用于管理安全发布‑订阅系统的生命周期的系统、装置和方法制造方法及图纸

在一个实施例中，一种方法包括：向身份提供者请求对设备的登记，该登记包括设备对于分布式网络的发布‑订阅协议的至少一个角色；从身份提供者接收设备身份凭证并将该设备身份凭证存储在该设备中；接收与第一发布者相关联的第一主题的票据凭证，该票据凭证包括设备的该至少一个角色；从密钥管理器接收针对与发布‑订阅协议相关联的群的群密钥；以及在设备中接收针对第一主题的内容，该内容由群密钥保护。

System and method for safety management issued subscription system life cycle

In one embodiment, a method includes: a request for registration of the equipments to the identity provider, including the registration of the equipment for at least one role released subscribe protocol of the distributed network; receiving equipment identity certificate from the identity provider and the equipment identity credentials stored in the device; and receiving the first issued receipts the first theme is associated to the receipt of the equipment including the at least one role; receiving from the key manager for the group key and release subscription agreement associated with the group; and receiving for the topic in the device, the contents of the group key protection.

【技术实现步骤摘要】
【国外来华专利技术】用于管理安全发布-订阅系统的生命周期的系统、装置和方法背景用于工厂自动化、采暖通风与空调(HVAC)控制、建筑自动化、运输、以及其他应用的旧式嵌入式系统、网络和现场总线架构依赖于发布-订阅(pub-sub)消息收发方法来实现高度可缩放的网络(具有许多节点)，同时还确保针对自动化和控制应用的及时消息递送。历史上，由专有的垂直整合供应商来提供控制网络并且这些控制网络与企业主干网和因特网隔离。这种隔离通过在控制网络(其对安全操作高度重视)与很大程度上暴露于恶意软件和各种恶棍攻击的主干/因特网网络之间提供物理分离来使安全性获益。然而，随着物联网(IoT)技术变得越来越普遍，旧式网络的发布-订阅消息收发基础设施将变得复杂且不安全。附图简述通过所附权利要求、以下对一个或多个示例实施例的详细描述、以及对应的附图，本专利技术的各实施例的特征和优点将变得明显。在认为合适的情况下，已在多个附图之间重复了参考标号以指示对应的或类似的元件。图1是示出了根据一实施例的发布-订阅执行器的系统模型的框图。图2是根据一实施例的在IoT设备凭证收发期间应用的发布-订阅角色指派的流程图。图3-1和3-2是示出了用于在交换应用数据或控制消息之前确立密钥的密钥管理流程以及发布-订阅流程的时序图。图4是可以与各实施例一起使用的示例系统的框图。图5是根据本专利技术的另一实施例的系统的框图。详细描述在以下描述中，阐述了众多具体细节，但是在没有这些具体细节的情况下也可实践本专利技术的各实施例。公知的电路、结构和技术未被详细示出，以避免混淆对本描述的理解。“一实施例”、“各个实施例”等等指示如此描述的(诸)实施例可包括特定特征、结构或特性，但是，不是每一个实施例都必定包括该特定特征、结构或特性。一些实施例可以具有针对其他实施例所描述的特征中的一些或全部，或完全不具有这些特征。“第一”、“第二”、“第三”等等描述常见的对象，并且指示相同对象的不同实例正在被引用。此类形容词并不暗示如此描述的对象必须在时间上、在空间上，在排序方面或以任何其他方式按给定顺序。在各个实施例中，提供密钥管理技术以使得发布-订阅模型中的每次交换能够以密钥交换开始。此外，发布-订阅模型通常利用群(共享对称)密钥，发布者、订阅者和/或通知消费者在能够消费使用群密钥来保护的共享内容之前首先获得该群密钥。在各实施例中，发布-订阅执行器(包括密钥管理执行器)可通过不受信任的网络彼此隔离，但仍然能够获得密钥以便为发布-订阅消息应用消息完整性和机密性保护。在各实施例中，可以使用Needham-Schroeder启发的分布式密钥管理技术以避免依赖于专用受信任网络来控制特定于密钥管理的话务。在各实施例中，执行者包括发布者、订阅者、通知消费者、中介、以及密钥管理器。在一些实施例中，可采用多个中介和密钥管理器以解决可缩放性和负载平衡要求。密钥管理器可被配置成向各执行者之间可能出现的每个成对交互发出密钥。成对密钥用于保护成对执行者之间的消息话务。一些交互涉及多个执行者并且可实现对群共享密钥的使用。密钥管理器通过发出群凭证来促进提供群密钥，其中该群凭证可被递送给多个执行者并且可具有在其中继续允许附加执行者访问该密钥的定义的寿命和范围，在该寿命和范围期间在该密钥下可以交换共享内容。密钥元数据帮助提供针对何时以及如何使用密钥的上下文。密钥元数据伴随密钥，使得即使执行者动作是分布式的，所有各方也保持对上下文的一致理解。可通过从密钥管理器获得迷你票据来添加发布-订阅群成员。可通过允许迷你票据期满来移除这些群成员。可通过用信令通知密钥管理器移除群密钥以使得后续不能发出包含该群密钥的迷你票据来防止群的扩展。该办法受益于对称加密关于最小消息处理等待时间的性能优势。该办法还通过利用密钥管理先决条件遮蔽发布-订阅操作来最小化密钥管理处理语义。各实施例提供了一种发出包括发布-订阅授权的“票据”或“迷你票据”的对称密钥管理器，这些发布-订阅授权限制设备为执行所请求的操作能够进入哪个发布-订阅角色。此外，可以使用受信任执行环境(TEE)来应用给予迷你票据的发布-订阅角色指派，其中该受信任环境确保发布-订阅角色由分别专用于预期发布-订阅角色的适当处理器来执行。各个发布-订阅消息交换可以按给定的顺序和定时来执行，但是以密钥管理交换开始。因此，发布-订阅系统(诸如XMPP、DDS、MQTT、以及包括RESTful办法的其他系统)可以能够使用原生消息交换基础设施和格式化来整合密钥管理消息。JSON网页令牌(JWT)是另一示例消息交换基础设施，该消息交换基础设施在与本文所讨论的实施例结合时可以保护在发布-订阅系统(诸如XMPP、DDS、MQTT、RESTful)上的密钥管理交换，以使得它们变得整合到可缩放的基于网页的(或基于企业的)密钥管理基础设施。这是重要的，因为IoT设备通常使用的基础设施可兼用于密钥管理基础设施。这降低了IoT节点的总体成本，其中替代方案通常是经由GSSAPI来部署特定于密钥管理的基础设施(诸如PKI或Kerberos)。现在参考图1，所示为根据一实施例的示出了发布-订阅执行者的系统100的框图。执行者包括IoT子网N1101中的中介111、IoT子网N2102中的发布者112、IoT子网N3中的密钥管理器113、IoT子网N4中的订阅者114、以及IoT子网N5105中的消费者115。如所示出的，每个执行者彼此隔离并且易于经由中间人(MITM)攻击表面106受到来自不受信任的互联网络(包括因特网107)的MITM攻击者。虽然各执行者彼此隔离，但确实经由通信信道108(图1中未标记所有的通信信道)彼此耦合。然而，如参考图1和2更详细描述的，可通过在现有的发布-订阅消息收发层上实现密钥管理协议(其引导密钥作为执行发布-订阅消息交换的一部分)来解决安全性威胁。现在参考图2，所示为根据一个实施例的在IoT设备凭证收发期间应用的发布-订阅角色指派的流程图。在一实施例中，提供了用于向执行者中介211、发布者212、订阅者214、以及消费者215指派发布-订阅角色指派的方法200。接收到的凭证允许各个IoT设备/执行者执行其功能。图2展示了设备向身份提供者登记(登记请求221、222、224、225、226)的登记协议。身份提供者216可包括例如FIDOPKI证书权威机构。然而，身份提供者216可以替代地利用由开放互连联盟定义的设备接入过程来处置。实际上，IoT设备可以登记有多个发布-订阅角色(例如，一设备或节点可以是对于发布-订阅协议的不同主题或者甚至对于发布-订阅协议的相同主题的发布者和订阅者两者)。因此，接收到的设备身份凭证(凭证递送231、232、234、235)可包括或提供发布者和订阅者角色两者。在对称密钥的特定使用中，正被执行的特定角色可被断言并包括在由密钥管理器发出的票据中。特殊的登记情形允许订阅者指定被授权代表该订阅者来接收通知的一组通知消费者，以使得生成通知的发布者消息仅能够被递送给被授权的通知消费者，并且进一步限于作为订阅者的代表的通知消费者。各实施例可使得发布-订阅定型语义能够变成可由执行者在执行动作之前验证的明确授权。这使得系统的安全操作要求能够跨穿越不受信任网络的分布式拓扑得以保留。现在参考图3-1本文档来自技高网...

【技术保护点】
一种由至少一个处理器执行的方法，包括：从第一设备接收针对第一安全票据的第一请求，其中，所述第一请求包括：(a)(i)与所述第一设备对于分布式网络的发布‑订阅协议的角色相对应的第一设备身份凭证，以及(a)(ii)与所述发布‑订阅协议相关联的第一过滤元素；向所述第一设备发送所述第一安全票据，所述第一安全票据受限于所述第一过滤元素并包括第一密钥；从作为所述第一过滤元素的发布者的第二设备接收针对第二安全票据的第二请求，其中，所述第二请求包括所述第一过滤元素；以及向所述第二设备发送所述第二安全票据，所述第二安全票据受限于所述第一过滤元素并包括第二密钥，所述第二密钥是对称群密钥。

【技术特征摘要】
【国外来华专利技术】2015.06.09 US 62/172,893;2015.09.25 US 14/864,9571.一种由至少一个处理器执行的方法，包括：从第一设备接收针对第一安全票据的第一请求，其中，所述第一请求包括：(a)(i)与所述第一设备对于分布式网络的发布-订阅协议的角色相对应的第一设备身份凭证，以及(a)(ii)与所述发布-订阅协议相关联的第一过滤元素；向所述第一设备发送所述第一安全票据，所述第一安全票据受限于所述第一过滤元素并包括第一密钥；从作为所述第一过滤元素的发布者的第二设备接收针对第二安全票据的第二请求，其中，所述第二请求包括所述第一过滤元素；以及向所述第二设备发送所述第二安全票据，所述第二安全票据受限于所述第一过滤元素并包括第二密钥，所述第二密钥是对称群密钥。2.如权利要求1所述的方法，其特征在于，包括：从第三设备接收针对第三安全票据的第三请求，其中，所述第三请求包括：(b)(i)与所述第三设备对于所述发布-订阅协议的角色相对应的第三设备身份凭证，以及(b)(ii)所述第一过滤元素；以及向所述第三设备发送所述第三安全票据，所述第三安全票据受限于所述第一过滤元素并包括第三密钥。3.如权利要求2所述的方法，其特征在于，所述第一设备是所述第一过滤元素的订阅者和中介中的一者，并且所述第三设备是所述第一过滤元素的订阅者和中介中的另一者。4.如权利要求2所述的方法，其特征在于，所述第一设备的角色对应于第一组发布-订阅协议特权，并且所述第三设备的角色对应于不等于所述第一组发布-订阅协议特权的另一组发布-订阅协议特权。5.如权利要求2所述的方法，其特征在于，所述第一安全票据包括所述第一设备身份凭证，所述第一设备身份凭证对应于第一组发布-订阅协议特权。6.如权利要求1所述的方法，其特征在于，包括：从所述第一设备接收针对附加第一安全票据的附加第一请求，其中，所述附加第一请求包括与所述第一设备对于所述发布-订阅协议的附加角色相对应的附加第一设备身份凭证；以及向所述第一设备发送所述附加第一安全票据，所述附加第一安全票据包括附加第一密钥；其中，所述角色不等于所述附加角色。7.如权利要求1所述的方法，其特征在于，包括：从所述第一设备接收针对附加第一安全票据的附加第一请求，其中，所述附加第一请求包括：(a)(i)与所述第一设备对于所述发布-订阅协议的附加角色相对应的附加第一设备身份凭证，以及(a)(ii)与所述发布-订阅协议相关联的附加第一过滤元素；向所述第一设备发送所述附加第一安全票据，所述附加第一安全票据受限于所述附加第一过滤元素并包括附加第一密钥；其中，所述角色不等于所述附加角色，并且所述第一过滤元素不等于所述附加第一过滤元素。8.如权利要求7所述的方法，其特征在于，所述角色是发布者和订阅者中的一者，并且所述附加角色是发布者和订阅者中的另一者。9.如权利要求1所述的方法，其特征在于，所述第一身份凭证包括来自证实所述第一设备的角色的证书权威机构的证书。10.如权利要求1所述的方法，其特征在于，所述第一过滤元素包括基于主题的发布-订阅协议的主题和基于内容的发布-订阅协议的所定义的约束中的一者。11.如权利要求1所述的方法，其特征在于，包括：经由不安全的公共因特网域从所述第一设备接收所述第一请求；经由所述不安全的公共因特网域向所述第一设备发送所述第一安全票据；经由所述不安全的公共因特网域从所述第二设备接收所述第二请求；以及经由所述不安全的公共因特网域向所述第二设备发送所述第二安全票据。12.如权利要求1所述的方法，其特征在于，包括：从所述第一设备、所述第二设备和第三设备中的至少一者接收删除所述对称群密钥的第三请求；以及删除所述对称群密钥。13.如权利要求1所述的方法，其特征在于，所述对称群密钥是临时会话密钥。14.一种由至少一个处理器执行的方法，包括：向身份提供者请求对第一设备的登记，所述登记包括所述第一设备对于分布式网络的发布-订阅协议的角色；从所述身份提供者接收第一设备身份凭证并且所述第一设备身份凭证对应于所述角色，并将所述第一设备身份凭证存储在所述第一设备的存储器中；向密钥管理器发送收针对第一安全票据的第一...

【专利技术属性】
技术研发人员：N·M·史密斯，N·赫尔德谢拉，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国,US