提供安全通信的方法和装置的制作方法

专利名称：提供安全通信的方法和装置的制作方法
提供安全通信的方法和装置
本申请是PCT国际申请号PCT/US2004/040140、国际申请日为2004年12月 1日、中国国家申请号为200480036049.7、题为"提供安全通信的方法和装置"的 申请的分案申请。
背景
系统设计者在不断地寻找更好的方法，来通过保护通信系统中的话务来提供 安全通信。在某些系统中，可使用认证和加密来保护在两个设备之间(例如，在网 络或系统中的诸如便携式膝上型计算机和服务器等两个计算设备之间)发送的信 息。认证可指确定某人或某事物是否事实上是其所声称的该人或该事物的过程。在 设备被认证之后，便可在设备之间共享加密密钥以对信息加密/解密，并提供设备 之间的安全通信。
在某些系统中，可通过使用由用户提供的用户口令来提供认证。但是，可能 出现的一个问题是，当用户不可用时，可能无法进行认证，而如果需要用户凭证才 能协商用于保护通信链路的加密密钥，则可能无法进行安全通信。
因此， 一直以来都需要替换的方法以在通信系统中提供安全通信。
附图简述
本发明的主题在本说明书的结论部分中特别指出并清楚地声明。但是，就本 发明组织和操作方法，及其目的、特征和优点而言，本发明最好是在配合附图一起 阅读时，通过参考以下详细描述来理解，附图中


图1是示出根据本发明的一个实施例的网络的框图；以及 图2是示出根据本发明的一个实施例的一种提供认证和安全通信的方法的流 程图。
可以认识到，为说明的简单和清楚起见，附图中所示的元素未必按比例绘制。 例如，为清楚起见，扩大了其中某些元素相对于其它元素的尺寸。此外，在认为适 当的场合，在附图中重复参考标号以示对应或类似的元素。详细描述
在以下详细描述中，为了提供对本发明的详尽了解而阐述了许多具体细节。 但是，本领域技术人员可以理解，无需这些具体细节也可实施本发明。在其它实例 中，为免混淆本发明，没有详细描述公知的方法、过程、组件和电路。
在以下描述和所附权利要求书中，可能会使用术语"包括"和"包含"及其 派生词，并旨在视它们互为同义词。此外，在以下描述和所附权利要求书中，可能 会使用术语"耦合"和"连接"及其派生词。应当理解，并不旨在视这些术语互为 同义词。相反，在具体实施例中，可使用"连接"来指示两个或多个元素相互直接 物理或电接触。"耦合"可能意味着两个或多个元素直接物理或电接触。但是"耦 合"也可能意味着两个或多个元素不是直接相互接触，但仍相互合作或交互。
在以下描述和所附权利要求书中，可能会使用术语"数据"来指数据和指令。 此外，可能会使用术语"信息"来指数据和指令。
图1是示出根据本发明的一个实施例的网络100的框图。网络100可包括客
户机设备110、接入点(AP) 120、以及认证服务器130。如可理解，网络100可 包括更多的组件或设备，但是为简单起见，图1中没有示出这些组件和设备。
尽管本发明的范围在这方面并不受限制，但是客户机设备110可以是无线设 备，诸如个人数字助理(PDA)、具无线能力的便携式计算机(例如，膝上型或笔 记本计算机)、web图形输入板、无线电话(例如，无绳或蜂窝电话)、寻呼机、 即时消息通信设备、数字音乐播放器、数码相机、或可适用于无线地发送和/或接 收信息的其它设备。客户机设备110可在以下任何系统中使用无线个人区域网 (WPAN)系统、无线局域网(WLAN)系统、无线城域网(WMAN)系统、或 诸如蜂窝系统等无线广域网(WWAN)系统。
WLAN系统的一个示例包括实质上基于工业电气和电子工程师(IEEE)802.11 标准的系统。WMAN系统的一个示例包括实质上基于工业电气和电子工程师 (IEEE) 802.16标准的系统。WPAN系统的一个示例包括实质上基于BluetoothTM (蓝牙)标准(Bluetooth是蓝牙特殊利益集团的注册商标)的系统。WPAN的另 一个示例包括例如实质上基于正EE 802.15.3a规范的系统等超宽带(UWB)系统。 在其它实施例中，客户机设备110可能不具有无线能力，并且可能是使用有 线连接耦合到网络的工作站。在各种应用中，客户机设备110可被称为对等设备、 请求方、无线设备、或无线台。在各种实施例中，网络100可以是有线或无线的以太局域网(LAN)。如果网络100是有线网络，则诸网络设备可使用有线连接来
相互耦合。
在一个实施例中，客户机设备110可以是适用于使用诸如2000年1月20曰 公布的IEEE Std 802.1 lb-1999标准等IEEE 802.11协议来无线地发送和接收信息的 便携式计算机，尽管本发明的范围在这个方面并不受限制。接入点(AP) 120也可 适用于使用IEEE 802.11协议来无线地发送和接收信息。
认证服务器130可以是远程认证拨入用户业务(RADIUS)服务器。在一个实 施例中，通过将客户机设备110、 AP 120和服务器130设计成实质上符合2001年 7月13日公布的IEEE 802.1X标准来使它们实现认证，尽管本发明的范围在这个 方面并不受限制。在这一实施例中，可将客户机设备110称为请求方，并可将接入 点120称为认证方。请求方可以指在客户机设备IIO上运行的软件客户程序。
在一个实施例中， 一般可在网络100中实现认证如下客户机设备110可与 AP 120通信并请求认证，然后AP 120可向认证服务器130发送该请求。认证服务 器130可经由AP 120向客户机设备110发送认证质询。S卩，为认证客户机设备110， 服务器130可向AP 120发送质询，而AP 120随即可将该质询传递给客户机设备 110。响应于该质询，可从客户机设备110向服务器130发送凭证。如果服务器130 认证了客户机设备IIO所发送的凭证，则服务器130可授权客户机设备110在网络 上通信。例如，服务器130可打开网络端口以允许客户机设备110与网络100中的 其它设备通信。
在替换实施例中，例如，在有线网络中，可能不包括接入点120，且认证服务 器130和客户机设备110可直接通信，或是通过其它网络设备间接通信，以认证客 户机设备IIO，尽管本发明的范围在这个方面并不受限制。在另一个实施例中，网 络100可包括认证设备，其中该认证设备既起到认证方的作用，又起到认证服务器 的作用。例如，网络IOO可包括认证设备，该认证设备可包含接入点120和认证服 务器130。
网络100可具有物理或逻辑的网络端口。逻辑端口也可称为虚拟端口。诸如 客户机设备IIO等设备可以被耦合到这些端口，并且这些端口可以被打开或关闭， 以允许网络中的设备之间的通信。例如，在耦合到网络的设备已通过认证之后，该 设备可被授权，且网络端口可被"打开"，以允许该设备经由或通过所打开的端口 与其它设备通信。反过来，如果耦合到网络的设备没有通过认证，则该端口可被"关 闭"，以阻断或阻止往来该未经认证的设备的通信。在一个实施例中，在网络100中既可使用用户认证，又可使用机器认证。换 言之，既可使用用户凭证(例如，客户机设备110的用户的用户口令)，又可使用 机器凭证(例如，诸如存储在客户机设备110中的序列号等可被用来唯一地标识客 户机设备110的机器标识)在网络100中提供认证。例如，认证客户机设备110
可包括在某些时候使用用户凭证，而在其它时候使用机器凭证。机器凭证的其它示 例可包括某种类型的密码资料或证书。
在一个实施例中，如果客户机设备110响应于其所接收的用户输入，从非活
动功率状态(例如，低功率状态)转移到活动功率状态(例如，"苏醒"状态)，
则响应于来自服务器130的认证质询，客户机设备110的用户的用户凭证可从客户 机设备110发送到服务器130，尽管本发明的范围在这个方面并不受限制。
低功率状态的示例可包括睡眠、休眠、挂起或待机状态。与处于睡眠状态时 相比，客户机设备110在苏醒状态可能消耗相对较多的功率。苏醒状态也可被称为 高功率、较高功率或活动状态，而睡眠、休眠、挂起和待机状态可被称为低功率、 较低功率或非活动状态。
用户输入可包括客户机设备110所接收的指示用户在场的任何输入。用户输 入的示例可包括键盘输入、鼠标移动、鼠标点击等等。在一个实施例中，客户机设 备110在可指示用户不在场的一段时间的不活动之后，可从苏醒状态转移到低功率 状态。不活动的时段可使用"超时"计数器来确定。此外，用户输入可引起功率状 态转移，例如从关机状态进入休眠状态。
如果客户机设备110响应于除用户输入以外的其它事物，例如功率转移命令 (诸如客户机设备110从网络100中的另一个不同的设备(未示出)接收的唤醒命 令等)而从低功率状态转移到苏醒状态，则响应于来自服务器130的认证质询，客 户机设备110的机器凭证可从客户机设备110发送到服务器130。唤醒命令的示例 可包括发送到客户机设备110的网络唤醒请求。这可能在例如系统管理员向客户机 设备110"推送"软件补丁时发生。在此例中，用户可能不在场，从而不能认证客 户机设备IIO，并且在此例中，存储在客户机设备110中的机器凭证可用来认证客 户机设备110，以使客户机设备IIO可向网络100中的其它设备发送及从其接收信
息。来自其它网络设备的唤醒命令的其它示例可包括对等唤醒命令和远程唤醒命
令，并且这些命令可被称为外部命令，因为它们可由客户机设备110外部的设备生成。
在用户不在场时使用机器凭证可允许以诸如远程唤醒、对等唤醒、或客户警示等操作来对话务进行保护。远程或网络唤醒可允许LAN内连接(或是可经由 广域网(WAN)连接来建立到LAN的连接)的管理控制台对连接到该LAN,但 在此时可能开机也可能关机的个人计算机(PC)执行维护功能或远程控制。在对 等网络连接中，客户机可与连接到LAN的其它客户机共享其资源。可使用唤醒命 令，从而即使某些客户机进入待机状态，所有对等设备的资源仍将可用并可被共享。 警示可包括生成警报消息，这些警报消息允许客户机(例如，PC或工作站)发信 号通知管理控制台其物理或操作环境中存在某个问题，例如，过热、风扇停转、电 源问题等等。在不牺牲安全通信的同时，在设备进入待机状态且没有用户在场之后 允许这些操作可能是有利的。如上所述，这可通过在没有用户凭证可用时使用机器 凭证来进行认证来实现。
在某些实施例中，基于是提供了机器凭证还是用户凭证来进行认证，可使用 不同的加密密钥，尽管本发明的范围在这个方面并不受限制。
在一个实施例中，当客户机设备110处于用户操作的苏醒状态时，可使用"苏 醒"加密密钥，来以密码手段保护客户机设备110与网络IOO的其它设备之间所传
送的信息。苏醒密钥可基于来自客户机设备iio的用户的凭证。
当客户机设备110转移到低功率状态，即睡眠状态时，它可协商可被称为"睡 眠"密钥的另一个加密密钥。该睡眠密钥可基于客户机设备110的机器凭证。如果 客户机设备IIO是使用来自另一个设备的网络唤醒命令或请求来唤醒的，并且没有 用户在场，则可使用睡眠密钥来保护客户机设备110与网络IOO中的其它设备之间
的话务。
如果客户机设备110由于用户交互(例如，键击、鼠标移动、鼠标点击等)
而从睡眠状态转移到苏醒状态，则客户机设备uo可丢弃睡眠密钥，并请求用户给
出用户凭证以协商苏醒密钥。
如果客户机设备110由于网络唤醒命令而从睡眠状态转移到苏醒状态，则客 户机设备110可继续使用该睡眠密钥来保护话务，直至发生任何用户交互(例如， 键盘输入、鼠标移动、鼠标点击)，在那时客户机设备110可丢弃该睡眠密钥，并
请求用户使用用户凭证来协商新的苏醒密钥。如果客户机设备iio由于例如由系统 超时所确定的系统不活动而转移回到睡眠状态，则客户机设备iio可协商新的睡眠密钥。
在替换实施例中，不是使用不同的加密密钥(例如，睡眠密钥和苏醒密钥)，
而是可使用同一个加密密钥，无论客户机设备iio是响应于网络唤醒命令还是用户输入而从较低功率状态转移到较高功率状态。
转到图2，图中所示是示出根据本发明的一个实施例的一种提供认证和安全通
信的方法200的流程图。方法200可在以上参考图1所讨论的网络100中使用。方 法200可包括将客户机设备110从睡眠状态转移到苏醒状态的操作(框210)。在 转移到苏醒状态之后，即可确定功率状态转移是由于来自另一个网络设备的网络唤 醒命令，还是由于来自客户机设备110的用户的用户输入(菱形220)。
如果确定转移是由于网络唤醒命令，则可使用客户机设备110的机器凭证来 向网络100认证客户机设备110。此外，可使用这些机器凭证来获得或选择用来对 来自客户机设备110的传输数据加密、以及对客户机设备IIO所接收的传输数据解 密的睡眠密钥(框230)。
如果确定转移是由于客户机110接收到来自客户机设备110的用户的用户输 入，则可使用客户机设备110的用户的用户凭证来向网络IIO认证客户机设备110。 此外，可使用这些用户凭证来获得可被用来对往来客户机设备110的传输数据解密 /加密的苏醒密钥(框240)。
客户机设备110与网络100的其它设备之间的传输数据可使用基于唤醒事件 (例如，网络唤醒或用户输入)选择的适当加密密钥来保护(框250)。接下来， 客户机设备110可通过例如用户命令，或由于系统不活动而从苏醒状态转移到睡眠 状态(框260)。
由此，如上所述，本发明提供了用于提供认证和安全通信的方法、装置和系 统。在一个实施例中， 一种方法可包括从客户机设备IIO接收通过网络端口访问网 络100的请求，向耦合到该网络端口的客户机设备IOO发送质询，然后接收客户机 设备110的机器凭证，其中客户机设备110试图经由该网络端口来获得网络100 的访问或授权。该方法还可包括如果机器凭证被网络100的认证服务器130通过认 证，则打开该网络端口以允许客户机设备110与网络100的另一个网络设备(未示 出)之间通过该网络端口的通信。
在此实施例中，该方法还可包括如果机器凭证未通过认证，则关闭该网络端 口以阻断从客户机设备110到另一个网络设备的通信。如果不能从客户机设备的用 户得到用户凭证，则可使用机器凭证来认证客户机设备IIO。该方法还可包括在客 户机设备110响应于其从另一个设备接收的命令而从较低功率状态(例如，待机状 态)转移到较高功率状态(例如，苏醒状态)的情况下，或在客户机设备110的用 户不可用的情况下，若机器凭证通过认证，则使用睡眠密钥来对从客户机设备110接收的信息解密。
在此实施例中，该方法还可包括接收客户机设备110的用户在场的指示，向 客户机设备110发送质询，接收响应于该质询的用户凭证，以及如果用户凭证通过 认证，则允许网络设备与该客户机设备之间通过该网络端口的通信。该方法还可包 括如果用户凭证通过认证，并且如果客户机设备110响应于客户机设备U0从用户 接收的输入而从较低功率状态(例如，待机状态)转移到较高功率状态(例如，苏
醒状态)，则使用苏醒密钥来对从客户机设备110接收的信息解密。
在另一个实施例中， 一种方法可包括响应于从认证服务器130接收到认证质 询，从客户机设备110向认证服务器130发送存储在客户机设备110中的机器凭证， 其中客户机设备IIO被耦合到网络100的物理或逻辑端口。该方法还可包括仅当认 证服务器130认证了机器凭证时从客户机设备110向该端口发送信息，以及仅当认 证服务器130认证了机器凭证时客户机设备IIO通过该端口从网络IOO的另一个设 备接收信息。
该方法还可包括使用机器凭证来获得用于保护客户机设备110与网络100之 间通过该端口的话务的睡眠密钥。睡眠密钥可在客户机设备由于不同于用户输入的 某事物而从睡眠状态转移到苏醒状态之后使用。
在另一个实施例中， 一种方法可包括从客户机设备110向认证服务器130发 送客户机设备110的机器凭证，其中机器凭证至少用来认证客户机设备IIO，以使 在客户机设备110响应于由第一设备从第一设备外部的不同网络设备接收的功率 转移命令而从较低功率状态转移到较高功率状态之后，并在客户机设备110接收到 来自用户的输入之前，客户机设备110能够与网络100的另一个设备(未示出)通 信。在较低功率状态操作的客户机设备110的功耗低于处于第二功率状态的客户机 设备110的功耗。举例而言，较低功率状态可以是待机状态，而较高功率状态可以 是苏醒状态。认证服务器130可接收机器凭证，认证机器凭证，并基于机器凭证来 确定是否要授权客户机设备110与网络100的另一个网络设备(未示出)通信。
举例而言，客户机设备IIO可包括用于实现此实施例的方法的操作的电路(未 示出)。例如，客户机设备110可包括一个或多个处理器、非易失性和/或易失性 存储器、输入/输出(I/O)设备、无线收发器以及天线，尽管本发明的范围在这个 方面并不受限制。 在此实施例中，该方法还可包括从客户机设备110向认证服务器130发送客 户机设备110的用户的用户凭证，其中用户凭证被用来认证客户机设备110，以使客户机设备110在响应于从第一设备的用户接收用户输入而从较低功率状态转移 到较高功率状态之后能与另一个网络设备(未示出)通信，其中用户输入指示用户 在场并能提供用户凭证。
在此实施例中，该方法还可包括使用苏醒加密密钥来对从客户机设备110发
送的信息加密，并对客户机设备iio所接收的信息解密。苏醒加密密钥可基于用户
凭证，并可在第一设备响应于客户机设备110所接收的指示用户到场的用户输入而
从较低功率状态转移到较高功率状态的情况下使用。
在此实施例中，该方法还可包括使用和苏醒密钥不同的加密密钥来对从客户
机设备110发送的信息加密，并对客户机设备110所接收的信息解密。此加密密钥 可基于机器凭证，并可在客户机设备110响应于其从另一个网络设备接收的功率转
移命令而从较低功率状态转移到较高功率状态的情况下使用。
在此实施例中，该方法还包括将客户机设备110从较高功率状态转移到较低 功率状态，其中机器凭证从客户机设备110的发送可在确定客户机设备要从较高功
率状态转移到较低功率状态之后发生。在一个示例中，机器凭证的发送可在客户机
设备110从较高功率状态转移到较低功率状态之前发生。在另一个示例中，发送机
器凭证可在第一设备开始从较高功率状态转移到较低功率状态之后，并在客户机设
备110到达较低功率状态之前发生。
在此实施例中，客户机设备110可被耦合到网络100的网络端口，并且该方 法还可包括如果认证服务器130认证了客户机设备10的机器凭证，则从客户机设 备110经由该网络端口向另一个网络设备发送信息。该方法还可包括如果认证服务 器130认证了机器凭证，则通过该网络端口从另一个网络设备接收信息。
尽管本文中已说明和描述了本发明的某些特征，但是本领域技术人员至此将 可以想到许多修改、替换、改变和等效方案。因此，要理解所附权利要求书旨在覆 盖落入本发明真正精神实质的所有这些修改和改变。
权利要求
1.一种方法，包括确定与无线设备通信中使用的第一加密密钥；使用所述第一加密密钥与所述无线设备进行无线通信；确定与所述无线设备通信中使用的第二加密密钥；在确定所述第一加密密钥和第二加密密钥之后进入低功率模式；在进入低功率模式之后从所述低功率模式中苏醒；如果所述苏醒是响应于用户做出的操作，则在苏醒之后确定与所述无线设备通信中使用的第三加密密钥，否则，在苏醒之后使用所述第二加密密钥与所述无线设备进行通信。
2. 如权利要求l所述的方法，其特征在于，所述低功率模式选自如下之一.-睡眠模式、休眠模式、挂起模式以及待机模式。
3. 如权利要求l所述的方法，其特征在于，所述用户做出的操作选自如下之 一键盘输入、鼠标点击以及鼠标移动。
4. 如权利要求l所述的方法，其特征在于，第三密钥是基于用户凭证。
5. —种设备，包括一无线通信设备，用于 确定与无线设备通信中使用的第一加密密钥； 使用所述第一加密密钥与所述无线设备进行无线通信； 确定与所述无线设备通信中使用的第二加密密钥； 在确定所述第一加密密钥和第二加密密钥之后进入低功率模式； 在进入低功率模式之后从所述低功率模式中苏醒；如果所述苏醒是响应于用户做出的操作，则在苏醒之后确定与所述无线设备 通信中使用的第三加密密钥，否则，在苏醒之后使用所述第二加密密钥与所述无线 设备进行通信。
6. 如权利要求5所述的方法，其特征在于，所述低功率模式选自如下之一 睡眠模式、休眠模式、挂起模式以及待机模式。
7. 如权利要求5所述的方法，其特征在于，所述用户做出的操作选自如下之 一键盘输入、鼠标点击以及鼠标移动。
8. 如权利要求5所述的方法，其特征在于，第三密钥是基于用户凭证。
9.如权利要求5所述的方法，其特征在于，所述设备基本上与2001年7月 发布的电气和电子工程师协会(IEEE) 802.1X标准相兼容。
全文摘要
简言之，根据本发明的一个实施例，提供了一种用于提供认证和安全通信的装置和方法。在一个示例中，该方法可包括发送第一设备的机器凭证，其中机器凭证用来认证第一设备，以使第一设备在响应于其从另一个设备接收的命令而从第一功率状态转移到第二功率状态之后能与第二设备通信，其中第一设备在第一功率状态中的功耗低于第一设备在第二功率状态中的功耗。该第一设备可在有线或无线网络中使用。
文档编号H04L29/06GK101631125SQ20091015927
公开日2010年1月20日 申请日期2004年12月1日 优先权日2003年12月18日
发明者C·福斯特, J·沃克 申请人:英特尔公司