CN117118734A - 在数据流中安全地传输数据 - Google Patents

Abstract

本申请涉及在数据流中安全地传输数据。总的来说，公开了一种将数据在数据流中从第一装置传输到第二装置的计算机实现的方法。在从第一装置传输到第二装置之前对数据流加密，并且将数据流中的数据的位置指示给第二装置。该位置可以是第一装置与第二装置之间的预共享位置，或者第一装置可以将数据的位置传输到第二装置。第二装置对加密的数据流解密，基于该位置识别数据流中的数据，并对数据流中的被识别的数据加密。

Description

在数据流中安全地传输数据

本申请是申请日为2019年11月28日、申请号为201980079956.6、名称为“在数据流中安全地传输数据”的发明专利申请的分案申请。

技术领域

本公开涉及传输数据，尤其涉及在数据流中安全地传输数据。

背景技术

在计算机网络中，通常使用两层加密来传输数据，以在两个或更多个装置之间提供私密性和数据完整性。第一层加密通常应用于数据，以“静态”保护数据并确保数据的真实性。加密的数据被包含在用于传输到另一个装置的数据流中。在传输数据流之前，将第二层加密在输送级别全局地应用于数据流。

某些装置(例如，物联网装置)预期具有非常低的功耗(它们必须使用小电池运行数年)，具有较低的存储量(以降低成本)并使用有限的通信带宽。这与互联网上的计算机、平板电脑和电话不同，后者的功耗、存储量和带宽可能会高出几个数量级。

因此，期望提供实现安全且功率低的数据传输的方法和装置。补充地或替代地，应能够由具有有限的带宽和数据存储能力的第一装置(例如，物联网装置)向具有较高的功率和数据存储硬件的第二装置(例如，后端装置)执行数据传输，该数据传输在保持数据安全性的同时允许低功耗运行。此外，根据结合附图和本发明的背景进行的本发明的随后的详细描述和所附的权利要求，本发明的其他期望的特征和特点将变得显而易见。

附图说明

图1示出了用于传输数据的系统的框图。

图2示出了图1的系统中的数据流；以及

图3示出了计算装置的一种实现方式的框图。

具体实施方式

总的来说，公开了一种将数据在数据流中从第一装置传输到第二装置的计算机实现的方法。在从第一装置传输到第二装置之前对数据流加密，并且将数据在数据流中的位置指示给第二装置。该位置可以是第一装置与第二装置之间的预共享位置，或者第一装置可以将数据的位置传输到第二装置。

然后，在第二装置而不是第一装置处对数据加密。这样，可以将数据从第一装置安全地传输到第二装置，并且可以保持数据的真实性，而无需第一装置对数据加密。有利地，通过对数据流而不是数据本身进行加密，可以减少第一装置的功耗。在电池供电的装置(例如，物联网装置)中，数据传输中的节电特别有益。无论位置是从第一装置传输到第二装置还是该位置是预共享位置，都可以实现这种效果。这样，它们形成了实现相同效果的替代方案。

本公开的另一个方面包括一种由第二装置从第一装置接收数据的计算机实现的方法。该方法包括由第二装置对从第一装置接收到的加密的数据流解密。该方法包括由第二装置在第一选择中基于第一装置提供的位置来识别解密的数据流中的数据，其中该位置是数据流的一部分。在第二选择中，该方法包括由第二装置基于数据流中的预定位置来识别数据。此外，该方法包括由第二装置对数据流中的被识别的数据加密。

本公开的另外的方面涉及一种在第二装置处从第一装置接收数据流中的数据的计算机实现的方法。该方法包括在第二装置处从第一装置接收加密的数据流。加密的数据流包括所述数据。第二装置接收指示数据在数据流中的位置的元数据。例如，如果该位置是第一装置与第二装置之间的预共享位置(例如，共享秘密)，可以在第二装置处在接收到任何加密的数据流之前接收元数据，即在第二装置的制造或设置期间进行硬编码。替代地，第二装置可以从第一装置接收元数据。第二装置对加密的数据流解密并基于所指示的位置识别数据流中的数据。然后，在第二装置处将数据例如加密在另一个数据流中。

当第一装置将数据的位置传输到第二装置时，该位置是从第一装置传输到第二装置的元数据的一部分。元数据可以作为加密的数据流的一部分(例如，在标头(header)中)进行传输。替代地，元数据可以与加密的数据流分开发送，换句话说，可以使用第一连接来传输加密的数据流，并且可以使用第二连接来传输元数据。

当数据流中的数据位置是第一装置与第二装置之间的预共享位置时，数据位于数据流中的预定位置。例如，预定位置可以是固定索引或硬编码的解析信息，例如TagLenValue中的Tag，例如，asn1序列或xml或json格式的特定字段。预定位置基于预共享位置，使得第二装置可以识别数据流中的数据。预定位置可以是数据流中的固定位置，或者是根据预共享位置的算法的位置。在此上下文中“预定”可以在传输数据流之前确定。

本公开的另外的方面涉及一种包括被配置为执行上述方法的步骤的处理器的系统、一种具有用于使计算机系统执行上述方法的步骤的计算机可执行指令的非瞬态计算机可读介质以及一种包括在由计算机执行时使计算机执行上述方法的步骤的指令的计算机程序产品。

现在参照附图通过举例说明的方式描述一些特定的实施方式，在附图中，相同的附图标记指代相同的特征。

参照图1，系统100包括第一装置102和第二装置104。第一装置102被布置为与第二装置104通信，并且第一装置和第二装置可以通过诸如互联网、局域网、无线局域网、广域网等网络连接。

第一装置102包括处理器120、应用程序模块122、网络格式化器124和隧道管理器126。应用程序模块122、网络格式化器124和隧道管理器126中的每一个都可操作地连接至处理器120。

应用程序模块122被布置为运行应用程序，该应用程序例如基于来自传感器的输入来输出数据。网络格式化器124从应用程序模块122接收数据和任何其他数据，并将数据格式化为数据流。网络格式化器124可以根据与第二装置的预共享位置(例如，共享秘密)将数据格式化在预定位置。替代地，网络格式化器124可以将数据在数据流中的位置发送到隧道管理器126。

隧道管理器126包括存储对称密钥T的流密钥数据库128。隧道管理器126被布置为使用对称密钥T对来自网络格式化器124的数据流加密。隧道管理器126被配置为将加密的数据流传输到第二装置104。隧道管理器126可以被配置为生成元数据并将该元数据发送到第二装置104。元数据可以包括数据在数据流中的位置、加密密钥和/或对加密密钥的引用。加密密钥可以是非对称密钥对中的私钥，或者可以是对称密钥。

第二装置104包括处理器140、隧道端点142、网络格式化器148、解密引擎150和应用程序模块152。隧道端点142、网络格式化器148、解密引擎150和应用程序模块152各自都可操作地连接至处理器140。

隧道端点142包括存储对称密钥T的副本的流密钥数据库144。可选地，隧道端点142包括加密密钥数据库146，其存储包括加密密钥D的一个或多个加密密钥。隧道端点142被布置为从第一装置102的隧道管理器126接收加密的数据流。

可以在设置期间向网络格式化器124和隧道端点142提供关于数据在数据流中的位置的预共享位置。这意味着数据的位置是预定的，并且隧道端点142被布置为基于数据的预定位置来识别数据流中的数据。

替代地，如果隧道管理器126被布置为向第二装置传输元数据，则隧道端点142被布置为从元数据中提取数据的位置。隧道端点142被布置为基于来自元数据的位置来识别数据流中的数据。

隧道端点142被布置为一旦在数据流中识别出数据，就对数据流内的数据加密。

网络格式化器148被配置为从隧道端点142接收具有加密的数据的数据流，并且提取(加密的)数据和任何其他数据。解密引擎150被布置为对从数据流中提取的数据解密(如果适用)。应用程序模块152被布置为处理数据。

图2示出了第一装置102的组件与第二装置104的组件之间的数据流200。

在步骤202中，应用程序模块122生成数据并将其发送到网络格式化器124。应用程序模块122还可以在步骤204中生成其他数据，并将其发送到网络格式化器124。

在步骤206中，网络格式化器124生成包括上述数据以及从步骤204接收的任何数据的数据流，并将该数据流传输到隧道管理器126。如果向第二装置104提供预共享位置，则网络格式化器124可以将数据并入到数据流中的预定位置。

在步骤208中，隧道管理器126使用来自流密钥数据库128的对称密钥T对数据流加密。例如，可以使用8位流密码对数据流加密，以最小化在第一装置处对数据流加密所需的处理能力。在步骤210中，将加密的数据流发送到第二装置104的隧道端点142。

如果不向第二装置104提供预共享位置，即网络格式化器124不将数据并入到数据流中的预定位置，则在步骤212中，网络格式化器124将数据在数据流中的位置传递到隧道管理器126。然后，在步骤214中，隧道管理器126将该位置打包到元数据中，并将其传输到隧道端点142。元数据可以在步骤214中作为在步骤210中发送的加密的数据流的一部分(例如，在数据流的标头中)进行传输。替代地，可以在步骤214中使用与用于发送在步骤210中发送的加密的数据流的连接不同的连接来发送元数据，例如，这些连接可以使用彼此不同的密码。步骤214可以在步骤210之前、与步骤210并行地或在步骤210之后发生，即，可以在加密的数据流的同时、之前或之后发送元数据。

在步骤216中，隧道端点142使用来自流密钥数据库144的对称密钥T对加密的数据流解密。

隧道端点142可以从在步骤214中发送给它的元数据中获取数据在数据流中的位置。替代地，如果数据的位置基于预共享位置，则隧道端点142例如在初始设置期间接收包括预共享位置的元数据，并将其硬编码到隧道端点142中。因此，隧道端点142可以从在设置期间发送给它的元数据中获取数据在数据流中的位置。

在步骤218中，隧道端点142使用数据的位置识别数据流中的数据。在步骤218中，隧道端点142例如使用加密密钥D对数据流内的数据加密。可以将加密密钥在步骤214中的元数据中从第一装置102传输到第二装置104。替代地，元数据可以指示来自加密密钥数据库146中可用的多个加密密钥中要使用的加密密钥。

在步骤220中，将具有加密的数据的数据流从隧道端点142传输到网络格式化器，并且网络格式化器148从数据流中提取加密的数据和任何其他数据。在步骤222中，网络格式化器148将加密的数据传输到解密引擎150。如果在数据流中存在任何其他数据，则在步骤224中，将其发送到第二装置104的应用程序模块152。

在步骤226中，解密引擎150对加密的数据解密。然后在步骤228中将数据发送到第二装置104的应用程序模块152。

图3示出了计算装置300的一种实现方式的框图，在其中可以执行用于使计算装置执行本文所讨论的任何一个或多个方法的一组指令。在替代实现方式中，计算装置可以连接(例如，联网)到局域网(LAN)、内联网、外联网或互联网中的其他机器。计算装置可以在客户端-服务器网络环境中以服务器或客户端计算机的能力进行操作，或者在对等(或分布式)网络环境中作为对等计算机进行操作。计算装置可以是个人计算机(PC)、平板计算机、机顶盒(STB)、网络设备、服务器、网络路由器、交换机或网桥，或者是能够(顺序地或以其他方式)执行一组指令的任何机器，该组指令指定该机器要执行的动作。此外，尽管仅示出了单个计算装置，但是术语“计算装置”也应被认为包括单独地或联合地执行用于执行本文所讨论的任何一个或多个方法的一组(或多组)指令的机器(例如，计算机)的任何集合。

示例性计算装置300包括通过总线330彼此通信的处理装置302、主存储器304(例如，只读存储器(ROM)、闪速存储器、诸如同步DRAM(SDRAM)或Rambus DRAM(RDRAM)的动态随机存取存储器(DRAM)等)、静态存储器306(例如，闪速存储器、静态随机存取存储器(SRAM)等)和辅助存储器(例如，数据存储装置313)。

处理装置302代表一个或多个通用处理器，例如微处理器、中央处理单元等。更特别地，处理装置302可以是复杂指令集计算(CISC)微处理器、精简指令集计算(RISC)微处理器、超长指令字(VLIW)微处理器、实现其他指令集的处理器或实现指令集的组合的处理器。处理装置302还可以是一个或多个专用处理装置，例如专用集成电路(ASIC)、现场可编程门阵列(FPGA)、数字信号处理器(DSP)、网络处理器等。处理装置302被配置为执行用于执行本文所讨论的操作和步骤的处理逻辑(指令322)。

计算装置300还可以包括网络接口装置303。计算装置300还可包括视频显示单元310(例如，液晶显示器(LCD))、字母数字输入装置312(例如，键盘或触摸屏)、光标控制装置314(例如，鼠标或触摸屏)和音频装置316(例如，扬声器)。

数据存储装置313可以包括一个或多个机器可读存储介质(或更具体地，一个或多个非瞬态计算机可读存储介质)323，在其上存储有体现本文所述的任何一个或多个方法或功能的一组或多组指令322。在计算机系统300执行指令322的过程中，指令322也可以全部或至少部分地驻留在主存储器304内和/或处理装置302内，主存储器304和处理装置302也构成计算机可读存储介质。

上述各种方法可以由计算机程序实现。该计算机程序可以包括被布置为指示计算机执行上述各种方法中的一种或多种方法的功能的计算机代码。可以将用于执行这样的方法的计算机程序和/或代码在一个或多个计算机可读介质或更一般地在计算机程序产品上提供给诸如计算机的装置。计算机可读介质可以是瞬态的或非瞬态的。一个或多个计算机可读介质可以是例如电子、磁性、光学、电磁、红外或半导体系统，或者是用于数据传输(例如，用于通过互联网下载代码)的传播介质。替代地，一个或多个计算机可读介质可以采用一种或多种物理计算机可读介质的形式，例如半导体或固态存储器、磁带、可移除计算机磁盘、随机存取存储器(RAM)、只读存储器(ROM)、刚性磁盘和光盘，例如CD-ROM、CD-R/W、DVD或蓝光光盘。

在一种实现方式中，本文所述的模块、组件和其他特征可以被实现为分立组件，或者被集成在诸如ASICS、FPGA、DSP或类似装置的硬件组件的功能中。

“硬件组件”是能够执行某些操作的有形(例如，非瞬态)物理组件(例如，一个或多个处理器的集合)，并且可以以某种物理方式进行配置或布置。硬件组件可以包括被永久配置为执行某些操作的专用电路或逻辑。硬件组件可以是或包括专用处理器，例如现场可编程门阵列(FPGA)或ASIC。硬件组件还可以包括由软件临时配置为执行某些操作的可编程逻辑或电路。

因此，短语“硬件组件”应被理解为包括可以被物理地构造、被永久地配置(例如，硬接线)或被临时地配置(例如，编程)为以某种方式操作或执行本文所述的某些操作的有形实体。

另外，可以将模块和组件实现为硬件装置内的固件或功能电路。此外，模块和组件可以以硬件装置和软件组件的任何组合或者仅以软件(例如，存储或以其他方式体现在机器可读介质或传输介质中的代码)来实现。

除非另有特别说明，否则从下面的讨论中可以明显看出，应理解的是，在整个说明书中，使用诸如“加密”、“接收”、“确定”、“比较”、“生成”、“发送”、“识别”之类的术语进行的讨论是指计算机系统或类似的电子计算装置的动作和处理，这些动作和处理将表示为计算机系统的寄存器和存储器内的物理(电子)量的数据操纵和转换为其他类似表示为计算机系统存储器或寄存器或其他这样的信息存储装置、传输装置或显示装置中的物理量的数据。

应理解的是，以上描述旨在说明而非限制。在阅读和理解以上描述之后，许多其他实现方式对于本领域技术人员而言将是显而易见的。尽管已经参照特定的示例性实现方式描述了本公开，但是将认识到，本公开不限于所描述的实现方式，而是可以在所附权利要求的精神和范围内通过修改和变更来实践。因此，说明书和附图应被认为是说明性的而不是限制性的。因此，本公开的范围应参照所附的权利要求书以及为这些权利要求书赋予的等效物的全部范围来确定。

Claims (14)

1.一种由物联网装置向第二装置传输数据的计算机实现的方法，该方法包括：

由所述物联网装置对数据流进行加密；

由所述物联网装置向第二装置指示数据在加密的数据流中的位置，所述位置作为所述数据流的一部分或基于所述数据流中的预定位置；以及

允许所述第二装置对所述加密的数据流解密以及对所述数据流中的被识别的数据加密。

2.根据权利要求1所述的计算机实现的方法，还包括：

由所述物联网装置向第二装置传输元数据，所述元数据包括所述数据在所述数据流中的位置。

3.根据权利要求2所述的计算机实现的方法，还包括：

由所述物联网装置使用第一连接来向第二装置传输所述加密的数据流，以及

由所述物联网装置使用第二连接来向第二装置传输所述元数据。

4.根据权利要求1所述的计算机实现的方法，其中，所述物联网装置是电池供电的物联网装置，所述数据流中的数据是传感器数据，并且所述第二装置是后端装置。

5.根据权利要求2或3所述的计算机实现的方法，其中所述元数据包括加密密钥，并且所述方法包括使所述第二装置使用所述加密密钥在第二数据流中对所述数据加密。

6.根据权利要求1所述的计算机实现的方法，其中，所述数据位于所述数据流中的所述预定位置。

7.一种物联网装置，被配置为在用于将数据从所述物联网装置传输到第二装置的系统中操作，

所述物联网装置包括处理器，该处理器被配置为：

接收数据流以及所述数据在所述数据流中的位置；

对所述数据流加密；以及

将加密的数据流传输到所述第二装置；以及

所述第二装置，该第二装置包括处理器，该处理器被配置为：

从所述物联网装置接收所述加密的数据流；

接收指示所述数据在所述数据流中的位置的元数据；

对所述加密的数据流解密；

基于所述位置识别所述数据流中的所述数据；以及

对所述数据流中的识别出的数据加密。

8.根据权利要求7所述的物联网装置，其中，所述物联网装置被布置为将所述元数据传输到所述第二装置，所述元数据指示所述数据在所述数据流中的位置。

9.根据权利要求7所述的物联网装置，其中，所述物联网装置是电池供电的物联网装置，所述数据流中的所述数据是传感器数据，并且所述第二装置是后端装置。

10.根据权利要求7所述的物联网装置，还包括应用程序模块、网络格式化器和隧道管理器，其中应用程序模块、网络格式化器和隧道管理器中的每一个可操作地连接到所述处理器。

11.根据权利要求10所述的物联网装置，其中应用程序模块被布置为运行应用程序，所述应用程序基于来自传感器的输入来输出数据，并且其中网络格式化器被配置为从应用程序模块接收数据并将数据格式化为数据流。

12.根据权利要求10所述的物联网装置，其中隧道管理器被配置为生成元数据并将所述元数据发送到第二装置，其中所述元数据包括数据在数据流中的位置以及加密密钥或对加密密钥的引用。

13.根据权利要求7所述的物联网装置，被配置为使用第一连接来传输所述元数据，并且使用第二连接来传输所述加密的数据流，其中所述连接使用彼此不同的密码。

14.一种计算机可读存储介质，包括指令，所述指令在由计算机执行时使所述计算机执行权利要求1至6中任一项所述的方法的步骤。