CN1832490B - 用于安全地设置客户机设备的方法和系统 - Google Patents

用于安全地设置客户机设备的方法和系统 Download PDF

Info

Publication number
CN1832490B
CN1832490B CN2005101290820A CN200510129082A CN1832490B CN 1832490 B CN1832490 B CN 1832490B CN 2005101290820 A CN2005101290820 A CN 2005101290820A CN 200510129082 A CN200510129082 A CN 200510129082A CN 1832490 B CN1832490 B CN 1832490B
Authority
CN
China
Prior art keywords
network address
described client
equipment
client
client computes
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN2005101290820A
Other languages
English (en)
Other versions
CN1832490A (zh
Inventor
C·C·乔伊
V·P·卡玛斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN1832490A publication Critical patent/CN1832490A/zh
Application granted granted Critical
Publication of CN1832490B publication Critical patent/CN1832490B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields

Abstract

所公开的是一种用于通过在动态配置过程中认证客户机来安全地设置客户机的机制。本发明将安全和动态配置组合成统一的方案，而非依赖于配置后认证方案。尝试访问网络的任何客户机设备可向与该网络相关联的配置服务器请求配置信息，但是服务器在客户机成功地将其自身认证为经授权可接收该网络的配置信息的设备之前不遵从该请求。配置服务器可向客户机提供允许客户机继续认证过程但拒绝客户机对网络的完全访问的临时配置信息。在成功认证之后，服务器可向客户机给予新的非临时配置信息，或者可将已给出的信息的状态从临时改为给予更完全访问的状态。

Description

用于安全地设置客户机设备的方法和系统
技术领域
本发明一般涉及计算机通信，尤其涉及远程地设置客户机设备。
背景技术
过去，一旦计算机被配置成用于其自己的环境，该配置很少或从不改变。然而，在当今的动态计算环境中，计算机可能需要经常改变其配置。例如，当移动计算机从一个无线网络移至另一无线网络时，它可能将其网络地址改为与该新的网络兼容的地址。同样，当计算机临时加入一特别联网组时，管理和安全策略可能要求计算机将其配置改为对该特别组更可接受的配置。在第三个示例中，某些计算机在每次通过因特网服务供应商(ISP)接入因特网时改变其配置，至少改变其网络地址。
开发了协议以支持动态配置的各方面。作为一个示例，DHCP，即动态主机配置协议向请求计算机提供了IP(网际协议)地址以及其它网络配置信息。DHCP使用了一种客户机—服务器模型，其中需要IP地址的客户机计算机向DHCP服务器请求IP地址。在某些情况下，由ISP提供的DHCP服务器控制IP地址的池。在接收到客户机的请求之后，DHCP服务器执行三种地址分配模式中的一种。在“自动分配”模式中，DHCP服务器从其池中选择一未使用的IP地址，并永久地将其分配给请求客户机。在“手动分配”模式中，网络管理员选择地址。对于动态配置更有意思的是，在“动态分配”模式中，DHCP服务器将当前未使用的IP地址分配给客户机，但是这一动态地址仅对DHCP服务器所设置的一有限的时间段有效，或者仅在客户机明确地放弃对该地址的使用之前有效。无论使用的分配模式是什么，DHCP服务器都通过向客户机通知分配给它的IP地址以及在动态分配的情况下通知分配的时间段来响应客户机的请求。如果DHCP服务器不能提供IP地址(可能由于其池中的所有地址当前都在使用中)，则DHCP服务器向客户机通知这一事实，且客户机必须等待直到稍后能够访问网络。
在任何动态计算系统中，应当将配置的简易性与安全问题相平衡。许多机构建立了一种动态网络来执行该机构的内部(即，私有)工作，且如果允许非授权的计算机动态地配置其本身并加入网络，则该机构可能受到损害。虽然它们有用，但包括DHCP的动态配置协议一般在安全领域是脆弱的。通过严重地依赖于配置后过程(诸如基于加密密钥的认证机制)来保护其网络，某些配置服务器不经意地允许欺诈的客户机。尽管配置后方案通常如同声称的那样工作以限制欺诈客户机的访问和可能的危害，然而欺诈客户机甚至在被迫服从配置后保护方案并假定它们会失败之前也可完成某些危害。
发明内容
鉴于以上原因，本发明提供了一种通过在动态配置过程中认证客户机来安全地设置客户机的机制。本发明将安全和动态配置组合成统一的方案，而非依赖于配置后认证方案。
尝试访问网络的任一客户机设备可向与该网络相关联的配置服务器请求配置信息，但是服务器在客户机成功地将其自身认证为经授权可接收网络的配置信息的设备之前不会遵从该请求。在一个实施例中，配置服务器可向客户机提供临时配置信息，例如临时网络地址，该临时配置信息允许客户机继续认证过程，但是拒绝客户机对网络的完全访问。在成功的认证之后，服务器可给予客户机新的、非临时的配置信息，或者可将已给出的信息的状态从临时改为给予更完全访问的状态。
在一个实施例中，本发明使用了现有的动态配置协议，诸如DHCP，而无需改变该协议。在认证过程中使用的消息被输入现有的配置消息中，例如被输入DHCP消息的选项字段中。
在另一实施例中，本发明将现有的安全协议用于动态配置环境。例如，可不加修改地使用可扩展认证协议(EAP)作为为用于本发明的许多安全任务的认证框架。
组合先前两段的实施例，可将EAP消息输入DHCP消息的选项字段中。当客户机请求配置信息时，它在其DHCP消息中包括一EAP能力选项。继续EAP，直到客户机向DHCP服务器认证其自身(并且在某些情形中，服务器向客户机认证其自身)。在这一点上，DHCP服务器可通过提供所请求的配置信息来响应该初始请求。
作为安全的动态设置机制的一部分，配置服务器可应用为它所服务的网络设立的策略。例如，所提供的配置信息可在持续时间或范围上有限制。
附图说明
尽管所附权利要求书以细节陈述了本发明的特征，然而当结合附图阅读以下详细描述时，可以最好地理解本发明及其目的和优点，附图中：
图1是示出尝试加入由安全配置服务器“保护”的网络的客户机设备的框图；
图2是概括地示出支持本发明的一个示例性计算设备的示意图；
图3a到3c共同是示出客户机和安全配置服务器之间的示例性交换的逻辑流程图；
图4a和4b共同是示出DHCP和EAP消息如何可用于实现安全配置方案的通信流图；以及
图5是被输入DHCP消息的选项字段的EAP消息的数据结构图。
具体实施方式
转向附图，本发明被示出为在一合适的计算环境中实现，附图中，相同的标号指相同的元素。以下描述基于本发明的实施例，并且不应当被认为是对于此处未明确描述的替换实施例而限制本发明。
在以下描述中，围绕本发明的环境是参考由一个或多个计算设备执行的动作和操作的符号表示来描述的，除非另外指明。由此，可以理解，这类动作和操作，有时称为计算机执行的，包括计算设备的处理单元对以结构化形式表示数据的电信号的操纵。这一操纵转换了数据或在计算设备的存储器系统中的位置上维护它，从而以本领域的技术人员都理解的方式重配置或改变了设备的操作。维护数据的数据结构是存储器的物理位置，具有数据的格式所定义的具体特性。然而，尽管在上述的上下文环境中描述本发明，它并不意味着限制，如本领域的技术人员所理解的，后文所描述的动作和操作的各方面也可以用硬件实现。
图1对于呈现本发明的各方面的综述是有用的。之后是参考其它附图的更详细描述。图1中示出了受保护的网络100。此处，“受保护”仅意味着网络100对非授权用户关闭。安全性是由一组配置参数来实施的：已经在网络100中的设备102具有正确的配置参数，且因此可以自由地彼此通信。如配置客户机106等外来者没有该组正确的配置参数，因此不能与这些设备102通信。由于配置客户机106希望加入网络100，因此它寻求通过“保护”网络100的安全配置服务器104的准许进入。作为网络100的网关，任何外部设备可自由地与安全配置服务器104通信。
在接收到配置客户机106加入网络100的请求之后，但是在向配置客户机106提供一组正确的配置参数之前，安全配置服务器104迫使配置客户机106认证其自身，即，证明它是经授权可加入网络100的设备。授权最初是如何设立的已超出了本发明的范围，但是众多方法在本领域中是公知的。
配置客户机106接着向安全配置服务器104证明其身份。这一认证过程的详细示例随图3a到3c、4a、4b和5示出。在某些网络中，安全配置服务器也向请求配置客户机证明其身份。这一双向或相互认证通过防止欺诈设备假扮网络的安全配置服务器来增强网络的安全性。
如果认证过程成功完成，则安全配置服务器104知道配置客户机106经授权可加入网络100。安全配置服务器104然后向配置客户机106提供一组适当的配置参数，且配置客户机106使用这些参数来加入网络100，并自由地与已在网络100中的其它设备102通信。
最终，配置客户机106离开网络100。这可以是任凭配置客户机106处理的，或者提供给它的该组配置参数可能过期。在任何情况下，这些配置参数不再有效，并且只要配置客户机106希望重新加入网络100，它就重复上述过程。
图1的情形被故意地简化，以集中于本发明的相关方面。图1的安全配置服务器104在某些网络中可以实际上是与单独的安全服务器一起工作的配置服务器。安全配置服务器104(无论如何描述)也可能实际上不驻留在网络100中：位于网络100中的中继代理可将配置和认证消息传输到位于远程的安全配置服务器。中继代理消除了在每一安全网络分段上具有安全配置服务器的需要。
图1的配置客户机106和安全服务器104可以是任何体系结构。图2是概括地示出支持本发明的一个示例性计算机系统的框图。图2的计算机系统仅为合适的环境的一个示例，并非对本发明的使用范围或功能提出任何局限。也不应将客户机106或安全配置服务器104解释为对图2中所示的任一组件或其组合具有任何依赖或需求。本发明可以使用众多其它通用或专用计算环境或配置来操作。适合使用本发明的众所周知的计算系统、环境和配置的示例包括但不限于，个人计算机、服务器计算机、手持式或膝上设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费者电子设备、网络PC、小型机、大型机、包括任一上述系统或设备的分布式计算环境等等。在其最基本的配置中，客户机106和安全配置服务器104通常包括至少一个处理单元200和存储器202。存储器202可以是易失性(如RAM)、非易失性(如ROM、闪存等)或两者的某一组合。这一最基本配置在图2中由虚线204示出。客户机106和安全配置服务器104可具有另外的特征或功能。例如，它们可包括附加的存储(可移动和/或不可移动)，包括但不限于磁盘、光盘和磁带。这类附加存储在图2中由可移动存储206和不可移动存储208示出。计算机存储介质可包括以用于储存如计算机可读指令、数据结构、程序模块或其它数据等信息的任一方法和技术实现的易失性和非易失性、可移动和不可移动介质。存储器202、可移动存储206和不可移动存储208都是计算机存储介质的示例。计算机存储介质包括但不限于，RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字多功能盘(DVD)、其它光存储、盒式磁带、磁带、磁盘存储或其它磁存储设备、以及可以用来储存期望的信息并可由客户机106或安全配置服务器104访问的任一其它介质。任一这类计算机存储介质可以是客户机106或安全配置服务器104的一部分。客户机106和安全配置服务器104也可包含允许它们与其它设备，包括网络100上的设备进行通信的通信信道210。通信信道210是通信介质的示例。通信介质通常可以具体化为诸如载波或其它传输机制等已调制数据信号中的计算机可读指令、数据结构、程序模块或其它数据，并包括任一信息传送介质。术语“已调制数据信号”指以对信号中的信息进行编码的方式设置或改变其一个或多个特征的信号。作为示例而非局限，通信介质包括光学介质、有线介质，如有线网络或直接连线连接，以及无线介质，如声学、RF、红外和其它无线介质。本发明使用的术语“计算机可读介质”包括存储介质和通信介质两者。客户机106和安全配置服务器104也可具有输入设备212，诸如触敏显示屏、硬件键盘、鼠标、语音输入设备等。输出设备214包括设备本身，诸如触敏显示屏、扬声器和打印机，以及用于驱动这些设备的呈现模块(通常被称为“适配器”)。所有这些设备在本领域中是公知的，并且无需在此详细讨论。客户机106和安全配置服务器104的每一个都具有电源216。
深入图1的综述，图3a到3c提供了依照本发明的示例性安全配置方案的细节。为说明起见，这些附图的逻辑流程图包括可能无法在给定实施例中应用的选项和变体。具体地，附图中的步骤表示逻辑任务，并且不必要与个别消息一对一地对应。特定实施例的更具体细节，包括消息交换和消息格式参考图4a、4b和5来讨论。
图3a的逻辑在步骤300开始，其中配置客户机106向安全配置服务器104请求对网络100上的使用有效的一组配置参数。安全配置服务器104并非直接遵从该请求，而是在步骤302要求配置客户机106认证其自身。在某些实施例中(尤其见图4a的步骤400)，配置客户机106不等待安全配置服务器104请求认证；相反，配置客户机106与其初始配置请求同时开始认证。
存在某些网络配置，其中配置客户机106需要使用一组有效的配置参数来继续与安全配置服务器104通信。这是有点类似Catch-22：为安全原因，安全配置服务器104在配置客户机106将其自身认证为经授权可接收有效配置信息之前不希望向客户机106提供这类信息，但是在客户机106具有一组有效参数以前，认证过程可能无法继续。对于本发明的某些实施例，步骤304和306提出了一种离开这一两难困境的方法。在步骤304，安全配置服务器104向配置客户机106提供一组有效的配置参数，使得客户机106可继续认证过程。然而，所提供的配置信息尽管是有效的，却是“临时的”，并且仅在认证期间有用。例如，配置信息可包括一IP地址，它将该地址的用户标记为未完全认证。在步骤306，配置客户机106接收该临时配置信息，并在认证过程的剩余部分中使用它。在某些情况下，临时配置信息防止配置客户机106与网络100中除安全配置服务器104以外的任何设备交谈：配置客户机106被称为是“隔离的”。
在步骤308，配置客户机106和安全配置服务器104继续通过认证过程。许多这样的认证过程在本领域中是公知的，且其任一个可在此处使用。在某些实施例中，在配置客户机106和安全配置服务器104之间协商要使用的特定的认证过程。如上文关于图1所述的，认证过程可以是相互认证，其中配置客户机106和安全配置服务器104彼此向对方认证其自身。
如果认证过程失败，则当然配置客户机106被拒绝访问网络100。如果配置客户机106在步骤306接收到临时配置信息，则由于该信息可具有的有限用途，网络100仍是安全的。如果认证过程成功，则在图3b的步骤310，安全配置服务器104在网络100中的适当地方应用策略(如果有的话)，以决定如何提供所请求的配置信息。例如，这些策略可限制配置信息的持续时间或使用范围(例如，该信息仅对一小时的“租期”有效)。
如果可能，则在步骤312，安全配置服务器104向配置客户机106提供所请求的配置信息，并在步骤310提供关于由策略设置的对使用的任何限制的信息。当然，如果网络100耗尽了满足该请求所需的资源(例如，所有可分配的IP地址都已在使用中)，则即使认证过程成功，配置过程也失败。在某些实施例中，在继续认证过程之前检查资源可用性，且安全配置服务器104可在该基础上拒绝配置请求，而非在步骤302中开始认证过程。然而，这不是较佳的，因为它向尚未被认证并且可能能够使用机密信息危害网络100的配置客户机106提供了机密信息(网络100资源不足)。
步骤314表明，如果在步骤304向配置客户机106提供了临时配置信息，则在某些实施例中，安全配置服务器104可选择仅将该信息的状态改为非临时，而非发送一组新的配置参数。任一情况下的效果都是相同的。
随着认证的完成以及手边拥有了非临时配置信息，配置客户机106现在是网络100上的设备，且在图3c的步骤316，能够与其它设备102(服从施加在所提供的配置信息上的任何策略限制)进行通信。这持续到步骤318，其中配置客户机106选择放弃所提供的配置信息，或者信息的租期过期。在后一情况下，安全配置服务器104将所提供的配置信息标记为无效。在任一情况下，客户机106退出网络100，并且如果它希望继续通信，则重复安全配置过程(步骤320)。
伴随图3a到3c的讨论被保持在较高的级别上，以示出本发明的应用的广度(然而，该广度最终是由所附权利要求书的范围而非本说明书中的任何说明来定义的)。为进一步讨论，图4a和4b提出了本发明的一个特定实施例。
尽管一般而言，任一方可发起安全配置过程，然而在图4a的步骤400，配置客户机106通过向安全配置服务器104发送DHCP Discover(发现)消息来发起该过程。该DHCP消息包含客户机106对配置信息的请求。被输入DHCP Discover消息的选项字段中的是配置客户机106准备好使用EAP来认证其自身的通知。这两种协议，即DHCP和EAP在本领域中都是公知的，因此其细节无需在此讨论。它们分别在因特网工程任务组的因特网标准草案2131和3748中定义，这些草案通过引用整体结合于此。
由于安全配置服务器104不向未认证的客户机提供配置信息，因此它在步骤402用在其选项字段内包含请求配置客户机106的身份的EAP消息的DHCP Offer(提供)消息来响应。配置客户机在步骤404通过发送包含其身份的EAP消息来响应。该EAP消息也包含在DHCP消息的选项字段内。
EAP允许配置客户机106和安全配置服务器104协商并使用多种认证机制中的任一种。在步骤406和408，两方通过EAP以及它们所选择的认证机制的细节继续。在某些实施例中，EAP不许要为本发明的目的而以任何方式来改变，并且因此，本领域中已知的EAP的细节也适用于此。在步骤406和408，如在图4a先前的步骤中，EAP消息被输入DHCP消息的选项字段。
如果认证过程继续到成功的结束，则安全配置服务器104接受配置客户机106的真实性，并且在图4b的步骤410，发送输入DHCP ACK消息的选项字段中的EAP Success(成功)消息。该DHCP消息也包括所请求的配置信息。
当配置客户机106用网络100完成工作之后，它通过在步骤412发送DHCPRelease(释放)消息来放弃该配置信息。
图5是DHCP消息500的示例性数据结构，在其选项字段502中包含EAP消息504。EAP消息的中心是其数据字段506。通过将公知的配置协议DHCP与公知的认证框架协议EAP组合，本发明的实施例向配置过程提供了安全性，而无需对任一协议的任何改变。
鉴于可应用本发明的原理的许多可能的实施例，应当认识到，此处相对于附图所描述的实施例仅意味着说明性的，并不应当被理解为限制本发明的范围。本领域的技术人员将认识到，诸如配置和认证协议等某些实现细节是由具体情况来确定的。尽管本发明的实施例是按照软件模块或组件来描述的，然而某些过程也可由硬件组件来等效地执行。因此，此处所描述的本发明预期所有这些实施例都落入所附权利要求书及其等效技术方案的范围之内。

Claims (21)

1.一种在客户机/服务器计算环境中用于安全地向客户机计算设备提供网络地址的方法，所述方法包括：
由所述客户机计算设备请求网络地址；
由服务器计算设备接收所述客户机计算设备对网络地址的请求；
由所述服务器计算设备向所述客户机计算设备提供一临时网络地址，以允许在认证客户机计算设备之前所述客户机计算设备有限的网络访问：
尝试向所述服务器计算设备认证所述客户机计算设备；
尝试向所述客户机计算设备认证所述服务器计算设备；以及
如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，且如果所述服务器计算设备被认证为准许提供所述客户机/服务器计算环境中的网络地址，则：
由所述服务器计算设备标识对所述客户机/服务器计算环境适当且当前未分配给计算设备的网络地址；
由所述服务器计算设备向所述客户机计算设备分配所标识的网络地址；
由所述服务器计算设备向所述客户机计算设备提供所分配的网络地址；以及
由所述客户机计算设备接收所分配的网络地址，
其中，所述请求包括使用DHCP，其中，尝试认证包括使用EAP，且其中，EAP消息被输入DHCP选项字段。
2.如权利要求1所述的方法，其特征在于，所分配的网络地址是网际协议IP地址。
3.如权利要求1所述的方法，其特征在于，尝试认证是由所述客户机计算设备发起的。
4.如权利要求1所述的方法，其特征在于，尝试认证是由所述服务器计算设备发起的。
5.如权利要求1所述的方法，其特征在于，标识网络地址即使在所述客户机计算设备不被认证为准许接收所述客户机/服务器环境中的网络地址时也被执行。
6.如权利要求1所述的方法，其特征在于，还包括：
由所述客户机计算设备在尝试认证期间使用临时网络地址。
7.如权利要求6所述的方法，其特征在于，所述临时网络地址是由所述服务器计算设备分配给所述客户机计算设备以供有限使用的。
8.如权利要求6所述的方法，其特征在于，如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，则所分配的网络地址与所述临时网络地址相同。
9.一种在客户机/服务器计算环境中用于服务器计算设备安全地向客户机计算设备提供网络地址的方法，所述方法包括：
接收客户机计算设备对网络地址的请求；
向所述客户机计算设备提供一临时网络地址，以允许在认证客户机计算设备之前所述客户机计算设备有限的网络访问；
尝试向所述客户机计算设备认证所述服务器计算设备；
尝试向所述服务器计算设备认证所述客户机计算设备；以及
如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，且如果所述服务器计算设备被认证为准许提供所述客户机/服务器计算环境中的网络地址，则：
标识对所述客户机/服务器计算环境适当且当前未分配给计算设备的网络地址；
向所述客户机计算设备分配所标识的网络地址；以及
向所述客户机计算设备提供所分配的网络地址，
其中，尝试认证包括使用EAP，EAP消息被输入DHCP选项字段中。
10.如权利要求9所述的方法，其特征在于，所分配的网络地址是IP地址。
11.如权利要求9所述的方法，其特征在于，尝试认证是由所述服务器计算设备发起的。
12.如权利要求9所述的方法，其特征在于，标识网络地址即使在所述客户机计算设备不被认证为准许接收所述客户机/服务器环境中的网络地址时也被执行。
13.如权利要求9所述的方法，其特征在于，还包括：
所述临时网络地址供尝试认证期间使用。
14.如权利要求13所述的方法，其特征在于，如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，则所分配的网络地址与所述临时网络地址相同。
15.一种在客户机/服务器计算环境中用于客户机计算设备获得网络地址的方法，所述方法包括：
请求网络地址；
获得一临时网络地址，以允许在认证客户机计算设备之前所述客户机计算设备有限的网络访问；
尝试向服务器计算设备认证所述客户机计算设备；
尝试向所述客户机计算设备认证所述服务器计算设备；以及
如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，且如果所述服务器计算设备被认证为准许提供所述客户机/服务器计算环境中的网络地址，则接收分配的网络地址，
其中所述请求包括使用DHCP，其中，尝试认证包括使用EAP，且其中，EAP消息被输入DHCP选项字段。
16.如权利要求15所述的方法，其特征在于，所分配的网络地址是IP地址。
17.如权利要求15所述的方法，其特征在于，尝试认证是由所述客户机计算设备发起的。
18.如权利要求15所述的方法，其特征在于，还包括由所述客户机计算设备在尝试认证期间使用所述临时网络地址。
19.如权利要求18所述的方法，其特征在于，如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，则所分配的网络地址与所述临时网络地址相同。
20.一种用于在客户机/服务器计算环境中安全地向客户机计算设备提供网络地址的系统，所述系统包括：
客户机计算设备，它被配置成请求网络地址、尝试向服务器计算设备认证所述客户机计算设备、尝试向所述客户机计算设备认证所述服务器计算设备、以及如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，且如果所述服务器计算设备被认证为准许提供所述客户机/服务器计算环境中的网络地址，则接收分配的网络地址，其中，所述请求包括使用DHCP，其中，尝试认证包括使用EAP，且其中，EAP消息被输入DHCP选项字段；以及
服务器计算设备，它被配置成接收所述客户机计算设备对网络地址的请求、向所述客户机计算设备提供一临时网络地址，以允许在认证客户机计算设备之前所述客户机计算设备有限的网络访问、尝试向所述服务器计算设备认证所述客户机计算设备、尝试向所述客户机计算设备认证所述服务器计算设备、以及如果所述客户机计算设备被认证为准许接收所述客户机/服务器计算环境中的网络地址，且如果所述服务器计算设备被认证为准许提供所述客户机/服务器计算环境中的网络地址，则标识对所述客户机/服务器计算环境适当且当前未分配给计算设备的网络地址、向所述客户机计算设备分配所标识的网络地址、以及向所述客户机计算设备提供所分配的网络地址。
21.如权利要求20所述的系统，其特征在于，所分配的网络地址是IP地址。
CN2005101290820A 2004-12-08 2005-12-08 用于安全地设置客户机设备的方法和系统 Expired - Fee Related CN1832490B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/007,122 2004-12-08
US11/007,122 US7558866B2 (en) 2004-12-08 2004-12-08 Method and system for securely provisioning a client device

Publications (2)

Publication Number Publication Date
CN1832490A CN1832490A (zh) 2006-09-13
CN1832490B true CN1832490B (zh) 2010-12-29

Family

ID=35759413

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2005101290820A Expired - Fee Related CN1832490B (zh) 2004-12-08 2005-12-08 用于安全地设置客户机设备的方法和系统

Country Status (14)

Country Link
US (1) US7558866B2 (zh)
EP (1) EP1670215B1 (zh)
JP (1) JP4673734B2 (zh)
KR (1) KR101159355B1 (zh)
CN (1) CN1832490B (zh)
AT (1) ATE410020T1 (zh)
AU (1) AU2005239707B2 (zh)
BR (1) BRPI0505394B1 (zh)
CA (1) CA2529230C (zh)
DE (1) DE602005010033D1 (zh)
MY (1) MY148705A (zh)
RU (1) RU2390828C2 (zh)
TW (1) TWI405088B (zh)
ZA (1) ZA200509936B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104011699A (zh) * 2011-12-16 2014-08-27 华为技术有限公司 用于同时进行地址分配和认证的系统和方法

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7237257B1 (en) * 2001-04-11 2007-06-26 Aol Llc Leveraging a persistent connection to access a secured service
US7881225B2 (en) 2005-11-23 2011-02-01 Comcast Cable Holdings, Llc Customer premise equipment device-specific access-limiting for a cable modem and a customer premise equipment device
US8745253B2 (en) * 2006-03-08 2014-06-03 Alcatel Lucent Triggering DHCP actions from IEEE 802.1x state changes
US7831997B2 (en) * 2006-06-22 2010-11-09 Intel Corporation Secure and automatic provisioning of computer systems having embedded network devices
CN101132629B (zh) * 2006-08-25 2010-07-14 华为技术有限公司 发现呼叫控制系统入口的方法和系统
US8628522B2 (en) 2007-05-21 2014-01-14 Estech, Inc. (Endoscopic Technologies, Inc.) Cardiac ablation systems and methods
US8006193B2 (en) * 2007-10-03 2011-08-23 Microsoft Corporation Web service user experience without upfront storage expense
US8108911B2 (en) * 2007-11-01 2012-01-31 Comcast Cable Holdings, Llc Method and system for directing user between captive and open domains
US9178857B2 (en) * 2007-11-19 2015-11-03 Verizon Patent And Licensing Inc. System and method for secure configuration of network attached devices
EP2088734A1 (en) * 2008-02-07 2009-08-12 Nokia Siemens Networks Oy Method and device for data processing and communication system comprising such device
JP5029994B2 (ja) * 2008-03-24 2012-09-19 Ｎｅｃアクセステクニカ株式会社 通信システム、通信装置、アドレス割当装置、通信制御方法、及び通信制御プログラム
US8661252B2 (en) * 2008-06-20 2014-02-25 Microsoft Corporation Secure network address provisioning
JP4710966B2 (ja) * 2008-12-12 2011-06-29 コニカミノルタビジネステクノロジーズ株式会社 画像処理装置、画像処理装置の制御方法、及び画像処理装置の制御プログラム
CN102148712B (zh) * 2011-04-21 2014-05-14 天讯天网(福建)网络科技有限公司 基于云计算的服务管理系统
US9143937B2 (en) 2011-09-12 2015-09-22 Qualcomm Incorporated Wireless communication using concurrent re-authentication and connection setup
US9439067B2 (en) 2011-09-12 2016-09-06 George Cherian Systems and methods of performing link setup and authentication
US8837741B2 (en) 2011-09-12 2014-09-16 Qualcomm Incorporated Systems and methods for encoding exchanges with a set of shared ephemeral key data
US9690638B2 (en) * 2011-09-29 2017-06-27 Oracle International Corporation System and method for supporting a complex message header in a transactional middleware machine environment
US9054874B2 (en) 2011-12-01 2015-06-09 Htc Corporation System and method for data authentication among processors
US9055611B2 (en) * 2012-12-21 2015-06-09 Broadcom Corporation Resilient peer network with 802.11 technology
JP6334940B2 (ja) * 2014-02-12 2018-05-30 キヤノン株式会社 通信装置、通信装置の制御方法およびプログラム
WO2016047105A1 (ja) * 2014-09-25 2016-03-31 日本電気株式会社 通信制御装置、通信制御方法、通信制御プログラムが格納された記録媒体、及び、情報システム
US10805291B2 (en) * 2015-09-11 2020-10-13 Comcast Cable Communications, Llc Embedded authentication in a service provider network

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1348279A (zh) * 2000-10-13 2002-05-08 日本电气株式会社 无线网络系统和网络地址分配方法
US6393484B1 (en) * 1999-04-12 2002-05-21 International Business Machines Corp. System and method for controlled access to shared-medium public and semi-public internet protocol (IP) networks
CN1471259A (zh) * 2002-07-10 2004-01-28 �ձ�������ʽ���� 用户认证系统和用户认证方法
EP1434404A1 (en) * 2002-12-20 2004-06-30 Alcatel Method and system to provide authentication for a user
CN1543127A (zh) * 2003-11-07 2004-11-03 港湾网络有限公司 对不同类型用户实现统一动态地址分配的方法

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6643696B2 (en) * 1997-03-21 2003-11-04 Owen Davis Method and apparatus for tracking client interaction with a network resource and creating client profiles and resource database
US6412025B1 (en) 1999-03-31 2002-06-25 International Business Machines Corporation Apparatus and method for automatic configuration of a personal computer system when reconnected to a network
US6684243B1 (en) 1999-11-25 2004-01-27 International Business Machines Corporation Method for assigning a dual IP address to a workstation attached on an IP data transmission network
US6643694B1 (en) * 2000-02-09 2003-11-04 Michael A. Chernin System and method for integrating a proxy server, an e-mail server, and a DHCP server, with a graphic interface
WO2001067708A2 (en) * 2000-03-07 2001-09-13 General Instrument Corporation Authenticated dynamic address assignment
US7065578B2 (en) * 2000-03-20 2006-06-20 At&T Corp. Service selection in a shared access network using policy routing
US6792474B1 (en) * 2000-03-27 2004-09-14 Cisco Technology, Inc. Apparatus and methods for allocating addresses in a network
US6618757B1 (en) * 2000-05-17 2003-09-09 Nortel Networks Limited System and method for dynamic IP address management
US20020138635A1 (en) 2001-03-26 2002-09-26 Nec Usa, Inc. Multi-ISP controlled access to IP networks, based on third-party operated untrusted access stations
US6728718B2 (en) 2001-06-26 2004-04-27 International Business Machines Corporation Method and system for recovering DHCP data
JP2003224577A (ja) * 2001-10-05 2003-08-08 Toyo Commun Equip Co Ltd インターネット中継装置
JP2003152731A (ja) * 2001-11-16 2003-05-23 Mitsumi Electric Co Ltd 通信装置、ｉｐアドレス取得方法、ローミング方法
EP1502388B1 (en) * 2002-05-01 2007-12-05 Telefonaktiebolaget LM Ericsson (publ) System, apparatus and method for SIM-based authentification and encryption in wireless local area network access
JP2004247955A (ja) 2003-02-13 2004-09-02 Toshiba Solutions Corp 通信システムおよび通信方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6393484B1 (en) * 1999-04-12 2002-05-21 International Business Machines Corp. System and method for controlled access to shared-medium public and semi-public internet protocol (IP) networks
CN1348279A (zh) * 2000-10-13 2002-05-08 日本电气株式会社 无线网络系统和网络地址分配方法
CN1471259A (zh) * 2002-07-10 2004-01-28 �ձ�������ʽ���� 用户认证系统和用户认证方法
EP1434404A1 (en) * 2002-12-20 2004-06-30 Alcatel Method and system to provide authentication for a user
CN1543127A (zh) * 2003-11-07 2004-11-03 港湾网络有限公司 对不同类型用户实现统一动态地址分配的方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
IETF STANDARD-WORKING-DRAFT,INTERNETENGINEERING TASK FORCE.SECURITY ARCHITECTURE FOR DHCP.OLAFUR GUDMUNDSSON TRUSTED INFORMATION SYSTEMSDHC 1.1997,DHC(1),第1-14页.
IETF STANDARD-WORKING-DRAFT,INTERNETENGINEERING TASK FORCE.SECURITY ARCHITECTURE FOR DHCP.OLAFUR GUDMUNDSSON TRUSTED INFORMATION SYSTEMSDHC 1.1997,DHC(1),第1-14页. *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104011699A (zh) * 2011-12-16 2014-08-27 华为技术有限公司 用于同时进行地址分配和认证的系统和方法

Also Published As

Publication number Publication date
CN1832490A (zh) 2006-09-13
BRPI0505394B1 (pt) 2018-01-16
JP4673734B2 (ja) 2011-04-20
AU2005239707A1 (en) 2006-06-22
US7558866B2 (en) 2009-07-07
EP1670215B1 (en) 2008-10-01
ATE410020T1 (de) 2008-10-15
CA2529230A1 (en) 2006-06-08
BRPI0505394A (pt) 2006-09-12
RU2390828C2 (ru) 2010-05-27
ZA200509936B (en) 2008-05-28
RU2005138105A (ru) 2007-06-20
JP2006191552A (ja) 2006-07-20
KR101159355B1 (ko) 2012-06-25
DE602005010033D1 (de) 2008-11-13
AU2005239707B2 (en) 2010-02-25
EP1670215A1 (en) 2006-06-14
US20060123118A1 (en) 2006-06-08
TWI405088B (zh) 2013-08-11
TW200629085A (en) 2006-08-16
KR20060064544A (ko) 2006-06-13
CA2529230C (en) 2016-05-31
MY148705A (en) 2013-05-31

Similar Documents

Publication Publication Date Title
CN1832490B (zh) 用于安全地设置客户机设备的方法和系统
KR101534890B1 (ko) 신뢰된 장치별 인증
JP6656157B2 (ja) ネットワーク接続自動化
JP4490083B2 (ja) ネットワークのノードであるテクニカルデバイスをグループ化するための方法及びネットワークのノードであるテクニカルデバイス間で通信するための装置
CN102047262B (zh) 用于分布式安全内容管理系统的认证
JP5139423B2 (ja) ネットワーク資源に対するシングルサインオン及び安全なアクセスのためのポリシ駆動の証明情報委譲
US7530098B2 (en) Device ownership transfer from a network
US8661158B2 (en) Smart tunneling to resources in a network
US20070214332A1 (en) Storage-access control system, storage-access control method, and computer product
KR20080084715A (ko) 원격 리소스에 대한 이용가능한 보안 액세스를 위한 웜홀디바이스들
JP2003532185A (ja) 動的ネットワークにおけるセキュリティリンク管理
JP2007102761A (ja) ストレージ装置へのアクセスを制限するためのシステムと方法
CN113039745B (zh) 文件系统服务器、应用于其中的方法、计算机可读介质
KR102089912B1 (ko) 프라이빗 블록체인 기반 모바일 디바이스 관리 방법 및 시스템
EP2741465B1 (en) Method and device for managing secure communications in dynamic network environments
KR20060044494A (ko) 인증 서버와 연동되는 네트워크 관리 시스템 및 네트워크관리 서버
CN112565209B (zh) 一种网元设备访问控制方法及设备
EP3869729B1 (en) Wireless network security system and method
WO2006001587A1 (en) Network management system and network management server of co-operating with authentication server
CN115913793B (zh) 安全认证方法、系统、电子设备、分布式存储系统及介质
CN117424894A (zh) 一种vdi数据保护方法
KR20220080904A (ko) 인증수단/전자서명 통합 플랫폼 제공 방법 및 시스템
CN115967623A (zh) 设备管理方法、装置、电子设备及存储介质
Shakhshir IntuiSec: a framework for intuitive user interaction with security in the smart home

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: MICROSOFT TECHNOLOGY LICENSING LLC

Free format text: FORMER OWNER: MICROSOFT CORP.

Effective date: 20150430

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150430

Address after: Washington State

Patentee after: Micro soft technique license Co., Ltd

Address before: Washington State

Patentee before: Microsoft Corp.

CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20101229

Termination date: 20191208