KR20070122460A - 유무선 네트워크에 적합한 액세스 인증 방법 - Google Patents

유무선 네트워크에 적합한 액세스 인증 방법 Download PDF

Info

Publication number
KR20070122460A
KR20070122460A KR1020077021553A KR20077021553A KR20070122460A KR 20070122460 A KR20070122460 A KR 20070122460A KR 1020077021553 A KR1020077021553 A KR 1020077021553A KR 20077021553 A KR20077021553 A KR 20077021553A KR 20070122460 A KR20070122460 A KR 20070122460A
Authority
KR
South Korea
Prior art keywords
user terminal
access point
key
authentication
message
Prior art date
Application number
KR1020077021553A
Other languages
English (en)
Other versions
KR101260536B1 (ko
Inventor
시아오롱 라이
준 카오
홍 구오
젠하이 후앙
비안링 창
Original Assignee
차이나 아이더블유엔콤 씨오., 엘티디
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 차이나 아이더블유엔콤 씨오., 엘티디 filed Critical 차이나 아이더블유엔콤 씨오., 엘티디
Publication of KR20070122460A publication Critical patent/KR20070122460A/ko
Application granted granted Critical
Publication of KR101260536B1 publication Critical patent/KR101260536B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

유무선 네트워크에 적합한 액세스 인증 방법이 제공되며, 이 방법은 액세스 포인트의 인증 서버와 사용자 단말기의 인증 서버 사이에서 보안 채널을 사전 설정하는 단계; 및 사용자 단말기와 액세스 포인트에서 인증 과정을 수행하는 단계를 포함한다. 상기 인증 과정은 1) 액세스 포인트가 인증_활성화 메시지를 전송하는 단계; 2) 사용자 단말기가 사용자 단말기의 인증 서버에게 요청 메시지를 전송하는 단계; 3) 사용자 단말기의 인증 서버가 사용자 단말기에 응답 메시지를 전송하는 단계; 및 4) 인증이 완료되는 단계를 포함한다. 본 발명의 방법은 네트워크 사용자가 복수의 네트워크를 액세스하는데 하나의 아이덴티티를 이용하는 것이 불가능하다는 기존의 기술적인 문제점을 해결하였고, 모든 네트워크 환경에 적용 가능하며, 네트워크 사용자가 하나의 아이덴티티로 복수의 네트워크를 액세스해야 한다는 요건을 충족하고, 일부 네트워크 환경 하에서 암호화 없이 상기 요건을 충족한다. 본 발명의 방법은 액세스 포인트와 로컬 인증 서버 간의 강한 보안 연관성, 개선된 확장성, 향상된 성능, 및 개선된 보안성에 대한 필요성을 해결하였다.
액세스 포인트, 인증 서버, 사용자 단말기, 요청 메시지, 응답 메시지

Description

유무선 네트워크에 적합한 액세스 인증 방법{An Access Authentication Method Suitable for Wired and Wireless Networks}
본 발명은 네트워크 기술에 관한 것으로, 특히 유무선 네트워크에 적합한 액세스 인증 방법에 관한 것이다.
현재까지, 사용자들이 이용하는 각종 방식으로 자원을 제공하는 다양한 이용가능 네트워크들이 존재한다. 물리적인 매체에 따라, 네트워크 액세스의 형태는 ADSL, HomePNA, 케이블 모뎀, VDSL, 및 이더넷을 포함한다. 이 중에서, 저렴하고 대역이 보다 넓은 이더넷은 점점 광대역 네트워크 액세스의 주된 형태가 되었고, 이용가능한 전화선을 이용하는 ADSL은 거주지에서 살고 있고 작은 사무실/가정의 사무실에서 일을 하는 사용자들의 네트워크 액세스의 주된 형태가 되었다. 무선 LAN용의 IEEE 802.11, 광대역 무선 액세스용의 IEEE 802.16, 이동 광대역 무선 액세스용 IEEE 802.20, GSM 글로벌 이동 통신 시스템, 및 3G 이동 통신과 같은 상기 형태의 무선 네트워크 액세스들이 있다.
유선 또는 무선 네트워크 액세스인 네트워크 액세싱은 사용자와 네트워크 간의 인증 방법을 필요로 한다. 모든 액세스 형태는 자신의 인증 방법을 제공하며, 이들 방법은 공통점이 있고, 마찬가지로 서로 다른 점도 있다.
이용 가능한 광대역 유선 액세스에는 주로 3가지의 사용자 인증 방법, 즉 PPPoE, 웹/포털, 및 802.1x가 있다. 이들은 모두 사용자만을 인증하는 일방향 인증이며, 사용자는 무조건 네트워크를 신뢰한다. 네트워크에서의 사용자의 신뢰는 물리적인 라인 접속을 통해 보장된다. 그러나, PPPoE 및 802.1x의 인증 방법에서는, 양방향 인증을 지원하기 위해 EAP(Extensible Authentication Protocol) 인증 방법이 사용되기 시작하였다.
현재, 유선 액세스 네트워크에서는 링크 암호화 방법들이 이용되지 않는다. 이들 방법 중에서, 웹/포털 인증 방법은 세션 키를 생성할 수 없고, 사용자와 세션 키의 바인딩 및 링크 암호화를 지원하지도 않는다. 대조적으로, PPPoE 및 802.1x 인증 방법들은 링크 암호화를 지원하나 보통 사용되지 않는다.
보안은 유선 네트워크에서보다 무선 네트워크에서 훨씬 더 심각한 문제이며, 모든 종류의 무선 기술은 보안을 달성하기 위해 인증 및 링크 암호화를 이용한다.
IEEE 802.11은 초기에는 정적 공유 키와 WEP(Wired Equivalent Privacy)에 기반을 둔 인증 및 암호화 방법을 이용하였고, IEEE 802.16은 공개 키 인증에 기반을 둔 일방향 인증 방식을 이용하였다. 현재는 어느 방법도 본 요구에 적응될 수 없다. 이제, IEEE 802.11은 새로운 보안법, 즉 WPA(WiFi Protected Access)/IEEE 802.11i 및 WAPI(WLAN Authentication and Privacy Infrastructure)를 채택하고 있다. 또한, IEEE 802.16은 이전의 IEEE 802.16 기술을 향상시키기 위해 새로운 워킹 그룹 IEEE 802.16e를 마련하였다.
WPA/802.11i는 802.Ix+EPA 보안 기술을 이용하고, WAPI 보안 시스템은 공개 키 기술을 이용하며, WAPI에서 인증 서버는 인증서의 인증 및 관리를 위해 사용된다. 이동 단말기와 무선 액세스 포인트에는 식별 서버에 의해 발행되는 공개 키 인증서가 자신의 디지털 아이덴티티의 증거로서 제공된다. 이동 단말기가 무선 액세스 포인트에 로그온할 때, 이동 단말기와 액세스 포인트는 인증 서버와 함께 서로의 아이덴티티를 체크해야 한다.
IEEE 802.16e에 대해서는, 지금 초안 형태가 아직도 논의 중이다. IEEE 802.16의 향상을 나타내는 인증 방법이 양방향 인증을 제공하나, 사용될 특정 방법은 지금도 여전히 논의 중이다.
GSM은 대칭 키 기반의 일방향 인증 기술을 채택한 2세대 이동 통신 기술이다. 3G는 인증 기술이 GSM의 인증 기술을 향상을 나타내고 양방향 인증을 지원하는 3세대 이동 통신 기술이다.
이상의 분석 결과, 유무선 네트워크의 경우 인증이 매우 필요하다. 사용자는 네트워크 자원을 방문하기 위해 다른 네트워크 액세스 형태를 이용하지만 하나의 인증용 아이덴티티를 이용하기를 원하는 추세이다. 하나의 인증용 아이덴티티를 이용하기 위해서는 인증 방법들의 수렴이 필요하며, 이는 현존하는 인증 방법에 새로운 요구를 부과한다. 이 이유 때문에, 현재 사용중인 인증 방법들을 통합하고 유무선 네트워크에 적합한 인증 방법들을 설정하는 것이 매우 필요하다.
그러나, 상기한 인증 방법들은 모두 하나의 아이덴티티를 이용한 인증에 대한 요구를 충족시키기에 적합하지 않다. GSM/3G에 의해 표현되는 대칭키 기반 인증 방법들은 키 관리 면에서 복잡하여 사용자가 단지 하나의 아이덴티티를 이용하 여 여러 네트워크를 액세스하는 요건을 충족하기가 매우 어렵다. IEEE 802.16 인증 방법은 PKI(Public Key Infrastructure) 시스템에 의존한다. PKI 기술을 액세스 시스템에 적용하는데 어려움이 있다. 즉, PKI 기술이 분산 액세스를 내포하므로, 사용자는 한정되지 않은 복수의 자원을 액세스할 수 있다. 그러나, 액세스 시스템에서, 인증 성공 전에, 사용자 단말기는 자원을 액세스할 수 없고, 단지 제한 또는 한정된 자원을 액세스할 수 있다. 이에 따라, IEEE 802.16의 인증 방법은 일방향 인증만을 달성할 수 있다.
IEEE 802.11i에서 나타낸 802.1x+EAP 인증 방법은 대칭 키 및 공개키 인증 방법을 지원한다. 상기 방법에서는, 인증 서버가 사용자 단말기와 직접 키 협상을 수행하고, 다음에 인증 서버는 협상으로 도출된 키를 액세스 포인트에 전송하며, 사용자 단말기와 액세스 포인트는 서로 동적 공유 키에 기초하여 인증과 세션 키 협상을 수행한다. 현재 널리 적용되는 인증 기술은 비교적 완성도가 높은 기술이지만, 아직도 다음과 같은 문제점들이 있다:
1. IEEE 802.1x의 구조는 대칭 구조가 아니다. 사용자 단말기와 액세스 포인트는 그 기능이 크게 다르다. 사용자 단말기는 단말기 제어 기능이 없고, 액세스 포인트는 인증 기능이 없어, 인증은 사용자 단말기와 인증 서버 간에 수행된다. 인증 서버가 액세스 포인트와 동일한 시스템으로 구현될 수도 있지만, 이는 액세스 포인트의 중앙 제어에서 IEEE 802.1x의 이점을 크게 감소시킬 것이다.
2. 확장성이 낮다. 각 액세스 포인트와 인증 서버 사이에는 미리 정의된 보안 터널이 있다. 보안 터널이 많을수록 인증 서버 시스템의 자원이 더 많이 소비 되고, 관리가 더 복잡해지며, 따라서 다수의 보안 터널을 배열하는 것은 권할 만한 사항이 못되며, 다수의 보안 터널이 배열되면 네트워크 확장성이 제한되게 된다.
3. 키 협상 과정이 복잡해진다. 키가 사용자 단말기와 액세스 포인트 사이의 데이터를 보호하기 위해 사용되나, 먼저 사용자 단말기와 인증 서버 간에, 그리고 다음에 사용자 단말기와 액세스 포인트 간에 협상이 요구된다.
4. 새로운 공격 지점이 도입되어 보안성이 떨어진다. 사용자 단말기와 인증 서버 간의 협상으로 도출된 메인 키가 인증 서버에 의해 액세스 포인트에 전송된다. 키가 네트워크상에서 전달됨에 따라, 새로운 보안 공격 지점들이 도입된다.
5. 인증 단말기는 독립된 아이덴티티가 없다. 사용자 단말의 경우, 동일 인증 서버에 의해 관리되는 인증 단말기의 아이덴티티들은 구별 불가능하다. 한 아이덴티티를 다른 아이덴티티와 구별하는 것이 필요한 애플리케이션 환경에서는 여분의 기능 엔티티들이 추가되어야 한다. 이에 따라 구성이 더 복잡해진다.
이상의 분석에서 알 수 있는 바와 같이, 기존의 액세스 인증 방법들은 우리의 요구를 충족시킬 수 없다.
본 발명은 유무선 네트워크에 적합한 액세스 인증 방법을 제공하고, 네트워크 사용자가 여러 네트워크를 액세스하기 위해 하나의 아이덴티티를 사용할 수 없는 기존의 기술적인 문제점을 해결하기 위한 것이다.
본 발명이 기초를 둔 네트워크 구조는 도 1에 도시되어 있고, 여기서 User는 사용자 단말기이고, AP는 액세스 포인트이며, F-AS와 H-AS는 각각 액세스 포인트의 인증 서버와 사용자 단말기의 인증 서버이다. 사용자 단말기(User)와 액세스 포인트(AP)는 둘 다 각각의 인증 서버에 의해 발행되는 공용 키 인증서, 및 대응 사설키를 갖고 있다. 도 1에서, 점선들은 논리 보안 접속을 나타내고, 실선들은 실제의 물리적 접속을 나타낸다. 사용자 단말기의 인증 서버(H-AS)와 액세스 포인트의 인증 서버(F-AS) 사이에는, 보안 채널 A_<F-AS, H-AS>가 존재한다. 이들은 상호 신뢰를 구축하고 있다. 알려지지 않은 네트워크가 F-AS와 H-AS 사이를 지나가야 할 때, 제어 불가능 보안 위협 요인들이 증가하며, 따라서 메시지를 보호하기 위해 보안 채널이 상기 인증 서버들 사이에 사전 설정된다. 하나의 F-AS가 많은 AP를 관리해야 하고 이들 AP는 동일 관리 영역에 속하므로, 확장성을 고려하여, 보안 신호 채널이 F-AS와 AP 사이에 사전 설정되지 않으며, 이들 사이에서 전송되는 메시지의 보안이 인증 프로토콜 하에서 보장된다.
본 발명의 기술적 해결책은 유무선 네트워크에 적합한 액세스 인증 방법이며, 이 방법은,
1) 보안 채널을 설정하되, 보안 채널은 메시지를 보호하기 위해 액세스 포인트의 인증 서버(F-AS)와 사용자 단말기의 인증 서버(H-AS) 사이에서 사전 설정되는 단계;
2) 상기 사용자 단말기와 상기 액세스 포인트에서 인증 과정을 행하고 상호 아이덴티티 인증을 완료하는 단계를 포함하고,
상기 단계 2)는,
2.1) 상기 액세스 포인트가 인증_활성화 메시지를 전송하되, 상기 액세스 포인트는 인증 챌린지(NCH)를 포함하는 인증_활성화 메시지를 상기 사용자 단말기에 전송하는 단계;
2.2) 상기 사용자 단말기가 상기 사용자 단말기의 인증 서버에게 요청 메시지를 전송하는 요청 메시지 전송 단계로서,
2.2.1) 상기 사용자 단말기가 액세스_인증_요청 메시지를 전송하되, 상기 인증_활성화 메시지를 수신한 후, 상기 사용자 단말기는 사용자 단말기가 수신한 인증 챌린지(NCH), 사용자 단말기 인증서(Certu), 사용자 단말기의 난수(Nu), 및 사용자 단말기에 의한 상기 내용상의 서명을 포함하는 액세스_인증_요청 메시지를 액세스 포인트에 전송하는 단계;
2.2.2) 상기 액세스 포인트가 식별_요청 메시지를 전송하되, 상기 액세스 포인트가 상기 액세스_인증_요청 메시지를 수신한 후, 상기 사용자 단말기의 인증서에 따라 체크시 수신한 인증 챌린지(NCH)와 전송한 인증 챌린지(NCH)가 동일하고 서명이 정확하면, 상기 액세스 포인트는 사용자 단말기의 인증서(Certu), 상기 액세스 포인트의 인증서(CertAP), 상기 액세스 포인트의 난수(NAP), 사용자 단말기 난수(Nu), 및 액세스 포인트에 의한 상기 내용상의 서명을 포함하는 식별_요청 메시지를 상기 액세스 포인트의 인증 서버에 전송하고, 상기 수신한 인증 챌린지(NCH)와 상기 전송한 인증 챌린지(NCH)가 동일하지 않으면, 상기 액세스 포인트는 인증 과정을 중단하는 단계;
2.2.3) 상기 액세스 포인트의 인증 서버가 로밍_식별_요청 메시지를 전송하되, 상기 액세스 포인트의 인증 서버는 상기 식별_요청 메시지를 수신한 후, 상기 액세스 포인트의 인증서에 따라 상기 액세스 포인트의 서명을 체크하고, 체크 결과에 따라 상기 액세스 포인트의 초기 인증서 체크 결과(RESAP)를 구성하며, 상기 초기 인증서 체크 결과는 상기 액세스 포인트의 인증서 및 그 인증서의 유효 상태 정보를 포함하고, 상기 액세스 포인트의 인증 서버는 상기 사용자 단말기의 인증서에 따라 상기 사용자 단말기의 인증 서버의 위치를 결정하고, 상기 액세스 포인트의 초기 인증서 체크 결과, 상기 사용자 단말기의 난수(Nu), 및 상기 사용자 단말기의 인증서(Certu)를 포함하는 로밍_식별_요청 메시지를 구성하여 상기 사용자 단말기의 인증 서버에 전송하는 단계를 포함하는 상기 요청 메시지 전송 단계;
2.3) 상기 사용자 단말기의 인증 서버가 상기 사용자 단말기에 응답 메시지를 전송하는 응답 메시지 전송 단계로서,
2.3.1) 상기 사용자 단말기의 인증 서버가 로밍_식별_응답 메시지를 전송하되, 상기 사용자 단말기의 인증 서버는 상기 로밍_식별_요청 메시지를 수신한 후, 상기 사용자 단말기의 인증서를 체크하고, 체크 결과에 따라 상기 사용자 단말기의 인증서 및 그 인증서의 유효 상태 정보를 포함하는 상기 사용자 단말기의 초기 인증서 체크 결과(RESu)를 구성하고, 다음에, 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 상기 액세스 포인트의 초기 인증서 체크 결과(RESAP), 상기 사용자 단말기의 난수(Nu), 및 상기 내용상의 상기 사용자 단말기의 인증 서버의 서명(SigH-AS)을 포함하는 액세스 포인트의 최종 인증서 체크 결과를 발생하고, 상기 사용자 단말기의 인증 서버는 상기 사용자 단말기의 초기 인증서 체크 결과, 상기 사용자 단말기의 속성, 및 상기 액세스 포인트의 최종 인증서 체크 결과를 포함하는 로밍_식별_응답 메시지를 상기 액세스 포인트의 인증 서버에 전송하는 단계;
2.3.2) 상기 액세스 포인트의 인증 서버가 식별_응답 메시지를 전송하되, 상기 액세스 포인트의 인증 서버는 상기 로밍_식별_응답 메시지를 수신한 후, 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 상기 액세스 포인트의 초기 인증서 체크 결과(RESAP), 상기 액세스 포인트의 난수(Nap), 및 상기 내용상의 상기 액세스 포인트의 인증 서버의 서명(SigH-AS)을 포함하는 사용자 단말기의 최종 인증서 체크 결과를 발생하고, 상기 액세스 포인트의 인증 서버는 상기 사용자 단말기의 최종 인증서 체크 결과 및 상기 액세스 포인트의 최종 인증서 체크 결과를 포함하는 식별_응답 메시지를 구성하여 상기 액세스 포인트에 전송하는 단계;
2.3.3) 상기 액세스 포인트가 인증_응답 메시지를 전송하되, 상기 액세스 포인트는 식별_응답 메시지를 수신한 후, 상기 액세스 포인트의 최종 인증서 체크 결과를 포함하는 인증_응답 메시지를 상기 사용자 단말기에 전송하고, 다음에, 상기 사용자 단말기의 최종 인증서 체크 결과를 체크하여, 상기 사용자 단말기의 최종 인증서 체크 결과가 적절하면, 상기 액세스 포인트는 상기 사용자 단말기와의 다음 단계 통신을 계속 수행하고, 그렇지 않으면 상기 액세스 포인트는 인증 과정을 중단하는 단계를 포함하는 상기 응답 메시지 전송 단계;
2.4) 인증이 완료되되, 상기 사용자 단말기가 메시지를 수신한 후, 상기 사용자 단말기의 최종 인증서 체크 결과가 적절하면 상기 인증이 완료되며, 상기 사용자 단말기는 상기 액세스 포인트와의 다음 단계 통신을 계속 수행하고, 그렇지 않으면 상기 사용자 단말기는 인증 과정을 중단하는 단계를 포함한다.
상기 사용자 단말기와 액세스 포인트에 의한 상기 인증 단계들은,
1) 상기 액세스 포인트가 상기 사용자 단말기에 전송하는 인증_활성 메시지가 상기 액세스 포인트에 의해 지원되는 키 협상 방법의 타입을 포함하는 것;
2) 상기 사용자 단말기가 상기 액세스 포인트에 전송하는 액세스_인증_요청 메시지가 상기 사용자 단말기에 의해 선택된 키 협상 방법의 타입을 포함하고, 상기 선택된 타입이 상기 사용자 단말기에 의해 사인 되는 것 간의 키 협상 동안에 채택되는 방법을 결정하는 단계를 포함한다.
상기 사용자 단말기와 액세스 포인트에 의한 상기 인증 단계들은,
1) 상기 액세스 포인트가 상기 사용자 단말기에 전송하는 인증_활성 메시지가 상기 액세스 포인트에 의해 지원되는 인증 방법의 타입을 포함하는 것;
2) 상기 사용자 단말기가 상기 액세스 포인트에 전송하는 액세스_인증_요청 메시지가 상기 사용자 단말기에 의해 선택된 인증 방법의 타입을 포함하고, 상기 선택된 인증 방법 타입은 본 발명을 채택하고 상기 사용자 단말기에 의해 사인 된 인증 방법을 나타내는 것;
3) 상기 인증_요청 메시지, 로밍_식별_요청 메시지, 로밍_식별_응답 메시지, 식별_응답 메시지, 및 인증_응답 메시지는 모두 상기 사용자 단말기에 의해 선택된 인증 방법의 타입을 포함하고, 상기 식별_요청 메시지 내의 상기 선택된 인증 방법의 타입은 상기 액세스 포인트에 의해 사인 되는 것에 의해 채택되는 인증 방법의 타입을 결정하는 단계를 포함한다.
상기 로밍_식별_요청 메시지는 상기 액세스 포인트의 속성(ATTAP)을 포함하고, 상기 로밍_식별_응답 메시지는 상기 사용자 단말기의 속성(ATTu)을 포함하며, 상기 액세스 포인트의 최종 인증서 체크 결과는 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 액세스 포인트의 초기 인증서 체크 결과(RESAP), 사용자 단말기의 난수(Nu), 액세스 포인트의 속성(ATTAP), 및 상기 사용자 단말기의 인증 서버에 의한 상기 내용상의 서명(SigH-AS)을 포함하고, 상기 사용자 단말기의 최종 인증서 체크 결과는 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 액세스 포인트의 초기 인증서 체크 결과(RESAP), 액세스 포인트의 난수(NAP), 사용자 단말기의 속성(ATTU), 및 상기 액세스 포인트의 인증 서버에 의한 상기 내용상의 서명(SigF-AS)을 포함한다.
상기 방법은 상기 인증 과정을 완료한 후의 상기 사용자 단말기와 액세스 포인트 간의 키 협상 과정을 포함하고, 상기 키 협상 과정은,
1) 상기 액세스 포인트가 키_협상_챌린지 메시지를 전송하되, 상기 액세스 포인트는 상기 사용자 단말기와 액세스 포인트의 아이덴티티에 따라 상기 액세스 포인트의 보안 인덱스(SPIAP)를 발생하고, 동시에 난수(NI)를 발생하며, 상기 보안 인덱스(SPIAP) 및 상기 난수(NI)를 포함하는 키_협상_챌린지 메시지를 상기 사용자 단말기에 전송하는 단계;
2) 상기 액세스 포인트가 키_협상_요청 메시지를 전송하되, 상기 사용자 단말기는 키_협상_챌린지 메시지를 수신한 후, 상기 사용자 단말기와 액세스 포인트의 아이덴티티에 따라 보안 인덱스(SPIU)를 발생하고, 다음에 SPIAP와 SPIU가 일치하는지의 여부를 체크하며, 일치하면, 난수(NKEY)를 공유 시크릿(shared secret)으로서 발생하고, 상기 액세스 포인트의 공개 키 암호화(NKEY)를 이용하여 키 협상 정보를 발생하며, 그 후, 상기 사용자 단말기는 상기 사용자 단말기의 보안 인덱스(SPIU), 키 협상 정보, 난수(N1), 및 사용자 단말기에 의한 상기 정보상의 서명을 포함하는 키_협상_요청 메시지를 상기 액세스 포인트에 전송하는 단계;
3) 상기 액세스 포인트가 키_협상_응답 메시지를 전송하되, 상기 액세스 포인트는 키_협상_요청 메시지를 수신한 후, 사용자 단말기의 서명이 정확한지를 검증하고, 다음에, 암호화를 위한 액세스 포인트의 사설 키를 이용하여 NKEY를 얻고, SPIAP와 SPIU가 일치하는지의 여부 및 수신된 난수(NI)와 키_협상_챌린지 메시지 내에 상기 액세스 포인트가 전송한 난수가 일치하는지의 여부를 체크하고, 모두 일치하면, 상기 액세스 포인트는 함수(f)(NKEY, N1, SPIAP, "어휘 열(lexical string)")를 발생하기 위해 상기 키를 사용하여 데이터 유니캐스트 키(UK), HMAC 키, 유니캐스트/그룹 키 암호 키(KK)를 포함한 모든 키를 계산하며, 상기 액세스 포인트는 그룹 키(GK)를 발생하고, 시스템 상태에 따라 그룹 데이터 일련 번호(SN)와 그룹 키 통지 일련 번호(GN)를 설정하고, 다음에 상기 액세스 포인트는 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 그룹 키(GK)를 암호화하며, 이를 키_협상_응답 메시지로서 액세스 포인트의 보안 인덱스(SPIAP), 그룹 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값과 함께 상기 사용자 단말기에 전송하는 단계;
4) 상기 사용자 단말기가 키_협상_확인 메시지를 전송하되, 상기 사용자 단말기는 메시지를 수신한 후, SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 함수(f)(NKEY, N1, SPIU, "어휘 열")를 발생하기 위해 상기 키를 사용하여 데이터 유니캐스트 키(UK), HMAC 키, 유니캐스트/그룹 키 암호 키(KK)를 포함한 모든 키를 계산하며, 상기 정확한 HMAC 값이 수신되었는지를 검증한 후, 암호화를 위한 유니캐스트/그룹 키 암호 키(KK)를 이용하여 그룹 키(GK)를 얻고, 다음에 키_협상_확인 메시지로서 상기 사용자 단말기의 보안 인덱스(SPIU), 그룹 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값을 상기 액세스 포인트에 전송하고, 상기 사용자 단말기는 제어 포트를 개방하고, 상기 액세스 포인트와의 통신을 허용하는 단계;
5) 상기 키 협상이 완료되되, 상기 액세스 포인트는 상기 메시지를 수신한 후 SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 그룹 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 HMAC 값이 정확한지를 체크하고, 그 후, 제어 포트를 개방하고, 사용자 단말기와의 통신을 허용하는 단계를 포함한다.
상기 방법은 상기 사용자 단말기와 액세스 포인트에 의해 수행되는 유니캐스트 키를 갱신하는 과정을 포함하고, 이 갱신 과정은,
1) 상기 사용자 단말기가 유니캐스트 키_갱신_요청 메시지를 전송하되, 상기 사용자 단말기는 유니캐스트 키 갱신을 개시시키고, 새로운 유니캐스트 키(UK)를 생성하고, 난수를 챌린지(Nonce)로서 생성하며, 새로운 유니캐스트 키 갱신 일련 번호(Un)를 선택하고, 유니캐스트/그룹 키 암호화 키(KK)를 사용하여 키(UK)를 암호화하며, 이 키를 유니캐스트 키_갱신_요청 메시지로서 사용자 단말기의 보안 인덱스(SPIU), 암호화된 유니캐스트 키(UK), 유니캐스트 키 갱신 일련 번호(Un), 챌린지(Nonce) 및 그 HMAC 값과 함께 상기 액세스 포인트에 전송하는 단계;
2) 상기 액세스 포인트가 유니캐스트 키_갱신_응답 메시지를 전송하되, 상기 액세스 포인트는 상기 메시지를 수신한 후, SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 상기 유니캐스트 키 갱신 일련 번호(Un)가 새로운 번호이고 상기 HMAC 값이 정확한지를 검증한 후에, 새로운 유니캐스트 키(UK)를 얻기 위해 암호 해제하고, 다음에, 새로운 유니캐스트 키(UK)를 이용하여 챌린지(Nonce)를 암호화하며, 이를 유니캐스트 키_갱신_응답 메시지로서 상기 액세스 포인트의 보안 인덱스(SPIAP), 유니캐스트 키 갱신 일련 번호(Un) 및 그 HMAC 값과 함께 상기 사용자 단말기에 전송하는 단계;
3) 상기 사용자 단말기가 새로운 유니캐스트 키를 설치하되, 상기 사용자 단말기는 상기 메시지를 수신한 후, SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면 유니캐스트 키 갱신 일련 번호(Un)가 상기 사용자 단말기가 전송한 값과 동일한 지를 검증하고, 상기 HMAC 값이 정확한지를 검증한 후, Nonce를 얻기 위해 암호 해제하며, 상기 Nonce가 유니캐스트 키_갱신_요청 메시지 내에서 전송한 Nonce와 일치하는지를 알아내기 위해 비교를 행하고, 일치하면, 상기 사용자 단말기가 새로운 유니캐스트 키를 설치하고, 상기 비교 또는 검증을 통과하지 못하면 유니캐스트 갱신 과정을 반복하는 단계를 포함한다.
상기 유니캐스트 키 갱신은 상기 액세스 포인트에 의해 개시될 수 있다.
상기 방법은 상기 사용자 단말기와 액세스 포인트에 의해 수행되는 그룹 키 통지 과정을 포함하고, 상기 그룹 키 통지 과정은,
1) 상기 액세스 포인트가 그룹_키_통지 메시지를 전송하되, 상기 액세스 포인트는 새로운 그룹 키(GK)를 생성하고, 시스템의 상태에 따라 멀티캐스트 데이터 일련 번호(SN)와 새로운 그룹 키 통지 일련 번호(Gn)를 설정하고, 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 상기 그룹 키(GK)를 암호화하며, 이 키를 그룹_키_통지 메시지로서 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값과 함께 상기 사용자 단말기에 전송하는 단계;
2) 상기 사용자 단말기가 멀티캐스트_키_확인_ 메시지를 전송하되, 상기 사용자 단말기는 상기 메시지를 수신한 후, 상기 그룹 키 통지 일련 번호(Gn)가 새로운 번호이고 상기 MAC 값이 정확한지를 검증하고, 암호 해제를 위한 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 그룹 키(GK)를 얻고 설치하고, 상기 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HAMC 값을 그룹_키_확인_ 메시지로서 상기 액세스 포인트에 전송하는 단계;
3) 상기 그룹 키 통지가 완료되되, 상기 액세스 포인트는 상기 메시지를 수신한 후, 상기 그룹 키 통지 일련 번호(Gn)와 멀티캐스트 데이터 일련 번호(SN)가 자체 전송한 것과 일치하는지를 검증하고, 일치하면 그리고 상기 HMAC 값이 정확한 것으로 검증되면, 상기 통지가 종료되는 단계를 포함한다.
본 발명은 다음의 이점이 있다.
1. 모든 네트워크 환경에 적용 가능한 본 발명의 방법은 동일한 인증 과정을 이용할 수 있어, 네트워크 사용자가 하나의 아이덴티티로 복수의 네트워크를 액세스해야 한다는 요건을 충족시킬 수 있다.
2. 본 발명의 방법은 모듈 설계의 아이디어를 채택하고, 키 협상 과정으로부터 인증 과정을 분리하고, 일부 네트워크 환경 하에서 무 암호화의 요건을 충족시키며, 두 과정들이 별도로 향상 또는 대체될 수 있으며, 그래서 매우 유연하다.
3. 유니캐스트 키 갱신 과정은 키 협상 과정과는 독립적이며, 다른 키 협상 과정의 이용은 유니캐스트 키 갱신 과정에 영향을 주지 않는다.
4. 본 발명은 등가성(equivalence)의 아이디어를 채택하고, 액세스 포인트에게 그 독립 아이덴티티를 제공하며, 액세스 포인트 자체를 구별가능하게 하고, 액세스 포인트와 로컬 인증 서버 간의 강한 보안 연관성에 대한 필요성을 해결하기 위해 액세스 포인트와 로컬 인증 서버 간의 실질적인 종속성을 제거하고, 개선된 확장성을 제공한다.
5. 키 협상은 사용자 단말기와 액세스 포인트 사이에서 직접 수행되며, 따라서 성능이 향상되고 보안성이 개선된다.
도 1은 본 발명의 방법이 기반으로 하고 있는 네트워크 구조를 나타낸 도면.
도 2는 본 발명의 인증 과정을 나타낸 도면.
도 3은 본 발명의 키 협상 과정을 나타낸 도면.
도 4는 본 발명의 유니캐스트 키 갱신 과정을 나타낸 도면.
도 5는 본 발명의 그룹 키 인증 과정을 나타낸 도면.
본 발명은 구체적으로 후술되는 바와 같이 유무선 네트워크에 적합한 액세스 인증 방법을 제공한다.
보안 신호 채널 A-<F-AS, H-AS>가 사용자 단말기의 인증 서버(H-AS)와 액세스 포인트의 인증 서버(F-AS) 사이에 존재하고, 두 서버는 상호 신뢰가 있다. 알려지지 않은 네트워크가 F-AS와 H-AS 사이를 지나가야 할 때, 제어 불가능 보안 위협 요인들이 증가하며, 따라서 메시지를 보호하기 위해 보안 채널이 상기 인증 서버들 사이에 사전 설정된다. 하나의 F-AS가 동일 관리 영역에 속하는 많은 AP를 관리해야 하므로, 확장성을 고려하여, 보안 신호 채널이 F-AS와 AP 사이에 사전 설 정되지 않으며, 이들 사이에서 전송되는 메시지의 보안이 인증 프로토콜 하에서 보장된다.
1. 사용자 단말기와 액세스 포인트는, 다음과 같이 도 2에 구체적으로 도시된 방식으로, 상호 아이덴티티 인증을 완료하고 사용자 단말기와 액세스 포인트 간의 키 협상을 위해 채택된 방법을 결정하기 위해 인증 과정을 수행한다.
1.1) 액세스 포인트는 액세스 포인트에 의해 지원되는 인증의 타입, 키 협상의 타입, 인증 챌린지(NCH)를 포함하는 인증_활성화 메시지를 사용자 단말기에 전송한다.
1.2) 인증_활성화 메시지를 수신한 후, 사용자 단말기는 사용자 단말기에 의해 선택된 인증 타입과 키 협상 타입과 대응 데이터 내용, 및 사용자 단말기에 의한 상기 내용상의 서명을 포함하는 액세스_인증_요청 메시지를 액세스 포인트에 전송한다. 선택된 인증 타입은 본 발명을 채택하는 인증 방법을 나타내며, 데이터 내용은 수신된 인증 챌린지(NCH), 사용자 단말기의 인증서(Certu) 및 사용자 단말기의 난수 (Nu)를 포함한다.
1.3) 액세스 포인트가 액세스_인증_요청 메시지를 수신한 후, 사용자 단말기의 인증서에 따라 체크시 수신한 인증 챌린지(NCH) 및 전송한 인증 챌린지(NCH)가 동일하고 서명이 정확하면, 액세스 포인트는 사용자 단말기에 의해 선택된 인증 타입, 사용자 단말기의 인증서(Certu), 액세스 포인트의 인증서(CertAP), 액세스 포인 트의 난수(NAP), 사용자 단말기의 난수(Nu), 및 상기 내용상의 액세스 포인트의 서명을 포함하는 식별_요청 메시지를 액세스 포인트의 인증 서버에 전송하고, 그렇지 않으면 액세스 포인트는 인증 과정을 중단한다.
1.4) 액세스 포인트의 인증 서버는 메시지를 수신한 후, 액세스 포인트의 인증서에 따라 액세스 포인트에 의한 서명을 체크하고, 체크 결과에 따라 액세스 포인트의 초기 인증서 체크 결과(RESAP)(액세스 포인트의 인증서 및 액세스 포인트의 인증서의 유효 상태 정보)를 구성한다. 상기 액세스 포인트의 인증 서버는 인증서로부터 얻어진 사용자 단말기의 아이덴티티에 따라, 사용자 단말기의 인증 서버의 위치를 결정하고, 로밍_식별_요청 메시지를 구성하고, 이 로밍_식별_요청 메시지를 사용자 단말기의 인증 서버에 전송한다. 상기 로밍_식별_요청 메시지는 인증 타입, 액세스 포인트의 초기 인증서 체크 결과, 액세스 포인트의 속성(ATTAP)(필요에 따라, 대응 정보, 예컨대 암호화를 위해 액세스 포인트가 사용하는 공개 키 인증서를 포함할 수 있음), 사용자 단말기의 난수(Nu), 및 사용자 단말기의 인증서(Certu)를 포함한다.
1.5) 로밍_식별_요청 메시지를 수신한 후, 사용자 단말기의 인증 서버는 사용자 단말기의 인증서를 체크하고, 체크 결과에 따라 사용자 단말기의 초기 인증서 체크 결과(RESu){사용자 단말기의 인증서 및 그 인증서의 유효 상태 정보}를 구성한다. 다음에, 액세스 포인트의 최종 인증서 체크 결과{RESu, RESAP, Nu, ATTAP, SigH- AS}를 발생한다. 사용자 단말기의 인증 서버에는 사용자 단말기의 속성(ATTu)이 유지되며, 속성의 내용이 애플리케이션 환경에 따라 구성될 수 있다. 사용자 단말기의 인증 서버는 인증서의 타입, 사용자 단말기의 초기 인증서 체크 결과, 사용자 단말기의 속성, 및 액세스 포인트의 최종 인증서 체크 결과를 포함하는 로밍_식별_응답 메시지를 액세스 포인트의 인증 서버에 전송한다.
1.6) 로밍_식별_응답 메시지를 수신한 후, 액세스 포인트의 인증 서버는 사용자 단말기의 최종 속성 체크 결과{RESu, RESAP, Nap, ATTu, SigF-AS}를 발생한다. 액세스 포인트의 인증 서버는 인증서의 타입, 사용자 단말기의 최종 인증서 체크 결과, 및 액세스 포인트의 최종 인증서 체크 결과를 포함하는 식별_응답 메시지를 액세스 포인트에 전송한다.
1.7) 식별_응답 메시지를 수신한 후, 액세스 포인트는 인증 타입 및 액세스 포인트의 최종 인증서 체크 결과를 포함하는 인증_응답 메시지를 사용자 단말기에 전송한다. 다음에, 사용자 단말기의 최종 인증서 체크 결과를 체크한다. 사용자 단말기의 최종 인증서 체크 결과가 적절하면, 액세스 포인트는 사용자 단말기와의 다음 단계 통신을 계속 수행하고, 그렇지 않으면 액세스 포인트는 인증 과정을 중단한다. 키 협상 과정이 인증 과정 후에 수행되지 않아야 하면, 액세스 포인트는 제어 포트를 개방하고, 그렇지 않으면 제어 포트를 개방하지 않는다.
1.8) 사용자 단말기가 메시지를 수신한 후, 액세스 포인트의 최종 인증서 체크 결과가 적절하면, 사용자 단말기는 액세스 포인트와의 다음 단계 통신을 계속 수행하고, 그렇지 않으면 사용자 단말기는 인증 과정을 중단한다. 키 협상 과정이 인증 과정 후에 수행되지 않아야 하면, 사용자 단말기는 제어 포트를 개방하고, 그렇지 않으면 제어 포트를 개방하지 않는다.
2. 사용자 단말기와 액세스 포인트는 인증 과정을 완료한 후, 키 협상 과정을 수행 및 완료한다. 후술하는 특정 상세 사항을 위해 도 3을 참조한다.
2.1) 액세스 포인트는 사용자 단말기와 액세스 포인트의 아이덴티티에 따라 액세스 포인트의 보안 인덱스(SPIAP)를 발생하고, 동시에 난수(N1)를 발생하며, 보안 인덱스(SPIAP) 및 난수(N1)를 포함하는 키_협상_챌린지 메시지를 사용자 단말기에 전송한다.
2.2) 키_협상_챌린지 메시지를 수신한 후, 사용자 단말기는 사용자 단말기와 액세스 포인트의 아이덴티티에 따라 보안 인덱스(SPIU)를 발생하고, 다음에 SPIAP와 SPIU가 일치하는지의 여부를 체크한다. 일치하면, 난수(NKEY)를 공유 시크릿(shared secret)으로서 발생하고, 키 협상 정보를 발생하기 위해 액세스 포인트의 공개 키 암호화(NKEY)를 이용하며, 그 후, 사용자 단말기는 사용자 단말기의 보안 인덱스(SPIU), 난수(Nl), 및 키 협상 정보에 사인을 하며, 사용자 단말기는 사용자 단말기의 보안 인덱스(SPIU), 키 협상 정보, 및 난수(Nl)를 포함하는 사인된 키_협상_요청 메시지를 액세스 포인트에 전달한다.
2.3) 키_협상_요청 메시지를 수신한 후, 상기 액세스 포인트는 사용자 단말 기의 서명이 정확한지를 검증한다. 그 후, 액세스 포인트는 암호화를 위한 액세스 포인트의 사설 키를 이용하여 NKEY를 얻고, SPIAP와 SPIU가 일치하는지의 여부 및 수신된 난수(NI)와 키_협상_챌린지 메시지 내에 자신이 전송한 난수가 모두 일치하는지를 체크한다. 모두 일치하면, 액세스 포인트는 함수(f)(NKEY, N1, SPIAP, "어휘 열(lexical string)")를 발생하기 위해 상기 키를 사용하여 데이터 유니캐스트 키(UK), HMAC 키, 유니캐스트/그룹 키 암호 키(KK)를 포함한 모든 키를 계산하며, 액세스 포인트는 그룹 키(GK)를 발생하고, 시스템 상태에 따라 멀티캐스트 데이터 일련 번호(SN)와 그룹 키 통지 일련 번호(GN)를 설정하고, 키_협상_응답 메시지로서 액세스 포인트의 보안 인덱스(SPIAP), 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값과 함께 상기 일련 번호들을 사용자 단말기에 전송한다.
2.4) 메시지를 수신한 후, 사용자 단말기는 SPIAP와 SPIU가 일치하는지의 여부를 체크한다. 일치하면, 사용자 단말기는 함수(f)(NKEY, N1, SPIU, "어휘 열")를 발생하기 위해 상기 키를 사용하여 데이터 유니캐스트 키(UK), HMAC 키, 유니캐스트/그룹 키 암호 키(KK)를 포함한 모든 키를 계산하며, 상기 정확한 HMAC 값이 수신되었는지를 검증한 후, 암호화를 위한 유니캐스트/그룹 키 암호 키(KK)를 이용하여 그룹 키(GK)를 얻고, 다음에 키_협상_확인 메시지로서 사용자 단말기의 보안 인덱스(SPIU), 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값을 액세스 포인트에 전송한다. 사용자 단말기는 제어 포트를 개방하고, 액세스 포인트와의 통신을 허용한다.
2.5) 메시지를 수신한 후, 액세스 포인트는 SPIAP와 SPIU가 일치하는지의 여부를 체크한다. 일치하면, 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 HMAC 값이 정확한지를 체크하고, 그 후, 제어 포트를 개방하고, 사용자 단말기와의 통신을 허용한다.
3. 사용자 단말기와 액세스 포인트는 유니캐스트 키 갱신 과정을 수행한다. 유니캐스트 키 갱신 과정은 사용자 단말기 또는 액세스 포인트에 의해 개시될 수 있다. 이 과정에서 HMAC 값을 계산하는데 사용되는 키는 키 협상 과정에서 얻어진 HMAC 키이고, 유니캐스트/그룹 키 암호화에 사용된 키는 키 협상 과정에서 얻어진 유니캐스트/그룹 키 암호화 키(KK)이다. 다음과 같이 특수한 세부 사항을 위해 도 4를 참조한다.
3.1) 사용자 단말기는 유니캐스트 키 갱신을 개시시킨다. 사용자 단말기는 새로운 유니캐스트 키(UK)를 생성하고, 난수를 챌린지(Nonce)로서 생성하며, 새로운 유니캐스트 키 갱신 일련 번호(Un)를 선택하고, 유니캐스트/그룹 키 암호화 키(KK)를 사용하여 키(UK)를 암호화하며, 이 키를 유니캐스트 키_갱신_요청 메시지로서 사용자 단말기의 보안 인덱스(SPIU), 암호화된 유니캐스트 키(UK), 유니캐스트 키 갱신 일련 번호(Un), 챌린지(Nonce) 및 그 HMAC 값과 함께 액세스 포인트에 전달한다.
3.2) 메시지를 수신한 후, 액세스 포인트는 SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 유니캐스트 키 갱신 일련 번호(Un)가 새로운 번호이고 HMAC 값이 정확한지를 검증한 후에, 새로운 유니캐스트 키(UK)를 얻기 위해 암호 해제하고, 다음에, 새로운 유니캐스트 키(UK)를 이용하여 챌린지(Nonce)를 암호화하며, 이를 유니캐스트 키_갱신_응답 메시지로서 액세스 포인트의 보안 인덱스(SPIAP), 유니캐스트 키 갱신 일련 번호(Un) 및 그 HMAC 값과 함께 사용자 단말기에 전송한다.
3.3) 사용자 단말기는 새로운 유니캐스트 키를 설치한다. 즉, 메시지를 수신한 후, 사용자 단말기는 SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면 유니캐스트 키 갱신 일련 번호(Un)가 전송한 값과 동일한 지를 검증하고, HMAC가 정확한지를 검증한 후, Nonce를 얻기 위해 암호 해제하며, 상기 Nonce가 유니캐스트 키_갱신_요청 메시지 내에서 전송한 Nonce와 일치하는지를 알아내기 위해 비교를 행하고, 일치하면, 사용자 단말기가 새로운 유니캐스트 키를 설치하고, 상기 비교 또는 검증을 통과하지 못하면 유니캐스트 갱신 과정을 반복한다.
4. 사용자 단말기와 액세스 포인트는 그룹 키 통지 과정을 수행한다. 상기 과정에서 HMAC 값을 계산하는데 사용되는 키는 키 협상 과정에서 얻어진 HMAC 키이고, 유니캐스트/그룹 키 암호화를 위해 사용되는 키는 키 협상 과정에서 얻어진 유니캐스트/그룹 키 암호화 키(KK)이다. 다음과 같이 특정 상세 사항을 위해 도 4를 참조한다.
4.1) 액세스 포인트는 새로운 그룹 키(GK)를 생성하고, 시스템의 상태에 따라 멀티캐스트 데이터 일련 번호(SN)와 새로운 그룹 키 통지 일련 번호(Gn)를 설정하고, 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 그룹 키(GK)를 암호화하며, 이 키를 그룹_키_통지 메시지로서 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값과 함께 사용자 단말기에 전송한다.
4.2) 메시지를 수신한 후, 사용자 단말기는 그룹 키 통지 일련 번호(Gn)가 새로운 번호이고 HMAC 값이 정확한지를 검증하고, 암호 해제를 위한 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 새로운 그룹 키(GK)를 얻으며, 그룹 키(GK)를 설치하고, 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HAMC 값을 그룹_키_확인_ 메시지로서 액세스 포인트에 전송한다.
4.3) 메시지를 수신한 후, 액세스 포인트는 그룹 키 통지 일련 번호(Gn)와 멀티캐스트 데이터 일련 번호(SN)가 자체 전송된 것과 일치하는지를 검증하고, 일치하면, HMAC 값이 정확한 지를 검증하고 통지 과정은 종료된다.
본 발명의 방법에서, 사용자 단말기와 액세스 포인트 사이에서 수행되는 인증 과정, 키 협상 과정, 유니캐스트 키 갱신 과정, 및 그룹 키 통지 과정은 상호 독립적이다. 이 중에서, 인증 과정은 완료되어야 하는 과정이고, 나머지 3개의 과정은 선택적인 것으로, 인증 과정 이후에만 수행된다. 또한, 유니캐스트 키 갱신 과정과 그룹 키 통지 과정은 키 협상 과정이 완료된 후 수행되어야 하며, 두 과정에 대한 순차적인 요건은 없다.
본 발명의 기술 용어들은 다음과 같이 설명된다:
ADSL 비대칭 디지털 가입자 루프(라인)(Asymmetric digital subscriber loop(line))
HomePNA 홈 PNA(Home phone line network alliance)
Cable Modem 케이블 모뎀
VDSL 초고속 디지털 가입자 루프(Very high speed digital subscriber loop)
PPPoE PPPoE(Point-to-point Protocol over the Ethernet)
Web/portal 웹브라우저/포털
802.1x 포트 기반 액세스 제어 프로토콜(Port-based access control protocol)
AP 액세스 포인트
본 발명의 기술적인 기호들은 다음과 같이 정의된다:
AUTHType 인증 방법의 타입
KeyType 키 협상 방법의 타입
NCH 인증 챌린지(Authentication challenge)
Nu 액세스 포인트의 인증서를 검증하기 위한 사용자 단말기의 난수
NAP 사용자 단말기의 인증서를 검증하기 위한 액세스 포인트의 난수
Certu 사용자 단말기의 공개 키 인증서
CertAP 액세스 포인트의 공개 키 인증서
RESu 사용자 단말기 인증서 검증 결과
RESAP 액세스 포인트의 인증서 검증 결과
ATTu 사용자 단말기의 속성
ATTAP 액세스 포인트의 속성
SigU 사용자 단말기의 서명
SigAP 액세스 포인트의 서명
SigF-AS 액세스 포인트의 인증 서버
SigH-AS 사용자 단말기의 인증 서버
ENCAP( ) 액세스 포인트를 이용한 공개키 암호화
ENC(key; ) 키를 이용한 대칭키 대수 암호화
SPI 보안 인덱스
NKBY 랜덤 공유 시크릿
N1 난수
Nonce 난수
SN 멀티캐스트 데이터 일련 번호
GN 그룹 키 일련 번호
HMAC 키를 이용한 하이브리드 기능
(,,, Sig) "sig"는 괄호 내의 다른 내용상의 서명
Un 유니캐스트 일련 번호
GK 그룹 키
UK 유니캐스트 키
KK 유니캐스트/그룹 키 암호화 키
SPIU 사용자 단말기의 보안 인덱스
SPIAP 액세스 포인트의 보안 인덱스

Claims (8)

  1. 유무선 네트워크에 적합한 액세스 인증 방법에 있어서,
    1) 보안 채널을 설정하되, 보안 채널은 메시지를 보호하기 위해 액세스 포인트의 인증 서버와 사용자 단말기의 인증 서버 사이에서 사전 설정되는 단계;
    2) 상기 사용자 단말기와 상기 액세스 포인트에서 인증 과정을 수행하고 상호 아이덴티티 인증을 완료하는 단계를 포함하고,
    상기 단계 2)는,
    2.1) 상기 액세스 포인트가 인증_활성화 메시지를 전송하되, 상기 액세스 포인트는 인증 챌린지(NCH)를 포함하는 인증_활성화 메시지를 상기 사용자 단말기에 전송하는 단계;
    2.2) 상기 사용자 단말기가 상기 사용자 단말기의 인증 서버에게 요청 메시지를 전송하는 요청 메시지 전송 단계로서,
    2.2.1) 상기 사용자 단말기가 액세스_인증_요청 메시지를 전송하되, 상기 인증_활성화 메시지를 수신한 후, 상기 사용자 단말기는 사용자 단말기가 수신한 인증 챌린지(NCH), 사용자 단말기 인증서(Certu), 사용자 단말기 난수(Nu), 및 상기 내용상의 사용자 단말기의 서명을 포함하는 액세스_인증_요청 메시지를 액세스 포인트에 전송하는 단계;
    2.2.2) 상기 액세스 포인트가 식별_요청 메시지를 전송하되, 상기 액세스 포 인트가 상기 액세스_인증_요청 메시지를 수신한 후, 상기 사용자 단말기의 인증서에 따라 체크시 수신한 인증 챌린지(NCH)와 전송한 인증 챌린지(NCH)가 동일하고 서명이 정확하면, 상기 액세스 포인트는 사용자 단말기의 인증서(Certu), 상기 액세스 포인트의 인증서(CertAP), 상기 액세스 포인트의 난수(NAP), 사용자 단말기 난수(Nu), 및 상기 내용상의 액세스 포인트의 서명을 포함하는 식별_요청 메시지를 상기 액세스 포인트의 인증 서버에 전송하고, 상기 수신한 인증 챌린지(NCH)와 상기 전송한 인증 챌린지(NCH)가 동일하지 않으면, 상기 액세스 포인트는 인증 과정을 중단하는 단계;
    2.2.3) 상기 액세스 포인트의 인증 서버가 로밍_식별_요청 메시지를 전송하되, 상기 액세스 포인트의 인증 서버는 상기 식별_요청 메시지를 수신한 후, 상기 액세스 포인트의 인증서에 따라 상기 액세스 포인트의 서명을 체크하고, 체크 결과에 따라 상기 액세스 포인트의 초기 인증서 체크 결과(RESAP)를 구성하며, 상기 초기 인증서 체크 결과는 상기 액세스 포인트의 인증서 및 그 인증서의 유효 상태 정보를 포함하고, 상기 액세스 포인트의 인증 서버는 상기 사용자 단말기의 인증서에 따라 상기 사용자 단말기의 인증 서버의 위치를 결정하고, 상기 액세스 포인트의 초기 인증서 체크 결과, 상기 사용자 단말기의 난수(Nu), 및 상기 사용자 단말기의 인증서(Certu)를 포함하는 로밍_식별_요청 메시지를 구성하여 상기 사용자 단말기의 인증 서버에 전송하는 단계를 포함하는 상기 요청 메시지 전송 단계;
    2.3) 상기 사용자 단말기의 인증 서버가 상기 사용자 단말기에 응답 메시지를 전송하는 응답 메시지 전송 단계로서,
    2.3.1) 상기 사용자 단말기의 인증 서버가 로밍_식별_응답 메시지를 전송하되, 상기 사용자 단말기의 인증 서버는 상기 로밍_식별_요청 메시지를 수신한 후, 상기 사용자 단말기의 인증서를 체크하고, 체크 결과에 따라 상기 사용자 단말기의 인증서 및 그 인증서의 유효 상태 정보를 포함하는 상기 사용자 단말기의 초기 인증서 체크 결과(RESu)를 구성하고, 다음에, 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 상기 액세스 포인트의 초기 인증서 체크 결과(RESAP), 상기 사용자 단말기의 난수(Nu), 및 상기 사용자 단말기의 인증 서버에 의한 상기 내용상의 서명(SigH-AS)을 포함하는 액세스 포인트의 최종 인증서 체크 결과를 발생하고, 상기 사용자 단말기의 인증 서버는 상기 사용자 단말기의 초기 인증서 체크 결과, 상기 사용자 단말기의 속성, 및 상기 액세스 포인트의 최종 인증서 체크 결과를 포함하는 로밍_식별_응답 메시지를 상기 액세스 포인트의 인증 서버에 전송하는 단계;
    2.3.2) 상기 액세스 포인트의 인증 서버가 식별_응답 메시지를 전송하되, 상기 액세스 포인트의 인증 서버는 상기 로밍_식별_응답 메시지를 수신한 후, 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 상기 액세스 포인트의 초기 인증서 체크 결과(RESAP), 상기 액세스 포인트의 난수(Nap), 및 상기 액세스 포인트의 인증 서버에 의한 상기 내용상의 서명(SigH-AS)을 포함하는 사용자 단말기의 최종 인증서 체크 결과를 발생하고, 상기 액세스 포인트의 인증 서버는 상기 사용자 단말기의 최종 인증서 체크 결과 및 상기 액세스 포인트의 최종 인증서 체크 결과를 포함하는 식별_응답 메시지를 구성하여 상기 액세스 포인트에 전송하는 단계;
    2.3.3) 상기 액세스 포인트가 인증_응답 메시지를 전송하되, 상기 액세스 포인트는 식별_응답 메시지를 수신한 후, 상기 액세스 포인트의 최종 인증서 체크 결과를 포함하는 인증_응답 메시지를 상기 사용자 단말기에 전송하고, 다음에, 상기 사용자 단말기의 최종 인증서 체크 결과를 체크하여, 상기 사용자 단말기의 최종 인증서 체크 결과가 적절하면, 상기 액세스 포인트는 상기 사용자 단말기와의 다음 단계 통신을 계속 수행하고, 그렇지 않으면 상기 액세스 포인트는 인증 과정을 중단하는 단계를 포함하는 상기 응답 메시지 전송 단계;
    2.4) 인증이 완료되되, 상기 사용자 단말기가 메시지를 수신한 후, 상기 사용자 단말기의 최종 인증서 체크 결과가 적절하면, 상기 사용자 단말기는 인증을 완료하고 상기 액세스 포인트와의 다음 단계 통신을 계속 수행하고, 그렇지 않으면 상기 사용자 단말기는 인증 과정을 중단하는 단계를 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
  2. 제1 항에 있어서,
    상기 사용자 단말기와 액세스 포인트에 의한 상기 인증 단계들은,
    1) 상기 액세스 포인트가 상기 사용자 단말기에 전송하는 인증_활성 메시지가 상기 액세스 포인트에 의해 지원되는 키 협상 방법의 타입을 포함하는 것;
    2) 상기 사용자 단말기가 상기 액세스 포인트에 전송하는 액세스_인증_요청 메시지가 상기 사용자 단말기에 의해 선택된 키 협상 방법의 타입을 포함하고, 상기 선택된 타입이 상기 사용자 단말기에 의해 사인 되는 것 간의 키 협상을 결정하는 방법을 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
  3. 제1 항 또는 제2 항에 있어서,
    상기 사용자 단말기와 액세스 포인트에 의한 상기 인증 단계들은,
    1) 상기 액세스 포인트가 상기 사용자 단말기에 전송하는 인증_활성 메시지가 상기 액세스 포인트에 의해 지원되는 인증 방법의 타입을 포함하는 것;
    2) 상기 사용자 단말기가 상기 액세스 포인트에 전송하는 액세스_인증_요청 메시지가 상기 사용자 단말기에 의해 선택된 인증 방법의 타입을 포함하고, 상기 선택된 인증 방법 타입은 본 발명을 채택하고 상기 사용자 단말기에 의해 사인 된 인증 방법을 나타내는 것;
    3) 상기 인증_요청 메시지, 로밍_식별_요청 메시지, 로밍_식별_응답 메시지, 식별_응답 메시지, 및 인증_응답 메시지는 모두 상기 사용자 단말기에 의해 선택된 인증 방법의 타입을 포함하고, 상기 식별_요청 메시지 내의 상기 선택된 인증 방법의 타입은 상기 액세스 포인트에 의해 사인 되는 것에 의해 채택되는 인증 방법의 타입을 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
  4. 제3 항에 있어서,
    상기 로밍_식별_요청 메시지는 상기 액세스 포인트의 속성(ATTAP)을 포함하고, 상기 로밍_식별_응답 메시지는 상기 사용자 단말기의 속성(ATTu)을 포함하며, 상기 액세스 포인트의 최종 인증서 체크 결과는 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 액세스 포인트의 초기 인증서 체크 결과(RESAP), 사용자 단말기의 난수(Nu), 액세스 포인트의 속성(ATTAP), 및 상기 사용자 단말기의 인증 서버에 의한 상기 내용상의 서명(SigH-AS)을 포함하고, 상기 사용자 단말기의 최종 인증서 체크 결과는 상기 사용자 단말기의 초기 인증서 체크 결과(RESu), 액세스 포인트의 초기 인증서 체크 결과(RESAP), 액세스 포인트의 난수(NAP), 사용자 단말기의 속성(ATTU), 및 상기 액세스 포인트의 인증 서버에 의한 상기 내용상의 서명(SigF-AS)을 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
  5. 제2 항에 있어서,
    상기 방법은 상기 인증 과정이 완료된 후의 상기 사용자 단말기와 액세스 포인트 간의 키 협상 과정을 포함하고, 상기 키 협상 과정은,
    1) 상기 액세스 포인트가 키_협상_챌린지 메시지를 전송하되, 상기 액세스 포인트는 상기 사용자 단말기와 액세스 포인트의 아이덴티티에 따라 상기 액세스 포인트의 보안 인덱스(SPIAP)를 발생하고, 동시에 난수(NI)를 발생하며, 상기 보안 인덱스(SPIAP) 및 상기 난수(NI)를 포함하는 키_협상_챌린지 메시지를 상기 사용자 단말기에 전송하는 단계;
    2) 상기 액세스 포인트가 키_협상_요청 메시지를 전송하되, 상기 사용자 단말기는 키_협상_챌린지 메시지를 수신한 후, 상기 사용자 단말기와 액세스 포인트의 아이덴티티에 따라 보안 인덱스(SPIU)를 발생하고, 다음에 SPIAP와 SPIU가 일치하는지의 여부를 체크하며, 일치하면, 난수(NKEY)를 공유 시크릿(shared secret)으로서 발생하고, 상기 액세스 포인트의 공개 키 암호화(NKEY)를 이용하여 키 협상 정보를 발생하며, 그 후, 상기 사용자 단말기는 상기 사용자 단말기의 보안 인덱스(SPIU), 키 협상 정보, 난수(N1), 및 상기 정보상의 사용자 단말기의 서명을 포함하는 키_협상_요청 메시지를 상기 액세스 포인트에 전송하는 단계;
    3) 상기 액세스 포인트가 키_협상_응답 메시지를 전송하되, 상기 액세스 포인트는 키_협상_요청 메시지를 수신한 후, 사용자 단말기의 서명이 정확한지를 검증하고, 다음에, 암호화를 위한 액세스 포인트의 사설 키를 이용하여 NKEY를 얻고, SPIAP와 SPIU가 일치하는지의 여부 및 수신된 난수(NI)와 키_협상_챌린지 메시지 내에 상기 액세스 포인트가 전송한 난수가 모두 일치하는지의 여부를 체크하고, 모두 일치하면, 상기 액세스 포인트는 함수(f)(NKEY, N1, SPIAP, "어휘 열(lexical string)")를 발생하기 위해 상기 키를 사용하여 데이터 유니캐스트 키(UK), HMAC 키, 유니캐스트/그룹 키 암호 키(KK)를 포함한 모든 키를 계산하며, 상기 액세스 포인트는 그룹 키(GK)를 발생하고, 시스템 상태에 따라 멀티캐스트 데이터 일련 번호(SN)와 그룹 키 통지 일련 번호(GN)를 설정하고, 다음에 상기 액세스 포인트는 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 그룹 키(GK)를 암호화하며, 이를 키_협상_응답 메시지로서 액세스 포인트의 보안 인덱스(SPIAP), 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값과 함께 상기 사용자 단말기에 전송하는 단계;
    4) 상기 사용자 단말기가 키_협상_확인 메시지를 전송하되, 상기 사용자 단말기는 메시지를 수신한 후, SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 함수(f)(NKEY, N1, SPIU, "어휘 열")를 발생하기 위해 상기 키를 사용하여 데이터 유니캐스트 키(UK), HMAC 키, 유니캐스트/그룹 키 암호 키(KK)를 포함한 모든 키를 계산하며, 상기 정확한 HMAC 값이 수신되었는지를 검증한 후, 암호화를 위한 유니캐스트/그룹 키 암호 키(KK)를 이용하여 그룹 키(GK)를 얻고, 다음에 키_협상_확인 메시지로서 상기 사용자 단말기의 보안 인덱스(SPIU), 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값을 상기 액세스 포인트에 전송하고, 상기 사용자 단말기는 제어 포트를 개방하고, 상기 액세스 포인트와의 통신을 허용하는 단계;
    5) 상기 키 협상이 완료되되, 상기 액세스 포인트는 상기 메시지를 수신한 후 SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 멀티캐스트 데이터 일 련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 HMAC 값이 정확한지를 체크하고, 그 후, 제어 포트를 개방하고, 사용자 단말기와의 통신을 허용하는 단계를 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
  6. 제5 항에 있어서,
    상기 방법은 상기 사용자 단말기와 액세스 포인트에 의해 수행되는 유니캐스트 키를 갱신하는 과정을 포함하고, 이 갱신 과정은,
    1) 상기 사용자 단말기가 유니캐스트 키_갱신_요청 메시지를 전송하되, 상기 사용자 단말기는 유니캐스트 키 갱신을 개시시키고, 새로운 유니캐스트 키(UK)를 생성하고, 난수를 챌린지(Nonce)로서 생성하며, 새로운 유니캐스트 키 갱신 일련 번호(Un)를 선택하고, 유니캐스트/그룹 키 암호화 키(KK)를 사용하여 키(UK)를 암호화하며, 이 키를 유니캐스트 키_갱신_요청 메시지로서 사용자 단말기의 보안 인덱스(SPIU), 암호화된 유니캐스트 키(UK), 유니캐스트 키 갱신 일련 번호(Un), 챌린지(Nonce) 및 그 HMAC 값과 함께 상기 액세스 포인트에 전송하는 단계;
    2) 상기 액세스 포인트가 유니캐스트 키_갱신_응답 메시지를 전송하되, 상기 액세스 포인트는 상기 메시지를 수신한 후, SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면, 상기 유니캐스트 키 갱신 일련 번호(Un)가 새로운 번호이고 상기 HMAC 값이 정확한지를 검증한 후에, 새로운 유니캐스트 키(UK)를 얻기 위해 암호 해제하고, 다음에, 새로운 유니캐스트 키(UK)를 이용하여 챌린지(Nonce)를 암호 화하며, 이를 유니캐스트 키_갱신_응답 메시지로서 상기 액세스 포인트의 보안 인덱스(SPIAP), 유니캐스트 키 갱신 일련 번호(Un) 및 그 HMAC 값과 함께 상기 사용자 단말기에 전송하는 단계;
    3) 상기 사용자 단말기가 새로운 유니캐스트 키를 설치하되, 상기 사용자 단말기는 상기 메시지를 수신한 후, SPIAP와 SPIU가 일치하는지의 여부를 체크하고, 일치하면 유니캐스트 키 갱신 일련 번호(Un)가 상기 사용자 단말기가 전송한 값과 동일한 지를 검증하고, 상기 HMAC 값이 정확한지를 검증한 후, Nonce를 얻기 위해 암호 해제하며, 상기 Nonce가 유니캐스트 키_갱신_요청 메시지 내에서 전송한 Nonce와 일치하는지를 알아내기 위해 비교를 행하고, 일치하면, 상기 사용자 단말기가 새로운 유니캐스트 키를 설치하고, 상기 비교 또는 검증을 통과하지 못하면 유니캐스트 갱신 과정을 반복하는 단계를 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
  7. 제6 항에 있어서,
    상기 유니캐스트 키 갱신은 상기 액세스 포인트에 의해 개시될 수 있는 유무선 네트워크에 적합한 액세스 인증 방법.
  8. 제5 항 또는 제6 항 또는 제7 항에 있어서,
    상기 방법은 상기 사용자 단말기와 액세스 포인트에 의해 수행되는 그룹 키 통지 과정을 포함하고, 상기 그룹 키 통지 과정은,
    1) 상기 액세스 포인트가 그룹_키_통지 메시지를 전송하되, 상기 액세스 포인트는 새로운 그룹 키(GK)를 생성하고, 시스템의 상태에 따라 멀티캐스트 데이터 일련 번호(SN)와 새로운 그룹 키 통지 일련 번호(Gn)를 설정하고, 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 상기 그룹 키(GK)를 암호화하며, 이 키를 그룹_키_통지 메시지로서 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HMAC 값과 함께 상기 사용자 단말기에 전송하는 단계;
    2) 상기 사용자 단말기가 그룹_키_확인_ 메시지를 전송하되, 상기 사용자 단말기는 상기 메시지를 수신한 후, 상기 그룹 키 통지 일련 번호(Gn)가 새로운 번호이고 상기 MAC 값이 정확한지를 검증하고, 암호 해제를 위한 유니캐스트/그룹 키 암호화 키(KK)를 이용하여 새로운 그룹 키(GK)를 얻으며, 그룹 키(GK)를 설치하고, 상기 멀티캐스트 데이터 일련 번호(SN), 그룹 키 통지 일련 번호(Gn) 및 그 HAMC 값을 그룹_키_확인_ 메시지로서 상기 액세스 포인트에 전송하는 단계;
    3) 상기 그룹 키 통지가 완료되되, 상기 액세스 포인트는 상기 메시지를 수신한 후, 상기 그룹 키 통지 일련 번호(Gn)와 멀티캐스트 데이터 일련 번호(SN)가 자체 전송한 것과 일치하는지를 검증하고, 일치하면 그리고 상기 HMAC 값이 정확한 것으로 검증되면, 상기 통지가 종료되는 단계를 포함하는 유무선 네트워크에 적합한 액세스 인증 방법.
KR1020077021553A 2005-02-21 2006-02-21 유무선 네트워크에 적합한 액세스 인증 방법 KR101260536B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNB2005100417148A CN100389555C (zh) 2005-02-21 2005-02-21 一种适合有线和无线网络的接入认证方法
CN200510041714.8 2005-02-21

Publications (2)

Publication Number Publication Date
KR20070122460A true KR20070122460A (ko) 2007-12-31
KR101260536B1 KR101260536B1 (ko) 2013-05-06

Family

ID=35038898

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020077021553A KR101260536B1 (ko) 2005-02-21 2006-02-21 유무선 네트워크에 적합한 액세스 인증 방법

Country Status (6)

Country Link
US (1) US8225092B2 (ko)
EP (1) EP1852999B1 (ko)
JP (1) JP4820826B2 (ko)
KR (1) KR101260536B1 (ko)
CN (1) CN100389555C (ko)
WO (1) WO2006086932A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10069816B2 (en) 2013-09-17 2018-09-04 China Iwncomm Co., Ltd. Authentication server testing method and system

Families Citing this family (74)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7907734B2 (en) * 2005-03-04 2011-03-15 Panasonic Corporation Key distribution control apparatus, radio base station apparatus, and communication system
CN100455120C (zh) * 2005-12-26 2009-01-21 华为技术有限公司 一种异构网络切换中链路建立前的消息安全传送方法
CN100448239C (zh) * 2006-02-28 2008-12-31 西安西电捷通无线网络通信有限公司 鉴别服务实体的安全接入协议符合性测试的方法及其系统
US7764650B2 (en) * 2006-03-02 2010-07-27 Intel Corporation Mobile station and method for fast roaming with integrity protection and source authentication using a common protocol
CN1889575B (zh) * 2006-07-18 2010-05-12 华为技术有限公司 在ip层实现头压缩及复用的方法
CN101094063B (zh) * 2006-07-19 2011-05-11 中兴通讯股份有限公司 一种游牧终端接入软交换网络系统的安全交互方法
CN100488305C (zh) * 2006-09-23 2009-05-13 西安西电捷通无线网络通信有限公司 一种网络接入鉴别与授权方法以及授权密钥更新方法
CN100495963C (zh) * 2006-09-23 2009-06-03 西安西电捷通无线网络通信有限公司 一种公钥证书状态的获取及验证方法
CN100463391C (zh) * 2006-09-23 2009-02-18 西安西电捷通无线网络通信有限公司 一种网络密钥管理及会话密钥更新方法
CN101193426B (zh) * 2006-11-24 2010-12-01 中兴通讯股份有限公司 保护通信系统接入过程完整性的方法
US8005224B2 (en) 2007-03-14 2011-08-23 Futurewei Technologies, Inc. Token-based dynamic key distribution method for roaming environments
EP1976322A1 (en) * 2007-03-27 2008-10-01 British Telecommunications Public Limited Company An authentication method
US9198033B2 (en) * 2007-09-27 2015-11-24 Alcatel Lucent Method and apparatus for authenticating nodes in a wireless network
CN100534037C (zh) * 2007-10-30 2009-08-26 西安西电捷通无线网络通信有限公司 一种适用于ibss网络的接入认证方法
CN100488099C (zh) * 2007-11-08 2009-05-13 西安西电捷通无线网络通信有限公司 一种双向接入认证方法
CN101159639B (zh) * 2007-11-08 2010-05-12 西安西电捷通无线网络通信有限公司 一种单向接入认证方法
KR100936530B1 (ko) 2007-11-13 2010-01-13 주식회사 케이티 네트워크 장치 및 네트워크 장치의 인증 정보 공유 방법
CN101222328B (zh) * 2007-12-14 2010-11-03 西安西电捷通无线网络通信股份有限公司 一种实体双向鉴别方法
CN100593936C (zh) * 2008-05-09 2010-03-10 西安西电捷通无线网络通信有限公司 一种基于wapi的漫游认证方法
KR101017972B1 (ko) 2008-06-26 2011-03-02 삼성전자주식회사 이동통신 단말기에서 보안 연계 상태 동기화 장치 및 방법
JP4987820B2 (ja) * 2008-08-11 2012-07-25 日本電信電話株式会社 認証システム、接続制御装置、認証装置および転送装置
CN100581169C (zh) 2008-08-21 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于单播会话密钥的组播密钥分发方法及其更新方法
US8176328B2 (en) * 2008-09-17 2012-05-08 Alcatel Lucent Authentication of access points in wireless local area networks
CN101447992B (zh) * 2008-12-08 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种基于三元对等鉴别的可信网络连接实现方法
CN101431518B (zh) * 2008-12-09 2011-06-01 西安西电捷通无线网络通信股份有限公司 一种认证关联套件的发现与协商方法
CN101547096B (zh) * 2009-02-11 2012-02-15 广州杰赛科技股份有限公司 基于数字证书的网络会议系统及其管理方法
US20100250921A1 (en) * 2009-03-27 2010-09-30 Gil Spencer Authorizing a Login Request of a Remote Device
CN101610273B (zh) * 2009-08-03 2011-12-28 西安西电捷通无线网络通信股份有限公司 一种安全的远程证明方法
CN101631113B (zh) * 2009-08-19 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种有线局域网的安全访问控制方法及其系统
CN102006671B (zh) * 2009-08-31 2014-06-18 中兴通讯股份有限公司 一种实现来电转接的系统及方法
CN101699894B (zh) * 2009-11-10 2012-07-25 广州杰赛科技股份有限公司 在认证服务器集群中处理认证请求的方法和装置
US20110113146A1 (en) * 2009-11-10 2011-05-12 Li Gordon Yong Dynamic quality of service (qos) setup over wired and wireless networks
CN101741548B (zh) * 2009-12-18 2012-02-01 西安西电捷通无线网络通信股份有限公司 交换设备间安全连接的建立方法及系统
US8495371B2 (en) * 2010-01-06 2013-07-23 Calix, Inc. Network device authentication
US8312275B2 (en) * 2010-01-06 2012-11-13 Calix, Inc. Network device authentication
CN102223347B (zh) * 2010-04-13 2015-01-28 中兴通讯股份有限公司 下一代网络中多接入认证方法及系统
CN102238000B (zh) * 2010-04-21 2015-01-21 华为技术有限公司 加密通信方法、装置及系统
CN101867923B (zh) * 2010-06-11 2012-12-05 西安电子科技大学 基于身份自证实的异构无线网络安全接入认证方法
CN101997688B (zh) 2010-11-12 2013-02-06 西安西电捷通无线网络通信股份有限公司 一种匿名实体鉴别方法及系统
CN101984577B (zh) 2010-11-12 2013-05-01 西安西电捷通无线网络通信股份有限公司 匿名实体鉴别方法及系统
EP2514711A1 (en) 2011-04-18 2012-10-24 Anheuser-Busch InBev S.A. Liquid dispensing appliance comprising a solid gas-adsorbent
US8644510B2 (en) * 2011-05-11 2014-02-04 Alcatel Lucent Discovery of security associations for key management relying on public keys
US10068084B2 (en) * 2011-06-27 2018-09-04 General Electric Company Method and system of location-aware certificate based authentication
EP2562129A1 (en) 2011-08-23 2013-02-27 Anheuser-Busch InBev S.A. Roving beverage dispensing unit
CN103052063B (zh) * 2011-10-11 2015-10-07 中国移动通信集团公司 一种接入无线局域网的方法、系统、无线共享设备和终端
CN102378178B (zh) * 2011-12-09 2015-01-28 武汉虹旭信息技术有限责任公司 一种wlan用户综合认证系统及其方法
CN103312670A (zh) 2012-03-12 2013-09-18 西安西电捷通无线网络通信股份有限公司 一种认证方法及系统
CN103312499B (zh) 2012-03-12 2018-07-03 西安西电捷通无线网络通信股份有限公司 一种身份认证方法及系统
EP2660188A1 (en) 2012-05-02 2013-11-06 Anheuser-Busch InBev S.A. Beverage dispensing unit with openable pinch valve
US10682759B1 (en) 2012-10-26 2020-06-16 The United States Of America, As Represented By The Secretary Of The Navy Human-robot interaction function allocation analysis
CN104954130B (zh) * 2014-03-31 2019-08-20 西安西电捷通无线网络通信股份有限公司 一种实体鉴别方法及装置
JP6545966B2 (ja) * 2015-01-27 2019-07-17 ルネサスエレクトロニクス株式会社 中継装置、端末装置および通信方法
US9451421B1 (en) 2015-06-30 2016-09-20 Blackberry Limited Method and system to authenticate multiple IMS identities
US11297111B2 (en) 2015-06-30 2022-04-05 Blackberry Limited Establishing a session initiation protocol session
CN106572066B (zh) 2015-10-10 2019-11-22 西安西电捷通无线网络通信股份有限公司 一种实体身份有效性验证方法及其装置
CN106572065B (zh) * 2015-10-10 2019-11-22 西安西电捷通无线网络通信股份有限公司 一种多ttp参与的实体身份有效性验证方法及装置
CN106572064B (zh) * 2015-10-10 2019-10-29 西安西电捷通无线网络通信股份有限公司 一种多ttp参与的实体身份有效性验证方法及装置
US10517126B2 (en) * 2015-10-19 2019-12-24 Time Warner Cable Enterprises Llc Communication management and wireless roaming support
WO2017132277A1 (en) * 2016-01-25 2017-08-03 Blackberry Limited Establishing a session initiation protocol session
CN107040922B (zh) * 2016-05-05 2019-11-26 腾讯科技（深圳）有限公司 无线网络连接方法、装置及系统
US20170359344A1 (en) * 2016-06-10 2017-12-14 Microsoft Technology Licensing, Llc Network-visitability detection control
US11265347B2 (en) * 2017-09-18 2022-03-01 Fortinet, Inc. Automated testing of network security policies against a desired set of security controls
JP7263098B2 (ja) * 2018-12-27 2023-04-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 端末、通信方法、および、プログラム
CN111416824B (zh) * 2020-03-23 2022-04-15 阳光凯讯(北京)科技有限公司 一种网络接入认证控制系统
JP2023541563A (ja) * 2020-08-28 2023-10-03 華為技術有限公司 通信方法および関係する装置
CN112867082B (zh) * 2020-12-09 2022-12-23 国网宁夏电力有限公司检修公司 无线传感器网安全多跳传输路径的获取方法、介质及系统
CN114760034A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN114760043A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN114760045A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN114760029A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN114760046A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN114696999A (zh) * 2020-12-26 2022-07-01 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN113316149B (zh) * 2021-06-04 2023-05-12 广东电网有限责任公司 身份安全认证方法、装置、系统、无线接入点及介质
CN115242509B (zh) * 2022-07-22 2023-10-17 河南警察学院 一种基于数据分析的网络接入用身份验证系统

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6823452B1 (en) * 1999-12-17 2004-11-23 International Business Machines Corporation Providing end-to-end user authentication for host access using digital certificates
JP2004528624A (ja) 2001-01-17 2004-09-16 アルコット システムズ インコーポレイテッド ワンタイムパスワードを用いてユーザを事前認証する装置
US7389412B2 (en) * 2001-08-10 2008-06-17 Interactive Technology Limited Of Hk System and method for secure network roaming
US8140845B2 (en) 2001-09-13 2012-03-20 Alcatel Lucent Scheme for authentication and dynamic key exchange
JP3822555B2 (ja) * 2001-11-09 2006-09-20 株式会社エヌ・ティ・ティ・ドコモ 安全なネットワークアクセス方法
US7529933B2 (en) * 2002-05-30 2009-05-05 Microsoft Corporation TLS tunneling
JP3905803B2 (ja) * 2002-08-08 2007-04-18 株式会社エヌ・ティ・ティ・ドコモ 無線通信における認証システム、認証方法及び端末装置
CN1191696C (zh) * 2002-11-06 2005-03-02 西安西电捷通无线网络通信有限公司 一种无线局域网移动设备安全接入及数据保密通信的方法
JP3792648B2 (ja) * 2002-12-25 2006-07-05 日本電気通信システム株式会社 無線ｌａｎの高速認証方式及び高速認証方法
CN1265580C (zh) * 2002-12-26 2006-07-19 华为技术有限公司 一种对网络用户进行认证和业务管理的方法
JP2004235890A (ja) * 2003-01-29 2004-08-19 Canon Inc 認証方法
CN100539521C (zh) * 2003-05-16 2009-09-09 华为技术有限公司 一种实现无线局域网鉴权的方法
US20070008937A1 (en) * 2003-07-22 2007-01-11 Thomson Licensing S.A. Method and apparatus for controlling credit based access (prepaid) to a wireless network
US8023478B2 (en) * 2006-03-06 2011-09-20 Cisco Technology, Inc. System and method for securing mesh access points in a wireless mesh network, including rapid roaming

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10069816B2 (en) 2013-09-17 2018-09-04 China Iwncomm Co., Ltd. Authentication server testing method and system

Also Published As

Publication number Publication date
KR101260536B1 (ko) 2013-05-06
CN100389555C (zh) 2008-05-21
EP1852999A4 (en) 2009-11-04
EP1852999B1 (en) 2016-04-13
US20110055561A1 (en) 2011-03-03
US8225092B2 (en) 2012-07-17
EP1852999A1 (en) 2007-11-07
WO2006086932A1 (fr) 2006-08-24
CN1668005A (zh) 2005-09-14
JP2008530919A (ja) 2008-08-07
JP4820826B2 (ja) 2011-11-24

Similar Documents

Publication Publication Date Title
KR101260536B1 (ko) 유무선 네트워크에 적합한 액세스 인증 방법
EP3493502B1 (en) Supplying an iot-device with an authentication key
KR100832893B1 (ko) 무선 근거리 통신망으로 이동 단말의 보안 접근 방법 및 무선 링크를 통한 보안 데이터 통신 방법
JP4634612B2 (ja) 改良された加入者認証プロトコル
EP1484856B1 (en) Method for distributing encryption keys in wireless lan
CN101371550B (zh) 自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和系统
US7734280B2 (en) Method and apparatus for authentication of mobile devices
US8429404B2 (en) Method and system for secure communications on a managed network
EP1997292B1 (en) Establishing communications
US20080046732A1 (en) Ad-hoc network key management
RU2008146960A (ru) Способ и система предоставления защищенной связи с использованием сотовой сети для множества устройств специализированной связи
WO2010012203A1 (zh) 鉴权方法、重认证方法和通信装置
MX2008012363A (es) Certificacion de una aplicacion.
JP2010504669A (ja) ネットワークのアクセス認証及び承認の方法、及び承認鍵のアップデート方法
CN101765057B (zh) 一种向WiFi访问终端提供组播业务的方法、设备及系统
JP2000083018A (ja) 機密を要する情報を最初は機密化されてない通信を用いて伝送するための方法
KR100707805B1 (ko) 사용자 및 인증자별로 제어할 수 있는 인증 시스템
Maccari et al. Security analysis of IEEE 802.16
CN110012467B (zh) 窄带物联网的分组认证方法
CN101521884A (zh) 一种自组网模式下安全关联建立方法及终端
JP4677784B2 (ja) 集合型宅内ネットワークにおける認証方法及びシステム
Ribeiro et al. A Roaming Authentication Solution for WiFi Using IPSec VPNs With Client Certificates.
KR20100034461A (ko) 통신 네트워크에서 인증 방법 및 시스템
Sivakumar Analysis of Ad-Hoc Network Security using Zero knowledge Proof and Wi-Fi Protected Access 2
KR20100054191A (ko) 3지 네트워크에서 효율적인 인증 관리를 위한 개선된 3 지피피 - 에이케이에이 방법

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
AMND Amendment
E601 Decision to refuse application
AMND Amendment
J201 Request for trial against refusal decision
B701 Decision to grant
GRNT Written decision to grant