CN1836417B - 支持移动ip第6版业务的方法、系统和设备 - Google Patents

支持移动ip第6版业务的方法、系统和设备 Download PDF

Info

Publication number
CN1836417B
CN1836417B CN2004800233218A CN200480023321A CN1836417B CN 1836417 B CN1836417 B CN 1836417B CN 2004800233218 A CN2004800233218 A CN 2004800233218A CN 200480023321 A CN200480023321 A CN 200480023321A CN 1836417 B CN1836417 B CN 1836417B
Authority
CN
China
Prior art keywords
mobile node
eap
mipv6
home
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN2004800233218A
Other languages
English (en)
Other versions
CN1836417A (zh
Inventor
J·王山
加藤良司
J·吕纳
T·拉松
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN1836417A publication Critical patent/CN1836417A/zh
Application granted granted Critical
Publication of CN1836417B publication Critical patent/CN1836417B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/04—Registration at HLR or HSS [Home Subscriber Server]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

为了在漫游于外地网络(20)中的移动节点(10)与归属代理(36)之间建立MIPv6安全关联以及为了简化MIPv6相关配置，凭借优选扩展的鉴权协议通过AAA基础结构在端到端过程中传送MIPv6相关信息。首选实施例将EAP用作扩展的鉴权协议的基础，通过如下步骤来创建EAP扩展：将MIPv6相关信息作为附加数据结合在EAP协议栈中，例如作为EAP协议栈的EAP方法层中的EAP属性或在EAP层或EAP方法层上的通用容器属性中传送。所提出的MIPv6鉴权/授权机制的主要优点在于，它对受访域(20)是透明的，从而使AAA客户(22)和AAAv(24)可以在该过程中仅充当直通代理。

Description

支持移动IP第6版业务的方法、系统和设备
技术领域
本发明一般涉及移动通信，并且更具体地涉及对移动IP第6版业务的支持。
背景技术
移动IP(MIP)使移动节点可以以极小的服务中断来更改它到因特网的连接点。MIP本身不提供任何对跨不同管理域的移动性的特定支持，这限制了大规模商业部署中MIP的可应用性。
MIP第6版(MIPv6)协议[1]使节点可以在因特网拓扑内移动，同时保持可达性和与通信节点的正进行连接。在此情况中，每个移动节点总是由它的归属地址来标识，而不管它到IPv6因特网的当前连接点。当远离它的归属网络时，移动节点还与转交地址相关联，转交地址提供有关移动节点的当前位置的信息。将寻址到移动节点的归属地址的IPv6分组或多或少透明地路由选择到它的转交地址。MIPv6协议使IPv6节点能够高速缓存移动节点的归属地址与它的转交地址的绑定，并然后将发往移动节点的任何分组发送到转交地址。为此，每次移动时，移动节点发送所说的绑定更新到它的归属代理(HA)以及与它正在通信的通信节点。
允许MIPv6的移动节点，如蜂窝电话、膝上型计算机和其他端用户设备，从而可以在属于它们的归属服务提供商以及其他提供商的网络之间漫游。可以在外地网络中漫游是因为营运商之间存在服务级别和漫游协定。MIPv6提供单个管理域内的会话连续性，但是依赖于鉴权、授权和计费(AAA)基础结构的可用性来跨不同的管理域(即当在归属营运商所管理的网络之外漫游时)提供它的业务。有助于使此类漫游机制成为可能的关键AAA协议之一是直径(Diameter)。
此外，虽然移动IPv6可以被视为完整的移动性协议，但是为了能够大规模部署还需要便于部署MIPv6的更多的和/或改进的机制。虽然这些机制不是实际的MIPv6协议的一部分，但是有效地部署MIPv6业务非常依赖它们。与部署相关的机制处理诸如启用MIPv6的移动节点(MN)的初始配置的问题，包括配置数据，如归属网络前缀或归属地址、归属代理地址以及所需的IPsec SA或动态建立的IPsec SA可以基于的安全参数。一种部署相关机制的方法是对现有的AAA基础结构起杠杆作用。
例如在[2]中，尝试规定一种直径的新应用，便于MIPv6在非归属域的网络中漫游。该文档标识通常需要在MN和网络中的AAA客户之间交换的信息-MIP特征数据、EAP数据、安全密钥数据和嵌入式数据。它还提出，在AAA客户与AAAv(受访AAA服务器)之间、AAAv与AAAh(归属AAA服务器)之间以及HA与AAA基础结构之间交换该信息时使用该新的直径应用。虽然[2]没规定移动节点与AAA客户之间的通信的任何具体的机制，但是提及了使用PANA协议[3]的可能性。然而，PANA WG限定了PANA的范围，以致它无法传输所提到的MIPv6相关信息，这使本解决方案不能令人满意并且是不完整的。
中的解决方案的另一个缺点在于，它要求AAA客户(和AAAv)理解鉴权方法，并知道MN与AAAh之间交换的内容(MIP特征数据、EAP数据、安全密钥数据和嵌入式数据)。利用这样的解决方案，不可能在MN和AAAh之间应用现有的加密，而且这些交换在空中接口上将是可见的。防窃听、中间人和其他攻击的安全性可能是折衷的。
中解决方案的再一个缺点是，它要求在接入网和AAAv中都支持这些机制。这可能妨碍该解决方案的部署，因为希望使用它的营运商依赖漫游伙伴升级它们的网络来支持该解决方案。
因此，常规的移动性解决方案涉及若干缺点，仍需要支持MIPv6的令人满意的机制。
发明内容
本发明的一般目的是提供一种MIPv6的鉴权和授权支持的改进机制。特定的目的是便于利用MIPv6在外地网络中漫游，同时保持高度的安全性。另一个目的是通过简化移动节点和归属代理的配置来便于MIPv6的部署。再另外的目的是提供一种完整的且对受访域透明的MIPv6支持的机制。
这些目的根据所附的权利要求来实现。
简言之，本发明的方法通过在访问外地网络的移动节点与该移动节点的归属网络之间通过AAA基础结构在端到端过程中传送MIPv6相关信息来实现MIPv6的鉴权和授权支持。MIPv6相关信息通常包括通过AAA基础结构传送的鉴权、授权和/或配置信息，以简化移动节点和归属代理的配置或在移动节点与位于归属网络中或受访网络中的归属代理之间建立MIPv6安全关联。该端到端特征凭借通过AAA基础结构承载的鉴权协议来实现。鉴权协议优选地是扩展的鉴权协议，但是还可以使用完全新近定义的协议。
本发明的首选实施例将可扩展鉴权协议(EAP)用作扩展的鉴权协议的基础，创建EAP扩展同时通常保持EAP较低层完整。这通常意味着将MIPv6相关信息作为附加数据结合在EAP协议栈中，例如作为EAP协议栈的EAP方法层中的EAP属性或在EAP层或EAP方法层上的通用容器中传送。
凭借本发明，第一次实现了一种完整的MIPv6AAA解决方案，而在现有技术中仅有彼此不一致的局部解决方案。再者，对诸如EAP扩展的鉴权协议的依赖，提供一种流线式解决方案，它易于管理且一流，向后兼容问题最少。EAP的使用使AAA客户(和AAAv)可以至少在HA位于归属网络时对MIPv6过程不可知(agnostic)(即这去除对受访网络中的MIPv6支持的依赖)，并仅充当直通(pass-through)代理。换言之，所提出的MIPv6鉴权/授权解决方案对受访域是透明的，这是使用诸如EAP的协议的主要优点之一。这使得将现有的加密应用于MN和AAAh之间并由此当利用MIPv6在外地网络中漫游时达到令人满意的安全性变得可能。此外，使营运商在不依赖其漫游伙伴的网络升级的情况下部署该解决方案变得可能。
根据本发明，还可以通过消除或简化移动节点的MIPv6特定的配置和归属代理的移动节点特定的配置来协助部署MIPv6。这样的配置是普通授权的一部分，并且可以包括例如归属网络前缀或归属地址、归属代理地址和所需的IPsec SA或动态建立的安全关系(例如IPsec SA)可以基于的安全参数。
根据本发明的其他方面，提供一种MIPv6支持的系统和AAAh服务器。
附图简介
通过参考如下说明和附图，可以更好地理解本发明及其其他目的和优点，图中：
图1是可以使用本发明的MIPv6AAA的通信系统的示意图；
图2是根据本发明的第一示范实施例的MIPv6发起的信号流程图；
图3是根据本发明的第二示范实施例的MIPv6发起的信号流程图；
图4是根据本发明的示范实施例的MIPv6切换的信号流程图；
图5示出常规的EAP分组格式；
图6示出根据本发明的示范实施例的GCA属性的位置和格式；
图7是根据本发明的示范实施例的MIPv6AAA的通信系统的示意图；
图8是示出根据本发明示范实施例的AAA归属网络服务器的示意框图；以及
图9是根据本发明的用于支持移动节点的MIPv6业务的方法的基本示例的示意流程图。
具体实施方式
本部分之后是本文档中所用的缩略语列表。
如背景技术部分所述的，现有技术中尚未提出MIPv6的鉴权和/或授权支持的完整解决方案。再者，[2]的常规机制要求AAA客户和AAAv理解鉴权方法，并知道MN与AAAh之间MIPv6相关数据交换的内容。利用这样的解决方案，不可能在MN和AAAh之间应用现有的加密，而且这些交换在空中接口上是可见的。这使系统在窃听、中间人攻击等方面非常易受攻击。
这些缺点和其他缺点由本发明克服，根据本发明，通过在访问外地网络的移动节点与该移动节点的归属网络之间通过AAA基础结构在端到端过程中传送MIPv6相关信息来实现MIPv6的鉴权和授权支持。MIPv6相关信息优选地包括通过AAA基础结构传送的鉴权、授权和/或配置信息，以用于在移动节点和归属代理之间建立立即的或将来的MIPv6安全关联(即安全关系)或绑定。该端到端特征凭借一种以对受访域透明的方式操作的新的或扩展的鉴权协议来实现。
根据本发明，从而提出一种通过AAA基础结构承载的鉴权协议，用于以非常有利的方式将MIPv6的终端移动性与用户鉴权和授权(通常为AAA)组合。由此，实现一种完整的MIPv6AAA解决方案。在现有技术中，仅有彼此不一致的局部解决方案。
通过使用MN与归属网络中的AAA服务器之间的端到端协议，本发明创建一种对受访域透明的MIPv6AAA解决方案，受访域包括接入网、AAA客户和受访网络中的AAA服务器以及其他可能的中间AAA服务器。这样使得让例如AAA客户仅充当直通代理成为可能，这是非常有利的。还将可能的是，在MN和AAAh(例如EAP/TTLS[4])之间应用现有的加密，因为这些交换在空中接口上是不可见的。这意味着对于在外地网络中漫游的移动节点可以保持防窃听、中间人和其他攻击的令人满意的安全性。
图8是根据本发明首选实施例的AAA归属网络服务器的示意框图。在此示例中，AAAh服务器34基本包括归属地址指定模块51、归属代理(HA)指定模块52、安全关联模块53、授权信息管理器54和输入输出(I/O)接口55。模块51优选地执行归属地址指定(除非在移动节点上配置归属地址并发送到HA的情况)，以及模块52可操作用于指定和/或重新指定适合的归属代理(HA)。AAAh服务器34通常还从移动节点接收密钥种子和绑定更新(BU)。备选地，AAAh服务器34本身生成密钥种子并将其发送到移动节点。安全关联模块53优选地生成所需的安全密钥以响应该种子，并将该密钥安全地传送到HA。还将绑定更新(BU)转发到归属代理(HA)，以便HA可以高速缓存该移动节点的归属地址与转交地址的绑定。AAAh服务器还可以从HA接收诸如IPSec信息的信息，以完成安全关联。然后可以将该信息连同其他收集的授权(和/或配置)信息存储在任选的授权信息管理器54中，以随后传送到移动节点。
授权阶段自然地包括显式授权，但是还可以包括所涉及节点的配置。因此MIPv6相关配置(如移动节点的配置和/或HA的配置)通常被视为整个授权过程的一部分。
术语“AAA”应该取其因特网草案、RFC和其他标准化文档中的一般含义。通常，AAA(授权、鉴权、计费)基础结构的鉴权和安全密钥同意基于对称密码学，意味着在移动节点和归属网络营运商或可信方之间存在共享的初始秘密。在一些场合和应用中，例如可以禁用或不实施AAA基础结构的计费特征。AAA基础结构一般在归属网络和/或受访网络中包括一个或多个AAA服务器，而且还可以包括一个或多个AAA客户。任选地，还可以在AAA基础结构中包括一个或多个中间网络。
本发明优选地将已经定义的鉴权协议的扩展/修改版本用作传送MIPv6相关数据的鉴权协议，下文将主要以这样的扩展协议为例来说明。尽管如此，应该强调的是，从最初构建的鉴权协议也属于本发明的范围。
本发明的首选实施例使用基于EAP的扩展鉴权协议，创建了EAP扩展同时往往保持EAP较低层完整。这通常意味着MIPv6相关信息被作为附加数据结合在EAP协议栈中，通常凭借一个或多个新的EAP属性。下文将在“方法特定的EAP属性”和“通用容器属性”的部分中描述用于实施这样的EAP属性的不同解决方案。在此之前，将在“载体协议示例”部分中描述用于通过AAA基础结构承载扩展的鉴权协议的一些示范的协议解决方案。一般将参考的是图1所示的MIPv6AAA参与者和体系结构。
载体协议示例
例如，在MN(PAC)10和AAA客户(PAA)22之间(即图1中的(I))可以由PANA承载扩展的鉴权协议(例如扩展的EAP)。备选地，在MN和AAA客户之间，与令人满意的较低层排序保证相关联的其他载体协议如PPP和IEEE802.1X[5]可以用于承载扩展的鉴权协议。对于3GPP2CDMA2000系统，改为使用PPP数据链路层协议封装是可能的，对于EAP[6]，协议字段值设为C227(Hex)。
首选实施例将AAA框架协议应用如直径应用用于经由受访网络/域20中的AAAv服务器24在AAA客户22和移动节点10的归属网络/域30中的AAAh服务器34之间的通信(II，III)。在AAA客户以外朝向AAA基础结构和在AAA基础结构内，一个示范实施例据此使用直径EAP应用[7]来将扩展的鉴权协议封装在直径内，通常在AAA客户和AAAh之间。再者，直径协议还可以被AAAh用于经由MIP过滤器规则任选地将MIP分组过滤器指定给PAA/EP和HA，它们对应于过滤器增强点，以及用于为PANA安全将安全密钥分发到PAA以及任选地发送QoS参数信号等。
应该注意，尽管直径是首选，但是有时改为将另一种AAA框架协议如RADIUS[8、9]用于通过II和/或III承载扩展的鉴权协议可以是适当的。
至于归属网络中的HA36与AAA基础结构之间(IV)用于例如通过安全密钥的交换来建立HA和MN10之间的安全关联SA的通信，提出两种可能性。首先，可以采用AAA框架协议应用来通过IV传送MIPv6数据。对此，可以使用例如直径MIPv4应用[10]中规定的AAAh-HA接口协议。如下文所解释的，将扩展的或新的直径应用或以新属性扩展的RADIUS用于在AAAh34和HA36之间交换AAA和MIPv6数据的实施例也属于本发明的范围。其次，与目前的3GPP2解决方案[11]类似的机制结合IKE框架[12]可以用于在MN10和HA36之间分发动态的预共享密钥。然后HA利用KeyID来从AAAh34中检索或生成HA-MN预共享密钥。AAAh生成KeyID，并在鉴权成功时将其发送到MN，又利用IKE将其发送到HA(图1的通信路径V)。
还参考图1，表1中概括了根据本发明用于MIPv6支持的段MN-AAA客户-AAAv-AAAh-HA之间的协议组合的示例。
表1
 
通信路径 传送MIPv6数据的协议
(I)MN-AAA客户 扩展的鉴权协议(例如由PANA或IEEE802.1X承载)
(II，III)AAA客户-AAAv-AAAh 扩展的鉴权协议(例如由AAA协议应用承载)
(IV)AAAh-HA AAA协议应用或3GPP/IKE
假定采用安全措施，如加密和源完整性保护来传送如安全密钥的敏感信息。
方法特定的EAP属性
根据本发明的一个具体实施例，MIPv6相关信息作为EAP协议栈的EAP方法层中的EAP属性来传送。然后定义新的(扩展的)EAP鉴权协议来承载用于MIPv6鉴权的方法。该扩展的EAP协议应该允许协商/增强MIPv6鉴权，并且还可以支持便于例如动态MN归属地址分配、动态HA分配、HA和MN之间分发安全密钥以及在PAC和PAA之间分发安全密钥以实现PANA安全的一些辅助信息。
这些新的EAP属性可以是例如，新的EAP TLV属性，并且马上将提供示范的协议的详细内容以说明整个流程和概念的可行性。
以下的EAP-TLV是可以在本发明的扩展EAP协议下定义的新的EAP TLV的示例：
i)MD5询问EAP-TLV属性
ii)MD5响应EAP-TLV属性
iii)MIPv6归属地址请求EAP-TLV属性
iv)MIPv6归属地址响应EAP-TLV属性
v)MIPv6归属代理地址请求EAP-TLV属性
vi)MIPv6归属代理地址响应EAP-TLV属性
vii)HA-MN预共享密钥生成现用值EAP-TLV属性
viii)IKE KeyID EAP-TLV属性
ix)HA-MN IPSec SPI EAP-TLV属性
x)HA-MN IPSec密钥有效期EAP-TLV属性
xi)PAC-PAA预共享密钥生成现用值EAP-TLV属性
xii)MIPv6归属地址EAP-TLV属性
xiii)HA-MN预共享密钥EAP-TLV属性
xiv)HA-MN IPSec协议EAP-TLV属性
xv)HA-MN IPSec密码EAP-TLV属性
xvi)MIP-绑定-更新EAP-TLV属性
xvii)MIP-绑定-确认EAP-TLV属性
凭借这些属性(的子集或全部)，除了主要的IPv6鉴权信息之外，EAP协议还可以承载MIPv6相关的辅助信息，这是非常有利的。MIPv6相关的辅助信息可以包括例如，对动态MN归属地址分配、动态归属代理分配的请求以及创建必要的安全密钥的现用值/种子。
根据本发明的扩展EAP协议的鉴权机制可以例如使用MD5-询问鉴权，但是其他类型的协议也属于本发明的范围。在通过MD5-询问鉴权来实施的情况中，可以定义以下用于MIPv6鉴权的EAP-TLV属性：
i)MD5询问EAP-TLV属性
这表示AAAh随机生成并发送到MN以实现MD5询问的八位位组串。
ii)MD5响应EAP-TLV属性
这表示作为MD5散列函数的结果生成的连同AAAh和MN之间的预共享秘密密钥的八位位组串。
如果要传送便于动态MN归属地址分配的MIPv6相关信息，则可以例如定义以下的EAP-TLV属性：
iii)MIPv6归属地址请求EAP-TLV属性
这表示对鉴权的MN的动态分配的MIPv6归属地址的请求。在MN最初请求被鉴权和被给予MIPv6业务时，由MN向AAAh请求它。当MN已经具有先前指定的归属地址时，例如MIPv6切换期间，该EAP属性通常定义为任选属性。
iv)MIPv6归属地址响应EAP-TLV属性
这表示鉴权的MN的动态分配的MIPv6归属地址。在对已经请求归属地址的MN成功鉴权时，从AAAh将其通知给MN。当MN已经具有先前指定的归属地址时，例如MIPv6切换期间，该属性通常是任选的。
对于动态HA分配，可以使用以下示范的EAP-TLV属性：
v)MIPv6归属代理地址请求EAP-TLV属性
这表示当成功鉴权时对MN的动态分配的HA的地址的请求。在MN最初请求被鉴权和被给予MIPv6业务时，由MN向AAAH请求它。如果HA分配已经是现成的，如当MIPv6协议的动态HA发现方法用于分配HA时或当MN已经具有先前指定的HA时(例如MIPv6切换期间)，该属性通常定义为任选的。
vi)MIPv6归属代理地址响应EAP-TLV属性
这表示鉴权的MN的动态分配的HA地址。当MN最初请求被鉴权和被给予MIPv6业务时，从AAAh将其通知给MN。因为对于归属代理分配，MIPv6协议具有动态的归属代理发现方法，所以该属性通常是任选的。当MN已经具有先前指定的HA时，例如MIPv6切换期间，该属性也是任选的。
可以定义以下示范的EAP-TLV属性以在HA和MN之间分发安全密钥：
vii)HA-MN预共享密钥生成现用值EAP-TLV属性
这表示MN随机生成的作为用于生成HA-MN之间预共享密钥的种子的八位位组串。通过对该现用值和MN与AAAh之间的共享密钥的组合使用适当的散列算法，MN可以内部生成HA-MN预共享密钥。当已经存在有效的HA-MN预共享密钥时，例如MIPv6切换期间，该属性通常是任选的。
viii)IKE KeyID EAP-TLV属性
这表示[13]中定义的ID有效负荷。KeyID由AAAh生成，并当成功鉴权时被发送到MN。KeyID包括一些八位位组，它告知HA关于如何从AAAh检索(或生成)HA-MN预共享密钥。该属性通常定义为任选的，以及当MN尚未提交HA-MN预共享密钥生成现用值即已经存在有效的HA-MN预共享密钥时，例如MIPv6切换期间，一般不需要该属性。在HA-MN预共享密钥由AAAh经由[10]中定义的AAAh-HA接口(或利用例如上面在“载体协议示例”下所述的其他协议的任何一种)传送到HA时的情况中通常也不需要该属性。
ix)HA-MN IPSec SPI EAP-TLV属性
这表示HA和MN之间的IPSec的安全参数索引。如果HA-MN预共享密钥由AAAh经由[10]中定义的AAAh-HA接口(或利用例如上面在“载体协议示例”下所述的其他协议的任何一种)传送到HA，则由HA生成该属性，并将其传递到MN。该属性通常是任选的，以及当MN尚未提交HA-MN预共享密钥生成现用值即已经存在有效的HA-MN预共享密钥时，例如MIPv6切换期间，一般不需要它。当未使用AAAh-HA接口时，也不需要它。
x)HA-MN IPSec密钥有效期EAP-TLV属性
这表示HA和MN之间的IPSec的密钥有效期。如果HA-MN预共享密钥由AAAh经由[10]中定义的AAAh-HA接口(或利用例如上面在“载体协议示例”下所述的其他协议的任何一种)传送到HA，则由HA生成该属性，并将其传递到MN。该属性通常是任选的，以及当MN尚未提交HA-MN预共享密钥生成现用值即已经存在有效的HA-MN预共享密钥时，例如MIPv6切换期间，一般不需要该属性。当不使用AAAh-HA接口时，通常也不需要它。
如果PANA用于在MN和AAA客户之间承载扩展的EAP协议，则可以定义以下示范的EAP-TLV属性以在MN/PAC和AAA客户/PAA之间分发安全密钥以实现PANA安全：
xi)PAC-PAA预共享密钥生成现用值EAP-TLV属性
这表示MN/PAC随机生成的作为用于生成MN/PAC和AAA客户/PAA之间的预共享密钥的种子的八位位组串。通过对该现用值和MN与AAAh之间的共享密钥的组合使用适当的散列算法，MN/PAC可以内部生成PAC-PAA预共享密钥。凭借该属性，可以实现令人满意的PANA安全。
最后，为特殊的MIPv6，可以定义以下任选的EAP-TLV属性：
xii)MIPv6归属地址EAP-TLV属性
这表示鉴权的MN的动态分配的MIPv6归属地址。在对例如已经请求的MN成功鉴权时从AAAh将其通知给HA，以在HA中指定MIPv6归属地址。
xiii)HA-MN预共享密钥EAP-TLV属性
这表示HA-MN之间的动态生成的预共享密钥。当MN请求被鉴权和被给予MIPv6业务时，从AAAh将其通知给HA。通过对由HA-MN预共享密钥生成现用值EAP-TLV属性给出的现用值和MN与AAAh之间的共享密钥的组合使用适当的散列算法，AAAh可以内部生成HA-MN预共享密钥。当已经存在有效的HA-MN预共享密钥时，该属性是任选的。
xiv)HA-MN IPSec协议EAP-TLV属性
这表示HA-MN之间的IPSec协议(例如ESP或AH)。对于HA-MN预共享密钥由AAAh传送到HA时的情况，这被通知给MN。该属性是任选的，以及当MN未提交HA-MN预共享密钥生成现用值即已经存在有效的HA-MN预共享密钥时，例如MIPv6切换期间，一般不需要该属性。
xv)HA-MN IPSec密码EAP-TLV属性
这表示HA-MN之间的IPSec的密码算法。对于HA-MN预共享密钥由AAAh传送到HA时的情况，这被通知给MN。该属性是任选的，以及当MN未提交HA-MN预共享密钥生成现用值即已经存在有效的HA-MN预共享密钥时，例如MIPv6切换期间，一般不需要该属性。
xvi)MIP-绑定-更新EAP-TLV属性
这表示MN生成的绑定更新分组。这在鉴权和授权交换中经由AAAh从MN转发到HA。该属性是任选的，以及当MN将绑定更新分组直接发送到HA时，一般不需要该属性。
xvii)MIP-绑定-确认EAP-TLV属性
这表示HA生成的绑定确认分组。这在鉴权和授权交换中经由AAAh从HA转发到MN。该属性是任选的，以及当HA将绑定确认分组直接发送到MN时，一般不需要该属性。
下表2中给出所描述的用于传送MIPv6相关信息的示范EAP-TLV的概括矩阵。
表2
Figure S04823321820060222D000141
信令流程图即图2、3和4中提供了根据本发明的用于处理MIPv6发起和切换的示范方案。示出了在MN、AAA客户、AAAh和HA之间利用上述示范EAP TLV属性实施的MIPv6相关信息的传送。此处术语“EAP/MIPv6”指用于在本发明首选实施例中通过AAA基础结构传送MIPv6相关信息的新的扩展EAP协议。所示的示例涉及使用PANA与直径的组合作为载体协议的MIPv6AAA。图2中的流程图示出利用根据[10]的AAAh-HA接口来交换HA-MN预共享密钥的MIPv6发起。图3所示的MIPv6发起机制的另一个实施例使用IKEKeyID来交换HA-MN预共享密钥。图4的信令流描述根据本发明示范实施例的MIPv6切换。
通用容器属性
在本发明的另一个实施例中，MIPv6相关信息在通用容器EAP属性中承载，它优选地可以与任何EAP分组中所含的任何EAP方法一起使用。由此EAP以通用容器属性(还称为GCA)来增补，通用容器属性可以用于在MN10和AAAh34之间承载非EAP相关数据，更具体地即MIPv6相关数据。这使MN和AAAh可以以对受访域20透明的方式通信，受访域20包括接入网、AAA客户和AAAv24。由此，正如上面关于方法特定的EAP TLV属性描述的情况一样，利用AAA基础结构来以对受访域透明的方式支持MIPv6相关的特征。该解决方案可以例如支持归属网络中的动态HA指定(包括归属网络前缀)；MN-HA证书的分发；MIPv6消息封装；网络接入和MIPv6的单个鉴权实体；和/或有态的(stateful)动态归属地址指定。
当使用通用容器属性时，EAP优选地被用作MIPv6相关数据的载体，而不创建新的EAP方法。但是，另一种变体是在该协议栈的方法层上的一个(或多个)EAP方法中引入通用容器属性。由此定义用于传送MIPv6相关数据的新EAP方法，并仅在该新EAP方法中使用通用容器属性。换言之，以类似于关于EAP TLV属性描述的方式，通用容器属性可以是方法特定的。
如前所述，在AAA客户22和AAAh34之间，EAP在AAA框架协议如直径EAP应用[7]或RADIUS[8，9]中承载。但是，还提出使用新的/扩展的直径应用(或以新属性扩展的RADIUS)以在AAAh34和HA36之间交换AAA和MIPv6数据。该直径应用可以是现有直径应用的扩展版本，例如直径EAP应用[7]或新的直径应用。此新的/扩展的新直径应用(或扩展的RADIUS)下文称为“直径MIPv6应用”。应该强调的是，此引用仅为简明而使用，并不排除使用扩展的RADIUS或其他方法来实现AAAh-HA通信，包括上面在“载体协议示例”部分所提到的机制。
马上将主要以EAP协议为例并仍参考图1描述根据本发明使用通用容器属性处理鉴权过程的首选方式，鉴权过程包括归属代理和归属地址的指定。
在鉴权过程期间，MN10通过通用容器属性向AAAh34指示，它希望在归属网络30中指定HA36。现在有三种情况要考虑：
A)MN已经具有有效的归属地址。
B)使用有态的动态归属地址指定。
C)使用无态的归属地址自动配置。
如果MN10已经具有归属地址(A)，则它将其连同对归属代理地址的请求一起发送到AAAh34。如果AAAh确定该归属地址是有效的，则它选择HA36并生成MN-HA证书，如预共享密钥或可以据以派生预共享密钥的数据。MN的归属地址和生成的MN-HA证书可以例如经由直径MIPv6应用被发送到所选的HA。所选HA的地址和生成的证书(或可以据以派生生成的证书的数据)经由扩展的鉴权协议例如扩展的EAP被发送到MN。例如，如果将预共享密钥发送到MN，则需要由根据AAAh与MN之间的安全关系派生的密钥(例如鉴权过程期间产生的会话密钥)对它进行保护(加密和完整性保护)。否则，不应该显式地发送预共享密钥。替代地，可以发送可基于MN-AAAh安全关系据以派生预共享密钥(或其他证书)的一块数据，例如现用值，(例如在使用EAP AKA[14]或EAP SIM[15]的情况下馈送到AKA或GSM鉴权算法的RAND参数)。如果将密码保护应用于这些证书，可以方便地对HA地址和归属地址使用相同类型的保护。
当完成网络接入鉴权且授权MN接入在接入服务器(例如WLANAP或接入路由器)以外的网络时，MN可以基于所获得的证书经由IKE(例如IKEv1或IKEv2)过程建立至指定HA的IPsec SA。此过程和随后的绑定更新/绑定确认(BU/BA)交换使用常规的IKE和MIPv6机制来执行。
如果MN在对归属代理的请求中完全不包含归属地址或包含了不再有效的归属地址(例如因为MIPv6归属网络重新编号)，则应该对该MN指定归属地址。对此，本发明提出有态的动态归属地址指定(B)或无态的归属地址自动配置(C)的机制。
本发明允许有态的动态归属地址指定(B)，由此AAAh34对MN10指定归属地址。AAAh还生成MN-HA证书，它优选地将其连同指定的归属地址经由直径MIPv6应用发送到所选的HA36。AAAh还将指定的归属地址连同指定的HA的地址和生成的证书(或可以据以派生生成的证书的数据)经由本发明的扩展鉴权协议(以扩展的EAP为例)发送到MN。如在情况(A)中，在通过扩展的鉴权协议发送之前对MN-HA证书进行保护，或者备选地，不发送实际的证书而发送可以据以派生证书的数据，如现用值。在结束网络接入鉴权之后，MN可以使用常规的IKE和MIPv6机制建立IPsec SA并执行至指定HA的BU/BA交换。
如果使用归属地址的无态自动配置(C)，则该过程依赖于所选EAP方法的往返数量。响应对HA36的请求，AAAh34将HA地址连同证书(或可据以派生证书的数据)返回到MN10。MN通常使用所接收的HA地址的前缀来构建归属地址。如果EAP过程未完成，即如果HA地址是在EAP请求分组中传送的而非在EAP成功分组中传送，则MN将其归属地址发送到AAAh。AAAh然后将接收到的归属地址连同这些证书发送到指定的HA。然后HA应该在它的子网上执行所接收的归属地址的DAD。如果重复地址检测(DAD)成功，则MN和HA稍后就可以使用常规的IKE和MIPv6机制建立IPsec SA并交换BU/BA分组。
如果MN改为在EAP过程的最终分组(即EAP成功分组)中接收到HA地址，则它无法将其新构建的归属地址传送到AAAh。解决此问题即EAP往返的数量不足的一种方式是，使AAAh利用用于允许传送通用容器属性的EAP通知请求/响应分组来增加EAP往返的数量。
所述机制的主要优点在于，它们简化了MN10和HA36的配置。MN可以对其网络接入配置参数(NAI和MN-AAAh安全关系)起杠杆作用，而且不需要MIPv6特定的配置。HA将不需要任何MN特定的配置，因为HA-AAAh安全关系足够。AAAh34可以很大程度上构成网络接入和MIPv6的单一鉴权实体(虽然在HA中仍可以基于从AAAh接收到的数据执行IKE鉴权)。
如果有效的MN-HA安全关联(例如IPsec SA)已经存在，则MN10无需向AAAh34请求HA地址。替代地可以通过将BU封装在通用容器属性中来降低整个接入延迟，并经由扩展的鉴权协议将其发送到AAAh。AAAh优选地将BU封装在直径MIPv6应用消息中，并将其发送到由BU的目的地址指示的HA36。HA以BA响应，以及AAAh将该响应中继到MN。封装的BU和BA受到MN-HA IPsecSA的保护。根据首选实施例，AAAh检查该HA地址有效，并检查MIPv6归属网络在将BU发送到HA之前尚未被重新编号。如果HA地址不是有效的，则AAAh通常将此错误指示给MN，并按如上所述指定HA，即AAAh发送HA地址、证书(或可据以派生证书的数据)以及可能还有归属地址到MN等。
直径MIPv6应用有时还可以用于传送HA36中生成的计费数据。例如当采用逆向隧道传送(即所有往返于MN的通信量经由HA传送并在MN和HA之间以隧道传送时)并且归属营运商希望能够验证从AAAv24接收到的计费数据时，这可以是有用的。
那么，将更详细地描述根据本发明的通用容器属性(GCA)的一些示范实施方式。
优选地，GCA属性可供所有方法使用，并可以被包含在任何EAP消息中，包括EAP成功/失败消息。这意味着它应该是EAP层而非EAP方法层的一部分(参见[16])。由此，要考虑的一个重要问题是就MN和EAP鉴权者(通常为网络接入服务器(NAS)中的EAP实体)而言的向后兼容。上述示例中通用容器属性的使用假定，以向后兼容且对EAP鉴权者透明的方式在EAP中引入该新属性。引入含有这些特性的GCA需要一些特殊的考虑，下面的段落将对此进行详细说明。
为了在下面的讨论中参考，图5示出目前的EAP分组格式[6，16]。图5A示出一般的EAP分组格式，具有含代码、标识符和长度字段的EAP层报头以及任选的数据字段。指定的EAP代码定义为：1＝请求，2＝响应，3＝成功以及4＝失败。EAP成功/失败分组的(代码＝3/4)和EAP请求/响应分组(代码＝1/2)的格式分别在图5B中说明。指定的EAP类型：1＝身份，2＝通知，3＝Nak，4-...＝鉴权方法。
GCA的格式可以例如是两字节的GCA长度指示符，后跟GCA接受方指示符和GCA有效负荷。GCA接受方指示符然后指示EAP模块应将接收到的GCA的有效负荷发送到什么内部实体(即该指示符对应于IP报头中的协议/下一个报头字段或UDP和TCP报头中的端口号)。GCA有效负荷是不由EAP层解释的通用数据块。没有GCA例如可以通过将GCA长度指示符设为零来指示。
为了实现向后兼容，GCA应该以对直通EAP鉴权者透明的方式被包含在EAP分组中。直通EAP鉴权者是驻留在NAS中的EAP鉴权者，它在MN和后端EAP鉴权服务器(AAA服务器)之间中继EAP分组。EAP鉴权者的直通行为是基于EAP层报头来中继EAP分组，即EAP分组的开始位置中的代码、标识符和长度字段。这意味着可以通过将GCA设置在EAP层报头之后(即在代码、标识符和长度字段之后)来实现所期望的透明性和由此实现向后兼容。
但是，EAP鉴权者一般还需要检查EAP响应分组的类型字段(在EAP层报头之后)，以识别EAP身份响应分组，据此可以提取AAA路由选择所需的NAI。当EAP鉴权者识别EAP身份响应分组时，它从类型字段之后的类型-数据字段提取NAI。因此，将GCA置于紧随EAP层报头之后(以对EAP鉴权者透明的方式)仅在EAP请求分组中可能。因此，一般首选是将GCA安排在类型字段之后或甚至(可能空终止)类型-数据字段之后。
将GCA置于紧随类型字段之后允许在除EAP身份响应分组外的所有EAP响应分组中使用GCA。在EAP身份响应分组中使用GCA会被禁止，因为从这些分组中，EAP鉴权者需要从类型-数据字段提取NAI，而遗留EAP鉴权者预期在紧随类型字段之后查找它。考虑到EAP一般具有相当少的往返，这可能限制GCA的使用。可能，GCA可以被置于EAP身份响应分组中的空终止类型-数据字段之后，而在其他EAP分组中保持其在类型字段之后的位置。
但是，会经常希望可以在所有EAP分组中一致使用的GCA的位置。从上述讨论得出结论，可以以向后兼容的方式将GCA置于所有EAP分组中的位置是在分组的末端，或多或少作为尾部。但是，该GCA位置对于没有类型-数据参数的显式长度指示符而依赖于EAP层报头中的长度字段的那些EAP分组可能导致问题。对于这样的分组，一般不可能将GCA与类型-数据字段区分。
为了克服此问题，根据提出的具体的首选GCA实施例，将GCA长度指示符、GCA接受方指示符以及GCA有效负荷的次序反转，使得GCA长度指示符最后出现。通过将GCA置于EAP分组的末端，EAP分组的最后两个八位位组(其长度由EAP层报头中的长度字段指示)始终会是GCA长度指示符。除非GCA长度指示符为零，GCA接受方指示符出现在GCA长度指示符之前而GCA有效负荷(其大小由GCA长度指示符确定)位于GCA接受方指示符之前。这样，识别EAP分组的GCA并将GCA与类型-数据字段区分总是可能，同时GCA的使用仍是对直通EAP鉴权者透明的。图6中示出根据本发明的首选GCA的位置和格式。图6A中示出通用格式的EAP分组中GCA的位置。GCA被作为尾部安排在分组的末端。图6B中示出建议的GCA格式，其中GCA长度指示符安排在最后，即在GCA有效负荷和GCA接受方指示符之后。
与图6的GCA实施例的向后兼容还假定，EAP鉴权者不尝试从EAP请求/响应分组提取信息(除了EAP层报头和NAI)，并且它接受成功/失败分组中的长度字段指示大于4的值。
处理向后兼容问题的备选方式是，使用EAP GCA测试请求/响应分组(即具有类型字段的新定义值的新EAP分组)来判断MN是否支持GCA。在初始的EAP身份请求/响应分组交换前或后，支持GCA的EAP鉴权者然后将EAP GCA测试请求分组(即具有专用类型值的EAP请求分组)发送到MN。([17]中的EAP对等状态机器指示两种备选的发送时间都是可行的)。如果MN支持GCA，则它以EAP GCA测试响应分组响应。否则，MN将EAP GCA测试请求分组解释为使用未知EAP方法的请求，并由此MN以EAP Nak分组响应。基于来自MN的响应，EAP鉴权者判断MN是否支持GCA。
支持GCA的MN可以根据EAP GCA测试请求分组的有无来判断EAP鉴权者是否支持GCA。如果当期望时(即在EAP身份请求/响应交换前或后)接收到EAP GCA测试请求分组，则认为EAP鉴权者支持GCA。否则，MN得出结论，EAP鉴权者不支持GCA。
如果MN和EAP鉴权者都支持GCA，则可以将其置于所有随后的EAP分组中的EAP层报头之后(GCA分量为原始顺序)。否则，GCA可以仍被包含在EAP分组中，这些EAP分组使它可以以如上所述的向后兼容的方式被包含。
所述处理向后兼容问题的备选方式有一些局限。首先，浪费了一个MN-EAP鉴权者往返。再者，如果在初始的EAP身份请求/响应分组交换之后交换EAP GCA测试请求/响应分组，则GCA无法在EAP身份响应分组中使用。该实施例还可以要求EAP鉴权者(可能是NAS)使用EAP的修改版本，例如EAPv2。因此，虽然其他备选方式是可能的，但是将GCA安排在EAP分组中的首选方式通常会是如图6所示的，由此可以对所有EAP分组实现与EAP鉴权者的向后兼容。
如果对于在GCA中交换的数据，EAP往返的数量不够，则为了传送GCA，AAAh可以通过EAP通知请求/响应交换来增加EAP往返的数量。
如果GCA设为方法特定的，则GCA不会引入任何与向后兼容相关的问题，因为它将然后通常是类型-数据字段的一部分。
在2004年2月的因特网草案[18]中，建议基于AAA基础结构的移动IPv6授权和配置。归属提供商AAA服务器与MIPv6的移动节点之间的必要交互是利用受保护的EAP来实现的，以将移动IPv6协商的信息与鉴权数据一起传送。但是，鉴于所述的根据本发明的通用容器属性可以集成在EAP过程中，在第二阶段增加了[18]的MIPv6数据。本文所述解决方案的另一个有利特征涉及安全机制。根据本发明，对MN-AAAh安全关系起杠杆作用以确保证书不会被公开是可能的。另一方面，[18]依赖于受保护的EAP来保护这些证书。再者，[18]促使往返数量增加以及整个网络接入延迟增加，而本文提出的机制甚至可能降低整个网络接入延迟。
扩展的解决方案-本地归属代理
图7图示本发明的移动性支持机制的另一个示范实施例，其中所说的“本地归属代理”26安排在受访网络20中。根据下文描述将可知，本地HA26可以以非常有利的方式用于补充归属网络30中的HA36。归属网络中的HA和受访网络中的本地HA通常会是一次使用一个，而不是同时使用。
该实施例是参考图1所述的解决方案(下文还称为“基本解决方案”)的扩展，它可以例如使用方法特定的EAP属性或通用容器属性，且它需要AAAv24中的MIPv6支持。该扩展的解决方案的目标场合是归属网络30中没有HA36的情况。替代地，动态地将本地HA26指定给在受访域20中的漫游MN10。基本解决方案被重用(如果归属网络中没有HA则不使用AAAh-HA通信(IV)的情况除外)，并除此之外还扩展直径MIPv6应用，以使它可以在AAAh34与AAAv24之间(VI)使用来允许在受访域20中指定本地HA26。直径MIPv6应用还在AAAv24和本地HA26之间(VII)使用。
由此，MN10和本地HA26之间的路径将是“远程迂回(tromboning)”路径(该路径在两个方向上遍历AAAv-AAAh分支)：
Figure S04823321820060222D000231
客户
Figure S04823321820060222D000232
本地HA(I、II、III、VI、VII)。但是，未与AAA信令集成的MIPv6信令例如随后的BU/BA交换将沿直接的MN-本地HA路径(VIII)。
因为依据基本解决方案，路径I、II、III、IV的上述功能是重用的(归属网络中没有HA时IV除外)，所以只需详细描述本地HA指定的附加功能。
指定本地HA26实质上意味着基本解决方案中描述的AAAh-HA通信转为AAAh-AAAv-本地HA通信。因此，总的MN-本地HA路径具有以下结构：MN-AAA客户-AAAv-AAAh-AAAv-本地HA。在此路径中，从MN以及至AAAh使用扩展的鉴权协议，如扩展的EAP。在该路径的AAA客户-AAAv-AAAh部分中，EAP在现有的AAA协议中承载，例如直径EAP应用或RADIUS。在该路径的AAAh-AAAv-本地HA部分中，使用直径MIPv6应用。所传送的信息实质上与基本解决方案中的相同。
仍参考图7，表3中概括了根据本发明的用于扩展的MIPv6支持的段MN-AAA客户-AAAv-AAAh-HA和AAAh-AAAv-本地HA之间的协议组合的示例。在关于本地HA26的情况中，AAAh34将对HA的请求经由AAA协议应用转发到适当的AAAv24，优选地经由如直径MIPv6应用的直径应用，(但是还可以是例如RADIUS的扩展版本)。通过路径(II，III)承载新的/扩展的鉴权协议并通过路径(IV，VI，VII)传送MIPv6数据的AAA框架协议应用可以是例如直径应用。
表3
 
通信路径 传送MIPv6数据的协议
(I)MN-AAA客户 扩展的鉴权协议(例如通过PANA或IEEE802.1X承载的)
(II，III)AAA客户-AAAv-AAAh 扩展的鉴权协议(例如通过AAA协议应用来承载)     
(IV)AAAh-HA AAA协议应用或3GPP2+IKE
(VI，VII)AAAh-AAAv-本地HA AAA协议应用
首先假定归属网络30中没有HA36。在此场合中，对MN10提供MIPv6支持的唯一方式是，在受访域20中指定本地HA26。由此，当在AAAh34中接收到对HA地址的请求时，AAAh将该请求经由直径MIPv6应用转发到AAAv24。AAAh还生成MN-HA证书，并且如果需要的话为MN生成归属地址。这些证书和归属地址(或没有归属地址的情况下为NAI)与对本地HA地址的请求一起发送到AAAv。
当接收对本地HA地址的请求时，AAAv24选择本地HA26并利用直径MIPv6应用将证书和归属地址(或NAI)发送到所选的HA。AAAv然后将本地HA地址返回到AAAh34。AAAv还可以生成MN-HA IPsec SA的SPI(由此在此扩展的解决方案中它们不由AAAh生成)。在上述情况中，AAAv将SPI之一发送到本地HA，并将另一个SPI连同本地HA地址一起返回到AAAh。如果AAAh随后从MN10接收到无态配置(即自动配置的)归属地址，则可以利用直径MIPv6应用来将该归属地址传送到AAAv和本地HA。
随后的IKE(IKEv1或IKEv2)过程(如果使用的话)和MIPv6过程与基本解决方案中描述的相同，除了MN10直接与本地HA26通信，而不是与归属网络30中的HA36通信。
现在假定归属网络30中有HA36。在这样的情况中，只要MN10在归属网络中的HA中具有有效的绑定，则不应该指定本地HA26。如果MN在归属网络中HA中不具有有效的绑定且向AAAh34发送对HA地址的请求，则它可以包括它是首选本地HA还是归属网络中的HA的指示。AAAh可以考虑该指示，但是最终由AAAh决定应该是将本地HA还是归属网络中的HA指定给MN。如果AAAh决定指定本地HA，则该过程与上面关于归属网络中不存在HA的情况描述的相同。
随后的IKE(IKEv1或IKEv2)过程(如果使用的话)和MIPv6过程与基本解决方案中所述的相同，除了MN10直接与本地HA26通信，而不是与归属网络30中的HA36通信。
在备选实施例中，允许MN10向AAAh34指示，即使它在归属网络30中的HA36中具有有效的绑定，它仍首选本地HA26。在上述情况中，AAAh会通常在指定本地HA前后命令归属网络中的HA删除绑定。如果绑定仍存在且要同时使用本地HA和归属网络中的HA，则需要例如以分级MIPv6形式的附加功能。
假如存在所需的MN-本地HA IPsec SA，在使用本地HA26的情况中封装BU/BA分组还是可能的。与基本解决方案不同的是，封装的BU/BA分组将然后通过路径(VI+VII)而非(IV)来传送。
通过总结上述一些方面，可以看出图9是用于支持移动节点的MIPv6业务的方法的基本示例的示意流程图。在该示例中，步骤S1-S4中所示的信息传送和操作涉及移动节点的鉴权(S1)、MN-HA安全关联的建立(S2)、MIPv6配置(S3)和MIPv6绑定(S4)。步骤S2-S3通称为授权阶段。步骤S1-S4可以或多或少以并行方式执行(如果希望的话)，以可以缩短整个建立时间。在步骤S1，通过AAA基础结构传送信息，以在归属网络端对移动节点鉴权。在步骤S2，传送MIPv6相关信息，以立即建立或允许将来建立MN和HA之间的安全关联。在步骤S3中，执行附加的MIPv6配置，例如通过向移动节点和/或归属代理传送配置参数以在其中进行适合的存储。在步骤S4，移动节点发送绑定更新，并在HA中建立MIPv6绑定。
本发明的详述示范实施例主要是参考目前的EAP[6，16]来讨论。但是应该理解，本发明非常适用于其他EAP版本，如EAPv2，以及以所述方式扩展的其他鉴权协议。EAP仅仅是可能的实施方式的示例，并且本发明一般不局限于此，而是可以备选地涉及非EAP方案。
在上述说明性示例中，假定移动节点(MN)和AAAh具有公共共享秘密。例如这可能是移动节点中安装的身份模块与归属网络之间共享的对称密钥。身份模块可以是本领域已知的任何防篡改身份模块，包括GSM移动电话中使用的标准SIM卡、通用SIM(USIM)、还称为WIM的WAP SIM、ISIM以及更普遍的UICC模块。对于MN-HA安全关系，可以由MN向AAAh传送种子或现用值(或从相反方向，即由AAAh始发种子并传送到MN)，AAAh据此可以基于共享秘密创建MN-HA安全密钥，例如预共享密钥。移动节点可以独自生成相同的安全密钥，因为它始发种子/现用值(或从AAAh接收种子)并也具有共享秘密。备选地，AAAh可以单独生成MN-HA安全密钥，并将它们传送到MN(受密码保护)和HA。
虽然本发明是参考所示的特定实施例来描述的，但是应强调的是，它还涵盖所公开特征的等效特征以及对于本领域技术人员显而易见的修改和变体。因此，本发明的范围仅由所附的权利要求限定。
                           缩略语
AAA               鉴权、授权和计费
AAAh              归属AAA服务器
AAAv              受访AAA服务器
AKA               鉴权和密钥同意
AP                接入点
BA                绑定确认
BU                绑定更新
DAD               重复地址检测
EAP               可扩展鉴权协议
EP                增强点
GCA               通用容器属性
GSM               全球移动通信系统
HA                归属代理
IKE               因特网密钥交换
IP                因特网协议
Ipsec             IP安全
ISAKMP            因特网安全关联和密钥管理协议
ISIM              IM业务身份模块
MD5               消息摘要5
MIPv6             移动IP第6版
MN                移动节点
NAI               网络接入标识符
NAS               网络接入服务器
PAA               PANA鉴权代理
PAC               PANA客户
PANA              承载网络接入鉴权的协议
PPP               点到点协议
SA                安全关联
SIM               用户身份模块
SPI               安全参数索引
TLS               传输层安全
TLV               类型长度值
TTLS              隧道式TLS
UICC              通用集成电路卡
WAP               无线应用协议
WLAN              无线局域网
                  参考文献
“IPv6中的移动性支持(Mobility Support in IPv6)”，D.Johnson，C.Perkins，J.Arkko，2003年6月30日
“直径移动IPv6应用(Diameter Mobile IPv6 Application)”，Stefano M.Faccin，Franck Le，Basavaraj Patil，Charles E.Perkins，2003年4月
“用于承载网络接入鉴权的协议(Protocol for CarryingAuthentication for Network Access)(PANA)”，D.Forsberg，Y.Ohba，B.Patil，H.Tschofenig，A.Yegin，2003年4月
“EAP隧道式TLS鉴权协议(EAP Tunneled TLSAuthentication Protocol)”，Paul Funk，Simon Blake-Wilson，2002年11月
IEEE标准802.1X，局域网和城域网-基于端口的网络接入控制
“PPP可扩展鉴权协议(PPP Extensible AuthenticationProtocol)(EAP)”，RFC2284，L.Blunk，J.Vollbrecht，1998年3月
“直径可扩展鉴权协议(EAP)应用(Diameter ExtensibleAuthentication Protocol(EAP)Application)”，T.Hiller，G.Zorn，2003年3月
“远程鉴权拨号用户业务(Remote Authentication Dial In UserService)(RADIUS)”，RFC2865，C.Rigney，S.Willens，A.Rubens，W.Simpson，2000年6月
“RADIUS扩展(RADIUS Extensions)”，RFC2869，C.Rigney，W.Willats，P.Calhoun，2000年6月
“直径移动IPv4应用(Diameter Mobile IPv4Application)”，P.Calhoun，T.Johansson，C.Perkins，2003年4月29日
3GPP2X.P0011Ver.1.0-9，3GPP2无线IP网络标准，2003年2月
“因特网密钥交换(The Internet Key Exchange)(IKE)”，RFC2409，D.Harkins，D.Carrel，1998年11月
“因特网安全关联和密钥管理协议(Internet SecurityAssociation and Key Management Protocol)(ISAKMP)”，RFC2408，D.Maughan，M.Schertler，M.Schneider，J.Turner，1998年11月
“EAP AKA鉴权(EAP AKA Authentication)”，J.Arkko，H.Haverinen，2003年10月
“EAP SIM鉴权(EAP SIM Authentication)”，H.Haverinen，J.Salowey，2003年10月
“可扩展鉴权协议(Extensible Authentication Protocol)(EAP)”，L.Blunk，J.Vollbrecht，B.Aboba，J.Carlson，H.Levkowetz，2003年9月
“EAP对等和鉴权者的状态机(State Machines for EAP Peerand Authenticator)”，J.Vollbrecht，P.Eronen，N.Petroni，Y.Ohba，2003年10月
“基于EAP的MIPv6授权和配置(MIPv6Authorization andConfiguration based on EAP)”，G.Giaretta，I.Guardini，E.Demaria，2004年2月

Claims (28)

1.一种移动IP第6版MIPv6的鉴权和授权支持的方法，包括以下步骤：在位于受访网络(20)的移动节点(10)与所述移动节点的归属网络(30)之间、通过AAA基础设施在对所述受访网络透明的端到端过程中以鉴权协议传送MIPv6相关的鉴权和授权信息，
其特征在于：所述鉴权协议是扩展的可扩展鉴权协议EAP，以及所述MIPv6相关的鉴权和授权信息作为附加数据结合在所述EAP协议栈中，其中所述MIPv6相关信息在可用于任何EAP方法的通用容器属性中传送。
2.如权利要求1所述的方法，其特征在于：所述端到端过程是在所述移动节点(10)和所述归属网络(30)中的AAA服务器(34)之间，以及所述受访网络中的节点在所述端到端过程中仅充当直通代理。
3.如权利要求2所述的方法，其特征在于：还将MIPv6相关信息从所述归属网络(30)中的AAA服务器(34)传送到归属代理(26；36)。
4.如权利要求3所述的方法，其特征在于：所述MIPv6相关信息通过所述AAA基础设施传送，以在所述移动节点(10)与所述归属代理(26；36)之间立即或在将来建立MIPv6安全关联和在所述归属代理(26；36)中为所述移动节点(10)建立绑定。
5.如权利要求3所述的方法，其特征在于：
在所述归属网络(30)中的AAA服务器(34)上将所述归属代理(26；36)指定给所述移动节点(10)；以及
将所述移动节点与所述归属代理之间的安全关联建立的证书相关数据从所述归属网络(30)中的AAA服务器分别分发到所述移动节点和所述归属代理。
6.如权利要求5所述的方法，其特征在于：
在所述移动节点(10)上利用它的指定归属代理(26；36)的地址的至少一部分构建所述移动节点的归属地址；以及
利用所选EAP过程的往返将所述移动节点的归属地址从所述移动节点传送到所述归属网络中的AAA服务器(34)。
7.如权利要求2所述的方法，其特征在于：在所述归属网络中的AAA服务器(34)上将归属地址指定给所述移动节点(10)，以及利用所选EAP过程的往返配置所述移动节点(10)的归属地址。
8.一种移动IP第6版MIPv6的鉴权和授权支持的方法，包括以下步骤：在位于受访网络(20)的移动节点(10)与所述移动节点的归属网络(30)之间、通过AAA基础设施在对所述受访网络透明的端到端过程中以鉴权协议传送MIPv6相关的鉴权和授权信息，
其特征在于：所述鉴权协议是扩展的可扩展鉴权协议EAP，以及所述MIPv6相关的鉴权和授权信息作为附加数据结合在所述EAP协议栈中，其中所述MIPv6相关信息在所述EAP协议栈中的方法层的方法特定的通用容器属性中传送。
9.如权利要求8所述的方法，其特征在于：所述端到端过程是在所述移动节点(10)和所述归属网络(30)中的AAA服务器(34)之间，以及所述受访网络中的节点在所述端到端过程中仅充当直通代理。
10.如权利要求9所述的方法，其特征在于：还将MIPv6相关信息从所述归属网络(30)中的AAA服务器(34)传送到归属代理(26；36)。
11.如权利要求10所述的方法，其特征在于：所述MIPv6相关信息通过所述AAA基础设施传送，以在所述移动节点(10)与所述归属代理(26；36)之间立即或在将来建立MIPv6安全关联和在所述归属代理(26；36)中为所述移动节点(10)建立绑定。
12.如权利要求10所述的方法，其特征在于：
在所述归属网络(30)中的AAA服务器(34)上将所述归属代理(26；36)指定给所述移动节点(10)；以及
将所述移动节点与所述归属代理之间的安全关联建立的证书相关数据从所述归属网络(30)中的AAA服务器分别分发到所述移动节点和所述归属代理。
13.如权利要求12所述的方法，其特征在于：
在所述移动节点(10)上利用它的指定归属代理(26；36)的地址的至少一部分构建所述移动节点的归属地址；以及
利用所选EAP过程的往返将所述移动节点的归属地址从所述移动节点传送到所述归属网络中的AAA服务器(34)。
14.如权利要求9所述的方法，其特征在于：在所述归属网络中的AAA服务器(34)上将归属地址指定给所述移动节点(10)，以及利用所选EAP过程的往返配置所述移动节点(10)的归属地址。
15.一种MIPv6的鉴权和授权支持的系统，包括用于在位于受访网络(20)的移动节点(10)与所述移动节点的归属网络(30)之间、通过AAA基础设施在对所述受访网络透明的端到端过程中以鉴权协议传送MIPv6相关的鉴权和授权信息的装置，其特征在于：
所述鉴权协议是扩展的可扩展鉴权协议EAP，以及所述MIPv6相关的鉴权和授权信息作为附加数据结合在所述EAP协议栈中，其中所述用于传送所述MIPv6相关信息的装置可操作用于传送可用于任何EAP系统的通用容器属性。
16.如权利要求15所述的系统，其特征在于，所述端到端过程是在所述移动节点(10)和所述归属网络(30)中的AAA服务器(34)之间，以及所述受访网络中的AAA组件在所述端到端过程中仅充当直通代理。
17.如权利要求16所述的系统，其特征在于，用于还将MIPv6相关信息从所述归属网络(30)中的AAA服务器(34)传送到归属代理(26；36)的装置。
18.如权利要求17所述的系统，其特征在于，所述用于通过所述AAA基础设施传送MIPv6相关信息的装置包括用于在所述移动节点(10)与所述归属代理(26；36)之间立即或在将来建立MIPv6安全关联和在所述归属代理(26；36)中为所述移动节点(10)建立绑定的装置。
19.如权利要求17所述的系统，其特征在于，
用于在所述归属网络(30)中的AAA服务器(34)上将所述归属代理(26；36)指定给所述移动节点(10)的装置；以及
用于将所述移动节点与所述归属代理之间的安全关联建立的证书相关数据从所述归属网络(30)中的AAA服务器分别分发到所述移动节点和所述归属代理的装置。
20.如权利要求19所述的系统，其特征在于
用于在所述移动节点(10)上利用它的指定归属代理(26；36)的地址的至少一部分构建所述移动节点的归属地址的装置；以及
用于利用所选EAP过程的往返将所述移动节点的归属地址从所述移动节点传送到所述归属网络中的AAA服务器(34)的装置。
21.如权利要求16所述的系统，其特征在于，用于在所述归属网络中的AAA服务器(34)上将归属地址指定给所述移动节点(10)的装置，以及用于利用所选EAP过程的往返配置所述移动节点(10)的归属地址的装置。
22.一种MIPv6的鉴权和授权支持的系统，包括用于在位于受访网络(20)的移动节点(10)与所述移动节点的归属网络(30)之间、通过AAA基础设施在对所述受访网络透明的端到端过程中以鉴权协议传送MIPv6相关的鉴权和授权信息的装置，其特征在于：
所述鉴权协议是扩展的可扩展鉴权协议EAP，以及所述MIPv6相关的鉴权和授权信息作为附加数据结合在所述EAP协议栈中，其中所述用于传送所述MIPv6相关信息的装置可操作用于传送在所述EAP协议栈中的方法层的方法特定的通用容器属性。
23.如权利要求22所述的系统，其特征在于，所述端到端过程是在所述移动节点(10)和所述归属网络(30)中的AAA服务器(34)之间，以及所述受访网络中的AAA组件在所述端到端过程中仅充当直通代理。
24.如权利要求23所述的系统，其特征在于，用于还将MIPv6相关信息从所述归属网络(30)中的AAA服务器(34)传送到归属代理(26；36)的装置。
25.如权利要求24所述的系统，其特征在于，所述用于通过所述AAA基础设施传送MIPv6相关信息的装置包括用于在所述移动节点(10)与所述归属代理(26；36)之间立即或在将来建立MIPv6安全关联和在所述归属代理(26；36)中为所述移动节点(10)建立绑定的装置。
26.如权利要求24所述的系统，其特征在于，
用于在所述归属网络(30)中的AAA服务器(34)上将所述归属代理(26；36)指定给所述移动节点(10)的装置；以及
用于将所述移动节点与所述归属代理之间的安全关联建立的证书相关数据从所述归属网络(30)中的AAA服务器分别分发到所述移动节点和所述归属代理的装置。
27.如权利要求26所述的系统，其特征在于
用于在所述移动节点(10)上利用它的指定归属代理(26；36)的地址的至少一部分构建所述移动节点的归属地址的装置；以及
用于利用所选EAP过程的往返将所述移动节点的归属地址从所述移动节点传送到所述归属网络中的AAA服务器(34)的装置。
28.如权利要求23所述的系统，其特征在于，用于在所述归属网络中的AAA服务器(34)上将归属地址指定给所述移动节点(10)的装置，以及用于利用所选EAP过程的往返配置所述移动节点(10)的归属地址的装置。
CN2004800233218A 2003-06-18 2004-06-15 支持移动ip第6版业务的方法、系统和设备 Expired - Fee Related CN1836417B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US47915603P 2003-06-18 2003-06-18
US60/479,156 2003-06-18
US55103904P 2004-03-09 2004-03-09
US60/551,039 2004-03-09
PCT/SE2004/000949 WO2004112348A1 (en) 2003-06-18 2004-06-15 Method, system and apparatus to support mobile ip version 6 services

Publications (2)

Publication Number Publication Date
CN1836417A CN1836417A (zh) 2006-09-20
CN1836417B true CN1836417B (zh) 2011-03-09

Family

ID=33555519

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2004800233218A Expired - Fee Related CN1836417B (zh) 2003-06-18 2004-06-15 支持移动ip第6版业务的方法、系统和设备

Country Status (7)

Country Link
US (1) US7934094B2 (zh)
EP (2) EP1634421A1 (zh)
JP (2) JP2006527966A (zh)
CN (1) CN1836417B (zh)
CA (1) CA2528787A1 (zh)
RU (2) RU2368086C2 (zh)
WO (2) WO2004112347A1 (zh)

Families Citing this family (73)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7475241B2 (en) * 2002-11-22 2009-01-06 Cisco Technology, Inc. Methods and apparatus for dynamic session key generation and rekeying in mobile IP
US7870389B1 (en) 2002-12-24 2011-01-11 Cisco Technology, Inc. Methods and apparatus for authenticating mobility entities using kerberos
CN1265607C (zh) * 2003-12-08 2006-07-19 华为技术有限公司 无线局域网中业务隧道建立的方法
WO2005076564A1 (en) * 2004-02-06 2005-08-18 Telecom Italia S.P.A. Method and system for the secure and transparent provision of mobile ip services in an aaa environment
US7539159B2 (en) * 2004-04-07 2009-05-26 Nokia Corporation Maintaining reachability of a mobile node
US9686669B2 (en) * 2004-04-08 2017-06-20 Nokia Technologies Oy Method of configuring a mobile node
EP2698965A1 (en) * 2004-04-14 2014-02-19 Microsoft Corporation Mobile IPV6 authentication and authorization
MXPA06014964A (es) * 2004-06-21 2007-03-26 Sika Technology Ag Ayuda para la trituracion de cemento.
US8594323B2 (en) * 2004-09-21 2013-11-26 Rockstar Consortium Us Lp Method and apparatus for generating large numbers of encryption keys
US7639802B2 (en) * 2004-09-27 2009-12-29 Cisco Technology, Inc. Methods and apparatus for bootstrapping Mobile-Foreign and Foreign-Home authentication keys in Mobile IP
KR100651716B1 (ko) * 2004-10-11 2006-12-01 한국전자통신연구원 Ｄｉａｍｅｔｅｒ 기반 프로토콜에서 모바일 네트워크의부트스트랩핑 방법 및 그 시스템
US7502331B2 (en) * 2004-11-17 2009-03-10 Cisco Technology, Inc. Infrastructure-less bootstrapping: trustless bootstrapping to enable mobility for mobile devices
US7734051B2 (en) * 2004-11-30 2010-06-08 Novell, Inc. Key distribution
CN100571196C (zh) * 2005-03-22 2009-12-16 华为技术有限公司 移动IPv6报文穿越防火墙的实现方法
FI20050384A0 (fi) * 2005-04-14 2005-04-14 Nokia Corp Geneerisen todentamisarkkitehtuurin käyttö Internet-käytäntöavainten jakeluun matkaviestimissä
FI20050491A0 (fi) * 2005-05-09 2005-05-09 Nokia Corp Järjestelmä varmenteiden toimittamiseksi viestintäjärjestelmässä
US8353011B2 (en) 2005-06-13 2013-01-08 Nokia Corporation Apparatus, method and computer program product providing mobile node identities in conjunction with authentication preferences in generic bootstrapping architecture (GBA)
WO2007034299A1 (en) * 2005-09-21 2007-03-29 Nokia Corporation, Re-keying in a generic bootstrapping architecture following handover of a mobile terminal
US20070101122A1 (en) * 2005-09-23 2007-05-03 Yile Guo Method and apparatus for securely generating application session keys
US7626963B2 (en) * 2005-10-25 2009-12-01 Cisco Technology, Inc. EAP/SIM authentication for mobile IP to leverage GSM/SIM authentication infrastructure
US7818783B2 (en) * 2006-03-08 2010-10-19 Davis Russell J System and method for global access control
KR101203470B1 (ko) 2006-03-10 2012-11-27 삼성전자주식회사 핸드오버하는 이동 단말을 인증하는 방법
US8230212B2 (en) * 2006-08-29 2012-07-24 Alcatel Lucent Method of indexing security keys for mobile internet protocol authentication
KR100863135B1 (ko) * 2006-08-30 2008-10-15 성균관대학교산학협력단 이동환경에서의 듀얼 인증 방법
WO2008043319A1 (en) * 2006-10-11 2008-04-17 Huawei Technologies Co., Ltd. Mobile ip key bootsrapping system and method
US20080095114A1 (en) * 2006-10-21 2008-04-24 Toshiba America Research, Inc. Key Caching, QoS and Multicast Extensions to Media-Independent Pre-Authentication
CN101193039B (zh) * 2006-11-22 2011-04-20 华为技术有限公司 网络侧支持移动ip增强能力的通知方法
US8539559B2 (en) 2006-11-27 2013-09-17 Futurewei Technologies, Inc. System for using an authorization token to separate authentication and authorization services
US8412207B2 (en) 2006-12-21 2013-04-02 Core Wireless Licensing S.A.R.L. Method of providing a mobility service
ATE501583T1 (de) * 2007-01-04 2011-03-15 Ericsson Telefon Ab L M Verfahren und vorrichtung zur bestimmung einer authentifikationsprozedur
US8099597B2 (en) 2007-01-09 2012-01-17 Futurewei Technologies, Inc. Service authorization for distributed authentication and authorization servers
JP2008211446A (ja) * 2007-02-26 2008-09-11 Nippon Telegr & Teleph Corp <Ntt> 通信システムおよび通信方法
US8411858B2 (en) * 2007-03-28 2013-04-02 Apple Inc. Dynamic foreign agent-home agent security association allocation for IP mobility systems
US8285990B2 (en) 2007-05-14 2012-10-09 Future Wei Technologies, Inc. Method and system for authentication confirmation using extensible authentication protocol
EP2168068B1 (en) * 2007-06-11 2015-08-26 Telefonaktiebolaget L M Ericsson (publ) Method and arrangement for certificate handling
US8667151B2 (en) * 2007-08-09 2014-03-04 Alcatel Lucent Bootstrapping method for setting up a security association
JP4970189B2 (ja) * 2007-08-10 2012-07-04 株式会社東芝 認証装置およびネットワーク認証システム、ならびに端末装置を認証するための方法およびプログラム
KR101523090B1 (ko) * 2007-08-24 2015-05-26 삼성전자주식회사 모바일 아이피를 이용하는 이동통신 시스템에서 단말의 이동성 관리 방법 및 장치
JP5238029B2 (ja) * 2007-09-20 2013-07-17 テレフオンアクチーボラゲット エル エム エリクソン（パブル） 通信ネットワーク間でのローミングの方法および装置
US8914445B2 (en) * 2007-10-17 2014-12-16 Futurewei Technologies, Inc. System and method for diameter prefix authorization
US8532614B2 (en) * 2007-10-25 2013-09-10 Interdigital Patent Holdings, Inc. Non-access stratum architecture and protocol enhancements for long term evolution mobile units
CN101222494B (zh) * 2007-12-29 2010-10-20 北京邮电大学 移动互联网中分层aaa的移动性管理系统和方法
US8279872B1 (en) * 2008-04-25 2012-10-02 Clearwire Ip Holdings Llc Method for obtaining a mobile internet protocol address
US8370503B2 (en) * 2008-05-02 2013-02-05 Futurewei Technologies, Inc. Authentication option support for binding revocation in mobile internet protocol version 6
US8788826B1 (en) * 2008-06-06 2014-07-22 Marvell International Ltd. Method and apparatus for dynamically allocating a mobile network prefix to a mobile terminal
RU2506704C2 (ru) * 2008-07-18 2014-02-10 Эбсолют Софтвэар Корпорейшн Управление конфиденциальностью для отслеживаемых устройств
JP5727227B2 (ja) * 2008-10-22 2015-06-03 パナソニック インテレクチュアル プロパティ コーポレーション オブアメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 通信システム、通信方法、ネットワーク側通信装置並びに通信端末
US20110214166A1 (en) * 2008-10-29 2011-09-01 Nokia Corporation Connection management
TWI477162B (zh) * 2009-03-05 2015-03-11 Interdigital Patent Holdings 安全遠距訂購管理
CA2696037A1 (en) 2010-03-15 2011-09-15 Research In Motion Limited Advertisement and dynamic configuration of wlan prioritization states
CN101808319A (zh) * 2010-03-16 2010-08-18 东南大学 一种保护移动锚点和移动节点通信安全的方法
US8340292B1 (en) * 2010-04-01 2012-12-25 Sprint Communications Company L.P. Lawful intercept management by an authorization system
US8442024B2 (en) 2010-05-14 2013-05-14 Research In Motion Limited Advertisement and distribution of notifications in a wireless local area network (WLAN)
US8929346B2 (en) 2010-05-14 2015-01-06 Blackberry Limited Advertisement and distribution of notifications in a wireless local area network (WLAN)
US8458279B2 (en) * 2010-05-14 2013-06-04 Research In Motion Limited Advertisement and distribution of notifications using extensible authentication protocol (EAP) methods
US8681769B2 (en) 2010-05-14 2014-03-25 Blackberry Limited Incorporation of a notification in a network name
KR101981229B1 (ko) * 2011-04-15 2019-05-22 삼성전자주식회사 머신-대-머신 노드 소거 절차
US8750180B2 (en) 2011-09-16 2014-06-10 Blackberry Limited Discovering network information available via wireless networks
US9060263B1 (en) * 2011-09-21 2015-06-16 Cellco Partnership Inbound LTE roaming footprint control
RU2465638C1 (ru) * 2011-10-04 2012-10-27 Общество с ограниченной ответственностью "Сетевизор" Способ распространения мультимедийной информации посредством развертывания децентрализованной сети типа peer-to-peer и децентрализованная сеть для осуществления способа
US8942221B2 (en) 2011-11-10 2015-01-27 Blackberry Limited Caching network discovery responses in wireless networks
US9204299B2 (en) 2012-05-11 2015-12-01 Blackberry Limited Extended service set transitions in wireless networks
US10812964B2 (en) 2012-07-12 2020-10-20 Blackberry Limited Address assignment for initial authentication
US9137621B2 (en) 2012-07-13 2015-09-15 Blackberry Limited Wireless network service transaction protocol
US9301127B2 (en) 2013-02-06 2016-03-29 Blackberry Limited Persistent network negotiation for peer to peer devices
CN113596828A (zh) * 2014-10-31 2021-11-02 康维达无线有限责任公司 端对端服务层认证
WO2016149355A1 (en) 2015-03-16 2016-09-22 Convida Wireless, Llc End-to-end authentication at the service layer using public keying mechanisms
CN106487717B (zh) * 2015-09-02 2020-03-27 华为技术有限公司 接入控制设备及认证控制方法
JP2017167763A (ja) * 2016-03-15 2017-09-21 富士通株式会社 情報処理装置、試験実行方法および試験実行プログラム
WO2018095256A1 (en) * 2016-11-26 2018-05-31 Huawei Technologies Co., Ltd. System, method and devices for mka negotiation between the devices
US10169023B2 (en) * 2017-02-06 2019-01-01 International Business Machines Corporation Virtual container deployment
US11240027B2 (en) * 2019-02-04 2022-02-01 Hewlett Packard Enterprise Development Lp Synchronizing radius server databases using distributed ledger network
JP2023039218A (ja) 2021-09-08 2023-03-20 キオクシア株式会社 計算機および制御方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1318936A (zh) * 2001-06-18 2001-10-24 尹远裕 在固定电信网上实现宽带可移动通信的方法
CN1383302A (zh) * 2002-06-05 2002-12-04 尹远裕 在固定电信网上实现宽带可移动通信的方法

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7079499B1 (en) * 1999-09-08 2006-07-18 Nortel Networks Limited Internet protocol mobility architecture framework
US7242932B2 (en) * 2000-05-17 2007-07-10 Motorola, Inc. Mobile internet protocol on a signaling channel
JP3639208B2 (ja) * 2000-11-28 2005-04-20 株式会社東芝 移動通信システム、移動端末装置、ａａａｈサーバ装置、認証課金サービス提供方法、認証課金サービス享受方法、移動端末装置情報提供方法及び相手端末確認方法
US6879690B2 (en) * 2001-02-21 2005-04-12 Nokia Corporation Method and system for delegation of security procedures to a visited domain
US20020120844A1 (en) * 2001-02-23 2002-08-29 Stefano Faccin Authentication and distribution of keys in mobile IP network
US7444513B2 (en) * 2001-05-14 2008-10-28 Nokia Corporiation Authentication in data communication
JP2003008622A (ja) 2001-06-22 2003-01-10 Fujitsu Ltd サービス制御ネットワーク、及びそのサービス制御ネットワークにおいて使用されるルータ装置
US7213144B2 (en) 2001-08-08 2007-05-01 Nokia Corporation Efficient security association establishment negotiation technique
US7389412B2 (en) * 2001-08-10 2008-06-17 Interactive Technology Limited Of Hk System and method for secure network roaming
JP4034729B2 (ja) 2001-09-12 2008-01-16 テレフオンアクチーボラゲット エル エム エリクソン（パブル） モバイルインターネット通信装置及び方法
US7061887B2 (en) * 2002-01-25 2006-06-13 Telefonaktiebolaget Lm Ericsson (Publ) Multiple mobile IP sessions with dynamically allocated home IP address
US6973086B2 (en) * 2002-01-28 2005-12-06 Nokia Corporation Method and system for securing mobile IPv6 home address option using ingress filtering
US7564824B2 (en) * 2002-02-04 2009-07-21 Qualcomm Incorporated Methods and apparatus for aggregating MIP and AAA messages
US7965693B2 (en) * 2002-05-28 2011-06-21 Zte (Usa) Inc. Interworking mechanism between wireless wide area network and wireless local area network
US7529933B2 (en) * 2002-05-30 2009-05-05 Microsoft Corporation TLS tunneling
US20030226037A1 (en) * 2002-05-31 2003-12-04 Mak Wai Kwan Authorization negotiation in multi-domain environment
ES2268064T5 (es) * 2002-08-16 2014-01-09 Togewa Holding Ag Procedimiento y sistema para la autenticación de GSM durante una itinerancia WLAN
GB0221674D0 (en) * 2002-09-18 2002-10-30 Nokia Corp Linked authentication protocols
AU2003276588A1 (en) * 2002-11-18 2004-06-15 Nokia Corporation Faster authentication with parallel message processing
US7587598B2 (en) * 2002-11-19 2009-09-08 Toshiba America Research, Inc. Interlayer fast authentication or re-authentication for network communication
US7310307B1 (en) * 2002-12-17 2007-12-18 Cisco Technology, Inc. System and method for authenticating an element in a network environment

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1318936A (zh) * 2001-06-18 2001-10-24 尹远裕 在固定电信网上实现宽带可移动通信的方法
CN1383302A (zh) * 2002-06-05 2002-12-04 尹远裕 在固定电信网上实现宽带可移动通信的方法

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
.IETF,2003,第3.2节至第5.2节,第7.6节. *
draft-le-aaa-diameter-mobileipv6-03.txt&gt *
Stefano M.Faccin,Franck Le,Basavaraj Patil,CharlesE.Perkins.Diameter Mobile IPv6 Application&lt *
Stefano M.Faccin,Franck Le,Basavaraj Patil,CharlesE.Perkins.Diameter Mobile IPv6 Application<draft-le-aaa-diameter-mobileipv6-03.txt>.IETF,2003,第3.2节至第5.2节,第7.6节.
Wirelss IP Network Standard Version 1.0.0.3GPP 2 P.S0001-b,2002,第5.2.1节,第5.4.1节,第6.3.2节,第12.1节.
Wirelss IP Network Standard Version 1.0.0.3GPP 2 P.S0001-b,2002,第5.2.1节,第5.4.1节,第6.3.2节,第12.1节. *

Also Published As

Publication number Publication date
WO2004112347A1 (en) 2004-12-23
US7934094B2 (en) 2011-04-26
JP2006527967A (ja) 2006-12-07
CA2528787A1 (en) 2004-12-23
CN1836417A (zh) 2006-09-20
EP1634422A1 (en) 2006-03-15
WO2004112348B1 (en) 2005-04-14
WO2004112347B1 (en) 2005-06-16
RU2322766C2 (ru) 2008-04-20
EP1634421A1 (en) 2006-03-15
RU2006101329A (ru) 2006-07-27
JP4377409B2 (ja) 2009-12-02
RU2368086C2 (ru) 2009-09-20
JP2006527966A (ja) 2006-12-07
US20070124592A1 (en) 2007-05-31
WO2004112348A1 (en) 2004-12-23
EP1634422B1 (en) 2016-11-16
RU2006101340A (ru) 2006-06-10

Similar Documents

Publication Publication Date Title
CN1836417B (zh) 支持移动ip第6版业务的方法、系统和设备
CN1836419B (zh) 在cdma系统中支持移动ip第6版业务的方法、系统和设备
US7983418B2 (en) AAA support for DHCP
US20060185013A1 (en) Method, system and apparatus to support hierarchical mobile ip services
US7512796B2 (en) Authentication in a packet data network
KR100935421B1 (ko) 모바일 인터넷 프로토콜 키 분배를 위한 일반 인증아키텍처의 이용
JP2009515450A (ja) モビリティキーを提供する方法とサーバ
WO2006003631A1 (en) Domain name system (dns) ip address distribution in a telecommunications network using the protocol for carrying authentication for network access (pana)
CN100539586C (zh) 支持分级移动ip业务的方法、系统和设备
US8908871B2 (en) Mobile internet protocol system and method for updating home agent root key
CN101447978B (zh) 在WiMAX网络中拜访AAA服务器获取正确的HA-RK Context的方法
ES2616499T3 (es) Aparatos y método para autenticación en redes de IP heterogéneas
Laurent-Maknavicius et al. Sécurité inter-domaine pour la mobilité IPV6

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
CI02 Correction of invention patent application

Correction item: Priority

Correct: 2004.03.09 US 60/551,039

False: Lack of priority second

Number: 38

Page: The title page

Volume: 22

COR Change of bibliographic data

Free format text: CORRECT: PRIORITY; FROM: MISSING THE SECOND ARTICLE OF PRIORITY TO: 2004.3.9 US 60/551,039

REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1094105

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
REG Reference to a national code

Ref country code: HK

Ref legal event code: WD

Ref document number: 1094105

Country of ref document: HK

CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110309

Termination date: 20170615