CN114258542A - 远程命令 - Google Patents

Abstract

在示例中，提供了一种发出命令的方法。从注册设备集合中的设备接收请求，所述请求包括用于在远程设备处执行的命令。将请求传送到注册设备集合。从注册设备集合的子集中的每个设备接收对请求的响应。基于响应，将用以执行命令的进一步请求传送到远程设备。当设备的子集是注册设备的授权子集时，所述命令在远程设备上执行。

Description

远程命令

背景技术

现代联网设备通过互联网连接到基于云的服务。可以经由设备管理服务来管理设备。设备管理服务可以由设备制造商操作。设备管理服务通过网络配置、供应和更新受管理的设备。基于云的服务的管理员向设备管理服务发出请求，以在设备上远程发起命令的执行。这为管理员提供了在不必物理出现在设备处的情况下大规模地在设备上高效执行管理操作的能力。

附图说明

图1是示出根据示例的用于在远程设备上执行命令的装置的示意图。

图2是示出根据示例的发出命令的方法的框图。

图3示出了与包括用于在计算设备上发出命令的指令的存储器相关联的处理器。

具体实施方式

在面向云的计算环境中，用户跨网络远程连接他们的设备以访问服务和数据。在一些场景中，管理员可能希望在设备上推送更新或执行命令。设备管理服务是由设备制造商或潜在管理数百万个设备的第三方操作的服务。设备管理服务能够大规模地供应、配置和更新端点设备。

管理服务使用远程管理命令在现场远程配置设备，而不必派人到设备。比如远程擦除设备、改变设置、锁定设备或安装更新的操作都可以远程施行。设备管理服务提供了一个平台，授权管理员可以通过该平台高效且大规模地向端点用户设备发出命令。

管理服务实现密码协议以确保在合法管理员的请求下发出命令。管理员经由身份管理服务（诸如活动目录（AD））对他们自己进行认证。一旦经认证，管理员就会指令管理服务发出命令。命令使用密码签名方案由管理服务进行数字签名。命令可以分发到单独的端点设备或设备组。端点设备使用预分发的公钥验证签名命令的真实性，并当成功验证了签名时执行命令。

使用这样的方法从授权服务发出命令存在多个安全问题。对这样的***的攻击可能导致潜在数百万个用户设备的损害。如果授权使用管理服务的单个管理员选择或如果他们的凭据被盗，则他们可以发出恶意命令。此外，受损的服务可以绕过管理员的授权并使用服务的私有签名密钥来发出恶意命令。受损的管理服务可以绕过认证过程，并且直接从服务针对端点设备发动恶意攻击。

本文中所描述的方法和***使用分布式签名方案来消除故障点。一般而言，在数字签名方案中，为用户生成公钥和私钥对。公钥是公开已知的，而私钥由签名者保持私有。当签名者想要对消息进行签名以提供关于消息的完整性和数据源认证时，他们使用私钥对消息或消息的指纹进行签名并输出签名。然后，验证者可以使用公钥并验证签名由私钥的所有者生成。

分布式签名方案不同于单个签名者和验证者之间的签名方案，因为私钥是根据签名者集合之间的访问结构分发的。公钥一般而言是不变的。访问结构定义了签名者的授权子集的集合。根据访问结构的签名者的任何授权子集可以由生成部分签名的每个签名者生成有效签名，所述部分签名被组合以形成完整签名。

访问结构的一个示例是阈值访问结构。在阈值访问结构中，授权子集被定义为包括总共大小为N个的组中的至少T个的那些子集。在阈值签名方案中，完整签名可以由阈值T的T个部分签名的子集来构造。许多现有的签名方案——诸如数字签名算法（DSA）或椭圆曲线数字签名算法（ECDSA）——都具有等效的阈值方案。在阈值签名方案中，在设置期间运行的私有签名密钥的初始共享可以由受信任的经销商或者由签名者他们自己以分布式方式二者任一来完成。大多数阈值签名方案都可以由受信任的经销商或者由分布式经销商二者任一来构造。

在本文中所描述的方法和***中，管理服务首先定义访问结构。然后，该服务生成包括私有签名和公共验证密钥的公钥和私钥对。通过将签名密钥分发到授权的管理员设备来创建密钥共享集合。将公共验证密钥发送到受管理的设备。为了发出命令，向服务发送用以执行管理员之一发出的命令的请求，该服务将请求转发给其他授权管理员。请求由授权管理员的子集部分签名。管理服务将请求转发给受管理的设备以执行命令。可选地，在分发到受管理设备之前，管理服务可以阻止或记录审计的请求。收到后，设备可以将部分签名组装成完整签名的命令，使用其验证密钥验证签名，并施行所请求的操作。

本文中所描述的方法和***使得能够实施对管理员或管理服务的故障或损害有弹性的授权工作流。方法适用于许多种类的设备管理服务。特别地，提供了一种安全方法用于实现可能易受内部人和流氓员工攻击的服务或依赖于管理密码密钥的潜在不受信任的托管服务的分布式服务架构。

图1示出了根据示例的用于发出命令的装置100的简化示意图。装置100可以与本文中所描述的方法和其它***结合使用。

图1中所示出的装置100包括管理服务110。管理服务110可以被实例化为云服务、本地服务器或任何形式的服务架构。管理服务110包括管理模块120。管理模块120可以以软件或硬件或者软件和硬件二者的组合来实现。在本文中所描述的示例中，管理模块120能够进行密码操作和保护秘密，或者能够访问被信任来完成此操作的资源。管理模块120通信地耦合到数据存储装置130。在图1中，数据存储装置130被示出为包括在管理服务110中。在一些示例中，管理服务110可以访问从管理模块110远程保存的数据。

在图1中，管理服务110经由网络140与其它实体通信。根据示例，网络140可以是私有局域网（LAN）或诸如互联网之类的公共网络。管理服务110与远程设备150通信。远程设备150可以是端点用户设备，诸如移动设备或桌面计算设备。在其它情况下，设备150可以是打印机、服务器或物联网（IoT）智能设备。

在图1中，示出了单个远程设备150。在真实世界场景中，潜在数百万个远程设备通过网络140与管理服务110通信。

通过网络140从管理服务110中的管理模块120向远程设备150发出命令。可以向远程设备150发出的命令包括：远程擦除设备150、改变设备150上的设置、锁定设备150、使设备150唤醒或关闭、或在设备150上安装更新。

根据本文中所描述的示例，远程设备150包括能够在设备上施行管理操作的可信管理组件。组件级别的规范依赖于场景和安全性级别而变化。例如，比如擦除硬盘、锁定设备以防止启动和改变关键设置的操作使用非常安全的组件，因为未经授权的一方在设备上施行操作的后果是严重的。然而，在所有情况下，远程设备150的组件都能够在接受和施行请求之前对命令的发出者进行认证。

装置100包括管理员设备160。管理员设备160通过网络140与管理服务110通信。根据本文中所描述的示例，管理员设备160可以向管理服务110注册。根据本文中所描述的示例，一旦管理员设备160向服务110注册，它们就可以发出对要在远程设备150上执行的命令的请求。

在一些情况下，在初始设置阶段，给予管理员设备160凭据，其允许管理员设备160在以后的日期用管理服务110进行认证。根据本文中所描述的示例，管理模块120被布置为将注册管理员设备160的列表维持在数据存储装置130中。作为维持列表的一部分，管理模块可以从授权设备的列表添加或移除设备160。

在本文中所描述的示例中，管理服务110可以向设备160发出密码密钥。在一些情况下，管理服务110包括被布置为管理密码密钥材料的密钥管理模块。密钥管理模块可以通信地耦合到数据存储装置130。

密钥管理模块被布置为生成密码签名和公共验证密钥。在一种情况下，管理服务110将公钥分发到远程设备150。管理服务110生成秘密签名密钥的共享，并将该共享分发到注册的管理员设备160。在一些情况下，使用公钥密码技术经由网络140将共享传送到注册设备160。

在本文中所描述的示例中，数据存储装置120存储注册设备160的列表，与访问结构

一起。让

标示注册设备160的集合。访问结构

是由被授权向远程设备发送命令的

的所有子集组成的集合。

根据本文中所描述的示例，访问结构

可以由含有t个或更多个设备的

的所有子集组成，其中t是小于设备总数的常量阈值数。例如，该阈值可以是n/2。因此，例如，如果管理服务110实现n/2阈值签名方案，则那么注册设备160拥有的秘密签名密钥的部分共享允许任何n/2或更多个管理员的组生成部分签名，所述部分签名可以被组合以生成完整签名。在其它示例中，阈值是不依赖于授权管理员的数量n的固定值。在该情况下，可以在不改变阈值的情况下增加或减少管理员的数量。

在一些示例中，管理模块120被布置为根据从注册设备160接收的请求组合部分签名以生成完整签名。在其它示例中，远程设备150可以被布置为根据从注册设备160接收的请求组合部分签名。

根据本文中所描述的示例，管理服务110对管理命令的授权如下进行：生成并在注册设备160之间分发公钥对，使得每个注册设备160具有部分公钥和部分秘密签名密钥共享。分发是以这样的方式完成的，即根据存储在数据存储装置120中的访问结构的授权子集可以创建有效签名。在示例中，这可以使用阈值密码来实现。

公共验证密钥可能连同确保公钥有效的证书一起由管理服务110给予远程设备150。

管理员经由其设备160通过网络140登录到管理服务110，并针对包括远程设备150的设备集合发出管理命令。在本文中所描述的示例中，请求包括执行命令（C）的请求、新鲜度的随机质询（R）和远程设备集合（D）。使用设备的部分秘密密钥（AK）对请求进行部分签名。例如，设备可以发送

在一些示例中，可以发送其它信息并且连同质询一起潜在地签名，诸如作为目标的机器的标识符、UUID、序列号、包括做出请求的日期和时间的时间戳、以及诸如请求命令的管理员的电子邮件或验证密钥之类的标识符。在一些示例中，这些信息中的一些可能被编码到质询中。

管理服务110经由网络140将请求传送到其它注册设备160。在本文中所描述的示例中，这可以通过向注册设备160中的每一个发送电子邮件来完成。替代地，管理员可以被提醒该请求并被告知登录到管理服务110以查看该请求。

如果其他管理员同意该请求，则他们通过使用他们的设备160用他们的部分秘密密钥在质询上产生部分签名来响应于管理服务110。

在一些示例中，管理模块120可以被布置为访问数据存储装置130，以确定已经向管理服务110传送部分签名的设备160的子集是否为授权子集。在其它情况下，不做出这样的确定。管理服务110将部分签名和质询转发给远程设备150。

在一些示例中，可以包括可选批准，由此管理服务110阻止被撤销管理员的不期望的命令或部分签名。此外，在一些情况下，管理服务110对请求进行签名，以指示其自己的批准。这可以用分离的公钥对来完成。在另一示例中，将请求发送出到不同实体以批准命令。

远程设备150被布置为组合从管理服务110接收的部分签名。组合过程不需要远程设备150输入任何私有信息。当已经组合部分签名以产生完整签名时，设备150使用在设置过程期间给予它们的公钥来验证完整签名。

如果成功验证了所接收的签名，则设备150执行命令。在一些示例中，设备将所接收的质询和部分签名的列表存储在将来可访问的位置中，然后执行命令。可以存储部分签名用于审计目的。例如，可以由管理服务110存储部分签名的列表以及发出的命令和发送命令的设备之间的关联。注册设备160可以查询管理服务以标识哪个管理员发送了特定请求。

图2是示出根据示例的用于发出命令的方法200的框图。图2中所示出的方法200可以在图1中所示出的装置100上实现，以向设备150发出命令。特别地，方法200可以在图1中所示出的管理服务1100上实现。

在框210处，接收包括用于在远程设备处执行的命令的请求。当在图1中所示出的装置100上实现方法200时，从注册设备160之一接收请求。

根据示例，方法200可以进一步包括确定所接收的请求是否是从注册设备的列表上的设备发送的。当从未在列表上的设备接收到请求时，方法200可以进一步包括阻止该请求。

在框220处，请求被传送到注册设备集合。在图1中所示出的装置100的上下文中，请求被传送到其它管理员设备160。可以以通知的形式将请求传送到注册设备。在一些示例中，通知是以诸如电子邮件之类的通信的形式。

在框230处，从注册设备集合的子集中的每个设备接收对请求的响应。根据示例，方法200可以包括确定响应是否来自注册设备，以及当从不是来自注册设备的设备接收到响应时阻止该响应。

在框240处，传送进一步请求以执行原始请求的命令。可以将执行命令的进一步请求直接传送到远程设备或第三方，所述远程设备或第三方在对进一步请求施行验证操作之后转发命令。根据访问结构，当设备的子集是授权子集时，请求在远程设备上执行。

根据本文中所描述的示例，进一步请求可以由远程设备处理以执行命令。在一些情况下，处理进一步请求包括施行命令的验证和确定请求起源于实现方法200的实体。

在一些示例中，方法200可以包括生成和存储密码密钥。特别地，方法200可以包括生成密码安全签名密钥和验证密钥。签名密钥是私钥。方法200可以包括基于签名密钥生成部分签名密钥，并将部分签名密钥分发到注册设备集合。

根据示例，原始请求可以包括基于质询和发送请求的设备的部分签名密钥生成的部分签名。对请求的响应可以包括从每个设备接收的部分签名，该部分签名基于每个设备的部分签名密钥和质询生成。在该情况下，发送到远程设备的进一步请求可以包括设备子集的部分签名、质询和命令。

在一些情况下，方法200包括接收进一步请求、基于部分签名生成签名、基于验证密钥验证签名以及当成功验证了签名时在远程设备处执行命令。

本文中所描述的这种方法和***增强了其中远程向设备发出命令的***中的安全性。这些方法可以用于保护工作流免于损害和单点故障。

本文中所描述的方法和***的示例提供强大的密码保证和担保。与其中单个管理员可以根据他们自己的请求生成有效签名的***相比，本文中的方法和***基于在向设备发出远程命令之前生成部分签名的授权管理员的法定人数。这防止恶意管理员使用管理服务发出破坏性命令或者窃取管理员的命令的攻击者冒充管理员发出恶意命令。

本公开中的示例可以作为方法、***或机器可读指令——诸如软件、硬件、固件或诸如此类的任何组合——来提供。这样的机器可读指令可以包括在其中或其上具有计算机可读程序代码的计算机可读存储介质（包括但不限于磁盘存储装置、CD-ROM、光学存储装置等）上。

参考根据本公开的示例的方法、设备和***的流程图和/或框图来描述本公开。尽管上面所描述的流程图示出了特定执行次序，但是执行次序可能与所描绘的不同。关于一个流程图描述的框可以与另一流程图的框相组合。在一些示例中，流程图的一些框可能不是必需的和/或可以添加附加的框。应当理解，流程图和/或框图中的每个流程和/或框，以及流程图和/或框图中的流程和/或图的组合可以通过机器可读指令实现。

机器可读指令可以例如由通用计算机、专用计算机、其它可编程数据处理设备的（一个或多个）嵌入式处理器执行以实现描述和图中所描述的功能。特别地，处理器或处理装置可以执行机器可读指令。因此，可以由执行存储在存储器中的机器可读指令的处理器或根据嵌入在逻辑电路中的指令操作的处理器来实现装置的模块。术语“处理器”要广泛地解释为包括CPU、处理单元、ASIC、逻辑单元或可编程门集合等。方法和模块全部可以由单个处理器施行或在若干处理器之间划分。

这样的机器可读指令还可以存储在可以引导计算机或其它可编程数据处理设备在特定模式下操作的计算机可读存储装置中。

例如，可以在用指令编码的非暂时性计算机可读存储介质上提供由处理器可执行的指令。图3示出了与存储器320相关联的处理器310的示例。存储器320包括由处理器310可执行的计算机可读指令330。指令330使处理器将包括用于在远程设备处执行的命令的请求传送到注册设备集合。指令进一步使处理器处理对来自注册设备集合的子集中的每个设备的请求的响应，并生成用以执行命令的进一步请求。将进一步请求传送到远程设备。当设备的子集是注册设备的授权子集时，命令在远程设备上执行。

这样的机器可读指令也可以加载到计算机或其它可编程数据处理设备上，使得计算机或其它可编程数据处理设备施行一系列操作以产生计算机实现的处理，因此，在计算机或其它可编程设备上执行的指令提供了用于实现流程图中的（一个或多个）流程和/或框图中的（一个或多个）框所指定功能的操作。

另外，本文中的教导可以以计算机软件产品的形式实现，该计算机软件产品存储在存储介质中并且包括用于使计算机设备实现本公开的示例中所述方法的多个指令。

虽然已经参考某些示例描述了方法、装置以及相关方面，但是在不脱离本公开的情况下可以做出各种修改、改变、省略和替换。特别地，来自一个示例的特征或框可以与另一示例的特征/框相组合或由其替换。

词语“包括”不排除除权利要求中所列出的元件之外的元件的存在，“一”或“一个”不排除多个，并且单个处理器或其它单元可以实现权利要求中所述的若干单元的功能。

任何从属权利要求的特征可以与任何独立权利要求或其它从属权利要求的特征相组合。

Claims (14)

1.一种用于发出命令的方法，所述方法包括：

从注册设备集合中的设备接收请求，所述请求包括用于在远程设备处执行的命令；

将请求传送到注册设备集合；

从注册设备集合的子集中的每个设备接收对请求的响应；以及

基于响应传送用以执行命令的进一步请求，其中响应于设备的子集是注册设备的授权子集，所述命令在远程设备上执行。

2.根据权利要求1所述的方法，包括：

生成密码安全的私有签名密钥和公钥；

基于签名密钥生成部分签名密钥；以及

将部分签名密钥分发到注册设备集合。

3.根据权利要求2所述的方法，其中所述请求包括质询以及基于质询和设备的部分签名密钥生成的部分签名。

4.根据权利要求3所述的方法，其中来自每个设备的响应包括基于每个设备的部分签名密钥和质询生成的部分签名。

5.根据权利要求4所述的方法，其中所述进一步请求包括设备的子集的部分签名、质询和命令。

6.根据权利要求5所述的方法，包括：

接收进一步请求；

基于部分签名生成签名；

基于验证密钥验证签名；以及

当成功验证了签名时，在远程设备处执行命令。

7.根据权利要求1所述的方法，其中所述授权子集的集合是根据访问结构确定的。

8.根据权利要求1所述的方法，包括通过从注册设备的列表添加或移除设备来注册或撤销设备。

9. 根据权利要求8所述的方法，包括：

确定所接收的请求或响应是否是从注册设备的列表上的设备发送的；以及

当设备不在注册设备的列表中时阻止请求或响应。

10.一种装置，包括：

数据存储装置，其被布置为存储注册设备的列表和包括注册设备的授权子集的集合的访问结构；

通信地耦合到数据存储装置的管理模块，用以：

通知注册设备集合已经从注册设备集合中的设备接收到请求，所述请求包括要在远程设备处执行的命令；

接收来自注册设备的子集的响应；以及

转发用以在远程设备处执行命令的请求，其中响应于设备的子集是根据访问结构的授权子集，所述命令在远程设备上执行。

11.根据权利要求10所述的装置，包括通信地耦合到数据存储装置的密钥管理模块，用以：

生成签名和公钥；

基于签名密钥生成部分签名密钥；以及

将部分签名密钥分发到注册设备集合。

12. 根据权利要求11所述的装置，其中来自注册设备的子集的响应包括基于部分签名密钥生成的部分签名.

13.根据权利要求13所述的装置，其中所述管理模块转发部分签名和/或基于部分签名生成的组合签名，以用于与请求一起验证.

14.一种用由处理器可执行的指令编码的非暂时性机器可读存储介质，用以：

将包括用于在远程设备处执行的命令的请求传送到注册设备集合；

处理对来自注册设备集合的子集中的每个设备的请求的响应；

生成用以执行命令的进一步请求；以及

将进一步请求传送到远程设备，

其中响应于设备的子集是注册设备的授权子集，所述命令在远程设备上执行。

Images