EP4162378A1 - Vorrichtungen und verfahrenen zur einbindung eines geräts in ein local area network - Google Patents

Vorrichtungen und verfahrenen zur einbindung eines geräts in ein local area network

Info

Publication number
EP4162378A1
EP4162378A1 EP21729436.2A EP21729436A EP4162378A1 EP 4162378 A1 EP4162378 A1 EP 4162378A1 EP 21729436 A EP21729436 A EP 21729436A EP 4162378 A1 EP4162378 A1 EP 4162378A1
Authority
EP
European Patent Office
Prior art keywords
certificate
access point
lan
access
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP21729436.2A
Other languages
English (en)
French (fr)
Inventor
Matthias Jahner
Christoph SÖLLNER
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
BSH Hausgeraete GmbH
Original Assignee
BSH Hausgeraete GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by BSH Hausgeraete GmbH filed Critical BSH Hausgeraete GmbH
Publication of EP4162378A1 publication Critical patent/EP4162378A1/de
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3265—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/084—Access security using delegated authorisation, e.g. open authorisation [OAuth] protocol

Definitions

  • the invention relates to the efficient, reliable and convenient integration of a device, in particular a domestic appliance, in a local area network (LAN).
  • LAN local area network
  • This document deals with the technical task of enabling a particularly convenient, reliable and secure integration of a LAN-compatible device into a LAN.
  • a (possibly computer-implemented) method for integrating a device into a local area network (LAN), in particular into a wireless LAN is described.
  • the device can in particular be a domestic appliance, for example an oven, a refrigerator, a stove, a dishwasher, a washing machine, a dryer, a food processor, a coffee machine, etc.
  • the device can include a communication module that is designed to establish a wired and / or wireless LAN connection (in particular in accordance with IEEE 802.11) to an access point.
  • the method can be carried out by a (first) access point.
  • the device has a certificate that was derived from a device reference certificate.
  • the certificate can be derived from the device reference certificate along a device certificate chain via one or more intermediate certificates.
  • the device reference certificate of a specific entity e.g. the manufacturer of the device. Different certificates can then be generated from the device reference certificate for different devices of the entity and made available on the respective device.
  • the certificate can be stored in each case on a storage unit, in particular on a Trusted Platform Module (TPM) or another storage solution assessed as secure, of the respective device.
  • TPM Trusted Platform Module
  • the device can be designed to determine the device certificate chain from the device certificate, and / or the device can be set up to provide the device certificate chain in whole or in part.
  • the device certificate chain can be stored on the device, for example.
  • the reference certificate of an entity can be the root certificate of the entity or a certificate derived from the root certificate of the entity.
  • the term “device reference certificate” of a device is understood to mean the reference certificate of an entity from which the certificate of the device (i.e. the certificate that is stored on the device and / or that was assigned to the device) was derived.
  • the device reference certificate is thus a specific reference certificate of a specific entity (in particular the specific entity to which the device is assigned).
  • the method comprises checking whether the certificate of the device matches at least one reference certificate that is available at a first access point to a first (W) LAN.
  • it can be checked on the basis of the certificate of the device whether the device reference certificate (ie the reference certificate from which the certificate of the device was derived) is available at the first access point, in particular whether the device reference certificate is on a storage unit, for example on a TPM or another storage solution rated as secure, the first access point is stored.
  • a list with one or more reference certificates can be available.
  • This list can, for example, be provided in the first access point when the first access point is established.
  • the list with one or more reference certificates can be stored on a storage unit, in particular on a TPM, of the first access point. It can then be checked in an efficient and reliable manner whether the device reference certificate is in the list with one or more Reference certificates is included or not and / or whether the certificate of the device was derived from one of the reference certificates in the list (along a reference chain).
  • the method further comprises integrating the device into the first (W) LAN if it is determined that the certificate of the device was derived from at least one reference certificate available at the first access point.
  • the device can be integrated into the first LAN if, in particular only if, it is determined that the device reference certificate (ie the reference certificate from which the device certificate was derived) is included in the list with one or more reference certificates is, or if, in particular only if, it is determined that the device reference certificate is available at the access point, or if, in particular only if it is determined that the certificate of the device is from one available at the first access point Reference certificate was derived (and valid in terms of information security).
  • the process enables a device to be integrated into a (W) LAN in an efficient, convenient and secure manner.
  • the integration can take place automatically without a user having to enter access data (such as a pre-shared key (PSK)) to the LAN.
  • the integration can, for example, take place automatically when the device is started up.
  • the method can include determining one or more network units for which the device is authorized to access via the first LAN.
  • the one or more network units can be arranged in a wide area network (WAN) outside the first LAN (e.g. on the Internet).
  • the one or more network units can be included in the list stored on the first access point.
  • the one or more network units can be operated or provided by the entity to which the device reference certificate is assigned.
  • the integration of the device into the first LAN can be restricted to access to the one or more network units.
  • the first access point can have the effect that the device can only access the one or more network units and otherwise no further access Components of the first LAN or to other components of the WAN. In this way, the security of the (automatic) integration of the device can be further increased.
  • the method can include providing a communication connection between the device and the one or more network units via the first access point, in particular via a router of the first access point.
  • the communication connection can then be used, for example, for remote maintenance of the device (based on the one or more network units). It can thus be made possible for a manufacturer of devices to access devices in an efficient and reliable manner (since the devices automatically connect to the one or more network units (e.g. servers) of the manufacturer).
  • a list with one or more reference certificates can be available, in particular stored, at the first access point.
  • the list can display at least one network unit for which devices that have a certificate that matches the respective reference certificate have access authorization. This enables different entities to access the devices of the respective entity in an efficient and secure manner.
  • the method can include determining the device certificate chain between the certificate of the device and the device reference certificate, the device certificate chain indicating one or more intermediate certificates between the certificate of the device and the device reference certificate.
  • the device certificate chain can be sent in whole or in part, e.g. from the device to the first access point and received by the first access point. It can then be checked in a particularly efficient and precise manner on the basis of the device certificate chain whether the certificate of the device matches at least one reference certificate that is available at the first access point to the first LAN.
  • the first access point can be any access point in whose reception range the device is located. For example, in an urban environment, the first access point can be operated by a neighbor of the user of the device.
  • the first access point allows a first (temporary and / or restricted) Access to a LAN and above it to a WAN can be made possible. For full access to a LAN and / or to a WAN, it may be necessary that the device is (automatically) connected to a second access point (e.g. to an access point of the user).
  • the method can include determining at least one network unit for which the device is authorized to access via the first LAN.
  • the network unit can display at least one second access point to a second LAN.
  • This information can, for example, be stored in a user account of the user of the device on the network unit.
  • the access data to the second access point can be stored in the user account (e.g. the PSK to the second access point).
  • a communication connection can then be established between the device and the network unit via the first access point in order to enable the device to obtain the access data for the second access point from the network unit.
  • Automatic “reassignment” of the device from the first LAN to a second LAN can then be made possible, in particular in order to give the device within the second LAN unrestricted access to a LAN and / or to the WAN (for example the Internet) enable.
  • the convenience for the user can be further increased through the automatic integration into a second LAN.
  • the integration into the second LAN can be carried out, for example, to enable the user to control the device remotely (e.g. with a user device, e.g. a smartphone belonging to the user, which is integrated into the second LAN).
  • the device can be checked whether the device is to be remotely controlled by a user device.
  • the LAN into which the user device is integrated can then be determined.
  • the device can then be automatically integrated into the second LAN in order to enable remote control of the device by the user device.
  • These method steps can be carried out, for example, by an access point and / or by the device.
  • a (possibly computer-implemented) method for integrating a device into a LAN is described. The method can be carried out by the device.
  • the device has a certificate (for example on a TPM) that was derived from a device reference certificate.
  • the method comprises identifying a first access point for a first LAN at which a reference certificate is available which matches the certificate of the device, in particular which corresponds to the device reference certificate.
  • a suitable first access point which has the appropriate reference certificate.
  • the search for a suitable first access point can be initiated automatically by the device (without user interaction), e.g. when the device is started up for the first time.
  • the method also includes integrating the device into the first LAN via the first access point.
  • the device can connect to the first access point.
  • the access point can then enable (possibly restricted) access to the first LAN and / or to the WAN. This enables convenient and secure access of the device to a LAN and / or to a WAN.
  • the method includes accessing a network entity through the first access point.
  • the network unit (as already explained above) can display at least one second access point to a second LAN.
  • Access data e.g. a PSK
  • PSK PSK
  • the device can then (automatically) be integrated into the second LAN (and into the WAN via the second access point) using the access data to the second access point.
  • the device can (automatically) be logged off from the first access point.
  • This enables (possibly full) access to a second LAN (for example to the user's LAN) and via this to the WAN in a particularly convenient and secure manner.
  • the method can include setting up a communication connection to a network unit via the first access point.
  • the method can include the carrying out of a maintenance measure on the device by the network unit accessing the device via the first access point. It can thus be made possible for an entity (for example the manufacturer of the device) to carry out maintenance measures in an efficient and secure manner.
  • an access point (ie a device) to a LAN is described, the access point being set up to check whether a certificate of a device that is to be integrated into the LAN matches a reference certificate attached to the Access point is available.
  • the access point is also set up to integrate the device into the LAN if it is determined that the certificate of the device matches a reference certificate available at the access point.
  • the access point can be set up to allow at least restricted access to a WAN (e.g. to a restricted list of network units (e.g. servers and / or URLs (Uniform Resource Locator)).
  • the resources that a device with a specific certificate of an entity is allowed to use in the LAN and / or in the WAN can be stored on the access point and / or be permanently linked to a respective reference certificate on further routing components of the LAN.
  • This means that access can be automatically restricted based on the device's association with an entity. For example, a household appliance can only be authorized to establish a connection with just a single server on the Internet, e.g. the backend of the manufacturer of the household appliance.
  • a user or a network administrator can be shown an overview of which reference certificates are available on an access point. Furthermore, the linked authorizations (URLs, servers, protocol variants and the like) can be displayed in this representation.
  • the user or administrator can be given the option of downloading, installing, deleting, activating and / or deactivating certain reference certificates (from certain entities) via the user interface. With the deactivation or removal of a reference certificate, any authorization of all devices currently connected to the access point (which are assigned to the deleted reference certificate) typically expires immediately. In particular, the connection to the LAN for these devices can be interrupted.
  • a device which has a certificate that was derived from a device reference certificate.
  • the device is set up to identify a first access point for a first LAN at which a reference certificate is available which matches the certificate of the device, in particular which corresponds to the device reference certificate.
  • the device is further configured, in response to this, to bring about an integration into the first LAN via the first access point.
  • FIG. 1 shows a block diagram of a system for integrating a device into a LAN
  • FIG. 2a shows an exemplary certificate list
  • FIG. 2b shows an exemplary certificate chain
  • FIGS. 3a and 3b are flow charts of exemplary methods for integrating a device into a LAN.
  • FIG. 1 shows an exemplary system 100 with a LAN-compatible device 130.
  • the system 100 comprises a first access point 110 (eg a router) to a first (W) LAN 111 and a second access point 120 (eg a router) to a second (W) LAN 121.
  • the device 130 can comprise a communication module 132 which enables the device 130 to be connected to the first LAN 111 (for a first LAN connection 112) and / or to the second LAN 121 (for a second LAN connection 122).
  • the device 130 can have a control module 131, which is designed to control actions of the device 130.
  • the access points 110, 120 can each be set up to set up a communication connection 113, 123 to a network unit 102 (e.g. with a server, e.g. in a cloud) in a wide area network, WAN, (e.g. the Internet).
  • the LANs 111, 121 can include, in particular be, wireless LANs (WLAN).
  • This document describes a method in which a network device 130 automatically receives, possibly full, network access and at least one access to a remote network unit 102 (e.g. to a network unit 102 of a manufacturer of the device 130).
  • a network access set up automatically in this way can be used by the network unit 102 to provide one or more services, such as a firmware update of the device 130, for example.
  • This can, if necessary, be set up and / or offered automatically without interaction with the user, e.g. when the device 130 is started up for the first time (possibly only with the consent of the user).
  • auxiliary LAN 111 e.g. via the LAN 111 of a neighbor.
  • the auxiliary access point 110 can be limited to enabling the connection of the device 130 to the network unit 102.
  • the device 130 can be linked to one or more user accounts of the user (on the network unit 102) via a method such as the OAUTH (Open Authorization) Device Grant.
  • the device 130 can optionally also receive access information to the network infrastructure, in particular to the access point 120, of the user.
  • the device 130 can be integrated into the LAN 121 of the user. The previously possibly isolated and / or restricted ok
  • (W) LAN access via the auxiliary access point 110 can thereby be converted to unrestricted access by the device 130 via a second access point 120.
  • the device 130 is then a full-fledged, authenticated network device in the (W) LAN 121 of the user.
  • a method is thus described with which a network-capable device 130 can be initially integrated into an (auxiliary) network 111, if necessary without interaction with a user, and automatically receives one or more authorizations for a specific resource 102, for example on a specific computer on the Internet. In particular, it can be conveyed to a user which device 130 has access to which resource 102.
  • An entity e.g. the manufacturer of a device 130 or the WIFI Alliance, can provide an infrastructure for private keys through which certificates are issued.
  • the certificates issued preferably correspond to a common standard, e.g. x.509. Certificates can then be stored (suitably coded) on the components involved, in particular on one or more devices 130 and on one or more access points 110, 120.
  • Private keys can be stored securely on so-called Trusted Platform Modules (TPM) and, if necessary, can be generated on the respective TPMs.
  • TPM Trusted Platform Modules
  • the PKI Public Key Intrastructure
  • All other certificates can be derived from the root certificate via one or more intermediate certificates (possibly also multi-level).
  • a certificate tree can be created which is one-to-one for the devices 130 of the respective group, and the leaves of which are specific subtrees (for example "Factory 1", "Factory 2"). , ...) can be assigned.
  • the certificate tree of an entity (for example a manufacturer) can have a root certificate from which all certificates of the group of devices 130 of the entity are derived.
  • the certificates and / or intermediate certificates can be created with suitable metadata, by means of which, for example, information on the respective issuing entity of the respective certificate is provided.
  • the validity of a certificate can be checked at any time using suitable protocols and / or services such as OCSP (Online Certificate Status Protocolj-Responding and / or OCSP-Stapling. Furthermore, the exchange of certificates in different network devices 130 can be carried out using suitable, possibly standardized Methods to be implemented.
  • suitable protocols and / or services such as OCSP (Online Certificate Status Protocolj-Responding and / or OCSP-Stapling.
  • OCSP Online Certificate Status Protocolj-Responding and / or OCSP-Stapling.
  • the exchange of certificates in different network devices 130 can be carried out using suitable, possibly standardized Methods to be implemented.
  • a network device 130 can be provided with a digital identity and with at least one certificate, for example during manufacture.
  • the certificate can be signed by one of the intermediate certificates of the corresponding subtree of the certificate tree and securely stored in the device together with the private key within a suitable memory (e.g. a TPM).
  • the certificate chain can be stored in the device 130 up to the root certificate or up to a reference certificate derived from the root certificate and can, for example, be transmitted to an access point 110, 120 when establishing a connection, or can be transferred to the access point 110, 120 via another mechanism be made known.
  • the Internet address under which the respective root certificate can be called up can also be stored in the certificate of the device 130.
  • the root certificate or the reference certificate derived from the root certificate for a group of devices 130 can be provided in one or more access points or routers 110, 120.
  • the manufacturers or the WIFI Alliance participating in the system 100 can transmit copies of their respective root certificates (or reference certificates derived therefrom) to the access points or routers 110, 120 in a suitable manner. Similar to the certificate store of a web browser, an access point 110, 120 thus receives information about
  • Trust relationships which, if necessary, can already be established when the access point 110, 120 is established.
  • 2a shows an exemplary list 200 with one or more master or reference certificates 201 for corresponding one or more entities (eg manufacturer).
  • entities eg manufacturer
  • at least one network unit 102 for example at least one Internet server
  • the one or more network units 102 can be listed within the list 200 in a field 202 for access rights.
  • the certificate chain 210 shows an exemplary certificate chain 210 with one or more intermediate certificates 212 between the device reference certificate 211 of an entity and the certificate 213 of the device 130.
  • the certificate chain 210 can be stored on the device 130. All intermediate certificates 212 and the device certificate 213 are derived sequentially from the device reference certificate 211.
  • the device reference certificate 211 of an entity e.g. a device manufacturer
  • different device certificates 213 for different devices 130 can be derived from the reference certificate 211 and / or from an intermediate certificate 212.
  • a device 130 can, if necessary, begin using a suitable method, for example the Device Provisioning Protocol (DPP), to search for a suitable access point 110 in which the root or reference certificate 201, 211 is stored for the certificate 213 of the device 130.
  • DPP Device Provisioning Protocol
  • the exact procedure is specified by the protocol used in each case.
  • a secure LAN connection 112 to the access point 110 can be established with the aid of the public key and the respective certificate chain 210 can be transmitted.
  • the certificate chain 210 provided has a sufficient depth to enable the access point 110 to be able to assign the certificate chain 210 provided by the device 130 to an internally existing root certificate 201. If the certificate chain 210 could be successfully assigned, at least one resource 102 can then be released for the device 130.
  • Device 130 can be provisioned with dynamically determined data from higher protocol layers.
  • the authorization required for this can be provided, for example, by a shared secret (which, however, requires the previous exchange of the secret, eg a password).
  • an access authorization can be granted automatically (without prior exchange of a secret). In this way, a connection can be set up in a particularly convenient and efficient manner. In particular, after the device 130 has been switched on, the connection 112 to the access point 110 can be set up automatically, and the access point 110 then automatically grants access to higher-level protocols and / or access to one or more specific routing destinations 102.
  • a network device 130 from a manufacturer known to the access point 110 can be automatically activated for (at least or precisely) one network unit 102 explicitly specified in the master or reference certificate 201, 211, for example. No user interaction is required for access to the network unit 102.
  • access to other resources for example the local internal network 110 and / or other destinations / endpoints in the Internet, can be prevented.
  • 211 it can be recorded which one or more Internet addresses (“domain names”) the devices 130 of a specific root certification authority or a specific entity should have access to. Access can then be restricted by the access point 110 to the explicitly specified Internet addresses. Data traffic originating from a device 130 to other addresses or via other protocols can then be automatically discarded by the access point 110.
  • domain names the devices 130 of a specific root certification authority or a specific entity should have access to.
  • Access can then be restricted by the access point 110 to the explicitly specified Internet addresses.
  • Data traffic originating from a device 130 to other addresses or via other protocols can then be automatically discarded by the access point 110.
  • the data traffic of the device 130 can be automatically blocked by the access point 110.
  • the user can a selection is offered as to whether the device 130 concerned should be authorized manually.
  • the device 130 can make a selection for the preferred access point 110, 120 using a suitable method (e.g. depending on the respective highest signal strength and / or the highest data rate) meeting. In this case, it may also be possible to select an access point 110, 120 that is not operated by the user (but, for example, by a neighbor).
  • a suitable method e.g. depending on the respective highest signal strength and / or the highest data rate
  • a subsequent integration into a further second LAN 121 can take place (e.g. to enable unrestricted integration and / or unrestricted access).
  • the second LAN 121 can be the LAN operated by the user.
  • WPS Wi-Fi Protected Setup
  • the WIFI password can be entered and / or any other method such as captive portal and soft access point can be used.
  • the user can be provided with a user account on the network unit 102, in which, for example, the access point 120 of the user is registered.
  • An access point assignment including the access data of the one or more network devices 130 of the user to a specific access point 120 can be managed in the user account. It can thereby be made possible to integrate a device 130, which is initially connected to the network unit 102 via an external access point 110, into the user account.
  • the OAUTH Device Grant method for example, can be used for this purpose.
  • the network unit 102 can select a suitable access point 120 for the device 130 (eg depending on the signal strength of the possible access points 120 observed by the network device 130).
  • the access data required for access to the selected access point 120 can then be transmitted to the network device 130.
  • the device 130 can then automatically connect to the access point 120.
  • it can be made possible for a user to configure an access point 110, 120 manually (via a user interface).
  • a user can access an access point 110, 120 via a user device 140 (for example a smartphone or a computer) (for example via a LAN connection 124) in order to obtain the list 200 with one or more root or reference certificates 201, 211 and / or with entries 202 for the access rights to one or more network units 102.
  • a user device 140 for example a smartphone or a computer
  • a LAN connection 124 for example via a LAN connection
  • An access point 110, 120 can, for example, provide the user with an overview (e.g. via the user interface), e.g. with the following information and / or with the following options:
  • the one or more installed root or reference certificates 201 can be displayed;
  • One or more parameters for each root or reference certificate 201 or the necessary authorizations for this can be displayed, e.g .: end point (s) 102 in the Internet, data rate, services, protocols, required resources, etc .;
  • a status per network device 130 can be displayed, eg connection active, current data rate, accumulated data volume, services used (“manufacturer backend”, “time server”, 7), error states (“master or reference certificate expired”,. ..); and or
  • a general setting can be made, such as a notification setting when a new device 130 has connected using the method described or wishes to establish a connection.
  • This information can optionally be retrievable in the local network 111, 121 via methods and protocols, for example uPNP or HTTP, and can optionally be evaluated and changed by suitable agents, mobile devices 140, web browsers or the like.
  • the measures described in this document can enable a user of a device 130 to integrate the device 130 into a LAN 111, 121 in a particularly convenient and secure manner and, if necessary, to connect it to a network unit 102 in a WAN (e.g. for maintenance activities , for a firmware update, etc.).
  • FIG. 3a shows a flowchart of an exemplary method 300 for integrating a device 130, in particular a domestic appliance, for example a food processor, an oven, a washing machine, a stove, a refrigerator, a dishwasher, a dryer, etc., into a local area network (LAN) 111, and possibly over it in a WAN.
  • the method 300 can be carried out by an access point 110 (in particular by a router) to a LAN 111.
  • the access point 110 can be designed to provide a wireless LAN (WLAN).
  • WLAN wireless LAN
  • the device 130 can have a certificate 213 which was derived from a device reference certificate 211.
  • the certificate 213 of the device 130 can have been generated from the device reference certificate 211 via a certificate chain 210 (with one or more intermediate certificates 212).
  • the device 130 can be designed to provide the certificate chain 210.
  • the certificate 213 of the device and the certificate chain 210 that may be kept available can be stored on a Trusted Platform Module (TPM) of the device 130.
  • TPM Trusted Platform Module
  • the method 300 comprises checking 301 whether the certificate 213 of the device 130 matches at least one reference certificate 201 that is available at a first access point 110 to a first LAN 111. In particular, it can be checked whether the device reference certificate 211 of the entity (ie the reference certificate 201, 211 from which the certificate 213 of the device 130 was derived) is available at the first access point 110.
  • a list 200 with one or more reference certificates 201 can be stored on a storage unit, in particular on a TPM, of the first access point 110.
  • At least one network unit 102 can be specified for each reference certificate 201 (as list entry 202), for which access via the first access point 110 is enabled if the device 130 has a certificate 213 that matches the respective reference certificate 201.
  • Access points 110 in particular routers can thus be provided which enable automatic (limited) LAN and possibly Internet access for selected devices 130.
  • the method 300 further includes integrating 302 the device 130 into the first LAN 111 if (possibly only if) it is determined that the certificate 213 of the device 130 matches at least one reference certificate 201 available at the first access point 110.
  • the integration 302 can take place automatically without the user of the device 130 having to make an entry. Convenient and secure access to a LAN 111 and / or to a network unit 102 in a WAN can thus be made possible.
  • FIG. 3b shows a flowchart of an exemplary method 310 for integrating a device 130 into a LAN 111, 121 and / or into a WAN.
  • the method 310 can be carried out by the device 130 in a complementary manner to the method 300.
  • the device 130 has a certificate 213 which was derived from a device reference certificate 211 of an entity.
  • the method 310 comprises the identification 311 of a first access point 110 for a first LAN 111 at which a reference certificate 201 of an entity is available which matches the certificate 213 of the device 130, in particular which corresponds to the device reference certificate 211.
  • the device 130 can, if necessary, contact several different access points 110, 120.
  • the certificate 213 of the device 130 (in particular the certificate chain 210 of the device 130) can then be sent to the respective access point 110, 120.
  • the respective access point 110, 120 can then check whether the reference certificate 201 that matches the certificate 213 (in particular the device reference certificate 211) is available on the respective access point 110, 120.
  • the process of identifying 311 a suitable access point 110 can be initiated automatically by the device 130 (without input by the user), for example when the device 130 is started up.
  • the method 310 further comprises integrating 312 the device 130 into the first LAN 111 via the (identified) first access point 110. This enables convenient and secure access to a LAN 111 (in particular a WLAN).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

Es wird ein Verfahren (300) zur Einbindung eines Geräts (130) in ein LAN (111) beschrieben, wobei das Gerät (130) ein Zertifikat (213) aufweist, das aus einem Geräte-Referenzzertifikat (211) abgeleitet wurde. Das Verfahren (300) umfasst das Überprüfen (301), ob das Zertifikat (13) des Geräts (130) zu zumindest einem Referenzzertifikat (201) passt, das an einem ersten Zugangspunkt (110) zu einem ersten LAN (111) verfügbar ist. Des Weiteren umfasst das Verfahren (300) das Einbinden (302) des Geräts (130) in das erste LAN (111), wenn ermittelt wird, dass das Zertifikat (213) des Geräts (130) zu zumindest einem an dem ersten Zugangspunkt (110) verfügbaren Referenzzertifikat (201) passt.

Description

Vorrichtungen und Verfahrenen zur Einbindung eines Geräts in ein Local Area Network
Die Erfindung betrifft die effiziente, zuverlässige und komfortable Einbindung von einem Gerät, insbesondere einem Hausgerät, in ein Local Area Network (LAN).
Wenn ein Nutzer ein neues, LAN-fähiges, Gerät, insbesondere ein neues Hausgerät, zu sich nach Hause bringt, muss der Nutzer dieses Gerät typischerweise zunächst mit einem relativ hohen Zeitaufwand in sein LAN einbinden.
Das vorliegende Dokument befasst sich mit der technischen Aufgabe, eine besonders komfortable, zuverlässige und sichere Einbindung eines LAN-fähigen Geräts in ein LAN zu ermöglichen.
Die Aufgabe wird jeweils durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Ausführungsformen sind insbesondere in den abhängigen Patentansprüchen definiert, in nachfolgender Beschreibung beschrieben oder in der beigefügten Zeichnung dargestellt.
Gemäß einem Aspekt der Erfindung wird ein (ggf. Computer-implementiertes) Verfahren zur Einbindung eines Geräts in ein Local Area Network (LAN), insbesondere in ein Wireless LAN, beschrieben. Das Gerät kann insbesondere ein Hausgerät, etwa ein Ofen, ein Kühlschrank, ein Herd, eine Spülmaschine, eine Waschmaschine, ein Trockner, eine Küchenmaschine, eine Kaffeemaschine, etc., sein. Das Gerät kann ein Kommunikationsmodul umfassen, das ausgebildet ist, eine drahtgebundene und/oder eine drahtlose LAN Verbindung (insbesondere gemäß IEEE 802.11) zu einem Zugangspunkt (auf Englisch Access Point) aufzubauen. Das Verfahren kann durch einen (ersten) Zugangspunkt ausgeführt werden.
Das Gerät weist ein Zertifikat auf, das aus einem Geräte-Referenzzertifikat abgeleitet wurde. Das Zertifikat kann dabei entlang einer Geräte-Zertifikatskette über ein oder mehrere Zwischenzertifikate aus dem Geräte-Referenzzertifikat hergeleitet worden sein. Dabei kann das Geräte-Referenzzertifikat einer bestimmten Entität (z.B. dem Hersteller des Geräts) zugeordnet sein. Es können dann aus dem Geräte-Referenzzertifikat für unterschiedliche Geräte der Entität unterschiedliche Zertifikate generiert und auf dem jeweiligen Gerät bereitgestellt werden. Dabei kann das Zertifikat jeweils auf einer Speichereinheit, insbesondere auf einem Trusted-Platform-Module (TPM) oder einer anderen als sicher bewerteten Speicherlösung, des jeweiligen Geräts gespeichert sein. Das Gerät kann ausgebildet sein, aus dem Zertifikat des Geräts die Geräte- Zertifikatskette zu ermitteln, und/oder das Gerät kann eingerichtet sein, die Geräte- Zertifikats kette ganz oder teilweise bereitzustellen. Die Geräte-Zertifi katskette kann z.B. auf dem Gerät gespeichert sein.
Das Referenzzertifikat einer Entität kann das Stammzertifikat der Entität oder ein von dem Stammzertifikat der Entität abgeleitetes Zertifikat sein. Unter dem Betriff „Geräte- Referenzzertifikat“ eines Geräts wird in diesem Dokument das Referenzzertifikat einer Entität verstanden, aus dem das Zertifikat des Geräts (d.h. das Zertifikat, das auf dem Gerät gespeichert ist und/oder das dem Gerät zugewiesen wurde) abgeleitet wurde. Bei dem Geräte-Referenzzertifikat handelt es sich somit um ein bestimmtes Referenzzertifikat einer bestimmten Entität (insbesondere der bestimmten Entität, der das Gerät zugeordnet ist).
Das Verfahren umfasst das Überprüfen, ob das Zertifikat des Geräts zu zumindest einem Referenzzertifikat passt, das an einem ersten Zugangspunkt zu einem ersten (W)LAN verfügbar ist. Insbesondere kann auf Basis des Zertifikats des Geräts überprüft werden, ob das Geräte-Referenzzertifikat (d.h. das Referenzzertifikat, aus dem das Zertifikat des Geräts abgeleitet wurde) an dem ersten Zugangspunkt verfügbar ist, insbesondere ob das Geräte-Referenzzertifikat auf einer Speichereinheit, etwa auf einem TPM oder einer anderen als sicher bewerteten Speicherlösung, des ersten Zugangspunkts gespeichert ist.
An dem ersten Zugangspunkt kann z.B. eine Liste mit ein oder mehreren Referenzzertifikaten (ggf. von unterschiedlichen Entitäten) verfügbar sein. Diese Liste kann z.B. bei der Herstellung des ersten Zugangspunkts in dem ersten Zugangspunkt bereitgestellt werden. Insbesondere kann die Liste mit einem oder mehreren Referenzzertifikaten auf einer Speichereinheit, insbesondere auf einem TPM, des ersten Zugangspunktes gespeichert sein. Es kann dann in effizienter und zuverlässiger Weise überprüft werden, ob das Geräte-Referenzzertifikat in der Liste mit ein oder mehreren Referenzzertifikaten enthalten ist oder nicht und/oder ob das Zertifikat des Geräts von einem der Referenzzertifikate in der Liste abgeleitet wurde (entlang einer Referenzkette).
Das Verfahren umfasst ferner das Einbinden des Geräts in das erste (W)LAN, wenn ermittelt wird, dass das Zertifikat des Geräts von zumindest einem an dem ersten Zugangspunkt verfügbaren Referenzzertifikat abgeleitet wurde. Das Einbinden des Geräts in das erste LAN kann erfolgen, wenn, insbesondere nur dann, wenn, bestimmt wird, dass das Geräte-Referenzzertifikat (d.h. das Referenzzertifikat, aus dem das Zertifikat des Geräts abgeleitet wurde) in der Liste mit ein oder mehreren Referenzzertifikaten enthalten ist, bzw. wenn, insbesondere nur dann, wenn, ermittelt wird, dass das Geräte- Referenzzertifikat an dem Zugangspunkt verfügbar ist, bzw. wenn, insbesondere nur dann, wenn ermittelt wird, dass das Zertifikat des Geräts von einem an dem ersten Zugangspunkt verfügbaren Referenzzertifikat abgeleitet wurde (und im Sinne der Informationssicherheit gültig).
Das Verfahren ermöglicht es, ein Gerät in effizienter, komfortabler und sicherer Weise in ein (W)LAN einzubinden. Die Einbindung kann dabei automatisch erfolgen, ohne dass Zugangsdaten (wie z.B. ein Pre-Shared-Key (PSK)) zu dem LAN von einem Nutzer eingegeben werden müssen. Die Einbindung kann z.B. automatisch bei Inbetriebnahme des Geräts erfolgen.
Das Verfahren kann umfassen, das Ermitteln von ein oder mehreren Netzwerkeinheiten, für die eine Zugriffsberechtigung des Geräts über das erste LAN vorliegt. Die ein oder mehreren Netzwerkeinheiten können dabei in einem Wide Area Network (WAN) außerhalb des ersten LAN (z.B. im Internet) angeordnet sein. Die ein oder mehreren Netzwerkeinheiten können in der auf dem ersten Zugangspunkt gespeicherten Liste aufgeführt sein. Die ein oder mehreren Netzwerkeinheiten können von der Entität betrieben bzw. bereitgestellt werden, der das Geräte-Referenzzertifikat zugeordnet ist.
Die Einbindung des Geräts in das erste LAN kann auf den Zugriff zu den ein oder mehreren Netzwerkeinheiten beschränkt sein. Insbesondere kann durch den ersten Zugangspunkt bewirkt werden, dass das Gerät nur auf die ein oder mehreren Netzwerkeinheiten zugreifen kann, und ansonsten keinen weiteren Zugriff auf Komponenten des ersten LAN oder auf andere Komponente des WAN aufweist. So kann die Sicherheit der (automatischen) Einbindung des Geräts weiter erhöht werden.
Das Verfahren kann umfassen, das Bereitstellen einer Kommunikationsverbindung zwischen dem Gerät und den ein oder mehreren Netzwerkeinheiten über den ersten Zugangspunkt, insbesondere über einen Router des ersten Zugangspunktes. Die Kommunikationsverbindung kann dann z.B. zur Fernwartung des Geräts genutzt werden (ausgehend von den ein oder mehreren Netzwerkeinheiten). Es kann somit einem Hersteller von Geräten ermöglicht werden, in effizienter und zuverlässiger Weise auf Geräte zuzugreifen (da sich die Geräte automatisch mit den ein oder mehreren Netzwerkeinheiten (z.B. Servern) des Herstellers verbinden).
Wie bereits oben dargelegt, kann an dem ersten Zugangspunkt eine Liste mit ein oder mehreren Referenzzertifikaten verfügbar, insbesondere gespeichert, sein. Die Liste kann für jedes der Referenzzertifikate (und für jede damit assoziierte Entität) jeweils zumindest eine Netzwerkeinheit anzeigen, für die Geräte, die ein zu dem jeweiligen Referenzzertifikat passendes Zertifikat aufweisen, eine Zugriffsberechtigung aufweisen. So kann es unterschiedlichen Entitäten in effizienter und sicherer Weise ermöglicht werden, auf die Geräte der jeweiligen Entität zuzugreifen.
Das Verfahren kann umfassen, das Ermitteln der Geräte-Zertifikatskette zwischen dem Zertifikat des Geräts und dem Geräte-Referenzzertifikat, wobei die Geräte-Zertifikatskette ein oder mehrere Zwischenzertifikate zwischen dem Zertifikat des Geräts und dem Geräte-Referenzzertifikat anzeigt. Die Geräte-Zertifikatskette kann ganz oder teilweise z.B. von dem Gerät an den ersten Zugangspunkt gesendet und von dem ersten Zugangspunkt empfangen werden. Es kann dann in besonders effizienter und präziser Weise auf Basis der Geräte-Zertifikatskette überprüft werden, ob das Zertifikat des Geräts zu zumindest einem Referenzzertifikat passt, das an dem ersten Zugangspunkt zu dem ersten LAN verfügbar ist.
Der erste Zugangspunkt kann ggf. ein beliebiger Zugangspunkt sein, in dessen Empfangsbereich sich das Gerät befindet. Beispielsweise kann in einem urbanen Umfeld der erste Zugangspunkt von einem Nachbarn des Nutzers des Geräts betrieben werden. Durch den ersten Zugangspunkt kann ein erster (vorläufiger und/oder beschränkter) Zugang zu einem LAN und darüber zu einem WAN ermöglicht werden. Für einen vollständigen Zugang zu einem LAN und/oder zu einem WAN kann es erforderlich sein, dass das Gerät (automatisch) mit einem zweiten Zugangspunkt verbunden wird (z.B. mit einem Zugangspunkt des Nutzers).
Wie bereits oben dargelegt, kann das Verfahren umfassen, das Ermitteln von zumindest einer Netzwerkeinheit, für die eine Zugriffsberechtigung des Geräts über das erste LAN vorliegt. Dabei kann die Netzwerkeinheit zumindest einen zweiten Zugangspunkt zu einem zweiten LAN anzeigen. Diese Information kann z.B. in einem Nutzerkonto des Nutzers des Geräts auf der Netzwerkeinheit gespeichert sein. In dem Nutzerkonto können die Zugangsdaten zu dem zweiten Zugangspunkt gespeichert sein (z.B. der PSK zu dem zweiten Zugangspunkt).
Es kann dann eine Kommunikationsverbindung zwischen dem Gerät und der Netzwerkeinheit über den ersten Zugangspunkt aufgebaut werden, um es dem Gerät zu ermöglichen, die Zugangsdaten zu dem zweiten Zugangspunkt von der Netzwerkeinheit zu beziehen. So kann dann ein automatisches „Umhängen“ des Geräts von dem ersten LAN zu einem zweiten LAN ermöglicht werden, insbesondere, um dem Gerät innerhalb des zweiten LANs einen ggf. uneingeschränkten Zugang zu einem LAN und/oder zu dem WAN (etwa dem Internet) zu ermöglichen. Durch das automatische Einbinden in ein zweites LAN kann der Komfort für den Nutzerweiter erhöht werden. Das Einbinden in das zweite LAN kann z.B. durchgeführt werden, um es dem Nutzer zu ermöglichen, das Geräts fernzusteuern (z.B. mit einem Anwendergerät, etwa einem Smartphone des Nutzers, das in das zweite LAN eingebunden ist).
Beispielsweise kann im Rahmen des Verfahrens überprüft werden, ob eine Fernsteuerung des Geräts durch ein Anwendergerät erfolgen soll. Es kann dann das LAN ermittelt werden, in das das Anwendergerät eingebunden ist. Insbesondere kann ermittelt werden, dass das Anwendergerät über den zweiten Zugangspunkt in das zweite LAN eingebunden ist. Es kann daraufhin automatisch veranlasst werden, dass das Gerät in das zweite LAN eingebunden wird, um eine Fernsteuerung des Geräts durch das Anwendergerät zu ermöglichen. Diese Verfahrensschritte können z.B. durch einen Zugangspunkt und/oder durch das Gerät ausgeführt werden. Gemäß einem weiteren Aspekt der Erfindung wird ein (ggf. Computer-implementiertes) Verfahren zur Einbindung eines Geräts in ein LAN beschrieben. Das Verfahren kann durch das Gerät ausgeführt werden. Das Gerät weist dabei ein Zertifikat auf (z.B. auf einem TPM), das aus einem Geräte-Referenzzertifikat abgeleitet wurde.
Das Verfahren umfasst das Identifizieren eines ersten Zugangspunkts für ein erstes LAN, an dem ein Referenzzertifikat verfügbar ist, das zu dem Zertifikat des Geräts passt, insbesondere das dem Geräte-Referenzzertifikat entspricht. Mit anderen Worten, es kann nach einem geeigneten ersten Zugangspunkt gesucht werden, der das passende Referenzzertifikat aufweist. Die Suche nach einem geeigneten ersten Zugangspunkt kann dabei automatisch von dem Gerät initiiert werden (ohne Nutzerinteraktion), z.B. bei der ersten Inbetriebnahme des Geräts.
Des Weiteren umfasst das Verfahren das Einbinden des Geräts in das erste LAN über den ersten Zugangspunkt. Zu diesem Zweck kann sich das Gerät mit dem ersten Zugangspunkt verbinden. Es kann dann von dem Zugangspunkt ein (ggf. beschränkter) Zugang zu dem ersten LAN und/oder zu dem WAN ermöglicht werden. So kann ein komfortabler und sicherer Zugang des Geräts zu einem LAN und/oder zu einem WAN ermöglicht werden.
Das Verfahren umfasst das Zugreifen auf eine Netzwerkeinheit über den ersten Zugangspunkt. Dabei kann die Netzwerkeinheit (wie bereits oben dargelegt) zumindest einen zweiten Zugangspunkt zu einem zweiten LAN anzeigen. Es können dann Zugangsdaten (z.B. ein PSK) zu dem zweiten Zugangspunkt von der Netzwerkeinheit bezogen werden.
Das Gerät kann dann (automatisch) unter Verwendung der Zugangsdaten zu dem zweiten Zugangspunkt über den zweiten Zugangspunkt in das zweite LAN (und über den zweiten Zugangspunkt in das WAN) eingebunden werden. Andererseits kann das Gerät (automatisch) von dem ersten Zugangspunkt abgemeldet werden. So kann in besonders komfortabler und sicherer Weise ein (ggf. vollwertiger) Zugang zu einem zweiten LAN (z.B. zu dem LAN des Nutzers) und darüber zu dem WAN ermöglicht werden. Das Verfahren kann umfassen, das Aufbauen einer Kommunikationsverbindung zu einer Netzwerkeinheit über den ersten Zugangspunkt. Des Weiteren kann das Verfahren umfassen, das Bewirken einer Wartungsmaßnahme des Geräts durch Zugriff der Netzwerkeinheit auf das Gerät über den ersten Zugangspunkt. Es kann somit einer Entität (z.B. dem Hersteller des Geräts) ermöglicht werden, in effizienter und sicherer Weise Wartungsmaßnahmen durchzuführen.
Gemäß einem weiteren Aspekt der Erfindung wird ein Zugangspunkt (d.h. eine Vorrichtung) zu einem LAN beschrieben, wobei der Zugangspunkt eingerichtet ist, zu überprüfen, ob ein Zertifikat eines Geräts, das in das LAN eingebunden werden soll, zu einem Referenzzertifikat passt, das an dem Zugangspunkt verfügbar ist. Der Zugangspunkt ist ferner eingerichtet, das Gerät in das LAN einzubinden, wenn ermittelt wird, dass das Zertifikat des Geräts zu einem an dem Zugangspunkt verfügbaren Referenzzertifikat passt. Des Weiteren kann der Zugangspunkt eingerichtet sein, zumindest einen beschränkten Zugang zu einem WAN zu ermöglichen (z.B. auf eine beschränkte Liste von Netzwerkeinheiten (etwa Server und/oder URLs (Uniform Resource Locator)).
Die Ressourcen, die ein Gerät mit einem bestimmten Zertifikat einer Entität in dem LAN und/oder in dem WAN nutzen darf (etwa eine Verbindung mit ein oder mehreren bestimmten Parametern wie IP-Adressen, URLs, Protokollvarianten, Portnummern und dergleichen) können auf dem Zugangspunkt und/oder auf weiteren Routing-Komponenten des LANs fest mit einem jeweiligen Referenzzertifikat verknüpft sein. Damit kann automatisiert eine Beschränkung des Zugangs basierend auf der Zugehörigkeit des Geräts zu einer Entität vorgenommen werden. Beispielsweise kann ein Hausgerät ausschließlich berechtigt werden, mit nur einem einzelnen Server im Internet, z.B. dem Backend des Herstellers des Hausgeräts, eine Verbindung aufzubauen.
In einer geeigneten Benutzerschnittstelle kann einem Nutzer oder einem Netzwerkadministrator eine Übersicht dargestellt werden, welche Referenzzertifikate auf einem Zugangspunkt zur Verfügung stehen. Des Weiteren können in dieser Darstellung die jeweils verknüpften Berechtigungen (URLs, Server, Protokollvarianten und dergleichen) angezeigt werden. Dem Nutzer oder Administrator kann über die Nutzerschnittstelle die Möglichkeit gegeben werden, bestimmte Referenzzertifikate (von bestimmten Entitäten) herunterzuladen, zu installieren, zu löschen, zu aktivieren und/oder zu deaktivieren. Mit der Deaktivierung bzw. Entfernung eines Referenzzertifikats erlischt typischerweise unverzüglich jegliche Berechtigung aller aktuell mit dem Zugangspunkt verbundener Geräte (die dem gelöschten Referenzzertifikat zugeordnet sind). Insbesondere kann für diese Geräte die Verbindung zum LAN unterbrochen werden.
Gemäß einem weiteren Aspekt der Erfindung wird ein Gerät beschrieben, das ein Zertifikat aufweist, das aus einem Geräte-Referenzzertifikat abgeleitet wurde. Das Gerät ist eingerichtet, einen ersten Zugangspunkt für ein erstes LAN zu identifizieren, an dem ein Referenzzertifikat verfügbar ist, das zu dem Zertifikat des Geräts passt, insbesondere das dem Geräte-Referenzzertifikat entspricht. Das Gerät ist ferner eingerichtet, in Reaktion darauf, eine Einbindung in das erste LAN über den ersten Zugangspunkt zu bewirken.
Es ist zu beachten, dass jegliche Aspekte der in diesem Dokument beschriebenen Verfahren und Vorrichtungen in vielfältiger Weise miteinander kombiniert werden können. Insbesondere können die Merkmale der Patentansprüche in vielfältiger Weise miteinander kombiniert werden.
Im Weiteren wird die Erfindung anhand von in der beigefügten Zeichnung dargestellten Ausführungsbeispielen näher beschrieben. Dabei zeigen
Figur 1 ein Blockdiagramm eines Systems zur Einbindung eines Geräts in ein LAN;
Figur 2a eine beispielhafte Zertifikatliste;
Figur 2b eine beispielhafte Zertifikatskette; und
Figuren 3a und 3b Ablaufdiagramme von beispielhaften Verfahren zur Einbindung eines Geräts in ein LAN.
Wie eingangs dargelegt, befasst sich das vorliegende Dokument mit der komfortablen, sicheren und zuverlässigen Einbindung eines Geräts, insbesondere eines Hausgeräts, in ein LAN. In diesem Zusammenhang zeigt Fig. 1 ein beispielhaftes System 100 mit einem LAN-fähigen Gerät 130. Das System 100 umfasst einen ersten Zugangspunkt 110 (z.B. einen Router) zu einem ersten (W)LAN 111 und einen zweiten Zugangspunkt 120 (z.B. einen Router) zu einem zweiten (W)LAN 121. Das Gerät 130 kann ein Kommunikationsmodul 132 umfassen, das es ermöglicht, das Gerät 130 in das erste LAN 111 (für eine erste LAN-Verbindung 112) und/oder in das zweite LAN 121 (für eine zweite LAN-Verbindung 122) einzubinden. Des Weiteren kann das Gerät 130 ein Steuermodul 131 aufweisen, das ausgebildet ist, Aktionen des Geräts 130 zu steuern.
Die Zugangspunkte 110, 120 können eingerichtet sein, jeweils eine Kommunikationsverbindung 113, 123 zu einer Netzwerkeinheit 102 (z.B. mit einem Server, etwa in einer Cloud) in einem Wide Area Network, WAN, (z.B. dem Internet) aufzubauen. Die LANs 111, 121 können Wireless LANs (WLAN) umfassen, insbesondere sein.
In diesem Dokument wird ein Verfahren beschrieben, bei dem ein Netzwerkgerät 130 automatisch einen, ggf. vollwertigen, Netzwerkzugang und zumindest einen Zugang zu einer entfernten Netzwerkeinheit 102 (z.B. zu einer Netzwerkeinheit 102 eines Herstellers des Geräts 130) erhält. Ein derart automatisch aufgebauter Netzwerkzugang kann zur Bereitstellung von ein oder mehreren Diensten, wie z.B. einem Firmware- Update des Geräts 130, durch die Netzwerkeinheit 102 verwendet werden. Dies kann ggf. automatisch ohne Interaktion mit dem Nutzer eingerichtet und/oder angeboten werden, z.B. bei Erstinbetriebnahme des Geräts 130 (ggf. erst nach Zustimmung des Nutzers).
Insbesondere in einem urbanen Umfeld (z.B. in einem Mehrfamilienhaus) kann es vorteilhaft sein, den Zugang zu der Netzwerkeinheit 102 zumindest in einem ersten Schritt bei Bedarf über ein Hilfs-LAN 111, z.B. über das LAN 111 eines Nachbarn, zu ermöglichen. So kann die verfügbare Netzwerkabdeckung zur Einbindung des Geräts 130 erweitert werden. Dabei kann der Hilfs-Zugangspunkt 110 darauf beschränkt sein, die Verbindung des Geräts 130 mit der Netzwerkeinheit 102 zu ermöglichen.
In einem weiteren Schritt kann das Gerät 130 über eine Methode, wie dem OAUTH (Open Authorization) Device Grant, mit einem oder mehreren Nutzerkonten des Nutzers (auf der Netzwerkeinheit 102) verknüpft werden. Dabei kann das Gerät 130 ggf. auch Zugangsinformation zu der Netzwerkinfrastruktur, insbesondere zu dem Zugangspunkt 120, des Nutzers erhalten. Insbesondere kann eine Einbindung des Geräts 130 in das LAN 121 des Nutzers erfolgen. Der zuvor möglicherweise isolierte und/oder beschränkte io
(W)LAN-Zugang über den Hilfs-Zugangspunkt 110 kann dadurch auf einen unbeschränkten Zugang des Geräts 130 über einen zweiten Zugangspunkt 120 überführt werden. Das Gerät 130 ist dann ein vollwertiges, authentifiziertes Netzwerkgerät in dem (W)LAN 121 des Nutzers.
Es wird somit ein Verfahren beschrieben, mit dem ein Netzwerk-fähiges Gerät 130 ggf. ohne Interaktion mit einem Nutzer initial in ein (Hilfs-) Netzwerk 111 eingebunden werden kann und automatisiert ein oder mehrere Berechtigungen erhält, auf eine bestimmte Ressource 102, z.B. auf einen bestimmten Rechner im Internet, zuzugreifen. Insbesondere kann es dabei einem Nutzer vermittelt werden, welches Gerät 130 auf welche Ressource 102 Zugriff hat.
Durch eine Entität, z.B. durch den Hersteller eines Gerätes 130 oder durch die WIFI- Alliance, kann eine Infrastruktur für private Schlüssel bereitgestellt werden, durch die Zertifikate ausgegeben werden. Die ausgegebenen Zertifikate entsprechen dabei bevorzugt einem verbreiteten Standard, z.B. x.509. Zertifikate können dann (geeignet codiert) auf den beteiligten Komponenten, insbesondere auf ein oder mehreren Geräten 130 und auf ein oder mehreren Zugangspunkten 110, 120, abgelegt werden. Private Schlüssel können in sicherer Weise auf sogenannten Trusted-Platform-Modules (TPM) abgelegt werden, und können ggf. auf den jeweiligen TPMs erzeugt werden.
Innerhalb der PKI (Public Key Intrastructure) existiert ggf. nur ein Stammzertifikat mit einer möglichst langen Lebensdauer, z.B. 30 Jahre. Alle anderen Zertifikate können von dem Stammzertifikat über ein oder mehrere Zwischenzertifikate (ggf. auch mehrstufig) abgeleitet werden. So kann für unterschiedliche Gruppen von Geräten 130 (z.B. für unterschiedliche Hersteller von Geräten 130) jeweils ein Zertifikatsbaum erstellt werden, der für die Geräte 130 der jeweiligen Gruppe eineindeutig ist, und dessen Blätter bestimmten Teilbäumen (z.B. "Fabrik 1", "Fabrik 2", ...) zugeordnet sein können. Der Zertifikatsbaum einer Entität (z.B. eines Herstellers) kann dabei ein Stammzertifikat aufweisen, von dem alle Zertifikate der Gruppe von Geräten 130 der Entität abgeleitet werden. Die Zertifikate und/oder Zwischenzertifikate können mit geeigneten Metadaten erstellt werden, durch die z.B. Information zur jeweiligen ausstellenden Instanz des jeweiligen Zertifikats bereitgestellt wird.
Über geeignete Protokolle und/oder Dienste, wie OCSP (Online Certificate Status Protocolj-Responding und/oder OCSP-Stapling, kann jederzeit die Validität eines Zertifikats überprüft werden. Des Weiteren kann der Austausch von Zertifikaten in unterschiedlichen Netzwerkgeräten 130 über geeignete, ggf. standardisierte Methoden, umgesetzt werden.
Ein Netzwerkgerät 130 kann, z.B. während der Herstellung, mit einer digitalen Identität und mit mindestens einem Zertifikat ausgestattet werden. Das Zertifikat kann dabei von einem der Zwischenzertifikate des entsprechenden Teilbaumes des Zertifikatbaums signiert und im Gerät gemeinsam mit dem privaten Schlüssel sicher innerhalb eines geeigneten Speichers (z.B. einem TPM) abgelegt sein.
Des Weiteren kann die Zertifikatskette bis zu dem Stammzertifikat oder bis zu einem von dem Stammzertifikat abgeleiteten Referenzzertifikat im Gerät 130 abgelegt sein, und kann z.B. beim Verbindungsaufbau zu einem Zugangspunkt 110, 120 übertragen werden, bzw. kann über einen anderen Mechanismus dem Zugangspunkt 110, 120 bekannt gemacht werden. In dem Zertifikat des Geräts 130 kann auch gespeichert sein, unter welcher Internetadresse das jeweilige Stammzertifikat abrufbar ist.
Das Stammzertifikat bzw. das von dem Stammzertifikat abgeleitete Referenzzertifikat für eine Gruppe von Geräten 130 kann in ein oder mehreren Zugangspunkten oder Routern 110, 120 bereitgestellt werden. Insbesondere können die an dem System 100 teilnehmenden Hersteller bzw. die WIFI-Alliance auf einem geeignete Wege Kopien ihres jeweiligen Stammzertifikats (oder davon abgeleiteter Referenzzertifikate) in die Zugangspunkte oder Router 110, 120 übertragen. Ähnlich dem Zertifikatsspeicher eines Webbrowsers erhält ein Zugangspunkt 110, 120 damit Informationen über
Vertrauensstellungen, die ggf. bereits bei der Herstellung des Zugangspunkts 110, 120 festgelegt werden können. Fig. 2a zeigt eine beispielhafte Liste 200 mit ein oder mehreren Stamm- oder Referenzzertifikaten 201 für entsprechende ein oder mehrere Entitäten (z.B. Hersteller). Für jede Entität kann dabei ggf. zumindest eine Netzwerkeinheit 102 (z.B. zumindest ein Internet-Server) in der Liste 200 angezeigt werden, auf den über den Zugangspunkt 110, 120 zugegriffen werden kann. Die ein oder mehreren Netzwerkeinheiten 102 können innerhalb der Liste 200 in einem Feld 202 für Zugriffsrechte aufgeführt sein.
Fig. 2b zeigt eine beispielhafte Zertifikatskette 210 mit ein oder mehreren Zwischenzertifikaten 212 zwischen dem Geräte-Referenzzertifikat 211 einer Entität und dem Zertifikat 213 des Geräts 130. Die Zertifikatskette 210 kann auf dem Gerät 130 gespeichert sein. Alle Zwischenzertifikate 212 und das Geräte-Zertifikat 213 werden sequentiell aus dem Geräte-Referenzzertifikat 211 abgeleitet. Das Geräte- Referenzzertifikat 211 einer Entität (z.B. eines Geräte-Herstellers) kann z.B. das Stammzertifikat der Entität sein. Wie durch die Pfeile in Fig. 2b dargestellt, können aus dem Referenzzertifikat 211 und/oder aus einem Zwischenzertifikat 212 unterschiedliche Geräte-Zertifikate 213 für unterschiedlichen Geräte 130 abgeleitet werden.
Sobald ein Gerät 130 mit Strom versorgt wird, kann es ggf. damit beginnen, über eine geeignete Methode, z.B. das Device-Provisioning-Protocol (DPP), nach einem geeigneten Zugangspunkt 110 zu suchen, in dem das Stamm- bzw. Referenzzertifikat 201, 211 zu dem Zertifikat 213 des Geräts 130 hinterlegt ist. Die genaue Vorgehensweise wird dabei von dem jeweils verwendeten Protokoll vorgegeben.
Wenn ein geeigneter Zugangspunkt 110 gefunden wird, kann mit Hilfe des öffentlichen Schlüssels eine sichere LAN-Verbindung 112 zu dem Zugangspunkt 110 hergestellt werden und es kann die jeweilige Zertifikatskette 210 übertragen werden. Die bereitgestellte Zertifikatskette 210 weist dabei eine ausreichende Tiefe auf, um es dem Zugangspunkt 110 zu ermöglichen, die von dem Gerät 130 bereitgestellte Zertifikatskette 210 einem intern vorhandenen Stammzertifikat 201 zuordnen zu können. Wenn die Zertifikatskette 210 erfolgreich zugeordnet werden konnte, dann kann eine Freigabe zumindest einer Ressource 102 für das Gerät 130 erfolgen.
Sobald eine Verbindung zwischen dem Gerät 130 und dem Zugangspunkt 110 auf Netzwerkebene zustande gekommen ist, kann das ins Netzwerk 111 zu integrierende Gerät 130 mit dynamisch festgelegten Daten höherer Protokollschichten provisioniert werden. Die dafür erforderliche Berechtigung kann z.B. durch ein gemeinsames Geheimnis bereitgestellt werden (was jedoch den vorhergehenden Austausch des Geheimnisses, z.B. eines Passwortes, erfordert).
Bei Vorliegen eines dem Zugangspunkt 110 bekannten Stamm- bzw. Referenzzertifikats 201, 211 kann automatisch (ohne vorhergehenden Austausch eines Geheimnisses) eine Zugangsberechtigung gewährt werden. So kann in besonders komfortabler und effizienter Weise ein Verbindungsaufbau ermöglicht werden. Insbesondere kann automatisch nach Einschalten des Geräts 130 die Verbindung 112 zu dem Zugangspunkt 110 aufgebaut werden, und der Zugangspunkt 110 erteilt daraufhin automatisch den Zugang zu höheren Protokollen und/oder den Zugang zu ein oder mehreren bestimmten Routing-Zielen 102.
Insbesondere kann ein Netzwerkgerät 130 eines dem Zugangspunkt 110 bekannten Herstellers automatisch für (zumindest oder genau) eine, z.B. im Stamm- oder Referenzzertifikat 201, 211 explizit angegebene, Netzwerkeinheit 102 im Internet freigeschaltet sein. Für den Zugriff auf die Netzwerkeinheit 102 ist dabei keine Nutzerinteraktion erforderlich. Ein Zugriff auf andere Ressource, z.B. das lokale interne Netzwerk 110 und/oder andere Ziele / Endpunkte im Internet können andererseits unterbunden werden.
Beispielsweise kann in einer x.509-Erweiterung des Stamm- bzw. Referenzzertifikats 201, 211 festgehalten werden, auf welche ein oder mehreren Internetadressen ("Domain- Namen") die Geräte 130 einer bestimmten Stammzertifizierungsstelle bzw. einer bestimmten Entität Zugriff haben sollen. Der Zugriff kann dann durch den Zugangspunkt 110 auf die explizit angegebenen Internetadressen beschränkt sein. Von einem Gerät 130 ausgehender Datenverkehr an andere Adressen oder über andere Protokolle kann dann automatisiert von dem Zugangspunkt 110 verworfen werden.
Sofern ein Gerät 130 einen Verbindungsaufbau zu dem Zugangspunkt 110 versucht, das nicht über die an dem Zugangspunkt 110 hinterlegte Liste 200 bekannter Zertifizierungsstellen autorisiert ist, kann der Datenverkehr des Geräts 130 automatisch von dem Zugangspunkt 110 blockiert werden. Alternativ oder ergänzend kann dem Nutzer eine Auswahl angeboten werden, ob das betroffene Gerät 130 manuell autorisiert werden soll.
Sofern mehrere Zugangspunkte 110, 120 mit entsprechender Berechtigung in Reichweite des Geräts 130 liegen, kann das Gerät 130 nach einem geeigneten Verfahren (z.B. in Abhängigkeit von der jeweils höchsten Signalstärke und/oder der jeweils größten Datenrate) eine Auswahl für den bevorzugten Zugangspunkt 110, 120 treffen. Dabei kann es ggf. auch ermöglicht werden, einen Zugangspunkt 110, 120 auszuwählen, der nicht durch den Nutzer (sondern z.B. durch einen Nachbarn) betrieben wird.
Im Anschluss an eine (beschränkte) Einbindung in ein erstes LAN 111 kann eine nachträgliche Einbindung in ein weiteres zweites LAN 121 erfolgen (z.B. um eine unbeschränkte Einbindung und/oder einen unbeschränkten Zugriff zu ermöglichen). Das zweite LAN 121 kann dabei das von dem Nutzer betriebene LAN sein. Zu diesem Zweck kann WPS (Wi-Fi Protected Setup) genutzt werden, es kann das WIFI-Passwort eingegeben werden und/oder es kann ggf. auch eine beliebige andere Methode wie Captive-Portal- und Soft-Access- Point verwendet werden.
In einem bevorzugten Beispiel kann dem Nutzer auf der Netzwerkeinheit 102 ein Nutzerkonto bereitgestellt werden, auf dem z.B. der Zugangspunkt 120 des Nutzers registriert ist. In dem Nutzerkonto kann eine Zugangspunktzuordnung inklusive der Zugangsdaten der ein oder mehreren Netzwerkgeräte 130 des Nutzers zu einem bestimmten Zugangspunkt 120 verwaltet werden. Dabei kann es ermöglicht werden, ein Gerät 130, das zunächst über einen fremden Zugangspunkt 110 mit der Netzwerkeinheit 102 verbunden wird, in das Nutzerkonto einzubinden. Hierzu kann z.B. die Methode OAUTH Device Grant verwendet werden.
Sobald die Verknüpfung des Geräts 130 zu dem Nutzerkonto hergestellt wurde, kann die Netzwerkeinheit 102 einen geeigneten Zugangspunkt 120 für das Gerät 130 auswählen (z.B. in Abhängigkeit von der durch das Netzwerkgerät 130 beobachteten Signalstärke der möglichen Zugangspunkte 120). Die für den Zugang zu dem auswählten Zugangspunkt 120 erforderlichen Zugangsdaten können dann an das Netzwerkgerät 130 übertragen werden. Das Gerät 130 kann sich dann automatisch mit dem Zugangspunkt 120 verbinden. Alternativ oder ergänzend zu einer automatischen Bereitstellung eines Stamm- bzw. Referenzzertifikats 201, 211 und eines damit verknüpften Zugriffsrechts auf eine Netzwerkeinheit 102 kann es einem Nutzer ermöglicht werden, einen Zugangspunkt 110, 120 manuell zu konfigurieren (über eine Benutzerschnittstelle). Beispielsweise kann es einem Nutzer ermöglicht werden, über ein Anwendergerät 140 (z.B. ein Smartphone oder ein Computer) auf einen Zugangspunkt 110, 120 zuzugreifen (etwa über eine LAN- Verbindung 124), um die Liste 200 mit ein oder mehreren Stamm- bzw. Referenzzertifikaten 201, 211 und/oder mit Einträgen 202 für die Zugriffsrechte auf ein oder mehrere Netzwerkeinheiten 102 zu editieren.
Ein Zugangspunkt 110, 120 kann dem Nutzer z.B. eine Übersicht zur Verfügung stellen (z.B. über die Benutzerschnittstelle), z.B. mit folgender Information und/oder mit folgenden Möglichkeiten:
• die ein oder mehreren installierte Stamm- bzw. Referenzzertifikate 201 können angezeigt werden;
• ein oder mehrere Parameter für jedes Stamm- bzw. Referenzzertifikat 201 bzw. nötige Berechtigungen hierfür können angezeigt werden, z.B.: Endpunkt(e) 102 im Internet, Datenrate, Dienste, Protokolle, benötigte Ressourcen, etc.;
• eine Möglichkeit, pro Netzwerkgerät 130 ein oder mehrere Beschränkungen zu editieren, aufzuerlegen oder aufzuheben: o Zugriff auf bestimmte Endpunkte 102, z.B. die Infrastruktur des Herstellers; o Protokolle (I P*, http*, ...); o Dienste (z.B. einen Zeitserver); o 2eitere Parameter (Datenrate, Zeitbeschränkungen des Zugriffs, ...);
• ein Status pro Netzwerkgerät 130 kann angezeigt werden, z.B. Verbindung aktiv, aktuelle Datenrate, akkumuliertes Datenvolumen, genutzte Dienste („Hersteller- Backend“, „Zeitserver“, ...), Fehlerzustände („Stamm- bzw. Referenzzertifikat abgelaufen“, ...); und/oder
• eine allgemeine Einstellung kann vorgenommen werden, wie etwa eine Benachrichtigungseinstellung, wenn sich ein neues Gerät 130 über das beschriebene Verfahren verbunden hat oder einen Verbindungsaufbau wünscht. Diese Information kann ggf. im lokalen Netzwerk 111, 121 über Methoden und Protokolle, z.B. uPNP oder HTTP, abrufbar sein, und kann ggf. von geeigneten Agenten, Mobilgeräten 140, Webbrowsern oder ähnlich, ausgewertet und verändert werden.
Durch die in diesem Dokument beschriebenen Maßnahmen kann es einem Nutzer eines Geräts 130 ermöglicht werden, das Gerät 130 in besonders komfortabler und sicherer Weise in ein LAN 111, 121 einzubinden, und ggf. mit einer Netzwerkeinheit 102 in einem WAN zu verbinden (z.B. für Wartungstätigkeiten, für ein Firmware- Update, etc.).
Fig. 3a zeigt ein Ablaufdiagramm eines beispielhaften Verfahrens 300 zur Einbindung eines Geräts 130, insbesondere eines Hausgeräts, etwa einer Küchenmaschine, eines Ofens, einer Waschmaschine, eines Herds, eines Kühlschranks, einer Spülmaschine, eines Trockners, etc., in ein Local Area Network (LAN) 111, und ggf. darüber in ein WAN. Das Verfahren 300 kann durch einen Zugangspunkt 110 (insbesondere durch einen Router) zu einem LAN 111 ausgeführt werden. Der Zugangspunkt 110 kann dabei ausgebildet sein, ein Wireless LAN (WLAN) bereitzustellen.
Das Gerät 130 kann ein Zertifikat 213 aufweisen, das aus einem Geräte-Referenzzertifikat 211 abgeleitet wurde. Dabei kann das Zertifikat 213 des Geräts 130 über eine Zertifikatskette 210 (mit ein oder mehreren Zwischenzertifikaten 212) aus dem Geräte- Referenzzertifikat 211 generiert worden sein. Das Gerät 130 kann ausgebildet sein, die Zertifikatskette 210 bereitzustellen. Das Zertifikat 213 des Geräts sowie die eventuell vorgehaltene Zertifikatskette 210 können auf einem Trusted-Platform-Module (TPM) des Geräts 130 gespeichert sein.
Das Verfahren 300 umfasst das Überprüfen 301, ob das Zertifikat 213 des Geräts 130 zu zumindest einem Referenzzertifikat 201 passt, das an einem ersten Zugangspunkt 110 zu einem ersten LAN 111 verfügbar ist. Insbesondere kann überprüft werden, ob an dem ersten Zugangspunkt 110 das Geräte-Referenzzertifikat 211 der Entität (d.h. das Referenzzertifikat 201, 211 aus dem das Zertifikat 213 des Geräts 130 abgeleitet wurde) verfügbar ist. Auf einer Speichereinheit, insbesondere auf einem TPM, des ersten Zugangspunktes 110 kann eine Liste 200 mit ein oder mehreren Referenzzertifikaten 201 (z.B. für entsprechende ein oder mehrere Hersteller von Geräten 130) gespeichert sein. Für jedes Referenzzertifikat 201 kann zumindest eine Netzwerkeinheit 102 angegeben sein (als Listeneintrag 202), für die ein Zugriff über den ersten Zugangspunkt 110 ermöglicht wird, wenn das Gerät 130 ein zu dem jeweiligen Referenzzertifikat 201 passendes Zertifikat 213 aufweist. Es können somit Zugangspunkte 110 (insbesondere Router) bereitgestellt werden, die für ausgewählte Geräte 130 einen automatischen (begrenzten) LAN- und ggf. Internet-Zugriff ermöglichen.
Das Verfahren 300 umfasst ferner das Einbinden 302 des Geräts 130 in das erste LAN 111, wenn (ggf. nur dann, wenn) ermittelt wird, dass das Zertifikat 213 des Geräts 130 zu zumindest einem an dem ersten Zugangspunkt 110 verfügbaren Referenzzertifikat 201 passt. Das Einbinden 302 kann dabei automatisch erfolgen, ohne dass der Nutzer des Geräts 130 eine Eingabe tätigen muss. Somit kann ein komfortabler und sicherer Zugriff zu einem LAN 111 und/oder zu einer Netzwerkeinheit 102 in einem WAN ermöglicht werden.
Fig. 3b zeigt ein Ablaufdiagramm eines beispielhaften Verfahrens 310 zur Einbindung eines Geräts 130 in ein LAN 111, 121 und/oder in ein WAN. Das Verfahren 310 kann in komplementärer Weise zu dem Verfahren 300 durch das Gerät 130 ausgeführt werden. Das Gerät 130 weist dabei ein Zertifikat 213 auf, das aus einem Geräte-Referenzzertifikat 211 einer Entität abgeleitet wurde.
Das Verfahren 310 umfasst das Identifizieren 311 eines ersten Zugangspunkts 110 für ein erstes LAN 111, an dem ein Referenzzertifikat 201 einer Entität verfügbar ist, das zu dem Zertifikat 213 des Geräts 130 passt, insbesondere das dem Geräte-Referenzzertifikat 211 entspricht. Zu diesem Zweck kann das Gerät 130 ggf. mehrere unterschiedliche Zugangspunkte 110, 120 kontaktieren. Es kann dann jeweils das Zertifikat 213 des Geräts 130 (insbesondere die Zertifikatskette 210 des Geräts 130) an den jeweiligen Zugangspunkt 110, 120 gesendet werden. Der jeweilige Zugangspunkt 110, 120 kann dann überprüfen, ob das zu dem Zertifikat 213 passende Referenzzertifikat 201 (insbesondere das Geräte-Referenzzertifikat 211) auf dem jeweiligen Zugangspunkt 110, 120 verfügbar ist. Der Prozess des Identifizierens 311 eines geeigneten Zugangspunkts 110 kann dabei automatisch von dem Gerät 130 initiiert werden (ohne Eingabe des Nutzers), z.B. bei Inbetriebnahme des Geräts 130. Das Verfahren 310 umfasst ferner das Einbinden 312 des Geräts 130 in das erste LAN 111 über den (identifizierten) ersten Zugangspunkt 110. So kann ein komfortabler und sicherer Zugang zu einem LAN 111 (insbesondere einem WLAN) ermöglicht werden.
Die vorliegende Erfindung ist nicht auf die gezeigten Ausführungsbeispiele beschränkt. Insbesondere ist zu beachten, dass die Beschreibung und die Figuren nur das Prinzip der vorgeschlagenen Verfahren und Vorrichtungen veranschaulichen sollen.

Claims

PATENTANSPRÜCHE
1. Verfahren (300) zur Einbindung eines Geräts (130) in ein Local Area Network, kurz LAN, (111); wobei das Gerät (130) ein Zertifikat (213) aufweist, das aus einem Geräte-Referenzzertifikat (211) abgeleitet wurde; wobei das Verfahren (300) umfasst,
- Überprüfen (301), ob das Zertifikat (213) des Geräts (130) zu zumindest einem Referenzzertifikat (201) passt, das an einem ersten Zugangspunkt (110) zu einem ersten LAN (111) verfügbar ist; und
- Einbinden (302) des Geräts (130) in das erste LAN (111), wenn ermittelt wird, dass das Zertifikat (213) des Geräts (130) zu zumindest einem an dem ersten Zugangspunkt (110) verfügbaren Referenzzertifikat (201) passt.
2. Verfahren (300) gemäß Anspruch 1 , wobei
- an dem ersten Zugangspunkt (110) eine Liste (200) mit ein oder mehreren Referenzzertifikaten (201) verfügbar ist; und
- das Verfahren (300) umfasst,
- Bestimmen, ob das Geräte-Referenzzertifikat (211) in der Liste (200) mit ein oder mehreren Referenzzertifikaten (201) enthalten ist oder nicht; und - Einbinden (302) des Geräts (130) in das erste LAN (111), wenn, insbesondere nur dann, wenn, bestimmt wird, dass das Geräte- Referenzzertifikat (211) in der Liste (200) mit ein oder mehreren Referenzzertifikaten (201) enthalten ist.
3. Verfahren (300) gemäß Anspruch 2, wobei die Liste (200) mit ein oder mehreren Referenzzertifikaten (201) auf einer Speichereinheit, insbesondere auf einem Trusted-Platform-Module, des ersten Zugangspunktes (110) gespeichert ist.
4. Verfahren (300) gemäß einem der vorhergehenden Ansprüche, wobei
- das Überprüfen (301) umfasst, Überprüfen, auf Basis des Zertifikats (213) des Geräts (130), ob das Geräte-Referenzzertifikat (211) an dem ersten Zugangspunkt (110) verfügbar ist, insbesondere ob das Geräte- Referenzzertifikat (211) auf einer Speichereinheit des ersten Zugangspunkts (110) gespeichert ist; und
- das Gerät (130) über den ersten Zugangspunkt (110) in das erste LAN (111) eingebunden wird, wenn, insbesondere nur dann, wenn, ermittelt wird, dass das Geräte-Referenzzertifikat (211) an dem ersten Zugangspunkt (110) verfügbar ist.
5. Verfahren (300) gemäß einem der vorhergehenden Ansprüche, wobei das Verfahren (300) umfasst,
- Ermitteln von ein oder mehreren Netzwerkeinheiten (102), für die eine Zugriffsberechtigung des Geräts (130) über das erste LAN (111) vorliegt; und
- Beschränken der Einbindung des Geräts (130) in das erste LAN (111) auf den Zugriff zu den ein oder mehreren Netzwerkeinheiten (102).
6. Verfahren (300) gemäß Anspruch 5, wobei
- die ein oder mehreren Netzwerkeinheiten (102) in einem Wide Area Network, kurz WAN, außerhalb des ersten LAN (111) angeordnet sind; und
- das Verfahren (300) umfasst, Bereitstellen einer Kommunikationsverbindung zwischen dem Gerät (130) und den ein oder mehreren Netzwerkeinheiten (102) über den ersten Zugangspunkt (110), insbesondere über einen Router des ersten Zugangspunktes (110).
7. Verfahren (300) gemäß einem der Ansprüche 5 bis 6, wobei
- an dem ersten Zugangspunkt (110) eine Liste (200) mit ein oder mehreren Referenzzertifikaten (201) verfügbar ist; und
- die Liste (200) für jedes der Referenzzertifikate (201) jeweils zumindest eine Netzwerkeinheit (102) anzeigt, für die Geräte (130), die ein zu dem jeweiligen Referenzzertifikat (201) passendes Zertifikat (213) aufweisen, eine Zugriffsberechtigung aufweisen.
8. Verfahren (300) gemäß einem der vorhergehenden Ansprüche, wobei das Verfahren (300) umfasst, - Ermitteln einer Geräte-Zertifikatskette (210) zwischen dem Zertifikat (213) des Geräts (130) und dem Geräte-Referenzzertifikat (211); wobei die Geräte- Zertifikatskette (210) ein oder mehrere Zwischenzertifikate (212) zwischen dem Zertifikat (213) des Geräts (130) und dem Geräte-Referenzzertifikat (211) anzeigt; und
- Überprüfen, auf Basis der Geräte-Zertifikatskette (210), ob das Zertifikat (213) des Geräts (130) zu zumindest einem Referenzzertifikat (201) passt, das an einem ersten Zugangspunkt (110) zu dem ersten LAN (111) verfügbar ist.
9. Verfahren (300) gemäß einem der vorhergehenden Ansprüche, wobei das Verfahren (300) umfasst,
- Ermitteln von einer Netzwerkeinheit (102), für die eine Zugriffsberechtigung des Geräts (130) über das erste LAN (111) vorliegt; wobei die Netzwerkeinheit (102) zumindest einen zweiten Zugangspunkt (120) zu einem zweiten LAN (121) anzeigt; und
- Aufbauen einer Kommunikationsverbindung zwischen dem Gerät (130) und der Netzwerkeinheit (102) über den ersten Zugangspunkt (110), um es dem Gerät (130) zu ermöglichen, Zugangsdaten zu dem zweiten Zugangspunkt (120) von der Netzwerkeinheit (102) zu beziehen.
10. Verfahren (310) zur Einbindung eines Geräts (130) in ein Local Area Network, kurz LAN, (111, 121); wobei das Gerät (130) ein Zertifikat (213) aufweist, das aus einem Geräte-Referenzzertifikat (211) abgeleitet wurde; wobei das Verfahren (310) umfasst,
- Identifizieren (311) eines ersten Zugangspunkts (110) für ein erstes LAN (111), an dem ein Referenzzertifikat (201) verfügbar ist, das zu dem Zertifikat (213) des Geräts (130) passt, insbesondere das dem Geräte-Referenzzertifikat (211) entspricht; und
- Einbinden (312) des Geräts (130) in das erste LAN (111) über den ersten Zugangspunkt (110).
11. Verfahren (310) gemäß Anspruch 10, wobei das Verfahren (310) umfasst, - Zugreifen auf eine Netzwerkeinheit (102) über den ersten Zugangspunkt (110); wobei die Netzwerkeinheit (102) zumindest einen zweiten Zugangspunkt (120) zu einem zweiten LAN (121) anzeigt; und
- Beziehen von Zugangsdaten zu dem zweiten Zugangspunkt (120) von der Netzwerkeinheit (102).
12. Verfahren (310) gemäß Anspruch 11, wobei das Verfahren (310) umfasst,
- Einbinden des Geräts (130) in das zweite LAN (121) über den zweiten Zugangspunkt (120) unter Verwendung der Zugangsdaten zu dem zweiten Zugangspunkt (120); und/oder
- Abmelden des Geräts (130) von dem ersten Zugangspunkt (110).
13. Verfahren (310) gemäß einem der Ansprüche 10 bis 12, wobei das Verfahren (310) umfasst,
- Aufbauen einer Kommunikationsverbindung zu einer Netzwerkeinheit (102) über den ersten Zugangspunkt (110); und
- Bewirken einer Wartungsmaßnahme des Geräts (130) durch Zugriff der Netzwerkeinheit (102) auf das Gerät (130) über den ersten Zugangspunkt (110).
14. Zugangspunkt (110) zu einem Local Area Network, kurz LAN, (111); wobei der Zugangspunkt (110) eingerichtet ist,
- zu überprüfen, ob ein Zertifikat (213) eines Geräts (130), das in das LAN (111) eingebunden werden soll, zu einem Referenzzertifikat (201) passt, das an dem Zugangspunkt (110) verfügbar ist; und
- das Gerät (130) in das LAN (111) einzubinden, wenn ermittelt wird, dass das Zertifikat (213) des Geräts (130) zu einem an dem Zugangspunkt (110) verfügbaren Referenzzertifikat (201) passt.
15. Gerät (130), das ein Zertifikat (213) aufweist, das aus einem Geräte- Referenzzertifikat (211) abgeleitet wurde; wobei das Gerät (130) eingerichtet ist,
- einen ersten Zugangspunkt (110) für ein erstes LAN (111) zu identifizieren, an dem ein Referenzzertifikat (201) verfügbar ist, das zu dem Zertifikat (213) des Geräts (130) passt; und 5 in Reaktion darauf, eine Einbindung in das erste LAN (111) über den ersten Zugangspunkt (110) zu bewirken.
EP21729436.2A 2020-06-04 2021-05-25 Vorrichtungen und verfahrenen zur einbindung eines geräts in ein local area network Pending EP4162378A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102020207033.4A DE102020207033B4 (de) 2020-06-04 2020-06-04 Vorrichtungen und Verfahren zur Einbindung eines Geräts in ein Local Area Network
PCT/EP2021/063792 WO2021244890A1 (de) 2020-06-04 2021-05-25 Vorrichtungen und verfahrenen zur einbindung eines geräts in ein local area network

Publications (1)

Publication Number Publication Date
EP4162378A1 true EP4162378A1 (de) 2023-04-12

Family

ID=76250294

Family Applications (1)

Application Number Title Priority Date Filing Date
EP21729436.2A Pending EP4162378A1 (de) 2020-06-04 2021-05-25 Vorrichtungen und verfahrenen zur einbindung eines geräts in ein local area network

Country Status (5)

Country Link
US (1) US20230198976A1 (de)
EP (1) EP4162378A1 (de)
CN (1) CN115769203A (de)
DE (1) DE102020207033B4 (de)
WO (1) WO2021244890A1 (de)

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7092914B1 (en) * 1997-11-06 2006-08-15 Intertrust Technologies Corporation Methods for matching, selecting, narrowcasting, and/or classifying based on rights management and/or other information
US6112181A (en) * 1997-11-06 2000-08-29 Intertrust Technologies Corporation Systems and methods for matching, selecting, narrowcasting, and/or classifying based on rights management and/or other information
US7181017B1 (en) * 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
DE102004034363B4 (de) 2004-07-16 2007-06-28 Datenlotsen Informationssysteme Gmbh Verfahren zur Steuerung des Zugriffs von mobilen Terminals auf Rechnernetzwerke
DE102014102168A1 (de) 2014-02-20 2015-09-03 Phoenix Contact Gmbh & Co. Kg Verfahren und System zum Erstellen und zur Gültigkeitsprüfung von Gerätezertifikaten
EP3205134B1 (de) * 2014-11-12 2020-05-27 ARRIS Enterprises LLC Automatische konfiguration eines drahtlosnetzwerkerweiterers
WO2016205815A1 (en) * 2015-06-18 2016-12-22 Andium Inc. Identity verification of wireless beacons based on a chain-of-trust
US10291477B1 (en) * 2016-06-06 2019-05-14 Amazon Technologies, Inc. Internet of things (IoT) device registration
US11190942B2 (en) * 2016-12-30 2021-11-30 British Telecommunications Public Limited Company Automatic pairing of devices to wireless networks
DE102017214359A1 (de) 2017-08-17 2019-02-21 Siemens Aktiengesellschaft Verfahren zum sicheren Ersetzen eines bereits in ein Gerät eingebrachten ersten Herstellerzertifikats
US10958446B2 (en) * 2018-01-11 2021-03-23 Intel Corporation Secure wireless network association

Also Published As

Publication number Publication date
US20230198976A1 (en) 2023-06-22
WO2021244890A1 (de) 2021-12-09
CN115769203A (zh) 2023-03-07
DE102020207033A1 (de) 2021-12-09
DE102020207033B4 (de) 2022-03-24

Similar Documents

Publication Publication Date Title
DE602004010519T2 (de) Fernzugriffs-vpn-aushandlungsverfahren und aushandlungseinrichtung
DE102004045147A1 (de) Einstellungsinformations-Verteilungsvorrichtung, Verfahren, Programm und Medium, Authentifizierungseinstellungs-Transfervorrichtung, Verfahren, Programm und Medium und Einstellungsinformations-Empfangsprogramm
DE112012002729T5 (de) Zero-Sign-On-Authentifizierung
EP2250598A2 (de) Client/server-system zur kommunikation gemäss dem standardprotokoll opc ua und mit single sign-on mechanismen zur authentifizierung sowie verfahren zur durchführung von single sign-on in einem solchen system
DE102007025162A1 (de) Alarmgesteuerte Zugriffskontrolle in einem Unternehmensnetz
DE102013106119A1 (de) Hierarchisches Authentifizierungs- und Autorisierungssystem
DE112019005795T5 (de) Zeitstempelbasiertes Einbindungsverfahren für Drahtlosgeräte
EP3021524A1 (de) Verfahren zum aufbau eines lokalen steuerungskanals zwischen einem steuerungsgerät und einem gebäudeinternen zugangsportal
DE112015003792T5 (de) System und Verfahren zur Verwaltung von sicheren Kommunikationen in einem Ad-hoc-Netzwerk
DE102016207602B4 (de) Herstellung einer Datenverbindung
EP3080950B1 (de) Verfahren und system zur deterministischen autokonfiguration eines gerätes
WO2008022606A1 (de) Verfahren zur authentifizierung in einem automatisierungssystem
EP3432539B1 (de) Verfahren zum aufbau eines kommunikationskanals zwischen einer servereinrichtung und einer clienteinrichtung
WO2017041831A1 (de) Verfahren zum betreiben eines industrienetzwerks und industrienetzwerk
DE102020207033B4 (de) Vorrichtungen und Verfahren zur Einbindung eines Geräts in ein Local Area Network
EP3785459B1 (de) Einrichtung einer zugangsberechtigung zu einem teilnetzwerk eines mobilfunknetzes
EP3244360A1 (de) Verfahren zur registrierung von geräten, insbesondere von zugangskontrollvorrichtungen oder bezahl- bzw. verkaufsautomaten bei einem server eines systems, welches mehrere derartige geräte umfasst
EP2680497A1 (de) Externer Zugriff auf IP-basierte Haussteuereinheit in lokalem Netzwerk
DE102004052194A1 (de) Netzinformations-Einstellverfahren, Netzsystem und Kommunikationsvorrichtung
DE102018105495B4 (de) Verfahren und System zum Ermitteln einer Konfiguration einer Schnittstelle
WO2015176847A1 (de) Verfahren zum einbeziehen eines kommunikationsgeräts in ein netzwerk und anordnung aufweisend zumindest eine netzwerkfilterkomponente und zumindest einen konfigurationsserver
DE102019114541A1 (de) RAHMEN ZUR ERWEITERTEN NETZWERKZUGRIFFSSTEUERUNG (eNAC)
DE102020203031B3 (de) Vorrichtung und Verfahren zur Steuerung des Zugriffs auf ein Elektrogerät
WO2023222312A1 (de) Provisionieren von endgeräten in funkkommunikationsnetzen
DE102023100377A1 (de) Computerimplementiertes Verfahren zur Autorisierung einer Veränderung von Geräteeinstellungen eines Funk-Gateways

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20230104

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)