CN113168445A - 安全的空中固件升级 - Google Patents

安全的空中固件升级 Download PDF

Info

Publication number
CN113168445A
CN113168445A CN201980074153.1A CN201980074153A CN113168445A CN 113168445 A CN113168445 A CN 113168445A CN 201980074153 A CN201980074153 A CN 201980074153A CN 113168445 A CN113168445 A CN 113168445A
Authority
CN
China
Prior art keywords
firmware
key
embedded device
encrypted
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201980074153.1A
Other languages
English (en)
Other versions
CN113168445B (zh
Inventor
迈克尔·阿特夫·阿尤布
纳比勒·瓦西里
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Cedev Co
Original Assignee
Cedev Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cedev Co filed Critical Cedev Co
Publication of CN113168445A publication Critical patent/CN113168445A/zh
Application granted granted Critical
Publication of CN113168445B publication Critical patent/CN113168445B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/35—Protecting application or service provisioning, e.g. securing SIM application provisioning

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Stored Programmes (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

用于安全地提供空中固件升级的方法、系统、设备和装置。该系统包括配置为接收固件升级的嵌入式设备。该系统包括服务器，该服务器具有被配置为存储第一密钥加密密钥、固件升级和固件密钥的存储器，并且具有耦接至该存储器的处理器。处理器被配置为获取固件升级、固件密钥和第一密钥加密密钥。处理器配置为使用固件密钥对固件升级进行加密。处理器被配置为使用第一密钥加密密钥对固件密钥进行加密，并且将加密的固件升级和加密的固件密钥传输到嵌入式设备。

Description

安全的空中固件升级
相关申请的交叉引用
本申请要求于2018年11月12日提交的标题为“安全的空中固件升级”的美国专利申请No.16/186,868的优先权和权益，其全部内容通过引用合并于本文。
技术领域
本说明书涉及用于安全的空中通信以升级嵌入式设备的固件的系统、设备和/或方法。
背景技术
嵌入式设备需要固件升级以增强特征、解决问题和/或更新固件。这些嵌入式设备可以是不具有物理接口以接收固件升级的无线嵌入式设备，因此，无线嵌入式设备必须经由无线链路或空中方式接收固件升级。此外，这些嵌入式设备也可能与提供固件升级的服务提供商不具有连续或恒定的连接性，因此，嵌入式设备可能需要与服务提供商的服务器进行交互并与之达成协议，以协调进行固件更新。
当通过空中发送固件升级时，包(package)容易受到安全漏洞的影响。例如，恶意方可以通过嗅探空中通信或通过模拟目标设备来访问固件升级。在另一个示例中，主动攻击者可以创建固件升级的变更版本，并将该固件升级的变更版本发送到目标设备。
因此，需要一种系统、方法和/或设备，以防止未经授权地访问固件升级，同时还验证和认证固件升级的完整性和来源。
发明内容
通常，本说明书中描述的主题的一方面体现在用于安全地提供无线或空中固件升级的设备、系统和/或装置中。该系统包括被配置为接收固件升级的嵌入式设备。该系统包括服务器，该服务器具有被配置为存储第一密钥加密密钥、固件升级和固件密钥的存储器，并且具有耦接至该存储器的处理器。处理器被配置为获取固件升级、固件密钥和第一密钥加密密钥。处理器配置为使用固件密钥对固件升级进行加密。处理器被配置为使用第一密钥加密密钥对固件密钥进行加密，并且将加密的固件升级和加密的固件密钥传输到嵌入式设备。
这些和其他实施例可以可选地包括以下特征中的一个或更多个。存储器可以进一步被配置为存储服务器私钥。处理器可以进一步被配置为在将加密的固件升级和加密的固件密钥传输到嵌入式设备之前，对加密的固件升级和加密的固件密钥进行数字签名。
该系统可以包括控制器设备。控制器设备可以具有存储器，该存储器可以被配置为存储服务器公共证书或一个或更多个密钥加密密钥。控制器设备可以具有处理器，该处理器可以被配置为使用一个或更多个密钥加密密钥与服务器建立连接。处理器可以被配置为获取加密的固件升级和加密的固件密钥，并且可以使用服务器公共证书对数字签名进行验证。处理器可以被配置为使用一个或更多个密钥加密密钥与嵌入式设备建立连接，并且可以将加密的固件升级和加密的固件密钥提供给嵌入式设备。
服务器的处理器可以被配置为接收固件传递请求。固件传递请求可以包括固件升级的传递模式。不同的传递模式可以包括在服务器和嵌入式设备之间建立直接信道的第一模式、经由离线控制器在服务器和嵌入式设备之间建立间接信道的第二模式、以及经由在线控制器在服务器和嵌入式设备之间建立间接信道的第三模式。
第一密钥加密密钥可以是会话密钥。当处于第三模式时，可以使用会话密钥对固件密钥进行预加密；或者当处于第二模式时，可以使用在先前固件版本中混淆的通用嵌入式设备密钥对固件密钥进行预加密。
嵌入式设备可以具有存储器。存储器可以被配置为存储固件和第一密钥加密密钥。嵌入式设备可以具有耦接到存储器的处理器。处理器可以被配置为存储加密的固件升级和加密的固件密钥。处理器可以被配置为使用第一密钥加密密钥对加密的固件密钥进行解密。处理器可以被配置为使用固件密钥对加密的固件升级进行解密。处理器可以被配置为使用固件升级来更新固件。
在另一方面，该主题体现在用于安全传递固件升级的系统中。该系统包括被配置为接收固件升级的嵌入式设备。该系统包括服务器，该服务器具有被配置为存储会话密钥、固件升级和固件密钥的存储器。该系统具有耦接到该存储器的处理器。处理器被配置为使用固件密钥对固件升级进行加密，并使用会话密钥对固件密钥进行加密。处理器被配置为通过安全信道将加密的固件升级和加密的固件密钥发送到嵌入式设备。
在另一方面，该主题体现在用于安全传递固件的方法中。该方法包括使用固件密钥对固件升级进行加密。该方法包括使用会话密钥对固件密钥进行加密。该方法包括确定嵌入式设备处于第一模式、第二模式还是第三模式。该方法包括：当嵌入式设备处于第一模式时，将固件升级和加密的固件密钥传输到嵌入式设备，并且当嵌入式设备处于第二模式或第三模式时，将固件升级和加密的固件密钥传输到控制器设备。
附图说明
通过检查以下附图和详细描述，本发明的其他系统、方法、特征和优点对于本领域的普通技术人员将是或将变得显而易见。旨在将所有这样的附加系统、方法、特征和优点包括在本说明书中、在本发明的范围内、并由所附权利要求书保护。附图中所示的组成部分不必按比例绘制，并且可以被夸大以更好地说明本发明的重要特征。在附图中，遍及不同的视图，相同的参考标号表示相同的部件，其中：
图1示出了根据本发明的一方面的空中(OTA)升级系统的示例框图，该空中升级系统升级嵌入式设备的软件，例如固件；
图2是根据本发明的一方面的在图1的OTA升级系统的服务器上实施的示例过程的流程图，以向嵌入式设备安全地提供固件升级；
图3是根据本发明的一方面的在图1的OTA升级系统的嵌入式设备上实施的示例过程的流程图，以安全地获取和传递固件升级；
图4是根据本发明的一方面的在图1的OTA升级系统的控制器上实施的示例过程的流程图，以安全地获取和解密固件升级；
图5A示出了根据本发明一方面的、当图1的OTA系统处于直接模式时的示例加密的固件升级和/或固件密钥；以及
图5B示出了根据本发明的一方面的、当图1的OTA系统处于间接离线模式或间接在线模式时的示例加密的固件升级和/或固件密钥。
具体实施方式
本文公开了用于确保从服务提供商的服务器或其他计算设备到嵌入式设备的固件升级的空中传递的系统、设备和方法。嵌入式设备可以是智能设备或其他嵌入式设备，它们可以依靠空中或无线通信来获取固件升级或其他软件升级。嵌入式设备可能具有或不具有用于接收或获取固件或其他软件升级的物理接口，因此，可能需要通过空中传输和接收固件升级。
安全的空中升级系统(“OTA升级系统”)具有服务器和嵌入式设备。服务器(例如服务提供商的计算设备)向嵌入式设备(例如智能可穿戴设备、物联网(IoT)设备、医疗设备或其他嵌入式设备)提供可用于更新嵌入式设备上的软件的软件包，例如固件升级。OTA升级系统可以利用控制器设备(“控制器”)在服务器和嵌入式设备之间进行接口，以提供离线功能和/或提供额外的移动性和/或灵活性，以将软件包传递到一个或更多个嵌入式设备。
其他益处和优点包括OTA升级系统可以在服务器、嵌入式设备和/或控制器之间建立安全通信信道。安全通信信道利用加密、认证、签名和/或其他安全机制在传送之前、传送之后和传送期间保护软件包。例如，可以对软件包进行加密以在空中传送期间保护软件包的机密性。在另一示例中，可以对软件包进行签名，以防止传送期间对软件包的修改并认证软件包的来源。可以使用多种加密算法和/或密钥来保护在传送期间软件包以及分发软件包所需的任何必要密钥两者。这允许OTA升级系统通过空中方式向嵌入式设备提供经验证的、经认证的和机密的软件包。
图1示出了OTA升级系统100的框图，该OTA升级系统100从服务器102升级嵌入式设备104的软件，例如固件。在下文中，即使升级或更新嵌入式设备上的固件的固件升级也可以作为参考，但是OTA升级系统100可以以类似的方式升级任何类型的软件，例如应用程序、操作系统或包括嵌入式设备104上的任何低级别软件的其他软件。
OTA升级系统100包括嵌入式设备104和服务器102。OTA升级系统100可以包括作为嵌入式设备104和服务器102之间的中介的控制器设备(“控制器”)106。嵌入式设备104可以是可穿戴或不可穿戴的智能设备、医疗设备、便携式设备(例如数字手表或音频播放器)、路由器、智能手机、工厂或工业控制器、或其他专用计算机或处理器。在一些实施方式中，OTA升级系统100可以连接到通用计算机并且向通用计算机提供软件升级。
嵌入式设备104可以包括处理器108和存储器110。处理器108可以是单个处理器或多个处理器。处理器108可以从一个或更多个组件接收数据，并基于接收到的或确定的数据来控制一个或更多个组件的操作。例如，处理器108可以从服务器102解密固件升级、验证和认证固件升级、和/或用固件升级来更新嵌入式设备104的固件。
处理器108可以耦接到存储器110。存储器110可以存储要在处理器108上执行的指令，并且可以包括随机存取存储器(RAM)或其他易失性或非易失性存储器中的一个或更多个。存储器110可以是非暂时性存储器或数据存储设备，例如硬盘驱动器、固态磁盘驱动器、混合磁盘驱动器或其他适当的数据存储装置，并且可以进一步存储可以由处理器108加载和执行的机器可读指令。存储器110可以存储用于加密和/或解密的一个或更多个密钥(例如云嵌入式设备密钥)和/或用于签名验证的一个或更多个证书(例如服务器公共证书)。
