CN114640490A - 设备账号使用安全、监控与管理终端化的方法及架构 - Google Patents

Abstract

一种设备账号使用安全、监控与管理终端化的方法及架构，应用去中心化网络连接与管理复数设备。步骤如下：于一去中心化网络申请一去中心化身份，与一数字身份绑定，并将对应产生的一绑定信息储存于该去中心化网络；授权该数字身份允许连接的一该设备及其可连接的一特定账号，并将对应产生的一授权信息储存于该去中心化网络；于必要时，将该数份身份的一认证信息更新后储存于该去中心化网络；通过一终端装置于该去中心化网络取出该认证信息，用以于连接前述设备时进行认证。本发明能够提供更高的安全性，同时亦增加了可用性及方便性。

Description

设备账号使用安全、监控与管理终端化的方法及架构

技术领域

本发明与网络已连接设备的连接与管理有关；特别是指一种利用去中心化网络储存与读取认证、管理及使用信息的方法及架构，能确保使用者与设备认证动作所需的认证信息及设备使用过程的使用安全，借以确保设备的使用安全。

背景技术

身处信息时代，黑客攻击的消息时有所闻，仅管手法日新月异，但主要的攻击手段仍是通过账号密码的窃取来达成入侵。由于目前大部份企业或机关内部重要设备的访问是通过终端设备以远程联机的方式进行，这样的运作架构容易让黑客有可趁之机。例如2020年5月，包括中国台湾中油在内的多家企业即遭受勒索软件攻击，而根据调查局调查，黑客是通过企业员工的个人计算机及数据库服务器窃取账号权限，进而窜改网域控制服务器的组策略，借此在员工的计算机内植入勒索软件。在这些案例中，窃取账号密码是黑客发动攻击的第一步，因此，如果企业的内部网络能够对认证信息(如：认证用密码)提供较佳的保护，其实就能避免后续的黑客攻击手段发生。

值得注意的是，计算机并非黑客唯一的入侵目标。随着近年来物联网(Internetof things，IOT)的蓬勃发展，已经有数量极其庞大的智慧家电连接上网，提供了各种意想不到的入侵途径，路由器、车用计算机，甚至是智能咖啡机都可能成为黑客的敲门砖。例如知名的殭尸病毒Mirai，就是专门攻击采用Linux韧体的物联网装置，将这些物联网装置拿来当成进一步攻击网络内其他装置的跳板。

业界往往使用自家的专用系统或采人工操作来管理物联网的设备密码，但仍有大量物联网装置的设备密码完全不受保护，或保护强度严重不足；事实上，即使采用专用系统，显然也无法提供令人满意的保护效果。无论是物联网或企业内部网络，对设备密码或登入认证凭证的储存、读取及认证动作，采用的多是中心化或集中化的架构或系统，也通常是通过这样的中心化或集中化架构或系统来储存、读取物联网或企业内部网络各种设备的操作轨迹。至于在中心化或集中化架构或系统上的身份认证作业，目前主要还是通过账号密码进行。层出不穷的黑客攻击事件证明了这样的运作方式及架构并不安全，显有相当的改进空间。

发明内容

本发明的目的在于提供一种应用去中心化网络连接与管理复数设备的方法及架构，相较习用做法，可提供更高的安全性、可用性及方便性。

为达成上述目的，本发明提供一种设备账号使用安全、监控与管理终端化的方法，应用一去中心化网络于一设备网络中连接与管理一设备，其中该设备网络具有包括该设备在内的复数设备。该方法包括以下步骤：于该去中心化网络申请一去中心化身份(Decentralized ID，DID)；将该去中心化身份与允许连接该设备的一数字身份绑定，并将对应产生的一绑定信息储存于该去中心化网络，其中该数字身份具有一认证信息；授权该数字身份允许连接的该设备及其可连接的一特定账号，并将对应产生的一授权信息储存于该去中心化网络；当一特定条件满足时，以一特定随机数规则就该设备及该特定账号更新对应至该数字身份的该认证信息，并将更新后的该认证信息储存于该去中心化网络；以及通过一终端装置于该去中心化网络取出更新后的该认证信息，并使用该认证信息于连接该设备时进行认证，其中该终端装置具有与该去中心化身份绑定的一身份信息，该身份信息系该终端装置于完成一身份认证动作后而产生。

在一实施例中，更包括有以下步骤：在该终端装置完成该身份认证动作而产生该身份信息后，于该去中心化网络取出连接该设备的该授权信息，再依该授权信息使用该认证信息于连接该设备时进行认证。

在一实施例中，更包括有以下步骤：于使用该认证信息连接该设备的过程中截取一历程纪录，并将该历程信息储存于该去中心化网络。

在一实施例中，该历程纪录包括有一输入信息。

在一实施例中，该历程纪录包括有一输出信息。

在一实施例中，在该历程信息储存于该去中心化网络后，更包括有以下步骤：于另一该数字身份完成身份认证后，自该去中心化网络读取该历程纪录，以检视该设备的连接过程。

在一实施例中，该特定条件包括当一特定时间周期过去时。

在一实施例中，该特定条件包括当该设备使用该特定账号连接后。

在一实施例中，该数字身份由一身份管理系统管理。

另外，本发明亦提供一种网络连接与管理的架构，包括有一设备网络、一终端装置，以及一去中心化网络。该设备网络包括有复数设备。该终端装置具有一身份信息，并载有一管理程序，其中该身份信息系该终端装置通过完成一身份认证动作而产生。该去中心化网络提供有一去中心化身份(Decentralized ID，DID)，其中该去中心化身份系与允许连接该设备的一数字身份绑定，其中该数字身份具有一认证信息；另外，该去中心化身份亦与该终端装置的该身份信息绑定。该终端装置的该管理程序于一特定条件满足时，依一特定随机数规则更新允许连接该设备的该数字身份所具有的该认证信息，并将更新后的该认证信息储存于该去中心化网络。当该终端装置欲连接该设备网络的该设备时，该管理程序于该去中心化网络取出更新后的该认证信息，以使用该认证信息于连接该设备时进行认证。

在一实施例中，该终端装置的该管理程序于进行连接该设备网络的该设备的过程中，会截取该终端装置的一历程纪录，并将该历程纪录储存于该去中心化网络。

在一实施例中，该历程纪录包括有一输入信息。

在一实施例中，该历程纪录包括有一输出信息。

在一实施例中，该终端装置的该管理程序能够自该去中心化网络读取该历程纪录，以供检视该终端装置与该设备网络的该设备的连接过程。

在一实施例中，该设备网络包括一物联网(Internet of things，IOT)。

在一实施例中，该设备网络包括一企业内部网络。

在一实施例中，更包括有一身份管理系统，具有并管理该数字身份。

在一实施例中，该身份管理系统所具有的该数字身份的该认证信息包括一登入认证凭证。

在一实施例中，该身份管理系统所具有的该数字身份的该认证信息包括一密码。

在一实施例中，该特定条件包括当一特定时间周期过去时。

在一实施例中，该特定条件包括当该设备使用一特定账号连接后。

本发明的效果在于，通过使用去中心化网络储存、读取认证信息，可避免中心化或集中化的架构或系统易遭黑客攻击突破的缺点，且经随机数处理过后的认证信息，以及终端装置上与去中心化身份绑定的身份信息，皆大幅提高了入侵的困难度。因此，相较于习用的作法，本发明能够提供更高的安全性，同时亦增加了可用性及方便性。

附图说明

图1为本发明一实施例的网络连接与管理架构的示意图；

图2为本发明一实施例的应用去中心化网络连接与管理设备网络其中一设备的方法流程图；

图3为一示意图，说明在图2的第一步骤中，终端装置与去中心化网络的间的互动关系；

图4为一示意图，说明在图2的第二步骤中，终端装置、身份管理系统，以及设备网络的间的互动关系；

图5为一示意图，说明在图2的第三步骤中，终端装置、去中心化网络，以及设备网络的间的互动关系；

图6为一示意图，说明在图2的第四步骤中，终端装置、去中心化网络，以及设备网络的间的互动关系；

图7为一示意图，说明在图2的第五步骤中，终端装置与去中心化网络的间的互动关系；

图8为一示意图，说明在图2的第六步骤中，终端装置、去中心化网络，以及设备网络的间的互动关系；以及

图9为一示意图，说明在图2的第七步骤中，终端装置与去中心化网络的间的互动关系。

具体实施方式

为能更清楚地说明本发明，兹举较佳实施例并配合附图详细说明如后。图1所示为本发明一实施例的网络使用架构1，包括有一去中心化网络10、一设备网络20、一终端装置30，以及一身份管理系统40。

其中，该设备网络20包括有复数个设备(图未示)。该身份管理系统40负责管理允许使用该设备网络20的其中一该设备的至少一数字身份。详言之，各该数字身份系对应至真实存在的使用者，而使用者必须通过认证，确认身份无误，才能取得其所属的该数字身份，进而得以通过该数字身份使用该设备网络20上的该设备。为了确保认证的可信度，各该数字身份分别具有一认证信息，用户必须提供正确的信息，能够与该认证信息吻合，才能通过并完成认证。此处所述的认证信息可以是登入认证凭证，或者是密码，但此些示例并非本发明的限制所在，端视该设备网络20上该些设备的设计而定。

更明确来说，凡是一个网络内部连接有多个设备、且要求使用者进行登录以确认其身份是否许可使用该网络其中任一设备者，皆可视为是本发明所指的设备网络20。因此，该设备网络20可以是一物联网，或一企业内部网络。在该设备网络20为物联网的实施例中，其所包括的该些设备可以是具连网功能的贩卖机、自动调温器、电灯，或各种智能家电等等(实际的设备类型于本发明中并不指定，亦非本发明的限制所在)；而在该设备网络20是企业内部网络的实施例中，其所包括的该些设备可能是企业员工的个人计算机或公用的邮件服务器等等，而前述的该身份管理系统40可以是

AD、LDAP，或具有身份或其中一该设备的授权的软件。同理，该企业内部网络内的该些设备的实际类型不是本发明的限制所在，此处亦不特别指定。

该终端装置30载有一管理程序32，而持有该终端装置30的用户能够通过该管理程序32而与该设备网络20的该设备直接连接或通过终端装置30安装设备连接程序进行连接，并可加以管理。实务上，该终端装置30可以是运作

或

的各种类型的装置，并不限定为行动装置或个人计算机，甚至可以是目前尚未发明的操作系统或设备。另外，凡是原则上具备去中心化架构的网络，都可以是本发明所指称的该去中心化网络10，且应至少提供以下该的各种去中心化功能：受申请而提供去中心化身份(Decentralized ID，DID)、进行去中心化计算(例如开放原始码分布式账本IOTA)，以及去中心化储存(例如星际文件系统IFPS)。实务上，该去中心化网络10可以是应用区块炼(Block Chain)、有向无环图(DAG)、雷电网络(Raiden Network)、闪电网络(Lightning Network)、前述的开放原始码分布式账本及星际文件系统等去中心化网络的一部份或组合，或甚至可以是目前尚未发明的去中心化网络架构。需说明的是，在实际应用的情境里，前述的身份管理系统40也可以与该管理程序32整合，或者可以将该身份管理系统40负责管理该些数字身份的相关工作视为该管理程序32的其中一项功能。

在本发明所揭露的该网络使用架构1中，该终端装置30的该管理程序32会向该去中心化网络10申请一去中心化身份(Decentralized ID，DID)，而该去中心化身份会与该管理程序32所管理的其中一该数字身份绑定，使得该去中心化身份于该管理程序32内视为等同于该被绑定的该数位身份。通过此处该的绑定工作，会产生一绑定信息，且该绑定信息可储存于该去中心化网络10，待日后使用。该管理程序32可以使用例如Windows AD等程序的功能完成前述的绑定工作，或者亦可以采用E-mail等可确认使用者身份的其他途径为的。该数字身份所允许连接的所设备及其可连接的一特定账号将得到授权，借此产生一授权信息，同样储存于该去中心化网络10。

除此之外，该去中心化身份也会跟该终端装置30的一身份信息绑定。此处所述的身份信息，是该终端装置30通过一身份认证动作而产生的，对应至持有该终端装置30的用户的真实身份；换言之，持有该终端装置30的用户通过完成该身份认证动作并产生该身份信息，使得自己的身份在该终端装置30上得到了确认。该身份认证动作于实务上可以是由用户输入账号密码而完成，亦可使用其他的认证信息或生物辨识方法为之，若身份认证强度不足，该管理程序32还可通过一次性通行码(one-time password，OTP)补强。

一旦该终端装置30的该身份信息与该去中心化身份完成绑定，日后该终端装置30在完成该身份认证动作后，其所具有的该管理程序32便能很容易地验证身份，或者向该去中心化网络10进行身份认证，确认该终端装置30的用户身份无误。

如前所述，该终端装置30的该管理程序32负责管理允许与该设备网络20上该设备连接的至少一数字身份，且各该数字身份皆分别具有进行认证所需的一该认证信息。为进一步提高认证的安全性，在一特定条件满足的情况下，该终端装置30的该管理程序32会依一特定随机数规则更新该设备网络20上设备一或复数个数字身份所具有的该认证信息，并将更新后的该认证信息储存于该去中心化网络10。此处所述的特定条件，实务上有可能是在一特定时间周期过去后，或者是每当该设备以该特定账号连接后，即视为条件满足。待日后需要进行该认证动作时，该终端装置30的该管理程序32会从该去中心化网络10取出更新后的该认证信息，对指定联机的该设备网络20的该设备进行联机，并可代替用户输入该认证信息，借此完成认证并登入该设备网络20上的该设备。

为供日后参照并保留纪录，在进行前述联机该设备网络20上该设备的过程中，该终端装置30的该管理程序32可以截取一历程纪绿，并将该历程纪录储存于该去中心化网络10。其中，该历程纪录包括有该终端装置30的一输入数据，包括但不限于键盘输入、剪贴簿内容，以及语音输入等；另外，该历程纪录还可以进一步包括该终端装置30的一输出数据，包括但不限于屏幕的画面截图、剪贴簿内容，以及语音输出等。当然，于实务上，该历程纪录亦可只包括有该输入数据及该输出数据的其中一者。当有需要调阅该历程纪录时，该终端装置30的该管理程序32(或者其它终端装置30的该管理程序32通过身份认证的另一该数字身份)可以由该去中心化网络10将该历程纪录取出，提供给用户检视或下载，让使用者得以知道该设备的连接过程。

再请参照图2，此处以具有多个步骤的方法来说明本发明的内容。本发明所揭露设备账号使用安全、监控与管理终端化的方法，应用该去中心化网络10连接与管理该设备网络20的该设备的方法包括有以下步骤：

一、于该去中心化网络10申请该去中心化身份。如图3所示，于此步骤中，该终端装置30的该管理程序32向该去中心化网络10提出申请，而该去中心化网络10响应申请，提供该去中心化身份。

二、将该去中心化身份与身份管理系统40所管理的其中一该数字身份绑定。如图4所示，于此步骤中，该终端装置30的该管理程序32将该去中心化身份与其中一该数字身份绑定。此时对应产生的该绑定信息可储存于该去中心化网络10。

三、通过该终端装置30的该管理程序32于该去中心化网络10取出该认证信息，并绑定该终端装置30具有的该身份信息与该去中心化身份绑定；此时该数字身份允许连接的该设备及其可连接的一特定账号将得到授权，并将对应产生的一授权信息储存于该去中心化网络10。如第5图所示，于此步骤中，该终端装置30的该管理程序32由该去中心化网络10取出该认证信息，于该设备网络20进行该设备与该特定账号的授权，再将该授权信息传送至该去中心化网络10储存。

四、自该去中心化网络10取出该授权信息，并使用该认证信息于连接该设备时进行认证。如图6所示，该终端装置30的该管理程序32由该去中心化网络10取出该授权信息，并使用该认证信息于该设备网络20的该设备进行认证动作。

五、该终端装置30的该管理程序32于该特定时间周期过去后，或于每次该设备使用该特定账号连接后，以一特定随机数规则产生一新的认证信息(如密码)后，取代该设备进行该特定账号的认证所使用的该认证信息，并将更新后的此一该认证信息储存于该去中心化网络10。如图7所示，该终端装置30的该管理程序32使用该特定随机数规则变更该认证信息之后，便将该认证信息储存于该去中心化网络10。

六、该终端装置30的该管理程序32自该去中心化网络10取出授权连接该设备网络20上连接该设备所需的该认证信息，并使用该认证信息于连接该设备时进行认证。在此步骤中，该管理程序32截取该终端装置30于该设备网络20上连接该设备联机过程中的该历程纪录，并将该历程纪录储存于该去中心化网络10。如图8所示，于此步骤中，该终端装置30的该管理程序32会在截取该历程纪录后，将其储存于该去中心化网络10。在这之后，进行以下该的最后一个步骤。

七、自该去中心化网络10取出该终端装置30的该历程纪录以供检视或下载。此一步骤于实务上亦可由已通过身份认证的另一该数位身份为之。如图9所示，于此步骤中，该终端装置30的该管理程序32于该去中心化网络10取出先前储存的该历程纪录，用户能够加以检视，或甚至储存于他处。

需特别说明的是，在进行前述第三步骤之前，该终端装置30应已完成该身份认证动作而产生该身份信息，如此才能在前述第三步骤中绑定该身份信息与该去中心化身份。然而，此处所述的身份认证动作不必然要紧邻着前述第二步骤之后才发生，该终端装置30也可以早在几个步骤之前(甚至是在前述第一步骤之前)即已完成该身份认证动作；反过来说，该终端装置30也可以在即将执行前述第三步骤的当下，才要求使用者进行该身份认证动作。无论是前述的何种状况，皆不影响该身份信息与该去中心化身份的绑定作业。

可以理解的是，本发明中该终端装置30的该管理程序32执行的所有动作，当然也可以由一个以上的系统或软件分担，并不必然要由单一个程序负责全部工作。另外，该管理程序32除了如本发明该运作于单一个装置(即该终端装置30)，在其他实施例中也可以分散于复数个装置或设备，通过彼此间的协同运作达成前述各项功能。除此之外，尽管该管理程序32在本发明中为该终端装置30所拥有，逻辑上该管理程序32其实也可以安装在该终端装置30外部，或者是一个独立运作的系统，或者是以硬件或韧体实施的其他做法。

再者，本发明该管理程序32留存的该历程纪录，其输入或输出数据的态样当然不以先前所示例者为限；目前已存在(但本发明中未明确提及)或尚不存在的输入与输出装置留下的操作轨迹，皆应视为属于该输入数据或该输出数据的涵盖范围。

由以上本发明的说明可知，本发明使用该去中心化网络10储存、读取该认证信息，可避免中心化或集中化的架构易遭黑客攻击突破的缺点；除此之外，该设备网络20上连接该设备需要的该认证信息更经过随机数处理，该终端装置30的该身份信息也与该去中心化身份进行绑定，再提高了入侵的困难度。因此，本发明对于安全性、可用性及方便性皆有显着的改进。

上述实施例仅为例示性说明本发明的技术及其功效，而非用于限制本发明。任何熟于此项技术人士均可在不违背本发明的技术原理及精神的情况下，对上述实施例进行修改及变化，因此本发明的权利保护范围应如该的申请专利范围所列。

Claims (21)

1.一种设备账号使用安全、监控与管理终端化的方法，应用一去中心化网络于一设备网络连接与管理其中一设备，其特征在于，该设备网络具有包括该设备在内的复数设备；该方法包括以下步骤：

于该去中心化网络申请一去中心化身份；

将该去中心化身份与允许连接该设备的一数字身份绑定，并将对应产生的一绑定信息储存于该去中心化网络，其中该数字身份具有一认证信息；

授权该数字身份允许连接的该设备及其可连接的一特定账号，并将对应产生的一授权信息储存于该去中心化网络；

当一特定条件满足时，以一特定随机数规则就该设备及该特定账号更新对应至该数字身份的该认证信息，并将更新后的该认证信息储存于该去中心化网络；

通过一终端装置于该去中心化网络取出更新后的该认证信息，并使用该认证信息于连接该设备时进行认证，其中该终端装置具有与该去中心化身份绑定的一身份信息，该身份信息系该终端装置于完成一身份认证动作后而产生。

2.如权利要求1所述的方法，其特征在于，在产生该身分信息后更包括有以下步骤：在该终端装置完成该身份认证动作而产生该身份信息后，于该去中心化网络取出连接该设备的该授权信息，再依该授权信息使用该认证信息于连接该设备时进行认证。

3.如权利要求1所述的方法，其特征在于，在产生该身分信息后更包括有以下步骤：于使用该认证信息连接该设备的过程中截取一历程纪录，并将该历程信息储存于该去中心化网络。

4.如权利要求3所述的方法，其特征在于，该历程纪录包括有一输入信息。

5.如权利要求3所述的方法，其特征在于，该历程纪录包括有一输出信息。

6.如权利要求3所述的方法，其特征在于，在该历程信息储存于该去中心化网络后更包括有以下步骤：于另一该数字身份完成身份认证后，自该去中心化网络读取该历程纪录，以检视该设备的连接过程。

7.如权利要求1所述的方法，其特征在于，该特定条件包括当一特定时间周期过去时。

8.如权利要求1所述的方法，其特征在于，该特定条件包括当该设备使用该特定账号连接后。

9.如权利要求1所述的方法，其特征在于，该数字身份由一身份管理系统管理。

10.一种网络连接与管理的架构，其特征在于，包括有：

一设备网络，包括有复数设备；

一终端装置，具有一身份信息，并载有一管理程序，其中该身份信息系该终端装置通过完成一身份认证动作而产生；以及

一去中心化网络提供有一去中心化身份，其中该去中心化身份系与允许连接该设备的一数字身份绑定，其中该数字身份具有一认证信息；另外，该去中心化身份亦与该终端装置的该身份信息绑定；

其中，该终端装置的该管理程序于一特定条件满足时，依一特定随机数规则更新允许连接该设备的该数字身份所具有的该认证信息，并将更新后的该认证信息储存于该去中心化网络；当该终端装置欲连接该设备网络的该设备时，该管理程序于该去中心化网络取出更新后的该认证信息，以使用该认证信息于连接该设备时进行认证。

11.如权利要求10所述的网络连接与管理的架构，其特征在于，该终端装置的该管理程序于进行连接该设备网络的该设备的过程中，会截取该终端装置的一历程纪录，并将该历程纪录储存于该去中心化网络。

12.如权利要求11所述的网络连接与管理的架构，其特征在于，该历程纪录包括有一输入信息。

13.如权利要求11所述的网络连接与管理的架构，其特征在于，该历程纪录包括有一输出信息。

14.如权利要求11所述的网络连接与管理的架构，其特征在于，该终端装置的该管理程序能够自该去中心化网络读取该历程纪录，以供检视该终端装置与该设备网络的该设备的连接过程。

15.如权利要求10所述的网络连接与管理的架构，其特征在于，该设备网络包括一物联网。

16.如权利要求10所述的网络连接与管理的架构，其特征在于，该设备网络包括一企业内部网络。

17.如权利要求10所述的网络连接与管理的架构，其特征在于，更包括有一身份管理系统，具有并管理该数字身份。

18.如权利要求17所述的网络连接与管理的架构，其特征在于，该身份管理系统所具有的该数字身份的该认证信息包括一登入认证凭证。

19.如权利要求17所述的网络连接与管理的架构，其特征在于，该身份管理系统所具有的该数字身份的该认证信息包括一密码。

20.如权利要求10所述的网络连接与管理的架构，其特征在于，该特定条件包括当一特定时间周期过去时。

21.如权利要求10所述的网络连接与管理的架构，其特征在于，该特定条件包括当该设备使用一特定账号连接后。

Images