CN1947453A - 未经许可的移动接入信令的改进的用户认证 - Google Patents

未经许可的移动接入信令的改进的用户认证 Download PDF

Info

Publication number
CN1947453A
CN1947453A CNA2005800130907A CN200580013090A CN1947453A CN 1947453 A CN1947453 A CN 1947453A CN A2005800130907 A CNA2005800130907 A CN A2005800130907A CN 200580013090 A CN200580013090 A CN 200580013090A CN 1947453 A CN1947453 A CN 1947453A
Authority
CN
China
Prior art keywords
travelling carriage
mobile access
access network
unauthorized mobile
core network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2005800130907A
Other languages
English (en)
Other versions
CN1947453B (zh
Inventor
帕西·埃罗南
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Technologies Oy
Original Assignee
Nokia Oyj
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Oyj filed Critical Nokia Oyj
Publication of CN1947453A publication Critical patent/CN1947453A/zh
Application granted granted Critical
Publication of CN1947453B publication Critical patent/CN1947453B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M3/00—Automatic or semi-automatic exchanges
    • H04M3/38—Graded-service arrangements, i.e. some subscribers prevented from establishing certain connections
    • H04M3/382—Graded-service arrangements, i.e. some subscribers prevented from establishing certain connections using authorisation codes or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M2207/00—Type of exchange or network, i.e. telephonic medium, in which the telephonic communication takes place
    • H04M2207/18—Type of exchange or network, i.e. telephonic medium, in which the telephonic communication takes place wireless networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/72—Subscriber identity

Abstract

一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在从移动台发出较高层消息之前，向未经许可的移动接入网络认证该移动台并此后用于向核心网络认证该移动台的认证装置。该系统也包括具有用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具。该系统还包括用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号的未经许可的移动接入网络。该未经许可的移动接入网络包括用于确保通过该未经许可的移动接入网络到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的移动台的检验装置。该系统也包括用于实现交易控制和用户服务的核心网络。在该移动台和该未经许可的移动接入网络之间认证期间，该未经许可的移动接入网络存储与该移动台相关联的识别工具，并在该移动台和该核心网络之间的认证之后，该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的较高层消息，并确保与移动台相关联的识别工具被存储在该较高层消息中。

Description

未经许可的移动接入信令的改进的用户认证
技术领域
本发明涉及未经许可的移动接入网络中的通信，并特别涉及移动台和移动网络之间通信期间的用户接入认证。
背景技术
在未经许可的移动接入体系结构中，移动台利用诸如无线LAN(WLAN)或蓝牙的未经许可的无线技术，以与未经许可的移动接入网络通信。在这种配置中，该未经许可的移动接入网络取代了传统的全球移动通信系统(GSM)配置中使用的全球移动通信系统基站子系统(GSM BSS)。该移动台和该未经许可的移动接入网络之间的接口使用至少部分地在未经许可的无线技术上运行的互联网协议，和新的未经许可的无线资源协议。
在典型的未经许可的移动接入部署中，该移动台与连接到宽带互联网连接的WLAN接入点通信。由于在该移动台和该未经许可的移动接入网络之间的连接中可能使用不可信任的网络，所以必须提供充分的安全特征。
因此，在该未经许可的移动接入体系结构中，在诸如移动管理的任何未经许可的无线资源信令和较高层消息可以从该移动台发送到该未经许可的移动接入网络之前，该未经许可的移动接入网络认证用户。该未经许可的移动接入网络可以通过使用诸如密码、授权证书或者SIM卡的既存的认证方法认证移动台上的用户。在该移动台和该未经许可的移动接入网络之间的信令通信量是加密的并使用例如IPsec或者传输层安全协议保护其完整性。可选地，用户平面通信量也可以使用IPsec或者安全实时传输协议保护。
在用该未经许可的移动接入网络认证了用户之后，接着将该用户认证到该未经许可的移动接入体系结构中的核心网络。为了确保核心网络认证正确的用户，该核心网络将询问(RAND)发送到移动台。该移动台使用用户识别模块(SIM)卡计算响应(SRES)和密钥(Kc)。该移动台将该响应发送到该核心网络，并且如果该响应正确，则核心网络通过给该未经许可的移动接入网络发送“BSSMAP密码模式命令”消息来启动加密。该密码模式命令消息包括许可的算法列表和该密钥。与GSM配置中BSS从密码模式命令消息选择适当的算法并通过给移动台发送所选算法命令该移动台启动加密不同，在未经许可的移动接入体系结构中，移动台与未经许可的移动接入网络之间的连接已经加密，而且在BSSMAP密码模式命令消息中包含的算法不适合移动台和未经许可的移动接入网络之间使用的IPsec或者TLS加密。因此，未经许可的移动接入网络既不使用来自该BSSMAP密码模式命令消息的算法，也不使用其中的密钥。然而，该未经许可的移动接入网络向移动台转发密码模式命令中的算法列表，并且该移动台存储参数和密钥，用于稍后在执行到GSM网络的移交时使用。
在未经许可的移动接入体系结构中使用的认证程序不确保认证到该未经许可的移动接入网络的身份与认证到核心网络的身份相同。这允许了“中间人”攻击，其中拥有有效订制的攻击者可以，例如，进行使其它用户付费的呼叫。
图1说明了拥有有效订制的用户如何能够执行中间人攻击。在步骤1010中，用户连接到该未经许可的移动接入网络，而该未经许可的移动接入网络认证该用户并建立安全通道。在步骤1020中，在移动台和该未经许可的移动接入网络之间建立未经许可的无线资源信令。在步骤1030中，该用户用包含向核心网络识别该用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息请求服务。然而，在这个步骤中，执行中间人攻击的用户包含另外的未被怀疑的用户的IMSI或TMSI。在步骤1040中，该未经许可的移动接入网络将该请求消息转发到核心网络，而不检查该请求消息的内容。在步骤1050中，响应于该请求消息，核心网络将认证请求发送到该移动台。在步骤1060中，当该用户接收到该请求消息时，不利用该用户的SIM或USIM计算该认证请求的响应，而该用户伪装为GSM网络中的BSS，并将该认证请求转发给其它未被怀疑的用户。其它未被怀疑的用户使用其SIM卡计算对该认证请求的响应并将该响应发送给伪装为BSS的该用户。如果使用UMTS协议，则附加的“AUTN”参数由核心网络发送并由其它未被怀疑的用户校验。然而，该AUTN参数不能防止中间人攻击。在步骤1070中，在接收来自其它未被怀疑的用户的响应时，执行中间人攻击的用户用其它用户的SIM将该响应转发给该未经许可的移动接入网络。在步骤1080中，该未经许可的移动接入网络将该响应转发给核心网络，而不检查该响应的内容。在步骤1090中，核心网络校验该响应，因为其它未被怀疑的用户是有效用户所以它是正确的，并将BSSMAP密码模式命令消息发送到该未经许可的移动接入网络。由于该未经许可的移动接入网络不使用由核心网络在密码模式命令消息中提供的算法或密钥，该未经许可的移动接入网络简单地将允许的算法列表转发给该用户。在步骤1100中，在该移动台和该未经许可的移动接入网络之间完成了URR计算模式。在步骤1010中，在该未经许可的移动接入网络和核心网络之间完成了BSSMAP密码模式命令。
在用其它用户的信息完成了密码模式设置之后，该用户随后能够在建立呼叫时执行正常的移动管理和呼叫控制信令。这导致了核心网络使用其它用户的IMSI或TMSI用于计费的目的。
发明内容
根据本发明的一个方面，提供了一种未经许可的移动接入网络，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该网络包括用于在将较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台的认证装置。该网络还包括用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号的连接装置，和用于确保通过该未经许可的移动接入网络从该移动台到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的移动台的检验装置。在该移动台和该未经许可的移动接入网络之间认证期间，该未经许可的移动接入网络存储与该移动台相关联的识别工具，并在该移动台和该核心网络之间的认证之后，该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的较高层消息，以确保与移动台相关联的识别工具被存储在该较高层消息中。
根据本发明的另一个方面，提供了一种未经许可的移动接入网络，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该网络包括用于在较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台的认证装置。该网络还包括用于将该移动台连接到该核心网络并用于中继该移动台和该核心网络之间的信号的连接装置。在该移动台和该核心网络之间的认证期间，该未经许可的移动接入网络包括从该核心网络到该移动台的命令消息中的认证信息并响应于该命令消息，该移动台包括用该认证信息加密的代码和在该移动台中计算的密钥。
根据本发明的另一个方面，提供了一种未经许可的移动接入网络，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该网络包括用于在将较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台的认证装置，其中该移动台包括用户识别模块，该用户识别模块包括用于识别该移动台的识别工具和密钥。该网络还包括用于将该移动台连接到该核心网络的连接装置以及用于中继该移动台和该核心网络之间的信号的中继装置。在该移动台和该核心网络之间认证期间，该移动台将该密钥传送到该未经许可的移动接入网络的IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中，提供了一种与未经许可的移动接入网络进行通信的移动台，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该移动台包括用于在较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台的认证装置。该移动台还包括用户识别模块，该用户识别模块包括用于识别该移动台的识别工具和密钥。该移动台还包括用于将该移动台连接到该核心网络，并中继该移动台和该核心网络之间的信号的连接装置。在该移动台和该核心网络之间认证期间，该移动台将该密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中，提供了一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在从移动台发送较高层消息之前，向未经许可的移动接入网络认证该移动台，并此后，用于向核心网络认证该移动台的认证装置。该系统也包括具有用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具。该系统还包括用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号的未经许可的移动接入网络。该未经许可的移动接入网络包括用于确保通过该未经许可的移动接入网络到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的移动台的检验装置。该系统也包括用于实现交易控制和用户服务的核心网络。在该移动台和该未经许可的移动接入网络之间认证期间，该未经许可的移动接入网络存储与该移动台相关联的识别工具，并在该移动台和该核心网络之间的认证之后，该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的较高层消息，并且确保与移动台相关联的识别工具被存储在该较高层消息中。
根据本发明的另一个方面，提供了一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在将较高层消息从移动台发送之前，向未经许可的移动接入网络认证该移动台，并此后用于向核心网络认证该移动台的认证装置。该系统也包括具有用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具和密钥。该系统还包括用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号以实现交易控制和用户服务的未经许可的移动接入网络。在该移动台和该核心网络之间认证期间，该未经许可的移动接入网络包括从该核心网络到该移动台的命令消息中的认证信息并响应于该命令消息，该移动台包括用该认证信息和该密钥加密的代码。
根据本发明的另一个方面，提供了一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该系统包括用于在从移动台发送较高层消息之前，向未经许可的移动接入网络认证该移动台，并此后用于向核心网络认证该移动台的认证装置。该系统还包括具有用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具和密钥。该系统还包括用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号以实现交易控制和用户服务的未经许可的移动接入网络。在该移动台和该核心网络之间认证期间，该移动台将该密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中，提供了一种在未经许可的移动接入网络中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤：在将较高层消息从移动台发送到核心网络之前，在该未经许可的移动接入网络中认证该移动台；和在该未经许可的移动接入网络中，转发从该移动台到该核心网络的服务请求，其中该移动台的IMSI包括在该服务请求中。该方法还包括下列步骤：在该未经许可的移动接入网络中，发送从该核心网络到该移动台的认证请求；在该未经许可的移动接入网络中，响应于该认证请求转发认证响应；和通过该未经许可的移动接入网络，检查从该移动台到该核心网络的较高层消息，以确保与该移动台相关联的识别工具被存储在该较高层消息中。
在本发明的另一个方面中，提供了一种在未经许可的移动接入网络中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤：在较高层消息从移动台发送到核心网络之前，在该未经许可的移动接入网络中认证该移动台；和在该未经许可的移动接入网络中，转发从该移动台到该核心网络的服务请求，其中该移动台的IMSI包括在该服务请求中。该方法还包括下列步骤：在该未经许可的移动接入网络中，发送从该核心网络到该移动台的认证请求；在该未经许可的移动接入网络中，响应于该认证请求转发认证响应，其中该移动台响应于该认证请求创建密钥。该方法还包括下列步骤：在该未经许可的移动接入网络中，将由该核心网络创建的密码模式命令消息转发到该移动台；由该未经许可的移动接入网络将认证信息包括在从该核心网络到该移动台的密码模式命令消息中并将修改后的密码模式命令消息转发给该移动台；并由该未经许可的移动接入网络从该移动台接收用该认证信息和密钥加密的代码。
根据本发明的另一个方面，提供了一种方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤：在从移动台发送较高层消息之前，向该未经许可的移动接入网络认证该移动台；由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；并且由该未经许可的移动接入网络将该请求消息转发到该核心网络，而不由该未经许可的移动接入网络检查该消息。该方法还包括下列步骤：通过该未经许可的移动接入网络，从该核心网络发送到该移动台的认证请求；响应该认证请求由该移动台创建认证响应并通过该未经许可的移动接入网络将该认证响应转发到该核心网络。该方法还包括下列步骤：由该核心网络校验该认证响应；并将密码模式命令消息发送到该未经许可的移动接入网络。该方法还包括下列步骤：由该未经许可的移动接入网络将在该密码模式命令消息中的允许的算法列表转发到该移动台；并由该未经许可的移动接入网络检查来自该移动台的较高层消息，以确保与移动台相关联的识别工具被存储在该较高层消息中。
根据本发明的另一个方面，提供了一种方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤：在从移动台发送较高层消息之前，向该未经许可的移动接入网络认证该移动台；由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；并且由该未经许可的移动接入网络将该请求消息转发到该核心网络，而不由该未经许可的移动接入网络检查该消息。该方法还包括下列步骤：通过该未经许可的移动接入网络，将认证请求从该核心网络发送到该移动台；响应于该认证请求由该移动台创建认证响应并通过该未经许可的移动接入网络将该认证响应转发到该核心网络；由该核心网络校验该认证响应；并将密码模式命令消息发送到该未经许可的移动接入网络。该方法还包括下列步骤：在从该核心网络到该移动台的密码模式命令消息中包括认证信息，并由该未经许可的移动接入网络，在该密码模式命令消息中转发到该移动台；并响应于该命令消息，由该移动台包括用该认证信息和密钥加密的代码，并将该响应转发到该未经许可的移动接入网络。
在本发明的另一个方面中，提供了一种方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤：在从移动台发送较高层消息之前，向未经许可的移动接入网络认证该移动台；由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；并且通过该未经许可的移动接入网络，将该请求消息转发到该核心网络，而不通过该未经许可的移动接入网络检查该消息。该方法还包括下列步骤：通过该未经许可的移动接入网络，将认证请求从该核心网络发送到移动台；响应于该认证请求由该移动台创建认证响应并通过该未经许可的移动接入网络将该认证响应转发到该核心网络；由该核心网络校验该认证响应，并将密码模式命令消息发送到该未经许可的移动接入网络；由该未经许可的移动接入网络将该密码模式命令消息转发到该移动台；并由该移动台将密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
在本发明的另一个方面中，提供了一种在实现未经许可的移动接入网络的配置中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份。该方法包括下列步骤：在从移动台发送较高层消息之前，向未经许可的移动接入网络认证该移动台；由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI。该方法还包括下列步骤：响应于来自该核心网络的认证请求，由该移动台创建认证响应，并通过该未经许可的移动接入网络，将该认证响应转发到该核心网络；并由该移动台将密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
附图说明
附图与用于解释本发明之原理的说明书一同说明了本发明的实施方式，附图提供了本发明的进一步理解，并被结合在说明书中且组成了本说明书的一部分。
在附图中：
图1说明了具有有效订制的用户如何能够执行中间人攻击；
图2说明了实现在其中实现了本发明的未经许可的移动接入体系结构的系统200的部件；
图3说明了在本发明的实施方式中实现的防止由有效用户进行中间人攻击的步骤；
图4说明了在另一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤；
图5说明了在又一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤。
具体实施方式
现在将详细参考本发明的优选实施方式，在附图中说明了本发明的示例。下面描述的本发明扩展了用于用未经许可的移动接入网络和核心网络认证移动台的本发明方法的功能。
本发明涉及在实现未经许可的移动接入体系结构的系统中的移动台的认证，从而防止“中间人”攻击。该未经许可的移动接入配置，通过为某些全球移动通信系统/通用分组无线业务(GSM/GPRS)协议建立从在宽带互联网协议(IP)上的核心网络到用户设备的通道，并通过随后将它们在用户设备内部的未经许可的无线链接上进行中继，扩展了GSM/GPRS移动服务。未经许可的移动接入被设计为对传统GSM/GPRS无线覆盖的补充，并用于增强用户设备覆盖，增加网络容量并潜在地降低成本。未经许可的移动接入配置中的未经许可的移动接入网络被设计为与GSM/GPRS无线接入网络共存，并通过标准GSM基站子系统(GSM BSS)使用的相同的接口，使GSM核心网络与移动台互相连接。因此，该未经许可的移动接入网络对GSM/GPRS核心网络看来象一个GSM BSS，并且也象GSM BSS这样管理及运行。应该注意到，未经许可的移动接入可以取代GSM协议以UMTS协议方式使用。在这种情况下，该未经许可的移动接入网络对核心网络看来是无线接入网络。
图2说明了实现在其中实现了本发明的未经许可的移动接入体系结构的系统200的部件。系统200包括三个主要部件：移动台202、未经许可的移动接入网络204和核心网络206。对本领域的技术人员来说很明显，移动台202可以包括电话、膝上型电脑、PDA或者任何由未经许可的移动接入配置中的用户使用的其它设备。移动台202存在于用户设备201上，而且移动台202包括移动终端208和用户识别模块(SIM)210。未经许可的移动接入网络204提供等同于GSM/GPRS基站控制器的功能，其中未经许可的移动接入网络204将移动台202连接到核心网络206，并通过用于电路和交换语音服务的标准GSM A-接口和用于分组数据服务的标准GPRS Gb-接口与移动台202通信。核心网络206实现交易控制和用户服务的原理要素。宽带IP网络205提供用户设备201与未经许可的移动接入网络204之间的连接性，而接入点203提供到移动台202的未经许可的无线链接。通过在用户设备201中的接入点203，IP传输网络从未经许可的移动接入网络204扩展到移动台202，从而能够在未经许可的移动接入网络204和移动台202之间定义单一的接口，Ut。
特别地，在移动台202中，SIM 210是提供个人移动性的智能卡，以致用户可以在SIM 210插入任何终端时接入订制的服务。因此，当SIM 210插入终端时，该用户能够在该终端接收呼叫，从该终端进行呼叫和接收其它订制的服务。国际移动设备身份(IMEI)唯一地识别移动台202，以及在其它信息之中，SIM 210还包括了用于向系统识别用户的国际移动用户身份(IMSI)，和用于认证的密钥Kc。IMEI和IMSI是互相独立的，从而允许个人移动性。如本领域的普通技术人员所熟知的，SIM 210可以通过密码或者个人身份号码保护免除未认证的使用。
在该未经许可的移动接入体系结构中，移动台202提供了双重模式，即许可的和未经许可的无线通信，以及在它们之间切换的能力。提供了接入模式开关以在GSM模式和未经许可的移动接入模式之间进行切换。移动台202支持到接入点203的IP接口，从支持IP网络从未经许可的移动接入网络204扩展到移动台202。接入点203最好不提供任何未经许可的移动接入专用网关功能。因此，可以将任何标准接入点用于通过宽带IP网络205使移动台202连接到未经许可的移动接入网络204。接入点203提供对于移动台202的未经许可的无线链接，而且它通过宽带IP网络205连接到未经许可的移动接入网络204。
如上所示，未经许可的移动接入网络204提供等同于GSM/GRPS基站控制器的功能。它通过IP传输网络连接到用户设备201，并通过按入点203连接到移动台202。未经许可的移动接入网络204与移动台203保持端到端通信，并向核心网络206中继GSM/GPRS信号。特别地，当核心网络206中的移动交换中心不使用某些特征时，它将来自用户设备201的声音映射为PCM声音。
核心网络206包括移动交换中心(MSC)212、归属用户位置寄存器(HLR)214、访问用户位置寄存器(VLR)216、设备身份寄存器(EIR)218和认证中心220。MSC 212起到如同PSTN或ISDN的常规交换节点的作用，并提供处理移动用户的所有功能，比如注册、认证、位置更新、移交和呼叫路由到漫游用户。MSC 212还提供到比如PSTN或ISDN的固定网络的连接。HLR 214与MSC 212和VLR 216共同工作，以提供GSM的呼叫路由和漫游能力。HLR 214包括在相应GSM网络和基站202的当前位置中注册的每个用户的所有管理信息。VLR 216包括从HLR 214中选择的管理信息，这是呼叫控制和为当前位于受VLR 216控制的地理区域中的每个移动台提供订制的服务所必需的。EIR 218是包括网络上所有有效移动设备列表的数据库，其中每个移动台由其IMEI识别。认证中心220是受保护的数据库，其存储了在每个用户的SIM 210卡中存储的密钥的拷贝，其中该密钥用于无线信道上的认证和加密。
未经许可的移动接入网络204和移动台202之间的Ut接口在IP传输网络上运行，并中继从公共陆地移动网络(PLMN)核心网络206到移动台202的GSM/GPRS信令。该Ut接口使GSM移动管理协议和核心网络206中的在该等级之上的协议能够透明地在移动台202和MSC 212之间传送。这允许移动台202导出所有GSM服务，就好像它在GSM BSS中一样。在该未经许可的移动接入体系结构中，由于未经许可的无线链接表现出与许可的无线链接不同的特性，未经许可的移动接入无线资源(UMA-RR)协议取代了传统的GSM-RR协议。定义了传输和复用未经许可的移动接入传输协议(UMA-TP)，以在移动台202和未经许可的移动接入网络204之间的安全通道上传送该UMA-RR消息。该未经许可的移动接入安全通道使用IP上的SSL/TCP，并且负责建立该安全通道。该未经许可的移动接入安全通道还负责管理与标准接入点203的未经许可的无线链接。在该未经许可的移动接入体系结构中，标准IP技术用于移动台202中，以访问该未经许可的无线链接。
在接收来自该移动台的任何未经许可的无线资源信令或较高层消息之前，未经许可的移动接入网络204通过利用诸如密码、授权证书或SIM卡的既存认证方法，认证移动台202上的用户。移动台204和未经许可的移动接入网络206之间的信令通信量是加密的并使用例如IPsec或者传输层安全协议保护其完整性。在用未经许可的移动接入网络204认证了该用户之后，该用户随后可以被认证到核心网络206。
图3说明了在本发明的实施方式中实现的防止有效用户的中间人攻击的步骤。在步骤3010中，该用户连接到未经许可的移动接入网络204，而未经许可的移动接入网络204认证该用户并建立安全信道。在步骤3020中，在未经许可的移动接入网络204和移动台202之间建立了未经许可的无线资源信令。在步骤3030中，该用户用包括向核心网络206识别该用户的、国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息，从核心网络206请求服务。在步骤3040中，未经许可的移动接入网络204将该请求消息转发到核心网络206，而不检查该请求消息的内容。在步骤3050中，响应于该请求消息，核心网络206将认证请求发送到移动台202。在步骤3060中，该用户利用移动台202中的SIM 210创建响应消息。在步骤3070中，移动台202将该响应消息发送到未经许可的移动接入网络204，以及未经许可的移动接入网络204将该响应消息转发到核心网络206，而不检查该响应消息的内容。在步骤3080中，核心网络206校验该响应，并将BSSMAP密码模式命令消息发送到未经许可的移动接入网络204。由于未经许可的移动接入网络204不使用由密码模式命令消息中的核心网络206提供的算法或密钥，未经许可的移动接入网络204简单地将允许的算法列表转发到该用户。在步骤3090中，在完成了该密码模式设置之后，未经许可的移动接入网络204检查从移动台202发送到核心网络206的移动管理消息。该移动管理消息包括CM服务请求、CM重建请求、身份响应、IMSI分离指示、位置更新请求和附属请求消息。在步骤3100中，未经许可的移动接入网络204，利用发送移动管理消息的移动台202的IMSI，从移动台202和未经许可的移动接入网络204之间的先前的认证步骤，映射移动台202的身份。如果在移动台202和未经许可的移动接入网络204之间的认证步骤期间不使用该IMSI，则未经许可的移动接入网络204可以从HLR取回该用户的简档并从该HLR获得该IMSI。在步骤3010中，如果该移动管理消息包括移动身份字段，并且如果该移动身份字段不包括先前用未经许可的移动接入网络204认证的移动台202的IMSI，则未经许可的移动接入网络204将来自认证过程的移动台202的IMSI复制到该移动身份字段中。这确保了用户不能够使用从移动台202发送到核心网络204的较高级消息中的第二个未被怀疑的用户的IMSI或TMSI。
图4说明了在另一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤。在步骤4010中，该用户连接到未经许可的移动接入网络204，而未经许可的移动接入网络204认证该用户并建立安全信道。在步骤4020中，未经许可的移动接入网络204和移动台202建立未经许可的无线资源信令。在步骤4030中，该用户用包括向核心网络206识别该用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息，从核心网络206请求服务。在步骤4040中，未经许可的移动接入网络202将该请求消息转发到核心网络206，而不检查该请求消息的内容。在步骤4050中，响应于该请求消息，核心网络206将询问发送到移动台202。在步骤4060中，移动台202计算加密密钥并利用SIM 210创建响应消息。在步骤4070中，移动台202将该响应消息发送到未经许可的移动接入网络204。在步骤4080中，未经许可的移动接入网络204将该响应消息转发到核心网络206，而不检查该响应消息的内容。在步骤4090中，核心网络206校验该响应并将BSSMAP密码模式命令消息发送到未经许可的移动接入网络204。在步骤4100中，未经许可的移动接入网络204在将该密码模式命令消息转发到该用户之前，在该密码模式命令消息中包括随机选择的询问，以及可能的附加信息。在步骤4110中，响应于在步骤4100中来自未经许可的移动接入网络204的询问，移动台202包括利用该加密密钥询问而计算的消息认证代码(MAC)，以及来自未经许可的移动接入网络204的消息中的可能的附加信息。由于该加密密钥不是通过无线链接发送的，本实施方式通过确保每个用户必须知道与核心网络206的询问相关联的加密密钥，防止中间人攻击。在选择性的实施方式中，该MAC可以包括移动台的身份，即与该移动台相关联的IMSI，和来自步骤4010中在移动台202和未经许可的移动接入网络204之间的认证的未经许可的移动接入网络204的身份。在另一个选择性的实施方式中，该MAC可以包括涉及在移动台202和未经许可的移动接入网络204之间建立的安全通道(IPsec或TLS)的消息。
图5说明了在另一个实施方式中实现的用于防止未经许可的移动接入配置中的中间人攻击的步骤。在步骤5010中，该用户连接到未经许可的移动接入网络204，而未经许可的移动接入网络204认证该用户并建立安全信道。在步骤5020中，在移动台202和未经许可的移动接入网络204之间建立未经许可的无线资源信令。在步骤5030中，该用户用包括向核心网络206识别该用户的国际移动用户身份(IMSI)或者临时移动用户身份(TMSI)的消息请求服务。在步骤5040中，未经许可的移动接入网络202将该请求消息转发到核心网络206，而不检查该请求消息的内容。在步骤5050中，响应于该请求消息，核心网络206将认证请求发送到该移动台。在步骤5060中，该用户利用移动台202中的SIM 210和密钥Kc创建响应消息。在步骤5070中，移动台202将该响应消息发送到未经许可的移动接入网络204。在步骤5080中，未经许可的移动接入网络204将该响应消息转发到核心网络206，而不检查该响应消息的内容。在步骤5090中，核心网络206校验该响应并将BSSMAP密码模式命令消息发送到未经许可的移动接入网络204。在步骤5100中，未经许可的移动接入网络204将该密码模式命令消息转发到该用户。在步骤5110中，移动台202将该密钥Kc传送到IPsec或者TLS层。通过将密钥传送到IPsec或者TLS层，本实施方式确保了用该密钥Kc或者从密钥Kc导出的密钥保护所有其它消息，并由于一个用户不能够通过伪装为BSS而获得另一个用户的密钥，防止了中间人攻击。
先前的说明专注于本发明特定的实施方式。然而，很明显，可以对所描述的实施方式进行其它的达到其部分或全部优势的变形和修改。因此，所附权利要求书的目标是将所有这些变形和修改覆盖在本发明的真正的精神和范围内。

Claims (32)

1.一种未经许可的移动接入网络，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该网络包括：
认证装置，用于在将较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台；以及
连接装置，用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号；
检验装置，用于确保通过该未经许可的移动接入网络从该移动台到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的该移动台；
其中，在该移动台和该未经许可的移动接入网络之间认证期间，该未经许可的移动接入网络存储与该移动台相关联的识别工具，并在该移动台和该核心网络之间的认证之后，该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的该较高层消息，并确保与移动台相关联的该识别工具被存储在该较高层消息中。
2.一种未经许可的移动接入网络，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该网络包括：
认证装置，用于在将该较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台；
连接装置，用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号；以及
其中，在该移动台和该核心网络之间认证期间，该未经许可的移动接入网络包括在从该核心网络到该移动台的命令消息中的认证信息，并且响应于该命令消息，该移动台包括用该认证信息加密的代码和在该移动台中计算的密钥。
3.一种未经许可的移动接入网络，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该网络包括：
认证装置，用于在将较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台，其中该移动台包括用户识别模块，该用户识别模块包括用于识别该移动台的识别工具和密钥；
连接装置，用于将该移动台连接到该核心网络；以及
中继装置，用于中继该移动台和该核心网络之间的信号；
其中，在该移动台和该核心网络之间认证期间，该移动台将该密钥传送到该未经许可的移动接入网络的IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
4.一种与未经许可的移动接入网络进行通信的移动台，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该移动台包括：
认证装置，用于在将较高层消息从移动台发送到核心网络之前，向该未经许可的移动接入网络认证该移动台；
用户识别模块，包括用于识别该移动台的识别工具和密钥；
连接装置，用于将该移动台连接到该核心网络；以及
中继该移动台和该核心网络之间的信号；
其中，在该移动台和该核心网络之间认证期间，该移动台将该密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
5.一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该系统包括：
认证装置，用于在将较高层消息从移动台发送之前，向未经许可的移动接入网络认证该移动台，并此后，用于向核心网络认证该移动台；
包括用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具；
未经许可的移动接入网络，用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号，该未经许可的移动接入网络包括检验装置，用于确保通过该未经许可的移动接入网络到该核心网络的较高层消息来自用该未经许可的移动接入网络认证的该移动台；以及
该核心网络，用于实现交易控制和用户服务，
其中，在该移动台和该未经许可的移动接入网络之间认证期间，该未经许可的移动接入网络存储与该移动台相关联的识别工具，并在该移动台和该核心网络之间的认证之后，该未经许可的移动接入网络利用该检验装置检查从该移动台发送到该核心网络的较高层消息，并且确保与移动台相关联的该识别工具被存储在该较高层消息中。
6.根据权利要求5所述的系统，其中该未经许可的移动接入网络包括：
映射装置，用于映射用于识别该移动台的IMSI，该未经许可的移动接入网络从在该移动台和该未经许可的移动接入网络之间的认证过程中获得该IMSI，用该移动台的该IMSI将该较高层消息发送到该核心网络；以及
存储装置，用于如果已经在该较高层消息中的该IMSI与从该认证过程中获得的该IMSI不同，则将来自该认证过程的该IMSI存储在该较高层消息中。
7.根据权利要求6所述的系统，其中该未经许可的移动接入网络包括取回装置，用于如果该未经许可的移动接入网络在该认证过程期间没有保存该IMSI，则从用户简档中取回该IMSI。
8.根据权利要求5所述的系统，其中该移动台提供双重模式无线通信，和接入模式开关，以使该移动台能够在该双重模式无线通信之间切换。
9.根据权利要求5所述的系统，其中该移动台包括在用户设备中，该系统还包括：
宽带IP网络，用于连接该用户设备与该未经许可的移动接入网络；以及
在该用户设备中的接入点，用于给该移动台提供未经许可的无线链接，并用于通过该宽带IP网络连接到该未经许可的移动接入网络，
其中，该移动台支持使IP网络能够通过该接入点从该未经许可的移动接入网络扩展到该移动台的IP传输接口，以及
其中，该IP传输网络能够在该未经许可的移动接入网络和该移动台之间定义单一的接口，Ut。
10.根据权利要求9所述的系统，其中该Ut接口包括中继部件，用于中继从PLMN核心网络到该移动台的GSM/GPRS信令，其中该Ut接口使在或高于GSM移动管理等级的协议能够在该移动台和该核心网络的移动交换中心之间透明地传输，从而允许该移动台如同与GSMBSS进行通信一样导出所有GSM服务。
11.根据权利要求9所述的系统，其中该接入点是标准接入点。
12.根据权利要求9所述的系统，其中该未经许可的移动接入网络包括映射部件，用于当该核心网络中的移动交换中心不实现某些特征时，将来自该用户设备的声音映射为PCM声音。
13.根据权利要求9所述的系统，还包括协议装置，用于使传输和复用协议能够传输与在该移动台和该未经许可的移动接入网络之间的安全通道上的无线资源协议相关联的消息，其中，该安全通道使用IP上的SSL/TCP，并且负责管理与该接入点的未经许可的无线链接，并且其中该移动台使用标准IP技术访问该未经许可的无线链接。
14.根据权利要求5所述的系统，其中该未经许可的移动接入网络包括通信装置，用于使该未经许可的移动接入网络能够通过标准GSM A-接口和GPRS Gb-接口与该移动台进行通信。
15.根据权利要求5所述的系统，此外其中该认证装置是用于使该移动台能够通过密码、授权证书或者SIM卡中的至少一个用该未经许可的移动接入网络认证。
16.根据权利要求5所述的系统，还包括加密装置，用于加密在该移动台和该未经许可的移动接入网络之间的信令通信量。
17.一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该系统包括：
认证装置，用于在将较高层消息从移动台发送之前，向未经许可的移动接入网络认证该移动台，并此后，用于向核心网络认证该移动台；
包括用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具和密钥；
未经许可的移动接入网络，用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号；以及
该核心网络，用于实现交易控制和用户服务，
其中，在该移动台和该核心网络之间认证期间，该未经许可的移动接入网络包括在从该核心网络到该移动台的命令消息中的认证信息，并响应于该命令消息，该移动台包括用该认证信息和该密钥加密的代码。
18.根据权利要求17所述的系统，其中该认证信息至少包括随机选择的询问。
19.根据权利要求17所述的系统，其中该代码包括与该移动台相关联的IMSI和该未经许可的移动接入网络的身份，其中该移动台在该移动台和该未经许可的移动接入网络认证期间，获得该未经许可的移动接入网络的身份。
20.根据权利要求17所述的系统，其中该代码包括涉及在该移动台和该未经许可的移动接入网络认证期间，在该移动台和该未经许可的移动接入网络之间建立的安全通道的消息。
21.一种系统，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该系统包括：
认证装置，用于在将较高层消息从移动台发送之前，向未经许可的移动接入网络认证该移动台，并此后，用于向核心网络认证该移动台；
包括用户识别模块的移动台，该用户识别模块包括用于识别该移动台的识别工具和密钥；
未经许可的移动接入网络，用于将该移动台连接到该核心网络，并用于中继该移动台和该核心网络之间的信号；以及
该核心网络，用于实现交易控制和用户服务，
其中，在该移动台和该核心网络之间认证期间，该移动台将该密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥Kc导出的密钥保护从该移动台发送的所有其它消息。
22.一种在未经许可的移动接入网络中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该方法包括下列步骤：
在将较高层消息从该移动台发送到核心网络之前，在该未经许可的移动接入网络中认证该移动台；
在该未经许可的移动接入网络中，转发从该移动台到该核心网络的服务请求，其中该移动台的IMSI包括在该服务请求中；
在该未经许可的移动接入网络中，发送从该核心网络到该移动台的认证请求；
在该未经许可的移动接入网络中，响应于该认证请求转发认证响应；以及
通过该未经许可的移动接入网络，检查从该移动台到该核心网络的较高层消息，以确保与该移动台相关联的识别工具被存储在该较高层消息中。
23.一种在未经许可的移动接入网络中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该方法包括下列步骤：
在将较高层消息从该移动台发送到核心网络之前，在该未经许可的移动接入网络中认证该移动台；
在该未经许可的移动接入网络中，转发从该移动台到该核心网络的服务请求，其中该移动台的IMSI包括在该服务请求中；
在该未经许可的移动接入网络中，发送从该核心网络到该移动台的认证请求；
在该未经许可的移动接入网络中，响应于该认证请求转发该认证响应，其中该移动台响应于该认证请求创建密钥；
在该未经许可的移动接入网络中，将由该核心网络创建的密码模式命令消息转发到该移动台；
通过该未经许可的移动接入网络，将认证信息包括到从该核心网络到该移动台的该密码模式命令消息中，并将该修改后的密码模式命令消息转发到该移动台；和
通过该未经许可的移动接入网络，从该移动台接收用该认证信息和该密钥加密的代码。
24.一种在实现未经许可的移动接入网络的配置中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该方法包括下列步骤：
在从该移动台发送较高层消息之前，向该未经许可的移动接入网络认证该移动台；
由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；
通过该未经许可的移动接入网络，将该请求消息转发到该核心网络，而不通过该未经许可的移动接入网络检查该消息；
通过该未经许可的移动接入网络发送从该核心网络到该移动台的认证请求；
由该移动台响应于该认证请求创建认证响应，并通过该未经许可的移动接入网络将该认证响应转发到该核心网络；
由该核心网络校验该认证响应，并将密码模式命令消息发送到该未经许可的移动接入网络；
由该未经许可的移动接入网络将在该密码模式命令消息中的允许的算法列表转发到该移动台；以及
由该未经许可的移动接入网络检查来自该移动台的较高层消息，以确保与移动台相关联的识别工具被存储在该较高层消息中。
25.根据权利要求24所述的方法，还包括下列步骤：
由该未经许可的移动接入网络映射用于从该移动台和该未经许可的移动接入网络之间的认证过程中识别该移动台的IMSI，用该移动台的IMSI将较高层消息发送到该核心网络；以及
如果已经在该较高层消息中的该IMSI与从该认证过程中获得的IMSI不同，则将来自该认证过程的该IMSI存储在该较高层消息中。
26.根据权利要求25所述的系统，还包括如果该未经许可的移动接入网络在该认证过程期间没有保存该IMSI，则从用户简档中取回该IMSI的步骤。
27.一种在实现未经许可的移动接入网络的配置中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该方法包括下列步骤：
在从该移动台发送较高层消息之前，向该未经许可的移动接入网络认证该移动台；
由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；
通过该未经许可的移动接入网络，将该请求消息转发到该核心网络，而不通过该未经许可的移动接入网络检查该消息；
通过该未经许可的移动接入网络发送从该核心网络到该移动台的认证请求；
由该移动台响应于该认证请求创建认证响应，并通过该未经许可的移动接入网络将该认证响应转发到该核心网络；
由该核心网络校验该认证响应，并将密码模式命令消息发送到该未经许可的移动接入网络；
在从该核心网络到该移动台的该密码模式命令消息中包括认证信息，并由该未经许可的移动接入网络，在该密码模式命令消息中转发到该移动台；以及
响应于该命令消息，由该移动台包括用该认证信息和该密钥加密的代码，并将该响应转发到该未经许可的移动接入网络。
28.根据权利要求27所述的方法，还包括在该认证信息中至少存储随机选择的询问的步骤。
29.根据权利要求27所述的方法，还包括在该代码中存储与该移动台相关联的IMSI和该未经许可的移动接入网络的身份的步骤，其中该移动台在该移动台和该未经许可的移动接入网络认证期间获得该未经许可的移动接入网络的该身份。
30.根据权利要求27所述的方法，还包括在该代码中存储，涉及在该移动台和该未经许可的移动接入网络认证期间，在该移动台和该未经许可的移动接入网络之间建立的安全通道的消息的步骤。
31.一种在实现未经许可的移动接入网络的配置中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该方法包括下列步骤：
在从该移动台发送较高层消息之前，向该未经许可的移动接入网络认证该移动台；
由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；
通过该未经许可的移动接入网络，将该请求消息转发到该核心网络，而不通过该未经许可的移动接入网络检查该消息；
通过该未经许可的移动接入网络发送从该核心网络到该移动台的认证请求；
由该移动台响应于该认证请求创建认证响应，并通过该未经许可的移动接入网络将该认证响应转发到该核心网络；
由该核心网络校验该认证响应，并将密码模式命令消息发送到该未经许可的移动接入网络；
由该未经许可的移动接入网络将该密码模式命令消息转发到该移动台；以及
由该移动台将密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
32.一种在实现未经许可的移动接入网络的配置中的方法，用于当未经许可的移动接入系统中的第一用户从移动台向核心网络请求服务时，确保防止该第一用户未认证地使用第二用户的身份，该方法包括下列步骤：
在从该移动台发送较高层消息之前，向该未经许可的移动接入网络认证该移动台；
由该移动台从该核心网络请求服务，并在该请求消息中包括该移动台的IMSI；
由该移动台响应于来自该核心网络的该认证请求创建认证响应，并通过该未经许可的移动接入网络将该认证响应转发到该核心网络；以及
由该移动台将密钥传送到IPsec或者TLS层，从而确保用该密钥或者从该密钥导出的密钥保护从该移动台发送的所有其它消息。
CN200580013090.7A 2004-04-26 2005-04-08 未经许可的移动接入信令的改进的用户认证 Active CN1947453B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US10/831,352 2004-04-26
US10/831,352 US7200383B2 (en) 2004-04-26 2004-04-26 Subscriber authentication for unlicensed mobile access signaling
PCT/IB2005/000933 WO2005104597A1 (en) 2004-04-26 2005-04-08 Improved subscriber authentication for unlicensed mobile access signaling

Publications (2)

Publication Number Publication Date
CN1947453A true CN1947453A (zh) 2007-04-11
CN1947453B CN1947453B (zh) 2016-04-13

Family

ID=35137111

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200580013090.7A Active CN1947453B (zh) 2004-04-26 2005-04-08 未经许可的移动接入信令的改进的用户认证

Country Status (13)

Country Link
US (1) US7200383B2 (zh)
EP (3) EP1741308B1 (zh)
JP (1) JP4369513B2 (zh)
KR (1) KR101170191B1 (zh)
CN (1) CN1947453B (zh)
AT (1) ATE531219T1 (zh)
AU (1) AU2005236981B2 (zh)
DK (2) DK2547134T3 (zh)
HU (1) HUE032914T2 (zh)
MY (1) MY140587A (zh)
PL (2) PL1741308T3 (zh)
TW (1) TWI356614B (zh)
WO (1) WO2005104597A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101466095B (zh) * 2007-12-20 2011-06-01 株式会社日立制作所 非便携终端的网络连接方法
CN104144436A (zh) * 2008-06-11 2014-11-12 三菱电机研发中心欧洲有限公司 用于识别至少一个终端的方法和设备
WO2016205991A1 (zh) * 2015-06-23 2016-12-29 华为技术有限公司 免授权传输的方法、用户设备、接入网设备和核心网设备

Families Citing this family (59)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8996698B1 (en) * 2000-11-03 2015-03-31 Truphone Limited Cooperative network for mobile internet access
US7308263B2 (en) 2001-02-26 2007-12-11 Kineto Wireless, Inc. Apparatus for supporting the handover of a telecommunication session between a licensed wireless system and an unlicensed wireless system
US7996009B2 (en) 2001-02-26 2011-08-09 Kineto Wireless, Inc. Method for authenticating access to an unlicensed wireless communications system using a licensed wireless communications system authentication process
US7606190B2 (en) 2002-10-18 2009-10-20 Kineto Wireless, Inc. Apparatus and messages for interworking between unlicensed access network and GPRS network for data services
US7634269B2 (en) * 2002-10-18 2009-12-15 Kineto Wireless, Inc. Apparatus and method for extending the coverage area of a licensed wireless communication system using an unlicensed wireless communication system
EP2334129A3 (en) * 2002-10-18 2012-07-11 Kineto Wireless, Inc. Method and apparatuses for paging a telecommunication device
US7885644B2 (en) * 2002-10-18 2011-02-08 Kineto Wireless, Inc. Method and system of providing landline equivalent location information over an integrated communication system
US7565145B2 (en) 2002-10-18 2009-07-21 Kineto Wireless, Inc. Handover messaging in an unlicensed mobile access telecommunications system
US7349698B2 (en) 2002-10-18 2008-03-25 Kineto Wireless, Inc. Registration messaging in an unlicensed mobile access telecommunications system
TWI220833B (en) * 2003-09-12 2004-09-01 Benq Corp Method for wireless terminal to log in communication system and communication system thereof
US7272397B2 (en) * 2003-10-17 2007-09-18 Kineto Wireless, Inc. Service access control interface for an unlicensed wireless communication system
US7283822B2 (en) * 2003-10-17 2007-10-16 Kineto Wireless, Inc. Service access control interface for an unlicensed wireless communication system
US7957348B1 (en) 2004-04-21 2011-06-07 Kineto Wireless, Inc. Method and system for signaling traffic and media types within a communications network switching system
US7843882B2 (en) * 2004-08-23 2010-11-30 Alcatel-Lucent Usa Inc. Soft vertical handovers in wireless networks
US7940746B2 (en) 2004-08-24 2011-05-10 Comcast Cable Holdings, Llc Method and system for locating a voice over internet protocol (VoIP) device connected to a network
WO2006045402A1 (en) * 2004-10-26 2006-05-04 Telecom Italia S.P.A. Method and system for transparently authenticating a mobile user to access web services
KR20070091176A (ko) * 2004-11-29 2007-09-07 리서치 인 모션 리미티드 무선 사용자 설비(ｕｅ) 장치에 운영자-차등 메시징을제공하는 시스템 및 방법
US8565721B2 (en) 2006-10-20 2013-10-22 T-Mobile Usa, Inc. System and method for rating an IP-based wireless telecommunications based on access point
WO2008048200A2 (en) * 2005-05-10 2008-04-24 Network Equipment Technologies, Inc. Lan-based uma network controller with proxy connection
US20060268902A1 (en) * 2005-05-24 2006-11-30 Cingular Wireless Ii, Llc Dynamic dual-mode service access control, location-based billing, and e911 mechanisms
US7864673B2 (en) * 2005-05-24 2011-01-04 At&T Mobility Ii Llc Dynamic dual-mode service access control, location-based billing, and E911 mechanisms
US20070021127A1 (en) * 2005-07-22 2007-01-25 Haihong Zheng Method and apparatus for supporting location service over radio communication systems
US7596124B2 (en) * 2005-07-29 2009-09-29 Cisco Technology, Inc. Integration of an analog phone with unlicensed mobile access/global system for mobile communications functionality
US7843900B2 (en) 2005-08-10 2010-11-30 Kineto Wireless, Inc. Mechanisms to extend UMA or GAN to inter-work with UMTS core network
KR100678522B1 (ko) * 2005-09-23 2007-02-02 한국전자통신연구원 다중 모드 통신 시스템 및 그 방법
EP1949572B1 (en) * 2005-10-12 2018-07-25 T-Mobile, USA, Inc System and method for billing ip-based wireless telecommunications in a converged network
WO2007071275A1 (en) * 2005-12-22 2007-06-28 Telefonaktiebolaget L.M. Ericsson Subscriber authentication in mobile communication networks using unlicensed access networks
US8165086B2 (en) 2006-04-18 2012-04-24 Kineto Wireless, Inc. Method of providing improved integrated communication system data service
US20090059848A1 (en) * 2006-07-14 2009-03-05 Amit Khetawat Method and System for Supporting Large Number of Data Paths in an Integrated Communication System
US7912004B2 (en) 2006-07-14 2011-03-22 Kineto Wireless, Inc. Generic access to the Iu interface
US20080039086A1 (en) 2006-07-14 2008-02-14 Gallagher Michael D Generic Access to the Iu Interface
US20080076425A1 (en) 2006-09-22 2008-03-27 Amit Khetawat Method and apparatus for resource management
US7852817B2 (en) 2006-07-14 2010-12-14 Kineto Wireless, Inc. Generic access to the Iu interface
US20080062961A1 (en) * 2006-08-24 2008-03-13 Motorola, Inc. Method and system for managing communication sessions in a plurality of communication networks
US8204502B2 (en) 2006-09-22 2012-06-19 Kineto Wireless, Inc. Method and apparatus for user equipment registration
US20080076392A1 (en) * 2006-09-22 2008-03-27 Amit Khetawat Method and apparatus for securing a wireless air interface
US8036664B2 (en) 2006-09-22 2011-10-11 Kineto Wireless, Inc. Method and apparatus for determining rove-out
US8073428B2 (en) 2006-09-22 2011-12-06 Kineto Wireless, Inc. Method and apparatus for securing communication between an access point and a network controller
US7995994B2 (en) 2006-09-22 2011-08-09 Kineto Wireless, Inc. Method and apparatus for preventing theft of service in a communication system
US8351420B2 (en) * 2006-10-23 2013-01-08 T-Mobile Usa, Inc. Maintenance of subscriber history for service support applications in an IP-based telecommunications system
US8019331B2 (en) 2007-02-26 2011-09-13 Kineto Wireless, Inc. Femtocell integration into the macro network
ATE515163T1 (de) * 2008-04-02 2011-07-15 Quescom Kommunikationsverfahren und -system durch lokalisierung eines mobilen endgeräts in abhängigkeit einer referenzzone
US20090262704A1 (en) * 2008-04-18 2009-10-22 Amit Khetawat Method and Apparatus for Establishment of Asynchronous Transfer Mode Based Bearer Connection between a Network Controller and Core Network
KR101537738B1 (ko) * 2008-05-19 2015-07-17 주식회사 케이티 Ｕｓｉｍ 카드 패스워드 관련 자동 안내 시스템 및 방법과이를 위한 장치
KR101485801B1 (ko) * 2008-08-18 2015-01-29 삼성전자주식회사 이동 통신 시스템의 인증과 비계층 프로토콜 보안 운영을 효율적으로 지원하는 관리 방법 및 시스템
JP5236414B2 (ja) * 2008-09-29 2013-07-17 京セラ株式会社 無線通信端末
US9313759B2 (en) 2009-10-16 2016-04-12 Tekelec, Inc. Methods, systems, and computer readable media for providing triggerless equipment identity register (EIR) service in a diameter network
US9265073B2 (en) 2010-05-21 2016-02-16 Kineto Wireless, Llc System and method for dual mode communication
US8073441B1 (en) 2010-08-24 2011-12-06 Metropcs Wireless, Inc. Location-based network selection method for a mobile device
CN102006210B (zh) * 2010-11-26 2013-10-02 华为终端有限公司 用户设备拨号上网方法、装置和系统
US9424509B2 (en) 2011-03-09 2016-08-23 T-Mobile Usa, Inc. System for application personalization for a mobile device
GB2496646A (en) 2011-11-17 2013-05-22 Renesas Mobile Corp Mapping a feedback (ACK/NACK) radio resource
US9143942B2 (en) * 2013-03-14 2015-09-22 Tekelec Global, Inc. Methods, systems, and computer readable media for providing a multi-network equipment identity register
US9750056B2 (en) 2015-01-27 2017-08-29 Huawei Technologies Co., Ltd. System and method for transmission in a grant-free uplink transmission scheme
US10771451B2 (en) 2016-09-13 2020-09-08 Queralt, Inc. Mobile authentication and registration for digital certificates
US11431509B2 (en) 2016-09-13 2022-08-30 Queralt, Inc. Bridging digital identity validation and verification with the FIDO authentication framework
US10887113B2 (en) * 2016-09-13 2021-01-05 Queralt, Inc. Mobile authentication interoperability for digital certificates
US11696250B2 (en) * 2016-11-09 2023-07-04 Intel Corporation UE and devices for detach handling
CN111030964A (zh) * 2018-10-09 2020-04-17 中国移动通信有限公司研究院 一种响应Detach指令的方法和设备

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6205998B1 (en) * 2000-06-19 2001-03-27 Solar Enterprises International, Llc Solar concentrator gap and receiver design
ATE281047T1 (de) 2000-11-17 2004-11-15 Ericsson Telefon Ab L M Mobiles kommunikationsnetz
US7996009B2 (en) * 2001-02-26 2011-08-09 Kineto Wireless, Inc. Method for authenticating access to an unlicensed wireless communications system using a licensed wireless communications system authentication process
EP1257141B1 (en) 2001-05-10 2007-01-03 Nortel Networks Limited System and method for communication redirection between mobile telecommunication networks with different radio access technologies
AU2002302956A1 (en) 2001-05-16 2002-11-25 Adjungo Networks Ltd. Access to plmn networks for non-plmn devices
DE60236795D1 (de) * 2002-08-30 2010-08-05 Alcatel Lucent Verfahren und System zur Funkzugangwahl
US20040053602A1 (en) * 2002-09-18 2004-03-18 Wurzburg Francis L. Low-cost interoperable wireless multi-application and messaging service
EP2334129A3 (en) * 2002-10-18 2012-07-11 Kineto Wireless, Inc. Method and apparatuses for paging a telecommunication device
US20040203789A1 (en) * 2002-11-12 2004-10-14 Hammond Marc John Location service assisted transition between wireless networks
US7610047B2 (en) * 2003-06-06 2009-10-27 At&T Intellectual Property I, L.P. System and method for providing integrated voice and data services utilizing wired cordless access with unlicensed/unregulated spectrum and wired access with licensed/regulated spectrum
US7627338B2 (en) * 2003-06-06 2009-12-01 At&T Intellectual Property I, L.P. System and method for providing integrated voice and data services utilizing wired cordless access with unlicensed spectrum and wired access with licensed spectrum
US20050113069A1 (en) * 2003-11-25 2005-05-26 Intel Corporation User authentication through separate communication links
US7136641B2 (en) * 2004-03-18 2006-11-14 Motorola Inc. Alternative network selection for a communication device

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101466095B (zh) * 2007-12-20 2011-06-01 株式会社日立制作所 非便携终端的网络连接方法
CN104144436A (zh) * 2008-06-11 2014-11-12 三菱电机研发中心欧洲有限公司 用于识别至少一个终端的方法和设备
WO2016205991A1 (zh) * 2015-06-23 2016-12-29 华为技术有限公司 免授权传输的方法、用户设备、接入网设备和核心网设备

Also Published As

Publication number Publication date
DK1741308T3 (da) 2011-12-05
EP2403283A1 (en) 2012-01-04
US20050239441A1 (en) 2005-10-27
AU2005236981A1 (en) 2005-11-03
PL1741308T3 (pl) 2012-03-30
PL2547134T3 (pl) 2017-08-31
JP4369513B2 (ja) 2009-11-25
MY140587A (en) 2009-12-31
WO2005104597A1 (en) 2005-11-03
HUE032914T2 (hu) 2017-11-28
EP1741308B1 (en) 2011-10-26
JP2007535240A (ja) 2007-11-29
CN1947453B (zh) 2016-04-13
AU2005236981B2 (en) 2009-09-10
EP2403283B1 (en) 2013-02-20
TWI356614B (en) 2012-01-11
US7200383B2 (en) 2007-04-03
EP2547134B1 (en) 2017-03-08
KR20070007373A (ko) 2007-01-15
ATE531219T1 (de) 2011-11-15
KR101170191B1 (ko) 2012-07-31
EP2547134A1 (en) 2013-01-16
EP1741308A1 (en) 2007-01-10
DK2547134T3 (en) 2017-05-08
TW200623918A (en) 2006-07-01

Similar Documents

Publication Publication Date Title
CN1947453A (zh) 未经许可的移动接入信令的改进的用户认证
Golde et al. Weaponizing Femtocells: The Effect of Rogue Devices on Mobile Telecommunications.
US6427073B1 (en) Preventing misuse of a copied subscriber identity in a mobile communication system
KR101262405B1 (ko) 인증되지 않은 이동 액세스 네트워크 또는 일반적인 액세스 네트워크에서 보안을 제공하는 방법, 시스템 및 장치
JP3184528B2 (ja) 遠隔通信システム及び加入者確証方法
JP2021529475A (ja) ネットワークノード検証のための方法、システム、およびコンピュータ読み取り可能な媒体
US20040162998A1 (en) Service authentication in a communication system
US20060073811A1 (en) System and method for authentication in a mobile communications system
US20070115886A1 (en) Method of verifying integrity of an access point on a wireless network
EP1873998A1 (en) Identifiers in a communication system
JP2003501891A (ja) 安全に通信するための方法及び装置
CN107835204A (zh) 配置文件策略规则的安全控制
KR101301315B1 (ko) 액세스 네트워크 확장 임팩트를 최소화하기 위해 사용자 장비 및 Ｈ(ｅ) ＮＢ 를 이용하는 통신 방법
EP3673675B1 (en) Registering user equipment with a visited public land mobile network
CN101877852B (zh) 用户接入控制方法和系统
Sung et al. Location privacy without carrier cooperation
EP1176760A1 (en) Method of establishing access from a terminal to a server
EP3518491A1 (en) Registering or authenticating user equipment to a visited public land mobile network
KR101434750B1 (ko) 이동통신망에서 지리 정보를 이용한 무선랜 선인증 방법 및 장치
KR100968522B1 (ko) 상호 인증 및 핸드오버 보안을 강화한 모바일 인증 방법
WO2007071275A1 (en) Subscriber authentication in mobile communication networks using unlicensed access networks
CN112335271B (zh) 用于网络节点验证的方法、系统和计算机可读介质
KR20110108680A (ko) 인증 방법 및 장치
Ja’afer et al. Enhancement Mobile Security and User Confidentiality for UMTS
Katz Security and Privacy in Wireless Systems

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C41 Transfer of patent application or patent right or utility model
TA01 Transfer of patent application right

Effective date of registration: 20160111

Address after: Espoo, Finland

Applicant after: Technology Co., Ltd. of Nokia

Address before: Espoo, Finland

Applicant before: Nokia Oyj

C14 Grant of patent or utility model
GR01 Patent grant