通道上发送的域配置更新指令；所述第一终端节点与所述第二终端节点通过加密通道分别向各自所在的安全域中的其它终端节点发送域配置更新指令。

根据本发明的一个实施例，进一步的，所述加密通道采用的加密算法包括：DES、AES、RSA；所述域配置更新指令包括：新域名称、新域ID、密钥。

根据本发明的一个实施例，进一步的，当所述第一终端节点和所述第二终端节点接收到用户发送的域建立指令时，所述第一终端节点和所述第二终端节点分别开启时间窗，并发布域配置广播；在所述时间窗内，所述第一终端节点和所述第二终端节点在所述非加密通道侦听来自本身所在安全域外的消息。

根据本发明的一个实施例，进一步的，当所述第一终端节点在所述非加密通道上接收到所述第二终端节点发送所述域配置广播时，通过所述非加密通道向所述第二终端节点发送域配置协商指令；所述第二终端节点通过所述非加密通道向所述第一终端节点返回域配置协商确认指令；所述第一终端节点通过所述非加密通道向所述第二终端节点发送新域配置消息；所述第二终端节点通过所述非加密通道返回新域配置确认消息，所述第一终端节点和所述第二终端节点完成新域的配置。

本发明的联网终端安全域建立的方法及系统，组网节点通过非加密通道完成与外来域的域配置协商，通过加密通道侦听并完成当前域的域配置更新，将两个不同域中的所有节点同时划分到一个新的安全域中，新建域的操作简便、灵活，并且能够减少终端节点的信令交互开销，减少出错率，使建立安全域的过程高效、安全、可靠。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。

图1为根据本发明的联网终端安全域建立的方法的一个实施例的流程图；

图2为根据本发明的联网终端安全域建立的方法的另一个实施例的信息交互流程示意图；

图3为根据本发明的终端节点调整后休眠和工作时长分布示意图；

图4为根据本发明的联网终端安全域建立的系统的一个实施例的示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。下面结合各个图和实施例对本发明的技术方案进行多方面的描述。

本发明中的“第一”、“第二”等，为描述上加以区别，并没有其它特殊的含义。

图1为根据本发明的联网终端安全域建立的方法的一个实施例的流程图，如图1所示：

步骤101，第一安全域中的第一终端节点与第二安全域中的第二终端节点进行新域配置协商。

步骤102，在完成新域配置协商后，第一终端节点和第二终端节点分别向各自所在的安全域中的其它终端节点发送域配置更新指令。

步骤103，第一安全域和第二安全域中的其它终端节点完成配置更新，使第一安全域和第二安全域中的全部终端节点都加入新的安全域中。

在下文的描述中，安全域可简称为域，终端节点也可以简称为节点。非加密通道用以连接其它域的节点。加密通道用以连接本域的节点。第一终端节点与第二终端节点通过非加密通道进行新域配置协商。第一终端节点与第二终端节点通过加密通道分别向各自所在的安全域中的其它终端节点发送域配置更新指令。非加密通道用以连接其它域的节点。加密通道用以连接本域的节点。

加密通道采用的加密算法可以为多种，例如：DES、AES、RSA等。DES(DataEncryption Standard)算法：数据加密标准，速度较快，适用于加密大量数据的场合。AES(Advanced Encryption Standard)算法：高级加密标准，是下一代的加密算法标准，速度快，安全级别高。RSA算法：由RSA公司发明，是一个支持变长密钥的公共密钥算法，需要加密的文件块的长度也是可变的。域配置更新指令包括：新域名称、新域ID、密钥。

当第一终端节点和第二终端节点接收到用户发送的域建立指令时，第一终端节点和第二终端节点分别开启时间窗，并发布域配置广播；在时间窗内，第一终端节点和第二终端节点在非加密通道侦听来自本身所在安全域外的消息。

终端节点通过非加密通道完成与外来域的域配置协商。完成域配置协商后，终端节点通过加密通道向本域中其它终端节点发送域配置更新指令。其它终端节点在加密通道侦听获得发自本域中终端节点的域配置更新指令，并完成当前域的域配置更新，两个不同域中的所有终端节点划分到一个新的安全域中。

例如，假设M个节点已经处于一个安全域中，另有N个节点处于另一个安全域中。为了建立一个包含这M+N个节点安全域，分别对这两个安全域中的一个节点进行触发，可建立一个包含所有M+N个节点的安全域。

域配置广播采用的报文包括：HTTP、SOAP、二进制数据报文，也可以采用其它类型的报文作为域配置广播。域配置广播中携带的信息包括：收到域建立指令、开放注册状态、超时时间。

当第一终端节点在非加密通道上接收到第二终端节点发送域配置广播时，通过非加密通道向第二终端节点发送域配置协商指令。第二终端节点通过非加密通道向第一终端节点返回域配置协商确认指令。

第一终端节点通过非加密通道向第二终端节点发送新域配置消息。第二终端节点通过非加密通道返回新域配置确认消息，第一终端节点和第二终端节点完成新域的配置。域配置协商指令和域配置协商确认指令采用的报文包括：HTTP、SOAP、二进制数据报文等。

上述实施例中提供的联网终端安全域建立的方法，联网节点通过非加密通道完成与外来域的域配置协商，通过加密通道侦听并完成当前域的域配置更新，将两个不同域中的所有节点同时划分到一个新的安全域中，使新建域的操作高效、安全、可靠。

图2为根据本发明的联网终端安全域建立的方法的另一个实施例的信息交互流程示意图，如图2所示：

步骤201，域1节点1收到用户发送的域建立指令，该节点向网络中发布域配置广播。域建立指令可以是但不限于一次用户按键，例如配对/对码按键等操作，以触发设备改变状态。

域配置广播采用HTTP报文、SOAP报文或者纯二进制的数据包等。域配置广播中应至少包括：域状态＝收到域建立指令，开放注册中及超时时间。

步骤202、203，域2节点1收到用户发送的域建立指令，该节点向网络中发布域配置广播。

步骤204，域1节点1收到域2节点1的广播信息后，向其发送域配置协商指令。

步骤205，域2节点1向域1节点1发域配置协商确认指令。

域配置协商指令或确认指令采用HTTP报文、SOAP报文或者纯二进制的数据包等。域配置协商指令或确认指令包括：域状态＝进行/完成域配置协商。

步骤206、207，域1节点1与域2节点1完成新域配置确认。

步骤208、209，域1节点1和域2节点1分别向各自域发送域配置更新指令。

域配置更新指令采用采用HTTP报文、SOAP报文或者纯二进制的数据包等：域配置更新指令至少包括:新域名称、ID、密钥等。

步骤210、211，所有域节点完成配置更新。

上述实施例中提供的联网终端安全域建立的方法及系统，将两个不同域中的所有节点同时划分到一个新的安全域中，操作简便、灵活，安全、可靠。

如图3所示，在组网节点内部增加域管理侦听模块，侦听并处理来自本域节点的域配置更新指令，通过三个状态转移(S0、S1、S2)，完成域建立和域配置更新。

节点可以新增“域管理侦听”模块，S0状态下，域节点通过“域管理侦听”模块侦听本域节点在加密通道上发送的域配置更新指令。用户发出的域建立指令将触发状态转移：S0→S1。S1状态下将开启时间窗，在非加密通道内等待来自其它域的指令，进行配置协商。若时间窗超时，则回退到S0状态。与其它域完成配置协商将触发状态转移：S1→S2。由加密通道进行当前域配置的更新。完成当前域配置更新后将触发状态转移：S2→S0。

如图4所示，本发明提供一种联网终端安全域建立的系统，包括：第一安全域1、属于第一安全域的多个终端节点11、12、第二安全域2、属于第二安全域的多个终端节点21、22。第一安全域1中的第一终端节点11与第二安全域2中的第二终端节点21进行新域配置协商。

在完成新域配置协商后，第一终端节点11和第二终端节点21分别向各自所在的安全域中的其它终端节点12、22发送域配置更新指令。第一安全域1和第二安全域2中的其它终端节点12、22完成配置更新，使第一安全域1和第二安全域2中的全部终端节点都加入新的安全域中。

第一终端节点11与第二终端节点21通过非加密通道进行新域配置协商。第一终端节点11与第二终端节点21通过加密通道分别向各自所在的安全域中的其它终端节点12、22发送域配置更新指令。在组网节点内部增加域管理侦听模块，侦听并处理来自本域节点的域配置更新指令。加密通道采用的加密算法包括：DES、AES、RSA；域配置更新指令包括：新域名称、新域ID、密钥。

当第一终端节点11和第二终端节点21接收到用户发送的域建立指令时，第一终端节点11和第二终端节点21分别开启时间窗，并发布域配置广播。第一终端节点11和第二终端节点21在非加密通道侦听来自本身所在安全域外的消息。

当第一终端节点11在非加密通道上接收到第二终端节点21发送域配置广播时，通过非加密通道向第二终端节点21发送域配置协商指令。第二终端节点21通过非加密通道向第一终端节点11返回域配置协商确认指令。

第一终端节点11通过非加密通道向第二终端节点21发送新域配置消息；第二终端节点21通过非加密通道返回新域配置确认消息，第一终端节点11和第二终端节点21完成新域的配置。

上述实施例中提供的联网终端安全域建立的方法及系统，联网节点通过非加密通道完成与外来域的域配置协商，通过加密通道侦听并完成当前域的域配置更新，将两个不同域中的所有节点同时划分到一个新的安全域中，新建域的操作简便、灵活，并且能够减少终端节点的信令交互开销，减少出错率，使建立安全域的过程高效、安全、可靠。

可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (12)

1.一种联网终端安全域建立的方法，其特征在于，包括：

第一安全域中的第一终端节点与第二安全域中的第二终端节点进行新域配置协商；其中，所述第一终端节点与所述第二终端节点通过非加密通道进行新域配置协商；当所述第一终端节点在所述非加密通道上接收到所述第二终端节点发送域配置广播时，通过所述非加密通道向所述第二终端节点发送域配置协商指令；所述第二终端节点通过所述非加密通道向所述第一终端节点返回域配置协商确认指令；

在完成新域配置协商后，所述第一终端节点和所述第二终端节点分别向各自所在的安全域中的其它终端节点发送域配置更新指令；

所述第一安全域和所述第二安全域中的其它终端节点完成配置更新，使所述第一安全域和所述第二安全域中的全部终端节点都加入新的安全域中。

2.如权利要求1所述的方法，其特征在于：

所述第一安全域和所述第二安全域中的其它终端节点侦听本域中节点在加密通道上发送的域配置更新指令；

所述第一终端节点与所述第二终端节点通过加密通道分别向各自所在的安全域中的其它终端节点发送域配置更新指令。

3.如权利要求2所述的方法，其特征在于：

所述加密通道采用的加密算法包括：DES、AES或RSA；

所述域配置更新指令包括：新域名称、新域ID和密钥。

4.如权利要求2或3所述的方法，其特征在于：

当所述第一终端节点和所述第二终端节点接收到用户发送的域建立指令时，所述第一终端节点和所述第二终端节点分别开启时间窗，并发布域配置广播；

在所述时间窗内，所述第一终端节点和所述第二终端节点在所述非加密通道上侦听来自本身所在安全域外的消息。

5.如权利要求4所述的方法，其特征在于：

所述域配置广播采用的报文包括：HTTP、SOAP或二进制数据报文；所述域配置广播中携带的信息包括：收到域建立指令、开放注册状态和超时时间。

6.如权利要求4所述的方法，其特征在于：

所述第一终端节点通过所述非加密通道向所述第二终端节点发送新域配置消息；

所述第二终端节点通过所述非加密通道返回新域配置确认消息，所述第一终端节点和所述第二终端节点完成新域的配置。

7.如权利要求6所述的方法，其特征在于：

所述域配置协商指令和所述域配置协商确认指令采用的报文包括：HTTP、SOAP或二进制数据报文。

8.一种联网终端安全域建立的系统，其特征在于，包括：

第一安全域、属于所述第一安全域的多个终端节点、第二安全域、属于所述第二安全域的多个终端节点；

所述第一安全域中的第一终端节点与所述第二安全域中的第二终端节点进行新域配置协商；其中，所述第一终端节点与所述第二终端节点通过非加密通道进行新域配置协商；当所述第一终端节点在所述非加密通道上接收到所述第二终端节点发送域配置广播时，通过所述非加密通道向所述第二终端节点发送域配置协商指令；所述第二终端节点通过所述非加密通道向所述第一终端节点返回域配置协商确认指令；在完成新域配置协商后，所述第一终端节点和所述第二终端节点分别向各自所在的安全域中的其它终端节点发送域配置更新指令；所述第一安全域和所述第二安全域中的其它终端节点完成配置更新，使所述第一安全域和所述第二安全域中的全部终端节点都加入新的安全域中。

9.如权利要求8所述的系统，其特征在于：

所述第一安全域和所述第二安全域中的其它终端节点侦听本域中节点在加密通道上发送的域配置更新指令；所述第一终端节点与所述第二终端节点通过加密通道分别向各自所在的安全域中的其它终端节点发送域配置更新指令。

10.如权利要求9所述的系统，其特征在于：

所述加密通道采用的加密算法包括：DES、AES或RSA；

所述域配置更新指令包括：新域名称、新域ID和密钥。

11.如权利要求9或10所述的系统，其特征在于：

当所述第一终端节点和所述第二终端节点接收到用户发送的域建立指令时，所述第一终端节点和所述第二终端节点分别开启时间窗，并发布域配置广播；在所述时间窗内，所述第一终端节点和所述第二终端节点在所述非加密通道侦听来自本身所在安全域外的消息。

12.如权利要求11所述的系统，其特征在于：

所述第一终端节点通过所述非加密通道向所述第二终端节点发送新域配置消息；所述第二终端节点通过所述非加密通道返回新域配置确认消息，所述第一终端节点和所述第二终端节点完成新域的配置。