[发明专利]向在线安全设备供应更新离线身份数据生成和离线设备绑定

说明书

相关申请

本申请要求2010年4月15日提交的美国临时申请号61/324,569的优先权，其被整体地通过引用结合到本文中。

本申请涉及题为“Online Public Key Infrastructure(PKI)System”的2010年12月6日提交的共同待决美国申请序号12/961,455。本申请还涉及题为“Online Secure Device Provisioning Framework”的2011年4月15日提交的共同待决美国申请序号[BCS06335]。

背景技术

数字信息在商业、教育、政府、娱乐和管理的所有方面都已变得极其重要。在许多这类应用中，确保信息的保密性、完整性和真实性的能力是关键的。结果，已经开发了多个数字安全机制以改善安全性。

关于现在的数字安全的一个标准化方法被称为公钥基础设施（PKI）。PKI提供数字证书的使用以认证证书持有者的身份或认证其他信息。证书权力机构（CA）向证书持有者发放证书且该持有者然后能够将证书提供给第三方作为CA进行的证明，即在证书中提名的持有者事实上是在证书中阐述的人、实体、机器、电子邮件地址用户等。并且证书中的公钥事实上是持有者的公钥。与证书持有者进行处理的人、设备、过程或其他实体能够依照CA的证书颁布操作规定而依赖于该证书。

证书通常是通过CA用其自己的私钥对连同寻求证书的持有者的公钥一起提交给CA的识别信息进行数字签名而创建的。证书通常具有有限的有效期，并且在证书持有者的对应私钥泄露或其他可撤销事件的情况下可以提前撤销证书。通常，PKI证书包括附接了数字签名的信息集合。证书用户群体信任的CA附接其数字签名并向系统内的各种用户和/或设备发放证书。

一般在工厂处为启用网络的设备供应身份数据，使得其可以使用身份数据系统以安全的方式与其他启用网络的设备通信。该身份数据通常包括公钥和私钥对以及数字证书。在没有限制的情况下，启用网络的设备的说明性示例包括PC、移动电话、路由器、媒体播放器、机顶盒等。

可以在在现场部署启用网络的设备之前或之后在启用网络的设备中供应身份数据。例如，可以在制造时将身份数据结合到设备中。例如，当网络运营商想要替换其数字权限管理（DRM）系统时或者当其想要支持要求在已经部署设备之后为启用网络的设备供应新类型的身份的其他安全应用时，可以发生大规模升级。这可能是困难且麻烦的过程，因为其常常是手动执行的，并且因此可能要求将设备返回至服务中心。

在对身份数据进行升级或更新时出现的一个特定问题涉及生成新的身份数据并将其绑定至启用网络的设备的方式。

发明内容

依照本发明，提供了一种用于生成用于启用网络的设备的新身份数据的系统。该系统包括被配置成从白名单提取属性的白名单读取器，所述白名单对于在白名单中指定的每一个设备包括在先分配的第一类型标识符。该在先分配的第一类型标识符被链接到在相应设备中的每一个中在先供应的身份数据。数据检索模块被配置成从白名单读取器接收第一类型标识符，并且基于每一个标识符来检索与之链接的每一个在先供应的身份数据记录。新数据生成模块被配置成（i）获得与在白名单上指定的设备中在先供应的身份数据和对应的第一类型标识符相关联的密码密钥，（ii）生成每一个被链接到新标识符的新身份数据记录和（iii）用密码密钥中的一个对每一个新的身份数据记录进行加密并将每一个新身份数据记录链接到与每一个相应密码密钥相对应的第一类型标识符。数据输出模块被配置成将已加密新身份数据连同其相应新标识符及其相应在先分配的第一类型标识符一起加载到外部源上。

依照本发明的另一方面，提供了一种用于生成用于启用网络的设备的新身份数据的方法。该方法包括接收指定将被提供新身份数据的多个启用网络的设备的白名单。对于每一个设备，该白名单包括在先分配的第一类型标识符，其中，在先分配的第一类型标识符被链接到在相应设备中的每一个中在先供应的身份数据记录。从白名单提取第一类型标识符，并且基于每一个标识符来检索与之链接的每一个在先供应的身份数据记录。获得密码密钥，其与在白名单上指定的设备中在先供应的身份数据记录和对应的第一类型标识符相关联。生成新身份数据记录，其每一个被链接到新标识符。每一个新身份记录利用密码密钥中的一个被加密，并链接到与每一个相应加密密钥相对应的在先分配的第一类型标识符。提供输出，对于在白名单上指定的每一个设备，输出包括已加密新身份记录以及其相应新标识符及其相应的在先分配的第一类型标识符。

附图说明