CN101926188B - 对通信终端的安全策略分发 - Google Patents

对通信终端的安全策略分发 Download PDF

Info

Publication number
CN101926188B
CN101926188B CN200880125366.4A CN200880125366A CN101926188B CN 101926188 B CN101926188 B CN 101926188B CN 200880125366 A CN200880125366 A CN 200880125366A CN 101926188 B CN101926188 B CN 101926188B
Authority
CN
China
Prior art keywords
security
security policy
policy vectors
communication network
integrity protection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN200880125366.4A
Other languages
English (en)
Other versions
CN101926188A (zh
Inventor
马茨·内斯隆德
卡尔·诺曼
本特·萨林
米凯尔·利延斯坦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN101926188A publication Critical patent/CN101926188A/zh
Application granted granted Critical
Publication of CN101926188B publication Critical patent/CN101926188B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0894—Policy-based network configuration management
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Abstract

本发明提供了一种用于向通信终端分发安全策略的方法和布置，该通信终端具有与归属通信网络的关联但存在于访问通信网络中。归属通信网络(106)产生其自身优选的安全策略Ph，访问通信网络(102)产生其自身优选的安全策略Pv。访问通信网络中的通信网络实体(104)将安全策略进行组合，并从组合安全策略中选择要应用的安全算法/功能。通过产生两个网络的安全策略向量并在选择安全算法之前将其进行组合，使得两个网络都能够在不影响现有信令消息的使用的情况下影响选择。

Description

对通信终端的安全策略分发
技术领域
本发明总体涉及对通信系统中的通信终端的安全策略分发。具体地，本发明可以用于针对通信终端选择适当的安全策略，该移动终端存在于所访问的电信网络中并与其归属电信网络相关联。
背景技术
在通信系统中，通信终端可以存在于所访问的通信网络中或存在于其归属通信网络中。终端和网络之间的通信典型地需要被保护，并且存在着用于完整性保护、加密和解密的多种安全算法。每一个网络可以接受或优选使用这些用于完整性保护、加密和解密的安全算法中的一些。
本描述总体涉及如下的移动终端：具有与其自身的归属电信网络(归属公共陆地移动网，HPLMN)的关联(如，预订)，但当前存在于被访问的电信网络(访问公共陆地移动网，VPLMN)中，提供网络连接。作为特殊情况，HPLMN和VPLMN可以是同一个网络。然而，本描述中所指的通信终端中的每一个可以是连接到访问(或归属)通信网络的任何类型的终端，如，无线或非无线电话、连接到局域网(LAN)的计算机等。
参照图1，通信终端100存在于访问电信网络VPLMN102中，并与VPLMN102中或其自身的归属电信网络HPLMN106中的其它终端和/或应用功能进行通信。为了安全通信，可以使用任何传统的安全算法，例如在2G/3G移动网络中使用的A5/1、A5/2、A5/3、A5/4、UEA1、UEA2等。安全算法有不同的安全属性，即，在对信息进行保护的方面它们具有不同的“强度”。VPLMN102中的移动性管理实体(MME)104包括VPLMN102针对用户认证和密钥协商(AKA)而支持和接受哪些安全算法的信息。HPLMN106部署了用户数据库，归属订户服务器(HSS)108，同样地，HSS108包括HPLMN106支持和接受哪些安全算法的信息。通信终端100当前所连接到的VPLMN102中的无线基站(RBS)112与该通信终端100进行通信。VPLMN102所支持和接受的安全算法用于保护该通信。
如上所述，安全算法具有不同的强度，并且在任何时间点，始终存在先前被视为安全的算法被发现或多或少有缺陷的风险。如果发现安全算法不安全，那么存在现今一般可用的一些方法，用于防止算法被使用，这将在下面的部分进行简要描述。
升级无线基站
可以移除不安全的安全算法，并可以优选地以不同的、更强的安全算法来替换不安全的安全算法。然而，安全算法典型地以硬件的方式来实现，并被放置在每一个无线基站(RBS)中。从每一个RBS移除该RBS中存储的不安全的安全算法是非常费时且昂贵的过程。
特殊RAND
用于认证通信的信令信息包括AKA协议中的RAND值。在移动通信中，RAND是随机值，并且AKA(认证和密钥协商)是标准化的挑战-响应协议，因此，在此没必要对其进行更详细的描述。
HPLMN(HSS)发布RAND值，并可以使用该值的一部分来定义哪些安全算法被视为HPLMN可接受。例如，当且仅当RAND值的第j个比特是“1”时，安全算法A5/j被视为可接受。该算法被称为“特殊RAND”，并且更早在3GPPSA3[OrangeandNokia，″IntroducingthespecialRANDmechanismasaprincipleforGSM/GPRS″，S3-040529，SA3#34，6-9July，Acapulco，Mexico或者OrangeandVodafone，″FurtherdevelopmentoftheSpecialRANDmechanism″，S3-030588，SA3#30，7-10October，2003]中提出。然而，使用RAND值的一部分来声明哪些安全算法是HPLMN可接受的降低了RAND值的熵/随机性。此外，使用“特殊RAND”方案，安全算法策略将主要受到HPLMN的控制，并且VPLMN的运营商将在影响安全算法策略的方面有一些困难。
密钥分离
可以将分离的加密密钥与不同的算法一起使用。例如，可以通过函数来计算加密密钥，其中，将原始的基本密钥和用于算法的某个标识符用作函数的输入。如果应用了例如所谓的“散列”函数，则可以如下计算加密密钥：加密密钥＝hash(base_key，<algorithm_ID>)。该方法将确保不同的算法得到截然不同的密钥。
这一点的优点在于：如果算法之一被破解，并且如果可以假定与该算法一起使用的任何密钥已经泄露(compromised)，则相同的密钥与不同的(安全)算法一起使用一般不是问题。如果相同的密钥与若干算法一起使用，则攻击者可能能够破解不安全的算法，获得密钥，然后引起终端将被破解的密钥与安全算法一起使用。
这是防止一个算法的弱点波及另一个算法的有益实践，但是这不会防止由此使用被破解的算法。计算附加加密密钥也消耗了特定量的计算能力。
认证管理域(AMF)的使用
根据AKA协议，AUTH(认证令牌)包括认证管理域(AMF)，AMF可以用于将关于所选安全算法的信息从HPLMN传送到通信终端。通信终端包括USIM(UMTS订户标识模块)和移动实体。至此，将AMF的使用指定为运营商专有地定义的域。针对不同目的使用AMF可以因与其任何现有使用相冲突而很可能变得困难。此外，通过使用AMF，仅HPLMN将能够控制安全算法策略，这是因为从HPLMN中的HSS到USIM，AMF自始至终是受到完整性保护的。
从而，存在与上述现有方案相关联的特定问题。首先，典型地，对无线基站进行更新是非常耗时且昂贵的过程。
另一个问题在于：如在“特殊RAND”或“AMF”方案中那样，通过使用现有信令消息或其部分，现有信令消息将至少部分地丢失其信息容量，并且还阻止了对这些消息的其它使用。使用例如RAND消息的一部分来分发安全算法策略降低了RAND值的熵或随机性。此外，即使在AKA协议中未指定AMF域的使用，仍可能存在AMF域的其它使用。此外，在节点和终端来自不同版本的环境下，后向兼容问题典型地造成了严重问题。从而，优选地，不使用AMF或者RAND消息的一部分来在通信网络中的节点或元件之间的通信中发送与将要使用的安全算法有关的信息。
再一个问题是：当使用现有方案时，仅HPLMN或VPLMN能够控制安全算法策略。具体地，重要的是要注意，在VPLMN中，安全策略通常处于MME(或类似实体)的控制之下，MME可以被视为完全可信的实体，而典型地，安全算法的实际实现是通常较不可信的另一节点(如，无线基站)的责任。因此，从用户/终端的观点来看，存在以下需要：能够安全地验证(由基站)所选择的安全算法与HPLMN(HSS)和VPLMN(MME)的安全策略都相符。
发明内容
本发明的目的是解决上述问题中的至少一些。此外，本发明的目的是提供在不影响现有信令消息的情况下实现安全和灵活地向通信终端分发安全策略的方案。
通过根据所附独立权利要求的方法和设备，可以达到这些目的和其它目的。
根据一个方面，提供了一种用于向通信终端提供安全性的方法，该通信终端具有与归属通信网络的关联但存在于访问网络中。归属通信网络包括通信网络实体，在该通信网络实体中产生与归属通信网络相关联的第一安全策略向量Ph。安全策略向量可以包括预定义数目的值，每一个值表示一个优选安全算法或所需的安全功能。此外，产生第一和第二密钥。还产生取决于第一安全策略向量和至少第一密钥的第一完整性保护标签PhA。向第二通信网络发送第一安全策略向量Ph、第二密钥和第一完整性保护标签PhA。
根据另一方面，提供了一种用于向通信终端提供安全性的通信网络实体，该通信终端具有与归属通信网络的关联但存在于访问网络中。在归属通信网络中存在通信网络实体，该网络实体包括：产生单元，适于产生第一安全策略向量Ph、第一和第二密钥以及基于安全策略向量Ph和至少第一密钥的完整性保护标签PhA。通信网络实体还包括：通信单元，适于向第二通信网络发送第一安全策略向量Ph、第二密钥和第一完整性保护标签PhA。
根据又一方面，提供了一种用于向通信终端提供安全性的方法，该通信终端具有与归属通信网络的关联但存在于访问网络中。访问通信网络包括通信网络实体，在该通信网络实体中接收与归属通信网络相关联的第一安全策略向量Ph。可选地，还可以从第一通信网络接收第二密钥和第一完整性保护标签PhA。产生与访问通信网络的安全策略相关联的第二安全策略向量Pv。可选地，还可以产生第二完整性保护标签PvA。第二完整性保护标签PvA取决于至少第一安全策略向量和接收到的第二密钥。然后向通信终端发送安全策略向量Ph和Pv。可选地，还向通信终端发送完整性保护标签PhA和PvA。对要应用哪些安全算法和/或安全功能由访问通信网络中的通信网络实体或由另一实体(如无线基站(RBS))来执行。在通信网络实体中执行选择的情况下，根据安全策略向量Ph和Pv来选择至少一个安全算法和/或至少一个安全功能，并向通信终端告知选择哪些安全算法/功能。另一方面，在另一实体执行选择的情况下，通信网络实体将安全策略向量Ph和Pv组合成第三安全策略向量P，并向另一实体发送第三安全策略向量P。
根据又一方面，提供了一种用于向通信终端提供安全性的通信网络实体，该通信终端具有与归属通信网络的关联但存在于访问网络中。在访问通信网络中存在通信网络实体，该网络实体包括：第一通信单元，适于接收第一安全策略向量Ph。可选地，第一接收单元还可以适于接收第二密钥和第一完整性保护标签PhA。产生单元适于产生第二安全策略向量Pv。可选地，产生单元还可以适于产生取决于接收到的第二密钥和所产生的第二安全策略向量Pv的第二完整性保护标签PvA。组合单元适于将安全策略向量Ph和Pv组合成第三安全策略向量P。如上所述，可以在通信网络实体中或者在另一实体中执行对安全功能和/或安全算法的选择。在通信网络实体中执行选择的情况下，选择单元适于选择要应用哪些安全功能和/或安全算法，并且，第二通信单元适于向通信终端发送安全策略向量Ph和Pv以及来自选择单元的输出。在另一实体执行选择的情况下，第二通信单元代之以适于向另一实体发送第三安全策略向量。
根据另一方面，提供了一种用于向通信终端提供安全性的方法，该通信终端具有与归属通信网络的关联但存在于访问网络中。通信终端接收与第一通信网络的安全策略相关联的第一安全策略向量Ph以及与第二通信网络的安全策略相关联的第二安全策略向量Pv。可选地，还可以接收取决于至少第一安全策略向量Ph的第一完整性保护标签PhA和取决于至少第二安全策略向量Pv的第二完整性保护标签PvA。此外，通信终端接收与已经选择了哪些安全算法/功能有关的信息。然后，终端针对接收到的安全策略向量验证所选择的安全算法/功能。可选地，完整性保护标签也可以通过以下方式而验证：产生第一和第二密钥并产生第三和第四完整性保护标签PhA2和PvA2，并分别与接收到的完整性保护标签PhA和PvA进行比较。以与第一和第二完整性标签相对应的方式，但在通信终端中本地执行第三和第四完整性标签的产生。
根据又一方面，提供了一种具有与归属通信网络的关联但是存在于访问网络中的通信网络终端。通信终端包括：通信单元，适于接收第一和第二安全策略向量Ph、Pv以及与所选择的安全功能/算法有关的信息。可选地，通信单元还可以适于接收第一和第二完整性保护标签PhA、PvA。验证单元适于验证对安全算法/功能的选择是依照接收到的安全策略向量Ph、Pv的。可选地，产生单元适于产生第一和第二密钥，还适于产生第三和第四完整性密钥PhA2和PvA2。可选地，验证单元还适于通过将接收到的完整性保护标签PhA和PvA分别与本地产生的完整性保护标签PhA2和PvA2进行比较，验证接收到的完整性保护标签PhA和PvA是正确的。
通过具体实施方式，本发明的其它特征和优点将变得显而易见。
附图说明
现在将通过示例性实施例并参照附图来更详细地描述本发明，在附图中：
图1是示意了通信终端与一个通信网络有关联但存在于另一个网络中的场景的基本总览。
图2是示意了根据一个实施例的用于分发安全策略的方法的流程图i。
图3是示意了根据另一个实施例的用于分发安全策略的方法的流程图i。
图4是示意了根据另一个实施例的用于分发安全策略的方法的流程图i。
图5a是示意了根据又一个实施例的用于分发安全策略的布置的框图。
图5b是示意了根据又一个实施例的用于分发安全策略的布置的框图。
图6是示意了根据又一个实施例的用于分发安全策略的布置的框图。
图7是示意了根据又一个实施例的用于分发安全策略的布置的框图。
图8是示意了根据实施例，当应用本发明时发送信号的信令图。
具体实施方式
简要地描述，本发明提供了当与归属通信网络(HPLMN)106有关联的通信终端100存在于访问通信网络(VPLMN)102中时，在不影响根据移动标准协议AKA已经存在的信令消息的情况下，实现更灵活和安全地分发安全算法选择策略的方案。此外，VPLMN和HPLMN将能够影响与针对完整性检查、加密和解密应用哪些安全算法以及要应用哪些其它类型的安全功能相关的策略。
与HPLMN106相关联的安全策略向量Ph在HPLMN106中产生并被发送至VPLMN102。与VPLMN102相关联的另一安全策略向量Pv在VPLMN102中产生。每一种安全策略向量Ph和Pv分别定义了相应的通信网络支持和接受哪些安全算法，还定义了相应的通信网络需要哪些安全功能。在已经在HPLMN106中认证了通信终端100之后，VPLMN102对需要哪些安全功能进行检测，并选择通信网络HPLMN106和VPLMN102分别都支持和接受的安全算法。然后，使用所选择的安全算法和检测到的安全功能来提供安全通信。
此外，终端将能够安全地验证所选择的安全算法和检测到的安全功能与HPLMN和VPLMN的安全策略都一致。
本描述中使用的术语“安全算法”一般表示任何完整性检测算法以及任何加密或解密算法。而术语“安全功能”表示通信网络所需的任何安全功能，如加密或授权检查等。本发明可以用于不同的安全策略，如，非接入层加密算法策略、非接入层完整性算法策略、无线资源控制加密算法策略、无线资源控制完整性算法策略、用户平面加密策略、应用层安全算法等。
实施例中所描述的“通信终端”可以是移动电话。然而，本领域技术人员将会理解，所描述的方法和布置可以适于存在于访问通信网络中并与另一通信网络通信的任何其它适合的通信终端。例如，通信终端可以是无线或固定电话、通信网络中存在的计算机、小型传感器等。以下描述的通信网络是访问或归属公共陆地移动网络，分别称为VPLMN和HPLMN。然而，本发明还可以用在任何其它适合的通信网络中，如，局域网(LAN)、广域网(WAN)、无线或固定的数据或电话通信网络等。所指的信令信息消息是标准化消息，如RAND、XRES和AUTN，没有必要为了理解所提出的实施例而更详细地描述这些消息。所使用的信令消息可以是根据在可实现本发明的通信网络中流行的标准和协议的信令消息。在此，通过使用现有MAC函数(消息认证码)来计算完整性保护标签。MAC函数是标准化函数，同样没有必要在此进行详细地描述。例如，可以使用HMAC或CBC-MAC。然而，本领域技术人员可以使适合于特定通信网络的任何其它函数适于计算完整性保护标签。如果通信终端存在于其HPLMN中而不是VPLMN中，则可以应用如上所述的对应流程，尽管MME将位于HPLMN中。事实上，虽然将使用术语MME(与3GPPEPS网络相关联)，但是任何负责安全策略和/或用户认证的节点都可以主持在此假定驻留于MME中的功能。
本描述中所指的安全策略向量Ph、Pv和P将是具有预定数目的位置的向量，每一个位置表示可选择的安全算法或可能需要的安全功能。为了解释安全策略向量的结构，首先将描述安全策略向量仅定义可选择的安全算法的情况。下面，描述安全策略向量仅定义可接受的安全功能的情况。
情况1：安全算法
安全策略向量具有预定义数目的位置，每一个位置包括值，例如，如果对应的安全算法被通信网络所接受，该值为“1”，而如果对应的安全算法不被通信网络所接受，该值为“0”。例如，如果Ph是定义与归属通信网络相关联的安全策略的向量，并且Ph＝[0，1，1]，则归属通信网络仅接受第二和第三安全算法。对应地，如果Pv是定义与访问通信网络相关联的安全算法策略的向量，并且Pv＝[1，0，1]，则访问通信网络接受第一和第三安全算法等等。P是定义与HPLMN106和VPLMN102相关联的组合安全策略的向量，即，P定义了网络102、106都接受哪些安全算法。P是通过逐位置地对向量Ph和Pv应用逻辑AND运算来计算的，P＝PhANDPv，即，针对向量的每一个位置i，定义Pi＝min(Ph i，Pv i)。因此，如果通信终端存在于访问通信网络中并与其归属通信网络相关联，其中，安全算法策略被定义为Ph＝[0，1，1]以及Pv＝[1，0，1]，那么P将是[0，0，1]并且第三安全算法必须用于受保护的(如，加密的)通信。因此，在给定Pv和Ph的情况下，通信终端应当执行所述AND运算并检查第三算法的确是最终选择的那个算法。注意，如果在HPLMN中直接产生了P，尽管简化了终端中的处理，但这可能不会使VPLMN对安全算法策略有大的影响。另一方面，如果在VPLMN中本地产生了P，则用户终端将不能够决定VPLMN是否与HPLMN的策略以某种方式产生分歧。通过将策略划分成Pv和Ph，给出了灵活性，同时维持了终端验证两个策略都被遵照的可能性。
可选地，安全策略向量将能够定义通信网络优选使用哪些安全算法，而不是更严格的“接受以使用”。可以通过将向量的值定义为非二进制的量来实现这一点，例如：
值 算法
“0” 未被接受
“1” 被接受
“2” 被接受并被优选
例如，如果Pv＝[1，2，2]并且Ph＝[0，2，1]，则P将为[0，2，1]，这意味着第一安全算法未被接受并且第二安全算法比第三安全算法更优选。在更一般的情况下，向量中的每一个分量可以具有集合{0，1，…，T-1}中的值，其中，值越高表示“越被优选”。
情况2：安全功能
可选地，安全策略向量Ph、Pv和P分别可以代之以包括用于指示需要特定安全功能的参数，例如，如果需要加密，则第一位置的值将是“1”，否则是“0”，而如果需要完整性保护，则第一位置的值将是“1”，否则是“0”。在这种情况下，将通过逐位置地对向量Ph和Pv应用逻辑OR运算来计算组合安全策略向量P，P＝PhORPv，即，针对向量的每一个位置i，定义Pi＝max(Ph i，Pv i)。例如，如果HPLMN需要加密但不需要完整性保护(即，安全策略向量Ph＝[1，0])，并且如果相反，VPLMN不需要加密但需要完整性保护(即，安全策略向量Pv＝[0，1])，则P将为[1，1]。这指示了对于通信来说既需要加密又需要完整性保护。
注意，在这种情况下，还可能具有非二进制值，例如，用于指示给定安全功能的“需求强度”的{0，1，…，T-1}。
应当注意，还可以使用两种不同类型的安全策略向量的各种组合，对安全算法以及安全功能进行定义。例如，如果将安全策略向量的前两个位置用于安全功能，并将最后三个位置用于安全算法，则将使用逻辑OR运算来计算组合安全向量的前两个位置，并将使用逻辑AND运算来计算组合安全策略向量的最后三个位置，等等。
值{0，1，…，T-1}仅是可选择的值的示例，并不在这一点上限制本发明。当定义安全策略向量时，可选地，使用适当数目的向量位置以及适当的位置值，包括负整数、实数或有理数等，或者来自任何有序集合的一般元素。
现在将参照图2来描述根据本发明的示例性实施例的分发安全策略的方法，图2示意了具有在访问通信网络(VPLMN)中执行的步骤的流程图。
根据该实施例的过程动作可以由一个适当的通信网络实体或多个适当的通信网络实体(的组合)来执行。例如，移动性管理实体(MME)可以独立地执行动作，或者与无线基站(RBS)相结合来执行动作。然而，本领域技术人员将理解，可以使用任何其它适当的通信网络实体(或实体的组合)。在第一步骤200中，从归属通信网络106接收与归属通信网络106相关联的安全策略向量Ph。可选地，还可以在该步骤中接收信令信息消息的第一集合，例如，被称为XRES的信令信息消息以及其它的认证信息(在UMTS中被称为“五元组”)。在下一步骤202中，产生与访问通信网络102相关联的安全策略向量Pv。在下一步骤204中，向通信终端100发送与归属通信网络相关联的安全策略向量Ph和与访问通信网络相关联的安全算法策略向量Pv。可选地，可以向通信终端100发送信令消息的第二集合，例如认证挑战(RAND)。
在一个备选方案中，该过程程然后可以移到步骤210，选择至少一个安全算法和/或至少一个安全功能来应用，以实现安全通信。在下一步骤212中，向通信终端告知选择哪些安全算法和/或安全功能。直接进行告知，或者经由无线基站112来间接进行告知。
可以通过逐比特地将与归属通信网络106相关联的安全策略向量Ph同与访问通信网络102相关联的安全策略向量Pv进行比较，执行对安全算法的选择。当两个向量中的位置都具有用于指示两个通信网络都至少接受了对应的安全算法的值时，可以选择对应的安全算法。可以通过逐比特地对Ph和Pv进行逻辑AND运算，执行与安全算法有关的比较。可以通过逐比特地比较安全策略向量Ph和Pv并选择至少一个通信网络(HPLMN或VPLMN)需要哪些安全功能，执行对安全功能的选择。可以通过逐比特地对Ph和Pv进行逻辑OR运算，执行与安全功能有关的比较。
然而，本领域技术人员将理解，可以在安全策略向量Ph、Pv中组合安全算法和安全功能，并且根据该组合，可以确定适当的过程以选择要应用的安全算法和/或安全功能。例如，可以将任何适当的(并有意义的)逻辑运算(如，AND、OR、XOR、XAND)或者任何其它运算(如，min运算或max运算等)进行组合。还可能向策略分配权重，以使得例如在应用组合运算之前将Ph向量的每一个分量乘以常数因子(如2)。可以通过形成组合安全策略向量P，然后根据组合安全策略向量P选择至少一个安全算法和/或至少一个安全功能，来执行选择，其中，组合安全策略向量P的形成是通过对由通信网络102、106相关联的安全策略向量Ph、Pv适配任何适当的运算来进行的。可以在不同的网络单元中执行选择，例如，在移动性管理实体(MME)104中或在无线基站(RBS)112中。
将安全策略向量设计为包括用于指示一个安全算法比另一个算法优选的值的优势在于：通信网络可以更容易地影响对安全算法的选择。另一个优势在于：所描述的方法可以适于MME算法(如，非接入层(NAS)算法)以及无线基站(RBS)算法(如，无线资源控制(RRC)算法或用户平面(UP)算法)。
根据另一个备选方案，在可选的中间步骤206中，可以从通信终端100接收信令消息的第三集合。该第三集合可以包括被称为RES的认证响应信令信息消息。此外，在另一个中间步骤208中，可以将接收到的信令信息消息第三集合的子集与接收到的信令信息消息第一集合的子集进行比较，例如，可以将XRES与RES进行比较。可以进行该比较以找出是否针对归属通信网络而对通信终端100进行了认证。如果所比较的信令信息消息的子集是相同的，则可以认为终端被认证，并且根据该备选方案的过程可以进行到上述的步骤210。另一方面，如果步骤208中的子集不相同，则可以在可选步骤214中向HPLMN通知未在HPLMN中对通信终端进行认证。然后，HPLMN可能发布更自由的安全策略。
与上述实施例不同，在另一个实施例中，增加了以下过程动作。在步骤200中，从HPLMN106接收完整性保护标签PhA和“主密钥”。以示例的方式，在本描述中自始至终所指的主加密密钥是所谓的“Kasme”。然而，可以将任何其它适当的密钥用作主密钥，并且本发明不限于任何具体的密钥。完整性保护标签PhA取决于安全策略向量Ph，并且是通过以下方式而在HPLMN中产生的：对安全策略向量Ph和特定密码密钥Ck和/或特定完整性密钥Ik应用所谓的MAC函数，即，PhA＝MAC(Ck，Ik，Ph)，其中，优选地，Ck/Ik仅为HPLMN和用户终端所知。可选地，在步骤202中，还可以产生访问通信网络102的完整性保护标签PvA。完整性保护标签PvA是通过以下方式而产生的：对主密钥Kasme和安全策略向量Pv应用MAC函数，即PvA＝MAC(Kasme，Pv)。然而，可以使用任何其它适当的函数或参数来产生完整性保护标签PhA和PvA。可选地，在步骤204中，还将完整性保护标签PhA、PvA发送至通信终端100。这将使通信终端能够验证Ph(作为来自HPLMN)和Pv(作为来自VPLMN)的真实性。换言之，甚至恶意的VPLMN也不能够“伪造”HPLMN的策略，这是因为恶意的VPLMN不可以访问密码密钥Ck和完整性密钥Ik。
现在将参照图3来描述根据另一示例性实施例的分发安全策略的方法，图3示意了具有在通信终端中执行的步骤的流程图。在第一步骤300中，从HPLMN106接收与归属通信网络(HPLMN)106相关联的安全策略向量Ph和与访问通信网络(VPLMN)102相关联的安全策略向量Pv。可选地，还可以从VPLMN102接收各种信令消息。此外，可以在附加步骤(未示出)中执行HPLMN106对通信终端100的认证验证。可以通过在通信终端100的内部单元之间交换不同的标准化信令消息来执行认证验证。然而，认证验证是标准化过程，从而在此不作更详细的描述。可选地，VPLMN102可以从通信终端100接收被称为RES的信令消息。在下一步骤306中，通信终端100从VPLMN102接收与VPLMN102已选择了哪些安全算法和/或安全功能有关的信息。然后，该过程可以移到步骤310，在步骤310中，通信终端100从而将所选择的安全算法和/或安全功能适于当前的通信。
在下一步骤308中，验证了所选择的安全算法和/或安全功能是依照HPLMN106和VPLMN102两者的安全策略向量Ph、Pv的。例如，如果接收到的安全策略向量Ph(关于HPLMN106)中位置的值和接收到的安全策略向量Pv(关于VPLMN102)中对应位置的值满足二进制关系，则可以认为安全算法或安全功能得到验证。如果例如对安全策略向量Ph和Pv中位置的值的逻辑AND运算(或任何其它适当的逻辑运算)等于1，则可以满足二进制关系。如果根据安全策略向量Ph和Pv对所选择的安全算法和/或安全功能进行了验证，则该过程继续步骤310，在步骤310中，通信终端100对所选择的安全功能和/或安全算法进行适配。另一方面，如果在步骤308中不能验证所选择的安全算法和/或安全功能，则可以在可选步骤312中通知HPLMN106。然后，如上所述，HPLMN106可能发布更自由的安全策略。
与上述的先前实施例不同，在另一个实施例中，增加了以下过程动作。在步骤300中，从VPLMN102接收与HPLMN106相关联的第一完整性保护标签PhA以及与VPLMN102相关联的第二完整性保护标签PvA。在附加步骤302中，产生第一和第二密钥、第三完整性保护标签PhA2和第四完整性保护标签PvA2。完整性保护标签PhA2取决于至少安全策略向量Ph和第一密钥(如，Ck和/或Ik)，完整性保护标签PvA2取决于第二密钥Kasme并且还取决于至少安全策略向量Pv。此外，在另一附加步骤304中，将分别接收到的完整性保护标签PhA和PvA针对分别产生的完整性保护标签PhA2和PvA2进行验证。验证步骤304的优势在于：通信终端100可能能够验证分别接收到的完整性策略向量PhA和PvA分别源自于正确的HPLMN106和VPLMN102。
现在将参照图4来描述根据另一示例性实施例的分发安全策略的方法，图4示意了具有在归属通信网络(HPLMN)106中执行的步骤的流程图。可以在通信网络实体(如，归属订户服务器(HSS))中执行根据该实施例的过程动作。然而，本领域技术人员将理解，可以使用任何其它适当的通信网络实体。在第一步骤400中，产生与HPLMN106相关联的安全策略向量Ph。在步骤400中还产生第一和第二密钥以及完整性保护标签PhA。完整性保护标签PhA取决于至少安全策略向量Ph和第一密钥。在最终步骤402中，向访问通信网络(VPLMN)102发送安全策略向量Ph、第二密钥Kasme和完整性保护标签PhA。
现在将参照图5a中示出的框图并且还参照图1，描述根据本发明给通信终端100提供安全性的通信网络实体。在该示例性实施例中，移动性管理实体(MME)500用于管理与通信网络102中存在的通信终端100的连接。在此，通信终端100存在于访问通信网络(VPLMN)102中，但是具有与归属通信网络(HPLMN)106的关联，例如移动预订。MME500中的第一通信单元502从HPLMN106接收与HPLMN106相关联的第一安全策略向量Ph。可选地，第一通信单元502还可以接收均与HPLMN106相关联的主密钥Kasme和第一完整性保护标签PhA。安全策略向量Ph可能已被HPLMN106中的归属订户服务器(HSS)108发送至MME500。然后，产生单元504产生与VPLMN102相关联的安全策略向量Pv。可选地，产生单元504还可以产生第二完整性保护标签PvA。第二通信单元510向通信终端发送安全策略向量Ph和Pv(并且可选地还发送完整性保护标签PhA和PvA)。组合单元506将进一步将安全策略向量Ph和Pv组合成组合安全策略向量P。此外，选择单元508选择至少一个安全算法和/或至少一个安全功能。最后，第二通信单元510向通信终端100告知已经选择了哪些安全算法和/或安全功能。第二通信单元510适于直接告知通信终端100，或者经由无线基站112来间接告知通信终端100。
对于特定的网络算法(如，无线基站算法)，可以在无线基站(RBS)112中执行对安全算法和/或安全功能的选择。
因此，将参照图5b并且还参照图1，描述与上述实施例不同的另一实施例。在该实施例中，移动性管理实体(MME)520用于管理与通信网络102中存在的通信终端100的连接。在此，通信终端100存在于访问通信网络(VPLMN)102中，但是具有与归属通信网络(HPLMN)106的关联。MME520中的第一通信单元522从HPLMN106接收与HPLMN106相关联的第一安全策略向量Ph。可选地，第一通信单元522还可以接收均与第一通信网络HPLMN106相关联的主密钥Kasme和第一完整性保护标签PhA。然后，产生单元524产生与VPLMN102相关联的安全策略向量Pv。可选地，产生单元524还可以产生第二完整性保护标签PvA。组合单元526将安全策略向量Ph和Pv组合成组合安全策略向量P。最后，第二通信单元528向RBS112发送组合安全策略向量P。可选地，第二通信单元528还可以向RBS112发送安全策略向量Ph、Pv和/或完整性保护标签PhA、PvA。尽管在上述示例中使用了MME和RBS，也可以以所描述的方式使用任何其它适当的通信网络实体。
现在将参照图6中示出的框图，描述根据本发明给通信终端100提供安全性的通信网络实体。归属通信网络(HPLMN)中的归属订户服务器(HSS)600存储与HPLMN106的订户有关的信息。尽管在本示例中使用了HHS，也可以以所描述的方式使用任何其它适当的通信网络实体。产生单元602产生对HPLMN106的安全策略进行定义的安全策略向量Ph。产生单元602还产生第一和第二密钥以及完整性保护标签PhA。完整性保护标签PhA取决于至少安全策略向量Ph和第一密钥。然后，通信单元602向访问通信网络(VPLMN)102发送安全策略向量Ph、完整性保护标签PhA以及第二密钥Kasme。
现在将参照示意了框图的图7并且还参照图1，描述根据本发明的用于给通信终端700提供安全性的、通信终端700中的布置。通信终端700(在图1中被称为100)具有与HPLMN106的关联，但存在于VPLMN102中。通信单元702从VPLMN102接收与HPLMN106相关联的第一安全策略向量Ph、与VPLMN102相关联的第二安全策略向量Pv。可选地，通信单元702附加地接收完整性保护标签PhA和另一完整性保护标签PvA。此外，通信单元702从VPLMN102接收至少一个安全算法和/或至少一个安全功能。验证单元704验证接收到的安全算法和/或安全功能是依照接收到的安全策略向量Ph和Pv的。可选的产生单元706可以产生：第一和第二密钥、完整性保护标签PhA2以及另一个完整性保护标签PvA2。可选地，验证单元704可以验证分别接收到的完整性保护标签PhA和PvA与分别产生的完整性保护标签PhA2和PvA2相同。
图8中示出了信令图，该信令图进一步解释了本发明(同样参照较早的附图)。该信令图包括三个节点：存在于归属通信网络106中的第一通信实体108、存在于访问通信网络102中的第二通信实体104以及具有与归属通信网络106的关联但存在于访问通信网络102中的通信终端100。在以下所描述的序列之前，在不同的通信节点之间可能已经交换了各种信令消息。在序列8:1(与步骤402和步骤200相对应)中，向访问通信网络(VPLMN)102中的第二通信网络实体104发送安全策略向量Ph以及可选地发送完整性保护标签PhA和第二密钥Kasme。在序列8:2(与步骤204和步骤300相对应)中，向通信终端100发送第一和第二安全策略向量Ph、Pv以及可选地发送第一和第二完整性保护密钥PhA、PvA。在可选的序列8:3(非必要)中，通信终端100向第二通信网络实体104传送各种信令消息，例如称为RES的信令消息。在序列8:4(与步骤212和步骤306相对应)中，第二通信网络实体104发送与已经选择了哪些安全算法和/或哪些安全功能有关的信息。
可选地，在信令序列中可以传送各种信令消息。这些各种信令消息在此不作描述。
虽然参照特定的示例性实施例对本发明进行了描述，但一般来说，该描述仅旨在示意发明性的构思，而不应被视为对发明范围进行限制。虽然在描述以上实施例时始终使用了移动电话和移动通信网络，但是可以以所描述的方式使用任何其它通信终端和通信网络。此外，虽然在描述以上实施例时使用了移动性管理实体、归属订户服务器和无线基站，但也可以以所描述的方式使用任何其它适当的通信网络实体。本发明一般由独立权利要求所限定。

Claims (12)

1.一种向通信终端(100)提供安全性的方法，所述通信终端(100)具有与第一通信网络(106)的关联但存在于第二通信网络(102)中，所述方法包括由所述第二通信网络(102)中的通信网络实体执行的以下步骤：
a)从所述第一通信网络(106)接收(200)与所述第一通信网络(106)相关联的第一安全策略向量Ph，所述第一安全策略向量Ph包括预定义数目的值，所述值与安全算法和安全功能中的至少一个相关，
b)产生(202)与所述第二通信网络(102)相关联的第二安全策略向量Pv，所述第二安全策略向量Pv包括与所述第一安全策略向量Ph相同的预定义数目的值，所述值也与安全算法和安全功能中的至少一个相关，
c)向所述通信终端(100)发送(204)所述第一安全策略向量Ph和所述第二安全策略向量Pv，
d)根据所述第一安全策略向量Ph和所述第二安全策略向量Pv，选择(210)至少一个安全算法和/或至少一个安全功能，以及
e)向所述通信终端(100)告知d)中的选择的结果。
2.一种向通信终端(100)提供安全性的方法，所述通信终端(100)具有与第一通信网络(106)的关联但存在于第二通信网络(102)中，所述方法包括由第二通信网络(102)中的通信网络实体执行的以下步骤：
a)从所述第一通信网络(106)接收(200)与所述第一通信网络(106)相关联的第一安全策略向量Ph，所述第一安全策略向量Ph包括预定义数目的值，所述值与安全算法和安全功能中的至少一个相关，
b)产生(202)与所述第二通信网络(102)相关联的第二安全策略向量Pv，所述第二安全策略向量Pv包括与所述第一安全策略向量Ph相同的预定义数目的值，所述值也与安全算法和安全功能中的至少一个相关，
c)向所述通信终端(100)发送(204)所述第一安全策略向量Ph和所述第二安全策略向量Pv，
d)将所述第一安全策略向量Ph和所述第二安全策略向量Pv组合成第三安全策略向量P，以及
e)向另一通信网络实体发送所述第三安全策略向量P。
3.根据权利要求1-2中任一项所述的方法，其中：
·步骤a)附加地包括：接收主密钥，以及接收第一完整性保护标签PhA，所述第一完整性保护标签PhA取决于至少所述第一安全算法策略向量Ph，
·步骤b)附加地包括：产生取决于至少所述第二安全算法向量Pv和所述主密钥的第二完整性保护标签PvA，以及
·步骤c)附加地包括：向所述通信终端(100)发送所述第一完整性保护标签PhA和所述第二完整性保护标签PvA。
4.一种向通信终端(100)提供安全性的方法，所述通信终端(100)具有与第一通信网络(106)的关联但存在于第二通信网络(102)中，所述方法包括由所述第一通信网络(106)中的通信网络实体执行的以下步骤：
a)产生(400)与所述第一通信网络(106)相关联的第一安全策略向量Ph，所述第一安全策略向量Ph包括预定义数目的值，所述值指示安全算法和安全功能中的至少一个是否被所述第一通信网络接受，
b)产生(400)第一密钥和第二密钥，
c)产生(400)第一完整性保护标签PhA，所述第一完整性保护标签PhA取决于至少所述第一安全算法向量Ph和所述第一密钥，以及
d)向所述第二通信网络(102)发送(402)所述第一安全策略向量Ph、所述第一完整性保护标签PhA以及所述第二密钥。
5.一种向通信终端(100)提供安全性的方法，所述通信终端(100)具有与第一通信网络(106)的关联但存在于第二通信网络(102)中，所述方法包括在所述通信终端(100)中执行的以下步骤：
a)接收(300)与所述第一通信网络(106)相关联的第一安全策略向量Ph和与所述第二通信网络(102)相关联的第二安全策略向量Pv，其中每个安全策略向量包括预定义数目的值，所述值与安全算法和安全功能中的至少一个相关，
b)从所述第二通信网络(106)接收(306)与应当应用哪些已被选择的至少一个安全算法和/或至少一个安全功能有关的信息，以及
c)根据所述第一安全策略向量Ph和所述第二安全策略向量Pv，验证(308)所选择的安全算法和/或所选择的安全功能。
6.根据权利要求5所述的方法，其中：
·步骤a)附加地包括：接收取决于至少所述第一安全算法向量Ph的第一完整性保护标签PhA以及取决于至少所述第二安全算法向量Pv的第二完整性保护标签PvA，
·所述方法还包括附加的步骤a1)，其中执行以下子步骤：
-产生第一密钥和第二密钥，
-产生取决于至少所述第一安全策略向量Ph和所述第一密钥的第三完整性保护标签PhA2，
-产生取决于至少所述第二安全策略向量Pv和所述第二密钥的第四完整性保护标签PvA2，以及
-验证所述第三完整性保护标签PhA2和所述第一完整性保护标签PhA相同，以及验证所述第四完整性保护标签PvA2和所述第二完整性保护标签PvA相同。
7.一种用于向通信终端(100)提供安全性的通信网络实体(500)，所述通信终端(100)具有与第一通信网络(106)的关联但是存在于第二通信网络(102)中，该实体包括：
a)第一通信单元(502)，适于从所述第一通信网络(106)接收第一安全策略向量Ph，所述第一安全策略向量Ph包括预定义数目的值，所述值与安全算法和安全功能中的至少一个相关，
b)产生单元(504)，适于产生第二安全策略向量Pv，所述第二安全策略向量Pv包括与所述第一安全策略向量Ph相同的预定义数目的值，所述值也与安全算法和安全功能中的至少一个相关，
c)组合单元(506)，适于将所述第一安全策略向量Ph和所述第二安全策略向量Pv组合成组合安全策略向量P，
d)选择单元(508)，适于选择至少一个安全算法和/或至少一个安全功能，以及
e)第二通信单元(510)，适于向通信终端(100)发送第一安全策略向量Ph和第二安全策略向量Pv，还适于向所述通信终端(100)发送来自所述选择单元(508)的输出。
8.一种用于向通信终端(100)提供安全性的通信网络实体(520)，所述通信终端(100)具有与第一通信网络(106)的关联但是存在于第二通信网络(102)中，该实体包括：
a)第一通信单元(522)，适于从所述第一通信网络(106)接收第一安全策略向量Ph，所述第一安全策略向量Ph包括预定义数目的值，所述值与安全算法和安全功能中的至少一个相关，
b)产生单元(524)，适于产生第二安全策略向量Pv，所述第二安全策略向量Pv包括与所述第一安全策略向量Ph相同的预定义数目的值，所述值也与安全算法和安全功能中的至少一个相关，
c)组合单元(526)，适于将所述第一安全策略向量Ph和所述第二安全策略向量Pv组合成组合安全策略向量P，以及
d)第二通信单元(528)，适于向无线基站(112)发送所述组合安全策略向量P。
9.根据权利要求7-8中任一项所述的实体，其中，
·第一通信单元(502、522)还适于从所述第一通信网络(106)接收密钥和第一完整性保护标签PhA，以及
·产生单元(504、524)还适于基于所述安全策略向量Pv和所述密钥来产生第二完整性保护标签PvA。
10.一种用于向通信终端(100)提供安全性的通信网络实体(600)，所述通信终端(100)具有与第一通信网络(106)的关联但是存在于第二通信网络(102)中，所述通信网络实体包括：
a)产生单元(602)，适于产生第一安全策略向量Ph、第一密钥和第二密钥、以及基于安全策略向量Ph和至少所述第一密钥的完整性保护标签PhA，所述第一安全策略向量Ph包括预定义数目的值，所述值指示安全算法和安全功能中的至少一个是否被所述第一通信网络接受，以及
b)通信单元(604)，适于向通信网络(102)发送所述第一安全策略向量Ph、所述第二密钥和所述完整性保护标签PhA。
11.一种通信终端(700)，具有与第一通信网络(106)的关联但是存在于第二通信网络(102)中，所述通信终端包括：
a)通信单元(702)，适于接收与所述第一通信网络(106)相关联的第一安全策略向量Ph和与所述第二通信网络(102)相关联的第二安全策略向量Pv，其中每个安全策略向量包括预定义数目的值，所述值与安全算法和安全功能中的至少一个相关，还适于从通信网络(102)接收与要应用哪些安全算法和/或安全功能有关的信息，
b)第一验证单元(704)，适于验证所述安全算法和/或安全功能是依照所述第一安全策略向量Ph和所述第二安全策略向量Pv的。
12.根据权利要求11所述的终端，其中：
-所述通信单元(702)还适于接收第一完整性保护标签PhA和第二完整性保护标签PvA，
-增加了产生单元(706)，适于产生第一密钥和第二密钥、第三完整性保护标签PhA2以及第四完整性保护标签PvA2，
-所述验证单元(704)还适于验证所述第一完整性保护标签PhA与所述第三完整性保护标签PhA2相同，以及验证所述第二完整性保护标签PvA与所述第四完整性保护标签PvA2相同。
CN200880125366.4A 2008-01-22 2008-01-22 对通信终端的安全策略分发 Expired - Fee Related CN101926188B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/SE2008/050063 WO2009093938A1 (en) 2008-01-22 2008-01-22 Security policy distribution to communication terminals

Publications (2)

Publication Number Publication Date
CN101926188A CN101926188A (zh) 2010-12-22
CN101926188B true CN101926188B (zh) 2016-08-03

Family

ID=40901315

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200880125366.4A Expired - Fee Related CN101926188B (zh) 2008-01-22 2008-01-22 对通信终端的安全策略分发

Country Status (4)

Country Link
US (1) US8819765B2 (zh)
EP (1) EP2235911A4 (zh)
CN (1) CN101926188B (zh)
WO (1) WO2009093938A1 (zh)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101272627B (zh) * 2008-04-30 2010-12-22 杭州华三通信技术有限公司 实现漫游的网络接入控制方法及设备
US8578153B2 (en) * 2008-10-28 2013-11-05 Telefonaktiebolaget L M Ericsson (Publ) Method and arrangement for provisioning and managing a device
US8412158B2 (en) * 2010-08-17 2013-04-02 Qualcomm Incorporated Mobile device having increased security that is less obtrusive
CN102448058B (zh) * 2011-01-10 2014-04-30 华为技术有限公司 一种Un接口上的数据保护方法与装置
CN102594555B (zh) * 2011-01-17 2015-04-29 华为技术有限公司 数据的安全保护方法、网络侧实体和通信终端
US8838971B2 (en) 2012-01-16 2014-09-16 Alcatel Lucent Management of public keys for verification of public warning messages
US20130185372A1 (en) * 2012-01-16 2013-07-18 Alcatel-Lucent Usa Inc. Management of user equipment security status for public warning system
CN103297958B (zh) * 2012-02-22 2017-04-12 华为技术有限公司 建立安全上下文的方法、装置及系统
US9992670B2 (en) * 2014-08-12 2018-06-05 Vodafone Ip Licensing Limited Machine-to-machine cellular communication security
US20160050568A1 (en) * 2014-08-12 2016-02-18 Vodafone Ip Licensing Limited Machine-to-machine cellular communication security
WO2017088930A1 (en) 2015-11-27 2017-06-01 Hewlett Packard Enterprise Development Lp Distribution and verification of transaction integrity keys
CN107566115B (zh) 2016-07-01 2022-01-14 华为技术有限公司 密钥配置及安全策略确定方法、装置
JP2022114391A (ja) * 2021-01-26 2022-08-05 京セラドキュメントソリューションズ株式会社 電子機器

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1764195A (zh) * 2005-11-15 2006-04-26 中兴通讯股份有限公司 一种非对等实体安全等级协商方法

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2281331A1 (en) * 1999-09-03 2001-03-03 Cognos Incorporated Database management system
GB2356530B (en) * 1999-11-18 2004-04-07 Vodafone Ltd User authentication in a mobile communications network
DE10025271A1 (de) * 2000-05-22 2001-11-29 Siemens Ag Verfahren zum Aufbau einer Verbindung zwischen einem Endgerät und einem bedienenden Mobilfunknetz, Mobilfunknetz und Endgerät dafür
FI112143B (fi) * 2000-08-14 2003-10-31 Sonera Oyj Prepaid-palvelu
US7096359B2 (en) * 2001-03-01 2006-08-22 University Of Cincinnati Authentication scheme for ad hoc and sensor wireless networks
FI114076B (fi) 2003-02-05 2004-07-30 Teliasonera Finland Oyj Menetelmä ja järjestelmä tilaajan autentikointiin
CN1265676C (zh) 2004-04-02 2006-07-19 华为技术有限公司 一种实现漫游用户使用拜访网络内业务的方法
ATE428278T1 (de) * 2004-06-17 2009-04-15 Ericsson Telefon Ab L M Sicherheit in mobilen kommunikationssystemen
CN1642083A (zh) 2004-09-23 2005-07-20 华为技术有限公司 网络侧选择鉴权方式的方法
JP4512051B2 (ja) 2006-02-27 2010-07-28 株式会社エヌ・ティ・ティ・ドコモ 認証ベクトル生成装置、加入者認証モジュール、移動通信システム、認証ベクトル生成方法
CN101433010B (zh) * 2006-04-18 2012-11-14 交互数字技术公司 用于确保无线通信的方法和系统
US8094817B2 (en) * 2006-10-18 2012-01-10 Telefonaktiebolaget Lm Ericsson (Publ) Cryptographic key management in communication networks
CN101378591B (zh) * 2007-08-31 2010-10-27 华为技术有限公司 终端移动时安全能力协商的方法、系统及装置
US7738454B1 (en) * 2008-09-30 2010-06-15 Juniper Networks, Inc. Methods and apparatus related to packet classification based on range values
CN101854625B (zh) * 2009-04-03 2014-12-03 华为技术有限公司 安全算法选择处理方法与装置、网络实体及通信系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1764195A (zh) * 2005-11-15 2006-04-26 中兴通讯股份有限公司 一种非对等实体安全等级协商方法

Also Published As

Publication number Publication date
EP2235911A1 (en) 2010-10-06
WO2009093938A1 (en) 2009-07-30
EP2235911A4 (en) 2012-08-08
CN101926188A (zh) 2010-12-22
US8819765B2 (en) 2014-08-26
US20100293595A1 (en) 2010-11-18

Similar Documents

Publication Publication Date Title
CN101926188B (zh) 对通信终端的安全策略分发
RU2663972C1 (ru) Обеспечение безопасности при связи между устройством связи и сетевым устройством
EP2456121B1 (en) Challenge response based enrollment of physical unclonable functions
CN102823282B (zh) 用于二进制cdma的密钥认证方法
CN101409619B (zh) 闪存卡及虚拟专用网密钥交换的实现方法
US8295489B2 (en) Method for sharing a link key in a ZigBee network and a communication system therefor
US20050032506A1 (en) Authenticated key exchange based on pairwise master key
CN107196920B (zh) 一种面向无线通信系统的密钥产生分配方法
CN108683510A (zh) 一种加密传输的用户身份更新方法
CN110545252B (zh) 一种认证和信息保护的方法、终端、控制功能实体及应用服务器
US11909869B2 (en) Communication method and related product based on key agreement and authentication
CN106899562A (zh) 物联网的安全算法协商方法、网元及物联网终端
CN106888092A (zh) 信息处理方法及装置
CN101990201B (zh) 生成gba密钥的方法及其系统和设备
CN101192927B (zh) 基于身份保密的授权与多重认证方法
US8407474B2 (en) Pre-authentication method, authentication system and authentication apparatus
WO2011124051A1 (zh) 终端鉴权方法及系统
CN115967941A (zh) 电力5g终端认证方法及认证系统
CN110012467B (zh) 窄带物联网的分组认证方法
Wu et al. Usage control based security access scheme for wireless sensor networks
CN102905267B (zh) Me标识鉴权、安全模式控制方法及装置
Alezabi et al. On the authentication and re‐authentication protocols in LTE‐WLAN interworking architecture
US11223954B2 (en) Network authentication method, device, and system
Habib et al. Performance of wimax security algorithm (the comparative study of rsa encryption algorithm with ecc encryption algorithm)
US20120106734A1 (en) Safe handover method and system

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20160803

Termination date: 20200122