CN113364824A - 一种获取制造商使用说明mud文件的方法和设备 - Google Patents

一种获取制造商使用说明mud文件的方法和设备 Download PDF

Info

Publication number
CN113364824A
CN113364824A CN202010151568.9A CN202010151568A CN113364824A CN 113364824 A CN113364824 A CN 113364824A CN 202010151568 A CN202010151568 A CN 202010151568A CN 113364824 A CN113364824 A CN 113364824A
Authority
CN
China
Prior art keywords
mud
url
certificate
information
terminal device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010151568.9A
Other languages
English (en)
Inventor
潘伟
夏靓
迈克尔·查尔斯·理查森
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN202010151568.9A priority Critical patent/CN113364824A/zh
Priority to PCT/CN2021/078976 priority patent/WO2021175273A1/zh
Priority to EP21765524.0A priority patent/EP4106292A4/en
Priority to JP2022553167A priority patent/JP2023516204A/ja
Priority to CA3170282A priority patent/CA3170282A1/en
Publication of CN113364824A publication Critical patent/CN113364824A/zh
Priority to US17/903,957 priority patent/US20220417039A1/en
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/303—Terminal profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G06F16/9558—Details of hyperlinks; Management of linked annotations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G06F16/9566—URL specific, e.g. using aliases, detecting broken or misspelled links
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H04L41/082—Configuration setting characterised by the conditions triggering a change of settings the condition being updates or upgrades of network functionality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H04L41/0869—Validating the configuration within one network element
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请实施例公开了一种获取制造商使用说明MUD文件的方法和设备，MUD控制管理设备将验证合法的MUD URL作为可信的基础，当终端设备发生当前更新时，MUD控制管理设备基于和可信的MUD URL满足匹配条件的新MUD URL，获取新的MUD文件；或者，MUD控制管理设备将合法的MUD URL的固定属性信息作为可信的基础，当终端设备发生当前更新时，MUD控制管理设备基于可信的固定属性信息和新接收的可变属性信息获得更新后的MUD URL，获取新的MUD文件，能够适用终端设备更新的场景，使得MUD控制管理设备灵活、安全和有效的获取终端设备更新后对应的MUD文件成为可能。

