物联网领域中的哨兵装备制造技术

在一个示例中，公开了一种计算装置，包括：可信执行环境（TEE）；以及安全引擎，可操作用于：识别用于第一设备和第二设备之间的加密连接的密钥协商；请求用于所述密钥协商的服务装备密钥；接收所述服务装备密钥；以及对所述第一设备和所述第二设备之间的业务执行服务装备功能。还公开了一种提供安全引擎的方法，以及其上存储有用于提供安全引擎的可执行指令的计算机可读介质。

【技术实现步骤摘要】
【国外来华专利技术】物联网领域中的哨兵装备相关申请的交叉引用本申请要求于2015年6月10日提交的标题为“物联网设备安全检查（InternetofThingsDeviceSecurityInspection）”的美国临时申请No.62/173,857和于2015年9月25日提交的标题为“物联网领域中的哨兵装备（SentinelApplianceinanInternetofThingsRealm）”的美国非临时实用申请No.14/866,203的优先权和利益，两者均通过引用并入本文。
本公开大体上涉及计算机安全领域，并且更具体地但非排他地涉及用于在物联网领域中提供哨兵装备的系统和方法。
技术介绍
物联网（IoT）是具有嵌入式计算和通信能力从而允许“事物”彼此交换数据的物理对象（事物）的松散定义的网络。在IoT内，真实世界现象可以被电子感测或观察，并且来自传感器或其他数据源的输出可以被用作控制系统的输入。在某些情况下，这允许物理世界和虚拟空间之间更紧密的耦合。IoT中的每个“事物”都可以用其物理计算平台来唯一标识，并且有些事物被配置为在现有的互联网基础设施中运行。其他设备在包括自组织（adhoc）网络和直接数据连接等的其他网络拓扑上运行。总的来说，IoT被认为是高度民主（有时甚至是无政府状态）的网络，在这个网络中，单独的设备和网络在它们做什么、它们如何完成它、以及它们如何关于它进行通信的方面可能具有广泛的自主权。
技术实现思路
在一个示例中，公开了一种计算装置，包括：可信执行环境（TEE）；以及安全引擎，可操作用于：识别用于第一设备和第二设备之间的加密连接的密钥协商；请求用于密钥协商的服务装备密钥；接收服务装备密钥；并对第一设备和第二设备之间的业务执行服务装备功能。还公开了一种提供安全引擎的方法，以及其上存储有用于提供安全引擎的可执行指令的计算机可读介质。附图说明从下面的详细描述（当结合附图阅读时）最好地理解本公开。需要强调的是，按照工业界的标准实施，各种特征不一定是按比例绘制的，并且只是用于说明的目的。在显式或隐式地显示比例的情况下，它仅提供一个示意性示例。在其他实施例中，为了讨论的清楚，各种特征的尺寸可以被任意增加或减小。图1是根据本说明书的一个或多个示例的可以是或包括IoT领域或域的受监视网络的框图。图2是根据本说明书的一个或多个示例的数据源的框图。图3是根据本说明书的一个或多个示例的数据聚合器的框图。图4是根据本说明书的一个或多个示例的专家系统的框图。图5是根据本说明书的一个或多个示例的可信执行环境的框图。图6是根据本说明书的一个或多个示例的物联网的框图。图7是根据本说明书的一个或多个示例的KDC的框图。图8是根据本说明书的一个或多个示例的哨兵设备的框图。图9是根据本说明书的一个或多个示例的方法的流程图。具体实施方式以下公开提供了用于实现本公开的不同特征的许多不同的实施例或示例。下面描述组件和布置的具体示例以简化本公开。当然，这些仅仅是示例，并不旨在是限制性的。此外，本公开可以在各种示例中重复附图标记和/或字母。这种重复是为了简单和清楚的目的，并且本身并不指定所讨论的各种实施例和/或配置之间的关系。不同的实施例可以具有不同的优点，并且对于任何实施例都不需要特定的优点。“物联网”（IoT）是异构“智能”和“具有网络功能的”设备的爆炸性全局聚合，该设备通常各自提供单个专用功能。IoT包括智能装备、智能传感器、智能手机、以及“智能”可以（并且通常）被预置到的过多其他设备。由于IoT不是传统的网络，它提出了有时是新颖和独特的挑战。例如，在传统的联网中，命名当局的寡头统治就像在IPv4空间中那样分配出相对少量的全球唯一的互联网协议（IP）地址，该IPv4空间理论上最多有大约43亿个唯一地址。这使得全球IPv4地址成为由行政机构集中管理的相对昂贵的商品。但是，IoT设备的级联使得这样的方案对许多情况来说既不切实际也不可取。相反，IoT设备可以使用网络地址转换（NAT）在定义的子网络内操作，或者可以自我声明“通用唯一标识符”（UUID），在一个示例中，该通用唯一标识符是128位整数，并且可以用作IPv6IP地址。这样的自主命名带来了用户和企业仍然在努力理解和了解的新机遇和新挑战。从某种意义上说，IoT可能被看作是新的、狂野的边界（frontier），其中规则还在不断演进，并且其中任何设备实际上可以是它想要作为的任何事物。虽然这为创新者经历和尝试新事物提供了激动人心的机会，但它也提供了其中设备及其设计人员可能无法始终依靠传统的安全解决方案的有时是无法律的边界。IoT的自由转动性质的一个后果是，安全性基本上取决于事物的系统设计者，并且随着企业努力推出更快、更便宜的事物，有时以牺牲更佳（特别是关于安全性）为代价。最近，诸如“超级鱼（Superfish）”的攻击已经引起了注意，其中“中间人”（MITM）发布伪造的Google品牌的安全套接字层（SSL）证书。另一困难是IoT设备在处理能力、存储器、存储和功率方面可能受到限制。因此，它们可能无法提供其自身的详细安全性，诸如在实时网络运营期间的深度分组检测、信誉、网络接入控制（NAC）、安全信息和事件管理（SIEM）、数据丢失防护、防病毒扫描和异常检测。使用诸如数据报传输层安全性（DTLS）和传输层安全性（TLS）之类更高级的安全性来构建一些现有的和新兴的网络拓扑，以实现独立于（多个）网络传输的端到端安全会话。因此，在某些情况下，IoT设备业务无法通过诸如网关、防火墙的更强大的上游监视装备或其他安全装备进行检查。在一些IoT网络拓扑中，存在可以用作网络安全性监视代理的一个或多个可信的网关或中间设备。但是，在某些情况下，在没有用于为可信中介建立共享密钥的基础设施的情况下，这无法实现。本说明书的实施例提供了用于适当配备的IoT设备以协商上游设备以解密和检查其网络业务，同时仍保持到设备的网络连接的总体安全性和机密性的方法。在一个示例中，四个角色被标识以说明IoT网络拓扑：第一端点设备（D1），其可以是诸如数据源的IoT“事物”。第二（远程）端点设备（D2）。中间“哨兵”设备（S1），其可以提供卸载的安全性或其他功能。密钥管理设备，诸如密钥分配中心（KDC1）。可选地，当穿越域边界（其中D1和D2在分离的管理域（又名，IoT“领域”）中）时，也可以使用第二KDC。第二KDC（KDC2）是第二领域（R2）的密钥管理权限，而KDC1是第一领域（R1）的权限。在一个示例中，新颖的组密钥管理模型提供端到端对称密钥交换协议，诸如Kerberos系统，其可以用于在设备D1和D2之间建立共享密钥，但是其中，中介（S1）也进行参与。在一个实施例中，可以使用诸如draft-hardjono-ace-fluffy-OO的基础设施来生成“迷你票券”，以及具有KDC1的请求-响应协议，其中S1也被允许接收D1-D2共享密钥。对于安全性实现，可以在可信执行环境（TEE）内实现某些方面，以建立到KDC1的证明和可信连接，使得KDC可以确定端点设备或哨兵设备的配置和能力是否满足可信的IoT操作的域安全策略。在对于专门负责执行网络安全扫描、深度分组检查、信誉处理和SIEM的哨兵设备S1的情况中，策略可能还要求其具有与端点设本文档来自技高网...

【技术保护点】
一种计算装置，包括：可信执行环境（TEE）；以及安全引擎，可操作用于：识别用于第一设备和第二设备之间的加密连接的密钥协商；请求用于所述密钥协商的服务装备密钥；接收所述服务装备密钥；以及对所述第一设备和所述第二设备之间的业务执行服务装备功能。

【技术特征摘要】
【国外来华专利技术】2015.06.10 US 62/173,857;2015.09.25 US 14/866,2031.一种计算装置，包括：可信执行环境（TEE）；以及安全引擎，可操作用于：识别用于第一设备和第二设备之间的加密连接的密钥协商；请求用于所述密钥协商的服务装备密钥；接收所述服务装备密钥；以及对所述第一设备和所述第二设备之间的业务执行服务装备功能。2.根据权利要求1所述的计算装置，其中所述第一设备处于第一领域中，并且所述第二设备处于第二领域中。3.根据权利要求1所述的计算装置，其中所述安全引擎还包括用于建立所述第一设备和哨兵设备之间的连接的逻辑，所述哨兵设备逻辑地布置在所述计算装置和所述第二设备之间。4.根据权利要求3所述的计算装置，其中所述安全引擎可操作用于将来自所述第一设备的业务路由到所述哨兵设备。5.根据权利要求4所述的计算装置，其中所述安全引擎可操作用于在应用层执行路由。6.根据权利要求4所述的计算装置，其中所述安全引擎可操作用于执行互联网协议路由。7.根据权利要求1至6中任一项所述的计算装置，其中所述计算装置还包括：服务装备引擎，可操作用于执行服务装备安全性监视功能。8.根据权利要求7所述的计算装置，其中所述安全性监视功能是从由网络监视、数据丢失防护、分组处理、安全扫描、防病毒、防火墙、深度分组检查、信誉服务、安全信息和事件监视、网络接入控制、和异常防护构成的组中选择的。9.根据权利要求1至6中任一项所述的计算装置，其中所述安全引擎可操作用于建立与所述服务装备密钥的安全连接。10.根据权利要求9所述的计算装置，其中所述服务装备密钥不同于用于所述第一设备和所述第二设备之间的所述加密连接的密钥。11.根据权利要求1至6中任一项所述的计算装置，其中所述安全引擎可操作用于接收服务装备票券，所述服务装备票券包括所述服务装备密钥和不同于所述服务装备密钥的第二密钥。12.根据权利要求1至6中任一项所述的计算装置，其中所述第一设备与所述第二设备之间的所述加密连接在所述TEE内被加密。13.一种或多种有形非暂时性计算机可读存储介质，其上存储有用于在可信执行环境（TEE）内提供安全引擎的可执行指令，其中所述安全引擎可操作用于：识别用于第一设备和第二设备之间的加密连接的密钥协商；请求用于所述密钥协...

【专利技术属性】
技术研发人员：NM史密斯，S亨特，VR桑班达姆，
申请(专利权)人：迈可菲有限责任公司，
类型：发明
国别省市：美国,US