CN101478403A

CN101478403A - 一种具有安全机制的UPnP数字家庭网关装置

Info

Publication number: CN101478403A
Application number: CNA2009100366854A
Authority: CN
Inventors: 孙玉; 罗笑南; 陈任; 李春芳
Original assignee: Sun Yat Sen University
Current assignee: Sun Yat Sen University
Priority date: 2009-01-15
Filing date: 2009-01-15
Publication date: 2009-07-08

Abstract

本发明公开了一种具有安全机制的UPnP数字家庭网关装置，包括以下模块：配置模块、安全控制模块、DHCP模块、ARP模块以及UPnP协议栈模块。通过该装置可实现自动配置服务器对家庭网络设备的远程配置管理，实现设备的“零配置”接入网络，网络“透明”数据传输，加强了设备的统一管理和安全控制。

Description

一种具有安全机制的UPnP数字家庭网关装置

技术领域

本发明属于数字家庭网络技术领域，更具体地说，它涉及到一种具有安全机制的符合UPnP规范的数字家庭网关装置。

背景技术

UPnP(Universal Play and Plug)：UPnP Forum成立于1999年6月，由Intel等711个消费类电子企业、计算机企业等组成，UPnP标准为数字家庭应用的开展作出了重要贡献。UPnP现已成为数字家庭的核心标准，为数字家庭设备的接入、设备发现、服务描述等制定了一系列的规范。

UPnP协议是Microsoft针对智能家电、无线设备以及各种个人电脑的对等网络连接而设计的一种设备互联规范。UPnP主要用于实现设备的智能发现、相互连接与数据传递。UPnP支持发现和列举具有网络和服务功能的设备，同时扩展了传统单机设备与计算机连接的概念，要求在零配置的前提下实现设备的自动发现，服务的自动控制功能，甚至无需PC的介入。UPnP设备可以作为一个服务器向网络中其他支持UPnP的设备发布自己的服务；UPnP设备同时可以作为客户在网络中搜索自己需要的特定服务，一旦网络中存在满足客户所需要的服务，客户就可以获取该设备及其服务的描述文档，并进行控制。UPnP能够列举每一个设备的独特特性，包括通信协议。同时，UPnP建立在一个低成本的微处理器上，只需RAM和闪存以及其它很少的***资源。它基于XML的描述原则提供了一种直接、灵活的方式来实现设备的功能，不必为新加入的***资源支付额外的开销。UPnP还支持现有的重要工业标准，如TCP/IP、HTML、XML、HTTP、DNS、LDAP等，发展前景十分广阔。

在目前的UPnP使用中，并没有考虑太多的安全性问题，及时采取了一定的安全性措施，其范围也只是局限于控制点与UPnP设备之间，尽管其到了一定的安全作用，但无法满足数字家庭未来发展对安全的需求。

数字家庭从组成上分为家庭网关、各种信息终端设备，以及以有线或无线方式连接构成的家庭网络三部分。家庭网关既是家庭智能化***的中心，负责家庭内部信息终端和智能设备的管理与控制，还是通信网络的接入节点。家庭网关应该能够提供以下四个基本功能：

(1)接入功能：实现接入网和家庭网络转换的网关基本功能，与外部互联网进行信息资源共享。

(2)内部组网功能：为家庭内部提供不同类型、不同结构子网的桥接能力，实现家庭内部的多种互联方式的互通，从而针对不同的带宽需求应用提供相适应的互联技术。

(3)语音数据通信功能：提供PSTN和因特网互连互通功能，实现VoIP等传统语音数据通信。

(4)家庭信息中心功能：家庭内部的各种互连信息终端通过家庭网关实现协议转换和媒体格式转换功能，从而作为对等实体进行信息资源共享。

家庭网关作为数字家庭的核心设备，目前所能提供的业务比较单一，功能也有待于进一步扩展，这样才能满足快速发展的数字家庭产业的各种需求。

发明内容

本发明的目的在于克服现有技术的不足，旨在提供一种具有安全机制的UPnP数字家庭网关装置。

为了实现本发明，所使用的技术方案如下：

一种具有安全机制的UPnP数字家庭网关装置，包含如下模块：

用于向数字家庭用户和通信机构运营商提供可配置共同管理的配置模块；

用于向UPnP数字家庭网关提供认证、授权、加密、监督等安全机制的安全控制模块；

用于向通用UPnP设备自动分配IP地址的DHCP模块；

用于检测通用UPnP设备的IP是否冲突的ARP模块；

以及用于设备即插即用的UPnP协议栈模块。

本发明的各个模块所实现的功能具体如下：

配置模块提供了面向LAN侧和面向WAN侧的双向配置，并使得WAN侧的配置能够平滑的过度到LAN侧，从而实现了通信机构和用户共同管理和配置数字家庭网关，实现数字家庭网关可运营，可管理的应用模式，促进通信网络和家庭网络的融合与互动。通信机构作为第三方可信机构的角色对数字家庭网关进行认证，授权与颁发密钥等操作。在WAN侧，当家庭网关建立了PPP/IP连接，分配了IP地址之后，就会发送DHCP INFORM消息，此消息包含网关设备标识、IP地址，然后会收到ACS(自动配置服务器)、URL、服务分类等信息，这样家庭网关就可以与ACS连接通信了，并且允许双方在需要时都能主动发起连接。ACS通过服务配置管理器获取控制策略，实现对家庭网关的自动配置，为家庭网关获取不服务类型、级别的宽带服务提供支持和保障。在LAN侧，配置模块位于用户与配置文件之间。配置模块允许用户从配置文件获取信息并向配置文件中写入参数。这些参数包括DHCP服务器IP分配范围、默认租约时间、最长租约时间、DDNS更新模式、广播地址、路由器、固定IP地址、ARP包发送个数。

在通信网络的运营管理中，服务管理依赖接入管理的网络支撑，分别有各自的管理域。接入管理域位于宽带接入服务器(BRAS)和家庭网关(HGW)之间的宽带接入网，提供点对点逻辑连接。服务管理域扩大到自动配置服务器(ACS)以外的网络范围，甚至延伸到家庭网络。因此，家庭网关的配置管理由用户和通信机构运营商共同协商完成，以增强家庭网关的可配置管理性。用户可以控制运营商管理网关的程度，如对配置参数的修改；运营商也可限制用户管理网关的能力，如设置用户对网关配置的只读权限。

安全控制模块贯穿于数字家庭网关运行的始终，它主要负责网络安全，对家庭网络运行提供安全可靠的保障。安全控制模块认为每个设备和使用设备的用户都应具有唯一性的标识，对持有某个标识的设备或者用户进行身份鉴别，已确认持有某个标志的用户的真实性，通过使用消息认证码(MAC)或者安全散列函数数字签名来实现消息的完整性，对消息进行签名通过数字签名替代纸张签名，保障用户使用的法律效应，防止保密数据例如登录消息或调用功能消息的窃听、篡改或重发，防止重放攻击。适当的进行设备访问控制列表，对用户访问设备的行为进行访问控制。在广域网和家庭网络局域网的数据传输中对数据进行加密，保障信息传输的安全。安全控制模块通过对协议栈模块的操作提供完整的安全服务。

DHCP模块分为DHCP服务器和DHCP客户端。

(1)DHCP服务器。DHCP服务器管理整个网络并为DHCP客户端分配IP地址。dhcpd.conf为DHCP服务器的配置文件，包括IP分配范围(DHCP服务器为客户端分配IP地址的范围)、租约时间(DHCP客户端合法使用所分配IP地址的时间)等。

(2)DHCP客户端。DHCP客户端从DHCP服务器获取分配的IP地址并配置网关的IP地址。DHCP客户端将获取的IP地址写入文件dhelient.result。

为防止获取的IP地址与网络上其他IP地址冲突，调用ARP模块发送ARP包进行探测。ARP模块由两个部分组成：ARP发送部分与ARP检测部分。ARP包被设置为一定的数量然后由ARP发送部分连续发送。ARP检测部分设置在一定的时间内接收ARP回复包以检测IP是否已被占用。

UPnP协议栈模块封装了UPnP涉及的众多协议如SSDP、SOAP、HTML、XML等，涵盖了从发现到表示的各个过程，包括多线程支持库、XML解释器、迷你Web服务器等，并为其它模块提供了简单的接口。该模块是UPnP数字家庭网关模块的核心子模块，在使用中它将与安全控制模块、DHCP模块和ARP模块进行交互，实现通用UPnP设备的安全接入、控制、运行和卸载。UPnP网络从加入到完成服务的控制，设备及控制点需要经历寻址、发现、描述、控制、事件以及表达等几个基本的过程。

本发明的技术特点主要体现如下：

1.拓展业务，支持运营。提出了数字家庭网关可运营、可管理的应用模式，实现自动配置服务器对家庭网络设备的远程配置管理。

2.安全，可靠。实现了针对数字家庭网络安全的完整的解决方案，提出了由通信机构为第三方可信机构的认证，授权与密钥分发。

3.使用透明，增强管理。建立了以UPnP家庭网关为核心的家庭网络，实现了设备的“零配置”接入网络，网络“透明”数据传输，加强了设备的统一管理和安全控制。

附图说明

图1为本发明的结构示意图；

图2为本发明应用于网络上的示意图。

具体实施方式

下面结合附图对本发明做进一步说明。

本发明的结构示意图如图1所示，由配置模块、DHCP模块、安全控制模块、ARP模块和UPnP协议栈模块组成。

UPnP协议栈模块进行初始化，通过DHCP模块获得一个IP地址和端口号，再通过ARP模块检测得到的IP和端口号是否已经存在或与其他的UPnP设备产生冲突。这个端口号用来监听UPnP的HTTP请求。在得到认证和授权之后，家庭网关与设备之间便建立了安全回话，设备进入等待请求循环，响应控制点的请求。当请求被接收时，它们由相应回调函数进行处理。由设备处理的请求分为三种：订阅请求、获取变量请求和动作请求。根据不同的要求，家庭网关会调用不同的函数进行处理。当服务状态改变时，会调用UPnPNotify()或者UPnPNotifyExt()通知所有订阅了该事件的控制点。服务状态的改变可能由动作请求或用户输入等产生。最后，当链接的设备关闭时，会取消相应的设备注册，并进行一定的清理工作。

安全控制模块建立安全机制主要分两个阶段，第一阶段是初始化阶段，设置安全策略数据。第二阶段是安全运行阶段，由设备和安全控制模块之间交互完成各种安全服务接口的调用。安全控制模块和设备使用SSDP协议完成相互发现的过程，初始化时设备会提供自己的相关安全策略数据，安全控制模块会将其中的认证内容通过配置模块发送到第三方可信机构进行认证和授权，当确认无误后，第三方可信机构会同过配置模块反馈相关认证信息和用于数据加密的临时密钥，然后安全控制模块会将该设备加入安全管理列表，设置设备的访问机制，然后便可进入安全运行阶段。

配置模块主要为通信机构和用户提供相应的配置功能。例如在设备接入之前用户可以对DHCP模块、ARP模块等其中的参数进行设置，网络运营机构可以为安全控制模块提供第三方认证，还可以设置用户的使用权限，对终端设备进行运营管理。

本发明应用于网络上的一个实例的示意图如附图2所示，家庭网关将广域网与家庭局域网互联起来，广域网端的一个自动配置服务器可以对家庭网关中的配置模块进行交互，设置相关的参数，从而实现对家庭网络局域网的终端设备的管理。家庭局域网络由电脑，播放器，摄像机等UPnP设备组成，其中家庭网关作为媒体服务器和安全控制中心，电脑作为控制点向用户提供访问界面，当用户想观看视频时，便可将播放器或摄像机接入局域网，通过验证之后，家庭网关会将相关数据以加密的形式传输到电脑中，最终满足用户的需求。

Claims

1、一种具有安全机制的UPnP数字家庭网关装置，其特征在于设置有如下模块：

用于向UPnP数字家庭网关提供认证、授权、加密、监督的安全控制模块；

用于向UPnP设备自动分配IP地址的DHCP模块；

用于检测UPnP设备的IP是否冲突的ARP模块；

以及用于设备即插即用的UPnP协议栈模块。

2、根据权利要求1所述的具有安全机制的UPnP数字家庭网关装置，其特征在于所述配置模块实现了通信机构和用户共同管理和配置数字家庭网关，通信机构作为第三方可信机构的角色对数字家庭网关进行认证，授权与颁发密钥操作。

3、根据权利要求1所述的具有安全机制的UPnP数字家庭网关装置，其特征在于安全控制模块建立安全机制主要分两个阶段，第一阶段是初始化阶段，安全控制模块和设备使用SSDP协议完成相互发现的过程；第二阶段是安全运行阶段，由设备和安全控制模块之间交互完成各种安全服务接口的调用。

4、根据权利1所述的具有安全机制的UPnP数字家庭网关装置，其特征在于UPnP协议栈模块封装了UPnP涉及的众多协议，例如SSDP、SOAP、HTML、XML，涵盖了从发现到表示的各个过程，包括多线程支持库、XML解释器、迷你Web服务器，并为其它模块提供了简单的接口。

5、根据权利1所述的具有安全机制的UPnP数字家庭网关装置，其特征在于ARP模块检测UPnP设备之间的IP地址和端口是否发生冲突；ARP模块由两个部分组成：ARP发送部分与ARP检测部分；ARP包被设置为一定的数量然后由ARP发送部分连续发送；ARP检测部分则设置在一定的时间内接收ARP回复包以检测IP是否已被占用。