专利名称：用于异构ip网络认证的装置和方法
技术领域：
本发明涉及一种用于对网络服务进行认证和授权的系统与方法。
背景技术：
在未来的3G(第三代)系统架构中，网络服务可能通过很多不同的网络接入方法提供，例如CDMA2000(码分多址，版本2000)、基于非蜂窝IP的网络、802.11无线LAN(局域网)、蓝牙或者以太网。但是，在3GPP2中，移动设备当前只能够使用CDMA2000接入方法访问网络服务。因此，为了更可靠更有效地提供网络服务，需要允许移动设备具有通过不同类型的接入网进行认证的能力，使得，不同的接入网可以对服务进行授权。
不存在一种通用的认证过程，用于在任何类型的网络接入技术中对用户(终端)进行认证。这使得在多接入情况下，进行访问和会话的移动性变得困难。需要在网络和移动台之间进行消息交换，以允许在蜂窝或非蜂窝的通用IP网络中提供服务，用于使用相同的授权。但是，存在一个问题，如果不使用CDMA2000蜂窝网络，终端需要使用某些其它方法对其自身向运营商网络进行认证并接收服务。
相似的问题出现在使用R-UIM芯片时，R-UIM芯片保持CDMA网络中所用移动蜂窝电话的用户识别，这与SIM(用户识别模块)卡如何保持GSM(全球移动通信系统)网络中的用户识别相似。R-UIM在3GPP2文档C.S0023-0中描述。
例如，如果终端正在使用WLAN(无线LAN)或者蓝牙无线作为其与Internet等的连接，并且正在使用与R-UIM模块相同的登记识别，则其需要单独的非蜂窝协议，以获得这个认证并接收服务，这就是本应用所解决的问题。
发明内容
从而，本发明的目的在于为移动设备提供一种通过不同类型的接入网络进行认证的可能性。
这个目的通过一种用于对网络服务进行认证和授权的系统来解决，包括移动设备，所述移动设备配置为在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型；生成包含至少一个用户识别的开始消息；以及将开始消息封装在与信息消息中所识别的接入网络兼容的认证消息中，所述系统进一步包括接入控制器，用于从移动设备中读取封装消息，以及将封装消息转发至在封装消息中识别的认证服务器。
或者，上述目的通过一种用于对网络服务进行认证和授权的方法解决，其中网络包括移动设备和认证控制功能，方法包括下列步骤在接收到指示至少一个网络接入类型的信息消息时，移动设备确定网络接入类型；生成包含至少一个用户识别的开始消息，将开始消息封装在与信息消息中所识别的接入网络兼容的认证消息中，以及接入控制器从移动设备中读取封装消息，并且将封装消息转发至在封装消息中识别的认证服务器。
从而，根据本发明，移动设备接收关于网络接入类型的信息(这个信息消息可能是发送至移动设备的明确消息或者可能是通常在网络中可获得的信息)。移动设备生成包含用户识别的开始消息，并将其在认证消息中发送至接入控制器。该接入控制器估计开始消息，并将其转发至正确的认证服务器。
因此，移动设备只需要对一个接入控制器进行寻址，其将认证消息转发至正确的认证服务器。这就是，移动设备不需要知道如何到达认证服务器。
而且，还可以提供用于不同服务的多个认证服务器。根据上述的现有技术，移动设备将必须向要使用其服务的所有不同认证服务器发送多个认证消息。相反地，根据本发明，移动设备只需要发送一个开始消息，其中封装有对应于认证服务器的多个认证消息。
因此简化了认证过程。另外，虽然要使用多个服务，但是由于只需要一个开始消息，因此网络中的业务负荷也减少了。
此外，可以提供一种路由器，用于发布信息消息，其中该信息消息包括路由器通告。
该信息消息可指示可扩展认证协议(EAP)支持。
可在移动设备进入网络时发布该信息消息。
开始消息可包含客户标识符选项消息和可扩展认证协议支持识别选项消息，其中所述消息包含关于客户类型、用户识别以及如何在核心IP网络内为客户寻址的信息(在下面也称为核心地址信息)其中至少一个的信息。
移动设备和接入网络之间的协议可包括UDP、ICMP、ICMPv6等网络层协议或者IEEE802.1x、IEEE802.11i和蓝牙描述文件等链路层协议的其中至少一个。
所应用的认证机制可包括可扩展认证协议(EAP)。
所应用的认证机制可能是使用应用蜂窝认证与语音加密(CAVE)算法的可移动用户识别模块(R-UIM)或者应用AKA算法的USIM的认证机制。
本发明还提出一种系统，用于对网络服务进行认证和授权，所述系统包括移动设备装置，所述移动设备装置用于在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型，用于生成包含至少一个用户识别的开始消息，以及用于将开始消息封装在与信息消息中所识别的接入网络兼容的认证消息中；以及接入控制器，用于从移动设备装置中读取封装消息，以及用于将该封装消息转发至在封装消息中识别的认证服务器。
此外，本发明提出一种系统，用于对网络服务进行认证和授权，其中网络包括移动设备和认证控制功能，其中移动设备包括确定装置，用于在接收到指示至少一个网络接入类型的信息消息时，由移动设备确定网络接入类型；生成装置，用于生成包含至少一个用户识别的开始消息；以及封装装置，用于将开始消息封装在与信息消息中所识别的接入网络兼容的认证消息中；以及接入控制器装置，包括读取装置，用于从移动设备中读取封装消息，以及用于将该消息转发至在封装消息中识别的认证服务器。
在这种关系中，注意到的是接入控制器所读取的消息是封装在另一个类型的消息中，接入控制器随后将这个消息发送至认证服务器。
本发明还提出一种接入控制设备，包括接收装置，用于接收封装有认证消息的开始消息，处理装置，用于读取封装消息，以及转发装置，用于将封装消息转发至在封装消息中识别的认证服务器。
而且，在这种情况下，接入控制器所读取的消息可能封装在要发送至认证服务器的另一个类型的消息中。
此外，本发明提出一种用户设备，包括确定装置，用于在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型；生成装置，用于生成包含至少一个用户识别的开始消息；封装装置，用于将开始消息封装在与信息消息中所识别的接入网络兼容的认证消息中；以及发送装置，用于将开始消息发送至接入控制设备。
另外，本发明提出一种路由器设备，包括生成装置，用于生成指示至少一个网络接入类型的信息消息，以及发送装置，用于将信息消息发送至用户设备。
图1表示根据本发明实施例的CDMA2000多接入网络参考模型；图2A和2B表示根据本发明第一实施例的第一示例的信号流；图3A和3B表示根据本发明第一实施例的第二示例的信号流；图4A和4B表示根据本发明第二实施例的第一示例的信号流；图5A和5B表示根据本发明第二实施例的第二示例的信号流；图6A、6B和6C表示根据本发明实施例可以使用的接入控制器、移动台和路由器。
具体实施例方式
如上所述，根据本发明提出一种系统，用于对网络服务进行认证和授权，其包括路由器，用于发送包含指示网络接入类型和可扩展认证协议支持的路由器通告；移动设备，其在接收到路由器通告时，确定网络接入类型，并且生成包含客户标识符选项消息和EAP(可扩展认证协议)识别选项消息的开始消息，其包括客户类型、用户识别与核心地址信息，进一步将开始消息封装在与路由器通告中所识别的接入网络兼容的IPv4或IPv6协议中，例如UDP、ICMPv6(互联网控制消息协议版本6(对于IPv6))，或者IEEE 802.1x、IEEE 802.11i或者适当的蓝牙描述文件等链路层协议；以及接入控制器，用于从移动设备中读取封装消息，以及将封装消息转发至在封装消息中识别的认证服务器。
可使用多种认证机制。在下面对优选实施例的描述中，使用USIM(通用用户识别模块)的EAP-AKA(认证与密钥协议)认证机制(第一实施例)和使用应用CAVE(蜂窝认证与语音加密)算法的R-UIM(可移动用户识别模块)的认证机制(第二实施例)被作为示例。
