Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC 29341-5-11：UPnP Protected Setup服务
UPnP网络简化安全设备接入
UPnP Protected Setup概述
ISO/IEC 29341-5-11定义了Protected Setup（受保护设置）服务，这是一种简化的机制，用于以最少的用户干预安全地将新UPnP设备接入网络。受Wi-Fi Protected Setup模型的启发，Protected Setup服务提供了多种在新设备和网络之间建立初始信任的方法，包括基于PIN的注册、按钮配置以及通过NFC或QR码进行的带外凭据传输。一旦建立了初始信任关系，设备自动接收必要的安全凭据和网络配置，作为受信任的UPnP网络成员运行。
Protected Setup解决了安全家庭和工业网络中最重大的可用性挑战之一：安全性和设置简便性之间的权衡。没有Protected Setup，保护新设备通常需要用户手动导航设备配置界面、生成和传输加密密钥以及验证设备身份——这是一个容易出错的过程，超出了许多最终用户的技术能力。Protected Setup将这个复杂的过程简化为一个简单、引导式的工作流程，可以在几秒钟内完成。
对于消费产品，按钮配置在安全性和可用性之间提供了最佳平衡。用户按下新设备上的物理或虚拟按钮，然后按下网络安全控制台或注册器上的相应按钮。设备随后在两分钟的注册窗口内自动交换凭据。对于物理访问设备可能困难的工业安装场合，基于PIN或QR码的注册更为实用。
注册方法与协议流程
Protected Setup服务定义了三种主要注册方法，每种方法适用于不同的部署场景。PIN方法要求用户在注册器中输入设备标签上的PIN码，提供物理持有的证明。PBC方法使用同时按钮按压来在有限时间窗口内授权注册。带外方法通过辅助通道传输凭据，如NFC轻触、QR码扫描或蓝牙低功耗，通过在初始设置期间避免无线传输敏感材料提供最强的安全保证。
| 方法 | 用户交互 | 安全级别 | 最佳使用场景 |
|---|---|---|---|
| PIN | 从设备标签输入8位PIN | 中等——物理接触时可能暴力破解 | 家庭网络、小型办公室 |
| 按钮 | 按下设备+注册器按钮 | 中高——2分钟有限窗口 | 消费设备、智能家居 |
| 带外 | 轻触或扫描传输凭据 | 高——需要物理接近 | 工业、高安全环境 |
| 出厂默认 | 设备预装凭据 | 低——所有设备共享默认值 | 不建议用于生产环境 |
PIN方法具有已知的安全局限性。该标准使用8位PIN码，其中最后一位是校验和，只剩下7位数字。然而，协议分两半验证PIN——前半部分仅使用3位数字。在无线范围内的攻击者可以通过大约10,000次尝试暴力破解前半部分，使用优化硬件在一小时内即可完成。当需要更高安全性时，考虑改用PBC或OOB方法。
实现指南与安全最佳实践
实现Protected Setup需要仔细关注注册窗口定时。标准规定注册会话必须具有有限的生存期——通常PBC为两分钟，基于PIN的注册为五分钟。窗口过期后，设备必须从头重新启动注册过程。这种时间限制防止攻击者捕获注册凭据后使用，并限制了基于PIN注册的暴力攻击窗口。
从系统工程角度来看，Protected Setup必须优雅地处理几种边界情况。注册失败（由于超时、凭据不匹配或网络错误）的设备应返回到其注册前状态，不保留任何部分凭据。这种”干净失败”原则可防止设备进入不确定状态，即具有某些安全上下文但无法与网络通信。此外，设备应支持完全清除所有注册凭据并将设备恢复到出厂状态的恢复出厂设置机制，允许在需要时重新注册。
一个健壮的Protected Setup实现包括注册过程中的视觉和听觉反馈。LED指示灯或显示消息应清晰地传达每个注册阶段：”准备设置”、”注册进行中”、”注册成功”和”注册失败”。这种反馈对于用户信心至关重要，特别是在PBC模式下，用户没有其他指示表明按钮按压已被注册且注册过程正在进行中。
切勿在Protected Setup中实现回退到开放的行为。一些设计不良的消费设备在注册失败时临时禁用所有安全性，允许设备以未认证模式加入网络。这完全违背了Protected Setup的目的，并创建了持久的安全漏洞。无法完成注册的设备必须保持其安全的预注册状态并重试或报告失败——切勿降低安全性以实现连接。
常见问题
问：Protected Setup与DeviceProtection有什么关系？
答：Protected Setup处理初始接入和凭据配置阶段——建立初始信任。DeviceProtection处理注册后的持续访问控制——管理角色、权限和认证会话。Protected Setup本质上是引导DeviceProtection维护的安全关系的”首次接触”协议。
答：Protected Setup处理初始接入和凭据配置阶段——建立初始信任。DeviceProtection处理注册后的持续访问控制——管理角色、权限和认证会话。Protected Setup本质上是引导DeviceProtection维护的安全关系的”首次接触”协议。
问：设备退役后可以重新注册吗？
答：可以。恢复出厂设置通常清除设备的注册凭据和安全上下文，允许其像新设备一样重新注册。Security Console或注册器也必须从其数据库中删除设备的旧凭据，以防止旧身份继续被授权。
答：可以。恢复出厂设置通常清除设备的注册凭据和安全上下文，允许其像新设备一样重新注册。Security Console或注册器也必须从其数据库中删除设备的旧凭据，以防止旧身份继续被授权。
问：Protected Setup需要设备上有显示屏或用户界面吗？
答：不需要。Protected Setup设计用于无头设备。PBC使用物理按钮，PIN使用打印标签，OOB可以使用NFC标签。设备本身不需要显示屏、键盘或图形界面。这使得Protected Setup适用于低成本物联网设备，如传感器、执行器和智能插头。
答：不需要。Protected Setup设计用于无头设备。PBC使用物理按钮，PIN使用打印标签，OOB可以使用NFC标签。设备本身不需要显示屏、键盘或图形界面。这使得Protected Setup适用于低成本物联网设备，如传感器、执行器和智能插头。
问：Protected Setup凭据可以无需重新注册而更新吗？
答：一旦注册，设备使用DeviceProtection服务进行持续的凭据管理。Protected Setup凭据仅限于注册阶段。如果网络安全策略发生变化，更改通过Security Console的策略同步机制传播，而不是通过重新注册。
答：一旦注册，设备使用DeviceProtection服务进行持续的凭据管理。Protected Setup凭据仅限于注册阶段。如果网络安全策略发生变化，更改通过Security Console的策略同步机制传播，而不是通过重新注册。
