KR20170095355A

KR20170095355A - 가입자 식별 모듈 풀링

Info

Publication number: KR20170095355A
Application number: KR1020177019713A
Authority: KR
Inventors: 존 브루너; 캘빈 최; 샤이 구데이
Original assignee: 마이크로소프트 테크놀로지 라이센싱, 엘엘씨
Priority date: 2014-12-16
Filing date: 2015-12-14
Publication date: 2017-08-22
Also published as: CN107005836A; EP3235276A1; EP3235276B1; US20160174069A1; US9615250B2; CN107005836B; WO2016100146A1; KR102369847B1

Abstract

셀룰러 디바이스들의 풀(pool)은 셀룰러(무선, over-the-air) 프로비저닝 접속성을 위해 동일한 프로비저닝 프로파일을 공유한다. 개념적으로, 하나 이상의 프로비저닝 프로파일의 제한된 풀이 MNO의 백엔드 장비에서 설정된다. 다수의 셀룰러 디바이스들이 풀로부터 동일한 프로비저닝 프로파일을 사용해 각각 구성된다. 실제로, 풀 내의 프로비저닝 프로파일들의 개수는 풀 내에서 프로비저닝 프로파일들을 사용하도록 구성된 셀룰러 디바이스들의 개수보다 몇 차수(orders of magnitude) 작을 수 있다.

Description

가입자 식별 모듈 풀링{SUBSCRIBER IDENTIFICATION MODULE POOLING}

현재 다양한 유형들의 디바이스들은, 셀룰러 네트워크와 통신할 수 있는 모바일국(mobile station, 사용자 장비)으로서 기능하기 위해 필요한 하드웨어와 소프트웨어로 구성될 수 있다. 랩톱, 스마트폰, 및 태블릿은 셀룰러-가용(cellular-capable) 구성과 비셀룰러(non-cellular) 구성으로 종종 판매된다. 셀룰러 통신을 위해 디바이스를 구성하는 비용의 일부는, 각 디바이스를 위해 고유한 통신 파라미터를 생성 및 분배하기 위한 필요로부터 기인한다. 통상적으로, 이것은, 특히, SIM 카드를 제조하고, 각 SIM 카드에 대해 고유한 보안 키 및 고유한 IMSI(International Mobile Subscriber Identity)를 생성할 수 있는 SIM(Subscriber Identification Module) 관리자를 수반한다. 이 정보 또는 프로파일은 통상적으로 셀룰러 통신 프로토콜을 위한 요건이고, SIM 카드상에 안전하게(securely) 저장되어야 하며, 결국 MNO(Mobile Network Operator)의 HLR(Home Location Register)에 저장되기 위해 MNO에 제공되어야 한다. 현재까지, 셀룰러-가용 디바이스들이 셀룰러 통신을 수행하기 위해 MNO와 함께 궁극적으로 활성화되는지에 상관없이, 이 단계들은 거의 모든 셀룰러-가용 디바이스들에 대해 수행되어 왔다. 많은 셀룰러-가용 디바이스들이 결코 활성화되지 않는다는 것을 고려하면, 사용되지 않은 능력(capability)을 제공하는 대응하는 전체 비용은 상당할 수 있다.

디바이스가 활성화되지 않는 셀룰러 능력을 갖게 구성하는 비용을 낮추는 것은 명백한 직접적 이점을 가질 뿐만 아니라, 비용이 충분히 낮추어 졌다면, 디바이스 벤더(vendor)는 (낮추어진 비용 차이 때문에) 일부 디바이스의 비셀룰러 버전을 생산하는 것을 중지할 수 있다. 이러한 통합(consolidation)은 생산, 고객 지원, 소프트웨어 유지 보수 등에서 효율성 이득을 가져올 가능성이 있다. 또한, 셀룰러 능력의 확산은 사용자들에게 편리할 것이다. 예를 들면, 대부분의 디바이스들이 셀룰러-가용이거나 비슷한(comparable) 셀룰러 디바이스와 비셀룰러 디바이스의 가격이 충분히 근접하면, 구매자는 디바이스를 구입할 때, 구매 시점에 그 필요가 불확실할 수 있는 능력을 갖도록 추가적인 선행(up-front) 구입 가격이 지불 되어야하는지를 결정할 필요가 없을 것이다.

이런 이유 및 다른 이유 때문에, 디바이스가 셀룰러 통신 능력을 갖게 구성하는 비용을 감소시키는 것이 바람직하다. 특히, MNO가, 판매될 모든 제각기의 셀룰러 디바이스에 대해 고유한 활성화 대기중(waiting-to-be-activated) 프로파일(예컨대, SIM 프로파일)을 저장하고 관리할 필요를 회피하는 것이 이로울 것이다.

다수의 셀룰러 디바이스들간에, 경량이고 아마도 제한된 권한의 SIM 프로파일("프로비저닝(provisioning) 프로파일")을 풀링(pooling)하고 공유하는 것과 관련된 기술이 이하에서 논의된다.

이하의 발명의 내용은 이하의 발명을 실시하기 위한 구체적인 내용에서 논의된 일부 개념을 단지 소개하기 위해서만 포함된다. 이 발명의 내용은 포괄적이지 않고, 본 명세서의 끝에 제시된 청구항들에 의해 제시된 청구되는 특허 대상의 범위를 묘사하도록 의도되지 않는다.

셀룰러 디바이스들의 풀(pool)은 셀룰러(무선, over-the-air) 프로비저닝 접속성에 대해 동일한 프로비저닝 프로파일을 공유한다. 개념적으로, 하나 이상의 프로비저닝 프로파일의 제한된 풀이 MNO의 백엔드 장비에서 설정된다. 다수의 셀룰러 디바이스들이 풀로부터의 동일한 프로비저닝 프로파일을 사용해 각각 구성된다. 실제로, 풀 내의 프로비저닝 프로파일들의 개수는 풀 내에서 프로비저닝 프로파일들을 사용하도록 구성된 셀룰러 디바이스들의 개수보다 몇 차수(orders of magnitude) 작을 수 있다.

다수의 수반되는 특징들이 첨부 도면들과 관련하여 고려되는 이하의 발명을 실시하기 위한 구체적인 내용을 참조해 이하에서 설명될 것이다.

본 설명은 첨부 도면들에 비추어 읽혀진 다음의 상세한 설명으로부터 더 잘 이해될 것이며, 도면들 중에서 유사한 참조 번호들은 동반하는 설명에서 유사한 부분들을 지정하는데 사용된다.
도 1은, 네트워크상의 셀룰러 디바이스를 인증하기 위한 카드의 구성과 카드의 사용에서 수반되는 요소들을 도시한다.
도 2는 셀룰러 디바이스에게 각각의 고유한 프로파일을 제공하는 종래의 접근법을 도시한다.
도 3은 셀룰러 디바이스의 하나 이상의 풀 중에서 공유될 하나 이상의 프로비저닝 프로파일을 사용하도록 셀룰러 디바이스 및 MNO를 구성하기 위한 프로세스를 도시한다.
도 4는 동일한 프로비저닝 프로파일이 다수의 카드들에 의해 저장되는 일 대 다(one-to-many) 실시예를 도시한다.
도 5는 다 대 다 실시예를 도시한다.
도 6은 공유된 프로비저닝 프로파일을 사용하는 검증 프로세스를 도시한다.
도 7은 동적으로 프로비저닝 프로파일을 생성하기 위한 프로세스를 도시한다.

본 발명의 실시예의 설명은 본 개시에서 사용된 용어들의 논의와 함께 시작될 것이다. 그런 다음, 네트워크에 접속(attach)되는 셀룰러 디바이스를 위한 인증 프로세스의 개요가 제시될 것이다. 그런 다음, SIM 프로파일의 양상이 논의될 것이고, 프로비저닝 프로파일을 생성하는 방법 뿐만 아니라 이러한 프로파일의 피처(feature)특징의 설명에 의해 후속될 것이다. 셀룰러 디바이스에게 프로비저닝 프로파일을 제공하는 상이한 방식들이 설명될 것이다. 이 설명은, 셀룰러 디바이스를 인증하기 위해 프로비저닝 프로파일을 사용하기 위해 도움이 될 수 있는 프로세스의 설명에 의해 후속될 것이다.

다수의 셀룰러 전화 용어들이 본 개시에서 사용될 것이다. 본 개시에서 정의가 제공되지 않으면, 이러한 용어들은 그 자신들의 일상적인 의미를 가질 것이다. 용어 “카드”는 SIM 카드, UICC(Universal Integrated Circuit Card), 임베디드 UICC(eUICC, 때때로 "소프트 SIM"이라고 잘못 지칭됨), 셀룰러 디바이스의 메인 메모리와 CPU에 의해 완전히 또는 부분적으로 구현된 진정한(true) “소프트 SIM”, TPM(Trusted Platform Module) 구현 등과 같은 잘 알려진 유형의 스마트 카드를 지칭한다. 이 용어는 또한 (i) 구체적으로, GSMA의 “임베디드 SIM 원격 프로비저닝 아키텍처(Embedded SIM Remote Provisioning Architecture)”(예컨대, 2013년 12월 17일자의 버전 1.1을 참조함)에서 발견되는 피처를 가진 e-SIM(embedded SIM)과, (ii) 일반적으로, 쉽게 액세스 가능하거나 대체 가능할 수 없거나 셀룰러 디바이스 내에서 제거되거나 대체되도록 의도되지 않지만 셀룰러 가입의 안전한 변경 또는 추가를 가능케 할 수 있는 임의의 카드를 지칭할 것이다. 일반적으로, 이 용어는 셀룰러 네트워크에 액세스하기 위한 인증 데이터를 안전하게 하는(secure) 모듈의 임의의 하드웨어/소프트웨어 구현을 지칭하고, 프로파일을 안전하게 저장하고 아마도 수정, 추가, 또는 제거할 능력을 통상 가질 것이다. 통상적인 카드는, 암호로 보안된 저장소와, 아마도 암호 프로세서(crypto-processor)를 포함하는 하나 이상의 프로세서를 가질 것이다.

용어 “프로파일”과 “프로비저닝 프로파일”은, MNO의 셀룰러 네트워크에의 액세스를 얻도록 MNO의 인증 센터(Authentication Center; AuC)를 사용해 셀룰러 디바이스를 인증하기 위해 사용될 수 있는 이산적(discrete) 세트의 정보를 지칭할 것이다. 카드상의 USIM 애플리케이션에 대한 추가적인 정보에 대해서는, "3GPP TS 31.102” 규격이 참조되고, 보안에 대한 추가적인 정보에 대해서는 "3GPP TS 33.102” 규격이 참조된다. 일부 구현에서, “프로비저닝 프로파일”은 단지 제한된 권한(privilege)만을 인가할 수 있고, 구현에 따라서, 완전한 활성화된 가입자 프로파일에서 발견되는 동일 유형의 데이터를 가질 수 있다.

용어 “셀룰러 디바이스”는, 만약 존재한다면, 이러한 디바이스가 그것의 일부일 수 있는, 예를 들면, 테스트 장비, 소위 사물 통신(machine-to-machine communication)에서 사용되는 디바이스(즉, 사용자 제어 또는 입력 없이 셀룰러 통신을 통상적으로 수행하는 디바이스), 예컨대, 기기(appliance), 수급 계기(utility meter), 차량, 로봇 등을 포함하는 장치의 유형에 상관 없이, 셀룰러 네트워크(즉, 모바일국, 또는 사용자 장비)와 통신하는 능력을 가진 임의의 디바이스를 지칭한다. 이 용어는 지칭되고 있는 셀룰러 디바이스상에 설치된 임의의 카드를 포함하도록 보통 고려될 것이다. 용어 “모바일 디바이스”는 때때로 셀룰러 디바이스의 예시로서 본 개시에서 사용될 것이다.

본 개시에서 사용되는 용어 “네트워크”는, 다르게 명시되지 않으면, 예를 들면, GSM(Global System for Mobile Communications) 네트워크, GPRS(General Packet Radio Service) 네트워크, CDMA 변종, EV-DO(Evolution-Data Optimized) 네트워크, EDGE(Enhanced Data Rates for GSM Evolution) 네트워크, UMTS(Universal Mobile Telecommunications System) 네트워크, LTE(Long-Term Evolution) 네트워크 등을 포함하는 임의의 유형의 셀룰러 네트워크를 지칭한다. SIM 카드는 다른 인증, 예컨대, EAP-SIM(Extensible Authentication Protocol SIM), EAP-AKA (Extensible Authentication Protocol - Authentication and Key Agreement), 및 EAP-AKA-프라임을 위해서 또한 때때로 사용된다는 것이 주목된다.

상황에 따라, 용어 “MNO”는 모바일 네트워크를 동작시키는 회사, 또는 모바일 네트워크 운영자에 의해 동작되는 장비, 또는 장치(들)를 지칭할 것이다.

도 1은, 네트워크상의 셀룰러 디바이스를 인증하기 위한 카드(100)의 구성과 카드의 사용에서 수반되는 요소들을 도시한다. 카드(100)는, SM(106)이 카드(100)상에 안전하게 저장되는 값을 생성하는 것을 통상적으로 수반하는 SIM 관리자(SM)(106)에 의해 초기에 구성될 수 있다. 이러한 값은 프로파일(107)로서의 역할을 하는(serve) 비밀 키(Ki)와 IMSI(International Mobile Subscriber Identity)를 보통 포함한다. 이 값은 ICCID(Integrated Circuit Card Identifier), 핀(pin), 잠금 해제 키 등과 같은 다른 정보를 종종 포함한다. 그런 다음, 비밀 키와 IMSI는 HLR(Home Location Register)(110)에 크리덴셜(credential) 또는 프로파일(107)을 저장하는 MNO(108)에 보안 채널을 통해 전달된다.

셀룰러 디바이스(102)가 네트워크(104)에 접속되는 것을 시도할 때, 셀룰러 디바이스(102)는 셀 타워를 통해 연결되고, 적절한 채널을 발견하고, 그 자신을 MNO(108)에게 식별시키고, MNO(108)를 식별하며, MNO(108)의 AuC(112)와 같은 백 엔드에서의 적절한 서비스에 아마도 결합된다(tied). 그런 다음, 카드(100)상에서 실행되는 안전한(secure) 애플리케이션에 의해 수행되는 셀룰러 디바이스(102)에 대한 검증과 AuC (112)에 의해 일반적으로 수행되는 MNO(108)에 대한 검증을 하는 아이덴티티 검증 프로세스가 개시된다.

아이덴티티 검증은 카드(100)에 의해 제공된 아이덴티티 값을 셀룰러 디바이스(102)가 AuC(112)에게 송신하는 것으로 시작한다. AuC(112)는 아이덴티티 값을 수신하고 이 아이덴티티 값을 (HLR(110) 내의 프로파일(107)로부터 획득된) 비밀 키에 기초해 대칭 암호화 알고리즘을 사용해 암호화한다. AuC(112)는 난수 - 난스(nonce) - 를 또한 생성하고, 이들 두 항목들, 즉, 암호화된 아이덴티티 값과 난수를 셀룰러 디바이스(102)에 다시 전송한다. 이에 대한 응답으로, 셀룰러 디바이스(102)는 두 개의 것들을 수행한다. 동일 암호화 알고리즘과 보안 키를 사용해서, 카드(100)는 암호화된 값을 복호화하고, 그런 다음, 복호화된 값을 원래 송신된 아이덴티티 값과 비교해서 MNO(108)가 신뢰 된다(즉, 비밀 키를 소유함)고 검증한다. 셀룰러 디바이스(102)는 또한 난스를 취하고, 키를 사용해 암호화 알고리즘을 적용해서(카드(100)) 난스를 암호화하며, 암호화된 난스를 AuC(112)에 전송한다. AuC(112)는 난스를 복호화하기 위해 비밀 키를 사용하고, 그런 다음, 복호화된 난스가 원래 송신된 난스와 매칭되면 MNO(108)가 셀룰러 디바이스(102)를 신뢰한다.

MNO(108)를 신뢰할지 여부를 추가로 결정하도록, 암호화 핸드셰이크의 프로세싱의 일부로서, 셀룰러 디바이스(102)는 MNO(108)로부터 (보통 AuC(112)로부터) 시퀀스 번호(sequence number)를 검사할 수 있다. 재전송 공격(replay attack)을 회피하기 위해, MNO(108)는, 비록 또 다른 셀룰러 디바이스에 대해서라도, MNO(108)가 동일 IMSI를 위한 또 다른 인증을 수행할 때마다 증가되는, 셀룰러 디바이스(102)의 아이덴티티(즉, IMSI)와 연관된 시퀀스 번호를 유지한다. MNO(108)는 난스와 함께 시퀀스 번호를 송신한다. 검증 동안, MNO(108)로부터의 각 응답에 대해, 카드(100)는 응답의 시퀀스 번호가 MNO(108)로부터의 이전 응답의 시퀀스 번호보다 클 것을 통상 요구한다(즉, 카드는 시퀀스 번호가 반복되지 않을 것을 기대함). 실제에서, 검증을 위해, 가장 최근에 수신된 시퀀스 번호가 적절한 범위 내에 있고 이미 수신되지 않았다는 것을 검증하기 위한 복잡한 규칙이 존재할 수 있다. 일부 실시예에서, 카드(100)는 최근에 사용된 시퀀스 번호들의 세트를 추적하고 들어오는(incoming) 시퀀스 번호의 복제본이 세트 내에 존재하는지 여부를 결정한다. 일단 검증이 완료되었으면, 셀룰러 디바이스(102)는 인증된 것으로 고려될 수 있고, MNO(108)는 다양한 백엔드 자원들, 예를 들면, 인터넷 APN, IMS(IP Multimedia System), APN 등과 같은 하나 이상의 APN(Access Point Name)에 액세스하기 위해 셀룰러 디바이스(102)를 인가할 수 있다.

위에서 설명된 예시적인 인가 프로세스는 3GPP 인증 프로토콜의 간결한 설명이다; 논의를 위해, 일부 세부 사항들이 생략되었다. 프로비저닝 프로파일에 의존하는 다른 절차가 셀룰러 디바이스와 MNO 사이에서 신뢰를 확립하기 위해 사용될 수 있다.

셀룰러 디바이스가 초기에 구성되고 특정 MNO로의 가입 없이 사용자에게 판매될 때, 또는 예를 들면, 셀룰러 디바이스가 리셋되거나 새로운 카드를 수신할 때, 이러한 셀룰러 디바이스가 무선으로(셀룰러 네트워크를 통해) 특정 MNO에 가입할 수 있게 하는 것이 바람직할 수 있다. 셀룰러 디바이스의 목표 MNO와의 무선 가입 또는 등록은, 새로운 셀룰러 디바이스가 목표 MNO와 통신하도록 일부 초기 셀룰러 네트워크에 접속(attach)할 수 있는 것을 요구한다. 이 접속은 (예를 들면, 도 1을 참조해 설명된 바와 같이) 초기 셀룰러 네트워크의 MNO에 의해 셀룰러 디바이스의 검증을 요구한다. 논의를 위해, 목표 네트워크와 초기 네트워크는 동일하고 동일 MNO에 의해 동작된다고 가정될 것이지만, 이들 네트워크들은 상이할 수 있다.

MNO와의 무선 가입을 위해 MNO의 네트워크에 접속하기 위해, 셀룰러 디바이스는 MNO를 검증할 수 있어야 하고, 셀룰러 디바이스는 MNO가 셀룰러 디바이스를 검증하는 것을 허용하기 위해 적절하게 그 자신을 MNO에게 식별시킬 수 있어야 한다. 이 목적을 달성하기 위해, 셀룰러 디바이스는 아이덴티티(예컨대, IMSI)와, 비밀 키로부터 도출된 크리덴셜을 제시할 수 있어야 하며, 여기서 아이덴티티와 비밀 키가 MNO에게 알려져 있다. 도 2에 도시된 바와 같이, 종래 접근법은 셀룰러 디바이스들, 예컨대 각각의 새로운 셀룰러 디바이스에게 제각기의 고유한 프로파일을 제공하는 것이었다. 이 접근법은 HLR(110) 내의 제각기의 레코드들을 사용해 제각기의 카드들(100a-100d)에 고유 프로파일들(107a-107b)을 저장하는 것을 수반할 수 있다. 이러한 일대일 접근법을 사용해서는, 셀룰러 디바이스들이 수천만대 또는 수 억대 생산되고 판매될 때, 각 셀룰러 디바이스가 MNO와의 활성화 또는 MNO에 가입하기 위해 셀룰러 네트워크에 초기에 접속되게 할 수 있는 프로파일(예컨대, IMSI, 비밀키 등)을 하나 이상의 HLR과 각각의 셀룰러 디바이스의 카드에 제공하기 위한 상당한 비용과 오버헤드가 있을 수 있다. 요컨대, 많은 수의 디바이스들을 위해 기능하는 프로파일들을 설정하기 위한 상당한 전체 오버헤드가 존재하고, 이 오버헤드는 디바이스들이 낮은 접속 비율(attachment rate)을 가지면 대개 낭비된다. 이하에서, 용어 “프로비저닝 프로파일”은 네트워크에의 무선 초기 접속을 가능케하는 프로파일을 지칭할 것이고, “가입자 프로파일”은, 프로비저닝 프로파일의 아이덴티티를 사용해 네트워크에 연결된 동안 생성되는(또는 이러한 프로파일이 사전에 생성되는 경우 할당되는) 프로파일을 지칭할 것이다.

본 발명자들은 단독으로, 각 셀룰러 디바이스에 대해 고유한 가입자 또는 프로비저닝 프로파일을 설정하는 부담을 감소시키는 것이 이로울 수 있다는 것을 인식하였다 - 아주 많은 프로파일들을 생성하고, 저장하며, 관리하는 것은 비용이 많이 든다. 본 발명자들은 단독으로, 고유한 가입자 프로파일들의 무선 프로비저닝을 가능케하는 구체적이고 아마도 제한된 목적을 위해, 셀룰러 디바이스들의 풀(pool)들에 의해 동시에 공유될 수 있는 하나 이상의 프로비저닝 프로파일을 HLR(들)에 저장하는 것이 가능할 수 있다는 것을 또한 인식했다. 다시 말해서, 다수의 셀룰러 디바이스들은 동일 프로비저닝 프로파일을 사용해, 또는 고유하지 않은 프로비저닝 프로파일을 시뮬레이팅하거나 생성하기 위한 능력을 가지고 동시에 구성될 수 있다.

도 3은 셀룰러 디바이스의 하나 이상의 풀 중에서 공유될 하나 이상의 프로비저닝 프로파일을 사용하도록 셀룰러 디바이스 및 MNO를 구성하기 위한 프로세스를 도시한다. 사전에, 하나 이상의 프로비저닝 프로파일이 단계(130)에서 생성된다. 단계(130)은 하나 이상의 SM, 하나 이상의 MNO, 협력하는 SM과 MNO, 또는 셀룰러 디바이스의 벤더와 같은 다른 회사에 의해 수행될 수 있다. 논의를 위해, 단지 하나의 MNO가 프로비저닝 프로파일을 사용한다고 가정될 것이지만, 실제에서는 프로비저닝 프로파일은 많은 MNO들에게 분배될 수 있다.

단계(132)에서, MNO는 그 자신의 HLR에 하나 이상의(논의를 위해, 이제 복수라고 지칭됨) 프로비저닝 프로파일을 등록한다. 차후에 상세히 논의되듯이, HLR은 MNO가, 아마도 제한된 권한을 가진 특수 유형의 프로파일로서 프로비저닝 프로파일을 식별하는 것을 허용하도록 구성될 수 있다. 단계(134)에서, 셀룰러 디바이스는 프로비저닝 프로파일을 사용할 수 있도록 구성된다. 이는 다수의 방식으로 행해질 수 있다. 각 셀룰러 디바이스의 카드는 동일한 단일 프로비저닝 프로파일을 저장할 수 있다. 또는, 예를 들면, 1,000,000개의 새로운 셀룰러 디바이스들과 1,000개의 프로비저닝 프로파일들이 있다면, 이들 디바이스들은 1,000개의 그룹들로 나누어질 수 있고, 프로비저닝 프로파일들은 제각기의 그룹들에 할당될 수 있다. 또한, 디바이스들은 다수의 또는 모든 이용가능한 프로비저닝 프로파일들에 할당될 수 있다(일부 카드들, 예를 들면, TPM으로 구현된 카드들은 충분한 저장소를 가질 수 있다). 프로비저닝 프로파일은 라운드 로빈 방식으로, 무작위로, 카드의 ICCID의 해시로서, 또는 그 외 다른 방식으로 카드/디바이스에 분배될 수 있다. 나중에 상세히 설명되는 또 다른 접근법은, 아마도 네트워크에 접속하려고 시도할 때, 하나 이상의 프로비저닝 프로파일들을 동적으로 생성할 수 있도록 카드를 구성하는 것이다. 어느 셀룰러 디바이스(카드)가 어느 프로비저닝 프로파일(들)을 사용할지를 결정하기 위해 다른 기술이 사용될 수 있다.

단계(136)에 의해 표현되는 바와 같이, 일단 셀룰러 디바이스가 프로비저닝 프로파일을 가지고 있거나 프로파일로서 서빙하기 위해 충분한 크리덴셀을 가지고 있다면, 프로비저닝 프로파일은 가입자 프로파일의 무선 프로비저닝을 위해 사용된다. 이러한 활성화 후에, 프로비저닝 프로파일이 삭제되거나 비활성화되고 미래의 사용을 위해 저장될 수 있다. 도 3의 프로세스가 다양한 시나리오들에서 사용될 수 있다는 것이 주목된다. 예를 들면, 새로운 셀룰러 디바이스가 생산되거나 구입될 때, 셀룰러 디바이스가 재구성될 때, 새로운 셀룰러 디바이스로 업그레이드할 때와 같이 사용자가 기존 프로파일을 셀룰러 디바이스에 이전(transfer)할 때 등과 같은 다양한 시나리오들이 있다.

도 4는, 동일한 프로비저닝 프로파일(107e)이 다수의 카드들(100e-100h)에 의해 저장되는 일 대 다 실시예를 도시한다. 도 5는 다 대 다 실시예를 도시한다. 이 실시예에서는, 카드들의 그룹들이 제각각 프로비저닝 프로파일들 중 상이한 프로비저닝 프로파일을 공유한다. 예를 들면, 카드(100e)와 카드(100f)는 IMSI_i와 키_i를 포함하는 프로비저닝 프로파일을 공유하고, 카드(100g)와 카드(100h)는 IMSI_j와 키_j를 포함하는 또 다른 프로비저닝 프로파일을 공유한다. 또 다른 다 대 다 실시예에서, 다수의 카드들이 다수의 공유된 프로비저닝 프로파일들을 저장할 수 있다. 예를 들면, 카드들(100e-100h)은 (IMSI_i, 키_i)와 (IMSI_j, 키_j)를 각각 저장할 수 있다. 프로비저닝 프로파일들의 저장은 임의의 시간에 수행될 수 있다. 예를 들면, 판매 이전에 프로비저닝 프로파일은 SM 또는 MNO에 의해 카드에 저장될 수 있다. 또는, 프로비저닝 프로파일은, 카드 또는 디바이스에 의해 동적으로 생성된 후에, 아마도 검증 애플리케이션의 호출(invocation)에 의해 트리거되어 저장될 수 있다. 또한, HLR(110)은 프로파일 공유를 가능케 하기 위해 필요로 하는 수정이 거의 또는 전혀 없는 다양한 기존의 HLR 구현들 중 임의의 HLR 구현일 수 있다. 일 실시예에서, HLR(110), AuC, 또는 일부 다른 백엔드 설비는, 액세스 권한을 제한하기 위한 프로비저닝을 위해 지정된 것으로서 프로파일을 인정할 수 있도록 수정될 수 있다.

도 6은 공유된 프로비저닝 프로파일을 사용하는 검증 프로세스를 도시한다. 비록 프로비저닝 프로파일이 셀룰러 디바이스에 의해 공유될 수 있지만, 그럼에도 검증 프로세스는 예를 들면 GSM 표준에 의해 규정된 바와 같이 임의의 표준 검증 프로토콜을 준수(comply)할 수 있다. 그럼에도, 프로비저닝 프로파일을 사용해 인증을 수행할 때 도움이 될 수 있는 일부 선택된 처치가 이하에서 설명된다. 이들 처치들은 관련된 표준 셀룰러 프로토콜로부터 최소한의 이탈(deviation)을 야기하거나 이탈을 전혀 야기하지 않을 수 있다.

단계(160)에서, 셀룰러 디바이스는, 셀룰러 디바이스에 의해 저장된 프로비저닝 프로파일의 IMSI을 사용해 MNO의 네트워크에 접속하려고 시도한다. 기존의 표준 인증 프로토콜 또는 그 변종은 셀룰러 디바이스를 인증하기 위해 사용된다. 예를 들면, 프로비저닝 프로파일의 비밀 키를 사용하는 암호화된 핸드셰이크는 MNO와 셀룰러 디바이스의 아이덴티티들을 검증하기 위해 사용될 수 있다. 검증이 성공적이면, 단계(162)에서 셀룰러 디바이스가 인증된 것으로 고려되고 MNO에의 아마도 제한된 액세스가 승인된다. 단계(164)에서, MNO의 네트워크와의 연결은 셀룰러 디바이스를 위한 고유한 가입자 프로파일을 구성하기 위해 사용된다. 가입자 프로파일은 MNO의 HLR 내의 셀룰러 디바이스와 연관되고, 셀룰러 디바이스의 카드는 가입자 프로파일을 저장하고, 그런 다음, 가입자 프로파일이 셀룰러 디바이스상에서 활성화된다.

일부 예외가 있지만, MNO는 사기(fraud) 또는 네트워크 장애를 방지하도록 하나의 IMSI에 대해 단지 하나의 연결만을 보통 허용할 것이다. 프로비저닝 프로파일이 셀룰러 디바이스의 그룹 중에서 공유될 때, 이들 셀룰러 디바이스들의 일부는 동시에 동일한 프로비저닝 프로파일을 사용하려고 시도할 수 있다. MNO가 사용 중인 IMSI에 대해 새로운 연결 요청을 검출할 때, MNO는 “카드 사용 중(card in use)” 메시지와 같은 오류 또는 거부 통지를 통상적으로 반환한다(return). 디바이스의 사용자에 의해 경험되는 최소한의 중단 또는 지연을 가지며 이러한 충돌을 취급하도록 셀룰러 디바이스에 의해 처치가 수행될 수 있다. 간단한 접근법은 잠간 대기하고 동일한 프로비저닝 프로파일을 사용해 다시 시도하는 것이다. 다수의 프로비저닝 프로파일들이 (저장소로부터 또는 동적 생성으로부터) 셀룰러 디바이스에게 이용가능하면, 또 다른 접근법은, 충돌이 있을 때 또 다른 프로비저닝 프로파일을 시도하는 것이다. 프로비저닝 프로파일들의 풀(pool)이 이용가능하면, 충돌의 가능성(chance)을 감소시키는 것을 돕는 방식으로 초기 프로비저닝 프로파일이 카드에 의해 선택될 수 있다. 예를 들면, 해시 함수는 셀룰러 디바이스 또는 카드상의 하나 이상의 데이터 항목을 IMSI에 매핑할 수 있다. 또 다른 실시예에서, GPS 위치가 이용가능하면, 이 위치를 포함하는 영역에 대응하는 IMSI가 선택될 수 있다. 프로비저닝 프로파일의 무작위 선택이 또한 효과적일 수 있다.

위에서 언급된 바와 같이, 프로비저닝 프로파일, 또는 프로비저닝 프로파일을 위한 크리덴셀은, 동적으로, 온-디맨드(on-demand)하게, 또는 연결 시도가 임박하다는 것을 표시하는 신호(예컨대, 셀룰러 디바이스상의 “전화 앱”을 여는 것)에 기초해 생성될 수 있다. 도 7은 이러한 프로세스의 예시를 도시한다. 도 7에 대응되는 실시예는, 프로비저닝 프로파일이 미리 정해진 범위 내의 IMSI를 갖는 프로파일이라고 정의되는 가정으로 시작할 수 있다. 일 실시예에서, 이 범위는 카드상에 무엇이 있는가에 의해 고정되고, AuC는 IMSI들에 대한 임의의 지식을 가질 필요가 없으며, 이들을 정상(IMSI, 비밀 키) 쌍으로서 취급한다. 또 다른 실시예에서, 이 범위는 고정된 규약(static convention)일 수 있다; 디바이스와 MNO는 동일한 범위를 가정한다. 이 범위는 또한, 충돌율과 같은 조건, 보안 이유를 위한 롤오버(rollover) 등에 응답해서 MNO에 의해 동적으로 적응될 수 있다. 현재의 범위는, (기능하는 IMSI가 이러한 통신 신호를 무선으로 수신하도록 셀룰러 디바이스에게 이용가능해야 하지만) 표준 셀룰러 프로토콜에 순응(conform)하도록 구조화된 메시지의 미사용되거나 과적재된(overloaded) 필드 내에 또는 오류/재시도 메시지 내에서 전달될 수 있다. 표준 비밀 키가 저장되는 것과 아마도 동일한 방식으로 관련 HLR과 카드가 마스터 비밀 키를 초기에 안전하게 저장한다는 가정이 또한 있을 수 있다. 다음에 설명되는 바와 같이, 마스터 비밀 키는 고유한 IMSI를 제각기의 고유한 동적 비밀 키에 안전하게 매핑하는 것을 도울 수 있다.

도 7로 복귀하면, 단계(180)에서, IMSI는 미리 정해진 범위로부터, 아마도 무작위로, 또는 프로파일을 선택하기 위해 위에서 논의된 방법에 따라 선택된다. 예를 들면, 미리 규정된 범위가 1,000개의 연속적인 IMSI들을 포괄(span)하면, 1 내지 1000 중의 난수가 생성되고 기저(base) IMSI 값에 추가된다. 단계(182)에서, 동적 보안 키가 IMSI와 마스터 비밀 키의 함수로서 컴퓨팅된다. 예를 들면, 동적 비밀 키는, 비밀 마스터 키를 사용해 IMSI를 대칭적으로 암호화함으로써 컴퓨팅된다. 단계(184)에서, 동적으로 생성된 비밀 키와 선택된 IMSI는 MNO와 인증 시키기 위해 사용된다. 도 1을 참조해 위에서 설명된 암호화된 핸드셰이크가 예를 들면, GSM 표준을 따라 사용될 수 있으며 동적 비밀 키는 카드와 MNO에 의해 공유되는 비밀 키로써의 역할을 한다. 어느 IMSI가 사용되고 있는지를 알고 비밀 키를 알고 있는 MNO는 또한 동일한 동적 비밀 키를 컴퓨팅한다.

다른 방법이 키를 동적으로 생성하기 위해 사용될 수 있다. 예를 들면, 임의의 수학적 함수(1 대 1 매핑)는 IMSI와 마스크 비밀 키의 조합(예컨대, 곱, 합, 접합(concatenation) 등)을 동적 비밀 키에 매핑할 수 있다. 일 실시예에서, 프로비저닝 IMSI가 사용되기 전에, MNO는 범위 내의 제각기의 IMSI들을 위한 동적 비밀 키들 전부를 생성하고 저장할 수 있다. 인증할 때, 미리 컴퓨팅된 키가 컴퓨팅되기 보다는 룩업(look up)된다.

단계(186)에서, 사용 중인 선택된 IMSI에 기인한 충돌이 존재하면, 또 다른 IMSI가 선택되고 단계들(182 내지 186)이 반복된다. 단계(188)에서, MNO의 네트워크상의 채널은 알려진 방식으로 수행될 수 있는, 셀룰러 디바이스에게 가입자 프로파일을 프로비저닝하도록 사용된다. 가입자 프로파일은 MNO의 HLR에서 MNO에 의해 또한 활성화된다. 디바이스 또는 카드의 리셋은 카드상에서 가입자 프로파일을 활성화하기 위해 필요할 수 있다.

임시(provisional) 프로파일에게 단지 제한된 권한만을 제공하도록, MNO는 별도의 SIM 프로비저닝 네트워크 및 대응 APN을 제공할 수 있다. 인증 동안에, MNO는, IMSI가 프로비저닝 프로파일에 대응한다는 것을 인식하고, 인증 후에, SIM 프로비저닝 네트워크에게만 연결성을 승인한다. SIM 프로비저닝 네트워크상의 서버는, 보통의 고유한 가입자 프로파일을 셀룰러 디바이스와 HLR에게 제공하고, HLR에게, 디바이스/사용자를 위해 새로운 아이덴티티를 생성하고 가입자 프로파일을 디바이스/사용자와 연관시킬 것을 지시함으로써 활성화를 돕고, 그렇지 않으면, 디바이스를 프로비저닝 상태로부터 동작 상태로 전이(move)시키는 것을 도울 수 있다. 위에서 주목된 바와 같이, 무선 프로비저닝을 수행하는 MNO는, 가입자 프로파일을 발행하는 MNO와는 동일한 MNO일 필요가 없다.

다수의 셀룰러 디바이스들이 동일 기간에 동일 IMSI를 사용하고 있을 수 있기 때문에, 제각기의 프로비저닝 IMSI들과 연관된 MNO의 시퀀스 번호들이 정상보다 높은 레이트(rate)로 증가할 수 있다. 이것은 셀룰러 디바이스들 중 일부가, 카드가 고유한 IMSI를 가질 때 통상적으로 발생하는 것보다 큰 시퀀스 번호들을 수신하게 할 수 있다. 카드상의 인증 알고리즘은, 매우 큰 시퀀스 번호들, 또는 심지어 반복되지 않는 임의의 시퀀스 번호들을 수락하도록 프로그래밍될 수 있다 - 즉, 임의의 양만큼 증가하는 임의의 시퀀스 번호가 수락됨-. 또 다른 실시예에서, 비록 재전송 공격의 위험이 증가할 수 있지만, 모든 시퀀스 번호들이 수락된다.

셀룰러 디바이스를 고유하게 식별하기 위해 사용될 수 있는 정보의 유형의 예시로서만 IMSI가 본 개시에서 사용된다는 것이 주목된다. 임의의 다른 적절한 가입자 식별자가 위에서 설명된 기술을 사용해 사용될 수 있으며, 위 논의에서, 용어 “IMSI”의 사용은 비슷한 기능을 가진 임의의 식별자인 “가입자 식별자”를 또한 지칭하기 위해 고려될 수 있다.

위에서 논의된 실시예 및 특징은 휘발성 또는 비휘발성 컴퓨터 또는 디바이스 판독가능 매체에 저장된 정보의 형태로 실현될 수 있다. 이것은 광학 저장소(예컨대, 컴팩트-디스크 판독 전용 메모리(compact-disk read-only memory; CD-ROM), 자기 매체, 플래시 판독 전용 메모리(read-only memory; ROM), 또는 디지털 정보를 저장하는 임의의 수단과 같은 매체를 적어도 포함한다고 여겨 진다. 저장된 정보는, 머신 실행가능 명령어(예컨대, 컴파일된 실행가능 이진 코드), 소스 코드, 바이트코드, 또는 컴퓨팅 디바이스로 하여금 위에서 논의된 다양한 실시예들을 수행하게 하거나 구성하기 위해 사용될 수 있는 임의의 다른 정보의 형태일 수 있다. 이것은, 프로그램 또는 실행파일이 적재되고 실행되게 하는 정보를 저장하는 비휘발성 매체 뿐만 아니라, 실시예를 수행하는 프로그램의 실행 동안 중앙 처리 디바이스(central processing unit; CPU)의 명령어와 같은 정보를 저장하는 랜덤 액세스 메모리(random-access memory; RAM) 및/또는 가상 메모리와 같은 휘발성 메모리를 적어도 포함한다고 또한 여겨진다. 실시예 및 특징은, 휴대용 디바이스, 워크스테이션, 서버, 모바일 무선 디바이스 등을 포함하는 임의의 유형의 컴퓨팅 디바이스상에서 수행될 수 있다. 위의 설명이 주어졌을 때, 본 개시에서 설명된 프로세스에 논리적으로 매핑되는 소스 코드를 작성하는 것은 일상적(routine)일 것이다. 알려진 프로그램 툴(예컨대, 컴파일러)는, 경우에 따라, 소스 코드를, 카드 프로세서에 의해, 또는 셀룰러 디바이스의 메인 프로세서에 의해, 또는 백엔드 MNO 서버의 프로세서에 의해 실행될 수 있는 CPU 명령어로 변환하도록 통상적인 방식으로 사용될 수 있다.

Claims

셀룰러 디바이스에 있어서,
공유된 국제 모바일 가입자 아이덴티티(International Mobile Subscriber Identity; IMSI)와 공유된 보안 키를 포함하는 프로비저닝(provisioning) 프로파일을 저장하는 저장소를 포함하는 카드로서, 상기 공유된 IMSI와 상기 공유된 보안 키는 모바일 네트워크 운영자(Mobile Network Operator; MNO)에 의해 제공되는 셀룰러 네트워크를 서비스하도록 상기 MNO에 의해 동작되는 MNO 장치에 의해 또한 저장되며, 상기 카드는 상기 셀룰러 디바이스 또는 상기 카드의 프로세서에 의해 실행될 때, 상기 공유된 IMSI 및 상기 공유된 비밀 키를 동적으로 생성하고 상기 저장소에 저장하는 명령어를 더 포함한 것인, 상기 카드;
복수의 다른 카드들 각각을 포함한 다른 셀룰러 디바이스들로 하여금, 동일한 공유된 IMSI 및 동일한 공유된 보안 키를 사용해 상기 MNO 장치를 사용해서 상기 셀룰러 네트워크를 통해 인증 절차 - 상기 인증 절차는 표준 셀룰러 통신 프로토콜을 준수함 - 를 완료할 수 있게 하도록, 상기 복수의 다른 카드들에 할당된 상기 공유된 IMSI 및 상기 공유된 보안 키를 포함하는, 상기 카드 내의 상기 프로비저닝 프로파일;
셀룰러 네트워크에 연결하도록 구성된 무선 디바이스(radio); 및
상기 셀룰러 디바이스가 동작 중일 때, 상기 프로세서로 하여금 상기 MNO 장치를 사용해 상기 인증 절차를 수행하도록 상기 공유된 IMSI 및 상기 공유된 보안 키를 사용해서, 상기 무선 디바이스를 통해 상기 셀룰러 네트워크와의 채널을 확립하게 하도록 상기 프로세서에 의해 실행되는 추가적인 명령어를 저장하는 상기 저장소
를 포함하는, 셀룰러 디바이스.
제1항에 있어서,
상기 저장소는 마스터 키를 저장하고, 상기 마스터 키는 상기 다른 셀룰러 디바이스들에 의해 저장되며, 상기 프로세서가 상기 공유된 IMSI 및 상기 공유된 비밀 키를 생성할 때, 상기 마스터 키는 상기 공유된 IMSI 및 상기 공유된 비밀 키를 생성하기 위해 사용되는 것인, 셀룰러 디바이스.
제1항에 있어서,
상기 셀룰러 디바이스는, 상기 인증 절차의 수행 동안 수신된 임의의 시퀀스 번호(sequence number)를 수락 또는 무시하기 위해 구성되거나, 임의의 비반복적인(non-repeating) 수신된 시퀀스 번호를 수락하도록 구성된 것인, 셀룰러 디바이스.
제1항에 있어서,
상기 셀룰러 디바이스는 제2 공유된 IMSI를 생성하고, 상기 공유된 IMSI를 사용한 상기 인증 절차의 수행이 인증을 초래하지 않는다고 결정하는 것에 응답해서, 상기 제2 공유된 IMSI를 사용해 상기 인증 절차를 수행하도록 구성된 것인, 셀룰러 디바이스.
셀룰러 디바이스에 있어서,
제1 공유된 국제 모바일 가입자 아이덴티티(International Mobile Subscriber Identity; IMSI)와 제1 공유된 보안 키를 포함하는 제1 프로비저닝 프로파일을 저장하는 저장소를 포함하는 카드로서, 상기 저장소는 또한, 제2 공유된 MISI와 제2 공유된 비밀 키를 포함하는 제2 프로비저닝 프로파일을 저장하고, 제1 공유된 IMSI, 제2 공유된 IMSI, 상기 제1 공유된 보안 키, 및 상기 제2 공유된 보안 키는, 복수의 다른 카드들 각각을 포함하는 다른 셀룰러 디바이스들로 하여금, MNO 장치를 사용해 셀룰러 네트워크를 통해 인증 절차를 완료할 수 있게 하도록 상기 복수의 다른 카드들에 할당되었으며, 상기 인증 절차는 표준 셀룰러 통신 프로토콜을 준수하는 것인, 상기 카드;
셀룰러 네트워크에 연결하도록 구성된 무선 장치; 및
상기 셀룰러 디바이스가 동작 중일 때, 프로세서로 하여금, (i) 상기 MNO 장치를 사용해 상기 인증 절차를 수행하도록 상기 제1 공유된 IMSI와 상기 제1 공유된 보안 키를 사용하고, (ii) 상기 제1 공유된 IMSI와 상기 제1 공유된 보안 키를 사용한 상기 인증 절차의 수행이 상기 셀룰러 네트워크와의 인증을 초래하지 않았다고 결정하여 그 응답으로 상기 제2 공유된 IMSI와 상기 제2 공유된 보안 키를 사용해 상기 인증 프로세스를 수행하게 하도록 상기 프로세서에 의해 실행되는 명령어를 저장하는 상기 저장소
를 포함하는, 셀룰러 디바이스.
제5항에 있어서,
상기 제1 프로비저닝 프로파일과 상기 제2 프로비저닝 프로파일은 상기 저장소에 의해 동시에 저장되고, 상기 명령어는 실행될 때, 상기 인증 절차를 수행하기 전에, 상기 공유된 IMSI들 중 하나와 상기 공유된 보안 키들 중 대응하는 하나를 상기 저장소로부터 선택하도록 구성된 것인, 셀룰러 디바이스.
제5항에 있어서,
적어도 일부 시간 동안, 상기 제1 프로비저닝 프로파일과 상기 제2 프로비저닝 프로파일은 상기 저장소에 의해 동시에 저장되지 않는 것인, 셀룰러 디바이스.
셀룰러 디바이스들이 무선(over-the-air) 프로비저닝을 수행하는 방법에 있어서, 상기 방법은 셀룰러 디바이스들 중 하나에 의해 수행되고, 상기 방법은,
상기 셀룰러 디바이스들 중 다른 셀룰러 디바이스에 의한 인증을 위해 이용가능한 제1 공유된 IMSI로 셀룰러 네트워크에의 프로비저닝 액세스를 얻기 위한 제1 인증을 시도하는 단계;
상기 제1 인증 시도가 인증을 초래하지 않았다는 표시를 수신하는 단계; 및
상기 표시를 수신하는 것에 응답해서, 상기 셀룰러 디바이스들 중 다른 셀룰러 디바이스에 의한 인증을 위해 이용가능한 제2 공유된 IMSI로 제2 인증을 시도하는 단계
를 포함하는, 무선 프로비저닝을 수행하는 방법.
제8항에 있어서,
규정된 범위의 공유된 IMSI들을 출력하는 함수를 사용해 상기 제1 공유된 IMSI와 상기 제2 공유된 IMSI를 컴퓨팅하는 단계를 더 포함하는, 무선 프로비저닝을 수행하는 방법.
제7항에 있어서,
상기 셀룰러 디바이스는, 상기 제1 인증 시도 전에 상기 제1 공유된 IMSI와 상기 제2 공유된 IMSI를 저장하는 보안 저장소를 포함하는 것인, 무선 프로비저닝을 수행하는 방법.