JP4647689B2 - 通信システムにおける認証システム及びその方法 - Google Patents

通信システムにおける認証システム及びその方法 Download PDF

Info

Publication number
JP4647689B2
JP4647689B2 JP2008519176A JP2008519176A JP4647689B2 JP 4647689 B2 JP4647689 B2 JP 4647689B2 JP 2008519176 A JP2008519176 A JP 2008519176A JP 2008519176 A JP2008519176 A JP 2008519176A JP 4647689 B2 JP4647689 B2 JP 4647689B2
Authority
JP
Japan
Prior art keywords
pmk
eap
authentication
base station
mobile terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2008519176A
Other languages
English (en)
Other versions
JP2008547350A (ja
Inventor
イ、ジ‐チョル
ソン、ジン‐ヒュ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Samsung Electronics Co Ltd
Original Assignee
Samsung Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Samsung Electronics Co Ltd filed Critical Samsung Electronics Co Ltd
Publication of JP2008547350A publication Critical patent/JP2008547350A/ja
Application granted granted Critical
Publication of JP4647689B2 publication Critical patent/JP4647689B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/061—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying further key derivation, e.g. deriving traffic keys from a pair-wise master key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

本発明は、通信システムに関し、特に通信システムにおける認証システム及びその方法に関する。
多様な水準のサービス品質（Quality of Service；以下、‘ＱｏＳ’と称する）を有するサービスをユーザに提供するための通信システムの開発が進行している。無線近距離通信ネットワーク（Wireless Local Area Network；以下、‘ＷＬＡＮ’と称する）及び無線都市地域ネットワーク（Wireless Metropolitan Area Network；以下、‘ＷＭＡＮ’と称する）のような広帯域無線接続（ＢＷＡ）通信システムに移動性（mobility）とサービス品質（ＱｏＳ：Quality of Service）とを保証することで、高速サービスを支援するようにする研究が活発に進行されており、その主要システムがIEEE（Institute of Electrical and Electronics Engineers）802.16a/d通信システム及びIEEE 802.16e通信システムである。
図１を参照して認証動作、特に一般的なIEEE 802.16e通信システムにおける二重拡張可能認証プロトコル（twice Extensible Authentication Protocol；以下、‘二重ＥＡＰ’と称する）方式を使用して認証する動作について説明する。以下、説明の便宜のために、二重ＥＡＰ方式を‘EAP-in-EAP方式’と称し、EAP-in-EAP方式を使用する動作モード（mode）を‘EAP-in-EAPモード’と称する。
図１は、一般的なIEEE 802.16e通信システムにおけるEAP-in-EAP認証に対する信号の流れを示す信号流れ図である。
図１を参照すると、IEEE 802.16e通信システムは、移動端末機（Mobile Station；以下、‘ＭＳ’と称する）ＭＳ１００と、基地局（ＢＳ：Base Station）１４０と、権限・認証・アカウンティング（Authorization、Authentication and Accounting；以下、‘ＡＡＡ’と称する）サーバー１８０を含む。IEEE 802.16e通信システムにおいては、EAP-in-EAP方式を使用するので、２回のＥＡＰ方式に従う認証が遂行される。以下、説明の便宜のため、ＥＡＰ方式に基づいた認証を‘ＥＡＰ認証’と称する。上記２回のＥＡＰ認証のうち、第１のＥＡＰ認証１２０は機器認証であり、第２のＥＡＰ認証１６０は第１のＥＡＰ認証が成功した後のユーザ認証である。
まず、基地局１４０は、機器認証を必要とする時点で、ＭＳ１００にＥＡＰ認証を要求するEAP-要求（Request）／識別（Identity）（以下、‘EAP-REQUEST/IDENTITY’と称する）メッセージを送信する。ここで、IEEE 802.16e通信システムでは、ＭＳ１００と基地局１４０との間に秘話キー管理（Privacy Key Management；以下、‘ＰＫＭ’と称する）_ＥＡＰ_トランスファー（transfer）（以下、‘PKM_EAP_TRANSFER’と称する）メッセージを使用してＥＡＰ方式によるメッセージが交換されるので、基地局１４０はＭＳ１００へPKM_EAP/EAP-REQUEST/IDENTITYメッセージを送信する（ステップＳ１０１）。ＭＳ１００は、PKM_EAP/EAP-応答(RESPONSE)/IDENTITY（以下、‘PKM_EAP/EAP-RESPONSE/IDENTITY’と称する）メッセージを送信することにより応答する（ステップＳ１０３）。
基地局１４０は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージをＡＡＡサーバー１８０にフォワーディング（forwarding）する。ここで、基地局１４０とＡＡＡサーバー１８０との間にRADIUS（Remote Authentication Dial-In User Service）プロトコルメッセージ、あるいはDIAMETERプロトコルメッセージを使用してＥＡＰ方式に従うメッセージが交換される。図１に例示された場合において、基地局１４０とＡＡＡサーバー１８０との間にRADIUSプロトコルメッセージが使われる。したがって、基地局１４０はRADIUSアクセス要求（Request）／識別（Identity）（以下、‘RADIUS ACCESS REQUEST/IDENTITY’と称する）メッセージをＡＡＡサーバー１８０へ送信する（ステップＳ１０５）。
ＡＡＡサーバー１８０は、ＥＡＰ−ＴＬＳ（Transport Level Security）方式、ＥＡＰ−ＴＬＳＰＳＫ（Transport Level Security Pre-Shared Key）方式、ＥＡＰ−ＡＫＡ（Authentication and Key Agreement）方式、及びＥＡＰ−ＰＳＫ方式などを使用して上記ＰＫＭ_ＥＡＰメッセージを認証して、ＭＳ１００に対する機器認証を遂行する（ステップＳ１０７）。上記機器認証の結果、ＡＡＡサーバー１８０とＭＳ１００は、マスターセッションキー（Master Session Key；以下、‘ＭＳＫ’と称する）を共有することになる（ステップＳ１０９、ステップＳ１１１）。
以後、ＡＡＡサーバー１８０は、基地局１４０へＥＡＰ成功（EAP-SUCCESS；以下、‘EAP-SUCCESS’と称する）メッセージとしてRADIUS許可（以下、‘RADIUS ACCEPT’と称する）メッセージを送信する（ステップＳ１１３）。RADIUS ACCEPTメッセージは、ＭＳＫを含む。基地局１４０は、ＭＳ１００へＥＡＰ認証に成功したことを知らせるPKM_EAP/EAP-SUCCESSメッセージを送信する（ステップＳ１１５）。
機器認証１２０の遂行の間に、ＭＳ１００及び基地局１４０は、ＭＳＫからＥＡＰ無欠キー（EAP Integrity Key；以下、‘ＥＩＫ’と称する）とＰＭＫを生成する（ステップＳ１１７、ステップＳ１１９）。ここで、機器認証１２０で生成されたＥＩＫは、第２のＥＡＰ認証であるユーザ認証１６０の際、送信されるＥＡＰメッセージを保護するために使われる。
ユーザ認証１６０を遂行する間に、基地局１４０は、ユーザ認証が必要とされる場合には、ＭＳ１００へPKM_EAP/EAP-REQUEST/IDENTITYメッセージを送信する（ステップＳ１６１）。ＭＳ１００は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージを基地局１４０へ送信することにより応答する（ステップＳ１６３）。
基地局１４０は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージをRADIUS ACCESS REQUEST/IDENTITYメッセージ形態に変換して、ＡＡＡサーバー１８０へ送信する（ステップＳ１６５）。
ＡＡＡサーバー１８０は、ＥＡＰ−ＭＤ５（Message-Digest 5）方式、または、ＥＡＰ−ＭＳＣＨＡＰｖ２（Microsoft Challenge Authentication Protocol version 2）方式を使用してＰＫＭ_ＥＡＰメッセージを認証することで、ＭＳ１００に対するユーザ認証を遂行する（ステップＳ１６７）。機器認証１２０と異なり、ユーザ認証を完了しても追加的にＭＳＫが生成されない。一方、RADIUS ACCEPTメッセージを受信した場合（ステップＳ１６９）には、基地局１４０は、ＭＳ１００へPKM_EAP/EAP-SUCCESSメッセージを送信する（ステップＳ１７１）。すると、ＭＳ１００及び基地局１４０は、ＰＭＫを用いて権限キー（Authorization Key；以下、‘ＡＫ’と称する）を生成する（ステップＳ１７３、及び、ステップＳ１７５）。ＰＭＫを用いたＡＫの生成については下記の図２の説明で詳しく後述する。
前述したように、IEEE 802.16e通信システムにおけるEAP-in-EAP認証において、ＭＳＫは第１のＥＡＰ認証でのみ生成される。
図２は、一般的なIEEE 802.16e通信システムにおけるＡＫの生成過程を示すフローチャートである。
この動作は、ＭＳ及び基地局の各々で遂行される動作であり、以下、基地局の説明に関連してＡＫの生成を説明することにする。
図２を参照すると、まず、ステップＳ２１１で、基地局はＡＡＡサーバーから第１のＥＡＰ認証、即ち、機器認証を通じて生成されたＭＳＫを受信する。ステップＳ２１３で、基地局はＭＳＫを用いてＥＩＫとＰＭＫを生成する。詳しくは、基地局はＭＳＫを除去（truncation）して予め設定された数のビット、一例として、１６０ビットのＥＩＫと１６０ビットのＰＭＫを用いてＥＩＫとＰＭＫを生成する。
ステップＳ２１５で、基地局はＰＭＫを所定の関数に適用してＡＫを生成する。具体的には、基地局は、一例として、Dot16KDF関数にＰＭＫを適用する。Dot16KDF関数は下記の数式１のように表すことができる。
Figure 0004647689
数式１において、ＳＳＩＤは、ＥＡＰ認証が遂行されるＭＳの識別子（ＩＤ）を表し、ＢＳＩＤは、基地局の識別子（ＩＤ）を表し、‘ＡＫ’はDot16KDF関数により生成されたＡＫであり、１６０はＡＫの長さが１６０ビットであることを表す。したがって、Dot16KDF関数は、ＰＭＫと、ＳＳＩＤとＢＳＩＤを連接（concatenation）したパラメータを使用して、長さ１６０ビットのＡＫを生成する。
図３は、一般的なIEEE 802.16e通信システムにおけるEAP-in-EAP認証に対し、SA-TEK 3ウェイハンドシェイク過程に対する信号の流れを示す信号流れ図である。
図３を参照すると、IEEE 802.16e通信システムは、ＭＳ３００、敵対的ＭＳ（以下、‘ＡＤＶ（adversary）’と称する）３２０、基地局３４０、及びＡＡＡサーバー３６０を含む。ＭＳ３００と基地局３４０とは、正常な機器／ユーザであり、ＡＤＶ３２０は、第１のＥＡＰ認証のための有効なキーを持っており、第２のＥＡＰの認証時にＭＳ３００からＥＡＰメッセージを傍受する敵対的機器／ユーザである。
ＭＳ３００、基地局３４０、及びＡＡＡサーバー３６０の間では、図１に例示された方法により、第１のＥＡＰ認証が遂行される（ステップＳ３１１）。したがって、ＭＳ３００と基地局３４０とは、ＥＩＫ（ＥＩＫＭＳ）とＰＭＫ（ＰＭＫＭＳ）とを獲得する（ステップＳ３１３、ステップＳ３１５）。
一方、ＡＤＶ３２０も、基地局３４０及びＡＡＡサーバー３６０とＥＡＰ認証を遂行する（ステップＳ３１７）。したがって、ＡＤＶ３２０と基地局３４０とは、ＥＩＫ（ＥＩＫＡＤＶ）とＰＭＫ（ＰＭＫＡＤＶ）とを獲得する（ステップＳ３１９、ステップＳ３２１）。
ユーザ認証を必要とする場合には、基地局３４０は、ＭＳ３００及びＡＤＶ３２０の全てにPKM_EAP/EAP-REQUEST/IDENTITYメッセージを送信する（ステップＳ３２３、ステップＳ３２５）。ＭＳ３００は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージを送信することにより応答する（ステップＳ３２７）。ＡＤＶ３２０は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージをモニタリングしてからコピーをした後、ＥＩＫＡＤＶを使用して、そのコピーしたメッセージを送信する（ステップＳ３２９）。
ＭＳ３００及びＡＤＶ３２０からPKM_EAP/EAP-RESPONSE/IDENTITYメッセージを受信すると、基地局３４０は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージをRADIUS REQUEST/IDENTITYメッセージの形態に変換してＡＡＡサーバー３６０へフォワーディングする（ステップＳ３３１、ステップＳ３３３）。
ＡＡＡサーバー３６０は、ＭＳ３００及びＡＤＶ３２０へ接続要求（ACCESS CHALLENGE；以下、‘ACCESS CHALLENGE’と称する）メッセージを送信する（ステップＳ３３５、ステップＳ３３７）。ACCESS CHALLENGEメッセージの各々は、接続要求のための認証パラメータであるCHALLENGEとSECRETEを含む。
ＭＳ３００は、ACCESS CHALLENGEメッセージに含まれているCHALLENGEとSECRETEを使用してパラメータVALUEを生成する。VALUEは、所定の関数、一例として下記の数式２に表すＭＤ５関数により生成される。
Figure 0004647689
ここで、ＩＤは、ＭＳ３００のＩＤを表す。
ＭＳ３００は、自分のＩＤとVALUEを含むPKM_EAP/EAP-RESPONSE/ RESPONSEメッセージを基地局３４０へ送信する（ステップＳ３４１）。しかしながら、ＡＤＶ３２０は、PKM_EAP/EAP-RESPONSE/RESPONSEメッセージを傍受してＥＩＫＡＤＶを使用してＡＤＶ３２０のＩＤとＭＳ３００が生成したVALUEを含むPKM_EAP/EAP-RESPONSE/RESPONSEメッセージを基地局３４０へ送信する（ステップＳ３４３）。
すると、基地局３４０は、ＡＤＶ３２０から受信したPKM_EAP/EAP-RESPONSE/ RESPONSEメッセージをRADIUS ACCESS REQUEST/RESPONSEメッセージの形態に変換してＡＡＡサーバー３６０へフォワーディングする（ステップＳ３４５）。
ＡＡＡサーバー３６０は、ＡＡＡサーバー３６０自身が有するＩＤとSECRETEとVALUEを使用して、ＡＤＶ３２０を認証する（ステップＳ３４７）。上記の認証に成功することによって、ＡＡＡサーバー３６０は、基地局３４０へＥＡＰ認証に成功したことを表すRADIUS ACCEPTメッセージを送信する（ステップＳ３４９）。すると、ＡＤＶ３２０、基地局３４０、及び、ＡＡＡサーバー３６０の間には、SA-TEK 3ウェイハンドシェイクが遂行され、ＡＤＶ３２０は、ＥＡＰ認証に成功する（ステップＳ３５１）。正常な機器／ユーザのＡＫを傍受してＥＡＰ認証を遂行する機器／ユーザの上記の現象を、中間者攻撃（Man-in-the-middle-Attack）という。
前述したように、EAP-in-EAP認証において、一般的なIEEE 802.16e通信システムでは、第１のＥＡＰ認証でのみＭＳＫを生成し、ＭＳＫから生成されたＰＭＫを用いてＡＫを生成するので、上記のような中間者攻撃が発生する。その結果、正常な機器／ユーザに正常なサービスを提供することが可能でないので、システムの全サービスの品質が低下する。したがって、中間者攻撃を除去できる新たな認証方法を開発する必要がある。
本発明の目的は、通信システムにおけるEAP-in-EAP認証システム及び方法を提供することにある。併せて、本発明の目的は、二重ＰＭＫを使用したEAP-in-EAP方式により認証を確実に実行するシステム及び方法を提供することにある。
前述した目的を達成するために本発明は、基地局と、権限・認証・アカウンティング（ＡＡＡ：Authorization、Authentication and Accounting）サーバーを通じてEAP-in-EAP方式により機器認証である第１のＥＡＰ認証を遂行して第１のマスターセッションキー（ＭＳＫ：Master Session Key）を獲得し、上記第１のＥＡＰ認証を遂行した後に、上記基地局と上記ＡＡＡサーバーを通じて上記EAP-in-EAP方式によりユーザ認証である第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する移動端末機（ＭＳ）と、上記移動端末機と上記基地局を通じて上記第１のＥＡＰ認証を遂行して上記第１のＭＳＫを獲得し、上記移動端末機と上記基地局を通じて上記第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する上記ＡＡＡサーバーと、上記移動端末機と上記ＡＡＡサーバーを通じて上記第１のＥＡＰ認証を遂行して上記第１のＭＳＫを獲得し、上記移動端末機とＡＡＡサーバーを通じて上記第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する上記基地局とを含むことを特徴とする。
前述した目的を達成するために本発明は、移動端末機と、基地局と、権限・認証・アカウンティング（ＡＡＡ：Authorization、Authentication and Accounting）サーバーを含む広帯域無線接続通信システムにおける拡張可能認証プロトコル（ＥＡＰ：Extensible Authentication Protocol）方式を使用して認証を遂行する方法であって、移動端末機と、基地局とＡＡＡサーバーは、EAP-in-EAP方式を使用して上記移動端末機に対する機器認証である第１のＥＡＰ認証を遂行して第１のマスターセッションキー（ＭＳＫ：Master Session Key）を獲得する過程と、上記第１のＥＡＰ認証を遂行した後に、上記移動端末機と上記基地局と上記ＡＡＡサーバーは、上記EAP-in-EAP方式を使用して上記移動端末機に対するユーザ認証である第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する過程とを含むことを特徴とする。
本発明によると、二重ＰＭＫ、即ちＰＭＫとＰＭＫ２を使用して、ＡＫが生成されるので、IEEE 802.16e通信システムにおけるEAP-in-EAP方式を使用する認証信頼度を向上させることが可能である。また、中間者攻撃の除去により、結果的に全システムの性能を向上させる効果が得られる。
以下、添付した図面を参照しつつ本発明の実施形態を説明する。なお、本発明を説明するに当たり、関連のある公知の技術あるいは構成についての具体的な説明が本発明の要旨を余計に曖昧にする恐れのあると認められる場合には、その詳細な説明は省かれる。
本発明は、通信システム、一例としてIEEE（Institute of Electrical and Electronics Engineers） 802.16e通信システムにおける認証システム及びその方法を提案する。特に、本発明はEAP-in-EAP認証と呼ばれる二重拡張可能認証プロトコル（twice Extensible Authentication Protocol；以下、‘二重ＥＡＰ’と称する）方式を使用して認証するシステム及び方法を提案する。以下、EAP-in-EAP方式を使用する動作モードを‘EAP-in-EAPモード’と称する。本発明では便宜のため、IEEE 802.16e通信システムについて説明するが、本発明は他の通信システムにも適用できることは勿論である。
図４は、本発明の実施形態に従うIEEE 802.16e通信システムにおける二重ペアワイズマスターキー（Pairwise Master Key；以下、‘ＰＭＫ’と称する）を使用するEAP-in-EAP方式の認証に対する信号の流れを示す信号流れ図である。
図４を参照すると、IEEE 802.16e通信システムは、移動端末機（Mobile Station；以下、‘ＭＳ’と称する）４００と、基地局（ＢＳ：Base Station）４４０と、権限・認証・アカウンティング（Authorization、Authenticationand Accounting；以下、‘ＡＡＡ’と称する）サーバー４８０を含む。IEEE 802.16e通信システムでは、EAP-in-EAP方式を使用するので、２回の認証が遂行される。説明の便宜のため、ＥＡＰ方式を使用して遂行する認証を‘ＥＡＰ認証’と称する。２回のＥＡＰ認証のうち、第１のＥＡＰ認証４２０は、機器認証であり、第２のＥＡＰ認証４４０は、第１のＥＡＰ認証が成功した後のユーザ認証である。
機器認証４２０を必要とする場合には、基地局４４０は、ＭＳ４００へＥＡＰ−要求（Request）／識別（Identity）（以下、‘EAP-REQUEST/IDENTITY’と称する）メッセージを送信してＥＡＰ認証を要求する。IEEE 802.16e通信システムでは、ＭＳ４００と基地局４４０との間に秘話キー管理（Privacy Key Management；以下、‘ＰＫＭ’と称する）_ＥＡＰ_トランスファー（transfer）（以下、‘PKM_EAP_TRANSFER’と称する）を使用してＥＡＰ方式によるメッセージを送受信するので、基地局４４０はＭＳ４００へPKM_EAP/EAP-REQUEST/IDENTITYメッセージを送信する（ステップＳ４０１）。
すると、ＭＳ４００は、PKM_EAP/EAP-応答(RESPONSE)/IDENTITY（以下、‘PKM_EAP/EAP- RESPONSE/IDENTITY’と称する）メッセージを送信して応答する（ステップＳ４０３）。
基地局４４０は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージをＡＡＡサーバー４８０へフォワーディング（forwarding）する。基地局４４０とＡＡＡサーバー４８０との間にRADIUS（Remote Authentication Dial-In User Service）プロトコルメッセージ、あるいはDIAMETERプロトコルメッセージなどを使用して、ＥＡＰ方式によるメッセージを送受信する。図４では、基地局４４０とＡＡＡサーバー４８０との間にRADIUSプロトコルメッセージが使われる。したがって、基地局４４０は、RADIUSアクセス要求／識別（RADIUS ACCESS REQUEST/IDENTITY；以下、‘RADIUS ACCESS REQUEST/IDENTITY’と称する）メッセージをＡＡＡサーバー４８０へ送信する（ステップＳ４０５）。
ＡＡＡサーバー４８０は、ＥＡＰ−ＴＬＳ（Transport Level Security）方式、ＥＡＰ−ＴＬＳＰＳＫ（Transport Level Security Pre-Shared Key）方式、ＥＡＰ−ＡＫＡ（Authentication and Key Agreement）方式、またはＥＡＰ−ＰＳＫ方式などを使用してＰＫＭ_ＥＡＰメッセージを認証して、ＭＳ４００に対する機器認証を遂行する（ステップＳ４０７）。機器認証の結果、ＡＡＡサーバー４８０とＭＳ４００は、マスターセッションキー（Master Session Key；以下、‘ＭＳＫ’と称する）を共有することになる（ステップＳ４０９、ステップＳ４１１）。
ＡＡＡサーバー４８０は、基地局４４０へＥＡＰ成功（EAP-SUCCESS；以下、‘EAP-SUCCESS’と称する）メッセージであるRADIUS許可（以下、‘RADIUS ACCEPT’と称する）メッセージを送信する（ステップＳ４１３）。ここで、RADIUS ACCEPTメッセージはＭＳＫを含む。基地局４４０は、ＭＳ４００へ、ＥＡＰ認証に成功したことを表すPKM_EAP/EAP-SUCCESSメッセージを送信する（ステップＳ４１５）。基地局４４０は、ＭＳＫからＥＡＰ無欠キー（EAP Integrity Key；以下、‘ＥＩＫ’と称する）とＰＭＫとを生成する（ステップＳ４１７）。
生成されたＥＩＫは、第２のＥＡＰ認証であるユーザ認証４６０時に転送されるＥＡＰメッセージを保護するために使われる。
その後、機器認証４２０に次いで、ユーザ認証４６０が遂行される。
基地局４４０は、ユーザ認証が必要とされる場合には、ＭＳ４００へPKM_EAP/EAP-REQUEST/IDENTITYメッセージを送信する（ステップＳ４６１）。ＭＳ４００は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージで応答する（ステップＳ４６３）。
基地局４４０は、PKM_EAP/EAP-RESPONSE/IDENTITYメッセージをRADIUS ACCESS REQUEST/IDENTITYメッセージの形態に変換して、ＡＡＡサーバー４８０へ送信する（ステップＳ４６５）。
ＡＡＡサーバー４８０は、ＥＡＰ−ＴＬＳ方式、ＥＡＰ−ＲＬＳＰＳＫ方式、ＥＡＰ−ＡＫＡ方式、又はＥＡＰ−ＰＳＫ方式などを使用して、PKM_EAPメッセージを認証してＭＳ４００に対するユーザ認証を行なう（ステップＳ４６７）。こうして、ＭＳ４００のユーザ認証を完了することによって、ＡＡＡサーバー４８０とＭＳ４００とは第２のＭＳＫであるＭＳＫ２を共有することになる（ステップＳ４６９、ステップＳ４７１）。このように、本発明のEAP-in-EAP方式を使用して認証を遂行する場合には２つのＭＳＫ、即ち、第１のＥＡＰ認証である機器認証ではＭＳＫが、第２のＥＡＰ認証であるユーザ認証ではＭＳＫ２が各々生成される。
ＡＡＡサーバー４８０は、基地局４４０へ、ＥＡＰ認証に成功したことを表すRADIUS ACCEPTメッセージを送信する（ステップＳ４７３）。基地局４４０は、ＭＳ４００へPKM_EAP/EAP-SUCCESSメッセージを送信する（ステップＳ４７５）。ユーザ認証４６０を通じて、基地局４４０は、ＭＳＫ２から第２のＰＭＫ（すなわち、ＰＭＫ２）を生成し、ＰＭＫとＰＭＫ２とを使用して権限キー（Authorization Key；以下、‘ＡＫ’と称する）を生成する（ステップＳ４７７）。ＭＳ４００及び基地局４４０が、ＰＭＫとＰＭＫ２とから、ＡＫを生成する動作については、下記の図５の説明で詳しく後述するので、ここでは、その詳細な説明を省略する。
図５は、本発明に従うIEEE 802.16e通信システムにおけるＡＫを生成する過程を示すフローチャートである。
この過程は、基地局での生成及びＭＳ全てで遂行され、ここでは、基地局がＡＫを生成する場合を説明することにする。
図５を参照すると、ステップＳ５１１で、基地局は、第１のＥＡＰ認証、即ち機器認証を通じてＭＳＫを獲得し、ステップＳ５１３で、一般にＭＳＫを使用してＥＩＫとＰＭＫとを生成する。具体的には、基地局は、ＭＳＫを除去（truncation）して所定のビット、一例としては、１６０ビットのＥＩＫと１６０ビットのＰＭＫで、ＥＩＫとＰＭＫとを生成する。
ステップＳ５１５で、基地局は、第２のＥＡＰ認証、即ちユーザ認証を通じて第２のＭＳＫ（すなわち、ＭＳＫ２）を獲得し、ステップＳ５１７で、第２のＰＭＫ（すなわち、ＰＭＫ２）、一例としては、ＭＳＫ２の除去により１６０ビットであるＰＭＫ２を生成する。
基地局は、ＰＭＫとＰＭＫ２をＡＫ生成関数に適用してＡＫを生成する。具体的には、基地局は、一例として、Dot16KDF関数にＰＭＫとＰＭＫ２とを適用する。Dot16KDF関数は、下記数式３または数式４のような関数で表すことができる。
Figure 0004647689
数式３において、ＳＳＩＤはＥＡＰ認証が遂行されるＭＳの識別子（ＩＤ）を表し、ＢＳＩＤは基地局の識別子（ＩＤ）を表し、‘ＡＫ’はDot16KDF関数により生成されるＡＫであることを表し、１６０はＡＫの長さが１６０ビットであることを表す。したがって、Dot16KDF関数は、ＰＭＫとＰＭＫ２との排他的論理和（ＸＯＲ）と、ＳＳＩＤとＢＳＩＤを連接（concatenation）したパラメータを使用して、１６０ビットのＡＫを生成する。
Figure 0004647689
数式４において、ＳＳＩＤは、ＥＡＰ認証が遂行されるＭＳの識別子（ＩＤ）を表し、ＢＳＩＤは基地局の識別子（ＩＤ）を表し、‘ＡＫ’は上記Dot16KDF関数により生成されるＡＫであることを表し、１６０はＡＫの長さが１６０ビットであることを表す。したがって、Dot16KDF関数は、ＰＭＫとＳＳＩＤ、ＢＳＩＤ及びＰＭＫ２を連接したパラメータを使用して、１６０ビットのＡＫを生成する。
前述したように、本発明の実施形態に従うIEEE 802.16e通信システムにおいて、二重ＰＭＫを使用するEAP-in-EAP方式を使用して認証を遂行する場合に、第１のＥＡＰ認証で生成されたＰＭＫと、第２の認証で生成されたＰＭＫ２を使用して、ＡＫが生成される。したがって、一般的なIEEE 802.16e通信システムで発生していた中間者攻撃の発生を除去することができる。
ここで、図６を参照して本発明の実施形態に従うIEEE 802.16e通信システムにおいて、EAP-in-EAP方式を使用して認証を遂行する場合について説明する。
図６は、本発明に従うIEEE 802.16e通信システムにおけるEAP-in-EAP方式を使用して認証を遂行するに当たって、SA-TEK 3ウェイハンドシェイク過程に対する信号の流れを示す信号流れ図である。
図６を参照すると、IEEE 802.16e通信システムは、ＭＳ６００、敵対的ＭＳ（以下、‘ＡＤＶ（adversary）’と称する）６２０、基地局６４０、及びＡＡＡサーバー６６０を含む。ＭＳ６００と基地局６４０は、正常な機器／ユーザであり、ＡＤＶ６２０は、第１のＥＡＰ認証のための有効なキーを有しており、第２のＥＡＰ認証時に、ＭＳ６００からのＥＡＰメッセージを傍受する敵対的機器／ユーザである。
ＭＳ６００、基地局６４０、及びＡＡＡサーバー６６０の間には、図４に例示された過程において、第１のＥＡＰ認証が遂行される（ステップＳ６１１）。ＭＳ６００と基地局６４０は、各々ＥＩＫ（ＥＩＫＭＳ）とＰＭＫ（ＰＭＫＭＳ）とを獲得する（ステップＳ６１３、ステップＳ６１５）。
一方、ＡＤＶ６２０も、基地局６４０とＡＡＡサーバー６６０との間に、ＥＡＰ認証を遂行する（ステップＳ６１７）。ＡＤＶ６２０と基地局６４０は、各々ＥＩＫ（ＥＩＫＭＳ）とＰＭＫ（ＰＭＫＭＳ）とを獲得する（ステップＳ６１９、ステップＳ６２１）。
第１のＥＡＰ認証の後、ＭＳ６００、基地局６４０、及びＡＡＡサーバー６６０の間には、図４に例示された過程において、第２のＥＡＰ認証が遂行される（ステップＳ６２３）。したがって、ＭＳ６００と基地局６４０は、第２のＥＡＰ認証を通じて各々更に他のＰＭＫ、ＰＭＫ２ＭＳを獲得する（ステップＳ６２５、ステップＳ６２７）。ＭＳ６００は、ＰＭＫＭＳとＰＭＫ２ＭＳを使用してＡＫを生成することができる。
したがって、ＭＳ６００と基地局６４０との間に、SA-TEK 3ウェイハンドシェイクが遂行される場合には、ＭＳ６００はＡＫを使用して、SA-TEK 3ウェイハンドシェイクに成功することになる（ステップＳ６２９）。
第１のＥＡＰ認証の後に、ＡＤＶ６２０、基地局６４０、及びＡＡＡサーバー６６０の間に、第２のＥＡＰ認証がさらに遂行される（ステップＳ６３１）。しかしながら、ＡＤＶ６２０は、敵対的機器／ユーザであるので、ＰＭＫ２を獲得することはできない（ステップＳ６３３）。その結果、ＡＤＶ６２０は、ＡＫを生成することができない。
したがって、ＡＤＶ６２０と基地局６４０との間に、SA-TEK 3ウェイハンドシェイクが遂行される場合には、ＡＤＶ６２０は、ＡＫを生成できないので、SA-TEK 3ウェイハンドシェイクに失敗することになる（ステップＳ６３５）。
以上、本発明の詳細な説明の欄においては具体的な実施形態について詳述したが、 本発明の範囲を逸脱しない限り、各種の変形が可能である。よって、本発明の範囲は上述の実施形態によって定まるものではなく、特許請求の範囲とその均等物によって定まるべきである。
一般的なIEEE 802.16e通信システムにおけるEAP-in-EAP認証に対する信号の流れを示す信号流れ図である。 一般的なIEEE 802.16e通信システムにおけるＡＫの生成動作を示すフローチャートである。 一般的なIEEE 802.16e通信システムにおけるEAP-in-EAP認証において、SA-TEK 3ウェイハンドシェイク過程に対する信号の流れを示す信号流れ図である。 本発明の実施形態に従うIEEE 802.16e通信システムにおける二重ＰＭＫを使用するEAP-in-EAP認証に対する信号の流れを示す信号流れ図である。 本発明の実施形態に従うIEEE 802.16e通信システムにおけるＡＫを生成する過程を示すフローチャートである。 本発明の実施形態に従うIEEE 802.16e通信システムにおけるEAP-in-EAP認証において、SA-TEK 3ウェイハンドシェイク過程に対する信号の流れを示す信号流れ図である。

Claims (18)

  1. 通信システムにおける認証方法であって、
    移動端末機と、基地局と、権限・認証・アカウンティング（ＡＡＡ）サーバーは、二重拡張可能認証プロトコル（EAP-in-EAP）方式を使用して、前記移動端末機に対する機器認証である第１のＥＡＰ認証を遂行して、第１のマスターセッションキー（ＭＳＫ）を獲得する過程と、
    前記第１のＥＡＰ認証を遂行した後に、前記移動端末機と、前記基地局と、前記ＡＡＡサーバーは、前記EAP-in-EAP方式を使用して、前記移動端末機に対するユーザ認証である第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する過程と、
    を含むことを特徴とする通信システムにおける認証方法。
  2. 前記移動端末機と前記基地局は、前記第１のＭＳＫと前記第２のＭＳＫとを使用して権限キー（ＡＫ）を生成する過程をさらに含むことを特徴とする請求項１記載の通信システムにおける認証方法。
  3. 前記ＡＫを生成する過程は、
    前記第１のＭＳＫを使用して第１のペアワイズマスターキー（ＰＭＫ）を生成する過程と、
    前記第２のＭＳＫを使用して第２のＰＭＫを生成する過程と、
    前記第１のＰＭＫと前記第２のＰＭＫとを使用して前記ＡＫを生成する過程と、
    を含むことを特徴とする請求項２記載の通信システムにおける認証方法。
  4. 前記第１のＰＭＫを生成する過程は、前記第１のＭＳＫを除去して前記第１のＰＭＫを生成する過程を含むことを特徴とする請求項３記載の通信システムにおける認証方法。
  5. 前記第２のＰＭＫを生成する過程は、前記第２のＭＳＫを除去する過程を含むことを特徴とする請求項４記載の通信システムにおける認証方法。
  6. 前記第１のＰＭＫと前記第２のＰＭＫとを使用して前記ＡＫを生成する過程は、前記第１のＰＭＫと前記第２のＰＭＫとの排他的論理和（ＸＯＲ）並びに前記移動端末機の識別子及び前記基地局の識別子の連接を使用して、前記ＡＫを生成する過程を含むことを特徴とする請求項５記載の通信システムにおける認証方法。
  7. 前記第１のＰＭＫと前記第２のＰＭＫとを使用して前記ＡＫを生成する過程は、前記第１のＰＭＫと第２のＰＭＫとを数式５に適用して、前記ＡＫを生成する過程を含むことを特徴とする請求項５記載の通信システムにおける認証方法。
    Figure 0004647689
     但し、前記数式５において、Dot16KDFは、前記ＡＫを生成する関数を表し、ＰＭＫは、前記第１のＰＭＫを表し、ＰＭＫ２は、前記第２のＰＭＫを表し、ＳＳＩＤは、前記移動端末機の識別子を表し、ＢＳＩＤは、前記基地局の識別子を表し、‘ＡＫ’は、前記Dot16KDF関数により生成されるＡＫであることを表し、１６０は、前記ＡＫの長さが１６０ビットであることを表す。
  8. 前記第１のＰＭＫと第２のＰＭＫとを使用して前記ＡＫを生成する過程は、前記第１のＰＭＫ並びに前記移動端末機の識別子、前記基地局の識別子及び前記第２のＰＭＫの連接を使用して前記ＡＫを生成する過程を含むことを特徴とする請求項５記載の通信システムにおける認証方法。
  9. 前記第１のＰＭＫと前記第２のＰＭＫとを使用して前記ＡＫを生成する過程は、前記第１のＰＭＫと前記第２のＰＭＫを数式６に適用して前記ＡＫを生成する過程を含むことを特徴とする請求項５記載の通信システムにおける認証方法。
    Figure 0004647689
     但し、数式６において、Dot16KDFは、ＡＫを生成する関数を表し、ＰＭＫは、前記第１のＰＭＫを表し、ＰＭＫ２は、前記第２のＰＭＫを表し、ＳＳＩＤは、前記移動端末機の識別子を表し、ＢＳＩＤは、前記基地局の識別子を表し、‘ＡＫ’は前記Dot16KDF関数により生成されるＡＫであることを表し、１６０は、前記ＡＫの長さが１６０ビットであることを表す。
  10. 通信システムにおける認証システムであって、
    基地局と、権限・認証・アカウンティング（ＡＡＡ）サーバーとを通じてEAP-in-EAP方式を使用して機器認証である第１の拡張可能認証プロトコル（ＥＡＰ）認証を遂行して第１のマスターセッションキー（ＭＳＫ）を獲得し、前記第１のＥＡＰ認証を遂行した後に、前記基地局と前記ＡＡＡサーバーを通じてEAP-in-EAP方式を使用してユーザ認証である第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する移動端末機と、
    前記移動端末機と前記基地局を通じて前記第１のＥＡＰ認証を遂行して前記第１のＭＳＫを獲得し、前記移動端末機と前記基地局を通じて前記第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する前記ＡＡＡサーバーと、
    前記移動端末機と前記ＡＡＡサーバーを通じて前記第１のＥＡＰ認証を遂行して前記第１のＭＳＫを獲得し、前記移動端末機と前記ＡＡＡサーバーを通じて前記第２のＥＡＰ認証を遂行して第２のＭＳＫを獲得する前記基地局と、
    を含むことを特徴とする通信システムにおける認証システム。
  11. 前記移動端末機と前記基地局とは、前記第１のＭＳＫと前記第２のＭＳＫとを使用して権限キー（ＡＫ）を生成することを特徴とする請求項１０記載の通信システムにおける認証システム。
  12. 前記移動端末機と前記基地局とは、前記第１のＭＳＫを使用して第１のペアワイズマスターキー（ＰＭＫ）を生成し、前記第２のＭＳＫを使用して第２のＰＭＫを生成し、前記第１のＰＭＫと前記第２のＰＭＫとを使用して前記ＡＫを生成することを特徴とする請求項１１記載の通信システムにおける認証システム。
  13. 前記移動端末機と前記基地局とは、前記第１のＭＳＫを除去して前記第１のＰＭＫを生成することを特徴とする請求項１２記載の通信システムにおける認証システム。
  14. 前記移動端末機と前記基地局とは、前記第２のＭＳＫを除去して前記第２のＰＭＫを生成することを特徴とする請求項１３記載の通信システムにおける認証システム。
  15. 前記移動端末機と前記基地局とは、前記第１のＰＭＫ及び第２のＰＭＫの排他的論理和（ＸＯＲ）並びに前記移動端末機の識別子及び前記基地局の識別子の連接を使用して前記ＡＫを生成することを特徴とする請求項１４記載の通信システムにおける認証システム。
  16. 前記移動端末機と前記基地局とは、前記第１のＰＭＫと前記第２のＰＭＫとを数式７に適用して前記ＡＫを生成することを特徴とする請求項１４記載の通信システムにおける認証システム。
    Figure 0004647689
     但し、数式７において、Dot16KDFは、ＡＫを生成する関数を表し、ＰＭＫは、前記第１のＰＭＫを表し、ＰＭＫ２は、前記第２のＰＭＫを表し、ＳＳＩＤは、前記移動端末機の識別子を表し、ＢＳＩＤは、前記基地局の識別子を表し、‘ＡＫ’は、前記Dot16KDF関数により生成されるＡＫであることを表し、１６０は、前記ＡＫの長さが１６０ビットであることを表す。
  17. 前記移動端末機と前記基地局とは、前記第１のＰＭＫ並びに前記移動端末機の識別子、前記基地局の識別子及び前記第２のＰＭＫの連接を使用して前記ＡＫを生成することを特徴とする請求項１４記載の通信システムにおける認証システム。
  18. 前記移動端末機と前記基地局は、前記第１のＰＭＫと前記第２のＰＭＫを数式８に適用して前記ＡＫを生成することを特徴とする請求項１４記載の通信システムにおける認証システム。
    Figure 0004647689
     但し、数式８において、Dot16KDFは、前記ＡＫを生成する関数を表し、ＰＭＫは、前記第１のＰＭＫを表し、ＰＭＫ２は、前記第２のＰＭＫを表し、ＳＳＩＤは、前記移動端末機の識別子を表し、ＢＳＩＤは、前記基地局の識別子を表し、‘ＡＫ’は前記Dot16KDF関数により生成されるＡＫであることを表し、１６０は前記ＡＫの長さが１６０ビットであることを表す。
JP2008519176A 2005-07-02 2006-06-30 通信システムにおける認証システム及びその方法 Expired - Fee Related JP4647689B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20050059495A KR100770928B1 (ko) 2005-07-02 2005-07-02 통신 시스템에서 인증 시스템 및 방법
PCT/KR2006/002571 WO2007004824A1 (en) 2005-07-02 2006-06-30 Authentication system and method thereof in a communication system

Publications (2)

Publication Number Publication Date
JP2008547350A JP2008547350A (ja) 2008-12-25
JP4647689B2 true JP4647689B2 (ja) 2011-03-09

Family

ID=36763186

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008519176A Expired - Fee Related JP4647689B2 (ja) 2005-07-02 2006-06-30 通信システムにおける認証システム及びその方法

Country Status (10)

Country Link
US (1) US7724904B2 (ja)
EP (1) EP1739903B1 (ja)
JP (1) JP4647689B2 (ja)
KR (1) KR100770928B1 (ja)
CN (1) CN101208901B (ja)
AU (1) AU2006266651B2 (ja)
BR (1) BRPI0612566B1 (ja)
CA (1) CA2608261C (ja)
RU (1) RU2367098C1 (ja)
WO (1) WO2007004824A1 (ja)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090063851A1 (en) * 2006-03-20 2009-03-05 Nijdam Mark J Establishing communications
EP1865656A1 (en) * 2006-06-08 2007-12-12 BRITISH TELECOMMUNICATIONS public limited company Provision of secure communications connection using third party authentication
DE102006038592B4 (de) * 2006-08-17 2008-07-03 Siemens Ag Verfahren und Anordnung zum Bereitstellen eines drahtlosen Mesh-Netzwerks
FI121560B (fi) * 2006-11-20 2010-12-31 Teliasonera Ab Todentaminen matkaviestintäyhteistoimintajärjestelmässä
KR101002799B1 (ko) 2007-03-21 2010-12-21 삼성전자주식회사 이동통신 네트워크 및 상기 이동통신 네트워크에서 이동 노드의 인증을 수행하는 방법 및 장치
US8145905B2 (en) 2007-05-07 2012-03-27 Qualcomm Incorporated Method and apparatus for efficient support for multiple authentications
US8335490B2 (en) * 2007-08-24 2012-12-18 Futurewei Technologies, Inc. Roaming Wi-Fi access in fixed network architectures
US8509440B2 (en) * 2007-08-24 2013-08-13 Futurwei Technologies, Inc. PANA for roaming Wi-Fi access in fixed network architectures
US7941663B2 (en) * 2007-10-23 2011-05-10 Futurewei Technologies, Inc. Authentication of 6LoWPAN nodes using EAP-GPSK
CN101471773B (zh) * 2007-12-27 2011-01-19 华为技术有限公司 一种网络服务的协商方法和系统
US9246679B2 (en) * 2007-12-28 2016-01-26 Intel Corporation Apparatus and method for negotiating pairwise master key for securing peer links in wireless mesh networks
CN101827361B (zh) * 2008-11-03 2012-10-17 华为技术有限公司 身份认证方法、可信任环境单元及家庭基站
US8443431B2 (en) * 2009-10-30 2013-05-14 Alcatel Lucent Authenticator relocation method for WiMAX system
EP2540057A2 (en) * 2010-02-26 2013-01-02 General instrument Corporation Dynamic cryptographic subscriber-device identity binding for subscriber mobility
CN102196438A (zh) 2010-03-16 2011-09-21 高通股份有限公司 通信终端标识号管理的方法和装置
US9385862B2 (en) * 2010-06-16 2016-07-05 Qualcomm Incorporated Method and apparatus for binding subscriber authentication and device authentication in communication systems
US8839373B2 (en) 2010-06-18 2014-09-16 Qualcomm Incorporated Method and apparatus for relay node management and authorization
US9112905B2 (en) 2010-10-22 2015-08-18 Qualcomm Incorporated Authentication of access terminal identities in roaming networks
US9668128B2 (en) 2011-03-09 2017-05-30 Qualcomm Incorporated Method for authentication of a remote station using a secure element
US9801099B2 (en) * 2013-05-15 2017-10-24 Blackberry Limited Method and system for use of cellular infrastructure to manage small cell access
KR101861216B1 (ko) 2013-09-16 2018-05-28 콘비다 와이어리스, 엘엘씨 Eap/다이어미터를 통한 와이파이 qos의 이동 네트워크 운영자(mno) 제어
CN106162635A (zh) * 2015-04-01 2016-11-23 北京佰才邦技术有限公司 用户设备的认证方法和装置
NO340973B1 (en) 2015-12-22 2017-07-31 Aker Solutions As Subsea methane hydrate production
US10791093B2 (en) * 2016-04-29 2020-09-29 Avago Technologies International Sales Pte. Limited Home network traffic isolation
US20190372973A1 (en) * 2018-05-30 2019-12-05 Cisco Technology, Inc. Device onboarding with automatic ipsk provisioning in wireless networks
CN111404666B (zh) * 2019-01-02 2024-07-05 中国移动通信有限公司研究院 一种密钥生成方法、终端设备及网络设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005530277A (ja) * 2002-06-20 2005-10-06 クゥアルコム・インコーポレイテッド 通信システムにおけるキー発生方法及び装置
JP2008541590A (ja) * 2005-05-09 2008-11-20 スパイダー ナビゲイションズ エルエルシー 通信システムにおける証明を分配するための方法
JP2008545337A (ja) * 2005-06-30 2008-12-11 ルーセント テクノロジーズ インコーポレーテッド 無線通信システムにおけるハンドオフ中にセキュリティ・キーを配布する方法
JP2009500913A (ja) * 2005-06-30 2009-01-08 ルーセント テクノロジーズ インコーポレーテッド ペアワイズ・マスタ・キーを更新する方法

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2183051C2 (ru) 2000-04-12 2002-05-27 Военный университет связи Способ формирования ключа шифрования/дешифрования
US20040010713A1 (en) * 2002-07-12 2004-01-15 Vollbrecht John R. EAP telecommunication protocol extension
GB0221674D0 (en) 2002-09-18 2002-10-30 Nokia Corp Linked authentication protocols
CN1243434C (zh) * 2002-09-23 2006-02-22 华为技术有限公司 基于远程认证的网络中实现eap认证的方法
US7792527B2 (en) * 2002-11-08 2010-09-07 Ntt Docomo, Inc. Wireless network handoff key
CN1549494A (zh) * 2003-05-16 2004-11-24 华为技术有限公司 一种实现用户认证的方法
EP1528718B1 (en) 2003-10-30 2009-12-16 Research In Motion Limited Method for transmitting (receiving) cellular network information (e.g. MNC, NCC) by (from) a wireless local area network in an extensible authentication protocol (EAP)
KR100589677B1 (ko) * 2003-12-03 2006-06-15 삼성전자주식회사 휴대 인터넷 시스템 및 이의 인증 방법
CN1299526C (zh) 2003-12-10 2007-02-07 大唐电信科技股份有限公司 一种基于用户识别模块的无线局域网终端用户认证方法
US20050138355A1 (en) 2003-12-19 2005-06-23 Lidong Chen System, method and devices for authentication in a wireless local area network (WLAN)
KR20050109685A (ko) * 2004-05-17 2005-11-22 에스케이 텔레콤주식회사 휴대 인터넷 시스템에서 단말기 인증과 공존하는 확장된인증 프로토콜 기반의 사용자 인증 방법 및 시스템
KR100813295B1 (ko) * 2004-08-25 2008-03-13 한국전자통신연구원 무선 휴대 인터넷 시스템에서 ｅａｐ를 이용한 보안 관계협상 방법
KR100704675B1 (ko) * 2005-03-09 2007-04-06 한국전자통신연구원 무선 휴대 인터넷 시스템의 인증 방법 및 관련 키 생성방법
JP4903792B2 (ja) * 2005-06-22 2012-03-28 エレクトロニクス アンド テレコミニュケーションズ リサーチ インスティチュート 無線携帯インターネットシステム用の認証キー識別子の割り当て方法
US7715562B2 (en) * 2006-03-06 2010-05-11 Cisco Technology, Inc. System and method for access authentication in a mobile wireless network

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005530277A (ja) * 2002-06-20 2005-10-06 クゥアルコム・インコーポレイテッド 通信システムにおけるキー発生方法及び装置
JP2008541590A (ja) * 2005-05-09 2008-11-20 スパイダー ナビゲイションズ エルエルシー 通信システムにおける証明を分配するための方法
JP2008545337A (ja) * 2005-06-30 2008-12-11 ルーセント テクノロジーズ インコーポレーテッド 無線通信システムにおけるハンドオフ中にセキュリティ・キーを配布する方法
JP2009500913A (ja) * 2005-06-30 2009-01-08 ルーセント テクノロジーズ インコーポレーテッド ペアワイズ・マスタ・キーを更新する方法

Also Published As

Publication number Publication date
RU2367098C1 (ru) 2009-09-10
KR20070003484A (ko) 2007-01-05
BRPI0612566A2 (pt) 2010-11-23
JP2008547350A (ja) 2008-12-25
AU2006266651A1 (en) 2007-01-11
AU2006266651B2 (en) 2010-04-22
CA2608261A1 (en) 2007-01-11
CA2608261C (en) 2012-09-25
RU2007149329A (ru) 2009-07-10
CN101208901A (zh) 2008-06-25
BRPI0612566B1 (pt) 2019-05-14
KR100770928B1 (ko) 2007-10-26
US7724904B2 (en) 2010-05-25
EP1739903B1 (en) 2012-10-31
EP1739903A1 (en) 2007-01-03
US20070016780A1 (en) 2007-01-18
WO2007004824A1 (en) 2007-01-11
CN101208901B (zh) 2010-09-22

Similar Documents

Publication Publication Date Title
JP4647689B2 (ja) 通信システムにおける認証システム及びその方法
JP4897215B2 (ja) 通信システムにおけるキー発生方法及び装置
JP6727294B2 (ja) ユーザ機器ｕｅのアクセス方法、アクセスデバイス、およびアクセスシステム
EP1900170B1 (en) Short authentication procedure in wireless data communications networks
CN1836404B (zh) 用于减小越区切换等待时间的方法和系统
CN102726080B (zh) 个人基本服务集中的站对站安全关联
CN103428690B (zh) 无线局域网络的安全建立方法及系统、设备
KR101061899B1 (ko) 이종망간 핸드오버를 위한 빠른 인증 방법 및 장치
EP3700162B1 (en) Systems and methods for authentication
RU2665064C1 (ru) Беспроводная связь, включающая в себя кадр обнаружения быстрого первоначального установления линии связи, fils, для сетевой сигнализации
EP3767986B1 (en) Wwan-wlan aggregation security
KR20070051233A (ko) 이중 확장 가능 인증 프로토콜 방식을 사용하는 광대역무선 접속 통신 시스템에서 재인증 시스템 및 방법
CN103313242B (zh) 密钥的验证方法及装置
WO2009094942A1 (fr) Procédé et système de réseau de communication pour établir une conjonction de sécurité
WO2019029531A1 (zh) 触发网络鉴权的方法及相关设备
TW201039590A (en) Method for selecting an access point and apparatus for using the same
KR20160086148A (ko) 공중망을 이용한 가상 사설망 서비스를 제공하는 무선 vpn 단말의 인증 방법 및 이를 위한 시스템
WO2009051405A2 (en) Method of establishing security association in inter-rat handover
TW201703558A (zh) 處理認證程序的裝置及方法
KR20070007586A (ko) 광대역 무선 접속 통신 시스템에서 수권 방식 능력 협상시스템 및 방법

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20101130

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20101208

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20131217

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

Ref document number: 4647689

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees