CN101536480A - 用于网络接入的设备和/或用户认证 - Google Patents

用于网络接入的设备和/或用户认证 Download PDF

Info

Publication number
CN101536480A
CN101536480A CNA2007800410697A CN200780041069A CN101536480A CN 101536480 A CN101536480 A CN 101536480A CN A2007800410697 A CNA2007800410697 A CN A2007800410697A CN 200780041069 A CN200780041069 A CN 200780041069A CN 101536480 A CN101536480 A CN 101536480A
Authority
CN
China
Prior art keywords
wireless device
csn
eap
authenticated
authenticated exchange
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2007800410697A
Other languages
English (en)
Inventor
史蒂文·D·厄普
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Motorola Solutions Inc
Original Assignee
Motorola Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Motorola Inc filed Critical Motorola Inc
Publication of CN101536480A publication Critical patent/CN101536480A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

描述了对无线设备(101)和/或相关用户订购进行认证的各种实施例。通过利用与无线设备的单个认证交换以获得设备证书，连通性服务网络(CSN)(231)对设备凭证进行认证和验证以建立设备身份。对于基于设备身份的订购，设备身份用于对订购进行验证。对于用户订购认证，利用第一认证交换(a.k.a，外部交换)所建立的加密连接来执行第二认证交换。通过仅利用一个外部认证交换，可形成与已知技术相比呈现出减少了消息传送并且降低了复杂性的实施例。

Description

用于网络接入的设备和/或用户认证
发明领域
本发明通常涉及通信系统，并且尤其是涉及在准予接入到接入服务网络(ASN)之前通过连通性服务网络(CSN)来对无线设备进行认证。
发明背景
WiMAX(微波存取全球互通)网络接入提供商(NAP)(例如批发商)和网络服务提供商(NSP)(例如通信公司)感兴趣的是在可使设备进入到它们的网络之前对照一致性标准来验证无线设备的认证状态。NAP和NSP还显然感兴趣的是对设备的最终用户进行认证以为来自本地服务提供商的服务建立用户订购的有效性。将WiMAX设备制造成具有来自信任的WIMAX设备证书授权中心(Certificate Authority)的X.509数字证书以由NAP和NSP这两者来对这些设备的身份进行强认证。通常，接入提供商感兴趣的是在可使设备进入到它们的网络之前验证设备与标准的一致性。此外，还可利用诸如用户名—口令组合、生物特征数据、智能卡或者可移动的SIM卡的另一凭证来对用户的身份进行认证。
IEEE 802.16-2005定义了一种意在依次支持两个扩展认证协议(EAP)方法的方法。将该方法称为双层EAP，但是由于其复杂性和与IEEE 802.16空中接口的相互作用而不包含在WiMAX配置之内。双层EAP复杂之处在于成功地完成一个EAP方法，利用第一认证服务器建立EAP密钥材料，并且随后启动第二EAP方法，在该第二EAP方法中来自第一会话的密钥材料用于利用第二认证服务器对第二EAP方法的EAP消息进行认证。这些EAP会话的建立需要相当多的空中传送消息。
因此，希望具有一种用于对无线设备和该设备的用户进行认证的方法和装置，该方法和装置能够降低当今技术的一些消息传送和延迟特征。
附图说明
图1是描述根据本发明多个实施例的无线通信系统的方框图。
图2是描述根据本发明多个实施例的无线通信系统的方框图。
图3是描述根据本发明多个实施例的认证交换的信令流程图，通过所述认证交换对无线设备和/或订购(基于设备身份的订购)进行认证和验证。
图4是描述根据本发明多个实施例的两个认证交换的信令流程图，通过所述两个认证交换对无线设备和用户订购进行认证和验证。
图5是根据本发明特定实施例的用于对尝试对无线设备进行认证和验证的这类信令的示例进行描述的详细信令流程图。
图6是根据本发明特定实施例的用于对尝试对无线设备和用户订购进行认证和验证的这类信令的示例进行描述的详细信令流程图。
下面参考图1—6公开本发明的特定实施例。为提高理解撰写了该描述和说明。例如，一些附图元件的大小相对于其它元件而言是放大的，并且未对商业成功实现有益的或乃至所必需的已知元件进行描述，以较少地模糊并且更清楚地呈现实施例。此外，虽然参考按照特定顺序而交换的特定信令描述并示出了上述信令流程图，但是在不脱离权利要求的范围的情况下可省去一些信令或者可对一些信令进行组合、子划分或者重新排序。因此，除非明确表示，所描述的信令的顺序和分组不局限于属于权利要求范围之内的其他实施例。
说明和描述的简单性和清楚性是设法使本领域普通技术人员在考虑到本领域所已知的情况下有效地形成、使用并且最好地实施本发明。本领域普通技术人员应清楚的是在不脱离本发明的精神和范围的情况下可对如下所述的特定实施例做出修改和改变。因此，应认为该说明书和附图是说明性和示意性的而不是限制性的或者包括所有的，并且对如下所述的特定实施例的所有这种修改意在包含在本发明的范围之内。
具体实施方式
描述对无线设备和/或相关用户订购进行认证的各种实施例。利用与无线设备的单个认证交换来获得设备凭证，连通性服务网络(CSN)对该设备凭证进行认证和验证以建立设备身份。对于基于设备身份的订购而言，该设备身份用于验证订购。对于用户订购认证而言，利用第一认证交换(a.k.a，外部交换)所建立的加密连接来执行第二认证交换。通过仅利用一个外部认证交换，可形成这样的实施例，即与已知技术相比该实施例展现出减少的消息传送以及较低的复杂性。
参考图1—6可进一步充分理解所公开的实施例。图1是根据本发明多个实施例的描述无线通信系统100的方框图。现今，诸如OMA(开放移动联盟)、3GPP(第三代合作伙伴计划)、3GPP2(第三代合作伙伴计划2)、IEEE(电气与电子工程师协会)802、以及WiMAX论坛这样的标准主体开发了无线电信系统的标准规范。(这些组分别通过以下进行联系：http://www.openmobilealliance.com、http//www.3gpp.org/、http//www.3gpp2.com/、http//www.ieee802.org/、以及http//www.wimaxforum.org/)通信系统100表示具有根据WiMAX论坛和/或IEEE 802技术中的一个或多个体系结构的系统，可对该系统进行适当修改以实现本发明。本发明的替换实施例可以是在下述通信系统中实现的，该通信系统采用诸如但并不局限于在OMA、3GPP和/或3GPP2规范中所描述的那些其他的或另外的技术。
以非常概括的方式来描述通信系统100。尤其是，示出了接入服务网络(ASN)121通过无线接口111与无线设备101进行通信，该无线接口111，诸如基于IEEE 802.16的无线接口，依照ASN 121所使用的特定接入技术。此外，示出了CSN 131具有与ASN 121和因特网140的网络连通性。本领域普通技术人员应清楚图1未对系统100要进行操作所必需的所有物理固定网路部件进行描述，而是在这里仅对尤其是与实施例的描述有关的那些系统部件和逻辑实体进行了描述。
例如，图1描述了分别包括处理单元123和133以及网络接口127和137的ASN 121和连通性服务网络(CSN)131。此外，图1描述包括收发器125的ASN 121。通常，诸如处理单元、收发器以及网络接口这样的部件已为公众所熟知。例如，已知处理单元包括诸如但既不局限于又不必需的微处理器、微控制器、存储设备、专用集成电路(ASIC)、和/或逻辑电路这样的基本部件。这种部件典型地适于实现利用高级设计语言或描述所表示的、利用计算机指令所表示的、利用信令流程图所表示的、和/或利用逻辑流程图所表示的算法和/或协议。
因此，给定高级描述、算法、逻辑流程、消息传送/信令流和/或协议规范，本领域普通技术人员可知可用于实现执行给定逻辑的处理单元的许多设计和开发技术。因此，根据这里的描述，ASN 121和CSN 131表示适于实现本发明的多个实施例的已知设备。此外，本领域普通技术人员应认识到可在各种物理部件中和部件间实现本发明的方面并且决不必需局限于单个平台实现。例如，可以在诸如一个或多个基站(BS)和/或ASN网关的一个或多个网络部件之中或之间实现处理单元123、收发器125以及网络接口127。类似地，可以在诸如一个或多个路由器、认证代理/服务器、数据库和/或互相作用的网关设备的一个或多个网络部件之中或之间实现处理单元133和网络接口137。
示出了无线设备101和ASN 121通过技术相关的无线接口进行通信。将无线设备、订户站(SS)、或者用户装置(UE)看作移动站(MS)；然而，无线设备不是必须移动的，也不是必须能够移动。另外，所熟知的无线设备平台是指诸如但并不局限于移动站(MS)、接入终端(AT)、终端装置、移动设备、游戏设备、个人计算机以及个人数字助理(PDA)的广泛多样化的消费电子平台。尤其是，无线设备101包括处理单元(105)和收发器(107)。根据该实施例，无线设备101另外包括小键盘(未示出)、扬声器(未示出)、麦克风(未示出)以及显示器(未示出)。在无线设备中所使用的处理单元、收发器、小键盘、扬声器、麦克风以及显示器为本领域所熟知。因此，给定高级描述、算法、逻辑流程、消息传送/信令流和/或协议规范，本领域普通技术人员可知可用于实现执行给定逻辑的处理单元的许多设计和开发技术。因此，根据这里的描述，无线设备101表示适于实现本发明的多个实施例的已知设备。
图2是描述根据本发明多个实施例的无线通信系统200的方框图。以非常概括的方式来描述通信系统200。示出接入提供商网络220包括访问认证、授权以及计费代理服务器(V—AAA)223和ASN 221，该ASN 221具有与MS 201对接的无线接口211。示出CSN 231包括本地认证、授权、以及计费服务器(H—AAA)235。再次，本领域普通技术人员可知图2未对系统200要进行操作所必需的所有物理固定网路部件进行描述，而是在这里仅对尤其是与实施例的描述有关的系统部件和逻辑实体进行了描述。
例如，遵照WiMAX论坛规范的ASN需要可使它提供与WiMAXMS的WiMAX层—2(L2)连通性的网络元件，以支持将包含在AAA消息之内的EAP传送到WiMAX订户本地网络服务提供商(H—NSP)以对订户会话进行认证、授权以及会话计费，基于设备认证提供策略和准入控制，以支持网络发现以及对WiMAX订户优选NSP的选择，支持用于建立与WiMAX MS(即IP地址分配)的层—3(L3)连通性的中继功能，提供无线电资源管理，以支持ASN—CSN隧道，支持ASN锚点移动性，支持CSN锚点移动性，并且提供寻呼和位置管理。另外，多于一个CSN共享ASN。遵照WiMAX论坛规范的CSN需要可使它向WiMAX订户提供IP连通性服务的网络元件。因此，这种CSN需要提供用户会话的MS IP地址和终点参数分配，以提供到因特网的接入，基于设备或用户订购文档提供策略和准入控制，以支持ASN—CSN隧道，支持WiMAX订购账单和操作者间结算，支持用于漫游的CSN间隧道，并且支持ASN间移动性。WiMAX CSN还必需提供诸如基于位置服务的WiMAX服务，点对点服务的连通性，供给、授权、和/或对IP多媒体服务的连通性，并且便于支持诸如遵照通信协助法律实施法案(CALEA)过程的那些的合法监听服务。
首先参考图1，根据本发明的实施例的操作基本上如下进行。一旦从无线设备101接收到对网络接入的请求，则ASN 121请求CSN 131对无线设备101进行认证。根据该实施例，处理单元123和网络接口127的一部分包括V—AAA(或者其一些部分)、网络认证器和/或代理认证器。类似地，根据该实施例，处理单元133和网络接口137的一部分包括H—AAA(或者其一些部分)和/或网络认证器。CSN处理单元133和无线设备处理单元105通过网络接口137、ASN 121和收发器107执行认证交换。
在该认证交换中，CSN 131向无线设备101请求设备凭证。随后CSN处理单元133尝试建立无线设备的身份。如果从无线设备获得了设备凭证，那么建立设备身份涉及对该设备凭证进行认证和验证。典型地，使用诸如遵照X.509数字证书的数字证书。在WiMAX实施例中，使用从WiMAX证书授权中心所获得的且通过无线设备制造商所安装的数字证书。在一些实施例中，在认证交换期间设备处理单元105向CSN处理单元133请求服务器凭证以对服务器进行验证。
作为CSN尝试建立无线设备的身份的结果，CSN处理单元133通过网络接口127和137向ASN处理单元123指示设备101的认证相关信息。指示什么信息主要取决于该实施例。例如，可指示以下任何信息：已建立的无线设备的身份(例如MAC地址)，是否对无线设备进行成功认证和验证、是否执行证书撤销列表(CRL)检查、无线设备的硬件版本、无线设备的制造商、从设备凭证所获得的信息、网络互操作性证书一致性等级(诸如WiMAX最小证书等级)、根证书授权中心的身份、包含相关识别信息的设备证书之内的对象身份的整个内容或者其他WiMAX专用字段、会话认证密钥(诸如主会话密钥)、允许的QoS(服务质量)、允许的移动性类别、移动性参数、和/或计费参数。
利用所接收到的设备101的认证相关信息，ASN处理单元123确定是否准予接入设备101。当然，使用接入策略确定网络接入当然随一个实施例到下一个实施例不同，并且由于网络条件而动态变化或者乃至实时变化。随后ASN处理单元123向设备处理单元105指示是否准予设备101接入。
除了设备认证之外，如上所述，在一些实施例中CSN 131还验证服务订购。对于基于设备身份的订购而言，CSN处理单元133利用从设备凭证所获得的设备身份以验证基于设备身份的订购。对于涉及用户认证的订购而言，CSN处理单元133使用能够在CSN处理单元133与设备处理单元105之间建立诸如加密隧道的加密连接的认证交换方法。
此后处理单元133和105使用加密连接以执行第二认证交换。在该第二交换中，CSN处理单元133向设备101请求用户订购凭证。根据该实施例，处理单元105提供用户订购凭证，该用户订购凭证采取用户名与口令组合、生物特征信息、预共享密钥和/或订户身份信息(例如诸如来自智能卡或SIM卡)的形式。随后CSN处理单元133尝试利用所接收到的用户订购凭证来验证用户订购。随后CSN处理单元133继续向ASN处理单元123指示设备101的认证相关信息。
图3是根据本发明多个实施例的描述下述认证交换的信令流程图300，通过所述认证交换对无线设备和/或订购(基于设备身份的订购)进行认证和验证。图5是根据信令流程图300描述WiMAX实施例的这类附加信令的更加详细的信令流程图500。尝试通过接入提供商网络(诸如接入提供商网络220)获得网络接入的无线设备执行一些起始信令以请求接入并且可能开始认证过程。由信令流程图500中的信令510来表示这类起始信令的示例。
随后无线设备和CSN执行认证交换310，在该认证交换中通过CSN对来自无线设备的设备凭证进行认证和验证以建立无线设备的身份。存在各种可根据该实施例和/或即将到来的状况而使用各种认证交换方法。例如，利用诸如EAP—TLS(EAP—传输层安全)的扩展认证协议(EAP)方法来执行认证交换。通常由信令520和信令流程图500来表示其示例。对于CSN还执行订购验证的情况而言，它使用从设备凭证所获得的设备身份来验证基于设备身份的订购。
在执行了设备和/或订购验证之后，CSN向接入提供商网络指示320与设备和认证交换有关的授权相关信息。随后接入提供商网络基于所接收到的指示来确定是否准予接入无线设备并且向无线设备指示330是否准予它接入网络。
由信令流程图500中的信令530来表示这类信令的三个示例。在这些示例中，在成功地完成认证之后，RADIUS(AAA协议)返回＂接入—接受＂消息。该消息指示认证服务器(在这里H-AAA)完成了所有其验证检查并且同意MS接入网络。利用RADIUS，属性值对(AVPs)用于将授权相关信息传递到接入提供商网络。
接入提供商网络中的认证器(在这里V—AAA)对接入接受数据进行检验并且基于本地策略确定存在于接入接收中的设备信息是否足以允许该设备在接入提供商网络上。选择不接受该设备并且拒绝认证会话，防止设备获得接入，或者如果它接受了设备信息，那么它将接入接受转发到WiMAX无线电装置(ASN)上并且允许该设备在其网络上。另外或者可替换地，ASN基于本地策略来确定存在于接入接受中的设备信息是否足以允许该设备接入。因此，V—AAA和/或ASN中任一个或两者可以是认证策略执行器(enforcer)。
此外，在信令510中的RADIUS接入-请求信令中，接入提供商网络使用一个或多个AVP向请求设备认证的H—AAA指示其设备接入策略或者仅仅进行通告。例如，AVP指示如果H—AAA无法对设备进行成功认证(即设备不具有证书或者证书是无效的)，那么H—AAA将不会接受认证。如果CSN对执行设备认证不感兴趣并且它知道ASN没有请求它，那么具有该信息则可使H—AAA不执行设备认证。AVP还(可选地)指示如果执行设备认证，那么向接入提供商网络通知凭证，但是如果没有执行设备认证，那么指示原因(例如对证书请求无响应、未知证书等等)。
图4是根据本发明多个实施例的描述下述两个认证交换的信令流程图400，通过所述这两个认证交换对无线设备和用户订购进行认证和验证。图6是描述附加信令的一个示例的更加详细的信令流程图600，根据信令流程图400的WiMAX实施例可利用该附件信令。尝试通过接入提供商网络(诸如接入提供商网络220)获得网络接入的无线设备执行一些启动信令以请求接入并且可能开始认证处理。由信令流程图600中的信令610来表示这类启动信令的示例。
无线设备和CSN随后执行认证交换410，在认证交换410中CSN对来自无线设备的设备凭证进行认证和验证以建立无线设备的身份。可根据该实施例和/或即将到来的状况而使用各种认证交换方法。例如，利用诸如EAP—TTLS(EAP—隧道传输层安全)或者PEAP(保护EAP)的扩展认证协议(EAP)方法来执行认证交换。由信令流程图600中的信令620来表示该示例。EAP—TTLS和PEAP二者利用数字证书以对无线设备的服务器进行认证，并且二者提供能够向无线设备请求数字证书的选项。在本发明的优选实施例中，利用这些协议的可选行为取回设备凭证，从而能够由CSN且最终由ASN来对设备进行验证。
诸如EAP—TTLS或者PEAP的EAP方法可用作外部EAP方法，因为这两个协议意在创建安全路径(即加密连接)，通过该安全路径来执行认证的第二(或者内部)方法。(实际上，一旦建立了加密连接，那么通过加密连接来执行多个内部认证交换)例如，一旦利用认证服务器建立了EAP—TTLS隧道，那么MS执行基于MS—CHAP—v2(微软公司质询—握手认证协议版本2)用户名/口令的认证。EAP—TTLS对用户身份和用作MS—CHAP—v2一部分的质询消息的交换进行加密并对其进行完整性检查。
事实上，一旦利用认证服务器建立加密连接，MS利用许多不同方法来执行认证交换。这些中的一些包括：CHAP(质询认证—握手协议)、MS—CHAP(微软公司质询—握手认证协议)、MS—CHAP—v2(参见RFC 2759)、PAP(口令认证协议)、EAP—SIM(全球移动通信系统(GSM)用订户身份模块的扩展认证协议)(参见RFC 4186)、EAP—AKA(第三代认证和密钥协定的扩展认证协议方法)(参见RFC4187)以及EAP—PSK(扩展认证协议预共用密钥EAP方法)(参见draft—bersani—eap—psk11.txt)。通过http://www.ietf.org/可得到IETF请求注解(RFC)文档和草案。
因此，利用作为认证交换410结果在CSN与无线设备之间的加密连接，执行认证交换415。CSN利用在交换415期间从无线设备所获得的用户订购凭证来对用户订购进行验证。在执行设备和订购验证之后，CSN向接入提供商网络指示420与设备和认证交换有关的授权相关信息。接入提供商网络随后基于所接收到的指示来确定是否准予接入无线设备并且向无线设备指示430是否准予接入网络。由信令流程图600中的信令630来表示这类信令的三个示例。就RADIUS信令而言的上述描述以及就示意图500而言的认证策略执行通常也可应用于示意图600(例如信令610和630)。
本领域普通技术人员应清楚的是在不脱离本发明的精神和范围的情况下可对上述特定实施例进行各种修改和变化。因此，应认为上述对某些实施例更详细地讨论是说明性的和示例性的而不是限制性的或者包括所有的，并且上述对特定实施例的所有这种修改意在包含在本发明的范围之内。
上面已对关于本发明的特定实施例的益处、其他优点以及问题的解决方案进行了描述。然而，不应认为会引起或产生这种益处、优点或解决方案或者会使这种益处、优点、或解决方案变得更清晰的益处、优点、问题的解决方案、以及任何元件是任何或所有权利要求的关键、所需的或必要特征或者元件。
如在这里所使用的并且在所附权利要求中，术语“包括”或者其任何其他变化是指非专门包含，因此包括元件列表的过程、方法、制品或者装置不仅包括该列表中的那些单元，而是可包括未明确列表或者为该过程、方法、制品或者装置固有的其他元件。如在这里所使用的，将术语“一个”定义为一个或多于一个。如在这里所使用的，将术语多个定义两个或多于两个。如在此所使用的，将术语另一个第一为至少第二个或多个。除非在这里另有指示，即使有的话，诸如第一和第二等等这样的关系术语的使用仅用于区别一个实体或动作与另一实体或动作而不必需要求或者意味着这种实体与动作之间的任何实际这种关系或顺序。
将这里所使用的术语“包括”和/或“具有”定义为包括(即开放性语言)。将这里所使用的术语耦合定义为连接，虽然不一定是直接地也未必是机械地。从词“指示(indicating)”所得到的术语(例如“指示(indicates)”和指示“indication”)意在包括可用于通信或者参考所指示的对象的所有各种技术。一些但不是所有的可用于通信或者参考所指示对象的技术的示例包括对所指示对象的传达、对所指示对象的标识符的传达、对用于产生所指示对象的信息的传达、对所指示对象的一部分的传达、对所指示对象的一些衍生物的传达、以及对表示所指示对象的一些符号的传达。将这里所使用的术语程序、计算机程序以及计算机指令定义为用于在计算机系统上执行的指令序列。该指令序列包括但并不局限于子程序、功能、过程、对象方法、对象实现、可执行应用、小程序、服务器端的小程序(servlet)、共享库/动态加载库、源代码、目标代码、和/或汇编码。

Claims (19)

1.一种用于在准予接入到接入服务网络(ASN)之前通过连通性服务网络(CSN)来对无线设备进行认证的方法，该方法包括：
CSN通过ASN来执行与所述无线设备的认证交换，在所述认证交换中请求设备凭证；
CSN建立所述无线设备的身份，建立所述身份包括如果从所述无线设备获得了所述设备凭证，那么对所述设备凭证进行认证和验证；
CSN向ASN的认证器指示下述至少一个：已建立的所述无线设备的身份，是否成功地对所述无线设备进行认证和验证、是否执行证书撤销列表(CRL)检查、所述无线设备的硬件版本、所述无线设备的制造商、从所述设备凭证获得的信息、网络互操作性证书一致性等级、根证书授权中心的身份以及会话认证密钥。
2.根据权利要求1的方法，其中，CSN包括本地认证、授权以及计费服务器(H—AAA)，并且其中ASN的认证器包括访问认证、授权以及计费代理服务器(V—AAA)。
3.根据权利要求1的方法，其中，执行所述认证交换包括
利用扩展认证协议(EAP)方法执行所述认证交换。
4.根据权利要求3的方法，其中，所使用的EAP方法是EAP—TLS(EAP—传输层安全)。
5.根据权利要求1的方法，进一步包括：
作为所述认证交换的结果，在CSN与所述无线设备之间建立加密连接；
利用从所述设备凭证获得的设备身份来对基于设备身份的订购进行验证，
其中，向ASN的认证器指示包括响应于成功地验证基于设备身份的订购而进行指示。
6.根据权利要求1的方法，进一步包括：
作为所述认证交换的结果，在CSN与所述无线设备之间建立加密连接；
CSN通过所述加密连接来执行与所述无线设备的第二认证交换，在所述第二认证交换中请求用户订购凭证；
利用所获得的用户订购凭证对用户订购进行验证，
其中，向ASN的认证器指示包括响应于成功地验证所述用户订购而进行指示。
7.根据权利要求6的方法，其中，执行所述认证交换包括
利用扩展认证协议(EAP)方法执行所述认证交换，
其中，所使用的EAP方法是EAP—TTLS(EAP—隧道传输层安全)和PEAP(受保护的EAP)中的一个。
8.根据权利要求6的方法，其中，CSN通过所述加密连接执行所述第二认证交换包括：
利用下述至少一个来执行所述第二认证交换：CHAP(质询认证—握手协议)、MS—CHAP(微软质询—握手认证协议)、MS—CHAP—v2(微软质询—握手认证协议版本2)、PAP(口令认证协议)、EAP—SIM(全球移动通信系统(GSM)订户身份模块的扩展认证协议)、EAP—AKA(第三代认证和密钥协定的扩展认证协议方法)以及EAP—PSK(扩展认证协议预共享密钥EAP方法)。
9.根据权利要求6的方法，其中，所述用户订购凭证包括用户名和口令组合、生物特征信息、订户身份信息以及预共享密钥中的至少一个。
10.一种用于在准予接入到接入服务网络(ASN)之前通过连通性服务网络(CSN)来对无线设备进行认证的方法，该方法包括：
所述无线设备通过ASN来执行与CSN的第一认证交换，在所述第一认证交换中由所述无线设备提供设备凭证，所述第一认证交换在CSN与所述无线设备之间产生加密连接；
所述无线设备通过所述加密连接执行与CSN的第二认证交换，在所述第二认证交换中由所述无线设备提供用户订购凭证；
作为所述第一和所述第二认证交换的结果，所述无线设备接收是否已准予所述无线设备接入到ASN上的指示。
11.根据权利要求10的方法，其中，执行所述第一认证交换包括：
执行与CSN的所述第一认证交换，在所述第一认证交换中所述无线设备请求服务器凭证。
12.根据权利要求10的方法，其中，执行所述第一认证交换包括：
利用扩展认证协议(EAP)方法执行所述认证交换，
其中，所使用的EAP方法是EAP—TTLS(EAP—隧道传输层安全)和PEAP(受保护的EAP)中的一个。
13.根据权利要求10的方法，其中，所述执行第二认证交换包括：
利用下述至少一个来执行所述第二认证交换：CHAP(质询认证—握手协议)、MS—CHAP(微软质询—握手认证协议)、MS—CHAP—v2(微软质询—握手认证协议版本2)、PAP(口令认证协议)、EAP—SIM(全球移动通信系统(GSM)订户身份模块的扩展认证协议)、EAP—AKA(第三代认证和密钥协定的扩展认证协议方法)以及EAP—PSK(扩展认证协议预共享密钥EAP方法)。
14.根据权利要求10的方法，其中，所述用户订购凭证包括用户名和口令组合、生物特征信息、订户身份信息以及预共享密钥中的至少一个。
15.一种用于在准予接入到接入服务网络(ASN)之前通过连通性服务网络(CSN)来对无线设备进行认证的方法，该方法包括：
通过接入提供商网络请求CSN对所述无线设备进行认证，其中，所述接入提供商网络包括ASN；
通过所述接入提供商网络从CSN接收对下述至少一个的指示：已建立的所述无线设备的身份，是否对所述无线设备进行成功认证、是否执行证书撤销列表(CRL)检查、所述无线设备的硬件版本、所述无线设备的制造商、从所述设备凭证获得的信息、网络互操作性证书一致性等级、根证书授权中心的身份以及会话认证密钥；
通过所述接入提供商网络基于所接收到的指示来确定是否准予接入所述无线设备；
ASN向所述无线设备指示是否准予所述无线设备接入。
16.根据权利要求15的方法，其中，请求CSN以对所述无线设备进行认证包括指示是否请求设备认证以及所述接入提供商网络的设备接入策略中的至少一个。
17.根据权利要求15的方法，其中，所述接入提供商网络包括ASN和访问网络认证器，并且
其中，基于所接收到的指示来确定是否准予接入所述无线设备包括通过ASN和访问网络认证器中的至少一个来确定是否利用设备接入策略来准予接入所述无线设备。
18.根据权利要求17的方法，其中，CSN包括本地认证、授权以及计费服务器(H—AAA)并且其中所述访问网络认证器包括访问认证、授权以及计费代理服务器(V—AAA)。
19.一种无线设备，包括：
收发器；
处理单元，可通信地耦合到所述收发器，
适于通过所述收发器和接入服务网络(ASN)执行与连通性服务网络(CSN)的第一认证交换，在所述第一认证交换中由所述无线设备提供设备凭证，所述第一认证交换在CSN与所述无线设备之间产生加密连接，
适于通过所述收发器和所述加密连接执行与CSN的第二认证交换，在所述第二认证交换中由所述无线设备提供用户订购凭证，以及
适于通过所述收发器并且作为所述第一和所述第二认证交换的结果，接收是否已准予所述无线设备接入到ASN上的指示。
CNA2007800410697A 2006-11-03 2007-10-15 用于网络接入的设备和/或用户认证 Pending CN101536480A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/556,408 US20080108322A1 (en) 2006-11-03 2006-11-03 Device and / or user authentication for network access
US11/556,408 2006-11-03

Publications (1)

Publication Number Publication Date
CN101536480A true CN101536480A (zh) 2009-09-16

Family

ID=39360280

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2007800410697A Pending CN101536480A (zh) 2006-11-03 2007-10-15 用于网络接入的设备和/或用户认证

Country Status (4)

Country Link
US (1) US20080108322A1 (zh)
KR (1) KR20090093943A (zh)
CN (1) CN101536480A (zh)
WO (1) WO2008057715A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103039053A (zh) * 2010-06-10 2013-04-10 阿尔卡特朗讯公司 使用单一注册过程的客户端组的安全注册
CN107070863A (zh) * 2016-01-29 2017-08-18 谷歌公司 本地设备认证
CN107735998A (zh) * 2015-06-19 2018-02-23 西门子公司 用于网络组件访问数据网的网络仪器和方法
CN110086833A (zh) * 2015-03-06 2019-08-02 高通股份有限公司 使用现有凭证的到蜂窝网络的受赞助连通性
CN110235423A (zh) * 2017-01-27 2019-09-13 瑞典爱立信有限公司 对用户设备的辅认证
CN115022864A (zh) * 2022-05-27 2022-09-06 中移互联网有限公司 订购业务的验证方法及装置

Families Citing this family (59)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4384117B2 (ja) * 2003-11-07 2009-12-16 テレコム・イタリア・エッセ・ピー・アー データ処理システムのユーザーの認証方法及びシステム
DE102006038591B4 (de) * 2006-08-17 2008-07-03 Siemens Ag Verfahren und Anordnung zum Bereitstellen eines drahtlosen Mesh-Netzwerks
US7942742B2 (en) 2006-11-15 2011-05-17 Cfph, Llc Accessing identification information to verify a gaming device is in communications with a server
US7942741B2 (en) 2006-11-15 2011-05-17 Cfph, Llc Verifying whether a device is communicating with a server
US8012015B2 (en) 2006-11-15 2011-09-06 Cfph, Llc Verifying whether a gaming device is communicating with a gaming server
US10068421B2 (en) * 2006-11-16 2018-09-04 Cfph, Llc Using a first device to verify whether a second device is communicating with a server
US7942740B2 (en) * 2006-11-15 2011-05-17 Cfph, Llc Verifying a first device is in communications with a server by storing a value from the first device and accessing the value from a second device
US7942739B2 (en) * 2006-11-15 2011-05-17 Cfph, Llc Storing information from a verification device and accessing the information from a gaming device to verify that the gaming device is communicating with a server
US7942738B2 (en) * 2006-11-15 2011-05-17 Cfph, Llc Verifying a gaming device is in communications with a gaming server
US20080123621A1 (en) * 2006-11-29 2008-05-29 Alexander Bachmutsky High speed access broadcast system solution
KR20080050937A (ko) * 2006-12-04 2008-06-10 삼성전자주식회사 인증 수행 방법 및 그 장치
US20080139205A1 (en) * 2006-12-08 2008-06-12 Motorola, Inc. Method and apparatus for supporting handover in a communication network
EP2127401A4 (en) * 2007-01-22 2012-12-26 Nortel Networks Ltd INTERWORKING BETWEEN A FIRST AND A SECOND AUTHENTICATION DOMAIN
US8170529B1 (en) * 2007-02-08 2012-05-01 Clearwire Ip Holdings Llc Supporting multiple authentication technologies of devices connecting to a wireless network
US8781441B1 (en) * 2007-02-08 2014-07-15 Sprint Communications Company L.P. Decision environment for devices that fail authentication
US8200191B1 (en) * 2007-02-08 2012-06-12 Clearwire IP Holdings Treatment of devices that fail authentication
US8064598B2 (en) * 2007-02-26 2011-11-22 Nokia Corporation Apparatus, method and computer program product providing enforcement of operator lock
US8050242B2 (en) * 2007-03-01 2011-11-01 Clear Wireless Llc Method and system for tailoring device provisioning based on device capability information communicated to network
US8095816B1 (en) 2007-04-05 2012-01-10 Marvell International Ltd. Processor management using a buffer
US8443187B1 (en) 2007-04-12 2013-05-14 Marvell International Ltd. Authentication of computing devices in server based on mapping between port identifier and MAC address that allows actions-per-group instead of just actions-per-single device
CN101325801B (zh) * 2007-06-12 2013-05-01 北京三星通信技术研究有限公司 Wimax网络中定位业务认证和授权检查的方法和装置
US8811956B2 (en) * 2007-06-14 2014-08-19 Intel Corporation Techniques for lawful interception in wireless networks
US8321706B2 (en) 2007-07-23 2012-11-27 Marvell World Trade Ltd. USB self-idling techniques
EP2023565A1 (en) * 2007-08-10 2009-02-11 Nokia Siemens Networks Oy Method and device for data interception and communication system comprising such device
US9198033B2 (en) * 2007-09-27 2015-11-24 Alcatel Lucent Method and apparatus for authenticating nodes in a wireless network
WO2009079869A1 (fr) * 2007-12-25 2009-07-02 Zte Corporation Dispositif de terminal avec carte et station séparées basé sur un système wimax
US8516133B2 (en) * 2008-02-07 2013-08-20 Telefonaktiebolaget Lm Ericsson (Publ) Method and system for mobile device credentialing
MX2010012919A (es) * 2008-05-30 2010-12-20 Zte Usa Inc Metodo y sistema de negociacion y autorizacion de capacidad de servicio de ethernet.
US20090300726A1 (en) * 2008-05-30 2009-12-03 Zte (Usa), Inc. Ethernet service capability negotiation and authorization method and system
US8510560B1 (en) 2008-08-20 2013-08-13 Marvell International Ltd. Efficient key establishment for wireless networks
US8548467B2 (en) * 2008-09-12 2013-10-01 Qualcomm Incorporated Ticket-based configuration parameters validation
KR101595043B1 (ko) 2008-09-18 2016-02-17 마벨 월드 트레이드 리미티드 적어도 부분적으로 부팅 동안에 어플리케이션들을 메모리에 프리로딩하는 방법
US9148335B2 (en) 2008-09-30 2015-09-29 Qualcomm Incorporated Third party validation of internet protocol addresses
US8181030B2 (en) * 2008-12-02 2012-05-15 Electronics And Telecommunications Research Institute Bundle authentication system and method
US8683073B2 (en) * 2008-12-11 2014-03-25 Microsoft Corporation Participating with and accessing a connectivity exchange
US9049595B2 (en) 2008-12-11 2015-06-02 Microsoft Technology Licensing, Llc Providing ubiquitous wireless connectivity and a marketplace for exchanging wireless connectivity using a connectivity exchange
CN102272734B (zh) * 2009-01-05 2014-09-10 马维尔国际贸易有限公司 使用非易失性存储器设备用于休眠或挂起的方法和系统
EP2540057A2 (en) * 2010-02-26 2013-01-02 General instrument Corporation Dynamic cryptographic subscriber-device identity binding for subscriber mobility
US8645699B2 (en) * 2010-03-15 2014-02-04 Blackberry Limited Use of certificate authority to control a device's access to services
EP2367371A1 (en) * 2010-03-15 2011-09-21 Research In Motion Limited Use of certificate authority to control a device's access to servies
US8566926B1 (en) 2010-03-18 2013-10-22 Sprint Communications Company L.P. Mobility protocol selection by an authorization system
US8340292B1 (en) 2010-04-01 2012-12-25 Sprint Communications Company L.P. Lawful intercept management by an authorization system
US20140165173A1 (en) * 2011-07-27 2014-06-12 Telefonaktiebolaget L M Ericsson (Publ) Mediation Server, Control Method Therefor, Subscription Information Managing Apparatus, Control Method Therefor, Subscription Management Server, and Control Method Therefor
US9141394B2 (en) 2011-07-29 2015-09-22 Marvell World Trade Ltd. Switching between processor cache and random-access memory
US9436629B2 (en) 2011-11-15 2016-09-06 Marvell World Trade Ltd. Dynamic boot image streaming
US20130275760A1 (en) * 2012-04-17 2013-10-17 Qualcomm Incorporated Method for configuring an internal entity of a remote station with a certificate
US9575768B1 (en) 2013-01-08 2017-02-21 Marvell International Ltd. Loading boot code from multiple memories
US8943557B2 (en) 2013-01-24 2015-01-27 Bank Of America Corporation Enrollment of user in device identification program
US8869306B2 (en) 2013-01-24 2014-10-21 Bank Of America Corporation Application usage in device identification program
US8990568B2 (en) 2013-01-24 2015-03-24 Bank Of America Corporation Mobile device enrollment for online banking transactions
US9736801B1 (en) 2013-05-20 2017-08-15 Marvell International Ltd. Methods and apparatus for synchronizing devices in a wireless data communication system
US9521635B1 (en) 2013-05-21 2016-12-13 Marvell International Ltd. Methods and apparatus for selecting a device to perform shared functionality in a deterministic and fair manner in a wireless data communication system
WO2015015305A1 (en) 2013-07-31 2015-02-05 Marvell Word Trade Ltd. Parallelizing boot operations
US9603019B1 (en) 2014-03-28 2017-03-21 Confia Systems, Inc. Secure and anonymized authentication
US10484359B2 (en) 2015-07-25 2019-11-19 Confia Systems, Inc. Device-level authentication with unique device identifiers
US9602292B2 (en) 2015-07-25 2017-03-21 Confia Systems, Inc. Device-level authentication with unique device identifiers
US10171439B2 (en) 2015-09-24 2019-01-01 International Business Machines Corporation Owner based device authentication and authorization for network access
CN109075968A (zh) 2016-03-08 2018-12-21 马维尔国际贸易有限公司 用于安全设备认证的方法和装置
CN110234112B (zh) * 2018-03-05 2020-12-04 华为技术有限公司 消息处理方法、系统及用户面功能设备

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030130960A1 (en) * 2001-11-28 2003-07-10 Fraser John D. Bridging service for security validation within enterprises
AU2003217301A1 (en) * 2002-02-04 2003-09-02 Flarion Technologies, Inc. A method for extending mobile ip and aaa to enable integrated support for local access and roaming access connectivity
US7046647B2 (en) * 2004-01-22 2006-05-16 Toshiba America Research, Inc. Mobility architecture using pre-authentication, pre-configuration and/or virtual soft-handoff
US9686669B2 (en) * 2004-04-08 2017-06-20 Nokia Technologies Oy Method of configuring a mobile node

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103039053A (zh) * 2010-06-10 2013-04-10 阿尔卡特朗讯公司 使用单一注册过程的客户端组的安全注册
CN103039053B (zh) * 2010-06-10 2016-10-26 金雅拓股份公司 用于使用单一注册过程的客户端组的安全注册的方法和设备
CN110086833A (zh) * 2015-03-06 2019-08-02 高通股份有限公司 使用现有凭证的到蜂窝网络的受赞助连通性
CN110086833B (zh) * 2015-03-06 2021-07-30 高通股份有限公司 用于到蜂窝网络的受赞助连通性的方法、装置和介质
CN107735998A (zh) * 2015-06-19 2018-02-23 西门子公司 用于网络组件访问数据网的网络仪器和方法
CN107070863A (zh) * 2016-01-29 2017-08-18 谷歌公司 本地设备认证
CN110235423A (zh) * 2017-01-27 2019-09-13 瑞典爱立信有限公司 对用户设备的辅认证
CN110235423B (zh) * 2017-01-27 2022-10-21 瑞典爱立信有限公司 对用户设备的辅认证
CN115022864A (zh) * 2022-05-27 2022-09-06 中移互联网有限公司 订购业务的验证方法及装置
CN115022864B (zh) * 2022-05-27 2023-07-21 中移互联网有限公司 订购业务的验证方法及装置

Also Published As

Publication number Publication date
WO2008057715A1 (en) 2008-05-15
KR20090093943A (ko) 2009-09-02
US20080108322A1 (en) 2008-05-08

Similar Documents

Publication Publication Date Title
CN101536480A (zh) 用于网络接入的设备和/或用户认证
US20230070253A1 (en) Methods and systems for authenticating devices using 3gpp network access credentials for providing mec services
Torroglosa-Garcia et al. Enabling roaming across heterogeneous IoT wireless networks: LoRaWAN MEETS 5G
US20200195445A1 (en) Registration method and apparatus based on service-based architecture
KR101374810B1 (ko) 가상 가입자 식별 모듈
US7735126B2 (en) Certificate based authentication authorization accounting scheme for loose coupling interworking
US7596225B2 (en) Method for refreshing a pairwise master key
JP4170912B2 (ja) ネットワークプロバイダ及びビジネスパートナーに対する遠隔通信加入者の認証及び許可のための端末における公開鍵ペアの利用
DK2257095T3 (en) Along Character for authentication of a terminal in a wireless local area network
US20110302643A1 (en) Mechanism for authentication and authorization for network and service access
US20030236980A1 (en) Authentication in a communication system
KR20060067263A (ko) Ｗｌａｎ-ｕｍｔｓ 연동망 시스템과 이를 위한 인증 방법
CN102111766A (zh) 网络接入方法、装置及系统
TWI820696B (zh) 通訊方法、裝置及電腦可讀儲存介質
WO2021099675A1 (en) Mobile network service security management
CN102905258B (zh) 自有业务认证方法及系统
CN101272297B (zh) 一种WiMAX网络用户EAP认证方法
Kerttula A novel federated strong mobile signature service—the finnish case
WO2021079023A1 (en) Inter-mobile network communication security
RU2282311C2 (ru) Использование пары открытых ключей в оконечном устройстве для аутентификации и авторизации пользователя телекоммуникационной сети по отношению к сетевому провайдеру и деловым партнерам
Almuhaideb et al. Toward a Ubiquitous Mobile Access Model: A roaming agreement-less approach
Pagliusi Internet Authentication for Remote Access
Almuhaideb Secure mobile authentication in ubiquitous networking environments
KR20050016605A (ko) 통신시스템을 위한 상호동작 기능

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20090916