CN100433616C - 用于鉴权终端的用户的方法、鉴权系统、终端、和授权设备 - Google Patents

用于鉴权终端的用户的方法、鉴权系统、终端、和授权设备 Download PDF

Info

Publication number
CN100433616C
CN100433616C CNB028192281A CN02819228A CN100433616C CN 100433616 C CN100433616 C CN 100433616C CN B028192281 A CNB028192281 A CN B028192281A CN 02819228 A CN02819228 A CN 02819228A CN 100433616 C CN100433616 C CN 100433616C
Authority
CN
China
Prior art keywords
authentication
terminal
message
authentication protocol
response
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
CNB028192281A
Other languages
English (en)
Other versions
CN1561607A (zh
Inventor
H·哈维里宁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Technologies Oy
Original Assignee
Nokia Oyj
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Oyj filed Critical Nokia Oyj
Publication of CN1561607A publication Critical patent/CN1561607A/zh
Application granted granted Critical
Publication of CN100433616C publication Critical patent/CN100433616C/zh
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Abstract

本发明涉及一种用于鉴权终端(5)的用户的方法，在该终端中用于验证使用权利的设备(15)被应用来运行鉴权协议。该用于验证使用权利的设备(15)被连接到终端(5)。在该用于验证使用权利的设备(15)中应用可扩展的鉴权协议接口，通过该接口实行至少某些鉴权功能。

Description

用于鉴权终端的用户的方法、鉴权系统、终端、和授权设备
技术领域
本发明涉及一种用于鉴权终端的用户的方法、应用授权设备的终端、和被连接到该终端的授权设备。本发明还涉及一种鉴权系统，该鉴权系统包括这样的终端，该终端带有用来耦合至少用于鉴权的授权设备的装置，以及该授权设备配备有用于实施鉴权协议的装置。本发明还涉及一种终端，该终端带有用来耦合至少用于鉴权的授权设备的装置，以及该授权设备配备有用于实施鉴权协议的装置。此外，本发明涉及一种要被使用于用户鉴权的授权设备，该授权设备包括用于实施鉴权协议的装置。本发明进一步涉及一种包括机器可执行的步骤的计算机程序，其中所述的步骤用于鉴权配备有用于验证使用权利的设备的终端的用户，该用于验证使用权利的设备被应用来运行鉴权协议；以及涉及一种贮存媒体，该贮存媒体用于存储包括机器可执行的步骤的计算机程序，其中所述的步骤用于鉴权配备有用于验证使用权利的设备的终端的用户，该用于验证使用权利的设备被应用来运行鉴权协议。
背景技术
在本说明中，授权设备是指一种功能性设备，它具有在该设备可运行之前和/或结合该设备的使用的、验证使用一个功能和/或设备的权利的装置。在本上下文中提到的、这样的用于验证的设备包括所谓的智能卡，它通常包括处理器、存储器和连接装置。该智能卡配备有软件等，用于处理进入到该智能卡的输入和用于生成响应。这样的智能卡例如被使用在移动台中，作为付费卡、作为电子识别卡等等。而且，有用于验证使用权利、防止使用被复制的软件的已知设备。这样的验证设备(被称为“道尔芯片(dongle)”或“硬锁”)例如被放置在计算机的打印机连接中，其中该软件包括安全程序，它例如探查该验证设备是否被耦合在打印机连接中，以及如果必要的话，它也检查可能被存储在该验证设备中的识别(例如，许可证号码)。虽然下面在本说明中，这样的用于验证使用权利的设备主要被称为智能卡，但显然，本发明并不限于只使用于智能卡。
有可能让一个要被使用于例如用户鉴权的智能卡连接到其上的终端是已知的。鉴权可能是必须的，例如，为了防止未授权的个人使用终端或在终端上执行这样的功能，即除该终端的已授权用户以外的其他个人没有使用该功能的权利。鉴权功能通常被安排为至少部分地与智能卡相连接，其中该终端把由用户输入的识别数据发送到智能卡。所使用的识别数据例如是用户名和密码或个人身份号(PIN)。该智能卡配备有鉴权协议，它通过将从终端发送的识别数据作为鉴权参量应用而被运行。藉助于该协议而例如计算参考号，该参考号被与存储在该智能卡中的身份号进行比较。这样，当这些号码匹配时，假定该用户就是他/她所声称的那个人。
当用户通过终端登录到数据网时，也可使用基于智能卡的解决方案。该数据网配备有鉴权服务器等，与之结合的是被存储的注册用户的识别数据，诸如他们的名字、用户识别和密码。因此，鉴权服务器和智能卡通过该终端和数据网来通信。另外，在这样的解决方案中，可能必须首先结合终端的开启来识别该用户，之后，在数据网的鉴权服务器中执行第二鉴权。这个第二鉴权是基于使用预定的鉴权协议和鉴权算法。因此，运行这个鉴权协议所必须的程序代码被存储在终端和数据网中。鉴权算法被存储在鉴权服务器和智能卡中。
在数据网中，例如可以通过从终端发送登录请求到数据网而执行鉴权，其中登录请求被发送到鉴权服务器。该鉴权服务器通过预定的鉴权算法而形成询问等等。此后，该鉴权服务器发送登录响应消息到终端，所述询问或者照样地或者以加密形式被包括在该终端中。而且，这个消息的鉴权可以通过数字签名被验证，该智能卡可在接收登录响应消息后检验该数字签名。接着，智能卡藉助于预定的鉴权算法、根据用户识别数据和接收的询问而产生响应数。该响应数被发送到鉴权服务器，鉴权服务器能够根据被存储在鉴权服务器中的用户识别数据和由它形成的询问来形成预期的响应数。鉴权服务器可以比较所接收的响应数与预期的响应数，以及根据比较结果，而得出在形成接收的响应数中所使用的数据是否与在形成预期的响应数中所使用的数据相匹配。如果该数据相匹配，则可以假定该用户已被正确地鉴权，以及用户可以开始使用数据网。以上给出的这种方法在移动台登录到移动通信网期间被用在例如GSM移动通信系统和UMTS移动通信系统中。在该GSM移动通信系统和UMTS移动通信系统中使用的智能卡分别是所谓的SIM卡(用户身份模块)和USIM卡(UMTS用户身份模块)。作为鉴权服务器，使用一个鉴权中心AuC。SIM卡包含移动通信网运营商特定的鉴权算法。
在基于智能卡的解决方案中，用户数据和鉴权算法可以通过用配备有新鉴权算法的新智能卡来替换该智能卡而被改变。如果尚未安装的话，则这个新的鉴权算法必须以相应的方式被安装在鉴权服务器中。
以上给出的现有技术的解决方案的问题在于，特别是，鉴权协议不能只通过改变智能卡而被改变。例如，在GSM移动通信系统和UMTS移动通信系统中使用不同的鉴权协议，其中遵从GSM移动通信系统的移动通信设备不能只通过改变智能卡而被更新为使用在UMTS移动通信系统中所使用的识别协议。因此，鉴权协议的改变也需要至少终端软件的改变，以及必要时，还需要鉴权服务器的软件的改变。
移动通信设备的用户可以在不同的移动通信网的范围内移动。因此，当用户处在不同于他/她的原籍网络的另一个网络中时，鉴权以这样的方式执行，即漫游网络按照鉴权协议在该终端与原籍网络的鉴权中心之间传输消息。这样，由原籍网络的鉴权中心执行鉴权。因此，鉴权算法可被设置为例如在GSM移动通信系统和UMTS移动通信系统中是运营商特定的，因为在鉴权时要被使用的所有数值是在原籍网络中形成的。漫游的网络不需要知道该算法，因为它的功能只是进行数字比较。为了保持移动通信设备在不同的移动通信网中的可运行性，当使用现有技术的解决方案时，该鉴权协议不能被设置为是运营商特定的。
通信网也是已知的，在其中有可能通过例如任选的电话网来耦合所谓的原籍网络中的工作站。这些所谓的拨号网络中的某些拨号网络应用一种可扩展的鉴权协议(EAP)。在这样的系统中，漫游网络的目的只是在终端与原籍网络的鉴权中心之间传输遵从EAP协议的消息。漫游网络并不需要能够解译遵从EAP协议的消息。新的鉴权协议或算法可被引入，而完全不用改变漫游网络。然而，终端必须改变，因为在现有技术的解决方案中新的EAP协议类型所需要的软件必须被更新。
EAP是由互联网工程任务组IETF结合点对点协议(PPP)被使用的扩展的鉴权协议而定义的标准，而它的更具体的定义是例如在IETF文档rfc2284.txt中给出的。该标准包括对用于鉴权的消息结构的定义。EAP消息包括标题字段和数据字段。标题字段定义例如该消息的类型、识别和长度。该消息在数据链路层中使用的PPP协议的消息帧中被发送。
发明内容
本发明的目的是提供一种用于用户鉴权的改进的方法。本发明是基于这样的思想，即智能卡被配备有可扩展的鉴权协议接口(EAP IF)，通过该接口在智能卡上执行鉴权功能。为了更精确，按照本发明的方法的主要特征在于：授权设备应用可扩展的鉴权协议接口，通过该接口实施至少某些鉴权功能。按照本发明的系统的主要特征在于：授权设备被配备有可扩展的鉴权协议接口以及用于通过所述可扩展的鉴权协议接口而实施至少某些鉴权功能的装置。按照本发明的终端的主要特征在于：授权设备被配备有可扩展的鉴权协议接口以及用于通过所述可扩展的鉴权协议接口而实施至少某些鉴权功能的装置。此外，按照本发明的授权设备的主要特征在于：该授权设备配备有可扩展的鉴权协议接口以及用于通过所述可扩展的鉴权协议接口而实施至少某些鉴权功能的装置。按照本发明的计算机程序的主要特征在于：该计算机程序进一步包括机器可执行的步骤，用于在验证使用权利的设备中应用可扩展的鉴权协议接口，包括用于通过可扩展的鉴权协议接口处理至少某些鉴权功能的机器可执行的步骤。按照本发明的贮存媒体的主要特征在于：该计算机程序进一步包括机器可执行的步骤，用于在验证使用权利的设备中应用可扩展的鉴权协议接口，包括用于通过可扩展的鉴权协议接口处理至少某些鉴权功能的机器可执行的步骤。要结合本发明被使用的鉴权协议接口在以下意义上是可扩展的，即：任何鉴权协议可以通过使用所述的接口来实施，而无需以任何方式改变该接口或终端软件或该设备。
本发明显示出与现有技术的解决方案相比更显著的优点。当应用按照本发明的方法时，要被使用于用户鉴权的鉴权协议可以通过改变该智能卡而被改变。因此，在漫游网络或在终端中不需要更新软件。这样，例如，在移动通信网中，该鉴权协议可以是运营商特定的，因为原籍网络的鉴权中心被用作为鉴权中心。因此，不同的鉴权协议可被使用于不同于用户的原籍网络的漫游网络。因为不需要更新软件，所以避免了更新文件的传输，而更新文件的传输是复杂的、很难控制的。
具体地，根据本发明用于鉴权终端的用户的方法，其中一个用于验证使用权利的设备被连接到该终端，该设备被应用来运行鉴权协议，其中该用于验证使用权利的设备应用一个可扩展的鉴权协议接口，至少一个鉴权功能经由该接口被处理，并且运行所述鉴权协议，所述方法包括下列步骤：由所述终端从一个移动通信网接收登录请求；从所述终端发送对于登录请求的响应；由所述终端从所述移动通信网接收鉴权开始消息；从所述终端发送对于鉴权开始消息的响应；由所述终端接收核对开始消息，该消息含有来自所述移动通信网的鉴权数据；在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性，并根据所述检验形成对于核对开始消息的响应；并且如果所述检验指示鉴权数据是可靠的，则从所述可扩展的鉴权协议接口发送对于核对开始消息的响应。
根据本发明提供的鉴权系统，包括终端，该终端具有用来连接用于验证使用权利的设备以便至少进行鉴权的装置，该用于验证使用权利的设备配备有用于运行鉴权协议的装置，其中用于验证使用权利的设备配备有可扩展的鉴权协议接口，该鉴权协议接口被配置用于与所述用于运行鉴权协议的装置进行通信以便通过所述可扩展的鉴权协议接口来实施至少一个鉴权功能，并且所述鉴权系统包括：基站，它适用于：发送登录请求到所述终端，从所述终端接收对于登录请求的响应，发送鉴权开始消息到所述终端，从所述终端接收对于鉴权开始消息的响应，发送核对开始消息到所述终端，以及从所述终端接收对于核对开始消息的响应；其中，所述终端包括收发信机，它适用于：从所述基站接收登录请求，发送对于登录请求的响应到所述基站，从所述基站接收鉴权开始消息，发送对于鉴权开始消息的响应到所述基站，从所述基站接收含有鉴权数据的核对开始消息，将所述核对开始消息转发到可扩展的鉴权协议接口，从所述可扩展的鉴权协议接口接收对于所述核对开始消息的响应，以及发送对于核对开始消息的响应到所述基站；并且所述用于实施至少一个鉴权功能的装置包括：用于在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性的装置，以及用于根据所述检验而形成对于核对开始消息的响应的装置。
本发明还涉及一种终端，它配备有用来连接用于验证使用权利的设备以至少进行鉴权的装置，该用于验证使用权利的设备配备有用于运行鉴权协议的装置，其中该用于验证使用权利的设备配备有可扩展的鉴权协议接口，该鉴权协议接口被配置用于与所述用于运行鉴权协议的装置进行通信以便通过所述可扩展的鉴权协议接口而实施至少一个鉴权功能，其中，所述终端包括收发信机，它适用于从一个鉴权服务器接收登录请求；发送对于登录请求的响应到所述鉴权服务器；从所述鉴权服务器接收鉴权开始消息；发送对于鉴权开始消息的响应到所述鉴权服务器；从所述鉴权服务器接收含有鉴权数据的核对开始消息；将所述核对开始消息转发到可扩展的鉴权协议接口；从所述可扩展的鉴权协议接口接收对于所述核对开始消息的响应；以及发送对于核对开始消息的响应到所述鉴权服务器；并且所述用于实施至少一个鉴权功能的装置包括：用于在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性的装置，以及用于根据所述检验而形成对于核对开始消息的响应的装置。
本发明还涉及一种用于验证使用权利的授权设备，它要被使用于用户识别，该授权设备包括用于运行鉴权协议的装置以及用于将所述授权设备与一终端相连接的连接装置，其中该用于验证使用权利的授权设备配备有：可扩展的鉴权协议接口，被配置用于与所述用于运行鉴权协议的装置进行通信；用于通过所述可扩展的鉴权协议接口来实现至少一个鉴权功能的装置；用于处理一个核对开始消息的装置，以及用于发送对于所述核对开始消息的响应的装置；其中所述授权设备适用于从终端接收所述核对开始消息，并且所述用于实施至少一个鉴权功能的装置包括：用于在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性的装置，以及用于根据所述检验而形成所述对于所述核对开始消息的响应的装置。
附图说明
下面，参照附图更详细地描述本发明，其中，
图1以简化图显示按照本发明的优选实施例的鉴权系统，
图2以简化方框图显示按照本发明的优选实施例的无线终端，
图3以简化方框图显示按照本发明的优选实施例的智能卡，
图4以信令图显示按照本发明的优选实施例的方法，以及
图5a到5e显示在按照本发明的有利实施例的系统中要被使用的某些消息。
具体实施方式
在以下的本发明的详细说明中，移动通信网2的鉴权系统被用作为鉴权系统1的例子，但本发明并不限于只结合移动通信网被使用。移动通信网2例如是GSM移动通信系统或UMTS移动通信系统，但显然本发明也可使用于其他通信系统。
本发明也可结合应用遵从EAP标准的协议的UMTS-SIP鉴权、以及在应用IEEE 802.1X EAP协议的系统中被应用。所述协议也正在被引入到无线局域网(WLAN)中，该协议是基于遵从EAP标准的协议的应用。
该鉴权系统包括鉴权服务器3，诸如用于移动通信网的鉴权中心AuC。该鉴权系统还包括用于在终端5与鉴权服务器3之间传输鉴权所需数据的通信装置4。该通信装置例如包括：基站6、基站控制器7、以及通信网2中的一个或多个移动交换中心8。鉴权服务器3可以是被连接到移动通信网2的单独的服务器，或者它可以例如结合移动交换中心8被安排。
图2显示遵从本发明的有利的实施例、并可被使用于图1的鉴权系统的终端5。在本发明的这个有利的实施例中，终端5例如包括：用于与移动通信网2通信的移动通信装置9、用户接口10、控制块11、存储器装置12、13，以及用于把智能卡15连接到终端5的连接装置14。该存储器装置优选地包括只读存储器(ROM)12以及随机存取存储器(RAM)13。用于连接智能卡15的连接装置14实际上可以以各种方式被实施。一种可能性是使用物理连接，其中连接装置14包括连接器等等，当智能卡15被安装在终端5时，这些连接器被耦合到智能卡15的相应的连接器。这些连接装置也可以基于无线连接，其中连接装置14和智能卡15包括无线通信装置(未示出)，诸如无线电通信装置(例如，BluetoothTM(蓝牙)、WLAN)、光通信装置(例如红外通信装置)、声通信装置、和/或感应通信装置。
在终端5中，优选地在控制块11的软件中，也实施协议栈，用于当消息从移动通信网2发送到终端5以及从终端5发送到移动通信网2时进行必要的协议转换。
图3显示遵从本发明的有利实施例、并可以例如结合图2所示的终端5使用的智能卡15。智能卡15优选地例如包括：处理器16、存储器装置(诸如只读存储器17与随机存取存储器18)、以及连接装置19。
作为只读存储器12、17，有可能使用例如一次性可编程ROM(OTP-ROM；可编程ROM或PROM)或电可擦除可编程ROM(EEPROM；闪存)。另外，所谓的非易失性RAM可被用作为只读存储器。作为随机存取存储器13、18，最好使用动态随机存取存储器(DRAM)和/或静态随机存取存储器(SRAM)。
例如，在终端接通时要被运行的用户鉴权算法、以及在终端登录到移动通信网2期间要被运行的终端用户鉴权算法，被存储在智能卡的只读存储器17中。而且，智能卡的只读存储器17包含被存储的可扩展的鉴权协议接口的功能，这将在下面描述。而且，以本身已知的方式，智能卡的只读存储器17包含对于控制智能卡的功能所必需的其他程序命令。
以相应的方式，终端的只读存储器12包含被存储的、对于控制终端5的功能所需要的程序命令、对于在智能卡15与终端5之间的通信所需要的程序命令、与移动通信功能相结合所需要的程序命令、以及用户接口的控制命令等等。然而，在终端5中不必存储鉴权协议功能，因为在本发明的系统中，这些功能是在智能卡上实施的可扩展的鉴权协议接口中执行的。
在本发明中给出的可扩展的鉴权协议接口中，例如，有可能实施一个使得向智能卡请求用户识别的操作、以及一个使得请求消息(诸如EAP请求)被输入到智能卡中的操作。因此，智能卡的功能是形成对于这个消息的响应(例如，EAP响应)。该终端和漫游网络可以用这样的方式来实施，使得有可能在发现鉴权结果之前实行一次以上的、请求与响应消息的交换。此外，该智能卡优选地包含这样一个操作，通过该操作可提供与鉴权相结合而形成的密钥材料供终端使用。此后，该密钥材料可被使用于加密例如经过无线电信道被发送的信息，该无线电信道是当前在例如GSM和UMTS移动通信网中使用的。
在终端5接通时的阶段，有可能执行本身已知的用户验证，例如，使得终端5在用户接口10的显示器20上显示一个通知，其中请求用户输入个人身份号(PIN)。此后，用户例如通过用户接口10的小键盘21输入他/她的密码，该密码由终端控制块11发送到智能卡15。在智能卡15上，处理器16按本身已知的方式通过用户数据和已存储在智能卡的只读存储器17中的、被安排用于检验的算法来核对该密码。如果密码被正确输入，则终端5可以接通。
在接通后，如果移动通信网2中的基站6的信号可在终端5中被接收的话，则有可能开始登录到网络。如果有可能登录到网络，则开始对登录所需要的消息(信令)的传输，这些是本身已知的。在登录期间，如果必要的话，就执行位置更新(LA)。而且，在登录过程中，传输信道和接收的无线电信道都分配用于要被通信中的终端和基站使用的信令。与登录相结合，该终端被鉴权，这以简化的方式显示在图4的信令图中。移动通信网2的鉴权服务器3生成登录请求501，它的一个有利的示例显示于图5a。
登录请求优选地是遵从可扩展的鉴权协议并包括某些记录的消息，所述记录包含可被改变以形成几个不同消息的数值，这几个不同的消息基本上使用同一个记录结构。该消息优选地包括标题字段和数据字段。标题字段包含(特别是)以下的数据记录：代码记录502，用于发送有关该消息是请求、响应、成功还是失败的信息；识别记录503，它例如以这样的方式被使用于识别该消息，，使得接连的消息应当包含不同的识别数据，除了在重新发送同一个消息时；此外，长度记录504表示消息的长度。数据字段中要被发送的数据例如取决于消息的用途。在按照本发明的有利实施例的系统中，数据字段包含类型数据记录505，它表示所提到的消息的类型。例如，根据EAP类型号，终端15可确定哪个智能卡15或程序模块将处理所提到的EAP类型(或鉴权协议)。被包含在消息中的其他数据记录是特定于类型的，以及可包含例如对于所使用的鉴权协议特定的数据，诸如各种不同的询问、响应、数字签名或验证、消息鉴权代码等等。
通过登录请求，鉴权服务器3请求终端5发送它自己的识别数据。登录请求的发送由图4的箭头401表示。终端5的移动通信装置9执行必要的操作，以便以本身已知的方式把射频信号变换到基带信号。登录请求在终端5中被发送到智能卡15，在智能卡中该消息在可扩展的鉴权协议接口中被处理。实际上，这意味着智能卡的处理器16接收了登录请求并运行必要的操作。该智能卡的处理器16生成响应，其中数据字段包含该终端的用户的识别数据，优选地是国际移动用户识别符(IMSI)。这个国际移动用户识别符包含移动国家代码(MCC)、移动网代码(MNC)以及移动用户识别号(MSIN)。在每个SIM型智能卡15中这个识别符IMSI是唯一的，其中移动用户可以根据这个识别符数据而被识别。
在遵从EAP标准的情形下，识别符在EAP响应/身份分组中被发送，其中漫游网络中的身份是所谓的网络接入识别符(NAI)。在本发明的有利实施例中，用户识别符(例如IMSI)以编码格式在这个网络识别符中被发送。通常，网络识别符是标识该用户的字符序列。它可包含运营商识别符，其中它具有类似于电子邮件地址的形式：用户识别符@运营商.国家代码。
在智能卡15中形成回答消息后，智能卡15把这个消息通过智能卡连接装置19发送到终端连接装置14。终端控制块11读取该消息、进行必要的协议转换以及把该消息发送到移动通信装置9，以便将其变换成射频信号。终端5此时可把登录请求发送到基站6(箭头402)。该登录请求在基站6处被接收，然后该请求从基站6经过基站控制器7被传送到移动交换中心8。移动交换中心8再把该消息进一步发送到鉴权服务器3。此后，在鉴权服务器3中对该消息进行检查。
在移动通信网中，响应被发送到各个用户的原籍网络，在其中该鉴权服务器3处理该接收的响应以及检验例如来自原籍位置寄存器HLR的用户数据。在用户的用户数据已经从数据库中被检验后，开始该用户鉴权处理过程，以验证该用户确实是在响应中给出其用户数据的那个人。该鉴权服务器3通过形成鉴权开始消息而继续该鉴权处理过程，该鉴权开始消息的数据字段包含被发送的、例如有关鉴权服务器3支持的协议版本的信息(箭头403)。这个消息的有利形式显示于附图5b。
在终端5中，该消息被发送到智能卡15的可扩展的鉴权协议接口，在该处例如检查在该消息中发送的协议版本数据。如果在鉴权服务器3处可用的一个或几个协议在智能卡15中也是可用的，则在智能卡15中选择这些协议之一，以便在鉴权过程的进一步步骤中使用。而且，这个协议也可以定义要被使用于鉴权的鉴权算法。
显然，上面给出的消息传输只是本发明可被如何应用的一个例子。由智能卡15处理的消息的数目可能是与在呈现的例子中所给出的不同的。通常情况下，各种请求(例如EAP请求)从通信网被发送到终端5，并通过终端5的软件被引导到智能卡15。智能卡15生成响应(例如EAP响应)，它由终端5发送到漫游网络，并由此进一步发送到原籍网络的鉴权服务器3。这些请求和响应的数目没有受到限制，它们只需要对智能卡15和鉴权服务器3而言是可理解的。
通常，鉴权协议是基于这样的规则，即鉴权设备和要被鉴权的设备应用同一个鉴权算法，在其中使用相同的数字作为输入。例如，在GSM移动通信系统中，每个移动用户被分配以一个秘密密钥Ki，它被存储在SIM卡中。而且，这个秘密密钥被存储在该移动用户的原籍位置寄存器中。鉴权算法计算响应数，其中通过比较由鉴权设备和要被鉴权的设备形成的响应数，有可能以高的概率鉴权另一方。为了把误用的可能性减到最小，要在鉴权算法中输入的所有的数字不是在设备之间传输的，而是把它们存储在该设备和/或数据库中，其中该设备可以从该数据库中检索这些数字。具体地，所述秘密密钥不在移动通信网的任何级处被发送。在按照本发明的有利实施例的这个方法中，采取以下步骤。
智能卡15通过任一方法选择第一随机数NONCE_MT。而且，可为在鉴权过程中要被定义的密钥选择一个有效期。有关被选择的鉴权协议的信息、所述第一随机数NONCE_MT、以及可能被选择的有效期是通过应用上述的消息传输机制、在登录响应中发送到鉴权服务器3的(箭头404)。这个消息的一个有利形式被显示于附图5c。
鉴权服务器3检索数目为n(n≥1)的GSM三元组，每个三元组包括第二随机数RAND、被签署的响应SRES和来自原籍位置寄存器HLR的加密密钥Kc。鉴权服务器3从使用GSM漫游网络和移动应用部分(MAP)协议的原籍位置寄存器HLR检索GSM三元组，正如现有技术已知的。而且，通过使用相应于所选择的鉴权协议的一个或几个鉴权算法，鉴权服务器3计算会话密钥K以及第一鉴权代码MAC_RAND。在这个计算中使用的参量优选地是加密密钥n*Kc、随机数n*RAND、国际移动用户识别符IMSI、和第一随机数NONCE_MT。对于该密钥。鉴权服务器3可能接受由智能卡15建议的有效期，或它可以选择另一个有效期。在给终端5的核对开始消息中，鉴权服务器3发送由它选择的一个或多个随机数n*RAND、由它计算的第一鉴权代码MAC_RAND、以及有关为该密钥所选择的有效期的数据(箭头405)。这个消息的一个有利形式被显示于附图5d。
在终端5的智能卡15的可扩展的鉴权协议接口中，使用由智能卡15选择的第一随机数NONCE_ME、给定数目的加密密钥n*Kc、由鉴权服务器3选择的第二随机数n*RAND、以及国际移动用户识别符IMSI作为参量，以相应的方式运行相同的鉴权算法(方块406)。鉴权算法的结果与在鉴权服务器3中计算并发送到智能卡15的第一鉴权代码代码MAC_RAND进行比较。如果该比较表明：在智能卡15上和在鉴权服务器3中该鉴权算法的计算结果是相同的，则可以假定：在智能卡上由鉴权服务器发送的核对开始消息确实是由鉴权服务器3发送的，以及其中的随机数是可靠的。如果该比较表明：计算出的数不匹配，则在智能卡15上鉴权功能优选地地被停止，以及终端5不被注册到移动通信网，或者在结合业务的使用进行鉴权的情形下，业务的使用被阻止。
在该比较表明随机数是可靠的情形下，智能卡15形成被签署的响应SRES。这是通过使用加密密钥n*Kc和由鉴权服务器3选择的第二随机数n*RAND作为参量、以与鉴权服务器3中所用算法相应的算法而实施的。然后可以使用计算出的被签署的响应n*SRES、以及优选地国际移动用户识别符IMSI和第一随机数NONCE_MT，通过一种算法来计算第二鉴权代码MAC_SRES。对于核对开始消息，智能卡15形成一个响应，并把它发送到鉴权服务器3(箭头407)。在这个响应中，发送在智能卡上被计算出的第二鉴权数MAC_SRES。这个消息的一个有利形式被显示于附图5b。该鉴权服务器3可以进行相应的计算，并把它计算出的鉴权号码与从智能卡15发送来的第二鉴权号码MAC_SRES进行比较。如果鉴权号码相匹配，则鉴权服务器15可假定该用户确实是其国际移动用户识别符已从终端的智能卡15发送到鉴权服务器3的那个人。在成功的鉴权过程结束时，鉴权服务器3把有关成功的信息发送到终端5(箭头408)。在这同一个消息中，鉴权服务器3也把会话密钥K发送到终端5。
显然，上述的鉴权过程和结构以及结合它发送的消息的内容只是按照鉴权协议(EAP/SIM)的运行的某些有利例子。在本发明的范围内，也有可能使用其他消息结构和鉴权数据，其中的细节可能不同于以上的例子中给出的那些细节。本发明并不只被限于可扩展的鉴权协议，而是结合本发明也可以应用其他公用的鉴权协议。重要的是智能卡15配备有鉴权协议接口，在其中有可能处理接收到的、与鉴权有关的消息，以形成与鉴权有关且应当被发送到鉴权服务器3的消息，以便处理与鉴权有关的密钥(例如，从智能卡的只读存储器17和/或从接收的消息中检索它们)，以及验证与该鉴权有关的消息。因此，在终端5中基本与鉴权有关的所有功能都可被放置在智能卡15中。
按照本发明的方法也可以应用于这样的情形，即其中终端5例如被耦合到互联网数据网络22以及SIM卡被使用于用户识别。因此，鉴权服务器可被放置在例如互联网数据网络22与移动通信网之间的接口中，其中该鉴权服务器可以与移动通信网的鉴权中心AcU通信，以便检索该必要的鉴权数据。在终端5与所谓的网络接入服务器(NAS)之间使用该PPP协议。该网络接入服务器通过使用AAA协议与该鉴权服务器通信。在无线局域网中，对于基本部件，情形是类似的。在终端与无线局域网的接入点之间，例如使用IEEE 802.1X协议，它是基于EAP协议的使用。接入点通过使用AAA协议而与鉴权中心通信。
通过本发明的方法，该鉴权协议可以例如通过改变智能卡而被改变。因此，可以使用在新的智能卡15上以及在鉴权服务器中实施的、这样的协议。例如，在终端的软件中不需要作出与改变鉴权协议有关的改变。
有可能使用例如无线终端作为终端5，比如无线通信设备，诸如Nokia 9210 Communicator(诺基亚9210通信器)等等。本发明也可以应用于例如局域网中工作站的鉴权，以及通过有线连接或无线连接被耦合到互联网数据网22的计算机的鉴权。
本发明也能够以这样的方式被应用，即用于验证使用权利的设备15的可扩展鉴权协议接口对某些要在终端5中运行的密码计算性操作进行分配。密码操作包括例如：加密、解密、散列功能、消息鉴权代码功能、证书检验、以及与公共密钥有关的其他密码操作，诸如荻菲-赫尔曼(Diffie-Hellman)密钥交换的计算等。这些密码操作的某一些需要大的计算容量，在某些应用中，在终端5中比在用于验证使用权利的设备15中更容易安排大的计算容量。而且，这样的操作是在通用库中经常实施的基本密码操作，且在终端5中不一定需要软件更新。因此有可能使用各种识别，根据这些识别，用于验证使用权利的设备15可通知终端5要被同时使用的操作/算法，以及通过可扩展的鉴权协议接口发送必要的参量到终端5。终端5进而又发送响应到用于验证使用权利的设备15的可扩展鉴权协议接口。
本发明也可以通过编制一个或多个计算机程序而以软件方式实施，其中机器可执行的步骤被定义用于执行本发明的不同步骤。该计算机程序可被存储在贮存媒体上，该贮存媒体用于例如把计算机程序传递给用户，以便把计算机程序安装在终端5上和/或用于验证使用权利的设备15上。
显然，本发明不仅仅限于上述的实施例，而是可以在所附权利要求的范围内作出修正。

Claims (16)

1.一种用于鉴权终端(5)的用户的方法，其中一个用于验证使用权利的设备(15)被连接到该终端，该设备被应用来运行鉴权协议，其特征在于，该用于验证使用权利的设备(15)应用一个可扩展的鉴权协议接口，至少一个鉴权功能经由该接口被处理，并且运行所述鉴权协议，所述方法包括下列步骤：
-由所述终端从一个移动通信网接收登录请求；
-从所述终端发送对于登录请求的响应；
-由所述终端从所述移动通信网接收鉴权开始消息；
-从所述终端发送对于鉴权开始消息的响应；
-由所述终端接收核对开始消息，该消息含有来自所述移动通信网的鉴权数据；
-在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性，并根据所述检验形成对于核对开始消息的响应；并且
-如果所述检验指示鉴权数据是可靠的，则从所述可扩展的鉴权协议接口发送对于核对开始消息的响应。
2.按照权利要求1的方法，其特征在于，所述请求包括有关要被使用于用户鉴权的鉴权协议的信息。
3.按照权利要求2的方法，其特征在于，按照该鉴权协议的、要被使用于鉴权的至少一个鉴权算法被存储在用于验证使用权利的设备(15)中。
4.按照权利要求3的方法，其特征在于，用于识别用户的识别数据(IMSI，Ki)被存储在用于验证使用权利的设备(15)中，其中在检验鉴权数据的可靠性中，被存储在用于验证使用权利的设备(15)中的所述至少一个鉴权算法和识别数据(IMSI，Ki)被使用于用户鉴权。
5.按照权利要求1到4的任一项的方法，其中在终端(5)与至少一个通信网(2)之间传输信息，其特征在于，在检验鉴权数据的可靠性中，至少一个密码密钥(Kc)在可扩展的鉴权协议接口中形成，以及所述至少一个密码密钥(Kc)从用于验证使用权利的设备(15)被发送到终端(5)。
6.按照权利要求5的方法，其特征在于，所述至少一个密码密钥(Kc)要被使用于在终端(5)与通信网(2)之间传输的信息的加密。
7.一种鉴权系统(1)，包括终端(5)，该终端具有用来连接用于验证使用权利的设备(15)以便至少进行鉴权的装置(14)，该用于验证使用权利的设备(15)配备有用于运行鉴权协议的装置(16，17)，其特征在于，用于验证使用权利的设备(15)配备有可扩展的鉴权协议接口，该鉴权协议接口被配置用于与所述用于运行鉴权协议的装置进行通信以便通过所述可扩展的鉴权协议接口来实施至少一个鉴权功能，并且所述鉴权系统包括：
-基站，它适用于
-发送登录请求到所述终端，
-从所述终端接收对于登录请求的响应，
-发送鉴权开始消息到所述终端，
-从所述终端接收对于鉴权开始消息的响应，
-发送核对开始消息到所述终端，以及
-从所述终端接收对于核对开始消息的响应；
其中，所述终端包括收发信机，它适用于
-从所述基站接收登录请求，
-发送对于登录请求的响应到所述基站，
-从所述基站接收鉴权开始消息，
-发送对于鉴权开始消息的响应到所述基站，
-从所述基站接收含有鉴权数据的核对开始消息，
-将所述核对开始消息转发到可扩展的鉴权协议接口，
-从所述可扩展的鉴权协议接口接收对于所述核对开始消息的响应，以及
-发送对于核对开始消息的响应到所述基站；
并且所述用于实施至少一个鉴权功能的装置(16，17，18，19)包括
-用于在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性的装置，以及
-用于根据所述检验而形成对于核对开始消息的响应的装置。
8.按照权利要求7的系统，其特征在于，所述用于检验鉴权数据的可靠性的装置适用于处理所述核对开始消息，并且用于验证使用权利的设备(15)包括用来从该用于验证使用权利的设备(15)发送在可扩展的鉴权协议接口中形成的响应的装置(19)。
9.按照权利要求8的系统，其特征在于，有关要被使用于用户鉴权的鉴权协议的信息被安排成在所述请求中发送，以及按照该鉴权协议的、要被使用于鉴权的至少一个鉴权算法被存储在用于验证使用权利的设备(15)中。
10.按照权利要求9的系统，其特征在于，用于识别该用户的识别数据(IMSI，Ki)被存储在用于验证使用权利的设备(15)中，用于处理该请求的装置(16)包括用于通过使用被存储在用于验证使用权利的设备(15)中的所述至少一个鉴权算法和识别数据(IMSI，Ki)来进行用户鉴权的装置。
11.按照权利要求7到9的任一项的系统，包括用于在终端(5)与至少一个通信网(2)之间传输信息的装置(3，6，7)，其特征在于，该可扩展的鉴权协议接口包括用于形成至少一个密码密钥(Kc)的装置(16)，以及所述至少一个密码密钥(Kc)被安排成从用于验证使用权利的设备(15)发送到该终端(5)。
12.按照权利要求11的系统，其特征在于，它包括用于通过使用所述至少一个密码密钥(Kc)以加密要在该终端(5)与通信网(2)之间传输的信息的装置(9，11)。
13.一种终端(5)，它配备有用来连接用于验证使用权利的设备(15)以至少进行鉴权的装置(14)，该用于验证使用权利的设备(15)配备有用于运行鉴权协议的装置(16，17)，其特征在于，该用于验证使用权利的设备(15)配备有可扩展的鉴权协议接口，该鉴权协议接口被配置用于与所述用于运行鉴权协议的装置进行通信以便通过所述可扩展的鉴权协议接口而实施至少一个鉴权功能，其中，所述终端包括收发信机，它适用于
-从一个鉴权服务器(3)接收登录请求，
-发送对于登录请求的响应到所述鉴权服务器(3)，
-从所述鉴权服务器(3)接收鉴权开始消息，
-发送对于鉴权开始消息的响应到所述鉴权服务器(3)，
-从所述鉴权服务器(3)接收含有鉴权数据的核对开始消息，
-将所述核对开始消息转发到可扩展的鉴权协议接口，
-从所述可扩展的鉴权协议接口接收对于所述核对开始消息的响应，以及
-发送对于核对开始消息的响应到所述鉴权服务器(3)；
并且所述用于实施至少一个鉴权功能的装置(16，17，18，19)包括
-用于在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性的装置，以及
-用于根据所述检验而形成对于核对开始消息的响应的装置。
14.按照权利要求13的终端，其特征在于，它包括移动通信装置。
15.一种用于验证使用权利的授权设备(15)，它要被使用于用户识别，该授权设备包括用于运行鉴权协议的装置(16，17)以及用于将所述授权设备与一终端相连接的连接装置(19)，其特征在于，该用于验证使用权利的授权设备(15)配备有：
-可扩展的鉴权协议接口，被配置用于与所述用于运行鉴权协议的装置进行通信，
-用于通过所述可扩展的鉴权协议接口来实现至少一个鉴权功能的装置(16，17，18，19)，
-用于处理一个核对开始消息的装置(16)，以及
-用于发送对于所述核对开始消息的响应的装置(19)，
其中所述授权设备(15)适用于从终端(5)接收所述核对开始消息，
并且所述用于实施至少一个鉴权功能的装置(16，17，18，19)包括
-用于在所述可扩展的鉴权协议接口中检验鉴权数据的可靠性的装置，以及
-用于根据所述检验而形成所述对于所述核对开始消息的响应的装置。
16.按照权利要求15的授权设备，其特征在于，它是移动用户识别卡(SIM，USIM)。
CNB028192281A 2001-09-28 2002-09-27 用于鉴权终端的用户的方法、鉴权系统、终端、和授权设备 Expired - Lifetime CN100433616C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FI20011909 2001-09-28
FI20011909A FI114953B (fi) 2001-09-28 2001-09-28 Menetelmä käyttäjän tunnistamiseksi päätelaitteessa, tunnistusjärjestelmä, päätelaite ja käyttöoikeuksien varmistuslaite

Publications (2)

Publication Number Publication Date
CN1561607A CN1561607A (zh) 2005-01-05
CN100433616C true CN100433616C (zh) 2008-11-12

Family

ID=8561973

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB028192281A Expired - Lifetime CN100433616C (zh) 2001-09-28 2002-09-27 用于鉴权终端的用户的方法、鉴权系统、终端、和授权设备

Country Status (13)

Country Link
US (1) US7848522B2 (zh)
EP (1) EP1430640B1 (zh)
JP (2) JP4837890B2 (zh)
KR (3) KR100952453B1 (zh)
CN (1) CN100433616C (zh)
AT (1) ATE326092T1 (zh)
BR (2) BRPI0212814B1 (zh)
CA (1) CA2461804C (zh)
DE (1) DE60211360T2 (zh)
ES (1) ES2263811T3 (zh)
FI (1) FI114953B (zh)
WO (1) WO2003030445A1 (zh)
ZA (1) ZA200401571B (zh)

Families Citing this family (36)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004077742A1 (de) * 2003-02-28 2004-09-10 Siemens Aktiengesellschaft Verfahren zur übertragung von daten in einem wlan-netz
US20040225709A1 (en) * 2003-05-06 2004-11-11 Joseph Kubler Automatically configuring security system
CN1549482B (zh) * 2003-05-16 2010-04-07 华为技术有限公司 一种实现高速率分组数据业务认证的方法
US8229118B2 (en) * 2003-11-07 2012-07-24 Qualcomm Incorporated Method and apparatus for authentication in wireless communications
FR2869190B1 (fr) 2004-04-19 2006-07-21 Alcatel Sa Procede permettant a l'usager d'un terminal telephonique sans fil d'etablir une connexion d'urgence dans un reseau local; terminal et serveur pour la mise en oeuvre de ce procede
GB2415816B (en) * 2004-06-30 2007-12-05 Nokia Corp Security device
KR20060003296A (ko) * 2004-07-05 2006-01-10 삼성전자주식회사 이동통신망과 무선랜 사이의 핸드 오프 방법 및 그 시스템
KR100651718B1 (ko) * 2004-10-18 2006-12-01 한국전자통신연구원 Ｕｓｉｍ 카드의 공개키 생성과 갱신 제어 방법 및 장치
US20060174127A1 (en) * 2004-11-05 2006-08-03 Asawaree Kalavade Network access server (NAS) discovery and associated automated authentication in heterogenous public hotspot networks
JP4786190B2 (ja) * 2005-02-01 2011-10-05 株式会社エヌ・ティ・ティ・ドコモ 認証ベクトル生成装置、加入者認証モジュール、無線通信システム、認証ベクトル生成方法、演算方法及び加入者認証方法
GB0506570D0 (en) * 2005-03-31 2005-05-04 Vodafone Plc Facilitating and authenticating transactions
FI20050491A0 (fi) * 2005-05-09 2005-05-09 Nokia Corp Järjestelmä varmenteiden toimittamiseksi viestintäjärjestelmässä
US7657255B2 (en) * 2005-06-23 2010-02-02 Microsoft Corporation Provisioning of wireless connectivity for devices using NFC
US20070124589A1 (en) * 2005-11-30 2007-05-31 Sutton Ronald D Systems and methods for the protection of non-encrypted biometric data
US8763081B2 (en) * 2006-04-03 2014-06-24 Bridgeport Networks, Inc. Network based authentication
DE102006018645B4 (de) * 2006-04-21 2008-07-24 Nokia Siemens Networks Gmbh & Co.Kg Verfahren, Vorrichtungen und Computerprogrammprodukt zum Ver- und Entschlüsseln von Mediendaten
US20080101273A1 (en) * 2006-10-27 2008-05-01 Hewlett-Packard Development Company Lp Wireless device association
DE102006060040B4 (de) * 2006-12-19 2009-09-17 Nokia Siemens Networks Gmbh & Co.Kg Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung
KR101009871B1 (ko) * 2007-08-09 2011-01-19 한국과학기술원 통신 시스템에서 인증 방법
US8509439B2 (en) * 2007-12-31 2013-08-13 Intel Corporation Assigning nonces for security keys
US9003197B2 (en) * 2008-03-27 2015-04-07 General Instrument Corporation Methods, apparatus and system for authenticating a programmable hardware device and for authenticating commands received in the programmable hardware device from a secure processor
US20090320125A1 (en) * 2008-05-08 2009-12-24 Eastman Chemical Company Systems, methods, and computer readable media for computer security
JP4638928B2 (ja) * 2008-08-19 2011-02-23 シャープ株式会社 認証システム、端末装置、及び、情報処理装置
US8504772B2 (en) * 2008-09-04 2013-08-06 T-Data Systems (S) Pte Ltd Method and apparatus for wireless digital content management
EP2293218B8 (en) * 2009-08-28 2012-03-21 Morpho Cards GmbH A chip card, an electronic system, a method being implemented by a chip card and a computer program product
TWI421777B (zh) * 2010-06-30 2014-01-01 Mstar Semiconductor Inc 認證處理裝置及其相關行動裝置
KR101116339B1 (ko) * 2010-09-14 2012-03-09 주식회사 이맥소프트 개인정보 보호를 강화한 전자투표장치
TWI466525B (zh) * 2011-11-21 2014-12-21 Inst Information Industry 存取控制系統及其存取控制方法
US9680646B2 (en) * 2015-02-05 2017-06-13 Apple Inc. Relay service for communication between controllers and accessories
CN106341233A (zh) 2015-07-08 2017-01-18 阿里巴巴集团控股有限公司 客户端登录服务器端的鉴权方法、装置、系统及电子设备
JP5951094B1 (ja) 2015-09-07 2016-07-13 ヤフー株式会社 生成装置、端末装置、生成方法、生成プログラム及び認証処理システム
JP6122924B2 (ja) 2015-09-11 2017-04-26 ヤフー株式会社 提供装置、端末装置、提供方法、提供プログラム及び認証処理システム
DE102018005201A1 (de) * 2018-06-29 2020-01-02 Giesecke+Devrient Mobile Security Gmbh Verfahren zur authentifizierung eines benutzers, teilnehmer-identitäts modul, authentifizierungsserver und authentifizierungssystem
US11151576B2 (en) 2019-04-05 2021-10-19 At&T Intellectual Property I, L.P. Authorizing transactions using negative pin messages
US20220217136A1 (en) * 2021-01-04 2022-07-07 Bank Of America Corporation Identity verification through multisystem cooperation
CN114189365A (zh) * 2021-11-26 2022-03-15 特赞（上海）信息科技有限公司 基于字段映射的通用多租户业务授权方法和装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5537474A (en) * 1994-07-29 1996-07-16 Motorola, Inc. Method and apparatus for authentication in a communication system
CN1209939A (zh) * 1996-01-24 1999-03-03 诺基亚电信公司 移动通信系统中鉴权密钥的管理
US5910778A (en) * 1995-09-21 1999-06-08 Motorola, Inc. Embedded protocol
WO2000002406A2 (en) * 1998-07-07 2000-01-13 Nokia Networks Oy System and method for authentication in a mobile communications system

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0723251A3 (en) * 1995-01-20 1998-12-30 Tandem Computers Incorporated Method and apparatus for user and security device authentication
JP3296230B2 (ja) 1996-01-23 2002-06-24 ケイディーディーアイ株式会社 加入者／移動機識別装置
US5910774A (en) 1996-09-18 1999-06-08 Itron, Inc. Sensor for count and tamper detection
JP3050843B2 (ja) * 1997-02-28 2000-06-12 松下電器産業株式会社 デジタル著作物の著作権保護のための暗号技術利用プロトコルを複数から選択して使用する情報機器
JP4268690B2 (ja) * 1997-03-26 2009-05-27 ソニー株式会社 認証システムおよび方法、並びに認証方法
US6584310B1 (en) * 1998-05-07 2003-06-24 Lucent Technologies Inc. Method and apparatus for performing authentication in communication systems
US6976165B1 (en) 1999-09-07 2005-12-13 Emc Corporation System and method for secure storage, transfer and retrieval of content addressable information
DE69925732T2 (de) 1999-10-22 2006-03-16 Telefonaktiebolaget Lm Ericsson (Publ) Mobiltelefon mit eingebauter Sicherheitsfirmware
CN1155288C (zh) * 1999-11-03 2004-06-23 诺基亚公司 选择识别确认信息的方法和设备
US7257836B1 (en) * 2000-04-24 2007-08-14 Microsoft Corporation Security link management in dynamic networks
US6721793B1 (en) * 2000-05-10 2004-04-13 Cisco Technology, Inc. Intellectual property over non-internet protocol systems and networks
FI115098B (fi) * 2000-12-27 2005-02-28 Nokia Corp Todentaminen dataviestinnässä
US20030093680A1 (en) * 2001-11-13 2003-05-15 International Business Machines Corporation Methods, apparatus and computer programs performing a mutual challenge-response authentication protocol using operating system capabilities
US7376701B2 (en) * 2002-04-29 2008-05-20 Cisco Technology, Inc. System and methodology for control of, and access and response to internet email from a wireless device
US20040014422A1 (en) * 2002-07-19 2004-01-22 Nokia Corporation Method and system for handovers using service description data
US8166499B2 (en) * 2003-09-18 2012-04-24 General Instrument Corporation Method, apparatus and set-top device for transmitting content to a receiver

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5537474A (en) * 1994-07-29 1996-07-16 Motorola, Inc. Method and apparatus for authentication in a communication system
US5910778A (en) * 1995-09-21 1999-06-08 Motorola, Inc. Embedded protocol
CN1209939A (zh) * 1996-01-24 1999-03-03 诺基亚电信公司 移动通信系统中鉴权密钥的管理
WO2000002406A2 (en) * 1998-07-07 2000-01-13 Nokia Networks Oy System and method for authentication in a mobile communications system

Also Published As

Publication number Publication date
KR20040037113A (ko) 2004-05-04
CA2461804C (en) 2010-11-23
ZA200401571B (en) 2004-08-31
US20040236964A1 (en) 2004-11-25
JP5189066B2 (ja) 2013-04-24
FI114953B (fi) 2005-01-31
BR0212814A (pt) 2004-10-05
JP2005505194A (ja) 2005-02-17
US7848522B2 (en) 2010-12-07
JP2010114912A (ja) 2010-05-20
WO2003030445A1 (en) 2003-04-10
BRPI0212814B1 (pt) 2019-07-30
JP4837890B2 (ja) 2011-12-14
CA2461804A1 (en) 2003-04-10
DE60211360T2 (de) 2006-09-28
FI20011909A (fi) 2003-03-29
ATE326092T1 (de) 2006-06-15
KR20080078740A (ko) 2008-08-27
EP1430640B1 (en) 2006-05-10
KR100952453B1 (ko) 2010-04-13
KR20070087211A (ko) 2007-08-27
FI20011909A0 (fi) 2001-09-28
EP1430640A1 (en) 2004-06-23
DE60211360D1 (de) 2006-06-14
CN1561607A (zh) 2005-01-05
KR100978818B1 (ko) 2010-08-30
ES2263811T3 (es) 2006-12-16

Similar Documents

Publication Publication Date Title
CN100433616C (zh) 用于鉴权终端的用户的方法、鉴权系统、终端、和授权设备
CN101053273B (zh) 用于采用修改的消息认证代码的相互认证的方法、设备和系统
US8400970B2 (en) System and method for securing a personalized indicium assigned to a mobile communications device
CN101366299B (zh) 使用特殊随机询问的引导认证
KR101075713B1 (ko) 무선 이동 통신 시스템에서 접근 인증을 위한 방법 및 장치
JP4841842B2 (ja) 移動無線通信装置におけるコンタクトの認証及び信頼できるコンタクトの更新
EP1768426B1 (en) Method for transmitting information
US9065641B2 (en) Method and device for updating a key
EP1001570A2 (en) Efficient authentication with key update
US20040162998A1 (en) Service authentication in a communication system
US20030084287A1 (en) System and method for upper layer roaming authentication
EP2106191B1 (en) A method for updating a smartcard and a smartcard having update capability
US20030236980A1 (en) Authentication in a communication system
JP2001500701A (ja) 移動通信システムにおけるコピーされた加入者認識の悪用防止
US20120115455A1 (en) Secure bootstrap provisioning of electronic devices in carrier networks
EP1680940B1 (en) Method of user authentication
EP3149884B1 (en) Resource management in a cellular network
JP2001298774A (ja) 無線電話使用認証方法
JP2002232420A (ja) 無線通信装置及び無線通信システム、並びに、接続認証方法
EP3982606B1 (en) Method, devices and computer program product for initial authentication of a mobile client communication device to a bootstrap server
EP4027675A1 (en) System and method for authentication of iot devices
KR20090121520A (ko) 이동통신 단말기와 프로비저닝 서버 사이에서 프로비저닝데이터를 송수신하는 방법, 이를 위한 이동통신 단말기 및프로비저닝 서버
CA2527767C (en) System and method for securing a personalized indicium assigned to a mobile communications device
EP1580936B1 (en) Subscriber authentication

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20160114

Address after: Espoo, Finland

Patentee after: NOKIA TECHNOLOGIES OY

Address before: Espoo, Finland

Patentee before: NOKIA Corp.

CX01 Expiry of patent term
CX01 Expiry of patent term

Granted publication date: 20081112