DE102015121223B4

DE102015121223B4 - Sicherer Verbindungsaufbau

Info

Publication number: DE102015121223B4
Application number: DE102015121223.4A
Authority: DE
Inventors: Angel Arturo POLO; Guoxin Xie
Original assignee: Avago Technologies General IP Singapore Pte Ltd
Current assignee: Avago Technologies International Sales Pte Ltd
Priority date: 2014-12-09
Filing date: 2015-12-07
Publication date: 2018-01-04
Anticipated expiration: 2035-12-08
Also published as: US10003581B2; US20160165649A1; HK1219830A1; CN105704645A; CN105704645B; DE102015121223A1

Abstract

Vorrichtung (102, 110, 114) mit: zumindest einer Prozessorschaltung (202), die konfiguriert ist zum: a) Empfangen (306) eines Ankündigungspakets (502) von einer Vorrichtung (102, 110, 114) über einen ersten Kanal; b) Erzeugen (308) eines Verbindungsanforderungspakets (504), das Steuerinformationen zum Aufbauen einer Verbindung (118, 120, 122) mit der Vorrichtung (102, 110, 114) über einen zweiten Kanal aufweist, in Erwiderung auf Empfang (306) des Ankündigungspakets (502); c) Verschlüsseln und Authentisieren (310) von zumindest einem Teil des Verbindungsanforderungspakets (504) basierend auf einem Verbindungszugangsschlüssel, der vorher mit der Vorrichtung (102, 110, 114) ausgetauscht wurde; d) Übertragen (312) des Verbindungsanforderungspakets (504) über den ersten Kanal; und e) Aufbauen (314) der Verbindung (118, 120, 122) mit der Vorrichtung (102, 110, 114) über den zweiten Kanal basierend auf den Steuerinformationen des Verbindungsanforderungspakets (504), wobei die zumindest eine Prozessorschaltung (202) weiterhin konfiguriert ist zum: Verschlüsseln und Authentisieren (310) von dem zumindest einen Teil des Verbindungsanforderungspakets (504) basierend auf dem Verbindungszugangsschlüssel und einem Zählerwert (642).

Description

TECHNISCHES GEBIET
Die vorliegende Offenbarung bezieht sich generell auf sicheren Verbindungsaufbau einschließlich sicheren Verbindungsaufbaus in/für Bluetooth Low Energy (BLE).
HINTERGRUND
Die Bluetooth-Low-Energy-Technik ist eine Drahtlosnetzwerktechnik mit Anwendungen in der Gesundheits-, der Fitness-, der Sicherheits- und der Heimunterhaltungsbranche, ebenso wie in anderen Branchen. Die BLE-Technik erlaubt es einer drahtlosen Vorrichtung, eine Verbindung mit einer anderen drahtlosen Vorrichtung aufzubauen, um den Austausch von Paketen zwischen den zwei drahtlosen Vorrichtungen zu ermöglichen. Eine Kommunikation zwischen den zwei drahtlosen Vorrichtungen kann jedoch von einem Lauscher von dem BLE-Verbindungsaufbau an verfolgt werden. Zum Beispiel kann ein Lauscher die Verbindung entdecken, wenn die Verbindung eingeleitet wird, und kann der Lauscher (z. B. durch Schnüffeln) Zeitsteuerungs- bzw. Zeitvorgabe- und Sprungmusterinformationen erlangen, die es dem Lauscher ermöglichen würden, den Kommunikationen zwischen den zwei drahtlosen Vorrichtungen zu folgen.
Der Artikel „Accelerated Connection Establishment (ACE) Mechanism for Bluetooth Low Energy” von Konstantin Mikhaylov in ”Personal, Indoor, and Mobile Radio Communication (PIMRC)”, 2014 IEEE 25^th Annual International Symposium, Seiten 1264 bis 1268 beschäftigt sich mit dem beschleunigen eines Verbindungsaufbaumechanismus für Bluetooth mit niedriger Energie. Ziel der Veröffentlichung ist es, die Effizienz des Verbindungsaufbaus für das Bluetooth-Niedrigenergie-Protokoll zu verbessern. Der vorgeschlagene Mechanismus ermöglicht eine signifikante Reduktion der Zeit und des Energieverbrauchs für den Aufbau einer Verbindung zwischen BLE-Vorrichtungen in einem Vielfachknoten-Szenario.
Die Amerikanische Patentanmeldung US 2013/0259230 A1 beschäftigt sich mit Bluetooth-Niedrigenergie-Modulen (BLE-Modulen). In einer BLE-Zentralvorrichtung wird ein Identitätsauflösungsschlüssel (RPA) erzeugt, der mit einer BLE-Peripherievorrichtung zusammenhängt. Der IRK-Schlüssel wird zu der BLE-Peripherie übertragen. Eine auflösbare Privatadresse (RPA) wird in der BLE-Zentralvorrichtung erzeugt, die dem IRK entspricht. In einem Anzeigekanal übertragene Pakete verwenden die RPA zur Übertragung an die BLE-Peripherie.
Die Masterarbeit „Bluetooth Low Energy – privacy enhancement for advertisement”; von Ping Wang; Norwegian University of Science and Technology; Juni 2014 beschäftigt sich mit der Geheimhaltung (privacy) in Bluetooth-Niedrigenergie-Netzwerken (BLE). Ankündigung (advertisement) ist ein Verfahren zur Verwendung einer Bluetoothvorrichtung zum Übertragen von Nachrichten an eine andere Bluetoothvorrichtung ohne Verbindung. Der Ankündiger (advertiser) überträgt periodisch Ankündigungspakete über BLE-Radiokanäle. Der Abtaster (Scanner) horcht auf Ankündigungsnachrichten von Ankündigern. Verbindungslose Ankündigungen über offene Radiokanäle erhöhen das Risiko von Geheimhaltungslecks. Die Masterarbeit beschäftigt sich mit der Verbesserung von geheimen Ankündigen zwischen Bluetoothvorrichtungen.
Die Amerikanische Patentanmeldung US 2014/0055243 A1 betrifft ein Verfahren und eine Vorrichtung zur sicheren Asset-Verfolgung unter Verwendung von BLE-Etiketten (BLE tags).
Es ist Aufgabe der vorliegenden Erfindung einen sicheren Verbindungsaufbau mit einer Vorrichtung zu ermöglichen.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Bestimmte Merkmale der gegenständlichen Technik sind in den beigefügten Patentansprüchen dargelegt. Zum Zweck der Erläuterung sind jedoch mehrere Ausführungsbeispiele der gegenständlichen Technik in den folgenden Figuren dargelegt.
1 veranschaulicht eine beispielhafte Netzwerkumgebung, in der ein System zum sicheren Verbindungsaufbau gemäß einer oder mehreren Implementierungen implementiert werden kann.
2 veranschaulicht eine beispielhafte drahtlose Vorrichtung gemäß einer oder mehreren Implementierungen.
3 veranschaulicht ein Ablaufdiagramm eines beispielhaften Prozesses von einer drahtlosen Vorrichtung, die eine Verbindungsanforderung überträgt, gemäß einer oder mehreren Implementierungen.
4 veranschaulicht ein Ablaufdiagramm eines beispielhaften Prozesses von einer drahtlosen Vorrichtung, die eine Verbindungsanforderung empfängt, gemäß einer oder mehreren Implementierungen.
5 veranschaulicht ein Zeitdiagramm für einen sicheren Verbindungsaufbau gemäß einer oder mehreren Implementierungen.
