KR20180005551A - Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal - Google Patents

Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal Download PDF

Info

Publication number
KR20180005551A
KR20180005551A KR1020160085784A KR20160085784A KR20180005551A KR 20180005551 A KR20180005551 A KR 20180005551A KR 1020160085784 A KR1020160085784 A KR 1020160085784A KR 20160085784 A KR20160085784 A KR 20160085784A KR 20180005551 A KR20180005551 A KR 20180005551A
Authority
KR
South Korea
Prior art keywords
authentication
terminal
access terminal
access
traffic
Prior art date
Application number
KR1020160085784A
Other languages
Korean (ko)
Other versions
KR102185215B1 (en
Inventor
이진근
김세훈
김일용
우상우
전준용
김영환
이종경
Original Assignee
주식회사 케이티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 케이티 filed Critical 주식회사 케이티
Priority to KR1020160085784A priority Critical patent/KR102185215B1/en
Publication of KR20180005551A publication Critical patent/KR20180005551A/en
Application granted granted Critical
Publication of KR102185215B1 publication Critical patent/KR102185215B1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/141—Denial of service attacks against endpoints in a network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

A method for operating an authentication apparatus, a method for operating an end terminal, and a method for operating an access terminal are provided. As the method for operating an authentication apparatus, capable of performing network access and authentication for the end terminal accessing a network through the access terminal, the method includes the steps of: setting a traffic cutoff for the access terminal which completes a network access procedure; receiving an authentication request from the end terminal connected to the access terminal; and releasing the traffic cutoff for the access terminal after authenticating the end terminal. If the traffic cutoff is released, the end terminal accesses the network through the access terminal and receives a data service. Accordingly, the present invention can control the access authority of the end terminal which can not perform USIM authentication.

Description

인증 장치의 동작 방법, 네트워크 접속 및 인증 시스템, 종단단말의 동작 방법 및 접속단말의 동작 방법{OPERATING METHOD OF AUTHENTICATION APPARATUS, SYSTEM FOR NETWORK ACCESS AND UTHENTICATION, OPERATING METHOD OF END TERMINAL AND OPERATING METHOD OF ACCESS TERMINAL}TECHNICAL FIELD [0001] The present invention relates to an authentication method, an authentication method, a network access and authentication system, an operation method of an end terminal, and an operation method of an access terminal.

본 발명은 인증 장치의 동작 방법, 네트워크 접속 및 인증 시스템, 종단단말의 동작 방법 및 접속단말의 동작 방법에 관한 것이다.The present invention relates to an operation method of an authentication apparatus, a network connection and authentication system, an operation method of an end terminal, and an operation method of an access terminal.

PC(Personal Computer)는 일반적으로 LTE(Long Term Evolution) 통신 모듈과 가입자 모듈(USIM, universal subscriber identity module)이 없어 LTE 직접 접속이 불가능하다. Personal computers (PCs) generally do not have an LTE (Long Term Evolution) communication module and a universal subscriber identity module (USIM).

또한, 타 통신사 스마트폰은 LTE 통신 모듈은 있지만 USIM 정보가 없어 LTE 인증을 할 수 없다. 이러한 경우 사설망 접속 LTE 서비스를 제공 받으려면 접속(또는 릴레이) 단말을 통해 네트워크에 접속해야 한다. In addition, other carriers' smartphones have LTE communication modules, but they do not have USIM information and can not be LTE certified. In this case, in order to receive a private network access LTE service, a connection (or relay) terminal must be connected to the network.

여기서, 접속단말은 무선 통신 사업자와는 LTE로 직접 접속을 하고, 종단단말과는 별도의 연결 인터페이스를 사용한다. 접속단말의 예시로서, USB-LTE 동글(Dongle), LTE-WiFi 에그(Egg), LTE 라우터 등이 있다.Here, the access terminal directly connects to the LTE with the wireless communication service provider, and uses a connection interface separate from the end terminal. Examples of access terminals include a USB-LTE dongle, an LTE-WiFi Egg, and an LTE router.

USB-LTE 동글은 종단단말(예, PC)과 USB 통신을 해서 LTE 서비스를 제공한다. LTE-WiFi 에그의 경우 WiFi 인터페이스로 종단단말(예, PC, 스마트폰 등과 연결할 수 있다. LTE 라우터(router)는 랜(LAN, Local Area Network) 케이블로 PC에 연결될 수 있다. The USB-LTE dongle provides LTE service by making USB communication with end terminal (eg PC). In case of LTE-WiFi Egg, WiFi interface can be connected with end terminal (eg PC, smart phone etc.) LTE router can be connected to PC by LAN (Local Area Network) cable.

이렇게 종단단말이 접속단말을 경유하여 사설 LTE망에 접속하는 경우, 접속단말, 즉, USIM과 LTE 통신 모듈이 탑재되는 동글, 에그, 라우터는 사업자 레벨로 인증을 하여 접속 제어를 할 수 있다. When the end terminal connects to the private LTE network via the access terminal, the access terminal, that is, the dongle, the egg, and the router on which the USIM and the LTE communication module are installed can perform access control by authenticating at the provider level.

그러나, 종단단말(예, PC, 스마트폰, 패드 등)은 무인증이거나 또는 기존 WiFi 인증 수준의 접근 제어만 가능하다. 그런데, Wifi 인증 방식은 LTE 에그에 설정하는 값이고 에그 사용자가 변경 가능하므로, 완전한 보안 솔루션이라고 볼 수 없다.However, endpoint terminals (eg, PCs, smart phones, pads, etc.) may be unauthenticated or access control only at the existing WiFi authentication level. However, the Wifi authentication method is a value set in the LTE Egg and can not be regarded as a complete security solution since the Egg user can change it.

한편, 일반적으로 기업의 경우 기업 인트라넷(Intranet) 내부의 데이터 서버와 정보를 매우 중요하게 관리하고, 접근 제어를 하게 되는데, 무인증으로 접속하는 단말이 생겨날 경우, 기업의 정보 보호에 심각한 위협을 주게 된다. On the other hand, in general, a company manages data server and information in a corporate intranet very importantly and controls access. When a terminal accessing with unauthorized authentication occurs, it poses a serious threat to the information security of the enterprise .

특히, 무인증으로 접속단말의 접속을 허용하고, 이 접속단말을 분실하거나 도난당한 경우, 이를 인지하여 해당 접속단말의 접속 권한을 완전 차단하기전까지 기업은 외부 공격이나 자료유출의 위험에 그대로 노출되는 것이다. In particular, when an access terminal is allowed to be unauthorized and the access terminal is lost or stolen, the enterprise is exposed to external attack or data leakage until the access right of the access terminal is completely blocked .

또한, WiFi 인증과 같은 접속단말 인증을 사용하더라도 정보 변경 권한을 기업내 사용자에게 제공할 경우, 비인가 PC나 스마트폰의 접속 권한을 바꿀 수 있기 때문에 이 역시 안전하다고 볼 수는 없다.In addition, even if access terminal authentication such as WiFi authentication is used, it is not safe to change the access right of an unauthorized PC or a smartphone if the information change right is provided to users in the enterprise.

본 발명이 해결하고자 하는 과제는 가입자 모듈 및 통신 모듈이 없는 종단단말이 접속단말을 경유해 전용망 또는 인트라넷에 접속하는 경우, 종단단말에 대한 인증 및 접근 권한을 제어하는 인증 장치의 동작 방법, 네트워크 접속 및 인증 시스템, 종단단말의 동작 방법 및 접속단말의 동작 방법을 제공하는 것이다.SUMMARY OF THE INVENTION It is an object of the present invention to provide an operation method of an authentication apparatus for controlling an authentication and an access right for an end terminal when an end terminal without a subscriber module and a communication module accesses a dedicated network or an intranet via the access terminal, And an authentication system, an operation method of the end terminal, and an operation method of the access terminal.

본 발명의 한 특징에 따르면, 접속단말을 통해 네트워크에 접속하는 종단단말에 대한 네트워크 접속 및 인증을 수행하는 인증장치의 동작 방법으로서, 상기 네트워크에 접속 절차를 완료한 상기 접속단말에 대해 트래픽 차단을 설정하는 단계, 상기 접속단말과 연결된 상기 종단단말로부터 인증 요청을 수신하는 단계, 그리고 상기 종단단말에 대한 인증을 수행한 후, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계를 포함하고,According to an aspect of the present invention, there is provided a method of operating an authentication apparatus for performing network connection and authentication with an end terminal connected to a network through an access terminal, the method comprising: Receiving an authentication request from the end terminal connected to the access terminal, and releasing the traffic interruption to the access terminal after performing the authentication for the end terminal,

상기 트래픽 차단이 해제되면, 상기 종단단말은 상기 접속단말을 통해 상기 네트워크에 접속하여 데이터 서비스를 제공받는다.When the traffic interruption is released, the end terminal accesses the network through the access terminal and receives data service.

상기 설정하는 단계는, Wherein the setting step comprises:

전용망으로의 접속 요청을 상기 접속단말로부터 수신하여 상기 접속단말이 전용망 서비스 가입자인지 인증하는 단계, 그리고 상기 인증에 성공하면, 상기 접속단말에 대해 인증 트래픽을 제외한 모든 트래픽에 대한 차단을 설정하는 단계를 포함할 수 있다.Receiving a connection request from the access terminal to authenticate that the access terminal is a dedicated network service subscriber by receiving a connection request to a private network and setting a blocking for all traffic except authentication traffic for the access terminal when the authentication is successful .

상기 모든 트래픽에 대한 차단을 설정하는 단계는, Wherein the setting of the blocking for all traffic comprises:

상기 인증장치가 트래픽 제어 장치로부터 상기 접속단말에 대한 세션의 서비스 품질(QoS, Quality of Service) 정보를 요청받는 단계, 그리고 상기 서비스 품질 정보를 상기 트래픽 제어 장치로 응답하는 단계를 포함하고,Receiving, by the authentication apparatus, a quality of service (QoS) information of a session for the access terminal from the traffic control apparatus; and responding the service quality information to the traffic control apparatus,

상기 트래픽 제어 장치는 상기 서비스 품질 정보를 패킷 데이터 네트워크 게이트웨이로 전달하며, The traffic control device transmits the service quality information to the packet data network gateway,

상기 패킷 데이터 네트워크 게이트웨이는 상기 접속단말에 대해 인증 트래픽을 제외한 모든 트래픽에 대해 차단을 설정할 수 있다.The packet data network gateway may set blocking for all traffic except authentication traffic for the access terminal.

상기 인증하는 단계는,Wherein the authenticating comprises:

상기 패킷 데이터 네트워크 게이트웨이로부터 상기 접속단말의 접속요청을 수신하는 단계, 상기 접속요청에 포함된 정보를 토대로 상기 접속단말이 전용망 서비스 가입자인지 판단하는 단계, 상기 전용망 서비스 가입자로 판단되면, 접속응답을 상기 패킷 데이터 네트워크 게이트웨이로 전송하는 단계를 포함할 수 있다.Receiving a connection request of the access terminal from the packet data network gateway; determining whether the access terminal is a dedicated network service subscriber based on the information included in the access request; To the packet data network gateway.

상기 인증하는 단계는,Wherein the authenticating comprises:

상기 접속응답을 상기 패킷 데이터 네트워크 게이트웨이로 전송하는 단계 이후, 상기 접속단말에 대한 세션을 저장하는 단계를 더 포함하고,Further comprising the step of storing the session for the access terminal after transmitting the connection response to the packet data network gateway,

상기 패킷 데이터 네트워크 게이트웨이는, 상기 접속응답이 수신되면, 상기 접속단말에 전용망에서 사용할 IP를 할당하고, 상기 접속단말로 세션 생성 응답을 전송할 수 있다.The packet data network gateway may allocate an IP to be used in a private network to the access terminal when the access response is received, and may transmit a session establishment response to the access terminal.

상기 접속요청을 수신하는 단계 이후, After receiving the connection request,

상기 접속요청을 전송한 단말이 일반 단말인지 또는 상기 접속단말인지 판단하는 단계, 그리고 상기 일반단말이면, 접속응답을 상기 패킷 데이터 네트워크 게이트웨이로 전송하는 단계를 더 포함하고,Determining whether the terminal transmitting the connection request is a general terminal or an access terminal; and if the terminal is a general terminal, transmitting a connection response to the packet data network gateway,

상기 접속단말로 판단되면, 상기 판단하는 단계가 수행될 수 있다.If it is determined to be the access terminal, the determining step may be performed.

상기 해제하는 단계는, Wherein the step of releasing comprises:

상기 종단단말과 연결된 접속단말을 확인하여 상기 접속단말에 대한 세션의 서비스 품질(QoS, Quality of Service) 정보를 확인하는 단계, 상기 서비스 품질 정보가 트래픽 차단으로 설정된 경우, 상기 종단단말에게 제1 인증키를 전송하는 단계, 상기 종단단말로부터 상기 인증키를 이용하여 정해진 알고리즘으로 연산된 제1 인증값을 수신하는 단계, 그리고 상기 제1 인증값이 유효한지 확인하여, 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계를 포함할 수 있다.(QoS) information of a session to the access terminal by confirming an access terminal connected to the end terminal, and when the service quality information is set to block traffic, Receiving a first authentication value calculated by an algorithm determined using the authentication key from the end terminal, checking if the first authentication value is valid, and if the first authentication value is valid, And unblocking the traffic.

상기 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계는,Wherein the step of canceling the traffic interruption to the access terminal, if valid,

상기 종단단말과 동일한 알고리즘으로 제2 인증값을 연산하는 단계, 상기 제1 인증값과 상기 제2 인증값이 일치하면, 상기 제1 인증값이 유효한 것으로 판단하는 단계, 그리고 상기 제1 인증값이 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계를 포함할 수 있다.Determining that the first authentication value is valid if the first authentication value and the second authentication value coincide with each other, determining that the first authentication value is valid, And if it is valid, canceling the traffic interruption to the access terminal.

상기 제1 인증값 및 상기 제2 인증값은, Wherein the first authentication value and the second authentication value are "

상기 제1 인증키와, 상기 종단단말의 MAC(Media Access Control), IMEI(International Mobile Equipment Identity), PassWord(PW), OTP(One Time Password) 중 적어도 하나를 이용하여 연산될 수 있다.The first authentication key and at least one of Media Access Control (MAC), International Mobile Equipment Identity (IMEI), PassWord (PW), and One Time Password (OTP) of the end terminal.

상기 제1 인증값이 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계 이후, And if the first authentication value is valid, canceling the traffic block to the access terminal,

인증 결과 및 재인증에 사용할 제2 인증키를 상기 종단단말로 전송하는 단계, 상기 제2 인증키를 이용한 재인증 요청을 상기 종단단말로부터 수신하여 재인증을 수행하는 단계, 그리고 상기 재인증에 실패하는 경우, 상기 접속단말에 대한 트래픽 차단을 설정하는 단계를 더 포함할 수 있다.Transmitting an authentication result and a second authentication key to be used for re-authentication to the end terminal, receiving a re-authentication request using the second authentication key from the end terminal and performing re-authentication, The method may further include setting a traffic cutoff for the access terminal.

상기 재인증에 실패하는 경우, 상기 접속단말에 대한 트래픽 차단을 설정하는 단계는,Wherein if the re-authentication fails, establishing a traffic block for the access terminal comprises:

재인증 타이머를 구동하고, 타이머 만료 시간을 상기 종단단말로 전송하는 단계, 그리고 상기 재인증에 실패하거나 또는 상기 타이머 만료 시간 이내에 상기 재인증 요청이 수신되지 않으면, 상기 트래픽 차단을 설정하는 단계를 포함할 수 있다.Activating a reauthentication timer and transmitting a timer expiration time to the end terminal and setting the traffic interception if the reauthentication fails or the reauthentication request is not received within the timer expiration time can do.

본 발명의 다른 특징에 따르면, 접속단말을 통해 네트워크에 접속하는 종단단말에 대한 네트워크 접속 및 인증을 수행하는 시스템으로서, 상기 네트워크에 접속절차가 완료된 접속단말의 정보와 상기 접속단말에 대해 등록된 종단단말의 정보를 저장하는 인증 DB, 그리고 상기 접속단말과 연결된 상기 종단단말로부터 IP(Internet Protocol) 및 종단말 ID가 포함된 인증 요청이 수신되면, 상기 IP를 토대로 상기 종단단말과 연결된 접속단말을 상기 인증 DB로부터 확인하고, 상기 접속단말에 대해 트래픽 차단으로 설정되어 있으면, 상기 종단단말에 대한 인증을 수행한 후, 트래픽 차단을 해제하는 인증 장치를 포함한다.According to another aspect of the present invention, there is provided a system for performing network connection and authentication for an end terminal connected to a network through an access terminal, the system comprising: An authentication DB for storing information of a terminal, and an authentication request including an IP (Internet Protocol) and an end terminal ID from the terminal connected to the access terminal, the access terminal connected to the terminal, based on the IP, And an authentication device for authenticating the end terminal and releasing the traffic interruption if it is determined that the access terminal is set to block traffic for the access terminal.

상기 인증 DB는, The authentication DB includes:

상기 접속단말의 단말 식별자 필드, 상기 접속단말의 정책 필드, 상기 접속단말의 IP 필드, 상기 접속단말의 접속상태 필드 및 상기 접속단말과 연결되는 적어도 하나의 종단단말 ID 필드를 포함하는 제1 인증 테이블, 그리고 상기 종단단말 ID 필드에 대응하는 종단단말의 단말 식별자 필드 및 상기 종단단말에 대한 적어도 하나의 인증방식 필드를 포함하는 제2 인증 테이블을 포함할 수 있다.A first authentication table including a terminal identifier field of the access terminal, a policy field of the access terminal, an IP field of the access terminal, a connection state field of the access terminal, and at least one terminal terminal ID field connected to the access terminal And a second authentication table including a terminal identifier field of the end terminal corresponding to the end terminal ID field and at least one authentication method field for the end terminal.

상기 인증장치는, The authentication device includes:

상기 인증 요청에 포함된 IP와 종단단말 ID가 수록된 접속단말을 상기 제1 인증 테이블로부터 확인하고, 상기 종단단말 ID에 대응하여 수록된 인증방식을 상기 제2 인증 테이블로부터 확인하며, 상기 제2 인증 테이블로부터 확인한 인증방식을 이용하여 상기 종단단말에 대한 인증을 수행할 수 있다.Confirms from the first authentication table an access terminal including an IP included in the authentication request and an end terminal ID, identifies an authentication method corresponding to the end terminal ID from the second authentication table, The authentication of the end terminal can be performed using the authentication method confirmed by the end terminal.

상기 인증 장치는, The authentication device includes:

네트워크 접속 절차 이후, 상기 접속단말에 대해 상기 제1 인증 테이블의 정책 필드를 트래픽 차단으로 설정하고, 상기 종단단말에 대해 인증이 성공하면, 상기 제1 인증 테이블의 정책 필드를 트래픽 차단 해제로 설정할 수 있다.After the network access procedure, the policy field of the first authentication table is set to blocked for the access terminal, and if the authentication is successful for the terminal, the policy field of the first authentication table may be set to unblock the traffic have.

상기 접속단말로부터 접속요청이 수신되면, 상기 인증장치로 접근 요청을 전송하여 접근 응답이 수신되면, 상기 인증장치로부터 트래픽 차단 설정을 요청받아 인증 트래픽 외 모든 트래픽에 대해 차단을 설정하고, 이후, 상기 종단단말에 대한 인증이 성공하면, 상기 트래픽에 대한 차단 설정을 해제하는 패킷 데이터 네트워크 게이트웨이를 더 포함할 수 있다.When receiving an access request from the access terminal, transmitting an access request to the authentication device and receiving an access response from the authentication device, requesting the traffic disconnection setting from the authentication device to set blocking for all traffic other than the authentication traffic, And a packet data network gateway for releasing the blocking setting for the traffic if the authentication for the end terminal is successful.

상기 패킷 데이터 네트워크 게이트웨이의 요청에 따라 상기 인증장치로 요청하여 상기 트래픽 차단 설정 또는 트래픽 차단 해제 정보가 포함된 상기 접속단말에 대한 세션의 서비스 품질(QoS, Quality of Service) 정보를 상기 인증장치로부터 수신하여 상기 패킷 데이터 네트워크 게이트웨이에게 전달하는 트래픽 제어 장치를 더 포함할 수 있다.Requesting the authentication apparatus according to a request of the packet data network gateway and receiving quality of service (QoS) information of a session for the access terminal including the traffic cutoff setting or traffic cutoff release information from the authentication apparatus And transmitting the packet data to the packet data network gateway.

상기 인증장치는,The authentication device includes:

상기 접속단말이 전용망 서비스 가입자인지 확인한 후, 전용망 서비스 가입자이면, 네트워크 접속을 허용할 수 있다.After confirming that the access terminal is a dedicated network service subscriber, the access terminal can allow network access if it is a dedicated network service subscriber.

본 발명의 또 다른 특징에 따르면, 접속단말을 통해 네트워크에 접속하는 종단단말의 동작 방법으로서, 상기 종단단말이 상기 접속단말과 연결되는 단계, 상기 접속단말을 통해 인증장치로 인증을 요청하는 단계, 그리고 상기 인증에 성공하면, 상기 접속단말을 통해 상기 네트워크에 접속하여 데이터 서비스를 제공받는 단계를 포함한다.According to another aspect of the present invention, there is provided a method of operating an end terminal connected to a network through an access terminal, the method comprising: connecting the end terminal with the access terminal; requesting authentication with the authentication device through the access terminal; And if the authentication is successful, accessing the network through the access terminal and receiving data service.

상기 제공받는 단계는,Wherein the providing and receiving comprises:

상기 인증장치로부터 제1 인증키를 수신하여 정해진 알고리즘으로 제1 인증값을 생성하는 단계, 상기 제1 인증값을 상기 인증장치로 전송하여 상기 제1 인증값이 유효한지 인증 결과를 수신하는 단계, 그리고 상기 제1 인증값이 유효한 경우, 상기 접속단말을 통해 상기 네트워크에 접속하여 데이터 서비스를 제공받는 단계를 포함할 수 있다.Receiving a first authentication key from the authentication device and generating a first authentication value using a predetermined algorithm; transmitting the first authentication value to the authentication device to receive an authentication result indicating that the first authentication value is valid; And receiving the data service by accessing the network through the access terminal if the first authentication value is valid.

상기 제공받는 단계 이후, After the providing and receiving step,

상기 인증 결과와 함께 수신한 재인증 키를 이용하여 주기적으로 상기 인증장치로 재인증을 요청하는 단계를 더 포함하고,And requesting re-authentication to the authentication device periodically using the re-authentication key received together with the authentication result,

상기 재인증에 실패하면 상기 접속단말의 트래픽 차단이 설정될 수 있다.If the re-authentication fails, the traffic blocking of the access terminal can be set.

본 발명의 또 다른 특징에 따르면, 종단단말을 네트워크에 접속시키는 접속단말의 동작 방법으로서, 상기 접속단말이 상기 종단단말과 연결되는 단계, 상기 종단단말과 인증장치 간의 인증 트래픽 송수신을 중계하는 단계, 그리고 상기 종단단말에 대한 인증 장치의 인증 결과에 따라 상기 종단단말의 네트워크 접속 및 사용자 트래픽 송수신을 허용할지 여부를 결정하는 단계를 포함한다.According to another aspect of the present invention, there is provided a method of operating an access terminal that connects an end terminal to a network, the method comprising: connecting the access terminal to the end terminal; relaying authentication traffic transmission / reception between the end terminal and the authentication device; And determining whether to allow network connection and user traffic transmission of the end terminal according to an authentication result of the authentication device for the end terminal.

상기 결정하는 단계는,Wherein the determining comprises:

인증에 성공하면, 상기 종단단말과 상기 네트워크 간의 트래픽 송수신 경로를 허용하는 단계, 그리고 상기 인증에 실패하면, 상기 종단단말과 상기 네트워크 간의 트래픽 송수신 경로를 차단하는 단계를 포함할 수 있다.If the authentication is successful, allowing a traffic transmission / reception path between the end terminal and the network, and if the authentication fails, blocking the traffic transmission / reception path between the end terminal and the network.

본 발명의 실시예에 따르면, 접속단말을 통해 LTE 기반의 사설망 또는 인틀넷 접속시 종단단말과 인증 서버가 직접 인증함으로써, USIM 인증을 할 수 없는 종단단말의 접근 권한을 제어할 수 있다. According to the embodiment of the present invention, when an LTE based private network or an intranet connection is established through an access terminal, the end terminal and the authentication server directly authenticate the access authority of an end terminal that can not perform USIM authentication.

또한, 접속단말의 기능추가 없이 종단단말-인증서버간 인증을 통해 접속 제어를 할 수 있고, 이를 통해 사설망을 사용하는 기업의 데이터를 보다 안전하게 보호할 수 있으며, 접속 인증 관련된 정보가 서버 구간에 존재해 관리의 용이성도 증가한다. In addition, the access control can be performed through the authentication between the end terminal and the authentication server without adding the function of the access terminal, so that the data of the enterprise using the private network can be protected more securely. The ease of managing the solution also increases.

또한, 종단단말 인증 방식을 사용자 인증만으로 설정할 수 있으며, 이 경우 이동식 접속단말(USB 동글, WiFi Egg)을 이용해 다른 종단단말(PC, 노트북)을 사용해 사설망 LTE 서비스를 이용할 수 있어 이동성을 극대화 할 수 있다.In addition, the terminal end authentication method can be set only by user authentication. In this case, it is possible to utilize the private network LTE service using other end terminal (PC, notebook) by using a mobile access terminal (USB dongle, WiFi Egg) have.

또한, 접속단말에 여러 종단단말의 사용권한을 부여할 수 있고, 인증 레벨을 관리자가 사용자별로 지정할 수 있어 인증 수준 단계 조정을 통해 차등 관리가 가능하다.In addition, the access terminal can be granted the right to use various terminal end points, and the administrator can designate the authentication level for each user, so that the differential management can be performed by adjusting the authentication level.

또한, 통신 사업자 입장에서는 타사 스마트폰 가입자도 접속단말을 통해 사설망 LTE 서비스가 가능해 신규 고객사 유치 및 기업별 데이터 사용량 증대에 따른 사업 활성화에 도움을 줄 수 있다. In addition, for telecom carriers, third-party smartphone subscribers can also benefit from private network LTE services through access terminals, which can help attract new customers and increase business usage by increasing data usage by company.

또한, 단순 단말 인증 뿐만 아나라 등급에 따라 단말, 사용자, SMS 인증 등 다양한 추가 인증의 조합으로 사용이 가능하여, 사용자 인증만으로도 접속이 가능하다.In addition, it can be used as a combination of various additional authentication such as terminal, user, SMS authentication according to the class of the terminal as well as simple terminal authentication, so that user authentication is possible.

도 1은 본 발명의 실시예에 따른 종단단말의 네트워크 인증 및 접속 제어 시스템의 구성도이다.
도 2는 본 발명의 실시예에 따른 접속단말의 네트워크 접속 절차를 나타낸 흐름도이다.
도 3은 본 발명의 실시예에 따른 접속단말의 인증 절차를 나타낸 흐름도이다.
도 4는 본 발명의 실시예에 따른 종단단말의 인증 절차를 나타낸 흐름도이다.
도 5는 본 발명의 실시예에 따른 종단단말의 재인증 절차를 나타낸 흐름도이다.
도 6은 본 발명의 한 실시예에 따른 인증 장치의 접근 제어 동작을 나타낸 순서도이다.
도 7은 본 발명의 한 실시예에 따른 인증 장치의 접속 인증 동작을 나타낸 순서도이다.
도 8은 본 발명의 실시예에 따른 인증 DB에 저장되는 정보의 구성예시도이다.
도 9는 본 발명의 한 실시예에 따른 시스템의 하드웨어 블록도이다.
도 10은 본 발명의 다른 실시예에 따른 종단단말의 네트워크 인증 및 접속 제어 방법을 나타낸 흐름도이다.
도 11은 본 발명의 한 실시예에 따른 사용자 접속 시나리오를 나타낸다.
도 12는 본 발명의 다른 실시예에 따른 사용자 접속 시나리오를 나타낸다.
도 13은 본 발명의 또 다른 실시예에 따른 사용자 접속 시나리오를 나타낸다.
도 14는 본 발명의 또 다른 실시예에 따른 사용자 접속 시나리오를 나타낸다.1 is a configuration diagram of a network authentication and access control system of an end terminal according to an embodiment of the present invention.
2 is a flowchart illustrating a network access procedure of an access terminal according to an embodiment of the present invention.
3 is a flowchart illustrating an authentication procedure of an access terminal according to an embodiment of the present invention.
4 is a flowchart illustrating an authentication procedure of an end terminal according to an embodiment of the present invention.
5 is a flowchart illustrating a re-authentication procedure of an end terminal according to an embodiment of the present invention.
6 is a flowchart showing an access control operation of an authentication apparatus according to an embodiment of the present invention.
7 is a flowchart showing a connection authentication operation of an authentication apparatus according to an embodiment of the present invention.
8 is a diagram illustrating an example of the configuration of information stored in the authentication DB according to the embodiment of the present invention.
9 is a hardware block diagram of a system according to one embodiment of the present invention.
10 is a flowchart illustrating a network authentication and access control method of an end terminal according to another embodiment of the present invention.
Figure 11 illustrates a user access scenario in accordance with one embodiment of the present invention.
12 illustrates a user access scenario according to another embodiment of the present invention.
13 illustrates a user access scenario according to another embodiment of the present invention.
14 shows a user access scenario according to another embodiment of the present invention.

아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시예에 대하여 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시예에 한정되지 않는다. 그리고 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 유사한 부분에 대해서는 유사한 도면 부호를 붙였다Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings so that those skilled in the art can easily carry out the present invention. The present invention may, however, be embodied in many different forms and should not be construed as limited to the embodiments set forth herein. In order to clearly explain the present invention, parts not related to the description are omitted, and like parts are denoted by similar reference numerals throughout the specification

명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 "…부", "…기", "모듈" 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다.Throughout the specification, when an element is referred to as "comprising ", it means that it can include other elements as well, without excluding other elements unless specifically stated otherwise. Also, the terms " part, "" module," and " module ", etc. in the specification mean a unit for processing at least one function or operation and may be implemented by hardware or software or a combination of hardware and software have.

본 명세서에서 단말은 이동국(Mobile Station, MS), 이동 단말(Mobile Terminal, MT), 가입자국(Subscriber Station, SS), 휴대 가입자국(Portable Subscriber Station, PSS), 사용자 장치(User Equipment, UE), 접근 단말(Access Terminal, AT) 등을 지칭할 수도 있고, 이동국, 이동 단말, 가입자국, 휴대 가입자 국, 사용자 장치, 접근 단말 등의 전부 또는 일부의 기능을 포함할 수도 있다. A mobile station (MS), a mobile terminal (MT), a subscriber station (SS), a portable subscriber station (PSS), a user equipment (UE) , An access terminal (AT), and the like, and may include all or some of functions of a mobile station, a mobile terminal, a subscriber station, a mobile subscriber station, a user equipment, an access terminal, and the like.

본 명세서의 단말은 기지국(base station, BS), 접근점(Access Point, AP), 무선 접근국(Radio Access Station, RAS), 노드B(Node B), 고도화 노드B(evolved NodeB, eNodeB), 송수신 기지국(Base Transceiver Station, BTS), MMR(Mobile Multihop Relay)-BS 등과 같은 네트워크 장치에 접속하여 원격의 서버에 연결될 수 있다.The terminal of the present disclosure includes a base station (BS), an access point (AP), a radio access station (RAS), a node B, an evolved NodeB (eNodeB) And may be connected to a remote server by connecting to a network device such as a Base Transceiver Station (BTS), a Mobile Multihop Relay (MMR) -BS, or the like.

본 명세서의 단말은 스마트폰과 같은 모바일 단말, 스마트 패드와 태블릿 PC와 같은 태블릿 단말, 컴퓨터, 텔레비전 등 다양한 형태의 통신 단말로서, 복수의 통신 인터페이스를 구비할 수 있다. The terminal of the present specification may be a mobile terminal such as a smart phone, a tablet terminal such as a smart pad and a tablet PC, a communication terminal such as a computer and a television, and may have a plurality of communication interfaces.

통신 인터페이스는 다양할 수 있다. 예를 들면, 통신 인터페이스는 와이파이(WiFi)/WLAN/블루투스(bluetooth) 등의 근거리 무선망 인터페이스, 그리고 3G/LTE(Long Term Evolution)/LTE-A(Long Term Evolution-Advanced) 등의 이동통신망 인터페이스를 포함할 수 있고, 단말 제조사가 다양한 통신 인터페이스를 추가할 수 있다. 본 명세서에서는 WiFi 인터페이스와 3G/LTE 인터페이스를 예로 들어 설명하나, 통신 인터페이스가 이에 한정되는 것은 아니다. The communication interface may vary. For example, the communication interface may include a short-range wireless network interface such as WiFi / WLAN / Bluetooth and a mobile communication network interface such as 3G / Long Term Evolution (LTE) / Long Term Evolution-Advanced And the terminal manufacturer may add various communication interfaces. In this specification, the WiFi interface and the 3G / LTE interface are described as an example, but the communication interface is not limited thereto.

일반적인 LTE 단말은 LTE용 가입자 모듈(USIM)이 탑재되고 해당 통신사 LTE망에 접속하여 전화나 공중 인터넷 접속 서비스를 받는다. A typical LTE terminal is equipped with a subscriber module (USIM) for LTE and accesses the LTE network to receive a telephone or public Internet access service.

사설망 LTE 서비스는 이러한 LTE 단말을 이용해 통신 사업자의 기지국 및 무선 코어망을 거쳐 전용망, 예를들면, 기업의 인트라넷(Intranet)으로 접속할 수 있게 하는 서비스이다. The private network LTE service is a service that allows the LTE service to access a private network via a base station and a wireless core network of a communication carrier using, for example, an enterprise intranet using the LTE terminal.

이때, 본 발명의 실시예에서는 접속단말을 경유해 사설망 LTE 서비스를 이용시 종단단말의 인증 및 접속 제어를 할 수 있는 기술에 관련된 것으로 이하 각 구성요소에 대하여 도면을 참고하여 설명한다. 즉, 실제 서비스 이용 단말인 종단단말과 망 접속 단말인 접속단말이 분리된 경우에, 종단단말에 대한 인증 및 접속 제어를 하는 실시예에 대한 것이다. Hereinafter, embodiments of the present invention relate to a technique for performing authentication and connection control of an end terminal when using a private network LTE service via an access terminal, and each component will be described below with reference to the drawings. That is, the present invention relates to an embodiment that performs authentication and connection control for an end terminal when an end terminal that is an actual service utilization terminal and an access terminal that is a network access terminal are separated.

도 1은 본 발명의 실시예에 따른 네트워크 인증 및 접속 제어 시스템의 구성도이다.1 is a configuration diagram of a network authentication and access control system according to an embodiment of the present invention.

도 1을 참고하면, 네트워크 인증 및 접속 제어 시스템은 종단단말(110), 접속단말(120), 기지국(130), 무선 코어망(140), 패킷 데이터 네트워크 게이트웨이(Packet Data Network Gateway, P-GW)(150), 인증 장치(160), 트래픽 제어 장치(170), 인증 DB(180) 및 전용망(190)을 포함한다. 1, the network authentication and access control system includes an end terminal 110, an access terminal 120, a base station 130, a wireless core network 140, a packet data network gateway (P-GW) An authentication device 160, a traffic control device 170, an authentication DB 180, and a dedicated network 190. [

종단단말(110)은 사용자 접점에 있는 단말이지만 LTE 통신모듈이 없거나 가입자 모듈(USIM)이 없는 장치로서, 예를 들면, PC, 노트북, 스마트 패드 등을 포함한다. 그리고 가입자 모듈(USIM)은 탑재할 수 있지만 통신사가 틀려 LTE 인증을 받을 수 없는 통신 단말(예, 스마트폰)을 포함한다.The end terminal 110 is a terminal at a user contact but does not have an LTE communication module or a subscriber module (USIM), and includes, for example, a PC, a notebook, a smart pad, and the like. And a communication terminal (e.g., a smart phone) that can carry a subscriber module (USIM) but can not receive an LTE authentication due to a wrong communication provider.

종단단말(110)은 가입자 모듈이 없으므로, 사업자의 LTE망에 직접 접속이 불가능하므로, 접속단말(120)과 연결되어 접속단말(120)을 경유하여 기지국(130)에 접속한다. The terminal terminal 110 is connected to the access terminal 120 and accesses the base station 130 via the access terminal 120 since the terminal terminal 110 does not have a subscriber module and can not directly access the LTE network of the provider.

이러한 접속단말(120)은 LTE-와이파이 에그(WiFi Egg), LTE 라우터, LTE-USB 동글 등을 포함한다. The access terminal 120 includes an LTE-WiFi Egg, an LTE router, an LTE-USB dongle, and the like.

종단단말(110)은 접속단말(120)을 이용하여 LTE망에 접속하여 데이터 서비스를 제공받을 수 있다. The end terminal 110 can access the LTE network using the access terminal 120 and receive data service.

접속단말(120)은 무선 통신 사업자와는 LTE로 직접 접속을 하고, 종단단말(110)과는 별도의 연결 인터페이스를 사용한다. 예를 들면, 접속단말(120)이 USB-LTE 동글인 경우 종단단말인 PC와 USB 통신을 해서 서비스를 제공한다. 또한, 접속단말(120)이 LTE-WiFi Egg인 경우 WiFi 인터페이스로 PC나 스마트폰인 종단단말(110)과 연결할 수 있다.The access terminal 120 directly connects to the LTE with the wireless communication service provider and uses a connection interface separate from the terminal MT 110. For example, when the access terminal 120 is a USB-LTE dongle, it provides a service through USB communication with a PC as an end terminal. Also, if the access terminal 120 is an LTE-WiFi Egg, the access terminal 120 can be connected to the PC or the end terminal 110, which is a smart phone, using a WiFi interface.

접속단말(120)은 LTE 통신 모듈과 가입자 모듈(USIM)을 탑재하고, LTE 주파수로 기지국(130)과 무선 통신을 한다. The access terminal 120 mounts an LTE communication module and a subscriber module (USIM), and wirelessly communicates with the base station 130 at an LTE frequency.

여기서, 접속단말(120)은 사설망 LTE 서비스 가입 단말이고, 종단단말의 인증에 필요한 모든 정보는 사전에 청약 또는 관리자에 의해 설정이 완료되어 있다고 가정한다. 이때, 종단단말의 인증에 필요한 모든 정보는 인증 장치(160)에서 설정한 인증이 있고, 종류에 따라 필요한 정보를 전송한다. 즉, 인증을 요구하는 부가 정보, 예를들면, MAC, IMEI, PW, OTP의 조합이다. 인증 정보는 청약에서 가져오는 정보 MSDN, IMEI 등이 있고, ID발급은 청약으로 또는 관리자가 지정할 수 있으며 ID별로 인증방식 및 인증에 필요한 정보를 서버에 저장한다.Here, it is assumed that the access terminal 120 is a private network LTE service subscription terminal, and that all information necessary for authentication of the end terminal is already set up by a subscription or an administrator. At this time, all the information required for the authentication of the end terminal is authenticated by the authentication device 160, and the necessary information is transmitted according to the type. That is, it is a combination of additional information that requires authentication, for example, MAC, IMEI, PW, and OTP. The authentication information includes the information MSDN, IMEI, etc., which are obtained from the subscription, and the ID issuance can be specified by the subscriber or the administrator, and the information required for the authentication method and authentication by the ID is stored in the server.

또한, 종단단말(110)은 인증앱(App) 또는 인증 클라이언트(client)가 사전 설치되어 있음을 전제한다.In addition, the end terminal 110 assumes that an authentication application (App) or an authentication client (client) is installed in advance.

기지국(130)은 통신 사업자의 무선 코어망(140)과 연동하고, 인증이나 서비스 프로파일 획득을 위해 HSS(Home Subscriber System)와 연동한다. 기지국(130)은 eNodeB일 수 있다.The base station 130 interworks with a wireless subscriber station (HSS) 140 for interworking with a wireless core network 140 of a communication service provider and obtaining an authentication or a service profile. Base station 130 may be an eNodeB.

무선 코어망(140)은 예시적으로 LTE(Long Term Evolution) 표준 노드로서, MME(Mobility Management Entity), S-GW(Serving Gateway)를 포함하는 장비들의 집합을 통칭하는 개념이다. 즉, LTE망 접속에 필요한 장비나 절차가 본 발명의 실시예에서 참조될 수 있다. The wireless core network 140 is a concept that collectively refers to a set of devices including an MME (Mobility Management Entity) and an S-GW (Serving Gateway) as an LTE (Long Term Evolution) standard node. That is, equipment and procedures necessary for LTE network connection can be referred to in the embodiments of the present invention.

P-GW(PDN(Packet Data Network) Gateway)(150)는 무선 코어망(140)에 포함되는 LTE 표준 노드 중 하나로서, 사설망 LTE 서비스에서 데이터를 전용망(190)으로 송신하기 위해서 LTE 가입자별 터널링되어 유입되는 데이터를 IP로 변환하는 패킷망 게이트웨이이다. The P-GW 150 is one of the LTE standard nodes included in the wireless core network 140. In order to transmit data from the private network LTE service to the dedicated network 190, And converts the incoming data into IP.

인증 장치(160)는 사설망 LTE 서비스를 위해서 기업 가입자와 APN(Access Point Name)이라 불리는 접속 요청 정보를 인증하고, 종단단말(110)과 접속단말(120)을 인증한다. 인증 장치(160)는 가입자 인증 정보와 종단단말 인증정보를 포함하는 인증 DB(170)와 연동한다. The authentication apparatus 160 authenticates connection request information called an APN (Access Point Name) with the enterprise subscriber and authenticates the end terminal 110 and the access terminal 120 for the private network LTE service. The authentication device 160 is interlocked with the authentication DB 170 including the subscriber authentication information and the terminal terminal authentication information.

인증 장치(160)는 단말 인증 레벨, 사용자 인증 레벨로 구분된 인증을 수행할 수 있다. 여기서, 단말인증은 MAC, UUID(universally unique identifier)처럼 여러가지 모두 볼 것인지 한가지만 볼 것인지 레벨을 나누어 설정할 수 있다는 의미이다. 사용자 인증은 ID/PW만 볼 것인지 ID/PW/OTP까지 볼 것인지로서, 인증 장치(160)에서 설정할 수 있다. 즉, 접속단말(USB, egg, 라우터)이 아닌 사용자(사번/email)별로 권한(인증 방식 : 단말인증/사용자인증)레벨을 부여할 수 있다.The authentication device 160 can perform authentication classified into a terminal authentication level and a user authentication level. Here, the terminal authentication means that it can be divided into various levels, such as a MAC or a universally unique identifier (UUID). The user authentication can be set by the authentication device 160 as to whether to view only the ID / PW or the ID / PW / OTP. That is, an authority (authentication method: terminal authentication / user authentication) level can be assigned to each user (employee / email) other than the access terminal (USB, egg, router).

인증 장치(160)는 다양한 단말 인증 타입으로 인증을 수행할 수 있다. 인증 DB(170)에 저장되는 정보는 청약 또는 관리자에 의해 추가/수정/삭제 될 수 있다. The authentication device 160 can perform authentication with various terminal authentication types. The information stored in the authentication DB 170 may be added or modified / deleted by a subscription or an administrator.

트래픽 제어 장치(180)는 가입자별 트래픽 제어(대역폭, 접근제어)를 수행하는 장치로서, LTE망의 표준 노드 중 하나인 PCRF(Policy and Charging Rule Function) 를 지칭할 수 있다.The traffic control device 180 is a device that performs traffic control (bandwidth, access control) for each subscriber and may refer to a Policy and Charging Rule Function (PCRF) which is one of the standard nodes of the LTE network.

전용망(190)은 기업 인트라넷일 수 있다.The private network 190 may be a corporate intranet.

이제, 종단단말(110) 및 접속단말(120)이 LTE 통신망의 어떤 노드를 거치면서 종단단말(110)에 대한 네트워크 인증 및 접근제어를 할 수 있는지 동작 흐름에 대해 설명하기로 한다.Now, an operation flow will be described in which the end terminal 110 and the access terminal 120 can perform network authentication and access control for the end terminal 110 through a certain node of the LTE communication network.

먼저, 도 2는 본 발명의 실시예에 따른 접속단말의 네트워크 접속 절차를 나타낸 흐름도이다.2 is a flowchart illustrating a network access procedure of an access terminal according to an exemplary embodiment of the present invention.

도 2를 참조하면, 접속단말(120)에 전원을 인가하면 접속단말(120)은 기지국(130)으로 접속 요청(Attach Request)을 전송한다(S101). 이때, 접속 요청은 사설망 LTE 서비스에 대한 전용 APN(Access Point Name)을 포함한다. Referring to FIG. 2, when power is applied to the access terminal 120, the access terminal 120 transmits an access request (Attach Request) to the base station 130 (S101). At this time, the access request includes a dedicated access point name (APN) for the private network LTE service.

기지국(130)은 무선 코어망(140)의 MME에게 접속 요청을 전달한다(S103). The base station 130 transmits a connection request to the MME of the wireless core network 140 (S103).

무선 코어망(140)의 MME는 무선 코어망(140)의 S-GW에게 세션 생성을 요청(Create Session Request)한다(S105). 그리고 S-GW는 P-GW(150)에게 세션 생성을 요청한다(S107).The MME of the radio core network 140 requests the S-GW of the radio core network 140 to create a session (Create Session Request) (S105). Then, the S-GW requests the P-GW 150 to create a session (S107).

P-GW(150)는 인증 장치(160)에게 접속 요청(Access Request)을 전송한다(S109). 이때, 접속 요청은 접속단말의 정보 및 단말 위치(3GPP-User-Location-Info)를 포함할 수 있다.The P-GW 150 transmits an access request to the authentication device 160 (S109). At this time, the connection request may include the information of the access terminal and the terminal location (3GPP-User-Location-Info).

여기서, 접속단말의 정보는 사전에 설정된 정보 및 가입자(USIM) 정보를 포함하는데, 한 예시로서, MSISDN(Mobile Station International ISDN Number), IMSI I(International Mobile Subscriber Identity) 등을 포함할 수 있다. Here, the information of the access terminal includes pre-set information and subscriber (USIM) information, and may include MSISDN (Mobile Station International ISDN Number), IMSI I (International Mobile Subscriber Identity), and the like.

인증 장치(160)는 S109 단계에서 수신한 접속단말의 정보를 토대로 사설망 LTE 서비스 가입자인지 확인하는 가입자 인증을 수행한다(S111). 즉, S109 단계에서 수신한 정보가 인증 DB(170)에 저장되어 있는지 판단할 수 있다. In step S111, the authentication apparatus 160 performs subscriber authentication based on the information of the access terminal received in step S109, to determine whether it is a private network LTE service subscriber. That is, it can be determined whether the received information is stored in the authentication DB 170 in step S109.

인증 장치(160)는 S111 단계에서 가입자 인증에 성공하면, 접속 응답(Access Accept)을 전송한다(S113). 그리고 접속단말(120)에 대한 세션을 생성하여 저장한다(S115). 여기서, S113 단계와 S115 단계 사이에는 P-GW(150)가 Accounting-Request(Start, MSISDN, Framed-IP)를 전송하는 단계와 인증 장치(160)로부터 응답(Response)을 수신하는 단계를 더 포함할 수 있다.If the subscriber authentication is successful in step S111, the authentication device 160 transmits an access response (S113). Then, a session for the access terminal 120 is created and stored (S115). Between step S113 and step S115, the P-GW 150 further includes a step of transmitting an Accounting-Request (Start, MSISDN, Framed-IP) and a response from the authentication device 160 can do.

이때, 세션은 PDN 세션을 의미하고, LTE에서 하나의 단말은 PDN 세션이 만들어 질 수 있다.At this time, the session means a PDN session, and one terminal can be made a PDN session in LTE.

그러면, P-GW(150)는 접속단말(120)에 IP를 할당한다(S117). P-GW(150)는 세션 생성 응답(Create Session Response)을 S-GW로 전송한다(S119).Then, the P-GW 150 assigns IP to the access terminal 120 (S117). The P-GW 150 transmits a Create Session Response to the S-GW (S119).

S-GW는 세션 생성 응답을 MME로 전달한다(S121). The S-GW sends a session creation response to the MME (S121).

MME는 접속 응답(Attach Accept)을 기지국(130)을 통해 접속 단말(120)로 전송한다(S123, S125).The MME transmits an access acknowledgment to the access terminal 120 through the base station 130 (S123, S125).

이러한 과정을 통해 접속단말(120)은 네트워크 접속 절차가 완료된다. 즉, LTE망에 접속된다. Through this process, the access terminal 120 completes the network connection procedure. That is, it is connected to the LTE network.

도 3은 본 발명의 실시예에 따른 접속단말의 인증 절차를 나타낸 흐름도이다.3 is a flowchart illustrating an authentication procedure of an access terminal according to an embodiment of the present invention.

도 3을 참조하면, 접속단말(120)은 전용망 서비스 인증 절차를 수행하는데(S201), S201 단계는 도 2의 단계들을 포함한다. Referring to FIG. 3, the access terminal 120 performs a dedicated network service authentication procedure (S201), and the step S201 includes the steps of FIG.

P-GW(150)는 접속단말(120)에 대한 인증 성공 여부를 판단한다(S203). 이때, 인증에 성공하면, 접속단말(120)에 대한 세션의 QoS(Quality of Service) 정보를 트래픽 제어 장치(180)에게 요청한다(S205). 여기서, S205 단계는 LTE 표준에 정의된 절차를 준용할 수 있다. The P-GW 150 determines whether authentication of the access terminal 120 is successful (S203). At this time, if the authentication is successful, the traffic control device 180 requests QoS (Quality of Service) information of the session for the access terminal 120 (S205). Here, the step defined in the LTE standard may be applied in step S205.

이때, QoS 정보는 해당 PDN의 대역폭도 정의하지만 특정 IP로의 소통에 대해 허용/차단을 포함한다.At this time, the QoS information also defines the bandwidth of the corresponding PDN, but includes allow / block for communication to a specific IP.

트래픽 제어 장치(180)는 인증 장치(160)에게 접속단말(120)에 대한 세션의 QoS 정보를 요청한다(S207). The traffic control device 180 requests the authentication device 160 for QoS information of the session with respect to the access terminal 120 (S207).

인증 장치(160)는 접속단말(120)의 가입자 프로파일을 참조하여 인증 트래픽 제외하고 모든 트래픽 차단으로 설정된 QoS 정보를 응답한다(S209).The authentication apparatus 160 refers to the subscriber profile of the access terminal 120, and responds to the QoS information set for blocking all traffic except for the authentication traffic (S209).

트래픽 제어 장치(180)는 S209 단계에서 응답받은 QoS 정보를 P-GW(150)로 전달한다(S211).The traffic control device 180 transmits the received QoS information to the P-GW 150 in step S209 (S211).

P-GW(150)는 S211 단계에서 수신한 QoS 정보에 따라 접속단말(120)을 통해 인입되는 모든 트래픽은 인증 관련 트래픽을 제외하고 모두 차단하도록 설정한다(S213). In step S213, the P-GW 150 sets all traffic coming in through the access terminal 120 to be blocked except the authentication-related traffic according to the QoS information received in step S211.

여기서, 하나의 접속단말(120)에는 복수의 종단단말(110)이 연결될 수 있다. 예를들면, 접속단말(120)이 USB 동글일 경우, 종단단말(110)은 하나 연결되지만, 접속단말(120)이 와이파이나 라우터이면, 복수개의 종단단말(110)이 연결될 수 있다. 이런 경우, 최초로 접속단말(120)에 접속한 종단단말(110)이 인증받기 전에는 모두 차단하도록 설정된다. Here, a plurality of end terminals 110 may be connected to one access terminal 120. For example, when the access terminal 120 is a USB dongle, one end terminal 110 is connected. However, if the access terminal 120 is a Wi-Fi or a router, a plurality of end terminals 110 can be connected. In this case, the end terminal 110 connected to the access terminal 120 for the first time is set to block all the terminals before being authenticated.

도 4는 본 발명의 실시예에 따른 종단단말의 인증 절차를 나타낸 흐름도이다.4 is a flowchart illustrating an authentication procedure of an end terminal according to an embodiment of the present invention.

도 4를 참조하면, 종단단말(110)은 접속단말(120)과 연결 절차를 수행한다(S301). 여기서, S301 단계의 연결 절차는 접속단말(120)의 종류에 따른 서로 다른 절차로 이루어진다. 예를들면, 와이파이 방식, USB 방식, 랜 방식 등이 될 수 있다. Referring to FIG. 4, the end terminal 110 performs a connection procedure with the access terminal 120 (S301). Here, the connection procedure of step S301 is performed by different procedures according to the type of the access terminal 120. [ For example, it may be a Wi-Fi system, a USB system, or a LAN system.

종단단말(110)과 접속단말(120)간 접속 연결이 완료되면, 종단단말(110)은 접속단말(120)에게 인증 요청을 전송한다(S303). 여기서, 접속단말(120)은 도 3에서 설명한 바와 같이, 인증 관련 트래픽을 제외하고는 트래픽 차단 상태이므로, 종단단말(110)은 접속단말(120)에 연결되더라도 기업 인트라넷(190)에 접속할 수 없는 상태이다. When the connection between the end terminal 110 and the access terminal 120 is completed, the end terminal 110 transmits an authentication request to the access terminal 120 (S303). 3, the access terminal 120 can not access the corporate intranet 190 even if it is connected to the access terminal 120 because the access terminal 120 is in the traffic blocking state except for the traffic related to the authentication State.

종단단말(110)은 설치된 인증 앱 또는 인증 클라이언트의 설정에 따라 자동으로 또는 수동으로 인증 요청을 접속단말(120)에게 전송한다(S303).The end terminal 110 transmits the authentication request to the access terminal 120 automatically or manually according to the setting of the installed authentication application or the authentication client (S303).

접속단말(120)은 인증 요청을 인증 장치(160)로 전달한다(S305).The access terminal 120 transmits the authentication request to the authentication device 160 (S305).

인증 장치(160)는 인증 요청에 포함된 종단단말(110)의 ID 및 IP 정보를 토대로 종단단말(110)이 연결된 접속단말(120)을 확인하고, 접속단말(120)에 대해 설정된 QoS 정보를 확인한다(S307). S307 단계에 대한 설명은 도 8을 참고하여 후술한다. 여기서, 종단단말(110)의 IP 정보는 접속단말(120)이 할당받은 IP 정보와 동일하다.The authentication device 160 identifies the access terminal 120 connected to the end terminal 110 based on the ID and IP information of the end terminal 110 included in the authentication request and transmits the QoS information set for the access terminal 120 (S307). The description of step S307 will be given later with reference to Fig. Here, the IP information of the end terminal 110 is the same as the IP information assigned by the access terminal 120. [

또한, ID는 email 형태 또는 사번 같은 고유값이 될 수 있다. 접속단말(120)은 종단단말(110)에게 NAT형태로 IP를 할당할 수 있다. 그리고 종단단말(110)이 인증 장치(160)로 접속할 때는 접속단말(120)이 획득한 IP를 이용할 수 있다.In addition, the ID may be an eigenvalue such as an email type or a number. The access terminal 120 can assign an IP to the end terminal 110 in the NAT type. When the end terminal 110 connects to the authentication device 160, the IP obtained by the access terminal 120 can be used.

S307 단계에서 확인한 결과를 토대로 인증 장치(160)는 접속단말(120)이 접속 차단된 상태, 즉, 트래픽 차단 상태인지를 판단한다(S309).Based on the result of the checking in step S307, the authentication device 160 determines whether the access terminal 120 is disconnected, that is, the traffic cutoff state (S309).

이때, 트래픽 차단 상태가 아니라면, 재인증 처리를 수행한다(S311). 여기서, S311 단계는 도 5에서 후술한다. At this time, if the traffic is not blocked, the re-authentication process is performed (S311). Here, the step S311 will be described later with reference to FIG.

반면, 트래픽 차단 상태라면, 인증 장치(160)는 인증키(또는 서버 발급키)를 접속단말(120)을 통해 종단단말(110)로 전달한다(S313, S315). On the other hand, if the traffic is blocked, the authentication device 160 transmits the authentication key (or the server issuing key) to the end terminal 110 through the access terminal 120 (S313, S315).

종단단말(110)은 S315 단계에서 수신한 인증키와 사전에 정해진 정보를 정해진 인증 알고리즘을 사용하여 해쉬(Hash) 연산하여 인증값을 생성한다(S317).The end terminal 110 generates an authentication value by performing a hash operation using the predetermined authentication algorithm and the authentication key received in step S315 (S317).

여기서, 사전에 정해진 정보는 종단단말(110)의 MAC(Media Access Control), IMEI(International Mobile Equipment Identity), PassWord(PW), OTP(One Time Password) 중 적어도 하나를 포함할 수 있다.  Here, the predetermined information may include at least one of Media Access Control (MAC), International Mobile Equipment Identity (IMEI), PassWord (PW), and One Time Password (OTP) of the end terminal 110.

종단단말(110)은 S317 단계에서 생성한 인증값을 인증 장치(160)으로 전송하여 인증을 요청한다(S319, S321). The end terminal 110 transmits the authentication value generated in step S317 to the authentication device 160 to request authentication (S319, S321).

인증 장치(160)는 S321 단계에서 수신한 인증값의 유효성을 확인한 후, 인증 결과를 전달한다(S323, S325). 이때, 인증 장치(160)는 S317 단계에서 인증값 생성시 사용하는 사전에 정해진 정보를 인증 DB(170)로부터 획득한다. 그리고 S313 단계에서 전송한 인증키와 획득한 사전에 정해진 정보를 S317 단계와 동일한 알고리즘으로 해쉬연산하여 인증값을 계산한다. 이렇게 계산된 인증값과 S321 단계에서 수신된 인증값이 일치하면, 인증값은 유효하다고 판단된다. 일치하지 않으면, 인증은 실패한다. 이와 같은 인증 결과를 S323 단계 및 S325 단계에서 종단단말(110)로 전달된다. The authentication device 160 confirms the validity of the authentication value received in step S321, and then transmits the authentication result (S323, S325). At this time, the authentication device 160 obtains predetermined information to be used in generating the authentication value in step S317 from the authentication DB 170. [ Then, the authentication key transmitted in step S313 and the previously determined information are subjected to a hash calculation using the same algorithm as in step S317 to calculate the authentication value. If the authentication value thus calculated matches the authentication value received in step S321, the authentication value is determined to be valid. If they do not match, the authentication fails. The authentication result is transmitted to the terminating terminal 110 in steps S323 and S325.

여기서, 인증값 계산은 선택된 두개의 정보를 이용할 수도 있고, 암호화 알고리즘을 multi PW input 형태로 구현할 수도 있다.Here, the authentication value calculation may use the selected two pieces of information, or may implement the encryption algorithm in the form of multi PW input.

인증 장치(160)는 인증 성공 여부를 판단(S327)하여 인증에 실패하면, S305 단계 이전으로 되돌아간다. 반면, 인증에 성공하면, 트래픽 제어 장치(180)에게 접속단말(120)의 QoS 정보 변경을 요청한다(S329). 여기서, QoS 정보 변경은 트래픽 허용으로 설정된다. The authentication device 160 determines whether the authentication is successful (S327). If authentication fails, the process returns to the step before step S305. On the other hand, if the authentication is successful, the traffic control device 180 is requested to change the QoS information of the access terminal 120 (S329). Here, the QoS information change is set to traffic permission.

트래픽 제어 장치(180)는 P-GW(150)에게 차단으로 설정된 트래픽 정책을 트래픽 허용으로 설정하도록 QoS 정보 변경을 요청한다(S331).The traffic control device 180 requests the P-GW 150 to change the QoS information so as to set the traffic policy set as blocking to the traffic permission (S331).

이후, 종단단말(110)과 접속단말(120)간 연결 인터페이스, 접속단말(120)과 LTE망 연결 인터페이스 및 P-GW(150)와 전용망(190) 간의 전용망 연결 인터페이스를 통해 종단단말(110)은 기업 인트라넷, 즉 전용망(190)과 종단대종단(E2E) 연결이 완료된다. 그리고 정상적인 데이터 통신 및 기업 인트라넷 서비스를 제공받는다. Thereafter, the connection between the end terminal 110 and the access terminal 120, the access terminal 120 and the LTE network connection interface, and the end terminal 110 through the dedicated network connection interface between the P-GW 150 and the dedicated network 190, (E2E) connection with the enterprise intranet, that is, the private network 190 is completed. And is provided with normal data communication and corporate intranet services.

도 5는 본 발명의 실시예에 따른 종단단말의 재인증 절차를 나타낸 흐름도이다.5 is a flowchart illustrating a re-authentication procedure of an end terminal according to an embodiment of the present invention.

도 5를 참조하면, 인증이 완료되어 연결이 허용된 상태에서도 관리자 설정에 따라 주기적 인증 설정이 가능하며, 이 경우 종단단말(110)은 주기적으로 재인증을 요청한다(S401, S403). Referring to FIG. 5, periodic authentication can be established according to the administrator setting even if the authentication is completed and connection is allowed. In this case, the end terminal 110 periodically requests re-authentication (S401, S403).

인증 장치(160)는 재인증을 수행(S405)하고, 재인증 응답을 전송한다(S407, S409).The authentication device 160 performs re-authentication (S405) and transmits a re-authentication response (S407, S409).

재인증에서 사용하는 인증키는 주기적 인증시 사용하는 키 값으로서, 인증 장치(160)에서 발급하는 고유값이며, 처음 인증시 사용한 인증키와는 다른 값이다.The authentication key used in the re-authentication is a key value used in the periodic authentication, and is an eigenvalue issued by the authentication device 160, which is different from the authentication key used for the first authentication.

인증 장치(160)는 재인증 실패 여부를 판단(S411)하여 재인증에 성공한 경우, S403 단계 이후로 되돌아간다. 즉, 기존의 세션 허용 정보를 유지한다.The authentication apparatus 160 determines whether or not the re-authentication is successful (S411). If the re-authentication is successful, the authentication apparatus 160 returns to step S403 and subsequent steps. That is, the conventional session permission information is maintained.

반면, 재인증에 실패하면, 인증 장치(160)는 트래픽 제어 장치(180)에게 트래픽 차단으로 QoS 정보 변경을 요청한다(S413).On the other hand, if the re-authentication fails, the authentication device 160 requests the traffic control device 180 to change QoS information by blocking traffic (S413).

그러면, 트래픽 제어 장치(180)는 P-GW(150)에게 트래픽 차단으로 QoS 정보 변경을 요청한다(S415). Then, the traffic control device 180 requests the P-GW 150 to change QoS information by blocking traffic (S415).

P-GW(150)는 해당 접속단말(120)에 대해 트래픽 차단을 설정한다(S417). 이러한 경우 종단단말(110)과 전용망(190) 간 데이터 연결은 차단된다.The P-GW 150 sets a traffic cutoff for the access terminal 120 (S417). In this case, the data connection between the end terminal 110 and the dedicated network 190 is blocked.

또한, 본 발명의 핵심 기능을 수행하는 인증 장치(160)가 종단단말(110) 및접속단말(120)에 대한 인증 및 접근 제어를 어떠한 알고리즘에 의해 수행하는지 구체적으로 설명하면, 도 6 및 도 7와 같다. 즉, 도 6 및 도 7은 인증 장치내 판단 로직에 대한 흐름도를 나타낸다.6 and 7 illustrate how an authentication device 160 performing a core function of the present invention performs authentication and access control for the end terminal 110 and the access terminal 120 according to an algorithm. . 6 and 7 show flowcharts of determination logic in the authentication apparatus.

먼저, 도 6은 본 발명의 한 실시예에 따른 인증 장치의 접근 제어 동작을 나타낸 순서도이다.6 is a flowchart illustrating an access control operation of an authentication apparatus according to an embodiment of the present invention.

도 6을 참조하면, 인증 장치(160)는 접속단말(120)의 전용망(190)에 대한 접근 요청을 수신한다(S501). 그러면, 전용망(190)으로 접근을 요청한 단말의 가입자 프로파일을 조회(S503)하여 해당 접속단말이 일반단말인지 또는 접속단말인지 판단한다(S505). Referring to FIG. 6, the authentication apparatus 160 receives a request for access to the dedicated network 190 of the access terminal 120 (S501). Then, in step S503, the subscriber profile of the terminal requesting access to the private network 190 is inquired (S503), and it is determined whether the corresponding access terminal is a general terminal or an access terminal (S505).

이때, 일반 단말로 판단되면 접속 허용으로 응답하고 단계를 종료한다(S507).At this time, if it is determined to be a general terminal, the connection is allowed and the step is terminated (S507).

반면, 접속 단말로 판단되면 기본 설정을 조회하여(S509) 접속 허용인지 차단인지 판단한다(S511).On the other hand, if it is determined to be the access terminal, the basic setting is inquired (S509) and it is determined whether the connection is allowed or blocked (S511).

접속 허용 가입자이면 S509 단계를 수행한다. If it is a connection allowable subscriber, step S509 is performed.

기본 설정에서 접속 차단으로 설정되어 있으면 접속 차단으로 응답한다(S513). 그리고 종단단말(110)의 인증 대기 상태가 된다. If the connection is set to be blocked in the default setting, the connection is blocked (S513). Then, the end terminal 110 enters the authentication wait state.

다음, 7은 본 발명의 한 실시예에 따른 인증 장치의 접속 인증 동작을 나타낸 순서도이다.7 is a flowchart showing a connection authentication operation of the authentication apparatus according to an embodiment of the present invention.

도 7을 참고하면, 인증 장치(160)는 종단단말(110)로부터 인증 요청이 수신되면(S601), 종단단말(110)과 연결된 접속단말(120) 및 접속단말(120)의 QoS 정보를 확인한다(S603).7, when the authentication request is received from the end terminal 110 in step S601, the authentication apparatus 160 confirms the QoS information of the access terminal 120 and the access terminal 120 connected to the end terminal 110 (S603).

인증 장치(160)는 접속단말(120)의 현재 상태가 트래픽 차단으로 설정되어 있는지 판단한다(S605).The authentication device 160 determines whether the current state of the access terminal 120 is set to traffic interruption (S605).

이때, 트래픽 차단으로 설정되어 있지 않으면, 유효 인증이 아니므로 유효 인증 실패 응답을 전송한다(S607).At this time, if the traffic blocking is not set, the valid authentication failure response is transmitted because it is not valid authentication (S607).

반면, 트래픽 차단으로 설정되어 있으면, 인증 절차를 수행한다(S609). 여기서, 인증 절차는 도 4에서 설명한 내용과 동일하다. 즉, 인증키 및 사전에 정해진 정보를 교환하여 인증을 수행한다. On the other hand, if the traffic blocking is set, the authentication procedure is performed (S609). Here, the authentication procedure is the same as that described in Fig. That is, the authentication key and the predetermined information are exchanged to perform the authentication.

인증 장치(160)는 인증 성공 여부를 판단(S611)하여 인증에 실패하면, S607 단계를 수행한다. 이때, IP 관계등 인증필수 정보가 서로 다른 경우 인증에 실패한다. The authentication device 160 determines whether the authentication is successful (S611), and if authentication fails, performs step S607. At this time, if authentication essential information such as IP relation is different, authentication fails.

인증 장치(160)는 S611 단계에서 인증을 성공하면 트래픽 제어 장치(180)로 접속 제한 상태를 해제로 변경 요청한다(S613). If authentication is successful in step S611, the authentication device 160 requests the traffic control device 180 to change the connection restriction state to the release state (S613).

인증 장치(160)는 인증 성공 후 재인증 활성화 상태이면 종단단말(110)의 인증 클라이언트에도 만료 시간을 알려 주고 자체 타이머를 가동한다(S615).If the re-authentication is enabled after the authentication succeeds, the authentication device 160 informs the authentication client of the end terminal 110 of the expiration time and activates its own timer (S615).

인증 장치(160)는 타이머내에 인증 요청이 있는지 체크하고 재인증 요청이 수신되면, 재인증 절차를 수행한다(S617).The authentication device 160 checks whether there is an authentication request in the timer, and performs a re-authentication process when a re-authentication request is received (S617).

인증 장치(160)는 타이머 만료전 재인증 성공 여부를 판단(S619)하여 성공하면, 현재 상태를 유지한다(S621).The authentication apparatus 160 determines whether the re-authentication is successful before expiration of the timer (S619). If the authentication is successful, the authentication apparatus 160 maintains the current state (S621).

반면, 재인증에 실패하면, 즉, 타이머가 만료되었는데도 재인증 요청이 없으면 트래픽 제어 장치(180)로 접속 차단을 요청한다(S623). 이후, 신규 인증 요청 대기 상태가 된다. On the other hand, if the re-authentication fails, that is, if there is no re-authentication request even though the timer has expired, the traffic control device 180 requests to disconnect the connection (S623). Thereafter, a new authentication request standby state is established.

도 8은 본 발명의 실시예에 따른 인증 DB에 저장되는 정보의 구성 예시도로서, 인증 장치 내 종단단말 및 접속단말의 인증 테이블 구성 및 관계도 구성 실시 예이다.FIG. 8 is a diagram showing an example of the configuration of information stored in the authentication DB according to the embodiment of the present invention, and is an embodiment of the configuration of the authentication table and the relationship diagram of the terminal terminal and the access terminal in the authentication apparatus.

도 8의 (a)를 참고하면, 접속단말의 인증 테이블을 나타낸다. 접속단말의 인증 테이블은 MSISDN 필드, 정책 필드, IP 필드, 접속상태필드, 주기 필드, 적어도 하나의 종단단말 ID 필드를 포함한다. 8 (a) shows an authentication table of the access terminal. The authentication table of the access terminal includes an MSISDN field, a policy field, an IP field, a connection status field, a period field, and at least one end terminal ID field.

접속단말의 인증 테이블은 LTE 인증을 위해 USIM내 MSDN(전화번호)를 필수로 가지며 해당 접속단말에 연결된 종단단말의 ID를 여러 개 추가할 수 있다. 또한, 최초 접속시 기본 정책을 차단/허용을 선택할 수 있다. 또한, 최초접속시 할당한 접속단말의 IP를 기록할 수 있다. 또한, 인증 완결성을 높이기 위해 접속단말의 현재 LTE 접속 및 전용망 접속 차단/허용 상태를 실시간으로 관리하고 재인증 주기 ON/OFF 및 시간을 선택할 수 있다.The authentication table of the access terminal has an MSDN (telephone number) in the USIM for the LTE authentication and can add several IDs of the end terminal connected to the access terminal. You can also choose to block / allow the default policy on first access. It is also possible to record the IP of the access terminal allocated at the time of initial connection. In addition, in order to improve authentication completeness, it is possible to manage the current LTE connection and disconnection / permission status of the access terminal in real time, and to select ON / OFF and time of re-authentication cycle.

여기서, 종단단말 ID 필드에 수록되는 적어도 하나의 종단단말 ID는 사전에 접속단말에 대응하여 등록된다. 관리자가 등록할 수 있다. 따라서, 종단단말을 미리 등록하고, 접속단말에 맵핑되어 사전에 등록된 종단단말만 인증시 허용된다.Here, at least one end terminal ID recorded in the end terminal ID field is registered in advance in correspondence with the access terminal. The administrator can register. Therefore, the end terminal is registered in advance, and only the end terminal that is mapped to the access terminal and registered in advance is allowed to be authenticated.

인증 요청 정보에는 MSDN(전화번호)기반의 정보와 ID기반의 사용자 인증의 매핑이 필요한데, 접속단말의 인증 테이블에서 사전 확인 된 IP와 인증시 source IP 를 서로 비교하면 해당 접속단말로 해당 사용자가 인증 요청했는지를 알 수 있다.In the authentication request information, mapping between MSDN (phone number) -based information and ID-based user authentication is required. If the IP pre-verified in the authentication table of the access terminal and the source IP in authentication are compared with each other, You can tell if you requested it.

도 8의 (b)를 참고하면, 종단단말의 인증 테이블은 종단단말 ID 필드, 인증방식 필드 및 필수 여부 필드를 포함한다. Referring to FIG. 8B, the authentication table of the end terminal includes an end terminal ID field, an authentication method field, and a required field.

종단단말의 인증 테이블은 종단단말의 ID를 기준으로 가입자별 인증방식 별을 선택할 수 있다. 종단단말의 ID는 스마트폰의 경우 전화번호로 PC의 경우 회사의 사번이나 유니크한 값을 할당할 수 있으며, 인증 장치는 종단단말 ID 가입자별로 설정된 인증방식을 멀티 요청할 수 있다.The authentication table of the end terminal can select each subscriber-specific authentication method based on the ID of the end terminal. The ID of the end terminal can be a phone number in the case of a smart phone, and the number or unique value of a company in the case of a PC. The authentication device can request multiple authentication methods set for each end terminal ID subscriber.

이때, 사용자 인증과 단말인증으로 구분될 수 있다. 사용자 인증은 ID/PW/OTP를 사용하고, 단말인증은 ID/MAC/UUID/PW 등 이 될 수 있다. 또한, 인증방식은 MD5 등의 알고리즘이 이용될 수 있다. At this time, user authentication and terminal authentication can be distinguished. User authentication uses ID / PW / OTP, and terminal authentication can be ID / MAC / UUID / PW. An algorithm such as MD5 may be used for the authentication method.

종단단말은 인증요청시 종단단말 ID를 요청하고 인증 장치는 요청하는 소스IP를 추출할 수 있으며 이 정보를 가지고 접속단말을 찾고 유효한 종단단말인지 1차 인증하고, 종단단말ID별로 설정된 인증방식으로 인증을 수행할 수 있다.The end terminal requests the end terminal ID when requesting the authentication, and the authentication device can extract the request source IP, find the access terminal with this information, perform primary authentication with a valid end terminal, authenticate with the authentication method set according to the end terminal ID Can be performed.

종단단말 ID를 확인하고, IP 확인하며, 접속중인 접속단말의 IP와, 접속단말의 프로파일에서 종단단말을 확인한다. 그리고 접속단말을 확정하고, 트래픽 허용으로 정책이 변경된다. Confirms the IP of the end terminal, verifies the IP, confirms the IP of the connected access terminal, and the end terminal in the profile of the access terminal. Then, the access terminal is confirmed, and the policy is changed to permit traffic.

도 9는 본 발명의 한 실시예에 따른 시스템의 하드웨어 블록도이다.9 is a hardware block diagram of a system according to one embodiment of the present invention.

도 9를 참고하면, 인증 장치(200)는 메모리 장치(201), 저장 장치(203), 프로세서(205) 및 통신 장치(207)를 포함하는 하드웨어로 구성되고, 지정된 장소에 하드웨어와 결합되어 실행되는 프로그램이 저장된다. 하드웨어는 본 발명의 방법을 실행할 수 있는 구성과 성능을 가진다. 프로그램은 도 1부터 도 8을 참고로 설명한 본 발명의 동작 방법을 구현한 명령어(instructions)를 포함하고, 프로세서(205)와 메모리 장치(201) 등의 하드웨어와 결합하여 본 발명을 실행한다. 프로그램은 관리 어플리케이션과 내부 로직으로 구현된 동작을 위한 명령어를 포함할 수 있다. 9, the authentication device 200 is composed of hardware including a memory device 201, a storage device 203, a processor 205, and a communication device 207, Is stored. The hardware has a configuration and performance capable of executing the method of the present invention. The program includes instructions implementing the method of operation of the present invention described with reference to FIGS. 1 through 8 and is implemented in conjunction with hardware such as processor 205 and memory device 201 to implement the present invention. The program may include instructions for operations implemented in the management application and internal logic.

트래픽 제어 장치(200) 역시, 메모리 장치(201), 저장 장치(203), 프로세서(205) 및 통신 장치(207)를 포함하는 하드웨어로 구성되고, 지정된 장소에 하드웨어와 결합되어 실행되는 프로그램이 저장된다. 하드웨어는 본 발명의 방법을 실행할 수 있는 구성과 성능을 가진다. 프로그램은 도 1부터 도 8을 참고로 설명한 본 발명의 동작 방법을 구현한 명령어(instructions)를 포함하고, 프로세서(205)와 메모리 장치(201) 등의 하드웨어와 결합하여 본 발명을 실행한다. 프로그램은 관리 어플리케이션과 내부 로직으로 구현된 동작을 위한 명령어를 포함할 수 있다.The traffic control device 200 is also configured with hardware including a memory device 201, a storage device 203, a processor 205 and a communication device 207, do. The hardware has a configuration and performance capable of executing the method of the present invention. The program includes instructions implementing the method of operation of the present invention described with reference to FIGS. 1 through 8 and is implemented in conjunction with hardware such as processor 205 and memory device 201 to implement the present invention. The program may include instructions for operations implemented in the management application and internal logic.

또한, 종단단말은 통신 장치, 프로세서, 메모리를 포함하는 하드웨어로 구성되고, 지정된 장소에 하드웨어와 결합되어 실행되는 프로그램이 저장된다. 하드웨어는 본 발명의 방법을 실행할 수 있는 구성과 성능을 가진다. 프로그램은 도 1부터 도 8을 참고로 설명한 본 발명의 동작 방법을 구현한 명령어(instructions)를 포함하고, 프로세서(205)와 메모리 장치(201) 등의 하드웨어와 결합하여 본 발명을 실행한다. 프로그램은 관리 어플리케이션과 내부 로직으로 구현된 동작을 위한 명령어를 포함할 수 있다. The end terminal is composed of hardware including a communication device, a processor, and a memory, and stores a program that is executed in combination with hardware at a specified location. The hardware has a configuration and performance capable of executing the method of the present invention. The program includes instructions implementing the method of operation of the present invention described with reference to FIGS. 1 through 8 and is implemented in conjunction with hardware such as processor 205 and memory device 201 to implement the present invention. The program may include instructions for operations implemented in the management application and internal logic.

이때, 통신 장치는 접속단말과의 통신 인터페이스를 포함한다.At this time, the communication device includes a communication interface with the access terminal.

또한, 접속단말은 통신 장치, 프로세서, 메모리를 포함하는 하드웨어로 구성되고, 지정된 장소에 하드웨어와 결합되어 실행되는 프로그램이 저장된다. 하드웨어는 본 발명의 방법을 실행할 수 있는 구성과 성능을 가진다. 프로그램은 도 1부터 도 8을 참고로 설명한 본 발명의 동작 방법을 구현한 명령어(instructions)를 포함하고, 프로세서(205)와 메모리 장치(201) 등의 하드웨어와 결합하여 본 발명을 실행한다. 프로그램은 관리 어플리케이션과 내부 로직으로 구현된 동작을 위한 명령어를 포함할 수 있다. Further, the access terminal is composed of hardware including a communication device, a processor and a memory, and a program to be executed in combination with the hardware is stored in a designated place. The hardware has a configuration and performance capable of executing the method of the present invention. The program includes instructions implementing the method of operation of the present invention described with reference to FIGS. 1 through 8 and is implemented in conjunction with hardware such as processor 205 and memory device 201 to implement the present invention. The program may include instructions for operations implemented in the management application and internal logic.

이때, 통신 장치는 LTE망과의 통신 인터페이스 및 접속단말과의 통신 인터페이스 각각을 포함한다.At this time, the communication device includes a communication interface with the LTE network and a communication interface with the access terminal, respectively.

도 10은 본 발명의 다른 실시예에 따른 종단단말의 네트워크 인증 및 접속 제어 방법을 나타낸 흐름도이다.10 is a flowchart illustrating a network authentication and access control method of an end terminal according to another embodiment of the present invention.

도 10을 참조하면, 종단단말(PC)(110)과 접속단말(USB 동글)(120)간에 PC client-dongle 규격(HTTP)에 따른 인터페이스가 연결된다(S701). 이 단계는 도 4에서 설명한 S301 단계와 유사하다.10, an interface according to a PC client-dongle standard (HTTP) is connected between an end terminal (PC) 110 and an access terminal (USB dongle) 120 (S701). This step is similar to the step S301 described in Fig.

다음, 접속단말(USB 동글)(120)과 인증 장치(160)간에 인증장치-dongle 규격(HTTP)에 따른 인터페이스가 연결된다(S703). 즉, 이 단계에서는 접속단말(USB 동글)(120)과 인증 장치(160) 간에 네트워크 접속 절차가 수행되는데, 도 2의 단계들과 유사하게 이루어진다. Next, an interface according to an authentication device-protocol specification (HTTP) is connected between the access terminal (USB dongle) 120 and the authentication device 160 (S703). That is, in this step, a network connection procedure is performed between the access terminal (USB dongle) 120 and the authentication apparatus 160, which is similar to the steps of FIG.

S701 단계와 S703 단계를 통해 연결된 인터페이스를 통해 도 4에서 설명한 종단단말(PC)에 대한 인증 절차가 수행된다. The authentication procedure for the end terminal PC described in FIG. 4 is performed through the connected interface through steps S701 and S703.

다음, 인증 장치(160)는 운용자 설정에 따라 2차 OTP 인증을 수행할 경우, 인증 장치(160)와 메시지 서비스 센터(SMSC)(미도시) 간에 SMPP 통신을 한다(S705). 여기서, S705 단계는 선택적(Option)이다. 이 단계는 OTP 인증 코드를 송신할 수 있다.Next, when performing the secondary OTP authentication according to the operator setting, the authentication apparatus 160 performs SMPP communication between the authentication apparatus 160 and the message service center (SMSC) (not shown) (S705). Here, step S705 is optional. This step can send an OTP authentication code.

다음, 메시지 서비스 센터(미도시)는 종단단말(사용자 휴대폰)과 SMS 통신(S707)을 하는데, 이 역시 선택적(Option)이다. 이 단계는 종단단말(사용자 휴대폰)으로 OTP 인증 코드를 송신할 수 있다.Next, the message service center (not shown) performs SMS communication (S707) with the end terminal (user's mobile phone), which is also optional. This step can send the OTP authentication code to the end terminal (user's mobile phone).

사용자는 종단단말(사용자 휴대폰)에서 확인한 OTP 인증코드를 종단단말(PC)(110)를 통해 입력하고, 종단단말(PC)(110), 접속단말(USB 동글)(120) 및 인증 장치(160)는 OTP 2차 인증을 선택적(Option)으로 수행한다(S709, S711).The user inputs the OTP authentication code confirmed by the end terminal (user mobile phone) through the end terminal (PC) 110 and transmits the OTP authentication code to the end terminal (PC) 110, the access terminal (USB dongle) Performs OTP secondary authentication as an option (S709, S711).

이후, 종단단말(PC)(110)은 접속단말(USB 동글)(120)을 통해 인증장치(160)와 제어 플레인(control plane)을 형성하고, 종단단말(PC)(110)은 접속단말(USB 동글)(120)을 통해 인트라넷과 데이터 플레인(data plane)을 형성한다(S711). 그리고 IP-CAN(LTE/PPP) 통신이 수행된다.Then, the end terminal (PC) 110 forms a control plane with the authentication device 160 through the access terminal (USB dongle) 120, and the end terminal (PC) 110 accesses the access terminal USB dongle) 120 to form an intranet and a data plane (S711). And IP-CAN (LTE / PPP) communication is performed.

이때, 접속단말(USB 동글)(120)은 네트워크에 접속되어 트래픽을 송수신하는 제1 채널과, 종단단말(PC)(110)과 연결되어 트래픽을 송수신하는 제2 채널을 포함한다. 접속단말(USB 동글)(120)은 제2 채널의 사용을 통제함으로써, 인증결과에 따른 선택적 트래픽 허용을 수행할 수 있다.At this time, the access terminal (USB dongle) 120 includes a first channel connected to the network to transmit and receive traffic, and a second channel connected to the terminal 110 (PC) to transmit and receive traffic. The access terminal (USB dongle) 120 can control the use of the second channel to allow selective traffic according to the authentication result.

도 4에서 설명한 내용과 다른 실시예로서, 인증결과에 따른 선택적 트래픽 허용을 하는 트래픽 제어는 접속단말(USB 동글)(120)에 의해 수행된다. 4, the traffic control for permitting selective traffic according to the authentication result is performed by the access terminal (USB dongle)

도 11은 본 발명의 한 실시예에 따른 사용자 접속 시나리오를 나타낸다. Figure 11 illustrates a user access scenario in accordance with one embodiment of the present invention.

도 11의 (a)를 참조하면, 옵션설정을 통해 접속 여부를 설정할 수 있다. 도 11의 (b)를 참조하면, 로그인을 수행하는 화면이다.Referring to (a) of FIG. 11, it is possible to set whether to connect or not through option setting. Referring to (b) of FIG. 11, a login screen is displayed.

도 12는 본 발명의 다른 실시예에 따른 사용자 접속 시나리오를 나타낸다.12 illustrates a user access scenario according to another embodiment of the present invention.

도 12를 참조하면, 로그인 수행후, 비밀번호 방식 인증을 수행하는 화면을 나타낸다.Referring to FIG. 12, there is shown a screen for performing password authentication after login.

도 13은 본 발명의 또 다른 실시예에 따른 사용자 접속 시나리오를 나타낸다.13 illustrates a user access scenario according to another embodiment of the present invention.

도 13을 참조하면, 로그인 수행후, 패스워드 방식 인증과 SMS/OTP 인증의 두 단계 방식의 인증을 수행하는 화면을 나타낸다.Referring to FIG. 13, there is shown a screen for performing a two-step authentication of password-based authentication and SMS / OTP authentication after login.

도 14는 본 발명의 또 다른 실시예에 따른 사용자 접속 시나리오를 나타낸다.14 shows a user access scenario according to another embodiment of the present invention.

도 14를 참조하면, 인증 과정 중에 미등록된 MAC으로 인한 오류가 발생한 경우 에러 메시지/코드를 출력하는 화면을 나타낸다. Referring to FIG. 14, a screen for outputting an error message / code when an error due to an unregistered MAC occurs during the authentication process is shown.

이상의 도 11 내지 도 14는 인증 장치(160)가 종단단말(110)을 인증하는 다양한 실시예를 나타낸다. 이러한 인증 화면은 웹 기반에서 구현될 수 있다. 11 through 14 illustrate various embodiments in which the authentication device 160 authenticates the end terminal 110. FIG. Such an authentication screen can be implemented on a web-based basis.

이상에서 설명한 본 발명의 실시예는 장치 및 방법을 통해서만 구현이 되는 것은 아니며, 본 발명의 실시예의 구성에 대응하는 기능을 실현하는 프로그램 또는 그 프로그램이 기록된 기록 매체를 통해 구현될 수도 있다. The embodiments of the present invention described above are not implemented only by the apparatus and method, but may be implemented through a program for realizing the function corresponding to the configuration of the embodiment of the present invention or a recording medium on which the program is recorded.

이상에서 본 발명의 실시예에 대하여 상세하게 설명하였지만 본 발명의 권리범위는 이에 한정되는 것은 아니고 다음의 청구범위에서 정의하고 있는 본 발명의 기본 개념을 이용한 당업자의 여러 변형 및 개량 형태 또한 본 발명의 권리범위에 속하는 것이다.While the present invention has been particularly shown and described with reference to exemplary embodiments thereof, it is to be understood that the invention is not limited to the disclosed exemplary embodiments, It belongs to the scope of right.

Claims (23)

접속단말을 통해 네트워크에 접속하는 종단단말에 대한 네트워크 접속 및 인증을 수행하는 인증장치의 동작 방법으로서,
상기 네트워크에 접속 절차를 완료한 상기 접속단말에 대해 트래픽 차단을 설정하는 단계,
상기 접속단말과 연결된 상기 종단단말로부터 인증 요청을 수신하는 단계, 그리고
상기 종단단말에 대한 인증을 수행한 후, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계를 포함하고,
상기 트래픽 차단이 해제되면, 상기 종단단말은 상기 접속단말을 통해 상기 네트워크에 접속하여 데이터 서비스를 제공받는 동작 방법.1. An operation method of an authentication apparatus for performing network connection and authentication with an end terminal connected to a network via an access terminal,
Setting a traffic block for the access terminal that has completed the access procedure to the network,
Receiving an authentication request from the end terminal connected to the access terminal, and
Performing authentication for the end terminal and releasing traffic blocking for the access terminal,
And when the traffic interruption is canceled, the end terminal accesses the network through the access terminal to receive the data service. 제1항에서,
상기 설정하는 단계는,
전용망으로의 접속 요청을 상기 접속단말로부터 수신하여 상기 접속단말이 전용망 서비스 가입자인지 인증하는 단계, 그리고
상기 인증에 성공하면, 상기 접속단말에 대해 인증 트래픽을 제외한 모든 트래픽에 대한 차단을 설정하는 단계
를 포함하는 동작 방법.The method of claim 1,
Wherein the setting step comprises:
Receiving a connection request to the private network from the access terminal and authenticating that the access terminal is a private network service subscriber, and
If the authentication succeeds, setting blocking for all traffic except authentication traffic for the access terminal
≪ / RTI > 제2항에서,
상기 모든 트래픽에 대한 차단을 설정하는 단계는,
상기 인증장치가 트래픽 제어 장치로부터 상기 접속단말에 대한 세션의 서비스 품질(QoS, Quality of Service) 정보를 요청받는 단계, 그리고
상기 서비스 품질 정보를 상기 트래픽 제어 장치로 응답하는 단계를 포함하고,
상기 트래픽 제어 장치는 상기 서비스 품질 정보를 패킷 데이터 네트워크 게이트웨이로 전달하며,
상기 패킷 데이터 네트워크 게이트웨이는 상기 접속단말에 대해 인증 트래픽을 제외한 모든 트래픽에 대해 차단을 설정하는 동작 방법.3. The method of claim 2,
Wherein the setting of the blocking for all traffic comprises:
The authentication apparatus receives a QoS (Quality of Service) information of a session for the access terminal from the traffic control apparatus, and
And responding the service quality information to the traffic control device,
The traffic control device transmits the service quality information to the packet data network gateway,
Wherein the packet data network gateway sets blocking for all traffic except authentication traffic for the access terminal. 제3항에서,
상기 인증하는 단계는,
상기 패킷 데이터 네트워크 게이트웨이로부터 상기 접속단말의 접속요청을 수신하는 단계,
상기 접속요청에 포함된 정보를 토대로 상기 접속단말이 전용망 서비스 가입자인지 판단하는 단계,
상기 전용망 서비스 가입자로 판단되면, 접속응답을 상기 패킷 데이터 네트워크 게이트웨이로 전송하는 단계
를 포함하는 동작 방법.4. The method of claim 3,
Wherein the authenticating comprises:
Receiving a connection request of the access terminal from the packet data network gateway;
Determining whether the access terminal is a dedicated network service subscriber based on information included in the access request,
Transmitting a connection response to the packet data network gateway when it is determined to be the dedicated network service subscriber
≪ / RTI > 제4항에서,
상기 인증하는 단계는,
상기 접속응답을 상기 패킷 데이터 네트워크 게이트웨이로 전송하는 단계 이후,
상기 접속단말에 대한 세션을 저장하는 단계를 더 포함하고,
상기 패킷 데이터 네트워크 게이트웨이는,
상기 접속응답이 수신되면, 상기 접속단말에 전용망에서 사용할 IP를 할당하고, 상기 접속단말로 세션 생성 응답을 전송하는 동작 방법.5. The method of claim 4,
Wherein the authenticating comprises:
After sending the connection response to the packet data network gateway,
Further comprising storing a session for the access terminal,
Wherein the packet data network gateway comprises:
Assigning an IP to be used in a private network to the access terminal when the access response is received, and transmitting a session establishment response to the access terminal. 제4항에서,
상기 접속요청을 수신하는 단계 이후,
상기 접속요청을 전송한 단말이 일반 단말인지 또는 상기 접속단말인지 판단하는 단계, 그리고
상기 일반단말이면, 접속응답을 상기 패킷 데이터 네트워크 게이트웨이로 전송하는 단계를 더 포함하고,
상기 접속단말로 판단되면, 상기 판단하는 단계가 수행되는 동작 방법.5. The method of claim 4,
After receiving the connection request,
Determining whether the terminal transmitting the connection request is a general terminal or the access terminal, and
And if so, sending a connection response to the packet data network gateway,
And if the access terminal is determined to be the access terminal, the determining step is performed. 제1항에서,
상기 해제하는 단계는,
상기 종단단말과 연결된 접속단말을 확인하여 상기 접속단말에 대한 세션의 서비스 품질(QoS, Quality of Service) 정보를 확인하는 단계,
상기 서비스 품질 정보가 트래픽 차단으로 설정된 경우, 상기 종단단말에게 제1 인증키를 전송하는 단계,
상기 종단단말로부터 상기 인증키를 이용하여 정해진 알고리즘으로 연산된 제1 인증값을 수신하는 단계, 그리고
상기 제1 인증값이 유효한지 확인하여, 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계
를 포함하는 동작 방법.The method of claim 1,
Wherein the step of releasing comprises:
Identifying an access terminal connected to the end terminal and confirming quality of service (QoS) information of a session for the access terminal;
Transmitting the first authentication key to the end terminal if the quality of service information is set to block traffic,
Receiving a first authentication value calculated by a predetermined algorithm using the authentication key from the end terminal; and
Checking whether the first authentication value is valid, and if it is valid, canceling traffic blocking for the access terminal
≪ / RTI > 제7항에서,
상기 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계는,
상기 종단단말과 동일한 알고리즘으로 제2 인증값을 연산하는 단계,
상기 제1 인증값과 상기 제2 인증값이 일치하면, 상기 제1 인증값이 유효한 것으로 판단하는 단계, 그리고
상기 제1 인증값이 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계
를 포함하는 동작 방법.8. The method of claim 7,
Wherein the step of canceling the traffic interruption to the access terminal, if valid,
Computing a second authentication value with the same algorithm as the endpoint terminal;
Determining that the first authentication value is valid if the first authentication value matches the second authentication value, and
If the first authentication value is valid, canceling the traffic interruption to the access terminal
≪ / RTI > 제8항에서,
상기 제1 인증값 및 상기 제2 인증값은,
상기 제1 인증키와, 상기 종단단말의 MAC(Media Access Control), IMEI(International Mobile Equipment Identity), PassWord(PW), OTP(One Time Password) 중 적어도 하나를 이용하여 연산되는 동작 방법.9. The method of claim 8,
Wherein the first authentication value and the second authentication value are "
Wherein the first authentication key is calculated using at least one of Media Access Control (MAC), International Mobile Equipment Identity (IMEI), PassWord (PW), and One Time Password (OTP) of the end terminal. 제8항에서,
상기 제1 인증값이 유효하면, 상기 접속단말에 대한 트래픽 차단을 해제하는 단계 이후,
인증 결과 및 재인증에 사용할 제2 인증키를 상기 종단단말로 전송하는 단계,
상기 제2 인증키를 이용한 재인증 요청을 상기 종단단말로부터 수신하여 재인증을 수행하는 단계, 그리고
상기 재인증에 실패하는 경우, 상기 접속단말에 대한 트래픽 차단을 설정하는 단계
를 더 포함하는 동작 방법.9. The method of claim 8,
And if the first authentication value is valid, canceling the traffic block to the access terminal,
Transmitting an authentication result and a second authentication key to be used for re-authentication to the end terminal;
Receiving a re-authentication request using the second authentication key from the end terminal and performing re-authentication, and
If the re-authentication fails, establishing a traffic block for the access terminal
≪ / RTI > 제10항에서,
상기 재인증에 실패하는 경우, 상기 접속단말에 대한 트래픽 차단을 설정하는 단계는,
재인증 타이머를 구동하고, 타이머 만료 시간을 상기 종단단말로 전송하는 단계, 그리고
상기 재인증에 실패하거나 또는 상기 타이머 만료 시간 이내에 상기 재인증 요청이 수신되지 않으면, 상기 트래픽 차단을 설정하는 단계
를 포함하는 동작 방법.11. The method of claim 10,
Wherein if the re-authentication fails, establishing a traffic block for the access terminal comprises:
Activating a re-authentication timer and transmitting a timer expiration time to the end terminal; and
If the re-authentication fails or the re-authentication request is not received within the timer expiration time,
≪ / RTI > 접속단말을 통해 네트워크에 접속하는 종단단말에 대한 네트워크 접속 및 인증을 수행하는 시스템으로서,
상기 네트워크에 접속절차가 완료된 접속단말의 정보와 상기 접속단말에 대해 등록된 종단단말의 정보를 저장하는 인증 DB, 그리고
상기 접속단말과 연결된 상기 종단단말로부터 IP(Internet Protocol) 및 종단말 ID가 포함된 인증 요청이 수신되면, 상기 IP를 토대로 상기 종단단말과 연결된 접속단말을 상기 인증 DB로부터 확인하고, 상기 접속단말에 대해 트래픽 차단으로 설정되어 있으면, 상기 종단단말에 대한 인증을 수행한 후, 트래픽 차단을 해제하는 인증 장치
를 포함하는 네트워크 접속 및 인증 시스템.A system for performing network connection and authentication to an end terminal connected to a network via an access terminal,
An authentication DB for storing information of an access terminal which has completed the connection procedure to the network and information of the terminal which is registered for the access terminal,
When an authentication request including an IP (Internet Protocol) and an end terminal ID is received from the end terminal connected to the access terminal, the access terminal connected to the end terminal is checked based on the IP from the authentication DB, The terminal device is configured to perform the authentication for the end terminal,
And a network access and authentication system. 제12항에서,
상기 인증 DB는,
상기 접속단말의 단말 식별자 필드, 상기 접속단말의 정책 필드, 상기 접속단말의 IP 필드, 상기 접속단말의 접속상태 필드 및 상기 접속단말과 연결되는 적어도 하나의 종단단말 ID 필드를 포함하는 제1 인증 테이블, 그리고
상기 종단단말 ID 필드에 대응하는 종단단말의 단말 식별자 필드 및 상기 종단단말에 대한 적어도 하나의 인증방식 필드를 포함하는 제2 인증 테이블을
을 포함하는 네트워크 접속 및 인증 시스템.The method of claim 12,
The authentication DB includes:
A first authentication table including a terminal identifier field of the access terminal, a policy field of the access terminal, an IP field of the access terminal, a connection state field of the access terminal, and at least one terminal terminal ID field connected to the access terminal , And
A second authentication table including a terminal identifier field of an end terminal corresponding to the end terminal ID field and at least one authentication method field for the end terminal
And a network access and authentication system. 제13항에서,
상기 인증장치는,
상기 인증 요청에 포함된 IP와 종단단말 ID가 수록된 접속단말을 상기 제1 인증 테이블로부터 확인하고, 상기 종단단말 ID에 대응하여 수록된 인증방식을 상기 제2 인증 테이블로부터 확인하며, 상기 제2 인증 테이블로부터 확인한 인증방식을 이용하여 상기 종단단말에 대한 인증을 수행하는 네트워크 접속 및 인증 시스템.The method of claim 13,
The authentication device includes:
Confirms from the first authentication table an access terminal including an IP included in the authentication request and an end terminal ID, identifies an authentication method recorded in correspondence with the end terminal ID from the second authentication table, And performs authentication for the end terminal using an authentication method confirmed by the terminal. 제14항에서,
상기 인증 장치는,
네트워크 접속 절차 이후, 상기 접속단말에 대해 상기 제1 인증 테이블의 정책 필드를 트래픽 차단으로 설정하고, 상기 종단단말에 대해 인증이 성공하면, 상기 제1 인증 테이블의 정책 필드를 트래픽 차단 해제로 설정하는 네트워크 접속 및 인증 시스템.The method of claim 14,
The authentication device includes:
Setting a policy field of the first authentication table as a traffic block for the access terminal after the network access procedure and setting a policy field of the first authentication table as a traffic block release when the authentication for the end terminal is successful Network access and authentication system. 제12항에서,
상기 접속단말로부터 접속요청이 수신되면, 상기 인증장치로 접근 요청을 전송하여 접근 응답이 수신되면, 상기 인증장치로부터 트래픽 차단 설정을 요청받아 인증 트래픽 외 모든 트래픽에 대해 차단을 설정하고, 이후, 상기 종단단말에 대한 인증이 성공하면, 상기 트래픽에 대한 차단 설정을 해제하는 패킷 데이터 네트워크 게이트웨이
를 더 포함하는 네트워크 접속 및 인증 시스템. The method of claim 12,
When receiving an access request from the access terminal, transmitting an access request to the authentication device and receiving an access response from the authentication device, requesting the traffic disconnection setting from the authentication device to set blocking for all traffic other than the authentication traffic, If the authentication of the end terminal is successful, the packet data network gateway
Further comprising: a network connection and authentication system. 제16항에서,
상기 패킷 데이터 네트워크 게이트웨이의 요청에 따라 상기 인증장치로 요청하여 상기 트래픽 차단 설정 또는 트래픽 차단 해제 정보가 포함된 상기 접속단말에 대한 세션의 서비스 품질(QoS, Quality of Service) 정보를 상기 인증장치로부터 수신하여 상기 패킷 데이터 네트워크 게이트웨이에게 전달하는 트래픽 제어 장치
를 더 포함하는 네트워크 접속 및 인증 시스템.17. The method of claim 16,
Requesting the authentication apparatus according to a request of the packet data network gateway and receiving quality of service (QoS) information of a session for the access terminal including the traffic cutoff setting or traffic cutoff release information from the authentication apparatus To the packet data network gateway
Further comprising: a network connection and authentication system. 제17항에서,
상기 인증장치는,
상기 접속단말이 전용망 서비스 가입자인지 확인한 후, 전용망 서비스 가입자이면, 네트워크 접속을 허용하는 네트워크 접속 및 인증 시스템.The method of claim 17,
The authentication device includes:
The network access and authentication system permitting network access if the access terminal is a dedicated network service subscriber after confirming that the access terminal is a dedicated network service subscriber. 접속단말을 통해 네트워크에 접속하는 종단단말의 동작 방법으로서,
상기 종단단말이 상기 접속단말과 연결되는 단계,
상기 접속단말을 통해 인증장치로 인증을 요청하는 단계, 그리고
상기 인증에 성공하면, 상기 접속단말을 통해 상기 네트워크에 접속하여 데이터 서비스를 제공받는 단계
를 포함하는 종단단말의 동작 방법.1. An operation method of an end terminal that connects to a network through an access terminal,
Wherein the end terminal is connected to the access terminal,
Requesting authentication from the authentication terminal through the access terminal, and
If the authentication is successful, accessing the network through the access terminal and receiving a data service
Gt; terminal < / RTI > 제19항에서,
상기 제공받는 단계는,
상기 인증장치로부터 제1 인증키를 수신하여 정해진 알고리즘으로 제1 인증값을 생성하는 단계,
상기 제1 인증값을 상기 인증장치로 전송하여 상기 제1 인증값이 유효한지 인증 결과를 수신하는 단계, 그리고
상기 제1 인증값이 유효한 경우, 상기 접속단말을 통해 상기 네트워크에 접속하여 데이터 서비스를 제공받는 단계
를 포함하는 종단단말의 동작 방법.20. The method of claim 19,
Wherein the providing and receiving comprises:
Receiving a first authentication key from the authentication device and generating a first authentication value with a predetermined algorithm,
Transmitting the first authentication value to the authentication device and receiving an authentication result indicating that the first authentication value is valid, and
When the first authentication value is valid, accessing the network through the access terminal and receiving a data service
Gt; terminal < / RTI > 제20항에서,
상기 제공받는 단계 이후,
상기 인증 결과와 함께 수신한 재인증 키를 이용하여 주기적으로 상기 인증장치로 재인증을 요청하는 단계를 더 포함하고,
상기 재인증에 실패하면 상기 접속단말의 트래픽 차단이 설정되는 종단단말의 동작 방법.20. The method of claim 20,
After the providing and receiving step,
And requesting re-authentication to the authentication device periodically using the re-authentication key received together with the authentication result,
And if the reauthentication fails, blocking of traffic of the access terminal is established. 종단단말을 네트워크에 접속시키는 접속단말의 동작 방법으로서,
상기 접속단말이 상기 종단단말과 연결되는 단계,
상기 종단단말과 인증장치 간의 인증 트래픽 송수신을 중계하는 단계, 그리고
상기 종단단말에 대한 인증 장치의 인증 결과에 따라 상기 종단단말의 네트워크 접속 및 사용자 트래픽 송수신을 허용할지 여부를 결정하는 단계
를 포함하는 접속단말의 동작 방법.An operating method of an access terminal for connecting an end terminal to a network,
Connecting the access terminal to the end terminal,
Relaying authentication traffic transmission / reception between the end terminal and the authentication device, and
Determining whether to allow network connection and user traffic transmission of the end terminal according to the authentication result of the authentication device for the end terminal
To the access terminal. 제22항에서,
상기 결정하는 단계는,
인증에 성공하면, 상기 종단단말과 상기 네트워크 간의 트래픽 송수신 경로를 허용하는 단계, 그리고
상기 인증에 실패하면, 상기 종단단말과 상기 네트워크 간의 트래픽 송수신 경로를 차단하는 단계
를 포함하는 접속단말의 동작 방법. The method of claim 22,
Wherein the determining comprises:
If the authentication is successful, allowing a traffic transmission / reception path between the end terminal and the network, and
Blocking the traffic transmission / reception path between the end terminal and the network if the authentication fails;
To the access terminal.
KR1020160085784A 2016-07-06 2016-07-06 Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal KR102185215B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020160085784A KR102185215B1 (en) 2016-07-06 2016-07-06 Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020160085784A KR102185215B1 (en) 2016-07-06 2016-07-06 Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal

Publications (2)

Publication Number Publication Date
KR20180005551A true KR20180005551A (en) 2018-01-16
KR102185215B1 KR102185215B1 (en) 2020-12-01

Family

ID=61066930

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020160085784A KR102185215B1 (en) 2016-07-06 2016-07-06 Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal

Country Status (1)

Country Link
KR (1) KR102185215B1 (en)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20210081167A (en) * 2019-12-23 2021-07-01 주식회사 케이티 QoS MEDIATION APPARATUS AND METHOD OF QoS CONTROL
KR20220056569A (en) * 2020-10-28 2022-05-06 주식회사 케이티 Apparatus and method for controlling network access
KR20220157150A (en) * 2021-05-20 2022-11-29 에스케이브로드밴드주식회사 Internet sharing apparatus, and control method thereof

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009303188A (en) * 2008-05-14 2009-12-24 Kddi Corp Management device, registered communication terminal, unregistered communication terminal, network system, management method, communication method, and computer program
JP2013197874A (en) * 2012-03-19 2013-09-30 Kddi Corp Communication device

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009303188A (en) * 2008-05-14 2009-12-24 Kddi Corp Management device, registered communication terminal, unregistered communication terminal, network system, management method, communication method, and computer program
JP2013197874A (en) * 2012-03-19 2013-09-30 Kddi Corp Communication device

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20210081167A (en) * 2019-12-23 2021-07-01 주식회사 케이티 QoS MEDIATION APPARATUS AND METHOD OF QoS CONTROL
KR20220056569A (en) * 2020-10-28 2022-05-06 주식회사 케이티 Apparatus and method for controlling network access
KR20220157150A (en) * 2021-05-20 2022-11-29 에스케이브로드밴드주식회사 Internet sharing apparatus, and control method thereof

Also Published As

Publication number Publication date
KR102185215B1 (en) 2020-12-01

Similar Documents

Publication Publication Date Title
CN110557751B (en) Authentication based on server trust evaluation
EP3506669B1 (en) Network authentication method, and related device and system
CN112566050B (en) Cellular service account transfer for an accessory wireless device
CN107018676B (en) Mutual authentication between user equipment and evolved packet core
CN110786034B (en) Method, user equipment and functional node for network slice privacy consideration
JP5281128B2 (en) WI-FI access method, access point, and WI-FI access system
EP3657835B1 (en) Access method of user equipment, user equipment and computer-readable storage medium
US11375367B2 (en) System and method for deriving a profile for a target endpoint device
JP2018502471A (en) Apparatus and method for wireless communication
TW201218790A (en) Method and apparatus for relay node management and authorization
EP3225071B1 (en) Infrastructure-based d2d connection setup using ott services
EP2876855A1 (en) Mobile wireless access and establishment of virtual private network
WO2020207156A1 (en) Verification method, apparatus, and device
EP2317694B1 (en) Method and system and user equipment for protocol configuration option transmission
KR20150051568A (en) Security supporting method and system for proximity based service device to device discovery and communication in mobile telecommunication system environment
US20240080316A1 (en) Methods and apparatus for provisioning, authentication, authorization, and user equipment (ue) key generation and distribution in an on-demand network
KR20180124076A (en) System and method for relaying data over a communication network
JP2021522757A (en) Non-3GPP device access to core network
KR102207135B1 (en) Method for transmitting data of terminal, the terminal and control method of data transmission
KR102185215B1 (en) Operating method of authentication apparatus, system for network access and uthentication, operating method of end terminal and operating method of access terminal
KR102367169B1 (en) Method for supporting intranet access and network system implementing the same method
KR102048469B1 (en) System, method and user terminal for private network access control using untrusted access network
WO2021031054A1 (en) Communication method and apparatus
KR102209289B1 (en) Security and information supporting method and system for proximity based service in mobile telecommunication system environment
JP2020505845A (en) Method and device for parameter exchange during emergency access

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant