KR20090040912A - 접속 특정 키를 제공하기 위한 방법 및 시스템 - Google Patents
접속 특정 키를 제공하기 위한 방법 및 시스템 Download PDFInfo
- Publication number
- KR20090040912A KR20090040912A KR1020097005145A KR20097005145A KR20090040912A KR 20090040912 A KR20090040912 A KR 20090040912A KR 1020097005145 A KR1020097005145 A KR 1020097005145A KR 20097005145 A KR20097005145 A KR 20097005145A KR 20090040912 A KR20090040912 A KR 20090040912A
- Authority
- KR
- South Korea
- Prior art keywords
- network
- key
- mobile terminal
- connection
- authentication
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/041—Key generation or derivation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
- H04W12/0431—Key distribution or pre-distribution; Key agreement
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
- H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]
- H04W80/045—Network layer protocols, e.g. mobile IP [Internet Protocol] involving different protocol versions, e.g. MIPv4 and MIPv6
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
- H04W88/02—Terminal devices
- H04W88/06—Terminal devices adapted for operation in multiple networks or having at least two operational modes, e.g. multi-mode terminals
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
본 발명은 모바일 단말(1)과 접속 네트워크(2)의 노드 사이의 데이타 전송을 보안하기 위한 접속-특정 키를 제공하기 위한 방법으로서, 상기 모바일 단말(1)의 인증에서, 인증 서버(4A)가 세션 키를 생성하고, 상기 세션 키로부터 베이스 키가 도출되어 인터워킹 프락시 서버(7)로 전송되는 발명을 제공한다. 상기 인터워킹 프락시 서버는 상기 전송된 베이스 키로부터 상기 접속-특정 키를 도출하고 상기 접속-특정 키를 상기 접속 네트워크(2)의 상기 노드에 제공한다.
Description
본 발명은 모바일 단말과 접속 네트워크의 노드 간의 데이타 전송을 보안(secure)하기 위한 접속 특정(access-specific) 키를 제공하기 위한 방법 및 시스템에 관한 것이다.
TCP/IP 프로토콜에 따라, 인터넷은 모바일(mobile) 부분에 대한 높은 레벨의 프로토콜 개발을 위한 플랫폼을 제공한다. 인터넷 프로토콜이 널리 사용되기 때문에, 모바일 환경에 대한 프로토콜을 적절히 업그레이드함에 의해 대규모 그룹의 사용자들이 사용하는 것이 가능해 진다. 그러나, 기존 인터넷 프로토콜은 처음에는 모바일 사용을 위해서는 설계되지 않았었다. 기존 인터넷 패킷 스위칭에서, 패킷들은 다양한 서브네트워크들 간의 네트워크 주소 또는 롬(roam)을 변경하지 않는 고정 컴퓨터들 사이에서 교환되었다. 모바일 단말들과 컴퓨터들을 포함하는 무선 네트워크에서, 모바일 컴퓨터 MS(mobile station: 모바일 국)는 종종 다양한 네트워크로 통합된다. 적절한 서버의 도움에 의해, DHCP(Dynamic Host configuration Protocol: 동적 호스트 구성 프로토콜)는 IP 주소와 추가 구성 파라미터들이 네트워크의 컴퓨터에 동적으로 할당되는 것을 가능하게 한다. 네트워크에 통합되는 컴 퓨터가 DHCP 프로토콜에 의해 자유(free) IP 주소에 자동으로 할당된다. 모바일 컴퓨터가 인스톨된 DHCP를 갖는 경우, 모바일 컴퓨터는 DHCP 프로토콜에 의해 구성을 지원하는 지역 네트워크의 범위 내에 단지 들어오면 된다. DHCP 프로토콜에 의해, 동적 주소 할당이 가능하게 된다. 즉, 자유 IP 주소가 설정된 기간에 대하여 자동으로 할당된다. 이 기간이 종료된 후에, 요청이 모바일 컴퓨터 MS에 의하여 재제시어야 하거나 IP 주소가 다른 곳에 할당될 수 있다.
DHCP에 의해, 모바일 컴퓨터 MS는 수동으로 구성됨없이 네트워크에 통합될 수 있다. 유일한 요구사항은 DHCP 서버가 이용가능하냐는 것이다. 이 방식으로, 모바일 컴퓨터 MS는 지역 네트워크의 서비스들을 사용할 수 있고, 예들들어 저장된 파일을 중앙에서 사용할 수 있다. 그러나, 모바일 컴퓨터 MS 자신이 서비스를 제공하는 경우에, 모바일 컴퓨터 MS의 IP 주소가 모바일 컴퓨터가 통합된 각 네트워크에서 변경되기 때문에, 잠재적인 서비스 사용자는 모바일 컴퓨터 MS를 찾을 수 없게 된다. IP 주소가 현재 TCP 접속 도중에 변경되는 경우에 동일한 일이 발생한다. 이것은 접속이 인터럽트되는 것을 야기한다. 모바일 IP에 의해, 모바일 컴퓨터가 상이한 네트워크에도 보유되어 있는 IP 주소에 할당된다. 기존에 IP 네트워크를 스위칭하는 경우, 적절하게 IP 주소 세팅을 조정하는 것이 필요하다. IP 및 기존 자동 구성 메커니즘의 일정한 조정은 IP 주소가 스위칭될 때 현재 접속을 인터럽트한다. MIP 프로토콜(RFC2002, RFC2977, RFC3344, RFC3846, RFC3957, RFC3775, RFC3776, RFC4285)은 모바일 단말 MS의 이동성(mobility)을 지원한다. 기존 IP 프로토콜에서, 모바일 단말 MS에 주소지정된 데이타 패킷들이 정확히 라우 팅되게 하기 위하여 모바일 단말 MS는 IP 서브네트워크를 스위치하는 때마다 그의 IP 주소를 조정해야 한다. 현재 TCP 연결을 유지하기 위해서, 모바일 단말 MS는 그의 IP 주소를 유지해야 하며, 이는 주소의 스위칭에 의해 연결 인터럽트가 야기되기 때문이다. MIP 프로토콜은 두 개의 주소들, 즉 영구 홈 주소 및 제2 일시 보호(care of) 주소 사이의 트랜스패런트(transprent) 접속을 가능하게 한다. 보호 주소는 모바일 단말 MS가 현재 도달할 수 있는 특정 IP 주소이다.
홈 에이젼트 HA는, 모바일 단말 MS가 최초 홈 네트워크에 위치하고 있지 않은 동안의 모바일 단말 MS의 프락시(proxy)이다. 홈 에이젼트는 모바일 컴퓨터 MS가 현재 어디쯤있는지에 대하여 연속적으로 알게된다. 홈 에이젼트 HA는 통상 모바일 단말의 홈 네트워크 내의 라우터의 일 컴포넌트이다. 모바일 단말 MS가 홈 네트워크 바깥에 존재하는 경우에, 홈 에이전트 HA는 모바일 단말 MS가 로그온 할 수 있도록 하는 기능을 제공한다. 이때, 홈 에이젼트 HA는 모바일 단말 MS에 주소지정된 데이타 패킷들을 모바일 단말 MS의 현재 서브네트워크에 전달한다.
외부(foreign) 에이젼트 FA는 모바일 단말 MS가 이동하는 서브네트워크에 위치한다. 외부 에이젼트 FA는 모바일 단말 MS로 들어가거나 모바일 컴퓨터 MS로 들어가는 데이타를 전달한다. 외부 에이젼트 FA는 소위 방문된(visited) 네트워크에 위치한다. 외부 에이젼트 FA는 또한 통상 라우터의 일 컴포넌트이다. 외부 에이젼트 FA는 모바일 단말 MS와 그의 홈 에이젼트 HA 사이에서 모든 관리적 모바일 데이타 패킷들을 라우팅한다. 외부 에이젼트 FA는 홈 에이젼트 HA에 의해 전송된 턴넬된(tunneled) IP 데이타 패킷들을 언패킹(unpack)하고 그 내부의 데이타를 모바 일 단말 MS에 전달한다.
모바일 단말 MS의 홈 주소는 모바일 단말 MS가 영구적으로 도달할 수 있는 주소이다. 홈 주소는 홈 에이젼트 HA와 동일한 주소 접두어(prefix)를 갖는다. 보호 어드레스는 모바일 단말 MS가 방문된 네트워크에서 사용하는 특정 IP 주소이다.
홈 에이젼트 HA는 소위 이동성 구속 테이블(mobility binding table: MBT)을 유지한다. 이 테이블에 대한 엔트리는, 모바일 단말 MS의 두개의 주소들, 즉 홈 주소 및 보호 주소를 다른 것에 할당하고 이에 대응하여 데이타 패킷들을 리라우팅하는 역할을 한다.
MBT 테이블은 홈 주소, 보호 주소 및 이러한 할당이 유효한 시간 간격(수명)의 명세에 관련된 엔트리를 포함한다.
도1은 종래기술에 따른 이동성 구속 테이블 MBT의 일 예를 도시한다.
외부 에이젼트 FA는 외부 에이젼트 FA의 IP 네트워크에 현재 위치하는 모바일 단말 NS에 대한 정보를 포함하는 방문자(visitor) 리스트(VL)를 포함한다.
도2는 종래기술에 따른 이러한 형태의 방문자 리스트의 일 예를 도시한다.
모바일 컴퓨터 NS가 네트워크에 통합되기 위해서, 모바일 컴퓨터 NS가 홈 네트워크 또는 방문된 네트워크에 위치하는 지가 확정되어야 한다. 또한, 모바일 단말 MS는 서브네트워크 내의 어떤 컴퓨터가 홈 에이젼트 및 외부 에이젼트인지를 확정해야 한다. 이러한 정보는 소위 에이젼트 발견을 통해 결정된다.
뒤따르는 등록에 의해 모바일 단말 MS가 홈 에이젼트 FA에 대한 그의 현재 위치를 통신하는 것이 가능하게 된다. 이를 위하여, 모바일 컴퓨터 또는 모바일 단말 MS는 현재 보호 주소를 홈 에이젼트에게 전송한다. 모바일 컴퓨터 MS는 홈 에이젼트에 대한 등록 요청을 등록하기 위해서 전송한다. 홈 에이젼트 HA는 리스트에 보호 주소를 입력하고 등록 답신에 대해 응답한다. 그러나, 보안 문제가 여기서 발생한다. 원칙적으로 어느 컴퓨터든지 등록 요청을 홈 에이젼트 HA에 전송할 수 있기 때문에, 컴퓨터가 상이한 네트워크로 이동되었다는 것이 홈 에이젼트 HA에 용이하게 시뮬레이트될 수 있다. 이러한 방식으로, 외부 컴퓨터는 모바일 컴퓨터 또는 모바일 단말 MS의 모든 데이타 패킷들을 전송자를 발견함없이 획득할 수 있다. 이것을 방지하기 위해서, 모바일 컴퓨터 MS 및 홈 에이젼트 HA는 공유된 비밀 키를 갖는다. 모바일 컴퓨터 MS가 홈 네트워크로 복귀하는 경우에, 모바일 컴퓨터 MS가 모든 데이타 패킷들을 이제 그 자신이 수신할 수 있기 때문에, 홈 에이젼트 HA를 비등록(deregister) 시킨다. 모바일 무선 컴퓨터 MS는 특히 다음과 같은 보안 특성들을 가져야 한다. 정보는 목적하는 통신 파트너들과만 접속가능해야 하며, 즉, 목적하지 않는 도청자들은 전송된 데이타에 대한 접속이 주어져서는 안된다. 따라서, 모바일 무선 네트워크는 비밀 특성을 가져야 한다. 그 밖에, 인증(authenticity)이 주어져야 한다. 인증은 통신이 실제로 목적하는 통신 파트너에 대해 설정되었는지 또는 외부자가 통신 파트너인 채하지 않는지를 의심없이 설정하는 것을 가능케한다. 인증은 각 메시지 또는 각 접속에 대하여 수행될 수 있다. 인증이 접속 기반해서 수행되는 경우에, 통신 파트너는 세션의 시작에서만 단지 식별된다. 그 다음에는, 잔존 세션 동안에는 뒤따르는 메시지들이 대응하는 전송자 로부터 시작된 것으로 가정된다. 통신 파트너의 식별이 설정된 경우에도, 즉 통신 파트너가 인증된 경우에도, 이 통신 파트너가 모든 자원들에 접속할 수 없거나 네트워크를 통한 모든 서비스들을 사용할 수 없는 경우가 발생할 수 있다. 이 경우, 대응하는 인증은 통신 파트너의 사전 인증을 요구한다.
모바일 데이타 네트워크에서, 메시지들은 에어(air) 인터페이스를 통한 더 긴 경로를 커버해야 하고 결과적으로 잠재적인 해커가 보다 용이하게 접속할 수 있게 된다. 따라서, 모바일 및 무선 데이타 네트워크에서, 보안 양상들은 특별한 역할을 하고 있다. 암호화 기술은 데이타 네트워크에서 증가하는 보안에 대한 중요한 수단이 된다. 암호화를 통하여, 인가(authorization)없는 제3자들이 데이타에 대한 접속을 획득함없이, 비보안 통신 경로, 예를들어 에어 인터페이스를 통해, 데이타를 전송하는 것이 가능해 진다. 암호화를 위해, 데이타, 즉, 소위 평문(plaintext)이 암호화 알고리즘의 도움으로 암호문(ciphertext)으로 변환되어야 한다. 암호화된 텍스트는 비보안 데이타 전송 채널을 통해 전송되고 그 후에 해독되거나 판독될 수 있다.
매우 유망한 무선 접속 기술인 WiMax(Worldwide Interoperability for Microwave Access)가 무선 전송을 위한 IEEE 802.16을 사용하는 새로운 표준으로 제안되고 있다. WiMAX를 이용하여, 전송 국들은 초당 100Mbit 이상의 데이타 레이트로 50Km 까지의 범위를 공급하는 것으로 의도된다.
도3은 WiMAX 무선 네트워크에 대한 기준 모델을 나타낸다. 무선 단말 MS가 접속 네트워크(ASN: access serving network(접속 서비스 네트워크))의 범위 내에 위치한다. 접속 네트워크 ASN은 적어도 하나의 방문된 네트워크(방문된 연결 서비스 네트워크(visited connectivity service network: VCSN)) 또는 홈 네트워크에 대한 중간 네트워크 HCSN(home connectivity service network: 홈 연결 서비스 네트워크)에 의하여 연결된다. 다양한 네트워크들이 인터페이스 또는 기준 포인트 R에 의해 다른 네트워크에 접속된다. 모바일 국 MS의 홈 에이젼트 HA는 홈 네트워크(HCSN) 또는 방문된 네트워크들중 하나(VCSN)에 위치한다.
WiMAX는 모바일 IP의 두개의 구현 변형예들, 즉 모바일 국 자체가 MIP 클라이언트 기능을 구현하는 소위 클라이언트 MIP(CMIP)와 MIP 클라이언트 기능이 WiMAX 접속 네트워크 ASN에 의해 구현되는 프락시 MIP(PMIP)를 지원한다. ASN에 이러한 목적으로 제공된 기능성은 프락시 모바일 노드(PMN) 또는 PMIP 클라이언트로 불린다. 이러한 수단에 의하여, 또한 MIP는 MIP를 지원하지 않는 모바일 국들 MS와 함께 사용되는 것이 가능하다.
도4는 종래 기술에 따라, 홈 에이젼트 HA가 방문된 네트워크 VCSN에 위치하는 경우에, 프락시 MIP(PMIP)에 의한 접속의 세팅을 도시한다.
무선 연결이 모바일 단말 MS와 기지국 BS간에 설정된 후에, 접속 인증이 먼저 수행된다. 인증, 인가 및 계정(accounting) 기능이 소위 AAA 서버들(AAA: authentication, authorization and accounting)에 의해 수행된다. 홈 에이젼트 HA의 주소와 인증 키가 획득된 메시지들에 의하여, 인증 메시지들이 모바일 단말 MS와 홈 네트워크의 AAA 서버(HAAA) 사이에 교환된다. 홈 네트워크의 인증 서버는 가입자의 프로파일 데이타를 포함한다. AAA 서버는 모바일 단말의 가입자 식별을 포함하는 인증 요청 메시지를 수신한다. 성공적인 접속 인증에 뒤이어, 모바일 단말 MS와 접속 네트워크 ASN의 기지국 BS 사이의 데이타 전송 경로를 보호하기 위하여, AAA 서버는 MSK 키를 생성한다(MSK: 마스터 세션 키). 이 MSK 키가 중간 네트워크 CSN을 경유하여 홈 네트워크의 AAA 서버로부터 접속 네트워크 ASN으로 전송된다.
접속 인증 이후에, 접속 네트워크 ASN의 DHCP 프락시 서버는 도4에 도시된 바와 같이 구성될 수 있다. IP 주소 및 호스트 구성이 이미 AAA 답신 메시지에 포함되어 있는 경우에, 모든 정보는 DHCP 프락시 서버로 다운로드된다.
성공적인 인증 및 인가 후에, 모바일 국 또는 모바일 단말 MS는 DHCP 발견 메시지를 전송하고 IP 주소의 할당이 일어난다.
모바일 단말 MS가 네트워크에 통합되는 경우에, 모바일 단말 MS는 홈 네트워크 혹은 방문된 네트워크에 위치하는지 여부를 확정해야만 할 것이다. 또한, 모바일 단말 MS는 어떤 컴퓨터가 홈 에이젼트 또는 외부 에이전트의 각각의 네트워크에 존재하는지 확정해야만 한다. 이러한 정보는 소위 에이젼트 발견을 통하여 결정된다. 두개 형태의 에이젼트 발견, 즉 에이젼트 광고(advertisement) 및 에이젼트 간청(solicitation)이 존재한다.
에이젼트 광고에서, 에이젼트들, 즉 홈 또는 외부 에이젼트들은 주기적으로 방송 메시지를 서브 네트워크의 모든 모바일 단말들과 컴퓨터들에 전송한다. 정의된 기간 내에 방송 정보를 도청하는 임의의 컴퓨터는 각각의 서브네트워크 내의 에이전트를 식별한다.
모바일 단말 MS가 재활성화되는 경우에, 다음 에이젼트 광고를 기다리는 것은 일반적으로 실제적이지 않다. 모바일 단말 MS는 어떤 서브네트워크에 모바일 단말이 현재 위치하고 있는지 즉시 파악하여야 한다. 소위 에이젼트 간청을 이용해서, 모바일 단말 MS는 에이젼트 광고를 수행하기 위하여 각각의 서브네트워크의 모든 컴퓨터에 요청을 전송한다. 에이젼트 간청에 의해, 모바일 단말 MS는 에이젼트가 그 자신을 즉시 드러내도록 강제하여, 대기 시간이 상당히 감소되도록 할 수 있다. 에이젼트 간청은 또한 에이젼트 광고가 실패하는 경우에, 예를들어 패킷 손실 또는 스위칭 네트워크의 경우에 수행된다. 에이젼트 발견에 의해, 모바일 단말 MS는 또한 모바일 단말이 홈 네트워크 또는 방문된 네트워크에 존재하는지 여부를 설정할 수 있다. 에이젼트 광고 메시지 내의 패킷 정보에 기초하여, 모바일 단말 MS는 그의 홈 에이젼트 HA를 식별한다. 모바일 단말 MS가 방문된 네트워크로부터 메시지 패킷들을 수신하는 경우에, 마지막 광고 이래로 모바일 단말의 포지션이 변경되었는지 여부를 부가적으로 설정할 수 있다. 모바일 단말 MS가 광고 메시지를 수신하지 않는 경우에, 모바일 단말 MS는 모바일 단말이 홈 네트워크에 위치하고 홈 에이젼트 HA는 오류가 있는 것으로 초기에 가정한다. 다음, 모바일 단말 MS는 이러한 가정을 확인하기 위하여 네트워크의 라우터와 콘택을 설정하도록 시도한다. 모바일 단말 MS가 그의 홈 네트워크에 위치하지 않는 경우에, 모바일 단말은 DHCP 서버에 접속하고 서브네트워크의 주소를 획득하도록 그 다음 시도한다. 이것이 성공적인 경우에, 모바일 단말 MS는 이 주소를 소위 수집된 보호 주소로 사용하고 홈 에이젼트 HA와의 콘택을 설정한다. 수집된 보호 주소는 방문된 네트워크 내의 모바 일 단말 MS에 할당되고 또한 홈 에이젼트 HA에 통신되는 주소이다.
네트워크 기반 이동성 관리(PMIP)와 단말 기반 이동성 관리(CMIP) 사이에 구별이 존재한다. 단말 기반 이동성 관리(CMIP)에서, 단말은 모바일 IP(MIP)를 지원한다.
도4는 기존의 네트워크 기반 이동성 관리(PMIP)를 이용하는 연결의 설정을 도시하며, 도5는 기존의 단말 기반 이동성 관리(CMIP)를 이용하는 연결의 설정을 도시한다.
모바일 단말 MS와 네트워크 사이에 연결이 설정되는 경우에, 홈 네트워크의 인증 서버(H-AAA)는, 가입자의 성공적 인증 후에, 인증 확인 메시지(SUCCESS)를 전송한다. 인증 확인 메시지는 클라이언트에게 가입자의 인증이 성공적으로 완결되었다는 인증을 통지한다.
프락시 MIP 또는 네트워크 기반 이동성 관리(PMIP)의 경우에, 모바일 단말은 모바일 IP를 지원하지 않거나 대응하는 MIP 소프트웨어가 모바일 단말 MS에서 활성화되지 않는다.
한편, 클라이언트 MIP(CMIP) 또는 단말 기반 이동성 관리의 경우에, 모바일 IP는 각 단말 또는 모바일 국 MS에 의하여 지원된다.
프락시 MIP에서, 모바일 단말 MS는 DHCP 서버에 의해 할당된 IP 어드레스만을 인식한다. 모바일 단말 MS의 보호 주소가 모바일 단말에 대해 알려지지 않으며, PMP 클라이언트, 외부 에이젼트 FA 및 홈 에이젼트 HA에게 알려진다. 한편, 클라이언트 MIP에서, 모바일 단말 MS는 IP 주소들 양자, 즉 홈 주소 및 보호 주소 양자를 인식한다.
도4 및 도5로부터 알 수 있는 바와 같이, MIP 등록이 IP 주소 할당 후에 일어난다. MIP 등록에서, 홈 에이젼트 HA가 모바일 단말 MS의 현재 위치에 대해 알려지게 된다. 등록을 위하여, 모바일 단말 MS 또는 대응하는 PMIP 클라이언트는 현재 보호 주소를 포함하는 등록 요청을 홈 에이젼트 HA에 전송한다. 홈 에이젼트 HA는 그에 의해 관리되는 리스트에 보호 주소를 입력하고 등록 답신과 함께 응답한다. 원칙적으로 임의의 컴퓨터가 홈 에이젼트 HA에 등록 요청을 전송할 수 있기 때문에, 컴퓨터 또는 모바일 단말 MS가 상이한 네트워크로 이동하였음이 홈 에이젼트에 대해 용이하게 시뮬레이트될 수 있다. 이점을 방지하기 위하여, 모바일 단말 MS와 홈 에이젼트 HA 양자는 공유 키, 즉 모바일 IP 키(MIP-KEY)를 갖는다.
프락시 MIP에서, 등록 요청(MIPPRQ)이 접속 네트워크 ASN 내의 PMIP 클라이언트로부터 외부 에이젼트 FA를 경유하여 홈 에이젼트 HA로 전달된다. 홈 에이젼트 HA는 관련 인증 서버 H-AAA에 의해 할당된 가입자에 대한 키를 가지며 이 키를 도4에 도시된 바와 같이 MIP 등록 답신과 함께 전송한다.
단말 기반 이동성 관리(CMIP)에서, 등록 요청 메시지(MIPPRQ)는 도5에 도시된 바와 같이 외부 에이젼트 FA를 경유하여 모바일 단말 MS로부터 홈 에이젼트 HA로 직접 라우팅된다.
WiMax 접속 네트워크에서, 어떠한 모바일 IP 클라이언트 기능성을 갖지 않는 클라이언트에 대하여 이동성 관리를 가능케하기 위하여, 모바일 IP(CMIP) 이외에 프락시 모바일 IP(PMIP)가 사용된다. PMIP에서, 클라이언트를 위해 MIP 시그날링 을 수행하는 프락시 모바일 IP 클라이언트가 접속 네트워크에 제공된다. 이들 이동성 프로토콜은 두개의 접속 네트워크들 ASN 사이 또는 두개의 네트워크 접속 제공자들 NAP 사이의 핸드오버를 위하여 WiMax에서 사용된다. 여기서, 관련된 WiMax 홈 에이젼트는 WiMax 홈 네트워크 HCSN 또는 방문된 WiMax 네트워크(VCSN)에 선택적으로 위치할 수 있다. WiMax에서, 사용자와 함께 공유된 장기간 암호화 키들뿐만 아니라 추가 사용 파라미터들을 알고 있는 홈 네트워크 HCSN 내에 홈 AAA 서버가 위치하는 것으로 가정된다.
등록 도중에, WiMax 홈 에이젼트는 보안 파라미터들, 예를들어 일시적 암호화 키들을 WiMax 홈 AAA 서버로부터 요청한다. 이들은 MIP 시그날링을 보호하기 위하여 단지 하나의 인증된 클라이언트가 홈 에이젼트와 함께 등록할 수 있도록 요구된다. 모바일 단말이 인증 서버와 함께 실행하는 인증 및 키 일치(agreement) 프로토콜의 일부분으로서, 모바일 단말은 또한 이들 파라미터들을 스스로 도출할 수 있다. WiMax 접속 네트워크에서, AMSK 또는 모바일 IP 루트(root) 키(MIP-RK)가 EMSK 키(확장된 마스터 세션 키)로부터 도출되어 제공된다. 이때, 이 모바일 IP 루트 키로부터, 모바일 노드 또는 외부 에이젼트 FA 및 홈 에이젼트 HA 사이의 상이한 통신 경로를 보호하기 위하여 추가 키들이 도출된다. 여기서, 모바일 IP V6 및 모바일 IP V4와 같은 상이한 모바일 IP 변이가 클라이언트 모바일 IP 및 프락시 모바일 IP에 대하여 각각 별개 키들을 통해 도출된다.
기존의 WiMax 접속 네트워크에서, 다른 타입의 네트워크와의 인터워킹(interworking) 또는 협업(collaboration)은 지원되지 않는다.
도6은 WiMax 접속 네트워크와 종래 기술에 따른 3GPP 홈 네트워크 사이의 인터워킹을 도시한다. 도6에 도시된 바와 같이, WiMax 접속 네트워크에서, 3GPP 홈 네트워크에 대한 인터페이스로서 인터워킹 유닛(IWU)을 갖는 인증 프락시 서버(AAA-릴레이)가 제공된다. 3GPP 네트워크와 인터워킹하는 경우에, 가입자 또는 모바일 단말에 대한 프락시 모바일 IP를 활성화하기 위하여 인증 프락시 서버는 가입자를 네트워크에 로그온하는 것의 일부로서 키 생성 및 키 도출(derivation)을 시작한다. 프락시 모바일 IP의 경우에, 프락시 모바일 IP 플라이언트는 ASN 게이트웨이 또는 WiMax 홈 네트워크 WiMax-CSN의 인증 프락시 서버에 위치한다. 이 WiMax 홈 네트워크 WiMax-CSN은 도6에 도시된 바와 같이 3GPP 네트워크에 연결된다. 따라서, 프락시 모바일 IP에 의해, 프락시 모바일 IP 클라이언트와 홈 에이젼트 사이의 경로를 보호하기 위하여, 네트워크에 로그온하는 경우에 인터워킹 유닛 IWU가 모바일 IP 키(MIP-Key)를 생성하는 것이 가능해진다. 여기서, 프락시 모바일 IP 클라이언트는 바람직하게는 ASN 게이트웨이 내에 위치하며 결과적으로 접속 네트워크 인프라스트럭쳐의 일부를 형성한다. 따라서, 프락시 모바일 IP에서 3GPP 인증 서버를 수정하는 것이 필요하며, 3GPP 인증 서버는 WiMax 접속 네트워크의 명세를 따를 필요가 없게 된다.
그러나, 클라이언트 프락시 모바일 IP에서, WiMax 접속 네트워크와 3GPP 홈 네트워크 사이의 인터워킹이 지원되지 않는다. 보안 파라미터들을 클라이언트 또는 모바일 단말로 전달하는데 적절한 프로토콜이 현재 존재하지 않는다. 그 이유는, 기존의 절차에서, 모바일 단말이 인증 및 키 일치 프로토콜로부터 이들 보안 파라미터들을 도출하기 때문이다.
따라서, 본 발명의 목적은 모바일 단말과 접속 네트워크의 노드 간의 데이타 전송을 보호하기 위한 접속 특정 키를 제공하고, 또한 홈 네트워크의 인증 서버가 이동성 관리를 지원하지 않는 경우 클라이언트 IP(CMIP)를 가능케하는 방법 및 시스템을 설정하는 것이다.
본 발명은 모바일 단말과 접속 네트워크의 노드 사이의 데이타 전송을 보안하기 위한 접속-네트워크-특정 키를 제공하기 위한 방법으로서, 상기 모바일 단말의 인증 도중에, 인증 서버가 세션 키를 생성하고, 상기 세션 키로부터 베이스 키가 도출되어 인터워킹 프락시 서버로 전송되며, 상기 인터워킹 프락시 서버로부터 상기 전송된 베이스 키가 상기 접속-네트워크-특정 키를 도출하고 상기 접속-네트워크-특정 키를 상기 접속 네트워크의 상기 노드에 제공하는, 접속-네트워크-특정 키 제공 방법을 설정한다.
본 발명 방법의 바람직한 실시예에서, 상기 세션 키는 MSK(마스터 세션 키) 또는 EMSK(확장 마스터 세션 키)에 의해 형성된다.
본 방법에서, 홈 네트워크의 인증 서버(AAA)를 보안 상의 이유로 떠날 수 없는 로컬 마스터 세션 키(MSK 또는 EMSK)가 이로부터 의사 또는 베이스 키를 도출하기 위하여 사용되며, 여기서 베이스 키는 다음에 인터워킹 프락시 서버로 전송되고 상기 인터워킹 프락시 서버는 상기 수신된 베이스 키로부터 미리 결정된 키 계층에 따라 필요한 접속-특정 키를 도출하고 이를 접속 네트워크의 각 노드에 제공한다.
본 방법의 일 실시예에서, 상기 인증 서버는 상기 모바일 단말의 홈 네트워크에 위치한다.
본 방법의 일 실시예에서, 상기 베이스 키는 미리 결정된 제 1 도출 기능에 의해 상기 세션 키로부터 도출된다.
상기 제 1 도출 기능은 바람직하게는 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성된다.
본 방법의 바람직한 일 실시예에서, 상기 베이스 키의 도출은 상기 세션 키의 기능과 문자 스트링으로서 달성된다.
본 방법의 일 실시예에서, 상기 인증 서버의 상기 모바일 단말의 인증은 EAP 프로토콜에 의해 달성된다.
본 방법의 다른 실시예에서, 상기 인증 서버의 상기 모바일 단말의 인증은 UMTS-AKA 프로토콜에 의해 달성된다.
본 방법의 다른 실시예에서, 상기 인증 서버의 상기 모바일 단말의 인증은 HTTP-Digest-AKA 프로토콜에 의해 달성된다.
본 방법의 다른 실시예에서, 상기 인증 서버와 상기 인터워킹 프락시 서버 사이의 데이타 전송은 다이애미터(Diameter) 또는 레이디어스(Radius) 프로토콜에 의해 달성된다.
본 방법의 바람직한 일 실시예에서, 상기 접속 네트워크는 WiMax 네트워크에 의해 형성된다.
본 방법의 바람직한 일 실시예에서, 상기 홈 네트워크는 3GPP 네트워크에 의해 형성된다.
본 방법의 바람직한 일 실시예에서, 모바일 IP 루트 키가 제 2 도출 기능에 의해 상기 전송된 베이스 키로부터 상기 인터워킹 프락시 서버에 의하여 도출된다.
여기서, 상기 제 2 도출 기능은 바람직하게는 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성된다.
본 방법의 바람직한 일 실시예에서, 상기 모바일 단말과 접속 네트워크의 상기 노드 사이의 데이타 전송을 보안하기 위한 상기 접속-네트워크-특정 키가 상기 도출된 모바일 IP 루트 키로부터 제 3 도출 기능에 의해 도출된다.
상기 제 3 도출 기능은 바람직하게는 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성된다.
본 방법의 일 실시예에서, 상기 접속 네트워크와 상기 모바일 단말 사이의 다양한 데이타 전송 경로 각각에 대하여 적절한 접속-네트워크-특정 키가 도출된다.
본 방법의 일 실시예에서, 상기 모바일 단말은 또한 상기 세션 키를 생성하고 상기 세션 키로부터 상기 접속-네트워크-특정 키를 도출한다.
본 발명은 또한 모바일 단말과 접속 네트워크의 노드 사이의 데이타 전송 루트를 보안하기 위한 접속-네트워크-특정 키가 도출될 수 있는 베이스 키를 제공하기 위한 인증 서버로서, 상기 모바일 단말의 인증 도중에, 상기 인증 서버가 세션 키를 생성하고 도출 기능에 의해 상기 세션 키로부터 상기 베이스 키를 도출하며 상기 베이스 키를 인터워킹 프락시 서버로 제공하는 인증 서버를 설정한다.
본 발명은 또한 모바일 단말과 접속 네트워크의 노드 사이의 데이타 전송을 보안하기 위한 접속-네트워크-특정 키를 제공하기 위한 인터워킹 프락시로서, 인터워킹 프락시 서버가 인증 서버에 의해 전송된 베이스 키로부터 상기 접속-네트워크-특정 키를 도출하고 상기 접속-네트워크-특정 키를 상기 접속 네트워크의 상기 노드에 제공하는 인터워킹 프락시를 설정한다.
본 발명은 또한 다수의 접속 네트워크들과 모바일 단말의 적어도 하나의 홈 네트워크를 포함하는 데이타 전송 시스템으로서, 상기 모바일 단말의 인증 도중에, 상기 홈 네트워크의 인증 서버가 세션 키를 생성하고 상기 세션 키로부터 상기 접속 네트워크에 전송된 공유된 베이스 키를 도출하며, 상기 접속 네트워크는 상기 모바일 단말과 각각의 접속 네트워크의 노드 사이의 데이타 전송 경로를 보안하기 위하여 각각 제공된 적어도 하나의 접속-네트워크-특정 키를 상기 전송된 베이스 키로부터 도출하는 인터워킹 프락시 서버를 각각 포함하는 데이타 전송 시스템을 설정한다.
모바일 단말과 접속 네트워크의 노드 사이의 데이타 전송을 보호하기 위한 접속 특정 키를 제공하기 위한 본 발명의 방법 및 시스템의 바람직한 실시예들이 이하에서 본 발명의 핵심적 특징들을 나타내는 도면들을 참조하여 설명된다.
도1은 종래 기술에 따른 이동성 구속 테이블을 도시한다.
도2는 종래 기술에 따른 방문자 리스트를 도시한다.
도3은 WiMax 무선 네트워크에 대한 기준 모델을 도시한다.
도4는 종래 기술에 따라 프락시 모바일 IP(PMIP)를 이용한 접속 설정을 도시한다.
도5는 종래 기술에 따라 클라이언트 모바일 IP(CMIP)를 이용한 접속 설정을 도시한다.
도6은 종래 기술에 따라 WiMax 접속 네트워크와 3GPP 네트워크 간의 인터워킹을 나타내는 블록도이다.
도7은 접속-네트워크-특정 키를 제공하기 위한 본 발명 시스템의 가능한 구현예를 나타내는 블록도이다.
도8은 접속-네트워크-특정 키를 제공하기 위한 본 발명 방법의 가능한 구현예를 나타내는 신호도이다.
도9는 접속-네트워크-특정 키를 제공하기 위한 본 발명 방법의 가능한 구현예를 나타내는 또다른 신호도이다.
도7은 접속-네트워크-특정 키를 제공하기 위한 본 발명 방법이 사용될 수 있는 네트워크 아키텍쳐를 도시한다. 모바일 단말(1)(MS= 모바일 국)이 인터페이스 R1을 통해 접속 네트워크(2)(ASN= 접속 서비스 네트워크)에 연결된다. 접속 네트워크(2)는 인터페이스 R3를 통해 방문된 네트워크(3)(VCSN= 방문된 연결성(connectivity) 서비스 네트워크)에 연결된다. 이 방문된 네트워크(3)은 차례로 인터페이스 R5를 통해 홈 네트워크(4)(HCSN= 홈 연결성 서비스 네트워크)에 연결된다.
모바일 단말(1)이 제1 접속 네트워크(2)에서 제2 접속 네트워크(2')로 이동하는 경우에, 제1 및 제2 접속 네트워크 사이에 핸드오버가 일어난다. 이 핸드오버는 WiMax 명세에서는 "마크로(macro) 이동성 관리" 또는 "R3 이동성" 또는 "인터(inter) ASN 이동성"이라 불린다. 방문된 네트워크(3) 및 홈 네트워크(4)는 각각 접속 서비스 제공자(ASP)에 또는 인터넷에 각각 연결된다.
각 접속 네트워크(2)는 인터페이스(R6)에 의해 ASN 게이트웨이 노드(5)에 차례로 연결되는 다수의 기지국(6)을 포함한다. 도6에 도시된 ASN 게이트웨이 노드(5)는 인증기(authenticator)(5A), MIP 외부 에이젼트(5B) 및 선택적으로 PMIP 클라이언트(5C) 및, 선택적으로, 인터워킹 프락시 유닛(7)을 포함한다. AAA 서버(3A)가 도6에 도시된 바와 같이 각각의 방문된 네트워크(3)에 위치한다. 홈 네트워크(4)에, 인증 서버(4A) 및 홈 에이젼트(4B)가 또한 위치한다. 가능한 대안적인 실시예에서, 인터워킹 유닛(7)이 홈 네트워크(4) 내에 위치한다.
모바일 단말(1)에서, 두가지 경우가 구별되어야 한다. 모바일 단말(1) 자체는 모바일 IP를 지원하고 그 자신의 CMIP 클라이언트를 갖거나, 모바일 단말(1)은 모바일 IP를 지원하지 않고 접속 네트워크(2)의 게이트웨이 노드(5) 내의 PMIP 클라이언트(5C)를 필요로 한다.
도8은 본 발명 방법의 가능한 실시예를 나타내는 신호도로서, 인터워킹 유닛(7)이 제1 실시예에서 접속 네트워크(2)에 또는 대안적인 실시예에서 홈 네트워크(4)에 위치한다. 본 발명 방법에서, 도7에 도시된 바와 같이, 모바일 단말(1)과 접속 네트워크(2)의 임의의 노드 간의 데이타 전송을 보안하기 위한 접속-네트워크 -특정 키가 제공되며, 모바일 단말(1)의 홈 네트워크(4)에 위치하는 인증 서버(4A)가 모바일 단말(1)의 인증 도중에 세션 키를 생성하고 이 세션 키로부터 인터워킹 프락시 서버(7)에 전송된 베이스 키를 도출한다. 인터워킹 프락시 서버(7)는 도출 기능에 의하여 수신된 베이스 키로부터 필요한 접속-특정 키를 도출하고 이를 접속 네트워크(2)의 각 노드에 대하여 제공한다. 전송된 베이스 키가 도출되는 세션 키는 일 실시예에서는 MSK (마스터 세션 키)이거나 EMSK(확장 마스터 세션 키)이다. 도8에 도시된 바와 같이, 인증 서버(4A)는 HMAC-SHA1 도출 기능에 의해 확장 마스터 세션 키 EMSK로부터 의사 EMSK 또는 공유된 베이스키를 도출한다. 대안적인 실시예에서, 이 도출 기능은 HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성된다. 도출된 베이스 키 또는 의사 키는 EAP 성공 메시지에서 마스터 세션 키 MSK와 함께 예들들어 인터워킹 프락시 서버로 구현된 인터워킹 유닛(7)로 전송된다.
본 발명 방법의 가능 실시예에서, 베이스 키 또는 의사 키 PEMSK의 도출은 세션 키 MSK 및/또는 EMSK의 기능으로서, 추가적으로는, 문자 스트링, 즉 변이들:
PEMSK = H(MSK, EMSK, "스트링"),
PEMSK = H(MSK, "스트링"),
PEMSK = H(EMSK, "스트링") 중 하나에 따른 기능으로서 달성된다.
도8에 도시된 실시예에서, 이동 단말(1)의 인증은 EAP 데이타 전송 프로토콜에 의해 달성된다. 대안적인 실시예에서, 모바일 단말의 인증은 UMTS-AKA 프로토콜에 의하거나 HTTP-Digest-AKA 프로토콜에 의한 인증 서버(4A)에 의해 달성된다. 인증 서버(4A) 및 인터워킹 프락시 서버(7) 간의 데이타 전송은 바람직하게는 다이에미터(Diameter) 또는 레이디어스(Radius) 프로토콜에 의해 달성된다.
도출된 베이스 키 또는 의사 키는 키 계층에서 중간 스테이지를 나타낸다. 이 베이스 키는 공유된 베이스 키로서, 다양한 접속 네트워크(2)에 제공된 다양한 인터워킹 프락시 서버들(7)에 전송될 수 있다. 접속 네트워크(2)는 예를들어 WiMax 네트워크이다. 인증 서버(4a)가 위치하는 홈 네트워크(4)는 예를들어 3GPP 네트워크이다.
도8에 도시된 바와 같이, 인터워킹 프락시 서버(7)가 전송된 베이스 키 PEMSK를 수신하자마자, 인터워킹 프락시 서버(7)는 제2 도출 기능에 의하여 모바일 IP 루트 키 IMP-RK를 형성한다. 제2 도출 기능은 또한 HMAC-SHA1, HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능일 수 있다. 다른 실시예에서, 상이한 도출 기능들 또는 암호화 키 도출 기능들 KDF가 또한 사용될 수 있다. 이와 같이 도출된 모바일 IP 루트 키 MIP-RK로부터, 모바일 단말(1)과 접속 네트워크(2)의 노드 사이의 데이타 전송을 보안하기 위한 추가 접속-네트워크-특정 키들이 키 계층에 따라 도출될 수 있다. 이 제3 도출 기능은 또한 예를들어, HMAC-SHA1, HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능일 수 있다.
어플리케이션 키들 또는 접속-네트워크-특정 키들, 예를들어
MN-HA-MIP4 = H(MIP-RK, "스트링"│HA-IP)
MN-HA-CMIP4 = H(MIP-RK, "스트링"│HA-IP)
MN-FA = H(MIP-RK, "스트링"│FA-IP) 및
FA-H = H(MIP-RK, "스트링"│FA-IP│HA-IP│NONCE)
를 생성하기 위하여 모바일 IP 루트 키 MIP-RK가 이용된다.
문자 "│"는 서브스트링의 접합(concatenation)을 나타낸다.
여기서, 키 도출은 또한 PMIPV4 및 CMIPV4에 대하여 개별 키들이 도출되도록 예를들어
MN-HA-CMIP4 = H(MIP-RK, "CMIP4MNHA"│HA-IP)
MN-HA-PMIP4 = H(MIP-RK, "PMIP4MNHA"│HA-IP)
로 수정될 수 있다.
접속 네트워크(2)의 노드들과 모바일 단말(1) 간의 다양한 데이타 전송 경로들 각각에 대하여, 전송된 베이스 키로부터 차례로 도출된 모바일 IP 루트 키로부터 이와 같은 방식으로 적절한 접속-네트워크-특정 키가 도출될 수 있다.
본 발명 방법에서, 가입자의 EAP 기반 네트워크 로그온의 일부로서의 이전 키 도출이 업그레이드되어, 인터워킹 프락시 서버(7)가 필요시 PMIP에서 사용될 수 있는 CMIP-적합 키들을 또한 접속 네트워크에 제공한다. 본 방법 발명에서, 적절한 키 도출 기능 KDF에 의하여, 베이스 키 또는 의사 키가 MSK 및/또는 EMSK 및/또는 추가 입력, 예를들어 문자 스트링으로부터 도출된다.
도9는 본 발명 방법의 기저 원리를 나타내는 신호도이다. 인증 및 키-일치 프로토콜, 예를들어 레이디어스(Radius) 또는 다이애미터(Diameter)에 기초한 EAP에 의한 모바일 단말(1)의 인증 도중에, 보안 서버 또는 인증 서버(4A)는 제1 네트워크에서 베이스 키 또는 의사 키 PTKS 또는 일시 암화와 키 TKS, 예를들어 마스터 세션 키 MSK 또는 EMSK에 기초한 의사-일시 암호화 키를 생성한다. 다음, 도출 기능에 의해 도출된 의사 키가 예를들어 제 2 네트워크에 위치하는 인터워킹 프락시 서버(7)로 전송되고, 접속-네트워크-특정 키가 차례로 각 어플리케이션 서버 또는 노드(8, 9)에 대하여 추가 도출 기능으로부터 도출된다. 다음, 각 어플리케이션 서버(8,9)가 이에 대해 도출된 접속-특정 키를 인터워킹 프락시 서버(7)로부터 수신한다. 다음, 단말(1)과 각 어플리케이션 서버(8, 9) 사이의 데이타 전송 경로가 전송된 키에 의해 암호적으로 보호된다.
본 발명 방법에 따라, 인증 서버들, 예를들어 WiMax 접속 네트워크를 위한 3GPP 서버들 또는 WLAN을 이용하는 것이 가능하고, 인증 서버들은 WiMax 접속 네트워크에 의해 예상된 CMIP/PMIP 기능성을 제공할 필요가 없고 세션 키로부터 베이스 키를 도출하기 위한 기능성을 단지 업그레이드하면 된다. 본 발명 방법은 WiMax 접속 네트워크에서 CMIP가 또한 지원되고 결과적으로 마크로-이동성에 대한 어떠한 제한도 회피될 수 있다는 이점을 또한 제공한다. 본 발명의 방법에 따라, WiMax 네트워크에 인터워킹 프락시 서버(7)을 제공하는 것을 제외하고, WiMax 네트워크는 수정되거나 어떠한 변경을 거칠 필요가 없게 된다. 모바일 단말(1), 인증 서버 및 인터워킹 프락시 서버(7)는 어떤 베이스 키 또는 의사 키를 이들이 사용하고 있는지 알고 있다. 이것은 상이한 MIP 키들(자력의(bootstrapping) 변이들)이 WiMax 네트워크 내에서 지원되는 것을 가능하게 한다. 본 발명의 방법에서, 예를들어 3GP 네트워크로부터 시작되는 키 자료(key material)가 WiMax 네트워크용 키 자료로 변환되고, WiMax 네트워크가 형성된 키를 어떠한 조정을 할 필요없이 사용할 수 있게 된다.
본 발명 방법의 일 실시예에서, 본 발명에 따라 WiMax 네트워크 외부에서, 예를들어 3GPP 네트워크에서 인증 기능성이 설정된다. 본 발명 방법은 WiMax 네트워크의 제한사항을 용인함없이 미래의 WiMax-3GPP 인터워킹을 가능하게 한다. 본 발명 방법의 추가적인 이점은 다양한 네트워크들 간의 인터워킹을 위해 또한 임의의 어플리케이션에 대한 키를 제공하기 위해 용이하게 업그레이드될 수 있다는 점이다. 본 발명 방법에서, 단지 인터워킹 프락시 서버(7)만이 어떠한 어플리케이션-특정 키들이 제공되어야 하고 어떻게 이들이 도출되어야 하는지를 인식해야 한다. 따라서, 본 발명 방법에서, 홈 인증 서버가 연결된 상이한 네트워크들 각각에 대하여 필요한 키들을 생성할 수 있는 것이 요구되지 않는다. 따라서, 본 발명 방법에서 상기한 네트워크를 탄력적으로 홈 네트워크에 연결하는 것이 비교적 용이하게 된다.
본 발명 방법에서, 모바일 단말(1)은 또한 인증 도중에 세션 키를 생성하고 대응하는 방식으로 접속-네트워크-특정 키를 도출한다.
Claims (26)
- 모바일 단말(1)과 접속 네트워크(2)의 노드 사이의 데이타 전송을 보안하기 위한 접속-네트워크-특정 키를 제공하기 위한 방법으로서,상기 모바일 단말(1)의 인증 도중에, 인증 서버(4A)가 세션 키를 생성하고, 상기 세션 키로부터 베이스 키가 도출되어 인터워킹 프락시 서버(7)로 전송되며, 상기 인터워킹 프락시 서버(7)로부터 상기 전송된 베이스 키가 상기 접속-네트워크-특정 키를 도출하고 상기 접속-네트워크-특정 키를 상기 접속 네트워크(2)의 상기 노드에 제공하는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 세션 키는 MSK(마스터 세션 키) 또는 EMSK(확장 마스터 세션 키)에 의해 형성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 인증 서버(4A)는 상기 모바일 단말의 홈 네트워크에 위치하는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 베이스 키는 미리 결정된 제 1 도출 기능에 의해 상기 세션 키로부터 도출되는, 접속-네트워크-특정 키 제공 방법.
- 제 4 항에 있어서,상기 제 1 도출 기능은 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 베이스 키의 도출은 상기 세션 키의 기능과 문자 스트링으로서 달성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 인증 서버의 상기 모바일 단말의 인증은 EAP 프로토콜에 의해 달성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 인증 서버의 상기 모바일 단말의 인증은 UMTS-AKA 프로토콜에 의해 달성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 인증 서버의 상기 모바일 단말의 인증은 HTTP-Digest-AKA 프로토콜에 의해 달성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서, 상기 인증 서버와 상기 인터워킹 프락시 서버 사이의 데이타 전송은 다이애미터(Diameter) 또는 레이디어스(Radius) 프로토콜에 의해 달성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 접속 네트워크는 WiMax 네트워크에 의해 형성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 홈 네트워크는 3GPP 네트워크에 의해 형성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,모바일 IP 루트 키가 제 2 도출 기능에 의해 상기 전송된 베이스 키로부터 상기 인터워킹 프락시 서버에 의하여 도출되는, 접속-네트워크-특정 키 제공 방법.
- 제 13 항에 있어서,상기 제 2 도출 기능은 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또 는 MD5 도출 기능에 의해 형성되는, 접속-네트워크-특정 키 제공 방법.
- 제 14 항에 있어서,상기 모바일 단말과 접속 네트워크의 상기 노드 사이의 데이타 전송을 보안하기 위한 상기 접속-네트워크-특정 키가 상기 도출된 모바일 IP 루트 키로부터 제 3 도출 기능에 의해 도출되는, 접속-네트워크-특정 키 제공 방법.
- 제 15 항에 있어서,상기 제 3 도출 기능은 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,상기 접속 네트워크(2)와 상기 모바일 단말(1) 사이의 다양한 데이타 전송 경로 각각에 대하여 적절한 접속-네트워크-특정 키가 도출되는, 접속-네트워크-특정 키 제공 방법.
- 제 1 항에 있어서,인증 도중에, 상기 모바일 단말(1)은 또한 상기 세션 키를 생성하고 상기 세션 키로부터 상기 접속-네트워크-특정 키를 도출하는, 접속-네트워크-특정 키 제공 방법.
- 모바일 단말(1)과 접속 네트워크(2)의 노드 사이의 데이타 전송 루트를 보안하기 위한 접속-네트워크-특정 키가 도출될 수 있는 베이스 키를 제공하기 위한 인증 서버(4A)로서,상기 모바일 단말(1)의 인증 도중에, 상기 인증 서버(4A)가 세션 키를 생성하고 도출 기능에 의해 상기 세션 키로부터 상기 베이스 키를 도출하며 상기 베이스 키를 인터워킹 프락시 서버(7)로 제공하는 인증 서버.
- 제 19 항에 있어서,상기 도출 기능은 HMAC-SHA1,HMAC-SHA256, HMAC-MD5, SHA1, SHA256 또는 MD5 도출 기능에 의해 형성되는, 인증 서버.
- 제 19 항에 있어서,상기 인증 서버(4A)는 상기 모바일 단말(1)의 홈 네트워크(4)에 제공되는, 인증 서버.
- 모바일 단말(1)과 접속 네트워크(2)의 노드 사이의 데이타 전송을 보안하기 위한 접속-네트워크-특정 키를 제공하기 위한 인터워킹 프락시(7)로서,인터워킹 프락시 서버(7)가 인증 서버(4A)에 의해 전송된 베이스 키로부터 상기 접속-네트워크-특정 키를 도출하고 상기 접속-네트워크-특정 키를 상기 접속 네트워크(2)의 상기 노드에 제공하는 인터워킹 프락시.
- 제 22 항에 있어서,상기 인터워킹 프락시 서버(7)가 상기 접속 네트워크(2)에 제공되는, 인터워킹 프락시.
- 제 22 항에 있어서,상기 인터워킹 프락시 서버(7)가 상기 모바일 단말(1)의 홈 네트워크(4)에 제공되는, 인터워킹 프락시.
- 다수의 접속 네트워크들(2)과 모바일 단말(1)의 적어도 하나의 홈 네트워크(4)를 포함하는 데이타 전송 시스템으로서,상기 모바일 단말(1)의 인증 도중에, 상기 홈 네트워크(4)의 인증 서버(4A)가 세션 키를 생성하고 상기 세션 키로부터 상기 접속 네트워크(2)에 전송된 공유된 베이스 키를 도출하며, 상기 접속 네트워크는 상기 모바일 단말(1)과 각각의 접속 네트워크(2)의 노드 사이의 데이타 전송 경로를 보안하기 위하여 각각 제공된 적어도 하나의 접속-네트워크-특정 키를 상기 전송된 베이스 키로부터 도출하는 인터워킹 프락시 서버(7)를 각각 포함하는, 데이타 전송 시스템.
- 제 25 항에 있어서,상기 접속 네트워크(2)의 각 노드에 대하여, 상기 전송된 베이스 키로부터 상기 인터워킹 프락시 서버(7)에 의해 적절한 접속-네트워크-특정 키가 도출되는, 데이타 전송 시스템.
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE102006038037A DE102006038037A1 (de) | 2006-08-14 | 2006-08-14 | Verfahren und System zum Bereitstellen eines zugangsspezifischen Schlüssels |
DE102006038037.1 | 2006-08-14 | ||
PCT/EP2007/058284 WO2008019989A1 (de) | 2006-08-14 | 2007-08-09 | Verfahren und system zum bereitstellen eines zugangsspezifischen schlüssels |
Publications (2)
Publication Number | Publication Date |
---|---|
KR20090040912A true KR20090040912A (ko) | 2009-04-27 |
KR101401605B1 KR101401605B1 (ko) | 2014-06-02 |
Family
ID=38686963
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020097005145A KR101401605B1 (ko) | 2006-08-14 | 2007-08-09 | 접속에 특화된 키를 제공하기 위한 방법 및 시스템 |
Country Status (10)
Country | Link |
---|---|
US (1) | US9197615B2 (ko) |
EP (1) | EP2052517B1 (ko) |
JP (1) | JP5054772B2 (ko) |
KR (1) | KR101401605B1 (ko) |
CN (2) | CN101502078A (ko) |
DE (1) | DE102006038037A1 (ko) |
EA (1) | EA013147B1 (ko) |
ES (1) | ES2609257T3 (ko) |
PL (1) | PL2052517T3 (ko) |
WO (1) | WO2008019989A1 (ko) |
Families Citing this family (47)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10181953B1 (en) | 2013-09-16 | 2019-01-15 | Amazon Technologies, Inc. | Trusted data verification |
EP1914960B1 (en) * | 2006-10-16 | 2013-01-09 | Nokia Siemens Networks GmbH & Co. KG | Method for transmission of DHCP messages |
US8769611B2 (en) * | 2007-05-31 | 2014-07-01 | Qualcomm Incorporated | Methods and apparatus for providing PMIP key hierarchy in wireless communication networks |
US8923811B2 (en) * | 2008-03-14 | 2014-12-30 | Alcatel Lucent | Methods and apparatuses for dynamic management of security associations in a wireless network |
US8695082B2 (en) * | 2008-10-27 | 2014-04-08 | Nokia Siemens Networks Oy | Method and communication system for accessing a wireless communication network |
US20100106971A1 (en) * | 2008-10-27 | 2010-04-29 | Domagoj Premec | Method and communication system for protecting an authentication connection |
WO2010090569A1 (en) | 2009-02-05 | 2010-08-12 | Telefonaktiebolaget Lm Ericsson (Publ) | Apparatuses and a method for protecting a bootstrap message in a network |
IT1398518B1 (it) * | 2009-09-25 | 2013-03-01 | Colombo | Safe milano |
WO2011064868A1 (ja) * | 2009-11-26 | 2011-06-03 | 株式会社 東芝 | 暗号情報送信端末 |
US20110312299A1 (en) | 2010-06-18 | 2011-12-22 | Qualcomm Incorporated | Methods and apparatuses facilitating synchronization of security configurations |
EP2591436A4 (en) * | 2010-07-08 | 2014-11-05 | Certicom Corp | SYSTEM AND METHOD FOR REALIZING DEVICE AUTHENTICATION USING KEY ACCREDITATION |
US9237155B1 (en) | 2010-12-06 | 2016-01-12 | Amazon Technologies, Inc. | Distributed policy enforcement with optimizing policy transformations |
KR102051492B1 (ko) * | 2011-04-15 | 2020-01-08 | 삼성전자주식회사 | 머신-대-머신 서비스 제공 방법 및 장치 |
US9106633B2 (en) * | 2011-05-26 | 2015-08-11 | First Data Corporation | Systems and methods for authenticating mobile device communications |
US8769642B1 (en) | 2011-05-31 | 2014-07-01 | Amazon Technologies, Inc. | Techniques for delegation of access privileges |
US9203613B2 (en) | 2011-09-29 | 2015-12-01 | Amazon Technologies, Inc. | Techniques for client constructed sessions |
US9178701B2 (en) | 2011-09-29 | 2015-11-03 | Amazon Technologies, Inc. | Parameter based key derivation |
US9197409B2 (en) | 2011-09-29 | 2015-11-24 | Amazon Technologies, Inc. | Key derivation techniques |
US8892865B1 (en) | 2012-03-27 | 2014-11-18 | Amazon Technologies, Inc. | Multiple authority key derivation |
US9215076B1 (en) | 2012-03-27 | 2015-12-15 | Amazon Technologies, Inc. | Key generation for hierarchical data access |
US8739308B1 (en) | 2012-03-27 | 2014-05-27 | Amazon Technologies, Inc. | Source identification for unauthorized copies of content |
US9130742B2 (en) * | 2012-03-30 | 2015-09-08 | California Institute Of Technology | Key agreement in wireless networks with active adversaries |
US9148173B2 (en) | 2012-03-30 | 2015-09-29 | California Institute Of Technology | Distributed reed-solomon codes for simple multiple access networks |
CN103490887B (zh) * | 2012-06-14 | 2017-06-13 | 中兴通讯股份有限公司 | 一种网络设备及其认证和密钥管理方法 |
US9660972B1 (en) | 2012-06-25 | 2017-05-23 | Amazon Technologies, Inc. | Protection from data security threats |
US9258118B1 (en) | 2012-06-25 | 2016-02-09 | Amazon Technologies, Inc. | Decentralized verification in a distributed system |
US9813449B1 (en) * | 2012-08-10 | 2017-11-07 | Lookwise S.L. | Systems and methods for providing a security information and event management system in a distributed architecture |
KR20140124157A (ko) * | 2013-04-16 | 2014-10-24 | 삼성전자주식회사 | 무선 네트워크에서 키 하이어라키 생성 장치 및 방법 |
US9407440B2 (en) | 2013-06-20 | 2016-08-02 | Amazon Technologies, Inc. | Multiple authority data security and access |
US9521000B1 (en) | 2013-07-17 | 2016-12-13 | Amazon Technologies, Inc. | Complete forward access sessions |
US9311500B2 (en) | 2013-09-25 | 2016-04-12 | Amazon Technologies, Inc. | Data security using request-supplied keys |
US9237019B2 (en) | 2013-09-25 | 2016-01-12 | Amazon Technologies, Inc. | Resource locators with keys |
US10243945B1 (en) | 2013-10-28 | 2019-03-26 | Amazon Technologies, Inc. | Managed identity federation |
US9420007B1 (en) | 2013-12-04 | 2016-08-16 | Amazon Technologies, Inc. | Access control using impersonization |
US9292711B1 (en) | 2014-01-07 | 2016-03-22 | Amazon Technologies, Inc. | Hardware secret usage limits |
US9374368B1 (en) | 2014-01-07 | 2016-06-21 | Amazon Technologies, Inc. | Distributed passcode verification system |
US9369461B1 (en) | 2014-01-07 | 2016-06-14 | Amazon Technologies, Inc. | Passcode verification using hardware secrets |
US9270662B1 (en) | 2014-01-13 | 2016-02-23 | Amazon Technologies, Inc. | Adaptive client-aware session security |
US10771255B1 (en) | 2014-03-25 | 2020-09-08 | Amazon Technologies, Inc. | Authenticated storage operations |
US9413730B1 (en) * | 2014-06-04 | 2016-08-09 | Skyhigh Networks, Inc. | Encryption in the cloud using enterprise managed keys |
US9258117B1 (en) | 2014-06-26 | 2016-02-09 | Amazon Technologies, Inc. | Mutual authentication with symmetric secrets and signatures |
US10326597B1 (en) | 2014-06-27 | 2019-06-18 | Amazon Technologies, Inc. | Dynamic response signing capability in a distributed system |
US10122689B2 (en) | 2015-06-16 | 2018-11-06 | Amazon Technologies, Inc. | Load balancing with handshake offload |
US10122692B2 (en) | 2015-06-16 | 2018-11-06 | Amazon Technologies, Inc. | Handshake offload |
WO2017209367A1 (ko) * | 2016-05-31 | 2017-12-07 | 엘지전자(주) | 무선통신 시스템에서 서비스 별로 단말의 인증을 수행하기 위한 방법 및 이를 위한 장치 |
US10116440B1 (en) | 2016-08-09 | 2018-10-30 | Amazon Technologies, Inc. | Cryptographic key management for imported cryptographic keys |
US10652236B2 (en) | 2017-03-17 | 2020-05-12 | Conduent Business Services, Llc | Electronic crowd-based authentication |
Family Cites Families (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6857075B2 (en) * | 2000-12-11 | 2005-02-15 | Lucent Technologies Inc. | Key conversion system and method |
US20020120844A1 (en) * | 2001-02-23 | 2002-08-29 | Stefano Faccin | Authentication and distribution of keys in mobile IP network |
US20030235305A1 (en) * | 2002-06-20 | 2003-12-25 | Hsu Raymond T. | Key generation in a communication system |
WO2004017617A1 (en) * | 2002-08-14 | 2004-02-26 | Thomson Licensing S.A. | Session key management for public wireless lan supporitng multiple virtual operators |
US7475241B2 (en) | 2002-11-22 | 2009-01-06 | Cisco Technology, Inc. | Methods and apparatus for dynamic session key generation and rekeying in mobile IP |
US7350077B2 (en) | 2002-11-26 | 2008-03-25 | Cisco Technology, Inc. | 802.11 using a compressed reassociation exchange to facilitate fast handoff |
CN1290362C (zh) * | 2003-05-30 | 2006-12-13 | 华为技术有限公司 | 一种无线局域网中用于移动台切换的密钥协商方法 |
US7325133B2 (en) * | 2003-10-07 | 2008-01-29 | Koolspan, Inc. | Mass subscriber management |
JP4143036B2 (ja) * | 2004-01-26 | 2008-09-03 | 株式会社エヌ・ティ・ティ・ドコモ | 鍵生成システム、鍵生成サーバ及び鍵生成方法 |
US7624269B2 (en) * | 2004-07-09 | 2009-11-24 | Voltage Security, Inc. | Secure messaging system with derived keys |
WO2006079419A1 (en) * | 2005-01-28 | 2006-08-03 | Telefonaktiebolaget Lm Ericsson (Publ) | User authentication and authorisation in a communications system |
-
2006
- 2006-08-14 DE DE102006038037A patent/DE102006038037A1/de not_active Withdrawn
-
2007
- 2007-08-09 EP EP07788345.2A patent/EP2052517B1/de active Active
- 2007-08-09 JP JP2009523298A patent/JP5054772B2/ja active Active
- 2007-08-09 ES ES07788345.2T patent/ES2609257T3/es active Active
- 2007-08-09 CN CNA2007800301806A patent/CN101502078A/zh active Pending
- 2007-08-09 US US12/310,198 patent/US9197615B2/en active Active
- 2007-08-09 EA EA200970201A patent/EA013147B1/ru not_active IP Right Cessation
- 2007-08-09 CN CN201610873555.6A patent/CN107070846A/zh active Pending
- 2007-08-09 PL PL07788345T patent/PL2052517T3/pl unknown
- 2007-08-09 KR KR1020097005145A patent/KR101401605B1/ko active IP Right Grant
- 2007-08-09 WO PCT/EP2007/058284 patent/WO2008019989A1/de active Application Filing
Also Published As
Publication number | Publication date |
---|---|
KR101401605B1 (ko) | 2014-06-02 |
PL2052517T3 (pl) | 2017-05-31 |
CN101502078A (zh) | 2009-08-05 |
EA013147B1 (ru) | 2010-02-26 |
ES2609257T3 (es) | 2017-04-19 |
CN107070846A (zh) | 2017-08-18 |
JP2010500803A (ja) | 2010-01-07 |
US9197615B2 (en) | 2015-11-24 |
JP5054772B2 (ja) | 2012-10-24 |
EA200970201A1 (ru) | 2009-06-30 |
WO2008019989A1 (de) | 2008-02-21 |
EP2052517A1 (de) | 2009-04-29 |
US20110010538A1 (en) | 2011-01-13 |
DE102006038037A1 (de) | 2008-02-21 |
EP2052517B1 (de) | 2016-11-02 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
KR101401605B1 (ko) | 접속에 특화된 키를 제공하기 위한 방법 및 시스템 | |
JP4861426B2 (ja) | モビリティキーを提供する方法とサーバ | |
JP4806028B2 (ja) | モビリティキーを提供する方法とサーバ | |
US8611543B2 (en) | Method and system for providing a mobile IP key | |
US9043599B2 (en) | Method and server for providing a mobility key | |
US8885831B2 (en) | Managing user access in a communications network | |
JP4681656B2 (ja) | クライアントモバイルip(cmip)に代わるプロキシモバイルip(pmp)の加入者固有の強制 | |
RU2437238C2 (ru) | Способы и устройство для обеспечения иерархии ключей pmip в сети беспроводной связи | |
US20020147820A1 (en) | Method for implementing IP security in mobile IP networks | |
KR20080065683A (ko) | 인가 자료를 제공하기 위한 방법 및 장치 | |
JP2008537398A (ja) | モバイルインターネットプロトコル鍵配布のためのジェネリック認証アーキテクチャの利用 | |
US20070008900A1 (en) | Method and apparatus for enabling mobility in mobile IP based wireless communication systems | |
Cheng et al. | A Unified Security Framework Under MWIF Architecture | |
Marques et al. | An 802.1 X-based Security Architecture for MIP | |
Araújo et al. | An 802.1 X-based Security Architecture for MIP |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E902 | Notification of reason for refusal | ||
E701 | Decision to grant or registration of patent right | ||
GRNT | Written decision to grant | ||
FPAY | Annual fee payment |
Payment date: 20170410 Year of fee payment: 4 |
|
FPAY | Annual fee payment |
Payment date: 20180417 Year of fee payment: 5 |
|
FPAY | Annual fee payment |
Payment date: 20190408 Year of fee payment: 6 |