CN112955884B - 用于认证的设备、在网络中登记设备的方法 - Google Patents

用于认证的设备、在网络中登记设备的方法 Download PDF

Info

Publication number
CN112955884B
CN112955884B CN201880099110.4A CN201880099110A CN112955884B CN 112955884 B CN112955884 B CN 112955884B CN 201880099110 A CN201880099110 A CN 201880099110A CN 112955884 B CN112955884 B CN 112955884B
Authority
CN
China
Prior art keywords
ownership
certificate
identifier
ownership certificate
owner
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201880099110.4A
Other languages
English (en)
Other versions
CN112955884A (zh
Inventor
G·瓦蒂乌
J·S·谢夫曼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hewlett Packard Development Co LP
Original Assignee
Hewlett Packard Development Co LP
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hewlett Packard Development Co LP filed Critical Hewlett Packard Development Co LP
Publication of CN112955884A publication Critical patent/CN112955884A/zh
Application granted granted Critical
Publication of CN112955884B publication Critical patent/CN112955884B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/006—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models
    • H04L9/007—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models involving hierarchical structures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3265—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

根据本公开的各方面，提供了用于使设备登记到网络中的方法和设备，包括一种设备，该设备包括安全存储装置和控制器，安全存储装置包括设备标识符和公钥，控制器被配置为：取得包括设备标识符与所有者标识符之间的密码绑定的所有权证明证书，该密码绑定基于与所存储的公钥相对应的秘密密钥；基于所存储的设备标识符和公钥来认证所有权证明证书；基于经认证的所有权证明证书建立与设备管理器的经认证的通信通道；并且从设备管理器接收设置信息以在网络上登记该设备。

Description

用于认证的设备、在网络中登记设备的方法
技术领域
本公开整体涉及基础设施设备的登记。
背景技术
基础设施设备(诸如打印机)登记到企业网络上涉及配设设置和值以确保设备在网络上的正确操作。这样的设置可以包括与设备在其中操作的域有关的安全参数和证书。
内部(on-premises)登记过程可以经由人工输入或预先配设的值来执行。
发明内容
根据本公开的一方面，提供了一种用于认证的设备，包括：安全存储装置，所述安全存储装置包括设备标识符和与所述设备的制造商相关联的公钥；控制器，所述控制器被配置为：取得所有权证明证书，所述所有权证明证书包括所述设备标识符与所有者标识符之间的密码绑定，所述密码绑定基于与所存储的公钥相对应的私钥；基于所存储的设备标识符和所述公钥来认证所述所有权证明证书；基于经认证的所有权证明证书建立与和所述所有者标识符相关联的设备管理器的经认证的通信通道；并且从所述设备管理器接收设置信息以在网络上登记所述设备。
根据本公开的另一方面，提供了一种在网络中安全地登记设备的方法，所述方法包括：在设备管理器处接收来自设备的用于在所述网络上登记的请求，所述请求包括设备标识符；在所述设备管理器处取得所有权证明证书，所述所有权证明证书包括所接收的设备标识符与所有者标识符之间的密码绑定，所述所有者标识符与所述设备管理器相关联；基于与所述设备的制造商相关联的公钥来认证所述所有权证明证书，以确定所述设备与所述设备管理器合法地相关联；以及向所述设备配设设置信息。
根据本公开的又一方面，提供了一种生成针对设备的所有权证明证书的方法，所述方法包括：向所述设备配设设备身份和与所述设备的制造商相关联的公钥；获得与所述设备的所有者相对应的所有者标识符；基于与配设给所述设备的所述公钥相对应的制造商私钥，以密码方式对设备标识符与所述所有者标识符的组合进行签名，以生成所述所有权证明证书；以及向所述设备和/或所述设备的所有者提供所述所有权证明证书。
附图说明
通过以下结合附图的详细描述，本公开的各种特征将显而易见，这些附图一起图示了本公开的特征，并且其中：
图1图示了根据本公开的示例的设备；
图2示出了根据本公开的示例的为设备配设信息的方法；
图3图示了根据本公开的示例的连接到企业网络的设备；
图4示出了根据本公开的示例的用于在企业网络中登记设备的方法；
图5示出了根据本公开的示例的另一种方法；
图6示出了根据本公开的示例的另一种方法；
图7示出了根据本公开的示例的另一种方法；以及
图8是根据本公开的示例的计算机系统的示意性框图。
具体实施方式
在以下描述中，出于解释的目的，阐述了某些示例的许多具体细节。说明书中对“示例”或类似语言的提及指的是，结合该示例所描述的特定特征、结构或特性被包括在至少该一个示例中，但未必被包括在其他示例中。
打印机和其他基础设施设备的安全登记依赖于设备与管理服务之间的相互认证。然而，许多设备是在没有密码身份或不知道其将被登记在哪个管理域之下的情况下来制造的。因此，大多数内部登记过程是使用人工输入的设置、预先配设的值来执行的，或可以使用不安全的协议来进行自动化。
本文描述的某些示例提供了用于在没有人工干预或具有有限人工干预的情况下使设备(诸如打印机、个人计算机、移动设备等等)自动且安全地登记到企业网络中的方法和设备。这是通过使用密码身份和密码绑定来实现的，密码身份由设备制造商预先配设到设备中，设备可以使用密码绑定来确定其合法地预期加入哪个企业。一些示例还可以使得在生命周期的后期重新配设设备以支持基于合同的业务(诸如设备即服务(DaaS))。
设备之间安全且经认证的通信通常是基于共享的密码秘密(诸如密码身份)或基于使用公钥/私钥对的非对称加密方案。然而，为了确保所得到的通信是安全的，应该将与所选择的方案有关的某些密码值安全地配设到所述设备。
例如，在打印机环境中，管理服务在配设过程之前可能无法信任远程打印机就是其自己所标识的身份。因此，安全登记到管理服务中可能是用户与物理设备进行交互(例如，插入USB棒、物理地输入某些值等等)的繁琐的人工过程。
由于缺乏设备的开箱即用认证，非基于用户人工交互的(即，零接触登记)用于设备的替代性登记系统可能是不安全的。例如，这些解决方案可能使用未经认证的发现协议来使设备在没有相互认证的情况下找到管理服务器。
用于物联网(IoT)设备的更一般的登记系统可以使用预先配设的值来实施零触摸登记，以提供经认证的登记过程。然而，预先配设的值可能不能在现场被重新配设，从而使得难以将设备转移到新的域或企业。
不能提供安全且经认证的登记过程可能产生许多与新的设备到企业网络的连接有关的潜在安全风险。
如果没有为设备提供自动化的认证过程，例如如果制造商在制造期间没有为设备配设身份或者在登记过程期间没有使用所配设的身份，则这可能导致恶意设备通过伪装成合法设备而在公司的组织中登记的风险。恶意设备可能在未经认证的登记过程的情况下、或者当在弱认证的登记过程的情况下伪造合法身份(诸如有效序列号)时声称是例如属于该网络的打印机来试图发起与管理服务的登记过程。因为在这种情况下管理服务不能以密码方式验证设备的身份，所以可能将设置信息和安全凭证配设给恶意设备，从而允许恶意设备访问企业的网络并且将秘密值(例如，打印机管理密码)泄露给恶意设备。
替代性地，登记过程可以依赖于设备能够访问可密码验证的身份，该可密码验证的身份是通过管理员执行为每个打印机人工地设置身份的繁琐过程来人工地提供给设备的。
当合法设备不能认证管理服务(诸如打印机管理器)的身份时，也可能存在安全风险。例如，一些自动化的打印机登记系统可能未能向打印机认证打印机管理器。这会导致攻击者通过伪装成合法的打印机管理器来控制组织的打印机的风险。
当设备与管理服务或设备管理器登记时，管理器可以获得对设备的全部访问。如果设备管理器未经正确认证，则攻击者可伪装成合法的设备管理器并且在设备登记到合法的设备管理器之前使用这些特权来破坏设备。这会导致组织登记先前已经被攻击者破坏的合法设备的风险。
设备管理器可能根本未经认证，或者可能使用不相关的属性来认证。例如，设备管理器可以针对认证提供链接回公知的证明机构的证书链。通过使用这个过程，设备可以能够检查一些属性(例如，设备管理器有合法的URL)，但是在设备与设备管理器之间没有唯一的绑定。此外，设备管理器可能对于一组设备是合法的，但是对于另一组设备不是合法的。
在提供了设备与管理器之间的强绑定的情况下，这种强绑定可以通过针对设备的整个生命周期(从制造时间开始)建立将设备锁定到唯一的设备管理系统的固定绑定的方式来实现。
例如，这样的方案可以取决于设备制造商为设备配设身份和URL，该URL标识最终用户的组织中负责设备登记的设备管理器。因此，制造商将需要在制造设备时在仍可以配设设备时知道最终用户的身份和最终用户的登记管理器的URL。
然后，通过在设备的存储器中配设登记管理器的URL，隐含地声明了设备与其登记管理器之间的绑定。提供安全的方式来撤销和更新这种绑定(尤其当设备一旦安装后可能无法与制造商联系时)可能是困难的。
出于这些原因，在这样的方案下，可能难以支持制造商在制造时不知道最终用户(例如，当设备要通过第三方供应商出售时)的商业模式、设备的所有权变更(设备的转售)的商业模式或设备的所有者不是最终用户组织(例如，设备即服务)的商业模式。
所描述的示例提供了方法和装置，该方法和装置用于促进设备(诸如打印机或计算机系统)到设备管理器的开箱即用双向认证；用于提供设备到设备管理器的组织中的安全登记；并且用于为制造商或受委托实体提供支持在设备的整个生命周期内的操作者/所有者变更的简单且安全的方式。
特别地，示例提供了设备到企业网络的管理服务中的安全的“零接触”登记，安全的“零接触”登记包括：自动配设证书和凭证；认证并验证设备的安全政策和设置；以及向设备推送政策。这可以基于使用设备身份与组织之间的密码绑定，该密码绑定可以在设备的整个生命周期中被撤销和/或更新。
图1图示了根据本公开的示例的设备100。设备100包括控制器110和安全存储装置120。在制造期间，制造实体生成针对设备的公钥/私钥对并且将设备私钥(skdev)150连同设备身份(设备_ID)130和公共密码密钥(pkm)140配设给该设备，该公共密码密钥对应于非对称加密方案中的制造商秘密密钥。技术人员将理解的是，设备100可以包括在此省略了对其描述的许多其他已知部件，并且出于本公开的目的，图1中所示出的设备100的一些部件可以是可选的。
设备_ID 130可以采取由制造商使用OEM私钥(skm)签名的证书的形式。证书可以包含与设备有关的各种标识符(诸如序列号等)、签名实体(例如，OEM)的标识符以及设备的密钥对中的公钥。因此，接收设备_ID 130的实体将能够使用制造商的公钥来验证设备的身份，并且还能够验证其正在使用针对该设备的与存储在该设备中的设备私钥150(skdev)相对应的正确的密码公钥。
图2是图示了根据一些示例的为设备100配设设备_ID 130和制造商的公钥140，并生成所有权证明证书的方法200的顺序图。根据图2中所图示的方法200，在设备100的制造期间，制造商210为设备100配设220如以上所讨论的设备_ID 130(使用制造商的秘密密钥来证明)、原始设备制造商的公钥(pkm)140和设备私钥(skdev)150。在制造之后的某个时间，设备的所有权可以转移到新的所有者或操作者，例如，设备可以被购买。作为响应，制造商生成230以密码方式将设备的身份与设备的新的所有者的身份进行绑定的所有权证明证书。然后，将该所有权证明证书提供240给合适的存储库，例如所有权数据库250。
设备身份(设备_ID)130是(至少)设备唯一标识符(诸如序列号)与安全地存储在设备中的秘密(例如，设备的私钥(skdev)150)之间的绑定。例如，秘密可以存储在安全存储装置(诸如可信平台模块(TPM))中。该绑定是由设备制造商使用OEM的秘密密钥来签名的。该绑定(其可以是证书)可以用于执行向其他实体唯一地标识且安全地认证该设备的协议。接收该绑定的人可以将其追溯到制造商并且信任该绑定是由制造商生成的并且未被更改。因此，使用经证明的设备_ID 130和相关联的密钥对，另一实体可以使用经认证的协议(诸如TLS)来安全地认证设备100。
在一些示例中，所有权数据库250可以是由设备的原始制造商或由受制造商所委托的实体维护并提供的所有权证明证书的存储库。替代性地或另外地，所有权数据库250可以由组织维护以存储该组织所拥有或由该组织操作的设备100的所有权证明证书，例如，可以为用于管理企业网络中的设备的设备管理器提供这些设备的所有权证明证书，并且该设备管理器可以作为这些设备的所有权数据库250来操作。
当设备100的所有权从OEM 210转移到新的所有者/操作者时，制造商获得新的所有者的标识符，该标识符包括唯一且安全地标识所有者的值，例如，该标识符可以是所有者的证书机构的证书。
OEM 210使用所获得的所有者标识符来生成所有权证明证书，该所有权证明证书包括设备身份与所有者身份之间的密码绑定，并且该所有权证明证书是由制造商210或由制造商授权以生成所有权证明证书的组织来证明的。
