CN1337134A - 重新使用安全关联以改善切换性能 - Google Patents

重新使用安全关联以改善切换性能 Download PDF

Info

Publication number
CN1337134A
CN1337134A CN00802626A CN00802626A CN1337134A CN 1337134 A CN1337134 A CN 1337134A CN 00802626 A CN00802626 A CN 00802626A CN 00802626 A CN00802626 A CN 00802626A CN 1337134 A CN1337134 A CN 1337134A
Authority
CN
China
Prior art keywords
fixed cell
security association
mobile unit
attributes
attribute
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN00802626A
Other languages
English (en)
Inventor
M·林曼
D·杰雷斯塔姆
Y·程
L·比鲁普
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN1337134A publication Critical patent/CN1337134A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Transceivers (AREA)
  • Small-Scale Networks (AREA)

Abstract

在一个无线电信系统中,通过重新使用对应某移动单元的现有的安全关联,可使该移动单元在切换过程中的性能得到明显改善。通过重新使用现有的安全关联,移动单元在切换之后能立即开始进行安全通信。否则,依照惯例,移动单元在其能够开始传送和接收安全通信前将不得不花时间承担重新协商所需的安全关联的任务。

Description

重新使用安全关联以改善切换性能
              发明领域
本发明涉及无线电信系统和/或无线电信网络，如无线局域网(LAN)和移动因特网协议(IP)系统。更具体而言，本发明涉及了当移动单元或移动终端在网络中由一个固定单元切换到另一个固定单元时对安全关联的重新使用。
                   背景
随着无线和移动通信技术的飞速发展，通信安全问题，如用户认证、业务保密以及信息完整性已变得至关重要。为解决这些问题，多个因特网工程任务组(IETF)安全协议标准现已在各种无线局域网和移动IP环境中获得应用，如因特网密钥交换(IKE)协议、因特网安全关联和密钥管理协议(ISAKMP)以及因特网协议安全(IPSEC)。
IKE协议被设计成为通信的双方或多方，如移动单元(MU)和网络固定单元(SU)，提供一种用于协商各种安全服务和安全关联的机制。安全服务是为双方或多方间的通信提供保护的一种方法或手段，而安全关联(SA)则是通信双方或多方之间的一种联系，它规定了通信各方如何执行那些已经过协商的安全服务。安全关联实际上是通过一组用以表示相应SA的有效时间周期的属性来定义的，如认证算法、认证密钥、加密算法、加密密钥以及SA生存期。正如本领域技术人员所理解的，SA必须经过协商，而且在双方或多方能够开始安全通信之前的合适位置，根据IKE协议进行安全服务和SA协商的过程由两个阶段完成。在第一个阶段(即阶段1)，通信各方协商ISAKMP SA。ISAKMP SA是由一组为随后进行ISAKMP交换提供保护的基本安全属性定义的。在第二个阶段(即阶段2)，在ISAKMPSA的保护下，通信各方结合IPSEC认证头标(AH)协议和/或IPSEC封装安全净荷(ESP)协议来进行IPSEC SA协商。IPSEC协议为IP层通信提供安全服务。正如本领域所了解的，一个特定的IPSECSA是由安全参数索引(SPI)、目的IP地址和IPSEC协议(即AH或ESP)唯一定义。
由于SA(即ISAKMP SA和IPSECSA)是与协商各方绑定在一起的，
因此每当移动单元在无线局域网环境中从一个访问点移到另一个访问点时，或者在移动IP环境中从一个外部代理移到另一个外部代理时，SA要被重新协商。但是，IKE协商过程是计算密集型的，特别是在阶段1。在无线LAN和移动IP应用情况下，这更为困难：MU的计算能力有限，却频繁地从一个SU切换到另一个SU。在这种情况下，由于大量时间都必须用于协商SA而不是用于通信，因此使得整个系统的性能格外低。
               发明概述
本发明的目的是提供一种在无线局域网或移动IP环境中，尤其在切换期间改善移动单元性能的技术。本发明通过一旦MU进行切换则重新使用而不是重新协商与该MU对应的安全关联(SA)来实现上述目的。通过重新使用SA，减少了协商SA所花费的时间。因此，MU几乎在被从一个SU切换到另一个SU时就能立刻开始安全通信。
因此，本发明的目的是提供一种在切换期间更有效地利用SA的方法。
本发明的另一个目的是减少和/或最小化MU被切换到一个固定单元的时间以及该MU与该固定单元开始进行安全通信的时间之间的等待周期。
本发明的再一个目的是通过无缝切换来普遍改善MU的性能。
本发明还有一个目的就是在不牺牲通信安全的条件下维持所要求的性能水平。
依照本发明的一个实施方案，以上所示的目的和其它目的通过用于完成移动单元从第一个固定单元到第二个固定单元的切换的方法和/或装置来实现。该方法包括使移动单元从第一个固定单元断开，然后，将其连接到第二个固定单元。该方法还包括重新使用现有的安全关联以支持移动单元与第二个固定单元间的连接，其中，现有的安全关联此前曾用于支持移动单元与第一个固定单元间的连接。
依照本发明的另一个实施方案，以上所示的目的和其它目的通过用于完成移动单元从第一个固定单元向第二个固定单元切换的方法和/或装置来实现。更具体而言，该方法包括使移动单元从第一个固定单元断开，然后，将其连接到第二个固定单元。该方法还包括重新使用现有的安全关联以支持移动单元与第二个固定单元间的连接，其中，现有的安全关联此前曾用于保证该移动单元与第三个固定单元间连接的安全通信，其中，第三个固定单元和第二个固定单元都与使用一种公共安全政策的第一个管理域相关联。
依照本发明的再一个实施方案，以上所示的目的和其它目的通过重新使用安全关联来使得移动单元易于在与一个公共管理域相关联的固定单元间进行切换的方法来实现，其中，所有与公共管理域相关联的固定单元都从属于同一安全政策。该方法包括为移动单元和与公共管理域相关联的第一个固定单元间的连接协商第一个安全关联。接着使该移动单元从第一个固定单元断开，然后使其连接到与公共管理域相关联的第二个固定单元。此后将对应第一个安全关联的第一组安全关联属性从第一个固定单元传递到第二个固定单元。这时，第一个安全关联便可以用来保证移动单元与第二个固定单元间连接的安全通信。
              附图简述
本发明的目的及优点通过结合附图阅读详细说明可获得理解：
图1说明了本发明的第一个典型的实施方案；
图2说明了本发明的第二个典型的实施方案；
图3说明了依据本发明被传递的第一组典型的安全关联属性；
图4说明了依据本发明被传递的第二组安全关联属性；以及
图5说明了依据本发明，通过使用加密与认证技术进行安全关联属性信息的传递。
                发明详述
为了更好地理解本发明，以下的详细描述要参考附图，其中对本发明的优选典型实施方案进行了图解描述。此外，图中用于标识本发明关键单元的参考数字在整个描述中是一致的。
本发明包含了一种在无线电信系统中，尤其在切换期间改善移动单元或移动终端(这里用“MU”表示)性能的技术，其中MU从第一个固定单元(这里用“SUK”表示)断开而连接到另一个固定单元(这里用“SUK+1”表示)，其中SUK和SUK+1都属于在一个公共安全政策控制下的公共管理网络域。本发明是通过重新使用一个或更多个先前建立的安全关联以支持MU和SUK+1之间新建的连接来实现上述技术的。通过重新使用这些先前建立的安全关联，每次MU在管理域内改变它的连接点(如经历切换)时，MU和SUK+1不需要再进行花费时间的任务来重新协商安全关联(这里用“SA”表示)。当通信实体(如MU和SUK+1)显示有低到中等的计算能力，且尤其是MU处于移动和频繁经历切换时，本发明就显得尤为重要。
根据本发明，相对于被用来保护MU和各个SU之间的通信的SA，与同一管理域相关并因此处于公共安全政策控制下的多个固定单元(SU)中的每一个都采用相同的方式进行管理。因此，如果且在MU被切换到与该管理域相关联的其它SU之一时，这组建立在MU和属于该管理域的多个SU中任何一个之间的SA能够被任一其它SU重新使用。如上所述，重新使用先前建立的SA将在不牺牲通信安全的条件下改善MU在切换期间的性能。不过，依赖于对MU性能的改善所期望的程度，在下面对本发明的两个典型实施方案加以描述。
根据本发明的第一个典型实施方案，这里称为部分的SA重新使用实施方案，每当MU在管理域中被切换到另一个SU(即SUK+1)时，先前建立的因特网安全关联和密钥管理协议(ISAKMP)SA被重新使用。更具体而言，当MU第一次和管理域中的一个SU建立连接时，用于建立ISAKMP SA的因特网密钥交换(IKE)阶段1的协商，和用于建立IPSECSA的IKE阶段2的协商是根据因特网工程任务组(IETF)提出的各种标准执行的。不过，当移动单元进行移动并被切换到另一个与同一管理域相关联的SU(即SUK+1)时，先前建立的ISAKMP SA就被MU和SUK+1重新使用。尽管如此，MU和SUK+1仍必须进行IKE阶段2的协商；即MU和SUK+1必须重新协商IPSECSA。因为IKE阶段1 SA的协商过程相对于IKE阶段2的协商过程要花费多得多的时间，所以重新使用ISAKMP SA能大大改善切换期间MU的性能。
根据本发明的第二个典型实施方案，这里称为全部SA重新使用的实施方案，先前建立的ISAKMPSA和先前建立的IPSECSA在每次MU经历从管理域中的一个SU(即SUK)向另一个SU(即SUK+1)切换时都被重新使用。如上所述，当MU第一次与管理域中的一个SU连接时，ISAKMP SA和IPSECSA分别按照IKE阶段1和IKE阶段2的协商过程进行建立。不过，与上面描述的部分SA重新使用实施方案不同的是，随后进行的切换导致了先前建立的ISAKMP SA和先前建立的IPSECSA都被重新使用。这样，避免了整个含有阶段1和阶段2的IKE SA协商过程。因此，MU与SUK+1彼此之间在ISAKMPSA和IPSECSA从SUK被传递到SUK+1后几乎立刻就能开始通信。从而使切换过程以无缝或近于无缝的方式完成。
一般而言，全部SA重新使用实施方案与部分SA重新使用实施方案相比，能为MU在切换期间提供更多的性能增强。那是因为MU和SUK+1不需要重新协商任何SA。那么为什么网络管理员可能优先选择执行部分SA重新使用实施方案而不是全部SA重新使用实施方案呢？一个原因可能是网络管理员不希望与一个管理域相关联的各个SU共享由IPSECSA所规定的相同会话密钥(即加密与认证密钥)。例如，如果所有与管理域相关联的SU共享相同的会话密钥，且仅仅其中的一个SU被损害时，攻击者便有可能危及MU与管理域相关联的任何一个SU之间的通信安全。
如上所述，一个特定的IPSECSA是由一个结合了目的IP地址和一个特定安全协议(如认证头标协议或封装安全净荷协议)的安全参数索引(SPI)唯一标识的。这样，为了重新使用IPSECSA，管理域中的所有SU需要一个公共IP地址。依照全部SA重新使用实施方案，这个公共IP地址可以作为一个别名IP地址被分配给每个SU。但是，在某种特定的情况下，网络管理员可能不希望给每个SU分配一个公共IP地址。如果是这种情况，网络管理员很可能宁愿选择部分SA重新使用实施方案而不是全部SA重新使用实施方案。
当MU从一个SU(如SUK)被切换到另一个SU(如SUK+1)时，取决于使用的是部分SA重新使用实施方案还是全部SA重新使用实施方案，对应于ISAKMP SA的SA属性和对应于IPSECSA的SA属性必须由SUK被传递到SUK+1。这种由SUK向SUK+1进行的SA属性的传递可根据多种典型技术中的任何一种来实现。
图1描述了一种被称作直接传递技术的这样的技术。依照这种直接传递技术，MU101经历由SUK105到SUK+1110的切换，如标记为“1”的方向箭头所示。接着，SUK+1110通过发送一个SA请求消息与SUK105取得联系，如标记为“2”的方向箭头所示。这个SA请求消息特别用来请求那些与MU101相关联的SA。因此，该SA请求消息必须含有一个用于MU 101的标识码。然后，SUK105通过向SUK+1110发送合适的SA属性来响应SA请求消息，如标记为“3”的方向箭头所示。
除了以上描述的步骤以外，图1中所描述的直接传递技术也可能包含验证SUK属于与SUK+1相同管理域的步骤。为了实现这一步，每个与管理域相关联的SU可以维护一张含有与管理域相关联的所有IP地址的列表。于是，SUK+1便能够通过简单地检查以查看SUK关联的IP地址是否在列表上来进行所需的验证。或者，如果管理域相应于IP网络或子网，那么SUK+1可以简单地比较SUKIP地址的网络标识部分和它自身IP地址的网络标识部分。如果它们匹配，SUK+1就验证了SUK实际上属于相同的管理域。如果SUK+1确定SUK不属于相同的管理域，那么MU和SUK+1可能需要重新协商ISAKMP SA和IPSECSA，除非在MU与SUK+1所属的管理域相关联的任一SU之间先前的连接过程中将与ISAKMPSA和IPSECSA相关联的属性例如存储在图2所示的数据库中。
图2描述了用于传递合适SA属性的另一种可选技术。这种可选技术在此称为中间存储技术。该中间存储技术在由于网络配置而使得SUK难以识别，或当SUK与SUK+1之间难以进行或不希望进行直接通信时可能更为可取。依照这种可选技术，如图2所示，MU 201经历由SUK205到SUK+1210的切换，如标记为“1”的方向箭头所示。在切换之前或同时，或者如果有必要的话，在切换之后，SUK把与MU 201相关的合适SA传给数据库(DBS)215，如标记为“2”的方向箭头所示。然后，SUK+1210向DBS 215发送一个SA请求消息，如标记为“3”的方向箭头所示。同直接传递技术一样，该SA请求消息包含一个用于特别标识MU 201的标识码。因此，DBS 215能够通过向SUK+1210发送与MU 201相关联的合适SA来响应SA请求消息，如标记为“4”的方向箭头所示。
正如本领域的技术人员易于理解的，SA包含有敏感信息(如会话密钥)。因此，对使用直接传递或中间存储技术从SUK向SUK+1传递的SA信息应该进行保护。所以，可以使用加密与认证机制以保证这种敏感信息的机密性和可靠性。
图3更具体地描述了如果使用部分SA重新使用实施方案，可能由SUK传递给SUK+1的SA属性。如图解所示，SUK105在接收到来自SUK+1110的SA请求消息时，如标记为“2”的方向箭头所示，向SUK+1110发送一个响应消息305，其中响应消息305包含了定义以下ISAKMP SA属性必要的信息：ISAKMP SA生存期；ISAKMP会话密钥，包括用于认证的ISAKMP会话密钥和用于加密的ISAKMP会话密钥；导出IPSEC会话密钥所必需的生成密钥的材料；用于生成初始向量的最后IKE阶段1CBC(即，密码决链接)输出块，该初始向量进而又为第一个IKE阶段2消息的加密所需。尽管图3所示的SA属性是根据上述的直接传递技术进行传递的，但对本领域技术人员而言很容易理解到，SA属性的传递也可以选择使用中间存储技术。
除了图3所示的SA属性外，图4描述了如果使用全部SA重新使用实施方案，可能由SUK105传递到SUK+1110的SA属性。如图4所示，根据标记为“2”的方向箭头所指明的，SUK105在接收到来自于SUK+1110的SA请求消息时向SUK+1110发送一个响应消息405，其中，响应消息405包含了用于定义上述图3所指明的ISAKMP SA属性的必要信息，以及定义以下IPSECSA属性的必要信息：IPSECSA生存期；被使用的IPSEC协议，即认证头标和/或封装安全净荷协议；IPSEC协议模式，即传输模式或隧道模式；安全参数索引；IPSEC会话密钥，包括用于认证与加密的会话密钥及它们各自的算法；切换前的最后CBC输出块，它是用来作为切换后第一个IP分组加密的初始向量；以及序列号值，根据认证头标协议或封装安全净荷协议，仅在切换前将该值加1，并以此作为切换后用于抗中继检测目的的序列号初始值。与图3的情况一样，图4中SA属性的传递也是按照上述的直接传递技术完成的。不过，应当理解为该SA属性也可按照上述的中间存储技术来传递。
如前所述，MU第一次与给定管理域中的任何一个SU连接时，必须完成IKE阶段1协商和IKE阶段2协商，由此分别建立ISAKMPSA与IPSECSA。不过，根据本发明的另一方面，与ISAKMP SA和IPSECSA相关联的SA属性可被存储一个时间周期，例如，一个时间周期可分别等于ISAKMP SA的生存期和IPSECSA生存期。SA属性可以存储在数据库中，例如图2所示的数据库215。如果MU例如通过切换到一个不与管理域相关联的SU上而与管理域去掉了关联，然后在上述时间周期到期之前，MU又例如通过切换回与管理域相关联的SU而与管理域重新关联，那么则通过存储SA属性就可以避免MU重新协商ISAKMP SA和IPSECSA。根据本发明的这一点，在MU被连接到SUK时和它被连接到SUK+1时之间的过渡期间里，MU如果不是被切换到与另一个管理域相关联的SU这种情况，那么向SUK+1进行SA属性的传递可以采用与图2所述的中间存储技术大致相同的方式来实现。
图5描述了根据本发明的示范实施方案传递SA属性控制消息的过程，它使用加密与认证技术来保护传送期间的SA属性。尽管图5所示的过程包含了参考附图2所述的中间存储技术时，本领域技术人员将容易理解到相似的过程也可应用于直接传递技术，如参考附图1所述。
图5描述的过程最初是由MU经历从固定单元SUK到固定单元SUK+1的切换过程开始的，如标记为“1”的方向箭头所示，其中SUK和SUK+1都与相同的管理域相关联。因此SUK和SUK+1从属于同一安全政策。接着，在切换过程期间的某些时刻上，SUK向DBS传递SA属性控制消息，如标记为“2”的方向箭头所示。如图所示，SA属性控制消息包含了一个MU标识码(IDMU)；使用加密密钥KSA加密过的SA属性(ENCKSA)；时间标记(T)和哈希值(HASHKDB)。MU标识码(IDMU)的作用是标识与MU相关的SA属性(即ENCKSA)。时间标记(T)的作用是通知DBS自从SUK发送SA控制消息以来已过去的时间段。如果一个有效的时间周期已经过去，DBS可以设计成拒绝SA属性控制消息以保护防止未授权的重放。尽管MU标识码(IDMU)和时间标记(T)通常没有被加密，但SA属性采用加密密钥KSA进行加密，该加密密钥被每个与管理域相关联的SU所共享。哈希值(HASHKDB)用于认证目的，它通过使用认证密钥KDB获得，并且作为MU标识码(IDMU)、SA属性(ENCKSA)和时间标记(T)的函数。如同加密密钥KSA一样，认证密钥KDB也是为每一个与管理域相关联的SU所共享。此外，它还被DBS共享。
如上所述，SUK向DBS传送的SA属性控制消息包括MU标识码(IDMU)、加密的SA属性(ENCKSA)、时间标记(T)和哈希值(HASHKDR)。当收到SA属性控制消息时，，DBS要基于认证的密钥KDB重新计算作为MU标识码(IDMU)、SA属性(ENCKSA)及时间标记(T)的被接收数值的一个函数的哈希值。然后DBS将重新计算的哈希值与收到的哈希值进行比较。如果两个值相等(即如果两个值匹配)，DBS便对SUK进行认证，并接受SA属性控制消息。接着DBS将加密的SA属性(ENCKSA)连同MU标识码(IDMU)一起进行存储。
进一步根据图5所述的过程，SUK+1现在向DBS发送了一个SA属性请求消息，如标记为“3”的方向箭头所示，其中SA属性请求消息包含有MU标识码(IDMU)。作为响应，DBS向SUK+1传送对应于包含在SA属性请求消息中的MU标识码(IDMU)的加密SA属性(ENCKSA)。通过在SA属性(ENCKSA)中使用加密密钥KSA，SUK+1能够解密该加密SA属性。
本发明已就优选实施方案进行了描述。不过对于本领域技术人员而言将很容易意识到，在不脱离本发明的精神的前提下，有可能使用有别于以上所述的其它方式来实现本发明。该优选实施方案是以图例的形式进行描述，不应被认为有任何形式的限制。本发明的范围由所附的权利要求给出，而不在前面的描述中给出，落入权利要求范围内的所有变化和等同的情况都被规定为包含在权利要求中。

Claims (35)

1.一种在无线电信系统中用于实现移动单元从第一个固定单元到第二个固定单元的切换的方法，该方法包括的步骤有：
使移动单元从第一个固定单元断开；
使移动单元连接到第二个固定单元；以及
重新使用现有的安全关联以支持移动单元与第二个固定单元间的连接，其中该现有的安全关联以前曾用于支持移动单元与第一个固定单元间的连接。
2.权利要求1的方法进一步包括步骤：
从第一个固定单元向第二个固定单元传递与安全关联相关的多个安全关联属性。
3.权利要求2的方法，其中安全关联属性从第一个固定单元被直接传递给第二个固定单元。
4.权利要求2的方法，其中从第一个固定单元向第二个固定单元传递与安全关联相关的多个安全关联属性的步骤包括的步骤有：
从第一个固定单元向数据存储实体传递该多个安全关联属性；以及
从数据存储实体向第二个固定单元传递该多个安全关联属性。
5.权利要求4的方法，其中该数据存储实体是一个可被第二个固定单元访问的数据库。
6.权利要求2的方法进一步包括步骤：
在进行从第一个固定单元向第二个固定单元传递多个安全关联属性的步骤之前，使用第一个和第二个固定单元所共享的加密密钥为多个安全关联属性加密。
7.权利要求1的方法，其中现有的安全关联是ISAKMP安全关联。
8.权利要求1的方法，其中现有的安全关联是IPSEC安全关联。
9.权利要求1的方法，其中第一个固定单元和第二个固定单元都与一个公共管理域相关联，这使得第一个固定单元和第二个固定单元都从属于一个公共安全政策。
10.权利要求9的方法，其中第一个固定单元和第二个固定单元共享一个公共IP地址。
11.一种在无线电信系统中用于实现移动单元从第一个固定单元到第二个固定单元的切换的方法，该方法包括的步骤有：
使移动单元从第一个固定单元断开；
使移动单元连接到第二个固定单元；以及
重新使用现有的安全关联以支持移动单元与第二个固定单元间的连接，其中该现有的安全关联以前曾用于保证移动单元与第三个固定单元间连接的安全通信，以及其中，第三个固定单元和第二个固定单元与使用公共安全政策的第一个管理域相关联。
12.权利要求11的方法进一步包括步骤：
从第三个固定单元向第二个固定单元传递一组与现有的安全关联相关的安全关联属性。
13.权利要求11的方法，其中从第三个固定单元向第二个固定单元传递一组与现有安全关联相关的安全关联属性的步骤包含的步骤有：
从第三个固定单元向一个存储位置传递安全关联属性；以及
由存储位置向第二个固定单元传递安全关联属性。
14.权利要求13的方法，其中该存储位置位于与第三个固定单元和第二个固定单元所属的第一个管理域相关联的数据库中。
15.权利要求11的方法，其中第一个固定单元与第二个管理域相关联。
16.一种在无线电信网络中用于重新使用安全关联使得移动单元易于在与一个公共管理域相关联的固定单元间进行切换的方法，其中所有与公共管理域相关联的固定单元都从属于同一安全政策，该方法包括的步骤有：
为移动单元和与公共管理域相关联的第一个固定单元间的连接协商第一个安全关联；
使移动单元从第一个固定单元断开；
使移动单元连接到公共管理域相关联的第二个固定单元；
从第一个固定单元向第二个固定单元传递对应第一个安全关联的第一组安全关联属性；以及
使用第一个安全关联来保证移动单元与第二个固定单元间连接的安全通信。
17.权利要求16的方法，其中协商第一个安全关联的步骤包括的步骤有：
根据IKE阶段1协商过程建立ISAKMP安全关联。
18.权利要求17的方法进一步包括的步骤有：
根据IKE阶段2协商过程，为移动单元与第一个固定单元之间的连接协商第二个安全关联；
从第一个固定单元向第二个固定单元传递对应第二个安全关联的第二组安全关联属性；以及
结合第一个安全关联来使用第二个安全关联进一步保证移动单元与第二个固定单元间连接的安全通信。
19.权利要求17的方法，其中第二个安全关联是一个IPSEC认证头标协议安全关联。
20.权利要求18的方法，其中第二个安全关联是一个IPSEC封装安全净荷协议安全关联。
21.一种在无线电信系统中用于实现移动单元从第一个固定单元到第二个固定单元的切换的装置，该装置包括：
用于使移动单元从第一个固定单元断开的装置；
用于使移动单元连接到第二个固定单元的装置；以及
用于重新使用现有的安全关联以支持移动单元与第二个固定单元间连接的装置，其中该现有的安全关联以前曾用于支持移动单元与第一个固定单元间的连接。
22.权利要求20的装置进一步包括：
用于从第一个固定单元向第二个固定单元传递多个与安全关联相关的安全关联属性的装置。
23.权利要求22的装置，其中安全关联属性从第一个固定单元被直接传递给第二个固定单元。
24.权利要求22的装置，其中用于从第一个固定单元向第二个固定单元传递多个与安全关联相关的安全关联属性的装置包括：
用于从第一个固定单元向一个数据存储实体传递该多个安全关联属性的装置；以及
用于从数据存储实体向第二个固定单元传递该多个安全关联属性的装置。
25.权利要求24的装置，其中数据存储实体是一个可被第二个固定单元访问的数据库。
26.权利要求22的装置进一步包含：
在从第一个固定单元向第二个固定单元传递多个安全关联属性之前，用于为该多个安全关联属性加密的装置，其中用于为该多个安全关联属性加密的装置使用由第一个固定单元和第二个固定单元所共享的加密密钥。
27.权利要求21的装置，其中现有的安全关联是ISAKMP安全关联。
28.权利要求21的装置，其中现有的安全关联是IPSEC安全关联。
29.权利要求21的装置，其中第一个固定单元和第二个固定单元都与一个公共管理域相关联，这使得第一个固定单元和第二个固定单元都从属于一个公共安全政策。
30.权利要求29的装置，其中第一个固定单元和第二个固定单元共享一个公共IP地址。
31.一种在无线电信系统中用于实现移动单元从第一个固定单元到第二个固定单元的切换的装置，该装置包括：
用于使移动单元从第一个固定单元断开的装置；
用于使移动单元连接到第二个固定单元的装置；以及
用于重新使用现有的安全关联以支持移动单元与第二个固定单元间的连接的装置，其中该现有的安全关联以前曾用于保证移动单元与第三个固定单元间连接的安全通信，且其中第三个固定单元和第二个固定单元都与使用公共安全政策的第一个管理域相关联。
32.权利要求31的装置进一步包括：
用于从第三个固定单元向第二个固定单元传递一组与现有安全关联相关的安全关联属性的装置。
33.权利要求31的装置，其中用于从第三个固定单元向第二个固定单元传递该组与现有安全关联相关的安全关联属性的装置包括：
用于从第三个固定单元向存储位置传递该安全关联属性的装置；以及
用于从存储位置向第二个固定单元传递该安全关联属性的装置。
34.权利要求33的装置，其中该存储位置位于与第三个固定单元和第二个固定单元所属的第一个管理域相关联的数据库中。
35.权利要求31的装置，其中第一个固定单元与第二个管理域相关联。
CN00802626A 1999-01-08 2000-01-07 重新使用安全关联以改善切换性能 Pending CN1337134A (zh)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US11534999P 1999-01-08 1999-01-08
US60/115,349 1999-01-21
US09/234,512 US6418130B1 (en) 1999-01-08 1999-01-21 Reuse of security associations for improving hand-over performance
US09/234,512 1999-01-21

Publications (1)

Publication Number Publication Date
CN1337134A true CN1337134A (zh) 2002-02-20

Family

ID=26813098

Family Applications (1)

Application Number Title Priority Date Filing Date
CN00802626A Pending CN1337134A (zh) 1999-01-08 2000-01-07 重新使用安全关联以改善切换性能

Country Status (7)

Country Link
US (1) US6418130B1 (zh)
EP (1) EP1142400B1 (zh)
JP (2) JP2002534930A (zh)
CN (1) CN1337134A (zh)
AU (1) AU2335300A (zh)
DE (1) DE60035953T2 (zh)
WO (1) WO2000041427A2 (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007033548A1 (fr) * 2005-09-19 2007-03-29 Huawei Technologies Co., Ltd. Procede et dispositif pour obtenir les informations d'association de securite pendant la procedure de transfert du terminal mobile
CN1988716B (zh) * 2005-12-21 2010-05-05 华为技术有限公司 保证移动台和基站之间通讯安全的方法
CN101022418B (zh) * 2007-03-14 2010-05-26 华为技术有限公司 Hmip认证方法、设备及系统
CN101022647B (zh) * 2006-02-15 2010-09-08 华为技术有限公司 切换处理过程中确定安全协商参数的实现方法及装置
CN1937840B (zh) * 2005-09-19 2011-04-13 华为技术有限公司 一种移动终端切换过程中获得安全联盟信息的方法及装置
CN102546154A (zh) * 2011-12-19 2012-07-04 上海顶竹通讯技术有限公司 移动通信网络以及终端的切换方法
CN102843368A (zh) * 2004-03-03 2012-12-26 北方电讯网络有限公司 维持安全网络连接的技术
CN104780540A (zh) * 2008-03-28 2015-07-15 爱立信电话股份有限公司 切换期间被操纵或有缺陷基站的识别

Families Citing this family (61)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB9922847D0 (en) * 1999-09-27 1999-11-24 Simoco Int Ltd Radio communications
WO2001026322A2 (en) * 1999-10-05 2001-04-12 Nortel Networks Limited Key exchange for a network architecture
US6721291B1 (en) * 1999-10-19 2004-04-13 Nokia Ip Anycast binding mobile communication method and system
US7486952B1 (en) * 2000-02-09 2009-02-03 Alcatel-Lucent Usa Inc. Facilitated security for handoff in wireless communications
CA2813744C (en) * 2000-03-03 2017-05-09 Qualcomm Incorporated Method and apparatus for participating in group communication services in an existing communication system
US7480939B1 (en) * 2000-04-28 2009-01-20 3Com Corporation Enhancement to authentication protocol that uses a key lease
US6978382B1 (en) * 2000-08-14 2005-12-20 Qualcomm Incorporated Method and an apparatus for granting use of a session of a packet data transmission standard designated by an identifier
US6947483B2 (en) * 2000-08-18 2005-09-20 Nortel Networks Limited Method, apparatus, and system for managing data compression in a wireless network
GB0020443D0 (en) * 2000-08-18 2000-10-04 Nokia Networks Oy Controlling communication between stations
US6691227B1 (en) * 2000-09-08 2004-02-10 Reefedge, Inc. Location-independent packet routing and secure access in a short-range wireless networking environment
FI111423B (fi) * 2000-11-28 2003-07-15 Nokia Corp Järjestelmä kanavanvaihdon jälkeen tapahtuvan tietoliikenteen salauksen varmistamiseksi
US7266687B2 (en) 2001-02-16 2007-09-04 Motorola, Inc. Method and apparatus for storing and distributing encryption keys
US7123719B2 (en) 2001-02-16 2006-10-17 Motorola, Inc. Method and apparatus for providing authentication in a communication system
WO2002096151A1 (en) * 2001-05-22 2002-11-28 Flarion Technologies, Inc. Authentication system for mobile entities
GB2377589B (en) * 2001-07-14 2005-06-01 Motorola Inc Ciphering keys for different cellular communication networks
US20030016819A1 (en) * 2001-07-20 2003-01-23 Lebin Cheng Secure socket layer (SSL) load generation with handshake replay
FI116025B (fi) * 2001-09-28 2005-08-31 Netseal Mobility Technologies Menetelmä ja verkko viestien turvallisen lähettämisen varmistamiseksi
FI116027B (fi) * 2001-09-28 2005-08-31 Netseal Mobility Technologies Menetelmä ja järjestelmä viestien turvallisen lähettämisen varmistamiseksi
US7028183B2 (en) * 2001-11-13 2006-04-11 Symantec Corporation Enabling secure communication in a clustered or distributed architecture
SE0104325D0 (sv) * 2001-12-20 2001-12-20 Ericsson Telefon Ab L M A method and apparatus for switching access between mobile networks
FI118170B (fi) 2002-01-22 2007-07-31 Netseal Mobility Technologies Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi
JP3789374B2 (ja) * 2002-03-22 2006-06-21 Ｎｅｃインフロンティア株式会社 電話システム
US7103359B1 (en) * 2002-05-23 2006-09-05 Nokia Corporation Method and system for access point roaming
FR2840499B1 (fr) * 2002-05-30 2004-12-10 Cit Alcatel Procede et dispositif de controle d'acces a un reseau local de communications sans fil
KR100888471B1 (ko) 2002-07-05 2009-03-12 삼성전자주식회사 링크 접속권한을 등급화 한 암호화 키 차등분배방법 및이를 이용한 로밍방법
US7130286B2 (en) * 2002-10-02 2006-10-31 Nokia Corporation System and method for resource authorizations during handovers
KR100480258B1 (ko) * 2002-10-15 2005-04-07 삼성전자주식회사 무선 근거리 네트워크에서 고속 핸드오버를 위한 인증방법
US20040088550A1 (en) * 2002-11-01 2004-05-06 Rolf Maste Network access management
US7489667B2 (en) * 2002-11-08 2009-02-10 Faccin Stefano M Dynamic re-routing of mobile node support in home servers
WO2004077205A2 (en) * 2003-02-26 2004-09-10 Nokia Corporation A method of reducing denial-of-service attacks and a system as well as an access router therefor
BRPI0408619A (pt) * 2003-03-27 2006-03-07 Thomson Licensing deslocamento seguro entre pontos de acesso sem fio
US8027679B2 (en) * 2003-09-12 2011-09-27 Ntt Docomo, Inc. Secure intra- and inter-domain handover
US7826614B1 (en) * 2003-11-05 2010-11-02 Globalfoundries Inc. Methods and apparatus for passing initialization vector information from software to hardware to perform IPsec encryption operation
US7574603B2 (en) * 2003-11-14 2009-08-11 Microsoft Corporation Method of negotiating security parameters and authenticating users interconnected to a network
KR100523058B1 (ko) * 2003-11-18 2005-10-24 한국전자통신연구원 무선랜 시스템에서의 동적 그룹키 관리 장치 및 그 방법
EP1578059A1 (en) * 2004-03-19 2005-09-21 Swisscom Mobile AG WLAN handover
US7596226B2 (en) 2004-07-19 2009-09-29 Nokia Corporation Mobile terminal, method and computer program product for storing and retrieving network parameters
JP2006080981A (ja) * 2004-09-10 2006-03-23 Fujitsu Ltd ハンドオーバ方法並びにこれを適用した移動通信システムおよび移動端末
US7643451B2 (en) * 2004-10-15 2010-01-05 Nortel Networks Limited Method and apparatus for extending a mobile unit data path between access points
US7835722B2 (en) * 2004-11-04 2010-11-16 Research In Motion Limited System and method for over the air provisioning of a mobile communications device
US7669230B2 (en) * 2005-03-30 2010-02-23 Symbol Technologies, Inc. Secure switching system for networks and method for securing switching
US20060240802A1 (en) * 2005-04-26 2006-10-26 Motorola, Inc. Method and apparatus for generating session keys
US20070011448A1 (en) * 2005-07-06 2007-01-11 Microsoft Corporation Using non 5-tuple information with IPSec
US8559921B2 (en) * 2005-08-17 2013-10-15 Freescale Semiconductor, Inc. Management of security features in a communication network
KR101137340B1 (ko) * 2005-10-18 2012-04-19 엘지전자 주식회사 릴레이 스테이션의 보안 제공 방법
KR101196100B1 (ko) * 2006-05-13 2012-11-02 삼성전자주식회사 통신 시스템에서 인증 방법 및 그 장치
US8086216B2 (en) * 2007-01-31 2011-12-27 Alcatel Lucent Mobility aware policy and charging control in a wireless communication network
KR101341720B1 (ko) * 2007-05-21 2013-12-16 삼성전자주식회사 이동통신 시스템에서 프록시 이동 인터넷 프로토콜을 이용한 단말의 이동성 관리 방법 및 시스템과 이를 위한 단말의 홈 주소 할당 방법
JP4964683B2 (ja) * 2007-06-18 2012-07-04 株式会社リコー 通信装置およびプログラム
US8667151B2 (en) * 2007-08-09 2014-03-04 Alcatel Lucent Bootstrapping method for setting up a security association
JP4586075B2 (ja) * 2008-02-06 2010-11-24 株式会社エヌ・ティ・ティ・ドコモ 無線端末及び無線通信方法
EP2139285B1 (en) * 2008-04-11 2011-03-23 Innovative Sonic Limited Method and apparatus for handling handover procedure
CN101321395B (zh) * 2008-06-24 2012-01-11 中兴通讯股份有限公司 下一代网络中支持移动性安全的方法与系统
WO2010151182A1 (en) * 2009-06-22 2010-12-29 Telefonaktiebolaget L M Ericsson (Publ) A method and an arrangement for handling security in a telecommunications system
US8929543B2 (en) * 2010-03-17 2015-01-06 Telefonaktiebolaget L M Ericsson (Publ) Enhanced key management for SRNS relocation
CN103888941B (zh) * 2012-12-20 2018-03-06 新华三技术有限公司 一种无线网络密钥协商的方法及装置
EP3641367B1 (en) * 2015-10-08 2021-08-04 Telefonaktiebolaget LM Ericsson (publ) Node for use in a communication network and method of operating the same
US10390277B2 (en) * 2016-11-30 2019-08-20 Samsung Electronics Co., Ltd. MOBIKE aware LTE to Wi-Fi handoff optimization
EP3709601B1 (en) * 2017-03-17 2022-02-16 Telefonaktiebolaget LM Ericsson (publ) Network node for use in a communication network, a communication device and methods of operating the same
US11196726B2 (en) * 2019-03-01 2021-12-07 Cisco Technology, Inc. Scalable IPSec services
US11146959B2 (en) * 2019-10-29 2021-10-12 Arista Networks, Inc. Security association reuse for multiple connections

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5293423A (en) 1989-09-12 1994-03-08 Telefonaktiebolaget L M Ericsson Synchronizing method in a mobile radio system
US5081679A (en) 1990-07-20 1992-01-14 Ericsson Ge Mobile Communications Holding Inc. Resynchronization of encryption systems upon handoff
US5243653A (en) 1992-05-22 1993-09-07 Motorola, Inc. Method and apparatus for maintaining continuous synchronous encryption and decryption in a wireless communication system throughout a hand-off
JPH06351062A (ja) * 1993-06-10 1994-12-22 Fujitsu Ltd ハンドオーバー時の秘話機能継続方式
US5444766A (en) * 1993-10-01 1995-08-22 At&T Corp. Mobile-synchronized handoff in a wireless communications system
US5546464A (en) 1994-09-16 1996-08-13 Ericsson Inc. Method of and apparatus for selective resynchronization in a digital cellular communications system
US5778075A (en) * 1996-08-30 1998-07-07 Telefonaktiebolaget, L.M. Ericsson Methods and systems for mobile terminal assisted handover in an private radio communications network
US6253321B1 (en) * 1998-06-19 2001-06-26 Ssh Communications Security Ltd. Method and arrangement for implementing IPSEC policy management using filter code
US6587680B1 (en) * 1999-11-23 2003-07-01 Nokia Corporation Transfer of security association during a mobile terminal handover

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102843368A (zh) * 2004-03-03 2012-12-26 北方电讯网络有限公司 维持安全网络连接的技术
WO2007033548A1 (fr) * 2005-09-19 2007-03-29 Huawei Technologies Co., Ltd. Procede et dispositif pour obtenir les informations d'association de securite pendant la procedure de transfert du terminal mobile
CN1937840B (zh) * 2005-09-19 2011-04-13 华为技术有限公司 一种移动终端切换过程中获得安全联盟信息的方法及装置
CN1988716B (zh) * 2005-12-21 2010-05-05 华为技术有限公司 保证移动台和基站之间通讯安全的方法
CN101022647B (zh) * 2006-02-15 2010-09-08 华为技术有限公司 切换处理过程中确定安全协商参数的实现方法及装置
CN101022418B (zh) * 2007-03-14 2010-05-26 华为技术有限公司 Hmip认证方法、设备及系统
CN104780540A (zh) * 2008-03-28 2015-07-15 爱立信电话股份有限公司 切换期间被操纵或有缺陷基站的识别
CN104780540B (zh) * 2008-03-28 2018-12-14 爱立信电话股份有限公司 切换期间被操纵或有缺陷基站的识别
CN102546154A (zh) * 2011-12-19 2012-07-04 上海顶竹通讯技术有限公司 移动通信网络以及终端的切换方法
CN102546154B (zh) * 2011-12-19 2015-09-16 上海顶竹通讯技术有限公司 移动通信网络中终端的切换方法

Also Published As

Publication number Publication date
DE60035953T2 (de) 2008-05-08
EP1142400B1 (en) 2007-08-15
DE60035953D1 (de) 2007-09-27
EP1142400A2 (en) 2001-10-10
WO2000041427A2 (en) 2000-07-13
JP4515411B2 (ja) 2010-07-28
JP2006319971A (ja) 2006-11-24
US6418130B1 (en) 2002-07-09
AU2335300A (en) 2000-07-24
JP2002534930A (ja) 2002-10-15
WO2000041427A3 (en) 2000-11-02

Similar Documents

Publication Publication Date Title
CN1337134A (zh) 重新使用安全关联以改善切换性能
KR100480258B1 (ko) 무선 근거리 네트워크에서 고속 핸드오버를 위한 인증방법
US7181012B2 (en) Secured map messages for telecommunications networks
JP5597676B2 (ja) 鍵マテリアルの交換
KR101438243B1 (ko) Ｓｉｍ 기반 인증방법
US6976177B2 (en) Virtual private networks
EP1374533B1 (en) Facilitating legal interception of ip connections
US7130286B2 (en) System and method for resource authorizations during handovers
WO2000074345A1 (en) Method and apparatus for secure communication
CN1371565A (zh) 安全链接实体验证和加密密钥产生的方法和配置
KR100523058B1 (ko) 무선랜 시스템에서의 동적 그룹키 관리 장치 및 그 방법
CN103188228B (zh) 一种实现端到端安全防护的方法、安全网关及系统
CN100536471C (zh) 一种家乡代理信令消息有效保护方法
KR100596397B1 (ko) 모바일 ＩＰｖ６ 환경에서 라디우스 기반 ＡＡＡ 서버의세션키 분배 방법
Xenakis et al. Alternative Schemes for Dynamic Secure VPN Deployment in UMTS
WO2001080520A2 (en) Security encrypted network access identifier for ip mobility systems
Tariq Envisioning the Future Security Framework for 5G enabler Technologies
Ja’afer et al. Classification of Security Authentication for Roaming User in Mobile Networks

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication