CN1947453B - 未经许可的移动接入信令的改进的用户认证 - Google Patents
未经许可的移动接入信令的改进的用户认证 Download PDFInfo
- Publication number
- CN1947453B CN1947453B CN200580013090.7A CN200580013090A CN1947453B CN 1947453 B CN1947453 B CN 1947453B CN 200580013090 A CN200580013090 A CN 200580013090A CN 1947453 B CN1947453 B CN 1947453B
- Authority
- CN
- China
- Prior art keywords
- travelling carriage
- mobile access
- unauthorized mobile
- access network
- core network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/2854—Wide area networks, e.g. public data networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04M—TELEPHONIC COMMUNICATION
- H04M3/00—Automatic or semi-automatic exchanges
- H04M3/38—Graded-service arrangements, i.e. some subscribers prevented from establishing certain connections
- H04M3/382—Graded-service arrangements, i.e. some subscribers prevented from establishing certain connections using authorisation codes or passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04M—TELEPHONIC COMMUNICATION
- H04M2207/00—Type of exchange or network, i.e. telephonic medium, in which the telephonic communication takes place
- H04M2207/18—Type of exchange or network, i.e. telephonic medium, in which the telephonic communication takes place wireless networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/60—Context-dependent security
- H04W12/69—Identity-dependent
- H04W12/72—Subscriber identity
Landscapes
- Engineering & Computer Science (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Mobile Radio Communication Systems (AREA)
- Pens And Brushes (AREA)
- Interface Circuits In Exchanges (AREA)
Abstract
一种系统,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在从移动台发出较高层消息之前,向未经许可的移动接入网络认证该移动台并此后用于向核心网络认证该移动台的认证装置。该系统也包括具有用户识别模块的移动台,该用户识别模块包括用于识别该移动台的识别工具。该系统还包括用于将该移动台连接到该核心网络,并用于中继该移动台和该核心网络之间的信号的未经许可的移动接入网络。该未经许可的移动接入网络包括用于确保通过该未经许可的移动接入网络到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的移动台的检验装置。
Description
技术领域
本发明涉及未经许可的移动接入网络中的通信,并特别涉及移动台和移动网络之间通信期间的用户接入认证。
背景技术
在未经许可的移动接入体系结构中,移动台利用诸如无线LAN(WLAN)或蓝牙的未经许可的无线技术,以与未经许可的移动接入网络通信。在这种配置中,该未经许可的移动接入网络取代了传统的全球移动通信系统(GSM)配置中使用的全球移动通信系统基站子系统(GSMBSS)。该移动台和该未经许可的移动接入网络之间的接口使用至少部分地在未经许可的无线技术上运行的互联网协议,和新的未经许可的无线资源协议。
在典型的未经许可的移动接入部署中,该移动台与连接到宽带互联网连接的WLAN接入点通信。由于在该移动台和该未经许可的移动接入网络之间的连接中可能使用不可信任的网络,所以必须提供充分的安全特征。
因此,在该未经许可的移动接入体系结构中,在诸如移动管理的任何未经许可的无线资源信令和较高层消息可以从该移动台发送到该未经许可的移动接入网络之前,该未经许可的移动接入网络认证用户。该未经许可的移动接入网络可以通过使用诸如密码、授权证书或者SIM卡的既存的认证方法认证移动台上的用户。在该移动台和该未经许可的移动接入网络之间的信令通信量是加密的并使用例如IPsec或者传输层安全协议保护其完整性。可选地,用户平面通信量也可以使用IPsec或者安全实时传输协议保护。
在用该未经许可的移动接入网络认证了用户之后,接着将该用户认证到该未经许可的移动接入体系结构中的核心网络。为了确保核心网络认证正确的用户,该核心网络将询问(RAND)发送到移动台。该移动台使用用户识别模块(SIM)卡计算响应(SRES)和密钥(Kc)。该移动台将该响应发送到该核心网络,并且如果该响应正确,则核心网络通过给该未经许可的移动接入网络发送“BSSMAP密码模式命令”消息来启动加密。该密码模式命令消息包括许可的算法列表和该密钥。与GSM配置中BSS从密码模式命令消息选择适当的算法并通过给移动台发送所选算法命令该移动台启动加密不同,在未经许可的移动接入体系结构中,移动台与未经许可的移动接入网络之间的连接已经加密,而且在BSSMAP密码模式命令消息中包含的算法不适合移动台和未经许可的移动接入网络之间使用的IPsec或者TLS加密。因此,未经许可的移动接入网络既不使用来自该BSSMAP密码模式命令消息的算法,也不使用其中的密钥。然而,该未经许可的移动接入网络向移动台转发密码模式命令中的算法列表,并且该移动台存储参数和密钥,用于稍后在执行到GSM网络的移交时使用。
在未经许可的移动接入体系结构中使用的认证程序不确保认证到该未经许可的移动接入网络的身份与认证到核心网络的身份相同。这允许了“中间人”攻击,其中拥有有效订制的攻击者可以,例如,进行使其它用户付费的呼叫。
图1说明了拥有有效订制的用户如何能够执行中间人攻击。在步骤1010中,用户连接到该未经许可的移动接入网络,而该未经许可的移动接入网络认证该用户并建立安全通道。在步骤1020中,在移动台和该未经许可的移动接入网络之间建立未经许可的无线资源信令。在步骤1030中,该用户用包含向核心网络识别该用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息请求服务。然而,在这个步骤中,执行中间人攻击的用户包含另外的未被怀疑的用户的IMSI或TMSI。在步骤1040中,该未经许可的移动接入网络将该请求消息转发到核心网络,而不检查该请求消息的内容。在步骤1050中,响应于该请求消息,核心网络将认证请求发送到该移动台。在步骤1060中,当该用户接收到该请求消息时,不利用该用户的SIM或USIM计算该认证请求的响应,而该用户伪装为GSM网络中的BSS,并将该认证请求转发给其它未被怀疑的用户。其它未被怀疑的用户使用其SIM卡计算对该认证请求的响应并将该响应发送给伪装为BSS的该用户。如果使用UMTS协议,则附加的“AUTN”参数由核心网络发送并由其它未被怀疑的用户校验。然而,该AUTN参数不能防止中间人攻击。在步骤1070中,在接收来自其它未被怀疑的用户的响应时,执行中间人攻击的用户用其它用户的SIM将该响应转发给该未经许可的移动接入网络。在步骤1080中,该未经许可的移动接入网络将该响应转发给核心网络,而不检查该响应的内容。在步骤1090中,核心网络校验该响应,因为其它未被怀疑的用户是有效用户所以它是正确的,并将BSSMAP密码模式命令消息发送到该未经许可的移动接入网络。由于该未经许可的移动接入网络不使用由核心网络在密码模式命令消息中提供的算法或密钥,该未经许可的移动接入网络简单地将允许的算法列表转发给该用户。在步骤1100中,在该移动台和该未经许可的移动接入网络之间完成了URR计算模式。在步骤1010中,在该未经许可的移动接入网络和核心网络之间完成了BSSMAP密码模式命令。
在用其它用户的信息完成了密码模式设置之后,该用户随后能够在建立呼叫时执行正常的移动管理和呼叫控制信令。这导致了核心网络使用其它用户的IMSI或TMSI用于计费的目的。
发明内容
根据本发明的一个方面,提供了一种未经许可的移动接入网络,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该网络包括用于在将较高层消息从移动台发送到核心网络之前,向该未经许可的移动接入网络认证该移动台的认证装置。该网络还包括用于将该移动台连接到该核心网络,并用于中继该移动台和该核心网络之间的信号的连接装置,和用于确保通过该未经许可的移动接入网络从该移动台到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的移动台的检验装置。在该移动台和该未经许可的移动接入网络之间认证期间,该未经许可的移动接入网络存储与该移动台相关联的识别工具,并在该移动台和该核心网络之间的认证之后,该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的较高层消息,以确保与移动台相关联的识别工具被存储在该较高层消息中。
根据本发明的另一个方面,提供了一种未经许可的移动接入网络,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该网络包括用于在较高层消息从移动台发送到核心网络之前,向该未经许可的移动接入网络认证该移动台的认证装置。该网络还包括用于将该移动台连接到该核心网络并用于中继该移动台和该核心网络之间的信号的连接装置。在该移动台和该核心网络之间的认证期间,该未经许可的移动接入网络包括从该核心网络到该移动台的命令消息中的认证信息并响应于该命令消息,该移动台包括用该认证信息加密的代码和在该移动台中计算的密钥。
