CN1764107B - 在建立对等安全上下文时验证移动网络节点的方法 - Google Patents

在建立对等安全上下文时验证移动网络节点的方法 Download PDF

Info

Publication number
CN1764107B
CN1764107B CN2005101143130A CN200510114313A CN1764107B CN 1764107 B CN1764107 B CN 1764107B CN 2005101143130 A CN2005101143130 A CN 2005101143130A CN 200510114313 A CN200510114313 A CN 200510114313A CN 1764107 B CN1764107 B CN 1764107B
Authority
CN
China
Prior art keywords
network node
mobile network
reciprocity
peer
authorization information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN2005101143130A
Other languages
English (en)
Other versions
CN1764107A (zh
Inventor
C·古斯塔夫
V·K·乔伊
F·加里亚杜尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alcatel CIT SA
Alcatel Lucent SAS
Alcatel Lucent NV
Original Assignee
Alcatel NV
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alcatel NV filed Critical Alcatel NV
Publication of CN1764107A publication Critical patent/CN1764107A/zh
Application granted granted Critical
Publication of CN1764107B publication Critical patent/CN1764107B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/14—Direct-mode setup
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

描述了一种用于验证对等移动网络节点以在ad-hoc网络中建立安全对等通信上下文的方法。所述方法包括接入无线基础设施网络实体以获得关于对等移动网络节点的加密信息从而建立与所述节点的安全对等通信。在接收关于对等移动网络节点的加密信息之后，该方法还包括利用询问短语来询问对等网络节点、接收响应以及基于接收的响应的有效性来建立到对等移动网络节点的安全通信上下文。优点在于，通过支持无线基础设施网络安全结构，在提供ad-hoc网络的情况下解决遇到的安全威胁，所述无线基础设施网络安全结构示例性地部署在UMTS/GSM基础设施网络中，这在ad-hoc网络中与对等移动网络节点进行普遍通信时，通过现有UMTS和/或GSM验证基础设施实现了无缝移动网络节点验证。

Description

在建立对等安全上下文时验证移动网络节点的方法
技术领域
本发明涉及通过ad-hoc(特定)通信网络所提供的无线通信，并且特别涉及在移动通信网络节点之间建立安全对等上下文(secure peer-to-peercontext)时验证移动网络节点的方法。
背景技术
通过基础设施网络和ad-hoc网络提供无线通信，在基础设施网络中无线设备连接到接入点/基站，在ad-hoc网络中无线设备在对等通信上下文中相互连接。
在无线基础设施网络中，每个移动网络节点与归属(home)环境相关联。在设备注册和激活过程中执行所述关联。归属环境通过追踪至少注册的网络节点指定的验证信息来围绕服务提供商的基础设施。虽然对于本发明不太重要，然而归属环境也可以追踪关于注册的网络节点的统计资料和计费，该计费是针对提供给被注册节点的付费使用的服务的。
在使用中，移动网络节点位于由至少一个服务网络所覆盖的地理区域。每个服务网络包括由相应的网络提供商实体所管理的无线通信网络基础设施。操作服务网络的网络提供商实体可能不同于移动网络节点所注册的服务提供商实体。
存在多种无线移动通信技术，其使得无线移动节点能够连接到无线基础设施服务网络的接入点/基站，从而与其它通信网络节点建立通信上下文；与接近的其它无线网络节点建立通信上下文与本说明书相关。无线移动节点典型地遵循多个无线移动通信技术。多个服务网络在服务交叠的覆盖区域内共存，每个服务网络都遵循无线移动通信技术的不同组。通过单个本地服务网络或通过一组协作的服务网络，在区域内提供服务给移动网络节点，所述网络包括提供通信服务的有线网络；发送统计资料和计费给各个归属环境。
图1提供了在无线基础设施网络100中所执行的现有技术验证的高层视图(high level view)，所述无线基础设施网络遵循全球移动通信系统(GSM)或通用移动电信系统(UMTS)无线通信协议，在此引入其规范作为参考。
响应于无线移动节点102试图连接104到示例性地显示为接入点/基站服务网络代理106的基础设施，服务网络代理106从与无线移动节点102相关联的归属环境110检索108足够的信息，以验证移动节点102。检索的信息典型地被封装起来，并根据所使用的技术具有三元组(triplet)、五元组(quintuplet)等验证向量结构。此后，为了验证移动节点102而从归属环境110所检索的信息将通常称作加密信息。
服务网络代理106基于从归属环境110所获得108的信息，向移动节点102提出询问(challenge)112。对询问112的成功响应114导致了移动节点102的成功验证。服务无线网络100提供通信服务给移动节点102，服务的提供可以包括通过服务网络代理106所提供的服务，并且可以通知116归属环境110关于提供给移动网络节点102的服务。
在无线移动通信领域，不同无线通信技术的汇聚最近已经由标准化和工业化团体进行推广。在第三代伙伴项目(3GPP)中、在3GPP/WLAN互通(interworking)组的领域中正在进行的工作是当前试图汇聚的例子，所述工作用于产生用于下一代无线设备的标准。所述汇聚在被达到时将导致示例性地遵循无线通信标准的多标准无线设备的增加的可用性，所述标准例如是(但不限于)：UMTS、无线局域网(WLAN)、GSM、码分多址(CDMA)、蓝牙等，其各自的规范在此引入作为参考。
到此为止，无线技术汇聚的尝试包括用于无线局域网(WLAN)互通的3GPP TS 23.234规范，所述规范公布在下面的因特网址上：http：//www.3gpp.org/ftp/Specs/html-info/23234.htm，在此将其引入作为参考，其描述了一种允许从WLAN接入来接入3G服务和功能性的系统。类似的成果包括用于WLAN和WiMax互通的3GPP2等等。
在下列因特网发表中描述了无线技术汇聚的其它尝试：http：//www.ietf.org/internet-drafts/draft-haverinen-pppext-eap-sim-12.txt，和http：//www.ietf.org/internet-drafts/draft-arkko-pppext-eap-aka-11.txt，在此将其引入作为参考，其分别涉及WLAN/GSM和WLAN/UMTS汇聚和利用3G或GSM验证机制来连接WLAN的方式，所述机制例如是EAPSIM验证和EAP AKA验证。
无线ad-hoc通信网络固有地受到网络层安全的威胁，例如偷听、假冒移动节点和/或对基础通信流的未授权的修改。
尽管当前现有技术尝试提供了一定的优势，但是到此为止，所述尝试仅针对无线基础设施网络技术的汇聚提供了解决方案，需要在支持ad-hoc通信网络的情况下解决上述安全问题。
发明内容
根据本发明的一个方面，提供了一种在支持通过ad-hoc网络建立安全对等通信上下文的情况下访问关于对等移动网络节点的加密信息的方法。所述方法的步骤包括：获得对等移动网络节点的移动网络节点标识；利用无线基础设施服务网络进行验证；基于所获得的对等移动网络节点标识来请求关于对等移动网络节点的加密信息；以及接收所述加密信息。
根据本发明的另一个方面，提供了一种在ad-hoc网络中在一对移动网络节点之间建立安全对等通信上下文的方法。根据所述方法，每个移动网络节点检索信息以验证对等移动网络节点；所述移动网络节点基于验证信息相互询问；以及响应于成功的交叉验证(cross-authentication)，在使用ad-hoc网络技术的无线网络节点之间建立安全的对等上下文。
根据本发明的又一个方面，提供了一种遵循第一无线通信协议、用于连接到ad-hoc网络中的对等移动网络节点的移动网络节点。所述移动网络节点包括：对等移动网络节点标识符检索装置，其用于获得对等移动网络节点的标识以建立与该节点的安全对等通信会话；验证信息检索装置，其用于检索关于所述对等移动网络的验证信息；验证装置，其用于验证所述对等移动网络节点；以及加密装置，其用于在提供对等移动网络节点之间的安全对等通信上下文的情况下，对于利用所述对等移动网络节点在ad-hoc网络上下文中所交换的内容进行加密。
根据本发明的另一个方面，提供了一种遵循无线通信协议、用于连接到ad-hoc网络中的对等移动网络节点的移动网络节点。所述移动网络节点包括：验证信息高速缓存，其用于高速缓存关于多个移动网络节点的验证信息；以及验证信息服务装置，其用于利用验证信息来服务于多个移动网络节点中的一对移动网络节点，以在所述移动网络节点对之间建立至少一个交叉验证的安全对等通信上下文。
优点在于，通过支持(leveraging)示例性地部署在UMTS/GSM基础设施网络中的无线基础设施网络安全结构，解决在提供ad-hoc网络时所遇到的安全威胁，这在与ad-hoc网络中的对等移动网络节点普遍通信时，通过现有UMTS和/或GSM验证基础设施实现了无缝移动网络节点验证。
附图说明
参考附图，通过下面对示例性实施例的详细描述，本发明的特征和优点将变得更为明显，其中：
图1是示出互连的无线网络单元和验证过程示意图，所述验证过程使无线移动网络节点能够接入通过无线基础设施通信网络所提供的通信服务；
图2是示出了根据本发明的示例性实施例的互连无线网络单元的高层(high level)示意图，所述单元协同工作以使加密信息可用于无线网络节点，这实现了安全对等通信上下文的建立；
图3是消息交换图，示出了根据本发明的示例性实施例的示例性GSM实现而执行的交叉验证步骤；
图4是消息交换图，示出了根据本发明的示例性实施例的示例性UMTS实现而执行的交叉验证步骤；
图5是高层示意图，示出了根据本发明的示例性实施例的设备的示例性混合部署，其实现了安全的对等通信上下文的建立；以及
图6是示出了根据本发明的示例性实施例的移动网络节点的示意图，所述移动网络节点基于高速缓存的加密信息在其之间建立安全的通信上下文。
应当指出，附图中相同的标记表示相同的部分。
具体实施方式
基础设施无线通信网络的覆盖不是普遍存在的，并且成本效益分析显示，在较难达到的区域中提供持续稳定的覆盖不是添加设备部署的正当理由。然而，使用情景是普遍存在的，其可能通过移动网络节点和服务的增加的特征数量来产生，所述服务是通过使用移动网络节点来提供的，其中，需要接近的一对或一组移动网络节点之间的安全无线通信。Ad-hoc网络更适用于所述使用情景，并且也更加期望该Ad-hoc网络。这种典型的使用情景包括会议室中的会议，在所述会议室中，移动网络节点彼此之间比与无线网络基础设施之间更为接近，所述无线网络基础设施例如是接入点和/或基站。
由于ad-hoc网络的不稳定性，在参与的移动网络节点之间很难建立坚固的安全上下文。考虑到偷听、假冒节点等的可能性，验证和消息级别保护将受益于使用加密技术。加密技术的使用需要部署并且访问密钥基础设施、分配例如密钥的加密内容并在异构网络单元之间共享加密信息。由于需要共享加密信息，已经发现很难在ad-hoc网络中部署并管理安全特征。
根据本发明的示例性实施例，提出了无线基础设施和ad-hoc通信技术之间的汇聚程度，即利用当前应用于现有无线基础设施网络(GSM、UMTS等)中的验证信息检索技术来实现安全的无线对等上下文的建立，所述安全无线对等上下文示例性地在WLAN ad-hoc网络中或蓝牙ad-hoc网络中被提供。本发明不限于用于ad-hoc网络的示例性WLAN或蓝牙技术的使用，本发明同样应用于其它ad-hoc网络技术，例如(但不限于)IEEE 802.16，在此引入其规范作为参考。
根据本发明的示例性实施例，支持现有示例性无线GSM或UMTS基础设施和各个验证机制的使用，以实现安全的移动对等通信。特别地，提供一种方法用于使用通过接入无线基础设施网络所获得的加密信息，从而在与对等移动网络节点建立无线对等网络时验证该对等移动网络节点。利用用于请求关于对等移动网络节点的加密信息的装置来提供移动网络节点。利用用于从移动网络节点接收对关于对等移动网络节点的加密信息的请求的装置，以及用于提供所请求的加密信息给请求的移动网络节点的装置，来提供无线基础设施网络实体。
图2提供了示例性互连通信网络单元和示例性过程步骤的高层视图，在所述过程步骤中，在支持在一对无线通信节点之间建立直接安全对等通信上下文的情况下，提供加密信息给这对无线移动网络节点。
根据典型现有技术的利用服务网络200的验证112/114，假设移动网络节点202-1和202-2注册到相同的归属环境210，移动网络节点202-1和202-2启动安全对等通信上下文的建立，所述移动网络节点表示希望典型地通过建立并参与对等无线网络的邀请201来相互通信，移动网络节点202还可以广告其与对等无线网络建立安全对等通信上下文的可用性。在不限制本发明的情况下，邀请/广告201的目的是交换移动网络节点标识符。例如，通过从列表中检索的移动网络节点标识符也可以实现获得对等移动网络节点的移动网络节点标识符。
为了在建立安全通信上下文时相互验证，移动节点202-1和移动节点202-2执行以下示例性步骤：
-移动网络节点202-1可以通过服务网络代理206(典型地与接入点或基站相关联)来请求204所需的加密信息，以验证移动网络节点202-2。从移动网络节点202-2的归属环境210来获得208验证移动网络节点202-2所必需的加密信息，并且将所述加密信息转发208给移动网络节点202-1；
-并行地，移动网络节点202-2可以通过服务网络代理206来请求204验证移动网络节点202-1所需的加密信息。从移动网络节点202-1的归属环境210来获得208验证移动网络节点202-1所必需的加密信息，并将所述加密信息转发208给移动网络节点202-2；
-当每个移动网络节点202-1和202-2接收了关于另一个移动网络节点的必需的加密信息时，每个移动网络节点202-1和202-2基于所提供的加密信息来邀请212所述另一个移动网络节点；并且
-成功地响应于214询问212导致了成功的全双工交叉验证和一对移动网络节点202-1和202-2之间的全双工安全上下文的建立。
本领域技术人员应当认识到，每个移动网络节点202需要利用服务网络200仅验证112/114一次，这使得被验证的移动网络节点202能够请求204关于多个对等移动网络节点202的加密信息。两个移动网络节点202与归属环境210的普通关联假设了在提供加密信息给移动网络节点202时的信任程度，同时，参考图2，服务网络代理206在转发请求204给归属环境210时担保移动通信网络节点202。如图下面将参考图5所示出的那样，可能需要关于异构部署来管理所述信任程度。
根据现有技术中已知的方法，密码、完整性密钥和其它密钥由各个移动网络节点202-1和202-2根据加密信息而被导出，接收所述加密信息以用于保护移动网络节点202-1和202-2之间的通信，在用于UMTS无线基础设施网络的“3G Security；Security Architecture”之下的3GPP TS 33.102规范中以及在用于GSM无线基础设施网络的“Security Related NetworkFunctions”之下的3GPP TS 03.20规范中描述了所述现有技术中已知的方法，“3G Security；Security Architecture”发表在下面的因特网址上：http：//www.3gpp.org/ftp/Specs/html-info/33102.htm，“Security RelatedNetwork Functions”发表在下面的因特网址上：http：//www.3gpp.org/ftp/Specs/html-info/0320.htm。
图3示出了采用GSM安全技术的本发明的示例性实施例的示例性实现细节。消息传递(passing)序列建立了安全的对等上下文：
-移动网络节点202-1需要接入通过/从移动网络节点202-2所提供的服务；
-通过传送移动网络节点202-1的当前用户的标识IMSI1(根据GSM部署范例，通过用户指定的、连接到手持设备以实现其使用的智能卡来定义该手持设备)，移动网络节点202-1发送302初始问候报文(hellomessage)(201)，移动网络节点202-1可以可选地发送归属验证服务器(AuC/HLR)210的地址或身份，所述归属验证服务器服务于移动网络节点202-1(关于可以在智能卡上指定的归属环境的信息)，或者，AuC/HLR210的地址或身份可以通过移动网络节点202-2或移动网络节点202-2已经参与的网络中的某些其它网络单元来导出；
-移动网络节点202-2从归属验证服务器210请求304并检索306证书三元组(credential triplet)(加密信息)；
-移动网络节点202-2利用检索的随机询问短语(random challengephrase)RAD1(212)来询问308移动网络节点202-1，连同所述短语一起提供与移动网络节点202-2相关联的用户身份IMSI2；
-为了请求310并检索312移动网络节点202-2的关联的证书三元组(加密信息)，移动网络节点202-1联系移动网络节点202-2的归属验证服务器，根据该例子，所述服务器是同一归属验证服务器210；
-移动网络节点202-2使用安全地存储在GSM移动网络节点202-1的智能卡中的RAND1和密钥k1，来计算314SRES1响应(214)；
-移动网络节点202-1连同先前检索312的随机邀请短语RAND2(212)一起，将所计算314的结果SRES1(214)发送316给移动网络节点202-2；
-移动网络节点202-2将SRES1和在步骤306所获得的期望的结果XRES1进行比较318，其必须相等。如果不相等，则验证过程失败；
-移动网络节点202-2使用安全地存储在GSM移动网络节点202-2的智能卡中的RAND2和密钥k2，来计算320SRES2响应(214)；
-移动网络节点202-2连同成功验证移动网络节点202-1的确认一起，将所计算314的响应SRES2(214)发送322给移动网络节点202-1；
-移动网络节点202-1将SRES2和在步骤312所获得的期望的结果XRES2进行比较324，其必须相等。如果不相等，则验证过程失败；以及
-移动网络节点202-1发送326成功验证移动网络节点202-2的确认给移动网络节点202-2。
一旦成功地相互验证，就接着进行全双工安全信道创建。在不限制本发明的情况下，密钥CK1和CK2可以被用于双向链路，或者CK1用于一个方向而CK2用于反方向。可以设想，可以对密钥CK1和密钥CK2进行XOR，并且结果可以被用作新的密钥，可选地，密钥CK1和CK2的任何其它组合可以被用来导出新的密钥。
为了简短起见，图3中没有示出利用服务网络代理206(接入点/基站)来验证移动网络节点202-1和202-2的方法步骤112/114。验证序列可以关于每个移动网络节点202、通过加密信息请求304和310而被触发，对于多个后续的加密信息请求304/310，利用服务网络代理206的验证保持有效。
图4示出了利用UMTS验证和密钥协议(AKA)安全机制在两个UMTS移动网络节点202-1和202-2之间建立安全通信上下文的示例性步骤：
-移动网络节点202-1请求接入通过/从移动网络节点202-2来提供的服务；
-移动网络节点202-1连同初始问候报文(201)一起发送402与其关联的用户身份IMSI1。移动网络节点202-1可以可选地发送(402)移动网络节点202-1所注册的HSS(HE/Radius/Diameter)210-1(归属环境)的地址或身份，或者可以利用IMSI1身份由移动网络节点202-2导出HSS/AS/HE 210-1的地址/身份。可选地，可以采用与移动网络节点202-2相关联的另一个网络单元，来导出移动网络节点202-1所注册的验证服务器AS1(归属环境设备)。
-移动网络节点202-2从HSS/Diameter/验证服务器210请求404并检索406对应于移动网络节点202-1的加密信息，所述加密信息是以验证五元组(RAND1、XRES1...)的形式的；
-移动网络节点202-1利用所述五元组中所提供的检索406的随机短语RAND1(212)，询问408移动网络节点202-1，并且还发送与移动网络节点202-2相关联的客户身份IMSI2；
-一旦接收408了询问短语RAND1，移动网络节点202-1就利用作为UMTS-AKA f2算法的输入的共享密钥k1(存储在SIM中)和RAND1，来计算410对于询问的响应SRES1(214)。移动网络节点202-1还可以利用作为UMTS-AKA算法f3和f4的输入的RAND1和k1，导出密钥和完整性密钥。在3GPP TS 35.205和3GPP TS 35.206中描述了算法f2、f3和f4，3GPP TS 35.205和3GPP TS 35.206被发表在下面的因特网址上：http：//www.3gpp.org/ftp/Specs/html-info/35-series.htm，在此引入其规范作为参考；
-接收408移动网络节点202-2的IMSI2标识符之后，移动网络节点202-1从移动网络节点202-2所注册的移动用户验证服务器(HSS/Diameter)210-2，请求412关于移动网络节点202-2的加密信息；
-验证服务器210-2以验证五元组(RAND1、XRES1...)的形式为移动网络节点202-1提供414加密信息；
-移动网络节点202-1将所计算的410响应SRES1(214)发送416给移动网络节点202-2，并且还利用从验证服务器210-2检索的RAND2来询问(214)移动网络节点202-2；
-移动网络节点202-2将接收的(416)响应SRES1(214)和先前从验证服务器210-1所获得的期望的结果XRES1进行比较418，其必须相等。如果不相等，则验证过程失败。
-如果成功地验证了移动网络节点202-1，则移动网络节点202-2利用RAND2和密钥k2来计算420响应SRES2(214)；
-移动网络节点202-2连同成功验证移动网络节点202-1的指示一起，将SRES2发送422给MN1；
-移动网络节点202-1将所检索414的XRES2和所接收422的SRES2进行比较424，以验证移动网络节点202-2；以及
-移动网络节点202-1发送426成功验证移动网络节点202-2的指示，并且接着进行全双工安全通信上下文建立。
相同的密钥可以被用于双向链路，或CK1可以被用于一个方向而CK2被用于反方向。可以以类似的方式使用完整性密钥。
当每个移动网络节点202-1和202-2从对等移动网络节点相关联的归属环境210请求404/412加密信息时，并且如图4所示，作为一个请求的移动网络节点202没有注册的归属环境210，可以通过联系请求的移动网络节点的归属环境210来证实220请求404/412。
为了简短起见，图4中没有示出利用服务网络代理206(接入点/基站)来验证移动网络节点202-1和202-2的方法步骤112/114。验证序列可以关于每个移动网络节点202、通过加密信息请求404和412来被触发，其中对于多个后续的加密信息请求404/412，利用服务网络代理206的验证保持有效。
根据图5中示出的本发明的另一个实现，可以关于移动网络节点202的异构组来采用混合的验证技术。例如，移动网络节点202-1支持UMTS和蓝牙，而移动网络节点202-2支持GSM和蓝牙。每个移动网络节点接入相应的服务网络代理206(与服务网络200的接入点/基站相关联)，其中GSM和UMTS网络200提供基础设施用来提供必需的加密信息。在接收了加密信息之后，移动网络节点202在彼此之间利用蓝牙进行通信时相互询问212。
为了更加确定，关于图5中所描述的使用情景，假设一旦移动网络节点202利用相应的服务网络200进行验证112/114，验证就针对从对等HE210可用的加密信息提供“无限制访问”。实际上，需要控制加密信息的跨域访问。根据示例性实现，从不同归属环境210请求(204)加密信息的移动网络节点202的归属环境210，被要求担保请求的移动网络节点210的真实性。在不限制本发明的情况下，通过两个归属环境210之间的查询/响应交换220来典型地获得所述担保。
根据本发明的示例性实施例，针对至少一对移动网络节点202提供安全上下文，以在ad-hoc网络中建立一对移动网络节点202之间的对等连通性，而仅需要有限的持续时间来接入无线网络基础设施以获得加密信息而不危及安全性；通过现有方法来保护接入无线网络基础设施的有限持续时间。
应当理解，加密信息请求204和加密信息提供208步骤不需要立即后随询问212/响应214交换。例如，每个移动网络节点202-1和202-2可能在基础设施网络200的覆盖区域内，请求204并接收208关于另一个移动网络节点的加密信息，并且在基础设施网络200的覆盖区域外，稍后选择性地执行询问212/响应214交换。设想移动网络节点202直接从归属环境210请求加密信息的实现，还可以设想这样的实现：无论是在服务网络的覆盖区域之内或之外，移动网络节点202高速缓存加密信息用于以后需要时使用。图6中示出的本发明的示例性实施例的另一个示例性实现，包括为提供归属环境210功能性而高速缓存加密信息的移动网络节点203。示例性使用场景包括在任何无线基础设施网络的覆盖区域之外的周末静养时的会议，并且假设静养的时间小于加密信息的寿命。移动网络节点20检索208关于期望在静养时出现的移动网络节点202的加密信息；并且作为漂移AuC/HSS 210而操作的移动网络节点203，提供对于可到达的移动网络节点202的加密信息的访问。根据所述使用情景，AuC 210不是基于基础设施的网络的物理实体部分，而是服务。每个移动网络节点202基于使用需要来从作为漂移AuC 210而操作的移动网络节点203检索208加密信息。
为了接入漂移AuC 210，需要利用移动网络节点203的交叉验证。根据本发明的示例性实施例，漂移AuC 210具有关于每个被期望参与ad-hoc网络的移动网络节点202的足够的加密信息、在足够长的时间内有效的加密信息，从而在提供针对关于对等移动网络节点202的加密信息的访问时验证112/114每个移动网络节点202。因此，移动网络节点203/漂移AuC210，一旦从关于移动网络节点202-2的移动网络节点202-1接收了用于加密信息的请求204，就通过中止移动网络节点202-1的验证112/114来暂停提供加密信息208。用于访问加密信息的每个移动网络节点202的验证包括发送询问112给移动网络节点202以请求访问加密信息，并从该节点接收响应114。仅需要执行一次验证112/114，并且所述验证将针对多个加密信息请求204保持有效。
使用无线基础设施网络的稳健的加密机制以及UMTS无线基础设施网络的完整性保护示例，通过防止不受欢迎的第三方的偷听而大大增加了成对的同事(小组)之间的无线对等内容交换的保护，所述无线基础设施网络例如是(但不限于)GSM和UMTS无线基础设施网络。通过使用所提出的方法，属于参加会议或集会的团体或组织的用户可以安全且秘密地以对等方式进行通信，而不需要从接入点/基站反弹业务。注意，加密信息的请求204和提供208需要很少的带宽，与通过无线基础设施的连通性相反的对等连接能够以比通过无线基础设施可用的带宽高的潜在带宽来进行内容交换。
所介绍实施例仅是示例性的，并且本领域的技术人员将认识到，可以实现上述实施例的变型而不脱离本发明的范围。本发明的范围仅由所附的权利要求所定义。

Claims (7)

1.一种在特定网络中在包括第一移动网络节点和第二移动网络节点的一对移动网络节点之间建立安全对等通信上下文的方法，包括：
a.通过下列四个步骤从所述第二移动网络节点访问关于所述第一移动网络节点的验证信息：
i.获得所述第一移动网络节点的移动网络节点标识，
ii.利用无线基础设施服务网络进行验证，
iii.请求验证信息，以基于所获得的所述第一移动网络节点标识来验证所述第一移动网络节点，以及
iv.接收所述验证信息，
b.通过下列四个步骤从所述第一移动网络节点访问关于所述第二移动网络节点的验证信息：
i.获得所述第二移动网络节点的移动网络节点标识，
ii.利用无线基础设施服务网络进行验证，
iii.请求验证信息，以基于所获得的所述第二移动网络节点标识来验证所述第二移动网络节点，以及
iv.接收所述验证信息，
c.所述移动网络节点对基于所述验证信息来相互询问；以及
d.响应于成功的交叉验证，在采用特定网络技术的无线网络节点之间建立所述安全对等上下文，
其特征在于，还包括：
所述第一移动网络节点的验证信息包括至少一个第一密钥，而所述第二移动网络节点的验证信息包括至少一个第二密钥，
e.根据关于所述移动网络节点对中的至少一个移动网络节点的验证信息，导出至少一个密钥，所述密钥等同于所述第一密钥、或所述第二密钥、或对所述第一密钥和所述第二密钥进行异或运算XOR的结果，以及
f.利用所述至少一个密钥，对关于所述安全对等通信上下文所交换的内容进行加密。
2.根据权利要求1的方法，其中，检索验证信息以验证对等移动网络节点，所述方法还包括检索信息以验证多个对等移动网络节点，从而利用所述多个对等移动网络节点来建立相应的多个安全对等通信上下文。
3.根据权利要求1的方法，其中，检索验证信息以验证对等移动网络节点，所述方法包括检索验证三元组和验证五元组之一，所述验证三元组用于遵循全球移动通信系统(GSM)无线通信协议的对等移动网络节点，所述验证五元组用于遵循通用移动电信系统(UMTS)无线通信协议的对等移动网络节点。
4.根据权利要求1的方法，其中，检索验证信息以验证对等移动网络节点，所述方法包括从与所述对等移动网络节点相关联的归属环境和高速缓存验证信息的移动网络节点之一，检索用于验证对等移动网络节点的信息。
5.一种遵循第一无线通信协议、用于在特定网络中连接到对等移动网络节点的移动网络节点，所述移动网络节点包括：
a.用于访问关于对等移动网络节点的验证信息的装置，该装置包括：
i.用于获得所述对等移动网络节点的移动网络节点标识的装置，
ii.用于利用无线基础设施服务网络进行验证的装置，
iii.用于请求验证信息以基于所获得的对等移动网络节点标识来验证所述对等移动网络节点的装置，以及
iv.用于接收所述验证信息的装置，
b.对等移动网络节点标识符检索装置，其用于获得对等移动网络节点的标识以建立与该节点的安全对等通信会话；
c.验证信息检索装置，其用于检索关于所述对等移动网络节点的验证信息；
d.验证装置，其用于验证所述对等移动网络节点；以及
e.加密装置，其用于加密内容，所述内容是在所述对等移动网络节点之间提供安全对等通信上下文的情况下，利用所述对等移动网络节点在特定网络上下文中被交换的，
其特征在于，还包括导出至少一个用于加密内容的密钥的密钥导出装置，所述内容是在提供所述对等移动网络节点之间的安全对等通信上下文的情况下在所述特定网络上下文中与所述对等移动网络节点所交换的，其中所述验证信息包括所述对等移动网络节点的、包含至少一个第一密钥和至少一个第二密钥的加密信息，所述验证信息检索装置检索关于所述对等移动网络的加密信息，所述密钥等同于所述第一密钥、或所述第二密钥、或对所述第一密钥和所述第二密钥进行异或运算XOR的结果。
6.根据权利要求5的移动网络节点，其中，在从高速缓存验证信息的另一个移动网络节点检索关于所述对等移动网络节点的验证信息的情况下，采用所述验证信息检索装置。
7.根据权利要求5的移动网络节点，还包括用于连接到无线基础设施服务网络的第二无线通信协议，在从归属环境检索关于所述对等移动网络节点的验证信息的情况下采用所述验证信息检索装置，所述对等移动网络节点通过所述无线基础设施网络注册到所述归属环境。
CN2005101143130A 2004-10-22 2005-10-20 在建立对等安全上下文时验证移动网络节点的方法 Active CN1764107B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US10/970,137 2004-10-22
US10/970,137 US7974234B2 (en) 2004-10-22 2004-10-22 Method of authenticating a mobile network node in establishing a peer-to-peer secure context between a pair of communicating mobile network nodes

Publications (2)

Publication Number Publication Date
CN1764107A CN1764107A (zh) 2006-04-26
CN1764107B true CN1764107B (zh) 2012-04-25

Family

ID=35520031

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2005101143130A Active CN1764107B (zh) 2004-10-22 2005-10-20 在建立对等安全上下文时验证移动网络节点的方法

Country Status (4)

Country Link
US (1) US7974234B2 (zh)
EP (1) EP1650915B8 (zh)
CN (1) CN1764107B (zh)
AT (1) ATE536060T1 (zh)

Families Citing this family (69)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7237117B2 (en) 2001-03-16 2007-06-26 Kenneth P. Weiss Universal secure registry
EP1782569B1 (en) * 2004-07-07 2013-09-25 Nariste Networks Pty Ltd Location-enabled security services in wireless network
US7860019B2 (en) * 2004-11-05 2010-12-28 Toshiba America Research, Inc. Peer-to-peer network and user information discovery and sharing for mobile users and devices
US7957726B2 (en) * 2004-11-24 2011-06-07 Research In Motion Limited System and method for porting a personalized indicium assigned to a mobile communications device
US20060205449A1 (en) * 2005-03-08 2006-09-14 Broadcom Corporation Mechanism for improved interoperability when content protection is used with an audio stream
US8086853B2 (en) * 2005-03-18 2011-12-27 Microsoft Corporation Automatic centralized authentication challenge response generation
US20060248337A1 (en) * 2005-04-29 2006-11-02 Nokia Corporation Establishment of a secure communication
US20060291482A1 (en) * 2005-06-23 2006-12-28 Cisco Technology, Inc. Method and apparatus for providing a metropolitan mesh network
WO2007000179A1 (en) * 2005-06-29 2007-01-04 Telecom Italia S.P.A. Short authentication procedure in wireless data communications networks
US7881262B2 (en) * 2005-07-07 2011-02-01 Alvarion Ltd. Method and apparatus for enabling mobility in mobile IP based wireless communication systems
US20070025342A1 (en) * 2005-07-14 2007-02-01 Gemini Mobile Technology, Inc. Protocol optimization for wireless networks
US8559921B2 (en) * 2005-08-17 2013-10-15 Freescale Semiconductor, Inc. Management of security features in a communication network
US8688856B2 (en) * 2006-01-24 2014-04-01 Novell, Inc. Techniques for managing a network delivery path of content via a key
US8001055B2 (en) 2006-02-21 2011-08-16 Weiss Kenneth P Method, system and apparatus for secure access, payment and identification
US8234220B2 (en) 2007-02-21 2012-07-31 Weiss Kenneth P Universal secure registry
US11227676B2 (en) 2006-02-21 2022-01-18 Universal Secure Registry, Llc Universal secure registry
US20090063851A1 (en) * 2006-03-20 2009-03-05 Nijdam Mark J Establishing communications
EP1865656A1 (en) * 2006-06-08 2007-12-12 BRITISH TELECOMMUNICATIONS public limited company Provision of secure communications connection using third party authentication
JP4847246B2 (ja) * 2006-07-31 2011-12-28 キヤノン株式会社 通信装置、通信装置の制御方法、及び当該制御方法をコンピュータに実行させるためのコンピュータプログラム
US20080052340A1 (en) * 2006-08-28 2008-02-28 Motorola, Inc. Method and system for content advertising in ad hoc networks
US8041951B2 (en) * 2006-09-29 2011-10-18 Intel Corporation Code-based communication connection management
US20080132235A1 (en) * 2006-11-30 2008-06-05 Motorola, Inc. Method to Facilitate Pre-Provisioning a Wireless Access Point With a One-Time Password to Facilitate Authorized Handoffs for a Given Communication Session
US20080132241A1 (en) * 2006-11-30 2008-06-05 Motorola, Inc. Method and apparatus to facilitate using a path to dynamically schedule wireless access point support for a given communication system
US20080133431A1 (en) * 2006-11-30 2008-06-05 Motorola, Inc. Method and Apparatus to Facilitate Determining a Monetary Cost Associated with Supporting a Communication Session Using Heterogeneous Network Communication Resources
EP2012489B1 (en) * 2007-07-05 2009-05-06 Conveneer AB Method, apparatus and system for mobility management and efficient information retrieval in a communications network
TWI345393B (en) * 2007-10-19 2011-07-11 Primax Electronics Ltd A method of testing and pairing for wireless peripheral
ATE535108T1 (de) * 2007-10-29 2011-12-15 Nokia Corp System und verfahren zum authentifizieren eines kontexttransfers
WO2009089308A2 (en) * 2008-01-10 2009-07-16 Apple Inc. Wireless data acquisition for mobile electronic devices
US9003197B2 (en) * 2008-03-27 2015-04-07 General Instrument Corporation Methods, apparatus and system for authenticating a programmable hardware device and for authenticating commands received in the programmable hardware device from a secure processor
CN102595525B (zh) * 2008-04-28 2016-03-30 华为技术有限公司 一种保持用户业务连续性的方法、系统及装置
US8745735B2 (en) * 2008-11-26 2014-06-03 Panasonic Corporation Monitoring system, program-executing device, monitoring program, recording medium and integrated circuit
JP5405986B2 (ja) * 2008-11-26 2014-02-05 パナソニック株式会社 ソフトウェア更新システム、管理装置、記録媒体及び集積回路
KR20100088953A (ko) * 2009-02-02 2010-08-11 삼성전자주식회사 인터넷 방송 시스템에서의 컨텐츠 공유 방법 및 시스템
US8417264B1 (en) * 2009-05-14 2013-04-09 Spring Spectrum L.P. Method and apparatus for determining location of a mobile station based on locations of multiple nearby mobile stations
US20110035809A1 (en) * 2009-08-10 2011-02-10 Fisher Frederick C Agent service
EP2312461A1 (en) * 2009-10-16 2011-04-20 Nederlandse Organisatie voor toegepast -natuurwetenschappelijk onderzoek TNO Identification of proximate devices
WO2012037479A1 (en) 2010-09-17 2012-03-22 Universal Secure Registry, Llc Apparatus, system and method employing a wireless user-device
US8825767B2 (en) * 2010-10-05 2014-09-02 Sivapathalingham Sivavakeesar Scalable secure wireless interaction enabling methods, system and framework
US8547938B2 (en) * 2011-01-24 2013-10-01 Telefonaktiebolaget L M Ericsson (Publ) Data flow transfer between wireless connections
WO2012112124A1 (en) * 2011-02-15 2012-08-23 Agency For Science, Technology And Research Communication terminal and method for performing communication
US9503833B2 (en) 2011-03-23 2016-11-22 Qualcomm Incorporated System and method for network provisioning of mobile entities for peer-to-peer service
GB2497745B (en) * 2011-12-19 2014-11-05 Broadcom Corp Improvements to wireless communication systems and methods
GB2497741A (en) * 2011-12-19 2013-06-26 Renesas Mobile Corp A verification system for use in requesting access to a D2D communication service
US9940118B2 (en) 2012-02-23 2018-04-10 Dahrwin Llc Systems and methods utilizing highly dynamic wireless ad-hoc networks
US8774147B2 (en) 2012-02-23 2014-07-08 Dahrwin Llc Asynchronous wireless dynamic ad-hoc network
US9794962B2 (en) * 2012-03-23 2017-10-17 Nec Corporation Communicating system, communicating terminal, communicating method and storage medium
CN102685746A (zh) * 2012-05-03 2012-09-19 中兴通讯股份有限公司 一种对移动设备验证的方法、装置及系统
US9232391B2 (en) 2012-05-07 2016-01-05 Industrial Technology Research Institute Authentication system for device-to-device communication and authentication method therefor
TWI524807B (zh) * 2012-05-07 2016-03-01 財團法人工業技術研究院 裝置間通訊的認證系統及認證方法
US9143498B2 (en) * 2012-08-30 2015-09-22 Aerohive Networks, Inc. Internetwork authentication
US9762679B2 (en) 2013-03-15 2017-09-12 Aerohive Networks, Inc. Providing stateless network services
US9215075B1 (en) 2013-03-15 2015-12-15 Poltorak Technologies Llc System and method for secure relayed communications from an implantable medical device
US9092778B2 (en) 2013-03-15 2015-07-28 Varsgen, Llc Bank account protection method utilizing a variable assigning request string generator and receiver algorithm
US9769056B2 (en) 2013-03-15 2017-09-19 Aerohive Networks, Inc. Gateway using multicast to unicast conversion
US9038195B2 (en) * 2013-03-15 2015-05-19 Google Technology Holdings LLC Accessing a cloud-based service using a communication device linked to another communication device via a peer-to-peer ad hoc communication link
EP2822216A1 (en) * 2013-07-05 2015-01-07 Gemalto SA Method of privacy preserving during an access to a restricted service
WO2015057116A1 (en) * 2013-10-15 2015-04-23 Telefonaktiebolaget L M Ericsson (Publ) Establishing a secure connection between a master device and a slave device
US9271255B1 (en) * 2013-12-05 2016-02-23 Sprint Spectrum L.P. Providing wireless network communication among a plurality of wireless devices
US9860326B2 (en) * 2014-02-27 2018-01-02 Red Hat, Inc. Duplex services residing in a messaging bus
EP3138328B1 (en) 2014-05-01 2021-04-21 Nokia Technologies Oy Method and apparatus for connecting to a node of a mesh network
US9992619B2 (en) 2014-08-12 2018-06-05 Aerohive Networks, Inc. Network device based proximity beacon locating
US9706335B2 (en) * 2014-08-26 2017-07-11 AthenTek Incorporated Cellular devices and pairing server implementing a pairing method
US9705857B1 (en) * 2014-10-10 2017-07-11 Sprint Spectrum L.P. Securely outputting a security key stored in a UE
US10395253B2 (en) 2015-07-01 2019-08-27 Liveensure, Inc. System and method for securing and monetizing peer-to-peer digital content
US10140600B2 (en) 2015-07-01 2018-11-27 Liveensure, Inc. System and method for mobile peer authentication and asset control
US9722803B1 (en) 2016-09-12 2017-08-01 InfoSci, LLC Systems and methods for device authentication
US10419226B2 (en) 2016-09-12 2019-09-17 InfoSci, LLC Systems and methods for device authentication
US11463439B2 (en) 2017-04-21 2022-10-04 Qwerx Inc. Systems and methods for device authentication and protection of communication on a system on chip
US20210352764A1 (en) * 2020-05-06 2021-11-11 Abl Ip Holding, Llc Provisioning a smart device in an existing secure network without using a cloud service

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1458151A1 (en) * 2003-03-14 2004-09-15 Nokia Corporation Provision of security services for a mobile "Ad-Hoc" Network

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6766160B1 (en) 2000-04-11 2004-07-20 Nokia Corporation Apparatus, and associated method, for facilitating authentication of communication stations in a mobile communication system
US6993138B1 (en) * 2000-09-14 2006-01-31 Nortel Networks Limited Spatial key trees for key management in wireless environments
ATE359652T1 (de) 2001-02-06 2007-05-15 Certicom Corp Mobile zertifikatverteilung in einer infrastruktur mit öffentlichem schlüssel
EP1233570A1 (en) 2001-02-16 2002-08-21 TELEFONAKTIEBOLAGET L M ERICSSON (publ) Method and system for establishing a wireless communications link
US20020141586A1 (en) * 2001-03-29 2002-10-03 Aladdin Knowledge Systems Ltd. Authentication employing the bluetooth communication protocol
US8630414B2 (en) 2002-06-20 2014-01-14 Qualcomm Incorporated Inter-working function for a communication system
US6879574B2 (en) * 2002-06-24 2005-04-12 Nokia Corporation Mobile mesh Ad-Hoc networking
US7392375B2 (en) * 2002-09-18 2008-06-24 Colligo Networks, Inc. Peer-to-peer authentication for real-time collaboration
US7269653B2 (en) * 2003-11-07 2007-09-11 Hewlett-Packard Development Company, L.P. Wireless network communications methods, communications device operational methods, wireless networks, configuration devices, communications systems, and articles of manufacture
US7907934B2 (en) * 2004-04-27 2011-03-15 Nokia Corporation Method and system for providing security in proximity and Ad-Hoc networks
US20050266798A1 (en) * 2004-05-31 2005-12-01 Seamus Moloney Linking security association to entries in a contact directory of a wireless device
US20050266826A1 (en) * 2004-06-01 2005-12-01 Nokia Corporation Method for establishing a security association between a wireless access point and a wireless node in a UPnP environment

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1458151A1 (en) * 2003-03-14 2004-09-15 Nokia Corporation Provision of security services for a mobile "Ad-Hoc" Network

Also Published As

Publication number Publication date
US7974234B2 (en) 2011-07-05
CN1764107A (zh) 2006-04-26
EP1650915A1 (en) 2006-04-26
US20060087999A1 (en) 2006-04-27
EP1650915B8 (en) 2012-03-07
EP1650915B1 (en) 2011-11-30
ATE536060T1 (de) 2011-12-15

Similar Documents

Publication Publication Date Title
CN1764107B (zh) 在建立对等安全上下文时验证移动网络节点的方法
US10425808B2 (en) Managing user access in a communications network
EP1997292B1 (en) Establishing communications
KR100832893B1 (ko) 무선 근거리 통신망으로 이동 단말의 보안 접근 방법 및 무선 링크를 통한 보안 데이터 통신 방법
JP4575679B2 (ja) 無線ネットワークハンドオフ暗号鍵
TWI388180B (zh) 通信系統中之金鑰產生
EP1880527B1 (en) Method for distributing certificates in a communication system
US20060059344A1 (en) Service authentication
KR101068424B1 (ko) 통신시스템을 위한 상호동작 기능
CN1929371B (zh) 用户和外围设备协商共享密钥的方法
KR20060084513A (ko) 이종 ｉｐ 네트워크에서의 인증 장치 및 방법
CN102215487A (zh) 通过公共无线网络安全地接入专用网络的方法和系统
WO2006079953A1 (en) Authentication method and device for use in wireless communication system
JP4677784B2 (ja) 集合型宅内ネットワークにおける認証方法及びシステム
Huang et al. A secure and efficient multi-device and multi-service authentication protocol (semmap) for 3gpp-lte networks
Durresi et al. Secure spatial authentication for mobile stations in hybrid 3G-WLAN serving networks
Lee Stateless Re-Association in WPA3 Using Paired Token. Electronics 2021, 10, 215
KR101068426B1 (ko) 통신시스템을 위한 상호동작 기능
EP2146534A1 (fr) Procédé, système, serveur et terminal d'authentification hybride
Shrivastava et al. The design of a Trusted Authentication scheme for Wimax Network
Evans Secure 3G user authentication in ad-hoc serving networks

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant