KR101008791B1

KR101008791B1 - 노드간 인증을 위한 무선 네트워크에서의 ｅａｐｏｌ프록시

Info

Publication number: KR101008791B1
Application number: KR1020087006978A
Authority: KR
Inventors: 허윈 정
Original assignee: 메시네트웍스, 인코포레이티드
Priority date: 2005-08-23
Filing date: 2006-07-12
Publication date: 2011-01-14
Also published as: WO2007024357A3; US20070047477A1; EP1917791A4; KR20080041266A; JP2009505610A; WO2007024357A2; EP1917791A2

Abstract

무선 애드-혹 피어-투-피어 네트워크(100)의 서버와 같은 네트워크(100)에 액세스하기 위한 노드들(102)을 인증하기 위한 인증 프로토콜을 제공하는 시스템 및 방법. 모바일 WDS(mobile wireless distribution system)과 같은 무선 통신 네트워크(100)는, EAPOL 프록시를 이용하여 모바일 또는 고정된 액세스 포인트(106)를 통해서 네트워크에 액세스하기 위한 노드를 인증한다.

액세스 포인트, 인증자, 요청자, EAPOL, 인증 프로토콜

Description

노드간 인증을 위한 무선 네트워크에서의 ＥＡＰＯＬ 프록시{EXTENSIBLE AUTHENTICATION PROTOCOL OVER LOCAL AREA NETWORK(EAPOL) PROXY IN A WIRELESS NETWORK FOR NODE TO NODE AUTHENTICATION}

본 발명은 무선 애드-혹 피어-투-피어(ad-hoc peer-to-peer) 네트워크의 서버와 같은 네트워크에 액세스하기 위한 노드 인증을 위한 인증 프로토콜을 제공하는 시스템 및 방법에 관한 것이다. 좀더 구체적으로, 본 발명은 EAPOL(Extensible Authentication Protocol Over Local Area Network) 프록시를 네트워크 액세스를 위한 노드 인증에 채용하는 모바일 WDS(wireless distribution system)와 같은 무선 통신 네트워크에 관한 것이다.

모바일 무선 전화 네트워크와 같은 무선 통신 네트워크는 과거 10년간 더욱더 널리 퍼져왔다. 네트워크 인프라스트럭처는 서비스 지역을 "셀(cells)"이라고 불리는 복수의 영역으로 나누도록 되어 있기 때문에, 이러한 무선 통신 네트워크들은 일반적으로 "셀룰러 네트워크"라고 불린다. 지상 셀룰러 네트워크는, 서비스 지역을 통해서 지정된 위치에 지리적으로 분포된 복수의 상호접속된 기지국, 또는 베이스 노드들을 포함한다. 각 베이스 노드는, 커버리지 지역 내에 위치한 무선 전화와 같은 모바일 사용자 노드와, RF(radio frequency) 통신 신호와 같은 전자기 신호를 송수신할 수 있는 하나 이상의 트랜스시버를 포함한다. 통신 신호들은, 예를 들면 필요한 변조 기술에 따라 변조되어 데이터 패킷으로서 송신되는 음성 데이터를 포함한다. 당업자라면 이해할 수 있는 바와 같이, 네트워크 노드들은, TDMA(time-division multiple access) 포맷, CDMA(code-division multiple access) 포맷 또는 FDMA(frequency-division multiple access) 포맷과 같은 멀티플렉스된 포맷으로 데이터 패킷 통신을 송수신하여, 제1 노드에서의 단일 트랜스시버가 그 커버리지 지역 내의 수개의 다른 노드들과 동시에 통신할 수 있도록 한다.

최근 몇 년 동안, "애드-혹" 네트워크로 알려진 모바일 통신 네트워크의 한 형태가 발전되었다. 이 형태의 네트워크에서는, 각 모바일 노드가 다른 모바일 노드를 위한 기지국이나 라우터로서 동작할 수 있으므로, 기지국의 고정된 인프라스트럭처에 대한 수요를 제거할 수 있다. 모바일 노드들이 종래의 애드-혹 네트워크에서 서로 통신할 수 있도록 하는 외에, 모바일 노드들이 고정된 네트워크에 액세스하여 PSTN(public switched telephone network), 및 인터넷과 같은 다른 네트워크 상의 모바일 노드들과도 통신할 수 있도록 하는 좀더 정교한 애드-혹 네트워크들도 개발중에 있다. 이러한 개선된 형태의 애드-혹 네트워크들의 세부사항이 2001년 6월 29일자, "Ad Hoc Peer-to-Peer Mobile Radio Access System Interfaced to the PSTN and Cellular Networks"라는 표제의 미국 특허 출원 일련번호 제09/897,790호, 2001년 3월 22일자 "Time Division Protocol for an Ad-Hoc, Peer-to-Peer Radio Network Having Coordinating Channel Access to Shared Parallel Data Channels with Separate Reservation Channel"라는 표제의 미국 특허 출원 일 련번호 제09/815,157호로서 미국 특허번호 제6,817,165호, 및 2001년 3월 22일자 "Prioritized-Routing for an Ad-Hoc, Peer-to-Peer, Mobile Radio Access System"이라는 표제의 미국 특허 출원 일련번호 제09/815,164호로서 미국 특허번호 제6,873,839호에 기술되며, 각각의 전체 내용은 본 명세서에 참조로서 포함된다.

무선 애드-혹 모바일 네트워크의 특성으로부터 이해할 수 있는 바와 같이, 네트워크에는 무선 이상 라디오(a wireless more radio)가 네트워크에 액세스할 권한이 있는지 여부를 인식할 수 있을 것이 요구된다. 따라서, 무선 애드-혹 네트워크에 액세스하기 위한 라디오(radio) 또는 노드를 인증하기 위한 프로세스의 필요성이 존재한다.

개별 도면을 통해서 유사한 참조 번호는 동일하거나 기능이 유사한 구성요소를 나타내며, 이하의 상세한 설명과 함께 포함되고 본 명세서의 일부를 구성하며, 본 발명에 따른 다양한 원리 및 이점 모두를 설명한다.

도 1은 본 발명의 일 실시예에 따른 시스템 및 방법을 채용하는 복수의 노드들을 포함하는 예시적인 애드-혹 무선 통신 네트워크의 블록도이다.

도 2는 도 1에 도시된 네트워크에 채용된 모바일 노드의 예를 도시하는 블록도이다.

도 3은 IEEE(Institute of Electrical & Electronic Engineers) 802.1x 사양에 따른 요청자(supplicnat), 인증자 및 인증 서버 간의 관계를 도시하는 개념적인 블록도이다.

도 4는 인증 메시지 전달이 2 구역으로 나뉘어서 802.11 링크 레이어 2 링크 및 UDP(user datagram protocol) 레이어 3 링크를 통해서 전달되는 방식의 일례를 도시하는 개념도이다.

도 5는 메시 WDS(meshed wireless distribution system)을 갖는 WLAN(wireless local area network)를 위한 수정된 인증 프레임워크의 일례를 도시하는 개념적인 블록도이다.

도 6은 본 발명의 일 실시예에 따른 인증동안 발생하는 디바이스들 간의 정보 교환의 일례를 나타내는 도면이다.

숙련된 기술자라면 도면 내의 구성요소들이 간단하고 명확하게 도시되며, 반드시 비율에 맞게 그려진 것은 아니라는 것을 이해할 것이다. 예를 들면, 도면에서의 일부 구성요소의 치수는 본 발명의 실시예의 이해를 개선하는 것을 돕도록 다른 구성요소에 비해서 과장된 경우가 있다.

본 발명에 따른 실시예들을 상세하게 기술하기 전에, 실시예들은 주로 노드간 인증을 위한 무선 네트워크 내의 EAPOL(Extensible Authentication Protocol Over LAN) 프록시에 관련된 방법 단계와 장치 구성요소들의 조합에 있음이 관찰되어야 한다. 따라서, 장치 구성요소 및 방법 단계들은, 본 명세서의 기술의 이점을 갖는 당업자에게는 이미 자명할 상세한 설명을 흐리지 않도록, 본 발명의 실시예의 이해에 관련된 특정 세부사항만을 도시하는데 적당하게, 도면 내의 종래의 기호에 의해서 나타내었다.

본 명세서에서, 제1 및 제2 , 상부 또는 하부(top and bottom) 등의 관련 용어는 엔티티와 액션간의 실제적인 관계나 순서를 요구하거나 암시할 필요없이 다른 엔티티나 액션으로부터 하나의 엔티티나 액션을 구별하는데만 사용될 수 있다. 용어 "포함하다(comprises)", "포함하는(comprising)" 또는 그들의 다른 변형은 구성요소의 리스트를 포함하는 프로세스, 방법, 제품, 또는 장치가 단지 그 구성요소들만을 포함하는 것이 아니라, 명확하지 않았거나, 그러한 프로세스, 방법, 제품, 또는 장치에 내재된 다른 구성요소를 포함할 수 있도록 비제한적인 포함(inclusion)을 커버하고자 하는 것이다. "~를 포함하는(comprises ...a)"에 의해 진행되는 구성요소는 더 이상의 제한없이 구성요소를 포함하는 프로세스, 방법, 제품, 또는 장치에서의 부가적인 동일 구성요소들의 존재를 배제하지 않는다.

본 명세서에 기술된 본 발명의 실시예들은 하나 이상의 종래의 프로세서, 및 특정한 비 프로세서 회로(non-processor circuits)와 관련하여 구현되는 본 명세서에 기술된 노드간 인증을 위한 무선 네트워크 내의 EAPOL 기능의 일부, 대부분, 또는 모두를 구현하도록 하나 이상의 프로세서를 제어하는 저장된 유일한 프로그램 명령으로 구성될 수 있다. 비 프로세서 회로들은 라디오 리시버, 라디오 송신기, 신호 드라이버, 클록 회로, 전력원 회로, 및 사용자 입력 디바이스를 포함할 수 있지만, 이에 한정되지는 않는다. 이와 같이, 이러한 기능들은 노드간 인증을 위한 무선 네트워크 내의 EAPOL 프록시를 달성하기 위한 동작을 실행하는 방법의 단계들로서 해석될 수 있다. 대안적으로는, 일부 또는 모든 기능들은 어떠한 프로그램 명령도 저장하지 않은 스테이트 머신(state machine)에 의해서, 또는 하나 이상의 ASICs(application specific integrated circuits)에 구현될 수 있으며, 각 기능이나 특정 기능들의 일부 조합은 커스텀 로직(custom logic)으로서 구현된다. 물론, 2 개의 접근의 조합이 이용될 수도 있다. 따라서, 이러한 기능을 위한 방법 및 수단이 본 명세서에 기술되었다. 또한, 당업자라면, 예를 들면, 가용 시간, 현재의 기술, 및 경제 상황에 의해 유발된 충분히 중요한 노력 및 다수의 설계 선택에도 불구하고, 본 명세서에 기술된 개념이나 원리에 의해 유도될 때, 최소한의 실험으로 소프트웨어 명령어 및 프로그램 및 ICs를 쉽게 생성할 수 있을 것이다.

도 1은 본 발명의 일 실시예를 사용하는 애드-혹 패킷 교환 방식 멀티-호핑 무선 통신 네트워크(ad-hoc packet-switched multi-hopping wireless communications network)(100)의 일례를 도시하는 블록도이다. 특히, 네트워크(100)는 복수의 모바일 무선 사용자 단말(102-1 내지 102-n)(일반적으로 노드(102) 또는 모바일 노드(102)로 지칭됨)을 포함하고, 반드시 필요한 것은 아니지만 노드들(102)에 고정된 네트워크(104)에의 액세스를 제공하기 위한 복수의 액세스 포인트들(106-1, 106-2, ...106-n)(일반적으로 노드(106) 또는 액세스 포인트(106)로 지칭됨)을 갖는 고정된 네트워크(104)를 포함할 수 있다. 고정된 네트워크(104)는, 네트워크 노드들에, 다른 애드-혹 네트워크, PSTN(public switched telephone network) 및 인터넷과 같은 다른 네트워크의 액세스를 제공하기 위해, 복수의 예를 들면 코어 LAN(core local access network), 서버 및 게이트웨이 라우터를 포함할 수 있다. 네트워크(100)는 또한 다른 노드들(102, 106 또는 107) 사이에서 데이터 패킷들을 라우팅하기 위한 복수의 고정된 라우터들(107-1 내지 107- n)(일반적으로 노드(107) 또는 고정된 라우터(107)로 지칭됨)을 포함할 수 있다. 이 논의의 목적을 위해서, 상술한 노드들은 "노드들(102, 106 및 107)", 또는 간단하게 "노드들"로 총칭할 수 있음을 유의한다.

당업자라면 이해할 수 있는 바와 같이, 노드들(102, 106 및 107)은, 위에서 참조된 미국특허출원 일련 번호 제09/897,790호 및 미국특허번호 제6,807,165 및 제6,873,839호에 기술된 바와 같이, 직접 서로, 또는 노드들 사이에 보내지는 패킷에 대한 하나의 라우터 또는 라우터들로서 동작하는 하나 이상의 다른 노드들(102, 106 또는 107)을 통해서 통신할 수 있다.

도 2에 도시된 바와 같이, 각 노드(102, 106 및 107)는, 안테나(110)에 접속되고 컨트롤러(112)의 제어하에서 노드(102, 106 또는 107)와 패킷화된 신호와 같은 신호를 송수신할 수 있는 트랜스시버, 또는 모뎀(108)을 포함한다. 패킷화된 데이터 신호들은, 예를 들면 음성, 데이터 또는 멀티미디어 정보, 및 노드 업데이트 정보를 포함하는 패킷화된 제어 신호를 포함할 수 있다.

각 노드(102, 106 및 107)는 또한, 다른 것들 중에서, 그 자체 및 네트워크(100) 내의 다른 노드들에 속하는 라우팅 정보를 저장할 수 있는 RAM(random access memory)과 같은 메모리(114)를 포함한다. 도 2에 또 도시되는 바와 같이, 특정 노드, 특히 모바일 노드(102)는 노트북 컴퓨터 단말, 모바일 전화 유닛, 모바일 데이터 유닛, 또는 다른 적당한 디바이스와 같은 수개의 디바이스로 구성될 수 있는 호스트(116)를 포함할 수 있다. 각 노드들(102, 106 및 107)은 또한, IP(Internet Protocol) 및 ARP(Address Resolution Protocol)를 수행하기 위한 적 당한 하드웨어 및 소프트웨어를 포함하며, 그 목적은 당업자에 의해 쉽게 이해될 수 있다. TCP(transmission control protocol) 및 UDP(user datagram protocol)을 실행하는데 적합한 하드웨어 및 소프트웨어도 또한 포함될 수 있다.

이제 논의하는 바와 같이, 본 발명은 무선 애드-혹 피어-투-피어 네트워크의 서버와 같은 네트워크에 액세스하기 위한 노드를 인증하는 인증 프로토콜을 제공하는 시스템 및 방법을 제공한다. 시스템 및 방법은 모바일 또는 정지 액세스 포인트(stationary access point)를 통해서 네트워크에 액세스하기 위한 노드를 인증하기 위해 EAPOL 프록시를 이용하는 모바일 WDS(wireless distribution system)과 같은 무선 통신 네트워크를 가능하게 한다.

특히, 본 발명은, 애드-혹 피어-투-피어 무선 통신 네트워크와 같은, 유선 네트워크에 연결되어 유선 네트워크와 무선 노드들간의 통신을 가능하게 하는 유선 액세스 포인트 및 유선 네트워크를 포함하는, 무선 통신 네트워크에 액세스하기 위한 노드를 인증하는 시스템 및 방법을 제공한다. 시스템 및 방법은 네트워크 내의 무선 노드를 인증하는 인증자로서 유선 액세스 포인트를 확립하고, 무선 노드가 네트워크에 액세스를 시도할 때 인증자 유선 액세스 포인트에 인증 정보를 보내도록 무선 노드를 제어하며, 인증자 유선 액세스 포인트가 인증 정보를 수신하면, 인증 정보가 무선 노드에 의해서 네트워크에의 액세스를 허용하는데 유효한지 여부를 판별하도록 인증자 유선 액세스 포인트를 제어하는 동작을 채용한다. 무선 노드는 모바일 무선 노드이거나, 또는 정지 또는 모바일일 수 있는 무선 액세스 포인트 자체일 수 있다.

당업자에 의해 이해될 수 있는 바와 같이, IEEE 802.1x 사양은 802 기반 LANs을 위한 인증 프레임워크를 설명한다. 이러한 인증 프레임워크의 세부사항은, 2001년 IEEE 802.1X 사양(EAPOL & 802.1X), 및 예를 들면 양쪽 문서 모두의 내용이 참조로서 본 명세서에 포함된 1998년 3월자 PPP EAP(Extensible Authentication Protocol)의 RFC 2284에서 찾을 수 있다. 이하에서 보다 상세하게 논의되는 바와 같이, 무선 AP(Access Points)는 무선 LANs에서 사용될 때, 백엔드 RADIUS(Remote Authentication Dial-In Use Service)에 의해 무선 사용자, 또는 스테이션을 인증할 수 있다. 사용자 id 및 비밀번호와 같은 사용자의 자격 증명은 미리 RADIUS 인증 서버에 저장되고, 일부 다른 통신 채널을 통해서 시스템 관리자 또는 사용자 자가 등록(self-registration)에 의해서 미리 확립된다. 예를 들면, 사용자가 최초로 활성화할 때, 사용자는 보안 웹 사이트나 전화선과 같은 다른 매체를 통해서 일련의 질문에 응답하여, 그/그녀의 유닛을 활성화시키도록 촉구될 수 있다. 또한, 각 유닛은 네트워크의 보안 정책에 기초하여 네트워크가 인식할 수 있는 일련 번호 또는 다른 식별자를 가질 수 있다. 매우 기초적인 레벨에서, 사용자에 의해서 타이핑된 사용자 id 및 비밀번호가 RADIUS 서버에서 사전구성된 사용자 id 및 비밀번호와 동일한 한, 네트워크는 사용자의 노드의 액세스를 허용할 것이다.

이후, 무선 사용자가 네트워크, 특히 유선 네트워크 리소스에 액세스하기를 원할 때, 사용자는 메시지를 무선 액세스 포인트와 교환하고, 이후 무선 액세스 포인트는 이 메시지를 무선 사용자와 RADIUS 인증 서버 간에 중계할 것이다. 사용자와 무선 액세스 포인트간의 교환은, 이들이 서로의 방송 범위 내에 있으면 직접일 수 있고, 아니면 도 1에 관한 상술한 바와 같은 다른 중간 노드를 통해서 될 수 있다. RADIUS 인증 서버는 액세스 요청을 승인 또는 거절할지 여부를 결정하여, 무선 액세스 포인트에 그 결정을 보내준다. 메시지 교환은 무선 사용자와 인증 서버 사이에 사용되는 인증 프로토콜에 의존한다. EAP를 통해서 다중 인증 프로토콜을 이용할 수 있다.

도 3에 도시된 요청자(Supplicant), 인증자 및 인증 서버의, 3개의 구성요소는 802.1x 프레임워크에서 식별된다. 상술한 바와 같이, 도 1에 도시된 노드(102)와 같은, 네트워크(100)에 액세스하고자 하는 사용자 디바이스는 요청자(120)의 역할을 하고, 네트워크 액세스 포인트(IAP)(106)는 인증자(122)의 역할을 할 것이다. 코어 LAN(104)과 같은 중앙 및 보안 환경에 일반적으로 위치하는 RADIUS 인증 서버(AS)(124)는, 인증자에게 인증 서비스를 제공한다. 무선 LAN(WLAN) 구성에서, 인증 메시지 전달 EAP(126)는, 1)802.11 링크(130)(레이어 2 링크)를 통해서 EAPOL 메시지(128)를 전달하고, 2) 도 4에 도시된 바와 같은 유선 측에서 UDP(레이어 3 링크)(134)를 통해서 RADIUS 메시지(132)가 가능하게 되는 EAP를 전달하는 2개 구역으로 나뉜다. 인증자(122)는 요청자(120)로부터의 EAPOL 메시지(128)를 RADIUS 메시지(132)로 변형하여, 인증 서버(124)로 보내고 또 인증 서버로부터 받을 것이다. 이렇게 하기 위해서, 공유된 비밀 정보(예컨대, 비밀 식별자)는 인증자(122) 및 인증 서버(124) 모두에서 사전 구성된다. 상술한 사용자의 "비밀번호"와 다른 이 "비밀 식별자"는 인증자(122)와 인증 서버(124)간에 교환되는 메시지를 보안하는데 이용된다.

고정된 위치의 인증자(122)의 경우, 이 태스크는 성취하기가 비교적 쉽다. 사용자에 대해서, 비밀번호는 사용자 id와 연관된다. 인증자(122)에 대해서, 비밀 식별자는 인증자(122)의 IP 어드레스와 연관된다. 가끔, 모바일 AP가 네트워크에 참여할 때, 모바일 AP(인증자)는 그 IP 어드레스를 다이내믹하게 수신할 것이다. 따라서, RADIUS 서버 내에서 IP 어드레스와 모바일 인증자를 위해 연관된 비밀 식별자 모두를 정적으로 구성하는 것은 실용적이지 않을 수 있다. 그러나, 고정된 IAP의 경우, IP 어드레스는 미리 설정될 수 있으므로, IP 어드레스와 비밀 식별자 쌍은 RADIUS 서버 내에 사전 구성될 수 있다.

또한, IAPs(106) 중의 어느 하나는, 예를 들어 마수드 가라히 및 피터 제이. 스탠포스의 "Movable Access Points and Repeaters for Minimizing Coverage and Capacity Constraints in a Wireless Communication Network and a Method for Using the Same"이라는 표제로, 그 전체 내용이 본 명세서에 참조로서 포함된 미국특허출원번호 제09/929,030호에 기술된 바와 같은 모바일 IAP일 수 있음을 유의한다. 이러한 모바일 IAPs는 마이크로웨이브와 같은 적절한 백하울 기술(backhaul technology)을 통해서 다른 모바일 또는 고정된 IAPs와 통신한다.

모바일 WDS와 같은 모바일 액세스 포인트 네트워크에서, 액세스 포인트는 함께 메시되어(meshed) 메시 모바일 무선 네트워크를 형성한다. 당업계에서 이해되는 바와 같이, 무선 메시 네트워크는, 또한 디바이스 또는 "노드"가 서로를 통해서 호핑하여 예를 들면 도 1에 관해 상술한 바와 같이 네트워크 내의 다른 디바이스에 도달할 수 있는 무선 애드-혹 피어-투-피어 네트워크로서 지칭될 수 있다. 모바일 IAP(106)는 모바일 및 다이내믹이더라도 여전히 인증자로서 기능하기 때문에, 상술한 바와 같이 인증자와 인증 서버간의 보안 RADIUS 링크를 구성해보는 도전을 나타낸다.

도 5는 메시 WDS를 갖는 WLAN을 위한 수정된 인증 프레임워크의 예를 도시한다. 표시된 바와 같이, RADIUS 서버(136)는 인증 서버(124)(도 3 참조)이고, 코어 LAN(104)(도 1 참조)에서와 같은 유선 네트워크 상의 중심에 위치된다. 도 1에 관해 상술한 바와 같이 정지 IAP(106)인 MIAP(Mesh Intelligent Access Point)(138)는 유선 링크 또는 다른 적절한 보안 링크를 통해서 RADIUS 서버(136)에 접속된다. 따라서, MIAP(138)는 RADIUS 클라이언트이고, RADIUS 서버(136) 및 클라이언트는 정적으로 구성된 기밀 정보를 공유한다.

또한 도 5에 도시된 바와 같이, 스테이션 STA(140)는 예를 들면 도 1에 관해 상술된 바와 같이 모바일 노드(102)일 수 있는 최종 사용자 디바이스이고, 모바일 또는 정지 IAP(106)일 수 있는 MIAP(138)나 MAP(Meshed Access Point)(142 또는 144)를 통해서 유선 네트워크에 액세스할 수 있다. MAP(142 또는 144)는, 인증자 역할을 맡을 수 있기 전에, 먼저 MIAP(138) 또는 다른 인증된 MAP(142 또는 144)에 인증해야한다. MAP(142 또는 144)는 MIAP(138) 또는 다른 인증된 MAP(142 또는 144)에 대하여 직접 인증할 수 있다.

MIAP(138)로부터 한 홉(one hop) 떨어져 MIAP(138)에 대하여 인증하는 STA(140) 또는 MAP(142 또는 144)의 경우, 요청자, 인증자, RADIUS 클라이언트 및 RADIUS 서버가 수반되는 기준 802.1x 프레임워크를 적용할 수 있다. STA가 MAP에 대하여 인증하고자 하거나 MAP가 한 홉만큼 떨어진 인증된 다른 MAP에 인증하고자 하는 경우, MAP 내에 정적으로 제공된 RADIUS 클라이언트가 필요하지 않으므로, 새로운 메커니즘, 즉, EAPOL 프록시가 이용될 것이다. 도 6은 본 발명의 일 실시예에 따른 인증 동안 발생하는 디바이스들 사이의 정보 교환의 일례를 나타내는 도면이다.

예를 들어 도 6에 도시된 바와 같이, 인증자(본 예에서는 모바일 IAP)는 이미 MIAP 또는 다른 인증된 MAP에 대하여 인증하였다. 또한 MIAP 및 MIAP에의 MEA^TM(Mesh Enabled Architecture) 루트로 바운드(bound)되었다. 루트는 하나 이상의 MAPs에 걸쳐있을 수 있다(spaned). 본 모델에 따르면, 표준 802.1x 프레임워크와 비교할 때, 인증 메시지 경로는 하나 이상의 새로운 구역을 갖는다. 새로운 구역은 보안 MEA 루트를 가로지른다.

바운드된 MAP(인증자)(예를 들면, MAP(144))가 인증되고자 하는 STA(140) 또는 MAP(142)로부터 전송(150) 중에 EAPOL 메시지를 수신할 때, 바운드된 MAP(144)는 RADIUS 클라이언트 대신 EAPOL 프록시 클라이언트를 이용하여 전송(152)으로 MIAP에 메시지를 보낸다. EAPOL 프록시 클라이언트는, RADIUS 클라이언트와 같이, RADIUS 패킷 대신 EAPOL 메시지를 MEA 링크 레이어 패킷에 넣는다. MIAP는 MEA 링크 레이어 패킷으로부터의 EAPOL 메시지를 언팩(unpack)하는 EAPOL 프록시 서버를 갖는다. 이후, 프록시 서버는 EAPOL 메시지를 RADIUS 클라이언트를 이용해서 RADIUS 패킷으로 리팩(repack)하여, 전송(154)으로 백엔드 RADIUS 서버에 보낸다. 오리지널 요청자-인증자-인증 서버 프레임워크로서, 요청자(120)와 인증 서버(124) 간의 인증 메시지는 사용되는 인증 프로토콜에 의존한다. 이렇게 하여 요청자(120)와 바운드된 MAP(144) 간의 보안 관련성(security association)이 통신(156)을 위해서 확립된다.

상기한 바로부터 이해될 수 있는 바와 같이, 본 명세서에 기술된 본 발명의 일 실시예에 따른 인증 시스템 및 방법은 모바일 메시WDS로의 확장된 802.1x 프레임워크가 허용되는 것 같은 특정 이점들을 제공한다. 더욱이, RADIUS 클라이언트는 인증자에 대한 요구가 없으므로, 모바일 메시 액세스 포인트에 대한 자동 구성 요구를 쉽게 만족시킬 것이다. 게다가, MAP는 2개의 MIAP들 간의 보다 빠른 핸드오프(handoff)를 가질 수 있다. MAP는 통상 그 이웃 노드들 모두와 원-홉 보안 관련성을 유지하므로, MAP가 동일한 이웃 노드 또는 다른 이웃 노드를 통해서 새로운 MIAP로 스위칭되는 때 어떠한 새로운 인증 프로세스도 필요하지 않다.

전술한 명세서에서, 본 발명의 특정 실시예가 기술되었다. 그러나, 당업자라면 이하의 특허청구범위에 기술된 바와 같이 본 발명의 범위를 벗어나지 않고 다양한 변형 및 변경이 가능하다는 것을 이해할 것이다. 따라서, 본 명세서 및 도면은 한정적인 의미라기보다는 예시적인 것으로 간주될 것이며, 그러한 모든 변경은 본 발명의 범위 내에 포함되는 것으로 의도된다. 어떠한 장점, 이점 또는 발생하거나 더 표현될 해결책의 원인이 될 수 있는 장점, 이점, 문제에 대한 해결책, 및 소정의 구성요소들은, 중대하고, 필수적이거나 본질적인 특징, 또는 특허청구범위의 일부 또는 모두의 구성요소로서 해석되지는 않는다. 본 발명은, 본 출원이 계 류중인 동안 이루어진 어떠한 보정도 포함하는 첨부된 청구항 및 발행된 청구항의 모든 균등물에 의해서만 정의된다.

Claims

무선 애드 혹 피어 투 피어 네트워크(wireless ad hoc peer to peer network) 내의 노드들을 인증하기 위한 방법으로서,

인증 서버로 중간 서버(intermediary server)를 인증하는 단계 - 상기 중간 서버는 트랜스시버, 프록시 서버 및 클라이언트를 포함함 - ;

보안 통신 루트(secure communication route)를 따라 상기 중간 서버로 인증자를 바운드(bound)하는 것을 포함하는, 상기 중간 서버로 상기 인증자를 인증하는 단계;

상기 인증자가 상기 중간 서버로 바운드된 후에 요청자 노드(supplicant node)로부터의 인증 요청을 상기 인증자로 전달하는 단계;

상기 인증 요청을 수신한 것에 응답하여, 상기 인증 요청을 메시지로(in a message) 상기 중간 서버에 중계하기 위해 프록시 클라이언트를 사용하도록 상기 인증자를 동작시키는 단계;

상기 프록시 서버를 사용하여 상기 메시지로부터의 상기 인증 요청을 언팩하고(unpack), 상기 클라이언트를 사용하여 상기 인증 요청을 또 다른 메시지로(in another message) 리팩하고(repack), 상기 트랜스시버를 사용하여 상기 또 다른 메시지를 상기 인증 서버로 전송하도록 상기 중간 서버를 동작시키는 단계;

상기 인증 서버에 의해 상기 무선 애드 혹 피어 투 피어 네트워크 내의 상기 요청자 노드를 인증하는 단계; 및

하나 이상의 다른 요청자 노드를 위한 다른 인증자로서 상기 요청자 노드를 동작시키는 단계 - 상기 인증된 요청자 노드도 또한 상기 트랜스시버, 상기 프록시 서버, 및 상기 클라이언트를 포함함 -

를 포함하는 노드 인증 방법.
제1항에 있어서, 상기 인증자는 모바일 무선 노드인 노드 인증 방법.
제1항에 있어서, 상기 인증자는 무선 액세스 포인트인 노드 인증 방법.
제3항에 있어서, 상기 무선 액세스 포인트는 모바일 무선 액세스 포인트인 노드 인증 방법.
제4항에 있어서,

상기 인증자를 인증하는 단계는,

상기 인증자가 모바일 무선 액세스 포인트인 경우, 상기 인증자가 하나 이상의 인증 정보를 상기 인증 서버에 보내서 상기 무선 애드 혹 피어 투 피어 네트워크에 액세스하기 위해 상기 요청자 노드를 인증하도록 허용하기 전에, 고정된 무선 액세스 포인트 또는 이미 인증된 또 다른 모바일 무선 액세스 포인트에 의해 상기 모바일 무선 액세스 포인트를 인증하는 단계

를 포함하는 노드 인증 방법.
제1항에 있어서, 상기 중간 서버는 유선 액세스 포인트인 노드 인증 방법.
제1항에 있어서,

인증자 무선 노드로서 확립되는 무선 노드가 고정된 무선 노드인 경우, 상기 인증 서버에, 인증자 무선 노드로서 확립되는 상기 무선 노드와 관련된 인터넷 프로토콜(Internet Protocol; IP) 어드레스 및 식별자를 저장하는 단계를 더 포함하는 노드 인증 방법.
제1항에 있어서,

상기 인증 요청은 EAPOL(Extensible Authentication Protocol Over Local Area Network) 메시지를 포함하고,

상기 프록시 클라이언트는 EAPOL 프록시 클라이언트를 포함하고, 상기 EAPOL 프록시 클라이언트는 상기 EAPOL 메시지를 상기 메시지 내의 하나 이상의 MEA(Mesh Enabled Architecture) 링크 레이어 패킷에 넣고,

상기 프록시 서버는 상기 메시지 내에 상기 MEA 링크 레이어 패킷들로부터의 상기 EAPOL 메시지들을 언팩하는 EAPOL 프록시 서버를 포함하고,

상기 인증 서버는 백엔드 RADIUS(Remote Authentication Dial-In User Service) 서버를 포함하고,

상기 클라이언트는 상기 EAPOL 메시지들을 상기 또 다른 메시지 내의 하나 이상의 RADIUS 패킷에 리팩하는 RADIUS 클라이언트를 포함하는 노드 인증 방법.
제1항에 있어서, 상기 요청자 노드는 스테이션 및 메시 액세스 포인트(MAP; mesh access point)를 포함하는 그룹으로부터 선택된 무선 노드를 포함하는 노드 인증 방법.
제1항에 있어서, 상기 중간 서버는 MIAP(mesh intelligent access point) 및 MAP를 포함하는 그룹으로부터 선택된 정지 노드(stationary node)를 포함하는 노드 인증 방법.
무선 애드 혹 피어 투 피어 네트워크 내에서 동작하는 무선 노드로서,

제1 보안 통신 루트를 따라 인증 서버와 통신하고, 제2 보안 통신 루트를 따라 적어도 하나의 인증자와 통신하기 위한 트랜스시버;

상기 적어도 하나의 인증자로부터 상기 제2 보안 통신 루트를 통해 상기 트랜스시버에 의해 메시지로 수신된, 요청자의 인증 요청을 언팩하기 위해 제1 프로토콜을 사용하는 프록시 서버; 및

상기 트랜스시버가 상기 제1 보안 통신 루트를 통해 상기 무선 애드 혹 피어 투 피어 네트워크 내의 상기 요청자의 인증을 위해 상기 인증 서버에 전송하는 상기 인증 요청을 또 다른 메시지로 리팩하기 위해 제2 프로토콜을 사용하는 클라이언트

를 포함하고,

상기 인증된 요청자도 또한 하나 이상의 다른 요청자 노드를 인증하기 위해 상기 트랜스시버, 상기 프록시 서버, 및 상기 클라이언트를 포함하는 무선 노드.
제11항에 있어서, 상기 인증자는 모바일 무선 노드인 무선 노드.
제11항에 있어서, 상기 인증자는 무선 액세스 포인트인 무선 노드.
제13항에 있어서, 상기 무선 액세스 포인트는 모바일 무선 액세스 포인트인 무선 노드.
제11항에 있어서, 상기 무선 노드는 유선 액세스 포인트인 무선 노드.
제11항에 있어서, 상기 제1 프로토콜은 EAPOL(extensible authentication protocol over local area network) 프로토콜을 포함하는 무선 노드.
제11항에 있어서,

상기 인증 요청은 EAPOL(Extensible Authentication Protocol Over Local Area Network) 메시지를 포함하고, 상기 인증자는, 상기 EAPOL 메시지를 상기 메시지 내의 하나 이상의 MEA(Mesh Enabled Architecture) 링크 레이어 패킷에 넣기 위해 EAPOL 프록시 클라이언트를 사용하고,

상기 프록시 서버는 상기 메시지 내에 상기 MEA 링크 레이어 패킷들로부터의 상기 EAPOL 메시지들을 언팩하는 EAPOL 프록시 서버를 포함하고,

상기 인증 서버는 백엔드 RADIUS(Remote Authentication Dial-In User Service) 서버를 포함하고,

상기 클라이언트는 상기 EAPOL 메시지를 상기 또 다른 메시지 내의 하나 이상의 RADIUS 패킷에 리팩하는 RADIUS 클라이언트를 포함하는 무선 노드.
무선 애드 혹 피어 투 피어 네트워크 시스템으로서,

중간 서버로 인증되고 제1 보안 통신 루트를 통해 상기 중간 서버로 바운드된 인증자

를 포함하며,

상기 인증자는 또한 제2 보안 통신 루트를 통해 하나 이상의 요청자 노드에 통신가능하게 결합되고,

상기 인증자는,

상기 인증자가 상기 중간 서버로 바운드된 후에 요청자 노드로부터 인증 요청을 수신하고, 상기 인증 요청을 메시지로 상기 중간 서버에 중계하는 프록시 클라이언트를 포함하고,

상기 중간 서버는 제3 보안 통신 루트를 따라 인증 서버로 인증되며,

상기 중간 서버는,

제1 보안 통신 루트를 따라 인증 서버와 통신하고, 제2 보안 통신 루트를 따라 적어도 하나의 인증자와 통신하는 트랜스시버,

상기 적어도 하나의 인증자로부터 상기 제2 보안 통신 루트를 통해 상기 트랜스시버에 의해 메시지로 수신된, 요청자의 인증 요청을 언팩하기 위해 제1 프로토콜을 사용하는 프록시 서버, 및

상기 트랜스시버가 상기 제1 보안 통신 루트를 통해 상기 인증 서버로 전송하는 인증 요청을 또 다른 메시지로 리팩하기 위해 제2 프로토콜을 사용하는 클라이언트를 포함하고,

상기 인증 서버는 상기 또 다른 메시지를 수신하는 것에 응답하여 상기 무선 애드 혹 피어 투 피어 네트워크 시스템 내의 상기 요청자를 인증하고,

상기 인증된 요청자는 하나 이상의 다른 요청자 노드를 위한 다른 인증자로서 동작하고, 상기 인증된 요청자도 또한 상기 트랜스시버, 상기 프록시 서버, 및 상기 클라이언트를 포함하는 무선 애드 혹 피어 투 피어 네트워크 시스템.
제18항에 있어서, 상기 인증자는 무선 액세스 포인트인 무선 애드 혹 피어 투 피어 네트워크 시스템.
제18항에 있어서, 상기 무선 액세스 포인트는 모바일 무선 액세스 포인트인 무선 애드 혹 피어 투 피어 네트워크 시스템.