Способы, устройства и системы для создания сквозных безопасных соединений и для безопасной передачи пакетов данных

Изобретение относится к технологиям сетевой связи. Технический результат заключается в повышении безопасности передачи данных в сети. Система связи, содержащая: первую сеть, основанную на первом протоколе транспортного уровня, первое устройство, выполненное с возможностью осуществления связи через первую сеть с другими устройствами, причем первое устройство выполнено с возможностью применения первого протокола безопасности транспортного уровня, поверх первого протокола транспортного уровня, вторую сеть, основанную на втором протоколе транспортного уровня, второе устройство, выполненное с возможностью осуществления связи через вторую сеть с другими устройствами, причем второе устройство выполнено с возможностью применения второго протокола безопасности транспортного уровня поверх второго протокола транспортного уровня, промежуточное устройство, выполненное с возможностью осуществления связи через первую сеть с первым устройством и выполненное с возможностью осуществления связи через вторую сеть со вторым устройством, и выполненное с возможностью модификации пакетов данных, принимаемых через первую сеть, которые сформированы в соответствии с первым протоколом безопасности транспортного уровня. 7 н. и 8 з.п. ф-лы, 8 ил.

 

ОБЛАСТЬ ТЕХНИКИ, К КОТОРОЙ ОТНОСИТСЯ ИЗОБРЕТЕНИЕ

Изобретение относится к способам, устройствам и системам для создания сквозных безопасных соединений в ситуациях, когда используется несколько протоколов безопасности, таких как, например, протокол Безопасности Транспортного Уровня (TLS) и протокол Дейтаграмм Безопасности Транспортного Уровня (DTLS).

УРОВЕНЬ ТЕХНИКИ ИЗОБРЕТЕНИЯ

Концепция Интернет Вещей (IoT) различает взаимную связь весьма неоднородных соединенных с сетью объектов и сетей, по следующему ряду моделей связи, таких как: человек-человек (H2H), человек-вещь (H2T), вещь-вещь (T2T), или вещь-вещи (T2Ts). Понятие IoT было впервые сформулировано центром Auto-ID в 1999г. С тех пор, разработка лежащих в его основе концепций неизменно наращивает темп. В настоящее время, IoT уделяется особое внимание в плане исследования с различными инициативами, работающими над разработкой (переработкой), применением, и использованием стандартных Интернет технологий в IoT.

Введение протокола IPv6 и web-услуг в качестве фундаментальных строительных блоков для приложений IoT обещает принести ряд основных преимуществ, включая: (i) однородную экосистему протокола, которая обеспечивает возможность простой интеграции с Интернет-хостами; (ii) упрощенную разработку очень разных приборов; (iii) унифицированный интерфейс для приложений, убирая потребность в модулях доступа прикладного уровня. Такие особенности существенно упрощают развертывание предусмотренных сценариев, начиная от автоматизации зданий в производственных средах до персональных сетей, в которых очень разные вещи, такие как датчик температуры, светильник, или метки RFID (Радиочастотной Идентификации) могут взаимодействовать друг с другом, с человеком, несущим интеллектуальный телефон, или с удаленными службами.

В этих условиях, ряд рабочих групп IETF разрабатывают новые протоколы для сетей с ограниченными ресурсами интеллектуальных вещей. Рабочая группа 6LoWPAN сфокусирована на определении способов и протоколов для эффективной передачи и адаптации пакетов IPv6 по сетям стандарта IEEE 802.15.4. Рабочая группа CoRE обеспечивает инфраструктуру для приложений, ориентированных на ресурс, предназначенных для работы в ограниченной IP сети (6LoWPAN). Одной из ее основных задач является определение облегченной версии протокола HTTP, Ограниченного Прикладного Протокола (CoAP), который работает по UDP и обеспечивает эффективную связь на прикладном уровне для вещей.

Эти новые протоколы будут обеспечивать возможность реализации множества разных приложений, включая Управление Автоматизацией Здания (BAC), Мониторинг состояния, Интеллектуальную Энергию (Smart Energy), и т.д. В этих условиях, оконечные устройства (такие как исполнительные механизмы или датчики), образующие сеть 6LoWPAN/CoAP, будут использоваться для мониторинга или управления физическими параметрами и приборами в режиме реального времени. В случае BAC, исполнительным механизмом может быть светильник и датчик, датчик света, и светильник может получать доступ к ресурсам датчика света, адаптируя свои установки света. Другой сценарий относится к такому, при котором CoAP устройство (например, клиент), расположенное удаленно, т.е. вне сети 6LoWPAN/CoAP, получает доступ к ресурсам устройства (например, серверу CoAP) в сети 6LoWPAN/CoAP через Граничный Маршрутизатор 6LoWPAN (6LBR), который обеспечивает межсетевое соединение для сети Интернет и сети 6LoWPAN/CoAP. Такой доступ может потребоваться для получения конкретных ресурсов или для продвижения некоторой конкретной конфигурации из удаленного места в устройство CoAP в сети 6LoWPAN/CoAP.

Безопасность является ключевым аспектом для приведенных выше прикладных областей и случаев использования. В частности, целью обеспечения безопасности является предоставление базовых услуг безопасности, таких как конфиденциальность, аутентификация, или актуализация между двумя устройствами. В случае использования криптографии с симметричным ключом, данная пара устройств совместно использует общий главный ключ, который используется во время общего подтверждения установления связи для взаимной аутентификации и извлечения секретного сеансового ключа. Данный сеансовый ключ используется совместно с комплектом шифрования для обеспечения вышеприведенных услуг безопасности при обмене информацией между двумя устройствами. Аналогичное подтверждение установления связи также может быть выполнено посредством криптографии с ассиметричным ключом.

В случае протоколов IP, существуют разные протоколы безопасности, включающие в себя TLS или DTLS. TLS используется для зашиты протоколов на прикладном уровне, выполняясь поверх Протокола Управления Передачей (TCP). DTLS является его расширением, используемым для защиты приложений, работающих по UDP. CoAP устанавливает DTLS в качестве обязательного подхода для защиты обмена данными связи CoAP, несмотря на то, что большинство установленных базовых серверов используют вместо CoAP, например, Протокол Передачи Гипертекста (HTTP), который используется в сочетании с TCP и TLS.

Обеспечение безопасного сквозного соединения является сложной задачей в приведенных выше условиях. Одна причина этого состоит в том, что Граничный Маршрутизатор 6LoWPAN или Модуль Доступа (Proxy) (6LBR) должен быть выполнен с возможностью проверки того, являются ли запросы, которыми обмениваются, запросами между двумя устройствами, расположенными вне и внутри сети 6LoWPAN/CoAP. Это происходит когда, например, клиент CoAP коммунального предприятия отправляет запрос серверу CoAP (например, интеллектуальный счетчик). 6LBR должен иметь возможность проверки того, что запросы, входящие от клиента, являются действительными, для того, чтобы предотвратить (или ограничить влияние), например, атак направленных на истощение энергии. Другая очень интересная ситуация относится к существованию унаследованных устройств в удаленных местах, например, устройств HTTP, которые должны иметь возможность доступа к информации в оконечных устройствах в сети 6LoWPAN/CoAP. В данной ситуации, создание безопасного сквозного соединения между, например, клиентом HTTP в удаленном месте и сервером CoAP в сети 6LoWPAN/CoAP, остается сложной задачей из-за используемых механизмов обмена обходным ключом, т.е., TLS (основанных на TCP) в унаследованных системах, в то время как ограниченные сети 6LoWPAN поддерживают только DTLS (основанные на UDP). Это еще более сложно, так как устройства CoAP в сети 6LoWPAN/CoAP, не знают, откуда приходят запросы создания ключа.

Для некоторых ситуаций возможность сквозного соединения является необходимостью, например, обновления программного обеспечения, допуск в сеть, учет и тарификация, и т.д. В таких ситуациях, требуется сквозное подтверждение установления связи. В сети Интернет, унаследованные системы поддерживают только HTTP по TCP, и TLS для безопасных соединений. Вследствие этого, рассматриваемые здесь конкретные ситуации могут быть изображены следующим образом: устройство HTTP в сети Интернет использует HTTP для получения доступа к ресурсам из устройства CoAP непосредственно. Преобразование протокола выполняется модулем доступа HTTP/CoAP, который присутствует между ними. Целью в данной ситуации является гарантия того, что устройство HTTP может иметь безопасную сквозную связь, используя TLS, а устройство CoAP может настроить безопасную сквозную связь, используя DTLS.

TCP является протоколом, ориентированным на соединение, предлагающим надежную связь. Тем не менее, UDP не является ориентированным на соединение и не гарантирует доставку пакета. Как изложено выше, DTLS является расширением TLS для работы по UDP, преодолевающим ограничения UDP. В обоих случаях, исходное подтверждение установления связи TLS и DTLS содержит обмен 4 наборами сообщений между клиентом и сервером. Ниже мы обсуждаем минимальное подтверждение установления связи. Следует отметить, что каждый этап относится к отправке ряда сообщений от первого устройства (например, клиента) второму устройству (например, серверу).

Этап 1 (от Клиента Серверу): ClientHello

Этап 2 (от Сервера Клиенту): ServerHello; ServerHelloDone

Этап 3 (от Клиента Серверу): ClientKeyExchange; ChangeCipherSpec; Finished

Этап 4 (от Сервера Клиенту): ChangeCipherSpec, Finished

Несмотря на то что DTLS основан на TLS и приведенные выше сообщения остаются теми же, однако присутствуют незначительные отличия, которые не позволяют протоколам взаимодействовать друг с другом.

НЕКОТОРЫМИ ИЗ ОТЛИЧИЙ ЯВЛЯЮТСЯ СЛЕДУЮЩИЕ:

- механизм cookie может быть использован в DTLS для проверки существования клиента, инициирующего запросы. В TLS такой механизм cookie не требуется, поскольку трехходовое подтверждение установления связи TCP определяет существование клиента.

- DTLS включает в себя дополнительные поля для обеспечения требуемой надежности для выполнения DTLS по UDP. В TLS, лежащий в основе уровень TCP обеспечивает требуемую надежность, поэтому эти поля не требуются.

- DTLS опирается на механизм повторной передачи во время исходного подтверждения установления связи, чтобы гарантировать то, что сообщения, отправляемые первым устройством, принимаются вторым устройством. TLS такой подход не требуется, поскольку надежная передача гарантируется TCP.

СУЩНОСТЬ ИЗОБРЕТЕНИЯ

Таким образом, задача настоящего изобретения состоит в предоставлении логики, требуемой в ограниченных устройствах, являющихся частью ограниченной сети, чтобы предоставить ограниченным устройствам возможность создания безопасного сквозного соединения с другими устройствами, которые не используют ограниченный прикладной протокол. Не является предпочтительной модификация не ограниченных устройств для создания сквозных безопасных соединений, и не является предпочтительным изменение существующих протоколов безопасности. Кроме того, также не является предпочтительным создание большого количества служенных данных в ограниченных устройствах.

Первый аспект изобретение предоставляет две системы связи для безопасной передачи пакетов данных между первым устройством и вторым устройством. Второй аспект изобретения предоставляет два устройства для использования в системах связи первого аспекта изобретения. Третий аспект изобретения предоставляет промежуточное устройство для использования в системах связи первого аспекта изобретения. Четвертый аспект изобретения предоставляет два способа безопасной передачи пакетов данных между первым устройством и вторым устройством. Предпочтительные варианты осуществления определены в зависимых пунктах формулы изобретения.

Система связи в соответствии с первым аспектом изобретения служит для безопасной передачи пакетов данных между первым устройством и вторым устройством. Система связи содержит: первую сеть, первое устройство, вторую сеть, второе устройство и промежуточное устройство. Первая сеть основана на первом протоколе транспортного уровня. Первое устройство осуществляет связь через первую сеть с другими устройствами и применяет первый протокол безопасности транспортного уровня поверх первого протокола транспортного уровня. Вторая сеть основана на втором протоколе транспортного уровня. Первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение. Второе устройство осуществляет связь через вторую сеть с другими устройствами, и второе устройство применяет второй протокол безопасности транспортного уровня поверх второго протокола транспортного уровня. Промежуточное устройство осуществляет связь через первую сеть с первым устройством и осуществляет связь через вторую сеть со вторым устройством. Промежуточное устройство модифицирует пакеты данных, принимаемые через первую сеть, которые сформированы в соответствии с первым протоколом безопасности транспортного уровня, в пакеты данных для осуществления связи через вторую сеть в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот. Таким образом, пакеты данных, принимаемые через вторую сеть, также модифицируются в пакеты, пригодные для осуществления связи через первую сеть. Первое устройство восстанавливает заголовок первого пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку второго пакета, который был передан вторым устройством промежуточному устройству и был модифицирован промежуточным устройством в первый пакет данных. Первое устройство проверяет поле проверки безопасности принимаемого пакета данных на основании восстановленного заголовка первого пакета данных. Поле проверки формируется вторым устройством в соответствии со вторым протоколом безопасности транспортного уровня. Следует отметить, что принимаемый пакет данных (поле проверки безопасности которого проверяется) может быть первым пакетом данных, заголовок которого восстанавливается, или является другим пакетом данных, который принимается позже.

Решение изобретения связано с двумя мерами, предпринимаемыми в системе. Промежуточное устройство меняет пакеты данных из формата, который используется в первой сети, в формат, который используется во второй сети. Часто, это включает в себя только изменения в заголовках пакетов, и может включать в себя изменения связанные с информацией первого протокола безопасности транспортного уровня и/или второго протокола безопасности транспортного уровня. Следует отметить, что полезные нагрузки пакета данных, в большинстве случаев, не меняются, когда промежуточное устройство меняет пакеты данных из формата, который используется в первой сети, в формат, который используется во второй сети. Впоследствии, первое устройство способно восстановить исходный заголовок, таким, каким он был принят промежуточным устройством через вторую сеть (следовательно, заголовок, каким он был принят промежуточным устройством до того, как заголовок был изменен в формат, пригодный для осуществления связи через первую сеть). Впоследствии, первое устройство способно проверить поля проверки принимаемого пакета данных на основании восстановленного заголовка. Принимаемое поле проверки формируется вторым устройством на основании второго протокола безопасности транспортного уровня. Часто, формирование полей безопасности включает в себя использование функции (хэширования), которая использует один или более заголовков пакета данных и/или полезные нагрузки пакета данных в качестве входных данных. Таким образом, заголовки, которые были использованы для формирования поля проверки, также должны быть доступны проверяющему устройству для проверки поля проверки. Восстановление заголовка гарантирует доступность этих заголовков.

В некоторых протоколах безопасности транспортного уровня, сквозное соединение может быть создано только когда, по меньшей мере, одно из устройств способно проверить поле проверки. Таким образом, изобретение предоставляет возможность создания безопасного сквозного соединения, поскольку преодолеваются отличия первого протокола безопасности транспортного уровня и второго протокола безопасности транспортного уровня. В некоторых протоколах безопасности транспортного уровня, раз создано безопасное соединение, то поля проверки также используются для проверки аутентичности принимаемых пакетов данных и изобретение предоставляет средство, чтобы реализовать это.

В соответствии с первым аспектом изобретения, не требуется изменений во втором устройстве. Кроме того, несмотря на то, что промежуточному устройству приходится выполнять некоторые переводы из первого протокола безопасности транспортного уровня во второй протокол безопасности транспортного уровня, промежуточное устройство активно не задействовано в создании безопасного сквозного соединения и активно не задействовано в проверке информации. Это означает, что в протоколе безопасности транспортного уровня, в котором оконечные устройства обладают закрытым предварительно согласованным ключом, промежуточное устройство не обладает знаниями о данном ключе, так как оно активно не задействовано в исполнении протоколов безопасности транспортного уровня.

Следует отметить, что проверка поля проверки безопасности выполняется на основании восстановленного заголовка пакета данных. «Основанная» не означает, что она ограничивается проверкой на основании восстановленного заголовка пакета данных, при этом проверка может учитывать другие данные, подобные полезной нагрузке пакета данных.

Опционально, первый протокол безопасности транспортного уровня и второй протокол безопасности транспортного уровня инициируют сеанс безопасной связи с протоколом подтверждения установления связи. Принимаемый пакет данных, содержащий поле проверки, является пакетом данных протокола подтверждения установления связи. Таким образом, протокол подтверждения установления связи предписывает выполнение обмена пакетами данных, которые содержат поле проверки. Изобретение предоставляет возможность проверки поля проверки, и, следовательно, исполнение протокола подтверждения установления связи. Часто, подобно протоколу Безопасности Транспортного Уровня (TLS) или протоколу Дейтаграмм Безопасности Транспортного Уровня (DTLS), сообщение Finished (Завершено) должно быть отправлено в конце подтверждения установления связи, и подтверждение установления связи содержит код проверки, который также основан на заголовках и полезных нагрузках пакета, отправляемого во время подтверждения установления связи. В таких случаях, в соответствии с изобретением, заголовки пакетов могут быть восстановлены в первом устройстве и сообщение Finished может быть проверено, как того требует протокол, используемый вторым устройством.

Опционально, принимаемый пакет содержит код аутентификации сообщения в качестве поля проверки безопасности для аутентификации аутентичности принимаемого пакета данных. В некоторых протоколах безопасности транспортного уровня использование Кодов Аутентификации Сообщения является обязательным для сообщений, передаваемых по создаваемому сквозному безопасному соединению, для того чтобы иметь возможность проверки аутентичности сообщения. Код Аутентификации Сообщения часто основан на заголовке и полезной нагрузке пакета данных в момент передачи пакета данных. Если, как в системе изобретения, пакет данных модифицируется промежуточным устройством для передачи по другой сети с другим протоколом безопасности транспортного уровня, то содержимое заголовка пакета данных может быть изменено, и, следовательно, должно быть восстановлено, для того чтобы проверить Код Аутентификации Сообщения.

Опционально, первое устройство сначала проверяет код проверки безопасности в соответствии с первым протоколом безопасности транспортного уровня и, если эта проверка неудачна, восстанавливается заголовок первого пакета данных и поле проверки безопасности проверяется на основании восстановленного заголовка первого пакета данных в соответствии со вторым протоколом безопасности транспортного уровня. Таким образом, первое устройство выполнено с возможностью применения подхода проб и ошибок. Первое устройство предполагает код проверки на основании первого протокола безопасности транспортного уровня и, следовательно, сначала пытается соответствующим образом проверить код проверки. Если это приводит к успешному результату, то очевидно, что код проверки был принят от устройства, которое также использует первый протокол безопасности транспортного уровня. Если результат безуспешен, то заголовок восстанавливается и, если проверка в соответствии со вторым протоколом безопасности транспортного уровня успешна после восстановления заголовка, то пакет данных был исходно отправлен устройством, которое использует второй протокол безопасности транспортного уровня. Таким образом, исходно первому устройству не требуется обладать знаниями о другом устройстве. Первое устройство выполнено с возможностью выяснения того, какой протокол безопасности транспортного уровня используется. После проверки в соответствии с данным опциональным вариантом осуществления, первое устройство также обладает знаниями, что пакеты данных, принимаемые от конкретного устройства, отправляются в соответствии с конкретным протоколом безопасности транспортного уровня. Данные знания могут быть использованы в будущих попытках проверки кода проверки таким образом, что предотвращается выполнение ненужных этапов «проб и ошибок».

В соответствии с первым аспектом изобретения, предоставляется дополнительная система связи для безопасной передачи пакетов данных между первым устройством и вторым устройством. Система связи содержит первую сеть, первое устройство, вторую сеть, второе устройство и промежуточное устройство. Первая сеть основана на первом протоколе транспортного уровня. Первое устройство осуществляет связь через первую сеть с другими устройствами и применяет первый протокол безопасности транспортного уровня поверх первого протокола транспортного уровня. Вторая сеть основана на втором протоколе транспортного уровня. Первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение. Второе устройство осуществляет связь через вторую сеть с другими устройствами, и второе устройство применяет второй протокол безопасности транспортного уровня поверх второго протокола транспортного уровня. Промежуточное устройство осуществляет связь через первую сеть с первым устройством и осуществляет связь через вторую сеть со вторым устройством. Промежуточное устройство модифицирует пакеты данных, принимаемые через первую сеть, которые формируются в соответствии с первым протоколом безопасности транспортного уровня, в пакеты данных для осуществления связи через вторую сеть в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот. Следовательно, пакеты данных, принимаемые через вторую сеть, также модифицируются в пакеты, пригодные для осуществления связи через первую сеть. Первое устройство восстанавливает заголовок первого пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку второго пакета, который был передан вторым устройством промежуточному устройству и был модифицирован промежуточным устройством в первый пакет данных. Первое устройство формирует поле проверки безопасности для третьего пакета данных, который должен быть отправлен. Поле проверки безопасности, формируется на основании восстановленного заголовка первого пакета данных, и формируется в соответствии со вторым протоколом безопасности транспортного уровня.

Данная дополнительная система связи в соответствии с первым аспектом изобретения тесно связана с ранее обсуждаемой системой связи. Ранее обсуждаемая система связи определяет, что первое устройство выполнено с возможностью проверки поля проверки, которое является сформированным в соответствии со вторым аспектом изобретения, дополнительная система связи определяет, что первое устройство выполнено с возможностью формирования поля проверки в соответствии со вторым аспектом изобретения. Таким образом, в одной из систем в соответствии с первым аспектом изобретения первое устройство является клиентом, а второе устройство является сервером, в другой из систем роли поменялись местами. Таким образом, другими словами, если оба аспекта изобретения объединяются в одной системе, то первое устройство полностью выполнено с возможностью осуществления безопасной связи со вторым устройством, которое применяет второй протокол безопасности транспортного уровня при всех возможных ролях (клиент/сервер) первого устройства.

Опционально, первый протокол безопасности транспортного уровня и второй протокол безопасности транспортного уровня инициируют сеанс безопасной связи с протоколом подтверждения установления связи. Третий пакет данных, который должен быть отправлен, является пакетом данных протокола подтверждения установления связи. Как обсуждалось в другом опциональном варианте осуществления, протокол подтверждения установления связи часто содержит сообщение Finished, которое содержит код проверки, который основан на одном или более заголовках и полезных нагрузках пакетов данных. Данный опциональный вариант осуществления предоставляет первое устройство с возможностью формирования таких сообщений Finished с кодом проверки в соответствии со вторым протоколом безопасности транспортного уровня. И, следовательно, второе устройство выполнено с возможностью проверки таких сообщений Finished, не обладая знаниями о первом протоколе безопасности транспортного уровня.

Опционально, первое устройство отправляет четвертый пакет данных, содержащий поле проверки безопасности, сформированное в соответствии с первым протоколом безопасности транспортного уровня, и отправляет третий пакет данных, содержащий поле безопасности, сформированное в соответствии со вторым протоколом безопасности транспортного уровня. Следовательно, первое устройство применяет «подход проб и ошибок» посредством отправки двух разных пакетов данных, в которых одни пакеты данных содержат код проверки в соответствии с первым протоколом безопасности транспортного уровня, а другой пакет данных содержит код проверки в соответствии со вторым протоколом безопасности транспортного уровня. В опциональном, целесообразном, варианте осуществления, четвертые пакеты с кодом проверки в соответствии с первым протоколом безопасности транспортного уровня отправляются первыми, и если не обнаруживается положительного продолжения безопасной связи, то впоследствии отправляются третьи пакеты с кодом проверки в соответствии со вторым протоколом безопасности транспортного уровня. Не положительное продолжение безопасной связи означает, что другое устройство наиболее вероятно было неспособно понять поле проверки первого протокола безопасности транспортного уровня и, следовательно, наиболее вероятно способно понять поле проверки второго протокола безопасности транспортного уровня.

Опционально, первое устройство обнаруживает, осуществляет ли оно связь с другим устройством, которое применяет второй протокол безопасности транспортного уровня. Первое устройство выполнено с возможностью отправки третьего пакета данных, содержащего поле безопасности, сформированное в соответствии со вторым протоколом безопасности транспортного уровня, если первое устройство обнаруживает, что оно осуществляет связь с другим устройством, применяющим второй протокол безопасности транспортного уровня. Знания о другом устройстве предоставляют первому устройству возможность непосредственной отправки пакета данных, который содержит код проверки в соответствии с протоколом безопасности транспортного уровня, который понимается другим устройством. Это повышает эффективность. Обнаружение того, применяет ли другое устройство первый протокол безопасности транспортного уровня или второй протокол безопасности транспортного уровня, может быть основано на пробной и ошибочной передаче и/или проверке, формируемых или принимаемых полей проверки, как описано до этого в двух опциональных вариантах осуществления.

Опционально, первым сетевым протоколом связи транспортного уровня является Протокол Пользовательских Дейтаграмм, основанный на Интернет Протоколе, вторым сетевым протоколом связи транспортного уровня является Протокол Управления Передачей основанный на Интернет Протоколе, первым протоколом безопасности транспортного уровня является Протокол Дейтаграмм Безопасности Транспортного Уровня, а вторым протоколом безопасности транспортного уровня является Протокол Безопасности Транспортного Уровня. Особенно сочетание Протокола Дейтаграмм Безопасности Транспортного Уровня (DTLS) в первой сети и использование Протокола Безопасности Транспортного Уровня (TLS) во второй сети, является предпочтительным, поскольку заголовки пакетов данных, которые отправляются в соответствии с DTLS, содержат незначительное количество дополнительных полей в сравнение с пакетами данных, которые отправляются в соответствии с TLS. Таким образом, промежуточное устройство должно формировать только дополнительные поля, если пакет принимается от второй сети, и промежуточное устройство должно только удалять дополнительные поля, если пакет принимается от первой сети. Особенно формирование дополнительных полей является операцией, которая может быть легко обращена первым устройством, и, следовательно, восстановление заголовка первым устройством является относительно простой операцией, которая не требует много знаний о второй сети, протоколе транспортного уровня второй сети, втором протоколе безопасности транспортного уровня, или втором устройстве.

Опционально, первое устройство выполнено с возможностью применения Ограниченного Прикладного Протокола, а второе устройство выполнено с возможностью применения Протокола Передачи Гипертекста.

В соответствии с третьим аспектом изобретения, первое устройство предоставлено для использования в системе связи в соответствии с первым аспектом изобретения. Первое устройство содержит первый сетевой интерфейс, первое прикладное средство протокола безопасности, средство восстановления и средство проверки. Первый сетевой интерфейс осуществляет связь через первую сеть с другими устройствами. Первая сеть основана на первом протоколе транспортного уровня, который является сетевым протоколом, основанным на дейтаграмме, или протоколом транспортного уровня, ориентированным на надежное соединение. Первое прикладное средство протокола безопасности применяет первый протокол безопасности транспортного уровня поверх первого протокола транспортного уровня. Средство восстановления восстанавливает заголовок принимаемого первого пакета данных таким образом, что заголовок соответствует заголовку второго пакета данных, который был принят промежуточным устройством через вторую сеть, основанную на втором протоколе транспортного уровня, поверх которого используется второй протокол безопасности транспортного уровня. Первый пакет данных принимается от промежуточного устройства через первую сеть. Средство проверки проверяет поле проверки безопасности принимаемого пакета данных на основании восстановленного заголовка первого пакета данных. Поле проверки формируется в соответствии со вторым протоколом безопасности транспортного уровня.

В соответствии с третьим аспектом изобретения, дополнительное первое устройство предоставлено для использования в системе связи в соответствии с первым аспектом изобретения. Первое устройство содержит первый сетевой интерфейс, первое прикладное средство протокола безопасности, средство восстановления и средство формирования. Первый сетевой интерфейс осуществляет связь через первую сеть с другими устройствами. Первая сеть основана на первом протоколе транспортного уровня, который является сетевым протоколом, основанным на дейтаграмме, или протоколом транспортного уровня, ориентированным на надежное соединение. Первое прикладное средство протокола безопасности применяет первый протокол безопасности транспортного уровня поверх первого протокола транспортного уровня. Средство восстановления восстанавливает заголовок принимаемого первого пакета данных таким образом, что заголовок соответствует заголовку второго пакета данных, который был принят промежуточным устройством через вторую сеть, основанную на втором протоколе транспортного уровня поверх которого используется второй протокол безопасности транспортного уровня. Первый пакет данных принимается от промежуточного устройства через первую сеть. Средство формирования выполнено с возможностью формирования поля проверки безопасности для третьего пакета данных, который должен быть отправлен. Поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии со вторым протоколом безопасности транспортного уровня.

Первое устройство в соответствии со вторым аспектом изобретения предоставляет те же преимущества, что и система в соответствии с первым аспектом изобретения и имеет аналогичные варианты осуществления с аналогичными эффектами, что и соответствующие варианты осуществления системы.

В соответствии с третьим аспектом изобретения, предоставлено промежуточное устройство для применения в одной из систем связи в соответствии со вторым аспектом изобретения. Промежуточное устройство содержит первый сетевой интерфейс, второй сетевой интерфейс, первое прикладное средство безопасности, второе прикладное средство безопасности, и средство модификации. Первый сетевой интерфейс осуществляет связь через первую сеть с первым устройством. Первая сеть основана на первом протоколе транспортного уровня. Второй сетевой интерфейс осуществляет связь через вторую сеть со вторым устройством. Вторая сеть основана на втором протоколе транспортного уровня. Первый или второй сетевой протокол является сетевым протоколом, основанным на дейтаграмме, а другой из первого или второго сетевого протокола является протоколом транспортного уровня, ориентированным на надежное соединение. Первое прикладное средство безопасности применяет первый протокол безопасности транспортного уровня поверх первого протокола транспортного уровня. Второе прикладное средство безопасности применяет второй протокол безопасности транспортного уровня поверх второго протокола транспортного уровня. Средство модификации модифицирует пакеты данных, принимаемые через первую сеть и которые формируются в соответствии с первым протоколом безопасности транспортного уровня в пакеты данных для осуществления связи через вторую сеть в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот.

Промежуточное устройство в соответствии с третьим аспектом изобретения предоставляет те же преимущества, что и система в соответствии с первым аспектом изобретения, и имеет аналогичные варианты осуществления с аналогичными эффектами, что и соответствующие варианты осуществления системы.

В соответствии с четвертым аспектом изобретения, предоставлен способ безопасной передачи пакетов данных между первым устройством и вторым устройством. Способ содержит этапы, на которых: i) принимают первый пакет данных через первую сеть, основанную на первом протоколе транспортного уровня, причем первый протокол безопасности транспортного уровня применяется поверх первого протокола транспортного уровня, ii) модифицируют первый пакет данных во второй пакет данных, который должен быть отправлен через вторую сеть, основанную на втором протоколе транспортного уровня, причем второй протокол безопасности транспортного уровня применяется поверх второго протокола транспортного уровня, причем первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой один из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на соединение, iii) отправляют второй пакет данных через вторую сеть, iv) принимают второй пакет данных, v) восстанавливают заголовок второго пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку первого пакета, vi) проверяют поле проверки безопасности принимаемого пакета данных на основании восстановленного заголовка первого пакета данных, при этом поле проверки формируется в соответствии с первым протоколом безопасности транспортного уровня. Следует отметить, что принимаемый пакет данных, который содержит поле проверки, может быть принимаемым вторым пакетом данных или другим пакетом данных, который принимается позже второго пакета данных.

В соответствии с четвертым аспектом изобретения, предоставлен дополнительный способ безопасной передачи пакетов данных между первым устройством и вторым устройством. Способ содержит этапы, на которых: i) принимают первый пакет данных через первую сеть, основанную на первом протоколе транспортного уровня, при этом первый протокол безопасности транспортного уровня применяется поверх первого протокола транспортного уровня, ii) модифицируют первый пакет данных во второй пакет данных, который должен быть отправлен через вторую сеть, основанную на втором протоколе транспортного уровня, при этом второй протокол безопасности транспортного уровня применяется поверх второго протокола транспортного уровня, причем первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой один из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение, iii) отправляют второй пакет данных через вторую сеть, iv) принимают второй пакет данных, v) восстанавливают заголовок второго пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку первого пакета, vi) формируют поле проверки безопасности для третьего пакета данных, при этом поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии с первым протоколом безопасности транспортного уровня, и vii) отправляют третий пакет данных через вторую сеть.

Способ в соответствии с четвертым аспектом изобретения предоставляет те же преимущества, что и система в соответствии с первым аспектом изобретения и имеет аналогичные варианты осуществления с аналогичными эффектами, что и соответствующие варианты осуществления системы.

Эти и прочие аспекты изобретения станут очевидны из и будут объяснены со ссылкой на описываемые ниже варианты осуществления.

Специалистам в соответствующей области следует иметь в виду, что два или более из вышеупомянутых вариантов, реализаций, и/или аспектов изобретения могут быть объединены любым образом, рассматриваемым как полезный.

Модификации и вариации системы, способа, и/или компьютерного программного продукта, которые соответствуют описанным модификациям и вариациям системы, могут быть выполнены специалистом в соответствующей области на основании настоящего описания.

КРАТКОЕ ОПИСАНИЕ ЧЕРТЕЖЕЙ

НА ЧЕРТЕЖАХ:

Фиг. 1 схематично показывает систему в соответствии с первым аспектом изобретения,

Фиг. 2a и 2b схематично показывает архитектуры безопасной сквозной связи через сеть Интернет в сеть 6LoWPAN, каждая содержащая вариант осуществления изобретения,

Фиг. 3a схематично показывает циклограмму протокола Подтверждения установления связи TLS с PSK,

Фиг. 3b схематично показывает циклограмму протокола Подтверждения установления связи DTLS с PSK,

Фиг. 4a схематично показывает TLS и DTLS в модели OSI,

Фиг. 4b схематично показывает структуру пакетов TLS/DTLS с выделенными полями, которые характерны для DTLS,

Фиг. 4c схематично показывает структуру сообщений подтверждения установления связи TLS/DTLS с выделенными полями, которые характерны для DTLS,

Фиг. 5a схематично показывает структуру сообщений ClientHello TLS/DTLS с выделенными полями, которые характерны для DTLS,

Фиг. 5b схематично показывает структуру сообщений HelloVerifyRequest DTLS,

Фиг.6 схематично показывает объединенный протокол Подтверждения установления связи TLS/DTLS,

Фиг. 7 схематично показывает блок-схему алгоритма для сервера CoAP для приема и проверки Сообщений Finished и затем формирования и отправки соответствующего сообщения Finished клиенту.

Фиг. 8a схематично показывает блок-схему алгоритма первого способа изобретения, и

Фиг. 8b схематично показывает блок-схему алгоритма второго способа изобретения.

Следует отметить, что элементы, обозначенные одинаковыми условными обозначениями на разных Фигурах, имеют одинаковые структурные признаки и одинаковые функции, или являются одинаковыми сигналами. Там где функции и/или структуры такого элемента были объяснены, нет необходимости в повторном его объяснении в подробном описании.

Фигуры являются чисто схематическими и выполненными не в масштабе. В частности, для ясности, некоторые размеры сильно преувеличены.

ПОДРОБНОЕ ОПИСАНИЕ ВАРИАНТОВ ОСУЩЕСТВЛЕНИЯ

Первый вариант осуществления системы 100 в соответствии с первым аспектом изобретения схематично показан на Фиг. 1. Система 100 содержит первую сеть 120, которая использует первый протокол транспортного уровня. Поверх первого протокола транспортного уровня может быть использован первый протокол безопасности транспортного уровня. Система 100 дополнительно содержит вторую сеть 108, которая использует второй протокол транспортного уровня. Поверх второго протокола транспортного уровня может быть использован второй протокол безопасности транспортного уровня. Первое устройство 124 или дополнительное первое устройство 136 соединено с первой сетью 120. Промежуточное устройство 110 подключено между первой сетью 120 и второй сетью 108. Второе устройство 102 соединено со второй сетью 108.

Второе устройство 102 имеет второй сетевой интерфейс 106, который непосредственно соединен со второй сетью 108 и который применяет второй протокол транспортного уровня. Второй сетевой интерфейс 106 соединен со вторым прикладным средством 104 протокола безопасности, которое применяет второй протокол безопасности транспортного уровня к данным, переносимым от второго устройства 102 во вторую сеть 108 и данным, которые принимаются из второй сети 108 посредством второго устройства 102.

Промежуточное устройство 110 также содержит второй сетевой интерфейс 106, который обеспечивает соединение между промежуточным устройством 110 и второй сетью 108. Второе прикладное средство 104 протокола безопасности используется промежуточным устройством 110 для обработки второго протокола безопасности транспортного уровня для осуществления связи через вторую сеть. Промежуточное устройство 110 дополнительно соединено с первой сетью 120 с помощью первого сетевого интерфейса 126, и промежуточное устройство дополнительно содержит первое прикладное средство 128 протокола безопасности для применения первого протокола безопасности транспортного уровня поверх первого протокола транспортного уровня первой сети 120. Одна из важных функций промежуточного устройства 110 исполняется средством 122 модификации, которое модифицирует пакеты данных, принимаемые через первую сеть и которые сформированы в соответствии с первым протоколом безопасности транспортного уровня в пакеты данных для осуществления связи через вторую сеть в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот. Средство 122 модификации выполняет перевод первого протокола транспортного уровня во второй протокол транспортного уровня и наоборот, и выполняет перевод первого протокола безопасности транспортного уровня во второй протокол безопасности транспортного уровня и наоборот. В результате модификации меняются заголовки пакетов данных и, часто, в зависимости от конкретного используемого протокола, полезная нагрузка часто не затрагивается.

В варианте осуществления, средство 122 модификации активно не задействовано в первом протоколе безопасности транспортного уровня и/или втором протоколе безопасности транспортного уровня. Это означает, что средство 122 модификации не обладает знаниями о секретных ключах, которые используются в соответствующем протоколе безопасности транспортного уровня и не создает сквозных соединений. Средство 122 модификации только меняет заголовки пакетов данных таким образом, что они могут быть корректно транспортированы отдельными сетями. Кроме того, средством 122 модификации также могут быть выполнены относительно простые модификации в отношении заголовка пакета, которые непосредственно имеют отношения к сочетанию протокола транспортного уровня и протокола безопасности транспортного уровня. Например, протокол Дейтаграмм Безопасности Транспортного Уровня (DTLS) добавляет ограниченное количество полей в заголовок пакета данных, которые были исходно сформированы протоколом Безопасности Транспортного Уровня. Дополнительные поля обеспечивают функциональную возможность, такую как то, что протокол Безопасности Транспортного Уровня (TLS) может быть использован поверх Протокола Пользовательских Дейтаграмм (UDP), как протокола транспортного уровня. В примере, средство 122 модификации добавляет такие поля, не обладая знаниями об информации безопасности соответствующих протоколов безопасности транспортного уровня.

На Фиг. 1 представлено два разных варианта осуществления первого устройства 124, 136.

Первый вариант осуществления первого устройства 124 содержит первый сетевой интерфейс 126, который соединяет первое устройство 124 с первой сетью 120. Первое устройство 124 также имеет первое прикладное средство 128 протокола безопасности транспортного уровня, которое выполнено с возможностью применения первого протокола безопасности транспортного уровня к осуществлению связи через первую сеть 120. Первое устройство 124 также содержит средство 130 восстановления, которое восстанавливает заголовок пакета данных, принимаемого через первую сеть 120 в заголовок пакетов данных, как если бы он был передан через вторую сеть 108 и как если бы второй протокол безопасности транспортного уровня был бы применен к связи. Таким образом, другими словами, средство 130 восстановления выполнено с возможностью обращения операции средства 122 модификации промежуточного устройства 110. Первое устройство 124 дополнительно содержит средство 132 проверки, которое выполнено с возможностью проверки полей проверки в принимаемых пакетах данных на основании восстановленного заголовка(ов). Поля проверки, принимаемые в пакетах данных, могут происходить от второго устройства 102, которое формирует пакеты данных на основании второго протокола безопасности транспортного уровня, и, следовательно, являются полями проверки, также формируемыми на основании второго протокола безопасности транспортного уровня. Большинство протоколов безопасности транспортного уровня формируют поля проверки на основании одного или более заголовков пакетов данных, отправляемых в соответствии с конкретным протоколом безопасности транспортного уровня. Таким образом, чтобы иметь возможность проверки таких полей проверки, сначала должен быть восстановлен один или более заголовков, что выполняется средством 130 восстановления. В зависимости от конкретного поля проверки, либо средство 132 проверки способно проверить поле проверки, чтобы создать безопасное сквозное соединение, или может быть подтверждена аутентичность принимаемого пакета данных.

Второй вариант осуществления первого устройства 136 аналогичен первому варианту осуществления первого устройства 124, однако первое устройство 136 второго варианта осуществления не имеет средства 132 проверки, но имеет средство 134 формирования для формирования поля проверки безопасности для пакета данных, который должен быть отправлен. Поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии со вторым протоколом безопасности транспортного уровня. Таким образом, первое устройство 136 выполнено с возможностью отправки пакетов данных второму устройству 102, которое выполнено с возможностью проверки таких полей проверки. Следовательно, если второе устройство 102 выполнено с возможностью положительной проверки таких полей проверки, то может быть создано безопасное сквозное соединение, или вторым устройством может быть подтверждена аутентичность передаваемого пакета данных.

Следует отметить, что первый вариант осуществления первого устройства 124 и второй вариант осуществления первого устройства 136 также могут быть объединены в одном устройстве, которое содержит средство 132 проверки и средство 134 формирования.

Фиг. 2a иллюстрирует архитектуру, которая способствует осуществлению связи через сеть Интернет в ограниченную сеть IP сети (например, 6LoWPAN). Целью является предоставление унаследованной системе (Клиенту Безопасности Транспортного Уровня (TLS)), которая соединена с сетью Интернет, возможности создания безопасного Сквозного Подтверждения установления связи (D)TLS с Сервером Ограниченного Прикладного Протокола (CoAP), в то время как модуль доступа/граничный маршрутизатор не узнает секрет подтверждения установления связи.

При исполнении подтверждения установления связи (D)TLS между клиентом TLS и Сервером CoAP, модуль доступа/граничный маршрутизатор (промежуточное устройство) отвечает за перевод пакетов TLS и затем переупаковку их в соответствующие пакеты DTLS и наоборот.

В конце подтверждения установления связи, Сервер CoAP способен различить, использует ли клиент, осуществляющий связь, протокол TLS или DTLS, и затем может сформировать соответствующее Сообщение Finished для завершения подтверждения установления связи. Это гарантирует то, что существующие унаследованные клиенты могут создать безопасное E2E (сквозное) подтверждение установления связи с Сервером CoAP, не требуя какой-либо модификации логики клиента.

Подтверждение установления связи также использует межуровневую оптимизацию между DTLS и TCP в том, что существование действующего клиента TLS может быть определено модулем доступа/граничным маршрутизатором, используя Случайную Синхронизацию TCP (TCP Sync Random), при этом сохраняя механизм cookie DTLS локальным для сети 6LoWPAN.

Поскольку Сервер CoAP не знает о том, взаимодействует ли он с Клиентом HTTP или Клиентом CoAP, и так как важно сохранить неизменной унаследованную систему (т.е., Клиент HTTP), то требуется дополнительная логика в «TLS ext» (расширение TLS) в устройстве CoAP, чтобы гарантировать то, что протокол подтверждения установления связи (D)TLS может быть успешно завешен с Клиентом TLS.

ОТЛИЧИЯ МЕЖДУ TLS И DTLS ВО ВРЕМЯ ПОДТВЕРЖДЕНИЯ УСТАНОВЛЕНИЯ СВЯЗИ

До того, как два одноранговых узла станут способны обмениваться сообщениями безопасным образом посредством (D)TLS и предварительно согласованного ключа, они должны договориться о некоторых параметрах безопасности, подобных CipherSuites (Комплекты Шифрования), способам сжатия и идентификационным данным ключа. Это выполняется посредством подтверждения установления связи (D)TLS, также содержащего аутентификацию осуществляющих связь объектов. Фиг. 3a и Фиг. 3b иллюстрируют циклограммы Подтверждения установления связи TLS и DTLS соответственно с предварительно согласованным ключом (PSK). Сообщения, помеченные знаком *, являются опциональными.

При использовании TLS, клиент HTTP сначала отправляет сообщение ClientHello с его доступными CipherSuites и контрольным словом, используемым для создания сеансового ключа. Сервер CoAP берет один из предоставленных CipherSuites и отправляет сообщение ServerHello назад клиенту. Теперь очередь сервера предоставить «подсказку идентификационных данных PSK» в сообщении ServerKeyExchange, которая помогает клиенту выбрать соответствующий ключ. В случае, когда подсказка не может быть предоставлена, данное сообщение опускается. Для того чтобы указать окончание фазы сообщения приветствия сервер отправляет сообщение ServerHelloDone. Теперь клиент HTTP указывает с подсказкой от сервера или без то, какой используется ключ, посредством отправки сообщения ClientKeyExchange. После отправки сообщения ChangeCipherSpec, подтверждение установления связи будет аутентифицировано с помощью сообщения Finished. Сообщение Finished TLS вычисляется, используя псевдослучайную функцию (PRF), принимающую в качестве входных данных главный секрет, завершающую метку («клиентское Finished») и случайные данные последовательности всех сообщений типа подтверждения установления связи, обмен которыми был выполнен до данного момента, за исключением самого сообщения Finished. По завершению успешной аутентификации и соглашения в отношении ключа, информация может быть передана через безопасное соединение.

Как и в TLS, в DTLS клиент начинает с сообщения ClientHello. Как упомянуто выше, механизм cookie может быть использован для проверки существования клиента. Исходно, данное поле устанавливается пустым. Теперь, от сервера зависит решение, будет ли использоваться cookie или нет. Если нет, то он отправляет сообщение ServerHello, в противном случае клиенту отправляется сообщение HelloVerifyRequest, включающее в себя cookie. В последнем случае, клиент вновь отправляет сообщение ClientHello с теми же параметрами, но включая cookie, заданный сервером. После этого, обмен сообщениями осуществляется таким же образом и в такой же очередности, как и в TLS.

СТРУКТУРА ПАКЕТОВ TLS И DTLS

Как иллюстрируется на Фиг. 4a (D)TLS разделяется на уровни между прикладным уровнем и транспортным уровнем. Она также показывает, что (D)TLS является многоуровневым протоколом. На нижнем уровне располагается Протокол Записи, тогда как на верхнем уровне определено четыре протокола, а именно Протокол Подтверждения установления связи, Протокол Предупреждения, Протокол ChangeCipherSpec и Протокол Прикладных Данных. Каждый из этих протоколов предоставляет свое собственное сообщение, которое должно быть отправлено в определенный момент времени и определенным образом.

Общая конструкция для сообщений Записи показана на Фиг. 4b. Поскольку до завершения Подтверждения установления связи не создаются параметры безопасности, то эти сообщения не шифруются или не включают в себя MAC, показанный на Фиг. 4c. Отличия между TLS и DTLS выделены. Это означает применительно к сообщениям Записи, что DTLS добавляет еще два поля в заголовок, в частности начало отсчета времени и порядковый номер.

Применительно к заголовку сообщения Подтверждения установления связи добавляются порядковый номер и смещение фрагмента плюс длина фрагмента.

Сообщение ClientHello, иллюстрируемое на Фиг. 5a, добавляет поле для cookie и в TLS не существует HelloVerifyRequest (Фиг. 5b).

На Фиг. 6, изображено объединенное Подтверждение установления связи TLS-DTLS. Модуль доступа отвечает за перевод пакетов TLS в пакеты DTLS и наоборот посредством добавления или удаления полей, которые относятся только к DTLS. В случае, когда сервер хочет использовать cookie и отправляет сообщение HelloVerifyRequest, то модуль доступа не должен переадресовывать сообщение клиенту HTTP, так как данный тип сообщения не используется в TLS. Вместо этого, модуль доступа отвечает серверу CoAP с помощью второго сообщения ClientHello с cookie, который задан сервером. Если приходит сообщение Finished, то модуль доступа должен переадресовать сообщение серверу. Поскольку он не обладает секретом, который совместно используют клиент и сервер, то он не может менять или проверять данные в данном сообщении. Другая задача модуля доступа относится к способности DTLS осуществлять повторную передачу отсутствующего сообщения. Поскольку это обязанность клиента DTLS, то модуль доступа должен также обеспечивать надежную передачу.

ОБМЕН И ВЫЧИСЛЕНИЕ СОДЕРЖИМОГО СООБЩЕНИЯ FINISHED ДЛЯ РАЗНЫХ ПРОТОКОЛОВ

Как упоминалось в предыдущем разделе, при завершении протокола подтверждения установления связи, для аутентификации подтверждения установления связи отправляется сообщение Finished. Сообщение Finished по сути содержит только одно поле, а именно Verify_Data (Проверочные_Данные), которое вычисляется следующим образом:

PRF(master_secret, finished label, Hash(handshake_messages))[0..verify_data_length-1],

где finished label является «клиентское Finished» для клиента, и «серверное Finished» для сервера. Параметр handshake_messages является последовательностью всех сообщений, обмен которыми осуществлялся ранее.

Первое сообщение Finished отправляется клиентом HTTP модулю доступа HTTP/CoAP. Как описано в предыдущем разделе, модуль доступа отвечает за перевод сообщения Finished в формате TLS в формат DTLS посредством добавления Начала отсчета времени и Порядкового номера в Заголовок Записи. Тем не менее, модуль доступа не может повторно вычислить Verify_Data, поскольку у него нет master_secret, который является секретом, который используют совместно клиент и сервер, договаривающиеся во время фазы подтверждения установления связи. Сообщение Finished затем отправляется серверу CoAP посредством модуля доступа.

Сервер CoAP проверяет Сообщение Клиентского Finished посредством использования функции PRF. Поскольку сообщение Клиентского Finished является типом сообщения подтверждения установления связи DTLS (известного по Заголовку Записи и заголовку Подтверждения установления связи в сообщении), то сервер CoAP вычисляет поле Verify_Data на основании всех предшествующих сообщений подтверждения установления связи DTLS (не включая само Сообщение Finished), и проверяет его по отношению к сообщению Клиентского Finished. Если проверка успешна, то Сервер CoAP отправляет DTLS версию Сообщения Серверного Finished модулю доступа. В противном случае, если проверка безуспешна, то сервер CoAP не должен инициировать (фатальное) Предупреждение об Ошибке или прекращать обмен, а вместо этого должен предположить, что клиентом является Клиент HTTP (TLS), и, следовательно, он должен вновь повторно вычислить поле Verify_Data. Тем не менее, на этот раз, он удаляет дополнительные поля DTLS во всех предшествующих сообщениях подтверждения установления связи (т.е., заменяет заголовок подтверждения установления связи DTLS заголовком подтверждения установления связи TLS и удаляет поле cookie в Сообщении ClientHello). Если это приводит к успешной проверке Сообщения Клиентского Finished, то он подтверждает, что Клиентом является Клиент HTTP (TLS). Впоследствии, он подготавливает соответствующее сообщение Серверного Finished таким образом, что оно может быть проверено клиентом HTTP (TLS), тем самым завершая протокол подтверждения установления связи для создания безопасного сквозного тоннеля между Клиентом HTTP и Сервером CoAP.

Таким образом, посредством сначала попытки проверки отправленного клиентом сообщения «Finished» как сообщения DTLS, а затем, когда данная проверка провалилась, попытки проверки сообщения «Finished» как сообщения TLS, сервер CoAP способен отличить клиента CoAP/DTLS от клиента HTTP/TLS, и сформировать соответствующее сообщение серверного «Finished» для обоих случаев. Это также показано на Фиг. 7. Если принимается 702 сообщение «Finished», то сообщение «Finished» проверяется 704 на основании протокола DTLS. Если результат проверки положительный, соответственно, если сообщение прошло проверку, то отправляется 706 сообщение «ChangeCipherSpec» в соответствии с протоколом DTLS и подтверждение установления связи завершается путем отправки 708 сообщения «Finished» DTLS. Если проверка 704 не была положительной, то содержимое DTLS удаляется 710 из заголовка принимаемого сообщения и, при необходимости, также из заголовков предшествующих сообщений. Впоследствии, сообщение «Finished» проверяется 712 на основании протокола TLS. Если проверка 712 положительная, соответственно, поле проверки сообщения «Finished» может быть проверено на основании модифицированных заголовков, то отправляется 714 сообщение «ChangeCipherSpec», за которым следует отправка 716 сообщения «Finished» TLS. Если проверка 712 не была положительной, то выдается 718 предупреждение об ошибке и соединение закрывается 720.

БЕЗОПАСНОЕ СКВОЗНОЕ СОЕДИНЕНИЕ МЕЖДУ СЕРВЕРОМ TLS И КЛИЕНТОМ COAP

В другом сценарии, как показано на Фиг. 2b, в некоторых приложениях существует возможность того, что ограниченные устройства выступают в качестве клиента, взаимодействующего с сервером в удаленном месте по сети Интернет через модуль доступа HTTP/CoAP. В такой ситуации, клиент, как правило, опрашивает, например, используя функцию GET, Сервер в отношении событий, информации, и данных. В данном сценарии, цель состоит в том, чтобы предоставить клиенту CoAP возможность исполнения сквозного безопасного подтверждения установления связи с унаследованным сервером, в то время как модуль доступа/граничный маршрутизатор не знает секрета подтверждения установления связи. В данном контексте, подтверждение установления связи (D)TLS все же инициируется клиентом CoAP посредством отправки Сообщения ClientHello Серверу TLS через Модуль доступа/Граничный Маршрутизатор, который отвечает за перевод пакетов DTLS в пакеты TLS и наоборот. Протокол Подтверждения установления связи (D)TLS остается тем же самым, как тот, что описан ранее, за исключением того, что были изменены роли двух устройств на конечных точках. Роль модуля доступа останется неизменной: он добавляет/удаляет характерные для DTLS поля при переадресации сообщений к/от клиента DTLS, соответственно.

Тем не менее, поскольку Клиент CoAP не знает о том, взаимодействует ли он с Сервером HTTP или Сервером CoAP, и поскольку важно сохранить неизменным унаследованную систему (т.е., Сервер HTTP), то требуется дополнительная логика в «TLS ext» в устройстве CoAP, чтобы гарантировать то, что протокол подтверждения установления связи (D)TLS может быть успешно завершен с Сервером TLS.

В частности, Клиент CoAP должен отправить первое сообщение Finished Серверу TLS через модуль доступа в соответствии с протоколом Подтверждения установления связи (D)TLS, тем не менее, если сообщение Finished содержит Verify_Data, вычисленные в соответствии с протоколом DTLS, тогда они не могут быть проверены Сервером TLS. Нижеследующее очерчивает возможные решения:

1. Клиент CoAP формирует два сообщения «Finished», при этом первое сообщение является сообщением «Finished» TLS, а второе сообщение является сообщением «Finished» DTLS, и отправляет эти два сообщения модулю доступа. Затем модуль доступа принимает решение в отношении соответствующего сообщения «Finished», которое должно быть переадресовано серверу TLS.

2. Клиент CoAP сначала формирует сообщение «Finished» DTLS и отправляет его серверу TLS через модуль доступа. Очевидно, что сервер TLS не сможет проверить сообщение «Finished» DTLS и отправляет сообщение decrypt_error клиенту CoAP (через модуль доступа). Поскольку данное сообщение указывает на фатальную ошибку, то подтверждение установления связи будет завершено. Тогда клиент CoAP узнает, что объект, с которым он осуществляет связь, является унаследованным сервером TLS, и повторно инициирует протокол подтверждения установления связи DTLS/TLS, гарантируя то, что теперь он формирует правильное сообщение «Finished» TLS для сервера TLS. Дополнительно, клиент DTLS может сохранять информацию о способностях сервера DTLS/TLS, и впоследствии использовать правильное сообщение «Finished» в качестве первого сообщения, что затем укорачивает обмен.

3. Клиент CoAP сначала формирует сообщение «Finished» TLS и отправляет его серверу TLS через модуль доступа. Если проверка сообщения «Finished» успешна, то создается безопасный сквозной тоннель между сервером TLS и клиентом CoAP. В противном случае, если конечной точкой является Сервер CoAP (DTLS) вместо сервера HTTP (TLS), то проверка сообщения «Finished» провалится. Тем не менее, даже несмотря на то, что проверка сообщения «Finished» провалилась, при протоколе DTLS не будет сообщаться о фатальной ошибке. Следовательно, клиент CoAP может впоследствии сформировать правильное сообщение «Finished» DTLS для Сервера CoAP (DTLS), чтобы завершить подтверждение установления связи. Преимущество данного подхода состоит в том, что Клиенту CoAP не требуется повторно инициировать подтверждение установления связи DTLS/TLS.

Фиг. 8a показывает способ 800 в соответствии с четвертым аспектом изобретения. Способ 800 служит для безопасной передачи пакетов данных между первым устройством и вторым устройством. Способ 800 содержит этапы, на которых: i) принимают 802 первый пакет данных через первую сеть, основанную на первом протоколе транспортного уровня, причем первый протокол безопасности транспортного уровня применяется поверх первого протокола транспортного уровня, ii) модифицируют 804 первый пакет данных во второй пакет данных, который должен быть отправлен через вторую сеть, основанную на втором протоколе транспортного уровня, причем второй протокол безопасности транспортного уровня применяется поверх второго протокола транспортного уровня, причем первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой один из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение, iii) отправляют 806 второй пакет данных через вторую сеть, iv) принимают 808 второй пакет данных, v) восстанавливают 810 заголовок второго пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку первого пакета, vi) проверяют 812 поле проверки безопасности второго пакета данных или третьего пакета данных на основании восстановленного заголовка первого пакета данных, при этом поле проверки формируется в соответствии с первым протоколом безопасности транспортного уровня.

Фиг. 8b показывает дополнительный способ 850 в соответствии с четвертым аспектом изобретения. Способ 850 служит для безопасной передачи пакетов данных между первым устройством и вторым устройством. Способ 850 содержит этапы, на которых: i) принимают 852 первый пакет данных через первую сеть, основанную на первом протоколе транспортного уровня, при этом первый протокол безопасности транспортного уровня применяется поверх первого протокола транспортного уровня, ii) модифицируют 854 первый пакет данных во второй пакет данных, который должен быть отправлен через вторую сеть, основанную на втором протоколе транспортного уровня, при этом второй протокол безопасности транспортного уровня применяется поверх второго протокола транспортного уровня, причем первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой один из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение, iii) отправляют 856 второй пакет данных через вторую сеть, iv) принимают 858 второй пакет данных, v) восстанавливают 860 заголовок второго пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку первого пакета, vi) формируют 862 поле проверки безопасности для третьего пакета данных, при этом поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии с первым протоколом безопасности транспортного уровня, и vii) отправляют 864 третий пакет данных через вторую сеть.

Вкратце, изобретение может быть резюмировано следующим образом: Изобретение предоставляет способы, устройства и системы связи для создания сквозных безопасных соединений и для безопасной передачи пакетов данных. Такая система связи содержит первое устройство, промежуточное устройство и второе устройство. Первое устройство осуществляется связь через первую сеть, которая основана на первом протоколе транспортного уровня и первом безопасном протоколе транспортного уровня, с промежуточным устройством. Второе устройство осуществляет связь через вторую сеть, которая основана на втором протоколе транспортного уровня и втором протоколе безопасности транспортного уровня, с промежуточным устройством. Промежуточное устройство модифицирует пакеты, принимаемые через первую сеть в пакеты пригодные для второй сети, и наоборот. Первое устройство выполнено с возможностью восстановления заголовка принимаемого пакета, как если бы пакет был отправлен через вторую сеть и ее протоколы транспортного уровня и безопасности. Кроме того, первое устройство выполнено с возможностью проверки, на основании восстановленного заголовка, полей проверки, которые формируются на основании второго протокола безопасности транспортного уровня.

Следует отметить, что вышеупомянутые варианты осуществления иллюстрируют, а не ограничивают изобретение, и что специалисты в соответствующей области будут способны разработать много альтернативных вариантов осуществления, не отступая от объема прилагаемой формулы изобретения.

В формуле изобретения, любые условные обозначения, помещенные между круглых скобок не должны толковаться как ограничивающие пункт формулы изобретения. Использование глагола «содержать» и его спряжений не исключает наличия элементов или этапов отличных от тех, что определены в пункте формулы изобретения. Формы единственного числа элемента не исключают наличия множества таких элементов. Изобретение может быть реализовано посредством аппаратного обеспечения, содержащего несколько отдельных элементов, и посредством приемлемым образом запрограммированного компьютера. В пункте формулы изобретения для устройства, перечисляющем нескольких средств, некоторые из этих средств могут быть воплощены один и тем же самым элементом аппаратного обеспечения. Тот лишь факт, что некоторые меры изложены во взаимно разных зависимых пунктах формулы изобретения не указывает на то, что сочетание этих мер, не может быть использовано для получения преимущества.

1. Система (100) связи для безопасной передачи пакетов данных между первым устройством и вторым устройством, при этом система (100) связи, содержащая:

- первую сеть (120), основанную на первом протоколе транспортного уровня,

- первое устройство (124, 136), выполненное с возможностью осуществления связи через первую сеть (120) с другими устройствами, причем первое устройство (124, 136) выполнено с возможностью применения первого протокола безопасности транспортного уровня поверх первого протокола транспортного уровня,

- вторую сеть (108), основанную на втором протоколе транспортного уровня,

- второе устройство (102), выполненное с возможностью осуществления связи через вторую сеть (108) с другими устройствами, причем второе устройство (102) выполнено с возможностью применения второго протокола безопасности транспортного уровня поверх второго протокола транспортного уровня,

- промежуточное устройство (110), выполненное с возможностью осуществления связи через первую сеть (120) с первым устройством (124, 136) и выполненное с возможностью осуществления связи через вторую сеть (108) со вторым устройством (102), и выполненное с возможностью модификации пакетов данных, принимаемых через первую сеть (120), которые сформированы в соответствии с первым протоколом безопасности транспортного уровня, в пакеты данных для осуществления связи через вторую сеть (108) в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот, при этом

- первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение,

- первое устройство (124, 136) выполнено с возможностью восстановления заголовка первого пакета данных, принимаемого от промежуточного устройства (110), таким образом, что заголовок соответствует заголовку второго пакета, который был передан вторым устройством (102) промежуточному устройству (110) и был модифицирован промежуточным устройством (110) в первый пакет данных,

- первое устройство (124) выполнено с возможностью проверки поля проверки безопасности принимаемого пакета данных на основании восстановленного заголовка первого пакета данных, причем поле проверки формируется вторым устройством в соответствии со вторым протоколом безопасности транспортного уровня.

2. Система (100) связи по п. 1, в которой первый протокол безопасности транспортного уровня и второй протокол безопасности транспортного уровня инициируют сеанс безопасной связи с протоколом подтверждения установления связи и принимаемый пакет данных является пакетом данных протокола подтверждения установления связи.

3. Система (100) связи по п. 1, в которой принимаемый пакет данных содержит код аутентификации сообщения (MAC) в качестве поля проверки безопасности для аутентификации аутентичности принимаемого пакета данных.

4. Система (100) связи по п. 1, в которой первое устройство (124, 136) выполнено с возможностью сначала проверять код проверки безопасности в соответствии с первым протоколом безопасности транспортного уровня и, если эта проверка неудачна, то восстанавливается заголовок первого пакета данных и поле проверки безопасности проверяется на основании восстановленного заголовка первого пакета данных в соответствии со вторым протоколом безопасности транспортного уровня.

5. Система (100) связи для безопасной передачи пакетов данных между первым устройством (124, 136) и вторым устройством (102), при этом система (100) связи, содержащая:

- первую сеть (120), основанную на первом протоколе транспортного уровня,

- первое устройство (124, 136), выполненное с возможностью осуществления связи через первую сеть (120) с другими устройствами, причем первое устройство (124, 136) выполнено с возможностью применения первого протокола безопасности транспортного уровня поверх первого протокола транспортного уровня,

- вторую сеть (108), основанную на втором протоколе транспортного уровня,

- второе устройство (102), выполненное с возможностью осуществления связи через вторую сеть (108) с другими устройствами, причем второе устройство (102) выполнено с возможностью применения второго протокола безопасности транспортного уровня поверх второго протокола транспортного уровня,

- промежуточное устройство (110), выполненное с возможностью осуществления связи через первую сеть (120) с первым устройством (124, 136) и осуществления связи через вторую сеть (108) со вторым устройством (102), и выполненное с возможностью модификации пакетов данных, принимаемых через первую сеть (120), которые формируются в соответствии с первым протоколом безопасности транспортного уровня, в пакеты данных для осуществления связи через вторую сеть (108) в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот,

при этом

- первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение,

- первое устройство (124, 136) выполнено с возможностью восстановления заголовка первого пакета данных, принимаемого от промежуточного устройства (110), таким образом, что заголовок соответствует заголовку второго пакета, который был передан вторым устройством (102) промежуточному устройству (110) и был модифицирован промежуточным устройством (110) в первый пакет данных,

- первое устройство (136) выполнено с возможностью формирования поля проверки безопасности для третьего пакета данных, который должен быть отправлен, причем поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии со вторым протоколом безопасности транспортного уровня.

6. Система (100) связи по п. 5, в которой первый протокол безопасности транспортного уровня и второй протокол безопасности транспортного уровня инициируют сеанс безопасной связи с протоколом подтверждения установления связи, и третий пакет данных, который должен быть отправлен, является пакетом данных протокола подтверждения установления связи.

7. Система (100) связи по п. 5, в которой первое устройство (124, 136) выполнено с возможностью отправки четвертого пакета данных, содержащего поле проверки безопасности, сформированное в соответствии с первым протоколом безопасности транспортного уровня, и отправки третьего пакета данных, содержащего поле безопасности, сформированное в соответствии со вторым протоколом безопасности транспортного уровня.

8. Система (100) связи по п. 5, в которой первое устройство (124, 136) выполнено с возможностью обнаружения того, осуществляет ли первое устройство (124, 136) связь с другим устройством, которое применяет второй протокол безопасности транспортного уровня, и при этом первое устройство (124, 136) выполнено с возможностью отправки третьего пакета данных, содержащего поле безопасности, сформированное в соответствии со вторым протоколом безопасности транспортного уровня, если первое устройство (124, 136) обнаружило, что оно осуществляет связь с другим устройством, применяющим второй протокол безопасности транспортного уровня.

9. Система (100) связи по п. 1 или 5, в которой первым сетевым протоколом связи транспортного уровня является Протокол Пользовательских Дейтаграмм, основанный на Интернет Протоколе, вторым сетевым протоколом связи транспортного уровня является Протокол Управления Передачей основанный на Интернет Протоколе, первым протоколом безопасности транспортного уровня является Протокол Дейтаграмм Безопасности Транспортного Уровня, а вторым протоколом безопасности транспортного уровня является Протокол Безопасности Транспортного Уровня.

10. Система (100) связи по п. 1 или 5, в которой первое устройство (124, 136) выполнено с возможностью применения Ограниченного Прикладного Протокола, а второе устройство выполнено с возможностью применения Протокола Передачи Гипертекста.

11. Устройство (124) приема/передачи данных для использования в системе (100) связи по п. 1, при этом устройство (124) приема/передачи данных содержит:

- первый сетевой интерфейс (126), выполненный с возможностью осуществления связи через первую сеть (120) с другими устройствами, причем первая сеть (120) основана на первом протоколе транспортного уровня, причем первый сетевой протокол является сетевым протоколом, основанным на дейтаграмме, или протоколом транспортного уровня, ориентированным на надежное соединение

- первое прикладное средство (128) протокола безопасности, выполненное с возможностью применения первого протокола безопасности транспортного уровня поверх первого протокола транспортного уровня,

при этом

- средство (130) восстановления выполнено с возможностью восстановления заголовка принимаемого первого пакета данных таким образом, что заголовок соответствует заголовку второго пакета, который был принят промежуточным устройством (110) через вторую сеть (108), основанную на втором протоколе транспортного уровня, поверх которого используется второй протокол безопасности транспортного уровня, причем первый пакет данных принимается от промежуточного устройства (110) через первую сеть (120),

- средство (132) проверки выполнено с возможностью проверки поля проверки безопасности принимаемого пакета данных на основании восстановленного заголовка первого пакета данных, причем поле проверки формируется в соответствии со вторым протоколом безопасности транспортного уровня.

12. Устройство (136) приема/передачи данных для использования в системе (100) связи по п. 5, при этом устройство (136) приема/передачи данных содержит:

- первый сетевой интерфейс (126), выполненный с возможностью осуществления связи через первую сеть (120) с другими устройствами, причем первая сеть (120) основана на первом протоколе транспортного уровня, причем первый сетевой протокол является сетевым протоколом, основанным на дейтаграмме, или протоколом транспортного уровня, ориентированным на надежное соединение,

- первое прикладное средство (128) протокола безопасности, выполненное с возможностью применения первого протокола безопасности транспортного уровня поверх первого протокола транспортного уровня,

при этом

- средство (130) восстановления выполнено с возможностью восстановления заголовка принимаемого первого пакета данных таким образом, что заголовок соответствует заголовку второго пакета данных, который был принят промежуточным устройством (110) через вторую сеть (108), основанную на втором протоколе транспортного уровня, поверх которого используется второй протокол безопасности транспортного уровня, причем первый пакет данных принимается от промежуточного устройства (110) через первую сеть,

- средство (134) формирования выполнено с возможностью формирования поля проверки безопасности для третьего пакета данных, который должен быть отправлен, причем поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии со вторым протоколом безопасности транспортного уровня.

13. Устройство (110) для приема и передачи данных между первой сетью и второй сетью для применения в системе (100) связи по любому из пп. 1 или 5, при этом устройство (110) содержит:

- первый сетевой интерфейс (126), выполненный с возможностью осуществления связи через первую сеть (120) с первым устройством (124, 136), причем первая сеть (120) основана на первом протоколе транспортного уровня,

- второй сетевой интерфейс (106), выполненный с возможностью осуществления связи через вторую сеть (108) со вторым устройством (102), причем вторая сеть (108) основана на втором протоколе транспортного уровня,

- первое прикладное средство (128) безопасности, выполненное с возможностью применения первого протокола безопасности транспортного уровня поверх первого протокола транспортного уровня,

- второе прикладное средство (104) безопасности, выполненное с возможностью применения второго протокола безопасности транспортного уровня поверх второго протокола транспортного уровня, причем первый или второй сетевой протокол является сетевым протоколом, основанным на дейтаграмме, а другой из первого или второго сетевого протокола является протоколом транспортного уровня, ориентированным на надежное соединение, и

- средство (122) модификации, выполненное с возможностью модификации пакетов данных, принимаемых через первую сеть (120), и которые формируются в соответствии с первым протоколом безопасности транспортного уровня, в пакеты данных для осуществления связи через вторую сеть (108) в соответствии со вторым протоколом безопасности транспортного уровня, и наоборот.

14. Способ (800) безопасной передачи пакетов данных между первым устройством и вторым устройством, при этом способ (800) содержит этапы, на которых:

- принимают (802) первый пакет данных через первую сеть, основанную на первом протоколе транспортного уровня, причем первый протокол безопасности транспортного уровня применяется поверх первого протокола транспортного уровня,

- модифицируют (804) первый пакет данных во второй пакет данных, который должен быть отправлен через вторую сеть, основанную на втором протоколе транспортного уровня, причем второй протокол безопасности транспортного уровня применяется поверх второго протокола транспортного уровня, причем первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой один из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение,

- отправляют (806) второй пакет данных через вторую сеть,

- принимают (808) второй пакет данных,

- восстанавливают (810) заголовок второго пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку первого пакета,

- проверяют (812) поле проверки безопасности принимаемого пакета данных на основании восстановленного заголовка первого пакета данных, при этом поле проверки формируется в соответствии с первым протоколом безопасности транспортного уровня.

15. Способ (850) безопасной передачи пакетов данных между первым устройством и вторым устройством, при этом способ (850) содержит этапы, на которых:

- принимают (852) первый пакет данных через первую сеть, основанную на первом протоколе транспортного уровня, при этом первый протокол безопасности транспортного уровня применяется поверх первого протокола транспортного уровня,

- модифицируют (854) первый пакет данных во второй пакет данных, который должен быть отправлен через вторую сеть, основанную на втором протоколе транспортного уровня, при этом второй протокол безопасности транспортного уровня применяется поверх второго протокола транспортного уровня, причем первый протокол транспортного уровня или второй протокол транспортного уровня является сетевым протоколом, основанным на дейтаграмме, а другой один из первого протокола транспортного уровня или второго протокола транспортного уровня является протоколом транспортного уровня, ориентированным на надежное соединение,

- отправляют (856) второй пакет данных через вторую сеть,

- принимают (858) второй пакет данных, восстанавливают (860) заголовок второго пакета данных, принимаемого от промежуточного устройства, таким образом, что заголовок соответствует заголовку первого пакета,

- формируют (862) поле проверки безопасности для третьего пакета данных, при этом поле проверки безопасности формируется на основании восстановленного заголовка первого пакета данных и формируется в соответствии с первым протоколом безопасности транспортного уровня,

- отправляют (864) третий пакет данных через вторую сеть.



 

Похожие патенты:

Изобретение относится к способам и системам информационного взаимодействия бортовых электронно-вычислительных машин с периферийными устройствами, в частности с навигационными приборами и устройствами.

Изобретение относится к электросвязи. Технический результат - возможность оценки помехозащищенности линий радиосвязи в условиях, когда они не подвержены подавлению преднамеренными помехами.

Изобретение относится к технологиям сетевой связи. Технический результат заключается в повышении скорости передачи данных.

Изобретение относится к электросвязи, в частности к способам оценки информационного обмена в системах связи. Техническим результатом изобретения является повышение точности оценки КПД передачи информации за счет учета воздействия на систему связи помех путем дополнительной оценки параметра помехоустойчивости и уточнения с ее помощью оценки КПД передачи информации.

Изобретение относится к приемному устройству, способу приема и программе, способным воспрепятствовать выполнению любого процесса, не предусмотренного пользователем, когда услуга вещания данных реализуется посредством переходов документов.

Изобретение относится к области медицины, а именно к офтальмологии. Предложена система офтальмологической линзы, обеспечивающая беспроводную связь с внешним устройством.

Изобретение относится к области установки приложений на цифровое электронное устройство. Техническим результатом является эффективная одновременная установка приложений на цифровое электронное устройство с помощью восстановления ложного резервного архива.

Изобретение относится к области приемо-передающих устройств радиосвязи и предназначено для применения в комплексах с БПЛА для передачи широкополосной информации с борта на базовую станцию либо на другой борт.

Изобретение относится к системам управления и диагностики. Технический результат заключается в повышении надежности и достоверности передачи информационных сообщений.

Изобретение относится к передаче или подготовке к передаче потока устройства доступа, такого как поток медиа. Технический результат - разработка концепции передачи или концепции подготовки передачи, которая позволяет передачу с низкой полосой пропускания и быструю синхронизацию потоков устройств доступа через основной способ передачи или слой.

Изобретение относится к системе мобильной связи. Технический результат изобретения заключается в предоставлении более надежных и точных сигналов тревоги, что позволяет изменять модель дорожного движения. Сервер выполняет аналитические алгоритмы, которые анализируют данные, полученные от различных источников данных и сигналов для разработки прогнозов о вероятности будущих предупреждений или угроз на географических местоположениях. Сервер передает прогнозы на устройства связи на основе географического местоположения, соответствующего каждому устройству связи. Система связи интегрирует данные через интерфейсы между компонентами сбора данных и устройствами мобильной связи, которые включают в себя элемент связи. Элемент связи передает информацию между компонентами сбора информации и устройством мобильной связи. Интерфейс пользователя устройства мобильной связи может передавать информацию пользователю детектора электромагнитного сигнала. 5 н. и 34 з.п. ф-лы, 20 ил.

Изобретение относится к способу оценки помехозащищенности линий радиосвязи приемного радиоцентра (ПРЦ). Технический результат заключается в обеспечении возможности оценивать помехозащищенность линий радиосвязи ПРЦ по результатам сравнения истинных значений дистанций связи с рассчитанными значениями с учетом градаций мощности передатчиков корреспондентов. Для этого измеряют уровни мощности сигнала в отсутствии помех и при воздействии помех для любой из работающих линий радиосвязи ПРЦ, вычисляют уровень мощности помехи, а затем рассчитывают дистанцию связи с корреспондентами, при которой возможна передача информации в условиях воздействия помех с заданным качеством для каждой из градаций мощности передатчиков корреспондентов. При этом решение о помехозащищенности линий радиосвязи принимают по результатам сравнения истинных значений дистанций связи с корреспондентами с рассчитанными значениями дистанций связи с учетом градаций мощности передатчиков корреспондентов. 1 ил.

Изобретение относится к мобильным системам передачи данных. Технический результат заключается в повышении эффективности передачи данных в соответствии с изменением состояния передачи. Передачу данных между устройством управления и устройством базовой станции выполняют, используя размер данных фиксированной длины и размер данных переменной длины. Устройство управления передает информацию, обозначающую, имеет ли размер данных при передаче данных фиксированную длину или переменную длину. Устройство базовой станции принимает информацию из устройства управления. 2 н. и 2 з.п. ф-лы, 13 ил.

Изобретение относится к способам и системам информационного взаимодействия бортовых информационно-вычислительных средств с периферийными устройствами, в частности с блоком управления двигателями. Технический результат заключается в повышении надежности взаимодействия вычислителя с блоком управления двигателями мобильного роботизированного комплекса. В способе обеспечивают прием и передачу информации через вычислительные средства по каналам связи на терминалы управления - автоматизированные рабочие места и периферийные устройства комплекса, пакетную передачу данных, управление параметрами и режимами блока управления двигателями мобильного роботизированного комплекса посредством передачи в информационный поток сообщения CONTROL, в ответ на это сообщение блок управления двигателями передает в информационный поток сообщение RECONTROL. Ответ на команду управления RECONTROL, поле команды содержит сведения о размере передаваемого пакета, блок ответных сообщений по установленному в блоке управления двигателями режима работы, ответ на запрос на получение разрешения на управление движением комплекса, блок ответных сообщений по фактическому наличию предупреждений и ошибок при работе комплекса. 1 ил., 2 табл.

Изобретение относится к области коммуникационных технологий. Технический результат изобретения заключается в возможности осуществления процедуры перезаписи устройства аутентификации самостоятельно самим пользователем для выбора и использования услуги сети оператора. Устройство управления связью, осуществляющее управление устройством аутентификации, реализованное на терминале мобильной связи, содержит: первый блок получения информации, выполненный с возможностью получения идентификационной информации устройства аутентификации; первый блок аутентификации, выполненный с возможностью передачи идентификационной информации на сервер, так что сервер подтверждает подлинность устройства аутентификации; второй блок получения информации, выполненный с возможностью получения ключа сеанса и информации для установки атрибутов; первый передающий блок для передачи ключа сеанса и информации для установки атрибутов, зашифрованной посредством ключа сеанса, на устройство аутентификации, причем информация для установки атрибутов содержит международный идентификатор мобильного абонента (IMSI) и идентификатор ключа (Ki). 3 н. и 3 з.п. ф-лы, 4 ил.

Изобретение относится к технологиям сетевой связи. Технический результат заключается в повышении безопасности передачи данных. Предлагается способ обнаружения интеллектуального устройства, который применяют в терминале и который включает: установление прямого соединения с интеллектуальным устройством; отправку в интеллектуальное устройство команды обнаружения для обеспечения выполнения интеллектуальным устройством сетевого подключения в соответствии с командой обнаружения; прием информации о результатах сетевого подключения, возвращенной интеллектуальным устройством; и отображение информации о результатах сетевого подключения. 6 н. и 8 з.п. ф-лы, 11 ил.

Изобретение относится к способу и устройству для авторизации операции, а именно относится к области сетевой безопасности. Технический результат заключается в повышении надежности авторизации. Способ включает в себя: получение данных движения, собираемых носимым устройством, определение, соответствуют ли данные движения физическому движению для верификации; и в случае если данные движения соответствуют физическому движению, используемому для верификации, авторизацию на выполнение заранее определенной операции, соответствующей физическому движению для верификации. В настоящем изобретении, личность пользователя подтверждается путем использования носимого устройства, собирающего данные движения. 3 н. и 13 з.п. ф-лы, 16 ил.

Изобретение относится к мобильным робототехническим комплексам. Технический результат заключается в повышении надежности информационно-технического взаимодействия мобильного робототехнического комплекса. В способе осуществляют прием и передачу информации через вычислительные средства по каналам связи на терминалы управления - автоматизированные рабочие места и периферийные устройства комплекса, пакетную передачу данных. Терминалы управления - автоматизированные рабочие места оператора-водителя и оператора-разведчика - обмениваются информацией с составными частями мобильного робототехнического комплекса: информационно-управляющим вычислителем, блоком обработки видеоизображения, блоком управления двигателем, системой предупреждения столкновений, информационно-техническое сопряжение информационно-управляющего вычислителя с составными частями мобильного робототехнического комплекса по интерфейсу Ethernet определено в частных протоколах сопряжения с этими составными частями, на автоматизированное рабочее место оператора-водителя поступают данные телеметрии информационно-управляющего вычислителя, системы управления движением, системы топопривязки и навигации и ее ответы на команды управления, данные о препятствиях, данные целевой нагрузки, видеопоток, телеметрия и ответы на вопросы с блока обработки видеоизображения. 1 ил., 5 табл.

Изобретение относится к системе передачи данных для связи мобильных устройств с внешними датчиками и исполнительными устройствами. Технический результат – расширение функциональных возможностей за счет обеспечения возможности передачи данных на внешние и получения данных от внешних сигнальных устройств. Для этого предусмотрено мобильное устройство, устройство приема данных, устройство передачи данных, блок управления, блок формирования сигналов для подачи на внешние исполнительные устройства, блок обработки данных, принимаемых от внешних сигнальных устройств, внешние исполнительные устройства, внешние сигнальные устройства, причем мобильное устройство подключено к устройству приема данных и к устройству передачи данных, устройство приема данных и устройство передачи данных подключены к блоку управления, блок формирования сигналов для подачи на внешние исполнительные устройства и блок обработки данных, принимаемых от внешних сигнальных устройств, подключены к блоку управления, внешние сигнальные устройства подключены к блоку обработки данных, принимаемых от внешних сигнальных устройств, внешние исполнительные устройства подключены к блоку формирования сигналов для подачи на внешние исполнительные устройства. 1 ил.

Изобретение относится к технологиям сетевой связи. Технический результат заключается в повышении скорости передачи данных. Способ включающий: определение неактивного пользователя; оценку, находится ли упомянутый неактивный пользователь в состоянии, допускающем активацию; если неактивный пользователь не находится в состоянии, допускающем активацию, невыполнение никакой операции; и если неактивный пользователь находится в состоянии, допускающем активацию, передачу неактивному пользователю информации напоминания; при этом оценка, находится ли неактивный пользователь в состоянии, допускающем активацию, включает: получение записи общения другого, активного пользователя; оценку, содержит ли упомянутая запись общения запись общения с упомянутым неактивным пользователем; и если это так, определение, что неактивный пользователь находится в состоянии, допускающем активацию. 3 н. и 8 з.п. ф-лы, 8 ил.
Наверх