ES3068469T3 - Authentication support for an electronic device to connect to a telecommunications network - Google Patents

Abstract

La presente divulgación se refiere a un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicaciones para una red de telecomunicaciones que permite al dispositivo electrónico acceder a la red de telecomunicaciones sin suscripción. Un aspecto de la divulgación implica que el dispositivo electrónico proporcione un identificador de dispositivo electrónico a través de la primera red al sistema de soporte de autenticación. El dispositivo electrónico también está configurado para recibir, como mínimo, un identificador de dispositivo derivado y una credencial de dispositivo derivada del sistema de soporte de autenticación a través de la primera red. El identificador de dispositivo derivado puede basarse, como mínimo, en el identificador de dispositivo de puerta de enlace y en el identificador de dispositivo electrónico. La credencial de dispositivo derivada puede basarse, como mínimo, en la credencial de dispositivo de puerta de enlace y en el identificador de dispositivo electrónico. El dispositivo electrónico está configurado para incluir el identificador de dispositivo derivado en la solicitud de acceso a la red y transmitir dicha solicitud, incluyendo el identificador de dispositivo derivado, a la segunda red. La credencial de dispositivo derivada también puede almacenarse en el dispositivo electrónico para permitirle participar en un procedimiento de autenticación con el sistema de telecomunicaciones. El dispositivo electrónico puede configurarse para participar en el procedimiento de autenticación con el sistema de telecomunicaciones a través de la segunda red en respuesta a la solicitud de acceso a la red y para utilizar la credencial del dispositivo derivada recibida en el procedimiento de autenticación con el sistema de telecomunicaciones. (Traducción automática con Google Translate, sin valor legal)

Description

[0001] DESCRIPCIÓN

[0002] Soporte de autenticación para que un dispositivo electrónico se conecte a una red de telecomunicacionesCampo técnico

[0003] La presente divulgación se refiere a un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicación para proporcionar acceso para el dispositivo electrónico a una red de telecomunicaciones y a métodos para lo mismo. En particular, la presente divulgación se refiere a un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicaciones, en donde el dispositivo electrónico no tiene una suscripción a una red de telecomunicaciones, pero puede acceder a esta red de telecomunicaciones.

[0004] Antecedentes

[0005] Los dispositivos electrónicos pueden conectarse a un dispositivo de puerta de enlace para obtener servicios de o a través de una red de telecomunicaciones. Un ejemplo de este tipo de servicio es el acceso a Internet. Típicamente, estos dispositivos electrónicos se comunican con la red de telecomunicaciones a través del dispositivo de puerta de enlace a través de una primera red, por ejemplo, una red de las instalaciones del cliente local, tal como una red de área local inalámbrica (WLAN). Otro ejemplo es una red personal de Internet de las Cosas, IoT, en donde varios dispositivos electrónicos, posiblemente ponibles, se comunican con la red de telecomunicaciones a través de un equipo de usuario, UE. Otro ejemplo más implica un dispositivo de puerta de enlace dispuesto en un vehículo móvil que conecta varios dispositivos electrónicos en el vehículo a la red de telecomunicaciones. Para ese propósito, en cada uno de estos ejemplos, el dispositivo de puerta de enlace tiene una suscripción en la red de telecomunicaciones y actúa como una puerta de enlace a la red de telecomunicaciones. Ventajosamente, de esta manera, no se requiere que los dispositivos electrónicos detrás del dispositivo de comunicaciones tengan una suscripción individual para acceder a la red de telecomunicaciones y no necesitan contener un módulo de seguridad, tal como un módulo de identidad de abonado de usuario, USIM.

[0006] El documento WO 2010/056944 A2 divulga un método para establecer una conexión de datos para una estación remota. En el método, se encuentra una red inalámbrica que puede establecer una conexión de datos. Basándose en determinar que la estación remota es una estación remota sin suscripción que no tiene una relación de suscripción existente que soporte el establecimiento de una conexión de datos usando la red inalámbrica, se envía un valor de identidad de conexión inicial (ICI) a la red inalámbrica, en donde el valor de ICI incluye una característica asociada con una estación remota sin suscripción. Se recibe una consulta de autenticación desde la red inalámbrica en respuesta al valor de ICI enviado. Se genera un valor de respuesta, en respuesta a la consulta de autenticación, de acuerdo con información de pseudoautenticación asociada con el valor de ICI. Se envía el valor de respuesta a la red inalámbrica para permitir el establecimiento de una conexión de datos entre la estación remota y la red inalámbrica. El documento WO 2021/245629 A1 divulga aparatos, métodos y sistemas para acceder a una NPN usando credenciales externas. Un aparato (800) en una red de comunicación móvil incluye un procesador (805) y un transceptor (825) que recibe (905) una solicitud de registro para un UE. En este punto, el UE no tiene una suscripción con la red de comunicación móvil. El procesador (805) identifica (910) un proveedor de servicios del UE y controla el transceptor (825) para enviar (915) un mensaje de autenticación a un servidor de AAA del proveedor de servicios identificado. El procesador (805) recibe (920) una respuesta de autenticación que contiene una clave de sesión maestra desde el servidor de AAA en respuesta a la autenticación satisfactoria del UE y deriva (925) un conjunto de claves de seguridad (por ejemplo, KAUSF, KSEAF) usando la clave de sesión maestra.

[0007] El documento US 2016/0352734 A1 proporciona un método para admisión de sesión en un nodo en una red de proveedor de infraestructura. El método incluye recibir una solicitud de conexión desde un equipo de usuario no asociado con una red con la que la red de proveedor de infraestructura está asociada y obtener desde el equipo de usuario una identificación de un proveedor de servicios con el que la red de proveedor de infraestructura está asociada. A continuación, se solicita autorización de acceso al proveedor de servicios identificado. Las realizaciones permiten que un proceso de este tipo proporcione acceso gratuito exigido por el gobierno, o que algún otro proveedor de servicios pague por el servicio.

[0008] Compendio

[0009] La invención se expone en el conjunto de reivindicaciones adjuntas.

[0010] Los inventores han considerado que es deseable en algunos casos que los dispositivos electrónicos, que convencionalmente dependen del dispositivo de puerta de enlace para el acceso a la red de telecomunicaciones, puedan acceder a la red de telecomunicaciones sin el dispositivo de puerta de enlace a pesar de la falta de una suscripción para acceder a la red de telecomunicaciones. Se hace notar que el dispositivo electrónico no puede simplemente usar directamente la suscripción del dispositivo de puerta de enlace, porque es necesario mantener la conexión del dispositivo de puerta de enlace a la red de telecomunicaciones en beneficio de otros dispositivos electrónicos que continúan la comunicación a través del dispositivo de puerta de enlace.

[0011] Para este fin, la presente divulgación se refiere a un dispositivo electrónico configurado para comunicarse a través de una primera red con un sistema de soporte de autenticación y a través de una segunda red con un sistema de telecomunicación por medio de un dispositivo de puerta de enlace, en donde la segunda red es una red de telecomunicaciones. El dispositivo electrónico no tiene una suscripción para acceder a la segunda red, mientras que el dispositivo de puerta de enlace, u otro dispositivo, tiene una suscripción para acceder a la segunda red. La suscripción para acceder a la segunda red incluye un identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada conocida, por ejemplo, almacenada, en el sistema de telecomunicación. El sistema de soporte de autenticación puede obtener el identificador de dispositivo de puerta de enlace y la credencial de dispositivo de puerta de enlace asociada del dispositivo de puerta de enlace.

[0012] El dispositivo electrónico está configurado para proporcionar un identificador de dispositivo electrónico a través de la primera red, que es una red local, tal como una red de instalaciones del cliente o una red de Iot personal, al sistema de soporte de autenticación. El dispositivo electrónico también está configurado para recibir al menos un identificador de dispositivo derivado y una credencial de dispositivo derivada desde el sistema de soporte de autenticación a través de la primera red. El identificador de dispositivo derivado se basa en al menos el identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. La credencial de dispositivo derivada se basa en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.

[0013] El identificador de dispositivo derivado se almacena, temporal o permanentemente, en el dispositivo electrónico para permitir que el dispositivo electrónico incluya el identificador de dispositivo derivado en una solicitud de acceso de red. El dispositivo electrónico está configurado para incluir el identificador de dispositivo derivado en la solicitud de acceso de red y transmitir la solicitud de acceso de red que incluye el identificador de dispositivo derivado a la segunda red. En una realización, el identificador de dispositivo derivado incluye el identificador de dispositivo electrónico y, posiblemente, el identificador de dispositivo de puerta de enlace. Por ejemplo, el identificador de dispositivo derivado puede ser una combinación del identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.

[0014] La credencial de dispositivo derivada también se almacena, temporal o permanentemente, en el dispositivo electrónico para permitir que el dispositivo electrónico participe en un procedimiento de autenticación con el sistema de telecomunicación. En una realización, la credencial de dispositivo derivada se usa como una credencial normalizada (tal como la clave a largo plazo) en un procedimiento de autenticación normalizado, por ejemplo, de acuerdo con 3GPP TS 33.102, TS 33.401, o TS 33.501.

[0015] El dispositivo electrónico está configurado para participar en el procedimiento de autenticación con el sistema de telecomunicación a través de la segunda red en respuesta a la solicitud de acceso de red y para usar la credencial de dispositivo derivada recibida en el procedimiento de autenticación con el sistema de telecomunicación.

[0016] Además, la presente divulgación se refiere a un sistema de soporte de autenticación configurado para comunicarse a través de una primera red con un dispositivo electrónico, en donde el dispositivo electrónico puede comunicarse con un sistema de telecomunicación a través de una segunda red a través de un dispositivo de puerta de enlace y no tiene una suscripción para acceder a la segunda red, en donde la segunda red es una red de telecomunicaciones. En un sistema de este tipo, el dispositivo de puerta de enlace tiene una suscripción para acceder a la segunda red. La suscripción incluye un identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada conocida en el sistema de telecomunicación.

[0017] El sistema de soporte de autenticación está configurado para recibir un identificador de dispositivo electrónico desde el dispositivo electrónico a través de la primera red. El sistema de soporte de autenticación está configurado para obtener el identificador de dispositivo de puerta de enlace y la credencial de dispositivo de puerta de enlace asociada del dispositivo de puerta de enlace. El sistema de soporte de autenticación está configurado para realizar una función de soporte de autenticación para permitir que el dispositivo electrónico acceda a la segunda red usando una solicitud de acceso de red. La función de soporte de autenticación proporciona al menos un identificador de dispositivo derivado y una credencial de dispositivo derivada. El identificador de dispositivo derivado se basa en al menos el identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. La credencial de dispositivo derivada se basa en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. En una realización, el identificador de dispositivo derivado incluye el identificador de dispositivo electrónico y, posiblemente, el identificador de dispositivo de puerta de enlace.

[0018] Al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada puede generarse en respuesta a recibir el identificador de dispositivo electrónico desde el dispositivo electrónico. Al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada puede prealmacenarse, en caso de que el identificador de dispositivo electrónico ya sea conocido para la función de soporte de autenticación, por ejemplo, mediante configuración manual por un usuario, o detección previa del identificador de dispositivo electrónico en la primera red.

[0019] El sistema de soporte de autenticación también está configurado para transmitir el identificador de dispositivo derivado y la credencial de dispositivo derivada a través de la primera red al dispositivo electrónico.

[0020] Otro aspecto más de la presente divulgación implica un sistema de telecomunicación para una segunda red que almacena una suscripción de un dispositivo de puerta de enlace, en donde la segunda red es una red de telecomunicaciones. El sistema de telecomunicación también puede denominarse sistema de autenticación de telecomunicación, es decir, un sistema para una red de telecomunicación que permite autenticar el dispositivo electrónico para acceder a dicha red. El sistema de telecomunicación puede estar conectado a la segunda red, en cuyo caso las comunicaciones son a través de la segunda red, o ser parte de la segunda red, en donde las comunicaciones se reciben a través de (mediante) la segunda red. El sistema de telecomunicación comprende, preferentemente, al menos una base de datos de suscripción y medios de procesamiento para permitir que el dispositivo electrónico se autentique en la segunda red. La suscripción del dispositivo de puerta de enlace incluye un identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada. El sistema de telecomunicación está configurado para recibir una solicitud de acceso de red a través de la segunda red desde un dispositivo electrónico que no tiene una suscripción para acceder a la segunda red. El sistema de telecomunicación está configurado para reconocer un identificador de dispositivo derivado en la solicitud de acceso de red. El identificador de dispositivo derivado puede obtenerse por el dispositivo electrónico antes de la solicitud de acceso de red basándose en al menos el identificador de dispositivo de puerta de enlace y un identificador de dispositivo electrónico en un sistema de soporte de autenticación que se comunica con el dispositivo electrónico a través de una primera red.

[0021] El sistema de telecomunicación está configurado para determinar la credencial de dispositivo de puerta de enlace usando al menos el identificador de dispositivo derivado y el identificador de dispositivo de puerta de enlace. En una realización, el sistema de telecomunicación está configurado para obtener el identificador de dispositivo de puerta de enlace basándose en el identificador de dispositivo derivado y posteriormente obtener la credencial de dispositivo de puerta de enlace basándose en el identificador de dispositivo de puerta de enlace obtenido almacenado como parte de la suscripción en el sistema de telecomunicación. El sistema de telecomunicación también está configurado para obtener una credencial de dispositivo derivada para el dispositivo electrónico basándose en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.

[0022] El sistema de telecomunicación está configurado para participar en un procedimiento de autenticación con el dispositivo electrónico a través de la segunda red después de recibir la solicitud de acceso de red y usar la credencial de dispositivo derivada en el procedimiento de autenticación con el dispositivo electrónico.

[0023] Un aspecto adicional de la presente divulgación se refiere a un sistema que comprende al menos dos del dispositivo electrónico, el sistema de soporte de autenticación y el sistema de telecomunicación como se definen en el presente documento. Por lo tanto, la presente divulgación también se refiere a, por ejemplo, un sistema que comprende un dispositivo electrónico y un sistema de soporte de autenticación como se definen en el presente documento, un sistema que comprende un dispositivo electrónico y un sistema de telecomunicación como se definen en el presente documento, un sistema que comprende un sistema de soporte de autenticación y un sistema de telecomunicación y/o un sistema que comprende un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicación como se definen en el presente documento.

[0024] Un ejemplo adicional de la presente divulgación se refiere a un método para que un dispositivo electrónico acceda a una segunda red, en donde la segunda red es una red de telecomunicaciones, sin tener una suscripción para el acceso a la segunda red. El dispositivo electrónico está configurado para comunicarse a través de una primera red con un sistema de soporte de autenticación y a través de la segunda red con un sistema de telecomunicación a través de un dispositivo de puerta de enlace que tiene una suscripción para acceder a la segunda red. La suscripción en la segunda red puede incluir un identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada conocida, por ejemplo, almacenada, en el sistema de telecomunicación. El sistema de soporte de autenticación puede obtener el identificador de dispositivo de puerta de enlace y la credencial de dispositivo de puerta de enlace asociada del dispositivo de puerta de enlace.

[0025] El método para el dispositivo electrónico incluye la etapa de proporcionar un identificador de dispositivo electrónico a través de la primera red, que es una red local, tal como una red de instalaciones del cliente o una red de Iot personal, al sistema de soporte de autenticación. El método también incluye recibir al menos un identificador de dispositivo derivado y una credencial de dispositivo derivada desde el sistema de soporte de autenticación a través de la primera red. El identificador de dispositivo derivado puede basarse en al menos el identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. La credencial de dispositivo derivada puede basarse en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.

[0026] El método puede incluir, además, almacenar, al menos temporalmente, el identificador de dispositivo derivado e incluir el identificador de dispositivo derivado en una solicitud de acceso de red. Una etapa adicional puede referirse a transmitir la solicitud de acceso de red que incluye el identificador de dispositivo derivado a la segunda red. En una realización, el identificador de dispositivo derivado incluye el identificador de dispositivo electrónico. Por ejemplo, el identificador de dispositivo derivado puede ser una combinación del identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.

[0027] El método puede incluir, además, almacenar, al menos temporalmente, la credencial de dispositivo derivada en el dispositivo electrónico para permitir que el dispositivo electrónico participe en un procedimiento de autenticación con el sistema de telecomunicación.

[0028] El método puede incluir, además, participar en el procedimiento de autenticación con el sistema de telecomunicación a través de la segunda red en respuesta a la solicitud de acceso de red y usar la credencial de dispositivo derivada recibida en el procedimiento de autenticación con el sistema de telecomunicación.

[0029] Otro ejemplo más de la presente divulgación se refiere a un método para que un sistema de soporte de autenticación soporte a un dispositivo electrónico para acceder a una segunda red, en donde la segunda red es una red de telecomunicaciones, sin tener una suscripción para el acceso a la segunda red. La segunda red contiene o está conectada a un sistema de telecomunicación que contiene una suscripción para un dispositivo de puerta de enlace. La suscripción puede incluir un identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada conocida, por ejemplo, almacenada, en el sistema de telecomunicación.

[0030] El método para el sistema de soporte de autenticación incluye la etapa de recibir un identificador de dispositivo electrónico desde un dispositivo electrónico a través de una primera red y de obtener el identificador de dispositivo de puerta de enlace y la credencial de dispositivo de puerta de enlace asociada del dispositivo de puerta de enlace. El método también puede incluir realizar una función de soporte de autenticación para permitir que el dispositivo electrónico acceda a la segunda red usando una solicitud de acceso de red. El método puede contener la función de soporte de autenticación que proporciona al menos un identificador de dispositivo derivado y una credencial de dispositivo derivada. El identificador de dispositivo derivado puede basarse en al menos el identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. La credencial de dispositivo derivada puede basarse en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. En una realización, el identificador de dispositivo derivado incluye el identificador de dispositivo electrónico. Al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada puede generarse en respuesta a recibir el identificador de dispositivo electrónico. El método también puede incluir la etapa de transmitir el identificador de dispositivo derivado y la credencial de dispositivo derivada a través de la primera red al dispositivo electrónico. Otro ejemplo más de la presente divulgación implica un método en un sistema de telecomunicación que almacena una suscripción de un dispositivo de puerta de enlace. El sistema de telecomunicación puede estar conectado a la segunda red, en cuyo caso las comunicaciones son a través de la segunda red, o ser parte de la segunda red, en donde las comunicaciones se reciben a través de (mediante) la segunda red. La suscripción del dispositivo de puerta de enlace puede incluir un identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada.

[0031] El método en el sistema de telecomunicación implica la etapa de recibir una solicitud de acceso de red a través de la segunda red desde un dispositivo electrónico que no tiene una suscripción para acceder a la segunda red. El método también implica reconocer un identificador de dispositivo derivado en la solicitud de acceso de red. El identificador de dispositivo derivado puede obtenerse basándose en al menos el identificador de dispositivo de puerta de enlace y un identificador de dispositivo electrónico en un sistema de soporte de autenticación que se comunica con el dispositivo electrónico a través de una primera red.

[0032] Otra etapa del método puede implicar determinar la credencial de dispositivo de puerta de enlace usando al menos el identificador de dispositivo derivado y el identificador de dispositivo de puerta de enlace. En una realización, el método implica obtener el identificador de dispositivo de puerta de enlace basándose en el identificador de dispositivo derivado y posteriormente obtener la credencial de dispositivo de puerta de enlace basándose en el identificador de dispositivo de puerta de enlace obtenido a partir de la suscripción almacenada en el sistema de telecomunicación. El sistema de telecomunicación también puede realizar la etapa de obtener una credencial de dispositivo derivada para el dispositivo electrónico basándose en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.

[0033] Además, una etapa del método puede implicar que el sistema de telecomunicación participe en un procedimiento de autenticación con el dispositivo electrónico a través de la segunda red después de recibir la solicitud de acceso de red y usar la credencial de dispositivo derivada en el procedimiento de autenticación con el dispositivo electrónico. El dispositivo electrónico divulgado, el sistema de soporte de autenticación y el sistema de telecomunicación facilitan la autenticación del dispositivo electrónico en la segunda red sin necesidad de que el dispositivo electrónico tenga una suscripción (un identificador y credencial o credenciales) para el acceso a la segunda red. Esto permite que el dispositivo electrónico funcione independientemente del dispositivo de puerta de enlace. La segunda red, en donde la segunda red es una red de telecomunicación, puede requerir autenticación mutua entre un dispositivo electrónico y la red.

[0034] En su lugar, el dispositivo electrónico puede obtener una suscripción derivada, posiblemente temporalmente, desde un sistema de soporte de autenticación que tiene acceso a una suscripción original, por ejemplo, del dispositivo de puerta de enlace, enviando una solicitud de los parámetros de suscripción derivados. La recepción del identificador de dispositivo electrónico obtenido desde el dispositivo electrónico puede interpretarse por los sistemas de soporte de autenticación como la solicitud de los parámetros de suscripción derivados. Usando parámetros de suscripción derivados, por ejemplo, un identificador de dispositivo derivado y una credencial de dispositivo derivada, e implicando el identificador de dispositivo electrónico en la función para obtener los parámetros de suscripción derivados, estos parámetros pueden hacerse específicos para el dispositivo electrónico. Los parámetros de suscripción derivados pueden proporcionarse al dispositivo electrónico para facilitar el acceso y la autenticación en la segunda red.

[0035] En un ejemplo alternativo, el sistema de soporte de autenticación puede tener acceso a una suscripción original de un dispositivo suscrito distinto del dispositivo de puerta de enlace, por ejemplo, una suscripción del propio sistema de soporte de autenticación, o de un dispositivo móvil (distinto del dispositivo de puerta de enlace). En este ejemplo alternativo, el sistema de soporte de autenticación puede estar configurado para obtener el identificador de dispositivo y la credencial de dispositivo asociada de la suscripción original del dispositivo suscrito. La función de soporte de autenticación proporciona de nuevo al menos un identificador de dispositivo derivado y una credencial de dispositivo derivada al dispositivo electrónico para acceder a la segunda red. El identificador de dispositivo derivado puede basarse en al menos el identificador de dispositivo suscrito y el identificador de dispositivo electrónico. La credencial de dispositivo derivada puede basarse en al menos la credencial de dispositivo suscrito y el identificador de dispositivo electrónico. Los métodos y etapas descritos en cualquier otra parte también pueden realizarse de la misma manera, siempre que el identificador de dispositivo de puerta de enlace se reemplace por el identificador de dispositivo suscrito, y la credencial de dispositivo de puerta de enlace por la credencial de dispositivo suscrito.

[0036] Se hace notar que el dispositivo electrónico que no tiene una suscripción para acceder a la segunda red no significa que el dispositivo electrónico no pueda transmitir una solicitud de acceso de red y puede que se realice el procedimiento de autenticación. El dispositivo electrónico no tiene parámetros de suscripción originales almacenados en el sistema de telecomunicación y, por consiguiente, necesita parámetros de suscripción derivados para el acceso satisfactorio a la red, de modo que pueda obtener servicios desde esta red.

[0037] Se hace notar que la comunicación entre el dispositivo electrónico y el sistema de soporte de autenticación es a través de una primera red distinta de la segunda red. La primera red puede implicar un único enlace de comunicación, tal como una conexión Bluetooth o una conexión por cable, entre el dispositivo electrónico y el sistema de soporte de autenticación. Como alternativa, tanto el dispositivo electrónico como el sistema de soporte de autenticación pueden ser conectables en una red de múltiples nodos, que también incluya posiblemente el dispositivo de puerta de enlace. Un ejemplo es una red de instalaciones del cliente, tal como una WLAN.

[0038] También debería apreciarse que un parámetro de suscripción derivado comprende una identidad de dispositivo derivada o una credencial de dispositivo derivada. Se dice que dichos parámetros son derivados porque los parámetros se generan en el sistema de soporte de autenticación basándose en la entrada de al menos los parámetros de suscripción originales de un dispositivo, por ejemplo, un dispositivo de puerta de enlace, conocidos en la segunda red. También debería hacerse notar que no se requiere que el sistema de telecomunicación almacene el identificador de dispositivo derivado y/o la credencial de dispositivo derivada después de haber generado el vector de autenticación. Uno o ambos pueden descartarse. Sin embargo, el sistema de telecomunicación también puede almacenar uno o ambos (al menos durante algún tiempo) para facilitar la reautenticación.

[0039] También debería hacerse notar que la credencial de dispositivo de puerta de enlace puede ser una clave a largo plazo almacenada en, por ejemplo, un USIM o una credencial que se deriva de esta clave a largo plazo. Tal derivación puede tener lugar en el dispositivo de puerta de enlace o en el sistema de soporte de autenticación que obtiene la clave a largo plazo. Esto protege, además, la clave a largo plazo de intentos maliciosos de recuperar la clave a largo plazo desde la credencial de dispositivo derivada. En una realización, una credencial derivada de una clave a largo plazo puede ser usando una función de derivación de clave (KDF) como se describe en 3GPP TS 33.102, TS 33.401, o TS 33.501.

[0040] Debería hacerse notar que una credencial en la presente divulgación puede comprender un conjunto de credenciales. En una realización, el identificador de dispositivo derivado puede basarse en al menos el identificador de dispositivo de puerta de enlace, el identificador de dispositivo electrónico y un valor modificable adicional y/o la credencial de dispositivo derivada puede basarse en al menos la credencial de dispositivo de puerta de enlace, el identificador de dispositivo electrónico y el valor modificable adicional. Por ejemplo, el identificador de dispositivo derivado puede ser una combinación del identificador de dispositivo de puerta de enlace, el identificador de dispositivo electrónico y el valor adicional seleccionado. El valor adicional, modificable, puede comprender un valor aleatorio. El sistema de soporte de autenticación puede estar configurado para almacenar o generar el valor modificable adicional y usar este valor para derivar el identificador de dispositivo derivado y la credencial de dispositivo derivada. El valor adicional puede cambiarse cada vez que se recibe una solicitud de un identificador de dispositivo derivado y/o una credencial de dispositivo derivada, por ejemplo, mediante la recepción de un identificador de dispositivo electrónico desde el dispositivo electrónico. De manera similar, el sistema de telecomunicación puede estar configurado para procesar, o recuperar, el valor adicional desde el identificador de dispositivo derivado recibido desde el dispositivo electrónico a través de la segunda red para obtener finalmente la credencial de dispositivo derivada para el procedimiento de autenticación.

[0041] Usar el valor adicional para el identificador de dispositivo derivado y la credencial de dispositivo derivada facilita cambiar el identificador de dispositivo derivado y la credencial de dispositivo derivada para mejorar la seguridad, lo que puede ser aconsejable en ausencia de un dispositivo de seguridad que ejecute un USIM para el dispositivo electrónico.

[0042] En una realización, puede aplicarse un parámetro de validez que es indicativo de una validez de al menos uno de entre el identificador de dispositivo derivado y la credencial de dispositivo derivada.

[0043] En una realización, el dispositivo electrónico puede estar configurado para proporcionar el parámetro de validez al sistema de telecomunicación a través de la segunda red en forma protegida para protección de integridad. Una realización puede ser el cifrado. Tal protección puede disponerse usando mecanismos de clave pública o de clave simétrica.

[0044] En una realización, el sistema de soporte de autenticación puede estar configurado para transmitir el parámetro de validez al dispositivo electrónico y el dispositivo electrónico puede estar configurado para recibir y procesar el parámetro de validez desde el sistema de soporte de autenticación. La realización garantiza el control por el sistema de soporte de autenticación de la validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada.

[0045] En una realización, el dispositivo electrónico puede estar configurado para incluir el parámetro de validez en la solicitud de acceso de red a la segunda red y el sistema de telecomunicación puede estar configurado para recibir y procesar el parámetro de validez. De esta manera, el sistema de telecomunicación puede ser informado sobre la validez y puede decidir cuándo se requiere una nueva solicitud de acceso de red desde el dispositivo electrónico.

[0046] En una realización, el dispositivo electrónico y/o el sistema de soporte de autenticación pueden estar configurados para proporcionar el parámetro de validez a la segunda red después de la transmisión de la solicitud de acceso de red desde el dispositivo electrónico. La realización permite la transmisión del parámetro de validez a través de un canal separado, posiblemente seguro.

[0047] Con independencia de cómo el sistema de telecomunicación reciba el parámetro de validez, el sistema de telecomunicación puede estar configurado, en una realización, para rechazar la solicitud de acceso de red basándose en el parámetro de validez.

[0048] En una realización, el sistema de telecomunicación proporciona el parámetro de validez al sistema de soporte de autenticación para permitir que el sistema de soporte de autenticación informe al dispositivo electrónico sobre la validez del identificador de dispositivo derivado y/o de la credencial de dispositivo derivada. Esta realización permite el control desde la red de telecomunicaciones sobre la validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada y permite una actuación oportuna entre el sistema de soporte de autenticación y el dispositivo electrónico.

[0049] En una realización, el parámetro de validez es un parámetro de tiempo de validez indicativo de un tiempo de validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada.

[0050] El parámetro de tiempo de validez puede ser indicativo de un tiempo de validez que limita la duración de la validez del identificador de dispositivo derivado y/o de la credencial de dispositivo derivada de modo que estos no puedan usarse indefinidamente. Cuando el tiempo de validez expira, ha expirado o está a punto de expirar, el dispositivo electrónico puede necesitar una identidad nueva y una credencial nueva para continuar el acceso a la segunda red o para volver a acceder a la segunda red. Existen muchas opciones para implementar un parámetro de tiempo de validez. El tiempo de validez puede definirse como un tiempo absoluto, por ejemplo, un tiempo de reloj, tiempo de GPS y/o tiempo de red, o como un contador, que cuenta, por ejemplo, el número de solicitudes de acceso que usan los parámetros de suscripción derivados. El tiempo de validez puede definirse como un tiempo relativo, por ejemplo, un reloj de cuenta atrás o un período de validez. Un tiempo relativo puede definirse para empezar desde el momento de creación de los parámetros de suscripción derivados, o puede definirse para empezar cuando el identificador de dispositivo derivado se usa por primera vez en, por ejemplo, una solicitud de acceso de red al sistema de telecomunicación, o el inicio del tiempo de validez puede activarse por el dispositivo electrónico, el sistema de telecomunicación y/o el sistema de soporte de autenticación. Además, múltiples parámetros de tiempo de validez pueden aplicarse a los parámetros de suscripción derivados para diferentes propósitos.

[0051] En una realización, el dispositivo electrónico está configurado para recibir un identificador de dispositivo derivado adicional y/o una credencial de dispositivo derivada adicional desde el sistema de soporte de autenticación, por ejemplo, al expirar el tiempo de validez, y para transmitir una solicitud de acceso de red adicional a través de la segunda red que incluye el identificador de dispositivo derivado adicional recibido y/o la credencial de dispositivo derivada adicional en la solicitud de acceso de red adicional. Por ejemplo, la credencial de dispositivo derivada adicional puede derivarse basándose en un valor modificable adicional adicionalmente diferente, mientras que la función de derivación y otros valores de entrada pueden permanecer iguales. El dispositivo electrónico puede recibir el identificador de dispositivo derivado adicional y/o la credencial de dispositivo derivada adicional antes de la expiración del tiempo de validez, por ejemplo, poco antes de la expiración del tiempo de validez. El dispositivo electrónico también puede recibir el identificador de dispositivo identificado adicional y/o la credencial de dispositivo derivada adicional después de la expiración del tiempo de validez, por ejemplo, poco después de la expiración del tiempo de validez. Se hace notar que mientras se mantenga el acceso a la red para el dispositivo electrónico, puede no ser necesaria ninguna necesidad de nuevos parámetros de suscripción derivados, de modo que la expiración del tiempo de validez no terminaría inmediatamente el acceso del dispositivo electrónico a la segunda red. En una realización, el dispositivo electrónico puede recibir el identificador de dispositivo derivado adicional y/o la credencial de dispositivo derivada adicional fuera de la cobertura de la primera red, por ejemplo, a través de la segunda red, de modo que el dispositivo electrónico pueda continuar el acceso sin necesidad de estar en la proximidad del sistema de soporte de autenticación. Además, el dispositivo electrónico puede recibir parámetros de suscripción derivados adicionales, o incluso múltiples conjuntos de parámetros de suscripción derivados adicionales, para un uso posterior, por ejemplo, cuando los parámetros de suscripción se derivan en lote, como se describe a continuación.

[0053] En una realización adicional, el parámetro de tiempo de validez comprendería un tiempo de derivación de la derivación de al menos uno de entre el identificador de dispositivo derivado y la credencial de dispositivo derivada. El sistema de telecomunicación puede usar el tiempo de derivación para decidir si puede considerar válido el identificador de dispositivo derivado, por ejemplo, implementando una política para la diferencia de tiempo entre el tiempo de derivación y el tiempo de recepción de la solicitud de acceso de red. Un parámetro de tiempo de este tipo puede ser beneficioso para un parámetro o parámetros de suscripción derivados prealmacenados.

[0055] En una realización, el sistema de soporte de autenticación puede estar configurado para cifrar al menos parcialmente el identificador de dispositivo derivado y/o la credencial de dispositivo derivada y para transmitir el identificador de dispositivo derivado al menos parcialmente cifrado y/o la credencial de dispositivo derivada al menos parcialmente cifrada a través de la primera red al dispositivo electrónico. De manera similar, el dispositivo electrónico puede estar configurado para recibir la credencial de dispositivo derivada al menos parcialmente cifrada y/o la credencial de dispositivo derivada al menos parcialmente cifrada a través de la primera red desde el sistema de soporte de autenticación e incluir el identificador de dispositivo derivado al menos parcialmente cifrado en la solicitud de acceso de red. El dispositivo electrónico puede necesitar descifrar la credencial de dispositivo derivada para el procedimiento de autenticación. La realización facilita la transmisión segura de al menos uno de entre los parámetros de suscripción derivados a través de la primera red, tal como una red de WLAN local. De manera similar, el sistema de telecomunicación está configurado para descifrar el identificador de dispositivo derivado al menos parcialmente cifrado en la solicitud de acceso de red y procesar el identificador de dispositivo derivado descifrado. La realización facilita la privacidad y/o la transmisión segura del identificador de dispositivo derivado a través de la segunda red, tal como la red de telecomunicaciones. El cifrado puede realizarse con una clave pública del sistema de telecomunicación, de modo que (únicamente) el sistema de telecomunicación pueda descifrar. De esta manera, se evita enviar en texto plano el identificador de dispositivo derivado a través de la red de acceso por radio. En una realización, la clave pública usada para cifrar el identificador de dispositivo derivado es la clave pública de red doméstica 5G, como se describe en 3GPP TS 33.501.

[0057] En una realización, el identificador de dispositivo derivado al menos parcialmente cifrado y/o la credencial de dispositivo derivada al menos parcialmente cifrada se prealmacenan en el sistema de soporte de autenticación, es decir, el sistema de soporte de autenticación puede estar configurado para prealmacenar parámetros de suscripción derivados y cifrarlos por adelantado, es decir, antes de que el dispositivo electrónico solicite los parámetros de suscripción derivados. Esta realización facilita el cálculo de parámetros de suscripción derivados cifrados en un tiempo apropiado, de modo que no se requiere potencia de procesamiento de cifrado y/o tiempo cuando se necesitan los parámetros de suscripción derivados, lo que puede ser beneficioso cuando el sistema de soporte de autenticación es, por ejemplo, parte de un dispositivo móvil, tal como un teléfono móvil. Por la misma razón, también facilita el cálculo en lote de múltiples conjuntos de parámetros de suscripción derivados cifrados en un momento apropiado.

[0059] En una realización, el dispositivo electrónico puede estar configurado para proporcionar el identificador de dispositivo electrónico al sistema de soporte de autenticación de manera segura a través de la primera red. De manera similar, el sistema de soporte de autenticación puede estar configurado para recibir el identificador de dispositivo electrónico desde el dispositivo electrónico de manera segura a través de la primera red. La protección de la comunicación puede incluir al menos uno de entre protección de integridad, protección de confidencialidad y protección de repetición. La realización facilita la seguridad de los parámetros de suscripción derivados puesto que estos parámetros aplican el identificador de dispositivo electrónico como entrada para la generación de los parámetros de suscripción derivados. Los inventores han considerado una diversidad de opciones para la transmisión segura, incluyendo emparejar el dispositivo electrónico y el sistema de soporte de autenticación cuando están en estrecha proximidad entre sí (por ejemplo presionando un botón en uno o ambos lados), establecer un filtro en el sistema de soporte de autenticación que permite al sistema únicamente permitir la transmisión de los parámetros de suscripción derivados para identificadores de dispositivo electrónico particulares (tales como direcciones de MAC) o configurar un portal para el sistema de soporte de autenticación en el que pueda establecerse una asociación entre el dispositivo de puerta de enlace y al menos un dispositivo electrónico.

[0060] En una realización, el identificador de dispositivo electrónico es un identificador de red local, tal como una dirección de MAC, del dispositivo electrónico. Los identificadores de red local pueden ser únicos en la red local, de modo que puedan generarse diferentes parámetros de suscripción derivados.

[0061] En una realización, el sistema de soporte de autenticación está alojado en el dispositivo de puerta de enlace, por ejemplo, en un dispositivo de puerta de enlace residencial o en un dispositivo móvil, tal como un equipo de usuario, UE. Tal integración puede facilitar el acceso seguro para el sistema de soporte de autenticación al identificador de dispositivo de puerta de enlace y/o a la credencial de dispositivo de puerta de enlace. Por ejemplo, la derivación de parámetros de suscripción por la función de soporte de autenticación puede realizarse en una parte segura del dispositivo de puerta de enlace, tal como en una tarjeta de circuito integrado universal (UICC).

[0062] En una realización, el sistema de soporte de autenticación está configurado para obtener el identificador de dispositivo de puerta de enlace y la credencial de dispositivo de puerta de enlace asociada a través de la primera red. La obtención del identificador de dispositivo de puerta de enlace y/o de la al menos una credencial de dispositivo de puerta de enlace asociada puede realizarse de manera segura. La primera red proporciona una opción para obtener el identificador de dispositivo de puerta de enlace y la al menos una credencial de dispositivo de puerta de enlace asociada cuando el dispositivo de puerta de enlace y el sistema de soporte de autenticación están separados.

[0063] En una realización, el dispositivo electrónico puede estar configurado para construir la solicitud de acceso de red de modo que el sistema de telecomunicación pueda reconocer el identificador de dispositivo derivado en la solicitud de acceso de red. De manera similar, el sistema de telecomunicación puede estar configurado para reconocer el identificador de dispositivo derivado en la solicitud de acceso de red recibida. La presencia de un identificador de dispositivo derivado puede señalarse, por ejemplo, mediante una bandera activada en la solicitud de acceso de red, un cierto valor en un campo (por ejemplo, un campo de tipo) de la solicitud de acceso de red o un formato del identificador de dispositivo derivado.

[0064] Puede ocurrir que la red de telecomunicaciones detecte que es necesaria una reautenticación, por ejemplo, cuando expira un temporizador de autenticación o cuando se cumplen condiciones del operador. En una realización, el dispositivo electrónico puede estar configurado para participar en un procedimiento de reautenticación con el sistema de telecomunicación usando la credencial de dispositivo derivada. De manera similar, el sistema de telecomunicación puede estar configurado para participar en un procedimiento de reautenticación con el dispositivo electrónico usando la credencial de dispositivo derivada. La realización permite la reutilización de la credencial de dispositivo derivada para la reautenticación, cuando esta credencial de dispositivo derivada no se descarta en el sistema de telecomunicación después de la autenticación inicial. Si la credencial de dispositivo derivada no está disponible en el sistema de telecomunicación, el sistema de telecomunicación puede estar configurado para recalcular la credencial de dispositivo derivada para el procedimiento de reautenticación basándose en el identificador de dispositivo derivado. El identificador de dispositivo derivado puede haberse almacenado a partir de una solicitud de acceso de red previa del dispositivo electrónico.

[0065] El dispositivo electrónico puede estar configurado para enviar una solicitud de acceso de red a una segunda red, tal como una red de telecomunicaciones. Por ejemplo, la red de telecomunicaciones puede comprender una red de 3G (UMTS) o una red de 4G (LTE). Para tales redes, el dispositivo electrónico puede estar configurado para transmitir una solicitud de conexión a red que comprende un campo de IMSI con un identificador de dispositivo derivado. En una realización adicional, la segunda red es una red de telecomunicaciones de 5G. Para esta realización adicional, el identificador de dispositivo de puerta de enlace puede ser un identificador permanente de suscripción, SUPI. La solicitud de acceso de red es una solicitud de registro desde el dispositivo electrónico a un sistema que ejecuta una función de gestión de acceso y movilidad, AMF, en la red de telecomunicaciones de 5G.

[0066] En una realización, el identificador de dispositivo derivado tiene un formato de SUPI. En una realización, el campo de tipo de formato de SUPI señala la presencia del identificador de dispositivo derivado al sistema de telecomunicaciones. En una realización, el formato de SUPI del identificador de dispositivo derivado se amplía o reutiliza de modo que el identificador de dispositivo derivado está comprendido de una combinación de al menos el identificador de dispositivo electrónico y el identificador de dispositivo de puerta de enlace. En una realización, el identificador de dispositivo derivado está parcialmente cifrado en un formato de SUPI oculto, SUCI.

[0067] En una realización, el sistema de soporte de autenticación puede estar configurado para almacenar al menos uno del identificador de dispositivo derivado, la credencial de dispositivo derivada y un parámetro de validez indicativo de una validez de al menos uno de entre el identificador de dispositivo derivado y la credencial de dispositivo derivada, tal como un parámetro de tiempo de validez descrito en el presente documento. El sistema de soporte de autenticación puede estar configurado para proporcionar al menos uno del identificador de dispositivo derivado almacenado, la credencial de dispositivo derivada y el parámetro de validez al sistema de telecomunicación en un procedimiento separado del procedimiento de autenticación. De manera similar, el sistema de telecomunicación puede estar configurado para obtener al menos uno del identificador de dispositivo derivado almacenado, la credencial de dispositivo derivada y un parámetro de validez indicativo de una validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada desde el sistema de soporte de autenticación en un procedimiento separado del procedimiento de autenticación. La realización facilita un proceso de verificación adicional por el sistema de telecomunicación independiente del dispositivo electrónico.

[0069] En una realización, el sistema de soporte de autenticación está configurado para realizar la función de soporte de autenticación ejecutando una función unidireccional para obtener la credencial de dispositivo derivada a partir de al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. De manera similar, el sistema de telecomunicación está configurado para ejecutar una función unidireccional para obtener la credencial de dispositivo derivada a partir de al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico. La realización puede impedir derivar la al menos una credencial de dispositivo de puerta de enlace a partir de la credencial de dispositivo derivada, que puede almacenarse y/o usarse de una manera menos segura. En una realización, la función unidireccional es la función de derivación de clave (KDF) definida en 3GPP TS 33.102, TS 33.401 o TS 33.501.

[0071] Como apreciará un experto en la materia, los aspectos de la presente invención pueden realizarse como un sistema, un método o un producto de programa informático. Por consiguiente, los aspectos de la presente invención pueden adoptar la forma de una realización completamente de hardware, una realización completamente de software (incluyendo firmware, software residente, microcódigo, etc.) o una realización que combina aspectos de software y hardware que en general pueden denominarse en el presente documento como un "circuito", "módulo" o "sistema". Las funciones descritas en esta divulgación pueden implementarse como un algoritmo ejecutado por un procesador/microprocesador de un ordenador. Además, los aspectos de la presente invención pueden tomar la forma de un producto de programa informático realizado en un medio o medios legibles por ordenador que tienen código de programa legible por ordenador realizado, por ejemplo, en el mismo.

[0073] Puede utilizarse cualquier combinación de un medio o medios legibles por ordenador. El medio legible por ordenador puede ser un medio de señal legible por ordenador o un medio de almacenamiento legible por ordenador. Un medio de almacenamiento legible por ordenador puede ser, por ejemplo, pero sin limitación, un sistema, aparato o dispositivo electrónico, magnético, óptico, electromagnético, de infrarrojos o de semiconductores, o cualquier combinación apropiada de los anteriores. Ejemplos más específicos de un medio de almacenamiento legible por ordenador pueden incluir, pero sin limitación, los siguientes: una conexión eléctrica que tiene uno o más hilos, un disquete de ordenador portátil, un disco duro, una memoria de acceso aleatorio (RAM), una memoria de solo lectura (ROM), una memoria de solo lectura programable borrable (EPROM o memoria Flash), una fibra óptica, una memoria de solo lectura de disco compacto portátil (CD-ROM), un dispositivo de almacenamiento óptico, un dispositivo de almacenamiento magnético, o cualquier combinación apropiada de los anteriores. En el contexto de la presente invención, un medio de almacenamiento legible por ordenador puede ser cualquier medio tangible que pueda contener, o almacenar, un programa para uso por o en conexión con un sistema, aparato o dispositivo de ejecución de instrucciones.

[0075] Un medio de señal legible por ordenador puede incluir una señal de datos propagada con código de programa legible por ordenador realizado en el mismo, por ejemplo, en banda base o como parte de una onda portadora. Dicha señal propagada puede adoptar cualquiera de una diversidad de formas, incluyendo, pero sin limitación, electromagnética, óptica, o cualquier combinación apropiada de las mismas. Un medio de señal legible por ordenador puede ser cualquier medio legible por ordenador que no sea un medio de almacenamiento legible por ordenador y que pueda comunicar, propagar o transportar un programa para su uso por o en conexión con un sistema, aparato o dispositivo de ejecución de instrucciones.

[0077] El código de programa realizado en un medio legible por ordenador puede transmitirse usando cualquier medio apropiado, incluyendo, pero sin limitación, inalámbrico, por cable, fibra óptica, cable, RF, etc., o cualquier combinación apropiada de los anteriores. El código de programa informático para llevar a cabo operaciones para aspectos de la presente invención puede escribirse en cualquier combinación de uno o más lenguajes de programación, incluyendo un lenguaje de programación orientado a objetos tal como Java(TM), Smalltalk, C++ o similares y lenguajes de programación procedimentales convencionales, tal como el lenguaje de programación "C" o lenguajes de programación similares. El código de programa puede ejecutarse completamente en el ordenador de la persona, parcialmente en el ordenador de la persona, como un paquete de software autónomo, parcialmente en el ordenador de la persona y parcialmente en un ordenador remoto, o completamente en el ordenador o servidor remoto. En el último escenario, el ordenador remoto puede estar conectado al ordenador de la persona a través de un tipo de red, que incluye una red de área local (LAN) o una red de área extensa (WAN), o la conexión puede hacerse a un ordenador externo (por ejemplo, a través de Internet usando un Proveedor de Servicio de Internet).

[0079] Los aspectos de la presente invención se describen a continuación con referencia a diagramas de flujo y/o diagramas de bloques de métodos, aparatos (sistemas) y productos de programa informático de acuerdo con las realizaciones de la presente invención. Se entenderá que cada bloque de las ilustraciones de diagramas de flujo y/o diagramas de bloques, y las combinaciones de bloques en las ilustraciones de diagramas de flujo y/o diagramas de bloques, puede implementarse mediante instrucciones de programa informático. Estas instrucciones de programa informático pueden proporcionarse a un procesador, en particular un microprocesador o una unidad central de procesamiento (CPU), de un ordenador de fin general, ordenador de fin especial u otro aparato de procesamiento de datos programable para producir una máquina, de manera que las instrucciones, que se ejecutan mediante el procesador del ordenador, otro aparato de procesamiento de datos programable, crean medios para implementar las funciones/actos especificados en el diagrama de flujo y/o bloque o bloques del diagrama de bloques.

[0080] Estas instrucciones de programa informático también pueden almacenarse en un medio legible por ordenador que puede dirigir a un ordenador, otro aparato de procesamiento de datos programable, u otros dispositivos para funcionar de una manera particular, de modo que las instrucciones almacenadas en el medio legible por ordenador producen un artículo de fabricación que incluye instrucciones que implementan la función/acto especificado en el bloque o bloques del diagrama de flujo y/o del diagrama de bloques.

[0081] Las instrucciones de programa informático también pueden cargarse en un ordenador, otro aparato de procesamiento de datos programable, u otros dispositivos para hacer que se realice una serie de etapas operativas en el ordenador, otro aparato programable u otros dispositivos para producir un proceso implementado por ordenador, de modo que las instrucciones que se ejecutan en el ordenador u otro aparato programable proporcionan procesos para implementar las funciones/actos especificados en el bloque o bloques del diagrama de flujo y/o del diagrama de bloques.

[0082] El diagrama de flujo y diagramas de bloques en las figuras ilustran la arquitectura, funcionalidad y operación de posibles implementaciones de sistemas, métodos y productos de programa informático de acuerdo con diversas realizaciones de la presente invención. En este sentido, cada bloque en el diagrama de flujo o diagramas de bloques puede representar un módulo, segmento o porción de código, que comprende una o más instrucciones ejecutables para implementar la función o funciones lógicas especificadas. También debería hacerse notar que, en algunas implementaciones alternativas, las funciones señaladas en los bloques pueden ocurrir fuera del orden señalado en las figuras. Por ejemplo, dos bloques mostrados en serie, de hecho, pueden ejecutarse sustancialmente de manera concurrente, o los bloques pueden ejecutarse en ocasiones en el orden inverso, dependiendo de la funcionalidad implicada. Se entenderá que cada bloque de las ilustraciones del diagrama de bloques y/o del diagrama de flujo, y las combinaciones de bloques en las ilustraciones del diagrama de bloques y/o del diagrama de flujo, puede implementarse mediante sistemas basados en hardware de fin especial que realizan las funciones especificadas o realizan combinaciones de hardware de fin especial e instrucciones de ordenador.

[0083] Además, se proporciona un programa informático para llevar a cabo los métodos descritos en el presente documento, así como un medio de almacenamiento legible por ordenador no transitorio que almacena el programa informático. Los elementos y aspectos analizados para o en relación con una realización particular pueden combinarse de manera adecuada con elementos y aspectos de otras realizaciones, a menos que se indique explícitamente de otra manera. Las realizaciones de la presente invención se ilustrarán, además, con referencia a los dibujos adjuntos, que mostrarán esquemáticamente realizaciones de acuerdo con la invención. Se entenderá que la presente invención no está restringida en modo alguno a estas realizaciones específicas.

[0084] Breve descripción de los dibujos

[0085] Los aspectos de la invención se explicarán con mayor detalle haciendo referencia a realizaciones de ejemplo mostradas en los dibujos, en los que:

[0086] la Figura 1 es una ilustración esquemática de una arquitectura de red de telecomunicaciones de 3G/4G de acuerdo con la técnica anterior;

[0087] la Figura 2A es una ilustración esquemática de una arquitectura de red de telecomunicaciones de 5G de acuerdo con la técnica anterior;

[0088] la Figura 2B es una ilustración esquemática de sistemas del plano de usuario y del plano de control para una red de telecomunicaciones de 5G y un equipo de usuario;

[0089] la Figura 2C es una ilustración esquemática de algunas etapas de un procedimiento de solicitud de acceso y movilidad en una red de telecomunicaciones de 5G de acuerdo con la técnica anterior;

[0090] la Figura 3 es una ilustración esquemática de una red de cliente local configurada para la comunicación con una red de telecomunicaciones de 5G como se muestra en las Figuras 2A-2C.

[0091] las Figuras 4A y 4B proporcionan una ilustración esquemática de un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicaciones y un diagrama de proceso que ilustra etapas para usar estos; la Figura 4C es un diagrama de proceso que ilustra algunas etapas para actualizar los parámetros de suscripción derivados;

[0092] las Figuras 5A y 5B proporcionan una ilustración esquemática de un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicaciones en una red de telecomunicaciones de 5G y un diagrama de proceso que ilustra etapas para usar estos;

[0093] la Figura 5C es una ilustración esquemática de algunos campos de una solicitud de registro de un dispositivo electrónico que contiene un parámetro de suscripción derivado; y

[0094] la Figura 6 representa un sistema de procesamiento de acuerdo con una realización para un dispositivo de procesamiento o un sistema de servidor.

[0095] Descripción detallada de los dibujos

[0096] La Figura 1 es una ilustración esquemática de una red de telecomunicaciones 1 de la técnica anterior.

[0097] La rama inferior de la Figura 1 representa una red de 3G o UMTS que comprende un nodo de soporte de GPRS de puerta de enlace (GGSN), un nodo de soporte de GPRS de servicio (SGSN) y una red de acceso por radio (RAN o UTRAN). Para una red de acceso por radio de GSM/EDGE (GERAN), la RAN comprende un controlador de estación base (BSC) conectado a una pluralidad de estaciones base (transceptor) (BS, BTS), ambas no mostradas. Para una red de acceso por radio de UMTS (UTRAN), la RAN comprende un controlador de red de radio (RNC) conectado a una pluralidad de Nodos B), tampoco mostrados. El GGSN y el SGSN están conectados convencionalmente a un registro de ubicación doméstico (HLR) o servidor de abonado doméstico (HSS) que puede contener información de suscripción para el equipo de usuario UE.

[0098] La rama superior de la Figura 1 representa una red de telecomunicaciones de 4G, indicada comúnmente como evolución a largo plazo (LTE) o sistema de paquetes evolucionado (EPS). Una red de este tipo comprende una puerta de enlace de PDN (P-GW) y una puerta de enlace de servicio (S-GW). La E-UTRAN del EPS comprende Nodos B evolucionados (eNodos B o eNB) que proporcionan acceso inalámbrico para un dispositivo 2 que está conectado a la S-GW a través de una red de paquetes. La S-GW está conectada a un servidor de abonado doméstico HSS y a una entidad de gestión de movilidad MME para fines de señalización. El HSS incluye una suscripción de usuarios de equipo de usuario UE. Puede encontrarse información adicional de la arquitectura general de una red de EPS en 3GPP TS 23.401.

[0099] Un UE puede acceder a la red de telecomunicaciones 1 por medio de una solicitud de conexión desde el UE a la red que implica a la MME y al HSS que contienen información de suscripción para el UE. Durante el procedimiento de conexión de LTE, se realiza un procedimiento de autenticación entre el UE y la MME/HSS de sistema de telecomunicación. En particular, el UE envía una solicitud de conexión a la MME que incluye el GUTI del UE recibido en una conexión previa o el IMSI. La MME realiza autenticación y seguridad para el UE en cooperación con el HSS para autenticar el UE y para proteger los mensajes intercambiados entre la MME y el UE a través de la interfaz de radio. Se proporciona información adicional en 3GPP TS 24.301. De manera similar, para la red de telecomunicaciones de 3G/UMTS, el UE envía una solicitud de conexión al SGSN que incluye un P-TMSI o IMSI y el SGSN realiza autenticación y seguridad del UE en cooperación con el HLR o el HSS. Se proporciona información adicional en 3GPP TS 23.060.

[0100] La Figura 2A es una ilustración esquemática de una red de telecomunicaciones de 5G 1 de la técnica anterior. La red de 5G está compuesta por una red de acceso de 5G 2 y una red central de 5G (5GC) 3. La red de acceso está compuesta por una red de acceso por radio de nueva generación (NG-RAN) que usa la interfaz de nueva radio (NR) de 5G. La NG-RAN comprende estaciones base de 5G, denominadas gNB (no mostradas), que están conectadas a la 5GC y entre sí. La red de acceso 2 puede comprender una red de acceso no de 3GPP (por ejemplo, WiFi, xDSL, etc.) que se conecta a la 5GC. El acceso a la 5GC también puede ser híbrido. Las diferentes entidades de red están conectadas por una red de transporte IP subyacente (u otra tecnología de transporte). La arquitectura de red de 5G está conectada a una pluralidad de redes de datos DN. Las redes de datos pueden ser Internet, una red específica del operador, una red especializada, etc.

[0101] La Figura 2B muestra una red de telecomunicaciones de 5G en una arquitectura basada en servicios en combinación con un dispositivo de usuario UE y una red de acceso (R)AN. La red central de 5G 5GC comprende muchos sistemas que están definidos en términos de funciones de red (NF) que proporcionan servicios como conjuntos de interacciones entre dos o más funciones de red. La parte superior de la Figura 2B muestra un conjunto de funciones de red que forman el plano de control de 5G CP.

[0102] Entre otras, el plano de control comprende un sistema de función de gestión de acceso y movilidad (AMF) que maneja la mayor parte de la señalización procedente del UE y va al UE, en lo sucesivo en el presente documento también denominado sistema de acceso y movilidad. La AMF también interactúa con otras funciones en el plano de control. El sistema que realiza la función de acceso y movilidad AMF tiene la responsabilidad del control de acceso y del registro del UE en la 5GC. Tales tareas se realizan típicamente antes de permitir que el UE establezca una sesión de unidad de datos de protocolo, PDU, con la 5GC.

[0103] La AMF no maneja la gestión de sesión, sino que retransmite mensajes relacionados con la sesión hacia y desde un sistema que realiza una función de gestión de sesión (SMF), denominado en lo sucesivo en el presente documento sistema de gestión de sesión. El sistema de gestión de sesión realiza el establecimiento, modificación y liberación de sesiones de PDU. El plano de control también comprende un sistema que realiza una función de control de políticas (PCF) que proporciona reglas de política (QoS, filtrado, cobro) a otras funciones del plano de control, tal como la SMF. Otras funciones que están comprendidas en el plano de control CP incluyen la función de gestión de datos unificada (UDM) y/o un repositorio de datos unificados (UDR), también denominado como sistema de gestión de datos unificados en el presente documento, y la función de servidor de autenticación (AUSF). La UDM es en parte el equivalente del sistema de servidor doméstico HSS en redes 3G y 4G como se muestra en la Figura 1 y es una función de extremo frontal para la UDR para información relacionada con el UE, tal como credenciales, identificadores, detalles de AMF y sesiones de PDU de SMF. Por razones de seguridad, las credenciales se almacenan normalmente directamente en la UDM, que también se denomina ARPF (función de repositorio y procesamiento de credenciales de autenticación).

[0104] Para el descifrado de la identidad de suscripción ocultada (SUCI) en el identificador permanente de suscripción (SUPI), la UDM contiene una función de descifrado denominada función de desocultación de identificador de suscripción (SIDF). La UDR es una base de datos que proporciona acceso a datos ofrecidos como servicios a otros sistemas de red, tal como el sistema de PCF. La AUSF soporta autenticación para acceso de 3GPP y no de 3GPP.

[0105] Para el plano de usuario UP, la parte inferior de la Figura 2B, el UE se comunica a través de la red de acceso (por radio) 2, indicada como (R)AN, con un sistema que realiza una función de plano de usuario (UPF). La tarea principal de la UPF es procesar y reenviar datos de usuario. La UPF está controlada por la SMF y se conecta con redes de datos externas DN. El sistema que realiza la función de gestión de sesión SMF tiene la responsabilidad de establecer conectividad para el UE hacia redes de datos, así como gestionar el plano de usuario para esa conectividad. Para conectarse a una DN, el UE solicita el establecimiento de una sesión de unidad de datos de protocolo (PDU). La PDU es el tipo de protocolo básico de usuario final transportado por la sesión PDU, por ejemplo, paquetes de IP o tramas de Ethernet. Cada sesión PDU proporciona una asociación entre el UE y una DN específica.

[0106] Un UE necesita registrarse en la red de telecomunicaciones para obtener autorización para recibir servicios, para habilitar el seguimiento de movilidad y para habilitar la capacidad de alcance como se establece en 3GPP TS 23.502. Algunas etapas del procedimiento de registro se muestran en la Figura 2C.

[0107] En la etapa S1, un UE envía una solicitud de acceso de red, también denominada mensaje de solicitud de registro de NAS, a la red de acceso de 5G, que selecciona un sistema de acceso y movilidad AMF, si no se realiza ninguna selección de AMF en la solicitud de acceso de red. La solicitud de acceso de red contiene, entre otras cosas, un tipo de registro (por ejemplo, registro inicial, actualización de registro de movilidad, o actualización de registro periódica) y una identidad de UE (por ejemplo, un 5G-GUTI, o SUPI o SUCI). Si todavía no está disponible, el sistema de AMF puede solicitar el SUPI/SUCI desde el UE a través de un intercambio de mensajes de NAS (no mostrado).

[0108] En la etapa S2, la AMF solicita autenticación de UE desde un sistema de telecomunicaciones que comprende el sistema de servidor de autenticación AUSF que interactúa con el sistema de UDM y recibe la información de autenticación y SUPI en la AMF. En la etapa S3 está dispuesta la autenticación con el UE.

[0109] En la etapa S4, la AMF interactúa con la UDM para registrarse con la UDM y obtener datos de suscripción, incluyendo datos de suscripción de acceso y movilidad, datos de suscripción de selección de SMF para crear un contexto de UE para el UE en la AMF.

[0110] En la etapa S5, se selecciona un sistema de política y cobro PCF y la AMF interactúa con la PCF para crear una asociación de política de AM y recuperar una política de UE y una política de control de acceso y movilidad, en donde la PCF responde con la información de asociación de política.

[0111] En la etapa S6, se envía un mensaje de aceptación de registro de NAS, un mensaje de aceptación de registro, al UE. La Figura 3 es una ilustración esquemática de una red de cliente local LCN, tal como una red de instalaciones del cliente CPN o una red de Iot personal PIN configurada para la comunicación con una red de telecomunicaciones de 5G como se ha descrito anteriormente con referencia a las Figuras 2A-2C. Debería apreciarse que redes de cliente locales similares pueden configurarse para la comunicación con una red de telecomunicaciones de 3G o 4G.

[0112] La red de cliente local LCN1 es una red de instalaciones del cliente CPN que comprende un dispositivo de puerta de enlace GW tal como un 5G-RG (puerta de enlace residencial 5G) o un eRG (puerta de enlace residencial mejorada). El dispositivo de puerta de enlace GW proporciona cobertura inalámbrica (posiblemente a través de una red de acceso por radio de instalaciones, PRAN, no mostrada) en un área de cobertura A para una pluralidad de UE conectados a una 5GC a través de una red de acceso por cable o una red de acceso inalámbrica RAN. El dispositivo de puerta de enlace GW puede conectarse a la 5GC como un UE de una manera correspondiente a la Figura 1C, interactuando con funciones en el plano de control y en el plano de usuario, y reenvía tráfico hacia y desde los UE en la red local LCN1 por medio de una sesión de PDU establecida. La GW puede asignar direcciones, por ejemplo, direcciones de IP, a los UE en la red local LCN1. De esta manera, los UE detrás del dispositivo de puerta de enlace GW pueden hacer uso de una única sesión PDU de la GW para una red de datos DN sin estar registrados en la 5GC y usando la dirección IP asignada por la red de telecomunicaciones al dispositivo de puerta de enlace GW. Cuando el UE está asociado con/conectado al dispositivo de puerta de enlace GW, usando Ethernet, Zigbee, WiFi o Bluetooth, por ejemplo, todo tipo de tráfico puede encaminarse a través de la sesión de PDU del dispositivo de puerta de enlace GW hacia la red de datos DN por medio de una 5G-RAN o por medio de acceso por cable y la 5GC.

[0113] La Figura 3 también ilustra una segunda red de cliente local LCN2, una red de Iot personal PIN, que comprende un elemento de PIN con una función de soporte de puerta de enlace, en este punto un UE (por ejemplo, un teléfono inteligente móvil), en comunicación con diversos elementos de PIN ponibles E1 (por ejemplo, un reloj inteligente) y E2 (por ejemplo, un sensor contenido en la ropa de la persona). Al igual que para LCN1, el UE en LCN2 puede tener una sesión de PDU establecida con la 5GC a través de la red de acceso por radio RAN de la Figura 3, de modo que los elementos de PIN E1, E2 pueden comunicarse con la 5GC a través del UE. Debería apreciarse que pueden usarse otras redes de cliente locales adicionales, tal como una red de PIN con elementos de PIN fijos y móviles, tal como una red doméstica.

[0114] En los ejemplos anteriores, el dispositivo de puerta de enlace GW que proporciona LCN1 y el UE que funciona como un dispositivo de puerta de enlace que proporciona LCN2 tienen una suscripción para acceder a la 5GC. En una realización, esta suscripción comprende un identificador de dispositivo de puerta de enlace (por ejemplo, un SUPI/SUCI) para el dispositivo de puerta de enlace GW y al menos una credencial de dispositivo de puerta de enlace (por ejemplo, una clave a largo plazo) para el dispositivo de puerta de enlace GW almacenados tanto en el dispositivo de puerta de enlace GW como en la UDM de la red de 5GC. De esta manera, el dispositivo de puerta de enlace GW puede registrarse en la 5GC como se muestra en la Figura 2C y establecer una sesión de PDU que pueda usarse por los UE en el área de cobertura A. De manera similar, los elementos de PIN E1, E2 pueden hacer uso de la sesión de PDU establecida del UE cuando están conectados a través de LCN2.

[0115] Puesto que los dispositivos electrónicos (los UE en LCN1 y los elementos de PIN E1, E2 en LCN2) carecen de una suscripción individual para acceder a la 5GC, estos dispositivos electrónicos no pueden comunicarse a través de la red de telecomunicaciones de 5G cuando no existe conexión con estas redes locales, por ejemplo, cuando un UE abandona el área de cobertura A del dispositivo de puerta de enlace GW de LCN1 o el dispositivo de puerta de enlace UE de LCN2 no funciona de manera apropiada o un elemento de PIN no puede comunicarse con este UE.

[0116] La presente divulgación contiene una solución para habilitar la autenticación de tales dispositivos electrónicos que no pueden acceder a la 5GC a través del dispositivo de puerta de enlace GW. En resumen, un dispositivo electrónico obtiene parámetros de suscripción derivados que se derivan a partir de parámetros de suscripción originales del dispositivo de puerta de enlace u otro dispositivo con parámetros de suscripción originales y usa estos parámetros para acceder a la red de telecomunicaciones y participar en un procedimiento de autenticación.

[0117] En particular, un dispositivo electrónico puede obtener parámetros de suscripción derivados, posiblemente temporalmente, desde un sistema de soporte de autenticación que puede obtener parámetros de suscripción originales, por ejemplo, del dispositivo de puerta de enlace u otro dispositivo, enviando una solicitud de los parámetros de suscripción derivados usando un identificador de dispositivo electrónico. La recepción del identificador de dispositivo electrónico desde el dispositivo electrónico puede interpretarse por el sistema de soporte de autenticación como la solicitud de los parámetros de suscripción derivados. Usando parámetros de suscripción derivados, por ejemplo, un identificador de dispositivo derivado y al menos una credencial de dispositivo derivada, e implicando el identificador de dispositivo electrónico en la función para obtener los parámetros de suscripción derivados, estos parámetros pueden hacerse específicos para el dispositivo electrónico. Los parámetros de suscripción derivados pueden proporcionarse al dispositivo electrónico para facilitar el acceso a y la autenticación en la segunda red. Una realización para habilitar la autenticación de un dispositivo electrónico sin una suscripción para acceder a la red de telecomunicaciones se representa en las Figuras 4A y 5B.

[0118] La realización implementa un sistema de soporte de autenticación 10 para habilitar el acceso por el dispositivo electrónico UE1 a la red de telecomunicaciones sin una suscripción para acceder a esta red. El sistema de soporte de autenticación 10 puede estar dispuesto en un dispositivo separado como se muestra mediante el rectángulo de línea continua o puede estar integrado en otro dispositivo, tal como el dispositivo de puerta de enlace GW, mostrado mediante el rectángulo de línea discontinua, o en otro dispositivo electrónico, tal como un UE, también mostrado mediante el rectángulo de línea discontinua.

[0119] El dispositivo electrónico UE1 está configurado para comunicarse a través de una primera red con el sistema de soporte de autenticación 10. El dispositivo electrónico UE1 no tiene una suscripción para acceder a la red de telecomunicaciones y el dispositivo de puerta de enlace GW tiene una suscripción almacenada en la red de telecomunicaciones, a saber, en el registro de abonado SUBREG. La suscripción en la red de telecomunicaciones incluye un identificador de dispositivo de puerta de enlace GDI y al menos una credencial de dispositivo de puerta de enlace asociada GDC almacenados en el registro de abonado SUBREG. El sistema de soporte de autenticación 10 puede obtener el identificador de dispositivo de puerta de enlace GDI y la credencial de dispositivo de puerta de enlace asociada GDC del dispositivo de puerta de enlace. El identificador de dispositivo de puerta de enlace GDI y la credencial de dispositivo de puerta de enlace asociada GDC pueden almacenarse, por ejemplo, en una tarjeta de circuito integrado universal (UICC) del dispositivo de puerta de enlace GW como se muestra esquemáticamente en la Figura 4. El identificador de dispositivo de puerta de enlace GDI puede adoptar la forma de un SUPI/SUCI o IMSI. La credencial de dispositivo de puerta de enlace asociada GDC tiene la forma de una clave a largo plazo. GDC puede ser la propia clave a largo plazo o puede ser una clave derivada de la clave a largo plazo (por ejemplo, una de las claves derivadas existentes, tales como Kausf, Kseaf, Kamf, o Kakma, o una clave derivada recién definida usando, por ejemplo, una función de derivación de clave (KDF) como se define en 3GPP TS 33.102, TS 33.401, o TS 33.501). Los mismos parámetros de suscripción también se almacenan en la red de telecomunicaciones, en este punto, en el registro de abonado SUBREG.

[0120] El dispositivo electrónico UE1 está configurado para proporcionar un identificador de dispositivo electrónico EDI a través de una primera red al sistema de soporte de autenticación 10. La primera red puede ser la red local LCN1 proporcionada por el dispositivo de puerta de enlace 5G-RG. La primera red también puede ser una conexión especializada entre UE1 y el sistema de soporte de autenticación 10, tal como una conexión Bluetooth, una conexión por cable, una conexión Zigbee, una conexión inalámbrica temporal, etc. El identificador de dispositivo electrónico EDI puede ser un identificador de red local, tal como una dirección MAC, del dispositivo electrónico UE1.

[0121] El sistema de soporte de autenticación 10 está configurado para determinar un identificador de dispositivo derivado DDI y una credencial de dispositivo derivada DDC, basándose cada uno en al menos el identificador de dispositivo de puerta de enlace GDI y el identificador de dispositivo electrónico EDI. El identificador de dispositivo derivado DDI puede ser una funciónf1, posiblemente reversible, del identificador de dispositivo de puerta de enlace GDI y del identificador de dispositivo electrónico EDI. En una realización, el identificador de dispositivo derivado DDI incluye el identificador de dispositivo electrónico EDI y, posiblemente, el identificador de dispositivo de puerta de enlace GDI. Por ejemplo, el identificador de dispositivo derivado DDI puede ser una combinación del identificador de dispositivo de puerta de enlace GDI y del identificador de dispositivo electrónico EDI, por ejemplo, DDI = GDI EDI. La función "+" en esta solicitud significa la concatenación de GDI y EDI. por ejemplo, si GDI es "12345" y EDI es "ABCDE", entonces DDI = "12345ABCDE".

[0122] En una realización, la credencial de dispositivo derivada DDC es una funciónf2de la credencial de dispositivo de puerta de enlace GDC de la suscripción original y del identificador de dispositivo electrónico EDI, es decir, DDC=f2(GDI, EDI). La funciónf2puede ser una función unidireccional para hacer que la derivación de la credencial de dispositivo de puerta de enlace GDC a partir de la credencial de dispositivo derivada DDC sea virtualmente imposible. El sistema de soporte de autenticación 10 puede obtener el identificador de dispositivo de puerta de enlace GDI y la credencial de dispositivo de puerta de enlace GDC desde el dispositivo de puerta de enlace GW. El sistema de soporte de autenticación 10 también está configurado para devolver el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC al dispositivo electrónico UE1 desde el que se recibió el identificador de dispositivo electrónico EDI, posiblemente de manera segura.

[0123] El dispositivo electrónico UE1 está configurado para recibir el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC desde el sistema de soporte de autenticación 10. Las comunicaciones bidireccionales entre el dispositivo electrónico UE1 y el sistema de soporte de autenticación 10 para soporte de autenticación se muestran mediante la flecha C1 en la Figura 4. De manera similar, si el soporte de autenticación se proporciona por otro dispositivo UE distinto del sistema de soporte de autenticación 10 separado, por ejemplo, el sistema de soporte de autenticación 10 en el UE, la flecha C1’ indica la comunicación. Para soporte de autenticación por un sistema de soporte de autenticación 10 integrado en el dispositivo de puerta de enlace GW, la flecha C1" indica la comunicación entre el UE1 y el sistema de soporte de autenticación 10.

[0124] El dispositivo electrónico UE1 almacena el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC al menos temporalmente. Cuando el dispositivo electrónico UE1 se desplaza fuera del área de cobertura A del dispositivo de puerta de enlace GW (flecha M), UE1, en ausencia de una suscripción especializada para acceder a la red de telecomunicaciones, no podría acceder a la red de telecomunicaciones usando la entidad de acceso de ACC y llevar a cabo un procedimiento de autenticación con el sistema de telecomunicaciones. Sin embargo, el dispositivo electrónico UE1 puede usar el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC para este propósito. De esta manera, el dispositivo de puerta de enlace GW puede continuar usando la sesión de datos establecida para comunicaciones de otros dispositivos electrónicos UE en LCN1.

[0125] En una realización, el dispositivo electrónico UE1 está configurado para incluir el identificador de dispositivo derivado DDI en una solicitud de acceso de red y transmitir la solicitud de acceso de red que incluye el identificador de dispositivo derivado a la red de telecomunicaciones que comprende una entidad de acceso ACC. La solicitud de acceso de red puede ser una solicitud de conexión para una red de telecomunicaciones de 3G o 4G o una solicitud de registro para una red de telecomunicaciones de 5G. En una realización, el identificador de dispositivo derivado DDI incluye el identificador de dispositivo electrónico EDI y, posiblemente, el identificador de dispositivo de puerta de enlace GDI. Por ejemplo, el identificador de dispositivo derivado DDI puede ser una combinación del identificador de dispositivo de puerta de enlace GWI y del identificador de dispositivo electrónico EDI, por ejemplo, DDI = GWI EDI.

[0126] La credencial de dispositivo derivada DDC se almacena temporalmente en el dispositivo electrónico UE1 para permitir que el dispositivo electrónico UE1 participe en un procedimiento de autenticación con el sistema de telecomunicación, que comprende la entidad de autenticación AUT y el registro de suscripción SUBREG, cuando está fuera del área de cobertura A.

[0127] El sistema de telecomunicación está configurado para determinar la credencial de dispositivo de puerta de enlace GDC usando al menos el identificador de dispositivo derivado DDI y el identificador de dispositivo de puerta de enlace GDI. En una realización, el sistema de telecomunicación está configurado para obtener el identificador de dispositivo de puerta de enlace GDI basándose en el identificador de dispositivo derivado DDI reconocido en la solicitud de acceso de red y obtener posteriormente la credencial de dispositivo de puerta de enlace GDC basándose en el identificador de dispositivo de puerta de enlace GDI obtenido a partir del registro de suscripción SUBREG del sistema de telecomunicación. El sistema de telecomunicación también está configurado para obtener una credencial de dispositivo derivada DDC para el dispositivo electrónico UE1 basándose en al menos la credencial de dispositivo de puerta de enlace GDC y el identificador de dispositivo electrónico EDI obtenido a partir del identificador de dispositivo derivado DDI. En una realización, la credencial de dispositivo derivada DDC es una función de la credencial de dispositivo de puerta de enlace GDC de la suscripción original del dispositivo de puerta de enlace GW y del identificador de dispositivo electrónico EDI, es decir, DDC=f2(GDI, EDI). La funciónf2puede ser una función unidireccional como se ha explicado anteriormente.

[0128] El sistema de telecomunicación que comprende, por ejemplo, las entidades AUT y SUBREG (que pueden estar coubicadas) están configuradas para participar en un procedimiento de autenticación con el dispositivo electrónico UE1 a través de la red de telecomunicaciones después de recibir la solicitud de acceso de red y para usar la credencial de dispositivo derivada DDC en el procedimiento de autenticación con el dispositivo electrónico UE1. De manera similar, el dispositivo electrónico UE1 está configurado para participar en el procedimiento de autenticación con el sistema de telecomunicación a través de la red de telecomunicaciones en respuesta a la solicitud de acceso de red y para usar la credencial de dispositivo derivada recibida en el procedimiento de autenticación con el sistema de telecomunicaciones que comprende AUT y SUBREG. El procedimiento de autenticación entre el dispositivo electrónico UE1 y el sistema de telecomunicación puede ser el procedimiento de autenticación convencional usando la credencial de dispositivo derivada DDC en lugar de la credencial convencional (tal como la clave a largo plazo).

[0129] La Figura 4B es una ilustración esquemática de algunas etapas de un método para autenticar UE1 en la red de telecomunicaciones sin tener una suscripción en esta red.

[0130] La etapa S1 implica que el dispositivo electrónico UE1 envíe una solicitud de soporte de autenticación al sistema de soporte de autenticación 10. La solicitud contiene al menos el identificador de dispositivo electrónico EDI. Se supone que el sistema de soporte de autenticación 10 ya ha obtenido parámetros de suscripción originales que también están almacenados en la red de telecomunicaciones, por ejemplo, del dispositivo de puerta de enlace GW o del dispositivo de usuario UE. Estos parámetros de suscripción originales se denominan, en este ejemplo, identificador de dispositivo de puerta de enlace GDI y al menos una credencial de dispositivo de puerta de enlace GDC asociada. GDI y GDC pueden obtenerse por el sistema de soporte de autenticación 10 desde el dispositivo de puerta de enlace GW de manera segura.

[0131] Se supone que el dispositivo de usuario electrónico UE1 ha sido admitido para obtener soporte de autenticación desde el sistema de soporte de autenticación 10. Una opción incluye emparejar el dispositivo electrónico UE1 y el sistema de soporte de autenticación 10 cuando están en estrecha proximidad entre sí (por ejemplo, presionando un botón en uno o ambos lados). Como alternativa, puede establecerse un filtro en el sistema de soporte de autenticación 10 que únicamente permite la transmisión de los parámetros de suscripción derivados para identificadores de dispositivo electrónico EDI particulares (tales como direcciones de MAC). Otra alternativa incluye configurar un portal para el sistema de soporte de autenticación 10 en el que pueda establecerse una asociación entre el sistema de soporte de autenticación 10 o el dispositivo de puerta de enlace GW y al menos un dispositivo electrónico UE1. Otra opción más puede ser que el usuario o propietario del sistema de soporte de autenticación 10 o del dispositivo de puerta de enlace GW (u otro dispositivo UE suscrito cuyas credenciales de suscripción se usan) reciba un mensaje, por ejemplo, en el portal, o en el dispositivo del usuario (por ejemplo, un teléfono móvil), solicitando explícitamente al usuario permitir o denegar que el dispositivo electrónico UE1 obtenga soporte de autenticación.

[0132] Tras la recepción de la transmisión desde UE1 a través de LCN1 (u otro enlace) que contiene el identificador de dispositivo electrónico EDI, el sistema de soporte de autenticación 10 deriva el identificador de dispositivo derivado DDI y al menos una credencial de dispositivo derivada DDC. Ambos parámetros derivados son una función del identificador de dispositivo electrónico EDI, mientras que el identificador de dispositivo derivado DDI también es una función del identificador de dispositivo de puerta de enlace GDI y la credencial de dispositivo derivada DDC también es una función de la credencial de dispositivo de puerta GDC. Por ejemplo, DDI=GDI+EDI, mientras que DDC es una función unidireccionalfdel identificador de dispositivo electrónico EDI y la credencial de dispositivo de puerta de enlace GDC.

[0133] En el párrafo anterior, se asumió que la función de soporte de autenticación incluía generar el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC tras recibir la solicitud desde el dispositivo electrónico UE1. En otra realización, al menos uno del identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC puede almacenarse previamente por el sistema de soporte de autenticación 10, lo que es factible, por ejemplo, en caso de que el identificador de dispositivo electrónico EDI ya sea conocido para la función de soporte de autenticación, por ejemplo, mediante configuración manual por un usuario, o detección previa del identificador de dispositivo electrónico EDI en la primera red. Tal almacenamiento previo es beneficioso para ahorrar potencia de procesamiento, por ejemplo, si el UE en LCN2 de la Figura 3 soporta autenticación de un elemento de PIN E1. Las identidades de dispositivo derivadas cifradas pueden calcularse en lote antes de que haya ocurrido cualquier comunicación real entre el dispositivo electrónico y la red de telecomunicación.

[0134] Los parámetros de suscripción derivados DDI, DDC se devuelven al dispositivo electrónico UE1 en la etapa S2. El dispositivo electrónico UE1 puede almacenar al menos uno de los parámetros derivados recibidos, al menos temporalmente.

[0135] En la etapa S3, el dispositivo electrónico UE1 incluye el identificador de dispositivo derivado DDI en una solicitud de acceso de red a la segunda red que comprende el sistema de telecomunicaciones. El sistema de telecomunicación, que almacena GDI y GDC en el registro de abonado SUBREG, reconoce el identificador de dispositivo derivado DDI en la solicitud de acceso de red. Esto puede lograrse mediante una bandera en la solicitud de acceso de red que indica que la solicitud de acceso de red contiene un identificador de dispositivo derivado DDI, mediante el formato del DDI o mediante un identificador de tipo, por ejemplo. Tras el reconocimiento de la solicitud de acceso de red especial, el sistema de telecomunicaciones intenta obtener el identificador de dispositivo de puerta de enlace GDI a partir del contenido de la solicitud de acceso de red, tal como a partir del identificador de dispositivo derivado DDI. A partir del identificador de dispositivo de puerta de enlace GDI, el sistema de telecomunicaciones determina la credencial de dispositivo de puerta de enlace GDC y, a partir de la credencial de dispositivo de puerta de enlace GDC, puede calcularse la credencial de dispositivo derivada DDC usando la misma función, preferentemente una función unidireccional, que se aplicó por el sistema de soporte de autenticación 10.

[0137] Puesto que tanto el dispositivo electrónico UE1 como el sistema de telecomunicaciones están ahora en posesión de la credencial de dispositivo derivada DDC, puede realizarse un procedimiento de autenticación como se muestra en la etapa S4, en particular entre el dispositivo electrónico UE1 y la entidad AUT del sistema de telecomunicación. El procedimiento de autenticación puede implicar transmitir un desafío de autenticación desde el sistema de telecomunicación al dispositivo electrónico UE1 basándose en la credencial de dispositivo derivada DDC obtenida en el sistema de telecomunicaciones y una respuesta de autenticación enviada de vuelta por el dispositivo electrónico UE1 al sistema de telecomunicación, también basándose en la credencial de dispositivo derivada obtenida por el dispositivo electrónico UE1. Cuando tanto el desafío como la respuesta se basan en las mismas credenciales de dispositivo derivadas DDC, la autenticación es satisfactoria y el procedimiento de acceso puede continuarse. El sistema de telecomunicaciones puede usar la credencial de dispositivo derivada DDC para obtener un vector de autenticación para el dispositivo electrónico UE1 y proporcionar a entidades adicionales en la red de telecomunicaciones la información apropiada, tal como claves de cifrado, basándose en la credencial de dispositivo derivada DDC de una manera conocida como tal para el experto en la materia.

[0139] El dispositivo electrónico UE1, el sistema de soporte de autenticación 10 y el sistema de telecomunicación facilitan la autenticación del dispositivo electrónico para acceder a la red de telecomunicaciones sin necesidad de que el dispositivo electrónico UE tenga una suscripción (un identificador y credenciales) para acceder a esta red. Esto permite que el dispositivo electrónico UE1 funcione independientemente del dispositivo de puerta de enlace GW. El dispositivo de puerta de enlace GW puede continuar actuando como una puerta de enlace para dispositivos en el área de cobertura A de la red local LCN1.

[0141] La etapa S5 indica un procedimiento de reautenticación que puede necesitar realizarse después de algún tiempo. Si el sistema de telecomunicación ha descartado la credencial de dispositivo derivada DDC de una autenticación previa (para ahorrar recursos de almacenamiento, por ejemplo), el sistema de telecomunicación puede necesitar recalcular la credencial de dispositivo derivada DDC basándose, por ejemplo, en el identificador de dispositivo derivado DDI todavía disponible para el sistema de telecomunicación. Si la credencial de dispositivo derivada DDC todavía está disponible, esta credencial puede usarse de nuevo para la reautenticación.

[0143] La etapa S6 indica un procedimiento para verificar la validez del identificador de dispositivo derivado DDI y/o de la credencial de dispositivo derivada DDC usando, por ejemplo, un parámetro de validez que indica la validez del DDI y/o DDC. Un ejemplo de dicho parámetro de validez es un parámetro de tiempo de validez que indica un tiempo de expiración del DDI y/o DDC. En la etapa S6, la telecomunicación determina un tiempo de validez del DDI y/o DDC enviando una solicitud al sistema de soporte de autenticación 10 y recibiendo la información en consecuencia. La realización permite la transmisión del parámetro de validez a través de un canal separado, posiblemente seguro, independiente del dispositivo electrónico UE1. En una realización, el parámetro de tiempo de validez también puede comprender un tiempo de derivación que indica cuándo se derivaron el DDI y/o DCI. El sistema de telecomunicación puede aplicar una política que prescribe hace cuánto tiempo pueden haberse derivado DDI y/o DDC para un uso satisfactorio en el procedimiento de autenticación. Si el sistema de telecomunicación determina que el identificador de dispositivo derivado DDI y/o la credencial de dispositivo derivada DDC no son válidos o ya no son más válidas, el sistema de telecomunicación puede detener el acceso a la red de telecomunicaciones y/o rechazar la vuelta al acceso a la red de telecomunicaciones usando ese identificador de dispositivo derivado DDI y/o esa credencial de dispositivo derivada DDC.

[0145] La Figura 4C muestra como procedimiento de ejemplo que el dispositivo electrónico actualice el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC. En una realización, para una actualización de este tipo, el dispositivo electrónico UE1 no necesita volver al área de cobertura A de la red local LCN1. Como se muestra en la Figura 4C, el dispositivo electrónico UE1 puede usar la red de telecomunicaciones para obtener un nuevo conjunto de parámetros de suscripción derivados DDIn y DDCn. Este procedimiento puede realizarse antes de la expiración de la validez de los parámetros de suscripción derivados antiguos DDI y DDC o (poco) después de la expiración de la validez de los parámetros de suscripción derivados antiguos DDI y DDC, siempre que el acceso a la red de telecomunicaciones se mantenga durante algún tiempo (por ejemplo, hasta que se requiera reautenticación).

[0146] En la Figura 4C, la etapa S10 ilustra una solicitud desde el dispositivo electrónico UE1 que incluye el identificador de dispositivo electrónico EDI. El sistema de telecomunicación reenvía, en la etapa S11, el identificador de dispositivo electrónico EDI al sistema de soporte de autenticación que deriva los nuevos parámetros de suscripción derivados DDIn y DDCn de la misma manera que se ha descrito anteriormente. Estos nuevos parámetros de suscripción derivados DDIn y DDCn se transmiten a UE1 a través del sistema de telecomunicación en las etapas S12 y S13. Esto permite que UE1 acceda a la red de telecomunicaciones de nuevo a través de una solicitud de acceso de red S14 que contiene ahora el nuevo identificador de dispositivo derivado DDIn. Un nuevo procedimiento de autenticación, ahora basándose en la credencial de dispositivo derivada DDCn, puede realizarse en la etapa S15.

[0147] En una realización, las posibilidades de tener nuevos parámetros de suscripción derivados se mejoran usando un valor modificable adicional para al menos uno de estos parámetros de suscripción derivados. Por ejemplo, el identificador de dispositivo derivado DDI puede basarse en al menos el identificador de dispositivo de puerta de enlace GDI, el identificador de dispositivo electrónico EDI y el valor modificable adicional CV y la credencial de dispositivo derivada DDC puede basarse en al menos la credencial de dispositivo de puerta de enlace GDC, el identificador de dispositivo electrónico EDI y el valor modificable adicional CV. Por ejemplo, el identificador de dispositivo derivado puede ser una combinación del identificador de dispositivo de puerta de enlace GDI, el identificador de dispositivo electrónico EDI y el valor adicional seleccionado CV, por ejemplo, DDI=GDI+EDI+CV. El valor adicional, modificable, puede comprender un valor aleatorio. El sistema de soporte de autenticación 10 puede estar configurado para almacenar o generar el valor modificable adicional CV y usar este valor para derivar el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC. El valor adicional puede cambiarse cada vez que se recibe una solicitud desde un dispositivo electrónico para un identificador de dispositivo derivado DDI y/o una credencial de dispositivo derivada DDC, por ejemplo, mediante la recepción de un identificador de dispositivo electrónico EDI desde el dispositivo electrónico. De manera similar, el sistema de telecomunicación puede estar configurado para procesar el valor adicional CV a partir del identificador de dispositivo derivado DDI recibido desde el dispositivo electrónico UE1 a través de la red de telecomunicaciones para obtener finalmente la credencial de dispositivo derivada DDC para el procedimiento de autenticación. Usar el valor adicional CV para el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC facilita cambiar el identificador de dispositivo derivado DDI y la credencial de dispositivo derivada DDC para mejorar la seguridad, lo que puede ser aconsejable en ausencia de un módulo de seguridad para almacenar los parámetros de suscripción derivados en el dispositivo electrónico UE1. Un ejemplo de uso de un valor modificable se describirá con referencia a las Figuras 5A y 5B.

[0148] Las Figuras 5A y 5B proporcionan una ilustración esquemática de un dispositivo electrónico, un sistema de soporte de autenticación y un sistema de telecomunicaciones en una red de telecomunicaciones de 5G y un diagrama de proceso que ilustra etapas de un método para habilitar la autenticación de un dispositivo electrónico para acceder a la red de telecomunicaciones de 5G sin tener una suscripción para tal acceso. La red de telecomunicaciones de 5G se introdujo en las Figuras 2A-2C. La red de telecomunicaciones de 5G incluye una red central de 5G 5GC que comprende entidades, la AMF que controla el registro de dispositivos, la AUSF que controla la autenticación a través de la AMF y la UDM/UDR que almacena parámetros de suscripción, por ejemplo, parámetros de suscripción del 5G-RG, SUPI y clave a largo plazo K.

[0149] En la Figura 5A, se supone que el sistema de soporte de autenticación 10 está integrado dentro del dispositivo de puerta de enlace residencial 5G-RG. El 5G-RG tiene un identificador de dispositivo de puerta de enlace GDI en forma de un SUPI y una credencial de dispositivo de puerta de enlace en forma de una clave a largo plazo K. El identificador de dispositivo derivado DDI se constituye como SUPI' = SUPI EDI CV, en donde EDI es el identificador de dispositivo electrónico del dispositivo electrónico UE1, por ejemplo, la dirección de MAC. La credencial de dispositivo derivada DDC, en este punto, la clave K’, se deriva a partir de la credencial de dispositivo de puerta de enlace K por la función unidireccional K’ =f(K, EDI, CV), de modo que K no puede calcularse a partir de K’. La adición del valor modificable facilita generar diferentes DDI para el mismo dispositivo electrónico UE1, pero es opcional. El sistema de soporte de autenticación 10 puede obtener SUPI’ y K’ obteniendo SUPI y K desde el 5G-RG como se indica mediante la doble flecha en la Figura 5A. El 5G-RG está conectado a la 5GC a través de PDU-GW para habilitar la transferencia de datos para UE dentro del área de cobertura A.

[0150] Algunas etapas del flujo de información para el sistema de la Figura 5A se explican con referencia a la Figura 5B. En la etapa S20, el dispositivo electrónico UE1 envía una solicitud de credencial que contiene el identificador de dispositivo electrónico, EDI, en este punto la dirección de MAC, al sistema de soporte de autenticación 10 en el dispositivo de puerta de enlace 5G-RG. Después de la recepción, el sistema de soporte de autenticación 10 puede generar o recuperar un valor, por ejemplo, un valor aleatorio CV.

[0151] En la etapa S21, el sistema de soporte de autenticación 10 envía una ‘respuesta de credencial (SUPI’, K’, TP) al dispositivo electrónico UE1, en donde TP es un parámetro de tiempo. El parámetro de tiempo puede indicar un tiempo de validez para los parámetros de suscripción derivados SUPI’, K’ o un tiempo de derivación que indica el tiempo de derivación de estos parámetros. El parámetro de tiempo TP puede usarse por el sistema de telecomunicación para verificar el tiempo de validez o decidir sobre el tiempo de validez de los parámetros de suscripción derivados SUPI’, K’.

[0152] Como se ha señalado con referencia a las Figuras 4A-4B, SUPI’ y K’ también se pueden haber prealmacenado en el sistema de soporte de autenticación 10 en lugar de derivarse en respuesta a la solicitud de credencial de la etapa S20. El sistema de soporte de autenticación 10 puede almacenar al menos uno de SUPI’, K’, TP en asociación con la dirección de MAC (el EDI) del dispositivo electrónico UE1. Esto facilita la verificación desde el sistema de telecomunicación directamente con el sistema de soporte de autenticación 10 (por ejemplo, usando PDU_GW) en un procedimiento separado independiente del dispositivo electrónico UE1 como se ha explicado con referencia a la Figura 4B. Debería apreciarse que el almacenamiento es opcional.

[0153] En la etapa S22, el dispositivo electrónico UE1 transmite una solicitud de registro a través de la red de acceso por radio a la AMF de la red de telecomunicaciones. La solicitud de registro se muestra esquemáticamente en la Figura 5C y contiene al menos SUPI’ = SUPI MAC TP. SUPI’ puede transmitirse en forma cifrada como se muestra por el área gris en la Figura 5C. El cifrado puede obtenerse aplicando cifrado de SUCI. La entidad de AMF o AUSF de la 5GC puede reconocer el tipo especial de solicitud de registro por medio del campo de tipo como se muestra en la Figura 5C. Como alternativa, la solicitud de registro puede contener una bandera a este efecto, o el sistema de telecomunicación puede reconocer un formato específico en caso de que SUPI’ no esté cifrado. El cifrado también puede aplicarse únicamente para el parámetro de tiempo TP. El parámetro de tiempo TP protegido también puede estar protegido en integridad contra modificación. La protección de integridad del parámetro de tiempo TP puede basarse en un par coincidente de claves (clave privada en UE1 y clave pública en 5GC o clave simétrica compartida), o puede incluirse en el SUPI’ cifrado como se muestra en la Figura 5C.

[0154] El sistema de telecomunicación que comprende las entidades AUSF y UDM/UDR procede como sigue al recibir la solicitud de registro de la etapa S22.

[0155] Con la solicitud de registro, el sistema de telecomunicación recibe SUPI’ y determina, por ejemplo, basándose en el campo de tipo como se muestra en la Figura 5C, que el SUPI en la solicitud de registro contiene un SUPI derivado, es decir, SUPI’. El sistema de telecomunicación también recibe el parámetro de tiempo TP. El sistema de telecomunicación puede descifrar SUPI’ y/o TP cuando estos se recibieron en forma cifrada.

[0156] El sistema de telecomunicación puede a continuación extraer SUPI, MAC y CV del SUPI’ recibido en la solicitud de registro y posteriormente recuperar K de la UDM/UDR del sistema de telecomunicación. La disponibilidad de la credencial K permite que el sistema de telecomunicación derive la credencial de dispositivo derivada usando la función unidireccionalfcalculando K’ = K’ =f(K, MAC, CV). El sistema de telecomunicación puede verificar a partir del parámetro de tiempo TP si SUPI’ y/o K’ son válidos. En una realización, el sistema de telecomunicación puede verificar a partir del parámetro de tiempo TP si K’ ha expirado o no. En una realización, el parámetro de tiempo comprende un tiempo de derivación de la derivación de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada. El sistema de telecomunicación puede usar el tiempo de derivación para decidir si puede considerar válido el identificador de dispositivo derivado SUPI’, por ejemplo, implementando una política para la diferencia de tiempo entre el tiempo de derivación y el tiempo de recepción de la solicitud de acceso de red. Un parámetro de tiempo de este tipo puede ser beneficioso para un parámetro o parámetros de suscripción derivados prealmacenados.

[0157] Ahora, tanto UE1 como el sistema de telecomunicación poseen K’, puede realizarse un procedimiento de autenticación. En una realización, el sistema de telecomunicación, por ejemplo, la entidad de AUSF, puede iniciar la autenticación convencional enviando una solicitud de autenticación al dispositivo electrónico UE1. La solicitud de autenticación comprende contenidos conocidos, tales como (AUTN, RAND, otros parámetros (por ejemplo, Kasme, o ngKSI, etc.)) pero se basa en la credencial de dispositivo derivada K’. Esto se muestra en la etapa S23.

[0158] El dispositivo electrónico verifica la solicitud de autenticación recibida y, si se aprueba, responde con una respuesta de autenticación en la etapa S24. El contenido de la respuesta se basa de nuevo en K’. Si el sistema de telecomunicación aprueba la respuesta de autenticación, el acceso a la red de telecomunicaciones puede continuar. Si el parámetro de tiempo TP se almacena en el sistema de soporte de autenticación 10, puede omitirse incluir el parámetro de tiempo TP en la respuesta de credencial de la etapa S21 o en la solicitud de registro de la etapa S22. En lugar de añadir un parámetro de tiempo TP (protegido) en la solicitud de registro inicial, la comprobación del parámetro de tiempo TP también podría realizarse usando una etapa de comunicación adicional, por ejemplo, entre la solicitud de registro en la etapa S23 y la autenticación de las etapas S23 y S24, entre el sistema de telecomunicación y el sistema de soporte de autenticación 10. Para esto, puede hacerse uso de una conexión segura (posiblemente ya existente) entre el sistema de telecomunicación y el sistema de soporte de autenticación 10.

[0159] Debería apreciarse que el dispositivo electrónico UE1 de la Figura 5A puede realizar reautenticación y/o actualizar los parámetros de suscripción derivados de una manera similar a la descrita con referencia a las Figuras 4A-4C.

[0160] La Figura 6 representa un diagrama de bloques que ilustra un sistema de procesamiento de ejemplo de acuerdo con una realización divulgada, por ejemplo, un dispositivo electrónico, un sistema de soporte de autenticación o un sistema de telecomunicación como se divulga en el presente documento. Como se muestra en la Figura 6, el sistema de procesamiento 60 puede incluir al menos un procesador 61 acoplado a elementos de memoria 62 a través de un bus de sistema 63. Como tal, el sistema de procesamiento puede almacenar código de programa dentro de los elementos de memoria 62. Además, el procesador 61 puede ejecutar el código de programa al que se accede desde los elementos de memoria 62 a través de un bus de sistema 63. En un aspecto, el sistema de procesamiento puede implementarse como un sistema informático que es adecuado para almacenar y/o ejecutar código de programa. Debería apreciarse, sin embargo, que el sistema de procesamiento 60 puede implementarse en la forma de cualquier sistema que incluye un procesador y una memoria que puede realizar las funciones descritas dentro de esta memoria descriptiva.

[0161] Los elementos de memoria 62 pueden incluir uno o más dispositivos de memoria física tales como, por ejemplo, memoria local 64 y uno o más dispositivos de almacenamiento masivo 65. La memoria local puede referirse a memoria de acceso aleatorio u otro dispositivo o dispositivos de memoria no persistente usados generalmente durante la ejecución real del código de programa. Un dispositivo de almacenamiento masivo puede implementarse como una unidad de disco duro u otro dispositivo de almacenamiento de datos persistente. El sistema de procesamiento 60 también puede incluir una o más memorias caché (no mostradas) que proporcionan almacenamiento temporal de al menos parte del código de programa para reducir el número de veces que el código de programa debe recuperarse desde el dispositivo de almacenamiento masivo 65 durante la ejecución.

[0162] Los dispositivos de entrada/salida (E/S) representados como un dispositivo de entrada 66 y un dispositivo de salida 67 opcionalmente pueden acoplarse al sistema de procesamiento. Los ejemplos de dispositivos de entrada pueden incluir, pero sin limitación, un teclado de acceso espacial, un dispositivo apuntador tal como un ratón, o similares. Los ejemplos de dispositivos de salida pueden incluir, pero sin limitación, un monitor o una pantalla, altavoces, o similares. Los dispositivos de entrada y/o salida pueden acoplarse al sistema de procesamiento ya sea directamente o a través de controladores de E/S intermedios.

[0163] En una realización, los dispositivos de entrada y de salida pueden implementarse como un dispositivo de entrada/salida combinado (ilustrado en la Figura 6 con una línea discontinua que rodea el dispositivo de entrada 66 y el dispositivo de salida 67). Un ejemplo de un dispositivo combinado de este tipo es una pantalla de respuesta al tacto, también denominada a veces "visor de pantalla táctil" o simplemente "pantalla táctil", que puede proporcionarse con el UE. En una realización de este tipo, la entrada al dispositivo puede proporcionarse por un movimiento de un objeto físico, tal como, por ejemplo, un lápiz óptico o un dedo de una persona, sobre o cerca de la pantalla táctil.

[0164] Un adaptador de red 68 también puede acoplarse al sistema de procesamiento para permitir que se acople a otros sistemas, sistemas informáticos, dispositivos de red remotos y/o dispositivos de almacenamiento remotos a través de redes privadas o públicas intermedias. El adaptador de red puede comprender un receptor de datos para recibir datos que se transmiten por dichos sistemas, dispositivos y/o redes al sistema de procesamiento 60, y un transmisor de datos para transmitir datos desde el sistema de procesamiento 60 a dichos sistemas, dispositivos y/o redes. Los módems, módems de cable y tarjetas Ethernet son ejemplos de diferentes tipos de adaptador de red que pueden usarse con el sistema de procesamiento 60.

[0165] Como se ilustra en la Figura 6, los elementos de memoria 62 pueden almacenar una aplicación 69. En diversas realizaciones, la aplicación 69 puede almacenarse en la memoria local 64, el uno o más dispositivos de almacenamiento masivo 65, o separada de la memoria local y los dispositivos de almacenamiento masivo. Debería apreciarse que el sistema de procesamiento 60 puede ejecutar, además, un sistema operativo (no mostrado en la Figura 6) que puede facilitar la ejecución de la aplicación 69. La aplicación 69, al estar implementada en la forma de código de programa ejecutable, puede ejecutarse por el sistema de procesamiento 60, por ejemplo, por el procesador 61. En respuesta a la ejecución de la aplicación, el sistema de procesamiento 60 puede estar configurado para realizar una o más operaciones o etapas de método descritas en el presente documento.

[0166] En un aspecto de la presente invención, uno o más componentes del dispositivo electrónico, del sistema de soporte de autenticación y/o del sistema de telecomunicación como se divulga en el presente documento pueden representar el sistema de procesamiento 60 como se describe en el presente documento.

[0167] Diversas realizaciones de la invención pueden implementarse como un producto de programa para uso con un sistema informático, en donde el programa o programas del producto de programa definen funciones de las realizaciones (incluyendo los métodos descritos en el presente documento). En una realización, el programa o programas pueden estar contenidos en una diversidad de medios de almacenamiento legibles por ordenador no transitorios, en donde, como se usa en el presente documento, la expresión "medios de almacenamiento legibles por ordenador no transitorios" comprende todos los medios legibles por ordenador, siendo la única excepción una señal propagada transitoria. En otra realización, el programa o programas pueden estar contenidos en una diversidad de medios legibles por ordenador transitorios. Los medios de almacenamiento legibles por ordenador ilustrativos incluyen, pero sin limitación: (i) medios de almacenamiento no escribibles (por ejemplo, dispositivos de memoria de solo lectura dentro de un ordenador, tales como discos CD-ROM legibles por una unidad de CD-ROM, chips ROM o cualquier tipo de memoria semiconductora no volátil de estado sólido) en los que la información se almacena permanentemente; y (ii) medios de almacenamiento escribibles (por ejemplo, memoria flash, discos flexibles dentro de una unidad de disquete o unidad de disco duro o cualquier tipo de memoria semiconductora de acceso aleatorio de estado sólido) en los que se almacena información modificable. El programa informático puede ejecutarse en el procesador 61 descrito en el presente documento.

[0168] La terminología usada en el presente documento es para el fin de describir realizaciones particulares únicamente y no se pretende que sea para limitar la invención. Como se usa en el presente documento, las formas singulares "un", "una" y "el", "la" se pretende que incluyan las formas plurales también, a menos que el contexto lo indique claramente lo contrario. Se entenderá adicionalmente que los términos "comprende" y/o "comprendiendo/que comprende", cuando se usan en esta memoria descriptiva, especifican la presencia de características indicadas, elementos integrantes, etapas, operaciones, elementos y/o componentes, pero no excluyen la presencia o adición de una o más otras características, elementos integrantes, etapas, operaciones, elementos, componentes y/o grupos de los mismos. Las estructuras, materiales, actos y equivalentes correspondientes de todos los elementos de medios o etapa más función en las reivindicaciones siguientes están destinados a incluir cualquier estructura, material o acto para realizar la función en combinación con otros elementos reivindicados como se reivindica específicamente. La descripción de realizaciones de la presente invención se ha presentado con fines ilustrativos, pero no pretende ser exhaustiva ni limitarse a las implementaciones en la forma divulgada. Muchas modificaciones y variaciones serán evidentes para los expertos en la materia sin apartarse del alcance de las reivindicaciones. Las realizaciones se eligieron y describieron para explicar mejor los principios y algunas aplicaciones prácticas de la presente invención, y para permitir que otros expertos en la materia entiendan la presente invención para diversas realizaciones con diversas modificaciones según resulten adecuadas para el uso particular contemplado.

Claims (16)

1. REIVINDICACIONES

1. Un dispositivo electrónico (UE1) configurado para comunicarse a través de una red local (LC1) con un sistema de soporte de autenticación (10) y a través de una red de telecomunicaciones con un sistema de telecomunicación por medio de un dispositivo de puerta de enlace (GW), en donde el dispositivo electrónico no tiene una suscripción para acceder a la red de telecomunicaciones y el dispositivo de puerta de enlace tiene una suscripción para acceder a la red de telecomunicaciones, incluyendo la suscripción un identificador de dispositivo de puerta de enlace (GDI) y al menos una credencial de dispositivo de puerta de enlace (GDC) asociada conocida en el sistema de telecomunicación, y en donde el identificador de dispositivo de puerta de enlace y la al menos una credencial de dispositivo de puerta de enlace asociada son obtenibles por el sistema de soporte de autenticación,

en donde el dispositivo electrónico está configurado para:

- proporcionar un identificador de dispositivo electrónico (EDI) a través de la red local al sistema de soporte de autenticación;

caracterizado por que el dispositivo electrónico está configurado, además, para:

- recibir a través de la red local, al menos:

i) un identificador de dispositivo derivado (DDI) obtenido del sistema de soporte de autenticación basándose en al menos el identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico;

ii) una credencial de dispositivo derivada (DDC) obtenida del sistema de soporte de autenticación basándose en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico;

- almacenar el identificador de dispositivo derivado y la credencial de dispositivo derivada en el dispositivo electrónico;

- incluir el identificador de dispositivo derivado recibido a través de la red local en una solicitud de acceso de red; - transmitir la solicitud de acceso de red que incluye el identificador de dispositivo derivado a través de la red de telecomunicaciones al sistema de telecomunicación;

- participar en un procedimiento de autenticación con el sistema de telecomunicación a través de la red de telecomunicaciones después de transmitir la solicitud de acceso de red y usar la credencial de dispositivo derivada en el procedimiento de autenticación con el sistema de telecomunicación.

2. Un sistema de soporte de autenticación (10) configurado para comunicarse a través de una red local (LCN1) con un dispositivo electrónico (UE1), en donde el dispositivo electrónico puede comunicarse con un sistema de telecomunicación a través de una red de telecomunicaciones por medio de un dispositivo de puerta de enlace (GW) y no tiene una suscripción para acceder a la red de telecomunicaciones, en donde el dispositivo de puerta de enlace tiene una suscripción para acceder a la red de telecomunicaciones, incluyendo la suscripción un identificador de dispositivo de puerta de enlace (GDI) y al menos una credencial de dispositivo de puerta de enlace (GDC) asociada conocida en el sistema de telecomunicación,

en donde el sistema de soporte de autenticación está configurado para:

- realizar una función de soporte de autenticación, para que el dispositivo electrónico acceda a la red de telecomunicaciones usando una solicitud de acceso de red,

caracterizado por que el sistema de soporte de autenticación está configurado, además, para:

- recibir un identificador de dispositivo electrónico (EDI) desde el dispositivo electrónico a través de la red local; - obtener el identificador de dispositivo de puerta de enlace y al menos una credencial de dispositivo de puerta de enlace asociada del dispositivo de puerta de enlace,

- realizar la función de soporte de autenticación para obtener al menos:

i) un identificador de dispositivo derivado (DDI) obtenido por la función de soporte de autenticación basándose en al menos el identificador de dispositivo de puerta de enlace y el identificador de dispositivo electrónico;

ii) una credencial de dispositivo derivada (DDC) obtenida por la función de soporte de autenticación basándose en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico;

- transmitir el identificador de dispositivo derivado y la credencial de dispositivo derivada a través de la red local al dispositivo electrónico.

3. Un sistema de telecomunicación para una red de telecomunicaciones que almacena una suscripción de un dispositivo de puerta de enlace (GW), incluyendo la suscripción un identificador de dispositivo de puerta de enlace (GDI) y al menos una credencial de dispositivo de puerta de enlace asociada (GDC), caracterizado por que el sistema de telecomunicación está configurado para:

- recibir una solicitud de acceso de red a través de la red de telecomunicaciones desde un dispositivo electrónico

(UE1) que no tiene una suscripción para acceder a la red de telecomunicaciones;

- reconocer un identificador de dispositivo derivado (DDI) en la solicitud de acceso de red, en donde el identificador de dispositivo derivado se obtiene basándose en al menos el identificador de dispositivo de puerta de enlace y un identificador de dispositivo electrónico (EDI) en un sistema de soporte de autenticación (10) que se comunica con el dispositivo electrónico a través de una red local (LCN1);

- determinar la credencial de dispositivo de puerta de enlace usando al menos el identificador de dispositivo derivado y el identificador de dispositivo de puerta de enlace;

- obtener una credencial de dispositivo derivada (DDC) para el dispositivo electrónico basándose en al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico;

- participar en un procedimiento de autenticación con el dispositivo electrónico a través de la red de telecomunicaciones después de recibir la solicitud de acceso de red y usar la credencial de dispositivo derivada en el procedimiento de autenticación con el dispositivo electrónico.

4. Un sistema que comprende al menos dos del dispositivo electrónico de acuerdo con la reivindicación 1, el sistema de soporte de autenticación de acuerdo con la reivindicación 2 y el sistema de telecomunicación de acuerdo con la reivindicación 3.

5. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de acuerdo con una de las reivindicaciones 2 a 4, en donde el identificador de dispositivo derivado se basa en al menos el identificador de dispositivo de puerta de enlace, el identificador de dispositivo electrónico y un valor modificable adicional y/o la credencial de dispositivo derivada se basa en al menos la credencial de dispositivo de puerta de enlace, el identificador de dispositivo electrónico y el valor modificable adicional.

6. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de acuerdo con una de las reivindicaciones 2 a 4, en donde un parámetro de validez es indicativo de una validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada, en donde, opcionalmente, al menos uno de los siguientes se aplica para el parámetro de validez:

- el dispositivo electrónico está configurado para proporcionar el parámetro de validez al sistema de telecomunicación a través de la red de telecomunicaciones en forma protegida;

- el sistema de soporte de autenticación está configurado para transmitir el parámetro de validez al dispositivo electrónico y el dispositivo electrónico está configurado para recibir y procesar el parámetro de validez desde el sistema de soporte de autenticación;

- el dispositivo electrónico está configurado para incluir el parámetro de validez en la solicitud de acceso de red a la red de telecomunicaciones y el sistema de telecomunicación está configurado para recibir y procesar el parámetro de validez;

- el dispositivo electrónico y/o el sistema de soporte de autenticación están configurados para proporcionar el parámetro de validez a la red de telecomunicaciones después de la transmisión de la solicitud de acceso de red desde el dispositivo electrónico;

- el sistema de telecomunicación está configurado para rechazar la solicitud de acceso de red basándose en el parámetro de validez.

7. El dispositivo electrónico de acuerdo con la reivindicación 1 y la reivindicación 6 o el sistema de acuerdo con una de las reivindicaciones 2 a 4 y la reivindicación 6 en donde, el parámetro de validez es un parámetro de tiempo de validez indicativo de un tiempo de validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada.

8. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de acuerdo con una de las reivindicaciones 2 a 4, en donde:

- el sistema de soporte de autenticación está configurado para cifrar al menos parcialmente el identificador de dispositivo derivado y/o la credencial de dispositivo derivada y, opcionalmente, prealmacenar el identificador de dispositivo derivado al menos parcialmente cifrado y/o la credencial de dispositivo derivada y transmitir el identificador de dispositivo derivado al menos parcialmente cifrado y/o la credencial de dispositivo derivada al menos parcialmente cifrada a través de la red local al dispositivo electrónico;

- el dispositivo electrónico está configurado para recibir la credencial de dispositivo derivada al menos parcialmente cifrada y/o la credencial de dispositivo derivada al menos parcialmente cifrada a través de la red local desde el sistema de soporte de autenticación y para incluir el identificador de dispositivo derivado al menos parcialmente cifrado en la solicitud de acceso de red;

- el sistema de telecomunicación está configurado para descifrar el identificador de dispositivo derivado al menos parcialmente cifrado en la solicitud de acceso de red y procesar el identificador de dispositivo derivado descifrado.

9. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de soporte de autenticación de acuerdo con la reivindicación 2, en donde

- el dispositivo electrónico está configurado para proporcionar el identificador de dispositivo electrónico al sistema

de soporte de autenticación de una manera segura a través de la red local;

- el sistema de soporte de autenticación está configurado para recibir el identificador de dispositivo electrónico del dispositivo electrónico de una manera segura a través de la red local.

10. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de soporte de autenticación de acuerdo con la reivindicación 2, en donde el identificador de dispositivo electrónico es un identificador de red local, tal como una dirección de MAC, del dispositivo electrónico.

11. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de soporte de autenticación de acuerdo con la reivindicación 2, en donde

- el sistema de soporte de autenticación está alojado en el dispositivo de puerta de enlace; o

- el sistema de soporte de autenticación está configurado para obtener el identificador de dispositivo de puerta de enlace y la al menos una credencial de dispositivo de puerta de enlace asociada a través de la red local.

12. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de telecomunicación de acuerdo con la reivindicación 3, en donde

- el dispositivo electrónico está configurado para construir la solicitud de acceso de red para permitir que el sistema de telecomunicación reconozca el identificador de dispositivo derivado en la solicitud de acceso de red;

- el sistema de telecomunicación está configurado para reconocer el identificador de dispositivo derivado en la solicitud de acceso de red recibida.

13. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de telecomunicación de acuerdo con la reivindicación 3, en donde

- el dispositivo electrónico está configurado para participar en un procedimiento de reautenticación con el sistema de telecomunicación usando la credencial de dispositivo derivada;

- el sistema de telecomunicación está configurado para participar en un procedimiento de reautenticación con el dispositivo electrónico usando la credencial de dispositivo derivada, y en donde, opcionalmente, el sistema de telecomunicación está configurado para recalcular la credencial de dispositivo derivada para el procedimiento de reautenticación basándose en el identificador de dispositivo derivado recibido.

14. El dispositivo electrónico de acuerdo con la reivindicación 1 o el sistema de telecomunicación de acuerdo con la reivindicación 3, en donde la red de telecomunicaciones es una red de telecomunicaciones de 5G y en donde se aplica al menos uno de lo siguiente:

- el identificador de dispositivo de puerta de enlace es un identificador permanente de suscripción, SUPI;

- la solicitud de acceso de red es una solicitud de registro desde el dispositivo electrónico a un sistema que ejecuta una función de gestión de acceso y movilidad, AMF, en la red de telecomunicaciones de 5G;

- el identificador de dispositivo derivado tiene un formato de SUPI o un formato de SUPI oculto, SUCI, en donde, opcionalmente, un campo de tipo de formato de SUPI señaliza la presencia de un identificador de dispositivo derivado.

- el identificador de dispositivo derivado está parcialmente cifrado en un formato de SUPI oculto, SUCI.

15. El sistema de soporte de autenticación de acuerdo con la reivindicación 2 o el sistema de telecomunicación de acuerdo con la reivindicación 3, en donde;

- el sistema de soporte de autenticación está configurado para almacenar al menos uno del identificador de dispositivo derivado, la credencial de dispositivo derivada y un parámetro de tiempo de validez indicativo de un tiempo de validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada, y en donde, el sistema de soporte de autenticación está configurado para proporcionar al menos uno del identificador de dispositivo derivado almacenado, la credencial de dispositivo derivada y el parámetro de tiempo de validez al sistema de telecomunicación en un procedimiento separado del procedimiento de autenticación; - el sistema de telecomunicación está configurado para obtener al menos uno del identificador de dispositivo derivado almacenado, la credencial de dispositivo derivada y un parámetro de tiempo de validez indicativo de un tiempo de validez de al menos uno del identificador de dispositivo derivado y la credencial de dispositivo derivada del sistema de soporte de autenticación en un procedimiento separado del procedimiento de autenticación.

16. El sistema de soporte de autenticación de acuerdo con la reivindicación 2 o el sistema de telecomunicación de acuerdo con la reivindicación 3, en donde

- el sistema de soporte de autenticación está configurado para realizar la función de soporte de autenticación ejecutando una función unidireccional para obtener la credencial de dispositivo derivada a partir de al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico;

- el sistema de telecomunicación está configurado para ejecutar una función unidireccional para obtener la credencial

de dispositivo derivada a partir de al menos la credencial de dispositivo de puerta de enlace y el identificador de dispositivo electrónico.