ISO / IEC 29341-13-10, Ấn bản đầu tiên, tháng 11 năm 2008 – Công nghệ thông tin – Kiến trúc thiết bị UPnP – Phần 13-10: Giao thức điều khiển thiết bị bảo mật thiết bị – Dịch vụ bảo mật thiết bị

Tổng quan và Phạm vi

Dịch vụ Bảo mật Thiết bị cung cấp các dịch vụ cần thiết để xác thực mạnh mẽ, ủy quyền, ngăn chặn phát lại và bảo mật các hành động UPnP SOAP. Theo kiến ​​trúc này, Thiết bị thực thi quyền kiểm soát truy cập của chính nó nhưng chính sách kiểm soát truy cập của nó được thiết lập và duy trì bởi một ứng dụng quản trị, Bảng điều khiển bảo mật (xem SecurityConsole: 1), sử dụng một số hành động được cung cấp như một phần của dịch vụ này. Không có gì ngăn cản một thiết bị có các khả năng giao diện người dùng thích hợp cung cấp giao diện quản trị của riêng nó, mặc dù có lẽ đây là một khả năng có giá trị để quản lý quyền truy cập từ một vị trí cho toàn bộ mạng gia đình. Theo đó, thuật ngữ “Bảng điều khiển bảo mật” đề cập đến bất kỳ Điểm điều khiển nào chọn thực hiện các chức năng quản trị được xác định ở đây trong DeviceSecurity.

DeviceSecurity triển khai kiểm soát truy cập cho chính nó và cho các Dịch vụ khác trong cùng một Thiết bị (hoặc Thiết bị nhúng). Có hai loại quyền kiểm soát truy cập được định nghĩa ở đây: quyền sở hữu và quyền thông thường. Mỗi Thiết bị nhận biết bảo mật có một danh sách quyền sở hữu có khả năng chứa ít nhất một mục nhập. Bất kỳ Bảng điều khiển Bảo mật nào được liệt kê là chủ sở hữu đều có toàn quyền đối với Thiết bị, cụ thể là đối với tất cả các hành động bao gồm các hành động DeviceSecurity chỉ định kiểm soát truy cập khác. Ngoài danh sách chủ sở hữu, Thiết bị thường có danh sách kiểm soát truy cập (ACL) do DeviceSecurity duy trì. Các mục nhập trong ACL cấp cho Bảng điều khiển bảo mật hoặc các quyền biểu tượng Điểm điều khiển khác, đến lượt nó, cấp quyền truy cập vào các nhóm hành động. Những quyền đó thường cấp ít hơn quyền truy cập đầy đủ mà quyền sở hữu cấp. Bảng điều khiển Bảo mật, theo tùy chọn của nhà cung cấp Thiết bị, cũng có thể được cấp quyền để ủy quyền cho người khác mà không cần phải là chủ sở hữu đầy đủ của thiết bị hoặc xác định các nhóm Điểm kiểm soát được đặt tên để được cấp quyền truy cập như một nhóm trong một hoạt động đơn lẻ. Hai khả năng cuối cùng này phụ thuộc vào việc thực hiện xử lý chứng chỉ của Thiết bị và đó là một tính năng tùy chọn của DeviceSecurity.

Một thiết bị triển khai DeviceSecurity sẽ cần hỗ trợ các thuật toán mật mã cơ bản được sử dụng trong dịch vụ này:

AES 128-bit, để mã hóa số lượng lớn đối xứng, được gắn nhãn “AES-128-CBC”, với các khối được đệm như mô tả trong phần 4.8 bên dưới.

SHA1 HMAC, cho chữ ký đối xứng và cho TakeOwnership, được gắn nhãn “SHA1-HMAC”

RSA 1024-bit, để nhận dạng và thiết lập các phiên bảo mật, và có thể cho các hoạt động khác, được gắn nhãn “RSA”. Trong phiên bản hiện tại của thông số kỹ thuật DeviceSecurity này, không có lý do gì để thiết bị có khóa chữ ký thuật toán khóa công khai. Do đó, một thiết bị sẽ cung cấp khóa bảo mật công khai nhưng không cần cung cấp khóa chữ ký tại thời điểm này. [In particular,
actions that are authorized by public-key algorithm signatures do
not have digitally signed responses.] Từ định danh thuật toán “RSA” khi được sử dụng để mã hóa trong dịch vụ này ngụ ý (RSA, PKCS # 1) và khi được sử dụng để ký thì ngụ ý (RSA, SHA-1, PKCS # 1).

Các thuật toán khác có thể được thêm vào danh sách này, nếu những thuật toán này phát triển sai sót và cần được thay thế. Ví dụ: nếu một thuật toán băm khác được thêm vào, người ta sẽ cần xác định nó và cũng xác định RSA bằng cách sử dụng nó để ký. Vì vậy, ví dụ: nếu người ta thêm thuật toán băm FOOBLA, người ta sẽ cần thêm RSA-FOOBLA và FOOBLAHMAC vào danh sách thuật toán.