专利名称：在终端设备中使用公开密钥密钥对,让网络运营商和商业伙伴对电信用户进行鉴别和授权的制作方法
技术领域：
本发明涉及检验一个用户对电信网的接入装置或对通过该网可达到的其它的业务提供商的权限(鉴别和/或授权)的装置和方法。
按照譬如GSM标准，一个GSM移动站(手机)使用一个用户的SIM卡，该卡包括一个识别SIM卡的、网络运营商也知道的密文，(共用密文)以及包括一个使用移动无线台的用户可查询的PIN号码。通过一个合适的协议(譬如查问应答协议以进行GSM鉴别)，网络运营商可识别一个用户的SIM卡，并且譬如许可或拒绝用户使用移动无线网。这种方法却只适用于在n∶1比例情况下进行鉴别(譬如让一个网络运营商鉴别移动无线网的n个潜在的用户)，但是，让多个潜在的(已知预先未商定)商业伙伴鉴别所述的用户(n∶m比例)，是不适用的。
因此，本发明的任务是，使得有可能让电信用户通过具有一个电信用户识别模块的电信终端设备使用的电信网的接入装置，为进行一定的业务和事务处理，对电信用户做简单有效的鉴别和授权。这个任务分别由独立权利要求的内容解决。
本发明允许让电信用户通过该电信网(处理业务如事务处理等等)进行通信联络的电信网，对电信用户进行简单有效地鉴别，并且也允许让第三方对规定的业务如事务处理(秘密电子邮件、银行业务、付款等等)进行简单有效地鉴别和/或授权。
本发明所述的方法也可在n∶m比例情况下在专门网络中等等所起的作用是，譬如让最终用户之间进行对等事务处理的多个(m)连通性提供商，通过电信终端设备的电信用户识别模块鉴别潜在的电信用户，本发明所述的方法允许在使用公开密钥密钥对时产生附加应用(关于预约、转移等等的法律责任)，允许在不提高终端设备一端的硬件的费用情况下，多次使用现有的部件(电信用户识别模块)，并且建立高度安全性。
所述的方法特别适用于，让因特网协议网络为使用该网、甚至为使用通过因特网协议网络提供给第三方的业务来鉴别移动终端设备。
本发明的其它特征和优点将就附图由从属权利要求和对一个实施例的如下说明给出。图中
图1以方框图的形式示出了本发明所述的权限检验图1示出了一个电信终端设备1(移动结点MN譬如用于GSM、UMTS等等的蜂窝移动无线终端设备)，它具有一个与此连接的(譬如插在其中)的电信用户识别模块2(譬如SIM、WSIM、一个U-SIM的UICC等等)，还示出了一个受访的电信网3(譬如一个移动电信网的一个因特网协议网等等)，它具有一个通向电信网3的接入装置4(AP＝访问点)、具有一个网络管理装置5(NMT＝网络管理工具)、和一个接入管理级6(PDP＝政策决策点)。从电信终端设备1的用户使用的电信网3中，连接着一个认证装置7，该认证装置7提供了由它产生的数字证书以及分配给该数字证书的状态数据的公开访问的目录索引(在同一个电信网3中或在另一个电信网8中或在另一个操作员那里、或在由电信网3的单元访问的可信中心内)，在关于执行业务方面，以检验存储在电信终端设备1的识别数据(MSISDN等等)、数字证书，并且以查询电信用户1的所属的状态数据。这些业务包括譬如传输业务、特别是包括使用电信网3、甚至和/或通过电信网3与提供商9一起实施应用业务譬如涉及地点的业务、和/或事务处理譬如预约、转移等等。
电信终端设备1的用户，对处于对方的网络3的运营商和/或一个提供商9(在电信网3内或外，譬如还有一个只通过电信网3提供其业务的、与电信网无关的第三方)，证实其权限可要求使用提供商3或9的业务，也即进行鉴别和/或授权。只要检验了识别数据(MSISDN等等)和电信用户1(或电信用户识别模块2)的权限，则就可让电信网3或业务9(譬如NMT(5)的)实现鉴别和/或授权。
在此，通过检验一个或多个在该电信用户识别模块2中存储的数字证书以及在使用非对称(基于PKI)的密钥对的同样在电信用户识别模块2存储的私有密钥的情况下，就可实现检验电信用户1的识别数据和权限。譬如在授权批准检验方法的范围内，在试图将电信用户终端设备1注册在电信网3的时候，在NMT、接入装置AP4和电信用户终端设备1之间通过检验数字证书/多份数字证书和查询认证装置7中所属的状态数据来实施所述的检验。所述的NMT通过CA7上进行的OCSP-或CRL-查询确认数字证书的有效性。
电信用户识别模块1，如果让接入装置4授权批准，则在输入一个PIN或一个其它对电信用户专用的输入(指纹等等)以后，给接入装置4(譬如在传递一个查询号码的情况下根据接入装置4的建议(查询))递送一个识别数据(有关电信用户识别模块的或终端设备的和/或用户的识别)、递送一个或多个(由一个识别和/或所分配的权限数据、一个具有通过仅已知认证装置7产生的认证产生方法组成的)数字证书、以及递送一个由电信用户识别模块的私有密钥发信号防止经过第三方(重发保护，当前)滥用重复进行的查询。在步骤11中，接入站(AP4)在检验矫正的寄送信息后(譬如对足够新、当前矫正的查询和借助存储在用户识别模块的私有密钥发信号)，传递一个数字证书/多个数字证书给网络3的一部分或全网络3主管的网络管理装置5(NMT＝网络管理工具)。
在步骤12中，网络管理装置5递送一个数字证书/多个数字证书给认证装置7(CA＝认证机构)，该认证装置7譬如借助OCSP应答器和在使用证书撤消表的情况下(CRL)检验一个数字证书/多个数字证书的有效性和所给出的识别数据准确性和必要时还有权限，并且询问一个数字证书/多个数字证书的的状态(譬如有效/无效等等)以及必要时还有电信用户的权限。当认证装置借助其所已知的方法从数字证书产生识别数据时，则数字证书确认这些识别数据。
如果从认证装置7的一个数字证书/多个数字证书中，可获取电信用户1、2和/或移动无线终端设备的公开密钥和识别/权限，并且可测出状态消息(数字证书不变化、不撤消，还有权限等等)，则由网络3中网络管理装置5的认证装置7通知(13)数字证书的状态。网络管理装置5则可根据所通知的状态数据和权限据，通过MN1的权限范围判断出需要使用的电信网3的业务和资源，并且在步骤14中给接入管理级PDP6通知所述的这些。然后，根据这种判断，PDP6通过传输相应的决策给AP4使电信用户1解除使用电信网3，或在NMT5作出完全负面判断时，它仍继续受阻塞。
网络管理装置5可集中地对网络3进行的查询通知第三方9，当前由认证装置7是否或在哪种业务方面等等，将移动无线终端设备1看作是有权限的。此外，在确实的数字证书状态(数字证书有效等等)中，发送一个具有在网络3中所用的加密方法的由NMT(5)产生的密文(譬如会话密钥)给接入装置4，并且在那里加密。此外，用电信识别模块2(网络管理装置在步骤10通过接入装置4开始注册终端设备1时获得公开的密钥)的公开密钥由网络管理装置5对相同的密文加密。进而NMT5可通过AP4传输其自己的数字证书给NM1。于是，由接入装置4用它已知(在电信网中规定的)密钥对密文解密，其后在步骤16中将总是用电信用户识别模块2的公开的密钥加密的密文传输给电信用户识别模块2。属于所述的公开密钥的私有的密钥也可存储在电信用户识别模块2中，并且用来对密文解密。随后，使用该密文譬如进行终端设备1和接入装置4之间的保密通信。
接入装置(4)随着接入电信网(3)和/或业务(9)，将用户纳入电信用户表中，并且只满足纳入该表的用户接入电信网和/或业务(9)。
此外，具有电信用户识别模块2的电信终端设备1在第三方那里(9)譬如(视允许一份数字证书/多份数字证书而定)需要使用其它业务和资源、预约订货、电子付款等等，其中第三方(9)既可在电信网3的装置NMT5上确认权限等级，又可在CA7那里(见上)进行查询。
权利要求
1.检验电信终端设备(1)的用户需要使用的业务(9)和/或使用电信网的权限的方法，其中电信网(3)的接入装置(4)从电信终端设备(1)中至少获得(10)一个数字证书和一个识别数据，照此，网络管理装置(NMT5)或认证装置(7)可有针对性地检验，数字证书是否确认识别数据和是否具有确实的状态，其中如果是这种状况，则接入装置(4)可递送一个至少用公开密钥加密的密文(会话密钥15)，也发送(15、16)给电信终端设备(1、2)。
2.按照权利要求1所述的方法，其特征在于，在递送密文后，接入装置(4)随着接入电信网(3)和/或业务(9)，将用户纳入电信用户的表内，其中接入装置(4)只满足纳入表内的用户接入电信网(3)和/或业务(9)。
3.按照权利要求1或2所述的方法，其特征在于，接入装置(4)发送由电信终端设备(1)获得的数字证书、识别和重发保护给电信网(3)的网络管理装置(5)，该网络管理装置(5)由认证装置(7)进行检验，并且在确实检验时发送密文给接入装置(4)和通过接入装置(4)发送(15、16)给电信终端设备(1)。
4.按照上述权利要求之一所述的方法，其特征在于，认证装置(7)检验的结果由网络管理装置(5)通知给业务管理装置(6)。
5.按照上述权利要求之一所述的方法，其特征在于，在另一个网络中设置认证级(7)是用作为接入装置(4)。
6.按照上述权利要求1-4之一所述的方法，其特征在于，认证装置(7)在相同的网络中配置如接入装置(4)。
7.按照上述权利要求之一所述的方法，其特征在于，密钥对的私有密钥只存储在电信终端设备(1)的电信用户识别模块(2)中。
8.按照上述权利要求之一所述的方法，其特征在于，电信网是一个因特网协议网。
9.按照上述权利要求之一所述的方法，其特征在于，电信网是一个蜂窝移动无线网。
10.按照上述权利要求之一所述的方法，其特征在于，对电信用户识别模块来说，使用多个数字证书、特别是属性数字证书，该数字证书的确定的检验分别允许电信终端设备进行至少一种类型的事务处理或其它业务或权限。
11.按照上述权利要求之一所述的方法，其特征在于，在进行确定的检验(7)时，使电信终端设备有可能使用由第三方(9)通过电信网(3)所给出的事务处理或业务。
12.按照上述权利要求之一所述的方法，其特征在于，电信用户识别模块(2)存储适合于公开密钥的私有密钥，并且用来对用公开密钥加密的密文解密。
13.电信网、特别是实施按照上述权利要求之一所述的方法的电信网，具有-一个接入装置(4)，用以接收由电信终端设备(1)递送(10)的数字证书和识别数据，-一个接入认证装置(7)的入口，该认证装置(7)具有用认证产生方法产生由公开密钥组成的数字证书，该数字证书的认证装置通知(13)数字证书的有效性以及所属的状态数据备查询，其中电信终端设备(1)接入一个提供商(9)所允许的数字证书的用户(1)的一个入口，通过电信网(3)的装置(4；6)只要就这方面而言允许，如何借助公开密钥通过认证装置(7)成功地检验电信终端设备的一份数字证书/多份数字证书。
14.电信用户识别模块(2)、特别是按照权利要求1-12之一所述方法实施的电信用户识别模块(2)，具有一个存储器，该存储器存有一个密钥对的至少一个私有的和公开的密钥和一份数字证书，规定这些一起进行权限检验以使用这些电信网的业务(9)。
全文摘要
通过对一种业务检验电信终端设备(1)用户的权限的方法，使得有可能在n∶m比例情况下很有效地进行鉴别和授权检验，其中电信终端设备(1)的接入装置(4)对一项业务，其中电信网(3)的接入装置(4)从电信终端设备(1)至少得到(10)一个数字证书和一个识别证明，照此，NMT(5)与认证装置(7)一起有目的地进行检验，识别认证数字证书是否有效和有一个确定状态，并且是否从补充的数字证书中获得特别权限，其中如果是这种情况，则密文(譬如会话密钥)递送(15)给接入装置(4)，并且该密文用至少一个公开密钥加密，再发送(15、16)到电信终端设备(1、2)，然后，接入装置(4)借助相应的电信用户的权利的决策断开。
文档编号H04L9/08GK1559117SQ01823846
公开日2004年12月29日 申请日期2001年11月29日 优先权日2001年11月29日
发明者J·奎利亚尔, J 奎利亚尔, M·马赫菲, 辗 申请人:西门子公司