KR20170080595A - 인증 상호운용성을 위한 방법들 및 시스템들 - Google Patents
인증 상호운용성을 위한 방법들 및 시스템들 Download PDFInfo
- Publication number
- KR20170080595A KR20170080595A KR1020177012131A KR20177012131A KR20170080595A KR 20170080595 A KR20170080595 A KR 20170080595A KR 1020177012131 A KR1020177012131 A KR 1020177012131A KR 20177012131 A KR20177012131 A KR 20177012131A KR 20170080595 A KR20170080595 A KR 20170080595A
- Authority
- KR
- South Korea
- Prior art keywords
- key
- authentication
- aspects
- access point
- master key
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 171
- 238000004891 communication Methods 0.000 claims abstract description 76
- 230000004044 response Effects 0.000 description 54
- 230000008569 process Effects 0.000 description 49
- 230000006870 function Effects 0.000 description 34
- 230000007704 transition Effects 0.000 description 31
- 230000008901 benefit Effects 0.000 description 16
- 238000009795 derivation Methods 0.000 description 16
- 230000005540 biological transmission Effects 0.000 description 13
- 238000010586 diagram Methods 0.000 description 10
- 238000012545 processing Methods 0.000 description 7
- 101000945093 Homo sapiens Ribosomal protein S6 kinase alpha-4 Proteins 0.000 description 5
- 102100033644 Ribosomal protein S6 kinase alpha-4 Human genes 0.000 description 5
- 230000009471 action Effects 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 5
- 230000003287 optical effect Effects 0.000 description 5
- 101100534109 Schizosaccharomyces pombe (strain 972 / ATCC 24843) spm1 gene Proteins 0.000 description 4
- 238000013475 authorization Methods 0.000 description 4
- 238000004590 computer program Methods 0.000 description 4
- 101150028393 pmk-1 gene Proteins 0.000 description 4
- 230000001413 cellular effect Effects 0.000 description 3
- 239000000835 fiber Substances 0.000 description 3
- 101100083745 Caenorhabditis elegans pmk-2 gene Proteins 0.000 description 2
- 238000013459 approach Methods 0.000 description 2
- 239000000463 material Substances 0.000 description 2
- 230000006855 networking Effects 0.000 description 2
- 230000002441 reversible effect Effects 0.000 description 2
- 230000001052 transient effect Effects 0.000 description 2
- 101100083742 Caenorhabditis elegans pmk-1 gene Proteins 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 239000013257 coordination network Substances 0.000 description 1
- 230000008878 coupling Effects 0.000 description 1
- 238000010168 coupling process Methods 0.000 description 1
- 238000005859 coupling reaction Methods 0.000 description 1
- 230000003111 delayed effect Effects 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000006698 induction Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 239000005022 packaging material Substances 0.000 description 1
- 229910052709 silver Inorganic materials 0.000 description 1
- 239000004332 silver Substances 0.000 description 1
- 230000003595 spectral effect Effects 0.000 description 1
- 238000001228 spectrum Methods 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
- H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/041—Key generation or derivation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
- H04W12/0431—Key distribution or pre-distribution; Key agreement
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W36/00—Hand-off or reselection arrangements
- H04W36/0005—Control or signalling for completing the hand-off
- H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
- H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
- H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/80—Wireless
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W84/00—Network topologies
- H04W84/005—Moving wireless networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W84/00—Network topologies
- H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
- H04W84/10—Small scale networks; Flat hierarchical networks
- H04W84/12—WLAN [Wireless Local Area Networks]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mobile Radio Communication Systems (AREA)
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
Abstract
디바이스를 인증하기 위한 시스템들, 방법들 및 컴퓨터 판독가능 매체들이 개시된다. 일부 양상들에서, 방법은 제 1 디바이스와 공유된 키를 제 2 디바이스를 사용하여 결정하는 단계, 제 1 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키(PMK)를 제 2 디바이스가 생성하는 단계를 포함한다. 방법은 또한 제 1 페어방식 마스터 키 및 제 1 액세스 포인트의 하나 이상의 특성들에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키(PMK)를 제 2 디바이스가 결정하는 단계를 포함할 수 있다. 이후, 방법은 제 2 페어방식 마스터 키를 제 1 액세스 포인트에 송신한다. 제 1 액세스 포인트는 제 1 디바이스와의 보안 통신을 가능하게 하기 위하여 제 2 페어방식 마스터 키를 사용할 수 있다. 예컨대, 제 1 액세스 포인트는 제 2 페어방식 마스터 키에 기반하여 제 1 디바이스와 교환되는 메시지들을 인코딩/암호화 및/또는 디코딩/암호해독할 수 있다.
Description
[0001]
본 출원은 일반적으로 무선 통신 시스템들, 특히 무선 통신 시스템들내에서 인증하기 위한 시스템들, 방법들 및 디바이스들에 관한 것이다.
[0002]
많은 원격통신 시스템들에서, 통신 네트워크들은 여러개의 상호작용하는 공간적으로 분리된 디바이스들 사이에서 메시지들을 교환하기 위하여 사용된다. 네트워크들은 예컨대 대도시 영역, 로컬 영역 또는 개인 영역일 수 있는 지리적 범위에 따라 분류될 수 있다. 이러한 네트워크들은 광역 통신망(WAN: wide area network), 도시권 통신망(MAN: metropolitan area network), 근거리 통신망(LAN: local area network) 또는 개인 통신망(PAN: personal area network)으로서 각각 지정될 것이다. 네트워크들은 또한 다양한 네트워크 노드들 및 디바이스들을 상호 연결시키기 위하여 사용되는 스위칭/라우팅 기법(예컨대, 회선 교환 방식(circuit switching) 대 패킷 교환 방식(packet switching)), 송신을 위해 이용되는 물리적 매체의 타입(예컨대, 유선 대 무선), 및 사용되는 통신 프로토콜들의 세트(예컨대, 인터넷 프로토콜 슈트(Internet protocol suite), SONET(Synchronous Optical Networking), 이더넷 등)에 따라 다르다.
[0003]
무선 네트워크들은 네트워크 엘리먼트들이 모바일이어서 동적 연결성 요구들을 가질 때 또는 네트워크 아키텍처가 고정 토폴로지 보다 오히려 ad hoc로 형성될 때 종종 바람직하다. 무선 스테이션(STA: wireless station)과 같은 모바일 네트워크 엘리먼트가 액세스 포인트(AP:access point)에 의해 서비스되는 영역내로 이동할 때, 무선 스테이션 및 액세스 포인트는 액세스 포인트와 무선 스테이션을 인증 및 연관시키기 위한 메시지들을 상호 교환할 수 있다. 인증 및 연관 프로세스들이 완료될때까지, 무선 스테이션은 액세스 포인트를 사용하여 데이터를 송신하거나 또는 수신할 수 없을 것이다. 따라서, 모바일 스테이션과 새로운 액세스 포인트 간에 통신을 설정하기 위한 개선된 방법들 및 시스템들에 대한 필요성이 요구된다.
[0004]
본 발명의 시스템들, 방법들 및 디바이스들은 각각 여러 양상들을 가지며, 이들 양상들 중 어떠한 단일 양상도 본 발명의 바람직한 속성들을 단독으로 담당하지 않는다. 이하의 청구항들에 의해 표현되는 본 발명의 범위를 제한하지 않고, 일부 특징들이 지금 간략하게 논의될 것이다. 이러한 논의를 고려한 후에, 특히 "상세한 설명"으로 명명된 단락을 이해한 이후에는 본 발명의 특징들이 무선 네트워크에서 스테이션들과 액세스 포인트들간의 개선된 통신들을 포함하는 장점들을 어떻게 제공하는지가 이해될 것이다.
[0005]
개시내용의 일부 양상들은 2가지 상이한 인증 방법들 중 적어도 일부분들간에 상호 운용성을 제공한다. 예컨대, 일부 양상들에서, 제 1 인증 방법은 제 2 인증 방법에 비하여 몇몇의 이익들을 제공할 수 있다. 그러나, 제 2 인증 방법은 광범위하게 전개될 수 있는데 반해, 제 1 인증 방법은 아직 전개되지 않았다. 부가적으로, 제 1 인증 방법의 전개는 비용 및 다른 요인(factor)들로 인해 지연될 수 있다.
[0006]
따라서, 무선 네트워크 인프라스트럭처에 제 1 인증 방법의 선택 부분들을 포팅(porting)하면서, 제 2 인증 방법을 지원하기 위하여 무선 네트워크내에 이미 전개되어 있는 네트워크 인프라스트럭처를 많이 활용하는 것이 유리할 수 있다. 이러한 접근법은 만일 제 1 인증 방법의 모든 컴포넌트들이 무선 네트워크에 전개되어 있다면 달성될 수 있는 것 보다 더 신속하게 제 1 인증 방법의 선택 부분들을 전개할 수 있다. 제 1 인증 방법의 선택된 부분들만의 전개는 하나 이상의 양상들에서 네트워크 성능을 훨씬 개선할 수 있다. 이러한 성능 개선은 제 1 인증 방법의 완전한 전개와 연관된 타임라인과 비교하여, 개시된 방법들, 시스템들 및 컴퓨터 판독가능 매체를 활용함으로써 더 빠르게 달성될 수 있다.
[0007]
예컨대, IEEE 802.11ai (고속 초기 링크 셋업(Fast Initial Link Setup), 즉 FILS) 프로토콜은 물론 고속 링크 셋업을 지원하도록 설계된다. 802.11ai는 새로운 확장 서비스 세트(ESS: extended service set)에 그리고 ESS내에 고속 연관(fast association)을 제공한다. 802.11ai내에 3가지 인증 타입들, 즉 1) EAP-RP를 사용하는 FILS 공유 키 인증, 2) PFS(perfect forward secrecy)와 EAP-RP를 사용하는 FILS 공유 키 인증, 및 3) FILS 공개 키 인증이 존재한다.
[0008]
IEEE 802.11r(고속 트랜지션(Fast transition))은 고속 기본 서비스 세트 트랜지션을 지원하도록 설계된다. 802.11r은 ES/모빌리티 도메인(mobility domain)내에서 고속 핸드오버를 제공할 수 있다.
[0009]
일부 양상들에서, IEEE 802.11r과 802.11ai간의 상호 운용성은 802.11ai 인증의 결과로써 (예컨대, IEEE 802.11 규격 단락 11.6.1.7.1로부터) IEEE 802.11r 고속 트랜지션(FT) 키 계층(key hierarchy)을 설정함으로써 달성될 수 있다. 이들 양상들에서, FT 키 계층은 새로이 정의된 키를 사용하여 설정된다. 새로이 정의된 키는 어느 인증 방법이 사용되는지에 따라 상이하게 유도된다. 페어방식 마스터 키(pairwise master key)는 인증 타입과 관계 없이 IEEE 802.11ai 인증을 통해 유도된다. 새로이 정의된 키는 고속 트랜지션 키 계층 설정을 위한 페어방식 마스터 키 유도 규칙을 사용하여 유도된다. 다시 말해서, 일부 양상들에서, 새로이 정의된 키는 IEEE 802.11ai의 페어방식 마스터 키와 동일하다. 예컨대, 새로이 정의된 키는 공식 
를 사용하여 유도될 수 있다. 필요한 경우에, HMAC-Hash 결과는 일부 양상들에서 예컨대 길이가 256 비트로 트렁케이트(truncate)될 수 있다.
[0010]
키의 유도를 따르는 고속 트랜지션 유도는 새로운 키가
[0011]
개시된 일 양상은 제 1 디바이스를 인증하는 방법이다. 방법은 제 1 무선 디바이스와 공유된 키를 제 2 디바이스가 결정하는 단계, 제 1 무선 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키를 제 2 디바이스가 생성하는 단계, 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 제 2 디바이스가 생성하는 단계, 및 제 2 페어방식 마스터 키를 제 1 액세스 포인트에 제 2 디바이스가 송신하는 단계를 포함한다. 일부 양상들에서, 제 2 페어방식 마스터 키는 제 1 액세스 포인트와 제 1 무선 디바이스간의 보안 연관 또는 보안 통신을 위해 사용된다. 일부 양상들에서, 제 2 디바이스 및 제 1 액세스 포인트는 동일한 디바이스이다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 확장가능 인증 프로토콜을 수행함으로써 마스터 세션 키를 결정하는 단계를 포함하며, 제 1 무선 디바이스와 공유된 키는 마스터 세션 키이다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 재인증 마스터 세션 키를 결정하는 단계를 포함한다. 이들 양상들에서, 제 1 무선 디바이스와 공유된 키는 재인증 마스터 세션 키이다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 디피 헬만(diffie hellman) 키 교환을 수행함으로써 공유 시크릿(shared secret)을 결정하는 단계, 및 공유 시크릿에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하는 단계를 포함한다. 이들 양상들에서, 제 1 무선 디바이스와 공유된 키는 공유 시크릿이다.
[0012]
방법의 특정 양상들은 또한 제 1 무선 디바이스에 의해 생성된 넌스, 제 2 디바이스에 의해 생성된 제 2 넌스, 및 제 1 무선 디바이스와 공유된 키에 기반하여 중간 키를 생성하는 단계; 및 중간 키에 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 방법의 일부 양상들은 또한 제 1 페어방식 마스터 키에 기반하여 제 2 액세스 포인트에 대한 제 3 페어방식 마스터 키를 제 2 디바이스가 생성하는 단계 - 제 3 페어방식 마스터 키는 제 2 액세스 포인트와 제 1 무선 디바이스 간의 통신에 사용됨 -; 및 제 3 페어방식 마스터 키를 제 2 액세스 포인트에 송신하는 단계를 포함한다.
[0013]
일부 양상들에서, 방법은 제 1 액세스 포인트로부터 제 1 무선 디바이스에 대한 PFS(perfect forward secrecy)를 사용하는 공유 키 인증 요청을 수신하는 단계, 및 공유 키 인증 요청을 수신하는 것에 대한 응답으로, 재인증 마스터 세션 키에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 일부 양상들에서, 방법은 재인증 마스터 세션 키 및 및 공유 시크릿을 연접(concatenate)하는 단계를 포함하며, 제 1 페어방식 마스터 키를 생성하는 단계는 연접에 기반한다. 일부 양상들에서, 방법은 공유 키 인증 요청을 수신하는 것에 대한 응답으로 인증 요청을 인증 서버에 제 2 디바이스가 송신하는 단계; 및 제 2 디바이스가 인증 서버로부터 재인증 마스터 세션 키를 수신하는 단계를 포함한다.
[0014]
개시된 다른 양상은 제 1 디바이스를 인증하기 위한 장치이다. 장치는 제 1 무선 디바이스와 공유된 키를 결정하고, 제 1 무선 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키를 생성하며, 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 생성하도록 구성된 프로세서; 및 제 2 페어방식 마스터 키를 제 1 액세스 포인트에 송신하도록 구성된 송신기를 포함한다. 일부 양상들에서, 제 2 페어방식 마스터 키는 제 1 액세스 포인트와 제 1 무선 디바이스간의 보안 연관 또는 보안 통신을 위해 사용된다. 일부 양상들에서, 제 1 액세스 포인트 및 장치는 동일한 디바이스이다.
[0015]
장치의 일부 양상들에서, 프로세서는 제 1 무선 디바이스와 확장가능 인증 프로토콜을 수행함으로써 마스터 세션 키를 결정하도록 추가로 구성되며, 제 1 무선 디바이스와 공유된 키는 마스터 세션 키이다. 장치의 일부 양상들에서, 프로세서는 제 1 무선 디바이스와 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 재인증 마스터 세션 키를 결정하도록 추가로 구성된다. 이들 양상들에서, 제 1 무선 디바이스와 공유된 키는 재인증 마스터 세션 키이다.
[0016]
장치의 일부 양상들에서, 프로세서는 제 1 무선 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하고, 공유 시크릿에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하도록 추가로 구성된다. 일부 양상들에서, 프로세서는 제 1 무선 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하도록 추가로 구성되며, 제 1 무선 디바이스와 공유된 키는 공유 시크릿이다. 장치의 일부 양상들에서, 프로세서는 제 1 무선 디바이스에 의해 생성된 넌스, 장치에 의해 생성된 넌스 및 제 1 무선 디바이스와 공유된 키에 기반하여 중간 키를 생성하고, 중간 키에 기반하여 제 1 페어방식 마스터 키를 생성하도록 추가로 구성된다. 장치의 일부 양상들에서, 프로세서는 제 1 페어방식 마스터 키에 기반하여 제 2 액세스 포인트에 대한 제 3 페어방식 마스터 키를 생성하도록 추가로 구성되며, 제 3 페어방식 마스터 키는 제 2 액세스 포인트와 제 1 무선 디바이스 간의 통신에 사용되며, 송신기는 제 3 페어방식 마스터 키를 제 2 액세스 포인트에 송신하도록 추가로 구성된다. 장치의 일부 양상들은 또한 제 1 액세스 포인트로부터, 제 1 무선 디바이스에 대한 PFS(perfect forward secrecy)를 사용하는 공유 키 인증 요청을 수신하도록 구성된 수신기를 포함한다. 이들 양상들에서, 프로세서는 공유 키 인증 요청을 수신하는 것에 대한 응답으로 재인증 마스터 세션 키에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하도록 추가로 구성된다.
[0017]
장치의 일부 양상들에서, 프로세서는 재인증 마스터 세션 키 및 공유 시크릿을 연접하도록 추가로 구성되며, 프로세서는 연접에 기반하여 제 1 페어방식 마스터 키를 생성하도록 추가로 구성된다. 일부 양상들에서, 송신기는 공유 키 인증 요청을 수신하는 것에 대한 응답으로 인증 요청을 인증 서버에 송신하도록 추가로 구성된다. 이들 양상들에서, 수신기는 인증 서버로부터 재인증 마스터 세션 키를 수신하도록 추가로 구성된다.
[0018]
개시된 다른 양상은 제 1 디바이스를 인증하기 위한 장치이다. 장치는 제 1 무선 디바이스와 공유된 키를 결정하기 위한 수단, 제 1 무선 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키를 생성하기 위한 수단, 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 생성하기 위한 수단 및 제 2 페어방식 마스터 키를 제 1 액세스 포인트에 송신하기 위한 수단을 포함한다.
[0019]
일부 양상들에서, 장치는 제 1 디바이스와 확장가능 인증 프로토콜을 수행함으로써 마스터 세션 키를 결정하기 위한 수단을 포함하며, 제 1 디바이스와 공유된 키는 마스터 세션 키이다. 일부 양상들에서, 장치는 제 1 디바이스와 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 재인증 마스터 세션 키를 결정하기 위한 수단을 포함하며, 제 1 무선 디바이스와 공유된 키는 재인증 마스터 세션 키이다.
[0020]
일부 양상들에서, 장치는 제 1 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하기 위한 수단, 및 공유 시크릿에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하기 위한 수단을 포함한다. 일부 양상들에서, 장치는 또한 제 1 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하기 위한 수단을 포함하며, 제 1 디바이스와 공유된 키는 공유 시크릿이다. 일부 양상들에서, 장치는 또한 제 1 디바이스에 의해 생성된 넌스, 장치에 의해 생성된 넌스 및 제 1 디바이스와 공유된 키에 기반하여 중간 키를 생성하기 위한 수단; 및 중간 키에 기반하여 제 1 페어방식 마스터 키를 생성하기 위한 수단을 포함한다.
[0021]
장치의 일부 양상들은 또한 제 1 페어방식 마스터 키에 기반하여 제 2 액세스 포인트에 대한 제 3 페어방식 마스터 키를 생성하기 위한 수단 - 제 3 페어방식 마스터 키는 제 2 액세스 포인트와 제 1 디바이스 간의 통신에 사용됨 -; 및 제 3 페어방식 마스터 키를 제 2 액세스 포인트에 송신하기 위한 수단을 포함한다.
[0022]
장치의 일부 양상들은 또한 제 1 액세스 포인트로부터 제 1 디바이스에 대한 PFS(perfect forward secrecy)를 사용하는 공유 키 인증 요청을 수신하기 위한 수단, 및 공유 키 인증 요청을 수신하는 것에 대한 응답으로, 재인증 마스터 세션 키에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하기 위한 수단을 포함한다.
[0023]
장치의 일부 양상들은 또한 재인증 마스터 세션 키 및 및 공유 시크릿을 연접하기 위한 수단을 포함하며, 제 1 페어방식 마스터 키를 생성하는 것은 연접에 기반한다. 이들 양상들 중 일부 양상에서, 장치는 공유 키 인증 요청을 수신하는 것에 대한 응답으로 인증 요청을 인증 서버에 송신하기 위한 수단; 및 인증 서버로부터 재인증 마스터 세션 키를 수신하기 위한 수단을 포함한다.
[0024]
개시된 또 다른 양상은 실행될 때 프로세서로 하여금 제 1 무선 디바이스를 인증하는 방법을 수행하게 하는 명령들을 포함하는 컴퓨터 판독가능 저장 매체이다. 방법은 제 1 무선 디바이스와 공유된 키를 제 2 디바이스가 결정하는 단계, 제 1 무선 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키를 제 2 디바이스가 생성하는 단계, 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 제 2 디바이스가 생성하는 단계, 및 제 2 페어방식 마스터 키를 제 1 액세스 포인트에 제 2 디바이스가 송신하는 단계를 포함한다. 일부 양상들에서, 제 2 페어방식 마스터 키는 제 1 액세스 포인트와 제 1 무선 디바이스간의 보안 연관 또는 보안 통신을 위해 사용된다. 일부 양상들에서, 제 2 디바이스 및 제 1 액세스 포인트는 동일한 디바이스이다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 확장가능 인증 프로토콜을 수행함으로써 마스터 세션 키를 결정하는 단계를 포함하며, 제 1 무선 디바이스와 공유된 키는 마스터 세션 키이다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 재인증 마스터 세션 키를 결정하는 단계를 포함한다. 이들 양상들에서, 제 1 무선 디바이스와 공유된 키는 재인증 마스터 세션 키이다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하는 단계, 및 공유 시크릿에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 일부 양상들에서, 방법은 또한 제 1 무선 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하는 단계를 포함한다. 이들 양상들에서, 제 1 무선 디바이스와 공유된 키는 공유 시크릿이다.
[0025]
컴퓨터 판독가능 저장 매체의 일부 양상들은 프로세서로 하여금 방법을 추가로 수행하게 하는 명령들을 포함하며, 방법은 또한 제 1 무선 디바이스에 의해 생성된 넌스, 제 2 디바이스에 의해 생성된 제 2 넌스 및 제 1 무선 디바이스와 공유된 키에 기반하여 중간 키를 생성하는 단계; 및 중간 키에 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 방법의 일부 양상들은 또한 제 1 페어방식 마스터 키에 기반하여 제 2 액세스 포인트에 대한 제 3 페어방식 마스터 키를 제 2 디바이스가 생성하는 단계 - 제 3 페어방식 마스터 키는 제 2 액세스 포인트와 제 1 무선 디바이스 간의 통신에 사용됨 -; 및 제 3 페어방식 마스터 키를 제 2 액세스 포인트에 송신하는 단계를 포함한다.
[0026]
일부 양상들에서, CRM 방법은 제 1 액세스 포인트로부터 제 1 무선 디바이스에 대한 PFS(perfect forward secrecy)를 사용하는 공유 키 인증 요청을 수신하는 단계, 및 공유 키 인증 요청을 수신하는 것에 대한 응답으로, 재인증 마스터 세션 키에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 일부 양상들에서, 방법은 재인증 마스터 세션 키 및 및 공유 시크릿을 연접하는 단계를 포함하며, 제 1 페어방식 마스터 키를 생성하는 단계는 연접에 기반한다. 일부 양상들에서, 방법은 공유 키 인증 요청을 수신하는 것에 대한 응답으로 인증 요청을 인증 서버에 제 2 디바이스가 송신하는 단계; 및 제 2 디바이스가 인증 서버로부터 재인증 마스터 세션 키를 수신하는 단계를 포함한다.
[0027]
개시된 또 다른 양상은 제 1 디바이스를 인증하는 방법이다. 방법은 제 2 디바이스와 공유된 키를 제 1 디바이스가 결정하는 단계, 제 2 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키를 제 1 디바이스가 생성하는 단계, 제 2 디바이스와 통신하기 위한 제 2 페어방식 마스터 키를 제 1 디바이스가 생성하는 단계, 및 제 2 페어방식 마스터 키에 기반하여 제 2 디바이스와 통신하는 단계를 포함한다.
[0028]
일부 양상들에서, 방법은 또한 제 2 디바이스와 확장가능 인증 프로토콜을 수행함으로써 마스터 세션 키를 결정하는 단계를 포함하며, 제 2 디바이스와 공유된 키는 마스터 세션 키이다. 일부 양상들에서, 방법은 제 2 디바이스와 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 재인증 마스터 세션 키를 결정하는 단계를 포함하며, 제 2 디바이스와 공유된 키는 재인증 마스터 세션 키이다. 일부 양상들에서, 방법은 재인증 마스터 세션 키 및 및 공유 시크릿을 연접하는 단계를 포함하며, 제 1 페어방식 마스터 키를 생성하는 단계는 연접에 기반한다. 일부 양상들에서, 방법은 또한 제 2 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하는 단계, 및 공유 시크릿에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 일부 양상들에서, 방법은 또한 제 2 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하는 단계를 포함하며, 제 1 디바이스와 공유된 키는 공유 시크릿이다. 일부 양상들에서, 방법은 또한 제 1 디바이스에 의해 생성된 넌스, 제 2 디바이스에 의해 생성된 제 2 넌스 및 제 2 디바이스와 공유된 키에 기반하여 중간 키를 생성하는 단계; 및 중간 키에 기반하여 제 1 페어방식 마스터 키를 생성하는 단계를 포함한다. 일부 양상들에서, 방법은 또한 제 1 페어방식 마스터 키에 기반하여 제 3 디바이스에 대한 제 3 페어방식 마스터 키를 제 1 디바이스가 생성하는 단계; 및 제 3 페어방식 마스터 키에 기반하여 제 3 디바이스와 통신하는 단계를 포함한다.
[0029]
개시된 또 다른 양상은 제 1 디바이스를 인증하기 위한 장치이다. 장치는 제 2 디바이스와 공유된 키를 결정하며, 제 2 디바이스와 공유된 키에 기반하여 제 1 페어방식 마스터 키를 생성하며, 제 2 디바이스와 통신하기 위한 제 2 페어방식 마스터 키를 생성하며 그리고 제 2 페어방식 마스터 키에 기반하여 제 2 디바이스와 통신하도록 구성된 프로세서를 포함한다. 장치의 일부 양상들에서, 프로세서는 제 2 디바이스와 확장가능 인증 프로토콜을 수행함으로써 마스터 세션 키를 결정하도록 추가로 구성되며, 제 2 디바이스와 공유된 키는 마스터 세션 키이다. 장치의 일부 양상들에서, 프로세서는 제 2 디바이스와 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 재인증 마스터 세션 키를 결정하도록 추가로 구성되며, 제 2 디바이스와 공유된 키는 재인증 마스터 세션 키이다.
[0030]
장치의 일부 양상들에서, 프로세서는 재인증 마스터 세션 키 및 공유 시크릿을 연접하도록 추가로 구성되며, 제 1 페어방식 마스터 키를 생성하는 것은 연접에 기반한다. 장치의 일부 양상들에서, 프로세서는 제 2 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하고, 그리고 공유 시크릿에 추가로 기반하여 제 1 페어방식 마스터 키를 생성하도록 추가로 구성된다. 일부 양상들에서, 프로세서는 제 2 디바이스와 디피 헬만 키 교환을 수행함으로써 공유 시크릿을 결정하도록 추가로 구성되며, 제 1 디바이스와 공유된 키는 공유 시크릿이다. 일부 양상들에서, 프로세서는 제 1 디바이스에 의해 생성된 넌스, 제 2 디바이스에 의해 생성된 제 2 넌스 및 제 2 디바이스와 공유된 키에 기반하여 중간 키를 생성하며; 그리고 중간 키에 기반하여 제 1 페어방식 마스터 키를 생성하도록 추가로 구성된다. 일부 양상들에서, 프로세서는 제 1 페어방식 마스터 키 및 제 3 디바이스의 하나 이상의 특성들에 기반하여 제 3 디바이스에 대한 제 3 페어방식 마스터 키를 생성하며; 그리고 제 3 페어방식 마스터 키에 기반하여 제 3 디바이스와 통신하도록 추가로 구성된다.
[0031]
도 1은 본 개시내용의 양상들이 사용될 수 있는 예시적인 무선 통신 시스템을 도시한다.
[0032] 도 2는 도 1의 모바일 디바이스들 중 하나 이상의 모바일 디바이스의 무선 디바이스의 예시적인 실시예를 예시한다.
[0033] 도 3은 확장된 인증 프로토콜(EAP) 인증과 확장된 인증 프로토콜 재인증 프로토콜(EAP-RP) 인증 동안 메시지 흐름들을 예시한다.
[0034] 도 4는 고속 기본 서비스 세트(BSS) 트랜지션(FT) 인증 동안 메시지 흐름들을 예시한다.
[0035] 도 5는 인증 프로세스의 일 실시예 동안 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0036] 도 6는 인증 프로세스의 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0037] 도 7는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0038] 도 8는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0039] 도 9는 로컬 EP 서버가 존재하지 않을 때 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0040] 도 10은 제 1 인증 프로토콜과 제 2 인증 프로토콜로부터의 인증 메시지의 사용을 도시하는 메시지 시퀀스 다이어그램이다.
[0041] 도 11은 인증 방법에서 키 계층을 도시한다.
[0042] 도 12는 디바이스를 인증하는 방법의 흐름도이다.
[0043] 도 13는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0044] 도 14는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0045] 도 15는 디바이스를 인증하는 방법의 흐름도이다.
[0046] 도 16는 디바이스를 인증하는 방법의 흐름도이다.
[0047] 도 17는 디바이스를 인증하는 방법의 흐름도이다.
[0032] 도 2는 도 1의 모바일 디바이스들 중 하나 이상의 모바일 디바이스의 무선 디바이스의 예시적인 실시예를 예시한다.
[0033] 도 3은 확장된 인증 프로토콜(EAP) 인증과 확장된 인증 프로토콜 재인증 프로토콜(EAP-RP) 인증 동안 메시지 흐름들을 예시한다.
[0034] 도 4는 고속 기본 서비스 세트(BSS) 트랜지션(FT) 인증 동안 메시지 흐름들을 예시한다.
[0035] 도 5는 인증 프로세스의 일 실시예 동안 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0036] 도 6는 인증 프로세스의 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0037] 도 7는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0038] 도 8는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0039] 도 9는 로컬 EP 서버가 존재하지 않을 때 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0040] 도 10은 제 1 인증 프로토콜과 제 2 인증 프로토콜로부터의 인증 메시지의 사용을 도시하는 메시지 시퀀스 다이어그램이다.
[0041] 도 11은 인증 방법에서 키 계층을 도시한다.
[0042] 도 12는 디바이스를 인증하는 방법의 흐름도이다.
[0043] 도 13는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0044] 도 14는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다.
[0045] 도 15는 디바이스를 인증하는 방법의 흐름도이다.
[0046] 도 16는 디바이스를 인증하는 방법의 흐름도이다.
[0047] 도 17는 디바이스를 인증하는 방법의 흐름도이다.
[0048]
신규한 시스템들, 장치들, 및 방법들의 다양한 양상들이 첨부 도면들을 참조로 하여 이하에서 더 완전하게 설명된다. 그러나, 이러한 개시내용은 많은 상이한 형태들로 구현될 수 있으며 이러한 개시내용 전반에 걸쳐 제시된 어느 특정 구조 또는 기능으로 제한되는 것을 해석되지 않아야 한다. 오히려, 이 양상들은 본 개시내용이 철저하고 완벽하도록 그리고 개시내용의 범위를 당업자에게 완전히 전달하도록 제공된다. 본원의 교시들에 기반하여, 당업자는, 본 발명의 임의의 다른 양상에 독립적으로 구현되던지 또는 이러한 다른 양상과 결합되어 구현되던지 간에, 개시내용의 범위가 본원에서 개시된 신규한 시스템들, 장치들, 및 방법들의 임의의 양상을 포함하는 것으로 의도된다는 것을 인식해야 한다. 예컨대, 본원에서 제시된 임의의 수의 양상들을 사용하여 장치가 구현되거나 또는 방법이 실시될 수 있다. 게다가, 본 발명의 범위는 본원에서 제시된 본 발명의 다양한 양상들에 추가한 또는 이러한 다양한 양상들이 아닌 다른 구조, 기능성 또는 구조와 기능성을 사용하여 실시되는 그러한 장치 또는 방법을 포함하는 것으로 의도된다. 본원에서 개시된 임의의 양상이 청구범위의 하나 이상의 엘리먼트들에 의해 구현될 수 있다는 것이 이해되어야 한다.
[0049]
비록 특정 양상들이 본원에서 설명될지라도, 이들 양상들의 많은 변형들 및 치환들이 개시내용의 범위내에 있다. 비록 바람직한 양상들의 일부 이익들 및 장점들이 언급될지라도, 개시내용의 범위는 특정 이익들, 사용들 또는 목적들로 제한되는 것으로 의도되지 않는다. 오히려, 개시내용의 양상들은 상이한 무선 기술들, 시스템 구성들, 네트워크들 및 송신 프로토콜들에 광범위하게 적용되는 것으로 의도되며, 이들 중 일부는 바람직한 양상들의 이하의 설명에서 그리고 도면들에서 예로서 예시된다. 상세한 설명 및 도면들은 제한 보다 오히려 개시내용의 단순한 예시이며, 개시내용의 범위는 첨부된 청구항들 및 이의 균등물들에 의해 정의된다.
[0050]
도 1은 본 개시내용의 양상들이 사용될 수 있는 예시적인 무선 통신 시스템(100)을 도시한다. 무선 통신 시스템(100)은 기본 서비스 영역(BSA)(107a)에서 복수의 스테이션(STA)들(106a-106d)과 통신하는 액세스 포인트(AP)(104a)를 포함한다. 무선 통신 시스템(100)은 BSA(107b)에서 통신할 수 있는 제 2 AP(104b)를 더 포함할 수 있다. 하나 이상의 STA들(106)은 예컨대 열차(120)를 통해 BSA들(107a-107b)내로 그리고/또는 BSA들(107a-107b)밖으로 이동할 수 있다. 본원에서 설명된 다양한 실시예들에서, STA들(106 및 106a-106d)은 특히 BSA들(107a 및/또는 107b)내로 이동할 때 AP(104a 및/또는 104b)와 무선 링크들을 빠르게 설정하도록 구성될 수 있다. 스테이션과 액세스 포인트 간에 무선 통신을 설정하는 것은 인증 및 연관 중 하나 이상을 포함할 수 있다.
[0051]
다양한 실시예들에서, 무선 통신 시스템(100)은 무선 근거리 통신망(WLAN: wireless local area network)을 포함할 수 있다. WLAN은 하나 이상의 네트워킹 프로토콜들을 사용하여 근접 디바이스들을 상호 연결시키기 위하여 사용될 수 있다. 본원에서 설명된 다양한 양상들은 IEEE 802.11 무선 프로토콜들과 같은 임의의 통신 표준에 적용할 수 있다. 예컨대, 본원에서 설명된 다양한 양상들은 IEEE 802.11a, 802.11b, 802.11g, 802.11n, 802.11ah, 및/또는 802.11ai 프로토콜들의 부분으로서 사용될 수 있다. 802.11 프로토콜들의 구현들은 센서들, 홈 오토메이션(home automation), 개인 헬스케어 네트워크들, 감시 네트워크들, 미터링(metering), 스마트 그리드 네트워크들, 차량내 및 차량간 통신, 비상사태 조정 네트워크(emergency coordination network)들, 셀룰러(예컨대, 3G/4G) 네트워크 오프로드, 단거리 및/또는 장거리 인터넷 액세스(예컨대, 핫스팟들과 함께 사용됨), M2M(machine-to-machine) 통신들 등을 위해 사용될 수 있다.
[0052]
AP들(104a-104b)은 무선 통신 시스템(100)에 대한 허브(hub) 또는 기지국의 역할을 할 수 있다. 예컨대, AP(104a)는 BSA(107a)의 무선 통신 커버리지를 제공할 수 있으며, AP(104b)는 BSA(107b)의 무선 통신 커버리지를 제공할 수 있다. AP(104a 및/또는 104b)는 NodeB, 라디오 네트워크 제어기(RNC: Radio Network Controller), eNodeB, 기지국 제어기(BSC: Base Station Controller), BTS(Base Transceiver Station), 기지국(BS: Base Station), TF(Transceiver Function), 라디오 라우터, 라디오 트랜시버, 또는 일부 다른 용어를 포함하거나 또는 이러한 것으로 구현되거나 또는 이러한 것으로 알려질 수 있다.
[0053]
STA들(106 및 106a-106d)(본원에서는 STA들(106)로 총칭됨)은 다양한 디바이스들, 이를테면 예컨대 랩톱 컴퓨터들, PDA(personal digital assistant)들, 모바일 폰들 등을 포함할 수 있다. STA들(106)은 인터넷 또는 다른 광역 네트워크들에 대한 일반적인 연결을 획득하기 위하여 WiFi(예컨대, 802.11ai와 같은 IEEE 802.11 프로토콜) 준수 무선 링크를 통해 AP들(104a-104b)에 연결하거나 또는 이들과 연관될 수 있다. STA들(106)은 또한 "클라이언트들"로 지칭될 수 있다.
[0054]
다양한 실시예들에서, STA들(106)은 액세스 단말(AT)들, 가입자국들, 가입자 유닛들, 이동국들, 원격 국들, 원격 단말들, 사용자 단말(UT)들, 단말들, 사용자 에이전트들, 사용자 디바이스들, 사용자 장비(UE) 또는 일부 다른 용어를 포함하거나 이러한 것으로 구현되거나 또는 이러한 것으로 알려질 수 있다. 일부 구현들에서, STA(106)는 셀룰러 전화, 코드리스 전화, SIP(Session Initiation Protocol) 폰, WLL(wireless local loop) 스테이션, PDA(personal digital assistant), 무선 연결 능력을 가지는 핸드헬드 디바이스, 또는 무선 모뎀에 연결되는 일부 다른 적절한 프로세싱 디바이스를 포함할 수 있다. 따라서, 본원에서 교시된 하나 이상의 양상들은 폰(예컨대, 셀룰러 폰 또는 스마트폰), 컴퓨터(예컨대, 랩톱), 휴대가능 통신 디바이스, 헤드셋, 휴대가능 컴퓨팅 디바이스(예컨대, 개인 휴대 단말), 엔터테인먼트 디바이스(예컨대, 뮤직 또는 비디오 디바이스 또는 위성 라디오), 게이밍 디바이스 또는 시스템, 글로벌 포지셔닝 시스템 디바이스, 또는 무선 매체를 통해 통신하도록 구성되는 임의의 다른 적절한 디바이스에 통합될 수 있다.
[0055]
AP(104a)는 AP(104a)와 연관되며 통신을 위해 AP(104a)를 사용하도록 구성되는 STA들(106a-106d)과 함께 기지국 서비스 세트(BSS: basic service set)로 지칭될 수 있다. 일부 실시예들에서, 무선 통신 시스템(100)은 중앙 AP(104a)를 갖지 않을 수 있다. 예컨대, 일부 실시예들에서, 무선 통신 시스템(100)은 STA들(106) 사이에서 피어-투-피어 네트워크로서 기능을 할 수 있다. 따라서, 본원에서 설명된 AP(104a)의 기능들은 대안적으로 STA들(106) 중 하나 이상의 STA에 의해 수행될 수 있다. 게다가, 일부 실시예들에서, AP(104a)는 STA들(106)과 관련하여 설명된 하나 이상의 양상들을 구현할 수 있다.
[0056]
AP(104a)로부터 STA들(106) 중 하나 이상의 STA로의 송신을 가능하게 하는 통신 링크는 다운링크(DL)(130)로 지칭될 수 있으며, STA들(106) 중 하나 이상의 STA로부터 AP(104a)로의 송신을 가능하게 하는 통신 링크는 업링크(UL)(140)로 지칭될 수 있다. 대안적으로, 다운링크(130)는 순방향 링크 또는 순방향 채널로 지칭될 수 있으며, 업링크(140)는 역방향 링크 또는 역방향 채널로 지칭될 수 있다.
[0057]
무선 통신 시스템(100)에서 AP(104a)와 STA들(106) 간의 송신들을 위해 다양한 프로세스들 및 방법들이 사용될 수 있다. 일부 양상들에서, 무선 신호들은 OFDM(orthogonal frequency-division multiplexing) 통신, DSSS(direct-sequence spread spectrum) 통신, OFDM 및 DSSS 통신들의 조합 또는 다른 방식들을 사용하여, 송신될 수 있다. 예컨대, OFDM/OFDMA 프로세스들에 따라 AP(104a)와 STA들(106) 사이에서 신호들이 전송 및 수신될 수 있다. 따라서, 무선 통신 시스템(100)은 OFDM/OFDMA 시스템으로 지칭될 수 있다. 다른 예로서, CDMA 프로세스들에 따라 AP(104a)와 STA들(106) 사이에서 신호들이 전송 및 수신될 수 있다. 따라서, 무선 통신 시스템(100)은 CDMA 시스템으로 지칭될 수 있다.
[0058]
이러한 프로토콜들을 구현하는 특정 디바이스들(이를테면, AP(104a) 및 STA들(106))의 양상들은 다른 무선 프로토콜들을 구현하는 디바이스들 보다 적은 전력을 소비할 수 있다. 디바이스들은 비교적 긴 범위에 걸쳐, 예컨대 약 1 킬로미터 또는 그 초과의 범위에 걸쳐 무선 신호들을 송신하기 위하여 사용될 수 있다. 본원에서 더 상세히 설명되는 바와같이, 일부 실시예들에서, 디바이스들은 다른 무선 프로토콜들을 구현하는 디바이스들 보다 더 빨리 무선 링크들을 설정하도록 구성될 수 있다.
연관 및 인증
[0059]
일반적으로, IEEE 802.1X 프로토콜들에서는 STA와 인증 서버(예컨대, 인증 서비스들, 이를테면 아이덴티티 검증, 허가, 프라이버시(privacy) 및 부인-방지(non-repudiation)를 제공하는 서버) 사이에서 인증이 이루어진다. 예컨대, 인증자로서 기능을 하는 AP는 인증 프로세스 동안 AP와 인증 서버 간에 메시지들을 중계한다. 일부 경우들에서, STA와 AP 간의 인증 메시지들은 EAPOL(extensible authentication protocol over local area network) 프레임들을 사용하여 전송된다. EAPOL 프레임들은 IEEE 802.11i 프로토콜에서 정의될 수 있다. AP와 인증 서버 간의 인증 메시지들은 RADIUS(remote authentication dial in user service) 프로토콜 또는 다이어미터 인증, 허가 및 계정 프로토콜(diameter authentication, authorization, and accounting protocol)을 사용하여 전송될 수 있다.
[0060]
인증 프로세스 동안, 인증 서버는 AP로부터 수신된 메시지들에 응답하기 위해 긴 시간을 소비할 수 있다. 예컨대, 인증 서버는 AP로부터 원격에 있는 위치에 물리적으로 배치될 수 있으며, 따라서 지연은 백홀 링크 속도 때문인 것으로 여겨질 수 있다. 다른 예로서, 인증 서버는 STA들 및/또는 AP들에 의해 개시된 많은 수의 인증 요청들을 프로세싱할 수 있다(예컨대, 조밀한 영역에, 이를테면 열차(120)에, 각각이 연결의 설정을 시도중인 많은 수의 STA들이 존재할 수 있다). 따라서, 지연은 인증 서버상의 로딩(loading)(예컨대, 트래픽) 때문인 것으로 여겨질 수 있다.
[0061]
인증 서버 때문으로 여겨지는 지연 때문에, STA들(106)은 긴 시간 기간 동안 유휴 상태에 있을 수 있다.
[0062]
도 2는 도 1의 무선 통신 시스템(100)내에 사용될 수 있는 무선 디바이스(202)의 예시적인 기능 블록도를 도시한다. 무선 디바이스(202)는 본원에서 설명된 다양한 방법들을 구현하도록 구성될 수 있는 디바이스의 예이다. 예컨대, 무선 디바이스(202)는 도 1의 디바이스들(104 또는 106) 중 하나를 포함할 수 있다.
[0063]
무선 디바이스(202)는 무선 디바이스(202)의 동작을 제어하는 프로세서(204)를 포함할 수 있다. 프로세서(204)는 또한 중앙 처리 장치(CPU)로 지칭될 수 있다. 판독-전용 메모리(ROM) 및 랜덤 액세스 메모리(RAM) 둘다를 포함할 수 있는 메모리(206)는 명령들 및 데이터를 프로세서(204)에 제공할 수 있다. 메모리(206)의 일부분은 또한 비-휘발성 랜덤 액세스 메모리(NVRAM)를 포함할 수 있다. 프로세서(204)는 전형적으로 메모리(206)내에 저장된 프로그램 명령들에 기반하여 논리 및 산술적 연산을 수행한다. 메모리(206)의 명령들은 본원에서 설명된 방법들을 구현하기 위하여 실행가능할 수 있다.
[0064]
프로세서(204)는 하나 이상의 프로세서들로 구현되는 프로세싱 시스템의 컴포넌트이거나 또는 이를 포함할 수 있다. 하나 이상의 프로세서들은 범용 마이크로프로세서들, 마이크로제어기들, 디지털 신호 프로세서(DSP)들, 필드 프로그램가능 게이트 어레이(FPGA)들, 프로그램가능 논리 디바이스(PLD)들, 제어기들, 상태 머신들, 게이티드 로직(gated logic), 이산 하드웨어 컴포넌트들, 전용 하드웨어 유한 상태 머신들, 또는 정보의 계산들 또는 다른 조작들을 수행할 수 있는 임의의 다른 적절한 엔티티들의 임의의 조합으로 구현될 수 있다.
[0065]
프로세싱 시스템은 또한 소프트웨어를 저장하기 위한 머신-판독가능 매체들을 포함할 수 있다. 소프트웨어는 소프트웨어, 펌웨어, 미들웨어, 마이크로코드, 하드웨어 설명 언어(hardware description language) 또는 그 밖의 것으로 지칭되던지 간에 임의의 타입의 명령들을 의미하는 것으로 넓게 해석될 것이다. 명령들은 (예컨대, 소스 코드 포맷, 2진 코드 포맷, 실행가능 코드 포맷 또는 임의의 다른 적절한 코드 포맷의) 코드를 포함할 수 있다. 명령들은, 하나 이상의 프로세서들에 의해 실행될 때, 프로세싱 시스템으로 하여금 본원에서 설명된 다양한 기능들을 수행하게 한다.
[0066]
무선 디바이스(202)는 또한 무선 디바이스(202)와 원격 위치 간에 데이터의 송신 및 수신을 가능하게 하기 위하여 송신기(210) 및/또는 수신기(212)를 포함할 수 있는 하우징(208)을 포함할 수 있다. 송신기(210) 및 수신기(212)는 트랜시버(214)로 결합될 수 있다. 안테나(216)는 하우징(208)에 부착되고 트랜시버(214)에 전기적으로 커플링될 수 있다. 무선 디바이스(202)는 또한 다수의 송신기들, 다수의 수신기들, 다수의 트랜시버들 및/또는 다수의 안테나들을 포함할 수 있다(도시안됨).
[0067]
무선 디바이스(202)는 또한 트랜시버(214)에 의해 수신된 신호들의 레벨을 검출하여 정량화하기 위한 노력으로 사용될 수 있는 신호 검출기(218)를 포함할 수 있다. 신호 검출기(218)는 이러한 신호들을 총 에너지, 심볼당 서브캐리어 마다의 에너지(energy per subcarrier per symbol), 전력 스펙트럼 밀도 및 다른 신호들로서 검출할 수 있다. 무선 디바이스(202)는 또한 신호들을 프로세싱하는데 사용하기 위한 디지털 신호 프로세서(DSP)(220)를 포함할 수 있다. DSP(220)는 송신을 위한 패킷을 생성하도록 구성될 수 있다. 일부 양상들에서, 패킷은 PPDU(physical layer data unit)를 포함할 수 있다.
[0068]
일부 양상들에서, 무선 디바이스(202)는 사용자 인터페이스(222)를 더 포함할 수 있다. 사용자 인터페이스(222)는 키패드, 마이크로폰, 스피커 및/또는 디스플레이를 포함할 수 있다. 사용자 인터페이스(222)는 무선 디바이스(202)의 사용자에게 정보를 전달하고 그리고/또는 사용자로부터의 입력을 수신하는 임의의 엘리먼트 또는 컴포넌트를 포함할 수 있다.
[0069]
무선 디바이스(202)의 다양한 컴포넌트들은 버스 시스템(226)에 의해 함께 커플링될 수 있다. 버스 시스템(226)은 예컨대 데이터 버스 뿐만아니라, 데이터 버스 외에, 전력 버스, 제어 신호 버스 및 상태 신호 버스를 포함할 수 있다. 당업자는 무선 디바이스(202)의 컴포넌트들이 함께 커플링될 수 있거나 또는 일부 다른 메커니즘을 사용하여 상호 입력들을 받아들이거나 제공할 수 있다는 것을 인식할 것이다.
[0070]
비록 다수의 개별 컴포넌트들이 도 2에 예시될지라도, 당업자는 컴포넌트들 중 하나 이상의 컴포넌트가 결합되거나 또는 통상적으로 구현될 수 있다는 것을 인식할 것이다. 예컨대, 프로세서(204)는 프로세서(204)와 관련하여 앞서 설명된 기능성을 구현할 뿐만아니라 신호 검출기(218) 및/또는 DSP(220)와 관련하여 앞서 설명된 기능성을 구현하기 위하여 사용될 수 있다. 게다가, 도 2에 예시된 컴포넌트들 각각은 복수의 개별 엘리먼트들을 사용하여 구현될 수 있다.
[0071]
무선 디바이스(202)는 도 1에 도시된 무선 디바이스들 중 임의의 디바이스를 포함할 수 있으며, 통신들을 송신 및/또는 수신하기 위하여 사용될 수 있다. 즉, 무선 디바이스들(104 또는 106) 중 임의의 디바이스는 송신기 또는 수신기 디바이스들의 역할을 할 수 있다. 특정 양상들은 송신기 또는 수신기의 존재를 검출하기 위하여 프로세서(204) 및 메모리(206)상에서 실행되는 소프트웨어에 의해 사용되고 있는 신호 검출기(218)를 고려한다.
[0072]
앞서 설명된 바와같이, 무선 디바이스(202)와 같은 무선 디바이스는 무선 통신 시스템(100)과 같은 무선 통신 시스템내에서 서비스들을 제공하도록 구성될 수 있다.
[0073]
도 3은 예컨대 IETF RFC 2284에서 정의된 확장가능 인증 프로토콜(EAP) 전체 인증 프로세스(EAP)(302) ― 이의 내용들은 그 전체가 인용에 의해 본원에 통합됨― 및 예컨대 IETF RFC 6696에서 정의되는 재인증 프로세스(EAP-RP)(304) ― 이의 내용들은 그 전체가 인용에 의해 본원에 통합됨 ―의 메시지 흐름들을 도시한다. 일부 양상들에서, 전체 EAP 인증(302)은 STA(106a)가 EAP 인증자로부터 EAP 요청/아이덴티티 메시지(306a)를 수신하는 것을 포함한다. 일부 양상들에서, EAP 인증자(308)는 액세스 포인트 또는 무선 LAN 제어기일 수 있다. 인증자로부터의 이러한 트리거(trigger)에 대한 응답으로, STA(106a)는 메시지 흐름들(314)에 포함될 수 있는 EAP-개시/재-인증 메시지를 송신함으로써 ERP 교환을 개시할 수 있다.
[0074]
EAP 전체 인증 동안, 인증 서버(312)는 마스터 세션 키(MSK), 확장된 마스터 세션 키(EMSK), 재-인증 루트 키(rRK) 및 재-인증 무결성 키(rIK) 중 하나 이상을 생성할 수 있다.
[0075]
전체 EAP 인증이 완료되었을 때, 인증 서버(312)는 EAP 성공 상태를 메시지(316)를 통해 STA(106a)에 전송할 수 있다. 마스터 세션 키(MSK)는 또한 메시지(316)로 STA(106a)에 제공될 수 있다.
[0076]
이후, STA(106a)는 제 2 인증자(310)와 함께 EAP 재인증 프로세스(EAP-RP)(304)를 수행할 수 있다. 일부 양상들에서, 제 2 인증자(310)는 제 2 액세스 포인트일 수 있다. 일부 양상들에서, 제 2 인증자(310)는 무선 LAN 제어기일 수 있다. STA(106a)는 EAP 재-인증 메시지(318)를 EAP 인증자(310)를 통해 인증 서버(312)에 전송할 수 있다. 일부 양상들에서, 인증 서버(312)는 재인증 마스터 세션 키(rMSK)를 생성하고, EAP 재-인증 완료 메시지(320)를 EAP 인증자(310)를 통해 STA(106)에 송신할 수 있다.
[0077]
도 4는 IEEE 802.11r 고속 기본 서비스 세트(BSS) 트랜지션(FT) 인증 및 재인증 프로세스(400)를 도시한다. STA(106a)는 첫번째로 메시지 흐름들(406)을 통해 제 1 액세스 포인트(104a)와 성공적인 세션 설정 및 데이터 송신을 수행할 수 있다. 이러한 첫번째 인증 및 데이터 송신은 IEEE 802.11 인증을 사용하여 수행될 수 있다. 메시지 흐름들(406)은 일부 양상들에서 무선 LAN 제어기(402) 및/또는 인증 서버(404)를 포함할 수 있으나(도시안됨), 제 2 액세스 포인트(104b)를 포함하지 않을 수 있다.
[0078]
제 1 액세스 포인트(104a)와 STA(106a)의 인증 동안, 인증 서버(404)는 마스터 세션 키(MSK)를 무선 LAN 제어기(402)에 제공할 수 있다. 마스터 세션 키로부터, 무선 LAN 제어기는 하나 이상의 페어방식 마스터 키들(PMK1으로 도시됨)을 유도하고, 적어도 PMK1를 제 1 액세스 포인트(104a)에 제공할 수 있다. 제 1 액세스 포인트(104a)는 STA(106a)와 보안 연관을 수행하기 위하여 WLC(402)에 의해 제공된 PMK1를 활용할 수 있다. 예컨대, 제 1 액세스 포인트(104a)와 STA(106a) 간의 통신들은 WLC(402)에 의해 제공된 PMK1로부터 유도된 키(즉, PTK)를 사용하여 암호화될 수 있다.
[0079]
이후, STA(106a)는 제 2 액세스 포인트(104b)의 범위내로 이동할 수 있다. 이후, STA(106a)는 802.11 인증 요청(408)을 제 2 액세스 포인트(104b)에 송신할 수 있다. 이에 응답하여, AP(104b)는 키 요청 메시지(409a)를 무선 LAN 제어기(402)에 송신할 수 있다. 무선 LAN 제어기(402)는 제 2 페어방식 마스터 키(PMK2)를 응답 키 응답 메시지(409b)를 통해 제 2 액세스 포인트에 제공한다. 제 2 액세스 포인트(104b)는 제 2 페어방식 마스터 키(PMK2)를 활용하여 PTK2를 유도하고 PTK2를 사용하여 STA(106a)와 제 2 액세스 포인트(104b) 간의 통신을 암호화할 수 있다. 이후, AP(104b)는 인증 응답 메시지(410)를 STA(106a)에 송신한다. STA(106a)는 또한 재연관 요청/대답 메시지들(412/414)을 통해 제 2 액세스 포인트(104b)와 재연관을 수행할 수 있다.
[0080]
도 5는 인증 방법의 일 실시예에서 네트워크 디바이스 컴포넌트들 간의 메시지 흐름들의 예시이다. 도 5는 2개의 모빌리티 도메인들(505a 및 505b)과 함께 인증 서버(501)를 포함하는 홈 도메인(502)을 도시한다. 각각의 모빌리티 도메인(505a-b)내에는 2개의 액세스 포인트들, 즉 AP들(104a-b) 및 AP들(104c-d)이 각각 있다. 각각의 모빌리티 도메인(505a-b)은 또한 무선 LAN 제어기(WLC)(506a-b)를 포함한다. WLC들(506a-b)은 또한 "RO 키 홀더들"로서 알려질 수 있다. 도 5의 바닥에 도시된 STA(106a)는 도면의 좌측으로부터 우측으로 이동할 수 있다. STA(106a)가 이동함에 따라, STA(106a)는 AP(104a)와, 이후 AP(104b)와, 이후 AP(104c) 그리고 이후 AP(104d)와 인증할 수 있다.
[0081]
인증 메시지 교환(515a)은 도 3에 도시된 전체 EAP 인증을 수행할 수 있다. 전체 EAP 인증의 경우에, STA(106a)에 의해 개시된 인증은 메시지들이 인증 서버(501)와 교환되게 할 것이다. 예컨대, 인증 서버(501)는 마스터 세션 키(MSK1)를 생성하고 MSK1를 WLC(506a)에 제공할 수 있다. 이후, WLC(506a)는 MSK1에 기반하여 페어방식 마스터 키(PMK)를 유도하고, PMK(이러한 키는 도 5에서 PMK-R1-1으로 도시됨)를 AP(104)에 제공할 수 있다. 일부 양상들에서, AP(104a)에 제공된 PMK는 또한 AP(104a)의 매체 액세스 제어(MAC) 어드레스와 같은 AP(104a)의 특징에 기반하여 유도될 수 있다.
[0082]
이후, STA(106a)는 인증 메시지 교환(515b)을 통해 AP(104b)와 인증할 수 있다. AP(104b)가 AP(104a)와 동일한 모빌리티 도메인내에 있기 때문에, STA(106a)는 자신이 AP(104b)와 전체 EAP 인증을 수행할 필요가 없음을 (AP(104b)로부터의 비콘 메시지를 통해) 결정할 수 있으나, 대신에 WLC(206a)에 저장된 마스터 세션 키(MSK1)에 기반하여 인증을 수행할 수 있다. 일부 양상들에서, STA(106a)는 인증 메시지 교환(515b)의 부분으로서 고속 기본 서비스 세트 트랜지션 인증을 수행한다. 이러한 인증은 STA(106a)가 AP(104b)와 인증할 때 WLC(506a)가 인증 서버(501)와 메시지들을 교환할 것을 요구하지 않을 수 있다. 대신에, WLC(506a)는 STA(106a)가 AP(104a)와 인증하였을 때 인증 서버(501)에 의해 제공된 제 1 마스터 세션 키(MSK1)에 기반하여 도 5에서 PMK-R1-2로서 도시된 제 2 PMK를 유도한다. 일부 양상들에서, 제 2 PMK는 또한 AP(104b)의 매체 액세스 제어(MAC) 어드레스와 같은 AP(104b)의 하나 이상의 특징들에 기반하여 유도될 수 있다. STA(106a)가 AP(104b)와 인증할 때 인증 서버(501)와 어느 메시지들도 교환될 필요가 없기 때문에, 인정 메시지 교환(515b)은 인증 메시지 교환(515a) 보다 더 빠르게 이루어질 수 있다. 부가적으로, STA(106a)가 새로운 액세스 포인트와 인증할 때마다 STA(106a)가 인증 서버(501)와 인증할 것을 요구했던 솔루션에 비하여 인증 서버(501)에 대한 로드가 감소될 수 있다.
[0083]
이후, STA(106a)는 AP(104b)가 범위 밖에 있도록 하는 위치로 이동할 수 있으며, STA(106a)는 메시지 교환(515c)을 통해 AP(104c)와 인증할 수 있다. 이후, IEEE 802.11r에서, STA(106a)는 AP(104c)가 (모빌리티 도메인(505a)에 있는) AP(104a)와 상이한 모빌리티 도메인(505b)에 있기 때문에 메시지 교환(515c)의 부분으로서 다른 전체 EAP 인증을 수행한다. 전체 EAP 인증 동안, 인증 서버(501)는 새로운 마스터 세션 키(MSK2)를 생성하며, MSK2를 무선 LAN 제어기(WLC)(506b)에 송신한다. 이후, WLC(506b)는 MSK2에 기반하여, 또한 일부 양상들에 있어서는 AP(104c)의 하나 이상의 특징들에 기반하여 PMK를 생성한다. STA(106a)가 다시 이동하여 AP(104d)와 연결할 때, AP(104d)가 AP(104c)와 동일한 모빌리티 도메인에 있기 때문에, STA(106a)는 메시지 교환(515d)을 통해 인증을 수행할 수 있다. 일부 양상들에서, 메시지 교환(515d)은 고속 기본 서비스 세트 트랜지션 인증을 수행한다. 이러한 인증 동안, WLC(506b)는 인증 서버(501)로부터 수신된 이전에 유도된 MSK2에 기반하여 새로운 PMK(PMK-R1-4)를 생성할 수 있다. MSK2가 WLC(506b)에 저장될 수 있기 때문에, 인증 서버(501)와 반드시 통신할 필요성 없이 인증이 이루어질 수 있다.
[0084]
도 6는 인증 프로세스의 다른 실시예 동안 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다. 도 6은 홈 도메인(602) 및 2개의 모빌리티 도메인들(605a-b)을 도시한다. 홈 도메인(602)은 인증 서버(601)를 포함한다. 모빌리티 도메인들(605a-b) 각각은 EAP 재-인증 서버 또는 로컬 ER 서버(606a-b)를 포함한다. 모빌리티 도메인들(605a-b) 각각은 2개의 액세스 포인트들, 즉 AP들(104e-f) 및 AP들(104g-h)을 각각 포함한다.
[0085]
도 5와 유사하게, 도 6에서는 STA(106a)가 첫번째로 메시지 교환(615a)을 통해 AP(104e)와 인증한다. 이러한 첫번째 인증은 메시지 교환(615a)의 부분으로서 인증 서버(601)와 확장된 인증 프로토콜 재인증 프로토콜(EAP-RP) 인증을 수행한다. AP(104e)는 STA(106)와 인증 서버(601) 간의 교환 동안 중계 서비스들을 수행할 수 있다. (초기 전체 EAP 인증 직후에 수행되는) 인증 서버(601)와의 초기 재인증 동안, 인증 서버(601)는 재인증 루트 키(rRK1) 또는 도메인 특정 루트 키(DSRK1)를 생성하고 rRK1 또는 DSRK1를 로컬 ER 서버(606a)에 제공한다. 이후, 로컬 ER 서버(606a)는 DSRK1 또는 rRK1로부터 재인증 마스터 세션 키(rMSK1)를 유도하여, rMSK1를 AP(104e)에 제공할 수 있다. 이러한 정보는 일부 양상들에서 RFC 6696에서 설명된 바와같이 EAP 종료 재-인증 메시지를 통해 AP(104e)에 제공될 수 있다. AP(104e)는 이후 이러한 정보를 제공할 수 있다.
[0086]
이후, AP(104e)는 rMSK1를 사용하여 STA(106a)와의 통신을 수행한다. 이후, STA(106b)는 AP(104e)의 범위 밖으로 이동하고, 인증 프로토콜 메시지 교환(615b)을 통해 AP(104f)와 인증할수 있다. 로컬 ER 서버(606a)가 STA(106a)와 AP(104e)의 첫번째 인증으로부터의 rRK1를 저장하였기 때문에, 메시지 교환(615b)을 통해 이루어지는 두번째 인증은 인증 서버(601)와의 통신을 요구하지 않을 수 있다. 대신에, 로컬 ER 서버(606a)는 도메인 특정 루트 키(DSRK1) 또는 재인증 루트 키(rRK1)로부터 제 2 재인증 마스터 세션 키(rMSK2)를 유도하고 rMSK2를 AP(104f)에 제공할 수 있다. 일부 양상들에서, 이러한 정보는 EAP 종료 재-인증 메시지로 AP(104f)에 제공될 수 있다. 이후, AP(104f)는 rMSK2에 기반하여 STA(106a)와 통신할 수 있다.
[0087]
이후, STA(106a)는 자신이 더이상 AP(104f)의 범위내에 있지 않도록 이동할 수 있다. 이후, STA(106a)는 EAP-RP를 사용하여 AP(104g)와 인증할 수 있다. 로컬 ER 서버(606b)가 STA(106a)와 연관된 키를 갖지 않기 때문에, 로컬 ER 서버(606b)는 스테이션(106a)에 대한 재-인증 루트 키(rRK2) 또는 도메인 특정 루트 키(DSRK2)를 획득하기 위하여 인증 서버(601)와 통신한다. 이후, 로컬 ER 서버(606b)는 STA(106a)에 대한 재인증 마스터 세션 키(rMSK3)를 유도하고, 이 키를 AP(104g)에 제공하며, AP(104g)는 STA(106a)와 통신할 때 rMSK3 키를 사용한다.
[0088]
이후, STA(106a)는 AP(104h)와 인증한다. 로컬 ER 서버(606b)가 STA(106a)와 연관된 키(즉, rRK2)를 갖기 때문에, 로컬 ER 서버(606b)는 STA(106a)와 AP(104h) 사이에서 사용하기 위하여 인증 서버(601)로부터 수신된 키(DSRK2 또는 rRK2)에 기반하여 새로운 재인증 마스터 세션 키(rMSK4)를 유도한다. 이후, AP(104h)는 STA(106a)와 통신하기 위하여 rMSK4를 사용한다.
[0089]
도 7는 인증 프로세스의 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다. 통신 시스템(700)은 홈 도메인(702) 및 2개의 모빌리티 도메인들(705a-b)을 포함한다. 홈 도메인 내에는 인증 서버(701)가 있다. 모빌리티 도메인들(705a-b) 각각 내에는 로컬 ER 서버(706a-b)가 각각 존재한다. 일부 양상들에서, 로컬 ER 서버들(706a-b)의 둘중 어느 것도 도 2의 무선 디바이스(202)일 수 있다. 각각의 모빌리티 도메인(705a-b)은 또한 2개의 액세스 포인트들, 즉 AP(104i-j) 및 AP(104k-l)를 각각 포함한다.
[0090]
도 6과 관련하여 설명된 인증 방법과 유사하게, 인증 서버(701)는 재인증 루트 키들(rRK1 및 rRK2) 또는 도메인 특정 루트 키들(DSRK1 및 DSRK2)을 각각 로컬 ER 서버들(706a 및 706b)에 제공한다. 키들은 STA(106a)가 로컬 ER 서버들(706a 및 706b) 각각에 연결된 액세스 포인트들(AP들(104i-j) 및 AP들(104k-l))을 통해 인증하는 것에 대한 응답으로 제공될 수 있다.
[0091]
도 7은 STA(106a)와 AP(104i) 간의 인증 메시지 교환(715a)을 도시한다. 일부 양상들에서, 이러한 인증 메시지 교환은 EAP 재인증(EAP-RP) 인증 프로토콜과 같은 제 1 인증 프로토콜을 활용할 수 있다. 일부 양상들에서, 로컬 ER 서버들(706a-b)은 도 7에 도시된 rRK1/RK2 또는 DSRK1/DSRK2와 같이 인증 서버(701)에 의해 제공된 키들에 기반하여 재인증 마스터 세션 키(rMSK)를 생성할 수 있다. 이후, 재인증 마스터 세션 키는 액세스 포인트들(AP(104i-l))에 제공된 PMK들을 생성하기 위하여 사용될 수 있다. 예컨대, 로컬 ER 서버(706a)는 STA(106a)가 인증 메시지 교환(715a)을 통해 AP(104i)와 인증할 때 인증 서버(701)로부터 수신된 재인증 루트 키(rRK1)로부터 제 1 재인증 마스터 세션 키(rMSK1)를 유도할 수 있다. 일부 양상들에서, 로컬 ER 서버(706a)는 재인증 마스터 세션 키(rMSK1)에 기반하여 제 1 PMK를 생성할 수 있다. 일부 양상들에서, 이러한 제 1 PMK는 PMK-R0이다. 이후, 로컬 ER 서버(706a)는 rMSK1에 기반하여 도 7에 도시된 PMK-R1-1와 같은 제 2 PMK를 생성할 수 있다. PMK-R1-1은 또한 일부 양상들에서 PMK-R0에 기반할 수 있다. 일부 양상들에서, PMK-R1의 생성은 AP(104i)의 하나 이상의 특징들, 이를테면 AP(104i)의 매체 액세스 제어 어드레스, 및/또는 STA(106a)의 특징들, 이를테면 STA(106a)의 매체 액세스 제어(MAC) 어드레스에 부가적으로 기반할 수 있다. 로컬 ER 서버(706a)는, STA(106a)로부터 AP(104j)를 통해 인증 메시지 교환(715b)에 대한 응답으로, rMSK1에 또한 기반하여 도 7에서 PMK-R1-2로서 도시된 제 2 PMK를 생성할 수도 있다. 인증 메시지 교환(715b)은 STA(106a)로부터 AP(104j)로의 제 2 인증 프로토콜 재인증 요청을 포함할 수 있다. 일부 양상들에서, 메시지 교환(715a)은 EAP-RP 교환이며, 인증 메시지 교환(715b)은 고속 BSS 트랜지션 인증이다. AP(104j)가 STA(106a)로부터 제 2 인증 프로토콜 재인증 요청을 수신할 때, AP(104j)는 로컬 ER 서버(706a)로부터 키를 요청할 수 있다. 키 요청을 수신하는 것에 대한 응답으로, 로컬 ER 서버(706a)는 제 2 PMK(RMK-R1-2)를 생성할 수 있다. 대안적으로, 로컬 ER 서버(706a)는 EAP-RP 재인증 동안 또는 이 EAP-RP 재인증에 대한 응답으로 AP(104j)에 대한 PMK를 사전에 생성할 수 있다. 일부 실시예들에서, AP(104j)에 대한 PMK-R1는 AP(104j)에 사전에 송신될 수 있으며, 따라서 STA(106a)와의 메시지 교환(715b)이 발생할 때, AP(104j)는 STA(106a)와 함께 사용할 수 있는 PMK-R1을 사전에 가진다.
[0092]
메시지 교환(715c)은 STA(106a)와 AP(104k) 간의 EAP-RP 재인증일 수 있다. EAP-RP 재인증은 STA(106a)와 로컬 ER 서버(706b)가 EAP-RP 프로토콜 메시지들을 교환하도록 AP(104k)를 통해 전달될 수 있다. 인증 메시지 교환(715d)은 제 2 인증 프로토콜, 예컨대 고속 BSS 트랜지션(FT) 인증을 활용할 수 있다. 일부 양상들에서, AP(104l)는 제 2 인증 프로토콜의 부분으로서 인증 요청 메시지를 수신할 때 STA(106a)와 통신하는데 사용하기 위한 키를 요청하는 메시지를 로컬 ER 서버(706b)에 송신할 수 있다.
[0093]
도 8에 도시된 바와같이, 일부 다른 양상들에서, 앞서 설명된 로컬 ER 서버(706a-b)의 일부 기능들은 다수의 디바이스들, 예컨대 로컬 ER 서버(806a-b) 및 키 홀더 디바이스들(807a-b)에 의해 수행될 수 있다. 이들 양상들 중 일부 양상에서, 키 홀더 디바이스들(807a-b)은 앞서 도 2에서 도시된 무선 디바이스(202)일 수 있다.
[0094]
도 8에 도시된 것들과 같은 일부 모빌리티 도메인들에서, 로컬 ER 서버(806a-b) 및 개별 키 홀더 디바이스(807a-b)는 모바일 디바이스(STA(106a))와 같은 모바일 디바이스들의 인증을 수행하기 위하여 사용될 수 있다. 예컨대, 일부 양상들에서, 로컬 ER 서버는 재인증 마스터 세션 키(이를테면, 앞서 논의된 rMSK1 및/또는 rMSK2)를 유도하고 이들 키들을 "R0 키 홀더” 디바이스(807a-b)에 제공할 수 있다. 이후, R0 키 홀더 디바이스들(807a-b)은 재인증 마스터 세션 키에 기반하여 액세스 포인트에 대한 PMK를 생성할 수 있다. 예컨대, 도 8은 PMK-R1-1를 AP(104i)에 제공하는 키 홀더 디바이스(807a)를 도시한다. 키 홀더 디바이스(807a)는 로컬 ER 서버(806a)에 의해 제공된 rMSK1에 기반하여 PMK-R1-1를 유도하였을 수도 있다. 일부 양상들에서, PMK-R0와 같은 중간 PMK는 먼저 재인증 마스터 세션 키(rMSK1 또는 rMSK2)로부터 유도될 수 있으며, 이후 PMK-R1는 PMK-R0로부터 유도된다.
[0095]
도 7의 설명으로 되돌아가면, STA(106a)에 의해 메시지 교환(715a)을 통한 첫번째 인증(도 4)은 AP(104i)에 의해 이루어진다. 이러한 인증은 인증 서버(701)를 사용하여 각각 수행될 수 있으며, 일부 양상들에서는 확장된 인증 프로토콜 재인증 프로토콜(EAP-RP)을 활용할 수 있다. 메시지 교환(715b)을 통해 수행되는 두번째 인증은 반드시 인증 서버(701)에 연락할 필요성 없이 수행될 수 있다. 예컨대, 로컬 ER 서버(706a)(또는 도 8의 키 홀더 디바이스)가 재인증 마스터 세션 키(rMSK1)를 저장하였기 때문에, 인증 서버(701)와 통신하지 않고 AP(104j)에 대한 PMK-R1-2가 생성될 수 있다.
[0096]
STA(106a)가 메시지 교환(715c)을 통해 AP(104k)와 인증할 때, EAP 재인증(EAP-RP)은 인증 서버(701)로 수행될 수 있다. STA(106a)는 AP(104k)가 AP(104j)와 상이한 모빌리티 도메인에 있다고 결정하는 것에 적어도 부분적으로 기반하여 EAP-RP를 수행할 것을 결정할 수 있다. 이러한 정보는 AP(104j) 및 AP(104k)에 의해 송신된 비콘 신호들을 통해 제공될 수 있다. STA(106a)는 또한 자신의 인증 서버(701)가 AP(104k)에 의해 송신된 비콘 신호들을 통해 AP(104k)에 액세스할 수 있음을 결정할 수 있다. 메시지 교환(715c)을 통해 이루어지는 EAP 재인증은 인증 서버(701)로 하여금 재인증 루트 키(rRK2)를 로컬 ER 서버(706b)에 제공하게 할 수 있다. 로컬 ER 서버(706b)는 재인증 루트 키(rRK2)로부터 재인증 마스터 세션 키(rMSK2)를 유도한다. 이후, PMK-R1-3는 rMSK2에 기반하여 (일부 양상들에서는, PMK-R0와 같은 중간 페어방식 마스터 키를 통해) 유도된다. 이후, PMK-R1-3는 AP(104k)와 STA(106a)간의 통신을 위해 사용된다.
[0097]
STA(106a)가 인증 메시지 교환(715d)을 통해 AP(104l)와 인증할 때, 로컬 ER 서버(706b)(또는 도 8의 키 홀더 디바이스(807b))는 STA(106a)와 AP(104l) 간의 통신에 사용하기 위한 키를 요청하는 키 요청 메시지를 AP(104l)로부터 수신할 수 있다. 로컬 ER 서버(706b)가 rMSK2를 저장하였기 때문에, 로컬 ER 서버(706b)는 AP(104l)와 STA(106a)간의 통신에 사용하기 위한 PMK-R1-4를 유도하고, PMK-R1-4를 포함하는 키 응답 메시지를 AP(104l)에 송신할 수 있다.
[0098]
도 8에서, 메시지 교환(815a)은 도 3과 관련하여 앞서 논의된 바와같이 확장가능 인증 프로토콜 재인증 프로토콜(EAP-RP) 인증을 수행할 수 있다. 일부 양상들에서, 메시지 교환(815b)은 도 4와 관련하여 앞서 논의된 바와같이 고속 기본 서비스 세트 트랜지션(FT) 인증을 수행할 수 있다. 유사하게, 메시지 교환(815c)은 EAP-RP 인증을 수행할 수 있는 반면에, 메시지 교환(815d)은 FT 인증을 수행한다.
[0099]
도 7과 관련하여 논의된 메시징과 유사하게, AP(104j) 및/또는 AP(104l)가 STA(106a)와 고속 기본 서비스 세트 트랜지션 인증을 수행하는 것에 대한 응답으로, AP들(104j 및/또는 AP 104l)은 R0 키 홀더 디바이스들(807a 및/또는 807b)에 각각 키 요청 메시지들을 송신할 수 있다. AP(104j) 및/또는 AP(104l)는 키 요청 메시지들에 대한 응답으로 PMK-R1-2 및/또는 PMK-R1-4를 생성하고, 키 응답 메시지를 통해 PMK들을 AP들에 송신할 수 있다. 대안적으로, R0 키 홀더 디바이스들(807a-b)은 재인증 마스터 세션 키가 로컬 ER 서버들(806a-b)로부터 각각 수신될 때 PMK-R1들을 AP들에 사전에 송신할 수 있다.
[00100]
도 8에 도시된 인증 방법(800)의 경우에는 ER 서버들(806a-b)과 같은 단일 로컬 ER 서버가 다수의 모빌리티 도메인들(즉, 키 홀더 디바이스들(807a-b)과 같은 다수의 키 홀더 디바이스들)을 지원할 수 있다.
[00101]
도 9는 인증 프로세스의 또 다른 실시예에서 무선 네트워크 컴포넌트들 간의 메시지 흐름들을 예시한다. 인증 방법(900)에서는 모빌리티 도메인들(905a-b)내에 로컬 ER 서버들이 존재하지 않는다. 따라서, 인증 서버(701 및 801)가 재인증 루트 키들(rRK1 및 rRK2)을 각각 로컬 ER 서버들(806a-b)에 제공하였던 경우로 도 7 또는 도 8에서 예로 도시한 바와같이, 인증 서버(901)가 재인증 루트 키를 로컬 ER 서버들에 제공하는 것 대신에, 인증 서버(901)는 재인증 마스터 세션 키(rMSK1 및 rMSK2)를 각각 키 홀더 디바이스들(907a-b)에 제공한다. 일부 양상들에서, 키 홀더 디바이스들(907a-b)은 도 2에 도시된 무선 디바이스(202)일 수 있다. 이후, 키 홀더 디바이스들(907a-b)은 도 8과 관련하여 앞서 설명된 키 홀더 디바이스들(807a-b)과 유사하게 동작할 수 있다. 예컨대, 메시지 교환들(915a 및 915c) 각각은 EAP-RP 인증을 수행할 수 있는 반면에, 메시지 교환들(915b 및 915d)은 고속 기본 서비스 세트 트랜지션(FT) 인증을 수행한다.
[00102]
도 9에서, 메시지 교환(915a)은 도 3과 관련하여 앞서 논의된 바와같이 확장가능 인증 프로토콜 재인증 프로토콜(EAP-RP) 인증을 수행할 수 있다. 일부 양상들에서, 메시지 교환(915b)은 도 4와 관련하여 앞서 논의된 바와같이 고속 기본 서비스 세트 트랜지션(FT) 인증을 수행할 수 있다. 유사하게, 메시지 교환(915c)은 EAP-RP 인증을 수행할 수 있는 반면에, 메시지 교환(915d)은 FT 인증을 수행한다.
[00103]
도 10은 STA(106a), 2개의 액세스 포인트들(AP(104o-p)), 키 홀더 디바이스, 이 경우에는 무선 LAN 제어기(1007), 및 로컬 ER 서버, 이를테면 도 7의 로컬 ER 서버(706a 또는 706b) 또는 인증 서버, 이를테면 인증 서버들(801 또는 901) 중 어느 하나 사이의 메시지 시퀀스 다이어그램이다. 일부 양상들에서, 키 홀더 디바이스(1007)는 도 2의 무선 디바이스(202) 및/또는 도 8의 키 홀더 디바이스(807a-b)일 수 있다.
[00104]
메시지 시퀀스(1000)가 발생하기 전에, STA(106a)는 자신의 홈 인증 서버를 사용하여 제 1 모빌리티 도메인내에서 전체 EAP 인증을 수행하였을 수 도 있다. AP(104o)는 제 1 모빌리티 도메인과 상이한 제 2 모빌리티 도메인내에 있을 수 있다. 일부 양상들에서, STA(106a)는 AP(104o)에 의해 송신된 비콘 신호들을 통해 AP(104o)가 제 2 모빌리티 도메인내에 있음을 결정할 수 있다. STA(106a)는 또한 자신의 홈 인증 서버가 AP(104o)를 통해 액세스할 수 있음을 결정할 수 있다. 이후, STA(106a)는 자신의 홈 인증 서버를 표시하는 EAP 재인증 요청(1002a)을 AP(104o)에 송신한다. EAP 재인증 요청(1002)은 메시지(1002b)로서 AP(104o)에 의해 무선 LAN 제어기(WLC)(1007)에 포워드될 수 있다. WLC(1007)는 EAP 재인증 요청에 의해 표시된 로컬 ER 서버 또는 홈 도메인 인증 서버에 EAP 재인증 요청 메시지를 메시지(1002c)로서 송신할 수 있다.
[00105]
이에 대한 응답으로, 로컬 ER 서버 또는 홈 도메인 인증 서버는 STA(106a)에 대한 재인증 마스터 세션 키(rMSK)("rMSK"로서 도시됨)를 생성하고 재인증 응답(1004a)을 WLC(1007)에 송신한다. WLC(1007)는 재인증 마스터 세션 키(rRK)를 저장할 수 있다. 이후, WLC(1007)는 재인증 마스터 세션 키(rMSK)에 기반하여 페어방식 마스터 키를 생성한다. WLC(1007)는 또한 제 1 페어방식 마스터 키에 기반하여 제 2 페어방식 마스터 키를 생성할 수 있다. 일부 양상들에서, 제 1 페어방식 마스터 키는 PMK-R0인 반면에, 제 2 페어방식 마스터 키는 PMK-R1이다. 이후, WLC(607a)는 EAP 재인증 응답 메시지(1004b)를 AP(104o)에 송신한다. 메시지(1004b)는 로컬 ER 서버 또는 홈 도메인 인증 서버로부터 수신된 재인증 마스터 세션 키에 기반하는 PMK-R1와 같은 PMK를 포함할 수 있다. 이후, AP(1040)는 재인증을 메시지(1004c)로서 STA(106a)에 포워드한다.
[00106]
다음에, STA(106a)는 고속 기본 서비스 세트 트랜지션(FT) 인증 메시지를 AP(104p)에 송신한다. 이에 대한 응답으로, AP(104p)는 키 요청 메시지(1008)를 통해 WLC(1007)로부터 키를 요청한다. 이후, WLC(1007)는 STA(106a)와 통신하기 위하여 AP(104p)에 의해 사용하기 위한 제 2 PMK를 생성한다. 이러한 PMK는 STA(106a) 및/또는 AP(104p)의 하나 이상의 특성들에 기반하여 생성될 수 있다. 이러한 PMK, 즉 "PMK-R1-2"는 키 응답 메시지(1010)에서 AP(104p)로 송신된다.
[00107]
AP(104p)는 WLC(1007)로부터 PMK-R1-2를 수신한 이후에 메시지(1012)를 통해 STA(106a)와의 FT 인증을 완료할 수 있다.
[00108]
일부 다른 양상들에서, "PMK-R1-2"는 키 요청 메시지(1008)의 수신 전에 WLC(1007)에 의해 사전에 생성될 수 있다. 예컨대, PMK-R1-2는 STA(106a)와의 EAP-RP 교환(1002/1004) 동안 생성될 수 있다. 일부 양상들에서, PMK-R1-2는 FT 인증 메시지(1006)가 STA(106a)에 의해 송신되기 전에 조차 WLC(1007)에 의해 액세스 포인트에 송신될 수 있다.
[00109]
도 11은 도면 8-10에 도시된 인증 방법과 같은 인증 방법에서의 키 계층을 도시한다. 도 11은 루트 키(root key)(1102)를 도시한다. 마스터 세션 키(MSK)(1104)는 루트 키(1102)로부터 유도될 수 있다. 하나 이상의 유도된 마스터 세션 키(MSK)들(1106)은 마스터 세션 키(1104)로부터 유도될 수 있다. 페어방식 마스터 키(PMK)(1108)는 유도된 마스터 세션 키(1106)로부터 유도될 수 있다.
[00110]
확장된 마스터 세션 키(EMSK)(1110)는 루트 키(1102)로부터 유도될 수 있다. 일부 양상들에서, EMSK는 적어도 64비트일 수 있으며, RFC 3748에 따라 STA와 인증 서버 간의 상호 인증의 결과로써 유도될 수 있다. 일부 양상들에서, EMSK는 RFC 5247에 따라 확장가능 인증 프로토콜 세션 식별자 및 2진 또는 텍스트 표시를 사용하여 명명될 수 있다. 세션 식별자는 (RFC 5217 부록에 따라) 확장가능 인증 프로토콜(EAP) 방법에 기반하여 정의될 수 있다. EAP-TLS (RFC 5216)에 대해:
여기서, client.random 및 server.random은 인증 동안 서버(AS)와 클라이언트(STA) 사이에서 교환되는 난수이며(각각이 32B이며), TLS-PRF-X는 X 옥텟(즉, 8X 비트) 값을 출력하며, RFC4346에서 정의된다.
[00111]
하나 이상의 도메인 특정 루트 키(DSRK)들(1112)은 EMSK(1110)로부터 유도될 수 있다. 재인증 루트 키(1114)는 도메인 특정 루트 키들(1112) 중 하나로부터 유도될 수 있다. 일부 양상들에서, 재인증 루트 키(1114)의 유도는 RFC 6696의 단락 4.1에 특정되어 있다. 예컨대, 재인증 루트 키(1114)는 rRK = KDF(K,S)에 의해 정의될 수 있으며, 여기서,
rRK Label은 IANA-할당된 8-비트 ASCII 스트링, 즉 RFC 5295에 명시된 정책에 따라 "USRK 키 라벨들" 이름 공간으로부터 할당된 
이다.
키 유도 함수(KDF) 및 KDF에 대한 알고리즘 민첩성(algorithm agility)은 RFC 5295에서 정의한 바와같다.
[00112]
재인증 무결성 키(1115)(rIK)는 재인증 루트 키(1114)로부터 유도될 수 있다. 일부 양상들에서, 재인증 무결성 키(1115)는 RFC 6696에서 정의된 바와같이 유도될 수 있다. 예컨대, rIK는 
와 같이 유도될 수 있으며, 여기서,
[00113]
rIK Label은 8-bit ASCII 스트링, 즉
이다. length 필드는 rIK의 길이(옥텟)를 지칭하며, RFC 5295에서 특정된 바와같이 인코딩된다.
[00114]
하나 이상의 재인증 마스터 세션 키(rMSK)들(1116)은 재인증 루트 키(1114)로부터 유도될 수 있다. 일부 양상들에서, rMSK(1116)는 RFC 6696에 따라 유도될 수 있다. 예컨대, rMSK는
와 같이 유도될 수 있으며, 여기서,
rMSK Label은 8-bit ASCII 스트링, 즉 
이며,
length 필드는 rMSK의 길이(옥텟)를 지칭하며, RFC 5295에서 특정된 바와같이 인코딩된다.
[00115]
도 8-10과 관련하여 앞서 논의한 바와같이, 하나 이상의 페어방식 마스터 키(PMK)들(1118)은 재인증 마스터 세션 키(1116)로부터 유도될 수 있다. 도 11에 도시된 바와같이, 재인증 마스터 세션 키(1116)로부터 유도된 페어방식 마스터 키들은 PMK-R0 페어방식 마스터 키들이다. 하나 이상의 제 2 레벨 페어방식 마스터 키들(1120)은 단일 PMK(1118)로부터 유도될 수 있다. 도 11에 도시된 바와같이, 페어방식 마스터 키들(1120)은 PMK-R1 페어방식 마스터 키들이다. 앞서 논의된 키 유도들 중 임의의 유도에서, HMAC-SHA-256는 디폴트 키 유도 함수(KDF)로서 사용될 수 있다.
[00116]
도 12는 무선 디바이스를 인증하는 방법의 흐름도이다. 일부 양상들에서, 프로세스(1200)는 도 7-10과 관련하여 앞서 설명된 무선 LAN 제어기들 및/또는 도 2의 무선 디바이스(202)에 의해 수행될 수 있다. 일부 양상들에서, 프로세스(1200)는 802.11 고속 트랜지션 키 홀더 아키텍처에서 정의된 바와같이 R0 키 홀더 디바이스에 의해 수행된다.
[00117]
일부 양상들에서, 도 12는 2개의 상이한 인증 프로토콜들 간의 상호 운용성을 제공할 수 있다. 예컨대, 제 1 인증 프로토콜은 제 2 인증 프로토콜에 비해 몇몇의 장점들을 제공할 수 있다. 제 2 인증 프로토콜은 무선 네트워크내에 광범위하게 전개될 수 있다. 네트워크 전반에 걸쳐 제 1 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들수 있으며, 제 1 인증 프로토콜이 전부 활용될 수 있도록 전개가 완료될 수 있기 전에 상당한 시간 기간을 필요로 할 수 있다. 제 2 인증 프로토콜이 제 1 인증 프로토콜에 비하여 몇몇의 장점들을 제공할 수 있는 반면에, 무선 네트워크 전반에 걸쳐 제 2 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들 수 있으며, 미래의 상당한 시간 기간 동안 완성되지 못할 수 있다. 이하에서 설명된 프로세스(1200)는 일부 구현들이 장점들을 강화하는 것을 가능하게 할 수 있다.
[00118]
블록(1205)에서, 모바일 디바이스에 대한 제 1 인증 프로토콜 재인증 응답이 수신된다. 일부 양상들에서, 재인증 응답은 로컬 ER 서버 또는 인증 서버로부터 수신된다. 일부 양상들에서, 제 1 인증 프로토콜은 확장가능 인증 프로토콜 재인증 프로토콜(EAP-RP)이다. 재인증 응답은 재인증 마스터 세션 키를 포함한다. 재인증 마스터 세션 키는 재인증 응답으로부터 디코딩될 수 있다. 재인증 마스터 세션 키는 재인증 루트 키로부터 유도될 수 있다. 예컨대, 도 11에 도시된 바와같이, rMSK(1116)는 rRK(1114)로부터 유도될 수 있다.
[00119]
일부 양상들에서, ER 서버 또는 인증 서버로부터 블록(1105)에서 수신된 재인증 응답은 디바이스에 의해 로컬 ER 또는 인증 서버에 송신된 제 1 인증 프로토콜 재인증 요청에 대한 응답이다. 디바이스는 제 1 액세스 포인트로부터 모바일 디바이스에 대한 재인증 요청을 수신할 수 있다. 이후, 디바이스는 제 1 액세스 포인트로부터 수신된 재인증 요청을 요청에 의해 표시된 로컬 ER 서버 또는 홈 인증 서버에 중계할 수 있다.
[00120]
일부 양상들에서, 디바이스는 재인증 응답에 포함된 재인증 마스터 세션 키에 기반하여 제 1 PMK를 생성한다. 일부 양상들에서, 이러한 제 1 PMK는 PMK-R0이다. 이후, 제 2 PMK는 제 1 PMK에 기반하여 생성될 수 있다. 일부 양상들에서, 이러한 제 2 PMK는 고속 트랜지션 키홀더 아키텍처의 PMK-R1이다. 일부 양상들에서, 제 2 PMK는 모바일 디바이스 및/또는 제 1 액세스 포인트의 하나 이상의 특징들에 기반하여 생성된다. 일부 양상들에서, 블록(1205)은 무선 디바이스(202)의 수신기(212)에 의해 수행될 수 있다.
[00121]
블록(1210)에서, 제 1 인증 프로토콜 재인증 응답은 제 1 액세스 포인트에 송신된다. 제 1 인증 프로토콜 재인증 응답은 재인증 마스터 세션 키에 기반한다. 일부 양상들에서, 제 1 인증 프로토콜 재인증 응답은 재인증 마스터 세션 키에 기반하는데, 왜냐하면 제 1 인증 프로토콜 재인증 응답은 재인증 마스터 세션 키로부터 유도되는 PMK-R0와 같은 다른 PMK로부터 유도되는 PMK, 이를테면 앞서 논의된 PMK-R1를 포함하기 때문이다. 일부 양상들에서, 블록(1210)은 무선 디바이스(202)의 송신기(210)에 의해 수행될 수 있다.
[00122]
일부 양상들에서, 제 2 액세스 포인트와 모바일 디바이스 간의 통신을 위한 키 요청 메시지는 제 2 액세스 포인트로부터 수신된다. 이들 양상들 중 일부 양상에서, 키 요청 메시지는 제 2 액세스 포인트가 모바일 디바이스에 대한 제 2 인증 프로토콜 인증 요청을 수신하는 것에 대한 응답으로 수신된다. 일부 양상들에서, 제 2 인증 프로토콜 요청은 고속 기본 서비스 세트(BSS) 트랜지션(FT) 인증 요청이다. 일부 양상들에서, 제 2 인증 프로토콜은 개방 시스템 인증 알고리즘을 사용하는 802.11 인증이다. 일부 다른 양상들에서, 제 2 인증 프로토콜 인증은 SAE(simultaneous authentication of equals)를 사용하는 802.11 인증이다.
[00123]
블록(1220)에서는 PMK가 생성된다. 블록(1220)에서 생성된 PMK는 블록(1205)에서 ER(또는 인증) 서버로부터 수신된 제 1 인증 프로토콜 인증 응답으로부터 디코딩된 재인증 마스터 세션 키에 기반할 수 있다. 일부 양상들에서, PMK는 모바일 디바이스 및/또는 제 2 액세스 포인트의 하나 이상의 특성들에 기반하여 생성된다. 예컨대, 앞서 논의된 바와같이, PMK-R0는 재인증 마스터 세션 키에 기반하여 생성될 수 있다. 블록(1220)에서 생성된 PMK는 (재인증 마스터 세션 키에 기반하는) 앞서 논의된 PMK-R0에 기반할 수 있다. 일부 양상들에서, 블록(1220)에서 생성된 PMK는 PMK-R1일 수 있다. 블록(1205-1210)과 관련하여 앞서 논의된 PMK들에 대하여, 도 12가 블록(1220)에서 생성된 PMK를 제 1 PMK로서 언급하는 반면에, PMK는 제 3 PMK일 수 있다. 일부 양상들에서, 앞서 논의된 PMK들은 IEEE 802.11r 프로토콜 표준에 따라 생성될 수 있다. 일부 양상들에서, 블록(1220)은 무선 디바이스(202)의 프로세서(204)에 의해 수행될 수 있다.
[00124]
블록(1225)에서, 키 메시지는 블록(1220)에서 생성된 PMK를 포함하도록 생성된다. 일부 양상들에서, 블록(1225)은 무선 디바이스(202)의 프로세서(204)에 의해 수행될 수 있다.
[00125]
블록(1230)에서, 키 메시지는 제 2 액세스 포인트에 송신된다. 블록(1225)에서 생성된 PMK는 모바일 디바이스와 제 2 액세스 포인트간의 통신을 위해 사용된다. 예컨대, PMK는 제 2 액세스 포인트와 모바일 디바이스 사이에서 송신되는 데이터를 암호화하기 위하여 사용될 수 있다.
[00126]
제 2 액세스 포인트에 대한 PMK를 포함하는 키 메시지를 수신하는 것에 대한 응답으로, 제 2 액세스 포인트는 제 2 인증 프로토콜을 완료할 수 있다. 일부 양상들에서, 제 2 인증 프로토콜을 완료하는 것은 고속 기본 서비스 세트(BSS) 트랜지션(FT) 인증 응답을 송신하는 것을 포함한다. 일부 양상들에서, 제 2 인증 프로토콜은 개방 시스템 인증 알고리즘 또는 SAE를 사용한 802.11 인증 응답이다. 일부 양상들에서, 블록(1230)은 무선 디바이스(202)의 송신기(210)에 의해 수행될 수 있다.
[00127]
도 13은 공유 키 인증의 메시지 흐름도이다. 메시지 흐름(1300)은 STA(106)에 의해 무선 LAN 제어기(1305)(WLC)에 송신되는 공유 키 인증 요청(1302a-b)을 도시한다. 공유 키 인증 요청(1302a-b)은 앞서 논의된 IEEE 802.11ai에 의해 정의된 인증 요청일 수 있다. 일부 양상들에서, 인증 요청(1302)은 AP(104)에 1302a로서 송신된후 1302b로서 WLC(1305)에 중계될 수 있다. PFS(perfect forward secrecy)를 사용하여 공유 키 인증을 수행하는 메시지 흐름(1300)의 실시예들에서, STA(106) 및 무선 LAN 제어기(WLC)(1305)는 디피 헬만 키 교환을 수행할 수 있다. 이러한 교환은, 부분적으로 STA(106)에 대한 임시 공개 키를 인증 요청(1302a-b)에 포함시킴으로써, 가능하게 될 수 있다. 인증 요청(1302a-b)을 수신한 결과로써, WLC(1305)는 인증 요청(1306)을 인증 서버(1350)에 송신한다.
[00128]
공유 키 인증 응답(1308)은 재인증 마스터 세션 키(rMSK)를 WLC(1305)에 제공한다. 제 1 페어방식 마스터 키는 또한 재인증 마스터 세션 키에 기반하여 생성될 수 있다. 일부 양상들에서, 제 1 페어방식 마스터 키는 또한 공유 시크릿에 기반하여 생성될 수 있다. 일부 양상들에서, 제 1 페어방식 마스터 키는 앞서 설명된 것을 제외하고 IEEE 802.11 PMK-R0에 따라 생성된다.
[00129]
이후, 인증 응답(1310b)은 WLC(1305)에 의해 STA(106)에 송신된다(가능한 경우에는, 인증 응답(1310b)이 1310a로서 먼저 AP(104)에 송신되고, 이후 AP(104)는 메시지를 1310b로서 STA(106)에 중계한다). PFS(private forward secrecy)를 활용하는 양상들에서, 인증 응답(1310a-b)은 WLC(1305)의 임시 공개 키를 포함할 수 있다. WLC(1305) 및 STA(106) 둘다가 지금 각각 다른 임시 공개 키들을 가지기 때문에, WLC(1305) 및 STA(106)은 그들 간의 통신을 위한 공유 키로서 사용할 공유 시크릿을 각각 유도할 수 있다.
[00130]
이후, STA(106)는 연관 요청 메시지(1312)를 생성한다. 일부 양상들에서, 연관 요청 메시지(1312)는 IEEE 802.11 연관 요청일 수 있다. 연관 요청 메시지(1312)는 연관 요청을 수신한 액세스 포인트로 하여금 연관을 요청한 스테이션의 라디오에 자원들을 할당하고 이 스테이션의 라디오와 동기화하는 것을 가능하게 할 수 있다.
[00131]
연관 요청 메시지(1312)를 수신하는 것에 대한 응답으로, 액세스 포인트는 자신이 요청한 스테이션(STA(106))과 연관될 수 있는지의 여부를 결정하고 만일 연관될 수 있다면 STA(106)에 대한 연관 식별자를 결정할 수 있다.
[00132]
일부 양상들에서, STA(106)와 AP(104) 사이에서 사용하기 위한 PMK는 AP(104)가 연관 요청 메시지(1312)를 수신하는 것에 대한 응답으로 WLC(1305)로부터 "요청" 또는 "풀링(pulling)"될 수 있다. 이들 양상들에서, AP가 연관 요청 메시지(1312)를 수신할 때, AP(104)는 키 요청 메시지를 생성하여 WLC(1305)에 송신하며, 이 키 요청 메시지는 STA(106)와의 통신에 사용하기 위한 키를 요청한다. 키 요청 메시지(1314)를 수신할 때, WLC(1305)는 제 2 PMK를 메시지(1316)에서 AP에 송신할 수 있다. 제 2 PMK는 제 1 페어방식 마스터 키로부터 유도될 수 있으며, 또한 AP(104)의 MAC 어드레스 또는 능력들과 같은, AP(104)의 하나 이상의 특징들에 기반하여 유도될 수 있다. 제 2 PMK는 STA(106)와 AP(104)간의 보안 연관 및/또는 통신에 사용하기 위하여 생성될 수 있다. 일부 양상들에서, 앞서 설명된 것을 제외하고, 제 2 PMK는 IEEE 802.11 PMK-R1 절차들에 따라 유도되며, 제 1 PMK는 IEEE 802.11 PMK-R0 절차들에 따라 유도된다.
[00133]
AP(104)가 제 2 PMK를 수신할 때, AP(104)는 연관 응답 메시지(1318)로 STA(106)에 응답할 수 있다. 연관 응답 메시지(1318)는 메시지(1316)에서 수신된 제 2 PMK로부터 유도된 데이터를 포함할 수 있다. 이후, AP는 STA(106)와의 보안 통신을 위해 (예컨대, PMK-R1로서) 제 2 PMK를 활용할 수 있다.
[00134]
일부 다른 양상들(도시안됨)에서, 제 2 PMK는 제 1 PMK가 생성될 때 WLC(1305)에 의해 AP(104)에 비동기적으로 "푸싱(pushing)"될 수 있다. 예컨대, 일부 양상들에서, WLC(1305)는, 특정 스테이션에 대한 제 1 PMK를 생성할 때, 그 스테이션에 대한 제 2 PMK들을, 그 스테이션이 통신중인 각각의 액세스 포인트에 푸싱할 수 있다. 각각의 액세스 포인트는 특정 스테이션에 대한 그 자신의 개개의 제 2 PMK를 가질 것이다. 이들 양상들에서는 연관 요청 메시지(1312)가 AP(104)에 의해 수신될 때 키 요청 메시지(1314)가 WLC(1305)에 송신될 수 없다. 대신에, 연관 요청 메시지(1312)를 수신할 때, AP(104)는 자신이 STA(106)를 위하여 저장된 제 2 PMK(이를테면, PMK-R1)를 가지는지를 결정하기 위하여 WLC(1305)로부터 수신된 제 2 PMK들의 내부 저장을 고려할 수 있다. 만일 AP(104)가 적절한 제 2 PMK를 식별하면, AP(104)는 저장된 제 2 PMK를 기반하여 STA(106a)와의 연관 프로세스를 완료할 수 있다.
[00135]
일부 양상들에서, 제 2 PMK는 인증 응답 메시지(1310a)의 부분으로서 AP(104)에 제공될 수 있다. 이들 양상들에서는 메시지들(1314 및 1316)이 필요 없을 수도 있다.
[00136]
도 14은 공개 키 인증의 메시지 흐름도이다. STA(106)는 공개 키 인증 요청 메시지(1402)를 무선 LAN 제어기(WLC)(1405)에 송신한다. 일부 양상들에서, 공개 키 인증 요청 메시지(1402)는 AP(104)를 통해 WLC(1405)에 중계될 수 있다. 공개 키 인증 요청 메시지(1402)는 STA(106)의 임시 공개 키를 포함한다. 공개 키 인증 요청 메시지(1402)를 수신할 때, WLC(1405)는 자기 자신의 임시 공개 키를 생성한다. 일부 양상들에서, 임시 공개 키는 WLC(1405)가 공개 키 인증 요청 메시지(1402)를 수신하기 전에 사전에 생성될 수 있다. 이후, WLC(1405)는 AP(104)에 의해 중계되는 일부 양상들에서 공개 키 인증 응답 메시지(1404)를 STA(106)에 송신한다. 공개 키 인증 응답 메시지(1404)는 WLC(1405)의 임시 공개 키를 포함한다. 메시지 교환(1402 & 1404) 이후에, STA(106) 및 WLC(1405) 둘다는 각각의 다른 임시 공개 키들을 가진다. 이후, STA(106) 및 WLC(1405) 각각은 2개의 공개 키들에 기반하여 공통 공유 시크릿을 유도할 수 있다. 일단 공유 시크릿이 유도되면, WLC(1405)는 STA(106) 및 무선 LAN 제어기(WLC)(1405)를 수반하는 통신들에서 사용하기 위한 제 1 페어방식 마스터 키(예컨대, 일부 양상들에서는 PMK-R0)를 공유 시크릿에 기반하여 유도할 수 있다. WLC(1405)는 또한 제 1 페어방식 마스터 키에 기반하여 STA(106)와의 보안 연관 및/또는 통신들에서 AP(104)가 사용하기 위한 제 2 페어방식 마스터 키(일부 양상들에서는 PMK-R1)를 생성할 수 있다. 제 2 페어방식 마스터 키는 또한 AP(104)의 하나 이상의 특징들, 이를테면 AP(104)의 매체 액세스 제어(MAC) 어드레스 또는 AP(104)의 하나 이상의 능력들에 기반하여 WLC(1405)에 의해 생성될 수 있다.
[00137]
도 13의 메시지 흐름(1300)과 대조적으로, 메시지 흐름(1400)은 WLC(1405)로부터 AP(104)로의 제 2 PMK 분배의 "푸시(push)" 모델을 도시한다. 도 13은 STA(106)와의 보안 연관 및/또는 보안 통신에 사용하기 위한 PMK를 요청하는 키 요청 메시지(1314)가 AP(104)로부터 WLC로 송신되는 것을 도시한 반면에, 도 14에서는 제 1 PMK로부터 유도되는 제 2 PMK가 제 1 PMK의 생성시에 WLC(1405)에 의해 AP(104)에 비동기적으로 송신될 수 있다. 이는 제 1 PMK에 기반하여 WLC(1405)에 의해 유도되는 제 2 PMK를 포함하는 메시지(1408)에 의해 도시된다. WLC(1405)는 또한 AP(104)의 하나 이상의 특징들, 이를테면 AP(104)의 매체 액세스 제어(MAC) 어드레스 또는 능력들에 기반하여 제 2 PMK를 유도할 수 있다. 메시지(1408)를 통해 제 2 PMK를 수신할 때, AP(104)는 STA(106)와 제 2 PMK를 연관시키는 정보와 함께 안정적인 저장소에 제 2 PMK를 저장할 수 있다. 일부 양상들에서, 제 2 PMK는 메시지(1404)에 포함될 수 있다. 이러한 경우에, 메시지(1408)는 불필요할 수 있다.
[00138]
제 2 PMK가 AP(104)에 비동기적으로 송신되는 것을 도 14가 도시하기 때문에, STA(106)는 제 2 PMK가 WLC(1405)로부터 메시지(1408)를 통해 수신된 이후에 연관 요청 메시지(1410)를 AP(104)에 송신할 수 있다. 연관 요청 메시지(1410)가 수신될 때, AP(104)는 STA(106)와의 보안 연관 및/또는 통신들에서 사용하기에 적절한 PMK가 이용가능한지의 여부를 식별하기 위하여 앞서 논의된 자신의 안정적인 저장소를 찾아볼 수 있다. AP(104)가 자신의 안정적인 저장소에서 메시지(1408)에서 원래 수신된 제 2 PMK를 발견할 때, AP(104)는 제 2 PMK에 기반하여 연관 응답 메시지(1412)를 STA(106)에 송신할 수 있다. 이후, AP(104)는 제 2 PMK를 통해 STA(106)와 보안적으로 연관하고 그리고/또는 통신할 수 있다.
[00139]
다른 양상들에서, AP(104)로의 제 2 PMK 분배의 "풀(pull)" 모델은 공개 키 인증과 함께 사용될 수 있다. 예컨대, 일부 양상들에서, 메시지 흐름(1400)은 메시지들(1312, 1314, 1316, 및 1318)의 교환과 관련하여 도 13에 도시된 바와같이 PMK 분배의 풀 모드를 활용할 수 있다.
[00140]
도 15는 제 1 디바이스를 인증하는 방법의 흐름도이다. 일부 양상들에서, 프로세스(1500)는 도 13 및 도 14와 관련하여 앞서 설명된 무선 LAN 제어기(WLC) 디바이스들 및/또는 도 2의 무선 디바이스(202) 중 임의의 디바이스에 의해 수행될 수 있다. 예컨대, 일부 양상들에서, 메모리(206)는 도 15와 관련하여 이하에서 설명되는 기능들 중 하나 이상의 기능을 수행하도록 프로세서(204)를 구성하는 명령들을 저장할 수 있다. 일부 양상들에서, 프로세스(1500)는 IEEE 802.11 고속 트랜지션 키 홀더 아키텍처에서 정의된 바와같이 R0 키 홀더 디바이스에 의해 수행된다. 일부 양상들에서, 제 1, 제 2 및 제 3 디바이스들 중 하나 이상은 무선 디바이스들이거나 또는 아닐수도 있다.
[00141]
일부 양상들에서, 프로세스(1500)는 프로세스(1200)와 통합될 수 있다. 예컨대, 프로세스(1500)는 블록(1220)의 부분으로서 포함될 수 있다. 예컨대, 프로세스(1500)와 관련하여 이하에서 논의되는 제 2 페어방식 마스터 키는 프로세스(1200)와 관련하여 앞서 논의된 제 1 페어방식 마스터 키와 동등할 수 있다.
[00142]
일부 양상들에서, 도 15는 2개 또는 심지어 3개의 상이한 인증 프로토콜들 간의 상호 운용성을 제공할 수 있다. 예컨대, 제 1 인증 프로토콜은 제 2 인증 프로토콜에 비해 몇몇의 장점들을 제공할 수 있다. 제 2 인증 프로토콜은 무선 네트워크내에 광범위하게 전개될 수 있다. 네트워크 전반에 걸쳐 제 1 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들수 있으며, 제 1 인증 프로토콜이 전부 활용될 수 있도록 전개가 완료될 수 있기 전에 상당한 시간 기간을 필요로 할 수 있다.
[00143]
제 1 인증 프로토콜이 제 2 인증 프로토콜에 비하여 몇몇의 장점들을 제공할 수 있는 반면에, 무선 네트워크 전반에 걸쳐 제 1 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들 수 있으며, 미래의 상당한 시간 기간 동안 완성되지 못할 수 있다. 이하에서 설명되는 프로세스(1500)는 일부 구현들이 제 1 인증 프로토콜의 전체 구현에 필요한 컴포넌트들 모두를 전개하지 않고 대신에 제 2 인증 프로토콜의 사전에 전개된 컴포넌트들에 의존하여 제 1 인증 프로토콜의 장점들을 강화하는 것을 가능하게 할 수 있다.
[00144]
블록(1505)에서는 공유 키가 결정된다. 키는 제 1 디바이스와 공유된다. 일부 양상들에서, 공유 키는 마스터 세션 키이며, 제 1 디바이스와 제 2 디바이스 간의 확장가능 인증 프로토콜(EAP) 교환을 통해 결정될 수 있다. 일부 양상들에서는 프로세스(1500)가 제 2 디바이스에 의해 수행된다. 일부 양상들에서, 마스터 세션 키를 결정하는 확장가능 인증 프로토콜 교환은 PFS(perfect forward secrecy)를 활용하지 않는 공유 키 인증이다. 일부 양상들에서, 마스터 세션 키는 도 3에 도시된 바와같이 EAP 인증 프로토콜의 부분으로서 인증 서버로부터 수신될 수 있다.
[00145]
일부 양상들에서, 공유 키는 확장가능 인증 프로토콜 재인증 프로토콜을 수행함으로써 결정되는 재인증 마스터 세션 키이다. 일부 양상들에서, 재인증 마스터 세션 키를 결정하는 확장가능 인증 프로토콜 재인증 프로토콜 교환은 PFS(perfect forward secrecy)를 활용하지 않는 공유 키 인증이다. 일부 양상들에서, 재인증 마스터 세션 키는 도 3에 도시된 바와같이 EAP-RP 프로토콜을 수행하는 부분으로서 인증 서버로부터 수신될 수 있다.
[00146]
일부 양상들에서, 재인증 마스터 세션 키는 
로서 유도될 수 있으며, 여기서 
이고
이다. rMSK Label은 8-비트 ASCII 스트링, 즉 
이다. length 필드는 rMSK의 길이(옥텟)를 지칭한다. rRK는 (예컨대, 도 11에 도시된 바와같이) EMSK 또는 DSRK로부터 유도될 수 있다.
[00147]
일부 양상들에서는 공유 키가 공유 시크릿이다. 일부 양상들에서, 공유 시크릿은 제 1 디바이스와의 디피 헬만 키 교환을 통해 결정될 수 있다. 일부 양상들에서, 블록(1505)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204)에 의해 수행될 수 있다. 예컨대, 공유 키를 결정하기 위한 수단은 프로세서(204)를 포함할 수 있다. 다른 예로서, 확장가능 인증 프로토콜 재인증 프로토콜을 수행하기 위한 수단은 프로세서(204), 메모리(206) 및 송신기(210) 중 하나 이상을 포함할 수 있다. 예컨대, 메모리(206)에 저장된 명령들은 확장가능 인증 프로토콜-재인증 프로토콜을 수행하도록 프로세서(204)를 구성할 수 있다.
[00148]
블록(1510)에서, 제 1 페어방식 마스터 키는 제 1 디바이스와 공유된 키에 기반하여 생성된다. 일부 양상들에서, 제 1 페어방식 마스터 키는 중간 키에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 제 1 디바이스로부터 유도된 넌스에 기반하여 생성된다. 일부 양상들에서, 중간 키는 제 2 디바이스로부터 유도된 넌스에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 공유 키에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 제 1 디바이스에 의해 생성된 넌스, 제 2 디바이스에 의해 생성된 넌스 및 공유 키 중 2개 이상의 조합에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 키 유도 함수(KDF)에 기반하여 생성된다. 일부 양상들에서, KDF는 해시 기반 메시지 인증 코드(HMAC)일 수 있다. 예컨대, 일부 양상들에서, 중간 키는 이하의 수식 1, 즉 
(1)에 기반하여 생성될 수 있다.
여기서:
SNonce는 제 1 디바이스에 의해 생성된 넌스이며,
ANonce는 제 2 디바이스에 의해 생성된 넌스이며,
IKM는,
EAP 전체 인증이 수행되는 경우 MSK이며,
공유 키 인증이 PFS(perfect forward secrecy) 없이 수행되는 경우 rMSK이며,
PFS(perfect forward secrecy)를 가진 공유 키 인증을 사용하는 경우 그 순서대로 rMSK | ss(즉, rMSK 및 ss의 연접)이며,
공개 키 인증이 사용되는 경우 ss이다.
여기서:
MSK는 전체 EAP 인증을 수행하는 인증 서버로부터 유도된 마스터 세션 키이며,
rMSK는 인증 서버에 의해 유도되고 EAP-RP를 수행한 결과로서 제 2 디바이스에 전송되는 재인증 마스터 세션 키이며(RFC 6696에서 정의됨),
ss는 제 1 디바이스와 제 2 디바이스 간의 디피-헬만 키 교환의 결과로서 설정된 공유 시크릿이다.
[00149]
일부 양상들에서, HMAC-Hash 함수의 결과는 일부 양상들에서 예컨대 256 비트로 트렁케이트될 수 있다. 일부 양상들에서, 앞서 유도된 중간 키는 IEEE 802.11 고속 기본 서비스 세트 트랜지션(FT) 인증에서 설명된 바와같이 "XXKey"를 대신하여 사용될 수 있다.
[00150]
대안 구현은 
로서 중간 키를 유도할 수 있으며,
여기서:
KDF는 384, 640, 또는 1024 비트를 사용한 키 유도 함수이며,
PMK는 PMKSA로부터 유래되며, 초기 FILS 연결로부터 또는 PMKSA 캐싱(caching)이 사용될 때 캐싱된 PMKSA로부터 생성된다. 일부 양상들에서, PMK는 rMSK로부터 유도되며,
SPA는 STA의 MAC 어드레스이며, AA는 AP의 BSSID이며,
SNonce는 STA의 넌스이며, ANonce는 AP의 넌스이다.
[00151]
일부 양상들에서, 중간 키가 앞서 설명된 바와같이 유도된 이후에, 추가 키 유도는 다음과 같이 이루어진다:
여기서, 
은 
이다.
여기서:
KDF-384는 SHA-384를 사용하는 키 유도 함수이며,
MDID는 모빌리티 도메인 식별자이며,
R0KH-ID은 PMK-R0 키 홀더 식별자이며,
S0KH-ID는 요청자 키 홀더 식별자(Supplicant Key holder Identifier)이다.
[00152]
일부 양상들에서, 제 1 페어방식 마스터 키는 앞서 설명된 PMK-R0이다. 일부 양상들에서, 제 1 페어방식 마스터 키는 제 1 디바이스와 공유된 제 2 키에 기반하여 생성될 수 있다. 예컨대, 제 2 디바이스가 제 1 디바이스와 재인증 마스터 세션 키를 공유하는 양상들에서, 공유 시크릿은 또한 제 1 디바이스와 공유될 수 있다. 공유 시크릿은 제 1 디바이스와 디피-헬만 키 교환을 통해 생성될 수 있다. 이들 양상들에서, 제 1 페어방식 마스터 키는 공유 키들 (즉, 재인증 마스터 세션 키 및 공유 시크릿) 둘다에 기반하여 생성될 수 있다. 일부 양상들에서, 2개의 공유 키들은 연접되며, 제 1 페어방식 마스터 키는 연접에 기반하여 생성된다. 예컨대, 일부 양상들에서, 공유 시크릿은 연접에서 재인증 마스터 세션 키를 뒤따른다(즉, rMSK | SS). 일부 양상들에서, 블록(1510)과 관련하여 앞서 논의된 하나 이상의 기능들은 프로세서(204)에 의해 수행될 수 있다. 일부 양상들에서, 프로세서(204)는 앞서 설명된 바와같이 연접하기 위한 수단을 포함할 수 있다.
[00153]
블록(1515)에서는 제 1 액세스 포인트가 제 1 디바이스와 보안 연관 및/또는 보안 통신을 하기 위하여 사용할 제 2 페어방식 마스터 키가 생성된다. 제 2 페어방식 마스터 키는 제 1 페어방식 마스터 키에 기반하여 생성된다. 제 2 페어방식 마스터 키는 제 1 액세스 포인트의 하나 이상의 특징들에 기반하여 추가로 생성될 수 있다. 예컨대, 제 2 페어방식 마스터 키는 제 1 액세스 포인트의 매체 액세스 제어(MAC) 어드레스, 제 1 액세스 포인트의 기본 서비스 세트 식별자 및/또는 제 1 액세스 포인트의 하나 이상의 능력들 중 하나 이상에 기반하여 생성될 수 있다.
[00154]
일부 양상들에서, 블록(1515)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204)에 의해 수행될 수 있다. 예컨대, 제 2 페어방식 마스터 키를 생성하기 위한 수단은 프로세서(204)를 포함할 수 있다.
[00155]
블록(1520)에서, 제 2 페어방식 마스터 키는 제 1 액세스 포인트에 송신된다. 제 2 페어방식 마스터 키는 제 1 디바이스와 제 1 액세스 포인트 간의 보안 연관 및/또는 보안 통신을 위하여 제 1 액세스 포인트에 의해 사용될 수 있다. 예컨대, 제 1 액세스 포인트는 제 2 페어방식 마스터 키에 기반하여 제 1 디바이스와의 통신들을 암호화 또는 인코딩할 수 있다.
[00156]
일부 양상들에서, 제 2 페어방식 마스터 키에 기반하여 추가 키가 생성될 수 있다. 이러한 추가 키는 제 1 액세스 포인트에 의해 생성될 수 있다. 예컨대, 일부 양상들에서, 페어방식 트랜션트 키(pairwise transient key)는 제 2 페어방식 마스터 키에 기반하여 생성될 수 있으며, 이후 페어방식 트랜션트 키는 제 1 액세스 포인트가 제 1 디바이스와 통신하기 위해 사용될 수 있다. 예컨대, 제 1 액세스 포인트는 페어방식 트랜션트 키를 사용하여 제 1 디바이스와 교환되는 메시지들을 인코딩 및/또는 암호화 및/또는 디코딩 및/또는 암호해독할 수 있다.
[00157]
일부 양상들에서, 블록(1520)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204) 및/또는 송신기(210)에 의해 수행될 수 있다. 예컨대, 프로세서(204) 및/또는 송신기(210) 중 하나 이상은 제 2 페어방식 마스터 키를 제 1 액세스 포인트에 송신하기 위한 수단을 포함할 수 있다. 일부 양상들에서, 제 1 액세스 포인트 및 제 2 디바이스(예컨대, WLC)는 동일한 물리적 디바이스내에 배열될 수 있다. 일부 양상들에서, 이들은 동일한 디바이스일 수 있다. 이들 양상들에서, 블록(1520)에서의 송신은 무선 네트워크상에서의 물리적 송신을 초래하지 않고 대신에 하나의 물리적으로 포함된 컴퓨팅 디바이스내의 소프트웨어 및/또는 하드웨어 컴포넌트들 간의 데이터의 송신을 초래할 수 있다.
[00158]
일부 양상들에서, 제 1 디바이스(예컨대, STA)에 대한 제 2 인증 요청은 제 2 액세스 포인트로부터 수신될 수 있다. 제 2 디바이스(예컨대, WLC)는 제 1 디바이스와 통신할 때 제 2 액세스 포인트에 의해 사용하기 위한 제 3 페어방식 마스터 키(예컨대, PMK-R1)를 생성할 수 있다. 제 3 페어방식 마스터 키는 제 1 페어방식 마스터 키(예컨대, PMK-R0)에 기반하여 생성될 수 있다. 일부 양상들에서, 제 3 페어방식 마스터 키는 제 2 액세스 포인트의 하나 이상의 특징들, 이를테면 BSS 식별자 및/또는 제 2 액세스 포인트의 MAC 어드레스 또는 제 2 액세스 포인트의 하나 이상의 능력들에 기반하여 생성될 수 있다. 이후, 제 3 페어방식 마스터 키는 제 2 액세스 포인트에 송신될 수 있다. 이후, 제 3 페어방식 마스터 키(예컨대, PMK-R1)는 제 3 액세스 포인트가 제 1 디바이스와 통신하기 위하여 사용될 수 있다. 대안적으로, 제 2 페어방식 트랜션트 키(PTK)는 제 3 페어방식 마스터 키에 기반하여 생성될 수 있다. 이러한 생성은 제 2 액세스 포인트가 제 2 디바이스(예컨대, WLC)로부터 제 3 페어방식 마스터 키(PMK-R1)를 수신한 이후에 제 2 액세스 포인트에 의해 수행될 수 있다. 이후, 제 2 페어방식 트랜션트 키는 제 1 디바이스와 제 2 액세스 포인트 간의 통신들을 인코딩/암호화 및/또는 디코딩/암호해독하기 위하여 사용될 수 있다.
[00159]
일부 양상들에서 제 1 페어방식 마스터 키가 제 1 디바이스와 통신하는데 특정될 수 있고 제 1 디바이스가 일부 양상들에서 STA(106a)와 같은 무선 디바이스일 수 있다는 것에 주목해야 한다. 만일 제 2 디바이스가 추가 디바이스, 이를테면 제 2 무선 스테이션 또는 제 3 디바이스와의 통신을 지원하면, 제 2 디바이스는 제 3 디바이스와의 통신을 가능하게 하기 위하여 추가 페어방식 마스터 키를 생성할 수 있다.
[00160]
게다가, 각각의 액세스 포인트가 제 3 디바이스(예컨대, 추가 무선 스테이션)와 통신할 필요성을 표시하도록 하기 위하여, 추가 페어방식 마스터 키(예컨대, 일부 양상들에서 PMK-R0)(제 3 디바이스에 대응할 수 있음)에 기반하여 이들 액세스 포인트들 각각에 대하여 추가 페어방식 마스터 키들(일부 양상들에서, PMK-R1)이 생성될 수 있다. 따라서, 일부 양상들에서, 제 2 디바이스(예컨대, WLC)는 자신이 통신을 지원하는 각각의 개개의 디바이스(예컨대, 스테이션)에 대한 개별 "R0" 페어방식 마스터 키를 생성한다. 특정한 개개의 디바이스(예컨대, STA)와 통신하는 각각의 액세스 포인트는 특정한 개개의 디바이스에 대한 "R0" 페어방식 마스터 키에 기반하는 "R1" 페어방식 마스터 키를 수신할 것이다. 이들 키들 중 일부 또는 전부는 특정한 개개의 디바이스와 공유되는 키(예컨대, rMSK, MSK, 또는 공유 시크릿)에 기반할 수 있다. 일부 양상들에서, 제 1 액세스 포인트에 제 2 페어방식 마스터 키를 송신하기 위한 수단은 프로세서(204) 및 송신기(210) 중 하나 이상일 수 있다. 예컨대, 일부 양상들에서, 메모리(206)내의 명령들은 제 2 페어방식 마스터 키를 예컨대 송신기(210)를 통해 제 1 액세스 포인트에 송신하도록 프로세서(204)를 구성할 수 있다.
[00161]
도 16은 네트워크상에서 디바이스에 의해 인증하는 방법의 흐름도이다. 일부 양상들에서, 프로세스(1600)는 앞서 설명된 스테이션(106a)에 의해 수행될 수 있다. 일부 양상들에서는 프로세스(1600)가 디바이스(202)에 의해 수행될 수 있다. 예컨대, 일부 양상들에서, 메모리(206)내의 명령들은 프로세스(1600)와 관련하여 이하에서 논의되는 기능들 중 하나 이상의 기능을 수행하도록 프로세서(204)를 구성할 수 있다. 일부 양상들에서, 프로세스(1600)는 2개의 상이한 인증 프로토콜들 간의 상호 운용성을 제공할 수 있다. 예컨대, 제 1 인증 프로토콜은 제 2 인증 프로토콜에 비해 몇몇의 장점들을 제공할 수 있다. 제 2 인증 프로토콜은 무선 네트워크내에 광범위하게 전개될 수 있다. 네트워크 전반에 걸쳐 제 1 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들수 있으며, 제 1 인증 프로토콜이 전부 활용될 수 있도록 전개가 완료될 수 있기 전에 상당한 시간 기간을 필요로 할 수 있다. 제 2 인증 프로토콜이 제 1 인증 프로토콜에 비하여 몇몇의 장점들을 제공할 수 있는 반면에, 무선 네트워크 전반에 걸쳐 제 2 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들 수 있으며, 미래의 상당한 시간 기간 동안 완성되지 못할 수 있다. 이하에서 설명되는 프로세스(1600)는 제 1 인증 프로토콜이 사전에 광범위하게 전개될 수 있다는 점에서 일부 구현들이 제 1 인증 프로토콜의 장점들을 강화하는 것을 가능하게 할 수 있다.
[00162]
앞서 논의된 바와같이, 일부 양상들에서, 제 1 액세스 포인트로부터 제 2 액세스 포인트로 이동하는 스테이션은 예컨대 제 1 및 제 2 액세스 포인트들이 동일한 모빌리티 도메인의 부분인 경우에 동일한 모빌리티 도메인내에 머무를 수 있다. 이러한 상황이 발생할 때, 스테이션은 전체 EAP 인증을 수행하지 않고 제 2 액세스 포인트와 인증하는 것이 가능할 수 있다. 대신에, 만일 2개의 액세스 포인트들이 동일한 모빌리티 도메인들내에 있으면, 스테이션은 802.11 고속 BSS 트랜지션 인증을 사용하여 인증할 수 있다.
[00163]
프로세스(1600)는 2개의 개별 액세스 포인트들과 무선 디바이스의 인증을 달성하기 위하여 제 1 및 제 2 인증 프로토콜들 둘다를 활용한다. 2개의 인증 프로토콜들을 통해 하이브리드 인증 접근법(hybrid authentication approach)을 활용함으로써, 2개의 액세스 포인트들과 제 1 무선 디바이스를 인증하기 위하여 오로지 제 1 인증 프로토콜만을 활용하는 전개와 비교하여, 효율성을 개선시키는데 있어서 제 2 인증 프로토콜의 보다 적은 수의 전개들만이 필요할 수 있다.
[00164]
블록(1605)에서는 인증 디바이스가 제 1 액세스 포인트로부터 네트워크를 통해 메시지를 수신한다. 메시지는 액세스 포인트에 의해 지원되는 하나 이상의 인증 프로토콜들을 표시할 수 있다. 예컨대, 일부 양상들에서, 메시지에 포함된 능력 리스트는 제 1 액세스 포인트가 제 1 및/또는 제 2 인증 프로토콜을 지원하는지의 여부를 표시할 수 있다. 예컨대, 메시지는 제 1 액세스 포인트가 IEEE 802.11 고속 BSS 트랜지션(FT) 인증을 지원하는지의 여부 및/또는 제 1 액세스 포인트가 (EAP-RP를 포함하는) EAP 인증을 지원하는지의 여부를 표시할 수 있다. 일부 양상들에서, 블록(1605)은 수신기(212) 및/또는 프로세서(204)의 의해 수행될 수 있다.
[00165]
블록(1610)에서, 인증 디바이스는 블록(1610)에서 수신된 메시지에 기반하여, 제 1 인증 프로토콜 또는 제 2 인증 프로토콜을 통해 제 1 액세스 포인트와 인증해야 하는지에 대한 결정을 수행한다. 일부 양상들에서, 인증 디바이스는 액세스 포인트에 의해 지원되는 것으로 판명된 인증 방법들에 우선순위를 부여할 수 있다. 일부 양상들에서, 만일 제 1 인증 프로토콜이 지원되면, 디바이스는 제 1 인증 프로토콜을 선택할 수 있다. 일부 다른 구현들에서, 우선순위는 상이할 수 있는데 반해, 동일한 상황에서는 제 2 인증 프로토콜이 지원된다.
[00166]
일부 양상들에서, 네트워크 메시지는 제 1 액세스 포인트가 어느 모빌리티 도메인과 연관되는지를 표시하는 모빌리티 도메인 식별자를 표시할 수 있다. 블록(1610)의 일부 양상들은 또한 제 2 액세스 포인트와 인증하는 것, 및 제 2 액세스 포인트의 모빌리티 도메인 식별자를 표시하는 메시지를 제 2 액세스 포인트로부터 수신하는 것을 포함한다. 일부 양상들에서, 인증 디바이스는 또한 제 2 액세스 포인트와 인증한다. 이후, 인증 디바이스는 물리적 위치들을 이동하고 제 1 액세스 포인트와 인증할 수 있다. 일부 양상들에서, 만일 (인증 디바이스가 제 2 액세스 포인트와 사전에 인증한 이후에 통신하는) 제 1 액세스 포인트의 모빌리티 도메인이 제 2 액세스 포인트와 상이한 모빌리티 도메인이면, 디바이스는 제 1 액세스 포인트와 EAP-RP 인증을 수행할 것을 결정할 수 있다.
[00167]
대조적으로, 만일 2개의 액세스 포인트들의 모빌리티 도메인들이 동일하면, 인증 디바이스는 제 1 액세스 포인트와 인증하기 위하여 IEEE 802.11 고속 BSS 트랜지션(FT) 인증을 활용할 수 있다.
[00168]
일부 양상들에서, 네트워크 메시지 외의 추가 요인들에 기반하여 결정이 이루어질 수 있다. 예컨대, 일부 양상들에서, 만일 전체 EAP 인증이 프로세스(1600)를 수행하는 디바이스에 의해 수행된 이후부터의 시간 기간이 시간 임계치를 초과하면, 전체 EAP 인증은, 다른 인증 프로토콜들이 네트워크 메시지를 통해 제 1 액세스 포인트에 의해 지원되는 것으로 표시되는지의 여부에 관계없이, 제 1 액세스 포인트와 수행될 수 있다. 게다가, 만일 인증 디바이스가 액세스 포인트에 의해 결코 인증되지 않았으면, 전체 EAP 인증은 네트워크 메시지의 표시들과 관계없이 수행될 수 있다. 일부 양상들에서, 블록(1610)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204)에 의해 수행될 수 있다.
[00169]
블록(1620)에서, 인증 디바이스는 결정된 인증 프로토콜을 사용하여 제 1 액세스 포인트와 인증한다. 따라서, 일부 양상들에서, 블록(1620)은 예컨대 도 4와 관련하여 앞서 설명된 바와같이 제 1 액세스 포인트와 IEEE 802.11 고속 BSS 트랜지션(FT) 인증 메시지 교환을 수행한다. 일부 양상들에서, 인증 디바이스는 예컨대 도 3에서 앞서 설명된 바와같이 EAP(및/또는 EAP-RP) 인증을 사용하여 제 1 액세스 포인트와 인증한다.
[00170]
EAP-RP 인증을 사용하여, 인증 디바이스는 재인증 마스터 세션 키(rMSK)를 유도할 수 있다. 예컨대, rMSK는 
로서 유도될 수 있으며, 여기서 
이고 
이다. rMSK Label은 8-비트 ASCII 스트링, 즉 
이다. length 필드는 rMSK의 길이(옥텟)를 지칭한다. rRK는 EMSK 또는 DSRK로부터 유도될 수 있다. 추가의 세부사항들에 대해서는 RFC 5296를 참조하라.
[00171]
이후, 인증 디바이스는 재인증 마스터 세션 키에 기반하여 제 1 페어방식 마스터 키를 생성할 수 있다. 일부 양상들에서, 제 1 페어방식 마스터 키는 IEEE 802.11 고속 BSS 트랜지션 프로토콜 표준들에 설명된 바와같이 PMK-R0 페어방식 마스터 키의 생성에 따라 생성될 수 있다. 이후, 제 2 페어방식 마스터 키는 제 1 페어방식 마스터 키에 기반하여 생성될 수 있다. 일부 양상들에서, 이러한 제 2 페어방식 마스터 키는 제 1 액세스 포인트의 하나 이상의 특성들, 예컨대 제 1 액세스 포인트의 BSS 식별자 및/또는 스테이션 어드레스에 기반하여 생성될 수 있다. 이후, 인증 디바이스는 제 2 페어방식 마스터 키를 사용하여 제 1 액세스 포인트와 통신할 수 있다. 예컨대, 제 1 액세스 포인트에 전송되거나 제 1 액세스 포인트로부터 수신된 하나 이상의 메시지들은 각각 제 2 페어방식 마스터 키를 사용하여 또는 이하에서 논의되는 PTK와 같이 제 2 페어방식 마스터 키로부터 유도된 키를 사용하여 암호화 및/또는 암호해독될 수 있다.
[00172]
일부 양상들에서, 인증 디바이스는 제 1 페어방식 마스터 키에 기반하여 제 3 페어방식 마스터 키를 생성할 수 있다. 이러한 제 3 페어방식 마스터 키는 IEEE 802.11 고속 BSS 트랜지션 프로토콜 규격들에서 설명된 바와같이 PMK-R1에 따라 생성될 수 있다. 일부 양상들에서, 제 3 페어방식 마스터 키는 또한 제 2 액세스 포인트의 하나 이상의 특성들, 이를테면 제 2 액세스 포인트의 MAC 스테이션 어드레스 및/또는 제 2 액세스 포인트의 BSS 식별자에 기반하여 생성될 수 있다. 제 2 액세스 포인트와의 통신은 제 3 페어방식 마스터 키에 기반할 수 있다. 예컨대, 제 2 액세스 포인트에 송신되고 그리고/또는 제 2 액세스 포인트로부터 수신되는 메시지들은 제 3 페어방식 마스터 키 또는 제 3 페어방식 마스터 키로부터 유도된 키, 이를테면 PTK에 기반할 수 있다.
[00173]
일부 양상들에서, 인증 디바이스는 제 1 액세스 포인트와의 통신을 위해 PFS(perfect forward secrecy)가 요구되는지의 여부를 결정할 수 있다. 일부 양상들에서는 이러한 결정이 블록(1605)에서 수신된 네트워크 메시지에 기반한다. 만일 PFS가 요구된다고 결정되면, 인증 디바이스는 결정에 대한 응답으로 제 1 액세스 포인트와 디피-헬만 키 교환을 수행할 수 있다. 일부 양상들에서, 디피-헬만 키 교환은 페어방식 트랜션트 키(PTK)를 생성하기 위하여 사용된다. 일부 양상들에서, 페어방식 트랜션트 키는 
로서 유도될 수 있으며, 여기서 A는 STA의 시크릿이며, B는 AP의 시크릿이며 (또는 B는 STA의 시크릿이며, A는 AP의 시크릿이며) 그리고 
는 DH 키 교환의 결과이다. 그러므로, 일부 양상들에서, STA 및 AP가 PTK를 유도하기 전에, 이들은 DH 키 교환을 통해 
및 
을 교환할 수 있다.
[00174]
이후, 일부 양상들에서, PTK는 제 1 액세스 포인트와의 통신을 위해 사용될 수 있다. 예컨대, 제 1 액세스 포인트로 송신되고 그리고/또는 제 1 액세스 포인트로부터 수신되는 메시지들은 PTK를 사용하여 암호화 및/또는 암호해독될 수 있다. 일부 양상들에서, 제 2 PTK는 제 2 액세스 포인트와 통신(메시지들의 암호화/암호해독)하는데 사용하기 위하여 앞서 설명된 것과 유사한 방식으로 생성될 수 있다.
[00175]
일부 양상들에서, 블록(1620)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204)에 의해 수행될 수 있으며, 일부 양상들에서는 수신기(212) 및/또는 송신기(210) 중 하나 이상과 함께 수행될 수 있다.
[00176]
도 17는 제 1 디바이스를 인증하는 방법의 흐름도이다. 일부 양상들에서, 방법(1700)은 앞서 설명된 스테이션들(106a) 및/또는 도 2의 무선 디바이스(202)에 의해 수행될 수 있다. 예컨대, 일부 양상들에서, 메모리(206)내의 명령들은 프로세스(1700)와 관련하여 이하에서 논의되는 기능들 중 하나 이상의 기능을 수행하도록 프로세서(204)를 구성할 수 있다. 일부 양상들에서, 방법(1700)은 IEEE 802.11 고속 트랜지션 키 홀더 아키텍처에서 정의된 바와같이 R0 키 홀더 디바이스에 의해 수행된다. 일부 양상들에서, 방법(1700)에 대하여 이하에서 논의된 제 1, 제 2 및 제 3 디바이스들 중 하나 이상은 무선 디바이스들이거나 또는 아닐수도 있다. 일부 양상들에서, 방법(1700)은 도 16과 관련하여 앞서 논의된 프로세스(1600)의 블록(1620)에 포함될 수 있다. 예컨대, 일부 양상들에서, 프로세스(1600)와 관련하여 앞서 논의된 제 1 및 제 2 페어방식 마스터 키들은 방법(1700)과 관련하여 이하에서 논의되는 제 1 및 제 2 페어방식 마스터 키들과 동일한 키들일 수 있다. 이들 양상들에서, 프로세스(1700)와 관련하여 이하에서 논의되는 제 2 디바이스는 도 16과 관련하여 앞서 논의된 제 1 액세스 포인트 및 프로세스(1600)와 동등할 수 있다.
[00177]
일부 양상들에서, 방법(1700)은 2개 또는 심지어 3개의 상이한 인증 프로토콜들 간의 상호 운용성을 제공할 수 있다. 예컨대, 제 1 인증 프로토콜은 제 2 인증 프로토콜에 비해 몇몇의 장점들을 제공할 수 있다. 제 2 인증 프로토콜은 무선 네트워크내에 광범위하게 전개될 수 있다. 네트워크 전반에 걸쳐 제 1 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들수 있으며, 제 1 인증 프로토콜이 전부 활용될 수 있도록 전개가 완료될 수 있기 전에 상당한 시간 기간을 필요로 할 수 있다.
[00178]
제 1 인증 프로토콜이 제 2 인증 프로토콜에 비하여 몇몇의 장점들을 제공할 수 있는 반면에, 무선 네트워크 전반에 걸쳐 제 1 인증 프로토콜을 광범위하게 전개하는 것은 비용이 많이 들 수 있으며, 미래의 상당한 시간 기간 동안 완성되지 못할 수 있다. 이하에서 설명되는 프로세스(1700)는 일부 구현들이 제 1 인증 프로토콜의 전체 구현에 필요한 컴포넌트들 모두를 전개하지 않고 대신에 제 2 인증 프로토콜의 사전에 전개된 컴포넌트들에 의존하여 제 1 인증 프로토콜의 장점들을 강화하는 것을 가능하게 할 수 있다.
[00179]
블록(1705)에서는 공유 키가 결정된다. 키는 제 2 디바이스와 공유된다. 일부 양상들에서, 공유 키는 마스터 세션 키이며, 제 1 디바이스와 제 2 디바이스 간의 확장가능 인증 프로토콜(EAP) 교환을 통해 결정될 수 있다. 일부 양상들에서는 방법(1700)이 제 1 디바이스에 의해 수행된다. 일부 양상들에서, 마스터 세션 키를 결정하는 확장가능 인증 프로토콜 교환은 PFS(perfect forward secrecy)를 활용하지 않는 공유 키 인증이다. 일부 양상들에서, 마스터 세션 키는 도 3에 도시된 바와같이 EAP 인증 프로토콜의 부분으로서 인증 서버로부터 수신될 수 있다.
[00180]
일부 양상들에서, 공유 키는, 부분적으로 확장가능 인증 프로토콜 재인증 프로토콜(EAP-RP)을 수행함으로써, 결정되는 재인증 마스터 세션 키이다. 일부 양상들에서, 확장가능 인증 프로토콜, 즉 재인증 프로토콜 교환은 PFS(perfect forward secrecy)를 활용하지 않는 공유 키 인증이다. 일부 양상들에서, 재인증 마스터 세션 키는 
로서 유도될 수 있으며, 여기서 
이고 
이다. rMSK Label은 8-비트 ASCII 스트링, 즉
이다. length 필드는 rMSK의 길이(옥텟)를 지칭한다. rRK는 (예컨대, 도 11에 도시된 바와같이) EMSK 또는 DSRK로부터 유도될 수 있다.
[00181]
일부 양상들에서는 공유 키가 공유 시크릿이다. 일부 양상들에서, 공유 시크릿은 제 2 디바이스와의 디피 헬만 키 교환을 통해 결정될 수 있다. 일부 양상들에서, 블록(1705)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204)에 의해 수행될 수 있다. 예컨대, 공유 키를 결정하기 위한 수단은 프로세서(204)를 포함할 수 있다.
[00182]
블록(1710)에서, 제 1 페어방식 마스터 키는 제 1 디바이스와 공유된 키에 기반하여 생성된다. 일부 양상들에서, 제 1 페어방식 마스터 키는 중간 키에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 제 1 디바이스로부터 유도된 넌스에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 제 2 디바이스로부터 유도된 넌스에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 공유 키에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 제 1 디바이스에 의해 생성된 넌스, 제 2 디바이스에 의해 생성된 넌스 및 공유 키 중 2개 이상의 조합에 기반하여 생성될 수 있다. 일부 양상들에서, 중간 키는 해시 기반 메시지 인증 코드(HMAC)에 기반하여 생성된다. 예컨대, 일부 양상들에서, 중간 키는 이하의 수식 1, 즉 
(1)기반하여 생성될 수 있다.
여기서:
SNonce는 제 1 디바이스에 의해 생성된 넌스이며,
ANonce는 제 2 디바이스에 의해 생성된 넌스이며,
IKM는
EAP 전체 인증이 수행되는 경우 MSK이며,
공유 키 인증이 PFS(perfect forward secrecy) 없이 수행되는 경우 rMSK이며,
PFS(perfect forward secrecy)를 가진 공유 키 인증을 사용하는 경우 그 순서대로 
(즉, rMSK 및 ss의 연접)이며,
공개 키 인증이 사용되는 경우 ss이다.
여기서:
MSK는 전체 EAP 인증을 수행하는 인증 서버로부터 유도된 마스터 세션 키이며,
rMSK는 인증 서버에 의해 유도되고 EAP-RP를 수행한 결과로서 제 2 디바이스에 전송되는 재인증 마스터 세션 키이며(RFC 6696에서 정의됨),
ss는 제 1 디바이스와 제 2 디바이스 간의 디피-헬만 키 교환의 결과로서 설정된 공유 시크릿이다.
[00183]
일부 양상들에서, HMAC-Hash 함수의 결과는 일부 양상들에서 예컨대 256 비트로 트렁케이트될 수 있다. 일부 양상들에서, 앞서 유도된 중간 키는 IEEE 802.11 고속 기본 서비스 세트 트랜지션(FT) 인증에서 설명된 바와같이 "XXKey"를 대신하여 사용될 수 있다.
[00184]
대안 구현은 
로서 중간 키를 유도할 수 있으며,
여기서:
KDF는 384, 640, 또는 1024 비트를 사용한 키 유도 함수이며,
PMK는 PMKSA로부터 유래되며, 초기 FILS 연결로부터 또는 PMKSA 캐싱(caching)이 사용될 때 캐싱된 PMKSA로부터 생성된다. 일부 양상들에서, PMK는 rMSK로부터 유도되며, SPA는 STA의 MAC 어드레스이며, AA는 AP의 BSSID이며, SNonce는 STA의 넌스이며, ANonce는 AP의 넌스이다.
[00185]
일부 양상들에서, 중간 키가 앞서 설명된 바와같이 유도된 이후에, 추가 키 유도가 다음과 같이 이루어진다.
여기서 
는 
이며,
KDF-384는 SHA-384를 사용하는 키 유도 함수이며,
MDID는 모빌리티 도메인 식별자이며,
R0KH-ID은 PMK-R0 키 홀더 식별자이며,
S0KH-ID는 요청자 키 홀더 식별자(Supplicant Key holder Identifier)이다.
[00186]
일부 양상들에서, 중간 키가 앞서 설명된 바와같이 유도된 이후에, 추가 키 유도가 다음과 같이 이루어지며:
여기서 
는 
이며,
여기서:
KDF-384는 SHA-384를 사용하는 키 유도 함수이며,
MDID는 모빌리티 도메인 식별자이며,
R0KH-ID은 PMK-R0 키 홀더 식별자이며,
S0KH-ID는 요청자 키 홀더 식별자(Supplicant Key holder Identifier)이다.
[00187]
일부 양상들에서, 제 1 페어방식 마스터 키는 앞서 논의된 바와같이 유도된 PMK-R0이다. 일부 양상들에서, 제 1 페어방식 마스터 키는 제 1 디바이스와 공유된 제 2 키에 기반하여 생성될 수 있다. 예컨대, 제 1 디바이스가 제 2 디바이스와 함께 사용하기 위한 재인증 마스터 세션 키를 유도하는 양상들에서, 공유 시크릿은 또한 제 2 디바이스와 공유될 수 있다. 공유 시크릿은 제 2 디바이스와의 디피-헬만 키 교환을 통해 생성될 수 있다. 이들 양상들에서, 제 1 페어방식 마스터 키는 이들 키들 (즉, 재인증 마스터 세션 키 및 공유 시크릿) 둘다에 기반하여 생성될 수 있다. 일부 양상들에서, 2개의 키들은 연접되며, 제 1 페어방식 마스터 키는 연접에 기반하여 생성된다. 예컨대, 일부 양상들에서, 공유 시크릿은 연접에서 재인증 마스터 세션 키를 뒤따른다(즉, 
). 일부 양상들에서, 블록(1710)과 관련하여 앞서 논의된 하나 이상의 기능들은 프로세서(204)에 의해 수행될 수 있다. 일부 양상들에서, 프로세서(204)는 앞서 설명된 바와같이 연접하기 위한 수단을 포함할 수 있다.
[00188]
블록(1715)에서는 제 2 디바이스와 보안 연관 및/또는 보안 통신을 하기 위한 제 2 페어방식 마스터 키가 생성된다. 제 2 페어방식 마스터 키는 제 1 페어방식 마스터 키에 기반하여 생성된다. 제 2 페어방식 마스터 키는 제 2 디바이스의 하나 이상의 특징들에 기반하여 추가로 생성될 수 있다. 예컨대, 제 2 페어방식 마스터 키는 제 2 디바이스의 매체 액세스 제어(MAC) 어드레스 및/또는 제 2 디바이스의 하나 이상의 능력들에 기반하여 생성될 수 있다. 만일 제 2 디바이스가 액세스 포인트이면, 제 2 페어방식 마스터 키는 예컨대 액세스 포인트의 스테이션 어드레스 및/또는 기본 서비스 세트 식별자에 기반하여 생성될 수 있다.
[00189]
블록(1720)에서, 제 2 페어방식 마스터 키는 제 1 디바이스와 제 2 디바이스 간의 보안 연관 및/또는 보안 통신을 위하여 제 1 디바이스에 의해 사용된다. 예컨대, 제 1 디바이스는 제 2 페어방식 마스터 키에 기반하여 제 2 디바이스와의 통신들을 암호화 또는 인코딩 및/또는 암호해독 또는 디코딩할 수 있다. 일부 양상들에서, 블록(1715)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204)에 의해 수행될 수 있다. 예컨대, 제 2 페어방식 마스터 키를 생성하기 위한 수단은 프로세서(204)를 포함할 수 있다.
[00190]
블록(1720)에서, 제 1 디바이스는 제 2 페어방식 마스터 키에 기반하여 제 2 디바이스와 통신한다. 예컨대, 제 1 디바이스는 제 2 페어방식 마스터 키를 사용하여 제 2 디바이스와의 통신들을 인코딩할 수 있다. 대안적으로, 제 1 디바이스는 제 2 페어방식 마스터 키로부터 추가 키를 유도할 수 있다. 이러한 추가 키는 제 1 디바이스와의 통신들을 인코딩 및/또는 디코딩하기 위하여 사용될 수 있다. 예컨대, 일부 양상들에서, 제 1 디바이스는 제 2 페어방식 마스터 키에 기반하여 페어방식 트랜션트 키를 유도할 수 있다. 이후, 페어방식 마스터 키는 제 2 디바이스와의 통신들을 암호화 및/또는 암호해독하기 위하여 사용될 수 있다.
[00191]
프로세스(1700)의 일부 양상들은 또한 제 1 페어방식 마스터 키에 기반하여 제 3 디바이스와 통신하는데 사용하기 위한 제 3 페어방식 마스터 키를 제 1 디바이스가 생성하는 것을 포함한다. 일부 양상들에서, 이러한 제 3 페어방식 마스터 키는 제 3 디바이스의 하나 이상의 특성들에 기반하여 생성된다. 예컨대, 제 3 페어방식 마스터 키는 (제 3 디바이스가 액세스 포인트인 경우에) 제 3 디바이스의 스테이션 어드레스, 제 3 디바이스의 하나 이상의 특성들 또는 능력들 및/또는 제 3 디바이스의 기본 서비스 세트 식별자 중 하나 이상에 기반하여 생성될 수 있다. 프로세스(1700)의 이들 양상들은 또한 제 3 페어방식 마스터 키에 기반하여 제 3 디바이스와 통신하는 것을 포함할 수 있다. 일부 양상들에서, 제 1 디바이스는 제 3 페어방식 마스터 키에 기반하여 페어방식 트랜션트 키를 유도하고, 제 3 디바이스와의 통신들을 암호화 및/또는 암호해독하기 위하여 이 페어방식 트랜션트 키를 활용할 수 있다.
[00192]
일부 양상들에서, 블록(1720)과 관련하여 앞서 논의된 기능들 중 하나 이상의 기능은 프로세서(204) 및/또는 송신기(210)에 의해 수행될 수 있다. 예컨대, 프로세서(204) 및/또는 송신기(210) 중 하나 이상은 제 2 페어방식 마스터 키에 기반하여 제 2 디바이스와 통신하기 위한 수단을 포함할 수 있다.
[00193]
본원에서 사용되는 바와같이, 용어 "결정하는"은 광범위하게 다양한 액션(action)들을 포함한다. 예컨대 "결정하는"은 계산하는, 컴퓨팅하는, 프로세싱하는, 유도하는, 조사하는, 검색(예컨대, 표, 데이터베이스 또는 또 다른 데이터 구조에서 검색)하는, 확인하는 등을 포함할 수 있다. 또한, "결정하는"은 수신하는 (예컨대, 정보를 수신하는), 액세스 하는 (예컨대, 메모리의 데이터에 액세스하는) 등을 포함할 수 있다. 또한, "결정하는"은 해결하는, 선택하는, 선출하는, 설정하는 등을 포함할 수 있다. 더욱이, 본원에서 사용되는 "채널 폭"은 특정 양상들에서 대역폭을 포함할 수 있거나 또는 대역폭으로도 지칭될 수 있다.
[00194]
본원에서 사용되는 바와같이, 항목들의 리스트 "중 적어도 하나의 항목"을 지칭하는 문구는 단일 부재들을 비롯하여 이들 항목들의 임의의 조합을 지칭한다. 예로서, "a, b, 또는 c 중 적어도 하나"는 a, b, c, a-b, a-c, b-c, 및 a-b-c을 포함하는 것으로 의도된다.
[00195]
앞서 설명된 방법들의 다양한 동작들은 동작들을 수행할 수 있는 임의의 적절한 수단, 이를테면 다양한 하드웨어 및/또는 소프트웨어 컴포넌트(들), 회로들 및/또는 모듈(들)에 의해 수행될 수 있다. 일반적으로, 도면들에 예시된 임의의 동작들은 동작들을 수행할 수 있는 대응하는 기능 수단에 의해 수행될 수 있다.
[00196]
본 개시내용과 관련하여 설명된 다양한 예시적인 논리 블록들, 모듈들 및 회로들은 범용 프로세서, 디지털 신호 프로세서(DSP), 주문형 집적 회로(ASIC), 필드 프로그램가능 게이트 어레이 신호(FPGA) 또는 다른 프로그램가능 논리 디바이스(PLD), 이산 게이트 또는 트랜지스터 로직, 이산 하드웨어 컴포넌트들 또는 본원에서 설명된 기능들을 수행하도록 설계된 이들의 임의의 조합으로 구현되거나 또는 수행될 수 있다. 범용 프로세서는 마이크로프로세서일 수 있지만, 대안적으로 프로세서는 임의의 상업적으로 이용가능한 프로세서, 제어기, 마이크로제어기 또는 상태 머신일 수 있다. 프로세서는 또한 컴퓨팅 디바이스들의 조합, 예컨대 DSP와 마이크로프로세서의 조합, 복수의 마이크로프로세서들, DSP 코어와 결합된 하나 이상의 마이크로프로세서들 또는 임의의 다른 이러한 구성으로서 구현될 수 있다.
[00197]
하나 이상의 양상들에서, 설명된 기능들은 하드웨어, 소프트웨어, 펌웨어 또는 이들의 임의의 조합으로 구현될 수 있다. 소프트웨어로 구현되는 경우, 기능들은 컴퓨터-판독가능 매체 상에 하나 이상의 명령들 또는 코드로서 저장되거나 이들을 통해 송신될 수 있다. 컴퓨터-판독가능 매체는 컴퓨터 저장 매체, 및 일 장소로부터 다른 장소로 컴퓨터 프로그램의 이전을 용이하게 하는 임의의 매체를 포함하는 통신 매체 모두를 포함한다. 저장 매체는 컴퓨터에 의해 액세스될 수 있는 임의의 이용가능 매체일 수 있다. 제한이 아닌 예로서, 이러한 컴퓨터-판독가능 매체는 RAM, ROM, EEPROM, CD-ROM 또는 다른 광학 디스크 저장소, 자기 디스크 저장 또는 다른 자기 저장 디바이스들, 또는 명령들 또는 데이터 구조들의 형태로 원하는 프로그램 코드를 저장 또는 반송하는데 사용될 수 있고, 컴퓨터에 의해 액세스될 수 있는 임의의 다른 매체를 포함할 수 있다. 또한, 임의의 연결 수단(connection)이 컴퓨터-판독가능 매체로 적절히 지칭된다. 예컨대, 소프트웨어가 웹사이트, 서버, 또는 다른 원격 소스로부터 동축 케이블, 광섬유 케이블, 연선, DSL(digital subscriber line), 또는 적외선, 라디오, 및 마이크로웨이브와 같은 무선 기술들을 이용하여 송신되는 경우, 동축 케이블, 광섬유 케이블, 연선, DSL, 또는 적외선, 라디오 및 마이크로웨이브와 같은 무선 기술들이 매체의 정의에 포함된다. 본원에서 사용되는 디스크(disk 및 disc)는 컴팩트 disc(CD), 레이저 disc , 광 disc, 디지털 다기능 disc(DVD), 플로피 disk 및 블루-레이 disc를 포함하며, 여기서 disk들은 대개 데이터를 자기적으로 재생하지만, disc들은 레이저들을 이용하여 광학적으로 데이터를 재생한다. 따라서, 일부 양상들에서, 컴퓨터 판독가능 매체는 비-일시적 컴퓨터 판독가능 매체(예컨대, 유형의 매체)를 포함할 수 있다. 게다가, 일부 양상들에서, 컴퓨터 판독가능 매체는 일시적 컴퓨터 판독가능 매체(예컨대, 신호)를 포함할 수 있다. 앞의 것들의 조합들은 또한 컴퓨터-판독가능 매체의 범위내에 포함되어야 한다.
[00198]
본원에서 설명된 방법들은 설명된 방법을 달성하기 위한 하나 이상의 단계들 또는 액션들을 포함한다. 방법 단계들 및/또는 액션들은 청구항들의 범위로부터 벗어나지 않고 상호 교환될 수 있다. 다시 말해서, 만일 단계들 또는 액션들의 특정 순서가 특정되지 않으면, 특정 단계들 및/또는 액션들의 순서 및/또는 이용은 청구항들의 범위로부터 벗어나지 않고 수정될 수 있다.
[00199]
설명된 기능들은 하드웨어, 소프트웨어, 펌웨어 또는 이들의 임의의 조합으로 구현될 수 있다. 소프트웨어로 구현되는 경우, 기능들은 컴퓨터-판독가능 매체 상에 하나 이상의 명령들로서 저장될 수 있다. 저장 매체는 컴퓨터에 의해 액세스될 수 있는 임의의 이용가능 매체일 수 있다. 제한이 아닌 예로서, 이러한 컴퓨터-판독가능 매체는 RAM, ROM, EEPROM, CD-ROM 또는 다른 광학 디스크 저장소, 자기 디스크 저장 또는 다른 자기 저장 디바이스들, 또는 명령들 또는 데이터 구조들의 형태로 원하는 프로그램 코드를 저장 또는 반송하는데 사용될 수 있고, 컴퓨터에 의해 액세스될 수 있는 임의의 다른 매체를 포함할 수 있다. 본원에서 사용되는 디스크(disk 및 disc)는 컴팩트 disc(CD), 레이저 disc , 광 disc, 디지털 다기능 disc(DVD), 플로피 disk 및 Blu-ray® disc를 포함하며, 여기서 disk들은 대개 데이터를 자기적으로 재생하지만, disc들은 레이저들을 이용하여 광학적으로 데이터를 재생한다.
[00200]
따라서, 특정 양상들은 본원에서 제시된 동작들을 수행하기 위한 컴퓨터 프로그램 제품을 포함할 수 있다. 예컨대, 이러한 컴퓨터 프로그램 제품은 명령들이 저장된(및/또는 인코딩된) 컴퓨터 판독가능 저장 매체를 포함할 수 있고, 상기 명령들은 본원에서 설명된 동작들을 수행하기 위해 하나 이상의 프로세서들에 의해 실행가능하다. 특정 양상들의 경우에, 컴퓨터 프로그램 제품은 패키징 재료를 포함할 수 있다.
[00201]
소프트웨어 또는 명령들은 또한 송신 매체를 통해 송신될 수 있다. 예컨대, 소프트웨어가 웹사이트, 서버 또는 다른 원격 소스로부터 동축 케이블, 광섬유 케이블, 연선, DSL(digital subscriber line), 또는 적외선, 라디오 및 마이크로웨이브와 같은 무선 기술들을 사용하여 송신되면, 동축 케이블, 광섬유 케이블, 연선, DSL, 또는 적외선, 라디오 및 마이크로웨이브와 같은 무선 기술들은 송신 매체의 정의 내에 포함된다.
[00202]
더욱이, 본원에 설명된 방법들 및 기법들을 수행하기 위한 모듈들 및/또는 다른 적절한 수단이 적절하게 사용자 단말 및/또는 기지국에 의해 다운로드될 수 있고 그리고/또는 다른 식으로 획득될 수 있다는 것이 인식되어야 한다. 예컨대, 이러한 디바이스는 본원에서 설명된 방법들을 수행하기 위한 수단의 전달을 용이하게 하기 위하여 서버에 커플링될 수 있다. 대안적으로, 본원에서 설명된 다양한 방법들은 저장 수단(예컨대, RAM, ROM, 물리 저장 매체, 이를테면 컴팩트 디스크(CD: compact disc) 또는 플로피 디스크 등)을 통해 제공될 수 있으며, 따라서 사용자 단말 및/또는 기지국은 저장 수단을 디바이스에 커플링하거나 또는 제공할 때 다양한 방법들을 획득할 수 있다. 게다가, 본원에서 설명된 방법들 및 기법들을 디바이스에 제공하기 위한 임의의 다른 적절한 기법이 활용될 수 있다.
[00203]
청구항들이 앞서 예시된 바로 그 구성 및 컴포넌트들로 제한되지 않는다는 것을 이해해야 한다. 다양한 수정들, 변화들, 및 변형들이 청구항들의 범위로부터 벗어나지 않고 앞서 설명된 방법들 및 장치의 어레인지먼트, 동작 및 세부사항들에서 이루어질 수 있다.
[00204]
전술한 사항이 본 개시내용의 양상들에 관한 것이지만, 본 개시내용의 다른 그리고 추가적인 양상들이 개시내용의 기본적인 범위로부터 벗어나지 않고 안출될 수 있으며, 그 범위는 이하의 청구항들에 의해 결정된다.
Claims (23)
- 스테이션을 인증하는 방법으로서,
재인증 마스터 세션 키를 유도하기 위하여 상기 스테이션과 확장가능 인증 프로토콜 재인증 프로토콜을 무선 근거리 통신망(LAN) 제어기가 수행하는 단계;
상기 재인증 마스터 세션 키에 기반하여 제 1 페어방식 마스터 키(pairwise master key)를 상기 무선 LAN 제어기가 생성하는 단계;
상기 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 상기 무선 LAN 제어기가 생성하는 단계; 및
상기 제 2 페어방식 마스터 키를 상기 제 1 액세스 포인트에 상기 무선 LAN 제어기가 송신하는 단계를 포함하는, 스테이션을 인증하는 방법. - 제 1항에 있어서,
상기 제 2 페어방식 마스터 키에 기반하여 상기 스테이션과 보안 연관 또는 보안 통신하는 단계를 더 포함하는, 스테이션을 인증하는 방법. - 제 1항에 있어서,
상기 제 1 액세스 포인트는 상기 무선 LAN 제어기를 포함하는, 스테이션을 인증하는 방법. - 제 1항에 있어서,
공유 시크릿(shared secret)을 유도하기 위하여 상기 스테이션과 디피 헬만(diffie hellman) 키 교환을 수행하는 단계; 및
상기 공유 시크릿에 추가로 기반하여 상기 제 1 페어방식 마스터 키를 생성하는 단계를 더 포함하는, 스테이션을 인증하는 방법. - 제 4항에 있어서,
상기 제 1 페어방식 마스터 키를 생성하는 단계는 상기 재인증 마스터 세션 키 및 상기 공유 시크릿의 연접(concatenation)에 기반하는, 스테이션을 인증하는 방법. - 제 1항에 있어서,
상기 스테이션에 의해 생성된 넌스(nonce), 상기 무선 LAN 제어기에 의해 생성된 제 2 넌스, 및 상기 재인증 마스터 세션 키에 기반하여 중간 키를 생성하는 단계; 및
상기 중간 키에 기반하여 상기 제 1 페어방식 마스터 키를 생성하는 단계를 더 포함하는, 스테이션을 인증하는 방법. - 제 1항에 있어서,
상기 제 1 페어방식 마스터 키에 기반하여 제 2 액세스 포인트에 대한 제 3 페어방식 마스터 키를 상기 무선 LAN 제어기가 생성하는 단계 ― 상기 제 3 페어방식 마스터 키는 상기 제 2 액세스 포인트와 상기 스테이션 간의 통신에 사용됨 ―; 및
상기 제 3 페어방식 마스터 키를 상기 제 2 액세스 포인트에 송신하는 단계를 더 포함하는, 스테이션을 인증하는 방법. - 스테이션을 인증하기 위한 장치로서,
재인증 마스터 세션 키를 결정하기 위하여 상기 스테이션과 확장가능 인증 프로토콜 재인증 프로토콜을 수행하고, 상기 재인증 마스터 세션 키에 기반하여 제 1 페어방식 마스터 키를 생성하며, 그리고 상기 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 생성하도록 구성된 프로세서; 및
상기 제 2 페어방식 마스터 키를 상기 제 1 액세스 포인트에 송신하도록 구성된 송신기를 포함하는, 스테이션을 인증하기 위한 장치. - 제 8항에 있어서,
상기 프로세서는 상기 제 2 페어방식 마스터 키에 기반하여 상기 스테이션과 보안 연관 또는 보안 통신하도록 추가로 구성되는, 스테이션을 인증하기 위한 장치. - 제 8항에 있어서,
상기 제 1 액세스 포인트를 더 포함하는, 스테이션을 인증하기 위한 장치. - 제 8항에 있어서,
상기 프로세서는 공유 시크릿을 결정하기 위하여 상기 스테이션과 디피 헬만 키 교환을 수행하고 상기 공유 시크릿에 추가로 기반하여 상기 제 1 페어방식 마스터 키를 생성하도록 추가로 구성되는, 스테이션을 인증하기 위한 장치. - 제 11항에 있어서,
상기 프로세서는 상기 재인증 마스터 세션 키 및 상기 공유 시크릿의 연접에 기반하여 상기 제 1 페어방식 마스터 키를 생성하도록 추가로 구성되는, 스테이션을 인증하기 위한 장치. - 제 8항에 있어서,
상기 프로세서는,
상기 스테이션에 의해 생성된 넌스, 상기 장치에 의해 생성된 넌스 및 상기 재인증 마스터 세션 키에 기반하여 중간 키를 생성하고, 그리고
상기 중간 키에 기반하여 상기 제 1 페어방식 마스터 키를 생성하도록 추가로 구성되는, 스테이션을 인증하기 위한 장치. - 제 8항에 있어서,
상기 프로세서는 상기 제 1 페어방식 마스터 키에 기반하여 제 2 액세스 포인트에 대한 제 3 페어방식 마스터 키를 생성하도록 추가로 구성되며, 상기 제 3 페어방식 마스터 키는 상기 제 2 액세스 포인트와 상기 스테이션 간의 통신에 사용되며, 상기 송신기는 상기 제 3 페어방식 마스터 키를 상기 제 2 액세스 포인트에 송신하도록 추가로 구성되는, 스테이션을 인증하기 위한 장치. - 실행될 때 프로세서로 하여금 스테이션을 인증하는 방법을 수행하게 하는 명령들을 포함하는 컴퓨터 판독가능 저장 매체로서,
상기 방법은,
재인증 마스터 세션 키를 결정하기 위하여 스테이션과 확장가능 인증 프로토콜 재인증 프로토콜을 무선 근거리 통신망(LAN) 제어기가 수행하는 단계;
상기 재인증 마스터 세션 키에 기반하여 제 1 페어방식 마스터 키를 상기 무선 LAN 제어기가 생성하는 단계;
상기 제 1 페어방식 마스터 키에 기반하여 제 1 액세스 포인트에 대한 제 2 페어방식 마스터 키를 상기 무선 LAN 제어기가 생성하는 단계; 및
상기 제 2 페어방식 마스터 키를 상기 제 1 액세스 포인트에 상기 무선 LAN 제어기가 송신하는 단계를 포함하는, 컴퓨터 판독가능 저장 매체. - 스테이션을 인증하는 방법으로서,
재인증 마스터 세션 키를 결정하기 위하여 액세스 포인트와 확장가능 인증 프로토콜 재인증 프로토콜을 상기 스테이션이 수행하는 단계;
상기 재인증 마스터 세션 키에 기반하여 제 1 페어방식 마스터 키를 상기 스테이션이 생성하는 단계;
상기 제 1 페어방식 마스터 키에 기반하여 제 2 페어방식 마스터 키를 상기 스테이션이 생성하는 단계; 및
상기 제 2 페어방식 마스터 키에 기반하여 상기 액세스 포인트와 상기 스테이션이 통신하는 단계를 포함하는, 스테이션을 인증하는 방법. - 제 16항에 있어서,
공유 시크릿을 결정하기 위하여 상기 액세스 포인트와 디피 헬만 키 교환을 수행하는 단계 및 상기 공유 시크릿에 추가로 기반하여 상기 제 1 페어방식 마스터 키를 생성하는 단계를 더 포함하는, 스테이션을 인증하는 방법. - 제 17항에 있어서,
상기 제 1 페어방식 마스터 키를 생성하는 단계는 상기 재인증 마스터 세션 키 및 상기 공유 시크릿의 연접에 기반하는, 스테이션을 인증하는 방법. - 제 16항에 있어서,
상기 스테이션에 의해 생성된 넌스, 상기 액세스 포인트에 의해 제공된 제 2 넌스, 및 상기 재인증 마스터 세션 키에 기반하여 중간 키를 생성하는 단계; 및
상기 중간 키에 기반하여 상기 제 1 페어방식 마스터 키를 생성하는 단계를 더 포함하는, 스테이션을 인증하는 방법. - 스테이션을 인증하기 위한 장치로서,
프로세서를 포함하며,
상기 프로세서는,
재인증 마스터 세션 키를 결정하기 위하여 액세스 포인트와 확장가능 인증 프로토콜 재인증 프로토콜을 수행하며,
상기 재인증 마스터 세션 키에 기반하여 제 1 페어방식 마스터 키를 생성하며,
상기 제 1 페어방식 마스터 키에 기반하여 제 2 페어방식 마스터 키를 생성하며, 그리고
상기 제 2 페어방식 마스터 키에 기반하여 상기 액세스 포인트와 통신하도록 구성되는, 스테이션을 인증하기 위한 장치. - 제 20항에 있어서,
상기 프로세서는 공유 시크릿을 결정하기 위하여 상기 액세스 포인트와 디피 헬만 키 교환을 수행하도록 추가로 구성되며, 상기 제 1 페어방식 마스터 키를 생성하는 것은 상기 공유 시크릿에 추가로 기반하는, 스테이션을 인증하기 위한 장치. - 제 21항에 있어서,
상기 제 1 페어방식 마스터 키를 생성하는 것은 상기 재인증 마스터 세션 키 및 상기 공유 시크릿의 연접에 기반하는, 스테이션을 인증하기 위한 장치. - 제 20항에 있어서,
상기 프로세서는 상기 스테이션에 의해 생성된 넌스, 상기 액세스 포인트에 의해 제공된 제 2 넌스, 및 상기 재인증 마스터 세션 키에 기반하여 중간 키를 생성하며, 그리고 상기 중간 키에 기반하여 상기 제 1 페어방식 마스터 키를 생성하도록 추가로 구성되는, 스테이션을 인증하기 위한 장치.
Applications Claiming Priority (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US201462075861P | 2014-11-05 | 2014-11-05 | |
| US62/075,861 | 2014-11-05 | ||
| US14/931,574 US20160127903A1 (en) | 2014-11-05 | 2015-11-03 | Methods and systems for authentication interoperability |
| US14/931,574 | 2015-11-03 | ||
| PCT/US2015/059038 WO2016073607A1 (en) | 2014-11-05 | 2015-11-04 | Methods and systems for authentication interoperability |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| KR20170080595A true KR20170080595A (ko) | 2017-07-10 |
Family
ID=55854257
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020177012131A KR20170080595A (ko) | 2014-11-05 | 2015-11-04 | 인증 상호운용성을 위한 방법들 및 시스템들 |
Country Status (8)
| Country | Link |
|---|---|
| US (1) | US20160127903A1 (ko) |
| EP (1) | EP3216271A1 (ko) |
| JP (1) | JP2018502529A (ko) |
| KR (1) | KR20170080595A (ko) |
| CN (1) | CN107079027A (ko) |
| BR (1) | BR112017009376A2 (ko) |
| CA (1) | CA2963157A1 (ko) |
| WO (1) | WO2016073607A1 (ko) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102570359B1 (ko) * | 2022-05-31 | 2023-08-29 | 한전케이디엔주식회사 | 전력 계통망 시스템에서 장치들의 재인증 방법 및 장치 |
Families Citing this family (26)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10057766B2 (en) * | 2014-10-21 | 2018-08-21 | Qualcomm Incorporated | Methods and systems for authentication interoperability |
| RU2665064C1 (ru) * | 2015-02-12 | 2018-08-28 | Телефонактиеболагет Лм Эрикссон (Пабл) | Беспроводная связь, включающая в себя кадр обнаружения быстрого первоначального установления линии связи, fils, для сетевой сигнализации |
| US10205598B2 (en) * | 2015-05-03 | 2019-02-12 | Ronald Francis Sulpizio, JR. | Temporal key generation and PKI gateway |
| US10791093B2 (en) * | 2016-04-29 | 2020-09-29 | Avago Technologies International Sales Pte. Limited | Home network traffic isolation |
| US10165608B2 (en) * | 2016-06-02 | 2018-12-25 | Cisco Technology, Inc. | System and method to provide fast mobility in a residential Wi-Fi network environment |
| US10624006B2 (en) | 2016-08-05 | 2020-04-14 | Qualcomm Incorporated | Techniques for handover of a connection between a wireless device and a local area network, from a source access node to a target access node |
| US10367792B2 (en) * | 2016-08-25 | 2019-07-30 | Orion Labs | End-to end encryption for personal communication nodes |
| US10433163B2 (en) * | 2016-09-19 | 2019-10-01 | Qualcomm Incorporated | Techniques for deriving security keys for a cellular network based on performance of an extensible authentication protocol (EAP) procedure |
| CA3121771C (en) * | 2016-09-30 | 2023-01-03 | The Toronto-Dominion Bank | Information masking using certificate authority |
| MY181840A (en) * | 2016-11-04 | 2021-01-08 | Thomson Licensing | Devices and methods for client device authentication |
| JP6288219B1 (ja) | 2016-11-18 | 2018-03-07 | Kddi株式会社 | 通信システム |
| US10630682B1 (en) | 2016-11-23 | 2020-04-21 | Amazon Technologies, Inc. | Lightweight authentication protocol using device tokens |
| US10129223B1 (en) * | 2016-11-23 | 2018-11-13 | Amazon Technologies, Inc. | Lightweight encrypted communication protocol |
| WO2019106451A1 (en) * | 2017-11-30 | 2019-06-06 | Telefonaktiebolaget Lm Ericsson (Publ) | Serving-network based perfect forward security for authentication |
| FR3077175A1 (fr) * | 2018-01-19 | 2019-07-26 | Orange | Technique de determination d'une cle destinee a securiser une communication entre un equipement utilisateur et un serveur applicatif |
| US11411942B1 (en) | 2019-07-22 | 2022-08-09 | Cisco Technology, Inc. | Systems and methods for roaming management between access points |
| US11095440B2 (en) * | 2019-11-29 | 2021-08-17 | Verizon Patent And Licensing Inc. | Systems and methods for utilizing quantum entropy in single packet authorization for secure network connections |
| CN112995993A (zh) * | 2019-12-02 | 2021-06-18 | 西安西电捷通无线网络通信股份有限公司 | 无线网络切换方法及设备 |
| US11750399B2 (en) * | 2019-12-06 | 2023-09-05 | Motional Ad Llc | Cyber-security protocol |
| US11777935B2 (en) | 2020-01-15 | 2023-10-03 | Cisco Technology, Inc. | Extending secondary authentication for fast roaming between service provider and enterprise network |
| US11706619B2 (en) | 2020-03-31 | 2023-07-18 | Cisco Technology, Inc. | Techniques to facilitate fast roaming between a mobile network operator public wireless wide area access network and an enterprise private wireless wide area access network |
| US11765581B2 (en) | 2020-03-31 | 2023-09-19 | Cisco Technology, Inc. | Bootstrapping fast transition (FT) keys on wireless local area access network nodes based on private wireless wide area access network information |
| US11778463B2 (en) | 2020-03-31 | 2023-10-03 | Cisco Technology, Inc. | Techniques to generate wireless local area access network fast transition key material based on authentication to a private wireless wide area access network |
| US11805561B2 (en) * | 2020-04-28 | 2023-10-31 | Intel Corporation | Multi-link device re-setup and transition |
| US11711213B2 (en) | 2020-07-23 | 2023-07-25 | PolySign, Inc. | Master key escrow process |
| KR102313372B1 (ko) * | 2021-02-24 | 2021-10-15 | 주식회사 에프원시큐리티 | 사물인터넷 환경에서 디바이스 인증방법 및 이를 위한 디바이스 인증시스템 |
Family Cites Families (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5953420A (en) * | 1996-10-25 | 1999-09-14 | International Business Machines Corporation | Method and apparatus for establishing an authenticated shared secret value between a pair of users |
| US7395427B2 (en) * | 2003-01-10 | 2008-07-01 | Walker Jesse R | Authenticated key exchange based on pairwise master key |
| US7263357B2 (en) * | 2003-01-14 | 2007-08-28 | Samsung Electronics Co., Ltd. | Method for fast roaming in a wireless network |
| KR20050064119A (ko) * | 2003-12-23 | 2005-06-29 | 한국전자통신연구원 | 인터넷접속을 위한 확장인증프로토콜 인증시 단말에서의서버인증서 유효성 검증 방법 |
| CN1964253B (zh) * | 2005-11-09 | 2010-07-21 | 华为技术有限公司 | 一种在密钥污染后重新生成密钥的方法 |
| US20080072047A1 (en) * | 2006-09-20 | 2008-03-20 | Futurewei Technologies, Inc. | Method and system for capwap intra-domain authentication using 802.11r |
| CN101599878A (zh) * | 2008-06-06 | 2009-12-09 | 华为技术有限公司 | 重认证方法、系统及鉴权装置 |
| DE102010013602B4 (de) * | 2010-03-31 | 2015-09-17 | Continental Automotive Gmbh | Verfahren zur Erkennung eines Fehlverhaltens eines elektronisch geregelten Kraftstoffeinspritzsystems eines Verbrennungsmotors |
| US8644515B2 (en) * | 2010-08-11 | 2014-02-04 | Texas Instruments Incorporated | Display authenticated security association |
| US9220358B2 (en) * | 2011-07-25 | 2015-12-29 | Wade Wheeler | Rotational mount for hand-held electronics |
| US9143937B2 (en) * | 2011-09-12 | 2015-09-22 | Qualcomm Incorporated | Wireless communication using concurrent re-authentication and connection setup |
| US8837741B2 (en) * | 2011-09-12 | 2014-09-16 | Qualcomm Incorporated | Systems and methods for encoding exchanges with a set of shared ephemeral key data |
| US9439067B2 (en) * | 2011-09-12 | 2016-09-06 | George Cherian | Systems and methods of performing link setup and authentication |
-
2015
- 2015-11-03 US US14/931,574 patent/US20160127903A1/en not_active Abandoned
- 2015-11-04 BR BR112017009376-6A patent/BR112017009376A2/pt not_active Application Discontinuation
- 2015-11-04 CN CN201580059742.4A patent/CN107079027A/zh active Pending
- 2015-11-04 JP JP2017543302A patent/JP2018502529A/ja active Pending
- 2015-11-04 KR KR1020177012131A patent/KR20170080595A/ko unknown
- 2015-11-04 EP EP15795089.0A patent/EP3216271A1/en not_active Withdrawn
- 2015-11-04 WO PCT/US2015/059038 patent/WO2016073607A1/en active Application Filing
- 2015-11-04 CA CA2963157A patent/CA2963157A1/en not_active Abandoned
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102570359B1 (ko) * | 2022-05-31 | 2023-08-29 | 한전케이디엔주식회사 | 전력 계통망 시스템에서 장치들의 재인증 방법 및 장치 |
Also Published As
| Publication number | Publication date |
|---|---|
| CA2963157A1 (en) | 2016-05-12 |
| EP3216271A1 (en) | 2017-09-13 |
| US20160127903A1 (en) | 2016-05-05 |
| CN107079027A (zh) | 2017-08-18 |
| BR112017009376A2 (pt) | 2018-01-30 |
| WO2016073607A1 (en) | 2016-05-12 |
| JP2018502529A (ja) | 2018-01-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR20170080595A (ko) | 인증 상호운용성을 위한 방법들 및 시스템들 | |
| KR102341270B1 (ko) | 인증 상호운용성을 위한 방법들 및 시스템들 | |
| US10382206B2 (en) | Authentication mechanism for 5G technologies | |
| EP3513526B1 (en) | System and method for massive iot group authentication | |
| US9445443B2 (en) | Network based provisioning of UE credentials for non-operator wireless deployments | |
| US9654972B2 (en) | Secure provisioning of an authentication credential | |
| US8892874B2 (en) | Enhanced security for direct link communications | |
| US10694376B2 (en) | Network authentication method, network device, terminal device, and storage medium | |
| KR20070120176A (ko) | 키 머티리얼의 교환 | |
| US10212140B2 (en) | Key management | |
| US9491621B2 (en) | Systems and methods for fast initial link setup security optimizations for PSK and SAE security modes | |
| TW201733377A (zh) | 無線廣域網路無線區域網路聚合保全 | |
| CN107925874B (zh) | 超密集网络安全架构和方法 | |
| Li et al. | An efficient WLAN initial access authentication protocol | |
| Kumar et al. | Seamless and Secure Communication for 5G Subscribers in 5G-WLAN Heterogeneous Networks |