电子网络设备制造技术

一种电子网络设备（200）和用于准备所述网络设备的电子配置器设备（300）。所述网络设备被配置为，通过所建立的第一无线（231）连接向配置器设备（300）发送公钥，以及，从所述配置器设备无线地接收经加密的凭证。所述配置器设备被配置为，通过所建立的第一无线连接接收所述公钥，通过所建立的第一无线连接向所述网络设备无线地发送利用所述公钥被加密的凭证。

【技术实现步骤摘要】
【国外来华专利技术】电子网络设备
本专利技术涉及电子网络设备、用于准备网络设备的电子配置器设备、网络设备方法、用于准备网络设备的电子配置方法、计算机程序、计算机可读介质。
技术介绍
最近，已经存在对各种“物联网（IoT）”应用的快速增长和扩大的兴趣。伴随着该趋势，部分地由于与互联网的原生IP连接和围绕诸如智能电话之类的Wi-Fi设备的大型生态系统，大量启用了Wi-Fi的设备在市场上日益普及。Wi-Fi连接也已经进入照明领域，诸如，LIFX灯泡和OsramLightify网关。在使用启用了Wi-Fi的设备之前，用户需要首先通过Wi-Fi接入点（AP）在新设备与互联网之间建立Wi-Fi连接。这样的建立过程通常被称为Wi-Fi准备。在照明领域中，其也经常被称为Wi-Fi试运行。Wi-Fi准备是任何Wi-Fi设备的关键性入口点，并且因此是重要的主题。仍然还不存在完美的解决方案。Wi-Fi准备仍然被这些设备的消费者看作困难的并且有时混乱的过程。Wi-Fi准备的一个关键的方面在于向新Wi-Fi设备传送所谓的Wi-Fi凭证（例如，SSID和密码）。诸如是灯和电源插头等之类的IoT设备中的多数IoT设备是无头的设备，即，不存在用于用户直接地键入Wi-Fi凭证的诸如是触摸面板之类的界面。这可以通过由用户使用诸如是智能电话之类的第二设备促进Wi-Fi准备过程来解决。这样的促进设备可以被称为配置器。向新Wi-Fi设备传送Wi-Fi凭证因而是配置器的作用。配置器与新Wi-Fi设备之间的通信过程中存在一些挑战。首先，用户可以如何在新Wi-Fi设备甚至能够连接到实际的Wi-Fi网络之前建立与新Wi-Fi设备的通信。第二，通信应该是安全的以保护需要被交换的Wi-Fi凭证。
技术实现思路
具有对网络设备的改进的准备将是有利的。本专利技术的一个方面是如要求保护的一种电子网络设备和配置器设备。攻击者可以获得用于对无线接入点的接入的凭证的风险已经被降低。凭证仅以经加密的形式被传送。由于所述网络设备能访问与所述公钥相对应的私钥，所以所述网络设备可以对所述经加密的凭证进行解密。攻击者不能访问私钥，并且因此不能对凭证进行解密。可以通过私钥对经加密的凭证进行解密。这可以通过直接地利用私钥对经加密的凭证进行解密来完成。替换地，可以利用另外的对称密钥对经加密的凭证进行解密，所述对称密钥进而又可以通过私钥来获得。凭证可以是Wi-Fi凭证（例如，SSID和密码）。在一个实施例中，凭证包括接入点标识符（例如，SSID）和认证令牌（例如，密码）。在一个实施例中，凭证包括证书、原始公钥和例如用于对后端认证服务器进行认证的预共享密钥中的一项或多项。原始公钥是未经签名的公钥（例如，不具有证书的公钥）。在一个实施例中，网络设备包括被配置为接收数字命令的控制单元。例如，在一个实施例中，根据权利要求1所述的网络设备是灯。所述灯包括被配置为接收数字命令的控制单元，数字命令是用于至少在无线通信单元处在客户端模式下时通过无线通信单元控制所述灯的光源的。对凭证的一个威胁在于，攻击者可以尝试无线地发送他自己的公钥（就像所述网络设备被准备的那样）。尽管该攻击将要求来自攻击者的恰当的时序，但这仍然是优选将解决的弱点。用于解决该问题的一种方法在于，将网络设备的公钥打包到所谓的证书（例如，X.509证书）中。尽管这允许配置器设备验证公钥已经被某个权威发出；但其不允许配置器设备验证公钥是向该具体的设备发出的。换句话说，公钥可以是被权威发出的，但是是针对不同的设备（其可以甚至是不同类型的设备，对于其来说，其未预期其接收所述凭证）被发出的。这可以通过具有数据存储元件来解决。在一个实施例中，网络设备包括存储数字数据的数据存储元件，网络设备的公钥的密码散列是可从所述数据导出的。数据存储元件可以是在光学上可读的。具体地说，数据存储元件可以是无源的并且是在光学上可读（例如，为了所述数据存储元件是可读的，不需要电源）；例如，诸如条形码或者矩阵码之类的无源的在光学上机器可读的标签。无源的在光学上可读的数据存储元件可以是可以被诸如智能电话照相机之类的照相机读的。无源的在光学上可读的数据存储元件的一个优点在于，所述元件可以在所述网络设备被供电之前被读。例如，如果大量网络设备需要被安装，它们可以在安装之前被读。由于所述元件在光学上被读，所以存在无线偷听或者串话的较低的风险。替换地，所述数据存储元件可以是无线可读的。在这后一种情况下，无线通信单元被配置为用于第一无线通信协议，而数据存储元件被配置为用于与所述第一无线通信协议不同的第二无线通信协议。所述配置器设备可以验证所接收的公钥的散列与从数据存储元件获得的散列相匹配（例如，相等）。他因此确定他针对真的属于该网络设备的公钥对凭证进行加密。攻击者的公钥将不与数据存储元件上的散列相匹配。攻击者不能替换所述公钥（因为其是使用数据存储元件上的数据被认证）。此外，建立网络设备与公钥之间的链接，其中，仅使用证书不会完成所述建立。在一个实施例中，数据存储元件被使用，并且公钥被打包到证书中。例如QR码等之类的光学数据元件具有这样的优点：它们不像蓝牙（BT）或者NFC那样需要额外的无线电。此外，它们在完成NFC或者BT连接时不需要被供电（这对于诸如是灯这样的一些网络设备可能不是可行的）。在一个实施例中，无线通信单元被配置为，在接收被寻址到网络设备标识符的无线连接请求之前不无线地发送网络设备标识符，并且网络设备标识符是可从数字数据导出的。这样，配置器设备如果其不具有网络设备标识符则不能准备网络设备。这减少例如由假配置器设备进行的攻击。一个额外的优点在于，网络设备不需要向通常那样设置信标，而仍然可以基于所述数据存储元件被快速发现。在一个实施例中，数字数据包括网络设备的公钥的散列，所述网络设备标识符是可从散列导出的。使网络设备标识符可从散列导出的具有这样的优点：数字数据不需要单独地对散列和网络设备标识符两者进行编码；仅散列就足够。这具有这样的优点：存储元件的容量可以是较小的。这适于光学元件，因为它们现在可以被应用于较小的或者弯曲的网络设备（例如，诸如是灯）。本专利技术的另外的方面包括一种电子配置器设备、网络设备方法和用于准备网络设备、所述配置器的电子配置方法。本专利技术的一个另外的方面包括一种包括网络设备和配置器设备的系统。所述配置器设备可以是移动电子设备（具体地说，移动电话）。所述网络设备可以被包括在各种电子设备（例如，灯、冰箱、恒温器、暖气片等）中。一种根据本专利技术的方法可以在计算机上作为计算机实现的方法或者使用专用硬件或者使用这两者的组合来实现。用于根据本专利技术的方法的可执行代码可以被存储在计算机程序产品上。计算机程序产品的示例包括存储器设备、光学存储设备、集成电路、服务器、在线软件等。优选地，所述计算机程序产品包括被存储在计算机可读介质上的用于在所述程序产品于计算机上被执行时执行根据本专利技术的方法的非暂时性程序代码器件。在一个优选的实施例中，所述计算机程序包括适于在所述计算机程序于计算机上被运行时执行根据本专利技术的方法的全部步骤的计算机程序代码器件。优选地，所述计算机程序被体现在计算机可读介质上。本专利技术的另一个方面提供了一种使用于所述准备方法的所述计算机程序对于下载可用的方法。在所述计算机程序被上传到例如Appl本文档来自技高网...

【技术保护点】
一种电子网络设备（200），所述网络设备包括：‑密钥存储器（212），其存储密码公钥和对应的私钥，‑凭证存储器（214），其用于在凭证已经被所述网络设备接收之后存储所述凭证，‑无线通信单元（230），其具有主模式和客户端模式，所述无线通信单元被配置为，在所述凭证存储器存储所述凭证之前进入主模式，以及在所述凭证存储器存储所述凭证之后进入客户端模式，所述网络设备是与网络设备标识符相关联的，所述无线通信单元被配置为用于第一无线通信协议，‑在所述主模式下，所述无线通信单元被配置为，从配置器设备（300）接收无线连接请求，以及，如果所述连接请求被寻址到所述网络设备标识符，则建立与所述配置器设备的第一无线连接（231），‑在所述客户端模式下，所述无线通信单元被配置为，使用来自所述凭证存储器的所述凭证建立与无线接入点（260）的第二无线连接，‑准备单元（220），其被配置为：‑通过所建立的第一无线（231）连接向所述配置器设备发送所述公钥，‑从所述配置器设备无线地接收经加密的凭证，通过所述私钥对所述经加密的凭证进行解密以获得所述凭证，以及将所述凭证存储在所述凭证存储器中，以及‑数据存储元件（250），其存储数字数据，所述公钥的密码散列是可从所述数字数据导出的，其中：‑所述数据存储元件是被所述配置器设备在光学上可读的，或者‑所述数据存储元件是被所述配置器设备无线可读的，并且被配置为用于与所述第一无线通信协议不同的第二无线通信协议。...

【技术特征摘要】
【国外来华专利技术】2015.06.16 EP 15172271.71.一种电子网络设备（200），所述网络设备包括：-密钥存储器（212），其存储密码公钥和对应的私钥，-凭证存储器（214），其用于在凭证已经被所述网络设备接收之后存储所述凭证，-无线通信单元（230），其具有主模式和客户端模式，所述无线通信单元被配置为，在所述凭证存储器存储所述凭证之前进入主模式，以及在所述凭证存储器存储所述凭证之后进入客户端模式，所述网络设备是与网络设备标识符相关联的，所述无线通信单元被配置为用于第一无线通信协议，-在所述主模式下，所述无线通信单元被配置为，从配置器设备（300）接收无线连接请求，以及，如果所述连接请求被寻址到所述网络设备标识符，则建立与所述配置器设备的第一无线连接（231），-在所述客户端模式下，所述无线通信单元被配置为，使用来自所述凭证存储器的所述凭证建立与无线接入点（260）的第二无线连接，-准备单元（220），其被配置为：-通过所建立的第一无线（231）连接向所述配置器设备发送所述公钥，-从所述配置器设备无线地接收经加密的凭证，通过所述私钥对所述经加密的凭证进行解密以获得所述凭证，以及将所述凭证存储在所述凭证存储器中，以及-数据存储元件（250），其存储数字数据，所述公钥的密码散列是可从所述数字数据导出的，其中：-所述数据存储元件是被所述配置器设备在光学上可读的，或者-所述数据存储元件是被所述配置器设备无线可读的，并且被配置为用于与所述第一无线通信协议不同的第二无线通信协议。2.根据权利要求1所述的网络设备，其中，所述网络设备是灯，所述灯包括：控制单元（240），其被配置为，至少在所述无线通信单元处在所述客户端模式下时，通过所述无线通信单元接收用于控制所述灯的光源的数字命令。3.根据权利要求1或者2所述的网络设备，其中-所述无线通信单元被配置为，在接收被寻址到所述网络设备标识符的所述无线连接请求之前不通过所述第一无线通信协议无线地发送所述网络设备标识符，以及-所述网络设备标识符是可从所述数字数据导出的。4.根据权利要求3所述的网络设备，其中，所述数字数据包括所述网络设备的公钥的散列，所述网络设备标识符是可从所述散列导出的。5.根据权利要求4所述的网络设备，其中，所述网络设备标识符是可通过将所述散列分组到较小长度的序列中以及将每个比特串转换成所述网络设备标识符的字符从所述散列导出的。6.根据权利要求1-5中的任一项所述的网络设备，其中，所述数据存储元件具有小于或者等于256比特的容量。7.根据前述权利要求中的任一项所述的网络设备，其中-通过所述私钥对所述经加密的凭证进行解密以获得所述凭证包括：-利用所述私钥对所述经加密的凭证进行解密，或者-通过所述第一无线连接从所述配置器设备接收经加密的密钥数据，利用所述私钥对所述经加密的密钥数据进行解密以获得密钥数据，从所述密钥数据导出对称密钥，以及利用所述对称密钥对所述经加密的凭证进行解密。8.根据权利要求2所述的网络设备，其中，所述控制单元被配置为，接收利用所述公钥或者利用通过所述公钥所获得的对称密钥被加密的所述数字命令。9.一种用于准备网络设备的电子配置器设备，所述配置器设备包括：-凭证存储器（314），其存储用于建立与无线接入点的第二无线连接的凭证，-无线通信单元（330），其被配置为：-向所述网络设备发送无线连接请求，所述网络设备是与网络设备标识符相关联的，所述连接请求包括所述网络设备标识...

【专利技术属性】
技术研发人员：杨宏铭，SS库马，TJJ登坦尼尔，
申请(专利权)人：飞利浦照明控股有限公司，
类型：发明
国别省市：荷兰,NL