WO2008058841A2 - Bootstrapping method - Google Patents

Bootstrapping method Download PDF

Info

Publication number
WO2008058841A2
WO2008058841A2 PCT/EP2007/061442 EP2007061442W WO2008058841A2 WO 2008058841 A2 WO2008058841 A2 WO 2008058841A2 EP 2007061442 W EP2007061442 W EP 2007061442W WO 2008058841 A2 WO2008058841 A2 WO 2008058841A2
Authority
WO
WIPO (PCT)
Prior art keywords
server
bootstrapping
bsf
naf
terminal
Prior art date
Application number
PCT/EP2007/061442
Other languages
German (de)
French (fr)
Other versions
WO2008058841A3 (en
Inventor
Matthias Franz
Günther Horn
Wolf-Dietrich Moeller
Original Assignee
Nokia Siemens Networks Gmbh & Co. Kg
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Siemens Networks Gmbh & Co. Kg filed Critical Nokia Siemens Networks Gmbh & Co. Kg
Publication of WO2008058841A2 publication Critical patent/WO2008058841A2/en
Publication of WO2008058841A3 publication Critical patent/WO2008058841A3/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Definitions

  • the invention relates to a bootstrapping method for providing a common temporarily valid application-specific key for a terminal and an application server.
  • Figure 1 shows an example of a network architecture according to the prior art.
  • a mobile terminal or a user terminal UE can establish a data connection via different access networks, which each have a plurality of base stations BS and a gateway GW in the mobile radio area, and, for example, via visited networks with a home network of the subscriber.
  • the access networks can have different standardized access technologies.
  • An access network may be, for example, a 3GPP access network.
  • GBA Generic Bootstrapping Architecture
  • the subscriber's home network has one
  • Bootstrapping Server BSF and a home subscriber system server HSS are home subscriber system servers.
  • FIG. 2 shows the structure of a GBA network according to the prior art.
  • the bootstrapping server BSF is connected to a user terminal UE via a U b interface.
  • the user terminal is, for example, a mobile terminal such as a cell phone.
  • the bootstrapping server BSF is connected via a Z n interface to an application server NAF (Network Application Function) on which an application program runs.
  • NAF Network Application Function
  • the bootstrapping server BSF is connected via a Z n interface to the home subscriber system server HSS, in which a long-term key or a long-term valid key is stored.
  • the bootstrapping server BSF can be connected via a D z interface to a server for locating the associated home subscriber system server HSS.
  • This server for localizing a home subscriber system server HSS for a Subscriber is also referred to as the Subscriber Locator Function (SLF) server.
  • SLF Subscriber Locator Function
  • a long-term security relationship or a long-term valid key that is known jointly to the user terminal UE and the home subscriber system server HSS is used to establish a short-term security relationship between the user terminal UE and the application server NAF build.
  • a temporarily valid key is derived from the long-term valid key.
  • the application server NAF can be located in the subscriber's home network, in a visited network or at another location (3 rd party server).
  • the bootstrapping server BSF is always located in the subscriber's home network and is the only component within the GBA network architecture that contacts the home subscriber system server HSS.
  • the bootstrapping server BSF receives a request from the user terminal UE via the U b interface, it loads cryptographic intermediate keys or derived keys from the HSS server via the Z h interface. These cryptographic intermediate keys are derived from the long-term valid common key or the long-term key which is stored in the HSS server and which is also known to the user terminal UE. Subsequently, the bootstrapping server BSF, in response to a request from the application server NAF, which receives it via the Z n interface, derives an application-specific cryptographic key from the cryptographic intermediate key or base key and transmits these derived application-specific keys to the application server NAF.
  • the user terminal UE also derives the same intermediate key or base key and the same application-specific short-term valid key as the bootstrapping server BSF. This is possible because the user terminal UE the long-term valid key is also known.
  • the application-specific and temporarily valid keys to the application server NAF both the application server and the user terminal UE have the same temporary valid application-specific key (Ks NAF) and can use this to secure a data connection via the U a -
  • HSS Home subscriber system server
  • each subscriber has an associated home subscriber system server HSS.
  • HSS home subscriber system server
  • the bootstrapping In order for a subscriber or a user terminal UE to be able to find the correct home subscriber system server HSS, the bootstrapping
  • the SLF Subscriber Longer Function
  • the request to the SLF server can be dispensed with.
  • the user terminal UE and the application server NAF contact the bootstrapping server BSF by deriving a DNS name of the bootstrapping server BSF on the basis of a subscriber identity or a temporarily valid user identifier B-TID to inform the network operator.
  • the invention provides a bootstrapping method for providing a common temporarily valid application-specific key (Ks_NAF) for a terminal (UE) and an application server (NAF) with the following steps:
  • BSF bootstrapping server
  • a temporarily valid second user identifier (B-TID) is assigned to this terminal (UE) and a temporary valid base key (Ks) by the selected bootstrapping server (BSF) is formed; and wherein upon receipt of a request message originating from the application server (NAF) and having the same temporarily valid second user identifier (B-TID), the selected bootstrapping server (BSF) selects the temporary valid application-specific key (Ks_NAF) from the derived temporary base key (Ks) and transmits to the application server (NAF).
  • Ks_NAF temporary valid application-specific key
  • the first user identifier is formed by a permanently valid user identifier, if this is advantageous.
  • This first user identifier is preferably an IMPI (IP Multimedia Private Identity).
  • the bootstrapping server BSF is selected by a B-SLF (Subscriber Locator Function) server.
  • B-SLF Subscriber Locator Function
  • the messages are transmitted between the terminal and the selected bootstrapping server via a BSF proxy server.
  • the messages between the application server NAF and the selected bootstrapping server BSF are also transmitted via a BSF proxy server.
  • the B-SLF server transmits to the BSF proxy server an address of the selected bootstrapping server.
  • the BSF proxy server temporarily stores the address of the selected bootstrapping server.
  • the selected bootstrapping server BSF authenticates the terminal UE with the aid of a home-subscriber-system server HSS.
  • the home subscriber system server HSS transmits an authentication vector AV to the selected bootstrapping server BSF.
  • This transmitted authentication vector AV preferably has an authentication challenge, an authentication response, a cipher key and an integrity key.
  • the selected bootstrapping server BSF forms the temporarily valid base key from the encryption key CK and the integrity key IK.
  • the selected bootstrapping server generates the temporarily valid second user identifier B-TID.
  • the temporarily valid second user identifier B-TID is transmitted from the selected bootstrapping server BSF to the bootstrapping proxy server in a message containing the temporarily valid second user identifier B-TID and the validity period of the formed base key Ks caches and then forwards the message to the terminal UE.
  • the terminal UE when a service is requested from the application server NAF, the terminal UE transmits the data forwarded by the bootstrapping proxy server to the terminal UE temporarily valid second user identifier B-TID to the application server NAF in a service request message.
  • the application server NAF sends a
  • Service request message with the temporarily valid second user identifier B-TID to the bootstrapping proxy server, which forwards the service request message to the selected bootstrapping server BSF.
  • the terminal UE forms the temporary valid base key.
  • the terminal UE derives the temporarily valid application-specific key Ks NAF from the temporarily valid base key Ks.
  • the selected bootstrapping server BSF generates the temporarily valid second user identifier B-TID and encodes therein from which bootstrapping server BSF the generated second user identifier B-TID originates.
  • the invention further provides a bootstrapping proxy server for a generic bootstrapping architecture (GBA) network, which forwards messages between a terminal UE and a bootstrapping server BSF selected on the basis of a permanent user identifier.
  • GBA generic bootstrapping architecture
  • the bootstrapping proxy server stores a temporarily valid user identifier B-TID, which is assigned by a bootstrapping server BSF and assigned to the respective bootstrapping server BSF. In one embodiment of the bootstrapping proxy server according to the invention, the bootstrapping proxy server forwards messages between an application server NAF and the selected bootstrapping server BSF.
  • Figure 1 a network according to the prior art
  • Figure 2 the network architecture of a GBA network according to the prior art
  • FIG. 3 is a signal diagram for explaining a possible embodiment of the bootstrapping system according to the invention.
  • FIG. 4 shows a first embodiment of a GBA network extended according to the invention with a BSF proxy server according to the invention
  • FIG. 5 a GBA network architecture for the embodiment shown in Figure 4;
  • FIG. 6 shows a further embodiment of an extended network according to the invention with a BSF proxy server
  • Figure 7 a GBA network architecture for the embodiment shown in Figure 6;
  • FIG. 8 shows a further embodiment of an extended network according to the invention with a BSF proxy server.
  • the bootstrapping method according to the invention serves to provide a common, temporarily valid, application-specific key Ks_NAF for a terminal UE and an application server NAF.
  • Ks_NAF application-specific key
  • Bootstrapping server BSF-A and BSF-B provided.
  • a BSF proxy server is provided in the bootstrapping method according to the invention for the transmission of messages between the terminal UE and a selected bootstrapping server BSF. Messages between the application server NAF and the selected bootstrapping server are also transmitted via the BSF proxy server.
  • the selection of the bootstrapping server BSF is performed by a subscriber locator function server B-SLF.
  • the B-SLF server reports the first bootstrapping server BSF-A in order to localize the bootstrapping server BSF.
  • the network has two home-subscriber-system servers HSS-X and HSS-Y, which are located by means of another subscriber location-function server H-SLF.
  • H-SLF home-subscriber-system server
  • the H-SLF function performs the function of a conventional SLF server.
  • Bootstrapping server for example, the bootstrapping server BSF-A, from a group of existing bootstrapping server, for example, one consisting of the bootstrap servers BSF-A, BSF-B selected group, the selection of the bootstrapping server BSF preferably by a corresponding SLF server B-SLF takes place.
  • the selection of the bootstrapping server BSF takes place on the basis of a first user identifier received by the terminal UE.
  • This first user ID is a permanently valid or long-term user ID.
  • This first long-term user identifier may be, for example, an IMPI.
  • a temporarily valid second user identifier B-TID is assigned to this terminal UE by the selected bootstrapping server BSF and a temporarily valid base key is formed by the selected bootstrapping server BSF.
  • this bootstrapping server BSF After receiving a request message received from the application server NAF, which has the same temporarily valid second user identifier B-TID, by the selected bootstrapping server BSF, this bootstrapping server BSF derives the temporarily valid application-specific key Ks NAF from the temporarily valid base key Ks and ü transmits this temporary valid application-specific key Ks NAF to the application server NAF.
  • a first step S1 the user terminal UE transmits a long-term valid user identifier in a message.
  • This first user identifier is a permanent or long-term valid user identifier, for example an IMPI.
  • the user terminal UE thus initiates the bootstrapping process, for example by determining a DNS name of the BSF server.
  • a DNS server provides the IP address of the BSF proxy server, and the user terminal UE then sends, for example, an http request via the U b interface to the BSF proxy server.
  • the user terminal UE For a 2G GBA network, the user terminal UE first sets up a TLS tunnel to the BSF proxy server.
  • the BSF proxy server in step S2 transmits a message containing this permanently valid first user ID, to the Subscriber Location Function server B-SLF via the D z * interface.
  • the BSF proxy server merely forwards the received http request message to the B-SLF server.
  • the D z interface as specified in the 3GPP standard, will be extended in this regard.
  • the subscriber location function server B-SLF sends in step S3 a message back to the BSF proxy server, which contains the name of the selected bootstrapping server BSF or an address of the selected bootstrapping server BSF.
  • the address of the bootstrapping server BSF-A is transmitted to the BSF proxy server.
  • the Subscriber Location Function server B-SLF proceeds as follows. The B-SLF server first determines the subscribers HSS belonging to the subscriber. The B-SLF server then uses a stored table to determine the registered BSF server associated with the determined HSS server and sends a corresponding message to the BSF proxy server, for example using an http redirect function.
  • the BSF proxy server stores the received BSF name or the address of the selected BSF server, wherein the BSF name or the BSF address assigned to the received long-term valid first user ID of the subscriber is stored , Storing the BSF name is not mandatory, but avoids repeated transmission of requests from the BSF proxy server via the D z * interface.
  • the BSF proxy server forwards the request for the desired service received from the UE to the selected BSF server in step S4. In the example shown in FIG. 3, the request is forwarded by the BSF proxy server to the BSF server BSF-A in step S4.
  • the selected BSF server BSF-A processes the received message according to the 3GPP standard, whereby the BSF Server replaces its own DNS name with the DNS name of the BSF proxy server.
  • the selected BSF server transmits an HSS request message to a subscriber location function server H-SLF.
  • the H-SLF server supplies the requesting BSF server BSF-A with the address of the home subscriber system server HSS in step S6. In the illustrated example, this is the address of the home subscriber server HSS-Y.
  • the HSS-Y sends an authentication vector AV to the requesting bootstrapping server BSF-A in step S8.
  • the authentication vector AV transmitted to the selected bootstrapping server BSF-A has an authentication scheme, an authentication response or an authentication response.
  • an encryption key CK Cipher Key
  • an integrity key IK Integrity Key
  • the authentication noise received in the authentication vector AV is transmitted from the bootstrapping server BSF-A to the BSF proxy server in step S9, and from there to the user terminal UE in step S10.
  • the user terminal UE calculates a response or an authentication response and transmits it in step Sil to the BSF proxy server, which forwards this message to the BSF server BSF-A in step S12.
  • the BSF / Bootstrapping server BSF-A checks whether the authentication response received from the user terminal UE is correct. Subsequently, the selected bootstrapping server generates a temporarily valid second user identifier B-TID and transmits it to the BSF proxy server in step S13.
  • the selected bootstrapping server BSF-A forms a temporary valid base key BSF from the encryption key CK and from the integrity key IK of the authentication vector AV, which it has received in step S8 from the home-subscriber system server HSS-Y.
  • the bootstrapping proxy server BSF proxy receives in step S13 the temporarily valid second user identifier B-TID and the validity period (key lifetime) of the base key Ks formed by the selected bootstrapping server BSF-A and forwards the temporarily valid second user identifier B-TID. TID together with the validity period to the user terminal UE in step S14 on.
  • the bootstrapping proxy server temporarily stores the temporarily valid second user identifier B-TID and the validity period of the basic key Ks formed before it is used in the
  • the bootstrapping proxy server preferably also stores the BSF names for the validity period of the user identifier B-TID and of the base key K.
  • the user terminal UE If the user terminal UE wishes to use an application or service, it sends a service request message to the application server NAF in step S15.
  • the application server then transmits a request for a temporary valid application-specific key Ks NAF in
  • Step S16 to the BSF proxy server, which forwards this request to the selected bootstrapping server BSF-A in step S17.
  • the bootstrapping server BSF-A derives the temporarily valid application-specific key Ks NAF from the temporarily valid base key Ks and transmits this temporary valid application-specific key Ks NAF in step S18 to the BSF proxy server, which provides this temporary valid application-specific Key Ks_NAF in step S19 to the application server NAF forwards.
  • Step S20 in step S21 a cryptographically secured data exchange between the user terminal UE and the application server NAF via the interface U a using the temporary valid application-specific key Ks_NAF, which is known to both the user terminal UE and the application server NAF.
  • the application server NAF receives the temporarily valid application-specific key Ks NAF from the selected bootstrapping server. Server BSF-A.
  • the user terminal UE derives the temporary valid application-specific key Ks NAF from the temporarily valid base key Ks itself.
  • FIG. 4 shows a possible embodiment of a GBA network extended according to the invention, which contains a BSF proxy server.
  • a plurality of bootstrapping servers BSF are provided, each of which has an associated home subscriber system server HSS.
  • the bootstrapping server function BSF is integrated in the HSS server.
  • FIG. 5 shows a GBA network architecture for the embodiment shown in FIG.
  • FIG. 6 shows a further embodiment of a GBA network extended according to the invention, wherein in this embodiment also several BSF servers are provided which communicate with a common BSF proxy server.
  • each BSF or bootstrapping server can exchange HSS data with different home-subscriber servers.
  • Each BSF server may be connected to multiple HSS servers and each HSS server may be connected to different BSF servers. Since each BSF server can exchange data with different HSS servers in the embodiment shown in FIG. 6, it requires a subscriber location function H-SLF for finding the associated HSS server.
  • FIG. 7 shows a GBA network architecture for the embodiment shown in Figure 6.
  • the BSF or bootstrapping server is connected via its own interface D z to a subscriber location function server H-SLF for locating the home subscriber server HSS.
  • the BSF proxy server in turn is connected to a B-SLF server via a D z * interface to find the correct BSF server.
  • the selected bootstrapping server BSF generates the temporarily valid second user identifier B-TID and encodes therein from which bootstrapping server BSF the generated second user identifier B-TID originates. This enables the application server NAF to be able to access the BSF server directly and that the BSF proxy server does not have to store the temporarily valid second user identifier B-TID and the associated validity periods.
  • FIG. 8 shows a further embodiment of the inventive extended GBA network, wherein each BSF or bootstrapping server can be connected to more than one home subscriber server.
  • All BSF servers and the BSF proxy server are locally configured with a BSF name, whereby the name of the BSF proxy server is standardized according to today's GBA specifications.
  • All DNS servers provide the IP address of the proxy server on request.
  • the B-SLF server Upon request, the B-SLF server will provide the DNS name or IP address of the selected BSF server for a given subscriber, for example, given the given IMPI.
  • the supplied DNS name is different from the BSF name standardized in today's GBA specifications.
  • the user terminal UE initiates the bootstrapping process and determines the DNS name of the bootstrapping server BSF, which in this embodiment refers to the BSF proxy, which, however, need not be known to the user terminal. Subsequently, the user terminal UE sends a first http request via the U b interface. In the case of a 2G GBA network architecture, the user terminal UE sets up a TLS tunnel to the BSF proxy server. The http request reaches the BSF proxy server because the DNS name of the bootstrapping server BSF is translated into the IP address of the BSF proxy server.
  • the BSF proxy server transmits a message with the long-term valid first user ID IMPI via a D z * interface to the B-SLF server.
  • the B-SLF server sends a message back to the BSF proxy server stating the DNS name or IP address of the server for the participant valid BSF server. This DNS message or the IP address associated with the subscriber identity may be stored by the BSF proxy server.
  • the BSF proxy server forwards the original HTTP request received from the user terminal to the BSF or bootstrapping server specified by the B-SLF server. If the request is for a 2G GBA network and the BSF server requests a TLS tunnel, it will be established.
  • the transmitted message is processed by the BSF or bootstrapping server and a response is transmitted to the BSF proxy server, which forwards this message without changes to the user terminal UE.
  • the user terminal UE processes the received message and sends another http request to the user
  • the BSF proxy server which forwards these to the correct bootstrapping server BSF.
  • the BSF server processes the received message and sends back a response to the BSF proxy server, which stores the temporarily valid second user ID B-TID and the associated validity period together with the IP address of the BSF server.
  • the BSF proxy server then forwards the message unchanged to the user terminal UE, wherein after expiration of the validity period all entries belonging to the temporarily valid second user identifier B-TID are deleted by the BSF proxy server.
  • the DNS server that responds to the DNS requests is configured to translate the DNS request for the standardized BSF name into the IP address of the respective BSF server rather than into the IP address of the BSF server. Address of the BSF proxy server.
  • the network according to the invention it is possible to provide a plurality of BSF servers or bootstrapping servers, without this being noticeable for the user terminal UE and the application server NAF.
  • the network according to the invention is downwardly compatible, since the user terminals UE and the application terminals Server NAF can use the interfaces U a , U b , Z n in the usual way.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

Disclosed is a bootstrapping method for supplying a common temporary application-specific code (Ks_NAF) to a terminal (UE) and an application server (NAF). Said method comprises the following steps: a bootstrapping server (BSF) is selected from among several available bootstrapping servers on the basis of a first user ID received from the terminal (UE); the selected bootstrapping server (BSF) assigns a temporary second user ID (B-TID) to said terminal (UE) and forms a temporary basic code (Ks) once the terminal (UE) has been successfully authenticated; and the selected bootstrapping server (BSF) derives the temporary application-specific code (Ks_NAF) from the temporary basic code (Ks) and transmits the same to the application server (NAF) after receiving a request message which originates from the application server (NAF) and has the same temporary second user ID (B-TID).

Description

Beschreibungdescription
Bootstrapping-VerfahrenBootstrapping procedure
Die Erfindung betrifft ein Bootstrapping-Verfahren zum Bereitstellen eines gemeinsamen temporär gültigen anwendungsspezifischen Schlüssels für ein Endgerät und einen Applikationsserver .The invention relates to a bootstrapping method for providing a common temporarily valid application-specific key for a terminal and an application server.
Figur 1 zeigt ein Beispiel für eine Netzwerkarchitektur nach dem Stand der Technik. Ein mobiles Endgerät bzw. ein Benutzerendgerät UE (User Equipment) kann über unterschiedliche Zugangsnetze, die im Mobilfunkbereich jeweils mehrere Basisstationen BS und ein Gateway GW aufweisen, und beispielsweise über besuchte Netze mit einem Heimatnetz des Teilnehmers eine Datenverbindung aufbauen. Die Zugangsnetze können dabei unterschiedliche standardisierte Zugangstechnologien aufweisen. Bei einem Zugangsnetz kann es sich beispielsweise um ein 3GPP-Zugangsnetz handeln. In einer GBA (Generic Bootstrapping Architecture) weist das Heimatnetz des Teilnehmers einenFigure 1 shows an example of a network architecture according to the prior art. A mobile terminal or a user terminal UE (user equipment) can establish a data connection via different access networks, which each have a plurality of base stations BS and a gateway GW in the mobile radio area, and, for example, via visited networks with a home network of the subscriber. The access networks can have different standardized access technologies. An access network may be, for example, a 3GPP access network. In a GBA (Generic Bootstrapping Architecture), the subscriber's home network has one
Bootstrapping-Server BSF (Bootstrapping Server Function) und einen Home-Subscriber-System-Server HSS auf.Bootstrapping Server BSF and a home subscriber system server HSS.
Figur 2 zeigt den Aufbau eines GBA-Netzwerkes nach dem Stand der Technik. Der Bootstrapping-Server BSF ist über eine Ub- Schnittstelle mit einem Benutzerendgerät UE verbunden. Das Benutzerendgerät ist beispielsweise ein mobiles Endgerät wie ein Handy. Der Bootstrapping-Server BSF ist über eine Zn- Schnittstelle mit einem Applikationsserver NAF (Network Ap- plication Function) verbunden, auf dem ein Anwendungsprogramm läuft. Darüber hinaus ist der Bootstrapping-Server BSF über eine Zn-Schnittstelle mit dem Home-Subscriber-System-Server HSS verbunden, in dem ein Langzeitschlüssel bzw. ein langfristig gültiger Schlüssel abgelegt ist. Ferner kann der Bootstrapping-Server BSF über eine Dz-Schnittstelle mit einem Server zur Lokalisierung des zugehörigen Home-Subscriber- System-Servers HSS verbunden sein. Dieser Server zur Lokalisierung eines Home-Subscriber-System-Servers HSS für einen Teilnehmer wird auch als SLF-Server (Subscriber Locator Function) bezeichnet. Bei der GBA-Netzwerkarchitektur wird eine langfristig gültige Sicherheitsbeziehung bzw. ein langfristig gültiger Schlüssel, der dem Benutzerendgerät UE und dem Home- Subscriber-System-Server HSS gemeinsam bekannt ist, dazu benutzt, eine kurzfristig gültigen Sicherheitsbeziehung zwischen dem Benutzerendgerät UE und dem Applikationsserver NAF aufzubauen. Zur Absicherung der Datenverbindung zwischen dem Benutzerendgerät UE und dem Applikationsserver NAF wird dabei ein temporär gültiger Schlüssel aus dem langfristig gültigen Schlüssel abgeleitet. Der Applikationsserver NAF kann sich in dem Heimatnetz des Teilnehmers , in einem besuchten Netzwerk oder an einem sonstigen Ort (3rd party Server) befinden.Figure 2 shows the structure of a GBA network according to the prior art. The bootstrapping server BSF is connected to a user terminal UE via a U b interface. The user terminal is, for example, a mobile terminal such as a cell phone. The bootstrapping server BSF is connected via a Z n interface to an application server NAF (Network Application Function) on which an application program runs. In addition, the bootstrapping server BSF is connected via a Z n interface to the home subscriber system server HSS, in which a long-term key or a long-term valid key is stored. Furthermore, the bootstrapping server BSF can be connected via a D z interface to a server for locating the associated home subscriber system server HSS. This server for localizing a home subscriber system server HSS for a Subscriber is also referred to as the Subscriber Locator Function (SLF) server. In the case of the GBA network architecture, a long-term security relationship or a long-term valid key that is known jointly to the user terminal UE and the home subscriber system server HSS is used to establish a short-term security relationship between the user terminal UE and the application server NAF build. To secure the data connection between the user terminal UE and the application server NAF a temporarily valid key is derived from the long-term valid key. The application server NAF can be located in the subscriber's home network, in a visited network or at another location (3 rd party server).
Der Bootstrapping-Server BSF befindet sich stets im Heimatnetz des Teilnehmers und stellt die einzige Komponente innerhalb der GBA-Netzwerkarchitektur dar, die den Home- Subscriber-System-Server HSS kontaktiert.The bootstrapping server BSF is always located in the subscriber's home network and is the only component within the GBA network architecture that contacts the home subscriber system server HSS.
Sobald der Bootstrapping-Server BSF eine Anforderung des Be- Benutzerendgeräts UE über die Ub-Schnittstelle erhält, lädt er aus dem HSS-Server kryptographische Zwischenschlüssel bzw. abgeleitete Schlüssel über die Zh-Schnittstelle . Diese kryp- tographischen Zwischenschlüssel werden von dem langzeitig gültigen gemeinsamen Schlüssel bzw. dem Langzeitschlüssel, der in dem HSS-Server abgelegt ist und der auch dem Benutzerendgerät UE bekannt ist, abgeleitet. Anschließend leitet der Bootstrapping-Server BSF auf eine Anfrage des Applikationsserver NAF hin, die er über die Zn-Schnittstelle erhält, ei- nen anwendungsspezifischen kryptographischen Schlüssel von dem kryptographischen Zwischenschlüssel bzw. Basisschlüssel ab und überträgt diese abgeleiteten anwendungsspezifischen Schlüssel an den Applikationsserver NAF. Das Benutzerendgerät UE leitet ebenfalls den gleichen Zwischenschlüssel bzw. Ba- sisschlüssel und die gleichen anwendungsspezifischen kurzzeitig gültigen Schlüssel ab wie der Bootstrapping-Server BSF. Dies ist möglich, da dem Benutzerendgerät UE der langfristig gültige Schlüssel ebenfalls bekannt ist. Nach der Übertragung der anwendungsspezifischen und temporär gültigen Schlüssel an den Applikationsserver NAF verfügen sowohl der Applikationsserver als das Benutzerendgerät UE über die gleichen temporär gültigen anwendungsspezifischen Schlüssel (Ks NAF) und können diese zur Absicherung einer Datenverbindung über die Ua-As soon as the bootstrapping server BSF receives a request from the user terminal UE via the U b interface, it loads cryptographic intermediate keys or derived keys from the HSS server via the Z h interface. These cryptographic intermediate keys are derived from the long-term valid common key or the long-term key which is stored in the HSS server and which is also known to the user terminal UE. Subsequently, the bootstrapping server BSF, in response to a request from the application server NAF, which receives it via the Z n interface, derives an application-specific cryptographic key from the cryptographic intermediate key or base key and transmits these derived application-specific keys to the application server NAF. The user terminal UE also derives the same intermediate key or base key and the same application-specific short-term valid key as the bootstrapping server BSF. This is possible because the user terminal UE the long-term valid key is also known. After the transfer the application-specific and temporarily valid keys to the application server NAF both the application server and the user terminal UE have the same temporary valid application-specific key (Ks NAF) and can use this to secure a data connection via the U a -
Schnittstelle zwischen dem Benutzerendgerät UE und dem Applikationsserver NAF verwenden. In einer GBA-Netzwerkarchitektur können mehrere Home-Subscriber-System-Server HSS vorgesehen werden. Allerdings weist jeder Teilnehmer einen zugehörigen Home-Subscriber-System-Server HSS auf. Dabei ist es möglich, einem Teilnehmer durch Transfer seiner Subskriptionsdaten einen anderen HSS-Server zuzuweisen, ohne das Benutzerendgerät UE neu konfigurieren zu müssen. Damit ein Teilnehmer bzw. ein Benutzerendgerät UE den richtigen Home-Subscriber-System- Server HSS auffinden kann, kontaktiert der Bootstrapping-Use interface between the user terminal UE and the application server NAF. In a GBA network architecture, several home subscriber system servers HSS can be provided. However, each subscriber has an associated home subscriber system server HSS. In this case, it is possible to assign a subscriber another HSS server by transferring his subscription data without having to reconfigure the user terminal UE. In order for a subscriber or a user terminal UE to be able to find the correct home subscriber system server HSS, the bootstrapping
Server BSF über die Dz-Schnittstelle den SLF (Subscriber Lo- cator Function) -Server unter Verwendung einer langfristig gültigen Teilnehmeridentität. Für den Fall, dass das GBA- Netzwerk nur über einen einzigen Home-Subscriber-System- Server HSS verfügt, kann auf die Anfrage beim SLF-Server verzichtet werden.Server BSF via the D z interface the SLF (Subscriber Longer Function) server using a long-term valid subscriber identity. In the event that the GBA network has only one home subscriber system server HSS, the request to the SLF server can be dispensed with.
Bei einem herkömmlichen GBA-Netzwerk kontaktiert das Benutzerendgerät UE und der Applikationsserver NAF den Bootstrap- ping-Server BSF, indem sie einen DNS-Namen des Bootstrapping- Servers BSF auf der Grundlage einer Teilnehmeridentität oder einer temporär gültigen Nutzerkennung B-TID ableiten, die auf den Netzwerkbetreiber hinweisen.In a conventional GBA network, the user terminal UE and the application server NAF contact the bootstrapping server BSF by deriving a DNS name of the bootstrapping server BSF on the basis of a subscriber identity or a temporarily valid user identifier B-TID to inform the network operator.
Herkömmliche GBA-Netzwerke verfügen über nur einen Bootstrap- ping-Server BSF, wobei dieser Bootstrapping-Server BSF bzw. die Bootstrapping-Server-Funktion Teil des Heimatnetzes ist. Nimmt die Anzahl von Teilnehmern für einen Netzwerkprovider bzw. Netzwerkanbieter zu, kann es vorkommen, dass die Verar- beitungskapazität des Bootstrapping-Servers BSF nicht mehr ausreicht. Nun ist es aber wünschenswert für den Netzbetreiber, den bisherigen Bootstrapping-Server BSF weiter betreiben und ihn nur durch einen zusätzlichen Bootstrapping-Server BSF, möglicher Weise von einem Hersteller, ergänzen zu können. Dies ist bei einem herkömmlichen GBA-Netzwerk nicht möglich. Eine ähnliche Situation ergibt sich, wenn, wie in einem herkömmlichen GBA-Netzwerk möglich, der Bootstrapping-Server BSF mit dem HSS-Server integriert ist und der Speicherplatz in dem HSS-Server nicht mehr ausreichend ist. Auch in diesem Fall ist es nicht möglich, das in Figur 2 dargestellte herkömmliche GBA-Netz nach dem Stand der Technik durch Vorsehen weiterer mit einem Bootstrapping-Server integrierter HSS- bzw. Home-Subscriber-System-Server zu erweitern. Eine Erweiterung des herkömmlichen GBA-Netzwerks ist somit nur mit einem sehr großen technischen Aufwand möglich.Conventional GBA networks have only one bootstrapping server BSF, with this bootstrapping server BSF or the bootstrapping server function being part of the home network. If the number of subscribers for a network provider or network provider increases, it may happen that the processing capacity of the bootstrapping server BSF is no longer sufficient. Now it is desirable for the network operator to continue to operate the previous bootstrapping server BSF and only by an additional bootstrapping server BSF, possibly from a manufacturer to be able to supplement. This is not possible with a traditional GBA network. A similar situation arises when, as is possible in a conventional GBA network, the bootstrapping server BSF is integrated with the HSS server and the storage space in the HSS server is no longer sufficient. Also in this case, it is not possible to extend the conventional prior art GBA network illustrated in Figure 2 by providing additional HSS or Home Subscriber System servers integrated with a bootstrapping server. An extension of the conventional GBA network is thus possible only with a very large technical effort.
Es ist daher die Aufgabe der vorliegenden Erfindung, ein Bootstrapping-Verfahren und einen Bootstrapping-Proxy-Server zu schaffen, die es erlauben, ein GBA-Netzwerk flexibel durch Vorsehen zusätzlicher Bootstrapping-Server BSF zu erweitern.It is therefore the object of the present invention to provide a bootstrapping method and a bootstrapping proxy server which allow to flexibly extend a GBA network by providing additional bootstrapping servers BSF.
Diese Aufgabe wird erfindungsgemäß durch ein Bootstrapping- Verfahren mit den im Patentanspruch 1 angegebenen Merkmalen gelöst .This object is achieved by a bootstrapping method with the features specified in claim 1.
Die Erfindung schafft ein Bootstrapping-Verfahren zum Bereitstellen eines gemeinsamen temporär gültigen anwendungsspezi- fischen Schlüssels (Ks_NAF) für ein Endgerät (UE) und einen Applikationsserver (NAF) mit den folgenden Schritten:The invention provides a bootstrapping method for providing a common temporarily valid application-specific key (Ks_NAF) for a terminal (UE) and an application server (NAF) with the following steps:
- Auswählen eines Bootstrapping-Servers (BSF) aus mehreren vorhandenen Bootstrapping-Servern anhand einer von dem Endge- rät (UE) empfangenen ersten Nutzerkennung;- selecting a bootstrapping server (BSF) from a plurality of existing bootstrapping servers based on a first user identifier received by the terminal (UE);
- wobei nach erfolgreicher Authentisierung des Endgerätes (UE) durch den ausgewählten Bootstrapping-Server (BSF) eine temporär gültige zweite Nutzerkennung (B-TID) diesem Endgerät (UE) zugewiesen wird und ein temporär gültiger Basisschlüssel (Ks) durch den ausgewählten Bootstrapping-Server (BSF) gebildet wird; und wobei nach Empfang einer von dem Applikationsserver (NAF) stammenden Anforderungsnachricht, welche die gleiche temporär gültige zweite Nutzerkennung (B-TID) aufweist, durch den ausgewählten Bootstrapping-Server (BSF) dieser den temporär gül- tigen anwendungsspezifischen Schlüssel (Ks_NAF) aus dem temporär gültigen Basisschlüssel (Ks) ableitet und an den Applikationsserver (NAF) überträgt.- After successful authentication of the terminal (UE) by the selected bootstrapping server (BSF) a temporarily valid second user identifier (B-TID) is assigned to this terminal (UE) and a temporary valid base key (Ks) by the selected bootstrapping server (BSF) is formed; and wherein upon receipt of a request message originating from the application server (NAF) and having the same temporarily valid second user identifier (B-TID), the selected bootstrapping server (BSF) selects the temporary valid application-specific key (Ks_NAF) from the derived temporary base key (Ks) and transmits to the application server (NAF).
Bei einer bevorzugten Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens wird die erste Nutzerkennung durch eine permanent gültige Nutzerkennung gebildet, wenn diese vorteilhaft ist.In a preferred embodiment of the bootstrapping method according to the invention, the first user identifier is formed by a permanently valid user identifier, if this is advantageous.
Bei dieser ersten Nutzerkennung handelt es sich vorzugsweise um eine IMPI (IP-Multimedia-Private-Identity) .This first user identifier is preferably an IMPI (IP Multimedia Private Identity).
Bei einer Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens erfolgt die Auswahl des Bootstrapping-Servers BSF durch einen B-SLF (Subscriber Locator Function) -Server .In one embodiment of the bootstrapping method according to the invention, the bootstrapping server BSF is selected by a B-SLF (Subscriber Locator Function) server.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens werden die Nachrichten zwischen dem Endgerät und dem ausgewählten Bootstrapping-Server über einen BSF- Proxy-Server übertragen.In one embodiment of the bootstrapping method according to the invention, the messages are transmitted between the terminal and the selected bootstrapping server via a BSF proxy server.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens werden auch die Nachrichten zwischen dem Applikationsserver NAF und dem ausgewählten Bootstrapping- Server BSF über einen BSF-Proxy-Server übertragen.In one embodiment of the bootstrapping method according to the invention, the messages between the application server NAF and the selected bootstrapping server BSF are also transmitted via a BSF proxy server.
Bei einer bevorzugten Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens überträgt der B-SLF-Server an den BSF-Proxy-Server eine Adresse des ausgewählten Bootstrapping- Servers .In a preferred embodiment of the bootstrapping method according to the invention, the B-SLF server transmits to the BSF proxy server an address of the selected bootstrapping server.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens speichert der BSF-Proxy-Server die Adresse des ausgewählten Bootstrapping-Servers zwischen. Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens authentisiert der ausgewählte Bootstrapping- Server BSF das Endgerät UE mit Hilfe eines Home-Subscriber- System-Server HSS.In one embodiment of the bootstrapping method according to the invention, the BSF proxy server temporarily stores the address of the selected bootstrapping server. In one embodiment of the inventive bootstrapping method, the selected bootstrapping server BSF authenticates the terminal UE with the aid of a home-subscriber-system server HSS.
Dabei überträgt der Home-Subscriber-System-Server HSS an den ausgewählten Bootstrapping-Server BSF einen Authentisierungs- vektor AV.In this case, the home subscriber system server HSS transmits an authentication vector AV to the selected bootstrapping server BSF.
Dieser übertragene Authentisierungsvektor AV weist vorzugsweise eine Authentisierungschallenge, einen Authentisierungs- antwort, einen Chiffrierschlüssel (Cipher Key) und einen Integritätsschlüssel (Integrity Key) auf.This transmitted authentication vector AV preferably has an authentication challenge, an authentication response, a cipher key and an integrity key.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens bildet der ausgewählte Bootstrapping-Server BSF den temporär gültigen Basisschlüssel aus dem Chiffrierschlüssel CK und dem Integritätsschlüssel IK.In one embodiment of the inventive bootstrapping method, the selected bootstrapping server BSF forms the temporarily valid base key from the encryption key CK and the integrity key IK.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens generiert der ausgewählte Bootstrapping- Server die temporär gültige zweite Nutzerkennung B-TID.In one embodiment of the inventive bootstrapping method, the selected bootstrapping server generates the temporarily valid second user identifier B-TID.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens wird die temporär gültige zweite Nutzerkennung B-TID zusammen mit einer Gültigkeitsdauer des gebildeten Basisschlüssels Ks von dem ausgewählten Bootstrapping-Server BSF an den Bootstrapping-Proxy-Server in einer Nachricht ü- bertragen, welcher die temporär gültige zweite Nutzerkennung B-TID und die Gültigkeitsdauer des gebildeten Basisschlüssels Ks zwischenspeichert und anschließend die Nachricht an das Endgerät UE weiterleitet.In one embodiment of the bootstrapping method according to the invention, the temporarily valid second user identifier B-TID, together with a validity period of the formed base key Ks, is transmitted from the selected bootstrapping server BSF to the bootstrapping proxy server in a message containing the temporarily valid second user identifier B-TID and the validity period of the formed base key Ks caches and then forwards the message to the terminal UE.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens überträgt das Endgerät UE bei Anforderung eines Dienstes von dem Applikationsserver NAF die von dem Bootstrapping-Proxy-Server an das Endgerät UE weitergeleitete temporär gültige zweite Nutzerkennung B-TID an den Applikationsserver NAF in einer Dienstanforderungsnachricht.In one embodiment of the bootstrapping method according to the invention, when a service is requested from the application server NAF, the terminal UE transmits the data forwarded by the bootstrapping proxy server to the terminal UE temporarily valid second user identifier B-TID to the application server NAF in a service request message.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens sendet der Applikationsserver NAF eineIn one embodiment of the bootstrapping method according to the invention, the application server NAF sends a
Dienstanforderungsnachricht mit der temporär gültigen zweiten Nutzerkennung B-TID an den Bootstrapping-Proxy-Server, welcher die Dienstanforderungsnachricht an den ausgewählten Bootstrapping-Server BSF weiterleitet.Service request message with the temporarily valid second user identifier B-TID to the bootstrapping proxy server, which forwards the service request message to the selected bootstrapping server BSF.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens bildet das Endgerät UE den temporär gültigen Basisschlüssel.In one embodiment of the bootstrapping method according to the invention, the terminal UE forms the temporary valid base key.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens leitet das Endgerät UE aus dem temporär gültigen Basisschlüssel Ks den temporär gültigen anwendungsspezifischen Schlüssel Ks NAF ab.In one embodiment of the bootstrapping method according to the invention, the terminal UE derives the temporarily valid application-specific key Ks NAF from the temporarily valid base key Ks.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens generiert der ausgewählte Bootstrapping- Server BSF die temporär gültige zweite Nutzerkennung B-TID und codiert darin ein, von welchem Bootstrapping-Server BSF die generierte zweite Nutzerkennung B-TID stammt.In one embodiment of the bootstrapping method according to the invention, the selected bootstrapping server BSF generates the temporarily valid second user identifier B-TID and encodes therein from which bootstrapping server BSF the generated second user identifier B-TID originates.
Die Erfindung schafft ferner einen Bootstrapping-Proxy-Server für ein GBA (Generic Bootstrapping Architecture) -Netzwerk, welcher Nachrichten zwischen einem Endgerät UE und einem anhand einer permanenten Nutzerkennung ausgewählten Bootstrap- ping-Server BSF weiterleitet.The invention further provides a bootstrapping proxy server for a generic bootstrapping architecture (GBA) network, which forwards messages between a terminal UE and a bootstrapping server BSF selected on the basis of a permanent user identifier.
Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Proxy-Servers speichert der Bootstrapping-Proxy-Server eine von einem Bootstrapping-Server BSF erhaltene temporär gültige Nutzerkennung B-TID zugeordnet zu dem jeweiligen Bootstrapping-Server BSF ab. Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Proxy-Servers leitet der Bootstrapping-Proxy-Server Nachrichten zwischen einem Applikationsserver NAF und dem ausgewählten Bootstrapping-Server BSF weiter.In one embodiment of the bootstrapping proxy server according to the invention, the bootstrapping proxy server stores a temporarily valid user identifier B-TID, which is assigned by a bootstrapping server BSF and assigned to the respective bootstrapping server BSF. In one embodiment of the bootstrapping proxy server according to the invention, the bootstrapping proxy server forwards messages between an application server NAF and the selected bootstrapping server BSF.
Im Weiteren werden bevorzugte Ausführungsformen des erfindungsgemäßen Bootstrapping-Verfahrens und des dabei eingesetzten Bootstrapping-Proxy-Servers unter Bezugnahme auf die beigefügten Figuren zur Erläuterung erfindungswesentlicher Merkmale beschrieben.In the following, preferred embodiments of the bootstrapping method according to the invention and of the bootstrapping proxy server used in this case will be described with reference to the attached figures to explain features essential to the invention.
Es zeigen:Show it:
Figur 1: ein Netzwerk nach dem Stand der Technik;Figure 1: a network according to the prior art;
Figur 2: die Netzwerkarchitektur eines GBA-Netzwerks nach dem Stand der Technik;Figure 2: the network architecture of a GBA network according to the prior art;
Figur 3: ein Signaldiagramm zur Erläuterung einer möglichen Ausführungsform des erfindungsgemäßen Bootstrapping-FIG. 3 is a signal diagram for explaining a possible embodiment of the bootstrapping system according to the invention;
Verfahrens;process;
Figur 4: eine erste Ausführungsform eines erfindungsgemäß erweiterten GBA-Netzwerks mit einem BSF-Proxy-Server gemäß der Erfindung;FIG. 4 shows a first embodiment of a GBA network extended according to the invention with a BSF proxy server according to the invention;
Figur 5: eine GBA-Netzwerkarchitektur für die in Figur 4 dargestellte Ausführungsform;Figure 5: a GBA network architecture for the embodiment shown in Figure 4;
Figur 6: eine weitere Ausführungsform eines erfindungsgemäß erweiterten Netzwerks mit einem BSF-Proxy-Server;FIG. 6 shows a further embodiment of an extended network according to the invention with a BSF proxy server;
Figur 7: eine GBA-Netzwerkarchitektur für die in Figur 6 dargestellte Ausführungsform;Figure 7: a GBA network architecture for the embodiment shown in Figure 6;
Figur 8: eine weitere Ausführungsform eines erfindungsgemäß erweiterten Netzwerks mit einem BSF-Proxy-Server. Das erfindungsgemäße Bootstrapping-Verfahren dient zum Bereitstellen eines gemeinsamen temporär gültigen anwendungsspezifischen Schlüssels Ks_NAF für ein Endgerät UE und einen Applikationsserver NAF. Bei dem in Figur 3 dargestellten Sig- naldiagramm sind beispielhaft zwei unterschiedlicheFIG. 8 shows a further embodiment of an extended network according to the invention with a BSF proxy server. The bootstrapping method according to the invention serves to provide a common, temporarily valid, application-specific key Ks_NAF for a terminal UE and an application server NAF. In the signal diagram shown in FIG. 3, two different examples are used
Bootstrapping-Server BSF-A und BSF-B vorgesehen. Ein BSF- Proxy-Server ist bei dem erfindungsgemäßen Bootstrapping- Verfahren zur Übertragung von Nachrichten zwischen dem Endgerät UE und einem ausgewählten Bootstrapping-Server BSF vorge- sehen. Nachrichten zwischen dem Applikationsserver NAF und dem ausgewählten Bootstrapping-Server werden dabei ebenfalls über den BSF-Proxy-Server übertragen. Die Auswahl des Bootstrapping-Servers BSF erfolgt durch einen Subscriber- Locator-Function-Server B-SLF. Bei dem in Figur 3 dargestell- ten Beispiel meldet der B-SLF-Server zur Lokalisierung des Bootstrapping-Servers BSF den ersten Bootstrapping-Server BSF-A.Bootstrapping server BSF-A and BSF-B provided. A BSF proxy server is provided in the bootstrapping method according to the invention for the transmission of messages between the terminal UE and a selected bootstrapping server BSF. Messages between the application server NAF and the selected bootstrapping server are also transmitted via the BSF proxy server. The selection of the bootstrapping server BSF is performed by a subscriber locator function server B-SLF. In the example shown in FIG. 3, the B-SLF server reports the first bootstrapping server BSF-A in order to localize the bootstrapping server BSF.
Darüber hinaus weist das Netzwerk bei dem in Figur 3 darge- stellten Beispiel zwei Home-Subscriber-System-Server HSS-X und HSS-Y auf, die mittels eines weiteren Subscriber- Location-Function-Server H-SLF lokalisiert werden. Die H-SLF- Funktion übt die Funktion eines herkömmlichen SLF-Server aus.In addition, in the example illustrated in FIG. 3, the network has two home-subscriber-system servers HSS-X and HSS-Y, which are located by means of another subscriber location-function server H-SLF. The H-SLF function performs the function of a conventional SLF server.
Bei dem erfindungsgemäßen Verfahren wird zunächst einIn the method according to the invention is first a
Bootstrapping-Server, beispielsweise der Bootstrapping-Server BSF-A, aus einer Gruppe von vorhandenen Bootstrapping-Server, beispielsweise eine aus den Bootstrapping-Servern BSF-A, BSF- B bestehende Gruppe ausgewählt, wobei die Auswahl des Bootstrapping-Server BSF vorzugsweise durch einen entsprechenden SLF-Server B-SLF erfolgt. Die Auswahl des Bootstrapping-Servers BSF erfolgt anhand einer von dem Endgerät UE empfangenen ersten Nutzerkennung. Diese erste Nutzerkennung ist eine permanent gültige bzw. eine langfristige Nutzerken- nung. Bei dieser ersten langfristigen Nutzerkennung kann es sich beispielsweise um eine IMPI handeln. Nach erfolgreicher Authentisierung des Endgeräts UE wird durch den ausgewählten Bootstrapping-Server BSF eine temporär gültige zweite Nutzerkennung B-TID diesem Endgerät UE zugewiesen und ein temporär gültiger Basisschlüssel durch den ausgewählten Bootstrapping-Server BSF gebildet.Bootstrapping server, for example, the bootstrapping server BSF-A, from a group of existing bootstrapping server, for example, one consisting of the bootstrap servers BSF-A, BSF-B selected group, the selection of the bootstrapping server BSF preferably by a corresponding SLF server B-SLF takes place. The selection of the bootstrapping server BSF takes place on the basis of a first user identifier received by the terminal UE. This first user ID is a permanently valid or long-term user ID. This first long-term user identifier may be, for example, an IMPI. After successful authentication of the terminal UE, a temporarily valid second user identifier B-TID is assigned to this terminal UE by the selected bootstrapping server BSF and a temporarily valid base key is formed by the selected bootstrapping server BSF.
Nach Empfang einer von dem Applikationsserver NAF erhaltenen Anforderungsnachricht, welche die gleiche temporär gültige zweite Nutzerkennung B-TID aufweist, durch den ausgewählten Bootstrapping-Server BSF leitet dieser Bootstrapping-Server BSF den temporär gültigen anwendungsspezifischen Schlüssel Ks NAF aus dem temporär gültigen Basisschlüssel Ks ab und ü- berträgt diesen temporär gültigen anwendungsspezifischen Schlüssel Ks NAF an den Applikationsserver NAF.After receiving a request message received from the application server NAF, which has the same temporarily valid second user identifier B-TID, by the selected bootstrapping server BSF, this bootstrapping server BSF derives the temporarily valid application-specific key Ks NAF from the temporarily valid base key Ks and ü transmits this temporary valid application-specific key Ks NAF to the application server NAF.
Im Folgenden wird der genaue Ablauf einer möglichen Ausführungsform des erfindungsgemäßen Bootstrapping-Verfahrens unter Bezugnahme auf die Figur 3 beschrieben.In the following, the exact sequence of a possible embodiment of the bootstrapping method according to the invention will be described with reference to FIG.
In einem ersten Schritt Sl überträgt das Benutzerendgerät UE in einer Nachricht eine langfristig gültige Nutzerkennung. Diese erste Nutzerkennung ist eine permanent bzw. langfristig gültige Nutzerkennung, beispielsweise eine IMPI. Das Benutzerendgerät UE initiiert somit den Bootstrapping-Vorgang, wo- bei es beispielsweise einen DNS-Namen des BSF-Servers bestimmt. Ein DNS-Server liefert die IP-Adresse des BSF-Proxy- Servers, und das Benutzerendgeräts UE sendet daraufhin beispielsweise eine http-Anforderung über die Ub-Schnittstelle an den BSF-Proxy-Server . Für ein 2G-GBA-Netzwerk baut das Be- nutzerendgerät UE zunächst einen TLS-Tunnel zu dem BSF-Proxy- Server auf.In a first step S1, the user terminal UE transmits a long-term valid user identifier in a message. This first user identifier is a permanent or long-term valid user identifier, for example an IMPI. The user terminal UE thus initiates the bootstrapping process, for example by determining a DNS name of the BSF server. A DNS server provides the IP address of the BSF proxy server, and the user terminal UE then sends, for example, an http request via the U b interface to the BSF proxy server. For a 2G GBA network, the user terminal UE first sets up a TLS tunnel to the BSF proxy server.
Sobald der BSF-Proxy-Server die Langzeit-Nutzerkennung bzw. die permanent gültige erste Nutzerkennung von dem Benutzer- endgerät im Schritt Sl erhalten hat, überträgt der BSF-Proxy- Server im Schritt S2 eine Nachricht, welche diese permanent gültige erste Nutzerkennung enthält, an den Subscriber- Location-Function-Server B-SLF über das Dz *-Interface . Bei einer Ausführungsform leitet der BSF-Proxy-Server lediglich die empfangene http-Anforderungsnachricht an den B-SLF-Server weiter. Das Dz-Interface, wie es im 3GPP-Standard spezifiziert ist, wird diesbezüglich erweitert.As soon as the BSF proxy server has received the long-term user ID or the permanently valid first user ID from the user terminal in step S1, the BSF proxy server in step S2 transmits a message containing this permanently valid first user ID, to the Subscriber Location Function server B-SLF via the D z * interface. at In one embodiment, the BSF proxy server merely forwards the received http request message to the B-SLF server. The D z interface, as specified in the 3GPP standard, will be extended in this regard.
Der Subscriber-Location-Function-Server B-SLF sendet im Schritt S3 eine Nachricht zurück an den BSF-Proxy-Server, welche den Namen des ausgewählten Bootstrapping-Servers BSF bzw. eine Adresse des ausgewählten Bootstrapping-Servers BSF enthält. Bei dem in Figur 3 dargestellten Beispiel wird die Adresse des Bootstrapping-Servers BSF-A an den BSF-Proxy- Server übertragen. Um den korrekten Namen des BSF-Servers bzw. die korrekte Adresse des BSF-Servers zu bestimmen, geht der Subscriber-Location-Function-Server B-SLF wie folgt vor. Der B-SLF-Server bestimmt zunächst die zu dem Teilnehmer gehörigen Subscriber-Server HSS. Anschließend bestimmt der B- SLF-Server anhand einer abgelegten Tabelle den zu dem ermittelten HSS-Server zugehörigen eingetragenen BSF-Server und sendet eine entsprechende Nachricht an den BSF-Proxy-Server, etwa unter Verwendung einer http-Redirect-Funktion .The subscriber location function server B-SLF sends in step S3 a message back to the BSF proxy server, which contains the name of the selected bootstrapping server BSF or an address of the selected bootstrapping server BSF. In the example shown in FIG. 3, the address of the bootstrapping server BSF-A is transmitted to the BSF proxy server. To determine the correct name of the BSF server or the correct address of the BSF server, the Subscriber Location Function server B-SLF proceeds as follows. The B-SLF server first determines the subscribers HSS belonging to the subscriber. The B-SLF server then uses a stored table to determine the registered BSF server associated with the determined HSS server and sends a corresponding message to the BSF proxy server, for example using an http redirect function.
Bei einer möglichen Ausführungsform speichert der BSF-Proxy- Server den erhaltenen BSF-Namen bzw. die Adresse des ausgewählten BSF-Servers ab, wobei der BSF-Name bzw. die BSF- Adresse zugeordnet zu der empfangenen langfristig gültigen ersten Nutzerkennung des Teilnehmers abgespeichert wird. Das Abspeichern des BSF-Namens ist nicht zwingend notwendig, vermeidet jedoch eine wiederholte Übertragung von Anforderungen seitens des BSF-Proxy-Servers über die Dz *-Schnittstelle . Der BSF-Proxy-Server leitet die von dem Endgerät UE erhaltene Anforderung für den gewünschten Dienst an den ausgewählten BSF- Server im Schritt S4 weiter. Bei dem in Figur 3 dargestellten Beispiel wird die Anforderung im Schritt S4 von dem BSF- Proxy-Server an den BSF-Server BSF-A weitergeleitet.In one possible embodiment, the BSF proxy server stores the received BSF name or the address of the selected BSF server, wherein the BSF name or the BSF address assigned to the received long-term valid first user ID of the subscriber is stored , Storing the BSF name is not mandatory, but avoids repeated transmission of requests from the BSF proxy server via the D z * interface. The BSF proxy server forwards the request for the desired service received from the UE to the selected BSF server in step S4. In the example shown in FIG. 3, the request is forwarded by the BSF proxy server to the BSF server BSF-A in step S4.
Der ausgewählte BSF-Server BSF-A verarbeitet die empfangene Nachricht entsprechend dem 3GPP-Standard, wobei der BSF- Server seinen eigenen DNS-Namen durch den DNS-Namen des BSF- Proxy-Servers ersetzt.The selected BSF server BSF-A processes the received message according to the 3GPP standard, whereby the BSF Server replaces its own DNS name with the DNS name of the BSF proxy server.
In einem weiteren Schritt S5 überträgt der ausgewählte BSF- Server eine HSS-Anforderungsnachricht an einen Subscriber- Location-Function-Server H-SLF. Der H-SLF-Server liefert dem anfragenden BSF-Server BSF-A im Schritt S6 die Adresse des Home-Subscriber-System-Servers HSS. In dem dargestellten Beispiel ist dies die Adresse des Home-Subscriber-Servers HSS-Y. Auf eine im Schritt S7 übertragene Anforderung hin sendet der HSS-Y einen Authentisierungsvektor AV an den anfragenden Bootstrapping-Server BSF-A im Schritt S8. Der an den ausgewählten Bootstrapping-Server BSF-A übertragene Authentisierungsvektor AV weist bei einer Ausführungsform eine Authenti- sierungschallenge, eine Authentisierungsantwort bzw. -In a further step S5, the selected BSF server transmits an HSS request message to a subscriber location function server H-SLF. The H-SLF server supplies the requesting BSF server BSF-A with the address of the home subscriber system server HSS in step S6. In the illustrated example, this is the address of the home subscriber server HSS-Y. Following a request transmitted in step S7, the HSS-Y sends an authentication vector AV to the requesting bootstrapping server BSF-A in step S8. In one embodiment, the authentication vector AV transmitted to the selected bootstrapping server BSF-A has an authentication scheme, an authentication response or an authentication response.
Response, einen Chiffrierschlüssel CK (Cipher Key) und einen Integritätsschlüssel IK (Integrity Key) auf.Response, an encryption key CK (Cipher Key) and an integrity key IK (Integrity Key).
Die in dem Authentisierungsvektor AV empfangene Authentisie- rungschallenge wird im Schritt S9 von dem Bootstrapping- Server BSF-A an den BSF-Proxy-Server übertragen und von dort im Schritt SlO an das Benutzerendgerät UE. Das Benutzerendgerät UE berechnet eine Response bzw. eine Authentisierungsantwort und überträgt diese im Schritt Sil an den BSF-Proxy- Server, der diese Nachricht im Schritt S12 an den BSF-Server BSF-A weiterleitet. Der BSF- bzw. Bootstrapping-Server BSF-A überprüft, ob die von dem Benutzerendgerät UE empfangene Authentisierungsantwort korrekt ist. Anschließend generiert der ausgewählte Bootstrapping-Server eine temporär gültige zweite Nutzerkennung B-TID und überträgt diese im Schritt S13 an den BSF-Proxy-Server. Darüber hinaus bildet der ausgewählte Bootstrapping-Server BSF-A einen temporär gültigen Basisschlüssel BSF aus dem Chiffrierschlüssel CK und aus dem Integritätsschlüssel IK des Authentisierungsvektors AV, den er im Schritt S8 von dem Home-Subscriber-System-Server HSS-Y erhalten hat. Der Bootstrapping-Proxy-Server BSF-Proxy erhält im Schritt S13 die temporär gültige zweite Nutzerkennung B-TID und die Gültigkeitsdauer (Key Lifetime) des gebildeten Basisschlüssels Ks von dem ausgewählten Bootstrapping-Server BSF-A und leitet die temporär gültige zweite Nutzerkennung B-TID zusammen mit der Gültigkeitsdauer an das Benutzerendgerät UE im Schritt S14 weiter. Bei einer möglichen Ausführungsform speichert der Bootstrapping-Proxy-Server die temporär gültige zweite Nutzerkennung B-TID und die Gültigkeitsdauer des ge- bildeten Basisschlüssels Ks zwischen, bevor er diese imThe authentication noise received in the authentication vector AV is transmitted from the bootstrapping server BSF-A to the BSF proxy server in step S9, and from there to the user terminal UE in step S10. The user terminal UE calculates a response or an authentication response and transmits it in step Sil to the BSF proxy server, which forwards this message to the BSF server BSF-A in step S12. The BSF / Bootstrapping server BSF-A checks whether the authentication response received from the user terminal UE is correct. Subsequently, the selected bootstrapping server generates a temporarily valid second user identifier B-TID and transmits it to the BSF proxy server in step S13. In addition, the selected bootstrapping server BSF-A forms a temporary valid base key BSF from the encryption key CK and from the integrity key IK of the authentication vector AV, which it has received in step S8 from the home-subscriber system server HSS-Y. The bootstrapping proxy server BSF proxy receives in step S13 the temporarily valid second user identifier B-TID and the validity period (key lifetime) of the base key Ks formed by the selected bootstrapping server BSF-A and forwards the temporarily valid second user identifier B-TID. TID together with the validity period to the user terminal UE in step S14 on. In one possible embodiment, the bootstrapping proxy server temporarily stores the temporarily valid second user identifier B-TID and the validity period of the basic key Ks formed before it is used in the
Schritt S14 weiterleitet. Dabei speichert der Bootstrapping- Proxy-Server vorzugsweise auch die BSF-Namen für die Gültigkeitsdauer der Nutzerkennung B-TID und des Basisschlüssels K zwischen .Forward step S14. In this case, the bootstrapping proxy server preferably also stores the BSF names for the validity period of the user identifier B-TID and of the base key K.
Möchte das Benutzerendgerät UE eine Anwendung bzw. einen Dienst nutzen, sendet es eine Dienstanforderungsnachricht im Schritt S15 an den Applikationsserver NAF. Der Applikationsserver überträgt eine Anforderung für einen temporär gültigen anwendungsspezifischen Schlüssel Ks NAF anschließend imIf the user terminal UE wishes to use an application or service, it sends a service request message to the application server NAF in step S15. The application server then transmits a request for a temporary valid application-specific key Ks NAF in
Schritt S16 an den BSF-Proxy-Server, der diese Anforderung im Schritt S17 an den ausgewählten Bootstrapping-Server BSF-A weiterleitet. Der Bootstrapping-Server BSF-A leitet den temporär gültigen anwendungsspezifischen Schlüssel Ks NAF aus dem temporär gültigen Basisschlüssel Ks ab und überträgt diesen temporär gültigen anwendungsspezifischen Schlüssel Ks NAF im Schritt S18 an den BSF-Proxy-Server, der diesen zur Verfügung gestellten temporär gültigen anwendungsspezifischen Schlüssel Ks_NAF im Schritt S19 an den Applikationsserver NAF weiterleitet. Nach der gegenseitigen Authentisierung imStep S16 to the BSF proxy server, which forwards this request to the selected bootstrapping server BSF-A in step S17. The bootstrapping server BSF-A derives the temporarily valid application-specific key Ks NAF from the temporarily valid base key Ks and transmits this temporary valid application-specific key Ks NAF in step S18 to the BSF proxy server, which provides this temporary valid application-specific Key Ks_NAF in step S19 to the application server NAF forwards. After the mutual authentication in the
Schritt S20 erfolgt im Schritt S21 ein kryptographisch gesicherter Datenaustausch zwischen dem Benutzerendgerät UE und dem Applikationsserver NAF über die Schnittstelle Ua unter Verwendung des temporär gültigen anwendungsspezifischen Schlüssels Ks_NAF, der sowohl dem Benutzerendgerät UE als auch dem Applikationsserver NAF bekannt ist. Der Applikationsserver NAF erhält den temporär gültigen anwendungsspezifischen Schlüssel Ks NAF von dem ausgewählten Bootstrapping- Server BSF-A. Das Benutzerendgerät UE leitet den temporär gültigen anwendungsspezifischen Schlüssel Ks NAF aus dem temporär gültigen Basisschlüssel Ks selbst ab.Step S20 in step S21 a cryptographically secured data exchange between the user terminal UE and the application server NAF via the interface U a using the temporary valid application-specific key Ks_NAF, which is known to both the user terminal UE and the application server NAF. The application server NAF receives the temporarily valid application-specific key Ks NAF from the selected bootstrapping server. Server BSF-A. The user terminal UE derives the temporary valid application-specific key Ks NAF from the temporarily valid base key Ks itself.
Figur 4 zeigt eine mögliche Ausführungsform eines erfindungsgemäß erweiterten GBA-Netzwerks, das einen BSF-Proxy-Server enthält. Bei der in Figur 4 dargestellten Ausführungsform sind mehrere Bootstrapping-Server BSF vorgesehen, die jeweils einen zugehörigen Home-Subscriber-System-Server HSS aufwei- sen. Beispielsweise ist die Bootstrapping-Server-Function BSF in dem HSS-Server integriert.FIG. 4 shows a possible embodiment of a GBA network extended according to the invention, which contains a BSF proxy server. In the embodiment illustrated in FIG. 4, a plurality of bootstrapping servers BSF are provided, each of which has an associated home subscriber system server HSS. For example, the bootstrapping server function BSF is integrated in the HSS server.
Figur 5 zeigt eine GBA-Netzwerkarchitektur für die in Figur 4 dargestellte Ausführungsform.FIG. 5 shows a GBA network architecture for the embodiment shown in FIG.
Figur 6 zeigt eine weitere Ausführungsform eines erfindungsgemäß erweiterten GBA-Netzwerks, wobei in dieser Ausführungsform ebenfalls mehrere BSF-Server vorgesehen sind, die mit einem gemeinsamen BSF-Proxy-Server kommunizieren. Bei der in Figur 6 dargestellten Ausführungsform kann jeder BSF- bzw. Bootstrapping-Server mit unterschiedlichen Home-Subscriber- Servern HSS Daten austauschen. Jeder BSF-Server kann mit mehreren HSS-Servern verbunden sein und jeder HSS-Server kann mit verschiedenen BSF-Servern verbunden sein. Da jeder BSF- Server bei der in Figur 6 dargestellten Ausführungsform mit unterschiedlichen HSS-Servern Daten austauschen kann, benötigt er eine Subscriber-Location-Function H-SLF zum Auffinden des zugehörigen HSS-Servers.FIG. 6 shows a further embodiment of a GBA network extended according to the invention, wherein in this embodiment also several BSF servers are provided which communicate with a common BSF proxy server. In the embodiment shown in FIG. 6, each BSF or bootstrapping server can exchange HSS data with different home-subscriber servers. Each BSF server may be connected to multiple HSS servers and each HSS server may be connected to different BSF servers. Since each BSF server can exchange data with different HSS servers in the embodiment shown in FIG. 6, it requires a subscriber location function H-SLF for finding the associated HSS server.
Figur 7 zeigt eine GBA-Netzwerkarchitektur für die in Figur 6 dargestellte Ausführungsform. Wie man aus Figur 7 erkennen kann, ist der BSF- bzw. Bootstrapping-Server über eine eigene Schnittstelle Dz mit einem Subscriber-Location-Function- Server H-SLF verbunden zum Auffinden des Home-Subscriber- Servers HSS. Der BSF-Proxy-Server ist seinerseits mit einem B-SLF-Server über eine Dz *-Schnittstelle verbunden zum Auffinden des korrekten BSF-Servers. Bei einer Ausführungsform des erfindungsgemäßen Bootstrap- ping-Verfahrens generiert der ausgewählte Bootstrapping- Server BSF die temporär gültige zweite Nutzerkennung B-TID und codiert darin ein, von welchem Bootstrapping-Server BSF die generierte zweite Nutzerkennung B-TID stammt. Dies ermöglicht, dass der Applikationsserver NAF direkt auf den BSF- Server zugreifen kann und dass der BSF-Proxy-Server nicht die temporär gültige zweite Nutzerkennung B-TID sowie die zugehörigen Gültigkeitsdauern abspeichern muss.Figure 7 shows a GBA network architecture for the embodiment shown in Figure 6. As can be seen from FIG. 7, the BSF or bootstrapping server is connected via its own interface D z to a subscriber location function server H-SLF for locating the home subscriber server HSS. The BSF proxy server in turn is connected to a B-SLF server via a D z * interface to find the correct BSF server. In one embodiment of the bootstrapping method according to the invention, the selected bootstrapping server BSF generates the temporarily valid second user identifier B-TID and encodes therein from which bootstrapping server BSF the generated second user identifier B-TID originates. This enables the application server NAF to be able to access the BSF server directly and that the BSF proxy server does not have to store the temporarily valid second user identifier B-TID and the associated validity periods.
Figur 8 zeigt eine weitere Ausführungsform des erfindungsgemäß erweiterten GBA-Netzwerks, wobei jeder BSF- bzw. Bootstrapping-Server mit mehr als einem Home-Subscriber- Server verbunden sein kann. Alle BSF-Server sowie der BSF- Proxy-Server sind lokal konfiguriert mit einem BSF-Namen, wobei der Name des BSF-Proxy-Servers gemäß den heutigen GBA- Spezifikationen standardisiert ist. Alle DNS-Server liefern auf Anfrage die IP-Adresse des Proxy-Servers. Auf Anfrage liefert der B-SLF-Server den DNS-Namen oder die IP-Adresse des ausgewählten BSF-Servers für einen vorgegebenen Teilnehmer, beispielsweise aufgrund der gegebenen IMPI. Der gelieferte DNS-Name ist unterschiedlich von dem in heutigen GBA- Spezifikationen standardisierten BSF-Namen. Bei der in Figur 8 dargestellten Ausführungsform initiiert das Benutzerendge- rät UE den Bootstrapping-Vorgang und bestimmt den DNS-Namen des Bootstrapping-Servers BSF, der in dieser Ausführungsform auf den BSF-proxy verweist, was dem Benutzerendgerät jedoch nicht bekannt sein muss. Anschließend sendet das Benutzerendgerät UE einen ersten http-Request über die Ub-Schnittstelle . Für den Fall einer 2G-GBA-Netzwerkarchitektur baut das Benutzerendgerät UE einen TLS-Tunnel zu dem BSF-Proxy-Server auf. Die http-Anforderung erreicht den BSF-Proxy-Server, da der DNS-Name des Bootstrapping-Servers BSF in die IP-Adresse des BSF-Proxy-Servers übersetzt wird. Der BSF-Proxy-Server über- trägt eine Nachricht mit der langfristig gültigen ersten Nutzerkennung IMPI über ein Dz *-Interface an den B-SLF-Server. Der B-SLF-Server sendet eine Nachricht zurück an den BSF- Proxy-Server, welche den DNS-Namen oder die IP-Adresse des für den Teilnehmer gültigen BSF-Servers enthält. Diese DNS- Nachricht bzw. die IP-Adresse, die zu der Teilnehmeridentität gehört, kann durch den BSF-Proxy-Server gespeichert werden.FIG. 8 shows a further embodiment of the inventive extended GBA network, wherein each BSF or bootstrapping server can be connected to more than one home subscriber server. All BSF servers and the BSF proxy server are locally configured with a BSF name, whereby the name of the BSF proxy server is standardized according to today's GBA specifications. All DNS servers provide the IP address of the proxy server on request. Upon request, the B-SLF server will provide the DNS name or IP address of the selected BSF server for a given subscriber, for example, given the given IMPI. The supplied DNS name is different from the BSF name standardized in today's GBA specifications. In the embodiment illustrated in FIG. 8, the user terminal UE initiates the bootstrapping process and determines the DNS name of the bootstrapping server BSF, which in this embodiment refers to the BSF proxy, which, however, need not be known to the user terminal. Subsequently, the user terminal UE sends a first http request via the U b interface. In the case of a 2G GBA network architecture, the user terminal UE sets up a TLS tunnel to the BSF proxy server. The http request reaches the BSF proxy server because the DNS name of the bootstrapping server BSF is translated into the IP address of the BSF proxy server. The BSF proxy server transmits a message with the long-term valid first user ID IMPI via a D z * interface to the B-SLF server. The B-SLF server sends a message back to the BSF proxy server stating the DNS name or IP address of the server for the participant valid BSF server. This DNS message or the IP address associated with the subscriber identity may be stored by the BSF proxy server.
Der BSF-Proxy-Server leitet die ursprüngliche von dem Benutzerendgerät empfangene http-Anforderung an den BSF- bzw. Bootstrapping-Server weiter, der durch den B-SLF-Server angegeben ist. Falls die Anforderung für ein 2G-GBA-Netzwerk besteht und der BSF-Server einen TLS-Tunnel fordert, wird die- ser aufgebaut. Die übertragene Nachricht wird durch den BSF- bzw. Bootstrapping-Server verarbeitet und es wird eine Antwort an den BSF-Proxy-Server übertragen, welcher diese Nachricht ohne Veränderungen an das Benutzerendgerät UE weiterleitet. Das Benutzerendgerät UE verarbeitet die empfangene Nachricht und sendet eine weitere http-Anforderung an denThe BSF proxy server forwards the original HTTP request received from the user terminal to the BSF or bootstrapping server specified by the B-SLF server. If the request is for a 2G GBA network and the BSF server requests a TLS tunnel, it will be established. The transmitted message is processed by the BSF or bootstrapping server and a response is transmitted to the BSF proxy server, which forwards this message without changes to the user terminal UE. The user terminal UE processes the received message and sends another http request to the user
BSF-Proxy-Server, welcher diese an den korrekten Bootstrapping-Server BSF weiterleitet. Der BSF-Server verarbeitet die empfangene Nachricht und sendet eine Antwort an den BSF- Proxy-Server zurück, der die temporär gültigen zweiten Nut- zerkennung B-TID und die zugehörige Gültigkeitsdauer zusammen mit der IP-Adresse des BSF-Servers speichert. Der BSF-Proxy- Server leitet dann die Nachricht unverändert an das Benutzerendgerät UE weiter, wobei nach Ablauf der Gültigkeitsdauer alle zu der temporär gültigen zweiten Nutzerkennung B-TID ge- hörigen Einträge durch den BSF-Proxy-Server gelöscht werden.BSF proxy server, which forwards these to the correct bootstrapping server BSF. The BSF server processes the received message and sends back a response to the BSF proxy server, which stores the temporarily valid second user ID B-TID and the associated validity period together with the IP address of the BSF server. The BSF proxy server then forwards the message unchanged to the user terminal UE, wherein after expiration of the validity period all entries belonging to the temporarily valid second user identifier B-TID are deleted by the BSF proxy server.
Bei einer weiteren Ausführungsform ist der DNS-Server, der auf die DNS-Anfragen antwortet, derart konfiguriert, dass die DNS-Anforderung für den standardisierten BSF-Namen in die IP- Adresse des jeweiligen BSF-Servers übersetzt werden, anstatt in die IP-Adresse des BSF-Proxy-Servers .In another embodiment, the DNS server that responds to the DNS requests is configured to translate the DNS request for the standardized BSF name into the IP address of the respective BSF server rather than into the IP address of the BSF server. Address of the BSF proxy server.
Bei dem erfindungsgemäßen Netzwerk ist es möglich, mehrere BSF-Server bzw. Bootstrapping-Server vorzusehen, ohne dass dies für das Benutzerendgerät UE und den Applikationsserver NAF bemerkbar ist. Das erfindungsgemäße Netzwerk ist abwärts kompatibel, da die Benutzerendgeräte UE und die Applikations- Server NAF die Schnittstellen Ua, Ub, Zn in gewohnter Weise nutzen können. In the network according to the invention, it is possible to provide a plurality of BSF servers or bootstrapping servers, without this being noticeable for the user terminal UE and the application server NAF. The network according to the invention is downwardly compatible, since the user terminals UE and the application terminals Server NAF can use the interfaces U a , U b , Z n in the usual way.

Claims

Patentansprüche claims
1. Bootstrapping-Verfahren zum Bereitstellen eines gemeinsamen temporär gültigen anwendungsspezifischen Schlüssels (Ks_NAF) für ein Endgerät (UE) und einen Applikationsserver (NAF) mit den folgenden Schritten:A bootstrapping method for providing a common temporary application specific key (Ks_NAF) for a UE and an application server (NAF), comprising the steps of:
(a) Auswählen eines Bootstrapping-Servers (BSF) aus mehreren vorhandenen Bootstrapping-Servern anhand eines von dem Endgerät (UE) empfangenen ersten Nutzerkennung; (b) wobei nach erfolgreicher Authentisierung des Endgerätes (UE) durch den ausgewählten Bootstrapping-Server (BSF) eine temporär gültige zweite Nutzerkennung (B-TID) diesem Endgerät (UE) zugewiesen wird und ein temporär gültiger Basisschlüssel (Ks) durch den ausgewählten Bootstrapping-Server (BSF) und das Endgerät (UE) gebildet wird;(a) selecting a bootstrapping server (BSF) from a plurality of existing bootstrapping servers based on a first user identifier received from the terminal (UE); (b) after successful authentication of the terminal (UE) by the selected bootstrapping server (BSF), a temporarily valid second user identifier (B-TID) is assigned to this terminal (UE) and a temporary valid base key (Ks) by the selected bootstrapping -Server (BSF) and the terminal (UE) is formed;
(c) und wobei nach Empfang einer von dem Applikationsserver (NAF) stammenden Anforderungsnachricht, welche die gleiche temporär gültige zweite Nutzerkennung (B-TID) auf- weist, durch den ausgewählten Bootstrapping-Server (BSF) dieser den temporär gültigen anwendungsspezifischen Schlüssel (Ks NAF) aus dem temporär gültigen Basisschlüssel (Ks) ableitet und an den Applikationsserver (NAF) überträgt.(c) and wherein upon receipt of a request message originating from the application server (NAF) and having the same temporarily valid second user identifier (B-TID), the selected bootstrapping server (BSF) assigns the temporary valid application-specific key (Ks NAF) from the temporary base key (Ks) and transfers to the application server (NAF).
2. Bootstrapping-Verfahren nach Anspruch 1, wobei die erste Nutzerkennung durch eine permanent gültige Nutzerkennung gebildet wird.2. Bootstrapping method according to claim 1, wherein the first user identifier is formed by a permanently valid user identifier.
3. Bootstrapping-Verfahren nach Anspruch 2, wobei die erste Nutzerkennung durch eine IMPI (IP-Multimedia- Private-Identity) gebildet wird.3. Bootstrapping method according to claim 2, wherein the first user identifier is formed by an IMPI (IP Multimedia Private Identity).
4. Bootstrapping-Verfahren nach Anspruch 1, wobei die Auswahl des Bootstrapping-Servers (BSF) durch einen B-SLF (Subscriber Location Function) -Server erfolgt.4. Bootstrapping method according to claim 1, wherein the selection of the bootstrapping server (BSF) is performed by a B-SLF (Subscriber Location Function) server.
5. Bootstrapping-Verfahren nach Anspruch 1, wobei Nachrichten zwischen dem Endgerät (UE) und dem ausgewählten Bootstrapping-Server (BSF) über einen BSF-Proxy- Server übertragen werden.5. Bootstrapping method according to claim 1, wherein messages are transmitted between the terminal (UE) and the selected bootstrapping server (BSF) via a BSF proxy server.
6. Bootstrapping-Verfahren nach Anspruch 1, wobei Nachrichten zwischen dem Applikationsserver (NAF) und dem ausgewählten Bootstrapping-Server (BSF) über einen BSF- Proxy-Server übertragen werden.6. Bootstrapping method according to claim 1, wherein messages between the application server (NAF) and the selected bootstrapping server (BSF) are transmitted via a BSF proxy server.
7. Bootstrapping-Verfahren nach Anspruch 4 bis 6, wobei der B-SLF-Server an den BSF-Proxy-Server eine Adresse des ausgewählten Bootstrapping-Servers (BSF) überträgt.The bootstrapping method of claim 4 to 6, wherein the B-SLF server transmits to the BSF proxy server an address of the selected bootstrapping server (BSF).
8. Bootstrapping-Verfahren nach Anspruch 7, wobei der BSF-Proxy-Server die Adresse des ausgewählten Bootstrapping-Servers (BSF) zwischenspeichert.The bootstrapping method of claim 7, wherein the BSF proxy server caches the address of the selected bootstrapping server (BSF).
9. Bootstrapping-Verfahren nach Anspruch 1, wobei der ausgewählte Bootstrapping-Server (BSF) das Endgerät (UE) mit Hilfe eines Home-Subscriber-System-Server (HSS) au- thentisiert .9. The bootstrapping method according to claim 1, wherein the selected bootstrapping server (BSF) authenticated the terminal (UE) by means of a home subscriber system server (HSS).
10. Bootstrapping-Verfahren nach Anspruch 9, wobei der Home-Subscriber-System-Server (HSS) an den ausge- wählten Bootstrapping-Server (BSF) einen Authentisierungsvek- tor (AV) überträgt.10. Bootstrapping method according to claim 9, wherein the home subscriber system server (HSS) transmits an authentication vector (AV) to the selected bootstrapping server (BSF).
11. Bootstrapping-Verfahren nach Anspruch 10, wobei der an den ausgewählten Bootstrapping-Server (BSF) ü- bertragene Authentisierungsvektor (AV) eine Authentisierungs-Challenge, eine Authentisierungsantwort, einen Chiffrierschlüssel (Cipher Key CK) und einen Integritätsschlüssel (integrity key IK) aufweist.11. Bootstrapping method according to claim 10, wherein the authentication vector (AV) transmitted to the selected bootstrapping server (BSF) comprises an authentication challenge, an authentication response, a cipher key (CK) and an integrity key (IK). having.
12. Bootstrapping-Verfahren nach Anspruch 11, wobei der ausgewählte Bootstrapping-Server (BSF) den temporär gültigen Basisschlüssel (Ks) aus dem Chiffrierschlüssel (CK) und aus dem Integritätsschlüssel (IK) bildet.12. Bootstrapping method according to claim 11, wherein the selected bootstrapping server (BSF) forms the temporary valid base key (Ks) from the cipher key (CK) and the integrity key (IK).
13. Bootstrapping-Verfahren nach Anspruch 1, wobei der ausgewählte Bootstrapping-Server (BSF) die temporär gültige zweite Nutzerkennung (B-TID) generiert.13. Bootstrapping method according to claim 1, wherein the selected bootstrapping server (BSF) generates the temporarily valid second user identifier (B-TID).
14. Bootstrapping-Verfahren nach Anspruch 13, wobei die temporär gültige zweite Nutzerkennung (B-TID) zusammen mit einer Gültigkeitsdauer des gebildeten Basisschlüssels (Ks) von dem ausgewählten Bootstrapping-Server (BSF) an den Bootstrapping-Proxy-Server in einer Nachricht übertragen wird, welcher die temporär gültige zweite Nutzerkennung (B- TID) und die Gültigkeitsdauer des gebildeten Basisschlüssels (Ks) zwischenspeichert und anschließend die Nachricht an das Endgerät (UE) weiterleitet.The bootstrapping method according to claim 13, wherein the temporarily valid second user identifier (B-TID), together with a validity period of the formed base key (Ks), is transmitted from the selected bootstrapping server (BSF) to the bootstrapping proxy server in a message which temporarily stores the temporarily valid second user identification (B-TID) and the validity period of the basic key (Ks) formed, and then forwards the message to the terminal (UE).
15. Bootstrapping-Verfahren nach Anspruch 14, wobei das Endgerät (UE) bei Anforderung eines Dienstes von dem Applikationsserver (NAF) die von dem Bootstrapping-Proxy- Server an das Endgerät (UE) weitergeleitete temporär gültige zweite Nutzerkennung (B-TID) an den Applikationsserver (NAF) in einer Dienstanforderungsnachricht überträgt.15. Bootstrapping method according to claim 14, wherein the terminal (UE) upon request of a service from the application server (NAF) forwarded by the bootstrapping proxy server to the terminal (UE) temporarily valid second user identifier (B-TID) transmits the application server (NAF) in a service request message.
16. Bootstrapping-Verfahren nach Anspruch 15, wobei der Applikationsserver (NAF) die Dienstanforderungsnachricht mit der temporär gültigen zweiten Nutzerkennung (B- TID) an den Bootstrapping-Proxy-Server sendet, welcher die Dienstanforderungsnachricht an den ausgewählten Bootstrapping-Server (BSF) weiterleitet.16. The bootstrapping method according to claim 15, wherein the application server (NAF) sends the service request message with the temporarily valid second user identifier (B-TID) to the bootstrapping proxy server, which forwards the service request message to the selected bootstrapping server (BSF) ,
17. Bootstrapping-Verfahren nach Anspruch 1, wobei das Endgerät (UE) den temporär gültigen Basisschlüssel (Ks) bildet.17. Bootstrapping method according to claim 1, wherein the terminal (UE) forms the temporary valid base key (Ks).
18. Bootstrapping-Verfahren nach Anspruch 17, wobei das Endgerät (UE) aus dem temporär gültigen Basisschlüssel (Ks) den temporär gültigen anwendungsspezifischen Schlüssel (Ks_NAF) ableitet.18. Bootstrapping method according to claim 17, wherein the terminal (UE) derives the temporarily valid application-specific key (Ks_NAF) from the temporarily valid base key (Ks).
19. Bootstrapping-Verfahren nach Anspruch 1, wobei der ausgewählte Bootstrapping-Server (BSF) die temporär gültige zweite Nutzerkennung (B-TID) generiert und darin eincodiert, von welchem Bootstrapping-Server (BSF) die generierte zweite Nutzerkennung (B-TID) stammt.19. Bootstrapping method according to claim 1, wherein the selected bootstrapping server (BSF) generates the temporarily valid second user identifier (B-TID) and encodes therein, from which bootstrapping server (BSF) the generated second user identifier (B-TID) comes.
20. Bootstrapping-Proxy-Server für ein GBA (Generic Bootstrapping Architecture) -Netzwerk, welcher Nachrichten zwischen einem Endgerät (UE) und einem anhand einer permanenten Nutzerkennung ausgewählten Bootstrapping-Server (BSF) weiterleitet.A bootstrapping proxy server for a generic bootstrapping architecture (GBA) network which forwards messages between a terminal (UE) and a bootstrapping server (BSF) selected on the basis of a permanent user identifier.
21. Bootstrapping-Proxy-Server nach Anspruch 20, wobei der Bootstrapping-Proxy-Server eine von einem Bootstrapping-Server (BSF) erhaltene temporär gültige Nutzer- kennung (B-TID) zugeordnet zu dem jeweiligen Bootstrapping- Server (BSF) zwischenspeichert.21. The bootstrapping proxy server according to claim 20, wherein the bootstrapping proxy server temporarily stores a temporarily valid user identifier (B-TID) assigned to a respective bootstrapping server (BSF) received from a bootstrapping server (BSF).
22. Bootstrapping-Proxy-Server nach Anspruch 20, wobei der Bootstrapping-Proxy-Server Nachrichten zwischen ei- nem Applikationsserver (NAF) und dem ausgewählten Bootstrapping-Server (BSF) weiterleitet. 22. The bootstrapping proxy server of claim 20, wherein the bootstrapping proxy server forwards messages between an application server (NAF) and the selected bootstrapping server (BSF).
PCT/EP2007/061442 2006-11-16 2007-10-24 Bootstrapping method WO2008058841A2 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102006054091A DE102006054091B4 (en) 2006-11-16 2006-11-16 Bootstrapping procedure
DE102006054091.3 2006-11-16

Publications (2)

Publication Number Publication Date
WO2008058841A2 true WO2008058841A2 (en) 2008-05-22
WO2008058841A3 WO2008058841A3 (en) 2008-07-24

Family

ID=39311199

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2007/061442 WO2008058841A2 (en) 2006-11-16 2007-10-24 Bootstrapping method

Country Status (2)

Country Link
DE (1) DE102006054091B4 (en)
WO (1) WO2008058841A2 (en)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015036782A1 (en) * 2013-09-13 2015-03-19 Vodafone Ip Licensing Limited Communicating with a device
CN109618328A (en) * 2018-11-29 2019-04-12 爱立信(中国)通信有限公司 Communication means and communication equipment and recording medium
US10484869B2 (en) 2015-07-13 2019-11-19 Vodafone Ip Licensing Limited Generic bootstrapping architecture protocol

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060236106A1 (en) * 2005-04-18 2006-10-19 Sarvar Patel Providing fresh session keys

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1265676C (en) * 2004-04-02 2006-07-19 华为技术有限公司 Method for realizing roaming user to visit network inner service
GB0409704D0 (en) * 2004-04-30 2004-06-02 Nokia Corp A method for verifying a first identity and a second identity of an entity
JP2006032203A (en) * 2004-07-20 2006-02-02 Nissan Motor Co Ltd Fuel cell system
FI20050384A0 (en) * 2005-04-14 2005-04-14 Nokia Corp Use of generic authentication architecture for distribution of Internet protocol keys in mobile terminals

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060236106A1 (en) * 2005-04-18 2006-10-19 Sarvar Patel Providing fresh session keys

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"Digital cellular telecommunications system (Phase 2+); Universal Mobile Telecommunications System (UMTS); Generic Authentication Architecture (GAA); Generic bootstrapping architecture (3GPP TS 33.220 version 7.5.0 Release 7); ETSI TS 133 220" ETSI STANDARDS, LIS, Bd. 3-SA3, Nr. V7.5.0, 1. September 2006 (2006-09-01), XP014035742 ISSN: 0000-0001 *
"Digital cellular telecommunications system (Phase 2+); Universal Mobile Telecommunications System (UMTS); Numbering, addressing and identification (3GPP TS 23.003 version 6.11.0 Release 6); ETSI TS 123 003" ETSI STANDARDS, LIS, Bd. 3-CN2;3-CN4, Nr. V6.11.0, 1. September 2006 (2006-09-01), XP014035447 ISSN: 0000-0001 *

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015036782A1 (en) * 2013-09-13 2015-03-19 Vodafone Ip Licensing Limited Communicating with a device
US20160234170A1 (en) 2013-09-13 2016-08-11 Vodafone Ip Licensing Limited Communicating with a device
US10313308B2 (en) 2013-09-13 2019-06-04 Vodafone Ip Licensing Ltd Communicating with a device
US20190306123A1 (en) * 2013-09-13 2019-10-03 Vodafone Ip Licensing Ltd Communicating with a device
GB2518301B (en) * 2013-09-13 2020-07-15 Vodafone Ip Licensing Ltd Identifying a server instance in communications with a bootstrapping server
US11044234B2 (en) 2013-09-13 2021-06-22 Vodafone Ip Licensing Ltd Communicating with a device
US10484869B2 (en) 2015-07-13 2019-11-19 Vodafone Ip Licensing Limited Generic bootstrapping architecture protocol
CN109618328A (en) * 2018-11-29 2019-04-12 爱立信(中国)通信有限公司 Communication means and communication equipment and recording medium
CN109618328B (en) * 2018-11-29 2019-10-08 爱立信(中国)通信有限公司 Communication means and communication equipment and recording medium

Also Published As

Publication number Publication date
WO2008058841A3 (en) 2008-07-24
DE102006054091A1 (en) 2008-05-21
DE102006054091B4 (en) 2008-09-11

Similar Documents

Publication Publication Date Title
EP1365620B1 (en) Method for registration of a communication terminal in a service network (IMS)
DE60320028T2 (en) Single Sign-On (SSO) for packet radio network roaming users in a multinational operator network
DE60202527T2 (en) METHOD AND SYSTEM FOR TREATING MULTILINGER MESSAGES
DE19722424C1 (en) Secure access method
DE60206634T2 (en) Method and system for authenticating users in a telecommunication system
DE102006038037A1 (en) Method and system for providing an access-specific key
WO2007031389A1 (en) Telecommunication system and method for controlling switching of a user terminal between two networks
DE10138718A1 (en) Method for transmitting encryption information to participants in a multicast group
DE102006026929A1 (en) Method for multiple registration of a multimodal communication terminal
WO2007051793A1 (en) Subscriber-specific enforcement of proxy-mobile-ip (pmip) instead of client-mobile-ip (cmip)
EP3799379B1 (en) Method and ip-based communication system for changing connection control instances without reregistration of end subscribers
DE602004008293T2 (en) Transparent access authentication in GPRS core networks
WO2005039141A1 (en) Method for securing the data traffic between a mobile radio network and an ims network
WO2008058841A2 (en) Bootstrapping method
EP2443852B1 (en) Method for quick and secure transmission of encryption key
EP1285547B1 (en) Method and system for logging a subscriber station onto the packet service-service state control function cscf in a communications system
EP2031832B1 (en) Method for activating and making operational a personal network
DE102006040313B3 (en) Local radio network i.e. wireless local area network, configuring method, involves transmitting parameter to install operating channel if terminal supports encoding, and closing transmission channel if terminal does not support encoding
DE10238928B4 (en) Method for authenticating a user of a communication terminal when using a service network
DE60037674T2 (en) METHOD AND DEVICE FOR IMPLEMENTING SAFETY PROCEDURES INCLUDING MOBILE STATIONS IN HYBRID CELLULAR TELECOMMUNICATIONS SYSTEMS
WO2006079298A1 (en) Mobile radio network, method for operating a terminal device in such a network and terminal device with integrated electronic circuit arrangements for storing parameters that identify the terminal device
EP2056631B1 (en) Method for configuring a personal network in a mobile wireless network
EP1985086B1 (en) Method for transferring data in a communication network
DE10356091A1 (en) Method for securing the traffic between a mobile network and an IMS network
WO2008074620A2 (en) Method and server for providing a special-purpose key

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07821805

Country of ref document: EP

Kind code of ref document: A2