CN114666056A - 提供第一数字证书和dns响应 - Google Patents

提供第一数字证书和dns响应 Download PDF

Info

Publication number
CN114666056A
CN114666056A CN202111470044.7A CN202111470044A CN114666056A CN 114666056 A CN114666056 A CN 114666056A CN 202111470044 A CN202111470044 A CN 202111470044A CN 114666056 A CN114666056 A CN 114666056A
Authority
CN
China
Prior art keywords
cert
certificate
domain name
dns
idf
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111470044.7A
Other languages
English (en)
Other versions
CN114666056B (zh
Inventor
伊凡·墨菲
米夏埃尔·隆美尔
马丁·西格蒙德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens Healthineers AG
Original Assignee
Siemens Healthineers AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Healthineers AG filed Critical Siemens Healthineers AG
Publication of CN114666056A publication Critical patent/CN114666056A/zh
Application granted granted Critical
Publication of CN114666056B publication Critical patent/CN114666056B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/30—Types of network names
    • H04L2101/33—Types of network names containing protocol addresses or telephone numbers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/30—Types of network names
    • H04L2101/345—Types of network names containing wildcard characters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4541—Directories for service discovery

Abstract

本申请公开了提供第一数字证书和DNS响应。本发明涉及用于向设备提供数字证书的计算机实现的方法。方法基于经由安全通信信道从设备接收认证数据。此外，方法基于从设备接收或由服务器确定第一证书标识符。特别地，第一证书标识符是散列值。方法的另外步骤是验证认证数据和从设备接收由设备创建的第一公钥。方法还基于向证书机构发送基于第一公钥的与第一域名相关的第一证书签名请求。在此，第一域名包括证书标识符，并且与第一域名相关的域由服务器控制。特别地，第一域名是通配符域。方法还基于：从证书机构接收第一数字证书，其中，第一数字证书是由证书机构签名的基于第一域名和第一公钥的通配符证书；向设备提供第一数字证书。