根据本发明的另一个方面,提供了一种未经许可的移动接入网络,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该网络包括用于在将较高层消息从移动台发送到核心网络之前,向该未经许可的移动接入网络认证该移动台的认证装置,其中该移动台包括用户识别模块,该用户识别模块包括用于识别该移动台的识别工具和密钥。该网络还包括用于将该移动台连接到该核心网络的连接装置以及用于中继该移动台和该核心网络之间的信号的中继装置。在该移动台和该核心网络之间认证期间,该移动台将该密钥传送到该未经许可的移动接入网络的IPsec或者TLS层,从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中,提供了一种与未经许可的移动接入网络进行通信的移动台,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该移动台包括用于在较高层消息从移动台发送到核心网络之前,向该未经许可的移动接入网络认证该移动台的认证装置。该移动台还包括用户识别模块,该用户识别模块包括用于识别该移动台的识别工具和密钥。该移动台还包括用于将该移动台连接到该核心网络,并中继该移动台和该核心网络之间的信号的连接装置。在该移动台和该核心网络之间认证期间,该移动台将该密钥传送到IPsec或者TLS层,从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中,提供了一种系统,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在从移动台发送较高层消息之前,向未经许可的移动接入网络认证该移动台,并此后,用于向核心网络认证该移动台的认证装置。该系统也包括具有用户识别模块的移动台,该用户识别模块包括用于识别该移动台的识别工具。该系统还包括用于将该移动台连接到该核心网络,并用于中继该移动台和该核心网络之间的信号的未经许可的移动接入网络。该未经许可的移动接入网络包括用于确保通过该未经许可的移动接入网络到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的移动台的检验装置。该系统也包括用于实现交易控制和用户服务的核心网络。在该移动台和该未经许可的移动接入网络之间认证期间,该未经许可的移动接入网络存储与该移动台相关联的识别工具,并在该移动台和该核心网络之间的认证之后,该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的较高层消息,并且确保与移动台相关联的识别工具被存储在该较高层消息中。
根据本发明的另一个方面,提供了一种系统,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在将较高层消息从移动台发送之前,向未经许可的移动接入网络认证该移动台,并此后用于向核心网络认证该移动台的认证装置。该系统也包括具有用户识别模块的移动台,该用户识别模块包括用于识别该移动台的识别工具和密钥。该系统还包括用于将该移动台连接到该核心网络,并用于中继该移动台和该核心网络之间的信号以实现交易控制和用户服务的未经许可的移动接入网络。在该移动台和该核心网络之间认证期间,该未经许可的移动接入网络包括从该核心网络到该移动台的命令消息中的认证信息并响应于该命令消息,该移动台包括用该认证信息和该密钥加密的代码。
根据本发明的另一个方面,提供了一种系统,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在从移动台发送较高层消息之前,向未经许可的移动接入网络认证该移动台,并此后用于向核心网络认证该移动台的认证装置。该系统还包括具有用户识别模块的移动台,该用户识别模块包括用于识别该移动台的识别工具和密钥。该系统还包括用于将该移动台连接到该核心网络,并用于中继该移动台和该核心网络之间的信号以实现交易控制和用户服务的未经许可的移动接入网络。在该移动台和该核心网络之间认证期间,该移动台将该密钥传送到IPsec或者TLS层,从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中,提供了一种在未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤:在将较高层消息从移动台发送到核心网络之前,在该未经许可的移动接入网络中认证该移动台;和在该未经许可的移动接入网络中,转发从该移动台到该核心网络的服务请求,其中该移动台的IMSI包括在该服务请求中。该方法还包括下列步骤:在该未经许可的移动接入网络中,发送从该核心网络到该移动台的认证请求;在该未经许可的移动接入网络中,响应于该认证请求转发认证响应;和通过该未经许可的移动接入网络,检查从该移动台到该核心网络的较高层消息,以确保与该移动台相关联的识别工具被存储在该较高层消息中。
在本发明的另一个方面中,提供了一种在未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤:在较高层消息从移动台发送到核心网络之前,在该未经许可的移动接入网络中认证该移动台;和在该未经许可的移动接入网络中,转发从该移动台到该核心网络的服务请求,其中该移动台的IMSI包括在该服务请求中。该方法还包括下列步骤:在该未经许可的移动接入网络中,发送从该核心网络到该移动台的认证请求;在该未经许可的移动接入网络中,响应于该认证请求转发认证响应,其中该移动台响应于该认证请求创建密钥。该方法还包括下列步骤:在该未经许可的移动接入网络中,将由该核心网络创建的密码模式命令消息转发到该移动台;由该未经许可的移动接入网络将认证信息包括在从该核心网络到该移动台的密码模式命令消息中并将修改后的密码模式命令消息转发给该移动台;并由该未经许可的移动接入网络从该移动台接收用该认证信息和密钥加密的代码。
根据本发明的另一个方面,提供了一种方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤:在从移动台发送较高层消息之前,向该未经许可的移动接入网络认证该移动台;由该移动台从该核心网络请求服务,并在该请求消息中包括该移动台的IMSI;并且由该未经许可的移动接入网络将该请求消息转发到该核心网络,而不由该未经许可的移动接入网络检查该消息。该方法还包括下列步骤:通过该未经许可的移动接入网络,从该核心网络发送到该移动台的认证请求;响应该认证请求由该移动台创建认证响应并通过该未经许可的移动接入网络将该认证响应转发到该核心网络。该方法还包括下列步骤:由该核心网络校验该认证响应;并将密码模式命令消息发送到该未经许可的移动接入网络。该方法还包括下列步骤:由该未经许可的移动接入网络将在该密码模式命令消息中的允许的算法列表转发到该移动台;并由该未经许可的移动接入网络检查来自该移动台的较高层消息,以确保与移动台相关联的识别工具被存储在该较高层消息中。
根据本发明的另一个方面,提供了一种方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤:在从移动台发送较高层消息之前,向该未经许可的移动接入网络认证该移动台;由该移动台从该核心网络请求服务,并在该请求消息中包括该移动台的IMSI;并且由该未经许可的移动接入网络将该请求消息转发到该核心网络,而不由该未经许可的移动接入网络检查该消息。该方法还包括下列步骤:通过该未经许可的移动接入网络,将认证请求从该核心网络发送到该移动台;响应于该认证请求由该移动台创建认证响应并通过该未经许可的移动接入网络将该认证响应转发到该核心网络;由该核心网络校验该认证响应;并将密码模式命令消息发送到该未经许可的移动接入网络。该方法还包括下列步骤:在从该核心网络到该移动台的密码模式命令消息中包括认证信息,并由该未经许可的移动接入网络,在该密码模式命令消息中转发到该移动台;并响应于该命令消息,由该移动台包括用该认证信息和密钥加密的代码,并将该响应转发到该未经许可的移动接入网络。
在本发明的另一个方面中,提供了一种方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤:在从移动台发送较高层消息之前,向未经许可的移动接入网络认证该移动台;由该移动台从该核心网络请求服务,并在该请求消息中包括该移动台的IMSI;并且通过该未经许可的移动接入网络,将该请求消息转发到该核心网络,而不通过该未经许可的移动接入网络检查该消息。该方法还包括下列步骤:通过该未经许可的移动接入网络,将认证请求从该核心网络发送到移动台;响应于该认证请求由该移动台创建认证响应并通过该未经许可的移动接入网络将该认证响应转发到该核心网络;由该核心网络校验该认证响应,并将密码模式命令消息发送到该未经许可的移动接入网络;由该未经许可的移动接入网络将该密码模式命令消息转发到该移动台;并由该移动台将密钥传送到IPsec或者TLS层,从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中,提供了一种在实现未经许可的移动接入网络的配置中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤:在从移动台发送较高层消息之前,向未经许可的移动接入网络认证该移动台;由该移动台从该核心网络请求服务,并在该请求消息中包括该移动台的IMSI。该方法还包括下列步骤:响应于来自该核心网络的认证请求,由该移动台创建认证响应,并通过该未经许可的移动接入网络,将该认证响应转发到该核心网络;并由该移动台将密钥传送到IPsec或者TLS层,从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
附图说明
附图与用于解释本发明之原理的说明书一同说明了本发明的实施方式,附图提供了本发明的进一步理解,并被结合在说明书中且组成了本说明书的一部分。
在附图中:
图1说明了具有有效订制的用户如何能够执行中间人攻击;
图2说明了实现在其中实现了本发明的未经许可的移动接入体系结构的系统200的部件;
图3说明了在本发明的实施方式中实现的防止由有效用户进行中间人攻击的步骤;
图4说明了在另一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤;
图5说明了在又一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤。
具体实施方式
现在将详细参考本发明的优选实施方式,在附图中说明了本发明的示例。下面描述的本发明扩展了用于用未经许可的移动接入网络和核心网络认证移动台的本发明方法的功能。
本发明涉及在实现未经许可的移动接入体系结构的系统中的移动台的认证,从而防止“中间人”攻击。该未经许可的移动接入配置,通过为某些全球移动通信系统/通用分组无线业务(GSM/GPRS)协议建立从在宽带互联网协议(IP)上的核心网络到用户设备的通道,并通过随后将它们在用户设备内部的未经许可的无线链接上进行中继,扩展了GSM/GPRS移动服务。未经许可的移动接入被设计为对传统GSM/GPRS无线覆盖的补充,并用于增强用户设备覆盖,增加网络容量并潜在地降低成本。未经许可的移动接入配置中的未经许可的移动接入网络被设计为与GSM/GPRS无线接入网络共存,并通过标准GSM基站子系统(GSMBSS)使用的相同的接口,使GSM核心网络与移动台互相连接。因此,该未经许可的移动接入网络对GSM/GPRS核心网络看来象一个GSMBSS,并且也象GSMBSS这样管理及运行。应该注意到,未经许可的移动接入可以取代GSM协议以UMTS协议方式使用。在这种情况下,该未经许可的移动接入网络对核心网络看来是无线接入网络。
图2说明了实现在其中实现了本发明的未经许可的移动接入体系结构的系统200的部件。系统200包括三个主要部件:移动台202、未经许可的移动接入网络204和核心网络206。对本领域的技术人员来说很明显,移动台202可以包括电话、膝上型电脑、PDA或者任何由未经许可的移动接入配置中的用户使用的其它设备。移动台202存在于用户设备201上,而且移动台202包括移动终端208和用户识别模块(SIM)210。未经许可的移动接入网络204提供等同于GSM/GPRS基站控制器的功能,其中未经许可的移动接入网络204将移动台202连接到核心网络206,并通过用于电路和交换语音服务的标准GSMA-接口和用于分组数据服务的标准GPRSGb-接口与移动台202通信。核心网络206实现交易控制和用户服务的原理要素。宽带IP网络205提供用户设备201与未经许可的移动接入网络204之间的连接性,而接入点203提供到移动台202的未经许可的无线链接。通过在用户设备201中的接入点203,IP传输网络从未经许可的移动接入网络204扩展到移动台202,从而能够在未经许可的移动接入网络204和移动台202之间定义单一的接口,Ut。
特别地,在移动台202中,SIM210是提供个人移动性的智能卡,以致用户可以在SIM210插入任何终端时接入订制的服务。因此,当SIM210插入终端时,该用户能够在该终端接收呼叫,从该终端进行呼叫和接收其它订制的服务。国际移动设备身份(IMEI)唯一地识别移动台202,以及在其它信息之中,SIM210还包括了用于向系统识别用户的国际移动用户身份(IMSI),和用于认证的密钥Kc。IMEI和IMSI是互相独立的,从而允许个人移动性。如本领域的普通技术人员所熟知的,SIM210可以通过密码或者个人身份号码保护免除未认证的使用。
在该未经许可的移动接入体系结构中,移动台202提供了双重模式,即许可的和未经许可的无线通信,以及在它们之间切换的能力。提供了接入模式开关以在GSM模式和未经许可的移动接入模式之间进行切换。移动台202支持到接入点203的IP接口,从支持IP网络从未经许可的移动接入网络204扩展到移动台202。接入点203最好不提供任何未经许可的移动接入专用网关功能。因此,可以将任何标准接入点用于通过宽带IP网络205使移动台202连接到未经许可的移动接入网络204。接入点203提供对于移动台202的未经许可的无线链接,而且它通过宽带IP网络205连接到未经许可的移动接入网络204。
如上所示,未经许可的移动接入网络204提供等同于GSM/GRPS基站控制器的功能。它通过IP传输网络连接到用户设备201,并通过接入点203连接到移动台202。未经许可的移动接入网络204与移动台203保持端到端通信,并向核心网络206中继GSM/GPRS信号。特别地,当核心网络206中的移动交换中心不使用某些特征时,它将来自用户设备201的声音映射为PCM声音。
核心网络206包括移动交换中心(MSC)212、归属用户位置寄存器(HLR)214、访问用户位置寄存器(VLR)216、设备身份寄存器(EIR)218和认证中心220。MSC212起到如同PSTN或ISDN的常规交换节点的作用,并提供处理移动用户的所有功能,比如注册、认证、位置更新、移交和呼叫路由到漫游用户。MSC212还提供到比如PSTN或ISDN的固定网络的连接。HLR214与MSC212和VLR216共同工作,以提供GSM的呼叫路由和漫游能力。HLR214包括在相应GSM网络和基站202的当前位置中注册的每个用户的所有管理信息。VLR216包括从HLR214中选择的管理信息,这是呼叫控制和为当前位于受VLR216控制的地理区域中的每个移动台提供订制的服务所必需的。EIR218是包括网络上所有有效移动设备列表的数据库,其中每个移动台由其IMEI识别。认证中心220是受保护的数据库,其存储了在每个用户的SIM210卡中存储的密钥的拷贝,其中该密钥用于无线信道上的认证和加密。
未经许可的移动接入网络204和移动台202之间的Ut接口在IP传输网络上运行,并中继从公共陆地移动网络(PLMN)核心网络206到移动台202的GSM/GPRS信令。该Ut接口使GSM移动管理协议和核心网络206中的在该等级之上的协议能够透明地在移动台202和MSC212之间传送。这允许移动台202导出所有GSM服务,就好像它在GSMBSS中一样。在该未经许可的移动接入体系结构中,由于未经许可的无线链接表现出与许可的无线链接不同的特性,未经许可的移动接入无线资源(UMA-RR)协议取代了传统的GSM-RR协议。定义了传输和复用未经许可的移动接入传输协议(UMA-TP),以在移动台202和未经许可的移动接入网络204之间的安全通道上传送该UMA-RR消息。该未经许可的移动接入安全通道使用IP上的SSL/TCP,并且负责建立该安全通道。该未经许可的移动接入安全通道还负责管理与标准接入点203的未经许可的无线链接。在该未经许可的移动接入体系结构中,标准IP技术用于移动台202中,以访问该未经许可的无线链接。
在接收来自该移动台的任何未经许可的无线资源信令或较高层消息之前,未经许可的移动接入网络204通过利用诸如密码、授权证书或SIM卡的既存认证方法,认证移动台202上的用户。移动台204和未经许可的移动接入网络206之间的信令通信量是加密的并使用例如IPsec或者传输层安全协议保护其完整性。在用未经许可的移动接入网络204认证了该用户之后,该用户随后可以被认证到核心网络206。
图3说明了在本发明的实施方式中实现的防止有效用户的中间人攻击的步骤。在步骤3010中,该用户连接到未经许可的移动接入网络204,而未经许可的移动接入网络204认证该用户并建立安全信道。在步骤3020中,在未经许可的移动接入网络204和移动台202之间建立了未经许可的无线资源信令。在步骤3030中,该用户用包括向核心网络206识别该用户的、国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息,从核心网络206请求服务。在步骤3040中,未经许可的移动接入网络204将该请求消息转发到核心网络206,而不检查该请求消息的内容。在步骤3050中,响应于该请求消息,核心网络206将认证请求发送到移动台202。在步骤3060中,该用户利用移动台202中的SIM210创建响应消息。在步骤3070中,移动台202将该响应消息发送到未经许可的移动接入网络204,以及未经许可的移动接入网络204将该响应消息转发到核心网络206,而不检查该响应消息的内容。在步骤3080中,核心网络206校验该响应,并将BSSMAP密码模式命令消息发送到未经许可的移动接入网络204。由于未经许可的移动接入网络204不使用由密码模式命令消息中的核心网络206提供的算法或密钥,未经许可的移动接入网络204简单地将允许的算法列表转发到该用户。在步骤3090中,在完成了该密码模式设置之后,未经许可的移动接入网络204检查从移动台202发送到核心网络206的移动管理消息。该移动管理消息包括CM服务请求、CM重建请求、身份响应、IMSI分离指示、位置更新请求和附属请求消息。在步骤3100中,未经许可的移动接入网络204,利用发送移动管理消息的移动台202的IMSI,从移动台202和未经许可的移动接入网络204之间的先前的认证步骤,映射移动台202的身份。如果在移动台202和未经许可的移动接入网络204之间的认证步骤期间不使用该IMSI,则未经许可的移动接入网络204可以从HLR取回该用户的简档并从该HLR获得该IMSI。在步骤3010中,如果该移动管理消息包括移动身份字段,并且如果该移动身份字段不包括先前用未经许可的移动接入网络204认证的移动台202的IMSI,则未经许可的移动接入网络204将来自认证过程的移动台202的IMSI复制到该移动身份字段中。这确保了用户不能够使用从移动台202发送到核心网络204的较高级消息中的第二个未被怀疑的用户的IMSI或TMSI。
图4说明了在另一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤。在步骤4010中,该用户连接到未经许可的移动接入网络204,而未经许可的移动接入网络204认证该用户并建立安全信道。在步骤4020中,未经许可的移动接入网络204和移动台202建立未经许可的无线资源信令。在步骤4030中,该用户用包括向核心网络206识别该用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息,从核心网络206请求服务。在步骤4040中,未经许可的移动接入网络202将该请求消息转发到核心网络206,而不检查该请求消息的内容。在步骤4050中,响应于该请求消息,核心网络206将询问发送到移动台202。在步骤4060中,移动台202计算加密密钥并利用SIM210创建响应消息。在步骤4070中,移动台202将该响应消息发送到未经许可的移动接入网络204。在步骤4080中,未经许可的移动接入网络204将该响应消息转发到核心网络206,而不检查该响应消息的内容。在步骤4090中,核心网络206校验该响应并将BSSMAP密码模式命令消息发送到未经许可的移动接入网络204。在步骤4100中,未经许可的移动接入网络204在将该密码模式命令消息转发到该用户之前,在该密码模式命令消息中包括随机选择的询问,以及可能的附加信息。在步骤4110中,响应于在步骤4100中来自未经许可的移动接入网络204的询问,移动台202包括利用该加密密钥询问而计算的消息认证代码(MAC),以及来自未经许可的移动接入网络204的消息中的可能的附加信息。由于该加密密钥不是通过无线链接发送的,本实施方式通过确保每个用户必须知道与核心网络206的询问相关联的加密密钥,防止中间人攻击。在选择性的实施方式中,该MAC可以包括移动台的身份,即与该移动台相关联的IMSI,和来自步骤4010中在移动台202和未经许可的移动接入网络204之间的认证的未经许可的移动接入网络204的身份。在另一个选择性的实施方式中,该MAC可以包括涉及在移动台202和未经许可的移动接入网络204之间建立的安全通道(IPsec或TLS)的消息。
图5说明了在另一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤。在步骤5010中,该用户连接到未经许可的移动接入网络204,而未经许可的移动接入网络204认证该用户并建立安全信道。在步骤5020中,在移动台202和未经许可的移动接入网络204之间建立未经许可的无线资源信令。在步骤5030中,该用户用包括向核心网络206识别该用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息请求服务。在步骤5040中,未经许可的移动接入网络202将该请求消息转发到核心网络206,而不检查该请求消息的内容。在步骤5050中,响应于该请求消息,核心网络206将认证请求发送到该移动台。在步骤5060中,该用户利用移动台202中的SIM210和密钥Kc创建响应消息。在步骤5070中,移动台202将该响应消息发送到未经许可的移动接入网络204。在步骤5080中,未经许可的移动接入网络204将该响应消息转发到核心网络206,而不检查该响应消息的内容。在步骤5090中,核心网络206校验该响应并将BSSMAP密码模式命令消息发送到未经许可的移动接入网络204。在步骤5100中,未经许可的移动接入网络204将该密码模式命令消息转发到该用户。在步骤5110中,移动台202将该密钥Kc传送到IPsec或者TLS层。通过将密钥传送到IPsec或者TLS层,本实施方式确保了用该密钥Kc或者从密钥Kc导出的密钥保护所有其它消息,并由于一个用户不能够通过伪装为BSS而获得另一个用户的密钥,防止了中间人攻击。
先前的说明专注于本发明特定的实施方式。然而,很明显,可以对所描述的实施方式进行其它的达到其部分或全部优势的变形和修改。因此,所附权利要求书的目标是将所有这些变形和修改覆盖在本发明的真正的精神和范围内。
Claims (32)
1.一种未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户用包括向核心网络识别所述第一用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息从移动台向所述核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括:
在将较高层消息从移动台发送到核心网络之前,向所述未经许可的移动接入网络认证所述移动台;以及
将所述移动台连接到所述核心网络,并中继所述移动台和所述核心网络之间的信号;
确保通过所述未经许可的移动接入网络从所述移动台到所述核心网络的较高层消息来自用所述未经许可的移动接入网络认证的所述移动台;
其中在所述移动台和所述未经许可的移动接入网络之间认证期间,并在所述移动台和所述核心网络之间的认证之后,所述未经许可的移动接入网络检查从所述移动台发送到所述核心网络的所述较高层消息,并确保与移动台相关联的所述IMSI或者所述TMSI被存储在所述较高层消息中。
2.一种未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括:
在将较高层消息从移动台发送到核心网络之前,向所述未经许可的移动接入网络认证所述移动台;
将所述移动台连接到所述核心网络,并中继所述移动台和所述核心网络之间的信号;以及
其中在所述移动台和所述核心网络之间认证期间,所述未经许可的移动接入网络包括在从所述核心网络到所述移动台的命令消息中的认证信息,并且响应于所述命令消息,所述移动台包括用所述认证信息加密的代码和在所述移动台中计算的密钥。
3.一种未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括:
在将较高层消息从移动台发送到核心网络之前,向所述未经许可的移动接入网络认证所述移动台,其中所述移动台包括用户识别模块,所述用户识别模块包括用于识别所述移动台的国际移动用户身份IMSI或者临时移动用户身份TMSI和密钥;
将所述移动台连接到所述核心网络;以及
中继所述移动台和所述核心网络之间的信号;
其中在所述移动台和所述核心网络之间认证期间,所述移动台将所述密钥传送到所述未经许可的移动接入网络的IPsec或者TLS层,从而确保用所述密钥或者从所述密钥导出的密钥保护从所述移动台发送的所有其它消息。
4.一种与未经许可的移动接入网络进行通信的移动台中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括:
在将较高层消息从移动台发送到核心网络之前,向所述未经许可的移动接入网络认证所述移动台;
由包括国际移动用户身份IMSI或者临时移动用户身份TMSI和密钥的用户识别模块来识别所述移动台;
将所述移动台连接到所述核心网络,并中继所述移动台和所述核心网络之间的信号;
其中在所述移动台和所述核心网络之间认证期间,所述移动台将所述密钥传送到IPsec或者TLS层,从而确保用所述密钥或者从所述密钥导出的密钥保护从所述移动台发送的所有其它消息。
5.一种用于当未经许可的移动接入系统中的第一用户用包括向核心网络识别所述第一用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息从移动台向所述核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份的系统中的方法,所述方法包括:
在将较高层消息从移动台发送之前,向未经许可的移动接入网络认证所述移动台,并此后,向核心网络认证所述移动台;
由包括用户识别模块的移动台来识别所述移动台,所述用户识别模块包括用于识别所述IMSI或者TMSI;
由未经许可的移动接入网络,将所述移动台连接到所述核心网络,并中继所述移动台和所述核心网络之间的信号,
由所述未经许可的移动接入网络,确保通过所述未经许可的移动接入网络到所述核心网络的较高层消息来自用所述未经许可的移动接入网络认证的所述移动台;以及
由所述核心网络,实现交易控制和用户服务,
其中在所述移动台和所述未经许可的移动接入网络之间认证期间,并在所述移动台和所述核心网络之间的认证之后,所述未经许可的移动接入网络检查从所述移动台发送到所述核心网络的较高层消息,并且确保与移动台相关联的所述IMSI或者TMSI被存储在所述较高层消息中。
6.根据权利要求5所述的方法,其中所述未经许可的移动接入网络执行:
映射用于识别所述移动台的所述IMSI,所述未经许可的移动接入网络从在所述移动台和所述未经许可的移动接入网络之间的认证过程中获得所述IMSI,用所述移动台的所述IMSI将所述较高层消息发送到所述核心网络;以及
如果已经在所述较高层消息中的所述IMSI与从所述认证过程中获得的所述IMSI不同,则将来自所述认证过程的所述IMSI存储在所述较高层消息中。
7.根据权利要求6所述的方法,其中所述未经许可的移动接入网络执行:如果所述未经许可的移动接入网络在所述认证过程期间没有保存所述IMSI,则从用户简档中取回所述IMSI。
8.根据权利要求5所述的方法,其中所述移动台提供双重模式无线通信,和接入模式开关,以使所述移动台能够在所述双重模式无线通信之间切换。
9.根据权利要求5所述的方法,其中所述移动台包括在用户设备中,所述系统还包括:
宽带IP网络,用于连接所述用户设备与所述未经许可的移动接入网络;以及
在所述用户设备中的接入点,用于给所述移动台提供未经许可的无线链接,并用于通过所述宽带IP网络连接到所述未经许可的移动接入网络,
其中所述移动台支持使IP网络能够通过所述接入点从所述未经许可的移动接入网络扩展到所述移动台的IP传输接口,以及
其中所述IP传输网络能够在所述未经许可的移动接入网络和所述移动台之间定义单一的接口,Ut。
10.根据权利要求9所述的方法,其中所述Ut接口包括中继部件,用于中继从PLMN核心网络到所述移动台的GSM/GPRS信令,其中所述Ut接口使在或高于GSM移动管理等级的协议能够在所述移动台和所述核心网络的移动交换中心之间透明地传输,从而允许所述移动台如同与GSMBSS进行通信一样导出所有GSM服务。
11.根据权利要求9所述的方法,其中所述接入点是标准接入点。
12.根据权利要求9所述的方法,其中所述未经许可的移动接入网络执行:当所述核心网络中的移动交换中心不实现某些特征时,将来自所述用户设备的声音映射为PCM声音。
13.根据权利要求9所述的方法,还包括使传输和复用协议能够传输与在所述移动台和所述未经许可的移动接入网络之间的安全通道上的无线资源协议相关联的消息,其中所述安全通道使用IP上的SSL/TCP,并且负责管理与所述接入点的未经许可的无线链接,并且其中所述移动台使用标准IP技术访问所述未经许可的无线链接。
14.根据权利要求5所述的方法,其中所述未经许可的移动接入网络执行:使所述未经许可的移动接入网络能够通过标准GSMA-接口和GPRSGb-接口与所述移动台进行通信。
15.根据权利要求5所述的方法,此外使所述移动台能够通过密码、授权证书或者SIM卡中的至少一个用所述未经许可的移动接入网络认证。
16.根据权利要求5所述的方法,还加密在所述移动台和所述未经许可的移动接入网络之间的信令通信量。
17.一种用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份的系统中的方法,所述方法包括:
在将较高层消息从移动台发送之前,在未经许可的移动接入网络中认证所述移动台,并此后,在核心网络中认证所述移动台;
由包括用户识别模块的移动台来识别所述移动台,所述用户识别模块包括用于识别所述移动台的国际移动用户身份IMSI或者临时移动用户身份TMSI和密钥;
由未经许可的移动接入网络,将所述移动台连接到所述核心网络,并中继所述移动台和所述核心网络之间的信号;以及
由所述核心网络,实现交易控制和用户服务,
其中在所述移动台和所述核心网络之间认证期间,所述未经许可的移动接入网络包含在从所述核心网络到所述移动台的命令消息中的认证信息,并响应于所述命令消息,所述移动台包含用所述认证信息和所述密钥加密的代码。
18.根据权利要求17所述的方法,其中所述认证信息至少包括随机选择的询问。
19.根据权利要求17所述的方法,其中所述代码包括与所述移动台相关联的IMSI和所述未经许可的移动接入网络的身份,其中所述移动台在所述移动台和所述未经许可的移动接入网络认证期间,获得所述未经许可的移动接入网络的身份。
20.根据权利要求17所述的方法,其中所述代码包括涉及在所述移动台和所述未经许可的移动接入网络认证期间,在所述移动台和所述未经许可的移动接入网络之间建立的安全通道的消息。
21.一种用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份的系统中的方法,所述方法包括:
在将较高层消息从移动台发送之前,在未经许可的移动接入网络中认证所述移动台,并此后,在核心网络中认证所述移动台;
由包括用户识别模块的移动台来识别所述移动台,所述用户识别模块包括用于识别所述移动台的国际移动用户身份IMSI或者临时移动用户身份TMSI和密钥;
由未经许可的移动接入网络,将所述移动台连接到所述核心网络,并中继所述移动台和所述核心网络之间的信号;以及
由所述核心网络,实现交易控制和用户服务,
其中在所述移动台和所述核心网络之间认证期间,所述移动台将所述密钥传送到IPsec或者TLS层,从而确保用所述密钥或者从所述密钥Kc导出的密钥保护从所述移动台发送的所有其它消息。
22.一种在未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括下列步骤:
在将较高层消息从所述移动台发送到核心网络之前,在所述未经许可的移动接入网络中认证所述移动台;
在所述未经许可的移动接入网络中,转发从所述移动台到所述核心网络的服务请求,其中所述移动台的IMSI包括在所述服务请求中;
在所述未经许可的移动接入网络中,发送从所述核心网络到所述移动台的认证请求;
在所述未经许可的移动接入网络中,响应于所述认证请求转发从所述移动台到所述核心网络的认证响应;以及
由所述未经许可的移动接入网络,检查从所述移动台到所述核心网络的较高层消息,以确保与所述移动台相关联的识别工具被存储在所述较高层消息中。
23.一种在未经许可的移动接入网络中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括下列步骤:
在将较高层消息从所述移动台发送到核心网络之前,在所述未经许可的移动接入网络中认证所述移动台;
在所述未经许可的移动接入网络中,转发从所述移动台到所述核心网络的服务请求,其中所述移动台的IMSI包括在所述服务请求中;
在所述未经许可的移动接入网络中,发送从所述核心网络到所述移动台的认证请求;
在所述未经许可的移动接入网络中,响应于所述认证请求转发认证响应,其中所述移动台响应于所述认证请求创建密钥;
在所述未经许可的移动接入网络中,将由所述核心网络创建的密码模式命令消息转发到所述移动台;
由所述未经许可的移动接入网络,将认证信息包括到从所述核心网络到所述移动台的所述密码模式命令消息中,并将修改后的密码模式命令消息转发到所述移动台;和
由所述未经许可的移动接入网络,从所述移动台接收用所述认证信息和所述密钥加密的代码。
24.一种在实现未经许可的移动接入网络的配置中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括下列步骤:
在从所述移动台发送较高层消息之前,在所述未经许可的移动接入网络中认证所述移动台;
由所述移动台从所述核心网络请求服务,并在所述请求消息中包括所述移动台的IMSI;
通过所述未经许可的移动接入网络,将所述请求消息转发到所述核心网络,而不通过所述未经许可的移动接入网络检查所述消息;
通过所述未经许可的移动接入网络发送从所述核心网络到所述移动台的认证请求;
由所述移动台响应于所述认证请求创建认证响应,并通过所述未经许可的移动接入网络将所述认证响应转发到所述核心网络;
由所述核心网络校验所述认证响应,并将密码模式命令消息发送到所述未经许可的移动接入网络;
由所述未经许可的移动接入网络将在所述密码模式命令消息中的允许的算法列表转发到所述移动台;以及
由所述未经许可的移动接入网络检查来自所述移动台的较高层消息,以确保与移动台相关联的识别工具被存储在所述较高层消息中。
25.根据权利要求24所述的方法,还包括下列步骤:
由所述未经许可的移动接入网络映射用于从所述移动台和所述未经许可的移动接入网络之间的认证过程中识别所述移动台的IMSI,用所述移动台的IMSI将较高层消息发送到所述核心网络;以及
如果已经在所述较高层消息中的所述IMSI与从所述认证过程中获得的IMSI不同,则将来自所述认证过程的所述IMSI存储在所述较高层消息中。
26.根据权利要求25所述的方法,还包括如果所述未经许可的移动接入网络在所述认证过程期间没有保存所述IMSI,则从用户简档中取回所述IMSI的步骤。
27.一种在实现未经许可的移动接入网络的配置中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括下列步骤:
在从所述移动台发送较高层消息之前,在所述未经许可的移动接入网络中认证所述移动台;
由所述移动台从所述核心网络请求服务,并在所述请求消息中包括所述移动台的IMSI;
通过所述未经许可的移动接入网络,将所述请求消息转发到所述核心网络,而不通过所述未经许可的移动接入网络检查所述消息;
通过所述未经许可的移动接入网络发送从所述核心网络到所述移动台的认证请求;
由所述移动台响应于所述认证请求创建认证响应,并通过所述未经许可的移动接入网络将所述认证响应转发到所述核心网络;
由所述核心网络校验所述认证响应,并将密码模式命令消息发送到所述未经许可的移动接入网络;
在从所述核心网络到所述移动台的所述密码模式命令消息中包括认证信息,并由所述未经许可的移动接入网络,在所述密码模式命令消息中转发到所述移动台;以及
响应于所述命令消息,由所述移动台包含用所述认证信息和密钥加密的代码,并将所述响应转发到所述未经许可的移动接入网络。
28.根据权利要求27所述的方法,还包括在所述认证信息中至少存储随机选择的询问的步骤。
29.根据权利要求27所述的方法,其中所述移动台在所述移动台和所述未经许可的移动接入网络认证期间获得所述未经许可的移动接入网络的所述身份。
30.根据权利要求27所述的方法,还包括在所述代码中存储,涉及在所述移动台和所述未经许可的移动接入网络认证期间,在所述移动台和所述未经许可的移动接入网络之间建立的安全通道的消息的步骤。
31.一种在实现未经许可的移动接入网络的配置中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括下列步骤:
在从所述移动台发送较高层消息之前,在所述未经许可的移动接入网络中认证所述移动台;
由所述移动台从所述核心网络请求服务,并在所述请求消息中包括所述移动台的IMSI;
通过所述未经许可的移动接入网络,将所述请求消息转发到所述核心网络,而不通过所述未经许可的移动接入网络检查所述消息;
通过所述未经许可的移动接入网络发送从所述核心网络到所述移动台的认证请求;
由所述移动台响应于所述认证请求创建认证响应,并通过所述未经许可的移动接入网络将所述认证响应转发到所述核心网络;
由所述核心网络校验所述认证响应,并将密码模式命令消息发送到所述未经许可的移动接入网络;
由所述未经许可的移动接入网络将所述密码模式命令消息转发到所述移动台;以及
由所述移动台将密钥传送到IPsec或者TLS层,从而确保用所述密钥或者从所述密钥导出的密钥保护从所述移动台发送的所有其它消息。
32.一种在实现未经许可的移动接入网络的配置中的方法,用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时,确保防止所述第一用户未认证地使用第二用户的身份,所述方法包括下列步骤:
在从所述移动台发送较高层消息之前,在所述未经许可的移动接入网络中认证所述移动台;
由所述移动台从所述核心网络请求服务,并在所述请求消息中包括所述移动台的IMSI;
由所述移动台响应于来自所述核心网络的所述认证请求创建认证响应,并通过所述未经许可的移动接入网络将所述认证响应转发到所述核心网络;以及
由所述移动台将密钥传送到IPsec或者TLS层,从而确保用所述密钥或者从所述密钥导出的密钥保护从所述移动台发送的所有其它消息。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US10/831,352 | 2004-04-26 | ||
US10/831,352 US7200383B2 (en) | 2004-04-26 | 2004-04-26 | Subscriber authentication for unlicensed mobile access signaling |
PCT/IB2005/000933 WO2005104597A1 (en) | 2004-04-26 | 2005-04-08 | Improved subscriber authentication for unlicensed mobile access signaling |
Publications (2)
Publication Number | Publication Date |
---|---|
CN1947453A CN1947453A (zh) | 2007-04-11 |
CN1947453B true CN1947453B (zh) | 2016-04-13 |
Family
ID=35137111
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN200580013090.7A Active CN1947453B (zh) | 2004-04-26 | 2005-04-08 | 未经许可的移动接入信令的改进的用户认证 |
Country Status (13)
Country | Link |
---|---|
US (1) | US7200383B2 (zh) |
EP (3) | EP2547134B1 (zh) |
JP (1) | JP4369513B2 (zh) |
KR (1) | KR101170191B1 (zh) |
CN (1) | CN1947453B (zh) |
AT (1) | ATE531219T1 (zh) |
AU (1) | AU2005236981B2 (zh) |
DK (2) | DK1741308T3 (zh) |
HU (1) | HUE032914T2 (zh) |
MY (1) | MY140587A (zh) |
PL (2) | PL1741308T3 (zh) |
TW (1) | TWI356614B (zh) |
WO (1) | WO2005104597A1 (zh) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
RU2691054C1 (ru) * | 2015-06-23 | 2019-06-07 | Хуавэй Текнолоджиз Ко., Лтд. | Способ передачи без-разрешения, оборудование пользователя, устройство сети доступа и устройство базовой сети |
Families Citing this family (61)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US8996698B1 (en) * | 2000-11-03 | 2015-03-31 | Truphone Limited | Cooperative network for mobile internet access |
US7308263B2 (en) | 2001-02-26 | 2007-12-11 | Kineto Wireless, Inc. | Apparatus for supporting the handover of a telecommunication session between a licensed wireless system and an unlicensed wireless system |
US20030119490A1 (en) | 2001-02-26 | 2003-06-26 | Jahangir Mohammed | Wireless communications handset for facilitating licensed and unlicensed wireless communications, and method of operation |
US7885644B2 (en) * | 2002-10-18 | 2011-02-08 | Kineto Wireless, Inc. | Method and system of providing landline equivalent location information over an integrated communication system |
US7634269B2 (en) * | 2002-10-18 | 2009-12-15 | Kineto Wireless, Inc. | Apparatus and method for extending the coverage area of a licensed wireless communication system using an unlicensed wireless communication system |
EP2334129A3 (en) * | 2002-10-18 | 2012-07-11 | Kineto Wireless, Inc. | Method and apparatuses for paging a telecommunication device |
US7606190B2 (en) | 2002-10-18 | 2009-10-20 | Kineto Wireless, Inc. | Apparatus and messages for interworking between unlicensed access network and GPRS network for data services |
US7565145B2 (en) | 2002-10-18 | 2009-07-21 | Kineto Wireless, Inc. | Handover messaging in an unlicensed mobile access telecommunications system |
US7349698B2 (en) | 2002-10-18 | 2008-03-25 | Kineto Wireless, Inc. | Registration messaging in an unlicensed mobile access telecommunications system |
TWI220833B (en) * | 2003-09-12 | 2004-09-01 | Benq Corp | Method for wireless terminal to log in communication system and communication system thereof |
US7283822B2 (en) * | 2003-10-17 | 2007-10-16 | Kineto Wireless, Inc. | Service access control interface for an unlicensed wireless communication system |
US7272397B2 (en) * | 2003-10-17 | 2007-09-18 | Kineto Wireless, Inc. | Service access control interface for an unlicensed wireless communication system |
US7957348B1 (en) | 2004-04-21 | 2011-06-07 | Kineto Wireless, Inc. | Method and system for signaling traffic and media types within a communications network switching system |
US7843882B2 (en) * | 2004-08-23 | 2010-11-30 | Alcatel-Lucent Usa Inc. | Soft vertical handovers in wireless networks |
US7940746B2 (en) | 2004-08-24 | 2011-05-10 | Comcast Cable Holdings, Llc | Method and system for locating a voice over internet protocol (VoIP) device connected to a network |
JP4782139B2 (ja) * | 2004-10-26 | 2011-09-28 | テレコム・イタリア・エッセ・ピー・アー | モバイルユーザーをトランスペアレントに認証してウェブサービスにアクセスする方法及びシステム |
KR20070086853A (ko) * | 2004-11-29 | 2007-08-27 | 리서치 인 모션 리미티드 | 무선 사용자 설비(ue) 장치에서 gan 서비스 요구능력을 지원하는 시스템 및 방법 |
US8565721B2 (en) * | 2006-10-20 | 2013-10-22 | T-Mobile Usa, Inc. | System and method for rating an IP-based wireless telecommunications based on access point |
US7885659B2 (en) * | 2005-05-10 | 2011-02-08 | Network Equipment Technologies, Inc. | LAN-based UMA network controller with local services support |
US7864673B2 (en) * | 2005-05-24 | 2011-01-04 | At&T Mobility Ii Llc | Dynamic dual-mode service access control, location-based billing, and E911 mechanisms |
US20060268902A1 (en) | 2005-05-24 | 2006-11-30 | Cingular Wireless Ii, Llc | Dynamic dual-mode service access control, location-based billing, and e911 mechanisms |
US20070021127A1 (en) * | 2005-07-22 | 2007-01-25 | Haihong Zheng | Method and apparatus for supporting location service over radio communication systems |
US7596124B2 (en) * | 2005-07-29 | 2009-09-29 | Cisco Technology, Inc. | Integration of an analog phone with unlicensed mobile access/global system for mobile communications functionality |
US7843900B2 (en) | 2005-08-10 | 2010-11-30 | Kineto Wireless, Inc. | Mechanisms to extend UMA or GAN to inter-work with UMTS core network |
KR100678522B1 (ko) * | 2005-09-23 | 2007-02-02 | 한국전자통신연구원 | 다중 모드 통신 시스템 및 그 방법 |
CA2619639C (en) * | 2005-10-12 | 2014-12-30 | T-Mobile Usa, Inc. | System and method for billing ip-based wireless telecommunications in a converged network |
WO2007071275A1 (en) * | 2005-12-22 | 2007-06-28 | Telefonaktiebolaget L.M. Ericsson | Subscriber authentication in mobile communication networks using unlicensed access networks |
US8165086B2 (en) | 2006-04-18 | 2012-04-24 | Kineto Wireless, Inc. | Method of providing improved integrated communication system data service |
US7852817B2 (en) * | 2006-07-14 | 2010-12-14 | Kineto Wireless, Inc. | Generic access to the Iu interface |
US20080039086A1 (en) * | 2006-07-14 | 2008-02-14 | Gallagher Michael D | Generic Access to the Iu Interface |
US7912004B2 (en) * | 2006-07-14 | 2011-03-22 | Kineto Wireless, Inc. | Generic access to the Iu interface |
US20080076425A1 (en) * | 2006-09-22 | 2008-03-27 | Amit Khetawat | Method and apparatus for resource management |
US20080062961A1 (en) * | 2006-08-24 | 2008-03-13 | Motorola, Inc. | Method and system for managing communication sessions in a plurality of communication networks |
US8073428B2 (en) | 2006-09-22 | 2011-12-06 | Kineto Wireless, Inc. | Method and apparatus for securing communication between an access point and a network controller |
US8204502B2 (en) | 2006-09-22 | 2012-06-19 | Kineto Wireless, Inc. | Method and apparatus for user equipment registration |
US7995994B2 (en) * | 2006-09-22 | 2011-08-09 | Kineto Wireless, Inc. | Method and apparatus for preventing theft of service in a communication system |
US20080076392A1 (en) * | 2006-09-22 | 2008-03-27 | Amit Khetawat | Method and apparatus for securing a wireless air interface |
US8036664B2 (en) * | 2006-09-22 | 2011-10-11 | Kineto Wireless, Inc. | Method and apparatus for determining rove-out |
US8351420B2 (en) * | 2006-10-23 | 2013-01-08 | T-Mobile Usa, Inc. | Maintenance of subscriber history for service support applications in an IP-based telecommunications system |
US8019331B2 (en) * | 2007-02-26 | 2011-09-13 | Kineto Wireless, Inc. | Femtocell integration into the macro network |
WO2009039318A1 (en) * | 2007-09-18 | 2009-03-26 | Kineto Wireless, Inc. | Method and system for supporting large number of data paths in an integrated communication system |
JP2009152812A (ja) * | 2007-12-20 | 2009-07-09 | Hitachi Ltd | 端末のユーザ識別情報転送による非携帯端末のネットワーク接続方法 |
EP2107844B1 (fr) * | 2008-04-02 | 2011-06-29 | Quescom | Procédé et système de communication par localisation d'un terminal mobile en fonction d'une zone de référence |
US8041335B2 (en) * | 2008-04-18 | 2011-10-18 | Kineto Wireless, Inc. | Method and apparatus for routing of emergency services for unauthorized user equipment in a home Node B system |
KR101537738B1 (ko) * | 2008-05-19 | 2015-07-17 | 주식회사 케이티 | Usim 카드 패스워드 관련 자동 안내 시스템 및 방법과이를 위한 장치 |
EP2134116A1 (en) * | 2008-06-11 | 2009-12-16 | Mitsubishi Electric R&D Centre Europe B.V. | Method and a device for identifying at least one terminal for which signals transferred between the at least one terminal and a base station have to be relayed by a relay |
KR101485801B1 (ko) * | 2008-08-18 | 2015-01-29 | 삼성전자주식회사 | 이동 통신 시스템의 인증과 비계층 프로토콜 보안 운영을 효율적으로 지원하는 관리 방법 및 시스템 |
JP5236414B2 (ja) * | 2008-09-29 | 2013-07-17 | 京セラ株式会社 | 無線通信端末 |
US9313759B2 (en) | 2009-10-16 | 2016-04-12 | Tekelec, Inc. | Methods, systems, and computer readable media for providing triggerless equipment identity register (EIR) service in a diameter network |
US9265073B2 (en) | 2010-05-21 | 2016-02-16 | Kineto Wireless, Llc | System and method for dual mode communication |
US8073441B1 (en) | 2010-08-24 | 2011-12-06 | Metropcs Wireless, Inc. | Location-based network selection method for a mobile device |
CN102006210B (zh) * | 2010-11-26 | 2013-10-02 | 华为终端有限公司 | 用户设备拨号上网方法、装置和系统 |
US9424509B2 (en) | 2011-03-09 | 2016-08-23 | T-Mobile Usa, Inc. | System for application personalization for a mobile device |
GB2496646A (en) | 2011-11-17 | 2013-05-22 | Renesas Mobile Corp | Mapping a feedback (ACK/NACK) radio resource |
US9143942B2 (en) * | 2013-03-14 | 2015-09-22 | Tekelec Global, Inc. | Methods, systems, and computer readable media for providing a multi-network equipment identity register |
US9750056B2 (en) | 2015-01-27 | 2017-08-29 | Huawei Technologies Co., Ltd. | System and method for transmission in a grant-free uplink transmission scheme |
US11431509B2 (en) | 2016-09-13 | 2022-08-30 | Queralt, Inc. | Bridging digital identity validation and verification with the FIDO authentication framework |
US10887113B2 (en) * | 2016-09-13 | 2021-01-05 | Queralt, Inc. | Mobile authentication interoperability for digital certificates |
US10771451B2 (en) | 2016-09-13 | 2020-09-08 | Queralt, Inc. | Mobile authentication and registration for digital certificates |
WO2018089442A2 (en) * | 2016-11-09 | 2018-05-17 | Intel IP Corporation | Ue and devices for detach handling |
CN111030964A (zh) * | 2018-10-09 | 2020-04-17 | 中国移动通信有限公司研究院 | 一种响应Detach指令的方法和设备 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1489340A (zh) * | 2002-08-30 | 2004-04-14 | ���Ͽع�����˾ | 集成无线接入网络控制器及选择无线接入网络的方法 |
Family Cites Families (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6205998B1 (en) * | 2000-06-19 | 2001-03-27 | Solar Enterprises International, Llc | Solar concentrator gap and receiver design |
DE60019817T2 (de) | 2000-11-17 | 2006-01-26 | Telefonaktiebolaget Lm Ericsson (Publ) | Mobiles Kommunikationsnetz |
US20030119490A1 (en) * | 2001-02-26 | 2003-06-26 | Jahangir Mohammed | Wireless communications handset for facilitating licensed and unlicensed wireless communications, and method of operation |
ATE350868T1 (de) | 2001-05-10 | 2007-01-15 | Nortel Networks Ltd | System und verfahren zur umleitung von kommunikation zwischen mobiltelekommunikationsnetzen mit unterschiedlichen funkzugangstechnologien |
WO2002093811A2 (en) | 2001-05-16 | 2002-11-21 | Adjungo Networks Ltd. | Access to plmn networks for non-plmn devices |
US20040053602A1 (en) | 2002-09-18 | 2004-03-18 | Wurzburg Francis L. | Low-cost interoperable wireless multi-application and messaging service |
EP2334129A3 (en) | 2002-10-18 | 2012-07-11 | Kineto Wireless, Inc. | Method and apparatuses for paging a telecommunication device |
US20040203789A1 (en) * | 2002-11-12 | 2004-10-14 | Hammond Marc John | Location service assisted transition between wireless networks |
US7627338B2 (en) * | 2003-06-06 | 2009-12-01 | At&T Intellectual Property I, L.P. | System and method for providing integrated voice and data services utilizing wired cordless access with unlicensed spectrum and wired access with licensed spectrum |
US8457082B2 (en) | 2003-06-06 | 2013-06-04 | At&T Intellectual Property I, L.P. | System and method for providing integrated voice and data services utilizing wired cordless access with unlicensed/unregulated spectrum |
US20050113069A1 (en) * | 2003-11-25 | 2005-05-26 | Intel Corporation | User authentication through separate communication links |
US7136641B2 (en) * | 2004-03-18 | 2006-11-14 | Motorola Inc. | Alternative network selection for a communication device |
-
2004
- 2004-04-26 US US10/831,352 patent/US7200383B2/en active Active
-
2005
- 2005-04-08 EP EP12187913.4A patent/EP2547134B1/en active Active
- 2005-04-08 EP EP05718399A patent/EP1741308B1/en active Active
- 2005-04-08 PL PL05718399T patent/PL1741308T3/pl unknown
- 2005-04-08 KR KR1020067024649A patent/KR101170191B1/ko active IP Right Grant
- 2005-04-08 CN CN200580013090.7A patent/CN1947453B/zh active Active
- 2005-04-08 AU AU2005236981A patent/AU2005236981B2/en active Active
- 2005-04-08 JP JP2007508990A patent/JP4369513B2/ja active Active
- 2005-04-08 PL PL12187913T patent/PL2547134T3/pl unknown
- 2005-04-08 EP EP11182696A patent/EP2403283B1/en active Active
- 2005-04-08 DK DK05718399.8T patent/DK1741308T3/da active
- 2005-04-08 WO PCT/IB2005/000933 patent/WO2005104597A1/en active Application Filing
- 2005-04-08 HU HUE12187913A patent/HUE032914T2/hu unknown
- 2005-04-08 AT AT05718399T patent/ATE531219T1/de not_active IP Right Cessation
- 2005-04-08 DK DK12187913.4T patent/DK2547134T3/en active
- 2005-04-12 MY MYPI20051621A patent/MY140587A/en unknown
- 2005-04-25 TW TW094113035A patent/TWI356614B/zh active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1489340A (zh) * | 2002-08-30 | 2004-04-14 | ���Ͽع�����˾ | 集成无线接入网络控制器及选择无线接入网络的方法 |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
RU2691054C1 (ru) * | 2015-06-23 | 2019-06-07 | Хуавэй Текнолоджиз Ко., Лтд. | Способ передачи без-разрешения, оборудование пользователя, устройство сети доступа и устройство базовой сети |
Also Published As
Publication number | Publication date |
---|---|
KR101170191B1 (ko) | 2012-07-31 |
EP2403283B1 (en) | 2013-02-20 |
EP1741308B1 (en) | 2011-10-26 |
KR20070007373A (ko) | 2007-01-15 |
AU2005236981A1 (en) | 2005-11-03 |
JP4369513B2 (ja) | 2009-11-25 |
ATE531219T1 (de) | 2011-11-15 |
EP2547134A1 (en) | 2013-01-16 |
US20050239441A1 (en) | 2005-10-27 |
HUE032914T2 (hu) | 2017-11-28 |
JP2007535240A (ja) | 2007-11-29 |
PL1741308T3 (pl) | 2012-03-30 |
TW200623918A (en) | 2006-07-01 |
DK1741308T3 (da) | 2011-12-05 |
AU2005236981B2 (en) | 2009-09-10 |
US7200383B2 (en) | 2007-04-03 |
EP2547134B1 (en) | 2017-03-08 |
WO2005104597A1 (en) | 2005-11-03 |
DK2547134T3 (en) | 2017-05-08 |
EP1741308A1 (en) | 2007-01-10 |
CN1947453A (zh) | 2007-04-11 |
MY140587A (en) | 2009-12-31 |
TWI356614B (en) | 2012-01-11 |
EP2403283A1 (en) | 2012-01-04 |
PL2547134T3 (pl) | 2017-08-31 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN1947453B (zh) | 未经许可的移动接入信令的改进的用户认证 | |
JP3184528B2 (ja) | 遠隔通信システム及び加入者確証方法 | |
EP3253092B1 (en) | Self provisioning of wireless terminals in wireless networks | |
CN1859614B (zh) | 一种无线传输的方法、装置和系统 | |
EP1146692A2 (en) | Apparatus, and associated method, for facilitating authentication of communication stations in a mobile communication system | |
JP3505148B2 (ja) | コネクション処理の際に安全性に関係している機能を制御する方法、移動局および無線通信システム | |
WO2010027314A1 (en) | Secure negotiation of authentication capabilities | |
CN1937487A (zh) | Lte中鉴权和加密的方法 | |
CN102223634A (zh) | 一种用户终端接入互联网方式的控制方法及装置 | |
CN100435518C (zh) | 通信系统的认证方法 | |
KR100956015B1 (ko) | 이동 통신들에 사용하기 위한 이동국, 시스템, 네트워크처리기 및 방법 | |
CN101877852B (zh) | 用户接入控制方法和系统 | |
CN101808321B (zh) | 一种安全认证方法 | |
EP1303968B1 (en) | System and method for secure mobile communication | |
KR100983653B1 (ko) | 이동 통신 단말기 인증 장치 및 방법 | |
KR101434750B1 (ko) | 이동통신망에서 지리 정보를 이용한 무선랜 선인증 방법 및 장치 | |
WO2001043476A1 (en) | Communication method | |
WO2007071275A1 (en) | Subscriber authentication in mobile communication networks using unlicensed access networks | |
EP3448075A1 (en) | Method for securing a communication connection | |
CN109155775A (zh) | 一种移动设备、网络节点及其方法 | |
KR20110108680A (ko) | 인증 방법 및 장치 | |
Katz | Security and Privacy in Wireless Systems | |
KR20070107059A (ko) | 이동 무선 네트워크, 상기 네트워크에서 단말기 장치를동작시키기 위한 방법, 및 상기 단말기 장치를 식별하는파라미터들을 저장하기 위해 통합된 전자 회로 설비들을구비하는 단말기 장치 | |
KR20070030201A (ko) | 이동 통신 네트워크의 인증 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C41 | Transfer of patent application or patent right or utility model | ||
TA01 | Transfer of patent application right |
Effective date of registration: 20160111 Address after: Espoo, Finland Applicant after: Technology Co., Ltd. of Nokia Address before: Espoo, Finland Applicant before: Nokia Oyj |
|
C14 | Grant of patent or utility model | ||
GR01 | Patent grant |