CN1534921A - 用于独立网络间的公共认证和授权的方法 - Google Patents

用于独立网络间的公共认证和授权的方法 Download PDF

Info

Publication number
CN1534921A
CN1534921A CNA2004100318025A CN200410031802A CN1534921A CN 1534921 A CN1534921 A CN 1534921A CN A2004100318025 A CNA2004100318025 A CN A2004100318025A CN 200410031802 A CN200410031802 A CN 200410031802A CN 1534921 A CN1534921 A CN 1534921A
Authority
CN
China
Prior art keywords
user
networks
network
authentication
certificates
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2004100318025A
Other languages
English (en)
Other versions
CN1534921B (zh
Inventor
��ά����������˹�����ɵ�˹
戴维·本尼纳蒂
��M.���ѵ�
皮莱兹·M.·费德
Y.
南希·Y.·李
-
希尔维阿·马丁-里昂
ɳƤ��
利尤文·沙皮拉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia of America Corp
Original Assignee
Lucent Technologies Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Lucent Technologies Inc filed Critical Lucent Technologies Inc
Publication of CN1534921A publication Critical patent/CN1534921A/zh
Application granted granted Critical
Publication of CN1534921B publication Critical patent/CN1534921B/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]

Abstract

通过具有不同访问技术的网络之间的公共认证和授权(AA)可进行网络间的连续用户转换。可接收来自一个尝试获取对网络之一的访问权限的用户的一个AA证书集合，并且另一个网络的一个订户数据库可被用于验证该AA证书集合。可使用各网络公用的一个通信协议。另外，用户可采用可在多个通信协议层使用的单个认证和授权(AA)证书集合。此外，通过在一个数据链路层处的AA询问和回复会话期间收集用户的关键字材料，一个用户可在两个或多个网络间漫游时执行单次认证和授权(AA)操作。收集到的材料可用于更高网络层处的一个AA询问，或在用户在网络间转换时用于其他网络处的AA询问。

Description

用于独立网络间的 公共认证和授权的方法
技术领域
本发明涉及用于在具有不同访问技术的独立网络间进行公共认证和授权的方法。
背景技术
高速分组数据服务的用户可能包括虽然在连接时是静止时，但是却是便携的(即，可从不同位置连接)用户，以及在连接时是移动的用户。某些访问技术(例如，IEEE 802.11b)致力于在相对小的(城市内)覆盖区域内相对静止但是便携的无线用户。基于这些访问技术的网络或通信系统可被称为无线局域网(WLAN)。其他无线技术，例如那些使用码分多址(CDMA)技术的，通常是用于广域覆盖以及适用于高速(例如，在车辆或火车中)远距离(城市间、跨国、跨海洋)移动的数据用户的。
使用广域覆盖技术的系统，例如通用分组无线业务(GPRS)，cdma2000，或通用移动电信系统(UMTS)，一般可被称为2.5G或3G系统。无线2.5G和第三代(3G)通信系统当前正在引进技术，以便在频谱上实现高效率的同时增加容量以及支持数据服务。这些努力已引起了例如3G-1x、1xEV-DO和1xEV-DV标准的发展。同样地，UMTS标准已引进几种高级技术或改进，作为高速下行分组接入(HSDPA)规范的一部分，以便适用于以高速通过远距离的数据用户。但是，2.5G/3G广域无线网络供应商当前实现的数据速率通常不如WLAN中实现的速率那么高。
因此，由于2.5G/3G系统(例如，GPRS、CDMA、UMTS)和WLAN(例如，实现IEEE 802.11b的系统)具有互补的长处，用户可能希望使用两者。被使用两个系统的要求影响的一个方面是认证和授权(AA)，以便获得对任一网络的访问权限。认证是网络或系统验证访问的用户或订户符合其声称的身份的过程。授权是是验证一个特定订户具有有效帐户，可为服务付费，和/或被允许使用一个特定服务的过程。但是，目前用户对于每个被访问的系统要求单独的帐户和授权证书。从而，网络间的完全连续的用户转换是不可能的，因为用户(或用户的客户端软件)必须重复认证和获取授权，以便获得多个不同的网络间的访问权限。
发明内容
提供具有不同访问技术的独立网络之间的公共认证和授权(AA)的方法使得能够实现网络间的完全连续的用户转换。可接收来自一个尝试访问网络之一的用户的一个AA证书集合，且另一个网络的订户数据库可被用于验证这个AA证书集合。可使用对于各网络公共的通信协议。另外，用户可采用可在多个通信协议层上使用的单个认证和授权(AA)证书集合。此外，通过在一个AA询问和答复会话期间在一个数据链路层收集用户的关键材料，一个用户在两个或多个网络之间漫游时，可执行一个单个认证和授权(AA)操作。当用户在网络间转换时，收集到的材料可用于一个更高的网络层处的一个AA询问或用于另一网络的一个AA询问。
在另一个示例性实施方式中，用户的AA证书集合可作为一个认证请求的一部分从一个被访网络转发到一个独立的代理AAA服务器，并且来自代理AAA服务器的认证请求可被传递到用户的蜂窝服务提供商。用户的蜂窝服务提供商可将用户的AA证书集合作为一个认证请求的一部分直接转发到用户的私有本地网络，或者可将所述请求代理到另一个代理AAA服务器，该代理AAA服务器接下来则将包含用户的AA证书集合的请求传递到用户的私有本地网络。
附图说明
从此处以下给出的详细说明和附图中将更充分地理解本发明的示例性实施方式，在附图中相同的元素由相同的参考数字代表，这些附图只是以说明方式给出的，因此不限于本发明的示例性实施方式，
附图中：
图1说明了根据本发明的一个示例性实施方式的一个用户和用户的本地网络之间的一个网络配置；
图2是说明根据本发明的一个示例性实施方式的一个方法的一个流程图；
图3是说明根据本发明的另一个示例性实施方式的一个方法的一个流程图；以及
图4是说明了根据本发明的另一个示例性实施方式的一个用户和用户的本地网络之间的一个网络配置。
具体实施方式
虽然本发明的原理是结合广域蜂窝无线通信系统(例如2.5G/3G系统和无线局域网(WLAN)的公共认证和授权(AA))来说明的，并且将在此处示例性上下文中说明，但是应该注意此处显示和说明的示例性实施方式只是为了说明，而绝不是为了限制。因此，对于那些本领域技术熟练者，在应用到其他传输系统时进行不同的修改将是显而易见的，并且是被此处的讲解所预期的。例如，示例性的实施方式可被配置为集成用于公共AA的任何两个系统，其中系统1和系统2具有不同的访问网络技术，即，系统1可为一个有线xDSL系统而系统2可为一个3G cdma2000系统。
如果用在此处，则基站、接入网络、无线接入网络(RAN)或无线网络(RN)、系统设备或节点B等词语都可以是同义的。每个词语都可描述提供一个分组数据网络(PDN)，例如Internet，以及一个或多个移动台之间的数据连接的设备。另外，移动台、移动用户、用户、用户设备(UE)、移动、远程台、移动订户和订户等词，如果用在此处，均可被视为同义的，并且可描述一个无线通信网络中的无线资源的一个远程用户或一个向用户提供数据连接的设备。
本发明的示例性实施方式是针对提供独立网络间的公共认证和授权(AA)的方法。在一个示例性实施方式中，接收来自一个尝试接入至少两个网络的用户的一个AA证书集合，并且访问由两个网络之一所拥有的一个订户数据库来验证AA证书集合。
另一个示例性实施方式使用两个网络公用的一个通信协议来认证和授权用户的AA证书。还有一个实施方式是针对一个用户访问两个或多个独立网络的方法，其中用户采用可在多个通信协议层上使用的一个单个认证和授权(AA)证书集合来访问任一网络。另一个示例性实施方式是针对当一个用户在至少两个独立和不同的访问网络之间漫游时用于执行单个认证和授权(AA)操作的方法，其中在一个AA询问期间在一个数据链路层收集用户认证和关键材料，并且当用户从一个接入网络转换到另一接入网络时，收集到的关键材料被传输以用于一个更高网络层处的一个AA询问。
图1说明了根据本发明的一个示例性实施方式的一个用户和用户本地网络之间的一个网络配置。参见图1，一个用户110通过一个链接115与一个无线网络120通信，该无线网络120为用户110所处的一个特定地区提供服务。用户110可发送一个认证请求消息以访问用户110的本地网络。在图1中，RN 120恰好是一个被访问的接入提供商网络130的一部分。
一个被访问的认证、授权和帐户服务器132(V-AAA服务器)是位于被访问的接入提供商网络130中的AAA服务器。被访问的服务提供商通过与一个本地服务提供商建立一个服务协议来向一个用户提供访问服务。在图1中，被访问的访问提供商网络130可实现为一个被访问的WLAN系统网络。
V-AAA服务器132可实现为一个远程认证拨号用户服务(RADIUS)服务器，它根据RADIUS协议操作；但是，示例性实施方式不限于此，因为V-AAA服务器132可配置为根据其他协议操作，例如直径协议(Diameter protocol)。这些协议旨在为诸如网络访问、IP移动等应用程序提供一个AAA框架。V-AAA 132可与一个诸如分组数据服务节点(PDSN)或网关GPRS支持节点(GGSN)的路由器135通信。
在移动互联网协议中(移动IP或MIP)，被访问网络中的一个路由器作为移动节点的一个外来移动代理。正如互联网工程任务组(IETF)RFC 3344中指定的，一个外来代理(FA)可与另一类型的称为本地代理(HA)的移动代理连接以支持一个连接到互联网中不同于本地网络的的位置的设备的互联网业务转发。HA将用于移动节点的数据包(分组)引到一个转交地址，该地址或者是FA的IP地址，或者是通过诸如动态主机配置协议(DHCP)等某种外部方法获取的IP地址。FA接收分组并将它们发送到移动节点。
PDSN存在于每个cdma2000数据网络中。对于移动订户，一个PDSN是进入无线分组数据网络的点。PDSN执行两个基本功能：(1)在无线网络上与移动台交换分组；以及(2)与其他IP网络交换分组。为执行这些功能，PDSN可与一个无线网络节点(通常称为一个分组控制功能或PCF)、一个RADIUS AAA服务器(用于用户认证、授权和会话帐户)以及与用于移动IP应用程序的HA接口。GGSN是一个UMTS网络中的一个网关，它允许移动用户访问一个公共数据网络(PDN)或指定的私有IP网络。GGSN执行的功能与PDSN执行的功能相仿。但PDSN包含FA功能，GGSN可能包括也可能不包括。
在移动IP情况下，包含一个FA的路由器135和HA155可通过互联140通信，而V-AAA服务器132和一个本地认证、授权和帐户服务器152(H-AAA服务器152)可通过一个代理AAA服务器145通信。代理AAA服务器145的一个功能是查找用户110的H-AAA服务器152。正如下文将要进一步详细说明的，H-AAA服务器152可拥有一个称为低权目录访问协议(LDAP)数据库156的订户数据库。LDAP数据库156可被本地网络150和被访网络130用于认证和授权(AA)。
由于被访网络130可能不能识别用户的本地域，因此代理AAA服务器145可能是有用的。例如，一个澳大利亚的ISP(被访网络130)可能不能识别由用户域“user@verizon.com”所指示的一个Verizon网络，因此它将域信息转发到一个代理AAA服务器，以便代理AAA服务器145能够将请求传递到用户110的正确的本地网络，其中存储了用户的AA证书。
H-AAA服务器152位于本地IP网络150中。本地IP网络150是向用户110提供基于IP的数据服务的本地网络。网络150可根据用户110的网络访问标识符(NAI)访问。NAI具有user@domain的结构，它标识了用户及其本地IP网络。本地IP网络150可为一个私有网络、企业网络、公共可访ISP网络、cdma 2000无线网络等。在图1中，本地IP网络150可实现为一个蜂窝无线2.5G/3G系统的本地网络。
H-AAA 152可实现为一个远程认证拨号用户服务(RADIUS)服务器。但是，示例性实施方式不限于此，因为H-AAA服务器可被配置为根据直径协议理解和操作。H-AAA服务器152与一个本地代理(HA)155通信。在移动互联网协议(移动IP)中，HA是一个移动节点的本地网络中的一个路由器，它保存了关于设备的当前位置的信息，正如其转交地址中所标识的那样。与FA一样，HA 155是一种例如IETFRFC 3344规范中定义的移动代理。
为了使蜂窝无线提供商能够在用户在接入技术间完全无缝地漫游时承认用户110并对其进行计费，应该使每个被访网络中的授权和认证代理(H-AAA 152/V-AAA 132)使用单个的认证证书集合。换句话说，WLAN(被访网络130)的认证实体可能需要与由蜂窝无线服务提供商(例如，在此示例性实施方式中，这可为本地IP网络150，它可能实现为一个2.5G/3G CDMA或UMTS网络)所拥有的一个预定认证数据库连接。WLAN和3G基础设备之间能够进行认证和授权的通信使得用户的本地ISP 150在WLAN系统130和2.5G/3G系统150均能够认证用户110。
例如，广域蜂窝无线服务提供商的现有后台基础设备可被再次使用，以为一个独立被访网络130提供认证和授权。在所述AA的上下文中，广域蜂窝无线服务提供商(WSP)的现有后台基础设备是指用于为无线用户执行分组数据服务的授权和认证的设备。具体细节可能根据服务提供商而不同，但可以由某种用于供应所有订户的数据库组成，例如低权目录访问协议(LDAP)数据库。LDAP是由互联网工程任务组(IETF)定义的在线目录服务协议，它是目录访问协议(DAP)的简化。一个LDAP目录条目是属性的集合，其具有一个被称为辨别名称(DN)的唯一的标识符。目录系统可以处于一个分层结构中。在此示例性实施方式中，本地IP网络150可以说拥有LDAP 156。
H-AAA服务器152和LDAP 156可为后台基础设备151的一个例子，如图1的虚线内部所示，虽然本发明不限于此。任何具有一个为分组数据服务授权和认证用户的AAA服务器的cdma2000分组数据网络可代表现有后台基础设备。另外，诸如VERIZON WIRELESS和SPRINT PCS的服务提供商提供3G分组数据服务；从而这样的后台基础设备已经存在。在一个示例性实施方式中，网络130和150可由不同的服务提供商所拥有，而在另一个示例性实施方式中，它们可能均由同一服务提供商所拥有。
图2是说明根据本发明的一个示例性实施方式的一个方法的流程图。现参见图2，H-AAA服务器152可从用户110接收(步骤S10)单个用户标识符和认证关键字(例如密码)。此AA证书集合已被分配经用户110，可被用于网络130或150中任何一个上的认证和或加密。单个用户标识符和密码可被发送(步骤S20)到用户110的本地网络的现有后台基础设备151。在此示例性实施方式中，本地IP网络150(3G系统)现有后台基础设备151被使用或访问(步骤S30)，以相对一个存储的AA证书集合来验证用户110的AA证书集合。从而，LDAP数据库156和H-AAA服务器152可提供一个配置，该配置向与本地网络签有服务级协议的独立被访网络提供认证和从一个特定服务提供商的现有后台基础设备获取授权的能力。
依靠AAA基础设备使得广域蜂窝无线提供商能够在网络130和150中使用相同的认证证书认证订户110。WLAN和2.5G/3G系统可均使用一个公共的AAA协议，例如RADIUS或直径，以便在一个AAA服务器(也许通过一个代理AAA服务器145)处认证用户。认证服务器(H-AAA服务器152/252和V-AAA服务器132)可能是同一个，也可能是不同的，只要每个AAA服务器可访问LDAP数据库156以取得用户110的公共认证关键字和/或密码。
但是，可能出现这样的情况，即一个网络可能需要将用户的AA证书集合传递到另一个不具有证书但为了AA却需要证书的网络。因此，一个基于AAA代理的方法对于此应用可能更适当。当一个AAA代理服务器145接收到一条认证请求消息时，它使用用户110的NAI以解析认证AAA服务器(例如，H-AAA服务器152)，并将认证请求消息转发到适当的H-AAA服务器。不同服务提供商的AAA基础设备之间的连接可直接或通过AAA代理服务器145完成。
例如，一个用户110可访问一个被访网络130，该网络130可在公共通信协议中使用不同属性(例如RADIUS中的特定制造商属性)来将用户的AA证书集合和被访网络130的标识信息(例如，网络类型、标识等)转发给代理AAA服务器145。AAA代理操作一般需要属性翻译，以便将RADIUS消息中使用的不同私有特定制造商属性映射到用户的本地IP网络150所使用的属性。当这些属性在不同服务提供商之间发送时，有多种标准化这些属性的行动，例如Wi-Fi联盟内的无线互联网服务提供商漫游(WISPr)委员会，以及第三代合作项目2(3GPP2)。
在另一个示例性实施方式中，即使在多个网络之间漫游时，用户110也只需要认证一次。当前的WLAN认证方案可要求两个单独的认证：第一个在数据层(层2)认证设备(例如，PDA、PC、移动电话等)，第二个在网络层(层3)认证用户(用户标识符和密码)。多个通信层之间或不同技术的多个网络(例如，广域移动网络和WLAN)之间的一次认证当前是无法实现的，因为层1和层2处的设备认证及其后的层3用户认证中涉及多个数据库。如果用户还运行IP安全(IPSec)或会话启动协议，还需要另一个认证层(应用层)。当终端在最初连接上和技术间的切换时忙于认证请求时，这些多层认证可能引起一个数据会话暂停。这为用户和/或客户端软件添加了负担，并且增加了延时和供应复杂度。
对于cdma2000中的移动IP(MIP)协议，认证程序已经可以视为一次认证过程。在cdma2000中，当一个用户要求一个MIP注册时，层2与认证代理(H-AAA、V-AAA或代理服务器)协商以指示用户是一个移动IP用户。在这些条件下，层2认证被绕过，并且可在没有AA的情况下建立一个链路层连接。因此，在cdma2000的MIP中，是由层3来完成AA协商的。这种类型的层2建立除向用户提供协商层3 AA的选择外不提供其他任何服务。目前WLAN和UMTS网络没有与此相同的技术。
本发明的示例性实施方式用一个一次认证方案取代了两次认证，其中同一证书集合可用于多层，并且从而避免了对AAA基础设备的多次访问，减少了延时和等待时间。在本发明的示例性实施方式中，可采用几种方法来提供诸如被访网络130的WLAN系统中的一次认证。一种方法可为在层2和3采用相同的证书和关键字材料来认证。另一种方法可为直接进行到层3，完全忽略层2认证。这与上文说明的cdma2000网络的MIP的程序相似。
图3是说明根据本发明的另一个示例性实施方式的一种方法的流程图。参见图3，可能需要对AAA基础设备(AAA服务器)的多次访问，但是可只进行一次穿过网络获取关键字材料。在协商询问结束时(步骤S300)在层2AA成功回复过程中收集的关键字材料，可被位于用户110终端处的一个客户端软件使用，以对有效载荷加密或响应由AAA实体(即V-AAA、H-AAA等)向用户110提出的未来的AA询问。
在层3处的询问阶段期间，网络向用户110提供一个种子(步骤S310)。用户110或用户的客户端软件用预定的关键字(步骤S300a的虚线内)或先前从步骤S300获取的关键字材料处理种子，生成对于该关键字材料唯一的签名(步骤S320)。可被使用或实施以生成唯一签名的算法例子包括消息摘要版本5(MD 5)，安全哈西算法(SHA)等。AAA实体相似地计算一个唯一签名(步骤S330)，其中加载相同的用户关键字，并且结果与用户客户端计算的唯一签名相比较。在验证签名后，AAA实体授权用户110(步骤S340)，并且可发送一个加密关键字，以及一个用于将来的认证过程中的新的关键字材料(步骤S350)。
相同的一次认证方案可用于WLAN和3G系统；从而在用户110任何时候在空气接口技术之间移动(例如，从WLAN到3G或反之)时，用户110处的客户端软件可自动提供用户110的认证证书。用户110的客户端软件可提供认证证书以获取对域的访问权限，并且，如果用户110在一个被访域中，客户端软件可建立与用户110的本地网络150的安全关联。
用户NAI中的领域可向被访AAA服务器(例如，V-AAA服务器132)提供域信息，该域信息用于确定用于认证用户110的本地域。从而客户端软件可向层3传输在先前的层2处的AA认证期间收集的关键字材料。从而，用户110在初始AA阶段期间可能被要求输入一个唯一的密码或关键字材料，但在移动到一个新的域时不需要再次输入，并且可与底层的认证活动屏蔽开来，促进无间断的透明数据会话移动。因此，一次认证可减少AAA通信量，可能减少延时、等待时间以及在各层输入密码和/或唯一的关键字信息所需的用户间断量。
图4说明了根据本发明的另一个示例性实施方式的一个用户和用户的本地网络之间的一个网络配置。正如前文参考图1所说明的那样，WLAN的认证实体可能需要与一个由蜂窝无线服务提供商所拥有的预定认证数据库相连接。在WLAN和3G基础设备之间启动用于认证和授权的通信使得用户的本地ISP 150在WLAN系统130和2.5G/3G系统150处均能认证用户110。图4说明了一个示例性实施方式，其中用户的蜂窝服务提供商(有时也称为“用户的公共本地网络”)出现在用户的本地ISP外部，但是用户的“私有本地IP网络”是用户的企业，而不是WLAN或用户的蜂窝服务提供商。
图4与图1相似，因此为清楚起见只讨论不同之处。参见图4，用户的公共本地网络480可实现为一个蜂窝网络，而用户的私有本地IP网络可实现为企业网络460。在此示例性实施方式中，WLAN(被访网络430)的认证实体可能需要与由企业网络460所拥有的一个预定认证数据库(LDAP数据库456)相连接。V-AAA服务器432，或一个代理AAA服务器445可使用用户410的NAI的一部分来解析蜂窝服务提供商(公共本地网络480)的AAA服务器482，并将认证请求转发到用户的公共本地网络480。蜂窝服务提供商的AAA服务器482可能需要进一步通过一个代理AAA服务器475代理AAA请求。它可通过使用用户410的NAI的另一部分解析位于企业网络460中的H-AAA服务器452。
如图4中所示，企业网络460的后台基础设备451可包括H-AAA服务器452和LDAP数据库456。因此，如图4的示例性实施方式所示，用户410的NAI可为user@lucent.verizon.com，其中Verizon(Verizon是用户的移动服务提供商)的AAA服务器482是从WLAN430访问的(可能通过代理服务器445)。Verizon的AAA服务器482接下来可通过代理AAA服务器475将请求代理到用户的企业网络460(即，Lucent)中的H-AAA服务器452。
通过这样说明本发明的示例性实施方式，很明显相同的方法可以以许多方式变化。这些变化不会被视为背离本发明的示例性实施方式的精神和范围，并且所有这些对于本领域技术熟练者显而易见的修改将被包括在以下的权利要求书的范围内。

Claims (10)

1.一种向至少两个独立网络提供公共的认证和授权(AA)的方法，包括：
接收来自一个尝试访问所述至少两个网络中任何一个的用户的一个AA证书集合；以及
使用两个独立访问网络之一的一个订户数据库验证所述AA证书集合以访问所述至少两个网络的另一个。
2.权利要求1的方法，其中通过所述AA证书集合可访问所述至少两个独立网络中的任何一个，该方法进一步包括：
分配对所述至少两个网络是公共的一个单个用户标识和密码，其中所述至少两个网络中的至少一个是用户的本地网络。
3.一种向至少两个独立网络提供公共认证和授权(AA)的方法，包括：
接收来自一个尝试访问所述至少两个网络中任何一个的用户的一个AA证书集合；以及
使用对所述至少两个网络是公共的一个通信协议认证和授权用户的AA证书。
4.权利要求3的方法，其中所述使用步骤包括使用所述公共通信协议来访问由所述至少两个网络共享的一个订户数据库，以相对一个存储的AA证书集合来验证所述用户的AA证书集合，该方法进一步包括：
向所述至少两个网络之一分配一个单个用户标识和密码；
将所述AA证书集合分配给用户，其中所述两个网络的至少一个是用户的本地网络，并且所述至少两个网络的一个是接收所述用户AA证书的被访网络；
将所述用户的AA证书集合作为一个认证请求的一部分从被访网络转发到一个独立代理AAA服务器，被访网络使用公共协议内的不同属性将所述用户AA证书集合以及被访网络的标识信息传送到代理AAA服务器；以及
通过所述代理AAA服务器将所述AA证书集合从接收到的属性映射到用户的本地网络使用的属性，将来自代理AAA服务器的认证请求传递到用户的本地网络。
5.一种由一个用户用于访问两个或多个独立网络的方法，包括：
采用可在多个通信协议层上使用的一个单个认证和授权(AA)证书集合来访问所述至少两个网络中的任何一个。
6.权利要求5的方法，其中
所述采用步骤进一步包括对于一个数据链路层处的认证和一个网络层处的认证使用相同的AA证书，以及
所述AA证书包括可用于访问所述至少两个网络的用户标识信息和认证关键字信息或关键字材料。
7.一种由一个用户在至少两个独立网络间漫游时执行一个单个认证和授权(AA)操作的方法，包括：
在一个数据链路层在一个AA询问和回复会话期间收集用户认证和关键字材料；以及
在用户从一个网络转换到另一网络时，对于一个随后的AA询问使用该关键字材料。
8.权利要求7的方法，其中
所述随后的询问位于同一层和一个更高层之一中，并且不需要用户参与，
所述使用步骤包括将关键字材料用于数据加密，或者在另一个网络询问期间使用收集的用户的关键字材料，以及
所述至少两个网络包括一个被访网络和用户的本地网络，并使用一个公共协议的不同属性。
9.一种向至少两个独立网络提供公共认证和授权(AA)的方法，包括：
接收来自一个尝试访问一个被访网络的用户的一个AA证书集合；
将所述用户AA证书集合作为一个认证请求的一部分从被访网络转发到一个独立的代理AAA服务器；
将认证请求从所述代理AAA服务器传递到用户的公共本地网络；以及
将所述用户AA证书集合作为一个认证请求的一部分从用户的公共本地网络转发到用户的一个私有本地网络。
10.权利要求1、3、5、7和9中任何一个的方法，其中所述至少两个网络包括一个无线局域网(WLAN)和一个广域蜂窝通信系统，所述广域蜂窝通信系统是GPRS、cdma2000系统和UMTS中的一个。
CN2004100318025A 2003-03-31 2004-03-30 用于独立网络间的公共认证和授权的方法 Expired - Fee Related CN1534921B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US10/401595 2003-03-31
US10/401,595 2003-03-31
US10/401,595 US7774828B2 (en) 2003-03-31 2003-03-31 Methods for common authentication and authorization across independent networks

Publications (2)

Publication Number Publication Date
CN1534921A true CN1534921A (zh) 2004-10-06
CN1534921B CN1534921B (zh) 2010-07-07

Family

ID=32850549

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2004100318025A Expired - Fee Related CN1534921B (zh) 2003-03-31 2004-03-30 用于独立网络间的公共认证和授权的方法

Country Status (7)

Country Link
US (1) US7774828B2 (zh)
EP (1) EP1465385B1 (zh)
JP (1) JP4615239B2 (zh)
KR (1) KR101268892B1 (zh)
CN (1) CN1534921B (zh)
AT (1) ATE368347T1 (zh)
DE (1) DE602004007708T2 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103875207A (zh) * 2011-09-22 2014-06-18 罗素·斯图尔特·古德温 网络使用者的识别与验证
CN107690770A (zh) * 2015-04-29 2018-02-13 思杰系统有限公司 自主私钥恢复

Families Citing this family (68)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100523403B1 (ko) * 2003-07-02 2005-10-25 주식회사 케이티프리텔 무선 모뎀과 무선 랜 장치간의 심리스 수직 로밍 제어방법 및 프로그램을 기록한 기록매체
US8571222B1 (en) * 2003-08-13 2013-10-29 Verizon Corporate Services Group Inc. System and method for wide area wireless connectivity to the internet
US7536464B1 (en) * 2003-09-25 2009-05-19 Cisco Technology, Inc. Methods and apparatus for performing layer 2 authentication and service selection in SSG based networks
US20050132075A1 (en) * 2003-12-15 2005-06-16 International Business Machines Corporation Authentication of mobile communication devices using mobile networks, SIP and Parlay
US20050135622A1 (en) * 2003-12-18 2005-06-23 Fors Chad M. Upper layer security based on lower layer keying
JP2007520171A (ja) * 2004-01-29 2007-07-19 ヒルデブランド，ジョン，ジー． 信号提供方法及びシステム
US20060002329A1 (en) * 2004-07-01 2006-01-05 Lila Madour Method and system for providing backward compatibility between protocol for carrying authentication for network access (PANA) and point-to-point protocol (PPP) in a packet data network
US20060174127A1 (en) * 2004-11-05 2006-08-03 Asawaree Kalavade Network access server (NAS) discovery and associated automated authentication in heterogenous public hotspot networks
KR20070118222A (ko) * 2004-11-18 2007-12-14 아자이르 네트웍스, 인코포레이티드 3지/지에스엠 네트워크와 상호작용하는 위-피 네트워크에서서비스 권한부여
KR100762644B1 (ko) * 2004-12-14 2007-10-01 삼성전자주식회사 Ｗｌａｎ-ｕｍｔｓ 연동망 시스템과 이를 위한 인증 방법
KR100703149B1 (ko) * 2005-03-23 2007-04-05 에스케이 텔레콤주식회사 이종 무선랜 사업자 서비스 영역에서의 무선랜 서비스 제공방법 및 시스템
EP1864544A1 (en) * 2005-03-31 2007-12-12 Nokia Corporation Authentication mechanism for unlicensed mobile access
US20060225128A1 (en) * 2005-04-04 2006-10-05 Nokia Corporation Measures for enhancing security in communication systems
JP4984020B2 (ja) * 2005-08-19 2012-07-25 日本電気株式会社 通信システム、ノード、認証サーバ、通信方法及びそのプログラム
US20070047477A1 (en) * 2005-08-23 2007-03-01 Meshnetworks, Inc. Extensible authentication protocol over local area network (EAPOL) proxy in a wireless network for node to node authentication
US8924459B2 (en) * 2005-10-21 2014-12-30 Cisco Technology, Inc. Support for WISPr attributes in a TAL/CAR PWLAN environment
DE102006008745A1 (de) * 2005-11-04 2007-05-10 Siemens Ag Verfahren und Server zum Bereitstellen eines Mobilitätsschlüssels
DE102005055147A1 (de) * 2005-11-18 2007-05-24 Siemens Ag Verfahren zum Aufbau zumindest einer geschützten Datenverbindung nach einem Wechsel des Zugangsnetzes in einem mobilen Kommunikationssystem
US7917142B2 (en) * 2006-03-03 2011-03-29 Samsung Electronics Co., Ltd. Comprehensive registration method for wireless communication system
US9386327B2 (en) 2006-05-24 2016-07-05 Time Warner Cable Enterprises Llc Secondary content insertion apparatus and methods
US8280982B2 (en) 2006-05-24 2012-10-02 Time Warner Cable Inc. Personal content server apparatus and methods
US9265022B2 (en) * 2006-06-02 2016-02-16 Qualcomm Incorporated Multiple registrations with different access networks
US8024762B2 (en) 2006-06-13 2011-09-20 Time Warner Cable Inc. Methods and apparatus for providing virtual content over a network
US8094817B2 (en) * 2006-10-18 2012-01-10 Telefonaktiebolaget Lm Ericsson (Publ) Cryptographic key management in communication networks
JP5007564B2 (ja) * 2006-12-28 2012-08-22 株式会社ニコン 画像転送システム
WO2008080637A1 (en) * 2007-01-04 2008-07-10 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for determining an authentication procedure
KR101405743B1 (ko) * 2007-01-05 2014-06-12 삼성전자주식회사 이종 망 간의 핸드오프 방법 및 그 시스템
US8181206B2 (en) 2007-02-28 2012-05-15 Time Warner Cable Inc. Personal content server apparatus and methods
US9455969B1 (en) 2007-06-18 2016-09-27 Amazon Technologies, Inc. Providing enhanced access to remote services
US8312154B1 (en) * 2007-06-18 2012-11-13 Amazon Technologies, Inc. Providing enhanced access to remote services
US8265281B2 (en) * 2007-07-09 2012-09-11 Qualcomm Incorporated IP service authorization in wireless communications networks
US8130722B1 (en) * 2007-08-08 2012-03-06 Sprint Communications Company L.P. Access technology agnostic foreign agent
KR100936530B1 (ko) * 2007-11-13 2010-01-13 주식회사 케이티 네트워크 장치 및 네트워크 장치의 인증 정보 공유 방법
US20100318806A1 (en) * 2008-02-08 2010-12-16 Dick Hardt Multi-factor authentication with recovery mechanisms
KR101427447B1 (ko) * 2008-02-21 2014-08-08 알까뗄 루슨트 원 패스 인증 메커니즘 및 시스템
US8023484B1 (en) 2008-04-25 2011-09-20 Clear Wireless Llc Method for obtaining a mobile internet protocol address
US8036222B1 (en) 2008-04-25 2011-10-11 Clear Wireless Llc Method for obtaining a mobile internet protocol address
US8279872B1 (en) 2008-04-25 2012-10-02 Clearwire Ip Holdings Llc Method for obtaining a mobile internet protocol address
ES2332492B1 (es) * 2008-05-29 2011-02-10 Let's Gowex S.A. Plataforma de itinerancia de servicios wireless en redes que utilizanla tecnologia wi-fi (ieee 802.11x) y wimax (ieee 802.16x).
US8880067B2 (en) * 2008-08-08 2014-11-04 Qualcomm Incorporated Correlating registrations originating from a device
US20110002298A1 (en) * 2009-07-06 2011-01-06 Muthaiah Venkatachalam Reducing Overhead in Wireless Communications
US20110030039A1 (en) * 2009-07-31 2011-02-03 Eric Bilange Device, method and apparatus for authentication on untrusted networks via trusted networks
EP3264686B1 (en) 2009-10-16 2018-12-12 Tekelec, Inc. Methods, systems, and computer readable media for providing diameter signaling router with integrated monitoring and/or firewall functionality
US8750126B2 (en) 2009-10-16 2014-06-10 Tekelec, Inc. Methods, systems, and computer readable media for multi-interface monitoring and correlation of diameter signaling information
WO2011100603A2 (en) 2010-02-12 2011-08-18 Tekelec Methods, systems, and computer readable media for providing peer routing at a diameter node
WO2011100626A2 (en) 2010-02-12 2011-08-18 Tekelec Methods, systems, and computer readable media for diameter protocol harmonization
US8601569B2 (en) * 2010-04-09 2013-12-03 International Business Machines Corporation Secure access to a private network through a public wireless network
US20110264530A1 (en) 2010-04-23 2011-10-27 Bryan Santangelo Apparatus and methods for dynamic secondary content and data insertion and delivery
CN102244857B (zh) * 2010-05-14 2015-05-27 中国移动通信集团公司 无线局域网漫游用户的控制方法及其装置和网络系统
US8973125B2 (en) * 2010-05-28 2015-03-03 Alcatel Lucent Application layer authentication in packet networks
US9009801B2 (en) 2010-12-30 2015-04-14 Interdigital Patent Holdings, Inc. Authentication and secure channel setup for communication handoff scenarios
CN102547702B (zh) * 2010-12-31 2015-04-22 中国移动通信集团安徽有限公司 用户认证方法、系统及密码处理装置
WO2012119147A1 (en) 2011-03-03 2012-09-07 Tekelec, Inc. Methods, systems, and computer readable media for enriching a diameter signaling message
KR101459255B1 (ko) * 2011-03-14 2014-11-07 퀄컴 인코포레이티드 하이브리드 네트워킹 마스터 패스프레이즈
CA2850347C (en) * 2011-09-28 2016-12-06 Smith Micro Software, Inc. Self-adjusting mobile platform policy enforcement agent for controlling network access, mobility and efficient use of local and network resources
KR101957462B1 (ko) * 2011-12-28 2019-03-13 삼성전자주식회사 무선 이동 통신 시스템에서 제3자 사이트 인증 및 결제 대행 서비스 제공 방법 및 장치
US9143498B2 (en) 2012-08-30 2015-09-22 Aerohive Networks, Inc. Internetwork authentication
US20140282786A1 (en) 2013-03-12 2014-09-18 Time Warner Cable Enterprises Llc Methods and apparatus for providing and uploading content to personalized network storage
US9762679B2 (en) * 2013-03-15 2017-09-12 Aerohive Networks, Inc. Providing stateless network services
US9769056B2 (en) 2013-03-15 2017-09-19 Aerohive Networks, Inc. Gateway using multicast to unicast conversion
US9537775B2 (en) 2013-09-23 2017-01-03 Oracle International Corporation Methods, systems, and computer readable media for diameter load and overload information and virtualization
US9888001B2 (en) 2014-01-28 2018-02-06 Oracle International Corporation Methods, systems, and computer readable media for negotiating diameter capabilities
US9992619B2 (en) 2014-08-12 2018-06-05 Aerohive Networks, Inc. Network device based proximity beacon locating
US9667437B2 (en) * 2014-10-23 2017-05-30 Verizon Patent And Licensing Inc. Billing multiple packet flows associated with a client router
US10009329B2 (en) 2015-06-23 2018-06-26 Microsoft Technology Licensing, Llc Learned roving authentication profiles
WO2020143965A1 (en) * 2019-01-11 2020-07-16 Telefonaktiebolaget Lm Ericsson (Publ) 5g-4g authentication data coexistence
US11403849B2 (en) 2019-09-25 2022-08-02 Charter Communications Operating, Llc Methods and apparatus for characterization of digital content
US11438824B2 (en) 2020-02-27 2022-09-06 Cisco Technology, Inc. Wireless authorization and access network-neutral advice of charge techniques

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10173665A (ja) * 1996-12-06 1998-06-26 Nippon Telegr & Teleph Corp <Ntt> 仮想無線ｌａｎシステム
JP2000010045A (ja) 1998-06-19 2000-01-14 Matsushita Electric Ind Co Ltd プリズム装置及び投写型表示装置
US7028186B1 (en) * 2000-02-11 2006-04-11 Nokia, Inc. Key management methods for wireless LANs
FI20000760A0 (fi) * 2000-03-31 2000-03-31 Nokia Corp Autentikointi pakettidataverkossa
JP4567173B2 (ja) 2000-11-07 2010-10-20 エヌ・ティ・ティ・コミュニケーションズ株式会社 集線・接続システム、集線・接続方法及び集線・接続装置
US6879690B2 (en) * 2001-02-21 2005-04-12 Nokia Corporation Method and system for delegation of security procedures to a visited domain
JP3930258B2 (ja) * 2001-02-27 2007-06-13 株式会社日立製作所 インターネットローミング方法
US20020147820A1 (en) * 2001-04-06 2002-10-10 Docomo Communications Laboratories Usa, Inc. Method for implementing IP security in mobile IP networks
CN1241366C (zh) * 2001-06-19 2006-02-08 中兴通讯股份有限公司 一种宽带接入用户配置方法
US7231521B2 (en) * 2001-07-05 2007-06-12 Lucent Technologies Inc. Scheme for authentication and dynamic key exchange
US20030031151A1 (en) * 2001-08-10 2003-02-13 Mukesh Sharma System and method for secure roaming in wireless local area networks
US20030084287A1 (en) * 2001-10-25 2003-05-01 Wang Huayan A. System and method for upper layer roaming authentication
EP1330073B1 (en) * 2002-01-18 2006-03-15 Nokia Corporation Method and apparatus for access control of a wireless terminal device in a communications network
WO2003067439A1 (en) * 2002-02-04 2003-08-14 Flarion Technologies, Inc. A method for extending mobile ip and aaa to enable integrated support for local access and roaming access connectivity
US20030208602A1 (en) * 2002-04-08 2003-11-06 Cisco Technology, Inc. System and method for pushing data in an internet protocol network environment
US20040001468A1 (en) * 2002-06-28 2004-01-01 Guillaume Bichot Technique for interworking a wlan with a wireless telephony network
US7539309B2 (en) * 2002-08-16 2009-05-26 Togewa Holding Ag Method and system for GSM authentication during WLAN roaming
US20040203752A1 (en) * 2002-11-18 2004-10-14 Toshiba America Information Systems, Inc. Mobility communications system
US20040122959A1 (en) * 2002-12-19 2004-06-24 Lortz Victor B. Automatic wireless network login using embedded meta data

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103875207A (zh) * 2011-09-22 2014-06-18 罗素·斯图尔特·古德温 网络使用者的识别与验证
CN107690770A (zh) * 2015-04-29 2018-02-13 思杰系统有限公司 自主私钥恢复
CN107690770B (zh) * 2015-04-29 2019-04-16 思杰系统有限公司 自主私钥恢复

Also Published As

Publication number Publication date
EP1465385A1 (en) 2004-10-06
US20040193712A1 (en) 2004-09-30
ATE368347T1 (de) 2007-08-15
JP2004304804A (ja) 2004-10-28
US7774828B2 (en) 2010-08-10
JP4615239B2 (ja) 2011-01-19
DE602004007708T2 (de) 2008-04-30
CN1534921B (zh) 2010-07-07
DE602004007708D1 (de) 2007-09-06
KR101268892B1 (ko) 2013-05-30
KR20040086587A (ko) 2004-10-11
EP1465385B1 (en) 2007-07-25

Similar Documents

Publication Publication Date Title
CN1534921B (zh) 用于独立网络间的公共认证和授权的方法
EP1552646B1 (en) Method and apparatus enabling reauthentication in a cellular communication system
US6769000B1 (en) Unified directory services architecture for an IP mobility architecture framework
US7346684B2 (en) System and method for control of packet data serving node selection in a mobile internet protocol network
US7079499B1 (en) Internet protocol mobility architecture framework
CN102318381A (zh) 移动网络中基于安全网络的路由优化的方法
JP2000216827A (ja) 動的なｄｎｓ更新によって無線移動サ―バおよびピア・ツ―・ピア・サ―ビスを提供するための方法およびシステム
CN1795656B (zh) 一种安全初始化用户和保密数据的方法
JP4944120B2 (ja) 接続を確立するための基地局の方法及び装置
US20050088971A1 (en) Enhanced local aaa redirector
CN101031133B (zh) 一种确定移动节点归属的家乡代理的方法及装置
AU7812600A (en) Internet protocol mobility architecture framework
JP5180085B2 (ja) 接続を確立するための無線端末の方法および装置
EP1843541B1 (en) A method of securing communication between an access network and a core network
JP4467340B2 (ja) サーバ装置
EP1521429B1 (en) Delivering additional information needed in connection setup
WO2004004231A1 (en) Communications system and method
MX2008004841A (en) Wireless terminal methods and apparatus for establishing connections

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20100707