WO2013026415A1 - 家庭网络设备的管理方法、控制设备和家庭网络设备 - Google Patents

家庭网络设备的管理方法、控制设备和家庭网络设备 Download PDF

Info

Publication number
WO2013026415A1
WO2013026415A1 PCT/CN2012/080596 CN2012080596W WO2013026415A1 WO 2013026415 A1 WO2013026415 A1 WO 2013026415A1 CN 2012080596 W CN2012080596 W CN 2012080596W WO 2013026415 A1 WO2013026415 A1 WO 2013026415A1
Authority
WO
WIPO (PCT)
Prior art keywords
certificate
home network
network device
master
master device
Prior art date
Application number
PCT/CN2012/080596
Other languages
English (en)
French (fr)
Inventor
朱萸
吴黄伟
张钦亮
赵君杰
Original Assignee
华为终端有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为终端有限公司 filed Critical 华为终端有限公司
Publication of WO2013026415A1 publication Critical patent/WO2013026415A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/065—Network architectures or network communication protocols for network security for supporting key management in a packet data network for group communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks
    • H04W84/20—Master-slave selection or change arrangements

Definitions

  • the present invention relates to the field of home networks, and in particular, to a method for managing a home network device, a control device, and a home network device. Background technique
  • the (Personal Identification Number) code completes mutual trust, and both parties save the self-signed certificate of the other party, and the CP subsequently communicates with the device through the TLS protocol.
  • the inventor finds that the prior art has at least the following disadvantages: In the prior art, a CP and a device can only establish a trust relationship between the two parties. When a new device joins the device group, the CP and the master are required. The device repeats the same steps of establishing a trust relationship with other devices. The interaction process between the devices is complicated, and the user needs to input the PIN code multiple times, and the experience is poor. Summary of the invention
  • Embodiments of the present invention provide a method, a control device, and a home network device for managing a home network device.
  • the technical solution is as follows:
  • a method for managing a home network device including:
  • the control device and the home network device perform mutual authentication
  • the control device receives the first certificate and the second certificate sent by the master device, where the first certificate is used by the master device according to the public key of the home network device and the master device The signature information is generated, and the second certificate is a certificate of the master device;
  • the control device sends the first certificate and the second certificate to the home network device, so that the home network device joins the device group where the master device is located by using the first certificate and the second certificate. And communicating with devices in the device group using the first certificate and the second certificate.
  • the primary device and the home network device perform mutual authentication
  • the primary device sends the first certificate and the second certificate to the home network device, so that the home network device joins the primary device by using the first certificate and the second certificate.
  • a device group and communicates with the device in the device group by using the first certificate and the second certificate;
  • the first certificate is according to a public key of the home network device and a signature of the master device Information generation;
  • the second certificate is a certificate of the master device.
  • a method for managing a home network device including:
  • the home network device receives the first certificate and the second certificate from the control device, joins the device group by using the first certificate and the second certificate, and uses the first
  • the certificate and the second certificate are in communication with the device in the device group; the first certificate is generated according to the public key of the home network device and the signature information of the primary device; the second certificate is the primary device Prepared certificate
  • the control device is the master device or a control point.
  • a control device comprising:
  • a receiving module configured to receive, after the mutual authentication is passed, a first certificate and a second certificate sent by the master device, where the first certificate is used by the master device according to a public key of the home network device The signature information of the master device is generated, and the second certificate is a certificate of the master device;
  • a sending module configured to send the first certificate and the second certificate to the home network device, so that the home network device joins the device group where the master device is located by using the first certificate and the second certificate And using the first certificate and the second certificate to communicate with devices in the device group.
  • a control device comprising:
  • a sending module configured to send the first certificate and the second certificate to the home network device after the mutual authentication is passed, so that the home network device joins the primary device by using the first certificate and the second certificate a device group, and using the first certificate and the second certificate to communicate with devices in the device group;
  • the first certificate is used by the master device according to a public key and a location of the home network device
  • the signature information of the master device is generated, and the second certificate is a certificate of the master device.
  • a home network device includes:
  • a receiving module configured to receive the first certificate and the second certificate from the control device after the mutual authentication is passed;
  • Adding a device group module configured to join the device group where the master device is located by using the first certificate and the second certificate;
  • a communication module configured to communicate with a device in the device group by using the first certificate and the second certificate;
  • the first certificate is generated according to a public key of the home network device and signature information of the master device;
  • the second certificate is a certificate of the master device;
  • the control device is the master device or a control point.
  • the device issues a master device certificate for authentication for the home network device, and the interaction between the parent device and the home network device and between the home network device and other group devices uses the certificate issued by the master device to ensure security. If the certificate of the slave device is issued by the master device, when the home network device communicates with the device in the device group, the certificate can be verified by using the certificate issued by the master device to establish a trust relationship. In this process, the user is not required. The re-engagement does not require complex mutual authentication between the home network device and the devices in the device group by using device information and the like, which simplifies the interaction process between the devices.
  • FIG. 1 is a flowchart of a method for managing a home network device according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for managing a home network device according to an embodiment of the present invention
  • FIG. 4 is a flowchart of a method for managing a home network device according to an embodiment of the present invention
  • FIG. 5 is a flowchart of a home network device according to an embodiment of the present invention
  • FIG. 6 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 8 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 9 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 11 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 12 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • FIG. 13 is a schematic structural diagram of a home network device according to an embodiment of the present disclosure.
  • FIG. 14 is a schematic structural diagram of a home network device according to an embodiment of the present disclosure.
  • FIG. 15 is a schematic structural diagram of a home network device according to an embodiment of the present disclosure.
  • FIG. 16 is a schematic structural diagram of a home network device according to an embodiment of the present invention. detailed description
  • the UPnP standard defines two logical entities: CP (Control Point) and Device (UPnP device):
  • the CP uses the UPnP protocol to communicate with the device and control the device; and between the CP and the CP, the device cannot be between the device and the device. Direct mutual control through the UPnP protocol.
  • the IGRS protocol also defines two logical entities, client and device, which behave similarly to CPs and devices in UPnP.
  • This architecture enables a distributed network where there may be multiple CPs/clients and multiple devices in the home network without the concept of a control center device.
  • FIG. 1 is a flowchart of a method for security initialization of a home network device according to an embodiment of the present invention.
  • the method may be applied to a UPnP or an IGRS.
  • the UPnP standard is used as an example.
  • the main body is a control device, specifically a control point. Referring to FIG. 1, the method includes:
  • the control point performs mutual authentication with the home network device.
  • the authentication information may include a PIN code or administrator account information of the home network device.
  • the control device that is, the control point, feeds back the authentication information to the home network device, so that the home network device authenticates the control point according to the authentication information, and returns the authentication result, and the control point authenticates the home network device according to the authentication result, and the authentication process is existing.
  • the control point can obtain the authentication information by receiving the PIN code or administrator account information of the home network device input by the user.
  • the control device receives the first certificate and the second certificate sent by the master device, where the first certificate is used by the master device according to the public key of the home network device and the The signature information of the master device is generated, and the second certificate is a certificate of the master device;
  • control point can obtain the device information of the home network device, and after the mutual authentication is passed, the device information is sent to the master device of the device group.
  • the device information includes at least one of the following: device ID, public key, device serial number, UUID, vendor ID, and factory date.
  • the device information may include a public key or may not include a public key.
  • a pair of public and private keys may be generated, and The public key is included in the device information and sent to the control point, and then forwarded to the master device of the device group by the control point; and when the home network device does not have the ability to generate the public key, the device information does not include the public key, and the control point is
  • the master device establishes a secure channel (for example, TLS (Transport Layer Security)), and the master device generates a pair of public and private keys, and sends the private key to the control point through the secure channel, which is controlled by the control point.
  • the private key is sent to the home network device.
  • the control point sends the first certificate and the second certificate to the home network device, so that the home network device joins the device group where the master device is located by using the first certificate and the second certificate. And communicating with devices in the device group using the first certificate and the second certificate.
  • FIG. 2 is a flowchart of a method for security initialization of a home network device according to an embodiment of the present invention.
  • the method may be applied to a UPnP or an IGRS.
  • the IGRS standard is used as an example in this embodiment.
  • the main body is the main device. Referring to Figure 2, the method includes:
  • the primary device and the home network device perform mutual authentication.
  • the primary device sends the first certificate and the second certificate to the home network device, so that the home network device joins the primary device by using the first certificate and the second certificate.
  • FIG. 3 is a flowchart of a method for security initialization of a home network device according to an embodiment of the present invention.
  • the method may be applied to a UPnP or an IGRS.
  • the implementation body of the embodiment is a home network device.
  • the control device is The master device of a control point or device group, the method includes:
  • the home network device and the control device perform mutual authentication
  • the home network device receives the first certificate and the second certificate from the control device, joins the device group by using the first certificate and the second certificate, and uses the first
  • the certificate and the second certificate are in communication with the device in the device group; the first certificate is generated according to the public key of the home network device and the signature information of the primary device; the second certificate is the primary device Certificate.
  • the certificate information of the other device may be verified by using the saved certificate information of the master device, and the device that issues the certificate for the master device is used. You can trust each other directly.
  • the certificate information of the master device can include the public key of the master device.
  • TLS time-to-live
  • Other devices can also authenticate the new device in the same way.
  • the home network device and the master device authenticate each other to establish a trust relationship and join the device group.
  • the master device issues a master device certificate for authentication for the home network device, between the subsequent master device and the home network device, and the home network device.
  • the interaction between devices in other groups is ensured by using the certificate issued by the master device. Since the certificate of the slave device is issued by the master device, when the home network device communicates with the device in the device group, it can be used.
  • the certificate issued by the master device is verified to establish a trust relationship. In this process, the user does not need to participate again, and the mutual authentication between the home network device and the device in the device group is not required. Simplifies the process of interaction between devices.
  • FIG. 4 is a flowchart of a method for managing a home network device according to an embodiment of the present invention.
  • an application environment is a UPnP and an execution entity is used as a control point.
  • the home network includes a device.
  • the group, the device group includes a control point, a master device, and multiple slave devices, and an existing home network device joins the network.
  • the method includes:
  • the home network device is online, and sends an SSDP alive multicast message, where the SSDP alive multicast message carries a UUID (Universal Unique Identifier) of the home network device;
  • UUID Universal Unique Identifier
  • the home network device sends an SSDP alive multicast message in the home network, where the message is a device online message, and is used to notify the control point that the home network device is online.
  • control point 402 When the control point receives the SSDP alive multicast message, determine, by using the UUID carried by the SSDP alive multicast message, whether the home network device has joined the home network.
  • the control point stores a list of devices that have joined the home network, and the list may include the UUID of the device, the device name, and the like.
  • the step 402 includes: determining whether the UUID is included in the device list of the control point, and if yes, indicating that the home network device is already registered at the control point, and is an existing device in the home network, if not, The home network device is not joined to the home network and is a new network access device.
  • control point 403 When the home network device is not joined to the home network, the control point sends the message to the home network device. IGRS control command;
  • the IGRS control command is an HTTP POST message, and the IGRS control command carries administrator account information.
  • the home network device returns a response to the reject command request to the control point, where the response carries the home network device authentication information;
  • the home network device since the home network device and the control point have not established a trust relationship at this time, the home network device returns a response rejecting the command request;
  • the response may be "401 Unauthorized".
  • the response carries the following information: random value RAND, challenge value CHAL, device authentication information ATUN, session key resource SKEY, algorithm set ALGO, and authentication information type TYPE.
  • the CP may first check whether the AUTN value of the home network device is correct by using the RAND and the obtained PIN/ADMIN value according to the algorithm set indicated in the response; then, using the CHAL in the above message and the obtained home network
  • the PIN/ADMIN of the device calculates the authentication result RES, transmits the control command again and carries the authentication result RES therein.
  • the CP also needs to use the SKEY in the response to calculate the keys EKey and IKey used in this session.
  • Ekey is used to encrypt communication data with the home network device after the authentication is passed.
  • Ikey is used to protect the integrity of communication data between the CP and the home network device after this step.
  • the information carried in the response is specifically used to:
  • Random value RAND the home network device uses the random value and the PIN code/admin account information to calculate the home network device authentication information.
  • the algorithm uses the algorithm in the algorithm set to calculate the random value and the PIN code/admin account information of the device, and obtains the authentication information of the home network device, and the home network according to the authentication information.
  • the device is certified.
  • Challenge value CHAL the challenge value is a random number
  • the home network device uses the challenge value to authenticate the CP.
  • the CP calculates the customer authentication information using the challenge value and the PIN code/admin account information of the home network device, and carries it when resending the control command to the home network device.
  • the home network device authentication information ATU the home network device uses the RAND and PIN code/admin account information to calculate the home network device authentication information ATU. After the CP knows the device PIN code/admin account information, it can authenticate the home network device with the RAND calculation. The CP obtains the ATUN value by calculation, and then compares the calculated ATUN with the received ATUN value. If they are consistent, the home network device passes the authentication.
  • the session key resource SKEY the information used to protect the communication between the CP and the home network device is not intercepted and deciphered by a third party.
  • the material SKEY1 for calculating the encryption key and the material SKEY2 for calculating the message integrity key are used to calculate the resources of the key (encryption key EKey, message integrity key IKey) behind the session for the home network device and the CP.
  • Algorithm set ALGO the algorithm set is used to indicate the method of calculating the authentication information, and the algorithm of session encryption.
  • a message authentication mechanism such as MAC or HMAC or a hash algorithm such as MD5, SHA1, and SHA256 or a data encryption algorithm such as AES or 3DES is used.
  • the authentication information type TYPE is used to distinguish the authentication information.
  • the authentication information may be a PIN code, an administrator account, or other information.
  • the value of the authentication information may be "PIN” or "ADMIN” Stamm Actual, home network
  • the device determines which value to use to authenticate the client according to its factory configuration.
  • the PIN or Admin account information will be displayed on the home network device screen during the authentication process, or the user can find the information on the label on the physical device; after the user reads the data Entered on the customer's UI (User Interface), the UI can be the display.
  • UI User Interface
  • the home network device also needs to calculate and save the session key used later, and the check code (XRES) used to verify that the authentication information returned by the CP is correct. In practice, this step can also be operated after receiving a CP reply.
  • XRES check code
  • the control point receives the response, and authenticates the home network device according to the response, and sends the command request information to the home network device when the authentication is passed, where the command request information carries the authentication pass information;
  • the authentication pass information includes a PIN code of the home network device or administrator user information. Specifically, when the home network device enters the network, the user may input the PIN code of the home network device on the interface provided by the control point to add the home network device to the management, or the user may input the administrator on the interface provided by the control point. User information, after authentication calculation, notifies the home network device that the control point is a legitimate control device in the network.
  • the method of authenticating according to the above response and the authentication information replied by the CP may be as follows:
  • the CP When the CP receives the response, it calculates the random value according to the algorithm specified in the response. If the calculated AUTN is consistent with the response, it can be determined that the home network device is trusted, that is, the authentication device passes to the home network. The device returns the authentication result RES for the home network device authentication control point.
  • EKey SHAl (SKEY11
  • SHA1 is a hash algorithm and
  • the home network device When receiving the command request information, the home network device authenticates the control point according to the authentication pass information carried in the command request information, and feeds back the authentication pass information to the control point when the authentication passes;
  • the home network device After receiving the authentication pass information, the home network device performs a preset algorithm calculation according to the authentication pass information, calculates XRES or uses the previously calculated XRES to compare the RES value carried in the message, and if the two are the same, the control point is considered It is credible, that is, the control point authentication is passed.
  • the home network device returns a response message for the command to the control point.
  • the control point and the home network device have gained mutual trust, and the home network device is completely subject to the control of the control point. Subsequent sessions will be encrypted by an EKey known to both parties, and the IKey will verify message integrity.
  • the above steps 401 to 406 are a mutual authentication process between the home network device and the control point, and the trust relationship is obtained between the home network device and the control point through the authentication process. It should be noted that the algorithm in the authentication process and the home network device The interaction with the control point is a prior art and will not be described here.
  • control point 407 When the control point receives the authentication pass information fed back by the home network device, the control point notifies the home network device to generate a pair of public and private keys, and sends a group announcement message to the home network device.
  • the group announcement message carries the device group information and the master device information of the device group; the home network device can join the device group according to the device group information provided by the control point and the master device information of the device group.
  • the device group information and the device information of the device group may also be carried by the group announcement message and the master device announcement message respectively.
  • the method may further include: sending the master to the home network device. Device announcement message.
  • the home network device sends the public key to the control point
  • control point After receiving the public key, the control point may send an SSDP Search multicast message, discover the master device through the multicast message, and establish a security pipeline with the master device, and the interaction between the subsequent control point and the master device may be Transfer through this secure pipe.
  • the public key is carried in the device information, and the device information includes at least one of the following: a device identifier, a public key, a device serial number, a UUID, a vendor identifier, and a factory date. 409: The control point receives the public key and forwards the public key to the master device;
  • control point is used as a control device in the home network, and after mutual authentication with the home network device is passed, information can be forwarded between the home network device and the master device.
  • the master device receives the public key, and generates a first certificate according to the public key of the home network device and the signature information of the master device, and sends the first certificate and the second certificate to the control point.
  • the public key and the signature information of the master device are necessary components for generating the first certificate.
  • the device information may include the device identifier, the device serial number, the UUID, the vendor identifier, or the date of manufacture. And so on.
  • the control point receives the first certificate, the second certificate, and forwards the first certificate and the second certificate to the home network device.
  • the above steps 407-141 are a process in which the master device generates the first certificate and issues the first certificate to the home network device.
  • the home network device is a device that has the capability of generating a public key and a private key, and thus is configured by the home network.
  • the device generates a pair of public and private keys, and in another embodiment, when the home network device is not capable of generating a public key and a private key, the master device may generate the public key and the private key, the master device Generating a first certificate according to the public key of the home network device and the signature information of the master device, and sending the first certificate, the private key, and the second certificate to the control point, and the control point forwards the information to the home network device.
  • control point and the master device of the device group establish a security pipeline
  • the master device generates a public key and a private key, and generates a first certificate according to the public key of the home network device and the signature information of the master device, and passes the
  • the security pipeline sends the first certificate, the second certificate and the private key to the control point, and the control point forwards the first certificate, the second certificate and the private key to the home network device, so that the first certificate, the second certificate and the private key are saved and subsequently communicated with other devices. Used in.
  • the first certificate is issued by the master device, that is, the first certificate carries the signature information of the master device, and those skilled in the art may know that the signature information is used by the master device.
  • the private key's signature on the certificate. This first certificate is used when the home network device is behind secure communication with any device in the device group.
  • the home network device uses the first certificate and the second certificate to join the device group where the master device is located.
  • the control point notifies the home network device of the device group and the device group information of the device group, where the device group passes the group. ID to identify.
  • the joining, by the home network device, the device group includes: establishing a secure connection with the primary device by using the first certificate, and sending, by using the first security device, the device group that is added to the primary device by using the secure connection
  • the request causes the master device to authenticate the home network device by using the second certificate, and when the authentication passes, receiving a response sent by the master device to join the device group.
  • the home network device receives the group announcement message of the master device, and performs verification according to the group ID in the group announcement message and the group ID received in the authentication process, and is verified to be consistent with the control point designation.
  • the home network device establishes a security pipeline (such as TLS) to the master device, and completes the certificate exchange process in the process of establishing the security pipeline, that is, the home network device sends the first certificate to the master device, and receives the second certificate sent by the master device.
  • the home network device can authenticate the identity of the master device by comparing the received second certificate with the second certificate forwarded by the previous control device;
  • the home network device sends a request to join the device group to the master device to request to join the device group;
  • the master device authenticates the home network device according to the second certificate, that is, the public key of the second certificate can identify the signature information generated by the master device using the private key in the first certificate, and the certificate of the home network device is identified by the master device. ;
  • the master device When the authenticated home network device passes, the master device returns a response to the message indicating that the home network device has successfully joined the device group.
  • the master device obtains control of the home network device; those skilled in the art may know that after obtaining the control right of the home network device, the master device is under the home network device. Send initial configuration information;
  • the first certificate and the second certificate are used to perform verification with the slave device, and when the verification is passed, a trust relationship is established with the slave device.
  • the first certificate is used to verify the first certificate of the slave device, and when the first certificate of the slave device is consistent with the signature information in the first certificate, the first certificate of the slave device is Is issued for the master device, and the verification is passed.
  • the home network device and the slave device can obtain the counterpart certificate and verify the signature information of the counterpart certificate by connecting a secure pipe (such as TLS), thereby knowing that the certificate is also issued by the master device, and other devices can also be authenticated in the same manner.
  • a secure pipe such as TLS
  • the home network device and the control point authenticate each other to establish a trust relationship and join the device group.
  • the master device of the device group issues the master device certificate for the home network device for authentication, between the subsequent master device and the home network device, and the home.
  • the interaction between the network device and other devices in the group uses the certificate issued by the master device to ensure security. Since the certificate of the slave device is issued by the master device, then the home network When the device communicates with the device in the device group, it can be authenticated by using the certificate issued by the master device to establish a trust relationship. In this process, the user does not need to participate again, and the home network device and the device group are not required. Complex mutual authentication is performed between devices using device information and the like, which simplifies the interaction process between devices.
  • FIG. 5 is a flowchart of a method for managing a home network device according to an embodiment of the present invention.
  • an application environment is an IGRS protocol
  • an executor is a main device
  • the home network includes
  • the device group and the device group include a master device and multiple slave devices.
  • An existing home network device joins the network. Referring to FIG. 5, the method includes:
  • the home network device is online, and sends an SSDP alive multicast message, where the SSDP alive multicast message carries the UUID of the home network device.
  • step 201 After the home network device is online, the user can input a PIN code or administrator account information to enable the master device to authenticate the new device through the information.
  • the specific process of this step is similar to step 201 and will not be described again.
  • the home network device and the master device perform mutual authentication
  • the master device When mutual authentication is passed, the master device notifies the home network device to generate a pair of public and private keys, and sends a group announcement message to the home network device.
  • the home network device sends the public key to the master device
  • the master device receives the public key, and generates a first certificate according to the public key of the home network device and the signature information of the master device, and sends the first certificate and the second certificate to the home network device.
  • the home network device is a device having the capability of generating a public key and a private key, so the home network device generates a pair of public and private keys, and in another embodiment, when the home network device does not have
  • the public key and the private key may be generated by the master device, and the master device generates the first certificate according to the public key of the home network device and the signature information of the master device, and the first A certificate, a private key, and a second certificate are sent to the home network device.
  • the home network device joins the device group.
  • This step is similar to step 412 and will not be described here.
  • the master device in this embodiment includes the function of the control point. Therefore, in this embodiment, the authentication between the control point and the home network device is not required. It is done by the master device.
  • the home network device and the master device authenticate each other to establish a trust relationship and join the device group.
  • the master device issues a master device certificate for authentication for the home network device, between the subsequent master device and the home network device, and the home network device.
  • the interaction between devices in other groups is ensured by using the certificate issued by the master device. Since the certificate of the slave device is issued by the master device, when the home network device communicates with the device in the device group, it can be used.
  • the certificate issued by the master device is verified to establish a trust relationship. In this process, the user does not need to participate again, and the mutual authentication between the home network device and the device in the device group is not required. Simplifies the process of interaction between devices.
  • FIG. 6 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • the control device includes:
  • the authentication module 601 is configured to perform mutual authentication with the home network device.
  • the receiving module 602 is configured to receive, after the mutual authentication is passed, a first certificate and a second certificate sent by the master device, where the first certificate is used by the master device according to a public key and a location of the home network device Generating signature information of the master device, where the second certificate is a certificate of the master device;
  • the sending module 603 is configured to send the first certificate and the second certificate to the home network device, so that the home network device joins the device where the master device is located by using the first certificate and the second certificate. Grouping, and using the first certificate and the second certificate to communicate with devices in the device group.
  • the authentication module 601 includes:
  • the first receiving unit 601a is configured to receive the device online notification of the home network device, where the first sending unit 601b is configured to send the PIN code or the administrator account information of the home network device to the home network device, so that The home network device and the control device perform mutual authentication according to the PIN code or the administrator account information of the home network device.
  • control device further includes:
  • the obtaining module 604 after the mutual authentication is passed, the control device acquires a pair of public keys and a public key in the private key generated by the home network device;
  • the sending module 603 is further configured to send the public key to the master device
  • the receiving module 602 is specifically configured to receive a first certificate generated by the primary device according to the public key and signature information of the primary device, and receive the second certificate.
  • the receiving module 602 is specifically configured to receive the first certificate and the second certificate sent by the master device.
  • the master device is a pair of a public key and a private key generated by the home network device; the first certificate is used by the master device according to the public key of the home network device and the master device Signature information generation;
  • the sending module 603 is specifically configured to send the first certificate, the second certificate, and a private key generated by the primary device to the home network device to the home network device.
  • the control device provided in this embodiment may be a control point of the device group, which is the same as the method embodiment.
  • the control device provided in this embodiment may be a control point of the device group, which is the same as the method embodiment.
  • the control device may be a control point of the device group, which is the same as the method embodiment.
  • FIG. 9 is a schematic structural diagram of a control device according to an embodiment of the present invention.
  • the control device includes:
  • the authentication module 901 is configured to perform mutual authentication with the home network device.
  • the sending module 902 is configured to send the first certificate and the second certificate to the home network device after the mutual authentication is passed, so that the home network device joins the master by using the first certificate and the second certificate.
  • the signature information of the master device is generated, and the second certificate is a certificate of the master device.
  • the authentication module 901 specifically includes:
  • a second receiving unit 901a configured to receive a device online notification of the home network device, where the second sending unit 901b is configured to send the PIN code or administrator account information of the home network device to the home network device, so that The home network device and the master device perform mutual authentication according to the PIN code or administrator account information of the home network device.
  • control device further includes:
  • the obtaining module 903 is configured to obtain a public key in a pair of public keys and private keys generated by the home network device;
  • the sending module 902 is specifically configured to send the first certificate generated by the master device according to the public key of the home network device and the signature information of the master device, and the second certificate to the home network device.
  • the sending module 902 is specifically configured to generate a public key and a private key for the home network device, and send the private key, the second certificate, and the first certificate to the home network device;
  • the public key of the home network device and the signature information of the master device are generated.
  • control device further includes:
  • the device group authentication module 904 is configured to: when the master device receives the request for joining the device group sent by the home network device, use the second certificate to perform authentication with the home network device, and after the authentication is passed, The home network device is joined to the device group.
  • the control device provided in this embodiment may be the master device of the device group, and the method is the same as the method embodiment. For details, refer to the method embodiment, and details are not described herein.
  • FIG. 13 is a schematic structural diagram of a home network device according to an embodiment of the present invention.
  • the control device is the master device of the control point or device group.
  • the home network device includes:
  • the authentication module 1301 is configured to perform mutual authentication with the control device.
  • the receiving module 1302 is configured to receive, after the mutual authentication is passed, the first certificate and the second certificate from the control device;
  • the device group module 1303 is configured to join the device group where the master device is located by using the first certificate and the second certificate.
  • the communication module 1304 is configured to communicate with the device in the device group by using the first certificate and the second certificate; the first certificate is generated according to a public key of the home network device and signature information of the primary device The second certificate is a certificate of the master device;
  • the control device is the master device or a control point.
  • the authentication module 1301 includes:
  • the third sending unit 1301a is configured to send a device online notification to the control device
  • the third receiving unit 1301b is configured to receive the PIN code or the administrator account information returned by the control device, so that the home network device and the control device perform mutual interaction according to the PIN code or the administrator account information of the home network device. Certification.
  • the home network device further includes:
  • the sending module 1305 is configured to send, to the control device, a pair of public keys and a public key in the private key generated by the home network device;
  • the receiving module 1302 is specifically configured to receive, by the control device, the first certificate generated by the primary device according to the public key of the home network device and signature information of the primary device; and receiving the Second certificate.
  • the receiving module 1302 is further configured to receive a first certificate, a second certificate, and a master device, configured by the control device, to generate a private key in a pair of public and private keys for the home network device; the first certificate Generating by the master device according to the public key of the home network device and the signature information of the master device.
  • the joining device group module 1303 includes:
  • the secure connection establishing unit 1303a is configured to establish a secure connection with the master device by using the first certificate
  • the adding unit 1303b is configured to send, by using the secure connection, a request for joining the device group where the master device is located
  • the master device authenticates the home network device by using the second certificate, and when the authentication passes, receiving a response sent by the master device to join the device group.
  • the communication module 1304 is specifically configured to use the first certificate and the second certificate to perform verification with the device in the device group when communicating with the device in the device group, and when the verification is passed, the device is The devices in the group communicate.
  • the communication module 1304 is specifically configured to use the first certificate to verify a first certificate of the device in the device group, where the first certificate of the device in the device group is consistent with the signature information in the first certificate. At the time, the danger certificate is passed.
  • the home network device provided in this embodiment is the same as the method embodiment, and the specific implementation process is described in the method embodiment, and details are not described herein again.
  • a person skilled in the art may understand that all or part of the steps of implementing the above embodiments may be completed by hardware, or may be instructed by a program to execute related hardware, and the program may be stored in a computer readable storage medium.
  • the storage medium mentioned may be a read only memory, a magnetic disk or an optical disk or the like.

Abstract

本发明公开了一种家庭网络设备的管理方法、控制设备和家庭网络设备，属于家庭网络领域。该方法包括：控制设备与家庭网络设备进行相互认证；所述相互认证通过后，所述控制设备接收所述主设备发送的第一证书及第二证书，所述控制设备将所述第一证书及所述第二证书发送给所述家庭网络设备。通过家庭网络设备与主设备相互认证以建立信任关系并加入设备组，由主设备为家庭网络设备颁发用于认证的主设备证书，在后续主设备与该家庭网络设备之间、家庭网络设备与其他组内设备之间的交互都使用主设备颁发的证书来保证安全。

Description

家庭网络设备的管理方法、 控制设备和家庭网络设备 本申请要求于 2011 年 8 月 25 日提交中国专利局、 申请号为 201110246559.9、 名称为 "家庭网络设备的管理方法、 控制设备和家庭网络设 备" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及家庭网络领域，特别涉及一种家庭网络设备的管理方法、控制 设备和家庭网络设备。 背景技术
随着数字家庭的发展， 以及消费电子产品本身的普遍数字化， 家庭中正出 现越来越多的数字化的娱乐设备和家电产品，而将这些娱乐设备和家电产品以 有线或无线方式连接成家庭网络， 以实现内容共享或相互控制等功能， 是业界 正在构想并努力实现的数字家庭网络概念。目前致力于家庭网络互通标准开发 的组织主要有 UPnP ( Universal Plug and Play, 通用即插即用）、 DLNA ( Digital Living Network Alliance , 数字生活网络联盟）、 IGRS ( Intelligent Grouping and Resource Sharing, 资源共享协同服务）等。 现有协议中给出了设备组的概念， 多个设备可以组成一个设备组。 设备组分为对等设备组和主从设备组两种类 型， 前者所有设备地位平等而后者有主设备。通过主从设备组可以实现集中的 设备控制管理等应用。
实际应用主从设备组进行家庭设备控制、管理和媒体共享等应用时， 需要 考虑一些列安全问题。其中要解决的一个问题是： 新设备加入家庭网络后如何 与设备组的主设备建立互信并加入到组中，以便接受主设备的管理以及与组内 其他设备安全互访。 UPnP制定了一套安全标准， CP ( Control Point, 控制点） 与设备第一次交互时使用 WPS ( Wi-Fi Protected Setup, Wi-Fi保护设置）协议 通过用户在 CP或设备上输入对方的 PIN ( Personal Identification Number, 个 人标识号）码完成相互信任， 双方保存对方的自签名证书， CP后续与设备通 过 TLS协议进行通信。 在对现有技术进行分析后， 发明人发现现有技术至少具有如下缺点： 现有技术中， 一个 CP与设备只能建立双方的信任关系， 当新设备加入设 备组时， 需要和 CP、 主设备与其他设备重复相同的建立信任关系的步骤， 设 备之间的交互过程复杂， 且用户需要多次输入 PIN码， 体验较差。 发明内容
本发明实施例提供了一种家庭网络设备的管理方法、控制设备和家庭网络 设备。 所述技术方案如下：
一种家庭网络设备的管理方法， 包括：
控制设备与家庭网络设备进行相互认证；
所述相互认证通过后，所述控制设备接收所述主设备发送的第一证书及第 二证书 ,所述第一证书由所述主设备根据所述家庭网络设备的公钥和所述主设 备的签名信息生成， 所述第二证书为所述主设备的证书；
所述控制设备将所述第一证书及所述第二证书发送给所述家庭网络设备， 使得所述家庭网络设备使用第一证书和所述第二证书加入所述主设备所在的 设备组， 并使用所述第一证书和所述第二证书与所述设备组中的设备进行通 信。
一种家庭网络设备的管理方法， 控制设备为主设备， 包括：
主设备与家庭网络设备进行相互认证；
所述相互认证通过后，所述主设备将第一证书和第二证书发送给所述家庭 网络设备，使得所述家庭网络设备使用所述第一证书和所述第二证书加入所述 主设备所在的设备组，并使用所述第一证书和所述第二证书与所述设备组中的 设备进行通信；所述第一证书根据所述家庭网络设备的公钥和所述主设备的签 名信息生成； 所述第二证书为所述主设备的证书。
一种家庭网络设备的管理方法， 包括：
家庭网络设备与控制设备进行相互认证；
当所述相互认证通过后，所述家庭网络设备接收来自所述控制设备的第一 证书和第二证书，使用所述第一证书和所述第二证书加入设备组， 并使用所述 第一证书和第二证书与所述设备组中的设备进行通信；所述第一证书根据所述 家庭网络设备的公钥和所述主设备的签名信息生成；所述第二证书为所述主设 备的证书；
所述控制设备为所述主设备或控制点。
一种控制设备， 包括：
认证模块， 用于与家庭网络设备进行相互认证；
接收模块， 用于在所述相互认证通过后，接收所述主设备发送的第一证书 及第二证书 ,所述第一证书由所述主设备根据所述家庭网络设备的公钥和所述 主设备的签名信息生成， 所述第二证书为所述主设备的证书；
发送模块， 用于将所述第一证书及所述第二证书发送给所述家庭网络设 备，使得所述家庭网络设备使用第一证书和所述第二证书加入所述主设备所在 的设备组，并使用所述第一证书和所述第二证书与所述设备组中的设备进行通 信。
一种控制设备， 包括：
认证模块， 用于与家庭网络设备进行相互认证；
发送模块， 用于在所述相互认证通过后，将第一证书和第二证书发送给所 述家庭网络设备，使得所述家庭网络设备使用所述第一证书和所述第二证书加 入主设备所在的设备组，并使用所述第一证书和所述第二证书与所述设备组中 的设备进行通信；所述第一证书由所述主设备根据所述家庭网络设备的公钥和 所述主设备的签名信息生成， 所述第二证书为所述主设备的证书。
一种家庭网络设备， 所述家庭网络设备包括：
认证模块， 用于与控制设备进行相互认证；
接收模块， 用于当所述相互认证通过后，接收来自所述控制设备的第一证 书和第二证书；
加入设备组模块，用于使用所述第一证书和所述第二证书加入所述主设备 所在的设备组；
通信模块，用于使用所述第一证书和第二证书与所述设备组中的设备进行 通信；所述第一证书根据所述家庭网络设备的公钥和所述主设备的签名信息生 成； 所述第二证书为所述主设备的证书；
所述控制设备为所述主设备或控制点。
本发明实施例提供的技术方案的有益效果是：
通过家庭网络设备与主设备相互认证以建立信任关系并加入设备组，由主 设备为家庭网络设备颁发用于认证的主设备证书，在后续主设备与该家庭网络 设备之间、家庭网络设备与其他组内设备之间的交互都使用主设备颁发的证书 来保证安全， 由于从设备的证书都是主设备颁发的， 则当该家庭网络设备与设 备组中的设备进行通信时，可通过使用主设备颁发的证书进行验证以建立信任 关系， 在该过程中， 不需要用户的再次参与， 也不需要家庭网络设备和该设备 组中的设备之间利用设备信息等内容进行复杂的相互认证，简化了设备之间的 交互过程。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地， 下面描述 中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲， 在不付 出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例提供的一种家庭网络设备的管理方法的流程图； 图 2是本发明实施例提供的一种家庭网络设备的管理方法的流程图； 图 3是本发明实施例提供的一种家庭网络设备的管理方法的流程图； 图 4是本发明实施例提供的一种家庭网络设备的管理方法的流程图； 图 5是本发明实施例提供的一种家庭网络设备的管理方法的流程图； 图 6是本发明实施例提供的一种控制设备的结构示意图；
图 7是本发明实施例提供的一种控制设备的结构示意图；
图 8是本发明实施例提供的一种控制设备的结构示意图；
图 9是本发明实施例提供的一种控制设备的结构示意图；
图 10是本发明实施例提供的一种控制设备的结构示意图；
图 11是本发明实施例提供的一种控制设备的结构示意图；
图 12是本发明实施例提供的一种控制设备的结构示意图；
图 13是本发明实施例提供的一种家庭网络设备的结构示意图；
图 14是本发明实施例提供的一种家庭网络设备的结构示意图；
图 15是本发明实施例提供的一种家庭网络设备的结构示意图；
图 16是本发明实施例提供的一种家庭网络设备的结构示意图。 具体实施方式
为使本发明的目的、技术方案和优点更加清楚， 下面将结合附图对本发明 实施方式作进一步地详细描述。
在介绍本发明提供的家庭网络设备的管理方法之前，首先对本发明的基础 知识进行简要的介绍：
UPnP标准中定义了 CP ( Control Point, 控制点）和 Device ( UPnP设备 ) 两种逻辑实体： CP使用 UPnP协议与设备通信并对设备进行控制； 而 CP与 CP之间， 设备与设备之间不能通过 UPnP协议直接相互控制。
类似地， IGRS协议中也定义了客户和设备两个逻辑实体， 行为上类似于 UPnP中的 CP和设备。 这种架构实现了分布式的网络， 即家庭网络中可能有 多个 CP/客户以及多个设备， 而没有控制中心设备的概念。
图 1 是本发明实施例提供的一种家庭网络设备的安全初始化方法的流程 图， 该方法可以应用于 UPnP或 IGRS中， 本实施例以 UPnP标准为例进行说 明， 在该种标准下， 执行主体为控制设备， 具体为控制点， 参见图 1 , 该方法 包括：
101、 控制点与家庭网络设备进行相互认证；
在本实施例中，在控制点与家庭网络设备相互认证的过程中， 其认证信息 可以包括家庭网络设备的 PIN码或管理员账号信息。由控制设备即控制点向家 庭网络设备反馈认证信息， 使得家庭网络设备根据认证信息对控制点进行认 证， 并返回认证结果， 控制点根据认证结果对家庭网络设备进行认证， 其认证 过程为现有技术， 在此不再赘述。 另外， 本领域技术人员可以获知， 控制点可 通过接收用户输入的家庭网络设备的 PIN码或管理员账号信息获取认证信息。
102、 所述相互认证通过后， 所述控制设备接收所述主设备发送的第一证 书及第二证书 ,所述第一证书由所述主设备根据所述家庭网络设备的公钥和所 述主设备的签名信息生成， 所述第二证书为所述主设备的证书；
本领域技术人员可以获知，控制点可获取家庭网络设备的设备信息， 并在 相互认证通过后， 将该设备信息发送给设备组的主设备。设备信息至少包括以 下任意一项： 设备标识、 公钥、 设备序列号、 UUID、 厂商标识和出厂日期等。
设备信息中可以包括公钥，也可以不包括公钥， 当家庭网络设备具有产生 公钥的能力时， 当接收到控制点的 IGRS命令时， 可生成一对公钥和私钥， 并 将公钥包含在设备信息中发送给控制点， 再由控制点转发给设备组的主设备； 而当家庭网络设备不具有产生公钥的能力时，设备信息中不包括公钥，控制点 与主设备建立安全通道（例如 TLS ( Transport Layer Security, 安全传输层协 议 ) ),主设备生成一对公钥和私钥，并将私钥通过所述安全通道发送给控制点， 由控制点将该私钥发送给家庭网络设备。
103、 控制点将所述第一证书及所述第二证书发送给所述家庭网络设备， 使得所述家庭网络设备使用第一证书和所述第二证书加入所述主设备所在的 设备组， 并使用所述第一证书和所述第二证书与所述设备组中的设备进行通 信。
图 2 是本发明实施例提供的一种家庭网络设备的安全初始化方法的流程 图， 该方法可以应用于 UPnP或 IGRS中， 本实施例以 IGRS标准为例进行说 明， 在该种标准下， 执行主体为主设备， 参见图 2, 该方法包括：
201、 主设备与家庭网络设备进行相互认证；
202、 该相互认证通过后， 所述主设备将第一证书和第二证书发送给所述 家庭网络设备，使得所述家庭网络设备使用所述第一证书和所述第二证书加入 所述主设备所在的设备组，并使用所述第一证书和所述第二证书与所述设备组 中的设备进行通信；所述第一证书根据所述家庭网络设备的公钥和所述主设备 的签名信息生成； 所述第二证书为所述主设备的证书。
图 3 是本发明实施例提供的一种家庭网络设备的安全初始化方法的流程 图， 该方法可以应用于 UPnP或 IGRS中， 该实施例的执行主体为家庭网络设 备， 参见图 3 , 控制设备为控制点或设备组的主设备， 该方法包括：
301、 家庭网络设备与控制设备进行相互认证；
302、 当相互认证通过后， 所述家庭网络设备接收来自所述控制设备的第 一证书和第二证书，使用所述第一证书和所述第二证书加入设备组， 并使用所 述第一证书和第二证书与所述设备组中的设备进行通信；所述第一证书根据所 述家庭网络设备的公钥和所述主设备的签名信息生成；所述第二证书为所述主 设备的证书。
在本实施例中，当家庭网络设备与网络中的由同一个主设备颁发证书的其 他设备通信时， 可以使用保存的主设备的证书信息验证其他设备的证书， 都为 主设备颁发证书的设备之间可以直接相互信任。具体地， 家庭网络设备保存的 主设备的证书信息中可以包含主设备的公钥， 与其他设备建立连接（如 TLS ) 获得对方证书时， 可以使用该公钥验证对方证书的签名信息， 由此得知其证书 也是主设备颁发的。 其他设备也可以使用相同的方式认证该新设备。
通过家庭网络设备与主设备相互认证以建立信任关系并加入设备组，由主 设备为家庭网络设备颁发用于认证的主设备证书，在后续主设备与该家庭网络 设备之间、家庭网络设备与其他组内设备之间的交互都使用主设备颁发的证书 来保证安全， 由于从设备的证书都是主设备颁发的， 则当该家庭网络设备与设 备组中的设备进行通信时，可通过使用主设备颁发的证书进行验证以建立信任 关系， 在该过程中， 不需要用户的再次参与， 也不需要家庭网络设备和该设备 组中的设备之间利用设备信息等内容进行复杂的相互认证，简化了设备之间的 交互过程。
图 4是本发明实施例提供的一种家庭网络设备的管理方法的流程图，在本 实施例中， 仅以应用环境为 UPnP、 执行主体为控制点为例进行说明， 该家庭 网络中包括设备组， 设备组包括控制点、 主设备以及多个从设备， 现有一家庭 网络设备加入该网络， 参见图 4 , 该方法包括：
401 : 家庭网络设备上线， 发送 SSDP alive组播消息， 该 SSDP alive组播 消息携带家庭网络设备的 UUID ( Universally Unique Identifier, 通用唯一识别 码）；
在本实施例中， 家庭网络设备在家庭网络中发送 SSDP alive组播消息，该 消息为设备上线消息， 用于通知控制点该家庭网络设备已上线。
402: 当控制点接收到 SSDP alive组播消息， 通过 SSDP alive组播消息携 带的 UUID判断该家庭网络设备是否已加入该家庭网络；
如果否， 执行步骤 403;
如果是， 结束。
在本实施例中，控制点保存一已加入家庭网络的设备列表， 列表中可以包 殳备的 UUID、 设备名称等。 具体地， 该步骤 402包括： 判断控制点的设备 列表中是否包含该 UUID, 如果是， 则说明该家庭网络设备已经在控制点上注 册， 为家庭网络中的已有设备， 如果否， 则说明该家庭网络设备未加入该家庭 网络， 为新入网设备。
403: 当家庭网络设备未加入该家庭网络时， 控制点向家庭网络设备发送 IGRS控制命令；
可选地， 该 IGRS控制命令为 HTTP POST消息， 该 IGRS控制命令携带 管理员账号信息。
404: 家庭网络设备向控制点返回拒绝命令请求的响应， 该响应携带家庭 网络设备认证信息；
在本实施例中， 由于此时家庭网络设备与控制点还未建立信任关系， 则家 庭网络设备会返回拒绝命令请求的响应；
例如， 该响应可以为 "401 Unauthorized" , 可选地， 该响应携带如下信息： 随机值 RAND、 挑战值 CHAL、 设备认证信息 ATUN、 会话密钥资源 SKEY、 算法集 ALGO和认证信息类型 TYPE。
CP收到上述响应后， 可以根据响应中指示的算法集， 首先通过 RAND及 获得的 PIN/ADMIN值来检验家庭网络设备的 AUTN值是否正确； 然后，使用 上述消息中的 CHAL以及获得的家庭网络设备的 PIN/ADMIN计算出认证结果 RES, 再次发送控制命令并在其中携带认证结果 RES。 此外， CP也需要使用 响应中的 SKEY来计算本次会话后续使用的密钥 EKey和 IKey。 其中， Ekey 用来在认证通过后 CP 与家庭网络设备加密通信数据， Ikey用于在本步骤后 CP与家庭网络设备通信数据的完整性保护。
该响应中携带的信息具体用于：
1 )随机值 RAND, 家庭网络设备使用该随机值与 PIN码 /管理员账号信息 计算生成家庭网络设备认证信息。 CP获知设备 PIN码 /管理员账号信息后， 釆 用算法集中的算法对该随机值和设备的 PIN码 /管理员帐号信息进行计算， 得 到家庭网络设备的认证信息， 根据该认证信息对家庭网络设备进行认证。
2 )挑战值 CHAL, 该挑战值为随机数， 家庭网络设备用该挑战值来认证 CP。 CP使用该挑战值与家庭网络设备的 PIN码 /管理员账号信息计算出客户认 证信息， 并在向家庭网络设备重发控制命令时携带。
3 ) 家庭网络设备认证信息 ATU , 家庭网络设备使用 RAND与 PIN码 / 管理员账号信息计算出该家庭网络设备认证信息 ATU 。 CP获知设备 PIN码 / 管理员账号信息后， 与 RAND计算可以认证家庭网络设备。 CP通过计算得到 ATUN值， 然后用计算得到的 ATUN与接收的 ATUN值进行比较， 如果一致， 则家庭网络设备通过认证。 4 )会话密钥资源 SKEY,用于保护 CP与家庭网络设备之间的通信的信息 不被第三方截取和破译。 其中包含计算加密密钥的素材 SKEY1以及计算消息 完整性密钥的素材 SKEY2, 为家庭网络设备和 CP计算本次会话后面的密钥 (加密密钥 EKey, 消息完整性密钥 IKey ) 的资源。
5 )算法集 ALGO, 算法集用于指示计算认证信息的方法， 以及会话加密 的算法。例如，使用 MAC、 HMAC等消息认证机制或者 MD5、 SHA1、 SHA256 等散列算法或使用 AES、 3DES等数据加密算法。
6 )认证信息类型 TYPE , 用来区分认证信息， 认证信息可以为 PIN码、 管理员账号或者是其他信息， 该认证信息类型的取值可以为 "PIN" 或 "ADMIN"„ 实际中， 家庭网络设备根据自己的出厂配置情况确定使用什么值 来认证客户， PIN或 Admin账号信息在认证过程中会显示在家庭网络设备屏 幕上， 或者用户去物理设备上的标签找到该信息； 用户读取数据后在客户的 UI ( User Interface , 用户界面 )上输入， UI可以为显示屏。
此外， 家庭网络设备还需要自己计算并保存稍后用到的会话密钥， 以及用 于检验 CP返回的认证信息是否正确的检验码 ( XRES )。 实际中， 这一步也可 以在收到 CP回复后再操作。
405: 控制点接收响应， 根据响应对家庭网络设备进行认证， 并在认证通 过时向家庭网络设备发送命令请求信息， 该命令请求信息中携带认证通过信 息；
在本实施例中，认证通过信息包括家庭网络设备的 PIN码或管理员用户信 息。 具体地， 在家庭网络设备入网时， 用户可以在控制点提供的界面上输入该 家庭网络设备的 PIN码以便将家庭网络设备加入管理中，或者，用户可以在控 制点提供的界面上输入管理员用户信息， 经过认证计算，通知家庭网络设备该 控制点为网络中的合法控制设备。
举例说明， 根据上述响应以及 CP回复的认证信息进行认证的方法可以如 下：
当 CP接收到响应时， 根据响应中指定的算法对随机值进行计算， 如果计 算出的 AUTN与响应中获得的一致， 则可以认定家庭网络设备是可信的， 即 认证设备通过，向家庭网络设备返回认证结果 RES ,用于家庭网络设备认证控 制点。 EKey=SHAl (SKEY11 |PIN)
IKey=SHAl (SKEY21 |PIN)
本领域技术人员可以获知， SHA1是一种散列（ Hash )算法， ||表示将 SKEY1 与 PIN数值拼接。
406: 家庭网络设备接收到命令请求信息时， 根据命令请求信息中携带的 认证通过信息对控制点进行认证， 并在认证通过时向控制点反馈认证通过信 息；
具体地， 该家庭网络设备接收到认证通过信息后，根据认证通过信息进行 预设算法计算， 计算 XRES或者使用之前计算的 XRES来比对消息中携带的 RES值， 如果二者相同则认为控制点是可信的， 即控制点认证通过。 家庭网络 设备向控制点返回该命令的响应消息。此时控制点和家庭网络设备取得了相互 信任，且家庭网络设备完全服从控制点的控制。后面的会话将通过双方都知道 的 EKey来加密 , IKey来验证消息完整性。
上述步骤 401至 406为家庭网络设备与控制点之间的相互认证过程，家庭 网络设备与控制点之间通过该认证过程取得信任关系， 需要说明的是， 该认证 过程中的算法以及家庭网络设备与控制点的交互， 均为现有技术， 在此不再赘 述。
407: 当控制点接收到家庭网络设备反馈的认证通过信息时， 控制点通知 家庭网络设备生成一对公钥和私钥， 并向家庭网络设备发送组宣告消息；
其中， 该组宣告消息中携带设备组信息以及该设备组的主设备信息； 家庭 网络设备可以根据控制点提供的设备组信息以及设备组的主设备信息加入设 备组。该设备组信息以及该设备组的主设备信息还可以分别由组宣告消息和主 设备宣告消息携带， 则步骤 407中向家庭网络设备发送组宣告消息时，还可以 包括： 向家庭网络设备发送主设备宣告消息。
408: 家庭网络设备将公钥发送给控制点；
在控制点接收到公钥后， 可以发送 SSDP Search组播消息， 通过该组播消 息， 发现主设备， 并与该主设备建立安全管道， 后续的控制点与主设备之间的 交互， 都可以通过该安全管道进行传输。
在本实施例中，公钥携带在设备信息中发送，设备信息至少包括以下任意 一项： 设备标识、 公钥、 设备序列号、 UUID、 厂商标识和出厂日期等。 409: 控制点接收公钥， 并将公钥转发给主设备；
在本实施例中，控制点作为家庭网络中的控制设备，在与家庭网络设备之 间的相互认证通过后， 可在家庭网络设备和主设备之间进行信息转发。
410: 主设备接收公钥， 并根据家庭网络设备的公钥和主设备的签名信息 生成第一证书， 将第一证书、 第二证书发送给控制点；
本领域技术人员可以获知，公钥和主设备的签名信息是生成第一证书的必 要组成部分， 在生成过程中， 还可以有设备信息包括设备标识、 设备序列号、 UUID、 厂商标识或出厂日期等参与。
411 : 控制点接收第一证书、 第二证书， 并将第一证书和第二证书转发给 家庭网络设备；
上述步骤 407-411是主设备生成第一证书并将第一证书颁发给家庭网络设 备的过程， 在本实施例中， 家庭网络设备是具备生成公钥和私钥能力的设备， 因此由家庭网络设备生成一对公钥和私钥， 而在另一实施例中， 当家庭网络设 备是不具备生成公钥和私钥能力的设备时， 可以由主设备来生成公钥和私钥 , 主设备根据所述家庭网络设备的公钥和所述主设备的签名信息生成第一证书， 并将第一证书、私钥和第二证书发送给控制点， 由控制点向家庭网络设备转发 这些信息。 具体地， 控制点和设备组的主设备建立安全管道， 由主设备生成公 钥和私钥，并根据所述家庭网络设备的公钥和所述主设备的签名信息生成第一 证书， 并通过安全管道将第一证书、 第二证书和私钥发给控制点， 并由控制点 将第一证书、第二证书和私钥转发给家庭网络设备，使其保存并在后续与其他 设备的通信中使用。
需要说明的是， 无论使用上述哪种方案， 第一证书都是主设备颁发的， 即 第一证书中携带了主设备的签名信息， 本领域技术人员可以获知， 该签名信息 为主设备使用自己的私钥对该证书的签名。该第一证书用于家庭网络设备后面 与设备组中任何设备安全通信时使用。
412: 家庭网络设备使用第一证书和第二证书加入主设备所在的设备组； 在认证过程中，控制点将设备组和设备组的主设备信息通知给家庭网络设 备， 其中， 设备组通过组 ID来标识。
具体地， 家庭网络设备加入设备组包括： 使用第一证书与所述主设备建立 安全连接，并通过所述安全连接向所述主设备发送加入所述主设备所在设备组 的请求，使得所述主设备使用所述第二证书认证所述家庭网络设备， 当认证通 过时， 接收所述主设备发送的加入所述设备组的响应。
其具体步骤为：
1 )家庭网络设备接收主设备的组宣告消息， 根据该组宣告消息中的组 ID 和在认证过程中接收到的组 ID进行核对， 经核对与控制点指定的一致。
2 )家庭网络设备向主设备建立安全管道（如 TLS ) , 在安全管道建立过程 中完成证书交换过程， 即家庭网络设备将第一证书发送给主设备， 并接收主设 备发送的第二证书，家庭网络设备可以通过比对收到的第二证书与之前控制设 备转发的第二证书来认证主设备的身份；
3 )家庭网络设备向主设备发送加入所述设备组请求， 以请求加入设备组；
4 )主设备根据第二证书认证家庭网络设备， 即使用第二证书的公钥可以 识别出第一证书中主设备使用私钥生成的签名信息，识别出家庭网络设备的证 书是主设备签发的；
5 ) 当认证家庭网络设备通过时， 主设备返回该消息的响应， 指示家庭网 络设备已成功加入设备组。
需要说明的是， 当家庭网络设备加入设备组后， 主设备取得对家庭网络设 备的控制权； 本领域技术人员可以获知， 主设备在取得对家庭网络设备的控制 权后， 为家庭网络设备下发初始配置信息；
413: 当家庭网络设备与设备组内的从设备通信时， 使用第一证书和第二 证书与该从设备进行验证， 当验证通过时， 与该从设备建立信任关系。
具体地，使用所述第一证书验证所述从设备的第一证书， 当所述从设备的 第一证书与所述第一证书中的签名信息一致时 ,则所述从设备的第一证书为所 述主设备颁发， 验证通过。
其中， 家庭网络设备与从设备可通过连接安全管道（如 TLS )以获得对方 证书并验证对方证书的签名信息， 由此得知其证书也是主设备颁发的， 其他设 备也可以使用相同的方式认证该家庭网络设备。
通过家庭网络设备与控制点相互认证以建立信任关系并加入设备组，由设 备组的主设备为家庭网络设备颁发用于认证的主设备证书，在后续主设备与该 家庭网络设备之间、家庭网络设备与其他组内设备之间的交互都使用主设备颁 发的证书来保证安全， 由于从设备的证书都是主设备颁发的， 则当该家庭网络 设备与设备组中的设备进行通信时，可通过使用主设备颁发的证书进行验证以 建立信任关系， 在该过程中， 不需要用户的再次参与， 也不需要家庭网络设备 和该设备组中的设备之间利用设备信息等内容进行复杂的相互认证，简化了设 备之间的交互过程。
图 5是本发明实施例提供的一种家庭网络设备的管理方法的流程图，在本 实施例中， 仅以应用环境为 IGRS协议、 执行主体为主设备为例进行说明， 该 家庭网络中包括设备组、设备组包括主设备以及多个从设备，现有一家庭网络 设备加入该网络， 参见图 5 , 该方法包括：
501 : 家庭网络设备上线， 发送 SSDP alive组播消息， 该 SSDP alive组播 消息携带家庭网络设备的 UUID;
当家庭网络设备上线后，用户可以输入 PIN码或管理员账号信息， 以使主 设备通过该信息对新设备进行认证。该步骤的具体过程与步骤 201相似， 不再 赘述。
502: 家庭网络设备与主设备进行相互认证；
该相互认证的过程与步骤 401至 406类似， 在此不再赘述。
503： 当相互认证通过时， 主设备通知家庭网络设备生成一对公钥和私钥， 并向家庭网络设备发送组宣告消息；
504: 家庭网络设备将公钥发送给主设备；
505: 主设备接收公钥， 并根据所述家庭网络设备的公钥和所述主设备的 签名信息生成第一证书， 将第一证书、 第二证书发送给家庭网络设备；
在本实施例中， 家庭网络设备是具备生成公钥和私钥能力的设备， 因此由 家庭网络设备生成一对公钥和私钥， 而在另一实施例中， 当家庭网络设备是不 具备生成公钥和私钥能力的设备时， 可以由主设备来生成公钥和私钥， 主设备 根据所述家庭网络设备的公钥和所述主设备的签名信息生成第一证书，并将第 一证书、 私钥和第二证书发送给家庭网络设备。
506: 家庭网络设备加入设备组。
该步骤与步骤 412类似， 在此不再赘述。
该实施例与图 4所示的实施例的区别在于，本实施例中的主设备包含了控 制点的功能， 因此， 在本实施例中， 无需由控制点与家庭网络设备之间进行认 证， 而是由主设备进行。 通过家庭网络设备与主设备相互认证以建立信任关系并加入设备组，由主 设备为家庭网络设备颁发用于认证的主设备证书，在后续主设备与该家庭网络 设备之间、家庭网络设备与其他组内设备之间的交互都使用主设备颁发的证书 来保证安全， 由于从设备的证书都是主设备颁发的， 则当该家庭网络设备与设 备组中的设备进行通信时，可通过使用主设备颁发的证书进行验证以建立信任 关系， 在该过程中， 不需要用户的再次参与， 也不需要家庭网络设备和该设备 组中的设备之间利用设备信息等内容进行复杂的相互认证，简化了设备之间的 交互过程。
图 6是本发明实施例提供的一种控制设备的结构示意图。 参见图 6, 该控 制设备包括：
认证模块 601 , 用于与家庭网络设备进行相互认证；
接收模块 602, 用于在所述相互认证通过后， 接收所述主设备发送的第一 证书及第二证书，所述第一证书由所述主设备根据所述家庭网络设备的公钥和 所述主设备的签名信息生成， 所述第二证书为所述主设备的证书；
发送模块 603 , 用于将所述第一证书及所述第二证书发送给所述家庭网络 设备，使得所述家庭网络设备使用第一证书和所述第二证书加入所述主设备所 在的设备组，并使用所述第一证书和所述第二证书与所述设备组中的设备进行 通信。
参见图 7, 所述认证模块 601包括：
第一接收单元 601a, 用于接收所述家庭网络设备的设备上线通知； 第一发送单元 601b, 用于向所述家庭网络设备发送所述家庭网络设备的 PIN码或管理员账号信息，使得所述家庭网络设备和所述控制设备根据所述家 庭网络设备的 PIN码或管理员账号信息进行相互认证。
参见图 8, 所述控制设备还包括：
获取模块 604, 用于所述相互认证通过后， 所述控制设备获取所述家庭网 络设备生成的一对公钥和私钥中的公钥；
所述发送模块 603还用于将所述公钥发送给所述主设备；
所述接收模块 602 具体用于接收所述主设备根据所述公钥和所述主设备 的签名信息生成的第一证书， 以及接收所述第二证书。
所述接收模块 602具体用于接收所述主设备发送的第一证书、第二证书以 及所述主设备为所述家庭网络设备生成的一对公钥和私钥中的私钥；所述第一 证书由所述主设备根据所述家庭网络设备的公钥和所述主设备的签名信息生 成；
所述发送模块 603具体用于将所述第一证书、第二证书以及所述主设备为 所述家庭网络设备生成的私钥发送给所述家庭网络设备。
本实施例提供的控制设备， 具体可以为设备组的控制点， 与方法实施例属 于同一构思， 其具体实现过程详见方法实施例， 这里不再赘述。
图 9是本发明实施例提供的一种控制设备的结构示意图。 参见图 9, 该控 制设备包括：
认证模块 901 , 用于与家庭网络设备进行相互认证；
发送模块 902, 用于在所述相互认证通过后， 将第一证书和第二证书发送 给所述家庭网络设备 ,使得所述家庭网络设备使用所述第一证书和所述第二证 书加入主设备所在的设备组，并使用所述第一证书和所述第二证书与所述设备 组中的设备进行通信；所述第一证书由所述主设备根据所述家庭网络设备的公 钥和所述主设备的签名信息生成， 所述第二证书为所述主设备的证书。
参见图 10, 所述认证模块 901具体包括：
第二接收单元 901a, 用于接收所述家庭网络设备的设备上线通知； 第二发送单元 901b, 用于向所述家庭网络设备发送所述家庭网络设备的 PIN码或管理员账号信息，使得所述家庭网络设备与所述主设备根据所述家庭 网络设备的 PIN码或管理员账号信息进行相互认证。
参见图 11 , 所述控制设备还包括：
获取模块 903 , 用于获取所述家庭网络设备生成的一对公钥和私钥中的公 钥；
所述发送模块 902 具体用于将所述主设备根据所述家庭网络设备的公钥 和所述主设备的签名信息生成的第一证书，以及所述第二证书发送给所述家庭 网络设备。
所述发送模块 902具体用于为所述家庭网络设备生成公钥和私钥，并将所 述私钥、第二证书和第一证书发送给所述家庭网络设备； 所述第一证书根据所 述家庭网络设备的公钥和所述主设备的签名信息生成。
参见图 12, 所述控制设备还包括： 设备组认证模块 904 , 用于当所述主设备接收到所述家庭网络设备发送的 加入所述设备组请求时，使用所述第二证书与所述家庭网络设备进行认证，认 证通过后， 将所述家庭网络设备加入到所述设备组。
本实施例提供的控制设备， 具体可以为设备组的主设备， 与方法实施例属 于同一构思， 其具体实现过程详见方法实施例， 这里不再赘述。
图 13是本发明实施例提供的一种家庭网络设备的结构示意图。 控制设备 为控制点或设备组的主设备， 参见图 13 , 该家庭网络设备包括：
认证模块 1301 , 用于与控制设备进行相互认证；
接收模块 1302, 用于当所述相互认证通过后， 接收来自所述控制设备的 第一证书和第二证书；
加入设备组模块 1303 , 用于使用所述第一证书和所述第二证书加入所述 主设备所在的设备组；
通信模块 1304, 用于使用所述第一证书和第二证书与所述设备组中的设 备进行通信；所述第一证书根据所述家庭网络设备的公钥和所述主设备的签名 信息生成； 所述第二证书为所述主设备的证书；
所述控制设备为所述主设备或控制点。
参见图 14, 所述认证模块 1301包括：
第三发送单元 1301a, 用于向所述控制设备发送设备上线通知；
第三接收单元 1301b,用于接收所述控制设备返回的 PIN码或管理员账号 信息， 使得所述家庭网络设备与所述控制设备根据所述家庭网络设备的 PIN 码或管理员账号信息进行相互认证。
参见图 15, 所述家庭网络设备还包括：
发送模块 1305 , 用于向所述控制设备发送所述家庭网络设备生成的一对 公钥和私钥中的公钥；
所述接收模块 1302具体用于接收来自所述控制设备的， 由所述主设备根 据所述家庭网络设备的公钥和所述主设备的签名信息生成的所述第一证书；以 及接收所述第二证书。
所述接收模块 1302还用于接收所述控制设备发送的第一证书、 第二证书 以及主设备为所述家庭网络设备生成一对公钥和私钥中的的私钥；所述第一证 书由所述主设备根据所述家庭网络设备的公钥和所述主设备的签名信息生成。 参见图 16, 所述加入设备组模块 1303包括：
安全连接建立单元 1303a,用于使用第一证书与所述主设备建立安全连接； 加入单元 1303b, 用于通过所述安全连接向所述主设备发送加入所述主设 备所在设备组的请求，使得所述主设备使用所述第二证书认证所述家庭网络设 备， 当认证通过时， 接收所述主设备发送的加入所述设备组的响应。
所述通信模块 1304具体用于当与所述设备组内的设备通信时， 使用所述 第一证书和第二证书与所述设备组内的设备进行验证， 当验证通过时， 与所述 设备组内的设备进行通信。
所述通信模块 1304具体用于使用所述第一证书验证所述设备组内的设备 的第一证书，当所述设备组内的设备的第一证书与所述第一证书中的签名信息 一致时， 则险证通过。
本实施例提供的家庭网络设备， 与方法实施例属于同一构思， 其具体实现 过程详见方法实施例， 这里不再赘述。
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通 过硬件来完成，也可以通过程序来指令相关的硬件完成， 所述的程序可以存储 于一种计算机可读存储介质中， 上述提到的存储介质可以是只读存储器，磁盘 或光盘等。
以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明的 精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的 保护范围之内。

Claims

权 利 要求 书
1、 一种家庭网络设备的管理方法， 其特征在于， 包括：
控制设备与家庭网络设备进行相互认证；
所述相互认证通过后，所述控制设备接收所述主设备发送的第一证书及第 二证书 ,所述第一证书由所述主设备根据所述家庭网络设备的公钥和所述主设 备的签名信息生成， 所述第二证书为所述主设备的证书；
所述控制设备将所述第一证书及所述第二证书发送给所述家庭网络设备， 使得所述家庭网络设备使用第一证书和所述第二证书加入所述主设备所在的 设备组， 并使用所述第一证书和所述第二证书与所述设备组中的设备进行通 信。
2、 根据权利要求 1所述的方法， 其特征在于， 控制设备与家庭网络设备 进行相互认证， 具体包括：
所述控制设备接收所述家庭网络设备的设备上线通知，向所述家庭网络设 备发送所述家庭网络设备的 PIN码或管理员账号信息，使得所述家庭网络设备 和所述控制设备根据所述家庭网络设备的 PIN码或管理员账号信息进行相互 认证。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述控制设备接收所 述主设备发送的第一证书及第二证书， 之前包括：
所述相互认证通过后，所述控制设备获取所述家庭网络设备生成的一对公 钥和私钥中的公钥； 所述方法还包括：
所述控制设备将所述公钥发送给所述主设备；
相应地，所述所述控制设备接收所述主设备发送的第一证书及第二证书包 括：
所述控制设备接收所述主设备根据所述公钥和所述主设备的签名信息生 成的第一证书， 以及接收所述第二证书。
4、 根据权利要求 1或 2所述的方法， 其特征在于， 所述控制设备接收所 述主设备发送的第一证书及第二证书包括：
所述控制设备接收所述主设备发送的第一证书、第二证书以及所述主设备 为所述家庭网络设备生成的一对公钥和私钥中的私钥；所述第一证书由所述主 设备根据所述家庭网络设备的公钥和所述主设备的签名信息生成；
所述将所述第一证书及所述第二证书发送给所述家庭网络设备， 具体包 括：
所述控制设备将所述第一证书、第二证书以及所述主设备为所述家庭网络 设备生成的私钥发送给所述家庭网络设备。
5、 一种家庭网络设备的管理方法， 其特征在于， 控制设备为主设备， 包 括：
主设备与家庭网络设备进行相互认证；
所述相互认证通过后，所述主设备将第一证书和第二证书发送给所述家庭 网络设备，使得所述家庭网络设备使用所述第一证书和所述第二证书加入所述 主设备所在的设备组，并使用所述第一证书和所述第二证书与所述设备组中的 设备进行通信；所述第一证书根据所述家庭网络设备的公钥和所述主设备的签 名信息生成； 所述第二证书为所述主设备的证书。
6、 根据权利要求 5所述的方法， 其特征在于， 主设备与家庭网络设备进 行相互认证， 具体包括：
所述主设备接收所述家庭网络设备的设备上线通知，向所述家庭网络设备 发送所述家庭网络设备的 PIN码或管理员账号信息，使得所述家庭网络设备与 所述主设备根据所述家庭网络设备的 PIN码或管理员账号信息进行相互认证。
7、 根据权利要求 5或 6所述的方法， 其特征在于， 其特征在于， 所述主 设备将第一证书和第二证书发送给所述家庭网络设备， 之前包括：
所述相互认证通过后，所述控制设备获取所述家庭网络设备生成的一对公 钥和私钥中的公钥；
所述主设备所述将第一证书和第二证书发送给所述家庭网络设备包括： 所述主设备将所述主设备根据所述家庭网络设备的公钥和所述主设备的 签名信息生成的第一证书， 以及所述第二证书发送给所述家庭网络设备。
8、 根据权利要求 5或 6所述的方法， 其特征在于， 所述主设备将第一证 书和第二证书发送给所述家庭网络设备， 具体包括：
所述主设备为所述家庭网络设备生成公钥和私钥， 并将所述私钥、 第二证 书和第一证书发送给所述家庭网络设备，所述第一证书根据所述家庭网络设备 的公钥和所述主设备的签名信息生成。
9、 根据权利要求 5-8任一所述的方法， 其特征在于， 所述方法还包括： 当所述主设备接收到所述家庭网络设备发送的加入所述设备组请求时，使 用所述第二证书与所述家庭网络设备进行认证，认证通过后，将所述家庭网络 设备加入到所述设备组。
10、 一种家庭网络设备的管理方法， 其特征在于， 包括：
家庭网络设备与控制设备进行相互认证；
当所述相互认证通过后，所述家庭网络设备接收来自所述控制设备的第一 证书和第二证书，使用所述第一证书和所述第二证书加入设备组， 并使用所述 第一证书和第二证书与所述设备组中的设备进行通信；所述第一证书根据所述 家庭网络设备的公钥和所述主设备的签名信息生成；所述第二证书为所述主设 备的证书；
所述控制设备为所述主设备或控制点。
11、 根据权利要求 10所述的方法， 其特征在于， 所述家庭网络设备与控 制设备进行相互认证包括：
所述家庭网络设备向所述控制设备发送设备上线通知，并接收所述控制设 备返回的 PIN码或管理员账号信息，使得所述家庭网络设备与所述控制设备根 据所述家庭网络设备的 PIN码或管理员账号信息进行相互认证。
12、 根据权利要求 10或 11所述的方法， 其特征在于， 所述家庭网络设备 接收来自所述控制设备的第一证书和第二证书， 之前包括： 所述相互认证通过后 ,所述家庭网络设备向所述控制设备发送所述家庭网 络设备生成的一对公钥和私钥中的公钥；
所述家庭网络设备接收来自所述控制设备的第一证书和第二证书具体为： 所述家庭网络设备接收来自所述控制设备的，由所述主设备根据所述家庭 网络设备的公钥和所述主设备的签名信息生成的所述第一证书；以及接收所述 第二证书。
13、 根据权利要求 10或 11所述的方法， 其特征在于， 所述家庭网络设备 接收来自所述控制设备的第一证书和第二证书， 具体包括：
所述家庭网络设备接收所述控制设备发送的第一证书、第二证书以及所述 主设备为所述家庭网络设备生成的一对公钥和私钥中的私钥；所述第一证书由 所述主设备根据所述家庭网络设备的公钥和所述主设备的签名信息生成。
14、 根据权利要求 10-13任一所述的方法， 其特征在于， 所述家庭网络设 备使用所述第一证书和所述第二证书加入所述主设备所在的设备组， 具体包 括：
所述家庭网络设备使用第一证书与所述主设备建立安全连接，并通过所述 安全连接向所述主设备发送加入所述主设备所在设备组的请求，使得所述主设 备使用所述第二证书认证所述家庭网络设备， 当认证通过时，接收所述主设备 发送的加入所述设备组的响应。
15、 根据权利要求 10-14任一所述的方法， 其特征在于， 所述家庭网络设 备接收来自所述控制设备的第一证书和第二证书之后包括：
当与所述设备组内的设备通信时，所述家庭网络设备使用所述第一证书和 第二证书与所述设备组内的设备进行验证， 当验证通过时， 所述家庭网络设备 与所述设备组内的设备进行通信。
16、 根据权利要求 15所述的方法， 其特征在于， 所述家庭网络设备使用 所述第一证书和第二证书与所述设备组内的设备进行验证， 具体包括：
所述家庭网络设备使用所述第一证书验证所述设备组内的设备的第一证 书， 当所述设备组内的设备的第一证书与所述第一证书中的签名信息一致时， 则验证通过。
17、 一种控制设备， 其特征在于， 包括：
认证模块， 用于与家庭网络设备进行相互认证；
接收模块， 用于在所述相互认证通过后，接收所述主设备发送的第一证书 及第二证书 ,所述第一证书由所述主设备根据所述家庭网络设备的公钥和所述 主设备的签名信息生成， 所述第二证书为所述主设备的证书；
发送模块， 用于将所述第一证书及所述第二证书发送给所述家庭网络设 备，使得所述家庭网络设备使用第一证书和所述第二证书加入所述主设备所在 的设备组，并使用所述第一证书和所述第二证书与所述设备组中的设备进行通 信。
18、 根据权利要求 17所述的控制设备， 其特征在于， 所述认证模块包括： 第一接收单元， 用于接收所述家庭网络设备的设备上线通知；
第一发送单元， 用于向所述家庭网络设备发送所述家庭网络设备的 PIN 码或管理员账号信息，使得所述家庭网络设备和所述控制设备根据所述家庭网 络设备的 PIN码或管理员账号信息进行相互认证。
19、 根据权利要求 17或 18所述的控制设备， 其特征在于， 所述控制设备 还包括：
获取模块， 用于所述相互认证通过后， 所述控制设备获取所述家庭网络设 备生成的一对公钥和私钥中的公钥；
所述发送模块还用于将所述公钥发送给所述主设备；
所述接收模块具体用于接收所述主设备根据所述公钥和所述主设备的签 名信息生成的第一证书， 以及接收所述第二证书。
20、 根据权利要求 17或 18所述的控制设备， 其特征在于， 所述接收模块 具体用于接收所述主设备发送的第一证书、第二证书以及所述主设备为所述家 庭网络设备生成的一对公钥和私钥中的私钥；所述第一证书由所述主设备根据 所述家庭网络设备的公钥和所述主设备的签名信息生成；
所述发送模块具体用于将所述第一证书、第二证书以及所述主设备为所述 家庭网络设备生成的私钥发送给所述家庭网络设备。
21、 一种控制设备， 其特征在于， 包括：
认证模块， 用于与家庭网络设备进行相互认证；
发送模块， 用于在所述相互认证通过后，将第一证书和第二证书发送给所 述家庭网络设备 ,使得所述家庭网络设备使用所述第一证书和所述第二证书加 入主设备所在的设备组，并使用所述第一证书和所述第二证书与所述设备组中 的设备进行通信；所述第一证书由所述主设备根据所述家庭网络设备的公钥和 所述主设备的签名信息生成， 所述第二证书为所述主设备的证书。
22、 根据权利要求 21所述的控制设备， 其特征在于， 所述认证模块具体 包括：
第二接收单元， 用于接收所述家庭网络设备的设备上线通知；
第二发送单元， 用于向所述家庭网络设备发送所述家庭网络设备的 PIN 码或管理员账号信息，使得所述家庭网络设备与所述主设备根据所述家庭网络 设备的 PIN码或管理员账号信息进行相互认证。
23、 根据权利要求 21或 22所述的控制设备， 其特征在于， 所述控制设备 还包括： 获取模块， 用于获取所述家庭网络设备生成的一对公钥和私钥中的公 钥；
所述发送模块具体用于将所述主设备根据所述家庭网络设备的公钥和所 述主设备的签名信息生成的第一证书，以及所述第二证书发送给所述家庭网络 设备。
24、 根据权利要求 21或 22所述的控制设备， 其特征在于， 所述发送模块 具体用于为所述家庭网络设备生成公钥和私钥， 并将所述私钥、第二证书和第 一证书发送给所述家庭网络设备；所述第一证书根据所述家庭网络设备的公钥 和所述主设备的签名信息生成。
25、 根据权利要求 21-24任一所述的控制设备， 其特征在于， 所述控制设 备还包括：
设备组认证模块，用于当所述主设备接收到所述家庭网络设备发送的加入 所述设备组请求时，使用所述第二证书与所述家庭网络设备进行认证，认证通 过后， 将所述家庭网络设备加入到所述设备组。
26、 一种家庭网络设备， 其特征在于， 所述家庭网络设备包括：
认证模块， 用于与控制设备进行相互认证；
接收模块， 用于当所述相互认证通过后，接收来自所述控制设备的第一证 书和第二证书；
加入设备组模块，用于使用所述第一证书和所述第二证书加入所述主设备 所在的设备组；
通信模块，用于使用所述第一证书和第二证书与所述设备组中的设备进行 通信；所述第一证书根据所述家庭网络设备的公钥和所述主设备的签名信息生 成； 所述第二证书为所述主设备的证书；
所述控制设备为所述主设备或控制点。
27、 根据权利要求 26所述的家庭网络设备， 其特征在于， 所述认证模块 包括：
第三发送单元， 用于向所述控制设备发送设备上线通知；
第三接收单元， 用于接收所述控制设备返回的 PIN码或管理员账号信息， 使得所述家庭网络设备与所述控制设备根据所述家庭网络设备的 PIN码或管 理员账号信息进行相互认证。
28、 根据权利要求 26或 27所述的家庭网络设备， 其特征在于， 所述家庭 网络设备还包括：
发送模块，用于向所述控制设备发送所述家庭网络设备生成的一对公钥和 私钥中的公钥；
所述接收模块具体用于接收来自所述控制设备的，由所述主设备根据所述 家庭网络设备的公钥和所述主设备的签名信息生成的所述第一证书；以及接收 所述第二证书。
29、 根据权利要求 26或 27所述的家庭网络设备， 其特征在于， 所述接收模块还用于接收所述控制设备发送的第一证书、第二证书以及主 设备为所述家庭网络设备生成一对公钥和私钥中的的私钥；所述第一证书由所 述主设备根据所述家庭网络设备的公钥和所述主设备的签名信息生成。
30、 根据权利要求 26或 27所述的家庭网络设备， 其特征在于， 所述加入 设备组模块包括：
安全连接建立单元， 用于使用第一证书与所述主设备建立安全连接； 加入单元，用于通过所述安全连接向所述主设备发送加入所述主设备所在 设备组的请求，使得所述主设备使用所述第二证书认证所述家庭网络设备， 当 认证通过时， 接收所述主设备发送的加入所述设备组的响应。
31、 根据权利要求 26-30任一所述的家庭网络设备， 其特征在于， 所述通 信模块具体用于当与所述设备组内的设备通信时，使用所述第一证书和第二证 书与所述设备组内的设备进行验证， 当验证通过时， 与所述设备组内的设备进 行通信。
32、 根据权利要求 30所述的家庭网络设备， 其特征在于， 所述通信模块 具体用于使用所述第一证书验证所述设备组内的设备的第一证书，当所述设备 组内的设备的第一证书与所述第一证书中的签名信息一致时， 则验证通过。
PCT/CN2012/080596 2011-08-25 2012-08-27 家庭网络设备的管理方法、控制设备和家庭网络设备 WO2013026415A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110246559.9A CN102957584B (zh) 2011-08-25 2011-08-25 家庭网络设备的管理方法、控制设备和家庭网络设备
CN201110246559.9 2011-08-25

Publications (1)

Publication Number Publication Date
WO2013026415A1 true WO2013026415A1 (zh) 2013-02-28

Family

ID=47745958

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/080596 WO2013026415A1 (zh) 2011-08-25 2012-08-27 家庭网络设备的管理方法、控制设备和家庭网络设备

Country Status (2)

Country Link
CN (1) CN102957584B (zh)
WO (1) WO2013026415A1 (zh)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103200061A (zh) * 2013-04-17 2013-07-10 北京推博信息技术有限公司 一种通信设备间建立信任关系的方法、通信设备及系统
CN104735054B (zh) * 2015-02-06 2018-03-02 西安电子科技大学 数字家庭设备可信接入平台及认证方法
CN105007164B (zh) * 2015-07-30 2021-07-06 青岛海尔智能家电科技有限公司 一种集中式安全控制方法及装置
CN106559213B (zh) * 2015-09-24 2020-06-16 腾讯科技（深圳）有限公司 设备管理方法、设备及系统
CN105471974B (zh) * 2015-11-18 2019-01-18 北京京东世纪贸易有限公司 实现远程控制的智能设备、终端设备及方法
CN107172105A (zh) * 2017-05-13 2017-09-15 深圳市欧乐在线技术发展有限公司 一种实现多业务的安全认证方法及系统
CN110730247B (zh) * 2019-10-23 2022-08-09 国网重庆市电力公司电力科学研究院 一种基于电力线载波的通信控制系统
CN112019434B (zh) * 2020-07-28 2021-08-03 烽火通信科技股份有限公司 一种组网设备web集中管理方法与装置
CN113660099B (zh) * 2021-09-01 2022-10-18 珠海格力电器股份有限公司 一种物联设备的鉴权方法、鉴权服务器、用户设备服务器
CN114666155B (zh) * 2022-04-08 2024-04-16 深圳市欧瑞博科技股份有限公司 设备接入方法、系统、装置、物联网设备和网关设备
CN114650182B (zh) * 2022-04-08 2024-02-27 深圳市欧瑞博科技股份有限公司 身份认证方法、系统、装置、网关设备、设备和终端
CN114666151B (zh) * 2022-04-08 2024-02-27 深圳市欧瑞博科技股份有限公司 设备绑定方法、装置、终端、物联网设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1604552A (zh) * 2003-10-02 2005-04-06 三星电子株式会社 基于公共密钥构建域并通过通用即插即用执行该域的方法
CN1604522A (zh) * 2003-10-01 2005-04-06 三星电子株式会社 基于公共密钥密码术的创建域的方法
CN1685706A (zh) * 2002-09-23 2005-10-19 皇家飞利浦电子股份有限公司 基于证书授权的域
KR20060001550A (ko) * 2004-06-30 2006-01-06 엘지전자 주식회사 인터넷을 이용한 ＵＰｎＰ 디바이스 제어 방법
CN102017514A (zh) * 2008-03-04 2011-04-13 三星电子株式会社 家用网络中的认证信息管理方法及装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6092200A (en) * 1997-08-01 2000-07-18 Novell, Inc. Method and apparatus for providing a virtual private network
CN100340084C (zh) * 2004-04-28 2007-09-26 联想(北京)有限公司 一种实现设备分组及分组设备间交互的方法
CN101114901B (zh) * 2006-07-26 2010-08-25 联想(北京)有限公司 非接触式无线数据传输的安全认证系统、设备及方法
CN101277297B (zh) * 2007-03-26 2011-11-02 华为技术有限公司 会话控制系统和方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1685706A (zh) * 2002-09-23 2005-10-19 皇家飞利浦电子股份有限公司 基于证书授权的域
CN1604522A (zh) * 2003-10-01 2005-04-06 三星电子株式会社 基于公共密钥密码术的创建域的方法
CN1604552A (zh) * 2003-10-02 2005-04-06 三星电子株式会社 基于公共密钥构建域并通过通用即插即用执行该域的方法
KR20060001550A (ko) * 2004-06-30 2006-01-06 엘지전자 주식회사 인터넷을 이용한 ＵＰｎＰ 디바이스 제어 방법
CN102017514A (zh) * 2008-03-04 2011-04-13 三星电子株式会社 家用网络中的认证信息管理方法及装置

Also Published As

Publication number Publication date
CN102957584B (zh) 2015-03-18
CN102957584A (zh) 2013-03-06

Similar Documents

Publication Publication Date Title
WO2013026415A1 (zh) 家庭网络设备的管理方法、控制设备和家庭网络设备
TWI716782B (zh) 用於向網路登記客戶端設備的方法、設備、及電腦程式產品
US10218501B2 (en) Method, device, and system for establishing secure connection
CN105684344B (zh) 一种密钥配置方法和装置
US20160269176A1 (en) Key Configuration Method, System, and Apparatus
EP3334084B1 (en) Security authentication method, configuration method and related device
WO2011140924A1 (zh) 一种网关、节点和服务器进行鉴权的方法、装置及系统
US9202042B2 (en) Automatic device pairing
TWI759445B (zh) 相互認證系統
US9154483B1 (en) Secure device configuration
WO2009094941A1 (fr) Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id
KR20090095436A (ko) 홈 네트워크에서 인증 정보를 관리하는 방법 및 그 장치
CN104145465A (zh) 机器类型通信中基于群组的自举
WO2022100356A1 (zh) 身份认证系统、方法、装置、设备及计算机可读存储介质
WO2014127751A1 (zh) 无线终端配置方法及装置和无线终端
WO2015100675A1 (zh) 一种网络配置方法、相关装置及系统
BR112021003460A2 (pt) dispositivo sem identidade de assinante, dispositivo de identidade do assinante, método para uso em um dispositivo sem identidade de assinante, método para uso em um dispositivo com identidade de assinante e produto de programa de computador
JP2023162296A (ja) コアネットワークへの非３ｇｐｐデバイスアクセス
WO2017091987A1 (zh) 一种终端间的安全交互方法及装置
EP2239881B1 (en) Method for ensuring communication security in home network and apparatus for same
WO2013185531A1 (zh) 一种网络设备及其认证和密钥管理方法
CN112751664B (zh) 一种物联网组网方法、装置和计算机可读存储介质
WO2022170583A1 (zh) 物联网中的权限配置方法、装置、设备及存储介质
WO2022109941A1 (zh) 应用于WiFi的安全认证的方法和装置
CN116438822A (zh) 应用于WiFi的安全认证的方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12826152

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12826152

Country of ref document: EP

Kind code of ref document: A1