Nothing Special   »   [go: up one dir, main page]

CN118435639A - 安全域管理方法、装置、设备、存储介质及程序产品 - Google Patents

安全域管理方法、装置、设备、存储介质及程序产品 Download PDF

Info

Publication number
CN118435639A
CN118435639A CN202280084063.2A CN202280084063A CN118435639A CN 118435639 A CN118435639 A CN 118435639A CN 202280084063 A CN202280084063 A CN 202280084063A CN 118435639 A CN118435639 A CN 118435639A
Authority
CN
China
Prior art keywords
security domain
target device
security
request
configuration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202280084063.2A
Other languages
English (en)
Inventor
茹昭
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangdong Oppo Mobile Telecommunications Corp Ltd
Original Assignee
Guangdong Oppo Mobile Telecommunications Corp Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangdong Oppo Mobile Telecommunications Corp Ltd filed Critical Guangdong Oppo Mobile Telecommunications Corp Ltd
Publication of CN118435639A publication Critical patent/CN118435639A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种安全域管理方法、装置、设备、存储介质及程序产品，属于物联网技术领域。所述方法包括：在目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知。上述方案，可以使用户能够及时地删除目标设备中不需要的安全域，避免对后续安全域添加或更新的流程产生影响。

Description

安全域管理方法、装置、设备、存储介质及程序产品 技术领域
本申请涉及物联网技术领域，特别涉及一种安全域管理方法、装置、设备、存储介质及程序产品。
背景技术
随着物联网(Internet of Things，IoT)技术的不断发展，越来越多的物联网设备在智能家居、工业生产等诸多领域给用户的生产生活带来了极大的便利性。
在相关技术中，用户可以通过配置设备对物联网设备进行安全域配置，以使得属于同一安全域中的各个物联网设备之间可以进行安全通信。其中，一个物联网设备可以被配置到多个安全域。
发明内容
本申请实施例提供了一种安全域管理方法、装置、设备、存储介质及程序产品。所述技术方案如下：
一方面，本申请实施例提供了一种安全域管理方法，所述方法由目标设备执行，所述方法包括：
在所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；所述第一事件通知用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
一方面，本申请实施例提供了一种安全域管理方法，所述方法由配置设备执行，所述方法包括：
接收目标设备发送的第一事件通知；所述第一通知事件用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
另一方面，本申请实施例提供了一种安全域管理装置，所述装置包括：
发送模块，用于在目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；所述第一事件通知用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
另一方面，本申请实施例提供了一种安全域管理装置，所述装置包括：
接收模块，用于接收目标设备发送的第一事件通知；所述第一通知事件用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
再一方面，本申请实施例提供了一种计算机设备，所述计算机设备包括处理器、存储器和收发器，所述存储器存储有计算机程序，所述计算机程序用于被所述处理器执行，以实现上述安全域管理方法。
又一方面，本申请实施例还提供了一种计算机可读存储介质，所述存储介质中存储有计算机程序，所述计算机程序由处理器加载并执行以实现上述安全域管理方法。
又一方面，本申请还提供了一种芯片，所述芯片用于在计算机设备中运行，以使得所述计算机设备执行上述安全域管理方法。
又一方面，本申请提供了一种计算机程序产品，该计算机程序产品包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述安全域管理方法。
又一方面，本申请提供了一种计算机程序，该计算机程序由计算机设备的处理器执行，以实现上述安全域管理方法。
本申请实施例提供的技术方案可以带来如下有益效果：
目标设备在已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，可以将已配置的安全域已满的事件通知给配置设备；通过上述方案，目标设备可以将已配置的安全域已满的情况通知给用户，使得用户能够及时的删除目标设备中不需要的安全域，避免对后续安全域添加或更新的流程产生影响。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本申请一个实施例提供的物联网的网络架构的示意图；
图2是本申请一个实施例提供的安全域管理方法的流程图；
图3是本申请一个实施例提供的安全域管理方法的流程图；
图4是本申请一个实施例提供的安全域管理方法的流程图；
图5是图4所示实施例涉及的安全域更新示意图；
图6是本申请一个实施例提供的安全域管理方法的流程图；
图7是图6所示实施例涉及的安全域更新示意图；
图8是本申请一个实施例提供的安全域管理装置的框图；
图9是本申请一个实施例提供的安全域管理装置的框图；
图10是本申请一个实施例提供的计算机设备的结构示意图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。
本申请实施例描述的网络架构以及业务场景是为了更加清楚地说明本申请实施例的技术方案，并不构成对本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。
请参考图1，其示出了本申请一个实施例提供的物联网的网络架构的示意图。该物联网的网络架构可以包括：物联网设备110、配置设备120以及认证设备130；
物联网设备110可以是在物联网中，用于提供物联网协议对应的服务端功能的设备。源设备可以对外提供可订阅的资源。
比如，物联网设备110可以是智能家居设备，例如，智能灯具、智能电视、智能空调、智能冰箱、智能微波炉、智能电饭煲、扫地机器人、智能音箱、智能开关等等。
或者，物联网设备110可以是工业生产设备，例如，车床、工业机器人、太阳能面板、风力发电机等等。
或者，物联网设备110可以是商业服务设备，例如，无人售货机等等。
或者，物联网设备110可以是智能监控设备，例如，监控摄像头、红外传感器、声音传感器、温度传感器等等。
在一种可能的实现方式中，物联网设备110也可以是用户侧的终端设备。比如，物联网设备110可以是智能控制器、智能遥控器、智能手机、平板电脑、智能手表、智能电视、网关等等；或者，物联网设备110也可以是个人电脑，比如台式电脑、便携式计算机、个人工作站等等。
配置设备120可以是用户侧的终端设备。比如，配置设备120可以是智能手机、平板电脑、智能手表、智能电视等等。
在另一种可能的实现方式中，配置设备120也可以是基于终端设备运行的客户端实体(可以是虚拟实体)，例如，配置设备120可以是运行在智能手机中，用于对物联网设备110进行管理配置的APP。
认证设备130可以是部署在网络侧的服务器。比如，该服务器可以是单个服务器，或者，该服务器也可以是由多台服务器组成的服务器集群。该认证设备130可以是为物联网设备的认证提供云端支持的计算机设备。
在本申请实施例中，上述物联网设备110可以是满足相同或者不同的物联网协议的电子设备，比如，可以是满足连接标准联盟(Connectivity Standards Alliance，CSA)(或称Zigbee联盟)下的Matter协议(或称通过IP(Internet Protocol，网际互联协议)连接家庭工作组(Connected Home over IP Working Group，CHIP)项目)的电子设备。
Matter是一种基于IP的物联网连接标准，解决当下智能家居市场存在的兼容性、安全性和连接性等问题。Matter协议中存在以下概念：
1)Fabric
Fabric是一个安全域，它允许识别一组节点，并且让已识别的节点在该域的环境中进行通信。一个节点可以被一个或者多个Fabric域识别。其中，Fabric在生态内具有唯一的ID，其可以是64bit编码(可以参考后续表2中的内容)。在一个节点的节点操作证书中，通常存在一个字段来表征Fabric ID。
2)Fabric索引
设备上的每一个Fabric都有唯一的索引，该索引对应于全Fabric引用表中的某一个，使用Fabric-idx数据形式来表示(具体表现为某一个Fabric编号，例如Fabric 5)。这个Fabric索引映射到Fabric引用表 中会从较小索引开始编号，例如，当存在Fabric 1、3、4时，新的Fabric索引Id会是2，如果要继续添加Fabric，新的Fabric索引Id会是5、6、7等等。
3)Node
Node即节点，它封装了可寻址的、唯一的网络资源，并且具有一系列功能，使得用户可以清楚地将其视为一个功能整体。例如，一个支持Matter协议的台灯，在与用户端进行配对后具有了IP地址(可寻址的、唯一的网络资源)，并且具有开灯和关灯这两个功能，用户可以将台灯节点看作一个实体并对其进行控制。
节点是物模型中最高或最外层的一阶元素，也是物模型最外层唯一的可寻址元素。
一个节点可以有多个节点Id，每个Id归属于特定的Fabric。
支持该数据模型的通信协议栈应该支持节点逻辑互联网络上各节点之间的交互。
4)Endpoint
Endpoint即端点，一个节点由一个或多个端点构成。端点是一个实例，可以是一个服务类型或者一个虚拟设备。
每个端点都有一个或多个功能单元，即端点上支持的群集(Cluster)。群集是在端点上实例化的对象类。
例如，台灯可以看成一个节点，台灯可以有两个独立控制的灯泡，每个灯泡可以视为一个端点，每个灯泡的开灯功能对应一个群集Cluster，而亮度调节功能可以对应另一个Cluster。
5)Cluster
Cluster即群集，是物模型中最基本的功能构建元素。群集定义了服务器端和客户端之间交互的规则。群集可以视为接口、服务或对象类，是数据模型中最底层的独立的功能性元素。每个群集都有独立的规范定义，该规范包含attribute(属性)、event(事件)、command(命令)、behavior(行为)。群集的属性、事件、命令和行为的强制性或可选性取决于群集自身的定义。
群集规范应包含一个或多个群集标识符。一个群集标识符应参照一个群集规范并保证服从该规范。一个群集实例应由端点上的群集标识符表示并可被发现。群集标识符也代表了群集实例的功能和目的。
服务器群集支持属性、事件和命令数据，客户端群集负责发起交互，包括调用群集命令。
6)Attribute
Attribute即属性，反映了设备的可查询/可设置状态、配置以及能力。
7)Event
Event即事件，表示对过去以及发生的事情的记录。可以将事件看作是一个日志条目，事件流可以看作是节点上状态演变的时间视图。
事件是可读的，因为它的事件标识符是可以被群集实例发现的。
事件记录由节点在事件发生时创建。该记录应该具有事件标号、时间戳、优先级别这三个元数据。这些元数据应该存储在事件记录的标头中。
事件标号：
在节点范围内的64-bit的标号。该标号应该在节点的生命周期内单调递增，并且保证在设备重新启动后单调性不变。该单调性在设备恢复出厂设置后重置。
每个事件记录应该都有一个事件标号，该标号恰好为该节点上最后一个创建的事件记录的标号加一。
节点重启时，事件标号可能会以大于1的步长增长。
8)时间戳
每个事件在被创建的时候应该有一个时间戳。该时间戳应为系统时间(微秒)或新纪元时间(微秒)。
9)优先级别
因为优先级别可以在发送时被重写，它应当作为一个元数据记录在事件标头中。
10)证书更新
当Ecosystem(生态系统)的根CA(Certificate Authority，认证中心)更新时，需要相应地更新Node上配置的根证书的信息，而新的根公钥(Public Key)对应新的Fabric，因此会向设备添加新的Fabric：
①使用原有的(old)NOC(Node Operational Certificate，节点操作证书)建立CASE(Certificate Authenticated Session Establishment，证书认证会话建立)连接；
②使用AddTrustedRootCertificate添加新的根证书；
③使用AddNOC添加新的(new)NOC；
④结束CASE；
⑤使用new NOC建立CASE；
⑥使用RemoveFabric删除old Fabric。
在物联网中，生态系统可以由硬件设备、网络连接以及云中软件等部分组成。其中，硬件设备包括传感器以及执行器等设备；网络连接是指物联网硬件设备之间基于物联网协议建立的连接；云中软件通常部署在云端，用于数据收集、设备和配置管理、消息传递、固件更新、安全和身份管理等。
根证书是CA颁发的证书，是信任链的起始点。根证书可以包含三部分，用户的信息，根公钥，以及CA对根证书的签名。
NOC中通常包含一个可用于识别某个节点的唯一标识符，即节点操作标识符(例如节点ID)。NOC由安全域的根证书进行认证，以在该安全域进行节点身份的识别和认证。
11)节点操作证书群集(NOC Cluster)
此群集用于添加或删除专员或节点上的节点操作证书，以及管理关联的结构。
12)属性
其中，节点操作证书群集属性(Node Operational Credentials Cluster Attributes)可以如下述表1所示：
表1
上述表1中的CurrentFabricIndex指示两个设备之间当前建立的连接(比如CASE连接)所对应的Fabric。
其中，FabricDescriptorStruct的结构如下下述表2所示：
表2
ID Name Type Constraint Conformance
1 RootPublicKey octstr 65 M
2 VendorID vendor-id desc M
3 FabricID fabric-id M
4 NodeID node-id M
5 Label string max 32 M
节点操作群集的方法(Node Operational Credentials Cluster Commands)可以如下述表3所示：
表3
其中，AddNOC命令参数包含的字段可以如表4所示：
表4
ID Field Type Constraint Conformance
0 NOCValue octstr max 400 M
1 ICACValue octstr max 400 O
2 IpkValue octstr 16 M
3 CaseAdminNode SubjectID M
4 AdminVendorId vendor-id M
其中，AddTrustedRootCertificate(添加受信任的根证书)命令参数包含的字段以如表5所示：
表5
ID Field Type Constraint Conformance
0 RootCACertificate octstr max 400 M
其中，RemoveFabric(移除安全域)命令参数包含的字段以如表6所示：
表6
ID Field Type Conformance
0 FabricIndex fabric-idx M
在多管理者(Multi-Admin)的情况下，设备被配置到多个Fabric，此时设备的Fabric数量达到最大支持配置的安全域数量(max Supported Fabrics，即支持配置的安全域的数量上限)。例如，设备出厂时设定的max Supported Fabrics为5，用户购买设备后，将设备配置到5个生态下，为每个生态配置一个Fabric。当其中一个生态的根CA密钥发生更新，则用户需要更新设备上所配置的该生态根证书以及Fabric，但由于设备的Fabric Slot已经占满，可能导致更新出错，为用户的操作带来困扰。
请参考图2，其示出了本申请一个实施例提供的安全域管理方法的流程图，该方法可以由目标设备执行，比如，该目标设备可以是图1所示的网络架构中的物联网设备110；该方法可以包括如下步骤：
步骤201，在目标设备中已配置的安全域的数量达到目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；第一事件通知用于指示目标设备中已配置的安全域的数量达到目标设备支持配置的安全域的数量上限。
在本申请实施例中，上述安全域可以被配置在节点操作证书群集中。
综上所述，目标设备在已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，可以将已配置的安全域已满的事件通知给配置设备；通过上述方案，目标设备可以将已配置的安全域已满的情况通知给用户，使得用户能够及时的删除目标设备中不需要的安全域，避免对后续安全域添加或更新的流程产生影响。
请参考图3，其示出了本申请一个实施例提供的安全域管理方法的流程图，该方法可以由目标设备执行，比如，该目标设备可以是图1所示的网络架构中的配置设备120；该方法可以包括如下步骤：
步骤301，接收目标设备发送的第一事件通知；第一通知事件用于指示目标设备中已配置的安全域的数量达到目标设备支持配置的安全域的数量上限。
综上所述，目标设备在已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，可以将已配置的安全域已满的事件通知给配置设备；通过上述方案，目标设备可以将已配置的安全域已满的情况通知给用户，使得用户能够及时的删除目标设备中不需要的安全域，避免对后续安全域添加或更新的流程产生影响。
基于上述图2和图3所示的方案，在一种可能的情况下，目标设备可以在每次配置了新的安全域的情况下，若已配置的安全域已满，则向配置设备发送对应的事件通知。
请参考图4，其示出了本申请一个实施例提供的安全域管理方法的流程图，该方法可以由目标设备、配置设备以及认证设备交互执行；比如，上述目标设备可以是图1所示网络架构中的物联网设备110，上述配置设备可以是图1所示网络架构中的配置设备120，上述认证设备可以是图1所示的网络架构中的认证设备130；该方法可以包括如下几个步骤：
步骤401，配置设备接收认证平台发送更新请求，更新请求用于请求对目标设备中已配置的安全域进行更新；更新请求中包含第二安全域的根证书。
在本申请实施例中，当某个生态的认证平台触发根证书(比如根公钥)的更新时，可以向配置设备发送更新请求。
可选的，上述更新请求中可以携带更新后的根证书。
在一种可能的实现方式中，上述安全域可以包括安全域的根证书，以及安全域的节点操作证书中的至少一种。
步骤402，配置设备向目标设备发送获取安全域的数量信息的请求；目标设备接收该获取安全域的数量信息的请求。
在本申请实施例中，配置设备在接收到上述更新请求后，可以向目标设备查询其已配置的安全域的数量(即上述表1中的CommissionedFabrics)以及其支持配置的安全域的数量上限(即上述表1中的SupportedFabrics)。
可选的，上述获取安全域的数量信息的请求可以是单个请求，或者，上述获取安全域的数量信息的请求也可以是分别对应CommissionedFabrics以及SupportedFabrics的两个请求。
其中，若当前配置设备与目标设备之间尚未建立连接，则配置设备可以先通过配置设备所在的Fabric的节点操作证书，与目标设备建立安全连接，比如建立CASE连接。
步骤403，目标设备向配置设备发送该目标设备中已配置的安全域的数量信息，以及目标设备支持配置的安全域的数量信息；配置设备接收目标设备发送的，目标设备中已配置的安全域的数量信息，以及目标设备支持配置的安全域的数量信息。
上述已配置的安全域的数量信息可以是表1中的CommissionedFabrics的值；支持配置的安全域的数量信息可以是表1中的SupportedFabrics的值。
目标设备接收到上述获取安全域的数量信息的请求之后，即可以从节点操作证书群集属性中读取CommissionedFabrics以及SupportedFabrics的值，并将读取到的CommissionedFabrics以及SupportedFabrics的值返回给配置设备。
步骤404，在目标设备中已配置的安全域的数量小于目标设备支持配置的安全域的数量上限的情况下，配置设备向目标设备发送第一配置请求，目标设备接收该第一配置请求；第一配置请求包含第二安全域的信息。
在本申请实施例中，当配置设备判断出CommissionedFabrics的值小于SupportedFabrics的值时，即可以通过第一配置请求，将需要更新的第二安全域的信息发送给目标设备。
其中，在目标设备中配置的安全域的信息可以包括安全域的根证书、安全域的节点操作证书、访问控制列表、绑定信息、场景信息以及组密钥中的至少一种。
其中，上述第一配置请求可以通过上述表3中的AddTrustedRootCertificate(添加受信任的根证书)和AddNOC(添加节点操作证书)的方法进行发送。
在一种可能的实现方式中，配置设备还可以在向目标设备发送第一配置请求之前，接收认证平台发送的第二安全域的节点操作证书；第二安全域的节点操作证书是认证平台根据第二安全域的根公钥签发的节点操作证书；
其中，向目标设备发送第一配置请求的步骤可以包括：
根据第二安全域的根证书，以及第二安全域的节点操作证书，向目标设备发送第一配置请求。
比如，配置设备可以向目标设备发送包含第二安全域的根证书，以及第二安全域的节点操作证书的第一配置请求。其中，上述第二安全域的根证书，以及第二安全域的节点操作证书可以通过单条请求发送，或者也可以通过多条请求分别发送(也就是上述第一配置请求可以包含先后发送的多条请求)。
在本申请实施例中，对于第二安全域的NOC，配置设备可以向认证设备进行申请，认证设备可以根据第二安全域的根公钥签发第二安全域的NOC，并发送给配置设备。
步骤405，目标设备根据第一配置请求，在目标设备中配置第二安全域。
在本申请实施例中，目标设备可以将第二安全域写入目标设备中的节点操作证书群集属性中。
在一种可能的实现方式中，第二安全域的节点操作证书中携带的安全域的标识信息为当前安全域的标识信息；当前安全域是配置设备与目标设备之间当前建立的连接对应的安全域。
在本申请实施例中，配置设备与目标设备之间需要基于安全域来建立CASE连接，而配置设备与目标设备之间建立CASE连接所使用的安全域，即为上述当前安全域。
在本申请实施例中，上述安全域的标识信息可以包括安全域标识(Fabric ID)以及安全域索引(Fabric Index)中的至少一种。比如，上述当前安全域的标识信息可以是如上述表1所示的CurrentFabricIndex。
步骤406，目标设备在第二安全域配置完成后，更新目标设备中已配置的安全域的数量。
在本申请实施例中，目标设备在第二安全域配置完成后，即可以将目标设备中已配置的安全域的数量加1。
步骤407，在目标设备中已配置的安全域的数量达到目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；配置设备接收该第一事件通知。
在本申请实施例中，目标设备将目标设备中已配置的安全域的数量加1之后，可以将更新后的已配置的安全域的数量与支持配置的安全域的数量上限进行比较，若两者一致，则向配置设备发送第一事件通知。
在一种可能的实现方式中，第一事件通知中包含安全域描述结构体列表；安全域描述结构体列表中包含目标设备中已配置的至少一个安全域的安全域描述结构体。
其中，上述安全域描述结构体列表包含的信息可以如上述表2所示，此处不再赘述。
在一种可能的实现方式中，第一事件通知中包含安全域标识结构体列表；安全域标识结构体列表中包含目标设备中已配置的至少一个安全域的安全域标识结构体；
安全域标识结构体中包含以下信息中的至少一种：
根公钥、厂商标识信息、安全域索引以及安全域标签。
在本申请实施例中，上述安全域标识结构体列表可以是在安全域描述结构体列表的基础上去除节点 标识信息之后得到的。
在一种可能的实现方式中，第一事件通知中包含当前安全域的标识信息。
在本申请实施例中，目标设备可以将与配置设备连接所使用的安全域对应的当前安全域的标识信息携带在第一事件通知中，以提醒用户当前可以优先删除的安全域。比如，配置设备可以根据第一事件通知中携带的当前安全域的标识信息，向用户展示安全域删除提示，该提示中包含当前安全域的相关描述，比如当前安全域所属的生态等信息，以便用户判断是删除目标设备中的当前安全域，还是选择目标设备已配置的其他安全域进行删除。
步骤408，配置设备向目标设备发送移除安全域请求；目标设备接收该移除安全域请求。
其中，移除安全域请求(可以是上述表3和表6涉及的RemoveFabric命令)用于请求目标设备移除已配置的至少一个安全域。
在本申请实施例中，配置设备可以在接收到第一事件通知后，提示用户确认是否删除目标设备中的一个或者多个已配置的安全域。比如，配置设备可以提示用户是否删除目标设备中的当前安全域，提示用户是否删除与当前安全域属于同一生态的其他安全域，或者，提示用户选择一个或者多个目标设备中已配置的安全域进行删除。
在用户确认删除目标设备中的当前安全域/与当前安全域属于同一生态的其他安全域，或者，用户选择一个或者多个目标设备中已配置的安全域进行删除的情况下，配置设备可以向目标设备发送移除安全域请求。
步骤409，目标设备根据移除安全域请求，移除目标设备中已配置的至少一个安全域。
在本申请实施例中，目标设备可以根据移除安全域请求的指示，从节点操作证书群集属性中删除一个或者多个已配置的安全域。
在一种可能的实现方式中，移除安全域请求中包含目标设备中已配置的第一安全域的标识信息；移除安全域请求用于请求目标设备移除已配置的第一安全域。相应的，目标设备根据移除安全域请求，移除目标设备中已配置的第一安全域。
其中，上述第一安全域可以是当前安全域/与当前安全域属于同一生态的其他安全域，或者，也可以是用户指定的安全域。
在本申请实施例中，可以在NOC Cluster中增加一个FabricSlotsFull(安全域配置槽已满)事件，用于在Fabric被设置满之后向管理员用户发送通知；或者说，这里的FabricSlotsFull事件即为上述第一事件通知。该FabricSlotsFull事件可以如下述表7所示：
表7
ID Name Priority Access Conformance
0 FabricSlotsFull INFO V M
如上表所示，FabricSlotsFull事件的优先级为消息(INFO)。该事件包含的数据可以如下述表8所示：
表8
ID Name Type Conformance
0 Fabrics list[FabricDescriptorStruct] O
如图9所示，第一事件通知中可以包含上述步骤407下介绍的安全域描述结构体列表(list[FabricDescriptorStruct])。其中，安全域描述结构体列表中的安全域描述结构体包含的数据可以参考上述表2，此处不再赘述。
或者，FabricSlotsFull事件包含的数据(即第一事件通知中包含的数据)也可以如下述表9所示：
表9
ID Name Type Conformance
0 Fabrics list[FabricIdStruct] O
如图9所示，第一事件通知中可以包含上述步骤407下介绍的安全域标识结构体列表(list[FabricIdStruct])。
其中，FabricIdStruct(即上述的安全域标识结构体)的定义可以如下述表10所示：
表10
ID Name Type Constraint Conformance
1 RootPublicKey octstr 65 O
2 VendorID vendor-id desc M
3 FabricIndex fabric-idx M
4 Label string max 32 O
请参考图5，其示出了本申请实施例涉及的安全域更新示意图。如图5所示，假设生态平台的根CA公钥发生更新，用户通过手机作为配置器(Commissioner)为设备配置新的凭证的流程如下：
S51，Commissioner(配置设备)接收到认证平台通知Root PubKey更新以及更新的更证书RootCert2。
S52，Commissioner使用原Fabric的NOC与Device(目标设备)建立CASE连接。
S53，Commissioner读取Device的SupportedFabrics属性。
S54，Device返回SupportedFabrics属性的值为5。
S55，Commissioner读取Device的CommissionedFabrics属性。
S56，Device返回CommissionedFabrics属性的值为4。
S57，Commissioner比较上述CommissionedFabrics和SupportedFabrics二者的值，若CommissionedFabrics<SupportedFabrics，判断可添加新的Fabric。
S58，Commissioner向Device发送AddTrustedRootCertificate命令，将RootCert2配置到Device中。
S59，可选地，Commissioner向Device发送CSRRequest得到Device的新的证书签名申请(Certificate Signing Request，CSR)。
S510，Commissioner向平台申请Device的新的NOC。
S511，平台用Root PubKey 2签发新的NOC2，返回给Commissioner。
S512，Commissioner向Device发送AddNOC命令，将NOC2配置到Device中。
S513，Device更新NOC相关信息，包含更新CommissionedFabrics属性的值为5。
S514，Device判断CommissionedFabrics＝SupportedFabrics，则可以触发向Commissioner上报事件通知FabricSlotsFull。
S515，Commissioner收到FabricSlotsFull的事件后，通过操作界面提示用户删除当前Fabric。
S516，用户同意删除当前Fabric。
S517，Commissioner向Device发送RemoveFabric命令删除Fabric1。
综上所述，目标设备在已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，可以将已配置的安全域已满的事件通知给配置设备；通过上述方案，目标设备可以将已配置的安全域已满的情况通知给用户，使得用户能够及时的删除目标设备中不需要的安全域，避免对后续安全域添加或更新的流程产生影响。
基于上述图2和图3所示的方案，在一种可能的情况下，目标设备可以在每次配置新的安全域的过程中，若已配置的安全域已满，则向配置设备发送对应的事件通知。
请参考图6，其示出了本申请一个实施例提供的安全域管理方法的流程图，该方法可以由目标设备、配置设备以及认证设备交互执行；比如，上述目标设备可以是图1所示网络架构中的物联网设备110，上述配置设备可以是图1所示网络架构中的配置设备120，上述认证设备可以是图1所示的网络架构中的认证设备130；该方法可以包括如下几个步骤：
步骤601，配置设备接收认证平台发送更新请求，更新请求用于请求对目标设备中已配置的安全域进行更新；更新请求中包含第二安全域的根证书。
步骤602，配置设备向目标设备发送第一配置请求，目标设备接收该第一配置请求；第一配置请求包含第二安全域的信息。
在一种可能的实现方式中，配置设备还可以在向目标设备发送第一配置请求之前，接收认证平台发送的第二安全域的节点操作证书；第二安全域的节点操作证书是认证平台根据第二安全域的根公钥签发的节点操作证书；
其中，向目标设备发送第一配置请求的步骤可以包括：
根据第二安全域的根证书，以及第二安全域的节点操作证书，向目标设备发送第一配置请求。
在一种可能的实现方式中，向目标设备发送第一配置请求，包括：
配置设备向目标设备发送添加轮换的可信任的根证书请求；添加轮换的可信任的根证书请求中包含第二安全域的根证书；
配置设备向目标设备发送添加轮换的节点操作证书请求；添加轮换的节点操作证书请求中包含第二安全域的节点操作证书。
相应的，目标设备接收配置设备发送的添加轮换的可信任的根证书请求；并接收配置设备发送的添加轮换的节点操作证书请求。
在本申请实施例中，可以在表3所示的节点操作群集的方法的基础上增加两个新的方法，即添加轮换的可信任的根证书请求的方法，以及添加轮换的节点操作证书请求的方法，用于对安全域的根证书和节点操作证书进行更新。
在一种可能的实现方式中，第二安全域的标识信息与要更新的第一安全域的标识信息相同。
在本申请实施例中，在对目标设备中的已配置的第一安全域进行更新时，可以保持更新前后的安全域使用相同的标识信息。
在一种可能的实现方式中，第二安全域的节点操作证书中携带的安全域的标识信息为当前安全域的标识信息；当前安全域是配置设备与目标设备之间的连接对应的安全域。
步骤603，目标设备将第二安全域的信息进行缓存。
在本申请实施例中，由于目标设备在已配置的安全域的数量达到目标设备支持配置的安全域的数量上限的情况下无法配置新的安全域，通过该步骤603，目标设备可以将第二安全域的信息缓存下来，等待删除已配置的安全域。
步骤604，目标设备在已配置的安全域的数量达到目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；配置设备接收该第一事件通知。
在一种可能的实现方式中，第一事件通知中包含安全域描述结构体列表；安全域描述结构体列表中包含目标设备中已配置的至少一个安全域的安全域描述结构体。
在一种可能的实现方式中，第一事件通知中包含安全域标识结构体列表；安全域标识结构体列表中包含目标设备中已配置的至少一个安全域的安全域标识结构体；
安全域标识结构体中包含以下信息中的至少一种：
根公钥、厂商标识信息、安全域索引以及安全域标签。
在一种可能的实现方式中，第一事件通知中包含当前安全域的标识信息；当前安全域是配置设备与目标设备之间当前建立的连接对应的安全域。
在一种可能的实现方式中，向配置设备发送第一事件通知之前，还包括：
从第二安全域的节点操作证书中提取第二安全域的标识信息；
根据第二安全域的标识信息，从目标设备已配置的安全域中查询第一安全域；
向配置设备发送第一事件通知，包括：
在查询到第一安全域的情况下，向配置设备发送第一事件通知。
在本申请实施例中，当目标设备接收到上述第一配置信息之后，可以通过第二安全域的标识信息，查询/匹配本地是否存在同样标识信息的安全域，若存在，则确定该具有同样标识信息的安全域时需要更新的安全域，此时可以发送第一事件通知，以通知用户将需要更新的安全域删除。
在一种可能的实现方式中，根据第二安全域的标识信息，从目标设备已配置的安全域中查询第一安全域之前，还包括：
从第二安全域的根证书中提取第二安全域的根公钥；
根据第二安全域的标识信息，从目标设备已配置的安全域中查询第一安全域，包括：
从目标设备已配置的安全域中，查询标识信息与第二安全域的标识信息相同，且根公钥与第二安全域的根公钥不同的第一安全域。
在本申请实施例中，目标设备查询/匹配本地是否存在同样标识信息的安全域时，可以结合安全域的标识信息以及包含的根公钥来判断是否有需要更新的安全域，具体的，如果目标设备中存在一个安全域，其标识信息与第二安全域相同，但是根公钥不同，则说明该安全域是需要更新的安全域。
步骤605，配置设备向目标设备发送移除安全域请求；目标设备接收该移除安全域请求。
其中，移除安全域请求用于请求目标设备移除已配置的至少一个安全域。
步骤606，目标设备根据移除安全域请求，移除目标设备中已配置的至少一个安全域。
在一种可能的实现方式中，移除安全域请求中包含目标设备中已配置的第一安全域的标识信息；移除安全域请求用于请求目标设备移除已配置的第一安全域。相应的，目标设备根据移除安全域请求，移 除目标设备中已配置的第一安全域。
步骤607，目标设备在根据移除安全域请求，移除目标设备中已配置的第一安全域后，在目标设备中配置第二安全域。
在本申请实施例中，除了在NOC Cluster中增加一个FabricSlotsFull事件之外，还可以在NOC Cluster中增加AddRotationTrustedRootCertificate命令(即上述添加轮换的受信任的根证书请求)和AddRotationNOC命令(对应上述的添加轮换的节点操作证书请求)，用于添加更新的根证书和节点操作证书到临时存储区。其中，新增的命令方法可以如下述表11所示：
表11
AddRotationTrustedRootCertificate命令的参数，可以与上述表3中示出的AddTrustedRootCertificate命令的参数相同，AddRotationNOC命令的参数，可以与上述表3中的AddNOC命令的参数相同。
与AddTrustedRootCertificate命令和AddNOC命令不同的是，在本申请实施例中，AddRotationTrustedRootCertificate命令和AddRotationNOC命令还用于指示目标设备在配置安全域之前，先将待配置的安全域的根证书和节点操作证书进行缓存。
本申请实施例所示的方案也可以在NOC Cluster中增加一个FabricSlotsFull事件(如上述表7所示)。
FabricSlotsFull事件的优先级为消息(INFO)。该事件包含的数据可以如下表12所示：
表12
ID Name Type Conformance
0 Fabrics list[FabricDescriptorStruct] O
1 CurrentFabricIndex uint8 M
或者，FabricSlotsFull事件包含的数据也可以如下表13所示：
表13
ID Name Type Default Conformance
0 Fabrics list[FabricIdStruct] O
1 CurrentFabricIndex uint8 0 M
其中，表12中的CurrentFabricIndex即为上述的当前安全域的标识信息。表12和表13中的list[FabricDescriptorStruct]以及list[FabricIdStruct]的含义可以参考上述表8至表10对应的介绍，此处不再赘述。
请参考图7，其示出了本申请实施例涉及的安全域更新示意图。如图7所示，假设生态平台的根CA公钥发生更新，用户通过手机作为配置器(Commissioner)为设备配置新的凭证的流程如下：
S71，Commissioner接收到平台通知Root PubKey更新以及更新的更证书RootCert2。
S72，Commissioner使用原Fabric的NOC与Device建立CASE连接。
S73，Commissioner向Device发送AddRotationTrustedRootCertificate命令，将RootCert2配置到Device中。
S74，Device根据收到的命令为AddRotationTrustedRootCertificate，将RootCert2缓存到临时存储区。
S75，可选地，Commissioner向Device发送CSRRequest得到Device的新的CSR。
S76，Commissioner向平台申请Device的新的NOC，携带的参数FabricID为原FabricID1。
S77，平台用Root PubKey 2签发新的NOC2，NOC2中FabricID为FabricID1。平台将NOC2返回给Commissioner。
S78，Commissioner向Device发送AddRotationNOC命令，将NOC2配置到Device中。
S79，Device根据收到的命令为AddRotationNOC，将NOC2及ICAC2等信息缓存到临时存储区。
S710，Device判断CommissionedFabrics＝SupportedFabrics。
S711，Device提取AddRotationNOC命令中的AdminVendorId参数，得到VendorID值。
S712，Device提取NOC2中的FabricID，得到FabricID1。
S713，Device根据VendorID和FabricID的值找到匹配的Fabric，Fabric1。可选地，Device也可提取RootCert2中的Root PubKey，作为查找Fabric的匹配项。
S714，Device向Commissioner上报事件通知FabricSlotsFull，携带参数Fabric1。
S715，Commissioner收到FabricSlotsFull的事件后，通过操作界面提示用户删除Fabric1。
S716，用户同意删除Fabric1。
S717，Commissioner向Device发送RemoveFabric命令删除Fabric1。
S718，Device删除Fabric1，将缓存的RootCert2和NOC2添加到Fabric1的Slot。
通过本申请上述各个实施例所示的方案，可以解决在更新根CA证书及NOC的过程中，因Fabric满配而导致添加新凭证不成功的问题。通过在NOC Cluster中添加事件和临时存储机制，保持可用的Fabric配置slot，避免更新Root PubKey和Root证书时给用户带来的操作不便。
综上所述，目标设备在已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，可以将已配置的安全域已满的事件通知给配置设备；通过上述方案，目标设备可以将已配置的安全域已满的情况通知给用户，使得用户能够及时的删除目标设备中不需要的安全域，避免对后续安全域添加或更新的流程产生影响。
请参考图8，其示出了本申请一个实施例提供的安全域管理装置的框图。该安全域管理装置800具有实现上述图2、图4或图6所示的方法中，由目标设备执行的功能。如图8所示，该安全域管理装置800可以包括：
发送模块801，用于在目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；所述第一事件通知用于指示所述目标设备中已配置的安全域数量达到所述目标设备支持配置的安全域的数量上限。
在一种可能的实现方式中，所述第一事件通知中包含安全域描述结构体列表；所述安全域描述结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域描述结构体。
在一种可能的实现方式中，所述第一事件通知中包含安全域标识结构体列表；所述安全域标识结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域标识结构体；
所述安全域标识结构体中包含以下信息中的至少一种：
根公钥、厂商标识信息、安全域索引以及安全域标签。
在一种可能的实现方式中，所述第一事件通知中包含当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
在一种可能的实现方式中，所述装置还包括：
接收模块，用于接收所述配置设备发送的移除安全域请求；
移除模块，用于根据所述移除安全域请求，移除所述目标设备中已配置的至少一个安全域。
在一种可能的实现方式中，所述移除安全域请求中包含所述目标设备中已配置的第一安全域的标识信息；
所述移除模块，用于根据所述移除安全域请求，移除所述目标设备中已配置的所述第一安全域。
在一种可能的实现方式中，所述接收模块，还用于接收所述配置设备发送的第一配置请求，所述第一配置请求包含第二安全域的信息。
在一种可能的实现方式中，所述装置还包括：
第一配置模块，用于根据所述第一配置请求，在所述目标设备中配置所述第二安全域；
数量更新模块，用于在所述第二安全域配置完成后，更新所述目标设备中已配置的安全域的数量。
在一种可能的实现方式中，所述接收模块，还用于接收所述配置设备发送的获取安全域的数量信息的请求；
所述发送模块，还用于向所述配置设备发送所述目标设备中已配置的安全域的数量信息，以及所述目标设备支持配置的安全域的数量信息。
在一种可能的实现方式中，所述装置还包括：
缓存模块，用于将所述第二安全域的信息进行缓存；
所述装置还包括：
第二配置模块，用于在根据所述移除安全域请求，移除所述目标设备中已配置的第一安全域后，根据缓存的所述第二安全域的信息在所述目标设备中配置所述第二安全域。
在一种可能的实现方式中，所述接收模块，用于，
接收所述配置设备发送的添加轮换的可信任的根证书请求；所述添加轮换的可信任的根证书请求中包含所述第二安全域的根证书；
接收所述配置设备发送的添加轮换的节点操作证书请求；所述添加轮换的节点操作证书请求中包含所述第二安全域的节点操作证书。
在一种可能的实现方式中，所述第二安全域的标识信息与所述第一安全域的标识信息相同。
在一种可能的实现方式中，所述装置还包括：
第一提取模块，用于从所述第二安全域的节点操作证书中提取所述第二安全域的标识信息；
查询模块，用于根据所述第二安全域的标识信息，从所述目标设备已配置的安全域中查询所述第一安全域；
所述发送模块，用于在查询到所述第一安全域的情况下，向所述配置设备发送所述第一事件通知。
在一种可能的实现方式中，所述提取模块，还用于从所述目标设备已配置的安全域中查询所述第一安全域之前，从所述第二安全域的根证书中提取所述第二安全域的根公钥；
所述查询模块，用于从所述目标设备已配置的安全域中，查询标识信息与所述第二安全域的标识信息相同，且根公钥与所述第二安全域的根公钥不同的所述第一安全域。
请参考图9，其示出了本申请一个实施例提供的安全域管理装置的框图。该安全域管理装置900具有实现上述图3、图4或图6所示的方法中，由配置设备执行的功能。如图9所示，该安全域管理装置900可以包括：
接收模块901，用于接收目标设备发送的第一事件通知；所述第一通知事件用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
在一种可能的实现方式中，所述第一事件通知中包含安全域描述结构体列表；所述安全域描述结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域描述结构体。
在一种可能的实现方式中，所述第一事件通知中包含安全域标识结构体列表；所述安全域标识结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域标识结构体；
所述安全域标识结构体中包含以下信息中的至少一种：
根公钥、厂商标识信息、安全域索引以及安全域标签。
在一种可能的实现方式中，所述第一事件通知中包含当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
在一种可能的实现方式中，所述装置还包括：
发送模块，用于向所述目标设备发送移除安全域请求；所述移除安全域请求用于请求所述目标设备移除已配置的至少一个安全域。
在一种可能的实现方式中，所述移除安全域请求中包含所述目标设备中已配置的第一安全域的标识信息；所述移除安全域请求用于请求所述目标设备移除已配置的所述第一安全域。
在一种可能的实现方式中，所述发送模块，还用于向所述目标设备发送第一配置请求，所述第一配置请求包含第二安全域的信息。
在一种可能的实现方式中，所述接收模块，还用于在所述发送模块向所述目标设备发送第一配置请求之前，接收认证平台发送更新请求，所述更新请求用于请求对所述目标设备中已配置的安全域进行更新；所述更新请求中包含所述第二安全域的根证书；
所述接收模块，还用于接收所述认证平台发送的所述第二安全域的节点操作证书；所述第二安全域的节点操作证书是所述认证平台根据所述第二安全域的根公钥签发的节点操作证书；
所述发送模块，用于根据所述第二安全域的根证书，以及所述第二安全域的节点操作证书，向所述目标设备发送所述第一配置请求。
在一种可能的实现方式中，所述第二安全域的节点操作证书中携带的安全域的标识信息为当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
在一种可能的实现方式中，所述发送模块，还用于向所述目标设备发送获取安全域的数量信息的请求；
所述接收模块，还用于接收所述目标设备发送的，所述目标设备中已配置的安全域的数量信息，以及所述目标设备支持的安全域的数量信息；
所述发送模块，用于在所述目标设备中已配置的安全域的数量小于所述目标设备支持配置的安全域的数量上限的情况下，向所述目标设备发送所述第一配置请求。
在一种可能的实现方式中，所述发送模块，用于，
向所述目标设备发送添加轮换的可信任的根证书请求；所述添加轮换的可信任的根证书请求中包含 所述第二安全域的根证书；
向所述目标设备发送添加轮换的节点操作证书请求；所述添加轮换的节点操作证书请求中包含所述第二安全域中的节点操作证书。
请参考图10，其示出了本申请一个实施例提供的计算机设备1000的结构示意图。该计算机设备1000可以包括：处理器1001、接收器1002、发射器1003、存储器1004和总线1005。
处理器1001包括一个或者一个以上处理核心，处理器1001通过运行软件程序以及模块，从而执行各种功能应用以及信息处理。
接收器1002和发射器1003可以实现为一个通信组件，该通信组件可以是一块通信芯片。该通信芯片也可以称为收发器。
存储器1004通过总线1005与处理器1001相连。
存储器1004可用于存储计算机程序，处理器1001用于执行该计算机程序，以实现上述方法实施例中的各个步骤。
此外，存储器1004可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，易失性或非易失性存储设备包括但不限于：磁盘或光盘，电可擦除可编程只读存储器，可擦除可编程只读存储器，静态随时存取存储器，只读存储器，磁存储器，快闪存储器，可编程只读存储器。
其中，上述计算机设备1000中的处理器和/或收发器执行的过程可以参考上述图2、图3、图4或图6任一所示的方法中，由目标设备或者配置设备执行的各个步骤。
本申请实施例还提供了一种计算机可读存储介质，所述存储介质中存储有计算机程序，所述计算机程序由处理器加载并执行以实现上述图2、图3、图4或图6任一所示的方法中，由目标设备或者配置设备执行的各个步骤。
本申请还提供了一种芯片，该芯片用于在计算机设备中运行，以使得计算机设备执行上述图2、图3、图4或图6任一所示的方法中，由目标设备或者配置设备执行的各个步骤。
本申请还提供了一种计算机程序产品，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得计算机设备执行上述图2、图3、图4或图6任一所示的方法中，由目标设备或者配置设备执行的各个步骤。
本申请还提供了一种计算机程序，该计算机程序由计算机设备的处理器执行，以实现上述图2、图3、图4或图6任一所示的方法中，由目标设备或者配置设备执行的各个步骤。

Claims (53)

  1. 一种安全域管理方法，其特征在于，所述方法由目标设备执行，所述方法包括：
    在所述目标设备已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；所述第一事件通知用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
  2. 根据权利要求1所述的方法，其特征在于，所述第一事件通知中包含安全域描述结构体列表；所述安全域描述结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域描述结构体。
  3. 根据权利要求1所述的方法，其特征在于，所述第一事件通知中包含安全域标识结构体列表；所述安全域标识结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域标识结构体；
    所述安全域标识结构体中包含以下信息中的至少一种：
    根公钥、厂商标识信息、安全域索引以及安全域标签。
  4. 根据权利要求1至3任一所述的方法，其特征在于，所述第一事件通知中包含当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
  5. 根据权利要求1至4任一所述的方法，其特征在于，所述方法还包括：
    接收所述配置设备发送的移除安全域请求；
    根据所述移除安全域请求，移除所述目标设备中已配置的至少一个安全域。
  6. 根据权利要求5所述的方法，其特征在于，所述移除安全域请求中包含所述目标设备中已配置的第一安全域的标识信息；
    所述根据所述移除安全域请求，移除所述目标设备中已配置的至少一个安全域，包括：
    根据所述移除安全域请求，移除所述目标设备中已配置的所述第一安全域。
  7. 根据权利要求5或6所述的方法，其特征在于，所述在所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知之前，还包括：
    接收所述配置设备发送的第一配置请求，所述第一配置请求包含第二安全域的信息；
    根据所述第一配置请求，在所述目标设备中配置所述第二安全域；
    在所述第二安全域配置完成后，更新所述目标设备中已配置的安全域的数量。
  8. 根据权利要求7所述的方法，其特征在于，所述方法还包括：
    接收所述配置设备发送的获取安全域的数量信息的请求；
    向所述配置设备发送所述目标设备已配置的安全域的数量信息，以及所述目标设备支持配置的安全域的数量信息。
  9. 根据权利要求7所述的方法，其特征在于，所述方法还包括：
    将所述第二安全域的信息进行缓存；
    在根据所述移除安全域请求，移除所述目标设备中已配置的第一安全域信息后，根据缓存的所述第二安全域的信息在所述目标设备中配置所述第二安全域。
  10. 根据权利要求9所述的方法，其特征在于，所述接收所述配置设备发送的第一配置请求，包括：
    接收所述配置设备发送的添加轮换的可信任的根证书请求；所述添加轮换的可信任的根证书请求中包含所述第二安全域的根证书；
    接收所述配置设备发送的添加轮换的节点操作证书请求；所述添加轮换的节点操作证书请求中包含所述第二安全域的节点操作证书。
  11. 根据权利要求9或10所述的方法，其特征在于，所述第二安全域的标识信息与所述第一安全域的标识信息相同。
  12. 根据权利要求11所述的方法，其特征在于，所述向所述配置设备发送所述第一事件通知之前，还包括：
    从所述第二安全域的节点操作证书中提取所述第二安全域的标识信息；
    根据所述第二安全域的标识信息，从所述目标设备已配置的安全域中查询所述第一安全域；
    所述向所述配置设备发送所述第一事件通知，包括：
    在查询到所述第一安全域的情况下，向所述配置设备发送所述第一事件通知。
  13. 根据权利要求12所述的方法，其特征在于，所述根据所述第二安全域的标识信息，从所述目标设备已配置的安全域中查询所述第一安全域之前，还包括：
    从所述第二安全域的根证书中提取所述第二安全域的根公钥；
    所述根据所述第二安全域的标识信息，从所述目标设备已配置的安全域中查询所述第一安全域，包括：
    从所述目标设备已配置的安全域中，查询标识信息与所述第二安全域的标识信息相同，且根公钥与所述第二安全域的根公钥不同的所述第一安全域。
  14. 一种安全域管理方法，其特征在于，所述方法由配置设备执行，所述方法包括：
    接收目标设备发送的第一事件通知；所述第一通知事件用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
  15. 根据权利要求14所述的方法，其特征在于，所述第一事件通知中包含安全域描述结构体列表；所述安全域描述结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域描述结构体。
  16. 根据权利要求14所述的方法，其特征在于，所述第一事件通知中包含安全域标识结构体列表；所述安全域标识结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域标识结构体；
    所述安全域标识结构体中包含以下信息中的至少一种：
    根公钥、厂商标识信息、安全域索引以及安全域标签。
  17. 根据权利要求14至16任一所述的方法，其特征在于，所述第一事件通知中包含当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
  18. 根据权利要求14至17任一所述的方法，其特征在于，所述方法还包括：
    向所述目标设备发送移除安全域请求；所述移除安全域请求用于请求所述目标设备移除已配置的至少一个安全域。
  19. 根据权利要求18所述的方法，其特征在于，所述移除安全域请求中包含所述目标设备中已配置的第一安全域的标识信息；所述移除安全域请求用于请求所述目标设备移除已配置的所述第一安全域。
  20. 根据权利要求18或19所述的方法，其特征在于，所述方法还包括：
    向所述目标设备发送第一配置请求，所述第一配置请求包含第二安全域的信息。
  21. 根据权利要求20所述的方法，其特征在于，所述方法还包括：
    接收认证平台发送更新请求，所述更新请求用于请求对所述目标设备中已配置的安全域进行更新；所述更新请求中包含所述第二安全域的根证书；
    接收所述认证平台发送的所述第二安全域的节点操作证书；所述第二安全域的节点操作证书是所述认证平台根据所述第二安全域的根公钥签发的节点操作证书；
    所述向所述目标设备发送第一配置请求，包括：
    根据所述第二安全域的根证书，以及所述第二安全域的节点操作证书，向所述目标设备发送所述第一配置请求。
  22. 根据权利要求21所述的方法，其特征在于，所述第二安全域的节点操作证书中携带的安全域的标识信息为当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
  23. 根据权利要求20至22任一所述的方法，其特征在于，所述方法还包括：
    向所述目标设备发送获取安全域的数量信息的请求；
    接收所述目标设备发送的，所述目标设备中已配置的安全域的数量信息，以及所述目标设备支持配置的安全域的数量信息；
    所述向所述目标设备发送第一配置请求，包括：
    在所述目标设备中已配置的安全域的数量小于所述目标设备支持配置的安全域的数量的情况下，向所述目标设备发送所述第一配置请求。
  24. 根据权利要求20至22任一所述的方法，其特征在于，所述向所述目标设备发送第一配置请求，包括：
    向所述目标设备发送添加轮换的可信任的根证书请求；所述添加轮换的可信任的根证书请求中包含所述第二安全域的根证书；
    向所述目标设备发送添加轮换的节点操作证书请求；所述添加轮换的节点操作证书请求中包含所述第二安全域的节点操作证书。
  25. 一种安全域管理装置，其特征在于，所述装置包括：
    发送模块，用于在目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限的情况下，向配置设备发送第一事件通知；所述第一事件通知用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
  26. 根据权利要求25所述的装置，其特征在于，所述第一事件通知中包含安全域描述结构体列表；所述安全域描述结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域描述结构体。
  27. 根据权利要求25所述的装置，其特征在于，所述第一事件通知中包含安全域标识结构体列表；所述安全域标识结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域标识结构体；
    所述安全域标识结构体中包含以下信息中的至少一种：
    根公钥、厂商标识信息、安全域索引以及安全域标签。
  28. 根据权利要求25至27任一所述的装置，其特征在于，所述第一事件通知中包含当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
  29. 根据权利要求25至28任一所述的装置，其特征在于，所述装置还包括：
    接收模块，用于接收所述配置设备发送的移除安全域请求；
    移除模块，用于根据所述移除安全域请求，移除所述目标设备中已配置的至少一个安全域。
  30. 根据权利要求29所述的装置，其特征在于，所述移除安全域请求中包含所述目标设备中已配置的第一安全域的标识信息；
    所述移除模块，用于根据所述移除安全域请求，移除所述目标设备中已配置的所述第一安全域。
  31. 根据权利要求29或30所述的装置，其特征在于，
    所述接收模块，还用于接收所述配置设备发送的第一配置请求，所述第一配置请求包含第二安全域的信息；
    所述装置还包括：
    第一配置模块，用于根据所述第一配置请求，在所述目标设备中配置所述第二安全域；
    数量更新模块，用于在所述第二安全域配置完成后，更新所述目标设备中已配置的安全域的数量。
  32. 根据权利要求31所述的装置，其特征在于，
    所述接收模块，还用于接收所述配置设备发送的获取安全域的数量信息的请求；
    所述发送模块，还用于向所述配置设备发送所述目标设备中已配置的安全域的数量信息，以及所述目标设备支持的安全域的数量信息。
  33. 根据权利要求31所述的装置，其特征在于，所述装置还包括：
    缓存模块，用于将所述第二安全域的信息进行缓存；
    第二配置模块，用于在根据所述移除安全域请求，移除所述目标设备中已配置的第一安全域后，根据缓存的所述第二安全域的信息在所述目标设备中配置所述第二安全域。
  34. 根据权利要求33所述的装置，其特征在于，所述接收模块，用于，
    接收所述配置设备发送的添加轮换的可信任的根证书请求；所述添加轮换的可信任的根证书请求中包含所述第二安全域的根证书；
    接收所述配置设备发送的添加轮换的节点操作证书请求；所述添加轮换的节点操作证书请求中包含所述第二安全域的节点操作证书。
  35. 根据权利要求33或34所述的装置，其特征在于，所述第二安全域的标识信息与所述第一安全域的标识信息相同。
  36. 根据权利要求35所述的装置，其特征在于，所述装置还包括：
    第一提取模块，用于从所述第二安全域的节点操作证书中提取所述第二安全域的标识信息；
    查询模块，用于根据所述第二安全域的标识信息，从所述目标设备已配置的安全域中查询所述第一安全域；
    所述发送模块，用于在查询到所述第一安全域的情况下，向所述配置设备发送所述第一事件通知。
  37. 根据权利要求36所述的装置，其特征在于，
    所述提取模块，还用于从所述第二安全域的根证书中提取所述第二安全域的根公钥；
    所述查询模块，用于从所述目标设备已配置的安全域中，查询标识信息与所述第二安全域的标识信息相同，且根公钥与所述第二安全域的根公钥不同的所述第一安全域。
  38. 一种安全域管理装置，其特征在于，所述装置包括：
    接收模块，用于接收目标设备发送的第一事件通知；所述第一通知事件用于指示所述目标设备中已配置的安全域的数量达到所述目标设备支持配置的安全域的数量上限。
  39. 根据权利要求38所述的装置，其特征在于，所述第一事件通知中包含安全域描述结构体列表；所述安全域描述结构体列表中包含所述目标设备中已配置的至少一个安全域的安全域描述结构体。
  40. 根据权利要求38所述的装置，其特征在于，所述第一事件通知中包含安全域标识结构体列表；所述安全域标识结构体列表中包含所述目标设备中已配置的安全域的安全域标识结构体；
    所述安全域标识结构体中包含以下信息中的至少一种：
    根公钥、厂商标识信息、安全域索引以及安全域标签。
  41. 根据权利要求38至40任一所述的装置，其特征在于，所述第一事件通知中包含当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
  42. 根据权利要求38至41任一所述的装置，其特征在于，所述装置还包括：
    发送模块，用于向所述目标设备发送移除安全域请求；所述移除安全域请求用于请求所述目标设备移除已配置的至少一个安全域。
  43. 根据权利要求42所述的装置，其特征在于，所述移除安全域请求中包含所述目标设备中已配置的第一安全域的标识信息；所述移除安全域请求用于请求所述目标设备移除已配置的所述第一安全域。
  44. 根据权利要求42或43所述的装置，其特征在于，
    所述发送模块，还用于向所述目标设备发送第一配置请求，所述第一配置请求包含第二安全域的信息。
  45. 根据权利要求44所述的装置，其特征在于，
    所述接收模块，还用于接收认证平台发送更新请求，所述更新请求用于请求对所述目标设备中已配置的安全域进行更新；所述更新请求中包含所述第二安全域的根证书；
    所述接收模块，还用于接收所述认证平台发送的所述第二安全域的节点操作证书；所述第二安全域 的节点操作证书是所述认证平台根据所述第二安全域的根公钥签发的节点操作证书；
    所述发送模块，用于根据所述第二安全域的根证书，以及所述第二安全域的节点操作证书，向所述目标设备发送所述第一配置请求。
  46. 根据权利要求45所述的装置，其特征在于，所述第二安全域的节点操作证书中携带的安全域的标识信息为当前安全域的标识信息；所述当前安全域是所述配置设备与所述目标设备之间当前建立的连接对应的安全域。
  47. 根据权利要求44至46任一所述的装置，其特征在于，
    所述发送模块，还用于向所述目标设备发送获取安全域的数量信息的请求；
    所述接收模块，还用于接收所述目标设备发送的，所述目标设备中已配置的安全域的数量信息，以及所述目标设备支持配置的安全域的数量信息；
    所述发送模块，用于在所述目标设备中已配置的安全域的数量小于所述目标设备支持配置的安全域的数量上限的情况下，向所述目标设备发送所述第一配置请求。
  48. 根据权利要求44至46任一所述的装置，其特征在于，所述发送模块，用于，
    向所述目标设备发送添加轮换的可信任的根证书请求；所述添加轮换的可信任的根证书请求中包含所述第二安全域的根证书；
    向所述目标设备发送添加轮换的节点操作证书请求；所述添加轮换的节点操作证书请求中包含所述第二安全域的节点操作证书。
  49. 一种计算机设备，其特征在于，所述计算机设备包括处理器、存储器和收发器；
    所述存储器中存储有计算机程序，所述处理器执行所述计算机程序，以使得所述计算机设备实现如上述权利要求1至24任一所述的安全域管理方法。
  50. 一种计算机可读存储介质，其特征在于，所述存储介质中存储有计算机程序，所述计算机程序用于被处理器执行，以实现如权利要求1至24任一所述的安全域管理方法。
  51. 一种芯片，其特征在于，所述芯片用于在计算机设备中运行，以使得所述计算机设备执行如权利要求1至24任一所述的安全域管理方法。
  52. 一种计算机程序产品，其特征在于，所述计算机程序产品包括计算机指令，所述计算机指令存储在计算机可读存储介质中；计算机设备的处理器从所述计算机可读存储介质读取所述计算机指令，并执行所述计算机指令，使得所述计算机设备执行如权利要求1至24任一所述的安全域管理方法。
  53. 一种计算机程序，其特征在于，所述计算机程序由计算机设备的处理器执行，以实现如权利要求1至24任一所述的安全域管理方法。
CN202280084063.2A 2022-05-07 2022-05-07 安全域管理方法、装置、设备、存储介质及程序产品 Pending CN118435639A (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2022/091541 WO2023216035A1 (zh) 2022-05-07 2022-05-07 安全域管理方法、装置、设备、存储介质及程序产品

Publications (1)

Publication Number Publication Date
CN118435639A true CN118435639A (zh) 2024-08-02

Family

ID=88729393

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202280084063.2A Pending CN118435639A (zh) 2022-05-07 2022-05-07 安全域管理方法、装置、设备、存储介质及程序产品

Country Status (2)

Country Link
CN (1) CN118435639A (zh)
WO (1) WO2023216035A1 (zh)

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8539545B2 (en) * 2010-07-22 2013-09-17 Juniper Networks, Inc. Domain-based security policies
KR102132218B1 (ko) * 2013-09-24 2020-07-09 삼성전자 주식회사 신뢰하는 실행 환경에서의 보안 도메인 관리 방법 및 장치
WO2016023199A1 (zh) * 2014-08-13 2016-02-18 华为技术有限公司 一种安全域管理方法、装置及系统
US10671744B2 (en) * 2016-06-23 2020-06-02 Intel Corporation Lightweight trusted execution for internet-of-things devices
WO2021102915A1 (zh) * 2019-11-29 2021-06-03 Oppo广东移动通信有限公司 物联网设备的配置方法、装置及存储介质
WO2021142849A1 (zh) * 2020-01-19 2021-07-22 Oppo广东移动通信有限公司 安全域的配置、发现和加入方法及装置、电子设备
CN113381966B (zh) * 2020-03-09 2023-09-26 维沃移动通信有限公司 信息上报方法、信息接收方法、终端及网络侧设备
CN113810283A (zh) * 2021-09-16 2021-12-17 中国联合网络通信集团有限公司 网络安全配置方法、装置、服务器及存储介质

Also Published As

Publication number Publication date
WO2023216035A1 (zh) 2023-11-16

Similar Documents

Publication Publication Date Title
CN105471686B (zh) 终端控制方法、装置及系统
JP5981662B2 (ja) 無線通信システムにおいて接近権限認証のための方法及び装置
CN109644522B (zh) 用于通过无线网络安全加载设备的方法和系统
US9769801B2 (en) Method and apparatus for updating information regarding specific resource in wireless communication system
US9521039B2 (en) Method and system for managing devices in batches
CN105049502B (zh) 一种云端网络管理系统中设备软件更新的方法和装置
US20150358824A1 (en) Method and apparatus for controlling access in wireless communication system
US20200195508A1 (en) Systems and methods for network device management using device clustering
US20090024727A1 (en) Network system management method
US20090160626A1 (en) Method for Setting Home Code in Network System and Device for Network
KR20070119013A (ko) 네트워크 시스템의 디바이스 장치 및 프로파일 전송 방법
US20080172481A1 (en) Method of Configuring Network Profile of Network System
JP2023529775A (ja) モノのインターネットにおけるデバイス制御方法、装置、ゲートウェイ装置、及び記憶媒体
CN118435639A (zh) 安全域管理方法、装置、设备、存储介质及程序产品
CN115835370A (zh) 智能设备的配网方法、装置、设备以及介质
CN105207811B (zh) 一种替换非AllJoyn设备的方法及装置
CN113132333B (zh) 组网登录方法、家电设备、家电系统及存储介质
TWI439081B (zh) 網路裝置及更改其參數設定的方法
CN112152850A (zh) 一种基于闪联协议的物联网设备管理方法及业务终端
WO2023184559A1 (zh) 设备共享方法、装置、设备、存储介质及程序产品
WO2023108653A1 (zh) 订阅权限信息处理方法、装置、计算机设备及存储介质
WO2023115584A1 (zh) 连接配置方法、连接建立方法、装置、设备及存储介质
CN117917048A (zh) 对桥接设备进行配置的方法、装置、设备及存储介质
CN114125843B (zh) 一种智能设备配网方法、装置和设备
CN118103838A (zh) 信息上报方法、装置、设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination