CN103999495B - 启用对无线链路建立的密钥生存期的访问 - Google Patents

启用对无线链路建立的密钥生存期的访问 Download PDF

Info

Publication number
CN103999495B
CN103999495B CN201280054661.1A CN201280054661A CN103999495B CN 103999495 B CN103999495 B CN 103999495B CN 201280054661 A CN201280054661 A CN 201280054661A CN 103999495 B CN103999495 B CN 103999495B
Authority
CN
China
Prior art keywords
authentications
mobile device
erp
rrk
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201280054661.1A
Other languages
English (en)
Other versions
CN103999495A (zh
Inventor
G·切瑞安
A·帕拉尼格朗德
S·P·阿伯拉翰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qualcomm Inc
Original Assignee
Qualcomm Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Qualcomm Inc filed Critical Qualcomm Inc
Publication of CN103999495A publication Critical patent/CN103999495A/zh
Application granted granted Critical
Publication of CN103999495B publication Critical patent/CN103999495B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种特定方法包括在与接入点执行可扩展认证协议(EAP)认证之后在与EAP认证相关联的主会话密钥(MSK)期满之前在移动设备处执行自举式EAP重新认证协议(ERP)重新认证。另一种特定方法包括在接入点处执行移动设备的自举式ERP重新认证而不中断与移动设备的数据分组流。

Description

启用对无线链路建立的密钥生存期的访问
相关申请的交叉引用
本申请要求共同拥有的于2011年11月8日提交的美国临时专利申请No.61/556,921的优先权，该临时申请的内容通过援引全部明确纳入于此。
发明领域
本公开涉及无线通信系统。
背景技术
技术进步已导致越来越小且越来越强大的计算设备。例如，当前存在各种各样的便携式个人计算设备，包括较小、轻量且用户易于携带的无线计算设备，诸如便携式无线电话、个人数字助理(PDA)以及寻呼设备。更具体地，便携式无线电话(诸如蜂窝电话和网际协议(IP)电话)可通过无线网络传输语音和数据分组。许多此类无线电话纳入附加设备以便为终端用户提供增强的功能性。例如，无线电话还可包括数码相机、数码摄像机、数字记录器以及音频文件播放器。同样，此类无线电话可执行软件应用，诸如可被用于访问因特网的web浏览器应用。由此，这些无线电话可包括显著的计算能力。
移动通信设备(诸如无线电话)可包括无线联网(例如，Wi-Fi)能力。例如，设备可搜索可用无线网络并且可连接至可用的特定无线网络。无线网络可受保护或不受保护。当无线网络受保护时，设备还可“记住”与该无线网络相关联的认证详情(例如，网络口令)，从而到该无线网络的后续连接可以更快地建立。有时，移动设备可在短时间量内迁入和迁出特定无线网络覆盖区域。例如，具有启用Wi-Fi的设备的火车乘客可在约几分钟(如果不是几秒钟)内进入及离开特定火车站的Wi-Fi覆盖区域。典型的认证方法可能不能快到足以(例如，可涉及过多的消息交换)使设备在如此短的时间段内建立经认证的Wi-Fi会话以及发送/接收数据。
无线网络可使用各种认证协议来实现安全性。认证协议的一个示例是可扩展认证协议(EAP)。当用于无线网络认证时，EAP可涉及移动设备、接入点和认证服务器之间多个消息的交换。为了使后续重新认证更快，请求评注(RFC)5296定义了EAP重新认证协议(ERP)，ERP可在已经执行完整EAP认证后在某些情况下启用更快的重新认证。在EPR重新认证期间，可生成并使用各种密钥。密钥可与有效性时间段(例如，生存期)相关联，并且可在有效性时间段消逝时期满。因为移动设备可能不知晓密钥生存期，故而即使密钥已经期满，移动设备可能仍尝试发起ERP重新认证。一旦确定EPR重新认证不成功，移动设备就可能发起完整EAP认证并生成新密钥。然而，不成功的ERP重新认证中所涉及的(诸)附加消息收发往返行程可增加移动设备的总链路建立时间。
概述
公开了启用对无线链路建立的密钥生存期的访问的方法和装置。某些实施例可包括将认证和网际协议(IP)地址指派集束到无线链路建立中。所提议的技术可向移动站(STA)提供密钥生存期信息，从而移动设备可在发起ERP重新认证之前确定ERP重新认证是否会由于期满的密钥而不成功。因此，STA可以能够避免因此类不成功的ERP重新认证所导致的消息收发延迟。
可以按多种方式向STA提供密钥生存期信息。例如，在第一实现中，STA可被编程为在完整EAP认证之后不久执行自举式(bootstrapped)ERP重新认证，即使在与相同的无线接入点(AP)执行EAP认证和ERP重新认证的情形下。STA可在自举式ERP重新认证期间请求并接收密钥生存期信息。AP可在信标或控制消息中向STA指示是否支持自举式ERP重新认证以及支持什么类型的IP地址和IP地址指派方法。此外，AP可进行自举式ERP重新认证而不中断与STA的IP话务流。
作为另一个示例，在第二实现中，STA可在EAP认证期间使用重新认证根密钥(rRK)生存期请求以指示STA对ERP重新认证感兴趣并请求rRK生存期。一旦接收到rRK生存期请求，认证服务器就可向STA发送所请求的rRK生存期(例如，经由AP)。
在第三实现中，可在STA处预配置密钥生存期信息。例如，默认rRK计时器值可被存储在STA的非易失性存储器(例如，订户身份模块(SIM))中并且可在预设期间被访问。如果基于rRK计时器值的ERP重新认证不成功，则STA可改变(例如，减小)rRK计时器值以尝试避免后续不成功的ERP重新认证。
在特定实施例中，一种方法包括在移动设备处从接入点接收至少一个消息并在接收该至少一个消息之后执行EAP认证。该方法还包括在执行EAP认证之后在该移动设备处执行自举式ERP重新认证。在与EAP认证相关联的主会话密钥(MSK)期满前执行自举式ERP重新认证。
在另一特定实施例中，一种方法包括在移动设备处执行与接入点的EAP认证。该方法还包括在移动设备处执行自举式ERP重新认证，其中响应于EAP认证完成的指示而执行该自举式ERP重新认证。
在另一特定实施例中，一种方法包括在接入点处执行移动设备的自举式ERP重新认证而不中断与该移动设备的数据分组流。
在另一个特定实施例中，一种接入点包括被配置成与移动设备传达数据分组的话务端口。该接入点还包括被配置成进行移动设备的自举式ERP重新认证而不中断经由话务端口的数据分组通信的认证端口。
在另一特定实施例中，一种方法包括从移动设备传送包括对rRK生存期的请求的第一EAP消息。该方法还包括在移动设备处接收第二EAP消息，其中第二EAP消息包括所请求的rRK生存期。例如，第一EAP消息可包括EAP发起消息而第二EAP消息可包括EAP结束消息。
在另一特定实施例中，一种方法包括在认证服务器处接收包括对rRK生存期的请求的第一EAP消息。该方法还包括从认证服务器传送包括所请求的rRK生存期的第二EAP消息。
在另一特定实施例中，一种方法包括在移动设备处基于所存储的rRK生存期是否已经消逝来确定是执行EAP认证还是执行自举式ERP重新认证。rRK生存期被存储在移动设备中的非易失性存储器内。
在另一特定实施例中，一种非瞬态处理器可读介质包括指令，这些指令在由处理器执行时使得该处理器从移动设备传送包括对rRK生存期的请求的第一EAP消息。这些指令在由处理器执行时还使得该处理器在移动设备处接收包括所请求的rRK生存期的第二EAP消息。
由所公开的实施例中的至少一个实施例所提供的一个特定优点是向移动设备提供密钥生存期信息从而移动设备可预测ERP重新认证是否将失败的能力。通过避免或减少失败的ERP重新认证的发生，可以达成更快的初始链路建立时间。由所公开的实施例中的至少一个实施例所提供的另一个特定优点是进行一个或多个附加的ERP重新认证而不中断移动设备和接入点之间的现有网际协议(IP)会话的能力。
本公开的其他方面、优点和特征将在阅读了整个申请后变得明了，所述申请包括下述章节：附图简要说明、详细描述以及权利要求。
附图简要说明
图1是能操作用于启用对无线链路建立的密钥生存期的访问的系统的第一实施例的图示；
图2是图1的信标/控制消息的特定实施例的图示；
图3是图1系统中移动设备的操作方法的特定实施例的流程图；
图4是图1系统中接入点的操作方法的特定实施例的流程图；
图5是能操作用于启用对无线链路建立的密钥生存期的访问的系统的第二实施例的图示；
图6是启用对无线链路建立的密钥生存期(包括存储在移动设备的非易失性存储器的使用密钥生存期)的访问的方法的特定实施例的流程图；以及
图7是包括能操作用于启用对无线链路建立的密钥生存期的访问的系统的无线设备的框图。
详细描述
电气和电子工程师协会(IEEE)802.11工作组(TG)ai(以下称为“TGai”)是参与快速初始链路建立(FILS)研究的工作组。TGai提议将ERP用于FILS。TGai提议和提案可以从IEEE802标准委员会www.ieee802.org获取。根据TGai提议，移动站(STA)在上电之际可能不知晓任何认证上下文。为了与接入点(AP)建立经认证的会话，STA可与AP执行完整EAP认证，该完整EAP认证还可涉及与认证服务器(AS)的通信。完整EAP认证可包括在STA处建立各种密钥，包括扩展主会话密钥(EMSK)、域专有根密钥(DSRK)、重新认证根密钥(rRK)、重新认证完整性密钥(rIK)和主会话密钥(MSK)。还可在AS处建立EMSK、DSRK、rRK和rIK，并且可在AP和AS两者处建立MSK。一般而言，每当执行完整EAP时就可生成新的rRK和rIK。应当注意，尽管在EAP认证期间可在STA处建立各种密钥，但可以不向STA提供有关密钥生存期的信息。
当STA切换到新AP时，STA可尝试与新AP执行ERP重新认证。EAP重新认证可快于完整EAP认证(例如，因为可以重用某些密钥)。每当ERP重新认证成功时，可在STA、AP和AS处建立新的重新认证主会话密钥(rMSK)。每当STA移动到新AP时或rMSK期满时，可执行ERP重新认证。然而，当STA与AP断开连接并随后与同一AP重新连接时，可以不执行ERP重新认证。万一ERP重新认证失败(例如，由于rRK已经期满)，则STA可执行另一完整EAP认证。
因此，在某些TGai提案中，在确定是执行完整EAP认证还是执行ERP重新认证时STA可以是“反应式的”，因为STA可对不成功的ERP重新认证“作出反应”而执行完整EAP认证。AS可维护(诸)ERP计时器及密钥生存期。与之相对，所公开的系统和方法可通过向STA提供密钥生存期信息(例如，rRK和/或rMSK生存期信息)来实现关于是执行完整EAP认证还是ERP重新认证的“主动式”确定。
参考图1，示出了能操作用于启用对无线链路建立的密钥生存期的访问的系统100的第一实施例。系统100包括移动设备(被标为STA)110、接入点(被标为AP)120和认证服务器(被标为AS)130。应当注意，尽管图1描绘了单个接入点120，但系统100中可存在任何数目的接入点。
移动设备110可以是能操作用于经由无线网络发送和接收数据的电子设备。例如，移动设备110可以是无线电话、PDA、便携式计算设备、平板计算设备、便携式媒体播放器或其任何组合。
接入点120可以是无线网络的节点，诸如与Wi-Fi网络相关联的IEEE802.11(Wi-Fi)接入点。接入点120可包括多个端口，其包括至少一个认证端口和至少一个话务端口。(诸)认证端口可被配置成向/从移动设备(例如，移动设备110)发送/接收与认证规程有关的消息。(诸)话务端口可被配置成向/从移动设备(例如，移动设备110)发送/接收数据话务消息。在一个实施例中，可为连接至接入点110的每一移动设备分配不同的认证和/或话务端口。例如，在图1的示例中，接入点120包括分配给移动设备110的两个认证端口(EAP认证端口121和自举式ERP重新认证端口123)以及一个话务端口(IP话务端口122)。
认证服务器130可以是能与接入点120通信的服务器或其他计算设备。在特定实施例中，接入点120及认证服务器130可集成到单个计算设备中而不是如图1所解说的分立的计算设备。
在操作期间，接入点120可向移动设备110传送消息101，其中消息101指示接入点是否支持自举式ERP重新认证。例如，该消息可以是信标消息(例如，IEEE802.11信标消息)、探测响应、控制消息(例如，管理帧)或其任何组合。信标/控制消息的解说性实施例参照图2来进一步描述。在特定实施例中，接入点110可在移动设备110进入或重新进入接入点120的覆盖区域时向移动设备110传送信标/控制消息101、在移动设备110处于接入点120的覆盖区域内时周期性地向移动设备110传送信标/控制消息101、或其任何组合。
移动设备110和接入点120可执行EAP认证102。在特定实施例中，EAP认证还可包括在接入点120和认证服务器130之间的消息收发。例如，认证服务器130可生成并经由接入点120向移动设备110传送一个或多个密钥(例如，EMSK、DRSK、MSK等)和/或验证由移动设备110生成的一个或多个密钥(例如，EMSK、DRSK、MSK等)。在完成EAP认证102后，移动设备110可使用在EAP认证102期间创建的一个或多个密钥来建立与接入点120的经认证会话。移动设备110可使用经认证会话经由接入点120发送和接收数据分组103。然而，移动设备110可能不知道在EAP认证102期间所建立的密钥将有效多长时间。
为了访问密钥生存期信息，移动设备110可在与EAP认证相关联的MSK期满以前与接入点120执行自举式ERP重新认证104(如果接入点120在信标/控制消息101中指示了支持此类规程)。因此，即使移动设备尚未改变到新的接入点，图1的系统仍能够使自举式ERP重新认证得以执行。此外，不同于在认证期间中断话务流(例如，通过禁用话务端口)的系统，图1的接入点120可经由自举式ERP重新认证端口123执行自举式ERP重新认证104而不中断(例如，在现有IP会话期间)经由IP话务端口122的数据分组103的通信。将理解，因为移动设备110的完整EAP认证102已经完成，故而在自举式ERP重新认证104期间维持话务流不会造成安全性风险。然而，当经由EAP认证端口121执行完整EAP认证时，可出于安全性目的而禁用IP话务端口122。在特定实施例中，自举式ERP重新认证可以是隐性自举式ERP规程或根据请求评注(RFC)5296的§5.1而执行的显性自举式ERP。
在特定实施例中，移动设备110可在完整EAP认证102完成之后不久和/或响应于完整EAP认证102的完成而执行自举式ERP重新认证104。例如，移动设备110可响应于接收到对EAP认证102完成的指示(诸如，EAP成功消息)而执行自举式ERP重新认证104。ERP重新认证信令交换可被用来获取密钥生存期信息，但可能无法用于rMSK密钥更新。
在自举式ERP重新认证104期间，移动设备110可请求并接收密钥生存期信息。例如，移动设备110可请求并接收rRK生存期和rMSK生存期。当rRK生存期已期满时，移动设备110可主动执行完整EAP认证以生成新的rRK而不是尝试可能由于期满的rRK而无法成功的ERP重新认证。当rMSK生存期已经期满时，即使移动设备110尚未改变接入点，移动设备110仍可主动执行ERP重新认证以生成新的rMSK。
因此，图1的系统100可向移动设备110提供对密钥生存期信息的访问，从而移动设备110可减少不成功的ERP重新认证尝试次数，这可减少移动设备110的总无线链路建立时间。将理解，可通过修改移动设备和接入点操作而不需对EAP和ERP标准作出修改来实现图1的系统100。
为了解说，移动设备110可执行“完整”EAP认证，在此期间可建立MSK和rRK。例如，MSK可具有1小时的生存期而rRK可具有一个月的生存期。移动设备110可随后(例如，在MSK期满以前)执行自举式ERP重新认证，在此期间可建立rMSK并且在此期间移动设备110可接收rRK和rMSK生存期信息。例如，rMSK可具有1小时的生存期。在rRK一个月的生存期期间，移动设备110可执行续展/延长rMSK的一个或多个快速认证/重新认证(例如，FILS)或建立新的1小时rMSK。然而，此类快速认证/重新认证在rRK一个月的生存期消逝之后可能会失败。有利地，因为移动设备110能够访问密钥生存期信息，因此移动设备110可响应于检测到rRK生存期已经消逝而制止执行快速认证/重新认证，并且可替代地执行“完整”EAP认证以生成新的rRK。
有利地，因为移动设备110能够访问密钥生存期信息，因此移动设备110可按机会主义方式主动地执行“完整”EAP认证以生成新的rRK。例如，在rRK生存期期满前，移动设备110可检测无数据活动时段(例如，在午夜时)。作为响应，移动设备110可发起完整EAP认证。因此，在上面的示例中，移动设备110可在一个月的rRK生存期期满前的晚上发起完整EAP认证。
图2是信标/控制消息201的特定实施例的图示。例如，信标/控制消息201可以是图1的信标/控制消息101。
如参照图1的信标/控制消息101所述的，信标/控制消息201可由接入点传送到移动设备以指示自举式ERP重新认证是否被该接入点支持。为了解说，信标/控制消息201可包括指示自举式ERP重新认证是否被支持的标志210或其他信息元素。
在特定实施例中，信标/控制消息201还可指示是否支持某些IP地址类型和IP地址指派方法。将领会，因为本文中所公开的特定实施例集束了认证和IP地址指派，因此在信标/控制消息中包括此类指示可能是有益的。例如，信标/控制消息201可包括指示接入点是否支持网际协议(IP)版本4(IPv4)IP地址的标志220、以及指示接入点是否支持IP版本6(IPv6)IP地址的标志230。信标/控制消息201还可包括指示接入点是否支持动态主机配置协议(DHCP)IP地址指派的标志240、指示接入点是否支持带有快速提交的DHCP的IP地址指派的标志270、指示接入点是否支持IPv6的DHCP(DHCPv6)IP地址指派的标志250、以及指示接入点是否支持基于路由器请求(RS)/路由器广告(RA)的IP地址指派的标志260。信标控制消息201还可包括指示是否支持使用安全性证书的自举式操作的标志280。例如，安全性证书的使用可涉及移动设备和接入点或认证服务器之间的Diffie-Hellman密钥交换。在特定实施例中，标志210和标志280可被指示是否支持快速认证协议(其涉及自举式ERP和安全性证书的使用)的单个标志所替代。
图3是图1系统100中移动设备110的操作方法300的特定实施例的流程图。
方法300可包括：在302，在移动设备处从接入点接收消息。该消息(例如，信标消息或控制消息)可指示自举式ERP重新认证是否被接入点支持。该消息还可指示该接入点所支持的IP地址类型和IP地址指派方法。例如，在图1中，移动设备110可从接入点120接收信标/控制消息101。在解说性实施例中，信标/控制消息可包括如参照图2的信标/控制消息201所述的各种指示符标志或信息元素。
方法300还可包括：在304，在会话期间从移动设备向接入点传达至少一个消息。例如，在图1中，移动设备110可建立与接入点120的经认证会话，并且可在经认证会话期间向接入点传达一个或多个数据分组103。
继续到306，可与接入点执行自举式ERP重新认证。可在会话终止以前且响应于EAP认证完成的指示来执行该自举式ERP重新认证。例如，EAP成功消息可指示EAP认证的完成。在自举式ERP重新认证期间，移动设备可接收指示rRK生存期和rMSK生存期的一个或多个消息。例如，在图1中，移动设备110可执行自举式ERP重新认证104并且可在自举式ERP重新认证期间接收rRK生存期和rMSK生存期。
前进至308，可继续移动设备和接入点之间的会话。例如，在图1中，可在会话期间在移动设备110和接入点120之间传达附加的数据分组103。
在310，移动设备可基于rRK生存期是否已经消逝来确定是否执行EAP认证而不是ERP重新认证。移动设备还可基于rMSK生存期是否已经消逝来确定是否与接入点(即，同一接入点)执行ERP重新认证。
图4是图1系统100中接入点120的操作方法的特定实施例的流程图。
方法400可包括：在402，经由话务端口与移动设备传达数据分组。例如，在图1中，接入点120可经由IP话务端口122与移动设备110传达数据分组103。
在404，可经由重新认证端口来进行对移动设备的自举式ERP重新认证而不中断经由话务端口的数据分组通信。在特定实施例中，因为重新认证端口可在成功完成完整EAP认证之后才打开，故而自举式ERP重新认证可在完整EAP认证之后才执行。此外，可在与完整EAP认证相关联的主会话密钥(MSK)期满前执行自举式ERP重新认证。例如，在图1中，接入点120可经由重新认证端口123进行自举式ERP重新认证104而不中断经由IP话务端口122的数据分组103的通信。
图5是能操作用于启用对无线链路建立的密钥生存期访问的系统500的第二实施例的图示。系统500可包括可通信地耦合到认证服务器530的移动设备510。例如，移动设备510可经由接入点(诸如，图1的接入点120)可通信地耦合到认证服务器530。
在操作期间，替代如参照图1-4所述的利用自举式ERP重新认证来请求密钥生存期信息，移动设备510可取而代之地在EAP认证期间请求密钥生存期信息。例如，移动设备510可向认证服务器530传送第一EAP消息501，其中第一EAP消息包括对重新认证根密钥(rRK)生存期的请求。在特定实施例中，第一EAP消息501可以是EAP发起消息。
认证服务器530可接收第一EAP消息501并且作为响应可发送第二EAP消息502，其中第二EAP消息包括所请求的rRK生存期。在特定实施例中，第二EAP消息502可以是EAP结束消息。
图5的系统500可因此向移动设备510提供对密钥生存期信息的访问而不用执行如图1系统100中的自举式ERP重新认证规程。实现图5的系统500可涉及修改EAP标准以向一个或多个EAP消息添加rRK生存期请求/响应参数。
图6是启用对无线链路建立的密钥生存期(包括存储在移动设备的非易失性存储器处的使用密钥生存期)的访问的方法600的特定实施例的流程图。在解说性实施例中，方法600可由移动设备(诸如图1的移动设备110、图5的移动设备510、或图7的移动通信设备700)执行。
方法600可包括：在602，在移动设备处访问该移动设备的非易失性存储器以从该非易失性存储器读取rRK生存期值。例如，非易失性存储器可以是移动设备的订户身份模块(SIM)并且可在移动设备的预设期间(例如，在上电和/或初始化期间)被访问。
继续到604，移动设备可基于rRK生存期是否已经消逝来确定是执行EAP认证还是执行自举式ERP重新认证。在606，移动设备可响应于确定自举式ERP重新认证不成功而改变rRK生存期的值。例如，如果移动设备的SIM存储为10分钟的“默认”rRK生存期值，则移动设备可在存储器(例如，随机存取存储器(RAM))中存储为10分钟的rRK生存期值。然而，如果在10分钟生存期内的ERP重新认证由于rRK期满而不成功，则移动设备可减小存储器中的rRK生存期值以试图改进rRK生存期值以及避免额外的不成功ERP重新认证。
因此，图6的方法600可向移动设备提供可用于确定是发起完整EAP认证还是发起自举式ERP重新认证的密钥生存期信息。将领会，可实现图6的方法600而不修改EAP/ERP标准且不修改接入点/认证服务器行为。实现图6的方法600可涉及移动设备和/或移动设备SIM的预配置。
图7是移动通信设备700的框图。在一个实施例中，移动通信设备700或其组件包括或被包括于图1的移动设备110、图5的移动设备510或其任何组合。此外，图3和图6中所述方法的全部或部分可在移动通信设备700处执行或由移动通信设备700执行。移动通信设备700包括耦合到存储器732的处理器710(诸如，数字信号处理器(DSP))。
移动通信设备700可包括被配置成容纳SIM772的SIM接口770。例如，SIM接口770可以是SIM卡连接器，其包括具有SIM卡容纳空间和用于接纳所容纳的SIM卡的导电端子的多个连通插座的本体。可通过导电端子和插座与SIM卡进行电信令联系。示例接口可包括串行或并行(例如，7引脚或8引脚)连接。此外，多个SIM卡尺寸可被容适(例如，全尺寸、小型SIM或微型SIM)。
图7还示出耦合至处理器710以及显示器728的显示控制器726。编码器/解码器(CODEC)734也可耦合至处理器710。扬声器736和话筒738可被耦合至CODEC734。图7还指示了无线控制器740可被耦合至处理器710，其中无线控制器740与无线天线742通信。
存储器732可以是存储指令760的非瞬态有形计算机可读存储介质。指令760可由处理器710执行以执行本文中所述的一个或多个功能或方法(诸如，参照图3和图6所述的方法)。
在特定实施例中，SIM772可存储密钥生存期信息774。例如，密钥生存期信息774可以是“默认”rRK生存期值，如参照图6所述的。此外，如参照图6所述，密钥生存期信息774可在预设期间被复制到存储器732作为密钥生存期信息762。
在特定实施例中，处理器710、显示控制器726、存储器732、CODEC734、以及无线控制器740被包括在系统级封装或片上系统设备722中。在特定实施例中，输入设备730和电源744被耦合至片上系统设备722。此外，在特定实施例中，如图7中所解说的，显示设备728、输入设备730、扬声器736、话筒738、无线天线742、电源744、SIM772和SIM接口770可在片上系统设备722外部。然而，显示设备728、输入设备730、扬声器736、话筒738、无线天线742、电源744、SIM772和SIM接口770中的每一者可耦合至片上系统设备722的组件，诸如接口或控制器。
在特定实施例中，图7的移动通信设备700的一个或多个组件或对应组件可被包括在接入点和/或认证服务器中。例如，无线网络的接入点(例如，图1的接入点120)可包括一个或多个天线(例如，可操作用于传达数据分组和与EAP认证及ERP重新认证相关联的消息)、处理器、存储有可由处理器执行以执行图4的方法400的指令的存储器。作为另一个示例，无线网络的认证服务器(例如，图1的认证服务器130或图5的认证服务器530)可包括处理器和存储可由处理器执行以生成和/或验证与EAP认证和/或ERP重新认证相关联的密钥的指令的存储器。
结合所描述的实施例，一种设备可包括用于与移动设备传达数据分组的装置。例如，该用于传达的装置可包括图1的IP话务端口122、被配置成传达数据的另一设备或模块(例如，网络接口、控制器和/或处理器)、或其任何组合。
该设备还可包括用于进行移动设备的自举式ERP重新认证而不中断经由该用于传达的装置的数据分组通信的装置。例如，用于进行自举式ERP重新认证的装置可包括图1的自举式ERP重新认证端口123、被配置成进行自举式ERP重新认证的另一设备或模块(例如，处理器)、或其任何组合。
该设备可进一步包括用于执行移动设备的EAP认证的装置，其中该用于执行的装置不同于该用于进行的装置。例如，该用于执行EAP认证的装置可包括图1的EAP认证端口121、被配置成执行EAP认证的另一设备或模块(例如，处理器)、或其任何组合。
本领域技术人员将进一步领会，结合本文所公开的实施例来描述的各种解说性逻辑框、配置、模块、电路、和算法步骤可实现为电子硬件、计算机软件或这两者的组合。各种解说性组件、框、配置、模块、电路、和步骤已经在上文以其功能性的形式作了一般化描述。此类功能性是被实现为硬件还是软件取决于具体应用和施加于整体系统的设计约束。技术人员可针对每种特定应用以不同方式来实现所描述的功能性，但此类实现决策不应被解读为致使脱离本公开的范围。
结合本文所公开的实施例描述的方法或算法的各个步骤可直接用硬件、由处理器执行的软件模块或两者的组合来实现。软件模块可驻留在随机存取存储器(RAM)、闪存、只读存储器(ROM)、可编程只读存储器(PROM)、可擦式可编程只读存储器(EPROM)、电可擦式可编程只读存储器(EEPROM)、寄存器、硬盘、可移动盘、压缩盘只读存储器(CD-ROM)或本领域中所知的任何其他形式的非瞬态存储介质中。示例性存储介质耦合到处理器以使得该处理器能从该存储介质读取信息以及向该存储介质写入信息。替换地，存储介质可以被整合到处理器。处理器和存储介质可驻留在专用集成电路(ASIC)中。ASIC可驻留在计算设备或用户终端(例如移动电话或PDA)中。在替换方案中，处理器和存储介质可作为分立组件驻留在计算设备或用户终端中。
提供前面对所公开的实施例的描述是为了使本领域技术人员皆能制作或使用所公开的实施例。对这些实施例的各种修改对于本领域技术人员而言将是显而易见的，并且本文中定义的原理可被应用于其他实施例而不会脱离本公开的范围。因此，本公开并非旨在被限定于本文中公开的实施例，而是应被授予与如由所附权利要求定义的原理和新颖性特征一致的最广的可能范围。

Claims (20)

1.一种移动设备的操作方法，包括：
在移动设备处从接入点接收至少一个消息；
在接收所述至少一个消息之后，在所述移动设备处执行第一可扩展认证协议EAP认证；
在执行所述第一EAP认证之后，在与所述第一EAP认证相关联的主会话密钥MSK期满前在所述移动设备处执行第一自举式EAP重新认证协议ERP重新认证；
发起在所述移动设备处基于重新认证根密钥rRK是否已经消逝来确定是执行第二EAP认证还是第二自举式ERP重新认证，其中由所述移动设备访问rRK生存期；以及
在所述第二自举式ERP重新认证被执行且不成功时，减小所述rRK生存期的值。
2.如权利要求1所述的方法，其特征在于，进一步包括在与所述接入点的会话期间从所述移动设备向所述接入点传达至少一个第二消息，其中在所述会话终止前执行所述第一自举式ERP重新认证。
3.如权利要求1所述的方法，其特征在于，进一步包括在所述第一自举式ERP重新认证期间接收重新认证MSKrMSK生存期。
4.如权利要求3所述的方法，其特征在于，发起确定是执行第二EAP认证还是第二自举式ERP重新认证包括从所述移动设备内的非易失性存储器访问所述rRK生存期。
5.如权利要求1所述的方法，其特征在于，所述rRK生存期被存储在所述移动设备的非易失性存储器中，并且其中所述方法进一步包括在所述移动设备的预设期间访问所述非易失性存储器中的所述rRK生存期。
6.一种移动设备的操作方法，包括：
在移动设备处从接入点接收至少一个消息；
在接收所述至少一个消息之后，在所述移动设备处执行第一可扩展认证协议EAP认证；
在执行所述第一EAP认证之后，在与所述第一EAP认证相关联的主会话密钥MSK期满前在所述移动设备处执行第一自举式EAP重新认证协议ERP重新认证；
在所述移动设备处基于重新认证根密钥rRK生存期是否已经消逝来确定是执行第二EAP认证还是第二自举式ERP重新认证，其中所述rRK生存期的值被存储在所述移动设备内的非易失性存储器中；
发起所述第二自举式ERP重新认证而非所述第二EAP认证；
确定所述第二自举式ERP重新认证不成功；以及
响应于确定所述第二自举式ERP重新认证不成功而减小所述rRK生存期的值。
7.如权利要求6所述的方法，其特征在于，进一步包括在所述移动设备的预设期间访问所述非易失性存储器，其中所述非易失性存储器在所述预设期间存储所述rRK生存期。
8.如权利要求7所述的方法，其特征在于，所述非易失性存储器包括订户身份模块SIM，且访问所述非易失性存储器包括在所述预设期间从所述SIM读取所述rRK生存期的值。
9.如权利要求6所述的方法，其特征在于，进一步包括：
发起第三自举式ERP重新认证；
确定所述第三自举式ERP重新认证不成功；以及
响应于确定所述第三自举式ERP重新认证不成功，改变所述rRK生存期的值。
10.如权利要求9所述的方法，其特征在于，响应于确定所述第三自举式ERP重新认证不成功而改变所述rRK生存期的值包括减小所述rRK生存期的值。
11.一种包括指令的非瞬态处理器可读介质，所述指令当由移动设备的处理器执行时使所述处理器：
从接入点接收至少一个消息；
在接收所述至少一个消息之后，执行第一可扩展认证协议EAP认证；
在执行所述第一EAP认证之后，在与所述第一EAP认证相关联的主会话密钥MSK期满前执行第一自举式EAP重新认证协议ERP重新认证；
发起基于重新认证根密钥rRK是否已经消逝来确定是执行第二EAP认证还是第二自举式ERP重新认证，其中由所述处理器访问rRK生存期；以及
在所述第二自举式ERP重新认证被执行且不成功时，减小所述rRK生存期的值。
12.如权利要求11所述的非瞬态处理器可读介质，其特征在于，所述移动设备包括非易失性存储器，并且其中所述指令的执行进一步使所述处理器在所述移动设备的预设期间从所述非易失性存储器访问所述rRK生存期。
13.一种移动设备，包括：
处理器；以及
存储指令的存储器，所述指令能由所述处理器执行以：
从接入点接收至少一个消息；
在接收所述至少一个消息之后，执行第一可扩展认证协议EAP认证；
在执行所述第一EAP认证之后，在与所述第一EAP认证相关联的主会话密钥MSK期满前执行第一自举式EAP重新认证协议ERP重新认证；
发起基于重新认证根密钥rRK是否已经消逝来确定是执行第二EAP认证还是第二自举式ERP重新认证，其中由所述处理器访问rRK生存期；以及
在所述第二自举式ERP重新认证被执行且不成功时，减小所述rRK生存期的值。
14.如权利要求13所述的移动设备，其特征在于，所述移动设备包括非易失性存储器，并且其中由所述处理器执行所述指令使得在所述移动设备的预设期间从所述非易失性存储器访问所述rRK生存期。
15.一种包括指令的非瞬态处理器可读介质，所述指令当由移动设备的处理器执行时使所述处理器：
从接入点接收至少一个消息；
在接收所述至少一个消息之后，执行第一可扩展认证协议EAP认证；
在执行所述第一EAP认证之后，在与所述第一EAP认证相关联的主会话密钥MSK期满前执行第一自举式EAP重新认证协议ERP重新认证；
基于重新认证根密钥rRK生存期是否已经消逝来确定是执行第二EAP认证还是第二自举式ERP重新认证，其中所述rRK生存期被存储在所述移动设备内的非易失性存储器中；
发起所述第二自举式ERP重新认证而非所述第二EAP认证；
确定所述第二自举式ERP重新认证不成功；以及
响应于确定所述第二自举式ERP重新认证不成功而减小所述rRK生存期的值。
16.如权利要求15所述的非瞬态处理器可读介质，其特征在于，所述指令的执行进一步使所述处理器在所述移动设备的预设期间访问所述非易失性存储器中的所述rRK生存期。
17.如权利要求15所述的非瞬态处理器可读介质，其特征在于，进一步使得所述处理器：
发起第三自举式ERP重新认证；
确定所述第三自举式ERP重新认证不成功；以及
响应于确定所述第三自举式ERP重新认证不成功，改变所述rRK生存期的值。
18.一种移动设备，包括：
非易失性存储器，其存储重新认证根密钥rRK生存期；
处理器；以及
存储指令的第二存储器，所述指令能由所述处理器执行以：
从接入点接收至少一个消息；
在接收所述至少一个消息之后，执行第一可扩展认证协议EAP认证；
在执行所述第一EAP认证之后，在与所述第一EAP认证相关联的主会话密钥MSK期满前执行第一自举式EAP重新认证协议ERP重新认证；
基于所述rRK是否已经消逝来确定是执行第二EAP认证还是第二自举式ERP重新认证；
发起所述第二自举式ERP重新认证而非所述第二EAP认证；
确定所述第二自举式ERP重新认证不成功；以及
响应于确定所述第二自举式ERP重新认证不成功而减小所述rRK生存期的值。
19.如权利要求18所述的移动设备，其特征在于，由所述处理器执行所述指令使得在所述移动设备的预设期间从所述非易失性存储器访问所述rRK生存期。
20.如权利要求18所述的移动设备，其特征在于，所述指令进一步能由所述处理器执行以：
发起第三自举式ERP重新认证；
确定所述第三自举式ERP重新认证不成功；以及
响应于确定所述第三自举式ERP重新认证不成功，改变所述rRK生存期的值。
CN201280054661.1A 2011-11-08 2012-11-08 启用对无线链路建立的密钥生存期的访问 Expired - Fee Related CN103999495B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US201161556921P 2011-11-08 2011-11-08
US61/556,921 2011-11-08
US13/670,372 US8984590B2 (en) 2011-11-08 2012-11-06 Enabling access to key lifetimes for wireless link setup
US13/670,372 2012-11-06
PCT/US2012/064076 WO2013070862A1 (en) 2011-11-08 2012-11-08 Enabling access to key lifetimes for wireless link setup

Publications (2)

Publication Number Publication Date
CN103999495A CN103999495A (zh) 2014-08-20
CN103999495B true CN103999495B (zh) 2017-10-27

Family

ID=48224681

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280054661.1A Expired - Fee Related CN103999495B (zh) 2011-11-08 2012-11-08 启用对无线链路建立的密钥生存期的访问

Country Status (7)

Country Link
US (1) US8984590B2 (zh)
EP (1) EP2777310A1 (zh)
JP (1) JP5815885B2 (zh)
KR (1) KR101591051B1 (zh)
CN (1) CN103999495B (zh)
IN (1) IN2014CN03390A (zh)
WO (1) WO2013070862A1 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101227458B (zh) * 2007-01-16 2011-11-23 华为技术有限公司 移动ip系统及更新家乡代理根密钥的方法
US9008062B2 (en) * 2012-01-09 2015-04-14 Futurewei Technologies, Inc. Systems and methods for AP discovery with FILS beacon
US9894599B2 (en) * 2012-06-13 2018-02-13 Qualcomm, Incorporated Method and apparatus for WLAN initial link setup
JP6204854B2 (ja) * 2014-03-12 2017-09-27 株式会社Ｎｔｔドコモ 情報提供システム、情報提供方法、近距離通信デバイス、情報提供装置及びサーバ
US9961545B2 (en) * 2014-06-03 2018-05-01 Qualcomm Incorporated Systems, methods, and apparatus for authentication during fast initial link setup
JP6200380B2 (ja) * 2014-06-11 2017-09-20 日本電信電話株式会社 認証支援システムおよびその動作方法
US20160134610A1 (en) * 2014-11-11 2016-05-12 Qualcomm Incorporated Privacy during re-authentication of a wireless station with an authentication server
CN109906624B (zh) * 2016-10-31 2023-07-21 瑞典爱立信有限公司 支持无线通信网络中的认证的方法以及相关网络节点和无线终端
KR20190037684A (ko) * 2017-09-29 2019-04-08 삼성에스디에스 주식회사 네트워크 접속 제어 장치 및 방법
CN109981272B (zh) * 2019-04-19 2020-05-15 南方电网数字电网研究院有限公司 密钥协商方法、装置、计算机设备和存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006132540A1 (en) * 2005-06-06 2006-12-14 Telenor Asa A method and arrangement for handing over a client from a first wireless lan to a second wireless lan
CN101675645A (zh) * 2007-05-07 2010-03-17 高通股份有限公司 用于实现对多重认证的高效率支持的方法和装置
CN101695165A (zh) * 2009-09-01 2010-04-14 深圳华为通信技术有限公司 切换方法、装置和系统

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004047405A2 (en) * 2001-08-09 2004-06-03 Honeywell International Inc. Secure aircraft communications addressing and reporting system (acars)
FR2847756B1 (fr) * 2002-11-22 2005-09-23 Cegetel Groupe Procede d'etablissement et de gestion d'un modele de confiance entre une carte a puce et un terminal radio
EP1712058A1 (en) 2004-02-06 2006-10-18 Telecom Italia S.p.A. Method and system for the secure and transparent provision of mobile ip services in an aaa environment
KR100602260B1 (ko) * 2005-01-05 2006-07-19 삼성전자주식회사 고속 핸드오버 방법
KR100704675B1 (ko) * 2005-03-09 2007-04-06 한국전자통신연구원 무선 휴대 인터넷 시스템의 인증 방법 및 관련 키 생성방법
US7978855B2 (en) * 2005-06-22 2011-07-12 Samsung Electronics Co., Ltd. Method for allocating authorization key identifier for wireless portable internet system
US8031872B2 (en) * 2006-01-10 2011-10-04 Intel Corporation Pre-expiration purging of authentication key contexts
US8006089B2 (en) 2006-02-07 2011-08-23 Toshiba America Research, Inc. Multiple PANA sessions
WO2007134547A1 (fr) 2006-05-24 2007-11-29 Huawei Technologies Co., Ltd. Procédé et système pour créer et distribuer une clé de sécurité ip mobile après réauthentification
US8583923B2 (en) * 2006-12-08 2013-11-12 Toshiba America Research, Inc. EAP method for EAP extension (EAP-EXT)
KR101447726B1 (ko) * 2006-12-08 2014-10-07 한국전자통신연구원 이동통신시스템에서의 인증키 생성 방법 및 갱신 방법
US8356176B2 (en) 2007-02-09 2013-01-15 Research In Motion Limited Method and system for authenticating peer devices using EAP
WO2009087006A1 (en) * 2008-01-09 2009-07-16 Nokia Siemens Networks Oy Mechanism for authentication and authorization for network and service access

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006132540A1 (en) * 2005-06-06 2006-12-14 Telenor Asa A method and arrangement for handing over a client from a first wireless lan to a second wireless lan
CN101675645A (zh) * 2007-05-07 2010-03-17 高通股份有限公司 用于实现对多重认证的高效率支持的方法和装置
CN101695165A (zh) * 2009-09-01 2010-04-14 深圳华为通信技术有限公司 切换方法、装置和系统

Also Published As

Publication number Publication date
IN2014CN03390A (zh) 2015-07-03
JP5815885B2 (ja) 2015-11-17
CN103999495A (zh) 2014-08-20
JP2015502701A (ja) 2015-01-22
US20130117820A1 (en) 2013-05-09
US8984590B2 (en) 2015-03-17
WO2013070862A1 (en) 2013-05-16
EP2777310A1 (en) 2014-09-17
KR101591051B1 (ko) 2016-02-03
KR20140098774A (ko) 2014-08-08

Similar Documents

Publication Publication Date Title
CN103999495B (zh) 启用对无线链路建立的密钥生存期的访问
EP2070345B1 (en) Wireless device registration, such as automatic registration of a wi-fi enabled device
CN107529160B (zh) 一种VoWiFi网络接入方法和系统、终端及无线访问接入点设备
EP1890518B1 (en) Communication system, wireless-communication device, and control method therefor
US20030236980A1 (en) Authentication in a communication system
US20120076072A1 (en) System and method for maintaining privacy in a wireless network
CN104620613A (zh) 用于在邻域知悉型网络内进行发现后通信的系统和方法
KR20100092828A (ko) 휴대단말기와 디지털 기기간 자동 무선 연결을 위한 시스템 및 방법
CN106856609A (zh) 一种网络配置方法及装置
CN101156412B (zh) 用于在通信网络中提供引导过程的方法和装置
US11381973B2 (en) Data transmission method, related device, and related system
CN103650574A (zh) 用于自组织无线网络中的管理信息的传送的设备和方法
US20090037979A1 (en) Method and System for Recovering Authentication in a Network
CN116723507B (zh) 针对边缘网络的终端安全方法及装置
CN110226319A (zh) 用于紧急接入期间的参数交换的方法和设备
CN114930769B (zh) 本地通信的方法、装置和系统
EP2863669A1 (en) Method for authenticating a device to a short range radio-frequency communication network and corresponding device and server
CN114340037B (zh) 一种LoRaWAN设备间通信方法、系统、设备及介质
JP5227905B2 (ja) ゲートウェイ装置及びそれを用いた端末認証方法
KR101062662B1 (ko) Ｗｐａｎ 간 통신 시스템 및 방법
KR101455965B1 (ko) 모바일 ｉｐｖ4에 대한 새로운 다이어미터 시그널링
KR20060079515A (ko) 원폰 서비스의 데이터 서비스 과금 방법 및 그 시스템
JP2020137100A (ja) 通信方法、通信システム、中継装置および中継プログラム

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20171027

Termination date: 20181108