ES2354025T3

ES2354025T3 - Procedimiento y aparato para localizar usuarios de dispositivos móviles en una red informática inalámbrica.

Info

Publication number: ES2354025T3
Application number: ES05253558T
Authority: ES
Inventors: Vern Tact Tan; David Roxburgh; Matthew William Capp; Patrick Brian Farley
Original assignee: British Telecommunications PLC
Current assignee: British Telecommunications PLC
Priority date: 2005-03-22
Filing date: 2005-06-09
Publication date: 2011-03-09
Anticipated expiration: 2025-06-09
Also published as: DE602005024358D1; MY149845A; ATE486446T1; EP1705869A1; EP1705869B1

Abstract

Red informática (100) operativa para proporcionar información de localización acerca de un usuario de un dispositivo móvil (10) mientras el dispositivo está conectado a la red informática por medio de un punto de acceso inalámbrico (110) a la red, comprendiendo la red informática: un servidor de portal cautivo (120) para: solicitar a un usuario su autentificación y autorización por un proveedor de servicios, al cual se ha abonado el usuario cuando el dispositivo móvil del usuario está conectado con la red por medio del punto de acceso inalámbrico, comprendiendo el servidor de portal cautivo: unos medios de transmisión para transmitir, como respuesta a una petición HTTP del dispositivo móvil, una página web de inicio de sesión al dispositivo que solicita las credenciales de usuario, unos medios de generación para generar una petición de autentificación dependiendo de las credenciales de inicio de sesión del usuario solicitadas, unos medios de transmisión para transmitir la petición de autentificación a un servidor AAA (40), unos medios de recepción para recibir una respuesta desde el servidor AAA (40) y unos medios de emisión de órdenes para ordenar al punto de acceso inalámbrico (110) que permita al dispositivo móvil (10) acceder a la red, si la respuesta del servidor AAA (40) indica que el usuario está autentificado; y autorizado, y un servidor de gestión de localización de usuarios (140) para gestionar el almacenamiento, el procesamiento y el mantenimiento de la información de localización de los usuarios; pudiendo funcionar además el servidor de portal cautivo (120) para comunicar al servidor de gestión de localización de usuarios (140), una vez que el servidor AAA del proveedor de servicios del usuario ha realizado con éxito una autentificación o reautentificación del usuario, de la identidad del usuario y de la identidad del punto de acceso inalámbrico (140) con el cual está conectado el dispositivo móvil.

Description

CAMPO TÉCNICO

La presente invención se refiere a un procedimiento y a un aparato para localizar usuarios de dispositivos móviles en una red informática inalámbrica, y en particular a dicho procedimiento y aparato operativos en una red informática, incluyendo uno o más dispositivos de acceso inalámbrico. En particular, la presente invención es aplicable a un procedimiento y un aparato, en los cuales la red comprende unos puntos de acceso inalámbrico y dispositivos móviles cooperadores que funcionan según la norma IEEE 802.1x para redes inalámbricas.

ANTECEDENTES DE LA INVENCIÓN

La norma 802.1x para redes inalámbricas del IEEE permite a los dispositivos móviles provistos de una tarjeta de interfaz de red (o una funcionalidad equivalente incorporada en el dispositivo móvil de una manera más integrada), en lo sucesivo denominada NIC 802.1x, acceder de forma inalámbrica a una red cableada. Típicamente, la red cableada está conectada a Internet y ofrece asimismo unos medios de conexión segura con la intranet de una empresa mediante una red privada virtual (VPN) a través de Internet, o una tecnología similar.

Actualmente, en Gran Bretaña y en otros países avanzados se está instalando una gran cantidad de los denominados “puntos de acceso inalámbrico Wi-Fi públicos” que permiten a los dispositivos provistos de una NIC 802.1x conectarse inalámbricamente a Internet o a la red de su empresa cuando se hallan en uno de dichos puntos de acceso inalámbrico. Por ejemplo, en Gran Bretaña, British Telecommunications plc (BT) es responsable de la instalación y el funcionamiento de algunos de estos puntos de acceso inalámbrico públicos. Los consumidores individuales se pueden conectar a Internet en uno de estos puntos de acceso inalámbrico BT mediante pago por el servicio a BT. Los clientes corporativos pueden pagar a BT por el servicio de permitir a sus empleados acceder a la intranet de su empresa desde uno de estos puntos de acceso inalámbrico por medio de una VPN.

Para asegurar que sólo los usuarios debidamente autorizados puedan utilizar los puntos de acceso inalámbrico para acceder a Internet o a una intranet de empresa, se emplea un procedimiento de autentificación y autorización que se describe en mayor detalle más adelante.

Típicamente, cada punto de acceso inalámbrico presenta una zona operativa bastante pequeña, determinada por la potencia de transmisión del dispositivo de acceso inalámbrico (que es el elemento de equipo principal necesario para crear un punto de acceso inalámbrico) y la geografía del área que rodea el dispositivo de acceso inalámbrico, que normalmente se extiende hasta una distancia de algunas decenas de metros como máximo del dispositivo de acceso inalámbrico. De esta manera, en el pasado se ha observado algunas veces que la información acerca del dispositivo de acceso inalámbrico con el cual está conectado un dispositivo móvil podría utilizarse para obtener información de localización relativa al dispositivo móvil en cuestión.

Por ejemplo, en la solicitud de patente US publicada con el n.º US 2002/0095486 se describe un procedimiento de localización de usuarios de ordenadores móviles en una red inalámbrica en la que cada dispositivo móvil comprende software que indica con qué punto de acceso a la red se está hablando (o que, en una forma de realización preferida, trata de recibir señales de todos los puntos de acceso al alcance y trata de calcular su ubicación en relación con todos los puntos de acceso desde los cuales puede recibir señales, basándose en una correlación almacenada previamente entre los puntos de acceso y las intensidades de señal esperadas) y a continuación envía su propia localización calculada a un servidor de localización (situado en algún lugar de la red cableada) o simplemente envía el ID del punto de acceso al servidor de localización (que entonces consulta la ubicación del propio punto de acceso y deduce la ubicación del dispositivo basándose en esta).

Un aspecto que se describe en términos generales en la solicitud es que no hay siempre necesariamente una correspondencia uno a uno entre un usuario y un dispositivo; en cambio, no se describe a fondo cómo se salva este obstáculo cuando se busca un usuario particular. Por lo que parece, se supone que existe una correspondencia uno a muchos entre los usuarios y los dispositivos, de tal forma que un usuario puede utilizar más de un dispositivo, pero un dispositivo siempre tiene solo un usuario. En tal caso, para hallar dónde se halla un usuario basta con establecer cuál de los dispositivos de los diversos que dispone el usuario se ha activado en último lugar (dando por sentado que esto indica que el usuario ha efectuado localmente alguna acción en el dispositivo para activarlo). Y esto es todo lo que lleva a cabo el sistema (en particular, el servidor de localización) según la solicitud.

En el documento WO 2004/049628 A, se describe un sistema de localización de usuarios para una red de área local inalámbrica, en el que se modifica un servidor de autentificación, autorización y contabilidad para transmitir información de usuario e información de identidad del punto de acceso a un subsistema de gestión de localización.

En el documento de Karcher H. titulado “Mobile Business: High Speed Convenience for Business travellers at Hotels and Airports”, Siemens Publication, 24 de abril de 2001, XP002200065, se describe la utilización de un servidor de portal cautivo para controlar el acceso del usuario a internet o a una red de empresa obligando al usuario a ver una página de inicio de sesión en la que se solicitan las credenciales del usuario, antes de permitir a este acceder a Internet.

SUMARIO DE LA INVENCIÓN

Según un primer aspecto del a presente invención, se ofrece una red informática tal como la expuesta en la reivindicación 1 y un procedimiento como el expuesto en la reivindicación 6.

Preferentemente, el punto de acceso es un punto de acceso inalámbrico (denominado también encaminador inalámbrico) capaz de comunicarse con un dispositivo móvil mediante un protocolo estándar como cualquiera de los protocolos según la norma

802.11 del IEEE (por ejemplo, 802.11b, 802.11a, 802.11g, etc., normas que por conveniencia se designan de manera genérica con el término “norma 802.11x”) o cualquiera de las especificaciones Bluetooth (véase el sitio web de la empresa Bluetooth, en http://www.bluetooth.org, para obtener más información). Más preferentemente, el punto de acceso inalámbrico utiliza un protocolo según una de las normas 802.11x del IEEE.

El punto de acceso y el servidor de portal cautivo pueden pertenecer y pueden ser utilizados por el proveedor de servicios del usuario o, como alternativa, pueden pertenecer y pueden ser utilizados por un operador de red que simplemente posee un acuerdo comercial con el proveedor de servicios del usuario para permitir a los abonados del proveedor de servicios acceder a Internet u otro tipo de servicios comerciales por medio de la red inalámbrica.

La utilización de un servidor de portal cautivo para ofrecer automáticamente al usuario la posibilidad de autentificarse ante el sistema mientras se impide su acceso a la red hasta que haya concluido dicha autentificación resulta particularmente ventajosa en el sistema reivindicado, puesto que permite a todo el sistema funcionar con dispositivos móviles que no precisan de un software especial (aparte de los controladores estándar que controlan la interfaz inalámbrica y un navegador web estándar). Además, la utilización de un servidor de portal cautivo como dispositivo que presenta el mensaje de localización del usuario al servidor de localización (y que por lo tanto precisa de algunas funciones adicionales, aparte de las que ofrece un servidor de portal cautivo estándar) resulta particularmente ventajosa, ya que este dispositivo requiere la adaptación a las circunstancias particulares de la red en cualquier caso y, por lo tanto, la modificación del dispositivo para realizar la notificación del servidor de localización no comporta un gran esfuerzo adicional, y porque además este dispositivo siempre dispondrá de fácil acceso directo a la información concerniente al éxito o no de la conexión del usuario a la red y al punto de acceso desde el cual el usuario está conectado a la red.

Preferentemente, el servidor de portal cautivo transmite, mediante el protocolo transferencia de hipertexto (HTTP) y a través de la capa de sockets seguros (SSL) (conocidos conjuntamente con el acrónimo de HTTPS), una página web de autentificación

o inicio de sesión como respuesta a una petición HTTP para alguna página web a una aplicación de navegador común que se ejecuta en el dispositivo de usuario, en la que se solicita al usuario que facilite ciertas credenciales (por ejemplo, un ID y una contraseña del usuario y tal vez una identificación del proveedor de servicios al cual está abonado el usuario). Cuando el servidor de portal cautivo recibe las credenciales del usuario, preferentemente elabora una petición de autentificación y autorización (por ejemplo en el protocolo RADIUS) y la transmite a un servidor de autentificación y autorización tal como el servidor de autentificación, autorización y contabilidad (AAA) que lleva a cabo la autentificación y la autorización mediante el protocolo RADIUS. Cuando el servidor AAA ha cotejado las credenciales proporcionadas por el usuario con los registros almacenados, genera una respuesta que puede ser de aceptación o denegación o de petición de credenciales adicionales al usuario.

Cuando la respuesta es una petición para que el usuario aporte más credenciales, el portal procesa adecuadamente dichas credenciales y las vuelve a transmitir al usuario, y a continuación envía la respuesta del usuario al servidor AAA. Cuando la respuesta es una denegación, el portal procesa dicha denegación y transmite un mensaje explicativo al dispositivo para que lo presente al usuario, pero no se emprende ninguna acción más con el objetivo de permitir al usuario acceso a la red. Además, en una forma de realización, el servidor de portal no envía ningún mensaje al servidor de localización que indique la ubicación del usuario al servidor de localización, puesto que el usuario normalmente no podrá recibir datos a través de la red y, por lo tanto, tiene poco sentido anunciar la localización a terceras partes (sin embargo, en unas formas de realización alternativas es posible enviar la información de localización si el punto de acceso está configurado para permitir la transmisión de ciertos datos a través del móvil aunque el dispositivo no se haya autentificado, por ejemplo, para un servicio mediante el cual se indica al usuario del dispositivo móvil en qué distribuidor local, etc. puede adquirir crédito para acceder a la red). Cuando la respuesta es de aceptación, el servidor de portal ordena al encaminador o punto de acceso inalámbrico que permita al dispositivo acceder a la red (y a cualquier red interconectada, tal como una intranet de empresa o Internet), y además el servidor de portal envía un mensaje al servidor de localización para comunicarle el ID del usuario y el ID del encaminador o punto de acceso inalámbrico al cual está conectado el usuario, para permitir de ese modo al servidor de localización actualizar sus registros acerca del paradero de dicho usuario particular.

Según un segundo aspecto de la presente invención, se proporciona un procedimiento para obtener información de localización acerca de un usuario de un dispositivo móvil conectado a una red informática por medio de un punto de acceso, comprendiendo el procedimiento la conexión por el dispositivo a la red informática por medio del punto de acceso y la transmisión de una petición HTTP (o HTTPS) a la red, la transmisión por la red de una página web de inicio de sesión al dispositivo que solicita las credenciales de usuario como respuesta a la petición HTTP, la generación mediante la red de una petición de autentificación dependiente de las credenciales de inicio de sesión del usuario solicitadas y la transmisión de esta a un servidor AAA, la recepción de una respuesta desde el servidor AAA y, si la respuesta indica que la autentificación y autorización del usuario se ha realizado correctamente, el almacenamiento por la red de la información de identificación del usuario y del punto de acceso de la red a través del cual el dispositivo móvil se conecta a la red.

Preferentemente, el punto de acceso es un punto de acceso inalámbrico y el dispositivo móvil se conecta al punto de acceso inalámbrico a través de una interfaz inalámbrica (por ejemplo, una interfaz según la norma 802.11x del IEEE o una interfaz Bluetooth).

Preferentemente, el procedimiento comprende la petición por la red de la reautentificación periódica del dispositivo móvil para permitir al dispositivo continuar teniendo acceso a la red, y el almacenamiento por la red, aparte de las identificaciones del usuario y del punto de acceso, de la hora aproximada de la última autentificación o reautentificación del usuario junto con una indicación de que la validez de la información de localización sólo se mantendrá aproximadamente durante el período dentro del cual la red solicita la reautentificación del usuario.

El primer y el segundo aspecto de la presente invención resultan ventajosos comparados con las soluciones de técnica anterior en la medida en que el procedimiento de autentificación que se utiliza para obtener la información del usuario depende de la autentificación del usuario en lugar del dispositivo móvil que utiliza el usuario. Puesto que no se precisa de ningún software especial, el usuario puede utilizar cualquier dispositivo (que comprenda un navegador y unos controladores estándar para controlar la tarjeta o el dispositivo de interfaz inalámbrica) y seguir siendo localizable.

Preferentemente, el mensaje enviado desde el servidor de portal hasta el servidor de localización en caso de que el usuario se conecte sin problemas comprende el ID de usuario empleado con éxito por el usuario para conectarse a la red y la dirección de protocolo Internet (IP) del encaminador del punto de acceso (es decir, la parte del punto de acceso que se ocupa del encaminamiento IP de los paquetes IP). Como alternativa, el mensaje puede comprender un ID para el encaminador o el punto de acceso utilizado por el operador de red inalámbrica como una manera más intuitiva de identificar sus encaminadores o puntos de acceso. Otra posibilidad consiste en utilizar la dirección de control de acceso al medio (MAC) del punto de acceso, puesto que se “garantiza” que es un número exclusivo que deberá impedir cualquier posibilidad (remota) de confusión causada por dos puntos de acceso diferentes con el mismo ID.

Preferentemente, el punto de acceso está configurado, de tal forma que es

necesario que el usuario se reautentifique y obtenga la autorización con una determinada

frecuencia (por ejemplo, cada cinco o diez minutos y preferentemente cada uno o dos minutos, y posiblemente a intervalos de algunos segundos), y el servidor de localización está configurado de tal forma que considera que un aviso (acerca del ID de usuario y el encaminador inalámbrico con el cual está conectado el usuario) tiene una duración de validez aproximadamente igual al período tras el cual el punto de acceso volverá a solicitar al usuario que se autentifique.

Preferentemente, además de la expiración de la autentificación y autorización de un usuario a través de una acción pasiva de no reautentificación por parte del usuario (o del abandono por parte de este de la zona de alcance del transceptor del punto de acceso, lo cual en la presente forma de realización equivale más o menos a la misma cosa), la expiración puede tener lugar por iniciativa activa del usuario (en la que el usuario solicita explícitamente la terminación de la conexión con el encaminador inalámbrico), y a continuación, el encaminador inalámbrico informa al servidor de portal acerca de la desconexión inminente. A continuación, el servidor de portal transmite dicha información al servidor AAA, que actualiza debidamente sus registros (principalmente, para fines de facturación basada en la duración de la conexión del usuario) y al mismo tiempo, el servidor de portal envía un aviso al servidor de localización para informarle sobre la desconexión.

Preferentemente, el servidor de localización se comunica con un motor de presentación de servicios, tal como el descrito en la solicitud de patente GB en trámite nº 0407388.8, que ofrece una interfaz común por medio de la cual las aplicaciones de terceros pueden acceder a la información almacenada en el servidor de localización de una manera segura, equilibrada y fiable. Con el término “segura” se quiere decir que sólo las partes debidamente autentificadas y autorizadas pueden acceder a la información, con el término “equilibrada” se quiere decir que el servidor de localización no se verá desbordado ni provocará problemas en la red inalámbrica como resultado de peticiones falsas o excesivas de terceros, y con el término “fiable” se quiere decir que la información que se facilitará como respuesta a una petición válida de un tercero será correcta.

Preferentemente, una vez que el usuario ha realizado por primera vez la autentificación inicial con el servidor AAA (por medio del servidor de portal) al principio del establecimiento de una conexión por medio del encaminador inalámbrico, el dispositivo puede realizar de forma automática una subsiguiente reautentificación del usuario en nombre del usuario. Preferentemente, esto se realiza insertando, en la página web de autentificación descargada inicialmente desde el servidor de portal, una aplicación Javascript o un applet Java que almacena las credenciales de inicio de sesión proporcionadas por el usuario, mientras la conexión está activa, y utiliza estas credenciales almacenadas para realizar la reautentificación a su debido tiempo. Como alternativa, puede utilizarse una cookie para evitar que el usuario deba reautentificarse continuamente de forma manual. La utilización de aplicaciones Javascript, applets Java y cookies para este tipo de fin es bien conocida dentro del ámbito de la técnica y, en consecuencia, no se describirá en mayor profundidad.

BREVE DESCRIPCIÓN DE LOS DIBUJOS

Para facilitar la comprensión de la presente invención, a continuación se describen con carácter exclusivamente ejemplificativo las formas de realización de la presente invención, haciendo referencia a los dibujos adjuntos, en los cuales:

la figura 1 es una ilustración esquemática de la estructura global de un sistema según una forma de realización de la presente invención; la figura 2 es un diagrama que representa la secuencia en la que se pasan las señales entre el dispositivo móvil del usuario que se desea localizar, el sistema de la red visto en su conjunto, una aplicación de localización que permite a otros usuarios averiguar la ubicación del usuario que se desea localizar, y un usuario que emplea los servicios de la aplicación de localización para establecer la ubicación del usuario que se desea localizar; la figura 3 es un diagrama que representa una secuencia similar a la de la figura 2, en el que se muestra el paso de las señales entre el dispositivo móvil del usuario que se desea localizar y los diversos componentes de la red agrupados conjuntamente en el sistema de la figura 2, durante la autentificación inicial por la red del usuario que se desea localizar; la figura 4 es un diagrama que representa una secuencia similar a la de la figura 3, relativo a la desconexión del usuario que se desea localizar de la red; y la figura 5 es un diagrama que representa la secuencia en la que se pasan las señales entre la aplicación de localización de la figura 2 y dos componentes de la red, ilustrados como una única entidad en la figura 2, durante el procesamiento de una consulta de localización por la aplicación de localización.

DESCRIPCIÓN DETALLADA DE UNA PRIMERA FORMA DE REALIZACIÓN

Haciendo referencia a la figura 1, se observa que la estructura general comprende un grupo de dispositivos móviles 10 y 12 con capacidad inalámbrica (por ejemplo, por medio de un tipo de protocolo según la norma 802.11x del IEEE), un dispositivo fijo 20 en el que se ejecuta una aplicación que ayuda a los usuarios móviles a localizarse unos a otros, la red Internet 30, un servidor de autentificación, autorización y contabilidad (AAA) 40, que es operativo para identificar y autentificar un usuario mediante un protocolo seguro tal como el protocolo RADIUS basándose en las credenciales de usuario disponibles (por ejemplo, un ID de usuario y una contraseña (encriptada)) y el sistema de red inalámbrica 100 de la presente forma de realización.

El sistema de red inalámbrica 100 comprende una pluralidad de encaminadores inalámbricos o puntos de acceso 110, 112 (en lo sucesivo, denominados simplemente AP) con los cuales los dispositivos móviles con capacidad inalámbrica pueden establecer una conexión inalámbrica; un servidor de portal cautivo 120 que presenta una página web inicial de inicio de sesión en el dispositivo móvil en cuanto este se conecta a uno de los AP (y realiza también otras funciones descritas con mayor detalle a continuación); un servidor de gestión de localización de usuarios 140 que controla las bases de datos del sistema 100 que mantienen registrada la información de localización de los usuarios y comprenden una base de datos de usuarios 142 en la que se almacena la información de los usuarios registrados y, si se conoce, el AP al cual están conectados actualmente, así como una base de datos de AP 144 en la que se almacena la información de los AP 110, 112 incluidas sus direcciones MAC, sus ubicaciones geográficas y, en la presente forma de realización, sus ID exclusivos proporcionados por el operador de la red inalámbrica; y por último el sistema 100 comprende también una plataforma de presentación de servicios 150 que aporta una interfaz segura, equilibrada y fiable por medio de la cual puede tener lugar el acceso de terceros a los datos de localización de los usuarios gestionados por el servidor de gestión de localización de usuarios 140. En la presente forma de realización, la plataforma de presentación de servicios 150 es la descrita en la solicitud de patente GB en trámite nº GB 0407388.8 del presente solicitante.

Debe tenerse en cuenta que, en la siguiente descripción referente a las figuras 2 a 5, el servidor AAA 40 se considera parte integrante del sistema 100, puesto que en la presente forma de realización el proveedor de servicios que utiliza y controla el servidor AAA 40 tiene la propiedad y el control compartido del sistema 100 y, por lo tanto, es adecuado considerar que forma parte del sistema 100; no obstante, debe observarse que, en el caso más general, el servidor AAA también podría pertenecer y ser utilizado por una parte diferente a la que posee y utiliza el sistema 100, y en realidad el sistema 100 podría ser operativo para entrar en contacto con una serie de servidores AAA diferentes dependiendo del proveedor de servicios al cual está abonado el usuario, etc. siendo ésta la razón por la cual en la figura 1 se representa fuera del sistema 100 de la presente forma de realización.

Además, el servidor de gestión de localización de usuarios 140 (y bases de datos asociadas 142 y 144) o la plataforma de presentación de servicios 150 también podrían pertenecer y ser utilizadas por una parte diferente a la que posee o utiliza los puntos de acceso 110, 112 y el servidor de portal cautivo 120. Por supuesto, no es necesario que los diversos elementos estén geográficamente próximos entre sí, etc.

Haciendo referencia a la figura 2, se ilustra una vista general de los mensajes enviados entre el dispositivo móvil 10 del usuario que se desea localizar, el sistema 100, el dispositivo 20 en el que se ejecuta una aplicación de localización y el dispositivo móvil 12 de un usuario localizador (el usuario que desea establecer la ubicación del usuario de un dispositivo móvil 10, que en lo sucesivo se denominará “usuario de destino”) cuando el sistema de la presente invención se utiliza para permitir al usuario localizador establecer la ubicación del usuario de destino. El procedimiento comienza cuando el usuario de destino decide intentar conectarse con el sistema 100 mediante una interfaz inalámbrica entre su dispositivo móvil 10 y uno de los AP del sistema 100. Una vez que se ha establecido una conexión inalámbrica, el AP facilita al dispositivo móvil 10 una dirección IP temporal para utilizar durante la sesión mediante el protocolo de configuración dinámica de host (DHCP). Como parte de este procedimiento, el AP obtiene la dirección MAC del dispositivo móvil

10. Esta dirección se utiliza como base de las restricciones de cortafuego en el AP (descrito en mayor profundidad más adelante). A continuación, el usuario de destino solicita una página web por medio de un navegador estándar operativo en el dispositivo móvil 10 (en la figura 2, ilustrado mediante la flecha “petición de página web por el usuario” 205). Sea cual sea la página web que el usuario solicita, el sistema 100 presenta una página web de autentificación (indicado mediante la flecha “petición de autentificación al usuario” 210) en la que se solicita al usuario que inicie la sesión con el sistema facilitando sus credenciales de usuario. El usuario cumplimenta los campos de texto adecuados contenidos en la página web de autentificación con las credenciales solicitadas, y esta información se transmite desde el dispositivo móvil 10 hasta el sistema 100, por ejemplo a través de una nueva petición HTTP (indicado mediante la flecha “provisión de credenciales de usuario” 215). Cuando se reciben las credenciales del usuario, el sistema 100 efectúa cierto procesamiento interno (indicado mediante la flecha “autentificación de usuario” 220), los pormenores del cual se describirán a continuación haciendo referencia a la figura 3, para autentificar el usuario basándose en las credenciales recibidas. Tras la autentificación del usuario basada en las credenciales de usuario recibidas, el sistema 100 actualiza diversos registros y da al dispositivo móvil 10 acceso completo a Internet 30 (en formas de realización alternativas, podría darse acceso restringido a sólo unos sitios de Internet designados o a una intranet de empresa, etc.); además, el sistema 100 puede enviar una página web de confirmación inicial en la que se confirma que el usuario está autorizado para acceder a Internet. En la presente forma de realización, el sistema facilita al dispositivo 10 la página web solicitada originalmente (ilustrado mediante la flecha “concesión de acceso al usuario” 225 en la figura 2).

En algún momento posterior, el usuario localizador, que utiliza el dispositivo móvil 12, decide localizar a una persona de sus contactos, el usuario de destino que utiliza el dispositivo móvil 10. (Obsérvese que aunque el usuario localizador representado en la figura 1 utiliza el dispositivo móvil 12, no es necesario que el dispositivo del usuario localizador sea móvil, sino que puede utilizarse cualquier dispositivo informático con conexión a Internet para el mismo fin). El usuario localizador envía, pues, un mensaje de petición de localización (indicado mediante la flecha de “petición de localización de usuario” 230 en la figura 2) al dispositivo 20, ejecutándose una aplicación de localización de contactos. En la presente forma de realización, ilustrada en las figuras 1 y 2, el dispositivo 20 es un ordenador personal de sobremesa configurado para funcionar como ordenador servidor en relación con usuarios como el usuario localizador y configurado para funcionar como cliente en relación con el sistema 100 (y en particular, con la plataforma de presentación de servicios 150 de éste, como se describe en mayor detalle a continuación haciendo referencia a la figura 5). Cuando el dispositivo 20 recibe el mensaje de “petición de localización de usuario” 230 desde el dispositivo móvil 12, realiza cierto procesamiento interno para verificar que el solicitante esté autorizado por el usuario de destino para recibir la ubicación del usuario de destino, y además convierte, si es necesario, el ID del usuario de destino facilitado por el usuario localizador (que puede ser específico sólo para la aplicación de localización que se ejecuta en el dispositivo 20) en un ID de usuario que el sistema 100 podrá reconocer. El procesamiento interno que tiene lugar en el dispositivo 20 se indica en la figura 2 mediante la flecha “conversión de ID de usuario” 235.

Una vez que se ha establecido que el usuario localizador está debidamente autorizado y una vez que se ha convertido el ID de usuario (para obtener el ID de usuario conocido por el sistema 100), el dispositivo 20 envía un mensaje al sistema 100 en el que solicita la ubicación actual del usuario de destino (indicado en la figura 2 mediante la flecha “localización de ID de usuario” 240). El sistema 100 comprueba que la aplicación de localización que se ejecuta en el dispositivo 20 esté debidamente autorizada por el usuario de destino para acceder a la ubicación actual del usuario de destino, y a continuación transmite esta información a la aplicación solicitante que se ejecuta en el dispositivo 20 (representado en la figura 2 mediante la flecha “registro de ubicación de usuario” 245). Por último, la aplicación que se ejecuta en el dispositivo 20 envía la información de localización solicitada al dispositivo móvil 12 (representado mediante la flecha “provisión de ubicación de usuario” 250) que presenta la información solicitada al usuario localizador. Debe tenerse en cuenta que, aunque no se ilustra explícitamente en la figura 1 ó 2, el dispositivo 20 está conectado a Internet y por consiguiente es capaz de recibir peticiones desde cualquier dispositivo conectado a Internet. Análogamente, la secuencia de eventos descrita anteriormente presupone que el usuario localizador ha podido conectarse satisfactoriamente al sistema 100 y que en consecuencia también tiene acceso a Internet, desde donde puede entrar en contacto con el dispositivo 20.

Haciendo referencia a la figura 3, a continuación se describen en mayor detalle las etapas realizadas en la conexión inicial del usuario con el sistema 100, centrando la atención en las operaciones de los elementos relacionados dentro del sistema 100; en particular, el AP 110, el servidor de portal cautivo 120, el servidor AAA 40 y el gestor de localización de usuarios 140. Cuando el dispositivo móvil 10 envía la petición inicial de una página web al AP 110 (ilustrado mediante la flecha “petición de página web” 305 en la figura 3, correspondiente a la flecha 205 de la figura 2), el AP 110 está configurado para redirigir automáticamente este mensaje (incluido cualquier mensaje preliminar, por ejemplo, para establecer una conexión TCP con el servidor de destino en primer lugar, etc.) hacia el servidor de portal cautivo 120 (ilustrado mediante la flecha “redireccionamiento de petición web” 310 desde el AP 110 hasta el servidor de portal cautivo 120), que responde enviando una página web de inicio de sesión al dispositivo móvil 10 (indicado mediante la flecha “presentación de página de inicio de sesión (HTTPS)” 315 que corresponde a la flecha 210 de la figura 2). La página web de inicio de sesión comprende campos de texto que el usuario puede cumplimentar con sus credenciales de usuario (por ejemplo, un ID y una contraseña de usuario), que a continuación se transmiten al servidor de portal cautivo 120 (indicado mediante la flecha “credenciales de inicio de sesión (HTTPS)” 320 que corresponde a la flecha 215 de la figura 2). La presentación de la página web de inicio de sesión y la respuesta con las credenciales de usuario se realiza utilizando una conexión HTTPS segura. La utilización de servidores de portal cautivo, de esta manera, es bien conocida dentro del ámbito de la técnica y por consiguiente no se describirá en mayor profundidad en la presente memoria, sino que simplemente se observará que el procedimiento tiene lugar sin necesidad de que el dispositivo de usuario 10 disponga de un tipo de software especial.

Cuando el servidor de portal cautivo 120 ha recibido las credenciales de inicio de sesión del usuario, el servidor genera una petición para el servidor AAA 40 utilizando cualquier protocolo que el servidor AAA esté configurado para utilizar, que en la presente forma de realización es RADIUS (ilustrado mediante la flecha “petición de validación de usuario” 325). El servidor AAA 40 recibe la petición, la procesa y envía una respuesta al servidor de portal cautivo 120 (indicado en la figura 3 mediante la flecha “estado de autentificación” 330). En el ejemplo ilustrado en la figura 3, la respuesta del servidor AAA 40 indica que el usuario se ha autentificado correctamente, y en consecuencia, el servidor de portal cautivo 120 envía un mensaje al punto de acceso 110 (indicado mediante la flecha “envío de clave” 335 en la figura 3), en el que se ordena al punto de acceso 110 que dé al dispositivo conectado 10 acceso completo a Internet 30. Más o menos de forma simultánea, el portal cautivo 120 envía un mensaje al servidor de gestión de localización de usuarios 140, que contiene la dirección IP del punto de acceso 110 (como identificador del AP) y el ID del usuario presentado al servidor AAA (indicado en la figura 3 mediante la flecha “asociación de usuario con AP” 340).

Tras recibir el mensaje 335 desde el servidor de portal cautivo 120, el punto de acceso 110 genera una “concesión” de una duración de tiempo predeterminada, (de 2 minutos en la presente forma de realización) y reconfigura el cortafuego para permitir la transferencia de paquetes IP (o peticiones y respuestas HTTP, etc.) con origen o destino en el dispositivo móvil 10 a través de su interfaz alámbrica (que está directamente o indirectamente conectada a Internet 30) y a través de su interfaz inalámbrica, de tal forma que el usuario podrá navegar por Internet, enviar mensajes de correo electrónico, etc. durante la vigencia de la concesión (y durante más tiempo si el usuario se reautentifica antes de que expire la concesión). La concesión se asigna basándose en la dirección MAC del dispositivo móvil, que en teoría debería ser exclusiva para dicho dispositivo. La generación de la concesión y la reconfiguración del cortafuego se ilustran conjuntamente en la figura 3 mediante la flecha “emisión de concesión” 345. Además, en la presente forma de realización, el punto de acceso también permite obtener en Internet la página web solicitada originalmente y presentarla al usuario de forma automática (en formas de realización alternativa, el servidor de portal cautivo puede enviar una página web de confirmación que indica al usuario que su conexión se ha realizado con éxito, etc.). La transmisión al usuario de la página web solicitada originalmente se indica en la figura 3 mediante la flecha “redireccionamiento hacia página web solicitada” 350 (que corresponde a la flecha 225 de la figura 2).

Tras recibir el mensaje 340 desde el servidor de portal cautivo 120, el servidor de gestión de localización de usuarios 140 actualiza sus registros de la base de datos de usuarios 142 para que indiquen la dirección IP del punto de acceso 110 con el cual el usuario está conectado, junto con la hora actual (en la presente forma de realización, el tiempo de concesión habitual es el mismo para todos los usuarios y todos los puntos de acceso y, por lo tanto, esta información se almacena centralmente y se utiliza para determinar, basándose en la información de fecha y hora almacenada en los datos del usuario, la validez o no de un registro particular cualquiera de un usuario determinado cualquiera).

Haciendo referencia a la figura 4, a continuación se describen las etapas emprendidas por los mismos componentes que los ilustrados en la figura 3 y los mensajes intercambiados entre estos, cuando el dispositivo móvil 10 se desconecta activamente del sistema 100 y dicha desconexión es iniciada por el dispositivo móvil 10. Por lo tanto, cuando el usuario decide desconectarse del sistema, el dispositivo móvil 10 envía un mensaje de “petición de desconexión” 405 al punto de acceso 110. Cuando el punto de acceso lo recibe, revoca la “concesión” otorgada al dispositivo móvil 10 “recuperando la dirección IP” (de conformidad con el protocolo DHCP) del dispositivo móvil 10, que quedará disponible y podrá pues asignarse a otro dispositivo que se conecte con el AP 110, y reconfigurando su cortafuego para impedir que los paquetes de protocolo Internet (IP) con origen o destino en el dispositivo móvil 10 (o más particularmente con origen o destino en la dirección IP o la dirección MAC del dispositivo móvil 10) pasen a través del AP 110. Este procedimiento se indica en la figura 4 mediante el mensaje de “revocación de concesión” 410 y el mensaje de “cambio de cortafuego” 415, respectivamente. Una vez consumados estos cambios, el AP 110 envía un mensaje de “aviso de desconexión” 420 al servidor de portal cautivo 120 que indica que el usuario se ha desconectado, tras lo cual el servidor de portal cautivo 120 envía un mensaje de “aviso de desconexión de usuario” 425 al servidor de gestión de localización de usuarios 140 que entonces actualiza sus registros para que indiquen que el usuario correspondiente se ha desconectado de la red y que por lo tanto su ubicación se desconoce o ya no es válida. Tras el envío del mensaje de “aviso de desconexión” 420 al servidor de portal cautivo 120, el AP 110 envía también un mensaje de “confirmación de desconexión” 430 al dispositivo móvil 10 para confirmar que el dispositivo 10 se ha desconectado del sistema 100.

Haciendo referencia a la figura 5, a continuación se describen las etapas emprendidas por la aplicación de localización (que se ejecuta en el dispositivo 20), la plataforma de presentación de servicios 150 y el servidor de gestión de localización de usuarios 140, y los mensajes intercambiados entre estos, cuando la aplicación de localización solicita información de localización acerca de un usuario conectado con el sistema 100. Cuando una aplicación de terceros, tal como la aplicación de localización que se ejecuta en el dispositivo 20, desea obtener información de localización acerca de un usuario que puede estar conectado con el sistema 100 por medio de un AP inalámbrico, se envía un mensaje a la plataforma de presentación de servicios 150, habitualmente a través de una conexión a Internet como en la presente forma de realización.

Por lo tanto, cuando la aplicación de localización que se ejecuta en el dispositivo 20 desea obtener por cuenta de uno de sus clientes (el usuario localizador que utiliza el dispositivo móvil 12) la ubicación actual del usuario de destino, se envía un mensaje de “petición de ubicación de usuario (ID de usuario)” 505 (que comprende el ID de usuario conocido por el sistema 100). Cuando se recibe este mensaje 505, la plataforma de presentación de servicios 150 realiza cierto procesamiento interno para autentificar la aplicación (es decir, para comprobar que sea la que dice ser) y verificar que esté debidamente autorizada por el usuario que se desea localizar para obtener la información, tal como se indica mediante la flecha “determinación de requisitos de privacidad” 510. Una vez que está segura de que la petición de la aplicación es válida, la plataforma genera por sí misma un mensaje de “consulta de localización de usuario (ID de usuario)” 515 y lo

5 envía al servidor de gestión de localización de usuarios 140.

Tras la recepción del mensaje de consulta 515, el servidor de gestión de localización 140 consulta la base de datos de usuarios 142 para determinar si existe un registro actual del usuario identificado y, de ser así, obtiene la identidad del AP 110 con el cual el usuario en cuestión está conectado actualmente (este procedimiento se indica en

10 la figura 5 mediante el mensaje de “obtención de AP de usuario (ID de usuario)” 520). Una vez obtenido el ID (o la dirección IP) del AP 110 con el cual el usuario de destino está conectado, el servidor de gestión de localización de usuarios 140 consulta la base de datos de AP 144 (con un mensaje de “obtención de registro de localización de AP” 525) para obtener la información sobre el paradero del AP 110 (cuya identidad se ha

15 determinado a través de la consulta anterior de la base de datos de usuarios 142) y a continuación transfiere la información de localización obtenida a la plataforma de presentación de servicios 150 con un mensaje de “envío de registro de localización” 530. La plataforma de presentación de servicios 150 transfiere a continuación esta información de localización a la aplicación de localización que solicitó la información con un mensaje

20 de “envío de registro de localización” 535 generado por sí misma.

Claims

-17

1. Red informática (100) operativa para proporcionar información de localización acerca de un usuario de un dispositivo móvil (10) mientras el dispositivo está conectado a la red informática por medio de un punto de acceso inalámbrico (110) a la red, comprendiendo la red informática:

un servidor de portal cautivo (120) para: solicitar a un usuario su autentificación y autorización por un proveedor de servicios, al cual se ha abonado el usuario cuando el dispositivo móvil del usuario está conectado con la red por medio del punto de acceso inalámbrico, comprendiendo el servidor de portal cautivo: unos medios de transmisión para transmitir, como respuesta a una petición HTTP del dispositivo móvil, una página web de inicio de sesión al dispositivo que solicita las credenciales de usuario, unos medios de generación para generar una petición de autentificación dependiendo de las credenciales de inicio de sesión del usuario solicitadas, unos medios de transmisión para transmitir la petición de autentificación a un servidor AAA (40), unos medios de recepción para recibir una respuesta desde el servidor AAA (40) y unos medios de emisión de órdenes para ordenar al punto de acceso inalámbrico (110) que permita al dispositivo móvil (10) acceder a la red, si la respuesta del servidor AAA (40) indica que el usuario está autentificado; y autorizado, y un servidor de gestión de localización de usuarios (140) para gestionar el almacenamiento, el procesamiento y el mantenimiento de la información de localización de los usuarios;

pudiendo funcionar además el servidor de portal cautivo (120) para comunicar al servidor de gestión de localización de usuarios (140), una vez que el servidor AAA del proveedor de servicios del usuario ha realizado con éxito una autentificación o reautentificación del usuario, de la identidad del usuario y de la identidad del punto de acceso inalámbrico (140) con el cual está conectado el dispositivo móvil.
2.

Red según la reivindicación 1, que comprende además un servidor de autentificación, autorización y contabilidad (40) que puede funcionar para autentificar un usuario de conformidad con un protocolo de autentificación seguro.
3.

Red según la reivindicación 1 ó 2, en la que cada punto de acceso inalámbrico a la red puede funcionar para asignar dinámicamente una dirección de protocolo Internet al dispositivo móvil tras la conexión con la red para un período de concesión de duración limitada.
4.

Red según la reivindicación 3, en la que el período de concesión es inferior a 15 minutos.
5.

Red según cualquiera de las reivindicaciones anteriores, que comprende además una plataforma de presentación de servicios (150) para proporcionar una interfaz a las aplicaciones de terceros para acceder a la información de localización de los usuarios.
6.

Procedimiento para obtener información de localización acerca de un usuario de un dispositivo móvil (10) conectado a una red informática (100), por medio de una interfaz inalámbrica, comprendiendo la red un punto de acceso inalámbrico (110, 112), un servidor de portal cautivo (120) y un servidor de gestión de localización de usuarios (140), comprendiendo el procedimiento las etapas siguientes:

conexión mediante el dispositivo móvil (10) con la red informática, por medio de la interfaz inalámbrica y el punto de acceso inalámbrico, y transmisión de una petición HTTP a la red; transmisión mediante el punto de acceso inalámbrico de dicha petición al servidor de portal cautivo (120), que a continuación transmite, por medio del punto de acceso y como respuesta a la petición HTTP, una página web de inicio de sesión al dispositivo móvil que solicita las credenciales de usuario; generación mediante el servidor de portal cautivo de una petición de autentificación dependiendo de las credenciales de inicio de sesión de usuario solicitadas; transmisión de dicha petición a un servidor AAA (40); recepción de una respuesta desde el servidor AAA; y si la respuesta indica que el usuario se ha autentificado y ha sido autorizado, envío de la información de identificación del usuario y del punto de acceso inalámbrico, con el cual el dispositivo móvil está conectado mediante el servidor de portal cautivo al servidor de gestión de localización de usuarios para el almacenamiento de dicha información.
7.

Procedimiento según la reivindicación 6, en el que la red asigna dinámicamente una dirección de protocolo Internet al dispositivo móvil tras su conexión con la red para un período de concesión de duración limitada.
8.

Procedimiento según la reivindicación 7, en el que el período de concesión es inferior a 15 minutos.
9.

Procedimiento según la reivindicación 6, 7 u 8, que comprende además la presentación de una interfaz ante las aplicaciones de terceros a través de Internet, por medio de la cual éstas pueden solicitar información de localización acerca de los usuarios conectados a la red.
10.

Programa o programas informáticos para controlar una red informática con el fin de llevar a cabo el procedimiento según cualquiera de las reivindicaciones 6 a 9 durante la ejecución del programa o los programas.
11.

Medios de soporte para el programa o los programas informáticos según la reivindicación 10.