Description

提供第一数字证书和DNS响应
技术领域
本发明涉及信息处理领域，具体地涉及提供数字证书和DNS响应。
背景技术
信息技术(首字母缩写为IT)设备或系统的安全性通常基于可用于不同设备之间安全通信的数字证书(或“信任锚”)，例如基于HTTPS协议(“Hypertext Transfer ProtocolSecure(超文本传输协议安全)”的首字母缩写)或FTPS协议(“File Transfer ProtocolSecure(文件传输协议安全)”的首字母缩写)。特别地，数字证书可以用于客户端-服务器通信。
IT系统的安全性对于医疗技术非常重要，这既是因为需要保护医疗相关系统免受恶意攻击(以确保患者不会因数据受损或硬件受损而受到伤害)，又是因为患者数据是个人数据并且出于数据隐私问题不应向公众公开。
存在用于在本地IT基础设施内特别地在医院IT基础设施内创建和分发数字证书的若干现有解决方案。
例如，可以对本地IT基础设施中的每个设备使用自签名证书(由相应设备的制造商签名或在本地IT基础设施内部签名)，以实现本地设备之间的安全通信。然而，自签名证书不受现代互联网浏览器的信任并且会导致通信被浏览器阻止或至少向最终用户显示安全警告。
可替选地，在本地IT基础设施内，可以使用内部信任机构，例如以专用服务器的形式。然而，建立这样的内部信任机构是复杂的，而且成本也可能很高。
对于许多本地IT基础设施，期望有服务提供商来提供证书基础设施(在“安全通信即服务”或“服务的数字证书”的意义上)。提供的数字证书可能基于由服务提供商控制的域(例如“abc.service-provider.com”)，然而，针对这些域的请求(例如HTTPS请求)无法解析为本地IT基础设施内的本地IP地址。在替选方案中，提供的数字证书可能基于由本地IT基础设施控制的域(例如“abc.hospital-xyz.com”)，然而，服务提供商不能基于这样的域请求证书，这是因为他不能证明所有权，例如基于ACME协议证明所有权。
发明内容
本发明的问题是能够由本地IT基础设施外部的服务器为本地IT基础设施内部的设备创建和提供数字证书。特别地，本地IT基础设施与医疗保健提供商例如医院的IT基础设施对应。
根据独立权利要求解决了该问题。从属权利要求和说明书中描述了其他有利的实施方式和附加有利特征。
在下文中，关于所要求保护的系统以及关于所要求保护的方法来描述根据本发明的解决方案。本文中的特征、优点或替选实施方式可以分配给其他对应的所要求保护的对象，并且反之亦然。换言之，可以利用在对应方法的上下文中描述或要求保护的特征来改进系统。在这种情况下，方法的功能特征由系统的目标单元来体现。
在一个方面，本发明涉及一种用于向设备提供数字证书的计算机实现的方法。该方法基于经由安全通信信道从设备接收认证数据。特别地，认证数据可以用于确保设备的身份以及通信的可靠性和安全性。此外，该方法基于从设备接收或由服务器确定第一证书标识符。特别地，第一证书标识符是散列值。换言之，执行从设备接收第一证书标识符的步骤或由服务器确定第一证书标识符的步骤。该方法的另外的步骤是验证认证数据以及从设备接收由设备创建的第一公钥。
该方法还基于向证书机构(certificate authority)发送基于第一公钥的与第一域名相关的第一证书签名请求。在此，第一域名包括证书标识符，并且与第一域名相关的域由服务器控制。特别地，第一域名是通配符域。特别地，如果证书标识符是第一域名的子字符串，则第一域名包括证书标识符。有利地，证书标识符可以与第一域名的正好一个标签相同。特别地，如果与第一域名相关的域至少是域的子域或与服务器可以证明其所有权的域的等效，则所述域由服务器控制。
该方法还基于：从证书机构接收第一数字证书，其中，第一数字证书是由证书机构签名的基于第一域名和第一公钥的通配符证书；向设备提供第一数字证书。
特别地，接收第一证书标识符的步骤由服务器执行，特别地由服务器的接口执行。特别地，验证认证数据的步骤由服务器执行，特别地由服务器的计算单元执行。特别地，接收第一公钥的步骤由服务器执行，特别地由服务器的接口执行。特别地，发送第一证书签名请求的步骤由服务器执行，特别地由服务器的接口执行。特别地，接收第一数字证书的步骤由服务器执行，特别地由服务器的接口执行。特别地，提供第一数字证书的步骤由服务器执行，特别地由服务器的接口执行。
发明人认识到，基于所提出的方法，第一数字证书可以由服务器创建并且提供至客户端，使得客户端不参与证书生成过程和/或与证书机构的交互。特别地，服务器可以表明对第一域名的所有权并且有资格针对第一域名创建数字证书。
同时，通过使用与带有星号(例如，在最低级别中)的域名相关的通配符证书，可以提供允许解析或转发定向到设备的第一域的请求(例如，DNS请求)的附加信息。例如，可以使用与设备相关的编码IP地址和/或编码域名来替换DNS请求中的星号，使得可以基于提交的附加内容提供重定向到与设备相关的IP地址和/或解码域名的DNS响应。通常，DNS是“Domain Name System(域名系统)”的首字母缩写，例如在标准RFC 1035“域名-规范和实施”、https://tools.ietf.org/html/rfc1035或任何更高版本的标准中指定。
特别地，通过使用该通配符证书，可以与设备建立有效的HTTPS通信，即使第一数字证书与设备的域无关，而是与服务器的域有关也是如此。
另外，无论使用哪个信息替换星号，即对于使用的每个编码域名和/或编码IP地址，通配符证书都是有效的。然而，通过在证书中使用与设备相关的第一证书标识符，该证书只能用于认证特定设备，而不能用于认证与另一第一证书标识符相关的另一设备。
作为另一优点，基于使用认证数据和/或安全通信信道，该设备可以在该设备尚未安装数字证书的情况下由服务器进行认证。这允许由服务器向设备提供证书，而无需人工交互来对设备进行认证(例如，通过电话呼叫)。
特别地，安全通信信道是具有防止相应通信被操纵和/或偷听的技术手段的通信信道。例如，安全通信信道可能是VPN(“Virtual Private Network(虚拟专用网络)”的首字母缩写)连接或SRS(“Smart Remote Service(智能远程服务)”的首字母缩写，西门子医疗系统有限公司(Siemens Healthineers)的产品)。
非对称加密基于密钥对，所述密钥对包括可以广泛传播的公钥和只有所有者知道的私钥。特别地，可以使用接收者的公钥对要发送至接收者的消息进行加密，其中，经加密的消息只能基于私钥进行解密。此外，可以使用发送者的私钥对要传输的消息进行签名，从而证明作者身份(authorship)，其中，签名可以基于发送者的公钥进行验证。
特别地，域名是限定了因特网内的行政自治、权限或控制的领域的标识字符串。特别地，域名识别了网络域或因特网中的资源(与IP地址相关联)，例如服务器或网络服务。
特别地，域名包括一组有序的标签(术语“级别”可以用作术语“标签”的同义词)，每个标签由特殊字符(点“.”)分隔。最右边的级别表示顶级，并且可以是国家顶级(例如“de”、“uk”、“nl”)或通用顶级(例如“com”、“org”、“net”)。
域名可以包括星号(字符“*”)。这样的域名可以表示为通配符域名。通配符域名表示一组更大的域名，其中，一组更大的域名中的每个域名都用字符串或标签替换星号字符。
完全限定域名(首字母缩写为“FQDN”)是在域名系统的层次结构中用所有标签完全指定的域名，没有省略任何部分。特别地，完全限定域名可以由DNS服务器(“(domainname system)域名系统”的首字母缩写)解析。特别地，完全限定域名不包括通配符。
如果所述域名是通配符域名，并且如果所述完全限定域名可以根据域名通过将星号替换为字符串或标签来创建，则完全限定域名被表示为指定某个域名。反之亦然，如果所述域名是指定所述通配符域名的完全限定域名，则通配符域名被表示为代表某个域名。
特别地，数字证书是可以用于证明公钥的所有权的电子文档。术语“公钥证书”和“身份证书”可以用作术语“数字证书”的同义词。特别地，数字证书包括公钥和/或关于公钥的信息、数字证书的主体和颁发者的数字签名。特别地，数字证书的主体可以是数字证书的所有者和/或与数字证书的所有者相关的信息。特别地，颁发者是已经验证证书内容的实体。特别地，颁发者可以是证书机构。
特别地，数字证书可以是X.509证书。数字证书是X.509证书意味着数字证书符合X.509标准。
特别地，数字证书可以是TLS(“Transport Layer Security(传输层安全)”的首字母缩写)或SSL(“Secure Sockets Layer(安全套接字层)”的首字母缩写)服务器证书。特别地，TLS或SSL服务器证书的主体是主机名和/或域名。在下文中，术语“服务器证书”可以用作术语“TLS或SSL服务器证书”的同义词。
特别地，通配符数字证书是在主机名和/或域名中带有星号的服务器证书。特别地，星号可以替换为任何其他有效字符串。例如，主体为“*.example.com”的通配符数字证书也对“abc.example.com”和“def.example.com”有效。
特别地，证书标识符是可以用于识别特定证书或一组特定证书的字符串。特别地，证书标识符可以是唯一的证书标识符，使得对于一个唯一的证书标识符，由唯一证书标识符识别的(未撤销的)证书不超过一个。特别地，证书标识符可以是散列值。可替选地，证书标识符可以基于证书主体的公开可用信息(例如，基于由所述证书授权的设备的材料号和/或序列号)。在某些情况下可以撤销证书，例如在一段时间之后，或者如果它们因各自的私钥公开而受损。在这些情况下，例如基于根据本发明的方法，创建基于一对新的公钥和私钥的新证书。这样的新证书可以基于与先前撤销的证书相同的证书标识符。这样做的优点是不需要更改存储在其他通信设备中的域名。
特别地，证书签名请求是发送至证书机构(在公钥基础设施中)以申请数字证书的数据集。特别地，证书签名请求包括应当为其颁发数字证书的公钥、标识信息(例如，域名)和完整性保护(例如，数字签名)。证书签名请求可以基于RFC 2968标准(“PKCS#10：认证请求语法规范”，https://tools.ietf.org/html/rfc2986”)或“签名公钥和质询”标准(首字母缩写为SPKAC)。
特别地，散列值是对数据集应用散列函数的结果。特别地，散列函数可以采用附加的参数例如种子。
通常，散列函数是将任意大小的数据映射至固定大小的数据的函数。特别地，散列函数是密码散列函数。特别地，密码散列函数是确定性函数；特别地，散列函数的输出仅取决于散列函数的输入。特别地，可以针对所有输入值以快速的方式计算密码散列函数。特别地，密码散列函数仅是强力可逆的，即，给定密码散列函数的输出，仅可以通过针对大量输入值(即，强力攻击)计算密码散列函数来计算密码散列函数的对应输入。换言之，找到与密码散列函数的输出值对应的输入值是棘手的问题。特别地，找到密码散列函数的导致相同输出值的第一输入值和第二输入值是棘手的问题。
根据本发明的另一方面，第一域名包括星号标签，其中，星号标签是第一域名的最后一个标签，并且其中，第一证书标识符是第一域名的与第一域名的最后一个标签不同的标签，特别地，其中，第一证书标识符是第一域名的倒数第二个标签。
发明人认识到，通过使用星号标签作为第一域的最后一个标签，单个DNS条目可以用于向设备转发或发送信息。如果使用第一证书标识符作为第一域名的倒数第二个标签，则可以为若干客户端的若干证书仅使用单个DNS条目，这是因为DNS条目中的星号(特别地，DNS条目的资源记录中的星号)可以表示所有可能的第一证书标识符。
根据本发明的另一方面，该方法包括证明与第一域名相关的域的所有权。特别地，该步骤由服务器执行，特别地由服务器的接口和/或计算单元执行。
特别地，证明所有权的步骤可以包括以下子步骤中的至少一个：
-从证书机构接收质询(challenge)，
-确定与质询相关的响应，其中，该响应表明对与第一域名相关的域的控制，
-向证书机构提供响应，
-通知证书机构已经提供响应。
发明人认识到，通过由服务器证明所有权，这样的证明不需要由设备本身来实现。特别地，通过在服务器处针对潜在的多个设备集中执行证明，可以更有效地执行整个系统的操作和维护。
根据本发明的另一方面，认证数据包括预共享秘密。特别地，所述预共享秘密可以基于以下至少一项：预共享一次性密码、预共享密钥和/或预共享硬件令牌。特别地，可以在设备的制造和/或安装期间将预共享秘密安装在设备上。
特别地，共享秘密是在安全通信中预先在通信双方之间共享的只有参与方知道的数据。预共享一次性密码可以是字符串(也称为“密码短语”)、数字或数字数组(特别地，位或字节的数组)。预共享一次性密码可以直接在通信伙伴之间分发，以用于对通信伙伴之一进行认证。可替选地，可以使用预共享一次性密码来确定要在通信伙伴之间交换的其他数据(例如用作散列值的基础)。预共享一次性密钥可以是可用于加密和/或解密通信伙伴之间的通信的对称或非对称密钥。
特别地，硬件令牌存储可以用于证明身份的秘密信息。硬件令牌可以是静态密码令牌，其中，静态密码令牌包含物理隐藏(对静态密码令牌的拥有者不可见)但每次认证都被传输的密码。硬件令牌可以是同步动态密码令牌，其中，在同步动态密码令牌内，定时器用于通过密码算法产生的各种组合进行旋转。硬件令牌可以是异步密码令牌，其中，在异步密码令牌内，一次性密码是在不使用时钟的情况下根据一次性密码本(one-time pad)或密码算法生成的。硬件令牌可以是质询响应令牌，其中，服务器使用公钥加密质询(通常是随机数，或至少是具有一些随机部分的数据)，并且与质询响应令牌连接的设备和/或质询响应令牌本身通过提供经解密的质询来证明其拥有匹配私钥的副本。
发明人认识到，基于预共享秘密可以建立安全通信，从而致使只有合格的设备可以接收第一数字证书的事实。特别地，可以检测和防止第三方对该过程的干扰。特别地，通过使用预共享硬件令牌，预共享秘密甚至不能被设备的物理所有者提取，从而也可以防止所有者的不合规行为。
根据本发明的另一方面，认证数据包括设备的设备标识符，特别地，其中，设备标识符基于设备的材料号和/或设备的序列号。特别地，设备标识符是唯一的设备标识符，暗示设备与各自的设备标识符一一对应。特别地，设备的材料号和设备的序列号的组合是唯一的设备标识符。
发明人认识到，通过使用设备标识符，可以将提供的数字证书分配至设备。此外，通过在认证数据中使用设备标识符，可以提高该方法的安全性，这是因为它使服务器能够只为已知设备颁发证书。特别地，如果认证数据包括设备标识符和预共享秘密两者，则可以更进一步提高该方法的安全性，这是因为它使服务器能够只为存储预共享秘密的已知设备颁发证书。
根据本发明的另一方面，该方法还包括向证书机构发送基于第一公钥的与经修改的第一域名相关的经修改的第一证书签名请求，其中，经修改的第一域名包括证书标识符。另一步骤是从证书机构接收经修改的第一数字证书，其中，经修改的第一数字证书是由证书机构签名的基于经修改的第一域名和第一公钥的通配符证书。另一步骤是向设备提供经修改的第一数字证书。
特别地，通过经修改的第一域名包括附加标签，或者通过经修改的第一域名的恰好一个标签与第一域名的对应标签不同，经修改的第一域名与第一域名恰好在一个标签上有所区别。
特别地，第一域名可以与DNS A或AAAA资源记录相关使用，而经修改的域名可以与DNS CNAME资源记录相关使用，反之亦然。特别地，DNS A资源记录将DNS请求解析为IPv4地址(“Internet Protocol,Version 4(因特网协议版本4)”的首字母缩写)，而DNS AAAA资源记录将DNS请求解析为IPv6地址(“(Internet Protocol,Version 6)因特网协议版本6”的首字母缩写)。特别地，DNS CNAME资源记录将DNS请求解析为另一域名(换言之，它可以解释为引用(referral))。
发明人认识到，通过基于通信中(例如，在DNS请求中)使用的域名颁发除了第一数字证书之外的经修改的第一数字证书，可以仅基于域名确定对通信的预期反应是什么。例如，基于域名，可以决定DNS请求的发送者期望的结果是A/AAAA资源记录还是CNAME资源记录。
根据本发明的另一方面，该方法包括为第一域名和/或经修改的第一域名创建DNS资源记录。特别地，该方法可以包括为第一域名创建第一DNS A资源记录或AAAA资源记录而为经修改的第一域名创建DNS CNAME资源记录，或者为经修改的第一域名创建第一DNS A资源记录或AAAA资源记录而为第一域名创建DNS CNAME资源记录。特别地，DNS资源记录可以是通配符资源记录。特别地，DNS资源记录可以存储在区域文件中。特别地，DNS资源记录可以包括类型、到期时间、类别和特定于类型的数据。
发明人认识到，通过创建DNS资源记录，可以启用基于第一域名和/或经修改的第一域名定向到服务的通信。
根据本发明的另一方面，该方法还包括存储与认证数据相关的使用信息以防止再次使用认证数据。特别地，可以通过将认证数据存储在数据库中来存储使用信息，其中，在验证认证数据的步骤中检查数据库以确定认证数据是否已经在数据库中。可替选地，可以通过在所有认证数据的数据库中存储与认证数据相关的标志来存储使用信息，该标志指示某个认证数据已经被使用。然后可以在验证认证数据的步骤中检查该标志以确定认证数据是否已经被使用。
发明人认识到，基于存储的使用信息，可以防止两次使用相同的认证数据。这通过不允许为同一组认证数据颁发两个数字证书来提高系统的安全性。
根据本发明的另一方面，该方法还包括基于第一数字证书对设备进行认证的可选步骤。此外，该方法包括：从设备接收注册数据，其中，注册数据包括第二证书标识符；以及接收由设备的客户端创建的第二公钥。特别地，注册数据可以包括附加数据，例如从设备提供至客户端的令牌。
此外，该方法包括：向证书机构发送基于第二公钥的与第二域名相关的第二证书签名请求，其中，第二域名包括第二证书标识符；以及从证书机构接收第二数字证书，其中，第二数字证书是由证书机构签名的基于第二域名的通配符证书。该方法还包括向设备和/或客户端提供第二数字证书。
特别地，所描述的方法的附加步骤可以在提供第一数字证书之后执行，并且特别地，它们可以在提供第一数字证书之后执行更长的时间跨度。
发明人认识到，基于这些附加步骤，可以为受设备信任的或在设备处认证的客户端创建第二数字证书，而无需服务器与客户端之间的直接交互。特别地，在该过程中，设备可以使用第一数字证书在服务器处进行认证。通过使用该方法，例如不需要在客户端处具有用于认证的预共享秘密。如果在设备的制造期间已经包括了先前描述的方法中的预共享秘密(其中，制造可以包括在服务器端处编译特定代码)，则即使在制造期间无法访问客户端，也可以将数字证书分发至客户端。例如，供应商可以使用该方法向第三方客户端分发数字证书。
根据本发明的另一方面，第二证书标识符包括第一证书标识符和与客户端相关的客户端标识符。
发明人认识到，通过使用基于第一证书标识符和客户端标识符的第二证书标识符，可以基于第二证书标识符单独识别设备的相应第一数字证书(并且可能已经用于对设备进行认证以创建第二数字证书)和相应客户端两者。这在第二数字证书已损坏并需要撤销的情况下很有用，或者用于识别设备用户的不当使用。
根据本发明的另一方面，第二域名包括星号标签，其中，星号标签是第二域名的最后一个标签，其中，第一证书标识符是第二域名的倒数第二个标签，并且其中，客户端标识符是第二域名的倒数第三个标签。根据本发明的替选方面，第二域名包括星号标签，其中，星号标签是第二域名的最后一个标签，其中，客户端标识符是第二域名的倒数第二个标签，并且其中，第一证书标识符是第二域名的倒数第三个标签。
发明人认识到，通过在第二域名内的呈现名称中使用第一证书标识符和客户端标识符，可以在第二域名内表示设备和这些设备的客户端的结构。通过使用与限定的域名结构相关的DNS资源记录的结构，域名中的这样的结构可以被地理分布的服务器根据相应设备的位置优选地使用，以确保快速响应时间。
根据本发明的另一方面，该方法包括基于第一数字证书和/或第二数字证书创建DICOM节点配置。创建DICOM节点配置的步骤可以由服务器、设备和/或客户端执行。
特别地，创建DICOM节点配置可以包括在DICOM配置中创建与设备和/或客户端对应的条目，以用于基于第一数字证书和/或第二数字证书启用加密通信。
发明人认识到，通过基于第一数字证书和/或第二数字证书创建DICOM节点配置，可以在若干DICOM节点之间建立加密的DICOM通信。
本发明在另一方面涉及一种用于提供DNS响应的计算机实现的方法。该方法基于从请求者接收用于解析完全限定域名的DNS请求，其中，完全限定域名包括作为标签的编码域名。该方法还包括基于编码域名确定解码域名，以及向请求者提供DNS响应，其中，DNS响应包括解码域名。特别地，DNS响应包括基于解码域名的CNAME资源记录。
特别地，用于提供DNS响应的方法由服务器执行。特别地，接收DNS请求的步骤和提供DNS响应的步骤由接口执行，特别地由服务器的接口执行。特别地，确定解码域名的步骤由计算单元执行，特别地由服务器的计算单元执行。
特别地，编码域名是将DNS系统中的特殊字符替换为一个或更多个掩码字符的域名。特别地，编码域名不能直接在DNS系统内用作有效DNS请求的基础。特别地，编码域名可以用作完全限定域名中的单个标签或单个级别。
DNS系统中特殊字符的示例是分隔域名的不同级别或标签的点“.”。特别地，编码域名是每个点“.”都被字符“--”(双破折号)或“---”(三破折号)替换的域名。
解码域名基于编码域名。特别地，可以基于编码域名通过将编码域名内的一个或更多个掩码字符替换为DNS系统内的对应特殊字符来确定解码域名。特别地，解码域名可以直接在DNS系统内用作有效DNS请求的基础。
发明人认识到，通过使用所描述的方法，可以将定向到包括编码域的完全限定域名的DNS请求解析为解码域。特别地，完全限定域名可以与解码域之外的另一服务器相关，并且解码域不需要是可公开解析的域，而是可以对应于只能在内部网络中解析的本地域。此外，通过使用该方法，可以根据基于完全限定域名颁发的数字证书来颁发安全通信，但是然后将通信定向到(可能是本地的)解码域名。
在替选方案中，也可以使用编码IP地址和解码IP地址代替编码域名和解码域名。然而，使用编码和解码域名的优点在于，在与解码域名相关的(可能是本地的)网络中，不必使用静态IP地址。
根据本发明的另一方面，完全限定域名可以包括作为编码域名的替选的编码IP地址。在这方面，用于提供DNS响应的方法还包括基于完全限定域名确定DNS请求是与A资源记录、AAAA资源记录还是CNAME资源记录相关。如果所述确定致使DNS请求与CNAME资源记录相关的情况，则基于编码域名确定解码域名，并且将向请求者提供DNS响应，其中，DNS响应包括CNAME资源记录，并且其中，DNS响应包括解码域名。如果所述确定致使DNS请求与A资源记录或AAAA资源记录相关的情况，则基于编码IP地址确定解码IP地址，并且将向请求者提供DNS响应，其中，DNS响应包括A资源记录或AAAA资源记录，并且其中，DNS响应包括解码IP地址。
特别地，编码IP地址是将DNS系统和/或TCP/IP系统中的特殊字符替换为一个或更多个掩码字符的IP地址。特别地，编码IP地址不能直接在TCP/IP系统内用作有效TCP/IP请求(例如有效HTTP或HTTPS请求)的基础。特别地，编码IP地址可以用作完全限定域名中的单个标签或单个级别。
DNS系统中特殊字符的示例是分隔域名的不同级别或标签且还分隔IP地址的不同组成部分(在IPv4标准内)的点“.”。特别地，编码IP地址是每个点“.”都被字符“-”(破折号)、字符“--”(双破折号)或字符“---”(三破折号)替换的IP地址。在IPv6标准中，特殊字符“:”可以根据需要以类似方式替换。
解码IP地址基于编码IP地址。特别地，可以基于编码IP地址通过将编码IP地址内的一个或更多个掩码字符替换为DNS系统和/或TCP/IP系统内的对应特殊字符来确定解码IP地址。特别地，解码IP地址可以直接在TCP/IP系统内用作有效TCP/IP请求(例如有效HTTP或HTTPS请求)的基础。
发明人认识到，基于所提出的方法，可以处理指向域名(致使CNAME资源记录)和指向IP地址(致使A资源记录或AAAA资源记录)的请求。通过基于完全限定域名请求哪个资源记录的确定，编码域名和/或编码IP地址不需要检查它们的类型，这可能是错误的步骤。此外，通过所述确定，歧义(在完全限定域名中的标签可以对应于编码IP地址和编码域名两者的情况下)可以由该方法处理。
根据另一可能的方面，确定DNS请求是与A资源记录、AAAA资源记录还是CNAME资源记录相关的步骤基于完全限定域名的不是最低标签的标签的存在和/或内容。在替选方案中，所述步骤基于完全限定域名的最低标签的内容。
发明人认识到，通过基于不是最低标签的标签进行确定，可以更容易地在DNS系统中使用通配符域名。通过基于作为最低标签的标签进行确定，只需检查完全限定域名的限定部分，而不是整个完全限定域名。
本发明在另一方面涉及一种用于向设备提供第一数字证书的服务器，该服务器包括接口和计算单元，
-被配置成用于经由安全通信信道从设备接收认证数据，
-被配置成用于从设备接收或由服务器确定第一证书标识符，特别地，其中，第一证书标识符是散列值或随机值，
-被配置成用于验证认证数据，
-被配置成用于从设备接收由设备创建的第一公钥，
-被配置成用于向证书机构发送基于第一公钥的与第一域名相关的第一证书签名请求，
其中，第一域名包括证书标识符，
并且其中，与第一域名(DN-1)相关的域由服务器控制，
-被配置成用于从证书机构接收第一数字证书，
其中，第一数字证书是由证书机构签名的基于第一域名和第一公钥的通配符证书，
-被配置成用于向设备提供第一数字证书。
特别地，该服务器可以被配置成执行根据本发明及其方面的用于提供第一数字证书的方法。该服务器被配置成通过其接口和计算单元执行该方法及其方面，接口和计算单元被配置成执行相应的方法步骤。
本发明在另一方面涉及一种包括接口和计算单元的设备，该设备被配置成用于：
-确定用于在服务器处对设备进行认证的认证数据，
-可选地，向服务器发送第一证书标识符，特别地，其中，第一证书标识符是散列值或随机值，
-创建第一非对称密钥对，该非对称密钥对包括第一公钥和第一私钥，
-向服务器发送第一公钥，
-接收第一数字证书并且在设备上安装第一数字证书。
特别地，该设备可以被配置成执行根据本发明及其方面的用于提供第一数字证书的方法的相应步骤。该设备被配置成通过其接口和计算单元执行该方法及其方面，接口和计算单元被配置成执行相应的方法步骤。
本发明在另一方面涉及一种包括接口和计算单元的客户端，该客户端是设备的客户端，被配置成用于：
-确定注册数据，
-向设备发送注册数据，
-创建第二非对称密钥对，第二非对称密钥对包括第二公钥PBK-2和第二私钥，
-向设备发送第二公钥，
-接收并且安装第二数字证书。
特别地，该客户端可以被配置成执行根据本发明及其方面的用于提供第一数字证书的方法的相应步骤。该客户端被配置成通过其接口和计算单元执行该方法及其方面，接口和计算单元被配置成执行相应的方法步骤。
本发明在另一方面涉及一种系统，该系统包括根据本发明及其方面的服务器、根据本发明及其方面的设备以及可选地根据本发明及其方面的客户端。特别地，客户端和设备位于内部网中。
本发明在另一方面涉及一种包括接口和计算单元的DNS服务器，该DNS服务器被配置成用于：
-从请求者接收用于解析完全限定域名的请求，
其中，完全限定域名包括作为标签的编码域名，
-基于编码域名确定解码域名，
-向请求者提供DNS响应，其中，DNS响应包括解码域名。
特别地，该DNS服务器可以被配置成执行根据本发明及其方面的用于提供DNS响应的方法的相应步骤。该DNS服务器被配置成通过其接口和计算单元执行该方法及其方面，接口和计算单元被配置成执行相应的方法步骤。
本发明在另一方面涉及一种包括指令的计算机程序产品，所述指令在由计算机执行程序时使计算机执行根据本发明及其方面的方法之一。此外，本发明涉及一种包括指令的计算机可读介质，所述指令在由计算机执行时使计算机执行根据本发明及其方面的方法之一。
通过计算机程序产品和/或计算机可读介质实现本发明或其方面之一的优点在于，现有的服务器、设备和客户端可以很容易地通过软件更新进行调整，以按照本发明的建议工作。
所述计算机程序产品可以是例如计算机程序或者包括除了计算机程序之外的另一元件。该另一元件可以是硬件例如在其上存储有计算机程序的存储器装置、用于使用计算机程序的硬件密钥等和/或软件例如用于使用计算机程序的软件密钥或文档。
根据以下将在附图的上下文中详细描述的描述和实施方式，上述本发明的特性、特征和优点以及它们的实现方式变得更清楚和更容易理解。以下描述不将本发明限制于所包含的实施方式。在不同的附图中，相同的部件或部分可以用相同的附图标记进行标记。通常，这些附图不是按比例绘制的。
方法步骤的编号和/或顺序旨在便于理解，并且除非另有明确说明或者隐含地清楚说明，否则不应解释为意指必须根据其附图标记的编号和/或其在附图中的顺序来执行指定的步骤。特别地，方法步骤中的若干或甚至所有方法步骤可以同时地、以交叠的方式或顺序地执行。
附图说明
在以下附图中：
图1示出了根据本发明的实施方式的用于提供第一数字证书的方法的第一数据流程图，
图2示出了根据本发明的实施方式的用于提供第一数字证书的方法的经修改的第一数据流程图，
图3示出了根据本发明的实施方式的用于提供第一数字证书的方法或根据本发明的实施方式的用于提供第二数字证书的方法的第二数据流程图，
图4示出了根据本发明的实施方式的用于提供第一数字证书的方法的第一过程流程图，
图5示出了根据本发明的实施方式的用于提供第一数字证书的方法的第二过程流程图，
图6示出了根据本发明的实施方式的用于安装第一数字证书的方法的过程流程图，
图7示出了根据本发明的实施方式的用于提供第一数字证书的方法的第三过程流程图，
图8示出了根据本发明的实施方式的用于提供第一数字证书的方法的第四过程流程图，
图9示出了根据本发明的实施方式的用于提供第二数字证书的方法的过程流程图，
图10示出了根据本发明的实施方式的用于安装第二数字证书的方法的过程流程图，
图11示出了根据本发明的实施方式的用于提供第一数字证书的方法的第五过程流程图，
图12示出了根据本发明的实施方式的用于提供DNS响应的方法的数据流程图，
图13示出了根据本发明的实施方式的用于提供DNS响应的方法的第一过程流程图，
图14示出了根据本发明的实施方式的用于提供DNS响应的方法的第二过程流程图，
图15示出了根据本发明的实施方式的用于提供DNS响应的方法的第三过程流程图，
图16示出了在本发明的不同实施方式中使用的域名，
图17示出了在本发明的不同实施方式中使用的完全限定域名，
图18示出了根据本发明的实施方式的服务器、设备、证书机构和客户端的第一实施方式，
图19示出了根据本发明的实施方式的服务器、设备、证书机构和客户端的第二实施方式，
图20示出了根据本发明的实施方式的服务器、设备、证书机构和客户端的第三实施方式。
具体实施方式
图1示出了根据本发明的实施方式的用于提供第一数字证书CERT-1的方法的第一数据流程图。在该实施方式中，数据在服务器SRV、设备DEV与证书机构CA之间进行交换。此外，在该实施方式中，服务器SRV包括可以用于服务器SRV的通信的某些部分的代理(broker)BRK。
在该实施方式中，设备DEV向服务器SRV发送认证数据AD。在此，认证数据AD包括设备DEV的设备标识符IDF-DEV和一次性密码OTP。可替选地，认证数据AD可以包括允许使用服务器SRV对设备DEV进行认证的其他组成部分。在该实施方式中，设备标识符IDF-DEV基于设备DEV的材料号和/或设备DEV的序列号。在该实施方式中，设备标识符IDF-DEV包括作为明文的材料号和/或序列号，可替选地，设备标识符IDF-DEV可以包括以编码方式的材料号和/或序列号，例如，设备标识符IDF-DEV可以包括基于材料号和/或序列号的散列值。
此外，设备DEV向服务器SRV发送第一证书标识符IDF-CERT-1。可替选地，第一证书标识符IDF-CERT-1也可以由服务器SRV创建，而不是从设备DEV接收。在该实施方式中，第一证书标识符IDF-CERT-1是唯一标识符，例如是例如基于随机数或基于设备DEV的材料号和/或序列号的散列值。通常，第一证书标识符IDF-CERT-1和设备标识符IDF-DEV不同，可替选地，第一证书标识符IDF-CERT-1和设备标识符IDF-DEV可以相同。
此外，设备向服务器发送第一公钥PBK-1。第一公钥PBK-1与存储在设备DEV上的第一私钥PRK-1对应。第一公钥PBK-1和第一私钥PRK-1形成第一非对称密钥对。第一非对称密钥对是由设备DEV创建的。第一私钥PRK-1可以用于证明基于第一公钥PBK-1的任何数字证书的所有权。
在示出的实施方式中，第一证书标识符IDF-CERT-1和第一公钥PBK-1从设备DEV独立地发送至服务器SRV。可替选地，第一证书标识符IDF-CERT-1和第一公钥PBK-1可以是由设备DEV创建并发送至服务器SRV的第一证书签名请求CSR-1的一部分。
在该第一数据流程图中，服务器SRV向证书机构CA发送第一证书签名请求CSR-1。在该实施方式中，证书签名请求CSR-1包括第一公钥PBK-1和第一域名DN-1。第一域名DN-1包括星号标签AL和第一证书标识符IDF-CERT-1。
作为响应，证书机构CA向服务器SRV发送第一数字证书CERT-1。第一数字证书CERT-1包括第一域名DN-1，特别地，第一域名DN-1是第一数字证书CERT-1的主体。此外，第一数字证书CERT-1包括使用证书机构CA的私钥PRK-CA签名的基于第一公钥PBK-1的签名。
服务器SRV接收第一数字证书CERT-1，并且将第一数字证书CERT-1发送至设备DEV。可替选地，证书机构CA可以直接向设备DEV提供第一数字证书CERT-1。
图2示出了图1所示的经修改的第一数据流程图，其中，图2仅示出了服务器SRV与证书机构CA之间的数据流。
与第一数据流程图相比，在经修改的流程图中，将经修改的第一证书签名请求CSR-1'(除了第一证书签名请求CSR-1以外)从服务器SRV发送至证书机构CA，并且作为响应，证书机构CA向服务器SRV发送(除了第一数字证书CERT-1以外)经修改的第一数字证书CERT-1'，经修改的第一数字证书CERT-1'也可以由服务器SRV提供至设备DEV。经修改的第一证书签名请求CSR-1'和经修改的第一数字证书CERT-1'对应于与第一证书签名请求CSR-1和第一数字证书CERT-1相同的第一公钥PBK-1，但是对应于经修改的第一域名DN-1'。在该实施方式中，经修改的第一域名DN-1'和第一域名DN-1两者均包括相同的第一证书标识符IDF-CERT-1。
由于以下事实，因此需要用于同一设备DEV'的两个第一数字证书CERT-1、CERT-1'：通常，通配符证书仅被接受用于域名的单一级别，并且对通配符域的DNS请求只能一致地仅由CNAME资源记录(与域名对应)或A资源记录(与IP地址对应)来回答，而不能同时由两者回答。通常，域名服务器基于查询类型合成对查询的答案。解析器将始终要求A或AAAA资源记录。如果服务器以CNAME资源请求进行响应，则解析器会跟随响应中的域，直到其接收到A或AAAA资源记录。因此，应当为CNAME的答案的域名空间必须与应当为A或AAAA记录的答案分开。
图3示出了根据本发明的实施方式的用于提供第一数字证书CERT-1的方法或根据本发明的实施方式的用于提供第二数字证书CERT-2的方法的第二数据流程图。在该实施方式中，数据在服务器SRV、设备DEV、与设备DEV相关的客户端CLT和证书机构CA之间进行交换。
根据第二数据流程图的数据流可以与图1的第一数据流程图和/或图2的经修改的第一数据流程图中示出的数据流结合发生，或者其可以是独立于图1的第一数据流程图和/或图2的经修改的第一数据流程图中示出的数据流的独立数据流。
对于该数据流程图，可以假设客户端CLT被认证和授权以与设备DEV交互，并且设备DEV例如通过第一数字证书CERT-1和/或经修改的第一数字证书CERT-1'被认证和授权以与服务器SRV交互。
在示出的数据流程图中，客户端CLT向设备DEV发送第二证书标识符IDF-CERT-2。可替选地，设备DEV和/或服务器SRV可以创建例如作为散列值的第二证书标识符IDF-CERT-2。特别地，设备DEV和/或服务器SRV可以基于客户端CLT的客户端标识符IDF-CLT和第一证书标识符IDF-CERT-1来创建第二证书标识符IDF-CERT-2。特别地，第二证书标识符IDF-CERT-2可以包括客户端标识符IDF-CLT和第一证书标识符IDF-CERT-1两者。例如，客户端标识符IDF-CLT可以是客户端CLT的材料号和/或序列号，或客户端CLT和设备DEV两者均在其中操作的本地网络环境中的客户端CLT的主机名，或基于这些输入值的散列值。第二证书标识符IDF-CERT-2可以与客户端标识符IDF-CLT相同。特别地，第一证书标识符IDF-CERT-1和第二证书标识符IDF-CERT-2是不同的。客户端CLT也可能从设备DEV接收令牌，该令牌可以用于客户端CLT与服务器SRV直接交互。
此外，客户端CLT经由设备DEV直接或间接地向服务器SRV发送第二公钥PBK-2。第二公钥PBK-2与存储在客户端CLT上的第二私钥PRK-2对应。第二公钥PBK-2和第二私钥PRK-2形成第二非对称密钥对。第二非对称密钥对是由客户端CLT创建的。第二私钥PRK-2可以用于证明基于第二公钥PBK-2的任何数字证书的所有权。
在示出的实施方式中，第二证书标识符IDF-CERT-2和第二公钥PBK-2从客户端CLT经由设备DEV独立地发送至服务器SRV。此外，第二证书标识符IDF-CERT-2是注册数据RD的一部分。特别地，注册数据RD可以与第二证书标识符IDF-CERT-2相同，可替选地，注册数据RD可以包括第二证书标识符IDF-CERT-2和附加数据。特别地，该附加数据可以涉及设备DEV与客户端的认证。特别地，注册数据RD可以包括第二证书标识符IDF-CERT-2和第二公钥PBK-2两者。
可替选地，第二证书标识符IDF-CERT-2和第二公钥PBK-2可以是由设备DEV和/或客户端创建并发送至服务器SRV的第二证书签名请求CSR-2的一部分。特别地，注册数据RD可以包括该第二证书签名请求CSR-2或者与该第二证书签名请求CSR-2相同。
在该第二数据流程图中，服务器SRV向证书机构CA发送第二证书签名请求CSR-2。在该实施方式中，第二证书签名请求CSR-2包括第二公钥PBK-2和第二域名DN-2。第二域名DN-2包括星号标签AL和第二证书标识符IDF-CERT-2。
作为响应，证书机构CA向服务器SRV发送第二数字证书CERT-2。第二数字证书CERT-2包括第二域名DN-2，特别地，第二域名DN-2是第二数字证书CERT-2的主体。此外，第二数字证书CERT-2包括使用证书机构CA的私钥PRK-CA签名的基于第二公钥PBK-2的签名。
服务器SRV接收第二数字证书CERT-2，并且将第二数字证书CERT-2发送至设备DEV和/或客户端CLT。可替选地，证书机构CA可以直接或通过设备DEV直接向客户端CLT提供第二数字证书CERT-2。
图4示出了根据实施方式的用于由服务器SRV向设备DEV提供第一数字证书CERT-1的方法的第一过程流程图。第一过程流程图与图1所示的第一数据流程图对应。
该方法的初始步骤是经由安全通信信道从设备DEV接收REC-AD认证数据AD，并且从设备DEV接收REC-PBK-1由设备DEV创建的第一公钥PBK-1。在该实施方式中，认证数据包括客户端标识符IDF-CLT和一次性密码OTP。特别地，客户端标识符IDF-CLT基于客户端CLT的材料号和/或序列号。特别地，客户端标识符IDF-CLT和/或一次性密码OTP可能已经在制造地点处存储在设备上。
另一步骤是验证VRF-AD认证数据AD。在该实施方式中，VRF-AD认证数据AD包括检查设备数据库是否存储了与一次性密码OTP相关的客户端标识符IDF-CLT。可选地，可以检查该数据库中的标志，其中，该标志指示客户端标识符IDF-CLT和一次性密码的组合是否已经用于之前接收的认证数据AD中。如果验证VRF-AD的步骤有肯定的结果，则该方法将继续，否则将停止该方法的进一步执行。
该方法还包括从设备DEV接收REC-IDF-CERT第一证书标识符IDF-CERT-1的步骤或者由服务器确定DET-IDF-CERT第一证书标识符IDF-CERT-1的步骤。在该实施方式中，第一证书标识符IDF-CERT-1与散列值对应，该散列值基于随机数。可替选地，第一证书标识符IDF-CERT-1可以基于客户端CLT的客户端标识符IDF-CLT或基于客户端标识符IDF-CLT的散列。在下文中，将假设第一证书标识符IDF-CERT-1是字符串“ca1d5f5f7ba45”。
示出的实施方式的另一步骤是向证书机构CA发送SND-CSR-1基于第一公钥PBK-1的与第一域名DN-1相关的第一证书签名请求CSR-1，其中，第一域名DN-1包括证书标识符IDF-CERT-1。在下文中，将假设第一域名DN-1是字符串“*.ca1d5f5f7ba45...com”。特别地，第一域名DN-1为通配符域名。在该实施方式中，域名包括五个级别：一级(也称为顶级)是标签“com”，二级和三级是“example”和“cert”，倒数第二级是证书标识符IDF-CERT-1，而最后一级是星号字符“*”。
示出的方法还包括从证书机构CA接收REC-CERT-1第一数字证书CERT-1的步骤，其中，第一数字证书CERT-1是由证书机构CA签名的基于第一域名DN-1和第一公钥PBK-1的通配符证书。在该实施方式中，第一数字证书CERT-1的主体相当于第一域名DN-1，在该示例中为“*.ca1d5f5f7ba45...com”。
示出的方法的最后一步是向设备DEV提供PROV-CERT-1第一数字证书CERT-1。提供PROV-CERT-1第一数字证书CERT-1可以包括将第一数字证书CERT-1直接发送至设备DEV和/或使第一数字证书CERT-1能够由设备DEV下载。
图5示出了根据本发明的实施方式的用于提供第一数字证书CERT-1的方法的第二过程流程图。第二过程流程图包括图4所示的第一过程流程图的所有步骤，这些步骤和关于这些步骤描述的数据结构可以包括图4中描述的所有有利实施方式和特征。
第二过程流程图还包括证明与第一域名DN-1相关的域的所有权PRV-OWN的可选步骤。特别地，证明所有权PRV-OWN的步骤是通过ACME协议(“Automatic CertificateManagement Environment(自动证书管理环境)”的首字母缩写，在RFC 8555、https://tools.ietf.org/html/rfc8555中描述)执行的。
在该实施方式中，证明所有权PRV-OWN的步骤包括以下子步骤：从证书机构CA接收REC-CLG质询；确定DET-RSP与质询相关的响应，其中，该响应表明对与第一域名DN-1相关的域的控制；向证书机构CA提供PROV-RSP响应；通知INF-CA证书机构CA已经提供响应。
在该实施方式中，质询是在服务器处的基于域“ca1d5f5f7ba45...com”可访问的某个位置处创建具有给定内容的文件，例如在http://ca1d5f5f7ba45...com/authentication.html处创建某个HTML文件。确定响应包括实际创建该文件并且使其可供公众访问。可替选地，可以使用ACME方法DNS-01，其中，质询需要包括在对指定域的TXT资源记录中。
在示出的实施方式中，在发送SND-CSR-1第一证书签名请求CSR-1的步骤之后执行证明所有权PRV-OWN的步骤。也可以首先执行证明所有权PRV-OWN的步骤，并且然后执行发送SND-CSR-1第一证书签名请求CSR-1的步骤。
根据图5所示的过程图的方法还包括为第一域名DN-1创建CRT-DNS DNS资源记录的可选步骤。“DNS资源记录”的同义词是“资源记录”。特别地，DNS资源记录的类型为“A”(解析为IPv4地址)、类型为“AAAA”(解析为IPv6地址)或类型为“CNAME”(解析为另一域名)。
根据图5所示的过程图的方法还包括存储STR-USG与认证数据AD相关的使用信息以防止再次使用认证数据AD的可选步骤。在该实施方式中，在存储合格认证数据AD的数据库中存储标志以指示某认证数据已经被使用。
图6示出了根据本发明的实施方式的用于安装第一数字证书CERT-1的方法的过程流程图。
根据示出的实施方式，该方法还包括：由设备DEV确定DET-AD用于在服务器SRV处对设备进行认证的认证数据的步骤；由设备DEV经由安全通信信道向服务器发送SND-AD认证数据的步骤；由设备DEV向服务器SRV发送SND-IDF-CERT第一证书标识符IDF-CERT-1的步骤；由设备DEV创建CRT-AKP-1第一非对称密钥对的步骤，非对称密钥对包括第一公钥PBK-1和第一私钥PRK-1；以及由设备DEV向服务器SRV发送SND-PBK-1第一公钥PBK-1的步骤。另外，该方法包括由设备DEV在设备DEV上安装INST-CERT-1第一数字证书CERT-1的步骤。
图7示出了根据本发明的实施方式的用于提供第一数字证书CERT-1的方法的第三过程流程图。第三过程流程图包括图4所示的第一过程流程图和图5所示的第二过程流程图的所有步骤，这些步骤和关于这些步骤描述的数据结构可以包括图4和图5中描述的所有有利实施方式和特征。此外，第三过程流程图包括图6所示的用于安装第一数字证书CERT-1的方法的过程流程图的所有步骤，这些步骤和关于这些步骤描述的数据结构可以包括图6中描述的所有有利实施方式和特征。虽然图4和图5描述了由服务器SRV执行的步骤，并且图6描述了由设备DEV执行的对应步骤，但是图7还包括由证书机构CA执行的对应步骤。
在该实施方式中，该方法还包括由证书机构CA接收REC-CSR-1第一证书签名请求CSR-1。此外，该方法包括：由证书机构CA接收REC-INF已经由服务器SRV提供响应的信息的步骤；由证书机构CA验证VRF-RSP由服务器SRV提供的响应的步骤；基于第一公钥PBK-1和第一域名DN-1创建CRT-CERT-1第一数字证书的步骤；以及由证书机构CA向服务器SRV发送SND-CERT-1第一数字证书CERT-1的步骤。
图8示出了根据本发明的实施方式的用于提供第一数字证书CERT-1的方法的第四过程流程图。第四过程流程图包括已经参照图4和图5描述的步骤。这些步骤和关于这些步骤描述的数据结构可以包括图4和图5中描述的所有有利实施方式和特征。
第四过程流程图是先前描述的过程流程图的扩展，第四过程流程图允许向设备DEV的客户端CLT分发附加数字证书。如果创建第一数字证书CERT-1基于存储在设备DEV处的预共享秘密，则该附加过程步骤可以用于基于客户端CLT在设备DEV处被认证并且为设备DEV所知向设备DEV的客户端CLT提供第二数字证书CERT-2。换言之，一方面在服务器SRV与设备DEV之间建立信任链，而另一方面在设备DEV与客户端CLT之间建立信任链。特别地，如果客户端CLT是由与服务器SRV所有者不同的制造商创建的，则可以使用该过程。特别地，可以对设备DEV的若干客户端CLT执行以下描述的方法步骤。
第四过程流程图还包括基于第一数字证书CERT-1对设备DEV进行认证AUTH-DEV的可选步骤。在该实施方式中，对设备DEV进行认证AUTH-DEV基于质询-响应过程。例如，这可以基于TLS(“Transport Layer Security(传输层安全)”的首字母缩写)握手协议或其他类型的握手协议。
附加步骤是从设备DEV接收REC-RD注册数据RD，其中，注册数据RD包括第二证书标识符IDF-CERT-2。在该实施方式中，第二证书标识符IDF-CERT-2包括第一证书标识符IDF-CERT-1和客户端CLT的客户端标识符CLT-IDF。在替选实施方式中，第二证书标识符IDF-CERT-2可以独立于第一证书标识符IDF-CERT-1和客户端CLT的标识符CLT-IDF。
另一步骤是接收REC-PBK-2由设备DEV的客户端CLT创建的第二公钥PBK-2。特别地，第二公钥PBK-2与第二私钥PRK-2对应，第二公钥PBK-2和第二私钥PRK-2由客户端CLT创建作为第二非对称密钥对。特别地，第二私钥PRK-2保留在客户端CLT上并且可以稍后用于基于第二数字证书来证明客户端CLT的身份。
第四过程流程图的附加步骤是向证书机构CA发送SND-CSR-2基于第二公钥PBK-2的与第二域名DN-2相关的第二证书签名请求CSR-2。在此，第二域名DN-2包括第二证书标识符IDF-CERT-2。特别地，可以基于第一域名DN-1通过将第一域名DN-1内的第一证书标识符IDF-CERT-1替换为第二证书标识符IDF-CERT-2来生成第二域名DN-2(其中，第一证书标识符IDF-CERT-1和/或第二证书标识符IDF-CERT-2可以包括域名的若干标签或级别，并且特别地，其中，第一证书标识符IDF-CERT-1和第二证书标识符IDF-CERT-2可以包括域名的不同数目的标签或级别)。对应的第一域名DN-1和第二域名DN-2的示例在图16中所示。
在向证书机构发送SND-CSR-2第二证书签名请求CSR-2之后，过程流程包括从证书机构CA接收REC-CERT-2第二数字证书CERT-2。在此，第二数字证书CERT-2是由证书机构CA签名的基于第二域名DN-2的通配符证书。对于第一证书签名请求CSR-1，可以存在类似于图5和图7所示的步骤的用于证明PRV-OWN'的附加步骤。
示出的流程图的最后一步是向设备DEV和/或客户端CLT提供PROV-CERT-2第二数字证书CERT-2。特别地，第二数字证书CERT-2可以直接发送至设备DEV和/或客户端CLT，或者可以使得数字证书CERT-2可由设备DEV和/或客户端CLT下载。
图9示出了根据本发明的实施方式的用于提供第二数字证书CERT-2的方法的过程流程图。该方法包括：基于第一数字证书CERT-1对设备DEV进行认证AUTH-DEV的可选步骤；从设备DEV接收REC-RD注册数据RD的步骤；接收REC-PBK-2由设备DEV的客户端CLT创建的第二公钥PBK-2的步骤；向证书机构CA发送SND-CSR-2基于第二公钥PBK-2的与第二域名DN-2相关的第二证书签名请求CSR-2的步骤；从证书机构CA接收REC-CERT-2第二数字证书CERT-2的步骤；以及向设备DEV和/或客户端CLT提供PROV-CERT-2第二数字证书CERT-2的步骤。所有这些步骤可以包括关于图8的第四过程流程图所描述的有利的和替选的实施方式和特征。
特别地，用于提供第二数字证书CERT-2的方法的过程流程图仅与用于创建和提供第二数字证书CERT-2的步骤对应，并且可以独立于用于提供第一数字证书CERT-1的方法步骤来执行。
图10示出了根据本发明的实施方式的用于安装第二数字证书CERT-2的方法的过程流程图。
根据示出的实施方式，该方法包括以下步骤：由客户端CLT确定DET-RD注册数据RD；由客户端CLT向设备DEV发送SND-RD注册数据RD；由客户端CLT创建CRT-AKP-2第二非对称密钥对，第二非对称密钥对包括第二公钥PBK-2和第二私钥PRK-2；由客户端CLT向设备DEV发送SND-PBK-2第二公钥PBK-2；以及由客户端CLT安装INST-CERT-2第二数字证书CERT-2。
图11示出了根据本发明的实施方式的用于提供第一数字证书CERT-1的方法的第五过程流程图。第五过程流程图可以理解为图7中的第三过程流程图的扩展，或者理解为独立的过程流程图。在后一种情况下，提供PROV-CERT-1第一数字证书CERT-1和安装INST-CERT-1第一数字证书CERT-1的步骤是可选步骤。
第五过程流程图还包括图8所示的第四过程流程图和图10的用于安装第二数字证书CERT-2的方法的过程流程图的步骤。这些步骤可以包括如关于相应附图所描述的所有有利特征和实施方式。
第五过程流程图还包括以下可选步骤：由设备DEV向服务器发送TRM-RD注册数据RD；由设备DEV向服务器SRV发送TRM-PBK-2由设备DEV的客户端CLT创建的第二公钥PBK-2；以及由设备DEV向客户端CLT发送TRM-CERT-2第二数字证书。
第五过程流程图还包括证明与第二域名DN-2相关的域的所有权PRV-OWN'的可选步骤。特别地，证明所有权PRV-OWN'的步骤是通过ACME协议(“Automatic CertificateManagement Environment(自动证书管理环境)”的首字母缩写，在RFC 8555、https://tools.ietf.org/html/rfc8555中描述)执行的。
在该实施方式中，证明所有权PRV-OWN'的步骤包括以下子步骤：从证书机构CA接收REC-CLG'质询；确定DET-RSP'与质询相关的响应，其中，该响应表明对与第二域名DN-2相关的域的控制；向证书机构CA提供PROV-RSP'响应；通知INF-CA'证书机构CA已经提供响应。
在该实施方式中，质询是在服务器处的基于域“ca1d5f5f7ba45...com”可访问的某个位置处创建具有给定内容的文件，例如在“http://ca1d5f5f7ba45...com/authentication.html”处创建某个HTML文件。确定响应包括实际创建该文件并且使其可供公众访问。可替选地，可以使用ACME方法DNS-01。
在示出的实施方式中，在发送SND-CSR-2第二证书签名请求CSR-2的步骤之后执行证明所有权PRV-OWN'的步骤。也可以首先执行证明所有权PRV-OWN'的步骤，并且然后执行发送SND-CSR-2第二证书签名请求CSR-2的步骤。
在该实施方式中，该方法还包括由证书机构CA接收REC-CSR-2第二证书签名请求CSR-2。此外，该方法包括：由证书机构CA接收REC-INF'已经由服务器SRV提供响应的信息的步骤；由证书机构CA验证VRF-RSP'由服务器SRV提供的响应的步骤；基于第二公钥PBK-2和第一域名DN-2创建CRT-CERT-2第二数字证书CERT-2的步骤；以及由证书机构CA向服务器SRV发送SND-CERT-2第二数字证书CERT-2的步骤。
图12示出了根据本发明的实施方式的用于提供DNS响应DNS-RSP的方法的数据流程图。在示出的实施方式中，请求者REQ想要具有与设备DEV的域名D-DN相关的DNS响应，以建立基于设备DEV的数字证书CERT-1的加密通信。
在图12中，描述了针对与设备DEV进行的且基于第一数字证书CERT-1的交互的数据流。相同的数据流可以应用于与客户端CLT的基于第二数字证书CERT-2的交互，而无需进行重大更改。
在该实施方式中，请求者REQ创建DNS请求DNS-REQ并且将该DNS请求DNS-REQ发送至服务器。DNS请求DNS-REQ指向解析第一完全限定域名FQDN-1。第一完全限定域名FQDN-1包括设备DEV的编码域名E-DN和由设备DEV拥有的与第一数字证书CERT-1相关的第一证书标识符IDF-CERT-1。
在接收到DNS请求DNS-REQ之后，服务器以DNS响应DNS-RSP进行响应。在该实施方式中，DNS响应是包括解码域名D-DN的CNAME资源记录。编码域名E-DN和对应的解码域名D-DN的示例参照图17进行描述。
基于DNS响应DNS-RSP，请求者REQ可以在请求者REQ与客户端CLT之间建立安全连接。特别地，请求者REQ可以向设备DEV发送认证请求AUTH-REQ，并且从设备DEV接收认证响应AUTH-RSP，其中，认证响应AUTH-RSP表明知道设备DEV处的第一私钥PRK-1。该过程的示例是HTTPS握手。认证之后，可以建立安全连接，并且数据DAT可以在请求者REQ与设备DEV之间以加密方式交换。
图13示出了根据本发明的实施方式的用于提供DNS响应DNS-RSP的方法的第一过程流程图。
示出的实施方式的第一步是从请求者REQ接收REC-DNS-REQ用于解析完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的DNS请求DNS-REQ。在此，完全限定域名(FQDN-1、FQDN-2、FQDN-1'、FQDN-2')包括作为标签的编码域名E-DN。接收REC-DNS-REQ DNS请求DNS-REQ的步骤由设备服务器SRV执行，特别地由所述服务器的接口SRV.IF执行。
示出的实施方式的第二步是基于编码域名E-DN确定DET-D-DN解码域名D-DN。在该实施方式中，确定DET-D-DN解码域名D-DN的步骤由服务器SRV执行。特别地，解码域名D-DN可以根据编码域名E-DN通过将特殊字符“--”或“---”替换为点字符“.”来分隔域名中的不同级别而获得。
示出的实施方式的最后一步是向请求者REQ提供PROV-DNS-RSP DNS响应DNS-RSP，其中，DNS响应DNS-RSP包括解码域名D-DN。特别地，提供PROV-DNS-RSP DNS响应DNS-RSP的步骤由服务器SRV执行。特别地，DNS响应DNS-RSP与CNAME资源记录对应。
图14示出了根据本发明的实施方式的用于提供DNS响应DNS-RSP的方法的第二过程流程图。
第二过程流程图与图13所示的第一过程流程图对应，但是第二过程流程图指示由请求者REQ执行的对应步骤。
图15示出了根据本发明的实施方式的用于提供DNS响应DNS-RSP的方法的第三过程流程图。第三过程流程图是图13所示的第一过程流程图和图14所示的第二过程流程图的组合，并且另外包括由设备DEV执行的步骤。
图16示出了在本发明的不同实施方式中使用的域名DN-1、DN-2、DN-1'、DN-2'。特别地，域名DN-1、DN-2、DN-1'、DN-2'是通配符域名，并且用作数字证书CERT-1、CERT-2、CERT-1'、CERT-2'中的主体。
在该实施方式中，第一域名DN-1相当于字符串“*.ca1d5f5f7ba45...com”。第一域名DN-1包括星号标签“*”、第一证书标识符IDF-CERT-1(“ca1d5f5f7ba45”)、域部分DMN-PRT(“cert.”)和顶级域“com”。第一域名DN-1不包括DNS类型标识符DNS-TYP。在替选实施方式中，第一域名DN-1确实包括DNS类型标识符DNS-TYP(“a”，以指示DNS请求将被解析为A资源记录)。在该替选实施方式中，第一域名DN-1可以相当于字符串“*.ca1d5f5f7ba45..cert..com”或字符串“*.a.ca1d5f5f7ba45.cert..com”，这是因为第一证书标识符IDF-CERT-1和DNS类型标识符DNS-TYP的顺序可以互换。然而，应当注意，在任何情况下，第一域名DN-1中的不同字符串将与不同的第一数字证书CERT-1对应，这是因为第一域名DN-1通常被包括作为第一数字证书CERT-1的主体。
在示出的实施方式中，第二域名DN-2相当于字符串“*.ca1d5f5f7ba45.client-abc...com”。第二域名DN-2包括星号标签“*”、第一证书标识符IDF-CERT-1(“ca1d5f5f7ba45”)、客户端标识符IDF-CLT“client-abc”、域部分DMN-PRT(“cert.”)和顶级域“com”。特别地，域部分DMN-PRT(“cert.”)和顶级域“com”与第一域名DN-1的相应部分是等同的。如同第一域名DN-1，第二域名DN-2可以可选地包括DNS类型标识符DNS-TYP。第一证书标识符IDF-CERT-1(“ca1d5f5f7ba45”)和客户端标识符IDF-CLT“client-abc”形成第二证书标识符IDF-CERT-2。
在替选的未示出的实施方式中，第二域名DN-2可以包括不同于第一证书标识符IDF-CERT-1并且不包括第一证书标识符IDF-CERT-1的第二证书标识符IDF-CERT-2(在此为“6c15b0f00a08”)。特别地，在该替选方案中，第二域名DN-2不包括客户端标识符CLT-IDF。在该替选方案中，第二域名DN-2相当于字符串“*.6c15b0f00a08...com”。
在该实施方式中，经修改的第一域名DN-1'相当于字符串“*.ca1d5f5f7ba45.cname...com”。经修改的第一域名DN-1'包括星号标签“*”、第一证书标识符IDF-CERT-1(“ca1d5f5f7ba45”)、域部分DMN-PRT(“cert.”)、顶级域“com”和DNS类型标识符DNS-TYP'(“cname”，以指示DNS请求将被解析为CNAME资源记录)。在替选实施方式中，经修改的第一域名DN-1'也可以相当于字符串“*.cname.ca1d5f5f7ba45.cert..com”，这是因为第一证书标识符IDF-CERT-1和DNS类型标识符DNS-TYP'的顺序可以互换。然而，应当注意，在任何情况下，作为经修改的第一域名DN-1'的不同字符串将与不同的经修改的第一数字证书CERT-1'对应，这是因为经修改的第一域名DN-1'通常被包括作为经修改的第一数字证书CERT-1'的主体。
在示出的实施方式中，经修改的第二域名DN-2'相当于字符串“*.ca1d5f5f7ba45.client-abc....com”。经修改的第二域名DN-2'包括星号标签“*”、第一证书标识符IDF-CERT-1(“ca1d5f5f7ba45”)、客户端标识符IDF-CLT“client-abc”、域部分DMN-PRT(“cert.”)和顶级域“com”。特别地，域部分DMN-PRT(“cert.”)和顶级域“com”与第一域名DN-1的相应部分是等同的。如同经修改的第一域名DN-1'，经修改的第二域名DN-2'包括DNS类型标识符DNS-TYP'。第一证书标识符IDF-CERT-1(“ca1d5f5f7ba45”)和客户端标识符IDF-CLT“client-abc”形成第二证书标识符IDF-CERT-2。
在替选的未示出的实施方式中，经修改的第二域名DN-2'可以包括不同于第一证书标识符IDF-CERT-1并且不包括第一证书标识符IDF-CERT-1的第二证书标识符IDF-CERT-2(在此为“6c15b0f00a08”)。特别地，在该替选方案中，经修改的第二域名DN-2'不包括客户端标识符CLT-IDF。在该替选方案中，经修改的第二域名DN-2'相当于字符串“*.6c15b0f00a08....com”。
图17示出了在本发明的不同实施方式中使用的完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'。特别地，完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'用于DNS请求中。
第一完全限定域名FQDN-1和第二完全限定域名FQDN-2基于第一域名DN-1和第二域名DN-2，其中，将第一域名DN-1和第二域名DN-2的星号标签AL替换为编码域名E-DN。经修改的第一完全限定域名FQDN-1'和经修改的第二完全限定域名FQDN-2'基于经修改的第一域名DN-1'和经修改的第二域名DN-2'，其中，将经修改的第一域名DN-1'和经修改的第二域名DN-2'的星号标签AL替换为编码IP地址名称E-IP。
编码域名E-DN基于对应的解码域名D-DN。特别地，解码域名D-DN中的所有点字符“.”(分隔解码域名D-DN的不同级别)都需要替换为特殊字符或特殊字符序列(例如，双破折号“--”或三破折号“---”)，使得编码域名E-DN不会跨越对应的完全限定域名FQDN-1、FQDN-2的不同级别。例如，如果解码域名D-DN对应于字符串“pacs.abc.”，则编码域名E-DN可以对应于字符串“pacs--abc--”或“pacs---abc---”。
编码IP地址E-IP基于对应的解码IP地址D-IP。特别地，解码IP地址D-IP中的所有点字符“.”(分隔解码IP地址D-IP的不同子网)都需要替换为特殊字符或特殊字符序列(例如，单破折号“-”)，使得编码IP地址E-IP不会跨越对应的完全限定域名FQDN-1'、FQDN-2'的不同级别。例如，如果解码IP地址D-IP对应于字符串“192...”，则编码IP地址E-IP可以对应于字符串“192-”。
在示出的实施方式中，为了确定使用哪种DNS响应类型，使用完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'中的DNS类型标识符DNS-TYP、DNS-TYP'的存在和/或内容，其中，DNS类型标识符DNS-TYP、DNS-TYP'是完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的单独标签。可替选地，DNS类型标识符DNS-TYP、DNS-TYP'也可以是编码IP地址E-IP和/或编码域名E-DN的一部分，特别地，DNS类型标识符DNS-TYP、DNS-TYP'可以是完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的最低级别的一部分。例如，最低标签的前两个字符可以对应于字符“ip”，以指示期望A记录资源或AAAA记录资源作为响应，并且最低标签的前两个字符可以对应于字符“dn”，以指示期望CNAME记录资源作为响应。
图18示出了根据本发明的实施方式的服务器SRV、设备DEV、证书机构CA、请求者REQ和客户端CLT的第一实施方式。图19示出了根据本发明的实施方式的服务器SRV、设备DEV、证书机构CA、请求者REQ和客户端CLT的第二实施方式。图20示出了根据本发明的实施方式的服务器SRV、设备DEV、证书机构CA、请求者REQ和客户端CLT的第三实施方式。
在图18所示的第一实施方式和图19所示的第二实施方式中，服务器SRV被配置成用于执行根据本发明的用于提供第一数字证书CERT-1的方法和/或用于执行根据本发明的用于提供DNS响应DNS-RSP的方法。可选地，图18或图19所示的系统可以包括代理BRK。代理BRK可以被解释为服务器SRV的一部分，并且被配置成用于接收认证数据AD和/或用于验证认证数据AD。代理BRK可以位于服务器SRV的内部网络处，或可以是服务器的物理部分(如图18所示)，可替选地，代理BRK可以是位于设备DEV的内部网INTR内的设备(如图19所示)。
在图20所示的第三实施方式中，服务器SRV包括两个独立的实体：注册服务器SRV.REG，被配置成用于执行根据本发明的用于提供第一数字证书CERT-1的方法；以及DNS服务器SRV.DNS，被配置成用于执行根据本发明的用于提供DNS响应DNS-RSP的方法。
在图18、图19和图20所示的实施方式中，设备DEV、客户端CLT和请求者REQ位于内部网网络INTR中。可替选地，请求者REQ可以位于内部网网络INTR之外。
服务器SRV、注册服务器SRV.REG、DNS服务器SRV.DNS、设备DEV、证书机构CA、代理BRK、请求者REQ和/或客户端CLT可以是(个人)计算机、工作站、在主机硬件上运行的虚拟机、微控制器或集成电路。特别地，服务器SRV、注册服务器SRV.REG、DNS服务器SRV.DNS、设备DEV、证书机构CA、代理BRK和/或客户端CLT可以是移动设备，例如智能电话或平板电脑。作为替选方案，服务器SRV、注册服务器SRV.REG、DNS服务器SRV.DNS、设备DEV、证书机构CA、代理BRK和/或客户端CLT可以是真实或虚拟计算机组(针对真实计算机组的技术术语是“集群”，针对虚拟计算机组的技术术语是“云”)。
设备DEV和服务器SRV可以通过安全通信信道SCC和/或另一网络NETW进行通信。网络NETW可以实现为LAN(“local area network(局域网)”的首字母缩写)，特别地WiFi网络，或任何其他本地连接。可替选地，网络NETW可以是因特网。安全通信信道SCC可以是经由网络NETW的连接的一部分，或者其可以与网络分离。特别地，安全通信信道SCC可以实现为VPN(“virtual private network(虚拟专用网络)”的首字母缩写)。
服务器SRV、注册服务器SRV.REG、DNS服务器SRV.DNS、设备DEV、证书机构CA、代理BRK和/或客户端CLT中的每一个可以包括接口SRV.IF、DEV.IF、CLT.IF、计算单元SRV.CU、DEV.CU、CLT.CU和存储单元SRV.MU、DEV.MU、CLT.MU。接口SRV.IF、DEV.IF、CLT.IF可以是硬件接口或作为软件接口(例如，PCI总线、USB或火线)。计算单元SRV.CU、DEV.CU、CLT.CU可以包括硬件元件和软件元件，例如微处理器、CPU(“central processing unit(中央处理单元)”的首字母缩写)、GPU(“graphical processing unit(图形处理单元)”的首字母缩写)、现场可编程门阵列(首字母缩写为“FPGA”)或ASIC(“application-specific integratedcircuit(专用集成电路)”的首字母缩写)。计算单元SRV.CU、DEV.CU、CLT.CU可以被配置成用于多线程，即计算单元可以同时托管不同的计算进程，并行执行或在主动计算进程与被动计算进程之间进行切换。
以下项也是本公开内容的一部分：
项1.1：一种用于由服务器SRV向设备DEV提供第一数字证书CERT-1的计算机实现的方法，包括：
-经由安全通信信道从所述设备DEV接收REC-AD认证数据AD，
-从所述设备DEV接收REC-IDF-CERT或由所述服务器SRV确定DET-IDF-CERT第一证书标识符IDF-CERT-1，特别地，其中，所述第一证书标识符IDF-CERT-1是散列值，
-验证VRF-AD所述认证数据AD，
-从所述设备DEV接收REC-PBK-1由所述设备DEV创建的第一公钥PBK-1，
-向证书机构CA发送SND-CSR-1基于所述第一公钥PBK-1的与第一域名DN-1相关的第一证书签名请求CSR-1，
其中，所述第一域名DN-1包括所述证书标识符IDF-CERT-1，
-从所述证书机构CA接收REC-CERT-1所述第一数字证书CERT-1，
其中，所述第一数字证书CERT-1是由所述证书机构CA签名的基于所述第一域名DN-1和所述第一公钥PBK-1的通配符证书，
-向所述设备DEV提供PROV-CERT-1所述第一数字证书CERT-1。
项1.2：根据项1.1所述的方法，其中，所述第一域名DN-1包括星号标签AL。
项1.3：根据项1.2所述的方法，其中，所述星号标签AL是所述第一域名DN-1的最后一个标签。
项1.4：根据项1.1或项1.2所述的方法，其中，所述第一证书标识符IDF-CERT-1是所述第一域名DN-1的与所述第一域名DN-1的最后一个标签不同的标签。
项1.5：根据项1.4所述的方法，其中，所述第一证书标识符IDF-CERT-1是所述第一域名DN-1的倒数第二个标签。
项1.6：根据项1.1至1.4中的一项所述的方法，还包括：
-证明与所述第一域名DN-1相关的域的所有权PRV-OWN。
项1.7：根据项1.6所述的方法，其中，证明所有权PRV-OWN的步骤包括以下子步骤中的至少一个：
-从所述证书机构CA接收REC-CLG质询，
-确定DET-RSP与所述质询相关的响应，其中，所述响应表明对与所述第一域名DN-1相关的域的控制，
-向所述证书机构CA提供PROV-RSP所述响应，
-通知INF-CA所述证书机构CA已经提供所述响应。
项1.8：根据项1.1至1.7中的一项所述的方法，其中，所述认证数据AD包括预共享秘密，特别地，其中，所述预共享秘密基于以下至少一项：
-预共享一次性密码，
-预共享密钥，
-预共享硬件令牌。
项1.9：根据项1.1至1.8中的一项所述的方法，其中，所述认证数据AD包括所述设备DEV的设备标识符IDF-DEV，特别地，其中，所述设备标识符IDF-DEV基于所述设备DEV的材料号和/或所述设备DEV的序列号。
项1.10：根据项1.1至1.9中的一项所述的方法，还包括：
-向所述证书机构CA发送SND-CSR-1'基于所述第一公钥PBK-1的与经修改的第一域名DN-1'相关的经修改的第一证书签名请求CSR-1',其中，所述经修改的第一域名DN-1'包括所述证书标识符IDF-CERT-1，
-从所述证书机构CA接收REC-CERT-1'经修改的第一数字证书CERT-1'，
其中，所述经修改的第一数字证书CERT-1'是由所述证书机构CA签名的基于所述经修改的第一域名DN-1'和所述第一公钥PBK-1的通配符证书，
-向所述设备DEV提供PROV-CERT-1'所述经修改的第一数字证书CERT-1'。
项1.11：根据项1.1至1.10中的一项所述的方法，还包括：
-为所述第一域名DN-1和/或所述经修改的第一域名DN-1'创建CRT-DNS DNS资源记录。
项1.12：根据项1.1至1.11中的一项所述的方法，还包括：
-存储STR-USG与所述认证数据AD相关的使用信息以防止再次使用所述认证数据AD。
项1.13：根据项1.1至1.12中的一项所述的方法，还包括：
-可选地，基于所述第一数字证书CERT-1对所述设备DEV进行认证AUTH-DEV，
-从所述设备DEV接收REC-RD注册数据RD，
其中，所述注册数据RD包括第二证书标识符IDF-CERT-2，
-接收REC-PBK-2由所述设备DEV的客户端CLT创建的第二公钥PBK-2，
-向所述证书机构CA发送SND-CSR-2基于所述第二公钥PBK-2的与第二域名DN-2相关的第二证书签名请求CSR-2，
其中，所述第二域名DN-2包括所述第二证书标识符IDF-CERT-2，
-从所述证书机构CA接收REC-CERT-2第二数字证书CERT-2，
其中，所述第二数字证书CERT-2是由所述证书机构CA签名的基于所述第二域名DN-2的通配符证书，
-向所述设备DEV和/或所述客户端CLT提供PROV-CERT-2所述第二数字证书CERT-2。
项1.14：根据项1.13所述的方法，其中，所述第二证书标识符IDF-CERT-2包括所述第一证书标识符IDF-CERT-1和与所述客户端CLT相关的客户端标识符IDF-CLT。
项1.15：根据项1.14所述的方法，其中，所述第二域名DN-2包括星号标签AL，其中，所述星号标签AL是所述第二域名DN-2的最后一个标签，其中，所述第一证书标识符IDF-CERT-1是所述第二域名DN-2的倒数第二个标签，并且其中，所述客户端标识符IDF-CLT是所述第二域名DN-2的倒数第三个标签。
项1.16：根据项1.14所述的方法，其中，所述第二域名DN-2包括星号标签AL，其中，所述星号标签AL是所述第二域名DN-2的最后一个标签，其中，所述第一证书标识符IDF-CERT-1是所述第二域名DN-2的倒数第三个标签，并且其中，所述客户端标识符IDF-CLT是所述第二域名DN-2的倒数第二个标签。
项1.17：根据项1.1至1.16中的一项所述的方法，还包括：
-基于所述第一数字证书CERT-1和/或所述第二数字证书CERT-2创建DICOM节点配置。
项2.1：一种用于在设备DEV上安装第一数字证书CERT-1的计算机实现的方法，包括：
-由所述设备DEV确定DET-AD用于在服务器SRV处对所述设备进行认证的认证数据，
-由所述设备DEV经由安全通信信道向所述服务器发送SND-AD所述认证数据，
-由所述服务器SRV经由所述安全通信信道接收REC-AD所述认证数据AD，
-由所述服务器SRV验证VRF-AD所述认证数据AD，
-由所述设备DEV向所述服务器SRV发送SND-IDF-CERT第一证书标识符IDF-CERT-1，
特别地，其中，所述第一证书标识符IDF-CERT-1是散列值或随机值，
-由所述服务器SRV接收REC-IDF-CERT所述第一证书标识符IDF-CERT-1，
-由所述设备DEV创建CRT-AKP-1第一非对称密钥对，所述非对称密钥对包括第一公钥PBK-1和第一私钥PRK-1，
-由所述设备DEV向所述服务器SRV发送SND-PBK-1所述第一公钥PBK-1，
-由所述服务器SRV接收REC-PBK-1由所述设备DEV创建的所述第一公钥PBK-1，
-由所述服务器SRV向证书机构CA发送SND-CSR-1基于所述第一公钥PBK-1的与第一域名DN-1相关的第一证书签名请求CSR-1，
其中，所述第一域名DN-1包括证书标识符IDF-CERT-1，
-由所述服务器SRV从所述证书机构CA接收REC-CERT-1所述第一数字证书CERT-1，
其中，所述第一数字证书CERT-1是由所述证书机构CA签名的基于所述第一域名DN-1和所述第一公钥PBK-1的通配符证书，
-由所述服务器SRV向所述设备DEV提供PROV-CERT-1所述第一数字证书CERT-1，
-由所述设备DEV在所述设备DEV上安装INST-CERT-1所述第一数字证书CERT-1。
项2.2：根据项2.1所述的方法，其中，所述第一域名DN-1包括星号标签AL。
项2.3：根据项2.2所述的方法，其中，所述星号标签AL是所述第一域名DN-1的最后一个标签。
项2.4：根据项2.1或项2.2所述的方法，其中，所述第一证书标识符IDF-CERT-1是所述第一域名DN-1的与所述第一域名DN-1的最后一个标签不同的标签。
项2.5：根据项2.4所述的方法，其中，所述第一证书标识符IDF-CERT-1是所述第一域名DN-1的倒数第二个标签。
项2.6：根据项2.1至2.4中的一项所述的方法，还包括：
-证明与所述第一域名DN-1相关的域的所有权PRV-OWN。
项2.7：根据项2.6所述的方法，其中，证明所有权PRV-OWN的步骤包括以下子步骤中的至少一个：
-从所述证书机构CA接收REC-CLG质询，
-确定DET-RSP与所述质询相关的响应，其中，所述响应表明对与所述第一域名DN-1相关的域的控制，
-向所述证书机构CA提供PROV-RSP所述响应，
-通知INF-CA所述证书机构CA已经提供所述响应。
项2.8：根据项2.1至2.7中的一项所述的方法，其中，所述认证数据AD包括预共享秘密，特别地，其中，所述预共享秘密基于以下至少一项：
-预共享一次性密码，
-预共享密钥，
-预共享硬件令牌。
项2.9：根据项2.1至2.8中的一项所述的方法，其中，所述认证数据AD包括所述设备DEV的设备标识符IDF-DEV，特别地，其中，所述设备标识符IDF-DEV基于所述设备DEV的材料号和/或所述设备DEV的序列号。
项2.10：根据项2.1至2.9中的一项所述的方法，还包括：
-由所述服务器SRV向所述证书机构CA发送SND-CSR-1'基于所述第一公钥PBK-1的与经修改的第一域名DN-1'相关的经修改的第一证书签名请求CSR-1',
其中，所述经修改的第一域名DN-1'包括所述证书标识符IDF-CERT-1，
-由所述服务器SRV从所述证书机构CA接收REC-CERT-1'经修改的第一数字证书CERT-1'，
其中，所述经修改的第一数字证书CERT-1'是由所述证书机构CA签名的基于所述经修改的第一域名DN-1'和所述第一公钥PBK-1的通配符证书，
-由所述服务器SRV向所述设备DEV提供PROV-CERT-1'所述经修改的第一数字证书CERT-1'，
-由所述设备DEV在所述设备DEV上安装INST-CERT-1所述经修改的第一数字证书CERT-1'。
项2.11：根据项2.1至2.10中的一项所述的方法，还包括：
-为所述第一域名DN-1和/或所述经修改的第一域名DN-1'创建CRT-DNS DNS资源记录。
项2.12：根据项2.1至2.11中的一项所述的方法，还包括：
-存储STR-USG与所述认证数据AD相关的使用信息以防止再次使用所述认证数据AD。
项2.13：根据项2.1至2.12中的一项所述的方法，还包括：
-可选地，基于所述第一数字证书CERT-1对所述设备DEV进行认证AUTH-DEV，
-由所述设备DEV向所述服务器发送TRM-RD注册数据RD，其中，所述注册数据RD包括第二证书标识符IDF-CERT-2，
-由所述服务器SRV从所述设备DEV接收REC-RD所述注册数据RD，
-由所述设备DEV向所述服务器SRV发送TRM-PBK-2由所述设备DEV的客户端CLT创建的第二公钥PBK-2，
-由所述服务器SRV接收REC-PBK-2所述第二公钥PBK-2，
-由所述服务器SRV向所述证书机构CA发送SND-CSR-2基于所述第二公钥PBK-2的与第二域名DN-2相关的第二证书签名请求CSR-2，
其中，所述第二域名DN-2包括所述第二证书标识符IDF-CERT-2，
-由所述服务器SRV从所述证书机构CA接收REC-CERT-2第二数字证书CERT-2，
其中，所述第二数字证书CERT-2是由所述证书机构CA签名的基于所述第二域名DN-2的通配符证书，
-由所述服务器SRV向所述设备DEV和/或所述客户端CLT提供PROV-CERT-2所述第二数字证书CERT-2，可选地包括由所述设备DEV向所述客户端CLT发送TRM-CERT-2所述第二数字证书。
项2.14：根据项2.13所述的方法，还包括：
-由所述客户端CLT确定DET-RD所述注册数据RD，
-由所述客户端CLT向所述设备发送SND-RD所述注册数据RD，
-由所述客户端CLT创建CRT-AKP-2第二非对称密钥对，所述第二非对称密钥对包括第二公钥PBK-2和第二私钥PRK-2，
-由所述客户端CLT向所述设备DEV发送SND-PBK-2所述第二公钥PBK-2，
-由所述客户端CLT安装INST-CERT-2所述第二数字证书CERT-2。
项2.15：根据项2.13或2.14所述的方法，其中，所述第二证书标识符IDF-CERT-2包括所述第一证书标识符IDF-CERT-1和与所述客户端CLT相关的客户端标识符IDF-CLT。
项2.16：根据项2.15所述的方法，其中，所述第二域名DN-2包括星号标签AL，其中，所述星号标签AL是所述第二域名DN-2的最后一个标签，其中，所述第一证书标识符IDF-CERT-1是所述第二域名DN-2的倒数第二个标签，并且其中，所述客户端标识符IDF-CLT是所述第二域名DN-2的倒数第三个标签。
项2.17：根据项2.15所述的方法，其中，所述第二域名DN-2包括星号标签AL，其中，所述星号标签AL是所述第二域名DN-2的最后一个标签，其中，所述第一证书标识符IDF-CERT-1是所述第二域名DN-2的倒数第三个标签，并且其中，所述客户端标识符IDF-CLT是所述第二域名DN-2的倒数第二个标签。
项2.18：根据项2.1至2.17中的一项所述的方法，还包括：
-基于所述第一数字证书CERT-1和/或所述第二数字证书CERT-2创建DICOM节点配置。
项3.1：一种用于向客户端CLT和/或设备DEV提供第二数字证书的方法，包括：
-可选地，基于第一数字证书CERT-1对所述设备DEV进行认证AUTH-DEV，
-从所述设备DEV接收REC-RD注册数据RD，
其中，所述注册数据RD包括第二证书标识符IDF-CERT-2，
-接收REC-PBK-2由所述设备DEV的所述客户端CLT创建的第二公钥PBK-2，
-向证书机构CA发送SND-CSR-2基于所述第二公钥PBK-2的与第二域名DN-2相关的第二证书签名请求CSR-2，
其中，所述第二域名DN-2包括所述第二证书标识符IDF-CERT-2，
-从所述证书机构CA接收REC-CERT-2第二数字证书CERT-2，
其中，所述第二数字证书CERT-2是由所述证书机构CA签名的基于所述第二域名DN-2的通配符证书，
-向所述设备DEV和/或所述客户端CLT提供PROV-CERT-2所述第二数字证书CERT-2。
项3.2：根据项3.1所述的方法，其中，所述第二证书标识符IDF-CERT-2包括所述第一证书标识符IDF-CERT-1和与所述客户端CLT相关的客户端标识符IDF-CLT。
项3.3：根据项3.2所述的方法，其中，所述第二域名DN-2包括星号标签AL，其中，所述星号标签AL是所述第二域名DN-2的最后一个标签，其中，所述第一证书标识符IDF-CERT-1是所述第二域名DN-2的倒数第二个标签，并且其中，所述客户端标识符IDF-CLT是所述第二域名DN-2的倒数第三个标签。
项3.4：根据项3.2所述的方法，其中，所述第二域名DN-2包括星号标签AL，其中，所述星号标签AL是所述第二域名DN-2的最后一个标签，其中，所述第一证书标识符IDF-CERT-1是所述第二域名DN-2的倒数第三个标签，并且其中，所述客户端标识符IDF-CLT是所述第二域名DN-2的倒数第二个标签。
项3.5：根据项3.1至3.4中的一项所述的方法，还包括：
-基于所述第一数字证书CERT-1和/或所述第二数字证书CERT-2创建DICOM节点配置。
项4.1：一种用于提供DNS响应的计算机实现的方法，包括：
-从请求者REQ接收REC-DNS-REQ用于解析完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的DNS请求DNS-REQ，
其中，所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'包括作为标签的编码域名E-DN，
-基于所述编码域名E-DN确定DET-D-DN解码域名D-DN，
-向所述请求者REQ提供PROV-DNS-RSP DNS响应DNS-RSP，其中，所述DNS响应DNS-RSP包括所述解码域名D-DN。
项4.2：根据项4.1所述的方法，其中，所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'能够包括作为所述编码域名E-DN的替选的编码IP地址E-IP，所述方法还包括：
-基于所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'确定DET-DNS-TYP DNS请求是与A资源记录、AAAA资源记录还是CNAME资源记录相关，
-在所述DNS请求与CNAME资源记录相关的情况下，
--基于所述编码域名E-DN确定DET-D-DN所述解码域名D-DN，
--向所述请求者REQ提供PROV-DNS-RSP所述DNS响应DNS-RSP，其中，所述DNS响应DNS-RSP包括所述CNAME资源记录，并且其中，所述DNS响应DNS-RSP包括所述解码域名D-DN，
-在所述DNS请求与A资源记录或AAAA资源记录相关的情况下，
--基于所述编码IP地址E-IP确定DET-D-IP解码IP地址D-IP，
--向所述请求者REQ提供PROV-DNS-RSP所述DNS响应DNS-RSP，其中，所述DNS响应DNS-RSP包括所述A资源记录或所述AAAA资源记录，并且其中，所述DNS响应DNS-RSP包括所述解码IP地址D-IP。
项4.3：根据项4.2所述的方法，其中，基于所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'确定DET-DNS-TYP所述DNS请求是与A资源记录、AAAA资源记录还是CNAME资源记录相关的步骤基于所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的不是最低标签的标签的存在和/或内容。
项4.4：根据项4.2所述的方法，其中，基于所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'确定DET-DNS-TYP所述DNS请求是与A资源记录、AAAA资源记录还是CNAME资源记录相关的步骤基于所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的最低标签的内容。
项5.1：一种用于向设备DEV提供第一数字证书CERT-1的服务器SRV，包括接口SRV.IF和计算单元SRV.CU，
-被配置成用于经由安全通信信道从所述设备DEV接收REC-AD认证数据AD，
-被配置成用于从所述设备DEV接收REC-IDF-CERT或由所述服务器SRV确定DET-IDF-CERT第一证书标识符IDF-CERT-1，特别地，其中，所述第一证书标识符IDF-CERT-1是散列值或随机值，
-被配置成用于验证VRF-AD所述认证数据AD，
-被配置成用于从所述设备DEV接收REC-PBK-1由所述设备DEV创建的第一公钥PBK-1，
-被配置成用于向证书机构CA发送SND-CSR-1基于所述第一公钥PBK-1的与第一域名DN-1相关的第一证书签名请求CSR-1，
其中，所述第一域名DN-1包括所述证书标识符IDF-CERT-1，
并且其中，与所述第一域名DN-1相关的域由所述服务器SRV控制，
-被配置成用于从所述证书机构CA接收REC-CERT-1所述第一数字证书CERT-1，
其中，所述第一数字证书CERT-1是由所述证书机构CA签名的基于所述第一域名DN-1和所述第一公钥PBK-1的通配符证书，
-被配置成用于向所述设备DEV提供PROV-CERT-1所述第一数字证书CERT-1。
项5.2：根据项5.1所述的服务器，还被配置成用于执行根据项1.2至1.17中的一项所述的方法。
项5.3：一种包括接口DEV.IF和计算单元DEV.CU的设备DEV，被配置成用于：
-确定DET-AD用于在服务器SRV处对所述设备进行认证的认证数据，
-可选地，向所述服务器SRV发送SND-IDF-CERT第一证书标识符IDF-CERT-1，特别地，其中，所述第一证书标识符IDF-CERT-1是散列值或随机值，
-创建CRT-AKP-1第一非对称密钥对，所述非对称密钥对包括第一公钥PBK-1和第一私钥PRK-1，
-向所述服务器SRV发送SND-PBK-1所述第一公钥PBK-1，
-接收第一数字证书CERT-1并且在所述设备DEV上安装INST-CERT-1所述第一数字证书CERT-1。
项5.4：根据项5.3所述的设备DEV，还被配置成用于执行根据项2.2至2.18中的一项所述的方法的步骤。
项5.5：一种包括接口CLT.IF和计算单元CLT.CU的客户端CLT，所述客户端CLT是设备DEV的客户端，被配置成用于：
-确定DET-RD注册数据RD，
-向所述设备发送SND-RD所述注册数据RD，
-创建CRT-AKP-2第二非对称密钥对，所述第二非对称密钥对包括第二公钥PBK-2和第二私钥PRK-2，
-向所述设备DEV发送SND-PBK-2所述第二公钥PBK-2，
-接收并且安装INST-CERT-2第二数字证书CERT-2。
项5.6：一种系统，包括：
-根据项5.1或5.2中的一项所述的服务器SRV，
-根据项5.3或5.4中的一项所述的设备DEV。
项5.7：根据项5.6所述的系统，还包括：
-根据项5.5所述的客户端CLT。
项5.8：根据项5.7所述的系统，其中，所述客户端CLT和所述设备DEV位于内部网INTR中。
项5.9：一种包括接口和计算单元的DNS服务器，被配置成用于：
-从请求者REQ接收REC-DNS-REQ用于解析完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'的DNS请求DNS-REQ，
其中，所述完全限定域名FQDN-1、FQDN-2、FQDN-1'、FQDN-2'包括作为标签的编码域名E-DN，
-基于所述编码域名E-DN确定DET-D-DN解码域名D-DN，
-向所述请求者REQ提供PROV-DNS-RSP DNS响应DNS-RSP，其中，所述DNS响应DNS-RSP包括所述解码域名D-DN。
项5.10：根据项5.9所述的DNS服务器，还被配置成用于执行根据项4.2至4.4中的一项所述的方法。
在没有明确描述的地方，可以在不限制或扩宽所描述的发明的范围的情况下将各个实施方式或其各个方面和特征彼此组合或交换，只要这样的组合或交换是有意义的并且在本发明的意义上。关于本发明的一个实施方式描述的优点在适用的情况下也是本发明的其他实施方式的优点。

Claims (15)

1.一种用于由服务器(SRV)向设备(DEV)提供第一数字证书(CERT-1)的计算机实现的方法，包括：
-经由安全通信信道从所述设备(DEV)接收(REC-AD)认证数据(AD)，
-从所述设备(DEV)接收(REC-IDF-CERT)或由所述服务器(SRV)确定(DET-IDF-CERT)第一证书标识符(IDF-CERT-1)，特别地，其中，所述第一证书标识符(IDF-CERT-1)是散列值或随机值，
-验证(VRF-AD)所述认证数据(AD)，
-从所述设备(DEV)接收(REC-PBK-1)由所述设备(DEV)创建的第一公钥(PBK-1)，
-向证书机构(CA)发送(SND-CSR-1)基于所述第一公钥(PBK-1)的与第一域名(DN-1)相关的第一证书签名请求(CSR-1)，
其中，所述第一域名(DN-1)包括所述证书标识符(IDF-CERT-1)，
并且其中，与所述第一域名(DN-1)相关的域由所述服务器(SRV)控制，
-从所述证书机构(CA)接收(REC-CERT-1)所述第一数字证书(CERT-1)，
其中，所述第一数字证书(CERT-1)是由所述证书机构(CA)签名的基于所述第一域名(DN-1)和所述第一公钥(PBK-1)的通配符证书，
-向所述设备(DEV)提供(PROV-CERT-1)所述第一数字证书(CERT-1)。
2.根据权利要求1所述的方法，其中，所述第一域名(DN-1)包括星号标签(AL)，其中，所述星号标签(AL)是所述第一域名(DN-1)的最后一个标签，并且其中，所述第一证书标识符(IDF-CERT-1)是所述第一域名(DN-1)的与所述第一域名(DN-1)的所述最后一个标签不同的标签，特别地，其中，所述第一证书标识符(IDF-CERT-1)是所述第一域名(DN-1)的倒数第二个标签。
3.根据权利要求1或权利要求2所述的方法，还包括：
-证明与所述第一域名(DN-1)相关的域的所有权(PRV-OWN),
-从所述证书机构(CA)接收(REC-CLG)质询，
-为所述证书机构(CA)提供(PROV-RSP)与所述质询相关的响应，
其中，所述响应表明对与所述第一域名(DN-1)相关的域的控制。
4.根据前述权利要求中的一项所述的方法，其中，所述认证数据(AD)包括预共享秘密，特别地，其中，所述预共享秘密基于以下至少一项：
-预共享一次性密码，
-预共享密钥，
-预共享硬件令牌。
5.根据前述权利要求中的一项所述的方法，其中，所述认证数据(AD)包括所述设备(DEV)的设备标识符(IDF-DEV)，特别地，其中，所述设备标识符(IDF-DEV)基于所述设备(DEV)的材料号和/或所述设备(DEV)的序列号。
6.根据前述权利要求中的一项所述的方法，还包括：
-向所述证书机构(CA)发送(SND-CSR-1')基于所述第一公钥(PBK-1)的与经修改的第一域名(DN-1')相关的经修改的第一证书签名请求(CSR-1'),
其中，所述经修改的第一域名(DN-1')包括所述证书标识符(IDF-CERT-1)，
-从所述证书机构(CA)接收(REC-CERT-1')经修改的第一数字证书(CERT-1')，
其中，所述经修改的第一数字证书(CERT-1')是由所述证书机构(CA)签名的基于所述经修改的第一域名(DN-1')和所述第一公钥(PBK-1)的通配符证书，
-向所述设备(DEV)提供(PROV-CERT-1')所述经修改的第一数字证书(CERT-1')。
7.根据前述权利要求中的一项所述的方法，还包括：
-可选地，基于所述第一数字证书(CERT-1)对所述设备(DEV)进行认证(AUTH-DEV)，
-从所述设备(DEV)接收(REC-RD)注册数据(RD)，
其中，所述注册数据(RD)包括第二证书标识符(IDF-CERT-2)，
-接收(REC-PBK-2)由所述设备(DEV)的客户端(CLT)创建的第二公钥(PBK-2)，
-向所述证书机构(CA)发送(SND-CSR-2)基于所述第二公钥(PBK-2)的与第二域名(DN-2)相关的第二证书签名请求(CSR-2)，
其中，所述第二域名(DN-2)包括所述第二证书标识符(IDF-CERT-2)，
-从所述证书机构(CA)接收(REC-CERT-2)第二数字证书(CERT-2)，
其中，所述第二数字证书(CERT-2)是由所述证书机构(CA)签名的基于所述第二域名(DN-2)的通配符证书，
-向所述设备(DEV)和/或所述客户端(CLT)提供(PROV-CERT-2)所述第二数字证书(CERT-2)。
8.根据权利要求7所述的方法，其中，所述第二证书标识符(IDF-CERT-2)包括所述第一证书标识符(IDF-CERT-1)和与所述客户端(CLT)相关的客户端标识符(IDF-CLT)。
9.根据权利要求8所述的方法，其中，所述第二域名(DN-2)包括星号标签(AL)，其中，所述星号标签(AL)是所述第二域名(DN-2)的最后一个标签，其中，所述第一证书标识符(IDF-CERT-1)是所述第二域名(DN-2)的倒数第二个标签，并且其中，所述客户端标识符(IDF-CLT)是所述第二域名(DN-2)的倒数第三个标签。
10.根据前述权利要求中的一项所述的方法，还包括：
-基于所述第一数字证书(CERT-1)和/或所述第二数字证书(CERT-2)创建DICOM节点配置。
11.一种用于提供DNS响应的计算机实现的方法，包括：
-从请求者(REQ)接收(REC-DNS-REQ)用于解析完全限定域名(FQDN-1、FQDN-2、FQDN-1'、FQDN-2')的DNS请求(DNS-REQ)，
其中，所述完全限定域名(FQDN-1、FQDN-2、FQDN-1'、FQDN-2')包括作为标签的编码域名(E-DN)，
-基于所述编码域名(E-DN)确定(DET-D-DN)解码域名(D-DN)，
-向所述请求者(REQ)提供(PROV-DNS-RSP)DNS响应(DNS-RSP)，其中，所述DNS响应(DNS-RSP)包括所述解码域名(D-DN)。
12.根据权利要求11所述的方法，其中，所述完全限定域名(FQDN-1、FQDN-2、FQDN-1'、FQDN-2')能够包括作为所述编码域名(E-DN)的替选的编码IP地址(E-IP)，所述方法还包括：
-基于所述完全限定域名(FQDN-1、FQDN-2、FQDN-1'、FQDN-2')确定(DET-DNS-TYP)DNS请求是与A资源记录、AAAA资源记录还是CNAME资源记录相关，
-在所述DNS请求与CNAME资源记录相关的情况下，
--基于所述编码域名(E-DN)确定(DET-D-DN)所述解码域名(D-DN)，
--向所述请求者(REQ)提供(PROV-DNS-RSP)所述DNS响应(DNS-RSP)，其中，所述DNS响应(DNS-RSP)包括所述CNAME资源记录，并且其中，所述DNS响应(DNS-RSP)包括所述解码域名(D-DN)，
-在所述DNS请求与A资源记录或AAAA资源记录相关的情况下，
--基于所述编码IP地址(E-IP)确定(DET-D-IP)解码IP地址(D-IP)，
--向所述请求者(REQ)提供(PROV-DNS-RSP)所述DNS响应(DNS-RSP)，其中，所述DNS响应(DNS-RSP)包括所述A资源记录或所述AAAA资源记录，并且其中，所述DNS响应(DNS-RSP)包括所述解码IP地址(D-IP)。
13.一种用于向设备(DEV)提供第一数字证书(CERT-1)的服务器(SRV)，包括接口(SRV.IF)和计算单元(SRV.CU)，
-被配置成用于经由安全通信信道从所述设备(DEV)接收(REC-AD)认证数据(AD)，
-被配置成用于从所述设备(DEV)接收(REC-IDF-CERT)或由所述服务器(SRV)确定(DET-IDF-CERT)第一证书标识符(IDF-CERT-1)，特别地，其中，所述第一证书标识符(IDF-CERT-1)是散列值或随机值，
-被配置成用于验证(VRF-AD)所述认证数据(AD)，
-被配置成用于从所述设备(DEV)接收(REC-PBK-1)由所述设备(DEV)创建的第一公钥(PBK-1)，
-被配置成用于向证书机构(CA)发送(SND-CSR-1)基于所述第一公钥(PBK-1)的与第一域名(DN-1)相关的第一证书签名请求(CSR-1)，
其中，所述第一域名(DN-1)包括所述证书标识符(IDF-CERT-1)，
并且其中，与所述第一域名(DN-1)相关的域由所述服务器(SRV)控制，
-被配置成用于从所述证书机构(CA)接收(REC-CERT-1)所述第一数字证书(CERT-1)，
其中，所述第一数字证书(CERT-1)是由所述证书机构(CA)签名的基于所述第一域名(DN-1)和所述第一公钥(PBK-1)的通配符证书，
-被配置成用于向所述设备(DEV)提供(PROV-CERT-1)所述第一数字证书(CERT-1)。
14.一种包括指令的计算机程序产品，所述指令在由计算机执行程序时使所述计算机执行根据权利要求1至12中的一项所述的方法。
15.一种包括指令的计算机可读介质，所述指令在由计算机执行时使所述计算机执行根据权利要求1至12中的一项所述的方法。
CN202111470044.7A 2020-12-07 2021-12-03 提供第一数字证书和dns响应 Active CN114666056B (zh)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
EP20212145 2020-12-07
EP20212145.5 2020-12-07
EP20217801.8A EP4009602B1 (en) 2020-12-07 2020-12-30 Providing a first digital certificate and a dns response
EP20217801.8 2020-12-30

Publications (2)

Publication Number Publication Date
CN114666056A true CN114666056A (zh) 2022-06-24
CN114666056B CN114666056B (zh) 2023-02-21

Family

ID=74103812

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111470044.7A Active CN114666056B (zh) 2020-12-07 2021-12-03 提供第一数字证书和dns响应

Country Status (3)

Country Link
US (2) US11671266B2 (zh)
EP (1) EP4009602B1 (zh)
CN (1) CN114666056B (zh)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014053172A1 (en) * 2012-10-03 2014-04-10 Buntinx Bvba Method and system for securely authenticating entities
CN104579676A (zh) * 2013-10-17 2015-04-29 西门子公司 防篡改为设备的多个公钥提供多个数字证书的方法和系统
WO2015116237A1 (en) * 2014-01-30 2015-08-06 Secure64 Software Corp. Secure publishing of public-key certificates
CN107800682A (zh) * 2016-08-30 2018-03-13 株式会社和冠 用传输层安全在签名装置与主机间的数据认证和安全传输
US20180254896A1 (en) * 2017-03-02 2018-09-06 Microsoft Technology Licensing, Llc. On-demand generation and distribution of cryptographic certificates
US20180316510A1 (en) * 2017-04-28 2018-11-01 Sap Se Certificate Tracking
CN110537346A (zh) * 2017-03-06 2019-12-03 诺基亚技术有限公司 安全去中心化域名系统

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3595109B2 (ja) * 1997-05-28 2004-12-02 日本ユニシス株式会社 認証装置、端末装置、および、それら装置における認証方法、並びに、記憶媒体
US6397329B1 (en) * 1997-11-21 2002-05-28 Telcordia Technologies, Inc. Method for efficiently revoking digital identities
AU6620000A (en) * 1999-08-06 2001-03-05 Frank W Sudia Blocked tree authorization and status systems
AU1654501A (en) * 1999-10-27 2001-05-08 Visa International Service Association Method and apparatus for leveraging an existing cryptographic infrastructure
US6826690B1 (en) * 1999-11-08 2004-11-30 International Business Machines Corporation Using device certificates for automated authentication of communicating devices
US6823454B1 (en) * 1999-11-08 2004-11-23 International Business Machines Corporation Using device certificates to authenticate servers before automatic address assignment
US20030163567A1 (en) * 2002-02-28 2003-08-28 Mcmorris Patrick Domain name validation using mapping table
US20040059793A1 (en) * 2002-09-20 2004-03-25 Gruber Allen B. Method and system for virtual website domain name service
ATE391385T1 (de) * 2003-07-11 2008-04-15 Ibm Verfahren und system zur benutzerauthentifizierung in einer benutzer- anbieterumgebung
US20060282795A1 (en) * 2004-09-13 2006-12-14 Network Solutions, Llc Domain bar
CN101197806B (zh) * 2006-12-08 2012-04-18 华为技术有限公司 一种路由会话的方法、网络及设备
US8898457B2 (en) * 2010-02-26 2014-11-25 Red Hat, Inc. Automatically generating a certificate operation request
US20130067115A1 (en) * 2011-09-12 2013-03-14 Isaac Omar Lapanc Method And System For Mapping Domain Prefixes To Qualified URLs
US9386105B2 (en) * 2011-11-02 2016-07-05 Microsoft Technology Licensing, Llc Techniques for dynamic domain-based isolation
US8738902B2 (en) * 2012-01-27 2014-05-27 Microsoft Corporation Implicit SSL certificate management without server name indication (SNI)
US20130198409A1 (en) * 2012-02-01 2013-08-01 Microsoft Corporation Efficient implementation of user-provided dns names
US8954731B2 (en) * 2012-11-29 2015-02-10 Adobe Systems Incorporated Distributive computation of a digital signature
US9485099B2 (en) * 2013-10-25 2016-11-01 Cliqr Technologies, Inc. Apparatus, systems and methods for agile enablement of secure communications for cloud based applications
WO2015127362A1 (en) * 2014-02-23 2015-08-27 Itxc Ip Holdings S.A.R.L. System and methods for enabling sponsored data access across multiple carriers
US9979553B2 (en) * 2015-08-06 2018-05-22 Airwatch Llc Secure certificate distribution
US10320570B2 (en) * 2016-08-30 2019-06-11 Microsoft Technology Licensing, Llc Digital security certificate selection and distribution
US10846392B2 (en) * 2017-07-24 2020-11-24 Digicert, Inc. Remote processing of credential requests
CN112913204A (zh) * 2018-09-14 2021-06-04 品谱股份有限公司 对包括电子锁的物联网设备的认证
US11153099B2 (en) * 2019-08-13 2021-10-19 Dell Products L.P. Reestablishing secure communication with a server after the server's certificate is renewed with a certificate authority unknown to the client
US20220224517A1 (en) * 2020-07-08 2022-07-14 Yanong Zhu Method and apparatus for universal identity (UID) management system based on distributed public certificate service network
US11423154B2 (en) * 2020-10-26 2022-08-23 Micron Technology, Inc. Endpoint authentication based on boot-time binding of multiple components
US11563715B2 (en) * 2020-11-23 2023-01-24 Juniper Networks, Inc. Pattern matching by a network device for domain names with wildcard characters

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014053172A1 (en) * 2012-10-03 2014-04-10 Buntinx Bvba Method and system for securely authenticating entities
CN104579676A (zh) * 2013-10-17 2015-04-29 西门子公司 防篡改为设备的多个公钥提供多个数字证书的方法和系统
WO2015116237A1 (en) * 2014-01-30 2015-08-06 Secure64 Software Corp. Secure publishing of public-key certificates
CN107800682A (zh) * 2016-08-30 2018-03-13 株式会社和冠 用传输层安全在签名装置与主机间的数据认证和安全传输
US20180254896A1 (en) * 2017-03-02 2018-09-06 Microsoft Technology Licensing, Llc. On-demand generation and distribution of cryptographic certificates
CN110537346A (zh) * 2017-03-06 2019-12-03 诺基亚技术有限公司 安全去中心化域名系统
US20180316510A1 (en) * 2017-04-28 2018-11-01 Sap Se Certificate Tracking

Also Published As

Publication number Publication date
US20220182246A1 (en) 2022-06-09
US20230261883A1 (en) 2023-08-17
EP4009602B1 (en) 2022-11-09
US11671266B2 (en) 2023-06-06
CN114666056B (zh) 2023-02-21
EP4009602A1 (en) 2022-06-08

Similar Documents

Publication Publication Date Title
Hu et al. Specification for DNS over transport layer security (TLS)
Neuman et al. The Kerberos network authentication service (V5)
US20140244998A1 (en) Secure publishing of public-key certificates
US11128476B2 (en) DNS provider configuring a registry DNSSEC record
US20120124369A1 (en) Secure publishing of public-key certificates
US10257171B2 (en) Server public key pinning by URL
US10680806B1 (en) DNS-based symmetric-key infrastructure
US11882117B1 (en) System and method for device label scan based zero touch device onboarding and device directory service
Cho et al. TwinPeaks: An approach for certificateless public key distribution for the internet and internet of things
JP2007181123A (ja) デジタル証明書交換方法、端末装置、及びプログラム
CN114127764A (zh) 与分布式账本关联的目的地寻址
Hu et al. RFC 7858: Specification for DNS over transport layer security (TLS)
KR20090054774A (ko) 분산 네트워크 환경에서의 통합 보안 관리 방법
CN112655186B (zh) 可信dns解析设备和方法
US20210135864A1 (en) Private key updating
CN114666056B (zh) 提供第一数字证书和dns响应
US20170118198A1 (en) Identity verification
EP4250635A1 (en) Providing and installing digital certificates
Fongen et al. The integration of trusted platform modules into a tactical identity management system
Mittal et al. Enabling trust in single sign-on using DNS based authentication of named entities
Berger A Scalable Architecture for Public Key Distribution Acting in Concert with Secure DNS
US11968302B1 (en) Method and system for pre-shared key (PSK) based secure communications with domain name system (DNS) authenticator
IES20070726A2 (en) Automated authenticated certificate renewal system
Ali et al. Flexible and scalable public key security for SSH
WO2015116237A1 (en) Secure publishing of public-key certificates

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant