KR101102228B1

KR101102228B1 - 모바일 노드 인증

Info

Publication number: KR101102228B1
Application number: KR1020067007050A
Authority: KR
Inventors: 모하메드 카릴; 쿤탈 코우드허리; 하시브 아크탈
Original assignee: 노오텔 네트웍스 리미티드
Priority date: 2003-10-13
Filing date: 2004-10-12
Publication date: 2012-01-05
Also published as: WO2005036813A1; EP1676397A1; KR20070003763A; US20050079869A1; EP1676397A4; CN1890917A; CN1890917B

Abstract

모바일 노드를 인증하기 위해, 인증 정보를 포함하는 Mobile IPv6 등록 요청이 모바일 노드로부터 수신된다. Mobile IPv6 등록 요청의 일례는 Mobile IPv6 바인딩 업데이트 메시지이다. 모바일 노드의 인증 절차는 등록 요청에 포함된 인증 정보에 기초하여 행해진다.

인증 정보, Mobile IPv6 등록 요청, SPI, 인증자, 모바일 노드, 리플레이 프로텍션 필드

Description

모바일 노드 인증{MOBILE NODE AUTHENTICATION}

본 발명은 일반적으로 모바일 노드 인증에 관한 것이다.

패킷-기반 데이터 네트워크는 퍼스널 컴퓨터, 네트워크 전화기, 인터넷 어플라이언스(appliance), PDA(personal digital assistant), 휴대폰 등의 다양한 종류의 네트워크 엘리먼트(element)들을 링크하는 데 폭넓게 이용된다. 전자 메일, 웹 브라우징, 파일 다운로드, 전자 상거래, 음성 또는 실시간의 양방향(interactive) 통신의 그외의 폼(form)들 등을 포함하는 패킷-기반 데이터 네트워크를 통하여, 수많은 종류의 통신들이 가능하다.

패킷-기반 네트워크의 한 종류로 IP(internet protocol)-기반 네트워크가 있다. 패킷-기반 네트워크를 통한 통신은, 전형적으로 하나의 송신원(source)으로부터 하나 이상의 수신처(destination) 지점에 한꺼번에 송신되는 데이터그램(데이터gram)들 또는 패킷들을 이용하여 수행된다. 네트워크 엘리먼트에는 전형적으로 네트워크 어드레스(예컨대, IP 어드레스)가 할당된다. 데이터 네트워크를 거쳐 송신되는 패킷은 (송신원 네트워크 엘리먼트의) 송신원 네트워크 어드레스 및 (수신처 네트워크 엘리먼트의) 수신처 네트워크 어드레스를 포함한다. 데이터 네트워크의 라우터들은 송신원 및 수신처 어드레스들에 기초한 네트워크 경로들을 통해 각 패 킷을 라우팅한다. 이러한 패킷-기반 네트워크를 통한 통신은 패킷-교환 방식(packet-switched)의 통신으로서 언급된다.

네트워크 엘리먼트들(예컨대, 노트북 컴퓨터나 PDA 등)의 이동성(mobility)은 원하는 특성이다. 사용자가 서로 다른 지점들 사이를 이동함에 따라, 사용자와 관련된 네트워크 엘리먼트의 연결 지점(point of attachment)도 변할 수 있다. 사용자는 잠재적으로 자신의 홈 네트워크(제1 연결 지점)로부터 비지트(visited) 또는 포린(foreign) 네트워크로서 지칭되는 다른 네트워크(제2 연결 지점)로 이동할 수 있다. 네트워크로의 모바일 네트워크 엘리먼트의 연결 지점은 유선 연결(wired attachment) 또는 무선 연결(wireless attachment)이 될 수 있다. 유선 연결의 일례는 네트워크 케이블을 이용하여 모바일 네트워크 엘리먼트를 네트워크에 접속하는 벽 콘센트(wall outlet)의 포트에 접속시키는 것이다. 무선 연결의 일례로는 모바일 통신 네트워크(예컨대, 셀룰러 통신 네트워크 등)의 기지국과 이동국(mobile station) 간의 무선 링크가 있다. 후자의 경우, 이동국은, 이동 전화, 또는 이동 통신 네트워크와 관련된 기지국과 무선 시그널링(signaling) 통신을 행할 수 있는 임의의 다른 휴대 장치일 수 있다.

사용자로 하여금 상이한 네트워크들을 거쳐 연결 지점들의 변경을 허용함에 있어 유연성(flexibility)과 편리성을 증가시키기 위해, Mobile IP 프로토콜이 규정되어 왔다. Mobile IP 버젼의 일례로는 Mobile IPv6가 있다. 이 Mobile IP 프로토콜은, 이동 네트워크 엘리먼트가 홈 네트워크로부터 떨어져 있을 경우에 이동 네트워크 엘리먼트로의 전송용 패킷들의 터널링을 담당하는 이동 네트워크 엘리먼 트의 홈 네트워크에 있어서의 라우터인 홈 에이전트를 규정한다. 이 홈 에이전트는 이동 네트워크 엘리먼트에 대한 현재의 위치 정보를 보유한다. 또한, Mobile IP 프로토콜은, 이동 네트워크 엘리먼트가 현재 연결된 비지트 또는 포린 네트워크에 있어서의 라우터인 포린 에이전트를 규정한다. 포린 에이전트는 라우팅 서비스를 이동 네트워크 엘리먼트에 제공하며, 패킷들을 이동 네트워크 엘리먼트의 홈 에이전트에 의해 터널링된 이동 네트워크 엘리먼트에 디터널링(detunnel)하고 전달(deliver)한다.

서로 다른 네트워크들을 횡단(traverse)할 수 있는 모바일 노드의 이용과 관련하여, 모바일 노드의 인증이 문제된다. Mobile IPv6의 기본 사양은 모바일 노드의 인증을 위해, IPsec(IP Security) 프로토콜이 모바일 노드와 홈 에이전트 사이에서 이용되도록 요구한다. IPsec은 비교적 강한 보호를 제공할 수 있지만, IPsec의 구현은 모든 경우에 있어 실용적일 수는 없다. 예를 들어, IPsec은 인텐시브한(intensive) 프로세싱이며, 그 결과, 소형 핸드헬드 디바이스에 있어서, IPsec은 상기 디바이스의 이용가능한 처리 용량의 비교적 많은 부분을 소비할 수 있다. 상기 디바이스와 관련된 또 다른 문제점은, 배터리로부터 이용가능한 전원이 제한되어 있으며, IPsec에 의한 처리 부하(processing load)는 이용가능한 배터리 용량의 비교적 빠른 고갈을 일으킨다는 것이다.

IPsec을 이용하는 인증 메카니즘은 모바일 노드의 홈 IP 어드레스에 기초하고 있다. 따라서, IPsec의 이용은 모바일 노드가 다이나믹 홈 어드레스를 취득하는 것을 방지할 수 있다. 또한, 일부 경우에 있어서는, 비지트 네트워크 등과 같 은 네트워크 내에서 모바일 노드가 초기에 개시될 경우, 모바일 노드는 자신의 IP 어드레스를 인식하지 못할 수 있다. 그 결과, 모바일 노드는 IPsec 인증 메카니즘을 실행하기 위한 이용가능한 IP 어드레스를 갖지 못할 수 있다.

일반적으로, 모바일 노드를 효율적으로 인증하기 위한 방법 및 장치가 제공된다. 예를 들어, 모바일 노드의 인증 방법은, 인증 정보를 포함하는 Mobile IPv6 등록 요청을 모바일 노드로부터 수신하는 단계를 포함한다. 이 등록 요청에 포함된 인증 정보에 기초하여, 모바일 노드를 인증하기 위한 절차가 행해진다. 성공적인 등록을 알리는 응답이 모바일 노드에 송신된다.

그외의 특징들 또는 대안적 특징들은 이하의 설명, 도면, 및 클레임으로부터 명백해질 것이다.

도 1은 일부 실시예에 따른 인증 메카니즘이 구현되는 비지트 또는 포린 네트워크와 홈 네트워크를 갖는 이동 통신 네트워크 구성의 일례를 나타내는 블록도.

도 2는 일 실시예에 따른 모바일 노드의 인증 처리의 메시지 흐름도.

도 3 내지 도 5는 일부 실시예에 따른 수 개의 메시지의 포맷을 나타내는 도면.

이하의 설명에서는, 일부 실시예의 이해를 제공하기 위해 수많은 상세 설명이 개시된다. 그러나, 당업자라면 실시예들이 이들 상세 설명이 없어도 실시가능 하며 설명된 실시예들로부터 수많은 변경 및 개조가 가능하다는 것을 이해할 것이다.

도 1은 제1 무선 네트워크(10) 및 제2 무선 네트워크(12)를 포함하는 무선 이동 통신 네트워크 구성의 일례를 나타낸다. 각 무선 네트워크는 셀들의 구성을 포함하며, 각 셀은 이동국(예컨대, 이동 전화기)들과 RF(radio frequency) 시그널 통신을 하는 무선 기지국을 구비한다. 이 두 개의 무선 네트워크는 서로 다른 서비스 제공자와 관련될 수 있다.

도 1에 나타낸 구성은 CDMA(code-division multiple access) 2000 패밀리의 표준들에 따라 구현되는 이동 또는 무선 통신 네트워크의 일례이다. CDMA 2000 표준들은 3GPP2(Third Generation Partnership Project 2)에 의해 개발되었다. CDMA 2000 무선 네트워크는 회로-교환 서비스 및 패킷-교환 서비스의 양자를 지원할 수 있다.

다른 실시예들에 있어서는, TDMA(time-division multiple access) 프로토콜에 기초하는 이동 통신 네트워크 등의 다른 종류의 이동 통신 네트워크들이 채용될 수 있다. 패킷-교환 서비스를 지원하는 TDMA 프로토콜의 일례는 UMTS(Universal Mobile Telecommunications System) 표준이다. 여기서 언급되는 패킷-교환 서비스를 지원하는 무선 프로토콜들은, 다른 실시예에서는 다른 프로토콜이 이용될 수 있는 바와 같이, 단지 예로서 제공되는 것이다.

일부 실시예에서 적용될 수 있는 다른 무선 기술들은 IEEE 802.11a, WCDMA(Wideband CDMA), GPRS(General Packet Radio Service), GSM(Global System for Mobile) 등을 포함한다. 전술한 바와 같이, 이동성의 개념은 무선 네트워크 대신에 유선 네트워크에도 적용될 수 있다.

이동성은, 이동 네트워크 엘리먼트들이 유선 접속에 의해 네트워크에 연결되는 유선 통신 네트워크 구성에 있어서도 제공될 수 있다. 유선 접속은 주로 이동 네트워크 엘리먼트와 각 네트워크 간의 다이렉트 케이블 접속의 폼을 갖는다. 대안적으로, 유선 접속의 구성은, 이동 네트워크 엘리먼트가 그 엘리먼트에 매우 근접해 있는 기지국들 - 이 기지국들은 네트워크에 유선접속해 있음 - 과 무선으로 통신하는 무선 LAN(local area network)을 포함할 수도 있다. 여기서 기술된, 네트워크 내의 모바일 노드의 인증에 대한 개념들은 무선 이동 통신 네트워크 구성(CDMA 또는 TDMA 무선 네트워크 구성이나 무선 LAN 구성 등) 또는 유선 네트워크 구성에 적용할 수 있다. 유선 콘텍스트(context)에 있어서, 홈 네트워크(12)는 하나의 도메인을 나타내는 한편, 포린 네트워크(10)는 또 다른 도메인을 나타낸다. 무선 네트워크 대신에, 모바일 노드들이 유선 접속을 통해 각 네트워크에 액세스한다.

이하의 설명에 있어서, "모바일 노드(moibile node)" 또는 "이동국(mobile station)"은 무선 또는 무선 노드인 모바일 노드 또는 이동국을 가리킨다.

도 1에 나타낸 바와 같이, 주어진 이동국(16)의 관점으로부터, 이동 통신 네트워크는 홈 네트워크(12)와 비지트 또는 포린 네트워크(10)를 포함한다. 이동국(16)은 홈 네트워크(12)를 지원하는 서비스 제공자의 가입자와 관련되어 있다. 그러나, 이동국(16)은 비지트 무선 네트워크(10)에 의해 커버되는 위치로 이동할 수 있다. 다른 이동국들의 관점에서는, 네트워크(10)는 홈 네트워크인 반면, 네트워크(12)는 잠재적으로 비지트 또는 포린 네트워크이다.

도 1은 이동국(16)이 홈 무선 네트워크(12)가 커버하는 영역의 외부로 이동하거나 포린 무선 네트워크(10)로 이동하는 것을 나타낸다. 그러나, 또 다른 이동국(17)이 자신의 홈 무선 네트워크 내에 남아 있다는 것에 유념하라. 포린 무선 네트워크(10)는, 각 셀들 또는 셀 섹터들에 있어서의 무선 통신을 제어하는 RNC(radio network controller)들 또는 BSC(base station controller)들과 복수의 BTS(base transceiver system)들을 포함하는 무선 네트워크(14)를 포함한다. 일단 포린 무선 네트워크(10)에 연결되면, 이동국(16)은 무선 네트워크(14)와 제어 시그널링 통신이 가능해지며 RF(radio frequency) 신호들 또는 다른 무선 신호들을 통해 트래픽 처리를 행할 수 있다. 마찬가지로, 홈 네트워크(12)도 이동국(17)에 에어 인터페이스(air interface)를 제공하는 무선 네트워크(44)를 포함한다.

IP(internet protocol) 환경 등의 패킷-교환 환경에서의 네트워크들 간에 끊김없는 이동성은 Mobile IP에 의해 규정된다. Mobile IP(Mobile IPv6)의 일 버젼은 2003년 6월 발행된 "IP Mobility Support in IPv6, draft-ietf-mobileip-ipv6-24.txt,"라는 타이틀의 IETF(Internet Engineering Task Force) Internet Draft, 또는 2004년 6월 발행된 "Mobility Support for IPv6,"라는 타이틀의 RFC 3775에 기술되어 있다. 본 명세서에서 사용되는 "Mobile IP" 또는 "Mobile IPv6"라는 용어는, Mobile IPv6 뿐만 아니라, Mobile IPv6 프로토콜로부터 파생되거나 발전된 임의의 후속 Mobile IP 프로토콜을 지칭한다. IP의 일 버젼으로는, 1981년 9월 발 행된 "Internet Protocol,"이라는 타이틀로 RFC 791에 기술되어 있는 IPv4가 있으며, IP의 또 다른 버젼으로는, 1998년 12월 발행된 "Internet Protocol, Version 6(IPv6) Specification"이라는 타이틀로 RFC 2460에 기술되어 있는 IPv6가 있다. 패킷-교환 통신에 있어서, 패킷들 또는 데이터의 다른 유닛들은, 그 패킷들 또는 데이터 유닛들을 수신처 종단점(endpoint)에 하나 이상의 경로를 통해 라우팅하는 데 이용되는 라우팅 정보(네트워크 어드레스들의 폼으로)를 운반한다. 그러나, 일부 실시예에서는 네트워크상에서 다른 패킷-교환 프로토콜들 및 이동성 프로토콜들을 이용하여 적용될 수 있음을 유념하라.

회로-교환 음성 또는 그외의 트래픽을 통신하기 위해, 무선 네트워크(14 또는 44)는, 개시 이동국(mobile station-originated) 또는 종료 이동국(mobile station-terminated) 트래픽의 교환을 담당하는 각 MSC(mobile switching center)(18 또는 46)에 결합된다. 실질적으로, MSC(18 또는 46)는, 무선 네트워크(10 또는 12)와 PSTN(public switched telephone network)(20) 등의 공중 교환 네트워크(public switched network)들 또는 그외의 MSC들과의 사이에서 최종 사용자 트래픽을 시그널링하기 위한 인터페이스이다. PSTN(20)은 전화기(22) 등의 지상라인(landline) 터미널들에 접속된다.

또한, 무선 네트워크(10 또는 12)는, 패킷 데이터가 기지국과 다른 종단점 사이에서 전송되는 패킷-교환 데이터 서비스를 지원할 수 있으며, 상기 종단점은 패킷 기반 데이터 네트워크(24)에 결합된 터미널 또는 패킷 데이터를 전송할 수 있는 또 다른 이동국이 될 수 있다. 패킷-기반 데이터 네트워크(24)의 예에는 사설 망(private network)(LAN 또는 WAN 등) 및 공중망(public network)(인터넷 등)이 포함된다. 패킷 데이터는 이동국과 다른 종단점 사이에 확립된 패킷 교환 통신 세션에 전송된다.

패킷 데이터의 통신을 위해, 무선 네트워크(14 또는 44)는 PDSN(packet data serving node)(26 또는 42)에 의해 패킷들의 중계(relay)를 관리한다. 다른 종류의 무선 프로토콜들에 의해, 개시 이동국 또는 종료 이동국 패킷 데이터의 통신에 다른 종류의 개체(entity)들이 포함된다. 더 일반적으로, 패킷-데이터의 통신을 관리하는 무선 네트워크에 있어서의 노드(PDSN 26 또는 42)는 "패킷 서비스 노드" 로서 언급된다.

PDSN(26 또는 42)는 링크 계층 세션(link layer session)들을 이동국들에 확립하고, 유지하고, 종료하며, 개시 이동국 또는 종료 이동국 패킷 데이터 트래픽을 라우팅한다. PDSN(26 또는 42)는 컴퓨터(28) 또는 네트워크 전화기(30) 등의 다양한 종단점들에 접속되는 패킷-기반 데이터 네트워크(24)에 결합된다. 패킷-교환 통신의 예들은 웹 브라우징, 전자 메일, 텍스트 대화 세션(text chat session), 파일 전송, 양방향 게임 세션(interactive game session), 보이스-오버-IP(Internet Protocol)(voice-over-IP) 세션 등을 포함한다. 일 실시예에 있어서, 패킷-교환 통신은 IP에 의해 규정된 비연결형 인터네트워크 계층(connectionless internetwork layer)을 이용한다.

Mobile IPv6에 따른 이동 네트워크(예컨대, 무선 네트워크 10 또는 12)에 있어서 모바일 노드의 인증을 위해, 일부 실시예에 따른 경량(lightweight) 프로토콜 이 실현된다. 경량 프로토콜은, 모바일 노드를 인증하기 위해 종래에 사용되던 IPsec(IP Security) 프로토콜보다 인텐시브한 프로세싱은 아니다. 경량 프로토콜은, 인증 정보 엘리먼트를 모바일 노드와 이 모바일 노드를 등록하기 위한 홈 에이전트(40) 간에 이미 교환되어야 할 등록 메시지들에 삽입함으로써, 모바일 노드의 인증이 수행되게 한다. 인증 정보 엘리먼트는 홈 에이전트로 하여금 모바일 노드를 인증하도록 허용한다. 인증 정보 엘리먼트 외에도, NAI(network access identifier) 정보 엘리먼트 및 리플레이 어택 보호(Replay attack protection) 정보 엘리먼트도 등록 메시지에 포함될 수 있다.

모바일 노드가 모바일 네트워크 내에서 처음으로 기동될 경우, 모바일 노드는 홈 에이전트(예컨대, 40)에 의해 등록 절차를 수행한다. 홈 에이전트(40)는, 일 구현에 있어서, PDSN(40)의 부분이다. 또는, 홈 에이전트(40)는 분리 컴포넌트일 수도 있다. 또한, 비지트 네트워크(10)의 PDSN(26)에 포린 에이전트(64)가 제공된다는 것에 주목하라.

Mobile IPv6에 따른 등록 절차의 일부로서, 모바일 노드는 바인딩 업데이트(Binding Update) 메시지를 자신의 홈 에이전트에 송신한다. 일부 실시예에 따라, 바인딩 업데이트 메시지에 제공된 부가 정보 엘리먼트들은: (1)모바일 노드의 NAI(network access identifier), (2)홈 에이전트에 의해 모바일 노드의 인증을 가능하게 하는 인증 정보, 및 (3)리플레이 어택 보호에 사용될 식별자(ID) 이동성 정보를 포함한다. 리플레이 어택(Replay attack)은, 해커가 네트워크를 액세스하는 권한을 얻지 못하도록, 해커가 패킷들로부터 정보를 카피하기 위해 네트워크를 통 하여 패킷들을 감시하는 데 있어서의 어택을 지칭한다.

바인딩 업데이트 메시지의 이들 부가 정보 엘리먼트들은 (모바일 노드의 NAI를 저장하기 위한) MN-NAI 모빌리티 옵션(MN-NAI Mobility Option), (인증 정보를 저장하기 위한) 인증 모빌리티 옵션(Authentication Mobility Option), 및 (ID 정보를 저장하기 위한) ID 모빌리티 옵션(ID Mobility Option)으로서 참조된다. 인증, MN-NAI, 및 ID 모빌리티 옵션들은 바인딩 업데이트 메시지의 이동성 헤더(mobility header)의 부분이다. 이동성 헤더는 바인딩들의 생성 및 관리와 관련된 메시징에 있어서 모바일 노드들, 홈 에이전트들, 및 그외의 노드들에 의해 사용되는 연장 헤더(extension header)이다.

바인딩 업데이트 메시지에 NAI를 포함시킴으로써, 홈 에이전트는 인증 정보 엘리먼트와 함께, NAI를 이용하여, 모바일 노드를 인증하기 위한 AAA(Authentication, Authorization, Accounting) 서버에 의해 인증 절차를 수행할 수 있다. 또한, NAI 엘리먼트는 모바일 노드가 신규의 홈 IP 어드레스를 취득가능하게 한다. 이러한 메카니즘은, 모바일 노드가 PPP(Point-to-Point Protocol) 세션은 확립했지만 아직 홈 IP 어드레스는 갖지 않은 경우에 유용하다. PPP는, 1994년 7월 발행된 "The Point-to-Point Protocol(PPP),"이라는 타이틀의 RFC 1661에 기술되어 있다. 또한, 이 메카니즘은, 모바일 노드가 자신의 홈 네트워크를 리넘버링(renumbering)하기 때문에, 또는 모바일 노드가 주기적으로 IP 어드레스를 변경시키기 때문에, 자신의 홈 IP 어드레스를 변경하고 있을 경우에 이용될 수 있다.

ID 모빌리티 옵션은(ID Mobility Option)은 리플레이 어택 보호를 위한 타임 스탬프 또는 난스(nonce)(랜덤 넘버 또는 랜덤 넘버와 타임스탬프의 조합)를 포함한다. 예를 들어, 타임스탬프가 포함되는 경우, 홈 에이전트는 현재 시각과 ID 모빌리티 옵션에 포함된 타임스탬프의 비교에 기초하여 너무 오래된 것으로 판정되는 리플레이 어택 동안의 메시지들을 폐기할 수 있을 것이다.

도 2는 일 실시예에 따른, 홈 에이전트에 의한 모바일 노드의 인증 처리에 대한 메시지 흐름도를 나타낸다. 모바일 노드는 이동국(16)(도 1), 이동국(17), 또는 그외의 임의의 모바일 노드가 될 수 있다. 초기에, 모바일 노드가 처음으로 기동되는 경우, 모바일 노드는 PDSN을 통해 ICMP(Internet Control Message Protocol) 홈 에이전트 어드레스 디스커버리 요청(Home Agent Address Discovery Request)을 패킷 데이터 네트워크에 송신한다(102에서). 이 경우, PDSN은 라우터로서 기능한다는 것에 주목하라. ICMP는 1981년 9월 발행된 "Internet Control Message Protocol." 이라는 타이틀의 RFC 792에 의해 기술되어 있다. ICMP 홈 에이전트 어드레스 디스커버리 요청은 홈 에이전트(예컨대, 도 1의 40)에 의해 수신되거나, 또는 ICMP 홈 에이전트 어드레스 디스커버리 응답 메시지에 의해 응답하는(104에서) 비지트 네트워크(10)(비지트 네트워크 오퍼레이터에 의해 구성된) 내의 다른 임의의 지정 라우터에 의해 수신된다. 이 응답 메시지는 모든 이용가능한 홈 에이전트들의 리스트를 포함한다. 홈 에이전트들의 리스트의 수신 시, 모바일 노드는 홈 에이전트를 리스트로부터 선택하고(106에서), 홈 에이전트로부터의 정보에 기초하여 모바일 노드의 홈 IP 어드레스를 선택적으로 생성한다. 홈 에이전트의 선택은 리스트 내의 홈 에이전트들의 순서 등과 같은 다양한 기준에 기초할 수 있 다. 또는, 모바일 노드의 홈 IP 어드레스는 차후에 할당될 수도 있다.

다음, 모바일 노드는 바인딩 업데이트 메시지를 선택된 홈 에이전트에 송신한다(108에서). 바인딩 업데이트 메시지는 일부 실시예에 있어서는, 인증, MN-NAI, 및 ID 모빌리티 옵션들을 포함한다. 바인딩 업데이트 메시지의 나머지 컨텐트는 일 구현예에 따라, (모바일 노드의 홈 어드레스를 수송하기 위한) 홈 IP 어드레스 필드, 및 IPv6 사양에 의해 규정된 바와 같은 그외의 정보 엘리먼트들을 포함한다.

일부 경우에 있어서, 모바일 노드는 바인딩 업데이트 메시지의 홈 IP 어드레스 필드에 있어서 제로 값을 송신할 수 있다. 이에 응답하여, 홈 에이전트는 바인딩 업데이트 메시지에 포함된 NAI에 기초하여 모바일 노드에 대해 고유한 홈 IP 어드레스를 할당한다.

바인딩 업데이트 메시지의 수신 시, 홈 에이전트는 바인딩 업데이트 메시지의 인증 모빌리티 옵션 내의 인증 필드(도 5와 연계하여 설명된)의 유효성을 체크한다(109에서). 이 유효성은 인증자(Authenticator) 필드에 포함된 공유 비밀 키에 기초한다. 다음, 홈 에이전트는 바인딩 업데이트 메시지의 ID 모빌리티 옵션 내의 ID 필드를 이용하여 리플레이 어택에 대해 체크한다(110에서). 홈 에이전트는, 타임스탬프가 현재 시각으로부터 소정의 시간(예컨대, 500밀리세컨드) 이상으로 차이나지 않음을 보증하기 위한 체크를 행한다. 만약, 타임스탬프의 체크가 현재 시각이 타임스탬프보다 소정량만큼 더 큰 것을 가리킨다면, 홈 에이전트는 에러 코드와 함께 바인딩 확인 메시지를 반송함으로써 에러가 발생한 것을 나타낸다. 이 에러에 응답하여, 모바일 노드는 후속하는 바인딩 업데이트 메시지의 ID 필드 값을 갱신할 수 있다.

상기 체크가, 바인딩 업데이트 메시지가 리플레이 어택의 부분이 아닌 것을 나타낸다고 가정하면, 홈 에이전트는 액세스-요청(Access-Request)을 홈 AAA(Authentication, Authorization, and Accounting) 서버(38)(도 1)에 송신한다(112에서). 비지트 네트워크(10)에는 포린 AAA 서버(66)가 제공된다. 홈 AAA 서버(38)는 홈 네트워크에 접속을 시도하는 모바일 노드에 대한 인증 및 권한 부여 서비스를 제공한다. 홈 AAA 서버(38)에 의해 제공되는 인증 및 권한 부여 서비스들은 인증 모빌리티 옵션 내의 정보 및 모바일 노드의 NAI에 기초하여 이루어진다. 이 경우, 액세스-요청 메시지 내에서 통신되는 NAI는 바인딩 업데이트 메시지로부터 추출된 NAI이다. 또한, 액세스-요청 메시지는 바인딩 업데이트 메시지 내의 인증 모빌리티 옵션으로부터 추출된 인증 필드를 포함한다. 모바일 IP AAA는 2000년 10월 발행된 "Mobile IP Authentication, Authorization, and Accounting Requirements,"라는 타이틀의 RFC 2977에 기술되어 있다. 액세스-요청 메시지는 1997년 4월 발행된 RFC 2138에 기술된, RADIUS(Remote Authentication Dial In User Service) 프로토콜에 따른 것이다. 그러나, 다른 실시예들에 있어서는, 다른 형태의 메시지가 홈 에이전트와 홈 AAA 서버 간에 채용될 수 있다.

액세스-요청 메시지에 응답하여, 홈 AAA 서버는 모바일 노드를 인증하고(114) 액세스-액셉트 메시지(또한 일 구현예에 따른 RADIUS 메시지)를 반송하여(116), 성공적인 인증을 나타낸다. AAA 서버에 의해 수행된 인증은 MN-NAI 모빌리 티 옵션의 NAI 뿐만 아니라, 바인딩 업데이트 메시지의 인증 모빌리티 옵션 내의 인증 정보에도 기초하여 이루어진다는 것에 유념하라.

다음, 홈 에이전트는, 중복 어드레스(duplicate address)가 할당되었는지 여부를 검출하는 바인딩 업데이트 메시지에 있어서 전달된 홈 어드레스에 대한 중복 어드레스 검출을 수행한다(118). 만약, 중복 어드레스 검출이 성공적으로 수행되었다면, 홈 에이전트는, 본질적으로 바인딩 업데이트 메시지의 경우와 동일한 양의 정보를 포함하는 바인딩 확인 메시지를 반송한다(120). 특히, 일부 실시예에 따르면, 바인딩 확인 메시지는 바인딩 업데이트 메시지 내에 전달되는 MN-NAI 모빌리티 옵션, 인증 모빌리티 옵션, 및 ID 모빌리티 옵션을 포함한다. 또한, 바인딩 확인 메시지는 모바일 노드의 홈 IP 어드레스를 수송하기 위한 홈 IP 어드레스 필드를 포함한다. 바인딩 확인 메시지 내의 ID 모빌리티 옵션은 리플레이 어택에 대한 보호를 위해 모바일 노드에 의해 이용될 수 있다는 것을 유념하라.

모바일 노드에 의해 수행된 도 2의 태스크들은, 모바일 IP 계층(50)(도 1) 및/또는 모바일 노드(예컨대, 도 1의 이동국(17))에 있어서의 다른 소프트웨어 계층들에서 구현될 수 있다. 도 1에 도시된 이동국(17)은 무선 링크를 통해 무선 네트워크(44)와 통신하기 위한 무선 인터페이스(52)도 포함한다. 이동국(17)의 소프트웨어 계층들은 CPU(central processing unit)(54)상에서 실행가능하다. 이동국(17)에서의 데이터 및 명령어들은 저장 장치(56)에 저장가능하다.

마찬가지로, 홈 에이전트에 의해 수행된 도 2의 태스크들은 Mobile IP 계층(58)(도 1) 및/또는 그외의 소프트웨어 계층들에서 행해질 수도 있다. 홈 에이전 트의 소프트웨어 계층들은 CPU(60)상에서 실행가능하며, 데이터 및 명령어들은 저장 장치(62)에 저장가능하다.

도 3은 바인딩 업데이트 또는 바인딩 확인 메시지에 포함된 MN-NAI 모빌리티 옵션의 포맷예를 나타낸다. MN-NAI 모빌리티 옵션은 옵션의 종류를 가리키는 Type 필드(202), 및 NAI 필드(206)에 포함되어 있는 NAI의 길이를 가리키는 Length 필드(204)를 포함한다. NAI의 일례는 user1@nortelnetworks.com 이다. 모바일 노드의 NAI는 모바일 노드의 IP 어드레스와는 상이하다는 것에 유념하라.

도 4에 나타낸 바와 같이, 바인딩 업데이트 또는 바인딩 확인 메시지의 ID 모빌리티 옵션은 Type 필드(302), Length 필드(304), 및 난스나 타임스탬프를 포함하는 ID 필드(306)를 포함한다.

인증 모빌리티 옵션은 도 5에 나타내었다. 이 옵션은 타입(Type) 필드(402), 서브타입(Subtype) 필드(406)의 길이를 나타내는 길이(Length) 필드(404), SPI 필드(408), 및 인증자(Authenticator) 필드(410)(결합된)를 포함한다. Subtype 필드(406)는 메시지를 인증하는 데 사용되는 개체(entity) 및/또는 메카니즘을 식별하기 위해 할당된 번호이다. SPI 필드(408)는 메시지를 인증하는 데 사용되는 특정 보안 연계(security association)를 식별하는 데 이용된다. Authenticator 필드(410)는 모바일 노드를 인증하기 위한 정보를 포함한다. 일 구현예에 있어서, 인증 모빌리티 옵션은 모빌리티 헤더를 포함하는 메시지 내의 마지막 옵션이다.

Authenticator 필드(410)는 다음의 정보를 포함한다:

Authenticator = First(96,HMAC_SHA1(MN-HA Shared Key, Mobility 데이터)

기본적으로, Authenticator 필드(410)는 다음의 두 데이터 요소, 즉 MN-HA Shared Key, Mobility 데이터의 해시 함수(hash function)(HMAC_SHA1에 의해 정의된)의 처음의 96 비트를 포함한다. 해시 함수는, 공유 키의 보안 통신을 가능하게 하는 SHA-1(보안 해시 알고리즘-1) 등의 일방향(one-way) 해시 함수이다. MN-HA Shared Key는 모바일 노드와 홈 에이전트 간의 공유 비밀 키이다. 만약, 홈 에이전트가 이 공유 키의 카피본을 갖지 않으면, 홈 에이전트는 인증 동작들을 수행하기 위한 상기 키를 검색하기 위해 홈 AAA 서버(38)(도 1)를 액세스할 수 있다.

인증자 필드에 포함된 Mobility 데이터는 다음과 같이 정의된다:

Mobility 데이터 = COA(care-of address)｜홈 어드레스｜MH 데이터｜SPI.

COA는 모바일 노드의 홈 어드레스로 어드레스된 패킷들이 라우팅되는 (비지트 네트워크에 있어서의) IP 어드레스이다. 홈 어드레스는 홈 네트워크 내의 모바일 노드의 IP 어드레스이다. MH 데이터는 바인딩 업데이트 메시지의 이동성 헤더 내의 정보를 포함한다. SPI는 인증 모빌리티 옵션(도 5)의 SPI 필드(408)로부터 유래된 것이다.

모바일 노드로부터 바인딩 업데이트 메시지(도 2의 108)를 수신할 때, 홈 에이전트는 인증 모빌리티 옵션(도 5)으로부터 인증자 필드(410) 및 SPI 필드(408)의 내용을 추출한다. 또한, 홈 에이전트는 MN-NAI 모빌리티 옵션(도 3)의 NAI 필드(206)로부터 NAI를 추출한다. NAI, 인증자 및 SPI 값들은 홈 에이전트에 의해 AAA 서버로 송신되는 액세스-요청(또는 다른 종류의 메시지)에 포함된다.

일부 실시예에 따라 경량(lightweight) 인증 메카니즘을 이용함으로써, IPsec 등 종래의 메카니즘들에 의해 제공된 경우에 비해 더 효율적인 인증 절차가 제공된다. 예를 들어, IPsec에 대하여 비교적 긴 세션 설정 시간은 일부 실시예에 따른 경량 인증 메카니즘의 이용에 의해 회피될 수 있다. 또한, 경량 인증 메카니즘은 모바일 노드들의 처리 자원들에 대해 더 효율적으로 이용가능하게 한다.

홈 에이전트(또는 홈 네트워크에 있어서의 다른 균등한 개체) 및 이동국에 의해 수행되는 태스크들은 홈 에이전트 및 이동국 내의 소프트웨어에 의해 제공된다. 그러한 소프트웨어 경로들 또는 모듈들의 명령어들은 대응 시스템들 내의 하나 이상의 기억 장치에 저장되며, 대응 프로세서들에서의 실행을 위해 로딩된다. 이 프로세서들은 마이크로프로세서, 마이크로컨트롤러, 프로세서 모듈 또는 서브시스템(하나 이상의 마이크로프로세서 또는 마이크로컨트롤러를 포함), 또는 다른 제어 장치 또는 연산 장치를 포함한다. 본 명세서에서 사용된 "컨트롤러"는 하드웨어, 소프트웨어, 또는 이들의 조합을 말한다. "컨트롤러"는 단일 컴포넌트 또는 복수의 컴포넌트(소프트웨어든 하드웨어든)를 지칭할 수 있다.

데이터 및 (소프트웨어의) 명령어들은 하나 이상의 기계 판독가능한 기억 매체로서 구현되는 각 기억 장치들에 저장된다. 이 기억 매체는, DRAM(dynamic random access memory) 또는 SRAM(static random access memory), EPROM(erasable and programmable read-only memory), EEPROM(electrically erasable and programmable read-only memory) 및 플래시 메모리 등의 반도체 메모리 장치들, 고정 디스크, 플로피 디스크, 및 분리성 디스크 등의 자기 디스크들, 테이프를 포함 하는 그외의 자기 매체, CD(compact disk)나 DVD(digital video disk) 등의 광 매체를 포함하여, 상이한 형태들의 메모리를 포함한다.

소프트웨어의 명령어들은 많은 다양한 방식 중 하나의 방식으로 각 개체에 로딩 또는 전송된다. 예를 들어, 플로피 디스크, CD 또는 DVD 매체, 하드 디스크에 저장되거나, 네트워크 인터페이스 카드, 모뎀, 또는 그외의 인터페이스 장치를 통해 전송되는 명령어들을 포함하는 코드 세그먼트들은 개체로 로딩되고, 대응 소프트웨어 경로들 또는 모듈들로서 실행된다. 로딩 또는 전송 처리에 있어서, 반송파(전화 회선, 네트워크 회선, 무선 링크, 케이블 등을 통해 전송되는)들 내에 포함된 데이터 신호들은 명령어들을 포함하여 코드 세그먼트들을 개체에 전송한다. 이러한 반송파들은 전기 신호, 광 신호, 음향(acoustical) 신호, 전자기 신호, 또는 다른 종류의 신호들의 형태를 갖는다.

본 명세서에서는 제한된 수의 실시예에 대해 기재되었지만, 당업자라면 이들로부터의 수많은 변경 및 변형들을 예상할 것이다. 첨부하는 청구범위는 이러한 변경 및 변형들이 본 발명의 사상 및 범위 내에 속하도록 의도된 것이다.

Claims

모바일 노드를 인증하는 방법으로서,

모바일 노드로부터, 인증 정보를 포함하는 Mobile IPv6 등록 요청을 수신하는 단계;

상기 Mobile IPv6 등록 요청에 포함된 인증 정보에 기초하여, 상기 모바일 노드를 인증하기 위한 절차를 수행하는 단계; 및

상기 모바일 노드에 성공적인 등록을 알리는 응답을 송신하는 단계;

를 포함하는 모바일 노드의 인증 방법.
제1항에 있어서,

상기 인증 정보를 포함하는 상기 Mobile IPv6 등록 요청을 수신하는 단계는, 인터넷 프로토콜 보안(Internet protocol Security) 정보와는 상이한 인증 정보를 포함하는 Mobile IPv6 등록 요청을 수신하는 단계를 포함하는 모바일 노드의 인증 방법.
제1항에 있어서,

상기 Mobile IPv6 등록 요청을 수신하는 단계는, 상기 인증 정보 및 네트워크 액세스 식별자를 포함하는 Mobile IPv6 등록 요청을 수신하는 단계를 포함하는 모바일 노드의 인증 방법.
제3항에 있어서,

상기 Mobile IPv6 등록 요청을 수신하는 단계는, 상기 인증 정보, 네트워크 액세스 식별자, 및 리플레이 프로텍션 필드(replay protection field)를 포함하는 Mobile IPv6 등록 요청을 수신하는 단계를 포함하며,

상기 모바일 노드를 인증하기 위한 절차를 수행하는 단계는, 상기 리플레이 프로텍션 필드에 기초하여 리플레이 어택(replay attack)을 체크하는 단계를 포함하는 모바일 노드의 인증 방법.
제4항에 있어서,

상기 리플레이 프로텍션 필드는 타임스탬프(timestamp)와 난스(nonce) 중 적어도 하나를 포함하며,

상기 리플레이 어택을 체크하는 단계는, 상기 타임스탬프와 난스 중 적어도 하나에 기초하는 모바일 노드의 인증 방법.
제1항에 있어서,

상기 Mobile IPv6 등록 요청을 수신하는 단계는, Mobile IPv6 바인딩 업데이트(Binding Update) 메시지를 수신하는 단계를 포함하는 모바일 노드의 인증 방법.
제5항에 있어서,

상기 모바일 노드에 상기 응답을 송신하는 단계는, 상기 인증 정보를 포함하 는 Mobile IPv6 바인딩 확인(Binding Acknowledgment) 메시지를 송신하는 단계를 포함하는 모바일 노드의 인증 방법.
제7항에 있어서,

상기 인증 정보, 네트워크 액세스 식별자, 및 리플레이 프로텍션 필드를 상기 바인딩 확인 메시지에 부가하는 단계를 더 포함하는 모바일 노드의 인증 방법.
제8항에 있어서,

상기 리플레이 프로텍션 필드는, 상기 모바일 노드에 의한 리플레이 어택에 대한 체크를 가능하게 하기 위해 타임스탬프와 난스 중 적어도 하나를 포함하는 모바일 노드의 인증 방법.
제7항에 있어서,

상기 인증 정보는, SPI(Security Parameter Index) 값 및 인증자(Authenticator) 값을 포함하고, 상기 인증자 값은 상기 모바일 노드와 홈 에이전트 간에 공유된 비밀 키를 적어도 포함하는 정보를 해싱(hashing)하여 유도된 값의 일부를 적어도 포함하는 모바일 노드의 인증 방법.
제1항에 있어서,

상기 모바일 노드를 인증하기 위한 절차를 수행하는 단계는,

상기 인증 정보를 상기 Mobile IPv6 등록 요청으로부터 추출하는 단계; 및

상기 Mobile IPv6 등록 요청에 응답하여, 상기 인증 절차를 수행하도록 AAA(Authentication, Authorization and Accounting) 서버에 메시지를 송신하는 단계를 포함하는 모바일 노드의 인증 방법.
제1항에 있어서,

상기 인증 정보는, SPI(Security Parameter Index) 값 및 인증자(Authenticator) 값을 포함하며, 상기 인증자 값은 상기 모바일 노드와 홈 에이전트 간에 공유된 비밀 키를 적어도 포함하는 정보를 해싱(hashing)하여 유도된 값의 일부를 적어도 포함하는 모바일 노드의 인증 방법.
모바일 네트워크 내의 시스템에 의해 실행될 경우, 상기 시스템으로 하여금,

상기 모바일 네트워크 내의 모바일 노드를 인증하는 데 이용되는 인증 정보를 포함하는 Mobile IPv6 등록 메시지를 수신하고,

상기 Mobile IPv6 등록 메시지에 포함된 인증 정보에 기초하여, 상기 모바일 노드를 인증하기 위한 절차를 수행하고,

상기 모바일 노드에 성공적인 등록을 알리는 응답을 송신하게 하는

명령어들을 포함하는 컴퓨터 판독가능한 기억 매체.
제13항에 있어서,

상기 인증 정보는 인터넷 프로토콜 보안(Internet Protocol Security) 정보와는 상이한 컴퓨터 판독가능한 기억 매체.
제13항에 있어서,

상기 시스템은 이동국(mobile station)을 포함하며, 상기 명령어들이 실행될 경우, 상기 이동국으로 하여금 상기 인증 정보를 포함하는 Mobile IPv6 바인딩 확인 메시지를 수신하게 하는 컴퓨터 판독가능한 기억 매체.
제15항에 있어서,

상기 Mobile IPv6 바인딩 확인 메시지의 수신은, 상기 모바일 노드의 네트워크 액세스 식별자 및 상기 인증 정보를 포함하는 Mobile IPv6 바인딩 확인 메시지의 수신을 포함하는 컴퓨터 판독가능한 기억 매체.
제13항에 있어서,

상기 시스템은 홈 에이전트를 포함하며, 상기 명령어들이 실행될 경우, 상기 홈 에이전트로 하여금 상기 인증 정보를 포함하는 Mobile IPv6 바인딩 업데이트 메시지를 수신하게 하는 컴퓨터 판독가능한 기억 매체.
제17항에 있어서,

상기 명령어들이 실행될 경우, 상기 홈 에이전트로 하여금, 인증 절차를 수행하도록 AAA(Authentication, Authorization, Accounting) 서버에 액세스 요청을 더 송신하도록 하고,

상기 AAA 서버에 송신되는 메시지는, 상기 Mobile IPv6 바인딩 업데이트 메시지 내에 상기 인증 정보를 포함하는 컴퓨터 판독가능한 기억 매체.
제13항에 있어서,

상기 Mobile IPv6 등록 메시지는 리플레이 프로텍션 필드를 더 포함하며,

상기 명령어들이 실행될 경우, 상기 시스템으로 하여금, 상기 Mobile IPv6 등록 메시지 내의 상기 리플레이 프로텍션 필드를 이용하여 리플레이 어택에 대한 검출을 더 행하게 하는 컴퓨터 판독가능한 기억 매체.
제13항에 있어서,

상기 Mobile IPv6 등록 메시지의 수신은, 상기 모바일 노드의 네트워크 액세스 식별자를 더 포함하는 Mobile IPv6 등록 메시지의 수신을 포함하는 컴퓨터 판독가능한 기억 매체.
제13항에 있어서,

상기 인증 정보는, SPI(Security Parameter Index) 값 및 인증자(Authenticator) 값을 포함하며, 상기 인증자 값은 모바일 노드와 홈 에이전트 간에 공유된 비밀 키를 적어도 포함하는 정보를 해싱(hashing)하여 유도된 값의 일부를 적어도 포함하는 컴퓨터 판독가능한 기억 매체.
모바일 노드로서,

홈 에이전트를 포함하는 모바일 네트워크와 통신하는 인터페이스; 및

상기 홈 에이전트가 상기 모바일 노드를 인증가능하게 하는 인증 필드를 포함하는 바인딩 업데이트 메시지를 상기 홈 에이전트에 송신하고, 상기 홈 에이전트에 의해 상기 모바일 노드가 성공적으로 인증되었음을 나타내는 바인딩 확인 메시지를 상기 홈 에이전트로부터 수신하는 컨트롤러

를 포함하는 모바일 노드.
제22항에 있어서,

상기 바인딩 업데이트 메시지는, 상기 모바일 노드의 네트워크 액세스 식별자를 더 포함하는 모바일 노드.
제23항에 있어서,

상기 바인딩 업데이트 메시지는, 리플레이 어택 프로텍션 필드를 더 포함하는 모바일 노드.
제22항에 있어서,

상기 인증 필드는 인터넷 프로토콜 보안 정보와는 상이한 정보를 포함하는 모바일 노드.
제25항에 있어서,

상기 바인딩 업데이트 메시지는, Mobile IPv6 바인딩 업데이트 메시지를 포함하는 모바일 노드.