CN110024351B - 将设备与云端安全连接的方法、数字存储介质和处理单元 - Google Patents

将设备与云端安全连接的方法、数字存储介质和处理单元 Download PDF

Info

Publication number
CN110024351B
CN110024351B CN201780073540.4A CN201780073540A CN110024351B CN 110024351 B CN110024351 B CN 110024351B CN 201780073540 A CN201780073540 A CN 201780073540A CN 110024351 B CN110024351 B CN 110024351B
Authority
CN
China
Prior art keywords
cloud
security
communication channel
client
microservice
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201780073540.4A
Other languages
English (en)
Other versions
CN110024351A (zh
Inventor
阿米特·维尔马
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of CN110024351A publication Critical patent/CN110024351A/zh
Application granted granted Critical
Publication of CN110024351B publication Critical patent/CN110024351B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明涉及一种将设备与云端安全连接的方法、数字存储介质和处理单元，实现将设备(12‑16)与云端(10)安全连接，使得相应的设备(12‑16)首先与云端(10)的礼宾服务(24)连接，并且设备给礼宾服务传输与由设备(12‑16)提供的安全功能相关的信息，随后礼宾服务(24)根据由进行请求的设备(12‑16)传输的、关于安全功能的信息来确定与设备(12‑16)相匹配的安全配置文件，并且礼宾服务将进行请求的设备(12‑16)与匹配于所确定的安全配置文件的通信信道(26‑30)相连接。

Description

将设备与云端安全连接的方法、数字存储介质和处理单元
技术领域
本发明首先涉及一种用于将设备(客户端)与所谓的云端连接的方法，该方法用于例如可经由因特网、内联网等访问的应用、平台和IT(信息技术)基础架构。本发明还涉及用于执行该方法的计算机程序以及用于实施该方法的、例如所谓的网关形式的处理单元。
背景技术
云端服务的应用越来越普遍，更确切地说还用于所谓的IIoT应用(IIoT＝工业物联网)。然而，在使用云端服务时的各种安全风险是有问题的。因此，例如会存在损害数据的机密和完整性的威胁，例如由于未经授权地窃听传输到云端的数据和/或由于改变传输到云端的或从云端调用的数据。
从US 9,087,189中已知一种用于将设备与云端连接的方法，其中，设备与专用网关连接并且给该网关传输关于设备的安全状态的信息。仅当安全状态符合准则中确定的要求时，才能连接到云端中。在这种准则的范围中，例如能够限定：进行请求的设备具有安全软件、特别是在准则范围中预定的版本的安全软件，掌握特定的密匙类型，和/或必须具有杀毒软件或防火墙。
发明内容
本发明的目的是给出用于将设备(客户端)与云端安全连接的方法。
根据本发明，该目的借助本发明的方法来实现。根据该方法，将在下文中称为礼宾服务(Conciergedienst)的专用服务用于设备(客户端)与云端的安全连接。在使用该礼宾服务的情况下，在此提出的用于将设备与云端安全连接的方法包括如下步骤：客户端与云端的礼宾服务连接，并且客户端给该礼宾服务传输与由客户端提供的一个或多个安全功能相关的信息。随后，礼宾服务根据由客户端传输的、关于客户端的一个或多个安全功能的信息来确定与进行请求的客户端相匹配的安全配置文件(Sicherheitsprofil)。最后，礼宾服务将进行请求的客户端与来自通信信道组的、匹配于所确定的安全配置文件的通信信道连接或者促成该连接。
在此介绍的方案的优点在于：每个客户端根据由该客户端提供的安全功能来连接来自通信信道组的、匹配于安全功能的通信信道，并且与具有较低性能的安全功能或没有安全功能以及与此相关的安全配置文件的客户端相比，具有高性能的安全功能和相应的安全配置文件的客户端以该方式能够被不同地处理。这在使用借助于云端提供的服务的情况下实现至今为止无法提供的、监视和控制的可行性，并且因此获得用于相应客户端的用户的、提高的安全性，但是主要也获得用于使用云端的相同服务的其他客户端的用户的、提高的安全性。
在此，根据客户端的安全配置文件的、来自通信信道组的各个通信信道与各个客户端的关联例如使得能够根据安全配置文件来使用经由各个通信信道的加密通信，从而具有高性能的安全功能和相应的安全配置文件的客户端使用完全支持应用相应安全功能的通信信道，而具有较低性能的安全功能或没有安全功能的客户端例如使用也能不加密地传输数据的通信信道。
例如，根据设备/客户端的安全配置文件，能够从多个通信信道所构成的组中选择匹配于安全配置文件的通信信道，并且然后经由所选择的通信信道与云端进行通信。因此，根据进行请求的客户端的安全配置文件，从通信信道组中选择通信信道是可行的。
通信信道组例如为多个(至少在局部)并行的通信信道，沿着在云端一方或云端中的一个或多个应用(特别是云端中的一个或多个所谓的服务)一方与进行请求的设备一方或进行请求的云端一方之间的至少一个部段能够已经建立或者可以建立这些通信信道。然后，设备或客户端经由所选择的通信信道与或能够与云端或云端中的一个或多个应用、特别是云端中的一个或多个所谓的服务连接。例如，通信信道能够与一个或多个微服务相关联，例如通信信道能够包括一个或多个微服务或由一个或多个微服务组成。在此，通信信道组中的通信信道能够在一个或多个微服务的功能和/或微服务的数量和/或微服务的顺序方面彼此不同。一个或多个或者全部通信信道例如能够由微服务中的一个或多个形成。为了该目的，能够根据设备的或客户端的安全功能或安全配置文件来选择一个或多个微服务。在此，针对不同的安全功能和/或不同的安全配置文件，也能够选择不同的微服务。
在该方法的一个实施方式中，将设备与匹配于设备的所确定的安全配置文件的通信信道的连接与来自用于设备的第一微服务组的、所预定的或能预定的第一微服务的开启相关联。将客户端与通信信道的连接与特定的微服务(即为了区分称为第一微服务的、例如实现将数据存储在云端中的微服务)的开启相关联表示：与通信信道的连接和特定的第一微服务的开启同时或至少关联地进行，例如通过将一个特定的第一微服务或多个特定的第一微服务与每个通信信道相关联的方式。开启仅特定的第一微服务例如根据对相应的客户端分别确定的安全配置文件限制了在云端中存储、改变和/或删除数据的可能性，并且确保了具有高性能的安全配置文件的客户端与具有相对低的安全配置文件的客户端相比获得不同的和被扩展的可能性。
在该方法的一个附加的或可选的实施方式中，将设备(客户端)与匹配于该客户端的所确定的安全配置文件的通信信道的连接与来自第二微服务组的、所预定的或能预定的第二微服务的激活相关联，第二微服务用于监控经由通信信道传输的数据。将客户端与通信信道的连接与特定的微服务(即为了区分称为第二微服务的、例如用于客户端的认证和/或授权的微服务)的激活相连接表示：与通信信道的连接和特定的第二微服务的激活同时或至少关联地进行，例如通过将一个特定的第二微服务或多个特定的第二微服务与每个通信信道相关联的方式。经由不同的通信信道、例如利用不同的高性能的加密算法进行数据传输是可行的，而在用于未加密的数据传输的通信信道中激活特定的第二微服务例如也允许检查被传输的数据等。
在该方法的另一个实施方式中，依据在由礼宾服务包括的、与礼宾服务相关联的或者至少能由礼宾服务访问的信道配置数据库中的数据，将设备(客户端)与匹配于该客户端的所确定的安全配置文件的通信信道连接。信道配置数据库实现了在此提出的客户端与云端的安全连接的、简单且必要时也可动态改变的参数化。信道配置数据库可选地还包括关于第一微服务的数据，第一微服务的数据在客户端与用于相应客户端的特定通信信道连接时被释放，和/或信道配置数据库还包括关于第二微服务的数据，第二微服务的数据在客户端与用于经由相应通信信道传输的数据的特定通信信道连接时被激活。这些数据也可选地能动态改变，并因此允许在此提出的用于将客户端与云端安全连接的方法还能实现进一步的参数化。
