專利名稱：安全通信的建立的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及 一 種用于在通信網(wǎng)絡(luò)的網(wǎng)元之間建立安全通信的枳』 制。具體而言，本發(fā)明涉及用于創(chuàng)建信任用戶的網(wǎng)絡(luò)(例如對等虛 擬專用網(wǎng)絡(luò))的方法、系統(tǒng)以及稱為網(wǎng)關(guān)單元的網(wǎng)元，在對等虛擬 專用網(wǎng)絡(luò)中，用戶可以通過使用動(dòng)態(tài)形成的網(wǎng)絡(luò)進(jìn)行安全地通信而 不要求通過企業(yè)網(wǎng)絡(luò)等進(jìn)行傳送。
為了達(dá)到下面將要描述的本發(fā)明的目的，應(yīng)當(dāng)注意的是
-充當(dāng)通信設(shè)備的網(wǎng)元例如可以是通過其用戶可以接入通信網(wǎng)絡(luò) 的任意設(shè)備；這意味著移動(dòng)設(shè)備以及非移動(dòng)設(shè)備和網(wǎng)絡(luò)獨(dú)立于它們 所基于的技術(shù)平臺(tái)；僅作為例子，需要注意的是，根據(jù)第三代伙伴 計(jì)劃3GPP所標(biāo)準(zhǔn)化的原理進(jìn)行操作并且公知為例如UMTS單元的 網(wǎng)元特別適合于結(jié)合本發(fā)明使用；
-就本發(fā)明而言，網(wǎng)元可以充當(dāng)客戶端實(shí)體或充當(dāng)服務(wù)器實(shí)體， 或者甚至可以將兩種功能集成于其中；
-通信內(nèi)容可以包括下列中的至少一種音頻數(shù)據(jù)、碎見頻數(shù)據(jù)、 圖像數(shù)據(jù)、文本數(shù)據(jù)以及描述音頻、視頻、圖像和/或文本數(shù)據(jù)的元 數(shù)據(jù)、它們的任意組合甚至可替換或附加地，可以是其它數(shù)據(jù)，例 如作為另 一例子，可以是可被訪問/下載的應(yīng)用程序的程序代碼；
-可以被實(shí)施為軟件代碼部分并在服務(wù)器/客戶端實(shí)體其中之一 處使用處理器運(yùn)行的方法步驟是軟件代碼無關(guān)的(software codeindependent)，并且可以使用任何已知的或未來開發(fā)的編程語言來 規(guī)定；
-可以在服務(wù)器/客戶端實(shí)體其中之一處實(shí)施為硬件組件的方法 步驟和/或設(shè)備是硬件無關(guān)的(hardware independent)，并且可以使 用任何已知的或未來開發(fā)的硬件技術(shù)或它們的混合來實(shí)現(xiàn)，例如 MOS、 CMOS、 BiCMOS、 ECL、 TTL等等，使用例如ASIC組件或 DSP組件。
-通常，任何方法步驟適合于實(shí)現(xiàn)為軟件或由硬件實(shí)現(xiàn)，而不改 變本發(fā)明的思想；
-設(shè)備或網(wǎng)元可以實(shí)現(xiàn)為單獨(dú)的設(shè)備，但這并不排除它們在整個(gè) 系統(tǒng)中以分布式的方式實(shí)現(xiàn)，只要保持了該設(shè)備的功能。
背景技術(shù)：
近些年來，通信網(wǎng)絡(luò)的增長性擴(kuò)張已經(jīng)在全世界發(fā)生，通信網(wǎng) 絡(luò)例如是基于有線的通信網(wǎng)絡(luò)，例如綜合業(yè)務(wù)數(shù)字網(wǎng)(ISDN); 或無線通信網(wǎng)絡(luò)，例如cdma2000 (碼分多址)系統(tǒng)、蜂窩第三代通 信網(wǎng)絡(luò)，例如通用移動(dòng)通信系統(tǒng)(UMTS )、通用分組無線系統(tǒng)(GPRS ) 或其他無線通信系統(tǒng)例如無線局域網(wǎng)絡(luò)(WLAN)。各種組織，例 如第三代伙伴計(jì)劃(3GPP)、國際電信聯(lián)盟(ITU)、第三代伙伴 計(jì)劃2 (3GPP2)、互聯(lián)網(wǎng)工程任務(wù)小組(IETF)等等正在致力于用 于通信網(wǎng)絡(luò)和多接入環(huán)境的標(biāo)準(zhǔn)。
通常，通信網(wǎng)絡(luò)的系統(tǒng)結(jié)構(gòu)使得一方，例如訂戶的用戶設(shè)備(例 如移動(dòng)臺(tái)、移動(dòng)電話、固定電話、個(gè)人計(jì)算機(jī)(PC)、膝上型計(jì)算 機(jī)、個(gè)人數(shù)字助理(PDA)等等)通過收發(fā)器或接口 (例如空中接 口、有線接口等等)連接到接入網(wǎng)絡(luò)子系統(tǒng)。該接入網(wǎng)絡(luò)子系統(tǒng)控 制來往于用戶設(shè)備的通信連接，并經(jīng)由接口連接到對應(yīng)的核心(或 骨干)網(wǎng)絡(luò)子系統(tǒng)。該核心(或骨干)網(wǎng)絡(luò)子系統(tǒng)將經(jīng)由通信連接 傳送的數(shù)據(jù)交換到目的地一方(例如另 一用戶設(shè)備、服務(wù)供應(yīng)商(服 務(wù)器/代理)或另一通信網(wǎng)絡(luò))。需要注意的是，核心網(wǎng)絡(luò)子系統(tǒng)可
以連接到多個(gè)接入網(wǎng)絡(luò)子系統(tǒng)，根據(jù)所使用的通信網(wǎng)絡(luò)，實(shí)際的網(wǎng) 絡(luò)結(jié)構(gòu)可以變換，這對于本領(lǐng)域技術(shù)人員是已知的并且在各種規(guī)范
例如針對UMTS、 GSM等的規(guī)范中進(jìn)行了定義。
通常，為了恰當(dāng)?shù)亟⒑吞幚砭W(wǎng)元例如用戶設(shè)備和另 一用戶終 端、數(shù)據(jù)庫、服務(wù)器等等之間的通信連接，涉及到一個(gè)或多個(gè)中間 網(wǎng)元例如控制網(wǎng)元、支持節(jié)點(diǎn)或服務(wù)節(jié)點(diǎn)。
一種特殊類型的通信網(wǎng)絡(luò)表示所謂的鄰近網(wǎng)絡(luò)。鄰近網(wǎng)絡(luò)通常 為基于無線傳輸?shù)南鄬π⌒?、相?dāng)短的距離、經(jīng)常ad-hoc的網(wǎng)絡(luò)。 鄰近網(wǎng)絡(luò)的一個(gè)例子是例如企業(yè)網(wǎng)或企業(yè)解決方案，在其中^象文檔 共享、即時(shí)消息收發(fā)、日程安排、會(huì)議召開等任務(wù)通常借助鄰近網(wǎng) 絡(luò)來執(zhí)行。
通信連接的一個(gè)重要方面是通信的安全，尤其是在其中可以傳 送敏感數(shù)據(jù)的企業(yè)網(wǎng)中。期望并且在某些情況下有必要確保只有通 信中的幾方能夠獲取在通信會(huì)話中傳送的信息并防止其他人收集敏 感數(shù)據(jù)。通信的安全例如可以通過使用安全信道和用于在各方之間 傳送數(shù)據(jù)/消息的加密/解密技術(shù)來實(shí)現(xiàn)。為了建立安全通信，還有必 要查證另一方是信任用戶/主才幾，即，確保接收方4皮4受4又成為該安全 通信的一方。
在本申請人提交的文檔EP 1 458 151 (或美國2004/179502 )中， 公開了一種用于移動(dòng)"Ad-Hoc"網(wǎng)絡(luò)的安全服務(wù)。為了提供安全服 務(wù)，從第一 ad-hoc節(jié)點(diǎn)向該ad-hoc網(wǎng)絡(luò)外部的第二網(wǎng)絡(luò)傳送一組用 戶標(biāo)識(shí)。該組用戶標(biāo)識(shí)包括與至少一個(gè)ad-hoc節(jié)點(diǎn)相關(guān)聯(lián)的用戶標(biāo) 識(shí)。在外部網(wǎng)絡(luò)中生成第一組認(rèn)證參數(shù)。該第一組認(rèn)證參數(shù)包括針 對包含于該組用戶標(biāo)識(shí)中的每個(gè)用戶標(biāo)識(shí)的認(rèn)證向量以及包括第二 組認(rèn)證參數(shù)的每個(gè)認(rèn)證向量。第二組中的某些認(rèn)證參數(shù)被傳送到第 一ad-hoc節(jié)點(diǎn)，由此在第一 ad-hoc節(jié)點(diǎn)處接收第三組認(rèn)證參數(shù)。該 第三組認(rèn)證參數(shù)在第一 ad-hoc節(jié)點(diǎn)處用于在ad-hoc網(wǎng)絡(luò)中提供安全 服務(wù)。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種改進(jìn)的機(jī)制，用于例如在鄰近網(wǎng)絡(luò)環(huán) 境中動(dòng)態(tài)地建立信任用戶的網(wǎng)絡(luò)。
具體而言，本發(fā)明的目的是提供一種方法和相應(yīng)的系統(tǒng)，能夠
形成支持安全數(shù)據(jù)傳送的對等虛擬專用網(wǎng)絡(luò)；以及支持在至少兩個(gè)
主機(jī)之間建立安全通信的特定網(wǎng)元或網(wǎng)關(guān)單元。
該目的是通過所附權(quán)利要求書中定義的手段來實(shí)現(xiàn)的。
具體而言，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種在
通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的方法，該方法包括步驟通 過認(rèn)證網(wǎng)元來對多個(gè)網(wǎng)元執(zhí)行認(rèn)證過程；將多個(gè)網(wǎng)元其中之一設(shè)定 為網(wǎng)關(guān)單元；在認(rèn)證網(wǎng)元中生成針對多個(gè)被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密 鑰；通過使用認(rèn)證網(wǎng)元和網(wǎng)關(guān)單元之間的安全信道將多個(gè)網(wǎng)元的相 應(yīng)數(shù)據(jù)密鑰分發(fā)到網(wǎng)關(guān)單元；以及在網(wǎng)關(guān)單元中存儲(chǔ)數(shù)據(jù)密鑰；在 意圖參與安全通信的網(wǎng)元中生成相應(yīng)的會(huì)話密鑰；通過網(wǎng)關(guān)單元與 網(wǎng)元之間的安全信道在意圖參與安全通信的網(wǎng)元之間交換相應(yīng)的會(huì) 話密鑰。
更進(jìn)一步，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種用 于在通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的系統(tǒng)，該系統(tǒng)包括多 個(gè)網(wǎng)元、網(wǎng)關(guān)單元、可連接至網(wǎng)關(guān)單元的認(rèn)證網(wǎng)元；其中，網(wǎng)元可 操作地連接到認(rèn)證網(wǎng)元并被配置為利用認(rèn)證網(wǎng)元來執(zhí)行認(rèn)證過程； 認(rèn)證網(wǎng)元;R配置為將多個(gè)網(wǎng)元其中之一i殳定為網(wǎng)關(guān)單元，生成針對 多個(gè)被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰，以及通過使用認(rèn)證網(wǎng)元和網(wǎng)關(guān)單 元之間的安全信道將多個(gè)網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰分發(fā)到網(wǎng)關(guān)單元；以 及，網(wǎng)關(guān)單元被進(jìn)一步配置為存儲(chǔ)數(shù)據(jù)密鑰；其中網(wǎng)元進(jìn)一步適用 于當(dāng)其意圖參與安全通信時(shí)生成相應(yīng)會(huì)話密鑰；并且網(wǎng)關(guān)單元進(jìn)一
全通信的網(wǎng)元之間交換相應(yīng)會(huì)話密鑰。
此外，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種用于在 通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的網(wǎng)關(guān)單元，該網(wǎng)關(guān)單元包括:
認(rèn)證裝置，適用于利用認(rèn)證網(wǎng)元來執(zhí)行認(rèn)證過程；接收裝置，用于通過使用認(rèn)證網(wǎng)元和網(wǎng)關(guān)單元之間的安全信道從認(rèn)證網(wǎng)元接收在該認(rèn)證網(wǎng)元處認(rèn)證的網(wǎng)元的數(shù)據(jù)密鑰；以及存儲(chǔ)裝置，用于存儲(chǔ)網(wǎng)元 的數(shù)據(jù)密鑰，其中該網(wǎng)關(guān)單元進(jìn)一步適用于支持通過網(wǎng)關(guān)單元與網(wǎng) 元之間的安全信道以在意圖參與安全通信的網(wǎng)元之間交換相應(yīng)的會(huì) 話密鑰。
此外，根據(jù)所提議的解決方案的一個(gè)方面，例如提供一種用于 在通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的網(wǎng)關(guān)單元，該網(wǎng)關(guān)單元被 配置為利用認(rèn)證網(wǎng)元來執(zhí)行認(rèn)證過程；通過使用認(rèn)證網(wǎng)元和網(wǎng)關(guān)數(shù)據(jù)密鑰；以及存儲(chǔ)網(wǎng)元的數(shù)據(jù)密鑰，其中該網(wǎng)關(guān)單元進(jìn)一步配置 為支持通過網(wǎng)關(guān)單元與網(wǎng)元之間的安全信道以在意圖參與安全通信 的網(wǎng)元之間交換相應(yīng)的會(huì)話密鑰。
此外，根據(jù)提議解決方案的一個(gè)方面，例如提供一種用于在通 信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的網(wǎng)關(guān)單元，該網(wǎng)關(guān)單元被配置 為從發(fā)送網(wǎng)元接收指示針對參與安全通信的請求的第一消息，所 述消息包括標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)；檢驗(yàn)網(wǎng)關(guān)單元是否具有用于到 目的地網(wǎng)元的路由的條目，其中網(wǎng)關(guān)單元被進(jìn)一步配置為當(dāng)未發(fā)現(xiàn) 用于路由的條目時(shí)，將標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)解析為對應(yīng)的地址數(shù) 據(jù)并在該地址數(shù)據(jù)的基礎(chǔ)上建立通往目的地網(wǎng)元的路由，或者當(dāng)發(fā) 現(xiàn)用于路由的條目時(shí)將第二消息直接單播到目的地網(wǎng)元。
而且，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種用于在 通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的認(rèn)證網(wǎng)元，該認(rèn)證網(wǎng)元一皮配 置為執(zhí)行與網(wǎng)元之間的認(rèn)證過程，將網(wǎng)元其中之一設(shè)置為網(wǎng)關(guān)單 元，生成4十對被i人證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰；以及，通過4吏用i人i正網(wǎng) 元與網(wǎng)關(guān)單元之間的安全信道將網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰分發(fā)到網(wǎng)關(guān)單 元。
此外，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種配置成 在通信網(wǎng)絡(luò)中建立安全通信的終端節(jié)點(diǎn)，該終端節(jié)點(diǎn)被配置為利用認(rèn)證網(wǎng)元執(zhí)行認(rèn)證；當(dāng)其意圖參與安全通信時(shí)生成相應(yīng)的會(huì)話密鑰；將會(huì)話密鑰傳送至網(wǎng)關(guān)單元；以及，通過通往網(wǎng)關(guān)單元的安全 信道與也意圖參與安全通信的至少 一個(gè)其他終端單元交換會(huì)話密鑰。
根據(jù)進(jìn) 一 步的提煉，所提議的解決方案可以包括下列特征中的 一個(gè)或多個(gè)
-執(zhí)行針對多個(gè)網(wǎng)元的認(rèn)證過程可以包括多個(gè)網(wǎng)元相應(yīng)之一與認(rèn) 證網(wǎng)元之間的認(rèn)證和密鑰協(xié)i義過程；
-執(zhí)行針對多個(gè)網(wǎng)元的認(rèn)證過程可以進(jìn)一步包括由多個(gè)網(wǎng)元的其 中之一來傳送成為網(wǎng)關(guān)單元意愿的指示，其中認(rèn)證網(wǎng)元可以根據(jù)對 意愿指示的處理來將多個(gè)網(wǎng)元的其中之一設(shè)置為網(wǎng)關(guān)單元；
-在認(rèn)證網(wǎng)元中生成相應(yīng)的數(shù)據(jù)密鑰可以包括使用在相應(yīng)網(wǎng)元的 認(rèn)證過程中生成的會(huì)話密鑰、網(wǎng)元的標(biāo)識(shí)數(shù)據(jù)以及與網(wǎng)關(guān)單元相關(guān) 聯(lián)的標(biāo)識(shí)單元其中之 一 來計(jì)算網(wǎng)絡(luò)設(shè)備的相應(yīng)數(shù)據(jù)密鑰；
-在意圖參與安全通信的網(wǎng)元之間交換相應(yīng)會(huì)話密鑰可以包括 通過使用一個(gè)(即發(fā)送)網(wǎng)元的數(shù)據(jù)密鑰對第一分組進(jìn)行加密來傳 送該第 一分組到網(wǎng)關(guān)節(jié)點(diǎn)，該第 一分組包括由那個(gè)網(wǎng)元生成的會(huì)話 密鑰和標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)；通過使用存儲(chǔ)在所述網(wǎng)關(guān)單元中的 那個(gè)網(wǎng)元的所述數(shù)據(jù)密鑰來解密所述第 一 分組；對第 一 分組的內(nèi)容 進(jìn)行處理以確定目的地網(wǎng)元，通過由網(wǎng)關(guān)單元利用所存儲(chǔ)的針對目 的地網(wǎng)元的數(shù)據(jù)密鑰加密的第二分組向目的地網(wǎng)元轉(zhuǎn)發(fā)包括在第一 分組中的信 息o
-向網(wǎng)關(guān)單元分發(fā)多個(gè)網(wǎng)元的相應(yīng)的數(shù)據(jù)密鑰可以包括在認(rèn)證網(wǎng)
據(jù)密鑰相關(guān)的信息；
畫網(wǎng)元可以是通信網(wǎng)絡(luò)的主機(jī)，尤其是移動(dòng)主機(jī)；
-網(wǎng)關(guān)單元可以是用于網(wǎng)元的路由器，其適用于提供對外部網(wǎng)絡(luò) (例如因特網(wǎng))以及內(nèi)部網(wǎng)絡(luò)(例如企業(yè)內(nèi)聯(lián)網(wǎng))的接入；
-認(rèn)證網(wǎng)元可以是接入網(wǎng)絡(luò)控制器，尤其是供應(yīng)商網(wǎng)絡(luò)的接入控制器；
-安全通信可以建立在鄰近網(wǎng)絡(luò)環(huán)境中，尤其建立在對等虛擬專
用網(wǎng)絡(luò)環(huán)境中；以及
-在意圖參與安全通信的網(wǎng)元之間交換會(huì)話密鑰之后，可以建立 雙向安全通信會(huì)話，其中網(wǎng)關(guān)單元不是通信路徑的一部分。
此外，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種方法， 包括利用認(rèn)證網(wǎng)元執(zhí)行針對網(wǎng)元的認(rèn)證過程；在認(rèn)證網(wǎng)元中生成 針對多個(gè)被認(rèn)證網(wǎng)元的相應(yīng)的數(shù)據(jù)密鑰；基于認(rèn)證過程的結(jié)果來導(dǎo)
鑰分發(fā)器分發(fā)到意圖參與安全通信的網(wǎng)元；建立網(wǎng)元之間的安全通信。
此外，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種設(shè)備， 包括網(wǎng)元，被配置為充當(dāng)網(wǎng)關(guān)單元，可用于建立網(wǎng)元之間的安全 通信，其中該網(wǎng)元被配置為利用認(rèn)證網(wǎng)元執(zhí)行針對其自身和網(wǎng)元的
會(huì)話密鑰分發(fā)到意圖參與安全通信的網(wǎng)元。
此外，根據(jù)所提議解決方案的另一方面，例如提供一種方法，
針對被認(rèn)證網(wǎng)元的相應(yīng)的數(shù)據(jù)密鑰；基于該數(shù)據(jù)密鑰來導(dǎo)出網(wǎng)元中 的會(huì)話密鑰；通過4吏用認(rèn)證網(wǎng)元與網(wǎng)元之間的安全信道將相應(yīng)的會(huì) 話密鑰經(jīng)由^人證網(wǎng)元分發(fā)到網(wǎng)元；建立網(wǎng)元之間的安全通信。
而且，根據(jù)所提議解決方案的一個(gè)方面，例如提供一種設(shè)備， 包4舌網(wǎng)元，,皮配置為充當(dāng)"i人i正網(wǎng)元，可用于建立網(wǎng)元之間的安全 通信，其中所述網(wǎng)元配置為利用^人證網(wǎng)元來凈丸行針對網(wǎng)元的認(rèn)證過 程；生成針對被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰；通過使用認(rèn)證網(wǎng)元與網(wǎng) 元之間的安全信道將根據(jù)數(shù)據(jù)密鑰在網(wǎng)元中導(dǎo)出的相應(yīng)的會(huì)話密鑰 分發(fā)到網(wǎng)元。
通過使用所提議的解決方案，可以獲得下列優(yōu)勢 -所提議的機(jī)制可應(yīng)用于創(chuàng)建對等虛擬專用網(wǎng)絡(luò)(PVPN),其中用戶可以使用動(dòng)態(tài)形成的網(wǎng)絡(luò)進(jìn)行通信而無需通過企業(yè)網(wǎng)絡(luò)的(業(yè) 務(wù))傳輸。換言之，用戶可以根據(jù)需要形成信任鄰近網(wǎng)絡(luò)。這在下 列情況中特別有用訂戶終端包括不同的通信接口 ，例如藍(lán)牙、紅外、WLAN(無線局域網(wǎng))能力等等。
-另 一方面，通過PVPN對意圖參與安全通信的網(wǎng)元進(jìn)行的認(rèn)證 可以通過使用公知的認(rèn)證機(jī)制使用供應(yīng)商的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)來進(jìn)行認(rèn) 證。因此，本發(fā)明的實(shí)現(xiàn)由于現(xiàn)存的基礎(chǔ)架構(gòu)已經(jīng)可用而簡單并且 成本較低。
-當(dāng)建立安全通信的時(shí)候，即當(dāng)交換了會(huì)話密鑰時(shí)，還可充當(dāng)?shù)?因特網(wǎng)路由器的網(wǎng)關(guān)單元不必參與主機(jī)之間的安全通信路徑。這方 便了備選傳輸接口 (例如藍(lán)牙等)的使用，并還將減少網(wǎng)關(guān)網(wǎng)元上 的負(fù)載，因?yàn)橥ㄐ乓坏┍唤?，則網(wǎng)關(guān)網(wǎng)元不需要參與通信。然而， 仍然創(chuàng)建了安全通信。
-通過用于建立安全通信的機(jī)制，可以有利于蜂窩安全性，并且 還可以在特定網(wǎng)元(即網(wǎng)關(guān)單元)中定義特定的鄰近網(wǎng)絡(luò)安全管理 功能。這在包括作為安全通信方的移動(dòng)終端或主機(jī)的蜂窩通信網(wǎng)絡(luò) (例如基于3GPP或3GPP2的網(wǎng)絡(luò))中以及對應(yīng)的鄰近網(wǎng)絡(luò)中尤其 有用。因此，對于運(yùn)營商而言，可以通過例如提供附加功能來發(fā)揮 某種控制水平，以改進(jìn)ad-hoc網(wǎng)絡(luò)等的安全性和可用性。
-根據(jù)本發(fā)明，可以避免主機(jī)的有關(guān)敏感信息(例如IMSI(國 際移動(dòng)用戶標(biāo)識(shí)))在通信建立的初始階段沒有確切地獲知接收方 是例如信任節(jié)點(diǎn)的情況下被傳送。
當(dāng)參考說明書和附圖時(shí)，本發(fā)明的上述以及進(jìn)一步的目的、特 征和有益效果將變得清楚明了 。


從下述結(jié)合附圖的優(yōu)選實(shí)施方式的詳細(xì)描述中，本發(fā)明的其他 實(shí)施方式、細(xì)節(jié)、有益效果以及修改將變得清楚明了 ，其中
圖1示出了根據(jù)本發(fā)明一個(gè)實(shí)施方式的用于在兩個(gè)主機(jī)之間建立安全通信的系統(tǒng)的電路框圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施方式的用于在兩個(gè)主機(jī)之間建 立安全通信的方法的 一般性流程圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施方式的圖2所示方法的子例程 流程圖4示出了根據(jù)本發(fā)明一個(gè)實(shí)施方式的圖2所示方法的另一子 例程流程圖5和圖6示出了根據(jù)本發(fā)明一個(gè)實(shí)施方式的圖2所示方法的 另一子例程流程圖7示出了根據(jù)本發(fā)明的另一實(shí)施方式的用于在兩個(gè)主機(jī)之間 建立安全通信的系統(tǒng)的電路框圖8示出了根據(jù)本發(fā)明的又一實(shí)施方式的用于在兩個(gè)主機(jī)之間 建立安全通信的系統(tǒng)的電路框圖。
具體實(shí)施例方式
在下文中，參考附圖對本發(fā)明的實(shí)施方式進(jìn)行描述。
根據(jù)本發(fā)明，描述了通過創(chuàng)建所謂的對等虛擬專用網(wǎng)絡(luò)或PVPN (即處于鄰近內(nèi))而在兩個(gè)網(wǎng)元或終端節(jié)點(diǎn)(也稱為主機(jī)或?qū)Φ赛c(diǎn) (peer))之間建立安全通信的機(jī)制。換言之，兩個(gè)對等點(diǎn)輔助建立 安全的通信信道，其中網(wǎng)關(guān)單元(也稱為網(wǎng)關(guān))與認(rèn)證網(wǎng)元(也稱 為接入控制器)之間的單個(gè)安全信道用于對參與該安全通信的所有 節(jié)點(diǎn)或網(wǎng)元寺丸行i^證。
如上所述，根據(jù)本發(fā)明，對于創(chuàng)建PVPN而言很重要的一個(gè)網(wǎng) 元是稱為網(wǎng)關(guān)的節(jié)點(diǎn)。該網(wǎng)關(guān)使得在其網(wǎng)絡(luò)中的兩個(gè)主機(jī)能夠互相 間進(jìn)行安全的通信。為此目的，需要網(wǎng)關(guān)和執(zhí)行認(rèn)證的網(wǎng)元(即上 面所述的接入控制器)之間的安全信道。
通常，希望成為PVPN的成員的每個(gè)主機(jī)(其可以是移動(dòng)節(jié)點(diǎn) 等等)必須執(zhí)行接入網(wǎng)絡(luò)認(rèn)證。此外，希望充當(dāng)PVPN中的網(wǎng)關(guān)單 元的主機(jī)(例如移動(dòng)節(jié)點(diǎn))必須在其認(rèn)證過程期間對此進(jìn)行指示。網(wǎng)關(guān)提供安全通信信道，從而對等點(diǎn)可以互相交換他們的安全參數(shù) 以保護(hù)它們將來的通信。需要注意的是，充當(dāng)網(wǎng)關(guān)的網(wǎng)元優(yōu)選地還 為其鄰近網(wǎng)絡(luò)中的主機(jī)提供通往內(nèi)部或外部網(wǎng)絡(luò)的連接，例如因特 網(wǎng)禾P企業(yè)內(nèi)耳關(guān)網(wǎng)。
執(zhí)行認(rèn)證的網(wǎng)元(即下面所述的圖1中示出的接入控制器)將會(huì)話密鑰元組(tuple)(下面將進(jìn)行描述)、名稱(下面將進(jìn)行描 述)以及對應(yīng)于主機(jī)的IP地址安全地分發(fā)到PVPN網(wǎng)關(guān)，其中使用 在PVPN網(wǎng)關(guān)自身的認(rèn)證過程期間建立的參數(shù)(即用于通過安全信 道進(jìn)行傳輸)。
P V P N中任意兩個(gè)主機(jī)之間的的初始通信通過網(wǎng)關(guān)發(fā)生。原因在 于每個(gè)主機(jī)在直到其與其目標(biāo)對等點(diǎn)安全地交換密鑰元組之前，僅 能夠安全地與鄰近網(wǎng)絡(luò)中的網(wǎng)關(guān)進(jìn)行通信。該網(wǎng)關(guān)確保名稱和IP地 址綁定是可靠的，因?yàn)槠湟呀?jīng)從接入控制器接收到了綁定。 一旦對 等點(diǎn)互相間擁有會(huì)話密鑰，則網(wǎng)關(guān)不必保留在對等點(diǎn)之間的通信路 徑中。
需要注意的是，接入網(wǎng)絡(luò)認(rèn)證過程可以通過使用^^知的方法來 實(shí)現(xiàn)，例如UMTS AKA (認(rèn)證和密鑰協(xié)議，例如在3GPP規(guī)范 TS30.102, 2004年12月中所描述)或Kerberos (例如在RFC 1510 中所描述)。接入網(wǎng)供應(yīng)商的角色是確保用戶(即主機(jī))屬于同一 "實(shí)體，，(例如同一公司或企業(yè))。此外，用戶需要供應(yīng)商的網(wǎng)絡(luò)來接入企業(yè)網(wǎng)絡(luò)。然而，PVPN之間的通信可以使用鄰近網(wǎng)絡(luò)(例如 WLAN、藍(lán)牙等)來實(shí)現(xiàn)。
參考圖1,示出了根據(jù)本實(shí)施方式的建立安全通信的簡化系統(tǒng)結(jié) 構(gòu)和信令路徑。然而，需要注意的是，根據(jù)圖l的系統(tǒng)僅表示在其中實(shí)施本發(fā)明的此類系統(tǒng)的簡化結(jié)構(gòu)。進(jìn)一步而言，這里所描述的 網(wǎng)元和/或它們的功能可以由軟件或硬件來實(shí)現(xiàn)。在任意情況中，為 了執(zhí)行它們各自的功能，相應(yīng)使用的設(shè)備或網(wǎng)元包括若干裝置(未 在圖1中示出)，其用于控制、處理和通信功能。這些裝置可以包 括例如處理器單元，用于執(zhí)行指令并處理數(shù)據(jù)；存儲(chǔ)器裝置，用于
存儲(chǔ)指令和數(shù)據(jù)，用于充當(dāng)處理器等的工作區(qū)域(例如ROM、 RAM、 EEPROM等等)；輸入裝置，用于由軟件輸入數(shù)據(jù)和指令(例如， 軟盤、CD-ROM、 EEPROM等)，用戶接口裝置，用于向用戶提供 監(jiān)視和操作可能性(例如屏幕、鍵盤等等)；以及接口裝置，用于 在處理器單元的控制下建立通信連接(例如有線和無線接口裝置， 天線等)。
在圖1中，通過PVPN結(jié)構(gòu)的簡化視圖示出了建立PVPN的整 體過程。參考符號10和40表示網(wǎng)元或主機(jī)(例如移動(dòng)主機(jī))，將 為其經(jīng)由PVPN建立安全通信。下面，假設(shè)主機(jī)1 ( 10)是呼叫主機(jī) 而主機(jī)2 (40)是被叫主機(jī)。參考符號20表示充當(dāng)網(wǎng)關(guān)的網(wǎng)元。如 上所述，網(wǎng)關(guān)還可以是(移動(dòng))主才幾并且可以在鄰近網(wǎng)絡(luò)中充當(dāng)^各 由器，以提供通往因特網(wǎng)等的連接。參考符號30表示認(rèn)證網(wǎng)元或接 入控制器，其可連接到網(wǎng)關(guān)20并且可用于對參與PVPN通信的主機(jī) 進(jìn)行認(rèn)證。
仍然如圖l所示，在網(wǎng)關(guān)20和相應(yīng)主機(jī)10、 40之間提供安全 信道SC15、 SC45。此外，在接入控制器30和網(wǎng)關(guān)20之間提供安 全信道SC 25。該安全信道由雙點(diǎn)劃線框表示并且將在下文中進(jìn)行描述。
而且，網(wǎng)元之間的若干信令路徑通過箭頭來指示。具體而言， 虛線箭頭Tll、 T21、 T41表示在相應(yīng)網(wǎng)元10、 20和40相應(yīng)之一與 接入控制器30的認(rèn)證期間的信令。另一方面，雙點(diǎn)劃線箭頭T18、 T48表示主機(jī)10、 40之間通過網(wǎng)關(guān)20的安全連接i殳置(即會(huì)話密鑰 交換)期間的相應(yīng)信令。該信令將在下面進(jìn)行更詳細(xì)的描述。
如上所述，主機(jī)-1 10和主機(jī)-2 40是專注于對等安全通信的對等 點(diǎn)。網(wǎng)關(guān)20是一個(gè)有助于進(jìn)行安全對等通信的節(jié)點(diǎn)并且也是用于包 括移動(dòng)主機(jī)的(鄰近)網(wǎng)絡(luò)的路由器。接入控制器30是運(yùn)行鄰近網(wǎng) 絡(luò)中所有主機(jī)都可以理解的認(rèn)證過程的節(jié)點(diǎn)。包括網(wǎng)關(guān)的所有主機(jī) 在其成為安全的、隨選(on-demand)網(wǎng)絡(luò)(即PVPN )的一部分之 前需要利用接入控制器對其自身進(jìn)行成功認(rèn)證。
在圖2中，示出了用于創(chuàng)建PVPN和建立安全隨選網(wǎng)絡(luò)(即安 全對等連接)的過程的一般圖示。在步驟S10中開始過程之后，首 先，在步驟S20，通過認(rèn)證網(wǎng)元(接入控制器)30來執(zhí)行對網(wǎng)關(guān)20 的認(rèn)證過程和設(shè)置。接下來，在步驟S30,執(zhí)行利用認(rèn)證網(wǎng)元30對 意圖參與PVPN的主機(jī)進(jìn)行認(rèn)證，并將會(huì)話密鑰從認(rèn)證網(wǎng)元30分發(fā) 至網(wǎng)關(guān)20。最后，在步驟S40,通過主機(jī) 10、 40并經(jīng)由網(wǎng)關(guān)20建 立安全對等通信。根據(jù)步驟S20、 S30和S40的子過程在下面將描述 的圖3 (步驟S20)、圖4 (步驟S30)以及圖5和圖6 ( S40 )中示 出。
在下文中，參考圖1和圖3-6來描述根據(jù)本實(shí)施方式的PVPN創(chuàng) 建細(xì)節(jié)。
需要注意的是，假設(shè)主機(jī)的每個(gè)用戶具有一般名稱，例如SIP URI(會(huì)話發(fā)起協(xié)議通用資源標(biāo)識(shí)符)，并且每個(gè)主機(jī)已經(jīng)配置了全 局可路由IP地址。
當(dāng)網(wǎng)元(例如圖1中的呼叫主機(jī)-l 10)希望作為PVPN的一部 分時(shí)，其充當(dāng)網(wǎng)關(guān)或主機(jī)。當(dāng)網(wǎng)元意在充當(dāng)網(wǎng)關(guān)單元時(shí)，執(zhí)行根據(jù) 圖3的過程(參見圖2中的步驟S20)，這將在接下來進(jìn)行描述。
如上所述，作為PVPN—部分的每個(gè)網(wǎng)元必須通過接入控制器 30對其自身進(jìn)行認(rèn)證。因此，在步驟S210,網(wǎng)元發(fā)送認(rèn)證消息(為 了成為PVPN的一部分)至接入控制器(圖1中的信令T21)。在 此認(rèn)證消息中，網(wǎng)元包括其希望充當(dāng)網(wǎng)關(guān)的指示。
在該接入控制器30中，檢查認(rèn)證消息的內(nèi)容以確定網(wǎng)絡(luò)節(jié)點(diǎn)希 望充當(dāng)網(wǎng)關(guān)(步驟S220 )。在步驟S230，進(jìn)一步判別是否已經(jīng)具有 針對請求主機(jī)的適當(dāng)網(wǎng)關(guān)(即充當(dāng)網(wǎng)關(guān)的另一網(wǎng)元)。該判決例如 可以通過確定在數(shù)據(jù)表中(未示出)是否已經(jīng)存在作為網(wǎng)關(guān)的網(wǎng)元 的條目來做出。
如果在步驟S230判別為否，即網(wǎng)元希望作為網(wǎng)關(guān)并且沒有已知 的適當(dāng)網(wǎng)關(guān)，則接入控制器30在成功執(zhí)行了認(rèn)證過程之后允許網(wǎng)元 充當(dāng)網(wǎng)關(guān)20，即，網(wǎng)元被設(shè)定為網(wǎng)關(guān)20 (步驟S270、 S280 )。步驟S270中的認(rèn)證過程可以涉及多輪信令并且可以例如基于認(rèn)證方 法，包括UMTS AKA的質(zhì)詢/響應(yīng)機(jī)制。使用UMTSAKA,接入控 制器的功能可以類似于SGSN/PCSCF。在此情況中，PVPN加入消息 可以包括子網(wǎng)請求以及AKA認(rèn)證消息，類似于IMS (IP多媒體子系統(tǒng))認(rèn)證過程。
在步驟S270、 S280之后，成功網(wǎng)關(guān)認(rèn)證的結(jié)果是其與接入控制 器30之間的通信可以得到保護(hù)(步驟S290 )。這意味著接入控制器 30與網(wǎng)關(guān)20之間的通信例如可以通過在認(rèn)證過程中生成的會(huì)話密 鑰來加密/解密，并由圖1中的安全信道SC25進(jìn)行指示。
另一方面，如果已經(jīng)具有適合于請求主機(jī)的網(wǎng)關(guān)(在步驟S230 為否)，則接入控制器將網(wǎng)元轉(zhuǎn)引至該網(wǎng)關(guān)(步驟S240)。然而， 可能存在下列情況，即網(wǎng)元不能到達(dá)由接入控制器在步驟S230確定 的網(wǎng)關(guān)。例如，這在步驟S250進(jìn)行檢查，其中網(wǎng)元確定由接入控制 器結(jié)合步驟S230中的否定判決所指示的網(wǎng)關(guān)是否是可到達(dá)的。
如果步驟S250的判別為是，則由接入控制器結(jié)合步驟S230的 否定判別所指示的網(wǎng)關(guān)用于進(jìn)一步通信(步驟S255 )。另一方面， 如果步驟S250的判別為否，則網(wǎng)元可以向接入控制器30重新提交 請求以充當(dāng)網(wǎng)關(guān)(步驟S260 )。然后，執(zhí)行步驟S270-S290,這意 味著例如主機(jī)認(rèn)證可以還包括至少涉及一輪通信的質(zhì)詢/響應(yīng)方法。
需要注意的是，本實(shí)施方式的優(yōu)選選項(xiàng)是，在PVPN的初始化 階段，通過上述接入控制器執(zhí)行認(rèn)證過程的最先網(wǎng)元被默認(rèn)設(shè)定為 充當(dāng)網(wǎng)關(guān)。
當(dāng)網(wǎng)元不發(fā)送愿成為網(wǎng)關(guān)的指示而是希望僅充當(dāng)主機(jī)時(shí)，在圖4 中示出的針對主機(jī)認(rèn)證和會(huì)話密鑰分發(fā)(根據(jù)圖2中的步驟S30)的 過程被執(zhí)行。
在根據(jù)圖4的過程中，步驟310至330類似于根據(jù)圖3的步驟 S210、 S220和S270。在步驟S310中，網(wǎng)元或主才幾(例如，圖l中 的10和40)向接入控制器30發(fā)送認(rèn)證消息(圖1中的信令路徑Tll、 T41 )。如圖1所示，用于認(rèn)證的信令通過網(wǎng)關(guān)20來執(zhí)行，因?yàn)橹鳈C(jī)的IP地址是從網(wǎng)關(guān)20的前綴中導(dǎo)出的。進(jìn)一步需要注意的是， 對于主機(jī)的認(rèn)證而言不要求安全信道。然而，如下所述，當(dāng)數(shù)據(jù)密 鑰從接入控制器發(fā)送出時(shí)可以使用此安全信道。接入控制器檢查認(rèn) 證消息的內(nèi)容，例如用于確定請求主機(jī)是企業(yè)網(wǎng)絡(luò)的一部分，并從 而被一般地認(rèn)證以成為PVPN的成員(步驟S320 )。如果根據(jù)步驟 S320的4全查并不對請求主機(jī)的認(rèn)證產(chǎn)生任何障礙，則在步驟S330, 4姿入控制器30 4丸4于并完成認(rèn)證過程。
一旦接入控制器30成功地將主機(jī)10和40認(rèn)證為PVPN的一部
相應(yīng)會(huì)話密鑰。根據(jù)這些會(huì)話密鑰，在步驟S340,接入控制器生成 新的密鑰以由每個(gè)主機(jī)在PVPN設(shè)置中使用。新密鑰的生成例如可 以基于下列邏輯
新密鑰二SHA1 (現(xiàn)存密鑰I主^L的IP地址IPVPN-idl序列號)
其中，SHA1表示安全散列算法(例如根據(jù)RFC3174)，現(xiàn)存密 鑰表示與所述主機(jī)之間共享的密鑰；主機(jī)的IP地址涉及所述主機(jī)， PVPN-id是與特定網(wǎng)關(guān)相關(guān)聯(lián)的唯一標(biāo)識(shí)符，該標(biāo)識(shí)符由接入控制 器在對認(rèn)證消息的響應(yīng)中分配，而序列號是主機(jī)所發(fā)送的認(rèn)證消息 中出現(xiàn)的隨機(jī)整數(shù)。還需要注意的是，所述主機(jī)生成類似密鑰以在 PVPN中使用。
接入控制器可以生成一個(gè)密鑰(每個(gè)用于完整性保護(hù)和加密) 或單個(gè)密鑰。在任何情況中，接入控制器30隨后在步驟S350將密 鑰傳送給網(wǎng)關(guān)20,即已經(jīng)通過接入控制器30執(zhí)行了認(rèn)證過程的每個(gè) 主機(jī)的密鑰。此外，與所述主機(jī)相關(guān)的標(biāo)識(shí)數(shù)據(jù)(例如名稱和所述 主機(jī)的IP地址)，以及安全通信所需的任何其他參數(shù)隨同新密鑰傳 送至網(wǎng)關(guān)20。具體而言，接入控制器30利用這些參數(shù)來構(gòu)建新IP 消息，使用其與網(wǎng)關(guān)20所共享的會(huì)話密鑰來加密分組內(nèi)容并傳送被 加密的分組。這在圖1中通過箭頭T31示出。網(wǎng)關(guān)20使用共享的會(huì) 話密鑰來解密該分組，并在存儲(chǔ)器中記錄細(xì)節(jié)(即名稱、IP地址和 上面導(dǎo)出的新密鑰)(步驟S360 )。因此，該網(wǎng)關(guān)具有主機(jī)的數(shù)據(jù)
密鑰和標(biāo)識(shí)信息，該主機(jī)通過接入控制器執(zhí)行認(rèn)證并意圖參與PVPN。此外，主才幾IO、 40現(xiàn)在可以與網(wǎng)關(guān)20安全地通信，即通過 圖i中參考符號SC15和SC45所指示的相應(yīng)安全信道。
接下來，參考圖5和圖6來描述用于解釋經(jīng)由PVPN建立安全 對等連接的例子。圖5和圖6的組合流程圖對應(yīng)于根據(jù)2中步驟S40 的子例程。
在下面的描述中，術(shù)語"新密鑰發(fā)送器"表示由試圖啟動(dòng)與接 收器(即，另一主機(jī)，例如主機(jī)40 (其具有類似地導(dǎo)出的"新密鑰 接收器"))通信的網(wǎng)元或主機(jī)(例如，圖1中的主機(jī)IO)按照以 上描述所生成的密鑰。如上所述，作為步驟S350和信令T31的結(jié)果， 兩種密鑰在網(wǎng)關(guān)20處均是可用的。
當(dāng)網(wǎng)元已經(jīng)通過接入控制器30執(zhí)行了認(rèn)證過程，并且接入控制 器30已經(jīng)向網(wǎng)關(guān)20傳送了數(shù)據(jù)密鑰信息的時(shí)候，可以開始建立安 全連接。當(dāng)發(fā)送器(例如呼叫主機(jī)IO)希望同作為接收器的另一網(wǎng) 元(例如主機(jī)40)進(jìn)行通信時(shí)，其首先需要將用戶友好的名稱(例 如SIPURI)解析為IP地址。這種構(gòu)造將在后文中成為名稱。發(fā)送 器10首先生成會(huì)話密鑰Sks。然后，發(fā)送器構(gòu)建或準(zhǔn)備解析該接收 器名稱的請求。該請求包括例如發(fā)送器的名稱、其IP地址、會(huì)話密 鑰Sks、會(huì)話密鑰長度以及將被用于加密的算法和接收器的名稱。包 括會(huì)話密鑰、密鑰長度以及算法的該構(gòu)造也稱為密鑰元組。
發(fā)送器1O通過使用新密鑰發(fā)送器對按照上述準(zhǔn)備的請求進(jìn)行加 密(步驟S410)并將分組傳送至網(wǎng)關(guān)20 (步驟S420)。發(fā)送器10 可以使用可用的路由方法來確保該請求到達(dá)網(wǎng)關(guān)20。這在圖1中通 過參考符號T18的雙點(diǎn)劃線來指示。
由于網(wǎng)關(guān)20具有來自接入控制器30的對應(yīng)的新密鑰發(fā)送器(在 步驟S350 )，其能夠?qū)Π埱蟮南⑦M(jìn)行解密。在步驟S430,網(wǎng) 關(guān)20處理來自發(fā)送器IO的請求消息，這是通過對該消息進(jìn)行解密 并驗(yàn)證發(fā)送器是經(jīng)過認(rèn)證而參與PVPN來實(shí)現(xiàn)的。需要注意的是， 網(wǎng)關(guān)20自身不能夠認(rèn)證主機(jī)10,但是它能夠?qū)χ鳑_幾發(fā)送的分組進(jìn)行
解密。這允許主機(jī)借助主機(jī)和接入控制器之間的傳遞信任來信任該 網(wǎng)關(guān)。網(wǎng)關(guān)20首先驗(yàn)證發(fā)送器10的名稱和IP地址是否與其從接入
控制器30接收到的值匹配。
然后，網(wǎng)關(guān)20檢查當(dāng)前是否具有可到達(dá)的接收器(步驟S440)。 換言之，網(wǎng)關(guān)20可以參考相應(yīng)的表從而定位對應(yīng)于請求中的接收器 名稱的IP 地址。
如果找到針對接收器名稱的條目并且針對接收器IP地址的路由 存在(在步驟S440為是)，則在步驟S450,網(wǎng)關(guān)20準(zhǔn)備包括名稱、 IP地址和密鑰元組的分組以從發(fā)送器發(fā)送到接收器(即主機(jī)40)， 并且通過使用其與接收器所共享的新密鑰接收器(其已經(jīng)在步驟 S350由接入控制器30進(jìn)行了傳送)來對該分組進(jìn)行加密。然后，將 該分組單播到接收器或主機(jī)40 (步驟S460 )。
另一方面，如果沒有找到針對接收器名稱的條目或者不存在針 對對應(yīng)于接收器名稱的IP地址的路由(在步驟S440為否)，則網(wǎng) 關(guān)20構(gòu)建分組以解析名稱或路由或二者。該分組也成為發(fā)現(xiàn)分組。 在此發(fā)現(xiàn)分組中，網(wǎng)關(guān)20還包括發(fā)送器名稱、IP地址、密鑰元組， 并且通過使用新密鑰接收器對該分組進(jìn)行加密(步驟S470)。然后， 對該發(fā)現(xiàn)分組進(jìn)行廣播從而傳送到接收器(步驟S480 )。換言之， 網(wǎng)關(guān)20將接收器名稱解析為其IP地址并建立通往接收器的路由。
在步驟S490，當(dāng)單播或廣播的分組到達(dá)接收器或主機(jī)40時(shí)(仍 然由圖1中雙點(diǎn)劃線箭頭T48所指示)，接收器通過利用新密鑰接 收器對該分組進(jìn)行解密而處理所接收到的數(shù)據(jù)(步驟S500)。此外， 接收器在存儲(chǔ)器(未示出)中記錄發(fā)送器的會(huì)話密鑰元組用于將來 的通信。然后，在步驟S510,接收器(即主機(jī)40)準(zhǔn)備響應(yīng)消息， 該響應(yīng)消息包括與之前所述類似的其自身名稱、IP地址和會(huì)話密鑰 元組。該準(zhǔn)備還包括由接收器再次使用新密鑰接收器對消息的加密。 當(dāng)響應(yīng)消息或分組準(zhǔn)備就緒的時(shí)候被傳送至網(wǎng)關(guān)20。
當(dāng)在網(wǎng)關(guān)20處接收到針對網(wǎng)關(guān)20的消息(例如發(fā)現(xiàn)消息)的 響應(yīng)消息時(shí)(這在圖1中由下部的雙點(diǎn)劃線箭頭T48指示)，其處理該響應(yīng)消息并使用新密鑰接收器來解密該消息(步驟S520 )。然 后，網(wǎng)關(guān)20通過使用新密鑰發(fā)送器對該響應(yīng)消息的內(nèi)容進(jìn)行重新加 密并將由此準(zhǔn)備的消息轉(zhuǎn)發(fā)至發(fā)送器10 (步驟S530 )。這在圖1由 下部的雙點(diǎn)劃線箭頭T18來指示。發(fā)送器10處理從網(wǎng)關(guān)20接收到 的消息，導(dǎo)出并存儲(chǔ)接收器40的會(huì)話密鑰(步驟S540 )?，F(xiàn)在，發(fā) 送器10和接收器40二者具有相互之間的會(huì)話密鑰元組，并且能夠 確保它們的通信安全。
需要注意的是，對等點(diǎn)10和40已經(jīng)通過網(wǎng)關(guān)20建立通往彼此 之間的路由。因此，在步驟S550,可以在對等點(diǎn)之間開始安全的雙 向通信。在對等點(diǎn)之間的通信路徑中，不必要包括網(wǎng)關(guān)20。
下面結(jié)合圖7描述本發(fā)明的又一實(shí)施方式。
圖7示出了用于在兩個(gè)主機(jī)之間建立安全通信的系統(tǒng)的電路框 圖和該系統(tǒng)中相應(yīng)的信令。根據(jù)該實(shí)施方式的系統(tǒng)的基本結(jié)構(gòu)與圖1 中所示的類似。
具體而言，在圖7中，通過PVPN的簡化圖示示出了根據(jù)本實(shí) 施方式的建立PVPN的總體過程。參考符號100和400表示網(wǎng)元或 主機(jī)(例如移動(dòng)主機(jī))，針對其的安全通信將經(jīng)由PVPN建立。在 下文中，假設(shè)主機(jī)1 ( 100)是呼叫主機(jī)而主機(jī)2 ( 400 )是被叫主機(jī)。 參考符號200表示充當(dāng)網(wǎng)關(guān)的網(wǎng)元。如上所述，網(wǎng)關(guān)還可以是(移 動(dòng))主機(jī)并且可以充當(dāng)鄰近網(wǎng)絡(luò)中的路由器，以提供對因特網(wǎng)等的 連接性。參考符號215表示在網(wǎng)關(guān)中提供的P2P (對等)網(wǎng)絡(luò)密鑰 分發(fā)功能或單元。P2P網(wǎng)絡(luò)密鑰分發(fā)功能或單元的功能在下面進(jìn)行 描述。參考符號300表示認(rèn)證網(wǎng)元或接入控制器，其可以連接到網(wǎng) 關(guān)200并用于對參與PVPN通信的主才幾進(jìn)行認(rèn)證。
在網(wǎng)關(guān)200和相應(yīng)主機(jī)100、 400之間建立安全信道SC150、 SC450。此外，在接入控制器300和網(wǎng)關(guān)200之間建立安全信道 SC250。安全信道由虛線框指示，這將在下面進(jìn)行進(jìn)一步描述。
此外，通過箭頭來指示網(wǎng)元之間的若干信令路徑。具體而言， 虛線箭頭TllO、 T210、 T410指示在通過接入控制器300對網(wǎng)元100、200和400的相應(yīng)一個(gè)進(jìn)行認(rèn)證期間的信令。另一方面，雙點(diǎn)劃線箭 頭T180、 T480指示在主機(jī)100、 400與網(wǎng)關(guān)200的P2P網(wǎng)絡(luò)密鑰分 發(fā)單元215之間設(shè)置安全連接(即會(huì)話密鑰分發(fā))期間的相應(yīng)信令。 該信令將在下面進(jìn)行詳細(xì)描述。
如上所述，主機(jī)-1 100和主機(jī)-2 400是關(guān)注于對等安全通信的對 等點(diǎn)。網(wǎng)關(guān)200是有助于進(jìn)行安全對等通信的節(jié)點(diǎn)，并且也是用于 包括移動(dòng)主機(jī)的(鄰近)網(wǎng)絡(luò)的路由器。接入控制器300是運(yùn)4亍鄰 近網(wǎng)絡(luò)中的所有主機(jī)可以理解的認(rèn)證過程的節(jié)點(diǎn)。包括網(wǎng)關(guān)的所有 主機(jī)在它們能夠成為安全的、隨選網(wǎng)絡(luò)(即PVPN)的一部分之前需 要通過接入控制器對它們進(jìn)行成功認(rèn)證。
用于根據(jù)該實(shí)施方式來創(chuàng)建PVPN和建立安全的隨選網(wǎng)絡(luò)(即 安全的對等連接)的一般過程與圖2中所示的類似。這意味著在該 過程開始之后，首先，通過認(rèn)證網(wǎng)元(接入控制器)300對網(wǎng)關(guān)200 以及主機(jī)100和400 (通過網(wǎng)關(guān)200)執(zhí)行認(rèn)證過程。在本實(shí)施方式 的描述中，假設(shè)網(wǎng)關(guān)200將被設(shè)定為網(wǎng)關(guān)并且假設(shè)沒有其他合適的 網(wǎng)關(guān)存在。然而，第二實(shí)施方式也適用于使用其他網(wǎng)關(guān)代^^網(wǎng)元200 的情況，如第一實(shí)施方式所述。然后，執(zhí)行會(huì)話密鑰分發(fā)，這將在 下面進(jìn)行詳細(xì)描述。此后，由主機(jī)IOO、 400通過網(wǎng)關(guān)200來建立安 全的對等通信。
下面，參考圖7來描述根據(jù)本實(shí)施方式的PVPN創(chuàng)建的細(xì)節(jié)。 如上所述，作為PVPN—部分的每個(gè)網(wǎng)元必須通過接入控制器 300來認(rèn)證其自身。因此，網(wǎng)元200向接入控制器發(fā)送認(rèn)證消息(以 便成為PVPN的一部分)(圖7中的信令T210)。在此認(rèn)證消息中， 網(wǎng)元包括對其希望充當(dāng)網(wǎng)關(guān)的指示。
在本實(shí)施方式中，假設(shè)接入控制器300在成功地沖丸行了認(rèn)證過 程之后允許網(wǎng)元200充當(dāng)網(wǎng)關(guān)，即將網(wǎng)元設(shè)定為網(wǎng)關(guān)200。在接入控 制器300中執(zhí)行的認(rèn)證過程可以涉及多輪信令并可以例如基于包括 UMTS AKA的質(zhì)詢/響應(yīng)機(jī)制的認(rèn)證方法。使用UMTSAKA，接入 控制器的功能可以類似于SGSN/P-CSCF。在此情況中，PVPN力口入
消息可以包括子網(wǎng)請求以及AKA認(rèn)證消息，類似于IMS(IP多媒體 子系統(tǒng))認(rèn)證過程。
在成功的網(wǎng)關(guān)認(rèn)證之后，可以確保其與接入控制器300之間的 通信的安全，這意味著接入控制器300和網(wǎng)關(guān)200之間的通信可以 例如通過在認(rèn)證過程中生成的會(huì)話密鑰來加密/解密，并且該通信由 圖7中的安全信道SC250所指示。
接下來，在下一階段，主機(jī)1和2 ( 100和400)通過接入控制 器并經(jīng)由網(wǎng)關(guān)200執(zhí)行認(rèn)證過程。在此過程中，網(wǎng)元或主機(jī)100、 400 向接入控制器300發(fā)送認(rèn)證消息(圖7中的信令路徑TllO、 T410)。 如圖7所示，用于認(rèn)證的信令通過網(wǎng)關(guān)200來才丸行，因?yàn)橹鳈C(jī)的IP 地址是從網(wǎng)關(guān)200的前綴中導(dǎo)出的。進(jìn)一步需要理解的是，對于主 機(jī)的認(rèn)證而言不要求安全信道。然而，當(dāng)數(shù)據(jù)密鑰從接入控制器發(fā) 送出時(shí)，可以使用此安全信道。接入控制器檢查認(rèn)證消息的內(nèi)容， 例如用于確定請求主機(jī)是企業(yè)網(wǎng)絡(luò)的一部分，并從而^皮一^殳地i人證 以成為PVPN的成員。如果才全查并不對請求主機(jī)的認(rèn)證產(chǎn)生任何障 礙，則接入控制器300執(zhí)行并完成認(rèn)證過程。
一旦接入控制器300成功地將主機(jī)100和400認(rèn)證為PVPN的立的相應(yīng)會(huì)話密鑰。作為認(rèn)證過程的結(jié)果，主機(jī)100和400還具有 相應(yīng)會(huì)話密鑰。
此外，接入控制器300可以基于會(huì)話密鑰來生成不同種類的密 鑰，例如一個(gè)密鑰，每個(gè)用于完整性保護(hù)和加密；或單個(gè)密鑰。通 過使P2P網(wǎng)絡(luò)密鑰分發(fā)單元標(biāo)識(shí)(即網(wǎng)關(guān)標(biāo)識(shí))作為密鑰導(dǎo)出函數(shù) 的輸入，所導(dǎo)出的密鑰就綁定于該P(yáng)2P網(wǎng)絡(luò)密鑰分發(fā)單元標(biāo)識(shí)。
在任何情況中，接入控制器300隨后將密鑰發(fā)分給網(wǎng)關(guān)200,即 已經(jīng)通過接入控制器300執(zhí)行了認(rèn)證過程的每個(gè)主機(jī)的導(dǎo)出密鑰。 此外，與所述主機(jī)相關(guān)的標(biāo)識(shí)數(shù)據(jù)(例如名稱和所述主機(jī)的IP地址)， 以及安全通信所需的任何其他參數(shù)隨同新密鑰傳送至網(wǎng)關(guān)200。例 如，接入控制器300利用這些參數(shù)來構(gòu)建新IP消息，使用其與網(wǎng)關(guān)200所共享的會(huì)話密鑰來加密分組內(nèi)容并傳送被加密的分組(箭頭 T310)。網(wǎng)關(guān)200使用共享的會(huì)話密鑰來解密該分組，并在存儲(chǔ)器 中記錄細(xì)節(jié)(即名稱、IP地址和上面導(dǎo)出的新密鑰)。P2P網(wǎng)絡(luò)密 鑰分發(fā)單元215可以訪問該存儲(chǔ)器和其中存儲(chǔ)的數(shù)據(jù)。因此，P2P 網(wǎng)絡(luò)密鑰分發(fā)單元215能夠訪問主機(jī)的數(shù)據(jù)密鑰和標(biāo)識(shí)信息，其中 該主機(jī)通過接入控制器執(zhí)行認(rèn)證并意圖參與PVPN。
接下來，主才幾1 100和主機(jī)2 400基于認(rèn)證結(jié)果和網(wǎng)關(guān)標(biāo)識(shí)來導(dǎo) 出特定的會(huì)話密鑰，即主機(jī)-網(wǎng)關(guān)會(huì)話密鑰。其執(zhí)行方式可以類似于 接入控制器300所執(zhí)行的密鑰導(dǎo)出過程?，F(xiàn)在，建立安全信道SC150 和SC450。當(dāng)主機(jī)IOO、 400和網(wǎng)關(guān)200互相通信的時(shí)候，它們使用 安全信道SC150和SC450。以此方式，主機(jī)1 100和主機(jī)2 400能夠 驗(yàn)證接入控制器已經(jīng)認(rèn)證了 P2P密鑰分發(fā)器(例如網(wǎng)關(guān))，并且由 此主機(jī)1 100和主機(jī)2 400對其進(jìn)行認(rèn)證。主機(jī)100、 400能夠通 過SC150和SC450與網(wǎng)關(guān)200通信，并通過網(wǎng)關(guān)200 (以及SC150 和SC450 )互相進(jìn)行通信。
根據(jù)本實(shí)施方式，網(wǎng)關(guān)200適用于通過P2P網(wǎng)絡(luò)密鑰分發(fā)功能 或單元215在所有對等節(jié)點(diǎn)之間分發(fā)對等密鑰(例如共享密鑰)。 可替換地，網(wǎng)關(guān)200充當(dāng)密鑰分發(fā)器，/人而主^/L (例如100和400) 可以形成主機(jī)-主機(jī)安全通道(未在圖7中示出)。
通過到主機(jī)l( IOO)的箭頭T180和到主機(jī)2( 400)的箭頭T480 示出了從網(wǎng)關(guān)200將對等會(huì)話密鑰分發(fā)到主機(jī)100和400。此外，與 所述主機(jī)相關(guān)的標(biāo)識(shí)數(shù)據(jù)(例如名稱和所述主機(jī)的IP地址(范圍/ 子網(wǎng)))，以及安全通信所需的任何其他參數(shù)隨同新密鑰傳送至主 才幾100、 400。例如，網(wǎng)關(guān)200利用這些參凄t來構(gòu)建新IP消息，^使用 其與主機(jī)100、 400所共享的會(huì)話密鑰來加密分組內(nèi)容并傳送被加密 的分組(箭頭T180、 T480 )。主才幾100、 40(H吏用共享的會(huì)話密鑰 來解密相應(yīng)的分組，并在存儲(chǔ)器中記錄細(xì)節(jié)(即名稱、IP地址(范 圍/子網(wǎng))和由網(wǎng)關(guān)創(chuàng)建的新對等密鑰)。通過分發(fā)的對等會(huì)話密鑰， 例如當(dāng)主機(jī)之間使用直接藍(lán)牙或WLAN連接的時(shí)候，主機(jī)還能夠在相互之間進(jìn)行直接通信(圖7的箭頭500所示)。
在圖8中，描述了本發(fā)明的另一實(shí)施方式。
圖8示出了用于在兩個(gè)主機(jī)之間建立安全通信的系統(tǒng)的電路框 圖和該系統(tǒng)中相應(yīng)的信令。根據(jù)該實(shí)施方式的系統(tǒng)的基本結(jié)構(gòu)與圖1 和圖7中所示的類似。
具體而言，在圖8中，通過PVPN結(jié)構(gòu)的簡化圖示示出了根據(jù) 本實(shí)施方式的建立PVPN的總體過程。參考符號1000和4000表示 網(wǎng)元或主機(jī)(例如移動(dòng)主機(jī))，針對其的安全通信將經(jīng)由PVPN建 立。在下文中，假設(shè)主機(jī)1 ( 1000)是呼叫主機(jī)而主機(jī)2 ( 4000)是 被叫主機(jī)。參考符號2000表示充當(dāng)網(wǎng)關(guān)的網(wǎng)元。如上所述，網(wǎng)關(guān)還 可以是(移動(dòng))主機(jī)或可以充當(dāng)鄰近網(wǎng)絡(luò)中的路由器，以提供對因 特網(wǎng)等的連接性。參考符號3000表示認(rèn)證網(wǎng)元或接入控制器，其可 以連接到網(wǎng)關(guān)2000并用于對參與PVPN通信的主機(jī)進(jìn)行認(rèn)證。
在接入控制器3000和相應(yīng)主機(jī)1000、 4000之間建立安全信道 SC1500、 SC4500。需要注意的是，當(dāng)建立直接主才幾-主機(jī)安全連接(即 下面描述的SC6000)時(shí)，從接入控制器3000到主機(jī)的通道僅用于 呼叫方。此外，在接入控制器3000和網(wǎng)關(guān)2000之間建立安全信道 SC2500。安全信道由虛線框指示，這將在下面進(jìn)行進(jìn)一步描述。
此外，通過箭頭來指示網(wǎng)元之間的若干信令路徑。具體而言， 虛線箭頭TllOO、 T2100、 T4100指示在通過4妄入控制器3000對網(wǎng)元 1000、 2000和4000中的相應(yīng)一個(gè)進(jìn)行認(rèn)證期間的信令。另一方面， 雙點(diǎn)劃線箭頭T1800、 T4800指示在主機(jī)1000、 4000與接入控制器 3000之間設(shè)置安全連接(即會(huì)話密鑰分發(fā))期間的相應(yīng)信令。該信 令將在下面進(jìn)行詳細(xì)描述。
如上所述，主機(jī)-1 1000和主機(jī)-2 4000是關(guān)注于對等安全通信的 對等點(diǎn)。網(wǎng)關(guān)2000是有助于進(jìn)行安全對等通信的節(jié)點(diǎn)，并且也是用 于包括移動(dòng)主機(jī)的(鄰近)網(wǎng)絡(luò)的路由器。接入控制器3000是運(yùn)行 鄰近網(wǎng)絡(luò)中的所有主機(jī)可以理解的i^證過程的節(jié)點(diǎn)。包括網(wǎng)關(guān)的所 有主機(jī)在它們能夠成為安全的、隨選網(wǎng)絡(luò)(即PVPN)的一部分之前需要通過接入控制器對它們自身進(jìn)行成功認(rèn)證。
用于根據(jù)該實(shí)施方式來創(chuàng)建PVPN和建立安全的隨選網(wǎng)絡(luò)(即 安全的對等連接)的一般過程與圖2中所示的類似。這意味著在該
過程開始之后，首先，通過認(rèn)證網(wǎng)元(接入控制器)3000對網(wǎng)關(guān)2000 以及主機(jī)1000和4000 (通過網(wǎng)關(guān)200 )執(zhí)行認(rèn)證過程。在本實(shí)施方 式的描述中，假設(shè)網(wǎng)關(guān)2000將被設(shè)定為網(wǎng)關(guān)并且假設(shè)沒有其他合適 的網(wǎng)關(guān)存在。然而，本實(shí)施方式也適用于4吏用其他網(wǎng)關(guān)代替網(wǎng)元2000 的情況，如第一實(shí)施方式所述。然后，執(zhí)行會(huì)話密鑰分發(fā)，這將在 下面進(jìn)行詳細(xì)描述。此后，由主才幾IOOO、 4000通過網(wǎng)關(guān)2000來建 立安全的對等通信。
下面，參考圖8來描述根據(jù)本實(shí)施方式的PVPN創(chuàng)建的細(xì)節(jié)。
如上所述，作為PVPN—部分的每個(gè)網(wǎng)元必須通過接入服務(wù)器 3000來認(rèn)證其自身。在本實(shí)施方式中，網(wǎng)元2000和主機(jī)1000與4000 的認(rèn)證與結(jié)合圖1和圖7所示實(shí)施方式所描述的相對應(yīng)，從而這里 省略對認(rèn)證過程(在圖8中由箭頭T2100、 T1100和T4100指示)的 描述。然而，如上所述，主機(jī)1000、 4000的認(rèn)證過程可以在不使用 安全信道的情況下執(zhí)行，由圖8中處于安全通道之外的T1100和 T4100指示。
如圖8所示，接入控制器3000充當(dāng)針對主機(jī)的密鑰分發(fā)器。這 意味著會(huì)話密鑰由接入控制器3000分發(fā)給主機(jī)1 1000和主機(jī)2 4000 (參見箭頭T1800和T4800 ),從而主機(jī)1000和4000可以形成主 機(jī)-主機(jī)安全通道(SC6000)，此安全連接還可以在主機(jī)之間直接建 立，如圖8中箭頭5000所示(例如，當(dāng)主機(jī)之間使用直接藍(lán)牙或 WLAN連接時(shí))。對于密鑰分發(fā)，接入控制器3000要么僅將密鑰發(fā) 送至相應(yīng)主機(jī)(例如像根據(jù)圖7的過程中的網(wǎng)關(guān)一樣)，或者將密 鑰綁定于主機(jī)-接入控制器認(rèn)證結(jié)果上。
這意味著主機(jī)-1 IOOO基于其與接入控制器3000之間的共享密 鑰來導(dǎo)出針對主機(jī)-2 4000的會(huì)話密鑰，例如稱為keyl，并且如果主機(jī)-2 4000發(fā)送相應(yīng)的請求等，則接入控制器將該密鑰主動(dòng)地 (proactively )或^皮動(dòng)i也(reactively )發(fā)送至主才幾-2 4000。當(dāng) 1000聯(lián)系主才幾-2 4000的時(shí)候，其使用該keyl。
另 一方面，主機(jī)-2 4000基于其與接入控制器3000之間的共享密 鑰來導(dǎo)出針對主機(jī)-1 1000的會(huì)話密鑰例如key2,接入控制器3000 將該key2發(fā)送至主機(jī)-1 1000。當(dāng)主機(jī)-2 4000聯(lián)系主機(jī)-1 1000時(shí)， 其使用該密鑰。
主機(jī)1-主機(jī)2分組使用keyl而主機(jī)2-主機(jī)1分組使用key2?？商鎿Q 地，根據(jù)哪一方(主機(jī)1或主機(jī)2)發(fā)起連接， 一個(gè)密鑰用于兩個(gè)方 向(例如主機(jī)1發(fā)起連接使用keyl;主機(jī)2發(fā)起連接使用key2 )。 在上述實(shí)施方式中，有利的是，如果在PVPN系統(tǒng)中網(wǎng)關(guān)地址/ 名稱被預(yù)先配置到設(shè)備或網(wǎng)元。那么，可以通過上述實(shí)施方式中描 述的過程來提供地址/名稱的認(rèn)證。通過這個(gè)，可以避免與網(wǎng)關(guān)通信 的對等點(diǎn)不知道對其而言網(wǎng)關(guān)是否是正確的網(wǎng)關(guān)。從認(rèn)證器的角度 來看，網(wǎng)關(guān)可以是僅針對有限對等點(diǎn)集合的合法網(wǎng)關(guān)，例如對于屬 于一個(gè)訂戶的網(wǎng)元，而對于屬于另一訂戶的網(wǎng)元，該特定網(wǎng)關(guān)則并 不正確。
進(jìn)一步而言，會(huì)話密鑰創(chuàng)建不必顯式地^l綁定至IP地址。還可 使用其它參數(shù)，例如安全合格域名FQDN,或網(wǎng)絡(luò)接入標(biāo)識(shí)符NAI， 或多個(gè)參數(shù)的組合(例如對設(shè)備類型、鏈路層類型以及創(chuàng)建密鑰所 用的算法的指示符)。
在上述實(shí)施方式中，描述了提供安全P2P通信的可能性，其中 本地網(wǎng)關(guān)充當(dāng)密鑰分發(fā)器。此外，描述了密鑰分發(fā)器功能(例如接 入控制器300 )可以如上所述地被分發(fā)到網(wǎng)關(guān)(P2P密鑰分發(fā)器)200。
如上所述，根據(jù)第一實(shí)施方式的P2P網(wǎng)絡(luò)中的節(jié)點(diǎn)執(zhí)行單播業(yè) 務(wù)，因?yàn)樗鼈円黄鸩⒉痪哂泄蚕砻荑€。然而，作為由主機(jī)創(chuàng)建會(huì)話 密鑰Sks以將其發(fā)送到網(wǎng)關(guān)的替代方案，還可行的是，網(wǎng)關(guān)以下列 方式來為對等點(diǎn)提供密鑰，即，P2P網(wǎng)絡(luò)中的廣播/組播業(yè)務(wù)也是可能的。換言之，網(wǎng)關(guān)可以為多個(gè)主機(jī)提供相同的密鑰。這使得網(wǎng)關(guān) 還可以控制哪些主機(jī)具有密鑰而那些沒有。結(jié)合圖7的實(shí)施方式對 相應(yīng)的方法和機(jī)制進(jìn)行了描述。
當(dāng)主機(jī)不能對其它主才幾進(jìn)4亍iU正的時(shí)4吳，則主才幾不能-瞼i正網(wǎng)關(guān) 的動(dòng)作。換言之，主機(jī)不能確保網(wǎng)關(guān)僅將數(shù)據(jù)轉(zhuǎn)發(fā)到正確的目的地。
因此，根據(jù)本發(fā)明的一個(gè)實(shí)施方式，可以在主機(jī)和接入控制器 之間執(zhí)行信令。該接入控制器協(xié)議被相應(yīng)地?cái)U(kuò)展以支4爭該信令。在 本接入控制器中，相應(yīng)認(rèn)證方法在接入控制器與網(wǎng)關(guān)之間的安全通 道中已經(jīng)得到支持，從而該功能還可用作來往于主機(jī)的信令。結(jié)合 涉及圖8的實(shí)施方式對相應(yīng)的方法或^/L制進(jìn)行了描述。
就上述實(shí)施方式而言，需要注意的是，根據(jù)涉及圖1至圖6的 實(shí)施方式，特別有利的是，用于認(rèn)證和建立安全通信連接的信令被 本地化。
另一方面，在涉及圖7的實(shí)施方式中，網(wǎng)關(guān)充當(dāng)P2P密鑰分發(fā) 器，而在第一實(shí)施方式中，密鑰發(fā)送器對等點(diǎn)提供該密鑰。因此， 根據(jù)圖7的實(shí)施方式對于廣播/組播通信而言尤其有利，因?yàn)榫W(wǎng)關(guān)可 以為每個(gè)對等點(diǎn)提供相同的密鑰。換言之，可以有助于與多方共享 密鑰。例如，當(dāng)多方加入PVPN之后，網(wǎng)關(guān)可以向它們發(fā)送相同的 密鑰。
在根據(jù)涉及圖8的實(shí)施方式的可選機(jī)制中，主機(jī)-主機(jī)認(rèn)證通過 使接入控器作為認(rèn)證服務(wù)器來提供。這里，接入控制器以與又一實(shí) 施方式中的網(wǎng)關(guān)相似的方式充當(dāng)密鑰分發(fā)器。在此實(shí)施方式中，接 入控制器用于形成P2P連接，其中一個(gè)主機(jī)充當(dāng)網(wǎng)關(guān)。
根據(jù)本發(fā)明的實(shí)施方式，安全通信連接所需的密鑰以及相關(guān)信 息例如從接入控制器直接遞送至主機(jī)。
如上所述，提出了一種在通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信 的機(jī)制。網(wǎng)絡(luò)節(jié)點(diǎn)通過認(rèn)證網(wǎng)元執(zhí)行認(rèn)證過程。認(rèn)證網(wǎng)絡(luò)可以是作 為網(wǎng)關(guān)單元的網(wǎng)元的其中之一。接下來，生成用于被認(rèn)證網(wǎng)元的相 應(yīng)數(shù)據(jù)密鑰并通過使用認(rèn)證網(wǎng)元和網(wǎng)關(guān)單元之間的安全信道將其分 發(fā)到網(wǎng)關(guān)單元。數(shù)據(jù)密鑰被存儲(chǔ)在網(wǎng)關(guān)單元內(nèi)的數(shù)據(jù)密鑰。當(dāng)設(shè)定 了安全通信的時(shí)候，在意圖參與安全通信的網(wǎng)元中生成相應(yīng)會(huì)話密 鑰。該會(huì)話密鑰通過網(wǎng)關(guān)單元和網(wǎng)元之間的安全信道在意圖參與安 全通信的網(wǎng)元之間進(jìn)行交換。
需要理解的是，以上描述以及附圖僅意圖以示例的方式來示出本發(fā)明。因此在所附權(quán)利要求書的范圍之內(nèi)，本發(fā)明的優(yōu)選實(shí)施方 式可以進(jìn)4于變化。
權(quán)利要求
1.一種在通信網(wǎng)絡(luò)中的多個(gè)網(wǎng)元之間建立安全通信的方法，該方法包括步驟通過認(rèn)證網(wǎng)元來對所述多個(gè)網(wǎng)元執(zhí)行認(rèn)證過程；將所述多個(gè)網(wǎng)元其中之一設(shè)定為網(wǎng)關(guān)單元；在所述認(rèn)證網(wǎng)元中生成針對所述多個(gè)被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰；通過使用所述認(rèn)證網(wǎng)元和網(wǎng)關(guān)單元之間的安全信道將所述多個(gè)網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰分發(fā)到所述網(wǎng)關(guān)單元，并在所述網(wǎng)關(guān)單元中存儲(chǔ)所述相應(yīng)數(shù)據(jù)密鑰；生成針對意圖參與所述安全通信的所述多個(gè)網(wǎng)元的相應(yīng)會(huì)話密鑰；通過所述網(wǎng)關(guān)單元與所述多個(gè)網(wǎng)元之間的安全信道，在意圖參與所述安全通信的所述網(wǎng)元之間交換所述相應(yīng)的會(huì)話密鑰。
2. 根據(jù)權(quán)利要求1所述的方法，其中，對所述多個(gè)網(wǎng)元執(zhí)行所 述認(rèn)證過程的步驟包括步驟執(zhí)行在所述多個(gè)網(wǎng)元相應(yīng)之一與所述 認(rèn)證網(wǎng)元之間的認(rèn)證和密鑰協(xié)議過程。
3. 根據(jù)權(quán)利要求1所述的方法，其中，對所述多個(gè)網(wǎng)元執(zhí)行所 述認(rèn)證過程的步驟包括步驟由所述多個(gè)網(wǎng)元的其中之一來傳送成 為所述網(wǎng)關(guān)單元意愿的指示，其中通過對意愿指示的處理來執(zhí)行將 所述多個(gè)網(wǎng)元的其中之一設(shè)置為所述網(wǎng)關(guān)單元的步驟。
4. 根據(jù)權(quán)利要求1所述的方法，其中，在所述認(rèn)證網(wǎng)元中生成至少 一 個(gè)相應(yīng)數(shù)據(jù)密鑰的步驟可以包括步驟使用在相應(yīng)網(wǎng)元的認(rèn) 證過程中生成的相應(yīng)會(huì)話密鑰、所述網(wǎng)元的標(biāo)識(shí)數(shù)據(jù)以及與所述網(wǎng) 關(guān)單元相關(guān)聯(lián)的標(biāo)識(shí)單元中的至少一個(gè)來計(jì)算網(wǎng)絡(luò)設(shè)備的至少一個(gè) 相應(yīng)數(shù)據(jù)密鑰。
5. 根據(jù)權(quán)利要求1所述的方法，其中，在意圖參與所述安全通 信的所述多個(gè)網(wǎng)元之間交換相應(yīng)會(huì)話密鑰的步驟包括步驟 通過使用一個(gè)網(wǎng)元的數(shù)據(jù)密鑰對第 一 分組進(jìn)行加密來傳送所述 第一分組到網(wǎng)關(guān)節(jié)點(diǎn)，該第一分組包括由所述一個(gè)網(wǎng)元生成的會(huì)話密鑰和標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)；通過使用存儲(chǔ)在所述網(wǎng)關(guān)單元中的所述一個(gè)網(wǎng)元的所述數(shù)據(jù)密鑰來解密所述第一分組；對所述第 一 分組的內(nèi)容進(jìn)行處理以確定所述目的地網(wǎng)關(guān)單元；以及密鑰而加密的第二分組向所述目的地網(wǎng)元轉(zhuǎn)發(fā)包括在所述第一分組中的信息。
6. 根據(jù)權(quán)利要求1所述的方法，其中，向所述網(wǎng)關(guān)單元分發(fā)所 述多個(gè)網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰的步驟包括步驟在所述認(rèn)證網(wǎng)元處使與所述相應(yīng)數(shù)據(jù)密鑰相關(guān)的信息。
7. 根據(jù)權(quán)利要求1所述的方法，其中，所述多個(gè)網(wǎng)元是包括所 述通信網(wǎng)絡(luò)的移動(dòng)主才幾在內(nèi)的主^/L。
8. 根據(jù)權(quán)利要求1所述的方法，其中，所述網(wǎng)關(guān)單元是用于所 述網(wǎng)元的路由器，其被配置用于提供對包括因特網(wǎng)的外部網(wǎng)絡(luò)以及 包括內(nèi)聯(lián)網(wǎng)的內(nèi)部網(wǎng)絡(luò)的接入。
9. 根據(jù)權(quán)利要求1所述的方法，其中，所述認(rèn)證網(wǎng)元是供應(yīng)商 網(wǎng)絡(luò)的接入網(wǎng)絡(luò)控制器。
10. 根據(jù)權(quán)利要求1所述的方法，其中，所述安全通信建立在鄰 近網(wǎng)絡(luò)環(huán)境中，該鄰近網(wǎng)絡(luò)環(huán)境包括對等虛擬專用網(wǎng)絡(luò)環(huán)境。
11. 根據(jù)權(quán)利要求1所述的方法，其中，在意圖參與所述安全通 信的所述多個(gè)網(wǎng)元之間交換相應(yīng)會(huì)話密鑰的步驟之后，建立雙向安 全通信會(huì)話，其中所述網(wǎng)關(guān)單元不是所述通信路徑的一部分。
12. —種在通信網(wǎng)絡(luò)中的多個(gè)網(wǎng)元之間建立安全通信的系統(tǒng)，該 系統(tǒng)包括網(wǎng)關(guān)單元；以及 可連接至所述網(wǎng)關(guān)單元的認(rèn)證網(wǎng)元；其中， 所述多個(gè)網(wǎng)元可操作地連接到所述i人證網(wǎng)元并一皮配置為通過 所述認(rèn)證網(wǎng)元來才丸4亍i人證過程； 所述iU正網(wǎng)元,皮配置為將所述多個(gè)網(wǎng)元其中之一設(shè)定為所述網(wǎng)關(guān)單元；生成針對多個(gè)被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰；以及，通過使用所述認(rèn)證網(wǎng)元和所述網(wǎng)關(guān)單元之間的安全信道將所述多個(gè)網(wǎng)元的所述相應(yīng)數(shù)據(jù)密鑰分發(fā)到所述網(wǎng)關(guān)單元；以及， 所述網(wǎng)關(guān)單元適用于存儲(chǔ)所述相應(yīng)數(shù)據(jù)密鑰； 其中所述多個(gè)網(wǎng)元進(jìn)一步配置為當(dāng)意圖參與安全通信時(shí)生成所述相應(yīng)的會(huì)話密鑰；以及所述網(wǎng)關(guān)單元進(jìn)一步配置為支持通過使用所述網(wǎng)關(guān)單元與所述多個(gè)網(wǎng)元之間的安全信道以在意圖參與所述安全通信的所述多個(gè)網(wǎng)元之間交換所述相應(yīng)的會(huì)話密鑰。
13. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述多個(gè)網(wǎng)元可操作 地連接并被配置為使用在所述多個(gè)網(wǎng)元相應(yīng)之一與所述認(rèn)證網(wǎng)元 之間的認(rèn)證和密鑰協(xié)議過程來執(zhí)行認(rèn)證過程。
14. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述多個(gè)網(wǎng)元至少其 中之一可操作地連接并被配置為在執(zhí)行所述認(rèn)證過程期間，傳送 成為所述網(wǎng)關(guān)單元意愿的指示，其中所述認(rèn)證網(wǎng)元被配置為通過對 意愿的指示的處理來將所述多個(gè)網(wǎng)元的其中之一設(shè)置為所述網(wǎng)關(guān)單 元。
15. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，在生成至少一個(gè)相應(yīng) 數(shù)據(jù)密鑰中，所述認(rèn)證網(wǎng)元被配置為使用在所述相應(yīng)網(wǎng)元的認(rèn)證過 程中生成的相應(yīng)會(huì)話密鑰、所述網(wǎng)元的標(biāo)識(shí)數(shù)據(jù)以及與所述網(wǎng)關(guān)單 元相關(guān)聯(lián)的標(biāo)識(shí)單元中的至少一個(gè)來計(jì)算網(wǎng)絡(luò)設(shè)備的至少一個(gè)相應(yīng)數(shù)據(jù)密鑰。
16. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，對于在意圖參與所述 安全通信的所述多個(gè)網(wǎng)元之間交換所述相應(yīng)會(huì)話密鑰，所述多個(gè)網(wǎng)元被配置為通過使用 一個(gè)網(wǎng)元的數(shù)據(jù)密鑰對第 一分組進(jìn)行加密來傳送所述 第 一分組到網(wǎng)關(guān)節(jié)點(diǎn)，該第 一分組包括由所述一個(gè)網(wǎng)元生成的會(huì)話 密鑰和標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)；以及所述網(wǎng)關(guān)單元適用于通過使用存儲(chǔ)在所述網(wǎng)關(guān)單元中的所述一個(gè)網(wǎng)元的所述數(shù)據(jù)密 鑰來解密所述第一分組；對所述第 一 分組的內(nèi)容進(jìn)行處理以確定所述目的地網(wǎng)關(guān)單元；以及通過由所述網(wǎng)關(guān)單元利用所存儲(chǔ)的針對所述目的地網(wǎng)元的數(shù)據(jù) 密鑰而加密的第二分組向所述目的地網(wǎng)元轉(zhuǎn)發(fā)包括在所述第 一分組 中的信息。
17. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述認(rèn)證網(wǎng)元—皮配置鑰對與所述相應(yīng)數(shù)據(jù)密鑰相關(guān)的信息進(jìn)行加密/解密來將所述多個(gè)網(wǎng) 元的所述相應(yīng)數(shù)據(jù)密鑰分發(fā)到所述網(wǎng)關(guān)單元。
18. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述多個(gè)網(wǎng)元是包括 所述通信網(wǎng)絡(luò)的移動(dòng)主機(jī)在內(nèi)的主機(jī)。
19. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述網(wǎng)關(guān)單元是用于 所述網(wǎng)元的路由器，其被配置用于提供對包括因特網(wǎng)的外部網(wǎng)絡(luò)以及包括內(nèi)聯(lián)網(wǎng)的內(nèi)部網(wǎng)絡(luò)的接入。
20. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述認(rèn)證網(wǎng)元是供應(yīng) 商網(wǎng)絡(luò)的接入網(wǎng)絡(luò)控制器。
21. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，所述系統(tǒng)可用于在包 括對等虛擬專用網(wǎng)絡(luò)環(huán)境的鄰近網(wǎng)絡(luò)環(huán)境中建立的安全通信。
22. 根據(jù)權(quán)利要求12所述的系統(tǒng)，其中，在意圖參與所述安全作地連接并還配置為建立雙向安全通信會(huì)話，其中所述網(wǎng)關(guān)單元不 是所述通信路徑的一部分。
23. —種用于在通信網(wǎng)絡(luò)中的網(wǎng)元之間建立安全通信的網(wǎng)關(guān)單 元，該網(wǎng)關(guān)單元包括認(rèn)證裝置，適用于通過認(rèn)證網(wǎng)元來執(zhí)行認(rèn)證過程；接收裝置，用于通過使用所述認(rèn)證網(wǎng)元和所述網(wǎng)關(guān)單元之間的據(jù)密鑰；以及存儲(chǔ)裝置，用于存儲(chǔ)所述網(wǎng)元的所述數(shù)據(jù)密鑰， 其中所述網(wǎng)關(guān)單元進(jìn)一步適用于支持通過使用所述網(wǎng)關(guān)單元與所述網(wǎng)元之間的安全信道以在意圖參與所述安全通信的所述網(wǎng)元之間交換相應(yīng)會(huì)話密鑰。
24. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述網(wǎng)關(guān)單元通 過<吏用與所述i人證網(wǎng)元的認(rèn)證和密鑰協(xié)議過程來扭J亍所述i人^正過 程。
25. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述網(wǎng)關(guān)單元配 置為在執(zhí)行所述認(rèn)證過程期間，傳送成為所述網(wǎng)關(guān)單元意愿的指示；以及
26. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，從所述認(rèn)證網(wǎng)元 接收的并存儲(chǔ)在所述網(wǎng)關(guān)單元中的所述數(shù)據(jù)密鑰基于在網(wǎng)元的認(rèn)證 過程中生成的所述相應(yīng)會(huì)話密鑰、所述網(wǎng)元的標(biāo)識(shí)數(shù)據(jù)以及與所述 網(wǎng)關(guān)單元相關(guān)聯(lián)的標(biāo)識(shí)單元中的至少一個(gè)。
27. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，在意圖參與所述 安全通信的所述網(wǎng)元之間交換所述相應(yīng)會(huì)話密鑰時(shí)，所述網(wǎng)關(guān)單元 被配置為接收第 一分組，該第 一分組包括由一個(gè)網(wǎng)元生成的會(huì)話密鑰和 標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)，所述第一分組通過使用所述一個(gè)網(wǎng)元的數(shù) 據(jù)密鑰來加密，并通過存儲(chǔ)在所述網(wǎng)關(guān)單元中的所述數(shù)據(jù)密鑰來解密； 處理所述第一分組的內(nèi)容，以確定所述目的地網(wǎng)元；以及 通過使用利用所存儲(chǔ)的針對所述目的地網(wǎng)元的所述數(shù)據(jù)密鑰而加密的第二分組向所述目的地網(wǎng)元轉(zhuǎn)發(fā)包括在所述第 一分組中的信自
28. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述網(wǎng)關(guān)單元適 用于從所述認(rèn)證網(wǎng)元中接收所述網(wǎng)元的所述相應(yīng)數(shù)據(jù)密鑰，并且所述相應(yīng)會(huì)話密鑰對與所述相應(yīng)數(shù)據(jù)密鑰相關(guān)的信息進(jìn)行加密/解密來 傳送的。
29. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述網(wǎng)元是包括 所述通信網(wǎng)絡(luò)的移動(dòng)主機(jī)的主機(jī)。
30. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述網(wǎng)關(guān)單元是 用于所述網(wǎng)元的路由器，其配置為提供對包括因特網(wǎng)的外部網(wǎng)絡(luò)以 及包括內(nèi)聯(lián)網(wǎng)的內(nèi)部網(wǎng)絡(luò)的接入。
31. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述認(rèn)證網(wǎng)元是 供應(yīng)商網(wǎng)絡(luò)的接入網(wǎng)絡(luò)控制器。
32. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，所述網(wǎng)關(guān)單元可 用于在包括對等虛擬專用網(wǎng)絡(luò)環(huán)境的鄰近網(wǎng)絡(luò)環(huán)境中建立的安全通 信。
33. 根據(jù)權(quán)利要求23所述的網(wǎng)關(guān)單元，其中，在意圖參與安全所述網(wǎng)元之間的所述雙向安全通信會(huì)話的 一部分。
34. —種設(shè)備，包括網(wǎng)關(guān)單元，可用于在通信網(wǎng)絡(luò)的網(wǎng)元之間建立安全通信，所述 網(wǎng)關(guān)單元被配置為通過iU正網(wǎng)元來才丸4亍^人i正過程；通過使用所述認(rèn)證網(wǎng)元和所述網(wǎng)關(guān)單元之間的安全信道從所述 存儲(chǔ)所述網(wǎng)元的所述數(shù)據(jù)密鑰，其中所述網(wǎng)關(guān)單元進(jìn)一步配置為支持通過使用所述網(wǎng)關(guān)單元與 所述網(wǎng)元之間的安全信道以在意圖參與所述安全通信的所述網(wǎng)元之 間交換相應(yīng)的會(huì)話密鑰。
35. —種設(shè)備，包括網(wǎng)關(guān)單元，可用于在通信網(wǎng)絡(luò)的網(wǎng)元之間建立安全通信，所述 網(wǎng)關(guān)單元被配置為從發(fā)送網(wǎng)元接收指示參與安全通信的請求的第 一 消息，所述第 一消息包括標(biāo)識(shí)目的地網(wǎng)元的數(shù)據(jù)；驗(yàn)證所述網(wǎng)關(guān)單元具有用于到所述目的地網(wǎng)元的路由的條目，當(dāng)未發(fā)現(xiàn)用于路由的條目時(shí)，將標(biāo)識(shí)所述目的地網(wǎng)元的數(shù)據(jù)解 析為對應(yīng)的地址數(shù)據(jù)并使用該地址數(shù)據(jù)建立到所述目的地網(wǎng)元的路 由；當(dāng)發(fā)現(xiàn)用于路由的條目時(shí)，將第二消息直接單播到所述目的地 網(wǎng)元。
36. —種設(shè)備，包括認(rèn)證網(wǎng)元，可用于在通信網(wǎng)絡(luò)的網(wǎng)元之間建立安全通信，所述認(rèn)證正網(wǎng)元被配置為執(zhí)行與網(wǎng)元的認(rèn)證過程；將所述網(wǎng)元其中之一設(shè)定為網(wǎng)關(guān)單元；生成針對被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰；以及通過使用所述認(rèn)證網(wǎng)元和所述網(wǎng)關(guān)單元之間的安全信道將所述 網(wǎng)元的所述相應(yīng)數(shù)據(jù)密鑰分發(fā)給所述網(wǎng)關(guān)單元。
37. —種設(shè)備，包括終端節(jié)點(diǎn)，配置為在通信網(wǎng)絡(luò)中建立安全通信，所述終端節(jié)點(diǎn) 被配置為通過認(rèn)證網(wǎng)元執(zhí)行認(rèn)證；當(dāng)意圖參與安全通信時(shí)生成相應(yīng)的會(huì)話密鑰；將所述相應(yīng)的會(huì)話密鑰傳送至網(wǎng)關(guān)單元；以及使用到所述網(wǎng)關(guān)單元的安全信道與意圖參與所述安全通信的至 少 一 個(gè)其他終端單元交換會(huì)話密鑰。
38. —種方法，包4舌通過認(rèn)證網(wǎng)元扭J亍對網(wǎng)元的iU正過程；在所述認(rèn)證網(wǎng)元中生成針對多個(gè)被認(rèn)證網(wǎng)元的相應(yīng)凄丈據(jù)密鑰； 基于所述認(rèn)證過程的結(jié)果來導(dǎo)出會(huì)話密鑰； 通過網(wǎng)關(guān)單元和所述網(wǎng)元之間的安全信道將所述會(huì)話密鑰從密 鑰分發(fā)器分發(fā)到意圖參與安全通信的所述網(wǎng)元； 建立所述網(wǎng)元之間的安全通j言。
39. 根據(jù)權(quán)利要求38所述的方法，其中，所述會(huì)話密鑰是提供 給所有網(wǎng)元的共享會(huì)話密鑰。
40. 根據(jù)權(quán)利要求38所述的方法，進(jìn)一步包括 將所述網(wǎng)元其中之一設(shè)定為所述網(wǎng)關(guān)單元。
41. 根據(jù)權(quán)利要求38所述的方法，進(jìn)一步包括在作為網(wǎng)元的主機(jī)中基于所述網(wǎng)關(guān)單元的標(biāo)識(shí)和所述認(rèn)證過程 的結(jié)果來導(dǎo)出會(huì)話密鑰。
42. 根據(jù)權(quán)利要求38所述的方法，進(jìn)一步包括在所述網(wǎng)關(guān)單元 中提供所述密鑰分發(fā)器。
43. —種設(shè)備，包括網(wǎng)元，坡配置為充當(dāng)網(wǎng)關(guān)單元，可用于在網(wǎng)元之間建立安全通 信，其中所述網(wǎng)元被配置為通過認(rèn)證網(wǎng)元對其自身和網(wǎng)元執(zhí)行認(rèn)證過程； 通過所述網(wǎng)元之間的安全信道，將基于所述認(rèn)證過程的結(jié)果導(dǎo) 出的會(huì)話密鑰分發(fā)至意圖參與安全通信的所述網(wǎng)元。
44. 根據(jù)權(quán)利要求43所述的設(shè)備，其中，所述網(wǎng)元包括密鑰分 發(fā)器單元。
45. —種方法，包括通過認(rèn)證網(wǎng)元中生成亍針對網(wǎng)元的認(rèn)證過程；在所述認(rèn)證網(wǎng)元中生成針對所述被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰； 基于所述數(shù)據(jù)密鑰在所述網(wǎng)元中導(dǎo)出會(huì)話密鑰； 通過使用所述誰網(wǎng)元與所述網(wǎng)元之間的安全信道，將所述相應(yīng)會(huì)話密鑰經(jīng)由所述誰網(wǎng)元分發(fā)至所述網(wǎng)元；在所述網(wǎng)元之間建立安全通信。
46. 根據(jù)權(quán)利要求45所述的方法，進(jìn)一步包括 將所述多個(gè)網(wǎng)元其中之一設(shè)定為所述網(wǎng)關(guān)單元。
47. —種設(shè)備，包括網(wǎng)元，被配置為充當(dāng)認(rèn)證單元，可用于在網(wǎng)元之間建立安全通 信，其中所述網(wǎng)元被配置為通過認(rèn)證網(wǎng)元執(zhí)行針對網(wǎng)元的認(rèn)證過程； 生成針對所述被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰；數(shù)據(jù)密鑰在所述網(wǎng)元中導(dǎo)出的相應(yīng)會(huì)話密鑰分發(fā)到所述網(wǎng)元。
全文摘要
提供了一種用于在通信網(wǎng)絡(luò)的網(wǎng)元之間建立安全通信的機(jī)制。網(wǎng)絡(luò)節(jié)點(diǎn)通過認(rèn)證網(wǎng)元來執(zhí)行認(rèn)證過程。認(rèn)證網(wǎng)絡(luò)還可以是作為網(wǎng)關(guān)單元的網(wǎng)元的其中之一。然后，生成針對被認(rèn)證網(wǎng)元的相應(yīng)數(shù)據(jù)密鑰，并通過使用認(rèn)證網(wǎng)元與網(wǎng)關(guān)單元之間的安全信道將其分發(fā)到網(wǎng)關(guān)單元。數(shù)據(jù)密鑰存儲(chǔ)在網(wǎng)關(guān)單元中。當(dāng)將要設(shè)定安全通信時(shí)，在意圖參與安全通信的網(wǎng)元中生成相應(yīng)的會(huì)話密鑰。通過網(wǎng)關(guān)單元與網(wǎng)元之間的安全信道而在意圖參與安全通信的網(wǎng)元之間交換會(huì)話密鑰。
文檔編號H04L29/06GK101204065SQ200680019517
公開日2008年6月18日 申請日期2006年4月28日 優(yōu)先權(quán)日2005年4月29日
發(fā)明者D·福爾斯伯格, R·庫德利 申請人:諾基亞公司