CN115968473A - 物联网网络中的自管理信任 - Google Patents

物联网网络中的自管理信任 Download PDF

Info

Publication number
CN115968473A
CN115968473A CN202180051610.2A CN202180051610A CN115968473A CN 115968473 A CN115968473 A CN 115968473A CN 202180051610 A CN202180051610 A CN 202180051610A CN 115968473 A CN115968473 A CN 115968473A
Authority
CN
China
Prior art keywords
network
network endpoint
information
trust
attestation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202180051610.2A
Other languages
English (en)
Inventor
S·B·李
M·巴普斯特
G·B·霍恩
J·R·沃尔顿
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qualcomm Inc
Original Assignee
Qualcomm Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Qualcomm Inc filed Critical Qualcomm Inc
Publication of CN115968473A publication Critical patent/CN115968473A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本文公开了用于促进物联网网络中的自管理信任的装置、方法和计算机可读介质。网络管理器处的信任管理的示例方法包括向由网络管理器管理的网络注册网络端点。示例方法还包括基于注册网络端点来接收用于网络端点的可信参考信息。另外，示例方法包括基于从网络端点接收的证明或可信参考信息中的至少一个来执行网络端点的验证。此外，示例方法包括基于验证的结果对网络端点执行策略。这样的信任管理可以提高网络处的隐私性和安全性，以及减少响应信任事件的时延。

Description

物联网网络中的自管理信任
相关申请的交叉引用
本申请要求于2020年8月28日提交的题为“SELF-MANAGED TRUST IN INTERNET OFTHINGS NETWORKS”的美国专利临时申请第63/072,031号、于2020年8月28日提交的题为“METHODS AND APPARATUS TO FACILITATE SURROGATE-BASED ACCESS MANAGEMENT USINGATTESTATION RESULTS”的美国专利临时申请第63/072,040号、以及于2021年8月26日提交的题为“SELF-MANAGED TRUST IN INTERNET OF THINGS NETWORKS”的美国专利申请第17/458,012号的权益和优先权，其全部通过引用明确并入本文。
技术领域
本公开总体上涉及通信系统，并且更具体地涉及包括信任管理和/或访问管理的通信系统。
背景技术
无线通信系统被广泛部署以提供各种电信服务，诸如电话通讯、视频、数据、消息传递和广播。典型的无线通信系统可以采用能够通过共享可用系统资源来支持与多个用户的通信的多址技术。这样的多址技术的示例包括码分多址(CDMA)系统、时分多址(TDMA)系统、频分多址(FDMA)系统、正交频分多址(OFDMA)系统、单载波频分多址(SC-FDMA)系统，以及时分同步码分多址(TD-SCDMA)系统。
这些多址技术已经在各种电信标准中被采用，以提供使得不同的无线设备能够在市政、国家、区域甚至全球级别上进行通信的公共协议。电信标准的示例是5G新无线电(NR)。5G NR是由第三代合作伙伴计划(3GPP)颁布的连续移动宽带演进的一部分，以满足与时延、可靠性、安全性、可扩展性(例如，与物联网(IoT))相关联的新要求以及其他要求。5GNR包括与增强型移动宽带(eMBB)、大规模机器类型通信(mMTC)和超可靠低时延通信(URLLC)相关联的服务。5G NR的一些方面可以基于4G长期演进(LTE)标准。存在对5G NR技术进一步改进的需要。这些改进也可适用于其他多址技术和采用这些技术的电信标准。
发明内容
以下呈现了一个或多个方面的简要概述，以便提供对这些方面的基本理解。本概述并非对所有预期方面的广泛综述，其旨在既不标识所有方面的关键或重要要素，也不描绘任何或所有方面的范围。其唯一目的是以简要形式呈现一个或多个方面的一些概念，作为稍后呈现的更详细描述的序言。
在本公开的方面中，提供了一种用于网络管理器处的信任管理的方法、计算机可读介质和装置。示例装置向由网络管理器管理的网络注册网络端点。示例装置还基于注册网络端点来接收用于网络端点的可信参考信息。此外，示例装置基于从一个或多个可信第三方接收的可信参考信息或从网络端点接收的证明中的至少一个来执行网络端点的验证。示例装置还基于验证的结果对网络端点实施策略。
在本公开的另一方面中，提供了一种用于网络端点处的信任管理的方法、计算机可读介质和装置。示例装置向网络管理器提供用于网络端点的临时凭证。在一些示例中，临时凭证可以基于用于网络端点的永久凭证。另外，示例装置从网络管理器接收针对服务或资源的访问或授权。在一些示例中，访问或授权可以基于基于网络端点的临时凭证的设备验证。
在本公开的另一方面中，提供了一种用于网络管理器处的信任管理的方法、计算机可读介质和装置。示例装置向由网络管理器管理的网络注册网络端点。示例装置还基于注册网络端点来接收用于网络端点的可信参考信息。另外，示例装置根据由网络管理器实施的网络管理器策略向网络端点查询设备信息。当信任事件发生时，示例装置还根据网络管理器策略执行一个或多个信任事件补救措施，该信任事件的发生基于设备信息和用于网络端点的可信参考信息的比较。
在本公开的方面中，提供了一种用于信任代理处的访问管理的方法、计算机可读介质和装置。示例装置从请求访问由服务管理实体提供的服务或资源的设备接收证明信息。示例装置还基于可更新策略来评估用于设备的证明信息。另外，示例装置基于证明信息的评估，针对由服务管理实体提供的服务或资源对设备实施可更新策略。
在本公开的另一方面中，提供了一种用于设备处的访问管理的方法、计算机可读介质和装置。当请求访问由服务管理实体提供的服务或资源时，示例装置向信任代理提供与设备相关联的证明信息。另外，示例装置基于对可更新策略的证明信息的评估，从信任代理接收对由服务管理实体提供的服务或资源的访问。
为了实现上述和相关目的，一个或多个方面包括下文充分描述并在权利要求中特别指出的特征。以下描述和附图详细阐述了一个或多个方面的某些说明性特征。然而，这些特征仅指示可采用各种方面的原理的各种方式中的一些，并且该描述旨在包括所有这样的方面及其等效物。
附图说明
图1是示出无线通信系统和接入网的示例的图。
图2是根据本文公开的教导的用于电子标识符(eID)的自生成的示例通信系统。
图3是示出根据本文公开的教导的接入网中的第一无线设备和第二无线设备的示例的图。
图4是根据本文公开的教导的用于自生成的eID的身份注册的示例通信流。
图5是根据本文公开的教导的用于eID的注册的示例通信系统。
图6是示出根据本文公开的教导的示例eID注册环境的图。
图7A示出了根据本文公开的教导的促进在证明者、依赖方和验证者之间执行远程证明的第一示例模型的示例通信流。
图7B示出了根据本文公开的教导的促进在证明者、依赖方和验证者之间执行远程证明的第二示例模型的示例通信流。
图7C示出了根据本文公开的教导的促进在证明者、第一依赖方、第二依赖方和验证者之间执行远程证明的第三示例模型的示例通信流。
图8示出了根据本文公开的教导的网络、网络健康管理器和远程第三方之间的示例信息交换。
图9示出了根据本文公开的教导的设备、网络健康管理器和可信第三方之间的示例通信流。
图10示出了根据本文公开的教导的在包括UE、基础节点、边缘节点和IoT框架的自管理虚拟无线电接入网(vRAN)信任环境中的示例信息交换。
图11描绘了根据本文公开的教导的包括用户、设备、网络健康管理器、可信第三方和边缘节点的示例自管理高保证IoT网络。
图12示出了根据本文公开的教导的设备、网络健康管理器和可信第三方之间的示例通信流。
图13示出了根据本文公开的教导的设备、服务管理实体和服务管理实体的代理之间的示例信息交换。
图14示出了根据本文公开的教导的设备、服务管理实体、服务管理实体的代理和第三方验证实体之间的示例通信流。
图15是根据本文公开的教导的在第一设备处执行设备证明的方法的流程图。
图16是根据本文公开的教导的在第一设备处执行设备证明的方法的流程图。
图17是根据本文公开的教导的在第一设备处执行设备证明的方法的流程图。
图18是根据本文公开的教导的设备处的设备证明的方法的流程图。
图19是根据本文公开的教导的设备处的设备证明的方法的流程图。
图20是根据本文公开的教导的在第一设备处执行设备证明的方法的流程图。
图21是示出根据本文公开的教导的示例装置的硬件实现方式的示例的图。
图22是根据本文公开的教导的在第一设备处执行访问管理的方法的流程图。
图23是根据本文公开的教导的在第一设备处执行访问管理的方法的流程图。
图24是根据本文公开的教导的设备处的访问管理的方法的流程图。
图25是根据本文公开的教导的设备处的访问管理的方法的流程图。
图26是示出根据本文公开的教导的示例装置的硬件实现方式的示例的图。
具体实施方式
本文呈现的方面提供了一种系统，该系统使设备(例如，用户设备、UE、网络端点等)能够基于与设备相关联的身份信息和/或凭证来访问服务或设备。本文呈现的一些方面可以经由无线通信系统来实现。
在远程证明中，依赖方(例如，服务提供者)可能需要由远程对等实体(例如，设备或人)产生的证据来评估远程对等实体的可信度。一般来说，可信度是指经由证据评估的质量。例如，基于由远程对等实体产生的证据类型，依赖方可以能够确定远程对等实体是否是他们声称的实体和/或是否信任远程对等实体。在一些示例中，执行远程证明包括验证者，该验证者经由评估策略来评估由远程对等实体产生的证据，并创建证明结果以支持依赖方的决策。
例如，诸如IoT网络的网络可以包括访问由服务提供者(例如，网关、路由器、接入点、基站等)提供的服务(例如，无线通信、因特网接入、消息传递、联网等)的一个或多个网络端点。为了保护网络的完整性，服务提供者可以利用远程证明过程来确定一个或多个设备是否符合对网络的访问。例如，服务提供者可以请求设备提供关于其自身的信息(例如，证据)，服务提供者可以使用该信息来确定设备的可信度。验证者(例如，可信的第三方，诸如设备的制造者)可以评估证据(例如，使用评估策略)来创建证明结果，以支持服务提供者确定网络端点(例如，IoT设备等)的可信度。在一些示例中，网络端点可以将证据发送给验证者。在一些示例中，网络端点可以将证据发送给服务提供者，然后服务提供者将证据转发给验证者。
然而，可以理解，在一些示例中，执行远程证明可能会带来隐私问题、管理问题和/或扩展性问题。例如，每次执行远程证明时，信息(例如，证据)经由远程网络(例如，IoT框架)从网络(例如，由服务提供者提供的网络)发送到验证者，以促进管理网络的网络端点。
本文公开的示例技术利用位于网络内的代理设备来促进针对网络(例如，IoT网络)的自管理信任。例如，所公开的技术可以通过配置网络健康管理器(例如，代理设备)来管理连接到网络的网络端点的健康和信任来促进减少从网络发送到远程网络(例如，IoT框架)的信息。网络健康管理器可以利用由一个或多个可信第三方提供的信息来承担验证者的角色。因此，网络健康管理器可以作为服务提供者和验证者来操作，并限制从网络发送到远程网络的信息。
本文呈现的方面提供了一种系统，该系统使得网络端点能够基于与网络端点相关联的身份信息和/或凭证来访问服务或设备。本文呈现的一些方面可以经由无线通信系统来实现。
如本文所使用的，术语“可信第三方”不限于创建网络端点的实体(例如，网络端点的制造者)，并且可以包括为网络端点的操作提供一个或多个资源或服务的任何实体，如本文所呈现的。例如，可信第三方可以包括网络端点的制造者、基于云的设备管理服务(例如，IoT框架)、托管用于针对网络端点实施的策略的实体(例如，web服务器)、托管设备验证信息的实体(例如，web服务器)、被配置为执行与网络端点相关联的设备证明的实体等。
在一些示例中，服务访问可以基于验证关于实体的信息。例如，在服务管理实体提供对设备(例如，用户设备、UE、网络端点等)的访问之前，服务管理实体可以验证该设备是值得信赖的。然而，在一些示例中，对服务的访问可以基于对关于服务访问实体(例如，设备)的各种信息的验证。在一些这样的示例中，服务管理实体可以经由一个或多个验证实体来验证关于设备的各种信息。
本文公开的示例技术利用代理设备来管理对由服务管理实体提供的服务的访问。例如，所公开的技术可以配置设备作为服务管理实体的代理来操作，以及基于多个可证明参数来管理对服务的访问。在一些示例中，代理可以促进验证对应于可证明参数的设备的可证明信息。然后，示例代理可以基于相应的验证结果来评估设备的信任分数，并基于信任分数对设备实施策略。
下面结合附图阐述的详细描述旨在作为对各种配置的描述，而不是旨在表示在其中可以实践本文所描述的概念的唯一配置。为了提供对各种概念的透彻理解，详细描述包括具体细节。然而，对于本领域技术人员来说显而易见的是，可以在没有这些具体细节的情况下实践这些概念。在一些实例中，众所周知的结构和组件以框图形式示出，以避免混淆这些概念。
现在将参考各种装置和方法来呈现电信系统的若干方面。这些装置和方法将在下面的详细描述中描述，并在附图中通过各种块、组件、电路、过程、算法等(统称为“元素”)来示出。这些元素可以使用电子硬件、计算机软件或其任何组合来实现。这些元素是实现为硬件还是软件取决于特定应用和施加在整个系统上的设计约束。
举例来说，元素或元素的任何部分或元素的任何组合可实现为包括一个或多个处理器的“处理系统”。处理器的示例包括微处理器、微控制器、图形处理单元(GPU)、中央处理单元(CPU)、应用处理器、数字信号处理器(DSP)、精简指令集计算(RISC)处理器、片上系统(SoC)、基带处理器、现场可编程门阵列(FPGA)、可编程逻辑设备(PLD)、状态机、门控逻辑、离散硬件电路和被配置为执行贯穿本公开描述的各种功能其他合适的硬件。处理系统中的一个或多个处理器可以执行软件。软件应广义地解释为指指令、指令集、代码、代码段、程序代码、程序、子程序、软件组件、应用、软件应用、软件包、例程、子例程、对象、可执行文件、执行线程、过程、函数等，无论是称为软件、固件、中间件、微代码、硬件描述语言还是其它。
因此，在一个或多个示例方面中，所描述的功能可以在硬件、软件或其任何组合中实现。如果在软件中实现，则这些功能可以存储在计算机可读介质上或作为一个或多个指令或代码编码在计算机可读介质上。计算机可读介质包括计算机存储介质。存储介质可以是可以由计算机访问的任何可用介质。作为示例而非限制，这样的计算机可读介质可以包括随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程ROM(EEPROM)、光盘存储、磁盘存储、其它磁存储设备、计算机可读介质类型的组合，或可用于以能够由计算机访问的指令或数据结构的形式存储计算机可执行代码的任何其它介质。
虽然在本申请中通过对一些示例的说明来描述方面和实现方式，但本领域技术人员将理解，附加的实现方式和用例可以在许多不同的布置和场景中产生。本文描述的创新可以跨许多不同的平台类型、设备、系统、形状、尺寸和封装布置来实现。例如，实现方式和/或使用可以通过集成芯片实现方式和其他非基于模块组件的设备(例如，终端用户设备、车辆、通信设备、计算设备、工业设备、零售/购买设备、医疗设备、支持人工智能的(AI)的设备等)来实现。虽然一些示例可能是或可能不是专门针对用例或应用，但是可能会出现所描述的创新的各种适用性。实现方式的范围可以从芯片级或模块化组件到非模块化、非芯片级实现方式，并进一步到结合所描述的创新的一个或多个方面的聚合、分布式或原始设备制造者(OEM)设备或系统。在一些实际设置中，结合所描述的方面和特征的设备还可以包括用于实施和实践所要求保护和描述的方面的附加组件和特征。例如，无线信号的发送和接收必然包括许多用于模拟和数字目的的组件(例如，包括天线、RF链、功率放大器、调制器、缓冲器、(多个)处理器、交织器、加法器/求和器等的硬件组件)。意图是本文所描述的创新可在各种大小、形状和结构的多种设备、芯片级组件、系统、分布式布置、聚合或分解组件、终端用户设备等中实践。
图1是示出包括基站102、180和UE 104的无线通信系统和接入网100的示例的图。无线通信系统(也称为无线广域网(WWAN))的示例包括基站102、UE 104、演进型分组核心(EPC)(例如，EPC 160)和另一核心网190(例如，5G核心(5GC))。基站102可以包括宏小区(高功率蜂窝基站)和/或小小区(低功率蜂窝基站)。宏小区包括基站。小区可以包括毫微微小区、微微小区和微小区。
被配置用于4G LTE的基站102(统称为演进型通用移动电信系统(UMTS)地面无线电接入网(E-UTRAN))可以通过回程链路132(例如，S1接口)与EPC 160对接。被配置用于5GNR的基站102(统称为下一代RAN(NG-RAN))可以通过第二回程链路184与核心网190对接。除了其他功能之外，基站102可以执行以下一个或多个功能：用户数据的传输、无线电信道加密和解密、完整性保护、报头压缩、移动性控制功能(例如，切换、双连接)、小区间干扰协调、连接建立和释放、负载平衡、非接入层(NAS)消息的分发、NAS节点选择、同步、无线电接入网(RAN)共享、多媒体广播多播服务(MBMS)、订户和设备跟踪、RAN信息管理(RIM)、寻呼、定位和警告消息的传递。基站102可以通过第三回程链路134(例如，X2接口)彼此直接或间接地(例如，通过EPC 160或核心网190)通信。第一回程链路132、第二回程链路184和第三回程链路134可以是有线的或无线的。
基站102可以与UE 104无线地通信。基站102中的每一个可以为各自的地理覆盖区域提供通信覆盖。可能存在重叠的地理覆盖区域。例如，小小区102'可以具有与一个或多个宏基站的地理覆盖区域110重叠的覆盖区域110'。包括小小区和宏小区二者的网络可以称为异构网络。异构网络还可包括家庭演进型Node B(eNB)(HeNB)，其可向称为封闭订户组(CSG)的受限组提供服务。基站102和UE 104之间的通信链路120可以包括从UE到基站的上行链路(UL)(也称为反向链路)传输或从基站到UE的下行链路(DL)(也称为前向链路)传输。通信链路120可以使用多输入多输出(MIMO)天线技术，包括空间复用、波束成形和/或发送分集。通信链路可以通过一个或多个载波。基站102/UE 104可以使用在用于在每个方向上进行传输的总共高达Yx MHz(x个分量载波)的载波聚合中分配的每载波高达Y MHz(例如，5、10、15、20、100、400等MHz)的带宽的频谱。载波可以彼此相邻，也可以彼此不相邻。载波的分配可以相对于DL和UL是不对称的(例如，可以为DL分配比UL更多或更少的载波)。分量载波可以包括主分量载波和一个或多个辅分量载波。主分量载波可称为主小区(PCell)，辅分量载波可称为辅小区(SCell)。
在一些场景中，一个或多个UE 104可以使用诸如D2D通信链路158的设备到设备(D2D)通信链路彼此通信。D2D通信链路158可以使用DL/UL WWAN频谱。D2D通信链路158可以使用一个或多个侧链路信道，诸如物理侧链路广播信道(PSBCH)、物理侧链路发现信道(PSDCH)、物理侧链路共享信道(PSSCH)和物理侧链路控制信道(PSCCH)。D2D通信可以通过各种无线D2D通信系统，诸如例如，WiMedia、蓝牙、ZigBee、基于电气和电子工程师协会(IEEE)802.11标准的Wi-Fi、LTE或NR。
无线通信系统还可以包括经由通信链路154与Wi-Fi站(例如，STA 152)通信的Wi-Fi接入点(AP)150，例如，在5GHz非许可频谱等中。当在非许可频谱中进行通信时，STA 152/AP 150可以在通信之前执行空闲信道评估(CCA)，以便确定信道是否可用。
小小区102'可以在许可和/或非许可频谱中操作。当在非许可频谱中操作时，小小区102'可以采用NR，并且使用与Wi-Fi AP 150所使用的相同的非许可频谱(例如，5GHz等)。在非许可频谱中采用NR的小小区102'可以增强对接入网的覆盖和/或增加其容量。
电磁频谱通常基于频率/波长细分为不同的类别、频带、信道等。在5G NR中，两个初始操作频带已被标识为频率范围名称FR1(410MHz-7.125GHz)和FR2(24.25GHz-52.6GHz)。尽管FR1的一部分大于6GHz，但在各种文档和文章中，FR1通常被(可互换地)称为“6GHz以下”频带。关于FR2有时也会出现类似的命名问题，尽管与被国际电信联盟(ITU)标识为“毫米波”频带的极高频(EHF)频带(30GHz-300GHz)不同，但FR2在文档和文章中通常(可互换地)称为“毫米波”频带。
FR1和FR2之间的频率通常称为中频带频率。最近的5G NR研究已经将这些中频带频率的操作频带标识为频率范围名称FR3(7.125GHz-24.25GHz)。落入FR3内的频带可继承FR1特性和/或FR2特性，并因此可有效地将FR1和/或FR2的特性扩展到中频带频率。此外，目前正在探索更高的频带，以将5G NR操作扩展到52.6GHz以上。例如，三个更高的操作频带已经被标识为频率范围名称FR4a或FR4-1(52.6GHz-71GHZ)、FR4(52.6GHz-114.25GHz)和FR5(114.25GHz-300GHz)。这些更高的频带中的每一个都落在EHF频带内。
考虑到上述方面，除非另有特别说明，否则应当理解，如果在本文中使用术语“6GHz以下”等，则其可以广泛地表示可能小于6GHz、可能在FR1内或可能包括中频带频率的频率。此外，除非另有特别说明，否则应当理解，如果在本文中使用术语“毫米波”等，则其可以广泛地表示可能包括中频带频率、可能在FR2、FR4、FR4-a或FR4-1和/或FR5内，或可能在EHF频带内的频率。
基站，无论是小小区102'还是大小区(例如，宏基站)，可以包括和/或被称为eNB、gNodeB(gNB)或另一类型的基站。一些基站，诸如基站180(例如，gNB)可以在传统的6GHz以下频谱、毫米波频率和/或近毫米波频率中与UE 104进行通信。当基站180在毫米波或近毫米波频率中操作时，基站180(例如，gNB)可以被称为毫米波基站。毫米波基站可以利用与UE104的波束成形182来补偿路径损耗和短距离。基站180和UE 104可各自包括多个天线，诸如天线元件、天线面板和/或天线阵列，以促进波束成形。
基站180可以在一个或多个发送方向182'上向UE 104发送波束成形信号。UE 104可以在一个或多个接收方向182”上从基站180接收波束成形信号。UE 104还可以在一个或多个发送方向上向基站180发送波束成形信号。基站180可以在一个或多个接收方向上从UE104接收波束成形信号。基站180/UE 104可以执行波束训练以确定基站180/UE 104中的每一个的最佳接收和发送方向。基站180的发送和接收方向可以相同，也可以不同。UE 104的发送和接收方向可以相同，也可以不同。
EPC 160可以包括移动性管理实体(MME)(例如，MME 162)、其他MME 164、服务网关166、多媒体广播多播服务(MBMS)网关168、广播多播服务中心(BM-SC)170和分组数据网络(PDN)网关(例如，PDN网关172)。MME 162可以与家庭订户服务器(HSS)(例如，HSS 174)通信。MME 162是处理UE 104和EPC 160之间的信令的控制节点。通常，MME 162提供承载和连接管理。所有用户因特网协议(IP)分组通过服务网关166传送，服务网关166本身连接到PDN网关172。PDN网关172提供UE IP地址分配以及其它功能。PDN网关172和BM-SC 170连接到IP服务176。IP服务176可包括因特网、内联网、IP多媒体子系统(IMS)、PS流服务和/或其它IP服务。BM-SC 170可以提供用于MBMS用户服务供应和递送的功能。BM-SC 170可以充当内容提供商MBMS传输的入口点，可以用于在公共陆地移动网络(PLMN)内授权和发起MBMS承载服务，并且可以用于调度MBMS传输。MBMS网关168可用于将MBMS业务分发到属于广播特定服务的多播广播单频网(MBSFN)区域的基站102，并且可负责会话管理(开始/停止)和收集eMBMS相关的计费信息。
核心网190可以包括接入和移动性管理功能(AMF)(例如，AMF 192)、其他AMF 193、会话管理功能(SMF)194和用户平面功能(UPF)(例如，UPF 195)。AMF 192可以与统一数据管理(UDM)(例如，UDM 196)通信。AMF 192是处理UE 104和核心网190之间的信令的控制节点。通常，AMF 192提供QoS流和会话管理。所有用户因特网协议(IP)分组都通过UPF 195传送。UPF 195提供UE IP地址分配以及其它功能。UPF 195连接到IP服务197。IP服务197可包括因特网、内联网、IP多媒体子系统(IMS)、分组交换(PS)流(PSS)服务和/或其它IP服务。
基站可以包括和/或被称为gNB、Node B、eNB、接入点、基站收发器、无线电基站、无线电收发器、收发器功能、基本服务集(BSS)、扩展服务集(ESS)、发送接收点(TRP)或某一其他合适的术语。基站102为UE 104提供到EPC 160或核心网190的接入点。UE 104的示例包括蜂窝电话、智能电话、会话发起协议(SIP)电话、膝上型计算机、个人数字助理(PDA)、卫星收音机、全球定位系统、多媒体设备、视频设备、数字音频播放器(例如MP3播放器)、相机、游戏机、平板计算机、智能设备、可穿戴设备、车辆、电表、气泵、大型或小型厨房电器、医疗设备、植入物、传感器/致动器、显示器或任何其他类似功能设备。UE 104中的一些可被称为IoT设备(例如，停车计时器、气泵、烤面包机、车辆、心脏监视器等)。UE 104还可以被称为站、移动站、订户站、移动单元、订户单元、无线单元、远程单元、移动设备、无线设备、无线通信设备、远程设备、移动订户站、接入终端、移动终端、无线终端、远程终端，手持机、用户代理、移动客户端、客户端或某一其他合适的术语。在一些场景中，术语UE还可以适用于一个或多个同伴设备，诸如在设备星座布置中。这些设备中的一个或多个可以共同访问网络和/或单独访问网络。
如图1所示，通信系统和接入网100可以包括一个或多个设备(例如，用户设备、UE、网络端点等)，这些设备使能基于与用户设备103相关联的身份或凭证来访问服务或设备。在一些示例中，用户设备103可以是UE 104。在一些示例中，用户和/或用户设备103可以向注册系统198注册用户设备103。注册系统198可以生成电子标识符(eID)并将该eID提供给身份管理(IDM)系统(例如，IDM系统199)。然后，用户设备103可以经由IDM系统执行设备证明、特征激活、凭证供应、对服务的访问等。
身份和(多个)相关联的凭证可能是电子交易生态系统的重要方面。不同的标识符(ID)类型有不同的要求。例如，为了获得政府签发的ID，个人可以提供或出示出生证明、社会安全号码、居住证明、指纹以及其他项目的证明。对于银行ID，个人可以提供政府签发的ID、社会安全号码、居住或地址以及其他项目的证明。对于支付系统ID，个人或实体可以提供或出示银行账户、信用卡号、联系号码(诸如电话号码或移动电话号码)以及其他项目的证明。为了获得保险ID，个人可以提供或出示政府签发的ID、社会安全号码等。对于健康记录ID，个人可以提供或出示政府签发的ID、社会安全号码等。获得这些ID中的每一个包括注册阶段，在该阶段，个人提供一个或多个标识符的证明以获得特定的ID。各种ID的注册过程可能包括分散且耗时的程序。不同类型的ID可能需要不同的安全项目/身份证明。尽管不同系统之间可能存在用于安全/身份证明的通用项目，但是这些项目/证明是不共享的。在许多示例中，需要有人在场才能建立ID，例如提取生物特征信息。其他ID可能不包括这样的要求。ID可能无法在系统之间互操作。缺乏互操作性可能是由于安全性、隐私性、兼容性等。本文所呈现的方面使得移动系统能够通过使用移动用户设备来合并ID信息和程序。移动设备和移动设备的安全特征(例如，基于硬件信任根)可以提供电子交易系统的中心方面。
本文所呈现的方面提供了一种通用框架，以使用户和/或用户设备能够基于各种不同类型的身份和凭证来访问服务和/或设备。可以为不同级别的访问提供不同级别的安全性。可以基于策略或正在访问的服务的敏感度级别来定义级别。服务可以例如基于与用户设备相关联的证书来决定允许用户设备的访问级别。可以在用户设备内部提供功能元素和技术以提高安全性，诸如增强认证(例如，活性测试、连续认证)、访问/准入控制或凭证管理和保护。元素和技术也可以在云级别提供。
本文所呈现的方面可以使用户设备能够成为提供更安全的网守以访问服务的可信设备。用户设备可用于提供信息以使能访问服务，例如医疗保健、政府、金融等。可以基于特定的用户设备能力来提供不同的信任级别。用户设备可以提供对传统系统的补充，以提供对服务的附加类型的安全访问。
对设备的信任可以基于硬件安全方面(例如，在T＝0时的认证)。这样的硬件安全方面可以是防篡改、防揭换、防侧信道、隔离执行和硬件加密模块以及认证(例如，通用标准评估保证级别(CC EAL))。
对设备的信任还可以基于设备证明(即，在T>0)，诸如基于使用设备密钥的设备状态(例如，设备软件、固件、操作系统、应用程序、用户认证结果、用户设备的当前位置、一个或多个硬件状态等中的一个或多个)的测量和报告。
本文所呈现的方面提供加密密钥/凭证的安全供应和存储。密钥或凭证可以包括设备密钥、用户的生物特征凭证(例如，指纹、面部ID、虹膜等)、应用密钥/访问令牌和/或信任列表(例如，具有可信证书)。
eID的一个示例是移动驾驶执照。驾驶执照可用于提供驾驶特权证明、年龄验证、姓名证明、进入机场安检点等。虽然驾照的简单图像本身可能不可信，但是可以在用户设备处提供机制以从与用户设备相关联的移动驾驶执照中获得可信数据。例如，可以在移动驾驶执照持有者的控制下获得数据，这使得验证者能够评估数据的有效性(例如，在移动驾驶执照中提供的用户身份或信息)，并生成指示验证者是否能够担保数据和移动驾驶执照的证明结果。例如，发放移动驾驶执照的官员可以对数据进行电子签名，并且可以确保将其提供给适当的设备。
一种用于eID的系统可以包括各种参与者。例如，参与者可以包括设备(例如，用户设备、UE、网络端点等)。在一些示例中，设备可以是UE 104，如图1所示。其中，用户设备的示例包括例如可穿戴设备、传感器、IoT设备、智能电话、V2X设备。用户设备可以在本地创建和存储用户ID和凭证。用户设备可以向身份管理(IDM)系统注册用户ID和凭证。用户设备可以使能由一个或多个所有者/用户使用。用户设备可以为加密操作、凭证、设备证明(例如，设备状态的测量和报告)提供信任根(root of trust)。
eID系统中的另一参与者可以是设备所有者。设备所有者可以控制用户设备和用户组的访问模式(打开或关闭)(针对关闭访问模式)。在一些示例中，设备所有者可以不同于设备用户。设备所有者可以远程控制用户设备。例如，可以在设备所有者不在场的情况下管理(多个)用户设备和/或执行交易。
eID系统中的另一参与者可以是设备用户(例如，eID持有者)。在一些示例中，设备用户可以不同于设备的所有者。
eID系统的另一参与者可以是IDM系统。IDM系统可以管理用户的身份和凭证，认证用户并授权用户访问相关联的资源，和/或保护ID、凭证和交易(例如，不可变记录)。
eID系统中的另一参与者可以是由用户设备访问的服务。服务可以使用eID系统来验证用户的身份。服务可以通过IDM获得对用户信息的授权访问。
可以与eID系统相关联的ID类型可以包括证书ID、电子邮件、电话号码、永久ID、假名、认证ID(诸如社会安全号码、驾驶执照号码等)等。
用于eID系统的凭证类型的示例可以包括公钥-私钥对、证书、令牌、生物特征信息、密码或个人识别码(PIN)等。ID卡可以包括包含用户信息的数字ID，该用户信息诸如ID号、法定姓名、出生日期、照片、发行方、发行/到期日期、发行方eID等。生物特征信息可以包括面部ID、指纹、虹膜生物特征信息等。生物特征模板可以包括特征提取。生物特征信息可以被转换(例如，加密)以保持隐私。凭证可以链接到用户的附加资源，例如，设备安全信息(诸如在EAL级别或防篡改)、由服务提供者签署的服务合同等。
eID系统可以包括ID到凭证关系。例如，每个凭证可以与唯一的ID相关联。每个凭证可以与资源集相关联或包括资源集(例如，社会安全号码、法定姓名、出生日期、年龄等)。可以使用现有凭证和资源子集来创建新凭证。要向服务公开的资源可以由用户控制。多个ID可以与单个凭证相关联。例如，用户可以将附加ID与凭证相关联，即多个角色，而无需注册多个凭证。每个ID可以与多个凭证相关联(例如，用于多因素认证(MFA))。可以基于服务要求来确定要使用的凭证。
下面的表1示出了与自生成的eID和认证的eID相关联的注册类型和示例属性的示例。
Figure BDA0004088271800000141
Figure BDA0004088271800000151
图2示出了用于自生成的eID的身份注册的示例系统200。如图所示，用户设备202可以生成自生成凭证204，并且可以具有设备凭证206。用户设备202可以在凭证注册中向IDM系统208发送自生成凭证204。IDM系统208可以用验证系统210执行设备证明，例如，以获得当前设备状态的证明以使能用户设备的特征激活、用户设备的凭证供应等。图2中所示的每个步骤可以包括证明。例如，可以存在对用户设备202的用户证明(例如，在用户和用户设备202之间)、对IDM系统208的设备证明(例如，在用户设备202和IDM系统208之间)和/或对验证系统210的设备证明(例如，在IDM系统208和验证系统210之间)、对IDM系统208的连接证明(例如，在用户设备202和IDM系统208之间)和/或对验证系统210的连接证明(例如，在IDM系统208和验证系统210之间)。
在一些示例中，用户设备202可以是作为注册、证明等的一部分与IDM系统208或其他系统交换无线消息的移动设备。
图3是示出了被配置为与第二无线设备交换无线通信的第一无线设备的示例的框图。在所示示例中，第一无线设备可以包括基站310，第二无线设备可以包括UE 350，并且基站310可以在接入网中与UE 350通信。UE 350可以是经由基站310与诸如图1的注册系统198的注册系统和/或诸如图1的IDM系统199的IDM系统交换消息的设备(例如，用户设备、网络端点等)。如图3所示，基站310包括发送处理器(TX处理器316)、包括发送器318a和接收器318b的收发器318、天线320、接收处理器(RX处理器370)、信道估计器374、控制器/处理器375和存储器376。示例UE 350包括天线352、包括发送器354a和接收器354b的收发器354、RX处理器356、信道估计器358、控制器/处理器359、存储器360和TX处理器368。在其他示例中，基站310和/或UE 350可以包括附加的或替代的组件。
在DL中，可以将来自EPC 160的IP分组提供给控制器/处理器375。控制器/处理器375实现层3和层2功能。层3包括无线电资源控制(RRC)层，层2包括服务数据适配协议(SDAP)层、分组数据汇聚协议(PDCP)层、无线电链路控制(RLC)层和介质访问控制(MAC)层。控制器/处理器375提供与广播系统信息(例如MIB、SIB)、RRC连接控制(例如，RRC连接寻呼、RRC连接建立、RRC连接修改和RRC连接释放)、无线电间接入技术(RAT)移动性和用于UE测量报告的测量配置相关联的RRC层功能；与报头压缩/解压、安全(加密、解密、完整性保护、完整性验证)和切换支持功能相关联的PDCP层功能；与上层分组数据单元(PDU)传输、通过ARQ纠错、RLC服务数据单元(SDU)的串联、分段和重新组装、RLC数据PDU的重新分段和RLC数据PDU的重新排序相关联的RLC层功能；以及与逻辑信道和传输信道之间的映射、MAC SDU到传输块(TB)的复用、MAC SDU从TB的解复用、调度信息报告、通过HARQ纠错、优先级处理和逻辑信道优先级相关联的MAC层功能。
TX处理器316和RX处理器370实现与各种信号处理功能相关联的层1功能。包括物理(PHY)层的层1可以包括传输信道上的纠错、传输信道的前向纠错(FEC)译码/解码、交织、速率匹配、映射到物理信道上、物理信道的调制/解调以及MIMO天线处理。TX处理器316基于各种调制方案(例如，二进制相移键控(BPSK)、正交相移键控(QPSK)、M相移键控(M-PSK)、M正交幅度调制(M-QAM))处理到信号星座的映射。然后，译码的符号和调制的符号可以被分成并行流。然后，可以将每个流映射到OFDM子载波，在时域和/或频域中与参考信号(例如，导频)复用，然后使用快速傅立叶逆变换(IFFT)组合在一起，以产生携带时域OFDM符号流的物理信道。对OFDM流进行空间预编码以产生多个空间流。来自信道估计器374的信道估计可用于确定译码和调制方案，以及用于空间处理。信道估计可以从UE 350发送的参考信号和/或信道条件反馈导出。然后可以经由单独的发送器318a将每个空间流提供给不同的天线320。每个发送器318a可以用各自的空间流调制射频(RF)载波以进行发送。
在UE 350处，每个接收器354b通过其各自的天线352接收信号。每个接收器354b恢复调制到RF载波上的信息，并将该信息提供给RX处理器356。TX处理器368和RX处理器356实现与各种信号处理功能相关联的第1层功能。RX处理器356可以对信息执行空间处理以恢复目的地为UE 350的任何空间流。如果多个空间流目的地是UE 350，则RX处理器356可以将它们组合成单个OFDM符号流。RX处理器356然后使用快速傅立叶变换(FFT)将OFDM符号流从时域转换到频域。频域信号包括用于OFDM信号的每个子载波的单独OFDM符号流。通过确定由基站310发送的最可能的信号星座点，恢复和解调每个子载波上的符号和参考信号。这些软决定可以基于由信道估计器358计算的信道估计。然后对软决定进行解码和解交织以恢复最初由基站310在物理信道上发送的数据和控制信号。然后将数据和控制信号提供给的控制器/处理器359。
控制器/处理器359可以与存储程序代码和数据的存储器360相关联。存储器360可以被称为计算机可读介质。在UL中，控制器/处理器359提供传输和逻辑信道之间的解复用、分组重组、解密、报头解压缩和控制信号处理，以从EPC 160恢复IP分组。控制器/处理器359还负责使用ACK和/或NACK协议来支持HARQ操作的纠错。
与结合基站310的DL传输描述的功能类似，控制器/处理器359提供与系统信息(例如MIB、SIB)获取、RRC连接和测量报告相关联的RRC层功能；与报头压缩/解压和安全性(加密、解密、完整性保护、完整性验证)相关联的PDCP层功能；与上层PDU的传输、通过ARQ的纠错、RLC SDU的级联、分段和重组、RLC数据PDU的重新分段和RLC数据PDU的重新排序相关联的RLC层功能；以及与逻辑信道和传输信道之间的映射、MAC SDU到TB的复用、MAC SDU从TB的解复用、调度信息报告、通过HARQ的纠错、优先级处理和逻辑信道优先级相关联的MAC层功能。
TX处理器368可以使用由信道估计器358从由基站310发送的参考信号或反馈导出的信道估计来选择适当的译码和调制方案，并促进空间处理。TX处理器368生成的空间流可以经由单独的发送器354a提供给不同的天线352。每个发送器354a可以用各自的空间流调制RF载波以进行发送。
在基站310处以类似于结合UE 350处的接收器功能所描述的方式来处理UL传输。每个接收器318b通过其各自的天线320接收信号。每个接收器318b恢复调制到RF载波上的信息，并将该信息提供给RX处理器370。
控制器/处理器375可以与存储程序代码和数据的存储器376相关联。存储器376可以被称为计算机可读介质。在UL中，控制器/处理器375提供传输和逻辑信道之间的解复用、分组重组、解密、报头解压缩、控制信号处理以从UE 350恢复IP分组。可以将来自控制器/处理器375的IP分组提供给EPC 160。控制器/处理器375还负责使用ACK和/或NACK协议的纠错来支持HARQ操作。
图4示出了根据本文公开的教导的用于自生成的eID的身份注册的示例通信流400。例如，可以由如图2所示的eID系统来执行eID注册。图4的通信流400包括用户402、设备404、IDM系统406和验证系统408。可以在用户402和设备404之间为设备404执行用户证明或认证过程403，以验证用户402被授权使用设备404。认证或证明可以基于由用户402输入或提供的密码、个人识别号(PIN)、生物特征信息、活性测试等。在用户认证之后(例如，在认证过程403处)，可能发生ID注册触发，如405处所示。例如，用户402可以触发ID注册。ID可以由用户402和/或设备404选择或生成。在一些示例中，ID可以附加地或替代地包括凭证，诸如公钥-私钥对(例如，公钥(pk)和私钥(或秘密密钥(sk))。设备404发送由IDM系统406接收的凭证注册请求407。凭证注册请求407包括用于设备404的设备ID。IDM系统406发送由验证系统408接收的设备验证请求409。验证系统408通过发送由IDM系统406接收的包括随机数(nonce)的设备证明请求411来响应设备验证请求409。IDM系统406向设备404发送带有随机数的设备证明请求413。设备404通过发送由IDM系统406接收的设备证明415来响应。
在一些示例中，设备证明415可以包括已签名的声明，并且该声明可以包括一个或多个设备状态，或者一个或多个设备状态的散列值，或者其任意组合。声明包括一条断言的信息，并且可以以关于设备的名称/值对的形式。声明可以由设备签名(例如，使用设备特定的签名密钥)，其可以被提供并存储在设备的安全或可信环境中。证明提供关于设备的属性。可以至少基于设备软件、固件、操作系统、应用程序、用户认证结果、当前位置、硬件状态或其任意组合中的一个或多个来测量设备状态。在一些示例中，证明可以包括用户证明。用户证明还可以包括生物特征活性分数、可信位置、关于用于认证的用户手指的信息、与防止用户认证的欺骗相关联的其他元数据中的一个或多个，或这样的用户证明信息的任何组合。作为硬件状态的示例，设备可以确定它是否经由通用串行总线(USB)连接到计算机，设备的电池是否已经被移除，或者潜在硬件篡改的一些其他证据。硬件状态可以基于来自传感器的信息，以指示在设备处是否发生了某些事情，例如，保险丝是否熔断、保险丝是否被禁用、设备是否被打开、设备当前是否诸如经由USB或其他有线连接连接到另一个设备等。设备状态或设备状态的散列值可以至少与设备ID和随机数一起被签名。IDM系统406向验证系统408发送设备验证请求417。设备验证请求417可以包括来自设备证明415的签名声明或其他信息。
在419处，验证系统408确定设备404的设备身份和声明验证。然后，验证系统408向IDM系统406发送设备验证响应421。设备验证响应421可以包含设备验证结果。设备验证结果提供了验证者(例如，验证系统408)对设备声明的评估的证明。设备验证结果可以由验证者签名，例如，使用其签名密钥，类似于来自设备的声明由设备使用设备的签名密钥签名。设备验证响应还可以包含设备状态。设备验证结果可以指示设备身份被验证，并且声明被验证系统验证。
如图4所示，IDM系统406在从验证系统408接收到设备验证响应421后，向设备404发送凭证请求423。设备404通过向IDM系统406发送凭证响应425来响应凭证请求423。除了其他信息，凭证响应425可以包括ID、凭证、凭证证明、用户信息或设备证明中的一个或多个。包括在凭证响应中的信息可以包括eID。在接收到凭证响应425之后，IDM系统406用凭证注册响应427来响应。在凭证注册响应427之后，向IDM系统406注册eID。
图5示出了根据本文公开的教导的示例eID系统500，其中IDM系统508与使能者501交互，该使能者501使eID能够提供或控制对消费者或服务503的访问。在所示示例中，设备502(例如，用户设备、UE、网络端点等)可以与IDM系统508交互以结合消费者或服务503使用eID。IDM系统508可以与验证系统510交换信息以验证设备502的凭证。注册系统或eID注册/认证机构512可以针对设备502向IDM系统508提供eID。在图5所示的示例中，eID登记/认证机构512不同于图2和/或图4的自生成的eID。
可以通过扫描物理ID卡并与发行机构交互验证卡的真实性来将eID存储或注册在用户设备中。可能存在许多场景，其中由于盗窃的风险、发行和/或注册过程的延迟、撤销的困难等，物理ID卡是不必要的或不优选的。通过促进本文详述的注册过程，由发行机构创建的eID和相关联的凭证可以由IDM管理，并且用户设备可以被授予令牌以访问eID和凭证。令牌可以绑定到用户在本文详述的注册过程期间注册的用户设备。设备证明可以作为设备登记的一部分来执行。然后，用户可以通过在用户设备上呈现令牌来从IDM下载eID和凭证。
图6是示出如本文所呈现的示例eID注册环境600的图。eID是包括ID信息和相关联的凭证(例如，电子凭证)的ID。可以包括在eID中的ID信息的示例包括ID号、姓名、出生日期、发行日期、到期日期以及其他信息。相关联的凭证可以包括密钥(例如，公钥-私钥对)、证书、令牌、密码、PIN、包括用户信息的数字ID(诸如数字ID卡)、用户的生物特征信息(例如，面部ID、指纹、虹膜生物特征信息等)等中的任何一个。用户设备还可以执行用户认证。用户认证可以将证明绑定到认证，例如，设备对用户的证明。在一些示例中，用户认证还可以包括用户的活性测试，这可以增加设备的证明和用户的认证之间的绑定。如图6所示，eID注册环境600包括发行机构系统602、由用户605控制的设备604(例如，用户设备、UE、网络端点等)、IDM系统606和验证系统608。发行机构系统602可以由eID的发行机构控制。例如，如果eID与驾驶执照相关联，则eID的发行机构可以是机动车辆部门。验证系统608可以存储关于用户设备的信息，诸如设备604的设备凭证。在一些方面，设备凭证可以包括设备公钥。在一些方面，设备凭证可以包括绑定到设备604的硬件的凭证。例如，设备凭证可以包括与设备604的硬件(诸如包括基带处理器和一个或多个其他处理器的芯片集)相关联的一个或多个永久标识符。
如图6所示，用户605可以使用设备604开始用户登记过程612。在执行用户登记过程612的同时，可以将设备凭证发送到发行机构系统602。发行机构系统602然后可以发送包括可以绑定到设备604的令牌的注册批准。发行机构系统602还可以通过向IDM系统606发送包括ID凭证(诸如与驾驶执照和驾驶执照信息相关联的凭证)的注册令牌来执行向IDM系统606的注册过程616。IDM系统606可以存储从发行机构系统602发送的ID凭证。响应于接收到注册批准614，设备604可以利用IDM系统606在设备604处执行凭证供应过程618。在一些方面，在凭证提供过程期间，还基于IDM系统606中存储的凭证来执行用户认证。结合图9进一步解释凭证提供过程的细节。IDM系统606可以与验证系统608执行设备验证过程620来验证设备604。在一些方面，设备验证过程620可以包括设备供应、特征激活或设备证明。在一些方面，用户登记过程612、登记批准614、登记过程616、凭证供应过程618和设备验证过程620中的每个步骤可能需要设备证明。
执行远程证明可以包括第一实体或第一方(例如，证明者)、第二实体或第二方(例如，依赖方)以及第三实体或第三方(例如，验证者)。证明者是其属性被评估以确定该实体是否被认为是值得信赖的(例如，该实体是否具有对服务的访问和/或授权)的实体(例如，用户或设备)。依赖方是依赖于证明者的可信度来确定该实体是否具有对服务的访问和/或授权的实体(例如，服务提供者)。验证者是评估证明者的属性的有效性的实体(例如，可信第三方，诸如设备制造者、IDM系统、验证系统等)。
例如，诸如IoT网络的网络可以包括访问由服务提供者(例如，网关、路由器、接入点、基站等)提供的服务(例如，网络的资源)的一个或多个网络端点和/或设备。为了保护网络的完整性，服务提供者可以利用远程证明过程来确定一个或多个网络端点和/或设备是否符合对网络的访问。
通常，证明者(例如，网络端点、设备)创建传递给验证者的证据(例如，信息集或声明集)。在一些示例中，证据可以包括网络端点和/或设备(在此通常称为“UE”)的状态的测量和报告。例如，证据可以包括与UE相关联的固件信息、软件信息、位置信息、时间戳(例如，时间和/或日期信息)等。在一些示例中，证明可以包括用户证明。用户证明还可以包括生物特征活性分数、可信位置、关于用于认证的用户手指的信息、与防止用户认证的欺骗相关联的其他元数据中的一个或多个，或这样的用户证明信息的任何组合。
验证者将证据评估策略应用于接收到的证据，以评估证明者(例如，UE)的可信度，并生成证明结果。证据评估策略可以包括一个或多个规则或约束，指导验证者如何评估由证明人提供的证据的有效性。证明结果可以指示验证者是否担保证明者和证据的有效性。例如，验证者可以是可信的第三方，诸如网络端点和/或设备的制造者，并且证据评估策略可以包括关于(多个)兼容固件版本信息、(多个)兼容软件版本信息、(多个)兼容位置信息、(多个)兼容时间戳信息等的设备验证信息。验证者可以生成指示由证明者提供的证据是否符合设备验证信息的证明结果。
依赖方将证明评估策略应用于证明结果，以确定是否向证明者提供对服务的访问和/或授权。例如，依赖方可以是服务提供者，并且可以基于证明结果对证明者实施策略。例如，策略可以包括网络访问的一个或多个级别或配置、服务访问和/或授权的一个或多个级别或配置、QoS的一个或多个级别或配置、资源访问的一个或多个级别或配置、信任的一个或多个级别或配置和/或一个或多个信任事件补救措施。
执行远程证明的方面可以使用不同的技术来实施。图7A示出了促进在证明者702、依赖方704和验证者706之间执行远程证明的第一示例模型701的示例通信流700，如本文所呈现的。图7B示出了促进在证明者702、依赖方704和验证者706之间执行远程证明的第二示例模型731的示例通信流730，如本文所呈现的。图7C示出了促进在证明者702、第一依赖方704a、第二依赖方704b和验证者706之间执行远程证明的第三示例模型751的示例通信流750，如本文所呈现的。
依赖方704的方面可以由提供对网络(例如，IoT网络)的访问的服务提供者实施，诸如网关、路由器、接入点、基站、边缘节点等。证明者702的方面可以由连接(或试图连接)到依赖方704提供的网络的网络端点和/或设备(例如，图1的用户设备103和/或图1的UE104)来实施。验证者706的方面可以由可信的第三方实施，诸如证明者702的制造者或被配置为管理网络设备的IoT框架。在图7A、图7B和/或图7C所示的示例中，验证者706经由远程网络与证明者702和/或依赖方704通信。
在一些示例中，图7A的第一示例模型701可以被称为“护照模型”，因为它与国家如何向其公民签发护照相似。在图7A所示的示例中，证明者702发送由验证者706接收的证据710。在712处，验证者706将证据710与证据评估策略进行比较。然后，验证者706发送由证明者702接收的证明结果714。如果证明者702确定证明结果714指示合规，则证明者702向依赖方704发送(或转发)证明结果716。在718处，依赖方704将证明结果716与证明评估策略进行比较。依赖方704然后可以基于比较的结果对证明者702实施策略(例如，在718处)。
在一些示例中，图7B的第二示例模型731可以被称为“背景调查模型”，因为它与雇主可以如何对未来雇员执行背景调查相似。在图7B所示的示例中，证明者702发送由依赖方704接收的证据732。依赖方704发送(或转发)由验证者706接收的证据734。在736处，验证者706将证据734与证据评估策略进行比较。验证者706然后发送由依赖方704接收的证明结果738。在740处，依赖方704将证明结果738与证明评估策略进行比较。依赖方704然后可以基于比较的结果对证明者702实施策略(例如，在740处)。
在一些示例中，图7C的第三示例模型751可以被称为“组合模型”，因为它类似于采用背景调查模型的第一依赖方704a，如图7B所示，以及采用护照模型的第二依赖方704b，如图7A所示。在图7C所示的示例中，证明者702发送由第一依赖方704a接收的证据752。第一依赖方704a发送(或转发)由验证者706接收的证据754。在756处，验证者706将证据754与证据评估策略进行比较。然后，验证者706发送由第一依赖方704a接收的证明结果758。在760处，第一依赖方704a将证明结果758与证明评估策略进行比较。如果第一依赖方704a确定证明结果758指示合规，则第一依赖方704a向证明者702发送证明结果762。如果证明者702确定证明结果762指示合规，则证明者702向第二依赖方704b发送(或转发)证明结果764。在766处，第二依赖方704b将证明结果764与证明评估策略进行比较。第二依赖方704b然后可以基于比较的结果对证明者702实施策略(例如，在766处)。
然而，在一些示例中，执行远程证明可能会带来隐私问题、管理问题和/或扩展性问题。例如，每次执行远程证明时，信息(例如，证据)经由远程网络从网络(例如，由服务提供者提供的网络)发送到验证者。例如，网络可以与家庭、企业、工厂、市政当局等相关联，并且网络端点可以包括连接到网络的不同设备。在一些这样的示例中，可以理解的是，网络的所有者(例如，房主、工厂所有者等)可能希望限制发送到远程网络的信息。例如，与家庭相关联的网络可以包括一个或多个智能设备，诸如智能电表、智能温度计、一个或多个智能灯泡等。在一些这样的示例中，一个或多个智能设备在执行远程证明时可能发送的信息可以提供房主可能想保密的房主的习惯或行为(例如，当房主在家时，等等)。在另一示例中，与工厂相关联的网络可以包括几十个或几百个网络端点。在一些这样的示例中，网络端点在执行远程证明时可能发送的信息可以包括商业秘密，诸如工厂日志。在另一示例中，防止网络内的网络端点与可信第三方连接(例如，经由远程网络)可能是有益的。
然而，在一些示例中，维护网络的健康可以包括经由远程网络与第三方通信。例如，软件更新可以由网络端点的制造者提供给连接到网络的网络端点。在一些这样的示例中，网络所有者可能希望以集中的方式(例如，经由安全网关)管理健康和更新设备。另外或替代地，网络所有者可能希望基于能力、配置文件或角色来管理他们的设备。
本文公开的示例技术利用位于网络内的网络健康管理器(例如，网络控制器、网络管理器、网关、路由器、接入点、基站、边缘节点等)，以促进网络的自管理信任。例如，所公开的技术可以通过配置网络健康管理器来管理连接到网络的网络端点的健康和信任来促进减少经由远程网络(例如，IoT框架)从网络发送到第三方的信息。网络健康管理器可以利用由一个或多个可信第三方提供的信息来承担验证者的角色。因此，网络健康管理器可以充当网络端点的服务提供者和验证者，并限制经由远程网络从网络发送到第三方的信息。
在一些示例中，可以例如在网络端点、网络健康管理器和可信第三方(例如，远程验证者)之间执行初始验证。例如，当网络端点请求与网络的连接时，网络端点(例如，证明者702)、网络健康管理器(例如，依赖方704)和可信第三方(例如，验证者706)可以采用上面结合图7A、图7B和/或图7C描述的远程证明过程。
然后，当管理网络端点的健康和信任时，网络健康管理器(例如，安全网关)可以充当网络端点的代理。例如，在验证网络端点并确定其可信度之后，网络健康管理器可以(例如，从可信第三方)获取(或接收)用于网络端点的可信参考信息。在一些示例中，可信参考信息可以包括网络端点的“最后已知的良好状态”。例如，可信参考信息可以包括(多个)兼容固件版本信息、(多个)兼容软件版本信息、(多个)兼容位置信息、(多个)兼容时间戳信息等中的一个或多个。
在一些示例中，网络健康管理器可以接收每个网络端点的可信参考信息。例如，网络健康管理器可以接收用于第一智能温度计的第一可信参考信息，可以接收用于第二智能温度计的第二可信参考信息，可以接收用于智能仪表的第三可信参考信息等。
在一些示例中，网络健康管理器可以接收用于网络端点集(例如，同一类型的网络端点)的可信参考信息。例如，网络健康管理器可以接收用于第一和第二智能温度计的第一可信参考信息，可以接收用于智能仪表的第二可信参考信息等。
在一些示例中，网络健康管理器可以订阅以从可信第三方接收网络端点的最新可信参考信息。例如，网络端点的制造者可以提供当软件更新可用于网络端点时通知网络健康管理器的服务。
在一些示例中，网络健康管理器可以执行网络端点的验证。例如，网络健康管理器可以向网络端点查询证明，并基于网络端点的证明和可信参考信息来确定是否发生了信任事件。在一些示例中，网络健康管理器可以根据策略执行网络端点的验证。例如，网络健康管理器可以周期性地、按需地或响应于触发事件的发生而向网络端点查询证明。然后，网络健康管理器可以基于证明和与网络端点相关联的可信参考信息来确定网络端点的可信状态。在一些示例中，网络健康管理器可以向可信第三方报告验证的结果和/或报告网络端点的信任状态。例如，网络健康管理器可以根据与可信第三方的服务合同报告验证的结果和/或报告网络端点的信任状态。
在一些示例中，网络健康管理器可以从可信第三方获取或接收针对网络端点实施的策略。例如，网络健康管理器可以接收与执行初始验证相关联、与执行后续验证相关联、与执行标识符注册相关联和/或响应于触发事件的发生的策略。
在一些示例中，网络端点可以向网络健康管理器提供针对网络端点实施的策略。在一些示例中，网络端点可以向网络健康管理器提供证明验证者用于访问策略。网络端点可以与执行初始验证相关联、与执行标识符注册相关联和/或根据策略向网络健康管理器提供证明验证者。例如，证明验证者可以包括策略位置(例如，统一资源定位符(URL))，网络健康管理器可以使用该策略位置来访问(或检索)用于针对网络端点实施的策略。在一些示例中，策略可以包括制造者使用描述(MUD)文件。MUD文件可以描述网络端点和相关联的设备使用信息。例如，MUD文件可以定义网络端点的什么网络使用或行为是可接受或允许的。
在一些示例中，在网络健康管理器获得策略之后，网络健康管理器开始针对网络端点实施策略。例如，网络健康管理器可以基于策略实施网络访问或授权。该策略可以包括网络访问级别或配置、服务访问或授权级别或配置、QoS级别或配置、资源访问级别或配置和/或信任级别或配置。在一些示例中，实施策略可以包括限制对网络端点的访问、限制对网络端点的远程访问、限制提供给第三方的关于网络端点的信息和/或为网络端点提供软件更新。
在一些示例中，策略可以包括当检测到信任事件时网络健康管理器应用的一个或多个补救措施。在一些示例中，当网络端点未通过验证时，可能发生信任事件。例如，网络健康管理器可以确定由网络端点提供的证明可能和与网络端点相关联的可信参考信息不匹配。在一些示例中，当确定网络端点在MUD文件定义的范围之外操作时，可能发生信任事件。例如，智能灯泡可以通过网络进行控制，并且可以被配置为连接到可以通过在智能电话上执行的应用来访问的集合点服务。如果网络健康管理器检测到智能灯泡正在尝试访问另一个网络元件(例如，冰箱、打印机等)，网络健康管理器可以确定信任事件的发生。在另一个示例中，智能电表的MUD文件可以指示智能电表被配置为每天向云服务发送一次数据。如果网络健康仪表检测到智能仪表正在尝试更频繁地发送数据，或者发送比允许更多的数据，则网络健康管理器可以确定信任事件的发生。
在一些示例中，当网络健康管理器确定信任事件的发生时，网络健康管理器可以尝试一个或多个补救措施来解决信任事件。例如，网络健康管理器可以禁止用户经由网络端点的访问，可以强制网络端点的软件更新，可以使网络端点执行重启，可以使网络端点重置(例如，出厂重置)，和/或可以断开网络端点的网络访问。在一些示例中，网络健康管理器可以基于网络健康管理器不能解决信任事件的确定向第三方设备管理器提供信任事件报告。
图8示出了如本文所示的网络802、网络健康管理器804和远程第三方806之间的示例信息交换800。在所示示例中，信息交换800促进了自管理信任系统，该系统包括网络802的一个或多个设备、网络健康管理器804和远程第三方806。网络802的方面可以由包括一个或多个网络端点(例如，图1的用户设备103、图2的用户设备202、图4的设备404、图5的设备502和/或图6的设备604)、一个或多个UE(例如，图1的UE 104和/或图3的UE350)和/或一个或多个证明者(例如，图7A、图7B和/或图7C的证明者702)的IoT网络、企业网络和/或消费者网络来实施。网络健康管理器804的方面可以由安全网关、安全路由器等实施。远程第三方806的方面可以由与网络802的网络端点(例如，设备803)相关联的可信第三方来实施，诸如设备803的制造者、基于云的设备管理服务(例如，IoT框架)、托管用于针对设备803实施的策略的实体(例如，web服务器)、托管设备803的可信参考信息的实体(例如，web服务器)、被配置为执行与设备803相关联的验证的实体等。可以理解，远程第三方806可以是一个或多个远程第三方中的一个。
在图8所示的示例中，网络健康管理器804管理连接的设备(例如，网络802的一个或多个网络端点)的健康。在一些示例中，网络健康管理器804可以基于信任策略将对网络802内的可疑设备的访问列入黑名单或以其他方式限制对网络802内的可疑设备的访问(例如，在810处)。在一些示例中，网络健康管理器804可以充当网络802的一个或多个设备的防火墙。例如，网络健康管理器804可以根据MUD文件限制设备803的网络访问(例如，在812处)。当相应的设备软件过期时，网络健康管理器804还可以向网络802的一个或多个设备提供软件更新(例如，在814处)。因此，本文公开的网络健康管理器804可以例如通过减少从网络802的一个或多个设备中继到远程第三方806的信息来增加网络802的隐私性(例如，在816处)。
此外，图8的自管理信任系统可以促进保护免受中间人(MITM)攻击并证明网络802的连接健康(例如，在818处)。例如，网络健康管理器804可以确保网络802的一个或多个设备被正确配置和装载(例如，在820处)。例如，当设备803发起连接请求时，网络健康管理器804可以促进执行初始设备验证(例如，远程证明，如上面结合图7A、图7B和/或图7C所述)以确定设备803的可信度。网络健康管理器804还可以执行设备803的状态的后续查询，以评估设备803的信任状态。当网络健康管理器804检测到信任事件的发生时，网络健康管理器804可以执行一个或多个信任事件补救措施以尝试解决与设备803相关联的信任事件。
如图8所示，网络802的一个或多个设备可以向网络健康管理器804提供设备ID和/或设备健康信息。在一些示例中，设备ID可以包括设备(例如，设备803)的永久凭证。设备健康信息可以包括与设备803相关联的状态信息，诸如固件信息、软件信息、位置信息、时间戳(例如，时间和/或日期信息)等。在一些示例中，设备803可以在运行时和/或启动时收集(或测量)设备健康信息。在一些示例中，设备803可以按需(例如，当由网络健康管理器804查询时)和/或按计划(例如，根据策略)提供设备健康信息。
网络健康管理器804可以通过例如限制从网络802发送到远程第三方806的信息来保护网络802的隐私性。例如，通过能够执行验证，网络健康管理器804限制与网络802的一个或多个设备相关联的记录信息，该记录信息可能已经作为设备健康信息的一部分被发送到远程第三方806(例如，在远程证明执行期间)。此外，网络健康管理器804提供用于执行软件更新和对策略(例如，MUD文件)的请求的集中方式。例如，代替网络802的每个设备与其各自的远程第三方协调以接收软件更新，网络健康管理器804可以订阅通知网络健康管理器804软件更新何时可用于网络802的各个设备的服务。
网络健康管理器804可以从远程第三方806接收响应和/或信息。例如，网络健康管理器804可以接收网络802的各个设备的软件更新、设备验证信息等。
网络健康管理器804可以为网络802的各个设备提供供应服务。例如，网络健康管理器804可以促进设备803的凭证供应。
如上所述，网络健康管理器804还可以促进对网络的各个设备执行软件更新(例如，当软件更新对设备可用和/或关键时)。在一些示例中，网络健康管理器804可以促进以增加的隐私性执行软件更新。
图9示出了如本文所呈现的网络端点902、网络健康管理器904和可信第三方906之间的示例通信流900。在所示的示例中，通信流程900促进网络端点902执行软件更新，同时保持与可信第三方906的隐私性。网络端点902的方面可以由网络端点(例如，图1的用户设备103、图2的用户设备202、图4的设备404、图5的设备502和/或图6的设备604)、UE(例如，图1的UE 104和/或图3的UE 350)、证明者(例如，图7A、图7B和/或图7C的证明者702)和/或图8的设备803来实施。网络健康管理器904的方面可以由图8的网络健康管理器804实施。可信第三方906的方面可以由与网络端点902相关联的可信第三方(例如，图7A、图7B和/或图7C的验证者706和/或图8的远程第三方806)实施。
尽管在图9所示的示例中未示出，但在其他示例中，网络健康管理器904可以管理连接到网络的一个或多个设备的健康和信任，因此，网络端点902可以是网络的一个示例设备，诸如图8的网络802的示例设备803。
此外，尽管在图9所示的示例中示出为单个实体，但在其他示例中，可信第三方906可以包括一个或多个可信第三方。例如，可信第三方906可以包括网络端点902的制造者、基于云的设备管理服务(例如，IoT框架)、托管用于针对网络端点902实施的策略的实体、托管网络端点902的可信参考信息的实体、被配置为执行与网络端点902相关联的证明的实体等。
在图9所示的示例中，网络端点902和网络健康管理器904可以在910执行身份注册。例如，网络端点902和网络健康管理器904可以采用图4的示例通信流400来执行身份注册。在912，网络健康管理器904可以注册与网络端点902相关联的永久凭证。
在914处，网络端点902生成临时凭证。临时凭证可以包括公钥-私钥对。网络端点902发送由网络健康管理器904接收的临时凭证916。临时凭证916可以基于公钥-私钥对、公钥-私钥对的公钥或证书中的至少一个。在一些示例中，临时凭证916还可以包括与临时凭证相关联的临时ID。临时ID可以是与临时凭证916相关联的公钥、证书ID或标识符的散列。网络端点902还可以向网络健康管理器904提供临时凭证916的所有权(或有效性)的证明。例如，所有权证明可以基于网络健康管理器904已知的网络端点902的永久凭证(例如，在912注册的永久凭证)。如果网络健康管理器904确定临时凭证有效，则在918处，网络健康管理器904注册临时凭证916，并且将临时凭证916与网络端点902相关联。
在所示示例中，网络健康管理器904从可信第三方906接收软件更新通知920。软件更新通知920可以指示软件更新可用于网络端点902。网络健康管理器904可以接收软件更新通知920以响应定期证明报告和/或作为基于订阅的推送通知。在一些示例中，订阅可以基于设备类型(例如，智能电表)，而网络端点902的设备ID保持私有。
网络健康管理器904发送由可信第三方906接收的软件更新请求922。软件更新请求922可以包括网络端点902的临时凭证916，使得软件更新可以绑定到网络端点902。例如，可信第三方906发送由网络健康管理器904接收的软件更新924。可信第三方906可以使用临时凭证916来加密软件更新924。可信第三方906还可以签名软件更新924(例如，经由制造者ID)。
在926处，网络健康管理器904实施与网络端点902相关联的软件更新策略。例如，网络健康管理器904可以通过验证软件更新924包括正确的目标设备(例如，网络端点902的临时凭证)以及软件更新924由可信第三方906签名(例如，经由制造者ID)来尝试验证软件更新924的完整性。如果网络健康管理器904成功地验证了软件更新(例如，在926)，则网络健康管理器904发送由网络端点902接收的软件更新928。如果网络健康管理器904不能验证软件更新(例如，软件更新924不包括正确的目标设备和/或软件更新924未被可信第三方906签名)，则网络健康管理器904阻止软件更新被提供给网络端点902。
在938处，网络端点902更新软件。在一些示例中，执行软件更新可以包括使用软件激活码，例如，以防止软件更新的误用。例如，执行软件更新可以包括提供软件激活码。
在一些示例中，网络端点902可以发送由网络健康管理器904接收的证明930。证明930可以包括网络端点902的设备标识符、网络端点902的永久凭证和/或网络端点902的设备状态。在一些示例中，设备标识符和永久凭证中的至少一个可以存储在网络端点902的安全或可信环境中，并且存储在安全或可信环境中的信息可以是不可改变的。
网络健康管理器904可以发送由可信第三方906接收的证明指示932。在一些示例中，证明指示932可以包括由网络健康管理器904生成并基于证明930的证明结果。可信第三方906可以发送由网络健康管理器904接收的软件激活码934。可信第三方906可响应于接收到证明指示932而发送软件激活码934。网络健康管理器904发送(或转发)由网络端点902接收的软件激活码936。在938，网络端点902可以使用软件激活码936来促进软件更新的执行。
图10示出了在自管理虚拟无线电接入网(vRAN)信任环境1000中的示例信息交换，该环境1000包括UE 1002、基础节点1004、边缘节点1006和IoT框架1008，如本文所呈现的。在图10所示的示例中，UE 1002、基础节点1004、边缘节点1006和IoT框架1008经由网络1010进行通信。
UE 1002的方面可以由网络端点(例如，图1的用户设备103、图2的用户设备202、图4的设备404、图5的设备502、图6的设备604和/或图9的网络端点902)、UE(例如，图1的UE104和/或图3的UE 350)、证明者(例如，图7A、图7B和/或图7C的证明者702)和/或图8的设备803来实施。基础节点1004的方面可以由路由器或基站实施，诸如图1的示例基站102/180和/或图3的基站310。网络1010的方面可以由诸如移动网络或电信网络的公共云1010a实施，或者可以由诸如企业网络的私有云1010b实施。
在图10所示的示例中，IoT框架1008可以包括基于云的设备管理服务，以管理一个或多个网络端点(例如，一个或多个IoT设备)，诸如UE 1002。例如，IoT框架1008可以执行一个或多个网络端点的分析，执行一个或多个网络端点的连续监视，和/或可以执行一个或多个网络端点的设备管理。在一些示例中，IoT框架1008可以与提供一个或多个可信第三方服务的一个或多个云系统1009通信。例如，一个或多个云系统1009可以提供与网络端点的制造者、托管用于针对网络端点实施的策略的实体、托管网络端点的可信参考信息的实体、被配置为执行与网络端点相关联的设备证明的实体等相关的服务。
在一些示例中，IoT框架1008可以将一个或多个服务卸载到边缘节点1006，使得边缘节点1006可以对数据进行本地操作。通过将一个或多个服务卸载到边缘节点1006，服务的执行可以比经由IoT框架1008执行时相对更快地完成，从而减少UE 1002在访问服务时可能经历的时延。
在图10所示的示例中，UE 1002包括协议和/或软件堆栈1050以及硬件组件1052。示例协议和/或软件堆栈1050包括应用编程接口(API)、软件开发套件(SDK)、NAS层、RRC层、RLC层、MAC层、PHY层、实时操作系统(RTOS)、管理程序(HYP)层、可信执行环境(TEE)和对策层。然而，其他示例协议和/或软件堆栈可以包括附加或替代组件。
示例硬件组件1052包括安全引导(SecBoot)组件、加密组件和安全元件1054。安全元件1054(有时称为“信任管理引擎”)可被强化以提供硬件保证。例如，修改存储在安全元件1054中的内容可能需要对安全元件1054的物理访问。因此，在安全元件1054中存储信息增加了所存储的信息不被修改的保证，并且提供了“信任根”。在一些示例中，UE 1002的设备标识符、UE 1002的永久凭证和/或UE 1002的设备状态信息中的至少一个可以存储在安全元件1054中。在一些示例中，在证明期间，安全元件1054可以执行设备状态的测量和报告。
在图10所示的示例中，基础节点1004包括协议和/或软件堆栈1056以及硬件组件1058。示例协议和/或软件堆栈1056包括RRC层、RLC层、MAC层、PHY层、RTOS、HYP层、TEE和对策层。然而，其他示例协议和/或软件堆栈可以包括附加或替代组件。
示例硬件组件1058包括SecBoot组件、加密组件和安全元件1060。安全元件1060的方面可以类似于UE 1002的安全元件1054。在一些示例中，安全元件1060可以附加地或替代地存储与其他网络端点(例如，UE 1002)相关联的登记和/或注册的标识符。例如，UE 1002可以向基础节点1004注册设备标识符(例如，使用图4的示例通信流400)。在一些这样的示例中，基础节点1004可以将UE 1002的注册的设备标识符存储在安全元件1060中。
在图10所示的示例中，边缘节点1006包括协议和/或软件堆栈1062以及硬件组件1064。示例协议和/或软件堆栈1062包括应用服务层、HYP层、Fog层(例如，边缘计算的开放标准)、存储层、计算层、加速器层、网络层和对策层。然而，其他示例协议和/或软件堆栈可以包括附加或替代组件。
示例硬件组件1064包括SecBoot组件、加密组件和安全元件1066。安全元件1066的方面可以类似于UE 1002的安全元件1054和/或基础节点1004的安全元件1060。
在图10所示的示例中，当诸如UE 1002的设备执行证明时，UE 1002的安全元件1054可以测量并报告UE 1002的设备状态。例如，安全元件1054可以测量和/或获得和与UE1002相关联的设备软件、固件、操作系统、应用程序、用户认证结果、当前位置、硬件状态或其任意组合中的一个或多个相关的信息。在一些示例中，证明可以包括用户证明。用户证明还可以包括生物统计活性分数、可信位置、关于用于认证的用户手指的信息、与防止用户认证的欺骗相关联的其他元数据或这种用户证明信息的任何组合中的一个或多个。
如上所述，为了促进自管理信任网络，网络可以指定代理设备(或代理设备，如下文结合图11所述)来促进在网络内执行证明。在一些这样的示例中，代理设备(例如，网络健康管理器)可以获得可信参考信息，以促进执行一个或多个连接的网络端点的健康和信任状态检查。
在图10所示的示例中，基础节点1004可以执行网络健康管理器的方面，诸如图8的网络健康管理器804和/或图9的网络健康管理器904。例如，基础节点1004可以促进执行UE1002的初始设备验证，然后从可信第三方(例如，经由IoT框架1008)检索与UE 1002相关联的可信参考信息。基础节点1004可以将可信参考信息存储在基础节点1004的安全元件中，诸如示例安全元件1060。
在图10所示的示例中，UE 1002向网络提供证明。例如，UE 1002可以向基础节点1004和/或边缘节点1006发送证明。在一些示例中，证明可以包括由UE 1002的安全元件1054测量和报告的设备状态信息。UE 1002可以根据策略、基于请求(例如，来自基础节点1004和/或边缘节点1006)和/或响应于触发事件来提供证明。UE 1002可以将证明发送到基础节点1004和/或边缘节点1006，用于基于信任策略的本地分析和管理。
本地管理节点(例如，基础节点1004和/或边缘节点1006)可以基于与UE 1002相关联的证明和可信参考信息来确定是否发生了信任事件。在第一示例中，本地管理节点可以确定没有发生信任事件。在第二示例中，本地管理节点可以确定发生了信任事件并且该信任事件不是问题。在第三示例中，本地管理节点可以确定发生了信任事件，该信任事件是问题，并且确定修复该问题。例如，本地管理节点可以根据策略应用一个或多个信任事件补救措施来修复问题。在第四示例中，本地管理节点可以确定发生了信任事件，该信任事件是问题，并且确定将修复问题推迟到IoT框架1008。例如，本地管理节点可以确定应用一个或多个信任事件补救措施未能成功解决信任事件，本地管理节点不能执行信任事件补救措施(例如，信任事件补救措施在与UE1002相关联的策略和/或与本地管理节点相关联的策略之外)，和/或没有提供信任事件补救措施(例如，通过策略)来补救信任事件。
在本地管理节点确定将修复问题推迟到IoT框架1008的一些示例中，本地管理节点可以向IoT框架1008发送信任事件报告(有时称为“证明报告”)。
如图10所示，IoT框架1008的设备管理实体1070可以从一个或多个云系统1009请求证明验证。例如，设备管理实体1070可以使用本地管理节点提供的证明报告来请求UE1002的证明验证。响应于证明验证请求，一个或多个云系统1009可以提供证明验证报告。然后，设备管理实体1070可以采取一个或多个动作来补救与UE 1002相关联的信任事件。例如，设备管理实体1070可以从网络1010中移除UE 1002，可以强制UE 1002执行软件更新等。
图11描绘了示例网络1100，诸如自管理高保证IoT网络，包括用户1102、1104、网络端点(例如，节点1110、1112、1114、1116、1118、1120)、路由器1122、可信第三方1124和边缘节点1126，如本文所呈现的。示例网络1100提供了执行用户证明、设备证明和/或连接证明的节点的示例。在图11所示的示例中，路由器1122和边缘节点1126各自与可信第三方1124通信，并且还与一个或多个节点1110、1112、1114、1116、1118、1120通信。在一些这样的示例中，网络健康管理器的方面可以由路由器1122和/或边缘节点1126实施。例如，路由器1122可以作为连接到路由器1122的一个或多个节点1110、1112、1114、1116、1118的本地验证者操作，并且边缘节点1126可以作为连接到边缘节点1126的节点1120的本地验证者操作。例如，当节点1110、1112、1114、1116、1118中的任何一个与路由器1122连接时，路由器1122可以执行与各个节点1110、1112、1114、1116、1118的初始设备验证，然后从可信第三方1124获得与各个节点1110、1112、1114、1116、1118相关联的可信参考信息。如上面结合图10所述，路由器1122可以将可信参考信息存储在路由器的安全元件中，诸如路由器1122的安全元件。
类似地，当节点1120与边缘节点1126连接时，边缘节点1126可以执行与节点1120的初始设备验证，然后从可信第三方1124获得与节点1120相关联的可信参考信息。边缘节点1126可以将可信参考信息存储在边缘节点1126的安全元件中，诸如图10的边缘节点1006的安全元件1066。
如图11所示，路由器1122与可信第三方1124和中继节点1110通信。中继节点1110的方面可以由接入点或中继设备来实施。示例中继节点1110与第一下游节点1112、第二下游节点1114和第三下游节点1116通信。第一下游节点1112可由第一用户1102访问，并且第三下游节点1116可由第二用户1104访问。为了确保用户1102、1104被允许访问它们各自的网络端点(例如，分别为节点1112、1116)，网络端点可以执行它们各自用户的用户验证。例如，执行用户验证可以基于密码、生物特征、可信位置、多因素验证或连续认证中的一个或多个。如图11所示，第二用户1104是“好用户”，意味着第二用户1104成功地提供了用户认证和证明。相反，第一用户1102是“坏用户”，意味着第一用户1102没有成功地提供用户认证和证明。如图11所示，基于第一用户1102是“坏用户”，第一下游节点1112可以禁止和/或不允许第一用户1102登录和/或访问网络1100。第一下游节点1112可以附加地或替代地取消第一用户1102可能已经尝试执行的交易。
在一些示例中，第一下游节点1112和/或第三下游节点1116可以向路由器1122提供用户验证的结果(例如，经由中继节点1110)。例如，第一下游节点1112可以向路由器1122提供证明结果，指示第一用户1102未能通过他们的用户验证(例如，向第一下游节点1112提供了不合规的认证和/或不合规的证明)。相反，第三下游节点1116可以向路由器1122提供证明结果，指示第二用户1104通过了他们的用户验证(例如，向第三下游节点1116提供了合规的认证和证明)。在一些示例中，第一下游节点1112和/或第三下游节点1116可以根据它们各自的策略提供它们的证明结果。例如，策略可以指示下游节点1112、1116根据调度(例如，每天等)提供证明结果(多个)，按需(例如，当由路由器1122请求时)提供证明结果(多个)，和/或在触发事件发生时(例如，每次下游节点执行用户验证时，每次下游节点执行成功的用户验证时，每次下游节点执行不成功的用户验证时，等等)提供证明结果(多个)。
如图11所示，路由器1122与坏节点1118通信。由于不成功的设备证明，坏节点1118可以被指定为“坏节点”。例如，执行设备证明可以基于设备ID、引导完整性检查、运行时完整性检查、行为或静态防病毒(AV)、坏节点1118被根植的指示等中的一个或多个。如图11所示，基于坏节点1118是“坏节点”的确定，路由器1122可以执行策略驱动补救措施，诸如使坏节点1118重启，使坏节点1118重置(例如，执行出厂重置或“擦除”节点)，和/或断开坏节点1118与网络1100的连接。在一些示例中，在执行一个或多个补救措施(成功或不成功)之后，路由器1122可以查询各个节点1110、1112、1114、1116、1118以提供证明。
在一些示例中，坏节点1118可以根据策略提供其证明结果。例如，策略可以指示坏节点1118根据调度(例如，每天等)提供证明结果(多个)，按需(例如，当由路由器1122请求时)提供证明结果(多个)，和/或在触发事件发生时(例如，每次节点执行证明时，每次节点执行成功证明时，每次节点执行不成功证明时，等等)提供证明结果(多个)。
如图11所示，路由器1122经由连接1140与中继节点1110通信。在所示的示例中，路由器1122可以对连接1140执行连接证明，以确定连接1140的可信度。例如，路由器1122可以使用连接证明来确定连接1140是否可能由于入侵(例如，中间人(MITM)攻击、拒绝服务(DoS)、域名系统(DNS)中毒、不兼容的安全套接字层(SSL)连接等)、流氓无线连接的检测、国际移动订户身份捕捉器(IMSI捕捉器)的检测、流氓通用串行总线(USB)设备的检测等而不兼容。响应于确定连接1140不兼容(例如，路由器1122执行不成功的连接证明)，路由器1122可以断开中继节点1110与网络1100的连接，寻找通过其连接的另一个小区或服务集标识符(SSID)，和/或强制中继节点1110和路由器1122经由虚拟专用网络(VPN)进行通信。
如上所述，在一些示例中，可以基于被访问的服务的策略或敏感度级别向用户和/或设备提供对服务的不同级别的访问。例如，基于与第一用户1102、坏节点1118和/或连接1140相关联的信任事件的出现，路由器1122(和/或下游节点1112、1114、1116)可以执行补救措施，诸如禁用用户访问、重启节点、擦除节点、禁用节点、断开节点、寻找要与之连接的另一个小区或SSID、和/或强制VPN连接。
然而，在一些示例中，可能发生信任事件，诸如检测到运行过时软件的节点，并且对这种信任事件的补救措施可能包括允许节点继续运行，同时限制风险。如图11所示，边缘节点1126可以与节点1120执行证明，并确定节点1120正在执行过时的软件(例如，“过时的”节点)。在一些示例中，边缘节点1126可以强制过时节点1120执行软件更新。在一些示例中，边缘节点1126可以使过时节点1120能够保持功能，同时限制过时节点1120和/或网络1100的风险。例如，过时节点1120的软件更新可以指示软件更新不包括关键更新。在一些示例中，软件更新可以指示和/或边缘节点1126可以确定禁用过时节点1120的某些功能，直到软件更新被应用于过时节点1120。例如，过时节点1120可以是智能灯泡，并且可用于智能灯泡的软件更新可以指示软件更新纠正了当用户尝试启用智能灯泡的“聚会模式”设置时的问题。在一些这样的示例中，边缘节点1126可以指示过时节点1120禁用“聚会模式”设置，同时还允许过时节点1120继续其他功能(例如，被远程控制等)。
在一些示例中，针对过时节点1120实施的策略可以使过时节点1120能够在强制软件更新之前使用过时软件操作一段时间。例如，当软件更新包括关键更新时，对过时节点1120实施策略可以强制过时节点1120执行软件更新。在软件更新不包括关键更新的其他示例中，对过时节点1120实施策略可以允许过时节点1120在操作过时软件的同时继续运行，例如，直到触发事件发生。在一些示例中，软件更新触发事件可以基于阈值时段过去而发生。例如，软件更新触发事件可以发生在边缘节点1126确定软件更新可用于过时节点1120之后的24小时。
在一些示例中，软件更新触发事件可以基于过时节点1120连接到电源、具有阈值电池电量和/或在过时节点1120的停机时间期间的确定而发生。例如，边缘节点1126可以使过时节点1120基于与过时节点1120相关联的历史使用数据来执行软件更新。例如，过时节点1120可以是智能灯泡，并且与智能灯泡相关联的历史使用数据可以指示智能灯泡在一天的一个或多个时段期间(例如，在工作日的工作时间期间、在夜间时间期间等)不活动(例如，关闭)。边缘节点1126然后可以使智能灯泡在所识别的时段之一期间执行软件更新。
尽管在图11的示例中未示出，但在一些示例中，路由器1122和/或边缘节点1126可以推迟解决问题(例如，信任事件的发生)。例如，路由器1122和/或边缘节点1126可以向可信第三方1124提供信任事件报告，以确定采用什么技术来补救信任方面的发生。以上结合图10和设备管理实体1070描述了推迟解决问题的方面。
图12示出了如本文所呈现的网络端点1202、网络健康管理器1204和可信第三方1206之间的示例通信流1200。网络端点1202的方面可以由网络端点(例如，图1的用户设备103、图2的用户设备202、图4的设备404、图5的设备502、图6的设备604、网络端点902和/或图11的节点1102、1103、1105)、UE(例如，图1的UE 104、图3的UE 350和/或图10的UE 1002)、证明者(例如，图7A、图7B和/或图7C的证明者702)和/或图8的设备803来实施。网络健康管理器1204的方面可以由图8的网络健康管理器804、图9的网络健康管理器904、图10的基础节点1004和/或边缘节点1006和/或图11的路由器1104和/或边缘节点1108来实施。可信第三方1206的方面可以由与网络端点1202相关联的可信第三方(例如，图7A、图7B和/或图7C的验证者706、图8的远程第三方806、图9的可信第三方906、图10的IoT框架1008和/或图11的可信第三方1106)实施。
尽管在图12所示的示例中未示出，但网络健康管理器1204可以管理连接到网络的一个或多个设备的健康和信任，因此，网络端点1202可以是网络的一个示例设备，诸如图8的网络802的示例设备803。
此外，尽管在图12所示的示例中示出为单个实体，但可信第三方1206可以包括一个或多个可信第三方。例如，可信第三方1206可以包括网络端点1202的制造者、托管用于针对网络端点1202实施的策略的实体、托管网络端点1202的可信参考信息的实体、被配置为执行与网络端点1202相关联的证明的实体等。
在图12所示的示例中，网络端点1202可以发送由网络健康管理器1204接收的连接请求1210。连接请求1210可以是网络端点1202连接到由网络健康管理器1204管理的网络的初始请求。
在1212处，网络端点1202、网络健康管理器1204和可信第三方1206可以执行初始验证。初始验证的方面可以类似于上面结合图7A、图7B和/或图7C描述的远程证明过程。
在1214处，网络端点1202和网络健康管理器1204可以执行身份注册。执行身份注册(在1214)的方面可以类似于在图9的910执行身份注册和/或图4的示例通信流程400。在一些示例中，网络健康管理器1204可以在完成身份注册的执行之后注册与网络端点1202相关联的设备密钥。例如，网络健康管理器1204可以将与网络端点1202相关联的设备ID、永久凭证等存储在网络健康管理器1204的安全元件中。
在所示的示例中，网络健康管理器1204可以发送由可信第三方1206接收的订阅请求1216。订阅请求1216可以包括由网络健康管理器1204订阅服务以接收网络端点1202的最新可信参考信息和/或在网络端点1202的软件更新可用时接收通知的请求。
在所示的示例中，可信第三方1206发送由网络健康管理器1204接收的可信参考信息1218。在一些示例中，可信第三方1206可以响应于订阅请求1216来发送可信参考信息1218。可信参考信息1218可以使网络健康管理器1204能够执行网络端点1202的本地管理。例如，网络健康管理器1204可以使用可信参考信息1218来确定网络端点1202的信任状态和/或针对网络端点1202实施策略，而不向可信第三方1206发送关于网络端点1202的信息(例如，设备健康信息和/或设备状态信息)。在一些示例中，网络健康管理器1204可以将可信参考信息1218存储在网络健康管理器1204的安全元件中。在一些示例中，可以每个网络端点接收可信参考信息1218。在一些示例中，可以针对同类的网络端点集接收可信参考信息1218。
在一些示例中，网络健康管理器1204可以发送由可信第三方1206接收的策略请求1220。在一些示例中，网络健康管理器1204可以使用与网络端点1202相关联的证明验证者来发送策略请求1220。例如，网络端点1202可以与执行初始验证(例如，在1212)相关联、与执行标识符注册(例如，在1214)相关联和/或根据策略向网络健康管理器1204提供证明验证者。在一些示例中，证明验证者可以包括URL，网络健康管理器1204可以使用该URL来访问用于针对网络端点1202实施的策略。
可信第三方1206发送由网络健康管理器1204接收的策略1222。例如，可信第三方1206可以响应于策略请求1220来发送策略1222。在一些示例中，策略1222可以包括MUD文件。MUD文件可以描述网络端点1202和相关联的设备使用信息。例如，MUD文件可以定义网络端点1202的什么网络使用或行为是可接受或允许的。在一些示例中，策略1222可以包括网络访问级别或配置、服务访问或授权级别或配置、QoS级别或配置、资源访问级别或配置、信任级别或配置和/或信任事件补救措施。在一些示例中，策略1222可以是可更新的策略。
网络健康管理器1204至少部分基于从可信第三方1206接收的可信参考信息1218来执行网络端点1202的验证。在一些示例中，网络健康管理器1204可以周期性地执行网络端点1202的验证。在一些示例中，网络健康管理器1204可以按需执行网络端点1202的验证。在一些示例中，网络健康管理器1204可以响应于触发事件的发生(例如，安装新软件、连接USB设备等)来执行网络端点1202的验证。
在所示的示例中，网络健康管理器1204通过发送由网络端点1202接收的状态查询1224来开始执行对网络端点1202的验证。
响应于接收到状态查询1224，网络端点1202发送由网络健康管理器1204接收的证明1226。在一些示例中，证明1226可以基于网络端点1202的设备标识符、网络端点1202的永久凭证和/或网络端点1202的设备状态信息中的一个或多个。在一些示例中，网络端点1202的安全元件，诸如UE 1002的安全元件1054，可以测量并报告证明1226。在一些示例中，设备标识符和永久凭证中的至少一个可以存储在网络端点1202的安全元件中。
在1228处，网络健康管理器1204确定网络端点1202的信任状态。例如，网络健康管理器1204可以将从网络端点1202接收的证明1226与可信参考信息1218进行比较，以确定网络端点1202的信任状态。在一些示例中，网络健康管理器1204可以向网络系统或边缘组件提供信任事件的通知(例如，信任事件报告)，以用于分析信任事件，如上文结合图10所述。
在一些示例中，网络健康管理器1204可以向可信第三方1206报告执行验证的验证结果。例如，网络健康管理器1204可以发送由可信第三方1206接收的消息1236。消息1236可以包括验证结果。在一些示例中，消息1236可以包括证明报告。
在1230处，网络健康管理器1204对网络端点1202实施策略。在一些示例中，网络健康管理器1204可以基于网络端点1202的信任状态来实施策略。在一些示例中，网络健康管理器1204可以通过基于信任策略限制对网络端点1202的访问来对网络端点1202实施策略。在一些示例中，网络健康管理器1204可以通过限制网络端点1202的远程或网络访问、通过限制提供给第三方的关于网络端点1202的信息等，对网络端点1202实施策略。
在一些示例中，对网络端点1202实施策略可以包括网络健康管理器1204在1232解决信任事件的发生。例如，网络健康管理器1204可以应用一个或多个信任事件补救措施来修复信任事件。在一些示例中，解决信任事件的发生可以包括禁用用户经由网络端点1202的访问，可以包括强制网络端点1202的软件更新，可以包括使网络端点1202重启，可以包括使网络端点1202重置，和/或可以包括断开网络端点1202的网络访问。在一些示例中，解决信任事件的发生可以包括确定信任事件不是问题。在一些示例中，解决信任事件的发生可以包括将信任事件的修复推迟到基于云的设备管理器(例如，如上文结合图10所述)。
在一些示例中，在1234处，对网络端点1202实施策略可以包括促进软件更新。促进软件更新(例如，在1234)的方面可以类似于图9的示例通信流程900。
在一些示例中，当网络健康管理器1204开始执行验证时(例如，通过发送状态查询1224)，网络端点1202还可以执行访问网络端点1202的用户的用户验证。在一些这样的示例中，由网络端点1202发送到网络健康管理器1204的证明1226可以包括基于由网络端点1202执行的用户验证的用户验证结果。如上面结合图11所述，网络健康管理器1204可以基于用户验证来控制用户对服务的访问。例如，网络健康管理器1204可以基于与用户验证相关联的信任事件的发生来禁用或不允许登录和/或可以取消交易。
再次参考图7A、图7B和图7C所示的示例，证明者702的验证由一个实体(例如，验证者706)执行。然而，在一些示例中，对服务的访问可以基于对关于服务访问实体(例如，证明者或设备)的各种信息的验证。在一些这样的示例中，执行单个认证和/或证明可能不足以确定设备(例如，用户设备、UE、网络端点等)的可信度。
本文公开的示例技术利用代理设备来管理对由服务管理实体提供的服务的访问。例如，所公开的技术可以配置设备作为服务管理实体的代理来操作，并且基于多个可证明参数来管理对服务的访问。在一些示例中，代理可以促进验证对应于可证明参数的可证明信息。然后，示例代理可以基于相应的验证结果评估设备的信任分数，并基于信任分数对设备实施策略。
例如，图13描绘了设备1302、服务管理实体1304和服务管理实体1304的代理1306之间的示例信息交换1300，如本文所呈现的。尽管下面的描述可以集中在汽车/桥梁/城镇示例环境，但是本文描述的概念可以适用于其他类似的环境，在这些环境中，利用代理设备(例如，代理)基于服务管理实体的策略来管理访问权限可能是有益的。例如，代理可以由工作或企业的安全门来实施。在另一示例中，代理可以由外围集线器(例如，通用串行总线(USB)集线器等)实施。
在图13所示的示例中，设备1302(例如，证明者)由车辆实施，服务管理实体1304(例如，依赖方)由城镇实施，代理1306由桥实施。如图所示，服务管理实体1304依赖代理1306来验证设备1302。特别地，桥可以充当城镇的代理，以基于许多可证明的参数来控制交通。在一些示例中，设备1302可以能够证明设备1302和/或设备1302的用户。由设备1302执行的证明可以提供至少一些代理1306请求的证明信息。
在一些示例中，设备1302可以向代理1306提供对应于一个或多个可证明参数的证明信息，代理1306然后可以验证证明信息。例如，代理1306可以能够使用参考信息(例如，向服务管理实体1304注册的设备的牌照号码的数据库)来验证设备1302是否向服务管理实体1304注册和/或设备1302的用户是否是服务管理实体1304的居民。
在一些示例中，代理1306可以能够进行测量并基于该测量来验证证明信息。例如，代理1306可以能够测量设备1302的重量，并且确定设备1302的重量是否在一般重量限制内(例如，城镇可以具有车辆的最大重量)和/或设备1302的重量是否在基于设备类型的重量限制内。
在一些示例中，代理1306可以与一个或多个第三方验证实体(例如，身份发行者、IDM系统、设备制造者和/或认证服务)通信以验证证明信息。例如，代理1306可以与图1的IDM系统199和/或机动车辆部门(DMV)通信，以确认车辆的最后一次烟雾测试。
在图13所示的示例中，设备1302向代理1306提供证明信息。在一些示例中，证明信息可以包括独立的并且与不同验证实体相关联或由不同验证实体(例如，由设备1302、代理1306和/或第三方验证实体)管理的一个或多个子状态。
证明信息可以包括用户可证明信息、设备可证明信息和/或网络(或连接性)可证明信息。在一些示例中，证明信息可以包括可证明信息的一个或多个子状态。例如，证明信息可以包括设备状态信息、用户认证状态信息和/或连接状态信息中的一个或多个。设备状态信息可以包括基本输入/输出系统(BIOS)信息、统一可扩展固件接口(UEFI)信息、主引导加载器(PBL)信息、辅助引导加载器(SBL)信息、固件信息、管理程序信息、高级操作系统(HLOS)信息、实时操作系统(RTOS)信息和/或运行时完整性信息中的一个或多个。用户认证状态信息可以包括用户访问设备的认证类型和结果、活性测试(例如，如果使用生物特征认证)、密码强度信息、连续认证和/或多因素认证(MFA)信息中的一个或多个。连接状态信息可以包括射频(RF)指纹信息、虚拟专用网络(VPN)信息、信道类型信息、认证方法信息、安全协议和/或算法信息中的一个或多个。在一些示例中，可证明信息可以包括附加的可证明信息，诸如位置信息和/或时间戳(例如，时间和/或日期)。位置信息可以包括不同级别的粒度。例如，位置信息可以包括坐标信息(例如，全球定位系统(GPS)坐标)。在一些示例中，位置信息可以包括一般位置，诸如“家”、“办公室”等。
代理1306然后可以促进验证证明信息。例如，代理1306可以使用设备1302的证明信息，可以执行其自己的证明信息的验证，和/或可以与一个或多个第三方验证实体通信以执行验证。
为了使代理1306能够促进智能策略控制和实施，代理1306可以基于一个或多个验证结果来评估信任分数。在一些示例中，代理1306可以将权重应用于各个验证结果，以评估设备1302的信任分数。代理1306可以使用信任分数来管理对由服务管理实体1304提供的服务的访问。例如，代理1306可以基于设备1302的信任分数允许或拒绝对由服务管理实体1304提供的服务的访问。在一些示例中，代理1306可以基于设备1302的信任分数来确定对由服务管理实体1304提供的服务的可访问性级别。例如，代理1306可以确定允许对设备1302的完全访问或有限访问。在一些示例中，代理1306可以基于设备1302的信任分数来确定对设备1302的服务访问的优先级。在一些示例中，信任分数可以允许代理1306和/或服务管理实体1304自适应地配置在设备1302上实施的策略。例如，策略可以基于一个或多个不同的因素来改变，诸如可证明参数(多个)的增加、可证明参数(多个)的减少、一天中的时间、业务量、带宽使用、网络条件、异常检测等。
作为说明性示例，代理1306充当设备1302和服务管理实体1304之间的中介，以便于基于服务管理实体1304和/或代理1306的策略管理访问权限(例如，通行费、准入等)。例如，服务管理实体1304和/或代理1306的策略可以包括设备1302的至少一个占用者是服务管理实体1304的居民，设备1302满足重量限制，设备1302的占用者看起来很健康(例如，没有出现高温等)。服务管理实体1304然后可以使用代理1306来允许设备1302访问(或进入)服务管理实体1304，阻止设备1302访问(或进入)服务管理实体1304，或者调度设备1302进入服务管理实体1304。例如，策略(或多个策略)可以允许非居民在最长时间段内进入服务管理实体1304。策略可以基于对证明信息的评估来定义要实施的一个或多个动作(例如，动作集)。动作(或动作的子集)可以由代理1306、设备1302和/或一个或多个可信第三方实施。例如，由策略定义的动作集可以包括由代理1306实施的一个或多个动作(例如，显示读取访问未被批准的标志)、代理1306使设备1302实施的一个或多个动作(例如，通过使设备1302转向)，和/或代理1306使一个或多个可信第三方实施的一个或多个动作(例如，通过使访问屏障移动到位以防止访问)。
在一些示例中，服务管理实体1304(例如，城镇)可以使用代理1306来通知设备1302城镇内的特殊情况。例如，代理1306可以通知设备1302建筑、游行路线等。在一些示例中，代理1306可以被配置为基于特殊情况重新路由设备1302。
在一些示例中，设备1302可以通知代理1306和/或服务管理实体1304(例如，经由代理1306)与设备1302相关的特殊条件。例如，设备1302可以向代理1306指示设备1302是宽路面的，是送葬队伍的一部分，等等。
在一些示例中，服务管理实体1304和/或代理1306可以例如基于居民状态、车辆类型、一天中的时间、交通状况等来确定将由代理1306收取的设备1302的通行费。
图14示出了如本文所呈现的设备1402、服务管理实体1404、服务管理实体的代理1406和第三方验证实体1408之间的示例通信流1400。在所示示例中，通信流程1400使用证明结果促进基于代理的服务访问管理。
设备1402的方面可以由图13的设备1302实施。服务管理实体1404的方面可以由图13的服务管理实体1304实施。代理1406的方面可以由图13的代理1306实施。第三方验证实体1408的方面可以由图7A、图7B和/或图7C的验证者706、身份发行者、IDM系统、设备制造者和/或认证服务来实施。
尽管在图14所示的示例中未示出，但可以理解，在附加或替代示例中，代理1406可以与一个或多个其他设备、代理或第三方验证实体通信。
在图14所示的示例中，服务管理实体1404发送由代理1406接收的策略1410。然而，在其他示例中，代理1406可以从可信第三方接收策略1410。例如，服务管理实体1404可以指示或可以使可信第三方用策略1410配置代理1406。可以理解，在一些示例中，代理1406可以在设备1402请求访问由服务管理实体1404提供的服务之后请求和/或获得策略1410。
在一些示例中，策略1410可以包括一个或多个可证明参数、一个或多个信任分数阈值、一个或多个动作集和/或一个或多个信任分数评估参数。可证明参数可以定义与策略1410相关联的证明信息的一个或多个子状态。策略1410的信任分数阈值可以对应于不同的访问级别。例如，第一访问级别可以与大于或等于信任分数阈值的信任分数相关联，第二访问级别可以与小于信任分数阈值的信任分数相关联。策略1410的动作集可以包括基于访问级别对设备实施的一个或多个动作。例如，第一访问级别可以与第一动作集相关联，第二访问级别可以与第二动作集相关联。
策略1410的信任分数评估参数可以包括导致代理1406评估(或重新评估)设备的信任分数的一个或多个触发事件。例如，触发事件可以包括来自设备的初始服务访问请求、对一个或多个服务的服务访问请求(例如，访问特定建筑物或建筑物类型的请求、访问特定文件或文件类型的请求等)。在一些示例中，信任分数评估参数可以指示代理1406评估(或重新评估)设备的信任分数的频率或频次(例如，每小时一次、每天一次等)。
在所示的示例中，代理1406发送由设备1402接收的证明请求1411。在一些示例中，证明请求1411可以指示代理1406可以用来评估证明的一个或多个可证明参数。例如，代理1406可以经由证明请求1411向设备1402识别由策略1410定义的一个或多个可证明参数。
在所示的示例中，设备1402发送由代理1406接收的证明信息1412。证明信息1412可以包括用户可证明信息、设备可证明信息和/或网络(或连接性)可证明信息。在一些示例中，证明信息1412可以包括可证明信息的一个或多个子状态。例如，证明信息1412可以包括设备状态信息、用户认证状态信息和/或连接状态信息中的一个或多个。设备状态信息可以包括基本输入/输出系统(BIOS)信息、统一可扩展固件接口(UEFI)信息、主引导加载器(PBL)信息、辅助引导加载器(SBL)信息、固件信息、管理程序信息、高级操作系统(HLOS)信息、实时操作系统(RTOS)信息和/或运行时完整性信息中的一个或多个。用户认证状态信息可以包括用户访问设备的认证类型和结果、活性测试(例如，如果使用生物特征认证)、密码强度信息、连续认证和/或多因素认证(MFA)信息中的一个或多个。连接状态信息可以包括射频(RF)指纹信息、虚拟专用网络(VPN)信息、信道类型信息、认证方法信息、安全协议和/或算法信息中的一个或多个。在一些示例中，证明信息1412可以包括附加的可证明信息，诸如位置信息和/或时间戳(例如，时间和/或日期)。位置信息可以包括不同级别的粒度。例如，位置信息可以包括坐标信息(例如，全球定位系统(GPS)坐标)。在一些示例中，位置信息可以包括一般位置，诸如“家”、“办公室”等。
在1414处，代理1406促进证明信息1412的验证。在一些示例中，代理1406可以选择证明信息1412的子集进行验证。例如，代理1406可以选择对应于策略1410的可证明参数的证明信息1412的子集。
在一些示例中，证明信息1412的不同子状态可以与不同的验证实体相关联和/或由不同的验证实体管理。例如，并且参考图13的示例，证明信息可以包括与设备1302相关联的牌照号码。然后，牌照号码可以用于确定，例如，设备1302是否向服务管理实体1304注册，授权用户是否正在驾驶设备1302，设备1302是否在一般重量限制内，设备1302是否在基于设备类型的重量限制内，设备1302是否烟雾合规，和/或设备1302是否安全合规。
在一些示例中，代理1406可以通过执行验证来促进证明信息的验证。例如，在1416，代理1406可以验证证明信息1412的子状态。在一些示例中，代理1406可以基于参考信息来验证证明信息1412的子状态。例如，代理1406可以基于设备1402的牌照号码和包括在城镇注册的设备的牌照号码的数据存储来确定设备1402是否在城镇注册。
在一些示例中，代理1406可以基于测量来验证证明信息1412的子状态。例如，代理1406可以能够测量设备1402的重量并确定设备1402的重量是否在重量限制内(例如，一般重量限制和/或基于设备类型的重量限制)。
在一些示例中，代理1406可以通过请求第三方验证实体执行验证来促进证明信息的验证。例如，代理1406可以向第三方验证实体1408发送验证结果请求1418，并请求第三方验证实体1408提供证明信息1412的子状态的验证结果。在一些示例中，验证结果请求1418可以包括证明信息1412。例如，代理1406可以向DMV提供牌照号码，并请求DMV验证设备1402是否烟雾合规。在一些示例中，验证结果请求1418可以包括与证明信息1412相关联的信息。例如，代理1406可以在设备1402中捕获用户的图像，并将用户的图像发送到IDM系统(例如，图1的IDM系统199)，并请求IDM系统验证用户的身份。
在1420处，第三方验证实体1408可以执行证明信息1412的子状态的验证。第三方验证实体1408可以发送由代理1406接收的验证结果1422。验证结果1422可以包括由第三方验证实体1408执行的验证结果(例如，在1420)。
在1424处，代理1406基于验证结果评估设备1402的信任分数。例如，代理1406可以基于将权重值应用于各个验证结果的计算来评估设备1402的信任分数。在一些示例中，权重值可以由策略1410提供，并且可以基于策略1410定义的相应可证明参数。
在1426处，代理1406基于策略1410和设备1402的信任分数确定设备1402的访问级别。例如，策略1410可以包括一个或多个信任分数阈值。在一些示例中，当信任分数大于(或等于)信任分数阈值时，代理1406可以确定设备1402的第一访问级别，并且当信任分数小于信任分数阈值时，代理1406可以确定设备1402的第二访问级别。在一些示例中，第一访问级别可以允许对服务的访问(例如，对城镇的访问)，并且第二访问级别可以拒绝对服务的访问(例如，拒绝或阻止对城镇的访问)。在一些示例中，第一访问级别可以允许对服务的完全访问，第二访问级别可以允许对服务的有限访问(例如，拒绝或阻止对城镇部分的访问)。在一些示例中，第一访问级别可以与第一优先级相关联，并且第二访问级别可以与小于第一优先级的第二优先级相关联。例如，第一优先级可以允许设备1402在城镇内以比第二优先级更快的速度行进。
在1428处，代理1406对设备1402实施策略。例如，基于信任分数，代理1406可以实施对设备1402的相应的访问级别。在一些示例中，相应的访问级别可以与动作集相关联。在一些示例中，代理1406可以通过对设备1402实施动作集来对设备1402实施策略。例如，为了拒绝或阻止设备1402对城镇的访问，代理1406可以设置路障。在一些示例中，代理1406可以通过使设备1402实施动作集来对设备1402实施策略。例如，为了拒绝或阻止设备1402对城镇的访问，代理1406可以使设备1402转向。在一些示例中，动作集可以包括可由代理1406执行的一个或多个动作、可由设备1402执行的一个或多个动作、和/或可由可信第三方执行的一个或多个动作。
在1430处，代理1406可以重新评估设备1402的信任分数。在一些示例中，代理1406可以周期性地重新评估设备1402的信任分数(例如，基于策略1410的信任分数评估参数)。在一些示例中，代理1406可以基于触发事件的发生来重新评估设备1402的信任分数。例如，触发事件可以包括访问一个或多个服务的请求(例如，访问特定建筑物或建筑物类型的请求)。在一些示例中，代理1406可以通过从设备1402请求证明信息、验证证明信息的一个或多个子状态以及基于相应的验证结果评估更新的信任分数来重新评估设备1402的信任分数(例如，如上文结合1414和1424所述)。
在1432处，代理1406可以更新设备1402的策略实施。在一些示例中，代理1406可以通过基于新的信任分数确定更新的访问级别来更新设备1402的策略实施(例如，如上文结合1426所述)。在一些示例中，策略1410可以基于可证明参数(多个)的增加、可证明参数(多个)的减少、一天中的时间、业务量、带宽使用、网络条件、异常检测等中的一个或多个来改变。
因此，可以理解，本文公开的技术使得服务管理实体1404和代理1406能够采用包括设备1402的连续、周期性和/或按需信任分数评估的策略的自适应配置。此外，可以理解，通过基于基于一个或多个验证结果的信任分数评估来管理对由服务管理实体1404提供的服务的访问，可以基于相应的验证结果来允许不同的访问级别。例如，代替基于指示设备1402尚未执行烟雾检查(或者尚未在合规时段内执行烟雾检查)的验证结果来拒绝对城镇的访问，本文公开的示例技术允许设备1402例如以受限的访问来访问城镇。此外，与受限访问相关联的动作集可以包括使设备1402在访问城镇的阈值时段内执行烟雾检查。
图15是信任管理方法的流程图1500。该方法可由网络管理器(例如，图8的网络健康管理器804、图9的网络健康管理器904、图10的基础节点1004和/或边缘节点1006、图11的路由器1122和/或边缘节点1126、和/或图12的网络健康管理器1204；装置2102)执行。该方法可以促进自管理信任网络增加隐私性，同时还将网络管理到可信和健康级别。
在1502处，网络管理器向由网络管理器管理的网络注册网络端点，如结合图4的通信流程400、在图9的910执行ID注册和/或在图12的1214执行ID注册所述。在一些示例中，网络端点可以连接到网络管理器。在一些示例中，注册网络端点可以包括与网络端点交换信息。在一些示例中，网络管理器可以在执行网络端点的初始验证之后向网络端点发送凭证请求。在一些示例中，当与网络端点交换信息时，网络管理器可以在将经认证的消息发送到网络端点之前使用网络管理器的凭证来认证消息。在一些示例中，当与网络端点交换信息时，网络管理器可以使用网络管理器的凭证来解密从网络端点接收的消息。在1502处，网络端点的注册可以由图21的装置2102的身份注册组件2142来执行。
在1504处，网络管理器基于注册网络端点来接收网络端点的可信参考信息，如结合图12的可信参考信息1218所述。在1504，可由图21的装置2102的可信参考信息组件2140执行可信参考信息的接收。在一些示例中，第一设备可以接收与网络管理器通信的每个网络端点的可信参考信息。在一些示例中，网络管理器可以接收与网络管理器通信的网络端点集的可信参考信息。在一些示例中，网络管理器可以从与网络端点相关联的验证信息服务接收可信参考信息，如结合图12的订阅请求1216所述。例如，网络管理器可以订阅由验证信息服务提供的服务，以接收软件更新和/或更新的可信参考信息的通知。
在1506处，网络端点基于可信参考信息或证明中的至少一个来执行网络端点的验证，如结合图12的证明1226所述。在一些示例中，网络管理器可以周期性地执行网络端点的验证。在一些示例中，网络管理器可以按需执行网络端点的验证。在一些示例中，网络管理器可以响应于触发事件的发生来执行网络端点的验证。在一些示例中，网络管理器可以根据策略通过向网络端点查询设备状态信息来启动执行验证。在1506，网络端点的验证的执行可以由图21的装置2102的验证组件2146来执行。
在1508处，网络管理器基于验证的结果对网络端点实施策略，如结合图12的1230、1232和/或1234所述。在1508处，可以由图21的装置2102的策略实施组件2150来执行对网络端点实施策略。在一些示例中，策略可以包括网络访问级别或配置、服务访问或授权级别或配置、QoS级别或配置、资源访问级别或配置、信任级别或配置以及信任事件补救措施中的至少一个。
在一些示例中，对网络端点实施策略可以包括监视网络端点的连接健康和/或监视网络端点的设备健康，如结合图8的818所述。在一些示例中，对网络端点实施策略可以修改网络端点的网络访问控制、限制网络端点的功能能力、调整网络端点的QoS级别和/或强制网络端点的软件更新，如结合图8的812所述。在一些示例中，对网络端点实施策略可以包括为网络端点提供软件更新，如结合图8的814和/或图12的1234所述。下面结合图14描述根据本文公开的教导提供软件更新的方面。在一些示例中，对网络端点实施策略可以包括限制提供给第三方的关于网络端点的信息，如结合图8的816所述。在一些示例中，对网络端点实施策略可以包括基于用户验证来控制用户对服务或资源的访问，如结合图11的不良用户1101a所述。
图16是信任管理方法的流程图1600。该方法可由网络管理器(例如，图8的网络健康管理器804、图9的网络健康管理器904、图10的基础节点1004和/或边缘节点1006、图11的路由器1122和/或边缘节点1126、和/或图12的网络健康管理器1204；装置2102)执行。该方法可以促进自管理信任网络增加隐私性，同时还将网络管理到可信和健康级别。
在1602处，网络管理器向由网络管理器管理的网络注册网络端点，如结合图4的通信流程400、在图9的910执行ID注册和/或在图12的1214执行ID注册所述。在一些示例中，网络端点可以连接到网络管理器。在一些示例中，注册网络端点可以包括与网络端点交换信息。例如，在1604处，网络管理器可以向网络端点发送凭证请求，如结合图4的凭证请求423所述。在一些示例中，网络管理器可以在执行网络端点的初始验证之后向网络端点发送凭证请求。在1606处，网络管理器可以从网络端点接收凭证响应，如结合图4的凭证响应425所述。在1608处，当向网络管理器注册设备标识符时，网络管理器可以向网络端点发送凭证注册响应，如结合图4的凭证注册响应427所述。在一些示例中，当与网络端点交换信息时，网络管理器可以在将经认证的消息发送到网络端点之前使用网络管理器的凭证来认证消息。在一些示例中，当与网络端点交换信息时，网络管理器可以使用网络管理器的凭证来解密从网络端点接收的消息。在1602、1604、1606、1608处，网络端点的注册的方面可以由图21的装置2102的身份注册组件2142来执行。
在1610处，网络管理器可以基于注册网络端点从一个或多个可信第三方接收网络端点的可信参考信息，如结合图12的可信参考信息1218所述。在1610，可由图21的装置2102的可信参考信息组件2140执行可信参考信息的接收。在一些示例中，第一设备可以接收与网络管理器通信的每个网络端点的可信参考信息。在一些示例中，网络管理器可以接收与网络管理器通信的网络端点集的可信参考信息。在一些示例中，网络管理器可以从与网络端点相关联的验证信息服务接收可信参考信息，如结合图12的订阅请求1216所述。例如，网络管理器可以订阅由验证信息服务提供的服务，以接收软件更新和/或更新的可信参考信息的通知。
在1612处，网络管理器可以获得用于管理网络端点的策略，如结合图12的策略1222所述。在一些示例中，为管理网络端点而获得的策略可以包括基于与网络端点相关联的信任级别和/或与网络端点相关联的操作目的的一个或多个补救范围。例如，用于管理与第一信任级别相关联的第一网络端点的补救措施可以包括禁用第一网络端点，而与第二信任级别相关联的第二网络端点可以包括使第二网络端点能够更新软件。在1612处，可以由图21的装置2102的策略获取组件2144来执行策略的获取。在一些示例中，网络管理器可以使用与网络端点相关联的证明验证者来从一个或多个可信第三方检索用于管理网络端点的策略。在一些示例中，管理网络端点可以包括针对网络端点实施策略。在一些示例中，证明验证者可以包括标识托管网络端点的策略的实体(例如，web服务器)的策略位置(例如，URL)。在一些示例中，策略可以是MUD文件。在一些示例中，网络管理器可以从网络所有者接收用于对网络端点实施的策略。在一些示例中，一个或多个策略可以是可更新的策略。
在1614处，网络端点基于可信参考信息或证明中的至少一个来执行网络端点的验证，如结合图12的证明1226所述。在一些示例中，网络管理器可以周期性地执行网络端点的验证。在一些示例中，网络管理器可以按需执行网络端点的验证。在一些示例中，网络管理器可以响应于触发事件的发生来执行网络端点的验证。在一些示例中，网络管理器可以根据策略通过向网络端点查询设备状态信息来启动执行验证。
在一些示例中，执行网络端点的验证可以包括在1616接收网络端点的证明，如结合图12的证明1226所述。该证明可以基于网络端点的设备标识符、网络端点的永久凭证或网络端点的设备状态中的一个或多个。在一些示例中，设备标识符和永久凭证中的至少一个可以存储在网络端点的可信环境中，诸如安全元件(例如，图10的安全元件1054)。可以理解，安全元件可以被配置为使得存储在安全元件中的信息是不可改变的。
在一些示例中，执行验证可以包括在1618基于证明和可信参考信息确定验证结果，如结合图12的1228所述。在一些示例中，确定验证结果可以包括确定信任事件的发生。例如，网络管理器可以基于网络端点的设备状态来确定信任事件的发生。
在一些示例中，执行验证可以包括在1620执行网络端点的用户的用户验证，如结合图11的坏用户1101a和第一下游节点1102b所述。在一些示例中，执行用户验证可以包括从网络端点接收包括用户验证结果的设备证明。在1614、1616、1618、1620，执行网络端点的验证的方面可以由图21的装置2102的验证组件2146来执行。
在1622处，网络管理器可以向一个或多个可信第三方中的至少一个可信第三方报告验证结果，如结合图12的消息1236所述。在1622，验证结果的报告可以由图21的装置2102的报告组件2148来执行。
在1624处，网络管理器基于验证的结果对网络端点实施策略，如结合图12的1230、1232和/或1234所述。在1624，可以由图21的装置2102的策略实施组件2150来执行对网络端点实施策略。在一些示例中，策略可以包括网络访问级别或配置、服务访问或授权级别或配置、QoS级别或配置、资源访问级别或配置、信任级别或配置以及信任事件补救措施中的至少一个。
在一些示例中，对网络端点实施策略可以包括监视网络端点的连接健康和/或监视网络端点的设备健康，如结合图8的818所述。在一些示例中，对网络端点实施策略可以修改网络端点的网络访问控制、限制网络端点的功能能力、调整网络端点的QoS级别和/或强制网络端点的软件更新，如结合图8的812所述。在一些示例中，对网络端点实施策略可以包括为网络端点提供软件更新，如结合图8的814和/或图12的1234所述。下面结合图14描述根据本文公开的教导提供软件更新的方面。在一些示例中，对网络端点实施策略可以包括限制提供给第三方的关于网络端点的信息，如结合图8的816所述。在一些示例中，对网络端点实施策略可以包括基于用户验证来控制用户对服务或资源的访问，如结合图11的不良用户1101a所述。
在一些示例中，在1626，网络管理器可以根据策略解决信任事件的发生，如结合图12的1232所述。在1626，信任事件的解决可以由图21的装置2102的信任事件处理组件2152来执行。在一些示例中，网络管理器可以通过禁用用户经由网络端点的访问、强制网络端点的软件更新、使网络端点重启、使网络端点重置和/或断开网络端点的网络访问来解决信任事件。在一些示例中，网络管理器还可以验证信任事件在网络端点上成功解决。在一些示例中，解决信任事件可以包括基于网络管理器不能解决信任事件的确定向第三方设备管理器提供信任事件报告。在一些示例中，网络管理器可以向网络系统或边缘组件提供信任事件报告，以用于分析信任事件。信任事件报告可以包括一个或多个信任事件指示和/或一个或多个信任事件补救措施。例如，信任事件报告可以包括标识一个或多个信任事件的指示。信任事件报告可以附加地或可替换地包括网络管理器为解决信任事件而尝试的一个或多个信任事件补救措施和/或网络管理器为解决信任事件而应用的信任事件补救措施的指示。
在1628处，网络管理器可以向网络系统或边缘组件提供信任事件的通知，如结合图10所述。在1628，信任事件的通知的提供可以由图21的装置2102的信任事件处理组件2152来执行。在一些示例中，信任事件的通知可以包括信任事件报告。
图17是信任管理方法的流程图1700。该方法可由网络管理器(例如，图8的网络健康管理器804、图9的网络健康管理器904、图10的基础节点1004和/或边缘节点1006、图11的路由器1104和/或边缘节点1108、和/或图12的网络健康管理器1204；装置2102)执行。该方法可以有助于执行网络端点的软件更新，同时保持网络端点的隐私。
在1702处，网络管理器可以从网络端点接收临时凭证，如结合图9的临时凭证916所述。在1702，临时凭证的接收可由图21的装置2102的凭证处理组件2154执行。在一些示例中，临时凭证可以基于公钥-私钥对、公钥、公钥的散列或与临时凭证相关联的标识符中的至少一个。
在1704处，网络管理器可以确定临时凭证的有效性，如结合图9的918所述。在1704，临时凭证的有效性的确定可以由图21的装置2102的凭证处理组件2154来执行。在一些示例中，网络管理器可以注册临时凭证以响应确定临时凭证有效。
在1706处，网络管理器可以从第一可信第三方接收用于网络端点的软件更新，如结合图9的软件更新924所述。在1706，软件更新的接收可由图21的装置2102的软件处理组件2156执行。在一些示例中，网络管理器可以响应于定期证明报告、基于网络端点的订阅的通知和/或来自网络管理器的包括网络端点的临时凭证的请求来接收软件更新。
在1708处，网络管理器可以向网络端点提供软件更新，如结合图9的软件更新928所述。在1708，软件更新的提供可以由图21的装置2102的软件处理组件2156来执行。在一些示例中，网络管理器可以基于对网络端点的验证来提供软件更新。在一些示例中，网络管理器可以基于对由第一可信第三方提供的软件更新的签名的验证来提供软件更新。在一些示例中，网络管理器可以基于软件更新策略向网络端点提供软件更新，如结合图9的926所述。
在1710处，网络管理器可以从网络端点接收证明，如结合图9的证明930所述。在1710，证明的接收可由图21的装置2102的证明处理组件2158执行。
在1712处，网络管理器可以向第一可信第三方提供证明的指示，如结合图9的证明指示932所述。例如，可以由图21的装置2102的证明处理组件2158来执行证明指示的提供。
在1714处，网络管理器可以从第一可信第三方接收软件激活码，如结合图9的软件激活码934所述。在1714，软件激活码的接收可由图21的装置2102的激活码处理组件2160执行。在一些示例中，网络管理器可以响应于激活的指示从第一可信第三方接收软件激活码。
在1716处，网络管理器可以向网络端点提供软件激活码，如结合图9的软件激活码936所述。例如，软件激活码的提供可以由图21的装置2102的激活码处理组件2160来执行。
在1718处，网络管理器可以验证软件更新在网络端点上成功完成，如结合图9的938所述。例如，验证软件更新成功完成可以由图21的装置2102的软件处理组件2156来执行。
图18是信任管理方法的流程图1800。该方法可由网络端点(例如，图1的用户设备103、图2的用户设备212、图4的设备404、图5的设备502、图6的设备604、图9的网络端点902和/或图11的节点1102、1103、1105)、UE(例如，图1的UE 104、图3的UE 350和/或图10的UE1002)、证明者(例如，图7A、图7B和/或图7C的证明者702)、图8的设备803和/或图21的装置2102来执行。该方法可以促进自管理信任网络增加隐私，同时还将网络管理到可信和健康级别。
在1802处，网络端点向网络管理器提供用于网络端点的临时凭证，如结合图9的临时凭证916所述。在一些示例中，临时凭证可以基于网络端点的永久凭证。在一些示例中，临时凭证可以基于公钥-私钥对、公钥、公钥的散列或与临时凭证相关联的标识符中的至少一个。在1802，临时凭证的提供可由图21的装置2102的凭证处理组件2154执行。
在1804处，网络端点从网络管理器接收对服务或资源的访问或授权，如结合图8所述。在一些示例中，访问或授权可以基于网络端点的临时凭证。在1804，接收访问或授权可以由图21的装置2102的授权组件2162执行。
图19是信任管理方法的流程图1900。该方法可由网络端点(例如，图1的用户设备103、图2的用户设备212、图4的设备404、图5的设备502、图6的设备604、图9的网络端点902和/或图11的节点1102、1103、1105)、UE(例如，图1的UE 104、图3的UE 350和/或图10的UE1002)、证明者(例如，图7A、图7B和/或图7C的证明者702)、图8的设备803和/或图21的装置2102来执行。该方法可以促进自管理信任网络增加隐私性，同时还将网络管理到可信和健康级别。
在1902处，网络端点向网络管理器提供用于网络端点的临时凭证，如结合图9的临时凭证916所述。在一些示例中，临时凭证可以基于网络端点的永久凭证。在一些示例中，临时凭证可以基于公钥-私钥对、公钥、公钥的散列或与临时凭证相关联的标识符中的至少一个。在1902，临时凭证的提供可以由图21的装置2102的凭证处理组件2154来执行。
在1904处，网络端点从网络管理器接收对服务或资源的访问或授权，如结合图8所述。在一些示例中，访问或授权可以基于网络端点的临时凭证。在1904，接收访问或授权可以由图21的装置2102的授权组件2162执行。
在1906处，网络端点可以执行网络端点的用户的用户验证，如结合图11的用户1101a和第一下游节点1102b所述。在一些示例中，执行用户验证可以基于密码、生物特征、可信位置、多因素验证或连续认证中的一个或多个。在1906，用户验证的执行可以由图21的装置2102的验证组件2146来执行。
在1908处，网络端点可以向网络管理器提供包括用户验证结果的证明，如结合图12的证明1226所述。在1908，包括用户验证结果的证明的提供可以由图21的装置2102的证明处理组件2158来执行。
在1910处，网络端点可以经由网络管理器从第一可信第三方接收软件更新，如结合图9的软件更新928所述。在1910，软件更新的接收可由图21的装置2102的软件处理组件2156执行。
在1912处，网络端点可以向网络管理器提供证明，如结合图9的证明930所述。在1912，证明的提供可以由图21的装置2102的证明处理组件2158来执行。
在1914处，网络端点可以经由网络管理器从第一可信第三方接收软件激活码，如结合图9的软件激活码936所述。在1914，软件激活码的接收可由图21的装置2102的激活码处理组件2160执行。
在1916处，网络端点可以执行软件更新，如结合图9的938所述。在1916，软件更新的执行可以由图21的装置2102的软件处理组件2156来执行。
图20是信任管理方法的流程图2000。该方法可由网络管理器(例如，图8的网络健康管理器804、图9的网络健康管理器904、图10的基础节点1004和/或边缘节点1006、图11的路由器1122和/或边缘节点1126、和/或图12的网络健康管理器1204；装置2102)执行。该方法可以促进自管理信任网络增加隐私性，同时还将网络管理到可信和健康级别。
在2002处，网络管理器向由网络管理器管理的网络注册网络端点，如结合图4的通信流程400、在图9的910执行ID注册和/或在图12的1214执行ID注册所述。在一些示例中，网络端点可以连接到网络管理器。在一些示例中，注册网络端点可以包括与网络端点交换信息。在一些示例中，网络管理器可以在执行网络端点的初始验证之后向网络端点发送凭证请求。在一些示例中，当与网络端点交换信息时，网络管理器可以在将经认证的消息发送到网络端点之前使用网络管理器的凭证来认证消息。在一些示例中，当与网络端点交换信息时，网络管理器可以使用网络管理器的凭证来解密从网络端点接收的消息。在2002，网络端点的注册可以由图21的装置2102的身份注册组件2142来执行。
在2004处，网络管理器基于注册网络端点来接收网络端点的可信参考信息，如结合图12的可信参考信息1218所述。在2004处，可由图21的装置2102的可信参考信息组件2140执行可信参考信息的接收。在一些示例中，第一设备可以接收与网络管理器通信的每个网络端点的可信参考信息。在一些示例中，网络管理器可以接收与网络管理器通信的网络端点集的可信参考信息。在一些示例中，网络管理器可以从与网络端点相关联的验证信息服务接收可信参考信息，如结合图12的订阅请求1216所述。例如，网络管理器可以订阅由验证信息服务提供的服务，以接收软件更新和/或更新的可信参考信息的通知。
在2006处，网络端点根据由网络管理器实施的网络管理器策略向网络端点查询设备信息，如结合图12的状态查询1224所述。在2006处，网络端点的查询可以由图21的装置2102的验证组件2146来执行。
在2008处，当信任事件发生时，网络管理器根据网络管理器策略执行一个或多个信任事件补救措施，如结合图12的1232所述。在一些示例中，信任事件的发生可以基于网络端点的设备信息和可信参考信息的比较。在2008处，一个或多个信任事件补救措施的执行可以由图21的装置2102的策略实施组件2150来执行。在一些示例中，策略可以包括网络访问级别或配置、服务访问或授权级别或配置、QoS级别或配置、资源访问级别或配置、信任级别或配置以及信任事件补救措施中的至少一个。
图21是示出装置2102的硬件实施方式的示例的图2100。装置2102可以是UE、UE的组件，或者可以实施UE功能。在一些方面，设备2102可以包括耦合到蜂窝RF收发器2122的蜂窝基带处理器2104(也称为调制解调器)。在一些方面，设备2102还可以包括一个或多个订户识别模块(SIM)卡2120、耦合到安全数字(SD)卡2108和屏幕2110的应用处理器2106、蓝牙模块2112、无线局域网(WLAN)模块2114、全球定位系统(GPS)模块2116或电源2118。蜂窝基带处理器2104通过蜂窝RF收发器2122与UE 104和/或基站102/180通信。蜂窝基带处理器2104可以包括计算机可读介质/存储器。计算机可读介质/存储器可以是非暂时性的。蜂窝基带处理器2104负责一般处理，包括执行存储在计算机可读介质/存储器上的软件。当由蜂窝基带处理器2104执行时，该软件使蜂窝基带处理器2104执行上文描述的各种功能。计算机可读介质/存储器还可用于存储在执行软件时由蜂窝基带处理器2104操纵的数据。蜂窝基带处理器2104还包括接收组件2130、通信管理器2132和传输组件2134。通信管理器2132包括一个或多个所示的组件。通信管理器2132内的组件可存储在计算机可读介质/存储器中和/或配置为蜂窝基带处理器2104内的硬件。蜂窝基带处理器2104可以是UE 350的组件，并且可以包括存储器360和/或TX处理器368、RX处理器356和控制器/处理器359中的至少一个。在一种配置中，装置2102可以是调制解调器芯片，并且仅包括蜂窝基带处理器2104，并且在另一种配置中，装置2102可以是整个UE(例如，参见图3的UE 350)，并且包括装置2102的附加模块。
通信管理器2132包括可信参考信息组件2140，其被配置为基于注册网络端点来接收网络端点的可信参考信息，例如，如结合图15的1504和/或图16的1610所述。示例可信参考信息组件2140还可以被配置为基于注册网络端点来接收网络端点的可信参考信息，例如，如结合图20的2004所述。
通信管理器2132还包括身份注册组件2142，其被配置为向由网络管理器管理的网络注册网络端点，例如，如结合图15的1502和/或图16的1602所述。示例身份注册组件2142还可以被配置为在执行网络端点的验证之后向网络端点发送凭证请求，例如，如结合图16的1604所述。示例身份注册组件2142还可以被配置为从网络端点接收凭证响应，例如，如结合图16的1606所述。示例身份注册组件2142还可以被配置为当向网络管理器注册设备标识符时，向网络端点发送凭证注册响应，例如，如结合图16的1608所述。示例身份注册组件2142还可以被配置为向由网络管理器管理的网络注册网络端点，例如，如结合图20的2002所述。
通信管理器2132还包括策略获取组件2144，其被配置为获取用于管理网络端点的策略，例如，如结合图16的1612所述。
通信管理器2132还包括验证组件2146，其被配置为基于从一个或多个可信第三方接收的可信参考信息或从网络端点接收的证明中的至少一个来执行网络端点的验证，例如，如结合图15的1506和/或图16的1614所述。示例验证组件2146还可以被配置为接收网络端点的证明，例如，如结合图16的1616所述。示例验证组件2146还可以被配置为基于证明和可信参考信息来确定验证结果，例如，如结合图16的1618所述。示例验证组件2146还可以被配置为执行网络端点的用户的用户验证，例如，如结合图16的1620所述。示例验证组件2146还可以被配置为执行网络端点的用户的用户验证，例如，如结合图19的1906所述。示例验证组件2146还可以被配置为根据网络管理器实施的网络管理器策略向网络端点查询设备信息，例如，如结合图20的2006所述。
通信管理器2132还包括报告组件2148，其被配置为向至少一个可信第三方报告验证结果，例如，如结合图16的1622所述。
通信管理器2132还包括策略实施组件2150，其被配置为基于验证的结果对网络端点实施策略，例如，如结合图15的1508和/或图16的1624所述。示例策略实施组件2150还可以被配置为当信任事件发生时，根据网络管理器策略执行一个或多个信任事件补救措施，例如，如结合图20的2008所述。
通信管理器2132还包括信任事件处理组件2152，其被配置为解决信任事件的发生，例如，如结合图16的1626所述。示例信任事件处理组件2152还可以被配置为向网络系统或边缘组件提供信任事件的通知，例如，如结合图16的1628所述。
通信管理器2132还包括凭证处理组件2154，其被配置为从网络端点接收临时凭证，例如，如结合图17的1702所述。示例凭证处理组件2154还可以被配置为确定临时凭证的有效性，例如，如结合图17的1704所述。示例凭证处理组件2154还可以被配置为向网络管理器提供网络端点的临时凭证，例如，如结合图18的1802和/或图19的1902所述。
通信管理器2132还包括软件处理组件2156，其被配置为从第一可信第三方接收用于网络端点的软件更新，例如，如结合图17的1706所述。示例软件处理组件2156还可以被配置为向网络端点提供软件更新，例如，如结合图17的1708所述。示例软件处理组件2156还可以被配置为验证软件更新成功完成，例如，如结合图17的1718所述。示例软件处理组件2156还可以被配置为经由网络管理器从第一可信第三方接收软件更新，例如，如结合图19的1910所述。示例软件处理组件2156还可以被配置为执行软件更新，例如，如结合图19的1916所述。
通信管理器2132还包括证明处理组件2158，其被配置为从网络端点接收证明，例如，如结合图17的1710所述。示例证明处理组件2158还可以被配置为向第一可信第三方提供证明的指示，例如，如结合图17的1712所述。示例证明处理组件2158还可以被配置为向网络管理器提供包括用户验证结果的证明，例如，如结合图19的1908所述。示例证明处理组件2158还可以被配置为向网络管理器提供证明，例如，如结合图19的1912所述。
通信管理器2132还包括激活码处理组件2160，其被配置为从第一可信第三方接收软件激活码，例如，如结合图17的1714所述。示例激活码处理组件2160还可以被配置为向端点提供软件激活码，例如，如结合图17的1716所述。示例激活码处理组件2160还可以被配置为接收软件激活码，例如，如结合图19的1914所述。
通信管理器2132还包括授权组件2162，其被配置为从网络管理器接收对服务或资源的访问或授权，例如，如结合图18的1804和/或图19的1904所述。
该装置可以包括执行图15至20的流程图中的算法的每个块的附加组件。因此，图15至20的流程图中的每个块可以由组件执行，并且该装置可以包括这些组件中的一个或多个。这些组件可以是一个或多个硬件组件，具体配置为执行所述过程/算法，所述过程/算法由配置为执行所述过程/算法的处理器实施，存储在计算机可读介质中以供处理器实现，或其一些组合。
如图所示，装置2102可以包括配置用于各种功能的各种组件。在一种配置中，装置2102，特别是蜂窝基带处理器2104，包括用于向由网络管理器管理的网络注册网络端点的部件。示例装置2102还包括用于基于注册网络端点来接收网络端点的可信参考信息的部件。示例装置2102还包括用于基于从网络端点接收的可信参考信息或证明中的至少一个来执行网络端点的验证的部件。示例装置2102还包括用于基于验证的结果对网络端点实施策略的部件。
在另一配置中，示例装置2102还包括用于接收网络端点的证明的部件。示例装置2102还包括用于基于证明和可信参考信息确定验证结果的部件。
在另一配置中，示例装置2102还包括用于接收与网络管理器通信的每个网络端点的可信参考信息的部件。
在另一配置中，示例装置2102还包括用于接收与网络管理器通信的网络端点集的可信参考信息的部件。
在另一配置中，示例装置2102还包括用于周期性地、按需地或响应于触发事件的发生来执行网络端点的验证的部件。
在另一配置中，示例装置2102还包括用于向至少一个可信第三方报告验证结果的部件。
在另一配置中，示例装置2102还包括用于监视网络端点的连接健康的部件。示例装置2102还包括用于监视网络端点的设备健康的部件。
在另一配置中，示例装置2102还包括用于修改网络端点的网络访问控制的部件。示例装置2102还包括用于限制网络端点的功能能力的部件。示例装置2102还包括用于调整网络端点的QoS级别的部件。示例装置2102还包括用于强制网络端点的软件更新的部件。
在另一配置中，示例装置2102还包括用于从网络端点的可信第三方接收软件更新的部件。示例装置2102还包括用于基于对网络端点的验证向网络端点提供软件更新的部件。示例装置2102还包括用于基于来自网络端点的第二证明来验证软件更新在网络端点上成功完成的部件。
在另一配置中，示例装置2102还包括用于执行网络端点的用户的用户验证的部件。示例装置2102还包括用于基于用户验证来控制用户对服务或资源的访问的部件。
在另一配置中，示例装置2102还包括用于从网络端点接收包括用户验证结果的设备证明的部件。
在另一配置中，示例装置2102还包括用于在执行网络端点的验证之后向网络端点发送凭证请求的部件。示例装置2102还包括用于从网络端点接收凭证响应的部件。示例装置2102还包括用于在向网络管理器注册设备标识符时向网络端点发送凭证注册响应的部件，其中网络管理器在注册网络端点的设备标识符之后从一个或多个可信第三方接收网络端点的可信参考信息。
在另一配置中，示例装置2102还包括用于使用与网络端点相关联的证明验证者从一个或多个可信第三方检索用于针对网络端点实施的策略的部件。
该部件可以是装置2102的一个或多个组件，该组件被配置为执行由该部件所述的功能。如上所述，装置2102可以包括TX处理器368、RX处理器356和控制器/处理器359。因此，在一个配置中，部件可以是被配置为执行由该部件所述的功能的TX处理器368、RX处理器356和控制器/处理器359。
图22是访问管理方法的流程图2200。该方法可由信任代理(例如，UE104、代理1306和/或代理1406；装置2602)执行。该方法可有助于基于证明结果改进服务或资源的访问管理。
在2202处，信任代理从请求访问由服务管理实体提供的服务或资源的设备接收证明信息，如结合图14的证明信息1412所述。在2202，证明信息的接收可由图26的装置2602的证明接收组件2640执行。在一些示例中，证明信息可以包括用户可证明信息、设备可证明信息或网络可证明信息中的至少一个。
在一些示例中，证明信息可以包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息以及与第二验证实体相关联或由第二验证实体管理的第二可证明信息。在一些示例中，第一验证实体和第二验证实体可以是相同的验证实体。在一些示例中，第一验证实体可以不同于第二验证实体。
在一些示例中，第一验证实体可以包括信任代理。在一些示例中，信任代理可以基于参考信息确定与第一可证明信息相关联的验证结果。在一些示例中，信任代理可以基于测量来确定与第一可证明信息相关联的验证结果。
在一些示例中，第一验证实体可以包括不同于信任代理的可信第三方。在一些示例中，信任代理可以从可信第三方接收与第一可证明信息相关联的验证结果。在一些示例中，信任代理可以向可信第三方提供第一可证明信息，并且信任代理可以从可信第三方接收与第一可证明信息相关联的验证结果。
在2204处，信任代理基于可更新策略来评估设备的证明信息，如结合图14的1424所述。在2204，证明信息的评估可以由图26的装置2602的评估组件2642来执行。
在一些示例中，信任代理可以基于与证明信息和可更新策略的各个可证明信息相关联的一个或多个验证结果来评估设备的证明信息。在一些示例中，信任代理可以基于与证明信息和可更新策略的可证明信息的子集相关联的一个或多个验证结果来评估设备的证明信息。在一些示例中，可证明信息的子集可以包括与情况相关的信息，诸如与设备相关联的操作目的、与设备相关联的信任级别和/或与设备相关联的生命周期状态中的一个或多个。例如，在注册之后，网络管理器可以使用设备制造者信息来验证该设备未被克隆，并且可以放弃使用实时证明信息(例如，该设备是否具有信任根，自上次启动以来多长时间等)直到稍后的某个时间。在一些示例中，验证结果的评估可以基于由服务管理实体经由可更新策略提供的可证明参数。
在一些示例中，信任代理可以周期性地评估设备的证明信息。在一些示例中，信任代理可以响应于触发事件的发生来评估设备的证明信息。
在2206处，信任代理基于证明信息的评估，针对服务管理实体提供的服务或资源，对设备实施可更新策略，如结合图14的1428所述。在2206处，可以由图26的装置2602的策略实施组件2644来执行对设备实施策略。在一些示例中，对设备实施策略可以包括实施动作集。在一些示例中，动作集可以包括基于设备信任分数和信任分数阈值选择的可更新策略的一个或多个动作。在一些示例中，设备信任分数可以基于与证明信息相关联的验证结果的评估。在一些示例中，设备信任分数可以基于对验证结果的可更新策略的评估。
在一些示例中，信任代理可以对设备实施动作集，或者信任代理可以使设备对设备实施动作集。在一些示例中，信任代理可以对设备实施动作集的第一动作子集，并且信任代理可以使设备对设备实施动作集的第二动作子集。在一些示例中，信任代理可以使一个或多个可信的第三方对设备实施动作集中的至少一个动作。
在一些示例中，当设备的设备信任分数大于或等于信任分数阈值时，动作集可以与对服务的第一访问级别相关联，并且当设备信任分数小于信任分数阈值时，动作集可以与对服务的第二访问级别相关联。在一些这样的示例中，第二访问级别可以不同于第一访问级别。
在一些示例中，当设备的设备信任分数大于或等于信任分数阈值时，动作集可以与服务的第一优先级相关联，并且当设备的设备信任分数小于信任分数阈值时，动作集可以与服务的第二优先级相关联。在一些这样的示例中，第二优先级可以低于第一优先级。
图23是访问管理方法的流程图2300。该方法可由信任代理(例如，UE104、代理1306和/或代理1406；装置2602)执行。该方法可有助于基于证明结果改进服务或资源的访问管理。
在2302处，信任代理可以经由可更新策略从服务管理实体接收信任分数阈值，如结合图14的策略1410所述。在2302处，信任分数阈值的接收可由图26的装置2602的策略接收组件2646执行。
在2304处，信任代理从请求访问由服务管理实体提供的服务或资源的设备接收证明信息，如结合图14的证明信息1412所述。在2304处，证明信息的接收可由图26的装置2602的证明接收组件2640执行。在一些示例中，证明信息可以包括用户可证明信息、设备可证明信息或网络可证明信息中的至少一个。
在一些示例中，证明信息可以包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息以及与第二验证实体相关联或由第二验证实体管理的第二可证明信息。在一些示例中，第一验证实体和第二验证实体可以是相同的验证实体。在一些示例中，第一验证实体可以不同于第二验证实体。
在一些示例中，第一验证实体可以包括信任代理。在一些示例中，信任代理可以基于参考信息确定与第一可证明信息相关联的验证结果。在一些示例中，信任代理可以基于测量来确定与第一可证明信息相关联的验证结果。
在一些示例中，第一验证实体可以包括不同于信任代理的可信第三方。在一些示例中，信任代理可以从可信第三方接收与第一可证明信息相关联的验证结果。在一些示例中，信任代理可以向可信第三方提供第一可证明信息，并且信任代理可以从可信第三方接收与第一可证明信息相关联的验证结果。
在2306处，信任代理基于可更新策略来评估设备的证明信息，如结合图14的1424所述。在2306处，证明信息的评估可以由图26的装置2602的评估组件2642来执行。
在一些示例中，信任代理可以基于与证明信息和可更新策略的各个可证明信息相关联的一个或多个验证结果来评估设备的证明信息。在一些示例中，信任代理可以基于与证明信息和可更新策略的可证明信息的子集相关联的一个或多个验证结果来评估设备的证明信息。在一些示例中，验证结果的评估可以基于由服务管理实体经由可更新策略提供的可证明参数。
在一些示例中，信任代理可以周期性地评估设备的证明信息。在一些示例中，信任代理可以响应于触发事件的发生来评估设备的证明信息。
在2308处，信任代理基于证明信息的评估，针对服务管理实体提供的服务或资源，对设备实施可更新策略，如结合图14的1428所述。在2308处，可以由图26的装置2602的策略实施组件2644来执行对设备实施策略。在一些示例中，对设备实施策略可以包括实施动作集。在一些示例中，动作集可以包括基于设备信任分数和信任分数阈值选择的可更新策略的一个或多个动作。在一些示例中，设备信任分数可以基于与证明信息相关联的验证结果的评估。在一些示例中，设备信任分数可以基于对验证结果的可更新策略的评估。
在一些示例中，信任代理可以对设备实施动作集，或者信任代理可以使设备对设备实施动作集。在一些示例中，信任代理可以对设备实施动作集的第一动作子集，并且信任代理可以使设备对设备实施动作集的第二动作子集。在一些示例中，信任代理可以使一个或多个可信的第三方对设备实施动作集中的至少一个动作。
在一些示例中，当设备的设备信任分数大于或等于信任分数阈值时，动作集可以与对服务的第一访问级别相关联，并且当设备信任分数小于信任分数阈值时，动作集可以与对服务的第二访问级别相关联。在一些这样的示例中，第二访问级别可以不同于第一访问级别。
在一些示例中，当设备的设备信任分数大于或等于信任分数阈值时，动作集可以与服务的第一优先级相关联，并且当设备的设备信任分数小于信任分数阈值时，动作集可以与服务的第二优先级相关联。在一些这样的示例中，第二优先级可以低于第一优先级。
图24是访问管理方法的流程图2400。该方法可由设备(例如，用户设备103、UE104、设备1302和/或设备1402；装置2602)执行。该方法可有助于基于证明结果改进服务或资源的访问管理。
在2402处，当请求访问由服务管理实体提供的服务或资源时，设备向信任代理提供与设备相关联的证明信息，如结合图14的证明信息1412所述。在2402，证明信息的提供可以由图26的装置2602的证明提供组件2648来执行。
在一些示例中，证明信息可以包括用户可证明信息、设备可证明信息或网络可证明信息中的至少一个。在一些示例中，证明信息可以包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息以及与第二验证实体相关联或由第二验证实体管理的第二可证明信息。
在2404处，设备基于对可更新策略的证明信息的评估，从信任代理接收对由服务管理实体提供的服务或资源的访问，如结合图14的1428所述。在2404，对服务或资源的访问的接收可以由图26的装置2602的访问处理组件2650来执行。
图25是访问管理方法的流程图2500。该方法可由设备(例如，用户设备103、UE104、设备1302和/或设备1402；装置2602)执行。该方法可有助于基于证明结果改进服务或资源的访问管理。
在2504处，当请求访问由服务管理实体提供的服务或资源时，设备向信任代理提供与设备相关联的证明信息，如结合图14的证明信息1412所述。在2504，证明信息的提供可以由图26的装置2602的证明提供组件2648来执行。
在一些示例中，证明信息可以包括用户可证明信息、设备可证明信息或网络可证明信息中的至少一个。在一些示例中，证明信息可以包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息以及与第二验证实体相关联或由第二验证实体管理的第二可证明信息。
在一些示例中，设备可以在2502接收对证明信息的请求，如结合图14的1430所述。在一些示例中，设备可以周期性地从信任代理接收对证明信息的请求。在一些示例中，设备可以响应于触发事件的发生从信任代理接收对证明信息的请求。在2502，对证明信息的请求的接收可由图26的装置2602的证明提供组件2648执行。
在2506处，设备基于对可更新策略的证明信息的评估，从信任代理接收对由服务管理实体提供的服务或资源的访问，如结合图14的1428所述。在2506，对服务或资源的访问的接收可以由图26的装置2602的访问处理组件2650来执行。
在2508处，设备可以对设备实施动作集，如结合图14的1428所述。在一些这样的示例中，动作集可以基于对可更新策略的证明信息的评估。在一些示例中，信任代理可以使设备对设备实施动作集。在2508，可以由图26的装置2602的策略实施组件2644来执行对设备实施动作集。
图26是示出装置2602的硬件实施方式的示例的图2600。装置2602可以是UE、UE的组件，或者可以实施UE功能。在一些方面，设备2602可以包括耦合到蜂窝RF收发器2622的蜂窝基带处理器2604(也称为调制解调器)。在一些方面，设备2602还可以包括一个或多个订户识别模块(SIM)卡2620、耦合到安全数字(SD)卡2608和屏幕2610的应用处理器2606、蓝牙模块2612、无线局域网(WLAN)模块2614、全球定位系统(GPS)模块2616或电源2618。蜂窝基带处理器2604通过蜂窝RF收发器2622与UE 104和/或基站102/180通信。蜂窝基带处理器2604可以包括计算机可读介质/存储器。计算机可读介质/存储器可以是非暂时性的。蜂窝基带处理器2604负责一般处理，包括执行存储在计算机可读介质/存储器上的软件。当由蜂窝基带处理器2604执行时，该软件使蜂窝基带处理器2604执行上文描述的各种功能。计算机可读介质/存储器还可用于存储在执行软件时由蜂窝基带处理器2604操纵的数据。蜂窝基带处理器2604还包括接收组件2630、通信管理器2632和传输组件2634。通信管理器2632包括一个或多个所示的组件。通信管理器2632内的组件可存储在计算机可读介质/存储器中和/或配置为蜂窝基带处理器2604内的硬件。蜂窝基带处理器2604可以是UE 350的组件，并且可以包括存储器360和/或TX处理器368、RX处理器356和控制器/处理器359中的至少一个。在一种配置中，装置2602可以是调制解调器芯片，并且仅包括蜂窝基带处理器2604，并且在另一种配置中，装置2602可以是整个UE(例如，参见图3的UE 350)，并且包括装置2602的附加模块。
通信管理器2632包括证明接收组件2640，其被配置为从设备接收证明信息，例如，如结合图22的2202和/或图23的2304所述。
通信管理器2632还包括评估组件2642，其被配置为基于可更新策略来评估设备的证明信息，例如，如结合图22的2204和/或图23的2306所述。
通信管理器2632还包括策略实施组件2644，其被配置为基于对证明信息的评估对设备实施可更新策略，例如，如结合图22的2206和/或图23的2308所述。示例策略实施组件2644还可以被配置为对设备实施动作集，例如，如结合图25的2508所述。
通信管理器2632还包括策略接收组件2646，其被配置为从服务管理实体接收信任分数阈值，例如，如结合图23的2302所述。
通信管理器2632还包括证明提供组件2648，其被配置为向信任代理提供与设备相关联的证明信息，例如，如结合图24的2402和/或图25的2504所述。示例证明提供组件2648还可以被配置为从信任代理接收对证明信息的请求，例如，如结合图25的2502所述。
通信管理器2632还包括访问处理组件2650，其被配置为基于对可更新策略的证明信息的评估从信任代理接收对服务或资源的访问，例如，如结合图24的2404和/或图25的2506所述。
该装置可以包括执行图22至图25的流程图中的算法的每个块的附加组件。因此，图22至图25的流程图中的每个块可以由组件执行，并且该装置可以包括这些组件中的一个或多个。这些组件可以是一个或多个硬件组件，具体配置为执行所述过程/算法，所述过程/算法由配置为执行所述过程/算法的处理器实施，存储在计算机可读介质中以供处理器实现，或其一些组合。
如图所示，装置2602可以包括配置用于各种功能的各种组件。在一种配置中，装置2602，特别是蜂窝基带处理器2604，包括用于从请求访问由服务管理实体提供的服务或资源的设备接收证明信息的部件。示例装置2602还包括用于基于可更新策略来评估设备的证明信息的部件。示例装置2602还包括用于基于对证明信息的评估针对由服务管理实体提供的服务或资源对设备实施可更新策略的部件。
在另一配置中，示例装置2602还包括用于基于与证明信息和可更新策略的各个可证明信息相关联的一个或多个验证结果来评估设备的证明信息的部件。
在另一配置中，示例装置2602还包括用于基于与证明信息和可更新策略的可证明信息的子集相关联的一个或多个验证结果来评估设备的证明信息的部件。
在另一配置中，示例装置2602还包括用于基于由服务管理实体经由可更新策略提供的可证明参数来评估一个或多个验证结果的部件。
在另一配置中，示例装置2602还包括用于实施动作集的部件，其中动作集包括基于设备信任分数和信任分数阈值选择的可更新策略的一个或多个动作。
在另一配置中，示例装置2602还包括用于经由可更新策略从服务管理实体接收信任分数阈值的部件。
在另一配置中，示例装置2602还包括用于对设备实施动作集的部件。
在另一配置中，示例装置2602还包括用于对设备实施动作集的第一动作子集的部件。示例装置2602还包括用于使设备对设备实施动作集的第二动作子集的部件。
在另一配置中，示例装置2602还包括用于使一个或多个可信第三方对设备实施动作集中的至少一个动作的部件。
该部件可以是装置2602的一个或多个组件，该组件被配置为执行由该部件所述的功能。如上所述，装置2602可以包括TX处理器368、RX处理器356和控制器/处理器359。因此，在一个配置中，部件可以是被配置为执行由该部件所述的功能的TX处理器368、RX处理器356和控制器/处理器359。
应当理解，所公开的过程/流程图中的框的特定顺序或层次结构是示例方法的图示。基于设计偏好，可以理解，可以重新排列过程/流程图中的框的特定顺序或层次结构。此外，可以组合或省略一些框。随附的方法权利要求以样本顺序呈现各种框的元素，并且并不意味着局限于所呈现的特定顺序或层次结构。
提供前面的描述是为了使本领域技术人员能够实践本文所描述的各个方面。对这些方面的各种修改对于本领域技术人员将是显而易见的，并且本文中定义的一般原则可应用于其他方面。因此，权利要求书不旨在局限于本文所示的方面，而是被赋予与权利要求书的语言一致的全部范围，其中以单数形式对元素的引用不旨在意指“一个且仅一个”，除非特别如此说明，而是“一个或多个”。诸如“如果”、“当”和“同时”之类的术语应该被解释为意味着“在这种情况下”，而不是意味着直接的时间关系或反应。也就是说，这些短语，例如，“当”，并不意味着响应于行动或在行动发生期间立即采取行动，而只是意味着如果满足条件，则将发生行动，但不要求行动发生的特定或立即的时间限制。“示例性”一词在本文中用于表示“用作示例、实例或说明”。本文中描述为“示例性”的任何方面不一定被解释为优选于或优于其他方面。除非另有特别说明，术语“一些”指一个或多个。诸如“A、B或C中的至少一个”、“A、B或C中的一个或多个”、“A、B和C中的至少一个”、“A、B和C中的一个或多个”和“A、B、C或其任何组合”的组合包括A、B和/或C的任何组合，并且可以包括A的倍数、B的倍数或C的倍数。具体地，诸如“A、B或C中的至少一个”、“A、B或C中的一个或多个”、“A、B和C中的至少一个”、“A、B和C中的一个或多个”和“A、B、C或其任何组合”的组合可以是仅A、仅B、仅C、A和B、A和C、B和C或A和B和C，其中任何此类组合可以包含A、B或C的一个或多个成员。本领域的普通技术人员已知或后来知道的贯穿本公开描述的各个方面的元素的所有结构和功能等价物通过引用被明确地并入本文中，并且旨在被权利要求所涵盖。此外，本文所公开的任何内容都不旨在专门用于公众，而不管该公开是否在权利要求中明确叙述。词语“模块”、“机制”、“元件”、“设备”等不能代替词语“部件”。因此，任何权利要求要素都不应被解释为部件加功能，除非该要素是使用“部件用于”一词明确叙述的。
以下方面仅是说明性的，并且可以与本文描述的其他方面或教导相结合，而没有限制。
方面1是一种用于在网络管理器处进行信任管理的装置，包括至少一个处理器，该处理器耦合到存储器并被配置为向由网络管理器管理的网络注册网络端点；基于注册网络端点来接收网络端点的可信参考信息；基于从网络端点接收的可信参考信息或证明中的至少一个来执行网络端点的验证；并基于验证的结果对网络端点实施策略。
方面2是方面1的装置，还包括执行网络端点、存储器和至少一个处理器的验证，至少一个处理器被配置为：接收网络端点的证明；以及基于证明和可信参考信息确定验证结果。
方面3是方面1和2中的任一方面的装置，还包括存储器和至少一个处理器被配置为接收与网络管理器通信的每个网络端点的可信参考信息。
方面4是方面1至3中的任一方面的装置，还包括存储器和至少一个处理器被配置为接收与网络管理器通信的网络端点集的可信参考信息。
方面5是方面1至4中的任一方面的装置，还包括存储器和至少一个处理器被配置为周期性地、按需地或响应于触发事件的发生来执行网络端点的验证。
方面6是方面1至5中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：向至少一个可信第三方报告验证结果。
方面7是方面1至6中的任一方面的装置，还包括为了对网络端点实施策略，存储器和至少一个处理器被配置为：监视网络端点的连接健康状况；并监视网络端点的设备健康状况。
方面8是方面1至7中的任一方面的装置，还包括策略包括信任事件补救措施，并且为了实施信任事件补救措施，存储器和至少一个处理器被配置为：修改网络端点的网络访问控制，限制网络端点的功能能力，调整网络端点的QoS级别，或者强制网络端点的软件更新。
方面9是方面1至8中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：从可信第三方接收用于网络端点的软件更新；基于对网络端点的验证，向网络端点提供软件更新；以及基于来自网络端点的第二证明验证软件更新在网络端点上成功完成。
方面10是方面1至9中的任一方面的装置，还包括存储器和至少一个处理器被配置为：执行网络端点的用户的用户验证；以及基于用户验证来控制用户对服务或资源的访问。
方面11是方面1至10中的任一方面的装置，还包括为了执行用户验证，存储器和至少一个处理器被配置为：从网络端点接收包括用户验证结果的设备证明。
方面12是方面1至11中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：在执行网络端点的验证之后，向网络端点发送凭证请求；从网络端点接收凭证响应；以及当向网络管理器注册设备标识符时，向网络端点发送凭证注册响应，其中网络管理器在注册网络端点的设备标识符之后从一个或多个可信第三方接收网络端点的可信参考信息。
方面13是方面1至12中的任一方面的装置，还包括存储器和至少一个处理器被配置为：使用与网络端点相关联的证明验证者从一个或多个可信第三方检索用于管理网络端点的策略，其中，管理网络端点部分地基于策略、与网络端点相关联的信任级别以及与网络端点相关联的操作目的。
方面14是方面1至13中的任一方面的装置，还包括耦合到至少一个处理器的收发器。
方面15是一种用于实施方面1至14中的任一方面的无线通信方法。
方面16是一种用于无线通信的装置，包括用于实施方面1至14中的任一方面的部件。
方面17是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面1至14中的任一方面。
方面18是一种用于在信任代理处进行访问管理的装置，包括至少一个处理器，至少一个处理器耦合到存储器并被配置为从请求访问由服务管理实体提供的服务或资源的设备接收证明信息；基于可更新策略评估设备的证明信息；以及基于对证明信息的评估，针对由服务管理实体提供的服务或资源对设备实施可更新策略。
方面19是方面18的装置，还包括证明信息包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息和与第二验证实体相关联或由第二验证实体管理的第二可证明信息。
方面20是方面18和19中的任一方面的装置，还包括第一验证实体包括信任代理。
方面21是方面18至19中的任一方面的装置，还包括第一验证实体包括不同于信任代理的可信第三方。
方面22是方面18至21中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于与证明信息和可更新策略的相应可证明信息相关联的一个或多个验证结果来评估设备的证明信息。
方面23是方面18至22中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于与证明信息和可更新策略的可证明信息的子集相关联的一个或多个验证结果来评估设备的证明信息。
方面24是方面18至23中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于由服务管理实体经由可更新策略提供的可证明参数来评估一个或多个验证结果。
方面25是方面18至24中的任一方面的装置，还包括为了对设备实施可更新策略，存储器和至少一个处理器被配置为：实施动作集，其中动作集包括基于设备信任分数和信任分数阈值选择的可更新策略的一个或多个动作。
方面26是方面18至25中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：经由可更新策略从服务管理实体接收信任分数阈值。
方面27是方面18至26中的任一方面的装置，还包括设备信任分数基于与证明信息相关联的验证结果的评估。
方面28是方面18至27中的任一方面的装置，还包括存储器和至少一个处理器被配置为对设备实施动作集。
方面29是方面18至28中的任一方面的装置，还包括存储器和至少一个处理器被配置为：对设备实施动作集的第一动作子集；并且使设备对设备实施动作集的第二动作子集。
方面30是方面18至29中的任一方面的装置，还包括存储器和至少一个处理器被配置为：使一个或多个可信第三方对设备实施动作集中的至少一个动作。
方面31是方面18至30中的任一方面的装置，还包括耦合到至少一个处理器的收发器。
方面32是一种用于实施方面18至31中的任一方面的无线通信方法。
方面33是一种用于无线通信的装置，包括用于实施方面18至31中的任一方面的部件。
方面34是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面18至31中的任一方面。
方面35是一种用于在网络管理器处进行信任管理的装置，包括至少一个处理器，该处理器耦合到存储器并被配置为向由网络管理器管理的网络注册网络端点；基于注册网络端点，从一个或多个可信第三方接收网络端点的可信参考信息；基于从一个或多个可信第三方接收的可信参考信息中的至少一个或从网络端点接收的证明来执行网络端点的验证；并基于验证的结果对网络端点实施策略。
方面36是方面35的装置，还包括策略包括网络访问级别或配置、服务访问或授权级别或配置、QoS级别或配置、资源访问级别或配置、信任级别或配置以及信任事件补救措施中的至少一个。
方面37是方面35和36中任一方面的装置，还包括执行网络端点、存储器和至少一个处理器的验证，至少一个处理器被配置为：接收网络端点的证明；以及基于证明和可信参考信息确定验证结果。
方面38是方面35至37中的任一方面的装置，还包括证明基于网络端点的设备标识符、网络端点的永久凭证或网络端点的设备状态信息中的一个或多个。
方面39是方面35至38中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：将设备标识符和永久凭证中的至少一个存储在网络端点的可信环境中，其中存储在可信环境中的信息是不可改变的。
方面40是方面35至39中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：接收与网络管理器通信的每个网络端点的可信参考信息。
方面41是方面35至40中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：接收与网络管理器通信的网络端点集的可信参考信息。
方面42是方面35至41中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：从与网络端点相关联的验证信息服务接收可信参考信息。
方面43是方面35至42中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：周期性地、按需地或响应于触发事件的发生来执行网络端点的验证。
方面44是方面35至43中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：向一个或多个可信第三方中的至少一个可信第三方报告验证结果。
方面45是方面35至44中的任一方面的装置，还包括为了对网络端点实施策略，存储器和至少一个处理器被配置为：监视网络端点的连接健康状况；并监视网络端点的设备健康状况。
方面46是方面35至45中的任一方面的装置，还包括策略包括信任事件补救措施，该信任事件补救措施包括以下中的一个或多个：修改网络端点的网络访问控制、限制网络端点的功能能力、调整网络端点的QoS水平、或强制网络端点的软件更新。
方面47是方面35至46中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：从一个或多个可信第三方中的第一可信第三方接收用于网络端点的软件更新；基于对网络端点的验证，向网络端点提供软件更新；并基于来自网络端点的证明验证软件更新在网络端点上成功完成。
方面48是方面35至47中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：从网络端点接收临时凭证；以及基于网络管理器已知的网络端点的永久凭证来确定临时凭证的有效性。
方面49是方面35至48中的任一方面的装置，还包括临时凭证基于以下中的至少一个：公钥-私钥对、公钥、公钥的散列或与临时凭证相关联的标识符。
方面50是方面35至49中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：响应于以下中的至少一个接收软件更新：定期证明报告、基于网络端点的订阅的通知或来自网络管理器的包括网络端点的临时凭证的请求。
方面51是方面35至50中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：进一步基于对由第一可信第三方提供的软件更新的签名的验证，向网络端点提供软件更新。
方面52是方面35至51中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：从网络端点接收证明；向第一可信第三方提供证明的指示；响应于证明的指示，从第一可信第三方接收软件激活码；以及向网络端点提供软件激活码。
方面53是方面35至52中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：执行网络端点的用户的用户验证；以及基于用户验证来控制用户对服务或资源的访问。
方面54是方面35至53中的任一方面的装置，还包括为了执行用户验证，存储器和至少一个处理器被配置为：从网络端点接收包括用户验证结果的设备证明。
方面55是方面35至54中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：在执行网络端点的验证之后，向网络端点发送凭证请求；从网络端点接收凭证响应；当向网络管理器注册设备标识符时，向网络端点发送凭证注册响应，并且其中网络管理器在注册网络端点的设备标识符之后从一个或多个可信第三方接收网络端点的可信参考信息。
方面56是方面35至55中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：使用与网络端点相关联的证明验证者从一个或多个可信第三方检索用于针对网络端点实施的策略。
方面57是方面35至56中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：经由策略定位器从一个或多个可信第三方检索策略。
方面58是方面35至57中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：根据策略向网络端点查询设备状态。
方面59是方面35至58中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：基于网络端点的设备状态确定信任事件的发生；通过应用一个或多个信任事件补救措施，根据策略解决信任事件；以及基于来自网络端点的证明验证信任事件在网络端点上成功解决。
方面60是方面35至59中的任一方面的装置，还包括为了解决信任事件，存储器和至少一个处理器被配置为以下中的一个或多个：禁用用户经由网络端点的访问、强制网络端点的软件更新、使网络端点重启、使网络端点重置、或断开网络端点的网络访问。
方面61是方面35至60中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：向网络系统或边缘组件提供信任事件报告以用于信任事件的分析，其中信任事件报告包括一个或多个信任事件指示或一个或多个信任事件补救措施中的至少一个。
方面62是方面35至61中的任一方面的装置，还包括为了解决信任事件，存储器和至少一个处理器被配置为：基于网络管理器不能解决信任事件的确定向第三方设备管理器提供信任事件报告，其中信任事件报告包括一个或多个信任事件指示或一个或多个信任事件补救措施中的至少一个。
方面63是方面35至62中的任一方面的装置，还包括网络端点连接到网络管理器。
方面64是方面35至63中的任一方面的装置，还包括网络管理器包括路由器、网络控制器、网关、基站或边缘节点。
方面65是方面35至64中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：从网络所有者接收用于对网络端点实施的策略。
方面66是方面35至65中的任一方面的装置，还包括策略是可更新的策略。
方面67是方面35至66中的任一方面的装置，还包括为了与网络端点通信，存储器和至少一个处理器被配置为：在将经认证的消息发送到网络端点之前，使用凭证来认证消息，并且使用凭证来解密从网络端点接收的消息。
方面68是一种用于实施方面35至67中的任一方面的无线通信方法。
方面69是一种用于无线通信的装置，包括用于实施方面35至67中的任一方面的部件。
方面70是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面35至67中的任一方面。
方面71是一种用于在网络管理器处进行信任管理的装置，包括至少一个处理器，该处理器耦合到存储器并被配置为向由网络管理器管理的网络注册网络端点；基于网络端点向网络的注册，从一个或多个可信第三方接收网络端点的可信参考信息；根据由网络管理器实施的网络管理器策略向网络端点查询设备信息；以及当信任事件发生时，根据网络管理器策略执行一个或多个信任事件补救措施，该信任事件的发生基于设备信息和网络端点的可信参考信息的比较。
方面72是一种用于实施方面71的无线通信方法。
方面73是一种用于无线通信的装置，包括用于实施方面71的部件。
方面74是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面71。
方面75是一种用于在网络端点处进行信任管理的装置，包括至少一个处理器，至少一个处理器耦合到存储器并被配置为向网络管理器提供用于网络端点的临时凭证，其中临时凭证基于用于网络端点的永久凭证；以及从网络管理器接收对服务或资源的访问或授权，该访问或授权基于基于网络端点的临时凭证的设备验证。
方面76是方面75的装置，还包括临时凭证基于以下中的至少一个：公钥-私钥对、公钥、公钥的散列或与临时凭证相关联的标识符。
方面77是方面75和76中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：基于基于网络端点的临时凭证的设备验证，经由网络管理器从可信第三方接收软件更新。
方面78是方面75至77中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：向网络管理器提供证明；以及响应于证明，经由网络管理器从可信第三方接收软件激活码。
方面79是方面75至78中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：执行网络端点的用户的用户验证；以及向网络管理器提供证明，该证明包括用户验证的结果。
方面80是方面75至79中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于以下中的一个或多个来执行用户验证：密码、生物特征、可信位置、多因素验证或连续认证。
方面81是一种用于实施方面75至80中的任一方面的无线通信方法。
方面82是一种用于无线通信的装置，包括用于实施方面75至80中的任一方面的部件。
方面83是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面75至80中的任一方面。
方面84是一种用于在信任代理处进行访问管理的装置，包括至少一个处理器，至少一个处理器耦合到存储器并被配置为从请求访问由服务管理实体提供的服务或资源的用户设备接收证明信息；基于可更新策略评估用户设备的证明信息；以及基于对证明信息的评估，针对由服务管理实体提供的服务或资源对用户设备实施可更新策略。
方面85是方面84的装置，还包括证明信息包括用户可证明信息、设备可证明信息或网络可证明信息中的至少一个。
方面86是方面84和85中的任一方面的装置，还包括证明信息包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息和与第二验证实体相关联或由第二验证实体管理的第二可证明信息。
方面87是方面84至86中的任一方面的装置，还包括第一验证实体和第二验证实体是相同的验证实体。
方面88是方面84至86中的任一方面的装置，还包括第一验证实体不同于第二验证实体。
方面89是方面84至88中的任一方面的装置，还包括第一验证实体包括信任代理。
方面90是方面84至89中的任一方面的装置，还包括存储器和至少一个处理器被配置为：基于参考信息确定与第一可证明信息相关联的验证结果。
方面91是方面84至90中的任一方面的装置，还包括存储器和至少一个处理器被配置为：基于测量确定与第一可证明信息相关联的验证结果。
方面92是方面84至91中的任一方面的装置，还包括第一验证实体包括不同于信任代理的可信第三方。
方面93是方面84至92中的任一方面的装置，还包括存储器和至少一个处理器被配置为：从可信第三方接收与第一可证明信息相关联的验证结果。
方面94是方面84至93中的任一方面的装置，还包括存储器和至少一个处理器被配置为：向可信第三方提供第一可证明信息，并从可信第三方接收与第一可证明信息相关联的验证结果。
方面95是方面84至94中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于与证明信息和可更新策略的相应可证明信息相关联的一个或多个验证结果来评估用户设备的证明信息。
方面96是方面84至95中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于与证明信息和可更新策略的可证明信息的子集相关联的一个或多个验证结果来评估用户设备的证明信息。
方面97是方面84至96中的任一方面的装置，还包括存储器和至少一个处理器被配置为基于由服务管理实体经由可更新策略提供的可证明参数来评估验证结果。
方面98是方面84至97中的任一方面的装置，还包括存储器和至少一个处理器被配置为周期性地评估用户设备的证明信息。
方面99是方面84至98中的任一方面的装置，还包括存储器和至少一个处理器被配置为响应于触发事件的发生来评估用户设备的证明信息。
方面100是方面84至99中的任一方面的装置，还包括存储器和至少一个处理器被配置为：实施动作集以对用户设备实施可更新策略，并且其中动作集包括基于设备信任分数和信任分数阈值选择的可更新策略的一个或多个动作。
方面101是方面84至100中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：经由可更新策略从服务管理实体接收信任分数阈值。
方面102是方面84至101中的任一方面的装置，还包括设备信任分数基于与证明信息相关联的验证结果的评估。
方面103是方面84至102中的任一方面的装置，还包括设备信任分数基于对验证结果的可更新策略的评估。
方面104是方面84至103中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：通过使用户设备对用户设备实施动作集来对用户设备或信任代理实施该动作集。
方面105是方面84至104中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：对用户设备实施动作集的第一动作子集，并使用户设备对用户设备实施动作集的第二动作子集。
方面106是方面84至105中的任一方面的装置，还包括存储器和至少一个处理器还被配置为：使一个或多个可信第三方对用户设备实施动作集中的至少一个动作。
方面107是一种用于实施方面84至8406中的任一方面的无线通信方法。
方面108是一种用于无线通信的装置，包括用于实施方面84至106中的任一方面的部件。
方面109是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面84至106中的任一方面。
方面110是一种用于在用户设备处进行访问管理的装置，包括至少一个处理器，至少一个处理器耦合到存储器并且被配置为在请求访问由服务管理实体提供的服务或资源时向信任代理提供与用户设备相关联的证明信息；以及基于对可更新策略的证明信息的评估，从信任代理接收对由服务管理实体提供的服务或资源的访问。
方面111是方面110的装置，还包括证明信息包括用户可证明信息、设备可证明信息或网络可证明信息中的至少一个。
方面112是方面110和111中的任一方面的装置，还包括证明信息包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息和与第二验证实体相关联或由第二验证实体管理的第二可证明信息。
方面113是方面110至112中的任一方面的装置，还包括存储器和至少一个处理器被配置为：周期性地从信任代理接收对证明信息的请求。
方面114是方面110至113中的任一方面的装置，还包括存储器和至少一个处理器被配置为：响应于触发事件的发生，从信任代理接收对证明信息的请求。
方面115是方面110至114中的任一方面的装置，还包括存储器和至少一个处理器被配置为：对用户设备实施动作集，该动作集基于对可更新策略的证明信息的评估。
方面116是一种用于实施方面110至115中的任一方面的无线通信方法。
方面117是一种用于无线通信的装置，包括用于实施方面110至115中的任一方面的部件。
方面118是一种存储计算机可执行代码的非暂时性计算机可读存储介质，其中当代码被执行时，使处理器实施方面110至115中的任一方面。

Claims (30)

1.一种用于网络管理器处的信任管理的装置，包括：
存储器；以及
至少一个处理器，所述至少一个处理器耦合到所述存储器，所述存储器和所述至少一个处理器被配置为：
向由所述网络管理器管理的网络注册网络端点；
基于注册所述网络端点来接收用于所述网络端点的可信参考信息；
基于从所述网络端点接收的所述可信参考信息或证明中的至少一个来执行所述网络端点的验证；以及
基于所述验证的结果对所述网络端点实施策略。
2.根据权利要求1所述的装置，其中，为了执行所述网络端点的所述验证，所述存储器和所述至少一个处理器被配置为：
接收用于所述网络端点的所述证明；以及
基于所述证明和所述可信参考信息确定验证结果，
其中所述装置还包括耦合到所述至少一个处理器的收发器。
3.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器被配置为接收与所述网络管理器通信的每个网络端点的所述可信参考信息。
4.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器被配置为接收用于与所述网络管理器通信的网络端点集的所述可信参考信息。
5.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器被配置为周期性地、按需地或响应于触发事件的发生来执行所述网络端点的所述验证。
6.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器还被配置为：
向至少一个可信第三方报告验证结果。
7.根据权利要求1所述的装置，其中，为了对所述网络端点实施所述策略，所述存储器和所述至少一个处理器被配置为：
监视所述网络端点的连接健康状况；以及
监视所述网络端点的设备健康状况。
8.根据权利要求1所述的装置，其中，所述策略包括信任事件补救措施，并且为了实施所述信任事件补救措施，所述存储器和所述至少一个处理器被配置为：
修改所述网络端点的网络访问控制，
限制所述网络端点的功能，
调整所述网络端点的服务质量(QoS)级别，或者
强制所述网络端点的软件更新。
9.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器还被配置为：
从可信第三方接收用于所述网络端点的软件更新；
基于针对所述网络端点的所述验证，向所述网络端点提供所述软件更新；以及
基于来自所述网络端点的第二证明，验证所述软件更新在所述网络端点上成功完成。
10.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器被配置为：
执行所述网络端点的用户的用户验证；以及
基于所述用户验证控制用户对服务或资源的访问。
11.根据权利要求10所述的装置，其中，为了执行所述用户验证，所述存储器和所述至少一个处理器被配置为：
从所述网络端点接收包括用户验证结果的设备证明。
12.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器还被配置为：
在执行所述网络端点的所述验证之后，向所述网络端点发送凭证请求；
从所述网络端点接收凭证响应；以及
当向所述网络管理器注册设备标识符时，向所述网络端点发送凭证注册响应，
其中，所述网络管理器在注册所述网络端点的所述设备标识符之后，从一个或多个可信第三方接收用于所述网络端点的所述可信参考信息。
13.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器被配置为：
使用与所述网络端点相关联的证明验证者从一个或多个可信第三方取回用于管理所述网络端点的策略，其中，管理所述网络端点部分地基于所述策略、与所述网络端点相关联的信任级别以及与所述网络端点相关联的操作目的。
14.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器还被配置为：
向网络系统或边缘组件提供信任事件报告以用于分析信任事件，其中所述信任事件报告包括一个或多个信任事件指示或一个或多个信任事件补救措施中的至少一个。
15.根据权利要求1所述的装置，其中，所述存储器和所述至少一个处理器还被配置为：
基于所述网络管理器不能解决信任事件的确定，向第三方设备管理器提供信任事件报告，其中所述信任事件报告包括一个或多个信任事件指示或一个或多个信任事件补救措施中的至少一个。
16.一种网络管理器处的信任管理的方法，包括：
向由所述网络管理器管理的网络注册网络端点；
基于注册所述网络端点来接收用于所述网络端点的可信参考信息；
基于从所述网络端点接收的证明或所述可信参考信息中的至少一个来执行所述网络端点的验证；以及
基于所述验证的结果对所述网络端点实施策略。
17.一种用于在信任代理处进行访问管理的装置，包括：
存储器；以及
至少一个处理器，所述至少一个处理器耦合到所述存储器，所述存储器和所述至少一个处理器被配置为：
从请求访问由服务管理实体提供的服务或资源的设备接收证明信息；
基于可更新策略评估用于所述设备的所述证明信息；以及
基于所述证明信息的评估，针对由所述服务管理实体提供的所述服务或所述资源对所述设备实施所述可更新策略。
18.根据权利要求17所述的装置，其中，所述证明信息包括与第一验证实体相关联或由第一验证实体管理的第一可证明信息和与第二验证实体相关联或由第二验证实体管理的第二可证明信息。
19.根据权利要求18所述的装置，其中，所述第一验证实体包括所述信任代理。
20.根据权利要求18所述的装置，其中，所述第一验证实体包括不同于所述信任代理的可信第三方。
21.根据权利要求17所述的装置，其中，所述存储器和所述至少一个处理器被配置为基于与所述可更新策略和所述证明信息的可证明信息的子集相关联的一个或多个验证结果来评估用于所述设备的所述证明信息。
22.根据权利要求21所述的装置，其中，所述证明信息的可证明信息的所述子集基于以下中的一个或多个：
与所述设备相关联的操作目的，
与所述设备相关联的信任级别，以及
与所述设备相关联的生命周期状态。
23.根据权利要求21所述的装置，其中，所述存储器和所述至少一个处理器被配置为基于由所述服务管理实体经由所述可更新策略提供的可证明参数来评估所述一个或多个验证结果。
24.根据权利要求17所述的装置，其中，为了对所述设备实施所述可更新策略，所述存储器和所述至少一个处理器被配置为：
实施动作集，其中所述动作集包括基于设备信任分数和信任分数阈值选择的所述可更新策略的一个或多个动作，
其中，所述装置还包括耦合到所述至少一个处理器的收发器。
25.根据权利要求24所述的装置，其中，所述存储器和所述至少一个处理器还被配置为：
经由所述可更新策略从所述服务管理实体接收所述信任分数阈值。
26.根据权利要求24所述的装置，其中，所述设备信任分数基于与所述证明信息相关联的验证结果的评估。
27.根据权利要求24所述的装置，其中，所述存储器和所述至少一个处理器被配置为对所述设备实施所述动作集。
28.根据权利要求24所述的装置，其中，所述存储器和所述至少一个处理器被配置为：
对所述设备实施所述动作集的第一动作子集；以及
使所述设备对所述设备实施所述动作集的第二动作子集。
29.根据权利要求24所述的装置，其中，所述存储器和所述至少一个处理器被配置为：
使一个或多个可信第三方对所述设备实施所述动作集中的至少一个动作。
30.一种信任代理处的访问管理的方法，包括：
从请求访问由服务管理实体提供的服务或资源的设备接收证明信息；
基于可更新策略评估用于所述设备的所述证明信息；以及
基于评估所述证明信息，针对由所述服务管理实体提供的所述服务或所述资源对所述设备实施所述可更新策略。
CN202180051610.2A 2020-08-28 2021-08-27 物联网网络中的自管理信任 Pending CN115968473A (zh)

Applications Claiming Priority (7)

Application Number Priority Date Filing Date Title
US202063072040P 2020-08-28 2020-08-28
US202063072031P 2020-08-28 2020-08-28
US63/072,031 2020-08-28
US63/072,040 2020-08-28
US17/458,012 US20220070178A1 (en) 2020-08-28 2021-08-26 Self-managed trust in internet of things networks
US17/458,012 2021-08-26
PCT/US2021/048059 WO2022047233A1 (en) 2020-08-28 2021-08-27 Self-managed trust in internet of things networks

Publications (1)

Publication Number Publication Date
CN115968473A true CN115968473A (zh) 2023-04-14

Family

ID=78032506

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202180051610.2A Pending CN115968473A (zh) 2020-08-28 2021-08-27 物联网网络中的自管理信任

Country Status (6)

Country Link
US (1) US20220070178A1 (zh)
EP (1) EP4205358A1 (zh)
KR (1) KR20230058056A (zh)
CN (1) CN115968473A (zh)
BR (1) BR112023002806A2 (zh)
WO (1) WO2022047233A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116566751A (zh) * 2023-07-11 2023-08-08 飞天诚信科技股份有限公司 一种物联网终端设备的注册和连接实现方法及装置

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022108427A1 (ko) * 2020-11-20 2022-05-27 한국과학기술원 5g 기반 iot 환경을 위한 지능형 트러스트 인에이블러 시스템
US11950318B2 (en) 2021-12-14 2024-04-02 Aeris Communications, Inc. Intelligent mechanism to identify and manage cost of IoT device lifecycle
US20220108008A1 (en) * 2021-12-15 2022-04-07 Intel Corporation Platform health verification
US11978063B2 (en) * 2022-04-12 2024-05-07 Cisco Technology, Inc. Establishing ownership of dual route processors (RPs) using secure zero-touch provisioning (ZTP)
CN114978712B (zh) * 2022-05-25 2023-08-22 中南财经政法大学 一种触觉物联网的远程安全通信方法、系统、设备及终端

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8266676B2 (en) * 2004-11-29 2012-09-11 Harris Corporation Method to verify the integrity of components on a trusted platform using integrity database services
US20170329966A1 (en) * 2016-05-13 2017-11-16 Qualcomm Incorporated Electronic device based security management
US11108557B2 (en) * 2017-11-30 2021-08-31 Cable Television Laboratories, Inc. Systems and methods for distributed trust model and framework

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116566751A (zh) * 2023-07-11 2023-08-08 飞天诚信科技股份有限公司 一种物联网终端设备的注册和连接实现方法及装置
CN116566751B (zh) * 2023-07-11 2023-09-19 飞天诚信科技股份有限公司 一种物联网终端设备的注册和连接实现方法及装置

Also Published As

Publication number Publication date
EP4205358A1 (en) 2023-07-05
WO2022047233A1 (en) 2022-03-03
KR20230058056A (ko) 2023-05-02
US20220070178A1 (en) 2022-03-03
BR112023002806A2 (pt) 2023-03-14

Similar Documents

Publication Publication Date Title
US20220070178A1 (en) Self-managed trust in internet of things networks
US20180091978A1 (en) Universal Integrated Circuit Card Having A Virtual Subscriber Identity Module Functionality
JP5586779B2 (ja) ポリシー管理のための方法
US8307205B2 (en) Home node-B apparatus and security protocols
CA2849763C (en) Managing mobile device applications
EP3651500B1 (en) Managing mobile device applications in a wireless network
EP2574091B1 (en) Managing mobile device applications on a mobile device
CA2849769C (en) Managing mobile device applications on a mobile device
Boubakri et al. Access control in 5G communication networks using simple PKI certificates
CN111527731A (zh) 用于限制iot设备中的存储器写入访问的方法
US20230074107A1 (en) System and methodology for secure coexistence between wireless fidelity and cellular networks
WO2023242743A1 (en) Security management of trusted network functions

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination