CN100493071C - 电信系统中的方法和设备 - Google Patents

电信系统中的方法和设备 Download PDF

Info

Publication number
CN100493071C
CN100493071C CNB008146160A CN00814616A CN100493071C CN 100493071 C CN100493071 C CN 100493071C CN B008146160 A CNB008146160 A CN B008146160A CN 00814616 A CN00814616 A CN 00814616A CN 100493071 C CN100493071 C CN 100493071C
Authority
CN
China
Prior art keywords
access unit
independent access
equipment
distance host
communication path
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CNB008146160A
Other languages
English (en)
Other versions
CN1456006A (zh
Inventor
R·布洛姆
L·巴里加
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Clastres LLC
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN1456006A publication Critical patent/CN1456006A/zh
Application granted granted Critical
Publication of CN100493071C publication Critical patent/CN100493071C/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/40—Security arrangements using identity modules
    • H04W12/43—Security arrangements using identity modules using shared identity modules, e.g. SIM sharing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)
  • Telephonic Communication Services (AREA)
  • Exchange Systems With Centralized Control (AREA)
  • Telephone Function (AREA)
  • Stored Programmes (AREA)

Abstract

根据所公开的方法和设备，为了客户认证，用于数字证件的私有密钥或者通常对于客户认证所需要的任何私有或保密信息被存储在一张个人SIM卡/智能卡中，并且在IPsec隧道建立时，与作为安全网关的一个移动电话组合使用。一个离开其通常的办公室的雇员可能利用作为一个安全网关的个人独立接入单元来与其雇主的被保护的内联网通信。这种方案使得雇员为了利用移动通信网或者固定网，如PSTN而接入内联网，能够借用任何远程主机。所述解决方案将安全功能移动到移动电话或独立接入单元，最好是一个无线独立接入单元，在此实现一个轻型安全网关或者防火墙。

Description

电信系统中的方法和设备
技术领域
本发明涉及用于通过加密/解密而为网络通信进行数据保护(安全)的方法和设备。
背景技术
传统上，互联网没有提供安全，并且如果没有采取措施，则通信双方可以成为诸如窃听、欺骗、抢劫、服务的重放和拒绝的被动和主动攻击的目标。同样，直接连接到互联网的计算机可能成为利用操作系统中的安全缺陷或者感染了数据病毒或者所谓的特洛伊木马的互联网业务的攻击的目标。为了安全，数据在网络上发送之前通常被保护。为了避免侵扰，计算机本身被仔细查看，以封闭任何可能的漏洞。
互联网协议(IP)正式地规定了互联网分组、所谓的数据报的格式，并且非正式地包含无连接分发的思想。类似于一个物理帧，IP数据报被划分成为头和数据区。除了其它信息之外，数据报头含有源和目的IP地址、分段控制、先后次序以及用于捕获传输错误的校验和。除了固定长度字段之外，每个数据报头还含有至少一个可选字段。该可选字段是可变长度的，这依赖于所使用的选项的数量和类型以及为每个选项所分配的数据区。
分层的思想在协议设计中是基本的，这是因为它提供了一种用于协议设计的概念上的结构。在一个分层模型中，每个层处理通信问题的一部分，并且通常对应于一个协议。协议遵循分层原理，其规定了实现在目的机器上的层“n”的软件正确地接收实现在源机器上的层“n”的软件发送的内容。实际上，协议软件使用多路复用和多路分解来在一个给定层内的多个协议之间进行区分，使得协议软件比分层模型所建议的更复杂。
由应用程序内的复杂安全软件对数据执行加密/解密，或者为了简化应用程序，在网络协议的协议栈内执行加密/解密。
互联网协议(IP)提供用于网间互通的两个主要协议。用户将互联网看作是互连所有主机的单一虚拟网络，并且通过该网络可能进行通信；其根本的结构是隐藏的和不相关的。概念上，IP互联网在三个相关的层中提供三组业务。下面更详细地公开这三个层。
在图2中，描述了根据现有技术的IP栈互联网的三个层；它们在图2中的排列显示了它们之间的相关性。在最底层1，一个无连接分发业务提供一个所有内容依靠在其上的基础。在下一个层2，一个传输业务提供应用程序所依靠的更高平台。即，在以层次安排的三个概念上的网络业务周围设计互联网软件。
各家企业建立内联网，为了保护内部公司不受到互联网攻击，内联网由过滤进入业务的防火墙包围。为此，直接接入一个网络的防火墙计算机可以被用于阻止对于内部/私有网络的未授权接入。此外，对于移动用户，为了保护一个远程主机和公司内联网之间通过互联网的通信，使用已加密的信道，即通过互联网的安全隧道。通过使用密码术(安全写)对数据加密来获得安全，并且称作虚拟私有网(VPN)。互联网工程任务组(IETF)正在对可以用于此的IPsec协议组进行标准化。该组定义了如何对各方进行鉴别并且协商密钥，以便建立各方之间的安全网络信道。
IPsec协议是通过使用现代密码术方法来提供私密和鉴别业务的一组安全外延。它能够保护所有业务不遭受未授权的修改和窃听并且安全地鉴别互相通信的各方。不过，在由VPN保护的网络的被保护的边界之外通过的业务需要单独的保护。
在使用IPsec的系统中，为了保护IP数据报的内容，使用密码术对数据进行转换。有两种主要的构成IPsec的构筑块的转换类型，鉴别头(AH)转换和封装安全有效负荷(ESP)转换。
鉴别头(AH)为数据报提供鉴别(数据起源鉴别、无连接完整性以及反重放保护业务)。它按照安全关联(association)中的规定来保护数据报中的所有数据不受损害，包括头中的各字段在传输中不被改变。AH被设计为只提供完整性。AH的一个缺陷是它不提供机密性。
ESP头提供机密性、数据起源鉴别、无连接完整性、反重放保护以及有限的业务流机密性。它通过按照安全关联的规定对数据报的内容加密来达到这些目的。数据报的ESP转换加密和解密部分可选地将数据报包在另一个数据报中或者在另一个数据报中将该数据报解开。可选地，ESP转换可以执行数据完整性确认，并为被发送的数据报计算完整性检查值(ICV)。
在一个安全对话开始之前，通信各方需要协商用于通信的条件。这些条件是在安全关联(SA)中规定的。需要一个自动化的协议来建立SA，使得该过程在象互联网的全球网中是可行的。这个自动化的协议是互联网密钥交换(IKE)。IKE指建立、协商、修改和删除SA：s。它安全地为主机产生随机的短期对话密钥，并且使用共享密码(口令)或者密码地使用证件来鉴别主机。
IKE密钥协商和交换有两个阶段。在第一个阶段中，IKE建立一个用于进一步协商业务量的安全信道，并规定在协商中使用的安全关联。在第二阶段中，它协商由IPsec使用的安全关联。尽管第一个阶段是耗时的，但是最终节约了时间，这是因为在执行了第一个阶段协商之后可以更块地执行更频繁的第二个阶段的协商。
远程主机还需要安全软件来处理这个连接。专利“DataEncryption/Decryption for Network Communication(用于网络通信的数据加密/解密)”，WO-9726731 A1中建议了一种方法，其中远程主机系统软件被修改。诸如IPsec的一个安全网络驱动软件被插入到网络协议IP和相应的网络驱动程序之间。在网络分组从应用编程接口传送到网络协议IP之前对这些网络分组采取安全措施。一个安全网络驱动程序被与用于添加的数据安全的两个加密/解密库一起使用。一个网络驱动程序和额外的硬件也用于与网络的通信。这样，所有IP业务被透明地加密/解密(隧道)。该设置可以由使用移动电话的移动用户使用作为通过互联网连接到内联网的调制解调器。为此，IPs ec协议组需要被安装作为远程主机中的安全网络驱动程序。
在WO-9726731 A1中描述的方法的一个缺陷是远程主机(即移动用户的主机)必须适合于处理IPsec隧道。考虑大量的已经被使用的主机(膝上型电脑、工作站、PC)以及操作系统和它们版本的多样性，这是一个不可行的解决方案。此外，升级会影响被安装的安全网关。
在WO-9726731 A1中描述的方法的另一个缺陷是只有一个专门的群体，而不是普通用户能够执行这种底层安全网络模块的安装和配置。
在WO-9726731 A1中描述的方法的另外一个缺陷是IPsec正在被缓慢采用，并且等到计算机行业将IPsec包括作为用于潜在远程主机的商用操作系统中的一个标准部分，还需要一段长的时间。尽管如此，在内联网市场上，几家公司正在提供IPsec提供作为防火墙计算机中的一个部分或者作为一个独立的IPsec安全网关。更详细地说，几家公司已经引进了IPsec的一侧，即保护公司站点的一侧。另一侧，即远程主机难以配备IPsec。
在WO-9726731 A1中描述的方法的还有一个缺陷是用户接入互联网时可能会不经意地下载怀有恶意的软件。数据病毒能够在用户不知道的情况下，清除、禁止或修改远程主机中的安全软件。数据病毒还可能损害或者甚至是破坏主机的操作系统。
发明内容
目前，当离开其内联网所在的建筑物的用户希望与该内联网通信时，必须使用一个安全系统，为了保护内联网与远程主机(即由所述用户使用来与其内联网通信的计算机)之间的数据传输，该安全系统使用一个安全网络驱动软件。
使用一个安全网络驱动软件的安全系统的主要问题是，远程主机(即由移动用户使用的计算机)必须适合于处理IPsec隧道。对于大量的已经采用的主机(膝上型电脑、工作站、PC)以及操作系统的多样性来说，这是一个不可行的解决方案。此外，对于这种方案，升级也是难以维护和执行的。
使用安全网络驱动软件的安全系统的另一个问题是，这种底层安全网络(即依赖于操作系统的)模块的安装合配置只能由有经验的人员，而不能由普通用户来执行。
使用安全网络驱动软件的安全系统的另一个问题是，当用户接入互联网时，可能会不经意地下载怀有敌意的软件。数据病毒可能会在用户不知道的情况下，清除、禁止或者修改远程主机的安全软件。
使用加密和封装的安全系统的另一个问题是，包括网络分组的封装/解封装和加密/解密的过程需要计算机的大部分处理能力。
这里公开的设备包括一个配备有固件的独立接入单元。固件是为了提供更好的安全而存储在某种类型的只读存储器模块中的软件。固件不能被外部数据病毒修改。
根据所公开的方法和设备，为了客户认证，用于数字证件的私有密钥或者通常对于客户认证所需要的任何专用或保密信息被存储在一张个人SIM卡/智能卡中，并且在IPsec隧道建立时，与作为安全网关的一个移动电话组合使用。一个离开其通常的办公室的雇员可能利用作为一个安全网关的个人独立接入单元来与其雇主的被保护的内联网通信。这种方案使得雇员为了利用移动通信网或者固定网，如GSM、CDMA、PSTN而接入内联网，能够借用任何远程主机。
所述解决方案将安全功能移动到移动电话或独立接入单元，最好是一个无线独立接入单元中，在此实现一个轻型(lightweight)安全网关。
在所述解决方案中，与其中安全层位于远程主机内的现有技术相反，安全管理被提供在移动电话中。IPsec固件和密钥管理位于移动电话内部，其中它不会受到潜在攻击的影响。
根据一个有利的实施例，安全网关功能此外还可以提供在可以插入到移动电话中的一个外部硬件模块中，从而使得商用电话作为安全网关。
根据本发明的另一个有利实施例，提供了一种计算机程序产品，其可以加载到一个独立接入单元的内部存储器中，并且包括用于当所述独立接入单元被一台计算机激活时，执行这里所公开的方法的软件部分。
本发明的方法和设备的目的是提供对于在互联网上通信的电子设备的更好的安全，其中利用移动通信网或者固定网来提供通信。
本发明的方法和设备的另一个目的是为通过互联网与内联网通信的位于外部的电子设备提供安全。
本发明的另一个目的是提供一种能够阻止外部攻击的安全网关。利用以移动电话内部的硬件的形式来达到这一目的。
所公开的方法和设备的另一个目的是在一个个人的单独点-独立接入单元中处理所有安全关联，如密钥和配置参数以及通信。
所公开的方法和设备的另一个目的是作为安全网关的独立接入单元，最好是无线独立接入单元的使用使得其所有者为了接入他/她的内联网而能够使用一个任意的远程主机，如膝上型电脑或者独立的计算机。
这里所公开的方法和设备的一个优点是底层安全软件不需要安装在远程主机上。
所公开的方法和设备的另一个优点是所有安全关联，如密钥和配置参数以及通信都在一个个人单独点-独立接入单元，最好是无线独立接入单元中实现。
这里所公开的方法和设备的另一个优点是IPsec固件在独立接入单元内部提供比远程主机中提供的安全更好的保护，其中，当远程主机被用于接入内联网时，远程主机可能受到攻击。
这里所公开的方法和设备的另一个优点是固件不能被外部数据病毒修改。
所公开的方法和设备的另一个优点是，作为安全网关的独立接入单元，最好是无线独立接入单元的使用使得其所有者为了接入其内联网而能够使用一个任意的远程主机。
在本公开中，术语移动电话被使用。本领域的技术人员应当理解，这里所公开的方法还可以应用于任何无线电话。此外，可以使用独立接入单元，最好是无线独立接入单元来代替无线电话，接入单元能够提供无线通信。可以利用电缆或以例如短程无线电(例如蓝牙)或者红外光形式的无线通信来提供所述接入单元与诸如膝上型电脑、个人数字助理或者普通计算机的电子设备之间的通信。此外，在极端情况下，可以利用超声波或者水中听音(hydrophonic)通信来提供所述接入单元与所述电子设备之间的通信。安全固件还可以插入到作为一个远程主机的计算机中，其中该计算机使用作为安全网关的所述安全固件通信。
术语“包括/包含”用于该说明书中时，是指所陈述的特征、整数、步骤或部件的出现，但是并不排除一个或多个其它特征、整数、步骤、部件或其组的存在或增加。
根据下文给出的详细描述可以使得本发明应用的进一步范围显而易见。不过，应当理解，由于在本发明范围之内的各种改变和修改对于阅读了本详细描述的本领域技术人员是显而易见的，所以指明了本发明优选实施例的详细描述和确定的例子只是作为示例而给出的。
附图说明
图1表示根据本发明的方法和设备的使用。
图2表示互联网中的三层。
图3表示其中使用根据本发明的安全系统的隧道记录更新的流程图。
图4表示根据本发明的用于通信的安全系统。
现在参考本发明的优选示范实施例以及附图来更详细地描述本发明。
具体实施方式
图1说明了根据本发明的方法和设备的使用。作为一家国际公司(如爱立信公司)雇员的史密斯先生正在访问东京。史密斯先生拥有一部安装了具有根据本发明的安全固件的SIM卡的移动电话1030。史密斯先生希望与位于瑞典斯德哥尔摩的爱立信公司的内联网1040通信。史密斯先生向其在访问东京时下榻的饭店借用一台膝上型电脑1010。他利用短程无线电通信1020将膝上型电脑1010连接到其移动电话。在另外的应用中，可以用电缆来代替短程无线电通信。在本发明的另一个实施例中，可以由一台独立的计算机来代替膝上型电脑1010。可以利用红外光来提供膝上型电脑1010与移动电话1030之间的通信。在另外的实施例中，安装有安全固件的SIM卡可以插入到膝上型电脑1010中。史密斯先生现在能够利用与位于斯德哥尔摩的爱立信公司的内联网1040的无线通信而进行通信。移动电话1030与接收计算机之间的无线通信可以通过公共陆地移动网(PLMN)与互联网提供。在另外的实施例中，卫星通信也是可能的。移动电话1030作为用于内联网1040与膝上型电脑1010之间通信的安全网关。内联网1040配备有一个作为内联网安全网关的接收计算机1050，用于内联网1040与世界其它地方之间的通信。
图3中的流程图表示根据本发明用于经由加密/解密而进行网络通信的数据保护(安全)的方法。当用户希望从一台远程主机接入其内联网时，该用户将安装了根据本发明的安全固件的其独立接入单元，例如移动电话连接到一台计算机(步骤185)。之后，移动电话建立一条与互联网的连接(步骤189)。于是，移动电话联系互联网的安全网关(步骤192)。作为到内联网的网关并配备有安全网关的一台计算机检查独立接入单元中的安全网关是否被授权(步骤196)。如果未被授权，则一条错误信息被发送到电话。否则，在移动电话与安全网关之间建立一个安全隧道(步骤198)。于是，远程主机与内联网之间的一条IP连接被建立。
图4表示根据一个优选实施例的各实体之间的通信。图4示出了通信的三个层。每个协议与其逻辑的对应物通信。通信是逐层提供的；在互联网一侧的远程主机100上的TCP/UDP层130与内联网主机400上的TCP/UDP层430通信，远程主机100上的IP层120与内联网一侧的内联网主机400上的IP层420通信。如图4所示，远程主机100没有配备网络安全层，即在远程主机100上的网络安全层的安装是不需要的。所有安全管理都提供在移动电话200内部。互联网一侧的移动电话200配备有安装了称作IPsec的固件240的安全网关230。安全网关功能230的复杂度可以保持较低，这是因为只有一个单独的主机需要被保护。移动电话200中的硬件和软件能够可靠地被实现。另一方面，能够置入远程主机100的可信任的硬件和软件是有限的。例如通过连接两台设备的串行电缆、通信链路(例如蓝牙或者某个其它的短程通信)的内置安全或者短程功能(红外光)而进行的远程主机100与移动电话200之间的通信是安全的。IPsec固件240与密钥管理作为安全网关230的一部分而位于移动电话200内部，其中它不会受到潜在攻击的影响。互联网一侧的移动电话200中的IPsec层240与内联网一侧的安全网关300中的IPsec层340通信。安全网关300终接IPsec隧道，并将IP分组从远程主机转发到内联网主机。在一个优选实施例中，安全网关300位于内联网主机400内。在另外的优选实施例中，安全网关300是主机400的一部分。
可以静态地或动态地进行移动电话安全关联(SA)，如用于VPN建立的密钥和安全策略的控制。
在简单的情况下，利用带外安全方式(即静态配置)来将SA加载到移动电话中。对于简单配置，这可以通过手工来进行，或者从一个被认证的站点安全下载到内联网中。移动电话还能够被预先配置以获得其在内联网中的内联网网络参数。在这种情况下，手工IPsec将运行在电话和安全网关之间。
还可以根据互联网密钥交换(IKE)[RFC2409]来提供IPsec隧道和远程主机的动态配置。在这种情况下，IKE协议被采用来建立电话与安全网关之间的一个初始安全关联。然后，该隧道被用于协商(negotiate)一个远程主机SA。因为所述动态配置提供一个可移动的安全网关，所以选择IKE。此外，一个个人安全网关提供更好的控制和监督。
应当注意到：
·安全关联的预先配置可以是非常强大的，并且只允许接入确定的网关或者它可以是非常随意的并且或多或少地在用户的控制之下。
·IKE协议的实现允许基于公共密钥基础结构(PKI)的密钥管理的使用。
·其它安全信道可以根据该思想被实现。代替IPsec协议，例如可能有传输层安全(TLS：传输层安全/SSL：安全插口层/SSH：安全外壳/WTLS：无线TLS)、简单分组过滤或者用于调制解调器连接的链路级加密。
在另一个实施例中，在通过IP信道发送语音的通信系统中，可以使用这里所公开的方法。
以上描述了本发明，显然可以用多种方法对其进行改变。这种改变不应当被认为偏离本发明的范围，并且对于本领域技术人员显而易见的所有这种修改都包括在所附权利要求的范围之内。

Claims (38)

1.一种用于在通信系统中传输数据分组的方法，所述通信系统包括远程主机(1010)、独立接入单元(1030)和接收计算机(1050)，所述独立接入单元(1030)鉴别接入通信网络和加密信息，所述接收计算机(1050)作为到内联网的安全网关并将接收到的数据分组转发至内联网主机(400)，所述方法的特征在于包括如下步骤：
建立在远程主机(1010)和独立接入单元(1030)之间的第一通信路径；
利用位于独立接入单元(1030)的安全固件和密钥信息确定安全关联；
按照安全协议建立通过通信网络的、依赖于安全关联的在独立接入单元(1030)和接收计算机(1050)之间的第二通信路径；
建立在远程主机(1010)和内联网主机之间的通信路径，该通信路径包括第一通信路径和第二通信路径，其中该独立接入单元(1030)用作在该第一通信路径和第二通信路径之间的安全网关，该接收计算机(1050)用作在该第二通信路径和到内联网主机(400)的内联路径之间的安全网关。
2.根据权利要求1的方法，其特征在于所述远程主机根据端到端协议TCP/IP与所述内联网主机进行通信，安全协议是IPsec，由所述固件对IPsec提供支持。
3.根据权利要求1的方法，其特征在于以软件的形式来提供固件。
4.根据权利要求1的方法，其特征在于所述远程主机是膝上型电脑或者独立计算机。
5.根据权利要求1的方法，其特征在于所述远程主机是个人数字助理。
6.根据权利要求1的方法，其特征在于利用无线连接来执行独立接入单元(1030)与远程主机(1010)之间的第一通信。
7.根据权利要求1的方法，其特征在于利用短程无线电通信来执行独立接入单元(1030)与远程主机(1010)之间的第一通信。
8.根据权利要求7的方法，其特征在于根据蓝牙标准来实现所述短程无线电通信。
9.根据权利要求6的方法，其特征在于所述无线连接通过红外光来实现。
10.根据权利要求2的方法，其特征在于每个客户认证所需要的客户私有信息被存储在个人防止窜改的存储器中，并且当建立IPsec隧道时，该存储器与作为安全网关的独立接入单元组合使用。
11.根据权利要求10的方法，其特征在于以智能卡的形式来提供所述防止窜改的存储器。
12.根据权利要求1的方法，其特征在于所述接收计算机将IP分组从远程主机转发到内联网主机。
13.根据权利要求1的方法，其特征在于在预先配置阶段静态地执行独立接入单元安全关联SA的配置。
14.根据权利要求1的方法，其特征在于确定所述安全关联包括在所述独立接入单元处动态地配置所述安全关联。
15.根据权利要求14的方法，其特征在于为了在独立接入单元和接收计算机之间建立初始安全关联，利用互联网密钥交换(IKE)来提供动态配置，于是所述独立接入单元和所述接收计算机之间的安全链路被用于协商远程主机安全关联。
16.根据权利要求13的方法，其特征在于安全关联的预先配置只允许接入确定的网关。
17.根据权利要求13的方法，其特征在于预先配置是在用户控制之下。
18.根据权利要求15的方法，其特征在于使用基于PKI的密钥管理。
19.根据权利要求1的方法，其特征在于所述方法被用在通过IP信道发送语音的通信系统中。
20.一种用于在通信系统中传输数据分组的设备，所述通信系统包括远程主机(1010)、到通信网络的独立接入单元(1030)和作为在至少部分公共通信网络和内联网之间的安全网关的接收计算机(1050)，以及内联网主机，其特征在于所述设备包括：
建立在远程主机(1010)和独立接入单元(1030)之间的第一通信路径的装置；
利用在独立接入单元(1030)中的安全固件和密钥信息来确定安全关联的装置，所述安全关联位于独立接入单元(1030)和接收计算机(1050)之间；
按照安全协议建立通过通信网络的并依赖于安全关联的在独立接入单元(1030)和接收计算机(1050)之间的第二通信路径的装置；
建立在远程主机(1010)和内联网主机之间的通信路径的装置，该通信路径包括第一通信路径和第二通信路径，其中独立接入单元(1030)用作在该第一通信路径和第二通信路径之间的安全网关，其中接收计算机(1050)用作在该第二通信路径和到内联网主机的内联路径之间的安全网关。
21.根据权利要求20的设备，其特征在于所述远程主机根据端到端协议TCP/IP与所述内联网主机通信，安全协议是IPsec，且由所述固件对IPsec提供支持。
22.根据权利要求20的设备，其特征在于以软件的形式来提供固件。
23.根据权利要求20的设备，其特征在于所述远程主机是膝上型电脑或独立计算机。
24.根据权利要求20的设备，其特征在于所述远程主机是个人数字助理。
25.根据权利要求20的设备，其特征在于利用无线连接来建立在独立接入单元(1030)与远程主机(1010)之间的通信路径。
26.根据权利要求20的设备，其特征在于利用短程无线电通信来执行建立在接入单元(1030)与远程主机(1010)之间的通信路径。
27.根据权利要求26的设备，其特征在于根据蓝牙标准来实现所述短程无线电通信。
28.根据权利要求25的设备，其特征在于所述无线连接通过红外光来实现。
29.根据权利要求21的设备，其特征在于每个客户认证所需要的客户私有信息被存储在个人防止窜改的存储器中，并且当建立IPsec隧道时，该存储器与作为安全网关的独立接入单元组合使用。
30.根据权利要求29的设备，其特征在于以智能卡的形式来提供所述防止窜改的存储器。
31.根据权利要求20的设备，其特征在于所述接收计算机将IP分组从远程主机转发到内联网主机。
32.根据权利要求20的设备，其特征在于所述用于确定所述独立接入单元和所述接收计算机之间的安全关联的装置在预先配置阶段静态地配置独立接入单元安全关联。
33.根据权利要求20的设备，其特征在于所述用于确定所述独立接入单元和所述接收计算机之间的安全关联的装置动态地配置独立接入单元安全关联。
34.根据权利要求33的设备，其特征在于为了在独立接入单元和接收计算机之间建立初始安全关联，利用互联网密钥交换(IKE)来提供动态配置，于是所述独立接入单元和所述接收计算机之间的安全链路被用于协商远程主机安全关联。
35.根据权利要求32的设备，其特征在于安全关联的预先配置只允许接入确定的网关。
36.根据权利要求32的设备，其特征在于预先配置是在用户控制之下。
37.根据权利要求34的设备，其特征在于使用基于PKI的密钥管理。
38.根据权利要求20的设备，其特征在于所述设备被用在通过IP信道发送语音的通信系统中。
CNB008146160A 1999-10-22 2000-10-04 电信系统中的方法和设备 Expired - Fee Related CN100493071C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP99850156A EP1094682B1 (en) 1999-10-22 1999-10-22 Mobile phone incorporating security firmware
EP99850156.3 1999-10-22

Publications (2)

Publication Number Publication Date
CN1456006A CN1456006A (zh) 2003-11-12
CN100493071C true CN100493071C (zh) 2009-05-27

Family

ID=8243764

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB008146160A Expired - Fee Related CN100493071C (zh) 1999-10-22 2000-10-04 电信系统中的方法和设备

Country Status (8)

Country Link
EP (1) EP1094682B1 (zh)
JP (1) JP2003529243A (zh)
CN (1) CN100493071C (zh)
AT (1) ATE297645T1 (zh)
AU (1) AU1133001A (zh)
CA (1) CA2388114A1 (zh)
DE (1) DE69925732T2 (zh)
WO (1) WO2001031877A2 (zh)

Families Citing this family (47)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7340057B2 (en) * 2001-07-11 2008-03-04 Openwave Systems Inc. Method and apparatus for distributing authorization to provision mobile devices on a wireless network
AU2001259086A1 (en) * 2000-04-17 2001-10-30 Airbiquity Inc. Secure dynamic link allocation system for mobile data communication
SE518604C2 (sv) 2000-06-29 2002-10-29 Wireless Login Ab Metod och anordning för säker anslutning till ett kommunikationsnätverk
FI20001837A (fi) * 2000-08-18 2002-02-19 Nokia Corp Autentikointi
GB0026803D0 (en) 2000-11-02 2000-12-20 Multimedia Engineering Company Securized method for communicating and providing services on digital networks and implementing architecture
US8103881B2 (en) 2000-11-06 2012-01-24 Innovation Connection Corporation System, method and apparatus for electronic ticketing
US8015592B2 (en) 2002-03-28 2011-09-06 Innovation Connection Corporation System, method and apparatus for enabling transactions using a biometrically enabled programmable magnetic stripe
SE0004338L (sv) * 2000-11-24 2002-05-25 Columbitech Ab Datanätbaserat system
SE517729C2 (sv) 2000-11-24 2002-07-09 Columbitech Ab Metod för att upprätthålla kommunikation mellan enheter tillhöriga skilda kommunikationsnät
FR2822318B1 (fr) 2001-03-14 2003-05-30 Gemplus Card Int Dispositif portable pour securiser le trafic de paquets dans une plate-forme hote
US7228438B2 (en) 2001-04-30 2007-06-05 Matsushita Electric Industrial Co., Ltd. Computer network security system employing portable storage device
FI111115B (fi) * 2001-06-05 2003-05-30 Nokia Corp Menetelmä ja järjestelmä avainten vaihtoon tietoverkossa
KR20010079255A (ko) * 2001-06-27 2001-08-22 김태범 프록시 서버를 매개로 한 인터넷 전화 통화 시스템 및 그방법
US7107464B2 (en) * 2001-07-10 2006-09-12 Telecom Italia S.P.A. Virtual private network mechanism incorporating security association processor
FR2828041B1 (fr) * 2001-07-24 2005-01-21 Bouygues Telecom Sa Procede de securisation d'echanges entre un terminal informatique et un equipement distant
KR100418246B1 (ko) * 2001-08-10 2004-02-11 (주)웹콜월드 웹콜에이전트와 웹콜프록시를 이용한ＮＡＴ／Ｆｉｒｅｗａｌｌ환경에서의 인터넷 음성통신 방법
KR100438155B1 (ko) * 2001-08-21 2004-07-01 (주)지에스텔레텍 무선랜 네트워크 시스템 및 그 운용방법
KR20010090037A (ko) * 2001-08-21 2001-10-18 (주) 대성디지탈테크 스마트카드가 구비된 무선 랜카드
KR20030021336A (ko) * 2001-09-05 2003-03-15 삼성전기주식회사 무선랜의 제품정보 이용 및 관리방법
FI114953B (fi) 2001-09-28 2005-01-31 Nokia Corp Menetelmä käyttäjän tunnistamiseksi päätelaitteessa, tunnistusjärjestelmä, päätelaite ja käyttöoikeuksien varmistuslaite
KR100450950B1 (ko) * 2001-11-29 2004-10-02 삼성전자주식회사 구내/공중망 무선 패킷데이터 서비스를 받는 이동단말기의 인증 방법 및 그 사설망 시스템
JP4170912B2 (ja) 2001-11-29 2008-10-22 シーメンス アクチエンゲゼルシヤフト ネットワークプロバイダ及びビジネスパートナーに対する遠隔通信加入者の認証及び許可のための端末における公開鍵ペアの利用
KR20030047471A (ko) * 2001-12-10 2003-06-18 (주)애니 유저넷 인터넷 전화의 방화벽 통과방법 및 터널링 게이트웨이
KR100447681B1 (ko) * 2001-12-27 2004-09-08 한국전자통신연구원 아이피섹을 이용한 통합 키관리 방법 및 이를 위한 기록매체
US7480284B2 (en) * 2002-01-08 2009-01-20 Alcatel Lucent Secure voice and data transmission via IP telephones
FI118170B (fi) * 2002-01-22 2007-07-31 Netseal Mobility Technologies Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi
US8082575B2 (en) 2002-03-28 2011-12-20 Rampart-Id Systems, Inc. System, method and apparatus for enabling transactions using a user enabled programmable magnetic stripe
JP2005524890A (ja) * 2002-03-28 2005-08-18 イノベーション コネクション コーポレーション バイオメトリック本人性確認および非接触スマートカードを使用した取引の安全性のための機器および方法
KR100487184B1 (ko) * 2002-09-12 2005-05-03 삼성전자주식회사 이브이디오 서비스에서의 보안 장치 및 방법
AU2004237046B2 (en) * 2003-05-02 2008-02-28 Giritech A/S Pervasive, user-centric network security enabled by dynamic datagram switch and an on-demand authentication and encryption scheme through mobile intelligent data carriers
DE10331310A1 (de) * 2003-07-10 2005-02-10 Siemens Ag Verfahren zur Festlegung von Sicherheitseinstellungen in einem Automatisierungsnetz sowie Teilnehmer zur Durchführung des Verfahrens
SE0302189L (sv) * 2003-08-11 2004-05-11 Dan Duroj Handhållen nätverksanslutning skapad med åtminstone två lagringsmedium i fickformat med programvara för kommunikation
CN100449990C (zh) * 2003-08-19 2009-01-07 华为技术有限公司 固定网络终端的用户认证装置及其方法
DE10339173A1 (de) * 2003-08-26 2005-03-24 Giesecke & Devrient Gmbh Bestimmen und Ausgeben von Authentisierungscodes
US20050120213A1 (en) * 2003-12-01 2005-06-02 Cisco Technology, Inc. System and method for provisioning and authenticating via a network
CN100385885C (zh) * 2004-07-09 2008-04-30 威达电股份有限公司 具ssl保护功能的安全网关及方法
KR100675158B1 (ko) * 2004-09-14 2007-01-29 엘지전자 주식회사 인터넷 뱅킹 기능이 구비된 이동통신단말기 및 그 제어방법
CN100367715C (zh) * 2004-09-30 2008-02-06 迈普（四川）通信技术有限公司 一种实现通信负载均衡的方法及网关、上端网关
WO2006045343A1 (en) 2004-10-29 2006-05-04 Telecom Italia S.P.A. System and method for remote security management of a user terminal via a trusted user platform
CN101543099B (zh) 2006-09-29 2012-03-28 意大利电信股份公司 通过不同电子设备对移动用户使用、提供、定制和计费服务
CN101682513A (zh) 2007-06-11 2010-03-24 Nxp股份有限公司 认证方法以及用于执行认证的电子装置
CN101252434B (zh) * 2008-02-29 2011-12-21 北京中电华大电子设计有限责任公司 在无线局域网中实现手机接入认证的设备及方法
WO2009139676A1 (en) * 2008-05-13 2009-11-19 Telefonaktiebolaget L M Ericsson (Publ) User-type handling in a wireless access network
EP2182696A1 (fr) 2008-10-31 2010-05-05 Gemalto SA Procédé d'établissement d'une liaison entre les applications d'une carte d'authentification d'un abonné et un réseau IMS
US20100153721A1 (en) * 2008-12-12 2010-06-17 Anders Mellqvist Portable Electronic Devices, Systems, Methods and Computer Program Products for Accessing Remote Secure Elements
DE102011054509A1 (de) 2011-10-14 2013-04-18 Deutsche Telekom Ag Verfahren und Vorrichtung zur Kontrolle einer Mobilfunkschnittstelle auf mobilen Endgeräten
CN103973700A (zh) * 2014-05-21 2014-08-06 成都达信通通讯设备有限公司 移动终端预设联网地址防火墙隔离应用系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5778071A (en) * 1994-07-12 1998-07-07 Information Resource Engineering, Inc. Pocket encrypting and authenticating communications device
KR970004482A (ko) * 1995-06-06 1997-01-29 윌리엄 이. 힐러 데이타 통신을 위한 적외선 인터페이스
US6061346A (en) * 1997-01-17 2000-05-09 Telefonaktiebolaget Lm Ericsson (Publ) Secure access method, and associated apparatus, for accessing a private IP network
JPH11150532A (ja) * 1997-11-18 1999-06-02 Hitachi Information Systems Ltd イントラネットの遠隔管理システムおよびこれに用いるプログラムを記録した記録媒体

Also Published As

Publication number Publication date
DE69925732D1 (de) 2005-07-14
AU1133001A (en) 2001-05-08
CA2388114A1 (en) 2001-05-03
JP2003529243A (ja) 2003-09-30
EP1094682B1 (en) 2005-06-08
EP1094682A1 (en) 2001-04-25
CN1456006A (zh) 2003-11-12
ATE297645T1 (de) 2005-06-15
DE69925732T2 (de) 2006-03-16
WO2001031877A2 (en) 2001-05-03
WO2001031877A3 (en) 2003-01-16

Similar Documents

Publication Publication Date Title
CN100493071C (zh) 电信系统中的方法和设备
US7984496B2 (en) Systems and methods for secure communication over a wireless network
US7448081B2 (en) Method and system for securely scanning network traffic
US20120272310A1 (en) Systems and methods for secure communication over a wireless network
CN107005534A (zh) 安全连接建立
CN1949705B (zh) 一种用于安全访问专用局域网的动态隧道构建方法及用于该方法的装置
CN102348210A (zh) 一种安全性移动办公的方法和移动安全设备
ES2241275T3 (es) Metodo, disposicion y aparato para autentificacion.
Traynor et al. Security for telecommunications networks
CN109962902A (zh) 一种防网络追踪及实现匿名安全访问的方法及系统
Seidel et al. Deep en-route filtering of constrained application protocol (coap) messages on 6lowpan border routers
Cremonini et al. Security, privacy, and trust in mobile systems and applications
Lei et al. 5G security system design for all ages
Xenakis et al. Dynamic network-based secure VPN deployment in GPRS
US7822017B2 (en) Secure voice signaling gateway
CN102056155B (zh) 移动回程网络
Tuquerres et al. Mobile IP: security & application
CN117793702A (zh) 一种全业务链的内生安全管理方法
Yamamoto et al. Softwire Security Analysis and Requirements
Murhammer et al. A Comprehensive Guide to Virtual Private Networks, Volume III: Cross-Platform Key and Policy Management
KR100596397B1 (ko) 모바일 ＩＰｖ６ 환경에서 라디우스 기반 ＡＡＡ 서버의세션키 분배 방법
Barriga et al. Communications security in an all-IP world
Grahn et al. Security of mobile and wireless networks
CN116723555A (zh) 一种基于5g-r的终端接入、数据分发的方法及系统
CN115174258A (zh) 一种vpn数据安全访问方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: OPTIS WIRELESS TECHNOLOGY LLC

Free format text: FORMER OWNER: CLUSTER CO., LTD.

Effective date: 20150507

Owner name: CLUSTER CO., LTD.

Free format text: FORMER OWNER: TELEFONAKTIEBOLAGET LM ERICSSON (SE) S-126 25 STOCKHOLM, SWEDEN

Effective date: 20150507

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150507

Address after: Texas, USA

Patentee after: Telefonaktiebolaget LM Ericsson (publ)

Address before: Delaware

Patentee before: Clastres LLC

Effective date of registration: 20150507

Address after: Delaware

Patentee after: Clastres LLC

Address before: Stockholm

Patentee before: Telefonaktiebolaget LM Ericsson

CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20090527

Termination date: 20181004