Система, устройство и способ, предназначенные для аутентификации на основе sim и для шифрования при доступе к беспроводной локальной сети
Изобретение относится к системе, устройству и способу выполнения аутентификации на основе модуля идентификации абонента (SIM) в отношении пользователя, осуществляющего доступ в беспроводную локальную сеть (WLAN), без преждевременного предоставления возможности соединения по межсетевому протоколу (IP), совместно с механизмом шифрования уровня 2 для защиты коммуникационного тракта между терминальным оборудованием и сетью мобильной связи. Таким образом, изобретение предоставляет способ установления туннелирования протокола двухточечного соединения (РРР) для диалогов аутентификации и согласования ключей (АКА) между терминалом и контроллером доступа для осуществления доступа к сети мобильной связи, обладая SIM. Изобретение также предоставляет контроллер доступа (АС), содержащий сервер протокола двухточечного соединения поверх Ethernet (PPPoE) для туннелирования диалогов АКА от клиента РРР, установленного в терминале для той же самой цели, и также содержащий маршрутизатор графика и клиент протокола услуг аутентификации удаленных пользователей по коммутируемым каналам связи (RADIUS). AC, таким образом включающий в себя клиент RADIUS, расположен между посредником RADIUS, к которому осуществляют доступ точки доступа (АР) в WLAN, и сетью мобильной связи, в которой выполняется аутентификация на основе SIM. 4 н. и 21 з.п. ф-лы, 4 ил.
Область техники, к которой относится изобретение
Настоящее изобретение в общем относится к механизмам аутентификации и шифрования в сценариях беспроводной локальной сети. Более конкретно, настоящее изобретение относится к средствам, системе и способам для реализации механизмов аутентификации (установления подлинности) на основе SIM (модуля идентификации абонента) и шифрования уровня 2 с целью защиты коммуникационного тракта, направленного от терминального оборудования.
Предшествующий уровень техники
В 1999 Институтом инженеров по электротехнике и электронике (IEEE) была опубликована спецификация 802.11b, описывающая доступ к беспроводным локальным сетям (WLAN) при скорости передачи данных 11 Мбит/с. Этот стандарт получил широкую поддержку в промышленности и имеет широкую базу развернутого оборудования на предприятиях, а также в общественных местах, таких как аэропорты, отели, кафе и т.п.
В этой спецификации 802.11b в некоторой степени предложены механизмы аутентификации и управления доступом, а также конфиденциальности, но только в отношении беспроводного тракта. В этом контексте два способа аутентификации определены в данном стандарте, а именно «Открытая Система» ("Open system") и «Совместно Используемый Ключ» ("Shared Key").
При использовании Открытой Системы карта WLAN в терминальном оборудовании (TE) сообщает, что она желает подсоединиться к точке доступа WLAN (в дальнейшем обозначаемой AP). При этом не выполняется никакой аутентификации, и используются только некоторые базовые механизмы управления доступом, такие как, например, фильтры управления доступом к среде передачи данных (МАС) и идентификаторы наборов услуг (SSID).
Эти фильтры МАС выполнены с возможностью работы таким образом, что только картам WLAN, МАС-адреса которых принадлежат списку, поддерживаемому АР, такому как список управления доступом (ACL), разрешено подсоединяться к упомянутой AP. Этот механизм управления доступом имеет ограниченную полезность, поскольку идентификационные данные объекта, пытающегося подсоединиться, фактически принадлежат не пользователю, но самому оборудованию. Если терминал или карта похищены, то для предотвращения доступа к ресурсам посредством похищенного оборудования отсутствует аутентификация на основе пользователя. Помимо этого, поскольку МАС-адреса всегда появляются в заголовках кадров WLAN, то получение доступа обманным путем посредством перехвата MAC-адреса является тривиальной атакой. Вышесказанное имеет особую значимость, поскольку у большей части находящихся на рынке карт WLAN можно изменить их МАС-адреса просто используя программные средства.
Другим механизмом управления доступом является вышеупомянутый идентификатор набора услуг (SSID), который представляет собой буквенно-цифровой код, идентифицирующий экземпляр WLAN, к которому терминальное оборудование (ТЕ) пытается подсоединиться. Заданная АР разрешает подсоединение только тех карт WLAN, которые предоставляют правильный SSID. Однако, поскольку точки доступа АР обычно осуществляют широковещательную рассылку этого идентификатора, и даже без изменения установленного поставщиком значения по умолчанию, этот механизм управления доступом, опять же, в достаточной мере бесполезен, поскольку может иметь место множество широко известных атак.
Второй вышеупомянутый способ аутентификации - это так называемый Совместно Используемый Ключ. Эта процедура встроена в базовый механизм обеспечения конфиденциальности, предоставляемый стандартом конфиденциальности уровня проводной связи (WEP), который представляет собой симметричный алгоритм шифрования на основе RC4. Аутентификация как таковая выполняется посредством использования механизма «опознавательный запрос-ответ», при котором обе стороны, а именно карта WLAN и АР показывают, что обладают одинаковым ключом. Однако этот ключ устанавливается и хранится в терминальном оборудовании (TE) и, таким образом, ему характерны те же самые недостатки, что были описаны выше в отношении фильтров МАС.
Помимо этого, некоторое количество недавно опубликованных статей показало фундаментальные недостатки самих механизмов обеспечения конфиденциальности, т.е. недостатки стандартов WEP. Эти недостатки начинаются с использования статических ключей WEP, что позволяет взломщикам самим получить ключи, поскольку векторы инициализации упомянутых алгоритмов посылаются в открытом виде в кадре WEP. Некоторое количество пассивных атак, таких как, например, использование карты WLAN, которая только анализирует трафик, также позволяет определить ключи.
Вначале казалось, что посредством простого обновления ключей с помощью более качественного управления ключами и посредством увеличения их длины, например с 40 до 128 битов, алгоритм можно сделать более надежным или, по меньшей мере, достаточно надежным для достижения приемлемого уровня защиты. Однако все большее и большее количество свежих отчетов показывает, что структура алгоритма сама по себе не может обеспечить приемлемый уровень безопасности.
В настоящее время в промышленности предпринимаются попытки устранить недостатки применяющихся стандартов. В настоящее время IEEE определяет новый стандарт для усовершенствования механизмов аутентификации существующего 802.11b, и результаты могут быть опубликованы в качестве так называемого стандарта 802.1х, озаглавленного "Port-Based Network Access Control" («Управление доступом к сети на основе портов»), но эта работа пока еще не завершена. Более того, в этом подходе учитывается только аутентификация, так что по-прежнему требуется надлежащий алгоритм обеспечения конфиденциальности. В этом отношении современные тенденции предполагают, что WEP можно заменить протоколом, основывающимся на так называемом протоколе усовершенствованной системы шифрования (AES). Тем не менее, механизм аутентификации на основе портов, предлагаемый в 802.1х, имеет существенное воздействие на операционную систему ТЕ и программное обеспечение, применяющееся в АР, поскольку в 802.1х просто пытаются найти замену для механизма аутентификации, основывающегося на WEP, а также для самого WEP.
За короткие сроки массовый переход на этот новый стандарт 802.1х, с по-прежнему неустраненными вышеупомянутыми недостатками, приведет к новым инвестициям в оборудование WLAN, поскольку все точки доступа заданной WLAN должны быть заменены или, по меньшей мере, модернизированы. Кроме того, и это является очевидным, любой механизм обеспечения конфиденциальности WLAN только обеспечивает защиту беспроводного тракта, т.е. между картой WLAN и АР. Однако соответствующий трафик Ethernet за АР вообще не зашифрован.
Таким образом, важной задачей настоящего изобретения на данной стадии является предоставление средств и способов для реализации эффективного механизма аутентификации пользователей WLAN, а также механизма полного шифрования по всему коммуникационному тракту, начинающемуся от терминального оборудования упомянутых пользователей.
Вкратце, и в соответствии с вышеприведенным подробным описанием, аутентификация в используемых в текущий момент стандартах WLAN, а именно 802.11, либо отсутствует, либо основывается на устройстве, когда для аутентификации ТЕ используется физический МАС-адрес карты WLAN. Это, очевидно, нельзя реализовать для случаев масштабного развертывания при условии, что шифрование, достигаемое посредством использования известного своей слабостью протокола WEP, как в случае WLAN, не считается соответствующим для поддержания приемлемой защиты в различных секторах.
В качестве контраста, аутентификация в известных и более новых наземных сетях мобильной связи общего пользования, таких как глобальная система мобильной связи (GSM), общая служба пакетной радиопередачи (GPRS) или универсальная система мобильных телекоммуникаций (UMTS), осуществляется посредством карты модуля идентификации абонента (SIM-карты) и набора протоколов с подтвержденным уровнем защиты и алгоритмов, известных как алгоритмы «Аутентификации и Согласования Ключей» (в дальнейшем обозначаемые как АКА). Так называемая аутентификация на основе SIM основывается на пользователе, поскольку SIM предназначен для персонального использования и защищен персональным идентификационным номером (PIN) доступа.
В настоящее время операторы мобильной связи стремятся расширить свои предложения по доступу к сетям посредством включения широкополосного доступа, и благодаря технологии WLAN возможен доступ при скоростях передачи данных до 11 Мбит/с, при этом затраты на развертывание поддерживаются на весьма низком уровне, в основном благодаря использованию нелицензированной полосы частот в WLAN. Оператор мобильной связи может решить эту задачу посредством установки своей собственной WLAN или посредством подписания соглашений с существующими операторами WLAN, но в любом случае требования в отношении защиты будут, по меньшей мере, такими сильными, как в случае мобильного доступа к базовой сети оператора.
Для решения этой задачи оператор WLAN должен обеспечить механизм аутентификации и шифрования, который подразумевает обладание SIM-картой. Эта SIM-карта должна быть выдана оператором и может быть тем же SIM, что используется для мобильного доступа, либо это может быть SIM, выданный исключительно для целей доступа WLAN.
Известная WLAN, эксплуатируемая третьей стороной, также может иметь своих собственных локальных пользователей, и аутентификация, выполняемая в отношении упомянутых локальных пользователей, полностью является прерогативой оператора WLAN. Например, эта аутентификация для локальных пользователей может просто основываться на идентификационных данных пользователя и пароле, или какая-либо защита может вообще отсутствовать. Однако, для тех пользователей, которые являются абонентами оператора мобильной связи, аутентификация и другие связанные с безопасностью аспекты должны быть сравнимы с аспектами в сети оператора мобильной связи. С другой стороны, WLAN, развернутая и эксплуатируемая только оператором мобильной связи, должна отказывать в доступе пользователям, не относящимся к этому оператору мобильной связи, и должна только реализовывать механизмы аутентификации, основывающиеся на SIM-карте.
Тем не менее, любая попытка внедрить новые и более защищенные механизмы аутентификации и шифрования в WLAN должны быть ориентированы на оказание настолько малых воздействий на текущие сценарии WLAN, насколько это возможно.
Весьма интересная попытка решить вышеописанные проблемы изложена в публикации патентной заявки США 2002/0009199, озаглавленной "Arranging Data Ciphering in a Wireless Telecommunication System". Среди основных аспектов этой заявки также представлена схема аутентификации на основе SIM.
Однако, данная схема аутентификации на основе SIM предназначена для получения ключа шифрования, который используется в качестве ключа собственного алгоритма WEP протокола 802.11 для шифрования трафика между ТЕ и АР. Основным преимуществом, обеспечиваемым этой заявкой по отношению к известным возможностям WEP, является добавление нового механизма для обновления ключей один раз за сеанс. Не считая этого, данная заявка в основном представляет собой модифицированную версию текущих стандартов WEP и не решает фундаментальных проблем, поставленных выше для исходной версии WEP.
Однако в разных секторах промышленности были сделаны оценки, согласно которым в результате широко известных атак WEP ключ WEP может быть получен менее чем за два часа. Очевидно, что если ключ WEP является статическим и никогда не обновляется, как в исходной версии WEP, эта проблема является значительно более существенной. Следовательно, с помощью подхода, представленного в US 2002/0009199, данная проблема ограничена пределами длительности конкретного сеанса, и, если сеанс растягивается на несколько часов, то возникает та же проблема, что и ранее. Этого, очевидно, является недостаточным для обеспечения уровней защиты, аналогичных тем, что используются в настоящее время в сетях мобильной связи общего пользования.
В этом плане задачей настоящего изобретения является достижение значительно более высокого уровня защиты, позволяющего оператору выбирать алгоритм шифрования, который наилучшим образом соответствует потребностям в отношении защиты. Следует отметить, что обычно имеет место компромисс между уровнем защиты и производительностью. Следовательно, дополнительные функциональные возможности, такие как поддержка ключей с длиной 128, 168, 256 битов и т.д., а также поддержка самых новых наиболее защищенных алгоритмов, например AES, и процедуры обращения ключей, можно считать другой задачей настоящего изобретения.
Более того, согласно вышеупомянутой заявке US 2002/0009199 шифрованный тракт идет от мобильного терминала к АР, поскольку WEP применим только для радиотракта. В этом плане, еще одной задачей настоящего изобретения является поддержка шифрованного тракта, подлежащего установлению за АР и также охватывающего проводную часть WLAN.
Более того, согласно US 2002/0009199, назначение адреса межсетевого протокола (IP) осуществляется перед выполнением процесса аутентификации, и, следовательно, злоумышленный пользователь потенциально может инициировать целый набор широко известных атак. Однако если бы у пользователя не было средств получить возможность соединения по IP до выполнения в отношении него эффективной аутентификации, то риск бы значительно уменьшился. Таким образом, еще одной задачей настоящего изобретения является обеспечение механизма аутентификации для пользователя, подлежащего выполнению перед предоставлением возможности соединения по IP для данного пользователя.
С другой стороны, в заявках US 2002/012433 и WO 01/76297 раскрыта, посредством ряда общих иллюстративных вариантов осуществления, система, в которой терминал, выполненный с возможностью беспроводной связи, может подсоединяться к опорной сети мобильной связи через сеть беспроводного доступа, поддерживающую IP. Опорная сеть мобильной связи отвечает за выполнение аутентификации пользователя с помощью аутентификации на основе SIM, в то время как сеть беспроводного доступа, поддерживающая IP, позволяет пользователю осуществить доступ к сети Интернет после аутентификации. Терминал беспроводной связи, сеть беспроводного доступа, поддерживающая IP, и сеть мобильной связи сообщаются по протоколу IP для мобильной связи. Система также включает в себя контроллер общего доступа для управления доступом из сети радиодоступа к услугам Интернет. Этот контроллер общего доступа выделяет IP-адрес терминалу беспроводной связи и выполняет аутентификацию этого терминала беспроводной связи перед установлением соединения с Интернет, и ретранслирует сообщения аутентификации между терминалом беспроводной связи и опорной сетью мобильной связи. Более того, интерфейс между терминалом беспроводной связи и контроллером общего доступа представляет собой интерфейс, основывающийся на IP, при этом терминал беспроводной связи и контроллер общего доступа идентифицируются друг по отношению к другу посредством соответствующих IP-адресов. Тот факт, что терминал беспроводной связи и контроллер общего доступа используют протокол, основывающийся на IP, подчеркивает, что терминалу беспроводной связи IP-адрес назначен с самого начала, этот IP-адрес посылается контроллером общего доступа данному терминалу беспроводной связи до установления связи по защищенному каналу. Таким образом, имеет место та же самая проблема, что и связанная с вышеописанной заявкой US 2002/0009199, вследствие того факта, что назначение IP-адреса выполняется перед выполнением процесса аутентификации, и следовательно, злоумышленный пользователь потенциально может инициировать весь набор широко известных атак.
Вкратце, важной задачей настоящего изобретения является предоставление системы, средств и способов для обеспечения эффективной аутентификации пользователя на основе SIM и для установления полностью зашифрованного тракта, начинающегося от ТЕ, для пользователей WLAN, которые являются абонентами наземной сети мобильной связи общего пользования. Другая возможная задача состоит в том, что эту аутентификацию пользователя на основе SIM можно выполнить перед предоставлением упомянутому пользователю возможности соединения по IP.
Еще одной задачей настоящего изобретения является поддержка ключей переменной длины, использование алгоритмов защиты по выбору оператора и предоставление процедуры обращения ключей.
Еще одной задачей настоящего изобретения является решение вышеупомянутых задач с минимальным воздействием на известные сценарии WLAN.
Сущность изобретения
Задачи настоящего изобретения решаются посредством способа обеспечения аутентификации на основе SIM для пользователей беспроводной сети, которые являются абонентами наземной сети мобильной связи общего пользования, посредством механизма аутентификации канального уровня (уровня 2). Важным аспектом данного способа является то, что возможность соединения по IP предоставляется пользователю только после успешного завершения процесса аутентификации.
Таким образом, задачи настоящего изобретения решаются посредством способа, согласно которому терминал мобильной связи находит доступную точку доступа и запрашивает подсоединение к беспроводной локальной сети, и точка доступа принимает данный запрос. Затем терминал беспроводной связи инициирует обнаружение контроллера доступа, расположенного между точкой доступа и наземной сетью мобильной связи общего пользования.
Затем терминал беспроводной связи посылает идентификатор пользователя непосредственно поверх протокола двухточечного соединения уровня 2 контроллеру доступа, который перемещает идентификатор пользователя, принятый поверх протокола двухточечного соединения уровня 2, к вышерасположенному протоколу аутентификации, находящемуся на прикладном уровне.
Вслед за этим контроллер доступа посылает идентификатор пользователя шлюзу аутентификации в наземной сети мобильной связи для инициирования процедуры аутентификации.
После начала процесса аутентификации контроллер доступа принимает опознавательный запрос от наземной сети мобильной связи общего пользования через шлюз аутентификации и перемещает опознавательный запрос аутентификации, принятый по тому же самому протоколу на прикладном уровне, на вершину нижерасположенного протокола двухточечного соединения уровня 2. Опознавательный запрос аутентификации посылается контроллером доступа терминалу беспроводной связи для извлечения ответа аутентификации.
Затем терминал беспроводной связи может послать ответ аутентификации непосредственно поверх протокола двухточечного соединения уровня 2 контроллеру доступа, который перемещает ответ аутентификации, принятый поверх протокола двухточечного соединения уровня 2, к вышерасположенному протоколу аутентификации на прикладном уровне. Ответ аутентификации посылается шлюзу аутентификации от контроллера доступа, который принимает ключ шифрования из наземной сети мобильной связи общего пользования через шлюз аутентификации.
Вслед за этим контроллер доступа извлекает ключ шифрования, принятый по протоколу прикладного уровня, для последующего шифрования коммуникационного тракта с помощью терминала беспроводной связи, и контроллер доступа посылает терминалу беспроводной связи назначенный IP-адрес и другие параметры конфигурации сети.
Это обеспечивает преимущества, состоящие в том, что для мобильного терминала добавлен механизм защищенной аутентификации, аналогичный механизмам, используемым в сети радиосвязи, во всем коммуникационном тракте, что означает, что данный терминал получает конфиденциальность в беспроводном тракте и в проводном тракте. Операторы могут расширять свои сети доступа, предлагая локальный широкополосный доступ (11 Мбит/с) при весьма низкой стоимости.
Также для решения задач настоящего изобретения предоставляется контроллер доступа, который содержит сервер двухточечного соединения, находящийся на уровне 2 модели взаимодействия открытых систем (OSI) и предназначенный для связи с терминалом беспроводной связи, и протокол аутентифкации, находящийся на прикладном уровне модели OSI для связи с наземной сетью мобильной связи общего пользования. Более того, этот контроллер доступа дополнительно содержит средство для перемещения информации, принятой поверх протокола двухточечного соединения уровня 2, к соответствующему вышерасположенному протоколу аутентификации, находящемуся на прикладном уровне. Аналогично, контроллер доступа также содержит средство для перемещения информации, принятой по протоколу аутентификации, находящемуся на прикладном уровне, на вершину нижерасположенного протокола двухточечного соединения уровня 2.
Для наиболее полной реализации задач настоящего изобретения также предоставляется терминал беспроводной связи, имеющий функциональные возможности работы в качестве клиента протокола двухточечного соединения уровня 2 и имеющий расширяемый протокол аутентификации поверх этого протокола двухточечного соединения уровня 2.
Результатом совокупного решения, обеспечиваемого настоящим изобретением, является телекоммуникационная система, содержащая беспроводную локальную сеть, которая включает в себя по меньшей мере одну точку доступа, наземную сеть мобильной связи общего пользования, по меньшей мере один терминал беспроводной связи, аналогичный вышеописанному, и контроллер доступа, аналогичный вышеописанному.
Перечень чертежей
Признаки, задачи и преимущества настоящего изобретения станут более понятными при прочтении этого описания совместно с сопровождающими чертежами, на которых:
Фиг.1 - предпочтительный вариант осуществления того, как пользователь обычной сети мобильной связи, осуществляющий доступ через WLAN, доступ к которой могут также осуществить мобильные и немобильные пользователи, может быть аутентифицирован его собственной сетью мобильной связи и может иметь зашифрованный тракт от ТЕ до его собственной сети мобильной связи.
Фиг.2 - упрощенная архитектура, по сравнению с архитектурой по Фиг.1, которая применима для WLAN, доступ к которой осуществляют только пользователи наземной сети мобильной связи общего пользования.
Фиг.3 - схематическое изображение варианта осуществления контроллера доступа, содержащего сервер РРРоЕ и клиент RADIUS (службы аутентификации удаленных пользователей по коммутируемым каналам связи), в котором имеется расширяемый протокол аутентификации.
Фиг.4 - общая схема иллюстративной последовательности операций, выполняемой от ТЕ в сеть мобильной связи и по объектам WLAN для выполнения аутентификации пользователя на основе SIM.
Подробное описание предпочтительных вариантов осуществления
Далее описываются предпочтительные на текущий момент варианты осуществления средств, способов и системы для обеспечения эффективной аутентификации на основе SIM и для установления полностью зашифрованного тракта, начинающегося от ТЕ, для пользователей WLAN, которые являются абонентами наземной сети мобильной связи общего пользования. В соответствии с аспектом настоящего изобретения, эта аутентификация пользователя на основе SIM выполняется перед предоставлением упомянутому пользователю возможности соединения по IP.
Таким образом, общий эскиз всего предпочтительного варианта осуществления представлен на Фиг.1, где показан общий сценарий, согласно которому абоненты наземной сети мобильной связи общего пользования (GSM/GPRS/UMTS), а также другие локальные немобильные пользователи, осуществляют доступ к беспроводной локальной сети (WLAN). Согласно этому общему сценарию по Фиг.1 предложена исключительно простая архитектура, нацеленная на минимизацию воздействия на существующую известную WLAN для реализации одной из задач настоящего изобретения. Эта относительно простая архитектура включает в себя различные объекты из WLAN и из наземной сети мобильной связи общего пользования, которые описываются далее. На Фиг.2 представлена еще более упрощенная архитектура согласно другому варианту осуществления настоящего изобретения для WLAN, предоставляющей доступ только абонентам наземной сети мобильной связи общего пользования, исключая локальных пользователей WLAN.
Первым объектом на Фиг.1 и 2 является терминальное оборудование (ТЕ), которое оснащено необходимыми аппаратными и программными средствами для непосредственного взаимодействия с SIM-картой пользователя, а также для отправки и приема требующейся сигнальной информации в соответствии с протоколом аутентификации и согласования ключей (АКА). ТЕ также включает в себя программные средства, необходимые для реализации протокола двухточечного соединения поверх Ethernet (PPPoE) на стороне клиента в соответствии с RFC 2516.
Включение такого клиента РРРоЕ обеспечивает возможность установления сеанса протокола двухточечного соединения (РРР) с конкретным сервером в домене WLAN. Это весьма подходящий вариант осуществления для приведения в действие существующих механизмов аутентификации, например расширяемого протокола аутентификации (ЕАР) и протоколов шифрования, таких как соответствующий RFC 1968 протокол управления шифрованием РРР (в дальнейшем называемый «шифрованный РРР»), который распространяет шифрованный тракт на проводную часть WLAN, тем самым предлагая значительно более высокий уровень защиты. Компонент, аналогичный этому клиенту РРРоЕ, является основной частью предлагаемого решения.
Другие объекты в сценариях по Фиг.1 и 2 - точки доступа, которые функционируют как простые стандартные радиостанции в соответствии со стандартом 802.11b без каких-либо дополнительных логических средств. В отличие от других возможных решений, как было пояснено в отношении стандарта 802.1х, подлежащего скорому введению в действие, предлагаемый в настоящем изобретении подход позволяет повторно использовать недорогие существующие аппаратные средства вместо замены или модернизации всех точек доступа (АР), имеющихся в WLAN. Эти неизмененные АР могут работать в соответствии с этим сценарием с отключенной поддержкой WEP, поскольку сам по себе WEP обеспечивает невысокий уровень защиты по сравнению с механизмами защиты, реализованными поверх уровня РРРоЕ.
В соответствии с этим аспектом настоящего изобретения, предоставляется новый объект, контроллер доступа (в дальнейшем обозначаемый АС), как на Фиг.1, так и на Фиг.2, который включает в себя требующиеся функциональные возможности сервера РРРоЕ. Этот сервер РРРоЕ автоматически обнаруживается терминальным оборудованием (ТЕ) посредством встроенного механизма в протоколе РРРоЕ, а именно посредством квитирования установления связи, инициируемого посредством широковещательного сообщения. Этот контроллер доступа (АС) также содержит функциональные возможности клиента RADIUS, отвечающего за сбор информации о полномочиях клиента, принимаемой посредством атрибутов ЕАР, переносимых поверх РРР, и отправки этой информации обычному серверу аутентификации WLAN (WLAN-AS), также посредством атрибутов ЕАР, теперь переносимых поверх сообщений RADIUS. Такой компонент, как этот контроллер доступа (АС), также является основной частью для целей настоящего изобретения.
Как контроллер доступа, так и вышеупомянутый клиент РРРоЕ, который встроен в терминальное оборудование, являются взаимодействующими объектами, предназначенными для туннелирования процедуры аутентификации, выполняемой по принципу «опознавательный запрос-ответ», а также для установления зашифрованного тракта.
Еще одним объектом, присутствующим только в наиболее общем сценарии, показанном на Фиг.1, является сервер аутентификации WLAN (WLAN-AS), который реализует функциональные возможности локального средства аутентификации для локальных пользователей WLAN, не относящихся к оператору мобильной связи, которые, таким образом, могут быть аутентифицированы другими способами, например, на основе простого совпадения имени и пароля пользователя. Этот WLAN-AS также играет роль посредника RADIUS при приеме сообщений аутентификации от контроллера доступа и пересылке их шлюзу аутентификации (в дальнейшем обозначаемого AG) в домене оператора наземной сети мобильной связи общего пользования.
WLAN-AS в целях настоящего изобретения требуется только для аутентификации собственных пользователей WLAN, которые не являются мобильными абонентами наземной сети мобильной связи общего пользования. Следовательно, в WLAN, предназначенной для предоставления доступа только для абонентов сети мобильной связи, можно исключить подобный объект без воздействия на аутентификацию упомянутых мобильных абонентов и установление зашифрованного тракта, а также на объем настоящего изобретения. В связи с этим, на Фиг.2 представлен вариант осуществления упрощенной архитектуры для WLAN, предоставляющей доступ только абонентам наземной сети мобильной связи общего пользования в соответствии с вышеприведенными пояснениями, в которую WLAN-AS, таким образом, не включен.
Еще одним объектом, включенным в сценарии по Фиг.1 и 2, является шлюз аутентификации (в дальнейшем обозначаемый AG), сам по себе или, что более вероятно, во взаимодействии с опорным реестром местоположения (HLR), предназначенным для хранения данных о пользователях, соответствующих мобильным абонентам. Этот шлюз аутентификации (AG), сам по себе или во взаимодействии с HLR, действует в качестве серверов управления базой данных внутри домена оператора и отвечает за формирование векторов аутентификации согласно протоколу АКА для известных и более новых наземных сетей мобильной связи общего пользования, таких как GSM, GPRS и UMTS. Эти компоненты, а именно AG и HLR, могут представлять собой физически разделенные объекты, которые сообщаются друг с другом по протоколу части мобильных приложений (МАР), либо они могут представлять собой единый логический объект, действующий в качестве сервера RADIUS со встроенной базой данных абонентов, совместно с реализацией необходимых алгоритмов АКА, таких как широко известные А5, А8 и т.п. В последнем из двух подходов осуществление связи с HLR, таким образом, необходимым не является, что проиллюстрировано на примере по Фиг.2.
Вкратце, контроллер доступа, вышеупомянутый клиент РРРоЕ, который встроен в терминальное оборудование, и шлюз аутентификации являются основными объектами для цели настоящего изобретения. Конкретное описание функций, которыми обладают такие объекты, является просто иллюстративным и неограничивающим.
На Фиг.3 показаны разные уровни протоколов, включенные в контроллер доступа (АС) со ссылкой на модель взаимодействия открытых систем (OSI). Сервер РРРоЕ, находящийся под уровнем IP, содержит уровень протокола РРРоЕ, который естественным образом располагается поверх уровня Ethernet, и имеет встроенный вышеупомянутый ЕАР. Аналогично, клиент RADIUS имеет уровень протокола RADIUS, имеет встроенный ЕАР и располагается поверх уровня UDP, причем оба упомянутых уровня располагаются поверх уровня IP.
В то же время способ, которым разные элементы реализуют некоторые аспекты настоящего изобретения согласно предпочтительными в настоящее время вариантами осуществления, описывается ниже со ссылкой на последовательность операций, изображенную на Фиг.4.
Вышеупомянутое терминальное оборудование (ТЕ) оснащено адаптером мобильного терминала связи (МТА), который обеспечивает возможность доступа к SIM-карте, которую несет мобильный терминал. Это ТЕ имеет приемопередатчик для осуществления связи (С-401, С-402) с АР из состава WLAN и включает в себя соответствующий программный стек для реализации протокола РРРоЕ в соответствии с RFC 2516.
Контроллер доступа (АС) имеет встроенный сервер РРРоЕ. Обнаружение сервера РРРоЕ клиентом РРРоЕ является неотъемлемой частью самого протокола (С-403, С-404, С-405, С-406). Идентификационные данные, используемые ТЕ в линии связи РРР (С-407, С-408) представляют собой идентификатор доступа к сети (NAI), который вводится пользователем для установления требующихся сеансов связи по коммутируемым каналам, и область которого используется для идентификации пользователя как абонента заданного оператора мобильной связи. Никакого пароля не требуется, поскольку аутентификация выполняется другим способом. В качестве альтернативы, вместо посылки NAI IMSI (международный опознавательный код абонента мобильной связи) может быть извлечен из SIM-карты и послан в качестве идентификационных данных пользователя. Это следует использовать только тогда, когда посылка IMSI в виде простого текста является приемлемой, что не всегда выполняется.
Приняв идентификационные данные пользователя с помощью механизмов ЕАР, контроллер доступа (АС) задействует клиент RADIUS для посылки (С-409) сообщений аутентификации серверу WLAN-AS. Расширяемый протокол аутентификации (ЕАР) исполняется поверх РРР и RADIUS для переноса информации аутентификации между ТЕ и AG. Механизм аутентификации, подлежащий использованию внутри ЕАР, может быть обычным АКА, используемым в наземных сетях мобильной связи общего пользования. Как уже было отмечено ранее, WLAN-AS действует в качестве сервера аутентификации для обычных пользователей WLAN, аутентификация которых не основывается на SIM, и в качестве посредника аутентификации для тех пользователей, часть области NAI которых идентифицирует их как абонентов сети мобильной связи, тем самым используя аутентификацию на основе SIM. Затем, при функционировании в качестве посредника аутентификации, WLAN-AS пересылает (С-410) принятые сообщения аутентификации шлюзу аутентификации (AG).
Когда шлюз аутентификации (AG) принимает (С-410) запрос аутентификации, он запрашивает HLR в отношении вектора аутентификации (С-411), триплета или квинтета, посредством использования интерфейса МАР. Для выполнения этой задачи шлюз аутентификации (AG) должен знать IMSI абонента, NAI которого был послан в сообщении RADIUS. Этот IMSI можно обнаружить посредством поиска в базе данных каталога, например. HLR в ответ посылает в обратном направлении запрошенную информацию аутентификации (С-412) для пользователя.
Затем AG инкапсулирует компонент RAND вектора аутентификации в атрибут ЕАР и посылает его в обратном направлении через WLAN-AS (С-413) на АС (С-414) внутри сообщения RADIUS. Следует отметить, что для пользователя более новых сетей мобильной связи типа UMTS также может понадобиться посылка сообщения типа AUTN.
АС затем пересылает (С-415) принятую информацию ЕАР ТЕ в сообщении РРР. Следует отметить, что АС ведет себя в данном случае как «транзитная пересылка» информации ЕАР между «несущими» протоколами, такими как РРР и RADIUS.
Когда ТЕ принимает информацию ЕАР, то извлекает номер RAND и использует его для выполнения опознавательного запроса в отношении SIM и формирования ответа (RES), который посылается в обратном направлении (С-416, С-417, С-418) AG через ЕАР опять же поверх РРР и RADIUS. Как и прежде, для пользователей UMTS ТЕ сначала выполняет аутентификацию сети на основе AUTN. На этом этапе следует отметить, что ТЕ генерирует ключ шифрования, следуя стандартным алгоритмам, определенным в АКА. Этот ключ используется в качестве начального числа, а именно материала для формирования ключей, для получения одного или нескольких сеансовых ключей, подлежащих использованию с протоколом управления шифрованием РРР, заданным в RFC 1968, и любым из существующих алгоритмов шифрования РРР, например, протокол шифрования тройной DES (triple-DES) РРР, RFC 2420.
AG принимает (С-418) ответ ЕАР и проверяет действительность опознавательного запроса. Ключ шифрования (Кс) АКА был принят ранее в векторе аутентификации от HLR, скорее всего во взаимодействии с центром аутентификации (AuC) (не показан). AG передает затем ключ шифрования (Кс) АКА на АС (С-419, С-420), на котором размещен сервер РРРоЕ. Это может быть выполнено в сообщении RADIUS Access-Accept (Доступ-Принятие), где передается ЕАР-Success (EAP-Успех), но поскольку эта команда ЕАР не может переносить каких-либо дополнительных данных, атрибут RADIUS, зависящий от поставщика (VSA), может оказаться более целесообразным вариантом выбора.
На этом этапе АС принимает (С-420) сообщение RADIUS Access-Accept и запрашивает IP-адрес у сервера протокола динамического конфигурирования хоста (DHCP), и этот IP-адрес подлежит последующей отправке ТЕ. АС следует тому же самому алгоритму, что и ТЕ для получения сеансовых ключей на основе ключа (Кс) шифрования АКА, подлежащих использованию с протоколом управления шифрованием РРР и выбранным алгоритмом шифрования РРР (3DES, например). Наконец, АС посылает (С-421) ТЕ сообщение ЕАР-Success совместно с другими конфигурационными параметрами, предназначенными для упомянутого ТЕ, такими как IP-адрес, маска подсети IP, серверы DNS (доменного пространства имен) и т.п. Таким образом, линия связи РРР оказывается полностью установленной и готовой к переводу в сетевую фазу.
1. Способ обеспечения возможности аутентификации на основе модуля идентификации абонента (SIM) для пользователя беспроводной локальной сети, который является абонентом наземной сети мобильной связи общего пользования, при этом способ содержит этапы, на которых
(a) посредством терминала беспроводной связи осуществляют доступ к беспроводной локальной сети через доступную точку доступа этой беспроводной локальной сети,
(b) обнаруживают контроллер доступа, расположенный между точкой доступа и наземной сетью мобильной связи общего пользования, с терминала беспроводной связи;
(c) выполняют основывающуюся на SIM процедуру аутентификации по принципу «опознавательный запрос - ответ» между терминалом беспроводной связи и наземной сетью мобильной связи общего пользования через контроллер доступа, при этом терминал беспроводной связи обеспечен SIM-картой и выполнен с возможностью считывания данных с нее,
при этом способ отличается тем, что пересылки информации при основывающейся на SIM аутентификации, выполняемой по принципу «опознавательный запрос - ответ», по этапу с) осуществляют перед предоставлением пользователю возможности соединения по межсетевому протоколу (IP) и выполняют
поверх протокола двухточечного соединения уровня 2, являющегося протоколом двухточечного соединения поверх Eternet (PPPoE) между терминалом беспроводной связи и контроллером доступа;
по протоколу аутентификации, размещенному на прикладном уровне, между наземной сетью мобильной связи общего пользования и контроллером доступа,
при этом способ дополнительно включает в себя этап, на котором
(d) предоставляют пользователю возможность соединения по IP на терминале беспроводной связи посредством отправки назначенного IP-адреса и других параметров конфигурации сети после того, как основывающаяся на SIM процедура аутентификации, выполняемая по принципу «опознавательный запрос - ответ», завершена успешно между наземной сетью мобильной связи общего пользования и терминалом беспроводной связи.
2. Способ по п.1, отличающийся тем, что этап b) обнаружения контроллера доступа включает в себя этап, на котором устанавливают сеанс протокола двухточечного соединения между клиентом протокола двухточечного соединения поверх Ethernet (PPPoE) в терминале беспроводной связи и сервером протокола двухточечного соединения поверх Ethernet (PPPoE) в контроллере доступа.
3. Способ по п.1, отличающийся тем, что этап с) выполнения основывающейся на SIM процедуры аутентификации по принципу «опознавательный запрос - ответ» включает в себя этапы, на которых
(с1) посылают идентификатор пользователя от терминала беспроводной связи в наземную сеть мобильной связи общего пользования через контроллер доступа;
(с2) принимают опознавательный запрос аутентификации на терминале беспроводной связи от наземной сети мобильной связи общего пользования через контроллер доступа;
(с3) извлекают ключ шифрования и ответ аутентификации на терминале беспроводной связи из принятого опознавательного запроса;
(с4) посылают ответ аутентификации от терминала беспроводной связи в наземную сеть мобильной связи общего пользования через контроллер доступа;
(с5) принимают на контроллере доступа ключ шифрования от наземной сети мобильной связи общего пользования;
(с6) извлекают принятый ключ шифрования для последующего шифрования коммуникационного тракта с помощью терминала беспроводной связи.
4. Способ по п.2, отличающийся тем, что дополнительно содержит этап, на котором перемещают информацию аутентификации, принятую поверх протокола двухточечного соединения уровня 2 (РРРоЕ), к вышерасположенному протоколу аутентификации, находящемуся на прикладном уровне, для пересылки наземной сети мобильной связи общего пользования.
5. Способ по п.4, отличающийся тем, что дополнительно содержит этап, на котором перемещают информацию аутентификации, принятую по протоколу аутентификации, находящемуся на прикладном уровне, на вершину нижерасположенного протокола двухточечного соединения уровня 2 (РРРоЕ) для пересылки терминалу беспроводной связи.
6. Способ по п.3, отличающийся тем, что дополнительно содержит этап, на котором на терминале беспроводной связи устанавливают симметричный шифрованный тракт посредством отправки ранее извлеченных ключей шифрования на контроллере доступа и терминале беспроводной связи.
7. Способ по п.1, отличающийся тем, что этап d) отправки IP-адреса включает в себя предшествующий ему этап, на котором запрашивают этот IP-адрес у сервера протокола динамического конфигурирования хоста.
8. Способ по п.1, отличающийся тем, что связь между контроллером доступа и наземной сетью мобильной связи общего пользования осуществляют через шлюз аутентификации упомянутой наземной сети мобильной связи общего пользования.
9. Способ по п.8, отличающийся тем, что связь между контроллером доступа и шлюзом аутентификации наземной сети мобильной связи общего пользования осуществляют через сервер аутентификации беспроводной локальной сети, ответственный за аутентификацию локальных пользователей упомянутой беспроводной локальной сети, которые не являются мобильными абонентами.
10. Способ по п.3, отличающийся тем, что идентификатор пользователя на этапе с1) содержит идентификатор доступа к сети.
11. Способ по п.3, отличающийся тем, что идентификатор пользователя на этапе с1) содержит международный опознавательный код абонента мобильной связи.
12. Способ по п.1, отличающийся тем, что протокол аутентификации, находящийся на прикладном уровне на этапе с), представляет собой расширяемый протокол аутентификации.
13. Способ по п.12, отличающийся тем, что транспорт расширяемого протокола аутентификации осуществляют поверх протокола услуги аутентификации удаленных пользователей по коммутируемым каналам связи (RADIUS).
14. Способ по п.12, отличающийся тем, что транспорт расширяемого протокола аутентификации осуществляют поверх протокола Diameter.
15. Контроллер доступа, предназначенный для обеспечения возможности аутентификации на основе модуля идентификации абонента (SIM) для пользователя беспроводной локальной сети, который является абонентом наземной сети мобильной связи общего пользования, причем беспроводная локальная сеть включает в себя по меньшей мере одну точку доступа, через которую пользователь с помощью терминала беспроводной связи осуществляет доступ к этой беспроводной локальной сети, при этом терминал беспроводной связи обеспечен картой модуля идентификации абонента (SIM-картой) и выполнен с возможностью считывания данных абонента с нее, при этом контроллер доступа отличается тем, что содержит
(а) сервер протокола двухточечного соединения уровня 2 (РРРоЕ) для связи с беспроводным терминалом, выполненный с возможностью туннелирования основывающейся на SIM процедуры аутентификации, выполняемой по принципу «опознавательный запрос - ответ»;
(b) протокол аутентификации, находящийся на прикладном уровне модели взаимодействия открытых систем (OSI), для связи с наземной сетью мобильной связи общего пользования.
16. Контроллер доступа по п.15, отличающийся тем, что дополнительно содержит
(a) средство для перемещения информации, принятой поверх протокола двухточечного соединения уровня 2 (РРРоЕ), к вышерасположенному протоколу аутентификации, находящемуся на прикладном уровне;
(b) средство для перемещения информации, принятой по протоколу аутентификации, находящемуся на прикладном уровне, на вершину нижерасположенного протокола двухточечного соединения уровня 2 (РРРоЕ).
17. Контроллер доступа по п.16, отличающийся тем, что дополнительно содержит средство для выполнения запроса адреса межсетевого протокола (IP-адреса) у сервера протокола динамического конфигурирования хвоста после того, как основывающаяся на SIM процедура аутентификации, выполняемая по принципу« опознавательный запрос - ответ», успешно завершена между наземной сетью мобильной связи общего пользования и терминалом беспроводной связи.
18. Контроллер доступа по п.17, отличающийся тем, что выполнен с возможностью осуществления связи с терминалом беспроводной связи через точку доступа беспроводной локальной сети.
19. Контроллер доступа по п.17, отличающийся тем, что выполнен с возможностью осуществления связи с наземной сетью мобильной связи общего пользования через шлюз аутентификации.
20. Контроллер доступа по п.17, отличающийся тем, что выполнен с возможностью осуществления связи со шлюзом аутентификации через сервер аутентификации, отвечающий за аутентификацию локальных пользователей беспроводной локальной сети.
21. Контроллер доступа по п.15, отличающийся тем, что протокол аутентификации, находящийся на прикладном уровне, представляет собой расширяемый протокол аутентификации.
22. Контроллер доступа по п.21, отличающийся тем, что транспорт расширяемого протокола аутентификации осуществляется поверх протокола услуги аутентификации удаленных пользователей по коммутируемым каналам связи (RADIUS).
23. Контроллер доступа по п.21, отличающийся тем, что транспорт расширяемого протокола аутентификации осуществляется поверх протокола Diameter.
24. Терминал беспроводной связи, выполненный с возможностью функционирования в качестве клиента протокола двухточечного соединения уровня 2 (РРРоЕ) и имеющий расширяемый протокол аутентификации поверх этого протокола двухточечного соединения уровня 2.
25. Телекоммуникационная система, содержащая беспроводную локальную сеть, включающую в себя по меньшей мере одну точку доступа, наземную сеть мобильной связи общего пользования и по меньшей мере один терминал беспроводной связи, обеспеченный картой модуля идентификации абонента (SIM-картой) и выполненный с возможностью считывания с нее данных абонента, отличающаяся тем, что дополнительно содержит контроллер доступа по любому из пп.15-23 для обеспечения возможности аутентификации абонента на основе SIM для пользователей беспроводной локальной сети, которые являются абонентами наземной сети мобильной связи общего пользования.