6 veranschaulicht ein beispielhaftes Sicherungs- bzw. Verbindungsschichtpaket, das ein Verbindungsanforderungspaket transportiert, gemäß einer oder mehreren Implementierungen.
7 veranschaulicht konzeptionell ein beispielhaftes elektronisches System, mit dem eine oder mehrere Implementierungen der gegenständlichen Technik implementiert werden kann oder können.
AUSFÜHRLICHE BESCHREIBUNG
Die nachstehend dargelegte ausführliche Beschreibung dient als Beschreibung von verschiedenen Konfigurationen der gegenständlichen Technik und ist nicht dazu bestimmt, die einzigen Konfigurationen darzustellen, in/mit denen die gegenständliche Technik ausgeführt werden kann. Die beigefügten Zeichnungen sind hierin eingebunden und stellen einen Teil der ausführlichen Beschreibung dar. Die ausführliche Beschreibung umfasst spezielle Einzelheiten zum Zweck der Schaffung eines gründlichen Verständnisses der gegenständlichen Technik. Die gegenständliche Technik ist jedoch nicht auf die speziellen Einzelheiten beschränkt, die hierin dargelegt sind, und kann unter Verwendung von einer oder mehreren Implementierungen ausgeführt werden. In einem oder mehreren Fällen sind Strukturen und Komponenten in Blockschaltbildform gezeigt, um zu vermeiden, dass die Konzepte der gegenständlichen Technik undeutlich sind.
1 veranschaulicht eine beispielhafte Netzwerkumgebung 100, in der ein System zum sicheren Verbindungsaufbau gemäß einer oder mehreren Implementierungen implementiert werden kann. Es können jedoch auch nicht alle der gezeigten Komponenten verwendet werden, und eine oder mehrere Implementierungen kann oder können zusätzliche Komponenten umfassen, die in den Figuren nicht gezeigt sind. Variationen der Anordnung bzw. Ausgestaltung und der Typen der Komponenten können vorgenommen werden, ohne von dem Kern der vorliegenden Offenbarung oder dem Umfang der Patentansprüche abzuweichen, wie sie hierin dargelegt sind. Es können zusätzliche, andere oder weniger Komponenten bereitgestellt sein.
Die beispielhafte Netzwerkumgebung 100 umfasst ein oder mehrere drahtlose Vorrichtungen 102, 110, 114. Die drahtlosen Vorrichtungen 102, 110, 114 können eine beliebige Vorrichtung sein, die zur Beteiligung in drahtlosen Kommunikationen fähig ist, wie etwa BLE-Kommunikationen, Bluetooth-Kommunikationen oder generell jeglichen drahtlosen Kommunikationen. Die drahtlosen Vorrichtungen 102, 110, 114 können jeweils ein oder mehrere Antennen 104, 112, 116 zur Kommunikation miteinander und/oder anderen Vorrichtungen umfassen. In einer oder mehreren Implementierungen können die ein oder mehreren Antennen 104, 112, 116 in den drahtlosen Vorrichtungen 102, 110, 114 intern sein und/oder in einem Gehäuse der drahtlosen Vorrichtungen 102, 110, 114 integriert sein. Die drahtlosen Vorrichtungen 102, 110, 114 können jeweils eine oder mehrere Prozessorschaltungen umfassen, wie es weiter unten mit Bezug auf 2 erörtert ist.
In einer oder mehreren Implementierungen können die drahtlosen Vorrichtungen 102, 110, 114, als nicht einschränkende Beispiele, Mobiltelefone, Tablets, Computer, tragbare Vorrichtungen, elektronische Zahlungsvorrichtungen, Videospielvorrichtungen, Garagentore, Garagentoröffner, Alarmtafeln, Lichtschalter, individuelle Innen- und Außenbeleuchtung, Heizungs-, Lüftungs- und Klimatisierungs-(HVAC-)Systeme, Heimsicherheitssysteme, Multimediavorrichtungen (z. B. Fernsehgeräte, Set-Top-Boxen, Empfänger, usw.), Tiermarken, Haushaltsgeräte (z. B. Kaffeemaschinen, Kühlschränke, Waschmaschinen, usw.), Fenster, automatische Lichtschutzeinrichtungen, Schlösser, Fitnessvorrichtungen, Medizinvorrichtungen, Überwachungsvorrichtungen, Babyphons, Rauchmelder, Kohlenmonoxiddetektoren, Kohlendioxiddetektoren und/oder Chips, die in einer beliebigen Vorrichtung eingebettet oder mit einer beliebigen Vorrichtung gekoppelt sind, umfassen.
In einer oder mehreren Implementierungen, kann die drahtlose Vorrichtung 102 ein Smartphone sein, während die drahtlosen Vorrichtungen 110, 114 Lichtquellen (oder in den Lichtquellen eingebettete Sensoren) sein können. Die drahtlose Vorrichtung 102 kann Anweisungen an die drahtlosen Vorrichtungen 110, 114 kommunizieren, wie etwa Anweisungen zum Ein- oder Ausschalten der Lichtquellen. In einer oder mehreren Implementierungen kann die drahtlose Vorrichtung 102 eine beliebige Vorrichtung mit einer Anzeige sein, während die drahtlosen Vorrichtungen 110, 114 Gesundheitsüberwachungsvorrichtungen wie etwa tragbare Gesundheitsüberwachungsvorrichtungen (oder in den Gesundheitsüberwachungsvorrichtungen eingebettete Sensoren) sein können. In dieser Situation können die drahtlosen Vorrichtungen 110, 114 mit einer Person in Zusammenhang stehende Informationen (z. B. Herzfrequenz, Blutzuckerspiegel, Temperatur, usw.) an die drahtlose Vorrichtung 102 bereitstellen, sodass diese Informationen durch die drahtlose Vorrichtung 102 verarbeitet, weitergeleitet und/oder angezeigt werden können.
In einer oder mehreren Implementierungen kann oder können eine oder mehrere der drahtlosen Vorrichtungen 102, 110, 114 gemäß einer BLE-Spezifikation arbeiten, wie sie etwa in den Bluetooth 4.0-, 4.1- und/oder 4.2-Standards beschrieben ist. In einer oder mehreren Implementierungen können die drahtlosen Vorrichtungen 102, 110, 114 gemäß einer Bluetooth Basic Rate/Enhanced Data Rate-Spezifikation arbeiten, wie sie etwa in den Bluetooth 4.0-, 4.1- und/oder 4.2-Standards beschrieben ist. In einer oder mehreren Implementierungen können die drahtlosen Vorrichtungen 102, 110, 114 gemäß anderen Kommunikationsprotokollen, Standards und/oder Spezifikationen arbeiten. Die Spezifikationen des Bluetooth^®-Systems, Versionen 4.0, 4.1 und 4.2, die am 30. Juni 2010, am 3. Dezember 2013 und am 2. Dezember 2014 veröffentlicht wurden, sind hierin mittels Bezugnahme in ihrer Gesamtheit eingebunden.
In einer oder mehreren Implementierungen kann oder können eine oder mehrere der drahtlosen Vorrichtungen 102, 110, 114 gleichzeitig Verbindungen mit einer oder mehreren der anderen drahtlosen Vorrichtungen 102, 110, 114 aufbauen. Zum Beispiel kann die drahtlose Vorrichtung 102 eine Verbindung 118 mit der drahtlosen Vorrichtung 110 aufbauen und gleichzeitig eine Verbindung 122 mit der drahtlosen Vorrichtung 114 aufbauen. Die Verbindungen 118, 122 können zum Beispiel BLE-Verbindungen, Bluetooth-Verbindungen oder beliebige andere drahtlose Verbindungen sein. Um die Verbindungen 118, 122 aufzubauen, können die drahtlosen Vorrichtungen 102, 110, 114 Verbindungsanforderungspakete über einen ersten Kanal übertragen, wie etwa einen Ankündigungs- bzw. Bekanntmachungskanal und/oder einen Overhead- bzw. Zusatzkanal, um die Verbindungen 118, 122 auf einem oder mehreren zweiten Kanälen, wie etwa Datenkanälen, einzuleiten. Die Verbindungsanforderungspakete können Steuerinformationen zum Einleiten der Verbindungen 118, 122 auf den zweiten Kanälen umfassen, wie etwa Zeitsteuerungs- bzw. Zeitvorgabeinformationen, Sprungmusterinformationen, usw. Somit kann eine lauschende Vorrichtung, die fähig ist, die Verbindungsanforderungspakete auf dem Ankündigungs- bzw. Bekanntmachungskanal abzufangen bzw. abzuhören und auf die darin enthaltenen Steuerinformationen zuzugreifen, in Stande sein, den drahtlosen Vorrichtungen 102, 110, 114 zu den bzw. auf die Verbindungen 118, 122 auf den Datenkanälen zu folgen. Ähnlich der drahtlosen Vorrichtung 102 können die drahtlosen Vorrichtungen 114, 110 gleichzeitig Verbindungen mit anderen drahtlosen Vorrichtungen aufbauen, was in 1 über Verbindungen 122, 118 und 120 gezeigt ist. In einer oder mehreren Implementierungen kann die drahtlose Vorrichtung 114 eine Verbindung 120 (z. B. ähnlich zu Verbindungen 118 und 122) mit der drahtlosen Vorrichtung 110 aufbauen. Die Verbindung 120 kann zum Beispiel eine BLE-Verbindung, eine Bluetooth-Verbindung oder eine beliebige andere drahtlose Verbindung sein.
In einer oder mehreren Implementierungen kann sich ein Kanal auf eine diskrete Frequenz oder ein Frequenzband beziehen, über die oder das die drahtlosen Vorrichtungen 102, 110, 114 kommunizieren. In einer oder mehreren Implementierungen können die Ankündigungs- bzw. Bekanntmachungskanäle durch die drahtlosen Vorrichtungen 102, 110, 114 zum gegenseitigen Auffinden, Einleiten der Verbindungen 118, 122, z. B. über eine Übertragung von Verbindungsanforderungspaketen, und/oder Rundsenden von Daten verwendet werden, während die Datenkanäle durch die drahtlosen Vorrichtungen 102, 110, 114 zum Kommunizieren von Daten nach Aufbau der Verbindungen 118, 122 verwendet werden können. In einer oder mehreren Implementierungen können die Ankündigungs- bzw. Bekanntmachungskanäle auf anderen Frequenzen arbeiten als die Datenkanäle.
In einer oder mehreren Implementierungen kann oder können ein oder mehrere der drahtlosen Vorrichtungen 102, 110, 114 sich gegenseitig paaren bzw. koppeln und/oder binden, bevor der Aufbau der Verbindungen 118, 122 eingeleitet wird. Als Teil des Paarungs- bzw. Kopplungs- und/oder Bindungsprozesses können die drahtlosen Vorrichtungen 102, 110, 114 eine sichere Übertragungsstrecke aufbauen und einen oder mehrere Schlüssel über die sichere Übertragungsstrecke austauschen. Die drahtlosen Vorrichtungen 102, 110, 114 können einen oder mehrere der ausgetauschten Schlüssel verwenden, um zumindest Teile der Pakete, die über den Ankündigungs- bzw. Bekanntmachungskanal übertragen werden, wie etwa der Verbindungsanforderungspakete, zu verschlüsseln, um den Aufbau der Verbindungen 118, 122 auf den Datenkanälen zu sichern. Somit, wenn die Steuerinformationen eines Verbindungsanforderungspaket verschlüsselt sind, kann eine lauschende Vorrichtung, die das Verbindungsanforderungspaket abfängt bzw. abhört, nicht fähig sein, auf die Steuerinformationen zuzugreifen, und wäre sie daher nicht fähig, den drahtlosen Vorrichtungen 102, 110, 114 zu den bzw. auf die Verbindungen 118, 122 auf den Datenkanälen zu folgen. Dementsprechend kann der Aufbau der Verbindungen 118, 122 auf den Datenkanälen gesichert werden, indem die Steuerinformationen der Verbindungsanforderungspakete, die auf den Ankündigungs- bzw. Bekanntmachungskanälen übertragen werden, verschlüsselt werden.
In einer oder mehreren Implementierungen kann die gegenständliche Technik eine Sicherung eines Bluetooth Basic Rate/Enhanced Data Rate-(BT-)Verbindungsaufbaus zwischen zwei drahtlosen Vorrichtungen gewährleisten, um zu verhindern, dass ein Lauscher die Informationen erlangt, die erforderlich sind, um den Kommunikationen zwischen den drahtlosen Vorrichtungen 102, 110, 114 von dem BT-Verbindungsaufbau an zu folgen, wie etwa eine Verwendung der Prozesse, die weiter unten unter Bezugnahme auf 3 und 4 beschrieben sind. Zum Beispiel können Frequenzsprungsynchronisations- bzw. Frequency-HOP-Synchronization-(FHS-)Pakete, z. B. unter Verwendung der nachstehend beschriebenen Prozesse, während eines Paging- und/oder Scanningprozesses verschlüsselt werden, um die BT-Adresse und die BT-Taktinformationen der drahtlosen Vorrichtungen 102, 110, 114 zu verschleiern.
2 veranschaulicht eine beispielhafte drahtlose Vorrichtung 102 gemäß einer oder mehreren Implementierungen. Es ist zu beachten, dass jedoch auch nicht alle der gezeigten Komponenten verwendet werden können und eine oder mehrere Implementierungen zusätzliche Komponenten umfassen kann oder können, die in der Figur nicht gezeigt sind. Variationen der Anordnung bzw. Ausgestaltung und der Typen der Komponenten können vorgenommen werden, ohne von dem Kern der vorliegenden Offenbarung oder dem Umfang der Patentansprüche abzuweichen, wie sie hierin dargelegt sind. Zusätzliche Komponenten, andere Komponenten oder wenige Komponenten können bereitgestellt sein.
Die beispielhafte drahtlose Vorrichtung 102 umfasst ein oder mehrere Prozessorschaltungen 202, einen Speicher 206 und ein oder mehrere Drahtlosschnittstellen 204. Die ein oder mehreren Drahtlosschnittstellen 204 können einen Aufbau von einer oder mehreren Verbindungen 118, 122 ermöglichen, wie etwa BLE-Verbindungen, Bluetooth-Verbindungen, WiFi-Verbindungen oder generell jegliche drahtlose Verbindungen. Die ein oder mehreren Drahtlosschnittstellen 204 können, über ein oder mehrere Antennen 104, Signale von anderen Vorrichtungen (z. B. der drahtlosen Vorrichtung 110 und/oder der drahtlosen Vorrichtung 114) empfangen und Signale an diese übertragen. In einer oder mehreren Implementierungen kann die Konfiguration der drahtlosen Vorrichtung 110 und/oder der drahtlosen Vorrichtung 114 gleich oder ähnlich der Konfiguration der drahtlosen Vorrichtung 102 sein, die in 2 gezeigt ist.
In einer oder mehreren Implementierungen kann oder können ein oder mehrere der Prozessorschaltungen 202, der Drahtlosschnittstellen 204 und/oder des Speichers 206 in Software (z. B. Unterroutinen und Code) implementiert werden. In einer oder mehreren Implementierungen kann oder können ein oder mehrere der Prozessorschaltungen 202, der Drahtlosschnittstellen 204 und/oder des Speichers 206 in Hardware (z. B. Application Specific Integrated Circuit (ASIC), Field Programmable Gate Array (FPGA), Programmable Logic Device (PLD), Steuereinheit, Zustandsmaschine, gategesteuerte Logikvorrichtung, diskrete Hardwarekomponenten oder beliebige andere geeignete Vorrichtungen) und/oder einer Kombination von diesen implementiert werden. Zusätzliche Merkmale und Funktionen dieser Module gemäß verschiedenen Aspekten der gegenständlichen Technik sind in der vorliegenden Offenbarung weiter beschrieben.
3 veranschaulicht ein Ablaufdiagramm eines beispielhaften Prozesses 300 von einer drahtlosen Vorrichtung 102, die eine Verbindungsanforderung überträgt, gemäß einer oder mehreren Implementierungen. Zu Erläuterungszwecken wird der beispielhafte Prozess 300 hierin hauptsächlich unter Bezugnahme auf die drahtlose Vorrichtung 102 gemäß 1 bis 2 beschrieben; der beispielhafte Prozess 300 ist jedoch nicht auf die drahtlose Vorrichtung 102 gemäß 1 bis 2 beschränkt, z. B. kann der beispielhafte Prozess 300 durch eine oder mehrere der drahtlosen Vorrichtungen 110, 114 durchgeführt werden, und/oder kann der beispielhafte Prozess 300 durch eine oder mehrere Komponenten der drahtlosen Vorrichtung 102 durchgeführt werden. Weiterhin sind zu Erläuterungszwecken die Blöcke des beispielhaften Prozesses 300 hierin als in Reihe oder linear auftretend beschrieben. Mehrere Blöcke des beispielhaften Prozesses 300 können jedoch parallel auftreten. Zusätzlich können die Blöcke des beispielhaften Prozesses 300 in einer anderen Reihenfolge als der gezeigten Reihenfolge durchgeführt werden, und/oder kann oder können ein oder mehrere der Blöcke des beispielhaften Prozesses 300 nicht durchgeführt werden.
Die drahtlose Vorrichtung 102 paart bzw. koppelt und/oder bindet sich mit ein oder mehreren anderen drahtlosen Vorrichtungen wie etwa der drahtlosen Vorrichtung 110 (302). In einer oder mehreren Implementierungen kann der Paarungs- bzw. Kopplungs- und/oder Bindungsprozess gemäß einer Spezifikation wie etwa einer Bluetooth- und/oder einer BLE-Spezifikation durchgeführt werden. Während des Bindungsprozesses können ein oder mehrere kryptographische Schlüssel, oder Verschlüsselungsschlüssel, über einen transportspezifischen Schlüsselverteilungsprozess erzeugt werden. In einem Beispiel können die ein oder mehreren kryptographischen Schlüssel einen Streckenschlüssel, wie etwa einen BLE-Streckenschlüssel, und/oder einen Langzeitschlüssel umfassen. Die drahtlosen Vorrichtungen 102, 110 können eine sichere Übertragungsstrecke, wie etwa eine verschlüsselte Übertragungsstrecke, unter Verwendung des Streckenschlüssels und/oder des Langzeitschlüssels aufbauen. Die drahtlose Vorrichtung 102 tauscht dann einen oder mehrere zusätzliche Verschlüsselungsschlüssel, wie etwa einen Verbindungszugangsschlüssel bzw. Verbindungsteilnahme- oder Verbindungseintrittsschlüssel, mit der drahtlosen Vorrichtung 110 über die sichere Übertragungsstrecke aus (304). In einer oder mehreren Implementierungen können die ein oder mehreren zusätzlichen Verschlüsselungsschlüssel einschließlich des Verbindungszugangsschlüssels während des transportspezifischen Schlüsselverteilungsprozesses erzeugt und/oder ausgetauscht werden. Die ein oder mehreren zusätzlichen Verschlüsselungsschlüssel können anstelle von und/oder zusätzlich zu dem Streckenschlüssel und/oder dem Langzeitschlüssel verwendet werden. Zum Beispiel kann der Verbindungszugangsschlüssel durch die drahtlose Vorrichtung 102 verwendet werden, um die Übertragung und/oder den Empfang von Verbindungsaufbauinformationen, wie etwa Verbindungsanforderungspaketen, zu sichern.
In einer oder mehreren Implementierungen können der vorgenannte Verbindungszugangsschlüssel und zugehörige Nonce und Zählerstartwerte, die nachstehend ausführlicher erörtert werden, ein Schlüssel und zugehörige Nonce und Zählerstartwerte sein, die nur zwischen den drahtlosen Vorrichtungen 102, 110 geteilt bzw. gemeinsam benutzt werden. Somit können die drahtlosen Vorrichtungen 102, 110 einen sicheren Schlüsselaustauschprozess für den Verbindungszugangsschlüssel durchführen, sobald die sichere Übertragungsstrecke aufgebaut ist. In einer oder mehreren Implementierungen kann die sichere Übertragungsstrecke nach Austausch der ein oder mehreren zusätzlichen Verschlüsselungsschlüssel getrennt und/oder geschlossen bzw. abgebaut werden.
Die drahtlose Vorrichtung 102 empfängt ein Ankündigungs- bzw. Bekanntmachungspaket von der drahtlosen Vorrichtung 110 über einen ersten Kanal wie etwa einen Ankündigungs- bzw. Bekanntmachungskanal (306). Das Ankündigungs- bzw. Bekanntmachungspaket kann darauf hinweisen, dass die drahtlose Vorrichtung 110 zum Aufbau einer Verbindung 118 mit der drahtlosen Vorrichtung 102 auf einem zweiten Kanal wie etwa einem Datenkanal verfügbar ist. Die drahtlose Vorrichtung 102 erzeugt, in Erwiderung auf Empfang des Ankündigungs- bzw. Bekanntmachungspakets (306), ein Verbindungsanforderungspaket, das Steuerinformationen zum Aufbauen der Verbindung 118 auf dem zweiten Kanal umfasst (308). Ein beispielhaftes Verbindungsanforderungspaket und die darin enthaltenen Steuerinformationen werden nachstehend mit Bezug auf 6 weiter erörtert.
Die drahtlose Vorrichtung 102 verschlüsselt zumindest einen Teil des Verbindungsanforderungspakets, wie etwa die Steuerinformationen des Verbindungsanforderungspakets, unter Verwendung von zumindest dem Verbindungszugangsschlüssel, der vorher mit der drahtlosen Vorrichtung ausgetauscht wurde (304), ebenso wie einem Zählerwert, und stellt einen Nachrichtenauthentisierungscode für diesen bereit (310). Der Zählerwert kann als Teil von einer Nonce für das Verschlüsselungsschema genutzt werden, wie etwa das AES-CCM-(Advanced Encryption Standard Counter with Cipher Block Chaining Message Authentication Code) Verschlüsselungs- und Authentisierungsschema. In einer oder mehreren Implementierungen kann der Zählerwert eine Paketsequenznummer, eine Verbindungssequenznummer oder eine andere Sequenznummer sein, die durch die drahtlosen Vorrichtungen 102, 110 synchronisiert und inkrementiert wird. Somit kann das durch die drahtlosen Vorrichtungen 102, 110 verwendete Verschlüsselungs- und Authentisierungsschema basierend auf zumindest dem Zählerwert synchronisiert werden.
In einer oder mehreren Implementierungen kann der verschlüsselte Teil des Verbindungsanforderungspakets zum Beispiel ein Zugriffsadressfeld, ein Übertragungsfenstergrößenfeld, ein Übertragungsfensterversatzfeld, ein Kanalabbildungsfeld, ein Sprungfeld und/oder beliebige andere Felder umfassen, die zum Verbindungsaufbau verwendet werden können. Der unverschlüsselte Teil des Verbindungsanforderungspakets kann zum Beispiel öffentliche oder zufällige Geräteadressen der drahtlosen Vorrichtungen 102, 110 umfassen. In einer oder mehreren Implementierungen kann dem Zugriffsadressfeld des Verbindungsanforderungspakets ein Zählerfeld vorangestellt werden, das den Zählerwert umfasst.
Die drahtlose Vorrichtung 102 überträgt das zumindest teilweise verschlüsselte Verbindungsanforderungspaket über den ersten Kanal an die drahtlose Vorrichtung 110 (312). Jegliche nachfolgenden Paketübertragungen zwischen den drahtlosen Vorrichtungen 102, 110 über den ersten Kanal, wie etwa Kommunikationen mit Bezug auf einen Aufbau einer Verbindung auf dem zweiten Kanal, können auch unter Verwendung des Verbindungszugangsschlüssels zumindest teilweise verschlüsselt und authentisiert werden. Die drahtlose Vorrichtung 102 baut eine Verbindung 118 mit der drahtlosen Vorrichtung 110 über den zweiten Kanal, wie etwa einen Datenkanal, zumindest teilweise basierend auf den verschlüsselten Steuerinformationen des Verbindungsanforderungspakets auf (314). Die drahtlose Vorrichtung 102 kann dann Daten über die Verbindung 118 über den zweiten Kanal an die drahtlose Vorrichtung 110 übertragen und/oder von dieser empfangen (316).
4 veranschaulicht ein Ablaufdiagramm eines beispielhaften Prozesses 400 von einer drahtlosen Vorrichtung 102, die eine Verbindungsanforderung empfängt, gemäß einer oder mehreren Implementierungen. Zu Erläuterungszwecken wird der beispielhafte Prozess 400 hierin hauptsächlich unter Bezugnahme auf die drahtlose Vorrichtung 102 gemäß 1 bis 2 beschrieben; der beispielhafte Prozess 400 ist jedoch nicht auf die drahtlose Vorrichtung 102 gemäß 1 bis 2 beschränkt, z. B. kann der beispielhafte Prozess 400 durch eine oder mehrere der drahtlosen Vorrichtungen 110, 114 durchgeführt werden, und/oder kann der beispielhafte Prozess 400 durch eine oder mehrere Komponenten der drahtlosen Vorrichtung 102 durchgeführt werden. Weiterhin sind zu Erläuterungszwecken die Blöcke des beispielhaften Prozesses 400 hierin als in Reihe oder linear auftretend beschrieben. Mehrere Blöcke des beispielhaften Prozesses 400 können jedoch parallel auftreten. Zusätzlich können die Blöcke des beispielhaften Prozesses 400 in einer anderen Reihenfolge als der gezeigten Reihenfolge durchgeführt werden, und/oder kann oder können ein oder mehrere der Blöcke des beispielhaften Prozesses 400 nicht durchgeführt werden.
Die drahtlose Vorrichtung 102 paart bzw. koppelt und/oder bindet sich mit einer oder mehreren anderen drahtlosen Vorrichtungen wie etwa der drahtlosen Vorrichtung 110 (402). Während des Bindungsprozesses können ein oder mehrere kryptographische Schlüssel, oder Verschlüsselungsschlüssel, über einen transportspezifischen Schlüsselverteilungsprozess erzeugt werden. In einem Beispiel kann oder können die ein oder mehreren kryptographischen Schlüssel einen Streckenschlüssel, wie etwa einen BLE-Streckenschlüssel, und/oder einen Langzeitschlüssel umfassen. Die drahtlose Vorrichtung 102, 110 kann eine sichere Übertragungsstrecke, wie etwa eine verschlüsselte Übertragungsstrecke, unter Verwendung des Streckenschlüssels und/oder des Langezeitschlüssels aufbauen. Die drahtlose Vorrichtung 102 tauscht dann einen oder mehrere zusätzliche Verschlüsselungsschlüssel, wie etwa einen Verbindungszugangsschlüssel bzw. Verbindungsteilnahme- oder Verbindungseintrittsschlüssel und zugehörige Nonce und Zählerstartwerte, über die sichere Übertragungsstrecke mit der drahtlosen Vorrichtung 110 aus (404).
Die drahtlose Vorrichtung 102 überträgt ein Ankündigungs- bzw. Bekanntmachungspaket an die drahtlose Vorrichtung 110 über einen ersten Kanal wie etwa einen Ankündigungs- bzw. Bekanntmachungskanal (406). Das Ankündigungsbzw. Bekanntmachungspaket kann darauf hinweisen, dass die drahtlose Vorrichtung 102 zum Aufbau einer Verbindung 118 mit der drahtlosen Vorrichtung 110 auf einem zweiten Kanal wie etwa einem Datenkanal verfügbar ist. Die drahtlose Vorrichtung 102 empfängt, in Erwiderung auf Empfang des Ankündigungs- bzw. Bekanntmachungspakets (406), ein zumindest teilweise verschlüsseltes Verbindungsanforderungspaket, das Steuerinformationen zum Aufbauen der Verbindung 118 auf dem zweiten Kanal umfasst (408). Ein beispielhaftes Verbindungsanforderungspaket und die darin enthaltenen Steuerinformationen werden nachstehend mit Bezug auf 6 weiter erörtert.
Die drahtlose Vorrichtung 102 entschlüsselt und authentisiert den zumindest einen Teil des Verbindungsanforderungspakets, wie etwa die Steuerinformationen des Verbindungsanforderungspakets, unter Verwendet von zumindest dem Verbindungszugangsschlüssel, der vorher mit der drahtlosen Vorrichtung ausgetauscht wurde (404), ebenso wie einem Zählerwert (410). Die drahtlose Vorrichtung 102 baut eine Verbindung 118 mit der drahtlosen Vorrichtung 110 über den zweiten Kanal, wie etwa einen Datenkanal, zumindest teilweise basierend auf den verschlüsselten Steuerinformationen des Verbindungsanforderungspakets auf (412). Die drahtlose Vorrichtung 102 kann dann Daten über die Verbindung 118 über den zweiten Kanal an die drahtlose Vorrichtung 110 übertragen und/oder von dieser empfangen (414).
5 veranschaulicht ein beispielhaftes Zeitdiagramm 500 für einen sicheren Verbindungsaufbau gemäß einer oder mehreren Implementierungen. In einer oder mehreren Implementierungen kann das Zeitdiagramm 500 Vorgänge widerspiegeln, die mit einer BLE-Spezifikation wie etwa dem Bluetooth 4.1-Standard im Einklang stehen. Es können jedoch auch nicht alle der gezeigten Komponenten verwendet werden, und eine oder mehrere Implementierungen kann oder können zusätzliche Komponenten umfassen, die in der Figur nicht gezeigt sind. Variationen der Anordnung bzw. Ausgestaltung und der Typen der Komponenten können vorgenommen werden, ohne von dem Kern der vorliegenden Offenbarung oder dem Umfang der Patentansprüche abzuweichen, wie sie hierin dargelegt sind. Es können zusätzliche, andere oder weniger Komponenten bereitgestellt sein.
Gemäß dem Zeitdiagramm 500 wird ein Ankündigungspaket 502 zu einer ersten Zeit über einen Ankündigungskanal empfangen, wie etwa durch die drahtlose Vorrichtung 102. Zum Beispiel kann die drahtlose Vorrichtung 110 das Ankündigungspaket 502 an die drahtlose Vorrichtung 102 als Teil eines Ankündigungsereignisses übertragen. Die drahtlose Vorrichtung 102 kann auf das Ankündigungspaket 502 durch Übertragung eines zumindest teilweise verschlüsselten Verbindungsanforderungspakets (z. B. CONNECT_REQ) 504 über den Ankündigungskanal an die drahtlose Vorrichtung 110 zu einer zweiten Zeit reagieren. Das Verbindungsanforderungspaket kann Steuerinformationen zum Aufbauen einer Verbindung über einen der Datenkanäle umfassen.
In einer oder mehreren Implementierungen kann, nach Übertragung des Verbindungsanforderungspakets 504, das Ankündigungsereignis abgeschlossen werden/sein, und kann die drahtlose Vorrichtung 102 den Einleitungszustand verlassen und in einen Verbindungszustand wechseln. Die drahtlose Vorrichtung 102 kann die Verbindung auf einem der Datenkanäle zumindest teilweise basierend auf den in dem Verbindungsanforderungspaket enthaltenen Steuerinformationen einleiten. Die drahtlose Vorrichtung 102 kann dann damit beginnen, das erste Paket über den Datenkanal in dem Verbindungszustand innerhalb eines Übertragungsfensters 504 zu senden. Das in dem Verbindungszustand durch die drahtlose Vorrichtung 102 gesendete erste Paket kann den Ankerpunkt für das erste Verbindungsereignis und damit die Zeitsteuerungen bzw. Zeitvorgaben für alle zukünftigen Verbindungsereignisse auf dieser Verbindung festlegen.
Wie es weiter unten unter Bezugnahme auf 6 beschrieben ist, kann das Verbindungsanforderungspaket 504 mehrer Parameter umfassen, wie etwa einen transmitWindowOffset-Parameter, einen transmitWindowSize-Parameter und einen connInterval-Parameter. In einer oder mehreren Implementierungen können die Parameter verwendet werden, um den Start des ersten Pakets in dem Verbindungszustand festzulegen, wie etwa nicht früher als 1,25 Millisekunden (ms) + transmitWindowOffset, und nicht später als 1,25 ms + transmitWindowOffset + transmitWindowSize nach Übertragung des Verbindungsanforderungspakets 504 auf dem Ankündigungskanal. In einer oder mehreren Implementierungen können die drahtlosen Vorrichtungen 102, 110 während des Verbindungszustands Übertragung und Empfang von Paketen über einen oder mehrere der Datenkanäle abwechseln. Das Verbindungsereignis kann offen sein, während beide drahtlosen Vorrichtungen damit fortfahren, Pakete zu senden.
6 veranschaulicht ein beispielhaftes Sicherungs- bzw. Verbindungsschichtpaket 610, das ein Verbindungsanforderungspaket 630 transportiert, gemäß einer oder mehreren Implementierungen. Es können jedoch auch nicht alle der gezeigten Komponenten verwendet werden, und eine oder mehrere Implementierungen kann oder können zusätzliche Komponenten umfassen, die in der Figur nicht gezeigt sind. Variationen der Anordnung bzw. Ausgestaltung und der Typen der Komponenten können vorgenommen werden, ohne von dem Kern der vorliegenden Offenbarung oder dem Umfang der Patentansprüche abzuweichen, wie sie hierin dargelegt sind. Es können zusätzliche, andere oder weniger Komponenten bereitgestellt sein.
In einer oder mehreren Implementierungen kann ein Verbindungsanforderungspaket in einem Sicherungs- bzw. Verbindungsschichtpaket 610 wie etwa einem BLE-Sicherungs-/Verbindungsschichtpaket entweder auf BLE-Ankündigungs- oder Datenkanälen transportiert werden. Das Sicherungs- bzw. Verbindungsschichtpaket 610 kann ein Präambelfeld 612, ein Zugriffsadressfeld 614, ein Protokolldateneinheit-(PDU-)Feld 616, und ein zyklische-Redundanz-Prüfung-(CRC-)Feld 618 umfassen. Das PDU-Feld 616, das in dem Sicherungs- bzw. Verbindungsschichtpaket 610 transportiert wird, kann eine Ankündigungskanal-PDU 620 sein. In einer oder mehreren Implementierungen weist das Präambelfeld 612 1 Byte auf, weist das Zugriffsadressfeld 614 4 Bytes auf und weist das CRC-Feld 618 3 Bytes auf. Die Ankündigungskanal-PDU 620 kann ein Header bzw. Kopffeld 622 und ein Nutzlastfeld 624 umfassen. In einer oder mehreren Implementierungen kann das Nutzlastfeld 624 eine Verbindungsanforderung-PDU 630 transportieren. Die Verbindungsanforderung-PDU 630 kann ein Initiatoradressfeld 632, bezeichnet als InitA, ein Ankündigeradressfeld 634, bezeichnet als AdvA, und ein Sicherungs- bzw. Verbindungsschichtdatenfeld 636, bezeichnet als LL-Daten, umfassen. Das Initiatoradressfeld 632 kann der Adresse der Vorrichtung entsprechen, die die Verbindungsanforderung-PDU 630 überträgt, während das Ankündigeradressfeld 634 der Adresse der Vorrichtung entsprechen kann, die die Verbindungsanforderung-PDU 630 empfängt.
In einer oder mehreren Implementierungen kann das Sicherungs- bzw. Verbindungsschichtdatenfeld 636 Steuerinformationen umfassen, wie etwa ein Zählerfeld 642, bezeichnet als Cntr; ein Zugriffsadressfeld 644, bezeichnet als AA; ein CRC-Initialisierungsfeld 646, bezeichnet als CRCInit; ein Übertagungsfenstergrößenfeld 648, bezeichnet als WinSize; ein Übertragungsfensterversatzfeld 650, bezeichnet als WinOffset; ein Intervallfeld 652; ein Latenzfeld 654; ein Timeout-Feld 656; ein Kanalabbildungsfeld 658, bezeichnet als ChM; ein Sprungfeld 660, bezeichnet als Hop; und/oder ein Ruhemodusuhrgenauigkeitsfeld 662, bezeichnet als SCA.
In einer oder mehreren Implementierungen kann dem Sicherungs- bzw. Verbindungsschichtdatenfeld 636 das Zählerfeld 642 vorangestellt sein. Das Zählerfeld 642 kann als Teil von einer Nonce (z. B. CCM-Nonce) für einen Verschlüsselungs- und Nachrichtenauthentisierungsprozess genutzt werden, wie etwa einen AES-CCM-Verschlüsselungs- und Nachrichtenauthentisierungsprozess. In einer oder mehreren Implementierungen kann das Zählerfeld 642 das einzige Feld in dem Sicherungs- bzw. Verbindungsschichtdatenfeld 636 sein, das in Klartext transportiert wird. Somit können die Steuerinformationen der Verbindungsanforderung-PDU 630, d. h. die restlichen Felder des Sicherungs- bzw. Verbindungsschichtdatenfelds 636, verschlüsselt werden/sein, wenn die Verbindungsanforderung-PDU 630 übertragen wird.
In einer oder mehreren Implementierungen können die Länge und der Inhalt der in 6 gezeigten Felder abhängig von der physikalischen Schicht, die verwendet wird, variieren. Die Länge von einem oder mehreren der Felder, wie etwa dem Präambelfeld 612, dem Zugriffsadressfeld 614, dem Kopffeld 622, dem Initiatoradressfeld 632 und dem Ankündigeradressfeld 634, sind von der Paketstruktur abhängig, die verwendet wird, und/oder die maximale Länge von der PDU oder der Nutzlast ist von der Paketstruktur abhängig, die verwendet wird. Beispiele von physikalischen Schichten, die verwendet werden können, umfassen BLE 1-Mbit und BLE 2-Mbit, BLE Long Range, sowie andere Datenraten, aus anderen physikalischen Schichten.
7 veranschaulicht konzeptionell ein beispielhaftes elektronisches System 700, mit dem eine oder mehrere Implementierungen der gegenständlichen Technik implementiert werden können. Das elektronische System 700 kann zum Beispiel eine oder mehrere der drahtlosen Vorrichtungen 102, 110, 114, ein oder mehrere tragbare Vorrichtungen, einen Desktopcomputer, einen Laptopcomputer, eine Tabletvorrichtung, ein Telefon und/oder generell jegliche elektronische Vorrichtung darstellen oder umfassen. Ein derartiges elektronisches System 700 umfasst verschiedene Typen von computerlesbaren Medien und Schnittstellen für verschiedene andere Typen von computerlesbaren Medien. Das elektronische System 700 umfasst einen Bus 708, eine oder mehrere Verarbeitungseinheiten 712, einen Systemspeicher 704, einen Festwertspeicher (ROM) 710, eine Permanentspeichervorrichtung 702, eine Eingabevorrichtungsschnittstelle 714, eine Ausgabevorrichtungsschnittstelle 706, eine oder mehrere Netzwerkschnittstellen 716 und/oder Untermengen und Variationen von diesen.
Der Bus 708 stellt kollektiv alle System-, Peripherie- und Chipsatzbusse dar, die die zahlreichen internen Einrichtungen des elektronischen Systems 700 in kommunikationsfähiger Weise verbindet. In einer oder mehreren Implementierungen verbindet der Bus 708 auf kommunikationsfähiger Weise die ein oder mehreren Verarbeitungseinheiten 712 mit dem ROM 710, dem Systemspeicher 704 und der Permanentspeichervorrichtung 702. Von diesen verschiedenen Speichereinheiten ruft oder rufen die ein oder mehreren Verarbeitungseinheiten 712 Anweisungen zur Ausführung und Daten zur Verarbeitung ab, um die Prozesse der gegenständlichen Offenbarung auszuführen. Die ein oder mehreren Verarbeitungseinheiten 712 können in unterschiedlichen Implementierungen einen einzigen Prozessor oder einen Mehrkernprozessor darstellen.
Der ROM 710 speichert statische Daten und Anweisungen, die durch die ein oder mehreren Verarbeitungseinheiten 712 und anderen Module des elektronischen Systems 700 genutzt werden. Die Permanentspeichervorrichtung 702 kann andererseits eine Lese-und-Schreib-Speichervorrichtung darstellen. Die Permanentspeichervorrichtung 702 kann eine nichtflüchtige Speichereinheit sein, die Anweisungen und Daten selbst dann speichert, wenn das elektronische System 700 ausgeschaltet ist. In einer oder mehreren Implementierungen kann eine Massenspeichervorrichtung (wie etwa eine magnetische oder optische Platte und deren entsprechendes Plattenlaufwerk) als die Permanentspeichervorrichtung 702 verwendet werden.
In einer oder mehreren Implementierungen kann eine wechselbare Speichervorrichtung (wie etwa eine Diskette, ein Speicherstick und deren/dessen entsprechendes Plattenlaufwerk) als die Permanentspeichervorrichtung 702 verwendet werden. Wie die Permanentspeichervorrichtung 702 kann der Systemspeicher 704 eine Lese-und-Schreib-Speichervorrichtung darstellen. Im Gegensatz zu der Permanentspeichervorrichtung 702 kann die Systemspeichervorrichtung 704 jedoch eine flüchtige Lese-und-Schreib-Speichervorrichtung sein, wie etwa ein Direktzugriffsspeicher (RAM). Der Systemspeicher 704 kann eine oder mehrere der Anweisungen und/oder Daten speichern, die die ein oder mehreren Verarbeitungseinheiten 712 zur Laufzeit nutzen kann oder können. In einer oder mehreren Implementierungen sind die Prozesse der gegenständlichen Offenbarung in dem Systemspeicher 704, der Permanentspeichervorrichtung 702 und/oder dem ROM 710 gespeichert. Von diesen verschiedenen Speichereinheiten fragt oder fragen die ein oder mehreren Verarbeitungseinheiten 712 Anweisungen zur Ausführung und Daten zur Verarbeitung ab, um die Prozesse von einer oder mehreren Implementierungen auszuführen.
Der Bus 708 verbindet auch die Eingabe- und Ausgabevorrichtungsschnittstellen 714 und 706. Die Eingabevorrichtungsschnittstelle 714 ermöglicht einem Nutzer, Informationen an das elektronische System 700 zu kommunizieren und Befehle an das elektronische System 700 auszuwählen. Eingabevorrichtungen, die mit der Eingabevorrichtungsschnittstelle 714 verwendet werden können, können zum Beispiel alphanumerische Tastaturen und Zeigevorrichtungen (die auch ”Cursorsteuerungsvorrichtungen” genannt werden) umfassen. Die Ausgabevorrichtungsschnittstelle 706 kann zum Beispiel die Anzeige von durch das elektronische System 700 erzeugten Bildern ermöglichen. Ausgabevorrichtungen, die mit der Ausgabevorrichtungsschnittstelle 706 verwendet werden können, können zum Beispiel Drucker und Anzeigevorrichtungen umfassen, wie etwa eine Flüssigkristallanzeige (LCD), einen Leuchtdioden-(LED-)Anzeige, eine Organische-Leuchtdioden-(OLED-)Anzeige, eine flexible Anzeige, eine Flachschirmanzeige, eine Festkörperanzeige, einen Projektor oder eine beliebige andere Vorrichtung zur Ausgabe von Informationen. Ein oder mehrere Implementierungen können Vorrichtungen umfassen, die sowohl als Eingabe- als auch Ausgabevorrichtungen fungieren, wie etwa einen Berührungsbildschirm. In diesen Implementierungen kann eine an den Benutzer gegebene Rückkopplung jegliche Form von sensorischer Rückkopplung sein, wie etwa visuelle Rückkopplung, auditive Rückkopplung oder taktile Rückkopplung; und kann eine Eingabe von dem Benutzer in jeglicher Form empfangen bzw. aufgenommen werden, einschließlich akustischer, sprachlicher oder taktiler Eingabe.
Wie es in 7 gezeigt ist, koppelt der Bus 708 das elektronische System 700 über eine oder mehrere Netzwerkschnittstellen 716 auch mit einem oder mehreren (nicht gezeigten) Netzwerken. Die ein oder mehreren Netzwerkschnittstellen können eine Bluetooth-Schnittstelle, eine BLE-Schnittstelle, eine Zigbee-Schnittstelle, eine Ethernet-Schnittstelle, eine Wi-Fi-Schnittstelle, eine Multimedia-Over-Coax-Alliance-(MoCA-)Schnittstelle, eine Reduced-Gigabit-Media-Independent-Interface (RGMII) oder generell jegliche Schnittstelle zur Verbindung mit einem Netzwerk umfassen. Auf diese Art und Weise kann das elektronische System 700 ein Teil von einem oder mehreren Netzwerken von Computern (wie etwa einem lokalen Netzwerk (LAN), einem Weitverkehrsnetzwerk (WAN) oder einem Intranet) oder einem Netzwerk von Netzwerken wie etwa dem Internet sein. Jede oder alle Komponenten des elektronischen Systems 700 kann oder können in Verbindung mit der gegenständlichen Offenbarung verwendet werden.

Claims

Vorrichtung (102, 110, 114) mit: zumindest einer Prozessorschaltung (202), die konfiguriert ist zum: a) Empfangen (306) eines Ankündigungspakets (502) von einer Vorrichtung (102, 110, 114) über einen ersten Kanal; b) Erzeugen (308) eines Verbindungsanforderungspakets (504), das Steuerinformationen zum Aufbauen einer Verbindung (118, 120, 122) mit der Vorrichtung (102, 110, 114) über einen zweiten Kanal aufweist, in Erwiderung auf Empfang (306) des Ankündigungspakets (502); c) Verschlüsseln und Authentisieren (310) von zumindest einem Teil des Verbindungsanforderungspakets (504) basierend auf einem Verbindungszugangsschlüssel, der vorher mit der Vorrichtung (102, 110, 114) ausgetauscht wurde; d) Übertragen (312) des Verbindungsanforderungspakets (504) über den ersten Kanal; und e) Aufbauen (314) der Verbindung (118, 120, 122) mit der Vorrichtung (102, 110, 114) über den zweiten Kanal basierend auf den Steuerinformationen des Verbindungsanforderungspakets (504), wobei die zumindest eine Prozessorschaltung (202) weiterhin konfiguriert ist zum: Verschlüsseln und Authentisieren (310) von dem zumindest einen Teil des Verbindungsanforderungspakets (504) basierend auf dem Verbindungszugangsschlüssel und einem Zählerwert (642).
Vorrichtung (102, 110, 114) gemäß Anspruch 1, wobei die Verbindung (118, 120, 122) eine Bluetooth-Low-Energy-(BLE-)Verbindung aufweist.
Vorrichtung (102, 110, 114) gemäß Anspruch 2, wobei der erste Kanal einen Ankündigungs- oder Datenkanal aufweist und der zweite Kanal einen Datenkanal aufweist.
Vorrichtung (102, 110, 114) gemäß einem der Ansprüche 1 bis 3, wobei die zumindest eine Prozessorschaltung (202) weiterhin konfiguriert ist zum: Paaren und Binden mit der Vorrichtung (102, 110, 114); Aufbauen einer sicheren Übertragungsstrecke mit der Vorrichtung (102, 110, 114) nach Abschluss des Paarens und Bindens; und Austauschen von dem Verbindungszugangsschlüssel, Nonce und Zählerstartwerten mit der Vorrichtung (102, 110, 114) über die sichere Übertragungsstrecke vor Empfang des Ankündigungspakets (502).
Vorrichtung (102, 110, 114) gemäß Anspruch 1, wobei die zumindest eine Prozessorschaltung (202) weiterhin konfiguriert ist zum: Synchronisieren des Verschlüsselns und Authentisierens (310) zumindest teilweise basierend auf dem Zählerwert (642) mit der Vorrichtung (102, 110, 114).
Vorrichtung (102, 110, 114) gemäß einem der Ansprüche 1 bis 5, wobei der zumindest eine Teil des Verbindungsanforderungspaktes (504), der verschlüsselt wird, zumindest Zeitsteuerungsinformationen und ein Sprungmuster aufweist, und ein anderer Teil des Verbindungsanforderungspakets (504), der nicht verschlüsselt wird, eine öffentliche Adresse der Vorrichtung (102, 110, 114) aufweist.
Verfahren für einen sicheren Verbindungsaufbau mit einer Vorrichtung (102, 110, 114), wobei das Verfahren aufweist: a) Übertragen eines Ankündigungspakets (502) an die Vorrichtung (102, 110, 114) über einen ersten Kanal, b) Empfangen eines Verbindungsanforderungspakets (504) in Erwiderung auf die Übertragung des Ankündigungspakets (502), wobei das Verbindungsanforderungspaket (504) Steuerinformationen aufweist, über über den ersten Kanal, und zumindest ein Teil des Verbindungsanforderungspakets (504) verschlüsselt ist; c) Entschlüsseln und Authentisieren des zumindest einen Teils des Verbindungsanforderungspakets (504) basierend auf einem Verbindungszugangsschlüssel, der vorher mit der Vorrichtung (102, 110, 114) ausgetauscht wurde; und d) Aufbauen einer Verbindung (118, 120, 122) mit der Vorrichtung (102, 110, 114) basierend auf den Steuerinformationen des Verbindungsanforderungspakets (504) über einen zweiten Kanal, wobei Entschlüsseln und Authentisieren von dem zumindest einen Teil des Verbindungsanforderungspakets (504) basierend auf dem Verbindungszugangsschlüssel, der vorher mit der Vorrichtung (102, 110, 114) ausgetauscht wurde, Entschlüsseln und Authentisieren von dem zumindest einen Teil des Verbindungsanforderungspakets (504) basierend auf dem Verbindungszugangsschlüssel und einem Zählerwert (642) aufweist.
Verfahren gemäß Anspruch 7, wobei die Verbindung (118, 120, 122) eine Bluetooth-Low-Energy-(BLE-)Verbindung aufweist.
Verfahren gemäß Anspruch 8, wobei der erste Kanal einen Ankündigungskanal aufweist und der zweite Kanal einen Datenkanal aufweist.
Verfahren gemäß einem der Ansprüche 7 bis 9, zusätzlich mit: Paaren und Binden mit der Vorrichtung (102, 110, 114); Aufbauen einer sicheren Übertragungsstrecke mit der Vorrichtung (102, 110, 114) nach Abschluss des Paarens und Bindens; und Austauschen von dem Verbindungszugangsschlüssel mit der Vorrichtung (102, 110, 114) über die sichere Übertragungsstrecke vor Empfang des Verbindungsanforderungspakets (504).
Verfahren gemäß Anspruch 7, zusätzlich mit: Synchronisieren des Entschlüsselns und Authentisierens zumindest teilweise basierend auf dem Zählerwert (642) mit der Vorrichtung (102, 110, 114).
Verfahren gemäß einem der Ansprüche 7 bis 11, wobei der zumindest eine Teil des Verbindungsanforderungspakets (504), der verschlüsselt ist, zumindest Zeitsteuerungsinformationen und ein Sprungmuster aufweist, und ein anderer Teil des Verbindungsanforderungspakets (504), der nicht verschlüsselt ist, eine öffentliche Adresse der Vorrichtung (102, 110, 114) aufweist.