EP1961168A1 - Mobile station als gateway für mobile endgeräte zu einem zugangsnetz sowie verfahren zur netzanmeldung der mobilen station und der mobilen endgeräte - Google Patents

Mobile station als gateway für mobile endgeräte zu einem zugangsnetz sowie verfahren zur netzanmeldung der mobilen station und der mobilen endgeräte

Info

Publication number
EP1961168A1
EP1961168A1 EP06819918A EP06819918A EP1961168A1 EP 1961168 A1 EP1961168 A1 EP 1961168A1 EP 06819918 A EP06819918 A EP 06819918A EP 06819918 A EP06819918 A EP 06819918A EP 1961168 A1 EP1961168 A1 EP 1961168A1
Authority
EP
European Patent Office
Prior art keywords
network
mobile station
key
mobile
aaa
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP06819918A
Other languages
English (en)
French (fr)
Inventor
Dirk Kröselberg
Maximilian Riegel
Hannes Tschofenig
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of EP1961168A1 publication Critical patent/EP1961168A1/de
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices
    • H04W88/04—Terminal devices adapted for relaying to or from another terminal or user
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks
    • H04W84/22—Self-organising networks, e.g. ad-hoc networks or sensor networks with access to wired networks

Definitions

  • Mobile station as a gateway for mobile devices to a network to ⁇ gear and methods for network registration of the mobile station and the mobile terminal
  • the invention relates to a mobile station (MS-GW) which is set up as a gateway for one or more mobile terminals (ME) to establish a connection between the mobile terminal (s) (ME) and an access network (ASN).
  • MS-GW mobile station
  • ASN access network
  • the invention relates in particular to such mobile Sta ⁇ functions that communicate wirelessly with access networks (ASN), such as in WiMAX networks.
  • the forth ⁇ tional Internet Protocol was originally not designed for mobile use.
  • IP address which is fixed for the duration of the connection. If these computers migrate between different subnets, the connection can no longer be maintained according to the conventional IP standard. Also a change he network address is not provided even in a running connection, or it results in a termination of the connection.
  • the DHCP (Dynamic Host Configuration Protocol) enables the dynamic assignment of an IP address and other configuration parameters to a terminal or station in a network by means of a dedicated server. Such a device gets once it is connected to a network, automatic ⁇ shows a (still free) IP address assigned by the DHCP protocol. If DHCP is installed on a mobile device, then it only needs to come within the range of a local network that supports the configuration via the DHCP protocol. The DHCP protocol has a dynamic address possible, ie a free IP address is automatically assigned for a certain time. After this time, the request must either be made again by the mobile computer or the IP address can be assigned elsewhere.
  • DHCP a mobile terminal without manual Konfigurati ⁇ on be integrated into a network.
  • DHCP server only the DHCP server must be available.
  • the mobile terminal can use in this way services of the local network.
  • a potential service user can not appropriately address that device because its IP address changes in each network into which it is incorporated.
  • IP Internet Protocol
  • MIP Mobile IP
  • the MIP protocol (RFC 2002, RFC 2977, RFC3344, RFC3846, RFC3957, RFC3775, RFC3776, RFC4285) supports the mobility of mobile devices by assigning them two IP addresses, namely a permanent home address and a second, temporary care-of address.
  • the care-of address is the IP address under which the mobile terminal is currently accessible - eg in a network visited by it.
  • the home agent (Home Agent) is a representative of the mobile terminal, as long as the mobile terminal is not located in the ur ⁇ sprün réelle home network.
  • the home agent is constantly informed about the current location of the mobile computer.
  • the home agent usually constitutes a component of a Rou ⁇ ters in the home network (or to an intermediate network) of the mobile terminal.
  • the home agent provides a function to allow the mobile terminal can log on. Thereafter, the home agent forwards the addressed to the mobile terminal data packets ⁇ in the current network of the mobile terminal further.
  • a foreign agent is located in the network in which the mobile terminal is moving.
  • the foreign agent forwards incoming data packets to the mobile terminal or to the mobile computer.
  • the foreign agent also typically represents a component of a router and routes administrative mobile data packets between the mobile terminal and its home agent.
  • the foreign agent unpacks the tunnelled IP data packets sent by the home agent and forwards their data to the mobile terminal.
  • a mobile terminal To be able to integrate a mobile terminal in a network, it must first learn whether it is in its home or a foreign network. In addition, the mobile terminal must know which station in the (possibly visited) network is the home agent or the foreign agent. This information is determined by an agent discovery.
  • the mobile terminal can communicate its current location to its home agent (HA).
  • HA home agent
  • the mobile terminal sends the current care-of address to the home agent - as part of a registration request to the home agent.
  • the home agent (HA) responds with a registration reply.
  • the registration is secured by a pre Runaway ⁇ led authentication.
  • the mobile terminal and the home agent then have shared secret keys, for example.
  • the task of authentication is taken over by an authentication server assigned to the home agent in the home network (Home Connectivity Serving Network) of the mobile terminal, also called AAA server (AAA: Authentication, Authorization and Accounting). If the home agent is in a visited network (visited Connectivity Serving Network, CSN), a proxy authentication server will be provided to him in this network.
  • CSN visited Connectivity Serving Network
  • the home agent and the authentication server or its proxy can be modules on one and the same computer.
  • Mobile data networks are usually realized by radio links. The messages then have to travel longer distances over air interfaces and are thus easily accessible to potential attackers. Security aspects therefore play a special role in mobile and wireless data networks.
  • a mobile terminal therefore has as the first start ⁇ point in a visited network therefore usually an access network (Access Serving Network, ASN), which includes the base station for wireless transmission.
  • ASN Access Serving Network
  • WLAN Wireless Local Area Network, standard IEEE 802.11
  • WiMAX Worldwide Interoperability for Microwave Access
  • WLAN achieves 54 Mb / s at 100 m distance (direct line of sight) due to the limited transmission power.
  • Wi-Fi can only be used inside buildings for Wi-Fi, entire parts of the city can be used as Metrospots. meadows (about 800 - 1000 m radius).
  • Three frequency bands around 2.6 GHz, 3.5 GHz and 5.8 GHz with widths of 100 - 200 MHz are intended for WiMAX.
  • WiMAX supports two variants of Mobile IP that enable macro mobility management: Proxy - Mobile IP and Client - Mobile IP (based on Mobile IPv4 or v6).
  • the mobile terminal or the mobile station has mobile IP functionality.
  • the terminal or the station with its own IP address and the ⁇ is adapted his / her home agent and has provided ent ⁇ speaking key for the communication.
  • the terminal or the station then has a so-called terminal-based mobility management.
  • Proxy-MIP the MIP client functionality is implemented by the WiMAX access network (WiMAX-ASN) rather than the mobile terminal itself.
  • the functionality provided in the access network (ASN) is referred to as Proxy Mobile Node (PMN) or as PMIP client.
  • PMN Proxy Mobile Node
  • PMIP client handles MIP signaling as a proxy for the actual client, the mobile device.
  • the mobile device then benefits from a so-called network-based mobility management provided by the PMIP client.
  • Micro-MM is here the procedure for the transfer ei ⁇ ner mobile station or a mobile terminal called, which alternates between two access networks (ASN) and between networks of two network providers (NAP, Network Access Provider). Macro MM is also referred to as R3 mobility or inter-ASN mobility in WiMAX.
  • HN home network CSN
  • the home agent (HA) at the authentication server (AAA-MS) of the mobile station (MS) queries security parameters during an authentication following the registration. These parameters are needed so that only an authorized client can register with the home agent (HA).
  • the address of the home agent (HA) is assigned to the CMIP or PMIP client.
  • the home agent (HA) can be located in the home network (HN) or in the visited intermediate network (CSN). These basic functionalities must be maintained.
  • Proxy Mobile IP supports the mobility of non-MIP-enabled mobile devices (ME).
  • GW gateway
  • ASN access network
  • BS base station
  • NAP network operators
  • DSL gateways are often used in the home area and not on the side of a network provider. Behind such gateways are - seen from the network provider - mobile
  • Terminals available. In this case, only the subscription with the one network provider itself is possible, which is the gateway has mediated.
  • the mobile terminals have no sub ⁇ script.
  • EAP Extensible Authentication Protocol, RFC 3748
  • RFC 3748 Extensible Authentication Protocol
  • the gateway takes namely at least in possession of the IP address and a common key with the respective permanent ⁇ to authentication server of the home network to be a mobile terminal.
  • the mobile terminal rates as well as the gateway itself have no mobility, for example, they depend on the location of the hotel.
  • a mobile station having the features of claim 1, wherein the mobile station itself is used as a gateway.
  • a terminal network comprised mo ⁇ bilen terminals and the mobile station used as a gateway is specified in claim fourteenth
  • a system of networks which comprises the terminal network, an access network, an inter-network and at least one home network for one of the mobile terminals and a further home network for the mobile gateway station is specified in claim 16.
  • the PMIP client which enables a network-based mobility management to assign a mobile statuses on ⁇ (MS-GW), which is configured as a gateway for one or more mobile terminals (ME).
  • MS-GW network-based mobility management to assign a mobile statuses on ⁇
  • ME mobile terminals
  • the PMIP client functionality is therefore moved from the gateway in the access network (ASN) into the area of the mobile terminals (ME).
  • the terms mobile station and mobile terminal can also refer to the same types of computers.
  • the mobile station here has the property of being set up as a gateway. It therefore has additional, beyond the mobile devices Merkma ⁇ le as on the logical side about address tables of registered in the terminal network terminals, and on the physical side eg network card for network cable connection and / or transmitting / receiving device for wireless radio waves.
  • the terminal network is determined by the infrastructure of the mobile station (MS-GW) used as the gateway.
  • the gateway has two data inputs / outputs in order to be able to establish connections between networks and / or individual peers.
  • the mobile terminals communicate with the gateway mobile station (MS-GW) wirelessly or by wire.
  • Examples are a local WLAN network or an Ethernet cable network.
  • the invention can be used in WiMAX networks.
  • the gateway mobile station then communicates on its output side - viewed from the mobile terminals - wirelessly with a base station (BS) of an access network (ASN).
  • BS base station
  • ASN-GW gateway
  • the connection can continue via intermediate networks to the home networks of both the mobile station (MS-GW) and the mobile terminals (ME).
  • these home networks may be different, so that any subscriptions for the mobile terminals are possible.
  • the mobile station can also be used on the server side in a WLAN network.
  • WiMAX networks however, the advantage of the invention appears more clearly: mobile means of transport can lead the gateway mobile ⁇ station (MS-GW) with it. Road users who board this means of transport can register themselves with their mobile terminal (ME) on their home network (HN2) - via the gateway mobile station (MS-GW). Examples of such means of transport are taxis, buses, railways , airplanes, ships, etc. With ranges at WiMAX of less than 1 km with dense development, good network coverage may be required.
  • the gateway mobile station (MS-GW) provides the PMIP functionality, the terminals do not need to have Mobile IP installed. Namely, the gateway mobile station (MS-GW) occurs as a client in the mobile IP connection instead of the mobile terminal when communicating with a home agent (HA) of the access network (CSN) connected to the access network (ASN).
  • HA home agent
  • CSN access network
  • ASN access network
  • a key objective is therefore to provide secure mobile device (ME) support that does not communicate directly with the WiMAX access network but via wireless technology such as WLAN IEEE 802.11 or WiMAX IEEE 802.16 or via a wired technology such as Ethernet IEEE 802.3 the WiMAX-enabled gateway MS are connected under the WiMAX architecture to ensure access to the WiMAX network.
  • wireless technology such as WLAN IEEE 802.11 or WiMAX IEEE 802.16
  • wired technology such as Ethernet IEEE 802.3
  • a separate key is set up, with which the mobile station (MS-GW) secures the corresponding messages
  • a separate key is set up, with which the mobile station (MS-GW) exchanges messages with a
  • Proxy authentication server (AAA-P) in the access network (ASN) secures.
  • PMIP-key, GW-AAA-key are generated or stored in the mobile station (MS-GW) used as gateway.
  • a first embodiment provides to derive this (first) key (PMIP-key) from an already existing (second) key (CMIP-key).
  • PMIP-key first key
  • CMIP-key already existing key
  • MS-GW operates a terminal-based mobility management (CMIP) for its own mobility.
  • CMIP-key is generated during the registration of the mobile station (MS-GW) with respect to its authentication server (AAA-MS) or generated during the EAP-based authentication, or is preconfigured.
  • Such a second key can also be transmitted as stipulateinforma ⁇ tion (MSK) from the authentication server to protect the air interface in WiMAX or WLAN against attacks of third parties. Then the first key (PMIP-key, GW-AAA-key) is derived from this key information.
  • MSK societyinforma ⁇ tion
  • Another embodiment provides for pre-configuring the first key (PMIP-key, GW-AAA-key) as such in the mobile station.
  • Preconfiguring here means that before the steps of the authentication, address assignment, Registration etc. already exists in the mobile station (MS-GW) used as gateway.
  • Authentication server has been distribution without the presence of an automated mechanism for a key ⁇ preconfigured usually static.
  • the mentioned variants of a dynamic transmission or derivation of the first key (PMIP key, GW-AAA key) from existing or transmitted keys (MSK, CMIP key, etc.) represent advantageous embodiments because of the complexity is significantly reduced for preconfiguration.
  • the first key in the case of PMIP keys not only be present at the mo ⁇ bilen station (MS-GW) but also in the authentication server (AAA-MS).
  • AAA-MS authentication server
  • AAA-AAA-key because the responsible proxy authentication server (AAA-P) according to the invention is already created in the access network (ASN), this key is used alternatively by the foreign agent (FA) as an alternative to the proxy.
  • FA foreign agent
  • a further embodiment provides for simplified key management in such a way that for many or all mobile terminals (ME) registered with the mobile station (MS) in the terminal network (EN), the same first key (PMIP-key, GW-AAA) is used. key) is used in communication with the home agent (HA).
  • HA home agent
  • the mobile terminals must be assigned IP addresses for improved communication.
  • An assignment of IP addresses for the mobile terminals (ME) is provided within the scope of the invention. This can be done for example by a so-called.
  • the home agent may be located in the visited intermediate network (CSN) or home network (HNL), depending on where the mobile station is located.
  • CSN visited intermediate network
  • HNL home network
  • the home network can also be a network of the type "CSN" (Connectivity Serving Network).
  • FIG. 1 shows a network structure or system of networks with network-based mobility management (PMIP) according to the prior art
  • FIG. 2 shows the connection setup in a network structure according to FIG. 1 with PMIP;
  • FIG. 3 shows a network structure or system of networks with network-based mobility management (PMIP) according to an example according to the invention
  • FIG. 4 shows a detail of the connection setup with authentication steps of the gateway and a ME according to an exemplary embodiment of the invention.
  • PMIP network-based mobility management
  • FIG. 1 shows an example of a network structure or a system of WiMAX or WLAN networks communicating with each other according to the prior art.
  • the communication in the illustrated system is subject to network-based mobility management (PMIP).
  • PMIP network-based mobility management
  • the mobile terminal (ME) 1 is connected via a wireless WiMAX or WLAN interface 2 to a base station (BS) 3 of an access network (ASN) 4.
  • the mobile terminal 1 is any mobile terminal, for example a laptop, a PDA, a mobile telephone, or another mobile terminal. It does not fulfill a gateway function, but literally is a terminal device.
  • the base station (BS) 3 of the access network (ASN) 4 is connected via a data transmission line 5 to a gateway (ASN-GW) 6 of the access network 4.
  • the gateway 6 more functions are integrated, in particular a foreign ⁇ agent (FA) 6A, 6B, a PMIP client, a client authorization article (AAA client) 6C and a DHCP proxy server 6D.
  • the foreign agent 6 is a router, the routing services for the mobile Endge ⁇ advises 1 provides.
  • the ge to the mobile terminal 1 ⁇ oriented tunnels data packets are transmitted from a home agent (HA) bought and unpacked by the foreign agent (FA) 6A.
  • the gateway 6 of the access network 4 is connected via an interface 7 to a computer 8 of an intermediate network (CSN) 9.
  • the computer 8 comprises a DHCP server 8A, a home agent (HA) 8B and a proxy authentication server (AAA-P) 8C.
  • the home agent 8B is representative of the mobile terminal 1 if it is not in its original home network 12
  • HNl home agent
  • the home agent 8B is constantly informed about the aktuel ⁇ len location of the mobile computer.
  • 1 Data ⁇ packets for the mobile terminal 1 are first at the home agent (HA) and forwarded by the home agent (HA) to the foreign agent (FA) 6A.
  • data packets that are sent from the mobile terminal 1 are sent to the respective communication partner directly ⁇ .
  • the data packets of the mobile Endgerä ⁇ tes 1 contain the home address as sender address.
  • the home address has the same address prefix, ie, network address and subnet address, as home agent 8B.
  • Data packets sent from other communication partners to the home address of the mobile terminal 1 are intercepted by the home agent 8B.
  • the home agent 8B packs this data and transmits it tunnelled to the care-of address of the mobi ⁇ len terminal 1 in the area of the access network. At the end of the tunnel, they are received by the foreign agent 6A or the mobile terminal 1 itself.
  • the computer 8 of the intermediate network 9 is connected via a further interface 10 to an authentication server (AAA-SERVER) 11 of a home network 12 of the mobile terminal 1.
  • AAA-SERVER authentication server
  • FIG. 2 shows the exemplary procedure of a network login of the mobile terminal (ME) when the home agent (HA) is located in the visited network, as shown in FIG. 1 is shown.
  • a radio link between the mobile terminal (ME) of the base station (BS) After a radio link between the mobile terminal (ME) of the base station (BS) is made, there is first an access authentication. Authentication, authorization and accounting are performed using authentication servers. Authen- tication messages are exchanged between the mobile terminal (ME) and the authentication server (AAA-SERVER) of the home network (HN). Based on this message exchange, the address of the home agent (HA) and an authentication key are obtained.
  • the authentication server (AAA-SERVER) in the home network (HN) keeps the profile data of the subscriber.
  • the authentication server receives a first authentication request, which includes a part ⁇ participants identity of the mobile terminal (ME).
  • ME mobile terminal
  • MSK Master Session Key
  • the MSK key is transmitted by the authentication server of the home network (HN) via the intermediate network (CSN) to the access network (ASN).
  • the mobile terminal In network-based mobility management (PMIP), the mobile terminal (ME) does not support Mobile IP. It can be used to play ⁇ In a corresponding MIP software is not activated or installed in the mobile terminal.
  • PMIP network-based mobility management
  • the gateway 6 provides the authenticator and the PMIP client for the mobile terminal (ME), thereby assuming its mobile IP communication.
  • DHCP proxy 6D is configured based on this data.
  • the mobile terminal When Proxy Mobile IP, the mobile terminal (ME) only recognizes ei ⁇ ne of the two from the DHCP server assigned IP addresses. Only the assigned by the DHCP server care-of address is known to the mobile terminal, the home address is not the mobile device itself, but only the PMIP client, the foreign Agen ⁇ th and the home agent known. In the case of mobility management (CMIP) terminal-based would the mobile terminal 1 is ⁇ ne two IP addresses, the home address as well know the care-of address.
  • CMIP mobility management
  • the mobile terminal MS After successful authentication and authorization, the mobile terminal MS sends a so-called DHCP discovery message. It Now a dialog with an IP address assignment between mobile terminal (ME), DHCP proxy and DHCP server takes place.
  • an MIP registration is performed, informing the home agent of the current location of the mobile terminal.
  • the mobile terminal representing PMIP client sends a re ⁇ gistréessanbig (Registration Request) to the home agent (HA) that the current care-of address contains.
  • the home agent accepts the care-of-address and replies with a registration reply.
  • the registration request is transmitted from a PMIP client within the access network via a foreign agent (FA) to the home agent (HA).
  • the home agent (HA) assigns the key for the subscriber from the associated authentication server (AAA-SERVER) and transmits it with the MIP registration response via the home agent (HA) to the PMIP client.
  • PMIP network-based mobility management
  • AAA authentication server
  • Figure 3 shows an inventive example of a network structure or structural ⁇ a system of intercommunicating Wi-MAX networks.
  • the communication in the illustrated system here too is subject to network-based mobility management (PMIP).
  • PMIP network-based mobility management
  • the WiMAX interface between a used as gateway 16 mobile station 16A and the base station 3 is located in the access network 4.
  • the access ⁇ network having an infrastructure similar to FIG. 1, but without the PMIP client 6B. Instead, a PMIP client 16B resides in the gateway 16 of the mobile station 16A.
  • the authentication client 6C (AAA-CLIENT-MS) in the access network is restricted to the mobile station 16A or the gateway 16.
  • Contained for the connected in the ER by the gateway 16 network 17 terminal (EN) mobile devices 19A-19D (MEL-MEn) are Authentikationsclients 16C provided in the gate way ⁇ sixteenth
  • a home network 12 must be used for the mobile station 16A or the gateway 16 and home networks 13 are distinguished for the mobile terminals 19A-D.
  • the home network 12 includes a gateway 16 associated authentication server 14 (AAA-MS) and the home networks 13 umfas ⁇ sen each authentication server 15 (AAA-ME).
  • FIG. 4 shows a section of a network application procedure according to a possible variant according to the invention. Only the part concerning the authentication is shown. The authentication is divided into two sections.
  • the gateway or the mo ⁇ bile station (MS-GW) 16 authenticates itself to the authentication server (AAA-MS) by means of the authenticator (ASN-GW) 8 (a ⁇ finally the Authentikationsclients 6C (AAA-MS) ) and the Proxy Authentication Server (AAA Proxy) 8C.
  • ASN-GW authenticator
  • AAA-MS the Authentikationsclients 6C
  • AAA Proxy Proxy Authentication Server
  • an EAP protocol against ⁇ the mobile station which here acts as the authenticator authenticates the mobi ⁇ len terminals (MEL MEn) also according to above its authentication server (AAA-ME) means.
  • the authenticator receives the key MSK (Master Session Key) from the authentication server (AAA-MS) after successful authentication.
  • MSK Master Session Key
  • Both the authenticator 8 (ASN-GW) and the mobile station (MS-GW) used as gateway 16 derive the key AK from this.
  • a secure wireless connection according to IEEE 802.16 / 16e will be performed between the mobile station 16 and the WiMAX base station (BS).
  • PMIP-key For the PMIP client in the gateway 16 of the mobile station, at the end of this step, there is a suitable mobility key (PMIP-key) with which the communication to the home agent (HA) can be secured.
  • PMIP-key In the present example on the side of Authentikationsservers (AAA-MS) and the mobile station (MS-GW) is derived mobility key (PMIP key) from handenem before ⁇ key material.
  • AAA-MS Authentikationsservers
  • MS-GW mobile station
  • PMIP key derived mobility key from handenem before ⁇ key material.
  • the key Informa ⁇ tions are available on both sides because they could be exchanged in the EAP authentication in the frame.
  • the gateway employed as ⁇ mo bile station exchanges EAP messages to the proxy
  • This proxy authentication server now has, according to the invention, the special feature on, the addresses of each responsible for the mobile terminals ⁇ the literal authentication server (AAA-ME) to dissolve and to share those messages with them. It is but it is also possible that the authentication servers (AAA-MS) and (AAA-ME) are identical.

Abstract

Mobile Station als Gateway für mobile Endgeräte zu einem Zu- gangsnetz sowie Verfahren zur Netzanmeldung der mobilen Station und der mobilen Endgeräte Mobile Station (MS-GW), welche als Gateway für ein oder meh- rere mobile Endgeräte (ME) dazu eingerichtet ist, eine Verbindung zwischen dem oder den mobilen Endgeräten (ME) und einem Zugangsnetz (ASN) herzustellen, wobei die mobile Station (MS-GW) ein netzbasiertes Mobilitätsmanagement (PMIP) unterstützt, so dass die mobile Station (MS-GW) im Rahmen einer Mobile-IP-Verbindung als Client anstelle der mobilen Endgeräte (ME) bei der Kommunikation mit einem Heimagenten (HA) eines mit dem Zugangsnetz (ASN) verbundenen Heim- oder Zwischennetzes (V-CSN, HN1) auftritt.

Description

Beschreibung
Mobile Station als Gateway für mobile Endgeräte zu einem Zu¬ gangsnetz sowie Verfahren zur Netzanmeldung der mobilen Sta- tion und der mobilen Endgeräte
Die Erfindung betrifft eine mobile Station (MS-GW) , welche als Gateway für ein oder mehrere mobile Endgeräte (ME) dazu eingerichtet ist, eine Verbindung zwischen dem oder den mobi- len Endgeräten (ME) und einem Zugangsnetz (ASN) herzustellen. Die Erfindung betrifft insbesondere auch solche mobilen Sta¬ tionen, die drahtlos mit Zugangsnetzen (ASN) kommunizieren, wie beispielsweise bei WiMAX-Netzen .
Netze, die mobilen Endgeräten wie Laptops, PDAs, etc. Zugang etwa zum Internet verschaffen sollen, unterliegen besonderen Anforderungen bezüglich des Mobilitätsmanagements. Das her¬ kömmliche Internet-Protokoll ist ursprünglich nicht für den mobilen Einsatz konzipiert worden. Bei stationären Rechnern, die Daten bzw. Pakete austauschen, kann grundsätzlich eine für die Zeitdauer der Verbindung feste IP-Adresse zugeordnet werden. Wandern diese Rechner zwischen verschiedenen Subnet- zen, so kann gemäß dem herkömmlichen IP-Standard die Verbindung nicht mehr aufrechterhalten werden. Auch ist eine Ände- rung er Netzwerkadresse selbst in einer laufenden Verbindung nicht vorgesehen, bzw. es resultiert ein Abbruch der Verbindung .
Das DHCP (Dynamik Host Konfiguration Protocol) ermöglicht an- hand eines dedizierten Servers die dynamische Zuweisung einer IP-Adresse und weiterer Konfigurationsparameter an ein Endgerät oder eine Station in einem Netzwerk. Ein solches Gerät bekommt, sobald es in ein Netzwerk eingebunden wird, automa¬ tisch eine (noch freie) IP-Adresse durch das DHCP-Protokoll zugewiesen. Ist bei einem mobilen Endgerät DHCP installiert, so braucht es lediglich in den Bereich eines lokalen Netzwerkes kommen, das die Konfiguration über das DHCP-Protokoll unterstützt. Bei dem DHCP-Protokoll ist eine dynamische Adress- vergäbe möglich, d.h. eine freie IP-Adresse wird automatisch für eine bestimmte Zeit zugeteilt. Nach Ablauf dieser Zeit muss die Anfrage durch den mobilen Rechner entweder erneut gestellt werden oder die IP-Adresse kann anderweitig vergeben werden.
Mit DHCP kann ein mobiles Endgerät ohne manuelle Konfigurati¬ on in ein Netzwerk eingebunden werden. Als Voraussetzung muss lediglich der DHCP-Server zur Verfügung stehen. Das mobile Endgerät kann auf diese Weise Dienste des lokalen Netzwerkes nutzen. Bietet ein mobiles Endgerät bzw. eine mobile Station jedoch selbst Dienste an, kann ein potentieller Dienstnutzer dieses Gerät nicht in geeigneter Weise adressieren, da sich dessen IP-Adresse in jedem Netzwerk, in das es eingebunden wird, ändert.
Trotz DHCP werden daher die Anforderungen an Mobilität durch das herkömmliche Internet-Protokoll (IP) nicht erfüllt. Es wurde daher ein besonderes Protokoll, Mobile IP (MIP) ge- schaffen, das den gesonderten Anforderungen Rechnung trägt. Bei Mobile-IP erhält ein mobiles Endgerät bzw. eine mobile Station eine IP-Adresse, die es auch bei Aufenthalt in einem anderen Netzwerk beibehält.
Bei herkömmlichem IP wäre es dabei notwendig, die IP Adres¬ sen-Einstellungen für die beteiligten Router entsprechend anzupassen. Eine ständige Anpassung von IP- und Routing- Konfigurationen auf dem Endgerät ist aber nicht praktikabel. Das MlP-Protokoll (RFC 2002, RFC 2977, RFC3344, RFC3846, RFC3957, RFC3775, RFC3776, RFC4285) unterstützt dagegen die Mobilität von mobilen Endgeräten, indem es ihm zwei IP- Adressen zuweist, nämlich eine permanente Home-Adresse und eine zweite, temporäre Care-Of-Adresse . Die Care-Of-Adresse ist die IP-Adresse, unter der das mobile Endgerät aktuell - z.B. in einem von ihm besuchten Netz - erreichbar ist. Die
Vermittlung von Informationen, die an die permanent verfügbare Heimadresse gerichtet sind, zum mobilen Endgerät wird durch Heim- und Fremdagenten bewerkstelligt . Der Heimagent (Home Agent) ist ein Stellvertreter des mobilen Endgerätes, solange sich das mobile Endgerät nicht in dem ur¬ sprünglichen Heimnetz aufhält. Der Heimagent ist ständig über den aktuellen Aufenthaltsort des mobilen Rechners informiert. Der Heimagent stellt üblicherweise eine Komponente eines Rou¬ ters im Heimnetz (oder einem Zwischennetz) des mobilen Endgerätes dar. Wenn das mobile Endgerät sich außerhalb des Heim¬ netzes befindet, stellt der Heimagent eine Funktion bereit, damit sich das mobile Endgerät anmelden kann. Danach leitet der Heimagent die an das mobile Endgerät adressierten Daten¬ pakete in das aktuelle Netz des mobilen Endgerätes weiter.
Ein Fremdagent (Foreign Agent) befindet sich in demjenigen Netz, in dem sich das mobile Endgerät bewegt. Der Fremdagent leitet eingehende Datenpakete an das mobile Endgerät bzw. an den mobilen Rechner weiter. Der Fremdagent stellt dabei ebenfalls üblicherweise eine Komponente eines Routers dar und routet administrative Mobile-Datenpakete zwischen dem mobilen Endgerät und dessen Heimagenten. Der Fremdagent entpackt die von dem Heimagent gesendeten, getunnelten IP-Datenpakete und leitet deren Daten an das mobile Endgerät weiter.
Damit ein mobiles Endgerät in ein Netz eingebunden werden kann, muss es zunächst in Erfahrung bringen, ob es sich in seinem Heim- oder einem Fremdnetz befindet. Zusätzlich muss das mobile Endgerät in Erfahrung bringen, welche Station in dem (ggf. besuchten) Netz der Heim- bzw. der Fremdagent ist. Diese Informationen werden durch ein Agent Discovery ermit- telt.
Durch eine Registrierung kann das mobile Endgerät seinen aktuellen Standort seinem Heimagenten (HA) mitteilen. Hierzu sendet das mobile Endgerät dem Heimagenten die aktuelle Care- Of-Adresse zu - im Rahmen einer Registrierungsanforderung an den Heimagenten. Der Heimagent (HA) antwortet mit einer Registrierungsantwort . Die Registrierung wird abgesichert durch eine vorab durchge¬ führte Authentikation . Das mobile Endgerät und der Heimagent verfügen danach über z.B. gemeinsame geheime Schlüssel. Die Aufgabe der Authentikation wird durch einen dem Heimagenten im Heimnetz (Home Connectivity Serving Network) des mobilen Endgerätes zugeordneten Authentikationsserver übernommen, auch AAA-Server genannt (AAA: Authentication, Authorization and Accounting) . Befindet sich der Heimagent in einem besuchten Zwischennetz (visited Connectivity Serving Network, CSN) so wird ihm in diesem Netz ein Proxy-Authentikationsserver zur Seite gestellt. Der Heimagent und der Authentikationsserver bzw. dessen Proxy können Module auf ein und demselben Rechner sein.
Mobile Datennetze werden in der Regel durch Funkverbindungen realisiert. Es müssen dann die Nachrichten längere Strecken über Luftschnittstellen zurücklegen und sind somit für potentielle Angreifer leicht erreichbar. Bei mobilen und drahtlosen Datennetzen spielen daher Sicherheitsaspekte eine beson- dere Rolle. Ein mobiles Endgerät besitzt als ersten Anlauf¬ punkt in einem besuchten Netz daher meist ein Zugangsnetz (Access Serving Network, ASN) , das die Basisstation für die drahtlose Übertragung umfasst. Neben der Vereinbarung von Schlüsseln für die Kommunikation mit den Authentikationsser- vern und den Heimagenten sind daher auch weitere Schlüssel für die Funkdatenübertragung erforderlich.
Neben der bekannten WLAN-Technik (Wireless Local Area Network, Standard IEEE 802.11) ist als drahtloser Zugang für mo- bile Endgeräte in jüngerer Vergangenheit eine viel verspre¬ chende drahtlose Zugangstechnologie bekannt geworden, die auch größere Reichweiten von bis zu 30 km oder mehr (Sichtlinie) bei hohen Datendurchsätzen von 75 Mb/s erreicht: WiMAX (Worldwide Interoperability for Microwave Access) . WLAN er- reicht aufgrund der begrenzten Sendeleistung bei 100 m Abstand (direkte Sichtlinie) 54 Mb/s. Während mit WLAN daher gerade einmal Hotspots innerhalb von Gebäuden realisierbar sind, können bei WiMAX ganze Stadteile als Metrospots ausge- wiesen werden (etwa 800 - 1000 m Radius) . Drei Frequenzbänder um 2.6 GHz, 3.5 GHz und 5.8 GHz mit Breiten von 100 - 200 MHz sind für WiMAX vorgesehen.
WiMAX unterstützt zwei Varianten von Mobile IP, mit denen ein Makro-Mobilitätsmanagement ermöglicht wird: Proxy - Mobile IP und Client - Mobile IP (basierend auf Mobile IPv4 oder v6) .
Beim Client-MIP (CMIP) verfügt das mobile Endgerät bzw. die mobile Station für Mobile-IP-Funktionalität . Insbesondere ist das Endgerät oder die Station mit eigener IP-Adresse und der¬ jenigen seines/ihres Heimagenten versehen und besitzt ent¬ sprechende Schlüssel für die Kommunikation. Das Endgerät bzw. die Station verfügt dann über ein so genanntes endgeräte- basiertes Mobilitätsmanagement.
Beim Proxy-MIP (PMIP) ist die MIP-Client-Funktionalität durch das WiMAX-Zugangsnetz (WiMAX-ASN) anstatt durch das mobile Endgerät selbst realisiert. Die im Zugangsnetz (ASN) vorgese- hene Funktionalität wird als Proxy Mobile Node (PMN) oder als PMIP-Client bezeichnet. Bei dieser Konfiguration kann auch ein solches Endgerät Zugang zu Zwischen- und Heimnetzen finden, dass Mobile-IP gerade nicht unterstützt. Der PMIP-Client übernimmt die MIP-Signalisierung stellvertretend für den ei- gentlichen Client, dem mobilen Endgerät. Das mobile Endgerät zieht dann Nutzen aus einem so genannten netz-basierten Mobilitätsmanagement, das ihm der PMIP-Client zur Verfügung stellt.
Als Mobilitätsmanagement bzw. Makro-Mobilitätsmanagement
(Makro-MM) wird hier die Verfahrensweise bei der Übergabe ei¬ ner mobilen Station oder eines mobilen Endgerätes bezeichnet, das zwischen zwei Zugangsnetzen (ASN) bzw. zwischen Netzen zweier Netzanbieter (NAP, Network Access Provider) wechselt. Makro-MM wird bei WiMAX auch als R3-Mobility oder Inter-ASN- Mobility bezeichnet. In beiden Fällen muss auf der Gegenseite vom mobilen Endgerät oder CMIP-/PMIP-Client das Heimnetz-CSN (HN), d.h., der Service-Provider der Benutzers ebenfalls Mobile IP unterstützen, um die Kommunikation zu ermöglichen. So fragt etwa bei einer der Authentikation folgenden Registrierung der Heimagent (HA) bei dem Authentikationsserver (AAA-MS) der mobilen Station (MS) Sicherheitsparameter ab. Diese Parameter werden benötigt, damit sich nur ein berechtigter Client beim Heimagenten (HA) registrieren kann.
Ferner wird gemäß Mobile IP dem CMIP- oder PMIP-Client die Adresse des Heimagenten (HA) zugewiesen. Der Heimagent (HA) kann sich dabei im Heimnetz (HN) oder auch im besuchten Zwischennetz (CSN) befinden. Diese Grundfunktionalitäten müssen gewahrt bleiben.
Proxy-Mobile-IP unterstützt die Mobilität nicht MIP-fähiger mobiler Endgeräte (ME) . Der entsprechende PMIP-Client befin¬ det sich dabei in einem Gateway (GW) , welches im Zugangsnetz (ASN) positioniert ist, mit dem die mobilen Endgeräte (ME) drahtlos über eine Basisstation (BS) kommunizieren.
Sollen nun aber die mobilen Endgeräte jeweils anderen Netzbetreibern (NAP) zugeordnet sein (unterschiedliche Subskrip- tionen beim Roaming) , so entsteht demjenigen Netzbetreiber, der das Gateway im Zugangsnetz betreibt, ein nicht unerhebli¬ cher Aufwand um diese erweiterte Funktionalität im PMIP- Client in dem Gateway des Zugangsnetzes abzubilden. Er muss dann nämlich dort auch die für die Netzanmeldung erforderli- che AAA-Infrastruktur im Zugangsnetz ASN bereitstellen.
Im Fall von WLAN-Netzen werden DSL-Gateways oftmals im Heimbereich und nicht auf Seite eines Netzanbieters eingesetzt. Hinter solchen Gateways sind - vom Netzanbieter aus gesehen - mobile
Endgeräte erreichbar. In diesem Fall ist nur die Subskription mit dem einen Netzanbieter selbst möglich, der das Gateway vermittelt hat. Die mobilen Endgeräte besitzen keine Sub¬ skription .
In öffentlichen WLAN-Netzen, etwa Hotspots als drahtlose Ho- telnetze etc., sind dagegen durchaus Subskriptionen mit ande¬ ren Netzanbietern vorgesehen. Voraussetzung ist lediglich, dass der Hotspot-Anbieter einen Vertrag mit dem dritten Netzanbieter geschlossen hat und demgemäß Verbindungen für die mobilen Endgeräte in dem Hotspot herstellt.
Zwar ist für den Zugang eine EAP-basierte Authentikation (EAP: Extensible Authentication Protocol, RFC 3748) sowohl für das Gateway als auch für die Endgeräte vorgesehen, wenn das Gateway eine Authentikator-Funktionalität zur Verfügung stellt. Aber das Gateway besitzt hier keine Funktionalität zur Ermittlung des jeweiligen Heimnetzes der mobilen Endgeräte.
Dazu müsste das Gateway nämlich wenigstens im Besitz der IP- Adresse und eines gemeinsamen Schlüssels mit dem jeweils zu¬ ständigen Authentikationsserver des Heimnetzes eines mobilen Endgerätes sein.
Ferner besitzen bei diesen WLAN-Szenarien die mobilen Endge- rate wie auch das Gateway selbst keinerlei Mobilität, sie sind beispielsweise auf den Standort des Hotels angewiesen.
Es besteht daher das Erfordernis, nicht MIP-fähigen Endgerä¬ ten einen sicheren Zugang zu ihren jeweiligen Heimnetzen zu gewähren und gleichzeitig deren Mobilität zu gewährleisten, dabei aber den Aufwand für die Umsetzung des damit verbunde¬ nen Mobilitätsmanagement zu gering zu halten.
Diese Anforderungen werden durch eine mobile Station mit den Merkmalen des Anspruchs 1 erfüllt, wobei die mobile Station selbst als Gateway eingesetzt ist. Eine Endgerätenetz aus mo¬ bilen Endgeräten und der als Gateway eingesetzten mobilen Station ist im Anspruch 14 angegeben. Ein System von Netzen, das das Endgerätenetz, ein Zugangsnetz, ein Zwischennetz und wenigstens ein Heimnetz für eines der mobile Endgeräte und ein weiteres Heimnetz für die mobile Gateway-Station umfasst, ist im Anspruch 16 angegeben.
Die entsprechende Aufgabe wird ferner gelöst durch ein Ver¬ fahren mit den Merkmalen gemäß Anspruch 18. Vorteilhafte Aus¬ gestaltungen sind jeweils den unabhängigen Ansprüchen zu entnehmen .
Es wird vorgeschlagen, den PMIP-Client, welcher ein netzbasiertes Mobilitätsmanagement ermöglicht, einer mobilen Stati¬ on (MS-GW) zuzuordnen, welche als Gateway für ein oder mehrere mobile Endgeräte (ME) eingerichtet ist. Gegenüber der be- kannten Variante von Proxy-Mobile-IP wird die PMIP-Client- Funktionalität demnach vom Gateway im Zugangsnetz (ASN) in den Bereich der mobilen Endgeräte (ME) verschoben.
Die Begriffe mobile Station und mobiles Endgerät für sich ge- nommen können grundsätzlich auch gleiche Typen von Rechnern bezeichnen. Jedoch besitzt die mobile Station hier die Eigenschaft, als Gateway eingerichtet zu sein. Sie besitzt daher zusätzliche, über die mobilen Endgeräte hinausgehende Merkma¬ le wie auf logischer Seite etwa Adresstabellen der in dem Endgerätenetz angemeldeten Endgeräte, und auf physikalischer Seite z.B. Netzwerkkarte für Netzwerkkabelanschluss und/oder Sende-/Empfangsvorrichtung für drahtlose Funkwellen. Das Endgerätenetz wird durch die Infrastruktur der als Gateway verwendeten mobilen Station (MS-GW) bestimmt . Das Gateway be- sitzt jedenfalls zwei Datenein-/ausgänge, um Verbindungen zwischen Netzen und/oder einzelnen Peers herstellen zu können .
Gemäß Ausführungsformen kommunizieren die mobilen Endgeräte mit der Gateway-mobilen Station (MS-GW) drahtlos oder drahtgebunden. Beispiele sind ein lokales WLAN-Netz oder ein Ethernet-Kabelnetz . Mit besonderem Vorteil kann die Erfindung in WiMAX-Netzen eingesetzt werden. Die Gateway-mobile Station kommuniziert dann auf ihrer Ausgangsseite - von den mobilen Endgeräten aus gesehen - drahtlos mit einer Basisstation (BS) eines Zugangs- netzes (ASN) . Auch hier kann ein Gateway (ASN-GW) eingerichtet sein. Von diesem kann die Verbindung weiter über Zwischennetze zu den Heimnetzen sowohl der mobilen Station (MS- GW) als auch der mobilen Endgeräte (ME) verlaufen. Insbesondere können diese Heimnetze verschieden sein, so dass belie- bige Subskriptionen für die mobilen Endgeräte möglich sind.
Anstatt eines großreichweitigen WiMAX-Netzes kann die mobile Station aber auch serverseitig in einem WLAN-Netz eingesetzt werden. Bei WiMAX-Netzen tritt der Vorteil der Erfindung aber deutlicher hervor: mobile Verkehrsmittel können die Gateway¬ mobile Station (MS-GW) mit sich führen. Verkehrsteilnehmer, die dieses Verkehrsmittel besteigen, können sich dabei frei anmelden mit ihrem mobilen Endgerät (ME) bei ihrem Heimnetz (HN2) - und zwar über die Gateway-mobile Station (MS-GW) . Beispiele für solche Verkehrsmittel sind Taxis, Busse, Bah¬ nen, Flugzeuge, Schiffe etc. Bei Reichweiten bei WiMAX von weniger als 1 km bei dichter Bebauung kann eine gute Netzabdeckung erforderlich sein.
Weil die Gateway-mobile Station (MS-GW) die PMIP-Funktio- nalität beisteuert, brauchen die Endgeräte nicht Mobile IP installiert zu haben. Die Gateway-mobile Station (MS-GW) tritt nämlich als Client bei der Mobile-IP-Verbindung anstelle des mobilen Endgerätes bei der Kommunikation mit einem Heimagenten (HA) des mit dem Zugangsnetz (ASN) verbundenen Zwischennetzes (CSN) auf.
Ein wesentliches Ziel ist es also, eine sichere Unterstützung mobiler Endgeräte (ME) , die nicht direkt mit dem WiMAX- Zugangs-Netz kommunizieren sondern über eine drahtlose Technologie wie WLAN IEEE 802.11 oder WiMAX IEEE 802.16 oder über eine drahtgebundene Technologie wie Ethernet IEEE 802.3 mit der WiMAX-fähigen Gateway-MS verbunden sind, im Rahmen der WiMAX-Architektur für den Zugang zum WiMAX-Netz zu gewährleisten .
Eine wichtige Komponente stellt dabei das Schlüsselmanagement dar. Für die Kommunikation der mobilen Endgeräte (ME) mit ihren jeweiligen Heimagenten (HA) ist ein gesonderter Schlüssel (PMIP-key) eingerichtet, mit dem die mobile Station (MS-GW) die entsprechenden Nachrichten sichert. Weiterhin ist ein gesonderter Schlüssel (GW-AAA-key) eingerichtet, mit dem die mobile Station (MS-GW) den Nachrichtenaustausch mit einem
Proxy-Authentikationsserver (AAA-P) im Zugangsnetz (ASN) sichert. Ausgestaltungen der Erfindungen zufolge sind verschiedene Varianten denkbar, wie diese Schlüssel (PMIP-key, GW- AAA-key) in der als Gateway verwendeten mobilen Station (MS- GW) erzeugt bzw. hinterlegt werden.
Eine erste Ausführungsform sieht vor, diesen (ersten) Schlüssel (PMIP-key) aus einem bereits vorhandenen (zweiten) Schlüssel (CMIP-key) abzuleiten. Ein solcher liegt beispiels- weise vor, wenn die als Gateway eingesetzte mobile Station
(MS-GW) zum Zweck der eigenen Mobilität selbst ein endgeräte- basiertes Mobilitätsmanagement (CMIP) betreibt. Der zweite Schlüssel (CMIP-key) wird bei der Registrierung der mobilen Station (MS-GW) gegenüber ihrem Authentikationsserver (AAA- MS) erzeugt bzw. bei der EAP-basierten Authentikation erzeugt, oder ist vorkonfiguriert.
Ein solcher zweiter Schlüssel kann auch als Schlüsselinforma¬ tion (MSK) vom Authentikationsserver übermittelt sein, um die Luftschnittstelle bei WiMAX oder WLAN vor Angriffen Dritter zu schützen. Dann wird der erste Schlüssel (PMIP-key, GW-AAA- key) aus dieser Schlüsselinformation abgeleitet.
Eine weitere Ausführungsform sieht vor, den ersten Schlüssel (PMIP-key, GW-AAA-key) als solchen in der mobilen Station vorzukonfigurieren . Vorkonfigurieren bedeutet hier, dass er vor Verfahrensschritten der Authentikation, Adresszuweisung, Registrierung etc. bereits in der als Gateway verwendeten mobilen Station (MS-GW) vorliegt.
Die Sicherheitsbeziehung zwischen einer nicht als Gateway verwendeten mobilen Station und einem Proxy-
Authentikationsserver (AAA-P) wurde bisher ohne das Vorhandensein eines automatisierten Mechanismus für eine Schlüssel¬ verteilung üblicherweise statisch vorkonfiguriert. Insofern stellen insbesondere die genannten Varianten einer dynami- sehen Übertragung bzw. Ableitung des ersten Schlüssels (PMIP- key, GW-AAA-key) aus vorhandenen oder übertragenen Schlüsseln (MSK, CMIP-key, etc.) vorteilhafte Ausführungsformen dar, weil der Aufwand für das Vorkonfigurieren erheblich reduziert ist.
Grundsätzlich muss, da immer zwei Parteien kommunizieren, der erste Schlüssel (im Fall des PMIP-keys) nicht nur in der mo¬ bilen Station (MS-GW) sondern auch im Authentikationsserver (AAA-MS) vorhanden sein. Im Fall der Vorkonfiguration ist es aber auch möglich, den Schlüssel (PMIP-key) direkt im zuständigen Mobile IP Heimagenten (HA) zu hinterlegen - an Stelle des Authentikationsservers (AAA-MS) , wenn dieser Schlüssel (PMIP-key) eindeutig ist und nicht dynamisch zugewiesen wird für die MS .
Im Fall des Authentikationsschlüssels (GW-AAA-key) wird, weil der zuständige Proxy-Authentikationserver (AAA-P) gemäß der Erfindung bereits im Zugangsnetz (ASN) angelegt ist, dieser Schlüssel entsprechend beim Foreign Agent (FA) alternativ zu dem Proxy-Authentikationserver (AAA-P) hinterlegt.
Eine weitere Ausführungsform sieht vor, ein vereinfachtes Schlüsselmanagement dahingehend einzurichten, dass für viele oder alle im Endgerätenetz (EN) bei der mobilen Station (MS-GW) angemeldeten mobilen Endgeräte (ME) der gleiche erste Schlüssel (PMIP-key, GW-AAA-key) bei der Kommunikation mit dem Heimagenten (HA) verwendet wird. Um die Authentikation eines mobilen Endgerätes mittels EAP- basiertem Protokoll gegenüber dem jeweiligen Heimnetz (HN2) der ME zu ermöglichen, sobald sich das mobile Endgerät über eine mobile Station (MS-GW) mit dem WiMAX-Netz (ASN) verbin- det, ist die als Authentikator agierende mobile Station (MS- GW) in der Lage, den Authentikationsserver (AAA-ME) des jeweiligen Heimatnetzes (HN2) des mobilen Endgerätes aufzufinden können.
Den mobilen Endgeräten müssen zur verbesserten Kommunikation IP-Adressen zugewiesen werden. Eine Zuweisung von IP-Adressen für die mobilen Endgeräte (ME) ist im Rahmen der Erfindung vorgesehen. Dies kann beispielsweise durch eine sog. DHCP- Relay-Funktionalität in der als Gateway verwendeten mobilen Station (MS-GW) erfolgen.
Es ist anzumerken, dass der Heimagent (HA) im besuchten Zwischennetz (CSN) oder im Heimnetz (HNl) angelegt sein kann, je nachdem, wo sich die mobile Station befindet. Bei dem Heim- netz kann es sich auch um ein Netz vom Typ „CSN" (Connectivity Serving Network) handeln.
Die Erfindung soll nun anhand von Ausführungsbeispielen mit Hilfe von Zeichnungen näher erläutert werden. Darin zeigen:
Figur 1 eine Netzstruktur bzw. System von Netzen mit netzbasiertem Mobilitätsmanagement (PMIP) gemäß dem Stand der Technik;
Figur 2 den Verbindungsaufbau in einer Netzstruktur nach Fig. 1 mit PMIP;
Figur 3 eine Netzstruktur bzw. System von Netzen mit netzbasiertem Mobilitätsmanagement (PMIP) gemäß einem Beispiel gemäß der Erfindung; Figur 4 einen Ausschnitt aus dem Verbindungsaufbau mit Au- thentikationsschritten des Gateways und einer ME gemäß einem Ausführungsbeispiel der Erfindung.
Figur 1 zeigt ein Beispiel einer Netzstruktur bzw. eines Systems von miteinander kommunizierenden WiMAX- oder WLAN-Netzen gemäß dem Stand der Technik. Die Kommunikation in dem dargestellten System unterliegt einem netzbasierten Mobilitätsmanagement (PMIP) .
Das mobile Endgerät (ME) 1 ist über eine drahtlose WiMAX- oder WLAN-Schnittstelle 2 mit einer Basisstation (BS) 3 eines Zugangsnetzes (ASN) 4 verbunden. Bei dem mobilen Endgerät 1 handelt es sich um ein beliebiges mobiles Endgerät, bei- spielsweise einen Laptop, einen PDA, ein Mobiltelefon, oder ein sonstiges mobiles Endgerät. Es erfüllt keine Gateway- Funktion, sondern ist wortsinngemäß ein Endgerät.
Die Basisstation (BS) 3 des Zugangsnetzes (ASN) 4 ist über eine Datenübertragungsleitung 5 mit einem Gateway (ASN-GW) 6 des Zugangsnetzes 4 verbunden. In dem Rechner des Gateways 6 sind weitere Funktionen integriert, insbesondere ein Fremd¬ agent (FA) 6A, ein PMIP-Client 6B, ein Authentikations-Client (AAA-CLIENT) 6C und ein DHCP-Proxy-Server 6D . Der Fremdagent 6A ist ein Router, der Routing-Dienste für das mobile Endge¬ rät 1 zur Verfügung stellt. Die an das mobile Endgerät 1 ge¬ richteten Datenpakete werden von einem Heimagenten (HA) ge- tunnelt übertragen und von dem Fremdagenten (FA) 6A entpackt.
Das Gateway 6 des Zugangsnetzes 4 ist über eine Schnittstelle 7 mit einem Rechner 8 eines Zwischennetzes (CSN) 9 verbunden. Der Rechner 8 umfasst einen DHCP-Server 8A, einen Heimagenten (HA) 8B und einen Proxy-Authentikationsserver (AAA-P) 8C. Der Heimagent 8B ist Stellvertreter des mobilen Endgerätes 1, wenn dieses sich nicht in seinem ursprünglichen Heimnetz 12
(HNl) befindet. Der Heimagent 8B ist ständig über den aktuel¬ len Aufenthaltsort des mobilen Rechners 1 informiert. Daten¬ pakete für das mobile Endgerät 1 werden zunächst an dem Heim- agenten (HA) übertragen und von dem Heimagenten (HA) aus ge- tunnelt an den Fremdagenten (FA) 6A weitergeleitet.
Umgekehrt können Datenpakete, die von dem mobilen Endgerät 1 ausgesendet werden, direkt an den jeweiligen Kommunikations¬ partner gesendet werden. Die Datenpakete des mobilen Endgerä¬ tes 1 enthalten dabei die Heimadresse als Absenderadresse. Die Heimadresse hat dasselbe Adresspräfix, d.h. Netzadresse und Subnetzadresse, wie der Heimagent 8B. Datenpakete, die von anderen Kommunikationspartnern an die Heimadresse des mobilen Endgerätes 1 gesendet werden, werden von dem Heimagenten 8B abgefangen. Der Heimagenten 8B verpackt diese Daten und überträgt sie getunnelt an die Care-of-Adresse des mobi¬ len Endgerätes 1 im Bereich des Zugangsnetzes. An dem End- punkt des Tunnels werden sie durch den Fremdagenten 6A oder das mobile Endgerät 1 selbst empfangen.
Der Rechner 8 des Zwischennetzes 9 ist über eine weitere Schnittstelle 10 mit einem Authentikationsserver (AAA-SERVER) 11 eines Heimnetzes 12 des mobilen Endgerätes 1 verbunden.
Figur 2 zeigt den beispielhaften Ablauf einer Netzanmeldung des mobilen Endgerätes (ME) , wenn sich der Heimagent (HA) in dem besuchten Netzwerk befindet wie es in Figur. 1 darge- stellt ist.
Nachdem eine Funkverbindung zwischen dem mobilen Endgerät (ME) der Basisstation (BS) hergestellt ist, erfolgt zunächst eine Zugangsauthentikation . Die Authentikation, die Autorisa- tion und das Accounting erfolgt anhand von Authentikations- servern. Zwischen dem mobilen Endgerät (ME) und dem Authentikationsserver (AAA-SERVER) des Heimnetzes (HN) werden Authen- tisierungsnachrichten ausgetauscht. Anhand dieses Nachrichtenaustauschs werden die Adresse des Heimagenten (HA) und ein Authentisierungsschlüssel gewonnen.
Der Authentikationsserver (AAA-SERVER) im Heimnetz (HN) hält die Profildaten des Teilnehmers. Der Authentikationsserver erhält zunächst eine Authentisierungsanfrage, die eine Teil¬ nehmeridentität des mobilen Endgerätes (ME) umfasst. Nach er¬ folgreicher Zugangsauthentisierung erzeugt der Authentikati- onsserver dann einen MSK-Schlüssel (MSK: Master Session Key, in Fig. 2) zum Schutz der Datenübertragungsstrecke zwischen dem mobilen Endgerät MS und der Basisstation des Zugangsnetzwerkes ASN. Der MSK-Schlüssel wird von dem Authentikations- server des Heimnetzes (HN) über das Zwischennetz (CSN) an das Zugangsnetzwerk (ASN) übertragen.
Beim netzbasierten Mobilitätsmanagement (PMIP) unterstützt das mobile Endgerät (ME) Mobile-IP nicht. Es kann zum Bei¬ spiel eine entsprechende MIP-Software in dem mobilen Endgerät nicht aktiviert oder installiert sein.
Das Gateway 6 stellt den Authentikator und den PMIP-Client für das mobile Endgerät (ME) , und übernimmt damit dessen Mo- bile-IP-Kommunikation .
Es wird in einer Antwortnachricht vom Authentikationsserver eine Adresse des zuständigen DHCP-Servers, ein für die Kommu¬ nikation mit Authentikationsserver abgeleiteter Schlüssel (AAA-key) und die Adresse des zuständigen Heimagenten (HA) an den PMIP-Client 6B übermittelt. In einem weiteren Schritt wird der DHCP-Proxy 6D anhand dieser Daten konfiguriert.
Beim Proxy-Mobile-IP erkennt das mobile Endgerät (ME) nur ei¬ ne der beiden vom DHCP-Server zugewiesenen IP-Adressen. Nur die vom DHCP-Server zugewiesene Care-of-Adresse ist dem mobi- len Endgerät bekannt, die Heimadresse ist nicht dem mobilen Endgerät selbst, sondern nur dem PMIP-Client, dem Fremdagen¬ ten sowie dem Heimagenten bekannt. Im Fall endgerätebasierten Mobilitätsmanagements (CMIP) würde das mobile Endgerät 1 sei¬ ne beiden IP-Adressen, die Heimadresse wie auch die Care-of- Adresse kennen.
Nach erfolgreicher Authentisierung und Autorisierung sendet das mobile Endgerät MS eine sog. DHCP Discovery Nachricht. Es erfolgt nun ein Dialog mit einer IP-Adressenzuweisung zwischen mobilem Endgerät (ME), DHCP-Proxy und DHCP-Server.
Nach der IP-Adressenzuweisung erfolgt eine MIP-Registrierung, wobei der Heimagent über den aktuellen Standort des mobilen Endgerätes informiert wird. Zu seiner Registrierung sendet der das mobile Endgerät repräsentierende PMIP-Client eine Re¬ gistrierungsanforderung (Registration Request) an den Heimagenten (HA), die die aktuelle Care-of-Adresse enthält. Der Heimagent nimmt die Care-of-Adresse entgegen und antwortet mit einer Registrierungsantwort (Registration Reply) .
Da prinzipiell jeder Rechner an einen Heimagenten eine Registrierungsanforderung schicken kann, könnte auf einfache Weise einem Heimagenten vorgespielt werden, ein Rechner bzw. ein mobiles Endgerät habe sich in ein anderes Netzwerk be¬ wegt . Um dies zu verhindern, verfügt sowohl das mobile Endge¬ rät als auch der Heimagent über einen gemeinsamen geheimen Schlüssel (PMIP-key) , den PMIP-Schlüssel bzw. Mobilitäts- Schlüssel, der sich vom Authentikationsschlüssel (AAA-key) unterscheidet .
Die Registrierungsanforderung wird von einem PMIP-Client innerhalb des Zugangsnetzes über einen Fremdagenten (FA) an den Heimagenten (HA) übertragen. Der Heimagent (HA) lässt sich von dem zugehörigen Authentikationsserver (AAA-SERVER) den Schlüssel für den Teilnehmer zuweisen und überträgt diesen mit der MIP-Registrierungsantwort über den Heimagenten (HA) an den PMIP-Client .
Beim netzbasierten Mobilitätsmanagement (PMIP) kann also ein gemeinsamer Mobilitätsschlüssel (PMIP-key) über den PMIP- Client 6B und den Heimagenten (HA) durch einen Authentisie- rungsserver (AAA) erzeugt werden.
Figur 3 zeigt ein erfindungsgemäßes Beispiel einer Netzstruk¬ tur bzw. eines Systems von miteinander kommunizierenden Wi- MAX-Netzen. Die Kommunikation in dem dargestellten System un- terliegt auch hier einem netzbasierten Mobilitätsmanagement (PMIP) .
Bei diesem Beispiel befindet sich die WiMAX-Schnittstelle zwischen einer als Gateway 16 eingesetzten mobilen Station 16A und der Basisstation 3 des Zugangsnetzes 4. Das Zugangs¬ netz besitzt eine Infrastruktur ähnlich wie in Fig. 1 gezeigt, jedoch ohne den PMIP-Client 6B. Stattdessen befindet sich ein PMIP-Client 16B im Gateway 16 der mobilen Station 16A.
Darüber hinaus ist der Authentikationsclient 6C (AAA-CLIENT- MS) im Zugangsnetz auf die mobile Station 16A bzw. das Gateway 16 beschränkt. Für die in dem durch das Gateway 16 er- schlossene Endgerätenetz 17 (EN) enthaltenen mobilen Endgeräte 19A-19D (MEl-MEn) sind Authentikationsclients 16C im Gate¬ way 16 vorgesehen. Die mobilen Endgeräte 19A-19D kommunizie¬ ren mit dem Gateway 16 ihrerseits über WLAN- oder Ethernet- Schnittstellen 18.
Während die Architektur des Zwischennetzes 9, das über die Leitung 7 mit dem Zugangsnetz verbunden ist im Wesentlichen deckungsgleich mit der in Fig. 1 gezeigten Netzstruktur ist, muss beim erfindungsgemäßen Beispiel zwischen einem Heimnetz 12 für die mobile Station 16A bzw. dem Gateway 16 und Heimnetzen 13 für die mobilen Endgeräte 19A-D unterschieden werden. Das Heimnetz 12 umfasst ein dem Gateway 16 zugeordneten Authentikationsserver 14 (AAA-MS) und die Heimnetze 13 umfas¬ sen jeweils Authentikationsserver 15 (AAA-ME) .
Figur 4 zeigt einen Ausschnitt einer Netzanmeldungsprozedur gemäß einer möglichen Variante gemäß der Erfindung. Dargestellt ist lediglich der die Authentikation betreffende Teil. Die Authentikation gliedert sich in zwei Abschnitte. In einem ersten Schritt authentifiziert sich das Gateway bzw. die mo¬ bile Station (MS-GW) 16 gegenüber dem Authentikationsserver (AAA-MS) vermittels des Authentikators (ASN-GW) 8 (ein¬ schließlich des Authentikationsclients 6C (AAA-MS) ) und des Proxy-Authentikationsservers (AAA-Proxy) 8C. Zur Durchführung der Authentikation wird dabei ein herkömmliches EAP-Verfahren angewendet (EAP: Extensible Authentication Protocol, gemäß IEEE 802.16) .
In einem zweiten Schritt authentifiziert sich eines der mobi¬ len Endgeräte (MEl-MEn) ebenfalls gemäß EAP-Protokoll gegen¬ über seinem Authentikationsserver (AAA-ME) vermittels der mobilen Station (MS-GW), die hier als Authentikator fungiert.
In diesem Beispiel erhält der Authentikator (ASN-GW) nach erfolgreicher Authentikation den Schlüssel MSK (Master Session Key) vom Authentikationsserver (AAA-MS) . Sowohl der Authentikator 8 (ASN-GW) als auch die als Gateway 16 eingesetzte mo- bile Station (MS-GW) leiten daraus den Schlüssel AK ab. Mit diesem wird eine gesicherte drahtlose Verbindung nach IEEE 802.16/16e zwischen der mobilen Station 16 und der WiMAX- Basisstation (BS) durchgeführt werden.
Für den PMIP Client im Gateway 16 der mobilen Station liegt am Ende dieses Schrittes ein geeigneter Mobilitätsschlüssel (PMIP-key) vor, mit dem die Kommunikation zum Heimagenten (HA) gesichert werden kann. Im vorliegenden Beispiel wird auf seite des Authentikationsservers (AAA-MS) und der mobilen Station (MS-GW) der Mobilitätsschlüssel (PMIP-key) aus vor¬ handenem Schlüsselmaterial abgeleitet. Die Schlüsselinforma¬ tionen sind auf beiden Seiten verfügbar, weil sie im Rahmen der in EAP-Authentikation ausgetauscht werden konnten.
Beim zweiten Schritt tauscht die als Gateway eingesetzte mo¬ bile Station EAP-Nachrichten mit dem Proxy-
Authentikationsserver im Netz des WiMAX-Anbieters (NAP) bzw. im Zwischennetz 9 aus. Dieser Proxy-Authentikationsserver weist nun gemäß der Erfindung die besondere Eigenschaft auf, die Adressen der für die mobilen Endgeräte jeweils verant¬ wortlichen Authentikationsserver (AAA-ME) aufzulösen und die entsprechenden Nachrichten mit diesen auszutauschen. Es ist aber auch nicht ausgeschlossen, dass die Authentikationsser- ver (AAA-MS) und (AAA-ME) identisch sind.

Claims

Patentansprüche :
1. Mobile Station (MS-GW), welche als Gateway für ein oder mehrere mobile Endgeräte (ME) dazu eingerichtet ist, eine Verbindung zwischen dem oder den mobilen Endgeräten (ME) und einem Zugangsnetz (ASN) herzustellen, wobei die mobile Station (MS-GW) ein netzbasiertes Mobilitätsmanagement (PMIP) un¬ terstützt, so dass die mobile Station (MS-GW) im Rahmen einer Mobile-IP-Verbindung als Client anstelle der mobilen Endgerä- te (ME) bei der Kommunikation mit einem Heimagenten (HA) eines mit dem Zugangsnetz (ASN) verbundenen Zwischen- oder Heimnetzes (V-CSN, HNl) auftritt.
2. Mobile Station (MS-GW) nach Anspruch 1, welche dazu einge- richtet ist, mit einer Basisstation (BS) des Zugangsnetzwerks
(ASN) über eine drahtlose Verbindung zu kommunizieren.
3. Mobile Station (MS-GW) nach Anspruch 2, bei der die drahtlose Verbindung dem WiMAX-Standard IEEE 802.16 entspricht.
4. Mobile Station (MS-GW) nach einem der Ansprüche 1 - 3, die eingerichtet ist, mit dem einen oder den mehreren mobilen Endgeräten (ME) über eine drahtlose Verbindung zu kommunizieren .
5. Mobile Station (MS-GW) nach Anspruch 4, bei der die drahtlose Verbindung dem WLAN-Standard IEEE 802.11 entspricht.
6. Mobile Station (MS-GW) nach einem der Ansprüche 1 - 3, die eingerichtet ist, mit dem einen oder den mehreren mobilen
Endgeräten (ME) über eine drahtgebundene Verbindung zu kommunizieren .
7. Mobile Station (MS-GW) nach Anspruch 6, bei der die draht- gebundene Verbindung dem Ethernet-Standard IEEE 802.3 ent¬ spricht .
8. Mobile Station (MS-GW) nach einem der Ansprüche 1 - 7, die im Besitz eines ersten Schlüssels (PMIP-key) für eine Sicherung und Authentikation der Kommunikation für die Netzanmeldung der mobilen Endgeräte (ME) zwischen der mobilen Station (MS-GW) und dem Heimagenten (HA) im Zwischen- oder
Heimnetz (V-CSN, HNl) im Rahmen des netzbasierten Mobilitätsmanagements (PMIP) ist, und/oder im Besitz eines weiteren ersten Schlüssels (GW-AAA-key) für eine Sicherung und Authentikation der Kommunikation für die Netzanmeldung der mobilen Endgeräte (ME) zwischen der mobilen Station (MS-GW) und dem Proxy-Authentikationsserver (AAA-P) im Zugangsnetz (ASN) ist.
9. Mobile Station (MS-GW) nach einem der Ansprüche 1 - 8, die neben der Eigenschaft, als Client einer Mobile-IP-Verbindung für mobile Endgeräte (ME) netzbasiertes Mobilitätsmanagement (PMIP) zu ermöglichen, ferner dazu eingerichtet ist, als Client einer Mobile-IP-Verbindung zum Zweck der eigenen Mobilität ein endgerätebasiertes Mobilitätsmanagement (CMIP) zu ermöglichen.
10. Mobile Station (MS-GW) nach Anspruch 9, soweit rückbezo¬ gen auf Anspruch 8, bei der wenigstens einer der ersten Schlüssel (PMIP-key, GW-AAA-key) der mobilen Station (MS-GW) aus einem zweiten Schlüssel (CMIP-key) abgeleitet ist, wel¬ cher der Sicherung der Kommunikation zwischen der mobilen Station (MS-GW) und dem Heimagenten (HA) im Zwischen- oder Heimnetz (V-CSN, HNl) sowie einem Fremdagenten (FA) im Zugangsnetz (ASN) im Rahmen des endgerätebasierten Mobilitäts- management (CMIP) dient.
11. Mobile Station (MS-GW) nach Anspruch 8, bei der der zweite (CMIP-key) und / oder wenigstens einer der ersten Schlüs¬ sel (PMIP-key, GW-AAA-key) in der mobilen Station (MS-GW) vorkonfiguriert sind.
12. Mobile Station (MS-GW) nach Anspruch 8, bei der der erste Schlüssel (PMIP-key) für das netzbasierte Mobilitätsmanage- ment (PMIP) aus einer bei einer Authentikation der mobilen Station (MS-GW) gegenüber einem ersten Authentikationsserver (AAA-MS) von diesem zugewiesenen Schlüsselinformation (MSK) abgeleitet ist, wobei sich der erste Authentikationsserver (AAA-MS) in einem ersten Heimnetz (HNl) der mobilen Station (MS-GW) befindet.
13. Mobile Station (MS-GW) nach einem der vorhergehenden Ansprüche, bei der für alle mit ihr verbundenen mobilen Endge- rate (ME) derselbe erste Schlüssel (PMIP-key, GW-AAA-key) bei der Kommunikation mit dem Heimagenten (HA) beziehungsweise dem Proxy-Authentikationsserver (AAA-P) verwendet wird.
14. Netz (EN) aus drahtlos oder drahtgebunden kommunizieren- den mobilen Endgeräten (ME) und einer mobilen Station (MS-GW) nach einem der vorhergehenden Ansprüche, bei dem die mobile Station (MS-GW) als Gateway für die mobilen Endgeräte (ME) eingerichtet ist.
15. Netz (EN) nach Anspruch 14, bei dem die mobilen Endgeräte (ME) jeweils eine Subskription mit Heimnetzen (HN2) besitzen, wobei wenigstens einer der Heimnetze (HN2) ein anderes ist als dasjenige Heimatnetz (HNl) der mobilen Station (MS-GW) .
16. System von Netzen, umfassend:
- das Netz (EN) nach einem der Ansprüche 14 oder 15,
- ein Zugangsnetz (ASN) , das mittels einer Basisstation (BS) drahtlos mit der als Gateway verwendeten mobilen Station (MS- GW) kommuniziert und einen Fremdagenten (FA) , einen Authenti- kationsclient (AAA-CLIENT-MS) und einen Proxy- Authentikationsserver (AAA-P) aufweist,
- ein mit dem Zugangsnetz verbundenes erstes Heimnetz (HNl), das einen Authentikationsserver (AAA-MS) für die mobile Station (MS-GW) aufweist; - einen Heimagenten (HA), der in dem ersten Heimnetz (HNl) oder in einem die Verbindung zwischen Heimnetz (HNl) und Zugangsnetz (ASN) herstellenden Zwischennetz (V-CSN) angelegt ist; - wenigstens ein zweites Heimnetz (HN2), das einen Authenti- kationsserver (AAA-ME) für das wenigstens eine mobile Endge¬ rät (ME) aufweist und mit dem Heimnagenten (HA) im Heim- oder Zwischennetz (HNl, V-CSN) .
17. System von Netzen nach Anspruch 16, bei dem das Zugangsnetz (ASN) ein WiMAX-Netz ist.
18. Verfahren zur sicheren Netzanmeldung einer als Gateway eingesetzten mobilen Station (MS-GW) und wenigstens eines mit der mobilen Station (MS-GW) drahtlos oder drahtgebunden kommunizierenden mobilen Endgerätes (ME), umfassend:
Authentifizieren der mobilen Station (MS-GW) gegenüber einem ersten Authentikationsserver (AAA-MS) eines ersten Heimnetzes (HNl) der mobilen Station (MS-GW) mit Hilfe eines Authentikations-Clients (AAA-CLIENT-MS) als Authentikator in einem Zugangsnetz (ASN) ; nachfolgend Authentifizieren des wenigstens einen mobi¬ len Endgerätes (ME) gegenüber einem zweiten Authentikations- Server (AAA-ME) in einem zweiten Heimnetz (HN2) des mobilen Endgerätes (ME) mit Hilfe der angemeldeten mobilen Station (MS-GW) als Authentikator und eines Proxy- Authentikationsservers (AAA-P) in dem Zugangsnetz (ASN) .
19. Verfahren nach Anspruch 18, bei dem das erste Heimnetz (HNl) und das zweite Heimnetz (HN2) verschieden sind.
20. Verfahren nach Anspruch 18 oder 19, bei dem sich die mobile Station (MS-GW) gegenüber dem ersten Authentikationsserver (AAA-MS) anhand eines EAP-Protokolls gemäß Standard IEEE 802.16 authentifiziert.
21. Verfahren nach einem der Ansprüche 18 - 20, bei dem wäh- rend der Authentifizierung gemeinsame Schlüsselinformationen zwischen der mobilen Station (MS-GW) und dem ersten Authentikationsserver (AAA-MS) ausgehandelt werden und bei dem aus den Schlüsselinformationen erste Schlüssel (PMIP-key) in der mobilen Station (MS-GW) und im ersten Authentikationsserver (AAA-MS) abgeleitet werden.
22. Verfahren nach einem der Ansprüche 18 - 21, bei dem wäh- rend der Authentifizierung gemeinsame Schlüsselinformationen zwischen der mobilen Station (MS-GW) und dem ersten Authentikationsserver (AAA-MS) ausgehandelt werden und bei dem aus den Schlüsselinformationen erste Schlüssel (GW-AAA-key) in der mobilen Station (MS-GW) und im Proxy-Authentikations- Server (AAA-P) des Zugangsnetzes (ASN) abgeleitet werden.
23. Verfahren nach einem der Ansprüche 18 - 20, bei dem we¬ nigstens ein erster Schlüssel (PMIP-key, GW-AAA-key) in der mobilen Station (MS-GW) und
(a) im ersten Authentikationsserver (AAA-MS) oder in einem Heimagenten (HA) ; beziehungsweise
(b) im Proxy-Authentikationsserver (AAA-P) des Zugangsnetzes (ASN) oder einem Fremdagenten (FA) ; zur Sicherung der Signalisierung (RADIUS) im Rahmen der Netzanmeldung eines oder mehrerer mobiler Endgeräte vorkonfiguriert ist .
24. Verfahren nach einem der Ansprüche 18 - 20, bei dem die mobile Station (MS-GW) wenigstens einen ersten Schlüssel (PMIP-key, GW-AAA-key) aus einem zweiten Schlüssel (CMIP-key) ableitet, den sie als Client einer Mobile-IP-Verbindung für die eigene Kommunikation als Endgerät im Rahmen eines endge- rätebasiertes Mobilitätsmanagements (CMIP) verwendet.
EP06819918A 2005-12-16 2006-12-06 Mobile station als gateway für mobile endgeräte zu einem zugangsnetz sowie verfahren zur netzanmeldung der mobilen station und der mobilen endgeräte Withdrawn EP1961168A1 (de)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102005060349 2005-12-16
DE102006015033.3A DE102006015033B4 (de) 2005-12-16 2006-03-31 Mobile Station als Gateway für mobile Endgeräte zu einem Zugangsnetz sowie Verfahren zur Netzanmeldung der mobilen Station und der mobilen Endgeräte
PCT/EP2006/069389 WO2007068640A1 (de) 2005-12-16 2006-12-06 Mobile station als gateway für mobile endgeräte zu einem zugangsnetz sowie verfahren zur netzanmeldung der mobilen station und der mobilen endgeräte

Publications (1)

Publication Number Publication Date
EP1961168A1 true EP1961168A1 (de) 2008-08-27

Family

ID=37808037

Family Applications (1)

Application Number Title Priority Date Filing Date
EP06819918A Withdrawn EP1961168A1 (de) 2005-12-16 2006-12-06 Mobile station als gateway für mobile endgeräte zu einem zugangsnetz sowie verfahren zur netzanmeldung der mobilen station und der mobilen endgeräte

Country Status (5)

Country Link
US (1) US8036191B2 (de)
EP (1) EP1961168A1 (de)
CN (1) CN101375563B (de)
DE (1) DE102006015033B4 (de)
WO (1) WO2007068640A1 (de)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8316434B2 (en) 2005-02-23 2012-11-20 At&T Intellectual Property I, L.P. Centralized access control system and methods for distributed broadband access points
US7631347B2 (en) * 2005-04-04 2009-12-08 Cisco Technology, Inc. System and method for multi-session establishment involving disjoint authentication and authorization servers
CN101123498B (zh) * 2006-08-08 2011-12-28 华为技术有限公司 一种实现接入认证的方法、设备及系统
JP4727537B2 (ja) * 2006-09-11 2011-07-20 富士通株式会社 リレーエージェント装置及び代行アドレス貸与装置
US20080139205A1 (en) * 2006-12-08 2008-06-12 Motorola, Inc. Method and apparatus for supporting handover in a communication network
JP4869057B2 (ja) * 2006-12-27 2012-02-01 富士通株式会社 ネットワーク接続復旧方法及びａａａサーバ及び無線アクセス網ゲートウェイ装置
US20080279151A1 (en) * 2007-05-09 2008-11-13 Nokia Siemens Networks Gmbh & Co. Kg Method and device for processing data and communication system comprising such device
CN101355474B (zh) * 2007-07-25 2010-09-08 华为技术有限公司 请求、分配连接点地址的方法及设备
KR100897175B1 (ko) * 2007-07-26 2009-05-14 한국전자통신연구원 Ｉｐ 기반 센서 네트워크 시스템에서 센서 노드의 이동성을지원하기 위한 장치 및 방법
EP2040432A1 (de) * 2007-09-18 2009-03-25 Nokia Siemens Networks Oy Örtlicher Durchbruch bei WiMAX-Roaming
CN101400160B (zh) * 2007-09-29 2013-04-10 北京三星通信技术研究有限公司 Hnb建立连接的方法
WO2009066438A1 (ja) * 2007-11-20 2009-05-28 Panasonic Corporation アドレス割り当て方法、アドレス割り当てシステム、モバイルノード及び代理ノード
FI20080032A0 (fi) 2008-01-16 2008-01-16 Joikusoft Oy Ltd Älypuhelin WLAN-tukiasemana
US7899039B2 (en) * 2008-02-15 2011-03-01 Cisco Technology, Inc. System and method for providing location and access network information support in a network environment
FI20080345A0 (fi) 2008-05-09 2008-05-09 Joikusoft Oy Ltd Symbian S60 puhelin 3G kaistanyhdistäjänä
US8695082B2 (en) * 2008-10-27 2014-04-08 Nokia Siemens Networks Oy Method and communication system for accessing a wireless communication network
US20100106971A1 (en) * 2008-10-27 2010-04-29 Domagoj Premec Method and communication system for protecting an authentication connection
JP5481979B2 (ja) * 2009-07-15 2014-04-23 Ｊｓｒ株式会社 感放射線性樹脂組成物及びそれに用いられる重合体
EP2332290B1 (de) * 2009-09-28 2014-12-10 Huawei Technologies Co., Ltd. Skalierbares wlan-gateway
WO2011113873A1 (en) * 2010-03-17 2011-09-22 Telefonaktiebolaget L M Ericsson (Publ) Enhanced key management for srns relocation
US9215588B2 (en) 2010-04-30 2015-12-15 Cisco Technology, Inc. System and method for providing selective bearer security in a network environment
JP5660201B2 (ja) * 2011-04-06 2015-01-28 日本電気株式会社 アドホックネットワーク、ユーザノード、管理サーバ、通信方法およびプログラム
CN102917355A (zh) * 2011-08-03 2013-02-06 中兴通讯股份有限公司 一种接入方法、系统及移动智能接入点
CN102547707A (zh) * 2012-02-15 2012-07-04 张群 一种移动通信终端接入网络的方法
CN102685748B (zh) * 2012-05-07 2014-11-05 张群 一种移动通信终端在网络中移动的方法
US9161376B2 (en) * 2013-08-20 2015-10-13 Cisco Technology, Inc. System and method for managing access point communication channel utilization
TWI580224B (zh) * 2015-06-24 2017-04-21 財團法人工業技術研究院 延後認證用戶設備的方法、控制器及網路系統

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6760444B1 (en) * 1999-01-08 2004-07-06 Cisco Technology, Inc. Mobile IP authentication
JP3636356B2 (ja) * 2000-03-31 2005-04-06 日本電気株式会社 移動通信システム及びその制御方法
US6910074B1 (en) * 2000-07-24 2005-06-21 Nortel Networks Limited System and method for service session management in an IP centric distributed network
US7231521B2 (en) * 2001-07-05 2007-06-12 Lucent Technologies Inc. Scheme for authentication and dynamic key exchange
US6999731B2 (en) * 2001-11-27 2006-02-14 Intel Corporation Control of an alert mechanism by communication of an event-associated command
AU2003217301A1 (en) * 2002-02-04 2003-09-02 Flarion Technologies, Inc. A method for extending mobile ip and aaa to enable integrated support for local access and roaming access connectivity
US7269173B2 (en) * 2002-06-26 2007-09-11 Intel Corporation Roaming in a communications network
US7457289B2 (en) * 2002-12-16 2008-11-25 Cisco Technology, Inc. Inter-proxy communication protocol for mobile IP
US7567503B2 (en) * 2002-12-26 2009-07-28 Panasonic Corporation Mobile network control device and mobile network control method
US20040142657A1 (en) * 2003-01-21 2004-07-22 Masahiro Maeda Location registration using multiple care of addresses
US8341700B2 (en) * 2003-10-13 2012-12-25 Nokia Corporation Authentication in heterogeneous IP networks
CN100344199C (zh) * 2003-11-19 2007-10-17 华为技术有限公司 无线局域网网络移动性管理的系统及其方法
US7873036B2 (en) * 2004-02-03 2011-01-18 Nokia Siemens Networks Oy Method and apparatus to provide group management of multiple link identifiers for collective mobility
DE102004008760B4 (de) 2004-02-23 2010-07-29 O2 (Germany) Gmbh & Co. Ohg Vorrichtung zum Umwandeln von UMTS-Signalen
US7313394B2 (en) * 2005-07-15 2007-12-25 Intel Corporation Secure proxy mobile apparatus, systems, and methods
US8730796B2 (en) * 2005-09-30 2014-05-20 Alcatel Lucent Providing radio access between cellular and internet protocol-based wireless communication networks
US20070189219A1 (en) * 2005-11-21 2007-08-16 Mruthyunjaya Navali Internet protocol tunneling on a mobile network

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2007068640A1 *

Also Published As

Publication number Publication date
CN101375563A (zh) 2009-02-25
CN101375563B (zh) 2012-11-14
DE102006015033B4 (de) 2016-07-07
WO2007068640A1 (de) 2007-06-21
US20090207819A1 (en) 2009-08-20
US8036191B2 (en) 2011-10-11
DE102006015033A1 (de) 2007-06-21

Similar Documents

Publication Publication Date Title
DE102006015033B4 (de) Mobile Station als Gateway für mobile Endgeräte zu einem Zugangsnetz sowie Verfahren zur Netzanmeldung der mobilen Station und der mobilen Endgeräte
EP1943808B1 (de) Verfahren und server zum bereitstellen eines mobilitätsschlüssels
EP1943806B1 (de) Teilnehmerspezifisches erzwingen von proxy-mobile-ip (pmip) anstelle von client-mobile-ip (cmip)
DE102006004868B4 (de) Verfahren und Server zum Bereitstellen eines Mobilitätsschlüssels
DE602005001542T2 (de) Verfahren und Vorrichtung zur Verwendung eines VPN-Gateways, das als Mobile IP Foreign Agent für mobile Knoten fungiert
DE602004007708T2 (de) Verfahren zur gemeinsamen Authentifizierung und Berechtigung über unterschiedliche Netzwerke
EP1391081B1 (de) Heterogenes mobilfunksystem
EP2052517A1 (de) Verfahren und system zum bereitstellen eines zugangsspezifischen schlüssels
DE60209858T2 (de) Verfahren und Einrichtung zur Zugriffskontrolle eines mobilen Endgerätes in einem Kommunikationsnetzwerk
EP1529374B2 (de) Verfahren und system für gsm-authentifizierung bei wlan-roaming
EP1925175B1 (de) Telekommunikationssystem und verfahren zum steuern eines wechsels eines teilnehmerendgerätes zwischen zwei netzwerken
EP2025120B1 (de) Verfahren und system zum bereitstellen eines mobile ip schlüssels
EP1943856B1 (de) Verfahren und server zum bereitstellen eines mobilitätsschlüssels
DE102006038591A1 (de) Verfahren und Anordnung zum Bereitstellen eines drahtlosen Mesh-Netzwerks
DE60038678T2 (de) Mobiler internetzugriff
CH694678A5 (de) Verfahren und System für GSM-Authentifizierung bei WLAN Roaming.
WO2003079706A1 (de) Verfahren und kommunikationssystem zum anbinden alternativer zugriffsnetze an ein kommunikationssystem, insbesondere gprs/umts
DE602004000762T2 (de) Verfahren und System zur Steuerung des Weiterreichens eines Endgeräts
DE60209322T2 (de) Anschluss von Benutzergeräten Selektivezugangschnittstelle von einem ISP-router
DE60215978T2 (de) Verfahren und Einrichtung zur Zugriffskontrolle eines mobilen Endgerätes in einem Kommunikationsnetzwerk
DE102006043340A1 (de) Verfahren und Vorrichtung zum Zuweisen eines Parameters in einer GBA-Bootstrapping-Prozedur

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20080421

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LI LT LU LV MC NL PL PT RO SE SI SK TR

17Q First examination report despatched

Effective date: 20090421

APBK Appeal reference recorded

Free format text: ORIGINAL CODE: EPIDOSNREFNE

APBN Date of receipt of notice of appeal recorded

Free format text: ORIGINAL CODE: EPIDOSNNOA2E

APBR Date of receipt of statement of grounds of appeal recorded

Free format text: ORIGINAL CODE: EPIDOSNNOA3E

APAF Appeal reference modified

Free format text: ORIGINAL CODE: EPIDOSCREFNE

DAX Request for extension of the european patent (deleted)
RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: SIEMENS AKTIENGESELLSCHAFT

APBT Appeal procedure closed

Free format text: ORIGINAL CODE: EPIDOSNNOA9E

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN WITHDRAWN

18W Application withdrawn

Effective date: 20130819