由于嵌入式设备104可能不具有物理接口，所以嵌入式设备104可能具有网络访问接口112。网络访问接口112可以包括通信端口或信道，例如一个或更多个Wi-Fi单元、
Figure BDA0003059693130000051
单元、射频识别(RFID)标签或读取器或用于访问(例如3G、4G或5G)蜂窝网络的蜂窝网络单元。网络访问接口112可以向未直接连接的设备和系统传输数据并从未直接连接的设备和系统接收数据。例如，嵌入式设备104可以使用网络访问接口112经由网络138连接到服务器102和/或控制器106。
诸如局域网(LAN)、广域网(WAN)、蜂窝网络、互联网或其组合之类的网络138将嵌入式设备104连接到服务器102以便接收空中或无线固件更新。例如，嵌入式设备104可以耦接到服务器102以从服务器102内的数据库访问和下载更新。在一些实施方式中，服务器102将更新推送到嵌入式设备104。
嵌入式设备104可以耦接到服务器102。服务器可以是网络中的计算机，用于向网络中的其他计算机提供服务，例如访问文件或共享外围设备。服务器102可以是向嵌入式设备104提供固件升级的服务提供商。服务器102包括处理器114、存储器116和网络访问设备118。处理器114可以具有与嵌入式设备104的处理器108类似的组件和/或功能，但是具有更多的资源。处理器114可以使用一个或更多个密钥(例如云到嵌入式设备密钥和/或云到控制器设备密钥)和/或一个或更多个证书(例如服务器私钥)来对包和/或消息进行加密、解密和/或签名。
处理器114可以与存储器116耦接。存储器116可以具有与存储器110类似的组件和/或功能，但具有更多的资源。例如，存储器116可以存储一个或更多个密钥(例如云到嵌入式设备密钥和/或云到控制器设备密钥)和/或一个或更多个证书。
存储器116可以存储数据库。数据库是为搜索和检索而例如通过计算机组织起来的任何信息片段的集合，并且数据库可以以表、图表、查询、报告或任何其他数据结构来组织。数据库可以使用任何数量的数据库管理系统。该信息可以包括实时信息、定期更新的信息或用户输入的信息。例如，数据库可以存储用于各种嵌入式设备的各种固件升级的多个版本。数据库可以存储用于加密/解密各种固件升级和/或用于与各种嵌入式设备安全通信的一个或更多个密钥和/或一个或更多个证书。
服务器102包括网络访问设备118。网络访问设备118可以具有与嵌入式设备104的网络访问接口112类似的组件和/或功能，以访问网络138以在服务器102、嵌入式设备104和/或控制器106之间传输和/或接收数据。
服务器102可以包括用户接口120。用户接口120可以包括能够接收用户输入的输入/输出设备122以及能够输出的任何设备；能够接收用户输入的输入/输出设备122例如用户接口元件、按钮、拨盘、麦克风、键盘、触摸屏；能够输出的任何设备例如显示器、扬声器或可刷新的盲文显示器。例如，用户接口120可以接收包括固件升级、一个或更多个密钥和/或一个或更多个证书的用户输入。在另一示例中，用户接口120可以接收用于补充固件升级的附加信息(例如版本号)和/或用于补充一个或更多个证书的附加信息(例如一个或更多个不可变标识符)。
OTA升级系统100可以包括控制器106。控制器106可以在嵌入式设备104和服务器102之间提供在线或离线接口。当控制器106提供在线接口时，服务器102和嵌入式设备104使用网络138通过控制器106建立连接，并且所有三个设备同时连接。服务器102通过所建立的连接经由控制器106将固件升级提供给嵌入式设备104。当控制器106在嵌入式设备104和服务器102之间提供离线接口时，服务器102单独地连接到控制器106，并且与当控制器106连接到嵌入式设备104时明显不同。服务器102向控制器106提供固件升级，该控制器106在递送期间未连接至嵌入式设备104。然后，控制器106随后建立连接，并将固件升级提供给嵌入式设备104。
控制器106具有处理器124和存储器126。处理器124可以具有与处理器108、114类似的组件和/或功能。存储器126可以具有与存储器110、116类似的组件和/或功能。在一些实施方式中，存储器126可以是加密的存储器。控制器106可以具有用户接口128和/或网络访问设备130。用户接口128和/或网络访问设备130分别具有与用户接口120和/或网络访问设备118或网络访问接口112类似的组件和/或功能。
控制器106可以具有可信执行环境(“可信环境”)134和/或不可信执行环境(“不可信环境”)136。可信环境134内的组件与不可信环境136内的其他组件在逻辑上和/或物理上隔离和/或沙盒化。可信环境134可以运行独立的和/或不同的操作系统，并且具有与不可信环境136不同的资源。例如，可信环境134和不可信环境136可以具有不同的处理器。
控制器106可以包括安全元件132。安全元件132可以提供密钥生成、密钥存储和/或其他密码功能。在一些实施方式中，安全元件132被包括在控制器106中、被嵌入在控制器106内或被插入到控制器106中。安全元件132可以是安全地存储证书、密钥或其他认证或标识信息数据的单独的硬件令牌(token)或设备或安全元件芯片，例如集成电路和/或存储器。控制器106可以利用安全元件132和/或可信环境134来执行安全功能，例如，与服务器102和/或嵌入式设备104配对或建立安全连接，和/或当控制器106离线时存储固件升级。
控制器106的任何组件(全部组件或部分组件)，例如处理器124、存储器126、用户接口128或网络访问设备130，都可以位于可信执行环境134、安全元件132和/或不可信执行环境136内。
图2是在服务器102上实施以向嵌入式设备104安全地提供固件升级的过程200的流程图。一个或更多个计算机或数据处理装置(例如被适当编程的图1的OTA升级系统100的服务器102的处理器114)可以提供、传输或以其他方式发送固件升级至嵌入式设备104。
服务器102可以获取一个或更多个固件升级、一个或更多个密钥、一个或更多个不可变标识符和/或一个或更多个证书(202)。服务器102可以从用户处获取一个或更多个固件升级、一个或更多个密钥、一个或更多个不可变标识符和/或一个或更多个证书。OTA升级系统100的管理员可以经由用户接口120向服务器012提供该一个或更多个固件升级、一个或更多个密钥、一个或更多个不可变标识符和/或一个或更多个证书。服务器102在存储器116中存储该一个或更多个固件升级、一个或更多个密钥、一个或更多个不可变标识符和/或一个或更多个kore证书，以将其随后提供或传递给控制器106或嵌入式设备104。
一个或更多个固件升级可以具有版本号和/或嵌入式设备关联。版本号可以是提供信息的版本控制号，该信息例如服务提供商发布固件升级的日期和/或与固件升级的版本相关联的更改。嵌入式设备关联可以是固件升级更新的每种嵌入式设备类型或类别的唯一标识符。
一个或更多个密钥可以包括一个或更多个固件密钥和/或一个或更多个密钥加密密钥(KEK)。一个或更多个密钥可能是随机生成的。服务器102可以在将固件升级传递到嵌入式设备104之前、之后和/或期间，使用一个或更多个固件密钥来加密/解密固件升级。服务器可以在将一个或更多个固件密钥传递到嵌入式设备104之前、之后和/或期间，使用一个或更多个KEK来对一个或更多个固件密钥进行加密/解密。
一个或更多个证书可以包括一个或更多个设备证书。一个或更多个设备证书可以包括私钥证书(例如服务器私钥)和/或公共设备证书(例如服务器公钥)。服务器102可以在固件升级和/或固件密钥传递到嵌入式设备104之前，使用私有证书对固件升级和/或固件密钥进行数字签名。嵌入式设备104可以使用公共证书来验证数字签名。私有/公共证书的使用确保了签名内容在传送期间没有被修改，即，数字签名保护了签名内容的完整性和/或标识了签名内容的来源。此外，一个或更多个证书可以具有一个或更多个与该证书绑定的不可变标识符。这为签名内容的来源提供了额外的认证。
一个或更多个不可变标识符可以包括国际移动设备身份码(IMEI)号码、电话号码、低功耗蓝牙(BLE)媒体访问控制(MAC)地址、TrustZone标识符(ID)或可能与设备证书绑定在一起并与设备证书相关联的其他设备标识符。一个或更多个不可变标识符可以是嵌入式设备104的不可变和/或不可改变的特定标识符。
服务器102可以签名并向控制器106或嵌入式设备104传输固件版本号的列表和相关联的有效期(203)。固件版本号的列表和相关联的有效期可以用于标识固件版本何时到期和/或何时需要固件升级。
服务器102可以从固件升级内获取传递模式请求或获取传递模式(204)。传递模式请求是来自嵌入式设备104以使用特定模式来传递固件升级的请求。传递模式请求可以包括固件升级的传递的特定实施方式和方式。在一些实施方式中，固件升级指定传递的实施方式和方式，并且服务器102从固件升级中提取传递模式。
传递模式请求可以标识一种或更多种传递模式。一种以上模式可以包括直接云到嵌入式设备模式(“直接模式”)、间接离线云到控制器到嵌入式设备模式(“间接离线模式”)和/或间接在线云到控制器到嵌入式设备模式(“间接在线模式”)。在直接模式下，服务器102在服务器102与嵌入式设备104之间建立直接信道。在间接离线模式下，服务器102经由离线控制器106在服务器102与嵌入式设备104之间建立间接信道。在间接在线模式下，服务器102经由在线控制器106在服务器102和嵌入式设备104之间建立间接信道。
在服务器102和嵌入式设备104配对之后，和/或已经在服务器102和嵌入式设备104之间建立了安全通信信道之后，服务器102可以从嵌入式设备104获取传递模式请求。在一些实施方式中，服务器102可以初始化并且默认为直接模式，直到在第一固件升级已经成功地传递到嵌入式设备104之后。例如，可以将嵌入式设备104预先配置为要求第一固件升级经由直接模式传递。
服务器102可以对固件升级进行加密(206)。服务器102可以使用固件密钥对固件升级进行加密。固件密钥可以是每个嵌入式设备104的每个固件升级或固件的每个版本的唯一密钥。因此，在从服务器102获取固件密钥之前，嵌入式设备104可能不具有固件密钥，因此如果将固件升级发送到非预期的其他嵌入式设备，则非预期的其他嵌入式设备将无法解密该固件升级。也就是说，即使另一台设备可以访问加密的固件升级，该另一台设备仍将无法解密该固件升级和访问该固件升级。
服务器102可以确定传递模式是用于固件升级的传递的直接模式、间接在线模式还是间接离线模式(208)。直接模式和间接在线模式是在线传递模式。在线传递模式要求服务器102在固件升级传递之前、之后和/或期间，直接或经由控制器106间接地保持服务器102与嵌入式设备104之间的连续连接。而间接离线传递模式是离线传递模式，其允许服务器102将固件升级存储在控制器106上，以随后被传递给嵌入式设备104。
服务器102可以基于固件升级的传递的特定实施方式和方式来确定传递模式，例如，在传递模式请求中指定或在固件升级中指定的一种或更多种传递模式。服务器102可以从传递模式请求中提取一种或更多种传递模式，并确定该传递模式。传递模式请求中包括的模式可以表示为指示传递模式的标志、位或其他指示符。
如果服务器102确定该模式是间接在线模式，则服务器102可以使用第一密钥加密密钥对固件密钥进行预加密(210)。第一密钥加密密钥可以是云到嵌入式设备会话密钥。通过用云到嵌入式设备会话密钥对固件密钥进行加密，服务器102防止控制器106获得对固件密钥的访问，这保护了固件升级的机密性，因为控制器无法访问云到嵌入式设备会话密钥。此外，由于云到嵌入式设备会话密钥可以是特定于每个嵌入式设备和/或每种类型的嵌入式设备的唯一密钥，因此服务器102可以防止另一个非预期嵌入式设备或非预期类型的嵌入式设备对固件密钥的访问，因为这些其他嵌入式设备没有特定的云到嵌入式设备会话密钥。
如果服务器102确定该模式是间接离线模式，则服务器102可以使用第二密钥加密密钥对固件密钥进行预加密(212)。第二密钥加密密钥可以是通用嵌入式设备密钥。通用嵌入式设备密钥可能会在先前固件版本的固件代码中被混淆。原始或初始固件版本可能在制造和/或供应过程中包含了固件代码。例如，如果与固件密钥相关联的固件升级是版本2.0，则该固件的先前版本(例如，版本1.0)可能包括与当前固件升级版本2.0相关联的通用嵌入式设备密钥。正在传递的固件升级的当前版本可能包括下一次固件升级的通用嵌入式设备密钥。例如，固件升级版本2.0可能包含用于固件升级版本3.0的通用嵌入式设备密钥。
通过使用通用嵌入式设备密钥来加密固件密钥，服务器102防止控制器106获得对固件密钥的访问，这保护了固件升级的机密性，因为控制器106无法访问通用嵌入式设备密钥。然而，通用嵌入式设备密钥可能在利用先前固件版本的所有嵌入式设备的固件代码中被混淆，并且对于每个嵌入式设备可能不是唯一的。然而，由于控制器106无法访问固件密钥，因此固件升级可以被存储在控制器106上并且与控制器106一起被输送，直到嵌入式设备104请求固件升级为止。
在一些实施方式中，通过除服务器102之外的另一实体分别使用用于间接在线模式或间接离线模式的云到设备会话密钥或通用嵌入式设备密钥来对固件密钥进行预加密，并且仅获取并且存储在服务器102内。
当服务器102确定该模式是间接在线模式或间接离线模式时，服务器102使用第三密钥加密密钥(例如，云到控制器设备会话密钥)来加密预加密的固件密钥。这保护了传送到控制器106的固件密钥，以便随后分发至一个或更多个嵌入式设备。在一些实施方式中，服务器102还可以使用第三密钥加密密钥来对加密的固件升级进行加密，以提供额外的安全性。
如果服务器102确定该模式是直接模式，则服务器102不需要预加密固件密钥，因为服务器102无需经过控制器106或任何其他设备就可以直接向嵌入式设备104传递或提供固件升级。或者，服务器102使用第四密钥加密密钥(例如，云到嵌入式设备会话密钥)对固件密钥进行加密(216)。云到嵌入式设备会话密钥可能只有服务器102和嵌入式设备104知道，并且可能已被预先共享。通过使用云到嵌入式设备密钥对固件密钥进行加密，其他任何设备都无法访问该固件密钥，因此无法进行固件升级。在一些实施方式中，服务器102还可以使用第四密钥加密密钥对加密的固件升级进行加密。
服务器102可以在传输、发送或以其他方式提供固件升级和/或固件密钥之前对固件升级和/或固件密钥进行签名(218)。服务器102可以将先前已经被加密的固件升级和/或固件密钥组合成单个数据包。在一些实施方式中，服务器102将固件升级和固件密钥的传递保持为单独的包传递，以使得拦截更加困难。服务器102可以从存储器116获取服务器私钥，并且使用该服务器私钥对固件升级和/或固件密钥进行数字签名。服务器102可以对固件升级、固件升级密钥、固件升级版本号和/或嵌入式设备标识符中的一个或更多个的级联的密码哈希函数输出进行数字签名。当服务器102对固件升级和/或固件密钥进行签名时，当服务器102传输固件升级和/或固件密钥时，服务器102可以包括服务器公钥。通过对固件升级和/或固件密钥进行数字签名，可以验证数字签名，以确保未修改固件升级和/或固件密钥以及确保固件升级和/或固件密钥的来源为服务器102。
在服务器102加密固件密钥和/或固件升级之后，服务器102与控制器106或嵌入式设备104建立连接(220)。服务器102基于传递模式建立与控制器106或嵌入式设备104的连接。如果该模式处于间接离线模式或间接在线模式，则服务器102建立与控制器106的连接。服务器102可以使用云到控制器设备会话密钥来建立与控制器106的安全连接。如果该模式处于直接模式，则服务器102建立与嵌入式设备104的连接。服务器102可以使用云到嵌入式设备会话密钥来建立与嵌入式设备104的安全连接。
一旦服务器102已经建立了与控制器106或嵌入式设备104的连接并且已经加密了固件密钥和固件升级，则服务器102发送、提供和/或传输加密的固件密钥和加密的固件升级至控制器106或嵌入式设备104(222)。如果该模式是间接离线模式或间接在线模式，则服务器102向控制器106发送、传输或以其他方式提供加密的固件密钥和加密的固件升级。并且，如果该模式是直接模式，则服务器102将加密的固件密钥和加密的固件升级发送、传输或以其他方式提供给嵌入式设备104。
图3是在嵌入式设备104上实施以安全地获取和解密固件升级的过程300的流程图。一个或更多个计算机或数据处理装置(例如被适当编程的图1的OTA升级系统100的嵌入式设备104的处理器108)可以获取并解密固件升级。
嵌入式设备104可以确定需要固件升级(302)。嵌入式设备104可以从控制器106和/或服务器102获取或先前已经获取固件版本号的列表和相关联的失效期，验证固件版本号的列表上的任何签名，并且检查固件版本以查看是否版本已过期。在一些实施方式中，每个固件版本可以包括指示该版本已过期的失效信息。如果当前日期晚于固件失效期，则嵌入式设备104可以确定固件已过时，这表明需要新的固件升级。
在一些实施方式中，嵌入式设备104将固件版本发送到服务器102。作为响应，嵌入式设备104可以从服务器102接收指示固件版本已过时或已过期和/或嵌入式设备104可以使用新的固件升级的指示。如果固件版本已过时或已过期，则嵌入式设备可能会停止正常运行，并可能进入要求固件升级的安全模式。
嵌入式设备104可以确定在激活时需要固件升级。嵌入式设备104可以请求并获取当前日期和/或时间的时间戳，将时间戳与固件的失效期进行比较，并且如果当前日期和/或时间超过失效期，则确定需要固件升级。例如，嵌入式设备可以从控制器106或服务器102接收签名的时间戳，检查签名的有效性，和/或使用证书和/或固件版本的时间戳以及失效期和/或时间来检查当前固件版本是否未过期。签名可以包括其他标识符，例如嵌入式设备的ID、控制器的ID和由嵌入式设备发送给控制器的随机随机数，这些标识符可以进行验证或确认。签名可以是使用控制器的私钥或服务器的私钥的签名。
在一些实施方式中，在首次使用时，嵌入式设备104可能无法开始正常运行，并且可能要求固件升级，直到嵌入式设备例如从控制器106获取固件版本号的列表及其有效期以及服务器102的数字签名为止。在首次使用时，嵌入式设备104可能要求将嵌入式设备的固件版本包括在固件版本号的列表中，并且嵌入式设备的固件版本不会随着使用服务器的公钥和/或控制器的公钥对数字签名的验证而过期。
嵌入式设备104可以确定固件升级和/或固件密钥的传递模式(304)。嵌入式设备104可以最初例如在工厂中以直接模式设置，该直接模式建立并要求直接连接到服务器102以通过空中或无线方式下载初始固件升级和/或固件密钥。嵌入式设备104可以接收指示以改变为下一次固件升级的不同模式，诸如间接离线模式和/或间接在线模式。
当处于直接模式或间接在线/离线模式时，嵌入式设备104分别使用云到嵌入式设备会话密钥与服务器102建立连接，或者使用控制器到嵌入式设备会话密钥与控制器106建立连接。嵌入式设备104通过所建立的连接直接或经由控制器106间接地向服务器102发送或以其他方式提供包括传递模式的传递模式请求(306)。
在嵌入式设备104确定需要固件升级之后，嵌入式设备104可以获取加密的固件升级和/或加密的固件密钥(308)。嵌入式设备104可以基于传递模式来获取加密的固件升级和/或加密的固件密钥。如果嵌入式设备104设置为直接模式，则嵌入式设备104直接从服务器102获取加密的固件升级和/或加密的固件密钥。如果嵌入式设备104设置为间接离线或间接在线模式，则嵌入式设备104从控制器106获取加密的固件升级和/或加密的固件密钥。
在一些实施方式中，嵌入式设备104还可以接收服务器公钥和/或公钥证书。在一些实施方式中，服务器公钥和/或公钥证书被预存储或已经存储在嵌入式设备104内。例如，服务器公钥和/或公钥证书可以在嵌入式设备104的制造、供应和/或分发过程中被预安装在嵌入式设备104内。
嵌入式设备104可以验证服务器102已经用来对加密的固件升级和/或加密的固件密钥进行数字签名的数字签名(310)。嵌入式设备104可以使用服务器公钥来验证数字签名。通过验证数字签名，嵌入式设备104验证没有对固件升级和/或固件密钥进行修改。此外，嵌入式设备104验证固件升级和/或固件密钥从服务器102到达。也就是说，数字签名认证固件升级和/或固件密钥的来源和完整性。
嵌入式设备104可以验证一个或更多个不可变标识符(312)。一个或更多个不可变标识符可以被包括在与数字签名相关联的公钥证书内。例如，嵌入式设备104可以验证与嵌入式设备104相关联的唯一标识符，例如国际移动设备身份码(IMEI)号码、电话号码、蓝牙低功耗(BLE)媒体访问控制(MAC)地址、TrustZone标识符(ID)或嵌入式设备104的另一标识符。例如，嵌入式设备104可以将一个或更多个不可变标识符发送到服务器102，以与信息数据库进行比较。
嵌入式设备104基于传递模式，使用第四密钥加密密钥或第五密钥加密密钥对加密的固件密钥进行解密(314)。如果嵌入式设备104处于间接离线模式或间接在线模式，则嵌入式设备104可以使用诸如控制器到嵌入式设备会话密钥之类的第五密钥加密密钥来解密加密的固件密钥。如果嵌入式设备104处于直接模式，则嵌入式设备104可以使用诸如云到嵌入式设备会话密钥之类的第四密钥加密密钥来解密加密的固件密钥。
当嵌入式设备104处于间接在线模式或间接离线模式时，嵌入式设备104可以进一步解密固件密钥，因为固件密钥可能已经使用第一密钥加密密钥(例如云到嵌入式设备会话密钥)或第二密钥加密密钥(例如在固件中混淆的通用嵌入式设备密钥)预加密。当嵌入式设备处于间接在线模式或间接离线模式时，嵌入式设备104还分别使用第一或第二密钥加密密钥来解密固件密钥。
一旦解密了固件密钥，则嵌入式设备104使用固件密钥对加密的固件升级进行解密(316)。在一些实施方式中，如果加密的固件升级进一步用第五或第四密钥加密密钥加密，则嵌入式设备104可以在使用固件密钥解密固件升级之前，进一步用第五密钥加密密钥或第四密钥加密密钥来解密加密的固件升级。嵌入式设备104用固件升级来更新固件的当前版本(318)。例如，嵌入式设备104可以用固件升级覆盖当前固件。
图4是在控制器106上实施以安全地获取和解密固件升级的过程400的流程图。一个或更多个计算机或数据处理装置(例如被适当编程的图1的OTA升级系统100的控制器106的处理器124)可以获取并解密固件升级。
控制器106获取加密的固件升级和加密的固件密钥(402)。当嵌入式设备104被设置为间接在线模式或间接离线模式时，控制器106接收加密的固件升级和加密的固件密钥。控制器106可能已经使用云到控制器设备会话密钥通过所建立的连接接收到加密的固件升级。
控制器106可以从服务器102获取固件版本号的列表和相关联的失效期(403)。控制器106可以存储固件版本号的列表和相关联的失效期以随后提供给嵌入式设备104。在一些实施方式中，固件版本号的列表和相关联的失效期可以已经由服务器102签名，和/或控制器106可以对固件版本号的列表和相关的失效期进行数字签名。
控制器106可能已经存储和/或已经获取服务器公钥，并且使用服务器公钥来验证数字签名(404)。例如，一个或更多个密钥可能已经被存储在安全元件132中。随后，如果嵌入式设备104被设置为间接离线模式或间接在线模式，则控制器106使用第三密钥加密密钥(例如，云到控制器设备会话密钥)来对加密的固件密钥进行解密(406)。如果固件升级是用第三密钥加密密钥加密的，则控制器106还可以使用第三密钥加密密钥来解密固件升级。
由于固件密钥仍被预加密，因此控制器106无法访问固件密钥，并且在没有固件密钥的情况下，控制器106无法访问固件升级。
一旦使用第三密钥加密密钥解密了固件密钥，控制器106就可以将加密的固件升级和预加密的固件密钥存储在存储器126和/或安全元件132内(408)。因此，例如当嵌入式设备104处于间接离线模式时，控制器106不需要同时连接到嵌入式设备104以将加密的固件升级和/或预加密的固件密钥传输到嵌入式设备104。
当控制器106准备好向嵌入式设备104传输或提供固件升级和/或固件密钥时，控制器106使用诸如控制器到嵌入式设备密钥的第五密钥加密密钥对预加密的固件密钥进行重新加密(410)。控制器可以使用第五密钥加密密钥另外对加密的固件升级进行加密，以提供附加的安全性，但这通常不是必需的。
控制器106使用控制器到嵌入式设备会话密钥来建立连接(412)。控制器106可以使用控制器到嵌入式设备会话来建立连接。一旦预加密的固件密钥被重新加密，控制器106就向嵌入式设备104发送、传输或以其他方式提供加密的固件升级和加密的固件密钥(414)。当嵌入式设备104在网络138上可用时，控制器106可以发送固件升级和固件密钥。在建立连接的同时，控制器106可以向嵌入式设备104提供或传递固件版本号的列表和相关联的失效期。
图5A-图5B示出了当图1的OTA系统处于不同模式时，加密的固件升级和/或加密的固件密钥。图5A示出了当OTA系统100处于直接模式时使用固件密钥504加密的固件升级502。此外，在直接模式下，使用密钥加密密钥(例如云到嵌入式设备会话密钥)对固件密钥504进行加密。
另一方面，图5B示出了预加密的固件密钥504和使用固件密钥504加密的固件升级502。当OTA系统100处于间接离线模式或间接在线模式时，可以分别使用通用嵌入式设备密钥或云到嵌入式设备密钥对固件密钥504进行预加密。然后，使用另一个密钥加密密钥(例如，云到控制器设备会话密钥或控制器到嵌入式设备会话密钥)进一步对固件密钥504进行加密。
在整个说明书和权利要求书中使用的“A或B中的至少一个”可以仅包括“A”、仅包括“B”或包括“A和B”。已经以说明性方式公开了方法/系统的示例性实施例。因此，应以非限制性方式阅读全文中所使用的术语。尽管本领域的技术人员将对本文的教导进行较小的修改，但应理解，旨在在此批准的专利范围内限制的是所有此类实施例，所有此类实施例合理地落入本领域技术进步范围内并据此做出了贡献，并且除非根据所附权利要求及其等同物，该范围不应受到限制。

Claims (20)

1.一种用于固件升级的安全空中传递的系统，包括：
嵌入式设备，所述嵌入式设备被配置为接收所述固件升级；以及
服务器，所述服务器具有存储器和处理器；所述存储器被配置为存储第一密钥加密密钥、固件升级以及固件密钥；所述处理器耦接至所述存储器，所述处理器被配置为：
获取所述固件升级、所述固件密钥以及所述第一密钥加密密钥，
使用所述固件密钥对所述固件升级进行加密，
使用所述第一密钥加密密钥对所述固件密钥进行加密，以及
将加密的固件升级和加密的固件密钥传输到所述嵌入式设备。
2.根据权利要求1所述的系统，其中，所述存储器还被配置为存储服务器私钥，其中，所述处理器还被配置为：
在将所述加密的固件升级和所述加密的固件密钥传输到所述嵌入式设备之前，对所述加密的固件升级和所述加密的固件密钥进行数字签名。
3.根据权利要求2所述的系统，还包括：
控制器设备，所述控制器设备具有存储器和处理器；所述存储器被配置为存储服务器公共证书或一个或更多个密钥加密密钥；所述处理器被配置为：
使用所述一个或更多个密钥加密密钥与所述服务器建立连接；
获取所述加密的固件升级和所述加密的固件密钥；
使用所述服务器公共证书对所述数字签名进行验证；
使用所述一个或更多个密钥加密密钥与所述嵌入式设备建立连接；以及
向所述嵌入式设备提供所述加密的固件升级和所述加密的固件密钥。
4.根据权利要求1所述的系统，其中，所述处理器被配置为：
接收包括所述固件升级的多个传递模式中的一个模式的固件传递请求，其中，多个模式包括在所述服务器和所述嵌入式设备之间建立直接信道的第一模式、经由离线控制器在所述服务器和所述嵌入式设备之间建立间接信道的第二模式、以及经由在线控制器在所述服务器和所述嵌入式设备之间建立间接信道的第三模式。
5.根据权利要求4所述的系统，其中，所述第一密钥加密密钥是会话密钥。
6.根据权利要求5所述的系统，其中，当处于所述第三模式时，使用所述会话密钥对所述固件密钥进行预加密；或者，当处于所述第二模式时，使用在先前固件版本中混淆的通用嵌入式设备密钥对所述固件密钥进行预加密。
7.根据权利要求1所述的系统，其中，所述嵌入式设备具有存储器和处理器；所述存储器被配置为存储固件和所述第一密钥加密密钥；所述处理器耦接至所述存储器，所述处理器被配置为：
获取所述加密的固件升级和所述加密的固件密钥；
使用所述第一密钥加密密钥对所述加密的固件密钥进行解密；
使用所述固件密钥对所述加密的固件升级进行解密；以及
使用所述固件升级来更新所述固件。
8.一种用于安全传递固件升级的系统，包括：
嵌入式设备，所述嵌入式设备被配置为接收所述固件升级；以及
服务器，所述服务器具有存储器和处理器；所述存储器被配置为存储会话密钥、固件升级以及固件密钥；所述处理器耦接至所述存储器，所述处理器被配置为：
使用所述固件密钥对所述固件升级进行加密，
使用所述会话密钥对所述固件密钥进行加密，以及
通过安全信道将加密的固件升级和加密的固件密钥发送到所述嵌入式设备。
9.根据权利要求8所述的系统，其中，所述存储器还被配置为存储服务器私钥，其中，所述处理器还被配置为：
在将所述加密的固件升级和所述加密的固件密钥传输到所述嵌入式设备之前，对所述加密的固件升级和所述加密的固件密钥进行数字签名。
10.根据权利要求9所述的系统，其中，所述嵌入式设备具有存储器和处理器；所述存储器被配置为存储固件和所述会话密钥；所述处理器耦接至所述存储器，所述处理器被配置为：
对所述加密的固件升级和所述加密的固件密钥上的所述数字签名进行验证；
对所述加密的固件密钥进行解密；
使用所述固件密钥对所述加密的固件升级进行解密；以及
使用所述固件升级来更新所述固件。
11.根据权利要求10所述的系统，其中，所述处理器被配置为：
接收包括所述固件升级的多个传递模式中的一个模式的固件传递请求，其中，多个模式包括在所述服务器和所述嵌入式设备之间建立直接信道的第一模式、经由离线控制器在所述服务器和所述嵌入式设备之间建立间接信道的第二模式、以及经由在线控制器在所述服务器和所述嵌入式设备之间建立间接信道的第三模式。
12.根据权利要求11所述的系统，其中，当处于所述第二模式时，使用在先前固件版本中混淆的通用嵌入式设备密钥对所述固件密钥进行预加密。
13.根据权利要求11所述的系统，还包括：
控制器设备，所述控制器设备具有存储器和处理器；所述存储器被配置为存储服务器公共证书或包括所述会话密钥的一个或更多个密钥加密密钥；所述处理器被配置为：
使用所述一个或更多个密钥加密密钥与所述服务器建立连接；
获取所述加密的固件升级和所述加密的固件密钥；
使用所述服务器公共证书对所述签名进行验证；
使用所述一个或更多个密钥加密密钥与所述嵌入式设备建立连接；以及
向所述嵌入式设备提供所述加密的固件升级和所述加密的固件密钥。
14.根据权利要求8所述的系统，其中，所述处理器还被配置为在将所述固件升级传输到所述嵌入式设备之前，对一个或更多个不可变标识符进行验证。
15.一种用于安全传递固件的方法，包括：
服务器的处理器使用固件密钥对固件升级进行加密；
所述服务器的处理器使用会话密钥对所述固件密钥进行加密；
所述服务器的处理器确定嵌入式设备处于第一模式、第二模式还是第三模式；以及
当所述嵌入式设备处于所述第一模式时，所述服务器的处理器将加密的固件升级和加密的固件密钥传输到所述嵌入式设备；而当所述嵌入式设备处于所述第二模式或所述第三模式时，所述服务器的处理器将所述加密的固件升级和所述加密的固件密钥传输到控制器设备。
16.根据权利要求15所述的方法，还包括：
当所述嵌入式设备处于所述第一模式时，所述嵌入式设备的处理器直接从所述服务器接收所述加密的固件升级和所述加密的固件密钥；而当所述嵌入式设备处于所述第二模式或所述第三模式时，所述嵌入式设备的处理器经由所述控制器设备接收所述加密的固件升级和所述加密的固件密钥；以及
所述嵌入式设备的处理器分别使用所述会话密钥和所述固件密钥对所述加密的固件密钥和所述加密的固件升级进行解密。
17.根据权利要求16所述的方法，还包括：
所述服务器的处理器使用服务器私钥对所述加密的固件升级和所述加密的固件密钥进行数字签名。
18.根据权利要求15所述的方法，还包括：
所述嵌入式设备的处理器获取固件版本号的列表和有效期；
所述嵌入式设备的处理器根据所述固件版本号的列表中的所述有效期来检查所述嵌入式设备的固件的有效期；以及
所述嵌入式设备的处理器确定所述嵌入式设备的固件尚未过期。
19.根据权利要求15所述的方法，其中，当处于所述第三模式时，使用所述会话密钥对所述固件密钥进行预加密；或者，当处于所述第二模式时，使用在先前固件版本中混淆的通用嵌入式设备密钥对所述固件密钥进行预加密。
20.根据权利要求15所述的方法，其中，当处于所述第二模式并且所述控制器设备接收到所述加密的固件密钥和所述加密的固件升级时，所述控制器设备未连接至所述嵌入式设备。
CN201980074153.1A 2018-11-12 2019-11-04 安全的空中固件升级 Active CN113168445B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/186,868 2018-11-12
US16/186,868 US11372977B2 (en) 2018-11-12 2018-11-12 Secure over-the-air firmware upgrade
PCT/US2019/059677 WO2020101936A1 (en) 2018-11-12 2019-11-04 Secure over-the-air firmware upgrade

Publications (2)

Publication Number Publication Date
CN113168445A true CN113168445A (zh) 2021-07-23
CN113168445B CN113168445B (zh) 2024-06-21

Family

ID=70549904

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201980074153.1A Active CN113168445B (zh) 2018-11-12 2019-11-04 安全的空中固件升级

Country Status (8)

Country Link
US (2) US11372977B2 (zh)
EP (1) EP3881210A4 (zh)
JP (1) JP7364674B2 (zh)
CN (1) CN113168445B (zh)
AU (1) AU2019379092B2 (zh)
CA (1) CA3117851A1 (zh)
IL (1) IL282716B2 (zh)
WO (1) WO2020101936A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114637987A (zh) * 2022-05-18 2022-06-17 广州万协通信息技术有限公司 基于平台验证的安全芯片固件下载方法及系统

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220085982A1 (en) * 2019-01-28 2022-03-17 Omron Corporation Safety system and maintenance method
US11627049B2 (en) * 2019-01-31 2023-04-11 Hewlett Packard Enterprise Development Lp Failsafe firmware upgrade for cloud-managed devices
US11671428B2 (en) * 2020-06-19 2023-06-06 EMC IP Holding Company LLC Granting access to upgrade resource with existing authorization infrastructure
US11831406B2 (en) * 2020-08-21 2023-11-28 Arm Limited System, devices and/or processes for secure transfer of cryptographic control of computing platform
CN114362981A (zh) * 2020-09-30 2022-04-15 京东方科技集团股份有限公司 物联网终端设备的升级方法及相关设备
US11811743B2 (en) * 2020-10-26 2023-11-07 Micron Technology, Inc. Online service store for endpoints
CN112491557B (zh) * 2020-11-26 2022-07-08 北京智象信息技术有限公司 一种智能音箱操作系统ota包升级方法及系统
EP4258593A4 (en) * 2020-12-28 2024-03-20 Huawei Technologies Co., Ltd. OTA UPDATE METHOD AND APPARATUS
US20220303769A1 (en) * 2021-03-16 2022-09-22 Micron Technology, Inc. Enabling cellular network access via device identifier composition engine (dice)
CN115242413A (zh) * 2021-04-06 2022-10-25 中国移动通信有限公司研究院 物联网设备固件安全升级方法、装置、电子设备及介质
CN115514741A (zh) * 2021-06-23 2022-12-23 华为技术有限公司 一种ota升级方法、装置及计算机可读存储介质
US11809850B2 (en) * 2021-08-25 2023-11-07 Microsoft Technology Licensing, Llc Generating and distributing customized embedded operating systems
CA3231605A1 (en) * 2021-09-29 2023-04-06 Abbott Diabetes Care Inc. Mobile application updates for analyte data receiving devices
CN113849213B (zh) * 2021-10-15 2024-05-14 四川启睿克科技有限公司 一种边缘设备的ota升级系统及方法
CN114024732A (zh) * 2021-10-29 2022-02-08 百度在线网络技术（北京）有限公司 升级包下载方法、设备、存储介质及程序产品
CN114143198B (zh) * 2021-11-30 2023-06-13 四川启睿克科技有限公司 固件升级的方法
CN114172756A (zh) * 2021-12-06 2022-03-11 四川虹美智能科技有限公司 一种智能设备电控固件的版本升级方法和系统
EP4206906A1 (en) * 2021-12-28 2023-07-05 Ecolux Technology Co., Ltd. Processing system and method for updating firmware online
US12118091B2 (en) * 2022-02-11 2024-10-15 Quanta Computer Inc. Methods for securely updating software
US20220245252A1 (en) * 2022-02-22 2022-08-04 Intel Corporation Seamless firmware update mechanism
CN114915554B (zh) * 2022-04-08 2024-03-19 一汽解放汽车有限公司 远程升级方法、装置、计算机设备和存储介质
CN115277101B (zh) * 2022-06-30 2024-07-02 广州三晶电气股份有限公司 一种分布式物联网设备连接方法、装置及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103354496A (zh) * 2013-06-24 2013-10-16 华为技术有限公司 一种公钥密码的处理方法、装置及系统
US20170249135A1 (en) * 2016-02-26 2017-08-31 Ayla Networks, Inc. Local over the air update of an embedded system
WO2018062761A1 (ko) * 2016-09-27 2018-04-05 시큐리티플랫폼 주식회사 보안 기능이 강화된 디바이스의 초기화 방법 및 디바이스의 펌웨어 업데이트 방법
CN108566381A (zh) * 2018-03-19 2018-09-21 百度在线网络技术（北京）有限公司 一种安全升级方法、装置、服务器、设备和介质

Family Cites Families (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050021968A1 (en) * 2003-06-25 2005-01-27 Zimmer Vincent J. Method for performing a trusted firmware/bios update
US7716276B1 (en) * 2003-11-17 2010-05-11 Hewlett-Packard Development Company, L.P. Network that supports user-initiated device management
US20050223372A1 (en) * 2004-04-01 2005-10-06 Borchers Gregory E Methods and systems for firmware download configuration
US8402109B2 (en) * 2005-02-15 2013-03-19 Gytheion Networks Llc Wireless router remote firmware upgrade
ATE418836T1 (de) * 2005-03-21 2009-01-15 Hewlett Packard Development Co Mobiles klientgerät und system mit unterstützung von fernverwaltungsgeräten
DE102005030590B4 (de) * 2005-06-30 2011-03-24 Advanced Micro Devices, Inc., Sunnyvale Sicheres Patchsystem
JP4938409B2 (ja) * 2006-10-13 2012-05-23 Ｋｄｄｉ株式会社 デジタル放送用コンテンツ配信装置、デジタル放送用コンテンツ認証システム、デジタル放送用コンテンツ認証方法およびプログラム
CN101247416A (zh) * 2008-03-25 2008-08-20 中兴通讯股份有限公司 基于ota的固件下载方法、预处理方法、完整性验证方法
ATE540371T1 (de) * 2008-06-23 2012-01-15 St Ericsson Sa Elektronische vorrichtung und verfahren zur software- oder firmwareaktualisierung einer elektronischen vorrichtung
US20100008510A1 (en) * 2008-07-10 2010-01-14 Zayas Fernando A Method And System For Secure Download Of Firmware
US8707291B2 (en) * 2008-10-31 2014-04-22 Echostar Technologies L.L.C. Firmware recovery of wireless devices
US20110173457A1 (en) * 2009-08-14 2011-07-14 Jeffrey Reh Enhanced security for over the air (ota) firmware changes
US8332631B2 (en) 2010-11-22 2012-12-11 Intel Corporation Secure software licensing and provisioning using hardware based security engine
JP5699651B2 (ja) * 2011-02-07 2015-04-15 横河電機株式会社 情報処理装置
WO2012122994A1 (en) * 2011-03-11 2012-09-20 Kreft Heinz Off-line transfer of electronic tokens between peer-devices
CN103135991B (zh) * 2013-03-13 2015-12-09 烽火通信科技股份有限公司 嵌入式设备web界面的客制化实现方法
US9674251B2 (en) 2013-06-17 2017-06-06 Qualcomm Incorporated Mediating content delivery via one or more services
US9418229B2 (en) * 2013-10-28 2016-08-16 Disney Enterprises, Inc. Firmware security
US9548867B2 (en) * 2013-11-26 2017-01-17 Rockwell Automation Technologies, Inc. Method and apparatus for secure distribution of embedded firmware
ES2964006T3 (es) * 2015-05-12 2024-04-03 Otis Elevator Co Método para actualizar software relacionado con la seguridad
US10809999B2 (en) * 2015-07-30 2020-10-20 Apple Inc. Secure firmware upgrade for cellular IoT
US10108412B2 (en) * 2016-03-30 2018-10-23 Square, Inc. Blocking and non-blocking firmware update
US10097563B2 (en) * 2016-05-04 2018-10-09 Gbs Laboratories, Llc Reliable and secure firmware update with a dynamic validation for internet of things (IoT) devices
US9923755B2 (en) 2016-08-01 2018-03-20 Data I/O Corporation Device programming with system generation
US10628149B2 (en) * 2018-02-05 2020-04-21 Vmware, Inc. Enterprise firmware management
US10552136B2 (en) * 2018-06-29 2020-02-04 Alibaba Group Holding Limited One click application asset distribution
US10505736B1 (en) * 2018-07-26 2019-12-10 Meixler Technologies, Inc. Remote cyber security validation system
CN111832013A (zh) * 2018-08-27 2020-10-27 创新先进技术有限公司 固件升级方法及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103354496A (zh) * 2013-06-24 2013-10-16 华为技术有限公司 一种公钥密码的处理方法、装置及系统
US20170249135A1 (en) * 2016-02-26 2017-08-31 Ayla Networks, Inc. Local over the air update of an embedded system
WO2018062761A1 (ko) * 2016-09-27 2018-04-05 시큐리티플랫폼 주식회사 보안 기능이 강화된 디바이스의 초기화 방법 및 디바이스의 펌웨어 업데이트 방법
CN108566381A (zh) * 2018-03-19 2018-09-21 百度在线网络技术（北京）有限公司 一种安全升级方法、装置、服务器、设备和介质

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114637987A (zh) * 2022-05-18 2022-06-17 广州万协通信息技术有限公司 基于平台验证的安全芯片固件下载方法及系统
CN114637987B (zh) * 2022-05-18 2022-08-12 广州万协通信息技术有限公司 基于平台验证的安全芯片固件下载方法及系统

Also Published As

Publication number Publication date
CN113168445B (zh) 2024-06-21
EP3881210A1 (en) 2021-09-22
JP7364674B2 (ja) 2023-10-18
US20200151335A1 (en) 2020-05-14
IL282716A (en) 2021-06-30
IL282716B1 (en) 2024-05-01
WO2020101936A1 (en) 2020-05-22
EP3881210A4 (en) 2022-08-17
US11372977B2 (en) 2022-06-28
AU2019379092A1 (en) 2021-06-24
US12086259B2 (en) 2024-09-10
US20220318390A1 (en) 2022-10-06
AU2019379092B2 (en) 2023-01-19
CA3117851A1 (en) 2020-05-22
IL282716B2 (en) 2024-09-01
JP2022507151A (ja) 2022-01-18

Similar Documents

Publication Publication Date Title
CN113168445B (zh) 安全的空中固件升级
US11265319B2 (en) Method and system for associating a unique device identifier with a potential security threat
US20190036688A1 (en) Secure communication for medical devices
US11297050B2 (en) Secure communication for medical devices
US8924715B2 (en) Methods and apparatus for storage and execution of access control clients
US8607050B2 (en) Method and system for activation
US9060271B2 (en) Secure short message service (SMS) communications
US8724819B2 (en) Credential provisioning
KR101634828B1 (ko) 장치-스테이션 연결 프로토콜
US20140096213A1 (en) Method and system for distributed credential usage for android based and other restricted environment devices
CN110519753B (zh) 访问方法、装置、终端和可读存储介质
KR102028197B1 (ko) 하드웨어 보안 모듈, 상기 하드웨어 보안 모듈에 저장된 무결성 검증 값을 업데이트하는 방법, 상기 하드웨어 보안 모듈을 이용하여 단말에 저장된 프로그램을 업데이트하는 방법
CN110383755B (zh) 网络设备和可信第三方设备
WO2020036070A1 (ja) 端末登録システムおよび端末登録方法
JP2014006691A (ja) デバイス認証方法及びシステム
JP5620805B2 (ja) データベース暗号化装置、データベース暗号化システム、データベース暗号化方法及びプログラム
CN115348578B (zh) 一种接触者追踪方法及装置
JP2012138729A (ja) データ処理装置、プログラム、およびデータ処理システム
KR20100018898A (ko) 가상 사설망 서버와 송수신하는 데이터를 보안처리 하는방법 및 스마트 카드
KR20070049512A (ko) 이동통신 메시지 암호화를 통한 보안 기능 제공 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant