CN101064654B - 用于分层地连接装置的系统和方法 - Google Patents

Abstract

提供一种用于分层地连接装置的设备和方法。所述设备包括：控制器，确定下列至少一种：包括将被连接到第一装置的第二装置的层的认证值是否有效，是否已经对包括第二装置的层授权了连接；以及产生器，当第一装置和第二装置连接时，产生包括第一装置的层的认证值。

Description

用于分层地连接装置的系统和方法

本申请要求于2006年4月25日提交到韩国知识产权局的第10-2006-0037272号韩国专利申请的优先权，其公开通过引用完全包含于此。

技术领域

本发明涉及一种用于分层地连接装置的设备和方法，更具体地讲，涉及这样一种用于分层地连接装置的设备和方法，其中，通过分层地连接装置能有效地管理网络。

背景技术

与远程通信系统的发展相一致，现在可使用各种网络。特别是家庭网络正在普及，在家庭网络中，通过对消费类电子产品(CE)添加远程通信特性而将CE连接到网络。

通常，家庭网络由家庭网络服务器管理，包括在家庭网络中的装置直接连接到家庭网络服务器，或者通过连接到家庭网络服务器的其它装置而间接连接到家庭网络服务器。另外，家庭网络中的装置可彼此直接连接，而不用连接到家庭网络服务器。

在可使用各种连接的环境(诸如家庭网络)中，为了建立装置之间的连接，必须执行认证和认可。通常，基于固定网络来执行认证和认可。

图1示出了在现有技术的装置之间的移动连接。

以装置0为中心的装置之间的网络结构被作为示例示出。

装置0是该网络的中心，可用作服务器。

装置1直接连接到装置0，并用作将其它装置间接连接到装置0的中继器。例如，装置6可通过装置5和装置1间接连接到装置0，装置2、3和4可通过装置1间接连接到装置0。

除了装置1之外，装置10和装置8直接连接到装置0，并用作将其它装置间接连接到装置0的中继器。

图2是示出在现有技术的装置之间的连接方法的流程图。

如图2中的示例所示，第一装置尝试连接到第二装置。

完成第一装置和第二装置之间的连接的方法包括：搜索将用作中继器的装置，以使得第一装置检测第二装置(S201)；第二装置通过发送对于第一装置的搜索的响应来查明第一装置是否能够连接到第二装置(S211)；进行将第一装置连接到第二装置的尝试(S221)；从第二装置将对于连接尝试的响应发送到第一装置(S231)；基于第一装置和第二装置之间的连接完成认证和连接(S241)。

这里，步骤S231根据步骤S241中使用的协议的类型以及实施的方法可被包括在步骤S241中，因此可被省略。

在步骤S241，使用相互认证方案在第一装置和第二装置之间执行认证，或者使用单向认证方案在所述装置中的一个中执行认证。例如，将第一装置设置为服务器，将第二装置设置为客户机，当第二装置想要使用第一装置中的数据时，第一装置可使用单向认证方案。

在下文中将参照图3来更详细地描述步骤S241。

图3是示出完成两个装置之间的认证和连接的过程的流程图。

完成两个装置之间的认证和连接的过程包括：确定认证数据是否有效；如果连接授权列表存在，则检查要连接的装置是否包括在该连接授权列表中；如果连接限制列表存在，则检查要连接的装置是否包括在该连接限制列表中。这些步骤的顺序可根据本发明的技术实现而变化。例如，可分别检查连接授权列表和连接限制列表，然后可确定认证数据的有效性。在下文中，将给出每个步骤的详细信息。

首先，第一装置确定第二装置的认证数据是否有效(S301)。如果认证数据无效，则第一装置拒绝连接到第二装置。否则，执行下一步骤S311。

为了确定认证数据是否有效，如果第一装置将询问值(challenge value)发送到创建电子签名值的第二装置，则第二装置将电子签名值重新发送到第一装置，第一装置确定该电子签名值。

如果认证数据有效，则第一装置确定是否存在连接授权列表(S311)。如果存在连接授权列表，则第一装置检查第二装置是否包括在该连接授权列表中(S313)。

这里，如果第二装置没有包括在连接授权列表中，则第一装置拒绝连接到第二装置。否则，执行下一步骤S321。

第一装置确定是否存在连接限制列表(S321)。如果存在连接限制列表，则第一装置检查第二装置是否包括在该连接限制列表中(S323)。

当第二装置包括在连接限制列表中时，第一装置拒绝连接到第二装置。否则，第一装置完成连接到第二装置(S331)。

如上所述，装置应该使用连接授权列表或连接限制列表，并保持这些列表是最新的，从而完成它们之间的连接。

为了保持连接授权列表和连接限制列表是最新的，装置应该交换这些列表，或者通过信任的中央服务器更新这些列表。如果装置具有不同的连接授权列表或连接限制列表，则难以建立和应用一致的安全策略。

因此，对有效地连接装置的方法有增长的需求。

发明内容

本发明提供一种用于分层地连接装置的设备和方法。

根据本发明的一方面，提供一种用于分层地连接装置的设备，所述设备包括：控制器，确定下列至少一种：包括将被连接到第一装置的第二装置的层的认证值是否有效，是否已经对包括第二装置的层授权了连接；以及产生器，当第一装置和第二装置连接时，产生包括第一装置的层的认证值。

根据本发明的另一方面，提供一种用于分层地连接装置的方法，所述方法包括：确定下列至少一种：包括将被连接到第一装置的第二装置的层的认证值是否有效，是否已经对包括第二装置的层授权了连接；当第一装置和第二装置连接时，产生包括第一装置的层的认证值。

附图说明

通过结合附图详细描述本发明的示例性实施例，本发明的以上和其它方面将会变得更加清楚，其中：

图1示出了在现有技术的装置之间的移动连接；

图2是示出在现有技术的装置之间的连接方法的流程图；

图3是示出完成两个装置之间的认证和连接的过程的流程图；

图4是示出根据本发明示例性实施例的分层地连接的装置的框图；

图5示出了根据本发明示例性实施例的装置的分层连接布置；

图6是示出根据本发明示例性实施例的装置的分层连接的流程图；

图7是示出根据本发明示例性实施例的装置之间的认证和分层连接的流程图；

图8示出了根据本发明示例性实施例的装置之间的分层连接。

具体实施方式

将参照附图来详细描述本发明的示例性实施例。

通过参照下面的示例性实施例的详细描述和附图，本发明的优点和特点以及实现这些优点和特点的方法更易于理解。但是，可按照各种形式来实施本发明，本发明不应被解释为限于这里所阐述的实施例。相反，提供这些示例性实施例，使得本公开彻底和完整，并且将本发明的构思全面传达给本领域技术人员，并且本发明仅由权利要求限定。在整个说明书中，相同的标号表示相同的部件。

图4是示出根据本发明示例性实施例的分层地连接的装置的框图。

分层连接装置400包括收发器410、控制器420和产生器430。

收发器410将数据发送到其它装置，并从其它装置接收数据。

例如，认证数据通过收发器410可被发送到其它装置和从其它装置被接收，或者下层装置可从上层装置接收认证值。认证值对装置位于特定层的事实进行认证。另外，上层装置指的是相比于下层装置位于更接近于服务器的层中的一组装置，并且可包括最高层装置。通常，最高层装置用作直接或间接连接到网络中的装置的服务器。

控制器420确定下列至少一种：包括将被连接到第一装置的第二装置的层的认证值是否有效；是否已经对包括第二装置的层授权了连接。

当完成连接到上层装置时，从上层装置接收包括第二装置的层的认证值。当第一装置连接到第二装置时，第二装置将它的认证值发送到第一装置。

因此，第一装置确定包括第二装置的层的认证值是否有效，并且确定是否已经对包括第二装置的层授权了连接。但是，如果第一装置已经连接到与第二装置位于相同层的第三装置，则可省略确定包括第二装置的层的认证值是否有效以及是否已经对包括第二装置的层授权了连接，第一装置立即连接到第二装置。

如果第一装置和第二装置已经连接，则产生器430产生包括第一装置的层的认证值。

第一装置接收包括第一装置的层的认证值，并存储该值。即，包括第一装置的层的认证值由第一装置的上层中的装置产生，并且被发送到第一装置。

这里，包括第一装置的层的认证值可包括下列至少一种：包括第一装置的层的值；连接到第二装置的第一装置的路径值(以下称为“连接路径值”)。

另外，第一装置可完成连接到与第二装置位于相同层的第三装置。如果第一装置从第一装置的上层中的装置接收到包括第一装置的层的认证值，则第一装置可通过接收的包括第一装置的层的认证值立即完成连接到第二装置。

将参照图5至图7更详细地描述分层地连接装置的方法。

这里，术语“模块”指的是，但不限于执行特定任务的软件或硬件组件，诸如现场可编程门阵列(FPGA)或专用集成电路(ASIC)。模块可有利地被配置为驻留在可寻址存储介质上，并且被配置为在一个或多个处理器上运行。因此，模块可包括，例如，诸如软件组件、面向对象的软件组件、类组件和任务组件的组件、进程、函数、属性、过程、子程序、程序代码段、驱动程序、固件、微码、电路、数据、数据库、数据结构、表、数组和变量。设置在这些组件和模块中的功能性可被组合为更少的组件和模块，或者还可被分离为另外的组件和模块。

图5示出了根据本发明示例性实施例的装置的分层连接布置。

参照图5，例如，图1中的装置被分层地重新布置。

通过第一层510中的装置连接到最高层500中的装置的装置属于第二层520，通过第二层装置连接到第一层510的装置属于第三层530。即，通过连接到上层(以下称为“第k层”)可连接到最高层装置的装置属于下层(以下称为“第k+1层”)。

最高层装置(即，装置0)用作网络中的服务器，并直接或间接连接到网络中的装置。

另外，上层装置指的是比下层装置更接近于服务器的一组装置，并且可包括最高层装置。

这些装置从上层装置接收它们的认证值，并存储认证值。认证值指示包括装置的特定层。

例如，第k+1层中的第一装置接收由直接或间接连接到第一装置的装置产生的第k+1层的认证值，所述直接或间接连接到第一装置的装置属于作为第k+1层的上层的第k层、第k-1层、第k-2层、...和最高层中的至少一个。

这里，属于第k+1层的第一装置必须连接到上层装置，以接收它的认证值。

包括第一装置的层的认证值包括下列中的至少一种：包括第一装置的层的层值；连接到第一装置的装置的连接路径值。

例如，当属于第k+1层的第一装置通过属于第k层的第二装置连接到最高层时，第一装置可包括认证值以及从第一装置到最高层装置的连接路径的值，并且可产生包括第一装置的层的认证值。

这里，如果第二装置直接连接到最高层装置，并且从最高层装置接收包括第二装置的层的认证值，则包括第二装置的层的认证值包括从第二装置到最高层装置的连接路径的值。

因此，当第一装置和第二装置彼此完全连接，并且第二装置产生包括第一装置的层的认证值(该认证值包括从第一装置到第二装置的连接路径的值)时，从第二装置到最高层装置的连接路径的值可被包括。

例如，分别将最高层500的值设置为0，将第一层510的值设置为1，将第二层520的值设置为2，...将第k层的值设置为k。

图6是示出根据本发明示例性实施例的装置的分层连接的流程图。

参照图6，第一装置连接到第k层中的第二装置，并且第一装置属于第k+1层。

例如，如果第二装置位于第一层510(k＝1)，则第二装置可直接连接到最高层装置。如果第二装置位于第k层(k＞1)，则第二装置可间接连接到最高层装置。通过其它装置建立间接连接，不用连接到其它装置可建立直接连接。

因此，第二装置直接或间接连接到最高层装置(k≥1)，并通过收发器410从最高层装置接收包括第二装置的层的认证值(S601和S611)。

最高层装置通过产生器430将包括第二装置的层的认证值发送到第二装置。

当第一装置通过第k层中的第二装置连接到最高层装置时，执行下面的步骤。首先，第一装置搜索将连接到第一装置的装置(即，第二装置)，以检测第二装置(S621)。第二装置通过发送对于第一装置进行的搜索的响应来查明第一装置是否能够连接到第二装置(S631)。然后，第一装置进行连接到第二装置的尝试(S641)，并且第二装置发送对于第一装置进行的尝试的响应(S651)。上述步骤S621至S651对应于图2中的步骤S201至S231。

接着，执行第一装置和第二装置之间的认证(S661)。

可在第一装置和第二装置中执行认证(相互认证)，或者在第一装置和第二装置中的一个中执行认证(单向认证)。例如，如果第一装置是服务器，第二装置是客户机，则当第二装置使用第一装置数据时，第一装置可使用单向认证方案。

第一装置通过收发器410接收包括第二装置的第k层的认证值，确定第k层认证值是否有效，并确定是否已经通过控制器420对第k层授权了连接(S671和S681)。

如果包括第二装置的层的认证值有效，并且已经对第k层授权了连接，则第一装置完成连接到第二装置。如果第一装置在连接到第二装置之前已经完成了连接到与第二装置位于相同层的第三装置，则第一装置已经从上层装置接收了包括第一装置的层的认证值，并且已经存储了该值。这里，上层装置可以是最高层装置，或者可以是与第二装置位于相同层的第三装置。因此，当第一装置连接到第二装置时，第一装置检查包括第一装置的层的认证值，并且立即完成连接到位于相同层的第二装置。

接着，当完全建立第一装置和第二装置之间的连接时，上层装置通过产生器430产生包括第一装置的层(第k+1层)的认证值，并将该值发送到第一装置(S691)。

上层装置可以是最高层装置或者第二装置。另外，如果第二装置位于第k层(k＞1)，并且在第一装置和第二装置之间存在另一装置，使得上层中的装置变为多个，则上层中的这些装置中的一个可产生包括第一装置的层的认证值，并将该认证值发送到第一装置。如上所述，在第一装置的上层中可以有几个装置，并且可根据分层结构和技术实现来产生包括第一装置的层的认证值。

在下文中将更详细地描述步骤S661至S681。

图7是示出根据本发明示例性实施例的装置之间的认证和分层连接的流程图。

完成装置之间的连接的过程包括：确定认证数据是否有效；确定包括第二装置的层的认证值是否有效；确定是否已经对包括第二装置的层授权了连接。

首先，第一装置通过控制器420确定从第二装置接收的认证数据是否有效(S701)。

这里，可使用相互认证方案来确定认证数据是否有效。如果第一装置确定第二装置的认证数据是否有效，并且结果是数据无效，则第一装置拒绝连接到第二装置。如果数据有效，则执行步骤S711。可参照图3来进行有效性的确定。

如果认证数据有效，则第一装置通过控制器420确定包括第二装置的层的认证值是否有效(S711)。

如果包括第二装置的层的认证值无效，则拒绝连接到第二装置，但是如果认证值有效，则执行步骤S721。

在这种情况下，第一装置通过控制器420确定是否已经对包括第二装置的层授权了连接(S721)。

如果确定已经对包括第二装置的层授权了连接，则第一装置完成连接到第二装置(S731)。

例如，如果第二装置位于第三层，并且第一装置被配置为将连接授权给第二层或更高层(即，第一层)中的装置，则第一装置拒绝连接到第二装置。

如上所述，在现有技术中，通过连接授权列表或连接限制列表来建立网络中的装置之间的连接，并且难以更新和管理连接授权列表和连接限制列表。但是，根据本发明示例性实施例的分层地布置和管理装置能够更容易地更新和管理这些列表。

图8示出了根据本发明示例性实施例的装置之间的分层连接。

参照图8，在最高层500、第一层510、第二层520和第三层530中分层地布置装置。

首先，装置10完成连接到最高层500中的装置0，并且从装置0接收包括装置10的第一层510的认证值。第一层510的认证值包括装置10的第一层值以及从装置10到装置0的连接路径的值。

装置11通过装置10连接到装置0。装置11接收存储在装置10中的包括装置10的第一层510的认证值，并且确定该认证值是否有效。如果该认证值有效，则装置11确定是否已经对包括装置10的第一层510授权了连接，如果已经授权了连接，则完成连接到装置10。

例如，如果在完成连接到装置10之前，装置11已经完成了连接到与装置10位于相同层的装置7，则装置11已经接收到认证值(该认证值包括下列至少一个：包括装置11的层的值；到最高层装置的连接路径的值)。即，装置11已经从上层装置(例如，装置7或装置10)接收到包括装置11的层的认证值，并且已经存储了包括装置11的层的认证值。因此，装置11检查第一层510的认证值，并且可立即完成连接到所述相同层中的装置10。

一旦装置11完成了连接到装置10，则装置11已经从装置10或装置0接收到包括装置11的层的认证值。这里，包括装置11的层的认证值可包括第二层520的值以及到装置0的连接路径的值。

如上所述，根据本发明的示例性实施例，用于分层地连接装置的方法的优点在于，当连接可应用于有源网络(诸如家庭网络)的装置时，可有效和稳定地管理网络。

虽然已经参照附图解释了本发明的示例性实施例，但是对本领域技术人员明显的是，在不脱离本发明的范围和精神的情况下，可以对其进行各种修改和变化。因此，应该理解，上述实施例在所有方面不是限制性的，而是示意性的。

Claims (6)

1.一种用于分层地连接装置的系统，所述系统包括：

属于第k+1层的第一装置的控制器，确定包括第二装置的第k层的认证值是否有效，并且确定是否已经对第k层授权了连接，如果确定接收的认证值有效且已经对第k层授权了连接，则第一装置完成连接到第二装置；属于第k层的第二装置的产生器，当第一装置完成连接到第二装置时，产生第k+1层的认证值，并将该认证值发送给第一装置，

其中，k是等于或大于1的整数。

2.根据权利要求1所述的系统，其中，第k+1层的认证值包括下列至少一个：包括第k+1层的值；连接到第二装置的连接路径的值。

3.根据权利要求2所述的系统，其中，如果第一装置完成连接到与第二装置位于相同层的第三装置，并从第三装置接收包括第一装置的层的认证值，则第一装置检查包括第一装置的层的认证值，并立即完成连接到第二装置。

4.一种用于分层地连接装置的方法，所述方法包括：

属于第k+1层的第一装置确定包括第二装置的第k层的认证值是否有效，并且确定是否已经对第k层授权了连接，如果确定接收的认证值有效且已经对第k层授权了连接，则第一装置完成连接到第二装置；

当第一装置完成连接到第二装置时，属于第k层的第二装置产生第k+1层的认证值，并将该认证值发送给第一装置，

其中，k是等于或大于1的整数。

5.根据权利要求4所述的方法，其中，包括第k+1层的认证值包括下列至少一种：包括第k+1层的值；连接到第二装置的连接路径的值。

6.根据权利要求5所述的方法，其中，如果第一装置完成连接到与第二装置位于相同层的第三装置，并从第三装置接收包括第一装置的层的认证值，则第一装置检查包括第一装置的层的认证值，并且立即完成连接到第二装置。

Images