层安全性(DTLS)协议。
[0068]参考图4，将描述根据本发明的实施例的用于建立在受约束RD和客户端设备之间共享的第一秘密密钥的方法的流程图。所述受约束RD具有与AS共享的第二秘密密钥。所述方法是在受约束RD中执行的，其中所述AS与客户端设备相关联。所述方法包括从客户端设备接收402数字签名和针对所述第一秘密密钥的请求的标识符。所述方法还包括基于所述请求的标识符和所述第二秘密密钥，导出404第一秘密密钥，以及基于所导出的第一秘密密钥生成406数字签名。所述方法还包括确定408所接收的数字签名是否等于所生成的数字签名。此外，所述方法还包括:如果所接收的数字签名等于所生成的数字签名，则推断所导出的第一秘密密钥等于所述AS的第一秘密密钥，并且所接收的所述请求的标识符等于由所述AS确定的所述请求的标识符。如果所接收的数字签名不等于所生成的数字签名，则所述方法包括不执行412任何操作。
[0069]所述用于建立第一秘密密钥的方法中的所述请求的标识符可包括随机数。
[0070]所述用于建立第一秘密密钥的方法中的所述请求的标识符可包括客户端设备标识符，基于该客户端设备标识符可对客户端设备进行认证。
[0071]所述用于建立第一秘密密钥的方法中的所述请求的标识符可包括针对客户端设备的访问信息，基于所述访问信息，所述方法还包括授权客户端设备对受约束RD的访问。
[0072]所述用于建立第一秘密密钥的方法可包括基于所导出的第一秘密密钥生成第二数字签名，以及将所述第二数字签名发送到客户端设备。
[0073]所述用于建立第一秘密密钥的方法中，其中数字签名包括消息认证码MAC。
[0074]所述用于建立第一秘密密钥的方法可在认证协议内执行。
[0075]其中执行所述用于建立第一秘密密钥的方法的认证协议可包括传输层安全性(TLS)协议或数据报传输层安全性(DTLS)协议。
[0076]参考图6，示意性地示出了用于使得能够建立在受约束RD 502和客户端设备506之间共享的第一秘密密钥的授权服务器504、60。所述授权服务器504、60被配置为使得能够建立在受约束RD 502和客户端设备506之间共享的第一秘密密钥。所述AS被配置为具有与受约束RD共享的第二秘密密钥，并且与客户端设备相关联。所述AS包括:处理器62 ;以及存储器64，存储包括计算机程序代码的计算机程序，所述计算机程序代码当在处理器中运行时，使得授权服务器从客户端设备接收32、510针对在受约束RD和客户端设备之间共享的第一秘密密钥的请求。所述计算机程序代码还使得所述授权:基于从客户端设备接收的请求，确定34、512所述请求的标识符，以及基于所述请求的所述标识符和所述第二秘密密钥生成36、514第一秘密密钥，其中所述第一秘密密钥与所述请求的标识符相关联。所述计算机程序代码还使得所述授权服务器:向客户端设备发送38、516所述请求的标识符和所生成的第一秘密密钥，从而使得客户端设备能够生成将要在与受约束RD的通信中使用的数字签名，使得能够建立在受约束RD和客户端设备之间共享的第一秘密密钥。
[0077]所述授权服务器中的存储器的所述计算机程序代码当在处理器中运行时，可使得授权服务器:在针对第一秘密密钥的请求中，接收客户端设备标识符，以及基于所接收的客户端设备标识符认证客户端设备506。
[0078]所述授权服务器中的存储器的所述计算机程序代码当在处理器中运行时，可使得授权服务器:确定所述请求的标识符，其中所述请求的标识符可包括随机数。
[0079]所述请求的标识符可用作用于AS和受约束RD之间的加密数据的完整性保护通道。由于加密数据将看起来是随机的，所以所述加密数据可用作随机数。如果所述请求的标识符用作用于传输随机数据的通道，则在没有任何固有含义的情况下，如此的随机数据可用作随机数。
[0080]图7示意性地示出了被配置为建立在客户端设备506和受约束RD 502,70之间共享的第一秘密密钥的受约束RD 502、70。所述受约束RD被配置为具有与AS 504、60共享的第二秘密密钥，并且所述AS与客户端设备506相关联。所述受约束RD包括:处理器72 ;以及存储器74，存储包括计算机程序代码的计算机程序，所述计算机程序代码当在处理器中运行时，使得所述受约束资源设备从客户端设备接收402、524数字签名和针对第一秘密密钥的请求的标识符。所述计算机程序代码还使得受约束RD基于所述请求的标识符和所述第二秘密密钥，导出404、526第一秘密密钥，以及基于所导出的第一秘密密钥生成406、528数字签名。此外，所述计算机程序代码还使得所述受约束RD确定408、528所接收的数字签名是否等于所生成的数字签名。此外，所述计算机程序代码当在处理器中运行时还使得受约束RD:如果所接收的数字签名等于所生成的数字签名，则推断所导出的第一秘密密钥等于所述AS的第一秘密密钥，并且所接收的所述请求的标识符等于由所述AS确定的所述请求的标识符。
[0081]所述受约束RD的所述计算机程序代码当在处理器中运行时可使得受约束资源设备:当所述请求的标识符包括针对客户端设备的访问信息时，基于访问信息授权客户端设备对受约束RD的访问。
[0082]所述受约束RD的所述计算机程序代码当在处理器中运行时可使得受约束资源设备:接收包括随机数的所述请求的标识符。
[0083]所述受约束RD的所述计算机程序代码当在处理器中运行时可使得受约束资源设备:基于所导出的第一秘密密钥生成第二数字签名，以及将所述第二数字签名发送到客户端设备。
[0084]所述受约束资源设备可包括受约束资源服务器。
[0085]图8示意性地示出了被配置为使得能够建立在受约束RD和客户端设备之间共享的第一秘密密钥的授权服务器(AS)80。所述AS被配置为具有与受约束RD共享的第二秘密密钥，并且与客户端设备相关联。所述AS 80包括:接收单元82，被配置为从客户端设备接收32、510针对在受约束RD和客户端设备之间共享的第一秘密密钥的请求。所述AS还包括:确定单元84，被配置为基于从客户端设备接收的请求，确定34、512所述请求的标识符。所述AS还包括:生成单元86，被配置为基于所述请求的所述标识符和所述第二秘密密钥生成36、514第一秘密密钥，其中所述第一秘密密钥与所述请求的标识符相关联；以及此外，所述AS还包括:发送单元88，被配置为向客户端设备发送38、516所述请求的标识符和所生成的第一秘密密钥，使得客户端设备能够生成将要在与受约束RD的通信中使用的数字签名，使得能够建立在受约束RD和客户端设备之间共享的第一秘密密钥。
[0086]图9示意性地示出了被配置为建立在客户端设备506和受约束资源设备RD 502、90之间共享的第一秘密密钥的受约束资源设备RD 502、90，受约束RD被配置为具有与AS504、60、80共享的第二秘密密钥，其中AS与客户端设备相关联。所述受约束RD包括:接收单元92，被配置为从客户端设备接收数字签名和针对所述第一秘密密钥的请求的标识符。同样，所述受约束RD包括:导出单元94，被配置为基于所述请求的标识符和所述第二秘密密钥，导出第一秘密密钥。此外，所述受约束RD包括:生成单元96，被配置为基于所导出的第一秘密密钥，生成数字签名。此外，所述受约束RD包括:确定单元98，被配置为确定所接收的数字签名是否等于所生成的数字签名。所述生成单元96还被配置为:如果所接收的数字签名等于所生成的数字签名，则推断所导出的第一秘密密钥等于所述AS的第一秘密密钥，并且所接收的所述请求的标识符等于由所述AS确定的所述请求的标识符。
[0087]本公开从而示出了授权服务器、受约束资源设备及其方法。
[0088]本发明具有以下优点:
[0089]不需要通过由受约束资源设备发送或接受任何附加消息来使得能够更新访问控制列表。从而可使用较小的成本采用更为灵活的访问控制模型并且只根据由受约束RD进行的处理采用。
[0090]还应注意但是，上述实施例只是作为示例提出，不应限制本发明，这是因为其他方案、使用、目标和功能明显位于所附权利要求所要求保护的本发明的范围内。
[0091]MM
[0092]AS 授权服务器
[0093]CoAP受约束应用协议
[0094]DTLS 数据报 TLS
[0095]HTTP超文本传输协议
[0096]ID 标识
[0097]IETF互联网工程任务组
[0098]IKE 互联网密钥交换
[0099]1T 物联网
[0100]PSK 预先共享的密钥
[0101]RAM 随机存取存储器
[0102]RD 资源设备
[0103]TCP 传输控制协议
[0104]TLS 传输层安全性
[0105]TTP 可信第三方
[0106]UDP 用户数据报协议
【主权项】
1.一种用于使得能够建立在受约束资源设备RD(502、70、90)和客户端设备(506)之间共享的第一秘密密钥的方法，所述方法是在具有与受约束RD共享的第二秘密密钥的授权服务器AS(504、60、80)中执行的，其中AS与客户端设备相关联，所述方法包括: -从客户端设备接收(32、510)针对在受约束RD和客户端设备之间共享的第一秘密密钥的请求； -基于从客户端设备接收的请求，确定(34、512)所述请求的标识符； -基于所述请求的所述标识符和所述第二秘密密钥生成(36、514)第一秘密密钥，其中所述第一秘密密钥与所述请求的标识符相关联；以及 -向客户端设备发送(38、516)所述请求的标识符和所生成的第一秘密密钥，从而使得客户端设备能够生成将要在与受约束RD的通信中使用的数字签名，使得能够建立在受约束RD和客户端设备之间共享的第一秘密密钥。2.根据权利要求1