RU2424624C2 - Способ и устройство, имеющее нулевое шифрование для передачи сигналов и мультимедийных пакетов между мобильной станцией и шлюзом безопасности - Google Patents

Способ и устройство, имеющее нулевое шифрование для передачи сигналов и мультимедийных пакетов между мобильной станцией и шлюзом безопасности Download PDF

Info

Publication number
RU2424624C2
RU2424624C2 RU2009115652/09A RU2009115652A RU2424624C2 RU 2424624 C2 RU2424624 C2 RU 2424624C2 RU 2009115652/09 A RU2009115652/09 A RU 2009115652/09A RU 2009115652 A RU2009115652 A RU 2009115652A RU 2424624 C2 RU2424624 C2 RU 2424624C2
Authority
RU
Russia
Prior art keywords
mobile station
packets
security gateway
encrypted
type
Prior art date
Application number
RU2009115652/09A
Other languages
English (en)
Other versions
RU2009115652A (ru
Inventor
Арунгундрам С. МАХЕНДРАН (US)
Арунгундрам С. МАХЕНДРАН
Реймонд Тах-Шэнг ХСУ (US)
Реймонд Тах-Шэнг ХСУ
Original Assignee
Квэлкомм Инкорпорейтед
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Квэлкомм Инкорпорейтед filed Critical Квэлкомм Инкорпорейтед
Publication of RU2009115652A publication Critical patent/RU2009115652A/ru
Application granted granted Critical
Publication of RU2424624C2 publication Critical patent/RU2424624C2/ru

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Изобретение относится к беспроводной связи, а именно к способу передачи пакетов между мобильной станцией и шлюзом безопасности по беспроводной локальной сети для доступа к домашним службам. Техническим результатом является повышение гибкости принятия решений о политиках безопасности в течение работы беспроводной локальной сети. Технический результат достигается тем, что первое и второе защищенные шифрованием соединения устанавливаются для передачи пакетов первого типа соответственно от шлюза безопасности к мобильной станции и от мобильной станции к шлюзу безопасности. Затем первое и второе защищенные соединения с нулевым шифрованием устанавливаются для передачи пакетов второго типа соответственно от шлюза безопасности к мобильной станции и от мобильной станции к шлюзу безопасности. Пакеты второго типа выбираются для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора графика, который создается мобильной станцией или шлюзом безопасности после установления первого и второго защищенных шифрованием соединений. 4 н. и 17 з.п. ф-лы, 4 ил.

Description

Притязание на приоритет согласно 35 U.S.C. §119
Настоящая заявка на выдачу патента заявляет приоритет по предварительной заявке США № 60/847195, озаглавленной "NULL-ENCRYPTION FOR SIP SIGNALING AND MEDIA PACKETS BETWEEN MS AND PDIF", поданной 25 сентября 2006 года. Эта предварительная заявка назначена правопреемнику настоящего изобретения и тем самым полностью включена в данный документ по ссылке.
Область техники, к которой относится изобретение
Настоящее изобретение, в общем, относится к беспроводной связи, а более конкретно к выборочной защите контента.
Уровень техники
Область техники связи имеет множество вариантов применения, включающих в себя, например, пейджинг, беспроводные местные линии связи (WLL), Интернет-телефонию и системы спутниковой связи. Типичным вариантом применения является сотовая телефонная система для удаленных абонентов. (При использовании в данном документе термин "сотовая" система подразумевает как систему, использующую как сотовые частоты, так и частоты служб персональной связи (PCS)). Современные системы связи, такие как система беспроводной связи, предназначенные чтобы предоставлять множеству пользователей возможность осуществлять доступ к общей среде передачи данных, были разработаны для таких сотовых систем. Эти современные системы связи могут быть основаны на технологиях множественного доступа, таких как множественный доступ с кодовым разделением каналов (CDMA), множественный доступ с временным разделением каналов (TDMA), множественный доступ с частотным разделением каналов (FDMA), множественный доступ с пространственным разделением каналов (SMDA), множественный доступ с поляризационным разделением каналов (PDMA) или других технологиях модуляции, известных в области техники. Эти методики модуляции демодулируют сигналы, принятые от множества пользователей системы связи, таким образом позволяя увеличить пропускную способность системы связи. В связи с этим были созданы различные системы беспроводной связи, включающие в себя, например, усовершенствованную службу мобильной телефонной связи (AMPS), глобальную систему мобильной связи (GSM) и другие беспроводные системы.
В системах FDMA общий частотный спектр поделен на ряд меньших поддиапазонов, и каждому пользователю выдан свой собственный поддиапазон для доступа к среде связи. Альтернативно, в системах TDMA общий спектр частот поделен на ряд меньших поддиапазонов, каждый поддиапазон совместно используется среди ряда пользователей, и каждому пользователю позволено выполнять передачу в предварительно определенных временных интервалах, используя этот поддиапазон. Система CDMA предоставляет преимущества над другими типами систем, включающие в себя увеличенную пропускную способность системы. В системах CDMA каждому пользователю выдается полный спектр частот в течение всего времени, но делается различие его передачи через использование уникального кода.
Система CDMA может быть спроектирована, чтобы поддерживать один или более стандартов CDMA, таких как (1) «TIA/EIA-95-B Mobile Station-Base Station Compatibility Standard for Dual-Mode Wideband Spread Spectrum Cellular System» (стандарт IS-95), (2) стандарт, предложенный консорциумом, названным «3rd Generation Partnership Project» (3GPP), и воплощенный в наборе документов, включающем в себя номера документов 3G TS 25.211, 3G TS 25.212, 3G TS 25.213 и 3G TS 25.214 (стандарт W-CDMA), и (3) стандарт, предложенный консорциумом, названным "3rd Generation Partnership Project2" (3GPP2) и воплощенный в "TR-45.5 Physical Layer Standard for cdma 2000 Spread Spectrum Systems" (стандарт IS-2000).
В вышеназванных системах и стандартах связи CDMA доступный спектр совместно используется одновременно среди ряда пользователей, и доступны соответствующие технологии для того, чтобы предоставлять услуги, такие как голосовые услуги и услуги передачи данных.
Типичные мобильные абоненты используют мобильную станцию или терминал, такой как мобильный телефон или переносной компьютер, чтобы получить доступ к системе беспроводной связи. В дополнение к передачи голоса мобильная станция может осуществлять доступ к другим сетевым службам данных, таким как служба мгновенного обмена сообщениями (IMS), предоставленная домашней 3G-системой.
Мобильная станция может иметь доступ к беспроводной локальной сети доступа (WLAN), которая может предоставлять альтернативный канал связи для доступа к сетевым службам передачи данных, предоставленным домашней 3G-системой, без использования "сотовой" пропускной способности домашней 3G-системы. Фиг.1 иллюстрирует архитектуру межсетевого взаимодействия 3G-WLAN. Мобильная станция (MS) через систему беспроводной локальной сети (WLAN) может осуществлять доступ в домашнюю сеть MS. Функция межсетевого обмена пакетными данными (PDIF) действует как шлюз безопасности, защищающий сетевые службы (например, службу мгновенного обмена сообщениями)) от неавторизованного доступа. IMS является системой на основе SIP, которая позволяет MS устанавливать голосовые вызовы по протоколу Интернета (VoIP).
Чтобы осуществить доступ к службе IMS из WLAN-системы, MS использует шифрование ключей Интернета версии 2 (IKEv2), чтобы установить безопасный IP-туннель с функцией межсетевого обмена пакетными данными (PDIF). Установление туннеля аутентифицируется и авторизуется домашним устройством аутентификации, авторизации и учета использования (H-AAA). Штриховая линия является маршрутом информации аутентификации, авторизации и учета использования (AAA). Сплошные линии являются однонаправленным маршрутом трафика пользовательских данных, а труба является безопасным IP-туннелем, защищающим трафик пользовательских данных между MS и PDIF. После того, как безопасный IP-туннель установлен, MS может зарегистрироваться с помощью IMS в 3G-домашней сети. Протокол инициации сеанса (SIP) используется для MS, чтобы связываться с объектами управления (например, функцией управления сеансом прокси-вызова (P-CSCF) в IMS.
Однако безопасный IP-туннель неэффективен для отдельных типов трафика. Следовательно, существует необходимость в области техники в мобильной станции и 3G-сети, выполненной с возможностью разрешать мобильной станции эффективно получать службы доступа к сетевым данным, предоставленным 3G-системой, без использования "сотовой" пропускной способности 3G-системы.
Раскрытие изобретения
Аспект настоящего изобретения может принадлежать способу эффективной передачи пакетов между мобильной станцией и шлюзом безопасности через беспроводную локальную вычислительную сеть для доступа к домашним службам. В способе первое защищенное шифрованием соединение устанавливается для передачи пакетов первого типа от шлюза безопасности к мобильной станции, и второе защищенное шифрованием соединение устанавливается для передачи пакетов первого типа от мобильной станции к шлюзу безопасности. Далее, первое защищенное соединение с нулевым шифрованием устанавливается для передачи пакетов второго типа от шлюза безопасности к мобильной станции, а второе защищенное соединение с нулевым шифрованием устанавливается для передачи пакетов второго типа от мобильной станции к шлюзу безопасности. Пакеты второго типа выбираются для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика. Также пакеты второго типа могут быть выбраны для передачи с помощью первого защищенного соединения с нулевым шифрованием на основе селектора трафика.
В более подробных аспектах изобретения селектор трафика может быть предварительно сконфигурирован и известен и мобильной станции и шлюзу безопасности. Селектором трафика может быть IP-адрес и номер порта получателя и/или источника.
Дополнительно селектор трафика может быть создан перед установлением первого и второго защищенного шифрованием соединениям или он может быть создан после установления первого и второго защищенного шифрованием соединения. Дополнительно мобильная станция может создать селектор трафика и переслать селектор трафика шлюзу безопасности с помощью второго защищенного шифрованием соединения или шлюз безопасности может создать селектор трафика и переслать селектор трафика использующему первое защищенное шифрованием соединение.
В других более подробных аспектах изобретения первое и второе защищенное соединение с нулевым шифрованием, каждое, может быть дочерним защищенным шифрованием соединением. Каждое защищенное шифрованием соединение может быть безопасным IP-туннелем. Домашние службы могут быть предоставлены домашней сетью мобильных телефонов третьего поколения. Шлюзом безопасности может быть функция межсетевого обмена пакетными данными. Пакеты второго типа, выбранные для передачи с помощью второго защищенного соединения с нулевым шифрованием, могут быть предварительно зашифрованными пакетами IP-телефонии или они могут быть предварительно зашифрованными пакетами протокола инициации сеанса.
Другой аспект изобретения может находиться в мобильной станции, включающей в себя средство установления первого защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, средство для установления второго защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, средство для установления первого защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, средство установления второго защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, и средство выбора пакетов второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика.
Еще один аспект изобретения может принадлежать компьютерному программному продукту, содержащему машиночитаемый носитель, содержащий код, чтобы инструктировать компьютер устанавливать защищенное шифрованием соединение для передачи пакетов первого типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, код, чтобы инструктировать компьютеру устанавливать второе защищенное шифрованием соединение для передачи пакетов первого типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, код, чтобы инструктировать компьютер устанавливать первое защищенное соединение с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, код, чтобы инструктировать компьютер устанавливать второе защищенное соединение с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, и код, чтобы инструктировать компьютер выбирать пакеты второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика.
Краткое описание чертежей
Фиг.1 является блок-схемой мобильной станции, связывающейся с домашней 3G-системой через беспроводную локальную вычислительную сеть;
фиг.2 является примером системы беспроводной связи;
фиг.3 является блок-схемой способа установления защищенных соединений между мобильной станцией и шлюзом безопасности.
фиг.4 является блок-схемой мобильной станции.
Осуществление изобретения
Слово "примерный" используется в данном документе, чтобы обозначать "служащий в качестве примера, отдельного случая или иллюстрации". Любой вариант осуществления, описанный в данном документе как "примерный", не обязательно должен быть истолкован как предпочтительный или выгодный по сравнению с другими вариантами осуществления.
Удаленная станция, также известная как мобильная станция (MS), терминал доступа (AT), пользовательское оборудование или абонентское устройство, может быть мобильной или стационарной и может связываться с одной или более базовыми станциями, также известными как базовые приемопередающие станции (BTS) или узлы B. Удаленная станция передает и принимает пакеты данных через одну или более базовых станций контроллеру базовой станции, также известному как контроллер радиосети (RNC). Базовые станции и контроллеры базовых станций являются частями сети, называемой сетью доступа. Сеть доступа передает пакеты данных между множественными удаленными станциями. Сеть доступа может быть дополнительно подключена к дополнительным сетям вне сети доступа, таким как корпоративная интрасеть или Интернет, и может передавать пакеты данных между каждой удаленной станцией и такими внешними сетями. Удаленная станция, которая установила активное соединение информационного канала с одним или более базовыми станциями, называется активной удаленной станцией и, как считается, находится в состоянии передачи трафика. Удаленная станция, которая находится в процессе установления активного соединения информационного канала с одной или более базовыми станциями, как считается, находится в состоянии установки соединения. Удаленная станция может быть любым устройством обработки данных, которое связывается через беспроводной канал. Удаленной станцией дополнительно может быть любое из ряда типов устройств, включающих в себя, но не только, PC-карту, компактную флеш-память, внешний или внутренний модем либо беспроводной телефон. Линия связи, через которую удаленная станция отправляет сигналы базовой станции, называется восходящей линией связи, также известной как обратная линия связи. Линия связи, через которую базовая станция отправляет сигналы удаленной станции, называется нисходящей линией связи, также известной как прямая линия связи.
Со ссылкой на Фиг.2 система 100 беспроводной связи включает в себя одну или более беспроводных мобильных станций (MS) 102, одну или более базовых станций (BS) 104 и один или более контроллеров базовых станций (BSC) 106 и базовую сеть 108. Базовая сеть может быть соединена с Интернетом 110 и коммутируемой телефонной сетью общего пользования (PSTN) 112 через соответствующие транзитные соединения. Типичная беспроводная мобильная станция может включать в себя карманный телефон или переносной компьютер. Система 100 беспроводной связи может применять любую из числа технологий множественного доступа, таких как множественный доступ с кодовым разделением каналов (CDMA), множественный доступ с временным разделением каналов (TDMA), множественный доступ с частотным разделением каналов (FDMA), множественный доступ с пространственным разделением каналов (SDMA), множественный доступ с поляризационным разделением каналов (PDMA) или другие технологии модуляции, известные в области техники.
Снова со ссылкой на Фиг.1 MS может обращаться к услугам, предоставленным домашней сетью 18 MS третьего поколения. Функция межсетевого обмена пакетными данными (PDIF) 20 действует как шлюз безопасности, защищающий службы 3G-сети от неавторизованного использования. Так как передача сигналов протокола инициации сеанса (SIP), обмениваемых между MS и P-CSCF, уже зашифрована через транспортный режим IPsec, способ и устройство могут отключать IPsec-шифрование по сигнальным сообщениям SIP, передаваемым между MS и PDIF. Целью является избежать вложенного IPsec-шифрования/дешифрования по передаче сигнальных сообщений SIP в MS.
Так как шифрование/дешифрование VoIP-мультимедийных пакетов (один в 20 мс) может вызвать нетривиальную нагрузку по обработке в PDIF и MS, IPsec-шифрование должно быть запрещено по VoIP-мультимедийным пакетам, передаваемым между MS и PDIF. Способ и устройство, описанные ниже, сберегают ресурсы обработки в MS, а более конкретно, в PDIF, которую поддерживают многие MS.
Тогда как запрет IPsec-шифрования для передачи сигналов SIP и VoIP-мультимедийных пакетов желателен, предпочтительно применять IPsec-шифрование по другим потокам не IMS-пакетов (например, сообщениям электронной почты, IM и т.д.).
Целью способа является установление для MS и PDIF двух IPsec SA в каждом направлении. (Два IPsec SA в каждом направлении необходимы, потому что каждая IPsec SA является однонаправленной. Одна IPsec SA существует для шифрования, а другая IPsec SA существует для нулевого шифрования. MS конфигурирует селекторы трафика в базе данных политики безопасности (SPD) так, что IPsec SA с нулевым шифрованием применяется к передаче сигнальных сообщений SIP и необязательно к VoIP мультимедийным пакетам, а IPsec SA с шифрованием применяется к другому трафику.
Во время первоначального согласования IKEv2 MS и PDIF устанавливают IPsec SA по умолчанию для шифрования всего трафика (первоначально неIMS-пакеты), предназначенного для и созданного в MS. Во время установления этой IPsec SA MS и PDIF используют IKEv2, чтобы сконфигурировать селекторы трафика в SPD так, что IPsec SA с шифрованием будет применяться ко всем пакетам, предназначенным для IP-адреса MS, и ко всем пакетам, исходящих от IP-адреса MS.
Когда для MS требуется IMS-служба, MS выполняет SIP-регистрацию. Через обмен SIP REGISTER/200OK с P-CSCF MS получает номера портов клиента/сервера, которые будут использоваться для передачи последующих сигнальных сообщений SIP, и эти сообщения будут защищены IPsec-шифрованием между MS и P-CSCF. После того как MS получает номера портов клиента/сервера, MS использует обмен Create-Child-SA (Создание-дочерней-SA), чтобы установить IPSec SA с нулевым шифрованием для передачи сигналов SIP и необязательно для VoIP-мультимедийных пакетов. Во время установления IPsec SA с нулевым шифрованием MS и PDIF используют IKEv2, чтобы сконфигурировать селекторы трафика в SPD, так что IPsec SA с нулевым шифрованием будет применяться к пакетам с номерами портов клиента/сервера (указывающими, что пакеты передают зашифрованные сигнальные сообщения SIP).
Более того, MS и PDIF могут конфигурировать дополнительные селекторы трафика в SPD так, что IPsec SA с нулевым шифрованием будет применяться к VoIP-мультимедийным пакетам. Существуют два способа, чтобы сделать это:
1. Если MS статически сконфигурирована так, чтобы всегда отправлять VoIP-мультимедийные пакеты с помощью порта x источника и принимать VoIP-мультимедийные пакеты с помощью порта y получателя, тогда во время установления IPsec SA с нулевым шифрованием MS может сконфигурировать дополнительные селекторы трафика (для портов x и y) в SPD так, что IPsec SA с нулевым шифрованием будет применяться к исходящим от MS пакетам с портом x и к приходящим в MS пакетам с портом y.
2. Если номера портов выбираются динамически для каждого VoIP-сеанса, тогда в начале каждого VoIP-сеанса MS знает, какой порт (например, порт u) она будет использовать, чтобы отправить VoIP-мультимедийные пакеты, и какой порт (например, порт v) она будет использовать, чтобы принять VoIP-мультимедийные пакеты. MS может использовать информационный обмен IKEv2, чтобы обновить селекторы трафика (для портов u и v) в SPD, так что IPsec SA с нулевым шифрованием будет применяться к исходящим из MS пакетам с портом u и приходящим в MS пакетам с портом v.
MS имеет следующие характеристики: после того как MS получает номера портов клиента/сервера из SIP-обмена, MS использует IKEv2, чтобы установить IPsec SA с нулевым шифрованием для пакетов с этими номерами портов клиента/сервера (эти пакеты будут переносить зашифрованные сигнальные сообщения SIP и таким образом не должны шифроваться снова между MS и PDIF); и MS может использовать IKEv2, чтобы сконфигурировать селектор трафика в SPD, чтобы применять IPsec SA с нулевым шифрованием по VoIP-мультимедийным пакетам. PDIF имеет следующие характеристики: поддержка IPsec SA с нулевым шифрованием для передачи сигнальных SIP-сообщений; и поддержка IPsec SA с нулевым шифрованием для VoIP-мультимедийных пакетов.
Со ссылкой на Фиг.1 и 3 один аспект настоящего изобретения может находиться в способе 300 эффективной передачи пакетов между мобильной станцией MS 102 и шлюзом 20 безопасности (например, PDIF) через беспроводную локальную вычислительную сеть WLAN 22 для доступа к домашним службам. В способе первое защищенное шифрованием ESA1 соединение устанавливается для передачи пакетов первого типа от шлюза безопасности к мобильной станции (этап 302), а второе защищенное шифрованием ESA2 соединение устанавливается для передачи пакетов первого типа от мобильной станции шлюзу безопасности (этап 304). Далее, первое защищенное соединение с нулевым шифрованием N-ESA1 устанавливается для передачи пакетов второго типа от шлюза безопасности к мобильной станции (этап 306), а второе защищенное соединение с нулевым шифрованием N-ESA2 устанавливается для передачи пакетов второго типа от мобильной станции к шлюзу безопасности (этап 308). Пакеты второго типа выбираются для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика. Также пакеты второго типа могут быть выбраны для передачи с помощью первого защищенного соединения с нулевым шифрованием на основе селектора трафика.
Пакетами первого типа являются те пакеты, которые требуют шифрования, и перемещаются с помощью первой и второй SA с шифрованием. Пакетами второго типа являются те пакеты, которые уже зашифрованы (например, передача сигналов SIP, VoIP и т.д.), и перемещаются с помощью первой и второй SA c нулевым шифрованием.
Селектор трафика может быть предварительно сконфигурирован и известен и мобильной станции и шлюзу безопасности. Селектор трафика может быть IP-адресом и номером порта получателя и/или источника. Тип пакета может быть определен по ассоциативно связанному IP-адресу и/или номеру порта.
Альтернативно, селектор трафика может быть создан перед установлением первой и второй SA с шифрованием или он может быть создан после установления первой и второй SA с шифрованием. Например, мобильная станция может создать селектор трафика и направить селектор трафика шлюзу безопасности с помощью второй SA с шифрованием (этап 310), или шлюз безопасности может создать селектор трафика и передать селектор трафика с помощью первой SA с шифрованием (этап 312).
В других более подробных аспектах изобретения первое и второе защищенное соединение с нулевым шифрованием, каждое, могут быть дочерним защищенным шифрованием соединением. Каждая защищенное шифрованием соединение может быть безопасным IP-туннелем 24. Домашние службы могут быть предоставлены домашней сетью 18 мобильных телефонов третьего поколения. Шлюзом безопасности может быть функция 20 межсетевого обмена пакетными данными. Пакеты второго типа, выбранные для передачи с помощью второго защищенного соединения с нулевым шифрованием, могут быть предварительно зашифрованными пакетами IP-телефонии (VoIP) или они могут быть предварительно зашифрованными пакетами протокола инициации сеанса (SIP).
Со ссылкой на Фиг.4 другой аспект изобретения может находиться в мобильной станции 102, включающей в себя средство установления первого защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, средство для установления второго защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, средство для установления первого защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, средство установления второго защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, и средство выбора пакетов второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика. Средства, описанные выше, могут включать в себя управляющий процессор 402. Мобильная станция может дополнительно включать в себя запоминающее устройство 404, клавиатуру 406, микрофон 408, дисплей 410, динамик, антенну и т.д., что является типичным для мобильного телефона.
Еще один аспект изобретения может находиться в компьютерном программном продукте, содержащем машиночитаемый носитель, например запоминающее устройство 404, содержащий код, чтобы инструктировать компьютеру устанавливать защищенное шифрованием соединение для передачи пакетов первого типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, код, чтобы инструктировать компьютеру устанавливать вторую защищенное шифрованием соединение для передачи пакетов первого типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, код, чтобы инструктировать компьютеру устанавливать первое защищенное соединение с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от шлюза безопасности к мобильной станции, код, чтобы инструктировать компьютеру устанавливать второе защищенное соединение с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности, и код, чтобы инструктировать компьютеру выбирать пакеты второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика.
Специалисты в данной области техники должны понимать, что информация и сигналы могут быть представлены с помощью любой из множества различных технологий и методик. Например, данные, инструкции, команды, информация, сигналы, биты, символы и символы шумоподобной последовательности, которые могут приводиться в качестве примера по всему описанию выше, могут быть представлены напряжениями, токами, электромагнитными волнами, магнитными полями или частицами, оптическими полями или частицами либо любой комбинацией вышеозначенного.
Специалисты в данной области техники должны дополнительно принимать во внимание, что различные иллюстративные логические блоки, модули, схемы и этапы алгоритма, описанные в связи с раскрытыми в данном документе вариантами осуществления, могут быть реализованы как электронные аппаратные средства, вычислительное программное обеспечение либо их комбинации. Чтобы понятно проиллюстрировать эту взаимозаменяемость аппаратных средств и программного обеспечения, различные иллюстративные компоненты, блоки, модули, схемы и этапы описаны выше, в общем, на основе их функциональности. Реализована эта функциональность в качестве аппаратных средств или программного обеспечения, зависит от конкретного варианта применения и структурных ограничений, накладываемых на систему в целом. Высококвалифицированные специалисты могут реализовать описанную функциональность различными способами для каждого отдельного применения, но такие решения по реализации не должны быть интерпретированы как вызывающие отступление от объема настоящего изобретения.
Различные иллюстративные логические блоки, модули и схемы, описанные в связи с раскрытыми в данном документе вариантами осуществления, могут быть реализованы или выполнены с помощью процессора общего назначения, процессора цифровых сигналов (DSP), специализированной интегральной схемы (ASIC), программируемой пользователем вентильной матрицы (FPGA) или другого программируемого логического устройства, дискретного логического элемента или транзисторной логики, дискретных компонентов аппаратных средств либо любой их комбинации, предназначенной для того, чтобы выполнять описанные в данном документе функции. Процессором общего назначения может быть микропроцессор но в альтернативном варианте, процессором может быть любой традиционный процессор, контроллер, микроконтроллер или конечный автомат. Процессор также может быть реализован как комбинация вычислительных устройств, к примеру комбинация DSP и микропроцессора, множество микропроцессоров, один или более микропроцессоров вместе с ядром DSP либо любая другая подобная конфигурация.
Этапы способа или алгоритма, описанные в связи с раскрытыми в данном документе вариантами осуществления, могут быть реализованы непосредственно в аппаратных средствах, в программном модуле, приводимом в исполнение процессором, или в их комбинации. Программный модуль может постоянно размещаться в памяти типа RAM, флэш-памяти, памяти типа ROM, памяти типа EPROM, памяти типа EEPROM, регистрах, на жестком диске, сменном диске, компакт-диске или любой другой форме носителя хранения данных, известной в данной области техники. Типичный носитель хранения данных соединяется с процессором, причем процессор может считывать информацию и записывать информацию на носитель хранения данных. В альтернативном варианте носитель хранения данных может быть встроен в процессор. Процессор и носитель хранения данных могут постоянно размещаться в ASIC. ASIC может постоянно размещаться в пользовательском терминале. В альтернативном варианте процессор и носитель хранения данных могут постоянно размещаться как дискретные компоненты в пользовательском терминале.
В одном или более примерных вариантах осуществления описанные функции могут быть реализованы в аппаратных средствах, программном обеспечении, программно-аппаратных средствах или любой их комбинации. Если реализованы в программном обеспечении как компьютерный программный продукт, функции могут быть сохранены или передаваться как одна или более команд или код на машиночитаемом носителе. Машиночитаемые носители могут включать в себя как компьютерные носители хранения, так и среду, и могут включать в себя любую среду, которая упрощает передачу вычислительной программы из одного места в другое. Носителями хранения могут быть любые доступные носители, к которым можно осуществлять доступ посредством компьютера. В качестве примера, а не ограничения, эти машиночитаемые носители могут содержать RAM, ROM, EEPROM, CD-ROM или другое запоминающее устройство на оптических дисках, запоминающее устройство на магнитных дисках или другие магнитные запоминающие устройства, либо любой другой носитель, который может быть использован, чтобы переносить или сохранять требуемый программный код в форме инструкций или структур данных, к которым можно осуществлять доступ посредством компьютера. Так же любое подключение корректно называть машиночитаемым носителем. Например, если программное обеспечение передается с веб-узла, сервера или другого удаленного источника с помощью коаксиального кабеля, оптоволоконного кабеля, "витой пары", цифровой абонентской линии (DSL) или беспроводных технологий, таких как инфракрасные, радиопередающие и микроволновые среды, то коаксиальный кабель, оптоволоконный кабель, "витая пара", DSL или беспроводные технологии, такие как инфракрасные, радиопередающие и микроволновые среды, включены в определение носителя. Диск (disk) и диск (disc) при использовании в данном документе включают в себя компакт-диск (CD), лазерный диск, оптический диск, универсальный цифровой диск (DVD), гибкий диск и диск Blu-Ray, при этом диски (disk) обычно воспроизводят данные магнитно, тогда как диски (disc) обычно воспроизводят данные оптически, к примеру, с помощью лазеров. Комбинации вышеперечисленного также следует включить в число машиночитаемых носителей.
Предшествующее описание раскрытых вариантов осуществления предоставлено для того, чтобы позволить любому специалисту в данной области техники создавать или использовать настоящее изобретение. Различные модификации в этих вариантах осуществления должны быть очевидными для специалистов в данной области техники, а описанные в данном документе общие принципы могут быть применены к другим вариантам осуществления без отступления от сущности и объема изобретения. Таким образом, настоящее изобретение не имеет намерение быть ограниченным показанными в данном документе вариантами осуществления, а должно удовлетворять самому широкому объему, согласованному с принципами и новыми признаками, раскрытыми в данном документе.

Claims (21)

1. Способ эффективной передачи пакетов между мобильной станцией и шлюзом безопасности по беспроводной локальной сети для доступа к домашним службам, содержащий этапы, на которых:
устанавливают первое защищенное шифрованием соединение для передачи пакетов первого типа от шлюза безопасности к мобильной станции, и устанавливают второе защищенное шифрованием соединение для передачи пакетов первого типа от мобильной станции к шлюзу безопасности;
устанавливают первое защищенное соединение с нулевым шифрованием для передачи пакетов второго типа от шлюза безопасности к мобильной станции и устанавливают второе защищенное соединение с нулевым шифрованием для передачи пакетов второго типа от мобильной станции к шлюзу безопасности; и
выбирают пакеты второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика, при этом селектор трафика создается мобильной станцией или шлюзом безопасности после установления первого и второго защищенных шифрованием соединений.
2. Способ по п.1, в котором селектором трафика является IP-адрес и номер порта пункта назначения.
3. Способ по п.1, в котором селектором трафика является IP-адрес и номер порта источника.
4. Способ по п.1, в котором мобильная станция создает селектор трафика и пересылает селектор трафика шлюзу безопасности с помощью второго защищенного шифрованием соединения.
5. Способ по п.1, в котором шлюз безопасности создает селектор трафика и пересылает селектор трафика к мобильной станции с помощью первого защищенного шифрованием соединения.
6. Способ по п.1, в котором первое и второе защищенные соединения с нулевым шифрованием, каждое, являются дочерними защищенными соединениями.
7. Способ по п.1, в котором каждое защищенное соединение является безопасным IР-туннелем.
8. Способ по п.1, в котором домашние службы предоставляются домашней сетью мобильных телефонов третьего поколения.
9. Способ по п.1, в котором шлюз безопасности конфигурирован для выполнения функции межсетевого обмена пакетными данными.
10. Способ по п.1, в котором пакеты второго типа, выбранные для передачи с помощью второго защищенного соединения с нулевым шифрованием, являются предварительно зашифрованными пакетами IP-телефонии.
11. Способ по п.1, в котором пакеты второго типа, выбранные для передачи с помощью второго защищенного соединения с нулевым шифрованием, являются предварительно зашифрованными пакетами протокола инициации сеанса.
12. Способ по п.1, дополнительно содержащий этап, на котором выбирают пакеты для передачи с помощью первого защищенного соединения с нулевым шифрованием на основе селектора трафика.
13. Мобильная станция, содержащая:
средство установления первого защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от шлюза безопасности к мобильной станции;
средство установления второго защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности;
средство установления первого защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от шлюза безопасности к мобильной станции;
средство установления второго защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности; и средство выбора пакетов второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика, при этом селектор трафика создается мобильной станцией или шлюзом безопасности после установления первого и второго защищенных шифрованием соединений.
14. Мобильная станция по п.13, в которой селектором трафика является IP-адрес и номер порта получателя.
15. Мобильная станция по п.13, в которой селектором трафика является IP-адрес и номер порта источника.
16. Мобильная станция по п.13, в которой первое и второе защищенные соединения с нулевым шифрованием, каждое, являются дочерними защищенными соединениями.
17. Мобильная станция по п.13, в которой каждое защищенное шифрованием соединение является безопасным IP-туннелем.
18. Мобильная станция по п.13, в которой шлюз безопасности конфигурирован для выполнения функции межсетевого обмена пакетными данными.
19. Мобильная станция по п.13, в которой пакеты второго типа, выбранные для передачи с помощью второго защищенного соединения с нулевым шифрованием, являются предварительно зашифрованными пакетами IP-телефонии.
20. Мобильная станция по п.13, в которой пакеты второго типа, выбранные для передачи с помощью второго защищенного соединения с нулевым шифрованием, являются предварительно зашифрованными пакетами протокола инициации сеанса.
21. Машиночитаемый носитель, содержащий сохраненные на нем программные коды, которые, при исполнении по меньшей мере одним процессором, побуждают по меньшей мере один процессор выполнять операции
установления первого защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от шлюза безопасности к мобильной станции,
установления второго защищенного шифрованием соединения для передачи пакетов первого типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности;
установления первого защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от шлюза безопасности к мобильной станции;
установления второго защищенного соединения с нулевым шифрованием для передачи пакетов второго типа по беспроводной локальной сети от мобильной станции к шлюзу безопасности; и
выбора пакетов второго типа для передачи с помощью второго защищенного соединения с нулевым шифрованием на основе селектора трафика, при этом селектор трафика создается мобильной станцией или шлюзом безопасности после установления первого и второго защищенных шифрованием соединений.
RU2009115652/09A 2006-09-25 2007-09-24 Способ и устройство, имеющее нулевое шифрование для передачи сигналов и мультимедийных пакетов между мобильной станцией и шлюзом безопасности RU2424624C2 (ru)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US84719506P 2006-09-25 2006-09-25
US60/847,195 2006-09-25
US11/858,714 2007-09-20
US11/858,714 US8533454B2 (en) 2006-09-25 2007-09-20 Method and apparatus having null-encryption for signaling and media packets between a mobile station and a secure gateway

Publications (2)

Publication Number Publication Date
RU2009115652A RU2009115652A (ru) 2010-11-10
RU2424624C2 true RU2424624C2 (ru) 2011-07-20

Family

ID=39492903

Family Applications (1)

Application Number Title Priority Date Filing Date
RU2009115652/09A RU2424624C2 (ru) 2006-09-25 2007-09-24 Способ и устройство, имеющее нулевое шифрование для передачи сигналов и мультимедийных пакетов между мобильной станцией и шлюзом безопасности

Country Status (10)

Country Link
US (2) US8533454B2 (ru)
EP (2) EP2074746B1 (ru)
JP (2) JP5074505B2 (ru)
KR (1) KR101071524B1 (ru)
CN (2) CN102932783B (ru)
BR (1) BRPI0717059A2 (ru)
CA (1) CA2661984C (ru)
RU (1) RU2424624C2 (ru)
TW (1) TWI377815B (ru)
WO (1) WO2008070251A2 (ru)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2722508C1 (ru) * 2017-07-25 2020-06-01 Телефонактиеболагет Лм Эрикссон (Пабл) Скрытый идентификатор подписки абонента

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8533454B2 (en) 2006-09-25 2013-09-10 Qualcomm Incorporated Method and apparatus having null-encryption for signaling and media packets between a mobile station and a secure gateway
KR101358897B1 (ko) * 2008-11-17 2014-02-05 퀄컴 인코포레이티드 보안 게이트웨이를 통한 로컬 네트워크에 대한 원격 액세스
US9345065B2 (en) 2008-11-17 2016-05-17 Qualcomm Incorporated Remote access to local network
US8769257B2 (en) * 2008-12-23 2014-07-01 Intel Corporation Method and apparatus for extending transport layer security protocol for power-efficient wireless security processing
US9185080B2 (en) 2011-08-12 2015-11-10 Intel Deutschland Gmbh Data transmitting devices, data receiving devices, methods for controlling a data transmitting device, and methods for controlling a data receiving device
EP2846509B1 (en) 2013-09-09 2019-08-28 Alcatel Lucent Tls protocol extension
CN107211488B (zh) * 2014-12-04 2021-02-23 瑞典爱立信有限公司 对业务数据应用安全的方法、wlan节点和无线设备
US10582379B2 (en) * 2015-08-28 2020-03-03 Lg Electronics Inc. Method for supporting and setting IPsec in mobile communication
US11012429B2 (en) 2018-12-05 2021-05-18 Citrix Systems, Inc. Method to save computational resources by detecting encrypted payload

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002093811A2 (en) 2001-05-16 2002-11-21 Adjungo Networks Ltd. Access to plmn networks for non-plmn devices
ES2225749T3 (es) 2001-06-18 2005-03-16 Swisscom Mobile Ag Procedimiento y sistema para nodos ip moviles en redes heterogeneas.
US20040083360A1 (en) * 2002-10-28 2004-04-29 Rod Walsh System and method for partially-encrypted data transmission and reception
US7937578B2 (en) * 2002-11-14 2011-05-03 Qualcomm Incorporated Communications security methods for supporting end-to-end security associations
US7698550B2 (en) 2002-11-27 2010-04-13 Microsoft Corporation Native wi-fi architecture for 802.11 networks
US8098818B2 (en) 2003-07-07 2012-01-17 Qualcomm Incorporated Secure registration for a multicast-broadcast-multimedia system (MBMS)
US20060130136A1 (en) 2004-12-01 2006-06-15 Vijay Devarapalli Method and system for providing wireless data network interworking
US7792072B2 (en) 2004-12-13 2010-09-07 Nokia Inc. Methods and systems for connecting mobile nodes to private networks
US7724732B2 (en) * 2005-03-04 2010-05-25 Cisco Technology, Inc. Secure multipoint internet protocol virtual private networks
GB0504868D0 (en) 2005-03-09 2005-04-13 Nokia Corp A method of configuring a communication device
US7613920B2 (en) * 2005-08-22 2009-11-03 Alcatel Lucent Mechanism to avoid expensive double-encryption in mobile networks
CN1953607B (zh) 2005-10-17 2012-01-25 株式会社日立制作所 移动网络通信中切换的方法和设备
US20080095070A1 (en) 2005-12-05 2008-04-24 Chan Tat K Accessing an IP multimedia subsystem via a wireless local area network
US20080076425A1 (en) * 2006-09-22 2008-03-27 Amit Khetawat Method and apparatus for resource management
US8533454B2 (en) 2006-09-25 2013-09-10 Qualcomm Incorporated Method and apparatus having null-encryption for signaling and media packets between a mobile station and a secure gateway

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
3RD GENERATION PARTNERSHIP PROJECT 2, «ACCESS TO OPERATOR SERVICES AND MOBILITY FOR WLAN INTERWORKING», 3GPP2 X.P0028-200-A V1.0, 2007.08.11. BOMAN К И ДР., «DETAILED TECHNICAL SPECIFICATION OF SECURITY FOR HETEROGENEOUS ACCESS», INFORMATION SOCIETY TECHNOLOGIES, 2002.06.14. *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2722508C1 (ru) * 2017-07-25 2020-06-01 Телефонактиеболагет Лм Эрикссон (Пабл) Скрытый идентификатор подписки абонента
US11076288B2 (en) 2017-07-25 2021-07-27 Telefonaktiebolaget Lm Ericsson (Publ) Subscription concealed identifier
US11330433B2 (en) 2017-07-25 2022-05-10 Telefonaktiebolaget Lm Ericsson (Publ) Privacy key and message authentication code

Also Published As

Publication number Publication date
CN102932783A (zh) 2013-02-13
KR20090091690A (ko) 2009-08-28
BRPI0717059A2 (pt) 2013-10-15
RU2009115652A (ru) 2010-11-10
US20080141021A1 (en) 2008-06-12
CN102932783B (zh) 2015-09-30
EP2074746A2 (en) 2009-07-01
JP5074505B2 (ja) 2012-11-14
EP2074746B1 (en) 2016-03-30
WO2008070251A2 (en) 2008-06-12
CN101554013B (zh) 2013-01-02
CA2661984A1 (en) 2008-06-12
US8533454B2 (en) 2013-09-10
EP2403182B1 (en) 2016-03-30
EP2403182A1 (en) 2012-01-04
KR101071524B1 (ko) 2011-10-10
US20140019751A1 (en) 2014-01-16
TW200826567A (en) 2008-06-16
JP2010504719A (ja) 2010-02-12
WO2008070251A3 (en) 2008-08-28
CN101554013A (zh) 2009-10-07
JP5591890B2 (ja) 2014-09-17
TWI377815B (en) 2012-11-21
JP2013031187A (ja) 2013-02-07
US9130992B2 (en) 2015-09-08
CA2661984C (en) 2014-03-18

Similar Documents

Publication Publication Date Title
RU2424624C2 (ru) Способ и устройство, имеющее нулевое шифрование для передачи сигналов и мультимедийных пакетов между мобильной станцией и шлюзом безопасности
EP1758310B1 (en) Mechanism to avoid double-encryption in mobile networks
US5410602A (en) Method for key management of point-to-point communications
US8265049B2 (en) Method and apparatus for implementing generic access network functionality in a wireless communication device
US7652984B1 (en) Geographic redundancy and resource optimization for security gateways in wireless networks
US8347077B2 (en) Authenticating a registration request with a mobility key provided to an authenticator
WO2011112767A2 (en) One vault voice encryption
JP2007538470A (ja) Ｖｐｎクライアントのないポータブル装置の仮想プライベートネットワークへのアクセスを管理する方法
CA2599015A1 (en) A wireless communication system and method
Donald et al. Analysing GSM Insecurity
Chandramouli A detailed study on wireless LAN technologies
Soltwisch et al. A method for authentication and key exchange for seamless inter-domain handovers
Qadeer et al. Encrypted voice calls with ip enabled wireless phones over gsm/cdma/wifi networks
Kumar et al. Security for Mobile System: 5G
Hunshal et al. Able Secured Multimedia Communication over Wireless Network to Replace Intercom
Page Report Highlights
Rathakrishnan End-to-end security protocol support over heterogeneous networks