CN112887261B - 通信设备与远程终端之间的数据流的防护方法、实施该方法的设备 - Google Patents

通信设备与远程终端之间的数据流的防护方法、实施该方法的设备 Download PDF

Info

Publication number
CN112887261B
CN112887261B CN202011354488.XA CN202011354488A CN112887261B CN 112887261 B CN112887261 B CN 112887261B CN 202011354488 A CN202011354488 A CN 202011354488A CN 112887261 B CN112887261 B CN 112887261B
Authority
CN
China
Prior art keywords
communication device
public key
remote terminal
key
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011354488.XA
Other languages
English (en)
Other versions
CN112887261A (zh
Inventor
N·科贝尔
M·T·B·阮丁贤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
SA Kim Cam Broadband Ltd By Share Ltd
Original Assignee
SA Kim Cam Broadband Ltd By Share Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by SA Kim Cam Broadband Ltd By Share Ltd filed Critical SA Kim Cam Broadband Ltd By Share Ltd
Publication of CN112887261A publication Critical patent/CN112887261A/zh
Application granted granted Critical
Publication of CN112887261B publication Critical patent/CN112887261B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Communication Control (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明涉及通信设备与远程终端之间的数据流的防护方法、实施该方法的设备。一种防护可从远程终端配置的通信装置中的数据流的安全的方法，该方法包括以下步骤：将第一加密密钥记录在装置的存储器中，基于第一密钥生成公钥和与该公钥相对应的私钥，接收由远程终端发送的防护请求并响应于防护请求向远程终端发送公钥，接收请求以及发送公钥的操作是在装置和终端连接到同一局域网时执行的。本发明还目的在于被配置成实施所述方法的通信装置。

Description

通信设备与远程终端之间的数据流的防护方法、实施该方法 的设备
技术领域
本发明涉及用于信息技术网络的装置。本发明更具体地涉及对旨在将装置连接到信息技术网络的通信装置（例如网关）的远程配置。
背景技术
被适配成使得能够连接到信息技术网络的装置（作为非限制性示例，例如网络网关、路由器、数据存储装置、或打印装置）经常使得能够远程配置其操作参数中的一些。借助于远程配置终端而实现的这样的远程装置配置经常使用管理接口来输入或修改对装置的操作有用的参数。于是，作为示例，能够连接到互联网接入网关以配置操作参数可能是有用的，所述操作参数如被授权连接的客户端装置列表、无线局域网配置、无线局域网操作时间、或所实现的与家长访问控制相关的参数。远程配置终端可以是计算机、智能手机、平板电脑、或在交换协议方面兼容且被配置成连接到待配置装置的任何其他装置。远程装置配置经常使用称为“web服务器”的嵌入式服务器，其使得能够从配置终端查看可修改的参数、并藉由显示在配置终端上的图形接口（称为“用户”接口）来输入新的参数值。经由从待配置装置运行的web服务器的使用优势在于，可以从实施web服务器客户端应用（换言之，浏览器（称为“互联网浏览器”））的远程配置终端查看和修改配置参数。尽管在可配置装置和配置终端通过物理链路（例如实施以太网通信协议的有线接口）连接时配置可以实现，但是无线连接的大量使用（即便是在局域情境中）削弱了交换的可靠性。于是，即使在物理上距待配置装置较近，不安全的无线连接也无法保证运行用于配置的交换的接收方装置是真正的目标装置并且“身份”窃取始终是可能的。例如，可以从在待配置装置和配置终端的范围内的第三方装置实施身份窃取。这样的攻击是众所周知的，并且实施通常称为“中间人（或英语的‘man in the middle’）攻击”的窃取技术。根据该技术，位于待配置装置和配置终端之间的交换中心的第三方装置面对终端被当成待配置装置、并且面对待配置装置被当成终端。在这种配置中，待配置装置和配置终端都无法检测到中央装置的存在、无法接收敏感信息、也无法间接地利用它们。为了解决互联网交换方法中的此问题，经常使用认证方法和加密方法，其目的在于，一方面确保与目标装置顺利进行交换，并且确保所述交换能被加密，以防止第三方装置截获在两个装置之间传递的敏感数据。
存在用于摆脱这些漏洞的技术。例如，可以创建实施称为“DMZ”（“DemilitarizedZone”的英语首字母缩合词，并且意为“非军事区”）的网络部分的安全访问、再结合中继服务器，其整体是基于web服务器与web客户端之间的HTTPS安全交换协议。HTTPS协议及其演进使用安全交换。HTTPS是实施加密层的安全超文本传输协议。然而，此解决方案需要附加的网络架构元件来实现非军事区和中继服务器。存在另一种技术，其使用并行通信链路来寄发认证消息，例如发送SMS（“Short Message System”的英语首字母缩合词，并且意为“短消息系统”）。
存在其他技术，其旨在使用为实施web服务器的装置预备真实性证书的第三方服务。第三方服务为其所担保的装置分发真实性证书。此类证书可由旨在连接到已被证明的web服务器的装置（例如配置终端）进行验证。一个主要缺点在于，这种证书颁发是与域名相对应地执行的。然而，连接到信息技术网络的装置（例如网关）通常不与域名相关联。这些装置一般仅藉由IP（“Internet Protocol”的首字母缩合词，并且意为“互联网协议”）地址来标识，该地址可能被修改、有时被定期修改。另外，这种服务的实施对于已在现场被部署并且并非是本来就被设计为这样做的连接到网络的装置而言显得很复杂。最后，连接到网络的装置有时需要根据工厂定义的参数进行配置或重新配置，这也使第三方实施证书分发变得复杂，因为复归到工厂中定义的参数将破坏所创建的证明链，于是需要新的证明。实施这样的第三方认证服务的复杂性不适用于防护广泛现场部署的连接到网络的装置与终端之间的交换的安全。此外，此类服务无法应对未连接到互联网并实施无线连接的局域网中的身份窃取风险。因此可以改善这种情况。
发明内容
本发明尤其旨在防护从远程配置终端与通信装置的交换的认证的安全以及与该同一装置的数据流的安全。
为此，本发明的目的在于提出一种用于防护可从远程配置终端配置的通信装置中的数据流的安全的方法，该方法包括以下步骤：
- 在所述装置（100）的存储器中记录第一加密密钥，
- 生成并记录称为私钥的第二加密密钥和称为公钥的第三加密密钥，将公钥插入到由第一密钥签名的真实性证书中，公钥可用于加密可借助于私钥来解密的数据流，
- 从远程终端接收防护所述装置与远程终端之间的交换安全的请求，
- 验证所述请求是否是经由所述第一接口接收到的，
- 如果所述请求是经由所述第一接口接收到的，则由所述装置响应于请求将公钥发送给远程终端，并授权基于借助于所述公钥而加密的数据流至少经由第二接口对所述装置进行远程配置。
有利地，由于传输可用于加密数据流的公钥，可借助于私钥解密所述数据流，因此可以对可由配置终端远程配置的通信装置进行认证。为此，将由第一密钥签名的认证证书与公钥一起发出。该认证证书与公钥同时生成。该证书包含诸如其寿命之类的信息、以及代表该证书被颁发给的通信设备的信息。同样有利地，可以使用接收到的公钥来对要发送给可远程配置的通信装置的全部或部分数据进行加密。
术语私人局域网在此应理解为LAN（“Local Area Network”的英语首字母缩合词）型网络，它连接同一有限区域内的装置或计算机，所述有限区域如房屋、建筑物或住宅楼、公司、实验室、学校或大学；与WAN（“Wide Area Network”的英语首字母缩合词）型广域网相对，它连接位于较广领土的装置或计算机，所述较广领土通常是地区、国家、或一组国家、甚至是全球范围内，例如互联网。
在WAN网络中，装置或计算机可以分别连接到不同LAN型网络的分支，并借助于如路由器、连接节点或家庭网关之类的中间装置而彼此连接。
根据本发明的方法还可以包括单独或组合地考虑的以下特征：
- 该方法包括相对于远程配置终端认证通信装置或相对于通信装置认证远程配置终端的步骤。
- 该方法包括对要在通信装置与远程终端之间传输的数据流进行加密的步骤，该加密是借助于公钥进行的。
- 将公钥发送给远程配置终端的步骤还包括将公钥发送给远程存储装置。
本发明的另一目的在于提出一种可从远程终端配置的通信装置，该通信装置被配置成：
- i）在所述装置的存储器中记录第一加密密钥，
- ii）生成并记录称为私钥的第二加密密钥和称为公钥的第三加密密钥，将公钥插入到由第一密钥签名的真实性证书中，公钥可用于加密可借助于私钥来解密的数据流，
- iii）从远程终端接收防护所述装置与远程终端之间的经由私人局域网的交换安全的请求，
- iv）从所述装置经由私人局域网向远程终端发送公钥。
通信装置还可以包括单独或组合地考虑的以下特征中的一个或多个：
- 通信装置旨在执行局域网与广域网之间的连接网关功能；
- 通信装置被配置成基于接收到的数据来操作对至少一个配置寄存器的修改，所述接收到的数据通过使用公钥执行加密算法而被加密并且可通过使用私钥执行解密算法来解密。
- 通信装置被配置成实现web服务器，所述web服务器使得能够经由使用在远程终端上显示的图形接口来修改至少一个配置寄存器。
- 由通信装置控制的图形接口被适配成输入防护通信装置与远程配置终端之间的数据流的安全的命令。
本发明的另一目的在于一种通信系统，其包括可远程配置的通信装置和远程配置终端，通信装置和远程配置终端被配置成连接到同一网络，并且被配置成：
- 由装置在装置的存储器中记录第一加密密钥，
- 由装置生成并记录称为私钥的第二加密密钥和称为公钥的第三加密密钥，将公钥插入到由第一密钥签名的真实性证书中，公钥可用于加密可借助于私钥来解密的数据流，
- 由装置并且从配置终端接收防护通信装置与远程配置终端之间的交换安全的请求，
- 由通信装置验证请求是否是经由第一接口接收到的，第一接口被配置成连接到局域网，
- 如果所述请求是经由所述第一接口接收到的，则由通信装置响应于请求将公钥发送给远程配置终端，并授权基于借助于公钥加密的数据流至少经由第二接口对通信装置进行远程配置。
本发明还目的在于一种包括程序代码指令的计算机程序产品，所述程序代码指令用于当在计算机上执行该程序时执行上述方法的步骤，本发明还目的在于一种包括这样的计算机程序产品的信息存储装置。术语“计算机”在此应广义地解释为：除了对所阐述的元件的操作有用的所有常用电路（能量源、复位电路、时钟电路等）之外，还适用于任何电子装置，包括控制单元、被适配成连接诸如远程配置终端之类的远程装置的一个或多个存储模块和一个或多个网络接口模块。
附图说明
通过阅读接下来对至少一个实施例的描述，本发明的上述特征以及其他特征将更加清楚地显现，所述描述是结合附图进行的，在附图中：
图1示出了根据本发明的特定且非限制性的实施例的操作第一私人LAN局域网与第二网络之间的接入网关功能的通信装置，该通信装置实施用于防护在远程配置终端与通信装置之间传输的数据流的安全的方法。
图2是图1中已经示出的通信装置的架构的示意性表示。
图3是表示由已经在图1和图2中示出的通信装置实现的根据本发明的数据流防护方法的图。
具体实施方式
图1示出了被适配成实施网络10与私人局域网120之间的互连网关功能的通信装置100。
私人局域网120是LAN型网络。根据本发明的优选实施例，网络10是WAN型广域网。根据一种变型，网络10可以是LAN型局域网。通信装置包括藉由天线系统124无线连接到LAN型网络120的接口。该无线连接接口被配置成在通信设备100与远程计算机140之间建立无线连接122。LAN网络120被配置成互连多个装置。根据所描述的示例，私人的且局域类型的LAN网络120被配置成互连通信装置100、计算机130、计算机140和远程配置终端150。
于是，操作网络100与网络10之间的网络网关功能的通信装置100使得能够例如在连接到广域网10的数据存储装置11与连接到私人局域网120的计算机130之间建立数据流。配置终端150例如是被配置成执行web浏览器应用的计算机，web浏览器应用能连接到由其IP地址或由域名标识的远程web服务器。当远程web服务器由域名标识时，域名由远程域名服务器（DNS服务器，“Domain Name Server”的英语首字母缩合词，并且意为“域名解析服务器”，图中未示出）来解析。可以远程地配置操作网络网关功能的通信装置100。可通过修改可经由配置寄存器访问的值或数据来修改通信装置100的某些操作参数。这些数据例如是wifi接口的操作时间范围，所述wifi接口使得能够将计算机无线连接到通信装置100以便访问可借助于WAN网络10来访问的远程服务器。换言之，其用来定义例如向连接到私人局域网120的一个或多个计算机授权对互联网的访问的时间范围。这些数据在通信装置100不通电期间存储在一个或多个非易失性存储器中。于是，配置可以在通信装置100再次通电后重新建立。通过预备配置接口而简化了通信装置100的配置，所述配置接口也称为管理接口或配置管理接口，其实现在通信装置100中、在内部控制单元的控制下操作、并且以实施不安全的超文本协议（例如，HTTP协议）的web服务器的形式。通信装置100中的嵌入式web服务器使得能够在连接到通信装置100的配置web服务器的执行web浏览器应用的远程配置终端计算机150的屏幕上以图形用户接口的形式显示配置菜单。例如，希望修改通信装置100的操作参数的用户将使用远程配置终端150的web浏览器应用，并将瞄准该web服务器，该web服务器通过其IP地址192.168.1.1来标识。实际上，IP地址192.168.1.1被广泛定义为能够访问网络网关型通信装置的配置参数，所述通信装置可用于互连有线或无线的LAN私人局域网与WAN广域网。
于是，使得可藉由配置菜单和输入字段从远程配置终端150访问通信装置100的各种配置选项，所述配置菜单和输入字段是经由通过远程配置终端150的web浏览器显示的图形接口来实现和表示的。远程配置终端150包括至少一个显示屏和用于输入参数的输入接口，例如键盘、鼠标、触控笔、或触控装置，其可能结合到屏幕。通过在通信装置100的web服务器与远程配置终端150的web浏览器应用之间的交换来实施配置菜单。这些交换构成了通信装置100与远程配置终端150之间的数据流。根据优选实施例，根据超文本通信协议HTTP或其演进中的任一个来操作对通信装置100的配置有用的交换。根据一种变型，通信装置100与远程配置终端150之间的连接是通过实施SSH型安全通信协议或其演进中的任一个来建立的。
根据本发明的优选实施例，配置接口（或管理接口）包括配置字段，其被适配成实施用于防护配置终端150与通信装置100之间的数据流的安全的方法，所述配置字段是以复选框的形式结合要勾选的框中的功能指示（即，数据流的安全防护的实施）。有利地，根据本发明实施的数据流的安全防护包括由配置终端150认证通信装置100以及在这两个装置之间的数据流的加密，以摆脱敏感数据被截获的风险，并且保证配置终端150所连接到的装置确实是通信装置100，而不是位于配置终端150和/或通信装置100的范围内并操作中间人攻击型攻击的其他装置。
通信装置100包括存储在为此目的而保留的内部非易失性存储器中的第一加密密钥。例如，内部存储器被集成到专用于通信装置100的控制单元的微控制器电路，从而使得无法访问到密钥。该加密密钥（称为“根”密钥）用于对在通信设备100中生成的真实性证书进行签名，该证书包括从通信装置100的独有信息获得的散列（condensat），并且将用于将来要进行的认证的公钥插入其中。第一加密密钥可以是在通信装置100的制造期间在工厂编程好的，或者是在通信装置100的控制单元所执行的低级软件更新期间下载的，所述低级软件尤其实施特定于LAN网络与WAN网络之间的网络网关的装置的互连功能。此低级软件通常称为“固件”。
下面描述根据本发明的方法的实施。当配置终端150的用户希望能够以安全的方式来操作通信装置100的配置时，也就是说，能够通过认证通信装置100来避免第三方装置的“身份”窃取、并对配置终端150与通信装置100之间的数据流进行加密，他勾选在图形用户接口中提供的输入框以请求防护数据流的安全。代表该命令的消息于是传输到嵌入在通信装置100中的web服务器，该消息构成用于防护通信装置100与远程配置终端150之间的交换的安全的请求。该请求存储嵌入在通信装置100中的管理接口的缓冲存储器中，并在之后立即由通信装置100的控制单元来处理，通信装置100的控制单元生成一对密钥ec和dd，分别是公钥和私钥，以用于对在远程配置终端150与通信装置100之间的数据流进行加密和解密。控制单元然后生成另一对密钥ea和da，分别是公钥和私钥，在必要时与称为根密钥的第一密钥链接起来，其可分别用于通信装置100的认证。于是，根据非对称密码学中使用的公钥加密系统的操作，如果C是预定加密函数并且D是预定解密函数，则对于要传输的数据流的任何消息m，m = C (D (m, dd), ec)。于是，从该密码系统构造了签名方案。
消息m的签名为s = D (h (m), d)，其中h是抗冲突的公共哈希函数。可以通过比较h (m)与C (s, ec)来验证签名s。
根据一种变型，可以使用冗余函数而不是哈希函数。认证公钥ea集成到远程配置终端的用户可得到的认证证书中。通信装置100的管理接口的web服务器传输消息，该消息邀请远程配置终端150的用户下载该证书ea以供后续使用。然后，下载认证证书（包括认证公钥ea）并将其记录在远程配置终端150的非易失性存储器中。
根据一种变型，该方法不限于单级链接，并且可以涉及到从先前创建的证书迭代地获得的证书链，以增强认证程序。
类似地，响应于请求消息而将加密公钥ec传输给远程通信终端150，所述请求消息用于防护通信装置100与远程配置终端150之间的数据流的安全、并且是先前由配置终端150发送的。加密公钥ec也记录在远程配置终端150的非易失性存储器中。记录由通信装置100创建的认证证书ea的远程配置终端150的存储器例如对应于配置终端150的web浏览器的“证书堆栈”。
至于私钥da和dd，其分别为配置终端150和/或通信装置100的认证所需、以及远程配置终端150与通信装置100之间的数据流的解密所需，它们不被传输，而是以安全的方式存储在通信装置100中。这些密钥例如存储在专用存储器分区中，或借助于硬件加密机制进行本地加密。例如，可以藉由在专用组件中实现且本地化的加密机制来实现硬件加密，然后将密钥的加密版本存储在无法直接访问、而是只能经过密钥加密/解密模块来访问的存储器区域中。
在接收并记录了认证证书ea和加密公钥ec之后，可以防护通信装置100与远程配置终端150之间的数据流的安全。
认证证书ea是基于通信装置100一项或多项独有信息而创建的。优选地，认证证书ea是基于有助于向认证证书ea赋予唯一特性的大量元素而创建的。作为非限制性示例，用于生成认证证书ea的独有信息是：通信装置100的序列号、在通信装置100的硬件架构中实现的电子组件的一个或多个唯一标识符、代表通信装置100的使用国家/使用地区的代码、从WAN网络10看到的IP地址、通信装置100的网络接口的MAC型地址、或表示存储在通信装置100的存储器区域中的联系电子邮件。
根据实施例的变型，由远程配置终端150的用户在认证证书ea的生成之前输入的信息用于其生成。该信息例如是对预定问题的答案。在认证证书ea的建立使用例如IP地址之类的易于改变的信息的情况下，应生成新的证书。每个新证书将要求应该实施根据本发明的防护方法。
根据本发明的第二实施例，实现两级或多级证书链接。于是，创建称为“根认证证书”或“根证书”的第一认证证书，并创建链接到根证书的称为“服务证书”的认证证书以用于配置管理。根据该变型，该服务证书于是将在通信装置100接收到用于防护数据流安全的请求消息之后被传输给远程配置终端150。
根据本发明必要的是，接收由远程配置终端150发送的用于防护通信装置100与远程配置终端150之间的数据流安全的请求的步骤、以及发送可用于认证的公钥ea的步骤是在这两个装置连接到同一私人局域网时执行的。实际上，该特征保证了证书的真实性及其后续使用。“连接到同一私人局域网”的意思是防止通过使用第三方装置来入侵或截获数据的点对点连接。通信装置100和远程配置终端150这两个装置到同一私人局域网的这种连接例如是借助于物理链路实现的，该物理链路实施根据以太网协议或其演进中的任一个的通信、或者是经过安全的无线私人局域网的安全加密连接。
有利地，并且藉由根据本发明的方法的实施，可以在执行根据本发明的方法之后立即、或随后发起例如实施HTTPS协议的与连接到在同一私人局域网外部的通信装置的可远程配置的终端的安全通信。仍有利地，通信装置最初（在出厂时）被配置成：不授权藉由其与WAN网络10的连接接口的远程配置，并且从通信装置100向配置终端150的公钥的传输伴随着通信设备100的重新配置，该重新配置的目的在于使得后面能够藉由其与WAN网络10的连接接口、基于通过所传输的公钥而加密的数据流来远程配置。
于是，当远程配置终端150例如连接到另一私人LAN网络时，可以实现使用HTTPS协议的交换，该另一私人LAN网络经由除通信装置100之外的网关连接到WAN广域网10。
于是，当远程配置终端150连接到互联网的任何分支时，它都可以借助于其web浏览器应用和嵌入在通信装置100中的web服务器来与通信装置100建立加密连接。通过使用通信装置100的IP地址和专用于安全交换的端口编号、或者通过使用由将域名翻译成IP地址的域名服务器解析的域名来建立连接。远程配置终端150于是通过使用由根密钥（第一密钥）和公钥ea签名的认证证书来验证通信装置100的真实性。远程配置终端150对通信装置100的认证使用了借助于公钥对插入在传输给远程配置终端150的证书中的加密散列的解密，所述公钥本身插入到证书中。散列是通过哈希函数获得的数字指纹。在通信装置100的认证期间，将经解密的散列与基于与通信装置100有关的独有信息获得的散列进行比较。如果两个散列相同，则认为认证证书是真实的，也就是说它是由通信设备100的根密钥正确签名的。一旦远程配置终端150认证了通信装置100，就在配置终端150与通信装置100之间实施加密通信信道。为此，要传输的数据流在发送给通信装置100之前借助于公钥ec进行加密，并在接收时由通信装置100使用私钥dd来解密。
图2示出了被配置成操作WAN网络10与LAN网络120之间的网络网关功能的通信设备100的内部架构。通信装置100包括控制单元111。控制单元111包括被配置成执行两个网络之间的常规网关功能的电子电路。根据本发明的优选实施例，控制单元包括微处理器。控制单元111经由共享总线112连接到非易失性存储模块113。存储模块113包括专用于存储可与通信设备100所实现的功能相对应地执行的软件代码的存储器区域。读写存储模块115也经由共享总线112连接到控制单元111，并且尤其是用于执行上述软件代码。控制单元111、非易失性存储模块113和读写存储模块115因此通过共享总线112彼此连接，共享总线112还连接到与LAN网络的连接接口119和与WAN广域网的连接接口114。连接接口119例如是以太网类型的有线接口。这样的以太网接口提供了高安全级别，尤其是当远程配置终端150通过该接口借助于线缆直接与通信设备100连接时。此外，到LAN网络的连接接口119连接到包括天线系统124的无线通信模块118。当借助于加密与远程配置终端150建立直接连接时，这样的接口也提供了高安全级别。非易失性存储模块113包括专用于通信设备100的配置的一组区域。这些区域包含根据多个操作模式的对通信设备100的配置有用的参数值。可以通过重写与之对应的非易失性存储器区域来修改每个参数。可在控制单元111的控制下进行参数修改，尤其是当控制单元执行通信设备100的配置的管理接口时。
当控制单元111执行通信设备100的配置的管理接口时，其执行被适配成在远程终端上显示专用于配置的网页的web服务器功能，所述远程终端例如经由连接接口119（LAN网络）或连接接口114（WAN网络）连接到通信装置100的配置终端150。根据本发明的优选实施例，通信设备100最初被配置成仅能经由实施安全（加密）通信的网络接口119或网络接口118来进行远程配置，直到执行根据本发明的数据流防护方法为止。换言之，在工厂中的网络网关配置期间、或在复归到称为“工厂”配置的配置期间，禁止经由连接到WAN网络接口的WAN网络来远程地配置通信设备100。
于是，通信设备100被适配成执行根据本发明的数据流防护方法。
图3是示出根据本发明的特定且非限制性的实施例的防护通信设备100与远程配置终端150之间的数据流的安全的方法的流程图。在步骤S0期间进行通信装置100的一般初始化。在该一般初始化期间，通信装置100被配置成能够进行对于实现在连接到网络接口119的第一LAN型网络与连接到网络接口117的第二LAN或WAN型网络之间的网络网关有用的一组功能。在此步骤结束时，通信设备能够在起动阶段之后执行网络网关功能、并通过实现可经由LAN网络连接接口119而访问的配置web服务器来执行远程配置管理接口。在这个阶段，无法藉由其网络接口114以安全的方式远程地配置通信设备100，该能力最初是被禁止的。在步骤S1期间记录称为根密钥的第一加密密钥。根据本发明的实施例，该记录是在工厂制造期间操作的。根据一种变型，在制造之后的安全配置操作期间、例如维护操作期间通过下载来进行该根密钥记录。
然后在步骤S2期间执行一对私钥/公钥的第一生成，并且在步骤S3期间执行私钥/公钥的第二生成。第一对密钥被提供用于认证操作，并且第二对密钥被提供用于加密操作。例如，在首次开启通信设备100时、或后面在配置、重新配置或维护操作期间执行成对的公钥和私钥的这些生成。
当远程配置终端150经由网络接口119连接到通信设备100的配置web服务器时，在步骤S4期间执行配置管理接口。通过例如根据HTTP协议的协议消息交换来进行该执行，并且该执行使得能够在配置终端150的屏幕上显示通信设备100的配置的网页。配置网页被适配成实施配置菜单，从而使得能够定义存储在通信设备100的配置寄存器中或专用于该目的的非易失性存储器区域中的配置参数。通常，该网页使得操纵远程配置终端150的用户能够选择参数并调整它们各自的值。根据本发明的优选实施例，配置网页还使得能够通过勾选与功能描述相关联的复选框来激活或停用功能。于是，该网页包括可通过勾选复选框来激活并且名为“用于远程配置的数据流的安全防护”的功能。
当远程配置终端150的用户通过勾选配置网页的复选框而请求激活对远程配置终端150与通信设备100之间的数据流的安全防护时，配置终端150向通信设备100发送HTTP请求，以请求通过对数据流的认证和加密操作来防护后续交换的安全，直到重新配置在必要情况下再次授权不安全的交换为止。
于是在步骤S5期间由通信设备接收用于防护数据流的安全的请求。
巧妙之处在于，在接收到用于防护远程配置设备与其自身之间的数据流安全的请求之后，通信设备100测试该请求是否是经由LAN网络接口119或WLAN网络接口118接收到的、还是经由可用于连接到WAN型广域网的网络接口114接收到的。
如果该请求是经由LAN网络接口119和通过以太网端口116（即，代表着高安全级别的线缆连接）接收到的，则通信设备100响应于该请求将加密和认证公钥传输给远程配置终端150。否则，通信设备不传输公钥，并经由配置管理接口的网页寄送出错消息，其旨在指示对数据流的安全防护无法进行。
根据实施例的变型，在用于防护数据流安全的请求不是经由LAN网络接口119和以太网端口116接收到的情况下，通信设备100测试该请求是否是经由操作与远程配置终端150的加密交换的WLAN网络接口118接收到的。根据该变型，通信设备100认为与配置终端150的交换是以足够高的安全级别进行的，并响应于该请求将加密和认证公钥传输给远程配置终端150。如果失败，则配置设备经由配置管理接口的网页寄送出错消息，其旨在指示对数据流的安全防护无法进行。
在无法防护数据流的安全并且公钥未被发送的情况下，通信设备处于等候新的远程配置请求的状态。该新请求可以是用于防护数据流安全的请求，也可以是其他配置请求。
除了加密和认证公钥的传输之外，在执行根据本发明的方法的控制单元111的控制下，通信设备100被重新配置，以授权经由可配置成连接到WAN型广域网的网络接口114的远程配置。
根据本发明实施例的变型，认证和加密公钥也被传输给诸如存储装置11之类的远程存储装置，其被配置成存储加密公钥。远程存储装置还被配置成与不具有认证和加密公钥并且被配置成从存储装置11下载这些密钥的远程配置终端建立安全的远程连接。
有利地，认证和加密公钥到远程配置终端150的传输使得远程配置终端150能够在后续连接期间对通信设备进行认证、并对向通信设备100的数据流进行加密，以便避免在远程配置操作期间的中间人攻击类型的任何攻击。
根据本发明的实施例，可以撤销传输给远程配置终端150的一个或多个证书以及属于它们的一个或多个公钥，并然后需要重新执行根据本发明的防护方法并使得能够借助于由通信装置100的web服务器实现的图形配置接口。有利地，通信装置100的IP地址的重新配置或通信装置100的目标动态DNS服务器的参数的修改导致重新执行根据本发明的数据流防护方法。
根据本发明的实施例，在出厂模式下的重新配置不会擦除所传输的一个或多个证书或所传输的一个或多个公钥，并且专用命令使得能够独立于出厂模式下的重新配置来擦除它们。
根据本发明的实施例，所有参数的备份可以在通信装置110内部或外部的介质上执行，并且包括所传输的一个或多个证书以及一个或多个公钥。
本发明不限于上述仅有的实施例，并且更普遍地适用于可从远程终端配置的通信装置中的数据流的防护的任何方法，该方法包括以下步骤：将第一加密密钥记录在装置的存储器中，在通信装置中基于第一密钥生成公钥和与该公钥相对应的私钥，然后接收由远程终端发送的防护请求并响应于防护请求从通信装置向远程终端发送公钥，接收请求以及发送公钥的操作必须是在装置和终端连接到同一私人局域网时执行的。本发明涉及实施这样的方法的任何装置。

Claims (14)

1.一种防护通信装置（100）与远程终端（150）之间的数据流的安全的方法，所述通信装置（100）包括用于连接到第一LAN型局域网（120）的第一通信接口（118、119）、和用于连接到第二网络（10）的第二通信接口（114），所述装置（100）可从远程终端（150）进行配置，该方法包括以下步骤：
- 由所述通信装置（100）将第一密钥记录在所述装置（100）的存储器中，
- 由所述装置（100）生成和记录称为私钥的第二加密密钥和称为公钥的第三加密密钥，将所述公钥插入到由第一密钥签名的真实性证书中，该公钥可用于加密可借助于私钥解密的数据流，
- 从远程终端（150）接收用于防护所述通信装置（100）与远程终端（150）之间的数据流安全的请求，
- 验证所述请求是否是经由用于连接到第一LAN型局域网（120）的所述第一通信接口（118、119）接收到的，并且，
- 如果所述请求是经由用于连接到第一LAN型局域网（120）的所述第一通信接口（118、119）接收到的，则由所述通信装置（100）响应于该请求将公钥发送给远程终端（150），并授权基于借助于所述公钥而加密的数据流至少经由所述第二通信接口（114）对所述通信装置（100）进行远程配置。
2.根据权利要求1所述的方法，该方法包括相对于远程终端（150）认证所述装置（100）或相对于所述装置（100）认证远程终端（150）的步骤。
3.根据权利要求1或2所述的方法，该方法包括对要在所述装置（100）与远程终端（150）之间传输的数据流进行加密的步骤，该加密是借助于所述公钥进行的。
4.根据权利要求1或2所述的方法，将公钥发送给远程终端（150）的步骤还包括将公钥发送给远程存储装置（11）。
5.根据权利要求3所述的方法，将公钥发送给远程终端（150）的步骤还包括将公钥发送给远程存储装置（11）。
6.一种可从远程终端（150）配置的通信装置（100），所述通信装置（100）包括用于连接到第一LAN型局域网（120）的第一通信接口（118、119）、和用于连接到第二网络（10）的第二通信接口（114），所述通信装置（100）被配置成：
- 将第一密钥记录在所述装置（100）的存储器中，
- 生成和记录称为私钥的第二加密密钥和称为公钥的第三加密密钥，将所述公钥插入到由第一密钥签名的真实性证书中，该公钥可用于加密可借助于私钥解密的数据流，
- 从远程终端（150）接收用于防护所述通信装置（100）与远程终端（150）之间的交换的安全的请求，
- 验证所述请求是否是经由用于连接到第一LAN型局域网的所述第一通信接口（118、119）接收到的，并且，
- 如果所述请求是经由用于连接到第一LAN型局域网（120）的所述第一通信接口（118、119）接收到的，则由所述通信装置（100）响应于该请求将公钥发送给远程终端（150），并授权基于借助于所述公钥而加密的数据流至少经由所述第二通信接口（114）对所述通信装置（100）进行远程配置。
7.根据权利要求6所述的通信装置（100），所述装置（100）旨在执行所述LAN型局域网（120）与WAN型广域网（10）之间的连接网关功能。
8.根据权利要求6或7所述的通信装置（100），被配置成基于接收到的数据来操作对至少一个配置寄存器的修改，所述接收到的数据通过使用公钥执行加密算法而被加密并且可通过使用私钥执行解密算法来解密。
9.根据权利要求6或7所述的通信装置（100），被配置成实现web服务器，所述web服务器使得能够经由使用在远程终端（150）上显示的图形接口来修改至少一个配置寄存器。
10.根据权利要求8所述的通信装置（100），被配置成实现web服务器，所述web服务器使得能够经由使用在远程终端（150）上显示的图形接口来修改至少一个配置寄存器。
11.根据权利要求9所述的装置，图形接口被适配成输入防护所述通信装置（100）与远程终端（150）之间的数据流的安全的命令。
12.根据权利要求10所述的装置，图形接口被适配成输入防护所述通信装置（100）与远程终端（150）之间的数据流的安全的命令。
13.一种通信系统，其包括可远程配置的通信装置（100）和远程终端（150），所述通信装置（100）包括用于连接到第一LAN型局域网（120）的第一通信接口（118、119）、和用于连接到第二网络（10）的第二通信接口（114），所述通信装置（100）可从远程终端（150）进行配置，所述装置（100）和远程终端（150）被配置成连接到同一网络并且：
- 由所述通信装置（100）将第一密钥记录在所述装置（100）的存储器中，
- 由所述装置（100）生成和记录称为私钥的第二加密密钥和称为公钥的第三加密密钥，将公钥插入到由第一密钥签名的真实性证书中，公钥可用于加密可借助于私钥解密的数据流，
- 由所述通信装置（100）并且从远程终端（150）接收用于防护所述通信装置（100）与远程终端（150）之间的交换的安全的请求，
- 由装置（100）验证所述请求是否是经由用于连接到第一LAN型局域网（120）的所述第一通信接口（118、119）接收到的，并且，
- 如果所述请求是经由用于连接到第一LAN型局域网（120）的所述第一通信接口（118、119）接收到的，则由所述通信装置（100）响应于该请求将公钥发送给远程终端（150），并授权基于借助于所述公钥而加密的数据流至少经由所述第二通信接口（114）对所述装置（100）进行远程配置。
14.一种信息存储介质，其包括计算机程序产品，所述计算机程序产品包括当在计算机上执行所述程序时执行根据权利要求1至5中的任一项所述的方法的步骤的程序代码指令。
CN202011354488.XA 2019-11-29 2020-11-27 通信设备与远程终端之间的数据流的防护方法、实施该方法的设备 Active CN112887261B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1913458A FR3103987A1 (fr) 2019-11-29 2019-11-29 Procede de securisation de flux de donnees entre un equipement de communication et un terminal distant, equipement mettant en oeuvre le procede
FR1913458 2019-11-29

Publications (2)

Publication Number Publication Date
CN112887261A CN112887261A (zh) 2021-06-01
CN112887261B true CN112887261B (zh) 2024-04-12

Family

ID=70295231

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011354488.XA Active CN112887261B (zh) 2019-11-29 2020-11-27 通信设备与远程终端之间的数据流的防护方法、实施该方法的设备

Country Status (8)

Country Link
US (1) US11811916B2 (zh)
EP (1) EP3829101B1 (zh)
CN (1) CN112887261B (zh)
AR (1) AR120532A1 (zh)
BR (1) BR102020023897A8 (zh)
CA (1) CA3100170C (zh)
ES (1) ES2927040T3 (zh)
FR (1) FR3103987A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3125140B1 (fr) * 2021-07-07 2023-12-08 Arc Ind Passerelle de Transfert Sécurisé

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1771717A (zh) * 2003-04-28 2006-05-10 汤姆森特许公司 用于安全无线局域网接入的技术
EP2320621A1 (en) * 2009-11-06 2011-05-11 F. Hoffmann-La Roche AG Method for establishing cryptographic communications between a remote device and a medical device and system for carrying out the method
CN104025542A (zh) * 2011-08-31 2014-09-03 汤姆逊许可公司 用于终端用户设备的配置数据的安全的备份和恢复的方法以及使用该方法的设备
CN104137466A (zh) * 2012-02-29 2014-11-05 良好科技公司 操作计算设备的方法、计算设备及计算机程序
CN105933895A (zh) * 2016-05-04 2016-09-07 海尔优家智能科技（北京）有限公司 Wifi入网配置数据的传输方法、智能设备及智能终端
CN107645725A (zh) * 2017-09-21 2018-01-30 广东美的制冷设备有限公司 网络配置方法及系统、路由设备和入网设备

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6073172A (en) * 1997-07-14 2000-06-06 Freegate Corporation Initializing and reconfiguring a secure network interface
US7150037B2 (en) * 2001-03-21 2006-12-12 Intelliden, Inc. Network configuration manager
US6981138B2 (en) * 2001-03-26 2005-12-27 Microsoft Corporation Encrypted key cache
US7607009B2 (en) * 2003-02-10 2009-10-20 International Business Machines Corporation Method for distributing and authenticating public keys using time ordered exchanges
JP4220808B2 (ja) * 2003-03-10 2009-02-04 浜松ホトニクス株式会社 ホトダイオードアレイおよびその製造方法並びに放射線検出器
US7289632B2 (en) * 2003-06-03 2007-10-30 Broadcom Corporation System and method for distributed security
US9363481B2 (en) * 2005-04-22 2016-06-07 Microsoft Technology Licensing, Llc Protected media pipeline
FI20155763A (fi) * 2015-10-26 2017-04-27 Online Solutions Oy Menetelmä ja järjestelmä sertifikaatin aitouden varmistamiseksi ssl-protokollaa käyttäen salatussa internet-yhteydessä verkkosivuun

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1771717A (zh) * 2003-04-28 2006-05-10 汤姆森特许公司 用于安全无线局域网接入的技术
EP2320621A1 (en) * 2009-11-06 2011-05-11 F. Hoffmann-La Roche AG Method for establishing cryptographic communications between a remote device and a medical device and system for carrying out the method
CN104025542A (zh) * 2011-08-31 2014-09-03 汤姆逊许可公司 用于终端用户设备的配置数据的安全的备份和恢复的方法以及使用该方法的设备
CN104137466A (zh) * 2012-02-29 2014-11-05 良好科技公司 操作计算设备的方法、计算设备及计算机程序
CN105933895A (zh) * 2016-05-04 2016-09-07 海尔优家智能科技（北京）有限公司 Wifi入网配置数据的传输方法、智能设备及智能终端
CN107645725A (zh) * 2017-09-21 2018-01-30 广东美的制冷设备有限公司 网络配置方法及系统、路由设备和入网设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ZyXEL Communications Corporation.《NWA5000/WAC6500 Series User's Guide》.2014,(第4.20版),第140-144页. *

Also Published As

Publication number Publication date
FR3103987A1 (fr) 2021-06-04
CA3100170A1 (fr) 2021-05-29
CA3100170C (fr) 2024-01-30
EP3829101A1 (fr) 2021-06-02
BR102020023897A8 (pt) 2024-01-09
US20210167951A1 (en) 2021-06-03
EP3829101B1 (fr) 2022-07-27
BR102020023897A2 (pt) 2021-06-15
AR120532A1 (es) 2022-02-23
CN112887261A (zh) 2021-06-01
ES2927040T3 (es) 2022-11-03
US11811916B2 (en) 2023-11-07

Similar Documents

Publication Publication Date Title
CN110770695B (zh) 物联网(iot)设备管理
US7992193B2 (en) Method and apparatus to secure AAA protocol messages
JP6687641B2 (ja) サーバまたは他の装置からのエントロピーに基づくクライアント装置の認証
US20200259667A1 (en) Distributed management system for remote devices and methods thereof
US7913084B2 (en) Policy driven, credential delegation for single sign on and secure access to network resources
US20090052675A1 (en) Secure remote support automation process
US12015599B2 (en) Devices, methods and systems to augment the security environment of internet-capable consumer devices
US11184336B2 (en) Public key pinning for private networks
CN101297534A (zh) 用于安全网络认证的方法和装置
US20220191693A1 (en) Remote management of hardware security modules
CN108200078A (zh) 签名认证工具的下载安装方法及终端设备
CN113630374B (zh) 实现通过网络与目标装置的安全通信的方法
Fuloria et al. Key management for substations: Symmetric keys, public keys or no keys?
US20220182229A1 (en) Protected protocol for industrial control systems that fits large organizations
CN112887261B (zh) 通信设备与远程终端之间的数据流的防护方法、实施该方法的设备
Gao et al. SecT: A lightweight secure thing-centered IoT communication system
CN112333214B (zh) 一种用于物联网设备管理的安全用户认证方法及系统
WO2020191027A1 (en) Chained trusted platform modules (tpms) as a secure bus for pre-placement of device capabilities
KR101790121B1 (ko) 전자 기기 인증 방법 및 시스템
US11889002B2 (en) Use of physical unclonable functions to prevent counterfeiting of industrial control products
JP7458470B2 (ja) 通信制御装置
KR100974296B1 (ko) Ｔｐｍ을 이용한 홈 네트워크 인증 및 제어 방법
Bourdoucen Securing Communication Channels in IoT using an Android Smart Phone
Wognsen et al. A secure relay protocol for door access control
JP2022191825A (ja) 通信システム及び通信方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant