用于在网络中提供设备的登记的系统、方法和装置与流程

本申请要求2014年7月11日提交的、发明人为Timothy Edward Moses的题为“用于在网络中提供设备的登记的方法和装置”的美国临时申请No.62/023262、以及2015年7月9日提交的、发明人为Timothy Edward Moses的题为“用于在网络中提供设备的登记的方法和装置”的美国非临时申请No.14/s795081的优先权，它们通过引用全文并入本文。

技术领域

本公开涉及用于在网络中登记设备的方法和装置。

背景技术：

在提出的用于针对物联网提供安全性的模型中，存在两种提出的认证基础设施，它们中的任一个或两者可以使用公钥基础设施(PKI)技术和证书。例如，当经由因特网将多个设备连接到网络(或彼此连接)时，第一安全基础设施可以在设备中安装唯一地标识每个设备的凭证。这些标识凭证可以是从安全角度而言非托管的，并且独立于使用区域。例如，当制造可以被连接到网络的设备(诸如要被安装在大的建筑物的多层中的温度传感器和恒温器)时，制造商可以将服务器或使用第三方的服务器作为根认证服务器，并且针对由该制造商生产的设备中的每一个生成标识证书。由此，在制造期间，可以利用使设备的唯一标识符与由该根认证机构签署的证书相关联的条目来创建数据库。以这种方式，当设备被接通时，它可以经由网络认证到根机构或另一证书机构。

但是，不同的安全基础设施可以被用于管理当设备被安装时的配置。由此，通用设备需要作为新设备在系统或网络中被加入，然后该设备需要被配置为以与该系统或网络的需求一致的方式操作。例如，另一授权基础设施可以被用于管理授权，诸如在网络上授权哪些设备，哪些设备可以发送哪些指令到网络中的哪些其它设备的哪些接口和它们的配置设定。随着越来越多的设备被安装在大型网络(诸如建筑物网络、路边基础设施、制造设施和其它环境)中，每个设备必须在第二基础设施的数据库中登记。当前，这会是费用过高和耗费时间的过程。

例如，参照图1，系统100被示出为具有多个设备102和102n，它们将被加入到网络中，该网络诸如使用因特网104的网络。这些设备可以是传感器、致动器、路边基础设施元件或可以与因特网或其它网络联网的任何其它合适的设备。登记设备102-102n可以通常以批处理在中心位置处进行并然后运送以被安装。管理员将需要回顾整个系统的计划并试图解决如何配置这些设备。

在该示例中，作为安全管理基础设施(在该情况下，为PKI基础设施)的一部分的安全管理设备106通过服务器处的管理员接口或作为设备106的一部分的其它计算机，用发布然后被发布至设备102-102n以配置设备从而如网络所要求地操作的设备配置证书所需的数据，来填充数据库108。每个设备具有合适的网络接口以与网络通信，在该示例中，每个设备包括IP地址或UPI。在一个示例中，安全管理设备106可以生成示出为证书110的容量证书模型的设备配置证书和/或示出为证书112的基于设备许可证书模型的设备配置证书。该设备配置证书可以存储在如本领域已知的证书数据库114中。基于容量证书模型的设备配置证书的示例是例如由安全管理设备106或其它合适的认证机构签署的证书。该基于设备容量证书的设备配置证书可以包括例如设备ID(诸如序列号、IP地址URL或其它标识符)以及代表该特定设备可以发送的命令的数据。通过许可模型基于设备许可证书112的设备配置证书可以生成包括同类型的设备ID信息和标识设备可以接受什么命令的数据的证书。数据库108可以包括例如针对网络中的每个设备的设备ID和每个设备位置，诸如系统内设备的位置。例如，如果该设备是许多管道之一中的传感器，那么它在特定管道内相对于特定的管道节点的位置或其它的位置信息必须由管理员确定。数据库108还可以包括其它的设备信息，诸如设备的模型号和序列号以及由管理员设定的容器的容量，该管理员可以通过安全管理设备106的合适的用户接口来设定参数。作为替代地，如果使用许可模型，那么可以针对特定的设备集合存储许可或规则。发布的设备配置证书(不管它们是基于容量模型或许可模型)在被生成或发布之后，被随后发送到每个相应设备，从而使得它们的配置通过基于公钥基础设施的安全系统被安全地管理。由此，设备102-102n将仅接受可以被验证是由可信任的根机构签署的证书，并且仅可以经由安全管理设备106来对设备的配置做出改变。

当在网络中使用大量的设备并且这些设备是相同类型或不同类型的设备从而使得系统的管理员需要根据在整个系统中各个设备执行的功能来管理各个设备容量和/或许可时，出现问题。同时，如果用户从不可信任源得到位置信息时，网络和设备可能容易受到攻击。

附图说明

当结合下面的附图时，通过下面的描述将更容易理解实施例，并且其中相同的附图标记表示相同的元件，其中

图1是示出现有技术系统的一个示例的框图；

图2是示出根据本公开中提出的一个实施例的系统的一个示例的框图；

图3是示出用于根据本公开的一个实施例在网络中登记多个设备的方法的一个示例的流程图；

图4是示出用于根据本公开的一个实施例在网络中针对多个设备生成配置证书的方法的一个示例的流程图；

图5是根据本公开中提出的一个实施例的要被登记的目标设备、远程就地登记设备和网络安全管理设备之间的通信图的一个示例；以及

图6是根据本公开中提出的一个实施例的要被登记的目标设备、远程就地登记设备和网络安全管理设备之间的通信图的一个示例。

具体实施方式

一般地，诸如具有运行在其上的登记应用的智能手机之类的登记设备在网络中从多个目标设备中的至少一个或多个目标设备获得就地登记信息。该登记设备将从至少一个目标设备获得的就地登记信息提供至针对该网络的诸如公钥证书生成器(例如，认证机构)之类的安全管理设备，从而有利于针对该至少一个目标设备生成目标设备配置证书。该安全管理设备使用就地登记信息和其它设备特有的信息以及设备所希望的操作信息，并且针对该至少一个目标设备发布配置证书。该安全管理设备可以是安全基础设施的一部分，并且该安全管理设备使用被管理的设备的数据库来获得关于目标设备的数据，诸如该目标设备物理上位于哪里，它意图执行什么真实世界功能，它在网络拓扑内的位置，和/或它的设备类型，或由该就地登记设备获得的关于特定设备的任何其它合适的信息。

该登记设备在该目标设备在网络中安装时注册登记信息。该就地登记设备可以是任何合适的设备，并且不需以与安全管理设备和授权基础设施的实时连接来操作。这可以包括例如，获得目标设备的图像和/或从目标设备获得标识该设备的RFID标签信息、目标设备的GPS坐标(如果需要的话)的智能手机，条形码读取器(如果需要的话)或例如从目标设备获得就地目标设备标识信息的任何其它合适的捕获设备。该设备标识信息可以包括例如制造商ID、模型号、IP地址、URL和/或序列号。该就地登记设备还可以生成数据/时间作为事件信息，以标识登记何时发生。该就地登记设备还可以从目标设备获得目标设备的可信任的根CA公钥。该登记信息与登记事件相关联，从而使得安全管理设备可以授权该登记并将目标设备的初始身份与登记信息相链接。作为登记事件的副作用，可以获得该目标设备的IP地址。该IP地址可以是动态的或静态的。同时，该目标设备可以包括与其相关的URL。

该安全管理设备可以用目标设备的容量(许可)或访问控制列表(取决于所使用的授权模型)来填充目标设备管理数据库108，这些容量或许可可以经由配置证书被提供至目标单元。

参考图2和图3，将描述该就地登记设备(也被称为登记设备200)的操作的讨论。该示例中的就地登记设备是智能手机，该智能手机包括逻辑电路206，该逻辑电路206在一个示例中包括执行应用以执行本文所描述的操作的一个或多个处理器。此外，在该示例中，诸如照相机、RFID读取器、条形码扫描器或其它信息捕获设备之类的信息捕获设备204由本文描述的一个或多个处理器206控制。该设备可以包括用于提供合适的图形用户接口以及提供本领域已知的其它信息的显示器。逻辑电路206可以以任何合适的结构来实现，这些结构包括离散逻辑电路、一个或多个状态机、执行所存储的指令的一个或多个处理器，该指令当被执行时，使得处理器执行本文所描述的操作。存储器208可以存储应用和其它可执行的指令。该存储器208可以包括RAM、ROM或本领域已知的它们的任何组合或任何其它合适类型的存储器。该登记设备针对目标设备管理数据库108创建记录，从而使得该安全管理设备106可以针对目标设备生成设备配置证书110或112。该就地登记设备基于由登记设备获得的该目标设备的外部特性唯一地就地识别目标设备。

该就地登记设备200还可以通过该安全管理设备202为可信任的就地登记设备发布证书被配置为可信任的就地登记设备。通过示例的方式，该安全管理设备可以针对该就地登记设备发布私钥和公钥对，从而允许该就地登记设备数字地签署就地登记信息。额外地，可以由该安全管理设备针对可信任的就地登记设备发布公钥证书，从而使得该可信任的就地登记设备在被该安全管理设备认证时可以利用本领域已知的公钥技术被认为是可信任的。额外地或作为替代地，该就地登记信息可以通过安全信道使用例如SSL或TSL协议被传递。

如图3所示，用于在网络中登记多个目标设备的方法可以例如通过激活登记应用或对登记设备200执行一些其它的激活操作来在框300中开始。如在框302中示出的，该方法包括通过该示例中的登记设备从至少一个目标设备102获得就地登记信息304。在该示例中，通过使用条形码扫描器来读取目标设备102上的条形码308，在目标设备102的位置处原地获得该就地登记信息304。该条形码包括目标设备标识符，诸如序列号。此外，该登记设备可以在目标设备在其上具有GPS系统的情况下通过无线链接(如果需要的话)直接从目标设备获得目标设备的地理位置，或者该登记设备可以被保持到该目标设备附近并使用它自己的GPS系统作为代理(如果需要的话)。如框303所示的，该就地登记信息304还可以包括上下文信息，该上下文信息可以是例如目标设备在系统布局内的位置或系统拓扑内的位置。这可以由正使用安全的登记设备的用户来输入或选择，以指示例如该目标设备位于建筑物中的某个房间内、管道中的位置、车辆内的位置或任何其它合适的系统拓扑信息。可选地，目标设备的图像可以由该就地登记设备拍摄和发送，以由管理员使用安全管理设备来验证该目标设备实际上位于网络拓扑内的适当的位置(如果需要的话)。

如框306中所示，该方法可以包括提供就地登记信息，该就地登记信息包括关于诸如登记的日期和时间之类的登记事件的信息。通过块302、303和306获得的一个或多个就地登记信息然后可以被安全地发送(如框310所示)到授权基础设施以及在本示例中被安全地发送到安全管理设备。该信息可以按照数据库记录的形式被格式化或者采用任何其它合适的格式。由就地登记设备从目标设备提供的就地登记信息304被提供至安全管理设备，以便于针对该至少一个目标设备102生成目标设备配置证书。就地登记信息的提供由通信312和314示出。

参考图4，现在将描述安全管理设备202的操作。安全管理设备202可以是服务器获或包括一个或多个处理器和相关联的存储器从而使得该存储器存储当被一个或多个处理器执行时使安全管理设备如本文描述的那样操作的可执行指令的任何其它合适的结构。该安全管理设备202还可以例如是台式计算机或任何其它合适的设备，并且可以是安全管理PKI基础设施的一部分并且可以作为发布本领域已知的公钥证书的认证机构。在该示例中，该安全管理设备还可以基于就地登记信息304发布设备配置证书110和112。如此，使用本领域已知的基于非对称密钥的签名技术，生成目标设备配置证书110和112。

如框400所示，用于登记多个目标设备的方法可以包括管理员登陆安全管理设备202以建立多个设备102-102n的网络。如框402所示，该方法可以包括用根据就地登记信息304的、针对系统中的所有设备的目标设备登记信息来填充针对该系统的目标设备数据库108，该就地登记信息304是由登记设备从所述多个设备中的每一个获得的。如框404所示，该方法包括基于从网络中的多个目标设备中的每一个获得的所接收的相应的就地登记信息304，针对每个目标设备生成配置证书110和/或112。例如，这可以包括从目标设备接收对所生成的目标设备配置证书110和/或112的请求，从数据库114检索所生成的目标设备配置证书，以及将所检索的目标设备配置证书返回到相应的目标设备，如通信212、214、216所示的那样。这可以无线地、有线地或经由任何网络或其他连接(如果需要的话)来通信。

通过图示的方式，如果管理员回顾示出特定的目标设备是特定类型的传感器的就地信息的数据库信息，那么管理员然后可以适当地为该特定的设备分配合适的容量。该设备在该拓扑内的位置还可以协助管理员确定在设备配置证书中包括哪种容量。使登记设备针对多个设备获得就地登记信息大大缓解了针对然后之后通过证书发布过程远程地被配置的一般设备的大型安装的登记过程。其它的益处将被本领域技术人员所认知。

图5示出了信令可以由系统200使用的计划的一个示例。如所示出的，作为安全过程的初始部分，身份认证挑战可以由网络安全管理设备例如通过例如使用与目标设备相关联的公钥分配挑战，来发布至目标设备。这由通信500示出。如通信502中示出的，目标设备可以使用其私钥来验证公钥挑战并且如果密钥恰当地验证的话则指示目标设备信任安全管理设备。如通信504所示出的，远程就地登记设备可以然后获得就地登记信息，诸如设备ID。它还可以从目标设备获得其它的就地登记信息，诸如地理位置，如果完成获得信息，那么目标设备将例如通过双向通信机制进行回复。但是，还可以使用被动的方法，诸如，例如，拍摄目标设备或RFID标签读数或条形码读数的照片，从而使得目标设备不需要使用其自己的通信资源来与登记设备通信。这在通信506中示出。如通信508所示出的，远程就地登记设备安全地提供目标设备ID和之前从设备获得的任何其它的就地登记信息，远程就地登记设备可以提供上下文信息和登记事件信息(如果需要的话)。

参考图6，图示了备选实施例，其中通过登记设备以如通信600所示出的任何合适的方式来获得就地登记信息。如框602所示，除了登记事件信息，还传递该就地登记信息。如虚线箭头604所示出的，安全管理设备然后生成合适的配置证书并然后将配置证书发送到目标设备，如通信606所示。

作为初始设备标识过程的一部分，如果需要的话，可以在诸如制造期间使用许多选择，制造商可以创建使唯一标识符与该就地设备可见或可访问的标识符相关联的数据库条目，从而有利于在授权基础设施(该基础设施提供配置证书)中进行登记。该身份基础设施可以发布对应的标识符集合，诸如变得被包括在目标设备的签条中或内部RFID标签中的序列号。同样，目标设备的制造之后，制造商可以读取唯一标识符和单元序列号并且可以使列表可以被身份基础设施获得，从而使得身份基础设施在目标设备被激活时可以使用公钥证书验证技术。该唯一标识符序列号还可以被编程到单元内或附接到单元的RFID标签内，该RFID标签可以在制造期间或在登记期间被读取。

除此之外，如果需要的话，授权基础设施(该基础设施使用安全管理设备)的根公钥可以在其例如为PKI基础设施的情况下由身份基础设施签署，从而使得在配置过程期间或在操作期间，对于其它单元的容量或许可的验证，它将是被信任的。一旦授权根公钥已被安装，身份根公钥就可以仅针对单元到其它网络操作者的再分配而被使用。

本发明的以上详细描述和本文中描述的示例是仅出于图示和描述的目的被呈现的，而不是为了限制。因此，应当理解，本发明覆盖落入以上公开的以及所要求保护的基础底层原则的精神和范围内的任何以及所有的修改、变型或等同物。