TW202335460A - 具有中間人攻擊預防之遠端存取 - Google Patents

具有中間人攻擊預防之遠端存取 Download PDF

Info

Publication number
TW202335460A
TW202335460A TW111147533A TW111147533A TW202335460A TW 202335460 A TW202335460 A TW 202335460A TW 111147533 A TW111147533 A TW 111147533A TW 111147533 A TW111147533 A TW 111147533A TW 202335460 A TW202335460 A TW 202335460A
Authority
TW
Taiwan
Prior art keywords
network
network device
sigs
signed
public key
Prior art date
Application number
TW111147533A
Other languages
English (en)
Inventor
喬納斯 克雷蒙
Original Assignee
瑞典商安訊士有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 瑞典商安訊士有限公司 filed Critical 瑞典商安訊士有限公司
Publication of TW202335460A publication Critical patent/TW202335460A/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3249—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using RSA or related signature schemes, e.g. Rabin scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/10—Architectures or entities
    • H04L65/1045—Proxies, e.g. for session initiation protocol [SIP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1101—Session protocols
    • H04L65/1104—Session initiation protocol [SIP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1101—Session protocols
    • H04L65/1108—Web based protocols, e.g. webRTC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/104—Peer-to-peer [P2P] networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/24—Negotiation of communication capabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Multimedia (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本發明提供一種實現從一第二網路裝置對一第一網路裝置之一遠端存取的方法，其包含該第二裝置產生由受該第一裝置信任之一網路服務簽署且包含該第二裝置之一公開金鑰(之一指紋)的一資料項。經由一傳訊服務SIGS將該經簽署資料項發送至該第一裝置作為用於一同級間連接之條款之一協商的部分。該第一裝置使用該經接收之經簽署資料項確認其自該SIGS接收之該等條款未由該SIGS竄改，以預防該SIGS執行一中間人攻擊。亦提供各種網路裝置及一種網路系統。

Description

具有中間人攻擊預防之遠端存取
本發明係關於遠端網路存取之領域。特定言之，本發明係關於如在例如網頁即時連接(WebRTC)中使用之在使用一中間傳訊服務協商兩個網路裝置之間之一同級間連接時一遠端網路存取之保全。
歸因於網際網路之複雜性，定位於不同網路上之兩個網路裝置可能並不一定始終知道如何在不使用一中間傳訊服務之情況下彼此連接。例如，若兩個網路裝置已連接至一相同傳訊服務而非彼此連接，則傳訊服務可用於中繼兩個網路裝置之間之網路連接性資訊，使得兩個裝置可協商其等自身之同級間網路之條款且最終建立該同級間連接。
然而，中間傳訊服務可形成一所謂的中間人(MITM)攻擊之一攻擊面(attack surface)之部分。若傳訊服務已被一第三方破解，則在網路裝置之間中繼之網路連接性資訊可能被竄改，使得例如一個裝置被誘騙連接至由第三方控制之一網路點而非直接至另一網路裝置，同時仍相信其事實上直接連接至另一網路裝置。藉由進行此，兩個網路裝置之間之宣稱同級間連接可經由傳訊服務秘密地中繼，且如此，第三方可存取或甚至更改在網路裝置之間發送之潛在敏感資料。
例如，上文之一個真實世界實例可為一使用者嘗試使用WebRTC遠端地存取一網路攝影機，其中在可建立一直接同級間連接之前，通常需要一傳訊服務以在使用者與網路攝影機之間交換資料。藉由破解傳訊服務，第三方可取得對例如來自攝影機之一視訊饋送之存取權限，而網路攝影機抑或使用者皆不知曉正在進行的入侵。
為至少部分解決在依靠一中間傳訊服務建立一同級間連接時潛在MITM攻擊之上文識別的問題，本發明提供一種實現從一第二網路裝置對一第一網路裝置之一遠端網路存取的經改良方法、各種經改良網路裝置，以及一種如隨附獨立技術方案中所定義之經改良網路系統。其他態樣亦提供各種經改良電腦程式及電腦程式產品。在附屬技術方案中定義各項替代實施例。
根據本發明之一第一態樣，提供一種實現從一第二網路裝置對一第一網路裝置之一遠端網路存取的方法。該方法包含一步驟a)：該第二網路裝置產生包含該第二網路裝置之一公開金鑰及該公開金鑰之一指紋之至少一者的一資料項。該方法包含一步驟b)：該第二網路裝置使用一網路服務以密碼編譯方式簽署該資料項以產生一對應第一經簽署資料項，其中可由該第一網路裝置確認該第一經簽署資料項係由該網路服務簽署。該方法包含一步驟c)：該第一網路裝置及該第二網路裝置經由一中間傳訊服務(SIGS)執行用於建立(該第一網路裝置與該第二網路裝置之間之)一同級間連接之條款之一協商，其包含該第二網路裝置在至該SIGS之一或多個訊息中發送該第一經簽署資料項及用於聯絡該第二網路裝置之一第一網路位址。該協商進一步包含該第一網路裝置在來自該SIGS之一或多個訊息中接收一第二經簽署資料項及一第二網路位址。該方法進一步包含一步驟d)：該第一網路裝置使用該等經協商條款實現經由該同級間連接從該第二網路位址之該遠端網路存取，但僅在以下步驟之後，首先d-i)：確認(自該SIGS接收之)該第二經簽署資料項係由該網路服務簽署，及d-ii)使用該第二經簽署資料項確認(自該SIGS接收之)該第二網路位址來源於該第二網路裝置(即，其係用於聯絡該第二網路裝置之該第一網路位址)且未由該SIGS竄改。
如本文中所使用，某事物(例如，一訊息)之一「指紋」可為例如應用於該訊息之一特定雜湊函數之結果。一般而言，一「指紋」被認為是一旦指紋及訊息已知便可容易被確證/核對為來源於一訊息的任何事物，但使得訊息可能無法單獨自指紋擷取。
如本文中所使用，兩個網路裝置之間之一同級間連接可為直接的抑或間接的，其中間接包含若歸因於例如存在中間網路位址轉譯(NAT)及/或防火牆伺服器而無法建立網路裝置之間之一直接路徑，則使用一或多個中間代理伺服器來建立同級間連接之可能性。此一中間代理伺服器可為例如一所謂的藉中繼遍歷NAT (Traversal Using Relays around NAT) (TURN)伺服器或類似者。換言之，「直接」應被解釋為「儘可能直接」。然而，如本文中所使用，一真實同級間連接被認為一旦已建立同級間連接便不需要經由SIGS發送其之任何資料，儘管由SIGS執行之一成功MITM攻擊可導致兩個網路裝置錯誤地相信此一真實同級間連接仍被適當地建立。網路服務可為例如由受第一網路裝置信任之一第三方提供之一服務。此處，「受信任」可包含例如第一網路裝置至少可存取網路服務之一公開金鑰，且網路服務使用一對應私密金鑰簽署一資料項(諸如一訊息，或例如一訊息之一指紋)。藉由進行此，第一網路裝置可藉由確認資料項、其簽章及公開金鑰係一致的而確證一經接收之經簽署資料項事實上係由網路服務簽署。此等公開金鑰密碼編譯/簽署系統之實例係例如藉由Rivest-Shamir-Adleman (RSA)之公開金鑰密碼編譯/簽署系統及橢圓曲線密碼編譯(ECC)之公開金鑰密碼編譯/簽署系統，但當然，亦可使用其他等效或類似系統。
在本文中，一網路位址「來源於第二網路裝置」應被理解為該網路位址係在用於同級間連接之條款之協商期間如最初由第二網路裝置提出之一相同網路位址(例如，用於聯絡第二網路裝置之一網路位址)。使用發明申請專利範圍之語言，此意謂第二網路位址(第一網路裝置自SIGS接收之網路位址)係第一網路位址(第二網路裝置發送至SIGS之網路位址)。網路位址不需要直接指向第二網路裝置，而是亦可為例如在朝向第二網路裝置之一路徑上之一網路節點之一位址。然而，設想為「來源於第二網路裝置」，網路位址不應為例如SIGS或至由用於執行一MITM攻擊之SIGS控制之任何網路節點的一位址。
方法之本發明改良現有技術，其中第二網路裝置之一「個人歸屬」 (即，一公開金鑰)經簽署且被提供至第一網路裝置作為用於同級間連接之條款協商之部分。由於簽章可由第一網路裝置確認，故SIGS可能無法竄改包含第二網路裝置之公開金鑰(或公開金鑰之指紋)之資料項。因此，公開金鑰亦可用於確認SIGS未試圖竄改同級間連接之經協商條款，包含例如向第一網路裝置提出之用於連接至第二網路裝置之網路位址。此提供一種預防SIGS執行一MITM攻擊之簡單方式，而不需要對第一網路裝置抑或對第二網路裝置之任何實質修改。例如，第一網路裝置可藉由使用一預安裝憑證來執行網路服務之簽章之驗證，而不需要在執行驗證時與例如另一伺服器建立之任何連接。
在方法之一些實施例中，在步驟d)上之步驟可包含：第一網路裝置參與使用自第二網路位址接收之一公開金鑰對同級間連接進行加密之一嘗試，且上述步驟d-i)可包含：第一網路裝置確認自第二網路位址接收之公開金鑰及/或自第二網路位址接收之公開金鑰之一指紋包含於自SIGS接收之第二經簽署資料項中(且例如係第二網路裝置之公開金鑰)。此可為有益的，因為已存在可供第二網路裝置用於加密目的之一公開金鑰，且其中此公開金鑰亦可用於預防一MITM攻擊(不需要產生任何進一步公開/私密金鑰對)。
在方法之一些實施例中，對會期進行加密可使用資料報傳輸層安全(DTLS)來執行。自第二網路位址接收之公開金鑰可為例如一DTLS公開金鑰。
在方法之一些實施例中，方法可包含第二網路裝置使用與第二網路裝置之一第二公開金鑰相關聯之一私密金鑰簽署一或多個訊息(其包含例如第一網路位址)之至少一部分及/或發送至SIGS之一或多個訊息(其包含例如第一網路位址)之至少一部分之一指紋。上述步驟d-ii)可包含：第一網路裝置確認自SIGS接收之一或多個訊息(其包含例如第二網路位址)之至少一部分及/或自SIGS接收之一或多個訊息(其包含例如第二網路位址)之至少一部分之一指紋已使用與包含於第二經簽署資料項中之一公開金鑰相關聯之一私密金鑰簽署。第二網路裝置之第二公開金鑰可為例如包含於經簽署資料項中之第二網路裝置之公開金鑰。亦可設想經簽署資料項包含第二網路裝置之多個公開金鑰，其中例如一個此金鑰用於對同級間連接進行加密，而另一此金鑰用於簽署發送至SIGS之一或多個訊息(其包含例如第一網路位址)之至少一部分。
在方法之一些實施例中，方法可包含使用網頁即時連接(WebRTC，如W3C所推薦及發表)提供遠端網路存取。一或多個訊息可至少包含一會期描述協定(SDP)應答及/或提議。網路位址(其用於聯絡第二網路裝置)可為如例如在協商如何遍歷一或多個NAT時使用之一互動式連接性建立(ICE)候選者。
在方法之一些實施例中，資料項亦可為、包含或補充有由網路服務提供而且簽署之一存取符記，以授權及/或鑑認第二網路裝置。上述步驟d)可包含：第一網路裝置確認存取符記係、包含於或補充自SIGS接收之第二經簽署資料項。例如，此可幫助第一網路裝置(其信任網路服務)知道第二網路裝置是否應能夠完全或至少在某種程度上遠端地存取第一網路裝置。此處，「補充有」應被理解為其中將存取符記及資料項提供為兩個分開簽署之品項之一選項。
根據本發明之一第二態樣，提供一種網路裝置。此網路裝置可為例如一網路攝影機或類似者。該網路裝置包含一處理器及一記憶體。該記憶體儲存指令。該等指令在由該處理器執行時引起該網路裝置協商用於該網路裝置與一第二網路裝置(其可為例如嘗試存取該網路裝置之一使用者裝置)之間經由一中間傳訊服務(SIGS)之一同級間連接的條款，包含在來自該SIGS之一或多個訊息中接收一經簽署資料項及一網路位址(宣稱用於聯絡該第二網路裝置)。該等指令進一步引起該網路裝置使用該等經協商條款容許/實現經由該同級間連接從該網路位址之一遠端網路存取，但包含首先i)：確認自該SIGS接收之該經簽署資料項係由受該網路裝置信任之一特定網路服務簽署，而且ii)使用自該SIGS接收之該經簽署資料項確認自該SIGS接收之該網路位址未由該SIGS竄改(且例如係用於聯絡該第二網路裝置之一網路位址)。
在網路裝置之一些實施例中，該等指令可進一步引起該網路裝置參與使用自該網路位址接收之一公開金鑰對該同級間連接進行加密之一嘗試，及在首先亦確認自該網路位址接收之該公開金鑰及/或自該網路位址接收之該公開金鑰之一指紋包含於自該SIGS接收之該經簽署資料項中之後，容許從該網路位址之該遠端網路存取。
在網路裝置之一些實施例中，該等指令可進一步引起該網路裝置確認包含該網路位址之自該SIGS接收之該一或多個訊息之至少一部分及/或包含該網路位址之自該SIGS接收之該一或多個訊息之該至少一部分的一指紋已使用與包含於自該SIGS接收之該經簽署資料項中之一公開金鑰相關聯的一私密金鑰簽署。
根據本發明之一第三態樣，提供另一網路裝置。此另一網路裝置可為例如用於遠端地存取一網路攝影機之一使用者裝置，諸如(舉例而言)一智慧型電話、一膝上型電腦、一桌上型電腦、一平板電腦、一可穿戴裝置或類似者。該網路裝置包含一處理器及一記憶體。該記憶體儲存指令。該等指令在於該處理器上執行時引起該網路裝置產生包含該網路裝置之一公開金鑰及該公開金鑰之一指紋之至少一者的一資料項。該等指令進一步引起該網路裝置使用一網路服務以密碼編譯方式簽署該資料項以產生一對應經簽署資料項，其中可由一第二網路裝置(例如，網路攝影機)確認該經簽署資料項係由該網路服務簽署。該網路服務受該第二網路裝置信任。該等指令進一步引起該網路裝置協商用於該網路裝置與該第二網路裝置之間經由一中間傳訊服務(SIGS)之一同級間連接的條款，包含在至該SIGS之一或多個訊息中發送該經簽署資料項及用於聯絡該網路裝置之一網路位址(如使用例如一STUN伺服器或類似者獲得)。
在網路裝置之一些實施例中，該等指令可進一步引起該網路裝置參與使用私密金鑰對該同級間連接進行加密之一嘗試。
在網路裝置之一些實施例中，該等指令可進一步引起該網路裝置使用與該公開金鑰相關聯之一私密金鑰簽署包含該網路位址之該一或多個訊息之至少一部分，及/或簽署包含該網路位址之該一或多個訊息之該至少一部分之一指紋。
在網路裝置之一些實施例中，該等指令可進一步引起該網路裝置使用該網路服務使該經簽署資料項係、包含或補充有由該網路服務簽署之一存取符記，以授權及/或鑑認該網路裝置至該第二網路裝置。
根據本發明之一第四態樣，提供一種網路系統。該網路系統包含一第一網路裝置(諸如(舉例而言)根據第二態樣之一網路裝置)及一第二網路裝置(諸如(舉例而言)根據第三態樣之一網路裝置)。該網路系統經組態以實現依據根據第一態樣之一方法從該第二網路裝置對該第一網路裝置之一遠端存取。
在網路系統之一些實施例中，該第一網路裝置可為一網路攝影機。該遠端網路存取可包含將來自該網路攝影機之一視訊饋送串流傳輸至該第二網路裝置。
根據一第五態樣，提供一或多個電腦程式。該等電腦程式各自經組態以在由例如根據第二及/或第三態樣之一網路裝置之一處理器執行時引起該網路裝置執行第一態樣之方法之相關部分。
根據一第六態樣，提供一或多個電腦程式產品。各電腦程式產品包含根據第五態樣之一或多個電腦程式儲存於其上之一電腦可讀儲存媒體。
將從以下[實施方式]、圖式及發明申請專利範圍明白本發明之其他目的及優點。在本發明之範疇內，設想關於例如第一態樣之方法描述之全部特徵及優點與關於第二態樣之網路裝置、第三態樣之網路裝置、第四態樣之網路系統、第五態樣之電腦程式及/或第六態樣之電腦程式產品描述之任何特徵及優點相關、適用於該等特徵及優點且亦可與該等特徵及優點組合使用，且反之亦然。
圖1A示意性地繪示其中兩個網路裝置可難以自己建立一(直接)同級間連接之一情形。一第一網路裝置110及一第二網路裝置120想要建立一同級間連接140，使得第二網路裝置120可遠端地存取第一網路裝置110以例如執行第一網路裝置110之一組態及/或例如接收來自第一網路裝置110之一資料串流。如本文中所使用，假定「一第一網路裝置」 (例如，第一網路裝置110)係用於例如監視及/或監控之一網路攝影機，而假定「一第二網路裝置」 (例如，第二網路裝置120)係呈一膝上型電腦之形式之一使用者裝置。當然，亦可有及設想第二網路裝置之其他實例(諸如膝上型電腦代之為一桌上型電腦、一智慧型電話、一平板電腦、一可穿戴裝置等)，但在本文中未進一步繪示。當然，一第一網路裝置亦可為除一網路攝影機之外之某物，諸如一第二網路裝置可想要對其進行一遠端存取之任何可聯網(network-connectable)裝置。
網路攝影機110駐留在一第一區域網路(LAN) 130上，而膝上型電腦120駐留在一第二LAN 131上。兩個LAN 130及131繼而透過一共同網路136 (諸如(舉例而言)網際網路)連接。出於例如安全及/或網路位址管理之原因，第一LAN 130與共同網路136之間之連接並非直接的，而是透過例如一第一防火牆132及/或一第一網路位址轉譯(NAT)裝置134提供。第一防火牆132可例如幫助阻擋至第一LAN 130之不想要的傳入連接嘗試(例如，在某些網路埠上)，且第一NAT裝置134可例如用於在第一LAN 130上使用之一位址空間與共同網路136上使用之一位址空間之間轉譯/映射傳入及傳出資料封包之網路位址。此係因為指派給例如第一LAN 130上之網路攝影機110之網路位址可不同於例如朝向共同網路136之第一NAT 134之網路位址。以一類似方式且出於類似原因，第二LAN 131係透過共同網路136經由例如一第二防火牆133及/或一第二NAT裝置135連接。
由於上述網路組態，網路攝影機110自己可能無法知道如何聯絡膝上型電腦120，且反之亦然。因此，在無進一步輔助之情況下，建立同級間連接140可能不可行。
圖1B示意性地繪示用於解決此問題之一個常用解決方案。此處，假定網路攝影機110及膝上型電腦120兩者已各自與一所謂的傳訊服務(SIGS) 150建立一連接。藉此，網路攝影機110可經由連接152與SIGS 150交換訊息，而膝上型電腦120可經由連接154與SIGS 150交換訊息。因此，SIGS 150可充當網路攝影機110與膝上型電腦120之間之一中繼。例如，膝上型電腦120可使用經建立連接154將一訊息發送至SIGS 150。SIGS 150可取得相同訊息且使用連接152進一步將其發送至網路攝影機110。藉由進行此，甚至在網路攝影機110及膝上型電腦120自己不知道如何彼此直接通信時，網路攝影機110及膝上型電腦120仍可經由SIGS 150間接通信。
由於網路攝影機110及膝上型電腦120可經由SIGS 150 (間接)通信，如此，網路攝影機110及膝上型電腦120可嘗試藉由使用SIGS 150執行用於直接同級間連接140之條款之一協商而建立此一同級間連接。此協商可遵循及使用一或多個標準化技術及程序，諸如(舉例而言)用於NAT會期遍歷公用程式(Session Traversal Utilities for NAT) (STUN，由網際網路工程任務組(IETF)發表為RFC 5389)、藉中繼遍歷NAT (TURN，由IETF發表為RFC 8656)、互動式連接性建立(ICE，由IETF發表為RFC 8445)，運用ICE之TCP候選者(由IETF發表為RFC 6544)等之標準化技術及程序。例如，網路攝影機110可聯絡一STUN伺服器(未展示，但其定位於防火牆132、133及NAT 134、135外部，例如，在共同網路136上之某處)，以找到第一NAT 134已為至遠端主機之網路攝影機110使用者資料報協定(UDP)流分配什麼公共IP位址及埠號。接著，此資訊可經由SIGS 150中繼至膝上型電腦120作為一ICE候選者。同樣地，膝上型電腦120亦可聯絡一(潛在相同) STUN伺服器以獲得關於第二NAT 135之組態之對應資訊，且可經由SIGS 150將此資訊提供至網路攝影機110。網路攝影機110及膝上型電腦120可核對自另一方接收之資訊是否有用(即，若嘗試使用經接收位址資訊進行聯絡，另一方是否回應？)。若為否，則網路攝影機110及/或膝上型電腦120可使用例如(若干) STUN伺服器尋找其他替代例，且可交換網路攝影機110與膝上型電腦120之間之資訊直至雙方接收對於連接至另一方有用之資訊。當然，亦可設想數個似合理ICE候選者由一方同時獲得，且在一單一訊息中作為替代例傳送至另一方，以潛在地加速協商程序。
若期望一多媒體會期以一旦已建立同級間連接140便在網路攝影機110與膝上型電腦120之間傳送例如視訊及/或音訊，則可使用例如會期描述協定(SDP，由IETF發表為RFC 8866)協商此一會期之條款，其中執行提議及對應應答之一交換，直至已協議網路攝影機110及膝上型電腦120兩者皆可接受之條款。此一協商可例如形成ICE協商之部分，或在ICE協商結束之前抑或之後單獨執行。例如，SDP格式之訊息亦可用於ICE協商。
最後，在條款之協商已導致網路攝影機110及膝上型電腦120兩者知道如何聯絡另一方之後，經由SIGS 150接收之資訊可用於建立網路攝影機110與膝上型電腦120之間之直接同級間連接140，且可建立一所要會期以用於將例如視訊資料自網路攝影機110傳送至膝上型電腦120，及/或用於膝上型電腦120對網路攝影機110之一遠端存取。
應注意，如何使用SIGS 150建立同級間連接140之上文概述之程序僅為一個可能實例，且假定熟習此項技術者非常熟悉用於此等連接之條款協商之程序且理解其他選項亦為可行的。然而，假定在網路攝影機110及膝上型電腦120準備好建立直接同級間連接140之前，需要SIGS 150作為兩者之間之一中間方。再者，一「直接」同級間連接應被解釋為「儘可能直接」。例如，協商之結果可為需要一或多個中間代理伺服器(此一或多個TURN伺服器或其他類型之伺服器)作為網路攝影機110與膝上型電腦120之間之中間方。然而，重要的是，一旦已建立同級間連接140，一「真實」同級間連接(無論直接或間接)便不需要進一步使用SIGS 150。然而，SIGS 150當然可用於例如重建一已丟棄同級間連接或類似者。
圖1C示意性地繪示運用使用中間SIGS 150之上述常見解決方案之一潛在問題。在圖1C中所繪示之情形中，SIGS 150已被破解，例如，由一惡意方藉由在SIGS 150中引入例如一特定軟體而駭入。通常，SIGS 150僅自各傳入訊息擷取足以決定訊息本應中繼至何收報人的資訊。然而，SIGS 150通常不關注其所中繼之訊息之剩餘內容。然而，在被破解之後，SIGS 150可能開始干擾訊息，且甚至在一訊息被進一步中繼至接收方之前替換該訊息內之一些或全部資訊。
例如，可設想膝上型電腦120作為條款協商之部分將包含關於網路攝影機110應連接至何處以建立與膝上型電腦120之一(直接)同級間連接之資訊的一訊息發送至SIGS 150。SIGS 150可注意到此訊息，且在訊息被進一步發送至網路攝影機110之前用其自身之資訊替換此一訊息中之膝上型電腦120之聯絡資訊(即，網路位址、埠等)。對於自以膝上型電腦120為收報人之網路攝影機110發送至SIGS之任何類似訊息，情況可相同。藉由竄改在網路攝影機110與膝上型電腦120之間中繼之訊息，SIGS 150可誘騙網路攝影機110直接與SIGS 150 (而非直接與膝上型電腦120)建立一同級間連接141。同樣地，SIGS 150可誘騙膝上型電腦120直接與SIGS 150 (而非直接與網路攝影機110)建立一同級間連接142。如此，SIGS 150可將全部傳入資訊自一方中繼至另一方，使得兩方(網路攝影機110及膝上型電腦120)可仍相信其等各自同級間連接141及142係直接與另一方，而不知曉假定直接同級間連接140並非真實存在且全部資料係代替性地經由SIGS 150發送。此程序被稱為一中間人(MITM)攻擊，且可為有害的，此係因為SIGS 150及惡意方可例如取得對自網路攝影機110發送至膝上型電腦120之敏感資訊(諸如視訊監視饋送或類似者)的存取權限。例如，在網路攝影機110及膝上型電腦120之任一者或兩者之一擁有者未提供及/或操作SIGS 150時但代替性地使用一第三方服務之一情形中，一潛在MITM攻擊之風險可增加。在不具有對SIGS 150之直接控制之情況下，網路攝影機110及/或膝上型電腦120之擁有者可更難以信任SIGS 150及保證SIGS 150不會竄改其所中繼之訊息。
本發明提供一種建立從一個網路裝置至另一網路裝置之一遠端存取的經改良方法，其容許規避MITM攻擊之上文識別之問題。現將在下文中參考隨附圖式之剩餘圖更完全描述此一經改良方法之例示性實施例，以及所設想之經改良網路裝置及經改良網路系統之實例。圖式展示當前較佳實施例，但是，本發明可以許多不同形式體現且不應被解釋為限於本文中所闡述之實施例；實情係，此等實施例係為透徹性及完整性而提供，且向熟習此項技術者完整傳達本發明之範疇。
圖2A示意性地繪示根據本發明之一網路系統200之一實施例。一第一網路裝置210 (此處亦呈一網路攝影機之形式)想要與一第二網路裝置220 (此處亦呈一膝上型電腦之形式)建立一(直接)同級間連接240，以實現膝上型電腦220對網路攝影機210之一遠端存取。如本文中先前描述，在網路攝影機210與膝上型電腦220之間存在一或多個NAT、防火牆或類似品項(未展示)預防網路攝影機210及膝上型電腦220自己建立此一直接同級間連接。代替性地，在協商同級間連接之條款之同時，網路攝影機210及膝上型電腦220依靠一中間SIGS 250中繼訊息。網路攝影機210具有至SIGS 250之一已建立連接252，而膝上型電腦220具有至SIGS 250之一已建立連接254。SIGS 250未假定形成網路系統200之部分，而是由可能不一定受信任之一第三方操作(即，網路攝影機210及膝上型電腦220之一者或兩者之一擁有者不知道SIGS 250是否已被破解)。
經設想網路系統200包含用於簽署資料項且至少受網路攝影機210信任之另一網路服務260之使用。此處，「受信任」意味著網路服務260之一簽章可由網路攝影機210確認，使得網路攝影機210可知道一特定資料項是否已由特定網路服務260簽署。此可藉由可存取例如網路服務260之一公開金鑰之網路攝影機210達成，且其中網路服務260使用一對應(即，同一金鑰對之部分)私密金鑰用於簽署資料項。較佳地，網路服務260之公開金鑰已被預先提供至網路攝影機210，且未與經簽署資料項一起發送。藉由進行此，SIGS 250 (若其用於中繼經簽署資料項)可能無法在網路攝影機210未注意到之情況下竄改網路服務260之簽章，且網路攝影機210不一定需要至網路服務260之一主動網路連接。藉由確認一經接收資料項之簽章，網路攝影機210可確保經簽署資料項之內容未由SIGS 250竄改。
圖2B示意性地繪示根據本發明之網路裝置210、220之各項實施例。各網路裝置包含至少一處理器230 (或例如處理電路)及一記憶體232。記憶體232含有(即，儲存)指令，該等指令在由處理器230執行時引起裝置根據本文中所設想之各種方法之一者執行。例如，若網路裝置係第一網路裝置210 (例如，一網路攝影機)，則儲存於記憶體232中之指令可引起第一網路裝置210執行如本文中稍後將參考圖3B描述之一方法301之一或多項實施例之相關部分，及/或執行如本文中稍後將參考圖3C、圖3D及圖3E描述之一方法302之一或多項實施例之步驟。若網路裝置係第二網路裝置220，則儲存於記憶體232中之指令可例如引起第二網路裝置220執行方法301之一或多項實施例之相關部分，及/或執行如本文中稍後將參考圖3F描述之一方法303之一或多項實施例之步驟。取決於網路裝置210、220各自本應執行之內容，其等可進一步包含此執行所必需之額外品項236。例如，若第一網路裝置210係一網路攝影機，則品項236可包含例如攝影機及與其相關之電子器件，且記憶體232可進一步儲存例如用於處理器之與此一攝影機之功能性相關的一或多個指令。若網路裝置係第二網路裝置220 (例如，一膝上型電腦)，則額外品項236可例如包含用於觀看自一網路攝影機接收之一視訊串流之一監視器、用於接收使用者輸入之一鍵盤或類似者等。為連接至一網路，網路裝置210及220可包含一網路介面234，網路介面234可為例如支援例如Wi-Fi (例如，如在IEEE 802.11中定義)之一無線介面，及/或支援例如乙太網路(例如，如在IEEE 802.3中定義)之一有線介面，或類似者。例如，可提供一通信匯流排238以使各種部件230、232、234及236互連，使得此等部件可如獲得一所要功能性所需般彼此通信。
現將參考圖3A至圖3F更詳細描述根據本發明之方法之各項實施例(如由網路系統200/在網路系統200中執行，及/或各別地在網路攝影機210及膝上型電腦220之各者中)。如先前陳述，若未明確相反陳述，則術語「第一網路裝置」及「網路攝影機」可互換地使用，而此同樣適用於術語「第二網路裝置」及「膝上型電腦」。
圖3B示意性地繪示根據本發明之一方法301之一實施例中之各個步驟，而圖3A示意性地繪示在執行方法301時之一訊息流300。在本文中，一「資料項」係一筆資訊，例如，表示例如一訊息、一資料塊(blob)或類似者之位元集合。特定言之，在方法301之一步驟S301中，藉由膝上型電腦220獲得(例如，產生)一資料項321，且使資料項321包含膝上型電腦220之一公開金鑰及膝上型電腦220之公開金鑰之一指紋的任一者或兩者。例如，一金鑰之一指紋係應用於金鑰之一雜湊函數之結果。本文中之術語「雜湊函數」具有其常見含義，即取得一輸入及提供一(通常較小)輸出之某物，其中容易核對一特定輸入產生一特定輸出，但其中難以或不可能單獨自輸出推斷輸入最初之內容。此可為有用的，例如，此係因為指紋可遠小於完整金鑰，且其中若某人或某物一直試圖竄改指紋則可容易發現，此係因為指紋接著不再對應於原始輸入金鑰。
在已產生包含其公開金鑰(及/或公開金鑰之指紋)之資料項321之後，膝上型電腦220 (在方法301之一步驟S302中)使用連接262在一訊息310中將資料項321發送至網路服務260。網路服務260接收包含資料項321之訊息310，以密碼編譯方式簽署資料項321且傳回至少包含簽章322之一訊息320。在其他實施例中，網路服務260可代替性地在訊息320中傳回資料項321之一經簽署版本(即，資料項321及簽章322兩者)。以任何方式，在接收來自網路服務260之訊息320之後，膝上型電腦220擁有包含簽章322及資料項321兩者之一第一經簽署資料項323。
使用SIGS 250作為一中間方，網路攝影機210及膝上型電腦220接著繼續協商用於建立網路攝影機210與膝上型電腦220之間之一同級間連接的條款。出於此目的，SIGS 250用於在網路攝影機210與膝上型電腦220之間中繼複數個訊息330。雖然在圖3A中繪示為膝上型電腦發送此等訊息之第一訊息332，但相反情況亦可適用。例如，設想膝上型電腦220可(使用某一其他通信通道)聯絡網路攝影機210及請求網路攝影機210藉由將一連接請求/提議發送至膝上型電腦220而起始協商。然而，為論證起見，此處將假定係膝上型電腦220起始連接條款之協商。再者，亦將假定協商可包含在協商結束之前，網路攝影機210及膝上型電腦220各自來回發送多個訊息，且訊息332、332’、334、334’可各自表示複數個訊息。然而，為便於繪示，圖3A僅繪示自各方發送至另一方之一單一訊息。亦應假定，所展示時間線可不同(即，來自網路攝影機210之訊息可例如在來自膝上型電腦220之訊息之前發送，及例如網路攝影機可在接收來自膝上型電腦220之任何訊息之前發送多個訊息，且反之亦然)。換言之，設想協商可採取任何形式，且訊息330可包含以任何特定時間配置經由SIGS 250在網路攝影機210與膝上型電腦220之間來回發送之訊息的任何組合。因此，當在本文中陳述執行此一單一訊息之某事物(諸如一簽署、接收、讀取、發送等)時，亦設想可存在多個訊息且所述事物係對多個訊息之至少一者或全部進行等。
以任何方式，在方法301之一步驟S303中，膝上型電腦220將一或多個訊息332發送至SIGS 250。通常，SIGS 250不需要自一或多個訊息332擷取比收報人所擷取更多之資訊，且可使一或多個訊息332之剩餘部分不被觸及或甚至不被讀取。此亦適用於SIGS 250自網路攝影機210接收以用於轉送至膝上型電腦220之訊息。自膝上型電腦220接收之一或多個訊息332可包含例如一或多個ICE候選者、一或多個SDP應答及/或提議等。特定言之，一或多個訊息332 (之至少一者)包含使用例如一STUN伺服器找到之用於聯絡膝上型電腦220 (以例如與膝上型電腦220建立一同級間連接)的至少一第一網路位址。一或多個訊息332之至少一者亦包含第一經簽署資料項323。在方法301之一步驟S304中，SIGS 250發送由網路攝影機210接收之對應之一或多個訊息332’，一或多個訊息332’包含至少一第二經簽署資料項323’及一第二網路位址324’。在方法中目前為止，不知道SIGS 250是否已竄改訊息，以及例如第一及第二經簽署資料項323及323’是否相同，及/或例如第一及第二網路位址324及324’是否相同。
網路攝影機210繼而可將一或多個自身之訊息334發送至SIGS 250作為協商之部分，使得SIGS 250可藉由將一或多個對應訊息334’發送至膝上型電腦220而中繼一或多個訊息334。例如，一或多個訊息334可包含用於聯絡網路攝影機210之一對應網路位址等。在條款之協商完成之後，不再需要SIGS 250，且網路攝影機210及膝上型電腦220可使用在協商期間達成之關於各自另一方之資訊來建立同級間連接340。
建立同級間連接340可形成網路攝影機210之部分，而實現經由同級間連接340從膝上型電腦220之一遠端存取。然而，若SIGS 250碰巧被破解，則為避免經受一潛在MITM攻擊，經設想方法301及網路系統200包含網路攝影機210使用自SIGS 250接收之經簽署資料項323’。現將更詳細描述此程序。
若網路攝影機210相信自SIGS 250接收之一或多個訊息332’確切為最初由膝上型電腦220發送至SIGS 250之一或多個訊息332，則網路攝影機210可繼續且在無任何進一步考量之情況下進行其建立同級間連接340之部分。此同樣適用於膝上型電腦220。然而，SIGS 250可被破解，且例如一或多個訊息332’可能不一定確切對應於最初自膝上型電腦220發送之一或多個訊息332，且第一及第二經簽署資料項323及323’以及第一及第二網路位址324及324’可不同。例如，SIGS 250可在發送一或多個訊息332’之前已替換一或多個訊息332之部分或全部，以試圖藉由使第二網路位址324’成為屬於例如SIGS 250自身之一網路位址而誘騙網路攝影機210與SIGS 250而非直接與膝上型電腦220建立一同級間連接。同樣地，SIGS 250可在將一或多個訊息334’發送至膝上型電腦220之前更改自網路攝影機210接收之一或多個訊息334之內容，以誘騙膝上型電腦220與SIGS 250而非直接與網路攝影機210建立一同級間連接。然而，為預防此發生，或至少為偵測SIGS 250在發送(若干)訊息332’之前是否已竄改例如(若干)訊息332，網路攝影機210可使用自SIGS 250接收之第二經簽署資料項323’用於確認目的。在方法301之一步驟S305中，網路攝影機藉由使用例如網路服務260之一經本端儲存公開金鑰而確認第二經簽署資料項323’事實上係由網路服務260簽署。在方法301之一步驟S306中，網路攝影機210使用第二經簽署資料項323’以確認自SIGS 250接收之第二網路位址324’來源於膝上型電腦220且未由SIGS 250竄改。在確認S305及S306已成功之後，網路攝影機210可接著在方法301之一步驟S307中繼續實現經由經建立同級間連接340從膝上型電腦220進行一遠端存取。
在下文中，進一步參考圖3C至圖3E，現將呈現兩個提議，各提議包含網路攝影機210可如何在確認步驟S306中使用自SIGS 250接收之第二經簽署資料項323’以避免由SIGS 250執行之一MITM攻擊的進一步細節。當然，其他此等提議亦為可行的，但在本文中並未更詳細描述。
首先，圖3C示意性地繪示可在網路攝影機210中/由網路攝影機210執行之一方法302之一實施例之流程。方法302之步驟對應於在網路攝影機210中執行之方法301之步驟，且此處不需要再次重複其等細節。
圖3D示意性地繪示對應於一第一提議「A」之方法302之步驟S306之經設想子步驟。在提議「A」中，網路攝影機210及膝上型電腦220兩者可在擔心由SIGS 250之一潛在MITM攻擊之前，首先與其相信為另一同級者之裝置建立一同級間連接，包含網路攝影機210與自SIGS 250接收之第二網路位址324’建立一同級間連接之其部分。在此階段，可能不排除網路攝影機210及膝上型電腦220兩者之「另一同級者」事實上係SIGS 250，及例如SIGS 250已竄改經中繼訊息330以例如使第二網路位址324’等於其自身之一網路位址。迄今為止，在無關於任何MITM之損害之情況下，網路攝影機210及膝上型電腦220兩者可接著參與對與「另一同級者」(或另一「方」，此係因為若無相反陳述則術語方及同級者在本文中可互換地使用)建立之其各自同級間連接進行加密的一嘗試。此可包含在(若干)同級間連接之端部分之間交換一或多個安全金鑰。在方法302之步驟S306之一子步驟S306a-i中，此可包含網路攝影機210可將其自身之一公開金鑰提供至連接之另一同級者(即，至第二網路位址324’)，同時亦接收連接之另一同級者(即，來自第二網路位址324’)之一公開金鑰。同樣地，膝上型電腦可將其自身之一公開金鑰提供至連接之其經假定另一同級者，同時接收來自連接之其經假定另一同級者之一公開金鑰。來自一特定另一同級者之經接收公開金鑰可用於在將資料發送至特定另一同級者之前對資料進行加密，且特定另一同級者可使用其對應私密金鑰對資料進行解密等。假定加密之此一程序為熟習此項技術者所熟知，且可例如包含諸如傳輸層安全(TLS，如例如在RFC 8446或如由IETF發表之其任何擴展中描述)、資料報TLS (DTLS，如例如在RFC 6347或藉由IETF之相關發表中描述)等之經建立協定之使用。
重要的是，在方法302之步驟S306之一子步驟S306a-ii中，膝上型電腦220可確認其自第二網路位址324’接收之公開金鑰亦包含於自SIGS 250接收之第二經簽署資料項323’中。替代地，若第二經簽署資料項323’代替性地(或另外)包含一公開金鑰之一指紋，則網路攝影機210可確認自第二網路位址324’接收之公開金鑰之一指紋係包含於第二經簽署資料項323’中之指紋。藉由(在方法302之步驟S305中)首先已確認第二經簽署資料項323’事實上係由受信任網路服務260簽署，網路攝影機210可以較大置信度假定包含膝上型電腦220之公開金鑰之資料項321未由SIGS 250竄改，且第二經簽署資料項323’與膝上型電腦220之第一經簽署資料項323相同，且第二網路位址324’與用於聯絡膝上型電腦220之第一網路位址324相同。此係因為若膝上型電腦220使用其公開金鑰用於對其相信為至網路攝影機210之同級間連接進行加密，則膝上型電腦220之公開金鑰(或其之至少一指紋)將包含於網路攝影機210自SIGS 250接收之第二經簽署資料項323’中。
因此，網路攝影機210可知道自經假定另一同級者(即，自第二網路位址)接收之公開金鑰是否為膝上型電腦220之公開金鑰，且接著亦知道經假定另一同級者事實上是否為膝上型電腦220或其是否為例如試圖執行一MITM攻擊之SIGS 250。若確認公開金鑰(或至少其等指紋)匹配，且同級間連接係直接與膝上型電腦220之同級間連接340，則在方法302之步驟S307中，網路攝影機210可接著繼續且容許/實現經由同級間連接340從膝上型電腦220之遠端存取。若無法確認公開金鑰(或其等指紋)匹配，則網路攝影機210可假定出了問題，例如，SIGS 250已試圖竄改一或多個訊息332’，且不應容許一遠端存取，此係因為無法確保像SIGS 250之某物未充當一中間人。例如，網路攝影機210接著可用一錯誤訊息作出回應，丟棄經建立同級間連接或進行兩者。例如，其他替代例亦為可行的，但本文中未進一步詳述。例如，提議「A」可尤其有利，此係因為膝上型電腦220之公開金鑰已可用於加密目的(例如，其可為一TLS或DTLS加密金鑰)，且其中亦可使用相同公開金鑰來預防SIGS 250執行及成功進行其MITM攻擊，而不需要產生進一步公開/私密金鑰對。
圖3E示意性地繪示根據另一第二提議「B」之方法302之步驟S306之一子步驟。在提議「B」中，膝上型電腦220可選擇以密碼編譯方式簽署其發送至SIGS 250之一或多個訊息332之至少一部分。簽署係使用與包含於資料項321及經簽署資料項323中之膝上型電腦220之公開金鑰相關聯的一私密金鑰執行(在本文中，「相關聯」意味著公開金鑰及私密金鑰形成同一公開/私密金鑰對之部分)。例如，膝上型電腦220可簽署其中提供網路位址324之一或多個訊息332之至少一部分。在已接收來自SIGS 250之一或多個訊息332’之後，網路攝影機210可使用自SIGS 250接收之第二經簽署資料項323’在方法302之步驟S306之一子步驟S306b中確認第二網路位址324’ (之至少一指紋)已由與包含於第二經簽署資料項323’中之一公開金鑰相關聯之一私密金鑰簽署。藉由進行此，網路攝影機210可核對自SIGS 250接收之(若干)訊息332’是否與最初自膝上型電腦220發送至SIGS 250之(若干)訊息332相同，或(若干)訊息是否已由SIGS 250竄改。例如，SIGS 250可試圖藉由其自身之第二網路位址替換膝上型電腦220之第一網路位址，但由於(若干)訊息332之該部分之簽章接著將不再匹配(若干)訊息之內容(或簽章將必須由SIGS 250更新)，故網路攝影機210可偵測到此一竄改嘗試。若網路攝影機210發現竄改，則網路攝影機210可選擇例如完全不建立同級間連接。此提議尤其有益，此係因為網路攝影機210可甚至在於網路攝影機210與假定屬於膝上型電腦220之任何位址之間建立該(或任何)同級間連接之前偵測竄改嘗試。
假定上述提議「A」 (及對應子步驟S306a-i及S306a-ii)及「B」 (及對應子步驟S306b)可由網路攝影機210一次一個地或一次兩個地實施作為方法302之部分(及因此作為方法301之部分)。
在一些經設想實施例中，網路服務260亦可用於提供膝上型電腦220之一授權及/或一鑑認，使得網路攝影機210可知道膝上型電腦220是否應被容許遠端存取。例如，自膝上型電腦220發送至網路服務260之訊息310可包含對一存取符記之一請求(或在圖3中未繪示之另一訊息中，補充有該請求)。網路服務260可核對膝上型電腦220是否應被提供對網路攝影機210之存取，且若應答係肯定的，則網路服務260可產生此一存取符記且將其傳回至膝上型電腦220。例如，存取符記可插入於資料項321中且與膝上型電腦220之公開金鑰一起共同簽署。如此，第一經簽署資料項323可亦包含(經簽署)存取符記，且網路攝影機210可確認在來自SIGS 250之經簽署資料項333中接收之存取符記事實上係由特定網路服務260簽署，且接著容許從膝上型電腦220對網路攝影機210之存取。此係因為假定網路服務260受網路攝影機210信任。應注意，存取符記不一定為預防MITM攻擊所必需，但可用作關於膝上型電腦220是否經授權/鑑認之額外資訊。例如，資料項可為一Java網頁符記(JWT)或類似者，且可含有例如膝上型電腦220之公開金鑰、網路服務260之簽章及可能亦存取符記(若使用)。若JWT已用於例如膝上型電腦220之例如授權及/或鑑認，則在已可用及使用之JWT中實施及包含公開金鑰(或其之指紋)可防止對進一步資料結構之需要且減少所交換之資料變數之數目。當然，指定資料項之格式之其他方式亦為可行的。例如，若膝上型電腦220之公開金鑰包含於存取符記內等，則資料項321可為存取符記本身。
圖3F繪示可在膝上型電腦220中/由膝上型電腦220執行之一方法303之一實施例。方法303之步驟S301至S303對應於關於圖3B描述之方法301之相同步驟S301至S303，且因此是，此處將不再次重複其等細節。圖3F進一步繪示亦可由膝上型電腦220執行之作為方法303之部分(及作為關於圖3B描述之方法301之部分)的兩個選用子步驟S308a及S308b。設想例如執行子步驟S308a及S308b之僅一者，或執行子步驟S308a及S308b兩者。子步驟S308a包含膝上型電腦220參與對與經假定網路攝影機210之同級間連接進行加密之一嘗試。接著，膝上型電腦220使用至少其之指紋包含於第一經簽署資料項323中之公開金鑰。如本文中先前描述，此容許一旦已建立同級間連接及嘗試其之加密，網路攝影機210便確認SIGS 250未執行一MITM攻擊。在子步驟S308b中，膝上型電腦220簽署第一網路位址324包含於其中之一或多個訊息332之至少一部分(之至少一指紋)。如本文中先前描述，此容許網路攝影機210在必須建立至第二網路位址324’之同級間連接之前，核對第二網路位址324’未由SIGS 250竄改，及第二網路位址324’對應於用於聯絡膝上型電腦220之第一網路位址324。
在本文中所設想之全部實施例中，用於將例如來自網路攝影機210之資料串流傳輸至膝上型電腦220之標準可遵循例如被稱為網頁即時連接(WebRTC)之標準，該標準已依靠一傳訊服務(SIGS)用於在例如一網路攝影機與其中待消費例如來自網路攝影機之一視訊串流之一瀏覽器(其在膝上型電腦或類似者上運行)之間建立同級間連接。由於本文中提出之解決方案僅包含在經由SIGS 250在網路攝影機210與膝上型電腦220之間執行之通信中在資料項中提供一額外品項(即，包含膝上型電腦220之公開金鑰或公開金鑰之指紋)，故在實施本文中提出之方法時可仍遵循WebRTC之實踐。特定言之，WebRTC指定使用SDP訊息來協商例如會期及連接條款，且此等SDP訊息良好適合於包含本文中所論述之經簽署資料項所需之額外資料，而不會不利地影響WebRTC程序之其他部分。
本文中亦設想提供一或多個電腦程式。一個此電腦程式可例如用於在一網路系統中執行方法301，用於在呈例如一網路攝影機之形式之一網路裝置中執行方法302，及/或用於在呈例如一使用者裝置(膝上型電腦、平板電腦、智慧型電話、可穿戴裝置、桌上型電腦等)之形式之一網路裝置中執行方法303。例如，一電腦程式可對應於儲存於網路裝置210及220之一者或兩者之記憶體232中之指令，使得當處理器(或處理電路)執行指令時，網路裝置執行對應方法。在其他經設想實施例中，電腦程式可呈尚無法由處理器讀取，而是例如根據一程式設計語言提供為文字的一形式，該文字需要例如藉由使用其之一適合編譯器而被編譯成可由處理器讀取之一格式。當然，編譯器可由處理器本身執行，或甚至形成處理器自身之部分以用於即時編譯。本文中亦設想提供一或多個電腦程式產品。各此電腦程式產品包含上述電腦程式之一或多者儲存於其上之一電腦可讀儲存媒體。例如，一個電腦程式產品可包含用於執行方法301之電腦程式、用於執行方法302之電腦程式，及/或用於執行方法303之電腦程式，如本文中先前描述。如本文中在本發明中使用，例如，一(電腦可讀)儲存媒體(例如，一「記憶體」)可為隨機存取記憶體(RAM)及唯讀記憶體(ROM)之任何組合。在一些實施例中，電腦可讀儲存媒體可為暫時性的(例如，可由處理器讀取之一電信號)。在其他實施例中，電腦可讀儲存媒體可為非暫時性的，例如，呈一非揮發性記憶體之形式，諸如一硬碟機(HDD)、一固態磁碟(SSD)、一安全數位(SD)卡或類似者、一USB快閃隨身碟或類似者，諸如磁性記憶體、光學記憶體、固態記憶體或甚至遠端安裝記憶體之任何組合。亦設想其他類型之電腦可讀儲存媒體，只要其功能性容許儲存電腦程式使得其等可由處理器及/或由一中間編譯器讀取。如亦本文中在本發明中使用，例如，一「處理電路」或「處理器」可為能夠執行儲存於記憶體中之軟體指令之一適合中央處理單元(CPU)、多處理器、微控制器、數位信號處理器(DSP)、特定應用積體電路(ASIC)、場可程式化閘陣列(FPGA)等之一或多者之任何組合。
概括本文中所呈現之各項實施例，本發明提供一種實現從例如一使用者裝置對例如一網路攝影機之一遠端存取的經改良方式。此係因為：a)使用者裝置(例如，一膝上型電腦)提供包含對於使用者裝置而言為「個人」之某事物(諸如(舉例而言)使用者裝置之一公開金鑰(之一指紋))的一資料項；b)資料項係由受網路攝影機信任之一網路服務簽署，使得SIGS可能無法在網路攝影機不知道之情況下竄改資料項；c)使用者裝置嘗試經由SIGS將經簽署資料項傳送至網路攝影機，作為用於網路攝影機與使用者裝置之間之一同級間連接之條款之一協商的部分，及d)由於資料項包含對於使用者裝置而言為個人之某事物，故網路攝影機可使用此個人事物確認SIGS未試圖竄改在協商期間中繼之訊息以執行一MITM攻擊。此係因為使用者裝置之公開金鑰可由使用者裝置使用以例如i)：簽署在協商期間傳送至網路攝影機之用於聯絡使用者裝置的一經提出網路位址，使得網路攝影機可注意到此網路位址是否已由SIGS竄改，及/或ii)：對同級間連接進行加密，使得網路裝置可知道其接收作為協商之部分之自經提出網路位址提供的一公開金鑰實際上是否為使用者裝置之一公開金鑰而非例如SIGS之一公開金鑰。如本文中所設想之此各種解決方案提供一種避免藉由SIGS之潛在MITM攻擊之簡單方式，而無需網路攝影機及/或使用者裝置之任一者之任何實質修改。
雖然上文可以特定組合描述特徵及元件，但各特徵或元件可單獨使用而無需其他特徵或元件，或以具有或不具有其他特徵及元件之各種組合使用。另外，自圖式、揭示內容及隨附發明申請專利範圍之一研究，熟習此項技術者可在實踐所主張本發明時理解及實現對所揭示實施例之變動。
在發明申請專利範圍中，字詞「包括」及「包含」不排除其他元件，且不定冠詞「一(a或an)」不排除複數。某些特徵在相互不同之獨立請求項中敘述之純粹事實不指示此等特徵之一組合無法有利地使用。
110:第一網路裝置(網路攝影機) 120:第二網路裝置(膝上型電腦、使用者裝置) 130:第一區域網路(LAN) 131:第二區域網路(LAN) 132、133:第一及第二防火牆 134、135:第一及第二網路位址轉譯(NAT)裝置/第一及第二網路位址轉譯(NAT) 136:共同網路(例如，網際網路) 140:第一網路裝置與第二網路裝置之間之同級間(P2P)連接 141:至SIGS之惡意同級間(P2P)連接 142:至SIGS之惡意同級間(P2P)連接 150:傳訊服務(SIGS) 152:連接 154:連接 200:網路系統 210:第一網路裝置(網路攝影機) 220:第二網路裝置(膝上型電腦、使用者裝置) 230:處理器/部件 232:記憶體/部件 234:網路介面/部件 236:額外品項/部件 238:通信匯流排 240:第一網路裝置與第二網路裝置之間之同級間(P2P)連接 250:傳訊服務(SIGS) 252:已建立連接 254:已建立連接 260:受信任網路服務 262:連接 300:訊息流 301:在網路系統中/由網路系統執行之方法 302:在第一網路裝置中/由第一網路裝置執行之方法 303:在第二網路裝置中/由第二網路裝置執行之方法 310:訊息 320:訊息 321:資料項 322:簽章 323、323’:第一及第二經簽署資料項 324、324’:第一及第二網路位址 330:協商訊息 332:自第二網路裝置至SIGS之訊息 332’:自SIGS至第一網路裝置之訊息 334:自第一網路裝置至SIGS之訊息 334’:自SIGS至第二網路裝置之訊息 340:同級間連接 S301:步驟 S302:步驟 S303:步驟 S304:步驟 S305:步驟/確認 S306:步驟/確認 S306a-i:子步驟 S306a-ii:子步驟 S306b:子步驟 S307:步驟 S308a:子步驟 S308b:子步驟
現將在下文參考隨附圖式描述例示性實施例，其中：
圖1A至圖1C示意性地繪示使用一中間傳訊服務(SIGS)之一習知網路系統設置；
圖2A示意性地繪示根據本發明之使用一中間SIGS之一網路系統設置之實施例；
圖2B示意性地繪示根據本發明之網路裝置之實施例；
圖3A示意性地繪示根據本發明之一方法之實施例中之一訊息流，及
圖3B至圖3F示意性地繪示根據本發明之方法之實施例之流程。
在圖式中，相同元件符號將用於相同元件，除非另有陳述。除非明確相反陳述，否則圖式僅展示繪示實例實施例所必需之此等元件，而為清楚起見，可省略或僅暗示其他元件。如圖中所繪示，元件及區之(絕對或相對)大小可為闡釋性目的而相對於其等真實值被放大或低估，且因此經提供以繪示實施例之一般結構。
210:第一網路裝置(網路攝影機)
220:第二網路裝置(膝上型電腦、使用者裝置)
250:傳訊服務(SIGS)
260:受信任網路服務
300:訊息流
310:訊息
320:訊息
321:資料項
322:簽章
323、323’:第一及第二經簽署資料項
324、324’:第一及第二網路位址
330:協商訊息
332:自第二網路裝置至SIGS之訊息
332’:自SIGS至第一網路裝置之訊息
334:自第一網路裝置至SIGS之訊息
334’:自SIGS至第二網路裝置之訊息
340:同級間連接

Claims (15)

  1. 一種實現從一第二網路裝置對一第一網路裝置之一遠端網路存取的方法，其包括： a)該第二網路裝置產生包含該第二網路裝置之一公開金鑰及該公開金鑰之一指紋之至少一者的一資料項； b)該第二網路裝置使用一網路服務以密碼編譯方式簽署該資料項以產生一對應第一經簽署資料項，其中可由該第一網路裝置確認該第一經簽署資料項係由該網路服務簽署； c)該第一網路裝置及該第二網路裝置經由一中間傳訊服務SIGS執行用於建立一同級間連接之條款之一協商，其包含該第二網路裝置在至該SIGS之一或多個訊息中發送該第一經簽署資料項及用於連接至該第二網路裝置之一第一網路位址，且包含該第一網路裝置在來自該SIGS之一或多個訊息中接收一第二經簽署資料項及一第二網路位址，及 d)在首先進行以下步驟之後，該第一網路裝置使用該等經協商條款實現經由該同級間連接從該第二網路位址之該遠端網路存取， d-i)確認該第二經簽署資料項係由該網路服務簽署，及 d-ii)使用該第二經簽署資料項確認該第二網路位址係該第一網路位址且未由該SIGS竄改。
  2. 如請求項1之方法，其中步驟d)包含該第一網路裝置參與使用自該第二網路位址接收之一公開金鑰對該同級間連接進行加密的一嘗試，且其中步驟d-ii)包含該第一網路裝置確認自該第二網路位址接收之該公開金鑰及/或自該第二網路位址接收之該公開金鑰之一指紋包含於自該SIGS接收之該第二經簽署資料項中。
  3. 如請求項2之方法，其中該加密係使用資料報傳輸層安全DTLS執行，且其中自該第二網路位址接收之該公開金鑰係一DTLS公開金鑰。
  4. 如請求項1之方法，其包含該第二網路裝置使用與該第二網路裝置之一第二公開金鑰相關聯之一私密金鑰簽署發送至該SIGS之該一或多個訊息之至少一部分及/或發送至該SIGS之該一或多個訊息之該至少一部分之一指紋的至少部分，且其中步驟d-ii)包含該第一網路裝置確認自該SIGS接收之該一或多個訊息之至少一部分及/或自該SIGS接收之該一或多個訊息之該至少一部分之一指紋的至少部分已使用與包含於該第二經簽署資料項中之一公開金鑰相關聯之一私密金鑰簽署。
  5. 如請求項1之方法，其包含使用網頁即時連接WebRTC提供該遠端網路存取，其中該一或多個訊息至少包含一會期描述協定SDP應答及/或提議，且該第一網路位址係一互動式連接性建立ICE候選者。
  6. 如請求項5之方法，其中該資料項係、包含或補充有由該網路服務提供而且簽署之一存取符記，以授權及/或鑑認該第二網路裝置，且其中該步驟d)包含該第一網路裝置確認該存取符記係、包含於或補充自該SIGS接收之該第二經簽署資料項。
  7. 一種網路裝置，其包括： 一處理器，及 一記憶體，其儲存指令，該等指令在由該處理器執行時引起該網路裝置： 協商用於該網路裝置與一第二網路裝置之間經由一中間傳訊服務SIGS之一同級間連接之條款，其包含在來自該SIGS之一或多個訊息中接收一經簽署資料項及一網路位址，及 使用該等經協商條款實現經由該同級間連接從該網路位址之一遠端網路存取，其包含首先： 確認自該SIGS接收之該經簽署資料項係由受該網路裝置信任之一網路服務簽署，及 使用自該SIGS接收之該經簽署資料項確認自該SIGS接收之該網路位址未由該SIGS竄改。
  8. 如請求項7之網路裝置，其中該等指令進一步引起該網路裝置參與使用自該網路裝置接收之一公開金鑰對該同級間連接進行加密的一嘗試，及在首先亦確認自該網路位址接收之該公開金鑰及/或自該網路位址接收之該公開金鑰之一指紋包含於自該SIGS接收之該經簽署資料項中之後，容許從該網路位址之該遠端網路存取。
  9. 如請求項7之網路裝置，其中該等指令進一步引起該網路裝置確認包含該網路位址之自該SIGS接收之該一或多個訊息之至少一部分及/或包含該網路位址之自該SIGS接收之該一或多個訊息之該至少一部分的一指紋已使用與包含於自該SIGS接收之該經簽署資料項中之一公開金鑰相關聯之一私密金鑰簽署。
  10. 一種網路裝置，其包括： 一處理器，及 一記憶體，其儲存指令，該等指令在由該處理器執行時引起該網路裝置： 產生包含該網路裝置之一公開金鑰及該公開金鑰之一指紋之至少一者的一資料項； 使用一網路服務以密碼編譯方式簽署該資料項以產生一對應經簽署資料項，其中可由一第二網路裝置確認該經簽署資料項係由該網路服務簽署； 協商用於該網路裝置與該第二網路裝置之間經由一中間傳訊服務SIGS之一同級間連接之條款，其包含在至該SIGS之一或多個訊息中發送該經簽署資料項及用於聯絡該網路裝置之一網路位址。
  11. 如請求項10之網路裝置，其中該等指令進一步引起該網路裝置參與使用私密金鑰對該同級間連接進行加密之一嘗試。
  12. 如請求項10之網路裝置，其中該等指令進一步引起該網路裝置使用與該公開金鑰相關聯之一私密金鑰簽署包含該網路位址之該一或多個訊息之至少一部分，及/或簽署包含該網路位址之該一或多個訊息之該至少一部分之一指紋。
  13. 如請求項10之網路裝置，其中該等指令進一步引起該網路裝置使用該網路服務以使該經簽署資料項係、包含或補充有由該網路服務簽署之一存取符記，以授權及/或鑑認該網路裝置至該第二網路裝置。
  14. 一種網路系統，其包含一第一網路裝置及一第二網路裝置，且經組態以實現根據如請求項1之方法從該第二網路裝置對該第一網路裝置之一遠端網路存取。
  15. 如請求項14之網路系統，其中該第一網路裝置係一網路攝影機，且其中該遠端存取包含將來自該網路攝影機之一視訊饋送串流傳輸至該第二網路裝置。
TW111147533A 2021-12-14 2022-12-12 具有中間人攻擊預防之遠端存取 TW202335460A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP21214231.9 2021-12-14
EP21214231.9A EP4199417A1 (en) 2021-12-14 2021-12-14 Remote access with man-in-the-middle attack-prevention

Publications (1)

Publication Number Publication Date
TW202335460A true TW202335460A (zh) 2023-09-01

Family

ID=78851219

Family Applications (1)

Application Number Title Priority Date Filing Date
TW111147533A TW202335460A (zh) 2021-12-14 2022-12-12 具有中間人攻擊預防之遠端存取

Country Status (6)

Country Link
US (1) US20230188562A1 (zh)
EP (1) EP4199417A1 (zh)
JP (1) JP2023088290A (zh)
KR (1) KR20230090231A (zh)
CN (1) CN116264525A (zh)
TW (1) TW202335460A (zh)

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015115893A (ja) * 2013-12-13 2015-06-22 富士通株式会社 通信方法、通信プログラム、および中継装置
GB2529864A (en) * 2014-09-04 2016-03-09 Westhawk Ltd Secure communication method
US10298404B1 (en) * 2014-12-12 2019-05-21 Amazon Technologies, Inc. Certificate echoing for session security
US11151229B1 (en) * 2020-04-10 2021-10-19 Avila Technology, LLC Secure messaging service with digital rights management using blockchain technology

Also Published As

Publication number Publication date
CN116264525A (zh) 2023-06-16
KR20230090231A (ko) 2023-06-21
JP2023088290A (ja) 2023-06-26
EP4199417A1 (en) 2023-06-21
US20230188562A1 (en) 2023-06-15

Similar Documents

Publication Publication Date Title
US9398026B1 (en) Method for authenticated communications incorporating intermediary appliances
US8788805B2 (en) Application-level service access to encrypted data streams
US10389524B2 (en) Introducing middleboxes into secure communications between a client and a server
US8510549B2 (en) Transmission of packet data over a network with security protocol
US9197616B2 (en) Out-of-band session key information exchange
US8364772B1 (en) System, device and method for dynamically securing instant messages
KR101055861B1 (ko) 통신 시스템, 통신 장치, 통신 방법 및 그것을 실현하기위한 통신 프로그램
AU2016369606A1 (en) Systems and methods for secure multi-party communications using a proxy
EP1267548A2 (en) Method and system for integrating security mechanisms into session initiation protocol request messages for client-proxy authentication
CN104301107A (zh) 经由相应WebRTC数据信道验证WebRTC媒体信道私密性的方法、系统
US10721219B2 (en) Method for establishing a secure communication session in a communications system
KR20120099649A (ko) 저-지연 피어 세션 구축
US10721061B2 (en) Method for establishing a secure communication session in a communications system
US9882897B2 (en) Method and system for transmitting and receiving data, method and device for processing message
US10659228B2 (en) Method for establishing a secure communication session in a communications system
JP2009514349A (ja) 全交換セッションセキュリティ
WO2023241176A1 (zh) 通信方法、装置、设备、存储介质及程序产品
EP2507940B1 (en) Identity based network policy enablement
KR101448866B1 (ko) 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법
TW202335460A (zh) 具有中間人攻擊預防之遠端存取
CN110995730B (zh) 数据传输方法、装置、代理服务器和代理服务器集群
JP2006053799A (ja) 端末装置、ファイアウォール装置、及びファイアウォール装置制御のための方法、並びにプログラム
Thomson et al. RFC 8844: Unknown Key-Share Attacks on Uses of TLS with the Session Description Protocol (SDP)
CN114553567A (zh) 多方安全计算中的网络传输方法和系统
CN115102698A (zh) 量子加密的数字签名方法及系统