CN102474516A

CN102474516A - 用于经由可信网络对不可信网络进行验证的装置、方法和设备

Info

Publication number: CN102474516A
Application number: CN2010800333048A
Authority: CN
Inventors: 埃里克·比朗热
Original assignee: Qualcomm Inc
Current assignee: Qualcomm Inc
Priority date: 2009-07-31
Filing date: 2010-07-29
Publication date: 2012-05-23
Anticipated expiration: 2030-07-29
Also published as: WO2011014698A1; JP2013500689A; KR101385812B1; CN102474516B; KR20120047989A; EP2460334A1; US20110030039A1; JP2014060784A

Abstract

所描述的设备和方法可包含安全代理，所述安全代理经配置以经由可信网络传输第一服务请求消息且经由所述可信网络获取认证信息。所述安全代理经进一步配置以经由不可信网络传输第二服务请求消息，其中所述第二服务请求消息包括所述认证信息。所述安全代理经进一步配置以基于所述第二服务请求消息中的所述认证信息经由所述不可信网络接收服务。

Description

用于经由可信网络对不可信网络进行验证的装置、方法和设备

技术领域

以下描述一般来说涉及无线通信，且更具体来说涉及经由可信网络对不可信网络的验证。

背景技术

无线通信系统经广泛部署以提供各种类型的通信内容，例如语音、数据等。这些系统可为能够通过共享可用系统资源(例如，带宽和传输功率)而支持与多个用户的通信的多址系统。所述多址系统的实例包含码分多址(CDMA)系统、时分多址(TDMA)系统、频分多址(FDMA)系统、第三代合作伙伴计划(3GPP)长期演进(LTE)系统以及正交频分多址(OFDMA)系统。

能够与多址系统通信的移动装置还可操作以与局域(例如，个人)数据网(例如，802.11(Wi-Fi)、IEEE 802.16(WiMAX)、无线局域网(LAN)以及蓝牙)通信，以便接入因特网上可用的服务。所述网络可被称作“不可信网络”，因为移动装置接入所述网络可能不需要信任关系或信任级别。

另外，用于移动装置的数据服务可经由所述移动装置保持订用的移动运营商而为可用的。当接入这些服务时，由于移动运营商与服务提供商之间已建立的关系，移动装置可能需要经由移动运营商来执行关于服务的事务。在一些情况下，经由局域数据网(例如，Wi-Fi热点)可能不会准许所述事务，因为所述局域数据网未将移动装置验证为移动运营商的订户。因此，用户可能需要经由移动运营商网络接入服务提供商的服务，在许多情况下，移动运营商网络比许多不可信数据网更耗费成本且具有较少的带宽容量。

解决这个问题的一种技术是初始化手动验证程序，所述手动验证程序需要移动装置的用户输入用户名和密码以便经由不可信局域数据网接入服务提供商的服务。然而，这种方法给事务处理增加了复杂性级别，这对用户来说可能过于繁重。

因此，需要改进对不可信网络(例如，局域数据网)的验证。

发明内容

下文呈现一个或一个以上方面的简化概述以便提供对所述方面的基本理解。此概述并非所有预期方面的广泛综述，且既不意欲识别所有方面的关键或重要元素，也不意欲描绘任何或所有方面的范围。其唯一目的为以简化形式呈现一个或一个以上方面的一些概念作为稍后呈现的更详细描述的序言。

根据本发明的一方面，提供一种用于经由可信网络在不可信网络上验证移动装置的方法。所述方法包含由移动装置经由可信网络传输第一服务请求消息且经由可信网络获取认证信息。所述方法进一步包含经由不可信网络传输第二服务请求消息，其中所述第二服务请求消息包括所述认证信息。所述方法进一步包含基于所述第二服务请求消息中的认证信息经由不可信网络接收服务。

根据本发明的另一方面，提供一种无线通信设备。所述设备包含安全代理，所述安全代理经配置以经由可信网络传输第一服务请求消息且经由可信网络获取认证信息。所述安全代理经进一步配置以经由不可信网络传输第二服务请求消息，其中所述第二服务请求消息包括所述认证信息。所述安全代理经进一步配置以基于所述第二服务请求消息中的认证信息经由不可信网络接收服务。

根据本发明的另一方面，提供另一种设备。所述设备包含用于由移动装置经由可信网络传输第一服务请求消息的装置以及用于经由可信网络获取认证信息的装置。所述设备进一步包含用于经由不可信网络传输第二服务请求消息的装置，其中所述第二服务请求消息包括所述认证信息。所述设备进一步包含用于基于所述第二服务请求消息中的认证信息经由不可信网络接收服务的装置。

根据本发明的又一方面，提供一种包含计算机可读媒体的计算机程序产品。所述计算机可读媒体包含用于使计算机由移动装置经由可信网络传输第一服务请求消息的至少一个指令。所述计算机可读媒体进一步包含用于使所述计算机经由可信网络获取认证信息的至少一个指令。此外，所述计算机可读媒体包含用于使所述计算机经由不可信网络传输第二服务请求消息的至少一个指令，其中所述第二服务请求消息包含所述认证信息。所述计算机可读媒体进一步包含用于使所述计算机基于所述第二服务请求消息中的认证信息经由不可信网络接收服务的至少一个指令。

根据本发明的又一方面，提供一种无线通信设备。所述无线通信设备包含至少一个处理器，所述至少一个处理器经配置以由移动装置经由可信网络传输第一服务请求消息且经由可信网络获取认证信息。所述至少一个处理器经进一步配置以经由不可信网络传输第二服务请求消息，其中所述第二服务请求消息包含所述认证信息。所述至少一个处理器经进一步配置以基于所述第二服务请求消息中的认证信息经由不可信网络接收服务。

根据本发明的又一方面，提供一种用于经由可信网络在不可信网络上验证移动装置的方法。所述方法包含在服务提供商处经由可信网络接收第一服务请求消息以及产生认证信息。所述方法进一步包含经由可信网络传输所述认证信息以及经由不可信网络接收第二服务请求消息，其中所述第二服务请求消息包括所述认证信息。所述方法进一步包含基于所述第二服务请求消息中的认证信息经由不可信网络传输服务。

根据本发明的又一方面，提供一种无线通信设备。所述无线通信设备包含服务提供商，所述服务提供商经配置以经由可信网络接收第一服务请求消息以及产生认证信息。所述服务提供商经进一步配置以经由可信网络传输所述认证信息以及经由不可信网络接收第二服务请求消息，其中所述第二服务请求消息包括所述认证信息。所述服务提供商经进一步配置以基于所述第二服务请求消息中的认证信息经由不可信网络传输服务。

根据本发明的又一方面，提供一种设备。所述设备包含用于在服务提供商处经由可信网络接收第一服务请求消息的装置以及用于产生认证信息的装置。所述设备进一步包含用于经由可信网络传输所述认证信息的装置以及用于经由不可信网络接收第二服务请求消息的装置，其中所述第二服务请求消息包括所述认证信息。所述设备中进一步包含用于基于所述第二服务请求消息中的认证信息经由不可信网络传输服务的装置。

根据本发明的又一方面，提供一种包含计算机可读媒体的计算机程序产品。所述计算机可读媒体包含用于使计算机在服务提供商处经由可信网络接收第一服务请求消息的至少一个指令，以及用于使所述计算机产生认证信息的至少一个指令。所述计算机可读媒体进一步包含用于使所述计算机经由可信网络传输所述认证信息的至少一个指令以及用于使所述计算机经由不可信网络接收第二服务请求消息的至少一个指令，其中所述第二服务请求消息包括所述认证信息。此外，所述计算机可读媒体包含用于使所述计算机基于所述第二服务请求消息中的认证信息经由不可信网络传输服务的至少一个指令。

根据本发明的又一方面，提供一种无线通信设备。所述设备包含至少一个处理器，所述至少一个处理器经配置以经由可信网络接收第一服务请求消息以及产生认证信息。所述至少一个处理器经进一步配置以经由可信网络传输所述认证信息以及经由不可信网络接收第二服务请求消息，其中所述第二服务请求消息包括所述认证信息。此外，所述至少一个处理器经配置以基于所述第二服务请求消息中的认证信息经由不可信网络传输服务。

为实现前述目标和相关目标，所述一个或一个以上方面包括在下文中充分描述且在权利要求书中特别指出的特征。以下描述和附图详细陈述所述一个或一个以上方面的某些说明性特征。然而，这些特征仅指示可使用各个方面的原理的各种方式中的少数方式，且这个描述意欲包含所有所述方面以及其等效物。

附图说明

将在下文结合附图来描述所揭示方面，附图经提供以说明所揭示方面且不限制所揭示方面，其中类似名称表示类似元件，且其中：

图1是说明根据一方面的用于利用可信网络来验证经由不可信网络接入服务提供商的移动装置的实例系统的框图；

图2是根据一方面的促进经由可信网络对不可信网络的验证的实例移动装置的框图；

图3是根据一方面的产生供移动装置使用的认证信息的实例系统的框图；

图4是说明根据一方面的从移动装置观点来看的优选网络验证过程的实例的流程图；

图5是说明根据一方面的从服务提供商观点来看的优选网络验证过程的实例的流程图；

图6是根据一方面的从移动装置观点来看的经由可信网络在不可信网络上执行移动装置的验证的实例系统的说明；以及

图7是根据一方面的从服务提供商观点来看的经由可信网络在不可信网络上执行移动装置的验证的实例系统的说明。

具体实施方式

根据本发明的一个或一个以上方面，通信系统可经配置以通过可信网络(例如，移动运营商等)验证不可信网络(例如，局域网(LAN)等)上的移动装置，使得所述移动装置可经由不可信网络而非成本更高的可信网络从服务提供商处接收服务。

在一方面中，所述验证可通过经由可信网络从服务提供商处获得认证信息且接着使用所述认证信息来跨越不可信网络从服务提供商处接收服务来实现。

现在参看图式来描述各个方面。在以下描述中，出于阐释的目的，陈述众多特定细节以便提供对一个或一个以上方面的透彻理解。然而，可明显地看出，所述方面可在没有这些特定细节的情况下得以实践。

如本申请案中所使用，术语“组件”、“模块”、“系统”等意欲包含计算机相关实体，例如(但不限于)硬件、固件、硬件与软件的组合、软件，或执行中的软件。举例来说，组件可为(但不限于为)在处理器上运行的进程、处理器、对象、可执行文件、执行线程、程序和/或计算机。作为说明，在计算装置上运行的应用程序与计算装置两者均可为组件。一个或一个以上组件可驻留在一个进程和/或执行线程内，且组件可局部化在一个计算机上和/或分布于两个或两个以上计算机之间。另外，这些组件可从上面存储有各种数据结构的各种计算机可读媒体执行。所述组件可(例如)根据具有一个或一个以上数据包的信号(例如来自一个借助所述信号与本地系统、分布式系统中的另一个组件交互和/或跨越例如因特网的网络与其它系统交互的组件的数据)通过本地和/或远程进程进行通信。

此外，本文中结合终端来描述各个方面，终端可以是有线终端或无线终端。终端也可称为系统、装置、订户单元、订户站、移动台、移动设备、移动装置、远程站、远程终端、接入终端、用户终端、终端、通信装置、用户代理、用户装置或用户设备(UE)。无线终端可以是蜂窝式电话、卫星电话、无绳电话、会话起始协议(SIP)电话、无线本地环路(WLL)站、个人数字助理(PDA)、具有无线连接能力的手持式装置、计算装置，或连接到无线调制解调器的其它处理装置。此外，本文中结合基站来描述各个方面。基站可用于与无线终端通信，且也可称为接入点、节点B或某一其它术语。

此外，术语“或”希望表示包括性“或”而非独占式“或”。即，除非另有指定或从上下文清楚地看出，否则短语“X使用A或B”希望表示自然包括性排列中的任一者。即，以下例子中的任一者均满足短语“X使用A或B”：X使用A；X使用B；或X使用A及B两者。另外，如本申请案和所附权利要求书中所使用的冠词“一”通常应被理解成表示“一个或一个以上”，除非另有指定或从上下文清楚地看出其是针对单数形式。

本文中所描述的技术可用于各种无线通信系统，例如CDMA、TDMA、FDMA、OFDMA、SC-FDMA以及其它系统。术语“系统”与“网络”常可互换使用。CDMA系统可实施例如通用陆地无线电接入(UTRA)、cdma2000等无线电技术。UTRA包含宽带CDMA(W-CDMA)和其它CDMA变体。另外，cdma2000涵盖IS-2000、IS-95和IS-856标准。TDMA系统可实施例如全球移动通信系统(GSM)等无线电技术。OFDMA系统可实施例如演进UTRA(E-UTRA)、超移动宽带(UMB)、IEEE 802.11(Wi-Fi)、IEEE 802.16(WiMAX)、IEEE 802.20、Flash-OFDM等无线电技术。UTRA和E-UTRA为通用移动电信系统(UMTS)的部分。3GPP长期演进(LTE)是使用E-UTRA的UMTS的版本，其在下行链路上采用OFDMA且在上行链路上采用SC-FDMA。UTRA、E-UTRA、UMTS、LTE和GSM描述于来自名为“第三代合作伙伴计划”(3GPP)的组织的文献中。另外，cdma2000和UMB描述于来自名为“第三代合作伙伴计划2”(3GPP2)的组织的文献中。另外，所述无线通信系统可另外包含对等(例如，移动对移动)特设网络系统，其常使用非成对的非许可频谱、802.xx无线LAN、BLUETOOTH和任何其它短程或长程无线通信技术。

将按可包含许多装置、组件、模块等的系统来呈现各个方面或特征。应理解且了解，各个系统可包含额外装置、组件、模块等，和/或可不包含结合各图论述的所有装置、组件、模块等。也可使用这些方法的组合。

另外，在本描述中，词语“示范性”用以表示充当实例、例子或说明。任何在本文中被描述为“示范性”的方面或设计不一定被理解为比其它方面或设计优选或有利。事实上，词语示范性的使用希望以具体方式来呈现概念。

图1是说明根据一方面的系统100的框图，系统100经配置以利用可信网络102来向移动装置102提供经由不可信网络106对服务提供商108的安全接入。如图1中所示，移动装置102可与可信网络104和不可信网络106建立通信。可信网络104和不可信网络106可又代表移动装置102与服务提供商108建立通信。移动装置102可以是至少具有蜂窝式通信能力和无线数据通信能力(例如，Wi-Fi、WiMax、蓝牙等)的无线装置。可信网络104可以是无线装置102是其经授权订户的网络，例如但不限于蜂窝式运营商网络。不可信网络106可以是能够向移动装置102提供数据接入的任何网络，例如局域网(LAN)、因特网协议(IP)网络、Wi-Fi、WiMax、蓝牙，或因特网/网站接入点名称(APN)等等。服务提供商108可以是位于因特网或能够向移动装置102提供某类数据服务(例如，银行、商业等)的任何其它网络上的数据服务器。

在操作期间，在一方面中，当移动装置102的用户或操作者希望接入由服务提供商108提供的服务(例如，天气窗口小部件等)时，用户可起始移动装置102上的程序以接入所述服务。移动装置102可以自动地检测可用的网络。举例来说，如图1中所示，可信网络104和不可信网络106可以是可用于移动装置102的网络。移动装置102可基于指示网络的当前状态(例如，可信或不可信)的所存储信息来确定侦测到的网络的状态是可信的还是不可信的。所述信息可(例如)存储在移动装置102的存储器中。如果侦测到的网络的状态不存储在移动装置102中，那么移动装置102可通过任何合适手段从服务提供商108处获得侦测到的网络的状态。基于网络可用性，移动装置102可接着确定与服务提供商108通信的路线。所述通信路线可以是经由可信网络104或是经由不可信网络106。

在确定通信路线的过程中，移动装置102可实施合适的算法以比较可信网络104与不可信网络106的各种通信参数，且选择具有更优选的通信参数的网络。举例来说，如果不可信网络与可信网络相比成本较低，具有较强的信号，和/或提供较好质量的服务，那么移动装置可自动地决定经由不可信网络接入服务。或者，用户也可手动地配置移动装置102以自动地选择不可信网络106来与服务提供商108通信。举例来说，如果不可信网络106是支持Wi-Fi连接性的用户的个人无线LAN，且可信网络104是用户为其订户的蜂窝式运营商网络，那么用户可能会偏好经由不可信网络106接入服务提供商108的服务，因为不可信网络106具有较大的数据传送速率以及成本较少的连接费用。

在一方面中，在移动装置102经配置以经由不可信网络106接入服务提供商108之后，移动装置可确定其是否已从服务提供商108处获取会话令牌，会话令牌包含认证信息或另外被称作认证信息。会话令牌可以是将移动装置102识别为可信网络104的订户的数据信息，所述可信网络104授权移动装置102接入服务提供商108的服务。如果移动装置102尚未获取会话令牌，或已获取的会话令牌已期满，那么移动装置102可经由可信网络104将第一请求消息传输给服务提供商108。所述第一请求消息可以按任何合适格式(例如，超文本传输协议(HTTP)、传输控制协议(TCP)、用户数据报协议(UDP)等)传输给服务提供商108以请求对服务的接入。

在接收到第一请求消息之后，可信网络104即可检验第一请求消息是从可信网络104的订户发出，且授权移动装置102建立与服务提供商108的数据连接。一旦检验了身份和数据接入特权，可信网络104便可用额外信息来修改从移动装置102接收到的第一请求消息，使得服务提供商108可以将包含所述额外信息的后续消息辨别为属于可信网络104的经授权订户。举例来说，在一方面中，可信网络104可通过插入具有移动装置102的移动系统国际订户识别码(MSISDN)的额外标头来修改所述第一请求消息。

一旦修改了所述第一请求消息，可信网络104便可将经修改的第一请求消息中继给服务提供商108。在接收到经修改的第一请求消息之后，服务提供商108便可执行验证组件以基于由可信网络104嵌入于所述第一请求消息中的识别信息来识别所述第一请求消息属于可信订户。请注意，在一方面中，可信网络104与服务提供商108之间可能需要存在特定关系，以便使服务提供商108向可信网络104的订户(例如，移动装置102)提供经授权接入信息。所述关系可以通过可信网络104与服务提供商108之间的预定协商或通过某些其它合适手段来建立。

根据一个或一个以上实施方案，在检验并验证了经修改的第一请求消息之后，服务提供商108可接着产生会话令牌，所述会话令牌包含授权移动装置102接入服务提供商108的服务的认证信息(例如，可靠会话号码)。根据一个方面，所述认证信息可通过服务提供商108加密，使得仅服务提供商108稍后可以解密随后接收到的消息中的认证信息并将所述消息检验为已由被服务提供商108验证过的装置接收到。服务提供商108可接着经由可信网络104将会话令牌传输给移动装置102。

根据一个实例，在接收到会话令牌之后，移动装置102可接着将会话令牌存储在移动装置102的存储器中。其后，归因于先前建立的对不可信网络106的偏好，移动装置102可经由不可信网络106而非可信网络104将所有后续通信引向服务提供商108。因而，移动装置102可经由不可信网络106将第二请求消息传输给服务提供商108。所述第二请求消息可以按与第一请求消息类似或不同的格式来传输。所述第二请求消息可包含来自从服务提供商108获得的会话令牌的认证信息的拷贝。所述认证信息可以包含于额外标头、额外数据包中或按适合于所述第二请求消息的格式类型(例如，HTTP、TCP、UDP等)的任何其它方式来包含，或通过某些其它合适手段来包含。当服务提供商108接收第二请求消息时，其可从所述第二请求消息中提取认证信息、解密所述认证信息、将所述第二请求消息识别为是从经授权的移动装置102发出，以及经由不可信网络106将所请求的服务传输给移动装置102。请注意，根据一个或一个以上方面，服务提供商108可以继续在所有后续会话期间经由所提供的认证信息来验证移动装置102，即使移动装置102经由其它不可信网络和/或从不同的IP地址传输所述第二请求消息时仍如此。

图2是根据一方面的促进经由可信网络对不可信网络的验证的移动装置200的说明。移动装置200可对应于图1中所示的移动装置102。如图2中所示，移动装置200可包含接收器202，接收器202从(例如)一个或一个以上接收天线(未图示)接收多个信号、对所接收信号执行典型动作(例如，滤波、放大、降频转换等)，且数字化经调节的信号以获得样本。接收器202可包含多个解调器204，所述解调器204可解调来自每一信号的接收到的符号并将所述符号提供给处理器206以进行信道估计，如本文中所描述。处理器206可以是专用于分析由接收器202接收到的信息和/或产生信息以供传输器216传输的处理器、控制移动装置200的一个或一个以上组件的处理器，和/或分析由接收器202接收到的信息、产生信息以供传输器216传输以及控制移动装置700的一个或一个以上组件的处理器。

移动装置200可另外包含存储器208，所述存储器208可操作地耦合到处理器206且可存储待传输的数据、接收到的数据、与可用信道有关的信息、与经分析的信号和/或干扰强度相关联的数据、与经指派的信道、功率、速率等等有关的信息，以及用于估计信道且经由所述信道进行通信的任何其它合适信息。存储器208可另外存储与估计和/或利用信道(例如，基于性能、基于容量等)相关联的协议和/或算法。

将了解，本文中所描述的数据存储装置(例如，存储器208)可以是易失性存储器或非易失性存储器，或可包含易失性存储器和非易失性存储器。作为说明而非限制，非易失性存储器可包含只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除PROM(EEPROM)或快闪存储器。易失性存储器可包含随机存取存储器(RAM)，其充当外部高速缓存存储器。作为说明而非限制，RAM以许多形式可用，例如同步RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据速率SDRAM(DDR SDRAM)、增强型SDRAM(ESDRAM)、同步链接DRAM(SLDRAM)和直接Rambus RAM(DRRAM)。本发明的系统和方法的存储器208希望包括(但不限于)这些存储器和任何其它合适类型的存储器。

在一方面中，接收器202可进一步可操作地耦合到安全代理210，所述安全代理210可基于各种网络参数来确定并指定优选网络、控制用于经由不可信网络与各种服务提供商的通信的一个或多个会话令牌的获取和在存储器208中的存储，以及通过经由处理器206与传输器214建立接口来引导经由可信网络或不可信网络的通信，如参看图1所论述。移动装置200可进一步包括调制器212，所述调制器212调制信号并经由传输器214将信号传输给(例如)基站、网站/因特网接入点名称(APN)和另一移动装置等。虽然描绘为与处理器206分开，但应了解，安全代理210、解调器204和/或调制器212可以是处理器206的部分或多个处理器(未图示)。此外，安全代理210的功能可以集成在应用层、数据栈、HTTP栈中、集成在操作系统(OS)层级处、集成在因特网浏览器应用程序中，或集成在专用集成电路(ASIC)中。

图3是根据一方面的产生供移动装置使用的认证信息的系统300的说明。系统300可包括服务提供商302(例如，接入点、毫微微小区等)，所述服务提供商302具有：接收器310，其经由多个接收天线306经由可信网络和/或不可信网络(未图示)从一个或一个以上移动装置304接收信号；以及传输器324，其经由传输天线308经由可信网络和/或不可信网络将信号传输到所述一个或一个以上移动装置304。接收器310可接收来自接收天线306的信息，且在操作上与解调接收到的信息的解调器312相关联。经解调制的符号由处理器314分析，所述处理器314可执行上文关于图1所描述的针对服务提供商108的一些或所有功能(例如，检验和验证第一请求消息)，且处理器314耦合到存储器316，所述存储器316存储与估计信号(例如，导频)强度和/或干扰强度有关的信息、待传输给移动装置304(或全异基站(未图示))或从移动装置304(或全异基站(未图示))接收的数据，和/或与执行本文中所阐述的各种动作和功能有关的任何其它合适信息。处理器314可进一步耦合到可产生供移动装置304使用的认证信息的认证信息产生器318。

根据实例，服务提供商302可从移动装置304中的一者或一者以上接收服务请求消息。在处理器314检验并验证了服务请求消息之后，认证信息产生器318可接着产生会话令牌，所述会话令牌包含授权移动装置304接入服务提供商302的服务的认证信息。认证信息产生器318可加密所述认证信息，使得仅服务提供商302稍后可解密随后接收到的消息中的认证信息并将所述消息检验为已由被服务提供商302验证过的装置接收到。此外，虽然描绘为与处理器314分开，但应了解，认证信息产生器318、解调器312和/或调制器320可以是处理器314的部分或多个处理器(未图示)。

现在将参看图4中所说明的流程图来描述根据一方面的优选网络验证过程400的实例，优选网络验证过程400可在系统100和移动装置200中实施。如图4中所示，在框402中，可做出关于是否请求服务的判定。举例来说，移动装置102可请求从服务提供商108处下载特定服务(例如，天气窗口小部件)。如果请求了服务，那么过程可前进到框404，否则过程可继续检查移动装置102是否请求服务。

在框404中，过程可从多个可用网络中确定优选网络，且过程可前进到框406。举例来说，安全代理210可确定不可信网络(例如，不可信网络206)在所有可用网络中具有最大带宽，且因而将不可信网络206指定为用于从服务提供商208处接收服务的优选网络。

在框406中，过程可确定所述优选网络是否为不可信网络。如果优选网络为不可信的，那么过程可前进到框408，否则过程可前进到框414。

在框408中，过程可确定用于目标服务提供商的认证信息是否已被移动装置获取。如果认证信息已被获取且尚未期满，那么过程可前进到框414，否则过程可前进到框410。

在框410中，过程可经由可信网络(例如，可信网络304)将请求消息传输给服务提供商。过程可接着前进到框412，在框412处可经由可信网络从服务提供商处获取认证信息。所接收到的认证信息可经产生、加密并在与由服务提供商108产生、授权移动装置102接入服务提供商108的服务的会话令牌类似的令牌内传输。其后，过程可往回前进到框408。

在过程在框408中确定已获取认证信息之后，过程可前进到框414，在框414处移动装置可经由优选网络将第二请求消息传输给服务提供商。举例来说，不可信网络106可能是优选网络，且第二请求消息可包含接入由服务提供商108提供的服务所需的认证信息。过程可接着前进到框416，在框416处移动装置可经由优选网络(例如，不可信网络106)从服务提供商处接收所请求的服务。举例来说，当服务提供商108接收第二请求消息时，其可将所述第二请求消息识别为是从经授权的移动装置102发出，且将所请求的服务发送给移动装置102。其后，在一个实例中，过程可结束。

现在将参看图5中所说明的流程图来描述根据一方面的优选网络验证过程500的实例，优选网络验证过程500可在系统100和服务提供商302中实施。如图5中所示，在框502中，服务提供商可经由可信网络从移动装置接收第一服务请求，且过程可前进到框504。在框504中，服务提供商可产生认证信息。在框504之后，过程可前进到框506，在框506处服务提供商可经由可信网络将认证信息传输给移动装置。其后，过程可前进到框508，在框508处服务提供商可经由不可信网络从移动装置接收第二服务请求。在框508之后，过程可前进到框510，在框510处服务提供商可经由不可信网络将所请求的服务传输给移动装置。其后，在一个实例中，过程可结束。

图6是根据一方面的经由可信网络执行对不可信网络的验证的实例系统600的说明。举例来说，系统600可至少部分驻留在移动装置等内。应了解，系统600被表示为包含功能块，所述功能块可为表示由处理器、软件，或其组合(例如，固件)实施的功能的功能块。系统600包含可共同起作用的装置的逻辑分组602。举例来说，逻辑分组602可包含用于由移动装置经由可信网络传输第一服务请求消息的装置604以及用于经由可信网络获取认证信息的装置606。逻辑分组602可进一步包含用于经由不可信网络传输第二服务请求消息的装置以及用于基于所述第二服务请求消息中的认证信息经由不可信网络接收服务的装置610。所述第二服务请求消息可包括认证信息608。另外，系统600可包含存储器612，存储器612保留用于执行与装置604到610相关联的功能的指令。虽然展示为在存储器612外部，但应理解，装置604到610中的一者或一者以上可存在于存储器612内。

图7是根据一方面的经由可信网络执行对不可信网络的验证的实例系统700的说明。举例来说，系统700可至少部分驻留在服务提供商等内。应了解，系统700被表示为包含功能块，所述功能块可为表示由处理器、软件，或其组合(例如，固件)实施的功能的功能块。系统700包含可共同起作用的装置的逻辑分组702。举例来说，逻辑分组702可包含用于在服务提供商处经由可信网络接收第一服务请求消息的装置704以及用于产生认证信息的装置706。逻辑分组702可进一步包含用于经由可信网络传输认证信息的装置708以及用于经由不可信网络接收第二服务请求消息的装置。所述第二服务请求消息可包括认证信息710。此外，逻辑分组702可包含用于基于所述第二服务请求消息中的认证信息经由不可信网络传输服务的装置712。另外，系统700可包含存储器714，存储器714保留用于执行与装置704到712相关联的功能的指令。虽然展示为在存储器714外部，但应理解，装置704到712中的一者或一者以上可存在于存储器714内。

结合本文揭示的实施例描述的各种说明性逻辑、逻辑块、模块和电路可用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑装置、离散门或晶体管逻辑、离散硬件组件或其经设计以执行本文描述的功能的任何组合来实施或执行。通用处理器可以是微处理器，但在替代方案中，处理器可以是任何常规处理器、控制器、微控制器或状态机。处理器还可实施为计算装置的组合，例如，DSP与微处理器的组合、多个微处理器、一个或一个以上微处理器与DSP核心的联合，或任何其它所述配置。另外，至少一个处理器可包括一个或一个以上模块，所述模块可操作以执行上文所描述的步骤和/或动作中的一者或一者以上。

另外，结合本文中所揭示的方面而描述的方法或算法的步骤和/或动作可直接以硬件、由处理器执行的软件模块或所述两者的组合来体现。软件模块可驻存于RAM存储器、快闪存储器、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移除式盘、CD-ROM或此项技术中已知的任何其它形式的存储媒体中。示范性存储媒体可耦合到所述处理器，使得所述处理器可从所述存储媒体读取信息和将信息写入到所述存储媒体。在替代方案中，存储媒体可与处理器成一体式。另外，在一些方面中，处理器和存储媒体可驻留于ASIC中。另外，ASIC可驻留于用户终端中。在替代方案中，处理器和存储媒体可作为离散组件驻留于用户终端中。另外，在一些方面中，方法或算法的步骤和/或动作可作为代码和/或指令中的一者或任何组合或集合而驻存于可并入到计算机程序产品中的机器可读媒体和/或计算机可读媒体上。

在一个或一个以上方面中，可以用硬件、软件、固件或其任何组合来实施所描述的功能。如果以软件来实施，那么可将所述功能作为一个或一个以上指令或代码存储在计算机可读媒体上或经由计算机可读媒体传输。计算机可读媒体包含计算机存储媒体与通信媒体两者，通信媒体包含促进计算机程序从一处传送到另一处的任何媒体。存储媒体可为可由计算机存取的任何可用媒体。以实例方式(且并非限制)，所述计算机可读媒体可包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储装置、磁盘存储装置或其它磁性存储装置，或可用于载送或存储呈指令或数据结构的形式的所要程序代码且可由计算机存取的任何其它媒体。而且，可将任何连接称为计算机可读媒体。举例来说，如果使用同轴电缆、光纤电缆、双绞线、数字订户线(DSL)或例如红外线、无线电和微波等无线技术从网站、服务器或其它远程源传输软件，那么同轴电缆、光纤电缆、双绞线、DSL或例如红外线、无线电和微波等无线技术包含在媒体的定义中。如本文中所使用，磁盘和光盘包含压缩光盘(CD)、激光光盘、光学光盘、数字多功能光盘(DVD)、软盘和蓝光光盘，其中磁盘通常磁性地再现数据，而光盘通常使用激光光学地再现数据。上述各者的组合也应包含在计算机可读媒体的范围内。

尽管前述揭示内容论述了说明性方面和/或实施方案，但请注意，可在不脱离如由所附权利要求书所界定的所描述的方面和/或实施方案的范围的情况下在本文中做出各种改变和修改。此外，尽管可能以单数形式描述或主张所描述的方面的元件，但除非明确规定限于单数形式，否则也涵盖复数形式。另外，除非另有规定，否则任何方面和/或实施方案的全部或一部分可与任何其它方面和/或实施例的全部或一部分一起使用。

Claims

1.一种用于经由可信网络在不可信网络上验证移动装置的方法，所述方法包括：

由所述移动装置经由所述可信网络传输第一服务请求消息；

经由所述可信网络获取认证信息；

经由所述不可信网络传输第二服务请求消息，所述第二服务请求消息包括所述认证信息；以及

基于所述第二服务请求消息中的所述认证信息经由所述不可信网络接收服务。

2.根据权利要求1所述的方法，其中获取所述认证信息进一步包括接收由服务提供商产生的所述认证信息。

3.根据权利要求1所述的方法，其进一步包括通过比较所述可信网络与所述不可信网络的通信参数来确定通信路线，以及将具有更优选的通信参数的所述网络指定为优选通信路线。

4.根据权利要求1所述的方法，其中传输所述第二服务请求消息进一步包括将所述认证信息插入于所述第二服务请求消息的标头中。

5.根据权利要求1所述的方法，其中获取所述认证信息进一步包括经由所述可信网络接收在服务提供商处加密的经加密认证信息。

6.根据权利要求5所述的方法，其中传输所述第二服务请求消息进一步包括传输所述经加密认证信息以用于在所述服务提供商处解密和验证所述认证信息。

7.根据权利要求1所述的方法，其中传输所述第一服务请求消息进一步包括经由与服务提供商具有预定服务关系的相应可信网络将所述第一服务请求消息传输给所述服务提供商。

8.根据权利要求1所述的方法，其中传输所述第一服务请求消息进一步包括经由移动运营商网络传输所述第一服务请求消息。

9.根据权利要求1所述的方法，其中传输所述第二服务请求消息进一步包括经由局域网LAN传输所述第二服务请求消息。

10.一种无线通信设备，其包括：

安全代理，其经配置以：

经由可信网络传输第一服务请求消息；

经由所述可信网络获取认证信息；

经由不可信网络传输第二服务请求消息，所述第二服务请求消息包括所述认证信息；以及

11.根据权利要求10所述的无线通信设备，其中所述认证信息是由服务提供商产生。

12.根据权利要求10所述的无线通信设备，其中所述安全代理经进一步配置以通过比较所述可信网络与所述不可信网络的通信参数来确定通信路线，以及将具有更优选的通信参数的所述网络指定为优选通信路线。

13.根据权利要求10所述的无线通信设备，其中所述第二服务请求消息包含标头，所述标头包括所述认证信息。

14.根据权利要求10所述的无线通信设备，其中所述所接收的认证信息是在服务提供商处加密。

15.根据权利要求10所述的无线通信设备，其中所述安全代理经进一步配置以经由与服务提供商具有预定服务关系的相应可信网络将所述第一服务请求消息传输给所述服务提供商。

16.根据权利要求10所述的无线通信设备，其中所述安全代理经进一步配置以经由移动运营商网络传输所述第一服务请求消息。

17.根据权利要求10所述的无线通信设备，其中所述安全代理经进一步配置以经由局域网LAN传输所述第二服务请求消息。

18.一种设备，其包括：

用于由移动装置经由可信网络传输第一服务请求消息的装置；

用于经由所述可信网络获取认证信息的装置；

用于经由不可信网络传输第二服务请求消息的装置，所述第二服务请求消息包括所述认证信息；以及

用于基于所述第二服务请求消息中的所述认证信息经由所述不可信网络接收服务的装置。

19.一种计算机程序产品，其包括：

计算机可读媒体，其包括：

用于使计算机由移动装置经由可信网络传输第一服务请求消息的至少一个指令；

用于使所述计算机经由所述可信网络获取认证信息的至少一个指令；

用于使所述计算机经由不可信网络传输第二服务请求消息的至少一个指令，所述第二服务请求消息包括所述认证信息；以及

用于使所述计算机基于所述第二服务请求消息中的所述认证信息经由所述不可信网络接收服务的至少一个指令。

20.一种无线通信设备，其包括：

至少一个处理器，其经配置以：

由移动装置经由可信网络传输第一服务请求消息；

经由所述可信网络获取认证信息；

21.一种用于经由可信网络在不可信网络上验证移动装置的方法，所述方法包括：在服务提供商处经由所述可信网络接收第一服务请求消息；

产生认证信息；

经由所述可信网络获取所述认证信息；

经由所述不可信网络接收第二服务请求消息，所述第二服务请求消息包括所述认证信息；以及

基于所述第二服务请求消息中的所述认证信息经由所述不可信网络传输服务。

22.根据权利要求21所述的方法，其中接收所述第一服务请求消息进一步包括接收在所述可信网络处经修改的所述第一服务请求消息，使得将所述第一服务请求消息指定为已由所述可信网络的可靠订户传输。

23.根据权利要求21所述的方法，其中产生所述认证信息进一步包括加密所述认证信息。

24.根据权利要求23所述的方法，其中接收所述第二服务请求消息进一步包括从所述第二服务请求消息中提取所述经加密的认证信息，以及解密所述认证信息。

25.根据权利要求21所述的方法，其中接收所述第一服务请求消息进一步包括经由与所述服务提供商具有预定服务关系的相应可信网络接收所述第一服务请求消息。

26.根据权利要求21所述的方法，其中接收所述第一服务请求消息进一步包括经由移动运营商网络接收所述第一服务请求消息。

27.根据权利要求21所述的方法，其中接收所述第二服务请求消息进一步包括经由局域网LAN接收所述第二服务请求消息。

28.一种无线通信设备，其包括：

服务提供商，其经配置以：

经由可信网络接收第一服务请求消息；

产生认证信息；

经由所述可信网络传输所述认证信息；

经由不可信网络接收第二服务请求消息，所述第二服务请求消息包括所述认证信息；以及

29.根据权利要求28所述的无线通信设备，其中在所述可信网络处修改所述第一服务请求消息，使得将所述第一服务请求消息指定为已由所述可信网络的可靠订户传输。

30.根据权利要求28所述的无线通信设备，其中所述服务提供商经进一步配置以加密所述认证信息。

31.根据权利要求30所述的无线通信设备，其中所述服务提供商经进一步配置以从所述第二服务请求消息中提取所述经加密的认证信息，以及解密所述认证信息。

32.根据权利要求28所述的无线通信设备，其中所述第一服务请求消息是经由与所述服务提供商具有预定服务关系的相应可信网络接收。

33.根据权利要求28所述的无线通信设备，其中所述第一服务请求消息是经由移动运营商网络接收。

34.根据权利要求28所述的无线通信设备，其中所述第二服务请求消息是经由局域网LAN接收。

35.一种设备，其包括：

用于在服务提供商处经由可信网络接收第一服务请求消息的装置；

用于产生认证信息的装置；

用于经由所述可信网络传输所述认证信息的装置；

用于经由不可信网络接收第二服务请求消息的装置，所述第二服务请求消息包括所述认证信息；以及

用于基于所述第二服务请求消息中的所述认证信息经由所述不可信网络传输服务的装置。

36.一种计算机程序产品，其包括：

计算机可读媒体，其包括：

用于使计算机在服务提供商处经由可信网络接收第一服务请求消息的至少一个指令；

用于使计算机产生认证信息的至少一个指令；

用于使所述计算机经由所述可信网络传输所述认证信息的至少一个指令；

用于使所述计算机经由不可信网络接收第二服务请求消息的至少一个指令，所述第二服务请求消息包括所述认证信息；以及

用于使所述计算机基于所述第二服务请求消息中的所述认证信息经由所述不可信网络传输服务的至少一个指令。

37.一种无线通信设备，其包括：

至少一个处理器，其经配置以：

经由可信网络接收第一服务请求消息；

产生认证信息；

经由所述可信网络传输所述认证信息；