用于網(wǎng)絡(luò)通信的密鑰推導(dǎo)函數(shù)的制作方法
【專利摘要】描述了與推導(dǎo)用來(lái)在無(wú)線網(wǎng)狀網(wǎng)絡(luò)中安全通信的組密鑰關(guān)聯(lián)的系統(tǒng)、方法和其它實(shí)施例。根據(jù)一個(gè)實(shí)施例，一種用于計(jì)算用來(lái)使與網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備的通信安全的組密鑰的控制器包括被配置用于通過(guò)使用組主密鑰和關(guān)于多個(gè)遠(yuǎn)程設(shè)備中的遠(yuǎn)程設(shè)備的唯一信息來(lái)計(jì)算組密鑰的密鑰邏輯。多個(gè)遠(yuǎn)程設(shè)備按照網(wǎng)狀拓?fù)渑渲?。組密鑰用于使與遠(yuǎn)程設(shè)備的通信安全?？刂破鬟€包括被配置用于通過(guò)使用組密鑰來(lái)使通信安全的通信邏輯。通信將被發(fā)送至遠(yuǎn)程設(shè)備。
【專利說(shuō)明】用于網(wǎng)絡(luò)通信的密鑰推導(dǎo)函數(shù)
[0001]有關(guān)申請(qǐng)的交叉引用
[0002]本專利公開(kāi)內(nèi)容要求于2011年8月8日提交的第61/521，231號(hào)美國(guó)臨時(shí)申請(qǐng)的權(quán)益，其通過(guò)引用的方式整體并入于此。
【背景技術(shù)】
[0003]這里提供的【背景技術(shù)】描述是為了一般性地呈現(xiàn)公開(kāi)內(nèi)容的背景的目的。當(dāng)前命名的發(fā)明人的工作(到在此【背景技術(shù)】部分描述的工作的程度)以及在提交時(shí)可能無(wú)法以其他方式作為現(xiàn)有技術(shù)衡量的本描述的諸多方面，既不明確地也不暗含地承認(rèn)為本公開(kāi)內(nèi)容的現(xiàn)有技術(shù)。
[0004]網(wǎng)絡(luò)中的計(jì)算機(jī)可以被布置成許多不同的拓?fù)浣Y(jié)構(gòu)。例如，網(wǎng)絡(luò)可以按照星型拓?fù)?、網(wǎng)狀拓?fù)?、環(huán)形拓?fù)涞冗M(jìn)行配置。在按照星型拓?fù)渑渲玫木W(wǎng)絡(luò)中，中心點(diǎn)(例如接入點(diǎn)(AP))與客戶端設(shè)備直接通信并且控制用于客戶端設(shè)備的網(wǎng)絡(luò)功能(例如密鑰生成/分發(fā)、網(wǎng)絡(luò)接入)。對(duì)照而言，按照網(wǎng)狀拓?fù)渑渲玫木W(wǎng)絡(luò)中，每個(gè)設(shè)備與許多其它設(shè)備通信以創(chuàng)建例如與連接網(wǎng)類似的網(wǎng)絡(luò)。網(wǎng)狀網(wǎng)絡(luò)運(yùn)用為不依賴于中心點(diǎn)控制網(wǎng)絡(luò)功能的分布式技術(shù)。運(yùn)用分布式技術(shù)可能是計(jì)算密集的。例如N2級(jí)的通信(其中N是網(wǎng)絡(luò)中的設(shè)備數(shù)目)可能是在網(wǎng)狀網(wǎng)絡(luò)中執(zhí)行功能所必需的。
[0005]作為示例，考慮在星型拓?fù)渚W(wǎng)絡(luò)比對(duì)網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)中執(zhí)行密鑰分發(fā)功能。在星型拓?fù)渚W(wǎng)絡(luò)中，僅需單個(gè)組密鑰。這是因?yàn)樗邢⑹菑慕尤朦c(diǎn)向網(wǎng)絡(luò)中的設(shè)備直接發(fā)送的并且設(shè)備不相互直接通信。因此，向星型拓?fù)渚W(wǎng)絡(luò)中的所有設(shè)備分發(fā)新密鑰例如需要4N個(gè)消息。
[0006]然而在網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)中，當(dāng)每個(gè)設(shè)備在與另一設(shè)備通信時(shí)使用特定組密鑰。這是因?yàn)樵O(shè)備可以直接通信而不使用中心點(diǎn)。因而，每個(gè)設(shè)備需要知道網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)中的所有設(shè)備的特定組密鑰。用于每個(gè)設(shè)備的組密鑰必須與網(wǎng)絡(luò)上的每個(gè)其它設(shè)備之間交換，這通過(guò)在每對(duì)設(shè)備之間交換多個(gè)消息來(lái)執(zhí)行。為了分發(fā)在具有N個(gè)設(shè)備的網(wǎng)絡(luò)中為每個(gè)設(shè)備分發(fā)密鑰，可能需要4N(N-1)個(gè)通信?，F(xiàn)在考慮具有30個(gè)設(shè)備(N = 30)的網(wǎng)絡(luò)。星型拓?fù)渚W(wǎng)絡(luò)使用120個(gè)通信(4x30)來(lái)分發(fā)新密鑰。對(duì)照而言，網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)使用3，480個(gè)通信(4x30(30-1))來(lái)分發(fā)新密鑰。在這一示例中，網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)需要星型拓?fù)渚W(wǎng)絡(luò)二十九倍的通信。因而，在網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)中分發(fā)密鑰使用許多通信，其可能導(dǎo)致難以高效建立共享密鑰的。

【發(fā)明內(nèi)容】

[0007]在一個(gè)實(shí)施例中，一種用于計(jì)算用來(lái)使與網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備的通信安全的組密鑰的控制器包括密鑰邏輯，該密鑰邏輯被配置用于通過(guò)使用組主密鑰和關(guān)于多個(gè)遠(yuǎn)程設(shè)備中的遠(yuǎn)程設(shè)備的唯一信息來(lái)計(jì)算組密鑰。多個(gè)遠(yuǎn)程設(shè)備按照網(wǎng)狀拓?fù)渑渲谩＝M密鑰用于使與遠(yuǎn)程設(shè)備的通信安全。控制器還包括通信邏輯，該通信邏輯被配置用于通過(guò)使用組密鑰來(lái)使通信安全的通信邏輯。該通信將被發(fā)送至遠(yuǎn)程設(shè)備。[0008]在另一實(shí)施例中，密鑰邏輯被配置用于通過(guò)與哈希函數(shù)一起使用組主密鑰和唯一信息以產(chǎn)生組密鑰來(lái)計(jì)算組密鑰。
[0009]在另一實(shí)施例中，密鑰邏輯被配置用于通過(guò)使用組主密鑰和關(guān)于網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備的唯一信息來(lái)為網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備計(jì)算不同的組密鑰。
[0010]在另一實(shí)施例中，唯一信息包括遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符。
[0011]在另一實(shí)施例中，唯一信息包括遠(yuǎn)程設(shè)備的臨時(shí)數(shù)。
[0012]在另一實(shí)施例中，通信邏輯被配置用于從以下各項(xiàng)之一獲取組主密鑰:響應(yīng)于向多個(gè)遠(yuǎn)程設(shè)備之一的請(qǐng)求而接收的通信，其中請(qǐng)求是對(duì)于加入網(wǎng)絡(luò)的請(qǐng)求；或者帶外輸入。
[0013]在另一實(shí)施例中，通信邏輯還被配置用于通過(guò)以下操作來(lái)獲取唯一信息:嗅探(sniff)網(wǎng)絡(luò)的無(wú)線通信，或者使遠(yuǎn)程設(shè)備響應(yīng)于請(qǐng)求而發(fā)送唯一信息。
[0014]在一個(gè)實(shí)施例中，一種用于計(jì)算用來(lái)使在無(wú)線設(shè)備與網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備之間的通信安全的組密鑰的方法包括由無(wú)線設(shè)備通過(guò)使用組主密鑰和關(guān)于多個(gè)遠(yuǎn)程設(shè)備中的遠(yuǎn)程設(shè)備的唯一信息來(lái)計(jì)算組密鑰。按照網(wǎng)狀拓?fù)渑渲枚鄠€(gè)遠(yuǎn)程設(shè)備。組密鑰用于使與遠(yuǎn)程設(shè)備的通信安全。該方法還包括通過(guò)使用組密鑰來(lái)使將向遠(yuǎn)程設(shè)備發(fā)送的通信安全。
[0015]在另一實(shí)施例中，該方法包括與哈希函數(shù)一起使用組主密鑰和唯一信息以產(chǎn)生組密鑰來(lái)計(jì)算組密鑰。
[0016]在另一實(shí)施例中，該方法包括通過(guò)使用組主密鑰和關(guān)于網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備的唯一信息來(lái)為網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備計(jì)算不同的組密鑰。
[0017]在另一實(shí)施例中，唯一信息包括遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符。
[0018]在另一實(shí)施例中，唯一信息包括遠(yuǎn)程設(shè)備的臨時(shí)數(shù)。
[0019]在另一實(shí)施例中，從以下各項(xiàng)之一獲取組主密鑰:響應(yīng)于向多個(gè)遠(yuǎn)程設(shè)備之一的請(qǐng)求而由無(wú)線設(shè)備接收的通信，其中請(qǐng)求是對(duì)于加入網(wǎng)絡(luò)的請(qǐng)求；或者帶外輸入。
[0020]在另一實(shí)施例中，該方法包括由無(wú)線設(shè)備通過(guò)以下操作來(lái)獲取唯一信息:嗅探網(wǎng)絡(luò)的無(wú)線通信，或者使遠(yuǎn)程設(shè)備響應(yīng)于請(qǐng)求而發(fā)送唯一信息。
[0021]在一個(gè)實(shí)施例中，一種存儲(chǔ)計(jì)算機(jī)可執(zhí)行指令的非瞬態(tài)計(jì)算機(jī)可讀介質(zhì)，計(jì)算機(jī)可執(zhí)行指令在由計(jì)算機(jī)執(zhí)行時(shí)使計(jì)算機(jī)執(zhí)行以下方法，該方法包括由計(jì)算機(jī)獲取組主密鑰。組主密鑰是用于使在網(wǎng)絡(luò)中的多個(gè)設(shè)備之間的通信安全的密碼密鑰。向多個(gè)設(shè)備分配組密鑰。按照網(wǎng)狀拓?fù)渑渲镁W(wǎng)絡(luò)。該方法還包括有計(jì)算機(jī)通過(guò)使用組主密鑰和關(guān)于多個(gè)設(shè)備中的設(shè)備的唯一信息來(lái)生成組密鑰。
[0022]在另一實(shí)施例中，獲取組主密鑰包括計(jì)算機(jī)響應(yīng)于向多個(gè)設(shè)備之一的請(qǐng)求來(lái)接收通信。
[0023]在另一實(shí)施例中，獲取組主密鑰包括從帶外輸入接收組主密鑰。
[0024]在另一實(shí)施例中，該方法包括由計(jì)算機(jī)通過(guò)嗅探來(lái)自網(wǎng)絡(luò)的無(wú)線通信來(lái)獲取唯一信息。
[0025]在另一實(shí)施例中，生成組密鑰包括通過(guò)與哈希函數(shù)一起使用組主密鑰和唯一信息以推導(dǎo)組密鑰來(lái)計(jì)算組密鑰。
[0026]在另一實(shí)施例中，唯一信息包括設(shè)備的唯一標(biāo)識(shí)符，網(wǎng)狀拓?fù)浒ㄦ溄佣鄠€(gè)設(shè)備的多個(gè)無(wú)線連接，并且生成組密鑰包括為多個(gè)設(shè)備中的每個(gè)設(shè)備生成不同的組密鑰。
【專利附圖】

【附圖說(shuō)明】
[0027]并入于說(shuō)明書(shū)中并且構(gòu)成說(shuō)明書(shū)的一部分的附圖圖示公開(kāi)內(nèi)容的各種系統(tǒng)、方法和其它實(shí)施例。各圖中的所示的單元邊界(例如框、框組或者其它形狀)代表邊界的一個(gè)示例。在一些示例中，一個(gè)單元可以被設(shè)計(jì)為多個(gè)單元，或者多個(gè)單元可以被設(shè)計(jì)為一個(gè)單元。在一些示例中，被示為另一單元的內(nèi)部部件的單元可以被實(shí)施為外部部件，并且反之亦然。另外，單元可能未按比例繪制。
[0028]圖1圖示與推導(dǎo)用來(lái)在無(wú)線網(wǎng)狀網(wǎng)絡(luò)中安全通信的組密鑰關(guān)聯(lián)的控制器的一個(gè)實(shí)施例。
[0029]圖2圖示與推導(dǎo)用來(lái)在無(wú)線網(wǎng)狀網(wǎng)絡(luò)中安全通信的組密鑰關(guān)聯(lián)的方法的一個(gè)實(shí)施例。
[0030]圖3圖示與推導(dǎo)用來(lái)在無(wú)線網(wǎng)狀網(wǎng)絡(luò)中安全通信的組密鑰關(guān)聯(lián)的集成電路的一個(gè)實(shí)施例。
【具體實(shí)施方式】
[0031]這里描述的是與推導(dǎo)用來(lái)在無(wú)線網(wǎng)狀網(wǎng)絡(luò)中安全通信的組密鑰關(guān)聯(lián)的系統(tǒng)、方法和其它實(shí)施例的示例。在一個(gè)實(shí)施例中，無(wú)線網(wǎng)狀網(wǎng)絡(luò)中的設(shè)備根據(jù)組主密鑰本地推導(dǎo)其它設(shè)備的組密鑰。通過(guò)根據(jù)組主密鑰推導(dǎo)組密鑰，設(shè)備避免為了在每個(gè)設(shè)備之間交換組密鑰而在無(wú)線網(wǎng)狀網(wǎng)絡(luò)上發(fā)送大量管理通信。以這一方式，在網(wǎng)絡(luò)上發(fā)送的通信數(shù)目得以減少并且網(wǎng)絡(luò)的效率得以提聞。
[0032]圖1圖示與根據(jù)組主密鑰推導(dǎo)組密鑰關(guān)聯(lián)的控制器100的一個(gè)實(shí)施例?？刂破?00可以在無(wú)線設(shè)備105中被體現(xiàn)，該無(wú)線設(shè)備是智能電話、膝上型計(jì)算機(jī)、網(wǎng)絡(luò)接口卡(NIC)、平板計(jì)算機(jī)等?？刂破?00包括被配置用于通過(guò)使用組主密鑰來(lái)計(jì)算組密鑰的密鑰邏輯110。控制器100還包括被配置用于使用組密鑰加密在網(wǎng)絡(luò)130上發(fā)送的通信的通信邏輯120。在一個(gè)實(shí)施例中，網(wǎng)絡(luò)130是包括多個(gè)遠(yuǎn)程設(shè)備(例如140、142、144和146)的無(wú)線網(wǎng)絡(luò)。多個(gè)遠(yuǎn)程設(shè)備140、142、144和146在網(wǎng)狀拓?fù)渲袩o(wú)線連接。也就是說(shuō)，多個(gè)設(shè)備140、142,144和146中的每個(gè)設(shè)備可以相互直接通信而不使用集中式接入點(diǎn)。
[0033]在圖1中，在遠(yuǎn)程設(shè)備140、142、144和146之間的虛線代表形成網(wǎng)狀拓?fù)涞臒o(wú)線連接。盡管圖示遠(yuǎn)程設(shè)備140、142、144和146具有與每個(gè)設(shè)備的無(wú)線連接，但是許多不同配置在網(wǎng)狀拓?fù)渚W(wǎng)絡(luò)中是可能的。例如，第一遠(yuǎn)程設(shè)備140可以具有與其它遠(yuǎn)程設(shè)備142、144和146中的少于所有設(shè)備的連接。也就是說(shuō)，第一遠(yuǎn)程設(shè)備140可以不具有與第四遠(yuǎn)程設(shè)備146的直接連接。這可以歸因于若干境況、比如設(shè)備之間的距離太遠(yuǎn)等。
[0034]因此，第一遠(yuǎn)程設(shè)備140可以經(jīng)由第二遠(yuǎn)程設(shè)備142或者第三遠(yuǎn)程設(shè)備144與第四遠(yuǎn)程設(shè)備146通信。因而，網(wǎng)絡(luò)130可以采用在網(wǎng)狀拓?fù)涞姆秶鷥?nèi)的許多不同形式。一般而言，網(wǎng)狀拓?fù)涿枋鲈谠O(shè)備之間具有許多互連的網(wǎng)絡(luò)。例如，網(wǎng)絡(luò)130中的設(shè)備(例如第一遠(yuǎn)程設(shè)備140)可以與許多其它設(shè)備(例如142、144和146)而不是僅與控制通信的單個(gè)中心接入點(diǎn)直接連接。
[0035]在網(wǎng)絡(luò)130中，在設(shè)備之間的通信被加密。加密通信防范安全風(fēng)險(xiǎn)、比如竊聽(tīng)、欺詐等。由于網(wǎng)絡(luò)130準(zhǔn)許設(shè)備(例如140、142、144和146)不使用中心接入點(diǎn)而通信，每個(gè)設(shè)備將針對(duì)它與之通信的每個(gè)設(shè)備使用不同的唯一組密鑰。例如，在設(shè)備105與設(shè)備140之間使用第一組密鑰；并且在設(shè)備105與設(shè)備142之間使用不同的第二組密鑰。以這一方式，使網(wǎng)絡(luò)中的通信安全而可以同時(shí)基于用于設(shè)備的唯一組密鑰驗(yàn)證該設(shè)備的身份。
[0036]網(wǎng)絡(luò)130中的設(shè)備使用組主密鑰和關(guān)于每個(gè)設(shè)備的唯一信息來(lái)生成唯一組密鑰。因此，為了與網(wǎng)絡(luò)130中的設(shè)備144通信，無(wú)線設(shè)備105使用組主密鑰和關(guān)于設(shè)備144的唯一信息來(lái)本地生成用于設(shè)備144的唯一組密鑰。因此，用于與設(shè)備144通信的唯一組密鑰未經(jīng)由多個(gè)通信消息交換，這減少網(wǎng)絡(luò)上的流量。
[0037]無(wú)線設(shè)備105可以用若干不同方式獲取組主密鑰。組主密鑰例如是向網(wǎng)絡(luò)130分配、因此由在網(wǎng)絡(luò)130中連接的所有設(shè)備共享的128位密碼密鑰。組主密鑰可以是對(duì)稱密鑰或者非對(duì)稱密鑰對(duì)。組主密鑰是由網(wǎng)絡(luò)130中的設(shè)備保密保持的秘密密鑰。僅被授權(quán)在網(wǎng)絡(luò)130中通信的設(shè)備擁有組主密鑰。以這一方式，作為網(wǎng)絡(luò)130的部分的設(shè)備可以通過(guò)組主密鑰的保密來(lái)確保計(jì)算的組密鑰的安全性。
[0038]將關(guān)于圖2更具體討論獲取組主密鑰。當(dāng)前考慮無(wú)線設(shè)備105中的通信邏輯120響應(yīng)于無(wú)線設(shè)備105加入網(wǎng)絡(luò)130而獲取組主密鑰。
[0039]即使無(wú)線設(shè)備105已經(jīng)獲取組主密鑰，還必須獲取關(guān)于另一設(shè)備的唯一信息。由于組密鑰針對(duì)特定遠(yuǎn)程設(shè)備被個(gè)性化，所以直至關(guān)于遠(yuǎn)程設(shè)備(例如第一遠(yuǎn)程設(shè)備140)的唯一信息已知，密鑰邏輯110才可以計(jì)算用于該遠(yuǎn)程設(shè)備的組密鑰。
[0040]關(guān)于遠(yuǎn)程設(shè)備的唯一信息可以包括唯一標(biāo)識(shí)遠(yuǎn)程設(shè)備的任何信息。例如，唯一信息可以包括遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符、比如介質(zhì)訪問(wèn)控制(MAC)地址、因特網(wǎng)協(xié)議(IP)地址、安全標(biāo)識(shí)符、主機(jī)名稱、證書(shū)標(biāo)識(shí)符等。在另一實(shí)施例中，唯一信息還包括用于遠(yuǎn)程設(shè)備的臨時(shí)數(shù)。臨時(shí)數(shù)是秘密數(shù)字(例如128位偽隨機(jī)數(shù))、遠(yuǎn)程設(shè)備的第二唯一標(biāo)識(shí)符或者其它唯一值。
[0041]盡管通信邏輯120可以與組主密鑰一起獲取唯一信息作為加入網(wǎng)絡(luò)130的部分，但是也可以用若干其它方式獲取唯一信息。例如通信邏輯120可以加入網(wǎng)絡(luò)130之后在分離的信息捕獲過(guò)程中獲取唯一信息。
[0042]在一個(gè)實(shí)施例中，信息捕獲過(guò)程可以包括被動(dòng)和/或主動(dòng)功能。例如通信邏輯120可以在加入網(wǎng)絡(luò)130之前或者之后被動(dòng)獲取唯一信息。也就是說(shuō)，通信邏輯120可以監(jiān)聽(tīng)(嗅探)由遠(yuǎn)程設(shè)備發(fā)送的通信。由于通信中的一些信息、比如MAC地址未經(jīng)加密，所以通信邏輯120可以等待遠(yuǎn)程設(shè)備發(fā)送通信并且從通信讀取未加密的信息。因此，分組嗅探準(zhǔn)許通信邏輯120獲取唯一信息而不在網(wǎng)絡(luò)130上發(fā)送附加通信。
[0043]在另一實(shí)施例中，通信邏輯120主動(dòng)獲取唯一信息。也就是說(shuō)，通信邏輯120使遠(yuǎn)程設(shè)備發(fā)送唯一信息。例如通信邏輯120向第一遠(yuǎn)程設(shè)備140發(fā)送通信，該通信導(dǎo)致第一遠(yuǎn)程設(shè)備140發(fā)送答復(fù)通信。答復(fù)通信包括唯一信息、例如MAC地址或者其它唯一信息。來(lái)自通信邏輯120的通信可以是探測(cè)請(qǐng)求、信標(biāo)、連接請(qǐng)求等。
[0044]一般而言，在主動(dòng)使遠(yuǎn)程設(shè)備發(fā)送唯一信息時(shí)，任意引發(fā)答復(fù)的通信就足夠了。然而在唯一信息還包括臨時(shí)數(shù)時(shí)，遠(yuǎn)程設(shè)備可能需要從無(wú)線設(shè)備105獲取附加認(rèn)證信息。附加認(rèn)證信息可以包括用于驗(yàn)證無(wú)線設(shè)備105的身份的安全證書(shū)或者一些其它信息。此外，可以在答復(fù)通信中加密臨時(shí)數(shù)以便防范安全顧慮(例如竊聽(tīng))。可以例如用組主密鑰來(lái)加密臨時(shí)數(shù)，該組主密鑰還用來(lái)在無(wú)線設(shè)備105接收到答復(fù)時(shí)對(duì)解密臨時(shí)數(shù)。
[0045]一旦密鑰邏輯110具有(I)組主密鑰和(2)關(guān)于遠(yuǎn)程設(shè)備的唯一信息，可以通過(guò)使用兩條信息來(lái)計(jì)算對(duì)于遠(yuǎn)程設(shè)備特有的組密鑰。例如，密鑰邏輯110使用組主密鑰和唯一信息(例如MAC地址)作為向密碼哈希函數(shù)的輸入以計(jì)算組密鑰。哈希函數(shù)例如是MD5哈希函數(shù)、SHA-O哈希函數(shù)、SHA-1哈希函數(shù)、SHA-2哈希函數(shù)、SHA-3哈希函數(shù)、與安全哈希標(biāo)準(zhǔn)(SHS)兼容的哈希函數(shù)等。在其它實(shí)施例中，可以與不同函數(shù)組合和/或用不同函數(shù)處理組主密鑰和唯一信息以產(chǎn)生用于組密鑰的唯一值。
[0046]計(jì)算的結(jié)果在一個(gè)實(shí)施例中是用作用于遠(yuǎn)程設(shè)備的組密鑰的128位密鑰。組密鑰是由通信邏輯120用來(lái)加密向遠(yuǎn)程設(shè)備發(fā)送的通信的有效載荷的密碼密鑰。組密鑰還可以用來(lái)解密來(lái)自遠(yuǎn)程設(shè)備的通信。組密鑰可以是對(duì)稱密鑰或者非對(duì)稱密鑰對(duì)。以這一方式，密鑰邏輯110針對(duì)無(wú)線設(shè)備105與之通信的每個(gè)遠(yuǎn)程設(shè)備(140、142、144和146)計(jì)算不同的組密鑰。
[0047]將結(jié)合圖2討論控制器100的進(jìn)一步細(xì)節(jié)。圖2圖示與根據(jù)組主密鑰推導(dǎo)組密鑰關(guān)聯(lián)的方法200的一個(gè)實(shí)施例。圖2從方法200由圖1的無(wú)線設(shè)備105實(shí)施和執(zhí)行的角度討論。
[0048]方法200始于(在210)無(wú)線設(shè)備105獲取組主密鑰時(shí)。在一個(gè)實(shí)施例中，組主密鑰作為與已經(jīng)是網(wǎng)絡(luò)130的成員的遠(yuǎn)程設(shè)備的認(rèn)證過(guò)程的結(jié)果被獲取。例如考慮無(wú)線設(shè)備105希望加入網(wǎng)絡(luò)130。為了加入網(wǎng)絡(luò)130，無(wú)線設(shè)備105需要由是網(wǎng)絡(luò)130的成員的遠(yuǎn)程設(shè)備(例如第一遠(yuǎn)程設(shè)備140)認(rèn)證。因此，無(wú)線設(shè)備105向第一遠(yuǎn)程設(shè)備140發(fā)送請(qǐng)求。請(qǐng)求是對(duì)于加入網(wǎng)絡(luò)130的請(qǐng)求。請(qǐng)求可以包括認(rèn)證信息、比如安全證書(shū)、具有公鑰的安全證書(shū)、唯一標(biāo)識(shí)符、口令、這些元素的組合等。以這一方式，第一遠(yuǎn)程設(shè)備140可以在向無(wú)線設(shè)備105發(fā)送組主密鑰之前認(rèn)證無(wú)線設(shè)備105。
[0049]向無(wú)線設(shè)備105發(fā)送組主密鑰可以用若干不同方式出現(xiàn)。如何向無(wú)線設(shè)備105發(fā)送組主密鑰的一個(gè)示例包括在第一遠(yuǎn)程設(shè)備140與無(wú)線設(shè)備105之間執(zhí)行安全四路握手。四路握手準(zhǔn)許以安全方式向無(wú)線設(shè)備發(fā)送組主密鑰。在另一實(shí)施例中，無(wú)線設(shè)備105和第一遠(yuǎn)程設(shè)備140執(zhí)行組主密鑰的Diffie-Hellman密鑰交換或者另一安全交換。
[0050]在另一實(shí)施例中，第一遠(yuǎn)程設(shè)備140可以獲取組主密鑰而不請(qǐng)求加入網(wǎng)絡(luò)130。取代請(qǐng)求加入網(wǎng)絡(luò)130，例如可以用網(wǎng)絡(luò)130預(yù)認(rèn)證無(wú)線設(shè)備。無(wú)線設(shè)備105可以簡(jiǎn)單地請(qǐng)求組主密鑰而不請(qǐng)求加入網(wǎng)絡(luò)130。
[0051]在又一實(shí)施例中，無(wú)線設(shè)備105從帶外過(guò)程獲取組主密鑰。例如，無(wú)線設(shè)備105通過(guò)從用戶的人工錄入、通過(guò)與另一設(shè)備的有線連接、通過(guò)與另一設(shè)備的藍(lán)牙連接、通過(guò)與另一設(shè)備的W1-Fi直接連接、通過(guò)向無(wú)線設(shè)備105中插入閃存棒等獲取組主密鑰。通過(guò)使用帶外過(guò)程獲取組主密鑰，可以避免與在網(wǎng)絡(luò)中130通信關(guān)聯(lián)的安全顧慮。因此，帶外過(guò)程可以提高傳送組主密鑰的安全性。
[0052]在220，獲取用于網(wǎng)絡(luò)中的遠(yuǎn)程設(shè)備的唯一信息。唯一信息用于將與之出現(xiàn)通信的遠(yuǎn)程設(shè)備。盡管針對(duì)單個(gè)遠(yuǎn)程設(shè)備討論方法200的塊220，但是可以在220獲取用于多于單個(gè)遠(yuǎn)程設(shè)備的唯一信息。一般而言，無(wú)線設(shè)備105可以獲取用于網(wǎng)絡(luò)130中的多個(gè)遠(yuǎn)程設(shè)備(例如140、142、144和146)中的每個(gè)遠(yuǎn)程設(shè)備的唯一信息并且預(yù)先計(jì)算用于每個(gè)遠(yuǎn)程設(shè)備的唯一組密鑰。以這一方式，網(wǎng)絡(luò)130中的后續(xù)通信不由于必須等待無(wú)線設(shè)備105計(jì)算用于多個(gè)遠(yuǎn)程設(shè)備的組密鑰而延遲。因此，如果無(wú)線設(shè)備105從網(wǎng)絡(luò)130中的遠(yuǎn)程設(shè)備接收通信，則在接收到通信之后不出現(xiàn)延遲(用于獲取唯一信息并且計(jì)算組密鑰的延遲)，因?yàn)橄惹耙呀?jīng)計(jì)算所有組密鑰。
[0053]例如無(wú)線設(shè)備105可以先為了假如網(wǎng)絡(luò)130或者出于其它目的與第一遠(yuǎn)程設(shè)備140通信。然而網(wǎng)絡(luò)130中的其它通信、比如管理幀、信標(biāo)等可能由不同的遠(yuǎn)程設(shè)備(例如第三遠(yuǎn)程設(shè)備144)使用不同的組密鑰發(fā)送。為了無(wú)線設(shè)備105能夠解密其它通信，需要已知用于關(guān)聯(lián)的發(fā)送設(shè)備的組密鑰。因而，無(wú)線設(shè)備105獲取用于多個(gè)遠(yuǎn)程設(shè)備的唯一信息以便在230計(jì)算組密鑰并且避免在飛行中來(lái)自獲取信息和計(jì)算密鑰的延遲。
[0054]盡管在圖2中圖示塊220在塊210之后出現(xiàn)，但是塊220可以與塊210同時(shí)或者甚至在塊210之前出現(xiàn)。無(wú)線設(shè)備105可以在230計(jì)算組密鑰之前的任何時(shí)間獲取唯一信息。例如，無(wú)線設(shè)備105可以在也獲取組主密鑰時(shí)獲取唯一信息作為加入網(wǎng)絡(luò)130的部分。備選地，可以在加入網(wǎng)絡(luò)130之前、因此在獲取組主密鑰之前獲取唯一信息。
[0055]如先前說(shuō)明的那樣，唯一信息從網(wǎng)絡(luò)130中的通信主動(dòng)(例如通過(guò)探測(cè)請(qǐng)求)或者被動(dòng)(例如通過(guò)分組嗅探)獲取。另外，唯一信息至少包括將被計(jì)算組密鑰的遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符。唯一標(biāo)識(shí)符可以是唯一標(biāo)識(shí)將被計(jì)算組密鑰的遠(yuǎn)程設(shè)備的標(biāo)識(shí)符、比如介質(zhì)訪問(wèn)控制(MAC)地址。
[0056]在另一實(shí)施例中，唯一信息不但包括遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符，而且包括臨時(shí)數(shù)。臨時(shí)數(shù)例如是作為遠(yuǎn)程設(shè)備的秘密的隨機(jī)數(shù)和/或字符的串。臨時(shí)數(shù)與唯一標(biāo)識(shí)符一起用來(lái)提高用于計(jì)算出的組密鑰的安全強(qiáng)度。
[0057]在230，計(jì)算組密鑰。在一個(gè)實(shí)施例中，計(jì)算組密鑰通過(guò)使用唯一信息和組主密鑰作為向哈希函數(shù)的輸入來(lái)發(fā)生。哈希函數(shù)的所得輸出是用于與唯一信息關(guān)聯(lián)的遠(yuǎn)程設(shè)備的組密鑰。盡管討論哈希函數(shù)，但是其它函數(shù)也可以用來(lái)計(jì)算用于遠(yuǎn)程設(shè)備的組密鑰。一般而言，可以使用提供安全組密鑰作為輸出的任何函數(shù)。例如偽隨機(jī)數(shù)生成器可以用唯一信息和組主密鑰作為種子以生成組密鑰。在另一實(shí)施例中，臨時(shí)密鑰(例如短暫Ephemeral)密鑰)生成器可以與組主密鑰和唯一信息一起用來(lái)提供隨時(shí)間順序改變的組密鑰。
[0058]除了在230計(jì)算組密鑰之外，還可以在230計(jì)算用于網(wǎng)絡(luò)130中的每個(gè)遠(yuǎn)程設(shè)備的組密鑰。使用相同公式、例如密鑰i =哈希(唯一信息i和組主密鑰)來(lái)計(jì)算用于所有遠(yuǎn)程設(shè)備的組密鑰。以下示例示出可以用于計(jì)算組密鑰的若干公式。這些示例并不旨在于限制。
[0059]示例:
[0060]I)密鑰i = f (MACi,組主密鑰)，其中f是函數(shù)、比如安全密碼哈希。
[0061]2)密鑰i = f(MACi；臨時(shí)數(shù)i，組主密鑰)。
[0062]3)密鑰i = f (臨時(shí)數(shù)i，組主密鑰)。
[0063]4)密鑰i = f (IP地址i，組主密鑰)。
[0064]在240,組密鑰用來(lái)使與遠(yuǎn)程設(shè)備的通信安全。在一個(gè)實(shí)施例中，組密鑰與密碼函數(shù)一起用來(lái)加密向遠(yuǎn)程設(shè)備發(fā)送的通信。在另一實(shí)施例中，組密鑰用來(lái)解密來(lái)自遠(yuǎn)程設(shè)備的通信。此外，用于無(wú)線設(shè)備105的組密鑰可以用來(lái)加密向遠(yuǎn)程設(shè)備發(fā)送的通信。因此，可以通過(guò)使用由設(shè)備本地計(jì)算的密鑰而不是使用在設(shè)備之間使用多個(gè)消息交換而個(gè)別分發(fā)的密鑰來(lái)減少無(wú)線網(wǎng)狀網(wǎng)絡(luò)中的網(wǎng)絡(luò)開(kāi)銷(例如密鑰分發(fā)通信)。[0065]圖3圖示來(lái)自圖1的控制器100的一個(gè)附加實(shí)施例，其被配置有分離的集成電路和/或芯片。在這一實(shí)施例中，來(lái)自圖1的密鑰邏輯Iio被體現(xiàn)為分離的集成電路310。通信邏輯120被體現(xiàn)在個(gè)別集成電路320上。電路經(jīng)由連接路徑連接以傳達(dá)信號(hào)。盡管集成電路310和320被圖示為分離的集成電路，但是它們可以被集成到共同的電路板300中。此外，可以將集成電路310和320組合成比所示更少的集成電路或者劃分成更多的集成電路。此外，在另一實(shí)施例中，可以將(分別在集成電路310和320中圖示的)密鑰邏輯110和通信邏輯120組合成分離的專用集成電路。在其它實(shí)施例中，與密鑰邏輯110和通信邏輯120關(guān)聯(lián)的功能的部分可以被體現(xiàn)為由處理器可執(zhí)行的并且在非瞬態(tài)存儲(chǔ)器中存儲(chǔ)的固件。
[0066]下文包括選出的在本文運(yùn)用的術(shù)語(yǔ)的定義。定義包括落入術(shù)語(yǔ)的范圍內(nèi)并且可以用于實(shí)現(xiàn)方式的部件的各種示例和/或形式。示例并非旨在于限制。術(shù)語(yǔ)的單數(shù)和復(fù)數(shù)形式二者可以在定義內(nèi)。
[0067]對(duì)“一個(gè)實(shí)施例”、“實(shí)施例”、“一個(gè)示例”、“示例”等的引用指示這樣描述的實(shí)施例或者示例可以包括特定特征、結(jié)構(gòu)、特性、性質(zhì)、單元或者限制，但是并非每個(gè)實(shí)施例或者示例必然包括該特定特征、結(jié)構(gòu)、特性、性質(zhì)、單元或者限制。另外，反復(fù)使用短語(yǔ)“在一個(gè)實(shí)施例中”雖然可以、但是未必指代相同實(shí)施例。
[0068]“邏輯”如這里所用包括但不限于用于執(zhí)行功能或者動(dòng)作和/或?qū)е聛?lái)自另一邏輯、方法和/或系統(tǒng)的功能或者動(dòng)作的硬件、固件、在非瞬態(tài)介質(zhì)上存儲(chǔ)或者在機(jī)器上執(zhí)行的指令和/或各項(xiàng)的組合。邏輯可以包括軟件控制的微處理器、分立邏輯(例如ASIC)、模擬電路、數(shù)字電路、經(jīng)編程的邏輯器件、包含指令的存儲(chǔ)器設(shè)備等。邏輯可以包括一個(gè)或者多個(gè)門(mén)、門(mén)的組合或者其它電路部件。在描述多個(gè)邏輯的情況下，可以有可能向一個(gè)物理邏輯中并入多個(gè)邏輯。類似地，在描述單個(gè)邏輯的情況下，可以有可能在多個(gè)物理邏輯之間分布該單個(gè)邏輯。可以使用邏輯單元中的一個(gè)或者多個(gè)邏輯單元來(lái)實(shí)施這里描述的部件和功能中的一個(gè)或者多個(gè)部件和功能。
[0069]盡管出于解釋簡(jiǎn)化的目的而示出和描述所示方法為塊的序列。但是方法不受塊的順序限制，因?yàn)橐恍K可以按與示出和描述的順序不同的順序和/或與其它塊并行出現(xiàn)。另外，可以使用少于所有所示塊來(lái)實(shí)施示例方法。可以組合塊或者將塊分離成多個(gè)部件。另夕卜，附加和/或備選方法可以運(yùn)用附加的未圖示的塊。
[0070]在【具體實(shí)施方式】或者權(quán)利要求中運(yùn)用術(shù)語(yǔ)“包括(include) ”的程度上，它旨在于以與術(shù)語(yǔ)“包括(comprise) ”相似的方式有包含意義，因?yàn)樵撔g(shù)語(yǔ)在運(yùn)用時(shí)解釋為權(quán)利要求中的過(guò)渡詞。
[0071]盡管已經(jīng)通過(guò)描述示例來(lái)舉例說(shuō)明示例系統(tǒng)、方法等并且盡管已經(jīng)以相當(dāng)多的細(xì)節(jié)描述示例，但是 申請(qǐng)人:的意圖并非是約束或者以任何方式使所附權(quán)利要求的范圍限于這樣的細(xì)節(jié)。當(dāng)然不可能出于描述這里描述的系統(tǒng)、方法等的目的而描述每個(gè)可設(shè)想的部件或者方法組合。因此，公開(kāi)內(nèi)容不限于示出和描述的具體細(xì)節(jié)、有代表性的裝置和所示示例。因此，本申請(qǐng)旨在于涵蓋落入所附權(quán)利要求的范圍內(nèi)的變更、修改和變化。
【權(quán)利要求】
1.一種用于計(jì)算用來(lái)使與網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備的通信安全的組密鑰的控制器，其中所述多個(gè)遠(yuǎn)程設(shè)備按照網(wǎng)狀拓?fù)渑渲?，所述控制器包? 密鑰邏輯，被配置用于通過(guò)使用組主密鑰和關(guān)于所述多個(gè)遠(yuǎn)程設(shè)備中的遠(yuǎn)程設(shè)備的唯一信息來(lái)計(jì)算組密鑰，其中所述組密鑰用于使與所述遠(yuǎn)程設(shè)備的通信安全；以及 通信邏輯，被配置用于通過(guò)使用所述組密鑰來(lái)使通信安全，其中所述通信將被發(fā)送至所述遠(yuǎn)程設(shè)備。
2.根據(jù)權(quán)利要求1所述的裝置，其中所述密鑰邏輯被配置用于通過(guò)與哈希函數(shù)一起使用所述組主密鑰和所述唯一信息以產(chǎn)生所述組密鑰來(lái)計(jì)算所述組密鑰。
3.根據(jù)權(quán)利要求1所述的裝置，其中所述密鑰邏輯被配置用于通過(guò)使用所述組主密鑰和關(guān)于所述網(wǎng)絡(luò)中的所述多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備的唯一信息來(lái)為所述多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備計(jì)算不同的組密鑰。
4.根據(jù)權(quán)利要求1所述的裝置，其中所述唯一信息包括所述遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符。
5.根據(jù)權(quán)利要求4所述的裝置，其中所述唯一信息包括所述遠(yuǎn)程設(shè)備的臨時(shí)數(shù)。
6.根據(jù)權(quán)利要求1所述的裝置，其中所述通信邏輯被配置用于從以下各項(xiàng)之一獲取所述組主密鑰: 響應(yīng)于向所述多個(gè)遠(yuǎn)程設(shè)備之一的請(qǐng)求而接收的通信，其中所述請(qǐng)求是對(duì)于加入所述網(wǎng)絡(luò)的請(qǐng)求，或者 帶外輸入。
7.根據(jù)權(quán)利要求1所述的裝置，其中所述通信邏輯還被配置用于通過(guò)以下操作來(lái)獲取所述唯一信息: 嗅探所述網(wǎng)絡(luò)的無(wú)線通信，或者 使所述遠(yuǎn)程設(shè)備響應(yīng)于請(qǐng)求而發(fā)送所述唯一信息。
8.一種用于計(jì)算用來(lái)使在無(wú)線設(shè)備與網(wǎng)絡(luò)中的多個(gè)遠(yuǎn)程設(shè)備之間的通信安全的組密鑰的方法，其中所述多個(gè)遠(yuǎn)程設(shè)備按照網(wǎng)狀拓?fù)渑渲?，所述方法包? 由所述無(wú)線設(shè)備通過(guò)使用組主密鑰和關(guān)于所述多個(gè)遠(yuǎn)程設(shè)備中的遠(yuǎn)程設(shè)備的唯一信息來(lái)計(jì)算組密鑰，其中所述組密鑰用于使與所述遠(yuǎn)程設(shè)備的通信安全；以及 通過(guò)使用所述組密鑰來(lái)使將向所述遠(yuǎn)程設(shè)備發(fā)送的通信安全。
9.根據(jù)權(quán)利要求8所述的方法，其中計(jì)算所述組密鑰包括與哈希函數(shù)一起使用所述組主密鑰和所述唯一信息以產(chǎn)生所述組密鑰。
10.根據(jù)權(quán)利要求8所述的方法，還包括: 通過(guò)使用所述組主密鑰和關(guān)于所述網(wǎng)絡(luò)中的所述多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備的唯一信息來(lái)為所述多個(gè)遠(yuǎn)程設(shè)備中的每個(gè)遠(yuǎn)程設(shè)備計(jì)算不同的組密鑰。
11.根據(jù)權(quán)利要求8所述的方法，其中所述唯一信息包括所述遠(yuǎn)程設(shè)備的唯一標(biāo)識(shí)符。
12.根據(jù)權(quán)利要求11所述的方法，其中所述唯一信息包括所述遠(yuǎn)程設(shè)備的臨時(shí)數(shù)。
13.根據(jù)權(quán)利要求8所述的方法，其中所述組主密鑰從以下各項(xiàng)之一獲取: 由所述無(wú)線設(shè)備響應(yīng)于向所述多個(gè)遠(yuǎn)程設(shè)備之一的請(qǐng)求而接收的通信，其中所述請(qǐng)求是對(duì)于加入網(wǎng)絡(luò)的請(qǐng)求，或者 帶外輸入。
14.根據(jù)權(quán)利要求8所述的方法，還包括:由所述無(wú)線設(shè)備通過(guò)以下操作來(lái)獲取所述唯一信息: 嗅探所述網(wǎng)絡(luò)的無(wú)線通信，或者 使所述遠(yuǎn)程設(shè)備響應(yīng)于請(qǐng)求而發(fā)送所述唯一信息。
15.一種存儲(chǔ)計(jì)算機(jī)可執(zhí)行指令的非瞬態(tài)計(jì)算機(jī)可讀介質(zhì)，所述計(jì)算機(jī)可執(zhí)行指令在由計(jì)算機(jī)執(zhí)行時(shí)使所述計(jì)算機(jī)執(zhí)行方法，所述方法包括: 由所述計(jì)算機(jī)獲取組主密鑰，其中所述組主密鑰是用于使在網(wǎng)絡(luò)中的多個(gè)設(shè)備之間的通信安全的密碼密鑰，其中所述組主密鑰被分配給所述多個(gè)設(shè)備，并且其中所述網(wǎng)絡(luò)按照網(wǎng)狀拓?fù)渑渲茫灰约? 由所述計(jì)算機(jī)通過(guò)使用所述組主密鑰和關(guān)于所述多個(gè)設(shè)備中的設(shè)備的唯一信息來(lái)生成組密鑰。
16.根據(jù)權(quán)利要求15所述的方法，其中獲取所述組主密鑰包括由所述計(jì)算機(jī)響應(yīng)于向所述多個(gè)設(shè)備之一的請(qǐng)求而接收通信。
17.根據(jù)權(quán)利要求15所述的方法，其中獲取所述組主密鑰包括從帶外輸入接收所述組主密鑰。
18.根據(jù)權(quán)利要求15所述的方法，還包括: 由所述計(jì)算機(jī)通過(guò)嗅探來(lái)自所述網(wǎng)絡(luò)的無(wú)線通信來(lái)獲取所述唯一信息。
19.根據(jù)權(quán)利要求15所述的方法，其中生成所述組密鑰包括通過(guò)與哈希函數(shù)一起使用所述組主密鑰和所述唯一信息以推導(dǎo)所述組密鑰來(lái)計(jì)算所述組密鑰。
20.根據(jù)權(quán)利要求15所述的方法，其中所述唯一信息包括所述設(shè)備的唯一標(biāo)識(shí)符，其中所述網(wǎng)狀拓?fù)浒ㄦ溄铀龆鄠€(gè)設(shè)備的多個(gè)無(wú)線連接，并且其中生成所述組密鑰包括為所述多個(gè)設(shè)備中的每個(gè)設(shè)備生成不同的組密鑰。
【文檔編號(hào)】H04L29/06GK103931220SQ201280048991
【公開(kāi)日】2014年7月16日 申請(qǐng)日期:2012年7月31日 優(yōu)先權(quán)日:2011年8月8日
【發(fā)明者】P·A·蘭伯特 申請(qǐng)人:馬維爾國(guó)際貿(mào)易有限公司