CN104798430B - 无线设备的安全在线注册和配置 - Google Patents

无线设备的安全在线注册和配置 Download PDF

Info

Publication number
CN104798430B
CN104798430B CN201380060673.XA CN201380060673A CN104798430B CN 104798430 B CN104798430 B CN 104798430B CN 201380060673 A CN201380060673 A CN 201380060673A CN 104798430 B CN104798430 B CN 104798430B
Authority
CN
China
Prior art keywords
ssid
configuration
mobile device
hot spot
osu
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201380060673.XA
Other languages
English (en)
Other versions
CN104798430A (zh
Inventor
维韦克·G·古谱塔
内贾蒂·凯普莱特
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Priority to CN201610042047.3A priority Critical patent/CN105635165B/zh
Publication of CN104798430A publication Critical patent/CN104798430A/zh
Application granted granted Critical
Publication of CN104798430B publication Critical patent/CN104798430B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/73—Access point logical identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/50—Service provisioning or reconfiguring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本文一般描述了用于针对Wi‑Fi热点的安全在线注册和证书的配置的移动设备和方法的实施例。在一些实施例中，配置通过使用服务集标识符(SSID)发生以关联热点并获取虚拟LAN(VLAN)标识符。VLAN标识符被用于完成注册和配置过程。在一些实施例中，热点可实施主SSID和从属SSID。移动设备通过使用从属SSID来关联热点以执行安全在线注册和配置过程。一旦通过使用注册和配置过程获取了证书，则该设备能够通过使用主SSID和已经配置的证书连接至热点。所配置的证书可包括凭证、用户名/密码或SIM类型证书。

Description

无线设备的安全在线注册和配置
相关申请
本申请请求保护在2012年12月27日递交的美国专利申请序列号No.13/728,606的优先权的利益，该申请通过引用的方式被全部并入本文中。
技术领域
本公开的实施例涉及无线通信。一些实施例涉及用于服务连接性的安全在线注册和证书的配置。一些实施例与热点2.0网络和热点2.0演进有关。
背景技术
注册并且连接至Wi-Fi热点并非简单而用户友好的过程。用户可能不得不在不同的位置面对不同类型的网页、输入信息并选择他们的用户名/密码。目前，尚无为支持Wi-Fi功能的设备和热点定义安全在线注册机制的标准化机制。此外，当不同类型的证书(用户名/密码、凭证、用户信息模块(SIM)类型证书等等)被配置时，出现了额外的并发问题。
附图说明
图1示出了根据一些实施例的无线网络；
图2示出了根据一些实施例的在线注册和证书配置机制；
图3示出了根据一些实施例的订阅管理对象的证书部分；
图4示出了根据一些实施例的无线网络；
图5示出了根据一些实施例的在线注册和证书配置机制；
图6示出了根据一些实施例的在线注册和证书配置机制；
图7示出了根据一些实施例的在线注册和证书配置机制；
图8示出了根据一些实施例的在线注册和证书配置机制；
图9示出了根据一些实施例的在线注册和证书配置机制；
图10示出了根据一些实施例的系统框图。
具体实施方式
下面的详细描述和附图充分地说明了具体实施例以使本领域的技术人员能够实践它们。其他实施例可包含结构的、逻辑的、电气的处理及其他变化。一些实施例中的部分及其特征可被包括在其他实施例的部分及其特征中或代替其他实施例的部分及其特征。在权利要求中提到的实施例包含那些权利要求的所有可用的等同物。
图1示出了根据一些实施例的无线网络。根据一些实施例，网络为安全在线注册和证书的配置构成了可操作环境。在图1中，移动设备100(有时被称为用户装置(UE)、站点(STA)或无线设备)可以是被配置成关联Wi-Fi热点102并执行与安全在线注册和配置相关联的各种功能的支持Wi-Fi功能的设备。移动设备100可包括用以实现诸如，开放移动联盟设备管理(OMA-DM)协议、简单对象访问协议可扩展标记语言(SOAP-XML)协议或一些其他管理协议之类的设备管理协议的设备管理客户端(未被示出)。
Wi-Fi热点102可以是Wi-Fi网络的一部分，并且可被耦合至网络106，其中网络106可以是局部网络或路由器，或者可以是通过其可访问诸如互联网之类的其他网络116的网关，或者是二者的组合。Wi-Fi热点102可作为Wi-Fi接入点(AP)进行操作。
Wi-Fi热点102可被耦合至各种网络元件，诸如，在线注册(OSU)服务器104，认证、授权和计费(AAA)服务器110，归属位置寄存器(HLR)112和证书授权(CA)114。在一些实施例中，OSU服务器104可实现OMA-DM协议。在其他实施例中，OSU服务器104可实现SOAP-XML协议或一些其他管理协议。在一些实施例中，OSU服务器104可用作其他服务器或设备(诸如，AAA服务器110、HLR 112和CA 114)的代理。
根据本文的实施例，移动设备100可被配置用于针对Wi-Fi热点的在线注册和证书配置。如下面更加详细地描述的，这些可使用各种管理协议，诸如OMA-DM、SOAP-XML或一些其他协议。这可使在他们的后端核心网络中可能已经实施了这些协议中的一个或多个的蜂窝类型网络服务提供商能够使用相同的服务器和被安装的组件以将该功能扩展为用于服务Wi-Fi网络。通过这种方式，Wi-Fi网络可与相同的蜂窝网后端核心一起运行，这样以更加无缝和透明的方式实现了从蜂窝类型网络中卸载Wi-Fi。蜂窝类型网络可能指的是任何2G(例如，GSM、EDGE)或3G(例如，3GPP、3GPP2)或4G(例如，WiMAX、LTE)配置的网络。
在图1中，Wi-Fi热点102和OSU服务器104能够组成强制门户108的一部分。强制门户能够阻止/拦截IP分组和将请求重新路由至指定的位置。出于安全目的，这能够提供例如，“带围墙的花园”。
图2示出了根据一些实施例的在线注册和证书配置机制。在图2的实施例中，热点202具有单个服务集标识符(SSID)，其中SSID可被诸如移动设备200之类的设备用来关联热点。此外，在图2中，热点202和OSU服务器204可以是强制门户的一部分(由虚线框206示出)。
在图2中，如212和214所示，移动设备200使用热点202的单个SSID以认证和关联热点202。如所描述的，此过程使用带有服务器端认证和4次握手协议的匿名可扩展认证协议传输层安全(EAP-TLS)。移动设备200的证书是根据归属运营商的HLR验证的。作为初始关联过程的一部分，虚拟局域网(VLAN)标识符被传递至移动设备200以用于在线注册和证书配置。通过不同的路由策略，不同的VLAN配置能够被用于不同的移动设备。
在移动设备具有VLAN标识符之后，它能够将该VLAN标识符用于在线注册和配置过程的剩余部分。这种在线注册和配置过程中的典型步骤通过216、218、220、222和224被示出。
此过程通常从允许移动设备200与OSU服务器204建立联系的初始交换开始以启动该过程。在此初始交换216期间，OSU通常提供能够从其获取订阅率和其他类似的信息的统一资源标识符(URI)。初始交换216通常还包含用于使移动设备200通过从OSU服务器204获取的URI启动浏览器的命令。
交换218示出了移动设备200和OSU服务器204如服务提供商所指定的那样交换注册数据的过程。此信息能够组成订阅管理对象的证书部分的一部分。在此信息被确定后，如果证书将是用户名/密码类型的(与基于凭证或用户身份模块(SIM)类型证书相反)，则来自信任根AAA服务器208的证书被获取并被存储在订阅管理对象中，并且任意TLS会话被发布。这能够例如，通过交换224被示出。
然而，如果在交换218之后，基于凭证的证书是所期望的，则凭证登记过程被发起。此过程在图2中通过交换220和交换222被示出。在交换220和222中，证书被CA 210获取并签名(验证)。这能够由例如，移动设备200通过使用互联网工程任务组(IETF)请求注解5967(RFC 5967)样式的公钥加密标准#10(PKCS#10)请求来实现。如此交换所指出的，当CA 210验证凭证时，OSU服务器204能够作为代理。当凭证已经由CA 210签名之后，OSU服务器204能够以RFC 5967样式的PKCS#7响应来应答。
当基于凭证的证书是所期望的时，最终交换与此前结合交换224所描述的略有不同。当基于凭证的证书是所期望的时，在交换220和交换222之后，从OSU服务器204中获取标识了由交换220和222所创建的证书的订阅管理对象。最后，任意TLS会话被发布。
一旦移动设备200具有订阅管理对象，则如226所示出的，该移动设备200与热点202分离。最后，如228所指出的，移动设备200通过使用它的SSID和在订阅管理对象中标识的证书来关联热点202。
图3示出了根据一些实施例的订阅管理对象的示例证书部分。为了简单起见，订阅管理对象的剩余部分未被示出，但是根据热点2.0规范和演进的热点2.0规范，订阅管理对象可以是每提供者订阅(PerProviderSubcription)管理对象。在下面的详细描述中，在所示出的树中的节点将被称为节点、元素、域和/或参数。所有均意图表明相同的含义，并非意图表明差异。
证书部分300包含创建数据302，其表示证书被创建或最近更新的日期。如果呈现了过期日期304，则其表示证书过期的日期。领域330说明了与证书相关联的领域。移动设备通过将该领域与在初始网络发现阶段期间返回到接入网络查询协议(ANQP)网络接入标识符(NAI)领域元素中的领域相比较来确定它是否应该能够成功地认证热点。支持IEEE802.11u的移动设备将通过使用ANQP针对附加信息对支持IEEE 802.11u的热点进行查询。这可包括对于被称为NAI领域列表的元素的请求。NAI领域列表包括与该领域相关联的用于接入的一个或多个(根据RFC-4282定义的)NAI领域和可选EAP方法和认证参数。
取决于所存储的证书的类型，证书部分300应包含用户名/密码参数306、数字凭证参数324或SIM参数332。
用户名/密码参数306包括各种参数，其中包括用户名308和密码310。机器管理的参数312指定密码是否是机器管理的。SoftTokenApp(软令牌应用)314指定应当被用于生成密码的应用。当此参数出现时，密码应具有空值。AbleToShare(可共享)316表明证书是否仅在订阅的机器上是可用的(即，非AbleToShare)或者对该用户的其他机器也是可用的(即，AbleToShare)。EAP方法318包括EAP方法320和内部EAP方法322，其中EAP方法320表明EAP方法，而内部EAP方法322表明隧道式EAP方法(如果使用)。
数字凭证参数324包括数字凭证类型326和certSHA256指纹328，其中数字凭证类型326表明数字凭证的类型(例如，802.1ar或x509v3)，certSHA256指纹328提供了用于订阅的凭证证书的SHA-256指纹。此参数指定了凭证证书中的发行者可识别名。结合凭证序列号，此参数唯一标识凭证。
SIM参数332包括国际移动设备用户识别(IMSI)码334和EAP方法336，其指定了被用于基于SIM的认证的EAP方法(例如，EAP-SIM、EAP认证和密钥协商(EAP-AKA)等等)。
图4示出了根据一些实施例的无线网络。根据一些实施例，网络为安全在线注册和证书的配置构成了可操作环境。在图4中，移动设备400(有时也被称为UE或无线设备)可以是被配置成关联Wi-Fi热点402并且执行与安全在线注册和配置相关联的各种功能的支持Wi-Fi功能的设备。移动设备400可包括设备管理客户端(未被示出)以实现诸如OMA-DM协议、SOAP-XML协议或一些其他管理协议之类的设备管理协议。
Wi-Fi热点402可以是Wi-Fi网络的一部分并且可被耦合至网络408，其中网络408可以是局部网络或路由器、通过其可以访问诸如互联网之类的其他网络(未被示出)的网关或二者的组合。Wi-Fi热点402可作为Wi-Fi AP操作。
在图4所示的实施例中，热点402具有主SSID和基本服务集标识符(BSSID)404以及从属SSID和BSSID 406，它们共享同一物理网络。在此实施例中，主SSID由已经具有证书的设备使用，并且从属SSID由需要注册服务和配置证书的设备使用。主SSID和从属SSID以及BSSID可通过所定义的方式互相关联或者可以从彼此之中导出。例如，词组或其他标识符能够被添加到主SSID(或BSSID)以确定从属SSID(或BSSID)。在一个具体的实施例中，从属SSID通过向主SSID添加词组“HS-从属”被导出。因此，“Starbucks”的SSID将产生“HS-从属-Starbucks”。其他词组和/或标识符也可被使用或者一些其他功能或机制能够被用于从主SSID中导出从属SSID。
希望对这种热点进行注册和证书配置的设备需要发现或标识从属SSID(以及从属BSSID)以便于适当地关联热点402并开始注册和配置过程。这能够通过各种方式来实现。在最简单的示例中，从属SSID就像主SSID一样被广播(或被包括作为探测响应的一部分)。当此过程发生时，所显示的SSID列表能够由诸如移动设备400之类的移动设备进行过滤以仅示出主SSID而不示出从属SSID。或者，如果从属SSID通过已知的或可预测的方式从主SSID中被导出，则该设备能够通过了解主SSID(其被广播在信标帧中或响应于探测请求被发送)从主SSID中计算或确定从属SSID。作为选择或作为附加地，从属SSID能够被包括在Wi-Fi联盟(WFA)供应商特定的信息元素中。在又一示例中，主SSID和主BSSID可以是被作为信标帧的一部分或响应于探测请求被发送的主配置文件的一部分，并且从属SSID和从属BSSID可以是未被发送的从属配置文件的一部分。从属配置文件可作为OSU提供商列表的一部分被包括在其中。在又一示例中，多个BSSID元素能够被包括在信标帧中，或作为对探测请求的响应。这些不同的示例和实施例能够通过各种方式进行结合以获得另外的实施例。取决于具体的实施例，主SSID和从属SSID可能具有相同的或不同的无线覆盖范围。
Wi-Fi热点402可被耦合至各种网络元件，诸如OSU服务器410、AAA服务器412、HLR414和CA 416。在一些实施例中，OSU服务器410可实现OMA-DM协议。在其他实施例中，OSU服务器410可实现SOAP-XML协议或一些其他管理协议。在一些实施例中，OSU服务器410可作为其他服务器或设备(诸如，AAA服务器412、HLR 414和CA 416)的代理。
根据本文的实施例，移动设备400可被配置用于针对Wi-Fi热点的在线注册和证书配置。如下面更加全面地描述的，这些过程可使用各种管理协议，诸如OMA-DM、SOAP-XML或一些其他协议。这可使在他们的后端核心网络中可能已经实施了这些协议中的一个或多个的蜂窝类型网络服务提供商能够使用相同的服务器和所安装的组件以将该功能扩展为用于服务Wi-Fi网络。通过这种方式，Wi-Fi网络可与相同的蜂窝网络后端核心一起运行，从而使Wi-Fi能够通过更加无缝和透明的方式从蜂窝类型网络中卸载。蜂窝类型网络可能指的是任何2G(例如，GSM、EDGE)或3G(例如，3GPP、3GPP2)或4G(例如，WiMAX、LTE)配置的网络。
图5示出了根据一些实施例的在线注册和证书配置机制。在图5的实施例中，热点502具有主SSID 530和从属SSID 528。热点502还可具有主BSSID和从属BSSID(二者均未被示出)。如上面所描述的，它们能够以某种方式相关联或可导出。移动设备将使用从属SSID528用于在线注册和证书配置，并且如果移动设备已经具有证书(或已经配置了证书)，则移动设备将使用主SSID 530用于正常连接以使用热点服务。
注册和配置过程在交换510和交换512处开始，其中移动设备使用从属SSID来认证和关联热点502。此过程可使用带有服务器端认证的匿名EAP-TLS。如交换512所指出的，通过AAA服务器506，移动设备500的证书根据归属运营商的HLR进行验证。
交换514允许移动设备500联系OSU服务器504以开始注册和配置过程。在此初始交换514期间，OSU服务器504提供能够从其获取订阅率和其他类似的信息的URI。初始交换514通常还包含用于使移动设备500通过从OSU服务器504获取的URI启动浏览器的命令。
交换516示出了移动设备500和OSU服务器504如服务提供商所指定的那样交换注册数据的过程。此信息能够组成订阅管理对象的一部分。在此信息被确定后，如果证书将是用户名/密码类型的(与基于凭证或SIM类型证书相反)，则来自信任根AAA服务器506的证书被获取并被存储在订阅管理对象中，并且任意TLS会话被发布。这能够例如，通过交换522被示出。
然而，如果在交换516之后，基于凭证的证书是所期望的，则凭证登记过程被发起。此过程通过交换518和交换538被示出。在交换518和538中，通过CA 508获取并注册(验证)凭证。这能够由例如，移动设备500通过使用IETF RFC 5967样式的PKCS#10请求来实现。如此交换所指出的，当CA 508验证凭证时，OSU服务器504能够作为代理。在凭证已经由CA 508验证之后，OSU服务器504能够通过RFC 5967样式的PKCS#7响应来应答。
当基于凭证的证书是所期望的时，最终交换与之前结合交换522所描述的略有不同。当基于凭证的证书是所期望的时，在交换518和交换538之后，标识了由交换518和538所创建的证书的订阅管理对象从OSU服务器504中被获取。最后，任意TLS会话被发布。
一旦移动设备500具有订阅管理对象，则如524所示出的，它即与热点502分离。最后，如526所指出的，移动设备500通过使用它的主SSID530和在订阅管理对象中标识的证书来关联热点502。
图6示出了根据一些实施例的在线注册和证书配置机制。在此实施例中，配置是使用根据OMA-DM协议配置的OMA-DM管理消息针对用户名/密码类型证书进行的。这些消息被称为OMA-DM封包1消息、OMA-DM封包2消息、OMA-DM封包3消息和OMA-DM封包4消息。OMA-DM协议可由OMA-DM规范中的OMA-DM工作小组和数据同步(DM)工作小组来指定。
在线注册和配置从移动设备600通过使用从属SSID 638关联热点602(未被示出)开始。在关联热点602之后，在交换606中移动设备600发起对OSU服务器604的TLS连接，并且通过使用安全超文本传输协议(HTTPS)执行服务器端认证。
在交换608中，移动设备600向OSU服务器604发送DM封包1，其中DM封包1包含DevInfo和DevDetail管理对象，并且通用警报(Generic Alert)指出联系OSU服务器704的原因。通用警报中的原因元素被设置成“SubscriptionCreation(订阅创建)”，表明移动设备600的用户想要建立对此服务提供商的新的订阅。DevDetail管理对象包含通用移动设备信息，并且DevInfo管理对象包含用于OMA-DM或SOAP-XML服务器的信息。对这些管理对象的详细说明可以在OMA移动设备管理树说明，版本1.2中找到。
在交换610中，OSU服务器604可使用在DevInfo和DevDetail管理对象中提供的信息以确定用以配置的证书的类型(例如，用户名/密码或凭证)。在此示例中，OSU服务器604将配置用户名/密码类型证书。OSU服务器604通过用以在移动设备600上针对所包括的URI启动浏览器的命令Execute：LaunchBrowsertoURI向客户端返回DM封包2。
在接收Execute：LaunchBrowsertoURI命令之后，移动设备启动浏览器，建立到交换610中返回的URI的安全HTTPS连接，并且向交换610中返回的OSU服务器URI发送HTTPSGET请求。这在图6中通过交换612被示出。出于本公开的目的，术语浏览器被用来指代能够在移动设备的用户界面上呈现页面的浏览器功能。这并非意图暗示独立的应用。例如，实施方式可包括连接管理器中的浏览器功能。
在交换614中，移动设备600和OSU服务器604如服务提供商所指定的那样交换注册数据。在某些情况下，用户能够具有通过使用与当前所使用的移动设备不同的移动设备配置的订阅，或者原始移动设备可能已经被重新成像，或者该用户此前已经通过服务提供商(例如，通过他们的网站)设置了账户。在这些情境中，订阅已经被建立，但移动设备不具有用户名/密码证书。此步骤的消息流可适应此情境并允许用户利用绑定至此前建立的订阅的证书配置该移动设备。
在订阅配置过程的结尾处，如交换616所示出的，OSU服务器604返回sppUserInputResponse XML实例文档。如果没有错误发生，则sppUserInputResponse是sppStatus和PerProviderSubscription管理对象URI的容器。sppUserInputResponse XML实例文档被返回，它的HTTP内容类型被设置成“application/vnd.wfa.cm+xm1.”。
如果订阅创建的状态为成功，则如交换618所示出的，移动设备600向OSU服务器604发送包含了此前命令执行的状态的DM封包3。如果在新订阅的建立中存在错误，则移动设备将接收DM封包4(未被示出)，表明OMA DM事务处理的结束。
如交换620所示出的，OSU服务器604向移动设备600发送包含了PerProviderSubscription管理对象和命令ADD的DM封包4，指定被添加至移动设备600上的OMA-DM管理树的PerProviderSubscription管理对象的位置。在交换622中，移动设备600发送表明了此前操作的状态的DM封包3。作为响应，如624中所示出的，OSU服务器604发送DM封包4，其中DM封包4表明OMA DM事务处理的结束。
在OMA-DM事务处理的结尾处，如626中所示出的移动设备600从PerProviderSubscription管理对象中所指定的URL获取AA服务器信任根。移动设备向OSU服务器604发送对于URL的HTTPS Get请求，OSU服务器604可提供HTTP代理服务，如果需要的话，以从URL中标识的主机中获取AAA服务器凭证(交换628)。
在交换630中，移动设备600发布在606中建立的TLS会话。然后，如632所示出的，移动设备600从Wi-Fi接入网中分离。
如果在618中成功地建立了订阅，则如634中所示出的，移动设备600可通过使用主SSID 640关联新的证书。
图7示出了根据一些实施例的在线注册和证书配置机制。在此实施例中，配置是通过使用根据OMA-DM协议配置的OMA-DM管理消息针对凭证类型证书进行的。这些消息被称为OMA-DM封包1消息、OMA-DM封包2消息、OMA-DM封包3消息和OMA-DM封包4消息。
在线注册和配置从移动设备700通过使用从属SSID 742关联热点702(未被示出)开始。在关联热点702之后，在交换708中移动设备700发起对OSU服务器704的TLS连接，并且通过使用安全HTTPS执行服务器端认证。
在交换710中，移动设备700向OSU服务器704发送DM封包1，其中DM封包1包含DevInfo和DevDetail管理对象，并且通用警报(Generic Alert)指出联系OSU服务器604的原因。通用警报中的原因元素被设置成“SubscriptionCreation(订阅创建)”，表明移动设备700的用户想要建立对此服务提供商的新的订阅。DevDetail管理对象包含通用移动设备信息，并且DevInfo管理对象包含用于OMA-DM或SOAP-XML服务器的信息。对这些管理对象的详细说明可以在OMA移动设备管理树说明，版本1.2中找到。
在交换712中，OSU服务器704可使用在DevInfo和DevDetail管理对象中提供的信息以确定用以配置的证书的类型(例如，用户名/密码或凭证)。在此示例中，OSU服务器704将配置凭证类型证书。OSU服务器704通过用以在移动设备700上针对所包括的URI启动浏览器的命令Execute：LaunchBrowsertoURI向客户端返回DM封包2。
在接收Execute：LaunchBrowsertoURI命令之后，移动设备700启动浏览器，建立到交换712中返回的URI的安全HTTPS连接，并且向交换712中返回的OSU服务器URI发送HTTPSGET请求。这在图7中通过交换714被示出。
在交换716中，移动设备700和OSU服务器704如服务提供商所指定的那样交换注册数据。在某些情况下，用户能够具有通过使用与当前所使用的移动设备不同的移动设备配置的订阅，原始的移动设备可能已经被重新成像或者用户此前已经通过服务提供商(例如，通过他们的网站)设置了账户。在这些情境中，订阅已经被建立，但移动设备不具有证书。此步骤的消息流可适应此情境并且允许用户利用绑定至此前建立的订阅的证书配置该移动设备。
在交换718中，OSU服务器704返回订阅创建过程的状态。如果订阅创建过程的状态是成功的，则如交换720所示出的，移动设备700发送所执行的命令的状态为成功的DM封包3。如果在交换718中服务器指出错误，则在交换720中移动设备700将向服务器返回错误。
在交换722中，OSU服务器704通过命令Execute：CertificateEnrollToURI(执行：到URI的凭证注册)向移动设备700发送DM封包4。此DM封包在数据域中包括getCertificateXML实例文档。移动设备700在724和726中执行凭证注册。在凭证注册程序期间，AAA服务器信任根被提供至移动设备700。
如交换728所示出的，如果凭证注册执行是成功的，则移动设备700向OSU服务器704发送DM封包3。如果在凭证注册执行中存在错误，则其后移动设备进行至交换736。
在交换730中，OSU服务器704向移动设备700发送包含了PerProviderSubscription管理对象和命令ADD的DM封包4，指定被添加至移动设备上的OMA-DM管理树的PerProviderSubscription管理对象的位置。在交换732中，移动设备700发送具有所执行的命令的状态的DM封包3。在交换734中，OSU服务器704发送DM封包4，其中DM封包4表明OMA DM事务处理的结束，并且如736中所示出的，移动设备700发布在交换708中所建立的TLS会话。
如738所示出的，移动设备700从网络中分离。在交换740中，其后移动设备700通过使用在使用了主SSID 744的交换724和726中获取的证书能够关联热点702。
图8示出了根据一些实施例的在线注册和证书配置机制。在此实施例中，配置是通过使用SOAP-XML管理消息针对用户名/密码类型证书进行的。
在线注册和配置从移动设备800通过使用从属SSID 828关联热点802(未被示出)开始。在关联热点802后，在交换806中移动设备800发起对OSU服务器804的TLS连接，并且通过使用安全HTTPS执行服务器端认证。
在交换808中，移动设备800向包括DevInfo和DevDetail管理对象的服务器发送sppPostDevData。requestReason(请求原因)的值被设置成“订阅注册”，表明移动设备800希望注册证书。OSU服务器804可使用DevInfo和DevDetail管理对象中所提供的信息以确定用以配置的证书的类型(例如，用户名/密码或凭证)。
在交换810中，OSU服务器804向移动设备800发送sppPostDevDataResponse SOAP方法。响应方法的内容向移动设备800通知在线注册过程中的下一步。由于移动设备800已经就订阅注册发出信号，因而OSU服务器804返回使移动设备针对消息中所提供的URI启动浏览器的命令。如果没有错误发生，则sppStatus被设置成“OK”；sppStatus值为“OK”还表明证书配置过程未完成。
在交换812中，移动设备800向sppPostDevDataResponse中所提供的URI发送HTTPSGET请求。
在交换814中，移动设备800和OSU服务器804如服务提供商所指定的那样交换注册数据。在某些情况下，用户能够具有通过使用与当前所使用的移动设备不同的移动设备配置的订阅，原始移动设备可能已经被重新成像，或者该用户此前已经通过服务提供商(例如，通过他们的网站)设置了账户。在这些情境中，订阅已经被建立，但移动设备不具有用户名/密码证书。此步骤的消息流可适应此情境并允许用户利用绑定至此前建立的订阅的证书配置该移动设备。
在注册数据的交换的结尾处，如交换816所示出的，移动设备800可从OSU服务器获取804sppUserInputResponse XML实例文档。如816所示出的，此XML实例文档可以是被包括在输入注册数据结束时被传送至移动设备800的网页中的隐藏文档，而不是单独的交换。如果没有错误发生，则sppUserInputResponse是sppStatus、addMO命令和PerProviderSubscription管理对象的容器。sppUserInputResponse XML实例文档可被返回，它的HTTP内容类型被设置成“application/vnd.wfa.cm+xm1”。移动设备800的网络浏览器可将此XML实例文档传递至本地注册的帮助应用以用于处理(例如，连接管理器)。PerProviderSubscription管理对象包含用户名和密码以及辅助的配置数据。对被设置成“配置完成”的sppStatus的接收向移动设备800表明用户名和密码配置完成。
在交换818中，移动设备800使用HTTPS以从PerProviderSubscription管理对象中所指定的URL中获取AAA服务器信任根。移动设备可向OSU服务器发送对URL的HTTPS GET请求，如果需要的话，其可提供HTTP代理服务以从URL中所标识的主机中获取AAA服务器凭证。交换818由交换820(HTTPS响应)确认。
在822中，移动设备800发布其在交换806中建立的TLS会话。如824中所示出的，移动设备800能够与热点802分离，其后如826中所示出的，移动设备800通过使用新建立的证书和主SSID 830关联热点802。
图9示出了根据一些实施例的在线注册和证书配置机制。在此实施例中，配置是通过使用SOAP-XML管理消息针对凭证类型证书进行的。
在线注册和配置从移动设备900通过使用从属SSID 934关联热点902(未被示出)开始。在关联热点902之后，在交换908中移动设备900发起对OSU服务器904的TLS连接，并且通过使用安全HTTPS执行服务器端认证。
在交换910中，移动设备900向服务器发送包括DevInfo和DevDetail管理对象的sppPostDevData。requestReason的值被设置成“订阅注册”，表明移动设备900希望注册证书。OSU服务器904可使用DevInfo和DevDetail管理对象中所提供的信息以确定用以配置的证书的类型(例如，用户名/密码或凭证)。
在交换912中，OSU服务器904向移动设备900发送sppPostDevDataResponse SOAP方法。响应方法的内容向移动设备900通知在线注册过程中的下一步。由于移动设备900已经就订阅注册发出信号，因而OSU服务器904返回使移动设备针对消息中所提供的URI启动浏览器的命令。如果没有错误发生，则sppStatus被设置成“OK”；sppStatus值为“OK”还表明证书配置过程未完成。
在交换914中，移动设备900向sppPostDevDataResponse中所提供的URI发送HTTPSGET请求。
在交换916中，移动设备900和OSU服务器904如服务提供商所指定的那样交换注册数据。在某些情况下，用户能够具有通过使用与当前所使用的移动设备不同的移动设备配置的订阅，原始移动设备可能已经被重新成像，或者该用户此前已经通过服务提供商(例如，通过他们的网站)设置了账户。在这些情境中，订阅已经被建立，但移动设备不具有证书。此步骤的消息流可适应此情境并允许用户利用绑定至此前建立的订阅的证书配置该移动设备。
如交换918所示出的，在注册数据的交换的结尾处，移动设备900可从OSU服务器904获取sppUserInputResponse XML实例文档。此XML实例文档可以是被包括在输入注册数据结束时被传送至移动设备的网页中的隐藏文档，而不是作为交换918的一部分被返回。
如果没有错误发生，则sppUserInputResponse是sppStatus和getCertificateexec命令的容器。sppUserInputResponse XML实例文档可被返回，它的HTTP内容类型被设置成“application/vnd.wfa.cm+xm1”。网络浏览器可将此XML实例文档传递至本地注册的帮助应用以用于处理(例如，连接管理器)。XML实例文档包含凭证登记服务器的URI以及登记所需的其他元数据。
在交换920和922中，移动设备900执行凭证登记。凭证登记过程在通常情况下应花费很短的时期。通常情况被定义为意味着Wi-Fi热点和服务提供商核心网络未发生拥堵，并且OSU服务器904和CA 906未超载。在成功程序的结尾处，移动设备900已经配置了服务提供商可用于认证移动设备900的凭证。当不成功时，移动设备900可被通知凭证登记。如果凭证响应花费了超出预期的时间，则移动设备900可能超时并且宣布凭证登记失败。如果移动设备900从OSU服务器904接收“待定”响应，则移动设备900可继续重试凭证请求，直到进行了给定次数的重试。如果OSU服务器904未随着这些重试作出响应，则移动设备900可能超时。
需要注意的是，AAA服务器信任根是在凭证登记程序期间被提供给移动设备900的。对于使用了服务器凭证的那些EAP方法来说需要对AAA服务器凭证的验证。
在交换924中，移动设备900向OSU服务器904发送sppPostDevData SOAP方法，包括OMA-DM DevInfo和DevDetail管理对象。如果凭证登记成功了，则移动设备900可将requestReason的值设置成“凭证登记完成”，如果凭证登记失败了，则设置成“凭证登记失败”。
在交换926中，如果凭证登记成功了，则OSU服务器904向移动设备900发送包括addMO命令和PerProviderSubscription管理对象的sppPostDevDataResponse SOAP方法。PerProviderSubscription管理对象包含将所配置的凭证绑定至订阅的凭证标识符以及辅助配置数据。在sppPostDevDataResponse SOAP方法中，sppStatus被设置成“配置完成”以表明订阅和凭证配置过程已经完成。
如果凭证登记失败了，则OSU服务器904可通过下列操作之一进行响应。OSU服务器904可切换至配置机器管理的用户名/密码证书。在这种情况下，此交换中所返回的sppPostDevDataResponse SOAP方法可包含addMO命令和包含已配置的机器管理的用户名/密码证书的PerProviderSubscription管理对象。sppStatus可被设置成“配置完成”。
或者，OSU服务器904可切换至配置用户所选择的用户名/密码证书。在这种情况下，此步骤中所返回的sppPostDevDataResponse SOAP方法可包含exec命令以针对所提供的URI启动浏览器。sppStatus可被设置成“OK”。消息流可如图8中所描述的进行至交换814。
在又一示例中，OSU服务器904可放弃证书配置过程。在这种情况下，此步骤中所返回的sppPostDevDataResponse SOAP方法可包括被设置成“发生错误”的sppStatus，并且包括被设置成“此时无法配置证书”的errorCode(错误代码)的sppError元素可被返回。
在交换928中，在交换908中所建立的TLS会话被发布。然后，移动设备900能够与热点902分离(如交换930中所示出的)，并且如932中所示出的，通过使用新建立的证书和主SSID 936关联热点902。
图10示出了根据一些实施例的系统框图。图10示出了移动设备1000的框图。设备1000可包括处理器1004，存储器1006，收发器1008(包括至少一个天线1010)，指令1012、1014和可能的其他组件(未被示出)。尽管从框图的角度相似，但是对本领域的技术人员来说显而易见的是，不同的设备的操作的配置和细节可能是相似的或本质上不同的，这取决于具体的设备和职能。
处理器1004包括一个或多个中央处理单元(CPU)、图形处理单元(GPU)、加速处理单元(APU)或它们的各种组合。处理器1004为设备1000提供处理和控制功能。
存储器1006包括被配置成为设备1000存储指令和数据的一个或多个存储单元。收发器1008包括一个或多个收发器，其中该收发器包括用于适当的站点或响应者的用以支持多输入多输出(MIMO)通信的MIMO天线。尤其，收发器1008接收来自一个或多个网络中的其他设备的传输并将传输发送至一个或多个网络中的其他设备。
指令1012、1014包括在计算设备(或机器)上执行以使这类计算设备(或机器)执行本文所讨论的任何方法的指令或软件的一个或多个集合。指令1012、1014(也被称为计算机或机器可执行指令)可在被设备1000执行期间完全或至少部分驻留在处理器1004和/或存储器1006内。尽管指令1012和1014被示为分离的，但是它们可以是同一整体的一部分。处理器1004和存储器1006还包括机器可读介质。
在图10中，处理和控制功能被示为由处理器1004与相关联的指令1012、1014一起提供。然而，这些仅仅是包括(诸如，被包含在通用处理器或其他可编程处理器内的)可编程逻辑或电路的处理电路的示例，其中可编程逻辑或电路由软件或固件临时配置以执行某些操作。在各实施例中，处理电路可包括(例如，在专用处理器、专用集成电路(ASIC)或阵列内)被永久配置以执行某些操作的专用电路或逻辑。应当理解的是对机械地实施处理电路、在专用和永久配置的电路中实施处理电路或在临时配置的(例如，由软件配置的)电路中实施处理电路的决定可由例如，成本、时间、能耗、包装尺寸或其他考量驱动。
因此，术语“处理电路”应当被理解成包含有形的实体，即被物理构造的、永久配置的(例如，硬接线的)或临时配置的(例如，程序化的)用以按照本文所描述的某种方式运行或执行本文所描述的某些操作的实体。
摘要被提供以遵守要求摘要的37C.F.R部分1.72(b)，这将使读者确定技术公开的本质和要点。这是在理解它将不被用于限制或解释权利要求的范围或含义的情况下被提交的。下面的权利要求据此被并入详细说明中，每一项权利要求作为单独的实施例独立存在。
术语“计算机可读介质”、“机器可读介质”等等应当被视为包括存储一个或多个指令集的单个介质或多个介质(例如，集中式或分布式数据库和/或相关缓存和服务器)。该术语还应被视为包括能够存储、编码或携带由机器执行和使机器执行本公开的任何一个或多个方法的指令集的任何介质。因此，术语“计算机可读介质”、“机器可读介质”应被视为包括“计算机存储介质”、“机器存储介质”二者等等(有形来源包括固态存储器、光学和磁介质或其他有形设备和载体，而排除信号自身、载波和其他无形来源)以及“计算机通信介质”、“机器通信介质”等等(无形来源包括信号自身、载波信号等等)。
出于清晰的目的，将理解的是上面的详细描述参考不同的功能单元或处理器描述了一些实施例。然而，功能在不同的功能单元、处理器或领域之间的功能的任何适当的分布均可被使用而不有损于本文的实施例。例如，所示出的由分开的处理器或控制器执行的功能可由同一处理器或控制器执行。因此，对具体功能单元的引用仅被视为对用于提供所描述的功能的适当方式的引用，而不是对严格的逻辑或物理结构或组织的说明。
尽管本公开已经结合一些实施例进行了描述，然而不意图限制本文所提到的具体形式。本领域的技术人员将认识到所描述的实施例的各种特征可被合并。另外，将理解的是在不背离本公开的范围的情况下，本领域的技术人员可作出各种修改和改变。

Claims (23)

1.一种包括具有逻辑的一个或多个处理器的设备，所述逻辑用于：
通过使用从属服务集标识符SSID关联热点；
通过所述热点与在线注册OSU服务器建立传输层安全TLS会话；
与所述OSU服务器交换配置消息以注册订阅和配置证书；
从所述OSU服务器接收订阅管理对象；并且
与所述热点分离并通过使用主SSID和所述订阅管理对象关联所述热点。
2.根据权利要求1所述的设备，其中所述配置消息包括开放移动联盟设备管理OMA-DM消息。
3.根据权利要求1所述的设备，其中所述配置消息包括简单对象访问协议可扩展标记语言SOAP-XML消息。
4.根据权利要求1所述的设备，其中所述逻辑还用于发起用于对基于凭证的证书的配置的凭证登记协议；并且
其中在所述对基于凭证的证书的配置之后，所述逻辑还用于从所述OSU服务器接收命令以将位置添加到所述订阅管理对象。
5.根据权利要求1所述的设备，其中所述热点实施主基本服务集标识符BSSID和从属BSSID；并且
其中所述设备被配置成使用所述从属BSSID用于证书配置。
6.根据权利要求1所述的设备，其中所述从属SSID从所述主SSID中被导出。
7.根据权利要求1所述的设备，其中所述从属SSID被包含在供应商特定的消息元素中。
8.根据权利要求5所述的设备，其中所述主SSID和从属BSSID是所传输的配置文件的一部分；并且
其中所述从属SSID和从属BSSID是非传输的配置文件的一部分。
9.根据权利要求1所述的设备，其中所述逻辑还用于接收包括所述从属SSID的OSU提供者列表以用于在线注册。
10.根据权利要求1所述的设备，其中所述设备还包括：
包括一个或多个天线的收发器。
11.根据权利要求1所述的设备，其中所述逻辑还用于基于探测响应识别提供所述主SSID和所述从属SSID的所述热点。
12.一种包括具有逻辑的一个或多个处理器的设备，所述逻辑用于：
通过使用从属配置文件中的从属服务集标识符SSID关联热点，并建立与在线注册OSU服务器的安全连接；
与所述OSU服务器交换管理消息以注册订阅并标识对于创建具有证书部分的订阅管理对象来说必要的信息；
获取所述订阅管理对象；
与所述热点分离；以及
通过使用主配置文件中的主SSID和所述订阅管理对象的证书部分中的信息关联所述热点。
13.根据权利要求12所述的设备，其中所述从属配置文件是被包含为OSU提供者列表中的域的非传输的配置文件；并且
其中所述逻辑还用于获取所述OSU提供者列表。
14.根据权利要求12所述的设备，其中所述从属配置文件是Wi-Fi联盟WFA供应商特定的信息元素的一部分；并且
其中所述逻辑还用于解码所述供应商特定的信息元素以获取所述从属SSID。
15.根据权利要求12所述的设备，其中所述逻辑还用于向用户显示所述主SSID，并且当所述主SSID被显示时，隐藏所述从属SSID。
16.一种用于针对Wi-Fi网络的在线注册和配置的方法，包括：
由移动设备通过使用从属服务集标识符SSID关联热点并通过所述热点建立与在线注册OSU服务器的连接；
从所述OSU服务器接收包含与门户相关联的统一资源标识符URI的消息和由所述移动设备执行的Launch-Browser-to-URI命令；
在对所述消息的接收之后，由所述移动设备建立到所述URI的安全超文本传输协议HTTPS连接并且在HTTPS连接上向所述URI发送HTTP GET请求；
通过所述HTTPS连接与所述门户交换信息以用于包含证书部分的订阅管理对象的创建；
由所述移动设备接收包含所述证书部分的订阅管理对象；
与所述热点分离；以及
通过使用主SSID和所述订阅管理对象的证书部分中的信息由所述移动设备关联所述热点。
17.根据权利要求16所述的方法，还包括：
从所述OSU服务器接收包含凭证登记服务器的URI的可扩展标记语言XML实例文档；
通过使用所述URI建立到所述凭证登记服务器的连接并且与所述凭证登记服务器交换信息以配置凭证类型证书。
18.根据权利要求16所述的方法，还包括：
从所述OSU服务器接收包含URI的可扩展标记语言XML实例文档以获取认证、授权和计费AAA服务器信任根；
由所述移动设备获取在所述URI处的AAA服务器信任根。
19.根据权利要求16所述的方法，其中所述从属SSID是从所述主SSID中导出的。
20.一种存储指令的非暂态计算机可读存储介质，所述指令供一个或多个处理器运行以执行用于操作无线网络中的设备的操作，所述操作用于将所述设备配置成：
通过使用从属服务集标识符SSID关联热点；
通过所述热点与OSU服务器建立传输层安全TLS会话；
与所述OSU服务器交换配置消息以注册订阅和配置证书；
从所述OSU服务器获取订阅管理对象；并且
与所述热点分离并通过使用主SSID和所述订阅管理对象关联所述热点。
21.根据权利要求20所述的非暂态计算机可读存储介质，其中所述配置消息包括开放移动联盟设备管理OMA-DM消息。
22.根据权利要求20所述的非暂态计算机可读存储介质，其中所述配置消息包括简单对象访问协议可扩展标记语言SOAP-XML消息。
23.根据权利要求20所述的非暂态计算机可读存储介质，其中所述指令还将所述设备配置成：
发起用于对基于凭证的证书的配置的凭证登记协议；并且
其中在所述对基于凭证的证书的配置之后，所述指令还将所述设备配置成从所述OSU服务器接收命令以将位置添加到所述订阅管理对象。
CN201380060673.XA 2012-12-27 2013-06-05 无线设备的安全在线注册和配置 Active CN104798430B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610042047.3A CN105635165B (zh) 2012-12-27 2013-06-05 一种无线设备的安全在线注册和配置的方法及设备

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/728,606 US9307408B2 (en) 2012-12-27 2012-12-27 Secure on-line signup and provisioning of wireless devices
US13/728,606 2012-12-27
PCT/US2013/044238 WO2014105114A1 (en) 2012-12-27 2013-06-05 Secure on-line signup and provisioning of wireless devices

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN201610042047.3A Division CN105635165B (zh) 2012-12-27 2013-06-05 一种无线设备的安全在线注册和配置的方法及设备

Publications (2)

Publication Number Publication Date
CN104798430A CN104798430A (zh) 2015-07-22
CN104798430B true CN104798430B (zh) 2018-09-21

Family

ID=51017126

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201380060673.XA Active CN104798430B (zh) 2012-12-27 2013-06-05 无线设备的安全在线注册和配置
CN201610042047.3A Active CN105635165B (zh) 2012-12-27 2013-06-05 一种无线设备的安全在线注册和配置的方法及设备

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN201610042047.3A Active CN105635165B (zh) 2012-12-27 2013-06-05 一种无线设备的安全在线注册和配置的方法及设备

Country Status (5)

Country Link
US (3) US9307408B2 (zh)
EP (1) EP2939490B1 (zh)
JP (1) JP6022706B2 (zh)
CN (2) CN104798430B (zh)
WO (1) WO2014105114A1 (zh)

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8590023B2 (en) 2011-06-30 2013-11-19 Intel Corporation Mobile device and method for automatic connectivity, data offloading and roaming between networks
US9571482B2 (en) 2011-07-21 2017-02-14 Intel Corporation Secure on-line sign-up and provisioning for Wi-Fi hotspots using a device management protocol
US9307408B2 (en) 2012-12-27 2016-04-05 Intel Corporation Secure on-line signup and provisioning of wireless devices
US9398526B2 (en) 2013-01-11 2016-07-19 Intel Corporation Techniques for establishing communications with a local wireless network
EP3110207B8 (en) 2013-02-05 2021-09-08 Intel Corporation Online signup provisioning techniques for hotspot connections
US20150223059A1 (en) * 2013-03-01 2015-08-06 Intel Corporation Techniques for establishing access to a local wireless network
US20140295762A1 (en) * 2013-04-02 2014-10-02 Samsung Electronics Co., Ltd. Method for connecting short-range communication in electronic device and the electronic device
US9838950B2 (en) 2013-05-14 2017-12-05 Futurewei Technologies, Inc. System and method of ANQP querying using a common ANQP group version
WO2015038126A1 (en) * 2013-09-12 2015-03-19 Intel Corporation Techniques for device power management in a local wireless network
US9455878B2 (en) * 2014-02-17 2016-09-27 Haier Us Appliance Solutions, Inc. Systems and methods for enhanced network identification
US9800581B2 (en) * 2014-03-14 2017-10-24 Cable Television Laboratories, Inc. Automated wireless device provisioning and authentication
US9456389B2 (en) 2014-10-14 2016-09-27 Fortinet, Inc. Dynamic generation of per-station realm lists for hot spot connections
US10623502B2 (en) * 2015-02-04 2020-04-14 Blackberry Limited Link indication referring to content for presenting at a mobile device
US10104544B2 (en) * 2016-04-05 2018-10-16 Qualcomm Incorporated LTE-level security for neutral host LTE
GB2552788B (en) * 2016-08-05 2019-11-27 Eseye Ltd Loading security information
WO2018057426A1 (en) * 2016-09-20 2018-03-29 Intel IP Corporation Methods and devices for captive portal provisioning
GB2554953B (en) 2016-10-17 2021-01-27 Global Reach Tech Inc Improvements in and relating to network communications
CA3063510C (en) * 2017-05-23 2024-01-02 Global Reach Technology, Inc. Improvements in and relating to network communications
CN107360077A (zh) * 2017-06-14 2017-11-17 上海斐讯数据通信技术有限公司 Vlanid分配方法和vlan实现方法、云控制器及无线接入点
US20190014095A1 (en) * 2017-07-06 2019-01-10 At&T Intellectual Property I, L.P. Facilitating provisioning of an out-of-band pseudonym over a secure communication channel
US20190182645A1 (en) * 2017-12-08 2019-06-13 Qualcomm Incorporated Provisioning mechanism to trigger a subscription download at a user equipment
EP3729310B1 (en) * 2017-12-22 2022-08-24 British Telecommunications public limited company Device authentication
US20190394239A1 (en) * 2018-06-20 2019-12-26 GM Global Technology Operations LLC Application based policy management used with a client and a service provider
CN109525575A (zh) * 2018-11-08 2019-03-26 北京首信科技股份有限公司 上网管控的方法和系统
US11309666B2 (en) * 2019-04-16 2022-04-19 Centurylink Intellectual Property Llc Method and system for implementing media adaptation device functionality
US11616784B2 (en) 2019-07-11 2023-03-28 Kyndryl, Inc. Personal-public service set identifiers connection implemented by a WAP
US11265690B2 (en) * 2019-09-13 2022-03-01 Sling Media L.L.C. Ecosystem-based wireless network setup
WO2021134364A1 (zh) * 2019-12-30 2021-07-08 华为技术有限公司 一种在线签约方法及装置
CN111465005A (zh) * 2020-03-30 2020-07-28 维沃移动通信有限公司 一种热点分享方法及电子设备
CN112202799B (zh) * 2020-10-10 2022-05-10 杭州盈高科技有限公司 一种实现用户和/或终端与ssid绑定的认证系统及方法
WO2022082561A1 (en) * 2020-10-22 2022-04-28 Arris Enterprises Llc Method and system for parental control of broadband devices
WO2023229648A1 (en) * 2022-05-25 2023-11-30 Google Llc Methods and systems for in-band sign-up to a wireless network

Family Cites Families (75)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8594690B2 (en) 2000-02-05 2013-11-26 Telefonaktiebolaget L M Ericsson (Publ) Subcell measurement procedures in a distributed antenna system
US7562393B2 (en) * 2002-10-21 2009-07-14 Alcatel-Lucent Usa Inc. Mobility access gateway
MXPA05004766A (es) 2002-11-04 2005-08-02 Research In Motion Ltd Metodo y aparato para el hallazgo de servicios de datos de paquete.
US8331907B2 (en) 2003-02-18 2012-12-11 Roamware, Inc. Integrating GSM and WiFi service in mobile communication devices
KR20050116820A (ko) * 2003-03-14 2005-12-13 톰슨 라이센싱 공공 핫 스폿에서 클라이언트 터미널의 자동 구성
US20040210468A1 (en) 2003-04-18 2004-10-21 Ralf Rubel System and method for providing a territory management tool
JP3886934B2 (ja) 2003-06-09 2007-02-28 株式会社東芝 無線通信装置、通信制御プログラム及び通信制御方法
US7565529B2 (en) 2004-03-04 2009-07-21 Directpointe, Inc. Secure authentication and network management system for wireless LAN applications
EP1767031B1 (en) 2004-05-24 2009-12-09 Computer Associates Think, Inc. System and method for automatically configuring a mobile device
EP1615381A1 (en) * 2004-07-07 2006-01-11 Thomson Multimedia Broadband Belgium Device and process for wireless local area network association
US7343411B2 (en) 2004-08-18 2008-03-11 Broadcom Corporation Method and system for secure management and communication utilizing configuration network setup in a WLAN
US7673325B2 (en) 2005-02-01 2010-03-02 Microsoft Corporation Configuration of WiFi network parameters
US8677125B2 (en) 2005-03-31 2014-03-18 Alcatel Lucent Authenticating a user of a communication device to a wireless network to which the user is not associated with
US7551577B2 (en) 2005-04-01 2009-06-23 Cisco Technology, Inc Access point provisioning and mapping in dual mode devices
US7561545B2 (en) 2005-06-08 2009-07-14 Research In Motion Limited Scanning groups of profiles of wireless local area networks
US7593730B2 (en) 2005-06-17 2009-09-22 Qualcomm Incorporated System selection and acquisition for WWAN and WLAN systems
US7583684B2 (en) 2005-08-24 2009-09-01 The Boeing Corporation Automatic commandable SSID switching
US7734290B2 (en) 2005-10-03 2010-06-08 Kyocera Wireless Corp. Method for managing acquisition lists for wireless local area networks
US20070223432A1 (en) 2006-03-21 2007-09-27 Badarinath Sharma K Wi-Fi network connection management using location specific information
US8209676B2 (en) 2006-06-08 2012-06-26 Hewlett-Packard Development Company, L.P. Device management in a network
US7792756B2 (en) * 2006-06-27 2010-09-07 Microsoft Corporation Subscription management in a media sharing service
US8194589B2 (en) 2006-09-06 2012-06-05 Devicescape Software, Inc. Systems and methods for wireless network selection based on attributes stored in a network database
EP2084856A4 (en) 2006-11-21 2009-12-02 Research In Motion Ltd SENSITIVE AREA RECORDING OF WIRELESS LOCAL NETWORK
US8340057B2 (en) 2006-12-22 2012-12-25 Canon Kabushiki Kaisha Automated wireless access to peripheral devices
CN101262670B (zh) 2007-03-09 2012-01-25 鸿富锦精密工业（深圳）有限公司 移动装置、通信系统及连线建立方法
US8412102B2 (en) 2007-03-14 2013-04-02 At&T Intellectual Property I, L.P. Method, apparatus and storage medium for provisioning WLAN parameters via a cordless phone protocol
JP2009005011A (ja) 2007-06-20 2009-01-08 Panasonic Corp 無線通信端末
US7840687B2 (en) 2007-07-11 2010-11-23 Intel Corporation Generic bootstrapping protocol (GBP)
EP2056558A1 (en) 2007-10-31 2009-05-06 Panasonic Corporation Server discovery in a neighbour network of an IP node
JP4971120B2 (ja) 2007-12-06 2012-07-11 日本電信電話株式会社 無線通信システム及び無線通信方法
US8619988B2 (en) 2008-01-31 2013-12-31 Alcatel Lucent Method and apparatus for virtual Wi-Fi service with authentication and accounting control
US8687547B2 (en) 2008-02-04 2014-04-01 British Telecommunications Public Limited Company Method and system for automatic connection to a network
US20090260070A1 (en) 2008-04-15 2009-10-15 Elevate Technologies Pty Ltd. Systems and Methods for Secure Sign-Up Procedures for Application Servers in Wired and Wireless Environments
US8400990B1 (en) 2008-04-28 2013-03-19 Dennis Volpano Global service set identifiers
US8327143B2 (en) 2008-08-04 2012-12-04 Broadcom Corporation Techniques to provide access point authentication for wireless network
JP5210767B2 (ja) 2008-09-04 2013-06-12 株式会社日立製作所 無線通信機能を有する電子機器
KR101572885B1 (ko) 2008-10-30 2015-11-30 엘지전자 주식회사 무선 통신 시스템에서 핸드오버 방법 및 기지국 정보 전송 방법
US20100124881A1 (en) 2008-11-17 2010-05-20 Vivekananda Uppunda Database Based Connectivity For Secure SSID
JP5581597B2 (ja) 2009-02-05 2014-09-03 独立行政法人情報通信研究機構 携帯式通信中継装置
WO2010098035A1 (ja) 2009-02-24 2010-09-02 パナソニック株式会社 端末装置、ホーム基地局およびホーム基地局交換装置
EP2750426A1 (en) 2009-04-07 2014-07-02 Togewa Holding AG Method and system for authenticating a network node in a UAM-based walled garden network
US20100272080A1 (en) 2009-04-24 2010-10-28 Eetay Natan Techniques for generating proof of WiMAX activation and safely handling a disconnect during a WiMAX provisioning session
CN101883355B (zh) 2009-05-06 2015-06-03 中兴通讯股份有限公司 终端参数的配置方法和系统、终端管理装置
DE102009003066A1 (de) * 2009-05-13 2010-11-18 Robert Bosch Gmbh Kolbenmaschine, insbesondere Flüssigkeitskolbenmaschine
US9055606B2 (en) 2009-05-15 2015-06-09 Novatel Wireless, Inc. Systems and methods for automatic connection with a wireless network
US8750178B2 (en) 2009-06-01 2014-06-10 Qualcomm Incorporated Connection manager for a wireless communication device
KR101554743B1 (ko) 2009-06-18 2015-09-22 삼성전자주식회사 기기간에 무선랜 자동 연결을 위한 방법 및 이를 위한 기기
US8116757B2 (en) 2009-07-29 2012-02-14 Intel Corporation Virtual network service provider for mobile virtual network operator activation
US8588413B1 (en) 2009-10-20 2013-11-19 Cellco Partnership Enabling seamless access to a Wi-Fi network
US8649335B2 (en) 2009-12-01 2014-02-11 At&T Intellectual Property I, L.P. Service models for roaming mobile device
US8411604B2 (en) 2009-12-21 2013-04-02 Research In Motion Limited Methods and apparatus for use in facilitating access to aggregator services for mobile communication devices via wireless communication networks
JP5418394B2 (ja) 2010-04-28 2014-02-19 ブラザー工業株式会社 無線通信装置
US8615236B2 (en) 2010-06-04 2013-12-24 Palm, Inc. System and method for dynamically managing connections using feature prioritization
US9319880B2 (en) * 2010-09-15 2016-04-19 Intel Corporation Reformatting data to decrease bandwidth between a video encoder and a buffer
AP3977A (en) * 2010-09-16 2017-01-04 Nokia Corp Dynamic account creation with secured hotspot network
US8798580B2 (en) 2010-09-21 2014-08-05 Cellco Partnership Method and system for activating services on a wireless terminal
US8352643B2 (en) 2010-09-30 2013-01-08 Immersion Corporation Haptically enhanced interactivity with interactive content
US9020467B2 (en) 2010-11-19 2015-04-28 Aicent, Inc. Method of and system for extending the WISPr authentication procedure
US20120203824A1 (en) 2011-02-07 2012-08-09 Nokia Corporation Method and apparatus for on-demand client-initiated provisioning
CN103370955B (zh) * 2011-02-14 2017-03-08 诺基亚技术有限公司 无缝wi‑fi订购修复
US20120258709A1 (en) 2011-04-08 2012-10-11 Qualcomm Incorporated World mode scanning control
US20120284785A1 (en) 2011-05-05 2012-11-08 Motorola Mobility, Inc. Method for facilitating access to a first access nework of a wireless communication system, wireless communication device, and wireless communication system
US8590023B2 (en) 2011-06-30 2013-11-19 Intel Corporation Mobile device and method for automatic connectivity, data offloading and roaming between networks
US9571482B2 (en) 2011-07-21 2017-02-14 Intel Corporation Secure on-line sign-up and provisioning for Wi-Fi hotspots using a device management protocol
KR101644723B1 (ko) * 2011-09-09 2016-08-01 인텔 코포레이션 Ｓｏａｐ-ｘｍｌ 기술을 사용한 와이파이 핫스팟에 대한 안전한 온라인 사인업 및 프로비저닝을 위한 모바일 장치 및 방법
WO2013040250A1 (en) * 2011-09-13 2013-03-21 Aicent, Inc. Method of and system for data access over dual data channels with dynamic sim credential
US8750180B2 (en) 2011-09-16 2014-06-10 Blackberry Limited Discovering network information available via wireless networks
US9565558B2 (en) * 2011-10-21 2017-02-07 At&T Intellectual Property I, L.P. Securing communications of a wireless access point and a mobile device
WO2013066348A1 (en) 2011-11-04 2013-05-10 Intel Corporation Common data model and method for secure online signup for hotspot networks
WO2013165605A1 (en) * 2012-05-02 2013-11-07 Interdigital Patent Holdings, Inc. One round trip authentication using single sign-on systems
US8913559B2 (en) 2012-07-10 2014-12-16 Futurewei Technologies, Inc. System and method for online sign up provider selection
US9979710B2 (en) * 2012-07-26 2018-05-22 Stmicroelectronics, Inc. Single SSID and dual-SSID enhancements
US9232400B2 (en) * 2012-11-13 2016-01-05 Alcatel Lucent Restricted certificate enrollment for unknown devices in hotspot networks
US9307408B2 (en) 2012-12-27 2016-04-05 Intel Corporation Secure on-line signup and provisioning of wireless devices
EP3110207B8 (en) 2013-02-05 2021-09-08 Intel Corporation Online signup provisioning techniques for hotspot connections

Also Published As

Publication number Publication date
WO2014105114A1 (en) 2014-07-03
EP2939490A1 (en) 2015-11-04
CN104798430A (zh) 2015-07-22
JP6022706B2 (ja) 2016-11-09
US20150110096A1 (en) 2015-04-23
CN105635165A (zh) 2016-06-01
US20170230823A1 (en) 2017-08-10
EP2939490B1 (en) 2020-09-30
US9992671B2 (en) 2018-06-05
EP2939490A4 (en) 2016-07-20
CN105635165B (zh) 2019-07-02
JP2016503622A (ja) 2016-02-04
US20140185597A1 (en) 2014-07-03
US9307408B2 (en) 2016-04-05
US9635555B2 (en) 2017-04-25

Similar Documents

Publication Publication Date Title
CN104798430B (zh) 无线设备的安全在线注册和配置
US10341328B2 (en) Secure on-line sign-up and provisioning for Wi-Fi hotspots using a device-management protocol
JP5934364B2 (ja) Ｓｏａｐ−ｘｍｌ技術を使用したｗｉ−ｆｉホットスポットのための安全なオンラインサインアップ及び提供のためのモバイルデバイス及び方法
CN104956638B (zh) 用于在热点网络中未知设备的受限证书注册
US9258706B2 (en) Mobile device and method for secure on-line sign-up and provisioning for wi-fi hotspots using SOAP-XML techniques
EP3750342B1 (en) Mobile identity for single sign-on (sso) in enterprise networks
CN113796111A (zh) 在无线通信系统中提供移动边缘计算服务的装置和方法
EP3028506B1 (en) Access network selection and connection methods, devices, and computer programs
CN108781216A (zh) 用于网络接入的方法和设备
CN105432102A (zh) 用于机器对机器通信的网络辅助引导自举
KR20130034649A (ko) 단일 등록 절차를 이용하는 클라이언트의 그룹의 보안 등록
KR101230209B1 (ko) 핫스팟 네트워크들을 위한 공통 데이터 모델 및 안전한 온라인 서명을 위한 방법
BR112014005388B1 (pt) Método realizado por um dispositivo móvel e dispositivo móvel para assinatura e provisionamento on-line seguros para hotspots wi-fi

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
EXSB Decision made by sipo to initiate substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant