CN109997342B - 在网络装置内提供服务的方法、相应的装置及存储介质 - Google Patents

在网络装置内提供服务的方法、相应的装置及存储介质 Download PDF

Info

Publication number
CN109997342B
CN109997342B CN201780073955.1A CN201780073955A CN109997342B CN 109997342 B CN109997342 B CN 109997342B CN 201780073955 A CN201780073955 A CN 201780073955A CN 109997342 B CN109997342 B CN 109997342B
Authority
CN
China
Prior art keywords
communication connection
network access
network
configuration data
detection device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201780073955.1A
Other languages
English (en)
Other versions
CN109997342A (zh
Inventor
R.法尔克
S.弗里斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of CN109997342A publication Critical patent/CN109997342A/zh
Application granted granted Critical
Publication of CN109997342B publication Critical patent/CN109997342B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H04L63/0218—Distributed architectures, e.g. distributed firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Abstract

本发明涉及在网络装置内提供服务的方法和相应的装置。在网络装置之内的适合于接收服务的检测装置（EV）具有各装置分别用于：提供在能应用在所述网络装置中的通信协议层的传输层上或上方的加密安全；针对至少一个其它的、在传输层下方要加密地保护的在所述检测装置与所述网络访问装置之间的第二通信连接产生和/或规定网络访问配置数据；将所产生的和/或所规定的网络访问配置数据提供给所述网络访问装置；在所述检测装置与在所述网络访问装置中所设立的其它网络入口之间建立至少其它的第二通信连接，其中通过所述其它的第二通信连接能向所述检测装置提供一个或多个服务。

Description

在网络装置内提供服务的方法、相应的装置及存储介质
技术领域
本发明涉及一种用于在网络装置之内提供至少一个服务、尤其是在汽车环境下在网络装置之内提供至少一个服务的方法和装置以及一种所属的计算机程序（产品）。
背景技术
在确定场景下、例如在汽车中或者也在工业4.0环境下，能够合理的是：使通信连接彼此间安全地相关。因此，只有当已经在两个通信伙伴之间存在或建立第一通信连接时，才能允许或建立第二通信连接。
在汽车领域，例如当用户已经利用加油柱或充电桩进入到第一通信关系或第一通信连接来进行燃料或能量接收时，可以在加油柱或充电桩上提供数字服务或附加服务（也被称作增值服务（Value Added Services，VAS））。
在工业4.0环境下，类似于在PC上在连接新硬件时通过加载匹配的驱动程序的所谓的即插即用，在技术设施中的组件的所谓即插即用至关重要。在这种背景下，可以使用与第一通信连接绑定的第二通信连接。
在此，尤其在汽车领域以及也在工业4.0环境下越来越重要的是：支持对通信协议的灵活选择。还必须保证上面提到的第二通信连接，该第二通信连接防操纵地绑定到现有的第一通信连接上。
可能的是：在网络之内通过网络服务服务器来给用户提供服务。
从DE 10 2007 030 775 B3公知一种用于过滤网络装置中的网络服务和网络服务内容以便例如针对不同的用户群体实现对网页的访问限制的方法。
这种服务主要在电信中或在因特网中起重要作用。
公知如下技术：
- IEEE 802.1x标准提供了一种用于在IEEE 802网络中进行认证和授权的方法。通过使用认证服务器（例如所谓的RADIUS服务器或DIAMETER服务器）的可能性，在该环境下也可以在本地使陌生的用户实现网络访问。基于IEEE 802.1x的解决方案，其中客户端在所使用的通信协议层（例如OSI模型或TCP/IP协议栈）的第2层（层2）上相对于基础设施组件（通常是RADIUS服务器）实现认证，该基础设施组件在成功认证之后针对用户激活在网络访问点的访问（参见维基百科）：
https://de.wikipedi.org/wiki/IEEE 802.1X
- PANA（Protocol for Carrying Authentication for Network Access（网络接入认证承载协议））是基于IP的协议（第3层），该协议能够实现针对网络访问来对用户进行认证（也参见https://en.wikipedia.org/wiki/Protocol for Carrying Authenticationfor Network Access）
- SOCKS是因特网协议，其允许客户端-服务器应用与协议无关地并且透明地使用代理服务器的服务（参见https://de.wikipedia.org/wiki/SOCKS）。在此，SOCKS本身并没有设置对通信连接的自身保护，但可以通过现有的协议、如TLS（Transport LayerSecurity（传输层安全），参见IETF RFC 5246 https://tools.ietf. Org/html/rfc5246））来保护。
- 此外，从IETF RFC 5246公知：执行TLS会话恢复（Session Resumption），其中一方面在闭门会议（会话）中的会话可以在结束之后直至确定时间重新进行。另一方面，借此可以倍增在通信伙伴之间的其它TLS会话。在该倍增的情况下，实现了到原来的（最初的）会议的绑定。
- 从 RFC 5929（参见https://tools.ietf.org/html/rfc5929）
公知对TLS信道的信道绑定（Channel Binding）。在这种情况下，将现有的TLS信道加密绑定到其它信道上。该信道绑定对于每个连接来说都是特定的，与是否使用上面提到的会话恢复无关。支持作为信道绑定类型的tls-unique值的TLS实现方案必须提供至应用程序的接口，该应用程序获得针对TLS连接的信道绑定。
ISO标准15118限定了在充电站与充电控制设备（例如，如开头提到的那样，电动汽车或电动车辆的充电控制设备）之间的充电控制通信。在通信方面，第1版本的ISO 15118基于电力线通信（PLC）和具有IP和TCP协议的TCP/IP协议栈（面向连接）。在其它应用情况下，替选地利用用户数据报文协议（User Datagram Protocol，UDP）（无连接地）来交换数据。在应用层，用于名称检测的域名系统（DNS）、用于数据在传输层（第4层）上的加密和完整性的传输层安全（TLS）、车对电网传输协议（Vehicle to Grid Transport Protocol，V2GTP）和用于智能充电（Smart Charging）的模块都置于协议栈上。在TLS协议的情况下，充电桩必须相对于车辆被证明是值得信任的实体。然后在通信伙伴之间协商密钥，通过该密钥，受保护的通信是可能的。（参见http://www.itwissen.info/definition/lexikon/ISO-15118-ISO-15118.html）。
上面提及的来自RFC 5246和RFC 5929的技术的应用作为上面提到的ISO标准15118的扩展是可能的，以便将这些技术用于无线充电通信。无线充电通信是第2版ISO15118的一部分而且前后一致地针对其中也进行感应式充电的应用情况。
两个RFC方案具有如下缺点：为了保护在充电控制设备与充电桩之间的无线通信连接，必须单独地保护与附加服务（VAS=Value added Services（增值服务））的提供商的通信而且因此必须实现封装协议。该封装能够实现保护通信以防第三方的劫持（非自愿接管）。
本发明的任务是在上面提到的环境下改善安全或保护措施。
发明内容
该任务通过专利独立权利要求来解决。有利的扩展方案是从属权利要求的主题。
本发明要求保护一种用于在网络装置之内提供至少一个服务的方法，该网络装置具有：
- 一个或多个检测装置；和
- 一个或多个网络访问装置，一个或多个（所提到的）检测装置能分别耦合到所述一个或多个网络访问装置上；
该方法具有如下步骤：
- 针对在检测装置之一与网络访问装置之一之间的至少一个现有的第一通信连接提供在能应用在网络装置中的通信协议层的传输层上或上方的加密安全，该第一通信连接被用于监视由检测装置所检测到的数据和/或借助由检测装置所检测到的数据来控制在网络装置之内的其它装置；
- 针对至少一个其它的、在传输层下方要加密地保护的在检测装置与网络访问装置之间的第二通信连接产生和/或规定网络访问配置数据；
- 在使用针对第一通信连接所提供的加密安全的情况下，将所产生的和/或所规定的网络访问配置数据提供给网络访问装置；
- 借助于这些被提供的网络访问配置数据，在网络访问装置中设立至少一个针对该至少一个其它的第二通信连接所确定的网络入口；
- 借助于所产生的和/或所规定的网络访问配置数据，在检测装置与在网络访问装置中所设立的其它网络入口之间建立所提到的至少一个其它的第二通信连接，其中通过该至少一个其它的第二通信连接向检测装置提供或者能向检测装置提供一个或多个服务。
在此，在一个或多个第一通信连接中，在通信伙伴之间协商即插即用。一个或多个第二通信连接可以被用于实时控制通信。
通信连接也可以是通信信道或者也可以利用捆绑信道来建立。通信协议层被应用到通信连接上，其中在第4层（传输层）上或上方，针对尤其是在两个或更多个通信伙伴之间的数据包形式的数据，提供至少一个虚拟的或逻辑的传输连接（或传输信道）。已知的针对通信协议层的模型是OSI模型和TCP/IP协议栈。在第3层上，通常使用TCP（面向连接）或UDP（无连接）或类似的。
本发明的一个扩展方案规定：所提到的针对第一通信连接的加密保护通过所谓的TLS加密或DTLS加密来实现。
第二通信连接可以绑定到第一通信连接上（信道绑定）或与该第一通信连接有关。
本发明的一个扩展方案规定：当第一通信连接必要时通过网络访问装置或者必要时通过检测装置来结束时，结束第二通信连接。在此，网络访问配置数据可以被删除。
本发明的一个扩展方案规定：所产生的和/或所规定的网络访问配置数据包括公开或隐藏的网络名称和/或访问密钥。
本发明的一个扩展方案规定：所设立的其它网络入口时间上受限制，而且在第一通信连接被结束的时间点之后不再供支配。
本发明的一个扩展方案规定：通过如下方式来提供所产生的和/或所规定的网络访问配置数据：借助于所提到的加密保护的第一通信连接来传输这些网络访问配置数据或者从所提到的加密保护的第一通信连接的环境中推导出这些网络访问配置数据。
本发明的一个扩展方案规定：所产生的和/或所规定的网络访问配置数据包括公开或隐藏的网络名称和/或访问密钥。
本发明的一个扩展方案规定：所设立的其它网络入口时间上受限制，而且在第一通信连接被结束的时间点之后不再供支配。
本发明的一个扩展方案规定：所述一个或多个网络访问装置容许网络访问装置与网络服务服务器的通信连接，以便由网络服务服务器来提供所提到的服务中的一个或多个服务。
本发明的一个扩展方案规定：针对与网络服务服务器的这个通信连接，激活在网络访问装置中的端口，该端口被用于与检测装置的第二通信连接。为此，可以使用开头提到的SOCKS协议或其扩展SOCKS5。
本发明的一个扩展方案规定：根据第一通信连接来激活该端口。
本发明的一个扩展方案规定：所要激活的端口被预先配置或者根据所提到的网络访问配置数据动态地来确定。
本发明的特点在于如下优点：
所提出的方案能够实现：通过网络访问装置更差别化地激活与服务提供商的通信连接，其中对应用协议没有限制，因为实现了在第4层之下的保护。所提出的方案还能够实现在没有附加的配置数据通信的情况下激活通信连接，因为检测装置和网络访问装置都可以在本地计算所有参数。通过绑定到第一通信连接上，还可以保证自动拆除第二通信连接。
本发明的另一方面规定了一种在网络装置之内的适合于接收服务的检测装置，该检测装置具有：
- 如下装置，所述装置用于针对在所述检测装置与布置在所述网络装置中的网络访问装置之间的至少一个现有的第一通信连接提供在能应用在网络装置中的通信协议层的传输层上或上方的加密安全，该第一通信连接能被用于监视由检测装置所检测到的数据和/或借助由检测装置所检测到的数据来控制在网络装置之内的其它装置；
- 如下装置，所述装置用于针对至少一个其它的、在传输层下方要加密地保护的在检测装置与网络访问装置之间的第二通信连接产生和/或规定网络访问配置数据；
- 如下装置，所述装置用于在使用针对第一通信连接所提供的加密安全的情况下，将所产生的和/或所规定的网络访问配置数据提供给网络访问装置；
- 如下装置，所述装置用于借助于所产生的和/或所规定的网络访问配置数据，在检测装置与在网络访问装置中所设立的其它网络入口之间建立至少一个其它的第二通信连接，其中通过该其它的第二通信连接能向检测装置提供一个或多个服务。
该检测装置可以根据关于上面提到的方法的实施方式/扩展方案来构造或扩展。
本发明的另一方面规定了一种在网络装置之内的适合于针对检测装置提供服务的网络访问装置，该网络访问装置具有：
- 如下装置，所述装置用于将所产生的和/或所规定的网络访问配置数据用于建立至少一个第二通信连接，该至少一个第二通信连接是在使用针对至少一个第一通信连接所提供的在能应用在网络装置中的通信协议层的传输层上或上方的加密安全来提供的，其中该至少第一通信连接能被用于监视由检测装置所检测到的数据和/或借助由检测装置所检测到的数据来控制在网络装置之内的其它装置；
- 如下装置，所述装置用于借助于这些被提供的网络访问配置数据来设立至少一个其它的网络入口；
- 如下装置，所述装置用于借助于所提供的网络访问配置数据，在检测装置与所设立的其它网络入口之间建立至少其它的第二通信连接，其中通过该其它的第二通信连接能向检测装置提供一个或多个服务。
该网络访问装置可以根据关于上面提到的方法的实施方式/扩展方案来构造或扩展。
本发明的另一方面规定了一种网络装置，该网络装置具有至少一个根据上面提到的实施方式之一的检测装置和至少一个根据上面提到的实施方式之一的网络访问装置，所述检测装置能耦合到所述网络访问装置上，其中所述检测装置和网络访问装置被设计为执行根据上面提到的实施方式之一的方法。
本发明的另一方面是具有至少一个计算机程序的计算机程序产品，该计算机程序产品具有如下装置，该装置用于当该至少一个计算机程序在上文提到的网络装置之内分布地被实施时执行根据上面提到的实施方式之一的方法。
相对应地，该计算机程序（产品）可以基本上类似于该方法及其设计方案或扩展方案地来构造或扩展。
附图说明
一个或多个实施例：
本发明的其它优点、细节和扩展方案从随后结合附图对实施例的描述中得到。
在此，附图1示意性地示出了流程图，该流程图的步骤或在检测装置与网络访问装置以及必要时网络服务服务器之间的消息流可以被实施。
具体实施方式
在该附图1中，示出了多个可能的检测装置中的一个检测装置EV，该检测装置可以被构造为在电动汽车中的充电控制设备。至少一个第一通信连接可被用于监视由检测装置所检测到的数据和/或借助由检测装置所检测到的数据来控制在网络装置之内的其它装置。这种检测装置通常检测测量数据、例如嵌入到电动汽车中的蓄能器的充电状态，其中这些测量数据可以借助于传感器来检测。执行器通常借助于物理致动器来控制对蓄能器的充电。此外，设置必要时多个网络访问装置中的一个网络访问装置EVSE，该网络访问装置可以与服务提供商的（网络服务）服务器tz1保持通信连接。在这种情况下，网络访问装置可以是充电桩的一部分。
也可设想的是：在工业4.0环境下，检测装置集成到如下设备中，该设备不被设置用于控制充能过程，而是为了所谓的即插即用（Plug & Work）而运行与网络访问装置的实时通信，该网络访问装置针对该设备提供关于“即用”的配置。
通常，按时间顺序，首先建立第一通信连接或第一通信信道或者也建立多个第一通信连接或第一通信信道。在该附图1中用1)表征的从具有名称“VW1”的检测装置EV到网络访问装置EVSE的已知的端口“RWE1”的通信信道TLS1被建立或设立或者该通信信道已经存在。网络访问装置EVSE借助于服务器证书被认证为TLS连接结构的部分。在该示例中，检测装置EV通过由用户在网络访问装置EVSE上的本地认证来间接地被认证。现在，在车对电网（V2G）通信的环境中，检测装置EV可以向网络访问装置EVSE要求提供服务或实现服务。
基于所建立的第一TLS连接，在两侧可以推导出所有对于例如具有SSID“VW1RWE1”的第二通信连接、例如临时WLAN或临时WLAN连接（WLAN：Wireless Local Access Network（无线局域网））来说所需的参数。当应用UDP协议而不是TCP协议时，TLS连接也可以是DTLS连接（DTLS：数据报文TSL）。在用3)来表征的步骤中，在推导出这些参数之后，网络访问装置EVSE提供具有该SSID的WLAN连接。所需的网络密钥通过推导tls_unique值来确定。接着，检测装置EV可以基于在具有SSID“VW1RWE1”的WLAN中在本地确定的登记数据来登记。在用4)来表征的步骤中，对服务提供商的（网络服务）服务器tz1的受保护的访问取决于服务提供商的安全策略或安全规则。在用5)来表征的步骤中，网络访问装置可以建立与服务提供商tz1的服务器的通信。
为了实现一个或多个其它的、绑定到第一通信连接上的与被设立在网络访问装置中的网络入口或WLAN访问点的第二通信连接，如下实施方式是可能的：
优选地，在检测装置（诸如EV）与网络访问装置（诸如EVSE）之间无线地建立第一通信连接。该网络访问装置已经提供服务，诸如用于能通过检测装置来控制的蓄能器的无线充电服务。在工业4.0环境下，第一通信连接提供了一种网络访问控制。在此，以所要控制的设备进行对当前的软件更新是否被安装、病毒扫描程序是否保持最新的配置检查。只有当配置被识别为有效时，才提供WLAN配置（也就是说，只有当事先已经检查了配置时，才能通过WLAN访问VAS）。也可以检查其它参数（例如是否存在紧急诊断数据），例如设备是否已被操纵（例如发动机控制）。根据该检查，可以实现与一个或多个上面提到的、未在该附图1中示出的第三装置、例如修理部门的连接，以便例如呈报被操纵的设备。
优选地，该第一通信连接可以通过安全协议TLS“传输层安全（Transport LayerSecurity）”、也就是说在传输层上被建立。
通过TLS来实现服务器相对于客户端的至少一个单方面的认证。客户端、这里在该示例中是检测装置相对于服务器、这里在该示例中是网络访问装置来认证，优选地通过如下可能性之一来给出：
- 借助于客户端侧的在TLS中的认证（例如客户端证书或者所谓的具有TLSPSK的预共享密钥）来进行认证
- 借助于应用协议通过现有的TLS连接（例如HTTP摘要（HTTP Digest）、JWT安全令牌（JWT Security Token）、XML安全（XML-Security））来进行认证
- 直接由用户在服务器上通过其它接口、即与TLS连接无关地（在当前的示例中，这可以是通过RFID来激活或者也可以直接是支付行动，该支付行动将客户端绑定到服务器上）来进行认证。
由此存在实现对客户端的认证或必要时也省去客户端认证的高灵活性。尽管如此，仍应该安全地建立一个或者必要时多个第二通信连接，所述第二通信连接可以明确地、防操纵地被分配给同一客户端。为此使用第一TLS通信连接，以便向客户端提供用于受保护的网络入口的网络配置数据（尤其是用于加密保护的WLAN通信连接的配置，该配置尤其包括密钥材料和网络名称、例如SSID作为识别信息）。
用于第二通信连接的这些网络配置数据对于该客户端来说特定地（也就是说是临时的、对于该客户端来说单独的WLAN入口）来配置：
在客户端与服务器之间（通过未受保护的第一网络入口）建立TLS通信连接（也参见该附图1中的1)和2)）；
- 产生或形成和/或确定或规定用于受保护的网络入口的动态的网络访问配置数据（在第3层之下，优选地第2层：IEEE 802.11 WLAN、以太网MACsec、具有第2层隧道的IPsec）。在此，可以随机地或伪随机的产生至少一个参数（PSK-Key（密钥）、网络名称（SSID））（也参见该附图1中的3)）；
- 由服务器根据所产生的网络访问配置数据来配置/设立第二临时网络入口；
- 在使用TLS连接的情况下（通过TLS连接来明确地传输配置数据，或者根据TLS连接来确定网络访问配置数据）将动态的网络访问配置数据提供给客户端；
- 由客户端根据动态的网络访问配置来建立受保护的第二网络入口（参见该附图1中的5)）。
在工业4.0环境下，可以将第二通信连接用于实时控制通信。关于即插即用方面的协商通过第一连接来进行。
优选地，当用于传输网络访问配置数据的TLS连接结束时，由服务器结束第二网络入口（停用所设立的网络入口，删除网络配置数据）。优选地，如果被用于设立的TLS通信连接结束，则由客户端来结束第二通信连接。优选地，如果被用于设立的TLS通信连接结束，则客户端删除针对第二通信连接所设立的网络入口。
该第一通信连接的建立可以具体地在服务器的能规定的已知的端口处通过公共WLAN（自己的SSID，SSID本身是公开的）来实现。替选地，服务器或端口的地址也可以通过（服务）发现协议（例如LLDP）来确定。在该WLAN中，服务器不能实现与服务提供商的外部服务器的连接建立。该第一通信连接尤其被用于在无线（电感式）充电过程的情况下传输控制通信。在网络访问控制连接的情况下，如上面已经阐述的那样，服务器现在可以自动地或者应客户端的询问而产生用于附加的WLAN的临时SSID（WLAN网络名称）。该SSID同样可以是公开的（也就是说通过所谓的WLAN信标而公知），但也可以是隐藏的（也就是说只能通过探测请求（Probe-Request）来检查）。
服务器通过第一通信连接（例如通过第一通信连接经由TLS协议）向客户端通知该SSID。临时SSID也可以根据所限定的模式来构造，使得客户端可以本身形成该临时SSID。可能的方案是：临时SSID=服务名称|客户端标识符，其中客户端标识符例如可以是MAC地址。服务名称可以是已知的名称而且例如对应于公开WLAN的SSID。具有临时SSID的第二WLAN是访问保护的（WEP、WPA、WPA2或类似的）。为此所需的数据可以直接或者例如通过单独的协议消息经由第一（安全）通信连接被通知给客户端。客户端和服务器可以使用在第一通信连接中建立的安全关联，以便从中推导出用于第二通信连接的访问数据。为此，例如对TLS来说，能使用来自RFC 5929的已知的推导，以便借助于tls_unique值来建立与第二通信连接的加密绑定。因此，客户端和服务器从“tls_unique”推导出用于具有临时SSID的WLAN的访问密码“pw_temp_SSID”。例如可以使用哈希函数、如SHA256，作为推导函数。pw_temp_SSID = h( tls_unique∣客户端标识符∣服务名称)。其它参数可以注入该推导（这里例如客户端标识符和服务名称）。客户端可以只利用临时SSID通过WPA2（或类似的）与WLAN安全地连接，而且与服务提供商的服务器通过服务器来保护地进行通信（与外部服务提供商的端到端通信通常单独地受保护）。服务器可以限制与临时WLAN的被接受的连接的数目。
根据服务器安全策略（Server Security Policy，安全要求），一旦第一通信连接结束，就删除临时SSID并且拆除所有连接。替选地，该临时SSID可以保持存在，直至客户端明确地或者在预先给定的时间之后撤销该SSID。
尽管本发明是详细地通过优选的实施例进一步图解说明和描述的，但是本发明并不限于所公开的示例，而且其它变型方案可以由本领域技术人员从中推导出来，而不脱离本发明的保护范围。
上文描述的过程或方法流程的实现方案可以借助如下指令来实现，所述指令存在于计算机可读的存储介质上或者存在于易失性计算机存储器（在下文概括地称为计算机可读的存储器）中。计算机可读的存储器例如是易失性存储器、如缓存、缓冲或RAM，以及非易失性存储器、如可移动磁盘、硬盘，等等。
在此，上面描述的功能或步骤可以以至少一个指令集的形式存在于计算机可读的存储器上/计算机可读的存储器中。在此，这些功能或步骤没有绑定到确定的指令集上或绑定到指令集的确定形式上或者绑定到确定存储介质上或者绑定到确定处理器上或者绑定到确定实施方案上，而且可以通过软件、固件、微码、硬件、处理器、集成电路等等单独运行地或以任意的组合地来实施。在此，可以使用极不同的处理策略，例如由单个的处理器的串行处理或者多重处理或多任务或并行处理等等。
这些指令可以存储在本地存储器中，但是也可能的是，将这些指令存储在远程系统上并且经由网络来访问该远程系统。
术语“处理器”、“中央信号处理装置”、“控制单元”或“数据分析装置”如这里所使用的那样包括广义上的处理装置，即例如服务器、通用处理器、图形处理器、数字信号处理器、专用集成电路（ASIC）、可编程逻辑电路（如FPGA）、分立模拟或数字电路和它们的任意的组合，包括所有其它本领域技术人员已知的或者在将来研发的处理装置在内。在此，处理器可由一个或多个设备或装置或单元组成。如果一个处理器由多个设备组成，那么这些设备可以被设计或配置用于并行地或串行地处理或实施指令。

Claims (26)

1.一种用于在网络装置之内提供至少一个服务的方法，所述网络装置具有：
- 一个或多个检测装置；和
- 一个或多个网络访问装置，一个或多个检测装置能分别耦合到所述一个或多个网络访问装置上；
所述方法具有如下步骤：
- 针对在所述检测装置之一与所述网络访问装置之一之间的至少一个现有的第一通信连接提供在能应用于所述网络装置中的通信协议层的传输层上或上方的加密安全，所述第一通信连接被用于监视由所述检测装置所检测到的数据和/或借助由所述检测装置所检测到的数据来控制在所述网络装置之内的其它装置；
- 针对在所述检测装置与所述网络访问装置之间的至少一个其它的第二通信连接产生和/或规定网络访问配置数据；
- 在使用针对所述第一通信连接所提供的加密安全的情况下，将所产生的和/或所规定的网络访问配置数据提供给所述网络访问装置，其中通过如下方式来提供所产生的和/或所规定的网络访问配置数据：从被加密保护的所述第一通信连接的环境中推导出所述网络访问配置数据；
- 借助于被提供的所述网络访问配置数据，在所述网络访问装置中设立至少一个针对所述至少一个其它的第二通信连接所确定的网络入口；
- 借助于所产生的和/或所规定的网络访问配置数据，在所述检测装置与在所述网络访问装置中所设立的其它网络入口之间建立所提到的至少一个其它的第二通信连接，其中通过所述其它的第二通信连接能向所述检测装置提供一个或多个服务。
2.根据权利要求1所述的方法，其特征在于，所提到的针对所述第一通信连接的加密保护通过所谓的TLS加密或DTLS加密来实现。
3.根据权利要求1所述的方法，其特征在于，所述第二通信连接绑定到所述第一通信连接上。
4.根据权利要求1所述的方法，其特征在于，如果所述第一通信连接结束，则所述第二通信连接结束。
5.根据上述权利要求1-4之一所述的方法，其特征在于，所述至少一个其它的第二通信连接在所述传输层下方要加密地被保护。
6.根据上述权利要求1-4之一所述的方法，其特征在于，所产生的和/或所规定的网络访问配置数据包括公开或隐藏的网络名称和/或访问密钥。
7.根据上述权利要求1-4之一所述的方法，其特征在于，所设立的其它网络入口时间上受限制，而且在所述第一通信连接被结束的时间点之后不再供支配。
8.根据权利要求1所述的方法，其特征在于，所述一个或多个网络访问装置容许所述网络访问装置与网络服务服务器的通信连接，以便由所述网络服务服务器来提供所提到的服务中的一个或多个服务。
9.根据权利要求8所述的方法，其特征在于，针对与所述网络服务服务器的所述通信连接，激活在所述网络访问装置中的端口，所述端口被用于与所述检测装置的第二通信连接。
10.根据权利要求9所述的方法，其特征在于，所述端口根据所述第一通信连接来激活。
11.根据权利要求9或10所述的方法，其特征在于，所要激活的端口被预先配置或者根据所提到的网络访问配置数据动态地来确定。
12.一种在网络装置之内的适合于接收服务的检测装置，所述检测装置具有：
- 用于针对在所述检测装置与布置在所述网络装置中的网络访问装置之间的至少一个现有的第一通信连接提供在能应用于所述网络装置中的通信协议层的传输层上或上方的加密安全的装置，所述第一通信连接能被用于监视由所述检测装置所检测到的数据和/或借助由所述检测装置所检测到的数据来控制在所述网络装置之内的其它装置；
- 用于针对在所述检测装置与所述网络访问装置之间的至少一个其它的第二通信连接产生和/或规定网络访问配置数据的装置；
- 用于在使用针对第一通信连接所提供的加密安全的情况下将所产生的和/或所规定的网络访问配置数据提供给所述网络访问装置的装置，其中通过如下方式来提供所产生的和/或所规定的网络访问配置数据：从被加密保护的所述第一通信连接的环境中推导出所述网络访问配置数据；
- 用于借助于所产生的和/或所规定的网络访问配置数据在所述检测装置与在所述网络访问装置中所设立的其它网络入口之间建立至少其它的第二通信连接的装置，其中通过所述其它的第二通信连接能向所述检测装置提供一个或多个服务。
13.根据权利要求12所述的检测装置，其特征在于，其中所述至少一个其它的第二通信连接在所述传输层下方要加密地被保护。
14.根据权利要求12或13所述的检测装置，其特征在于，所提到的针对所述第一通信连接的加密保护能通过所谓的TLS加密或DTLS加密来实现。
15.一种在网络装置之内的适合于针对检测装置提供服务的网络访问装置，所述网络访问装置具有：
- 用于将所产生的和/或所规定的网络访问配置数据用于建立至少一个第二通信连接的装置，所述至少一个第二通信连接是在使用针对至少一个第一通信连接所提供的在能应用于所述网络装置中的通信协议层的传输层上或上方的加密安全来提供的，其中所述至少一个第一通信连接能被用于监视由所述检测装置所检测到的数据和/或借助由所述检测装置所检测到的数据来控制在所述网络装置之内的其它装置，其中能通过如下方式来提供所产生的和/或所规定的网络访问配置数据：从被加密保护的所述第一通信连接的环境中推导出所述网络访问配置数据；
- 用于借助于被提供的所述网络访问配置数据来设立至少一个其它的网络入口的装置；
- 用于借助于所提供的网络访问配置数据在所述检测装置与所设立的其它网络入口之间建立至少其它的第二通信连接的装置，其中通过所述其它的第二通信连接能向所述检测装置提供一个或多个服务。
16.根据权利要求15所述的网络访问装置，其特征在于，所设立的其它网络入口时间上受限制，而且在所述第一通信连接结束的时间点之后不再供支配。
17.根据权利要求15所述的网络访问装置，其特征在于，所述网络访问装置容许与网络服务服务器的通信连接，以便能由所述网络服务服务器来提供所提到的服务中的一个或多个服务。
18.根据权利要求17所述的网络访问装置，其特征在于，针对与所述网络服务服务器的所述通信连接，能激活在所述网络访问装置中的端口，所述端口能被用于与所述检测装置的第二通信连接。
19.根据权利要求18所述的网络访问装置，其特征在于，所述端口能根据所述第一通信连接来激活。
20.根据权利要求18或19所述的网络访问装置，其特征在于，所要激活的端口被预先配置或者能根据所提到的网络访问配置数据动态地来确定。
21.根据上述权利要求15至19之一所述的网络访问装置，其特征在于，所提到的针对所述第一通信连接的加密保护能通过所谓的TLS加密或DTLS加密来实现。
22.一种网络装置，所述网络装置具有至少一个根据上述权利要求12至14之一所述的检测装置和至少一个根据上述权利要求15至21之一所述的网络访问装置，所述检测装置能耦合到所述网络访问装置上，其中所述检测装置和网络访问装置被设计为执行根据上述方法权利要求之一所述的方法。
23.根据权利要求22所述的网络装置，其特征在于，所述第二通信连接绑定到所述第一通信连接上。
24.根据权利要求22所述的网络装置，其特征在于，所述第二通信连接的结束取决于所述第一通信连接的结束。
25.根据上述权利要求22至24之一所述的网络装置，其特征在于，所产生的和/或所规定的网络访问配置数据包括公开或隐藏的网络名称和/或访问密钥。
26.一种计算机可读存储介质，具有至少一个计算机程序，用于当所述至少一个计算机程序在根据权利要求22-25之一所述的网络装置之内分布地被实施时执行根据权利要求1-11之一所述的方法。
CN201780073955.1A 2016-11-29 2017-10-09 在网络装置内提供服务的方法、相应的装置及存储介质 Active CN109997342B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102016223633.4A DE102016223633A1 (de) 2016-11-29 2016-11-29 Verfahren und Einrichtungen zum Bereitstellen von mindestens einem Dienst, insbesondere im Automotive-Umfeld
DE102016223633.4 2016-11-29
PCT/EP2017/075587 WO2018099639A1 (de) 2016-11-29 2017-10-09 Verfahren und einrichtungen zum bereitstellen von mindestens einem dienst, insbesondere im automotive-umfeld

Publications (2)

Publication Number Publication Date
CN109997342A CN109997342A (zh) 2019-07-09
CN109997342B true CN109997342B (zh) 2022-01-14

Family

ID=60201506

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201780073955.1A Active CN109997342B (zh) 2016-11-29 2017-10-09 在网络装置内提供服务的方法、相应的装置及存储介质

Country Status (6)

Country Link
US (2) US11658943B2 (zh)
EP (1) EP3526949B1 (zh)
JP (1) JP6851480B2 (zh)
CN (1) CN109997342B (zh)
DE (1) DE102016223633A1 (zh)
WO (1) WO2018099639A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210092103A1 (en) * 2018-10-02 2021-03-25 Arista Networks, Inc. In-line encryption of network data

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101061656B (zh) * 2005-01-21 2012-07-11 思科技术公司 无线网络凭证提供
CN102971985A (zh) * 2010-07-09 2013-03-13 西门子公司 车辆蓄电池充电的方法和控制单元
CN103379589A (zh) * 2012-04-12 2013-10-30 株式会社理光 无线通信系统、无线通信方法及无线终端
CN105101059A (zh) * 2015-07-14 2015-11-25 百度在线网络技术（北京）有限公司 应用终端的配置方法及装置
CN105323761A (zh) * 2014-07-29 2016-02-10 精工爱普生株式会社 设备控制装置以及设备控制方法

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10142959A1 (de) * 2001-09-03 2003-04-03 Siemens Ag Verfahren, System und Rechner zum Aushandeln einer Sicherheitsbeziehung auf der Anwendungsschicht
DE102007030775B3 (de) 2007-07-03 2009-02-19 Siemens Ag Verfahren zum Filtern von Netzwerkdiensten und Netzwerkdiensteinhalten
US8604750B2 (en) 2010-02-23 2013-12-10 Optimization Technologies, Inc. Electric vehicle charging stations with touch screen user interface
JP5842362B2 (ja) * 2011-03-31 2016-01-13 富士通株式会社 プログラム、情報通信機器および連携方法
US9021278B2 (en) 2011-08-10 2015-04-28 Qualcomm Incorporated Network association of communication devices based on attenuation information
JP2014024458A (ja) 2012-07-27 2014-02-06 Auto Network Gijutsu Kenkyusho:Kk 給電装置及び携帯通信機探索システム
US9749134B2 (en) * 2013-06-20 2017-08-29 Qualcomm Incorporated Wireless configuration using passive near field communication
US9647883B2 (en) * 2014-03-21 2017-05-09 Nicria, Inc. Multiple levels of logical routers
GB2530040B (en) * 2014-09-09 2021-01-20 Arm Ip Ltd Communication mechanism for data processing devices

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101061656B (zh) * 2005-01-21 2012-07-11 思科技术公司 无线网络凭证提供
CN102971985A (zh) * 2010-07-09 2013-03-13 西门子公司 车辆蓄电池充电的方法和控制单元
CN103379589A (zh) * 2012-04-12 2013-10-30 株式会社理光 无线通信系统、无线通信方法及无线终端
CN105323761A (zh) * 2014-07-29 2016-02-10 精工爱普生株式会社 设备控制装置以及设备控制方法
CN105101059A (zh) * 2015-07-14 2015-11-25 百度在线网络技术（北京）有限公司 应用终端的配置方法及装置

Also Published As

Publication number Publication date
DE102016223633A1 (de) 2018-05-30
EP3526949A1 (de) 2019-08-21
JP6851480B2 (ja) 2021-03-31
US20220368680A1 (en) 2022-11-17
WO2018099639A1 (de) 2018-06-07
CN109997342A (zh) 2019-07-09
US11658943B2 (en) 2023-05-23
EP3526949B1 (de) 2021-06-16
US20200067943A1 (en) 2020-02-27
JP2019537382A (ja) 2019-12-19
US11838280B2 (en) 2023-12-05

Similar Documents

Publication Publication Date Title
JP6844908B2 (ja) セキュアセッションの確立と暗号化データ交換のためのコンピュータ利用システム及びコンピュータ利用方法
CN106576096B (zh) 用于对具有不等能力的设备的认证的装置、方法及介质
Tschofenig et al. Transport layer security (tls)/datagram transport layer security (dtls) profiles for the internet of things
CN107005569B (zh) 端对端服务层认证
CN106664311B (zh) 支持异构电子设备之间差异化的安全通信
CN103155512B (zh) 用于对服务提供安全访问的系统和方法
EP3723399A1 (en) Identity verification method and apparatus
US8639936B2 (en) Methods and entities using IPSec ESP to support security functionality for UDP-based traffic
CN101371550B (zh) 自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和系统
KR101688118B1 (ko) 사물인터넷 환경에서의 보안 통신 장치 및 그 방법
CN112235235A (zh) 一种基于国密算法的sdp认证协议实现方法
CN104219217A (zh) 安全关联协商方法、设备和系统
CN109041263B (zh) 一种TBox蓝牙连接方法和装置
CN113015159B (zh) 初始安全配置方法、安全模块及终端
WO2021109967A1 (zh) 初始配置方法及终端设备
CN106169952A (zh) 一种英特网密钥管理协议重协商的认证方法及装置
Fossati RFC 7925: Transport Layer Security (TLS)/Datagram Transport Layer Security (DTLS) Profiles for the Internet of Things
KR20090102050A (ko) 서버 기반 이동 인터넷 프로토콜 시스템에 있어서 보안방법
CN112205018B (zh) 监控网络中的加密连接的方法、设备
US11838280B2 (en) Method and devices for providing at least one service, in particular in the automotive environment
WO2016184351A1 (zh) 无线网络的ip地址分配方法和系统
CN110602112A (zh) 一种mqtt安全传输数据的方法
CN115868189A (zh) 建立车辆安全通信的方法、车辆、终端及系统
CN111357305B (zh) 可移动平台的通信方法、设备、系统及存储介质
WO2006128384A1 (fr) Procede de creation d'une combinaison securisee de protocole de securite ip

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant