KR20160083103A - 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템 - Google Patents

무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템 Download PDF

Info

Publication number
KR20160083103A
KR20160083103A KR1020167015150A KR20167015150A KR20160083103A KR 20160083103 A KR20160083103 A KR 20160083103A KR 1020167015150 A KR1020167015150 A KR 1020167015150A KR 20167015150 A KR20167015150 A KR 20167015150A KR 20160083103 A KR20160083103 A KR 20160083103A
Authority
KR
South Korea
Prior art keywords
network system
wireless access
access network
vector
node
Prior art date
Application number
KR1020167015150A
Other languages
English (en)
Other versions
KR101833654B1 (ko
Inventor
프랭크 프란센
Original Assignee
코닌클리즈케 케이피엔 엔.브이.
네덜란제 오르가니자티에 포오르 토에게파스트-나투우르베텐샤펠리즈크 온데르조에크 테엔오
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 코닌클리즈케 케이피엔 엔.브이., 네덜란제 오르가니자티에 포오르 토에게파스트-나투우르베텐샤펠리즈크 온데르조에크 테엔오 filed Critical 코닌클리즈케 케이피엔 엔.브이.
Publication of KR20160083103A publication Critical patent/KR20160083103A/ko
Application granted granted Critical
Publication of KR101833654B1 publication Critical patent/KR101833654B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/22—Indexing; Data structures therefor; Storage structures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 발명은 무선 억세스 네트워크 시스템 및 코어 네트워크 시스템을 구비하는 원격통신 네트워크에서 보안 방법 및 시스템에 관한 것이다. 무선 억세스 네트워크 시스템은 적어도 하나의 사용자 장치를 위한 무선 인터페이스를 제공하도록 구성되고, 여기서 공유 비밀 키는 사용자 장치 및 코어 네트워크 시스템 양쪽에 저장된다. 적어도 하나의 벡터가 공유 비밀 키로부터 추출된 하나 이상의 값을 구비하는 코어 네트워크 시스템으로부터 수신된다. 인증 절차 및 키 합의 절차 중 적어도 하나는 사용자 장치와 무선 억세스 네트워크 시스템 사이에서 연결을 수립하기 위해 수신된 벡터의 하나 이상의 값을 이용해서 무선 인터페이스를 거쳐 사용자 장치를 위해 무선 억세스 네트워크 시스템에서 수행된다.

Description

무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템{Method and system for providing security from a radio access network}
본 발명은 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템에 관한 것이다. 특히, 본 발명은 보안 기능(security functions)이 코어 네트워크 시스템(core network system)으로부터 얻어지지 않거나 이용가능하지 않은 경우에 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템에 관한 것이다.
지난 10년간, 모바일 원격통신(mobile telecommunications)은 통신의 지배적인 형태가 되었고 추가적인 성장이 앞으로 몇 년 동안 예상된다. 모바일 원격통신은 모바일 사용자 장치(mobile user devices)가 이동할 수 있는 영역에서 기지국(base stations)(예컨대, (e)NodeBs)에 의해 무선 커버리지(radio coverage)를 제공하는 무선 억세스 네트워크 시스템의 존재에 의존한다. 기지국은 통신 서비스가 수립될 수 있도록 하기 위해 통신 제공업체(telecom provider)의 코어 네트워크 시스템에 연결된다. 코어 네트워크 시스템은 여러 추가 원격통신 노드(further telecommunications nodes)를 구비하여 구성된다.
하나의 이러한 노드가 HSS(Home Subscriber System)이다. HSS는 2가지 기능, 즉 (1) 사용자 가입 정보(user subscription information)를 저장하는 것(storing) 및 필요할 때 이 정보를 갱신하는 것(updating) 및 (2) 하나 이상의 비밀 키(secret keys)로부터 보안 정보(security information)를 발생시키는 것(generating)을 갖는다. 보안 키는 HSS와 사용자 장치의 (U)SIM 사이에서 통상적으로 공유되고(shared), 비밀, 예컨대 공유 비밀 키(shared secret key)를 유지해야만 한다. 보안 정보는 비밀 키를 이용해서 추출된다. 보안 정보는 장치 인증(device authentication)을 위해, 및/또는, 3G 및 4G 네트워크에서는, 네트워크 인증을 위해, 그리고 무선 경로(radio path)를 거쳐 전달된 데이터가 암호화되는 것을 보장하도록 이용된다. 3G 네트워크에 대해, 상세한 설명이 3GPP TS 33.102에서 찾아질 수 있고; 4G 네트워크에 대해서는 3GPP TS 33.401에서 찾아질 수 있다.
현존하는 3G 및 4G 원격통신 표준은 기지국의 커버리지 영역(coverage area)에서 터미널과 통신 서비스를 수립하도록 통신 식별자(communication identifiers)의 가용도(availability)(예컨대, 음성 통신 서비스 및 SMS 서비스를 위한 사용자 장치와 관련된 IMSI 또는 MSISDN, 또는 SIP 통신 서비스를 위한 SIPURI)와 중앙 데이터베이스(예컨대, HLR/AuC 또는 HSS)로부터의 보안 정보(security information)를 요구한다.
공공 안전(Public Safety)을 위한 단독 기지국 운용(Isolated E-UTRAN operation)을 연구하기 위해 새로운 프로젝트가 3GPP에서 시작되었다(3GPP TR 22.897). 코어 네트워크 시스템은 다양한 이유로 무선 억세스 네트워크 시스템에 대해 이용불가능할 수 있다(예컨대, 무선 억세스 네트워크 시스템이 분리된다(isolated)). 파국적 사건(catastrophic event)이 야기될 수 있고(예컨대, 지진, 홍수, 폭발) 또는 하드웨어 또는 소프트웨어 고장이 원격통신 시스템에서 야기될 수 있다. 하나의 특정 예에 있어서, (예컨대 하나 이상의 통신 서비스를 위한 사용자 장치를 위한 무선 커버리지를 제공하는 것이 여전히 가능한) 하나 이상의 기지국과 코어 네트워크 시스템 사이의 연결 링크(connection link)가 파괴될 수 있다. 하나의 다른 예에 있어서, 기지국을 갖는 연결 링크는 동작적이지만, 코어 네트워크의 다른 부품이 적절히 동작되지 않아 중앙 데이터베이스가 억세스되지 않을 수 있다.
WO 2011/134039는 모바일 통신 네트워크(mobile communications network) 내에서의 고장 동안 통신 라인을 수립하는 방법을 개시한다. 기지국은 중단(disruptions)이 검출되면 생존가능성 모드(survivability mode)를 가정할 수 있다. 생존가능성 모드에서, 생존가능성 구성요소(survivability components)가 기지국에 의해 제공될 통신 및 서비스를 가능하게 하는 기지국 내에서 활성화될 수 있다. 하나의 생존가능성 구성요소는 기지국의 커버리지 영역에서 모바일 장치를 위한 인증(authentication) 및 인가(authorization)를 제공하는 인증자(authenticator)를 포함한다. 인증자 생존가능성 구성요소는 코어 네트워크 시스템의 AuC(authentication centre)의 기능을 수행하고 비밀 키를 저장한다.
이 방법은 보안 관점에서 불리하다. 반면, 코어 네트워크 시스템의 AuC 엘리먼트 또는 AuC 부품은 높은 보안 및 엄격하게 보호된 환경이고, 이는 기지국에 대해서는 덜하다. 따라서 각 기지국에서 비밀 키를 저장하는 것은 통신 보안을 위태롭게 만들 수 있다.
본 발명은 상기한 점을 감안하여 발명된 것으로, 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템을 제공함에 그 목적이 있다.
당업자에 의해 인식되는 바와 같이, 본 발명의 측면은 시스템, 방법 또는 컴퓨터 프로그램 제품으로서 구현될 수 있다. 따라서, 본 발명의 측면은 전체적으로 하드웨어 실시예, (펌웨어, 상주 소프트웨어, 마이크로-코드 등을 포함하는) 소프트웨어 실시예, 또는 모두 일반적으로 여기서 "회로", "모듈" 또는 "시스템"으로 언급될 수 있는 소프트웨어 및 하드웨어 측면을 결합하는 실시예의 형태를 취할 수 있다. 본 발명에서 설명된 기능은 컴퓨터의 마이크로프로세서에 의해 실행된 알고리즘으로서 구현될 수 있다. 더욱이, 본 발명의 측면은 실시된, 예컨대 저장된 컴퓨터 판독가능 프로그램 코드를 갖춘 하나 이상의 컴퓨터 판독가능 매체(들)에서 구현된 컴퓨터 프로그램 제품의 형태를 취할 수 있다.
하나 이상의 컴퓨터 판독가능 매체(들)의 소정의 조합이 이용될 수 있다. 컴퓨터 판독가능 매체는 컴퓨터 판독가능 신호 매체 또는 컴퓨터 판독가능 저장 매체일 수 있다. 컴퓨터 판독가능 저장 매체는, 예컨대, 이에 한정되지는 않지만, 전자, 자기, 광학, 전자기, 적외선, 또는 반도체 시스템, 기구, 또는 장치, 또는 앞에서 언급한 것의 소정의 적절한 조합일 수 있다. 컴퓨터 판독가능 저장 매체의 특정 예(전체 리스트가 아님)는 다음을 포함하게 된다: 하나 이상의 배선을 갖춘 전기적 연결, 휴대용 컴퓨터 디스켓, 하드 디스크, 고체 상태 드라이브, RAM(random access memory), 비-휘발성 메모리 장치, ROM(read-only memory), EPROM(erasable programmable read-only memory) 또는 플래시 메모리(Flash memory), 광 파이버(optical fiber), 휴대용 CD-ROM(portable compact disc read-only memory), 광학 저장 장치, 자기저장 장치, 또는 앞에서 언급한 것의 소정의 적절한 조합. 본 발명의 맥락에서, 컴퓨터 판독가능 저장 매체는 명령 실행 시스템, 기구 또는 장치에 의해 또는 그와 관련하여 이용하기 위한 프로그램을 포함하거나 저장할 수 있는 유형의 매체(tangible medium)일 수 있다.
컴퓨터 판독가능 신호 매체는, 예컨대 베이스밴드(baseband)에서 또는 반송파(carrier wave)의 일부로서 여기서 구현된 컴퓨터 판독가능 프로그램 코드를 갖는 전파된 데이터 신호(propagated data signal)를 포함할 수 있다. 이러한 전파된 신호는, 이에 한정되는 것은 아니지만, 전자-자기(electro-magnetic), 광학, 또는 그 소정의 적절한 조합을 포함하는 소정의 다양한 형태를 취할 수 있다. 컴퓨터 판독가능 신호 매체는 컴퓨터 판독가능 저장 매체는 아니고, 명령 실행 시스템, 기구 또는 장치에 의해 또는 그와 관련하여 이용하기 위한 프로그램을 통신, 전파, 또는 전송할 수 있는 소정의 컴퓨터 판독가능 매체일 수 있다.
컴퓨터 판독가능 매체 상에서 구현된 프로그램 코드는, 이에 한정되는 것은 아니지만, (전자기 및/또는 광학 방사를 이용하는) 무선, 유선, 광 파이버, 케이블 증, 또는 앞에서 언급한 것의 소정의 적절한 조합을 포함하는, 소정의 적절한 매체를 이용해서 전송될 수 있다. 본 발명의 측면을 위한 동작을 수행하기 위한 컴퓨터 프로그램 코드는, Java(TM), Smalltalk, C++ 등과 같은 객체 지향 언어(object oriented programming language) 및 "C" 프로그래밍 언어 또는 유사한 프로그래밍 언어와 같은 통상적인 절차적 프로그래밍 언어(procedural programming languages)를 포함하는, 하나 이상의 프로그래밍 언어의 소정의 조합으로 기록될 수 있다. 프로그램 코드는 전체적으로 컴퓨터(예컨대, 사용자 장치) 상에서 또는 네트워크의 컴퓨터 설비(예컨대, 무선 억세스 네트워크 시스템 및/또는 코어 네트워크 시스템의 서버) 상에서, 부분적으로 컴퓨터 상에서, 독립형 소프트웨어 패키지(stand-alone software package)로서, 부분적으로 사용자의 컴퓨터 상에서 그리고 부분적으로 네트워크의 컴퓨터 설비 상에서, 또는 전체적으로 무선 억세스 네트워크 시스템 및/또는 코어 네트워크 시스템의 하나 이상의 컴퓨터 설비 상에서 실행할 수 있다.
본 발명의 측면은 본 발명의 실시예에 따른 방법, 기구(시스템), 및 컴퓨터 프로그램 제품의 플로우차트 예시 및/또는 블록도를 참조하여 이하 설명된다. 플로우차트 예시 및/또는 블록도의 각 블록, 및 플로우차트 예시 및/또는 블록도의 블록의 조합은 컴퓨터 프로그램 명령에 의해 구현될 수 있음을 이해하게 될 것이다. 이들 컴퓨터 프로그램 명령은 기계를 생산하기 위해 일반 목적 컴퓨터, 특수 목적 컴퓨터, 또는 다른 프로그래머블 데이터 처리 기구의 프로세서, 특히 마이크로프로세서 또는 CPU(central processing unit)에 제공될 수 있어, 컴퓨터의 프로세서, 다른 프로그래머블 데이터 처리 기구, 또는 다른 장치를 매개로 실행하는 명령은 플로우차트 및/또는 블록도 블록 또는 블록들에서 특정된 기능/행위를 구현하기 위한 수단을 생성한다.
이들 컴퓨터 프로그램 명령은 특정 방식으로 기능하도록 컴퓨터, 다른 프로그래머블 데이터 처리 기구, 또는 다른 장치를 지시할 수 있는 컴퓨터 판독가능 매체에 또한 저장될 수 있어, 컴퓨터 판독가능 매체에 저장된 명령은 플로우차트 및/또는 블록도 블록 또는 블록들에서 특정된 기능/행위를 구현하는 명령을 포함하는 제조 물품을 생산한다.
컴퓨터 프로그램 명령은 컴퓨터 구현된 프로세스를 발생시키도록 컴퓨터, 다른 프로그래머블 기구, 또는 다른 장치 상에서 수행될 일련의 동작 단계를 야기시키도록 컴퓨터, 다른 프로그래머블 데이터 처리 기구, 또는 다른 장치 상으로 또한 로딩될 수 있어, 컴퓨터 또는 다른 프로그래머블 기구 상에서 실행하는 명령은 플로우차트 및/또는 블록도 블록 또는 블록들에서 특정된 기능/행위를 구현하기 위한 프로세스를 제공한다.
도면에서 플로우차트 및 블록도는 본 발명의 다양한 실시예에 따른 시스템, 방법 및, 컴퓨터 프로그램 제품의 가능한 구현의 구조, 기능성, 및 동작을 예시한다. 이와 관련하여, 프로그램 또는 블록도의 각 블록은, 특정 논리적 기능(들)을 구현하기 위한 하나 이상의 실행가능 명령을 구비하는, 모듈, 세그먼트, 또는 코드의 부분을 나타낼 수 있다. 몇몇 대안적인 구현에 있어서, 블록에서 주지된 기능은 도면에서 주지된 순서를 벗어나 야기될 수 있음이 또한 주지되어야 한다. 예컨대, 연속적으로 도시된 2개의 블록은, 사실 상, 실질적으로 동시에 실행될 수 있거나, 포함된 기능성에 따라, 블록에 주지된 기능은 때때로 반대 순서로 실행될 수 있다. 블록도의 각 블록 및/또는 플로우차트 예시, 블록도의 각 블록 및/또는 플로우차트 예시의 조합은 특정된 기능 또는 행위, 또는 특수 목적 하드웨어 및 컴퓨터 명령의 조합을 수행하는 특정 목적 하드웨어-기반 시스템에 의해 구현될 수 있음이 또한 주지될 것이다.
하나의 측면에 있어서, 무선 억세스 네트워크 시스템 및 코어 네트워크 시스템을 구비하는 원격통신 네트워크에서의 보안 방법을 제공한다. 무선 억세스 네트워크 시스템이 적어도 하나의 사용자 장치를 위한 무선 인터페이스(wireless radio interface)를 제공하도록 구성된다. 공유된 비밀 키가 사용자 장치 및 코어 네트워크 시스템 양쪽에 저장된다.
개시된 보안 방법에 있어서, 적어도 하나의 벡터(vector)가 코어 네트워크 시스템으로부터 전송되고 무선 억세스 네트워크 시스템에 의해 수신된다. 적어도 하나의 벡터가 하나 이상의 값의 수집(collection)에 의해 형성되고, 여기서 하나 이상의 값 중 하나 이상이 코어 네트워크 시스템의 비밀 키로부터 추출된다. 이러한 벡터의 예는 당업자에게 알려진 인증 벡터(authentication vector)를 구비하여 구성된다. 무선 억세스 네트워크 시스템은 필요하다면 인증 절차(authentication procedure) 및/또는 키 합의 절차(key agreement procedure)를 수행하기 위해 후일의 이용을 위한 벡터를 저장할 수 있다.
인증 절차 및 키 합의 절차 중 적어도 하나는 무선 인터페이스(wireless radio interface)를 거쳐 사용자 장치를 위해 또는 사용자 장치와 함께 무선 억세스 네트워크 시스템에서(예컨대, 기지국에서) 수행된다. 코어 네트워크 시스템으로부터 수신된 벡터의 하나 이상의 값은 사용자 장치와 무선 억세스 네트워크 시스템 사이에서 연결을 수립하기 위해 인증 및/또는 키 합의 절차를 위해 이용된다.
본 발명의 다른 측면에 있어서, 적어도 하나의 사용자 장치를 위한 무선 인터페이스를 제공하는 하나 이상의 네트워크 노드를 구비하고 코어 네트워크 시스템에 연결되도록 구성된 무선 억세스 네트워크 시스템이 제공된다. 무선 억세스 네트워크의 동작에 있어서, 공유된 비밀이 사용자 장치 및 코어 네트워크 시스템에서 이용가능하다.
무선 억세스 네트워크 시스템은, 코어 네트워크 시스템으로부터, 공유된 비밀 키로부터 추출된 하나 이상의 값을 구비하는 적어도 하나의 벡터를 수신하기 위해 구성된, 수신기(receiver)를 구비하여 구성된다.
무선 억세스 네트워크 시스템은 또한 후일의 이용을 위해 벡터를 저장하기 위한 저장기(storage)를 구비하여 구성될 수 있다.
무선 억세스 네트워크 시스템은 또한 사용자 장치와 무선 억세스 네트워크 시스템 사이에서 연결을 수립하기 위해 수신된 벡터의 하나 이상의 값을 이용해서 무선 인터페이스를 거쳐 사용자 장치를 위해 또는 사용자 장치와 함께 인증 절차 및/또는 키 합의 절차를 수행하기 위해 구성된 프로세서를 구비하여 구성된다. 프로세서는 이러한 과제를 수행하기 위해 컴퓨터 프로그램을 실행하는 하드웨어 회로를 구비하여 구성될 수 있다.
본 발명의 또 다른 측면에 있어서, 컴퓨터, 또는 한 조의 컴퓨터가 방법을 수행할 수 있도록 구성된 한 세트의 명령을 구비하는 컴퓨터 프로그램 또는 한 조의 컴퓨터 프로그램이 제공된다.
본 발명의 또 다른 측면에 있어서, 컴퓨터 프로그램을 저장하는 컴퓨터 매체, 예컨대 비-일시적 컴퓨터 매체(non-transitory computer medium)가 제공된다.
본 발명의 다른 측면은 코어 네트워크 시스템 및 사용자 장치를 포함한다. 사용자 장치는, 모바일 폰, 태블릿, 스마트 안경, 스마트 워치, 및 랩탑 컴퓨터 등과 같은, 모바일 장치 뿐만 아니라, MTC(machine type communications) 장치(예컨대, 3GPP TS 22.368 참조)로서 알려진 장치도 포함할 수 있다. 후자의 장치의 몇몇의 동작은 또한 정부 기관(government authorities)에 의해 필수적으로 고려될 수 있다.
개시된 측면은, 무선 억세스 네트워크 시스템에서 공유된 비밀 키를 저장해야만 하는 것 없이, 무선 억세스 네트워크 시스템으로부터(예컨대, NodeB 또는 eNodeB와 같은, 기지국으로부터) 수행되어지는 인증 및/또는 키 합의 절차를 가능하게 한다. 무선 억세스 네트워크 시스템으로부터 인증 및/또는 키 합의 절차를 수행하는 것은, 코어 네트워크 시스템이 이용가능하지 않음에도 불구하고(무선 억세스 네트워크 시스템이 분리됨(isolated): 단독 RAN 모드(isolated RAN mode)), 사용자 장치와 무선 억세스 네트워크 시스템 사이에서 수립되어지는 보안 연결을 가능하게 한다. 이는 공유 비밀 키가 HLR/AuC 또는 HSS 밖에서 통신되어지지 않아야 하고 따라서 공유 비밀 키의 (보안성의) 보안이 위태롭게 되지 않는다는 점에서 이점이다.
본 발명은 또한 코어 네트워크 시스템이 무선 억세스 네트워크 시스템에 대해 이용가능하지만 인증 및/또는 키 합의를 위해 이용되지 않을 때 적용될 수 있다. 코어 네트워크 시스템이 이용가능함에도 불구하고, 무선 억세스 네트워크 시스템을 이용하는 이점은, 예컨대 벡터가 비-최번시(non-busy hours) 동안, 무선 억세스 네트워크 시스템에 미리-로드될 수 있고, 최번시(busy hours) 동안 코어 네트워크에서 시그널링을 감소시킨다는 것이다. 또한, 인증 및/또는 키 합의 절차는 벡터가 무선 억세스 네트워크 시스템에 미리-로드되면 더 빠르게 실행된다.
따라서, 일반적으로, 본 발명은, 단독 RAN 모드(isolated RAN mode)를 포함하지만 그에 한정되지는 않는, RAN 온리 모드(RAN only mode)에 관한 것이다.
반면 일반적으로, 인증 및 키 합의(또한 AKA로서 언급됨) 양쪽이 수행되고, 여기서 논의된 바와 같이 무선 억세스 네트워크는 이들 절차 중 오직 하나, 예컨대 단지 인증 또는 단지 키 합의만을 수행할 수 있음이 인식되어져야 한다.
하나의 예에 있어서, 인증은 사용자 장치 및 네트워크의 식별(identity)의 검증(verification)에 관한 것이다.
하나의 예에 있어서, 키 합의는 데이터를 암호로 보호하고 및/또는 무선 인터페이스를 거쳐 시그널링하기 위한 적어도 하나의 키를 수립하기 위한 절차를 언급한다.
인증 절차 및 키 합의 절차 중 적어도 하나를 수행한 후, 무선 억세스 네트워크 시스템은 이들 절차(들)의 결과 및/또는 무선 억세스 네트워크 시스템과 사용자 장치 사이의 보안 관계를 유지하기 위한 암호(cryptographic) 키/파라미터(cryptographic keys/parameters)를 저장할 수 있음이 또한 인식되어져야 한다.
벡터에서의 전송된 하나 이상의 값은 비밀 키로부터 추출된 하나 이상의 값을 구비하여 구성된다. 비밀 키 그 자체는 무선 억세스 네트워크 시스템에 저장되지 않는다. 벡터 값의 수 및 형태는 원격통신 시스템의 발생에 의존한다. 일반적으로, 벡터는 무선 억세스 네트워크 시스템에서 수신된 보안 투플(security tuple)을 구비하고, 가능하게는 무선 억세스 네트워크 시스템에 저장된다.
다중 벡터가 단일 사용자 장치를 위해 무선 억세스 네트워크 시스템에 저장될 수 있음이 주지되어야 한다. 이는 코어 네트워크 시스템이 이용가능하지 않을 때에도 키재설정(rekeying)을 가능하게 한다.
다른 코어 네트워크 기능이 또한 무선 억세스 네트워크 시스템에서 구현될 수 있고, 이에 한정되는 것은 아니지만, SGSN 기능성 또는 MME 기능성을 포함하는 것이 또한 주지되어야 한다.
GSM/GPRS 네트워크에 대해, 트리플릿 벡터(triplet vector)가 AKA를 수행하는데 일반적으로 이용된다. 트리플릿 벡터는 무선 억세스 네트워크 시스템에 의해 수신되고 그에 저장되는 값(RAND, XRES, KC)의 조합을 포함한다. 비밀 키(K)는 보안 메카니즘을 위한 초석을 형성한다. 비밀 키(K)는 (일반적으로 SIM 카드 상의) 사용자 장치에, 그리고 코어 네트워크 시스템, 예컨대 HLR/AuC에 저장된다. HLR/AuC는 랜덤 수(random number; RAND)를 발생시킨다. RAND 및 비밀 키(K)는 키 발생 알고리즘을 이용해서 암호 키(KC)를 추출하고 인증 알고리즘 하에서 예상 응답(expected response; XRES)을 추출하는데 이용된다. 조합(RAND, XRES, KC)은 코어 네트워크 시스템으로부터 무선 억세스 네트워크 시스템, 벡터가 저장되는, 예컨대 기지국으로 전송된 GSM 인증 벡터(트리플릿)를 형성한다.
UMTS 네트워크에 대해, 트리플릿 인증 벡터 대신, 비밀 키(K)로부터 발생된, 암호 키(cipher key; CK), 무결성 키(integrity key; IK) 및 인증 토큰(authentication token; AUTN)과 함께 다시 RAND 및 예상 응답(XRES)을 포함하는 퀸텟 인증 벡터(quintet authentication vector)가 발생된다. AUTN은 알려진 방식으로 발생된다. 퀸텟 인증 벡터는 무선 억세스 네트워크 시스템, 예컨대 NodeB로 보내지고, 그에 저장된다.
4G EPS(Evolved Packet Systems)에 대해, 인증 절차는, 새로운 키 계층(key hierarchy)이 이용됨에도 불구하고, UMTS 네트워크와 유사하다. 사용자 장치 측에서 USIM 및 코어 네트워크 시스템 측에서 AuC에 저장된 비밀 키(K)는 키(CK 및 IK)를 추출하는데 이용된다. 서빙 네트워크(serving network; ID)과의 조합에서, CK 및 IK는 새로운 키 KASME를 추출하는데 이용된다. 이 새로운 키, KASME로부터, 다른 암호화 및 무결성 키가 무선 인터페이스를 거치는 터미널과 코어 네트워크(키 KNASenc) 사이에서 시그널링의 보호, 터미널과 코어 네트워크(키 KNASint) 사이에서 무결성의 보호, RRC 시그널링 및 사용자 데이터 전달을 위해 추출되고, 마지막은 암호화 키(encryption key; KUPenc)를 포함한다. 보안 투플(KASME, AUTN, XRES 및 RAND)은 코어 네트워크 시스템으로부터 무선 억세스 네트워크 시스템, 예컨대 eNodeB로 전송되고, 그에 저장된다.
2G, 3G 및 4G 외에, 본 발명은 억세스 네트워크 시스템, 및 키가 공유 비밀 키(shared secret key)로부터 추출되는 코어 네트워크 시스템를 구비하는 다른 네트워크에 이용될 수 있다. 이러한 네트워크는 잠재적으로 5G 및 다른 세대 모바일 네트워크를 구비하여 구성될 수 있다.
본 발명 및 그의 많은 실시예는, 예컨대 홈 코어 네트워크(home core network), 또는 로밍(roaming)을 위해 중요한(critical) 엘리먼트, 예컨대 HLR이 이용가능하지 않을 때, 로밍 네트워크 상에서 로밍하는 사용자 장치를 지원하기 위해, 무선 억세스 네트워크 시스템이 로밍 네트워크(FPLMN)의 일부이고 코어 네트워크 시스템이 홈 네트워크(HPLMN)의 일부인 네트워크에서 이용될 수 있음이 또한 당업자에 의해 인식되어져야 하고 이해될 것이다.
단일 사용자 장치를 위한 여러 벡터, 예컨대 벡터의 카피(copies of vectors)는, 필요로 될 때 벡터가 사용자 장치를 위해 이용가능한 확률을 증가시키도록, 무선 억세스 네트워크 시스템의 다중 장소(multiple locations)에 저장될 수 있다. 제어 엔티티(control entity)는, 벡터가 인증 및/또는 키 합의를 위해 한번 이용되면 벡터는 이용되어지는 것으로부터 금지(disabled)되는 것을 보장하도록, 무선 억세스 네트워크에, 예컨대 전용 eNodeB에 제공될 수 있다.
실시예에 있어서, 방법은 코어 네트워크 시스템으로부터 인증 절차 및 키 합의 절차 중 적어도 하나를 처리하도록 불능(inability)을 검출하는 단계를 갖추어 이루어진다. 그를 위해, 무선 억세스 네트워크 시스템은 불능을 나타내는 정보를 검출하는 검출기를 구비하여 구성된다. 검출기는, 예컨대 무선 억세스 네트워크 시스템의 분리(isolation)를 나타내는 정보를 검출할 수 있다. 정보는 외부 시스템으로부터 수신될 수 있다. 정보는 또한 기지국과 코어 네트워크 시스템 사이의 불연속(disconnection)을 검출하는 기지국에 의해 얻어질 수 있다. 불연속을 나타내는 정보는 코어 네트워크 시스템 또는 그 서브시스템의 오기능(malfunction)을 나타내는 에러 메시지 또는 동작 연결(operative connection)의 경우에 수신되는 정보의 부재(absence of information)를 구비하여 구성된다. 예컨대, 기지국은 코어 네트워크로 보내진 메시지 상에서 확인의 부재(absence of acknowledgements)를 검출할 수 있다. 이 경우, 확인(들)의 부재는 코어 네트워크 시스템과의 불연속을 나타낸다. 불능의 검출은 또한, HSS와 같은, 예컨대 제대로 기능하지 않는 엘리먼트 또는 노드 때문에 코어 네트워크 시스템으로부터 AKA 절차를 처리하는 것에 대한 불능으로 언급될 수 있다.
적어도 하나의 벡터가 코어 네트워크 시스템으로부터 전송되고 불연속을 검출하는 것 이전에 무선 억세스 네트워크 시스템에 저장된다. 이는 원격통신 네트워크의 정상 동작 동안 (무선 억세스 네트워크 시스템 및 코어 네트워크 시스템이 연결되거나, AKA 절차에 책임이 있는 노드가 동작적(operational)이고 무선 억세스 네트워크 시스템과의 통신이 가능할 때), 적어도 하나의 벡터는 무선 억세스 네트워크 시스템으로 적어도 한번은 전송되어야 하고 그에 저장됨을 의미한다.
AKA 절차가 코어 네트워크 시스템으로부터 처리될 수 있는 한, AKA는 코어 네트워크 시스템으로부터 수행될 수 있다. 불능을 검출한 후, 수신된 벡터의 하나 이상의 값을 이용해서 인증 절차 및/또는 키 합의 절차가 무선 억세스 네트워크 시스템으로부터 수행된다.
다른 통신 서비스 기능이 무선 억세스 네트워크 시스템에서 또한 구현된다면, 사용자 장치는 보안 방식으로 무선 억세스 네트워크 시스템을 이용해서 통신할 수 있다.
무선 억세스 네트워크에서 통신 서비스 기능성을 구현하는 하나의 실시예는, 예컨대 무선 억세스 네트워크 시스템과 코어 네트워크 시스템 사이에서 불연속을 검출한 후, 무선 억세스 네트워크 시스템에 적어도 하나의 통신 식별자를 저장하는 것이고, 통신 식별자는 사용자 장치를 위해 수립되어지는 통신 서비스를 가능하게 한다.
사용자 장치의 적어도 하나의 통신 식별자를 저장하도록 무선 억세스 네트워크 시스템에서 로컬 데이터베이스를 구현하는 것에 의해, 무선 억세스 네트워크 시스템은 코어 네트워크 시스템의 중앙 데이터 베이스에 대한 억세스를 요구하는 것 없이 해당 통신 식별자와 관련된 통신 서비스를 수립하기 위해 필요로 될 때 통신 식별자(그리고, 가능하게는, 해당 통신 식별자와 관련된 정보)를 억세스하도록 로컬 저장기(local storage)에 대한 억세스를 갖는다. 즉, 몇몇 이유로, 중앙 데이터베이스와의 연결은 이루어질 수 없고, 무선 통신 서비스는 하나 이상의 통신 식별자가 로컬 저장기에 저장되는 사용자 장치와 관련하여 로컬 저장기에 대한 억세스를 갖춘 기지국을 통해 여전히 제공될 수 있다. 기지국과 코어 네트워크 시스템 사이의 연결이 동작적이지 않을 때, 로컬 저장기는 코어 네트워크 시스템의 기능성(의 부분)을 에뮬레이트(emulate)하기 위한 수단을 제공한다. 코어 네트워크로부터의 불연속이 무선 억세스 네트워크 시스템에서 검출되면 적어도 하나의 통신 식별자가 사용자 장치로부터 수신될 수 있다. 적어도 하나의 통신 식별자를 미리 저장하지 않는 것의 이점은 로컬 저장기의 통신 식별자가 정상 동작 동안 갱신되고 유지되지 않아야 한다는 것이다.
통신 식별자의 전형적인 예는 음성 통신 서비스 및/또는 데이터 통신 서비스를 위한 식별자를 포함한다. 이들 식별자는 사용자-레벨 통신 식별자, 예컨대 사용자가 사용자 장치와 통신 서비스를 수립하는데 전형적으로 이용하는 식별자이다. 예컨대, 통신 식별자(들)는 음성 통신 서비스 및 SMS 서비스를 위한 사용자 장치 또는 SIP 통신 서비스를 위한 SIPURI에 관한 IMSI 또는 MSISDN를 포함할 수 있다.
잠재적으로 모든 사용자 장치를 위한 통신 식별자 및/또는 벡터의 전송 및 저장을 회피하기 위해, 실시예는, 이러한 사용자 장치에 대해, 적어도 하나의 벡터가 무선 억세스 네트워크 시스템으로 전송되어야 함을 나타내도록 코어 네트워크 시스템에서 적어도 하나의 사용자 장치와 관련되는 표시(또한 RAN(radio access network) 온리 가입 표시(only subscription indication)로 칭해짐)의 미리-저장(pre-storage)을 포함한다. RAN 온리 가입 표시가 할당되지 않은 사용자 장치에 대해, 벡터는 무선 억세스 네트워크 시스템으로 전송되지 않고 그에 저장되지 않는다.
하나의 측면에 있어서, 본 발명은 무선 억세스 네트워크 시스템과 함께 동작하기 위해 구성된 코어 네트워크 시스템을 제공한다. 코어 네트워크 시스템은 등록기(register), 프로세서(processor) 및 전송기(transmitter)를 구비하여 구성된다. 등록기는 벡터가, 예컨대 무선 억세스 네트워크 시스템에서 저장을 위해, 무선 억세스 네트워크 시스템에 전송되여야 함을 나타내는 사용자 장치와 관련된 RAN 온리 가입 표시를 저장하기 위해 구성된다. 프로세서는 단지 등록기가 미리-저장된 RAN 온리 가입 표시를 갖는다면 사용자 장치를 위한 벡터의 전송을 제어하기 위해 구성된다. 전송기는 프로세서에 의해 제어되고 무선 억세스 네트워크 시스템으로 벡터를 전송하도록 구성된다.
RAN 온리 가입 표시는 무선 억세스 네트워크 시스템이 분리되면 보안 통신을 위한 원격통신 오퍼레이터와의 특정 가입을 가능하게 한다. 이러한 가입은 응급 구조원(emergency workers), 중요한 사람(critical personnel), 중요한 기계간 어플리케이션(critical machine-to-machine applications) 등에 대해 흥미로울 것이다.
실시예에 있어서, (바람직하기는 여러 값을 갖는) 적어도 하나의 벡터가 코어 네트워크 시스템으로부터 주기적으로 수신되고 무선 억세스 네트워크 시스템에 저장된다. 하나 이상의 새로운 벡터를 수신하는 것에 응답하여, 하나 이상의 오래된 벡터가 삭제될 수 있다.
실시예에 있어서, 표시는 무선 억세스 네트워크 시스템이 무선 억세스 네트워크 시스템으로부터 얻어진 서비스를 위한 인증 절차 및 키 합의 절차 중 적어도 하나를 수행하게 될 것임을 나타내도록 무선 억세스 네트워크 시스템으로부터 (예컨대, 셀 방송 메시지(cell broadcast message))를 이용해서) 전송될 수 있다. 본 실시예는, 예컨대 코어 네트워크 시스템으로부터 분리될 때, RAN-온리 모드에서 무선 억세스 네트워크 시스템을 이용해서 동작하는 사용자 장치가 이들 서비스를 이용하도록 권한을 부여받고 보안 방식으로 무선 억세스 네트워크와 통신할 수 있음을 보장한다. 표시는 RAN-온리 표시로 언급될 수 있다. 이 표시는 무선 억세스 네트워크 시스템 개시 표시(radio access network system initiated indication)일 수 있다.
실시예에 있어서, 무선 억세스 네트워크 시스템은 제1 노드와, 제1 노드에 통신적으로 연결된 제2 노드를 구비하여 구성된다. 연결을 수립하기 위한 요청은 제1 노드에서 사용자 장치로부터 수신될 수 있다. 그러나, 인증 절차 및/또는 키 합의 절차는 저장된 벡터에 대해 억세스를 갖는 제2 노드에서 수행된다. 제1 및 제2 노드는 여러 기지국, 예컨대 (e)NodeB들 일 수 있다. 기지국은 (직접적으로 또는 간접적으로 예컨대 X2 인터페이스를 이용하는) 통신적 연결에 있다. 실시예는 무선 억세스 네트워크 시스템의 모든 노드가 벡터를 위한 저장기를 구현해야 하는 것은 아니고 및/또는 인증 절차 및/또는 키 합의 절차를 수행할 수 있음을 용이하게 한다.
개시된 방법을 수행하는 무선 억세스 네트워크 시스템의 노드가 특정 순간에 사용자 장치를 위한 무선 인터페이스를 제공하는 하나 이상의 노드와 다른 이러한 분산 시스템(distributed systems)에 대해, 메카니즘은 저장된 벡터에 대한 억세스를 갖추고 및/또는 AKA 절차를 수행하도록 구성되는 노드를 발견하기 위해 구상되고 있다.
1실시예에 있어서, 사용자 장치는 적어도 하나의 벡터를 억세스하기 위한 장소의 무선 억세스 네트워크 시스템에 대해 표시를 전송할 수 있다. 장소 표시(들)(location indication(s))는, 예컨대 사용자 장치에 또는 메모리 카드 상에 장소 표시를 저장하는 것에 의한, 또는 무선 억세스 네트워크 시스템으로부터 또는 코어 네트워크 시스템으로부터 사용자 장치에 통지하는 것에 의한, 다양한 방식으로 사용자 장치에 의해 얻어질 수 있고, 예컨대 셀 방송 메시지에 구비된다. 장소 표시는, 예컨대 Attach Request 또는 TAU(Tracking Area Update) Request에서, 무선 억세스 네트워크 시스템에 연결하고 있을 때 무선 억세스 네트워크 시스템에서 수신될 수 있다.
다른 실시예에 있어서, 무선 억세스 네트워크 시스템의 노드는 벡터를 저장하고 및/또는 AKA 절차를 수행하기 위해 구성되는 무선 억세스 시스템의 다른 노드의 어드레스를 기록한다. 예컨대, 장소 영역(location area) 또는 라우팅 영역(routing area) 당 하나의 기지국은 벡터가 특정 사용자 장치를 위해 저장되는 어드레스를 추적하도록 부가 기능성이 부여될 수 있다. 해당 기지국은 벡터가 제2 노드에서 이용가능함을 제1 노드에 통지하도록 예컨대 제1 노드로부터 쿼리(queried)될 수 있다.
또 다른 실시예에 있어서, 제1 노드는 벡터를 유지하는(hold) 노드를 위해 (예컨대, X2 인터페이스를 거쳐) 무선 억세스 네트워크 시스템에서의 요청을 방송할 수 있다.
더욱 더 보안을 강화하기 위해, 1실시예에 있어서, 예컨대 이들 노드가 보안된 장소(예컨대, 실내 장소)에 물리적으로 위치되고, 반면 다른 노드가 비교적 보안이 되지 않은 실외 장소에 있을 수 있기 때문에, 벡터는 믿을 수 있는 노드(trusted nodes)로서 지정된 무선 억세스 네트워크 시스템의 노드에서만 오직 수신될 수 있다.
다른 실시예에 있어서, 무선 억세스 네트워크 시스템에서 수신되고 저장된 벡터의 값은 코어 네트워크 시스템이 AKA 절차를 수행하도록 이용가능한 한에는 비-동작적인 하나 이상의 값을 구비하여 구성될 수 있다. 이는 시그널링에 의해 나타내어질 수 있다. 예컨대, 벡터는 값이 RAN-온리 모드의 경우에 대해서만임을 나타내는 플래그(flag)를 포함할 수 있다. 1실시예에 있어서, AKA 파라미터(AMF)는 시그널링의 이러한 형태를 위해 이용될 수 있다. RAN-온리 모드는 예컨대 PLMN 표시에서 나타내어질 수 있다. 사용자 장치의 USIM이 AMF 파라미터를 수신할 때, 이는 (예컨대, PLMN 표시와 함께 보내진) RAN-온리 모드 표시기가 RAN-온리 모드에 있는지의 여부를 체크하게 된다. RAN-온리 모드 표시기가 설정되지 않고 AMF 파라미터가 설정되지 않으면, 통상적인 AKA가 코어 네트워크 시스템과 함께 수행된다. RAN-온리 모드 표시기가 설정되지 않지만 AMF 파라미터가 설정되면, 사용자 장치는 네트워크를 인증하지 않아야 한다. 이 경우, 부당한 기지국 공격(false base station attacks)이 발생할 수 있다. 사용자 장치는, RAN-온리 모드가 검출될 때 시그널링 메시지를 갖춘 벡터의 하나 이상의 값을 이용해서 무선 억세스 네트워크 시스템을 단지 인증하도록 구성, 예컨대 프로그램될 수 있다.
실시예에 있어서, 하나 이상의 벡터가 인증 절차 및 키 합의 절차 중 적어도 하나를 수행하기 위해 무선 억세스 네트워크 시스템에서 리플레시(refreshed)된다. 이는 무선 억세스 네트워크 시스템으로부터 벡터의 갱신(renewal)을 허용한다. 리플레시되는 하나 이상의 벡터는 이용되고 있는 벡터 및/또는 인증 및/또는 키 합의를 위해 사용되지 않고 남아 있는 벡터를 구비하여 구성될 수 있다. RAN-온리 모드에서, 레플레싱 절차(refreshing procedure)는 진행할 수 없고, 벡터는 예컨대 RAN이 분리되어 동작하는 한 더 긴 이용을 위해 의도적으로 유지될 수 있음이 주지되어야 한다. 이는 예컨대 코어 네트워크 시스템의 가용도(availability)와 관련하는 오래 지속되고 있는 문제에 대해 이점일 수 있다.
본 발명의 하나의 측면에 있어서, 사용자 장치는 여기에 개시된 방법 및 무선 억세스 네트워크 시스템에 대해 협력하도록 채택된다. 예컨대, 사용자 장치는, 코어 네트워크 시스템이 인증 절차 및 키 합의 절차를 수행하는 것이 가능할 때, 벡터의 하나 이상의 값이 인증 절차 및/또는 키 합의 절차를 수행하기 위해 비-동작임을 나타내는 벡터 및/또는 시그널링 메시지를 저장하는 무선 억세스 네트워크 시스템에서 노드의 RAN-온리 표시 및/또는 장소 표시를 처리하기 위해 구성될 수 있다.
사용자 장치는 인증 절차 및/또는 키 합의 절차가 무선 억세스 네트워크 시스템에 의해 수행될 것이고, 가능하게는 단지 제한된 서비스만이 이용가능한 RAN-온리 표시를 수신할 수 있다. 1실시예에 있어서, 사용자 장치는 예컨대 통상적으로 코어 네트워크 시스템을 이용해서 이용가능하게 되는 다른 서비스를 요청하는 것에 대해 금지되는 것에 의해 오직 소정 서비스에 대해 제한되도록 제어될 수 있다. 무선 억세스 네트워크 시스템에 의해 제공된 서비스의 세트를 이용하기 위해, 사용자 장치에는 무선 억세스 네트워크 시스템에 따른 인증이 무선 억세스 네트워크 시스템에 의해 제공된 서비스를 억세스하도록 요구됨이 통지된다.
다른 실시예에 있어서, 사용자 장치는 벡터가 무선 억세스 네트워크 시스템의 특정 노드에서 이용가능함을 나타내는 장소 표시를 처리할 수 있다. 예컨대, 사용자 장치는 장소 표시를 수신할 수 있고 필요할 때 적용될 수 있도록 사용자 장치의 특정 어드레스에서의 장소 표시를 저장하도록 구성된다. 예컨대, 사용자 장치가 무선 억세스 네트워크 시스템으로부터 RAN-온리 표시를 수신하면, 사용자 장치는 무선 억세스 네트워크 시스템에 연결(attach)하고, 그것이 저장되는 어드레스로부터 장소 표시를 검색하며, 적어도 하나의 벡터가 이용가능한 무선 억세스 네트워크 시스템에 통지하기 위한 요청에서의 장소 표시를 포함하도록 요청할 수 있다.
또 다른 실시예에 있어서, 사용자 장치는 코어 네트워크 시스템이 인증 절차 및 키 합의 절차를 수행하는 것이 가능할 때 벡터의 하나 이상의 값이 인증 절차 및/또는 키 합의 절차를 수행하기 위해 비-동작(non-operable)임을 나타내는 시그널링 메시지를 처리하도록 구성된다. 예컨대, 사용자 장치는, 하나 이상의 값이 RAN-온리 모드에서 유효(valid)하고, RAN-온리 모드가 무선 억세스 네트워크 시스템에 의해 나타내어짐을 시그널링 메시지가 나타내면, 벡터의 하나 이상의 값을 이용해서 무선 억세스 네트워크 시스템을 단지 인증하도록 구성, 예컨대 프로그램될 수 있다.
본 발명은 청구항에서 인용된 특징의 모든 가능한 조합에 관한 것임이 주지된다.
도 1은 무선 억세스 네트워크 시스템과 코어 네트워크 시스템을 구비하는 원격통신 시스템의 개요도이다.
도 2는 무선 억세스 네트워크 시스템이 코어 네트워크 시스템으로부터 분리되는(isolated) 원격통신 시스템의 다른 개요도이다.
도 3a 내지 도 3c는 개시된 방법의 실시예를 예시하는 기본 시간도(basic time diagrams)이다.
도 4는 LTE 원격통신 시스템을 위한 키 계층(key hierarchy)을 도시한다.
도 5는 개시된 방법의 실시예에 따라 도 1에 예시된 바와 같이 LTE 원격통신 시스템에서 인증 및 키 합의 절차(authentication and key agreement procedure)를 수행하기 위한 더욱 상세한 시간도(time diagram)를 도시한다.
도 6은 개시된 방법의 실시예에 따라 도 1에 예시된 바와 같이 UMTS 원격통신 시스템에서 인증 및 키 합의 절차를 수행하기 위한 더욱 상세한 시간도를 도시한다.
도 7은 개시된 방법의 실시예에 따라 도 1에 예시된 바와 같이 GSM/GPRS 원격통신 시스템에서 인증 및 키 합의 절차를 수행하기 위한 더욱 상세한 시간도를 도시한다.
도 8은 원격통신 네트워크 또는 사용자 장치의 일반적 시스템 또는 엘리먼트의 실시예의 개략 블록도이다.
도 1은 원격통신 시스템(1)의 개략도를 나타낸다. 원격통신 시스템(1)은 (또한 도 1에서 E-UTRAN 또는 RAN으로서 나타낸) 무선 억세스 네트워크 시스템(2)과 이하 더욱 상세하게 설명되는 다양한 엘리먼트 또는 노드를 포함하는 코어 네트워크 시스템(3)을 구비하여 구성된다.
도 1의 원격통신 시스템(1)에 있어서, 네트워크의 3세대가 간결성의 목적을 위해 도식적으로 함께 도시된다. 구조 및 개요의 더욱 상세한 설명이 그 전체가 참고문헌으로 본 출원에 포함되는 3GPP TS 23.002에서 발견될 수 있다.
도 1의 하부 브랜치는 GPRS 또는 UMTS 네트워크를 나타낸다.
GSM/GPRS 네트워크에 대해, 무선 억세스 네트워크 시스템(2)은, 도 1에서는 개별적으로 도시되지 않은, 다수의 기지국(BSC 및 BTS의 조합)과 하나 이상의 RNC(Radio Network Controllers)를 구비하여 구성된다. 코어 네트워크 시스템(3)은 GGSN(Gateway GPRS Support Node), (GPRS를 위한) SGSN(Serving GPRS Support Node) 또는 (GSM를 위한, 도 1에 도시되지 않은) MSC(Mobile Switching Centre), AuC(Authentication Centre)와 결합된 HLR(Home Location Register)을 구비하여 구성된다. HLR은 사용자 장치(4)를 위한 가입 정보(subscription information)를 포함하고, AuC는 AKA(authentication and key agreement) 절차를 위해 이용되어지는 비밀 키를 포함한다.
UTRAN(UMTS radio access network)에 대해, 무선 억세스 네트워크 시스템(2)은 또한 다수의 NodeBs에 연결된 RNC(Radio Network Controller)를 구비하여 구성되고, 또한 도시되지는 않았다. 코어 네트워크 시스템(3)에 있어서, GGSN 및 SGSN/MSC는 사용자 장치(4)의 가입 정보 및 비밀 키를 포함하는 HLR/AuC에 통상적으로 연결된다.
GSM 및 UMTS 네트워크에서 RNC 기능성(functionality)은 공식적으로 RAN의 일부임을 주지해야만 한다. RNC 기능성은 하나 이상의 기지국에서 구현될 수 있다. 이러한 구성은 콜랩스드 아키텍쳐(collapsed architecture)로서 알려져 있다.
도 1에서 상부 브랜치는, LTE(Long Term Evolution) 시스템 또는 EPS(Evolved Packet System)으로서 통상적으로 나타낸, 차세대 네트워크(next generation network)를 나타낸다.
E-UTRAN으로 나타낸, 무선 억세스 네트워크 시스템(2)은 장치(3)를 위한 무선 억세스를 제공하는 evolved NodeBs(eNodeBs 또는 eNBs)를 구비하여 구성된다. 코어 네트워크 시스템(3)은 P-GW(PDN Gateway) 및 S-GW(Serving Gateway)를 구비하여 구성된다. EPS의 E-UTRAN은 패킷 네트워크(packet network)을 매개로 S-GW에 연결된다. S-GW는 시그널링 목적(signalling purposes)을 위해 HSS(Home Subscriber Server) 및 MME(Mobility Management Entity)에 연결된다. HSS는 SPR(subscription profile repository)을 포함하고, AKA 절차를 위해 비밀 키를 저장하는 AuC(Authentication Centre)와 결합된다.
GPRS, UMTS 및 LTE 시스템에 대해, 코어 네트워크 시스템(3)은 일반적으로 추가 패킷 네트워크(further packet network; 5), 예컨대 인터넷에 연결된다.
EPS 네트워크의 일반적 아키텍쳐의 추가 정보는 3GPP TS 23.401에서 발견될 수 있다.
물론, 3GGP, 예컨대 WiMAX에 의해 정의된 것과는 다른 아키텍쳐가 또한 본 발명의 문맥 내에서 이용될 수 있다.
도 2는 무선 억세스 네트워크 시스템(2) 및 코어 네트워크 시스템(3)을 포함하는 2G, 3G 또는 4G 원격통신 시스템(1)의 개요도이다. 무선 억세스 네트워크 시스템(2)은 시간의 어떤 순간에서 코어 네트워크 시스템(3)으로부터 분리되는 5개의 eNodeB를 구비하여 구성된다. eNodeB 5개는 X2 인터페이스를 매개로 서로 연결될 수 있다. 여기에 개시된 방법 및 시스템은 무선 억세스 네트워크 시스템(2)이 코어 네트워크 시스템(3)에 연결되도록 유지될 때 잘 수행될 수 있음을 주지해야만 한다.
무선 억세스 네트워크 시스템(2)은 저장기(storage 20), 예컨대 데이터베이스를 구비하여 구성된다. 도 2의 실시예에 있어서, 저장기(20)는 eNodeB_2와 관련되고, 예컨대 eNodeB_2에 의해 억세스될 수 있다. 다른 실시예는 비슷한 모든 기지국에 의해 억세스되도록 그 자신의 저장기 또는 공유 저장기(shared storage)를 갖춘 각 기지국을 포함함을 인식해야만 한다. 저장기(20)는 사용자 장치(4)를 위한 인증 및/또는 키 합의를 위해 이용되어지는 하나 이상의 벡터 및 통신 식별자 중 적어도 하나를 저장할 수 있다. 도 2에 예시된 바와 같이, 사용자 장치(4)는 eNodeB_2에 의해 제공된 셀에 반드시 있을 필요는 없다.
도 3a 내지 도3c는 개시된 방법의 실시예를 설명하는 기본 플로우차트이다.
도 3a에 있어서, 단계(S30)는 코어 네트워크 시스템(3)에서 인증 및/또는 키 합의 목적을 위한 벡터(vector)의 발생을 나타낸다. 벡터는 단계(S31)에서 코어 네트워크 시스템(3)으로부터 무선 억세스 네트워크 시스템(2)으로 전송되고, 동작의 RAN-온리 모드(RAN-only mode)에서 적용하도록, 그 내에, 예컨대 하나 이상의 기지국과 관련된 저장기(20)에 저장될 수 있다. 단계(S32)에 있어서, 무선 억세스 네트워크 시스템(2)은 연결 요청(connection request), 예컨대 Attach Request를 수신한다. 연결 요청을 수신하는 것에 응답하여, AKA 절차는 단계(S31)에서 수신되고 저장된 벡터를 이용하는 사용자 장치(UE 4)를 위한 무선 억세스 네트워크 시스템(2)으로부터 단계(S33)에서 수행된다.
도 3b에 있어서, 단계(S30)는 코어 네트워크 시스템(3)에서 인증 및/또는 키 합의 목적을 위한 벡터의 발생을 다시 나타낸다. 벡터는 단계(S31)에서 코어 네트워크 시스템(3)으로부터 무선 억세스 네트워크 시스템(2)으로 전송되고, 그 내, 예컨대 하나 이상의 기지국과 관련된 저장기(20)에 저장된다.
단계(S34)에서, 무선 억세스 네트워크 시스템(2)은 코어 네트워크 시스템(3)으로부터의 단절(disconnection) 또는 그의 오기능(malfunction)을 검출한다. 무선 억세스 네트워크 시스템은 지금 RAN-온리 모드, 특히 단독 RAN 모드(isolated RAN mode)에 있다. 인접 기지국(neighbouring base station)이 AKA 절차를 수행하기 위해 코어 네트워크 시스템(3)에 연결될 수 있다면, AKA 절차가 인접 기지국을 거쳐 라우팅(routing)을 매개로 수행될 수 있으므로, 여기에 개시된 방법은 반드시 적용될 필요가 없음을 주지해야만 한다.
코어 네트워크 시스템(3)의 비가용도(unavailability)의 검출에 응답하여, 무선 억세스 네트워크 시스템은, 무선 억세스 네트워크 시스템이 RAN-온리 모드에서 동작 중임을 나타내는, RAN-온리 표시(RAN-only indication), 본 실시예에서는 IND_RAN-only를 구비하는 단계(S35)에서, 메시지, 예컨대 방송 메시지(broadcast message)를 전송한다. 표시(indication)는 RAN-온리 모드가 단독 RAN 모드(isolated RAN mode)로 언급되는 더 많은 특정 표시를 구비하여 구성될 수 있다. RAN-온리 표시는, 예컨대 RAN-온리 모드 또는 단독 RAN 모드에서 제공된 서비스에 대한 억세스를 얻기 위해, 무선 억세스 네트워크 시스템은 수행될 새로운 인증 및/또는 키 합의 절차를 요구한다는 표시를 포함할 수 있다. RAN-온리 모드가 적용되는가 또는 더 많은 특정 단독 RAN 모드가 적용되는가에 따라, 구분이 이루어질 수 있다. 후자의 경우, 무선 억세스 네트워크 시스템으로부터 더 많은 서비스를 이용하기 위한 인증이 제공될 수 있고, 더 많은 일반적 RAN-온리 모드가 적용될 때 보다, 예컨대 또한 통신 식별자(communication identifiers)를 포함하는 무선 억세스 네트워크 시스템에서 저장기의 이용을 만든다. 사용자 장치는 표시 IND_RAN-only를 검출하고 이는 RAN-온리 (또는 단독 RAN) 서비스를 이용하기 위해 단계(S33)에서 새로운 인증 및/또는 키 합의 절차를 위해 무선 억세스 네트워크 시스템에 대해 요청을 트리거링하고(triggers)(S32), 다시 도 3b의 단계(S31)에서 수신 및 저장된 벡터를 이용한다.
도 3c에서, 코어 네트워크 시스템(3)의 엘리먼트, 예컨대 HLR 또는 HSS는 가입자 정보를 갖는 등록기(register)를 구비하여 구성된다. 등록기는 사용자 장치(UE 4)와 관련된 RAN-온리 가입 표시(RAN-only subscription indication)를 구비하여 구성된다. RAN-온리 가입 표시는, 해당 특정 사용자 장치(UE 4)에 대해, 무선 억세스 네트워크에서 수행되어지는 인증 및/또는 키 합의 절차가 인에이블링되어야만 하고, 그 결과로서, 사용자 장치(UE 4)와 관련된 비밀 키로부터 추출된 벡터가 무선 억세스 네트워크 시스템(2)으로 전송되어야만 함을 (본 실시예에서는 "1"로 설정된 단일 값에 의해) 표시한다.
RAN-온리 가입자 표시(RAN-only subscription indication)에 따라, 단계(S30)에서 발생된 벡터가 코어 네트워크 시스템(3)으로부터 무선 억세스 네트워크 시스템(2)으로 전송되고, 예컨대 반드시 하나 이상의 기지국과 관련된 저장기(20)에는 아니지만, 그 내에 저장된다. 등록기에서 RAN-온리 가입자 표시가 할당되지 않은 사용자 장치에 대해, 벡터는 무선 억세스 네트워크 시스템으로 전송되지 않고 그에 저장되지 않는다. 예컨대 무선 억세스 네트워크 시스템이 코어 네트워크 시스템으로부터 분리되기 때문에, 무선 억세스 네트워크 시스템(2)이 RAN-온리 모드에서 동작하면, RAN 온리 표시는 보안 통신을 위해 원격통신 오퍼레이터(telecommunications operator)와 특정 가입을 가능하게 한다. 이러한 가입은 예컨대 응급 구조원(emergency workers), 중요한 사람(critical personnel), 중요한 기계간 어플리케이션(critical machine-to-machine applications) 등에 대해 흥미로울 것이다.
도 3c의 실시예에 있어서, 벡터는 도 2에 도시된 시스템의 eNodeB_2의 저장기(20)에 저장된다. 단계(S36)에 있어서, 사용자 장치(UE 4)에는 표시 IND_LOC에 의해 eNodeB_2의 어드레스가 통지된다. 대안이 무선 억세스 네트워크 시스템(2)에서 벡터의 장소(location)의 UE 4에 통지하기 위해 구상 중임을 인식해야만 한다. 1실시예에 있어서, UE 4에는 코어 네트워크 시스템(3)으로부터, 예컨대 SMS 설비를 이용해서, 벡터에 대해 억세스를 갖는 기지국에 관하여 통지된다. 실질적으로 고정 사용자 장치(stationary user devices)를 위해 및/또는 MTC 장치를 위해 특히 적절할 수 있는, 다른 실시예에 있어서, 장소 표시(location indication)는 사용자 장치(UE 4)에 미리-저장될 수 있다.
단계(S37)에 있어서, 사용자 장치(UE 4)는 무선 억세스 네트워크 시스템(2)으로, 특히 사용자 장치(UE 4)를 위한 셀 커버리지(cell coverage)를 제공하는 eNodeB_1으로 억세스 요청을 전송한다. UE 4는 인증 및/또는 키 합의 절차를 수행하기 위해 요구된 무선 억세스 네트워크 시스템에서 벡터의 장소의 무선 억세스 네트워크 시스템(2)을 통지하도록 구성된다. 1실시예에 있어서, 장소 표시 LOC_IND는 억세스 요청의 부분과 함께 전송되거나 억세스 요청의 부분이다. 무선 억세스 네트워크 시스템(2)은 장소 표시 LOC_IND를 수신하고, 벡터에 대한 억세스를 갖는 기지국의 어드레스를 해결하도록 구성된다. UE 4는 장소 표시의 다른 방식으로 (예컨대, 억세스 요청의 부분이 아닌 전용 메시지로) 무선 억세스 네트워크 시스템(2)을 통지할 수 있음을 주지해야 한다.
도 3c의 실시예에 있어서, eNodeB_1은 UE 4와 관련된 벡터가 eNodeB_2와 관련됨을 단계(S37)에서 수신된 장소 표시 LOC_IND로부터 찾아내는 것을 가능하게 한다. 기지국(eNodeB_1 및 eNodeB_2)은 (직접적으로 또는 간접적으로 예컨대 X2 인터페이스를 이용하는(도 2 참조)) 통신적 연결에 있다. 실시예는 무선 억세스 네트워크 시스템(2)의 모든 노드가 벡터를 위한 저장기를 구현해야 하는 것은 아니고 및/또는 인증 절차 및/또는 키 합의 절차를 수행할 수 있음을 용이하게 한다.
단계(S38)에서, eNodeB_1은 인증 및/또는 키 합의 절차가 UE 4를 위해 수행되어야만 함을 eNodeB_2에게 통지한다. 절차는 중간 노드(intermediary node)로서 eNodeB_1을 이용해서 eNodeB_2과 UE 4 사이에서 단계(S33)에서 수행된다.
한편, 도 3a 내지 도 3c의 실시예에서, 벡터는 무선 억세스 네트워크 시스템(2)에 저장되고, 이는 필요로 되지 않음을 주지해야 한다. 도 3a 및 도 3c의 실시예에 있어서, 예컨대 무선 억세스 네트워크 시스템(2)(예컨대, eNodeB_2와 같은 기지국)은 코어 네트워크 시스템(3)으로부터(예컨대, 동일한 원격통신 네트워크(1)로부터의 HLR/AuC 또는 HSS로부터) 벡터를 수신하고 사용자 장치를 위한 온-더-플라이 인증 및/또는 키 합의 절차(on-the-fly authentication procedure and/or key agreement procedure)를 수행하도록 벡터를 이용할 수 있다.
1실시예에 있어서, 무선 억세스 네트워크 시스템(2)은 인증 및/또는 키 합의 절차를 위한 벡터 보다 더 많은 정보를 포함하거나 저장할 수 있다. 예컨대, 적어도 하나의 통신 식별자는 또한 무선 억세스 네트워크 시스템(2)에, 예컨대 저장기(20)에 저장될 수 있다. 통신 식별자는 사용자 장치를 위해 또는 그와 함께 수립될 통신 서비스를 가능하게 한다. 사용자 장치(4)의 적어도 하나의 통신 식별자를 저장하도록 무선 억세스 네트워크 시스템(2)에 로컬 저장기(local storage)를 구현하는 것에 의해, 코어 네트워크 시스템(3)에 대한 억세스를 요구하는 것 없이 해당 통신 식별자와 관련된 통신 서비스를 수립하는 것이 필요로 될 때, 무선 억세스 네트워크 시스템(2)은 통신 식별자(그리고, 가능하게는, 해당 통신 식별자와 관련된 정보)를 억세스하도록 저장기에 대한 억세스를 갖는다. 즉, 몇몇 이유에 대해, 코어 네트워크 시스템(3)과의 연결이 만들어질 수 없을 때, 무선 통신 서비스는 하나 이상의 통신 식별자가 로컬 저장기에 저장되는 사용자 장치와 관련하여 저장기에 대해 억세스를 갖춘 단독 무선 억세스 네트워크 시스템(isolated radio access network system)을 통해 여전히 제공될 수 있다. 무선 억세스 네트워크 시스템(2)과 코어 네트워크 시스템(3) 사이의 연결이 동작되지 않거나 코어 네트워크 시스템(3)의 (엘리먼트의) 오기능이 있을 때, 로컬 저장기는 코어 네트워크 시스템(3)(의 부분)을 에뮬레이트(emulate)하기 위한 수단을 제공한다. 적어도 하나의 통신 식별자는 코어 네트워크 시스템(3)으로부터의 단절 또는 그의 오기능 전 또는 후의 어느 쪽에서 사용자 장치(4)로부터 수신될 수 있다. 대안적으로 또는 부가적으로, 적어도 하나의 통신 식별자는 코어 네트워크 시스템(3)으로부터 로컬 저장기로 미리-로드(pre-loaded)될 수 있다.
통신 식별자의 전형적인 예는 음성 통신 서비스 및/또는 데이터 통신 서비스를 위한 식별자를 포함한다. 이들 식별자는 사용자-레벨 통신 식별자(user-level communication identifiers), 예컨대 사용자가 사용자 장치와 통신 서비스를 수립하는데 전형적으로 이용하는 식별자이다. 예컨대, 통신 식별자(들)는 음성 통신 서비스 및 SMS 서비스를 위한 사용자 장치에 관련된 IMSI 또는 MSISDN 또는 SIP 통신 서비스를 위한 SIPURI를 포함할 수 있다.
도 3a 내지 도 3c의 실시예에 있어서, 단계(S31)는 한번 이상, 예컨대 주기적으로 수행될 수 있음을 주지해야 한다. 단일 사용자 장치를 위해 전송된 벡터는 다를 수 있다. 무선 억세스 네트워크 시스템(2)에서 하나 이상의 벡터를 수신하는 것에 응답하여, 하나 이상의 오래된 벡터가 삭제될 수 있다. 이는 무선 억세스 네트워크 시스템(2)으로부터 벡터의 갱신(renewal)을 허용한다. 리플레시된(refreshed) 하나 이상의 벡터는 인증 및/또는 키 합의를 위해 미사용된 남아있는 벡터를 구비하여 구성될 수 있다. 대안적 실시예에 있어서, 벡터는 사용을 위해 유지됨을 주지해야만 한다. 이는, 예컨대 코어 네트워크 시스템(3)의 가용도(availability)와 관련하여 오래 지속되는 문제를 위해 이점일 수 있다.
도 3c의 실시예와는 다른 대안이 분산 시스템(distributed systems)에서 벡터의 장소를 해결하기 위해 구상되고 있고, 여기서 본 발명 방법을 수행하는 무선 억세스 네트워크 시스템(2)의 노드는 특정 순간에 사용자 장치(4)를 위한 무선 인터페이스(wireless radio interface)를 제공하는 하나 이상의 노드와는 다름을 또한 주지해야만 한다.
1실시예에 있어서, 무선 억세스 네트워크 시스템(2)의 노드(예컨대, 도 2에서의 eNodeB_3)는 벡터를 저장하는 무선 억세스 네트워크 시스템의 다른 노드의 어드레스를 기록하고, 및/또는 인증 및/또는 키 합의 절차, 예컨대 도 2에서의 eNodeB_2를 수행하기 위해 구성된다. eNodeB_3는 벡터가 특정 사용자 장치를 위해 저장되는 어드레스의 트랙을 유지하도록 부가적 기능성을 부여하는 특정 장소 영역 또는 라우팅 영역(routing area)을 위한 슈퍼 노드(super node)로서 기능할 수 있다. 해당 기지국(eNodeB_3)은 이어 벡터가 eNodeB_2에서 이용가능한 제1 노드(eNodeB_1)를 통지하도록 무선 억세스를 제공하는 예컨대 eNodeB_1으로부터 쿼리(queried)될 수 있다.
또 다른 실시예에 있어서, 제1 노드(eNodeB_1)는 벡터를 유지하고 제2 노드(eNodeB_2)로부터 응답을 수신하는 노드를 위해 (예컨대, X2 인터페이스를 거쳐) 무선 억세스 네트워크 시스템에서의 요청을 방송할 수 있다.
더욱 더 보안을 강화하기 위해, 1실시예에 있어서, 예컨대 이들 노드가 보안된 장소(예컨대, 실내 장소)에 물리적으로 위치되고, 반면 다른 노드가 비교적 보안이 되지 않은 실외 장소에 있을 수 있기 때문에, 벡터는 믿을 수 있는 노드(trusted nodes)로서 지정된 무선 억세스 네트워크 시스템(2)의 노드에서만 오직 수신될 수 있다. 예컨대, 도 2에 있어서, eNodeB_2는 다른 기지국에 관하여 보안 환경에 수용된 믿을 수 있는 노드일 수 있는 한편, eNodeB_2는 여전히 또한 사용자 장치를 위한 무선 커버리지를 제공한다.
단일 사용자 장치(4)를 위한 여러 벡터, 예컨대 벡터의 카피(copies)는, 필요로 될 때 벡터가 사용자 장치(4)를 위해 이용가능한 확률(probability)을 증가시키기 위해, 무선 억세스 네트워크 시스템(2)의 다중 장소에 저장될 수 있다. 예컨대, 단일 사용자 장치를 위한 벡터는 저장될 수 있어서, 그들은 예컨대 도 2의 각 eNodeB_1, eNodeB_2, eNodeB_3, eNodeB_4 및 eNodeB_5에 대한 무선 억세스 네트워크 시스템(2)의 각 기지국을 위해 억세스될 수 있다.
다음에, 더욱 상세한 실시예가 도 4 내지 도 7을 참조하여 설명될 것이다. 이들 도면에 있어서, "AV"는, AKA 절차에서 이용된 보안 투플(security tuple)을 지정하기 위한 기술에서 이용된 용어인, Authentication Vector의 약어이다.
도 4 및 도 5는 LTE 원격통신 시스템(1)에 대한 적용이다.
도 4는 LTE 원격통신 네트워크를 위한 키 계층(key hierarchy)의 개요도이다.
비밀 키(K)는 코어 네트워크 시스템(3)의 HSS/AuC 양쪽에 그리고 사용자 장치(4)에, 특히 사용자 장치(4)의 USIM 카드 상에 제공된다. 무결정 키(integrity key; IK) 및 암호화 키(cipher key; CK)가 사용자 장치(4) 및 코어 네트워크 시스템(특히, AuC(authentication centre)) 양쪽에서 비밀 키(K)로부터 발생되고, 이어서 키(KASME)가 알려진 방식으로 무결정 키(IK), 암호화 키(CK) 및 서빙 네트워크(serving network)(id)로부터 발생된다. 발생된 키(KASME)로부터, 도 4에 예시된 바와 같이, NAS 시그널링, RRC 시그널링, 및 무선 인터페이스(radio interface)에 대한 사용자 평면 통신(user plane communication)의 보호를 위한 키가 발생된다.
NAS 키(KNASenc, KNASint)는 세션 관리(session management)의 암호화(encryption)를 위해 이용된다. 키(KUPenc, KRRCint, KRRCenc)는 UE와 기지국(eNodeB) 사이의 무선 인터페이스에서 이용된다. 이들 키는 중간 키(intermediate key; KeNB)를 이용해서 추출된다. KRRC 키는 무선 리소스 시그널링(radio resources signalling)을 위해 이용된 AS 키(access stratum keys)이다. 사용자 평면 키(KUP)는 무선 인터페이스 상의 (사용자 평면) 트래픽(traffic)의 암호화를 위해 사용된다.
도 5는 도 1에 예시된 바와 같이 LTE 원격통신 시스템에서 인증 및 키 합의 절차를 수행하기 위한 시간도를 도시한다.
단계(S510)에서, MME는 RAN-온리 모드에서 이용하기 위해 비밀 키(K)를 이용해서 AV를 발생시키도록 HSS/AuC를 요청한다. 단계(S511)에서, HSS/AuC는 RAND, AUTN, XRES 및 KASME(AUTN, XRES 및 KASME는 비밀 키(K)를 이용해서 추출된다)를 포함하는 AV의 형태로 응답을 전송한다. 이 보안 투플(security tuple)은 무선 억세스 네트워크 시스템(2), 여기서는 eNodeB_2로 전송되고, 단계(S512)에서 그에 저장된다. 이 프로세스는 때때로, 예컨대 주기적으로 반복될 수 있다. 무선 억세스 네트워크 시스템에서 벡터를 갱신(updating)하는 빈도는 UE 4의 이동성(mobility)에 의존할 수 있다. 하나 이상의 벡터가 UE 4를 위해 제공될 수 있다. 단일 벡터의 전송은 무선 억세스 네트워크 시스템(2)에서 저장 리소스(storage resources)를 절약하고 원격통신 네트워크(1)에서 시그널링 오버헤드(signalling overhead)를 감소시킨다. 다중 벡터의 전송은 코어 네트워크 시스템(3)의 가용도에 관계없이 무선 억세스 네트워크 시스템(2)으로부터 키재설정(rekeying)을 용이하게 한다. 벡터(들)의 전송은 기존의 S1-MME 시그널링 메시지에 (예컨대, Path Switch Request에 또는 UE 초기 콘텍스트 셋업 요청(UE initial context setup request)에) 포함될 수 있지만, 전용 메시지(dedicated message)가 또한 이 목적을 위해 이용될 수 있다.
시간의 특정 순간에, 무선 억세스 네트워크 시스템(2)은 상기 설명한 바와 같이 코어 네트워크 시스템(3)과의 연결의 손실(loss)을 검출한다. 단계(S513)에서, 방송(broadcast)이, RAN-온리 모드, 또는 특히 단독 RAN 모드의 사용자 장치(4)에게 통지하도록, 무선 억세스 네트워크 시스템(2)으로부터 전송된다. RAN-온리 모드는, RAN에 연결(attaching)될 때 AKA는 (코어 네트워크 시스템(3)으로부터가 아니고) 무선 억세스 네트워크 시스템(2)으로부터 수행되어지는 것이고, 가능하게는 제한된 서비스가 이용가능하다는 것을 예컨대 사용자 장치(4)로 신호를 보낸다. 방송 메시지(broadcast message) 대신, UE 4는 다른 방식으로, 예컨대 RRC Connection Request에 응답하여, 무선 억세스 네트워크 시스템(2)에 의해 통지될 수 있다.
RRC 연결을 수립한 후, Attach Request는 무선 억세스 네트워크 시스템(2)에서, 예컨대 본 실시예에서는 eNodeB_1에서 수신된다. Attach Request는 사용자 장치를 식별하도록 사용자 장치(4)의 IMSI를 포함한다. 통신 서비스가 코어 네트워크 시스템(3)에 대한 억세스 없이 수립되어 질 수 있도록 다른 통신 식별자가 또한 무선 억세스 네트워크 시스템(2)에 제공되고 저장될 수 있다.
이어서, 상기 논의된 대안 중 하나는 AKA 절차를 수행하기 위해 AV에 억세스할 수 있는 eNodeB를 검출하는데 적용될 수 있다. eNodeB_2가 AV에 대해 억세스를 갖음을 해결한 후, eNodeB_1은 AV가 AKA 절차를 위해 처리되어야만 하는 IMSI 또는 IMSI들과 함께 eNodeB_2에 Attach Request를 보낸다. eNodeB_2는 MME로서 기능할 수 있다.
단계(S516 및 S517)는 RAND, AUTN, 그리고 선택적으로 eNodeB_1을 매개해서 eNodeB_2로부터 UE 4로 AKA를 수행하는 노드의 식별자의 전송을 나타낸다. 노드 식별자는 휴지 상태(idle state)(ECM-IDLE)에 있을 때 무선 억세스 네트워크 시스템(2)을 재-억세스(re-access)하도록 UE 4에 의해 이용될 수 있어, eNodeB_2는 재-억세스가 발생될 때 무선 억세스 네트워크 시스템(2)에서 재발견(rediscovered)되지 않아야 한다.
단계(S518)는 RAND를 이용해서 UE 4로부터 계산된 응답(RES)과 UE 4에 저장된 비밀 키(K)를 나타낸다. 단계(S519)에서, 응답(RES)이 eNodeB_2로 보내진다. RES가 XRES와 매칭됨을 eNodeB-2가 발견하면, UE 4는 인증되고 단계(S520 및 S521)에서 Attach Accept가 UE 4를 위해 발생되고 전송된다. 단계(S520)에서, (eNodeB_2의 KASME 로부터 추출된) 키(KeNodeB)는 UE 및 기지국(eNodeB_1) 사이의 무선 인터페이스에서 이용되어지는 키(KUPenc, KRRCint, KRRCenc)를 계산하도록 eNodeB_1에서 수신된다. 이어 AS(Access Stratum) 보안 모드로 들어가고, 여기서 사용자 장치(UE 4)와 eNodeB_1 사이의 통신이 키(KUPenc, KRRCint, KRRCenc) 및 AS Security Mode Command에서 나타낸 암호화 알고리즘(cryptographic algorithms)을 이용해서 암호로 보호될 것이다. NAS(Non Access Stratum) 보안이 사용자 장치(UE 4) 및 eNodeB_2 사이에서 NAS 키(KNASenc, KNASint)를 이용해서 제공되고, 후자는 MME 기능성을 갖는다.
AS 키에 대해, 통상적 동작은 보안 상황(security context)의 유효성(validity)을 보존하는 것과 관련하여 적용한다. 더욱이, ECM-IDLE 트랜지션(transition)에 대한 ECM-CONNECTED 후 AS 보안 상황이 삭제(deleted)된다. 핸드오버(handover) 후, 새로운 KeNodeB가 타킷 eNodeB를 위해 수립된다. AV에서의 KASME에 대해, 더 많은 옵션이 있다. 1실시예에 있어서, RAN-온리 모드 동안, AV의 유효성은 만료(expire)되도록 설정되지 않을 수 있어, NAS 보안 상황은 현재대로 유지되고, UE 4 및 eNodeB_2 양쪽에 저장된다. 다른 실시예에 있어서, 다중 AV가 이용될 수 있고 통상 절차가 새로운 AKA 절차가 시작될 때를 결정하기 위해 적용될 수 있다. 절차는 eNodeB_2가 AV를 벗어나 실행될 때를 결정하는데 이용될 수 있다.
핸드오버는 여전히 수행될 수 있고, Inter-eNodeB 핸드오버(X2 핸드오버, 인트라(intra)-MME 핸드오버)를 포함한다. 소스 eNodeB는, eNodeB_2의 경우, 이러한 UE를 위한 MME로서 기능하는 eNodeB의 어드레스의 타킷 eNodeB를 통지할 수 있다. 타킷 eNodeB는 또한 MME로서 작용하는 eNodeB에 대해 Path Switch Request를 송신할 수 있다. 이 eNodeB는, 3GPP TS 33.401에서 특정된 바와 같이, 다음의 핸드오버를 위한 순방향 비밀성(forward secrecy)을 보장하도록 새로운 NH, NCC와 함께 타켓 eNodeB를 제공할 수 있다.
도 6은 도 1에 예시된 바와 같이 UMTS 원격통신 시스템에서 인증 및 키 합의 절차를 수행하기 위한 시간도를 도시한다. 여러 AV 및 다른 키 계층이 이용됨에도 불구하고, 단계(S610-S621)는 단계(S510-S521)와 유사하다. UMTS에 대해, AUTN, XRES, CK 및 IK가 비밀 키(K)를 이용해서 추출된다.
도 7은 도 1에 예시된 바와 같이 GSM/GPRS 원격통신 시스템에서 인증 및 키 합의 절차를 수행하기 위한 시간도를 도시한다. 다시 여러 AV 및 다른 키 계층이 이용됨에도 불구하고, 단계(S710-S721)는 단계(S510-S521) 및 단계(S610-S621)와 유사하다. GSM/GPRS에 대해, XRES 및 KC는 비밀 키(K)를 이용해서 추출된다. GPRS 시스템에 대해, SGSN 기능성이 무선 억세스 네트워크 시스템에서 구현되는 곳에 따라, 키(KC)는 BSC/BTS_1로 전송되질 필요가 없음이 주지된다.
도 8은 장치(4)로서, 또는 무선 억세스 네트워크 시스템(2)(예컨대, 기지국)에서의 네트워크 노드로서, 또는 코어 네트워크 시스템(3)(예컨대, HSS/AuC 기능성을 갖는 노드)에서 이용될 수 있는 예시적 데이터 처리 시스템(data processing system; 80)을 나타내는 블록도이다.
데이터 처리 시스템(80)은 시스템 버스(system bus; 83)를 통해 메모리 엘리먼트(memory elements; 82)에 결합된 적어도 하나의 프로세서(processor; 81)를 포함할 수 있다. 이와 같이, 데이터 처리 시스템(80)은 메모리 엘리먼트(82) 내에 프로그램 코드(program code)를 저장할 수 있다. 더욱이, 프로세서(81)는 시스템 버스(83)를 매개로 메모리 엘리먼트(82)로부터 억세스된 프로그램 코드를 실행할 수 있다. 하나의 측면에 있어서, 데이터 처리 시스템(80)은 프로그램 코드를 저장 및/또는 실행하기 위해 적절한 컴퓨터로 구현될 수 있다. 그러나, 데이터 처리 시스템(80)은 본 개시 내에서 설명된 기능을 수행할 수 있는 프로세서 및 메모리를 포함하는 소정의 시스템의 형태로 구현될 수 있음을 인식해야 한다.
메모리 엘리먼트(82)는, 예컨대 로컬 메모리(local memory; 84) 및 하나 이상의 벌크 저장 장치(bulk storage devices; 85)와 같은, 하나 이상의 물리적 메모리 장치를 포함할 수 있다. 로컬 메모리(84)는 프로그램 코드의 실제 실행 동안 일반적으로 이용된 랜덤 억세스 메모리(random access memory) 또는 다른 비-지속성 메모리 장치(들)(non-persistent memory device(s))를 참조할 수 있다. 벌크 저장 장치는 하드 드라이브 또는 다른 지속성 데이터 저장 장치로서 구현될 수 있다. 데이터 처리 시스템(80)은 또한 실행 동안 프로그램 코드가 벌크 저장 장치(85)로부터 검색되어야만 하는 횟수를 감소시키기 위해 적어도 몇몇 프로그램 코드의 일시적 저장을 제공하는 하나 이상의 캐시 메모리(cache memories)를 포함할 수 있다.
입력 장치(86) 및 출력 장치(87)로서 도시된 I/O(input/output) 장치는 선택적으로 데이터 처리 시스템(80)에 결합될 수 있다. 입력 장치의 예는, 이에 한정되는 것은 아니지만, 예컨대 키보드, 마우스와 같은 포인팅 장치(pointing device), 터치스크린 등을 포함할 수 있다. 출력 장치의 예는, 이에 한정되는 것은 아니지만, 예컨대 모니터 또는 디스플레이, 스피커 등을 포함할 수 있다. 입력 장치(86) 및/또는 출력 장치(87)는 직접적으로 또는 중간 I/O 콘트롤러(intervening I/O controllers)를 통해 데이터 처리 시스템(80)에 결합될 수 있다. 네트워크 어댑터(network adapter; 88)가 또한 중간 개인 또는 공공 네트워크(intervening private or public networks)를 통해 다른 시스템, 컴퓨터 시스템, 원격 네트워크 장치, 및/또는 원격 저장 장치에 결합될 수 있도록 하기 위해 데이터 처리 시스템(80)에 결합될 수 있다. 네트워크 어댑터(88)는 상기 데이터 처리 시스템(80)으로 상기 시스템, 장치 및/또는 네트워크에 의해 전송되는 데이터를 수신하기 위한 데이터 수신기(data receiver)와 상기 시스템, 장치 및/또는 네트워크로 데이터를 전송하기 위한 데이터 전송기(data transmitter)를 구비하여 구성될 수 있다. 모뎀, 케이블 모뎀, 및 이더넷 카드(Ethernet cards)는 데이터 처리 시스템(80)과 함께 이용될 수 있는 여러 형태의 네트워크 어댑터의 예이다.
도 8에 도시된 바와 같이, 메모리 엘리먼트(82)는 어플리케이션(application; 89)을 저장할 수 있다. 데이터 처리 시스템(80)은 어플리케이션의 실행을 용이하게 할 수 있는 운영 시스템(operating system)(도시되지 않았음)을 더 실행할 수 있음이 인식되어야 한다. 실행가능 프로그램 코드의 형태로 구현되는 어플리케이션은 데이터 처리 시스템(80)에 의해, 예컨대 프로세서(81)에 의해 실행될 수 있다. 어플리케이션(89)을 실행하는 것에 응답하여, 데이터 처리 시스템(80)은 여기서 더욱 상세하게 설명되는 바와 같은 하나 이상의 동작을 수행하도록 구성될 수 있다.
하나의 측면에 있어서, 예컨대, 데이터 처리 시스템(80)은 모바일 폰(mobile phone), 포터블 컴퓨터(portable computer), 태블릿(tablet), 스마트 안경(smart glasses), 스마트 워치(smart watch), MTC 장치 등과 같은 사용자 장치(4)를 나타낼 수 있다. 해당 경우에 있어서, 어플리케이션(89)은, 실행될 때, 사용자 장치(4)를 위해 여기서 설명된 다양한 기능을 수행하도록 데이터 처리 시스템(80)을 구성하는 클라이언트 어플리케이션을 나타낼 수 있다. 사용자 장치(4)는 비밀 키(K)를 저장하는 저장모듈을 저장하거나 갖을 수 있다.
사용자 장치(4)는 무선 억세스 네트워크 시스템에 의해 제공된 서비스를 억세스하도록 코어 네트워크 시스템(3) 대신 무선 억세스 네트워크 시스템(2)이 인증 및/또는 키 합의 절차를 수행하는 도 3b를 참조하여 일반적으로 논의된 바와 같이 RAN-온리 표시(RAN-only indication)를 수신할 수 있다.
사용자 장치(4)는 도 3b를 참조하여 일반적으로 논의된 바와 같이 RAN-온리 표시를 수신할 수 있다. RAN-온리 표시는 제한된 서비스가 이용가능하고 무선 억세스 네트워크 시스템(2)에 의해 수행되어질 것임을 표시한다. 다른 실시예에 있어서, 사용자 장치(4)는, 예컨대 코어 네트워크 시스템(3)을 이용해서 통상적으로 이용가능한 다른 서비스를 요청하는 것에 대해 디스에이블시키는 것(disabled)에 의해, 단지 소정의 서비스에 대해서만 제한되어지도록 제어될 수 있다. 무선 억세스 네트워크 시스템(2)에 의해 제안된(offered) 서비스의 세트를 이용하기 위해, 사용자 장치에 무선 억세스 네트워크 시스템(2)에 따른 인증이 무선 억세스 네트워크 시스템(2)에 의해 제안된 서비스를 억세스하도록 요구됨이 통지된다.
다른 실시예에 있어서, 사용자 장치(4)는, 도 3c를 참조하여 설명된 바와 같이, 벡터가 무선 억세스 네트워크 시스템(2)의 특정 노드에서 이용가능함을 나타내는 장소 표시(location indication)를 처리할 수 있다.
예컨대, 사용자 장치(4)는 장소 표시를 수신할 수 있고 필요할 때 적용될 수 있도록 사용자 장치의 특정 어드레스에서의 장소 표시를 저장하도록 구성된다. 예컨대, 사용자 장치가 무선 억세스 네트워크 시스템(2)으로부터 RAN-온리 표시를 수신하면, 사용자 장치는 무선 억세스 네트워크 시스템(2)에 연결(attach)하고, 그것이 저장되는 어드레스로부터 장소 표시를 검색하며, 적어도 하나의 벡터가 이용가능한 무선 억세스 네트워크 시스템(2)을 통지하기 위한 요청에서의 장소 표시를 포함하도록 요청할 수 있다,
사용자 장치(4)는 또한 코어 네트워크 시스템(3)이 인증 절차 및 키 합의 절차를 수행하는 것이 가능할 때 벡터의 하나 이상의 값이 인증 및/또는 키 합의 절차를 수행하기 위해 비-동작(non-operable)임을 나타내는 시그널링 메시지를 처리하도록 구성될 수 있다. 이는 부당한 기지국 공격(false base station attacks)을 방지할 수 있다. 예컨대, 사용자 장치는, 하나 이상의 값이 RAN-온리 모드에서 유효(valid)하고, RAN-온리 모드가 무선 억세스 네트워크 시스템(2)에 의해 나타내어짐을 시그널링 메시지가 나타내면, 벡터의 하나 이상의 값을 이용해서 무선 억세스 네트워크 시스템을 단지 인증하도록 구성, 예컨대 프로그램될 수 있다.
다른 측면에 있어서, 데이터 처리 시스템(80)은, 어플리케이션(89)이 여기서 논의된 바와 같이 동작 중 하나 이상을 수행하도록 실행되는 어느 경우에, 기지국과 같은, 네트워크 노드를 나타낼 수 있다. 이들 동작은, 이에 한정되는 것은 아니지만, 벡터를 수신하는 단계와, 벡터를 저장하는 단계, 수신 및/또는 저장된 벡터를 이용해서 인증 및/또는 키 합의 절차를 수행하는 단계, 코어 네트워크 시스템의 비가용도를 검출하는 단계, 통신 식별자를 저장하는 단계, RAN-온리 표시를 전송하는 단계, 무선 억세스 네트워크 시스에서 수신된 벡터의 저장의 장소를 해결하는 단계 등을 포함하는, 첨부된 청구항에서 정의된 바와 같은 하나 이상의 단계를 포함한다.
다른 측면에서, 어플리케이션(89)이 여기서 논의된 바와 같은 동작 중 하나 이상을 수행하도록 실행되는 어느 경우에, 데이터 처리 시스템(80)은 코어 네트워크 시스템(3)의 네트워크 노드 또는 엘리먼트를 나타내고, 예컨대 노드 또는 엘리먼트는 HLR, HSS 및/또는 AuC 기능성을 갖춘다. 동작은, 이에 한정되는 것은 아니지만, 본 발명의 방법이 적용가능한 사용자 장치 중 하나(또는 그룹)를 위해 등록되는 등록기(register)를 유지하고, 예컨대 주기적으로 무선 억세스 네트워크 시스템(2)에 대해 하나 이상의 벡터를 전송하며, 벡터가 무선 억세스 네트워크 시스템(2)에 저장되는 장소의 사용자 장치를 통지하는 (도와주는) 것을 포함한다.
방법이 수행되어지는 단계에 관하여 설명됨이 주지되지만, 설명된 단계는 설명된 정확한 순서 및/또는 차례로 수행되어야만 하는 것으로 의도되지는 않는다. 당업자는 균등한 기술적 결과를 달성하기 위해 단계의 순서를 변경하고 및/또는 병렬로 단계를 수행하는 것을 구상할 수 있다.
여기서 이용된 용어는 특정 실시예를 설명하는 목적을 위한 것으로, 본 발명을 한정하도록 의도되지는 않는다. 여기서 이용된 바와 같이, 단수 형태 "하나("a", "an" 및 "the")는, 맥락이 명확하게 나타나지 않는 한에는, 다수의 형태를 포함하도록 의도된다. 용어 "구비하여 구성되고" 및/또는 구비하는"은, 본 명세서에서 이용될 때, 언급된 특징, 정수, 단계, 동작, 엘리먼트 및/또는 구성요소의 존재를 명시하지만, 하나 이상의 다른 특징, 정수, 단계, 동작, 엘리먼트, 구성요소 및/또는 그 그룹의 존재 또는 부가를 불가능하게 하지 않음이 더욱 이해될 것이다.
대응하는 구조, 재료, 행위, 및 모든 수단 또는 단계의 균등물 뿐만 아니라 이하의 청구항의 가능 엘리먼트는 특별히 청구된 바와 같은 다른 청구된 엘리먼트와 결합하여 기능을 수행하기 위한 소정의 구조, 재료 또는 행위를 포함하도록 고려된다. 본 발명의 설명은 예시 및 설명의 목적을 위해 제공되지만, 개시된 형태로 본 발명에 대해 철저하게 하거나 한정하도록 의도되지는 않는다. 많은 변형 및 변경이 본 발명의 범위 및 의도로부터 벗어나는 것 없이 당업자에게는 명백할 것이다. 실시예는 본 발명의 원리 및 실제적 적용을 가장 잘 설명하고, 다양한 변형을 갖는 다양한 실시예에 대한 본 발명이 고려된 특정 이용에 적합한 것으로서 다른 당업자들이 본 발명을 이해하는 것을 가능하게 하도록 하기 위해 선택 및 설명된다.
본 발명의 다양한 실시예는 컴퓨터 시스템 또는 프로세서와 함께 이용하기 위한 프로그램 제품으로서 구현될 수 있고, 프로그램 제품의 프로그램(들)은 (여기에 개시된 방법을 포함하는) 실시예들의 기능을 정의한다. 1실시예에 있어서, 프로그램(들)은 다양한 비-일시적 컴퓨터-판독가능 저장 매체(일반적으로 "저장기(storage)"로서 언급됨) 상에 포함될 수 있고, 여기서 이용된 바와 같이, 표현 "비-일시적 컴퓨터 판독가능 저장 매체"는 모든 컴퓨터-판독가능 매체를 구비하여 구성되고, 유일한 예외는 일시적, 전파 신호이다. 다른 실시예에 있어서, 프로그램(들)은 다양한 일시적 컴퓨터-판독가능 저장 매체 상에 포함될 수 있다. 예시적인 컴퓨터-판독가능 저장 매체는, 이에 한정되는 것은 아니지만, (i) 정보가 영구적으로 저장되는 (예컨대, CD-ROM 드라이브에 의해 판독가능한 CD-ROM 디스크, ROM 칩 또는 소정 형태의 고체-상태 비-휘발성 반도체 메모리와 같은 컴퓨터 내의 리드-온리 메모리) 비-기록가능 저장 매체(non-writable storage media); 및 (ii) 변경가능 정보(alterable information)가 저장되는 (예컨대, 플래시 메모리, 디스크 드라이브 내의 플로피 디스크 또는 하드디스크 드라이브, 또는 소정 형태의 고테-상태 랜덤-억세스 반도체 메모리) 기록가능 저장 매체를 포함한다.

Claims (15)

  1. 무선 억세스 네트워크 시스템 및 코어 네트워크 시스템을 구비하는 원격통신 네트워크의 보안 방법으로, 무선 억세스 네트워크 시스템이 적어도 하나의 사용자 장치를 위한 무선 인터페이스(wireless radio interface)를 제공하도록 구성되고, 공유 비밀 키가 사용자 장치 및 코어 네트워크 시스템 양쪽에 저장되고, 방법이:
    공유 비밀 키로부터 추출된 하나 이상의 값을 구비하는 적어도 하나의 벡터를 코어 네트워크 시스템으로부터 수신하고;
    사용자 장치와 무선 억세스 네트워크 시스템 사이에서 연결을 수립하기 위해 수신된 벡터의 적어도 하나의 값을 이용해서 무선 인터페이스를 거쳐 사용자 장치를 위한 인증 절차 및 키 합의 절차 중 적어도 하나를 수행하는;
    무선 억세스 네트워크 시스템에서의 단계를 갖추어 이루어지는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  2. 제1항에 있어서,
    코어 네트워크 시스템으로부터 인증 절차 및 키 합의 절차 중 적어도 하나를 처리하도록 불능(inability)을 검출하는 단계를 더 갖추어 이루어지고, 벡터를 수신하는 단계가 불능을 검출하는 단계 이전에 수행되고 수신된 벡터의 하나 이상의 값을 이용해서 인증 절차 및 키 합의 절차를 수행하는 단계가 불능을 검출하는 것 후에 수행되는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  3. 제1항 또는 제2항에 있어서,
    무선 억세스 네트워크 시스템에 적어도 하나의 통신 식별자를 저장하는 단계를 더 갖추어 이루어지고, 통신 식별자는 사용자 장치를 위해 수립되어지는 통신 서비스를 가능하게 하는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  4. 상기 항 중 어느 한 항에 있어서,
    코어 네트워크 시스템은 무선 억세스 네트워크 시스템에 대해 벡터를 전송하도록 사용자 장치와 관련된 RAN-온리 표시를 미리-저장하고, RAN-온리 표시가 미리-저장되는 사용자 장치를 위해 코어 네트워크 시스템으로부터 무선 억세스 네트워크 시스템에서 적어도 하나의 벡터를 단지 수신하는 단계를 더 갖추어 이루어지는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  5. 상기 항 중 어느 한 항에 있어서,
    무선 억세스 네트워크 시스템에서 이하의 단계:
    - 코어 네트워크 시스템으로부터 벡터를 주기적으로 수신하고;
    - 무선 억세스 네트워크 시스템으로부터 하나 이상의 서비스를 얻기 위해 무선 억세스 네트워크 시스템이 인증 절차 및 키 합의 절차 중 적어도 하나를 수행하는 사용자 장치에 대해 RAN-온리 표시를 전송하는; 단계 중 하나 이상을 더 갖추어 이루어지는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  6. 상기 항 중 어느 한 항에 있어서,
    무선 억세스 네트워크 시스템이 적어도 제1 노드와 제1 노드에 통신적으로 연결된 제2 노드를 구비하여 구성되고, 방법이:
    무선 억세스 네트워크 시스템의 제1 노드에서 연결을 수립하기 위해 요청을 수신하고;
    무선 억세스 네트워크 시스템의 제2 노드에서 인증 절차 및 키 합의 절차 중 적어도 하나를 수행하는; 단계를 갖추어 이루어지는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  7. 제6항에 있어서,
    다음의 단계:
    - 연결을 수립하기 위한 요청의 제1 노드에서 장소 표시를 수신하는 단계로서, 장소 표시는 벡터가 제2 노드에서 이용가능함을 나타내는, 단계와;
    - 벡터가 제2 노드에서 이용가능함을 무선 억세스 네트워크 시스템의 제3 노드에 기록하고 벡터가 제2 노드에서 이용가능함을 제3 노드에 의해 제1 노드에 통지하는 단계;
    - 무선 억세스 네트워크 시스템의 제1 노드로부터 요청을 방송하는 단계로서, 요청은 벡터가 찾아진 사용자 장치를 식별하는, 단계; 및
    - 제2 노드로부터 제1 노드로 더욱이 사용자 장치로 장소 표시를 전송하는 단계로서, 장소 표시는 벡터가 제2 노드에서 이용가능함을 나타내는, 단계; 중 적어도 하나를 더 갖추어 이루어지는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  8. 상기 항 중 어느 한 항에 있어서,
    다음의 단계:
    - 무선 억세스 네트워크 시스템의 믿을 수 있는 노드에서 벡터를 수신하는 단계;
    - 코어 네트워크 시스템이 인증 절차 및 키 합의 절차를 수행하는 것이 가능할 때 벡터의 하나 이상의 값이 인증 절차 및/또는 키 합의 절차를 수행하기 위해 비-동작임을 나타내는 사용자 장치에 대해 시그널링 메시지를 전송하는 단계; 중 적어도 하나를 수행하는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  9. 상기 항 중 어느 한 항에 있어서,
    인증 절차 및 키 합의 절차 중 적어도 하나를 수행하기 위해 무선 억세스 네트워크 시스템에서 하나 이상의 벡터를 리프레싱하는 단계를 갖추어 이루어지는 것을 특징으로 하는 원격통신 네트워크의 보안 방법.
  10. 컴퓨터, 또는 한 조의 컴퓨터가, 상기 청구항 중 어느 한 항에 따른 방법을 수행할 수 있도록 구성된 명령의 세트를 구비하여 구성되는 것을 특징으로 하는, 컴퓨터 프로그램, 또는 한 세트의 컴퓨터 프로그램.
  11. 청구항 제10항의 컴퓨터 프로그램을 갖추어 이루어지는 것을 특징으로 하는 컴퓨터 판독가능 매체.
  12. 적어도 하나의 사용자 장치를 위한 무선 인터페이스를 제공하는 하나 이상의 네트워크 노드를 구비하고 코어 네트워크 시스템에 연결되도록 구성된 무선 억세스 네트워크 시스템으로, 동작에 있어서, 공유된 비밀이 사용자 장치 및 코어 네트워크 시스템 양쪽에 저장되고, 무선 억세스 네트워크 시스템이:
    공유 비밀 키로부터 추출된 하나 이상의 값을 구비하는 적어도 하나의 벡터를 코어 네트워크 시스템으로부터 수신하기 위해 구성된 수신기와;
    사용자 장치와 무선 억세스 네트워크 시스템 사이에서 연결을 수립하기 위해 수신된 벡터의 하나 이상의 값을 이용해서 무선 인터페이스를 거쳐 사용자 장치를 위해 인증 절차 및 키 합의 절차 중 적어도 하나를 수행하기 위해 구성된 프로세서;를 구비하여 구성되는 것을 특징으로 하는 무선 억세스 네트워크 시스템.
  13. 제12항에 있어서,
    무선 억세스 네트워크 시스템이 청구항 제2항 내지 제9항 중 하나 이상의 항에 따른 방법을 수행하기 위해 더 구성되는 것을 특징으로 하는 무선 억세스 네트워크 시스템.
  14. 제12항 또는 제13항에 있어서,
    코어 네트워크 시스템이:
    벡터가 무선 억세스 네트워크 시스템으로 전송되어야 함을 나타내는 사용자 장치와 관련된 RAN 온리 가입 표시를 저장하기 위해 구성된 등록기와;
    단지 등록기가 미리-저장된 RAN-온리 가입 표시를 갖으면 사용자 장치를 위해 벡터의 전송을 제어하기 위해 구성된 프로세서; 및
    무선 억세스 네트워크 시스템에 대해 벡터를 전송하기 위해, 프로세서에 의해 제어된, 전송기;를 구비하여 구성되는 것을 특징으로 하는 무선 억세스 네트워크 시스템.
  15. 청구항 제5항, 제7항 및 제8항 중 하나 이상의 항에 참여하기 위해 구성된 사용자 장치로서, 인증 절차 및 키 합의 절차 중 적어도 하나가 무선 억세스 네트워크 시스템으로부터 서비스를 억세스하기 위해 무선 억세스 네트워크 시스템에 의해 수행됨을 나타내는 RAN-온리 표시와, 벡터가 제2 노드에서 이용가능함을 나타내는 장소 표시, 및 코어 네트워크 시스템이 인증 및 키 합의 절차 중 적어도 하나를 수행할 때 벡터의 하나 이상의 값이 비-동작임을 나타내는 시그널링 메시지를 각각 처리하기 위해 구성되는 것을 특징으로 하는 사용자 장치.
KR1020167015150A 2013-12-23 2014-12-23 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템 KR101833654B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP13199353 2013-12-23
EP13199353.7 2013-12-23
PCT/EP2014/079166 WO2015097223A1 (en) 2013-12-23 2014-12-23 Method and system for providing security from a radio access network

Publications (2)

Publication Number Publication Date
KR20160083103A true KR20160083103A (ko) 2016-07-11
KR101833654B1 KR101833654B1 (ko) 2018-02-28

Family

ID=49882923

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020167015150A KR101833654B1 (ko) 2013-12-23 2014-12-23 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템

Country Status (5)

Country Link
US (1) US9986432B2 (ko)
EP (3) EP3735012B1 (ko)
KR (1) KR101833654B1 (ko)
CN (1) CN105830476B (ko)
WO (1) WO2015097223A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018231660A1 (en) * 2017-06-15 2018-12-20 T-Mobile Usa, Inc. Enhanced mobile subscriber privacy in telecommunications networks

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10433161B2 (en) * 2012-01-30 2019-10-01 Telefonaktiebolaget Lm Ericsson (Publ) Call handover between cellular communication system nodes that support different security contexts
US10659960B2 (en) * 2013-12-23 2020-05-19 Koninklijke Kpn N.V. Method and system for providing security from a radio access network
WO2017125265A1 (en) * 2016-01-19 2017-07-27 British Telecommunications Public Limited Company Authentication of data transmission devices
GB2546494B (en) * 2016-01-19 2020-02-26 British Telecomm Data relay authentication
WO2017182057A1 (en) * 2016-04-19 2017-10-26 Nokia Solutions And Networks Oy Network authorization assistance
EP3499834B1 (en) * 2016-09-19 2021-12-01 Huawei Technologies Co., Ltd. Key negotiation method and apparatus
EP3535999B1 (en) * 2016-11-07 2022-06-01 Koninklijke KPN N.V. Deriving a security key for relayed communication
EP3520454B1 (en) * 2017-01-30 2024-03-06 Telefonaktiebolaget LM Ericsson (publ.) Security anchor function in 5g systems
CN114390618B (zh) * 2017-05-05 2024-04-02 北京三星通信技术研究有限公司 一种支持切换的方法
US11071021B2 (en) * 2017-07-28 2021-07-20 Qualcomm Incorporated Security key derivation for handover
CN111149379B (zh) * 2017-10-02 2023-09-08 瑞典爱立信有限公司 无线通信系统中的接入层安全性
ES2870634T3 (es) * 2017-10-13 2021-10-27 Ericsson Telefon Ab L M Mejora del procedimiento de notificación N2
CN111954208B (zh) 2017-11-17 2024-04-12 华为技术有限公司 一种安全通信方法和装置
WO2020106204A1 (en) * 2018-11-19 2020-05-28 Telefonaktiebolaget Lm Ericsson (Publ) Radio network node, network node and methods for setting up a secure connection to the user equipment (ue)

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7873163B2 (en) * 2001-11-05 2011-01-18 Qualcomm Incorporated Method and apparatus for message integrity in a CDMA communication system
ATE501583T1 (de) 2007-01-04 2011-03-15 Ericsson Telefon Ab L M Verfahren und vorrichtung zur bestimmung einer authentifikationsprozedur
US8307414B2 (en) 2007-09-07 2012-11-06 Deutsche Telekom Ag Method and system for distributed, localized authentication in the framework of 802.11
CN102870449B (zh) * 2010-04-30 2016-02-24 黑莓有限公司 可存活的移动网络系统
CN102625306A (zh) * 2011-01-31 2012-08-01 电信科学技术研究院 认证方法、系统和设备
EP2503754B1 (en) * 2011-03-25 2014-05-07 Cassidian SAS Authentication in a communications system

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018231660A1 (en) * 2017-06-15 2018-12-20 T-Mobile Usa, Inc. Enhanced mobile subscriber privacy in telecommunications networks
US10492056B2 (en) 2017-06-15 2019-11-26 T-Mobile Usa, Inc. Enhanced mobile subscriber privacy in telecommunications networks

Also Published As

Publication number Publication date
EP3087770A1 (en) 2016-11-02
EP3735012A1 (en) 2020-11-04
CN105830476A (zh) 2016-08-03
WO2015097223A1 (en) 2015-07-02
EP4247034A2 (en) 2023-09-20
EP4247034A3 (en) 2023-11-08
US9986432B2 (en) 2018-05-29
EP3735012B1 (en) 2023-07-26
KR101833654B1 (ko) 2018-02-28
US20160323737A1 (en) 2016-11-03
EP3087770B1 (en) 2020-05-27
CN105830476B (zh) 2020-05-19

Similar Documents

Publication Publication Date Title
KR101833654B1 (ko) 무선 억세스 네트워크로부터 보안을 제공하기 위한 방법 및 시스템
US10958631B2 (en) Method and system for providing security from a radio access network
US11496891B2 (en) Identity privacy in wireless networks
CN108432206B (zh) 用于蜂窝物联网的无状态接入阶层安全性
KR102315881B1 (ko) 사용자 단말과 진화된 패킷 코어 간의 상호 인증
EP3281434B1 (en) Method, apparatus, and system for providing encryption or integrity protection in a wireless network
US10659960B2 (en) Method and system for providing security from a radio access network
KR102000508B1 (ko) 무선 통신 네트워크에서 라디오 액세스 네트워크(ran)의 콘텍스트를 처리하기 위한 네트워크 노드, 무선 장치 및 방법
JP6917469B2 (ja) セキュリティ確立方法、端末装置及びネットワーク装置
CN107113608B (zh) 使用密钥扩展乘数来生成多个共享密钥的方法和装置

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant