CN105227585B - 通信网络和对应网络中管理移动终端的鉴权的方法和系统 - Google Patents

通信网络和对应网络中管理移动终端的鉴权的方法和系统 Download PDF

Info

Publication number
CN105227585B
CN105227585B CN201510750959.1A CN201510750959A CN105227585B CN 105227585 B CN105227585 B CN 105227585B CN 201510750959 A CN201510750959 A CN 201510750959A CN 105227585 B CN105227585 B CN 105227585B
Authority
CN
China
Prior art keywords
terminal
authentication
server
location information
transmitted
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510750959.1A
Other languages
English (en)
Other versions
CN105227585A (zh
Inventor
卢卡·德洛莫
麦斯莫·科洛纳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Telecom Italia SpA
Original Assignee
Telecom Italia SpA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telecom Italia SpA filed Critical Telecom Italia SpA
Priority to CN201510750959.1A priority Critical patent/CN105227585B/zh
Publication of CN105227585A publication Critical patent/CN105227585A/zh
Application granted granted Critical
Publication of CN105227585B publication Critical patent/CN105227585B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W64/00—Locating users or terminals or network equipment for network management purposes, e.g. mobility management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

通信网络和对应网络中管理移动终端的鉴权的方法和系统。鉴于包含在通信网络中，通过鉴权过程来鉴权终端，鉴权过程被基于从终端传送到网络中至少一个服务器的定位信息实现。终端到网络的至少一个接入点配置为基于给定鉴权协议允许未被鉴权的终端将鉴权消息传送到网络中的鉴权服务器。终端被配置为通过经由给定鉴权协议传递定位信息将定位信息传送到鉴权服务器。系统被集成在终端中以生成识别终端位置的定位信息，在此情况下终端被配置为将识别终端位置的定位信息传送到鉴权服务器。作为选择使定位服务器与网络相关，定位信息被从终端传送到定位服务器。基于从终端传送的定位信息，定位服务器生成识别终端位置的定位信息并将信息传送到鉴权服务器。

Description

通信网络和对应网络中管理移动终端的鉴权的方法和系统
本申请是申请日为2005年6月20日的、申请号为200580051166.5(国际申请号为PCT/EP2005/006582)以及发明名称为“用于在通信网络、对应网络和计算机程序产品中管理移动终端的鉴权的方法和系统”的发明专利申请的分案申请。
技术领域
本发明涉及用于实现在电信网络中鉴权移动终端的通信管理的技术。
由于对本发明在无线局域网、城域网或地理网中可能应用的特别关注，本发明已得到发展。
如本文所述，“鉴权”是指通常指定这样的过程，其使得给定终端得以识别(优选的是以安全方式)，并能够通过给定通信网络通信(同样优选的是以安全方式)。这样，所述指定扩展到那些允许交换“保密密钥”(例如加密密钥)，以建立从和/或到通信网络中终端的安全通信的技术。
背景技术
文献WO-A-03/100348说明了一种通过测量移动终端之间的距离来提供通信中的附加安全层，从而提高通信网络中的安全性的方法。在此方法中，两个终端之间的距离测量被用于确定属于所述网络的两个终端之间是否能够通信。所述距离测量是通过三角测量多个终端之间的距离，或使用已知TDOA(到达时间差)技术得到执行的。
文献WO-A-01/93434说明了一种方法，其中为了计算移动终端与属于网络的远程终端之间的距离，需要使用UWB(超宽带)发射机和接收机。可以根据所述远程设备与本地设备之间的距离，启动或禁止本地设备与所述远程设备之间的通信。同样，在文献US-A-2004/121 787所示的方法中，通过将已知TDOA(到达时间差)技术用于所述移动终端自身所传送的信号，确定所述移动终端被设置在WLAN(无线局域网)中的位置。
此外，文献US-A-2003/217 122示出了一种用于基于终端的位置，管理无线/有线网络的安全性的方法。在无线网络情况下，所述终端的位置可由终端自身提供，例如经由集成在其中的GPS设备，否则可通过网络从接入点对于终端所传送信号的功率或延迟测量(例如，使用三角技术)中得到。所述定位信息用于允许或拒绝对网络的完全或部分接入，以及对其可得到信息的完全或部分接入。
在文献US-A-2004/028 017、US-A-2004/059 914和US-A-2004/190 718中描述了实现相同目标的其他方法和系统。
就所述位置和距离用于允许或禁止所述通信而言，除了通常所使用的方法之外(例如基于用户名称和密码的方法)，所有上述系统都将距离或位置计算用作适当的鉴权方法。
在文献US-A-2003/140 246所示的另一方法中，所述终端的位置被用于判定将用于所述终端与网络之间的通信的安全级别。具体而言，在所述文献中，设想两个不同实施例，在第一实施例中，所述安全级别由设置在所述网络中的计算系统管理，所述计算系统从专门设置的位置传感系统接收所述终端的位置，在第二实施例中，所述安全级别完全由移动终端自身管理。仅根据对于第一实施例的具体分析，其包括了所述位置传感系统集成在所述用户终端中的场景。
所分析的场景设想所述位置传感系统例如是GPS接收机，或作为选择，所述终端具有用于计算其自己位置的算法(例如，基于其自身的测量)。在两种情况下，所述终端将其自己的位置经由通信系统传送到所述计算系统。
在这种情况下，创建与用于服务的系统并行的第二通信系统变得必要，或者，作为选择，使用相同的通信系统，以及用于服务的相同通信协议变得必要(例如通过将定位信息封装在TCP/IP分组中)。
两种布置都呈现出明显的缺点：第一个选择(并行通信系统)引起成本的显著增加，因为其需要提供仅用于传递定位信息的第二网络，而第二选择(将定位信息封装在TCP/IP分组中)危害了网络的安全性，因为诸如接入点、交换机和路由器的中间设备无法鉴权其接收并相应转发的分组的有效内容(对于这些设备而言，重要的是所述分组应当为以太网型、IP型等)。
在第二种情况下，未被授权接入给定区域的用户甚至可通过诉诸于持续发送ICMP/IP控制分组(例如所谓“乒乓效应”)执行对于网络的攻击，所述控制分组使用与用于所述用户数据和位置数据的通信协议相同的通信协议(IP协议)。
同样的问题也存在于另一种可能的场景，其中定位是由位置传感系统借助终端所做测量来执行的，所述测量由所述终端自身转移给所述位置传感系统。
发明内容
从以上对于现有情况的描述可见，产生了定义一种技术方案的需要，即所述技术方案与根据上述现有技术的方案相比，能够以更为满意的方式处理在电信网络中移动终端的鉴权。具体而言，即使或多或少地仔细考虑过能够完全或部分地实现在其位置处的终端鉴权的这些技术，然而问题仍然存在，即如何以简单而有效的方式使尚未被鉴权的终端能够向所述网络发送将被用于鉴权的定位信息。
本发明的特定目的是提供一种方法和系统，其能够基于无线终端所呈现的位置来管理所述无线终端的鉴权，而无需创建并行通信系统，同时也不会危害网络安全性。
因此，本发明目的是提供对上述需要提供满意的回答。
根据本发明，所述目的是借助一种由具有所附权利要求书阐述的特征的方法来实现。本发明还涉及通信系统、相关网络以及计算机程序产品，所述计算机程序产品可装入至少一个计算机的内存，并包括用于当该产品在计算机上运行时执行本发明方法步骤的软件代码部分。如本文所使用的，术语“计算机程序产品”用于指代包含用以控制计算机系统来协调执行本发明方法的指令的计算机可读媒体。“至少一个计算机”显然意在强调以分布式/模块化方式实施本发明的可能性。
权利要求书构成在此的本发明的公开的完整部分。
因此，本发明优选实施例是一种在通信网络中鉴权终端的方法(即用于允许所述终端通过所述通信网络通信)，其中所述通信网络包含所述终端，基于从所述终端传送到所述网络中至少一个服务器的定位信息来实现鉴权，通过：
——在所述网络中为所述终端提供至少一个接入点，所述接入点被配置为基于给定鉴权协议(例如EAP)，允许未被鉴权的终端将鉴权消息传送到所述网络中的鉴权服务器；以及
——通过经由所述给定鉴权协议传递所述定位信息，将所述定位信息从所述终端传送到所述鉴权服务器。
在本文优选实施例中，在此描述的布置基于传递所述移动终端的定位信息的两种不同场景。
在第一种场景下，所述定位信息由集成在所述终端中的位置传感系统传送到鉴权系统。
作为选择，在第二种场景下，所述终端做出的测量被传送到所述终端外部的位置传感系统，所述位置传感系统通过处理所述测量，能够计算所述终端的位置。
在上述优选实施例中，优选的是借助信令协议，尤其优选的方式是借助EAP(扩展鉴权协议)，传送所述终端的定位信息。所述EAP协议由IETF(因特网工程任务组)研发，其在以下文献中描述：RFC3748，B.Aboba，L.Blunk，J.Vollbrecht，J.Carlson，H.Levkowetz；“扩展鉴权协议(EAP)”，可在IETF网址http://www.ietf.org查阅。
该协议通常在网络中用于在终端与鉴权服务器之间转移所有所述鉴权消息。
为了能够在所述布置中使用所述协议，将其功能扩展为其能够传递上述定位信息或所述用于计算位置的测量。如此，所述的布置的优点在于无需创建第二组织通信网络，并借助所述EAP的特性最大程度保证了安全性。
所述接入点(AP)阻塞来自给定终端的业务，直至所述终端已肯定完成所述鉴权进程，如此确保了安全性。所述EAP阻止未被鉴权从而未得到授权接入网络的给定区域的用户进入所述网络。
即使所述鉴权进程产生否定结果，所述鉴权服务器仍然继续通过所述EAP从所述终端接收所述位置或测量。在所述用户将要进入其能够进入的网络区域的情况下，这种功能对于可能的后续鉴权有用。
所述EAP的特性能够实现这种功能，因为所述AP允许将所有所述EAP消息传递给所述网络，甚至是未被鉴权的终端的EAP消息。
此外，可基于被称为EAP方法的EAP使用所有所述鉴权协议，例如EAP-SIM扩展鉴权协议-安全信息管理、PEAP受保护的扩展鉴权协议(Avaya，Inc.)、通常用于无线网络的LEAP轻量级扩展鉴权协议(Cisco系统，Inc.)，所述EAP-SIM在文献draft-haverinen-pppext-eap-sim-16.txt，H.Haverinen，J.Salowey，“Extensible Authentication ProtocolMethod for GSM Subscriber Identity Modules(EAP-SIM)”中描述，并可在IETF网址http://www.ietf.org上查阅，本文为在此引入任何修改。
由于加入所述EAP的用于传递所述定位信息的新消息具有相同字段格式，且为了填充这些字段，采用了在标准EAP消息中使用的相同代码，因此所述新消息可由任何将EAP用于安全管理的无线电技术使用，从而可由所述通信协议传递，而无需对所述消息做任何修改。
所述EAP功能的扩展尤其需要将位于所述接入点中的软件升级为能够识别出所述新消息。相反，对于所述网络的其他设备(路由器、交换机)无需任何修改，因为对于所述EAP而言它们是透明的。
升级在任何情况下都是经济的，因为对于所有所涉及的接入点而言，都可远程同时执行升级。
参照本文所述的布置的优选实施例，在第一种场景下，所述终端能够自主地确定自身位置，即所述终端带有机载位置传感系统，所述布置设想根据以下进程，在鉴权服务器与终端之间交换信息：
——所述鉴权服务器从所述终端接收鉴权请求；
——所述鉴权服务器经由专门定义的EAP消息向所述终端请求其位置；
——所述终端经由另一专门定义的EAP消息，将其自身位置传送到所述鉴权服务器；所述消息可能包括绝对误差的估计；
——基于所接收的信息，所述鉴权服务器判定哪种鉴权方法最适合于与所述终端共同使用；以及
——在所述鉴权进程结束时，无论是否成功，在所述鉴权服务器再次请求时，所述终端周期性经由两个新的专门定义的EAP消息，将其自己位置传送到所述鉴权服务器，用于所述后续鉴权。
再次参照本文所述的布置的一个优选实施例，在第二种场景下，所述终端仅对所接收的信号执行测量，而无法确定其自身位置，所述布置设想根据以下进程，在相互协作并与所述终端协作的定位服务器与鉴权服务器之间交换信息：
——所述鉴权服务器从所述终端接收鉴权请求；
——所述鉴权服务器经由专门定义的EAP消息指示，所述终端必须传送对从各个接入点所接收的信号所做的测量；
——所述终端经由专门定义的EAP消息，将所述测量传送给所述鉴权服务器；
——所述鉴权服务器将所述测量传送到所述定位服务器；
——基于所接收的测量，所述定位服务器估计所述终端的位置；
——所述定位服务器向所述鉴权服务器传送所述终端的估计位置，以及在所述估计中执行的绝对误差，如果可得到的话；
——基于所接收的信息，所述鉴权服务器判定哪种鉴权方法最适合于与所述终端共同使用；
——在所述鉴权进程结束时，无论是否成功，在所述鉴权服务器再次请求时，所述终端周期性经由两个新的专门定义的EAP消息，将其自己位置传送到所述鉴权服务器，用于所述后续鉴权。
向所述终端发出的位置或测量请求，以及所述终端的响应是经由新EAP消息执行的。如此，可在终端进入所述网络的时刻正确鉴权所述终端，并可跟随所述终端，即使所述鉴权进程失败。使用EAP的特性，即阻止所有未被鉴权的用户的业务，而仅允许其传递EAP消息，所述布置保证了网络安全性。
显然，上述的布置无需显著改变即可用于管理加密和/或完整性保护方法，以及在所述终端与所述正确鉴权的网络下游之间的安全通信中使用的密钥有效性的对应长度/时间。所述布置同样可仅用于基于位置来管理加密和/或完整性保护密钥(和/或方法)和/或密钥长度的更新。
附图说明
以下将借助非限制性实例，并参照附图描述本发明，在附图中：
图1示出了所述布置的应用场景的第一实例；
图2示出了说明在所述的布置框架中不同鉴权区域所涵盖的环境的地图实例；
图3示出了对应于在图1网络中用户的首次鉴权的进程；
图4示出了对应于所述用户的后续鉴权的进程；
图5示出了图4进程的变化形式；
图6示出了所述的布置的应用场景的第二实例；
图7示出了对应于在图6网络中用户的首次鉴权的进程的变形；
图8示出了对应于所述用户的后续鉴权的进程的变化形式；
图9示出了图8进程的变形；
图10示出了一种鉴权进程，即在图6网络中既存在能够确定其位置的终端，还存在测量从各个接入点所接收信号的终端；
图11示出了说明在所述的布置的上下文中，不同鉴权区域所涵盖的环境的地图的第二实例；以及
图12示出了说明不同鉴权区域所涵盖的环境的地图的又一实例。
具体实施方式
以下将参照WLAN(无线局域网)描述本发明优选实施例；然而，所述布置还适用于城域网和蜂窝网，而与所使用无线电技术的具体特性无关。
图1示出了以附图标记1整体标示的WLAN，其由一组接入点2、3、4和5构成，每一个接入点都配备集成天线31或非集成天线6。在非集成天线6的情况下，所述天线经由适当长度的电缆7连接到接入点3、4、5。希望使用可从网络1得到的业务的用户使用由专门提供的无线用户终端9所构成的设备，例如配备WLAN设备10的台式PC或笔记本PC、或PDA掌上电脑，所述WLAN设备10集成在所述终端自身中，例如是PCMCIA(个人计算机存储器卡国际联合会)卡、PCI(外围部件互连)适配器等，而通信是通过无线电设备11借助专用协议或标准协议得到的，所述协议例如是IEEE 802.11协议或HYPERLAN型2协议。
所述接入点2、3、4、5提供感兴趣的无线电覆盖区域，其由附图标记27和28所表示的非重叠单元，或附图标记28、29和30表示的重叠单元所构成，所述接入点通过链路21、22、23和24连接到有线网络19。
使用所述有线网络19，所述用户9自行处理地得到对所有业务的接入。所述网络上存在鉴权服务器14和数据库16，所述鉴权服务器14用于管理希望得到对于所述网络接入的用户9的鉴权，所述数据库16管理所述用户9的简表(所述数据库可能由诸如GPRS和/或UMTS的其它网络共用，并可被在所述用户的原籍网中远程控制(remotized)，在这种情况下，对于此数据库的访问可通过漫游协议管理)。这些对象位于服务器群20中，所述服务器群20通过链路17连接到网络19。
所述终端9能够确定其自己的位置，因为其具有集成于中的诸如GPS接收机的自组织设备，或者因为其被配置为实施一个或多个算法，所述算法基于不同接入点2、3、4、5所接收的信号特性来确定所述位置。在后一种情况下，所述终端9还具有其自己的数据库，在所述数据库中，存储了定位所需的信息，例如所述接入点的位置、所述接入点的无线电电气参数等。
所述鉴权服务器14具有其自己的数据库34，其可能集成在所述鉴权服务器14自身中，所述数据库包括：
——表示在其中提供了WLAN，且需要基于所述终端位置管理终端鉴权的区域的地图；
——所有带有指示的活跃终端的列表，所述指示用于表示：
——识别符(例如，“媒体接入控制-MAC-地址”)；
——最终所估计位置；
——所述估计的准确性；
——做出所述估计的时间；
——所述终端的鉴权状态，即得到鉴权、尚未鉴权、未通过鉴权。
然后，所述信息包含在类似于下述表1的表中：
表1
所述鉴权服务器14通过链路35(其可能是服务器群20自身中的物理链路或逻辑链路，并可穿越其他网络)，与用户简表数据库16对话。
上述布置与网络19的物理构造无关：其可由与“剩余世界”分离的有线本地网络构成，或可由经由专门提供的设备互联的本地网与地理网络的集合形成，所述设备例如是桥接器、交换机或路由器。
此外，所述布置与构建所述网络19的技术无关：其可基于IEEE 802族(以太网、令牌环路、FDDI等)的协议，和/或TCP/IP、ATM和帧中继连网协议。最终，所述网络19可能是无线电网络。类似的原理适用于链路21、22、23、24和17。
此外，所建议的布置与服务器群20的位置和物理构造无关：其因而可位于本地，即直接在提供所述业务的区域中，或其可位于用于在多个区域中同时提供业务的远程业务中心中；此外，两个服务器中的一个可位于本地，而另一个可位于远程业务中心中。当数据库34未集成在所述服务器中时，其可能与其自己服务器本地或远程相邻，或可能位于网络的不同位置处。
这同样适用于包括用户简表的数据库16。在一些情况下，所述数据库16由两个或多个不同数据库构成，其中第一个数据库属于管理服务的运营商，并包括其自己的用户的简表，而其他数据库属于其他运营商，例如与服务提供运营商达成漫游协议的移动无线电运营商。所述其他数据库通常位于其他运营商的网络中，在一些情况下由所述移动无线电网络自身共享，因此用于与鉴权服务器16连接的链路35包括基于标准通信协议的地理网络。
图2示出了包含在数据库34中的地图实例，所述数据库表示包括多个办公室和实验室的室内环境(例如，公司中楼层建立的计划)。在所述地图上，所述系统管理员绘制不同鉴权区域(A1、A2、A3、A4、A5)，即在其中借助给定方法鉴权终端的区域，并将所述方法与所述区域自身相关。
再次参照图2，方法M1与区域A1相关，方法M2与区域A2相关等。应当注意的是，在给定区域中，随着用户简表改变，可能具有不同鉴权方法，而各个区域中的可用服务也可能不同。
作为选择，可使所述鉴权区域与各个小区相一致，即不同区域用于每个小区，或是与小区组合相一致，即不同区域用于多个小区。如此，可从标准小区规划工具的输出自动得到所述鉴权区域，从而能够准确计算每个小区所覆盖的小区。
图3和4示出了用于基于其位置管理终端鉴权的进程。具体而言，图3示出了用户进入网络时的首次鉴权的进程，而图4示出了对应于后续鉴权的进程。
在附图中以较粗的线示出本发明的布置所定义的新EAP消息。
当所述终端9进入网络时，其根据所述EAP标准所定义的，从接入点(例如接入点3)接收请求消息50，在所述请求消息50中，所述终端9被要求指示其自己的身份。所述终端9通过以消息51提供其自己的身份响应于所述接入点3，而所述接入点3以消息52将所述身份转发到所述鉴权服务器14。此时，所述鉴权服务器14需要了解终端9的位置，并为此将位置请求消息53传送到所述终端9(EAP位置请求消息)。所述终端9通过将其自己位置输入位置响应消息54(EAP位置响应消息)做出响应，所述位置响应消息54使得所述鉴权服务器14在步骤55中判定与所述终端9使用何种鉴权方法，并启动鉴权进程56。所述进程以所述鉴权服务器14传送到所述终端的“成功”或“失败”消息57终止，所述消息指示所述鉴权是否成功。
在第一种情况下(EAP“成功”)，所述终端9可开始其自己的通信，并通过使用标准通信协议(例如TCP/IP或ATM)，使用通过所述网络可得到的业务。在后一种情况下，如EAP标准所指定的，所述终端9的业务被接入点3阻止，因而所述终端9无法执行对所述网络的攻击。在所述鉴权进程56期间中，所述鉴权服务器14与数据库16对话，以从所述数据库中得到鉴权自身所需的信息，例如用户姓名和用户密码9。
无论所述鉴权进程56的结果为何，所述鉴权服务器14继续跟踪终端9的移动，以便在将要改变鉴权区域的情况下进行可能的新鉴权。为此，所述鉴权服务器14设置定时器58，在所述定时器58到期时(参见图4的步骤59)，所述服务器14将新EAP位置请求消息60传送到终端。所述终端9通过利用EAP位置响应消息61，将其位置传送到服务器14而响应于服务器14。
此时，在步骤62中，所述服务器14基于所接收的位置，再次确定所述鉴权方法，并在步骤63中，验证是否需要新鉴权。
如果新鉴权并非必需(如果在步骤62所确定的方法与先前鉴权所使用的方法相同的话)，所述服务器14在步骤64中再次设置定时器，在定时器到期时(步骤59)，其重复位置请求。作为选择，在步骤65中，所述服务器14可估计所述终端9的速度，并在步骤64中以取决于所述速度的方式固定定时器。如果在步骤63中，所述服务器14推论出新鉴权是必需的(如果在步骤62中所确定的方法与先前鉴权所使用的方法不同的话)，启动新的鉴权进程66，与前相同，所述新鉴权进程66以所述服务器14传送到所述终端9的“成功”或“失败”消息67终止。
在所述进程66结束时，所述服务器14在步骤64中再次设置定时器，在定时器到期时(步骤59)，其向所述终端9重复位置请求。
同样，在这种情况下，作为选择，所述服务器14可在步骤65中估计所述终端9的速度，并因此在步骤64中设置定时器。同样，在这种情况下，在所述鉴权进程66期间中，所述鉴权服务器14与数据库16对话，以得到鉴权所述终端9所需的信息。
图5示出了图4进程的变化形式，其中在步骤59中定时器到期时，所述服务器14请求终端9每隔一定间隔与其继续通信位置(所述间隔由包括在消息中的定时器参数的值规定)，如专门提供的请求消息68所指示的(所述服务器14传送到终端9的EAP连续位置请求消息)。
所述终端9通过将其自己的位置在EAP连续位置响应消息69中传送到服务器14，响应于以上请求。在步骤70中，只要所述鉴权服务器14确定在步骤64中得到的定时器值与直至此时所使用的值不同，所述EAP连续位置请求消息68即被传送到所述终端9，并且在这种情况下，被发送到终端9的消息68包含定时器的新的值。一旦所述终端9已接收到消息68，其即经由EAP连续位置响应消息69，以新的周期将响应传送到所述服务器14。相反，当所述鉴权服务器14在步骤70中确定在步骤64所得到的定时器值与直至此时所使用的值相同的情况下，并不发送所述EAP连续位置请求消息68，而所述终端9经由EAP连续位置响应消息69，无任何改变地周期性地传送其自己的位置。
图6示出了本发明布置的第二种使用场景。此情况与图1场景的区别之处在于在服务器群20内存在定位服务器15。在这种场景下，所述终端9无法确定其位置，但可专门执行从各个接入点2、3、4、5接收的信号的测量(例如，从其接收信号的接入点的MAC地址、从各个接入点接收的功率电平等)，然后将所述测量传送到定位服务器15用于其定位。
所述定位服务器15具有其自己的数据库32，其可集成在服务器15中，在所述数据库内存储了定位所述终端所需的信息，例如接入点的位置、其无线电电气参数等。
此外，所述定位服务器15包括定位引擎，所述定位引擎具有将用于根据能够得以执行的测量类型来计算终端位置的各种算法。所述定位服务器15可被设置在服务器群20中，或本地设置在网络19中。当所述数据库32未集成在所述服务器15中时，其可能与其自己的服务器15本地或远程相邻，或可能位于网络的不同点处。
所述定位服务器15经由链路36连接到鉴权服务器14。根据两个服务器14和15的布置，连接它们的链路36可能是专用点对点链路，或可能是形成本地网络一部分，或形成地理网络一部分的逻辑链路。所述两个服务器14与15之间的通信使用标准通信协议，例如TCP/IP、ATM或帧中继。在某些情况下，例如当计算负载并不过重时，所述两个服务器14与15可集成在一个相同的设备中，同样可以是独立的数据库。
图7、8和9示出了所述终端在进入网络时的鉴权，以及由于所述终端移动而引起的后续鉴权的进程。所述进程与图3、4和5所示进程相似，不同之处在于，现在所述位置消息(请求和响应)由测量消息(EAP测量请求消息53B、EAP测量响应消息54B、EAP测量请求消息60B、EAP测量响应消息61B、EAP连续测量请求消息67B以及EAP连续测量响应消息68B)替代，借助所述测量消息，所述鉴权服务器14从所述终端9请求测量(请求)，而所述终端9传送测量(响应)。此外，还存在消息71和消息72，借助于所述消息71，所述鉴权服务器14将所接收的测量传送到定位服务器15，借助于所述消息72，所述定位服务器15将终端9的位置传送到所述鉴权服务器14。所述消息71和72使用连接链路36所提供的标准通信协议，例如TCP/IP或ATM。
图10示出了这样一种情况下的消息序列，即在图6网络中，既存在能够确定其位置的终端，也存在测量从各个接入点接收的信号的终端。
在这种情况下，当所述终端9进入网络时，所述鉴权服务器14传送EAP能力请求的消息73，借助于此，所述鉴权服务器14请求所述终端9指示终端自己的能力(确定位置或执行测量)；所述终端9以EAP能力响应消息74响应。此时，所述服务器14可根据EAP能力响应消息74，启动首次定位，即传送EAP位置请求消息53，或EAP测量请求消息53B。
所述终端9传送到鉴权服务器14的位置，以及所述定位服务器15传送到鉴权服务器14的位置包括所述终端的坐标(x，y)，可能还包括在计算位置时产生的误差的估计。所述坐标识别圆周的中心c，而误差估计识别其半径r；所述圆周在区域地图上的位置使得所述鉴权服务器14能够确定所述终端9所在的鉴权区域，以及将应用于此的鉴权方法(图3、7和10的步骤55，以及图4、5、8和9的步骤62)。
所采取的进程如下：
——如果所述圆周完全包括在鉴权区域中，如图11所示，则所使用的鉴权方法是适合于所述区域的方法(在图11的给定实例中为方法M4)
——如果所述圆周与多个鉴权区域交叉，如图12实例所示，则所述鉴权服务器14使用系统管理员可在建立阶段所配置的以下选项中的一个：
——其选择所述圆周中心c所在的区域的方法(在图11的给定实例中为方法M5)；或
——其计算所述圆周在每个鉴权区域中的区域比例，并选择具有最高比例的区域的方法(在图11的给定实例中为方法M5)；或
——其选择对应于所交叉鉴权区域之间最强(或根据系统管理员初始选择，选择最弱)的方法；或
——其等待接收新位置(以便阻止无限的圆周，所述系统管理员判定所述鉴权服务器14在根据前三点做出方法判定之前所执行的尝试的最大次数)。
所述鉴权服务器14在其数据库34中保持类似于之前出现的表1的表格，其中所述鉴权服务器14输入所有执行操作的结果。组成所述表格的字段为：
——终端Id：其包括终端识别符，并被在所述终端进入网络时输入所述表格(首次鉴权)；
——时间(最终位置)：其指示得到所述终端的最终位置的时间；
——最终位置(x，y，err)：其包括所述终端所占据的最终位置的坐标，以及与所述位置相关的可能误差；
——时间(最终鉴权)：其指示对所述终端执行最终鉴权的时间；
——鉴权区域：其指示对应于所述终端的位置的鉴权区域；其首次被在步骤55中输入，如果最终区域与在步骤62中所判定的区域不同，则可在步骤63中被修改；
——鉴权方法：其指示用于鉴权所述终端的鉴权方法；其首次被在步骤55中输入，如果最终所使用的方法与在步骤62中所判定的方法不同，则可在步骤63中被修改；
——结果：其指示鉴权操作的结果(步骤55和56)，可能是“通过鉴权”或“未通过鉴权”；
——定时器：其指示在两个连续定位之间所使用的定时器的值，其首次被在步骤58中设置，然后可以利用步骤64的结果更新。
在定位过程中，所述定位服务器15利用所述终端9所作的测量。通常而言，终端9能够测量以下量值：服务器接入点(以下称为主要接入点)，即所述终端通过其接入所述网络的接入点的识别符；相邻接入点，即所述终端从其接收信号的接入点的识别符；对所述终端接收的以及所述主AP传送的信号所测量的一个或多个诸如功率的无线电电气参数，或是诸如BER(误码率)或PER(分组误差率)的性能参数；以及对所述终端接收的以及所述主AP传送的所有信号所测量的一个或多个无线电电气参数，或者性能参数。
所述定位服务器15可利用不同的位置算法，即用于终端9能够执行的每种测量的算法(即主接入点、主接入点+相邻接入点等)。所述定位服务器能够定位任何终端。在所述定位过程中所使用的进程如下：
——所述定位服务器15从所述鉴权服务器14接收所述终端9所做测量的组；
——所述定位服务器15，尤其是其定位引擎，基于所接收的测量，选择将使用的算法；以及
——所述定位服务器15将所述终端9的估计位置，即其坐标x，y和关于所述位置的误差估计重新存入所述鉴权服务器14。
显然，无需任何实质性的修改，上述布置甚至可用于管理加密和/或完整性保护方法，以及用于所述终端与正确鉴权的网络下游之间的安全通信中的密钥有效性的对应长度/时间。所述建议的布置同样可仅用于基于位置来管理加密和/或完整性保护密钥(和/或方法)和/或密钥长度的更新。
在上述技术方案适用性的附加情况中，显然除此之外，还可使用这样的扩展，即所述扩展涉及EAP消息和各个数据库的内容。实际上，例如，在所述技术方案可用于刷新所述密钥，和/或改变其长度，和/或改变加密/完整性保护算法的情况下，表1可扩展为包括对应于加密/完整性保护密钥(例如长度、有效期间、使用所述密钥的算法等)的信息字段。
以下示出了先前所述消息格式的多个实例。
具体而言，EAP位置请求消息(例如，图3消息53和图4消息60)的格式如下所示：
而EAP位置响应消息(例如，图3消息54和图4消息61)的格式如下所示：
字段代码、识别符和长度符合EAP标准，并采用文献RFC 3748的图4中所规定的值。具体而言，代码字段在EAP位置请求消息中采用值1，而在EAP位置响应消息中采用值2。
字段类型具有与文献RFC 3748的第5段所定义的格式相符合的格式，而其值被恰当定义为与至今所定义的任何类型不同。例如，其可被在EAP位置请求消息和EAP位置响应消息中都设置为100。所述EAP位置请求消息的剩余部分包括将要测量其自己位置的终端的识别符(终端识别符字段)，而EAP位置响应消息的剩余部分包括以下三个字段：
——已测量其自己位置的终端的识别符(终端识别符字段)；
——其自己的位置，即相对于已知参考系统的其自己的坐标(x，y，z)(终端位置字段)；以及
——在估计所述位置中产生的误差(终端位置误差字段)。
EAP连续位置请求消息的格式(例如图5的消息68)如下所示：
而EAP连续位置响应消息(例如，图5的消息69)的格式如下所示：
同样，对于这些消息而言，字段代码、识别符和长度符合于EAP标准，并采用文献RFC 3748的第4段中所规定的值。同样，在这种情况下，代码字段在EAP连续位置请求消息中采用值1，而在EAP连续位置响应消息中采用值2。所述类型字段具有与文献RFC 3748的第5段所定义的格式相符合的格式，而其值被恰当定义为与至今所定义的任何类型不同。
例如，其可被在EAP连续位置请求消息和EAP连续位置响应消息中都设置为101。所述EAP连续位置请求消息的剩余部分包括必须测量其自己位置的终端的识别符(终端识别符字段)，还包括在其中测量所述位置的时间期间(定时器字段)。具有相同意义的所述定时器字段与为所述EAP位置响应消息所定义的三个字段共同包括在EAP连续位置响应消息中。
同样，可定义所述EAP测量请求、EAP测量响应、EAP连续测量请求和EAP连续测量响应消息。所述EAP测量请求和EAP测量响应消息具有等于102的类型字段，而EAP连续测量请求和EAP连续测量响应消息具有等于103的类型字段。所述EAP测量请求消息包括将对所接收信号执行测量的终端的识别符，而所述EAP测量响应消息包括已执行测量的终端的识别符，以及所执行的测量。所述EAP连续测量请求和EAP连续测量响应消息还分别包括将要测量位置和已经测量位置的时间期间(定时器字段)。
以下所示为备选模态，由此先前所描述的消息可被定义为：
所建议格式尤其是指EAP位置请求消息(图3的消息53和图4的消息60)。
插入其中的是子类型字段，这区别了本文所描述布置所引入的所有新消息，例如对于EAP位置请求消息设定值1，对于EAP连续位置请求消息和EAP连续位置响应消息等设定值2。相反，所述类型字段的值对于所有消息而言是唯一的，等于被定义为与直至现在所定义的任何类型都不同的值。所述消息的剩余部分保持不变。
因此，在不背离本发明基本原理的情况下，在并不背离所述权利要求书所定义的本发明范围情况下，相对于仅借助实例所述和所示的，具体细节和实施例可以适当地改变。

Claims (16)

1.一种在通信网络(1)中鉴权终端(9)的方法，其中所述通信网络(1)包含所述终端(9)，基于从所述终端(9)传送到所述通信网络中至少一个服务器的标识和定位信息来实现鉴权，所述方法包括步骤：
在所述通信网络中，为所述终端(9)提供至少一个接入点(2、3、4、5)，所述接入点被配置为基于给定鉴权协议消息格式，允许未被鉴权的终端将鉴权消息传送到所述通信网络中的鉴权服务器(14)，鉴权消息包括所述标识和定位信息；
使用特定鉴权格式从所述终端向所述鉴权服务器(14)传送识别消息；
在所述终端接收由所述鉴权服务器(14)发送的对定位信息的请求；以及
在完成所述鉴权消息的任何鉴权处理之前，响应于所述请求，通过使用被修改以提供定位信息的相同的特定鉴权格式传递所述定位信息，将所述定位信息从所述终端(9)传送到所述鉴权服务器(14)，
其中被修改的特定鉴权格式与所述特定鉴权格式具有相同的字段格式并且采用相同的代码，但是具有类型字段，所述类型字段的值被定义为与至今所定义的任何类型不同，使得位于所述接入点中的软件需要被升级为能够识别出所述被修改的特定鉴权格式，并且对于所述通信网络的其他设备无需任何修改。
2.根据权利要求1所述的方法，其特征在于，所述方法包括步骤：
在所述终端(9)中提供集成定位系统，以生成识别所述终端(9)的位置的定位信息；以及
将识别所述终端(9)的位置的所述定位信息从所述终端(9)传送到所述鉴权服务器(14)。
3.根据权利要求1所述的方法，其特征在于，所述方法包括步骤：
使定位服务器(15)与所述通信网络(1)相关；
将所述定位信息从所述终端(9)传送到所述定位服务器(15)；
所述定位服务器(15)根据从所述终端(9)传送的所述定位信息，生成识别所述终端(9)的位置的定位信息；以及
将所述识别所述终端(9)的位置的定位信息传送到所述鉴权服务器(14)。
4.根据权利要求3所述的方法，其特征在于，所述方法包括步骤：
所述鉴权服务器(14)从所述终端(9)接收鉴权请求以及所述定位信息；
所述鉴权服务器(14)将所述定位信息传送到所述定位服务器(15)，由此所述定位服务器(15)基于从所述终端(9)传送的所述定位信息，生成识别所述终端(9)的位置的定位信息；
所述定位服务器(15)将所述识别所述终端(9)的位置的定位信息传送到所述鉴权服务器(14)；以及
所述鉴权服务器(14)执行所述终端(9)与所述通信网络(1)的鉴权进程。
5.根据权利要求4所述的方法，其特征在于，所述方法还包括步骤：
在所述鉴权进程之后，所述终端(9)将用于后续鉴权进程的其他定位信息发送到所述鉴权服务器(14)。
6.根据权利要求5所述的方法，其特征在于，所述方法还包括步骤：
不管所述鉴权进程的结果如何，所述终端(9)将所述其他定位信息传送到所述鉴权服务器(14)。
7.根据权利要求1所述的方法，其特征在于，所述方法还包括步骤：
只要所述终端(9)未与所述通信网络(1)进行鉴权，所述至少一个接入点(2、3、4、5)即阻止来自所述终端(9)的、除经由所述给定鉴权协议传递的业务之外的业务。
8.根据权利要求1所述的方法，其特征在于，所述方法还包括步骤：
在所述终端(9)与所述通信网络(1)进行鉴权之后，所述鉴权服务器(14)继续从所述终端(9)接收经由所述给定鉴权协议传递的所述定位信息。
9.根据权利要求1所述的方法，其特征在于，所述方法还包括步骤：
将所述鉴权协议选择作为信令协议。
10.根据权利要求9所述的方法，其特征在于，所述信令协议是EAP扩展鉴权协议型的协议。
11.根据权利要求10所述的方法，其特征在于，所述方法还包括步骤：
从包括所谓EAP方法的组中，选择所述鉴权协议。
12.根据权利要求11所述的方法，其特征在于，所谓EAP方法是EAP-SIM；PEAP；以及LEAP。
13.根据权利要求1所述的方法，其特征在于，所述方法还包括步骤：
使经由所述给定鉴权协议传递的所述定位信息与用于确保所述终端(9)所交换信息安全性的保密密钥相关。
14.一种用于在通信网络(1)中鉴权终端(9)的系统，其中所述通信网络(1)包含所述终端(9)，基于从所述终端(9)传送到所述通信网络中至少一个服务器的定位信息来实现鉴权，其中所述系统被配置为执行权利要求1到13中的任何一个所述的方法。
15.一种通信网络(1)，其配备权利要求14所述的系统。
16.根据权利要求15所述的通信网络，其形式为无线网络。
CN201510750959.1A 2005-06-20 2005-06-20 通信网络和对应网络中管理移动终端的鉴权的方法和系统 Active CN105227585B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510750959.1A CN105227585B (zh) 2005-06-20 2005-06-20 通信网络和对应网络中管理移动终端的鉴权的方法和系统

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201510750959.1A CN105227585B (zh) 2005-06-20 2005-06-20 通信网络和对应网络中管理移动终端的鉴权的方法和系统
CNA2005800511665A CN101228763A (zh) 2005-06-20 2005-06-20 用于在通信网络、对应网络和计算机程序产品中管理移动终端的鉴权的方法和系统

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CNA2005800511665A Division CN101228763A (zh) 2005-06-20 2005-06-20 用于在通信网络、对应网络和计算机程序产品中管理移动终端的鉴权的方法和系统

Publications (2)

Publication Number Publication Date
CN105227585A CN105227585A (zh) 2016-01-06
CN105227585B true CN105227585B (zh) 2019-06-07

Family

ID=39859709

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201510750959.1A Active CN105227585B (zh) 2005-06-20 2005-06-20 通信网络和对应网络中管理移动终端的鉴权的方法和系统
CNA2005800511665A Pending CN101228763A (zh) 2005-06-20 2005-06-20 用于在通信网络、对应网络和计算机程序产品中管理移动终端的鉴权的方法和系统

Family Applications After (1)

Application Number Title Priority Date Filing Date
CNA2005800511665A Pending CN101228763A (zh) 2005-06-20 2005-06-20 用于在通信网络、对应网络和计算机程序产品中管理移动终端的鉴权的方法和系统

Country Status (1)

Country Link
CN (2) CN105227585B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103997481B (zh) * 2013-02-19 2017-07-07 华为终端有限公司 保证定位有效性的方法、装置及网络系统
CN106131840A (zh) * 2016-08-31 2016-11-16 深圳市双赢伟业科技股份有限公司 一种控制物联网终端接入无线网络的方法及系统
CN106131839A (zh) * 2016-08-31 2016-11-16 深圳市双赢伟业科技股份有限公司 物联网终端鉴权的方法及系统
CN112866909B (zh) * 2020-12-31 2022-11-08 广州极飞科技股份有限公司 设备交互方法、系统、电子设备及存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004110026A1 (en) * 2003-06-05 2004-12-16 Wireless Security Corporation Methods and systems of remote authentication for computer networks

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7606938B2 (en) * 2002-03-01 2009-10-20 Enterasys Networks, Inc. Verified device locations in a data network

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004110026A1 (en) * 2003-06-05 2004-12-16 Wireless Security Corporation Methods and systems of remote authentication for computer networks

Also Published As

Publication number Publication date
CN101228763A (zh) 2008-07-23
CN105227585A (zh) 2016-01-06

Similar Documents

Publication Publication Date Title
CN100550701C (zh) 具有入侵检测特性的移动自组织网络以及相关的方法
Capkun et al. Secure positioning in wireless networks
US6961541B2 (en) Method and apparatus for enhancing security in a wireless network using distance measurement techniques
Papadimitratos et al. Secure neighborhood discovery: a fundamental element for mobile ad hoc networking
US6978023B2 (en) Apparatus and method for location based wireless client authentication
CN100354837C (zh) 具有入侵检测特性的移动自组织网络以及相关的方法
Barbeau et al. Detecting impersonation attacks in future wireless and mobile networks
US20060072527A1 (en) Secure authentication and network management system for wireless LAN applications
Malandrino et al. Verification and inference of positions in vehicular networks through anonymous beaconing
Schmoyer et al. Wireless intrusion detection and response: a classic study using main-in-the-middle attack
EP1763177A1 (en) Method of authenticating access points of a wireless network
Kumar et al. Simulation and analysis of authentication protocols for mobile Internet of Things (MIoT)
EP1894379B1 (en) Method and system for managing authentication of a mobile terminal in a communications network, corresponding network and computer-program product
Branch et al. Autonomic 802.11 wireless LAN security auditing
CN105227585B (zh) 通信网络和对应网络中管理移动终端的鉴权的方法和系统
Poturalski et al. Towards provable secure neighbor discovery in wireless networks
CN111212431B (zh) 一种基于区块链的wifi接入位置信号共识系统及方法
Carvalho Security in mobile ad hoc networks
AlQahtani et al. Iot devices proximity authentication in ad hoc network environment
CN101400047A (zh) 蜂窝通信系统中到达时间差定位算法盲区消除的装置和方法
KR101080293B1 (ko) 무선 센서 네트워크에서의 악성 노드 탐지 장치 및 탐지 방법
Coen-Porisini et al. Improving data quality using a cross layer protocol in wireless sensor networks
CN105992208A (zh) 一种无线连接的认证方法及装置
Chen et al. Secure localization against wormhole attacks using conflicting sets
Sieka Using radio device fingerprinting for the detection of impersonation and sybil attacks in wireless networks

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant