專利名稱：附連至與例如ims的安全核心網(wǎng)絡(luò)通信的毫微微小區(qū)的移動單元的認(rèn)證方法
技術(shù)領(lǐng)域：
·概括地說，本發(fā)明涉及通信系統(tǒng)，更具體地，涉及無線通信系統(tǒng)。
背景技術(shù)：
傳統(tǒng)無線通信系統(tǒng)使用基站網(wǎng)絡(luò)向一個或多個移動單元提供無線連通性。在某些情況下，移動單元可發(fā)起與網(wǎng)絡(luò)中的一個或多個基站的無線通信，例如，當(dāng)移動單元的用戶希望發(fā)起語音或數(shù)據(jù)呼叫時。備選地，網(wǎng)絡(luò)可發(fā)起與移動單元的無線通信鏈接。例如，在傳統(tǒng)分層無線通信中，服務(wù)器將目的地為目標(biāo)移動單元的語音和/或數(shù)據(jù)發(fā)送到諸如無線電網(wǎng)絡(luò)控制器(RNC)之類的中央元件。RNC然后可經(jīng)由一個或多個基站將尋呼消息發(fā)送到目標(biāo)移動單元。目標(biāo)移動單元可建立到一個或多個基站的無線鏈路以響應(yīng)接收到來自無線通信系統(tǒng)的尋呼。RNC內(nèi)的無線電資源管理功能接收語音和/或數(shù)據(jù)并協(xié)調(diào)該組基站所使用的無線電和時間資源以便將信息發(fā)送到目標(biāo)移動單元。無線電資源管理功能可以執(zhí)行精細(xì)粒度控制以便為一組基站上的廣播傳輸分配和釋放資源?；趦H對于網(wǎng)絡(luò)中的移動單元和安全實體已知的保密信息(例如認(rèn)證密鑰)建立在傳統(tǒng)的分級系統(tǒng)(例如CDMA系統(tǒng))中的安全通信。HLR/AuC和移動單元可例如使用CAVE算法從認(rèn)證密鑰(AK)導(dǎo)出共享保密數(shù)據(jù)(SSD)。AK是僅對于移動站和HLR/AuC已知的64位主密鑰。這個密鑰不與漫游伙伴共享。AK可用于生成SSD，后者是可使用CAVE算法計算的128位二級密鑰，并且可與漫游伙伴共享。在認(rèn)證期間，HLR/AuC和移動單元都可使用例如SSD、電子序號(ESN)、移動識別號(MIN)、和共享隨機數(shù)(RAND)的共享輸入單獨地和獨立地計算認(rèn)證響應(yīng)。如果獨立計算的結(jié)果匹配，則通過認(rèn)證，并且允許移動單元向網(wǎng)絡(luò)登記。AK或SSD可用于認(rèn)證在網(wǎng)絡(luò)中登記的移動單元。例如，基站可周期性生成隨機數(shù)(RAND),并廣播RAND。接收所廣播的RAND的移動單元使用包含RAND和AK或SSD的輸入計算認(rèn)證算法輸出(AUTH)。AUTH和相關(guān)RAND (或RAND的所選部分)有時稱為對。然后，移動單元可將AUTH/RAND對發(fā)送至基站，后者隨后可通過網(wǎng)絡(luò)將該信息繼續(xù)傳遞至HLR/AuC。HLR/AuC使用認(rèn)證算法、AK或SSD的存儲值、與每個移動單元對應(yīng)的其他數(shù)據(jù)、和RAND來計算AUTH的預(yù)期值。如果這個值匹配于移動單元發(fā)送的值，則移動單元通過認(rèn)證。基站頻繁改變RAND的值，以確保AUTH值是新的，并降低先前生成的AUTH/RAND結(jié)果可能通過監(jiān)視空中接口被捕獲以及通過假移動單元或移動單元模擬器被重現(xiàn)的可能性。這個技術(shù)被認(rèn)為是合理可靠的，至少部分因為基站典型地是在無線通信提供商的控制下的安全設(shè)備。傳統(tǒng)分層網(wǎng)絡(luò)體系結(jié)構(gòu)的一種替代方案是分布式體系結(jié)構(gòu)，后者包括實現(xiàn)分布式通信網(wǎng)絡(luò)功能的諸如基站路由器之類的接入點的網(wǎng)絡(luò)。例如，每個基站路由器可將RNC和/或rosN功能組合在單個實體內(nèi)，后者管理一個或多個移動單元與外部網(wǎng)絡(luò)(如因特網(wǎng))之間的無線電鏈路。與分層網(wǎng)絡(luò)相比，分布式體系結(jié)構(gòu)具有這樣的潛力降低部署網(wǎng)絡(luò)的成本和/或復(fù)雜性，以及降低添加額外無線接入點(例如，基站路由器)以擴展現(xiàn)有網(wǎng)絡(luò)的覆蓋的成本和/或復(fù)雜性。分布式網(wǎng)絡(luò)還可減少(相對于分層網(wǎng)絡(luò))用戶經(jīng)歷的延遲，因為可減小或消除分層網(wǎng)絡(luò)的RNC和rosN處的分組排隊延遲。至少部分地因為降低的部署基站路由器的成本和復(fù)雜性，可將基站路由器部署在無法部署傳統(tǒng)基站的位置。例如，可將基站路由器部署在住宅或建筑物內(nèi)以向住宅或建筑物的居住者提供無線連通性。部署在住宅內(nèi)的基站路由器通常被稱為家庭基站路由器或毫微微蜂窩，因為它們旨在向包圍住宅的小得多的區(qū)域(例如，毫微微蜂窩)提供無線連通性。毫微微蜂窩中的功能通常與傳統(tǒng)基站路由器(其旨在向可能覆蓋大約幾平方公里的區(qū)域的宏蜂窩提供無線連通性)中實現(xiàn)的功能非常類似。毫微微蜂窩與傳統(tǒng)基站路由器之間的一個重要區(qū)別是家庭基站路由器被設(shè)計成廉價的即插即用設(shè)備，普通人可購買該現(xiàn)成設(shè)備并容易地安裝該設(shè)備。毫微微小區(qū)典型地不包括用于存儲可用在毫微微小區(qū)和移動單元之間建立安全通信的信息的昂貴的安全芯片。此外，毫微微小區(qū)被部署在非安全的位置中，例如個人的家庭或營業(yè)場所。因此，毫微微小區(qū)不被看作用于存儲可用來認(rèn)證移動單元的密鑰或其他信息的可信位置。因此， 如果毫微微小區(qū)被配置為生成用來認(rèn)證移動單元的隨機數(shù)RAND，則可修改毫微微小區(qū)以虛假地代表移動單元。例如，非法的毫微微小區(qū)可攔截在合法移動單元和合法基站之間發(fā)送的有效AUTH/RAND對。然后，非法毫微微小區(qū)可使用攔截的AUTH/RAND對模擬合法移動單元。由于毫微微小區(qū)負(fù)責(zé)生成RAND值，所以網(wǎng)絡(luò)不能夠確定由非法毫微微小區(qū)發(fā)送的AUTH/RAND對是否對應(yīng)于RAND的最新值。Naslund等(美國專利申請公開No. 2006/0288407)描沭了實現(xiàn)認(rèn)證和密鑰協(xié)定協(xié)議的防篡改安全設(shè)備。

發(fā)明內(nèi)容
本發(fā)明旨在解決一個或多個上述問題的影響。以下提供了簡化的發(fā)明概要以便提供對本發(fā)明的某些方面的基本理解。此概要并不是本發(fā)明的窮舉性概述。其并非旨在確定本發(fā)明的關(guān)鍵或重要元素或描述本發(fā)明的范圍。其唯一目的是以簡化的形式提供某些概念作為對以下討論的詳細(xì)描述的序言。
在本發(fā)明的一個實施例中，提供一種涉及與例如因特網(wǎng)協(xié)議多媒體子系統(tǒng)(MS)網(wǎng)絡(luò)的安全核心網(wǎng)絡(luò)通信的毫微微小區(qū)的方法。該方法包括從所述毫微微小區(qū)并且在所述IMS網(wǎng)絡(luò)中的第一安全實體處接收全局質(zhì)詢，所述全局質(zhì)詢包括用以指示隨機數(shù)的信息。該方法還包括接收認(rèn)證響應(yīng)，所述認(rèn)證響應(yīng)是由移動單元基于所述隨機數(shù)以及所述移動單元已知且所述毫微微小區(qū)未知的第一密鑰計算的。該方法還包括在所述第一安全實體處確定所述隨機數(shù)是否為由所述MS網(wǎng)絡(luò)向所述毫微微小區(qū)提供的合法隨機數(shù)。 在本發(fā)明的另一個實施例中，提供一種涉及與例如因特網(wǎng)協(xié)議多媒體子系統(tǒng)(IMS)網(wǎng)絡(luò)的安全核心網(wǎng)絡(luò)通信的毫微微小區(qū)的方法。該方法包括從所述毫微微小區(qū)并且向所述MS網(wǎng)絡(luò)中的第一安全實體提供用以指示隨機數(shù)的信息。該方法還包括提供用以指示認(rèn)證響應(yīng)的信息，所述認(rèn)證響應(yīng)是由移動單元基于所述隨機數(shù)以及所述移動單元已知且所述毫微微小區(qū)未知的第一密鑰計算的。所述移動單元響應(yīng)于由所述毫微微小區(qū)廣播的全局質(zhì)詢提供該信息。該方法還包括從所述第一安全實體接收基于所述隨機數(shù)和所述第一密鑰所確定的至少一個第二密鑰。所述第二密鑰是響應(yīng)于所述第一安全實體確定所述隨機數(shù)為由所述MS網(wǎng)絡(luò)向所述毫微微小區(qū)提供的合法隨機數(shù)來接收的。


通過結(jié)合附圖參考以下說明可理解本發(fā)明，其中相同的標(biāo)號標(biāo)識相同的元素，這些附圖是圖1概念性示出根據(jù)本發(fā)明的無線通信系統(tǒng)的一個示意性實施例；圖2概念性示出根據(jù)本發(fā)明的使用全局質(zhì)詢認(rèn)證與毫微微小區(qū)通信的移動單元的方法的一個示例性實施例；圖3概念性示出根據(jù)本發(fā)明的向毫微微小區(qū)提供隨機數(shù)的方法的第一示例性實施例；圖4概念性示出根據(jù)本發(fā)明的向毫微微小區(qū)提供隨機數(shù)的方法的第二示例性實施例；以及圖5概念性示出根據(jù)本發(fā)明的向毫微微小區(qū)提供隨機數(shù)的方法的第三示例性實施例。雖然本發(fā)明可具有各種修改和備選形式，但是通過實例的方式在附圖中示出并在此詳細(xì)描述本發(fā)明的特定實施例。但是，應(yīng)理解的是，在此對特定實施例的描述并非旨在將本發(fā)明限于所披露的特定形式，相反，本發(fā)明旨在覆蓋所有落入如所附權(quán)利要求限定的發(fā)明范圍內(nèi)的修改物、等效物和備選物。
具體實施例方式以下描述了本發(fā)明的示例性實施例。為了清晰，未在本說明書中描述實際實施方式的所有特性。當(dāng)然將理解的是，在部署任何此類實際實施例中，應(yīng)做出大量實施方式特定的決策以實現(xiàn)開發(fā)者的特定目標(biāo)，如符合系統(tǒng)相關(guān)的和業(yè)務(wù)相關(guān)的約束，后者將隨實施方式而改變。此外，將理解的是，此類部署工作可能是復(fù)雜而耗時的，但是仍將是從本公開受益的本領(lǐng)域技術(shù)人員的例行任務(wù)。現(xiàn)在將參考附圖描述本發(fā)明。在圖中示意性地示出了各種結(jié)構(gòu)、系統(tǒng)和設(shè)備，其只是為了說明以及不會使用本領(lǐng)域技術(shù)人員公知的細(xì)節(jié)使本發(fā)明變得不清楚。盡管如此，仍包括附圖以描述和說明本發(fā)明的示例性實例。在此使用的單詞和短語應(yīng)被理解和解釋為具有與相關(guān)領(lǐng)域技術(shù)人員對這些單詞和短語的理解相一致的含義。在此對術(shù)語或短語的一致使用并未旨在暗示所述術(shù)語或短語的任何特殊定義(即，與本領(lǐng)域技術(shù)人員所理解的普通和習(xí)慣含義不同的定義)。在術(shù)語或短語旨在具有特殊含義(即，不同于本領(lǐng)域技術(shù)人員所理解的含義)的情況下，將以確定的方式在說明書中明確闡述此類特殊定義，其直接地和明確地提供了所述術(shù)語或短語的特殊定義。圖1概念性示出無線通信系統(tǒng)100的一個示例性實施例。在所示實施例中，無線通信系統(tǒng)100包括用于提供無線連接的一個或多個毫微微小區(qū)105。毫微微小區(qū)105可根據(jù)標(biāo)準(zhǔn)和/或協(xié)議提供無線連接，所述標(biāo)準(zhǔn)和/或協(xié)議包括但不限于，碼分多址(CDMA)標(biāo)準(zhǔn)和/或協(xié)議、通用移動電信服務(wù)(UMTS)標(biāo)準(zhǔn)和/或協(xié)議、全球移動通信(GSM)標(biāo)準(zhǔn)和/或協(xié)議、WiMAX標(biāo)準(zhǔn)和/或協(xié)議、IEEE標(biāo)準(zhǔn)和/或協(xié)議等。此外，得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，本發(fā)明不限于使用毫微微小區(qū)105提供無線連接。在備選實施例中，可使用例如基站、基站路由器、接入點、接入網(wǎng)絡(luò)等的設(shè)備在無線通信系統(tǒng)100中提供無線連接。毫微微小區(qū)105旨在向大致包含以下建筑物的區(qū)域提供無線覆蓋，即所述建筑物包括被授權(quán)訪問毫微微小區(qū)105的一個或多個移動單元110。移動單元110可使用多種技術(shù)向毫微微小區(qū)105登記，所述技術(shù)包括使得用戶經(jīng)由網(wǎng)頁輸入用于登記的移動單元110的國際移動用戶識別aMSI)、使用移動單元 110和毫微微小區(qū)105之間的握手協(xié)議等。然后，使得登記的移動單兀110的列表可用于毫微微小區(qū)105。在一個實施例中，毫微微小區(qū)105包含數(shù)據(jù)庫，其包括用于登記的移動單元110的MSI值。在所示實施例中，移動單元110是基于碼分多址(CDMA)的無線移動單元110。然而，得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，本發(fā)明不限于基于CDMA的移動單元110。毫微微小區(qū)105經(jīng)由安全核心網(wǎng)絡(luò)115提供對無線通信系統(tǒng)100的訪問。在所示實施例中，安全核心網(wǎng)絡(luò)是因特網(wǎng)協(xié)議多媒體子系統(tǒng)aMS)網(wǎng)絡(luò)115 (由虛線框表示)。然而，還可使用其他類型的安全核心網(wǎng)絡(luò)115。例如,毫微微小區(qū)105可使用其他類型的核心網(wǎng)絡(luò)技術(shù)來實施，例如基于IP的核心網(wǎng)絡(luò)技術(shù)，像會話發(fā)起協(xié)議(SIP)。在各種代替實施例中，毫微微小區(qū)105可通過各種功能元件耦合至IMS網(wǎng)絡(luò)115。例如，在圖1中，毫微微小區(qū)105耦合至數(shù)字用戶線路(DSL)或電纜調(diào)制解調(diào)器網(wǎng)絡(luò)120，后者耦合至毫微微網(wǎng)絡(luò)網(wǎng)關(guān)125。操作管理和維護(0Α&Μ)服務(wù)器130可耦合至毫微微網(wǎng)絡(luò)網(wǎng)關(guān)125，并且可用于經(jīng)由毫微微網(wǎng)絡(luò)網(wǎng)關(guān)(FNG) 125在毫微微小區(qū)105和因特網(wǎng)協(xié)議(IP)網(wǎng)絡(luò)135之間建立通信。然而，得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，該示例性實施例并沒有將本發(fā)明限制為這個特定網(wǎng)絡(luò)架構(gòu)。IMS網(wǎng)絡(luò)115是基于會話發(fā)起協(xié)議(SIP)的網(wǎng)絡(luò)，其支持通過許多類型的手機在因特網(wǎng)上通信。例如，這些手機(例如與毫微微小區(qū)105組合的移動單元110)可使用因特網(wǎng)協(xié)議語音(VoIP)和其他方法在跨IP網(wǎng)絡(luò)135的實時應(yīng)用中傳送數(shù)據(jù)和語音。IMS網(wǎng)絡(luò)115包括家庭定制服務(wù)器(HSS)140，后者是支持處理呼叫的MS網(wǎng)絡(luò)實體的主用戶數(shù)據(jù)庫。HSS140可包含定制相關(guān)的信息(用戶概況)，執(zhí)行用戶的認(rèn)證和授權(quán)，并且可提供關(guān)于用戶的物理位置的信息。MS網(wǎng)絡(luò)115還可包括一個或多個呼叫會話控制功能(CSCF)實體145，其用于在MS網(wǎng)絡(luò)115中處理SIP信令分組。盡管在圖1中將CSCF實體145示出為一個功能框，但是得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，CSCF實體145可包括多個實體，例如服務(wù)CSCF、代理CSCF、詢問CSCF等，他們可在一個或多個其他功能和/或物理實體中實現(xiàn)。使用移動管理應(yīng)用服務(wù)器(MMAS)150來協(xié)調(diào)和管理與移動單元110的移動性相關(guān)的功能。IMS網(wǎng)絡(luò)115還支持向毫微微小區(qū)105和其他基站或無線通信系統(tǒng)100中的毫微微小區(qū)提供隨機數(shù)。這些隨機數(shù)可用于移動單元的全局質(zhì)詢。例如，全局質(zhì)詢可包括在開銷信道上連續(xù)發(fā)送的隨機數(shù)。在每個系統(tǒng)訪問時，需要移動單元使用保密數(shù)據(jù)(SSD或AK)計算響應(yīng)，并將響應(yīng)和隨機數(shù)的至少一部分返回至系統(tǒng)用于驗證。全局質(zhì)詢不同于唯一質(zhì)詢，后者是對移動單元指定的一次性質(zhì)詢，并基于為唯一質(zhì)詢所生成的隨機數(shù)和預(yù)期響應(yīng)而形成。在所示實施例中，MS網(wǎng)絡(luò)115包括隨機數(shù)服務(wù)器(MMAS-RAND) 155，其生成隨機數(shù)并將其提供至毫微微小區(qū)105。例如，隨機數(shù)服務(wù)器155可在約每10分鐘周期性生成隨機數(shù)，然后將其分發(fā)給毫微微小區(qū)105在認(rèn)證移動單元110時使用。備選地，隨機數(shù)服務(wù)器155可生成種子信息，并將該信息分發(fā)給毫微微小區(qū)105，然后MMAS 150可使用種子信息周期性生成隨機數(shù)。例如，種子信息可每天生成一次，然后毫微微小區(qū)105可每10分鐘使用該信息(與毫微微小區(qū)105處的其他信息,并且同樣對于MMAS 150已知)生成新隨機數(shù)。每個毫微微小區(qū)105可定制由隨機數(shù)服務(wù)器155提供的隨機數(shù)服務(wù)，從而其接收所生成的隨機數(shù)。MMAS 150也可被定制隨機數(shù)服務(wù)，從而在每次隨機數(shù)改變時向其進行通知。毫微微小區(qū)105使用所提供的隨機數(shù)認(rèn)證移動單元110并在空中接口上建立與移動單元Iio的安全通信鏈路。然而，毫微微小區(qū)105可能不是無線通信系統(tǒng)100的可信元件。例如，毫微微小區(qū)105可能不是物理安全的，因為他可能位于用戶的住宅或營業(yè)場所中。因此，服務(wù)提供商不能確保毫微微小區(qū)105不能夠被嘗試修改或黑客攻擊毫微微小區(qū)105的未授權(quán)用戶訪問。此外，毫微微小區(qū)105可能易受網(wǎng)絡(luò)上的黑客攻擊。例如，毫微微小區(qū)105可能未提供足夠的防火墻保護、病毒保護等，這允許了未授權(quán)用戶黑客攻擊毫微微小區(qū)105。由于毫微微小區(qū)105不是系統(tǒng)100的可信元件，所以毫微微小區(qū)105可用于虛假地代表移動單元110。由此，IMS網(wǎng)絡(luò)115可周期性驗證由毫微微小區(qū)105提供的認(rèn)證信息和隨機數(shù)是否已經(jīng)由訪問MMAS-RAND 155所提供的有效隨機數(shù)的移動單元110形成。一旦認(rèn)證結(jié)果和隨機數(shù)被確認(rèn)有效，則MS網(wǎng)絡(luò)115可向毫微微小區(qū)105提供呼叫處理服務(wù)和/或安全信息，例如在歸屬位置寄存器/認(rèn)證中心(HLR/AuC)160處生成的一個或多個密鑰。 用于驗證RAND的MS網(wǎng)絡(luò)115中(和該網(wǎng)絡(luò)以外)的實體是可信的或是安全的實體。例如，MMAS 150,MMAS-RAND 155、和HLR/AuC 160可以是物理上安全的，因為他們位于在服務(wù)提供商的控制下的建筑物中。因此，服務(wù)提供商能夠確保MMAS 150,MMAS-RAND 155、和/或HLR/AuC 160不能夠被嘗試修改或黑客攻擊毫微微小區(qū)105的未授權(quán)用戶訪問。此夕卜，可使用防火墻保護、病毒保護等保護MMAS 150,MMAS-RAND 155、和/或HLR/AuC 160防止黑客攻擊，這可防止對于MMAS 150、MMAS-RAND 155、和HLR/AuC 160的未授權(quán)訪問。在所示實施例中，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)(FNG) 125也是可信的和/或安全的實體。圖2概念性示出使用全局質(zhì)詢認(rèn)證與毫微微小區(qū)通信的移動單元的方法200的一個示例性實施例。在所示實施例中，毫微微小區(qū)(FEMTO)中的SIP用戶代理通過與適當(dāng)?shù)腃SCF實體通信向MS網(wǎng)絡(luò)登記，如雙箭頭205所示。向MS網(wǎng)絡(luò)登記的技術(shù)是本領(lǐng)域公知的，并且為了清楚在這里將不再討論。毫微微小區(qū)還向隨機數(shù)服務(wù)器(RAND)登記(如箭頭210所示)，從而其可在無線通信系統(tǒng)中接收可在向移動單元(MU)發(fā)出的全局質(zhì)詢中使用的隨機數(shù)。例如，毫微微小區(qū)可被預(yù)配置為在建立和/或通電時定制(在210)隨機數(shù)服務(wù)。一旦毫微微小區(qū)向隨機數(shù)服務(wù)器登記(在210)，則隨機數(shù)服務(wù)器可向毫微微小區(qū)周期性提供隨機數(shù)(或可用于生成隨機數(shù)的信息)，如箭頭215所示。在MS網(wǎng)絡(luò)中的移動管理應(yīng)用服務(wù)器(MMAS)也可定制(在220)隨機數(shù)服務(wù)器，從而在提供至毫微微小區(qū)的隨機數(shù)改變時向其進行通知(在225 )。在一些實施例中，無線通信系統(tǒng)可包括正用作隨機數(shù)驗證節(jié)點的多個MMAS實體。在這些實施例中，多個MMAS實體也可定制隨機數(shù)服務(wù)，以持續(xù)報告可用于認(rèn)證算法目的的合法隨機數(shù)。由此，在該處理(由虛線230所示)中，隨機數(shù)服務(wù)器向毫微微小區(qū)和移動管理應(yīng)用服務(wù)器(多個)周期性提供(在215,225)隨機數(shù)信息?？苫凇白钚隆彪S機數(shù)的競爭需求和網(wǎng)絡(luò)上低開銷來選擇提供隨機數(shù)的時間段。 在無線通信系統(tǒng)中，毫微微小區(qū)向移動單元(MU)周期性廣播(在235)全局認(rèn)證質(zhì)詢。在所示實施例中，通過使用開銷消息來廣播(235)全局認(rèn)證質(zhì)詢，所述開銷消息包括向毫微微小區(qū)提供的隨機數(shù)的當(dāng)前值。當(dāng)移動單元嘗試訪問網(wǎng)絡(luò)時，移動單元向毫微微小區(qū)發(fā)送(在240)認(rèn)證消息。在所示實施例中，移動單元發(fā)送(在240)認(rèn)證算法(例如CAVE算法)的結(jié)果，所述認(rèn)證算法是通過將所提供的隨機數(shù)(RAND)用作輸入之一來執(zhí)行的。移動單元還可發(fā)送(在240)用以指示隨機數(shù)的信息，其用于獲得認(rèn)證算法輸出(AUTHR)。認(rèn)證算法輸出和隨機數(shù)的組合可稱為AUTHR/RAND對。然后，毫微微小區(qū)可向CSCF發(fā)送(在245)包括AUTHR/RAND對的消息，所述CSCF可向MMAS轉(zhuǎn)發(fā)(在250)該消息。例如，毫微微小區(qū)可將原始消息解譯成在SIP報頭中包括認(rèn)證參數(shù)的SIP INVITE消息。然后，可向MMAS發(fā)送(在 245，250) SIP INVITE 消息。MMAS驗證(在255)在從毫微微小區(qū)接收的認(rèn)證參數(shù)中指示的RAND的值。在一個實施例中，MMAS用作IMS網(wǎng)絡(luò)和HLR/AuC之間的網(wǎng)絡(luò)功能。因此，MMAS可將從毫微微小區(qū)接收的認(rèn)證參數(shù)解譯成向HLR/AuC發(fā)送(在260)的ANSI 4IMAP消息認(rèn)證請求，所述HLR/AuC通過用以指示認(rèn)證過程成功還是失敗的信息來響應(yīng)(在265)。用于確定在HLR/AuC處基于ANSI 41MAP消息認(rèn)證請求執(zhí)行的認(rèn)證過程成功還是失敗的技術(shù)是本領(lǐng)域已知的，為了清楚在這里將不再進一步討論。然后，MMAS可使用來自HLR/AuC的響應(yīng)來確定認(rèn)證過程成功還是失敗。如果認(rèn)證成功，則允許呼叫繼續(xù)。在所示實施例中，作為認(rèn)證過程的一部分，MMAS轉(zhuǎn)發(fā)來自遠(yuǎn)端的響應(yīng)消息，并包括由HLR/AuC提供的語音私密密鑰。例如，MMAS可在SIP消息(例如18x消息或2000K消息)中包括安全密鑰，并且可響應(yīng)于SIP INVITE消息向毫微微小區(qū)發(fā)送(在270，275)該消息。然后，毫微微小區(qū)可使用安全密鑰信息在移動單元和毫微微小區(qū)之間建立(在280)安全和/或私有鏈路。圖3概念性示出向毫微微小區(qū)提供隨機數(shù)的方法300的第一示例性實施例。在所示實施例中，毫微微小區(qū)(FEMTO)已經(jīng)向MS網(wǎng)絡(luò)登記。毫微微小區(qū)(或毫微微小區(qū)中的用戶代理)被配置為自動定制基于網(wǎng)絡(luò)的隨機數(shù)服務(wù)器。因此，在所示實施例中，毫微微小區(qū)向代理CSCF (P-CSCF)發(fā)送(在305)定制消息。定制消息包括請求定制由隨機數(shù)服務(wù)器(RAND)提供的隨機數(shù)服務(wù)的信息。例如，定制消息可以是根據(jù)RFC 3265中定義的SIP協(xié)議形成的SUBSCRIBE消息。P-CSCF向服務(wù)CSCF (S-CSCF)轉(zhuǎn)發(fā)(在310)該信息，服務(wù)CSCF(S-CSCF)隨后向隨機數(shù)服務(wù)器繼續(xù)轉(zhuǎn)發(fā)(在315)該消息。然后，隨機數(shù)服務(wù)器可返回(在320)用以指示毫微微小區(qū)成功定制隨機數(shù)服務(wù)的消息。在所示實施例中，由隨機數(shù)服務(wù)器返回(在320)的消息是指示SUBSCRIBE消息被接收的200-0K響應(yīng)。然而，得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，其他消息可備選地用于指示定制消息的成功接收。可將返回的消息提供至(在320)S-CSCF，其可向P-CSCF發(fā)送(在325)該消息。然后，可向毫微微小區(qū)發(fā)送(在330)該消息，從而毫微微小區(qū)知道其已經(jīng)成功定制了由隨機數(shù)服務(wù)器提供的隨機數(shù)服務(wù)。隨機數(shù)服務(wù)器可向毫微微小區(qū)發(fā)送(在335)通知消息，其包括應(yīng)用于全局質(zhì)詢的隨機數(shù)的當(dāng)前值。在所示實施例中，隨機數(shù)服務(wù)器發(fā)送(在335)N0TIFY消息，這是對于包含隨機數(shù)(RAND)的當(dāng)前值的SUBSCRIBE消息的自動響應(yīng)?？蓪OTIFY消息提供至(在335)S-CSCF，其可向P-CSCF發(fā)送(在340)該消息。然后，可向毫微微小區(qū)發(fā)送(在345)該消息，從而毫微微小區(qū)知道要用于全局質(zhì)詢的隨機數(shù)的當(dāng)前值。在接收NOTIFY消息時，毫微微小區(qū)可提供用于指示接收了 NOTIFY消息的確認(rèn)。在所示實施例中，毫微微小區(qū)提供(在350)200-0K消息，以確認(rèn)NOTIFY消息的接收。可將200-0K消息從毫微微小區(qū)發(fā)送至(在350)P-CSCF，其可將該消息轉(zhuǎn)發(fā)至(在355) S-CSCF，用于向隨機數(shù)服務(wù)器的最后傳輸(在360)。隨機數(shù)服務(wù)器周期性生成新隨機數(shù)，并向每個訂戶毫微微小區(qū)發(fā)送(在365)用以指示新隨機數(shù)的信息。在所示實施例中，隨機數(shù)服務(wù)器向每個毫微微小區(qū)發(fā)送(在365)包括新隨機數(shù)的NOTIFY消息。隨機數(shù)服務(wù)器還向已經(jīng)定制隨機數(shù)服務(wù)的一個或多個MMAS服務(wù)器發(fā)送(在370)用以指示隨機數(shù)的當(dāng)前值的信息。圖4概念性示 出向毫微微小區(qū)提供隨機數(shù)的方法400的第二示例性實施例。得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，第二實施例并非獨立于這里所述的其他技術(shù)，并且第二實施例的各個方面可以與這里所述的其他方法和/或算法結(jié)合。在所示實施例中，無線通信系統(tǒng)包括毫微微網(wǎng)絡(luò)網(wǎng)關(guān)(FNG)，其提供用于從位于用戶家庭中的毫微微小區(qū)跨公共因特網(wǎng)的連接的安全網(wǎng)關(guān)。毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可定制由隨機數(shù)服務(wù)器(RAND)提供的數(shù)據(jù)庫更新通知服務(wù)。例如，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可通過使用根據(jù)如3GPP2X.P0013. 11中定義的Diameter-sh協(xié)議形成的定制通知請求消息來提供請求定制隨機數(shù)服務(wù)的消息。可將這個消息從毫微微網(wǎng)絡(luò)網(wǎng)關(guān)發(fā)送至(在405)隨機數(shù)服務(wù)器，其可通過包括用于全局質(zhì)詢的隨機數(shù)的當(dāng)前值的消息來響應(yīng)。例如，隨機數(shù)服務(wù)器可提供(在410)根據(jù)Diameter-sh協(xié)議形成的定制通知應(yīng)答消息(包括隨機數(shù))。當(dāng)毫微微小區(qū)(FEMTO)通電時，其可被配置為自動建立(在415)到毫微微網(wǎng)絡(luò)網(wǎng)關(guān)的安全隧道。在所示實施例中，根據(jù)IP-SEC協(xié)議形成該隧道。然而，得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，可使用其他協(xié)議在毫微微小區(qū)和毫微微網(wǎng)絡(luò)網(wǎng)關(guān)之間形成(在415)安全隧道。響應(yīng)于安全隧道的形成，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可開始向毫微微小區(qū)推進(在420)隨機數(shù)的當(dāng)前值。在額外毫微微小區(qū)(FEMTO-η)通電和初始化時，他們也可形成(在425)到毫微微網(wǎng)絡(luò)網(wǎng)關(guān)的安全隧道，所述毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可隨后向每個毫微微小區(qū)(FEMT0，F(xiàn)EMTO-η)推進(在430)全局質(zhì)詢隨機數(shù)的當(dāng)前值。隨機數(shù)服務(wù)周期性刷新和/或再生全局質(zhì)詢隨機數(shù)。然后，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)(和定制了隨機數(shù)服務(wù)的任意其他實體)可接收用以指示新隨機數(shù)的信息。在所示實施例中，隨機數(shù)服務(wù)器向毫微微網(wǎng)絡(luò)網(wǎng)關(guān)發(fā)送(在435)包括用以指示新隨機數(shù)的信息的推進通知請求。然后，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可通過用以指示新隨機數(shù)成功接收的推進通知應(yīng)答來響應(yīng)(在440)。然后，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可例如通過組播用以指示新隨機數(shù)的信息來向毫微微小區(qū)推進(在445，450)新隨機數(shù)。圖5概念性示出向毫微微小區(qū)提供隨機數(shù)的方法500的第三示例性實施例。得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，第三實施例并非獨立于這里所述的其他技術(shù)，并且第三實施例的各個方面可以與這里所述的其他方法和/或算法結(jié)合。在所示實施例中，無線通信系統(tǒng)包括毫微微網(wǎng)絡(luò)網(wǎng)關(guān)(FNG)，其提供用于從位于用戶家庭中的毫微微小區(qū)跨公共因特網(wǎng)的連接的安全網(wǎng)關(guān)。毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可定制由隨機數(shù)服務(wù)器(RAND)提供的數(shù)據(jù)庫更新通知服務(wù)。然而，相比于圖4中所示的方法400的第二示例性實施例，第三示例性實施例中的毫微微網(wǎng)絡(luò)網(wǎng)關(guān)包括在毫微微網(wǎng)絡(luò)網(wǎng)關(guān)通電時可認(rèn)證并向MS網(wǎng)絡(luò)登記的MS用戶代理。毫微微網(wǎng)絡(luò)網(wǎng)關(guān)被配置為使用如RFC 3265中定義的SIP協(xié)議提供請求定制隨機數(shù)服務(wù)的消息。例如，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)的用戶代理可將SUBSCRIBE消息發(fā)送至(在505)隨機數(shù)服務(wù)器(RAND)，其可通過發(fā)送(在510)例如200-0K消息的確收消息來確認(rèn)SUBSCRIBE消息的接收。然后，隨機數(shù)服務(wù)器可發(fā)送(在515)包括用以指示隨機數(shù)的當(dāng)前值的信息的消息。例如，隨機數(shù)服務(wù)器可發(fā)送(在515)包括用于全局質(zhì)詢的隨機數(shù)的當(dāng)前值的NOTIFY消息。毫微微網(wǎng)絡(luò)網(wǎng)關(guān)的用戶代理可通過發(fā)送(在520)例如200-0K消息的確收消息來確認(rèn)NOTIFY消息的接收。當(dāng)毫微微小區(qū)(FEMTO)通電時，其可被配置為自動建立(在525)到毫微微網(wǎng)絡(luò)網(wǎng)關(guān)的安全隧道。在所示實施例中，根據(jù)IP-SEC協(xié)議形成該隧道。然而，得益于本發(fā)明的本領(lǐng)域普通技術(shù)人員應(yīng)理解，可使用其他協(xié)議在毫微微小區(qū)和毫微微網(wǎng)絡(luò)網(wǎng)關(guān)之間形成(在525)安全隧道。響應(yīng)于安全隧道的形成，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可開始向毫微微小區(qū)推進(在530)隨機數(shù)的當(dāng)前值。例如，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可推進(在530) SIP MESSAGE，這是典型地用于即時消息類型的消息的標(biāo)準(zhǔn)SIP消息類型。毫微微小區(qū)可通過發(fā)送(在535)例如200-0K消息的確收消息來確認(rèn)所推進的信息的接收。在額外毫微微小區(qū)(FEMTO-n)通電和初始化時，他們也可 形成(在540)到毫微微網(wǎng)絡(luò)網(wǎng)關(guān)的安全隧道，所述毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可隨后向每個毫微微小區(qū)(FEMTO-n)推進(在545)全局質(zhì)詢隨機數(shù)的當(dāng)前值。毫微微小區(qū)(多個)可通過發(fā)送(在550)例如200-0K消息的確收消息來確認(rèn)所推進的信息的接收。隨機數(shù)服務(wù)周期性刷新和/或再生全局質(zhì)詢隨機數(shù)。然后，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)(和定制了隨機數(shù)服務(wù)的任意其他實體)可接收用以指示新隨機數(shù)的信息。在所示實施例中，隨機數(shù)服務(wù)器向毫微微網(wǎng)絡(luò)網(wǎng)關(guān)發(fā)送(在555)包括用以指示新隨機數(shù)的信息的推進通知請求。然后，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可通過用以指示新隨機數(shù)成功接收的200-0K消息來響應(yīng)(在560)。然后，毫微微網(wǎng)絡(luò)網(wǎng)關(guān)可例如通過發(fā)送一個或多個SIP或包括用以指示新隨機數(shù)的信息的其他數(shù)據(jù)傳送協(xié)議消息來向毫微微小區(qū)推進(在565，570)新隨機數(shù)。根據(jù)針對計算機存儲器中的數(shù)據(jù)位的操作的軟件、算法以及符號表示提供了本發(fā)明的各部分和相應(yīng)的詳細(xì)描述。這些描述和表示是本領(lǐng)域技術(shù)人員將其工作實質(zhì)有效地傳達(dá)給本領(lǐng)域其他技術(shù)人員的描述和表示。在此使用的和如通常所使用的術(shù)語“算法”被認(rèn)為是導(dǎo)致期望結(jié)果的自身一致的步驟序列。所述步驟是需要物理地操縱物理量的步驟。通常(但不是必須)，這些量采取能夠被存儲、傳輸、組合、比較和以其他方式被操縱的光、電或磁信號的形式。有時為了方便(主要是出于一般使用的原因)將這些信號稱為位、值、元素、符號、字符、項、數(shù)字等。但是應(yīng)牢記的是，所有這些和類似術(shù)語都將與適當(dāng)?shù)奈锢砹筷P(guān)聯(lián)并且只是應(yīng)用于這些量的方便的標(biāo)簽。除非另外明確指出或如從說明顯而易見的，諸如“處理”或“計算”或“確定”或“顯示”之類的術(shù)語指計算機系統(tǒng)或類似電子計算設(shè)備內(nèi)的動作或處理，后者操縱表示為計算機系統(tǒng)的寄存器和存儲器內(nèi)的物理、電子量的數(shù)據(jù)，并將其轉(zhuǎn)換為在計算機系統(tǒng)存儲器或寄存器或其他此類信息存儲、傳輸或顯示設(shè)備內(nèi)類似地表示為物理量的其他數(shù)據(jù)。還要指出的是，本發(fā)明的軟件實現(xiàn)的方面通常編碼在某種形式的程序存儲介質(zhì)上或通過某種類型的傳輸介質(zhì)實現(xiàn)。所述程序存儲介質(zhì)可以是磁(例如，軟盤或硬盤驅(qū)動器)或光(例如，光盤只讀存儲器或“CD ROM”)介質(zhì)，并且可以是只讀或隨機存取介質(zhì)。類似地，所述傳輸介質(zhì)可以是雙絞線、同軸電纜、光纖，或某些其他本領(lǐng)域公知的適當(dāng)傳輸介質(zhì)。本發(fā)明不受任何給定實施方式的這些方面的限制。以上披露的特定實施例只是示例性的，因為可以以對從此處的教導(dǎo)受益的本領(lǐng)域技術(shù)人員顯而易見的不同但是等效的方式修改和實現(xiàn)本發(fā)明。此外，除了如以下權(quán)利要求中描述的以外，對在此示出的構(gòu)造和設(shè)計的細(xì)節(jié)沒有限制。因此顯而易見的是，可以更改或修改以上披露的特定實施例并且所有此類變型都被視為在本發(fā)明的范圍之內(nèi)。相應(yīng)地，在以下權(quán)利要求中提出了在此尋求保護的內(nèi)容。
權(quán)利要求
1.一種在安全核心網(wǎng)絡(luò)中的第一安全實體，所述安全實體配置為接收在中間網(wǎng)絡(luò)上來自毫微微小區(qū)的信息，所述信息指示第一隨機數(shù)和認(rèn)證響應(yīng)，其中所述認(rèn)證響應(yīng)是由移動單元基于隨機數(shù)以及所述移動單元已知且所述毫微微小區(qū)未知的第一密鑰計算的；以及確定所述第一隨機數(shù)是否為由所述安全核心網(wǎng)絡(luò)向所述毫微微小區(qū)提供的合法隨機數(shù)。
2.如權(quán)利要求1所述的安全實體，其中所述第一安全實體配置為定制由所述安全核心網(wǎng)絡(luò)中的第二安全實體提供的隨機數(shù)；以及從所述第二安全實體接收表示所述第二隨機數(shù)的信息。
3.如權(quán)利要求2所述的安全實體，其中所述安全實體配置為以預(yù)先選擇的時間間隔周期地接收表示第二隨機數(shù)的不同隨機值的信息。
4.如權(quán)利要求2所述的安全實體，其中所述安全實體配置為當(dāng)表示由第二安全實體提供的第二隨機數(shù)的信息對應(yīng)于表示由毫微微小區(qū)提供的第一隨機數(shù)的信息時，確定所述隨機數(shù)為合法隨機數(shù)。
5.如權(quán)利要求1所述的安全實體，其中所述安全實體配置為從認(rèn)證實體請求基于用以指示所述第一隨機數(shù)的信息和由所述移動單元計算的認(rèn)證響應(yīng)所確定的至少一個第二密鑰，所述至少一個第二密鑰是基于所述第一隨機數(shù)以及所述移動單元和所述認(rèn)證實體已知且所述毫微微小區(qū)未知的第一密鑰計算的。
6 如權(quán)利要求5所述的安全實體，其中所述安全實體配置為響應(yīng)于確定所述第一隨機數(shù)為合法隨機數(shù)，請求所述至少一個第二密鑰。
7.如權(quán)利要求6所述的安全實體，其中所述安全實體配置為向毫微微小區(qū)提供所述至少一個第二密鑰，從而所述毫微微小區(qū)能夠建立與移動單元的安全通信。
8.—種毫微微小區(qū),配置為在中間網(wǎng)絡(luò)上向安全核心網(wǎng)絡(luò)中的第一安全實體提供用以指示第一隨機數(shù)的信息和認(rèn)證響應(yīng)，其中所述認(rèn)證響應(yīng)是由所述移動單元基于所述第一隨機數(shù)以及所述移動單元已知且所述毫微微小區(qū)未知的第一密鑰計算的，以及其中所述移動單元響應(yīng)于由所述毫微微小區(qū)廣播的全局質(zhì)詢提供該信息；以及響應(yīng)于所述第一安全實體確定所述第一隨機數(shù)為由所述安全核心網(wǎng)絡(luò)向所述毫微微小區(qū)提供的合法隨機數(shù)，從所述第一安全實體接收基于所述第一隨機數(shù)和所述第一密鑰所確定的至少一個第二密鑰。
9.如權(quán)利要求8所述的毫微微小區(qū)，其中所述毫微微小區(qū)配置為從所述移動單元并且響應(yīng)于廣播所述全局質(zhì)詢接收包括用以指示第一隨機數(shù)的信息和認(rèn)證響應(yīng)的消息。
10.如權(quán)利要求9所述的毫微微小區(qū)，其中所述毫微微小區(qū)配置為響應(yīng)于接收包括用以指示第一隨機數(shù)的信息和認(rèn)證響應(yīng)的消息，向所述第一安全實體提供用以指示第一隨機數(shù)的信息和認(rèn)證響應(yīng)。
11.如權(quán)利要求8所述的毫微微小區(qū)，其中所述毫微微小區(qū)配置為定制由所述安全核心網(wǎng)絡(luò)中的第二安全實體提供的隨機數(shù)；以及從所述第二安全實體接收表示所述第一隨機數(shù)的信息。
12.如權(quán)利要求11所述的毫微微小區(qū)，其中所述毫微微小區(qū)配置為以預(yù)先選擇的時間間隔周期地從第二安全實體接收表示第一隨機數(shù)的不同隨機值的信息。
13.如權(quán)利要求11所述的毫微微小區(qū)，其中所述毫微微小區(qū)配置為當(dāng)表示由毫微微小區(qū)提供的第一隨機數(shù)的信息對應(yīng)于表示由第二安全實體向第一安全實體提供的第二隨機數(shù)的信息時，響應(yīng)于第一安全實體確定所述第一隨機數(shù)為合法隨機數(shù)，接收所述至少一個第二密鑰。
14.如權(quán)利要求11所述的毫微微小區(qū)，其中所述毫微微小區(qū)配置為從認(rèn)證實體接收由第一安全實體請求的所述至少一個第二密鑰，以及其中所述至少一個第二密鑰是基于用以指示所述第一隨機數(shù)的信息、由所述移動單元計算的認(rèn)證響應(yīng)、和所述移動單元和所述認(rèn)證實體已知且所述毫微微小區(qū)未知的第一密鑰來確定的。
15.如權(quán)利要求8所述的毫微微小區(qū)，包括基于所述至少一個第二密鑰在毫微微小區(qū)和移動單元之間建立安全通信。
16.如權(quán)利要求8所述的毫微微小區(qū)，其中所述毫微微小區(qū)根據(jù)碼分多址(CDMA)標(biāo)準(zhǔn)運行；以及其中所述安全核心網(wǎng)絡(luò)包括因特網(wǎng)協(xié)議多媒體子系統(tǒng)(MS)網(wǎng)絡(luò)，以及所述毫微微小區(qū)配置為在中間網(wǎng)絡(luò)上與MS網(wǎng)絡(luò)通信。
17.一種在安全核心網(wǎng)絡(luò)中的第一安全實體，所述第一安全實體配置為接收來自毫微微小區(qū)的第一隨機數(shù)和認(rèn)證響應(yīng)，其中所述認(rèn)證響應(yīng)是由移動單元使用第一隨機數(shù)以及所述移動單元已知且所述毫微微小區(qū)未知的第一密鑰計算的，以及其中所述第一安全實體配置為在第一安全實體和毫微微小區(qū)之間在中間網(wǎng)絡(luò)上接收信息；以及確定所述第一隨機數(shù)是否相同于由所述安全核心網(wǎng)絡(luò)向所述毫微微小區(qū)先前提供的第二隨機數(shù)。
全文摘要
本發(fā)明提供一種涉及與例如因特網(wǎng)協(xié)議多媒體子系統(tǒng)(IMS)網(wǎng)絡(luò)的安全核心網(wǎng)絡(luò)通信的毫微微小區(qū)的方法。該方法包括從所述毫微微小區(qū)并且在所述IMS網(wǎng)絡(luò)中的第一安全實體處接收全局質(zhì)詢，所述全局質(zhì)詢包括用以指示隨機數(shù)的信息。該方法還包括接收認(rèn)證響應(yīng)，所述認(rèn)證響應(yīng)是由移動單元基于所述隨機數(shù)以及所述移動單元已知且所述毫微微小區(qū)未知的第一密鑰計算的。該方法還包括在所述第一安全實體處確定所述隨機數(shù)是否為由所述IMS網(wǎng)絡(luò)向所述毫微微小區(qū)提供的合法隨機數(shù)。
文檔編號H04L9/32GK103036683SQ20121056781
公開日2013年4月10日 申請日期2008年9月24日 優(yōu)先權(quán)日2007年10月4日
發(fā)明者T·C·摩根, S·帕特爾, R·J·湯普森 申請人:朗訊科技公司