开头提出的目的还借助于作为接入云端的或接到云端的接口单元起作用的处理单元(特别是网关或节点计算机等形式的处理单元)以如下方式实现，即该处理单元包括用于执行在此和下文描述的方法的部件。本发明优选以软件实施。因此，本发明一方面也是具有可由处理单元形式的计算机执行的程序代码指令的计算机程序，并且另一方面本发明还是具有这种计算机程序的存储介质，即具有计算机代码件的计算机程序产品，并且最后本发明还是如下的处理单元，在该处理单元的存储器中加载或能加载这种计算机程序的、作为用于实施该方法和该方法的设计方案的工具。
为了避免不必要的重复，对于进一步的描述适用的是：结合用于将客户端与云端安全连接的所提出的方法以及可能的设计方案所描述的特征和细节显然也适合结合并且用于确定的和特定的实施该方法的处理单元，并且反之亦然，通过使处理单元包括用于实施处理单元的工具的方式，使得处理单元也能够根据单个或多个方法特征进行改进。
下面描述的用于将设备与云端连接的方法被实施用于以计算机程序的形式、必要时也以分布式计算机程序的形式自动地执行。计算机程序被设定用于由作为接入云端的或接到云端的接口起作用的至少一个处理单元(网关、节点计算机)执行。如果在下文中描述方法步骤或方法步骤顺序，那么这涉及根据计算机程序的或在计算机程序控制下自动且没有用户干预的动作。每次使用术语“自动”至少表示：相关的动作根据计算机程序或在计算机程序控制下进行。
对于本领域专业人员显而易见的是：代替以软件实施在此提出的方法，刚好以固件或以固件和软件或以固件和硬件实施也是可行的。因此对于在此提出的描述适用的是：软件或计算机程序的概念也包括其他的实施可能性，即尤其以固件或以固件和软件或以固件和硬件实施。
附图说明
下面，根据附图详细阐述本发明的实施例。彼此相应的内容或元件在全部附图中具有相同的参考标号。
实施例不可理解为对本发明的限制。更确切地说，在本公开的范围内完全也可以有补充和修改的方案，特别是例如通过各个结合通用或特别的说明部分中描述的、以及在附图中所包含的特征或方法步骤的组合或变型的方案，这些方案在解决所述目的方面对于本领域专业人员是能得出的，并且能由可组合的特征形成新的主题或新的方法步骤或方法步骤顺序。
附图示出：
图1示出云端和设备，该设备为了使用云端中提供的服务而与云端连接或者应该与云端连接；
图2示出不同的设备，这些设备被考虑用于与云端连接或用于使用云端中提供的服务；
图3示出根据在此提出的方案的、作为在一个或多个设备与云端之间的接口起作用的安全功能；以及
图4示出作为用于执行在此提出的方法的实例的计算机程序。
具体实施方式
图1示出示意性简化的概览图，并且示出在一侧以标号表示的所谓的云端10和在另一侧的设备12，该设备应为了与云端10进行通信连接而应该连接该云端。云端10以已知的方式和方法包括多个未示出的、彼此通信连接(例如经由因特网)的设备或服务器。为了区分由云端10包括的设备，不属于云端10的设备12在下面有时也被称为客户端12，该设备应该与云端10连接。由云端10包括的设备的类型和/或数量对于客户端12是不重要的并且通常也是未知的。
在此提出的新型方案中重要的是：至今为止在将客户端12与云端10连接时几乎不设置安全预防措施。理论上，因此在将“恶意的”客户端12与云端10连接时，例如由于删除或改变预留在云端10中的数据或者将恶意程序引入云端10中的方式造成大的损坏。
基于图1中的视图，图2中的视图示出如基于在此提出的新型方案的情景。因此存在如下可行性：借助不同的设备(客户端)尝试与云端10进行连接。例如考虑将基于PC的系统、所谓的智能传感器(smart sensors)和/或传感器网关(例如基于Raspberry Pi(树莓派))、自动化或控制设备(例如可编程逻辑控制器(SPS)或过程控制系统(DCS、PLS)的设备)、状态监视设备和类似设备作为客户端12、13、14、15、16，无论如何都考虑在运行中属于用于控制和/或监视技术过程的自动化解决方案的设备。在云端10之内为客户端12-16例如提供IIoT服务18(IIoT＝工业物联网)，其中例如有用于将数据存储在云端10中的服务20(数据存储)和用于借助云端10的工具分析数据的服务22(数据分析)。
相应的设备12-16的类型以及原则上在云端10中使用的服务18-22的类型在下文中是不重要的。然而能够确定的是：不同的客户端12-16例如在其相应的计算性能方面彼此不同并且由此也产生相应的客户端12-16的不同的安全功能或安全配置文件。提供的安全功能或安全配置文件的相应范围在这些视图中以标号SP表示(SP＝安全配置文件)，并且图2的视图为此示出：与云端10已经连接/进行连接的客户端12-16分别带来不同的安全功能和安全配置文件(SP1、SP2、SP3、SP4、SP5)。为了精确地表述具有特定安全功能和由其得出的安全配置文件的客户端12-16，相应的客户端12-16例如也能被称为SP1客户端12、SP2客户端13、SP3客户端14、SP4客户端15和SP5客户端16。
根据设备的相应的安全功能和由安全功能得出的安全配置文件，使用借助云端10提供的服务18-22的每个设备12-16表现出对于借助云端10提供的功能(云端平台)的潜在风险。
例如，如今常见的基于PC(个人电脑)的系统形式的客户端12-16的计算能力有余力应用原则上高耗费的加密算法(例如SSL(安全套接层)/TSL(传输安全层))，并且这种客户端通常具有用于识别恶意程序的软件(病毒扫描器，木马等)。这种客户端12-16具有高安全功能，并且这种客户端相应地能够与最高的或至少高的等级的安全配置文件(SP1)相关联。当客户端12-16例如为具有较小服务半径和相应较低性能的安全功能或整体数量减小的安全功能的、基于PC的系统或较老的计算机系统时，通常获得较低等级的安全配置文件(SP2)。在这种客户端12-16中，例如在加密传输数据时所使用的密匙(Keys)的长度受到限制，和/或使用性能较低的、但是计算耗费也较低的加密算法。等级还更低的安全配置文件(SP3)例如能够存在于所谓的嵌入式系统(例如用于环境监测)形式的客户端12-16中。由于计算性能有限，这种客户端12-16例如仅仅对于与云端10中提供的服务18交换的数据实现对称加密，以代替原则上更安全的不对称加密。当客户端12-16仅针对特定数据加密地传输数据并且未加密地传输其他数据时，存在等级还更低的安全配置文件(SP4)。具有最低等级的安全配置文件(SP5)的客户端12-16从云端10接收数据并且将数据传输至云端，并且例如在那里使用的服务18通常未被加密。
在不放弃进一步的普遍适用性的情况下，根据云端平台进行以下说明，借助该云端平台提供IIoT服务18-22。在原则上借助于不同的设备(客户端)12-16并且由不同的制造商使用这种服务18-22之后，存在不显著的以下风险，即攻击者尝试借助于“恶意的”客户端12-16或通过“侵入”客户端12-16来获得对云端10中提供的服务18-22的访问。在云端10中提供的服务18-22的保护使得在那里获得提供的服务18-22变难，并且提高使用这种服务18-22的安全性，进而最后也提高被连接的授权的和“善意的”客户端12-16的安全性。
在此处所提出的新型方案基于如下认识：在现有情况下没有为已使用或要使用云端10中的服务18-22的各个客户端12-16设置客户端专用处理。为了解决该问题，设有至少由相应的客户端12-16发送到云端10中和相应的服务18-22处的请求和/或数据的、与相应的安全配置文件(SP1、SP2等)相关的操作。可选地，在相应的客户端12-16上的与安全配置文件相关的操作扩展至从相应的客户端12-16发送到云端10中的请求/数据、和从云端10发送给相应的客户端12-16的答复/数据。
为了该目的，在云端方上设有专用服务，该专用服务在一定程度上监控到云端10的入口、特别是到预留在云端10中的各种服务18-22的入口。因此，该服务起到例如关于建筑物或庄园的、监控到建筑物或庄园的入口的礼宾的作用。为了在语言上与其他在云端10中可用的服务18-22进行区分，该服务在下文中根据之前的附图被称为礼宾服务24(图3)。
图3中的视图示出如下情况的瞬间图像和礼宾服务24，在该情况中，礼宾服务24、各个客户端12-16根据其相应的安全配置文件借助匹配于相应的安全配置文件的通信信道26、27、28、29、30连接到云端10中(以示例示意性地示出的通信信道26-30在图3中以标号CH1、CH2、CH3、CH4和CH5表示)。为了将客户端12-16与通信信道26-30连接，提供多个通信信道26-30，并且礼宾服务24从一组通信信道26-30中选出匹配于相应的客户端12-16的通信信道26-30。依据并且根据下面借助其他细节阐述的功能，礼宾服务24也能够被称为安全配置文件协商器(Security Profile Negotiator)。
礼宾服务24是在云端10中实施的、用于客户端12-16的接口32的一部分，这些客户端期望获得对云端10的服务18-22的访问。礼宾服务24在接口32之内作为用于这种客户端12-16的至少初始的起点使用。这种客户端12-16在礼宾服务24中登记(因此在相应的客户端12-16与礼宾服务24之间建立通信连接)，并且客户端12-16给礼宾服务24传输关于由设备12-16提供的安全功能的信息。为此传输的信息能够为标识符或类似物，该信息将客户端12-16的相应的安全配置文件编码，即例如为数字的或字母式编号的标识符，特别是字符串形式的字母式编号的标识符，例如是“SP1”、“SP2”等。附加地或可选地，所传输的信息也能够是如下信息，该信息例如能够使用一种或多种客户端12-16能够使用的加密算法，和/或将可由用户12-16使用的密匙长度或类似物编码。
根据查询访问云端10的服务18-22的客户端12-16的这种信息，礼宾服务24确定客户端12-16的安全配置文件。在最简单的情况下，礼宾服务24对安全配置文件的确定能够在于：礼宾服务24解释由相应的客户端12-16接收的并且直接对客户端12-16的安全配置文件编码的信息(例如以如“SP1”的字母式编号字符串的形式)。安全配置文件的确定也能够在于：礼宾服务24处理由相应的客户端12-16接收的信息，并且例如借助于查询表(LUT)等评估并且基于查询表等确定安全配置文件。
根据所确定的安全配置文件，礼宾服务24将进行请求的客户端12-16与匹配于所确定的安全配置文件的通信信道26-30连接。客户端12-16与匹配于其安全配置文件的通信信道26-30的这种连接的结果在图3的视图中示例性地示出。具有最高等级的安全配置文件的第一客户端12(SP1；SP1客户端12)与匹配于其的通信信道26(CH1)连接。具有较低的安全配置文件(SP2、SP3、SP4、SP5)的其他的客户端13、14、15、16同样与相应匹配于安全配置文件的通信信道27、28、29、30(CH2、CH3、CH4、CH5)连接。
因此，每个安全配置文件有匹配于其的通信信道26-30，其中通信信道26-30匹配于安全配置文件，使得通信信道26-30又提供匹配于安全配置文件的通信可行性并且与在云端10中预留的服务18-22一起提供。匹配于最高等级的安全配置文件(SP1)的通信信道26(CH1)例如实现使用特别高性能的加密算法，并且匹配于最低等级的安全配置文件(SP5)的通信信道30(CH5)例如实现到云端10中的服务18-22的和来自该服务的未加密的数据传输。
在客户端12-16与云端10中的一个或多个服务18-22之间的接口32除了包括礼宾服务24之外，还包括数据库34(信道配置数据库)、用于云端服务和到云端服务的第一路由器36(云端服务路由器)、用于安全服务的和到安全服务的第二路由器38(安全服务路由器)、以及为了与上述服务18-22区分而被称为微服务的第一微服务40和第二微服务42。
第一微服务40(云端微服务；C1、C2、C3、C4)例如包括用于将数据存储在云端10中的服务、用于租户管理的服务(租户管理服务)、用于数据分析等的服务、例如车队管理应用、基准应用、资产管理应用、保修管理应用、或这种服务和应用的子功能。第一路由器36(云端服务路由器)将通信信道26-30或各个通信信道26-30与一个第一微服务40或各个第一微服务40连接。尤其根据存储在信道配置数据库34中的且可选地尤其可由用户动态匹配的数据，实施通信信道26-30与一个第一微服务40或各个第一微服务40的连接。
第二微服务42(安全微服务；S1、S2、S3、S4)包括用于认证和/或授权的服务、用于找出恶意软件的服务、用于启发式安全检查的服务(启发式安全扫描)、用于分析在通信范围内取得的传输的数据的服务(深度包检测)、用于所谓的沙盒(Sandboxing)的服务等等。对于经由通信信道26-30或各个通信信道26-30从客户端12-16到云端10中、或可选地从客户端12-16到云端10中以及从云端10到客户端12-16的数据，第二路由器38(安全服务路由器)促使执行一个第二微服务42或各个第二微服务42。类似于通信信道26-30与一个第一微服务40或各个第一微服务40的关联，就此也存在通信信道26-30与一个第二微服务42或各个第二微服务42的关联。尤其根据存储在信道配置数据库34中的且可选地尤其可由用户动态匹配的数据，实施通信信道26-30与一个第二微服务42或各个第二微服务42的关联。
借助信道配置数据库34例如能够确定：在使用例如附图中用参考标号28表示的通信信道(CH3)的情况下，至少将特定的第二微服务42(例如用标号S1、S2和S5表示的第二微服务42)用于经由通信信道传输到云端10中的数据，并且在使用该通信信道28的情况下，应使用特定的第一微服务40(例如用标号C1、C3、C4表示的第一微服务40)。就此，在信道配置数据库34中存储将该关联编码的数据。这针对刚刚描述的实例用标号进行如下描述：CH3：S＝{S1,S2,S5}；C＝{C1,C3,C4}。通常，信道配置数据库34的内容针对每个利用接口32保护和监控的通信信道26-30因此能够进行如下描述：CHx：S＝{Sa..Sb}|Sa,Sb∈{S1..Sn}；C＝{Ca..Cb}|Ca,Cb∈{C1..Cn}。
在一个具体的实例中，作为客户端12-16尝试连接于云端10以使用一个或多个在那里提供的服务18-22的设备12-16是嵌入式设备，例如是用于记录、处理和转发传感器数据的嵌入式设备。当该设备不提供传输保护的、尤其加密的数据的可能性并因此仅能够将数据未保护地和/或未加密地传输到云端10中时，礼宾服务24识别低等级的安全配置文件，例如识别最低安全等级的安全配置文件(SP5)。未加密的或以其他适合方式和方法(例如借助客户端12-16的基于证书的认证)保护的通信例如易受所谓的中间人攻击。因此，在这种SP5客户端16中，与云端10的和与那里所提供的服务18-22的全部通信经由为此所设的通信信道26-30、在此经由图3中具有参考标号30的通信信道(CH5)展开，并且在由SP5客户端16使用该通信信道30(CH5)时自动地、即根据信道配置数据库34中的数据来激活用于经由通信信道30(CH5)传输的数据的、与通信信道30(CH5)连接的特定的第二微服务42(安全微服务)。借此，由SP5客户端16传输到云端10中的数据例如经受特别彻底的检测(深度包检测)、和/或启发式安全检查(启发式安全扫描)。在另一侧，同样根据信道配置数据库34中的数据，SP5客户端16仅具有对特定的、匹配于低安全等级的第一微服务40(云端微服务)的受限制的访问。因此，SP5客户端16例如仅能够将时间序列数据(Time Series Data)等发送给作为云端10中的数据存储器起作用的服务20(数据存储)，并且例如不传输数据和/或不从云端10下载数据。同样地，例如不使用第一微服务40来配置SP5客户端16(设备管理微服务)。因此，当具有由于无安全功能或性能低的安全功能而获得低等级的安全配置文件的客户端12-16被攻击者接管、或者攻击者接入到客户端12-16与云端10的通信中时，限制攻击者的处理可能性，并且有效地防止的是：攻击者能够例如侦查、修改或删除外来数据。
为了保护服务18-22和/或云端10中的数据，并且为了将在此介绍的方案嵌入到云端10的入口中，显然能提出：对要进行保护的服务18-22和其数据的访问可以仅经由借助礼宾服务24实现，以及在特定的实施方式中借助包括礼宾服务24的接口32管理的通信信道26-30和/或开启的第一微服务40实现。
图4中的视图最后以示意性简化的形式示出流程图形式的计算机程序44，其作为以软件实施方法的实例。据此，方法包括第一步骤46，在第一步骤期间设备12-16与云端10的礼宾服务24连接，并且设备将关于由设备12-16提供的安全功能的信息传输给礼宾服务。在第一步骤46期间，礼宾服务24从尝试连接云端10的设备12-16接收该信息。在随后的第二步骤48中，礼宾服务24根据由设备12-16在第一步骤46期间传输的、关于设备的安全功能的信息来确定匹配于进行请求的设备12-16的安全配置文件。在最后的第三步骤50中，礼宾服务24将进行请求的设备12-16与匹配于安全配置文件的通信信道26-30相连接。可选地，第三步骤50包括第四步骤52、或第四步骤52和第五步骤54。在第四步骤52中，开启来自用于设备12-16的一组第一微服务40的、预定的或能预定的第一微服务40。在第五步骤54中，激活用于监控经由所选择的通信信道26-30传输的数据的一组第二微服务42的、预定的或能预定的第二微服务42。例如，预设或能够预设信道配置数据库34中的相应的数据形式的、第一微服务40和/或第二微服务42。
如这在图4中示意性简化地示出的那样，计算机程序44借助实施在此介绍的方法和必要时单个或多个实施方式被加载到处理单元58的存储器56中，处理单元例如是作为接入云端10或接到云端10的网关起作用的处理单元58，并且计算机程序在处理单元58运行时被执行，以用于将设备12-16与云端10连接。
尽管通过优选的实施例详细地阐述和描述了本发明，然而本发明不被公开的实例限制，并且能够由本领域专业人员从中推导出其他的变型方案，而不偏离本发明的保护范围。
在此提交的说明书的前面描述的各个方面由此能够简短地总结如下：在此提出的新型方案实现了将设备12-16与云端10安全连接，使得相应的设备12-16首先与云端10的礼宾服务24连接，并且设备将关于由设备12-16提供的安全功能的信息传输给礼宾服务，随后礼宾服务24根据由进行请求的设备12-16传输的、关于设备的安全功能的信息来确定匹配于该设备12-16的安全配置文件，并且礼宾服务将进行请求的设备12-16与来自多个通信信道26-30的组的、匹配于所确定的安全配置文件的通信信道26-30相连接，使得每个借助于礼宾服务24与云端10连接的客户端12-16根据客户端的相应的安全配置文件使用通信信道26-30，其中在该方法的设计方案中，借助每个通信信道26-40和/或安全配置文件能够补充另外的关于安全配置文件特定的控制可能性，例如对经由未保护的通信信道26-30传输的数据进行特别彻底的检查，和/或根据客户端的安全配置文件和/或使用的通信信道26-30对客户端12-18进行功能限制。

Claims (5)

1.一种用于将设备(12-16)与云端(10)安全连接的方法，所述方法具有以下步骤：
设备(12-16)与所述云端(10)的礼宾服务(24)连接，并且所述设备为所述礼宾服务(24)传输与由所述设备(12-16)提供的安全功能相关的信息，
其特征在于，
所述礼宾服务(24)根据由所述设备(12-16)传输的、关于所述设备的安全功能的信息来确定与进行请求的所述设备(12-16)相匹配的安全配置文件，并且
所述礼宾服务(24)将进行请求的所述设备(12-16)与来自用于与所述云端(10)通信的通信信道(26-30)组的、匹配于所确定的所述安全配置文件的通信信道(26-30)相连接；其中，依据在能由所述礼宾服务(24)访问的信道配置数据库(34)中的数据，将设备(12-16)与匹配于所述设备(12-16)的所确定的所述安全配置文件的通信信道(26-30)连接。
2.根据权利要求1所述的方法，其中，将设备(12-16)与匹配于所述设备(12-16)的所确定的所述安全配置文件的通信信道(26-30)的连接与来自用于所述设备(12-16)的第一微服务(40)组的、所预定的或能预定的第一微服务(40)的开启相关联。
3.根据权利要求1或2所述的方法，其中，将设备(12-16)与匹配于所述设备(12-16)的所确定的所述安全配置文件的通信信道(26-30)的连接与来自第二微服务(42)组的、所预定的或能预定的第二微服务(42)的激活相关联，所述第二微服务用于监控经由所述通信信道(26-30)传输的数据。
4.一种数字存储介质，具有能以电子方式读取的控制信号，所述控制信号能够与作为接到云端(10)或接入云端(10)的接口起作用的处理单元(58)共同工作，从而执行根据权利要求1至3中任一项所述的方法。
5.一种处理单元(58)，具有存储器(56)，计算机程序(44)加载至所述存储器中，当所述处理单元(58)运行以执行用于将设备(12-16)与云端(10)安全连接的、根据权利要求1至3中任一项所述的方法时，执行所述计算机程序。
CN201780073540.4A 2016-11-29 2017-10-18 将设备与云端安全连接的方法、数字存储介质和处理单元 Active CN110024351B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP16201204.1A EP3328016A1 (de) 2016-11-29 2016-11-29 Verfahren zum verbinden von geräten mit der sogenannten cloud, computerprogramm mit einer implementation des verfahrens und verarbeitungseinheit zur ausführung des verfahrens
EP16201204.1 2016-11-29
PCT/EP2017/076546 WO2018099647A1 (de) 2016-11-29 2017-10-18 Verfahren zum verbinden von geräten mit der sogenannten cloud, computerprogramm mit einer implementation des verfahrens und verarbeitungseinheit zur ausführung des verfahrens

Publications (2)

Publication Number Publication Date
CN110024351A CN110024351A (zh) 2019-07-16
CN110024351B true CN110024351B (zh) 2022-04-08

Family

ID=57460339

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201780073540.4A Active CN110024351B (zh) 2016-11-29 2017-10-18 将设备与云端安全连接的方法、数字存储介质和处理单元

Country Status (5)

Country Link
US (1) US11349882B2 (zh)
EP (2) EP3328016A1 (zh)
JP (1) JP6865281B2 (zh)
CN (1) CN110024351B (zh)
WO (1) WO2018099647A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3798878B1 (de) * 2019-09-24 2022-11-09 Siemens Aktiengesellschaft Anordnung und verfahren zur sicheren ausführung eines automatisierungsprogramms in einem cloud-computing-umfeld
CN110719169A (zh) * 2019-11-07 2020-01-21 北京小米移动软件有限公司 传输路由器安全信息的方法及装置
JP2024057979A (ja) 2022-10-13 2024-04-25 キヤノン株式会社 情報処理装置と、情報処理装置に接続されているデバイスをサーバに登録する方法、及びプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103002445A (zh) * 2012-11-08 2013-03-27 张维加 一种安全的提供应用服务的移动电子设备
US8830057B1 (en) * 2012-02-09 2014-09-09 Google Inc. Systems and methods for using robots to monitor environmental conditions in an environment
US9087189B1 (en) * 2011-05-03 2015-07-21 Symantec Corporation Network access control for cloud services
CN105812428A (zh) * 2014-12-30 2016-07-27 联芯科技有限公司 家庭公用资源管理方法和系统

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8220042B2 (en) 2005-09-12 2012-07-10 Microsoft Corporation Creating secure interactive connections with remote resources
US8655939B2 (en) * 2007-01-05 2014-02-18 Digital Doors, Inc. Electromagnetic pulse (EMP) hardened information infrastructure with extractor, cloud dispersal, secure storage, content analysis and classification and method therefor
US8468244B2 (en) * 2007-01-05 2013-06-18 Digital Doors, Inc. Digital information infrastructure and method for security designated data and with granular data stores
US20090254372A1 (en) * 2007-12-05 2009-10-08 Bartholomew Iii Samuel W Medication Risk Assessment System
US8484174B2 (en) * 2008-03-20 2013-07-09 Microsoft Corporation Computing environment representation
US20090248737A1 (en) * 2008-03-27 2009-10-01 Microsoft Corporation Computing environment representation
US9032535B2 (en) * 2009-12-31 2015-05-12 Sandisk Technologies Inc. Storage device and method for providing a scalable content protection system
US9032494B2 (en) * 2011-11-10 2015-05-12 Sony Corporation Network-based revocation, compliance and keying of copy protection systems
EP2634736A1 (en) * 2012-02-29 2013-09-04 Accenture Global Services Limited Computer network, electronic transactions cloud and computer-implemented method for secure electronic transactions
KR102069876B1 (ko) 2012-12-21 2020-01-23 삼성전자주식회사 전자 기기, 개인 클라우드 기기, 개인 클라우드 시스템 및 이들의 개인 클라우드 기기 등록 방법
JP6188093B2 (ja) 2012-12-26 2017-08-30 リアルテック シンガポール プライベート リミテッド 通信トラフィック処理アーキテクチャおよび方法
US10038726B2 (en) * 2013-06-12 2018-07-31 Visa International Service Association Data sensitivity based authentication and authorization
US20150188949A1 (en) * 2013-12-31 2015-07-02 Lookout, Inc. Cloud-based network security
US9231946B2 (en) 2014-02-07 2016-01-05 Oracle International Corporation Mobile cloud service architecture
US9781542B2 (en) * 2014-11-21 2017-10-03 Facebook, Inc. Techniques for predictive power management of a mobile device
US9094407B1 (en) * 2014-11-21 2015-07-28 Citrix Systems, Inc. Security and rights management in a machine-to-machine messaging system
EP3251324B1 (en) * 2015-01-26 2020-09-23 Mobile Iron, Inc. Secure access to cloud-based services
US10171484B2 (en) * 2016-08-30 2019-01-01 International Business Machines Corporation Securing services in a networked computing environment
US10874786B2 (en) * 2017-05-31 2020-12-29 Nephrodite LLC Implantable dialysis device

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9087189B1 (en) * 2011-05-03 2015-07-21 Symantec Corporation Network access control for cloud services
US8830057B1 (en) * 2012-02-09 2014-09-09 Google Inc. Systems and methods for using robots to monitor environmental conditions in an environment
CN103002445A (zh) * 2012-11-08 2013-03-27 张维加 一种安全的提供应用服务的移动电子设备
CN105812428A (zh) * 2014-12-30 2016-07-27 联芯科技有限公司 家庭公用资源管理方法和系统

Also Published As

Publication number Publication date
CN110024351A (zh) 2019-07-16
US20190379706A1 (en) 2019-12-12
WO2018099647A1 (de) 2018-06-07
US11349882B2 (en) 2022-05-31
JP2019537381A (ja) 2019-12-19
EP3529967A1 (de) 2019-08-28
JP6865281B2 (ja) 2021-04-28
EP3328016A1 (de) 2018-05-30
EP3529967B1 (de) 2023-10-11

Similar Documents

Publication Publication Date Title
US11190494B2 (en) Application whitelist using a controlled node flow
US10659462B1 (en) Secure data transmission using a controlled node flow
US20190312887A1 (en) Secure endpoint in a heterogenous enterprise network
US11019056B2 (en) Managing claiming of unrecognized devices for admission to an enterprise network
US20080282080A1 (en) Method and apparatus for adapting a communication network according to information provided by a trusted client
US20190312843A1 (en) Network device for securing endpoints in a heterogeneous enterprise network
CN110024351B (zh) 将设备与云端安全连接的方法、数字存储介质和处理单元
US11134056B2 (en) Portal for managing admission of unrecognized devices to an enterprise network
US11489808B1 (en) Providing a split-configuration virtual private network
US10122737B1 (en) Local area network ecosystem of verified computer security resources
CN107579993B (zh) 一种网络数据流的安全处理方法及装置
US11811737B2 (en) Enabling efficient communication in a hybrid network
JP6896264B2 (ja) 通信装置、通信方法、及びプログラム
Srivastava et al. Emerging technology IoT and OT: overview, security threats, attacks and countermeasures
Railkar et al. 3 Threat analysis and attack modeling for machine-to-machine communication toward Internet of things
US11652800B1 (en) Secure connections between servers in a virtual private network
US11888820B2 (en) Adjusting data communication in a virtual private network environment
US20230308433A1 (en) Early termination of secure handshakes
KR101490227B1 (ko) 트래픽 제어 방법 및 장치
US11463412B1 (en) Protected configuration of a virtual private network server
WO2024081617A2 (en) Devices, systems and methods for providing enhanced, secure networking and connectivity from edge infrastructure
CN112398785A (zh) 资源共享的控制方法及装置、系统、存储介质、电子装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant