本發(fā)明涉及用于使裝置安全關(guān)聯(lián)的方法。特別地，本發(fā)明涉及在之前IP使能的裝置還未連接時(shí)在它們之間形成安全關(guān)聯(lián)。

背景技術(shù)：
目前對(duì)于低成本的IP使能裝置還沒有簡(jiǎn)單的方法用于在之前它們還未連接時(shí)建立對(duì)等安全關(guān)聯(lián)（SA）（共享密鑰和算法、驗(yàn)證裝置身份、連接信息、端口和協(xié)議）?？煽紤]在制造時(shí)用共享密鑰或證書預(yù)配置這樣的裝置，但該方法無法外推以在其他遺留裝置或已經(jīng)用不同的密鑰/證書預(yù)配置的裝置之間允許有配合操作。在下面的討論中，術(shù)語“IP型”SA指兩個(gè)IP使能的同位體之間的安全關(guān)聯(lián)。示例包括在IPSec級(jí)、TLS級(jí)或應(yīng)用級(jí)處的關(guān)聯(lián)。相對(duì)高端的裝置使用IPSec來建立這樣的SA是可能的，假設(shè)：a）它們具有現(xiàn)有的證書或共享密鑰并且b）它們是IP可尋址的并且已經(jīng)發(fā)現(xiàn)彼此的IP。在許多網(wǎng)絡(luò)中這將不適用。SA的形式還可以在TLS會(huì)話中建立，假設(shè)裝置中的至少一個(gè)是可尋址的（服務(wù)器）但對(duì)于證書或預(yù)共享密鑰/密碼存在相似的要求。局域網(wǎng)通過手動(dòng)輔助（加載WEP、WPA、藍(lán)牙PIN輸入的密鑰）或通過未驗(yàn)證的橢圓曲線DiffieHelman（希望附近沒有中間人）（藍(lán)牙v2.1“JustWorks”配對(duì)）來建立子IPSA也是可能的。沒有容易的方法來執(zhí)行對(duì)這樣的連接的授權(quán)控制（例如，關(guān)于哪些裝置可以連接到哪些其他裝置、支持什么協(xié)議、壽命極限、連接密鑰是否被托管等的網(wǎng)絡(luò)級(jí)策略）。此外，沒有容易的方法來建立IP型SA。因此，本發(fā)明的目的是避免或至少減輕前面提到的問題。

技術(shù)實(shí)現(xiàn)要素：
根據(jù)本發(fā)明的第一方面，提供有用于在IP使能的裝置之間形成安全關(guān)聯(lián)的方法，該方法包括：在所述裝置的第一個(gè)與第一網(wǎng)絡(luò)服務(wù)器之間建立第一關(guān)聯(lián)，接收從訂戶驗(yàn)證存儲(chǔ)部件到網(wǎng)絡(luò)的所述裝置的第二個(gè)的所有權(quán)聲明，將網(wǎng)絡(luò)領(lǐng)域身份分配給第二裝置；將驗(yàn)證詢問發(fā)送到訂戶驗(yàn)證存儲(chǔ)部件；響應(yīng)驗(yàn)證詢問而接收驗(yàn)證信息；將驗(yàn)證信息傳遞到第二裝置，根據(jù)傳遞的驗(yàn)證信息促進(jìn)第二裝置與第二網(wǎng)絡(luò)服務(wù)器之間的第二關(guān)聯(lián)，在第一和第二網(wǎng)絡(luò)服務(wù)器之間建立安全連接，所述安全連接具有對(duì)應(yīng)的安全關(guān)聯(lián)信息，以及分別使用第一和第二關(guān)聯(lián)將所述對(duì)應(yīng)的安全關(guān)聯(lián)信息傳遞到第一和第二裝置兩者，由此在第一與第二IP使能的裝置之間提供必要的關(guān)聯(lián)。從而為了在之前IP使能的裝置未連接時(shí)在它們之間實(shí)現(xiàn)安全關(guān)聯(lián)的形成，就是說，方法需要由始發(fā)裝置的訂戶作出目標(biāo)裝置的所有權(quán)聲明并且憑借SIM卡來驗(yàn)證訂戶給出該聲明。始發(fā)裝置建立到第一服務(wù)器的安全連接。目標(biāo)裝置建立到第二服務(wù)器的安全連接。假設(shè)第一和第二服務(wù)器可以建立常規(guī)的IP型SA（例如，使用IPSec或TLS），在這兩個(gè)裝置之間有安全關(guān)聯(lián)鏈。該鏈然后用于在始發(fā)裝置與目標(biāo)裝置之間建立新的安全關(guān)聯(lián)。第一和第二服務(wù)器從而分別充當(dāng)兩個(gè)裝置的代理并且代表它們協(xié)商安全關(guān)聯(lián)。它們?nèi)缓笫褂矛F(xiàn)有的安全關(guān)聯(lián)鏈將新的安全關(guān)聯(lián)信息安全地傳遞到裝置。優(yōu)選地，分配網(wǎng)絡(luò)領(lǐng)域身份的步驟包括使用制造商提供的身份來驗(yàn)證第二裝置。根據(jù)本發(fā)明的另外的方面，提供有用于在IP使能的裝置之間形成安全關(guān)聯(lián)的系統(tǒng)，該系統(tǒng)包括第一網(wǎng)絡(luò)服務(wù)器和第二網(wǎng)絡(luò)服務(wù)器，所述第一網(wǎng)絡(luò)服務(wù)器和第二網(wǎng)絡(luò)服務(wù)器能操作以在其之間建立安全的IP型關(guān)聯(lián)，所述安全關(guān)聯(lián)具有對(duì)應(yīng)的安全關(guān)聯(lián)信息，其中第一網(wǎng)絡(luò)服務(wù)器包括：用于建立與所述裝置中的第一個(gè)的第一關(guān)聯(lián)的部件；用于從訂戶驗(yàn)證存儲(chǔ)部件接收所述裝置的第二個(gè)的所有權(quán)聲明的部件；用于將網(wǎng)絡(luò)領(lǐng)域身份分配給第二裝置的部件；用于將驗(yàn)證詢問發(fā)送到訂戶驗(yàn)證存儲(chǔ)部件的部件；用于響應(yīng)該驗(yàn)證詢問而接收驗(yàn)證信息的部件；以及用于將驗(yàn)證信息傳遞到第二裝置的部件；第二網(wǎng)絡(luò)服務(wù)器具有用于根據(jù)傳遞的驗(yàn)證信息建立與第二裝置的第二關(guān)聯(lián)的部件，其中第一網(wǎng)絡(luò)服務(wù)器使用第一關(guān)聯(lián)將所述對(duì)應(yīng)的安全關(guān)聯(lián)信息傳遞到第一裝置并且第二網(wǎng)絡(luò)服務(wù)器使用第二關(guān)聯(lián)將所述對(duì)應(yīng)的安全關(guān)聯(lián)信息傳遞到第二裝置，由此在第一和第二IP使能的裝置之間提供必要的關(guān)聯(lián)。附圖說明為了更好地理解本發(fā)明，現(xiàn)在將僅通過示例來參考附圖，其中：圖1圖示根據(jù)本發(fā)明的裝置注冊(cè)的步驟；圖2圖示根據(jù)本發(fā)明將服務(wù)器間SA建立為橋的步驟；以及圖3圖示根據(jù)本發(fā)明由代理建立裝置間SA的步驟。具體實(shí)施方式第一階段是在裝置與網(wǎng)絡(luò)服務(wù)器之間建立IP型SA（其然后將用作未來協(xié)商和策略執(zhí)行點(diǎn)）。存在注冊(cè)協(xié)議，其中訂戶（使用(U)SIM而為網(wǎng)絡(luò)所知）向網(wǎng)絡(luò)聲明對(duì)目標(biāo)裝置的“所有權(quán)”并且在網(wǎng)絡(luò)領(lǐng)域內(nèi)給予它“友好”身份（例如，裝置名.訂戶名@領(lǐng)域）。該階段*可*牽涉使用制造商提供的身份（MAC地址、序列號(hào)）來驗(yàn)證裝置或只是聲明該身份（如果沒有預(yù)加載密鑰/證書要驗(yàn)證）。協(xié)議由此針對(duì)裝置被多重注冊(cè)（由不同的所有者）、被盜、被侵入、被錯(cuò)誤配置等提供一些保護(hù)。該階段*可*牽涉選擇假名或假名范圍來提供對(duì)訂戶和/或裝置用戶的隱私保護(hù)。注冊(cè)階段牽涉網(wǎng)絡(luò)將驗(yàn)證詢問發(fā)送到(U)SIM，其具有然后在訂戶控制下本地傳遞到目標(biāo)裝置的一些所得的密鑰材料（Kc或CK‖IK或K_ASME）。用于SA的一個(gè)或多個(gè)密鑰然后從該密鑰材料得出，并且存在密鑰材料從HLR的對(duì)應(yīng)傳遞以及在網(wǎng)絡(luò)側(cè)處的得出。各種裝置側(cè)方法包括：臨時(shí)將SIM卡插入裝置內(nèi)、使目標(biāo)裝置連接到已經(jīng)經(jīng)由USB、紅外、NFC藍(lán)牙、WLAN、Zigbee等而已經(jīng)持有(U)SIM的裝置。各種網(wǎng)絡(luò)側(cè)方法包括服務(wù)器將其自身呈現(xiàn)為接入節(jié)點(diǎn)（類似基站）并且獲得驗(yàn)證矢量。這與類似UMA、IMS的協(xié)議或?qū)?GPP網(wǎng)絡(luò)（WLAN交互工作等）的各種形式的不同接入一起起作用?；蚩梢允褂肎BA協(xié)議。在完成第一階段時(shí)，我們讓（說）裝置1使用IP型SA連接到服務(wù)器1。相似地，我們讓裝置2使用IP型SA連接到服務(wù)器2。我們現(xiàn)在還假設(shè)服務(wù)器1和服務(wù)器2可以建立常規(guī)的IP型SA（例如，使用IPSec或TLS），因此根據(jù)現(xiàn)有的SA我們具有正方形的三個(gè)邊。這然后用于建立正方形的第四個(gè)邊：在裝置1和裝置2之間的新的SA。服務(wù)器1和服務(wù)器2廣泛地充當(dāng)裝置1和裝置2的“代理”并且代表它們協(xié)商SA。它們?nèi)缓笫褂矛F(xiàn)有的裝置-服務(wù)器SA將新的SA信息安全地傳遞到裝置。一個(gè)特定的實(shí)施例包括服務(wù)器協(xié)商IKESA，并且然后將關(guān)聯(lián)的密鑰和數(shù)據(jù)傳遞到裝置，因此它們可以建立多個(gè)CHILD_SA中的一個(gè)。另一個(gè)特定的實(shí)施例牽涉服務(wù)器也協(xié)商一個(gè)或多個(gè)CHILD_SA。第三實(shí)施例牽涉服務(wù)器“偽裝”初始IKE交換使得它們以商定的一組SA數(shù)據(jù)結(jié)束但沒有經(jīng)過特定IKE端口或進(jìn)行另外的Diffie-Helman交換。第四實(shí)施例牽涉服務(wù)器協(xié)商新的密鑰，裝置稍后將其用于預(yù)共享密鑰TLS。通用協(xié)議也覆蓋以下類似的情況：服務(wù)器1=服務(wù)器2、裝置2=服務(wù)器2以及裝置2=服務(wù)器3。該分階段方法具有若干優(yōu)點(diǎn)。1.終端裝置可以是低端（它們不必支持DiffieHelman或IKE棧，或呈現(xiàn)并且核實(shí)證書等）。2.服務(wù)器可以執(zhí)行策略規(guī)則，因此只允許建立特定組的SA、某些協(xié)議、壽命極限等（訂戶可以在注冊(cè)裝置時(shí)有助于該組策略規(guī)則）。它們可以通過保留密鑰來執(zhí)行合法偵聽或分組檢查；或（如果需要相反面）使它們自身離開加密路徑。3.服務(wù)器可以在命名的裝置之間建立路由，甚至在沒有直接尋址能力（因?yàn)镹AT、防火墻等）時(shí)也如此，并且通過該路由使未來SA保護(hù)的通信“隧穿”?；蛞坏┌踩珓t使能直接尋址能力。例子使用情況1.銷售員在會(huì)議上遇到潛在客戶。銷售員具有包含技術(shù)手冊(cè)、試驗(yàn)軟件等的家用PC（裝置1）。潛在客戶具有智能手機(jī)（裝置2）。銷售員想準(zhǔn)予潛在客戶臨時(shí)訪問他的家庭網(wǎng)絡(luò)來檢索選擇的手冊(cè)、軟件等并且收集關(guān)于該客戶的一些細(xì)節(jié)。存在機(jī)密的細(xì)節(jié)，因此需要端到端地使鏈接安全。2.雇員具有帶有來自操作者1的SIM的個(gè)人智能手機(jī)，并且分配了帶有來自操作者2的SIM的公司手機(jī)。雇員希望使裝置之間的照片、日歷、聯(lián)系等同步。它們具有不兼容的存儲(chǔ)器卡。雇員可以使用藍(lán)牙，但它是～1千兆字節(jié)的數(shù)據(jù)，因此將非常慢。通過3G來同步將是非常昂貴的。兩個(gè)手機(jī)都支持WLAN，但都不能充當(dāng)接入點(diǎn)，并且不管怎樣，用戶不想胡亂設(shè)置共享密鑰。當(dāng)協(xié)商裝置間SA時(shí)，服務(wù)器檢測(cè)兩個(gè)裝置都在開放式WALN熱點(diǎn)內(nèi)。促使它們每個(gè)連接到熱點(diǎn)，并且然后可以共享文件（但被加密和完整性保護(hù)，因此其他熱點(diǎn)用戶無法看到這些文件，并且它們都不可能是熱點(diǎn)操作者）。