122另行具體實現(xiàn)無線收發(fā)器，還能夠以共享一定部分的方式設(shè)計無線收發(fā)器。
[0063]控制部124參照存儲于存儲部126的安全策略設(shè)定信息和防火墻選擇信息來能夠決定是否對于數(shù)據(jù)分組適用安全策略，而且能夠決定通過內(nèi)部的防火墻功能部127或外部防火墻設(shè)備13中哪一個來判定安全策略的違反與否。
[0064]為此，控制部124分析從移動通信終端11所傳輸?shù)臄?shù)據(jù)分組而分別獲取終端11的識別信息(例如電話號、ENS、ME1、SM、MSN、PIN等)和賦予于終端11的IP信息，進而獲取分組的目的地即應(yīng)用服務(wù)器17的IP信息，并將這些信息存儲于存儲部126。
[0065]而且，控制部124能夠在存儲部126存儲由防火墻管理服務(wù)器14所指定的安全策略設(shè)定信息。此時，能夠根據(jù)終端的號碼或識別信息而相異地設(shè)定安全策略。
[0066]以由防火墻管理服務(wù)器14所適用安全策略的方式設(shè)定防火墻功能部127，而且，在設(shè)定成能夠利用內(nèi)部防火墻功能部127的情況下，防火墻功能部127按照所指定的安全策略而分析在終端11與應(yīng)用服務(wù)器17之間所傳輸?shù)姆纸M并判定是符合安全策略還是違反安全策略。
[0067]在防火墻功能部127判定為所傳輸?shù)姆纸M違反安全策略的情況下，控制部124參照存儲于存儲部126的相應(yīng)終端11的識別信息和應(yīng)用服務(wù)器17的IP信息，并對各個信息生成包括PDP上下文釋放在內(nèi)的連接終止信號而向終端11和應(yīng)用服務(wù)器17傳輸，且對于相應(yīng)分組，不是向中繼部125傳遞而是丟棄，從而以阻止中繼動作的方式進行控制。
[0068]輸入輸出部128使得防火墻管理服務(wù)器14能夠與安全中繼器12連接而設(shè)定各種安全策略。而且，控制部124能夠通過輸入輸出部128而與外部防火墻設(shè)備13進行通信以便能夠委托分組的分析。
[0069]圖3是例示了根據(jù)本發(fā)明一實施例的具有防火墻功能的安全移動通信中繼器的消息流的流程圖，例示性地、基于在3GPP2標(biāo)準(zhǔn)中在終端與網(wǎng)絡(luò)基站之間所進行的服務(wù)選項協(xié)商。
[0070]在3GPPS標(biāo)準(zhǔn)中TIA:TSB58明確了在移動通信終端啟動無線移動通信服務(wù)時首先在終端與基站之間對于應(yīng)該利用何種服務(wù)而進行服務(wù)選項協(xié)商(service opt1nnegotiat1n)的過程。
[0071]服務(wù)選項隨移動技術(shù)的發(fā)展而擴大，但根據(jù)網(wǎng)絡(luò)設(shè)備狀況而有可能提供不了特定服務(wù)。為了應(yīng)對這一問題，在提供服務(wù)之前就規(guī)定了在終端與基站之間協(xié)商的過程，這就是服務(wù)選項協(xié)商。
[0072]服務(wù)選項協(xié)商是請求服務(wù)的主體對于所要使用相應(yīng)服務(wù)的意圖和對方裝置或中間設(shè)備能否提供那種服務(wù)提出詢問并應(yīng)答的過程。
[0073]參照圖3，首先在步驟S31，用戶為了在位于安全中繼器12的工作范圍內(nèi)的終端11與特定的應(yīng)用服務(wù)器17之間建立數(shù)據(jù)傳輸路徑，而向安全中繼器12發(fā)送包括終端11的識別信息在內(nèi)的服務(wù)選項協(xié)商請求信號(Service_Opt1n_Request信號)。
[0074]在步驟S32，安全中繼器12存儲終端11的識別信息，并且判定終端11所請求的服務(wù)是否為無線數(shù)據(jù)服務(wù)。在例如為語音服務(wù)或短信服務(wù)而非為無線數(shù)據(jù)服務(wù)的情況下，允許相應(yīng)服務(wù)并使終端11與基站16連接。
[0075]在所請求的服務(wù)為無線數(shù)據(jù)服務(wù)的情況下，在步驟S33，安全中繼器12參照所設(shè)定的安全策略而判定無線數(shù)據(jù)服務(wù)是否被允許。
[0076]若是無線數(shù)據(jù)服務(wù)在安全策略上未被允許的狀態(tài)，則在步驟S34，安全中繼器12停止服務(wù)選項協(xié)商請求的中繼并向終端11傳遞拒絕服務(wù)選項協(xié)商的信號(ServiceOpt1n_Reject)。在該情況下，終端11顯示為不能利用無線數(shù)據(jù)服務(wù)并終止連接嘗試。
[0077]在無線數(shù)據(jù)服務(wù)在安全策略上被允許的情況下，在步驟S35，安全中繼器12向基站16傳遞服務(wù)選項協(xié)商請求信號，接著，若從基站16接收服務(wù)選項的接受(Sevice_Opt1n_Accept)或拒絕信號，貝U安全中繼器12將它照直向終端11中繼。
[0078]服務(wù)所接受的終端11在步驟S36通過安全中繼器12而向基站16請求PDP上下文(Packet Data Protocol context)以能夠得到用于利用各種分組數(shù)據(jù)服務(wù)的信息的集合即PDP上下文，并從基站16接收PDP上下文。PDP上下文能夠包括PDP的種類(IP或PPP)、PDP地址與其種類、QoS (Quality of Service，服務(wù)質(zhì)量)簡檔、認證、DNS等各參數(shù)。終端11通過接收PDP上下文信息的過程而被分配IP地址并能夠設(shè)定QoS。
[0079]這樣一來，終端11成為結(jié)束了使用實際想要利用的分組服務(wù)的準(zhǔn)備的狀態(tài)，在步驟S37，將關(guān)于所希望的無線分組服務(wù)的分組生成并發(fā)送。
[0080]在步驟S38，安全中繼器12能夠按照設(shè)定通過內(nèi)部防火墻功能部127或外部防火墻設(shè)備13中某一個而分析從終端11或應(yīng)用服務(wù)器17接收的分組，并能夠判定所接收的分組是否違反安全策略。
[0081]在步驟S39，在分組不違反安全策略的情況下，安全中繼器12向基站16或終端11允許相應(yīng)分組的中繼。
[0082]在步驟S40，在判定為違反了分組安全策略的情況下，安全中繼器12丟棄相應(yīng)分組，進而為了強行終止相應(yīng)無線分組服務(wù)，參照之前所存儲的終端11的識別信息而向相應(yīng)終端11傳輸請求釋放PDP上下文的信號(Deactivate_PDP_Context_Request)。
[0083]雖然經(jīng)步驟S40而不會進一步進行分組數(shù)據(jù)服務(wù)，但根據(jù)需要，例如在終端11所連接中的應(yīng)用服務(wù)器17在等待接收分組的情況下，或在服務(wù)器17繼續(xù)傳輸惡意代碼的情況下，在步驟S41，安全中繼器12向基站16也傳輸告知PDP上下文的釋放的信號(Deactivate_PDP_Context_Request)。
[0084]雖然通過有限的實施例和附圖來如上說明了本發(fā)明，但本發(fā)明并不限定于上述的實施例，本領(lǐng)域普通技術(shù)人員根據(jù)這些描述能夠進行多種修改和變形。因此，可謂本發(fā)明的思想僅由所付的權(quán)利要求書所解釋，且與其等同或等價的變形均屬于本發(fā)明思想的范疇。
[0085]工業(yè)上利用可能性
[0086]本發(fā)明能夠應(yīng)用于多種方式的通信中繼器。
【主權(quán)項】
1.一種安全移動通信中繼器，其特征在于，包括: 基帶處理部，其將在終端與移動通信網(wǎng)絡(luò)基站之間所傳輸?shù)囊苿油ㄐ判盘栠M行基帶調(diào)制解調(diào)而提取基帶數(shù)據(jù)； 控制部，其分析上述基帶數(shù)據(jù)，并根據(jù)所設(shè)定的安全策略的違反判定結(jié)果而允許或拒絕上述基帶數(shù)據(jù)的中繼； 存儲部，其存儲上述安全策略的設(shè)定信息；以及， 防火墻功能部，其按照上述控制部的指示而對于包含在上述基帶數(shù)據(jù)中的分組數(shù)據(jù)判定安全策略的違反與否。
2.根據(jù)權(quán)利要求1所述的安全移動通信中繼器，其特征在于， 上述存儲部進一步存儲指定是要通過上述防火墻功能部或外部的防火墻設(shè)備中哪一個來執(zhí)行安全策略的違反判定的防火墻選擇信息， 上述控制部以根據(jù)上述防火墻選擇信息來向上述防火墻功能部或外部的防火墻設(shè)備中至少一個提供上述分組數(shù)據(jù)的方式動作。
3.根據(jù)權(quán)利要求1所述的安全移動通信中繼器，其特征在于， 上述控制部在上述安全策略設(shè)定成不允許進行無線分組數(shù)據(jù)服務(wù)的情況下，并且在從終端接收的基帶數(shù)據(jù)包含服務(wù)選項協(xié)商請求信號時，以向上述終端傳輸服務(wù)選項協(xié)商拒絕信號的方式動作。
4.根據(jù)權(quán)利要求1所述的安全移動通信中繼器，其特征在于， 上述控制部若判定為上述分組數(shù)據(jù)違反安全策略，則以向上述終端傳輸PDP上下文釋放請求信號的方式動作。
5.根據(jù)權(quán)利要求4所述的安全移動通信中繼器，其特征在于， 上述控制部在終端請求服務(wù)選項協(xié)商時，存儲上述終端的識別號碼，并且若判定為上述分組數(shù)據(jù)違反安全策略，則以基于上述終端的所存儲的識別號碼而向上述終端傳輸rop上下文釋放請求信號的方式動作。
6.根據(jù)權(quán)利要求4所述的安全移動通信中繼器，其特征在于， 上述控制部若判定為上述分組數(shù)據(jù)違反安全策略，則以向上述移動通信網(wǎng)絡(luò)基站傳輸PDP上下文釋放請求信號的方式動作。
7.一種安全移動通信中繼方法，利用在終端與移動通信網(wǎng)絡(luò)基站之間中繼移動通信信號的安全中繼器，所述安全移動通信中繼方法其特征在于，包括: 上述安全中繼器， 存儲安全策略的設(shè)定信息的步驟； 對于將上述移動通信信號進行基帶調(diào)制解調(diào)而得到的上述基帶數(shù)據(jù)中所包含的分組數(shù)據(jù)，得到關(guān)于上述安全策略的違反與否的判定結(jié)果的步驟；以及， 僅在判定為未違反上述安全策略的情況下，允許上述基帶數(shù)據(jù)的中繼的步驟。
8.根據(jù)權(quán)利要求7所述的安全移動通信中繼方法，其特征在于， 進一步包括: 存儲指定是要通過內(nèi)置于上述安全中繼器的防火墻功能部或外部的防火墻設(shè)備中哪一個來執(zhí)行上述安全策略的違反判定的防火墻選擇信息的步驟；以及， 根據(jù)上述防火墻選擇信息，向上述防火墻功能部或外部的防火墻設(shè)備中至少一個提供上述分組數(shù)據(jù)的步驟。
9.根據(jù)權(quán)利要求7所述的安全移動通信中繼方法，其特征在于， 進一步包括: 在上述安全策略設(shè)定成不允許進行無線分組數(shù)據(jù)服務(wù)的情況下，并且在從終端接收的基帶數(shù)據(jù)中包含服務(wù)選項協(xié)商請求信號時，向上述終端傳輸服務(wù)選項協(xié)商拒絕信號的步驟。
10.根據(jù)權(quán)利要求7所述的安全移動通信中繼方法，其特征在于， 進一步包括: 若判定為上述分組數(shù)據(jù)違反安全策略，則向上述終端傳輸PDP上下文釋放請求信號的步驟。
11.根據(jù)權(quán)利要求10所述的安全移動通信中繼方法，其特征在于， 進一步包括: 在終端請求服務(wù)選項協(xié)商時，存儲上述終端的識別號碼的步驟；以及， 若判定為上述分組數(shù)據(jù)違反安全策略，則基于上述終端的所存儲的識別號碼而向上述終端傳輸PDP上下文釋放請求信號的步驟。
12.根據(jù)權(quán)利要求10所述的安全移動通信中繼方法，其特征在于， 進一步包括: 若判定為上述分組數(shù)據(jù)違反安全策略，則向上述移動通信網(wǎng)絡(luò)基站傳輸PDP上下文釋放請求信號的步驟。
【專利摘要】本發(fā)明的安全移動通信中繼器能夠包括：基帶處理部，其將在終端與移動通信網(wǎng)絡(luò)基站之間所傳輸?shù)囊苿油ㄐ判盘栠M行基帶調(diào)制解調(diào)而提取基帶數(shù)據(jù)；控制部，其分析基帶數(shù)據(jù)，并根據(jù)所設(shè)定的安全策略的違反判定結(jié)果而允許或拒絕基帶數(shù)據(jù)的中繼；存儲部，其存儲安全策略的設(shè)定信息；以及，防火墻功能部，其按照控制部的指示而對于包含在基帶數(shù)據(jù)中的分組數(shù)據(jù)判定安全策略的違反與否。
【IPC分類】H04W12-12, H04L12-22
【公開號】CN104620537
【申請?zhí)枴緾N201280075685
【發(fā)明人】全仁瑛
【申請人】全仁瑛
【公開日】2015年5月13日
【申請日】2012年9月11日
【公告號】US20150200913, WO2014042291A1