CN102349320B - 通信系统中用于验证的方法和系统 - Google Patents

通信系统中用于验证的方法和系统 Download PDF

Info

Publication number
CN102349320B
CN102349320B CN201080011209.8A CN201080011209A CN102349320B CN 102349320 B CN102349320 B CN 102349320B CN 201080011209 A CN201080011209 A CN 201080011209A CN 102349320 B CN102349320 B CN 102349320B
Authority
CN
China
Prior art keywords
validator
message
hashed value
aaa server
random parameter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201080011209.8A
Other languages
English (en)
Other versions
CN102349320A (zh
Inventor
李知彻
A.耶金
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Samsung Electronics Co Ltd
Original Assignee
Samsung Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Samsung Electronics Co Ltd filed Critical Samsung Electronics Co Ltd
Publication of CN102349320A publication Critical patent/CN102349320A/zh
Application granted granted Critical
Publication of CN102349320B publication Critical patent/CN102349320B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明提供一种通信系统中用于验证的方法和系统。所述方法包括：在第一验证器中，向第二验证器发送验证器重定位请求，从第二验证器向第一验证器发送用于移动终端(MT)的验证参数的散列值、随机参数1、和随机参数2；在第一验证器中，向验证、授权、和记帐(AAA)服务器发送从第二验证器接收的散列值和随机参数1；在AAA服务器中，确定从第一验证器接收的散列值的有效性，以及在AAA服务器中，向第一验证器发送在验证MT时曾经使用的验证参数。

Description

通信系统中用于验证的方法和系统
技术领域
本发明各方面涉及在通信系统中验证移动终端(MT)的方法和系统。更具体地，虽然非排他地，本发明各方面涉及在通信系统中重新定位MT的验证器而不执行MT的重新验证的过程的方法和系统。
背景技术
在通信系统中，服务提供商执行用户验证过程以确定对于打算使用网络服务的用户的订阅或非订阅以及服务提供或非提供。例如，当使用可扩展验证协议(EAP)时，MT和验证、授权、和记帐(AAA)服务器通过MT的服务网络执行验证过程。下面参考图1描述验证过程。EAP代表用于封装信息以便于验证的协议，诸如消息摘要编号5(MD5)、传输层安全(TLS)、安全远程口令(SRP)等。
图1说明根据现有技术在无线通信系统中验证MT的过程。
参考图1，在步骤131，MT 100完成与验证器110的物理层连接。MT 100和验证器110然后开始MT 100的链路层进入的过程。在步骤133，验证器110向MT 100发送EAP请求消息(EAP请求/链路层)，请求身份(ID)信息用于MT 100的验证。此时，MT 100和验证器110通过位于MT 100与验证器100之间的基站(BS)交换信号。EAP请求消息在这里定义为电子与电气工程师协会(IEEE)802.16标准中的“PKMv2PKM-REQ/EAP-Transfer”。
在步骤135，MT 100响应于EAP请求消息(EAP请求/链路层)向验证器110发送包含它自身的ID信息的EAP响应消息(EAP响应/链路层)。EAP响应消息这里被定义为IEEE 802.16标准中的“PKM-RSP/EAP-Transfer”。
在步骤137，验证器110将包含在EAP响应消息(EAP响应/链路层)中的MT 100的ID信息包含在AAA请求消息(EAP响应/AAA请求)中，并且将AAA请求消息(EAP响应/AAA请求)发送给归属AAA服务器120.
AAA服务器120利用通过AAA请求消息(EAP响应/AAA请求)识别的MT 100的ID信息来确定EAP验证方法。在步骤139和141，AAA服务器120通过验证器110将所确定的EAP验证方法信息发送给MT 100。
通过从验证器110接收的EAP请求消息(EAP响应/AAA请求)，MT 100识别由AAA服务器120确定的EAP验证方法。在步骤143和145，MT 100通过验证器110将EAP验证方法所必须的MT 100的信息发送给AAA服务器120。在步骤139到145，AAA服务器120、验证器110、和MT 100重复地发送/接收EAP验证方法信息和EAP验证方法所必须的MT 100的信息，为分组丢失做准备。
AAA服务器120利用包含在从验证器110接收的AAA请求消息(EAP响应/AAA请求)中的EAP验证方法所必须的MT 100信息来确定是否验证MT 100。如果AAA服务器能够验证MT 100，则在步骤147和149，AAA服务器120通过验证器110将验证成功消息发送给MT 100。
在步骤151，MT 100完成与验证器110的链路层进入。如果完成，则在步骤153，AAA服务器120为验证器110记帐。一旦从AAA服务器被验证并且通过以上验证过程链路层进入成功，就向MT提供网络服务。
然而，以上验证过程可能有一个问题，即由验证器与AAA服务器之间的消息发送/接收所引起的延迟导致MT网络进入的失败。例如，当从AAA服务器被验证的MT移动到不同网络的服务区或者验证器被重新定位时，MT应当再次执行图1的验证过程。然而可能有一个问题，即由验证器与AAA服务器之间的消息的发送/接收所引发的延迟导致MT的网络进入的失败。
发明内容
本发明某些实施例的目的在于解决、减轻或避免，至少部分地，关于现有技术的问题和/或缺点中的至少一个。某些实施例旨在提供以下所描述的优点中的至少一个。
本发明的某些实施例处理至少上面提及的问题和/或缺点，并且提供至少以下所述的优点。从而，本发明的某些实施例提供在通信系统中用于减少由移动终端(MT)的验证所引起的时延的方法和系统。
本发明的某些实施例提供当MT的验证器在通信系统中被重新定位时，用于减少由MT的验证器所引发的时延的方法和系统。
本发明的某些实施例提供在通信系统的验证器中，用于利用不同的验证器之前已经用于验证MT的验证参数来验证MT的方法和系统。
本发明的某些实施例提供通信系统中用于验证的方法和系统。
根据本发明的一个方面，提供一种用于验证通信系统中的移动终端(MT)的方法。所述方法包括：在或从第一验证器(例如，新验证器)向第二验证器(例如，之前的验证器)发送验证器重定位请求用于接入物理层的MT的链路层进入；当第二验证器包括(例如，包括、存储、包含)MT的验证参数(即，第一验证参数)时，根据第一验证器的验证器重定位请求，将用于MT的验证参数的散列值、随机参数1、和随机参数2从第二验证器发送到第一验证器；在或从第一验证器向验证、授权、和记帐(AAA)服务器发送从第二验证器接收的用于MT的验证参数的散列值和随机参数1；在AAA服务器中，确定从第一验证器接收的用于MT的验证参数的散列值的有效性；以及当AAA服务器确定用于MT的验证参数的散列值有效时，将之前在验证MT时所使用的验证参数(即，第二验证参数)从AAA服务器发送给第一验证器。随机参数1表示用于第一验证器和AAA服务器的验证的参数。随机参数2表示用于第一验证器和第二验证器的验证的参数。
根据本发明的另一个方面，提供一种用于验证移动终端(MT)的通信系统。所述系统包括：第一验证器、第二验证器、以及验证、授权、和记帐(AAA)服务器。第一验证器将验证器重定位请求发送给第二验证器用于接入物理层的MT的链路层进入，并且将从第二验证器接收的用于MT的验证参数的散列值和随机参数1发送给验证、授权、和记帐(AAA)服务器。第二验证器包含MT的验证参数，并且根据第一验证器的验证器重定位请求，将用于MT的验证参数的散列值、随机参数1、和随机参数2发送给第一验证器。当从第一验证器接收的用于MT的验证参数的散列值被确定为有效时，AAA服务器将之前在验证MT时所使用的验证参数发送给第一验证器。随机参数1表示用于第一验证器和AAA服务器的验证的参数。
本发明的另一个方面提供一种包含被配置为在执行时实现根据上述方面的任何之一的方法和/或装置的指令的计算机程序。进一步方面提供存储这种程序的机器可读存储器。
通过结合附图公开本发明的示范性实施例的以下详细描述，本发明的其他方面、优点、和显著特征对于本领域技术人员将变得显而易见。
附图说明
通过结合附图的以下描述，本发明某些示范性实施例的以上和其他方面、特征、和优点将变得更加显而易见，其中：
图1是说明根据现有技术在无线通信系统中验证移动终端(MT)的过程的阶梯图；
图2是说明根据本发明的示范性实施例的无线通信系统的构造的图；
图3是说明根据本发明的示范性实施例的验证器中用于验证MT的过程的流程图；
图4是说明根据本发明的示范性实施例的验证、授权、和记帐(AAA)服务器中用于重定位MT的验证器的过程的流程图；以及
图5说明根据本发明的示范性实施例的无线通信系统中用于重定位MT的验证器的过程的流程图。
全部附图中，应当注意到相似的引用数字用于描述相同或相似的元件、特征、和结构。
具体实施方式
提供参考附图的以下描述以便有助于对如权利要求书及其等价物所定义的本发明的示范性实施例的全面理解。它包括有助于理解的各种特殊细节，但是这些被认为仅仅是示范性的。因此，本领域技术人员将认识到，可以对这里所描述的实施例进行各种变更和修改而不背离本发明的范围和精神。此外，为了简洁起见省略了对众所周知功能和结构的描述。
以下描述和权利要求中所使用的术语和字词不限于字面的含义，而仅仅由发明人用于使得能够清楚和一致地理解本发明。因此，本领域技术人员显然可知，提供本发明的示范性实施例的以下描述仅仅用于说明目的，并不是为了限制如所附权利要求书及其等价物限定的本发明。
应当理解单数形式“一”、“一个”、和“该”包括复数个对象，除非上下文清楚地指示否定。于是，例如，“一个元件表面”包括对一个或多个这样的表面的引用。
借助术语“基本上”意味着所述特征、参数、或值不必确切地实现，而是可以以不排除特征意图提供的影响的数量发生包括例如公差、测量误差、测量精度限制以及本领域技术人员所知的其他因素的离差或偏差。
以下描述根据本发明的示范性实施例当移动终端(MT)的验证器在通信系统中被重定位时用于减少由可扩展验证协议(EAP)验证所引起的延迟的技术。
以下描述中，一旦从MT接收到链路层进入请求，验证器利用不同的验证器之前已经用于验证MT的验证参数与MT执行数据链路进入的过程。这里，假定该不同的验证器使用MT的验证参数。所述验证参数包括主会话密钥(MSK)和MSK的生命期。
以下描述中，前一验证器(PA)表示继续使用不同的验证器之前已经用于验证MT的验证参数的不同的验证器。于是，MT和验证、授权、和记帐(AAA)服务器在之前的时间期间通过PA已经执行了验证过程。PA包括MT的验证参数。
在执行AAA服务器和验证器与MT之间的验证的情况下，如下所述参照图2构建无线通信系统。
图2说明根据本发明的示范性实施例的无线通信系统的构造。
参考图2，所述无线通信系统包括AAA服务器200、接入网关(GW)210和220、基站(BS)212和222、以及MT 230。虽然图2中未示出，接入GW 210和220可以各自包括验证器。
当MT 230接入BS1 212时，MT 230通过GW1 210与AAA服务器200执行验证过程。MT 230和AAA服务器200通过包含在接入GW1 210中的验证器1执行验证过程。例如，当MT 230执行初始接入时，MT 230和AAA服务器200可以通过如上面的图1中所述的验证器1执行EAP验证。
当从AAA服务器200被验证的MT 230移动到BS2 220的服务区时，为MT 230提供服务的接入GW从接入GW1 210改变为接入GW2 220。于是，包含在接入GW2 220中的验证器2利用从验证器1获得的MT 230的验证参数执行对MT 230的验证过程。例如，验证器2参考图3执行如下所述的对MT 230的验证过程。验证器2利用从验证器1接收的用于MT 230的验证参数的散列值执行对MT 230的验证过程。
图3说明根据本发明的示范性实施例的在新验证器(NA)中验证MT的过程。
参考图3，在步骤301，NA确定是否执行MT的链路层进入的过程。例如，NA确定是否从完成物理层附着(attachment)的MT接收到链路层请求信号。
如果执行MT的链路层进入过程，则NA前进到步骤303并且识别MT的前一验证器(PA)。例如，NA可以通过从MT接收的链路层进入请求信号或切换请求信号识别PA。NA也可以通过从MT接收的位置更新请求信号来识别PA。NA也可以从MT接入的新BS接收关于MT的PA的信息。
在识别PA之后，NA前进到步骤305并且向MT的PA发送验证器重定位请求。例如，NA向PA发送包括尝试链路层进入的MT的媒体接入控制(MAC)层地址以及它自己的标识(ID)信息的验证器重定位请求信号。
在步骤307，验证器NA确定是否从PA接收到验证器重定位请求信号。如果从PA接收到验证器重定位请求信号，则NA前进到步骤309并且识别验证器重定位请求信号中的关于MT的验证信息。关于MT的验证信息包括：用于NA和AAA服务器的验证的随机参数1(PA_Nonce)、用于NA和PA的验证的随机参数2(NA_Nonce)、用于MT的验证参数的散列值(前一验证器校验码(PA_VC))、MT的ID信息等。例如，随机参数1可以给定为‘CMAC_KEY_COUNTER’。
在识别关于MT的验证信息后，NA前进到步骤311，并且向AAA服务器发送从PA接收的用于MT的验证参数的散列值。例如，NA向AAA服务器发送包含用于MT的验证参数的散列值、随机参数1、MT的ID信息、它自己的ID信息等的验证请求信号。
在步骤313，NA通过从AAA服务器接收的AAA响应信号确定AAA服务器是否接受它自己的验证请求。如果AAA服务器拒绝NA的验证请求，则NA认识到MT验证失败。从而，NA终止根据本发明的示范性实施例的过程。该情况下，NA可以参考图1执行如上所述对MT的EAP验证。
如果AAA服务器接受NA的验证请求，则NA前进到步骤315，并且为产生用于包含在AAA响应信号中的验证参数的散列值。例如，NA考虑在步骤309从PA接收的随机参数2利用一散列函数产生用于包含在AAA响应信号的验证参数的散列值。NA也可以利用包含在AAA响应信号中的验证参数产生用于产生散列值的密钥，然后考虑随机参数2利用散列函数产生用于该密钥的散列值。
在产生用于验证参数的散列值之后，NA前进到步骤317，并且向PA发送产生的用于验证参数的散列值。例如，NA向PA发送包含产生的用于验证参数的散列值的验证重定位完成请求信号。
在步骤319，NA确定是否从PA接收到验证器重定位完成响应信号。如果在预设时间期间没有从PA接收到验证器重定位完成响应信号，或者接收到验证器重定位完成失败信号，则NA认识到MT验证器重定位失败。因此，NA终止根据本发明的示范性实施例的过程。该情况下，验证器可以参考图1执行如上所述对MS的EAP验证。
如果从PA接收到验证器重定位响应信号，则NA认识到MT的数据链路进入成功。根据本发明的示范性实施例的过程于是结束。
如上所述，NA可以利用从PA接收的MT的验证参数验证MT。AAA服务器可以如下所述参考图4运行。
图4说明根据本发明的示范性实施例的AAA服务器中用于将MT的验证器(前一验证器)重定位到NA的过程。
参考图4，在步骤401，AAA服务器确定是否从NA接收到验证请求信号。如果从NA接收到验证请求信号，则AAA服务器前进到步骤403，并且识别包含在验证请求信号中的关于MT的验证信息。关于MT的验证信息包括用于MT的验证参数的散列值、随机参数1、MT的ID信息、发送验证请求信号的NA的ID信息等。例如，随机参数1可以被给定为‘CMAC_KEY_COUNTER’。
在步骤405，AAA服务器利用MT验证参数的散列值来确定是否接受NA的验证请求。例如，AAA服务器识别之前在通过MT的ID信号验证MT的时候所使用的验证参数。AAA服务器利用随机参数1产生之前在验证MT时所使用的验证参数的散列值。AAA服务器接下来将从NA接收的散列值与产生的散列值进行比较，并确定是否接受NA的验证请求。
如果从NA接收的散列值与产生的散列值不相同，则AAA服务器确定从NA接收的散列值无效，并确定AAA服务器不能接受NA的验证请求。从而，AAA服务器前进到步骤413，并将验证失败信息发送给NA。
如果从NA接收的散列值与产生的散列值相同，则AAA服务器确定从NA接收的散列值有效，并且接受NA的验证请求。从而，AAA服务器前进到步骤407并将验证成功信息发送给NA。所述验证成功信息包括之前在验证MT时已经被使用的验证参数、以及AAA服务器的地址信息。
在发送验证成功信息之后，AAA服务器前进到步骤409并且停止对MT的PA记帐。然后，当MT和NA完成链路层进入时，AAA服务器前进到步骤411，并且开始对在步骤401已经发送验证请求的NA记帐。然后，AAA服务器终止根据本发明的示范性实施例的过程。
在上述示范性实施方式中，AAA服务器利用随机参数1产生用于之前在验证MT时所使用的验证参数的散列值。在另一个示范性实施方式中，AAA服务器也可以利用之前在验证MT时所使用的验证参数产生用于产生散列值的密钥，利用随机参数1产生用于该密钥的散列值，将从NA接收的散列值与产生的散列值进行比较，并且确定是否接受NA的验证请求。
在上述示范性实施方式中，当AAA服务器接受NA的验证请求时，它发送验证成功信息，之后停止对PA记帐。在另一个示范性实施方式中，当AAA服务器接受NA的验证请求时，它也可以并行地执行发送验证成功信息的过程和停止对MT的PA记帐的过程。在另一个示范性实施方式中，当AAA服务器接受NA的验证请求时，它也可以停止对MT的PA的记帐，之后，发送验证成功信息。
下面描述在无线通信系统中重定位MT的验证器的过程。
图5说明根据本发明的示范性实施例的在无线通信系统中重定位MT的验证器的过程。虽然未说明，BS分别位于MT 500与第一和第二验证器510和520之间。第二验证器可以被看做是对应于以上所讨论的NA。
参考图5，在步骤541，通过第一验证器510为MT 500执行MT 500与归属AAA服务器530之间的验证过程。这里，假定MT 500与AAA服务器530之间的验证过程成功。
在步骤543，从AAA服务器530被验证的MT 500移动到不同的BS的服务区，并且执行与第二验证器520的物理层连接。在步骤545，第二验证器520将验证器重定位请求消息(RELOCATION_NOTIFY)发送给第一验证器510。验证器重定位请求消息(RELOCATION_NOTIFY)包括MT 500的MAC层地址(MT-MAC)和第二验证器520的ID信息(Authr-ID)。例如，第二验证器520通过从MT 500接收的链路层进入请求信号或者切换请求信号可以识别第一验证器510。第二验证器520也可以通过从MT 500接收的位置更新请求信号识别第一验证器510。第二验证器520也可以从MT 500接入的新BS接收关于第一验证器510的信息。第二验证器520将第一验证器510认做PA。
在步骤545中，一旦第一验证器510从第二验证器520接收到验证器重定位请求消息(RELOCATION_NOTIFY)，它产生用于MT 500的验证参数的散列值(PA_VC)。例如，第一验证器510考虑随机参数1利用一散列函数产生用于MT 500的验证参数的散列值(PA_VC)。第一验证器510也可以利用MT 500的验证参数产生用于产生散列值的密钥，然后考虑随机参数1(PA_Nonce)利用散列函数产生用于密钥的散列值(PA_VC)。MT 500的验证参数表示之前在第一验证器510验证MT 500时已经被使用的验证参数。随机参数1(PA_Nonce)可以被给定为‘CMAC_KEY_COUNTER’。
在产生散列值(PA_VC)之后，第一验证器510将验证器重定位响应消息(Relocation_Notify_Rsp)发送给第二验证器520。所述验证器重定位消息包括所产生的散列值(PA_VC)。例如，验证器重定位响应信息(Relocation_Notify_Rsp)包括关于MT的验证信息，诸如用于第二验证器520和AAA服务器530的验证的随机参数1、用于第一验证器510和第二验证器520的验证的随机参数2(NA_Nonce)、用于MT 500的验证参数的散列值(PA_VC)、MT 500的ID信息(USER_ID)等。
第二验证器520识别验证器重定位响应消息(Relocation Notify Rsp)中的关于MT 500的验证信息。关于MT 500的验证信息可以包括包含在验证器重定位响应消息(Relocation Notify Rsp)中的随机参数1(PA_Nonce)、随机参数2、用于MT 500的验证参数的散列值(PA_VC)、MT 500的ID信息(USER_ID)等。
在步骤549，第二验证器520向AAA服务器530发送包含用于MT 500的验证参数的散列值的AAA请求消息(半径接入-请求或直径WDER)。AAA请求消息包括用于MT500的验证参数的散列值、随机参数1(PA_Nonce)、MT 500的ID信息(USER_ID)、以及第二验证器520的ID信息(AUthr_ID)。
AAA服务器530确定从第二验证器520接收的用于MT 500的验证参数的散列值是否有效。例如，AAA服务器530通过包含在AAA请求消息(半径接入-请求或直径WDER)中的MT 500的ID信息(USER_ID)，识别之前在验证MT 500时所使用的验证参数。AAA服务器530利用包含在AAA请求消息(半径接入-请求或直径WDER)中的随机参数1(PA_Nonce)，产生用于之前在验证MT 500时所使用的验证参数的散列值。AAA服务器530然后将从第二验证器520接收的散列值(PA_VC)与产生的散列值进行比较，以确定从第二验证器520接收的散列值(PA_VC)是否有效。
如果从第二验证器520接收的散列值(PA_VC)与产生的散列值相同，则AAA服务器530确定从第二验证器520接收的散列值(PA_VC)有效。AAA服务器530然后接受第二验证器520的验证请求。
因此，在步骤551，AAA服务器530向第二验证器520发送包含MT 500的验证参数(例如，MSK)的AAA响应消息(半径接入-接受或直径WDER)。AAA响应消息包括MT 500的验证参数(例如，MSK)和AAA服务器的地址信息。
如果从第二验证器520接收的散列值(PA_VC)与产生的散列值不相同，则AAA服务器530确定从第二验证器520接收的散列值(PA_VC)无效。该情况下，AAA服务器530确定AAA服务器530不能接受第二验证器520的验证请求。因此，在步骤551，AAA服务器530向第二验证器520发送包含验证失败信息的AAA响应消息(半径接入-接受或直径WDER)。
用这种方式，第二验证器520通过从AAA服务器530接收的AAA响应消息来确定AAA服务器530是否接受验证。
当AAA服务器530接受验证时，第二验证器520产生用于包含在AAA响应消息(半径接入-接受或直径WDER)中的MT 500的验证参数的散列值(NA_VC)。例如，第二验证器520考虑从第一验证器510接收的随机参数2的利用一散列函数产生用于从AAA服务器530接收的验证参数的散列值(NA_VC)。第二验证器520也可以利用包含在AAA响应消息(半径接入-接受或直径WDER)中的MT 500的验证参数产生用于产生散列值的密钥，然后考虑从第一验证器510接收的随机参数2利用散列函数产生用于密钥的散列值(NA_VC)。
在步骤553，第二验证器520向第一验证器510发送包含用于MT 500的验证参数的散列值(NA_VC)的验证器重定位完成请求消息(Relocation_Complete_Req)。
第一验证器510确定从第二验证器520接收的用于MT 500的验证参数的散列值(NA_VC)是否有效。例如，第一验证器510考虑发送给第二验证器520的随机参数2利用一散列函数产生用于MT 500自身的验证参数的散列值。然后，第一验证器510将从第二验证器520接收的散列值(NA_VC)与产生的散列值进行比较，以确定从第二验证器520接收的用于MT 500的验证参数的散列值(NA_VC)的有效性。
如果从第二验证器520接收的散列值(NA_VC)与产生的散列值相同，则第一验证器510确定从第二验证器520接收的用于MT 500的验证参数的散列值(NA_VC)有效。因而，在步骤555，第一验证器510将验证器重定位完成响应消息(Relocation_Complete_Rsp)发送给第二验证器520。
当第一验证器510确定从第二验证器520接收的用于MT 500的验证参数散列值(NA_VC)有效时，它认识到第二验证器520从AAA服务器530被验证。因而，在步骤557，第一验证器510和AAA服务器530停止记帐处理器。
当从第一验证器510接收到验证器重定位完成响应消息(Relocation_Complete_Rsp)时，在步骤559，第二验证器520认识到MT 500数据链路进入成功。因此，在步骤561，第二验证器520和AAA服务器530启动记帐处理器。
在前面提及的示范性实施例中，假定PA使用MT的验证参数。然而，当PA不使用MT的验证参数时，PA也可以将验证器重定位失败信号发送给已经发送验证器重定位请求的验证器。
如上所述，通过在通信系统的验证器中利用不同的验证器曾经用于验证MT的验证参数来验证MT，本发明的示范性实施例具有能够减少由EAP验证所引发的时间延迟的优点。
应当理解本发明实施例可以以硬件、软件或软硬件组合的形式来实现。任何这种软件可以以易失或非易失存储的形式被存储，例如像ROM的存储设备，是否可擦除或可重写，或者以例如RAM、存储芯片、器件或集成电路的存储器形式，或者在例如CD、DVD、磁盘、磁带等的光或磁可读介质。应当理解存储设备和存储介质是适合于存储包含，如果被执行，实现本发明实施例的指令的程序的机器可读存储的实施例。因此，实施例提供包含用于实现如本说明的任何一个权利要求中所主张的装置或方法的代码的程序，以及存储这一程序的机器可读存储器。仍然进一步，这种程序可以经由例如被承载在有线或无线连接上的通信信号以及适于包含它的实施例的任何介质，以电子形式被传输。
本说明书通篇的描述和权利要求，单词“包含”的意思是“包括但不限于”，它不排除其他的分支、附加、成分、整数或步骤。
本说明书通篇的描述和权利要求，单数包含复数，除非上下文否定。特别是，不定冠词被使用，本说明书应当被理解为思考复数以及单数，除非上下文要求否定。
结合本发明的特定方面、实施例或实例所描述的特点、整体、特征、成分、化学分支或组应当被理解为适合于这里所描述的任何其他方面、实施例或实例，除非不兼容。
还应当理解，本说明书通篇的描述和权利要求，一般语言形式“用于Y的X”(其中，Y是一些动作、行为或步骤，而X是执行动作、行为或步骤的一些手段)包括X被特别适应或安排来做Y的意思。
虽然已经参考某些示范性实施例说明和描述了本发明，但本领域技术人员应当理解，可以在形式和细节上对其进行各种改变而不背离如所附权利要求书及其等价物限定的本发明的精神和范围。

Claims (18)

1.一种在通信系统中验证移动站MS(500)的方法，该方法包括：
从第二验证器(520)向第一验证器(510)发送(305)第一消息(545)，其中第一消息(545)包含第二验证器(520)的ID信息；
响应于第一消息(545)，从第一验证器(510)向第二验证器(520)发送第二消息(547)，其中第二消息(547)包含第一散列值、第一随机参数、和第二随机参数，第一散列值是使用第一随机参数基于一散列函数产生的；
从第二验证器(520)向验证、授权、和记帐AAA服务器(530)发送(311)第三消息(549)，其中第三消息(549)包含第一散列值、第一随机参数、和第二验证器(520)的ID信息；
在AAA服务器(530)中，确定(405)第一散列值的有效性；
当AAA服务器(530)确定第一散列值有效时，响应于第三消息(549)，从AAA服务器(530)向第二验证器(520)发送(407)第四消息(551)，其中第四消息(551)包含MS(500)的验证参数；
从第二验证器(520)向第一验证器(510)发送(317)第五消息(553)，其中第五消息(553)包含第二散列值，第二散列值是使用第二随机参数基于一散列函数产生的；
在第一验证器(510)中，确定第二散列值的有效性；
响应于第五消息(553)，从第一验证器(510)向第二验证器(520)发送第六消息(555)。
2.如权利要求1所述的方法，其中，确定(405)第一散列值的有效性包括：
在AAA服务器(530)中，识别之前在验证MS(500)时所使用的验证信息；
使用从第二验证器(520)接收的第一随机参数和所识别的验证信息基于一散列函数在AAA服务器(530)中产生第三散列值；以及
在AAA服务器(530)中，将第一散列值与第三散列值进行比较，并且基于比较结果来确定第一散列值的有效性。
3.如权利要求1所述的方法，其中，确定第二散列值的有效性包括：
在第一验证器(510)中，使用第二随机参数基于一散列函数产生第四散列值；以及
在第一验证器(510)中，将第二散列值与第四散列值进行比较并确定第二散列值的有效性。
4.如权利要求1所述的方法，其中，第一验证器(510)包括验证器，当MS(500)在接入第二验证器(520)的物理层之前已经从AAA服务器(530)被验证时，MS(500)和AAA服务器(530)通过该验证器进行通信用于验证。
5.如权利要求1所述的方法，其中，第一随机参数包括‘CMAC_KEY_COUNTER’。
6.一种验证移动站MS(500)的通信系统，该系统包括：
第二验证器(520)；
第一验证器(510)；以及
验证、授权、和记帐AAA服务器(530)，
第二验证器(520)被配置为向第一验证器(510)发送第一消息(545)，其中第一消息(545)包含第二验证器(520)的ID信息，
第一验证器(510)被配置为响应于第一消息(545)向第二验证器(520)发送第二消息(547)，其中第二消息(547)包含第一散列值、第一随机参数、和第二随机参数，第一散列值是使用第一随机参数基于一散列函数产生的，
第二验证器(520)被配置为向验证、授权、和记帐AAA服务器(530)发送第三消息(549)，其中第三消息(549)包含第一散列值、第一随机参数、和第二验证器(520)的ID信息，
AAA服务器(530)被配置为确定第一散列值的有效性，
AAA服务器(530)被配置为，当确定第一散列值有效时，向第二验证器(520)发送第四消息(551)，其中第四消息(551)包含MS(500)的验证参数，
第二验证器(520)被配置为第一验证器(510)发送第五消息(553)，其中第五消息(553)包含第二散列值，第二散列值是使用第二随机参数基于一散列函数产生的；
第一验证器(510)被配置为确定第二散列值的有效性，
第一验证器(510)被配置为，响应于第五消息(553)，向第二验证器(520)发送第六消息(555)。
7.如权利要求6所述的系统，其中，第一验证器(510)包括验证器，当MS(500)在接入第二验证器(520)的物理层之前已经从AAA服务器(530)被验证时，MS(500)和AAA服务器(530)通过该验证器进行通信用于验证。
8.如权利要求6所述的系统，其中，第一随机参数包括‘CMAC_KEY_COUNTER’。
9.如权利要求6所述的系统，其中，在确定第一散列值有效时，AAA服务器(530)被配置为，利用从第二验证器(520)接收的第一随机参数基于一散列函数产生用于之前在验证MS(500)时所使用的验证信息的第三散列值，将第一散列值与第三散列值进行比较，并且基于比较结果确定第一散列值的有效性。
10.如权利要求6所述的系统，其中，第一验证器(510)被配置为，利用第二随机参数基于一散列函数产生第四散列值，将第二散列值与第四散列值进行比较，并且基于比较结果确定第二散列值的有效性。
11.一种在第二验证器(520)中验证移动站MS(500)的方法，该方法包括：
向第一验证器(510)发送(305)第一消息(545)，其中第一消息(545)包含第二验证器(520)的ID信息；
当从第二验证器(520)接收第二消息(547)时，识别第二消息(547)中的第一散列值、第一随机参数、和第二随机参数，其中第一散列值是使用第一随机参数基于一散列函数产生的；
向验证、授权、和记帐AAA服务器(530)发送(311)第三消息(549)，其中第三消息(549)包含第一散列值、第一随机参数、和第二验证器(520)的ID信息；
当从AAA服务器(530)接收第四消息(551)时，识别第四消息(551)中的MS(500)的验证参数；
向第一验证器(510)发送(317)第五消息(553)，其中第五消息(553)包含第二散列值，第二散列值是使用第二随机参数基于一散列函数产生的；以及
响应于第五消息(553)从第一验证器(510)接收第六消息(555)。
12.如权利要求11所述的方法，进一步包括：
在发送(305)第一消息(545)之前，识别第一验证器(510)。
13.如权利要求11所述的方法，其中，第一验证器(510)包括验证器，当MS(500)在接入第二验证器(520)的物理层之前已经从AAA服务器(530)被验证时，MS(500)和AAA服务器(530)通过该验证器进行通信用于验证。
14.如权利要求11所述的方法，其中，第一随机参数包括‘CMAC_KEY_COUNTER’。
15.如权利要求11所述的方法，进一步包括：
在发送(317)第五消息(553)之后，当从第一验证器(510)接收第六消息(555)时，认识到(319)MS(500)数据链路进入成功。
16.一种在验证、授权、和记帐AAA服务器(530)中验证移动站MS(500)的方法，该方法包括：
当从验证器(520)接收第一消息(549)时，识别第一消息(549)中的第一散列值、第一随机参数、和验证器(520)的ID信息，其中第一散列值是使用第一随机参数基于一散列函数产生的；
确定(405)第一散列值的有效性；
当第一散列值有效时，响应于第一消息(549)，向验证器(520)发送(407)第二消息(551)，其中第二消息(551)包含MS(500)的验证参数。
17.如权利要求16所述的方法，其中，确定第一散列值的有效性包括：
识别之前在验证MS(500)时所使用的验证信息；
使用从验证器(520)接收的第一随机参数和所识别的验证信息基于一散列函数产生第二散列值；以及
将第一散列值与第二散列值进行比较，并且基于比较结果来确定第一散列值的有效性。
18.如权利要求16所述的方法，其中，第一随机参数包括‘CMAC_KEY_COUNTER’。
CN201080011209.8A 2009-03-10 2010-03-10 通信系统中用于验证的方法和系统 Expired - Fee Related CN102349320B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
KR10-2009-0020318 2009-03-10
KR1020090020318A KR101655264B1 (ko) 2009-03-10 2009-03-10 통신시스템에서 인증 방법 및 시스템
PCT/KR2010/001487 WO2010104325A2 (en) 2009-03-10 2010-03-10 Method and system for authenticating in a communication system

Publications (2)

Publication Number Publication Date
CN102349320A CN102349320A (zh) 2012-02-08
CN102349320B true CN102349320B (zh) 2015-02-04

Family

ID=42153777

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201080011209.8A Expired - Fee Related CN102349320B (zh) 2009-03-10 2010-03-10 通信系统中用于验证的方法和系统

Country Status (6)

Country Link
US (1) US9161217B2 (zh)
EP (1) EP2229018B1 (zh)
JP (1) JP5843616B2 (zh)
KR (1) KR101655264B1 (zh)
CN (1) CN102349320B (zh)
WO (1) WO2010104325A2 (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8443431B2 (en) * 2009-10-30 2013-05-14 Alcatel Lucent Authenticator relocation method for WiMAX system
CN102196439B (zh) * 2010-03-17 2016-08-03 中兴通讯股份有限公司 一种处理鉴权器重定位请求的方法及系统
CA2758429C (en) * 2010-11-15 2017-05-30 Research In Motion Limited Cross-component message encryption
US8910261B2 (en) * 2012-09-28 2014-12-09 Alcatel Lucent Radius policy multiple authenticator support
US9509693B2 (en) * 2013-12-19 2016-11-29 Alcatel Lucent Flexible and generalized authentication
KR20160131744A (ko) 2015-05-08 2016-11-16 임용훈 사용자 인증을 위한 장치 및 방법
KR101746598B1 (ko) 2015-09-08 2017-06-13 임용훈 사용자 인증을 위한 장치
WO2016039568A1 (ko) * 2014-09-11 2016-03-17 임용훈 사용자 인증을 위한 장치 및 방법
KR20160150097A (ko) 2016-12-21 2016-12-28 임용훈 사용자 인증을 위한 장치 및 방법

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1628449A (zh) * 2002-06-20 2005-06-15 诺基亚公司 传送计费信息的方法、系统和设备
US20070118885A1 (en) * 2005-11-23 2007-05-24 Elrod Craig T Unique SNiP for use in secure data networking and identity management

Family Cites Families (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6151676A (en) * 1997-12-24 2000-11-21 Philips Electronics North America Corporation Administration and utilization of secret fresh random numbers in a networked environment
GB9903124D0 (en) * 1999-02-11 1999-04-07 Nokia Telecommunications Oy An authentication method
GB9922847D0 (en) 1999-09-27 1999-11-24 Simoco Int Ltd Radio communications
US6587680B1 (en) 1999-11-23 2003-07-01 Nokia Corporation Transfer of security association during a mobile terminal handover
FI20000760A0 (fi) * 2000-03-31 2000-03-31 Nokia Corp Autentikointi pakettidataverkossa
US7469341B2 (en) * 2001-04-18 2008-12-23 Ipass Inc. Method and system for associating a plurality of transaction data records generated in a service access system
US7900242B2 (en) * 2001-07-12 2011-03-01 Nokia Corporation Modular authentication and authorization scheme for internet protocol
JP3870081B2 (ja) 2001-12-19 2007-01-17 キヤノン株式会社 通信システム及びサーバ装置、ならびに制御方法及びそれを実施するためのコンピュータプログラム、該コンピュータプログラムを格納する記憶媒体
KR100447336B1 (ko) * 2002-07-22 2004-09-07 에스케이 텔레콤주식회사 고속 패킷 데이터의 한도관리방법
KR100480258B1 (ko) 2002-10-15 2005-04-07 삼성전자주식회사 무선 근거리 네트워크에서 고속 핸드오버를 위한 인증방법
KR100448318B1 (ko) * 2002-11-08 2004-09-16 삼성전자주식회사 무선망에서의 핸드오프방법
KR100483008B1 (ko) * 2002-12-24 2005-04-15 한국전자통신연구원 초고속 통신 시스템에서 패스트 핸드오프에 의한 트래픽서비스의 제어방법
WO2004077205A2 (en) * 2003-02-26 2004-09-10 Nokia Corporation A method of reducing denial-of-service attacks and a system as well as an access router therefor
US20060185013A1 (en) * 2003-06-18 2006-08-17 Telefonaktiebolaget Lm Ericsson (Publ) Method, system and apparatus to support hierarchical mobile ip services
US7908484B2 (en) * 2003-08-22 2011-03-15 Nokia Corporation Method of protecting digest authentication and key agreement (AKA) against man-in-the-middle (MITM) attack
US7461248B2 (en) * 2004-01-23 2008-12-02 Nokia Corporation Authentication and authorization in heterogeneous networks
US7546459B2 (en) * 2004-03-10 2009-06-09 Telefonaktiebolaget L M Ericsson (Publ) GSM-like and UMTS-like authentication in a CDMA2000 network environment
US9654963B2 (en) * 2004-07-01 2017-05-16 Qualcomm Incorporated Dynamic assignment of home agent and home address in wireless communications
JP4468449B2 (ja) * 2004-08-26 2010-05-26 株式会社エヌ・ティ・ティ・ドコモ セキュアハンドオーバをサポートする方法および装置
US7450531B2 (en) * 2004-10-26 2008-11-11 Cisco Technology, Inc. System and method for allocating and distributing end user information in a network environment
KR100843072B1 (ko) * 2005-02-03 2008-07-03 삼성전자주식회사 무선 네트워크 시스템 및 이를 이용한 통신 방법
FI20050393A0 (fi) 2005-04-15 2005-04-15 Nokia Corp Avainmateriaalin vaihto
WO2006124030A1 (en) 2005-05-16 2006-11-23 Thomson Licensing Secure handoff in a wireless local area network
US8353011B2 (en) * 2005-06-13 2013-01-08 Nokia Corporation Apparatus, method and computer program product providing mobile node identities in conjunction with authentication preferences in generic bootstrapping architecture (GBA)
WO2007004051A1 (en) * 2005-07-06 2007-01-11 Nokia Corporation Secure session keys context
JP4699145B2 (ja) 2005-09-06 2011-06-08 Ｋｄｄｉ株式会社 ネットワーク認証システム、認証装置、無線端末及びコンピュータプログラム
US7626963B2 (en) * 2005-10-25 2009-12-01 Cisco Technology, Inc. EAP/SIM authentication for mobile IP to leverage GSM/SIM authentication infrastructure
US8239671B2 (en) * 2006-04-20 2012-08-07 Toshiba America Research, Inc. Channel binding mechanism based on parameter binding in key derivation
KR100907825B1 (ko) * 2006-12-04 2009-07-14 한국전자통신연구원 이종 무선망 연동 시스템에서 로밍에 필요한 인증 방법
US9225518B2 (en) * 2006-12-08 2015-12-29 Alcatel Lucent Method of providing fresh keys for message authentication
US8462947B2 (en) 2006-12-19 2013-06-11 Telefonaktiebolaget L M Ericsson (Publ) Managing user access in a communications network

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1628449A (zh) * 2002-06-20 2005-06-15 诺基亚公司 传送计费信息的方法、系统和设备
US20070118885A1 (en) * 2005-11-23 2007-05-24 Elrod Craig T Unique SNiP for use in secure data networking and identity management

Also Published As

Publication number Publication date
US9161217B2 (en) 2015-10-13
KR20100101887A (ko) 2010-09-20
EP2229018A1 (en) 2010-09-15
JP5843616B2 (ja) 2016-01-13
US20100232606A1 (en) 2010-09-16
WO2010104325A2 (en) 2010-09-16
EP2229018B1 (en) 2018-06-06
JP2012520601A (ja) 2012-09-06
WO2010104325A3 (en) 2010-12-09
CN102349320A (zh) 2012-02-08
KR101655264B1 (ko) 2016-09-07

Similar Documents

Publication Publication Date Title
CN102349320B (zh) 通信系统中用于验证的方法和系统
US9032485B2 (en) Anchor authenticator relocation method and system
JP4801147B2 (ja) 証明を配送するための方法、システム、ネットワーク・ノード及びコンピュータ・プログラム
JP4965671B2 (ja) 無線通信ネットワークにおけるユーザ・プロファイル、ポリシー及びｐｍｉｐキーの配布
CN101213784B (zh) 用于刷新成对的主密钥的方法
EP2207301B1 (en) An authentication method for request message and the apparatus thereof
US10477397B2 (en) Method and apparatus for passpoint EAP session tracking
US20080294891A1 (en) Method for Authenticating a Mobile Node in a Communication Network
KR20070110178A (ko) 통신 시스템에서 인증 시스템 및 방법
CN101304319A (zh) 移动通信网络以及用于认证其中的移动节点的方法和装置
KR101718096B1 (ko) 무선통신 시스템에서 인증방법 및 시스템
KR100876556B1 (ko) 무선 액세스 망에서 핸드오버 지원을 위한 통합 인증 방법및 시스템
US20110126015A1 (en) Sink authentication system and method using mobile communication network
US8516555B2 (en) Method and system for authenticating pay-per-use service using EAP
KR100740863B1 (ko) 무선통신 시스템에서 확장된 인증 프로토콜 기반의 인증방법 및 시스템
US9485652B2 (en) Method and system for managing mobility of mobile station in a mobile communication system using mobile IP
KR101329150B1 (ko) Ｐａｎａ 인증 방법 및 장치
CN110226319A (zh) 用于紧急接入期间的参数交换的方法和设备
CN101123815B (zh) 微波存取全球互通移动IPv4中归属代理根密钥同步的方法
WO2019141135A1 (zh) 支持无线网络切换的可信服务管理方法以及装置
KR101266931B1 (ko) Ａａａ 프로토콜을 기반으로 하는 통합 보안인증 체계의 구축을 통한 보안인증 방법
CN101707775A (zh) 移动ip用户认证方法、系统和代理服务器

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20150204

CF01 Termination of patent right due to non-payment of annual fee