KR20170054260A - 고객 댁내 장비를 통한 서비스의 보안 액세스를 위한 방법 및 장치 - Google Patents

고객 댁내 장비를 통한 서비스의 보안 액세스를 위한 방법 및 장치 Download PDF

Info

Publication number
KR20170054260A
KR20170054260A KR1020160140345A KR20160140345A KR20170054260A KR 20170054260 A KR20170054260 A KR 20170054260A KR 1020160140345 A KR1020160140345 A KR 1020160140345A KR 20160140345 A KR20160140345 A KR 20160140345A KR 20170054260 A KR20170054260 A KR 20170054260A
Authority
KR
South Korea
Prior art keywords
cpe
service
communication channel
vcpe
secure communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
KR1020160140345A
Other languages
English (en)
Inventor
스테판느 오노
올리비에 힌
크리스토프 느만
Original Assignee
톰슨 라이센싱
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 톰슨 라이센싱 filed Critical 톰슨 라이센싱
Publication of KR20170054260A publication Critical patent/KR20170054260A/ko
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3215—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a plurality of channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0478—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying multiple layers of encryption, e.g. nested tunnels or encrypting the content with a first key and then with at least a second key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1475—Passive attacks, e.g. eavesdropping or listening without modification of the traffic monitored
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H04L12/2869—Operational details of access network equipments
    • H04L12/2898—Subscriber equipments
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

서비스를 제공하기 위한 방법은, 서비스 제공자 디바이스(116, 118, 1500)에서, 고객 댁내 장비(106)와 제1 보안 통신 채널을 확립하고(S1610), 사용자에 대한 정확한 크리덴셜들을 수신하면 고객 댁내 장비와 제1 보안 통신 채널을 통과하는 사용자 디바이스(102)와 제2 보안 통신 채널을 확립한다(S1620). 서비스 제공자 디바이스는 사용자 디바이스로부터 서비스에 대한 요청을 수신하고(S1630), 요청이 제2 보안 통신 채널을 통해 수신되었음을 확인하며(S1640), 고객 댁내 장비가 제2 보안 통신 채널이 통과해야 하는 디바이스들의 세트의 부분인 경우에만 제2 보안 통신 채널을 통해 사용자 디바이스에 서비스를 제공한다(S1650). 서비스 제공자 디바이스는 또한, 제2 보안 통신 채널을 통해 수신된 요청에 응답하여, 제2 보안 통신 채널이 통과하는 디바이스에 상관없이 제2 서비스를 사용자 디바이스에 제공할 수 있다(S1660).

Description

고객 댁내 장비를 통한 서비스의 보안 액세스를 위한 방법 및 장치{METHOD AND APPARATUS FOR SECURE ACCESS OF A SERVICE VIA CUSTOMER PREMISE EQUIPMENT}
본 발명은 고객 댁내 장비(customer premise equipment)(CPE), 예를 들어, 게이트웨이를 통해 서비스에 액세스하기 위한 방법 및 시스템에 관한 것으로서, 더욱 구체적으로는, 사용자 디바이스 및 서비스 제공자에 CPE를 인증함으로써 CPE를 통해 서비스에 액세스하기 위한 방법 및 시스템에 관한 것이다.
본 섹션은 아래에서 설명되고/되거나 청구되는 본 발명의 다양한 양태들과 관련될 수 있는 본 기술 분야의 다양한 양태들을 독자에게 소개하기 위한 것이다. 이러한 논의는 본 발명의 다양한 양태들의 더 나은 이해를 용이하게 하는 배경 정보를 독자에게 제공하는데 도움이 될 것으로 생각된다. 따라서, 이들 진술서는 종래 기술의 입장이 아니라 이러한 관점에서 읽어야 하는 것으로 이해되어야 한다.
오늘날의 디지털 시대에서, 디지털 크리덴셜 도용(digital credential theft)은 크리덴셜 소유자에게 치명적인 위험을 초래할 가능성을 갖는다. 위험들의 일부 예들은, 온라인 소매업자로부터의 크리덴셜의 도용 - 공격자는 소유자의 신용 카드를 이용하여 불법적으로 아이템들(items)을 주문하고/하거나 합법적인 주문의 배달을 상이한 주소로 유용할 뿐만 아니라 소유자의 디지털 아이템들에 불법적으로 액세스하고, 소유자의 클라우드 서비스들을 이용할 수 있음 -; 온라인 은행 계좌 정보에 대한 크리덴셜의 도용; 및 전자 메일 계정의 해킹을 포함하지만, 이에 한정되지 않는다.
서비스에 의해 알려진 네트워크 정보에 대해 사용자 정보를 검증하거나 다중-인자 인증 메커니즘(multi-factor authentication mechanism)을 가능하게 하는 것에 기초하는 이러한 공격들에 대한 다양한 솔루션들이 존재한다.
첫째로, 사용자 액세스 제어 정책은 회사 네트워크에서 구현될 수 있다. 컴퓨터 정보(예를 들어, 사용자들, 컴퓨터들 및 그룹들)는 주어진 도메인에 대한 액세스를 가능하게 하기 위해 LDAP 또는 액티브 디렉토리, Microsoft Active Dir과 같은 중앙 디렉토리와 비교된다. 유선 및 무선 콘텍스트의 둘 다에서 이용되는 802.1X 액세스 정책과 같은 프로토콜은 사용자 정보를 네트워크 정보(예를 들어, MAC 주소)에 결합할 수 있다. NuFW, NuFW: https://admin.fedoraproject.org/pkgdb/acls/name/nufw는 "임의의 필터링 결정이 내려지기 전에 적용 크리덴셜(applicative credential)을 투명하게 요청함으로써 IP 필터를 통해 지나가는 모든 단일 접속의 인증을 수행하는 다른 엔터프라이즈 급 방화벽(enterprise grade firewall)이다. 크리덴셜들이 엄격하게 사용자, 예를 들어, 특정 사용자, 사용자들의 그룹 또는 머신보다는 애플리케이션과 연관이 있다는 의미에서 크리덴셜들은 적용 가능하다. 사실상, 이것은 보안 정책들이 사용자의 디렉토리와 통합하고, 사용자 ID의 개념을 IP 계층들로 가져올 수 있다는 것을 의미한다". 이러한 솔루션들은 임의의 브라우저로부터 관리자가 사용자 입도(granularity)에서 정책을 설정할 수 없이 인터넷을 통해 웹 서비스에 접속하는 최종 사용자에게는 적합하지 않다.
또한, 2-단계 웹 액세스 인증이 구현될 수 있다. 이러한 솔루션은 은행들 및 Google, Google 2-단계 검증에 의해 핀(pin) 코드 또는 비밀번호를 도난당한 누군가가 악의적으로 행동하는 것을 방지하는 데 이용된다. 기본적인 아이디어는 제2 인증 인자(authentication factor)에 대해 사용자를 인증하기 위해 다른 통신 채널을 통해 특정 코드를 송신하는 것이다. 일반적으로 그것은 SMS를 사용자의 전화에 송신하는 데에 있다. 이러한 솔루션은 보안성을 향상시키지만, 그것은 또한 핀 코드를 기다리고, 나중에 서비스에 접속할 때마다 타이핑해야 하는 사용자에게 성가심을 야기한다. 게다가, 그것은 또한 핀 코드를 알고 있는 동안에도 전화를 도용하는 공격자를 막지 못하며, 이것은 짧은 시간의 경과 동안에도 가능하다.
오늘날, 게이트웨이는 많은 네트워크 기능(DHCP, NAT, 시청 규제(parental control),...)을 내장하고, 많은 것을 발전시키지 못한다. NFV는 새로운 특징들을 제공하기 위해 상술한 네트워크 기능을 게이트웨이에서 클라우드로 시프트하여 게이트웨이 유지 및 제조 비용을 감소시킨다. 요약하면, GW(CPE)는 클라우드의 VCPE(Virtual CPE)에 접속하며, 이는 결과적으로 예를 들어, 가상 머신으로부터 가상화된 기능들(예를 들어, IP 주소를 획득하는 DHCP 서비스)을 제공한다.
VPN(Virtual Private Network)들은 네트워크 레벨에서 액세스 분리(access segregation)의 형태를 허용한다. 그러나, VPN들은 네트워크 레벨에서 동작하고, 타겟 애플리케이션 상의 서비스 레벨과의 통합 또는 게이트웨이와의 네이티브 통합(native integration)을 제공하지 않는다.
제1 양태에서, 본 원리들은 서비스 제공자 디바이스에 대한 것이며, 이러한 서비스 제공자 디바이스는, 고객 댁내 장비와 제1 보안 통신 채널을 확립하기 위한 수단, 사용자에 대한 정확한 크리덴셜들의 수신 시에, 고객 댁내 장비 및 제1 보안 통신 채널을 통해 지나가는 제2 보안 통신 채널을 사용자 디바이스와 확립하기 위한 수단, 사용자 디바이스로부터 서비스에 대한 요청을 수신하기 위한 수단, 요청이 제2 보안 통신 채널을 통해 수신되었음을 검증하기 위한 수단, 및 고객 댁내 장비가 제2 보안 통신 채널이 지나가야 하는 디바이스들의 세트의 부분인 경우에만 제2 보안 통신 채널을 통해 서비스를 사용자 디바이스에 제공하기 위한 수단을 포함한다.
실시예에서, 서비스 제공자 디바이스는, 제2 보안 통신 채널을 통해 수신된 요청에 응답하여, 어떤 디바이스를 통해 제2 보안 통신 채널이 지나가는지에 상관없이 제2 서비스를 사용자 디바이스에 제공하기 위한 수단을 추가로 포함한다.
제2 양태에서, 본 원리들은 다음의 것을 포함하는 서비스를 제공하기 위한 방법에 대한 것이다. 서비스 제공자 디바이스는, 고객 댁내 장비와 제1 보안 통신 채널을 확립하고, 사용자에 대한 정확한 크리덴셜들의 수신 시에, 고객 댁내 장비 및 제1 보안 통신 채널을 통해 지나가는 제2 보안 통신 채널을 사용자 디바이스와 확립하고, 사용자 디바이스로부터 서비스에 대한 요청을 수신하고, 요청이 제2 보안 통신 채널을 통해 수신되었음을 검증하며, 및 고객 댁내 장비가 제2 보안 통신 채널이 지나가야 하는 디바이스들의 세트의 부분인 경우에만 제2 보안 통신 채널을 통해 서비스를 사용자 디바이스에 제공한다.
실시예에서, 서비스 제공자 디바이스는 제2 보안 통신 채널을 통해 수신된 요청에 응답하여, 어떤 디바이스를 통해 제2 보안 통신 채널이 지나가는지에 상관없이 제2 서비스를 사용자 디바이스에 추가로 제공한다.
본 원리의 상술한 특징들 및 다른 특징들, 및 이들을 달성하는 방식은 더욱 명백해지고, 본 원리들은 첨부된 도면들과 함께 취해진 예시적인 실시예들에 대한 다음의 설명을 참조하여 더욱 잘 이해될 것이다.
도 1a 내지 도 1b는 본 원리들에 따른 예시적인 실시예들이 적용될 수 있는 시스템들의 예시도이다.
도 2는 본 원리들에 따른 예시적인 실시예에서 이용될 수 있는 게이트웨이와 같은 고객 댁내 장비의 블록도이다.
도 3은 본 원리들에 따른 게이트웨이 기반 인증 설정의 도식적 예이다.
도 4는 본 원리들에 따른 게이트웨이 기반 인증의 도식적 예이다.
도 5는 본 원리들에 따른 최종 사용자 제어에 의한 CPE 기반 인증의 도식적 예이다.
도 6은 본 원리들에 따른 최종 사용자 제어에 의한 vCPE 기반 인증의 도식적 예이다.
도 7은 본 원리들에 따른 CPE/vCPE 인증없는 액세스의 거부를 예시하는 도식적 예이다.
도 8은 본 원리들에 따른 ISP 제어에 의한 CPE 기반 인증의 도식적 예이다.
도 9는 본 원리들에 따른 ISP 제어에 의한 vCPE 기반 인증의 도식적 예이다.
도 10은 본 원리들에 따른 은행 서비스에 대한 게이트웨이 인증의 도식적 예이다.
도 11은 본 원리들에 따른 제한된 OTT 서비스 액세스를 위한 셋톱박스 인증의 도식적 예이다.
도 12는 본 원리들에 따른 제한된 SmartHome 보안 설정을 위한 SmartHome 박스 인증의 도식적 예이다.
도 13은 본 원리들에 따른 게이트웨이 기반 인증을 설정하기 위한 프로세스의 흐름도를 도시한다.
도 14는 본 원리들에 따른 서비스 액세스를 제공하기 위한 프로세스의 흐름도를 도시한다.
도 15는 본 원리들에 따른 서비스 제공자 장치의 블록도이다.
도 16은 본 원리들에 따른 서비스 액세스를 제공하기 위한 서비스 제공자 프로세스의 흐름도를 도시한다.
본 명세서에서 시작되는 설명은 본 원리들의 다양한 양태를 구현하기 위한 예시적인 실시예들을 도시한다. 이러한 예들은 어떠한 방식에서도 청구 범위를 제한하는 것으로 해석되지 않아야 한다.
본 원리들은 최종 사용자들이 보안 중간 디바이스를 이용하여 사용자 디바이스로부터 웹 브라우저 또는 애플리케이션으로의 서비스에 액세스할 수 있게 하는 보안 심리스 인증 방법(secure and seamless authentication method)을 제공하기 위한 방법 및 시스템에 관한 것이다. 이러한 서비스는 로그인 및 패스워드와 같은 크리덴셜들(이하 "적용 크리덴셜들"이라고 함)을 제공한다. 본 원리들을 이용하면, 이들 크리덴셜들은 반드시 서비스에 액세스하기에 충분한 것은 아니다. 인증은 초기 설정 후에 부가적인 사용자 상호 작용을 필요로 하지 않는다는 점에서 심리스이다.
부가적으로, 본 원리들은 일부 서비스에 대한 요청 레벨에 따라 상이한 권리 레벨들을 구별하고 설정하는 것을 가능하게 한다. 예를 들어, 은행 서비스에서, 전형적인 요청 레벨들은 다음과 같다: 1) 계정 잔액을 획득한다(판독(Read) 동작). 이 경우에, 적용 크리덴셜들은 이러한 동작을 수행하는 데 충분하고; 2) 구매 동작 또는 은행 송금(기록(Write) 동작). 이 경우에, 적용 크리덴셜들 플러스 본 발명에 따른 부가적적 인증이 필요하다.
본 원리들에 따른 실시예들에 따르면, CPE 기반 인증을 서비스 기반 인증에 연관시킨다. CPE는 CPE 기반 인증을 지원하는 주어진 서비스(예를 들어, bank.com)에 대한 모든 보안 접속들을 중재하는 중간 디바이스로서의 역할을 한다. 최종 사용자가 자신의 브라우저의 플러그인 또는 애플리케이션, 중간 CPE 및 서비스 액세스를 구성하면, 최종 사용자는 높은 레벨의 보안성으로 웹 서비스에 심리스 접속(seamlessly connect)할 수 있다.
예시적인 실시예들은 다음의 특성들을 충족시키는 인증 서비스를 제공한다. 첫째로, 인증 인자는 평상시처럼 서비스에 연결하기 위한 적용 크리덴셜(로그인/패스워드)이다. 둘째로, 데이터는 신뢰 중간 디바이스(trusted intermediate device)(예를 들어, CPE)를 지나가야 한다. 중간 디바이스는 부가적인 인증을 제공하기 위해 신뢰를 받는다. 그러나, 적용 트래픽(applicative traffic)은 종단 간(end-to-end) 암호화되며, 따라서, 트래픽이 중간 디바이스를 통해 흐를지라도, 중간 디바이스는 적용 데이터(applicative data)를 판독하거나 변경할 수 없다.
예시적인 실시예들에서, 보안 중간 디바이스는 전형적으로 고객의 집에 배치되는 고객 댁내 장비(customer premise equipment)(CPE)이다. CPE는 광대역 게이트웨이(DSL, 케이블, 파이버(Fiber)), 셋톱박스 또는 심지어 인터넷 또는 비디오를 고객에게 전달하는 클라우드에서 실행되는 가상 게이트웨이 또는 가상 셋톱박스일 수 있는 vCPE - 가상 CPE - 일 수 있다. vCPE들은 전형적으로 네트워크 기능 가상화(Network Functions Virtualization) 플랫폼을 이용하여 서비스 제공자에 의해 구현되고 특정 고객에게 고유하게 할당된다. CPE/vCPE는 홈 케어(Home Care)(가정용 보안), 홈 컴포트(Home Comfort)(홈 모니터링 및 제어)뿐만 아니라, 가족 부양(Family Care)(어린이, 노인 돌봄)을 다루는 개인화된 서비스들을 갖춘 디지털 보조원(digital assistants)을 가져오는 SmartHome 박스(SmartHome Box)일 수도 있다.
본 원리들에 따른 CPE 기반 인증은 아래에 설명되는 바와 같이 최종 사용자 또는 ISP(Internet/Service Provider)에 의해 설정되고 구성될 수 있다.
최종 사용자 제어: 최종 사용자는 한쪽에 CPE/vCPE를 구성하고, 다른 쪽에는 서비스 제공자에 의해 제공된 주어진 서비스를 구성한다. CPE/vCPE 쪽에는 CPE/vCPE 구성이 적용 가능한 서비스의 URL을 입력할 수 있는 GUI를 통해 수행될 수 있다. 대안적으로, URL들은 프로파일들과 유사하게 공유 리스트에 나열될 수 있으며, 사용자는 본 원리들에 따른 CPE 기반 인증이 시행되는 URL들을 선택할 수 있다. 예를 들어, GUI들, 업로드된 구성 파일들 및 전용 구성 파일들을 포함하는 다양한 상이한 구성 메커니즘들, 예를 들어, 스마트폰이 제공될 수 있다. 서비스 측면에서, 서비스 구성은 애플리케이션 제공 메뉴를 통해 상술한 바와 유사한 구성 메커니즘들을 이용하여 온라인에서 수행되거나, 서비스 지원에 대한 통상의 메일 또는 통화를 통해 오프라인에서 수행될 수 있다. 서비스 구성은 CPE/vCPE와 주어진 서비스에 대한 동작들이 본 발명에 따른 부가적인 인증을 필요로 함을 결정한다. 예를 들어, 고객은 다른 어느 곳에서도 아닌 광대역 게이트웨이에서의 서비스에 액세스할 때만 "은행 송금 권리(bank transfer rights)"를 승인하기를 원할 수 있다. 고객은 여전히 어디서나 "계정 잔액"에 액세스할 수 있다.
ISP(Internet/Service Provider) 제어: 이러한 주어진 서비스에 대한 액세스가 CPE 기반 인증을 필요로 하도록 ISP는 한쪽에 CPE/vCPE를 구성하고, 다른 쪽에는 (제3자 제공자 또는 ISP 자체가 소유한) 서비스를 구성한다. ISP는 URL들의 리스트를 확립하여 이를 CPE/vCPE에 제공한다. 또한, ISP는 CPE/vCPE 식별자들의 리스트를 서비스 제공자에게 제공한다. 예로서, ISP는, 자격이 있는 OTT 서비스를 친구(friend)(예를 들어, 모바일 액세스를 통해 OTT 서비스를 접속하는 태블릿)와 공유하는 것을 회피하기 위해 다른 어느 곳에서도 아닌 주거용 STB(즉, STB의 Wi-Fi 액세스 포인트를 접속하는 STB/태블릿 상에서 접속된 주거용 TV)로부터 최종 사용자에 대한 "제3자 OTT 서비스"를 시청할 수 있는 액세스를 승인한다. 제한된 액세스는 일부 보기 제약 조건(품질, 대역폭, 등급, 가격, 나이...)에 따라 OTT 제공자로부터 특정 콘텐츠를 허용하는 것에 있을 수 있다.
Technicolor SA에 의해 제공된 SmartHome과 같은 스마트 홈 애플리케이션에서, 몇몇 정보 흐름은 사용자의 선호도에 따라 별개의 인증 레벨들을 가질 수 있다. 예를 들어, 알람 상태를 체크하는 것은 (일반적인 SmartHome 인증을 이용하여) 임의의 장소에서 허용될 수 있다. 다른 한편, 경보 설정을 수정하는 것은 본 원리들에 따른 부가적인 CPE/vCPE 기반 인증을 필요로 한다.
도 1a는 본 원리들에 따라 이용될 수 있는 시스템을 도시한다. 시스템(100)에서, 사용자 디바이스(102)는 액세스 네트워크(104), CPE(106) 및 통신 네트워크(112)를 통해 서비스 제공자(116 또는 118)로부터의 서비스에 액세스하는 데 이용된다. 액세스 네트워크(104)는 예를 들어, 사용자가 CPE(106)를 통해 인터넷에 접속할 수 있게 하는 유선 또는 무선의 홈 네트워크를 포함할 수 있다. CPE(106)는 통신 네트워크(112)에 접속되고, 네트워크에 접속된 다양한 서비스 제공자에 액세스할 수 있는 복수의 CPE들 중 하나이다. CPE(106)는, 예를 들어, 서비스 제공자(116 또는 118)로부터의 서비스에 액세스하기 위해 사용자 디바이스(102)와 인터넷과 같은 통신 네트워크(112) 사이에 인터페이스를 제공하는 게이트웨이일 수 있다. 사용자 디바이스(102)는 사용자가 인터넷을 통해 서비스에 액세스할 수 있게 하는 디바이스이고, 스마트 폰, 퍼스널 컴퓨터, 태블릿, 무선 PDA, 또는 다른 적절한 사용자 통신 디바이스를 포함하며, 이에 한정되지 않는다. 도 1b는 도 1a의 시스템과 유사한 시스템을 도시하고, 서비스 제공자(126)에 의해 구현되는 가상 CPE들을 이용한다. 이 경우에, vCPE는 가상으로 구현되고 CPE와 유사하게 고유하게 할당되며, 사용자 디바이스를 서비스 제공자에 접속하기 위한 CPE(104)와 유사한 기능을 제공한다.
도 2는 본 원리들의 예시적인 실시예들의 다양한 양태들이 구현될 수 있는 도 1a의 CPE(106)에 대응하는 CPE(200)의 블록도를 도시한다. CPE(200)는 상술한 바와 같이 다양한 프로세스들을 구현하기 위해 적재된 명령어를 실행하도록 구성된 적어도 하나의 프로세서(210)를 포함할 수 있다. 프로세서(210)는 본 기술 분야에 알려진 바와 같이 내장된 메모리, 입출력 인터페이스 및 다양한 다른 회로를 포함할 수 있다. CPE(200)는 또한 적어도 하나의 메모리(220)(예를 들어, 휘발성 메모리 디바이스, 비휘발성 메모리 디바이스)를 포함할 수 있다. CPE(200)는 EEPROM, ROM, PROM, RAM, DRAM, SRAM, 플래시, 자기 디스크 드라이브, 및/또는 광학 디스크 드라이브를 포함하지만, 이에 한정되지 않는 비휘발성 메모리를 포함할 수 있는 저장 디바이스(240)를 부가적으로 포함할 수 있다. 저장 디바이스(240)는, 비제한적 예들로서, 내부 저장 디바이스, 부착된 저장 디바이스 및/또는 네트워크 액세스 가능한 저장 디바이스를 포함할 수 있다.
상술한 다양한 프로세스들을 수행하기 위해 프로세서들(210) 상에 적재되는 프로그램 코드는 저장 디바이스(240)에 저장될 수 있고, 후속하여 프로세서들(210)에 의한 실행을 위해 메모리(220) 상에 적재될 수 있다. 본 원리들의 예시적인 실시예들에 따르면, 프로세서(들)(210), 메모리(220), 및 저장 디바이스(240) 중 하나 이상은 상술한 프로세스의 수행 동안 다양한 아이템들 중 하나 이상을 저장할 수 있다.
CPE(200)는 또한 통신 채널(260)을 통해 다른 디바이스와의 통신을 가능하게 하는 통신 인터페이스(250)를 포함한다. 통신 인터페이스(250)는 통신 채널(260)로부터 데이터를 송수신하도록 구성된 송수신기를 포함할 수 있고, 이에 한정되지 않는다. 통신 인터페이스는 모뎀 또는 네트워크 카드를 포함할 수 있지만, 이에 한정되지 않으며, 통신 채널은 유선 및/또는 무선 매체 내에서 구현될 수 있다. CPE(200)의 다양한 구성요소들은 내부 버스들, 와이어들 및 인쇄 회로 기판들을 포함하지만 이에 한정되지 않는 다양한 적절한 접속들을 이용하여 함께 접속되거나 통신 가능하게 결합될 수 있다.
본 원리들에 따른 예시적인 실시예들은 프로세서(210)에 의해 구현되는 컴퓨터 소프트웨어에 의해 또는 하드웨어에 의해, 또는 하드웨어와 소프트웨어의 조합에 의해 수행될 수 있다. 비제한적인 예로서, 본 원리들에 따른 예시적인 실시예들은 하나 이상의 집적 회로에 의해 구현될 수 있다. 메모리(220)는 기술적인 환경에 적절한 임의의 타입을 가질 수 있고, 비제한적인 예로서, 광학 메모리 디바이스들, 자기 메모리 디바이스들, 반도체 기반 메모리 디바이스들, 고정 메모리 및 이동식 메모리(removable memory)와 같은 임의의 적절한 데이터 저장 기술을 이용하여 구현될 수 있다. 프로세서(210)는 기술적인 환경에 적절한 임의의 타입을 가질 수 있고, 비제한적인 예로서, 마이크로프로세서들, 범용 컴퓨터들, 특수 목적 컴퓨터들 및 멀티 코어 아키텍처에 기초한 프로세서들 중 하나 이상을 포함할 수 있다. CPE(200)에 의해 수행되는 기능들은 도시된 것과 다른 조합들 및 구성들에서 단일 엔티티 또는 다중 엔티티들에 의해 수행될 수 있다는 것이 주목될 것이다. 따라서, CPE(200)는 본 발명의 범위를 벗어나지 않고 물리적 디바이스보다는 오히려 논리적 기능들을 나타낼 수 있다. 도 2가 CPE와 관련하여 설명되었지만, 설명된 구성요소들은 또한 사용자 디바이스, 예를 들어, PC, 랩톱 및 태블릿(이에 한정되지 않음)에 적용 가능하다는 것이 이해되어야 한다. 프로세서, 메모리, 저장 디바이스, 통신 인터페이스, 및 암호화/해독 모듈의 구성요소는 전형적으로 이러한 디바이스들에서 발견되고, 위에서 설명한 CPE와 동작할 때 수행되는 다양한 단계들을 구현하는 데 이용될 수 있다는 것이 분명하다.
이제 다양한 예시적인 예들 및 사용 케이스들이 설명된다. 예들의 제1 세트는 최종 사용자 제어를 포함하는 것들이고, 여기서 게이트웨이는 CPE이며, 예들의 제2 세트는 ISP 제어를 포함하고, 셋톱박스(set top box)(STB)가 CPE/vCPE이다.
예들의 제1 세트에 따른 설정 및 인증은 도 3 및 도 4에 도시된다. 게이트웨이가 CPE인 예들의 제1 세트를 포함하는 실시예들은 다음과 같은 것을 포함한다: A와 CPE/VCPE 사이의 상호 인증을 위한 메커니즘이 존재한다. 예를 들어, A는 CPE/VCPE에서 인증하는 로그인/패스워드를 가지며, CPE/VCPE는 몇몇 증명서들을 갖는다. A 및 CPE/VCPE는 또한 신뢰되는 것으로 간주되는 동일한 물리적 네트워크(예를 들어, 동일한 홈 네트워크, 전화와 CPE/VCPE 사이의 USB 와이어 등) 또는 심지어 외부로부터의 VPN 액세스에서 접속되는 것과 같은 비암호화 인증 수단을 이용할 수 있다. CPE/VCPE와 B 사이의 상호 인증을 위한 메커니즘이 존재한다. 예를 들어, CPE/VCPE는 (일부 알려진 CA에 의해 서명된) 일련번호를 가진 증명서를 갖고, B는 이러한 일련번호를 안다. 마찬가지로, B는 일부 알려진 CA에 의해 서명된 표준 SSL 증명서를 갖는다. A와 B 사이의 상호 인증을 위한 수단이 존재한다. 예를 들어, A는 B에서 자신을 인증하는 로그인/패스워드를 갖는다. 마찬가지로, B는 일부 알려진 CA에 의해 서명된 표준 SSL 증명서를 갖는다. B는 그의 서비스들의 일부 기능을 위해 A가 CPE/VCPE를 이용하여 접속해야 한다는 것을 안다. 그렇지 않으면, 이러한 기능은 이용할 수 없다.
도 3에 도시된 바와 같이, 서비스 액세스의 설정 시에, 예를 들어, 사용자는 집에서만 은행 사이트에 액세스하기를 원하고, 다음과 같은 단계들을 수반한다. 이것을 또한 구성 스테이지라고도 한다. A는 자신의 브라우저의 전용 플러그인을 이용하여 CPE/VCPE 기반 인증을 지원하는 서비스들의 리스트를 구성한다. 이러한 플러그인은 사용자가 보안 서비스를 이용하기를 원하는지 여부를 결정하는 데 이용된다. A는 CPE/VCPE 기반 인증 서비스에 접속하고, Bank2.com이 신뢰 증명서를 갖는 경우에도 bank2.com이 아닌 허용된 URL(예를 들어, bank.com)의 리스트를 입력하고, CPE/VCPE의 일련번호를 선택한다. 이러한 동작은 사용자에 의해 수동으로 수행될 수 있다. A는 은행 서비스 오프라인(bank.com)에 접속하고, CPE/VCPE 증명서 발급 기관의 CA 제공자 및 자신의 CPE/VCPE에서 선택한 CPE/VCPE의 일련번호를 입력한다. 이러한 오프라인 동작은 예를 들어, 통상의 메일 또는 전화 통화에 의해 수행될 수 있다.
CPE/vCPE 인증을 위한 구성이 완료된 후, 시행 스테이지 프로세스(enforcement stage process)가 구현된다. 최종 사용자는 그것의 플러그인을 시작하고, B의 웹 서비스 URL(예를 들어, https ://bank.com/transfer)에 접속하여 HTML 페이지를 얻고, 적용 크리덴셜을 채운다. 플러그인은 CPE/VCPE에 요청했거나 이전에 국부적으로 저장한 CPE/vCPE 리스트에 대해 B의 URL을 체크한다. 최종 사용자 A가 리스트에서 B의 URL을 입력하므로, 브라우저의 플러그인은 사용자가 CPE/VCPE 기반 인증을 지원하는 서비스에 액세스하려고 시도하고 있다는 것을 인식한다. 이상적으로, 웹 서비스는 CPE/VCPE 기반 인증이 필요하고 이용 중인 경우에 시각적 지시를 표시하며, 그렇지 않으면 사용자는 웹 서비스를 평소대로 접속하고, 플러그인은 아무것도 수행하지 않는다.
구성된 적용 서비스에 대응하는 각각의 URL에 대해, 플러그인은, 도 3에서 "상호 인증 채널"로서 나타낸, A와 CPE/VCPE 사이의 신뢰 채널(trusted channel)을 확립하고, B의 URL을 CPE/VCPE로 송신한다. CPE/VCPE는 URL을 수신하고, CPE/vCPE(이 예에서는 GW)와 B 사이에, 도 3에서 "상호 인증 채널"로서 나타낸, TLS 터널과 같은 상호 인증 터널을 확립한다. 도 4에 도시된 바와 같이, 2개의 터널이 확립되었으면, A는 도 4에서 "GW 기반 인증 채널"로 나타낸 보안 인증 채널을 개시하고, B는 CPE/VCPE 및 위의 2개의 인증 터널을 트래버스(traverse)한다. 예를 들어, A와 B는 A와 B 사이에 세션 키를 확립하기 위해 (사전 요구 사항에서 크리덴셜 및 증명서를 이용하여) 인증된 디피-헬만(Diffie-Hellman) 채널을 이용할 수 있다. 이러한 세션이 확립되면, A와 B는 터널 A-CPE/VCPE 및 CPE/VCPE-B를 통해 터널링되는 보안 인증 채널을 갖는다. 상술한 바와 같이 A와 CPE/VCPE 사이의 신뢰 채널의 생성을 필요로 하지 않는 다른 실시예에서, CPE/VCPE는 A가 B와의 보안 접속을 개시함을 탐지할 경우에만 B와 상호 인증을 확립한다. 그 경우에, CPE/VCPE는 A에서 B로 송신된 초기 네트워크 패킷들을 버퍼링하고, CPE/VCPE와 B 사이에 터널을 확립하고, 버퍼링된 패킷들과 A에서 B로 송신된 모든 다가오는 패킷들을 확립된 터널에서 전송한다.
여기서, 시행 스테이지는 상술한 바와 같이 CPE/VCPE 기반 인증을 위한 구성이 사용자 디바이스, CPE/vCPE, 및 서비스 제공자 사이에서 완료되었으면 A와 B 사이의 통신들 및 동작들을 지칭한다. 시행 스테이지는 특히 보안 터널들을 확립하는 단계 및 요청된 서비스에 대한 액세스를 승인하는 단계를 포함한다. B의 주어진 서비스가 CPE/VCPE 기반 인증 서비스로 구성될 때, B는 A가 실제로 지정된 CPE/VCPE를 이용하여 B와 통신하고 있는지를 체크해야 한다. 따라서, B가 A로부터의 통신들을 수신하면, B는 보안 인증 채널이 A에 의해 인증되는지, 그리고 이러한 보안 인증 채널이 CPE/VCPE에 의해 인증된 터널을 통해 도달하는지를 체크한다. 일 실시예에서: A-B로부터의 패킷들은 CPE/VCPE-B로부터의 패킷들로 캡슐화된다는 것을 상기한다. B가 CPE/VCPE-B로부터의 패킷을 디코딩할 때, B는 콘텍스트 I1을 패킷, 예를 들어, SSL id 터널 번호에 연관시킨다. B가 A-B로부터 내부 패킷을 디코딩할 때, B는 제2 콘텍스트 I2를 연관시킨다. A-B가 완전히 확립되자마자, 즉 A와 B 사이의 인증이 완료될 때, B는 I1과 I2가 연관됨을 안다. CPE/VCPE-B 내의 A-B의 모든 후속 패킷들에 대해, B는 연관들 I1 및 I2에 대해 체크할 것이다.
서비스에 대한 액세스를 획득하기 위해, 공격자는 적용 크리덴셜들이 도용되어 자신의 제어에 따라 디바이스에 CPE/VCPE 크리덴셜들을 설치해야 한다는 것을 알아야 한다. 위험은 낮지만, 부가적인 신뢰 스토리지(예를 들어, TPM)는 CPE/VCPE 크리덴셜들을 보호된 하드웨어 내에 저장함으로써 보안성을 증가시킬 수 있다.
도 5는 사용자 디바이스가 최종 사용자에 의해 제어되는 CPE 기반 인증을 통해 보안 서비스에 대한 액세스를 승인받는 배치를 도시한다. 여기서, 적절한 인증 채널들은 상술한 바와 같이 사용자 디바이스, CPE 및 서비스 제공자 사이에 확립된다. 보안 서비스는 사용자 디바이스 내에서 지정되고, service1.com은 CPE의 보안 서비스들의 리스트에 포함되며, 그리고 서비스 제공자는 보안 인증 터널들의 존재를 검증하며, 따라서 사용자 디바이스가 지정된 보안 서비스에 액세스하도록 허용한다. 도 6은 인증이 클라우드에서의 vCPE에 기초하는 동일한 상황을 보여준다. 도 7은 사용자 디바이스가 CPE 또는 vCPE를 통해 서비스 제공자의 보안 서비스에 액세스하지 않기 때문에 서비스에 대한 액세스 거부를 나타낸다. 여기서, 사용자 디바이스와 CPE/vCPE 사이, 및/또는 CPE/vCPE와 서비스 제공자 사이의 상호 인증 채널들은 확인되지 않으며, 따라서 서비스 제공자는 보안 서비스에 대한 액세스를 제공하지 않는다.
예들의 제2 세트는 ISP 제어가 이용되고, STB가 CPE/vCPE인 경우에 관한 것이다. 이 경우에, 관련 구성은 다음과 같은 것을 포함한다: A와 CPE/VCPE 사이의 상호 인증을 위한 메커니즘이 존재한다. 예를 들어, A는 CPE/VCPE에서 인증하는 로그인/패스워드를 갖는다. CPE/VCPE는 몇몇 증명서들을 갖는다. A 및 CPE/VCPE는 또한 신뢰되는 것으로 간주되는 동일한 물리적 네트워크(예를 들어, 동일한 홈 네트워크, 전화와 CPE/VCPE 사이의 USB 와이어 등)를 통해 접속되는 것과 같은 비암호화 인증 수단을 이용할 수 있고; CPE/VCPE와 B 사이의 상호 인증을 위한 CPE/VCPE 크리덴셜들이 존재한다. 예를 들어, CPE/VCPE는 (일부 알려진 CA에 의해 서명된) 일련번호를 가진 증명서를 갖고, B는 이 일련번호를 안다. 마찬가지로, B는 일부 알려진 CA에 의해 서명된 표준 SSL 증명서를 가지며; A와 B 사이의 상호 인증을 위한 메커니즘이 존재한다. 예를 들어, A는 B에서 자신을 인증하는 로그인/패스워드를 갖는다. 마찬가지로, B는 일부 알려진 CA에 의해 서명된 표준 SSL 증명서를 가지며; B는 서비스들의 일부 기능을 위해 A가 CPE/VCPE를 이용하여 접속해야 한다는 것을 안다. 그렇지 않으면, 이 기능은 이용할 수 없다.
설정 스테이지는 다음과 같이 진행한다: 고객이 보안 서비스, 예를 들어, OTT 서비스를 요청할 때 또는 디폴트로 OTT 서비스가 모든 고객들에게 이용 가능한 경우, ISP는 (예를 들어, CPE-Wan 관리 프로토콜을 이용하여) CPE/VCPE 기반 인증을 지원하는 CPE/vCPE의 서비스들의 리스트에 OTT 서비스를 부가한다. 최종 사용자는 STB Wi-Fi를 통해 또는 LAN을 통해 서비스 제공자에 의해 제공된 CPE를 접속하고, 자신의 PC(또는 텔레비전 또는 태블릿 또는 다른 클라이언트 디바이스) 상에서 실행하는 전용 OTT 서비스 애플리케이션으로부터 OTT 서비스를 시작한다. 애플리케이션은 CPE/VCPE 기반 인증을 지원하는 서비스에 액세스하려고 시도하고, A와 CPE/VCPE 사이에 신뢰 채널을 확립하며, 서비스 식별을 CPE/vCPE에 송신한다. 그런 다음, CPE/VCPE는 CPE/VCPE와 B 사이에 상호 인증 터널을 확립한다. 2개의 터널이 확립되었으면, OTT 애플리케이션에 의해, A는 CPE/VCPE와 위의 2개의 인증 터널을 트래버스하는 B와 보안 인증 채널을 개시한다. A와 B는 A와 B 사이에 세션 키를 확립하기 위해 (사전 요구 사항에서 크리덴셜 및 증명서를 이용하여) 인증된 디피-헬만 채널을 이용할 수 있다. 이러한 세션이 확립되면, A와 B는 터널 A-CPE/VCPE 및 CPE/VCPE-B를 통해 터널링되는 보안 인증 채널을 갖는다.
도 8은 사용자 디바이스가 상술한 바와 같이 ISP에 의해 제어되는 CPE 기반 인증을 통해 서비스 제공자의 보안 서비스에 대한 액세스를 승인받는 구성을 도시한다. 도 9는 사용자 디바이스가 클라우드에서의 vCPE로부터 인증을 통해 액세스를 승인받는 유사한 구성을 도시한다. 최종 사용자 제어 실시예와 유사하게, 도 10의 상부는 사용자 디바이스가 특정 서비스들에 대한 액세스가 허용되지만, 보안 서비스에 대한 액세스가 거부되는 상황을 나타낸다. 이 경우에, 계정 잔액 조회는 CPE/vCPE 기반 인증을 필요로 하지 않고, 더 높은 레벨의 보안성을 필요로 할 수 있는 은행 송금은 CPE/vCPE 기반 인증을 필요로 한다. 여기서, GW와 같은 CPE를 통해 bank.com에 액세스하는 PC가 두 서비스에 액세스하지만, CPE를 거치지 않은 모바일 디바이스는 계정 잔액들에만 액세스하고, 은행 송금들에는 액세스하지 못한다.
도 11은 보안 서비스가 OTT(Over the Top) 서비스를 포함하는 사용 케이스를 도시한다. CPE/vCPE는 STB이다. ISP는 STB의 Wi-Fi 액세스 포인트를 통해 STB에 접속된 PC로부터 제3자 OTT 서비스 제공자로부터의 비디오 스트리밍 콘텐츠를 시청하거나 LAN 내부의 STB에 도달하기 위해 최종 사용자에 대한 액세스를 승인한다. 최종 사용자는 자신의 모바일로부터 OTT 서비스를 접속할 수 있지만 동일한 보안 서비스에 대한 액세스는 거부된다.
도 12는 센서들, 홈 자동화 모니터링 및 제어들뿐만 아니라 패밀리 케어 디바이스들로부터 액세스들을 중재하는 SmartHome 박스에 기초한 SmartHome 사용 케이스를 도시한다. "구성 설정"에 대한 액세스는 아마도 가정에 배치되는 SmartHome 박스를 통해 제공된다. 소비자는 어디서나 알람 상태를 여전히 체크할 수 있다.
소프트웨어의 임의의 독립적인 부분, (아마도 서명된) 자바 애플리케이션 등을 이용하여 브라우저 플러그인이 없는 실시예가 가능하다. A는 먼저 B에 직접 접속한다(인증되지 않음). B는 제1 시나리오의 플러그인과 동등한 애플릿(applet)(예를 들어, JavaScript)을 푸시한다. 그 다음, 모든 것이 주요 실시예로서 작동한다. 설명은 상술한 GW 실시예와 동일하다.
본 명세서에서 설명된 구현들은 예를 들어, 방법 또는 프로세스, 장치, 소프트웨어 프로그램, 데이터 스트림, 또는 신호로 구현될 수 있다. 단일 형태의 구현과 관련하여서만 논의될지라도(예를 들어, 방법으로서만 논의될지라도), 논의된 특징들의 구현은 또한 다른 형태들(예를 들어, 장치 또는 프로그램)로 구현될 수 있다. 장치는, 예를 들어, 적절한 하드웨어, 소프트웨어, 및 펌웨어로 구현될 수 있다. 방법들은, 예를 들어, 일반적으로 처리 디바이스를 지칭하고, 예를 들어, 컴퓨터, 마이크로프로세서, 집적 회로, 또는 프로그램 가능 로직 디바이스를 포함하는 프로세서와 같은 장치에서 구현될 수 있다. 프로세서는 또한, 예를 들어, 컴퓨터, 셀 폰, 포터블/퍼스널 디지털 어시스턴트(portable/personal digital assistant)("PDA")들 및 최종 사용자들 사이의 정보의 통신을 용이하게 하는 다른 디바이스들과 같은 통신 디바이스들을 포함한다.
도 13은 본 원리들에 따른 설정 스테이지와 연관된 단계들을 도시한 흐름도이다. 방법(1300)에서, CPE/vCPE는 단계(1302)에서 CPE/vCPE 구성 메커니즘에 접속하는 사용자 A에 의해 구성된다. 단계(1304)에서, A는 서비스 URL을 CPE/vCPE에 송신하며, 여기서 서비스 URL은 CPE/vCPE가 CPE/vCPE 인증을 필요로 하는 서비스에 속하는 것으로 향후 URL을 인식하도록 리스트 내에 포함된다. 단계(1306)에서, 사용자는 일련번호와 같은 CPE/vCPE와 연관된 고유한 식별을 검색하고, 단계(1308)에서 다른 보안 통신 채널을 통해 서비스 제공자 B의 구성 메커니즘과 접속한 후, 사용자는 서비스 제공자가 CPE/vCPE 기반 인증에 대한 일련번호를 인식하도록 일련번호를 서비스 제공자 B에 제공한다. 물론, CPE/vCPE의 구성 단계들(1302-1304) 및 서비스 제공자 측의 구성(1306-1310)은 원하는 대로 임의의 순서로 수행될 수 있다. 대안적 실시예에서, 단계들(1302-1310)은 사용자 디바이스가 URL에 액세스하려고 시도할 때 서비스 제공자로부터 사용자 디바이스로 송신된 프로그램에 응답하여 개시되고 수행된다. 그 경우에, 서비스 제공자로부터 송신되고, 사용자 디바이스 상에서 실행되는 프로그램은 사용자가 단계(1302 내지 1304)를 수행하도록 촉구한다.
도 14는 본 원리들에 따른 시행 스테이지와 연관된 단계들을 도시한 흐름도이다. 단계(1402)에서, 사용자가 서비스 URL을 입력하면, 단계(1404)에서 사용자 디바이스의 플러그인은 URL을 인터셉트한다. 플러그인은 단계(1410)에서 리스트에 대해 URL을 체크함으로써 URL이 CPE/vCPE 인증과 연관되는지를 결정한다. 그렇지 않다면, URL에 대한 표준 액세스가 단계(1412)에서 확립된다. 그렇다면, 단계(1406)에서 플러그인은 요청을 CPE에 송신하고, CPE와 상호 인증하여 플러그인과 CPE/vCPE 사이에 상호 인증 터널을 확립한다. 터널이 확립되었다면, 플러그인은 URL을 터널을 통해 CPE/vCPE에 전송한다.
단계(1416)에서, CPE/vCPE는 리스트에 대해 URL을 체크함으로써 URL이 CPE/vCPE 인증과 연관되는지를 결정한다. 그렇지 않다면, 단계(1414)에서 구성 에러가 보고된다. 구성 에러는, 예를 들어, 사용자 브라우저를 통해 실시간으로 구성 GUI에 의해, 또는 HTTP 403 Forbidden 코드에 의해 보고될 수 있다. 그렇다면, VPE/vCPE는 단계(1418)에서 URL과 연관된 서비스 제공자 B와 상호 인증 터널을 확립한다. 확립되면, 사용자 디바이스와 서비스 제공자는 상호 인증하고 이전에 확립된 터널들 내에 상호 인증 터널을 확립한다. 알려진 터널 구현들, 예를 들어, GnuTLS, stunnel, 및 OpenSSL(이것으로 한정되지 않음)이 여기서 이용될 수 있다. 터널은, 예를 들어, TLS/SSL 또는 IPsec에 의해 확립될 수 있다. 단계(1420)에서, 서비스 제공자 B는 CPE/vCPE의 일련번호를 체크하고, 서비스에 액세스하는 요청이 승인되는지 또는 거부되는지를 결정할 때 접속 및 원점(origin)이 정확한지를 결정한다. 즉, A가 서비스에 액세스할 자격이 있는지와 서비스에 대한 요청이 지정된 CPE/vCPE를 통해 송신되는지를 결정한다. 그렇지 않을 경우, 액세스는 단계(1424)에서 거부된다. 그런 경우, 서비스 제공자 B는 단계(1422)에서 사용자 디바이스 A와 상호 인증 터널을 확립하고, 요청된 서비스에 대한 액세스를 승인한다.
도 15는 도 1a의 서비스 제공자(116 또는 118)에 대응하는 서비스 제공자 장치(1500)의 블록도를 도시하며, 여기서 본 원리들의 예시적인 실시예들의 다양한 양태들이 구현될 수 있다. 서비스 제공자 장치(1500)는 본 명세서에서 논의된 바와 같이 다양한 프로세스들을 구현하기 위해 적재된 명령어를 실행하도록 구성된 적어도 하나의 프로세서(1510)를 포함할 수 있다. 프로세서(1510)는 본 기술 분야에 알려진 바와 같이 내장된 메모리, 입출력 인터페이스 및 다양한 다른 회로들을 포함할 수 있다. 서비스 제공자 장치(1500)는 또한 적어도 하나의 메모리(1520)(예를 들어, 휘발성 메모리 디바이스, 비휘발성 메모리 디바이스)를 포함할 수 있다. 서비스 제공자 장치(1500)는 EEPROM, ROM, PROM, RAM, DRAM, SRAM, 플래시, 자기 디스크 드라이브, 및/또는 광 디스크 드라이브를 포함하지만, 이에 한정되지 않는 비휘발성 메모리를 포함할 수 있는 저장 디바이스(1540)를 부가적으로 포함할 수 있다. 저장 디바이스(1540)는 비제한적 예들로서 내부 저장 디바이스, 부착된 저장 디바이스 및/또는 네트워크 액세스 가능한 저장 디바이스를 포함할 수 있다.
상술한 다양한 프로세스들을 수행하기 위해 프로세서(1510) 상에 적재되는 프로그램 코드는 저장 디바이스(1540)에 저장될 수 있고, 후속하여 프로세서(1510)에 의한 실행을 위해 메모리(1520) 상에 적재될 수 있다. 본 원리들의 예시적인 실시예들에 따르면, 프로세서(들)(1510), 메모리(1520), 및 저장 디바이스(1540) 중 하나 이상은 본 명세서에서 논의된 프로세스들의 수행 동안 다양한 아이템들 중 하나 이상을 저장할 수 있다.
서비스 제공자 장치(1500)는 또한 통신 채널(1560)(또는 상이한 기술들을 이용하여 구현될 수 있는 복수의 통신 채널들)을 통해 다른 디바이스들과의 통신을 가능하게 하는 통신 인터페이스(1550)를 포함한다. 통신 인터페이스(1550)는 통신 채널(1560)로부터 데이터를 송수신하도록 구성된 송수신기를 포함할 수 있지만, 이에 한정되지 않는다. 통신 인터페이스는 모뎀 또는 네트워크 카드를 포함할 수 있지만, 이에 한정되지 않으며, 통신 채널은 유선 및/또는 무선 매체 내에서 구현될 수 있다. 서비스 제공자 장치(1500)의 다양한 구성요소들은 내부 버스들, 와이어들 및 인쇄 회로 기판들을 포함하지만 이에 한정되지 않는 다양한 적절한 접속들을 이용하여 함께 접속되거나 통신 가능하게 결합될 수 있다.
본 원리들에 따른 예시적인 실시예들은 프로세서(1510)에 의해 구현되는 컴퓨터 소프트웨어에 의해 또는 하드웨어에 의해, 또는 하드웨어와 소프트웨어의 조합에 의해 수행될 수 있다. 비제한적인 예로서, 본 원리들에 따른 예시적인 실시예들은 하나 이상의 집적 회로에 의해 구현될 수 있다. 메모리(1520)는 기술적인 환경에 적절한 임의의 타입을 가질 수 있고, 비제한적인 예로서, 광학 메모리 디바이스들, 자기 메모리 디바이스들, 반도체 기반 메모리 디바이스들, 고정 메모리 및 이동식 메모리와 같은 임의의 적절한 데이터 저장 기술을 이용하여 구현될 수 있다. 프로세서(1510)는 기술적인 환경에 적절한 임의의 타입을 가질 수 있고, 비제한적인 예로서, 마이크로프로세서들, 범용 컴퓨터들, 특수 목적 컴퓨터들 및 멀티 코어 아키텍처에 기초한 프로세서들 중 하나 이상을 포함할 수 있다. 서비스 제공자 장치(1500)에 의해 수행되는 기능들은 도시된 것과 다른 조합들 및 구성들에서 단일 엔티티 또는 다중 엔티티들에 의해 수행될 수 있다는 것이 주목될 것이다. 따라서, 서비스 제공자 장치(1500)는 본 발명의 범위를 벗어나지 않고 물리적 디바이스보다는 오히려 논리적 기능들을 나타낼 수 있다. 도 15가 서비스 제공자 장치와 관련하여 설명되었지만, 설명된 구성요소들은 또한 사용자 디바이스, 예를 들어, PC, 랩톱 및 태블릿(이에 한정되지 않음)에 적용 가능하다는 것이 이해되어야 한다. 프로세서, 메모리, 저장 디바이스, 통신 인터페이스, 및 암호화/해독 모듈의 구성요소는 전형적으로 이러한 디바이스들에서 발견되고, 본 명세서에 설명된 서비스 제공자 장치(1500)와 동작할 때 수행되는 다양한 단계들을 구현하는 데 이용될 수 있다는 것이 분명하다.
도 16은 본 원리들에 따른 서비스 액세스를 제공하기 위한 서비스 제공자 프로세스의 흐름도를 도시한다. 단계(S1610)에서, 프로세서(1510)는 고객 댁내 장비(CPE)와 제1 보안 통신 채널을 확립한다. 단계(S1620)에서, 프로세서(1510)는 사용자에 대한 정확한 크리덴셜들의 수신 시에, CPE 및 제1 보안 통신 채널을 통해 지나가는 제2 보안 통신 채널을 사용자 디바이스와 확립한다. 프로세서(1510)는, 단계(S1630)에서, 사용자 디바이스로부터 서비스에 대한 요청을 통신 인터페이스(1550)를 통해 수신하고, 단계(S1640)에서 요청이 제2 보안 통신 채널을 통해 수신되었음을 검증한다. CPE가 제2 보안 통신 채널이 지나가야 하는 디바이스들의 세트의 부분인 경우에만, 프로세서는 단계(S1650)에서 제2 보안 통신 채널을 통해(즉, 통신 인터페이스(1550)를 통해) 서비스를 사용자 디바이스에 제공한다. 단계(S1660)에서, 프로세서는, 제2 보안 통신 채널을 통해 수신된 요청에 응답하여, 통신 인터페이스(1550)를 통해, 어떤 디바이스를 통해 제2 보안 통신 채널이 지나가는지에 상관없이 제2 서비스를 사용자 디바이스에 제공한다.
본 원리들의 "일 실시예", "실시예" 또는 "일 구현" 또는 "구현"에 대한 참조뿐만 아니라 그의 다른 변형은 실시예와 관련하여 설명된 특정 특징, 구조, 특성 등이 본 원리들의 적어도 하나의 실시예에 포함된다는 것을 의미한다. 따라서, 명세서 전체의 다양한 곳에서 나타나는, "일 실시예에서", 또는 "실시예에서" 또는 "일 구현에서" 또는 "구현에서"의 문구의 출현뿐만 아니라 임의의 다른 변형은 모두 반드시 동일한 실시예를 지칭하는 것은 아니다.
부가적으로, 본 출원 또는 그의 청구 범위는 다양한 정보를 "결정하는" 것을 나타낼 수 있다. 정보를 결정하는 것은, 예를 들어, 정보를 추정하는 것, 정보를 계산하는 것, 정보를 예측하는 것, 또는 메모리로부터 정보를 검색하는 것 중 하나 이상을 포함할 수 있다.
또한, 본 출원 또는 그의 청구 범위는 다양한 정보에 "액세스하는" 것을 나타낼 수 있다. 정보에 액세스하는 것은, 예를 들어, 정보를 수신하는 것, (예를 들어, 메모리로부터) 정보를 검색하는 것, 정보를 저장하는 것, 정보를 처리하는 것, 정보를 송신하는 것, 정보를 이동시키는 것, 정보를 복사하는 것, 정보를 삭제하는 것, 정보를 계산하는 것, 정보를 결정하는 것, 정보를 예측하는 것, 또는 정보를 추정하는 것 중 하나 이상을 포함할 수 있다.
부가적으로, 본 출원 또는 그의 청구 범위는 다양한 정보를 "수신하는" 것을 나타낼 수 있다. 수신하는 것은, "액세스하는" 것과 마찬가지로, 광범위한 용어인 것으로 의도된다. 정보를 수신하는 것은, 예를 들어, 정보에 액세스하는 것, 또는 (예를 들어, 메모리로부터) 정보를 검색하는 것 중 하나 이상을 포함할 수 있다. 또한, "수신하는" 것은 전형적으로, 예를 들어, 정보를 저장하는 것, 정보를 처리하는 것, 정보를 송신하는 것, 정보를 이동시키는 것, 정보를 복사하는 것, 정보를 삭제하는 것, 정보를 계산하는 것, 정보를 결정하는 것, 정보를 예측하는 것, 또는 정보를 추정하는 것과 같은 동작들 중에 하나의 방식 또는 다른 방식으로 포함된다.
본 기술 분야의 통상의 기술자에게 명백한 바와 같이, 구현들은, 예를 들어, 저장되거나 송신될 수 있는 정보를 반송(carry)하도록 포맷된 다양한 신호들을 생성할 수 있다. 정보는, 예를 들어, 방법을 수행하기 위한 명령어들, 또는 설명된 구현 중 하나에 의해 생성된 데이터를 포함할 수 있다. 예를 들어, 신호는 설명된 실시예의 비트스트림을 반송하도록 포맷될 수 있다. 이러한 신호는, 예를 들어, (예를 들어, 스펙트럼의 무선 주파수 부분을 이용하는) 전자기파로서 또는 기저 대역 신호로서 포맷될 수 있다. 포맷하는 것은, 예를 들어, 데이터 스트림을 인코딩하는 것과, 인코딩된 데이터 스트림으로 반송파를 변조하는 것을 포함할 수 있다. 신호가 반송하는 정보는, 예를 들어, 아날로그 또는 디지털 정보일 수 있다. 신호는 알려진 바와 같이 다양한 상이한 유선 또는 무선 링크를 통해 송신될 수 있다. 신호는 프로세서 판독 가능 매체에 저장될 수 있다.

Claims (4)

  1. 서비스 제공자 디바이스(116, 118, 1500)로서,
    고객 댁내 장비(customer premise equipment)(106)와 제1 보안 통신 채널을 확립(establishing)하기 위한 수단;
    사용자에 대한 정확한 크리덴셜들(credentials)의 수신 시에, 상기 고객 댁내 장비 및 상기 제1 보안 통신 채널을 통해 지나가는 제2 보안 통신 채널을 사용자 디바이스(102)와 확립하기 위한 수단;
    상기 사용자 디바이스로부터 서비스에 대한 요청을 수신하기 위한 수단;
    상기 요청이 상기 제2 보안 통신 채널을 통해 수신되었음을 검증하기 위한 수단; 및
    상기 고객 댁내 장비가 상기 제2 보안 통신 채널이 지나가야 하는 디바이스들의 세트의 부분인 경우에만 상기 제2 보안 통신 채널을 통해 상기 서비스를 상기 사용자 디바이스에 제공하기 위한 수단
    을 포함하는 서비스 제공자 디바이스.
  2. 제1항에 있어서,
    상기 제2 보안 통신 채널을 통해 수신된 요청에 응답하여, 어떤 디바이스를 통해 상기 제2 보안 통신 채널이 지나가는지에 상관없이 제2 서비스를 상기 사용자 디바이스에 제공하기 위한 수단을 추가로 포함하는 서비스 제공자 디바이스.
  3. 서비스를 제공하기 위한 방법으로서,
    서비스 제공자 디바이스에서,
    고객 댁내 장비(106)와 제1 보안 통신 채널을 확립하는 단계(S1610);
    사용자에 대한 정확한 크리덴셜들의 수신 시에, 상기 고객 댁내 장비 및 상기 제1 보안 통신 채널을 통해 지나가는 제2 보안 통신 채널을 사용자 디바이스(102)와 확립하는 단계(S1620);
    상기 사용자 디바이스로부터 서비스에 대한 요청을 수신하는 단계(S1630);
    상기 요청이 상기 제2 보안 통신 채널을 통해 수신되었음을 검증하는 단계(S1640); 및
    상기 고객 댁내 장비가 상기 제2 보안 통신 채널이 지나가야 하는 디바이스들의 세트의 부분인 경우에만 상기 제2 보안 통신 채널을 통해 상기 서비스를 상기 사용자 디바이스에 제공하는 단계(S1650)
    를 포함하는 방법.
  4. 제3항에 있어서,
    상기 제2 보안 통신 채널을 통해 수신된 요청에 응답하여, 어떤 디바이스를 통해 상기 제2 보안 통신 채널이 지나가는지에 상관없이 제2 서비스를 상기 사용자 디바이스에 제공하는 단계(S1660)를 추가로 포함하는 방법.
KR1020160140345A 2015-10-27 2016-10-26 고객 댁내 장비를 통한 서비스의 보안 액세스를 위한 방법 및 장치 Withdrawn KR20170054260A (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP15306714.5 2015-10-27
EP15306714.5A EP3163832A1 (en) 2015-10-27 2015-10-27 Method and apparatus for secure access of a service via customer premise equipment

Publications (1)

Publication Number Publication Date
KR20170054260A true KR20170054260A (ko) 2017-05-17

Family

ID=54427682

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020160140345A Withdrawn KR20170054260A (ko) 2015-10-27 2016-10-26 고객 댁내 장비를 통한 서비스의 보안 액세스를 위한 방법 및 장치

Country Status (4)

Country Link
US (1) US20170118179A1 (ko)
EP (2) EP3163832A1 (ko)
JP (1) JP2017085568A (ko)
KR (1) KR20170054260A (ko)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6973326B2 (ja) * 2018-08-15 2021-11-24 日本電信電話株式会社 通信システム及び通信方法
US20200136864A1 (en) * 2018-10-29 2020-04-30 Centurylink Intellectual Property Llc Over-The-Top Access to Distributed Local Resources
CN111614476A (zh) * 2019-02-22 2020-09-01 华为技术有限公司 设备配置方法、系统和装置
US11570192B2 (en) * 2021-04-26 2023-01-31 Synamedia Limited Methods, systems, and devices for detecting over-the-top piracy
US12457129B2 (en) 2022-08-09 2025-10-28 Solar Turbines Incorporated System and method for connecting a customer premises equipment

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7028186B1 (en) * 2000-02-11 2006-04-11 Nokia, Inc. Key management methods for wireless LANs
US6986061B1 (en) * 2000-11-20 2006-01-10 International Business Machines Corporation Integrated system for network layer security and fine-grained identity-based access control
US20030191843A1 (en) * 2002-04-04 2003-10-09 Joel Balissat Secure network connection for devices on a private network
US7661131B1 (en) * 2005-02-03 2010-02-09 Sun Microsystems, Inc. Authentication of tunneled connections
KR20080031965A (ko) * 2005-07-20 2008-04-11 베리메트릭스 인코퍼레이티드 네트워크 사용자 인증 시스템 및 방법
US20080141313A1 (en) * 2006-12-06 2008-06-12 Ryoji Kato Authentication bootstrap by network support
US8190751B2 (en) * 2009-05-04 2012-05-29 Comcast Cable Communications, Llc Personalized media server in a service provider network

Also Published As

Publication number Publication date
EP3163832A1 (en) 2017-05-03
EP3163836B1 (en) 2020-07-22
JP2017085568A (ja) 2017-05-18
US20170118179A1 (en) 2017-04-27
EP3163836A1 (en) 2017-05-03

Similar Documents

Publication Publication Date Title
KR102776019B1 (ko) 신분 인증 방법 및 장치, 그리고 관련 디바이스
US10904240B2 (en) System and method of verifying network communication paths between applications and services
EP2632108B1 (en) Method and system for secure communication
US9515888B2 (en) Wireless local area network gateway configuration
US9729514B2 (en) Method and system of a secure access gateway
US9204345B1 (en) Socially-aware cloud control of network devices
EP2842258B1 (en) Multi-factor certificate authority
US9258292B2 (en) Adapting federated web identity protocols
US8893255B1 (en) Device authentication using device-specific proxy addresses
US11888851B2 (en) Identity proxy and access gateway
US20150200924A1 (en) Redirect to Inspection Proxy Using Single-Sign-On Bootstrapping
CN113341798A (zh) 远程访问应用的方法、系统、装置、设备及存储介质
CN101986598B (zh) 认证方法、服务器及系统
US20220311626A1 (en) Cloud-based identity provider interworking for network access authentication
CN103477666A (zh) 连接移动设备，连接至互联网的车辆以及云服务
CN105100095A (zh) 移动终端应用程序安全交互方法及装置
CN111683054A (zh) 用于远程接入的方法和装置
WO2017113763A1 (zh) 身份认证方法及装置
CN107404485A (zh) 一种自验证云连接方法及其系统
EP3163836B1 (en) Method and apparatus for secure access of a service via customer premise equipment
WO2018234885A1 (en) Systems and methods for data encryption for cloud services
US12604190B2 (en) Techniques for enabling communication between a plurality of disparate networks and devices utiilzing various connection technologies
JP2015536061A (ja) クライアントをサーバに登録するための方法および装置
US20250119275A1 (en) Authentication tunneling mechanisms for remote connections
US12505186B1 (en) Identity provider (IDP) agnostic authentication enforcement

Legal Events

Date Code Title Description
PA0109 Patent application

Patent event code: PA01091R01D

Comment text: Patent Application

Patent event date: 20161026

PG1501 Laying open of application
PC1203 Withdrawal of no request for examination
WITN Application deemed withdrawn, e.g. because no request for examination was filed or no examination fee was paid