專利名稱：避免移動(dòng)網(wǎng)絡(luò)中昂貴的雙重加密的機(jī)制的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信網(wǎng)絡(luò)，并且特別涉及一種用于避免移動(dòng)網(wǎng)絡(luò)中昂貴的雙重加密的機(jī)制。
背景技術(shù)：
必須在所有位置一直保持網(wǎng)絡(luò)中的通信安全，以避免向未授權(quán)的實(shí)體泄露機(jī)密信息。保持網(wǎng)絡(luò)安全的困難在無線通信網(wǎng)絡(luò)中顯著地增加，其中空中接口的使用使未授權(quán)監(jiān)聽者的任務(wù)更簡單，這是因?yàn)楫?dāng)沒有應(yīng)用加密時(shí)可以容易地竊聽空中交換的信息。保護(hù)無線網(wǎng)絡(luò)的重要性隨無線設(shè)備(蜂窩電話、膝上型電腦、個(gè)人數(shù)字助理或PDA、雙向?qū)ず魴C(jī)等)以及由無線網(wǎng)絡(luò)和設(shè)備提供商所提供的服務(wù)(電子郵件、文本、消息傳送、視頻、語音)的增加而增加。
可以使用各種加密算法，以在網(wǎng)絡(luò)通信信道上將數(shù)據(jù)維護(hù)在安全狀態(tài)。通常，加密/解密操作是資源密集的，需要非?？斓奶幚砥鳎蚝荛L時(shí)間來完成。其它方法依賴于大量存儲(chǔ)器。因此，當(dāng)發(fā)展移動(dòng)網(wǎng)絡(luò)的安全性時(shí)，必須考慮移動(dòng)設(shè)備(或移動(dòng)節(jié)點(diǎn)、或移動(dòng)電話)所固有的兩個(gè)主要限制典型移動(dòng)設(shè)備的低功耗可用性和計(jì)算資源(例如處理能力、存儲(chǔ)器、帶寬)。這些限制由于潮流趨于開發(fā)更小更輕的移動(dòng)節(jié)點(diǎn)而日益相關(guān)，這是因?yàn)殡姵睾陀?jì)算硬件必須被集成到縮減的體積中。困此，為了使移動(dòng)用戶使用與有線網(wǎng)絡(luò)用戶相同的服務(wù)，并且同時(shí)保持服務(wù)質(zhì)量，必須盡可能高效地使用移動(dòng)節(jié)點(diǎn)的硬件資源。在所述情況下，這種需求對移動(dòng)設(shè)備的影響與移動(dòng)網(wǎng)絡(luò)的安全性直接相關(guān)。
為了讀者的方便，下面列出了本說明書中使用的一些縮寫。
AES-高級加密標(biāo)準(zhǔn)(Advanced Encryption Standard)美國政府使用的當(dāng)前認(rèn)可的算法，用于保護(hù)重要數(shù)據(jù)。它針對各種使用指定了算法(Rijndael)和適當(dāng)?shù)拿荑€長度。
DES-數(shù)據(jù)加密標(biāo)準(zhǔn)(Data Encryption Standard)美國政府使用的算法，用于保護(hù)重要數(shù)據(jù)。這是對稱密鑰加密系統(tǒng)。
S-HTTP(或HTTPS)-安全超文本傳輸協(xié)議在因特網(wǎng)上安全傳送數(shù)據(jù)的協(xié)議，它被因特網(wǎng)工程任務(wù)組(IETF)批準(zhǔn)為標(biāo)準(zhǔn)。根據(jù)約定，需要安全連接的URL開始于https而不是http。
IPSec-因特網(wǎng)協(xié)議安全性因特網(wǎng)工程任務(wù)組(IETF)所定義的網(wǎng)絡(luò)協(xié)議的標(biāo)準(zhǔn)集合，以實(shí)現(xiàn)數(shù)據(jù)報(bào)在IP層的安全交換。
SSL-安全套接層Netscape所開發(fā)的協(xié)議，用于通過因特網(wǎng)傳送私人文件(例如信用卡號)，其使用私鑰來加密數(shù)據(jù)。
TLS-傳輸層安全確保通信應(yīng)用與它們的因特網(wǎng)上的用戶之間的私密性的協(xié)議。當(dāng)服務(wù)器與客戶端通信時(shí)，TLS確保沒有第三方可以竊聽或用任何消息進(jìn)行篡改。TLS是安全套接層(SSL)的后繼。
GSM-群組專用移動(dòng)通信體制英譯文是全球移動(dòng)通信系統(tǒng)。GSM是世界上最廣泛使用的數(shù)字移動(dòng)電話系統(tǒng)。
UMTS網(wǎng)絡(luò)-通用移動(dòng)電信系統(tǒng)網(wǎng)絡(luò)其是在ITU框架內(nèi)正被開發(fā)的主要第三代移動(dòng)通信技術(shù)之一。
WPA-Wi-Fi保護(hù)訪問(Wi-Fi Protected Access)Wi-Fi標(biāo)準(zhǔn)被設(shè)計(jì)用來改進(jìn)有線等效協(xié)議(WEP，Wired EquivalenceProtocol)的安全特性，即標(biāo)準(zhǔn)802.11所定義的安全機(jī)制。WPA包括兩個(gè)WEP上的改進(jìn)，即使用臨時(shí)密鑰完整性協(xié)議(TKIP，Temporal KeyIntegrity Protocol)的數(shù)據(jù)加密，和使用可擴(kuò)展認(rèn)證協(xié)議(EAP，ExtensibleAuthentication Protocol)的用戶認(rèn)證。
WiMax-微波存取全球互通(Worldwide Interoperability formicrowave access)WiMax是無線工業(yè)聯(lián)合，其成員被組織以促進(jìn)針對寬帶無線接入網(wǎng)絡(luò)的IEEE 802.16標(biāo)準(zhǔn)。期望WiMax 802.16技術(shù)實(shí)現(xiàn)利用無線連接的多媒體應(yīng)用，并使網(wǎng)絡(luò)能夠具有無線最后一英里方案。
在當(dāng)前移動(dòng)網(wǎng)絡(luò)部署中，移動(dòng)節(jié)點(diǎn)有時(shí)需要執(zhí)行多重加密和解密。當(dāng)結(jié)合本地接入網(wǎng)的安全機(jī)制使用應(yīng)用指定的安全時(shí)，通常是這種情況。首先，IEEE 802.11i規(guī)范需要使用AES或TKIP來加密無線鏈路上的通信以保護(hù)空中接口(air interface)上的業(yè)務(wù)。其次，使用SSL進(jìn)行加密的、如HTTPS的應(yīng)用指定的安全性和完整性保護(hù)被用來保護(hù)用戶和應(yīng)用服務(wù)器之間的通信；當(dāng)移動(dòng)用戶與802.11網(wǎng)絡(luò)相關(guān)聯(lián)并連接到應(yīng)用服務(wù)器時(shí)，HTTPS用來提供因特網(wǎng)上的端到端保護(hù)。這提供了非常穩(wěn)健的機(jī)制以保護(hù)用戶業(yè)務(wù)免于竊聽和數(shù)據(jù)更改。
所述方法的問題在于首先使用SSL保護(hù)來自移動(dòng)節(jié)點(diǎn)的業(yè)務(wù)，并且然后利用AES的802.11i保護(hù)被應(yīng)用于SSL加密的業(yè)務(wù)。接入點(diǎn)在接收業(yè)務(wù)時(shí)利用AES來解密相關(guān)數(shù)據(jù)，并且然后轉(zhuǎn)發(fā)SSL保護(hù)的數(shù)據(jù)報(bào)給適當(dāng)?shù)木W(wǎng)絡(luò)單元，以進(jìn)一步轉(zhuǎn)發(fā)給最終目的地(應(yīng)用服務(wù)器)。因此，在設(shè)備和接入點(diǎn)之間雙重加密了用戶業(yè)務(wù)。
類似的雙重加密方法也用在多跳無線網(wǎng)絡(luò)上的節(jié)點(diǎn)之間。具體例子是通過IPSec隧道連接到因特網(wǎng)上的VPN(虛擬專用網(wǎng))網(wǎng)關(guān)的膝上型電腦，同時(shí)針對本地?zé)o線網(wǎng)絡(luò)使用AES加密。在所述情況下，加密的IPSec業(yè)務(wù)在被發(fā)送給接入點(diǎn)之前通過WPA再次被加密。這個(gè)第二次加密是冗余的，因?yàn)樗鼰o助于安全性并降低了膝上型電腦的性能和電池壽命。對于比膝上型電腦更小型的移動(dòng)節(jié)點(diǎn)(例如PDA和蜂窩電話)，電池電源的慎重使用是很重要的。
綜上所述，針對移動(dòng)網(wǎng)絡(luò)的當(dāng)前安全解決方案包括一些形式的雙重加密/解密，無論其是在移動(dòng)節(jié)點(diǎn)和接入點(diǎn)之間，還是在無線網(wǎng)絡(luò)節(jié)點(diǎn)的之間。這致使CPU資源消耗，因?yàn)榧用苁怯?jì)算十分密集的操作。所述計(jì)算也使得電池消耗更快，并且如上所述，當(dāng)考慮認(rèn)為可接受的大小和當(dāng)前電池技術(shù)的限制時(shí)，移動(dòng)設(shè)備的供電是非常珍貴的。因此，如果避免所述重復(fù)將是非常有利的。
此外，確保不穿越OSI模型的不同層重復(fù)加密和完整性保護(hù)機(jī)制，對于需要以高效可靠的方式接入服務(wù)的設(shè)備而言是十分重要的。對于需要快速分組處理和后續(xù)處理的實(shí)時(shí)應(yīng)用，特別是這種情況。在不同網(wǎng)絡(luò)層添加冗余保護(hù)機(jī)制可以顯著降低與所述應(yīng)用相關(guān)聯(lián)的總的端到端性能比率。困難的部分是發(fā)現(xiàn)一種通過嵌入足夠信息到網(wǎng)絡(luò)數(shù)據(jù)流中而使得所述層進(jìn)行智能交互的方式，以便它們可以在網(wǎng)絡(luò)鏈路級同步它們的安全保護(hù)特性。
需要一種允許雙方通過無線網(wǎng)絡(luò)進(jìn)行通信的機(jī)制，以協(xié)商保護(hù)聯(lián)網(wǎng)通信信道的最佳方式，而無需重復(fù)與指定網(wǎng)絡(luò)層相關(guān)聯(lián)的保護(hù)特性。
也需要提供一種安全機(jī)制，該安全機(jī)制是通用的、靈活的，并且可以結(jié)合多種無線網(wǎng)絡(luò)來使用。隨著越來越多的無線網(wǎng)絡(luò)被部署，將主動(dòng)考慮對降低多重加密/解密過程的復(fù)雜度的需要，并且這也意味著標(biāo)準(zhǔn)的最終改變和不同無線標(biāo)準(zhǔn)的互配(inter-working)，以僅執(zhí)行單個(gè)加密操作。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種用于無線聯(lián)網(wǎng)環(huán)境中加密數(shù)據(jù)業(yè)務(wù)的性能增強(qiáng)的改進(jìn)的系統(tǒng)和方法。
本發(fā)明的另一個(gè)目的是提供一種用于避免移動(dòng)網(wǎng)絡(luò)中相同數(shù)據(jù)報(bào)的冗余(多重)加密的方法和系統(tǒng)。
因此，本發(fā)明提供了一種避免在移動(dòng)節(jié)點(diǎn)(MN)進(jìn)行雙重加密的方法，其中所述移動(dòng)節(jié)點(diǎn)請求與不可靠網(wǎng)絡(luò)上的遠(yuǎn)程終端的連接，該方法包括以下步驟a)建立在MN和基站(BS)之間的第一鏈路以及BS和遠(yuǎn)程終端之間的第二鏈路上的數(shù)據(jù)路徑，所述數(shù)據(jù)路徑服務(wù)于所述連接；b)用第一標(biāo)識符標(biāo)記包括機(jī)密信息的數(shù)據(jù)報(bào)，并用第二標(biāo)識符標(biāo)記不包括機(jī)密信息的數(shù)據(jù)；c)根據(jù)所述第一和第二標(biāo)識符，在所述MN加密所述數(shù)據(jù)報(bào)；以及d)在所述BS，僅對標(biāo)記以所述標(biāo)識符的數(shù)據(jù)報(bào)進(jìn)行解密。
本發(fā)明還涉及一種用于使移動(dòng)節(jié)點(diǎn)能夠通過數(shù)據(jù)路徑接入遠(yuǎn)程終端的基站(BS)，所述數(shù)據(jù)路徑具有MN和BS之間的第一鏈路以及BS和遠(yuǎn)程終端之間的第二鏈路，所述基站包括裝置，用于存儲(chǔ)第一標(biāo)識符和第二標(biāo)識符并為所述MN分配第一標(biāo)識符池和第二標(biāo)識符池；L2解密機(jī)制，用于對接收自所述MN并具有第二標(biāo)識符池中的第二標(biāo)識符的數(shù)據(jù)報(bào)進(jìn)行L2解密，并且傳送L2解密的數(shù)據(jù)報(bào)給所述遠(yuǎn)程終端而無需任何額外加密；安全鏈路表(SLT)，用于記錄接收自所述MN并具有所述第一標(biāo)識符池中的第一標(biāo)識符的數(shù)據(jù)報(bào)的源/目的地址；裝置，用于在所述SLT中標(biāo)識接收自所述遠(yuǎn)程終端的任何數(shù)據(jù)報(bào)的源/目的地址；L2加密機(jī)制，用于L2加密接收自所述遠(yuǎn)程終端的任何數(shù)據(jù)報(bào)，其中該數(shù)據(jù)報(bào)不具有所述SLT中的源/目的地址。
根據(jù)本發(fā)明的另一個(gè)方面，提供了一種用于與遠(yuǎn)程終端通過數(shù)據(jù)路徑進(jìn)行通信的移動(dòng)節(jié)點(diǎn)(MN)，其中該數(shù)據(jù)路徑具有MN和基站(BS)之間的第一鏈路以及BS和遠(yuǎn)程終端之間的第二鏈路。所述移動(dòng)節(jié)點(diǎn)包括處理裝置，用于從BS請求第一和第二標(biāo)識符，并且用第一標(biāo)識符標(biāo)記包括機(jī)密信息的數(shù)據(jù)報(bào)，而用第二標(biāo)識符標(biāo)記不包括機(jī)密信息的數(shù)據(jù)報(bào)；應(yīng)用指定的機(jī)制，用于HL加密具有第一標(biāo)識符的數(shù)據(jù)報(bào)，并且通過所述數(shù)據(jù)路徑傳送該數(shù)據(jù)報(bào)給所述遠(yuǎn)程終端；以及L2加密機(jī)制，用于L2加密具有第二標(biāo)識符的數(shù)據(jù)報(bào)，并且通過所述第一鏈路傳送該數(shù)據(jù)報(bào)給所述BS以進(jìn)行L2解密。
本發(fā)明的又一方面涉及一種避免在移動(dòng)節(jié)點(diǎn)(MN)進(jìn)行雙重加密的方法，其中所述移動(dòng)節(jié)點(diǎn)請求與連接到不可靠網(wǎng)絡(luò)的遠(yuǎn)程終端的連接，該方法包括以下步驟a)建立在MN和智能基站(iBS)之間的第一鏈路以及iBS和遠(yuǎn)程終端之間的第二鏈路上的數(shù)據(jù)路徑，所述數(shù)據(jù)路徑服務(wù)于所述連接；b)針對上行鏈路通信，在所述MN利用L2加密機(jī)制來L2加密數(shù)據(jù)報(bào)，并且傳送該L2加密的數(shù)據(jù)報(bào)給所述iBS，由此沿所述第一鏈路來L2加密業(yè)務(wù)；以及c)在所述iBS，L2解密數(shù)據(jù)報(bào)，利用應(yīng)用指定的安全機(jī)制來HL加密該數(shù)據(jù)報(bào)，并且傳送該HL加密的業(yè)務(wù)給所述遠(yuǎn)程終端，由此沿所述第二鏈路來HL加密所述業(yè)務(wù)，其中所述MN不信任所述BS。
在另一實(shí)施例中，本發(fā)明提供了一種用于使移動(dòng)節(jié)點(diǎn)能夠通過數(shù)據(jù)路徑接入遠(yuǎn)程終端的智能基站(iBS)，其中所述數(shù)據(jù)路徑具有MN和BS之間的第一鏈路以及BS和遠(yuǎn)程終端之間的第二鏈路，所述智能基站包括用于代表所述MN來創(chuàng)建并管理安全信道的裝置；用于L2解密來自所述MN的數(shù)據(jù)報(bào)并且L2加密來自所述遠(yuǎn)程終端的數(shù)據(jù)報(bào)的裝置；以及用于HL加密L2解密的數(shù)據(jù)報(bào)并且HL加密L2解密的數(shù)據(jù)報(bào)的裝置。
有利地，本發(fā)明的方法避免了冗余的雙重加密，其導(dǎo)致了有限帶寬的無線網(wǎng)絡(luò)中網(wǎng)絡(luò)資源的優(yōu)化使用。同樣，本發(fā)明允許更高效地使用移動(dòng)客戶端的計(jì)算和硬件資源，所述移動(dòng)客戶端例如是蜂窩電話、PDA、膝上型電腦等。由于根據(jù)本發(fā)明，移動(dòng)節(jié)點(diǎn)不必執(zhí)行額外的處理，因此基站可以服務(wù)于大量移動(dòng)節(jié)點(diǎn)，這因而改進(jìn)了CAPEX支出。例如，在多跳或網(wǎng)狀網(wǎng)絡(luò)實(shí)現(xiàn)中，本發(fā)明可以被用來優(yōu)化網(wǎng)絡(luò)性能而無需昂貴的硬件升級。
從用戶角度出發(fā)，主要關(guān)注的是計(jì)算和帶寬，并且因此關(guān)于所述資源的任何節(jié)約都極具優(yōu)勢。


參考附圖，根據(jù)下面對優(yōu)選實(shí)施例的具體描述，本發(fā)明的前述及其它目的、特征和優(yōu)點(diǎn)將變得顯而易見，其中圖1a-1c說明了根據(jù)本發(fā)明實(shí)施例的“每幀信令”方法，其中圖1a說明了向移動(dòng)節(jié)點(diǎn)分配標(biāo)識符，圖1b示出了應(yīng)用指定的(或HL)加密業(yè)務(wù)的流程，而圖1c示出了非HL加密業(yè)務(wù)的流程；圖2說明了根據(jù)本發(fā)明另一實(shí)施例的“iBS安全會(huì)話管理”方法；圖3示出了WLAN上的移動(dòng)終端接入VPN的傳統(tǒng)通信的例子；圖4a到4c說明了本發(fā)明的“每幀信令”方法應(yīng)用于圖3的情景，其中圖4a示出了向移動(dòng)用戶分配MAC地址，圖4b示出了HL加密業(yè)務(wù)的流程，而圖4c示出了非HL加密業(yè)務(wù)的流程；圖5說明了本發(fā)明的“iBS安全會(huì)話管理”方法應(yīng)用于圖3的情景；
圖6示出了由傳統(tǒng)移動(dòng)網(wǎng)絡(luò)中的用戶設(shè)備所執(zhí)行的雙重加密的另一情景；圖7說明了傳送到無需加密用戶業(yè)務(wù)的SGSN的機(jī)制；以及圖8是具有根據(jù)本發(fā)明的單個(gè)加密的網(wǎng)狀網(wǎng)絡(luò)的例子。
具體實(shí)施例方式
本發(fā)明的方法旨在避免冗余的雙重加密，以便優(yōu)化有限帶寬的無線網(wǎng)絡(luò)中網(wǎng)絡(luò)資源的使用。以下術(shù)語用在本說明書中用于描述本發(fā)明。
任何具有不可靠/未認(rèn)證節(jié)點(diǎn)的網(wǎng)絡(luò)，例如因特網(wǎng)，都稱為“不可靠網(wǎng)絡(luò)”或“UN”。通過不可靠網(wǎng)絡(luò)的敏感業(yè)務(wù)必須被加密并認(rèn)證。通常在TCP/IP模型的L3(這里遵循通用符號，并且在整個(gè)文獻(xiàn)中使用L3，類似地對L4使用L4，對L2使用L2)(針對公司網(wǎng)絡(luò)等)或L4(針對銀行網(wǎng)絡(luò)等)執(zhí)行所述加密。“接入網(wǎng)絡(luò)”或“AN”是移動(dòng)節(jié)點(diǎn)和基站所屬的局域網(wǎng)。IEEE 802.11i需要并規(guī)定了數(shù)據(jù)報(bào)的L2加密。
術(shù)語“移動(dòng)節(jié)點(diǎn)”或“MN”是指用于通過無線網(wǎng)絡(luò)進(jìn)行通信的設(shè)備，例如膝上型電腦、PDA(個(gè)人數(shù)字助理)、蜂窩電話等。術(shù)語“基站”或“BS”這里是指到任何遠(yuǎn)程、不可靠網(wǎng)絡(luò)的移動(dòng)節(jié)點(diǎn)的網(wǎng)關(guān)(接入點(diǎn)AP)。BS可以是WLAN接入點(diǎn)、蜂窩基站收發(fā)信機(jī)(BTS)等。術(shù)語“智能基站”或“iBS”是指包括擴(kuò)展功能性的BS，所述擴(kuò)展功能性允許它代表客戶端MN來協(xié)商應(yīng)用指定的安全會(huì)話。例如，可以代表MN協(xié)商IPSec連接的BS是iBS。
術(shù)語“遠(yuǎn)程終端”通常是指通信鏈路另一端的數(shù)據(jù)終端，其與移動(dòng)節(jié)點(diǎn)交換業(yè)務(wù)。遠(yuǎn)程終端可以是“應(yīng)用指定的安全網(wǎng)關(guān)”或“ASG”。ASG是在數(shù)據(jù)鏈路層之上的較高層使用安全協(xié)議的網(wǎng)關(guān)的通用術(shù)語。VPN網(wǎng)關(guān)或SSL網(wǎng)關(guān)是ASG的例子。遠(yuǎn)程終端也可以是數(shù)據(jù)終端，其需要或不需要對不可靠公共網(wǎng)上的業(yè)務(wù)進(jìn)行加密。應(yīng)當(dāng)指出，術(shù)語“遠(yuǎn)程”是為了便利而使用的相對的術(shù)語，并且不應(yīng)當(dāng)以任何限制性方式被解釋。
術(shù)語上行鏈路和下行鏈路是指傳輸方向，并且是相對的術(shù)語。在本說明書中，“上行鏈路”是指移動(dòng)節(jié)點(diǎn)到遠(yuǎn)程終端的方向，而“下行鏈路”是指遠(yuǎn)程終端到移動(dòng)節(jié)點(diǎn)的方向。
術(shù)語“認(rèn)證”是指確定網(wǎng)絡(luò)實(shí)體是否實(shí)際上就是其所聲稱的實(shí)體的過程。在私有和公共計(jì)算機(jī)網(wǎng)絡(luò)中(包括因特網(wǎng))，通常通過使用登錄密碼來進(jìn)行認(rèn)證。每個(gè)用戶最初使用所分配的或自己聲明的密碼進(jìn)行注冊。對于每個(gè)后續(xù)使用，用戶必須知道并使用先前聲明的密碼。所述系統(tǒng)對于重要交易(例如貨幣兌換)的缺點(diǎn)在于，密碼可能經(jīng)常被盜、意外泄露或被忘記。
術(shù)語“完整性檢查”是指確保在傳輸中不會(huì)修改所考慮的數(shù)據(jù)(信息)的過程。完整性在加密系統(tǒng)中扮演重要角色。
術(shù)語“可信/安全”基站是指滿足容量、性能、可縮放性、可用性和網(wǎng)絡(luò)管理需求的基站，以向終端用戶遞送可靠的“可信”服務(wù)。
如上所述，在移動(dòng)節(jié)點(diǎn)和到不可靠陸地網(wǎng)絡(luò)的接入點(diǎn)之間無線鏈路上的通信必須執(zhí)行如IEEE 802.11i所需的L2加密和各自的解密，此后稱為“L2加密”。移動(dòng)節(jié)點(diǎn)必須也利用在各個(gè)層可用的應(yīng)用指定的機(jī)制(IPSec、SSL等)來執(zhí)行L3或L4加密和各自的解密，后文稱為“高層(HL，higher level)加密”。只要移動(dòng)節(jié)點(diǎn)與應(yīng)用指定的安全網(wǎng)關(guān)(ASG)在不可靠網(wǎng)絡(luò)上通信，就使用HL加密/解密。為避免雙重加密，無線網(wǎng)絡(luò)中的基站(BS)需要知道已經(jīng)被HL加密的來自移動(dòng)節(jié)點(diǎn)(MN)的業(yè)務(wù)。類似地，當(dāng)MN從BS接收業(yè)務(wù)時(shí)，它需要知道是否執(zhí)行HL解密。在本說明書中提供了兩種達(dá)成上述目的的可能方式稱作“每幀信令”方法和分別地“iBS安全會(huì)話管理”方法。下面描述這兩個(gè)方法所需的BS和MN功能性。
每幀信令每幀信令方法適合大量的部署，其中BS和MN之間沒有信任關(guān)系。在這個(gè)方法中，移動(dòng)節(jié)點(diǎn)獨(dú)立地協(xié)商每個(gè)鏈路并且逐幀向基站信號通知哪些幀除了完整性檢查之外還應(yīng)當(dāng)被解密。盡管用于提供這種信令的指定方法是與實(shí)現(xiàn)相關(guān)的，然而實(shí)現(xiàn)所述方法的通用方式是使BS響應(yīng)多個(gè)目的地址。BS為每個(gè)幀分配附加標(biāo)識符，所述標(biāo)識符指示是否已經(jīng)使用高層機(jī)制加密各個(gè)幀。例如，ID x可能用于非HL加密的幀，而ID Y用于HL加密的幀。每個(gè)標(biāo)識符可能包括幀標(biāo)識符池；作為例子，ID X可能包括1到100的幀標(biāo)識符池，而ID Y可能包括101到200的幀標(biāo)識符池。BS響應(yīng)各個(gè)標(biāo)識符并且根據(jù)業(yè)務(wù)要被發(fā)往的目的地來處理該業(yè)務(wù)。
如果在已經(jīng)認(rèn)證MN之后，BS檢測到幀承載ID X的標(biāo)識符，這意味著該幀已經(jīng)在移動(dòng)節(jié)點(diǎn)被L2加密，則BS僅對該幀進(jìn)行L2解密并將其轉(zhuǎn)發(fā)給目的地。如果BS看到承載標(biāo)識符ID Y的幀，這意味著MN沒有執(zhí)行L2加密，則BS無須執(zhí)行L2解密。
圖1a到1c示出了利用每幀信令的典型會(huì)話。這里，移動(dòng)節(jié)點(diǎn)(PDA、蜂窩、膝上型電腦等)10與基站(BS)20通過無線鏈路2進(jìn)行通信，其中該無線鏈路是在移動(dòng)接入網(wǎng)絡(luò)1(無線、蜂窩)上被建立的。BS 20使移動(dòng)網(wǎng)絡(luò)1的用戶能夠接入通過例如因特網(wǎng)的不可靠網(wǎng)絡(luò)50而被連接的遠(yuǎn)程終端40或45。通常用天線20-1和數(shù)據(jù)終端20-2表示BS，而作為便攜式數(shù)據(jù)終端設(shè)備10-1和數(shù)據(jù)終端(例如膝上型電腦)10-2來表示移動(dòng)節(jié)點(diǎn)10。
所述遠(yuǎn)程終端可能是應(yīng)用指定的安全網(wǎng)關(guān)(ASG)40(見圖1b)。在所述情況下，不可靠網(wǎng)絡(luò)50上的一些通信必須一直保持安全，以避免共享機(jī)密信息(例如信用卡號、公司內(nèi)網(wǎng)上交換的機(jī)密信息等)。同樣，網(wǎng)絡(luò)50上的業(yè)務(wù)必須被HL加密。所述遠(yuǎn)程終端也可以是個(gè)人計(jì)算機(jī)45(見圖1c)。在所述情況下，不可靠網(wǎng)絡(luò)50上的通信不必總是保持機(jī)密(例如web下載)。同樣，網(wǎng)絡(luò)50上的業(yè)務(wù)可能無需加密；遠(yuǎn)程終端45作為例子而顯示為膝上型電腦，這旨在說明終端無需對通過不可靠網(wǎng)絡(luò)50所獲得的數(shù)據(jù)進(jìn)行加密。例如，遠(yuǎn)程終端45可能是無線設(shè)備，其通過各個(gè)無線網(wǎng)絡(luò)(未示出)連接到網(wǎng)絡(luò)50。還應(yīng)當(dāng)理解，設(shè)備10、20、40和45的表示是作為例子而提供的，而不旨在限制本發(fā)明的范圍。
圖1a示出了向移動(dòng)節(jié)點(diǎn)分配標(biāo)識符。當(dāng)MN 10請求接入網(wǎng)絡(luò)時(shí)，BS20首先認(rèn)證MN的身份，如步驟S1所示。其次，MN從BS請求標(biāo)識符以反映傳輸?shù)陌踩燃墸锤嬷狟S各個(gè)幀是否被HL加密。作為響應(yīng)，BS向各個(gè)MN指示哪些來自池ID X和ID Y的標(biāo)識符是空閑的，如步驟S2所示?，F(xiàn)在，根據(jù)所期望的傳輸安全等級，MN可以為各個(gè)連接選擇IDX或ID Y標(biāo)識符。如前所述，假設(shè)ID X池用于非HL加密的業(yè)務(wù)，而IDY池用于HL加密的業(yè)務(wù)。
圖1b示出了HL加密的業(yè)務(wù)的流程。在圖1a所示的初始步驟S1和S2之后，如果MN打算建立與遠(yuǎn)程終端40的安全通信鏈路，則它對所述幀進(jìn)行HL加密并且為其添加來自池ID Y的各自的標(biāo)識符，如步驟S3所示。然后MN開始傳輸HL加密的幀給BS，步驟S4。然后，在所述情況下，MN針對無線鏈路上的幀傳輸不執(zhí)行L2加密，如在現(xiàn)有技術(shù)系統(tǒng)中，這是因?yàn)樵搸呀?jīng)被HL加密。這樣，圖1所示的系統(tǒng)避免了雙重加密。
當(dāng)BS 20接收了具有ID Y池中的標(biāo)識符的幀時(shí)，BS記錄目的IP地址、分組端口、源IP地址和節(jié)點(diǎn)端口，步驟S5。所述地址信息被保持在安全鏈路表(SLT)30中。在所述情況下無需L2解密，因此BS僅執(zhí)行完整性檢查，步驟S6。
對于下行鏈路方向，數(shù)據(jù)終端(遠(yuǎn)程終端)40對所述幀進(jìn)行HL加密，并且通過不可靠網(wǎng)絡(luò)50將它們發(fā)送給基站20。下面，BS檢查源/目的IP地址和源/目的端口。如果源/目的對匹配于SLT 30中的條目，則這意味著數(shù)據(jù)被HL加密。在所述情況下，所述數(shù)據(jù)僅被發(fā)送給具有完整性檢查代碼的MN，并且不執(zhí)行/不需要無線鏈路的L2加密。
圖1c說明了非HL加密的業(yè)務(wù)的流程，這是針對當(dāng)MN打算建立與數(shù)據(jù)終端45的非安全通信鏈路時(shí)的情況。在所述情況下，MN對每個(gè)幀添加ID X標(biāo)識符，所述標(biāo)識符來自被指示為對各個(gè)應(yīng)用可用的標(biāo)識符的ID X池。一旦幀被L2加密用于無線鏈路2上的傳輸，如步驟S10所示，則將標(biāo)識符添加給該幀。然后發(fā)送L2加密的幀給BS 20，如步驟S11所示。BS接收該幀，檢查所述標(biāo)識符并識別出該幀被L2加密，以便BS對其進(jìn)行解密，如步驟S12所示。然后在網(wǎng)絡(luò)50上發(fā)送未加密的幀給遠(yuǎn)程終端，如步驟S13所示。沒有加密所述幀，這是因?yàn)椴淮蛩阍诓豢煽烤W(wǎng)絡(luò)上保密所述信息。
對于下行鏈路方向，遠(yuǎn)程終端45向BS 20發(fā)送“未加密”幀。通過查看安全鏈路表(SLT)30，基站識別出該幀沒有被L2加密。如果SLT中不存在源/目的對的條目，則基站20將ID X標(biāo)識符添加給該幀，并且所述數(shù)據(jù)利用接入網(wǎng)絡(luò)1所采用的安全機(jī)制而被L2加密。在無線鏈路2上將L2加密的幀發(fā)送給移動(dòng)節(jié)點(diǎn)10。該移動(dòng)節(jié)點(diǎn)識別出ID X標(biāo)識符并使用合適的L2L2機(jī)制來解密該幀。
表1示出了用于TCP/IP網(wǎng)絡(luò)的SLT表30的例子。
表1安全鏈路表

為實(shí)現(xiàn)每幀信令，為所述移動(dòng)節(jié)點(diǎn)配備處理裝置，用于從BS請求第一和第二標(biāo)識符并且根據(jù)其機(jī)密等級來標(biāo)記數(shù)據(jù)報(bào)。這樣，處理器將為必須在高層被加密的幀(數(shù)據(jù)報(bào))分配標(biāo)識符ID Y，而ID X用來標(biāo)識沒有通過高層機(jī)制被加密的幀。利用應(yīng)用指定的機(jī)制(IPSec、SSL等)來HL加密具有ID Y標(biāo)識符的幀，而利用各自的L2L2機(jī)制來加密具有ID X標(biāo)識符的數(shù)據(jù)報(bào)。
這個(gè)方法的重要優(yōu)勢在于，不必非常復(fù)雜或昂貴地實(shí)現(xiàn)BS，這是因?yàn)樗槐厥菓?yīng)用感知的。它根據(jù)MN添加給幀的標(biāo)識符來簡單地處理每個(gè)分組，并且如果需要對數(shù)據(jù)進(jìn)行L2加密或解密。
因此，基站應(yīng)當(dāng)包括存儲(chǔ)器，用于存儲(chǔ)對移動(dòng)節(jié)點(diǎn)可用的ID X和ID Y標(biāo)識符的池。基站也需要具有L2解密機(jī)制以對接收自MN的、具有ID X標(biāo)識符的幀進(jìn)行解密，并且發(fā)送這些幀給遠(yuǎn)程終端而無需任何進(jìn)一步的加密。BS維護(hù)安全鏈路表(SLT)，所述表具有與ID Y標(biāo)識符相關(guān)聯(lián)的幀的各個(gè)IP源/目的地址/端口，以及用于在SLT中標(biāo)識接收自遠(yuǎn)程終端的任何幀的源/目的地址的一些裝置。如果幀的地址信息不在SLT中，則在發(fā)送幀給MN之前，傳遞各個(gè)幀給L2加密機(jī)制以進(jìn)行L2加密。
每幀的方法補(bǔ)充了iBS方法(下面將討論)，并且可以用在以下情景中1.BS不受MN信任；2.BS不具有足夠的硬件資源來代表大量MN高效地管理會(huì)話；3.BS不是非常安全的，在這種情況下，對BS妥協(xié)并沒有對MN到ASG的鏈路妥協(xié)；4.存在大量所需應(yīng)用指定的安全機(jī)制，在這種情況下，BS不必知道MN用來提供安全性的每個(gè)應(yīng)用。
iBS安全會(huì)話管理通過所述方法，通過使用應(yīng)用感知的智能基站(iBS)來實(shí)現(xiàn)單個(gè)加密。MN必須信任iBS，以使得所述方法有效。除了標(biāo)準(zhǔn)BS功能性之外，iBS具有三個(gè)“智能”能力。即，BS具有用于代表MN創(chuàng)建并管理安全信道的裝置；用于通過應(yīng)用指定的機(jī)制針對UN另一側(cè)的ASG加密數(shù)據(jù)的裝置；以及用于解密來自ASG的數(shù)據(jù)并通過本地安全機(jī)制轉(zhuǎn)發(fā)該數(shù)據(jù)給目的MN的裝置。
圖2示出了可能使用iBS安全會(huì)話管理方法的配置。在所述情景中，MN 10打算利用應(yīng)用指定的安全機(jī)制與UN 50另一側(cè)的應(yīng)用指定的安全網(wǎng)關(guān)(ASG)40進(jìn)行通信。智能基站iBS 25用作移動(dòng)網(wǎng)絡(luò)1和不可靠網(wǎng)絡(luò)50之間的接入點(diǎn)。如圖1a所示的情景中，首先由具有各個(gè)無線網(wǎng)絡(luò)機(jī)制的iBS 25對MN 10進(jìn)行認(rèn)證，步驟S10。其次，MN 10發(fā)送“打開會(huì)話”請求給iBS 25，步驟S20，以請求到由ASG 40所托管的服務(wù)的連接。iBS利用由MN發(fā)送的證書來創(chuàng)建與ASG 40的安全會(huì)話，如步驟S21所示。
ASG以相同方式運(yùn)轉(zhuǎn)，好像它直接連接到MN。
此后，MN 10利用本地機(jī)制(例如由像802.11i、802.16或其它無線協(xié)議的無線標(biāo)準(zhǔn)所定義的AES/DES加密或其它加密)來加密業(yè)務(wù)，步驟S21，并且通過無線鏈路2發(fā)送L2加密的業(yè)務(wù)，如步驟S22所示。iBS然后L2解密該業(yè)務(wù)，并且利用任何HL機(jī)制來重新加密該業(yè)務(wù)，如步驟S23所示。為此，iBS維護(hù)映射表35；如下示出這種表的例子表2L2_HL映射表

表2示出了當(dāng)需要針對移動(dòng)節(jié)點(diǎn)-安全網(wǎng)狀方向建立安全連接時(shí)所填充(populate)的參數(shù)。即，在所述例子中表2包括映射到各自ASG地址(145.160.12.12)的移動(dòng)節(jié)點(diǎn)地址(例如128.133.21.14)，以及各個(gè)用于加密和消息認(rèn)證(AES和HMAC)的算法。也存儲(chǔ)了相應(yīng)的密鑰。如果所使用算法和密鑰不同于從MN到安全網(wǎng)關(guān)的業(yè)務(wù)流所用的那些，則可以維護(hù)從安全網(wǎng)關(guān)到MN的業(yè)務(wù)流的另一個(gè)表。
然后發(fā)送HL加密的業(yè)務(wù)給ASG 40，如步驟S24所示。當(dāng)MN不再希望與ASG 40通信時(shí)，它發(fā)送“關(guān)閉會(huì)話”的消息給iBS，如步驟S25所示。iBS因而關(guān)閉與ASG的會(huì)話，如步驟S26所示。
在下行鏈路方向中，iBS 25通過各自應(yīng)用指定的機(jī)制來執(zhí)行源自ASG40、去往MN 10的業(yè)務(wù)的解密。它也執(zhí)行L2加密以在無線鏈路2上傳輸幀；這樣，通過接入網(wǎng)絡(luò)1的安全機(jī)制來保護(hù)所述業(yè)務(wù)。MN對該業(yè)務(wù)進(jìn)行L2解密，并且無須執(zhí)行任何HL解密。由于iBS執(zhí)行了能量和處理功耗HL加密和解密，因此MN在它交換業(yè)務(wù)的方式中看不到差異。
所述方法的主要優(yōu)勢是MN在處理周期和電池壽命方面的更好性能。除了指示iBS打開與ASG的會(huì)話的初始消息，以及指示iBS關(guān)閉該會(huì)話的最終消息，移動(dòng)節(jié)點(diǎn)對于發(fā)送業(yè)務(wù)給ASG并沒有招致性能損失。在iBS進(jìn)行所有連接管理，該iBS是固定的并且可假設(shè)具有比MN更高的性能和數(shù)據(jù)處理能力。如果MN信任iBS，則所述方法對于進(jìn)行部署是合適的；iBS具有足夠的硬件資源來代表大量MN高效管理會(huì)話；iBS是非常安全的，這是因?yàn)閷BS妥協(xié)意味著對MN/ASG鏈路妥協(xié)；并且所需應(yīng)用指定的安全機(jī)制的數(shù)量合理地是較低的，這是因?yàn)榉駝tiBS實(shí)現(xiàn)將變得非常復(fù)雜。其中可以使用iBS的例子是到公司網(wǎng)絡(luò)的VPN連接，其中iBS提供IPSec連接給ASG。在所述情況下，ASG在企業(yè)/公司網(wǎng)絡(luò)的邊緣像安全網(wǎng)關(guān)那樣工作。
應(yīng)當(dāng)指出，對于節(jié)點(diǎn)可能不總是必須明確告知iBS去打開會(huì)話-在其中ASG、iBS和MN都相互信任的情景中，iBS可以無縫地?cái)r截MN的安全會(huì)話建立消息并代替MN打開到ASG的鏈路。
下面提供本說明書中提出的解決方案的例子，以便說明本發(fā)明的實(shí)現(xiàn)；所述例子不旨在限制本發(fā)明的應(yīng)用。第一例子涉及WLAN(無線LAN)，其中MN試圖通過BS或iBS與UN另一側(cè)的ASG進(jìn)行通信。表2中概述了該例子的參數(shù)。
表2應(yīng)用指定的例子WLAN

圖3示出了傳統(tǒng)的移動(dòng)VPN接入情景。在所述例子中，漫游用戶10試圖通過使用他/她的PDA 10-1和移動(dòng)VPN客戶端10-2，從WLAN 1熱點(diǎn)(hotspot)接入公司網(wǎng)絡(luò)。
在當(dāng)前移動(dòng)VPN接入情景中，需要PDA在兩個(gè)層執(zhí)行加密和認(rèn)證。實(shí)際上，MN 10和VPN網(wǎng)關(guān)60之間的數(shù)據(jù)路徑包括兩個(gè)鏈路因特網(wǎng)(UN)55上的無線鏈路2和鏈路3。兩個(gè)鏈路上的業(yè)務(wù)必須被加密。需要安全鏈路3，這是因?yàn)閂PN網(wǎng)關(guān)保護(hù)公司網(wǎng)絡(luò)上的敏感信息。需要安全鏈路2，以保護(hù)PDA通信的私密性和WLAN使用日志的完整性。例如，當(dāng)用戶瀏覽web和下載數(shù)據(jù)時(shí)，出于私密性和安全的原因，他/她不希望周圍節(jié)點(diǎn)可以獲得他/她的個(gè)人信息和/或下載行為。實(shí)際上，當(dāng)沒有應(yīng)用加密時(shí)，可以在無線接口上容易地竊聽所述信息。
同樣，在AP 21和VPN網(wǎng)關(guān)60都必須執(zhí)行認(rèn)證。為了計(jì)費(fèi)、防抵賴等目的，接入點(diǎn)21必須確信其所服務(wù)的每個(gè)移動(dòng)節(jié)點(diǎn)的身份。因此，在WLAN也需要認(rèn)證。由于VPN使用限于授權(quán)用戶，因此也需要VPN網(wǎng)關(guān)60處的認(rèn)證。因此，當(dāng)前實(shí)現(xiàn)需要在VPN網(wǎng)關(guān)60的認(rèn)證，以及在WLAN1的加密和認(rèn)證。
這些需求使得與VPN網(wǎng)關(guān)的通信對于PDA來說相當(dāng)昂貴。為了發(fā)送消息給公司網(wǎng)絡(luò)，PDA 10首先需要針對VPN網(wǎng)關(guān)對該消息進(jìn)行HL加密(應(yīng)用指定的加密)，并且然后針對接入點(diǎn)再次加密所述密文(L2加密)。類似地，當(dāng)它接收了來自公司網(wǎng)絡(luò)的消息時(shí)，PDA 10需要對它解密兩次。由于兩個(gè)加密機(jī)制是獨(dú)立安全的，因此所述雙重加密/解密是冗余的并且它不必要地縮短了電池壽命并消耗了PDA的硬件資源。可以利用上述任何方法來解決所述低效性。
下面是利用根據(jù)本發(fā)明的每幀信令的可能解決方案的描述和說明。如在圖3的例子中，圖4說明了移動(dòng)客戶端10、如圖1a-1c中的BS(接入點(diǎn))20和VPN網(wǎng)關(guān)60之間的業(yè)務(wù)流。在這個(gè)方法中，接入點(diǎn)使用其固定(regular)MAC地址，以及應(yīng)用指定的MAC地址。例如，假設(shè)固定MAC地址是MAC Z，而應(yīng)用指定的MAC地址是MAC 0(地址00:00:00:00:00:00)。應(yīng)當(dāng)指出，不必使用MAC 0來表示HL加密的業(yè)務(wù)。這個(gè)表示可以是任何MAC，只要接入點(diǎn)將配置告知網(wǎng)絡(luò)。在不太可能的事件中，具有沖突MAC地址的節(jié)點(diǎn)進(jìn)入網(wǎng)絡(luò)，接入點(diǎn)可以改變其HL加密MAC并且廣播新的MAC給認(rèn)證過的節(jié)點(diǎn)。
圖4a示出了向移動(dòng)用戶分配MAC地址。當(dāng)PDA發(fā)送幀給AP 20時(shí)，建立認(rèn)證步驟S30，并且AP 20向PDA通知可用MAC地址(MAC Z和MAC 0)，以指示消息是否被L2加密，如步驟S31所示。
圖4b示出了利用本發(fā)明的每幀信令方法的HL加密業(yè)務(wù)的流程。在所述情況下，PDA 10僅執(zhí)行HL加密，如步驟S32所示。通過發(fā)送幀給MAC0地址，步驟S33，PDA向AP通知已經(jīng)利用應(yīng)用指定的機(jī)制對用MAC報(bào)頭封裝的數(shù)據(jù)進(jìn)行加密(HL加密)。AP監(jiān)聽去往MAC Z或MAC 0的幀，如步驟S34所示。一旦它識別出幀具有MAC 0地址，AP 20就僅對該幀進(jìn)行完整性檢查，如步驟S35所示，并且將該幀轉(zhuǎn)發(fā)給VPN網(wǎng)關(guān)60，步驟S36。由于在所述情景中，接入點(diǎn)20僅對業(yè)務(wù)進(jìn)行完整性檢查并轉(zhuǎn)發(fā)它，因此所述接入點(diǎn)既不必是受信任的也不必是應(yīng)用層感知的，這使得它適合在普遍存在的環(huán)境中部署，如公共熱點(diǎn)等。
圖4c示出了非HL加密業(yè)務(wù)的流程。在所述情況中，PDA使用MACZ地址。PDA對業(yè)務(wù)進(jìn)行L2加密以確保它安全穿越無線鏈路2，步驟S42，并且發(fā)送幀給MAC Z地址，步驟S43。AP監(jiān)聽去往MAC Z或MAC 0的幀，如步驟S44所示。一旦它識別出幀具有MAC Z，AP 20就對該幀進(jìn)行L2解密，如步驟S45所示，并且在因特網(wǎng)55上轉(zhuǎn)發(fā)未加密業(yè)務(wù)給VPN網(wǎng)關(guān)，步驟S46。
下面結(jié)合圖5描述并說明針對圖3上述指定WLAN的例子的、利用iBS安全會(huì)話管理解決方案的可能解決方案。PDA 10和AP 25所執(zhí)行的第一步是認(rèn)證，表示為S50。其次，PDA發(fā)送所認(rèn)證的“打開會(huì)話”消息給iBS，步驟S51。假設(shè)所選認(rèn)證方法是預(yù)共享密鑰(PSK)。PDA也與所述消息一起發(fā)送其IKE(因特網(wǎng)密鑰交換)證書。IKE是IETF RFC 2409中規(guī)定的IPSec(因特網(wǎng)協(xié)議安全性)標(biāo)準(zhǔn)協(xié)議，其用來確保虛擬專用網(wǎng)(VPN)協(xié)商和遠(yuǎn)程主機(jī)或網(wǎng)絡(luò)接入的安全。IKE定義了IPSec安全關(guān)聯(lián)的協(xié)商和認(rèn)證的自動(dòng)方式。
在接收所述消息和PSK之后，iBS與VPN網(wǎng)關(guān)進(jìn)行IKE協(xié)商，步驟S52，并且創(chuàng)建到公司網(wǎng)絡(luò)的IPSec隧道3。從此開始，仍然僅針對WLAN(L2L2)加密PDA所發(fā)出的任何業(yè)務(wù)，步驟S53。當(dāng)iBS發(fā)現(xiàn)去往VPN網(wǎng)關(guān)60的業(yè)務(wù)時(shí)，對其進(jìn)行解密，步驟S54，并在將其轉(zhuǎn)發(fā)到VPN之前，如步驟S56所示，根據(jù)協(xié)商的IPSec SA對其進(jìn)行HL加密，如步驟S55所示。如果所述業(yè)務(wù)不是去往VPN，例如用戶正在網(wǎng)上沖浪，則僅在步驟S54對該業(yè)務(wù)進(jìn)行L2解密，并將其未加密地發(fā)送出，步驟S57。
為結(jié)束會(huì)話，PDA在步驟S58發(fā)送“關(guān)閉鏈路”消息給AP 25，此時(shí)AP刪除到公司網(wǎng)絡(luò)的IPSec隧道以及IKE和SA，如步驟S59所示。
對于反向方向，當(dāng)iBS 25從VPN網(wǎng)關(guān)60接收業(yè)務(wù)時(shí)，iBS根據(jù)在步驟S52所協(xié)商的IPSec SA解密該業(yè)務(wù)，并且然后根據(jù)針對WLAN所協(xié)商的機(jī)制、針對PDA對該業(yè)務(wù)進(jìn)行L2加密。這樣，PDA可以避免多重冗余加密。
下面針對通用移動(dòng)電信系統(tǒng)(UMTS)網(wǎng)絡(luò)描述并說明本發(fā)明應(yīng)用的另一個(gè)例子。圖6示出了利用傳統(tǒng)方法在UMTS網(wǎng)絡(luò)中用戶設(shè)備10和應(yīng)用服務(wù)器40之間所建立的連接。UMTS網(wǎng)絡(luò)使用這里用24表示的服務(wù)GPRS(通用分組無線服務(wù))支持節(jié)點(diǎn)(SGSN)和這里用26表示的網(wǎng)關(guān)GPRS支持節(jié)點(diǎn)(GGSN)。SGSN 24是移動(dòng)核心節(jié)點(diǎn)，它負(fù)責(zé)在其地理服務(wù)區(qū)域內(nèi)從和向移動(dòng)臺傳送數(shù)據(jù)分組。其任務(wù)包括分組路由和傳送、移動(dòng)性管理(附著/去附著和位置管理)、邏輯鏈路管理、認(rèn)證、攔截和計(jì)費(fèi)功能。GGSN 26具有互連GPRS網(wǎng)絡(luò)和例如是因特網(wǎng)的外部網(wǎng)絡(luò)的功能。GGSN可以幫助移動(dòng)分組網(wǎng)絡(luò)運(yùn)營商演進(jìn)為高增值服務(wù)的提供商。
在無線接入網(wǎng)(RAN)28中，用戶設(shè)備(UE)10執(zhí)行上行鏈路業(yè)務(wù)(MN到BS)的加密，而在RAN中的無線網(wǎng)絡(luò)控制器(RNC)22或任何其它網(wǎng)絡(luò)實(shí)體處執(zhí)行解密。對于下行鏈路業(yè)務(wù)，RNC對業(yè)務(wù)進(jìn)行L2加密，并且UE對其解密。這是根據(jù)3GPP(第三代合作伙伴)的UMTS認(rèn)證和密鑰協(xié)定(UMTS-AKA(Authentication Key Agreement))規(guī)范。
當(dāng)前，如圖6所示，當(dāng)UE 10連接到應(yīng)用服務(wù)器40時(shí)，需要UE來加密業(yè)務(wù)以在其通過因特網(wǎng)時(shí)保護(hù)它，這是因?yàn)閁MTS-AKA不在無線接入網(wǎng)(RAN)28之外保護(hù)該業(yè)務(wù)。由于AS 40使用HTTPS(SSL/TLS)，UE必須使用如SSL/TLS的協(xié)議和由SSL/TLS所協(xié)商的算法來加密用戶業(yè)務(wù)。這些例如是計(jì)算密集的加密引擎，如DES、AES。此外，通過使用基于由3GPP定義的Kasumi(產(chǎn)生64比特輸出到64比特輸入并使用128比特密鑰的塊加密(block cipher))的f8算法，由UE來執(zhí)行雙重加密以保護(hù)(UMTS內(nèi))無線業(yè)務(wù)。因此，在通常情況下，首先使用AES/DES或其它針對SSL/TLS的方法來加密來自MN的用戶數(shù)據(jù)，然后使用f8在UMTS無線層再次加密該業(yè)務(wù)，并且然后使用UMTS協(xié)議發(fā)送該業(yè)務(wù)到RAN。再次，所述業(yè)務(wù)在圖6所示的例子中經(jīng)歷了多重加密。
圖7說明了這樣的機(jī)制，其中不需要傳送給SGSN的無線層的用戶業(yè)務(wù)的加密，這意味著將不使用f8來加密由MN發(fā)送到BS的用戶業(yè)務(wù)，并且因此BS不應(yīng)當(dāng)試圖解密該業(yè)務(wù)，而是替代地僅檢查完整性并按原樣轉(zhuǎn)發(fā)該業(yè)務(wù)。通過采用如上所述的選擇性加密方法，UE在PDP(分組數(shù)據(jù)協(xié)議)上下文激活階段向SGSN通知不需要無線用戶業(yè)務(wù)的加密，如步驟S60和S61所示。所述信息然后被傳送至RNC22，其因而針對上行鏈路不使用L2解密，如步驟S62所示，并且針對下行鏈路不使用L2加密，如步驟S63所示。然后僅使用SSL/TLS來保護(hù)用戶10和應(yīng)用服務(wù)器40之間的業(yè)務(wù)，如步驟S64所示。
下面針對多跳/網(wǎng)狀網(wǎng)絡(luò)結(jié)合圖8描述并說明本發(fā)明應(yīng)用的另一個(gè)例子。不像傳統(tǒng)無線網(wǎng)絡(luò)，多跳無線網(wǎng)絡(luò)是這樣的網(wǎng)絡(luò)其中來自無線設(shè)備的數(shù)據(jù)報(bào)/分組從一個(gè)無線設(shè)備/基站跳到另一個(gè)，直到達(dá)到目的地。在所述情況下，目的地不必是另一個(gè)無線設(shè)備；它也可以是固定設(shè)備?？梢酝ㄟ^不同的標(biāo)準(zhǔn)和協(xié)議來保護(hù)通過這些無線/固定跳中每一個(gè)的業(yè)務(wù)。存在針對公共居民服務(wù)的802.11WLAN的當(dāng)前部署，其中用戶連接到802.11b接入點(diǎn)，并且然后利用802.11a將業(yè)務(wù)傳送到聚集單元以在固定線路上傳輸。
在這種網(wǎng)絡(luò)中，執(zhí)行加密/解密且然后在每個(gè)基站或接入點(diǎn)重新加密的成本是非常高的。需要對BS/接入點(diǎn)處的所有上行鏈路業(yè)務(wù)進(jìn)行解密，并且然后對下一個(gè)無線跳重新加密該業(yè)務(wù)；針對下行鏈路業(yè)務(wù)重復(fù)所述過程。這些操作甚至對大型基站而言也是非常昂貴的，特別是當(dāng)所述網(wǎng)狀網(wǎng)絡(luò)的核心部分必須針對大量移動(dòng)節(jié)點(diǎn)執(zhí)行它們時(shí)。
如圖8所示，客戶端C1和客戶端C2之間的通信通過因特網(wǎng)并且通過網(wǎng)狀網(wǎng)絡(luò)100。所述網(wǎng)狀網(wǎng)絡(luò)包括因特網(wǎng)和例如AP1、AP2、AP3的接入點(diǎn)AP之間的固定鏈路(有線)，以及無線路由器WR1-WR5之間的無線鏈路。原則上，接入點(diǎn)利用WiMax(如802.16或802.20的無線協(xié)議)與無線路由器通信，而無線路由器利用802.11a相互之間通信?？蛻舳薈1和無線路由器WR2利用802.11b通信。每個(gè)標(biāo)準(zhǔn)具有其自己的加密和解密機(jī)制，并且因此必須在每個(gè)無線跳加密并解密業(yè)務(wù)。在高層，利用SSL/TLS或其它高層安全協(xié)議來保護(hù)C1和C2之間的通信。
利用本發(fā)明，可以選擇不對接入點(diǎn)AP2和無線路由器WR1之間、無線路由器WR1和無線路由器WR2之間以及無線路由器WR2和客戶端C1之間的通信進(jìn)行加密。本發(fā)明也可以用來避免在C1與至公司網(wǎng)絡(luò)85的安全網(wǎng)關(guān)(ASG)之間承載業(yè)務(wù)的數(shù)據(jù)路徑上的雙重加密。一旦利用IPSec/ESP(HL加密)保護(hù)數(shù)據(jù)路徑，就不必在L2(無線層)、在沿所述路徑的任何設(shè)備(C1，WR2，WR1，AP2，ASG)處執(zhí)行加密。
應(yīng)當(dāng)指出，如果接入點(diǎn)和WR以及客戶端之間的通信都使用相同的無線標(biāo)準(zhǔn)，則可以從C1到接入點(diǎn)AP1端到端地使用第二層加密，而無需每個(gè)中間跳選擇不加密/解密業(yè)務(wù)。然后利用高層來加密從接入點(diǎn)到C2的業(yè)務(wù)。
權(quán)利要求
1.一種避免在移動(dòng)節(jié)點(diǎn)(MN)進(jìn)行雙重加密的方法，所述移動(dòng)節(jié)點(diǎn)請求與不可靠網(wǎng)絡(luò)上的遠(yuǎn)程終端的連接，該方法包括下列步驟a)建立在所述移動(dòng)節(jié)點(diǎn)和基站(BS)之間第一鏈路以及所述基站和所述遠(yuǎn)程終端之間第二鏈路上的數(shù)據(jù)路徑，所述數(shù)據(jù)路徑服務(wù)于所述連接；b)用第一標(biāo)識符標(biāo)記包括機(jī)密信息的數(shù)據(jù)報(bào)，并且用第二標(biāo)識符標(biāo)記不包括機(jī)密信息的數(shù)據(jù)報(bào)；c)根據(jù)所述第一和第二標(biāo)識符，在所述移動(dòng)節(jié)點(diǎn)加密所述數(shù)據(jù)報(bào)；以及d)在所述基站，僅對標(biāo)記以所述標(biāo)識符的數(shù)據(jù)報(bào)進(jìn)行解密。
2.根據(jù)權(quán)利要求1的方法，其中，所述步驟a)針對上行鏈路方向包括在所述基站認(rèn)證所述移動(dòng)節(jié)點(diǎn)；以及向所述移動(dòng)節(jié)點(diǎn)通知第一標(biāo)識符池以及第二標(biāo)識符池。
3.根據(jù)權(quán)利要求1的方法，其中，所述步驟b)包括選擇所述第一和第二標(biāo)識符之一，并且將所述各個(gè)標(biāo)識符添加到所述連接的數(shù)據(jù)報(bào)。
4.根據(jù)權(quán)利要求3的方法，其中，將所述第一和第二標(biāo)識符添加到所述數(shù)據(jù)報(bào)的地址信息。
5.根據(jù)權(quán)利要求2的方法，其中，所述步驟c)包括利用應(yīng)用指定的安全機(jī)制來對具有所述第一標(biāo)識符的數(shù)據(jù)報(bào)進(jìn)行高層加密，并發(fā)送該高層加密的業(yè)務(wù)給所述遠(yuǎn)程終端，由此所述業(yè)務(wù)沿所述整個(gè)路徑被高層加密；以及利用第二層加密機(jī)制來對具有所述第二標(biāo)識符的數(shù)據(jù)報(bào)進(jìn)行第二層加密，并且沿所述無線鏈路發(fā)送該數(shù)據(jù)報(bào)給所述基站以進(jìn)行第二層解密。
6.根據(jù)權(quán)利要求5的方法，其中，所述步驟d)針對具有所述第一標(biāo)識符的數(shù)據(jù)報(bào)包括將所述數(shù)據(jù)報(bào)的源/目的地址記錄到安全鏈路表(SLT)中，所述源/目的地址指示了所述遠(yuǎn)程終端是應(yīng)用指定的安全網(wǎng)關(guān)(ASG)；以及在重傳至所述應(yīng)用指定的安全網(wǎng)關(guān)之前，身份檢查所述數(shù)據(jù)報(bào)。
7.根據(jù)權(quán)利要求5的方法，其中，所述步驟d)針對具有所述第二標(biāo)識符的數(shù)據(jù)報(bào)包括對所述數(shù)據(jù)報(bào)進(jìn)行第二層解密，并且發(fā)送該未加密的數(shù)據(jù)報(bào)給所述遠(yuǎn)程終端。
8.根據(jù)權(quán)利要求7的方法，該方法還包括針對下行鏈路方向、在所述基站確定所述數(shù)據(jù)報(bào)的源/目的地址是否在所述安全鏈路表中；如果所述數(shù)據(jù)報(bào)的源/目的地址不在所述安全鏈路表中，則添加第二標(biāo)識符給所述數(shù)據(jù)報(bào)；以及第二層加密具有所述第二標(biāo)識符的數(shù)據(jù)報(bào)。否則，直接發(fā)送所述高層加密的數(shù)據(jù)報(bào)給所述移動(dòng)節(jié)點(diǎn)。
9.根據(jù)權(quán)利要求8的方法，該方法還包括在所述遠(yuǎn)程終端針對機(jī)密信息，高層加密所述數(shù)據(jù)報(bào)并發(fā)送該高層加密的數(shù)據(jù)報(bào)給所述移動(dòng)節(jié)點(diǎn)，由此所述業(yè)務(wù)沿所述整個(gè)數(shù)據(jù)路徑被高層加密；以及針對非機(jī)密信息，沿所述不可靠路徑向所述基站發(fā)送未加密業(yè)務(wù)。
10.根據(jù)權(quán)利要求5的方法，其中，所述應(yīng)用指定的安全機(jī)制是以下機(jī)制之一因特網(wǎng)協(xié)議安全性、安全套接層和傳輸層安全。
11.根據(jù)權(quán)利要求5的方法，其中，所述第二層加密機(jī)制是高級加密標(biāo)準(zhǔn)、有線等效協(xié)議、臨時(shí)密鑰完整性協(xié)議之一。
12.一種用于使移動(dòng)節(jié)點(diǎn)能夠通過數(shù)據(jù)路徑接入遠(yuǎn)程終端的基站(BS)，所述數(shù)據(jù)路徑具有所述移動(dòng)節(jié)點(diǎn)和所述基站之間的第一鏈路以及所述基站和所述遠(yuǎn)程終端之間的第二鏈路，所述基站包括裝置，用于存儲(chǔ)第一標(biāo)識符和第二標(biāo)識符，并且向所述移動(dòng)節(jié)點(diǎn)分配第一標(biāo)識符池和第二標(biāo)識符池；第二層解密機(jī)制，用于對接收自所述移動(dòng)節(jié)點(diǎn)并具有所述第二標(biāo)識符池中的第二標(biāo)識符的數(shù)據(jù)報(bào)進(jìn)行第二層解密，并且發(fā)送該第二層解密的數(shù)據(jù)報(bào)給所述遠(yuǎn)程終端而無需任何額外加密；安全鏈路表(SLT)，用于記錄接收自所述移動(dòng)節(jié)點(diǎn)并具有所述第一標(biāo)識符池中的第一標(biāo)識符的數(shù)據(jù)報(bào)的源/目的地址；裝置，用于在所述安全鏈路表中標(biāo)識接收自所述遠(yuǎn)程終端的任何數(shù)據(jù)報(bào)的源/目的地址；第二層加密機(jī)制，用于第二層加密接收自所述遠(yuǎn)程終端的任何數(shù)據(jù)報(bào)，其中該數(shù)據(jù)報(bào)不具有所述安全鏈路表中的源/目的地址。
13.根據(jù)權(quán)利要求12的基站，其還包括用于通過所述第二鏈路發(fā)送所述第二層解密的數(shù)據(jù)報(bào)給所述遠(yuǎn)程終端的裝置。
14.根據(jù)權(quán)利要求12的基站，其還包括用于通過所述第一鏈路發(fā)送所述高層加密的數(shù)據(jù)報(bào)或所述第二層加密的數(shù)據(jù)報(bào)給所述移動(dòng)節(jié)點(diǎn)的裝置。
15.一種用于與遠(yuǎn)程終端通過數(shù)據(jù)路徑進(jìn)行通信的移動(dòng)節(jié)點(diǎn)(MN)，其中所述數(shù)據(jù)路徑具有所述移動(dòng)節(jié)點(diǎn)和基站之間的第一鏈路以及所述基站和所述遠(yuǎn)程終端之間的第二鏈路，所述移動(dòng)節(jié)點(diǎn)包括處理裝置，用于從所述基站請求第一和第二標(biāo)識符，并且用所述第一標(biāo)識符標(biāo)記包含機(jī)密信息的數(shù)據(jù)報(bào)并用第二標(biāo)識符標(biāo)記不包含機(jī)密信息的數(shù)據(jù)報(bào)；應(yīng)用指定的機(jī)制，用于高層加密所述具有第一標(biāo)識符的數(shù)據(jù)報(bào)，并且在所述數(shù)據(jù)路徑上發(fā)送該數(shù)據(jù)報(bào)給所述遠(yuǎn)程終端；以及第二層加密機(jī)制，用于第二層加密所述具有第二標(biāo)識符的數(shù)據(jù)報(bào)，并且在所述第一鏈路上發(fā)送該數(shù)據(jù)報(bào)給所述基站用于進(jìn)行第二層解密。
16.一種用于避免在移動(dòng)節(jié)點(diǎn)(MN)進(jìn)行雙重加密的方法，其中所述移動(dòng)節(jié)點(diǎn)請求與連接到不可靠網(wǎng)絡(luò)的遠(yuǎn)程終端的連接，該方法包括下列步驟a)建立在所述移動(dòng)節(jié)點(diǎn)和智能基站(iBS)之間第一鏈路以及所述智能基站和所述遠(yuǎn)程終端之間第二鏈路上的數(shù)據(jù)路徑，所述數(shù)據(jù)路徑服務(wù)于所述連接；b)針對上行鏈路通信，在所述移動(dòng)節(jié)點(diǎn)利用第二層加密機(jī)制來第二層加密數(shù)據(jù)報(bào)，并且沿所述第一鏈路發(fā)送該第二層加密的數(shù)據(jù)報(bào)給所述智能基站；以及c)在所述智能基站，第二層解密所述數(shù)據(jù)報(bào)，利用應(yīng)用指定的安全機(jī)制來高層加密該數(shù)據(jù)報(bào)，并且沿所述第二鏈路發(fā)送所述高層加密的業(yè)務(wù)給所述遠(yuǎn)程終端，其中，所述移動(dòng)節(jié)點(diǎn)不信任所述基站。
17.根據(jù)權(quán)利要求16的方法，其中，所述遠(yuǎn)程終端是應(yīng)用指定的安全網(wǎng)關(guān)。
18.根據(jù)權(quán)利要求16的方法，其中，所述步驟a)在所述智能基站包括檢驗(yàn)所述移動(dòng)節(jié)點(diǎn)的可靠性；響應(yīng)于來自所述移動(dòng)節(jié)點(diǎn)的“打開會(huì)話”，協(xié)商所述不可靠網(wǎng)絡(luò)上的所述第二鏈路的建立；以及響應(yīng)于“關(guān)閉會(huì)話請求”，關(guān)閉所述第二鏈路。
19.根據(jù)權(quán)利要求16的方法，其中，所述步驟c)包括在所述智能基站維護(hù)第二層-高層映射表，其提供第二層解密應(yīng)用和所述應(yīng)用指定的安全機(jī)制之間的對應(yīng)關(guān)系，其中該第二層解密應(yīng)用是用于對通過所述第一鏈路所接收的數(shù)據(jù)報(bào)進(jìn)行第二層解密，該應(yīng)用指定的安全機(jī)制是用于對通過所述第二鏈路所發(fā)送的數(shù)據(jù)報(bào)進(jìn)行高層加密。
20.根據(jù)權(quán)利要求19的方法，其中，所述第一鏈路是用所述移動(dòng)節(jié)點(diǎn)的地址來標(biāo)識的，而所述第二鏈路是用所述遠(yuǎn)程終端的地址來標(biāo)識的。
21.根據(jù)權(quán)利要求19的方法，其中，所述第二層-高層映射表還包括由所述應(yīng)用指定的安全機(jī)制所使用的安全密鑰。
22.根據(jù)權(quán)利要求16的方法，該方法針對所述數(shù)據(jù)路徑上的下行鏈路通信還包括a)在所述遠(yuǎn)程終端，通過所述第二鏈路向所述智能基站發(fā)送去往所述移動(dòng)節(jié)點(diǎn)的高層加密的數(shù)據(jù)報(bào)；b)在所述智能基站，解密所述高層加密的數(shù)據(jù)報(bào)，第二層加密所述數(shù)據(jù)報(bào)，并且通過所述第一鏈路發(fā)送所述第二層加密的數(shù)據(jù)報(bào)給所述移動(dòng)節(jié)點(diǎn)。
23.根據(jù)權(quán)利要求17的方法，其中，所述步驟e)包括在所述智能基站維護(hù)第二層-高層映射表，其提供了所述應(yīng)用指定的安全機(jī)制與第二層解密應(yīng)用之間的對應(yīng)關(guān)系，其中該應(yīng)用指定的安全機(jī)制是用于對通過所述第二鏈路所發(fā)送的數(shù)據(jù)報(bào)進(jìn)行高層加密，該第二層解密應(yīng)用是用于對通過所述第一鏈路所接收的數(shù)據(jù)報(bào)進(jìn)行第二層解密。
24.一種用于使移動(dòng)節(jié)點(diǎn)能夠通過數(shù)據(jù)路徑接入遠(yuǎn)程終端的智能基站(iBS)，所述數(shù)據(jù)路徑具有在所述移動(dòng)節(jié)點(diǎn)和所述基站之間的第一鏈路以及所述基站和所述遠(yuǎn)程終端之間的第二鏈路，所述智能基站包括用于代表所述移動(dòng)節(jié)點(diǎn)創(chuàng)建并管理安全信道的裝置；用于第二層解密來自所述移動(dòng)節(jié)點(diǎn)的數(shù)據(jù)報(bào)并且第二層加密來自所述遠(yuǎn)程終端的數(shù)據(jù)報(bào)的裝置；以及用于高層加密被第二層解密的數(shù)據(jù)報(bào)并且高層加密被第二層解密的數(shù)據(jù)報(bào)的裝置。
全文摘要
一種用于使移動(dòng)節(jié)點(diǎn)能夠通過包括無線鏈路和不可靠鏈路的路徑發(fā)送加密數(shù)據(jù)的方法，同時(shí)避免了任何鏈路上的雙重加密。利用應(yīng)用指定的安全機(jī)制來加密端到端路徑上的數(shù)據(jù)，第二層機(jī)制用來加密在如無線標(biāo)準(zhǔn)所認(rèn)可的無線鏈路上的數(shù)據(jù)，而應(yīng)用指定的安全機(jī)制用于加密不可靠鏈路上的數(shù)據(jù)。通過避免冗余的雙重加密，本發(fā)明的方法導(dǎo)致了有限帶寬的無線網(wǎng)絡(luò)中網(wǎng)絡(luò)資源的優(yōu)化使用，并且增加了移動(dòng)節(jié)點(diǎn)電池的壽命。
文檔編號H04L9/32GK1946233SQ20061011599
公開日2007年4月11日 申請日期2006年8月22日 優(yōu)先權(quán)日2005年8月22日
發(fā)明者C·古斯塔夫, V·K·喬伊, M·加弗里洛維奇 申請人:阿爾卡特公司