ES2229076T3

ES2229076T3 - Procedimiento y sistema de registro en una red local inalambrica.

Info

Publication number: ES2229076T3
Application number: ES02405187T
Authority: ES
Inventors: Martin Schmid; Eric Lauper
Original assignee: Swisscom Mobile AG
Current assignee: Swisscom Mobile AG
Priority date: 2002-03-11
Filing date: 2002-03-11
Publication date: 2005-04-16
Anticipated expiration: 2022-03-11
Also published as: ATE275316T1; DE50200926D1; EP1351536A1; EP1351536B1

Abstract

Procedimiento para el registro de una unidad de red móvil (60, ..., 65) de un usuario (10) en una WLAN (40, ..., 48), en que para la autentificación del usuario (10) son transmitidos a una unidad central (30) datos de autentificación específicos para el usuario a través de un punto de acceso (401, 411, 421, ..., 481) de una WLAN (40, ..., 48), siendo comparados, mediante la unidad central (30), los datos de autentificación específicos para el usuario con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos (31) y siendo autorizada la unidad de red móvil (60, ..., 65), en el caso de una autentificación exitosa, a la utilización de una WLAN (40, ..., 48), caracterizado porque los puntos de acceso (401, 411, 421, ..., 481) de una WLAN (40, ..., 48) se comunican con un servidor Radius (70, 71) asignado, y varios servidores Radius (70, 71) de distintas WLAN (40, ..., 48) están conectados con la unidad central (30), a cuya unidad central (30) la unidad de red móvil (60, ..., 65) transmite un código de identificación del usuario (10) juntamente con datos de información adicional determinables por el usuario (10), porque la unidad central (30) genera, en base del código de identificación y de los datos de información adicional determinables por el usuario (10), un código de registro (22), siendo generado dicho código de registro (22) adicionalmente en base de datos específicos para el servidor del servidor Radius (70, 71) en cuya WLAN (40, ..., 48) registra el usuario (10) la unidad de red móvil (60, ..., 65), y porque la unidad central (30) envía el código de registro (22) a un aparato de telefonía móvil (20), de una red de telefonía móvil (51), asignado al usuario (10), mediante cuyo código de registro (22) recibido el usuario (10) registra la unidad de red móvil (60, ..., 65) en la WLAN (40, ..., 48).

Description

Procedimiento y sistema de registro en una red local inalámbrica.

La presente invención se refiere a un procedimiento y sistema para la autentificación de unidades de red móviles (nodos) en una red local inalámbrica WLAN (Wireless Local Area Network), en que para la autentificación de la unidad de red móvil son transmitidos datos de autentificación específicos para el usuario a través de un punto de acceso (Access Point) de la WLAN a una unidad central, siendo comparados los datos de autentificación específicos para el usuario por la unidad central con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos y siendo autorizada la unidad de red móvil por la unidad central, en el caso de una autentificación exitosa, a la utilización de la WLAN. Particularmente, la invención se refiere a un procedimiento y sistema en que la autentificación de diversas WLANs con diversos servidores o de punto de acceso se realiza a través de una unidad central conectada con los servidores de punto de acceso.

Las redes locales (LAN: Local Area Network) consisten generalmente de los denominados nodos, que están conectados a través de medios físicos, tales como por ejemplo cables coaxiales, pares trenzados o cables ópticos de fibra de vidrio. Estas LANs se designan también como LANs cableadas (redes fijas cableadas). En los últimos años se han hecho también cada vez más populares LANs inalámbricas, denominadas wireless LANs (por ejemplo merced a desarrollos tales como el AirPort-System de la Apple Computer Inc.). LANs inalámbricas son especialmente apropiadas para englobar unidades móviles (nodos), tales como por ejemplo Laptops, Notebooks, PDAs (Personal Digital Assitant) o aparatos de telefonía móvil, particularmente teléfonos móviles, por medio de un correspondiente interfase, en un sistema de red informático local. Los nodos móviles disponen de un adaptador, que comprende un emisor/receptor así como una tarjeta de control (tal como por ejemplo un adaptador infrarrojo (IR) o un adaptador de ondas de radio de baja frecuencia). La ventaja de tales nodos móviles consiste en que los mismos pueden ser libremente desplazados dentro del radio de alcance de la LAN inalámbrica. Los nodos móviles se comunican ya sea directamente entre sí (Peer-to-Peer wireless LAN) o envían su señal a una estación base, la cual amplifica y/o retransmite la señal. Las estaciones base pueden también comprender funciones de puenteo. A través de tales estaciones base con funciones de puenteo, los denominados puntos de acceso (AP), pueden acceder los nodos móviles de la LAN inalámbrica a una LAN cableada. Funciones de red típicas de un punto de acceso comprenden la transmisión de mensajes desde un nodo móvil a otro, el envío de mensajes desde la LAN cableada a un nodo móvil y la transmisión de mensajes desde un nodo móvil a la LAN cableada.

El radio de alcance físico de un AP se denomina Basic Service Area (BSA). Si un nodo móvil se halla dentro de la BSA de un AP, el mismo podrá comunicarse con este AP, caso de que el AP se halle también dentro del radio de alcance de señales (Dynamic Service Area (DSA)) del nodo móvil. Nodos móviles poseen típicamente una potencia de señal desde 100 mW hasta un watio. A fin de conectar la LAN inalámbrica con la LAN cableada, es importante para el AP determinar si un determinado mensaje (information frame) en la red está destinado a un nodo que se halle dentro de la LAN cableada o dentro de la LAN inalámbrica y retransmitir esta información, en caso necesario, al respectivo nodo. A tal fin los APs poseen las denominadas funciones de puenteo, por ejemplo en correspondencia con el Standard IEEE Std 802.1 D-1990 "Media Access Control Bridge" (31-74 ff). En tales funciones de puenteo es registrado un nuevo nodo móvil en la LAN inalámbrica típicamente en una FDB (Filtering Database) del AP, en cuyo radio de alcance se halle el nodo. Para cada Information-Frame en la LAN compara el AP la dirección de destino con las direcciones (direcciones MAC (Media Access Control Addresses)) que tiene memorizadas en la FDB y envía, rechaza o transmite el Frame a la LAN cableada o a la LAN inalámbrica, respectivamente. El radio de alcance de una LAN inalámbrica está limitado por factores tales como por ejemplo la longitud de onda de la señal, la potencia de señal, obstáculos, etc. Los parámetros de radiofrecuencia no son libremente elegibles, de acuerdo con las normativas más o menos rígidas vigentes en la mayoría de países, lo cual limita ulteriormente el radio de alcance.

Para WLAN existen numerosos distintos procedimientos de acceso en el estado de la técnica, que permiten a un usuario de un aparato de telefonía móvil acceder a una red local inalámbrica. Algunos de estos procedimientos de acceso, tales como por ejemplo Carrier Sense Multiple Access/Collision Detection (CSMA/CD) o Token-Passing, mostraron un gran éxitos en su aplicación industrial. Hoy día la utilización de Local o Wide LANs no posee generalmente ya unas características predeterminadas, claramente definidas. Con la aparición del intercambio de datos multimedia heterogéneo (por ejemplo flujos de datos de vídeo, etc.) a través de WLANs, los parámetros de calidad de servicio (QoS) para un determinado tipo de intercambio de datos (o aplicación) resultan cada vez más importantes. Tales parámetros comprenden, por ejemplo, un ancho de banda lo mayor posible, un retardo lo menor posible, etc. Para tales accesos se han desarrollado nuevos procedimientos de acceso en las redes asíncronas o síncronas y pueden hallarse en el estado de la técnica.

Juntamente con la aparición de la WLAN y la estandarización de los procedimientos de acceso y de las especificaciones de capas físicas para WLANs, tales como por ejemplo los protocolos de capas físicos 802.X y los protocolos no 802.X (por ejemplo ATM: Asynchronous Transfer Mode Protocol) se ha hecho también cada vez mayor la necesidad de seguridad para usuarios y ofertantes de servicios de tales redes. El reconocimiento de usuario a través de procedimientos tradicionales, por ejemplo con la entrada de un nombre de usuario (Username) y de un código, no son generalmente ya suficientes para las actuales exigencias de modernas WLANs. Por consiguiente, en el estado de la técnica se han propuesto las más diversas mejoras de la autentificación de un usuario. Algunas de ellas han tenido un gran éxito, tanto en la industria como también en el sector doméstico. Un método ampliamente difundido para el aumento de la seguridad consiste, por ejemplo, en una autentificación en la que el usuario entra adicionalmente un código de identificación de una lista de tachadura con códigos de identificación personales. La lista de tachadura debe haber sido hecha previamente accesible al usuario por el ofertante de servicios de la red. Ejemplos típicos de tales aplicaciones pueden encontrarse hoy día casi en todo el campo de banca electrónica. El inconveniente de una tal autentificación consiste en que, a pesar del procedimiento de listas de tachadura, puede únicamente conseguirse una seguridad limitada, particularmente cuando la lista de tachadura sea por ejemplo robada o perdida o desaparezca por otros motivos. Un ulterior inconveniente de las listas de tachadura consiste en la compleja y poco práctica manipulación para el usuario, dado que éste debe por ejemplo llevar siempre consigo la lista de tachadura, cuando vaya a realizarse la autentificación. Si se olvida una vez de tachar un código o si por equivocación se salta un código, la lista de tachadura ya no funciona. En el estado de la técnica se conocen también las denominadas firmas digitales, mediante las cuales pueden autentificarse adicionalmente datos en general, pero particularmente también datos de autentificación. El usuario añade su firma digital a los datos de autentificación, siendo generada la firma digital mediante una clave privada secreta. La firma digital puede entonces ser comprobada mediante una clave pública, que esté entrelazada matemáticamente con la clave privada, en cuanto a su autenticidad. De esta manera, los datos de autentificación pueden por ejemplo ser cifrados y descifrados en base de ambas claves. Con ello se consigue una seguridad adicional, respecto a que por ejemplo el nombre de usuario y el código puedan ser captados por terceros. Sin embargo, tales algoritmos de codificación requieren un gran dispendio de desarrollo matemático y un constante ulterior desarrollo, a fin de poder seguir el ritmo de la mejorada técnica de descifrado y de la creciente capacidad de cálculo. Como tercera posibilidad cabe mencionar aquí el empleo de una tarjeta de identificación, tal como está ampliamente difundida por ejemplo en la tecnología de la telefonía móvil. La tarjeta de identificación puede consistir, por ejemplo, de tarjetas chip, tales como tarjetas SIM (Subscriber Identity Module) o tarjetas inteligentes. En estas tarjetas se halla, en una zona de memoria protegida y no accesible al usuario, un código de identificación, que puede servir como característica de autentificación adicional. Mediante una tal tarjeta SIM puede identificarse de forma inequívoca el aparato en el cual se emplea la tarjeta SIM, y ser asignado a un usuario. En el campo de la telefonía móvil se empleará así, como identificación de la tarjeta chip, por ejemplo un MSISDN (Mobile Subscriber ISDN) asignado a la tarjeta chip, es decir el número de llamada y/o una IMSI (International Mobile Subscriber Identification). Típicamente, la IMSI está memorizada en una zona de memoria protegida de la tarjeta SIM y es asignada a través de un HLR (Home Location Register) o un VLR (Visitor Location Register) al correspondiente MSISDN. El inconveniente del empleo de una tarjeta de identificación, tal como una tarjeta SIM según el estado de la técnica, consiste en que la menor parte de unidades móviles (nodos) disponen de un correspondiente lector de tarjetas chip. Además, los costos para las tarjetas de identificación deben ser de alguna manera trasladados al usuario. Una solución con empleo de un canal adicional para la transmisión del código, por ejemplo utilizando un aparato de telefonía móvil, se describe en la solicitud de Patente EP 0 976 015. El inconveniente de este estado de la técnica es, no obstante, que el usuario no puede influir sobre la creación del código, lo cual reduce considerablemente la seguridad de las autentificación del usuario. En la Patente US 6078908 se divulga un procedimiento para la autorización de un sistema de un usuario. El procedimiento comprende una autorización en dos etapas, generando en una primera etapa el sistema del usuario un número de autorización y enviándolo a una unidad de cálculo a través de un primer canal, y enviando la unidad de cálculo al usuario en una segunda etapa, a través de un segundo canal, ya sea el número de autorización o un código generado, mediante el cual el usuario puede autorizar al sistema. El Request for Comments 2865 reproduce en el correspondiente documento XP-002209985 el estándar de protocolo oficial para RADIUS (Remote Authentification Dial In User Service), efectuándose la autentificación de un sistema mediante el estándar RADIUS. La autentificación mediante RADIUS tienen lugar a través de un único canal, a través del cual el sistema se engloba también en la red.

Constituye una finalidad de la presente invención proponer un nuevo procedimiento y sistema para la autentificación de nodos móviles en una red local inalámbrica, que no adolezca de los inconvenientes arriba descritos. Particularmente, debe ofrecerse al usuario la máxima seguridad posible en la autentificación, sin que resulte necesaria la adquisición de hardware adicional o la administración de códigos o predeterminados.

De acuerdo con la presente invención, estas finalidades se consiguen particularmente mediante los elementos de las reivindicaciones independientes. Ulteriores formas de realización ventajosas se desprenden, además, de las reivindicaciones dependientes y de la descripción.

Particularmente, estas finalidades se consiguen mediante la invención por el hecho de que al registrarse una unidad de red móvil de un usuario en una WLAN (Wireless Local Area Network: red local inalámbrica) son transmitidos, para o la autentificación del usuario, datos de autentificación específicos para el usuario a través de un punto de acceso de la WLAN a una unidad central, los datos de autentificación específicos para el usuario son comparados por la unidad central con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos, y la unidad de red móvil es autorizada por la unidad central, en el caso de una autentificación exitosa, a la utilización de la WLAN, transmitiendo la unidad de red móvil un código de identificación del usuario juntamente con datos de información adicional determinables por el usuario a la unidad central, generando la unidad central, en base al código de identificación y a los datos de información adicional determinables por el usuario, un código de registro y enviando dicho código de registro a un aparato de telefonía móvil, asignado al usuario, de una red de telefonía móvil, con lo que el usuario puede registrar la unidad de red móvil mediante el código de registro recibido en la WLAN. El código de registro sirve a la unidad central concretamente como activador para la autentificación. Los puntos de acceso de una WLAN se comunican con un servidor Radius asociado, estando conectados varios servidores Radius de diversas WLAN con la unidad central, y siendo generado el código de registro adicionalmente en base de datos específicos para el servidor del servidor Radius, en cuya WLAN registre el usuario la unidad de red móvil. Ello posee, entre otras cosas, la ventaja de que varias WLAN pueden ser administradas de forma centralizada. Ello representa ventajas en dispendio de costos y tiempo. Además, la generación del código de registro en base a datos específicos para el servidor mediante autorización de acceso a red topológicamente limitada, permite incrementar ulteriormente la seguridad. La autentificación resulta incrementada al máximo merced a la identificabilidad del usuario de la red de telefonía móvil y al envío de un código de registro a través de otra red a un aparato independiente de la unidad de red móvil. Simultáneamente, la seguridad resulta ulteriormente incrementada por la adición de datos de información adicional determinables por el usuario. Estos datos pueden ser, de acuerdo con una variante de realización, datos de información adicional incluso elegibles de forma totalmente libre por el usuario, pudiendo estar dichos datos de información adicional, en el caso límite, incluso vacíos. Todo el procedimiento y sistema puede particularmente realizarse sin que por parte del usuario sea precisa modificación alguna del hardware en la unidad de red móvil y resulta por tanto, en comparación con soluciones de hardware, tales como por ejemplo con una tarjeta SIM y lectores de tarjetas SIM, mucho más económico. Ello se refiere no solamente a los costos de hardware sino también a la instalación del mismo. Debe también destacarse que en el caso de unidades de red móviles frecuentemente son importantes las consideraciones de peso y espacio. La presente invención no requiere ni espacio adicional para hardware ni conlleva un aumento de peso del aparato terminal móvil (unidad de red).

De acuerdo con otra variante de realización, los datos de información adicional determinables por el usuario comprenden indicaciones geográficas y/o topográficas. Esta variante de realización posee, entre otras cosas, la ventaja de que la seguridad puede ser ulteriormente incrementada, por ejemplo, mediante determinación del punto de acceso momentáneo de la unidad de red móvil.

De acuerdo con otra variante de realización, los datos de información adicional determinables por el usuario comprenden indicaciones de tiempo. Esta variante de realización posee, entre otras cosas, la ventaja de que la seguridad puede ser aumentada, por ejemplo, por una limitación de acceso temporal de la unidad de red móvil.

De acuerdo con otra variante de realización, el servidor Radius genera, en base de sus datos específicos para el servidor y de datos específicos para el usuario, transmitidos por la unidad central, el código de registro destinado a la autentificación del usuario en el servidor Radius. Esta variante de realización posee, entre otras cosas, la ventaja de que merced a los datos de información adicional determinables por el usuario puede incrementarse ulteriormente la seguridad, dado que los propios servidores Radius generan el código de registro mediante una clave en base de datos específicos para el servidor, sin recibir el código de registros por transmisión.

De acuerdo con una ulterior variante de realización, el usuario recibe únicamente acceso a la WLAN de aquel servidor Radius a través del cual se haya producido la solicitud de acceso de la unidad de red móvil. Esta variante de realización presenta, entre otras cosas, la ventaja de que la posibilidad de acceso limitada aumenta la seguridad de autentificación, sin que el usuario deba soportar por ello inconveniente alguno.

De acuerdo con una ulterior variante de realización, el usuario recibe únicamente acceso a la WLAN de aquel servidor Radius cuyos datos geográficos y/o topográficos coincidan con los datos de información adicional determinables por el usuario. Esta variante de realización presenta básicamente las mismas ventajas que la anterior.

De acuerdo con otra variante de realización, como código de identificación del usuario se emplea una IMSI (International Mobile Subscriber Identification) y/o un MSISDN (Mobile Subscriber ISDN). Como MSISDN puede por ejemplo emplearse el MSISDN del aparato de telefonía móvil, al cual es enviado el código de registro. Ello presenta la ventaja de que el usuario puede indicar, juntamente con la identificación, también el aparato de telefonía móvil al cual deba enviarse el MSISDN. De esta manera puede identificarse con distintos MSISDN un determinado usuario y autentificarse correspondientemente con el código de registro, etc., sin que el usuario deba estar previamente registrado en el sistema, por ejemplo en el banco de datos de la unidad central.

A continuación se describirán variantes de realización de la presente invención mediante ejemplos, que se ilustran en los dibujos adjuntos, en los cuales:

La Fig. 1 muestra un diagrama de bloques que ilustra esquemáticamente la arquitectura de una variante de realización de un sistema según la invención para el registro de una unidad de red móvil 60, ..., 65 de un usuario 10 en una WLAN 40, ..., 48, siendo transmitidos, para la autentificación de la unidad de red móvil 60, ..., 65, datos de autentificación específicos para el usuario a través de un punto de acceso 401, 411, 421, ..., 481 de la WLAN 40, ..., 48 a una unidad central 30; y

la Fig. 2 muestra un diagrama de bloques que ilustra también esquemáticamente la arquitectura de un sistema para el registro de una unidad de red móvil 60, ..., 65 de un usuario 10 en una WLAN 40, ..., 48, siendo transmitidos, para la autentificación de la unidad de red móvil 60, ..., 65, datos de autentificación específicos para el usuario a través de un punto de acceso 401, 411, 421, ..., 481 de la WLAN 40, ..., 48 a una unidad central 30. En esta variante de realización están conectados varios servidores Radius 70, 71 con la unidad central 30.

La Fig. 1 ilustra una arquitectura susceptible de ser empleada para la realización de la invención. En este ejemplo de realización es transmitido, al registrarse una unidad de red móvil 60, ..., 65 de un usuario 10 en una WLAN 40, 41, 42, para la identificación del usuario 10 un código de identificación del usuario 10, juntamente con datos de información adicional determinables por el usuario 10, a través de un punto de acceso 401, 411, 421 de la WLAN 40, 41, 42 a una unidad central 30. Los puntos de acceso 401, 411, 421 pueden estar conectados con los servidores Radius 70, 71 por ejemplo a través de medios físicos 50, tales como por ejemplo cables coaxiales, pares trenzados o cables ópticos de fibra de vidrio. La conexión puede incluir redes de comunicación, tales como por ejemplo una red de telefonía móvil, tal como una red de telefonía móvil terrestre, por ejemplo una red GSM o UMTS, o una red de telefonía móvil basada en satélites, y/o una o varias redes fijas, por ejemplo la red telefónica pública (PSTN: Public Switched Telephone Network) y/o ISDN (Integrated Services Digital Network) o una apropiada red LAN (Local Area Network) o WAN (Wide Area Network). La comunicación entre la unidad central 30 y los puntos de acceso 431, 441, ..., 481 puede realizarse, por ejemplo, a través de un interfase TCP/IP y/o un interfase CORBA, un módulo ATM, un Gateway SMS y/o USSD mediante mensajes cortos especiales, por ejemplo mensajes SMS (Short Message Services), USSD (Unstructured Supplementary Services Data) u otras técnicas tales como MExE (Mobile Execution Environment), a través de protocolos tales como GPRS (Generalized Packet Radio Service), WAP (Wireless Application Protokoll) o a través de un canal de servicio. La transferencia de datos entre la unidad central 30 y los puntos de acceso 431, 441, ..., 481 es iniciada y realizada, por ejemplo, por medio de módulos de transferencia, implementados por software o por hardware, de la unidad central 30 así como de los puntos de acceso 431, 441, ..., 481. Las unidades de red móviles 60, ..., 65 ó los denominados nodos móviles pueden ser, por ejemplo, Laptops, Notebooks, PDAs (Personal Digital Assistant) o aparatos de telefonía móvil, particularmente teléfonos móviles. Los nodos móviles 60, ..., 65 están equipados, tanto desde el punto de vista de hardware como de software, con un correspondiente interfase para englobarlos en una red informática local inalámbrica (WLAN). Los mismos se comunican mediante señales de radiofrecuencia con los puntos de acceso 401, 411, 421 de la WLAN 40, 41, 42. Los nodos móviles pueden por ejemplo comprender un adaptador que incluya un emisor/receptor así como una tarjeta de control (tal como por ejemplo un adaptador infrarrojo (IR) o un adaptador de ondas de radio de baja frecuencia). Con ello, los nodos móviles 60, ..., 65 pueden desplazarse libremente dentro del radio de alcance de la LAN inalámbrica. Los puntos de acceso 401, 411, 421 de la WLAN 40, 41, 42 pueden por ejemplo tanto amplificar las señales de radiofrecuencia de los nodos móviles 60, ..., 65 como también comprender funciones de puenteo que permitan acceder de la red local inalámbrica 40, 41, 42 a nodos de una red cableada, y viceversa. Para la transmisión de las señales de radiofrecuencia, los puntos de acceso 401, 411, 421 comprenden al menos una antena. La antena puede consistir, por ejemplo, de una antena dipolo, de una antena de bucle tal como una antena dipolo doblado, de una antena Marconi o de una antena con tierra artificial, de una antena direccional tal como por ejemplo una antena Yagi, una antena Yagi cruzada o una antena parabólica, de una antena omnidireccional o de un sistema de antenas fraccional. Las señales de radiofrecuencia se sitúan típicamente, en las bandas de frecuencia reservadas para redes LAN inalámbricas, entre 800 MHz y 6000 MHz, tal como por ejemplo en las tres bandas de frecuencia fijadas en los EEUU por la United States Federal Communication Commission (FCC): 902-928 MHz, 2400-2483.5 MHz y 5725-5850 MHz (D 15 of Title 47 Code of Federal Regulations). Sin embargo, las mismas pueden también estar, por ejemplo, en la gama de 400 MHz, tal como son por ejemplo habituales en mandos electrónicos inalámbricos para la apertura de puertas de garaje, o en las recientemente en Alemania y en Suiza subastadas frecuencias WLL (Wireless-Local-Loop) de por ejemplo 26 GHz para procedimientos Wire-less-Local-Loop. Sin embargo, cabe destacar que también son posibles otras frecuencias sin que por ello quede afectada la esencia de la invención. Así pues, en principio pueden emplearse para la invención también señales infrarrojas, tales como por ejemplo IrDA, IR-LAN, etc. Las funciones de puenteo de la estación base 1 pueden realizarse, por ejemplo, de acuerdo con IEEE Std. 802.1D-1990 "Media Access Control Bridges" pág. 31-47. Los datos de información adicional determinables por el usuario 10 pueden comprender, por ejemplo, indicaciones geográficas y/o topográficas y/o temporales. Bajo indicaciones geográficas y/o topográficas pueden incluirse, por ejemplo, nombres de localidades, nombres de calles, códigos de localidades y/o países, designaciones de edificios, indicaciones de longitud y/o latitud geográficas, direcciones, etc. etc., aunque también indicaciones topográficas en sentido más amplio, tales como por ejemplo indicaciones topográficas respecto al sistema de red, al ofertante de servicios, a la estructura del edificio, etc. Los datos de información adicional pueden también consistir de una combinación de las indicaciones arriba mencionadas. El código de identificación puede comprender, por ejemplo, un nombre de usuario (Username), indicaciones de dirección u otras designaciones, tales como por ejemplo una IMSI (International Mobile Subscriber Identification) y/o un MSISDN (Mobile Subscriber ISDN) o cualquier otro número de identificación (ID). Como variante de realización especial puede emplearse, por ejemplo, el MSISDN del aparato de telefonía móvil 20, al cual es enviado el código de registro. Ello presenta la ventaja de que el usuario 10 puede indicar, juntamente con la identificación, también el aparato de telefonía móvil 20 al cual deba enviarse el MSISDN. Así pues, un usuario 10 puede identificarse en la unidad central 30 con diversos MSISDN y posteriormente autentificarse correspondientemente con el código de registro 22, etc., sin que el usuario 10 precise estar previamente registrado en el sistema, por ejemplo en el banco de datos 31 de la unidad central 30. La unidad central 30 puede recibir la identificación mediante el MSISDN por ejemplo a través del ofertante de servicios de telefonía móvil de la red de telefonía móvil 51. El código de identificación del usuario 10, juntamente con los datos de información adicional determinables por el usuario 10, pueden ser entrados por el usuario 10 por ejemplo mediante elementos de entrada del nodo móvil 60, ..., 65 y/o ser transmitidos a la unidad central 30 por medio de un módulo IVR (Interactive Voice Response). En base del código de identificación y de los datos de información adicional determinables por el usuario 10 es generado por la unidad central 30 un código de registro 22 y enviado a un aparato de telefonía móvil 20, de una red de telefonía móvil 51, asignado al usuario 10. La identificación del aparato de telefonía móvil 20 puede realizarse, por ejemplo, mediante una tarjeta chip 21. La tarjeta chip 21 puede ser, por ejemplo, una tarjeta SIM (Subscriber Identification Module) o una tarjeta inteligente, estando asignado a la tarjeta chip 21 un respectivo número de llamada. La asignación de la tarjeta chip 21 a un número de llamada puede realizarse, por ejemplo, a través de un HLR (Home Location Register), por el hecho de que en el HRL esté memorizada la IMSI (International Mobile Subscriber Identification) de un número de llamada de forma asignada por ejemplo a un MSISDN (Mobile Subscriber ISDN). La IMSI puede estar por ejemplo memorizada en una zona de memoria protegida de la tarjeta chip 21. La tarjeta chip 21 puede estar conectada con el aparato de telefonía móvil 20 de forma extraíble a través de un interfase con contactos y/o exento de contactos, tal como es habitual en Europa, o bien estar integrada en el aparato de telefonía móvil 20 como componente fijo, tal como es más común en los EEUU. Como identificación puede emplearse, por ejemplo, el MSISDN, la IMSI u otro número de identificación (ID). Caso de que el número de llamada de la tarjeta chip 21 no haya sido empleado simultáneamente como identificación, existe un entrelazamiento inequívoco entre el número de llamada y la identificación en la unidad central 30. Como seguridad adicional puede reconocerse y verificarse automáticamente la identificación por la unidad central 30, por ejemplo mediante un módulo CLI 21 (Calling Line Identification) por medio de reconocimiento de conexión del MSISDN asignado. El código de registro 22 generado por la unidad central 30 puede ser enviado, por ejemplo mediante un interfase SMS (Short Message Service) y/o USSD (Unstructured Supplementary Service Data), por la unidad central 30 al aparato de telefonía móvil 20 asignado al usuario 10. Sin embargo, para ello pueden también emplearse servicios de datos especiales, tales como GPRS (Generalized Packet Radio Service) o WAP (Wireless Application Protocol) o similares. La red de telefonía móvil 51 puede comprender, por ejemplo, una red de telefonía móvil terrestre, por ejemplo una red GSM o UMTS o una red de telefonía móvil basada en satélites, y particularmente redes fijas tales como la red telefónica pública PSTN. El usuario 10 recibe así, a través del aparato de telefonía móvil 20, el código de registro 22 y registra la unidad de red móvil 60, ..., 65 mediante el código de registro 22 recibido en la WLAN 40, 41, 42, siendo transmitidos a la unidad central 30 datos de autentificación específicos para el usuario, que comprendan al menos el código de registro 22 recibido. El código de registro 22 puede ser indicado por el usuario, por ejemplo mediante los elementos de entrada del nodo móvil 60, ..., 65. Los datos de autentificación específicos para el usuario son comparados, mediante la unidad central 30, con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos 31. El banco de datos 31 puede estar realizado de forma asociada a la unidad central 30 ó como unidad de red autónoma. En el caso de una autentificación exitosa, la unidad central 30 autoriza a las unidades de red móviles 60, ..., 65 a utilizar la WLAN 40, 41, 42. Cabe destacar que la WLAN puede estar conectada, tal como se ha mencionado, por medio de funciones de puenteo por ejemplo a ulteriores redes que comprendan redes de cableado fijo (wired LAN y/o WAN), particularmente por ejemplo a Intranets internas de las empresas o externas a ellas y/o a la red primaria mundial, el denominado Internet, y/o a la red telefónica pública, etc. También cabe mencionar que, para aumentar el estándar de seguridad durante la transmisión entre las distintas unidades de la invención (unidad central 30, punto de acceso 401, 411, 421, aparato de telefonía móvil 20), las informaciones intercambiadas pueden ser adicionalmente codificadas, por ejemplo mediante algoritmos de codificación fijos, dinámicos, simétricos, asimétricos u otros.

La Fig. 2 ilustra una arquitectura susceptible de ser empleada para la realización de la invención. En este ejemplo de realización es transmitido, al registrarse una unidad de red móvil de un usuario 10 en una WLAN 43, ..., 48, para la autentificación del usuario 10 un código de identificación del usuario 10, juntamente con datos de información adicional determinables por el usuario 10, a través de un punto de acceso 431, 441, ..., 481 de la WLAN 43, ..., 48 a una unidad central 30. Las unidades de red móviles 60, ..., 65 ó nodos móviles pueden consistir, tal como en el ejemplo de realización de la Fig. 1, por ejemplo de Laptops, Notebooks, PDAs (Personal Digital Assitant) o aparatos de telefonía móvil, particularmente teléfonos móviles. Los nodos móviles 60, ..., 65 están equipados, desde el punto de vista de hardware y software, con un correspondiente interfase, a fin de englobarlos en una red informática local inalámbrica (WLAN). Los mismos se comunican mediante señales de radiofrecuencia con los puntos de acceso 401, 411, 421 de la WLAN 40, 41, 42. Los nodos móviles pueden comprender, por ejemplo, un adaptador, el cual incluya un emisor/receptor así como una tarjeta de control (tal como, por ejemplo, un adaptador infrarrojo (IR) o un adaptador de ondas de radio de baja frecuencia). De este modo, los nodos móviles 60, ..., 65 pueden desplazarse libremente dentro del radio de alcance de la LAN inalámbrica. La ulterior ejecución técnica se desprende del ejemplo de realización 1 y no precisa por tanto ser repetida en este lugar para la suficiente divulgación, ya que la misma resulta evidente para las personas entendidas en la materia en base del ejemplo de realización 1. El usuario 10 posee en este ejemplo de realización 2, a diferencia del ejemplo de realización 1, la posibilidad de registrarse en distintas WLAN a través de la misma unidad central 30. Para ello, los respectivos puntos de acceso 431, 441, ..., 481 de una determinada WLAN 43, ..., 48 se comunican con un servidor Radius 70, 71 asociado. Los puntos de acceso 431, 441, ..., 481 pueden estar conectados con los servidores Radius 70, 71 asociados por ejemplo a través de medios físicos 53, 54, tales como por ejemplo cables coaxiales, pares trenzados o cables ópticos de fibra de vidrio. Varios servidores Radius 70, 71 de distintas WLAN 43, ..., 48 están respectivamente conectados con una unidad central 30 también por ejemplo a través de medios físicos 53, 54, tales como por ejemplo cables coaxiales, pares trenzados o cables ópticos de fibra de vidrio. Los canales de comunicación 51/52/53 entre la unidad central 30, los servidores Radius 70, 71 y los puntos de acceso 431, 441, ..., 481 pueden comprender, por ejemplo, una red de telecomunicaciones, por ejemplo una red fija, tal como una red LAN (Local Area Network) o WAN (Wide Area Network), la red telefónica pública (PSTN, Public Switched Telephone Network) y/o ISDN (Integrated Services Digital Network), el Internet u otra red de comunicaciones, particularmente una red de telefonía móvil, tal como una red de telefonía móvil terrestre, por ejemplo una red GSM o UMTS, o una red de telefonía móvil basada en satélites. La comunicación entre la unidad central 30, los servidores Radius 70, 71 y los puntos de acceso 431, 441, ..., 481 puede realizarse, por ejemplo, a través de un interfase TCP/IP y/o un interfase CORBA, un módulo ATM, un Gateway SMS y/o USSD mediante mensajes cortos especiales, por ejemplo mensajes SMS (Short Message Services), USSD (Unstructured Supplementary Services Data) u otras técnicas como MExE (Mobile Execution Environment), a través de protocolos tales como GPRS (Generalized Packet Radio Service), WAP (Wireless Application Protokoll) o a través de un canal de servicio. La transferencia de datos entre la unidad central 30, los servidores Radius 70, 71 y los puntos de acceso 431, 441, ..., 481 es iniciada y realizada por ejemplo a través de módulos de transferencia, implementados por software o por hardware, de la unidad central 30, de los servidores Radius 70, 71 así como de los puntos de acceso 431, 441, ..., 481. Los datos de información adicional determinables por el usuario 10 pueden comprender, por ejemplo, indicaciones geográficas y/o topográficas y/o temporales. En base del código de identificación, de los datos de información adicional determinables por el usuario 10 y/o de datos específicos para el servidor de los servidores Radius 70, 71, en cuya WLAN 43, ..., 48 el usuario 10 registre la unidad de red móvil, es generado por la unidad central 30 un código de registro 22 y enviado a un aparato de telefonía móvil 20, de una red de telefonía móvil 51, asignado al usuario 10. El código de registro 22 es también transmitido por la unidad central al servidor Radius 70, 71. De acuerdo con otro ejemplo de realización es también concebible que el servidor Radius 70, 71 genere, en base de los propios datos específicos para el servidor y de los datos transmitidos por la unidad central 30, específicos para el usuario, el código de registro 22, destinado a la autentificación del usuario 10 en el servidor Radius 70, 71. De esta manera, el código de registro 22 no precisa ya ser transmitido por la unidad central 30 al servidor Radius 70, 71, lo cual incrementa adicionalmente la seguridad. El usuario 10 registra la unidad de red móvil, mediante el código de registro 22 recibido, en los correspondientes servidores Radius 70, 71 en la WLAN 43, ..., 48, siendo transmitidos a la unidad central 30 datos de autentificación específicos para el usuario, que comprendan al menos el código de registro 22 recibido. Los datos de autentificación específicos para el usuario son comparados, por la unidad central 30 y/o el servidor Radius 70, 71, con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos 31. El banco de datos 31 puede estar realizado de forma asociada a la unidad central 30 ó como unidad de red autónoma. Igualmente, los servidores Radius 70, 71 pueden poseer correspondientes bancos de datos. En el caso de una autentificación exitosa, el servidor Radius 70, 71 autoriza a la unidad de red móvil a utilizar la WLAN 43, ..., 48. De acuerdo con un ulterior ejemplo de realización, como variante al arriba descrito, es también posible que el usuario 10 reciba únicamente acceso a la WLAN 43, ..., 48 de aquel servidor Radius 70, 71 a través del cual se haya realizado la solicitud de acceso de la unidad de red móvil y/o cuyos datos geográficos y/o topográficos y/o temporales coincidan con los datos de información adicional determinables por el usuario 10. Merced a la limitación del marco topográfico o temporal para el registro resulta evidente que la seguridad en la autentificación puede incrementarse en un múltiplo. También en este ejemplo de realización cabe destacar que, a fin de incrementar el estándar de seguridad en la transmisión entre las distintas unidades de la invención (unidad central 30, servidor Radius 70, 71, punto de acceso 431, 441, ..., 481, aparato de telefonía móvil 20), las informaciones intercambiadas pueden ser adicionalmente codificadas, por ejemplo mediante algoritmos de codificación fijos, dinámicos, simétricos, asimétricos u otros.

Lista de números de referencia

\dotable{\tabskip\tabcolsep#\hfil\+#\hfil\tabskip0ptplus1fil\dddarstrut\cr}{
 10 \+ usuario\cr  20 \+ aparato de telefonía móvil\cr  21 \+
tarjeta chip (tarjeta SIM)\cr  22 \+ código de registro\cr  30 \+
unidad central\cr  31 \+ banco de datos\cr  40, ..., 48 \+ células
de la WLAN\cr  401, 411, ..., 481 \+ puntos de acceso o estaciones
base\cr  50, 52, 53, 54 \+ redes\cr  51 \+ red de telefonía móvil\cr
 60, ..., 65 \+ unidades de red móviles\cr  70, 71 \+ servidores
Radius\cr}

Claims

1. Procedimiento para el registro de una unidad de red móvil (60, ..., 65) de un usuario (10) en una WLAN (40, ..., 48), en que para la autentificación del usuario (10) son transmitidos a una unidad central (30) datos de autentificación específicos para el usuario a través de un punto de acceso (401, 411, 421, ..., 481) de una WLAN (40, ..., 48), siendo comparados, mediante la unidad central (30), los datos de autentificación específicos para el usuario con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos (31) y siendo autorizada la unidad de red móvil (60, ..., 65), en el caso de una autentificación exitosa, a la utilización de una WLAN (40, ..., 48), caracterizado

porque los puntos de acceso (401, 411, 421, ..., 481) de una WLAN (40, ..., 48) se comunican con un servidor Radius (70, 71) asignado, y varios servidores Radius (70, 71) de distintas WLAN (40, ..., 48) están conectados con la unidad central (30), a cuya unidad central (30) la unidad de red móvil (60, ..., 65) transmite un código de identificación del usuario (10) juntamente con datos de información adicional determinables por el usuario (10),

porque la unidad central (30) genera, en base del código de identificación y de los datos de información adicional determinables por el usuario (10), un código de registro (22), siendo generado dicho código de registro (22) adicionalmente en base de datos específicos para el servidor del servidor Radius (70, 71) en cuya WLAN (40, ..., 48) registra el usuario (10) la unidad de red móvil (60, ..., 65), y

porque la unidad central (30) envía el código de registro (22) a un aparato de telefonía móvil (20), de una red de telefonía móvil (51), asignado al usuario (10), mediante cuyo código de registro (22) recibido el usuario (10) registra la unidad de red móvil (60, ..., 65) en la WLAN (40, ..., 48).

2. Procedimiento según la reivindicación 1, caracterizado porque los datos de información adicional determinables por el usuario (10) comprenden indicaciones geográficas y/o topográficas.

3. Procedimiento según una de las reivindicaciones 1 ó 2, caracterizado porque los datos de información adicional determinables por el usuario (10) comprenden indicaciones temporales.

4. Procedimiento según una de las reivindicaciones 1 a 3, caracterizado porque el servidor Radius (70, 71) genera, en base de sus datos específicos para el servidor y de datos transmitidos por la unidad central (30), específicos para el usuario, el código de registro (22), destinado a la autentificación del usuario (10) en el servidor Radius (70, 71).

5. Procedimiento según una de las reivindicaciones 1 a 4, caracterizado porque el usuario (10) recibe únicamente acceso a la WLAN (40, ..., 48) de aquel servidor Radius (70, 71) a través del cual se haya efectuado la solicitud de acceso de la unidad de red móvil (60, ..., 65).

6. Procedimiento según una de las reivindicaciones 1 a 5, caracterizado porque el usuario (10) recibe únicamente acceso a la WLAN (40, ..., 48) de aquel servidor Radius (70, 71) cuyos datos geográficos y/o topográficos coincidan con los datos de información adicional determinables por el usuario (10).

7. Sistema para el registro de una unidad de red móvil (60, ..., 65) de un usuario (10) en una WLAN (40, ..., 48), comprendiendo dicha WLAN (40, ..., 48) al menos un punto de acceso (401, 411, 421, ..., 481), cuyo sistema incluye medios para la transmisión de datos de autentificación específicos para el usuario de la unidad de red móvil (60, ..., 65) a través de un punto de acceso (401, 411, 421, ..., 481) de la WLAN (40, ..., 48) a una unidad central (30), comprendiendo la unidad central (30) medios para comparar los datos de autentificación específicos para el usuario con al menos partes de datos de usuario correspondientemente memorizados para la autentificación en un banco de datos (31), caracterizado

porque el sistema comprende varias distintas WLAN (40, ..., 48), incluyendo cada WLAN (40, ..., 48) un servidor Radius (70, 71) asignado, con al menos un respectivo punto de acceso (401, 411, 421, ..., 481), y estando conectados los servidores Radius (70, 71) de distintas WLAN (40, ..., 48) con la unidad central (30),

porque la unidad de red móvil (60, ..., 65) comprende medios para la transmisión de un código de identificación del usuario (10), juntamente con datos de información adicional determinables por el usuario (10), a la unidad central (30),

porque la unidad central (30) comprende medios para generar un código de registro (22) en base del código de identificación y de los datos de información adicional determinables por el usuario (10), comprendiendo la generación del código de registro (22) adicionalmente datos específicos para el servidor de un servidor Radius (70, 71), y

porque la unidad central (30) comprende medios para el envío del código de registro (22) a una red de telefonía móvil (51), siendo el usuario (10) abonado de dicha red de telefonía móvil (51).

8. Sistema según la reivindicación 7, caracterizado porque los datos de información adicional determinables por el usuario (10) comprenden indicaciones geográficas y/o topográficas.

9. Sistema según una de las reivindicaciones 7 u 8, caracterizado porque los datos de información adicional determinables por el usuario (10) comprenden indicaciones temporales.

10. Sistema según una de las reivindicaciones 7 a 9, caracterizado porque el servidor Radius (70, 71) comprende también medios para la generación del código de registro (22) para la autentificación del usuario (10) en base de datos transmitidos por la unidad central (30).

11. Sistema según una de las reivindicaciones 7 ó 10, caracterizado porque para el usuario (10) es únicamente accesible la WLAN (40, ..., 48) de aquel servidor Radius (70, 71) a través del cual se haya efectuado la solicitud de acceso de la unidad de red móvil (60, ..., 65).

12. Sistema según una de las reivindicaciones 7 a 11, caracterizado porque para el usuario (10) es únicamente accesible la WLAN (40, ..., 48) de aquel servidor Radius (70, 71) cuyos datos geográficos y/o topográficos coincidan con los datos de información adicional determinables por el usuario (10).