第一实施例涉及CDMA2000蜂窝和非蜂窝分组数据网络的联合使用，并且当使用EAP-AKA规范在多种类型的接入网上通信时，尤其涉及使用通用用户识别模块(USIM)的用户认证与服务认证。这个能力对于在现有的用于非数据认证的密钥架构上有效的自动密钥管理非常有用，如在其它蜂窝环境中的相似方法中所示。对用户的认证以及对服务的授权允许蜂窝运营商向用户提供多种接入网络类型，同时保持统一的服务提供、基于用户的网络接入管理以及漫游授权，同时由现有的认证/帐务/计费架构来使这些有效。该优势可以总结为用于多个接入方法的基于智能卡的CDMA2000认证的统一。
该实施例描述一种对于WLAN/CDMA2000用户的网络接入、移动信令以及其它服务认证的方式。特别地，根据第一实施例，提供一种多接入方案，其中来自WLAN的网络认证以及移动管理信令保护使用AAAv6(用于IPv6的认证、授权与帐务)、EAP-AKA(可扩展认证协议认证与密钥管理)与Radius协议的特定组合，以及用于所述方法的CDMA2000特定多接入架构。
如上所述，根据第一实施例所要解决的问题是如果终端不使用CDMA2000蜂窝网络，则其需要使用某些其它方法对其自身向运营商网络进行认证并接收服务。根据该实施例，通过定义一种方法以使用EAP-AKA规范对用户进行认证来解决问题，只要用户具有保持用户识别的USIM，EAP-AKA规范就运行于任何接入和核心技术中，这将在下面进行详细描述。
根据第一实施例，EAP-AKA认证机制(例如J.Arkko，H.Haverinen，EAP AKA Authentication(进行中的工作)、互联网工程任务组2003年6月的互联网草案(draft-arkko-pppext-eap-aka-10.txt)中所定义)用于使用任何网络接入技术向网络进行用户认证。从而，获得包括(但不限于)下列实体的多方相互作用之间的相互认证、网络授权与服务提供终端、USIM(通用用户识别模块)、接入控制器、认证网关和CDMA2000网络认证中心(AuC/HLR(归属位置寄存器，AuC位于HLR中))。在下面详细描述如何获得这些功能。
图1表示CDMA2000多接入网络参考模型，其中还特别提供了接入控制器(AC)和认证服务器(AS)。
在图1的左上部分，表示了访问接入提供商网络(特别是服务网络)。源无线网络(RN)通过RAN-PDSN接口(R-P接口)与服务PDSN相连。A10和A11是用于在CDMA2000中定义的控制消息的接口。PDSN(分组数据服务网络)用作外部代理，并且提供到互联网、内联网以及用于移动台等的无线应用协议(WAP)服务器的接入。源RN还通过接口A1与移动服务交换中心(MSC)相连。
MSC通过SS7网络与移动台的归属接入提供商网络相连。归属接入提供商网络包括归属位置寄存器(HLR)和认证中心(AuC)，这是根据下面描述的实施例所需的。
在图1的左中部分，表示了目标访问接入提供商网络，移动台可与其相连。目标接入提供商网络包括目标RN和目标PDSN，其通过R-P接口相连，这与在服务访问接入提供商网络中相似。两个PDSN还与IP网络(互联网协议版本4(Ipv4))和/或互联网协议版本6(Ipv6))相连。为了这个连接，在CDMA2000中定义接口Pi。服务PDSN还与也能接入IP网络的AAAL(本地AA(认证、授权与帐务))服务器相连。
在图1的右半部分，表示了上述的归属接入提供商网络、与IP网络相连并包括AAAH(归属AAA)的归属IP网络以及包括AAA服务器的代理网络。此外，表示了归属代理(HA)，其可能位于归属IP网络、专用网络或者归属接入提供商网络中。
在图1的左下部分，表示了对于移动台的另一种接入可能性，其中表示了另一个目标访问接入提供商网络。这对应于下面所述实施例的环境。在这里，移动台与目标WLAN(无线局域网)相连。WLAN通过IP接口与接入控制器(AC)相连，这将在下面进行详细描述。AC与接入服务器(AS)相连，AS提供与IP网络以及归属接入提供商网络的连接，尤其是与归属接入提供商网络中AuC的连接。
根据下面所述实施例的新功能(也就是，包括新功能的设备)用阴影线框指示。这就是，这些新功能位于AC和AS中。而且，AS可提供在归属IP网络的AAAH中。
终端是需要能够获得对所有类型IP网络接入的设备，包括作为蜂窝网络一部分的IP网络以及OWLAN(运营商无线LAN)接入网。终端还需要能够通过具有USIM运行AKA算法。而且，其还需要运行IPv6协议。如果使用MIPv6，则这个过程还可以用于动态地在归属代理和终端之间生成安全联盟。EAP-AKA规范表示如何使用EAP消息实现AKA认证。根据这个实施例，其描述如何将这个规范用于认证，而不论采用何种接入技术。
在终端进入具有这个功能的网络时，其接收包括支持指示的路由器通告(RA)，例如来自本地AC(接入控制器)的路由器或代理通告选项，指示AAA(认证、授权与帐务)支持的这个类型。这表示根据本实施例的认证、密钥生成和服务提供。
当EAP消息在终端和作为负责控制用户对IP网络接入的网元的接入控制器之间交换时，其封装在AAAv6消息中或者WLAN链路层中(例如，在IEEE 802.1x，IEEE 802.11i、适当的蓝牙描述文件消息、PPP EAP封装、或者任何适当的最后一个跳段PANA协议消息中，如未来的标准化)。如果使用AAAv6，则初始EAP/AKA识别消息进入AAAv6消息的EAP识别选项中。
在接入控制器和认证服务器之间，EAP消息在Diameter或Radius等核心网络协议上传送。AC通过从IMSI(国际移动用户识别)和范围对认证服务器的IP地址进行映射，从而对其进行确定。认证服务器具有通过MSC对HLR/认证中心(AuC)的逻辑接口。其作为MAP协议(SS7网络)和在IP上使用的认证协议之间的网关。
在下面，通过消息流描述根据本实施例的用于在OWLAN中对用户进行认证的环境。
1.终端将接入请求消息(其可能是AAAv6请求消息或者请求网络接入的任何其它消息)发送至接入控制器。EAP响应/AKA识别消息嵌入在这个消息中。同样地，还需要在这个消息中提供以通过用户NAI。
2.接入控制器提取EAP消息，并将其放入到在核心网络中发送至认证服务器(AS)的请求消息(其可能是Diameter AA请求消息或者Radius接入请求消息)中。例如，在Diameter中，EAP消息可能位于EAP净载荷AVP中。接入控制器基于用户NAI的realm部分，断定请求将去往哪个AS。
3.接收到消息时，AS首先识别保持用户认证信息的AuC。这可能是基于用户NAI的用户部分。例如，如果所用的用户NAI是IMSI@realm的形式，则IMSI可以用于识别用户HLR/AuC。其从AuC请求UMTS认证值。这个五元组包括五个值，称为a)网络挑战RAND，b)所期望的用户响应XRES，c)密码密钥CK，d)完整性密钥IK以及e)网络认证令牌AUTN。在获得这些值时，其生成属性AT_RAND(随机数)、AT_AUTN(认证向量)和AT_MAC(消息认证码)。其计算并存储AT_RES值，用于以后使用。其生成包含AT_RAND值、AT_AUTN值和AT_MAC值的EAP请求/AKA/挑战消息。最后，其将包含EAP请求/AKA/挑战消息和识别用户的NAI(在用户姓名属性中)的消息发送至AC。消息可能是Diameter AA应答消息或者Radius接入挑战消息。如果是Diameter消息，则EAP消息在EAP净载荷AVP中传送。
4.AC将包含EAP请求/AKA/挑战的消息发送至终端。这个可以是AAAv6消息或者在终端和接入控制器之间使用的任何其它网络接入协议。
5.当终端接收到这个消息时，其首先抽取EAP请求/AKA/挑战消息。然后，其使用AKA计算AT_RES值，给出在EAP请求/AKA/挑战内接收到的AT_RAND和AT_MAC值作为AKA的输入。其还计算AT_AUTN值，并将其与在EAP请求/AKA/挑战内接收到的AT_AUTN相比较。如果这些值相匹配，则EAP请求/AKA/挑战消息认证成功，否则，消息认证失败。如果这些值相匹配，其生成包含EAP响应/AKA/挑战消息的消息(AAAv6)并将其发送至AC。EAP响应/AKA/挑战消息包含所计算的AT_RES值。
6.AC再次发送请求消息(Diameter AA请求/Radius接入请求)。这一次，其包含EAP响应/AKA/挑战。
7.当AS接收到这个消息时，其将早先计算的AT_RES值与在接收到的EAP消息中的AT_RES值相比较。如果这些值相匹配，则AKA认证成功；否则，认证失败。基于这个结果，其或者发送接入接受或者接入拒绝消息(在Radius的情况)。对于Diameter，其发送AA应答消息，具有位于结果码AVP中的结果。
8.接收到这个消息时，AC获知认证是成功还是失败。AC向终端发送适当的响应消息。当终端接收到这个消息时，OWLAN接入网络认证结束。如果认证成功，则AC将应用过滤规则，允许从已认证终端发送的分组通过。
接下来，通过参考图2A和2B中所示信号流图更加详细地描述上述过程。信号流图说明在终端(也就是UE)、认证中心(AC)和认证服务器(AS)之间交换的信号。
在步骤2-A中，终端从AC接收路由器通告(非请求式或请求式)。路由器通告(RA)包括AAA挑战选项，其包含本地挑战。在发送下列消息之前，终端必须获得指定的IP地址(例如，在IPv4地址的情况下，从DHCP(动态主机配置协议)服务器获得。在IPv6地址的情况下，其可能是自动配置的地址)。
在步骤2-B中，终端从路由器通告中AAA标志的存在推断出需要进行AAA接入认证。终端通过向AC发送AAA请求消息(用RQ1指示)，开始认证序列。AAA请求包含AAA客户标识符选项(在信号流图中指示为cID)以及携带EAP识别消息的选项。AAA客户标识符选项和EAP识别消息包含用户的NAI(IMSI@realm)。
在步骤2-C中，AC从包含在AAA客户标识符选项中的NAI得到AS的地址(必要时使用DNS)，并向AS发送AAA请求(AR)消息。AR包含EAP识别消息(在EAP净载荷属性中)以及在步骤B的AAA客户标识符选项中接收到的NAI(在User-Name属性中)。
在步骤2-D中，在接收到步骤2-C中的AR消息时，AS执行下列步骤-基于NAI的IMSI部分，AS识别保持用户认证信息的AuC。
-其询问并从AuC获得UNTS认证值。其包括5个值a)网络挑战RAND，b)所期望的用户响应XRES，c)密码密钥CK，d)完整性密钥IK以及e)网络认证令牌AUTN。
-其计算AT_RAND值(随机数)、AT_AUTN(认证向量)和AT_MAC(消息认证码)。
其计算并存储AT_RES值(从XRES中获得)，用于以后使用。
-其生成包含AT_RAND值、AT_AUTN值和AT_MAC值的EAP请求/AKA/挑战消息。
-其将包含EAP请求/AKA/挑战(在3GPP2vendor-specific属性中)以及识别用户的NAI(在User-Name属性中)的接入-挑战(AA)消息发送至AC。
在步骤2-E中，AC将包含AAAv6嵌入式数据选项中的EAP请求(信号流图中的ERq)/AKA/挑战、包含NAI的AAA客户标识符选项和AAAv6挑战选项的AAA响应消息(RP2)发送至终端。AAAv6挑战选项包含AC所设定的本地挑战值。
在步骤2-F中，在接收到步骤2-E中的AAA响应时，终端执行下列步骤-其使用AKA计算AT_RES值，将在EAP请求/AKA/挑战内接收到的AT_RAND和AT_MAC值作为AKA的输入而给出。
-其计算AKA中指定的AT_AUTN值。
-其将所计算的AT_AUTN值与在EAP请求/AKA/挑战中接收到的值相比较。如果这些值相匹配，则EAP请求/AKA/挑战消息认证成功，否则，消息认证失败。
-其将包含AAAv6挑战选项中的本地挑战、AAA客户标识符选项(IMSI@realm形式的NAI)以及AAAv6嵌入式数据选项中的EAP响应(ER)/AKA/挑战消息的AAA请求消息(RQ3)发送至AC。EAP响应/AKA/挑战包含所计算的AT_RFS值。
在步骤2-G中，AC将AAA请求(AR)消息发送至AS(由NAI识别)。AR消息包含EAP响应/AKA/挑战(在3GPP2vendor-specific属性中)以及在AAA请求的AAA客户标识符选项中接收的NAI(在User-Name属性中)。
在步骤2-H中，在接收到步骤2-G中的AR消息时，AS执行下列步骤-其将在步骤D中计算的AT_RES值与包含在EAP响应/AKA/挑战中的AT_RES值相比较。如果这些值相匹配，则AKA认证成功；否则，认证失败。
-如果认证成功，则其向AC发送包含识别用户的NAI(在User-Name属性中)的AA消息。如果认证失败，则其向AC发送接入拒绝消息。
在步骤2-I中，在接收到步骤2-H中的AA消息时，AC获知AKA认证是成功的。AC向终端发送AAA响应消息(在图2A中用RP3指示)，该AAA响应消息具有设定的码字段以指示成功(0值)。当终端接收到这个消息时，OWLAN接入网络认证完成。
如果认证成功，则AC将应用过滤规则，允许发送自已经认证的终端的分组通过。
在下面，描述如何根据第一实施例为移动绑定建立通用认证。
1.序列开始于终端向归属代理(HA)发送请求消息(AAAv6、WLAN链路层或者任何其它网络接入协议)。请求包含用户的NAI(IMSI@realm)以及嵌入的EAP响应/AKA/识别消息。
2.HA提取EAP消息，并将其放入到在核心网络中发送至认证服务器(AS)的请求消息(其可能是Diameter AA请求消息或者Radius接入请求消息)中。例如，在Diameter中，EAP消息可能位于EAP净载荷AVP中。HA基于用户NAI的realm部分，判断请求将去往哪个AS，这是因为NAI的realm部分指示AS所位于的域。
3.接收到消息时，AS首先识别保持用户认证信息的AuC。这可能是基于用户NAI的用户部分。例如，如果所用的用户NAI是IMSI@realm的形式，则IMSI可以用于识别用户HLR/AuC。其从AuC请求UMTS认证五元组。这个五元组包括五个值，称为a)网络挑战RAND，b)所期望的用户响应XRES，c)密码密钥CK，d)完整性密钥IK以及e)网络认证令牌AUTN。在获得这些值时，其生成属性AT_RAND(随机数)、AT_AUTN(授权向量)和AT_MAC(消息认证码)。其计算并存储AT_RES值和会话密钥K，用于以后使用。其生成包含AT_RAND值、AT_AUTN值和AT_MAC值的EAP请求/AKA/挑战消息。最后，其将包含EAP请求/AKA/挑战消息和识别用户的NAI(在User-Name属性中)的消息发送至HA。消息可能是Diameter AA应答消息或者Radius接入挑战消息。如果是Diameter消息，则EAP消息在EAP净载荷AVP中传送。
4.HA将包含EAP请求/AKA/挑战的消息发送至终端。这个可以是AAAv6消息或者在终端和接入控制器之间使用的任何其它网络接入协议。
5.当终端接收到这个消息时，其首先抽取EAP请求/AKA/挑战消息。然后，其使用AKA计算AT_RES值，将在EAP请求/AKA/挑战内接收到的AT_RAND和AT_MAC值作为AKA的输入而给出。然后，其计算K值。其还计算AT_AUTN值，并将其与在EAP请求/AKA/挑战中接收到的AT_AUTN相比较。如果这些值相匹配，则EAP请求/AKA/挑战消息认证成功，否则，消息认证失败。如果这些值相匹配，其生成包含EAP响应/AKA/挑战消息的消息(AAAv6)并将其发送至HA。EAP响应/AKA/挑战消息包含所计算的AT_RES值。终端存储K值，用于在将来将其用于HA的安全关联(SA)。
6.HA再次发送请求消息(Diameter AA请求/Radius接入请求)。这一次，其包含EAP响应/AKA/挑战。
7.当AS接收到这个消息时，其将先前计算的AT_RES值与在接收的EAP消息中的AT_RES值相比较。如果这些值相匹配，则AKA认证成功；否则，认证失败。基于这个结果，其或者发送接入接受或者接入拒绝消息(在Radius的情况)。对于Diameter，其发送AA应答消息，结果位于结果码AVP中。由于其需要向HA发送BU认证密钥，因此其还发送密钥-分布AVP以及具有BU认证密钥相关生命周期的授权生命周期AVP。
8.接收到这个消息时，HA获知认证是成功还是失败。其生成与终端的安全关联，用于认证绑定更新的目的。其将认证密钥K与这个SA相关联，并在消息中接收到时初始化其生命周期。HA向终端发送适当的响应消息。当终端接收到这个消息时，BU认证密钥建立完成。
在下面，通过参考图3A和3B中所示信号流图更加详细地描述上述过程。
在步骤3-A中，终端隐含地接收其HA能够执行AKA认证的确认。在发送下列消息之前，终端必须获得指定的IPv4地址，例如从DHCP。
在步骤3-B中，终端从其归属网络的静态确认中推断出需要进行的绑定认证。终端通过向HA发送AAA请求消息(在图3A中用RQ1指示)开始认证序列。AAA请求包含AAA客户标识符选项(cID)以及携带EAP响应和EAP识别消息(ERs/EAP识别)的选项。AAA客户标识符选项和EAP识别消息都包含用户的NAI(IMSI@realm)。
在步骤3-C中，HA从包含在AAA客户标识符选项中的NAI中得到AS的地址(必要时使用动态域名服务器(DNS))，并向AS发送AAA请求(AR)消息。AR包含EAP识别消息(在EAP净载荷属性中)以及在步骤B的AAA客户标识符选项中接收的NAI(在User-Name属性中)。
在步骤3-D中，在接收到步骤3-B中的AR消息时，AS执行下列步骤-其从EAP响应/识别的原因字段中获知这个过程建立的会话密钥将用于客户-服务器认证(所以，其随后不必向除了作为服务器HA之外的任何其它HA发送密钥)。
-基于NAI的IMSI部分，AS识别保持用户认证信息的AuC。
-其询问并从AuC获得UNTS认证五元组。
-其计算AT_RAND值(随机数)、AT_AUTN(授权向量)和AT_MAC(消息认证码)。
-其计算并存储AT_RES值和K值，用于以后使用。
-其生成包含AT_RAND值、AT_AUTN值和AT_MAC值的EAP请求/AKA/挑战消息。
-其将包含EAP请求/AKA/挑战(在3GPP2vendor-specific属性中)以及识别用户的NAI(在User-Name属性中)的接入-挑战(AC)消息发送至HA。
在步骤3-E中，HA将包含AAAv6嵌入式数据选项中的EAP请求/AKA/挑战、AAA客户标识符选项和AAAv6挑战选项的AAA响应消息(在图中用RP2指示)发送至终端。AAA客户标识符选项包含识别用户的NAI，AAAv6挑战选项包含HA所设定的本地挑战值。
在步骤3-F中，在接收到步骤3-E中的AAA响应时，终端执行下列步骤-其使用AKA计算AT_RES值和K值，将在EAP请求/AKA/挑战内接收到的AT_RAND值作为AKA的输入而给出。
-其将所计算的AT_AUTN值与在EAP请求/AKA/挑战中接收到的值相比较。如果这些值相匹配，则EAP请求/AKA/挑战消息认证成功，否则，消息认证失败。
-其存储密钥K，用于将其用于HA的安全关联。
-其存储HA的安全关联的生命周期，以能够推断出何时必须对其进行重建。
-其将包含AAA6挑战选项中的本地挑战、AAA客户标识符选项(IMSI@realm形式的NAI)以及AAAv6嵌入式数据选项中的EAP响应/AKA/挑战消息的AAA请求消息(RQ3)发送至HA。EAP响应/AKA/挑战包含所计算的SRES值。
在步骤3-G中，HA向AS(由NAI识别)发送AR消息。AR消息包含EAP响应/AKA/挑战消息(在3GPP2vendor-specific属性中)以及在AAA客户标识符选项中接收的NAI(在User-Name属性中)。
在步骤3-H中，在接收到步骤3-F中的AR消息时，AS执行下列步骤-其将在步骤3-C中计算的AT_RES值与包含在EAP响应/AKA/挑战中的AT_RES值相比较。如果这些值相匹配，则AKA认证成功，否则，认证失败。
-其向HA发送AA消息。AA消息包含vendor-specific属性中的BU认证密钥、在User-Name属性中识别用户的NAI以及另一个vendor-specific属性中的BU认证密钥生命周期。例如，AS将密钥生命周期字段设定为值259200(3天)。
在步骤3-I中，HA生成或者重建将要用于终端的安全关联，用于认证绑定更新，将作为认证密钥的密钥K与其相关联，并且根据在密钥生命周期属性中接收到的值，初始化SA的生命周期。然后，HA向终端发送AAA响应消息(RP3)，包含AAA通用密钥响应选项以及设定为指示成功(0值)的码字段。AAA通用密钥响应选项不包含密钥K，但是生命周期字段设定为在密钥生命周期属性中接收到的值，而且密钥SPI字段的值设定为指示HA和终端之间的安全关联。当终端接收到这个消息时，通用BU认证密钥建立过程结束。
在步骤3-J中，对于移动IPv4应用，终端将使用从密钥资料中生成的BSA，在移动IPv4登记请求(RREQ)中形成移动归属认证扩展。在执行RREQ的消息认证时，HA将自动对MN-HA认证扩展应用相应的BSA。
对于移动IPv6应用，终端将向HA发送IPSec保护的绑定更新，使得，R-UIM加密的IPSec安全关联将自动应用于所发送的分组。当HA接收到分组时，其IPSec模块自动地获知其现在可以应用于到来移动头部分组的SA。这个分组可以是移动IPv6HOTI或者绑定更新消息。
在步骤3-K中，对于移动IPv4应用，HA将使用从接收自AS的密钥资料中生成的BSA，在所构成的移动IPv4登记响应(RREP)中应用移动归属认证扩展。然后，在执行对所接收RREP的消息认证时，终端将自动对MN-HA认证扩展应用相应的BSA。
对于移动IPv6应用，HA的IPSec模块将自动地使用R-UIM加密的SA保护所发送的BAck消息。然后，在从HA接收IPSec保护的移动头部分组时，终端自动在与步骤N中所用的相反方向上，应用R-UIM加密的IPSec安全关联。
这完成了成功的移动信令保护应用协议流。使用移动IP/IPv6归属登记之外的其它应用，这种过程可以用于加密任何IPsec SA。
在下面，描述本发明的第二实施例。
与第一实施例相似，第二实施例用于CDMA2000蜂窝及非蜂窝分组数据网络的联合使用领域，当在多种类型的接入网上通信时，尤其涉及使用可移动用户识别模块(R-UIM)的用户认证和服务授权。虽然当前不存在在非蜂窝IP网络上进行R-UIM认证的协议，但是这个能力对于现有用于非数据认证的密钥架构上的自动密钥管理非常有用，如在其它蜂窝环境的相似方法中所示。对用户的认证以及对服务的授权允许蜂窝运营商向用户提供多种接入网类型，同时保持统一的服务提供、基于用户的网络接入管理以及漫游授权，同时从现有的认证/帐务/计费架构支持所有这些。这一优势可以总结为用于多个接入方法的基于智能的CDMA2000认证的统一。
根据第二实施例，多个协议合并成基于R-UIM的多接入认证和密钥分布机制，可运行于不同链路层的IP上。这个在不同阶段使用多个封装消息的系统允许网元交换数据，使得终端设备和运营商网络可以对基于IP的非蜂窝和蜂窝分组数据服务运行CDMA2000CAVE(蜂窝认证与语音加密)算法。通过使用交换数据和CAVE算法的结果，终端和接入网可以相互之间彼此认证，并且获得可以用于有限时间应用的安全密钥，例如网络接入授权或漫游信令认证的消息保护。注意到，CAVE算法进一步在ANSI-TIA/EIA-41，1997年的“cellular Radio TelecommunicationIntersystem Operations”中描述。
终端可以在包括CDMA2000、802.11无线LAN、蓝牙或者以太网的异构网络类型上进行基于IP的认证会话。接入网可以是点对点，或者一点对多点。
终端可以将运行这个方法与移动IPv6相结合，或者其可以在不需要移动支持的简单IPv6接入中运行。
在非蜂窝的情况下，根据第二实施例，为移动设备和运营商网络提供一种统一的方法，以在任何IP使能的网络上互相通信，并且安全地交换证书以及建立服务提供，而无论所用的底层网络特性如何。所述方法仅仅通过共享登记识别依赖于现有的CDMA2000方法，使得，使用这个方法，运营商不需要重新组合每种技术，但是可以在不使用链路层特定机制时，支持这个更通用的方法。通过添加少量网元，如在这个发明中所述，运营商可支持其现有的CDMA2000服务架构，而对现有网元进行稍微变动或不作变动。
在下面，更详细地描述根据第二实施例的过程。
该实施例用于移动电话或其它移动设备(在下文中称为ME或者移动设备)，其具有通常在无线链路上的基于IP的通信能力，而且其具有R-UIM模块。该实施例还可以用于固定设备的启动，但是主要用于移动设备。该实施例允许包括(但不限于)下列实体的多方相互作用之间的相互认证、网络授权与服务提供ME、R-UIM(被认为是依赖于其内部处理器、非挥发性存储器和专用数据及算法的独立实体)、接入控制器、认证网关和CDMA2000网络认证中心(AuC/HLR(归属位置寄存器)，这与第一实施例相似。
在ME进入具有GRASP(通用R-UIM认证与服务提供，在第二实施例中描述的协议实例)功能的网络时，ME接收包括GRASP支持指示的路由器通告，例如来自本地AC的路由器或代理通告选项，指示AAA支持的这个类型。这发起了认证、密钥生成和服务提供，如本发明中所述。接下来，ME用包含客户标识符选项和EAP识别选项的EAP R-UIM/开始消息响应于AC。这两个选项都包含用户识别(IMSI@realm)，其是在ME启动时刻从R-UIM中的用户IMSI以及R-UIM中或ME非挥发性存储器中附加文件的realm构成的。这个识别EAP消息封装在IP/IPv6中，作为接入链路AAA消息。接入链路AAA消息可以例如位于UDP或者ICMPv6消息中，如在附录A中分别对于IPv4和IPv6的最佳实现方式中所述，或者位于链路层封装中，例如IEEE 802.1x、IEEE802.11i中或者位于适当的蓝牙描述文件消息中、位于PPP EAP封装或者位于任何适当的最后一跳PANA协议消息中，如将来标准化的。
AC通过从IMSI和realm映射认证服务器的IP地址来对其进行确定，并使用RADIUS或DIAMETER等任何其它核心AAA协议将AAA消息转发至IP核心，以进行封装传输。然后由AS接收消息，AS接着联系AuC/HLR。
AS可以是AAA服务器，其使用SS7或者A1消息仿真语音电路认证，直接或者通过服务MSC与AuC/HLR通信。换句话说，AS将具有与AuC/HLR通信的功能。通过这个架构选择，现有CDMA网络可以保持不变，只是必须添加AS。这是非插入覆盖方法。
或者，具有更加紧密结合性的方法将引起CDMA2000网络的变化。AS可以是PDSN中的AAA(RADIUS)客户/代理，其将认证转发至CDMA2000分组核心网络中的标准归属AAA服务器(AAAH)。后者需要AAAH具有与AuC/HLR通信的功能，对CDMA2000分组核心进行修正。后面的架构选择将给出通过PDSN对本地CDMA2000分组数据会话使用R-UIM认证的可能性，如当前的EAP-CHAP或者EAP-PAP，这是因为PDSN的那些认证在PPP会话的结尾处终止，并引起RADIUS消息在AAAH服务器中的交换。换句话说，后面一种可能性将通过PDSN代理非蜂窝R-UIM认证，或者直接用于归属AAA服务器，或者使用扩展的PDSN RADIUS客户能力将蜂窝式PPP-R-UIM认证传送至相同的端点。这个扩展可能是EAP-R-UIM能力，而且其映射为RADIUS消息，可能对上述方法重新使用非蜂窝RADIUS消息。
当AS接收到登记时，其接着从AuC获取RAND或者RANDU形式(依赖于所进行认证的通用或唯一特性)的随机密钥，并将这个随机信息作为挑战以AAA应答(在RADIUS上传输)中包含客户ID选项的EAP R-UIM/挑战消息的形式返回给ME。
现在，ME从AS接收到随机挑战(RAND)，并且准备运行CAVE算法，以认证其本身并生成会话的加密密钥。ME向R-UIM发送命令，以开始运行CAVE算法，并提供ESN(电话的电子序列号，在ME启动时确定)、RAND/RANDU、rand类型(唯一或者通用，依赖于所提供的内容)以及必要的用于这个R-UIM的PIN码。然后，ME运行GetResponse，以获得R-UIM，将输出AUTHR或者AUTHU(通用或唯一挑战响应)发送至ME。
在ME接收到挑战响应之后，其在与上述相似的分组中将响应发送至AC，但是，这是具有本地挑战、客户ID以及包含挑战响应的嵌入式数据选项的EAP/R-UIM/开始消息。然后，AC在先前的步骤中查询AS的地址，并通过RADIUS转发消息。AS获得消息，并通过基于在识别子选项中接收到的IMSI和Realm进行映射查询，确定联系哪个AuC/HLR，并且还基于IMSI@Realm获得其存储的会话状态。AS接着通过从AuC/HLR获取CAVE证书、运行CAVE算法以及比较从ME接收的响应与从AuC/HLR接收的响应，验证客户的真实性。
如果从ME和AuC接收的响应相同，则AS在另一个EAP消息中向AC转发会话密钥和成功码。当接收到这个EAP消息时，AC授予ME权限，并保存会话密钥，以在会话期间使用。例如，这个是由AC中的核心AAA客户功能发生的。其在AC中对ME的IPsec安全关联进行加密，或者生成防火墙规则，以授予ME访问网络的权限。
然后，AC将消息传输回ME，嵌入在最后一跳AAA协议中，如上所述(例如在ICMPv6中)，除去密钥子选项。从而，密钥不在最后一跳中进行传输，而这可能是不安全的，而且ME使用其在R-UIM中获得的密钥，AC使用通过RADIUS从AS发送回的密钥。
接下来，参考图4A和4B所示信号流图更加详细地描述上述过程。注意到，这个信号流图与图2A和2B中所示相似，使得，缩写以及其他结合图2A和2B描述的不再进行解释。
在步骤4-A中，终端从AC接收路由器通告(非请求式或者请求式)。路由器通告(RA)包括指示AAA支持的标志。在发送下列消息之前，终端必须已经获得指定的IPv4地址，例如从DHCP。
在步骤4-B中，终端从路由器通告中AAA标志的存在推断出需要进行AAA接入认证。终端通过将AAA请求消息(RQ1)发送至AC开始认证序列。AAA请求包含AAA客户标识符选项以及携带EAP识别消息的选项。AAA客户标识符选项和EAP识别消息都包含用户的NAI(IMSI@realm)。
在步骤4-C中，AC从包含在AAA客户标识符选项中的NAI中得到AS的地址(必要时使用DNS)，并将AAA请求(AR)消息发送至AS。AR包含EAP识别消息(在EAP净载荷属性中)和在步骤B的AAA客户标识符选项中接收的NAI(在User-Name属性中)。
在步骤4-D中，在接收到步骤4-C中的AR消息时，AS执行下列步骤-其生成EAP请求/R-UIM/开始请求消息，指示R-UIM认证过程的开始。
-其向AC发送包含EAP请求/R-UIM/开始(在EAP的净载荷属性中)以及识别用户的NAI(在User-Name属性中)的AAA应答(AA)消息。
在步骤4-E中，AC将包含嵌入式数据选项中的EAP请求/R-UIM/开始以及AAA客户标识符选项的AAA响应消息(RP1)发送至终端。AAA客户标识符选项包含识别用户的NAI。
在步骤4-F中，终端发送AAA请求消息(RQ1)，其含有包含NAI(IMSI@realm)的AAA客户标识符选项以及携带EAP响应/R-UIM/开始消息的AAA嵌入式数据选项。EAP响应/R-UIM/开始消息的原因字段设定为0(零)，指示会话密钥将不用于任何内容(只进行CAVE认证)。
在步骤4-G中，AC从包含在AAA客户标识符选项的NAI中抽取出AS的地址(必要时使用DNS)，并将AAA请求(AR)消息发送至AS。AR包含EAP响应/R-UIM/开始消息以及在步骤4-F的AAA客户标识符选项中所接收的NAI(在vendor-specific Radius属性字段中)。
在步骤4-H中，在接收到步骤G中的AR消息时，AS执行下列步骤-基于NAI的IMSI部分，AS识别保持用户认证信息的AuC。
-其询问并从AuC获得两个CAVE认证值。
-其计算MAC_RAND值和MAC_AUTHR值，作为在H中指定的AT_RAND和AT_MAC。例如，参考H.Haverinen，“EAPSIM Authentication(work in progress)”、互联网工程任务组2003年2月的互联网草案(draft-haverinen-pppext-eap-sim-10.txt)。
-其存储MAC_AUTHR值，用于以后使用。
-其生成包含MAC_RAND值和两个RAND值(从认证三元组中获得)的EAP请求/R-UIM/挑战消息。
-其将包含EAP请求/R-UIM/挑战消息以及识别用户的NAI(在vonder-specific Radius属性字段中)的AAA应答(AA)消息发送至AC。
在步骤4-I中，AC发送包含AAA嵌入式数据选项中的EAP请求/R-UIM/挑战以及包含NAI的AAA客户标识符选项的AAA响应消息(RP2)。
在步骤4-J中，在接收到步骤4-I的AAA响应时，终端执行下列步骤-其使用R-UIM计算两个AUTHR/AUTHU值，将在EAP请求/RUIM/挑战内接收的两个RAND值作为R-UIM模块的输入而给出。
-其计算MAC_RAND和MAC_AUTHR值，作为在上述参考文档，例如，H.Haverinen，“EAP SIM Authentication(workin progress)”，互联网工程任务组2003年2月的互联网草案(draft-haverinen-pppext-eap-sim-10.txt)中指定的AT_RAND和AT_MAC值。
-其将所计算的MAC_RAND值与在EAP请求/R-UIM/挑战中接收到的值相比较。如果这些值相匹配，则EAP请求/R-UIM/挑战消息认证成功，否则，消息认证失败。
-其将包含AAA客户标识符选项(IMSI@realm形式的NAI)以及在AAA嵌入式数据选项中包含EAP响应/R-UIM/挑战消息的AAA请求消息(RQ3)发送至AC。EAP响应/R-UIM/挑战包含所计算的MAC_AUTHR值。
在步骤4-K中，AC向AS(用NAI识别)发送AR消息。AR消息包含EAP响应/R-UIM/挑战以及在AAA请求的AAA客户标识符选项中接收到的NAI(在vendor-specific Radius属性字段中)。
在步骤4-L中，在接收到步骤K中的AR消息时，AS执行下列步骤-其将在步骤4-D中计算的MAC_AUTHR值与包含在EAP响应/RUIM/挑战中的MAC_AUTHR值相比较。如果这些值相匹配，则CAVE认证成功；否则，认证失败。
-其向AC发送包含识别用户的NAI(在Radius属性字段中)以及指示认证成功(AA的响应消息属性中)或失败(接入拒绝消息的响应消息属性中)的结果码的AA消息。
在步骤4-M中，在接收到步骤4-L的AA消息时，AC获知CAVE认证是成功还是失败。如果认证成功，则AC向终端发送AAA响应消息，该响应消息的码字段设定为指示成功(0值)。当终端接收到这个消息时，OWLAN接入网认证完成。
如果认证成功，AC将应用过滤规则，允许发送自已经认证终端的分组通过。或者，可以使用与在解释用于移动IP/IPv6应用的相同的密钥机制类型，在终端和具有这个应用(或者另一个应用码)的AC之间生成一个网络接入IPsec记录或者记录对。
在根据第二实施例的第二情况下，使用接入链路信令(NAAP、PPP-LCP等等)和核心链路信令(Radius或者DIAMETER)以及EAP-R-UIM作为端到端信令，描述MS、HA和AS之间的信令流。在图5A和5B中表示组合信令。
在步骤5-A中，终端隐含地接收其HA能够执行R-UIM认证的确认。在发送下列消息之前，终端必须获得指定的IPv4地址，例如从DHCP。
在步骤5-B中，终端从其归属网络的静态确认中推断出需要进行绑定认证。终端通过向HA发送AAA请求消息(RQ1)开始认证序列。AAA请求包含AAA客户标识符选项以及携带EAP识别消息的选项。AAA客户标识符选项和EAP识别消息都包含用户的NAI(IMSI@realm)。
在步骤5-C中，HA从包含在AAA客户标识符选项中的NAI中得到AS的地址(必要时使用DNS)，并向AS发送AAA请求(AR)消息。AR包含EAP识别消息(在EAP净载荷属性中)以及在步骤5-B的AAA客户标识符选项中接收的NAI(在User-Name属性中)。
在步骤5-D中，在接收到步骤C中的AR消息时，AS执行下列步骤-其生成EAP请求/R-UIM/开始请求消息，指示R-UIM认证过程的开始。为了执行这个步骤，AS还联系AuC(认证中心)。
-其向HA发送包含EAP请求/R-UIM/开始(在EAP的净载荷属性中)以及识别用户的NAI(在User-Name属性中)的AAA应答(AA)消息。
在步骤5-E中，HA将包含嵌入式数据选项中的EAP请求/R-UIM/开始请求以及AAA客户标识符选项的AAA响应消息(RP1)发送至终端。AAA客户标识符选项包含识别用户的NAI。
在步骤5-F中，终端发送AAA请求消息(RQ2)，其含有包含NAI(IMSI@realm)的AAA客户标识符选项以及携带EAP响应/R-UIM/开始消息的AAA嵌入式数据选项。EAP响应/R-UIM/开始的原因字段设定为2(二进制10)，指示会话密钥将用于归属登记保护(CAVE认证将在步骤I之后进行，并且生成IPsec安全关联，用于在步骤M之后保护HA的移动头部)。
在步骤5-G中，HA从包含在AAA客户标识符选项中的NAI中获得AS的地址(必要时使用DNS)，并将AAA请求(AR)消息发送至AS。AR包含EAP响应/R-UIM/开始消息以及在步骤F的AAA客户标识符选项中所接收的NAI(在vendor-specific Radius属性字段中)。
在步骤5-H中，在接收到步骤G中的AR消息时，AS执行下列步骤-基于NAI的IMSI部分，AS识别保持用户认证信息的AuC。
-其询问并从AuC获得所需多个CAVE认证值。这是由CAVE算法的密钥长度以及所用的IPsec密码配置Id(来自在IKE(Internet密钥交换)v2中的定义)确定的。这个配置Id在EAP分组中传送。
-其计算MAC_RAND值、MAC_AUTHR值，作为在上述参考文档，例如，H.Haverinen，“EAP SIM Authentication(workin progress)”，互联网工程任务组2003年2月的互联网草案(draft-haverinen-pppext-eap-sim-10.txt)中指定的AT_RAND和AT_MAC。
-其存储MAC_AUTHR值，用于以后使用。
-其生成包含MAC_RAND值和两个RAND值(从认证值中获得)的EAP请求/R-UIM/挑战消息。
-其将包含EAP请求/R-UIM/挑战以及识别用户的NAI(在vendor-specific Radius属性字段中)的AAA应答(AA)消息发送至HA。
在步骤5-I中，HA发送AAA响应消息(RP2)，包含AAA嵌入式数据选项中的EAP请求/R-UIM/挑战以及包含NAI的AAA客户标识符选项。
在步骤5-J中，在接收到步骤5-I的AAA响应时，终端执行下列步骤-其使用R-UIM计算两个AUTHR/AUTHU值，在EAP请求/RUIM/挑战内接收的两个RAND值作为R-UIM模块中Run_CAVE算法的输入。
-其计算MAC_RAND和MAC_AUTHR值，作为在上述参考文档，例如，H.Haverinen，“EAP SIM Authentication(workin progress)”，互联网工程任务组2003年2月的互联网草案(draft-haverinen-pppext-eap-sim-10.txt)中指定的AT_RAND和AT_MAC值。
-其将所计算的MAC_RAND值与在EAP请求/R-UIM/挑战中接收到的值相比较。如果这些值相匹配，则EAP请求/R-UIM/挑战消息认证成功，否则，消息认证失败。
-其将包含AAA客户标识符选项(IMSI@realm形式的NAI)以及AAA嵌入式数据选项中的EAP响应/R-UIM/挑战消息的AAA请求消息(RQ3)发送至HA。EAP响应/R-UIM/挑战包含所计算的MAC_AUTHR值。
在步骤5-K中，HA向AS(用NAI识别)发送AR消息。AR消息包含EAP响应/R-UIM/挑战以及在AAA请求的AAA客户标识符选项中接收到的NAI(在vendor-specific Radius属性字段中)。
在步骤5-L中，在接收到步骤K中的AR消息时，AS执行下列步骤-其将在步骤5-D中计算的MAC_AUTHR值与包含在EAP响应/RUIM/挑战中的MAC_AUTHR值相比较。如果这些值相匹配，则CAVE认证成功；否则，认证失败。
-其向HA发送包含识别用户的NAI(在Radius属性字段中)以及指示认证成功(AA的响应消息属性)或失败(AA的响应属性中)的结果码的AA消息以及密钥响应(密码配置Id、密钥、生命周期)。
在步骤5-M中，在接收到步骤5-L的AA消息时，HA获知CAVE认证是成功还是失败。如果认证成功，则HA向终端发送AAA响应消息(RP3)，该响应消息的码字段设定为指示成功(0值)。当终端接收到这个消息时，OWLAN归属登记认证与加密完成。如果R-UIM认证成功，则HA将-对于移动IPv4应用，从在RUIM中运行Run_CAVE算法时获得的密钥资料，将要用于MN-HA认证扩展的绑定安全关联(BSA)加密为适当的移动IPv4状态。
-对于移动IPv6应用，从在RUIM中运行Run_CAVE算法时获得的密钥，将两个IPsec安全关联加密为SADB。对于到来以及离开的登记(MIPv4)或者移动头部(MIPv6)分组对终端建立这些SAS(安全关联)，其它参数用所用的IPsec密码配置Id识别。这个动作可能使用IPSec模块的Pfkey接口，因此不需要R-UIM密钥程序和IPSec模块之间的任何特殊接口。
在步骤5-N中，对于移动IPv4应用，终端将使用从密钥资料中生成的BSA，在移动IPv4登记请求(RREQ)中形成移动归属认证扩展。在执行RREQ的消息认证时，HA将自动对MN-HA认证扩展应用相应的BSA。
而且，在步骤5-N中，对于移动IPv6应用，终端将向HA发送IPSec保护的绑定更新，使得，R-UIM加密的IPSec安全关联将自动应用于所发送的分组。当HA接收到分组时，其IPSec模块自动地获知其现在可以应用于到来移动头部分组的SA。这个分组可以是移动IPv6HOTI(归属测试Init)或者绑定更新(BU)消息。
在步骤5-O中，对于移动IPv4应用，HA将使用从接收自AS的密钥资料中生成的BSA，在所构成的移动IPv4登记响应(RREP)中应用移动归属认证扩展。然后，在执行所接收RREP的消息认证时，终端将自动对MN-HA认证扩展应用相应的BSA。
而且，在步骤5-O中，对于移动IPv6应用，HA的IPSec模块将使用R-UIM加密的SA自动保护所发送的Back(绑定确认)消息。然后，在从HA接收IPSec保护的移动头部分组时，终端在与步骤N中所用的相反方向上，自动应用R-UIM加密的IPSec安全关联。
这完成了成功的移动信令保护应用协议流。使用移动IP/IPv6归属登记之外的其它应用，这种过程可以用于加密任何IPsec SA。
在上述实施例中描述的本发明可以实现在软件或嵌入式硬件系统或芯片元件中，运行于涉及交换的多个网络实体中。终端实现方式中的重要功能是对用于标准R-UIM功能的API的接入以及构成包括封装地址的任意IP分组的能力。在接入控制器中，重要的功能是分组封装以及解封装为例如接入UDP或ICMPv6等的AAA消息以及例如RADIUS或DIAMETER等的核心AAA消息，例如，从NASREQ应用中(如在P.Calhoun，W.Bulley，A.Rubens，J.Haag，G.Zorn的Diameter NASREQApplication(work in progress)所述。互联网工程任务组2001年11月的互联网草案(draft-ietf-aaa-diametere-nasreq-08.txt)。同样，其还可能重新使用接入路由器、网络接入服务器或PDSN的通用分组过滤能力，这依赖于方法的接入认证服务点位于哪里。
第二实施例的最佳实现方式在图1中表示。这将实现移动设备的终端功能，其与R-UIM硬件相互通信(在第二实施例的情况下)，以及与网络通信。功能将与IP接入路由器、接入服务器或移动设备连接的基站在无线网络上发送并接收GRASP协议消息。当移动设备从向认证算法提供输入信息(挑战或者RAND)的网元接收到消息时，其将接入R-UIM以运行CAVE算法。这在逻辑上生成一个响应以及与网络的共享密钥。
在网络中，本发明可以由接入路由器/WLAN基站中的附加软件实现，以从移动设备接收封装消息，并将其重新封装在基于服务器的RADIUS协议中，以传输回运营商网络。向运营商网络添加具有附加软件的可选移动IP归属代理，另外，网关(AS或者AAAH)用于在RADIUS和CDMA2000SS7消息之间译消息。这样，CAVE协议的安全限于ME和AuC/HLR的范围内，而且CDMA2000网络中的现有架构重新用于认证和授权，甚至可能用于计费和帐务。从而，只需要对IP或CDMA2000网络进行微小的改动或者不进行改动。
功能的实现方式可以出现在运行系统的多个地点上，例如OS(操作系统)内核或者用户级软件，这依赖于实现方式的细节。
在下面，通过参考图6A-6C简要描述所涉及的网元。注意到，只描述那些对于上述实施例的描述必要的装置。
图6A表示根据上述实施例的接入控制器(AC)。接入控制器1包括接收装置1a，其接收封装有上述开始消息的认证消息。此外，接入控制器包括处理装置1b。处理装置1b读取所封装的开始消息(例如，客户标识符选项消息和EAP(可扩展认证协议)识别选项消息，其包含客户类型、用户识别和核心地址信息，如上所述)。然后由转发装置1c将所封装的消息转发至在封装消息中识别的认证服务器。
图6B表示移动终端2。注意到，移动终端只是对于用户设备的一个实例。移动终端2包括确定装置2a，其在接收到指示至少一个网络接入类型的信息消息时(也就是，上述的路由器通告RA)时，确定网络接入类型。此外，移动终端3包括生成装置2b，其生成上述的开始消息。移动台2的封装装置2c将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中，而且移动台2的发送装置2d向接入控制器发送开始消息。
图6C表示在上述实施例中使用的路由器3。路由器3包括生成装置3a，其生成上述信息消息，也就是路由器通告。路由器3的发送装置3b向用户设备发送信息消息。注意到，路由器3和接入控制器1可能位于一个单元中(根据上述各实施例)。
本发明并不限于上述各实施例，而是可以在权利要求的范围内进行变化。
例如，上述实施例可以自由组合，使得，使用USIM的EAP AKA认证机制和基于CAVE算法使用RUIM的认证可以联合使用。
移动设备和接入网之间的协议可包括UDP、ICMP、ICMPv6等网络层协议或IEEE802.1x、IEEE802.11i和蓝牙描述文件等链路层协议的其中至少一个。
此外，存在对上述实施例的下列变型1.EAP-SIM方法的重新使用认证机制是使用RUIM机制的方法(例如，对于上述第二实施例)，嵌入在与用于SIM方法的相同协议封装中，称为EAP-SIM。这种用法是重新使用EAP-SIM协议，用于使用CAVE算法进行基于R-UIM的认证。
EAP-SIM其他使用的指示可能使用EAP-SIM协议中的保留字段或者称为AT-R-UIM的附加属性。
2.智能卡算法的网络侧终点位置对应于运行在智能卡上一个算法(CAVE或AKA密钥算法)的网络侧终点在原理上可能位于HLR/AyC或者共同位于归属AAA服务器AAAH中(图1)。在前一种情况下，存在一个称为G_h的接口，通过这个接口归属AAA服务器使用G_h上的蜂窝网络协议向智能卡算法传送用于三联/五联密码的对话。
此外，注意到，移动终端或设备只是用于用户终端的一个实例。注意到，术语“移动”不仅仅表示通过无线链路与网络相连的移动终端，还表示可通过固定电缆与不同网络接入装置相连的终端。例如，这可包括与固定网络终端相连的计算机，例如在旅店房间、火车等等上与固定网络相连的计算机。
权利要求
1.一种系统，用于对网络服务进行认证和授权，包括移动设备，所述移动设备配置为，在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型；生成包含至少一个用户识别的开始消息；以及将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中，所述系统进一步包括接入控制器，用于从移动设备中读取封装消息，以及将封装消息转发至在封装消息中识别的认证服务器。
2.根据权利要求1所述的系统，进一步包括路由器，用于发布信息消息，其中信息消息包括路由器通告。
3.根据权利要求1所述的系统，其中信息消息指示可扩展认证协议(EAP)支持。
4.根据权利要求1所述的系统，其中当移动设备进入网络时发布信息消息。
5.根据权利要求1所述的系统，其中开始消息包含客户标识符选项消息和可扩展认证协议支持识别选项消息，其中所述消息包含关于客户类型、用户识别和核心地址信息其中至少一个的信息。
6.根据权利要求1所述的系统，其中移动设备和接入网之间的协议包括UDP、ICMPv6、IEEE802.1x、IEEE802.11i和蓝牙描述文件的其中至少一个。
7.根据权利要求1所述的系统，其中所应用的认证机制包括可扩展认证协议(EAP)。
8.根据权利要求1所述的系统，其中所应用的认证机制是使用应用蜂窝认证与语音加密(CAVE)算法的可移动用户识别模块(R-UIM)的认证机制。
9.根据权利要求1所述的系统，其中接入控制器提供在移动设备的归属代理中。
10.一种方法，用于对网络服务进行认证和授权，其中网络包括移动设备和认证控制功能，方法包括下列步骤在接收到指示至少一个网络接入类型的信息消息时，移动设备确定网络接入类型；生成包含至少一个用户识别的开始消息，将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中，以及接入控制器从移动设备中读取封装消息，并且将封装消息转发至在封装消息中识别的认证服务器。
11.根据权利要求10所述的方法，其中网络进一步包括路由器，其发布信息消息，其中信息消息包括路由器通告。
12.根据权利要求10所述的方法，其中信息消息指示可扩展认证协议(EAP)支持。
13.根据权利要求10所述的方法，其中在移动设备进入网络时发布信息消息。
14.根据权利要求10所述的方法，其中开始消息包含客户标识符选项消息和可扩展认证协议支持识别选项消息，其包含客户类型、用户识别和核心地址信息的其中至少一个。
15.根据权利要求10所述的方法，其中移动设备和接入网之间的协议包括UDP、ICMPv6、IEEE802.1x、IEEE802.11i和蓝牙描述文件的其中至少一个。
16.根据权利要求10所述的方法，其中所应用的认证机制包括可扩展认证协议(EAP)。
17.根据权利要求10所述的方法，其中所应用的认证机制是使用应用蜂窝认证与语音加密(CAVE)算法的可移动用户识别模块(R-UIM)的认证机制。
18.根据权利要求1所述的方法，其中接入控制器功能提供在移动设备的归属代理(HA)中。
19.一种系统，用于对网络服务进行认证和授权，所述系统包括移动设备装置，所述移动设备装置用于在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型，用于生成包含至少一个用户识别的开始消息，以及用于将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中；以及接入控制器，用于从移动设备装置中读取封装消息，以及用于将封装消息转发至在封装消息中识别的认证服务器。
20.一种系统，用于对网络服务进行认证和授权，其中网络包括移动设备和认证控制功能，其中移动设备包括确定装置，用于在接收到指示至少一个网络接入类型的信息消息时，由移动设备确定网络接入类型；生成装置，用于生成包含至少一个用户识别的开始消息；以及封装装置，用于将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中；以及接入控制器装置，包括读取装置，用于从移动设备中读取封装消息，以及转发装置，用于将封装消息转发至在封装消息中识别的认证服务器。
21.一种接入控制设备，包括接收装置，用于接收封装有认证消息的开始消息，处理装置，用于读取封装消息，以及转发装置，用于将封装消息转发至在封装消息中识别的认证服务器。
22.根据权利要求21所述的接入控制设备，其中开始消息包含客户标识符选项消息和可扩展认证协议支持识别选项消息，其中所述消息包含关于客户类型、用户识别和核心地址信息其中至少一个的信息。
23.根据权利要求21所述的接入控制设备，其中接入控制设备提供在发送开始消息的移动设备归属代理中。
24.根据权利要求21所述的接入控制设备，进一步包括发送装置，用于将指示至少一个网络接入类型的信息消息发送至用户设备。
25.根据权利要求24所述的接入控制设备，其中信息消息包括路由器通告。
26.根据权利要求24所述的接入控制设备，其中信息消息指示可扩展认证协议(EAP)支持。
27.根据权利要求24所述的接入控制设备，其中在移动设备进入网络时发布信息消息。
28.一种用户设备，包括确定装置，用于在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型；生成装置，用于生成包含至少一个用户识别的开始消息；封装装置，用于将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中；以及发送装置，用于将开始消息发送至接入控制设备。
29.根据权利要求28所述的用户设备，其中用户设备是移动设备。
30.根据权利要求28所述的用户设备，其中信息消息指示可扩展认证协议(EAP)支持。
31.根据权利要求28所述的用户设备，其中在用户设备进入网络时发布信息消息。
32.根据权利要求28所述的用户设备，其中开始消息包含客户标识符选项消息和可扩展认证协议支持识别选项消息，其中所述消息包含关于客户类型、用户识别和核心地址信息其中至少一个的信息。
33.根据权利要求28所述的用户设备，其中所应用的认证机制是使用应用蜂窝认证与语音加密(CAVE)算法的可移动用户识别模块(R-UIM)的认证机制。
34.网络中的一种路由器设备，包括生成装置，用于生成指示至少一个网络接入类型的信息消息，发送装置，用于将信息消息发送至用户设备。
35.根据权利要求34所述的路由器设备，其中信息消息包括路由器通告。
36.根据权利要求34所述的路由器设备，其中信息消息指示可扩展认证协议(EAP)支持。
37.根据权利要求34所述的路由器设备，其中在移动设备进入网络时发布信息消息。
38.根据权利要求34所述的路由器设备，其中路由器是接入控制设备的一部分。
全文摘要
本发明提出一种用于对网络服务进行认证和授权的系统，包括移动设备，适用于在接收到指示至少一个网络接入类型的信息消息时，确定网络接入类型，适用于生成包含至少一个用户识别的开始消息，以及适用于将开始消息封装在与信息消息中所识别的接入网兼容的认证消息中；以及接入控制器，用于从移动设备中读取封装消息，以及用于将封装消息转发至在封装消息中识别的认证服务器。本发明还提出一种相应的方法，用于对网络服务进行认证和授权，以及一种接入控制设备、用户设备和路由器设备。
文档编号H04W80/04GK1875598SQ200480031758
公开日2006年12月6日 申请日期2004年10月12日 优先权日2003年10月13日
发明者雅里·T·马利南, 蒂莫西·J·尼维汤, 梅格哈纳·萨哈斯拉巴德赫 申请人:诺基亚公司