CN107079029B - 网络系统及其相应的方法和计算机可读存储介质 - Google Patents

网络系统及其相应的方法和计算机可读存储介质 Download PDF

Info

Publication number
CN107079029B
CN107079029B CN201580060605.2A CN201580060605A CN107079029B CN 107079029 B CN107079029 B CN 107079029B CN 201580060605 A CN201580060605 A CN 201580060605A CN 107079029 B CN107079029 B CN 107079029B
Authority
CN
China
Prior art keywords
network
secure
received
node
unsecured
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201580060605.2A
Other languages
English (en)
Other versions
CN107079029A (zh
Inventor
S.S.库马
P.D.V.范德斯托克
P.J.勒诺伊
T.J.J.登特尼尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Signify Holding BV
Original Assignee
Philips Lighting Holding BV
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Philips Lighting Holding BV filed Critical Philips Lighting Holding BV
Publication of CN107079029A publication Critical patent/CN107079029A/zh
Application granted granted Critical
Publication of CN107079029B publication Critical patent/CN107079029B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G06F9/4416—Network booting; Remote initial program loading [RIPL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

无线网络（252）具有节点（210、220）之间的无线通信链路的网状结构。网络使得不安全节点（230）能够通过与配置器（200）交换加入消息来加入网络。配置器（200）被配置成用于确定网络安全状态，其包括不安全状态，其中，所有节点处于不安全模式，并且所述网络对加入节点开放；部分安全状态，其中，至少一个节点（210、220）处于安全模式，并且所述网络对加入节点开放；以及安全状态，其中，所述网络向处于不安全模式下的节点关闭。节点检测安全状态并使其操作适应于检测到的网络安全状态和设备模式。已适应的操作使得能够实现网络的灵活的安全引导。

Description

网络系统及其相应的方法和计算机可读存储介质
技术领域
本发明涉及一种包括网络设备、边界路由器和配置器的网络系统。网络设备和边界路由器组成无线网络中的节点，该无线网络在节点之间具有无线通信链路的网状结构。边界路由器可以经由骨干网连接到配置器。无线网络使得在不安全模式下操作的节点能够通过与配置器交换加入消息来加入无线网络。加入消息使得加入节点能够在安全模式下操作。
本发明进一步涉及配置器、网络设备、边界路由器、配置的方法、控制网络设备的方法、控制边界路由器的方法以及供在网络系统中使用的计算机程序产品。
在无线网络中，例如使用包括无线照明单元和传感器、安全协议的无线控制网络来引导安全并确保安全服务。此类网络在多个节点之间具有无线通信链路的网状结构，也称为多跳网络。
背景技术
文献WO2011/045714描述了一种用于在此类无线多跳网络系统中操作节点的方法。由新节点加入无线网络是通过向具有第二标识符的第二节点发送第一标识符而实现。然后第一节点基于第二标识符生成第一密钥，并且第一节点借助于第一密钥来认证（authenticate）第二节点。最后，如果第一和第二密钥是相等的，则第一节点与第三节点通信。
US2007/0147620描述了一种供在无线网状网络中使用的用于加密密钥管理的方法。当设备最初加入网络时，在无线设备与因特网访问点之间发起在时间和使用上受限的临时通信路由。
发明内容
在已知系统中，如果需要向无线网络添加许多新节点，则每个新节点需要在加入时与已作为安全网络的一部分、即具有在安全模式下操作所需的证书和密钥材料的节点通信。此类扩展安全网络可以称为洋葱样式。此类网络系统的问题是加入节点需要与已经安全的相邻节点通信。
本发明的目的是提供一种网络系统，其使得能够实现用于网状类型无线网络的有效安全引导。
出于此目的，提供了如在所附权利要求中定义的系统、设备和方法。
如在开头段落中描述的网络系统包括许多网络设备和至少一个边界路由器，该许多网络设备和至少一个边界路由器组成网状类型无线网络中的节点。边界路由器的基本作用是网状网络的锚定点和到被连接到系统的其它元件的网关。配置器被经由骨干网或经由到一个或多个节点的无线链路耦合到网络，从而使得未被配置和/或正在不安全模式下操作的加入节点能够通过与配置器交换加入消息来加入网络，该配置器基于加入消息来认证加入节点，并且经由该加入消息而使得加入节点能够在安全模式下操作。
配置器包括被布置成用于确定网络安全状态的配置器控制器。网络安全状态由配置器控制和实行（enforce），从而确定安全操作和通信的级别。此外，节点将从配置器接收配置信息，例如节点将从命令(instruct)节点如何处置（handle）消息的配置项检测网络安全状态。安全状态包括不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；以及安全状态，其中，所述无线网络向在不安全模式下加入的节点关闭。有效地，安全状态使得能够针对入侵者及其它恶意或故障设备实现多个级别的保护，同时仍通过在最初将安全状态设定成部分安全状态或者临时地将安全状态变成部分安全状态，而使得新节点能够加入无线网络。
所述网络设备包括收发机，其用于无线地从相邻节点接收数据帧和向相邻节点发送数据帧；以及设备控制器，其用于根据检测到的网络安全状态来在网络层上控制收发机并在收发机与网络设备中的更高通信层之间传输数据帧。所述设备控制器被布置成用于当处于不安全模式时，控制来自更高通信层的数据帧被不安全地发送；控制接收到的不安全数据帧（如果目的地是网络设备的话）被更高通信层接受；以及将接收到的不安全数据帧转发到其它节点。并且，所述设备控制器被布置成用于当处于安全模式时，控制来自更高通信层的数据帧被安全地发送；控制接收到的安全数据帧（如果目的地是网络设备的话）被更高通信层接受；当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其它节点；并且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点。
边界路由器包括边界收发机，其用于无线地从相邻节点接收数据帧和向相邻节点发送数据帧；骨干网收发机，其用于从骨干网接收数据帧和向骨干网发送数据帧；以及边界控制器，其用于根据检测到的网络安全状态来在网络层上控制所述边界收发机和所述骨干网收发机。所述边界控制器被布置成用于当处于不安全模式时，将接收到的不安全数据帧转发到其它节点。并且，所述边界控制器被布置成用于，当处于安全模式时，当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其它节点或所述骨干网；并且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点或所述骨干网。
如在开头段落中所述的配置的方法包括基于加入消息来认证加入节点，并且经由所述加入消息而使得所述加入节点能够在安全模式下操作，并且确定网络安全状态包括不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；以及安全状态，其中，所述无线网络向处于不安全模式下的节点关闭。
如开头段落中所述的控制网络设备的方法包括根据检测到的网络安全状态，在网络层上控制收发机，并且在收发机与网络设备中的更高通信层之间传输数据帧，具体如下所述。所述方法在处于不安全模式时控制来自更高通信层的数据帧被不安全地发送；控制接收到的不安全数据帧（如果目的地是网络设备的话）被更高通信层接受；以及将接收到的不安全数据帧转发到其它节点。所述方法在处于安全模式时，控制来自更高通信层的数据帧被安全地发送；控制接收到的安全数据帧（如果目的地是网络设备的话）被更高通信层接受。所述方法当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其它节点；并且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点。
如开头段落中所述的控制边界路由器的方法包括根据检测到的网络安全状态，在网络层上控制边界收发机和骨干网收发机，并且当处于不安全模式时，将接收到的不安全数据帧转发到其它节点。所述方法当处于安全模式时且当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到所述其它节点或所述骨干网。并且，所述方法当处于安全模式时且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点或所述骨干网。
应注意的是在本文中，不安全意指根本不存在保护，或者仅存在使用众所周知或标准化密钥的保护，使得任意的恶意参与者都可以有效地得到此类密钥。因此，不安全数据帧可以意指不具有安全的数据帧或者利用众所周知的密钥（例如在标准中提到的或出厂默认密钥）保护的数据帧。安全意指已建立并使用密钥材料和/或证书，该密钥材料和/或证书是在可信源或认证器（通常位于配置器中或者在可经由安全链路访问的安全服务器中）的控制下。
在网络通信层上定义收发机的控制。此类收发机具有跨网状类型无线网络中的链路进行通信的功能，因此控制可以在链路层级别。例如，在分层通信堆栈中，控制可以是在媒体访问级别（MAC）。在容纳此类通信结构的设备中，可以将在受控网络层以上的层称为更高通信层，该通信层例如包括用于向类似于照明单元的应用电路进行通信的应用层。
设备控制器被布置成用于控制接收到的安全数据帧（如果目的地是网络设备的话）被更高通信层接受。在此背景下，控制可以包括来检查安全数据帧的完整性（如果此类完整性代码存在于安全数据帧中的话）的安全处理。未通过此类检查，设备控制器可以将数据帧作为不安全处置。
本发明特别地基于以下认知。传统网络中的单独设备可以在不安全模式或安全模式下工作。由于安全原因，新节点将仅在无线网络的已安全部分的边界处接收其证书。这意指新节点的加入局限于扩展安全模式节点的数目的洋葱类型（onion type）。传统上，安全部分可以通过添加新节点的脚本（shell）而像洋葱一样增长。然而，本发明人注意到在实践中各种网络设备群组常常被安装在各种位置上，并且必须被配置（也称为被调试）成安全网络系统的一部分。似乎存在要在任何点处开始调试的实际要求。通过引入全局网络安全状态，并且实行所有网络设备检测该状态，根据网络安全状态而实现网络设备的操作。因此，可以通过除节点具有其自己的密钥材料（其使得节点同样地能够在安全模式下操作）之外，还将节点设定成特定安全状态来调整总体网络系统的安全。此外，无线网络的部分安全状态使得能够实现灵活调试，因为可以保护设备的任何集群，同时加入消息仍必须跨不安全节点行进以到达配置器。现在已连接的设备群组可以被提供有证书并转到安全模式，而无线网络的其它部分仍是不安全的。不安全部分甚至可以完全包含此类安全设备的群组。因此，通过提供部分安全状态，使得能够实现可以称为“孤岛式”调试的一种配置类型。在调试已完成之后，通过将网络安全状态切换至安全状态来增加全局网络安全。因此，最后通过定义安全状态下的严格安全操作来实现高级别的安全，同时可以在任何时间通过临时地返回至部分安全状态而使得能够实现新设备的加入。
此外，计算机程序可以实现方法中的每一个，并且该计算机程序可以在诸如光盘或记忆棒之类的媒体上提供。
在所附权利要求中给出了根据本发明的设备和方法的其它优选实施例，该实施例的公开被通过引用并入到本文中。
附图说明
参考通过在以下描述中的示例的方式且参考附图而描述的实施例，本发明的这些及其它方面将是显而易见的，并且将进一步参考所述实施例对其进行阐述，在所述附图中：
图1示出了用于无线网络的通信层中的现有技术安全服务。
图2示出了包括网络设备、边界路由器和配置器的网络系统，
图3示出了网络系统的拓扑的示例，以及
图4示出了网络安全状态和状态转移的示例。
附图纯粹是示意性的且不一定按比例描绘。在附图中，对应于已描述元件的元件可以具有相同附图标记。
具体实施方式
无线控制网络代表着建筑物管理系统中的无处不在的趋势。与物理控制导线的无关性允许放置自由、可携带性并允许降低安装成本（需要较少的线缆放置和钻孔）。此外，设备的无线网络（也称为物联网）涉及到数目越来越多的节点，即被网络连接并与服务或其它连接设备通信的电子设备。
另外，对这些无线网络节点的较低成本的驱动意指节点资源（低时钟CPU、小RAM以及小闪速储存器）将受到限制。这些设备中的某些将是电池操作的，或者由废物利用（scavenged）能量供电。在这些情况下，设备应当用非常低的功率消耗进行操作。并且通信带宽是有限的，例如基于IEEE 802.15.4 无线网络标准(wireless network standard)（参见参考文献[IEEE15.4]；参考文献在本描述的结尾处列出）。
保护此类无线控制网络对确保通过网络传输的控制和数据的完整性、可用性和常常的机密性是非常重要的。可以在联网堆栈的各种层处使得能够实现安全以确保安全的端对端网络。IEEE 802.15.4 MAC层具有用于使得能够使用用于MAC帧的机密性和完整性的AES [AES]密码套件来实现链路层安全的供应。IPsec[IPsec]可以用来保护IP层，但是对于此类受限环境而言常常被视为是重型的。CoAP要求将DTLS 1.2[DTLS]用于保护用户数据报协议（UDP）（其是因特网协议套件的核心成员中的一个）上的CoAP消息。受限应用协议[CoAP]是意图在简单电子设备中使用的、允许这些电子设备通过因特网进行交互式通信的软件协议。其特别地以需要通过标准因特网网络来远程地控制或监视的小型低功率传感器、开关、阀和类似组件为目标。CoAP是意图在资源受限因特网设备中使用的应用层协议。CoAP被设计成容易地转换成HTTP以用于与web的简化集成，并且同时还满足特殊化要求（诸如多播支持、非常低的开销以及简单性）。
图1示出了用于无线网络的通信层中的现有技术安全服务。本图在左侧示出了具有提供安全服务的单独安全控制单元110的传统通信层结构111。在层结构中，第一单元为媒体访问（MAC）层提供MAC安全，第二单元提供在因特网协议（IP）层上路由安全服务。另一层定义UDP。在结构的顶部上，第三安全单元向DTLS层提供传输安全服务。本图在右侧示出了轻型通信层结构112（也称为轻型IP堆栈），其具有提供组合安全服务的单个安全控制单元120。通信层结构112具有与传统结构相同的层。
在传统结构中，需要在堆栈中的多个层处使得能够实现安全以履行不同的功能：用于逐跳安全的链路层安全；用于在多个不同链路层上延伸的端对端安全的数据报传输级安全（DTLS）。然而，由于网络节点的受限性质，跨这些层提出密码原语和协议元素的再使用（如通过轻型结构112举例说明的）。示例是用于链路层安全和DTLS安全两者的AES-CCM[AES-CCM]密码模式的再使用。另外，可以将在设备上的不同堆栈层处运行的、确定在不同层处如何处置网络分组的到来、离开和转发的安全服务组合成单个安全服务单元120，该安全服务单元120允许在轻型IP堆栈中的跨层优化。
在创建安全无线网络方面的问题是加入网络的设备的安全认证，也称为设备的网络访问控制（NAC）。这要求根据引导协议的加入消息以使用可以用来安全地验证（verify）JN的标识的证书来向网络配置器（NC）认证加入节点（JN）。基于NC上的授权规则，NC可以允许或拒绝JN对网络的访问。因此，配置器是用于基于加入消息来认证加入节点，并且经由加入消息来使得加入节点能够在安全模式下操作。
在现有技术示例中，基于网络访问控制（基于IEEE 802.1X端口）而很好地建立用于IEEE 802.3以太网LAN和IEEE 802.11 Wi-Fi的安全NAC协议。802.1X使用可扩展认证协议（EAP）[EAP]框架来利用后端认证服务器执行网络认证。通过LAN上EAP（EAPOL）帧，在加入节点（请求者）至认证器（认证器通常位于边界路由器上）之间发送EAP，该认证器然后通过使用RADIUS协议[RADIUS]与认证服务器交换EAP帧来联系后端认证服务器。
现有技术示例要求JN与认证器相距一跳。在类似于IEEE 802.15.4的多跳网状网络中，JN可以与认证器相距多跳。由于IEEE 802.15.4不包括路由协议，所以其阻止EAPOL类型机制的使用。因此，标准化主体已定义了PANA[PANA]作为用于EAP帧的运营商传输的使用。除解决多跳路由问题之外，PANA使用与JN相距单跳的PANA中继元件（PRE）[PRE]来将分组从JN路由到认证器。
在现有技术示例中，受限网络中的基于PANA和EAP的NAC的缺点如下。可以要求大量的往返（例如约10次）以完成NAC，这导致高概率的延迟/无法完成无线网络中的协议。并且，已知系统仅允许有洋葱样式的引导。在洋葱样式中，与边界路由器相距一跳的节点首先被引导，并且然后是相距下一跳的节点的第二“洋葱层”等等。因此随后洋葱节点层跨附加的递增跳跃而被引导。
现有技术洋葱型引导严重地限制了调试设备的逻辑群组的顺序，这是因为洋葱样式由物理网络结构所规定。并且，在NAC期间需要多个新协议（PANA、EAP），这导致受限设备上的附加代码存储器。此外，EAP和PANA提供参数值选择方面的很大灵活性，这对于受限设备而言是不必要的。不利地，用以协商认证协议和参数的灵活性要求无线网络上的冗长握手。
提出的系统使得能够实现用于多跳无线网状网络中的加入设备的网络访问控制，该网络访问控制克服了上述缺点。
图2示出了包括网络设备、边界路由器和配置器的网络系统。网络设备220、230和边界路由器210组成无线网络252中的节点，在节点之间具有无线通信链路的网状结构。边界路由器被示为经由骨干网251而连接到配置器200。替换地，配置器还可以例如经由到节点或边界路由器中的一个或多个的无线链路而连接到网络中的不同节点。无线网络使得在不安全模式下操作的节点能够通过与配置器交换加入消息来加入网络。例如根据在加入节点与配置器之间交换的安全协议，加入消息使得加入节点能够在安全模式下操作。
配置器200使得通信收发机206被耦合到骨干网251。替换地或者另外，通信收发机可以被布置成用于到网络的无线通信。配置器可以包括管理安全数据的认证器203。认证器可以是被耦合到在网络层上的收发机的应用层上的功能。替换地，认证器功能可以位于单独设备（例如，被耦合到骨干网或经由因特网可访问的服务器）中。
配置器还具有被布置成用于确定网络安全状态的配置器控制器205。网络安全状态包括不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；以及安全状态，其中，所述无线网络向处于不安全模式下的节点关闭。下面提供了网络安全状态以及根据网络安全状态进行的各种设备的操作的更多细节。
网络设备220具有用于无线地从相邻节点接收数据帧并向相邻节点发送数据帧的收发机222以及用于根据检测到的网络安全状态在网络层上控制收发机的设备控制器225。例如，网络层可以是媒体访问（MAC）层。在容纳此类通信结构的设备中，在网络层以上的层可以称为更高通信层。
网络层被耦合到提供通信堆栈（同样地是众所周知的）的更高通信层223。设备还可以进一步具有被耦合到通信堆栈的应用元件和电路（未示出），该应用元件和电路例如经由调光器被控制的照明单元。设备控制器进一步被布置成用于在收发机与网络设备中的更高通信层之间传输数据帧。例如，网络设备220可以处于安全模式。
设备控制器可在不安全或安全模式下操作，这取决于在加入无线网络时获取的安全证书。还可以定义其它详细安全模式。所述设备控制器被布置成用于当处于不安全模式时，控制来自更高通信层的数据帧被不安全地发送；控制接收到的不安全数据帧（如果目的地是网络设备的话）被更高通信层接受；以及将接收到的数据帧转发到其它节点。并且，所述设备控制器被布置成用于当处于安全模式时，控制来自更高通信层的数据帧被安全地发送；以及控制接收到的安全数据帧（如果目的地是网络设备的话）被更高通信层接受。此外，安全模式下的设备控制器被布置成用于当检测到的网络安全状态是部分安全状态时，将接收到的数据帧转发到其它节点；以及当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点。
第二网络设备230具有用于无线地从相邻节点接收数据帧并向相邻节点发送数据帧的收发机232以及用于根据检测到的网络安全状态在网络层上控制收发机的设备控制器235。网络层被耦合到更高通信层233。例如，第二网络设备可以处于不安全模式。可以存在其它网络设备（未示出）以组成其它节点且该网络设备具有类似元件。第二和其它网络设备的功能同于上文所述的网络设备的功能。
边界路由器210具有用于无线地从相邻节点接收数据帧和向相邻节点发送数据帧的边界收发机212、用于从骨干网接收数据帧和向骨干网发送数据帧的骨干网收发机216，以及用于根据检测到的网络安全状态来在网络层上控制所述边界收发机和所述骨干网收发机的边界控制器215。并且，边界路由器可以被布置成用于在节点与配置器之间路由加入消息。边界控制器被布置成用于当处于不安全模式时，将接收到的数据帧转发到其它节点。并且，边界控制器被布置成用于当处于安全模式时，当检测到的网络安全状态是部分安全状态时，将接收到的数据帧转发到其它节点或配置器；并且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点或所述配置器。
可选地，为了如上所述地在网络系统中使用，在配置器中，配置器控制器被布置成用于通过发送网络锁定消息以将网络安全状态设定成安全状态来确定网络安全状态；以及发送网络解锁消息以将网络安全状态设定成部分安全状态。并且在网络设备中，设备控制器被布置成用于当接收到网络锁定消息时将检测到的网络安全状态设定成安全状态，并且用于当接收到网络解锁消息时将检测到的网络安全状态设定成部分安全状态。通过传输此类消息，节点被设定成根据由配置器选择的网络安全状态进行操作。例如，配置器处的用户可以基于建筑物中的安装和调试的实际状态来选择网络安全状态。并且，配置器可以自动地选择适当的安全状态，例如在预定时段之后，配置器自动地将系统设定成安全状态。该时段可以是不活动的时段，或者基于一天的时间或者为调试所分配的时隙等。
可选地，为了如上所述地在网络系统中使用，在配置器中，配置器控制器被布置成将加入状态确定为另一网络安全状态，在所述加入状态中，网络被关闭，并且节点处于安全模式，同时使得能够实现处于不安全模式且与处于安全模式的节点相距一跳的加入节点的加入。并且，在网络设备中，设备控制器被布置成用于当处于安全模式时，当检测到的网络安全状态是加入状态时，在无保护之后将接收到的安全数据帧转发到加入节点；并且在保护之后从加入节点转发接收到的不安全数据帧。并且，在边界路由器中，边界控制器被布置成用于当处于安全模式时，当检测到的网络安全状态是加入状态时，在无保护之后将接收到的安全数据帧转发到加入节点；并且在保护之后从加入节点转发接收到的不安全数据帧。另外或替换地，为了当新节点需要加入时临时地返回至部分安全状态，可以提供加入状态。在加入状态下，无线网络被关闭，并且节点处于安全模式，同时使得能够实现在与处于安全模式的节点相距一跳处的处于不安全模式的加入节点的加入。有效地，加入状态使得网络系统能够以受控方式增长，有效地临时地使得能够实现洋葱样式的增长。在加入已完成之后，可以例如通过如上所述地发送锁定消息来将网络重置成安全状态。可选地，在配置器中，配置器控制器被布置成用于通过发送加入边缘消息以将网络安全状态设定成加入状态来确定网络安全状态；并且在网络设备中，设备控制器被布置成用于当接收到加入边缘消息时将检测到的网络安全状态设定成加入状态。
可选地，为了如上所述地在网络系统中使用，在网络设备中，设备控制器被布置成用于当检测到的网络安全状态是部分安全状态时且如果路由使得能够实现两个路径，则路由到其中下一链路安全的路径。在边界路由器中，边界控制器可以被布置成用于当检测到的网络安全状态是部分安全状态时且如果路由使得能够实现两个路径，则路由到其中下一链路安全的路径。通过应用此类路由，经由网络的安全部分来引导数据。
可选地，为了如上所述地在网络系统中使用，在网络设备中，设备控制器被布置成当检测到的网络安全状态是部分安全状态时进行如下操作。如果从不安全节点接收到不安全帧并转发到不安全节点，则帧被不安全地转发；如果从不安全节点接收到不安全帧并转发到安全节点，则帧在转发之前是安全的；如果从安全节点接收到安全帧并转发到不安全节点，则帧在转发之前首先是不安全的；并且如果从安全节点接收到不安全帧，则帧被丢弃。除了加入消息在部分安全状态下的传输期间保持不安全之外或者作为其替换方案，通过在正在安全节点之间传输的同时将加入消息修改成安全数据帧来提供进一步安全。此类消息在离开安全“孤岛”以便进一步传输到加入节点或配置器时是不安全的。有效地，在网络的安全部分到不安全部分的边界处执行转换。通过丢弃来自安全节点的不安全帧来限制不安全帧的业务。
可选地，为了如上所述地在网络系统中使用，在网络设备中，所述设备控制器被布置成用于将来自加入节点的消息仅朝着边界路由器路由，并且将来自边界路由器的加入消息路由回到加入节点。并且，在边界路由器中，所述边界控制器可以被布置成用于将来自加入节点的加入消息仅朝着边界路由器路由，并且将来自边界路由器的加入消息路由回到加入节点。通过限制用于加入消息的可用路由，阻止加入消息的可能不必要或恶意分发。
可选地，为了如上所述地在网络系统中使用，在边界路由器中，所述边界控制器可以被布置成用于如果路径中的第一通信链路是到安全节点，则保护来自骨干网的数据帧且然后转发，并且如果不是，则将来自骨干网的数据帧不安全地转发。有效地，在无线网络到骨干网的边界处执行转换。如果可能的话，通过保护帧来限制不安全帧的业务。
可选地，在边界路由器中，所述边界路由器被布置成用于在节点与配置器之间路由加入消息。替换地或另外，可以在另一节点处或者由位于网络中的专用路由器来执行路由。在边界控制器中，路由可以被布置成只有当经由骨干网接收到的不安全帧的目的地是预定义目的地地址时，才转发此类帧。还可以将路由布置成当处于不安全模式时阻止边界收发机与骨干网收发机之间的数据帧的转发。
在提出的网络系统的实施例中，如下添加新网络安全状态，即部分安全网络安全状态。该新状态介于完全不安全开放网络与完全安全封闭网络之间。在此状态下，网络系统具有以下性质。网络是随机分布的安全和不安全设备的混合体（非洋葱样式）。
在实施例中，不安全设备如下表现：
—设备从其更高层发送不安全MAC数据帧
—设备接受目的地是其更高层的不安全MAC数据帧
—设备仅路由/转发不安全MAC数据帧。
在实施例中，安全设备如下表现：
—设备仅从其更高层发送安全MAC数据帧
—设备仅接受目的地是其更高层的安全MAC数据帧
—设备使用以下规则来路由/转发不安全和安全数据帧两者；
•如果从不安全节点接收到不安全帧并转发到不安全节点，该帧在转发期间保持不安全
•如果从不安全节点接收到不安全帧并转发到安全节点，则帧在转发之前是安全的；
•如果从安全节点接收到安全帧并转发到不安全节点，则帧在转发之前首先是不安全的
•如果从安全节点接收到不安全帧，则帧被丢弃。
•给定两个路径选项，安全节点偏好其中下一跳安全的路径。
•安全节点例如利用用于此类消息的专用路由路径，迫使加入消息仅朝着边界路由器路由并返回至新节点。
在本实施例中，边界路由器（BR）可以被配置成在节点与通常常驻于配置器（其可以称之为调试工具）中的认证器之间路由加入消息。BR还可以配置有如下的部分安全网络安全状态下的附加分组过滤：
—除在骨干网上（例如到调试工具）的特定（已配置的）目的地地址之外，BR将不会将源自于低功率无线个域网（LowPAN）的不安全分组转发到骨干网（例如，以限制DoS的影响）
—如果路由上的第一跳节点是安全的，来自目的地是LowPAN中的节点的骨干网的分组在MAC层处受到BR保护，否则其被不安全地转发。
在另一实施例中，网络系统具有照明网络中的节点，该节点被加入以使用调试过程来创建安全网络。描述了如何在没有任何初始安全的情况下安装和调试设备的网络并转化成安全网络，在该安全网络中只有已授权设备发送不能被未授权设备修改或解密的分组。用于联网设备的不同安全状态是基于链路层安全配置。所需的链路层安全配置涉及设备如何按照IEEE 802.15.4标准的指定处置MAC数据帧安全（认证和/或加密）。
图3示出了网络系统的拓扑的示例。本图示出了示例的网络拓扑。如在称为楼层4的示意性楼层平面图310上所示，在建筑物中安装许多网络设备。在楼层平面图上，第一节点是楼层控制器，而在称为ROOM1的第一房间中，已安装几个灯设备、房间单元和风扇单元。每个设备还是用于组成无线网络中的节点的网络设备。同样地，称为ROOM2的第二房间也已安装许多网络设备。骨干网351（例如有线网络）被示为被耦合到几个边界路由器320，该边界路由器组成网状类型无线网络中的节点以支持无线通信。图3图示出网络配置的实际示例。楼层4由建筑物楼层上的两个房间构成。房间中的每个元件表示具有特定功能的联网无线节点。功能是：四个灯（十字圆）、两个传感器（星形）、恒温器（房间单元）和通风机（风机盘管单元或通风机）。两个房间中的所有设备组成一个LowPAN。在图3的示例性拓扑中，无线节点经由与存在的房间一样多的边界路由器而连接到骨干网。楼层4的楼层控制器被直接地连接到骨干网。
示出了用于配置网络系统的配置器设备330，例如具有适当通信电路和称为调试工具（CT）的配置器软件的膝上型计算机。网络在调试过程中在链路层处逐渐地受到保护。例如，在网络层上使用IP且在链路和物理层使用IEEE 802.15.4将设备连接在LowPAN中。所使用的IP协议可以是CoAP和UDP。调试工具（CT）经由被连接到骨干网351的访问点322而连接到无线节点。
现在描述调试过程的示例。在调试过程开始之前假设以下各步骤。
—安装边界路由器；并且存在至少一个边界路由器。BR可以是配置有出厂秘密密钥的工厂，但是密钥对于此特定部署而言并不是特定的，并且因此认为是不安全的。
—不要求因特网基础设施功能被连接到骨干网。
许多灯/开关/传感器被电气地安装，并且可以由不同供应商供应。最初，网络设备状态是
—尚未被连接到边界路由器。
—供应商密钥（例如，共享前密钥（PSK）或证书）已存在于节点中。
调试工具（CT）可以经由任何已连接边界路由器与节点通信。用于设备的供应商密钥（例如PSK或证书授权中心（CA）信任锚）被存储在CT中。并且，要向设备调试的链路层和应用级别密钥被存储在CT中。
网络设备需要被提供有安全关联（SA）属性（如由IEEE 802.15.4标准定义的密钥等）以作为用以配置设备上的安全服务的调试过程的一部分。网络被CT根据节点的单独安全模式设定成特定网络安全状态。节点的安全模式由CT基于向各节点交换的加入消息而设定和监控。参考图4来阐明调试过程和各安全状态。
图4示出了网络安全状态和状态转移的示例。最初，网络是完全不安全的，并且处于状态A或初始状态410。通过转移T1，状态被设定成B或者部分安全状态412。在状态B中，多次转移T2是可能的。通过转移T3，网络发展成状态C或安全状态414，而反向转移T4使得网络返回至状态B。可选地，系统具有另一状态D或加入状态416，该加入状态是从状态C由转移T4'或者从状态B由转移T5而到达。转移T3'使得状态从状态D返回至状态C。如下进一步定义根据本示例的状态和转移。
STATE A：不安全状态：具有所有不安全设备的开放网络；
网络中的所有设备是不安全的并如下表现
—设备从其更高层发送不安全MAC数据帧
—设备接受目的地是其更高层的不安全MAC数据帧
—设备仅路由/转发不安全MAC数据帧。
STATE B. 部分安全状态：具有安全设备和不安全设备两者的开放网络。网络是安全和不安全设备的混合体。所有不安全设备继续如在状态A中一样表现。所有安全设备如下表现：
—设备仅从其更高层发送安全MAC数据帧
—设备仅接受目的地是其更高层的安全MAC数据帧
—设备使用以下规则来路由/转发不安全数据帧和安全数据帧两者；
—如果从不安全节点接收到不安全帧并转发到不安全节点，该帧在转发期间保持不安全
—如果从不安全节点接收到不安全帧并转发到安全节点，则帧在转发之前是安全的
—如果从安全节点接收到安全帧并转发到不安全节点，则帧在转发之前首先是不安全的
—如果从安全节点接收到不安全帧，则帧被丢弃。
—给定两个路径选项，安全节点偏好其中下一跳安全的路径。
—安全节点例如利用用于此类消息的专用路由路径，迫使加入消息仅朝着BR路由并返回至新节点。
STATE C. 安全状态：具有所有安全设备的安全网络：
包括边界路由器的网络中的所有设备是安全的并如下表现：
—设备仅从其更高层发送安全MAC数据帧
—设备仅接受目的地是其更高层的安全MAC数据帧
—设备仅路由/转发安全MAC数据帧并拒绝所有不安全帧。
STATE D. 安全加入状态：在边缘上具有不安全加入设备的安全网络。包括边界路由器的网络中的所有设备是安全的，并且除转发之外如在安全状态下（C）中一样表现：
—设备仅路由/转发除来自不安全加入设备的第一跳加入消息之外的安全MAC数据帧。
调试过程的目的是使网络从初始或不安全状态进入安全网络安全状态。在安装过程中，可以识别三个子安装过程：
1. 安全网络的创建，其中，处于状态A的网络转到状态C。
2. 到基础设施的连接，其中处于状态B或状态C的网络的边界路由器将变成较大有线网络的一部分。
3. 设备到安全网络的添加，其中，处于状态C的网络转到处于状态B或状态D的网络且然后返回至状态C。
可以提供以下安全关联（SA）属性作为用于安装过程的一部分：
1. 用于MAC帧的“链路层”SA
2. 用于不同应用的“传输级别”SA
2.1. 单播SA（用于主要设备至后端通信）。
2.2. 多播SA（用于主要设备至设备通信）。
在以下小节中解释安装过程。
针对链路层SA安装，现在参考图4来描述从一个网络安全状态转到另一个的可能步骤。本图示出了网络的安全状态和可能的状态转移。调试过程暗示转移T1的应用、用于每个设备的T2的重复应用，并且最后用T3转到安全状态C（或者替换地用T5转到状态D）。在新设备的添加期间，状态C使用T4转移到状态B或者替换地使用T4'转移到状态D。在新设备的安装之后，状态B或状态D使用T3或T3'转移回到状态C。现在详细地描述三个子安装过程。
第一链路层子安装过程是安全网络的创建，具有阶段：
1. 首先，将所有设备接通
a. 设备自动地选择PANID并变成所形成的开放网状网络的一部分（状态A）。
2. 接下来，调试工具（CT）根据RFC4944来配置（多个）边界路由器（BR）
a. 执行类似于其它网络设备的安全配置（在步骤3中详述）。
b. 需要确定和执行其它BR相关（非安全）配置
c. 利用如在状态B中的安全配置在BR上使得能够实现安全服务。
3. CT通过BR建立到一个设备（带外所选的）的连接。
a. 例如基于存在于设备中的供应商密钥（PSK或证书）在应用层处（例如使用DTLS）来执行CT与设备之间的（相互）认证
b. 通过传输在应用层处（例如使用DTLS）受到供应商密钥（或导出的会话密钥）保护的“链路层”安全关联属性（链路层操作密钥等）来配置设备
c. 转移T1，CT使得能够实现在每个已配置设备上的安全服务，并且网络随着安全设备的数目增加而保持在状态B。
4. 在CT配置了网络中的所有设备之后。
a. 转移T3，CT向网络中的所有设备（包括BR）发送“网络封锁”（lockdown）消息以从状态B转移至状态C
b. 替换地，转移T5，CT向网络中的所有设备（包括BR）发送“仅加入边缘”消息以从状态B转移至状态D。
c. 验证所有设备接收到此消息。
第二链路层子安装过程是到骨干网的连接。到骨干网的连接可以独立于用于创建安全网络的上述序列在任何时间完成。因此，LowPAN可以处于状态B、状态C或状态D（LowPAN不能处于状态A，因为至少BR的安全服务是使得能够实现的）。
1. 将BR连接到骨干网
a. 在连接到骨干网时，自动地配置骨干网接口
2. 由BR进行分组过滤和保护
a. 如果LowPAN处于状态B：
i. 除在骨干网上（例如，到调试工具）的特定（已配置）目的地地址之外，BR将不会将源自于LowPAN的不安全分组转发到骨干网（例如，以限制DoS的影响）
ii. 如果路由上的第一跳节点是安全的，来自目的地是LowPAN中的节点的骨干网的分组在MAC层处受到BR保护，否则其被不安全地转发。
b. 如果LowPAN处于状态C
i. BR将不会将源自于LowPAN的任何不安全分组转发至骨干网。
ii. 来自目的地是LowPAN中的设备的骨干网的所有分组在MAC层处受到BR的保护。
c. 如果LowPAN处于D
i. BR将不会将源自于LowPAN的任何不安全分组转发到骨干网，除非加入网络与BR相距1跳
ii. 来自目的地是LowPAN中的设备的骨干网的所有分组在MAC层处受到BR的保护，除非加入设备与BR相距1跳。
第三链路层子安装过程是新设备到安全网络的添加，具有阶段：
1. 假设网络处于状态C
a. 转移T4，使用网络范围的消息使网络从状态C移动至状态B并如在“安全网络的创建”小节中针对添加节点所述的那样继续进行。
b. 替换地，转移T4'，使用网络范围的消息使网络从状态C移动至状态D并如上所述地继续进行
c. 用网络范围的封锁消息用转移T3或T3'使网络转移回到状态C。
在另一层上，还可以建立安全属性，例如应用层SA安装。其它可操作应用（例如后端数据传输）需要被配置有适当的应用层SA。此配置可以作为步骤3中的“链路层”SA安装的一部分，利用针对不同的应用的附加的“传输级别”SA来执行：
—用于主要设备至后端通信的单播SA。
—用于主要设备至设备通信的多播SA。
在设备已转移至状态B、状态C或状态D之后：
—未被配置“传输级别”SA的应用，发送和接收仅在MAC层处受到保护的消息。
—已配置有“传输级别”SA的应用，可以发送和接收在传输（例如使用DTLS）层和MAC层两者处受到保护的消息。
虽然已主要使用特定标准通过实施例解释了本发明，但本发明还适合于具有网状多跳结构的任何无线网络。例如，本发明可以是基于IEEE 802.15.4链路层的基于IP的无线照明的调试过程的一部分。此类基于联网的照明可以是未来建筑物管理系统的整体组成部分。可以将相同的网络访问机制用于创建具有被用于建筑物控制的无线传感器（恒温器等）和致动器（风扇等）的安全建筑物管理网络。可以进一步宽泛地在物联网域中应用本发明，其中在没有终端设备中的大型资源的情况下，要求容易且高效的网络设立。此类应用可以是在家庭控制或智能城市室外控制中。
应注意的是可以用硬件和/或软件、使用可编程组件来实现本发明。在如上所述的网络系统中的各种设备中实现的上文所述的功能可以由以下方法执行。
一种供在网络系统中使用的配置方法可以包括确定网络安全状态，其包括不安全状态，其中，所有节点处于不安全模式，并且所述网络对加入节点开放；部分安全状态，其中，至少一个节点处于安全模式，并且所述网络对加入节点开放；以及安全状态，其中，所述网络向处于不安全模式下的节点关闭。
一种供在网络系统中使用的控制网络设备的方法可以包括，根据检测到的网络安全状态，在网络层上控制收发机，并且在收发机与网络设备中的更高通信层之间传输数据帧。所述方法还包括，当处于不安全模式时，控制来自更高通信层的数据帧被不安全地发送；控制接收到的不安全数据帧（如果目的地是网络设备的话）被更高通信层接受；以及将接收到的数据帧转发到其它节点。所述方法还包括，当处于安全模式时，控制来自更高通信层的数据帧被安全地发送；控制接收到的安全数据帧（如果目的地是网络设备的话）被更高通信层接受。所述方法还包括，当检测到的网络安全状态是部分安全状态时，将接收到的数据帧转发到其它节点；以及当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点。
一种供在网络系统中使用的控制边界路由器的方法可以包括根据检测到的网络安全状态，在网络层上控制边界收发机和骨干网收发机，当处于不安全模式时，将接收到的数据帧转发到其它节点。所述方法还包括，当处于安全模式时且当检测到的网络安全状态是部分安全状态时，将接收到的数据帧转发到所述其它节点或所述骨干网；并且当处于安全模式时且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点或所述骨干网。
用于无线联网的计算机程序产品可以包含可操作用于促使处理器执行任何上述方法的程序。
将认识到的是为了明了起见，以上描述已参考不同的功能单元和处理器描述了本发明的实施例。然而，将显而易见的是在不偏离本发明的情况下可使用不同功能单元或处理器之间的功能的任何适当分布。例如，被图示为由单独单元、处理器或控制器执行的功能可以由相同处理器或控制器执行。因此，应将对特定功能单元的参考仅仅视为对用于提供所述功能的适当部件的参考，而不是指示严格的逻辑或物理结构或组织。可以以包括硬件、软件、固件或这些的任何组合的任何适当形式，来实现本发明。
应注意的是，在本文中单词‘包括’不排除除所列出的那些之外的元件或步骤的存在，并且在元件前面的单词‘一’或‘一个’不排除多个此类元件的存在，任何参考符号不限制权利要求的范围，本发明可以借助于硬件和软件两者来实现，并且可以用硬件或软件的相同项目来表示多个‘部件’或‘单元’，并且处理器可以可能与硬件元件合作地履行一个或多个单元的功能。此外，本发明不限于实施例，并且本发明在于上文所述的或者在相互不同的从属权利要求中记载的每一个新型特征或特征的组合。
参考文献：
[IEEE15.4]IEEE Computer Society, IEEE Standard 802.15.4-2011.
[6LoWPAN]RFC 4944, Transmission of IPv6 Packets over IEEE 802.15.4Networks
[CoAP]RFC 7252, The Constrained Application Protocol (CoAP)
[AES]Advanced Encryption Standard (AES), Federal InformationProcessing Standards Publication 197. United States National Institute ofStandards and Technology (NIST).
[AES-CCM]RFC 3610, Counter with CBC-MAC (CCM)
[IPSec]RFC 6040, Security Architecture for the Internet Protocol
[DTLS]RFC 6347, Datagram Transport Layer Security Version 1.2
[EAP]RFC 3748, Extensible Authentication Protocol (EAP)
[RADIUS]RFC 2865, Remote Authentication Dial In User Service (RADIUS)
[PANA]RFC 5191, Protocol for Carrying Authentication for NetworkAccess (PANA)
[PRE]RFC 6345, Protocol for Carrying Authentication for NetworkAccess (PANA) Relay Element

Claims (15)

1.一种包括网络设备、边界路由器和配置器的网络系统，
所述网络设备和所述边界路由器组成无线网络（252）中的节点，在所述节点之间具有无线通信链路的网状结构，并且
所述边界路由器（210）被连接到骨干网（251），
所述无线网络使得在不安全模式下操作的加入节点能够通过与所述配置器交换加入消息来加入所述无线网络，该配置器基于所述加入消息来认证所述加入节点，并且经由所述加入消息而使得所述加入节点能够在安全模式下操作，
所述配置器（200）包括被布置成用于确定网络安全状态的配置器控制器（205），所述网络安全状态包括
- 不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；
- 部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；
- 安全状态，其中，所述无线网络向处于不安全模式下的节点关闭；
所述网络设备（220、230）中的每一个包括
- 收发机（222），其用于无线地从相应网络设备的相邻节点接收数据帧和向相应网络设备的相邻节点发送数据帧，
- 设备控制器（225），其用于根据检测到的网络安全状态来在网络层上控制所述收发机并在所述收发机与该相应网络设备中的更高通信层（223）之间传输数据帧，
所述设备控制器被布置成用于当处于不安全模式时，
- 控制来自更高通信层的数据帧被不安全地发送；
- 如果接收到不安全数据帧的目的地是该相应网络设备的话，控制所述接收到的不安全数据帧被更高通信层接受；
- 如果接收到不安全数据帧的目的地不是该相应网络设备的话，将接收到的不安全数据帧转发到其对应目的节点；并且
所述设备控制器被布置成用于当处于安全模式时，
- 控制来自更高通信层的数据帧被安全地发送；
- 如果接收到的安全数据帧的目的地是该相应网络设备的话，控制接所述收到的安全数据帧被更高通信层接受；
- 当检测到的网络安全状态是部分安全状态时，如果接收到的安全和不安全数据帧的目的地不是该相应网络设备的话，将接收到的不安全和安全数据帧转发到其对应目的节点；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应的目的节点，
所述边界路由器（210）包括
- 边界收发机（212），其用于无线地从所述边界路由器的相邻节点接收数据帧和向所述边界路由器的相邻节点发送数据帧，
- 骨干网收发机（216），其用于从所述骨干网接收数据帧和向所述骨干网发送数据帧，
- 边界控制器（215），其用于根据检测到的网络安全状态来在网络层上控制所述边界收发机和所述骨干网收发机，
所述边界控制器被布置成用于当处于不安全模式时，
- 将接收到的不安全数据帧转发到其对应目的节点；
所述边界控制器被布置成用于当处于安全模式时，
- 当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其对应目的节点或所述骨干网；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应目的节点或所述骨干网。
2.如权利要求1所述的网络系统，其中
在所述配置器中，所述配置器控制器（205）被布置成用于通过以下各步骤来确定网络安全状态
发送网络锁定消息以将网络安全状态设置成安全状态；
发送网络解锁消息以将网络安全状态设置成部分安全状态；
在所述网络设备中，所述设备控制器（225）被布置成用于当接收到网络锁定消息时将检测到的网络安全状态设置成安全状态，并且用于当接收到网络解锁消息时将检测到的网络安全状态设置成部分安全状态。
3.如权利要求1或2所述的网络系统，其中
在所述配置器中，所述配置器控制器（205）被布置成用于确定为另一网络安全状态——加入状态，其中，所述无线网络被关闭，并且所述节点处于安全模式，同时启用处于不安全模式且与处于安全模式的节点相距一跳的加入节点的加入；
在所述网络设备中，所述设备控制器（225）被布置成用于当处于安全模式时，
- 当检测到的网络安全状态是加入状态时，在无保护之后将接收到的安全数据帧转发到加入节点；并且在保护之后从加入节点转发接收到的不安全数据帧，
在所述边界路由器中，所述边界控制器（215）被布置成用于当处于安全模式时，
- 当检测到的网络安全状态是加入状态时，在无保护之后将接收到的安全数据帧转发到加入节点；并且在保护之后从加入节点转发接收到的不安全数据帧。
4.如从属于权利要求2的权利要求3所述的网络系统，其中
在所述配置器中，所述配置器控制器（205）被布置成用于通过以下各步骤来确定网络安全状态
发送加入边缘消息以将网络安全状态设置成加入状态；
在所述网络设备中，所述设备控制器（225）被布置成用于当接收到加入边缘消息时，将检测到的网络安全状态设置成加入状态。
5.如权利要求1或2所述的网络系统，其中
在所述网络设备中，所述设备控制器（225）被布置成用于当检测到的网络安全状态是部分安全状态且如果路由启用两个路径时，路由到其中下一链路安全的路径；
在所述边界路由器中，所述边界控制器（215）被布置成用于当检测到的网络安全状态是部分安全状态且如果路由启用两个路径时，路由到其中下一链路安全的路径。
6.如权利要求1或2所述的网络系统，其中
在所述网络设备中，所述设备控制器（225）被布置成用于当检测到的网络安全状态是部分安全状态时，
如果从不安全节点接收到不安全帧并转发到不安全节点，则帧被不安全地转发；
- 如果从不安全节点接收到不安全帧并转发到安全节点，则帧在转发之前是安全的；
- 如果从安全节点接收到安全帧并转发到不安全节点，则帧在转发之前首先是不安全的；
- 如果从安全节点接收到不安全帧，则帧被丢弃。
7.如权利要求1或2所述的网络系统，其中
在所述网络设备中，所述设备控制器（225）被布置成用于
- 将来自加入节点的加入消息仅朝着边界路由器路由并将来自边界路由器的加入消息路由回到加入节点，
在所述边界路由器中，所述边界控制器（215）被布置成用于
- 将来自加入节点的加入消息仅朝着边界路由器路由并将来自边界路由器的加入消息路由回到加入节点，和/或
- 如果路径中的第一通信链路是到安全节点，则保护来自骨干网的数据帧且然后转发，并且如果路径中的第一通信链路不是到安全节点，则将来自骨干网的数据帧不安全地转发。
8.一种配置器，用于一种网络系统，所述网络系统包括网络设备、边界路由器和配置器的网络系统，
所述网络设备和所述边界路由器组成无线网络（252）中的节点，在所述节点之间具有无线通信链路的网状结构，并且
所述边界路由器（210）被连接到骨干网（251），
所述无线网络使得在不安全模式下操作的加入节点能够通过与所述配置器交换加入消息来加入所述无线网络，该配置器基于所述加入消息来认证所述加入节点，并且经由所述加入消息而使得所述加入节点能够在安全模式下操作，
所述配置器（200）包括被布置成用于确定网络安全状态的配置器控制器（205），所述网络安全状态包括
—不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；
—部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；
—安全状态，其中，所述无线网络向处于不安全模式下的节点关闭；
所述网络设备（220、230）中的每一个包括
- 收发机（222），其用于无线地从相应网络设备的相邻节点接收数据帧和向相应网络设备的相邻节点发送数据帧，
- 设备控制器（225），其用于根据检测到的网络安全状态来在网络层上控制收发机并在收发机与该相应网络设备中的更高通信层（223）之间传输数据帧，
所述设备控制器被布置成用于当处于不安全模式时，
- 控制来自更高通信层的数据帧被不安全地发送；
- 如果接收到不安全数据帧的目的地是该相应网络设备的话，控制所述接收到的不安全数据帧被更高通信层接受；
- 如果接收到不安全数据帧的目的地不是该相应网络设备的话，将接收到的不安全数据帧转发到其对应目的节点；并且
所述设备控制器被布置成用于当处于安全模式时，
- 控制来自更高通信层的数据帧被安全地发送；
- 如果接收到的安全数据帧的目的地是该相应网络设备的话，控制接所述收到的安全数据帧被更高通信层接受；
- 当检测到的网络安全状态是部分安全状态时，如果接收到的安全和不安全数据帧的目的地不是该相应网络设备的话，将接收到的不安全和安全数据帧转发到其对应目的节点；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应的目的节点，
所述边界路由器（210）包括
- 边界收发机（212），其用于无线地从所述边界路由器的相邻节点接收数据帧和向所述边界路由器的相邻节点发送数据帧，
- 骨干网收发机（216），其用于从骨干网接收数据帧和向骨干网发送数据帧，
- 边界控制器（215），其用于根据检测到的网络安全状态来在网络层上控制所述边界收发机和所述骨干网收发机，
所述边界控制器被布置成用于当处于不安全模式时，
- 将接收到的不安全数据帧转发到其对应目的节点；
所述边界控制器被布置成用于当处于安全模式时，
- 当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其对应目的节点或所述骨干网；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应目的节点或所述骨干网。
9.一种网络设备，用于一种网络系统，所述网络系统包括多个网络设备、边界路由器和配置器的网络系统，
所述网络设备和所述边界路由器组成无线网络（252）中的节点，在所述节点之间具有无线通信链路的网状结构，并且
所述边界路由器（210）被连接到骨干网（251），
所述无线网络使得在不安全模式下操作的加入节点能够通过与所述配置器交换加入消息来加入所述无线网络，该配置器基于所述加入消息来认证所述加入节点，并且经由所述加入消息而使得所述加入节点能够在安全模式下操作，
所述配置器（200）包括被布置成用于确定网络安全状态的配置器控制器（205），所述网络安全状态包括
—不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；
—部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；
—安全状态，其中，所述无线网络向处于不安全模式下的节点关闭；
所述网络设备（220、230）包括
- 收发机（222），其用于无线地从所述网络设备的相邻节点接收数据帧和向所述网络设备的相邻节点发送数据帧，
- 设备控制器（225），其用于根据检测到的网络安全状态来在网络层上控制收发机并在收发机与所述网络设备中的更高通信层（223）之间传输数据帧，
所述设备控制器被布置成用于当处于不安全模式时，
- 控制来自更高通信层的数据帧被不安全地发送；
- 如果接收到不安全数据帧的目的地是所述网络设备的话，控制所述接收到的不安全数据帧被更高通信层接受；
- 如果接收到不安全数据帧的目的地不是所述网络设备的话，将接收到的不安全数据帧转发到其对应目的节点；并且
所述设备控制器被布置成用于当处于安全模式时，
- 控制来自更高通信层的数据帧被安全地发送；
- 如果接收到的安全数据帧的目的地是所述网络设备的话，控制接所述收到的安全数据帧被更高通信层接受；
- 当检测到的网络安全状态是部分安全状态时，如果接收到的安全和不安全数据帧的目的地不是所述网络设备的话，将接收到的不安全和安全数据帧转发到其对应目的节点；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应的目的节点；
所述边界路由器（210）包括
- 边界收发机（212），其用于无线地从所述边界路由器的相邻节点接收数据帧和向所述边界路由器的相邻节点发送数据帧，
- 骨干网收发机（216），其用于从骨干网接收数据帧和向骨干网发送数据帧，
- 边界控制器（215），其用于根据检测到的网络安全状态来在网络层上控制所述边界收发机和所述骨干网收发机，
所述边界控制器被布置成用于当处于不安全模式时，
- 将接收到的不安全数据帧转发到其对应目的节点；
所述边界控制器被布置成用于当处于安全模式时，
- 当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其对应目的节点或所述骨干网；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应目的节点或所述骨干网。
10.一种边界路由器，用于一种网络系统，所述网络系统包括网络设备、边界路由器和配置器的网络系统，
所述网络设备和所述边界路由器组成无线网络（252）中的节点，在所述节点之间具有无线通信链路的网状结构，并且
所述边界路由器（210）被连接到骨干网（251），
所述无线网络使得在不安全模式下操作的加入节点能够通过与所述配置器交换加入消息来加入所述无线网络，该配置器基于所述加入消息来认证所述加入节点，并且经由所述加入消息而使得所述加入节点能够在安全模式下操作，
所述配置器（200）包括被布置成用于确定网络安全状态的配置器控制器（205），所述网络安全状态包括
—不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；
—部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；
—安全状态，其中，所述无线网络向处于不安全模式下的节点关闭；
所述网络设备（220、230）中的每一个包括
- 收发机（222），其用于无线地从相应网络设备的相邻节点接收数据帧和向相应网络设备的相邻节点发送数据帧，
- 设备控制器（225），其用于根据检测到的网络安全状态来在网络层上控制收发机并在收发机与该相应网络设备中的更高通信层（223）之间传输数据帧，
所述设备控制器被布置成用于当处于不安全模式时，
- 控制来自更高通信层的数据帧被不安全地发送；
- 如果接收到不安全数据帧的目的地是该相应网络设备的话，控制所述接收到的不安全数据帧被更高通信层接受；
- 如果接收到不安全数据帧的目的地不是该相应网络设备的话，将接收到的不安全数据帧转发到其对应目的节点；并且
所述设备控制器被布置成用于当处于安全模式时，
- 控制来自更高通信层的数据帧被安全地发送；
- 如果接收到的安全数据帧的目的地是该相应网络设备的话，控制接所述收到的安全数据帧被更高通信层接受；
- 当检测到的网络安全状态是部分安全状态时，如果接收到的安全和不安全数据帧的目的地不是该相应网络设备的话，将接收到的不安全和安全数据帧转发到其对应目的节点；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应的目的节点，
所述边界路由器（210）包括
- 边界收发机（212），其用于无线地从所述边界路由器的相邻节点接收数据帧和向所述边界路由器的相邻节点发送数据帧，
- 骨干网收发机（216），其用于从骨干网接收数据帧和向骨干网发送数据帧，
- 边界控制器（215），其用于根据检测到的网络安全状态来在网络层上控制所述边界收发机和所述骨干网收发机，
所述边界控制器被布置成用于当处于不安全模式时，
- 将接收到的不安全数据帧转发到其对应目的节点；
所述边界控制器被布置成用于当处于安全模式时，
- 当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其对应目的节点或所述骨干网；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其对应目的节点或所述骨干网。
11.如权利要求10所述的边界路由器，其中
所述边界控制器（215）被布置成用于
- 在所述节点与所述配置器之间路由加入消息，和/或
- 如果接收到的不安全数据帧的目的地是预定义目的地地址的话，仅经由骨干网转发所述接收到的不安全数据帧，和/或
- 当处于不安全模式时，阻止所述边界收发机与所述骨干网收发机之间的数据帧的转发。
12.供在如权利要求1所述的网络系统中使用的配置方法，所述方法包括
基于加入消息来认证加入节点，并且经由所述加入消息而使得所述加入节点能够在安全模式下操作，并且确定网络安全状态包括
—不安全状态，其中，所有节点处于不安全模式，并且所述无线网络对加入节点开放；
—部分安全状态，其中，至少一个节点处于安全模式，并且所述无线网络对加入节点开放；
—安全状态，其中，所述无线网络向处于不安全模式下的节点关闭。
13.供在如在权利要求1所述的网络系统中使用的控制网络设备的方法，所述方法包括
- 根据检测到的网络安全状态，在网络层上控制收发机，并且在收发机与网络设备中的更高通信层之间传输数据帧，
当处于不安全模式时，
- 控制来自更高通信层的数据帧被不安全地发送；
- 如果接收到的不安全数据帧的目的地是网络设备的话，控制所述接收到的不安全数据帧被更高通信层接受；
- 将接收到的不安全数据帧转发到其它节点；并且
当处于安全模式时，
- 控制来自更高通信层的数据帧被安全地发送；
- 如果接收到的安全数据帧的目的地是网络设备的话，控制所述接收到的安全数据帧被更高通信层接受；
- 当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到其它节点；并且
- 当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点。
14.供在如在权利要求1所述的网络系统中使用的控制边界路由器的方法，所述方法包括
- 根据检测到的网络安全状态，在网络层上控制边界收发机和骨干网收发机，
- 当处于不安全模式时，将接收到的不安全数据帧转发到其它节点，
- 当处于安全模式时，且当检测到的网络安全状态是部分安全状态时，将接收到的不安全和安全数据帧转发到所述其它节点或所述骨干网；以及
- 当处于安全模式时，且当检测到的网络安全状态是安全状态时，丢弃接收到的不安全数据帧并将接收到的安全数据帧转发到其它节点或所述骨干网。
15.一种其上存储计算机可执行指令的计算机可读存储介质，所述指令当由计算设备执行时，使得所述计算设备实现如权利要求12－14中的任一个所述的方法。
CN201580060605.2A 2014-11-07 2015-10-28 网络系统及其相应的方法和计算机可读存储介质 Expired - Fee Related CN107079029B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP14192247.6 2014-11-07
EP14192247 2014-11-07
PCT/EP2015/074916 WO2016071166A1 (en) 2014-11-07 2015-10-28 Bootstrapping in a secure wireless network

Publications (2)

Publication Number Publication Date
CN107079029A CN107079029A (zh) 2017-08-18
CN107079029B true CN107079029B (zh) 2020-12-11

Family

ID=51893871

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201580060605.2A Expired - Fee Related CN107079029B (zh) 2014-11-07 2015-10-28 网络系统及其相应的方法和计算机可读存储介质

Country Status (4)

Country Link
US (1) US20180288618A1 (zh)
EP (1) EP3216186A1 (zh)
CN (1) CN107079029B (zh)
WO (1) WO2016071166A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9621948B2 (en) * 2015-01-29 2017-04-11 Universal Electronics Inc. System and method for prioritizing and filtering CEC commands
US11005892B2 (en) * 2017-09-17 2021-05-11 Allot Ltd. System, method, and apparatus of securing and managing internet-connected devices and networks
US11669389B1 (en) 2018-03-29 2023-06-06 Keep Security, Llc Systems and methods for secure deletion of information on self correcting secure computer systems
US10579465B1 (en) * 2018-03-29 2020-03-03 Keep Security LLC Systems and methods for self correcting secure computer systems
US11263074B1 (en) 2018-03-29 2022-03-01 Keep Security, Llc Systems and methods for self correcting secure computer systems
JP7273523B2 (ja) * 2019-01-25 2023-05-15 株式会社東芝 通信制御装置および通信制御システム
US11606840B2 (en) * 2020-03-06 2023-03-14 Hewlett Packard Enterprise Development Lp Connecting access point to mesh network
US11914686B2 (en) 2021-10-15 2024-02-27 Pure Storage, Inc. Storage node security statement management in a distributed storage cluster

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008151672A1 (en) * 2007-06-14 2008-12-18 Telefonaktiebolaget Lm Ericsson (Publ) Network-based local mobility management
CN101494862A (zh) * 2008-12-05 2009-07-29 北京工业大学 无线网状网络接入认证方法
CN101835147A (zh) * 2002-11-25 2010-09-15 富士通株式会社 用于安全、便携、无线和多跳数据连网的方法和设备
CN102204179A (zh) * 2008-10-27 2011-09-28 西门子企业通讯有限责任两合公司 用于提供无线网状网络中的安全机制的方法
CN102301640A (zh) * 2009-01-27 2011-12-28 索尼公司 多层级无线家庭网格网络的认证
CN102843340A (zh) * 2011-06-21 2012-12-26 中兴通讯股份有限公司 接入认证方法、装置和系统

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4506506B2 (ja) * 2005-02-28 2010-07-21 沖電気工業株式会社 無線アクセス装置、および、通信制御方法
US7681231B2 (en) * 2005-06-10 2010-03-16 Lexmark International, Inc. Method to wirelessly configure a wireless device for wireless communication over a secure wireless network
US20070147620A1 (en) * 2005-12-28 2007-06-28 Heyun Zheng Method for encryption key management for use in a wireless mesh network
US20070257813A1 (en) * 2006-02-03 2007-11-08 Silver Spring Networks Secure network bootstrap of devices in an automatic meter reading network
US7936878B2 (en) * 2006-04-10 2011-05-03 Honeywell International Inc. Secure wireless instrumentation network system
US7966659B1 (en) * 2006-04-18 2011-06-21 Rockwell Automation Technologies, Inc. Distributed learn mode for configuring a firewall, security authority, intrusion detection/prevention devices, and the like
US8955081B2 (en) * 2012-12-27 2015-02-10 Motorola Solutions, Inc. Method and apparatus for single sign-on collaboraton among mobile devices
US9319409B2 (en) * 2013-02-14 2016-04-19 Sonos, Inc. Automatic configuration of household playback devices
US9510130B2 (en) * 2013-05-28 2016-11-29 Gainspan Corporation Provisioning of multiple wireless devices by an access point
US9756047B1 (en) * 2013-10-17 2017-09-05 Mobile Iron, Inc. Embedding security posture in network traffic

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101835147A (zh) * 2002-11-25 2010-09-15 富士通株式会社 用于安全、便携、无线和多跳数据连网的方法和设备
WO2008151672A1 (en) * 2007-06-14 2008-12-18 Telefonaktiebolaget Lm Ericsson (Publ) Network-based local mobility management
CN102204179A (zh) * 2008-10-27 2011-09-28 西门子企业通讯有限责任两合公司 用于提供无线网状网络中的安全机制的方法
CN101494862A (zh) * 2008-12-05 2009-07-29 北京工业大学 无线网状网络接入认证方法
CN102301640A (zh) * 2009-01-27 2011-12-28 索尼公司 多层级无线家庭网格网络的认证
CN102843340A (zh) * 2011-06-21 2012-12-26 中兴通讯股份有限公司 接入认证方法、装置和系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
无线局域网可信接入模型研究;张启明;《中国优秀硕士学位论文全文数据库-信息科技辑》;20130215;全文 *
网络准入控制技术与设计;张莉;《信息安全与通信保密》;20090910;全文 *

Also Published As

Publication number Publication date
WO2016071166A1 (en) 2016-05-12
US20180288618A1 (en) 2018-10-04
CN107079029A (zh) 2017-08-18
EP3216186A1 (en) 2017-09-13

Similar Documents

Publication Publication Date Title
CN107079029B (zh) 网络系统及其相应的方法和计算机可读存储介质
US10009833B2 (en) Managed access point protocol
US8630275B2 (en) Apparatus, method, and medium for self-organizing multi-hop wireless access networks
US9391959B2 (en) Automated control plane for limited user destruction
US11997635B2 (en) Establishing simultaneous mesh node connections
US9661022B2 (en) System and method for authorizing devices joining a network fabric
CN108141433B (zh) 用于在网络中使用的设备、控制器、网络和方法
CN107005534B (zh) 一种安全连接建立的方法和装置
US20130089001A1 (en) Associating wi-fi stations with an access point in a multi-access point infrastructure network
US8990892B2 (en) Adapting extensible authentication protocol for layer 3 mesh networks
JP4578917B2 (ja) 自己組織化マルチホップ無線アクセスネットワーク用の装置、方法及び媒体
Messerges et al. A security design for a general purpose, self-organizing, multihop ad hoc wireless network
US20200396613A1 (en) Securing transmission paths in a mesh network
US20130283050A1 (en) Wireless client authentication and assignment
Bergmann et al. Secure bootstrapping of nodes in a CoAP network
Chen et al. Over the air provisioning of industrial wireless devices using elliptic curve cryptography
WO2011064858A1 (ja) 無線認証端末
Sethi et al. Secure network access authentication for IoT devices: EAP framework vs. individual protocols
WO2024033247A1 (en) Improved security establishment methods and systems
Lykouropoulos et al. Connect street light control devices in a secure network
Saay Toward authentication mechanisms for Wi-Fi mesh networks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20201211

Termination date: 20211028