例如，可以利用如下的密码签名算法生成所有权证明：
其中：
是利用秘密密钥skm的密码签名算法；
skm是由制造商授权以生成该设备的所有权证明的组织的制造商的秘密密钥；
id设备是唯一且安全地标识该设备的值(例如，由制造商配设的设备身份)；以及
id所有者是唯一且安全地标识所有者的值(例如，所有者的证书机构的证书)。
因此，所有权证明证书允许合法组织声明特定的设备100为特定的企业所拥有。所有权证明证书可以用于在登记过程期间以密码方式认证设备和设备管理器。
在一些示例中，制造商可以将生成设备或一组设备的所有权证明证书的权利委托给另一组织。对一组设备的这种委托权利本身也可以被委托给进一步的组织。
可以通过生成设备(或一组设备)与组织之间的密码绑定，以及对所委托权利的指示来委托生成设备的所有权证明证书的权利。例如，可以利用如下的密码签名算法为特定的设备和委托组织生成该委托：
其中：
是利用秘密密钥skm的密码签名算法；
skm是制造商的秘密密钥；
id设备是唯一且安全地标识该设备的值(例如，由制造商配设的设备身份)；
id委托是唯一且安全地标识接收所委托的权利的组织的值(例如，该组织的证书机构的证书)；以及
‘所有权证明生成(proof of ownership generation)’是由制造商委托给委托组织的权利。
为了将关于一组设备的权利委托给委托组织，可以通过将设备标识符替换为标识该组设备的值来使用相同的协议生成委托证书。
可以为设备100指派以下两种不同的所有权状态之一：未指派(NotAssigned)——设备当前未被拥有并且制造商能够生成绑定以将该设备指派给新的所有者；以及被拥有(Owned)——已经生成所有权证明，其中，所有权证明将一个设备与单个组织进行绑定。为了从未指派状态转变到被拥有状态，制造商可以生成所有权证明证书。
为了支持设备的所有权的后续转移，可以将状态从被拥有状态转变到未指派状态。这可以例如通过制造商或受委托机构撤销所有权证明证书，或者通过所有权证明证书根据编码在其中的属性(例如到期日期)而到期来实现。
为了将设备100指派给新的所有者，制造商210可以将设备转变到未指派状态，然后生成新的所有权证明以将设备指派给新的所有者并将该设备转变到新的被拥有状态。这两种状态和这些状态之间的转变可以安全且有意义地捕获设备的整个生命周期。
所有权证明的撤销可以采用制造商210或受委托方的经认证声明的形式，该经认证声明声明当前是否已经撤销所有权证明。例如，可以利用如下的密码签名算法为特定的所有权证明生成该证明：
其中：
是利用秘密密钥skm的密码签名算法；
skm是制造商的秘密密钥；
proof_of_ownership是所有权证明证书；
随机数(nonce)是向选择了该随机数的参与者证明该证明的“新鲜度”的随机数值；以及
状态(status)是对应的所有权证明的状态(例如，“有效”或“已撤销”)。
在第一次将设备100连接到新的企业网络时，该设备将尝试向组织登记。这个过程允许企业中的设备管理器310将凭证或本地重要证书连同合适的安全政策和其他设置安全地配设给该设备，以确保该设备在网络内的正确操作。在示例中，设备管理器310可以包括在服务器或其他计算机系统上执行的软件，该软件在网络中执行管理功能，例如，向设备配设安全证书并且确保连接到网络的设备正确地实施管理政策。设备管理器310还可以允许管理员执行其他管理任务，例如，确定设备的位置或状态等等。
在示例中，登记协议依赖于设备的身份(例如，设备_ID 130)来允许设备被认证；依赖于设备管理器的密码身份(例如，其证书)来认证该设备管理器；以及依赖于所有权证明证书来证明这两个身份之间的绑定。
图3图示了根据本公开的示例的连接到企业网络的设备100。还耦接到网络的是设备管理器310和所有权数据库250。所有权数据库包括与设备100相对应的所有权证明证书。
在第一次启动时，设备100可以自动地联系其设备管理器310。设备可以使用其设备身份向设备管理器进行认证，并且设备管理器可以使用其自身的密钥对向设备进行认证。然后，设备100和设备管理器310可以使用所有权证明证书330来认证设备管理器310代表该设备的合法操作者并且该设备是网络上的合法被拥有设备。
使用认证协议，设备管理器310和设备100可以创建安全的经认证的通信通道，然后：
·设备管理器可以将凭证或本地重要证书安全地配设给设备；
·设备可以验证并认证其安全政策和设置，并且将安全政策和设置发送到设备管理器；
·设备管理器可以向设备推送政策并且验证已经应用该政策。
图4是图示了用于在如图3所示的企业网络中登记设备100的方法400的顺序图。根据图4的方法，在设备的第一次启动时，设备试图自动地联系网络中的本地设备管理器310并请求登记410。然后，设备和设备管理器执行所有权协商协议。成功地执行所有权协商协议证明了该设备正在与其合法所有者交互，并且向设备管理器证明了其正在与其所拥有的设备交互。
为了执行所有权协商协议，设备100能够查询420由OEM 210或受委托机构维护的所有权数据库220，以取得该设备的对应的所有权证明证书560。设备100还可以基于利用查询提供的“随机数”值取得当前所有权证明证书。然后，设备100能够使用由制造商配设的公钥来认证460所有权证明证书。此外，设备100能够验证所有权保持有效。如果成功，则设备100能够验证其正在与其合法所有者交互。
然而，如果所有权已经变更并且所有权证明证书已经被撤销，则设备能够基于所取得的当前所有权信息确定这一点。
类似地，设备管理器310查询430所有权数据库220以请求其相关联的证明证书。设备管理器310接收440其当前所有权证明证书并且能够认证470所有权证明证书，以确定该设备是否是合法的被拥有设备100。设备管理器310还可以基于利用查询提供的“随机数”值来取得对应的当前所有权证书，并且当前所有权证书可以用于验证所有权证明证书保持有效。
如果设备100和设备管理器310在所有权上达成一致，则它们可以继续且执行登记过程的其余部分，包括：
·设备和设备管理器使用经认证的通信来创建480经认证且加密的通信通道以执行协议的其余部分；
·设备管理器可以向设备发送490证书和凭证以便该设备向组织中的其他参与者进行认证；
·设备可以验证其安全政策和设置、认证安全政策和设置并将其发送到设备管理器。
·设备管理器评估所接收的安全政策和设置；
·然后，设备管理器可以通过将新的安全政策和设置发送到设备来利用它们修复(remediate)设备；
·然后，设备可以应用该新的安全政策和设置；
·设备可以验证并认证其新的安全政策和设置，并且将该新的安全政策和设置发送到设备管理器，以证明其合规性。
设备100或设备管理器310可以通过向所有权数据库250查询与该设备或设备管理器的相应标识符有关的最新的所有权证明证书连同相关联的当前所有权证明，来选择在任何时间刷新所有权证明信息。
图5示出了根据本公开的示例的允许设备或设备管理器认证所有权关系的方法500。根据图5的方法500，设备或设备管理器例如经由由签名机构提供的所有权数据库取得502所有权证明证书，该所有权证明证书包括设备标识符与所有者标识符之间的密码绑定并且由制造商或受委托方生成，该密码绑定基于与所存储的制造商的公钥相对应的秘密密钥。然后使用所存储的设备标识符和制造商的公钥来认证504所有权证明证书320。基于经认证的所有权证明信息，在设备与设备管理器之间建立506安全且经认证的通信通道。然后，在设备处接收508设置信息以使设备登记到网络中。
图6示出了根据本公开的示例的允许设备管理器将新连接的设备登记到企业网络中的方法600。根据图6的方法600，设备管理器接收602来自希望连接到企业的设备100的用于登记的请求，该请求包括允许安全地识别该设备的标识符。然后，设备管理器310取得604与所接收的设备标识符相对应的所有权证明证书，该所有权证明证书包括所接收的设备标识符与所有者标识符之间的密码绑定，该所有者标识符与设备管理器相关联。设备管理器310基于与设备的制造商相关联的公钥来认证606所有权证明证书，以确定设备与设备管理器合法地相关联。在成功地认证了所有权证明证书时，设备管理器310然后向设备100配设设置信息以使该设备登记到网络上。
如以上所讨论的，在示例中，方法500和600可以进一步包括由设备或设备管理器取得当前所有权证明，以验证所有权证明证书保持有效并且尚未被撤销。
图7示出了生成所有权证明证书以反映设备100的所有权的变更的方法700。根据图7的方法700，在制造时，OEM向设备100配设702安全设备标识符和OEM的公钥。当设备被出售或所有权以其他方式变更到新的实体时，制造商获得704针对新的所有者的标识符(诸如，该所有者的证书)。然后，制造商或受委托方通过基于与配设给设备的公钥相对应的制造商秘密密钥，以密码方式对设备标识符与所有者标识符的组合进行签名，以密码方式生成706所有权证明证书。然后，例如响应于接收到来自设备或所有者的设备管理器的查询，将所有权证明证书提供708给该设备和/或设备管理器。
如本文所描述的某些方法和系统可以由处理器实施，该处理器处理从非暂态存储介质取得的程序代码。图8示出了设备的示例800，该设备包括耦接到至少一个处理器820的计算机可读存储介质830。计算机可读介质830可以是任何介质，其可以包含、存储或维护程序和数据以供指令执行系统使用或与指令执行系统结合使用。计算机可读介质可以包括许多物理介质中的任何一种，例如电、磁、光、电磁或半导体介质。合适的机器可读介质的更具体示例包括但不限于硬件驱动器、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器或便携式盘。
在图8中，计算机可读存储介质包括用于进行以下操作的程序代码：取得802包括设备标识符与所有者标识符之间的密码绑定的所有权证明证书，该密码绑定基于与所存储的公钥相对应的秘密密钥；基于所存储的设备标识符和公钥来认证804所有权证明证书；基于经认证的所有权证明证书建立806与设备管理器的经认证的通信通道；并且从设备管理器接收808设置信息以在网络上登记设备。
在其他示例中，计算机可读存储介质830可以包括用于执行图4至图7所图示的方法中的任一种方法的程序代码。
本说明书(包括任何所附权利要求书、摘要和附图)中所公开的特征中的所有特征可以以除了这种特征中的一些特征相互排他的组合方式之外的任何组合方式组合。除非另外明确指明，否则本说明书(包括任何所附权利要求书、摘要和附图)中所公开的每个特征都可以被起到相同、等同或类似目的的替代性特征代替。因此，除非另外明确指明，否则所公开的每个特征是一系列通用的等同或类似特征的一个示例。
本教导不受任何前述示例的细节的限制。可以设想本说明书(包括任何所附权利要求书、摘要和附图)中所公开的特征的任何新颖的组合。权利要求书不应被解释为仅涵盖前述示例，还涵盖落入权利要求书的范围内的任何变型。

Claims (15)

1.一种用于认证的设备，包括：
安全存储装置，所述安全存储装置包括设备标识符和与所述设备的制造商相关联的公钥；
控制器，所述控制器被配置为：
取得所有权证明证书，所述所有权证明证书包括所述设备标识符与所有者标识符之间的密码绑定，所述密码绑定基于与所存储的公钥相对应的私钥；
基于所存储的设备标识符和所述公钥来认证所述所有权证明证书；
基于经认证的所有权证明证书建立与和所述所有者标识符相关联的设备管理器的经认证的通信通道；并且
从所述设备管理器接收设置信息以在网络上登记所述设备。
2.如权利要求1所述的设备，其中，所述安全存储装置包括可信平台模块。
3.如权利要求1所述的设备，其中，所述控制器进一步被配置为：
取得当前所有权证明，所述当前所有权证明包括所述所有权证明证书与所述所有权证明证书的状态的组合的密码签名，所述密码签名基于与所存储的公钥相对应的所述私钥；并且
响应于对所述当前所有权证明的认证，基于状态值来确定所述所有权证明证书的有效性。
4.如权利要求1所述的设备，其中，所述设备包括打印机。
5.如权利要求1所述的设备，其中，所述所有者标识符包括与拥有所述设备的组织相关联的证书，并且其中，所述控制器进一步被配置为基于经认证的所有权证明证书的所述所有者标识符来认证所述设备管理器。
6.如权利要求1所述的设备，其中，所述控制器进一步用于：
使用所存储的公钥来认证所述所有权证明证书的内容；
确定所述所有权证明证书的所述设备标识符与所存储的设备标识符相匹配；并且
基于所述所有者标识符来确定所述设备管理器与所述设备的合法所有者相关联。
7.一种在网络中安全地登记设备的方法，所述方法包括：
在设备管理器处接收来自设备的用于在所述网络上登记的请求，所述请求包括设备标识符；
在所述设备管理器处取得所有权证明证书，所述所有权证明证书包括所接收的设备标识符与所有者标识符之间的密码绑定，所述所有者标识符与所述设备管理器相关联；
基于与所述设备的制造商相关联的公钥来认证所述所有权证明证书，以确定所述设备与所述设备管理器合法地相关联；以及
向所述设备配设设置信息。
8.如权利要求7所述的方法，其中，认证所述所有权证明证书进一步包括：
基于制造商公钥来认证所述所有权证明证书的内容；
确定所述所有权证明证书的所有者标识符与所述设备管理器相关联；以及
确定所述所有权证明证书的所述设备标识符与来自所述设备的用于登记的所述请求中包括的设备标识符相匹配。
9.如权利要求7所述的方法，进一步包括：
获得对与所述设备标识符相关联的所有权证明生成证书的委托；并且
其中，认证所述所有权证明进一步包括：基于所述制造商公钥来对包括对所有权证明生成证书的所述委托的证书链进行认证。
10.如权利要求7所述的方法，其中，向所述设备配设设置信息进一步包括：安全地向所述设备配设以下各项中的至少一项：安全政策；设备设置；网络凭证；和/或本地网络证书。
11.如权利要求7所述的方法，进一步包括：
取得当前所有权证明，所述当前所有权证明包括所述所有权证明证书与所述所有权证明证书的状态的组合的密码签名，所述密码签名基于与所存储的公钥相对应的私钥；以及
响应于对所述当前所有权证明的认证，基于状态值来确定所述所有权证明证书的有效性。
12.一种生成针对设备的所有权证明证书的方法，所述方法包括：
向所述设备配设设备身份和与所述设备的制造商相关联的公钥；
获得与所述设备的所有者相对应的所有者标识符；
基于与配设给所述设备的所述公钥相对应的制造商私钥，以密码方式对设备标识符与所述所有者标识符的组合进行签名，以生成所述所有权证明证书；以及
向所述设备和/或所述设备的所有者提供所述所有权证明证书。
13.如权利要求12所述的方法，包括：
基于所述制造商私钥，以密码方式对所述所有权证明证书与所述所有权证明证书的状态的组合进行签名，以生成当前所有权证明；以及
向所述设备和/或所述设备的所有者提供所述当前所有权证明。
14.如权利要求13所述的方法，进一步包括：
接收对所述设备的所有权变更的指示；
基于所述制造商私钥，以密码方式对所述所有权证明证书与对撤销所述所有权证明证书的指示的组合进行签名，以生成新的当前所有权证明；以及
向所述设备和/或所述设备的所有者提供所述新的当前所有权证明，从而指示所述所有权证明证书已经被撤销。
15.如权利要求12所述的方法，进一步包括：基于所述制造商私钥，以密码方式对所述设备标识符与受委托组织标识符的组合进行签名以生成委托证书，从而允许所述委托组织生成有效的所有权证明证书。
CN201880099110.4A 2018-11-01 2018-11-01 用于认证的设备、在网络中登记设备的方法 Active CN112955884B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/US2018/058698 WO2020091789A1 (en) 2018-11-01 2018-11-01 Infrastructure device enrolment

Publications (2)

Publication Number Publication Date
CN112955884A CN112955884A (zh) 2021-06-11
CN112955884B true CN112955884B (zh) 2024-02-06

Family

ID=70463133

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201880099110.4A Active CN112955884B (zh) 2018-11-01 2018-11-01 用于认证的设备、在网络中登记设备的方法

Country Status (4)

Country Link
US (1) US20210306157A1 (zh)
EP (1) EP3850510B1 (zh)
CN (1) CN112955884B (zh)
WO (1) WO2020091789A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11552995B2 (en) * 2019-03-06 2023-01-10 Carefusion 303, Inc. Automatic network provisioning of a medical device
DE102019130067B4 (de) * 2019-11-07 2022-06-02 Krohne Messtechnik Gmbh Verfahren zur Durchführung einer erlaubnisabhängigen Kommunikation zwischen wenigstens einem Feldgerät der Automatisierungstechnik und einem Bediengerät
CN111949967A (zh) * 2020-08-31 2020-11-17 Oppo广东移动通信有限公司 设备认证方法、装置、电子设备、服务器及存储介质
US11563579B2 (en) * 2020-10-02 2023-01-24 Nvidia Corporation Token-based zero-touch enrollment for provisioning edge computing applications
US11423180B2 (en) * 2020-12-28 2022-08-23 Dell Products, L.P. Secure identification of components installed in information handling systems
US20220207127A1 (en) * 2020-12-30 2022-06-30 Dell Products, L.P. Console-based validation of secure assembly and delivery of information handling systems
US20220329664A1 (en) * 2021-04-09 2022-10-13 Apple Inc. Secure data caching for edge networks
CN114238803A (zh) * 2022-02-25 2022-03-25 北京结慧科技有限公司 企业级用户的业务注册数据的管理方法及系统

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1796012A1 (en) * 2005-12-07 2007-06-13 NTT DoCoMo, Inc. Authentication method and apparatus
CN103109495A (zh) * 2010-05-17 2013-05-15 捷讯研究有限公司 用于认证并登记设备的方法
CN104838385A (zh) * 2012-12-28 2015-08-12 英特尔公司 使用基于物理不可克隆功能的密钥产生系统的设备认证
CN105681281A (zh) * 2015-12-30 2016-06-15 北京金科联信数据科技有限公司 基于嵌入式操作系统的密码设备
CN106031086A (zh) * 2014-02-20 2016-10-12 菲尼克斯电气公司 用于生成设备证书和检验设备证书的有效性的方法和系统
CN106027456A (zh) * 2015-03-25 2016-10-12 瞻博网络公司 用于对网络设备进行认证的装置和方法
CN106537871A (zh) * 2014-07-11 2017-03-22 因特鲁斯特公司 用于在网络中提供设备的登记的系统、方法和装置
CN107895111A (zh) * 2017-10-11 2018-04-10 西安电子科技大学 物联网设备供应链信任体系管理方法、计算机程序、计算机
CN108027856A (zh) * 2015-05-05 2018-05-11 迈克菲有限公司 使用可信平台模块来建立攻击信息的实时指示器
CN108418692A (zh) * 2018-03-28 2018-08-17 湖南东方华龙信息科技有限公司 认证证书的在线写入方法
US10057243B1 (en) * 2017-11-30 2018-08-21 Mocana Corporation System and method for securing data transport between a non-IP endpoint device that is connected to a gateway device and a connected service

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7761910B2 (en) * 1994-12-30 2010-07-20 Power Measurement Ltd. System and method for assigning an identity to an intelligent electronic device
US8452961B2 (en) * 2006-03-07 2013-05-28 Samsung Electronics Co., Ltd. Method and system for authentication between electronic devices with minimal user intervention
EP2202913B1 (en) * 2007-10-19 2012-12-05 Nippon Telegraph and Telephone Corporation User authentication and method for the same
US8959353B2 (en) * 2009-03-31 2015-02-17 Topaz Systems, Inc. Distributed system for multi-function secure verifiable signer authentication
ES2620962T3 (es) * 2009-11-25 2017-06-30 Security First Corporation Sistemas y procedimientos para asegurar datos en movimiento
CN104537293B (zh) 2010-08-20 2018-01-19 Nxp股份有限公司 认证设备和系统
KR102066125B1 (ko) * 2011-11-29 2020-01-14 스포티파이 에이비 멀티 디바이스의 보안 애플리케이션 통합을 갖춘 컨텐츠 공급자
US20130185552A1 (en) * 2012-01-13 2013-07-18 Research In Motion Limited Device Verification for Dynamic Re-Certificating
US10169602B2 (en) * 2016-02-22 2019-01-01 Dell Products, L.P. Method for local key management setup and recovery
US10171452B2 (en) * 2016-03-31 2019-01-01 International Business Machines Corporation Server authentication using multiple authentication chains
US10743392B2 (en) * 2016-04-21 2020-08-11 Signify Holding B.V. Systems and methods for verifying credentials
US20180034646A1 (en) * 2016-07-27 2018-02-01 Arris Enterprises Llc Method and apparatus for seamless remote renewal of offline generated digital identity certificates to field deployed hardware security modules
JP6888673B2 (ja) 2016-10-27 2021-06-16 株式会社デンソー デバイスを認証および認可するためのシステムおよび方法
US10375057B2 (en) * 2017-01-27 2019-08-06 Visa International Service Association Systems and methods for certificate chain validation of secure elements

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1796012A1 (en) * 2005-12-07 2007-06-13 NTT DoCoMo, Inc. Authentication method and apparatus
CN103109495A (zh) * 2010-05-17 2013-05-15 捷讯研究有限公司 用于认证并登记设备的方法
CN104838385A (zh) * 2012-12-28 2015-08-12 英特尔公司 使用基于物理不可克隆功能的密钥产生系统的设备认证
CN106031086A (zh) * 2014-02-20 2016-10-12 菲尼克斯电气公司 用于生成设备证书和检验设备证书的有效性的方法和系统
CN106537871A (zh) * 2014-07-11 2017-03-22 因特鲁斯特公司 用于在网络中提供设备的登记的系统、方法和装置
CN106027456A (zh) * 2015-03-25 2016-10-12 瞻博网络公司 用于对网络设备进行认证的装置和方法
CN108027856A (zh) * 2015-05-05 2018-05-11 迈克菲有限公司 使用可信平台模块来建立攻击信息的实时指示器
CN105681281A (zh) * 2015-12-30 2016-06-15 北京金科联信数据科技有限公司 基于嵌入式操作系统的密码设备
CN107895111A (zh) * 2017-10-11 2018-04-10 西安电子科技大学 物联网设备供应链信任体系管理方法、计算机程序、计算机
US10057243B1 (en) * 2017-11-30 2018-08-21 Mocana Corporation System and method for securing data transport between a non-IP endpoint device that is connected to a gateway device and a connected service
CN108418692A (zh) * 2018-03-28 2018-08-17 湖南东方华龙信息科技有限公司 认证证书的在线写入方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
物联网中标识密码应用研究;周传玉;王吉伟;李明;;信息安全研究(第11期);全文 *

Also Published As

Publication number Publication date
US20210306157A1 (en) 2021-09-30
CN112955884A (zh) 2021-06-11
WO2020091789A1 (en) 2020-05-07
EP3850510B1 (en) 2023-12-27
EP3850510A4 (en) 2022-02-23
EP3850510A1 (en) 2021-07-21

Similar Documents

Publication Publication Date Title
CN112955884B (zh) 用于认证的设备、在网络中登记设备的方法
US11128612B1 (en) Zero-touch provisioning of IoT devices with multi factor authentication
US10027670B2 (en) Distributed authentication
US9774452B2 (en) System and method for enabling unconfigured devices to join an autonomic network in a secure manner
US9621355B1 (en) Securely authorizing client applications on devices to hosted services
US10678555B2 (en) Host identity bootstrapping
US8683196B2 (en) Token renewal
US9215232B2 (en) Certificate renewal
US20240073003A1 (en) Method of data transfer, a method of controlling use of data and cryptographic device
US8024488B2 (en) Methods and apparatus to validate configuration of computerized devices
US20100077208A1 (en) Certificate based authentication for online services
TW201140366A (en) Apparatus and methods for protecting network resources
AU2020284514B2 (en) Systems, methods, and storage media for permissioned delegation in a computing environment
JP2014526171A (ja) ピアツーピアオーバーレイネットワーク内のデータオブジェクトに対するグループアクセス制御の容易化
US11625476B2 (en) Remote processing of credential requests
CN110771087B (zh) 私钥更新
CN117454445A (zh) 一种基于区块链的数据访问控制方法及相关设备
MM METHOD TO PROVIDE SECURE AND RELIABLE MFA AND SSO USING HYPER LEDGER

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant