CN1714542A - 无线局域网互连中的识别信息保护方法 - Google Patents

无线局域网互连中的识别信息保护方法 Download PDF

Info

Publication number
CN1714542A
CN1714542A CNA2003801038383A CN200380103838A CN1714542A CN 1714542 A CN1714542 A CN 1714542A CN A2003801038383 A CNA2003801038383 A CN A2003801038383A CN 200380103838 A CN200380103838 A CN 200380103838A CN 1714542 A CN1714542 A CN 1714542A
Authority
CN
China
Prior art keywords
information
message
wlan
rule
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2003801038383A
Other languages
English (en)
Other versions
CN100499538C (zh
Inventor
谭佩尤
程宏
上丰树
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Apple Inc
Original Assignee
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co Ltd filed Critical Matsushita Electric Industrial Co Ltd
Publication of CN1714542A publication Critical patent/CN1714542A/zh
Application granted granted Critical
Publication of CN100499538C publication Critical patent/CN100499538C/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Abstract

引入了一种分级加密方法和不对称加密，以便向未经授权的实体隐藏通过消息转换而传送的重要信息。这使得有可能稳固地防护存在于互连中的中间攻击者。此外，引入了一种具有能够将一般规则映射为WLAN特有命令的规则解释器的网络结构，以执行接入控制。这消除了理解关于移动用户的家乡网络与其互连的全部WLAN的信息的需要。此外，该方法允许家乡网络对于所有WLAN而使用与WLAN技术无关的公共接口。上面描述的这种方法解决了WLAN互连中用户识别信息保护和接入控制的问题。

Description

无线局域网互连中的识别信息保护方法
技术领域
本发明属于无线数据通信领域，更具体地说，本发明涉及在无线LAN(无线局域网：WLAN)环境(context)中对来自其它网络的移动用户提供服务。本发明用于控制移动用户对WLAN资源的访问，具体地说是认证、授权和计费(accounting)问题。
背景技术
无线LAN是灵活的数据通信系统，其作为有线LAN的扩展或替换物而实施。无线LAN使用射频(RF)技术来通过无线电传送和接收数据，将对有线连接的需要减到最少。利用这种方法，无线LAN将数据连通性与用户移动性相结合。无线LAN已经在包括卫生保健、零售、制造、仓储和学术界的众多垂直市场中获得了很大的普及。这些行业得益于使用手持式终端和笔记本式计算机而将实时信息传送到集中式主机以供处理的生产率提高。如今，无线LAN正被更加广泛地认为是用于大范围商业客户的通用连接性替换物。
无线LAN提供比蜂窝移动网络高得多的接入(access)数据速率，但提供有限的覆盖范围——通常是距无线电发射机直到50米。而公共网络例如GSM/GPRS和WCDMA提供广泛分布的覆盖范围——通常是全国性的。为了给WLAN和公共网络的订户提供综合服务，WLAN必须与其它WLAN或蜂窝移动网络互通(inter-work)。
一些标准化小组已经开始研究WLAN和3G网络的互通问题。在3GPP[非专利文档1]中，已经发布了可行性研究报告。该文档定义了互通的范围以及使用场合。对互通场合进行了详细描述，并将其分为从最简单的“共同记帐(billing)和客户关怀”到最复杂的“接入3GPP CS业务”的6个阶段。给出了对互通场合的一些需求。此外，在功能和需求定义文档[非专利文档3]中，讨论了对功能例如认证、接入控制和收费的详细需求。研究了一些认证方法。它们主要基于UMTS AKA和GSM SIM解决方案。没有给出关于其它方面例如接入控制和收费的解决方案。这些文档尚未定稿，并且有工作组积极地致力于它们。
可以获得用于使用基于EAP方法的AKA方案的草案[非专利文档4]。它允许通过基于无线的EAP而在无线LAN和IEEE802.1x技术的环境中使用第三代移动网络认证基础结构。它的问题是：它需要UMTS订户身份模块或类似的软件模块。这可能并非对所有移动设备都是可用的。此外，EAP-AKA方案将需要在用户获得到EAP服务器的第一连接时将明文方式的用户的IMSI发送到EAP服务器。这可能将用户的识别信息泄露给正在窃听(ear-drop)移动终端的实体(来自其它网络的移动用户等)。该方案使用质询(challenge)消息-响应机制和对称密码术来进行认证。
IEEE也在致力于WLAN的认证问题。引入EAPOL的IEEE802.1x[非专利文档5]给出了用于在以太网环境之上使用EAP[非专利文档6]的解决方案。它的问题是：它只针对于以太网或FDDI/令牌环MAC而工作。为了使它基于其它技术而工作，必须进行一些修改。这仅仅提供了一种用于使用EAP方法来进行认证的基本方式，而实际的解决方案仍依赖于所采用的个别EAP方法。此外，此工作没有涉及互通中的任何其它方面，例如接入控制、QoS等。
IETF具有AAA工作组[非专利文档7]，其针对于开发对用于网络接入的认证、授权和计费的需求。他们将工作建立在直接提交(Diameter submission)的基础上。还有其它工作组也致力于与互通有关的问题，例如SEAMOBY组[非专利文档8]和SIPPING组[非专利文档9]。但是他们中的大多数都假定基于IP的环境，而不是针对WLAN问题，并且不存在对所有问题的具体解决方案。
为了使WLAN给移动终端提供服务，必须基于移动终端的订购(subscription)信息而作出一些决定。当请求服务的移动终端已在该WLAN的域以外的另一管理域内注册时，必须从移动终端的家乡域(home domain)获得此信息。但是，在大多数情况中，该信息是保密的，并且由于缺少信任关系而不允许向WLAN公开。因此，家乡域必须具有在不泄露机密的情况下向WLAN提供关键信息以进行操作的方式。除此之外，一些网络也需要提供对移动终端位置信息的保护。也就是说，应当在WLAN和移动终端之间的消息交换中隐藏该移动终端的识别信息。
WLAN中的服务提供需要某些底层技术特有的参数。对于移动终端的家乡网络来说，识别此信息是不可行、或有时候是不可能的。因此，WLAN中的实体必须能够将来自家乡网络的控制信息转换为本地控制消息。
由于移动终端的订购信息被存储在其家乡域中，并且WLAN不具有对它的直接访问权，因此必须不时地将报告发送到家乡域，以获得对提供给移动终端的服务的实时监测和控制。当存在大量移动终端时，这些报告将产生大通信量。这将降低实时控制的准确性。因此，希望使WLAN在本地进行一些处理。
注意，在本说明书中，分别地，[非专利文档1]是指3GPP(http://www.3gpp.org)，[非专利文档2]是指“Feasibility study on 3GPP system to WirelessLocal Area Network(WLAN)inter-working(Release 6)(对3GPP系统与无线局域网(WLAN)互通的可行性研究(版本6))”(3GPP TR 22.934 V1.1.0(2002-05)，http://www.3gpp.org/specs/specs.html)，[非专利文档3]是指“3GPP system toWireless Local Area Network(WLAN)inter-working；Functional and architecturaldefinition(Release 6)(3GPP系统与无线局域网(WLAN)互通：功能和架构定义(版本6))”(3GPP TR 23.934 V0.3.0(2002-06)，http://www.3gpp.org/specs/specs.html)，[非专利文档4]是指“EAP AKA Authentication(EAP AKA认证)”，(http://www.ietf.org/internet-drafts/draft-arkko-pppext-eap-aka-03.txt，[非专利文档5]是指“Standard for Local and metropolitan area networks：Port-Based NetworkAccess Control(局域网和城域网标准：基于端口的网络接入控制)”(IEEE Std802.1x-200l，http://www.ieee.org)，[非专利文档6]是指可扩展认证协议(http://www.ietf.org/html.charters/eap-charter.html)，[非专利文档7]是指认证、授权和计费组(http://www.ietf.org/html.charters/aaa-charter.html)，[非专利文档8]是指SEAMOBY(Context Transfer，Handoff Candidate Discovery，and Dormant ModeHost Altering，上下文变换、切换候选者发现、以及休眠模式主机改变)组(http://www.ietf.org/html.charters/seamoby-charter.html)，[非专利文档9]是指SIPPING(Session Initiation Proposal，会话发起建议研究)组(http://www.ietf.org/html.charters/sipping-charter.html)，[非专利文档10]是DIAMETER(http://www.ietf.org/internet-drafts/draft-ietf-aaa-diameter-08.txt)，[非专利文档11]是指“Applied Cryptography(应用密码学)”(第二版，BruceSchneiher，Wiley，1996)，[非专利文档12]是指DiffServ工作组(http://www.ietf.org/btml.charters/diffserv-charter.html)，而[非专利文档13]是指IP移动性支持(RFC 3220，http://www.ietf.org/rfc/rfc3220.txt)。
发明内容
由于不允许WLAN拥有对移动终端订购信息的直接访问权，因此家乡网络需要具有提供为移动终端服务所必需的WLAN的替代方式。本发明提出了一种基于规则的解决方案。将规则引擎放置在WLAN中，并且它控制WLAN的服务提供。移动终端的家乡网络将规则信息发送到与规则引擎布置在一起的规则解释器，其中，规则解释器将这些规则转换为WLAN特有控制信息，并将其馈送给规则引擎以便执行，使得WLAN知道如何在不损害家乡网络的信息机密性的情况下为移动终端服务。
使用此规则引擎，家乡网络还可以将用于计费的某个数据处理任务分配给WLAN。因此，WLAN可在将一些数据发送回移动终端的家乡网络之前在本地对其进行处理。这可以节省用于信号发送路径的宝贵的网络资源。
为了保护移动终端的识别信息，在本发明中引入了某个特定方案，其基于对称和不对称密码术结构的组合例如公共密钥、以及预先共享的秘密关联(安全机制)。使用该方案，移动终端可以与其家乡网络交换其识别信息，而不向WLAN泄露某个关键信息中包含的识别信息。
将使用本发明来使WLAN与其它网络互通。互通的网络可以是另一WLAN或公共蜂窝网络。在这两种情况中，配置本发明较为容易。本发明将用于两个目的，即用户识别和关键信息保护、以及接入控制。
为了使用本发明来进行用户识别和关键信息保护，实施者只需要使需要保护的消息例如移动终端和WLAN接入点之间、该接入点和家乡域服务器之间的消息根据本发明中描述的方案形成并被加密。这些消息不局限于任何底层传输协议。因此，可以采用取决于配置要求的任意合适方法来传递它们。例如，在IEEE802.11系统中，可以在EAPOL(基于LAN的EAP)之上传递空中接口(air interface)上的消息，而在IP网络中，可以在DIAMETER[非专利文档10]之上传递接入点和家乡网络服务器之间的消息。
为了使每个方案都起作用，在配置前，移动终端必须具有移动用户的家乡域服务器公共密钥。该密钥应当利用索引(index)字符串或数字来识别。此信息可存储在用户的SIM卡中，或者被发布并在第一次使用之前手动输入。由于本发明具有用于更新密钥的方法，因此易于管理该密钥。也可以将它与作为补充的其它密钥管理方案相结合使用。
此外，如本发明所述，当使用本发明来进行互通接入控制时，实施者需要将解释器放置在WLAN中。该解释器将把从用户的家乡网络发送的规则转变为具有适当参数的WLAN特有命令。这样，家乡网络不需要保存任何WLAN特有技术的信息。当用户的家乡网络不能接入或不能做出决定时，解释器也可以做出缺省本地管理决定，例如允许访问某个本地WLAN资源。在信号发送失败的情况下，这可以使服务中断最少。
规则解释器也可以根据由家乡域规则服务器设置的特定规则将计费信息发送回用户的家乡域。所收集的计费属性可由规则服务器根据其需要进行配置。规则解释器也可被配置为通过从该规则服务器发出命令而容易地支持实时监测和批量(batch)计费。
附图说明
图1是示出用于WLAN互通的示例消息序列的图。该图给出用于WLAN互通的示例序列，该序列使用用于利用受保护的用户识别信息而发信号的消息格式，并实现移动终端、接入点和家乡网络服务器之间的相互认证；
图2是示出用于移动终端发送信息到接入点的示例消息格式1的图。该图给出了将用于移动终端传递信息到接入点的消息格式的示例实现；
图3是示出用于接入点发送信息到家乡域服务器的示例消息格式2的图。该图给出了将用于接入点传递信息到家乡域服务器的消息格式的示例实现；
图4是示出用于家乡域服务器发送消息到中央服务器的示例消息格式3的图。该图给出了将用于家乡域服务器传递信息到中央服务器的消息格式的示例实现；
图5是示出用于中央服务器答复家乡域服务器的示例消息格式4的图。该图给出了将用于中央服务器传递信息到家乡域服务器的消息格式的示例实现；
图6是示出用于家乡域服务器答复接入点的示例消息格式5的图。该图给出了将用于家乡域服务器传递信息到接入点的消息格式的示例实现；
图7是示出用于接入点答复移动终端的示例消息格式6的图。该图给出了将用于接入点传递消息到移动终端的消息格式的示例实现；
图8是提供对MT-AP-家乡域服务器-中央服务器之间的消息流程(flow)及其每个消息之间的配置关联的易于理解的概要的图；
图9是提供对与图8中的流程顺序相反的消息流程及其每个消息之间的配置关联的易于理解的概要的图；
图10是示出用于WLAN互通的不同场合示例的图。该图给出了用于WLAN互通的场合的变化，该场合使用虚拟终端来访问用户的证书和订购以进行互通，并使WLAN设备可以获得服务；
图11是示出用于在WLAN和其它网络之间互通的示例框架的图。该图给出了用于WLAN互通的、使用用于将接入控制规则本地化的规则解释器的框架的示例实现；以及
图12是用于互通框架的示例操作序列。该图给出了在使用规则解释器时WLAN中的示例操作序列。
具体实施方式
下面将通过参考附图来详细描述本发明的实施例。
在这一部分，公开了用于控制WLAN互通中的策略(与通信有关的配置)的装置和方法，为了帮助理解本发明，使用以下定义：
“WLAN”是指无线局域网。它包含任意数目的设备，以通过无线技术给移动终端提供LAN服务；
“移动终端”是指用于通过无线技术来接入由WLAN和其它网络提供的服务的设备；
“家乡网络”是指互通场合中的这样的网络，其中，MT最初来自该网络。它是存储MT的服务订购信息的地方；
“网络元件”是指在网络中可执行信息处理的任意功能设备；
“规则引擎”是指执行由规则服务器设置、并由规则解释器解释为本地特有命令的规则的网络元件；
“规则解释器”是指读入由规则服务器给出的规则、并将其转换为具有适当参数的本地技术特有命令并馈送给规则引擎以便执行的网络元件；
“规则服务器”是指根据请求或主动将相关规则组发送到规则解释器和规则引擎的网络元件；
“空中接口”是指用于移动终端接入WLAN的任意无线电接入技术；
“流(Stream)”是指在网络中传递的、具有某些共同属性的分组的集合；
“流量”是指在网络中传递的流的集合；
“流程”是指数据路径、以及在传递流时使用的数据路径所需的网络资源；
“QoS”是指数据流或流量的服务质量这一术语；
“消息”是指出于互通控制的目的而在网络元件之间交换的信息；
“操作序列”是指为了互通控制而以某个特定顺序在某些特定网络元件之间交换的一系列消息；
“上层”是指当前实体之上的任意实体，其处理从当前实体传递给它的分组；
在以下描述中，出于解释的目的，阐述特定的数目、次数、结构、协议名称和其它参数，以便提供对本发明的透彻理解。然而，对任一本领域技术人员来说将清楚的是，可以在没有这些特定细节的情况下实践本发明。在其它实例中，在方框图中示出公知的组件和模块，使得不会不必要地使本发明不清楚。
(实施例1)
为了在WLAN和其它网络之间互通，需要解决几个主要问题。其包括认证、授权和计费(此后称为AAA)、QoS提供和移动性控制。这些问题的大部分希望有基于策略的解决方案，例如授权/接纳(admission)控制、QoS和移动性功能使用等。
本发明使用基于策略的框架来提供这样的对与WLAN互通有关的那些问题的解决方案。与之互通的网络可以是任意类型，例如3G网络、另一个WLAN网络、或某个私有网络。
在互通消息交换期间，出于AAA的目的而需要提供移动用户的识别信息。该信息应当只能由预期的网络元件(例如AAA服务器)获得。否则，网络的安全性将受到损害，并且用户的位置信息将被暴露给可能的坏人。
因此，本发明提出一种用于使用分级加密和不对称密码术来向未授权方隐藏所述信息的方法。由于此方法不需要预先的安全关联设置，因此它在认证过程中是有用的。
为了透彻地理解本发明，下面，在这里给出用于消息交换的一些操作序列和信息数据结构。一些被命名的协议用于说明，但它不排除为了相同的目的而使用其它协议，并且它不表示本发明的推荐。使用了某些数据结构，但它们仅充当本发明的实现示例。对本领域技术人员来说显而易见的是，在真实实现中，可以添加新信息，并且可以根据使用某些部分所处的实际情形而省略它们。
图1是示出根据本发明实施例1的操作序列的图。在此实施例中，以在移动终端和中央服务器之间进行通信的情况作为示例来给出解释。
如图1所示，由标号(literal)101标记的移动终端(MT)通过由标号106标记的空中接口连接到WLAN中由标号102标记的接入点(AP)。消息通过由标号107标记的互通接口以及由标号103标记的一系列中间服务器/代理服务器而从接入点(102)传送到由标号104标记的移动用户的家乡域服务器。出于可量测性的原因，AAA过程可以发生在家乡域服务器(104)或由标号105标记的后端服务器处(中央服务器)处。当将家乡域服务器(104)和中央服务器(105)布置在一起时，消息交换通过内部接口进行，从而不需要知道确切的消息格式。
在示例实现中，假设移动终端(101)具有与中央服务器(105)的相对持久的安全关联。例如，对于3G终端来说，这可以是与IMSI有关的。还假设家乡域服务器(104)具有用于不对称密码术方案[非专利文档11]的公共密钥和私有密钥对，而移动终端(101)具有公共密钥。该信息可在订购时分发给用户，例如被存储在类似于SIM卡的设备中，或被交给用户并被键入到终端中以供使用，或者被放置在可公开访问的服务器上并在使用之前被下载。
如图1所示，该操作以移动终端(101)将消息通过空中接口(106)发送到接入点(102)开始。
该消息采用图2示出的格式Msg1。该消息将通过不同的机制来传输，其中，根据所述机制，在空中接口(106)上使用WLAN技术。例如，在IEEE802.11中，这可以利用基于以太网的EAP[非专利文档11]来承载(carry)，而在HiperLAN/2中，这可以基于RLC消息。该消息本身不被绑定于任何底层技术。
图2中示出的消息的示例实现包含10个部分(201-210)。对本领域技术人员来说显而易见的是，在真实应用中，根据实际配置情形，可以将更多信息合并到必需字段中，并且可以将一些不必要的移除。为了便于陈述，以某个顺序介绍消息字段。在实际实现中，可以按照任意顺序放置处于同一加密等级的字段。每个字段可具有用来指示其内容的固定宽度的标识符、以及用来指示其实际长度的长度字段。
该消息以由标号201标记的WLAN特有本地ID字段开始。这将包含用来识别本地WLAN环境中的移动终端(101)的信息。例如，在IEEE802.11网络中，这可以是移动终端的以太网地址，而在HiperLAN/2网络中，这可以是分配给移动终端(101)的MAC ID。
由标号202标记的对AP的质询消息字段紧跟在以上字段之后。它包含由移动终端(101)随机产生的某个字符串或数。接入点(102)应当使用此字符串和安全密钥来产生答复，以向移动终端(101)验证它自己。用来产生答复的方案可以是任意消息认证方案，例如HMAC-MD5[非专利文档12]。所使用的安全密钥将由来自家乡域服务器(104)的返回消息承载。
接下来出现的是由标号203标记的网络质询消息的期望结果字段。该字段包含接入点(102)应当从家乡域服务器(104)接收的答复。在互通环境中，接入点(102)有可能与多个域互通。接入点(102)为了验证答复来自用于移动终端(101)的合法服务器，可以将所述字段中的内容与答复消息中包含的对应结果相比较。
跟随其后的是由标号204标记的家乡域信息字段。该字段包含用来识别移动终端(101)的家乡网络的信息。这种信息将由接入点(102)和其它中间节点使用，以将该消息传递到用于处理移动终端的AAA信息的适当AAA服务器。该域信息可以是DNS域名的形式、或者user@domain.name形式的网络接入标识符(NAI)。或者，它可以直接是该消息去往的服务器的IP地址。
在所述字段中还包含用于对用户识别信息进行加密的家乡域服务器(104)的公共密钥的索引。由于家乡域服务器(104)可能同时使用几对公共-私有-密钥，因此移动终端(101)有必要指明采用哪个密钥对来对当前消息进行加密。
根据实现需要，该索引可以是数字或字符串。例如，家乡域服务器(104)使用某个散列函数来将其转换为实际的值，以检索密钥对。索引信息被嵌入在所提交的域信息中。例如，如果使用NAI来承载域信息，则由于在这里不需要实际用户ID，所以可以使用NAI的用户部分来保持密钥索引。该消息中还包括由标号205标记的MT的公共密钥字段。这用于家乡域服务器(104)或接入点(102)将消息安全地发送到移动终端(101)而不被其它实体窃听。
到这里为止，只利用接入点(102)的公共密钥将以上所有字段(201-205)加密以防止窃听，从而可由接入点(102)访问所述字段。可以通过周期性的广播来将接入点(102)的公共密钥发布到移动终端(101)。
另一方面，从这里开始，由移动终端(101)利用家乡域服务器(104)的公共密钥将所有后续字段(206-209)加密。它们不能被接入点(102)以及任何中间节点获得。接入点(102)和中间服务器/代理服务器(103)可使用家乡域信息(204)来将消息转发到适当的服务器。
当服务器接收到该消息时，它将使用由家乡域信息(204)中包含的密钥索引指示的对中的私有密钥来将该消息解密，并获得必要信息。由标号206到209标记的该消息的这一部分应由接入点(102)直接复制到由图1中的标号Msg2标记的、发送到家乡域服务器(104)的消息。
在该消息中包含由标号210标记的安全字段，用于保护信息的完整性。在实施中，例如，这可以是使用HMAC-MD5方案计算的消息摘要。
如图1所示，在接收到消息Msg1之后，接入点(102)将提取必要信息，并形成另一消息Msg2，并通过可能的中间服务器/代理服务器(103)将其发送到家乡域服务器(104)。因为可用的WLAN技术的数目迅速增大，因此由标号107标记的用于将它们互连的技术可能变化较大。这里使用的用于说明的示例假设采用IETF的基于IP的技术。然而，对本领域技术人员来说显而易见的是，本发明意欲与任意底层技术一起使用。利用某些修改/改变，可以在其它非基于IP的技术上、甚至在那些私有协议之上使用它。
图3示出了Msg2的消息格式。
该消息以由标号301标记的AP和WLAN地址字段开始。需要该信息来发送答复消息。该信息的格式不受限制。例如，一种简单的方式是在接入点(102)具有IP地址时使用该接入点(102)的IP地址。否则，将需要AP标识符和WLAN网关的地址。紧随其后的是由标号302标记的WLAN特有ID字段。该字段与消息格式1中由标号201标记的字段相同。
以上所有信息均用于网络节点识别移动终端(101)，从而建立返回路线。由于WLAN特有ID(302)是临时ID并且仅在WLAN环境中才有意义，因此它将不会引出关于移动终端(101)的实际识别信息的任何信息。如上所述，这些字段应当可以由沿此路径的所有可能节点访问，从而不应利用专门的技术来加密。如果连接是点对点的、或者没有必要进行反向路由选择，则可以通过由连接的端点共享的安全机制来保护此信息。
显然，字段303到308是直接从Msg1中命名为204到209的字段直接获取的。字段303，即家乡域信息，用于在有中间节点出口(exit)时将消息发送到家乡域服务器(104)。
由标号304标记的MT的公共密钥字段用来传播移动终端(101)的公共密钥，使得可以在需要时保护答复消息。为了验证密钥的合法性，应当以安全的方式提供校验和，例如该密钥的指纹。这可以通过将指纹放置在用户数据中来实现，其中，该用户数据由用户和保存订购信息的服务器之间的安全机制来保护。
字段305至308将仅由家乡域服务器(104)读取。因此，利用家乡域服务器(104)的密钥来加密和保护它们，并且它们不能由任何中间网络元件访问。
由标号305标记的家乡域特有用户ID字段跟随在MT密钥字段之后。这是由移动用户的家乡网络分配给该移动用户的用户ID。其用来在家乡网络的环境中唯一地识别用户。如果用户具有userID@home.domain形式的NAI，则此标识符对应于@之前的userID部分。该家乡域特有用户ID不是永久性的。家乡域可以通过将新标识符嵌入到答复消息中而将该新标识符分配给移动终端(101)。
在接收到消息之后，家乡域服务器(104)将检查家乡域信息字段(303)，并找出由移动终端(101)使用的公共密钥索引，以将该消息加密。然后，它将使用密钥对中的对应私有密钥来将该消息解密，并得到用户ID信息。如果用户订购信息被存储在该服务器处或家乡域内，则它应当具有将此用户ID信息映射到用于该用户的记录条目的方法，从而解密出该消息的复原(reset)，并进行进一步处理。
此外，如果这些均由另一中央服务器控制，或者家乡域将AAA过程外包给某个外部服务器，则家乡域服务器(104)将把其余消息与所附的用户ID一起转发给该服务器。利用与用户订购信息相关的安全机制，即永久标识符，来将该消息的其余字段加密。因此，只能由具有用户订购信息的实体来检索这部分信息。
第一字段是由标号306标记的网络质询消息字段。这是由移动终端(101)随机产生的信息。其用于移动终端(101)验证答复消息的起源的权限。网络一侧，例如中央服务器(105)，应当使用从用户订购信息导出的密钥来基于此质询产生对移动终端(101)的答复。质询答复应当被嵌入在答复消息中。网络一侧还应当产生对接入点(102)的答复，以证明它是发送该答复的合法来源。根据实现需求，对移动终端(101)和接入点(102)的答复可以相同或不同。
在网络质询消息字段(306)之后是由标号307标记的永久用户ID字段。该字段包含用来永久和全局地识别用户的信息。在用户的整个订购期期间，它将保持不变。使用此信息，可以跟踪用户，并且可以从数据库中检索订购信息。针对订购信息未存储在家乡域服务器(104)中的情况而包括此字段。服务器也可使用它，以通过将此ID与从家乡域特有用户ID映射的识别信息相比较，来验证移动终端(101)的权限。
跟随在该ID字段之后的是由标号308标记的用户数据字段。该字段包含来自移动终端(101)的数据，以进行AAA会话。在真实实现中，可以利用使用从订购信息导出的用户安全机制的某种机制来保护该字段。它还可以包含保护信息完整性的字段。
在该消息的末尾是由标号309标记的安全字段。该字段包含用来保护整个消息的完整性的信息。所包括的实际内容取决于配置需要。
当将家乡域服务器(104)和中央服务器(105)布置在一起时，家乡域服务器(104)将能够进行所有与中央服务器(105)所做的处理相同的处理，并直接向接入点(102)答复该消息。当它们没有被集成，即实际用户信息不在家乡域服务器(104)上时，如图1所示，该服务器需要使用消息Msg3来将该消息转发到中央服务器(105)。
图4中示出了Msg3的示例实现。
该消息以由标号401标记的家乡域信息字段开始。这包含供中央服务器(105)识别家乡域服务器(104)的信息。这假设中央服务器(105)和家乡域服务器(104)不在同一域中。跟随在此字段之后的是由标号402标记的网络质询消息字段、由标号403标记的家乡域特有用户ID字段、由标号404标记的永久用户ID字段、以及由标号405标记的用户数据字段。
网络质询消息字段(402)和家乡域特有用户ID字段(403)包含来自Msg2的经解密的信息。
永久用户ID字段(404)和用户数据字段(405)被直接从Msg2的对应字段复制。移动终端(101)使用从订购信息导出的安全密钥来将这两个字段加密。
在该消息的末尾是由标号406标记的安全字段。其用于使用由家乡域服务器(104)和中央服务器(405)共享的安全机制来保护该消息的完整性。在接收到该消息之后，中央服务器(105)需要将被加密的字段解密，并检索信息以及进行适当的处理。
图5中示出了答复消息Msg4的示例实现。
该消息以由标号501标记的家乡域信息字段开始。在这两个服务器没有直接连接的情况下，其包含用于识别家乡域服务器(104)的信息。由标号502标记的家乡域特有用户ID字段用来包含对家乡域服务器(104)识别移动终端(101)的信息，使得家乡域服务器(104)知道应当将答复消息转发到哪里。
中央服务器(105)还应当计算两个与安全有关的答复。第一个是由标号503标记的AP响应密钥。该密钥将被传递给接入点(102)，供其产生对AP质询消息的答复。该密钥从移动用户的订购信息导出，从而也可以在移动终端处获得。另一个是由标号504标记的对AP的网络质询消息响应。其也将被传递给接入点(102)。
然后，接入点(102)将把它和网络质询消息的期望结果(203)相比较，并验证答复来源的权限。仅利用由所述两个服务器共享的安全机制来保护这两个字段。
跟随在这两个字段之后的是由标号505标记的对MT的网络质询消息响应。其用于服务器向移动终端(101)认证它自己，并且应被传递给移动终端(101)。
接下来，是由标号506标记的永久用户ID字段。其用于移动终端(101)检查该消息是否为用于它的。
接下来的字段是由标号507标记的用户数据。其包含来自服务器的与AAA有关的答复。实际内容将取决于在AAA会话中进行的操作。例如，它可包含分配给移动用户的新家乡域特有用户ID。利用从订购信息导出的中央服务器(105)和移动终端(101)之间的安全机制，而将以上3个字段505、506和507加密。因此，它们只能由移动终端(101)访问。
该消息中最后的字段是由标号508标记的安全字段。该字段包含用于使用在家乡域服务器(104)和中央服务器(105)之间共享的安全机制保护整个消息的完整性的信息。
在从中央服务器(105)接收到该消息之后，家乡域服务器(104)将提取必要的信息并相应地进行处理。将形成由图1的Msg5标记的新消息，并根据实施需要而通过相同路线或不同路径将其转发到接入点(102)。在家乡域服务器(104)中进行的处理包括将用户ID映射到WLAN特有ID和WLAN地址。这些仅仅是来自接入点(102)的对应消息中包含的信息。
图6中示出了Msg5的消息格式的示例实现。
该消息以由标号601标记的AP和WLAN地址字段开始。该字段包含用于识别移动用户所关联的WLAN中的接入点(102)的信息。地址信息可在如图3所示的Msg2中获得。家乡域服务器(104)可以保存利用用户ID而排序的地址表。当服务器接收到用于用户ID的新消息时，该表被更新，从而可以在形成对应的答复消息中使用该表。需要该消息的以上部分来将其发送到正确的终端，因而不应该将所述部分加密。
跟随在该字段之后的是由标号602标记的WLAN特有本地ID字段。其包含供接入点(102)识别该消息所涉及的移动终端的信息。该ID也可在Msg2中获得，并且，可以使用与用于AP和WLAN地址(601)的方法相同的方法来检索它。
该消息中的下一字段是由标号603标记的AP响应密钥字段。其包含供接入点(102)产生对移动终端(101)的质询的响应的信息。直接从Msg4中由标号503标记的相同字段复制该内容。
跟随其后的是由标号604标记的对AP的网络质询消息响应字段。该字段包含由中央服务器(105)计算的响应，并用于接入点(102)验证中央服务器(105)的合法性。家乡域服务器(104)也可以使用它来向接入点(102)指明AAA过程的成功/失败状态。它也是直接从Msg4中由标号504标记的字段复制的。以上字段将仅由指定的接入点(102)访问，因而它们应当由在家乡域服务器(104)和接入点(102)之间共享的安全机制加以保护，例如，通过AP的公共密钥来加密。
该消息中下一个是由标号605标记的新家乡域服务器公共密钥字段。该字段是可选的，并且仅在家乡域服务器(104)需要改变其公共密钥的时候使用。所包含的信息包括新密钥以及该密钥的索引。
该字段和以下字段606至608将仅由移动终端(101)访问，因此，应当利用移动终端(101)的公共密钥来保护，其中，在消息Msg2中将所述公共密钥发送到家乡域服务器(104)。
为了验证新密钥的合法性，也应当以安全的方式提供校验和，例如密钥的指纹。这可以通过将其放置在用户数据字段中来实现，其中，利用用户和保存订购信息的服务器之间的安全机制来保护所述用户数据字段。在单独的中央服务器的情况中，家乡域服务器(104)可以将指纹附加到发送给中央服务器(105)的消息Msg3上，并请求中央服务器(105)将其包括在返回消息的用户数据字段中。对本领域技术人员来说显而易见的是，也可以使用该字段来承载密钥生成材料来替代真实密钥。可以通过旧密钥或某些订购消息，而在MT一侧导出真实密钥，从而提供更好的保护。
跟随其后的是由标号606标记的对MT的网络质询消息响应字段。该字段包含由中央服务器(105)产生的、用于向移动终端(101)证明其身份的质询消息响应。
接下来是由607标记的永久用户ID字段和由标号608标记的用户数据字段。这些字段均由中央服务器(105)产生，并直接从Msg4中由标号505至507标记的对应字段复制。利用从用户的订购信息导出的中央服务器(105)和移动终端(101)之间的安全机制来保护它们。
该消息中最后的字段是由标号609标记的安全字段。使用该字段来承载使用由家乡域服务器(104)和接入点(105)共享的安全机制保护整个消息的完整性的信息。
在接收到该消息之后，接入点(102)将提取所需字段例如602、603，并处理它。将产生新的消息，并将其转发到进行消息Msg5中的字段的重置(reset)的移动终端(101)。
在图7中示出了Msg6的新消息格式的示例实现。
该消息以由标号701标记的WLAN特有本地ID开始。这用于移动终端(104)检查所述消息是否是发送给它的。该字段不需要被加密。该字段的实际内容取决于所使用的技术；例如，在IEEE802.11网络中，这可以是终端的48位以太网地址，而在HiperLan/2网络中，这可以是由接入点(102)分配的终端的MAC ID。
跟随其后的是由标号702标记的AP质询消息响应字段。这包含由接入点(102)使用Msg5中由标号603标记的从中央服务器(105)发送的密钥来计算的质询。移动终端(101)将使用此质询来验证接入点(102)的合法性。该字段和以下字段703至705应当仅由预期的接收者访问，因此应当利用移动终端(101)的公共密钥来将其加密。
该消息中的下一字段是由标号703标记的对MT的网络质询消息响应。该字段包含由中央服务器(105)使用与终端共享的安全机制产生的响应。它用来向移动终端(101)认证该网络。
跟随其后的是由标号704标记的永久用户ID字段。移动终端使用该信息来进一步验证该消息是发送给移动终端(101)自己的。
由标号705标记的用户数据字段包含由中央服务器(105)答复的与AAA有关的信息。其用于AAA处理。以上字段由中央服务器(105)产生，并且应当利用由移动终端(101)和中央服务器(105)共享的安全机制来加密和保护。
该消息中最后的字段是由标号706标记的安全字段。该字段包含用于保护整个消息的完整性的必要信息。
图8是提供对MT-AP-家乡域服务器-中央服务器之间的消息流程及其上述每个消息之间的配置关联的易于理解的概要的图。图9是提供对与图8中的流程的顺序相反的消息流程及其每个消息之间的配置关联的易于理解的概要的图。以上描述给出了使用本发明的移动终端(101)和AAA服务器之间的简单消息交换的示例。
以这一方式，根据本实施例，当通过某些网络元件(中继站)而与通信另一端的团体(party)交换消息时，分别使用需要每个字段的每个网络元件的公共密钥来将组成消息的每个字段加密。也就是说，通过使用分别在每个网络元件之间有效的安全机制(加密方案)来将组成消息的每个字段单独加密。
具体地说，当移动终端将消息传送到服务器时，通过使用该服务器的公共密钥来将包含移动用户识别信息的部分消息加密，而通过使用其通信路径上的网络元件的公共密钥来将消息的剩余部分加密。可替换地，通过使用从移动用户的订购消息导出的密钥来将包含移动用户识别信息的这部分消息加密，并且还通过使用该服务器的公共密钥来将加密的消息进一步加密，从而实现分级加密。
也就是说，通过使用对称和不对称密码术方案的组合，本发明提供了一种用于在WLAN互通中安全地执行AAA过程而不会向未经授权的实体泄露任何用户识别信息的解决方案。它在防止中间人(man-in-the-middle)攻击方面是有用的。注意，对本领域的任一技术人员来说显而易见的是，本发明也可用于具有不同消息序列组合的更复杂的应用。
当使用了本发明时，本发明特别有助于防止中间人攻击。例如，当存在位于移动终端(101)和实际接入点(102)之间的伪造接入点时，它只能获得关于对AP的质询消息(202)的信息、以及网络质询消息的期望结果(203)。这一假冒接入点(伪造接入点)不能获得对于对AP的询问消息(202)的正确答复，这是因为其需要来自移动终端(101)的实际家乡域服务器(104)的密钥，并且该密钥将不会从接入点(102)被转发出去。因此，它不能对移动终端(101)假装成实际接入点(102)。
本发明还可用于怀有恶意的实体侵入接入点(102)和家乡域服务器(104)之间的链路的情形。在此情况中，由于利用家乡域服务器(104)的公共密钥将消息的关键部分加密，因此此外部实体不能获得从接入点(102)发送的消息中的任何有用信息。由于利用AP的公共密钥将从自家乡域服务器(104)发送回的消息加密，因此该实体也不能从该消息获得任何有用信息。
图10示出了本发明的WLAN互通场合的变化示例。
在此场合中，用户证书和订购信息被存储在由标号101a标记的虚拟MT中。虚拟MT(101a)可位于WLAN中的任何地方，例如可与接入点布置在一起。互通序列将从虚拟MT(101a)开始。消息序列和格式可以与上面所述的完全相同。在这里，唯一的不同在于虚拟MT(101a)不再通过空中接口(106)而连接到接入点。
由标号102a标记的接入服务器是控制从WLAN到互通网络的连接的实体。虚拟MT(101a)可以使用例如有线、红外、蓝牙等的任意接口连接到接入服务器(102a)。虚拟MT(101a)也有可能与接入服务器(102a)布置在一起。在此情形中，Msg1和Msg6将在内部使用，并可以不遵循上面定义的确切格式。其它消息序列和格式将不受影响，并保持相同。
当此虚拟MT(101a)成功地获得对来自订购的家乡域的服务的接入时，由标号1001标记的与它相关联的任意WLAN设备也将被允许使用该服务。WLAN设备(1001)和虚拟MT(101a)之间的安全机制设置可以是私有的，并且安全等级将由WLAN决定。
此场合的真实世界的示例是：用户在家里安装WLAN接入点，并且她/他具有对公共网络例如3G网络的一个订购，并且，她/他想让家里的所有设备都能够一旦向接入点认证便接入3G服务。这可以通过将虚拟MT(101a)与接入点布置在一起、使用上述发明来实现。虚拟MT(101a)将访问用户的证书和订购信息例如他/她的UICC，并继续进行互通过程。在此之后，WLAN设备(1001)可使用用户希望的任意方法例如简单密码保护，来关联到AP，并使用3G服务，例如接入IMS服务。
对本领域技术人员来说显而易见的是，本发明可适用于多个AP的情形，其中，虚拟MT(101a)可与AP控制器或对互通网络的WLAN接入服务器(102a)布置在一起。以下内容也是清楚的，即：本方案适用于有线设备，即通过电缆或其它接口而不是空中接口关联到AP的设备也可以享受3G服务。在WLAN中存在多个虚拟终端的情况中，它们中的每个都应当独立地经历互通过程。当一个虚拟终端能够访问多个用户的信息，即同时接受多个UICC卡时，应当独立地执行每个用户的互通过程。虚拟终端可控制WLAN设备(1001)对由使用诸如密码保护、安全令牌等私有方法的用户订购的服务的接入。
(实施例2)
在互通时，WLAN需要不时地基于用户订购信息而作出决定，例如接纳控制。由于此信息被存储在用户的家乡域中，并且一般不允许共享，因此WLAN必须依靠家乡域服务器(104)来发出决定。由于家乡域服务器可能不总是具有在与其互通的不同WLAN中使用的技术的详细知识，因此家乡域服务器(104)不能将确切的指令给予WLAN中的资源管理实体。此外，一些应用例如接纳控制需要本地网络信息，并防止在家乡域中做决定。
图11示出了解决所述问题的本发明的示例实现。在该框架中，由标号801标记的移动终端通过WLAN功能(function)而连接到网络。WLAN功能包括由标号802标记的规则引擎和由标号803标记的规则解释器。
规则引擎(802)是来自规则解释器(803)的命令的执行者。它控制移动终端(801)的可接入性，并管理本地网络资源。如图11所示，该引擎可与WLAN中的接入点布置在一起，但这不是要求。在实际实现中，它可以是具有与接入点的通信信道的单独实体。规则引擎(802)还具有用来发信号到移动终端(801)的信道。
规则解释器(803)是从移动用户的家乡域接收规则的实体，并在WLAN本地环境中解释它们。它还具有向移动用户的家乡域报告与移动用户状态有关的信息的职责。
规则解释器(803)从由标号804标记的、位于WLAN之外的规则服务器接收规则。对于规则服务器(804)的放置没有要求。需要规则服务器(804)提供与使用互通服务的移动用户有关的规则。
规则服务器(804)有可能为与WLAN互通的多个网络服务。规则服务器(804)也可以是连接到WLAN的规则解释器(803)的代理服务器，并使用后端信道(由标号805标记的后端处理)来从实际服务器中检索信息。
在图12中示出了示例实现中的典型操作。
移动用户将通过移动终端(801)向WLAN请求某个服务，如由标号ST9001所标记的那样。WLAN中控制本地资源的规则引擎(802)将向规则解释器(803)询问关于要采取的对应操作，如由标号ST9002标记的那样。规则解释器(803)将在本地高速缓冲存储器中检查是否存在适用于该操作的有效规则组，如由标号ST9003标记的那样。如果是这样，则它将基于该规则和WLAN中的当前网络状态做出决定，并在需要时做出对应的状态反馈。该本地高速缓冲存储器可以在解释器的物理存储器或外部非易失性存储装置中实施。
存储在高速缓冲存储器中的信息将包括在先前的业务事物中从规则服务器(804)接收的规则，其具有指示其有效性周期的时间范围。还应当包括某个索引(indexing)信息，以便识别和检索该规则。当该规则的有效性过期时，它应当在早期被标记为无效并被移除。来自规则服务器(804)的较晚的规则也可以覆盖高速缓冲存储器中的规则。为了进行适当的规则检索，还与它一起存储某个定义规则适用范围的信息。例如，这可以是将使用此规则的移动用户的域信息。对本领域技术人员来说显而易见的是，可以根据实现需要而存储更多信息。由于规则服务器(804)获得它所连接的每个WLAN的底层技术是不可行的，因此规则采用非常一般的形式。
因此，规则解释器(803)需要从关于本地网络状态的规则导出具有适当参数的WLAN特有决定。例如，该规则可以是“允许3Mbps带宽；时间限制为10分钟”。当WLAN使用HiperLAN/2时，这可以被规则解释器(803)转换为决定“在每m个MAC帧中为上行链路和下行链路的终端分配n个数目的LCH”、以及“在g个数目的MAC帧之后从AP发送连接拆除命令”，其中，从HiperLAN/2规范中的信息计算n、m、g。对本领域技术人员来说显而易见的是，以上仅仅是示例，并且规则可以根据所涉及的操作而采用在规则服务器(804)和规则解释器(803)之间达成一致的任何一般格式。在使用其它WLAN技术的情况中，规则解释器(803)应当按照与例如IEEE802.11技术相同的方法操作。
此外，在规则解释器(803)的本地高速缓冲存储器中不存在可用规则的情况中，规则解释器(803)将请求传送给规则服务器(804)，如由标号ST9005所标记的那样。当存在多个连接到规则解释器(803)的规则服务器(804)、或者规则服务器(804)是代理服务器时，规则解释器(803)需要使用移动用户的域信息来决定使用哪个服务器。在没有来自规则服务器(804)的答复的情况中，或者在规则服务器(804)上不能获得关于所述请求的规则时，规则解释器(803)需要决定移动用户的域信息，以便决定使用哪个服务器。
或者，在没有来自规则服务器(804)的答复的情况中，或在不存在关于所述请求的规则的情况中，规则解释器(803)可以使用某个预设的缺省规则组来作出关于操作的决定。
例如，当不能从规则服务器(804)获得关于用户接入范围的信息时，规则解释器(803)可以根据用户的家乡网络对于WLAN的信任等级决定使其仅接入内联网、或接入因特网资源。该缺省规则可被存储在规则解释器(803)的本地高速缓冲存储器或可由规则解释器(803)访问的某个外部存储器中。对本领域技术人员来说显而易见的是，可以存在用于不同操作的不同规则。
当规则服务器(804)从规则解释器(803)接收到询问时，它将在它的规则数据库中搜索对应规则，如标号ST9006所标记的那样。当规则服务器(804)获得该规则时，它将把它发送到规则解释器(804)，如由标号ST9007所标记的那样。在从规则服务器(804)接收到该规则之后，规则解释器(803)将利用该新规则更新其本地高速缓冲存储器，并将其解释为WLAN特有命令，如由标号ST9008所标记的那样。
需要在规则服务器(804)和规则解释器(803)之间就用于传递该规则的格式达成一致。这可以通过将规则格式定义从规则服务器(803)发送到规则解释器(804)来动态地进行。利用此定义，规则解释器(803)能够从消息中提取必要的规则信息。为了实现这一点，规则解释器(803)需要支持可用来定义规则的一组操作。
   Rule_interpretation_operations∷＝{
ADD；
SUB；
MUL；
DIV；
AND；
OR；
EQUAL；
CONDITION；
NEGOTIATE；
ACCEPT；
REJECT；
STOP；
RELOAD；
}
上面示出的数据结构1是由规则解释器(803)支持的操作示例。在数据结构1中给出了支持规则定义所需的操作列表的示例。其中，ADD、SUB、MUL、DIV对应数学环境中的加法、减法、乘法和除法运算。AND、OR、EQUAL是在所有计算语言中广泛使用的逻辑运算，例如，与C编程语言中的“&&”、“‖”和“＝＝”相同。CONDITION表示该规则具有限制其使用范围的条件。NEGOTIATE表示在可作出实际决定之前需要协商。ACCEPT表示接受对操作的请求，而REJECT意思是拒绝对操作的请求。STOP表示中断当前操作。RELOAD用于供规则服务器(804)向规则解释器(803)指示更新定义并再次配置。对本领域技术人员来说显而易见的是，在真实实现中，可以有更多的由规则解释器(803)支持的操作。
为了形成所述规则，规则解释器(803)还需要能够理解一组基本属性组。这将依赖于操作和网络。为了与不同网络互通，WLAN中的规则解释器(803)只需要理解在该网络中使用的信息。例如，当与3G网络互通时，规则解释器(803)需要知道某些与3G有关的基本属性。另一方式是使规则解释器(803)和规则服务器(804)就可形成互通网络中的所有可能信息的一组属性达成一致。
  Rule_interpretation_QoS_attributes∷＝{
MaxBandwidth；
MinBandwidth；
AverageBandwidth；
MaxDelay；
MaxJitter；
MaxPktSize
Burst；
Filter；
Meter；
Marker；
Dropper；
StartTime；
StopTime；
}
上面示出的数据结构2是用于QoS规则解释的属性列表的示例。在数据结构2中给出了需要为与QoS有关的操作而支持的属性列表的示例。MaxBandwidth、MinBandwidth、AverageBandwidth是与带宽有关的信息的属性。MaxDelay和MaxJitter给出关于规则的与延迟有关的信息。MaxPktSize给出关于要支持的最大分组大小的信息。Burst将指示允许的分段(burstness)。Filter是包含诸如源地址(起点地址)、目的地地址(终点地址)、源端口(起点端口)、目的地端口(终点端口)、TOS字段等的字段的复合属性。其用于将应用所述规则的流与其它流区分开。对任一本领域技术人员来说显而易见的是，通过使用Filter，可以将规则指定为适用于一个终端或一组用户。
Meter、Marker和Dropper是专用于DiffServ[非专利文档12]的复合字段。StartTime和StopTime指示某个操作的开始和停止时间。对任一本领域技术人员来说显而易见的是，在真实实现中，根据互通网络中使用的技术，存在要由规则解释器(803)支持的更多属性。使用由规则解释器(803)支持的以上属性和操作，规则服务器(804)可以定义要传递的规则的格式。例如，服务器需要定义如下格式：
Example_QoS_format∷＝{OPERATION，AVERAGEBANDWIDTH，BANDWIDTH_VAR，TIME_PERIOD}
它可以将该格式定义为：
  Example_QoS_format_definition∷＝{
OPERATION∷＝OPERATION；
AVERAGEBANDWIDTH∷＝AverageBandwidth；
BANDWIDTH_VAR∷＝MaxBandwidth SUB MinBandwidth；
TIME_PERIOD∷＝StartTime SUB StopTime；
}
因此，可以按照以下所述来发送与QoS有关的规则：
   Example_QoS_rule∷＝[ALLOW；10Mbps、100Kbps、5hour}
对任一本领域技术人员来说显而易见的是，可以有更复杂的属性和操作的组合来形成规则。
Rule_interpretation_mobility_attributes∷＝{
OriginalAddress；
CurrentAddress；
HomeAgentAddress；
LocalAgentAddress；
NextAgentAddress；
TunnelAddress；
LocalAccessAddress；
StartTime；
StopTime；
Filter；
}
上面示出的数据结构3是用于移动性规则解释的属性列表示例。在数据结构3中给出了需要由规则解释器(803)支持以便支持移动性的属性集合的示例。例如，OriginalAddress是在移动IP[非专利文档13]环境中的移动终端(801)的家乡地址。CurrentAddress是移动IP环境中的转交地址(care-of-address)。HomeAgentAddress和LocalAgentAddress是移动IP环境中的家乡代理地址和国外代理地址。NextAgentAddress可以是移动终端(801)期望进入的下一个域中的代理。TunnelAddress是用于建立通道(tunneling)的地址，其为需要通过建立通道而发送的流量。LocalAccessAddress是用于本地AAA服务的地址。StartTime和StopTime用来指示以上信息的寿命。Filter是用来将应用规则的流与其它流区分开的复合属性。
对任一本领域技术人员来说显而易见的是，真实的实现将在列表中包括更多属性，并且以上属性的定义将根据所使用的技术而改变。在如标号ST9008所标记的那样在规则解释器(803)处使用从规则服务器(804)发送的定义来解释规则之后，规则解释器(803)将把详细决定发送给规则引擎(802)以供执行，如同由标号ST9009所标记的那样。在需要更高等级的某个合作来适当地执行所述规则的情况中，规则解释器(803)也有可能将某些信息转发给移动终端(801)。例如，向IP层发送filter信息，使得利用适当的标记将流向下传递到以太网层。规则服务器(804)也有可能通过发送新定义以及随后的RELOAD操作规则来重新定义规则格式。这也可以带有使更新在某个预设时间发生的时间信息。
在该系统中，规则服务器(803)也可以被配置为支持计费和监测。在正常计费实现中，WLAN需要将所收集的所有原始数据传递到移动用户的家乡网络。由于不是所有数据都需要，因此这将浪费网络资源。此外，由于它需要处理所有原始数据并获取期望信息，因此它还导致家乡网络的计费服务器上的大计算负担。
解决此问题的一种方式是使WLAN首先进行某些本地处理，并仅将由家乡网络指定的数据发送回去。由于不同的WLAN具有不同的记录统计量(statistics)，因此需要某种初步过滤。规则解释器(803)将收集对应的统计量，并将它们转换为在互通中有用的记录。将获得的这组记录应当是可用来形成任意更复杂的记录的基本组。规则服务器(804)和规则解释器(803)应当具有对于该基本组的协定，或者可以采纳公共的开放标准，例如在RFC2924中定义的属性。
  Rule_interpretation_accounting_attributes∷＝{
StartTime；
EndTime；
CurrentTime；
ReportPeriod；
BatchReportingTime PacketTransmitted；
PacketDropped；
ByteTransmitted；
ByteDropped；
Priority；
Bit_rate_average；
Bit_rate_Max；
Bit_rate_Min；
Max_Pkt_size；
Min_Pkt_size；
Max_Pkt_interval；
Min_pkt_interval；
Min_Drop_interval；
}
上面示出的数据结构4是用于计费规则解释的属性的示例。在数据结构4中给出了应由规则解释器(803)支持的、用于形成计费规则的属性示例。这包括应当由规则引擎(802)收集并可在规则解释器(803)处获得的基本信息。规则服务器(804)将所希望的计费记录定义发送到使用这些属性和数学运算的规则解释器(803)。例如，当家乡网络需要的详细记录是流量的持续时间、所使用的带宽、带宽变化、分组丢失率时，由规则服务器(804)发送的计费列表定义可以是：
  Example_accounting_list∷＝{
DURATION∷＝EndTime SUB StartTime；
BANDWIDTH∷＝Bit_rate_average；
BANDWIDTH_VAR∷＝Bit_rate_Max SUB Bit_rate_Min；
DROP_RATE_PKT∷＝
      PacketDropped DIV TOTAL_PKT∷＝[PacketTransmittedADD PaeketDropped]；
}
对任一本领域技术人员来说显而易见的是，存在比该示例中列出的属性更多的由WLAN收集的属性。所收集的实际信息也取决于WLAN中使用的技术。当规则解释器(803)未识别出计费规范的属性时，应当将错误报告发送到规则服务器(804)，以便记录该错误，或者可以协商替换。还显而易见的是，以上方案也可用于WLAN的状态监测。实时计费例如对预付费服务计费也可以使用上面提供的设备来实现。例如，这可以通过设置具有如下条件的规则来实现：{STOP；CONDITION ByteTransmitted EQUAL 10MB}。
规则解释器(803)将此转换为WLAN特有条件，例如对于HiperLAN/2系统的LCH数目，并在满足所述条件时将分离命令发送给接入点。在用户结束(top up)或升级服务的情况下，来自规则服务器(804)的新规则可以利用新条件来覆盖旧规则。在WLAN中网络条件改变的情况下，还允许规则解释器(803)修改对规则的解释。例如，这可以发生在系统中的调制方案改变或错误率改变发生从而以前的解释变得不再有效的时候。当这种情形出现时，规则解释器(803)需要修改规则和WLAN本地参数之间的映射使得服务不会被中断，并向规则服务器(804)报告所述改变。规则服务器(804)能够评估这些改变，并有可能重新发布规则。这样，可以避免由于WLAN中的瞬时状态而导致的服务中断。
本发明的第1方面是一种在WLAN互通时保护移动用户识别信息的方法，包括以下步骤：i.利用不同加密等级的不同密钥对包含移动用户识别信息的消息执行分级加密；ii.使用家乡域名来帮助将加密消息发送到正确的网络；以及iii.使用临时域特有标识符来进一步隐藏移动用户的实际识别信息。
本发明的第2方面是根据以上过程保护移动用户识别信息的方法，还包括以下步骤：i.利用预期接收者的密钥，使用不对称加密方案来保护移动用户识别信息；以及ii.使用用于移动终端和网络的相互认证的质询消息-响应交换方案来保护不受攻击。
本发明的第3方面是根据以上过程保护移动用户识别信息的方法，还包括以下步骤：i.在消息交换开始之前，通过将预期接收者的不对称加密密钥存储在可由移动终端安全访问的存储设备中，来与移动终端共享该密钥；ii.通过在所答复的并利用当前密钥加密和保护的消息中包括新密钥来更新要使用的不对称加密密钥对；以及iii.通过在域信息中嵌入信息来识别当前在用于识别信息保护的加密中使用的不对称加密密钥对。
本发明的第4方面是根据以上过程保护移动用户识别信息的方法，其中，用于WLAN互通的消息序列能够在一个消息往返行程(round trip)中相互认证使用WLAN的移动终端和其家乡网络，该消息序列包括：i.移动终端向接入点发送包括经加密的识别信息、相互认证信息、移动用户家乡域信息和其它必需信息的消息；ii.接入点通过使用移动用户家乡域信息，向移动用户的家乡域服务器发送包括经加密的移动用户识别信息、相互认证信息和其它必要信息的消息；iii.接入点从移动用户的家乡域服务器接收包括相互认证信息和其它必要信息的消息；以及iv.移动终端从接入点接收包括相互认证信息和由接入点转发的来自其它服务器的其它信息。
本发明的第5方面是根据以上过程保护移动用户识别信息的方法，其中，用于WLAN互通的消息序列还包括：i.移动用户的家乡域服务器向中央服务器发送包括相互认证信息和由接入点转发的来自移动终端的其它信息的消息；以及ii.移动用户的家乡域服务器从中央服务器接收包括相互认证信息和要转发给移动终端的其它信息的消息。
本发明的第6方面是根据以上过程保护移动用户识别信息的方法，其中，将在用于WLAN互通的消息序列中使用的消息格式组包括：i.可由所有网络节点访问的专用于WLAN的移动用户标识符；ii.可由所有网络节点访问的移动用户的家乡域信息；iii.被分级加密且只能由预期接收者访问的移动用户的证书和识别信息；iv.被加密且只能由参与相互认证的团体访问的认证质询和响应；以及v.用于消息完整性保护的信息。
本发明的第7方面是根据以上过程保护移动用户识别信息的方法，其中，将用于WLAN互通的消息格式还包括：i.用来识别用于对预期接收者分级加密的密钥的信息；以及ii.用来产生用于识别信息保护的新密钥的信息。
本发明的第8方面是根据以上过程保护移动用户识别信息的方法，其能够在WLAN内共享用户的订购，该方法包括以下步骤：i.布置一个或多个虚拟终端，所述虚拟终端能够访问用户的证书和订购信息，并作为来自互通网络的常规移动终端而执行互通功能；ii.使用该虚拟终端作为用于与其相关联的WLAN设备的网关，以接入由互通网络提供的服务；以及iii.由该虚拟终端控制WLAN设备对互通网络的服务接入。
本发明的第9方面是根据以上过程保护移动用户识别信息的方法，还包括以下步骤：i.由虚拟终端同时访问所述一个或多个用户的证书和订购信息；以及ii.在WLAN中同时共享所述一个或多个用户从互通网络订购的服务。
本发明的第10方面是将WLAN与其它网络互通的方法，包括以下步骤：i.由WLAN中的规则引擎执行规则组，并相应地控制WLAN中的资源分配；ii.将规则组从网络中的规则服务器发送到规则解释器；以及iii.由WLAN中的规则解释器解释来自规则服务器的规则，并将其转变为对规则引擎的WLAN特有动作指令。
本发明的第11方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.将规则本地存储在WLAN中；以及ii.当规则服务器不可用或不能给出相关规则时，由规则解释器使用缺省规则组。
本发明的第12方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.通过从规则服务器发送规则定义来配置规则解释器处的规则转换；ii.通过将规则的寿命范围包括在来自规则服务器的消息中，来设置该寿命范围；以及iii.通过从规则服务器发送新定义和再次使用消息，来修改规则解释器的行为，并再次使用。
本发明的第13方面是根据以上过程将WLAN与其它网络互通的方法，其用于WLAN互通方案中的实时状态报告，该方法还包括以下步骤：i.规则服务器指定应从规则解释器报告的信息和格式；ii.规则解释器从实际的WLAN特有状态信息形成采用由规则服务器设置的格式的信息；其中，用于规则解释器的信息允许数学运算、逻辑运算和操作命令执行要进行的数学和逻辑运算；并且，操作命令包括要进行的条件操作，要执行的操作的定时信息、操作的接纳控制和操作的重新执行。
本发明的第14方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.在WLAN中的网络状态和网络资源可用性改变的情况下，由规则解释器自动修改规则转换；以及ii.向规则服务器报告在规则解释器处所做的修改。
本发明的第15方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.从规则服务器配置WLAN中与单个终端有关的QoS提供；以及ii.从规则服务器配置WLAN中与一组终端有关的QoS提供。
本发明的第16方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.从规则服务器配置WLAN中与单个终端有关的流量发送和移动性信息；以及ii.从规则服务器配置WLAN中与一组终端有关的流量发送和移动性信息。
本发明的第17方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.根据WLAN特有要求，在规则引擎处进行本地计费；ii.根据规则解释器处的计费结果管理规则转换；iii.由规则服务器配置规则解释器处的计费报告格式；以及iv.在规则解释器处从WLAN特有统计量形成采用由规则服务器设置的格式的计费报告。
本发明的第18方面是根据以上过程将WLAN与其它网络互通的方法，还包括以下步骤：i.通过设置规则解释器处的本地计费标准来支持对预付费订购的实时计费；以及ii.通过设置规则解释器处的计费规则来支持批量计费。
本发明的第19方面是用于在WLAN互通中保护移动用户识别信息的装置，包括：i.用于利用不同加密等级的不同密钥对包含移动用户识别信息的消息执行分级加密的部件；ii.用于使用家乡域名来帮助将加密消息发送到正确网络的部件；以及iii.用于使用临时域特有标识符来进一步隐藏移动用户的实际识别信息的部件。
本发明的第20方面是用于根据以上结构保护移动用户识别信息的装置，还包括：i.用于使用不对称密码术方案、利用预期接收者的密钥来保护移动用户识别信息的部件；以及ii.用于使用质询消息-响应交换方案来相互认证移动终端和网络以便保护不受攻击的部件。
本发明的第21方面是用于根据以上结构保护移动用户识别信息的装置，还包括：i.用于在消息交换开始之前通过将预期接收者的不对称加密密钥存储在可由移动终端安全访问的存储设备中而与移动终端共享该密钥的部件；ii.用于通过在所答复的并利用当前密钥加密和保护的消息中包括新密钥来更新要使用的不对称加密密钥对的部件；以及iii.用于通过在域信息中嵌入信息来识别当前在用于识别信息保护的加密中使用的不对称加密密钥对的部件。
本发明的第22方面是保护移动用户识别信息的系统，其中，用于WLAN互通的消息序列能够在一个消息往返行程中通过接入点来相互认证使用WLAN的移动终端和其家乡网络，该消息序列包括：i.移动终端向接入点发送包括经加密的识别信息、相互认证信息、移动用户家乡域信息和其它必要信息的消息；ii.接入点通过使用移动用户家乡域信息，向移动终端的家乡网络中的移动用户的家乡域服务器发送包括经加密的移动用户识别信息、相互认证信息和其它必要信息的消息；iii.接入点从移动用户的家乡域服务器接收包括相互认证信息和其它必要信息的消息；以及iv.移动终端从接入点接收包括互相认证信息和由接入点转发的来自其它服务器的其它信息。
本发明的第23方面是根据以上结构保护移动用户识别信息的系统，其中，用于WLAN互通的消息序列还包括：i.移动用户的家乡域服务器向中央服务器发送包括相互认证信息和由接入点转发的来自移动终端的其它信息；以及ii.移动用户的家乡域服务器从中央服务器接收包括相互认证信息和要转发给移动终端的其它信息的消息。
本发明的第24方面是根据以上结构保护移动用户识别信息的系统，其中，将在用于WLAN互通的消息序列中使用的消息格式组包括：i.可由所有网络节点访问的专用于WLAN的移动用户标识符；ii.可由所有网络节点访问的移动用户的家乡域信息；iii.被分级加密且只能由预期接收者访问的移动用户的证书和识别信息；iv.被加密且只能由参与相互认证的团体访问的认证质询和响应；以及v.用于消息完整性保护的信息。
本发明的第25方面是根据以上结构保护移动用户识别信息的系统，其中，将用于WLAN互通的消息格式还包括：i.用来识别用于对预期接收者分级加密的密钥的信息；以及ii.产生用于识别信息保护的新密钥的信息。
本发明的第26方面是根据以上结构保护移动用户识别信息的系统，其能够在WLAN中共享用户的订购，该系统包括：i.一个或多个虚拟终端，所述虚拟终端能够访问用户的证书和订购信息，并作为来自互通网络的常规移动终端执行互通功能；ii.用于通过虚拟终端控制WLAN设备对互通网络的服务接入的装置，从而该虚拟终端被用作用于与其相关联的WLAN设备的网关，以接入由互通网络提供的服务。
本发明的第27方面是根据以上结构保护移动用户识别信息的系统，还包括：i.虚拟终端，可以通过该虚拟终端同时访问所述一个或多个用户的证书和订购信息；以及ii.用于在WLAN中同时共享来自互通网络的所述一个或多个用户定购的服务的装置。
本发明的第28方面是将WLAN与其它网络互通的系统，包括：i.WLAN中的规则引擎，其将执行规则组，并相应地控制WLAN中的资源分配；ii.与WLAN互通的网络中的规则数据库和规则服务器，所述网络将把规则组发送到规则解释器；以及iii.WLAN中的规则解释器，其解释来自规则服务器的规则，并将其转变为对规则引擎的WLAN特有动作指令。
本发明的第29方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于将规则本地存储在WLAN中的装置；ii.用于在规则服务器不可用或不能给出相关规则时由规则解释器使用缺省规则组的装置。
本发明的第30方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于通过从规则服务器发送规则定义来配置规则解释器处的规则转换的装置；ii.用于通过在来自规则服务器的消息中包括规则的寿命范围来设置该寿命范围的装置；以及iii.用于通过从规则服务器发送新定义和再次使用消息来修改规则解释器的行为并再次配置的装置。
本发明的第31方面是根据以上结构将WLAN与其它网络互通的系统，其用于WLAN互通方案中的实时状态报告，还包括：i.规则服务器，指定要从规则解释器报告的信息和格式；从实际WLAN特有状态信息形成采用由规则服务器设置的格式的信息的规则解释器；以及，能够执行包括数学、逻辑和接纳控制运算的命令的规则解释器，其形成由规则服务器设置的规则格式。
本发明的第32方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于在WLAN中网络状态和网络资源可用性改变的情况中由规则解释器自动修改规则转换的装置；以及ii.用于向规则服务器报告在规则解释器处所做的修改的装置。
本发明的第33方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于从规则服务器配置WLAN中与单个终端有关的QoS提供的装置；以及ii.用于从规则服务器配置WLAN中与一组用户有关的QoS提供的装置。
本发明的第34方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于从规则服务器配置WLAN中与单个终端有关的流量发送和移动性信息的装置；以及ii.用于从规则服务器配置WLAN中与一组用户有关的流量发送和移动性信息的装置。
本发明的第35方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于根据WLAN特有需要在规则引擎处进行本地计费的装置；ii.用于根据规则解释器处的计费结果管理规则转换的装置；iii.用于通过规则服务器配置规则解释器处的计费报告格式的装置；以及iv.用于在规则解释器处从WLAN特有统计量形成采用由规则服务器设置的格式的计费报告的装置。
本发明的第36方面是根据以上结构将WLAN与其它网络互通的系统，还包括：i.用于通过设置规则解释器处的本地计费标准来支持对预付费订购实时计费的装置；以及ii.用于通过设置规则解释器处的计费规则来支持批量计费的装置。
本发明提供了一种在用于WLAN互通的消息交换中保护移动用户识别信息的方式。当使用该方式时，可以将来自移动用户的用于接入控制的消息正确地发送到适当的实体，而不泄露用户的实际识别信息。本发明还提供了一种管理用于在识别信息保护中使用的不对称加密术的密钥信息的方法。利用所有这些内容，防止了消息交换受到攻击，特别是中间人攻击。
本发明还包括一种用于通过在WLAN中使用解释器来管理WLAN互通中的资源控制的方法。应用该方法之后，互通网络可以进行WLAN中的终端的接入控制，而无需具有WLAN的详细技术知识。它还允许网络协商传递信息的方式。此外，当使用该方法时，WLAN可被配置为进行某种本地计费处理，并仅向互通网络报告返回所希望的信息。这将节省宝贵的信号发送带宽。
本说明书基于2002年10月11日提交的日本专利申请第2002-299569号，其全部内容通过引用而清楚地合并于此。
工业应用性
本发明属于无线数据通信的领域。更具体地说，本发明涉及在无线LAN环境中给来自其它网络的移动用户提供服务。它可用于WLAN与公共无线网络例如3G网络、或者使用其它无线技术或处于另一管理域中的WLAN的互通。本发明用于控制移动用户对WLAN的资源的访问，具体的说是认证、授权和计费问题。其目标还在于解决互通中的QoS(服务质量)提供以及移动性支持的问题。

Claims (12)

1.一种用户识别信息保护方法，用于通过使用分别在需要每个字段的中继站或通信另一端的团体之间有效的加密方案，将通过至少一个中继站传送的消息的每个字段加密。
2.根据权利要求1的用户识别信息保护方法，包括以下步骤：
通过使用在通信另一端的团体之间有效的加密方案，将包含移动用户识别信息的消息的一部分加密；以及
通过使用在中继站之间有效的加密方案将所述消息的剩余部分加密。
3.根据权利要求1的用户识别信息保护方法，包括：
通过使用从移动用户的订购信息导出的加密方案将包含移动用户识别信息的消息的一部分加密的第一步骤；以及
通过使用在通信另一端的团体之间有效的加密方案将在第一步骤中被加密的消息进一步加密的第二步骤。
4.一种用户识别信息保护方法，包括以下步骤：
分别利用不同加密等级的密钥，对包含移动用户识别信息的消息的每一部分进行分级加密；
通过使用家乡域名将加密消息发送到正确的网络；以及
通过使用临时域特有标识符来进一步隐藏移动用户的实际识别信息。
5.根据权利要求4的用户识别信息保护方法，还包括以下步骤：
通过使用不对称密码术来保护具有预期接收者的密钥的移动用户识别信息；以及
通过使用用于移动终端和网络的相互认证的质询消息-响应交换方案，保护识别信息不受第三方攻击。
6.根据权利要求5的用户识别信息保护方法，还包括以下步骤：
在消息交换开始之前，与移动终端共享预期接收者的不对称加密密钥，并将该不对称加密密钥存储在可由移动终端安全访问的存储设备中；
通过将新的不对称加密密钥包括在利用当前不对称加密密钥加密的答复消息中，来更新不对称加密密钥对；以及
通过在域信息中嵌入信息，来识别当前在用于识别信息保护的加密中使用的不对称加密密钥对。
7.根据权利要求4的用户识别信息保护方法，其中，消息序列能够在一个消息往返行程中相互认证属于WLAN的移动终端和其家乡网络，其中，该方法包括以下步骤，即，通过消息序列：
移动终端向接入点发送加密的识别信息、相互认证信息、移动用户家乡域信息和其它必要信息；
接入点通过使用移动用户家乡域信息，向移动用户的家乡域服务器发送加密的移动用户识别信息、相互认证信息和其它必要信息；
接入点从移动用户的家乡域服务器接收相互认证信息和其它信息；以及
移动终端从接入点接收相互认证信息和由接入点转发的来自其它服务器的其它信息。
8.根据权利要求7的用户识别信息保护方法，包括以下步骤，即，通过消息序列：
移动用户的家乡域服务器向中央服务器发送包括相互认证信息和由接入点转发的来自其它移动终端的其它信息的消息；以及
移动用户的家乡域服务器从中央服务器接收包括相互认证信息和要转发给移动终端的其它信息的消息。
9.根据权利要求7的用户识别信息保护方法，其中，将在消息序列中使用的一组消息格式包括：
可由所有网络节点访问的、专用于WLAN的移动用户识别信息；
可由所有网络节点访问的移动用户的家乡域信息；
被分级加密且只能由预期接收者访问的移动用户的证书和识别信息；
被加密且只能由参与相互认证的团体访问的认证质询消息和响应；以及
用于消息完整性保护的信息。
10.根据权利要求9的用户识别信息保护方法，其中，所述消息格式还包括：
用于识别用来对预期接收者分级加密的密钥的信息；以及
用于产生用来保护识别信息的新密钥的信息。
11.根据权利要求7的用户识别信息保护方法，包括以下步骤：
配置一个或多个虚拟终端，所述虚拟终端能够访问用户的证书和订购信息，并作为来自互通网络的常规移动终端执行互通功能；
使用该虚拟终端作为用于与该虚拟终端相关联的WLAN设备的网关，来接入由互通网络提供的服务；以及
通过该虚拟终端控制WLAN设备对互通网络的服务接入。
12.根据权利要求11的用户识别信息保护方法，包括以下步骤：
由虚拟终端同时访问一个或多个用户的证书和订购信息；以及
在WLAN中共享所述一个或多个用户从互通网络订购的服务。
CNB2003801038383A 2002-10-11 2003-10-14 无线局域网互连中的识别信息保护方法 Expired - Fee Related CN100499538C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP299569/2002 2002-10-11
JP2002299569 2002-10-11

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN2009101310377A Division CN101541000B (zh) 2002-10-11 2003-10-14 用户识别信息保护方法、系统及移动终端和家乡域服务器

Publications (2)

Publication Number Publication Date
CN1714542A true CN1714542A (zh) 2005-12-28
CN100499538C CN100499538C (zh) 2009-06-10

Family

ID=32089344

Family Applications (2)

Application Number Title Priority Date Filing Date
CNB2003801038383A Expired - Fee Related CN100499538C (zh) 2002-10-11 2003-10-14 无线局域网互连中的识别信息保护方法
CN2009101310377A Expired - Fee Related CN101541000B (zh) 2002-10-11 2003-10-14 用户识别信息保护方法、系统及移动终端和家乡域服务器

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN2009101310377A Expired - Fee Related CN101541000B (zh) 2002-10-11 2003-10-14 用户识别信息保护方法、系统及移动终端和家乡域服务器

Country Status (6)

Country Link
US (2) US7594113B2 (zh)
EP (1) EP1538779B1 (zh)
JP (2) JP4619788B2 (zh)
CN (2) CN100499538C (zh)
AU (1) AU2003272988A1 (zh)
WO (1) WO2004034645A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104239758A (zh) * 2013-06-13 2014-12-24 阿里巴巴集团控股有限公司 一种人机识别方法及相应的人机识别系统
CN108012264A (zh) * 2016-10-28 2018-05-08 苹果公司 用于802.1x载体热点和Wi-Fi呼叫认证的基于经加密的IMSI的方案
CN110475131A (zh) * 2018-05-09 2019-11-19 视联动力信息技术股份有限公司 一种终端连接方法、服务器和终端
CN111434088A (zh) * 2018-01-08 2020-07-17 英国电讯有限公司 数据处理方法
US11553561B2 (en) 2016-10-28 2023-01-10 Apple Inc. Protection of the UE identity during 802.1x carrier hotspot and wi-fi calling authentication

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8219620B2 (en) * 2001-02-20 2012-07-10 Mcafee, Inc. Unwanted e-mail filtering system including voting feedback
CN100499538C (zh) * 2002-10-11 2009-06-10 松下电器产业株式会社 无线局域网互连中的识别信息保护方法
KR100735577B1 (ko) 2004-08-12 2007-07-04 삼성전자주식회사 무선 네트워크의 적응형 키검색장치 및 방법
GB2417399B (en) * 2004-08-12 2007-04-25 Samsung Electronics Co Ltd Reconfigurable key search engine
JP4689225B2 (ja) * 2004-10-15 2011-05-25 パナソニック株式会社 無線ネットワークシステム、無線端末収容装置及び通信装置
CN102572820B (zh) * 2004-11-02 2015-11-11 苹果公司 与正交频分复用一起使用的方法及其基站和无线终端
US7710986B2 (en) * 2005-01-05 2010-05-04 Meshnetworks, Inc. Multicast architecture for wireless mesh networks
US7907734B2 (en) 2005-03-04 2011-03-15 Panasonic Corporation Key distribution control apparatus, radio base station apparatus, and communication system
CN1838591B (zh) * 2005-03-21 2010-05-05 松下电器产业株式会社 用于无线网络的自动安全认证系统及方法
US20060230279A1 (en) * 2005-03-30 2006-10-12 Morris Robert P Methods, systems, and computer program products for establishing trusted access to a communication network
US20060230278A1 (en) * 2005-03-30 2006-10-12 Morris Robert P Methods,systems, and computer program products for determining a trust indication associated with access to a communication network
US7634584B2 (en) 2005-04-27 2009-12-15 Solarflare Communications, Inc. Packet validation in virtual network interface architecture
US20060265737A1 (en) * 2005-05-23 2006-11-23 Morris Robert P Methods, systems, and computer program products for providing trusted access to a communicaiton network based on location
US7970386B2 (en) * 2005-06-03 2011-06-28 Good Technology, Inc. System and method for monitoring and maintaining a wireless device
JP4375287B2 (ja) * 2005-06-22 2009-12-02 日本電気株式会社 無線通信認証システム
US8027304B2 (en) 2005-07-06 2011-09-27 Nokia Corporation Secure session keys context
US7706796B2 (en) 2005-09-01 2010-04-27 Qualcomm Incorporated User terminal-initiated hard handoff from a wireless local area network to a cellular network
US20070049274A1 (en) * 2005-09-01 2007-03-01 Eitan Yacobi Hard handoff from a wireless local area network to a cellular telephone network
US8001584B2 (en) 2005-09-30 2011-08-16 Intel Corporation Method for secure device discovery and introduction
US8170021B2 (en) * 2006-01-06 2012-05-01 Microsoft Corporation Selectively enabled quality of service policy
US8601160B1 (en) 2006-02-09 2013-12-03 Mcafee, Inc. System, method and computer program product for gathering information relating to electronic content utilizing a DNS server
FI121560B (fi) * 2006-11-20 2010-12-31 Teliasonera Ab Todentaminen matkaviestintäyhteistoimintajärjestelmässä
US20080118059A1 (en) * 2006-11-22 2008-05-22 Research In Motion Limited System and method for secure record protocol using shared knowledge of mobile user credentials
US7822835B2 (en) * 2007-02-01 2010-10-26 Microsoft Corporation Logically centralized physically distributed IP network-connected devices configuration
ES2768049T3 (es) 2009-01-13 2020-06-19 Microsoft Technology Licensing Llc Procedimientos y sistemas para asegurar y proteger repositorios y directorios
KR101405452B1 (ko) * 2010-10-13 2014-06-12 한국전자통신연구원 사용자 방향에 따른 네트워크 접속 단말, 네트워크 제공 에이전시 및 이를 이용한 네트워크 접속 방법
KR101252787B1 (ko) 2011-12-06 2013-04-09 이청종 다수의 중계 서버를 갖는 보안관리 시스템 및 보안관리 방법
EP2642777B1 (en) * 2012-03-20 2015-03-11 Giesecke & Devrient GmbH Methods and devices for OTA management of mobile stations
US9537663B2 (en) * 2012-06-20 2017-01-03 Alcatel Lucent Manipulation and restoration of authentication challenge parameters in network authentication procedures
US9398066B1 (en) * 2013-03-06 2016-07-19 Amazon Technologies, Inc. Server defenses against use of tainted cache
US9471533B1 (en) * 2013-03-06 2016-10-18 Amazon Technologies, Inc. Defenses against use of tainted cache
US9426124B2 (en) 2013-04-08 2016-08-23 Solarflare Communications, Inc. Locked down network interface
US10742604B2 (en) 2013-04-08 2020-08-11 Xilinx, Inc. Locked down network interface
US10027573B2 (en) * 2014-10-10 2018-07-17 At&T Intellectual Property I, L.P. Centralized radio access network virtualization mechanism
US9843928B2 (en) 2014-10-30 2017-12-12 Motorola Solutions, Inc. Method and apparatus for connecting a communication device to a deployable network without compromising authentication keys
EP3248360B1 (en) 2015-01-19 2020-05-06 Inauth, Inc. Systems and methods for trusted path secure communication
US9807117B2 (en) * 2015-03-17 2017-10-31 Solarflare Communications, Inc. System and apparatus for providing network security
US10791093B2 (en) * 2016-04-29 2020-09-29 Avago Technologies International Sales Pte. Limited Home network traffic isolation
NL2019735B1 (en) * 2017-10-16 2019-04-23 Abn Amro Bank N V Secure communication system and method for transmission of messages
CN110536291A (zh) * 2019-01-18 2019-12-03 中兴通讯股份有限公司 一种认证方法、装置和系统
JP7273523B2 (ja) * 2019-01-25 2023-05-15 株式会社東芝 通信制御装置および通信制御システム
US11716622B2 (en) 2021-07-20 2023-08-01 Bank Of America Corporation System for identification of secure wireless network access points using cryptographic pre-shared keys

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0522282A (ja) * 1991-07-10 1993-01-29 Hitachi Ltd エンドシステム間の通信デ−タ暗号方式
JPH07225550A (ja) * 1994-02-10 1995-08-22 Hitachi Software Eng Co Ltd データ多段階参照方法およびデータ多段階参照システム
JPH10126406A (ja) * 1996-10-23 1998-05-15 Toyo Commun Equip Co Ltd ネットワークにおけるデータの暗号方式
JPH10276185A (ja) * 1997-03-31 1998-10-13 Hitachi Software Eng Co Ltd Ｉｄベース認証・鍵配送方法
US6128735A (en) * 1997-11-25 2000-10-03 Motorola, Inc. Method and system for securely transferring a data set in a data communications system
JPH11203222A (ja) * 1998-01-19 1999-07-30 Mitsubishi Electric Corp 暗号通信方法
CA2276872A1 (en) 1998-08-28 2000-02-28 Lucent Technologies Inc. Method for protecting mobile anonymity
US6178506B1 (en) * 1998-10-23 2001-01-23 Qualcomm Inc. Wireless subscription portability
JP2000215170A (ja) * 1999-01-26 2000-08-04 Hitachi Ltd オブジェクトアクセス権認証装置
JP3668047B2 (ja) * 1999-05-20 2005-07-06 株式会社東芝 移動通信方法、移動計算機装置及び暗号化通信装置
AU7854100A (en) 1999-10-05 2001-05-10 Nortel Networks Limited Key exchange for network architecture
JP3570311B2 (ja) 1999-10-07 2004-09-29 日本電気株式会社 無線ｌａｎの暗号鍵更新システム及びその更新方法
US6785823B1 (en) * 1999-12-03 2004-08-31 Qualcomm Incorporated Method and apparatus for authentication in a wireless telecommunications system
US7028186B1 (en) * 2000-02-11 2006-04-11 Nokia, Inc. Key management methods for wireless LANs
US7076651B2 (en) * 2000-05-01 2006-07-11 Safenet, Inc. System and method for highly secure data communications
JP4622087B2 (ja) * 2000-11-09 2011-02-02 ソニー株式会社 情報処理装置、および情報処理方法、並びにプログラム記憶媒体
JP2002185451A (ja) * 2000-12-19 2002-06-28 Hitachi Ltd リモートアクセスシステム、交換機および加入者端末
JP4078802B2 (ja) * 2000-12-26 2008-04-23 ソニー株式会社 情報処理システム、情報処理方法、情報処理装置、および情報記録媒体、並びにプログラム記録媒体
US7088822B2 (en) * 2001-02-13 2006-08-08 Sony Corporation Information playback device, information recording device, information playback method, information recording method, and information recording medium and program storage medium used therewith
WO2002080446A1 (fr) * 2001-03-29 2002-10-10 Sony Corporation Appareil de traitement d'information
JP2002299569A (ja) 2001-03-29 2002-10-11 Sanyo Electric Co Ltd スイッチング用ｍｏｓトランジスタの保護回路
AU2002343424A1 (en) * 2001-09-28 2003-04-14 Bluesocket, Inc. Method and system for managing data traffic in wireless networks
CN100499538C (zh) * 2002-10-11 2009-06-10 松下电器产业株式会社 无线局域网互连中的识别信息保护方法
JP2006011989A (ja) * 2004-06-28 2006-01-12 Ntt Docomo Inc 認証方法、端末装置、中継装置及び認証サーバ
US8996423B2 (en) * 2005-04-19 2015-03-31 Microsoft Corporation Authentication for a commercial transaction using a mobile module
DE102006008745A1 (de) * 2005-11-04 2007-05-10 Siemens Ag Verfahren und Server zum Bereitstellen eines Mobilitätsschlüssels
US8042154B2 (en) * 2005-11-07 2011-10-18 Cisco Technology, Inc. Allowing network access for proxy mobile IP cases for nodes that do not support CHAP authentication
US20070269041A1 (en) * 2005-12-22 2007-11-22 Rajat Bhatnagar Method and apparatus for secure messaging
US8064597B2 (en) * 2007-04-20 2011-11-22 Telefonaktiebolaget Lm Ericsson (Publ) Method and system for mobile device credentialing

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104239758A (zh) * 2013-06-13 2014-12-24 阿里巴巴集团控股有限公司 一种人机识别方法及相应的人机识别系统
CN104239758B (zh) * 2013-06-13 2018-04-27 阿里巴巴集团控股有限公司 一种人机识别方法及相应的人机识别系统
US10356114B2 (en) 2013-06-13 2019-07-16 Alibaba Group Holding Limited Method and system of distinguishing between human and machine
CN108012264A (zh) * 2016-10-28 2018-05-08 苹果公司 用于802.1x载体热点和Wi-Fi呼叫认证的基于经加密的IMSI的方案
US10833876B2 (en) 2016-10-28 2020-11-10 Apple Inc. Protection of the UE identity during 802.1x carrier hotspot and Wi-Fi calling authentication
US11553561B2 (en) 2016-10-28 2023-01-10 Apple Inc. Protection of the UE identity during 802.1x carrier hotspot and wi-fi calling authentication
CN111434088A (zh) * 2018-01-08 2020-07-17 英国电讯有限公司 数据处理方法
US11336623B2 (en) 2018-01-08 2022-05-17 British Telecommunications Public Limited Company Data processing method
CN110475131A (zh) * 2018-05-09 2019-11-19 视联动力信息技术股份有限公司 一种终端连接方法、服务器和终端
CN110475131B (zh) * 2018-05-09 2022-03-08 视联动力信息技术股份有限公司 一种终端连接方法、服务器和终端

Also Published As

Publication number Publication date
AU2003272988A1 (en) 2004-05-04
EP1538779A1 (en) 2005-06-08
CN100499538C (zh) 2009-06-10
CN101541000A (zh) 2009-09-23
WO2004034645A1 (ja) 2004-04-22
US20060101273A1 (en) 2006-05-11
JP4999884B2 (ja) 2012-08-15
JP4619788B2 (ja) 2011-01-26
EP1538779A4 (en) 2011-06-29
EP1538779B1 (en) 2020-02-19
US20090319774A1 (en) 2009-12-24
CN101541000B (zh) 2012-04-18
JP2009246988A (ja) 2009-10-22
US7945777B2 (en) 2011-05-17
JPWO2004034645A1 (ja) 2006-02-09
US7594113B2 (en) 2009-09-22

Similar Documents

Publication Publication Date Title
CN1714542A (zh) 无线局域网互连中的识别信息保护方法
CN1275418C (zh) 分组数据网中的验证
CN1849840A (zh) 安全域内和域间切换
CN1852418A (zh) 移动电视播出控制系统和播放网络及播出方法
CN100350775C (zh) 信息分发系统及其方法、终端、服务器、及终端连接方法
CN1525705A (zh) 对802.11网络的原文wi-fi架构
CN1836417A (zh) 支持移动ip第6版业务的方法、系统和设备
CN101053233A (zh) 用于控制通信网络中移动性的方法和系统，及其相关网络和计算机程序产品
CN1751533A (zh) 在移动无线电系统中形成和分配加密密钥的方法和移动无线电系统
CN1689367A (zh) 安全装置的安全和保密性增强
CN1496063A (zh) 互联网协议安全性协议设置服务器设备和处理设备
CN1701573A (zh) 远程访问虚拟专用网络中介方法和中介装置
CN1539106A (zh) 互联网协议的模块化鉴权和授权方案
CN1969501A (zh) 安全地产生共享密钥的系统和方法
CN1906883A (zh) 实现基于无状态服务器的预共享私密
CN1503595A (zh) 使用压缩重关联交换辅助快速越区切换的802.11
CN1875598A (zh) 用于异构ip网络认证的装置和方法
CN1496628A (zh) 内容分配系统
CN1762129A (zh) Wlan相互连接中的服务和地址管理系统及方法
CN1692319A (zh) 用于移动通信系统内安全数据传输的方法和装置
CN1836419A (zh) 在cdma系统中支持移动ip第6版业务的方法、系统和设备
CN1833403A (zh) 通信系统、通信装置、通信方法及用于实现这些的通信程序
CN1600011A (zh) 包含安全性关联处理器的虚拟专用网络机制
CN1759564A (zh) 访问控制处理方法
CN1681238A (zh) 用于加密通信的密钥分配方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: MATSUSHITA ELECTRIC (AMERICA) INTELLECTUAL PROPERT

Free format text: FORMER OWNER: MATSUSHITA ELECTRIC INDUSTRIAL CO, LTD.

Effective date: 20140716

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20140716

Address after: California, USA

Patentee after: PANASONIC INTELLECTUAL PROPERTY CORPORATION OF AMERICA

Address before: Osaka Japan

Patentee before: Matsushita Electric Industrial Co.,Ltd.

TR01 Transfer of patent right

Effective date of registration: 20210427

Address after: California, USA

Patentee after: APPLE Inc.

Address before: California, USA

Patentee before: PANASONIC INTELLECTUAL PROPERTY CORPORATION OF AMERICA

TR01 Transfer of patent right
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20090610

CF01 Termination of patent right due to non-payment of annual fee