服務(wù)訪問認(rèn)證方法和系統(tǒng)的制作方法
【專利摘要】一種用于認(rèn)證服務(wù)的訂戶的訪問認(rèn)證系統(tǒng)，訪問認(rèn)證系統(tǒng)包括運營商訪問認(rèn)證系統(tǒng)和一個或多個私有訪問認(rèn)證系統(tǒng)，各私有訪問認(rèn)證系統(tǒng)與運營商訪問認(rèn)證系統(tǒng)在通信上是可連接的，運營商訪問認(rèn)證系統(tǒng)適合提供用于基于與訂戶的憑證關(guān)聯(lián)的相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能；其中各私有訪問認(rèn)證系統(tǒng)適合將一個或多個訂戶認(rèn)證數(shù)據(jù)項傳遞給所述運營商訪問認(rèn)證系統(tǒng)；以及各私有訪問認(rèn)證系統(tǒng)還適合傳遞指示私有訪問認(rèn)證系統(tǒng)工作在至少一個預(yù)定狀態(tài)的一個或多個檢驗數(shù)據(jù)項。
【專利說明】服務(wù)訪問認(rèn)證方法和系統(tǒng)
【技術(shù)領(lǐng)域】
[0001]所公開的是用于認(rèn)證對服務(wù)的訪問的系統(tǒng)及對應(yīng)方法。
【背景技術(shù)】
[0002]許多通信網(wǎng)絡(luò)包括用于控制和準(zhǔn)予對通信網(wǎng)絡(luò)的訂戶訪問的功能性。通常，對經(jīng)過用于認(rèn)證所述訂戶裝置的訂戶憑證的檢驗的訂戶裝置準(zhǔn)予這種訪問。例如，對許多通信系統(tǒng)、例如移動通信網(wǎng)絡(luò)系統(tǒng)的訪問局限于利用通信網(wǎng)絡(luò)的通信服務(wù)的訂戶。
[0003]在GSM/CDMA系統(tǒng)和類似移動通信系統(tǒng)的上下文中，移動交換中心(MSC)是主要服務(wù)交付節(jié)點，其負(fù)責(zé)路由語音呼叫和SMS以及其它服務(wù)(例如會議呼叫、FAX和電路交換數(shù)據(jù))。MSC建立和釋放端對端連接，在呼叫期間操控移動性和切換要求，并且看管計費和實時預(yù)付費帳戶監(jiān)視。
[0004]GSM系統(tǒng)中的其它重要實體是連接到MSC的歸屬位置寄存器(HLR)和認(rèn)證中心(AuC)。在無線網(wǎng)絡(luò)中，HLR是中心位置，其中存儲用戶信息，例如帳號、特征、偏好、準(zhǔn)許等。將歸屬位置寄存器(HLR)作為包含管理和檢查移動網(wǎng)絡(luò)的訂戶所需功能的實體來在GSM中引入。結(jié)合訪問者位置寄存器(VLR)和移動交換中心(MSC)，HLR使訂戶能夠在歸屬網(wǎng)絡(luò)中發(fā)送和接收呼叫，并且在其它網(wǎng)絡(luò)中行進(“漫游”)，同時仍然保持對熟悉和預(yù)期服務(wù)的訪問。
[0005]當(dāng)GSM系統(tǒng)演進為UMTS (3G)系統(tǒng)并且最近演進為LTE系統(tǒng)時，HLR保持這個作用。其它移動網(wǎng)絡(luò)系統(tǒng)、例如AMPS、DAMPS、CDMA等具有類似網(wǎng)絡(luò)實體。
[0006]移動網(wǎng)絡(luò)的另一個重要功能是認(rèn)證中心(AuC)。AuC與HLR連接，并且提供認(rèn)證每個SM卡一移動電話通過其嘗試連接到GSM核心網(wǎng)絡(luò)(通常在電話加電時和/或在進行呼叫時)一的功能。一旦認(rèn)證是成功的，HLR用于管理上述SM和服務(wù)。還生成加密密鑰，其隨后用于保護(加密)移動電話與GSM核心網(wǎng)絡(luò)之間的無線通信(語音、SMS等)。
[0007]AuC使用本地駐留的訂戶數(shù)據(jù)以及駐留在訂戶的SM卡(在UMTS和LTE的情況下，它稱作USM卡)的數(shù)據(jù)，并且提供認(rèn)證機制，其允許網(wǎng)絡(luò)認(rèn)證其訂戶。此外，AuC和SM卡共享認(rèn)證算法的知識及其參數(shù)(其將在認(rèn)證過程期間使用)。為了便于本描述，訂戶數(shù)據(jù)(包括例如訂戶標(biāo)識符)和認(rèn)證算法/參數(shù)稱作訂戶的憑證。
[0008]這種建立這些年來已經(jīng)證明提供增強移動網(wǎng)絡(luò)中的網(wǎng)絡(luò)訪問控制的安全方式，并且甚至擴展到提供例如頂S的服務(wù)的安全性。MS的關(guān)鍵組件是歸屬訂戶服務(wù)器(HSS)，其可被看作是提供寬許多的范圍的特征的HLR的演進形式，并且意在充當(dāng)所有訂戶和服務(wù)特定信息的主儲存庫。它組合GSM網(wǎng)絡(luò)的HLR/AuC(認(rèn)證中心)功能性，并且還提供MS網(wǎng)絡(luò)特別需要的信息?；赟M的認(rèn)證還能夠用于其它訪問技術(shù)、例如無線LAN中，其中AuC功能性由所謂的AAA服務(wù)器(認(rèn)證、授權(quán)和記帳)來提供。
[0009]但是，上述建立具有后勤含義，其使得難以讓大規(guī)模解決方案提供商提供特定服務(wù)的客戶裝置。主要問題在于，訂戶憑證必須提供到AuC和裝置兩者中。實際上，后者通過迫使訂戶從運營商獲取SIM卡并且將這個卡插入裝置來解決。當(dāng)訂戶想要改變運營商時，他/她從另一個運營商獲得SM卡，以及去除第一 SM卡并且采用新卡更換它。這已經(jīng)證明是用于單獨訂戶的功能良好系統(tǒng)。但是，通過移動網(wǎng)絡(luò)技術(shù)越來越多地用于例如(遠(yuǎn)程)計量裝置等的機器對機器(M2M)裝置，由于SIM卡提供到裝置中并且因能夠支持靈活初始選擇和改變運營商的方式，上述建立涉及多個缺點。
[0010]即使在US 7149516中描述了一種機制，其允許用戶通過訪問由用戶直接可修改的個人歸屬位置寄存器來修改他們自己的訂戶簡檔，但是這種方式?jīng)]有解決對另一個運營商網(wǎng)絡(luò)的認(rèn)證問題，并且這種現(xiàn)有技術(shù)僅允許用戶管理已經(jīng)存在的預(yù)訂；它不提供使用戶能夠便利地遠(yuǎn)程增加新的或現(xiàn)有裝置的整體預(yù)訂(身份和憑證)的任何機制。
[0011]如前面所述，AuC包括訂戶憑證，并且這些在插入裝置的SM卡中被鏡像。訂戶憑證的示例包括MSI (國際移動用戶身份)、一個或多個密碼密鑰、一個或多個認(rèn)證算法、一個或多個會話密鑰算法、一個或多個算法參數(shù)。運營商通常將請求第三方(例如SIM卡供應(yīng)商)產(chǎn)生一組SM卡，并且然后將其AuC裝載有那些卡上的憑證。當(dāng)裝置擁有者想要使用這個運營商的網(wǎng)絡(luò)，他接收或購買(預(yù)先支付)運營商的SIN卡之一。這適用于個人裝置，但是對于某些裝置，基于nCC技術(shù)的可拆卸SIM卡是成本因素，并且由固定安裝的SM取代。
[0012]但是，存在現(xiàn)有技術(shù)機制具有嚴(yán)重限制的多種情況。例如，如果公共事業(yè)公司想要部署通過移動網(wǎng)絡(luò)來報告數(shù)據(jù)的計量裝置，則產(chǎn)生裝置的制造商無法知道公共事業(yè)公司想要使用哪一個運營商的問題。因此，裝置制造商無法將運營商特定憑證預(yù)先提供到裝置中，以及如同傳統(tǒng)移動裝置一樣必須將這個任務(wù)留給裝置用戶(其在這種情況下為公共事業(yè)公司)。公共事業(yè)公司則必須對裝置進行某種操作(插入SIM卡或者對其重新編程)，以便使其在所選運營商的網(wǎng)絡(luò)上可使用。一旦裝置能夠與運營商的網(wǎng)絡(luò)進行聯(lián)絡(luò)，則其它過程在這樣需要時(即，在初始聯(lián)系基于一些初步和/或編組憑證的情況下)能夠立即提供最終憑證。
[0013]類似問題存在于連接客戶電子裝置，其中最終用戶具有使用移動網(wǎng)絡(luò)進行通信的一組個人裝置(電話、數(shù)碼相機、電視機、PC等)。甚至僅對于少量裝置，使用戶為各裝置獲取獨立SM卡趨向于極為麻煩。
[0014]已經(jīng)提出的一種解決方案涉及所謂的MCM(機器通信身份模塊)或者“軟SM”，參見3GPP TR 33.812。這種解決方案解決裝置側(cè)的提供問題，但是仍然具有用戶/網(wǎng)絡(luò)側(cè)的若干缺點。例如，如果用戶想要改變其裝置的運營商，必須每個裝置運行一次運營商變更協(xié)議。如果用戶具有許多裝置、例如公共事業(yè)公司的數(shù)百或者甚至數(shù)千個遠(yuǎn)程計量裝置，則這是巨大的任務(wù)。

【發(fā)明內(nèi)容】

[0015]本文所公開的是用于認(rèn)證服務(wù)的訂戶的訪問認(rèn)證系統(tǒng)的實施例，該訪問認(rèn)證系統(tǒng)包括運營商訪問認(rèn)證系統(tǒng)和一個或多個私有訪問認(rèn)證系統(tǒng)，各私有訪問認(rèn)證系統(tǒng)與運營商訪問認(rèn)證系統(tǒng)在通信上是可連接的，運營商訪問認(rèn)證系統(tǒng)適合提供用于基于與訂戶的憑證關(guān)聯(lián)的相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能；其中各私有訪問認(rèn)證系統(tǒng)適合將一個或多個訂戶認(rèn)證數(shù)據(jù)項傳遞給所述運營商訪問認(rèn)證系統(tǒng)；以及其中各私有訪問認(rèn)證系統(tǒng)還適合傳遞指示私有訪問認(rèn)證系統(tǒng)工作在至少一個預(yù)定狀態(tài)的一個或多個檢驗數(shù)據(jù)項。
[0016]因此，本文所公開的訪問認(rèn)證系統(tǒng)的實施例促進一個或多個私有訪問認(rèn)證系統(tǒng)(其可將認(rèn)證數(shù)據(jù)提供給運營商認(rèn)證系統(tǒng))的安全提供。因此，訂戶可建立他/她的私有訪問認(rèn)證系統(tǒng)，并且因而執(zhí)行向私有訪問認(rèn)證系統(tǒng)提供訂戶裝置憑證。私有訪問認(rèn)證系統(tǒng)隨后將與憑證關(guān)聯(lián)的認(rèn)證數(shù)據(jù)項傳遞給由提供服務(wù)的服務(wù)提供商所操作的運營商訪問認(rèn)證系統(tǒng)。這允許運營商訪問認(rèn)證系統(tǒng)來促進訂戶的裝置的認(rèn)證，而無需向運營商訪問認(rèn)證裝置注冊單獨訂戶裝置及其關(guān)聯(lián)憑證并且無需修改單獨訂戶裝置。此外，運營商可確立能夠信任私有訪問認(rèn)證系統(tǒng)，例如信任以操控憑證。
[0017]將會理解，本文所使用的術(shù)語“訂戶”和“訂戶裝置”指的是經(jīng)授權(quán)訪問服務(wù)的任何用戶或用戶裝置，例如經(jīng)授權(quán)訪問服務(wù)的通信裝置或者任何其它電子裝置。術(shù)語“通信裝置”預(yù)計包括固定和便攜通信設(shè)備。術(shù)語“便攜通信設(shè)備”包括使用固定/有線(例如xDSL、以太網(wǎng)、光纖)或者無線(例如CDMA、GSM、LTE、UMTS、WLAN、WiMAX)接入技術(shù)的所有設(shè)備，例如移動電話、尋呼機、通信裝置、電子組織器、智能電話、個人數(shù)字助理(PDA)、手持計算機、膝上型計算機等。
[0018]服務(wù)可以是通信服務(wù)，例如由通信網(wǎng)絡(luò)所提供的電信服務(wù)。因此，在一些實施例中，對服務(wù)的訪問可包括對通信網(wǎng)絡(luò)、例如移動通信網(wǎng)絡(luò)的訪問。相應(yīng)地，運營商訪問或者服務(wù)認(rèn)證系統(tǒng)可包括與GSM系統(tǒng)兼容的認(rèn)證中心功能或者用于促進服務(wù)、例如通信網(wǎng)絡(luò)的訂戶的認(rèn)證的任何其它適當(dāng)功能。運營商訪問認(rèn)證系統(tǒng)的實施例可包括附加功能，例如用于存儲和/或管理訂戶數(shù)據(jù)的功能、例如運營商HLR。
[0019]類似地，私有訪問認(rèn)證系統(tǒng)可包括與GSM系統(tǒng)兼容的認(rèn)證中心功能或者用于促進服務(wù)、例如通信網(wǎng)絡(luò)的訂戶的認(rèn)證的任何其它適當(dāng)功能。私有訪問認(rèn)證系統(tǒng)的實施例可包括附加功能，例如用于存儲和/或管理訂戶數(shù)據(jù)的功能、例如私有HLR。
[0020]例如，訂戶可建立其私有訪問認(rèn)證系統(tǒng)、例如連接到訂戶自己的HLR的訂戶自己的AuC，并且因而執(zhí)行訂戶憑證的提供。因此，不需要在變更運營商時更換憑證。為了獲得對運營商網(wǎng)絡(luò)的訪問，訂戶在網(wǎng)絡(luò)運營商(其現(xiàn)有HLR/AuC修改成在與訂戶關(guān)聯(lián)的裝置之一想要獲得對網(wǎng)絡(luò)或者另外某個服務(wù)的訪問時改為使用訂戶HLR/AuC)注冊他的HLR/AuC。
[0021]一般來說，術(shù)語“訪問認(rèn)證系統(tǒng)”預(yù)計包括一種系統(tǒng)，其包括服務(wù)交付系統(tǒng)的一個或多個裝置、例如計算機網(wǎng)絡(luò)或者電信系統(tǒng)的一個或多個裝置，其中訪問認(rèn)證系統(tǒng)包括例如響應(yīng)訂戶裝置嘗試訪問由服務(wù)交付系統(tǒng)所提供的服務(wù)而促進訂戶認(rèn)證的功能性。具體來說，認(rèn)證系統(tǒng)可利用或者在其中存儲認(rèn)證數(shù)據(jù)項和/或訂戶憑證，例如包括訂戶數(shù)據(jù)以及指示供認(rèn)證過程期間使用的認(rèn)證算法及其參數(shù)的數(shù)據(jù)的憑證。
[0022]在移動電信系統(tǒng)的上下文中，訪問認(rèn)證系統(tǒng)的實施例可通過適當(dāng)配置的AuC、HLR、MSC/VLR和/或其組合來體現(xiàn)。
[0023]術(shù)語“運營商訪問認(rèn)證系統(tǒng)”預(yù)計指的是由服務(wù)交付系統(tǒng)的運營商所操作的訪問認(rèn)證系統(tǒng)，而術(shù)語“私有訪問認(rèn)證系統(tǒng)”預(yù)計指的是由與服務(wù)交付系統(tǒng)的運營商不同的實體、例如由服務(wù)的訂戶所操作的訪問認(rèn)證系統(tǒng)。因此，運營商訪問認(rèn)證系統(tǒng)定位于服務(wù)提供商、例如電信服務(wù)提供商，而私有訪問認(rèn)證系統(tǒng)沒有定位于服務(wù)提供商。因此，在移動電信系統(tǒng)的上下文中，運營商訪問認(rèn)證系統(tǒng)的實施例可體現(xiàn)為MSC/VLR、運營商AuC、運營商HLR、移動管理實體(MME)或者它們的組合。[0024]術(shù)語“認(rèn)證數(shù)據(jù)項”預(yù)計指的是從訪問認(rèn)證系統(tǒng)所存儲的訂戶憑證可得出的和/或與其關(guān)聯(lián)的任何數(shù)據(jù)，該數(shù)據(jù)允許接收實體認(rèn)證嘗試訪問服務(wù)的訂戶。具體來說，認(rèn)證數(shù)據(jù)項可以是從訂戶數(shù)據(jù)、認(rèn)證算法及其參數(shù)(其在認(rèn)證過程期間使用)可得出的。認(rèn)證數(shù)據(jù)項的示例可包括例如在訪問認(rèn)證系統(tǒng)與訂戶裝置的用戶身份模塊之間的詢問響應(yīng)機制的詢問或響應(yīng)。例如，認(rèn)證數(shù)據(jù)項可從共享秘密和訂戶身份標(biāo)識符來得出，例如以便生成為了用于標(biāo)識目的的詢問/響應(yīng)以及可選的供后續(xù)通信中使用的加密密鑰。
[0025]即使當(dāng)前標(biāo)準(zhǔn)(參見例如網(wǎng)絡(luò)域安全性(NDS);事務(wù)能力應(yīng)用部分(TCAP)用戶安全性(版本9);第三代合作伙伴項目；技術(shù)規(guī)范組服務(wù)和系統(tǒng)方面；3G安全性；3GPP TS33.204 9.0.0(2009-12))描述兩個運營商能夠如何通過安全通信來交換數(shù)據(jù)，但是在私有訪問認(rèn)證系統(tǒng)存在的情況下要求增加的安全性。
[0026]在一些實施例中，檢驗數(shù)據(jù)項可以是例如遠(yuǎn)程證明機制的證明數(shù)據(jù)項。檢驗數(shù)據(jù)項可指示私有訪問認(rèn)證系統(tǒng)操作至少一個預(yù)定硬件和/或軟件組件和/或指示私有訪問認(rèn)證系統(tǒng)工作在至少另一種可信狀態(tài)。但是，將會理解，私有訪問認(rèn)證系統(tǒng)的狀態(tài)的并非所有狀態(tài)參數(shù)可能必須檢驗。在一些實施例中，僅檢驗足以確立私有訪問認(rèn)證系統(tǒng)工作在多個可能的可信狀態(tài)之一的一個或者一些狀態(tài)參數(shù)。作為替代或補充，各私有訪問認(rèn)證系統(tǒng)安全地連接到運營商訪問認(rèn)證系統(tǒng)，從而允許由運營商訪問認(rèn)證系統(tǒng)對私有訪問認(rèn)證系統(tǒng)的檢驗。
[0027]當(dāng)私有訪問認(rèn)證系統(tǒng)傳遞指示私有訪問認(rèn)證系統(tǒng)操作由運營商訪問認(rèn)證系統(tǒng)可接受的硬件和/或軟件的一個或多個證明數(shù)據(jù)項和/或指示私有訪問認(rèn)證系統(tǒng)工作在至少一種預(yù)定狀態(tài)的另一個檢驗數(shù)據(jù)項時，提供抵制網(wǎng)絡(luò)的誤用的附加措施，因而允許訂戶的私有訪問認(rèn)證系統(tǒng)的檢驗和監(jiān)視。相應(yīng)地，在一些實施例中，私有訪問認(rèn)證系統(tǒng)在其上運行的實體(例如服務(wù)器計算機)能夠由所選運營商來(遠(yuǎn)程)檢驗，因此它按照正確方式來引導(dǎo)，并且運行認(rèn)可的(安全)軟件。作為替代或補充，運營商訪問認(rèn)證系統(tǒng)可檢驗由私有訪問認(rèn)證系統(tǒng)所運行的軟件的至少一個子集由運營商訪問認(rèn)證系統(tǒng)來認(rèn)可或信任。一般來說，在本文所述的方法的實施例中，運營商訪問認(rèn)證系統(tǒng)和/或另一個檢驗系統(tǒng)可接收檢驗數(shù)據(jù)項，并且檢驗私有訪問認(rèn)證系統(tǒng)工作在可信狀態(tài)。
[0028]因此，本文所述的網(wǎng)絡(luò)訪問認(rèn)證系統(tǒng)的實施例可使用運營商的網(wǎng)絡(luò)中的漫游能力來引入私有認(rèn)證中心，可選地與私有HLR相結(jié)合。為了便于本描述，私有HLR又將稱作pHLR，以及私有認(rèn)證中心稱作pAuC。pAuC包括認(rèn)證所需的訂戶憑證數(shù)據(jù)，以及pHLR可包含與服務(wù)的類型相關(guān)的其它訂戶數(shù)據(jù)和可能的裝置具體細(xì)節(jié)。此外，PAuC的實施例提供允許網(wǎng)絡(luò)運營商檢驗PAuC的功能性。pHLR和/或pAuC可包括管理接口，通過其，pHLR/pAuC的擁有者能夠控制pHLR/aAuC并且新憑證能夠按照安全方式來添加、更換/更新或刪除(例如，使用密碼安全連接、例如SSH，或者物理安全連接、例如IR、NFC或者USB電纜)。例如，待添加(插入)到pAUC/pHLR中的訂戶裝置可通過這種接口導(dǎo)出其憑證的副本或其它信息。
[0029]私有認(rèn)證系統(tǒng)可運行于可信平臺，其可實現(xiàn)安全引導(dǎo)并且堅持僅認(rèn)可(例如正確簽名)代碼能夠運行。這例如能夠通過使用TCG(可信計算組)技術(shù)來實現(xiàn)，其中TPM(可信平臺模塊)或者另一個適當(dāng)可信計算平臺可操作以控制僅啟動正確的軟件組件，參見例如TPM主要規(guī)范第2等級版本1.2、修訂版103 (又作為國際標(biāo)準(zhǔn)IS0/IEC 11889可得到)。一般來說，可信計算平臺是適合于私有或秘密數(shù)據(jù)的保護和處理的計算平臺，其中計算平臺提供隔離執(zhí)行環(huán)境，其中保護軟件/數(shù)據(jù)免于外部干擾，并且可信計算平臺能夠提供與其行為(硬件和軟件環(huán)境)有關(guān)的保證。因此，可信計算平臺的實施例可包括(上述裝置憑證的)密封(例如加密)存儲和遠(yuǎn)程證明的功能性。
[0030]術(shù)語“遠(yuǎn)程證明”指的是向經(jīng)授權(quán)遠(yuǎn)程實體可靠地報告平臺當(dāng)前狀態(tài)的過程，因而允許遠(yuǎn)程實體檢測對包括可信平臺的計算機的變更。可通過使硬件生成陳述哪一個軟件當(dāng)前正運行的證書，來實現(xiàn)遠(yuǎn)程證明。計算機隨后能夠?qū)⑦@個證書呈現(xiàn)給遠(yuǎn)程實體，以表明未改變軟件當(dāng)前正運行。遠(yuǎn)程證明可與公有密鑰加密相結(jié)合，使得所發(fā)送的信息能夠僅由呈現(xiàn)并且請求證明的程序而不是由偷聽者來讀取。例如，TCG技術(shù)支持遠(yuǎn)程證明，其因而能夠由所選運營商用于檢查私有訪問認(rèn)證系統(tǒng)的正確機能。為此，運營商的訪問認(rèn)證系統(tǒng)可擴大到支持這類平臺檢驗過程。在例如GSM和類似移動通信網(wǎng)絡(luò)的上下文中，經(jīng)修改的運營商訪問認(rèn)證系統(tǒng)可包括經(jīng)修改的HLR和/或經(jīng)修改的AuC，其在本文中又將分別稱作oHLR和oAuC。因此，檢驗數(shù)據(jù)項可包括由可信平臺所生成的遠(yuǎn)程證明結(jié)果，例如由可信平臺所生成的數(shù)字證明證書或者可信平臺的任何其它適當(dāng)簽名。
[0031]在前面所述的示例中，公共事業(yè)公司可為由公共事業(yè)公司所擁有(或者另外由其管理/操作)的裝置來建立其自己的PHLR和pAuC，以及裝置制造商可預(yù)先提供裝置，并且使pHLR和pAuC的數(shù)據(jù)在公共事業(yè)公司已經(jīng)購買裝置(例如經(jīng)由門戶網(wǎng)站)之后是其可用的。備選地，就在裝置將要成為可操作時，憑證的至少部分可由裝置和/或PAuC “根據(jù)請求”來生成(使用例如本地生成的隨機/偽隨機值)，此后，裝置和PAuC通過安全接口來同步憑證，如已經(jīng)所述。隨后，公共事業(yè)公司可在選擇的運營商注冊其pHLR和pAuC，并且運營商能夠按照協(xié)議、使用與對于漫游訂戶相同的機制或者運營商自己的訂戶的機制、就其網(wǎng)絡(luò)的使用對公共事業(yè)公司計費。如果/當(dāng)公共事業(yè)公司想要變更運營商時，它與新運營商協(xié)商協(xié)議，并且然后指示其裝置選擇新運營商的網(wǎng)絡(luò)。與現(xiàn)有技術(shù)布置相比，這個指令可通過單個(安全)多播消息 進行，而不是運營商的每裝置變更。在網(wǎng)絡(luò)側(cè)，全部所需的是使新運營商將其運營商訪問認(rèn)證系統(tǒng)(例如新oHLR/oAUC)重新配置成將認(rèn)證數(shù)據(jù)信令“指向”或者重定向到公共事業(yè)公司的PHLR和pAuC。另一方面，由公共事業(yè)公司所選擇的運營商想要能夠檢驗?zāi)軌蛐湃喂彩聵I(yè)公司的pHLR/pAuC。
[0032]本發(fā)明涉及不同的方面，包括以上和下面所述的交互運營商和私有HLR/AuC的建立、對應(yīng)系統(tǒng)、方法和產(chǎn)品，其各產(chǎn)生結(jié)合上述方面之一所述的有益效果和優(yōu)點的一個或多個，以及各具有與結(jié)合上述方面的至少一個所述的實施例對應(yīng)的一個或多個實施例。
[0033]更具體來說，按照另一方面，公開一種用于由運營商訪問認(rèn)證系統(tǒng)來促進請求對服務(wù)的訪問的訂戶裝置的認(rèn)證的方法；運營商訪問認(rèn)證系統(tǒng)適合提供用于基于相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能，該方法包括:
?從通信上與運營商訪問認(rèn)證系統(tǒng)連接的私有訪問認(rèn)證系統(tǒng)來接收訂戶認(rèn)證數(shù)據(jù)項，所述訂戶認(rèn)證數(shù)據(jù)項指示一個或多個訂戶憑證；
籲響應(yīng)所接收訂戶認(rèn)證數(shù)據(jù)項并且響應(yīng)私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)的檢驗，提供用于促進關(guān)聯(lián)到所述訂戶憑證的訂戶的認(rèn)證的一個或多個認(rèn)證功能。
[0034]由運營商認(rèn)證系統(tǒng)所提供的用于促進訂戶的認(rèn)證的一個或多個認(rèn)證功能可包括執(zhí)行認(rèn)證過程，和/或?qū)⒄J(rèn)證數(shù)據(jù)、例如所接收認(rèn)證數(shù)據(jù)項或者從其中得出的數(shù)據(jù)轉(zhuǎn)發(fā)給另一個實體，其又可執(zhí)行實際認(rèn)證過程并且提供對所述服務(wù)的訪問。私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)的檢驗可至少部分由運營商訪問認(rèn)證系統(tǒng)例如響應(yīng)從私有訪問認(rèn)證系統(tǒng)所接收的檢驗數(shù)據(jù)項來執(zhí)行。作為替代或補充，檢驗可至少部分由另一個實體、例如檢驗系統(tǒng)來執(zhí)行，該系統(tǒng)則可將檢驗結(jié)果或者中間結(jié)果傳遞給運營商訪問認(rèn)證系統(tǒng)。
[0035]本文中還公開的是一種由連接到運營商訪問認(rèn)證系統(tǒng)的私有訪問認(rèn)證系統(tǒng)來促進請求對服務(wù)的訪問的訂戶裝置的認(rèn)證的方法；運營商訪問認(rèn)證系統(tǒng)適合提供用于基于相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能，該方法包括:
?將訂戶認(rèn)證數(shù)據(jù)項傳遞給運營商訪問認(rèn)證系統(tǒng)，所述訂戶認(rèn)證數(shù)據(jù)項指示一個或多個訂戶憑證，并且促進運營商訪問認(rèn)證系統(tǒng)有選擇地準(zhǔn)予或拒絕對通信網(wǎng)絡(luò)的訂戶裝置訪問；
?傳遞指示私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)的至少一個檢驗數(shù)據(jù)項，并且促進關(guān)于所述狀態(tài)是否為運營商訪問認(rèn)證系統(tǒng)可信任的確定。
[0036]私有認(rèn)證系統(tǒng)可直接地或者經(jīng)由另一個實體將訂戶認(rèn)證數(shù)據(jù)項傳遞給運營商訪問認(rèn)證系統(tǒng)。私有認(rèn)證系統(tǒng)可將檢驗數(shù)據(jù)項傳遞給運營商訪問認(rèn)證系統(tǒng)和/或傳遞給另一個系統(tǒng)，供私有訪問認(rèn)證系統(tǒng)的狀態(tài)的檢驗。
[0037]還公開的是一種如本文所述的供服務(wù)訪問認(rèn)證系統(tǒng)中使用的運營商訪問認(rèn)證系統(tǒng)和私有訪問認(rèn)證系統(tǒng)。運營商訪問認(rèn)證系統(tǒng)和私有認(rèn)證系統(tǒng)的每個可體現(xiàn)為服務(wù)器，例如服務(wù)器計算機或者其它數(shù)據(jù)處理系統(tǒng)，或者體現(xiàn)為使用本領(lǐng)域已知的適當(dāng)硬件虛擬化機制的虛擬化服務(wù)器。
【專利附圖】

【附圖說明】
[0038]通過以下參照附圖所述的實施例，將掌握和說明以上及其它方面，附圖包括:· 圖1示出認(rèn)證系統(tǒng)的一個示例的示意框圖。
[0039]圖2示出用于訪問認(rèn)證和平臺檢驗的過程的一個實施例。
[0040]圖3示出將認(rèn)證數(shù)據(jù)項的請求路由選擇到私有認(rèn)證系統(tǒng)的過程的一個示例的流程圖。
【具體實施方式】
[0041]圖1示出訪問認(rèn)證系統(tǒng)的一個示例的示意框圖。圖1的訪問認(rèn)證系統(tǒng)是網(wǎng)絡(luò)訪問認(rèn)證系統(tǒng)，其促進請求對通信網(wǎng)絡(luò)、例如移動電信網(wǎng)絡(luò)的訪問的訂戶裝置的認(rèn)證。網(wǎng)絡(luò)認(rèn)證系統(tǒng)包括:運營商訪問認(rèn)證系統(tǒng)101,體現(xiàn)為運營商認(rèn)證中心(oAuC);以及私有訪問認(rèn)證系統(tǒng)102，體現(xiàn)為私有認(rèn)證中心(pAuC)。但是將會理解，運營商訪問認(rèn)證系統(tǒng)101可體現(xiàn)為運營商認(rèn)證中心(oAuC)、MSC/VLR、運營商HLR(oHLR)或者它們的組合，以及私有訪問認(rèn)證系統(tǒng)102可體現(xiàn)為私有認(rèn)證中心(pAuC)、私有HLR或者它們的組合。
[0042]pAuC可連接到私有歸屬位置寄存器(pHLR) 103。備選地，pAuC可體現(xiàn)為訂戶所操作的私有歸屬位置寄存器PHLR的組件。類似地，圖1的oAuC由網(wǎng)絡(luò)運營商來操作，并且可連接到運營商歸屬位置寄存器(oHLR)104。將會理解，即使只有上述實體的每個實體的單個實體在圖1中示出，但是訪問認(rèn)證系統(tǒng)的實施例可包括這些實體的一個、一些或每個實體的相應(yīng)多個實體。此外，在一些實施例中，訂戶可以僅操作pAuC，其可操作以與運營商的oHLR進行通信。在這種情況下，IMSI可與oHLR關(guān)聯(lián)，并且對認(rèn)證數(shù)據(jù)的請求會首先發(fā)送給OHLR0 oHLR則可具有關(guān)于認(rèn)證數(shù)據(jù)項應(yīng)當(dāng)向pAuC來請求的信息(例如，pAuC的URL、IP地址等在oHLR中配置)，但是所有其它功能則可在oHLR進行。
[0043]pAuC是系統(tǒng)、例如裝置或者裝置的硬件和/或軟件組件，其提供用于促進嘗試經(jīng)由基站106和移動交換中心(MSC) 107連接到移動通信網(wǎng)絡(luò)、例如GSM網(wǎng)絡(luò)的訂戶裝置105的認(rèn)證的功能性。在一些實施例中，認(rèn)證系統(tǒng)可直接執(zhí)行認(rèn)證，而在其它實施例中，認(rèn)證系統(tǒng)而是可生成數(shù)據(jù)供認(rèn)證過程中使用。例如，在GSM的上下文中，pAuC可生成所謂的三元組或向量，供MSC在認(rèn)證過程期間使用。在例如按照3GPP TS 33.234進行操作的無線LAN訪問的情況下；另一方面，認(rèn)證判定(接受/拒絕)可至少部分由PAuC本身進行。
[0044]能夠訪問通信網(wǎng)絡(luò)的諸如移動電話、計算機或者任何其它電子裝置之類的訂戶裝置105包括訂戶身份模塊(SM) 108。SM包括供認(rèn)證過程中使用的訂戶憑證。但是將會理解，訂戶裝置可包括用于安全存儲訂戶憑證的任何其它適當(dāng)存儲介質(zhì)。用于存儲訂戶憑證的適當(dāng)機制的示例包括“軟SM”類型的解決方案、物理nCC卡以及由裝置制造商內(nèi)置于裝置的“硬連線”憑證或者甚至裝置上的(受保護)文件中存儲的憑證。即使只有單個訂戶裝置在圖1中示出，但是將會理解，網(wǎng)絡(luò)訪問認(rèn)證系統(tǒng)的實施例可提供對多個訂戶裝置(各具有其自己的憑證以及用于存儲所述憑證的部件)的訪問認(rèn)證。
[0045]認(rèn)證過程的安全性可取決于pAuC與SIM之間的共享秘密。相應(yīng)地，pAuC還包括用于存儲訂戶憑證的存儲介質(zhì)110。共享秘密可在制造期間安全地?zé)Y(jié)或者編程到SIM中，并且還安全地復(fù)制到pAUC上。這個共享秘密此后通常從不在pAUC與SM之間傳送，而是與IMSI相結(jié)合以產(chǎn)生用于標(biāo)識目的的詢問(challenge) /響應(yīng)以及供空中通信中使用的加密密鑰。
[0046]因此，如從以上所述將會理解，pAuC的認(rèn)證能力可與現(xiàn)有技術(shù)網(wǎng)絡(luò)的正常AuC相似。但是，pAuC這時由訂戶而不是由運營商來擁有和操作。如同漫游建立中一樣，pAuC仍然負(fù)責(zé)提供認(rèn)證數(shù)據(jù)項，從而引起對移動網(wǎng)絡(luò)的訪問。當(dāng)訂戶操作其自己的AuC時，訂戶能夠執(zhí)行訂戶憑證的提供，并且不需要在變更運營商時更換憑證。為了獲得對運營商網(wǎng)絡(luò)的訪問，訂戶在網(wǎng)絡(luò)運營商(其現(xiàn)有oHLR和/或oAuC修改成在訂戶裝置之一想要獲得對網(wǎng)絡(luò)的訪問時改為使用訂戶PAuC)注冊他/她的pAuC。因此，在一些實施例中，oHLR可有選擇地并且響應(yīng)請求訂戶裝置的身份來聯(lián)絡(luò)oAuC或pAuC，以便得到所述訂戶裝置的認(rèn)證數(shù)據(jù)。在備選實施例中，oHLR可以始終聯(lián)絡(luò)oAuC，其又可根據(jù)訂戶裝置的身份將認(rèn)證數(shù)據(jù)的請求轉(zhuǎn)發(fā)給對應(yīng)pAuC。
[0047]pAuC運行于可信(執(zhí)行)平臺109。pHLR可運行于相同或相似的可信平臺111。如果平臺能夠例如基于平臺中的信任功能的不變根源(例如虛擬化計算平臺的硬件)來保護經(jīng)授權(quán)(例如正確簽名)軟件的執(zhí)行，則將其稱作“可信”。在一個實施例中，可信平臺還提供允許遠(yuǎn)程實體安全地檢驗平臺按照正確方式啟動并且正運行正確軟件和/或另外工作在可信狀態(tài)的功能性。這類功能性通常稱作(平臺)證明。存在用于基于信任根源的安全引導(dǎo)的若干技術(shù)。
[0048]例如，可信平臺可包括實現(xiàn)TCG(可信計算組)技術(shù)的可信平臺模塊(TPM)。TPM(可信平臺模塊)可控制僅啟動正確的軟件組件。TCG技術(shù)還支持遠(yuǎn)程證明，其能夠由所選運營商用于檢查PAuC的正確機能。具體來說，TPM包含用于檢驗將要啟動的軟件組件并且執(zhí)行其狀態(tài)的證明的密鑰和機制(參見例如TCG規(guī)范，架構(gòu)概述，規(guī)范，修訂版1.3，2007年3月)。作為替代或補充，其它解決方案、例如TrustZone技術(shù)(參見例如“ARM Security Technology, Building a Secure System using TrustZone?Technology，，，ARM Whitepaper, http://infocenter.arm.com/help/topic/com.arm.doc.prd29-genc-009492c/PRD29-GENC-009492C_trustzone_security_whitepaper.pdf)可用于安全引導(dǎo)。作為替代或補充，也能夠使用專有證明協(xié)議。證明功能可與例如平臺密碼證書的有效性的檢驗相結(jié)合。這類解決方案的一個或多個解決方案的組合一般可稱作平臺檢驗。為了便于本描述，術(shù)語“平臺檢驗”至少可包括例如使用OCSP的平臺證書的檢驗(參見例如RFC 2560、X.509因特網(wǎng)公有密鑰基礎(chǔ)設(shè)施在線證書狀態(tài)協(xié)議-0CSP)。
[0049]作為另一個選項，運營商可提供實現(xiàn)pAuC功能性的可執(zhí)行代碼。這可通過使用稱作密封的TPM標(biāo)準(zhǔn)的其它技術(shù)部分進行。在這里，代碼采用加密形式(例如從oHLR 104)發(fā)送給PAuC 102。代碼能夠僅通過(僅)TPM 109已知的密鑰來解密。此外，在允許pAuC代碼的解密和后續(xù)執(zhí)行之前，TPM 109本地檢驗pAuC處于可信狀態(tài)。在這個實施例中，運營商知道代碼是可信的(因為運營商編寫了代碼)，并且能夠信任代碼將僅在可允許/可信狀態(tài)中運行。
[0050]將會理解，上述平臺檢驗機制更一般地允許pAuC在“云(The Cloud)”中運行，其從可用性觀點來看、特別是對于個人用戶可具有優(yōu)點。PAuC則可以是虛擬機(VM)，其可在不同物理平臺之間移植，同時平臺信任能夠如本文所述來遠(yuǎn)程檢驗。例如，所謂的管理程序或者虛擬機監(jiān)視器(例如XEN或KVM)可用于通過將pAuC/pHLR與運行于同一物理主計算機上的其它(潛在地錯誤或惡意的)軟件隔離，為虛擬機提供其自己的僅運行PAuC/pHLR的操作系統(tǒng)，由此進一步增加安全性。
[0051]執(zhí)行可信平臺109 (以及可選的平臺111)的平臺檢驗過程的遠(yuǎn)程實體可以是oAuC或者運營商網(wǎng)絡(luò)基礎(chǔ)設(shè)施的另一個適當(dāng)組件，例如運營商HLR或者負(fù)責(zé)安全性管理的某個節(jié)點、例如策略實施功能。相應(yīng)地，oAuC和/或另一個運營商網(wǎng)絡(luò)基礎(chǔ)設(shè)施組件可適合支持這類平臺檢驗過程。證明可在pAuC和/或pHLR最初與oAuC/oHLR連接和/或例如每個認(rèn)證數(shù)據(jù)項請求一次、每個增加憑證/裝置一次、每天一次等、根據(jù)用戶與運營商之間的策略和/或協(xié)議間歇重復(fù)進行時發(fā)生。
[0052]當(dāng)訂戶裝置105經(jīng)由基站106請求對運營商網(wǎng)絡(luò)的訪問以及運營商檢測預(yù)訂與其認(rèn)證不是由oAuC來管理的訂戶裝置相關(guān)時，運營商聯(lián)絡(luò)pAuC，并且請求與訂戶裝置105的訂戶憑證關(guān)聯(lián)的認(rèn)證向量。關(guān)于預(yù)訂與pAuC/pHLR關(guān)聯(lián)的檢測可由MSC、由oHLR或者由oAuC進行。在特殊MSI格式用于與pAuC/pHLR關(guān)聯(lián)的預(yù)訂的情況下，檢測可能由MSC進行。另一方面，如果頂SI與正常運營商的MSI空間關(guān)聯(lián)，則檢測可需要在oHLR或者oAuC進行。在任一種情況下，檢測預(yù)訂與pAuC/pHLR相關(guān)的實體則可配置有關(guān)聯(lián)pAuC/pHLR的地址(例如URL或IP地址)。
[0053]為了實現(xiàn)有效系統(tǒng)，這個請求可與平臺檢驗請求(其可使用可信平臺109的證明能力)相結(jié)合。組合認(rèn)證向量請求可形成為
新認(rèn)證向量請求={舊認(rèn)證向量請求(old auth vect req),現(xiàn)時(nonce), proof_request} (I)
其中proof_request指示oAuC (或者一般來說,請求證明的實體)想要從pAuC接收的證據(jù)的類型。優(yōu)選地，以上所述由oAuC來簽名，因此pAuC能夠檢驗請求的起源。引入現(xiàn)時以防止重放攻擊。old_auth_vect_req可以是來自AuC的已知的對認(rèn)證向量的常規(guī)請求。
[0054]pAuC則可通過下列組合認(rèn)證響應(yīng)來響應(yīng)上述請求:
新認(rèn)證向量響應(yīng)=K 一個或多個)認(rèn)證向量，proof_answer, sign_pAuC} (2)pAuC簽名sign_pAuC可對于(一個或多個)認(rèn)證向量、proof_answer和現(xiàn)時。這允許接收實體檢驗數(shù)據(jù)的正確起源以及數(shù)據(jù)不是重復(fù)?？梢宰⒁猓琾roof_answer可包括可能證明請求的TPM簽名(取決于實際proof_request)。但是將會理解,proof_request和proof_answer的實際細(xì)節(jié)取決于pAuC能夠如何證明它是真實的并且運行正確軟件的細(xì)節(jié)。簽名能夠使用任何公有密鑰密碼簽名方法、例如基于RSA或者基于橢圓曲線進行。還將會理解，PAuC可將上述響應(yīng)發(fā)送給oHLR，其可包括用于執(zhí)行平臺檢驗的功能性。在一些實施例中，響應(yīng)可經(jīng)由與pAuC關(guān)聯(lián)的pHLR發(fā)送給oHLR。
[0055]圖2示出用于使用組合認(rèn)證向量請求和pHLR/pAuC檢驗來訪問認(rèn)證和平臺檢驗的過程的一個實施例。該過程可由網(wǎng)絡(luò)認(rèn)證系統(tǒng)、例如圖1所示的包括oAuC 101、oHLR 104和pAuC 102的系統(tǒng)來執(zhí)行。在圖2的示例中，平臺檢驗由oHLR 104來執(zhí)行，并且基于TCGTPM技術(shù)。相應(yīng)地，pAuC 102在TPM 109上運行。備選地，平臺檢驗可由另一個網(wǎng)絡(luò)實體、例如oAuC來執(zhí)行。
[0056]該過程可由oHLR來發(fā)起，但是它可實現(xiàn)為現(xiàn)有HLR的新的子功能，或者它甚至可能成為oAuC的部分。為了便于本描述,假定觸發(fā)源自oHLR本身。
[0057]oHLR向與請求對網(wǎng)絡(luò)的訪問的訂戶裝置關(guān)聯(lián)的pAuC發(fā)送例如上述形式(I)的包括檢驗請求的認(rèn)證數(shù)據(jù)的請求221。如上所述,該請求包括對pAuC構(gòu)造證據(jù)的采取命令形式的檢驗請求，表示為proof_request。例如,請求可要求pAuC中的某些子系統(tǒng)的存在的證據(jù)。為了本描述的簡潔起見，假定該請求針對正確引導(dǎo)PAuC并且它具有pAuC認(rèn)證子系統(tǒng)私有密鑰的知識的證據(jù)。將會理解，在一些實施例中，證明請求可對于認(rèn)證數(shù)據(jù)的各請求來發(fā)出，以便提供高級安全性，而在其它實施例中，證明請求而是可間歇地和/或作為對與認(rèn)證數(shù)據(jù)的請求關(guān)聯(lián)的請求的補充來發(fā)`出。
[0058]在接收請求221時，pAuC使用TPM 109來生成它被正確引導(dǎo)的證據(jù)。圖2中，這通過由pAuC傳遞給TPM 109的證明請求222示出。這因此是已知過程并且在TCG規(guī)范中規(guī)定(參見例如TCG規(guī)范，架構(gòu)概述，規(guī)范，修訂版1.3，2007年3月)。證據(jù)由TPM作為證明結(jié)果223返回給pAuC。證明請求可包括隨機詢問，其可以是來自從oHLR所發(fā)送的消息221的現(xiàn)時，或者它能夠是這個現(xiàn)時和認(rèn)證向量數(shù)據(jù)的函數(shù)。
[0059]pAuC這時可構(gòu)造作為元組的proof_answer:
Proof_answer = {
boot_proof:證明結(jié)果；

pAuC_auth_private_key_proof:RSA_signature;

}；
其中，RSA_signature是先前所述現(xiàn)時的簽名。
[0060]注意，圖2所示的sign_pAuC可基于與認(rèn)證子系統(tǒng)的私有密鑰不同的另一個私有密鑰，例如，它可以是與PHLR與oHLR之間的漫游協(xié)議相關(guān)的私有密鑰。
[0061]pAuC隨后向oHLR返回例如上述形式(2)的包括proof_answer的認(rèn)證響應(yīng)224。
[0062]oHLR隨后可使用OCSP服務(wù)器225來檢查是否已經(jīng)撤銷證書，如消息226和227所示。備選地，oHLR可依靠分配的分布式證書撤銷列表。
[0063]如果pAuC的檢驗是成功的，則oHLR可按照這樣已知的方式、例如如對于漫游用戶通常進行的那樣來處理auth_vect。
[0064]為了促進訂戶操作認(rèn)證系統(tǒng)的提供，網(wǎng)絡(luò)基礎(chǔ)設(shè)施可修改成提供到正確pHLR/PAuC的訂戶認(rèn)證數(shù)據(jù)的請求的路由選擇。例如，如所述，這個過程可由基站(訂戶裝置經(jīng)由其來嘗試訪問網(wǎng)絡(luò))的運營商的MSC/VLR來執(zhí)行。路由選擇可伴隨有使用例如Radius或Diameter的認(rèn)證數(shù)據(jù)(所謂的認(rèn)證向量)的后續(xù)傳遞的安全連接(例如IPsec或TLS/SSL)建立。
[0065]運營商可知道哪些MSI編號與哪一個pAuC相關(guān)。在非漫游裝置的情況下，可使用圖3所示的簡單解決方案。通過識別屬于被注冊的pAuC之一的IMSI，這種方法在路由選擇解析中引入附加步驟331。通過使用例如散列表，這個查找能夠在基本上恒定時間復(fù)雜度中有效地實現(xiàn)。在圖3的示例中，該過程最初在步驟330確定IMSI的MCC(移動國家碼)和MNC(移動網(wǎng)絡(luò)碼)部分是否指向另一個運營商。如果情況是這樣，則該過程聯(lián)絡(luò)所識別的另一運營商。否則，在步驟331，該過程識別與MSI關(guān)聯(lián)的pAuC。
[0066]注意，當(dāng)每一個用戶可具有pAuC以及與那個pAuC關(guān)聯(lián)的許多裝置時，15位MSI可能不充分。因此，作為一個選項，可使用下列方式。
[0067]當(dāng)VPLMN(可見公共陸地移動網(wǎng)絡(luò))檢測到MCC+MNC指向pAuC/pHLR時，MSIN部分用于識別pAuC/pHLR，并且VPLMN還發(fā)出第二身份請求(按照3GPP規(guī)范，IMSI請求可在網(wǎng)絡(luò)沒有充分信息來識別訂戶時的任何時間發(fā)出)，以便識別這個PAuC/pHLR中的裝置。這意味著，能夠支持總共十億pAuC/pHLR，各具有數(shù)十億裝置。
[0068]注意，能夠在現(xiàn)有過程之前放置pAuC的檢測。在裝置還需要漫游到其它網(wǎng)絡(luò)的情況下，相同路由選擇信息可分配給其它運營商。
[0069]雖然已經(jīng)詳細(xì)描述和示出一些實施例，但是，本發(fā)明并不局限于此，而是還可以按照以下權(quán)利要求書所限定的主題范圍之內(nèi)的其它方式來體現(xiàn)。
[0070]本文所述的方法、產(chǎn)品部件和裝置可通過包括若干不同元件的硬件以及通過適當(dāng)編程的微處理器來實現(xiàn)。在列舉若干部件的裝置權(quán)利要求中，這些部件的若干部件能夠通過完全相同的硬件項、例如適當(dāng)編程的微處理器、一個或多個信號處理器等體現(xiàn)。某些量度在互不相同的從屬權(quán)利要求中來引述或者在不同實施例中來描述的簡單事實并不表示這些量度的組合不能用來獲得優(yōu)勢。
[0071]應(yīng)當(dāng)強調(diào)，在本說明書中所使用的術(shù)語“包括/包含”用來表示存在所述特征、整數(shù)、步驟或組件，但是并不排除存在或添加一個或多個其它特征、整數(shù)、步驟、組件或者它們的編組。
[0072]應(yīng)當(dāng)注意，雖然在控制和準(zhǔn)予對網(wǎng)絡(luò)的訪問的設(shè)置中描述了概念，但是將會理解，所公開方法和系統(tǒng)能夠用于一般控制和準(zhǔn)予對服務(wù)的訪問。
【權(quán)利要求】
1.一種用于認(rèn)證服務(wù)的訂戶的訪問認(rèn)證系統(tǒng)，所述訪問認(rèn)證系統(tǒng)包括運營商訪問認(rèn)證系統(tǒng)和一個或多個私有訪問認(rèn)證系統(tǒng)，各私有訪問認(rèn)證系統(tǒng)與所述運營商訪問認(rèn)證系統(tǒng)在通信上是可連接的，所述運營商訪問認(rèn)證系統(tǒng)適合提供用于基于與所述訂戶的憑證關(guān)聯(lián)的相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進所述服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能；其中各私有訪問認(rèn)證系統(tǒng)適合將一個或多個訂戶認(rèn)證數(shù)據(jù)項傳遞給所述運營商訪問認(rèn)證系統(tǒng)；以及其中各私有訪問認(rèn)證系統(tǒng)還適合傳遞指示所述私有訪問認(rèn)證系統(tǒng)工作在至少一個預(yù)定狀態(tài)的一個或多個檢驗數(shù)據(jù)項。
2.如權(quán)利要求1所述的訪問認(rèn)證系統(tǒng)，其中，各私有訪問認(rèn)證系統(tǒng)安全地連接到所述運營商訪問認(rèn)證系統(tǒng)，從而允許由所述運營商訪問認(rèn)證系統(tǒng)對所述私有訪問認(rèn)證系統(tǒng)的檢驗。
3.如權(quán)利要求1或2所述的訪問認(rèn)證系統(tǒng)，其中，所述私有訪問認(rèn)證系統(tǒng)包括可信平臺。
4.如權(quán)利要求3所述的訪問認(rèn)證系統(tǒng)，其中，所述可信平臺可操作以執(zhí)行安全引導(dǎo)操作。
5.如權(quán)利要求4或5所述的訪問認(rèn)證系統(tǒng)，其中，所述可信平臺可操作以將程序代碼的執(zhí)行限制到數(shù)字簽名程序代碼。
6.如權(quán)利要求3至5中的任一項所述的訪問認(rèn)證系統(tǒng)，其中，所述檢驗數(shù)據(jù)項包括可信平臺的至少一個簽名或者由所述可信平臺所生成的至少一個證明結(jié)果。
7.如以上權(quán)利要求中的任一項所述的訪問認(rèn)證系統(tǒng)，其中，所述私有訪問認(rèn)證系統(tǒng)適合傳遞包括所述訂戶認(rèn)證數(shù)據(jù)項和一個或多個檢驗數(shù)據(jù)項的認(rèn)證消息。
8.如權(quán)利要求7所述的 訪問認(rèn)證系統(tǒng)，其中，所述私有訪問認(rèn)證系統(tǒng)適合從所述運營商訪問認(rèn)證系統(tǒng)接收認(rèn)證數(shù)據(jù)的請求，以及響應(yīng)認(rèn)證數(shù)據(jù)的所述請求而傳遞所述認(rèn)證消肩、O
9.如權(quán)利要求8所述的訪問認(rèn)證系統(tǒng)，其中，認(rèn)證數(shù)據(jù)的所述請求包括現(xiàn)時，以及其中所述私有訪問認(rèn)證系統(tǒng)適合在所述認(rèn)證消息中包括至少對于至少所述所接收現(xiàn)時的數(shù)字簽名。
10.如權(quán)利要求8或9所述的訪問認(rèn)證系統(tǒng),其中，認(rèn)證數(shù)據(jù)的所述請求包括指示由所述運營商訪問認(rèn)證系統(tǒng)所請求的指示所述私有訪問認(rèn)證系統(tǒng)工作在至少一種預(yù)定狀態(tài)的證據(jù)的類型的數(shù)據(jù)項。
11.如權(quán)利要求7至10中的任一項所述的訪問認(rèn)證系統(tǒng)，其中，所述認(rèn)證消息包括數(shù)字簽名。
12.如以上權(quán)利要求中的任一項所述的訪問認(rèn)證系統(tǒng)，其中，所述至少一種預(yù)定狀態(tài)包括所述私有訪問認(rèn)證系統(tǒng)運行由所述運營商訪問認(rèn)證系統(tǒng)信任的預(yù)定軟件組件。
13.一種由運營商訪問認(rèn)證系統(tǒng)來促進請求對服務(wù)的訪問的訂戶裝置的認(rèn)證的方法；所述運營商訪問認(rèn)證系統(tǒng)適合提供用于基于相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進所述服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能，所述方法包括: ?從通信上與所述運營商訪問認(rèn)證系統(tǒng)連接的私有訪問認(rèn)證系統(tǒng)來接收訂戶認(rèn)證數(shù)據(jù)項，所述訂戶認(rèn)證數(shù)據(jù)項指示一個或多個訂戶憑證； ?響應(yīng)所述所接收訂戶認(rèn)證數(shù)據(jù)項并且響應(yīng)所述私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)的檢驗，提供用于促進關(guān)聯(lián)到所述訂戶憑證的訂戶的認(rèn)證的一個或多個認(rèn)證功能。
14.如權(quán)利要求13所述的方法，包括 ?將認(rèn)證數(shù)據(jù)的請求轉(zhuǎn)發(fā)給所述私有認(rèn)證系統(tǒng)； ?接收響應(yīng)所述請求的所述訂戶認(rèn)證數(shù)據(jù)項。
15.如權(quán)利要求13或14所述的方法，還包括: ?由所述運營商訪問認(rèn)證系統(tǒng)從所述私有訪問認(rèn)證系統(tǒng)接收至少一個檢驗數(shù)據(jù)項，所述檢驗數(shù)據(jù)項指示所述私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)； ?由所述運營商認(rèn)證系統(tǒng)基于所述所接收檢驗數(shù)據(jù)項來確定所述狀態(tài)是否為所述運營商訪問認(rèn)證系統(tǒng)可信任的； 以及其中提供一個或多個認(rèn)證功能以響應(yīng)所述確定。
16.一種用于訪問認(rèn)證系統(tǒng)的運營商訪問認(rèn)證系統(tǒng)，所述運營商訪問認(rèn)證系統(tǒng)適合提供用于基于相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能，其中所述運營商訪問認(rèn)證系統(tǒng)配置成執(zhí)行如權(quán)利要求13至15中的任一項所述的方法的步驟。
17.如權(quán)利要求16所述的運營商訪問認(rèn)證系統(tǒng)，還配置成 -從訂戶裝置接收 服務(wù)請求； -基于所述所接收請求來識別一組私有訪問認(rèn)證系統(tǒng)其中的一個私有訪問認(rèn)證系統(tǒng)；以及 -向所述所識別私有訪問認(rèn)證系統(tǒng)請求指示所述私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)的所述至少一個檢驗數(shù)據(jù)項，以及指示與所述訂戶裝置關(guān)聯(lián)的一個或多個訂戶憑證的所述訂戶認(rèn)證數(shù)據(jù)項。
18.—種由連接到運營商訪問認(rèn)證系統(tǒng)的私有訪問認(rèn)證系統(tǒng)來促進請求對服務(wù)的訪問的訂戶裝置的認(rèn)證的方法；所述運營商訪問認(rèn)證系統(tǒng)適合提供用于基于相應(yīng)訂戶認(rèn)證數(shù)據(jù)項來促進所述服務(wù)的訂戶的認(rèn)證的一個或多個認(rèn)證功能，所述方法包括: -將訂戶認(rèn)證數(shù)據(jù)項傳遞給所述運營商訪問認(rèn)證系統(tǒng)，所述訂戶認(rèn)證數(shù)據(jù)項指示一個或多個訂戶憑證，并且促進所述運營商訪問認(rèn)證系統(tǒng)有選擇地準(zhǔn)予或拒絕對所述通信網(wǎng)絡(luò)的訂戶裝置訪問； -傳遞指示所述私有訪問認(rèn)證系統(tǒng)工作在其中的狀態(tài)的至少一個檢驗數(shù)據(jù)項，并且促進關(guān)于所述狀態(tài)是否為所述運營商訪問認(rèn)證系統(tǒng)可信任的確定。
19.一種用于訪問認(rèn)證系統(tǒng)的私有訪問認(rèn)證系統(tǒng)，所述訪問認(rèn)證系統(tǒng)包括運營商訪問認(rèn)證系統(tǒng)和至少所述私有訪問認(rèn)證系統(tǒng)；其中所述私有訪問認(rèn)證系統(tǒng)適合執(zhí)行如權(quán)利要求18所述的方法的步驟。
【文檔編號】H04L29/06GK103597799SQ201280029514
【公開日】2014年2月19日 申請日期:2012年6月13日 優(yōu)先權(quán)日:2011年6月16日
【發(fā)明者】M.內(nèi)斯倫德, B.斯米特斯 申請人:瑞典愛立信有限公司