Description

一种获取制造商使用说明MUD文件的方法和设备
技术领域
本申请涉及通信技术领域，特别是涉及一种获取制造商使用说明(英文：Manufacturer Usage Description，简称：MUD)文件的方法和设备。
背景技术
随着数字化、智能化的不断提高，在网络场景中，出现了越来越多的终端设备，例如在物联网(英文：Internet of Things，简称：IoT)场景中越来越多的终端设备(如：打印机、摄像头、智能LED灯、会议室投屏设备等)。为了对各种终端设备进行约束，终端设备的制造商会生成包括描述该终端设备的设备类型、网络访问权限等信息的MUD文件，而终端设备接入网络时所连接的网络设备能够应用该MUD文件对终端设备进行相应的约束。
目前，该终端设备的制造商通常将MUD文件存储在MUD文件服务器上，在终端设备出厂之前，制造商将该MUD文件在MUD文件服务器上对应的MUD统一资源定位符(英文：Uniform Resource Locator，简称：URL)写入该终端设备的证书中，这样，该终端设备接入网络时，该终端设备所连接的网络设备通过该证书中携带的MUD URL可以安全的获取对应的MUD文件，从而实现对该终端设备的有效约束。
对于终端设备更新等场景，其MUD文件以及对应的MUD URL均发生变化，这就需要终端设备内的MUD URL也随之更新为变化后的MUD URL，但是，终端设备内，证书中的内容无法进行更改，即，携带在该证书中的MUD URL也无法灵活的更新，导致网络设备无法准确的获取到更新后的MUD文件，从而无法对当前的终端设备进行有效的约束。
发明内容
基于此，本申请实施例提供了一种获取制造商使用说明MUD文件的方法和设备，即使在终端设备更新等场景中，终端设备对应的MUD控制管理设备也能够安全、有效的获得变化后的MUD URL，从而获得更新后的MUD文件，从而实现依据更新的终端设备对应的新MUD文件对该终端设备进行有效的约束。
第一方面，本申请实施例提供了一种获取MUD文件的方法，该方法由MUD控制管理设备实施，该方法例如可以包括：根据终端设备发送的证书，对第一MUD URL进行合法性验证；对该第一MUD URL的验证通过后，根据该第一MUD URL，获得第一MUD文件；当终端设备发生更新时，接收终端设备发送的第一消息，所述第一消息中携带第二MUD URL，该第二MUDURL用于在所述终端设备发生该次更新时获取更新的第二MUD文件，其中，该第一MUD URL和第二MUD URL满足匹配规则；那么，MUD控制管理设备即可根据所述第二MUD URL，获得第二MUD文件。
这样，通过将已经验证合法的第一MUD URL作为可信的基础，MUD控制管理设备利用同一终端设备的MUD URL满足一定的匹配规则的特点，能够基于可信的第一MUD URL对新接收的第二MUD URL进行验证，确定所接收的第二MUD URL合法时，才基于该合法的第二MUDURL获取对应的第二MUD文件，能够适用终端设备更新的场景，使得灵活、安全和有效的获取MUD文件成为可能。
作为一个示例，该第一消息中还可以携带第二MUD URL的数字签名，那么，该方法还可以包括：MUD控制管理设备根据该数字签名对第二MUD URL进行验证。例如：MUD控制管理设备根据数字签名对第二MUD URL进行验证，具体为基于制造商证书中携带的公钥对数字签名进行验证。其中，证书中携带的公钥和终端设备的私钥是配对的，用于确定该证书和终端设备之间的对应关系。对该第二MUD URL进行数字签名的可以是制造商的私钥，与制造商的公钥是匹配的，其中，制造商的公钥携带在制造商证书中，该制造商证书可以通过终端设备的证书中携带的颁发者信息查找到，即，MUD控制管理设备可以从终端设备的证书中，查看其携带的颁发者信息，基于颁发者信息查找对应的制造商证书，从制造商证书中读取制造商的公钥，利用该制造商的公钥对该数字签名进行验证。这样，通过对第二MUD URL进行数字签名和验证，能够确保用于获取第二MUD文件的第二MUD URL来源合法且未被篡改的可信MUD URL。
在一个可能的实施方式中，所述终端设备对所述第一MUD URL和第二MUD URL进行匹配验证，并将验证通过的所述第二MUD URL发送给所述MUD控制管理设备。
在一个可能的实施方式中，所述方法还包括：所述MUD控制管理设备对所述第一MUD URL和第二MUD URL进行匹配验证，根据验证通过的所述第二MUD URL，获取所述第二MUD文件。
在一些可能的实现方式中，第一消息中还可以携带第一MUD URL，从而使得MUD控制管理设备基于该第一消息进行更多的验证，以保证更加安全的获取MUD文件。作为一个示例，第一消息中可以直接携带第一MUD URL，那么，该方法还可以包括：MUD控制管理设备从第一消息中获取第一MUD URL，验证第二MUD URL和第一MUD URL是否满足匹配规则，若满足，则执行上述“根据所述第二MUD URL，获得第二MUD文件”。作为另一个示例，第一消息中还可以携带终端设备的证书，证书中携带第一MUD URL，那么，该方法还可以包括：MUD控制管理设备从第一消息中获取证书，并从该证书中获取第一MUD URL，验证第二MUD URL和证书中携带的第一MUD URL是否满足匹配规则，若满足，则执行上述“根据所述第二MUD URL，获得第二MUD文件”。作为又一个示例，为了减少证书传递占用第一消息的空间，制造商在签发该证书时，也将该证书保存在网络中，这样，该第一消息中还可以携带证书的URL，该证书的URL用于指示证书在网络中的位置，那么，该方法还可以包括：MUD控制管理设备从第一消息中获取该证书的URL，基于该证书的URL获取证书，并从证书中获取第一MUD URL，验证第二MUD URL和证书中携带的第一MUD URL是否满足匹配规则，若满足，则执行上述“根据所述第二MUD URL，获得第二MUD文件”。作为再一个示例，该第一消息中还可以同时携带证书和第一MUD URL，那么，该方法还可以包括：MUD控制管理设备验证该第一消息中携带的第一MUD URL和证书中携带的第一MUD URL是否相同若满足，则执行上述“根据所述第二MUDURL，获得第二MUD文件”。可见，通过在第一消息中携带之前验证通过的第一MUD URL，能够确保用于获取第二MUD文件的第二MUD URL和第一MUD URL是匹配的，即，该第二MUD URL是终端设备的制造商发布的合法的MUD URL。
在另一些可能的实现方式中，该匹配规则可以保存在终端设备本地，那么，终端设备可以将该匹配规则直接发送给MUD控制管理设备；或者，为了更加安全，该匹配规则也可以保存在证书或者第一MUD文件中，那么，MUD控制管理设备能够从证书中获取匹配规则，或者，从第一MUD文件中获取匹配规则；又或者，该匹配规则也可以是制造商或第三方可信平台直接配置到MUD控制管理设备的，那么，该MUD控制管理设备可以直接在本地保存该匹配规则。其中，该匹配规则包括下述任意一种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。其中，URL前缀匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同的前缀；URL后缀匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同的后缀；URL关键信息匹配规则，是指待验证MUD URL和可信的MUD URL具有相同的特定关键信息，例如：域名；URL模式匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同或相似的内容。需要说明的是，匹配规则中与待验证MUD URL进行匹配的可信的MUD URL，具体可以是之前进行合法性验证且验证通过的任意MUD URL，例如：终端设备出厂时生成的MUD URL。如此，MUD控制管理设备或终端设备利用同一终端设备的MUD URL满足一定的匹配规则的特点，能够基于可信的第一MUD URL对新接收的第二MUD URL进行验证，确定所接收的第二MUD URL和可信的第一MUD URL满足匹配规则时，才基于该合法的第二MUDURL获取对应的第二MUD文件，使得灵活、安全和有效的获取MUD文件成为可能。
第二方面，本申请实施例还提供了另一种获取制造商使用说明MUD的方法，由终端设备实施，该方法例如可以包括：向MUD控制管理设备发送证书，证书被MUD控制管理设备用于对第一MUD统一资源定位符URL进行合法性验证，并根据验证通过的第一MUD URL，获得第一MUD文件；终端设备更新时，获取第二MUD URL，第二MUD URL被MUD控制管理设备用于获取更新的第二MUD文件，第一MUD URL和第二MUD URL满足匹配规则；向MUD控制管理设备发送第一消息，第一消息中携带第二MUD URL。
作为一个示例，为了更加安全，该第一消息中还携带第二MUD URL的数字签名。其中，该数字签名为终端设备对应的制造商采用所述制造商的私钥对第二MUD URL进行数字签名获得的；其中，所述制造商的制造商证书中携带的公钥和所述制造商的私钥是配对的，制造商证书中携带的所述公钥用于对所述数字签名进行验证。
在一些可能的实现方式中，该方法还可以包括：终端设备验证第二MUD URL和第一MUD URL满足匹配规则。
在另一些可能的实现方式中，验证第二MUD URL和第一MUD URL是否满足匹配规则也可以是MUD控制管理设备执行的。作为一个示例，第一消息中还可以携带第一MUD URL，该第一MUD URL被MUD控制管理设备用于验证该第一MUD URL和第二MUD URL满足匹配规则。作为另一个示例，该第一消息中还可以携带证书，该证书中携带第一MUD URL，证书中的第一MUD URL被MUD控制管理设备用于验证该第一MUD URL和第二MUD URL满足匹配规则。作为又一个示例，该第一消息中还携带证书的URL，该证书的URL被MUD控制管理设备用于获取证书，证书中携带第一MUD URL，证书中的第一MUD URL被MUD控制管理设备用于验证该第一MUD URL和第二MUD URL满足匹配规则。作为又一个示例，该第一消息中还可以同时携带证书(或证书的URL)和第一MUD URL，那么，第一MUD URL被MUD控制管理设备用于验证该第一消息中的第一MUD URL和证书中携带的第一MUD URL相同。可见，通过在第一消息中携带之前验证通过的第一MUD URL，能够确保用于获取第二MUD文件的第二MUD URL和第一MUD URL是匹配的，即，该第二MUD URL是终端设备的制造商发布的合法的MUD URL。
在另一些可能的实现方式中，该匹配规则可以保存在终端设备本地，那么，终端设备可以将该匹配规则直接发送给MUD控制管理设备。或者，为了更加安全，该匹配规则也可以保存在证书或者第一MUD文件中，那么，MUD控制管理设备能够从证书中获取匹配规则，或者，从第一MUD文件中获取匹配规则。又或者，该匹配规则也可以是制造商或第三方可信平台直接配置到MUD控制管理设备的，那么，该MUD控制管理设备可以直接在本地保存该匹配规则。
其中，该匹配规则包括下述任意一种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。
需要说明的是，该第二方面提供的方法与第一方面提供的方法相对应，具体实现方式以及达到的效果可以参见上述第一方面提供的方法中的相关说明。
第三方面，本申请实施例还提供了另一种获取制造商使用说明MUD的方法，由MUD控制管理设备实施，该方法例如可以包括：接收终端设备发送的第一消息，第一消息中携带第一MUD URL信息，第一MUD URL信息用于指示第一MUD URL的可变属性信息，第一MUD URL用于在终端设备发生更新时获取更新的第一MUD文件；获取终端设备的第二MUD URL信息，第二MUD URL信息用于指示第一MUD URL的固定属性信息；那么，该MUD控制管理设备即可根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL，并根据第一MUD RUL，获得第一MUD文件。
这样，通过将已经验证合法的MUD URL中的固定属性信息作为可信的基础，MUD控制管理设备利用同一终端设备的MUD URL的固定属性信息不变这一特点，基于可信的固定属性信息和新接收的可变属性信息获得终端设备更新后的MUD URL，确定所获得该MUD URL合法，基于该合法的MUD URL获取对应的MUD文件，能够适用终端设备更新的场景，使得灵活、安全和有效的获取MUD文件成为可能。
本申请实施例中，固定属性信息用于指示第一MUD URL和第二MUD URL中相同的部分。例如，固定属性信息可以包括终端设备的第一固有信息，固定属性信息还可以包括MUDURL中第一固有信息的组成规则。作为一个示例，该固定属性信息可以是MUD URL的一部分，例如：MUD URL中一个固定的URL前缀，如“https://www.huawei.com/mud/router/”。作为另一个示例，该固定属性信息可以包括该终端设备的固有信息和MUD URL中固有信息的组成规则，例如：固有信息1(如：终端设备的厂家VENDOR字段的值huawei、设备类型DEVICETYPE字段的值router)和MUD URL中固有信息1的组成规则(如：https://www.VENDOR.com/mud/DEVICETYPE/)，那么，基于所述固有信息1和MUD URL中固有信息1的组成规则，可以确定出MUD URL对应的固定属性信息为“https://www.huawei.com/mud/router/”。
可变属性信息用于指示第一MUD URL中与第二MUD URL存在差异的部分。可变属性信息可以包括终端设备的第二可变信息，可变属性信息还可以包括MUD URL中第二可变信息的组成规则。作为一个示例，该可变属性信息可以是MUD URL的一部分，例如：MUD URL中一个可变的URL后缀，如“firmware_version_1234/os_version_4321.json”。作为另一个示例，该可变属性信息可以包括该终端设备的可变信息2和MUD URL中可变信息2的组成规则，例如：可变信息2(如：终端设备的固件版本号FIRMWARE字段的值1234和系统版本号OS字段的值4321)和可变信息2的组成规则(如：FIRMWARE/OS.json)，那么，基于所述可变信息2和MUD URL中可变信息2的组成规则，可以确定出可变属性信息为“firmware_version_1234/os_version_4321.json”。
作为一个示例，该第一消息中还可以携带第一MUD URL信息的数字签名，该方法还可以包括：MUD控制管理设备根据数字签名对第一MUD URL信息进行验证。其中，该数字签名为采用终端设备的制造商的私钥对第一MUD URL信息进行签名获得的；那么，MUD控制管理设备根据数字签名对第一MUD URL信息进行验证，具体为：基于终端设备对应的制造商证书中携带的公钥对数字签名进行验证。这样，通过对第一MUD URL信息进行数字签名和验证，能够确保用于获取第一MUD文件的可变属性信息来源合法且未被篡改，从而保证基于该第一MUD URL信息获得的第一MUD URL是合法的，为安全的获取第一MUD文件提供了数据基础。
在一些可能的实现方式中，获取终端设备的第二MUD URL信息具体可以具有多种实现方式，例如：当第一消息中包括第二MUD URL信息，那么，“获取终端设备的第二MUD URL信息”具体可以是：从第一消息中获取第二MUD URL信息；又例如：当第一消息中包括终端设备的证书，那么，“获取终端设备的第二MUD URL信息”具体可以是：从第一消息中获取证书，并从证书中获取第二MUD URL信息；再例如：当第一消息中包括终端设备的证书的URL，该证书的URL用于指示证书在网络中的位置，那么，该方法还可以包括：从第一消息中获取证书的URL，并基于该证书的URL获取证书，则，“获取终端设备的第二MUD URL信息”具体可以是：从证书中获取第二MUD URL信息；又例如：当第一消息中还包括证书(或证书的URL)和第二MUD URL信息，该方法还可以包括：验证第一消息中携带的第二MUD URL信息和证书中携带的第二MUD URL信息相同。可见，通过在第一消息中携带第二MUD URL信息，并进行验证，能够确保用于获得第一MUD URL的第二MUD URL信息是验证通过的，保证获得的第一MUD URL是合法的，为安全的获取第一MUD文件提供了数据基础。
在另一些可能的实现方式中，在执行“接收终端设备发送的第一消息”之前，该方法还可以包括：接收终端设备发送的证书；根据证书，获取第二MUD URL，第二MUD URL为终端设备出厂时配置的MUD URL；根据第二MUD URL，获取第二MUD文件。
作为一个示例，该证书包括第二MUD URL信息，第二MUD URL信息用于指示第二MUDURL的固定属性信息；该方法还可以包括：接收终端设备发送的第三MUD URL信息，第三MUDURL信息用于指示第二MUD URL的可变属性信息；那么，上述“根据证书，获取第二MUD URL”具体可以为：根据第三MUD URL信息和证书携带的第二MUD URL信息，获得第二MUD URL。这样，在基于可信的固定属性信息和新接收的可变属性信息获得终端设备更新后的MUD URL之前，终端设备首次接入网络时或此次更新之前，也能够通过该终端设备当前的MUD URL可变属性信息以及该终端设备的MUD URL的固定属性信息，确定终端设备当前对应的MUDURL，从而基于当前对应的MUD URL灵活、安全和有效的获取MUD文件。
作为另一个示例，该证书携带完整的第二MUD URL，那么，“根据证书，获取第二MUDURL”，具体可以为：从证书中获取第二MUD URL。该示例下，该方法还可以包括：根据第二MUD文件，获得第二MUD URL信息。这样，在基于可信的固定属性信息和新接收的可变属性信息获得终端设备更新后的MUD URL之前，终端设备首次接入网络时，还能够从该终端设备的证书中获得可信的MUD URL，从而基于该可信的MUD URL灵活、安全和有效的获取MUD文件。
在有一些可能的实现方式中，上述“根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL”，具体可以包括：基于预定规则，根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL。其中，预定规则具体可以是指制造商根据需求和MUD URL的特点，自行定义的固定属性信息和可变属性信息之间的合成规则。该预定规则具体可以是文字描述的合成规则，也可以是通过正则表达式等公式描述的合成规则，只要能够描述清楚如何根据固定属性信息和可变属性信息生产对应的完整MUD URL的内容，均可以作为预定规则。
对于预定规则，一种情况下，为了提高获取MUD文件的安全性，该预定规则可以是制造商在终端设备出厂之前写入终端设备的证书的内容。那么，MUD控制管理设备可以从证书中获取该预定规则。另一种情况下，该预定规则也可以是制造商在终端设备出厂之前独立于证书而写入终端设备的，那么，MUD控制管理设备可以接收该终端设备发送的预定规则并保存，其中，为了安全，该预定规则也可以携带其对应的数字签名，如此，MUD控制管理设备可以利用数字签名对该预定规则验证通过后再保存。又一种情况下，该预定规则还可以是制造商或第三方可信平台将其直接配置在该可信的MUD控制管理设备上的。
第四方面，本申请实施例中一种获取制造商使用说明MUD的方法，由终端设备实施，该方法例如可以包括：获取第一MUD URL信息，第一MUD URL信息用于指示第一MUD URL的可变属性信息，第一MUD URL被MUD控制管理设备用于在终端设备发生更新时获取更新的第一MUD文件；向MUD控制管理设备发送第一消息，第一消息中携带第一MUD URL信息，以便MUD控制管理设备基于第一MUD URL信息和第二MUD URL信息确定第一MUD统一资源定位符URL，并利用第一MUD URL获取第一MUD文件，其中，第二MUD URL信息用于指示第一MUD URL的固定属性信息。
本申请实施例中，固定属性信息用于指示第一MUD URL和第二MUD URL中相同的部分。固定属性信息可以包括终端设备的第一固有信息，还可以包括MUD URL中第一固有信息的组成规则。可变属性信息用于指示第一MUD URL中与第二MUD URL存在差异的部分。可变属性信息可以包括终端设备的第二可变信息，还可以包括MUD URL中第二可变信息的组成规则。
作为一个示例，该第一消息中还可以携带第一MUD URL信息的数字签名。其中，该数字签名为终端设备对应的制造商采用所述制造商的私钥对第一MUD URL信息进行数字签名获得的；其中，所述制造商的制造商证书中携带的公钥和所述制造商的私钥是配对的，制造商证书中携带的所述公钥用于对所述数字签名进行验证。
在一些可能的实现方式中，第一消息还可以直接携带第二MUD URL信息。或者，该第一消息还可以携带终端设备的证书，该证书中携带第二MUD URL信息。又或者，该第一消息还可以携带终端设备的证书的URL，该证书的URL用于指示证书在网络中的位置，证书中携带第二MUD URL信息。再或者，该第一消息还携带证书(或证书的URL)和第二MUD URL信息，该第二MUD URL信息被MUD控制管理设备用于验证第一消息中的第二MUD URL信息和证书中携带的第二MUD URL信息相同。可见，通过在第一消息中携带第二MUD URL信息，并由MUD控制管理设备进行验证，能够确保用于获得第一MUD URL的第二MUD URL信息是验证通过的，保证获得的第一MUD URL是合法的，为安全的获取第一MUD文件提供了数据基础。
在另一些可能的实现方式中，在“向MUD控制管理设备发送第一消息”之前，该方法还可以包括：向MUD控制管理设备发送证书，以便MUD控制管理设备根据证书获得第二MUDURL，并基于第二MUD URL获取第二MUD文件，第二MUD URL为终端设备出厂时配置的MUDURL。
作为一个示例，该证书中包括第二MUD URL信息，第二MUD URL信息用于指示第二MUD URL的固定属性信息，该方法还可以包括：向MUD控制管理设备发送第三MUD URL信息，第三MUD URL信息和证书中携带的第二MUD URL信息被MUD控制管理设备用于获得第二MUDURL，第三MUD URL信息用于指示第二MUD URL的可变属性信息。
作为另一个示例，该证书中携带完整的第二MUD URL，证书被MUD控制管理设备用于获得该完整的第二MUD URL。其中，第二MUD文件中携带第二MUD URL信息。
在再一些可能的实现方式中，该第一消息还携带预定规则，预定规则被MUD控制管理设备用于确定第一MUD URL。其中，预定规则具体可以是指制造商根据需求和MUD URL的特点，自行定义的固定属性信息和可变属性信息之间的合成规则。该预定规则例如可以是文字描述的合成规则，也可以是通过正则表达式等公式描述的合成规则，只要能够描述清楚如何根据固定属性信息和可变属性信息生产对应的完整MUD URL的内容，均可以作为预定规则。
需要说明的是，该第四方面提供的方法与第三方面提供的方法相对应，具体实现方式以及达到的效果可以参见上述第三方面提供的方法中的相关说明。
第五方面，本申请还提供了制造商使用说明MUD控制管理设备，包括收发单元和处理单元。其中，收发单元用于执行上述第一方面或第三方面提供的方法中的收发操作；处理单元用于执行上述第一方面或第三方面中除了收发操作以外的其他操作。例如：当所述MUD控制管理设备执行所述第一方面所述的方法时，所述收发单元可以用于接收终端设备发送的第一消息，第一消息中携带第二MUD URL；所述处理单元可以用于根据终端设备发送的证书，对第一MUD URL进行合法性验证；所述处理单元还可以用于根据该验证通过的第一MUDURL，获得第一MUD文件；所述处理单元还可以用于根据所述第二MUD URL，获得第二MUD文件。又例如：当所述MUD控制管理设备执行所述第三方面所述的方法时，所述收发单元可以用于接收终端设备发送的第一消息，第一消息中携带第一MUD URL信息；所述处理单元可以用于获取终端设备的第二MUD URL信息；所述处理单元还可以用于根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL所述处理单元还可以用于根据第一MUD RUL，获得第一MUD文件。
第六方面，本申请实施例还提供了一种终端设备，包括收发单元和处理单元。其中，收发单元用于执行上述第二方面或第四方面提供的方法中的收发操作；处理单元用于执行上述第二方面或第四方面中除了收发操作以外的其他操作。例如：当所述终端设备执行所述第二方面所述的方法时，所述收发单元可以用于向MUD控制管理设备发送证书；所述处理单元用于获取第二MUD URL；所述收发单元还可以用于向MUD控制管理设备发送第一消息，第一消息中携带第二MUD URL。又例如：当所述终端设备执行所述第四方面所述的方法时，所述收发单元可以用于向MUD控制管理设备发送第一消息；所述处理单元用于获取第一MUD URL信息。
第七方面，本申请实施例还提供了一种制造商使用说明MUD控制管理设备，包括通信接口和处理器。其中，通信接口用于执行前述第一方面或第三方面提供的方法中的收发操作；处理器，用于执行前述第一方面，第一方面任意一种可能的实现方式，第三方面或第三方面任意一种可能的实现方式提供的方法中除所述收发操作以外的其他操作。
第八方面，本申请实施例还提供了一种终端设备，包括通信接口和处理器。其中，通信接口用于执行前述第二方面，第二方面任意一种可能的实现方式，第四方面或第四方面任意一种可能的实现方式中提供的方法中的收发操作；处理器，用于执行前述第二方面，第二方面任意一种可能的实现方式，第四方面或第四方面任意一种可能的实现方式中提供的方法中除所述收发操作以外的其他操作。
第九方面，本申请实施例还提供了一种制造商使用说明MUD控制管理设备，该MUD控制管理设备包括存储器和处理器。其中，该存储器包括计算机可读指令；与该存储器通信的处理器用于执行所述计算机可读指令，使得所述MUD控制管理设备用于执行以上第一方面，第一方面任意一种可能的实现方式，第三方面或第三方面任意一种可能的实现方式提供的方法。
第十方面，本申请实施例还提供了一种终端设备，该终端设备包括存储器和处理器。其中，该存储器包括计算机可读指令；与该存储器通信的处理器用于执行所述计算机可读指令，使得所述终端设备用于执行以上第二方面，第二方面任意一种可能的实现方式，第四方面或第四方面任意一种可能的实现方式中提供的方法。
第十一方面，本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得所述计算机执行以上第一方面、第二方面、第三方面、第四方面或者上述任一方面的任意一种可能的实现方式提供的所述方法。
第十二方面，本申请实施例还提供了计算机程序产品，包括计算机程序或计算机可读指令，当所述计算机程序或所述计算机可读指令在计算机上运行时，使得计算机执行前述第一方面、第二方面、第三方面、第四方面或者以上任一方面的任意一种可能的实现提供的所述方法。
第十三方面，本申请实施例还提供了一种通信系统，该通信系统包括第五方面、第七方面或第九方面提供的所述的MUD控制管理设备以及第六方面、第八方面或第十方面提供的终端设备。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。
图1为本申请实施例中一应用场景所涉及的网络100的框架示意图；
图2为本申请实施例中一种获取MUD文件的方法100的信令流程图；
图3为本申请实施例中一种获取MUD文件的方法200的信令流程图；
图4为本申请实施例中一种获取MUD文件的方法300的信令流程图；
图5为本申请实施例中一种获取MUD文件的方法400的流程示意图；
图6为本申请实施例中一种获取MUD文件的方法500的流程示意图；
图7为本申请实施例中一种获取MUD文件的方法600的流程示意图；
图8为本申请实施例中一种获取MUD文件的方法700的流程示意图；
图9为本申请实施例中一种MUD控制管理设备900的结构示意图；
图10为本申请实施例中一种终端设备1000的结构示意图；
图11为本申请实施例中另一种MUD控制管理设备1100的结构示意图；
图12为本申请实施例中另一种终端设备1200的结构示意图；
图13为本申请实施例中又一种MUD控制管理设备1300的结构示意图；
图14为本申请实施例中又一种终端设备1400的结构示意图；
图15为本申请实施例中一种通信系统1500的结构示意图。
具体实施方式
下面将结合附图，对本申请实施例中的技术方案进行描述。本申请实施例描述的网络架构以及业务场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。
本申请中的“1”、“2”、“3”、“第一”、“第二”以及“第三”等序数词用于对多个对象进行区分，不用于限定多个对象的顺序。
本申请中提及的“A和/或B”，应该理解为包括以下情形：仅包括A，仅包括B，或者同时包括A和B。
本申请所涉及的MUD文件的相关内容可以参见因特网工程任务组(英文：InternetEngineering Task Force，缩写：IETF)请求评议(英文：Request For Comments，简称：RFC)8520：“Manufacturer Usage Description Specification”的相关说明，上述标准以全文引用的方式并入本申请中。
需要说明的是，由于终端设备的类型以及数量的不断增多，网络中需要更加严格的对各种终端设备进行约束。所以，制造商在各终端设备出厂前，通常针对性的生成对应的MUD文件，该MUD文件的内容具体可以包括：该终端设备的设备类型、网络访问权限等，该MUD文件用于在终端设备接入网络时对该终端设备进行约束。
在本申请实施例中，终端设备可以是指任意需要通过网络设备接入网络的设备，例如：个人计算机、打印机、摄像头、智能LED灯、会议室投屏设备等。
RFC 8520为基于MUD文件为核心的一套协议框架，根据RFC 8520可知，为了节约终端设备上的存储空间，通常，终端设备的制造商将生成的MUD文件保存在MUD文件服务器上，而在该终端设备上，保存MUD文件对应的URL(下文中称为MUD URL)。当终端设备接入网络时，该终端设备可以将MUD URL发送给其连接的网络设备，该网络设备将该MUD URL发送给MUD控制管理设备，MUD控制管理设备基于该MUD URL从MUD文件服务器获取到对应的MUD文件，并将该MUD文件的内容映射为网络策略，用于对该终端设备的网络行为进行约束。
需要说明的是，本申请实施例中，默认MUD控制管理设备为绝对可信且安全的设备。按照RFC8520中的用法，MUD控制管理设备可以是MUD Manager(也可以称之为MUDController)。
下面以图1所示的场景为例，说明目前获取MUD文件的方式以及存在的问题。
图1为本申请实施例适用的一个可能的示例性场景的网络架构示意图。参见图1，该网络100中包括：终端设备11、终端设备12、…、终端设备1N(N为大于1的整数)、网络设备20、MUD控制管理设备30和MUD文件服务器40。其中，网络设备20可以是终端设备11、终端设备12、…、终端设备1N(N为大于1的整数)接入网络的接入设备，例如：交换机、路由器或防火墙。该MUD控制管理设备30可以是任意能够实现MUD Manager功能的物理设备，也可以是能够实现MUD Manager功能的功能模块。该MUD控制管理设备30作为功能模块，可以集成在任意的网络设备(如网络设备20)内。例如，当该MUD控制管理设备30作为功能模块集成在网络设备20内时，其能够和网络设备20进行数据交互，也能够通过网络设备20的通信接口与各终端设备进行交互，实现基于各MUD文件对相应的终端设备进行约束的功能。MUD控制管理设备30能够获得MUD文件，并根据MUD文件获取对应的网络策略，并将该网络策略配置到网络设备20上，以使得网络设备20基于该网络策略实现对相应终端设备的约束。
作为一个示例，制造商可以直接将MUD URL存储在各终端设备中，那么，以终端设备11为例，获取MUD文件的过程例如可以包括：S11，终端设备11在首次连接网络时，终端设备11向网络设备20发送消息，该消息例如可以是链路层发现协议(英文：Link LayerDiscovery Protocol，简称：LLDP)请求消息或动态主机配置协议(英文：Dynamic HostConfiguration Protocol，简称：DHCP)请求消息。终端设备11将MUD URL 1携带在消息中；S12，网络设备20获取MUD URL 1，并将其直接或间接的发送给MUD控制管理设备30；S13，MUD控制管理设备30基于该MUD URL 1访问MUD文件服务器40，并获得与MUD URL 1对应的MUD文件1；S14，MUD控制管理设备30根据MUD文件1，获取网络策略1，并将该网络策略1应用到网络设备20上；S15，应用了网络策略1的网络设备20对终端设备11的网络行为进行约束。其中，网络行为例如可以包括终端设备11的网络访问权限、定义带宽、网络优先级中的一个或多个。
该示例中，终端设备例如通过LLDP请求消息或DHCP请求消息携带MUD URL至网络设备，MUD URL容易被篡改和仿冒，而网络设备以及MUD控制管理设备无法识别出接收到的MUD URL是否合法，导致该获取MUD文件的方式不够安全。
作为另一个示例，为了克服通过上述方式获取MUD文件不够安全的问题，制造商可以将MUD URL携带在出厂时为各终端设备签发的证书中，随证书存储在各终端设备中。仍以终端设备11为例，获取MUD文件的过程例如可以包括：S21，终端设备11在首次连接网络时，终端设备11向网络设备20发送802.1X(即，基于客户端/服务器(英文：Client/Server)的访问控制和认证协议)请求消息，该请求消息中携带证书1，该证书1中携带MUD URL 1；S22，网络设备20获取该证书1，并将其直接或间接的发送给MUD控制管理设备30；S23，MUD控制管理设备30对该证书1进行验证，确定该证书1合法后，从该证书1中获取MUD URL 1，并基于该MUD URL 1访问制造商的MUD文件服务器40，获得与MUD URL 1对应的MUD文件1；S24，MUD控制管理设备30根据MUD文件1，获取相应的网络策略1，并将该网络策略1应用到网络设备20上；S25，应用了网络策略1的网络设备20对终端设备11的网络行为进行约束。
该示例中，由于终端设备的证书在出厂时会被制造商进行数字签名，所以，MUD控制管理设备可以通过对证书的验证，确定该证书为合法的且证书中的内容未被篡改过，如此，可以确保证书中携带的MUD URL为合法的，一定程度上确保该获取MUD文件的方式的安全性。对于未发生更新的终端设备，能够一直使用出厂时生成的MUD文件，但是，对于发生更新的终端设备，例如：固件版本或系统版本等发生更新的终端设备；又例如：由于网络的特定原因或者制造商的特定原因导致需要对MUD文件进行更新的终端设备，制造商需要对发生更新的终端设备的网络访问权限、定义带宽等进行更新，即，制造商对发生更新的终端设备的MDU文件进行更新。而将用于访问MUD文件的MUD URL携带在该终端设备出厂签发的证书中时，该证书的内容无法改变，即，终端设备内证书中的MUD URL也就无法进行更新；而且，由于各终端设备在制造的过程中自身具有唯一的私钥，当制造商验证终端设备上的私钥，当验证通过则确认该终端设备的身份是合法性，从而才为该终端设备签发证书，即，终端设备的证书中的公钥和私钥是配对的，因此，在终端设备出厂后，制造商很难再相信该终端设备上的私钥绝对安全，基本不能再安全地为终端设备重新签发新的证书，所以，该通过证书携带MUD URL从而获取MUD文件的方法不够灵活，在终端设备更新的场景下无法利用更新后的MUD URL准确的获取到更新后的MUD文件，无法适用于终端设备更新的场景。
基于此，在本申请实施例中，提供了一种获取制造商使用说明MUD文件的方法，不仅能够在终端设备初次接入网络时确保安全的获取MUD文件，而且在终端设备更新时也使得终端设备对应的MUD控制管理设备能够安全、有效的获得变化后的MUD URL，从而获得更新后的MUD文件。
在第一种可能的实现方式中，本申请实施例中，MUD控制管理设备将当前更新发生之前，某个验证合法的第一MUD URL作为可信的基础，当终端设备发生当前更新时，该终端设备将新的第二MUD URL发送给MUD控制管理设备，如果该第二MUD URL和可信的第一MUDURL满足匹配条件，则，表征该第二MUD URL合法，该MUD控制管理设备即可基于该第二MUDURL获取新的第二MUD文件，如此，实现了在终端设备更新场景下安全、有效的获取MUD文件的功能。
举例来说，仍然以图1所示的网络100为例，该实现方式的具体实现过程可以包括：S31，终端设备11在首次连接网络时，终端设备11向MUD控制管理设备30发送证书1，该证书1中携带MUD URL 1；S32，MUD控制管理设备30对该证书1进行验证，确定该证书1合法后，从该证书1中获取MUD URL 1，并基于该MUD URL 1访问制造商的MUD文件服务器40，获得与MUDURL 1对应的MUD文件1；S33，MUD控制管理设备30根据MUD文件1，获取相应的网络策略1，并将该网络策略1应用到网络设备20上，以便网络设备20对终端设备11的网络行为进行约束。终端设备11更新时，对应的MUD文件更新为MUD文件2，MUD文件2在MUD文件服务器40上对应MUD URL 2。此时，本申请实施例还包括：S34，终端设备11接收MUD URL 2，并向MUD控制管理设备30发送MUD URL 2；S35，MUD控制管理设备30基于MUD URL 1和MUD URL 2确定MUD URL2是否合法，例如：判断MUD URL 2和MUD URL 1是否满足匹配规则(如URL前缀匹配规则)，如果确定MUD URL 2合法，则，基于该MUD URL 2访问制造商的MUD文件服务器40，获得与MUDURL 2对应的MUD文件2；S36，MUD控制管理设备30根据MUD文件2，获取相应的网络策略2，并将该网络策略2应用到网络设备20上，以便网络设备20对终端设备11的网络行为进行约束。
这样，通过将已经验证合法的MUD URL作为可信的基础，MUD控制管理设备利用同一终端设备的MUD URL满足一定的匹配规则的特点，能够基于可信的MUD URL对新接收的MUD URL进行验证，确定所接收的MUD URL合法时，才基于该合法的MUD URL获取对应的MUD文件，能够适用终端设备更新的场景，使得灵活、安全和有效的获取MUD文件成为可能。
需要说明的是，具体实现细节以及效果可以参见下述图2所示的方法100中的相关描述，在此不再赘述。
在第二种可能的实现方式中，本申请实施例中，制造商可以将MUD URL按照其自身的特点，将MUD URL拆分为固定属性信息和可变属性信息，其中，固定属性信息是指MUD URL中无论该终端设备如何更新均其对应的MUD URL均不发生变化的内容，可变属性信息是指MUD URL中随着终端设备的更新可能发生变化的内容。终端设备在出厂时，终端设备可以将第三MUD URL信息(即，可变属性信息)和携带在证书中的第二MUD URL信息(即，固定属性信息)发送给MUD控制管理设备，由MUD控制管理设备对证书进行验证后，基于第二MUD URL信息和第三MUD URL信息合成第二MUD URL，从而基于第二MUD URL获得第二MUD文件。由于第二MUD URL信息携带在证书中，证书又通过验证，所以，MUD控制管理设备将该第二MUD URL信息确定为可信的信息。基于此，当终端设备更新时，终端设备可以仅将新的可变属性信息，即第一MUD URL信息，发送给MUD控制管理设备，MUD控制管理设备即可基于该第一MUDURL信息和可信的第二MUD URL信息合成第一MUD URL，从而基于第一MUD URL获得第一MUD文件。如此，实现了在终端设备更新场景下安全、有效的获取MUD文件的功能。
举例来说，仍然以图1所示的网络100为例，该实现方式的实现过程例如可以包括：S41，终端设备11在首次连接网络时，终端设备11向MUD控制管理设备30发送证书1和MUDURL信息3，该证书1中携带MUD URL信息2；S42，MUD控制管理设备30对该证书1进行验证，确定该证书1合法后，从该证书1中获取MUD URL信息2，并基于该MUD URL信息2和MUD URL信息3生成MUD URL 2，基于该MUD URL 2访问制造商的MUD文件服务器40，获得与MUD URL 2对应的MUD文件2；S43，MUD控制管理设备30根据MUD文件2，获取相应的网络策略2，并将该网络策略2应用到网络设备20上，以便网络设备20对终端设备11的网络行为进行约束。终端设备11更新时，对应的MUD文件更新为MUD文件1，MUD文件1在MUD文件服务器40上对应MUD URL1，该MUD URL 1包括MUD URL信息1和MUD URL信息2。此时，本申请实施例还可以包括：S44，终端设备11接收MUD URL信息1，并向MUD控制管理设备30发送MUD URL信息1；S45，MUD控制管理设备30基于MUD URL信息1和MUD URL信息2，合成MUD URL 1，并基于该MUD URL 1访问制造商的MUD文件服务器40，获得与MUD URL 1对应的MUD文件1；S46，MUD控制管理设备30根据MUD文件1，获取相应的网络策略1，并将该网络策略1应用到网络设备20上，以便网络设备20对终端设备11的网络行为进行约束。
这样，通过将已经验证合法的MUD URL中的固定属性信息作为可信的基础，MUD控制管理设备利用同一终端设备的MUD URL的固定属性信息不变这一特点，基于可信的固定属性信息和新接收的可变属性信息获得终端设备更新后的MUD URL，确定所获得该MUD URL合法，基于该合法的MUD URL获取对应的MUD文件，能够适用终端设备更新的场景，使得灵活、安全和有效的获取MUD文件成为可能。
需要说明的是，具体实现细节以及效果可以参见下述图3所示的方法200以及图4所示的方法300中的相关描述，在此不再赘述。
可以理解的是，上述场景仅是本申请实施例提供的一个场景示例，本申请实施例并不限于此场景。
下面结合附图，通过实施例来详细说明本申请实施例中获取MUD文件的方法的具体实现方式。
下面结合图2，以图1所示的网络100为例，具体以网络100中的终端设备11为例，对本申请实施例所述的获取MUD文件的方法100进行介绍。
图2所示为本申请实施例提供的一种获取MUD文件的方法100，该方法100可以包括下述S101～S108：
S101，终端设备11保存证书。
其中，证书为终端设备11的制造商在该终端设备11出厂之前为该终端设备11签发的，具体为制造商的签名服务器为该终端设备11的证书进行数字签名后，将该证书保存在终端设备11的本地。
其中，证书中除了包括常规内容，还包括用于针对该终端设备11进出厂时配置的MUD文件0对应的MUD URL 0(也可以称为基础MUD URL)。其中，证书的常规内容例如可以包括以下一种或多种：版本号、序列号、签名算法标识符、颁发者信息、有效期、使用者信息、公钥信息和扩展域，其中，版本号即该证书的版本号；序列号为制造商为该证书分配的编号，可以唯一标识该证书；签名算法标识符，是指保护该证书安全的算法及相关参数，例如：签名算法标识符可以包括：信息摘要算法(英文：Message-DigestAlgorithm，简称：MD5)、RSA加密算法以及相关参数，又例如：当不进行安全保护时，该签名算法标识符可以为空；颁发者信息是指制造商的相关信息，具体可以包括制造商所属的国家、州、省、组织单位、组织单位部门、姓名、电子邮件；有效期可以包括起始时间和结束时间；使用者信息是指证书对应的终端设备11所属用户的相关信息，具体可以包括终端设备11所属的国家、州、省、组织单位、组织单位部门、姓名、电子邮件；公钥信息是指对证书进行安全保护的公钥的相关信息，例如可以包括：公钥1、使用的公钥加密算法以及相应的参数；扩展域，可以包括一个或多个待扩展的数据项。
需要说明的是，证书中的公钥信息中的公钥，和对终端设备上保存的私钥是配对的，如此，证书和终端设备通过该配对的公私钥就可以实现对应。而对该证书进行数字签名，是指该终端设备的证书颁发机构(即，该证书的上一级证书)用其私钥对证书内容进行数字签名，而对证书进行数字签名的私钥对应的公钥，则保存在该证书的上一级证书的公钥信息中。通常，能够从终端设备的证书的颁发者信息中，查询在对该证书进行数字签名的上一级证书的相关信息，从而通过该上一级证书的相关信息查找到该上一级证书，基于该上一级证书的公钥信息中公钥对该终端设备的证书的数字签名进行验证。
本申请实施例中，MUD URL 0具体可以携带在证书的该扩展域中，该扩展域中还可以携带该终端设备11对应的匹配规则。例如：可以在该证书的扩展域中扩展区域1，该区域1中的字段的值用于指示该终端设备11出厂时的MUD URL 0，又例如：也可以在该证书的扩展域中扩展区域2，该区域2中的字段的值用于指示该终端设备11对应的匹配规则。
需要说明的是，该终端设备11除了保存该证书，还可以单独保存该终端设备11当前对应的MUD URL 0，该MUD URL 0用于获取出厂时为该终端设备11生成的MUD文件0。
S102，终端设备11向MUD控制管理设备30发送证书。
当终端设备11首次接入网络时，终端设备11可以执行该S102，向MUD控制管理设备30发送证书；或者，当终端设备11发生更新时，终端设备11也可以执行该S102，向MUD控制管理设备30发送该证书。
具体实现时，终端设备11可以向MUD控制管理设备30发送请求消息，该请求消息中携带该证书。作为一个示例，终端设备11可以向MUD控制管理设备30发送802.1X请求消息，该请求消息中携带该证书。作为另一个示例，终端设备11也可以向MUD控制管理设备30发送DHCP请求消息或LLDP请求消息，上述请求消息中可以通过扩展选项(英文：OPTION)字段或者类型长度值(英文：Type-Length-Value，简称：TLV)字段携带该证书。作为另一个示例，制造商也可以将为终端设备11签发的证书另外保存至网络上，并将证书和标识该证书在网络上保存位置的证书URL均保存在终端设备11上，那么，为了节约S102执行时证书占用的请求消息的长度，可以在请求消息中携带证书URL，MUD控制管理设备30基于该证书URL，也可以从网络中获得该证书URL对应的证书。
S103，MUD控制管理设备30根据终端设备11发送的证书，对MUD URL 1进行合法性验证。
S104，MUD控制管理设备30根据验证通过的所述MUD URL 1，获得MUD文件1。
在终端设备11首次接入网络的时机，S103和S104中的MUD URL 1即为该终端设备11出厂时生成的MUD文件0对应的MUD URL 0，S104中的MUD文件1即为该终端设备11出厂时生成的MUD文件0。
作为一个示例，如果MUD控制管理设备30仅接收到证书，则，MUD控制管理设备30可以验证证书，当确定该证书合法时，表征该证书中的内容也是合法的，即，完成了对MUD URL1的合法性验证，确定其合法，从而，MUD控制管理设备30从该证书中获取该验证通过的MUDURL 1。从而，MUD控制管理设备30基于该MUD URL 1获取该MUD文件1。
作为另一个示例，如果MUD控制管理设备30接收到证书和MUD URL 1，则，MUD控制管理设备30可以先验证证书，当确定该证书合法时，再从该证书中获得可信的MUD URL 1，并对比该证书中携带的可信的MUD URL 1和所接收MUD URL 1是否相同，如果相同，则认为该接收到的MUD URL 1合法，如果不相同，则认为该接收到的MUD URL 1不合法，如此，才完成了对MUD URL 1的合法性验证。需要说明的是，如果确定该证书合法且该证书中携带的可信的MUD URL 1和所接收MUD URL 1相同，MUD控制管理设备30可以基于证书中携带的MUDURL 1(或所接收的MUD URL 1)获得MUD文件1；如果确定该证书合法但该证书中携带的可信的MUD URL 1和所接收MUD URL 1不相同，MUD控制管理设备30也可以基于证书中携带的MUDURL 1获得MUD文件1，但是，为了更加安全，MUD控制管理设备30也可以将该“证书中携带的可信的MUD URL 1和所接收MUD URL 1不相同”这一异常情况上报给制造商的相关设备，供其进行终端设备11的检查和维护。
需要说明的是，验证证书，具体是指根据该证书的数字签名对证书进行验证。例如：假设制造商的签名服务器利用私钥a对证书数字签名的过程为：利用哈希算法1对证书进行哈希处理，获得该证书的摘要信息1，用私钥a对摘要信息1进行加密，获得数字签名1；MUD控制管理设备30上具有该私钥a对应的公钥A，那么，MUD控制管理设备30验证证书的过程可以包括：利用哈希算法1对证书进行哈希处理，获得该证书的摘要信息2；利用公钥A对数字签名1进行解密，获得摘要信息3，对比摘要信息2和摘要信息3是否一致，如果一致，则确认该证书来源合法且内容未被篡改，对该证书的验证通过；反之则确定对该证书的验证不通过。
在终端设备11更新的时机，S103和S104中的MUD URL 1即为该终端设备11此次更新时生成的MUD文件1对应的MUD URL，S104中的MUD文件1即为该终端设备11此次更新时生成的MUD文件。
作为一个示例，如果MUD控制管理设备30接收到终端设备11发送的MUD URL 1的同时，也可以接收到该终端设备11的证书以及MUD URL 0，则，MUD控制管理设备30可以先验证该证书，当确定该证书合法时，确认该证书中的MUD URL 0可信；此时，可以继续验证该证书携带的MUD URL 0和所接收到的MUD URL 0是否相同，获得验证结果1；也可以继续对MUDURL 1的合法性进行验证，具体可以是：判断该MUD URL 1和可信的MUD URL 0是否满足匹配规则，获得验证结果2。如果验证结果1和验证结果2均表示验证通过，则，确认该MUD URL 1是合法的，从而基于该MUD URL 1获得MUD文件1；如果验证结果1和验证结果2中至少有一个表示验证不通过，则，确认该MUD URL1是不合法的，不执行上述S104。其中，验证结果1表示验证通过，是指证书携带的MUD URL 0和所接收到的MUD URL 0相同；验证结果2表示验证通过，是指MUD URL 1合法，例如：MUD URL 1和可信的MUD URL 0满足匹配规则。
作为另一个示例，如果MUD控制管理设备30接收到终端设备11发送的MUD URL 1的同时，也可以接收到该终端设备11的证书，则，MUD控制管理设备30可以先验证该证书，当确定该证书合法时，确认该证书中的MUD URL 0可信；此时，可以继续对MUD URL 1的合法性进行验证，具体可以是：判断该MUD URL 1和可信的MUD URL 0是否满足匹配规则，如果满足，则，确认该MUD URL 1是合法的，从而基于该MUD URL 1获得MUD文件1；如果不满足，则，确认该MUD URL 1是不合法的，不执行上述S104。
作为再一个示例，S103具体可以是：MUD控制管理设备30之前基于证书确定特定的MUD URL 1’可信，并将该MUD URL 1’保存在该MUD控制管理设备30本地，那么，可以利用该MUD URL 1’对该新接收到的MUD URL 1进行合法性验证，具体可以是：判断该MUD URL 1和可信的MUD URL 1’是否满足匹配规则，如果满足，则，确认该MUD URL1是合法的，从而基于该MUD URL 1获得MUD文件1；如果不满足，则，确认该MUD URL1是不合法的，不执行上述S104。其中，MUD URL 1’具体可以是MUD控制管理设备30验证通过的任意一个MUD URL，例如：该MUD URL 1’可以是保存在MUD控制管理设备30本地的证书中的MUD URL 0。
需要说明的是，上述匹配规则用于指示同一个终端设备对应的多个MUD URL应该满足的规则，具体可以根据制造商的需求进行自定义。当待验证的MUD URL和可信的MUDURL满足匹配规则，则认为该待验证的MUD URL是合法的。举例来说，匹配规则可以包括下述任意一种或多种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。其中，URL前缀匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同的前缀；URL后缀匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同的后缀；URL关键信息匹配规则，是指待验证MUD URL和可信的MUD URL具有相同的特定关键信息，例如：域名；URL模式匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同或相似的内容。需要说明的是，匹配规则中与待验证MUD URL进行匹配的可信的MUD URL，具体可以是之前进行合法性验证且验证通过的任意MUD URL，本申请实施例中均以终端设备11出厂时生成的MUD URL 0为例进行说明。
对于匹配规则，一种情况下，为了提高获取MUD文件的安全性，该匹配规则可以是制造商在终端设备11出厂之前写入终端设备11的证书中的内容，那么，MUD控制管理设备30可以从证书中获取该匹配规则。另一种情况下，由于匹配规则在终端设备11首次接入网络时不会被使用，所以，该匹配规则也可以携带在终端设备11出厂时的MUD文件0中，MUD控制管理设备30可以在获取到该MUD文件0时，从该MUD文件0中获取该匹配规则并保存。再一种情况下，该匹配规则也可以是制造商在终端设备11出厂之前独立于证书而写入终端设备11的，那么，MUD控制管理设备30可以接收该终端设备11发送的匹配规则并保存，其中，为了安全，该匹配规则也可以携带其对应的数字签名，如此，MUD控制管理设备30可以利用数字签名对该匹配规则验证通过后再保存。又一种情况下，该匹配规则还可以是制造商将其直接配置在该可信的MUD控制管理设备30上的。
需要说明的是，对于该终端设备11更新的时机下，在S103之前，终端设备11向MUD控制管理设备30发送请求消息，该请求消息中不仅可以携带该MUD URL 1，为了更加安全，该请求消息中还可以携带该MUD URL 1的数字签名，那么，S103中MUD控制管理设备30除了进行上述合法性验证之外，还可以根据该数字签名对该MUD URL 1进行验证，确定该MUDURL 1来源合法且未被篡改；根据该数字签名对该MUD URL 1的验证通过且上述合法性验证通过后，MUD控制管理设备30才可以根据该MUD URL 1获得MUD文件1。
需要说明的是，上述MUD控制管理设备30根据MUD URL获得MUD文件的过程，具体可以是MUD控制管理设备30从MUD文件服务器上的MUD URL对应的位置，获得与MUD URL对应的MUD文件。
该MUD控制管理设备30获得MUD文件1后，即可将该MUD文件1转换为网络策略1，并将该网络策略1应用到网络设备20上，以使得该网络设备20基于该网络策略1对终端设备11的网络行为进行约束。
S105，终端设备11获取MUD URL 2，该MUD URL 2用于在所述终端设备发生更新时获取更新的MUD文件2。
当终端设备11更新时，终端设备11不仅能够从制造商或者第三方可信平台获取到更新后的功能、应用等，还能够从该制造商或者第三方可信平台上获得更新后对应的MUDURL 2，用于获取更新后的MUD文件2。
S106，终端设备11向MUD控制管理设备30发送消息1，该消息1中携带MUD URL2。
S107，MUD控制管理设备30接收终端设备发送的消息1，其中，所述MUD URL 1和所述MUD URL 2满足匹配规则。
S108，MUD控制管理设备30根据所述MUD URL 2，获得MUD文件2。
MUD URL 2即为该终端设备11此次更新时生成的MUD文件2对应的MUD URL，MUD文件2即为该终端设备11此次更新时生成的MUD文件。
在一些实现方式中，当终端设备11获得MUD URL 2之后，可以基于匹配规则，验证该MUD URL 2和证书中的MUD URL 0是否满足匹配规则，如果满足，则向MUD控制管理设备30发送该MUD URL 2；否则，不向MUD控制管理设备30发送该MUD URL 2。该实现方式下，如果MUD控制管理设备30只要接收到终端设备11发送的MUD URL 2，即可认为该MUD URL 2可信，从而根据该MUD URL 2获得MUD文件2。需要说明的是，为了提高安全性，终端设备11还可以通过其他安全保障让MUD控制管理设备30相信其验证结果是可信的，例如：终端设备11可以将自身对该MUD URL 2的合法性验证过程生成日志信息，并将日志信息和MUD URL 2一并发送给MUD控制管理设备30，由MUD控制管理设备30基于日志信息确定终端设备11的验证过程合法，从而确定该MUD URL 2可信，根据该MUD URL 2获得MUD文件2。
在另一些实现方式中，终端设备11不对新接收的MUD URL 2作合法性验证，发送给MUD控制管理设备30，由MUD控制管理设备30对MUD URL 2进行合法性验证。该实现方式中，在S107和S108之间，还可以包括：MUD控制管理设备30对MUD URL 2进行合法性验证，S108具体可以是：MUD控制管理设备30根据验证通过的MUD URL 2，获得MUD文件2。
作为一个示例，如果MUD控制管理设备30接收到终端设备11发送消息1携带MUDURL 2、终端设备11的证书以及MUD URL 0，则，MUD控制管理设备30可以先验证该证书，当确定该证书合法时，确认该证书中的MUD URL 0也可信；此时，可以继续验证该证书携带的MUDURL 0和所接收到的MUD URL 0是否相同，获得验证结果3；也可以继续对MUD URL 2的合法性进行验证，具体可以是：判断该MUD URL 2和可信的MUD URL 0是否满足匹配规则，获得验证结果4。如果验证结果3和验证结果4均表示验证通过，则，确认该MUD URL 2是合法的，从而基于该MUD URL 2获得MUD文件2；如果验证结果3和验证结果4中至少有一个表示验证不通过，则，确认该MUD URL 2是不合法的，不执行上述S108。其中，验证结果3表示验证通过，是指证书携带的MUD URL 0和所接收到的MUD URL 0相同；验证结果4表示验证通过，是指MUD URL 2合法，例如：MUD URL 2和可信的MUD URL 0满足匹配规则。
作为另一个示例，如果MUD控制管理设备30接收到终端设备11发送的的消息1中携带MUD URL 2和该终端设备11的证书，则，MUD控制管理设备30可以先验证该证书，当确定该证书合法时，确认该证书中的MUD URL 0可信；此时，可以继续对MUD URL 2的合法性进行验证，具体可以是：判断该MUD URL 2和可信的MUD URL 0是否满足匹配规则，如果满足，则，确认该MUD URL 2是合法的，从而基于该MUD URL 2获得MUD文件2；如果不满足，则，确认该MUDURL 2是不合法的，不执行上述S108。
作为再一个示例，如果该消息1中仅携带MUD URL 2，MUD控制管理设备30之前基于证书确定特定的MUD URL 1’可信，并将该MUD URL 1’保存在该MUD控制管理设备30本地，那么，可以利用该MUD URL 1’对该新接收到的MUD URL 2进行合法性验证，具体可以是：判断该MUD URL 2和可信的MUD URL 1’是否满足匹配规则，如果满足，则，确认该MUD URL 2是合法的，从而基于该MUD URL 2获得MUD文件2；如果不满足，则，确认该MUD URL 1是不合法的，不执行上述S104。其中，MUD URL 1’具体可以是MUD控制管理设备30验证通过的任意一个MUD URL，例如：该MUD URL 1’可以是保存在MUD控制管理设备30本地的证书中的MUD URL0，又例如：该MUD URL 1’也可以是在S104中验证通过的MUD URL 1。
需要说明的是，为了更加安全，终端设备11向MUD控制管理设备30发送的消息1中，还可以携带该MUD URL 2的数字签名，那么，S107和S108之间，MUD控制管理设备30除了进行上述合法性验证之外，还可以根据该数字签名对该MUD URL 2进行验证，确定该MUD URL 2来源合法且未被篡改；根据该数字签名对该MUD URL 2的验证通过且上述合法性验证通过后，MUD控制管理设备30才可以根据该MUD URL 2获得MUD文件2。其中，该数字签名为采用终端设备11的制造商的私钥对MUD URL 2进行签名获得的，那么，根据数字签名对MUD URL 2进行验证，具体可以是：基于终端设备11的证书中携带的颁发者信息中，查询在对该证书进行数字签名的上一级证书的相关信息，从而通过该上一级证书的相关信息查找到该上一级证书，基于该上一级证书的公钥信息中公钥对该终端设备11的证书的数字签名进行验证。
该MUD控制管理设备30获得MUD文件2后，即可将该MUD文件2转换为网络策略2，并将该网络策略2应用到网络设备20上，以使得该网络设备20基于该网络策略2对终端设备11的网络行为进行约束。
需要说明的是，关于匹配规则的相关描述，具体可以参见上述S103～S104中关于匹配规则的相关描述，在此不再赘述。
举例来说：终端设备11在出厂时，生成的MUD文件0对应的MUD URL 0为“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”，匹配规则为URL前缀匹配规则，匹配的URL前缀为“https://www.huawei.com/mud/router/”。在终端设备11出厂前为其签发证书，证书中携带“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”和匹配规则。
首次接入网络时，终端设备11将该证书发送给MUD控制管理设备30；MUD控制管理设备30对证书验证通过后，从该证书中获得MUD URL0“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”，从而可以基于“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”从MUD文件服务器中获得MUD文件0。
当终端设备11的固件版本号从1234更新为1244，系统版本号从4321更新为4421时，MUD控制管理设备30接收终端设备11发送的MUD URL1“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”；验证MUD URL 1与MUD URL 0满足匹配规则，即，两者均包括URL前缀“https://www.huawei.com/mud/router/”，确定MUDURL 1合法；从而基于“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”从MUD文件服务器中获得MUD文件1。
可见，通过该方法100，MUD控制管理设备30能够将当前更新发生之前，某个验证合法的MUD URL作为可信的基础，当终端设备11发生当前更新时，该终端设备11将新的待验证MUD URL发送给MUD控制管理设备30，如果该待验证的MUD URL和可信的MUD URL满足匹配条件，则，表征该待验证的MUD URL合法，该MUD控制管理设备30即可基于该合法性验证通过的MUD URL获取新的MUD文件，如此，实现了在终端设备11更新场景下安全、有效、灵活的获取MUD文件的功能。
下面结合图3，以图1所示的网络100为例，具体以网络100中的终端设备11为例，对本申请实施例所述的获取MUD文件的方法200进行简单介绍，该方法200与上述第二种可能的实现方式对应。
图3所示为本申请实施例提供的一种获取MUD文件的方法200，该方法200例如可以包括下述S201～S209：
S201，终端设备11向MUD控制管理设备30发送消息2，该消息2中携带证书和MUDURL信息1，该MUD URL信息1用于指示MUD URL 0的可变属性信息，该证书中携带MUD URL信息2，该MUD URL信息2用于指示MUD URL 0的固定属性信息，该MUD URL 0用于获得终端设备11出厂时配置的MUD文件0。
需要说明的是，作为一个示例，上述消息2可以是802.1X请求消息，该请求消息中携带该证书和MUD URL信息1；作为另一个示例，上述消息2也可以是DHCP请求消息或LLDP请求消息，上述请求消息中可以通过扩展OPTION字段或者TLV字段携带该证书和MUD URL信息1；作为再一个示例，制造商也可以将为终端设备11签发的证书另外保存至网络上，并将证书和标识该证书在网络上保存位置的证书URL均保存在终端设备11上，那么，为了节约S202执行时证书占用的消息2的长度，可以在消息2中携带证书URL和MUD URL信息1，MUD控制管理设备30基于该证书URL，也可以从网络中获得该证书URL对应的证书。
关于证书的具体说明可以参见上述方法100中关于证书的说明，不同的是，该方法200中，证书中携带的是用于指示终端设备11对应的各MUD URL的固定属性信息。具体而言，MUD URL信息2具体可以携带在证书的扩展域中，例如：可以在该证书的扩展域中扩展区域3，该区域3中的字段的值用于指示该终端设备11出厂时的MUD URL信息2。
其中，固定属性信息用于指示终端设备11的多个MUD URL中相同的部分，例如：无论终端设备11如何更新、更新多少次，其MUD URL信息2均为其对应的多个MUD URL中固定不变的部分。作为一个示例，该固定属性信息可以是MUD URL 0的一部分，例如：MUD URL信息2可以为MUD URL 0中一个固定的URL前缀，如“https://www.huawei.com/mud/router/”；又例如：MUD URL信息2也可以为MUD URL 0中一个固定的URL后缀；再例如：MUD URL信息2还可以为MUD URL 0中一个固定的URL关键信息。作为另一个示例，该固定属性信息可以包括该终端设备11的固有信息1和MUD URL中固有信息1的组成规则，例如：MUD URL信息2对应的固定属性信息可以包括：固有信息1(如：终端设备11的厂家VENDOR字段的值huawei、设备类型DEVICETYPE字段的值router)和MUD URL中固有信息1的组成规则(如：https://www.VENDOR.com/mud/DEVICETYPE/)，那么，基于所述固有信息1和MUD URL0中固有信息1的组成规则，可以确定出MUD URL信息2为“https://www.huawei.com/mud/router/”。
需要说明的是，固定属性信息(即，MUD URL信息2)写入终端设备出厂时签发的证书中，当证书验证通过，即可确定该MUD URL信息2是合法的且未被篡改的，又确定该MUDURL信息2源自该终端设备11，从而能够将该固定属性信息作为生成MUD URL的信任基础。
可变属性信息用于指示终端设备11的多个MUD URL存在差异的部分，即，终端设备11每次发生更新，其可变属性信息均发生变化。作为一个示例，该可变属性信息可以是MUDURL 0的一部分，例如：MUD URL信息1可以为MUD URL 1中一个可变的URL后缀，如“firmware_version_1234/os_version_4321.json”；又例如：MUD URL信息1也可以为MUDURL 0中一个可变的URL前缀；再例如：MUD URL信息1还可以为MUD URL 0中一个可变的URL关键信息。作为另一个示例，该可变属性信息可以包括该终端设备11的可变信息2和MUDURL中可变信息2的组成规则，例如：MUD URL信息1对应的可变属性信息可以包括：可变信息2(如：终端设备11的固件版本号FIRMWARE字段的值1234和系统版本号OS字段的值4321)和MUD URL中可变信息2的组成规则(如：FIRMWARE/OS.json)，那么，基于所述可变信息2和MUDURL 0中可变信息2的组成规则，可以确定出MUD URL信息1为“firmware_version_1234/os_version_4321.json”。
需要说明的是，可变属性信息不写入终端设备11出厂时的证书中，能够确保该可变属性信息随着终端设备11的更新灵活变化，使得在终端设备11更新的场景下灵活、安全的获取MUD文件成为可能。
为了更加安全，该消息2中还可以包括MUD URL信息1的数字签名。
S202，MUD控制管理设备30验证证书。
MUD控制管理设备30接收到消息2之后，可以对消息2中的证书进行验证，当确定该证书合法时，表征该证书中的内容也是合法的，即，完成了对MUD URL信息2的合法性验证，确定其合法，从而，MUD控制管理设备30从该证书中获取该可信的MUD URL信息2。
在一些实现方式中，该消息2中还包括MUD URL信息1的数字签名，那么，在S201到S203之间，MUD控制管理设备30还可以利用该数字签名对MUD URL信息1进行验证，验证通过则能够确定该MUD URL信息1来源合法且未被篡改过。具体实现时，该数字签名为采用终端设备11的制造商的私钥对MUD URL信息1进行签名获得的，根据数字签名对MUD URL信息1进行验证时，具体可以是：基于制造商的证书中携带的公钥对该数字签名进行验证，验证通过表征MUD URL信息1合法。其中，制造商的证书具体可以是终端设备11将其携带在消息2中发送给MUD控制管理设备30的，也可以是MUD控制管理设备30从网络中获取并保存的，还可以是制造商直接配置到该MDU控制管理设备30上的。
在另一些实现方式中，该消息2中还包括MUD URL信息2，那么，在S202对证书的验证通过后，MUD控制管理设备30还可以验证所接收的MUD URL信息2和证书中的MUD URL信息2是否相同，如果相同，则确定该MUD URL信息2的验证通过。
通过S202，MUD控制管理设备30可以完成对终端设备11发送的内容的验证，当验证均通过时，执行下述S203～S204，一旦发生至少一项验证未通过，则，不执行S203～S204。
S203，MUD控制管理设备30根据MUD URL信息2和MUD URL信息1，获得MUD URL 0。
作为一个示例，制造商、终端设备11和MUD控制管理设备30之间可以约定默认的合成方式，当MUD控制管理设备30获得合法的MUD URL信息2和合法的MUD URL信息1，即可基于该默认的合成方式获得MUD URL 0。其中，该默认的合成方式可以是简单的拼接合成等方式，例如：MUD URL 0具体为“MUD URL信息2+MUD URL信息1”或者“MUD URL信息1+MUD URL信息2”。
作为另一个示例，S203具体可以是：MUD控制管理设备30基于预定规则，根据MUDURL信息2和MUD URL信息1，获得MUD URL 0。
其中，预定规则具体可以是指制造商根据需求和MUD URL的特点，自行定义的固定属性信息和可变属性信息之间的合成规则。该预定规则具体可以是文字描述的合成规则，也可以是通过正则表达式等公式描述的合成规则，只要能够描述清楚如何根据固定属性信息和可变属性信息生产对应的完整MUD URL的内容，均可以作为预定规则。
对于预定规则，一种情况下，为了提高获取MUD文件的安全性，该预定规则可以是制造商在终端设备11出厂之前写入终端设备11的证书的内容，例如：可以在证书的扩展域中扩展区域4，该区域4中的字段的值用于指示该终端设备11对应的预定规则。那么，MUD控制管理设备30可以从证书中获取该预定规则。另一种情况下，该预定规则也可以是制造商在终端设备11出厂之前独立于证书而写入终端设备11的，那么，MUD控制管理设备30可以接收该终端设备11发送的预定规则并保存，其中，为了安全，该预定规则也可以携带其对应的数字签名，如此，MUD控制管理设备30可以利用数字签名对该预定规则验证通过后再保存。又一种情况下，该预定规则还可以是制造商将其直接配置在该可信的MUD控制管理设备30上的。
S204，MUD控制管理设备30根据MUD URL 0，获得MUD文件0。
具体实现时，MUD控制管理设备30根据MUD URL 0获得MUD文件0的过程，具体可以是MUD控制管理设备30从MUD文件服务器上的MUD URL 0对应的位置，获得与MUD URL 0对应的MUD文件0。
S205，终端设备11获得MUD URL信息3，该MUD URL信息3用于指示MUD URL1的可变属性信息，MUD URL 1用于在所述终端设备11发生更新时获取更新的MUD文件1。
当终端设备11更新时，终端设备11不仅能够从制造商或者第三方可信平台获取到更新后的功能、应用等，还能够从该制造商或者第三方可信平台上获得更新后对应的MUDURL信息3，用于获取更新后的MUD文件1。
S206，终端设备11向MUD控制管理设备30发送消息3，该消息3中携带MUD URL信息3。
S207，MUD控制管理设备30获取所述终端设备11的MUD URL信息2。
S208，MUD控制管理设备30根据MUD URL信息2和MUD URL信息3，获得MUD URL 1。
S209，MUD控制管理设备30根据MUD RUL 1，获得MUD文件1。
该消息3可以是802.1X请求消息，该请求消息中携带该MUD URL信息3；该消息2也可以是DHCP请求消息或LLDP请求消息，上述请求消息中可以通过扩展OPTION字段或者TLV字段携带该MUD URL信息3。
具体实现时，MUD控制管理设备30接收到消息3之后，可以从消息3中获取MUD URL信息3，并基于该MUD URL信息3和本地保存的MUD URL信息2，获得MUD URL 1，从而根据该MUD URL 1获得MUD文件1。
在一些实现方式中，为了更加安全，该消息3中还可以包括MUD URL信息3的数字签名，那么，在S206之后S208之前，MUD控制管理设备30还可以利用该数字签名对MUD URL信息3进行合法性验证，验证通过则能够确定该MUD URL信息3来源合法且未被篡改过；从而，基于该MUD URL信息3和本地保存的MUD URL信息2，获得MUD URL 1；根据该MUD URL 1获得MUD文件1。其中，该MUD URL信息3的数字签名为采用终端设备11的制造商的私钥对MUD URL信息3进行签名获得的，那么，根据数字签名对MUD URL信息1进行验证时，具体可以是基于制造商的证书中携带的公钥对该数字签名进行验证，验证通过表征MUD URL信息3合法。其中，制造商的证书具体可以是终端设备11将其携带在消息2中发送给MUD控制管理设备30的，也可以是MUD控制管理设备30从网络中获取并保存的，还可以是制造商直接配置到该MDU控制管理设备30上的证
在另一些实现方式中，该消息3中还包括MUD URL信息2，那么，在S206之后S208之前，还需要验证接收到MUD URL信息2和本地保存的MUD URL信息2是否相同，如果相同，则确定该MUD URL信息2的验证通过；从而，基于该MUD URL信息3和本地保存的MUD URL信息2，获得MUD URL 1；根据该MUD URL 1获得MUD文件1。
在再一些实现方式中，该消息3中还包括证书，那么，在S206之后S208之前，还需要对证书进行验证，验证通过后，从该证书中获取MUD URL信息2；验证证书中的MUD URL信息2和本地保存的MUD URL信息2是否相同，如果相同，则确定该MUD URL信息2的验证通过；从而，基于该MUD URL信息3和本地保存的MUD URL信息2，获得MUD URL 1；根据该MUD URL 1获得MUD文件1。
在又一些实现方式中，该消息3中还包括证书和MUD URL信息2，那么，在S206之后S208之前，还需要对证书进行验证，验证通过后，从该证书中获取MUD URL信息2；验证所接收的MUD URL信息2、证书中的MUD URL信息2和本地保存的MUD URL信息2三者是否相同，如果相同，则确定该MUD URL信息2的验证通过；从而，基于该MUD URL信息3和本地保存的MUDURL信息2，获得MUD URL 1；根据该MUD URL1获得MUD文件1。
MUD控制管理设备30对消息3中的内容均进行验证，当验证均通过时，执行下述S208～S209，一旦发生至少一项验证未通过，则，不执行S208～S209。
举例来说：终端设备11在出厂时，生成的MUD文件0对应的MUD URL 0为“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”，而基于该方法200，确定用于指示MUD URL 0的固定属性信息的MUD URL信息2为“https://www.huawei.com/mud/router/”，用于指示MUD URL 0的固定属性信息的MUD URL信息1为“firmware_version_1234/os_version_4321.json”。在终端设备11出厂前为其签发证书，证书中携带“https://www.huawei.com/mud/router/”，并将“firmware_version_1234/os_version_4321.json”也写入该终端设备11中。
首次接入网络时，终端设备11将该证书和“firmware_version_1234/os_version_4321.json”均发送给MUD控制管理设备30；MUD控制管理设备30对证书验证通过后，从该证书中获得“https://www.huawei.com/mud/router/”，并基于“https://www.huawei.com/mud/router/”和“firmware_version_1234/os_version_4321.json”，获得该MUD URL0“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”，从而可以基于“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”从MUD文件服务器中获得MUD文件0。
当终端设备11的固件版本号从1234更新为1244，系统版本号从4321更新为4421时，由于MUD控制管理设备30中保存有MUD URL信息2，所以，终端设备11将该更新后的MUDURL信息3“firmware_version_1244/os_version_4421.json”发送给MUD控制管理设备30；MUD控制管理设备30基于本地保存的“https://www.huawei.com/mud/router/”和接收到的“firmware_version_1244/os_version_4421.json”，获得该MUD URL 1“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”，从而可以基于“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”从MUD文件服务器中获得MUD文件1。
需要说明的是，本申请实施例仅以终端设备11的一次更新为例进行说明，对于后续终端设备11的更新，均可以参见该更新过程实施，在此不再赘述。
可见，通过本申请实施例提供的方法200，将已经验证合法的MUD URL中的固定属性信息作为可信的基础，MUD控制管理设备30利用同一终端设备的MUD URL的固定属性信息不变这一特点，基于可信的固定属性信息和新接收的可变属性信息获得终端设备更新后的MUD URL，使得所获得该MUD URL合法，从而该合法的MUD URL获取对应的MUD文件，适用终端设备更新的场景，使得灵活、安全和有效的获取MUD文件成为可能。
需要说明的是，上述方法200中，S205～S209已经可以完整的说明MUD控制管理设备30基于该方法200获取MUD文件的方式。而在S205之前，终端设备11可以向MUD控制管理设备30发送证书，并根据该证书获得MUD URL 0，从而根据MUD URL 0获得MUD文件0。其中，上述S201～S204仅阐述了终端设备11根据证书获得MUD URL 0的一种可选的实现方式；下述方法300中的S301～S304还介绍了在方法200的基础上，终端设备11根据证书获得MUD URL0的另一种可选的实现方式。
需要说明的是，上述S201～S204以及下述S301～S304，可以用于终端设备11首次接入网络时获取相应的MUD文件0，而S205～S209以及S305～S309可以用于终端设备11首次接入网络之后发生的任意一次更新的过程中，获取相应的MUD文件。
下面结合图4，以图1所示的网络100为例，具体以网络100中的终端设备11为例，对本申请实施例所述的获取MUD文件的方法300进行简单介绍，该方法300与上述第二种可能的实现方式对应。
图4所示为本申请实施例提供的一种获取MUD文件的方法300，该方法300例如可以包括下述S301～S309：
S301，终端设备11保存证书。
S302，终端设备11向MUD控制管理设备30发送证书。
S303，MUD控制管理设备30根据终端设备11发送的证书，对MUD URL 0进行合法性验证。
S304，MUD控制管理设备30根据验证通过的所述MUD URL 0，获得MUD文件0。
需要说明的是，上述S301～S304的具体实现方式，可以参见方法100中S101～S104在终端设备11首次接入网络时机下的相关描述，在此不再赘述。
在一些可能的实现方式中，MUD文件0中可以携带用于指示MUD URL 0以及MUD URL1中相同的固定属性信息——MUD URL信息2。此外，该MUD文件0中还可以根据需求携带对应的预定规则。
S305，终端设备11获得MUD URL信息3，该MUD URL信息3用于指示MUD URL1的可变属性信息，MUD URL 1用于在所述终端设备11发生更新时获取更新的MUD文件1。
S306，终端设备11向MUD控制管理设备30发送消息4，该消息4中携带MUD URL信息3。
S307，MUD控制管理设备30获取所述终端设备11的MUD URL信息2。
S308，MUD控制管理设备30根据MUD URL信息2和MUD URL信息3，获得MUD URL 1。
S309，MUD控制管理设备30根据MUD RUL 1，获得MUD文件1。
需要说明的是，上述S305～S309的具体实现方式，可以参见方法200中S205～S209的相关描述，在此不再赘述。
举例来说：终端设备11在出厂时，生成的MUD文件0对应的MUD URL 0为“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”，匹配规则为URL前缀匹配规则，匹配的URL前缀为“https://www.huawei.com/mud/router/”。在终端设备11出厂前为其签发证书，证书中携带“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”和匹配规则。
首次接入网络时，终端设备11将该证书发送给MUD控制管理设备30；MUD控制管理设备30对证书验证通过后，从该证书中获得MUD URL0“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”，从而可以基于“https://www.huawei.com/mud/router/firmware_version_1234/os_version_4321.json”从MUD文件服务器中获得MUD文件0，该MUD文件0携带MUD URL信息2“https://www.huawei.com/mud/router/”。
当终端设备11的固件版本号从1234更新为1244，系统版本号从4321更新为4421时，MUD控制管理设备30接收终端设备11发送的MUD URL1“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”；验证MUD URL 1与MUD URL 0满足匹配规则，即，两者均包括URL前缀“https://www.huawei.com/mud/router/”，确定MUDURL 1合法；从而基于“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”从MUD文件服务器中获得MUD文件1。
当终端设备11的固件版本号从1234更新为1244，系统版本号从4321更新为4421时，由于MUD控制管理设备30中保存有MUD URL信息2，所以，终端设备11将该更新后的MUDURL信息3“firmware_version_1244/os_version_4421.json”发送给MUD控制管理设备30；MUD控制管理设备30基于本地保存的“https://www.huawei.com/mud/router/”和接收到的“firmware_version_1244/os_version_4421.json”，获得该MUD URL1“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”，从而可以基于“https://www.huawei.com/mud/router/firmware_version_1244/os_version_4421.json”从MUD文件服务器中获得MUD文件1。
可见，通过该方法300，MUD控制管理设备30能够在首次接入网络时，MUD控制管理设备30基于完整的MUD URL获取MUD文件，在终端设备11更新时，将MUD URL中的固定属性信息作为可信基础，MUD控制管理设备30利用同一终端设备的MUD URL的固定属性信息不变这一特点，基于可信的固定属性信息和新接收的可变属性信息获得终端设备更新后的MUDURL，使得所获得该MUD URL合法，从而该合法的MUD URL获取对应的MUD文件，适用终端设备更新的场景，使得灵活、安全和有效的获取MUD文件成为可能。
图5示出了本申请实施例中一种获取制造商使用说明MUD的方法400的流程示意图，该方法400由MUD控制管理设备实施，该获取MUD的方法400例如可以包括：
S401，根据终端设备发送的证书，对第一MUD统一资源定位符URL进行合法性验证；
S402，根据验证通过的所述第一MUD URL，获得第一MUD文件；
S403，接收终端设备发送的第一消息，所述第一消息中携带第二MUD URL，所述第二MUD URL用于在所述终端设备发生更新时获取更新的第二MUD文件，所述第一MUD URL和所述第二MUD URL满足匹配规则；
S404，根据所述第二MUD URL，获得所述第二MUD文件。
其中，该方法400中的MUD控制管理设备具体可以是上述实施例中的MUD控制管理设备30，该MUD控制管理设备执行的操作具体可以参见方法100中MUD控制管理设备30执行的操作，具体而言，S401～S402的相关描述可以参见方法100中的S103～S104，S403～S404的相关描述可以参见方法100中的S106～S108。其中，第一MUD URL可以是方法100中的MUDURL 0，那么，第一MUD文件为方法100中的MUD文件0；或者，第一MUD URL也可以是方法100中的MUD URL 1，那么，第一MUD文件为方法100中的MUD文件1。第一消息可以是方法100中的消息1，第二MUD URL即为方法100中的MUD URL 2，第二MUD文件为方法100中的MUD文件2。
作为一个示例，该第一消息中还携带第二MUD URL的数字签名，该方法400还可以包括：MUD控制管理设备根据该数字签名对第二MUD URL进行验证。例如：MUD控制管理设备根据数字签名对第二MUD URL进行验证，具体为基于制造商证书中携带的公钥对数字签名进行验证。其中，证书中携带的公钥和终端设备的私钥是配对的，用于确定该证书和终端设备之间的对应关系。对该第二MUD URL进行数字签名的可以是制造商的私钥，与制造商的公钥是匹配的，其中，制造商的公钥携带在制造商证书中，该制造商证书可以通过终端设备的证书中携带的颁发者信息查找到，即，MUD控制管理设备可以从终端设备的证书中，查看其携带的颁发者信息，基于颁发者信息查找对应的制造商证书，从制造商证书中读取制造商的公钥，利用该制造商的公钥对该数字签名进行验证。这样，通过对第二MUD URL进行数字签名和验证，能够确保用于获取第二MUD文件的第二MUD URL来源合法且未被篡改的可信MUD URL。
在一个可能的实施方式中，所述终端设备对所述第一MUD URL和第二MUD URL进行匹配验证，并将验证通过的所述第二MUD URL发送给所述MUD控制管理设备。
在一个可能的实施方式中，所述方法还包括：所述MUD控制管理设备对所述第一MUD URL和第二MUD URL进行匹配验证，根据验证通过的所述第二MUD URL，获取所述第二MUD文件。
在一些可能的实现方式中，第一消息中还可以携带第一MUD URL，从而使得MUD控制管理设备基于该第一消息进行更多的验证，以保证更加安全的获取MUD文件。作为一个示例，第一消息中可以直接携带第一MUD URL，那么，该方法400还可以包括：MUD控制管理设备从第一消息中获取第一MUD URL，验证第二MUD URL和第一MUD URL是否满足匹配规则，若满足，则执行上述S404。作为另一个示例，第一消息中还可以携带终端设备的证书，证书中携带第一MUD URL，那么，该方法400还可以包括：MUD控制管理设备从第一消息中获取证书，并从该证书中获取第一MUD URL，验证第二MUD URL和证书中携带的第一MUD URL是否满足匹配规则，若满足，则执行上述S404。作为又一个示例，为了减少证书传递占用第一消息的空间，制造商在签发该证书时，也将该证书保存在网络中，这样，该第一消息中还可以携带证书的URL，该证书的URL用于指示证书在网络中的位置，那么，该方法400还可以包括：MUD控制管理设备从第一消息中获取该证书的URL，基于该证书的URL获取证书，并从证书中获取第一MUD URL，验证第二MUD URL和证书中携带的第一MUD URL是否满足匹配规则，若满足，则执行上述S404。作为再一个示例，该第一消息中还可以同时携带证书和第一MUD URL，那么，该方法400还可以包括：MUD控制管理设备验证该第一消息中携带的第一MUD URL和证书中携带的第一MUD URL是否相同若满足，则执行上述S404。可见，通过在第一消息中携带之前验证通过的第一MUD URL，能够确保用于获取第二MUD文件的第二MUD URL和第一MUD URL是匹配的，即，该第二MUD URL是终端设备的制造商发布的合法的MUD URL。
在另一些可能的实现方式中，该匹配规则可以保存在终端设备本地，那么，终端设备可以将该匹配规则直接发送给MUD控制管理设备；或者，为了更加安全，该匹配规则也可以保存在证书或者第一MUD文件中，那么，MUD控制管理设备能够从证书中获取匹配规则，或者，从第一MUD文件中获取匹配规则；又或者，该匹配规则也可以是制造商或第三方可信平台直接配置到MUD控制管理设备的，那么，该MUD控制管理设备可以直接在本地保存该匹配规则。
其中，该匹配规则包括下述任意一种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。其中，URL前缀匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同的前缀；URL后缀匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同的后缀；URL关键信息匹配规则，是指待验证MUD URL和可信的MUD URL具有相同的特定关键信息，例如：域名；URL模式匹配规则，是指待验证MUD URL和可信的MUD URL具有一段相同或相似的内容。需要说明的是，匹配规则中与待验证MUD URL进行匹配的可信的MUD URL，具体可以是之前进行合法性验证且验证通过的任意MUD URL，例如：终端设备出厂时生成的MUD URL。
需要说明的是，本申请实施例中的方法400，具体实现方式以及达到的效果可以参见上述图2所示实施例中的相关说明。
图6示出了本申请实施例中一种获取制造商使用说明MUD的方法500的流程示意图，该方法500由终端设备实施，该获取MUD的方法500例如可以包括：
S501，向MUD控制管理设备发送证书，证书被MUD控制管理设备用于对第一MUD统一资源定位符URL进行合法性验证，并根据验证通过的第一MUD URL，获得第一MUD文件；
S502，终端设备更新时，获取第二MUD URL，第二MUD URL被MUD控制管理设备用于获取更新的第二MUD文件，第一MUD URL和第二MUD URL满足匹配规则；
S503，向MUD控制管理设备发送第一消息，第一消息中携带第二MUD URL。
其中，该方法500中的终端设备具体可以是上述实施例中的终端设备11，该终端设备执行的操作具体可以参见方法100中终端设备11执行的操作，具体而言，S501的相关描述可以参见方法100中的S10，S502～S503的相关描述可以参见方法100中的S105～S106。其中，第一MUD URL可以是方法100中的MUD URL 0，那么，第一MUD文件为方法100中的MUD文件0；或者，第一MUD URL也可以是方法100中的MUD URL 1，那么，第一MUD文件为方法100中的MUD文件1。第一消息可以是方法100中的消息1，第二MUD URL即为方法100中的MUD URL 2，需要说明的是，该第二MUD URL被MUD控制管理设备用于获取第二MUD文件，那么，第二MUD文件为方法100中的MUD文件2。
作为一个示例，为了更加安全，该第一消息中还携带第二MUD URL的数字签名。其中，该数字签名为终端设备对应的制造商采用所述制造商的私钥对第二MUD URL进行数字签名获得的；其中，所述制造商的制造商证书中携带的公钥和所述制造商的私钥是配对的，制造商证书中携带的所述公钥用于对所述数字签名进行验证。
在一些可能的实现方式中，该方法500还可以包括：终端设备验证第二MUD URL和第一MUD URL满足匹配规则。
在另一些可能的实现方式中，验证第二MUD URL和第一MUD URL是否满足匹配规则也可以是MUD控制管理设备执行的。作为一个示例，第一消息中还可以携带第一MUD URL，该第一MUD URL被MUD控制管理设备用于验证该第一MUD URL和第二MUD URL满足匹配规则。作为另一个示例，该第一消息中还可以携带证书，该证书中携带第一MUD URL，证书中的第一MUD URL被MUD控制管理设备用于验证该第一MUD URL和第二MUD URL满足匹配规则。作为又一个示例，该第一消息中还携带证书的URL，该证书的URL被MUD控制管理设备用于获取证书，证书中携带第一MUD URL，证书中的第一MUD URL被MUD控制管理设备用于验证该第一MUD URL和第二MUD URL满足匹配规则。作为又一个示例，该第一消息中还可以同时携带证书(或证书的URL)和第一MUD URL，那么，第一MUD URL被MUD控制管理设备用于验证该第一消息中的第一MUD URL和证书中携带的第一MUD URL相同。可见，通过在第一消息中携带之前验证通过的第一MUD URL，能够确保用于获取第二MUD文件的第二MUD URL和第一MUD URL是匹配的，即，该第二MUD URL是终端设备的制造商发布的合法的MUD URL。
在另一些可能的实现方式中，该匹配规则可以保存在终端设备本地，那么，终端设备可以将该匹配规则直接发送给MUD控制管理设备。或者，为了更加安全，该匹配规则也可以保存在证书或者第一MUD文件中，那么，MUD控制管理设备能够从证书中获取匹配规则，或者，从第一MUD文件中获取匹配规则。又或者，该匹配规则也可以是制造商或第三方可信平台直接配置到MUD控制管理设备的，那么，该MUD控制管理设备可以直接在本地保存该匹配规则。
其中，该匹配规则包括下述任意一种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。
需要说明的是，本申请实施例中的方法500，具体实现方式以及达到的效果可以参见上述图2所示实施例中的相关说明。
图7示出了本申请实施例中一种获取制造商使用说明MUD的方法600的流程示意图，该方法600由MUD控制管理设备实施，该获取MUD的方法600例如可以包括：
S601，接收终端设备发送的第一消息，第一消息中携带第一MUD URL信息，第一MUDURL信息用于指示第一MUD URL的可变属性信息，第一MUD URL用于在终端设备发生更新时获取更新的第一MUD文件；
S602，获取终端设备的第二MUD URL信息，第二MUD URL信息用于指示第一MUD URL的固定属性信息；
S603，根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL；
S604，根据第一MUD RUL，获得第一MUD文件。
其中，该方法600中的MUD控制管理设备具体可以是上述实施例中的MUD控制管理设备30，该MUD控制管理设备执行的操作具体可以参见方法200或方法300中MUD控制管理设备30执行的操作。对应于方法200，作为一个示例，该方法600中的S601～S602的相关描述均对应S201，那么，S603～S604的相关描述分别对应于S203～S204，其中，第一消息可以是方法200中的消息2，第一MUD URL信息为方法200中的MUD URL信息1，第二MUD URL信息为方法200中的MUD URL信息2，第一MUD文件为方法200中的MUD文件0；作为另一个示例，该方法600中的S601～S604的相关描述分别对应于S206～S209，其中，第一消息可以是方法200中的消息3，第一MUD URL信息为方法200中的MUD URL信息3，第二MUD URL信息为方法200中的MUDURL信息2，第一MUD文件为方法200中的MUD文件1。对应于方法300，该方法600中的S601～S604的相关描述分别对应于S306～S309，其中，第一消息可以是方法300中的消息4，第一MUD URL信息为方法300中的MUD URL信息3，第二MUD URL信息为方法300中的MUD URL信息2，第一MUD文件为方法300中的MUD文件1。
本申请实施例中，固定属性信息用于指示第一MUD URL和第二MUD URL中相同的部分，固定属性信息包括终端设备的第一固有信息和MUD URL中第一固有信息的组成规则。作为一个示例，该固定属性信息可以是MUD URL的一部分，例如：MUD URL中一个固定的URL前缀，如“https://www.huawei.com/mud/router/”。作为另一个示例，该固定属性信息可以包括该终端设备的固有信息和MUD URL中固有信息的组成规则，例如：固有信息1(如：终端设备的厂家VENDOR字段的值huawei、设备类型DEVICETYPE字段的值router)和MUD URL中固有信息1的组成规则(如：https://www.VENDOR.com/mud/DEVICETYPE/)，那么，基于所述固有信息1和MUD URL中固有信息1的组成规则，可以确定出MUD URL对应的固定属性信息为“https://www.huawei.com/mud/router/”。
可变属性信息用于指示第一MUD URL中与第二MUD URL存在差异的部分，可变属性信息包括终端设备的第二可变信息和MUD URL中第二可变信息的组成规则。作为一个示例，该可变属性信息可以是MUD URL的一部分，例如：MUD URL中一个可变的URL后缀，如“firmware_version_1234/os_version_4321.json”。作为另一个示例，该可变属性信息可以包括该终端设备的可变信息2和MUD URL中可变信息2的组成规则，例如：可变信息2(如：终端设备的固件版本号FIRMWARE字段的值1234和系统版本号OS字段的值4321)和可变信息2的组成规则(如：FIRMWARE/OS.json)，那么，基于所述可变信息2和MUD URL中可变信息2的组成规则，可以确定出可变属性信息为“firmware_version_1234/os_version_4321.json”。
作为一个示例，该第一消息中还携带第一MUD URL信息的数字签名，该方法600还可以包括：MUD控制管理设备根据数字签名对第一MUD URL信息进行验证。其中，该数字签名为采用终端设备的制造商的私钥对第一MUD URL信息进行签名获得的；那么，MUD控制管理设备根据数字签名对第一MUD URL信息进行验证，具体为：基于终端设备对应的制造商证书中携带的公钥对数字签名进行验证。这样，通过对第一MUD URL信息进行数字签名和验证，能够确保用于获取第一MUD文件的可变属性信息来源合法且未被篡改，从而保证基于该第一MUD URL信息获得的第一MUD URL是合法的，为安全的获取第一MUD文件提供了数据基础。
在一些可能的实现方式中，S602中获取终端设备的第二MUD URL信息具体可以具有多种实现方式，例如：当第一消息中包括第二MUD URL信息，那么，S602具体可以是：从第一消息中获取第二MUD URL信息；又例如：当第一消息中包括终端设备的证书，那么，S602具体可以是：从第一消息中获取证书，并从证书中获取第二MUD URL信息；再例如：当第一消息中包括终端设备的证书的URL，该证书的URL用于指示证书在网络中的位置，那么，该方法600还可以包括：从第一消息中获取证书的URL，并基于该证书的URL获取证书，则，S602具体可以是：从证书中获取第二MUD URL信息；又例如：当第一消息中还包括证书(或证书的URL)和第二MUD URL信息，该方法600还可以包括：验证第一消息中携带的第二MUD URL信息和证书中携带的第二MUD URL信息相同。可见，通过在第一消息中携带第二MUD URL信息，并进行验证，能够确保用于获得第一MUD URL的第二MUD URL信息是验证通过的，保证获得的第一MUD URL是合法的，为安全的获取第一MUD文件提供了数据基础。
在另一些可能的实现方式中，在执行S601之前，该方法600还可以包括：S6001，接收终端设备发送的证书；S6002，根据证书，获取第二MUD URL，第二MUD URL为终端设备出厂时配置的MUD URL；S6003，根据第二MUD URL，获取第二MUD文件。
作为一个示例，该证书包括第二MUD URL信息，第二MUD URL信息用于指示第二MUDURL的固定属性信息；该方法600还可以包括：S6004，接收终端设备发送的第三MUD URL信息，第三MUD URL信息用于指示第二MUD URL的可变属性信息；那么，上述S6002具体为S6002’：根据第三MUD URL信息和证书携带的第二MUD URL信息，获得第二MUD URL。
需要说明的是，该示例对应上述方法200，具体而言，该S6001和S6004均对应方法200中的S201，S6002’对应方法200中的S203，S6003对应方法200中的S204，S601～S604对应方法200中的S206～S209。其中，第三MUD URL信息具体为MUD URL信息1，第二MUD URL信息对应MUD URL信息2，第一MUD URL信息对应MUD URL信息3，第二MUD URL对应MUD URL 0，第二MUD文件对应MUD文件0，第一MUD URL对应MUD URL 1，第一MUD文件对应MUD文件1。
作为另一个示例，该证书携带完整的第二MUD URL，S6002中根据证书，获取第二MUD URL，具体为S6002”：从证书中获取第二MUD URL。该示例下，该方法600还可以包括：根据第二MUD文件，获得第二MUD URL信息。
需要说明的是，该示例对应上述方法300，具体而言，该S6001对应方法300中的S302，S6002’对应方法300中的S303，S6003对应方法300中的S304，S601～S604对应方法300中的S306～S309。其中，第二MUD URL对应MUD URL 0，第二MUD文件对应MUD文件0，第一MUDURL对应MUD URL 1，第一MUD文件对应MUD文件1。
在有一些可能的实现方式中，上述S603中根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL，具体可以包括：基于预定规则，根据第一MUD URL信息和第二MUD URL信息，获得第一MUD URL。其中，预定规则具体可以是指制造商根据需求和MUD URL的特点，自行定义的固定属性信息和可变属性信息之间的合成规则。该预定规则具体可以是文字描述的合成规则，也可以是通过正则表达式等公式描述的合成规则，只要能够描述清楚如何根据固定属性信息和可变属性信息生产对应的完整MUD URL的内容，均可以作为预定规则。
对于预定规则，一种情况下，为了提高获取MUD文件的安全性，该预定规则可以是制造商在终端设备出厂之前写入终端设备的证书的内容。那么，MUD控制管理设备可以从证书中获取该预定规则。另一种情况下，该预定规则也可以是制造商在终端设备出厂之前独立于证书而写入终端设备的，那么，MUD控制管理设备可以接收该终端设备发送的预定规则并保存，其中，为了安全，该预定规则也可以携带其对应的数字签名，如此，MUD控制管理设备可以利用数字签名对该预定规则验证通过后再保存。又一种情况下，该预定规则还可以是制造商或第三方可信平台将其直接配置在该可信的MUD控制管理设备上的。
需要说明的是，本申请实施例中的方法600，具体实现方式以及达到的效果可以参见上述图3或图4所示实施例中的相关说明。
图8示出了本申请实施例中一种获取制造商使用说明MUD的方法700的流程示意图，该方法700由终端设备实施，该获取MUD的方法700例如可以包括：
S701，获取第一MUD URL信息，第一MUD URL信息用于指示第一MUD URL的可变属性信息，第一MUD URL被MUD控制管理设备用于在终端设备发生更新时获取更新的第一MUD文件；
S702，向MUD控制管理设备发送第一消息，第一消息中携带第一MUD URL信息，以便MUD控制管理设备基于第一MUD URL信息和第二MUD URL信息确定第一MUD统一资源定位符URL，并利用第一MUD URL获取第一MUD文件，其中，第二MUD URL信息用于指示第一MUD URL的固定属性信息。
其中，该方法700中的终端设备具体可以是上述实施例中的终端设备11，该终端设备执行的操作具体可以参见方法200或方法300中终端设备11执行的操作。对应于方法200，该方法700中的S701～S702的相关描述分别对应S205～S206，其中，第一消息可以是方法200中的消息3，第一MUD URL信息为方法200中的MUD URL信息3，第二MUD URL信息为方法200中的MUD URL信息2，第一MUD文件为方法200中的MUD文件1。对应于方法300，该方法700中的S701～S702的相关描述分别对应于S305～S306，其中，第一消息可以是方法300中的消息4，第一MUD URL信息为方法300中的MUD URL信息3，第二MUD URL信息为方法300中的MUDURL信息2，第一MUD文件为方法300中的MUD文件1。
本申请实施例中，固定属性信息用于指示第一MUD URL和第二MUD URL中相同的部分，固定属性信息包括终端设备的第一固有信息和MUD URL中第一固有信息的组成规则。可变属性信息用于指示第一MUD URL中与第二MUD URL存在差异的部分，可变属性信息包括终端设备的第二可变信息和MUD URL中第二可变信息的组成规则。
作为一个示例，该第一消息中还可以携带第一MUD URL信息的数字签名。其中，该数字签名为终端设备对应的制造商采用所述制造商的私钥对第一MUD URL信息进行数字签名获得的；其中，所述制造商的制造商证书中携带的公钥和所述制造商的私钥是配对的，制造商证书中携带的所述公钥用于对所述数字签名进行验证。
在一些可能的实现方式中，第一消息还可以直接携带第二MUD URL信息。或者，该第一消息还可以携带终端设备的证书，该证书中携带第二MUD URL信息。又或者，该第一消息还可以携带终端设备的证书的URL，该证书的URL用于指示证书在网络中的位置，证书中携带第二MUD URL信息。再或者，该第一消息还携带证书(或证书的URL)和第二MUD URL信息，该第二MUD URL信息被MUD控制管理设备用于验证第一消息中的第二MUD URL信息和证书中携带的第二MUD URL信息相同。可见，通过在第一消息中携带第二MUD URL信息，并由MUD控制管理设备进行验证，能够确保用于获得第一MUD URL的第二MUD URL信息是验证通过的，保证获得的第一MUD URL是合法的，为安全的获取第一MUD文件提供了数据基础。
在另一些可能的实现方式中，在S702之前，方法700还可以包括：向MUD控制管理设备发送证书，以便MUD控制管理设备根据证书获得第二MUD URL，并基于第二MUD URL获取第二MUD文件，第二MUD URL为终端设备出厂时配置的MUD URL。
作为一个示例，该证书中包括第二MUD URL信息，第二MUD URL信息用于指示第二MUD URL的固定属性信息，该方法700还可以包括：向MUD控制管理设备发送第三MUD URL信息，第三MUD URL信息和证书中携带的第二MUD URL信息被MUD控制管理设备用于获得第二MUD URL，第三MUD URL信息用于指示第二MUD URL的可变属性信息。需要说明的是，该示例对应上述方法200。
作为另一个示例，该证书中携带完整的第二MUD URL，证书被MUD控制管理设备用于获得该完整的第二MUD URL。其中，第二MUD文件中携带第二MUD URL信息。需要说明的是，该示例对应上述方法300。
在再一些可能的实现方式中，该第一消息还携带预定规则，预定规则被MUD控制管理设备用于确定第一MUD URL。其中，预定规则具体可以是指制造商根据需求和MUD URL的特点，自行定义的固定属性信息和可变属性信息之间的合成规则。该预定规则具体可以是文字描述的合成规则，也可以是通过正则表达式等公式描述的合成规则，只要能够描述清楚如何根据固定属性信息和可变属性信息生产对应的完整MUD URL的内容，均可以作为预定规则。
需要说明的是，本申请实施例中的方法700，具体实现方式以及达到的效果可以参见上述图3或图4所示实施例中的相关说明。
此外，本申请还提供了制造商使用说明MUD控制管理设备900，参见图9所示。该MUD控制管理设备900包括收发单元901和处理单元902。其中，收发单元901用于执行上述方法100、方法200或方法300中MUD控制管理设备30实施的收发操作，或者，收发单元901还用于执行上述方法400或方法600中MUD控制管理设备实施的收发操作；处理单元902用于执行上述方法100、方法200或方法300中MUD控制管理设备30实施的除了收发操作以外的其他操作，或者，处理单元902还用于执行上述方法400或方法600中MUD控制管理设备实施的除了收发操作以外的其他操作。例如：当所述MUD控制管理设备900执行所述方法100中MUD控制管理设备30所实施的方法时，所述收发单元901可以用于接收终端设备11发送的消息1，消息1中携带MUD URL 2；所述处理单元902可以用于根据MUD URL 2，获得MUD文件2。
此外，本申请还提供了终端设备1000，参见图10所示。该终端设备1000包括收发单元1001和处理单元1002。其中，收发单元1001用于执行上述方法100、方法200或方法300中终端设备11实施的收发操作，或者，收发单元1001还用于执行上述方法500或方法700中终端设备实施的收发操作；处理单元1002用于执行上述方法100、方法200或方法300中终端设备11实施的除了收发操作以外的其他操作，或者，处理单元1002还用于执行上述方法500或方法700中终端设备实施的除了收发操作以外的其他操作。例如：当所述终端设备1000执行所述方法100中终端设备11所实施的方法时，所述收发单元1001可以用于向MUD控制管理设备30发送消息1，该消息1中携带MUD URL 2；所述处理单元1002可以用于获取MUD URL 2，该MUD URL 2用于在所述终端设备发生更新时获取更新的MUD文件2。
此外，本申请实施例还提供了一种制造商使用说明MUD控制管理设备1100，参见图11所示。该MUD控制管理设备1100包括通信接口1101和处理器1102。其中，通信接口1101包括第一通信接口1101a和第二通信接口1101b。第一通信接口1101a用于执行前述方法100、方法200或方法300所示实施例中的MUD控制管理设备30执行的接收操作，或者，第一通信接口1101a也用于执行前述方法400或方法600所示实施例中的MUD控制管理设备执行的接收操作；第二通信接口1101b用于执行前述方法100、方法200或方法300所示实施例中的MUD控制管理设备30执行的发送操作，或者，第二通信接口1101b也用于执行前述方法400或方法600所示实施例中的MUD控制管理设备执行的发送操作；处理器1102用于执行前述方法100、方法200或方法300所示实施例中的MUD控制管理设备30执行的除了接收操作和发送操作之外的其他操作，或者，处理器1102也用于执行前述方法400或方法600所示实施例中的MUD控制管理设备执行的除了接收操作和发送操作之外的其他操作。例如：处理器1102可以执行方法100中实施例中的操作：根据MUD URL 2，获得MUD文件2。
此外，本申请实施例还提供了一种终端设备1200，参见图12所示。该终端设备1200包括通信接口1201和处理器1202。其中，通信接口1201包括第一通信接口1201a和第二通信接口1201b。第一通信接口1201a用于执行前述方法100、方法200或方法300所示实施例中的终端设备11执行的接收操作，或者，第一通信接口1201a也用于执行前述方法500或方法700所示实施例中的终端设备执行的接收操作；第二通信接口1201b用于执行前述方法100、方法200或方法300所示实施例中的终端设备11执行的发送操作，或者，第二通信接口1201b也用于执行前述方法500或方法700所示实施例中的终端设备执行的发送操作；处理器1202用于执行前述方法100、方法200或方法300所示实施例中的终端设备11执行的除了接收操作和发送操作之外的其他操作，或者，处理器1202也用于执行前述方法500或方法700所示实施例中的终端设备执行的除了接收操作和发送操作之外的其他操作。例如：处理器1202可以执行方法100中实施例中的操作：保存证书，以及获取MUD URL 2。
此外，本申请实施例还提供了一种制造商使用说明MUD控制管理设备1300，参见图13所示。该MUD控制管理设备1300包括存储器1301和与存储器1301通信的处理器1302。其中，存储器1301包括计算机可读指令；处理器1302用于执行所述计算机可读指令，使得该MUD控制管理设备1300执行以上方法100、方法200或方法300中MUD控制管理设备30侧执行的方法，以及方法400和方法600中MUD控制管理设备侧执行的方法。
此外，本申请实施例还提供了一种终端设备1400，参见图14所示。该终端设备1400包括存储器1401和与存储器1401通信的处理器1402。其中，存储器1401包括计算机可读指令；处理器1402用于执行所述计算机可读指令，使得该终端设备1400执行以上方法100、方法200或方法300中终端设备11侧执行的方法，以及方法500和方法700中终端设备侧执行的方法。
可以理解的是，上述实施例中，处理器可以是中央处理器(英文：centralprocessing unit，缩写：CPU)，网络处理器(英文：network processor，缩写：NP)或者CPU和NP的组合。处理器还可以是专用集成电路(英文：application-specific integratedcircuit，缩写：ASIC)，可编程逻辑器件(英文：programmable logic device，缩写：PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(英文：complex programmable logicdevice，缩写：CPLD)，现场可编程逻辑门阵列(英文：field-programmable gate array，缩写：FPGA)，通用阵列逻辑(英文：generic array logic,缩写：GAL)或其任意组合。处理器可以是指一个处理器，也可以包括多个处理器。存储器可以包括易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，缩写：RAM)；存储器也可以包括非易失性存储器(英文：non-volatile memory)，例如只读存储器(英文：read-only memory，缩写：ROM)，快闪存储器(英文：flash memory)，硬盘(英文：hard diskdrive，缩写：HDD)或固态硬盘(英文：solid-state drive，缩写：SSD)；存储器还可以包括上述种类的存储器的组合。存储器可以是指一个存储器，也可以包括多个存储器。在一个具体实施方式中，存储器中存储有计算机可读指令，所述计算机可读指令包括多个软件模块，例如发送模块，处理模块和接收模块。处理器执行各个软件模块后可以按照各个软件模块的指示进行相应的操作。在本实施例中，一个软件模块所执行的操作实际上是指处理器根据所述软件模块的指示而执行的操作。处理器执行存储器中的计算机可读指令后，可以按照所述计算机可读指令的指示，执行获取MUD文件的设备可以执行的全部操作。
可以理解的是，上述实施例中，MUD控制管理设备1100的通信接口1101，具体可以被用作MUD控制管理设备900中的收发单元901，实现MUD控制管理设备和其他设备(例如终端设备)之间的数据通信。同理，终端设备1200的通信接口1201，具体可以被用作终端设备1000中的收发单元1101，实现终端设备和其他设备(例如MUD控制管理设备)之间的数据通信。
此外，本申请实施例还提供了一种通信系统1500，参见图15所示。该通信系统1500包括MUD控制管理设备1501以及终端设备1502，其中，MDU控制管理设备1501具体可以是上述MDU控制管理设备900、MDU控制管理设备1100或MDU控制管理设备1300，终端设备1502具体可以是上述终端设备1000、终端设备1200或终端设备1400。或者，MDU控制管理设备1501也可以是图1所示网络中的MDU控制管理设备30，终端设备1502则可以是图1所示网络中的终端设备11、终端设备12、……、终端设备1N中的任意一个。
此外，本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得所述计算机执行以上方法100、方法200、方法300、方法400、方法500、方法600或方法700所示实施例中的所述获取MUD文件的方法。
此外，本申请实施例还提供了计算机程序产品，包括计算机程序或计算机可读指令，当所述计算机程序或所述计算机可读指令在计算机上运行时，使得计算机执行前述方法100、方法200、方法300、方法400、方法500、方法600或方法700所示实施例中的所述获取MUD文件的方法。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到上述实施例方法中的全部或部分步骤可借助软件加通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如只读存储器(英文：read-only memory，ROM)/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者诸如路由器等网络通信设备)执行本申请各个实施例或者实施例的某些部分所述的方法。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备及系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的设备及系统实施例仅仅是示意性的，其中作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述仅是本申请的优选实施方式，并非用于限定本申请的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (54)

1.一种获取制造商使用说明MUD文件的方法，由MUD控制管理设备实施，其特征在于，所述方法包括：
根据终端设备发送的证书，对第一MUD统一资源定位符URL进行合法性验证；
根据验证通过的所述第一MUD URL，获得第一MUD文件；
接收终端设备发送的第一消息，所述第一消息中携带第二MUD URL，所述第二MUD URL用于在所述终端设备发生更新时获取更新的第二MUD文件，所述第一MUD URL和所述第二MUD URL满足匹配规则；
根据所述第二MUD URL，获得所述第二MUD文件。
2.根据权利要求1所述的方法，其特征在于，所述第一消息中还携带所述第二MUD URL的数字签名，所述方法还包括：
根据所述数字签名对所述第二MUD URL进行验证。
3.根据权利要求2所述的方法，其特征在于，所述根据所述数字签名对所述第二MUDURL进行验证，包括：
基于所述终端设备对应的制造商证书中携带的公钥对所述数字签名进行验证。
4.根据权利要求1-3任一项所述的方法，其特征在于，所述第一消息中还携带所述第一MUD URL，所述方法还包括：
从所述第一消息中获取所述第一MUD URL；
验证所述第二MUD URL和所述第一MUD URL满足所述匹配规则。
5.根据权利要求1-3任一项所述的方法，其特征在于，所述第一消息中还携带所述证书，所述证书中携带所述第一MUD URL，所述方法还包括：
从所述第一消息中获取所述证书；
验证所述第二MUD URL和所述证书中携带的所述第一MUD URL满足所述匹配规则。
6.根据权利要求1-3任一项所述的方法，其特征在于，所述第一消息中还携带所述证书的URL，所述证书的URL用于指示所述证书在网络中的位置，所述方法还包括：
从所述第一消息中获取所述证书的URL；
基于所述证书的URL获取所述证书；
验证所述第二MUD URL和所述证书中携带的所述第一MUD URL满足所述匹配规则。
7.根据权利要求5或6所述的方法，其特征在于，所述第一消息中还携带所述第一MUDURL，所述方法还包括：
验证所述第一消息中携带的所述第一MUD URL和所述证书中携带的所述第一MUD URL相同。
8.根据权利要求1-7任一项所述的方法，其特征在于，所述方法还包括：
从所述证书中获取所述匹配规则；
或者，
从所述第一MUD文件中获取所述匹配规则。
9.根据权利要求1-8任一项所述的方法，其特征在于，所述匹配规则包括下述任意一种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。
10.一种获取制造商使用说明MUD文件的方法，由MUD控制管理设备实施，其特征在于，包括：
接收终端设备发送的第一消息，所述第一消息中携带第一MUD URL信息，所述第一MUDURL信息用于指示第一MUD URL的可变属性信息，所述第一MUD URL用于在所述终端设备发生更新时获取更新的第一MUD文件；
获取所述终端设备的第二MUD URL信息，所述第二MUD URL信息用于指示所述第一MUDURL的固定属性信息；
根据所述第一MUD URL信息和所述第二MUD URL信息，获得所述第一MUD URL；
根据所述第一MUD RUL，获得所述第一MUD文件。
11.根据权利要求10所述的方法，其特征在于，所述第一消息中还携带所述第一MUDURL信息的数字签名，所述方法还包括：
根据所述数字签名对所述第一MUD URL信息进行验证。
12.根据权利要求11所述的方法，其特征在于，所述数字签名为采用所述终端设备对应的制造商的私钥对所述第一MUD URL信息进行签名获得的；
所述根据所述数字签名对所述第一MUD URL信息进行验证，包括：
基于所述终端设备对应的制造商证书中携带的公钥对所述数字签名进行验证。
13.根据权利要求10-12任一项所述的方法，其特征在于，所述第一消息中包括所述第二MUD URL信息，所述获取所述终端设备的第二MUD URL信息，具体为：
从所述第一消息中获取所述第二MUD URL信息。
14.根据权利要求10-12任一项所述的方法，其特征在于，所述第一消息中包括所述终端设备的证书，所述获取所述终端设备的第二MUD URL信息，包括：
从所述第一消息中获取所述证书；
从所述证书中获取所述第二MUD URL信息。
15.根据权利要求10-12任一项所述的方法，其特征在于，所述第一消息中包括所述终端设备的证书的URL，所述证书的URL用于指示所述证书在网络中的位置，包括：
从所述第一消息中获取所述证书的URL；
基于所述证书的URL获取所述证书；
从所述证书中获取所述第二MUD URL信息。
16.根据权利要求14或15所述的方法，其特征在于，所述第一消息中还包括所述第二MUD URL信息，所述方法还包括：
验证所述第一消息中携带的所述第二MUD URL信息和所述证书中携带的所述第二MUDURL信息相同。
17.根据权利要求10-16任一项所述的方法，其特征在于，在接收终端设备发送的第一消息之前，所述方法还包括：
接收所述终端设备发送的证书；
根据所述证书，获取第二MUD URL，所述第二MUD URL为所述终端设备出厂时配置的MUDURL；
根据所述第二MUD URL，获取第二MUD文件。
18.根据权利要求17所述的方法，其特征在于，所述证书包括所述第二MUD URL信息，所述第二MUD URL信息用于指示所述第二MUD URL的固定属性信息；
所述方法还包括：
接收所述终端设备发送的第三MUD URL信息，所述第三MUD URL信息用于指示第二MUDURL的可变属性信息；
所述根据所述证书，获取第二MUD URL，包括：
根据所述第三MUD URL信息和所述证书携带的所述第二MUD URL信息，获得所述第二MUD URL。
19.根据权利要求17所述的方法，其特征在于，所述证书携带完整的所述第二MUD URL，所述根据所述证书，获取第二MUD URL，包括：
从所述证书中获取所述第二MUD URL。
20.根据权利要求19所述的方法，其特征在于，所述方法还包括：
根据所述第二MUD文件，获得所述第二MUD URL信息。
21.根据权利要求10-20任一项所述的方法，其特征在于，所述根据所述第一MUD URL信息和所述第二MUD URL信息，获得所述第一MUD URL，包括：
基于预定规则，根据所述第一MUD URL信息和所述第二MUD URL信息，获得所述第一MUDURL。
22.根据权利要求21所述的方法，其特征在于，所述预定规则包括：文字描述的合成规则或正则表达式描述的合成规则。
23.根据权利要求21或22所述的方法，其特征在于，所述方法还包括：
从所述第一消息中获取所述预定规则。
24.根据权利要求10-23任一项所述的方法，其特征在于，所述固定属性信息用于指示所述第一MUD URL和所述第二MUD URL中相同的部分，所述固定属性信息包括所述终端设备的第一固有信息和MUD URL中所述第一固有信息的组成规则。
25.根据权利要求10-24任一项所述的方法，其特征在于，所述可变属性信息用于指示所述第一MUD URL中与所述第二MUD URL存在差异的部分，所述可变属性信息包括所述终端设备的第二可变信息和MUD URL中所述第二可变信息的组成规则。
26.一种获取制造商使用说明MUD文件的方法，由终端设备实施，其特征在于，所述方法包括：
向MUD控制管理设备发送证书，所述证书被所述MUD控制管理设备用于对第一MUD统一资源定位符URL进行合法性验证，并根据验证通过的所述第一MUD URL，获得第一MUD文件；
所述终端设备更新时，获取第二MUD URL，所述第二MUD URL被所述MUD控制管理设备用于获取更新的第二MUD文件，所述第一MUD URL和所述第二MUD URL满足匹配规则；
向所述MUD控制管理设备发送第一消息，所述第一消息中携带所述第二MUD URL。
27.根据权利要求26所述的方法，其特征在于，
所述第一消息中还携带所述第二MUD URL的数字签名。
28.根据权利要求27所述的方法，其特征在于，
所述数字签名为所述终端设备对应的制造商采用所述制造商的私钥对所述第二MUDURL进行数字签名获得的；其中，所述制造商的制造商证书中携带的公钥和所述制造商的私钥是配对的，制造商证书中携带的所述公钥用于对所述数字签名进行验证。
29.根据权利要求26-28任一项所述的方法，其特征在于，所述方法还包括：
验证所述第二MUD URL和所述第一MUD URL满足所述匹配规则。
30.根据权利要求26-29任一项所述的方法，其特征在于，所述第一消息中还携带所述第一MUD URL，所述第一MUD URL被所述MUD控制管理设备用于验证该第一MUD URL和所述第二MUD URL满足所述匹配规则。
31.根据权利要求26-29任一项所述的方法，其特征在于，所述第一消息中还携带所述证书，所述证书中携带所述第一MUD URL，所述证书中的所述第一MUD URL被所述MUD控制管理设备用于验证该第一MUD URL和所述第二MUD URL满足所述匹配规则。
32.根据权利要求26-29任一项所述的方法，其特征在于，所述第一消息中还携带证书的URL，所述证书的URL被所述MUD控制管理设备用于获取所述证书，所述证书中携带所述第一MUD URL，所述证书中的所述第一MUD URL被所述MUD控制管理设备用于验证该第一MUDURL和所述第二MUD URL满足所述匹配规则。
33.根据权利要求31或32所述的方法，其特征在于，所述第一消息中还携带所述第一MUD URL，所述第一MUD URL被所述MUD控制管理设备用于验证所述第一消息中携带的所述第一MUD URL和所述证书中携带的所述第一MUD URL相同。
34.根据权利要求26-33任一项所述的方法，其特征在于，所述匹配规则携带在所述证书中，或者，所述匹配规则携带在所述第一MUD文件中。
35.根据权利要求26-34任一项所述的方法，其特征在于，所述匹配规则包括下述任意一种：URL前缀匹配规则、URL后缀匹配规则、URL关键信息匹配规则或URL模式匹配规则。
36.一种获取制造商使用说明MUD文件的方法，由终端设备实施，其特征在于，所述方法包括：
获取第一MUD URL信息，所述第一MUD URL信息用于指示第一MUD URL的可变属性信息，所述第一MUD URL被MUD控制管理设备用于在所述终端设备发生更新时获取更新的第一MUD文件；
向所述MUD控制管理设备发送第一消息，所述第一消息中携带所述第一MUD URL信息，以便所述MUD控制管理设备基于所述第一MUD URL信息和第二MUD URL信息确定所述第一MUD统一资源定位符URL，并利用所述第一MUD URL获取所述第一MUD文件，其中，所述第二MUD URL信息用于指示所述第一MUD URL的固定属性信息。
37.根据权利要求36所述的方法，其特征在于，所述第一消息中还携带所述第一MUDURL信息的数字签名。
38.根据权利要求37所述的方法，其特征在于，所述数字签名为所述终端设备对应的制造商采用所述制造商的私钥对所述第一MUD URL信息进行数字签名获得的；其中，所述制造商的制造商证书中携带的公钥和所述制造商的私钥是配对的，所述制造商证书中携带的所述公钥用于对所述数字签名进行验证。
39.根据权利要求36-38任一项所述的方法，其特征在于，所述第一消息还携带所述第二MUD URL信息。
40.根据权利要求36-38任一项所述的方法，其特征在于，所述第一消息还携带所述终端设备的证书，所述证书中携带所述第二MUD URL信息。
41.根据权利要求36-38任一项所述的方法，其特征在于，所述第一消息还携带所述终端设备的证书的URL，所述证书的URL用于指示所述证书在网络中的位置，所述证书中携带所述第二MUD URL信息。
42.根据权利要求40或41所述的方法，其特征在于，所述第一消息还携带所述第二MUDURL信息，所述第二MUD URL信息被所述MUD控制管理设备用于验证该第二MUD URL信息和所述证书中携带的所述第二MUD URL信息相同。
43.根据权利要求36-42任一项所述的方法，其特征在于，在所述向MUD控制管理设备发送第一消息之前，所述方法还包括：
向所述MUD控制管理设备发送证书，以便所述MUD控制管理设备根据所述证书获得第二MUD URL，并基于所述第二MUD URL获取第二MUD文件，所述第二MUD URL为所述终端设备出厂时配置的MUD URL。
44.根据权利要求43所述的方法，其特征在于，所述证书中包括所述第二MUD URL信息，所述第二MUD URL信息用于指示所述第二MUD URL的固定属性信息，所述方法还包括：
向所述MUD控制管理设备发送第三MUD URL信息，所述第三MUD URL信息和所述证书中携带的所述第二MUD URL信息被所述MUD控制管理设备用于获得所述第二MUD URL，所述第三MUD URL信息用于指示第二MUD URL的可变属性信息。
45.根据权利要求43所述的方法，其特征在于，所述证书中携带完整的所述第二MUDURL，所述证书被所述MUD控制管理设备用于获得该完整的所述第二MUD URL。
46.根据权利要求45所述的方法，其特征在于，所述第二MUD文件中携带所述第二MUDURL信息。
47.根据权利要求36-46任一项所述的方法，其特征在于，所述第一消息还携带预定规则，所述预定规则被所述MUD控制管理设备用于确定所述第一MUD URL。
48.根据权利要求36-47任一项所述的方法，其特征在于，所述固定属性信息用于指示所述第一MUD URL和所述第二MUD URL中相同的部分，所述固定属性信息包括所述终端设备的第一固有信息和MUD URL中所述第一固有信息的组成规则。
49.根据权利要求36-48任一项所述的方法，其特征在于，所述可变属性信息用于指示所述第一MUD URL中与所述第二MUD URL存在差异的部分，所述可变属性信息包括所述终端设备的第二可变信息和MUD URL中所述第二可变信息的组成规则。
50.一种制造商使用说明MUD控制管理设备，其特征在于，包括：
存储器，该存储器包括计算机可读指令；
与该存储器通信的处理器，所述处理器用于执行所述计算机可读指令，使得所述MUD控制管理设备用于执行权利要求1-9任一项所述的方法或10-25任一项所述的方法。
51.一种终端设备，其特征在于，包括：
存储器，该存储器包括计算机可读指令；
与该存储器通信的处理器，所述处理器用于执行所述计算机可读指令，使得所述终端设备用于执行权利要求26-35任一项所述的方法或36-49任一项所述的方法。
52.一种计算机可读存储介质，包括计算机可读指令，其特征在于，当所述计算机可读指令在计算机上运行时，使得所述计算机实施权利要求1-49任一项所述的方法。
53.一种计算机程序产品，其特征在于，包括计算机程序或计算机可读指令，当所述计算机程序或所述计算机可读指令在计算机上运行时，用于实施权利要求1-49任一项所述的方法。
54.一种通信系统，包括权利要求50所述的MUD控制管理设备和权利要求51所述的终端设备。
CN202010151568.9A 2020-03-06 2020-03-06 一种获取制造商使用说明mud文件的方法和设备 Pending CN113364824A (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN202010151568.9A CN113364824A (zh) 2020-03-06 2020-03-06 一种获取制造商使用说明mud文件的方法和设备
PCT/CN2021/078976 WO2021175273A1 (zh) 2020-03-06 2021-03-04 一种获取制造商使用说明mud文件的方法和设备
EP21765524.0A EP4106292A4 (en) 2020-03-06 2021-03-04 LIQUID PHASE AUTO-THERMAL EVAPORATION SYNTHESIS PROCESS FOR CATHODE MATERIAL FOR BATTERY
JP2022553167A JP2023516204A (ja) 2020-03-06 2021-03-04 製造業者使用説明ｍｕｄファイル取得方法およびデバイス
CA3170282A CA3170282A1 (en) 2020-03-06 2021-03-04 Manufacturer usage description mud file obtaining method and device
US17/903,957 US20220417039A1 (en) 2020-03-06 2022-09-06 Manufacturer usage description mud file obtaining method and device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010151568.9A CN113364824A (zh) 2020-03-06 2020-03-06 一种获取制造商使用说明mud文件的方法和设备

Publications (1)

Publication Number Publication Date
CN113364824A true CN113364824A (zh) 2021-09-07

Family

ID=77524033

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010151568.9A Pending CN113364824A (zh) 2020-03-06 2020-03-06 一种获取制造商使用说明mud文件的方法和设备

Country Status (6)

Country Link
US (1) US20220417039A1 (zh)
EP (1) EP4106292A4 (zh)
JP (1) JP2023516204A (zh)
CN (1) CN113364824A (zh)
CA (1) CA3170282A1 (zh)
WO (1) WO2021175273A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4270229A1 (en) * 2022-04-29 2023-11-01 British Telecommunications public limited company Device descriptor file management with predictive capability

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110770695B (zh) * 2017-06-16 2024-01-30 密码研究公司 物联网(iot)设备管理
US10595320B2 (en) * 2017-10-06 2020-03-17 Cisco Technology, Inc. Delegating policy through manufacturer usage descriptions
US11025628B2 (en) * 2018-04-17 2021-06-01 Cisco Technology, Inc. Secure modification of manufacturer usage description files based on device applications

Also Published As

Publication number Publication date
WO2021175273A1 (zh) 2021-09-10
EP4106292A4 (en) 2023-08-09
JP2023516204A (ja) 2023-04-18
US20220417039A1 (en) 2022-12-29
EP4106292A1 (en) 2022-12-21
CA3170282A1 (en) 2021-09-10

Similar Documents

Publication Publication Date Title
US9774452B2 (en) System and method for enabling unconfigured devices to join an autonomic network in a secure manner
EP3850510B1 (en) Infrastructure device enrolment
CN109729080B (zh) 基于区块链域名系统的访问攻击防护方法和系统
US20150271679A1 (en) System and method of verifying integrity of software
US20200285457A1 (en) Asset update service
US11184336B2 (en) Public key pinning for private networks
US9438583B2 (en) Certificate generation method, certificate generation apparatus, information processing apparatus, and communication device
US11848931B2 (en) Delegated authentication to certificate authorities
US9178869B2 (en) Locating network resources for an entity based on its digital certificate
CN113784354B (zh) 基于网关的请求转换方法和装置
CN110771087B (zh) 私钥更新
CN113364824A (zh) 一种获取制造商使用说明mud文件的方法和设备
CN115150109A (zh) 认证方法、装置及相关设备
WO2023078106A1 (zh) 加密流量的访问控制方法、装置及系统
WO2006092642A1 (en) Access rights control in a device management system
CN111245600B (zh) 基于区块链技术的鉴权认证方法和系统
US20220360970A1 (en) Part 1 of remote sim provisioning of a subscriber entity
CN114499870A (zh) 使用区块链网络更新网络设备中的公钥证书
KR101456033B1 (ko) 이동통신 단말기와 프로비저닝 서버 사이에서 프로비저닝데이터를 송수신하는 방법, 이를 위한 이동통신 단말기 및프로비저닝 서버
Wytrębowicz Key-server adaptation to IoT systems
Viquez Zamora IoT Application Provisioning Service
EP4324158A1 (en) Interim root-of-trust enrolment and device-bound public key registration
CN113037782A (zh) 证书获取方法和系统、电子设备、计算机可读存储介质
Ye Authenticated software update
JP2019179519A (ja) ネットワークシステムおよびネットワークシステムの認証方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination