WO2007134552A1 - Procédé, dispositif et système de production de clé ip mobile sur réseau de communication sans fil - Google Patents

Procédé, dispositif et système de production de clé ip mobile sur réseau de communication sans fil Download PDF

Info

Publication number
WO2007134552A1
WO2007134552A1 PCT/CN2007/070046 CN2007070046W WO2007134552A1 WO 2007134552 A1 WO2007134552 A1 WO 2007134552A1 CN 2007070046 W CN2007070046 W CN 2007070046W WO 2007134552 A1 WO2007134552 A1 WO 2007134552A1
Authority
WO
WIPO (PCT)
Prior art keywords
mobile
key
address
mobile terminal
network side
Prior art date
Application number
PCT/CN2007/070046
Other languages
English (en)
French (fr)
Inventor
Yuankui Zhao
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2007134552A1 publication Critical patent/WO2007134552A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]

Definitions

  • the present invention relates to the field of network communication technologies, and in particular, to an implementation scheme for generating a mobile IP key in a wireless communication network.
  • WiMAX Worldwide Interoperability for Microwave Access
  • the authentication process after the authentication is passed, the corresponding access operation can be performed, including the operation of generating a key required by the mobile terminal to perform the service.
  • EMSK Extended Master Session Key
  • the mobile IP key (MIP-RK, Mobile IP - Root Key) is calculated by EMSK on both sides.
  • the key is used as a mobile-related root key in the business process of the mobile terminal, and various keys related to the mobile are derived through the MIP-RK, including: a key between the mobile terminal and the MA server (MN-AAA, which can be a MIP) -RK ), the key between the mobile terminal and the home agent (Li-HA, Mobile Node - Home Agent Key Extension
  • MN-FA Mobile Node- Foreign Agent Key Extension
  • FA-HA Foreign Agent - Home Agent Key Extension
  • Li-FA and FA-HA are calculated by the following formulas:
  • FA-HA H ( MIP-RK , ' FA HA'
  • ⁇ -FA and FA-HA are by MIP-RK and FA-IP (FA's IP)
  • the address is obtained by the corresponding conversion process. Therefore, if you need to calculate the MN-FA and FA-HA, you should first ensure that the corresponding FA-IP can be obtained on both sides of the mobile terminal and the MA server.
  • the IP address of the FA includes the IP address of the FA on the access network side and I or the IP address on the core network side.
  • AAA gets the IP of FA
  • the method of the address is obtained by reporting the access network during the initial authentication process.
  • the address on the core network side that is, the address on the access network side is not uploaded. Moreover, since one FA can have multiple core network addresses, the IP address of the FA assigned to the mobile terminal cannot be known, that is, the FA that needs to be reported cannot be determined.
  • the server is still unable to get the IP of the FA used to calculate the mobile IP key.
  • An embodiment of the present invention provides a mobile IP in a wireless communication network.
  • the method, device and system of the key can effectively ensure the security of mobile IP-based communication in the wireless network.
  • a method for generating a mobile IP key in a wireless communication network comprising:
  • the key generation entity acquires an address of the external agent facing the access network side of the mobile terminal, and generates a mobile IP key on the network side according to the address of the external agent facing the access network side of the mobile terminal.
  • An embodiment of the present invention provides a method for generating a mobile IP key in a wireless communication network, including: [19] Network-side mobile IP during the authentication process of the mobile terminal access network
  • the key generation entity acquires an address on the core network side of the foreign agent accessing the online report, and generates a mobile IP key according to the address of the external agent on the core network side.
  • a system for generating a mobile IP key in a wireless communication network comprising:
  • the external proxy address reporting unit is configured to: during the authentication process of the mobile terminal accessing the network, transmit the address of the external proxy to the access network side of the mobile terminal to the network side mobile IP key generating entity; [22] Mobile IP
  • a key generating unit configured to generate a mobile IP key according to an address of the foreign agent facing the access network side of the mobile terminal.
  • a system for generating a mobile IP key in a wireless communication network comprising:
  • the mobile terminal care-of address obtaining unit is configured to obtain the care-of address information allocated by the access network for the mobile terminal
  • the key generation entity sends the care-of address information acquired by the mobile terminal care-of address obtaining unit;
  • a mobile terminal comprising: a unit for acquiring an address of an external proxy for an access network side of a mobile terminal, and a mobile IP key generating unit, and the mobile IP
  • the key generation unit is configured to generate a mobile IP key according to an address of the foreign agent facing the access network side of the mobile terminal.
  • a network device comprising: a unit for acquiring an address of an external proxy for an access network side of a mobile terminal, and a mobile IP key generating unit, and the mobile IP
  • the key generation unit is configured to generate a mobile IP key according to an address of the foreign agent facing the access network side of the mobile terminal.
  • the embodiments of the present invention provide an implementation scheme for mobile IP key generation, so that the obtained external proxy can be located on the access network side in the wireless network. Address calculation determines the corresponding mobile IP
  • the key information ensures the security of the mobile terminal initiating the MIP registration process.
  • the implementation of the embodiment of the present invention can conveniently generate a corresponding mobile IP in the network.
  • the key which effectively improves the security performance of the network.
  • FIG. 1 is a flowchart 1 of a specific implementation of a method according to an embodiment of the present invention
  • FIG. 2 is a second flowchart of a specific implementation of a method according to an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a specific implementation of a system according to an embodiment of the present invention.
  • the embodiment of the present invention is to solve the FA that needs to be applied in the calculation of MN-FA and FA-HA.
  • the address problem is such that the corresponding MN-FA and FA-HA can be obtained in the wireless communication network to ensure the security performance of the network communication.
  • embodiments of the present invention provide for generating a mobile IP in a wireless communication network.
  • the scheme mainly includes the following processes:
  • the mobile terminal is authenticated to the AAA by the authenticator during the initial authentication process.
  • Mobile network key generation entity such as server transmits IP address of mobile terminal
  • the key generation entity can calculate and obtain the corresponding mobile IP key including the MN-FA and the FA-HA, and after the AAA server calculates and obtains the mobile IP key, The mobile IP key is sent to the access network;
  • the AAA server is taken as a network side mobile IP key generation entity as an example;
  • the network side mobile IP key generation entity may include an MA server, an authenticator or the like.
  • the appropriate entity undertakes the mobile IP key generation function;
  • the specific address may include: an IP of the foreign agent on the access network side
  • the address i.e., the address of the foreign agent facing the access network side of the mobile terminal
  • the IP address of the foreign agent on the core network side are at least one of.
  • the mobile terminal can obtain the IP of the external proxy based on it
  • the address calculates the corresponding mobile IP key
  • the mobile terminal calculates the corresponding mobile IP key
  • the mobile IP can be utilized.
  • the key initiates the MIP registration process.
  • the server may calculate the mobile IP key between the external proxy and the home agent according to the access network address of the foreign agent; for the mobile IP key between the external proxy of the mobile terminal and the home agent (ie, HA), the specific External proxy IP for access to the mobile terminal
  • the address (ie, the address of the external agent facing the access network side of the mobile terminal) is determined.
  • the mobile terminal may specifically obtain a mobile IP key between the mobile terminal and the foreign agent according to the care-of address assigned by the foreign agent;
  • the way to calculate the mobile IP key between the mobile terminal and the external proxy is:
  • the access network specifies the care-of address assigned to it when the mobile terminal initially enters the network and reports it to the MA.
  • the server calculates a key of the mobile IP between the mobile terminal and the external proxy and between the external proxy and the home agent according to the care-of address, and sends the key to the access network;
  • the access network can report all the care-of addresses that may be assigned to the mobile terminal to the AM server, AAA.
  • the server calculates a key of the mobile IP between the corresponding mobile terminal and the external proxy and between the external proxy and the home agent according to each care-of address, and sends the key to the access network.
  • the key is sent to the key receiving unit, which includes but is not limited to the home agent and/or the authenticator and the I or the external agent and the I or the mobile terminal.
  • the IP address of the FA on the access network side is represented by FA-IP
  • the IP address of the FA on the core network side is the care-of address assigned to the mobile terminal, that is, CoA
  • the address is bound, and:
  • H(,) is an abbreviation for Hash Message Authentication (HMAC) function (defined in RFC2104). It can be HMAC 0 function or HMAC.
  • the root key used to generate the key which can be MIP
  • the root key of the key or a subkey of its root key.
  • the following string generally contains at least one fixed string representing the meaning or name representation of the generated key, and then the feature value characterizing the key information.
  • the relevant IP is the relevant IP.
  • the address and optionally a random number or a coefficient that characterizes security; where the symbol 'I' represents a link operator.
  • the mobile terminal can obtain FA-IP and CoA through the broadcast message of the FA.
  • the AAA server can report FA-IP and/or CoA by the authenticator during the authentication process.
  • it can be a CoA or a list of multiple CoAs.
  • the processing process specifically includes the following three implementation methods:
  • An AAA server so that the AAA server can calculate the MN-FA and the FA-HA according to the FA-IP and/or the CoA, and the FA-IP can be used for calculation.
  • the CoA or a group of CoAs can be used to calculate the corresponding mobile. IP key.
  • the FA sends the CoA list to the AM server through the authenticator, and sends one or more CoAs in the CoA list that needs to be reported to the mobile terminal MS.
  • the AM server will calculate the ⁇ -FA using all CoA
  • the MS When the MS selects a CoA and generates a corresponding MN-FA key, the MS utilizes the MN-FA The key registers the mobile IP with the FA. On the FA, the corresponding LIS-FA key is used for the decryption operation, and at the same time, the remaining redundant keys are deleted at the FA.
  • the process of generating a mobile IP key under the CMIP type includes:
  • Step 11 The MS performs EAP through the authenticator and the AAA server.
  • EMSK is generated on the MS and AAA servers respectively.
  • the authenticator reports the FA address to the AM server.
  • the address of the FA is
  • the specific parameter information that needs to be reported can be determined according to a certain policy, and the strategy can be formulated by the operator;
  • Step 12 MS and AAA server based on generated EMSK and obtained FA
  • the address is calculated by a predetermined calculation method including MIP-RK (Mobile IP Key) including MN-FA and FA-HA;
  • MIP-RK Mobile IP Key
  • the AAA server since the AAA server has obtained the address of the FA, it passes the corresponding ⁇ -FA,
  • Step 13 All ⁇ -FA and FA-HA generated by the AAA server are sent to the authenticator;
  • Step 14 After receiving the said ⁇ -FA and FA-HA, the authenticator sends it to the FA;
  • Step 15 The FA sends a broadcast message to the MS, which carries the FA-IP.
  • Step 16 According to the predetermined policy, the MS can utilize FA-IP, a specified single CoA or
  • Steps 17, 18, 19, 110 Implement MIP The registration process specifically protects the registration message by the MN-FA and FA-HA generated by the above steps; [73] If the key used by the mobile terminal is calculated using an address in the CoA list, then FA and
  • HA can pass the CoA carried in the registration message
  • the FA may request the mobile device to receive the mobile IP registration request from the mobile terminal.
  • the IP key at which point the authenticator (ie, the authenticator) sends the obtained mobile IP key to the FA.
  • the process of generating a mobile IP key under the PMIP type includes:
  • Step 21 The MS performs EAP access authentication through the authenticator and the AAA server. After the authentication is passed,
  • EMSK is generated on the MS and AAA servers respectively;
  • the authenticator reports the address of the FA to the AM server, the FA
  • Any one of the three parameters in the list may be determined according to a certain policy, and the policy may be determined by an operator or the like according to requirements;
  • Step 22 The MS and AAA servers are calculated by the generated EMSK in some way including
  • Step 23 All FA-HAs generated by the AAA server are sent to the authenticator;
  • the client is on one entity, so the keys LY-FA and FA-HA can be shared;
  • Step 24 After receiving the said ⁇ -FA and FA-HA, the authenticator sends it to the FA;
  • the authenticator is based on FA
  • the designation or other predetermined condition is selected as the care-of address assigned by the mobile terminal and the corresponding key.
  • the registration process in the registration process, specifically the ⁇ -FA and the generated by the above various processing steps
  • FA and HA can find the key used by the CoA carried in the registration message, and the redundant key will be deleted.
  • the FA can receive the mobile IP of the mobile terminal
  • the key at which point the authenticator transmits the mobile IP key to the FA.
  • An embodiment of the present invention further provides a system for generating a mobile IP key in a wireless communication network.
  • 3 is a schematic diagram of a specific implementation of the system, including the following processing units:
  • [90] being set in the authenticator, configured to report the address of the external proxy to the network-side mobile IP key generating entity during the authentication process of the mobile terminal accessing the network;
  • the address of the external proxy reported by the external proxy address reporting unit includes: an IP address of the external proxy on the access network side, and/or an external proxy is located on the core network side;
  • the external proxy processing the IP address of the core network is one or more care-of addresses; [93] the address reporting unit of the external proxy specifically includes:
  • the mobile terminal care-of address obtaining unit is configured to acquire the translated address information allocated by the access network for the mobile terminal
  • the key generation entity sends the care-of address information obtained by the mobile terminal care-of address obtaining unit, for example, the determined care-of address of the mobile terminal can be sent to the AAA server;
  • the external agent only distributes the care-of address assigned to the mobile terminal to the corresponding mobile terminal.
  • the care-of address is assigned by the access network care-of address allocation unit.
  • a key generation entity and a mobile terminal configured to generate a corresponding mobile IP key according to an address of the external proxy
  • [102] specifically includes an IP address and I on the access network side according to the external proxy.
  • the external proxy is on the core network side of the IP
  • the address calculation determines the mobile IP key between the mobile terminal and the external agent and between the foreign agent and the home agent.
  • the implementation of the embodiment of the present invention can effectively solve the problem of the address of the FA to be used in the calculation of the MN-FA and FA-HA in the wireless communication network, thereby improving the security of the network.

Description

说明书 无线通信网络中生成移动 IP密钥的方法、 设备及系统
[1] 技术领域
[2] 本发明涉及网络通信技术领域， 尤其涉及一种无线通信网络中生成移动 IP 密钥的实现方案。
[3] 发明背景
[4] 随着无线通信技术的发展， 各种通信技术不断涌现， 包括微波接入全球互通（ WiMAX， Worldwide Interoperability for Microwave Access )通信技术。
[5] WiMAX 网络支持扩展认证协议（ EAP， Extensible Authentication
Protocol )认证方式。 如果移动终端要接入该网络， 则首先需要进行相应的 EAP
认证处理过程； 在认证通过后， 才可以进行相应的接入操作， 包括生成移动终 端开展业务需要的密钥的操作。
[6] 具体的， 在认证通过后， 分别会在移动终端和鉴权、 认证、 计费 （ AM， Authentication, Authorization, and Accounting
)服务器两侧生成主会话密钥 （ MSK， Master Session Key
)和扩展主会话密钥 （ EMSK， Extended Master Session Key
) 。 之后， 在所述的两侧还分别由 EMSK计算出移动 IP密钥 （ MIP-RK， Mobile IP - Root Key ) 。 该移动 IP
密钥作为移动终端开展业务过程中的移动相关的根密钥， 通过 MIP-RK 衍生出移动相关的各种密钥， 包括： 移动终端与 MA服务器间的密钥 （ MN-AAA ， 可以就是 MIP-RK ) 、 移动终端与家乡代理间的密钥 （ 丽 -HA， Mobile Node - Home Agent Key Extension
) 、 移动终端与外部代理间的密钥 ( MN-FA， Mobile Node- Foreign Agent Key Extension )和外部代理与家乡代理间的密钥 （ FA- HA， Foreign Agent - Home Agent Key Extension ) ， 通过所述密钥可以保证移动 IP
注册的安全性。 [7] 其中， 所述的丽 -FA、 FA-HA分别保证了移动终端到 FA和 FA到 HA 之间注册消息的安全性。 丽 -FA和 FA-HA分别通过以下公式计算得出：
[8] 丽- FA=H ( MIP-RK ， '丽 FA' | FA- IP ) ； 公式 1
[9] FA-HA=H ( MIP-RK ， ' FA HA' | FA- IP | HA- IP | NONCE ) ； 公式 2
[10] 可以看出， 丽 -FA和 FA-HA是由 MIP-RK和 FA-IP ( FA 的 IP
地址）通过相应的换算处理得到， 因此， 如果需要计算获得丽 -FA和 FA-HA ， 则首先应保证移动终端和 MA服务器两侧可以获得相应的 FA-IP 。
[11] 在 Wimax 网络中， FA 的 IP地址包括 FA 的处于接入网侧的 IP地址和 I 或处于核心网侧的 IP地址。 目前， AAA获得 FA 的 IP
地址的方法是通过接入网在初始认证过程中的上报获得。
[12] 在实现本发明过程中， 发明人发现上述现有技术至少存在以下问题：
[13] 接入网只上传 FA
的处于核心网侧的地址， 即并没有上传其处于接入网侧的地址。 而且， 由于一 个 FA可以有多个核心网的地址， 导致无法获知被分配给移动终端的 FA 的 IP 地址， 即实际无法确定需要上报的 FA
的处于核心网侧的地址。 因此， 导致目前移动终端和 MA
服务器还无法得到用于计算移动 IP密钥的 FA 的 IP
地址， 因而也就无法利用所述的 IP地址生成相应的移动 IP
密钥， 进而使得网络的安全性无法得到有效保证。
[14] 发明内容
[15] 本发明实施例提供了一种无线通信网络中生成移动 IP
密钥的方法、 设备及系统， 从而可以有效保证无线网络中基于移动 IP 的通信的安全性。
[16] 一种无线通信网络中生成移动 IP密钥的方法， 包括：
[17] 在移动终端接入网络的认证处理过程中， 网络侧移动 IP
密钥生成实体获取外部代理面向移动终端的接入网侧的地址， 并根据所述外部 代理的面向移动终端的接入网侧的地址在网络侧生成移动 IP密钥。
[18] 本发明实施例提供了一种无线通信网络中生成移动 IP密钥的方法， 包括： [19] 在移动终端接入网络的认证处理过程中， 网络侧移动 IP
密钥生成实体获取接入网上报的外部代理的处于核心网侧的地址， 并根据所述 外部代理的处于核心网侧的地址生成移动 IP密钥。
[20] 一种无线通信网络中生成移动 IP密钥的系统， 包括：
[21] 外部代理地址上报单元， 用于在移动终端接入网络的认证处理过程中， 将外部 代理的面向移动终端的接入网侧的地址传递给网络侧移动 IP密钥生成实体； [22] 移动 IP
密钥生成单元， 用于根据外部代理的面向移动终端的接入网侧的地址生成移动 IP密钥。
[23] 一种无线通信网络中生成移动 IP密钥的系统， 包括：
[24] 移动终端转交地址获取单元， 用于获取接入网为移动终端分配的转交地址信息
， 并提供给转交地址发送单元；
[25] 转交地址发送单元， 用于向网络侧移动 IP
密钥生成实体发送移动终端转交地址获取单元获取的转交地址信息；
[26] 以及， 可根据所述转交地址信息生成移动 IP密钥的单元。
[27] 一种移动终端， 包括用于获取外部代理的面向移动终端的接入网侧的地址的单 元， 以及移动 IP密钥生成单元， 且所述移动 IP
密钥生成单元用于根据外部代理的面向移动终端的接入网侧的地址生成移动 IP 密钥。
[28] 一种网络设备， 包括用于获取外部代理的面向移动终端的接入网侧的地址的单 元， 以及移动 IP密钥生成单元， 且所述移动 IP
密钥生成单元用于根据外部代理的面向移动终端的接入网侧的地址生成移动 IP 密钥。
[29] 由上述本发明实施例提供的技术方案可以看出， 本发明实施例提供了移动 IP 密钥生成的实现方案， 从而使得在无线网络中可以根据获得的外部代理的处于 接入网侧的地址计算确定相应的移动 IP
密钥信息， 进而可以保证移动终端发起 MIP注册过程的安全性。
[30] 因此， 本发明实施例的实现可以较为便捷地在网络中生成相应的移动 IP 密钥， 从而有效提高网络的安全性能。
[31] 附图简要说明
[32] 图 1 为本发明实施例提供的方法的具体实现流程图一；
[33] 图 2 为本发明实施例提供的方法的具体实现流程图二；
[34] 图 3 为本发明实施例提供的系统的具体实现结构示意图。
[35] 实施本发明的方式
[36] 本发明实施例是解决在 MN-FA和 FA-HA计算中需要应用的 FA
地址问题， 从而使得在无线通信网络中可以获得相应的丽 -FA和 FA-HA ， 以保证网络通信的安全性能。
[37] 为此， 本发明实施例提供了无线通信网络中生成移动 IP
密钥的实现方案， 该方案主要包括以下处理过程：
[38] ( 1 )移动终端在初始入网的认证过程中， 由鉴权器向如 AAA
服务器等网络侧移动 IP密钥生成实体传递移动终端的移动 IP
的外部代理的地址， 相应的 AAA服务器等网络侧移动 IP
密钥生成实体获得所述的外部代理的地址后， 便可以计算获得相应的包括 MN-FA和 FA-HA 的移动 IP密钥， AAA服务器计算获得所述的移动 IP 密钥后， 还将所述的移动 IP密钥发至接入网；
[39] 在后续描述中， 为了便于表达， 将均以 AAA服务器作为网络侧移动 IP 密钥生成实体为例进行说明； 该网络侧移动 IP密钥生成实体可以包括 MA 服务器、 鉴权器或其它合适的实体承担移动 IP密钥生成功能；
[40] 其中， 由接入网上传的用于计算移动 IP密钥的外部代
理的地址具体可以包括： 该外部代理的处于接入网侧的 IP
地址（即外部代理面向移动终端的接入网侧的地址）和该外部代理处于核心网 侧的 IP地址中的至少一项。
[41] ( 2 )移动终端根据 FA 的广播获得 FA
的地址， 此时， 移动终端便可以根据其获得的外部代理的 IP
地址计算相应的移动 IP密钥；
[42] 移动终端计算获得相应的移动 IP密钥之后， 便可以利用所述的移动 IP 密钥发起 MIP注册处理过程。
[43] 本发明实施例中， 移动终端和 AAA
服务器均可以根据该外部代理的接入网地址计算其与外部代理之间移动 IP 密钥； 对于移动终端的外部代理与归属代理（即 HA )之间的移动 IP 密钥， 则具体可以采用该外部代理面向移动终端的接入网络内的 IP
地址（即外部代理面向移动终端的接入网侧的地址）计算确定。
[44] 其中， 移动终端具体可以根据该外部代理为其分配的转交地址计算获得移动终 端与该外部代理之间的移动 IP密钥； 此时， 在 MA
服务器中， 计算移动终端与外部代理之间的移动 IP密钥的方式为：
[45] 接入网在移动终端初始入网时即指定分配给它的转交地址并上报给 MA
服务器， AAA
服务器根据该转交地址计算该移动终端与外部代理之间和外部代理与归属代理 之间的移动 IP 的密钥， 并下发给接入网；
[46] 或者，
[47] 接入网可以将所有可能分配给该移动终端的转交地址都上报给 AM服务器， AAA
服务器根据各个转交地址分别计算对应的移动终端与外部代理之间和外部代理 与归属代理之间的移动 IP 的密钥， 并下发给接入网。
[48] 在上述处理过程中具体可以将移动 IP
的密钥下发给密钥接收单元， 该密钥接收单元包括但不限于归属代理和 / 或鉴权器和 I或外部代理和 I或移动终端。
[49] 具体一点讲， 本发明实施例的实现方式如下：
[50] 在本发明实施例中， FA 的处于接入网侧的 IP地址用 FA-IP表示， FA 处于核心网侧的 IP地址为分配给移动终端的转交地址， 即 CoA
。 而当移动终端进行移动 IP注册时需与 FA 的这些 IP
地址进行绑定， 而且：
[51] 在计算丽 -FA时， 采用丽 -FA=H ( MIP-RK ， ' MNFA' | FA-IP )或丽 -FA=H
( MIP-RK ， ' MNFA' | CoA ) ； [52] 在计算 FA-HA时， 采用 FA-HA=H ( MIP-RK ， ' FAHA' | FA-IP | HA-IP | NONCE
)或 FA- HA=H ( MIP-RK ， ' FAHA' | CoA | HA- IP | NONCE ) 。
[53] 在上述公式中， H(，） 为散列消息鉴别码（ HMAC ) 函数的缩写 （ RFC2104 定义） 。 其具体可以是 HMAC 0 函数， 也可以是 HMAC
和其它加密编码方式结合后的组合函数如 HMAC-SHA256
等。 其后的参数列表中的第一个参数 MIP-RK
为生成该密钥所用的根密钥， 该密钥可以是 MIP
密钥的根密钥， 也可以是其根密钥的某个子密钥。 后面的字符串中一般都包含 至少一个固定的字符串， 代表该生成密钥的含义或名称表示， 然后还有表征该 密钥信息的特征值这里是相关的 IP
地址， 及可选的随机数或表征安全的系数； 其中， 符号' I '代表链接运算符。
[54] 在具体实现过程中， 移动终端可以通过 FA 的广播消息获得 FA-IP和 CoA
， 而 AAA服务器可以在认证过程中， 由鉴权器上报 FA-IP和 /或 CoA
， 具体可以是一个 CoA ， 也可以是多个 CoA 的列表。
[55] 其中， 所述的鉴权器向 AAA服务器上报 FA-IP和 /或 CoA
的处理过程具体包括以下三种实现方式：
[56] 1 、 在移动终端 MS接入认证过程中， 鉴权器将 FA-IP和 /或 CoA上报给
AAA服务器， 以便于 AAA服务器根据所述的 FA-IP和 /或 CoA计算丽 -FA 和 FA-HA ， 具体可以利用 FA-IP进行计算， 具体也可以利用 CoA或一组 CoA 来计算相应的移动 IP密钥。
[57] 2 、 FA指定一个 CoA并通过鉴权器发送给 AAA
服务器， 并在后面的通知移动终端 MS其转交地址时， 将此 CoA
下发给该移动终端 MS 。
[58] 3 、 FA将 CoA列表通过鉴权器发送给 AM服务器， 并将需要上报的 CoA 列表中的一个或多个 CoA发给移动终端 MS 。
[59] 之后， AM服务器将采用所有 CoA均计算一次丽 -FA
， 并将所有结果发送给鉴权器（即认证器） ；
[60] 当 MS选择一个 CoA并生成相应的丽 -FA密钥后， 该 MS利用该丽 -FA 密钥向 FA进行移动 IP 的注册， 在 FA上， 则利用对应的丽 -FA 密钥进行解密操作， 同时， 在 FA上还将其余多余密钥删除。
[61] 下面结合附图对本发明实施例中 CMIP (客户移动 IP )类型下生成移动 IP 密钥的过程， 以及 PMIP (代理移动 IP )类型下生成移动 IP
密钥的过程进行描述。
[62] 如图 1 所述， CMIP类型下生成移动 IP密钥的过程包括：
[63] 步骤 11 ： MS通过鉴权器和 AAA服务器进行 EAP
接入认证， 认证通过后， 在 MS和 AAA服务器上分别生成 EMSK ；
[64] 在 EAP认证过程中， 鉴权器将 FA地址上报给 AM服务器， 该 FA 的地址为
FA-IP 、 指定的单个 CoA或 CoA
列表三者中的任一参数（在此优选方案为仅选择一个参数作为 FA
的地址， 当然也可以选择多个参数作为 FA
的地址） ， 具体需要上报的具体参数信息可以根据一定的策略确定， 所述的策 略可以由运营商来制定；
[65] 步骤 12 ： MS和 AAA服务器根据生成的 EMSK和获得的 FA
的地址通过预定的计算方式计算出包括丽 -FA和 FA-HA 的 MIP-RK (移动 IP 密钥） ；
[66] 具体为， 由于 AAA服务器已经获得 FA 的地址， 故通过相应的丽 -FA 、
FA-HA 的计算公式便可以得出所述的两个密钥；
[67] 如果鉴权器上报的是 CoA列表， 则 AM服务器将会对每个 CoA
生成所述的两个密钥；
[68] 步骤 13 ： AAA服务器生成的所有丽 -FA 、 FA-HA发送给鉴权器；
[69] 步骤 14 ： 鉴权器收到所述的丽 -FA 、 FA-HA后， 将其发送给 FA ；
[70] 步骤 15 ： FA发送广播消息给 MS ， 该消息携带有 FA-IP
， 同时包含有和步骤 11 相同的单个 CoA或 CoA列表。
[71] 步骤 16 ： 根据预定的策略， MS可以利用 FA-IP 、 指定的单个 CoA或者从
CoA列表中选择一个地址计算出 丽 -FA ；
[72] 步骤 17 、 18 、 19 、 110 ： 实现 MIP 注册过程， 具体是通过以上各步骤生成的丽 -FA 、 FA-HA来保护注册消息； [73] 如果移动终端使用的密钥用的是 CoA列表中的某个地址计算得到， 则 FA和
HA可以通过注册消息中携带的 CoA
找到所使用的密钥， 多余的密钥将会被删除掉。
[74] 可选地， FA可以在收到移动终端的移动 IP注册请求后再向认证器索取移动
IP密钥， 这时， 认证器（即鉴权器）再将获得的移动 IP密钥发送给 FA 。
[75] 如图 2所示， PMIP类型下生成移动 IP密钥的过程包括：
[76] 步骤 21 ： MS通过鉴权器和 AAA服务器进行 EAP接入认证， 认证通过后在
MS和 AAA服务器上分别生成 EMSK ；
[77] 在接入认证过程中， 鉴权器将 FA 的地址上报给 AM服务器， 该 FA
的地址为 FA-IP 、 指定的单个 CoA或 CoA
列表三者中的任一参数， 具体选择上报的参数可以根据一定的策略确定， 所述 的策略可以由运营商等根据需要制定；
[78] 步骤 22 ： MS和 AAA服务器由生成的 EMSK通过某种方式计算出包括
MN-FA和 FA-HA 的 MIP-RK ；
[79] 即由于 AAA服务器已经获得 FA 的地址， 通过丽 -FA 、 FA-HA
的计算公式得出所述的两个密钥；
[80] 如果鉴权器上报的是 CoA列表， 则 AM服务器将会对每个 CoA
分别生成所述的两个密钥， 即丽 -FA和 FA-HA ；
[81] 步骤 23 ： AAA服务器生成的所有丽 -FA 的 FA-HA发送给鉴权器；
[82] 由于鉴权器和 PMIP Client (代理移动 IP
客户端）在一个实体上， 因此可以共享所述的密钥丽 -FA和 FA-HA ；
[83] 步骤 24 ： 鉴权器收到所述的丽 -FA和 FA-HA后， 将其发送给 FA ；
[84] 在该步骤的处理过程中， 鉴权器根据 FA
的指定或其它预定的条件选择为移动终端所分配的转交地址及相应的密钥。
[85] 步骤 25 、 26 、 27 、 28 ： 执行 MIP
注册过程， 在该注册过程中， 具体是通过以上各处理步骤生成的丽 -FA和
FA-HA来保护注册消息； [86] 如果 PMIP Client ( PMIP客户端）使用的密钥是由 CoA
列表中的某一个地址计算得到， 则 FA和 HA可以通过注册消息中携带的 CoA 找到所使用的密钥， 多余的密钥将会被删除。
[87] 可选的， FA可以在收到移动终端的移动 IP
注册请求后再向认证器请求获得移动 IP
密钥， 这时， 再由认证器将所述的移动 IP密钥发送给 FA 。
[88] 本发明实施例还提供了一种无线通信网络中生成移动 IP密钥的系统。 图 3 为所述的系统的具体实现的示意图， 包括以下处理单元：
[89] ( 1 )外部代理地址上报单元
[90] 设置于鉴权器中， 用于当移动终端接入网络的认证处理过程中， 将外部代理的 地址上报给网络侧移动 IP密钥生成实体；
[91] 所述的外部代理地址上报单元上报的外部代理的地址包括： 外部代理的处于接 入网侧的 IP地址， 和 /或， 外部代理处于核心网侧的 IP地址；
[92] 其中， 所述的外部代理处理核心网侧的 IP地址为一个或多个转交地址； [93] 所述的外部代理的地址上报单元具体包括：
[94] 移动终端转交地址获取单元， 用于获取接入网为移动终端分配的转换地址信息
， 并提供给转交地址发送单元；
[95] 转交地址发送单元， 用于向网络侧移动 IP
密钥生成实体发送移动终端转交地址获取单元获取的转交地址信息， 如可以将 确定的移动终端的转交地址发给 AAA服务器；
[96] 为此， 所述的接入网为移动终端分配的转交地址的操作需要在终端初始入网过 程中， 以及认证器向 AAA服务器上报移动 IP密钥材料前完成；
[97] 而且， 所述的外部代理仅将为移动终端分配的转交地址分发给相应的移动终端
， 所述的转交地址是由接入网转交地址分配单元分配。
[98] ( 2 )外部代理地址下发单元
[99] 设置于外部代理中， 用于将外部代理的地址下发给所述的移动终端， 以便于移 动终端获取外部代理的地址， 具体可以通过广播的方式下发所述的外部代理的 地址； [100] ( 3 )移动 IP密钥生成单元
[101] 分别设置于网络侧移动 IP
密钥生成实体和移动终端中， 用于根据外部代理的地址生成相应的移动 IP 密钥；
[102] 具体包括根据外部代理的处于接入网侧的 IP地址和 I
或外部代理处于核心网侧的 IP
地址计算确定移动终端与外部代理间以及外部代理与归属代理间的移动 IP 密钥。
[103] 综上所述， 本发明实施例的实现， 使得在无线通信网络中能够有效解决丽 -FA 、 FA-HA计算中需要使用的 FA 的地址的问题， 从而提高了网络的安全性。
[104] 以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并不局限于 此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易想到 的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围 应该以权利要求的保护范围为准。

Claims

权利要求书
[1] 1、 一种无线通信网络中生成移动 IP密钥的方法， 其特征在于， 包括： 在移动终端接入网络的认证处理过程中， 网络侧移动 IP
密钥生成实体获取外部代理面向移动终端的接入网侧的地址， 并根据所述 外部代理的面向移动终端的接入网侧的地址在网络侧生成移动 IP密钥。
[2] 2、 根据权利要求 1 所述的方法， 其特征在于， 所述的方法还包括：
移动终端根据外部代理的广播消息获得相应的外部代理的面向移动终端的 接入网侧的地址， 并根据所述外部代理的面向移动终端的接入网侧的地址 生成移动 IP密钥。
[3] 3、 根据权利要求 1 所述的方法， 其特征在于， 所述的网络侧移动 IP 密钥生成实体获取外部代理面向移动终端的接入网侧的地址的步骤包括： 接入网将外部代理的面向移动终端的接入网侧的地址发送给鉴权器， 并通 过所述鉴权器传递给所述网络侧移动 IP密钥生成实体。
[4] 4、 根据权利要求 1 、 2或 3所述的方法， 其特征在于， 所述的移动 IP 密钥包括：
移动终端和网路侧移动 IP
密钥生成实体各自计算生成的移动终端与外部代理之间的移动 IP密钥； 和 /或，
移动终端和网络侧移动 IP
密钥生成实体各自计算生成的外部代理与归属代理之间的移动 IP密钥。
[5] 5、 根据权利要求 4所述的方法， 其特征在于， 所述方法还包括：
网络侧移动 IP密钥生成实体计算确定所述的移动 IP
密钥后， 将所述移动 IP密钥对应的移动终端与外地代理间的移动 IP 密钥和外地代理与归属代理间的移动 IP密钥发送至接入网中。
[6] 6、 一种无线通信网络中生成移动 IP密钥的方法， 其特征在于， 包括： 在移动终端接入网络的认证处理过程中， 网络侧移动 IP
密钥生成实体获取接入网上报的外部代理的处于核心网侧的地址， 并根据 所述外部代理的处于核心网侧的地址生成移动 IP密钥。
[7] 7、 根据权利要求 6所述的方法， 其特征在于， 所述的方法具体包括： 接入网为移动终端分配转交地址， 并传递给网络侧移动 IP
密钥生成实体， 由网络侧移动 IP
密钥生成实体根据所述的转交地址计算所述移动终端与外部代理之间， 以 及外部代理与归属代理之间的移动 IP密钥， 并下发给接入网； 或者，
接入网将所有可能分配给移动终端的转交地址均传递给网络侧移动 IP 密钥生成实体， 并由网络侧移动 IP
密钥生成实体分别计算对应的移动终端与外部代理之间， 以及外部代理与 归属代理之间的移动 IP密钥， 并下发给接入网。
[8] 8、 一种无线通信网络中生成移动 IP密钥的系统， 其特征在于， 包括： 外部代理地址上报单元， 用于在移动终端接入网络的认证处理过程中， 将 外部代理的面向移动终端的接入网侧的地址传递给网络侧移动 IP 密钥生成实体；
移动 IP
密钥生成单元， 用于根据外部代理的面向移动终端的接入网侧的地址生成 移动 IP密钥。
[9] 9、 一种无线通信网络中生成移动 IP密钥的系统， 其特征在于， 包括： 移动终端转交地址获取单元， 用于获取接入网为移动终端分配的转交地址 信息， 并提供给转交地址发送单元；
转交地址发送单元， 用于向网络侧移动 IP
密钥生成实体发送移动终端转交地址获取单元获取的转交地址信息； 以及， 可根据所述转交地址信息生成移动 IP密钥的单元。
[10] 10、 根据权利要求 9
所述的系统， 其特征在于， 所述的接入网转交地址分配单元为移动终端分 配的转交地址要在移动终端初始入网过程中， 以及认证器向网络侧移动 IP 密钥生成实体传递移动 IP密钥材料前确定。
[11] 11、 一种移动终端， 其特征在于， 包括用于获取外部代理的面向移动终端 的接入网侧的地址的单元， 以及移动 IP密钥生成单元， 且所述移动 IP 密钥生成单元用于根据外部代理的面向移动终端的接入网侧的地址生成移 动 IP密钥。
[12] 12、 一种网络设备， 其特征在于， 包括用于获取外部代理的面向移动终端 的接入网侧的地址的单元， 以及移动 IP密钥生成单元， 且所述移动 IP 密钥生成单元用于根据外部代理的面向移动终端的接入网侧的地址生成移 动 IP密钥。
PCT/CN2007/070046 2006-05-22 2007-05-22 Procédé, dispositif et système de production de clé ip mobile sur réseau de communication sans fil WO2007134552A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2006100813638A CN101051899B (zh) 2006-05-22 2006-05-22 无线通信网络中生成移动ip密钥的方法及系统
CN200610081363.8 2006-05-22

Publications (1)

Publication Number Publication Date
WO2007134552A1 true WO2007134552A1 (fr) 2007-11-29

Family

ID=38722967

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/070046 WO2007134552A1 (fr) 2006-05-22 2007-05-22 Procédé, dispositif et système de production de clé ip mobile sur réseau de communication sans fil

Country Status (2)

Country Link
CN (1) CN101051899B (zh)
WO (1) WO2007134552A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108833607B (zh) * 2018-06-12 2022-03-11 腾讯科技（深圳）有限公司 物理地址获取方法、装置及可读介质
CN110933591B (zh) 2018-09-18 2021-07-16 华为技术有限公司 认证方法、设备及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1392703A (zh) * 2001-06-14 2003-01-22 3柯姆公司 管理移动互联网协议网络中的外部代理选择的系统和方法
CN1411200A (zh) * 2001-09-27 2003-04-16 株式会社东芝 电子装置、无线通信设备以及加密密钥设置方法
CN1426642A (zh) * 2000-12-26 2003-06-25 索尼公司 信息处理系统及方法
US20060104247A1 (en) * 2004-11-17 2006-05-18 Cisco Technology, Inc. Infrastructure-less bootstrapping: trustless bootstrapping to enable mobility for mobile devices

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1426642A (zh) * 2000-12-26 2003-06-25 索尼公司 信息处理系统及方法
CN1392703A (zh) * 2001-06-14 2003-01-22 3柯姆公司 管理移动互联网协议网络中的外部代理选择的系统和方法
CN1411200A (zh) * 2001-09-27 2003-04-16 株式会社东芝 电子装置、无线通信设备以及加密密钥设置方法
US20060104247A1 (en) * 2004-11-17 2006-05-18 Cisco Technology, Inc. Infrastructure-less bootstrapping: trustless bootstrapping to enable mobility for mobile devices

Also Published As

Publication number Publication date
CN101051899A (zh) 2007-10-10
CN101051899B (zh) 2011-05-04

Similar Documents

Publication Publication Date Title
JP4643657B2 (ja) 通信システムにおけるユーザ認証及び認可
US7831835B2 (en) Authentication and authorization in heterogeneous networks
JP4723158B2 (ja) パケット・データ・ネットワークにおける認証方法
US7475241B2 (en) Methods and apparatus for dynamic session key generation and rekeying in mobile IP
US7840811B2 (en) Network system and communication methods for securely bootstraping mobile IPv6 mobile node using pre-shared key
CN101616410B (zh) 一种蜂窝移动通信网络的接入方法和系统
US8656171B2 (en) Method, apparatus, and system for configuring key
CA2545229C (en) Method for verifying the validity of a user
US20140136844A1 (en) Method and Apparatus for Link Setup
EP1782574B1 (en) Fast network attachment
JP2008537398A (ja) モバイルインターネットプロトコル鍵配布のためのジェネリック認証アーキテクチャの利用
KR20060067263A (ko) Ｗｌａｎ-ｕｍｔｓ 연동망 시스템과 이를 위한 인증 방법
WO2011127810A1 (zh) 对通信设备进行认证的方法和装置
JP2005524262A5 (zh)
WO2006000152A1 (fr) Procede pour la gestion d'equipement d'utilisateur d'acces au reseau au moyen de l'architecture d'authentification generique
WO2011026404A1 (zh) 一种认证授权计费会话更新方法、装置和系统
JP2007529763A (ja) ネットワークアプリケーションエンティティのためにユーザーの身元確認を得る方法
CN111050322A (zh) 基于gba的客户端注册和密钥共享方法、装置及系统
KR20080086127A (ko) 이동통신 네트워크 및 상기 이동통신 네트워크에서 이동 노드의 인증을 수행하는 방법 및 장치
US8447981B2 (en) Method and system for generating and distributing mobile IP security key after re-authentication
EP2957114A1 (en) Method and network node for obtaining a permanent identity of an authenticating wireless device
WO2008009232A1 (fr) Procédé, système et dispositif pour déterminer la clé ip mobile et notifier le type ip mobile
WO2008098510A1 (fr) Procédé et appareil d'acquisition d'informations de contrôleur d'accès dans un réseau local sans fil
WO2009155807A1 (zh) 预认证的方法、认证系统和装置
WO2007134552A1 (fr) Procédé, dispositif et système de production de clé ip mobile sur réseau de communication sans fil

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07721669

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07721669

Country of ref document: EP

Kind code of ref document: A1