[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

KR20080108130A - 다중 인증을 바인딩하는 방법 및 장치 - Google Patents

다중 인증을 바인딩하는 방법 및 장치 Download PDF

Info

Publication number
KR20080108130A
KR20080108130A KR1020087025336A KR20087025336A KR20080108130A KR 20080108130 A KR20080108130 A KR 20080108130A KR 1020087025336 A KR1020087025336 A KR 1020087025336A KR 20087025336 A KR20087025336 A KR 20087025336A KR 20080108130 A KR20080108130 A KR 20080108130A
Authority
KR
South Korea
Prior art keywords
authentication
peer
unique identifier
processor
authentication server
Prior art date
Application number
KR1020087025336A
Other languages
English (en)
Other versions
KR100988179B1 (ko
Inventor
라크시미나트 레디 돈데티
비드야 나라야난
Original Assignee
퀄컴 인코포레이티드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 퀄컴 인코포레이티드 filed Critical 퀄컴 인코포레이티드
Publication of KR20080108130A publication Critical patent/KR20080108130A/ko
Application granted granted Critical
Publication of KR100988179B1 publication Critical patent/KR100988179B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

피어에 대한 다중 인증을 바인딩하는 기술을 설명한다. 일 설계에서, 피어에 대한 고유 식별자에 기초하여 피어에 대한 다중 인증이 바인딩될 수도 있다. 고유 식별자는 중재자 공격을 방지하기 위해 의사-랜덤수일 수도 있고 피어와 인증 서버, 그리고 인증기 사이에서 보안 교환될 수도 있다. 고유 식별자에 의해 바인딩된 모든 인증의 데이터는 이들 인증의 전부 또는 이의 서브세트에 의해 발생된 하나 이상의 암호 키에 기초하여 보안 교환될 수도 있다. 다른 설계에서, 다중 레벨의 보안은 피어에 대한 다중 인증에 이용될 수도 있다. 피어는 제 1 인증 서버와의 제 1 인증을 수행하고 제 1 암호 키를 획득할 수도 있고, 또한 제 1 인증 서버 또는 제 2 인증 서버와의 제 2 인증을 수행하고 제 2 암호 키를 획득할 수도 있다. 피어는 이후 네스트된 보안을 이용하여 2 개 키를 이용하여 데이터를 보안 교환할 수도 있다.
고유 식별, 인증, 바인딩, 피어, 보안 정보, 암호 키, 의사-랜덤수

Description

다중 인증을 바인딩하는 방법 및 장치{METHOD AND APPARATUS FOR BINDING MULTIPLE AUTHENTICATIONS}
35 U.S.C.§119 하의 우선권 주장
본 특허출원은 2006년 4월 11일에 출원되고 발명의 명칭이 "METHOD AND APPARATUS FOR BINDING MULTIPLE AUTHENTICATIONS"인 미국 가출원 번호 제 60/791,321호에 대해 우선권 주장하며, 이는 양수인에게 양도되고, 여기에 참조로서 명백히 포함된다.
배경기술
기술분야
본 명세서는 일반적으로 통신에 관한 것으로, 더 상세하게는 인증들을 바인딩하는 기술에 관한 것이다.
배경기술
인증은 소정의 엔티티의 실제 (true) 아이덴티티를 결정하고, 특정 서비스를 수신하게 엔티티에 자격이 주어지는지 여부를 결정하고/결정하거나, 다른 목적을 위해 널리 이용된다. 예를 들어, 단말기는 데이터 서비스, 예를 들어, VoIP (Voice-over-Internet Protocol) 를 획득하기 위해 무선 통신 네트워크와의 통신을 확립하려고 시도할 수도 있다. 단말기의 아이덴티티는 무선 네트워크에 대한 인증 서버에 의해 인증되어 단말기가 네트워크와 확실히 통신할 수 있게 할 수도 있다. 단말기는 또한 동일하거나 상이한 인증 서버에 의해 인증되어, 확실히 단말기가 적당한 서브스크립션을 가지고 요구된 데이터 서비스를 수신할 수 있게 할 수도 있다.
하나의 엔티티로부터 보안 정보를 전송하거나 이 정보를 다른 엔티티에 의해 검증함으로써 인증이 수행될 수도 있다. 부정 (fraudulent) 공격을 방지하기 위해, 이들 2 개의 엔티티에만 알려진 보안 정보 (예를 들어, 암호 키) 에 기초하여 보안 정보가 발생될 수도 있다. 보안 정보는 암호화된 데이터, 메시지 인증 코드, 또는 비밀 정보를 이용한 암호 기술에 기초하여 발생한 임의의 다른 정보일 수도 있다.
단말기는 순차 또는 병렬 중 하나로 다중 인증을 수행할 수도 있다. 단말기는 시스템 액세스에 대한 하나의 인증 그리고 서비스 요구에 대한 다른 하나의 인증을 수행할 수도 있다. 단말기는 또한 디바이스 인증을 수행하여 단말기를 검증할 수도 있고, 사용자 인증을 수행하여 단말기의 사용자를 검증할 수도 있다. 적절하면, 이들 인증이 함께 바인딩될 수도 있는 방식으로 다중 인증을 수행하는 것이 바람직하다.
개요
피어에 대한 다중 인증을 바인딩하는 기술을 여기서 설명한다. 피어는 인증 결과를 하나 이상의 인증기로 포워딩할 수도 있는 하나 이상의 인증 서버와의 다중 인증을 수행할 수도 있다. 인증기는 인증을 개시 및/또는 용이하게 하는 엔티티이고 통상적으로 통신 네트워크의 에지에 위치한다. 피어는 인증기에 응 답하는 엔티티이다. 인증 서버는 인증 서비스를 인증기에 제공하는 엔티티이다.
일 설계에서, 피어에 대한 다중 인증은 피어에 대한 고유 식별자 (UID) 에 기초하여 바인딩될 수도 있다. 고유 식별자는 중재자 (MiTM) 공격을 방지하기 위해 의사-랜덤수일 수도 있고 피어와 인증 서버, 그리고 인증기 사이에서 보안 교환될 수도 있다. 고유 식별자에 의해 바인딩된 모든 인증의 데이터는 이들 인증의 전부 또는 이의 서브세트에 의해 발생된 하나 이상의 암호 키에 기초하여 보안 교환될 수도 있다.
일 양태에 따르면, 피어용 장치는 피어에 대한 고유 식별자를 획득하고 적어도 하나의 인증 서버와의 다중 인증을 수행한다. 고유 식별자는 다중 인증을 피어에 바인딩하는데 이용된다.
다른 양태에 따르면, 인증 서버용 장치는 피어에 대한 고유 식별자를 획득하고, 피어와의 인증을 수행하며, 피어와 고유 식별자를 연관시킨다.
또 다른 양태에 따르면, 인증기용 장치는 적어도 하나의 인증 서버와 피어 중에서 적어도 하나의 인증의 결과를 수신한다. 장치는 고유 식별자에 기초하여 적어도 하나의 인증을 피어에 바인딩한다.
다른 설계에서, 다중 레벨의 보안 (또는 네스트 (nest) 된 보안) 은 피어에 대한 다중 인증에 이용될 수도 있다. 피어는 제 1 인증 서버와의 제 1 인증을 수행하고 제 1 암호 키를 획득할 수도 있다. 피어는 또한 제 2 인증 서버와의 제 2 인증을 수행하고 제 2 암호 키를 획득할 수도 있다. 이후 피어는 2 개의 키를 이용하여 데이터를 보안 교환할 수도 있다.
또 다른 양태에 따르면, 제 1 인증으로부터 획득된 제 1 보안 정보에 따라 데이터에 대한 제 1 패킷을 발생시키고, 제 2 인증으로부터 획득된 제 2 보안 정보에 따라 제 1 패킷을 운반하는 제 2 패킷을 발생시키며, 제 2 패킷을 전송하는 장치를 설명한다.
이하, 명세서의 다양한 설계, 양태 및 특징을 더 상술한다.
도면의 간단한 설명
도 1 은 다중 인증의 아키텍처를 도시한다.
도 2 는 인증을 수행하는 프로세스를 도시한다.
도 3 은 MiTM 공격이 있는 피어에 대한 2 개의 인증을 도시한다.
도 4 는 고유 식별자를 이용한 다중 인증의 프로세스를 도시한다.
도 5, 도 6 및 도 7 은 고유 식별자를 이용한 다중 인증을 위해, 각각 피어, 인증 서버, 및 인증기에 의해 수행된 프로세스를 도시한다.
도 8 은 2 개의 인증을 위한 네스트된 보안을 도시한다.
도 9 는 네스트된 보안을 갖는 다중 인증의 프로세스를 도시한다.
도 10 은 도 1 의 다양한 엔티티의 블록도를 도시한다.
상세한 설명
여기서 설명한 기술은 WAN (wide area network), LAN (local area network), WWAN (wireless WAN), WLAN (wireless LAN) 등과 같은 다양한 통신 네트워크에 이용될 수도 있다. 용어 "네트워크" 및 "시스템"은 종종 호환성 있게 사용된다. WWAN 은 CDMA (Code Division Multiple Access) 네트워크, TDMA (Time Division Multiple Access) 네트워크, FDMA (Frequency Division Multiple Access) 네트워크, OFDMA (Orthogonal FDMA) 네트워크, SC-FDMA (Single-Carrier FDMA) 네트워크 등일 수도 있다. CDMA 네트워크는 W-CDMA (Wideband-CDMA), cdma2000 등과 같은 무선 기술을 구현할 수도 있다. cdma2000 은 IS-2000, IS-95 및 IS-856 표준을 커버한다. TDMA 네트워크는 GSM (Global System for Mobile Communications) 과 같은 무선 기술을 구현할 수도 있다. WLAN 은 IEEE 802.11, 하이퍼랜 등을 구현할 수도 있다. 이들 다양한 무선 기술 및 표준은 당업계에 알려져 있다. 명확하게, 공개적으로 이용가능한 "Extensible Authentication Protocol (EAP)"(2004년 6월) 명칭의 RFC 3748 에 정의된 용어를 이용하여 기술의 일정 양태가 설명된다.
도 1 은 피어 (peer; 110) 가 다중 인증을 수행할 수도 있는 전개도 (100) 를 나타낸다. 단순화를 위해, 인증에 관한 논리 엔티티만이 도 1 에 도시된다. 전개도는 도 1 에 도시되지 않은 다른 네트워크 엔티티를 포함할 수도 있다.
피어 (peer; 110) 는 핸드폰, PDA (personal digital assistant), 무선 통신 디바이스, 휴대용 디바이스, 무선 모뎀, 랩탑 컴퓨터, 코드 없는 전화 등과 같은 임의의 디바이스일 수도 있다. 피어 (110) 는 또한 이동국, 국, 사용자 장비, 단말기, 액세스 단말기, 가입자 유닛, 이동 장비 등으로 지칭될 수도 있다.
도 1 에 도시된 실시예에서, 네트워크측은 L 개의 시행 포인트 (120a 내지 120l), M 개의 인증기 (130a 내지 130m), 및 N 개의 제공자 (150a 내지 150n) 에 대한 N 개의 인증 서버 (140a 내지 140n) 를 포함하며, 여기서 일반적으로 L≥1, M≥1, 및 N≥1 이다. 피어 (110) 는 시행 포인트 (122a) 와 통신할 수도 있다. 각 시행 포인트 (120) 는 하나 이상의 다른 시행 포인트 (120) 와 및/또는 하나 이상의 인증기 (130) 와 통신할 수도 있다. 각 인증기 (130) 는 하나 이상의 시행 포인트 (120), 하나 이상의 다른 인증기 (130), 및/또는 하나 이상의 인증 서버 (140) 와 통신할 수도 있다. 도 1 은 전개도 (100) 에서 엔티티들 사이의 예시적인 접속을 도시한다. 이들 엔티티는 또한 다른 방식으로 접속될 수도 있으며, 예를 들어, 점선 접속이 생략될 수도 있다. 시행 포인트는 피어에 대한 인바인딩 및 아웃바인딩된 데이터에 대해 피어가 완료한 임의의 인증을 시행 또는 적용하는 엔티티이다. 시행 포인트, 인증기, 및 인증 서버는 논리 엔티티이고, 이들 엔티티 중 하나 이상은 물리 네트워크 엔티티 내에 함께 위치할 수도 있다. 시행 포인트 및 인증기는 도 1 에 도시된 바와 같이 개별 네트워크 엔티티일 수도 있다. 단일 네트워크 엔티티는 또한 시행 포인트 및 인증기와 같은 상이한 논리 엔티티의 기능을 수행할 수도 있다. 도 1 의 다양한 논리 엔티티는 RFC 3748 에 설명된다.
시행 포인트 (120) 및 인증기 (130) 는 상이한 통신 네트워크에서 상이한 네트워크 엔티티에 의해 구현될 수도 있다. WLAN 에서, 시행 포인트는 액세스 포인트에 의해 구현될 수도 있고, 인증기는 WLAN 스위치에 의해 구현될 수도 있다. 셀룰러 네트워크에서, 시행 포인트는 기지국에 의해 구현될 수도 있고, 인증기는 RNA (Radio Network Controller) 에 의해 구현될 수도 있다. 인증 서버는 WLAN 및 셀룰러 네트워크 모두에서 AAA (Authentication, Authorization and Accounting) 서버에 의해 구현될 수도 있다.
도 2 는 인증 프로세스 (200) 에 대한 메시지 흐름을 도시한다. 피어 (110) 는 초기에 시행 포인트 (120a) 로 액세스 요구를 전송할 수도 있으며, 시행 포인트 (120a) 는 그 요구를 인증기 (130a) 로 포워딩할 수도 있다 (단계 210). 인증 프로세스의 경우, 시행 포인트 (120a) 는 피어 (110) 와 인증기 (130a) 사이에서 메시지를 간단히 포워딩 할 수도 있으며, 명확화를 위해 도 2 에 도시하지 않았다. 피어 (110) 는 피어 (110) 에 할당된 하위 계층 식별자 LIDpeer 를 이용하여 인증기 (130a) 에 액세스 요구뿐만 아니라 다른 메시지를 전송할 수도 있다. 하위 계층 식별자는 피어와 인증기/시행 포인트 사이에서 이용된 MAC (Medium Access Control) 어드레스 또는 임의의 다른 하위 계층 식별자일 수도 있다. 인증기 (130a) 는 액세스 요구를 수신하고, 피어 (110) 에 대해 레코드가 없다고 결정하며, 피어 (110) 에 인증 요구를 전송할 수도 있다 (단계 212).
피어 (110) 는 피어 (110) 의 인증에 이용될 인증 서버의 어드레스 또는 아이덴티티, 피어 (110) 에 할당된 네트워크 액세스 식별자 NAIpeer 등을 포함할 수도 있는 인증 응답을 전송함으로써 인증 요구에 응답할 수도 있다 (단계 216). 이 실시예에서, 인증 서버 (140a) 는 피어 (110) 에 의해 선택되고, 인증 응답은 인증 서버 (140a)(서버 a) 의 어드레스를 포함할 수도 있다. NAIpeer 는 피어 (110) 와 인증 서버 (140a) 사이에 이용된 임의의 식별자일 수도 있고 인증기 (130a) 에 의해 알려질 필요가 없을 수도 있다. 피어 (110) 는 따라서 익명 인증 응답을 전송하고 NAIpeer 를 생략할 수도 있다. 인증기 (130a) 는 피어 (110) 로부터 인증 응답을 수신하고, 인증 응답에 의해 식별된 인증 서버 (140a) 에 피어 인증 요구를 전송할 수도 있다 (단계 218). 인증 서버 (140a) 는 이후 피어 (110) 의 인증을 위해 또는 상호 인증을 위해 피어 (110) 와 메시지를 교환할 수도 있다 (단계 220). 인증 서버 (140a) 는 피어 (110) 에 대한 크리덴셜 (예를 들어, 사용자 이름 및 패스워드) 을 가질 수도 있고, 크리덴셜에 기초하여 피어 (110) 를 인증할 수도 있다. 유사하게, 피어 (110) 는 인증 서버 (140a) 에 대한 저장된 정보를 가질 수도 있고, 저장된 정보에 기초하여 서버를 인증할 수도 있다. 단계 220 에서의 인증은 당업계에 알려진 AKA (Authentication and Key Agreement), TLS (Transport Layer Security), TTLS (Tunneled TLS) 등과 같은 임의의 인증 방식에 기초하여 수행될 수도 있다.
인증이 완료된 후에, 인증 서버 (140a) 는 피어 인증된 메시지를 인증기 (130a) 에 전송할 수도 있다 (단계 222). 이 메시지는 부속 정보, 예를 들어, 피어 (110) 와의 통신에 이용하기 위한 암호 키 (KEY1), KEY1 에 대한 키 ID (Key1 ID) 등을 포함할 수도 있다. 암호 키는 또한 간단히 키로 지칭될 수도 있다. 인증기 (130a) 는 시행 포인트 (120a)(도 2 에 도시되지 않음) 에 부속 정보를 포워딩할 수도 있다. 시행 포인트 (120a) 는 시행 포인트 (120a) 와 피어 (110) 사이에 교환된 데이터의 암호화 및/또는 무결성 보호를 위해 KEY1 또는 KEY1 으로부터 발생한 유도 키를 이용할 수도 있다. 암호화는 오리지널 데이터가 인식불가능하고 암호화 데이터가 암호 유형에 따라 동일한 키 또는 상보성 키로 복구될 수 있도록 키로 데이터를 랜덤화하는 프로세스를 지칭한다. 무결성 보호는 키로 데이터용 메시지 인증 코드를 발생시키고 이 코드를 데이터와 함께 전송하는 프로세스를 지칭한다. 코드를 발생시키기 위해 수신 엔티티가 정확한 키를 사용하였고 데이터가 변경되지 않았다는 것을 검증하기 위해 메시지 인증 코드는 수신자 엔티티에 의해 이용될 수도 있다. 인증에 의해 전송되도록 허용된 데이터인 인증의 데이터는 인증에 의해 발생한 키를 이용하여 보안 교환될 수도 있다.
도 2 는 인증기 (130a) 가 인증을 개시하는 예시적인 메시지 흐름을 나타낸다. 피어 (110) 는 또한 인증을 개시할 수도 있다. 이러한 경우에, 인증 요구/응답 메시지는 방향이 거꾸로 될 수도 있다. 일반적으로, 더 적은 수의 추가적이고/추가적이거나 상이한 단계가 인증을 위한 메시지 흐름에 이용될 수도 있다. 메시지 흐름의 각 단계는 상이한 엔티티들 사이에서 교환되는 다중 메시지 또는 하나의 엔티티에 의해 전송된 하나 이상의 메시지를 나타낼 수도 있다.
도 2 는 피어 (110) 와 인증 서버 (140a) 사이의 하나의 인증을 나타낸다. 피어 (110) 는, 예를 들어, 액세스 및 서비스 인증, 디바이스 및 사용자 인증, NAP (network access provider) 및 ISP (Internet service provider) 인증 등을 위한 하나 이상의 인증 서버와의 다중 인증을 수행할 수도 있다. 다중 인증은 (ⅰ) 다음 인증이 시작하기 전에 하나의 인증이 완료되도록 순차적으로, (ⅱ) 소정의 순간에 둘 이상의 인증이 진행중이도록 병렬로, 또는 (ⅲ) 둘의 조합으로 수행 될 수도 있다. 다중 인증은 동일 또는 상이한 인증기를 통할 수도 있다. 예를 들어, 상이한 인증기는 (ⅰ) 몇몇 아키텍처에서 상이한 유형의 인증, (ⅱ) 액세스 및 서비스 제공자가 상이한 경우의 액세스 및 서비스 인증 등에 이용될 수도 있다. 다중 인증은 또한 동일 또는 상이한 인증 서버를 이용할 수도 있다. 다중 인증은 특히 상이한 인증 서버가 상이한 이유로 피어 (110) 를 인증할 필요가 있는 경우, 예를 들어, 액세스 및 서비스 제공자가 상이한 경우에 적용가능할 수도 있다.
일반적으로, 인증은 결과적으로 키가 발생하여 인증기로 통과하게 할 수도 있거나 그렇지 않을 수도 있다. 다중 인증이 수행되는 경우, 각 인증은 상이한 키를 발생시킬 수도 있고, 인증의 서브세트가 키를 발생시킬 수도 있거나, 또는 어떤 인증도 키를 발생시키지 않을 수도 있다. 적어도 하나의 인증이 키를 발생시키지 않는 경우, 중재자 (MiTM; man-in-the-middle) 공격이 가능할 수도 있다.
도 3 은 중재자 (MiTM) 공격이 있는 피어 (110) 에 대한 2 개의 인증을 나타낸다. 예를 들어, 도 2 에 대해 상기에서 설명한 바와 같이, 피어 (110) 는 피어 (110) 의 LIDpeer 및 NAIpeer 를 이용하여 인증기 (130a) 를 통해 인증 서버 (140a) 와의 제 1 인증을 수행할 수도 있다. 피어 (110) 는 피어 (110) 에 대한 서버 (140a) 에서 저장된 유효 크리덴셜에 기초하여 인증 서버 (140a) 에 의해 인증될 수도 있다.
MiTM 공격기 (112) 는 또한 MiTM 공격기 (112) 에 할당된 하위 계층 식별자 LIDMiTM 및 네트워크 액세스 식별자 NAIMiTM 을 이용하여 인증기 (130a) 를 통해 인증 서버 (140a) 와의 인증을 수행할 수도 있다. MiTM 공격기 (112) 는 MiTM 공격기 (112) 용 서버 (140a) 에서 저장된 유효 크리덴셜에 기초하여 인증 서버 (140a) 에 의해 인증될 수도 있다.
피어 (110) 는 피어 (110) 의 LIDpeer 및 NAIpeer 를 이용하여 인증기 (130a) 를 통해 인증 서버 (140a) 로 제 2 인증을 시도할 수도 있다. MiTM 공격기 (112) 는 제 2 인증을 위해 피어 (110) 로부터의 인증 응답을 가로채고, 공격기 (112) 의 LIDMiTM 으로 피어 (110) 의 LIDpeer 를 교체하며, 변조 (tamper) 된 인증 응답을 인증기 (130a) 로 포워딩할 수도 있다. 인증기 (130a) 는 MiTM 공격기 (112) 로부터의 인증 응답이 변조될 수도 있고 정상적인 방식으로 인증을 수행할 수도 있다는 것을 감지할 방법이 없을 수도 있다. MiTM 공격기 (112) 는 인증 서버 (140a) 에 의해 인증될 수도 있고 LIDMiTM 및 피어 (110) 의 NAIpeer 를 이용하여 서비스를 획득할 수도 있다. 제 2 인증과 관련된 빌링 (billing) 은 NAIpeer 가 할당된 피어 (110) 로 방향변경될 수도 있다.
도 3 에서, 피어 (110) 에 대한 제 1 인증은 키를 발생시킬 수도 있고, 이 키는 피어 (110) 로부터의 데이터를 인증하는데 이용될 수도 있다. 피어 (110) 에 대한 제 1 인증 및 제 2 인증은 순차적으로 또는 병렬로 일어날 수도 있다. 피어 (110) 에 대한 제 2 인증은 키가 발생하지 않는 것이나 키가 발생하는 것 중 하나일 수도 있지만 피어 (110) 로부터의 데이터를 인증하는데 키가 사용되지는 않는다.
일 양태에서, 피어에 대한 고유 식별자에 기초하여 피어에 대한 다중 인증이 바인딩될 수도 있다. 고유 식별자는 MiTM 공격을 방지하기 위해 피어와 인증 서버, 그리고 인증기 사이에 보안 교환될 수도 있다. 고유 식별자에 의해 바인딩된 모든 인증의 데이터는 이들 인증의 전부 또는 이의 서브세트에 의해 발생한 하나 이상의 키에 기초하여 보안 교환될 수도 있다.
도 4 는 고유 식별자로 다중 인증을 바인딩하는 프로세스 (400) 에 대한 메시지 흐름을 도시한다. 피어 (110) 는 초기에 피어 (110) 의 LIDpeer 를 이용하여 인증기 (130a) 에 액세스 요구를 전송할 수도 있다 (단계 410). 인증기 (130a) 는 피어 (110) 에 인증 요구를 전송함으로써 응답할 수도 있다 (단계 412).
제 1 인증의 경우, 후술할 바와 같이, 피어 (110) 는 스스로 고유 식별자 UIDpeer 를 유도할 수도 있다 (단계 414). 피어 (110) 는 이후 제 1 인증에 이용될 인증 서버 (140a) 의 어드레스, 피어 (110) 의 NAIpeer 및 UIDpeer 등을 포함할 수도 있는 인증 응답을 전송할 수도 있다 (단계 416). UIDpeer 는 피어 (110) 와 인증 서버 (140a) 사이에 공유된 키에 기초하여 보안 방식으로 (예를 들어, 암호화 및/또는 무결성 보호를 이용하여) 전송될 수도 있다. UIDpeer 는 예를 들어, RFC 3748 에 설명된 EAP 방법 또는 임의의 다른 보안 방법를 통해 피어 (110) 에서 인 증 서버 (140a) 로 운반될 수도 있다. 다른 정보 (예를 들어, NAIpeer) 는 UIDpeer 와 함께 보안 방식으로 전송될 수도 있거나 전송되지 않을 수도 있다. 인증기 (130a) 는 피어 (110) 로부터 인증 응답을 수신하고 인증 서버 (140a) 에 피어 인증 요구를 전송할 수도 있다 (단계 418).
인증 서버 (140a) 는 이후 피어 (110) 의 인증을 위해 또는 상호 인증을 위해 피어 (110) 와 메시지를 교환할 수도 있다 (단계 420). 인증이 완료된 후, 인증 서버 (140a) 는 피어 인증된 메시지를 인증기 (130a) 에 전송할 수도 있다 (단계 422). 이 메시지는 부속 정보, 예를 들어, 피어 (110) 와 통신하는데 이용될 키 KEY1, KEY1에 대한 키 ID, 피어 (110) 의 UIDpeer 등을 포함할 수도 있다. UIDpeer 는 인증 서버 (140a) 와 인증기 (130a) 사이에서 공유된 키에 기초하여 보안 방식으로 (예를 들어, 암호화 및/또는 무결성 보호를 이용하여) 전송될 수도 있다. 인증기 (130a) 는 피어 (110) 의 UIDpeer 를 레코딩할 수도 있고, 제 1 인증뿐만 아니라 이 인증에 의해 발생된 KEY1 을 이 UIDpeer 에 바인딩할 수도 있다 (단계 424). 인증기 (130a) 는 또한 피어 (110) 의 LIDpeer 를 UIDpeer 에 바인딩할 수도 있다. 바인딩은 연관하는 상이한 아이템들 (예를 들어, 인증, 키, UID, LID 등) 및/또는 소정의 아이템의 상이한 인스턴스들 (예를 들어, 다중 인증, 다수의 키 등) 을 함께 지칭한다. 바인딩, 연관, 및 맵핑은 호환성 있게 사용될 수도 있는 같은 뜻의 용어이다.
제 1 인증을 완료한 후에, 또는 제 1 인증과 병렬로, 피어 (110) 는 피어 (110) 의 LIDpeer 를 이용하여 인증기 (130a) 에 서비스 요구를 전송할 수도 있다 (단계 430). 인증기 (130a) 는 피어 (110) 에 인증 요구를 전송함으로써 응답할 수도 있다 (단계 432). 일반적으로, 제 2 인증은 피어 (110) 에 의해 (예를 들어, 다중 인증이 수행될 것이라고 피어 (110) 가 안다면, 예를 들어, 디바이스 및 사용자 인증의 경우) 또는 인증기에 의해 트리거될 수도 있다.
제 2 인증의 경우, 피어 (110) 는 제 1 인증을 위해 이전에 유도된 동일한 UIDpeer 를 이용할 수도 있다. 피어 (110) 는 제 2 인증에 이용될 인증 서버 (140a) 의 어드레스, 피어 (110) 의 NAIpeer 및 UIDpeer 등을 포함할 수도 있는 인증 응답을 전송할 수도 있다 (단계 436). 게다가 또, UIDpeer 는 보안 방식으로 전송될 수도 있다. 인증기 (130a) 는 피어 (110) 로부터 인증 응답을 수신할 수도 있고 피어 인증 요구를 인증 서버 (140a) 에 전송할 수도 있다 (단계 438).
인증 서버 (140a) 는 이후 인증을 위해 피어 (110) 와 메시지를 교환할 수도 있다 (단계 440). 인증이 완료된 후, 인증 서버 (140a) 는 피어 인증된 메시지를 인증기 (130a) 에 전송할 수도 있다 (단계 442). 이 메시지는 부속 정보, 예를 들어, 피어 (110) 와 통신하는데 사용될 키 KEY2, KEY2 에 대한 키 ID, 피어 (110) 의 UIDpeer 등을 포함할 수도 있다. 일반적으로, KEY2 는 제 2 인증에 의해 발생될 수도 있거나 발생되지 않을 수도 있다. 인증기 (130a) 는 피어 인증 된 메시지를 수신하고, 메시지로부터 UIDpeer 를 추출하고, 이 UIDpeer 가 인증기 (130a) 에 이미 저장되어 있다고 인식할 수도 있다. 인증기 (130a) 는 이후 매칭된 UIDpeer 에 기초하여 이 인증이 동일한 피어 (110) 에 대한 것이라고 결정할 수도 있다. 인증기 (130a) 는 제 2 인증뿐만 아니라 KEY2 (제 2 인증에 의해 발생되면) 를 UIDpeer 에 바인딩할 수도 있다 (단계 444). 인증기 (130a) 는 본질적으로 피어 (110) 에 대한 제 1 인증 및 제 2 인증을 동일한 UIDpeer 에 바인딩한다.
도 4 에 도시된 실시예에서, 피어 (110) 는 피어 (110) 의 LIDpeer 를 이용하여 인증기 (130a) 에 상이한 네트워크에 대한 액세스 요구를 전송할 수도 있다 (단계 450). 인증기 (130a) 는 피어 (110) 에 인증 요구를 전송함으로써 응답할 수도 있다 (단계 452). 일반적으로, 제 3 인증은 피어 (110) 또는 인증기에 의해 트리거될 수도 있고 임의의 이유에 의해서 트리거될 수도 있다.
제 3 인증의 경우, 피어 (110) 는 제 1 인증을 위해 이전에 유도된 동일한 UIDpeer 를 이용할 수도 있다. 피어 (110) 는 제 3 인증에 이용될 인증 서버 (140n)(서버 n) 의 어드레스, 피어 (110) 의 NAIpeer 및 UIDpeer 등을 포함할 수도 있는 인증 응답을 전송할 수도 있다 (단계 456). 게다가 또, UIDpeer 는 보안 방식으로 전송될 수도 있다. 인증기 (130a) 는 피어 (110) 로부터 인증 응답을 수신할 수도 있고, 피어 (110) 에 의해 선택된 인증 서버 (140n) 에 피어 인증 요구 를 전송할 수도 있다 (단계 458).
인증 서버 (140n) 는 이후 인증을 위해 피어 (110) 와 메시지를 교환할 수도 있다 (단계 460). 인증이 완료된 후에, 인증 서버 (140n) 는 부속 정보, 예를 들어, 피어 (110) 와 통신하는데 이용될 키 KEY3, KEY3 에 대한 키 ID, 피어 (110) 의 UIDpeer 등을 포함할 수도 있는 피어 인증된 메시지를 인증기 (130a) 에 전송할 수도 있다 (단계 442). 일반적으로, KEY3 는 제 3 인증에 의해 발생할 수도 있거나 발생하지 않을 수도 있다. 인증기 (130a) 는 피어 인증된 메시지를 수신하고, 이 UIDpeer 가 이미 인증기 (130a) 에 저장되어 있다고 인식하고, 제 3 인증뿐만 아니라 KEY3 (발생하면) 를 UIDpeer 에 바인딩할 수도 있다 (단계 464). 피어 (110) 에 대한 제 1, 제 2 및 제 3 인증이 상이한 인증 서버 (140a 및 140n) 를 통해 수행되었을 지라도, 인증기 (130a) 는 본질적으로 이들 인증들을 동일한 UIDpeer 로 바인딩한다.
일반적으로, 피어 (110) 는 임의의 수의 인증 서버와의 임의의 수의 인증을 수행할 수도 있다. 이들 다중 인증은 (도 4 에 도시된 바와 같이) 순차적으로, 또는 (도 4 에 도시되지 않은) 병렬로, 또는 둘의 조합으로 수행될 수도 있다. 피어 (110) 가 인증 서버에 인증되고 인증 서버가 또한 피어 (110) 에 인증되도록 각 인증이 상호 인증할 수도 있다. 각 인증은 키를 발생시킬 수도 있거나 그렇지 않을 수도 있다. 인증기 (130a) 는 동일한 UIDpeer 를 갖는 모든 인증 및 모 든 키를 피어 (110) 에 바인딩할 수도 있다. 하나의 인증만이 키를 발생시킬 수도 있고, 이 인증에 바인딩된 모든 인증은 이 하나의 인증으로부터의 키에 기초하여 데이터를 보안 교환할 수도 있다.
UIDpeer 는 피어 (110) 에 의해 알려진 크리덴셜 및 인증 서버에 기초하여 예를 들어, 암호화 및/또는 무결성 보호를 이용하여 피어 (110) 와 각 인증 서버 사이에서 보안 교환될 수도 있다. 이 경우에, MiTM 공격기는 UIDpeer 를 가로챌 수 없을 수 있고 인증 교환을 하이재킹 (hijack) 할 수 없을 수 있다.
도 4 에 도시된 설계에서, 피어 (110) 는 단계 416, 단계 436 및 단계 456 에서 인증기 (140a) 에 인증 응답의 UIDpeer 를 전송하고, 인증기 (140a) 는 인증 서버 (140a 및 140n) 에 UIDpeer 를 포워딩한다. 피어 (110) 는 또한 다른 때, 예를 들어, 단계 420, 단계 440, 단계 460 등에서 UIDpeer 를 전송할 수도 있다.
일반적으로, UID 는 다양한 방식으로 유도될 수도 있다. 일 설계에서, 피어 (110) 는 의사-랜덤수 (PRN; pseudo-random number) 를 발생시키고 이 PRN 을 UID 로 이용한다. 상이한 피어는 상이한 PRN을 독립적으로 발생시킬 수도 있다. 2 개 피어가 동일한 PRN 를 발생시킬 가능도 (충돌로 지칭됨) 는 PRN 의 길이에 따른다. 예를 들어, PRN 이 32 비트의 길이를 가지면, 충돌의 확률은 1/232 이다. 일반적으로, PRN 은 임의의 길이, 예를 들어, 32 비트, 48 비트, 64 비트 등일 수도 있다. PRN 은 원하는 충돌 확률을 달성하기에 충분히 길게 정의될 수도 있다. 동일한 길이의 PRN 은 모든 인증에 이용될 수도 있다. 다른 방법으로는, 상이한 길이의 PRN 은 상이한 인증에 대한 것일 수도 있으며, 각 인증에 대한 PRN 길이는 보안 요건 및/또는 다른 요인에 따를 수도 있다.
다른 설계에서, 피어 (110) 에 할당된 ID 또는 이 ID 의 의사 버전은 UID 로서 이용될 수도 있다. 예를 들어, UID 는 ESN (Electronic Serial Number), MEID (Mobile Equipment Identifier), IMSI (International Mobile Subscriber Identity), MIN (Mobile Identification Number), 의사-ESN, 임시 IMSI, 또는 피어 (110) 에 할당된 임의의 다른 실제 또는 의사 ID 일 수도 있다. 또 다른 설계에서, 피어 (110) 에 할당된 어드레스는 UID 로 이용될 수도 있다. 예를 들어, UID 는 MAC 어드레스, IP 어드레스 등일 수도 있다. 일반적으로, 피어에 고유한 (또는 충분히 낮은 충돌 확률을 가진) 임의의 종류의 ID 또는 어드레스는 피어에 대한 인증을 바인딩하기 위한 UID 로 이용될 수도 있다.
단일 UID 는 피어 (110) 에 대한 모든 인증에 이용될 수도 있다. 이들 모든 인증은 이 단일 UID 에 바인딩될 수도 있다. 피어 (110) 에 대한 인증은 또한 다수의 그룹으로 분류될 수도 있으며, 이 때 각 그룹은 하나 이상의 인증을 포함한다. 상이한 UID 가 각 그룹에 이용될 수도 있다. 각 그룹의 모든 인증(들)은 그 그룹에 대한 UID 에 의해 바인딩될 수도 있다. 일반적으로, 하나의 UID 는 함께 바인딩될 모든 인증에 이용될 수도 있다. 소정의 UID 는 하나 이상의 인증에 이용될 수도 있다.
도 4 에 도시된 설계에서, 피어 (110) 는 UID 를 유도하고 이 UID 를 각 인 증 서버로 보안 전송할 수도 있다. UID 는 또한 피어 (110) 이외의 엔티티에 의해 발생될 수도 있다. 다른 설계에서, 인증 서버는 UID 를 발생시키고 이 UID 를 피어 (110) 와 인증기 둘 다에 제공할 수도 있다. 피어 (110) 는 피어 (110) 에 대해 UID 가 발생하지 않은 제 1 인증 (예를 들어, 단계 420 동안) 에 대해 인증 서버에 통지할 수도 있다. 응답하여, 인증 서버는 피어 (110) 에 대한 UID 를 발생시킬 수도 있다. 피어 (110) 는 제 1 인증과 바인딩될 각 후속 인증에 대해 이 UID 를 이용할 수도 있다. 또 다른 설계에서, 인증기는 피어 (110) 에 대한 UID 를 발생시킬 수도 있다.
도 4 에 도시된 실시예에서, 피어 (110) 는 모든 인증 및 키를 피어 (110) 의 UIDpeer 에 바인딩하는 단일 인증기 (140a) 를 통해 다중 인증을 수행한다. 피어 (110) 는 또한 예를 들어, 동일한 UIDpeer 를 이용하여 다수의 인증기를 통해 다중 인증을 수행할 수도 있다. 이 경우에, UIDpeer 는 이들 인증기를 동기화하기 위해 모든 인증기에 보안 전달될 수도 있다.
피어 (110) 에 대한 다중 인증은 하나 이상의 시행 포인트에서 시행될 수도 있다. 모든 인증이 단일 시행 포인트에 의해 시행되면, 다중 인증에 이용된 모든 인증기(들)은 피어 (110) 에 대한 보안 정보 (예를 들어, 키) 그리고 가능하다면 UIDpeer 를 이 시행 포인트에 통과시킬 수도 있다. 다른 방법으로는, 하나의 인증기는 피어 (110) 의 UIDpeer 및 보안 정보를 시행 포인트에 통과시킬 수도 있고, 나머지 인증기들은 피어 (110) 의 UIDpeer 만을 통과할 수도 있다. 다중 인증이 다수의 시행 포인트에 의해 시행되면, 각 시행 포인트는 피어 (110) 의 UIDpeer 및 그 시행 포인트에 의해 시행될 인증(들)에 대한 임의의 연관 보안 정보를 수신할 수도 있다. 일반적으로, 각 시행 포인트는 시행되는 인증과 연관된 보안 정보에 기초하여 그 시행 포인트에 의해 책임있는 모든 인증을 시행할 수도 있다.
단일 UID 를 통한 다중 인증의 바인딩은 하나의 인증에 의해 발생한 키가 다른 인증을 위한 데이터 교환에 이용되게 한다. 사실, 단일 인증에 의해 발생한 단일 키는 모든 인증에 이용될 수도 있다. 키를 발생시키지 않는 인증의 데이터는 키가 발생하는 다른 인증으로부터의 키를 이용하여 보안 전송될 수도 있다. 이는 2 개의 인증이 동일한 UID 에 바인딩되어 동일한 피어에 바인딩되므로 가능하다.
다수의 키는 다중 인증에 의해 발생될 수도 있다. 이 경우에, 다중 인증을 위한 보안 데이터 교환은 다양한 방식으로 달성될 수도 있다. 하나의 설계에서, 단일 키는 다수의 키 중에서 선택되고 모든 인증의 데이터를 보안 전송하는데 이용될 수도 있다. 다른 설계에서, 다수의 키는, 이후 모든 인증의 데이터를 보안 전송하는데 이용될 수도 있는 복합 키를 발생시키는데 이용될 수도 있다. 또 다른 설계에서, 각 키-발생 인증의 데이터는 그 인증에 의해 발생된 키를 이용하여 보안 전송될 수도 있다. 각 키-미발생 인증의 데이터는 키-발생 인증으로부터의 키 또는 복합 키를 이용하여 보안 전송될 수도 있다. 다중 인증의 데 이터는 또한 다른 방식으로 보안 전송될 수도 있다.
도 5 는 고유 식별자를 사용한 다중 인증을 위한 피어에 의해 수행된 프로세스 (500) 의 설계를 도시한다. 피어에 대한 고유 식별자가 획득될 수도 있다 (블록 512). 적어도 하나의 인증 서버와의 다중 인증이 수행될 수도 있으며, 이 때 고유의 식별자는 다중 인증을 피어에 바인딩하는데 이용된다 (블록 514). 고유 식별자는 의사-랜덤수, 피어에 할당된 식별자 또는 어드레스 등에 기초하여 피어에 의해 유도될 수도 있다. 고유 식별자는 암호화 및/또는 무결성 보호를 이용하여 각 인증 서버로 피어에 의해 보안 전송될 수도 있다. 고유 식별자는 또한 인증 서버 또는 인증기로부터 피어에 의해 획득될 수도 있다. 다중 인증은 순차적으로 및/또는 병렬로 수행될 수도 있고, 액세스 인증, 서비스 인증, 디바이스 인증, 사용자 인증, NAP 인증, ISP 인증 등에 대한 것일 수도 있다.
적어도 하나의 암호 키는 다중 인증으로부터 획득될 수도 있다 (블록 516). 다중 인증의 데이터는 적어도 하나의 암호 키에 기초하여 보안 교환될 수도 있다 (블록 518). 예를 들어, 암호 키는 제 1 인증으로부터 획득되고 제 2 인증을 위해 데이터를 보안 교환하는데 이용될 수도 있다.
도 6 은 인증 서버에 의해 수행된 프로세스 (600) 의 설계를 도시한다. 피어에 대한 고유 식별자는 피어 또는 인증기로부터 획득, 예를 들어 보안 수신되거나, 또는 인증 서버에 의해 발생될 수도 있다 (블록 612). 피어와의 인증이 수행될 수도 있다 (블록 614). 고유 식별자는 피어와 연관될 수도 있다 (블록 616). 피어가 인증됨의 표시, 고유 식별자, 및 가능하다면 보안 정보 (예를 들 어, 암호 키) 는, 고유 식별자를 이용하여 인증을 피어에 바인딩할 수도 있는 인증기에 전송될 수도 있다 (블록 616).
도 7 은 인증기에 의해 수행된 프로세스 (700) 의 설계를 도시한다. 적어도 하나의 인증 서버와 피어 사이의 적어도 하나의 인증의 결과가 수신될 수도 있다 (블록 712). 적어도 하나의 인증이 고유 식별자에 기초하여 피어에 바인딩될 수도 있다 (블록 714). 적어도 하나의 암호 키는 적어도 하나의 인증의 결과로부터 획득될 수도 있다 (블록 716). 적어도 하나의 암호 키 또는 (적어도 하나의 암호 키에 기초하여 발생될 수도 있는) 적어도 하나의 유도된 키 중 하나 및 가능하다면 고유 식별자는 적어도 하나의 인증을 위해 시행 포인트로 포워딩될 수도 있다 (블록 718). 적어도 하나의 인증이 또한 적어도 하나의 암호 키에 기초하여 인증기에 의해 시행될 수도 있다. 피어에 대한 하나 이상의 다른 인증의 결과 및 고유 식별자는 또한 다른 인증기로부터 수신될 수도 있다. 피어에 대한 적어도 하나의 인증 및 하나 이상의 다른 인증은 고유 식별자에 기초하여 바인딩될 수도 있다.
다른 양태에서, 다중 레벨의 보안 (또는 네스트된 보안) 은 피어에 대한 다중 인증에 이용될 수도 있다. 예를 들어, 피어 (110) 는 제 1 인증 서버와의 제 1 인증 (예를 들어, 액세스 또는 디바이스 인증) 을 수행하고 제 1 키 KEY1 을 획득할 수도 있다. 피어 (110) 는 또한 제 2 인증 서버와의 제 2 인증 (예를 들어, 서비스 또는 사용자 인증) 을 수행하고 제 2 키 KEY2 를 획득할 수도 있다. 원하는 서비스에 대한 데이터는 그 후에 2 개의 키 KEY1 및 KEY2 를 이용하여 보안 교환될 수도 있다.
일반적으로, 피어 (110) 는 임의의 수의 인증 서버와의 임의의 수의 인증을 수행할 수도 있다. 각 인증은 키가 발생할 수도 있거나 또는 키가 발생하지 않을 수도 있다. 소정의 인증에 의해 발생된 키는 그 인증의 데이터를 보안 교환하는데 이용될 수도 있다.
네스트된 보안의 경우, 다중 인증은 하나 이상의 인증기를 통해 수행될 수도 있고 하나 이상의 시행 포인트에 의해 시행될 수도 있다. 각 인증기는 예를 들어, LID 또는 피어에 대한 임의의 다른 ID 에 기초하여, 하나 이상의 인증에 대한 하나 이상의 키를 획득할 수도 있고 모든 키(들)을 피어에 바인딩할 수도 있다. 각 시행 포인트는 하나 이상의 인증기로부터 하나 이상의 인증에 대한 하나 이상의 키를 수신할 수도 있다. 각 시행 포인트는 그 시행 포인트에 의해 수신된 하나 이상의 키를 이용하여 피어와 데이터를 보안 교환할 수도 있다.
도 8 은 2 개의 인증에 대한 네스트된 보안을 도시한다. 인증 1 은 서비스 인증에 대한 것일 수도 있고, 인증 2 는 액세스 인증에 대한 것일 수도 있다. 인증 1의 데이터는 서비스 제공자에 대한 시행 포인트와 피어 (110) 사이에서 교환될 수도 있다. 인증 2의 데이터는 액세스 네트워크에서의 액세스 포인트와 피어 (110) 사이에서 교환될 수도 있다. 동일 또는 상이한 시행 포인트는 시행 1 및 2 에 이용될 수도 있다.
인증 1의 패킷 1 은 헤더, 페이로드, 및 트레일러를 포함할 수도 있다. 페이로드는, 인증 1 에 의해 발생된 키로 암호화 및/또는 무결성 보호될 수도 있는 데이터를 전할 수도 있다. 헤더는 인증 1 에 의해 발생하고 페이로드에서 전송될 데이터에 이용된 키의 키 ID 를 전할 수도 있다. 트레일러는 인증 1 에 의해 발생된 키로 페이로드에서 전송된 데이터에 기초하여 발생될 수도 있는 메시지 인증 코드 (MAC1) 를 전할 수도 있다. 메시지 인증 코드는 패킷의 수신자에 의해 이용되어 페이로드에서 전송된 데이터의 무결성뿐만 아니라 패킷의 전송자에 의해 이용된 키의 소유주임의 증거를 검증할 수도 있다.
유사하게, 인증 2의 패킷 2 는 헤더, 페이로드, 및 트레일러를 포함할 수도 있다. 패킷 2의 페이로드는 인증 2 에 의해 발생된 키로 암호화 및/또는 무결정 보호될 수도 있는 전체 패킷 1을 전할 수도 있다. 헤더는 인증 2 에 의해 발생된 키의 키 ID 를 전할 수도 있다. 트레일러는 인증 2 에 의해 발생된 키로 패킷 2 의 페이로드에서의 데이터에 기초하여 발생된 메시지 인증 코드 (MAC2) 를 전할 수도 있다.
피어 (110) 는 도 8 에 도시된 네스트된 프로세싱을 수행하여 인증 1 및 인증 2의 데이터를 전송할 수도 있다. 단일 시행 포인트가 인증 1 과 인증 2 모두에 이용되면, 이 시행 포인트는 패킷 1 과 패킷 2 모두에서의 페이로드 둘 다로부터 데이터를 추출 (예를 들어, 해독 및/또는 검증) 할 수도 있다. 상이한 시행 포인트가 인증 1 과 인증 2 에 이용되면, 인증 2 용 시행 포인트는 패킷 2 의 페이로드로부터 데이터를 추출할 수도 있고, 인증 1 용 시행 포인트는 패킷 1 의 페이로드로부터 데이터를 추출할 수도 있다.
다른 설계에서, 데이터는 인증 1 과 인증 2 모두에 의해 발생된 키로 보안 프로세싱 (예를 들어, 암호화 및/또는 무결성 보호) 되어 데이터 패킷을 획득한다. 예를 들어, 데이터는 인증 1 에 의해 발생된 키로 보안 프로세싱되어, 데이터 패킷의 페이로드에서 전송될 수도 있는 제 2 프로세싱 데이터를 획득하기 위해 인증 2 에 의해 발생된 키로 더욱 보안 프로세싱될 수도 있는 제 1 프로세싱된 데이터를 획득할 수도 있다. 데이터 패킷은 두 키의 키 ID 를 함유할 수도 있는 단일 헤더를 포함할 수도 있다. 데이터 패킷은 MAC1 및/또는 MAC2 를 포함할 수도 있는 단일 트레일러를 더 포함할 수도 있다.
도 9 는 네스트된 보안을 갖는 다중 인증을 위해 피어에 의해 수행된 프로세스 (900) 의 설계를 도시한다. 제 1 인증 및 제 2 인증은 적어도 하나의 인증 서버와 수행될 수도 있다 (블록 912). 제 1 인증은 제 1 인증 서버와 수행될 수도 있고, 제 2 인증은 제 1 인증 서버 또는 제 2 인증 서버와 수행될 수도 있다. 제 1 및 제 2 보안 정보, 예를 들어, 제 1 및 제 2 암호 키는 제 1 및 제 2 인증에 대해 각각 획득될 수도 있다 (블록 914). 이후, 데이터 패킷은 제 1 및 제 2 인증으로부터 획득된 제 1 및 제 2 보안 정보로 발생될 수도 있다 (블록 916).
일 설계에서, 데이터가 제 1 보안 정보 (예를 들어, 제 1 암호 키) 에 기초하여 보안 프로세싱 (예를 들어, 암호화 및/또는 무결성 보호) 되어 초기 패킷을 획득할 수도 있다. 초기 패킷은 제 2 보안 정보 (예를 들어, 제 2 암호 키) 에 기초하여 보안 프로세싱되어 데이터 패킷을 획득할 수도 있다. 다른 설계에서, 데이터는 제 1 보안 정보와 제 2 보안 정보 둘 다에 기초하여 보안 프로세싱되어 데이터 패킷을 획득할 수도 있다. 동일한 보안 프로세싱 (예를 들어, 암호화 및/또는 무결성 보호) 은 제 1 보안 정보 및 제 2 보안 정보의 각각으로 수행될 수도 있다. 다른 방법으로는, 일 유형의 보안 프로세싱 (예를 들어, 암호화) 은 제 1 보안 정보로 수행될 수도 있고, 다른 유형의 보안 프로세싱 (예를 들어, 무결성 보호) 은 제 2 보안 정보로 수행될 수도 있다.
또 다른 양태에서, 순차 보안은 피어에 대한 다중 인증에 이용될 수도 있다. 예를 들어, 피어 (110) 는 제 1 인증 서버와의 제 1 인증을 수행하고 제 1 키 KEY1 을 획득할 수도 있다. 제 1 인증을 완료한 후에, KEY1 은 각 후속 인증에 대한 보안 프로세싱에 이용될 수도 있다. 후속 인증은 제 1 인증 후에 순차적으로 또는 병렬로 수행될 수도 있다.
도 10 은 도 1의 피어 (110), 시행 포인트 (120a), 인증기 (130a), 및 인증 서버 (140a) 의 블록도를 도시한다. 피어 (110) 는 단말기 등일 수도 있다. 시행 포인트 (120a) 는 기지국, 액세스 포인트 등일 수도 있다. 인증기 (130a) 는 WLAN 스위치, RNC 등일 수도 있다. 인증 서버 (140a) 는 AAA 서버 등일 수도 있다. 단순화를 위해, 도 10 은 (a) 하나의 컨트롤러/프로세서 (1010), 하나의 메모리 (1012), 및 피어 (110) 용 하나의 송수신기 (1016), (b) 하나의 컨트롤러/프로세서 (1020), 하나의 메모리 (1022), 하나의 통신 (Comm) 유닛 (1024), 및 시행 포인트 (120a) 용 하나의 송수신기 (1026), (c) 하나의 컨트롤러/프로세서 (1030), 하나의 메모리 (1032), 및 인증기 (130a) 용 하나의 송신 유닛 (1034), 및 (d) 하나의 컨트롤러/프로세서 (1040), 하나의 메모리 (1042), 및 인증 서버 (140a) 용 하나의 통신 유닛 (1044) 을 도시한다. 일반적으로, 각 엔티티는 임의의 수의 컨트롤러, 프로세서, 메모리, 송수신기, 통신 유닛 등을 포함할 수도 있다.
피어 (110) 는 시행 포인트 (120a) 에 데이터를 전송할 수도 있다. 데이터는 프로세서 (1010) 에 의해 프로세싱되고 송수신기 (1016) 에 의해 컨디셔닝되어, 안테나를 통해 송신될 수도 있는 변조된 신호를 발생시킬 수도 있다. 시행 포인트 (120a) 에서, 피어 (110) 로부터의 신호는 송수신기 (1026) 에 의해 수신 및 컨디셔닝되고 프로세서 (1020) 에 의해 더욱 프로세싱되어, 피어 (110) 에 의해 전송된 데이터를 복구할 수도 있다. 시행 포인트 (120a) 는 또한 데이터를 피어 (110) 로 전송할 수도 있다. 데이터는 프로세서 (1020) 에 의해 프로세싱되고 송수신기 (1026) 에 의해 컨디셔닝되어, 피어 (110) 로 송신될 수도 있는 변조된 신호를 발생시킬 수도 있다. 피어 (110) 에서, 시행 포인트 (120a) 로부터의 신호는 송수신기 (1016) 에 의해 수신 및 컨디셔닝되고 프로세서 (1010) 에 의해 프로세싱되어, 시행 포인트 (120a) 에 의해 전송된 데이터를 복구할 수도 있다.
프로세서 (1010) 는 인증, 데이터 교환 등을 위해 피어 (110) 에 대한 프로세싱을 수행할 수도 있다. 프로세서 (1010) 는 도 5 의 프로세스 (500), 도 9 의 프로세스 (900), 및/또는 인증 및 데이터 교환을 위한 다른 프로세스를 수행할 수도 있다. 메모리 (1012 및 1022) 는 피어 (110) 및 시행 포인트 (120a) 각각에 대한 프로그램 코드 및 데이터를 저장할 수도 있다. 시행 포인트 (120a) 는 통신 유닛 (1024) 을 통해 다른 엔티티, 예를 들어, 인증기 (130a) 와 통신할 수도 있다.
인증기 (130a) 내에서, 프로세서 (1030) 는 인증기 (130a) 에 대한 프로세싱을 수행하고, 인증기 내에서 다양한 유닛의 동작을 지시할 수도 있다. 메모리 (1032) 는 인증기 (130a) 에 대한 프로그램 코드 및 데이터를 저장할 수도 있다. 프로세서 (1030) 는 도 7 의 프로세스 (700) 및/또는 피어의 인증을 위한 다른 프로세스를 수행할 수도 있다. 통신 유닛 (1034) 은 시행 포인트 (120a) 및 인증 서버 (140a) 와 같은 다른 엔티티와 인증기 (130a) 사이의 통신을 지원할 수도 있다.
인증기 서버 (140a) 내에서, 프로세서 (1040) 는 인증 서버 (140a) 에 대한 프로세싱을 수행하고 인증 서버 내에서 다양한 유닛의 동작을 지시할 수도 있다. 프로세서 (1040) 는 도 6 의 프로세스 (600) 및/또는 피어의 인증을 위한 다른 프로세스를 수행할 수도 있다. 메모리 (1042) 는 인증 서버 (140a) 에 대한 프로그램 코드 및 데이터를 저장할 수도 있다. 통신 유닛 (1044) 은 인증기 (130a) 와 같은 다른 엔티티와 인증 서버 (140a) 사이의 통신을 지원할 수도 있다.
당업자는 정보 및 신호가 임의의 다양하고 상이한 기술 및 테크닉을 이용하여 나타낼 수도 있다는 것을 이해한다. 예를 들어, 상기 상세한 설명 전체에 걸쳐 참조될 수도 있는 데이터, 명령, 커맨드, 정보, 신호, 비트, 심볼, 및 칩은 전압, 전류, 전자기파, 자계, 자기 입자, 광학 필드, 광입자, 또는 그 임의의 조합으로 나타낼 수도 있다.
당업자는 또한 여기의 명세서와 관련하여 설명한 다양한 설명적인 논리 블로, 모듈, 회로, 및 알고리즘 단계가 전자 하드웨어, 컴퓨터 소프트웨어, 또는 둘의 조합으로 구현될 수도 있다는 것을 이해한다. 하드웨어와 소프트웨어의 호환성을 명확히 설명하기 위해, 다양한 설명적인 컴포넌트, 블록, 모듈, 회로, 및 단계가 일반적으로 그 기능성의 관점에서 상술되었다. 이러한 기능성이 하드웨어 또는 소프트웨어로서 구현되는지 여부는 전체 시스템에 부과된 특정 애플리케이션 및 설계 제약에 따른다. 당업자는 각 특정 애플리케이션에 대해 변화하는 방식으로 설명한 기능성을 구현할 수도 있지만, 이러한 구현 결정은 본 명세서의 범주에서 벗어나는 것으로 해석되어서는 안된다.
여기의 명세서와 관련하여 설명한 다양한 설명적인 논리 블록, 모듈, 및 회로는 범용 프로세서, DSP (digital signal processor), ASIC (application specific integrated circuit), FPGA (field programmable gate array) 또는 다른 프로그램가능 로직 디바이스, 이산 게이트 또는 트랜지스터 로직, 이산 하드웨어 컴포넌트, 또는 여기서 설명한 기능을 수행하도록 설계된 임의의 조합으로 구현 또는 수행될 수도 있다. 범용 프로세서는 마이크로프로세서일 수도 있지만, 다른 방식으로, 프로세서는 임의의 종래의 프로세서, 컨트롤러, 마이크로컨트롤러, 또는 상태 머신일 수도 있다. 프로세서는 또한 컴퓨팅 디바이스의 조합, 예를 들어, DSP 와 마이크로프로세서의 조합, 복수의 마이크로프로세서, DSP 코어와 연결된 하 나 이상의 마이크로프로세서, 또는 이러한 임의의 다른 구성으로 구현될 수도 있다.
여기의 명세서와 관련하여 설명한 방법 또는 알고리즘의 단계는 하드웨어에서, 프로세서에 의해 실행된 소프트웨어 모듈에서, 또는 이 둘의 조합에서 집적 구현될 수도 있다. 소프트웨어 모듈은 RAM 메모리, 플래시 메모리, ROM 메모리, EPROM 메모리, EEPROM 메모리, 레지스터, 하드디스트, 착탈식 디스크, CD-ROM, 또는 당업계에 알려진 임의의 다른 형태의 저장 매체에 상주할 수도 있다. 대표적인 저장 매체는 프로세서가 저장 매체로부터 정보를 판독하고 저장 매체에 정보를 기록할 수 있도록 프로세서에 연결된다. 다른 방법으로는, 저장 매체는 프로세서와 일체형일 수도 있다. 프로세서 및 저장 매체는 ASIC 에 상주할 수도 있다. ASIC 은 사용자 단말기에 상주할 수도 있다. 다른 방법으로는, 프로세서 및 저장 매체는 사용자 단말기의 이산 컴포넌트로서 상주할 수도 있다.
명세서의 앞의 설명은 당업자로 하여금 명세서를 이용 또는 생산하도록 제공된다. 명세서에 대한 다양한 변경은 당업자에게 매우 명백하고, 여기에서 정의된 일반 원리는 명세서의 범주 또는 사상에서 벗어나지 않고 다른 변경예에 적용될 수도 있다. 따라서, 명세서는 여기에서 설명된 실시예에 제한되려는 의도가 아니지만, 여기에 개시된 원리 및 신규 특징에 일관된 광범위에 따르고자 한다.

Claims (53)

  1. 피어에 대한 고유 식별자를 획득하고 적어도 하나의 인증 서버와의 다중 인증을 수행하는 프로세서로서, 상기 고유 식별자는 상기 다중 인증을 상기 피어에 바인딩하는데 이용되는, 상기 프로세서; 및
    상기 프로세서에 연결된 메모리를 포함하는, 통신 시스템의 피어용 장치.
  2. 제 1 항에 있어서,
    상기 프로세서는 의사-랜덤수를 발생시키고 상기 의사-랜덤수를 상기 피어에 대한 상기 고유 식별자로 이용하는, 통신 시스템의 피어용 장치.
  3. 제 1 항에 있어서,
    상기 프로세서는 상기 피어에 할당된 식별자 또는 어드레스를 상기 피어에 대한 상기 고유 식별자로 이용하는, 통신 시스템의 피어용 장치.
  4. 제 1 항에 있어서,
    상기 프로세서는 상기 고유 식별자를 인증 서버 또는 인증기로부터 수신하는, 통신 시스템의 피어용 장치.
  5. 제 1 항에 있어서,
    상기 다중 인증 중 하나에 대해, 상기 프로세서는 인증기로부터 인증 요구를 수신하고, 상기 고유 식별자를 갖는 인증 응답을 전송하며, 상기 인증 서버와의 상호 인증을 수행하고,
    상기 고유 식별자는 상기 인증기에 의해 상기 인증 서버로 포워딩되는, 통신 시스템의 피어용 장치.
  6. 제 1 항에 있어서,
    상기 프로세서는 제 1 인증을 위해 상기 고유 식별자를 인증 서버로 보안 전송하고, 제 2 인증을 위해 상기 고유 식별자를 상기 인증 서버로 보안 전송하는, 통신 시스템의 피어용 장치.
  7. 제 1 항에 있어서,
    상기 프로세서는 제 1 인증을 위해 상기 고유 식별자를 제 1 인증 서버로 보안 전송하고 제 2 인증을 위해 상기 고유 식별자를 제 2 인증 서버로 보안 전송하며,
    상기 제 2 인증 서버는 상기 제 1 인증 서버와 상이한, 통신 시스템의 피어용 장치.
  8. 제 1 항에 있어서,
    상기 프로세서는 암호화, 또는 무결성 보호, 또는 둘 다를 이용하여 상기 고 유 식별자를 상기 적어도 하나의 인증 서버의 각각으로 보안 전송하는, 통신 시스템의 피어용 장치.
  9. 제 1 항에 있어서,
    상기 프로세서는 상기 다중 인증으로부터 적어도 하나의 암호 키를 획득하고 상기 적어도 하나의 암호 키에 기초하여 상기 다중 인증을 위해 데이터를 보안 교환하는, 통신 시스템의 피어용 장치.
  10. 제 1 항에 있어서,
    상기 프로세서는 제 1 인증으로부터 암호 키를 획득하고 상기 제 1 인증으로부터 획득된 상기 암호 키에 기초하여 제 2 인증을 위해 데이터를 보안 교환하는, 통신 시스템의 피어용 장치.
  11. 제 1 항에 있어서,
    상기 다중 인증은 액세스 인증 및 서비스 인증을 포함하는, 통신 시스템의 피어용 장치.
  12. 제 1 항에 있어서,
    상기 다중 인증은 디바이스 인증 및 사용자 인증을 포함하는, 통신 시스템의 피어용 장치.
  13. 제 1 항에 있어서,
    상기 다중 인증은 NAP (network access provider) 에 대한 제 1 인증 및 ISP (Internet service provider) 에 대한 제 2 인증을 포함하는, 통신 시스템의 피어용 장치.
  14. 제 1 항에 있어서,
    상기 프로세서는 순차적 순서로 상기 다중 인증을 수행하는, 통신 시스템의 피어용 장치.
  15. 제 1 항에 있어서,
    상기 프로세서는 병렬로 상기 다중 인증을 수행하는, 통신 시스템의 피어용 장치.
  16. 피어에 대한 고유 식별자를 획득하는 단계; 및
    적어도 하나의 인증 서버와의 다중 인증을 수행하는 단계를 포함하며,
    상기 고유 식별자는 상기 다중 인증을 상기 피어에 바인딩하는데 이용되는, 방법.
  17. 제 16 항에 있어서,
    상기 피어에 대한 상기 고유 식별자를 유도하는 단계는,
    의사-랜덤수를 발생시키는 단계; 및
    상기 의사-랜덤수를 상기 피어에 대한 상기 고유 식별자로 이용하는 단계를 포함하는, 방법.
  18. 제 16 항에 있어서,
    상기 다중 인증을 수행하는 단계는, 상기 다중 인증 중 하나에 대해,
    인증기로부터 인증 요구를 수신하는 단계;
    상기 고유 식별자 및 인증 서버에 대한 정보를 갖는 인증 응답을 상기 인증기에 전송하는 단계; 및
    상기 인증 서버와의 상호 인증을 수행하는 단계를 포함하며,
    상기 고유 식별자는 상기 인증기에 의해 상기 인증 서버로 포워딩되는, 방법.
  19. 제 16 항에 있어서,
    상기 다중 인증으로부터 적어도 하나의 암호 키를 획득하는 단계; 및
    상기 적어도 하나의 암호 키에 기초하여 상기 다중 인증을 위해 데이터를 보안 교환하는 단계를 더 포함하는, 방법.
  20. 제 16 항에 있어서,
    제 1 인증으로부터 암호 키를 획득하는 단계; 및
    상기 제 1 인증으로부터 획득된 상기 암호 키에 기초하여 제 2 인증을 위해 데이터를 보안 교환하는 단계를 더 포함하는, 방법.
  21. 피어에 대한 고유 식별자를 획득하는 수단; 및
    적어도 하나의 인증 서버와의 다중 인증을 수행하는 수단을 포함하며,
    상기 고유 식별자는 상기 다중 인증을 상기 피어에 바인딩하는데 이용되는, 장치.
  22. 제 21 항에 있어서,
    상기 다중 인증을 수행하는 수단은, 상기 다중 인증 중 하나에 대해,
    인증기로부터 인증 요구를 수신하는 수단,
    상기 고유 식별자 및 인증 서버에 대한 정보를 갖는 인증 응답을 상기 인증기로 전송하는 수단, 및
    상기 인증 서버와의 상호 인증을 수행하는 수단을 포함하며,
    상기 고유 식별자는 상기 인증기에 의해 상기 인증 서버로 포워딩되는, 장치.
  23. 제 21 항에 있어서,
    상기 다중 인증으로부터 적어도 하나의 암호 키를 획득하는 수단; 및
    상기 적어도 하나의 암호 키에 기초하여 상기 다중 인증을 위해 데이터를 보안 교환하는 수단을 더 포함하는, 장치.
  24. 피어에 대한 고유 식별자를 획득하고;
    적어도 하나의 인증 서버와의 다중 인증을 수행하는 명령들을 저장하는 프로세서-판독가능 매체로서,
    상기 고유 식별자는 상기 다중 인증을 상기 피어에 바인딩하는데 이용되는, 프로세서-판독가능 매체.
  25. 제 24 항에 있어서,
    상기 다중 인증으로부터 적어도 하나의 암호 키를 획득하고;
    상기 적어도 하나의 암호 키에 기초하여 상기 다중 인증을 위해 데이터를 보안 교환하는 명령들을 또한 저장하는, 프로세서-판독가능 매체.
  26. 피어에 대한 고유 식별자를 획득하고, 상기 피어와의 인증을 수행하며, 상기 피어와 상기 고유 식별자를 연관시키는 프로세서; 및
    상기 프로세서에 연결된 메모리를 포함하는, 인증 서버용 장치.
  27. 제 26 항에 있어서,
    상기 프로세서는 상기 피어 또는 인증기로부터 상기 고유 식별자를 보안 수 신하는, 인증 서버용 장치.
  28. 제 26 항에 있어서,
    상기 프로세서는 상기 피어에 대한 상기 고유 식별자를 발생시키는, 인증 서버용 장치.
  29. 제 26 항에 있어서,
    상기 프로세서는 상기 피어가 인증됨의 표시 및 상기 고유 식별자를 인증기로 전송하는, 인증 서버용 장치.
  30. 제 26 항에 있어서,
    상기 프로세서는 상기 피어가 인증됨의 표시, 상기 고유 식별자, 및 암호 키를 인증기로 전송하는, 인증 서버용 장치.
  31. 피어에 대한 고유 식별자를 획득하는 단계;
    상기 피어와의 인증을 수행하는 단계; 및
    상기 피어와 상기 고유 식별자를 연관시키는 단계를 포함하는, 방법.
  32. 제 31 항에 있어서,
    상기 피어에 대한 상기 고유 식별자를 획득하는 단계는,
    상기 피어 또는 인증기로부터 상기 고유 식별자를 보안 수신하는 단계를 포함하는, 방법.
  33. 제 31 항에 있어서,
    상기 피어가 인증됨의 표시 및 상기 고유 식별자를 인증기로 전송하는 단계를 더 포함하는, 방법.
  34. 적어도 하나의 인증 서버와 피어 사이에서 적어도 하나의 인증의 결과들을 수신하고, 고유 식별자에 기초하여 상기 적어도 하나의 인증을 상기 피어에 바인딩하는 프로세서; 및
    상기 프로세서에 연결된 메모리를 포함하는, 장치.
  35. 제 34 항에 있어서,
    상기 다중 인증 중 하나에 대해, 상기 프로세서는 상기 피어에 인증 요구를 전송하고, 상기 피어로부터 상기 고유 식별자를 갖는 인증 응답을 수신하고, 상기 고유 식별자를 인증 서버로 포워딩하며, 상기 인증 서버로부터 상기 인증의 결과들 및 상기 고유 식별자를 수신하는, 장치.
  36. 제 34 항에 있어서,
    상기 프로세서는 상기 적어도 하나의 인증의 결과들로부터 적어도 하나의 암 호 키를 획득하고, 상기 적어도 하나의 인증을 위해 상기 적어도 하나의 암호 키 또는 적어도 하나의 유도된 키를 시행 (enforcement) 포인트로 포워딩하는, 장치.
  37. 제 34 항에 있어서,
    상기 프로세서는 상기 적어도 하나의 암호 키에 기초하여 상기 적어도 하나의 인증을 시행하는, 장치.
  38. 제 34 항에 있어서,
    상기 프로세서는 상기 피어에 대한 제 1 인증으로부터 암호 키를 획득하고, 상기 피어에 대한 제 2 인증을 위해 상기 암호 키를 이용하는, 장치.
  39. 제 34 항에 있어서,
    상기 프로세서는 상기 적어도 하나의 인증 서버로부터 상기 적어도 하나의 인증의 결과들을 수신하고, 상기 피어에 대한 하나 이상의 다른 인증의 결과들 및 상기 고유 식별자를 인증기로부터 수신하며, 상기 고유 식별자에 기초하여 상기 적어도 하나의 인증 및 상기 피어에 대한 상기 하나 이상의 다른 인증을 바인딩하는, 장치.
  40. 적어도 하나의 인증 서버와 피어 사이에서 적어도 하나의 인증의 결과들을 수신하는 단계; 및
    고유 식별자에 기초하여 상기 적어도 하나의 인증을 상기 피어에 바인딩하는 단계를 포함하는, 방법.
  41. 제 40 항에 있어서,
    상기 다중 인증 중 하나에 대해,
    상기 피어에 인증 요구를 전송하는 단계,
    상기 피어로부터 상기 고유 식별자를 갖는 인증 응답을 수신하는 단계,
    상기 고유 식별자를 인증 서버로 포워딩하는 단계, 및
    상기 인증 서버로부터 상기 인증의 결과들 및 상기 고유 식별자를 수신하는 단계를 더 포함하는, 방법.
  42. 제 40 항에 있어서,
    상기 적어도 하나의 인증의 결과들로부터 적어도 하나의 암호 키를 획득하는 단계; 및
    상기 적어도 하나의 인증을 위해 상기 적어도 하나의 암호 키 또는 적어도 하나의 유도된 키를 시행 포인트로 포워딩하는 단계를 더 포함하는, 방법.
  43. 적어도 하나의 인증 서버와의 제 1 인증 및 제 2 인증을 수행하고, 상기 제 1 인증 및 상기 제 2 인증에 대한 제 1 보안 정보 및 제 2 보안 정보를 각각 획득하며, 상기 제 1 보안 정보 및 상기 제 2 보안 정보로 데이터 패킷을 발생시키는 프로세서; 및
    상기 프로세서에 연결된 메모리를 포함하는, 장치.
  44. 제 43 항에 있어서,
    상기 프로세서는, 제 1 인증 서버와 상기 제 1 인증을 수행하고 제 2 인증 서버와 상기 제 2 인증을 수행하며,
    상기 제 2 인증 서버는 상기 제 1 인증 서버와 상이한, 장치.
  45. 제 43 항에 있어서,
    상기 프로세서는 단일 인증 서버와 상기 제 1 인증 및 상기 제 2 인증을 수행하는, 장치.
  46. 제 43 항에 있어서,
    상기 프로세서는 상기 제 1 보안 정보로 데이터를 보안 프로세싱하여 초기 패킷을 획득하고, 상기 제 2 보안 정보로 상기 초기 패킷을 보안 프로세싱하여 상기 데이터 패킷을 획득하는, 장치.
  47. 제 43 항에 있어서,
    상기 프로세서는 상기 제 1 보안 정보 및 상기 제 2 보안 정보 양쪽으로 데이터를 보안 프로세싱하여 상기 데이터 패킷을 획득하는, 장치.
  48. 제 43 항에 있어서,
    상기 프로세서는 상기 제 1 보안 정보로부터 획득된 제 1 암호 키를 사용하여 상기 데이터 패킷에 대해 암호화 또는 무결성 보호를 수행하고, 상기 제 2 보안 정보로부터 획득된 제 2 암호 키를 사용하여 상기 데이터 패킷에 대해 암호화 또는 무결성 보호를 수행하는, 장치.
  49. 제 43 항에 있어서,
    상기 프로세서는 상기 제 1 보안 정보와 상기 제 2 보안 정보 중 하나를 사용하여 암호화를 수행하고, 상기 제 1 보안 정보와 상기 제 2 보안 정보 중 다른 하나를 사용하여 무결성 보호를 수행하는, 장치.
  50. 적어도 하나의 인증 서버와 제 1 인증 및 제 2 인증을 수행하는 단계;
    상기 제 1 인증 및 상기 제 2 인증에 대해 제 1 보안 정보 및 제 2 보안 정보를 각각 획득하는 단계; 및
    상기 제 1 보안 정보 및 상기 제 2 보안 정보로 데이터 패킷을 발생시키는 단계를 포함하는, 방법.
  51. 제 50 항에 있어서,
    상기 제 1 인증 및 상기 제 2 인증을 수행하는 단계는,
    제 1 인증 서버와 상기 제 1 인증을 수행하는 단계, 및
    제 2 인증 서버와 상기 제 2 인증을 수행하는 단계를 포함하며,
    상기 제 2 인증 서버는 상기 제 1 인증 서버와 상이한, 방법.
  52. 제 50 항에 있어서,
    상기 데이터 패킷을 발생시키는 단계는,
    상기 제 1 보안 정보로 데이터를 보안 프로세싱하여 초기 패킷을 획득하는 단계, 및
    상기 제 2 보안 정보로 상기 초기 패킷을 보안 프로세싱하여 상기 데이터 패킷을 획득하는 단계를 포함하는, 방법.
  53. 제 50 항에 있어서,
    상기 데이터 패킷을 발생시키는 단계는,
    상기 제 1 보안 정보 및 상기 제 2 보안 정보 양쪽으로 데이터를 보안 프로세싱하여 상기 데이터 패킷을 획득하는 단계를 포함하는, 방법.
KR1020087025336A 2006-04-11 2007-04-10 다중 인증을 바인딩하는 방법 및 장치 KR100988179B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US79132106P 2006-04-11 2006-04-11
US60/791,321 2006-04-11

Publications (2)

Publication Number Publication Date
KR20080108130A true KR20080108130A (ko) 2008-12-11
KR100988179B1 KR100988179B1 (ko) 2010-10-18

Family

ID=38461262

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020087025336A KR100988179B1 (ko) 2006-04-11 2007-04-10 다중 인증을 바인딩하는 방법 및 장치

Country Status (8)

Country Link
US (1) US8607051B2 (ko)
EP (1) EP2005706B1 (ko)
JP (2) JP4933609B2 (ko)
KR (1) KR100988179B1 (ko)
CN (1) CN101395887B (ko)
ES (1) ES2710666T3 (ko)
TW (1) TW200810487A (ko)
WO (1) WO2007121190A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150084110A (ko) * 2014-01-13 2015-07-22 에스케이플래닛 주식회사 멀티 디바이스 기반의 사용자 인증 방법, 이를 위한 서비스 장치 및 시스템

Families Citing this family (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2023530A1 (en) * 2006-06-01 2009-02-11 NEC Corporation Communication node authentication system and method, and communication node authentication program
US20100070867A1 (en) * 2007-01-19 2010-03-18 Koninklijke Philips Electronics N. V. Network configuration via a wireless device
US8341702B2 (en) * 2007-11-01 2012-12-25 Bridgewater Systems Corp. Methods for authenticating and authorizing a mobile device using tunneled extensible authentication protocol
US8547859B2 (en) * 2007-11-15 2013-10-01 Ubeeairwalk, Inc. System, method, and computer-readable medium for authentication center-initiated authentication procedures for a mobile station attached with an IP-femtocell system
US8705442B2 (en) * 2007-11-15 2014-04-22 Ubeeairwalk, Inc. System, method, and computer-readable medium for mobile station authentication and registration via an IP-femtocell
US20090187978A1 (en) * 2008-01-18 2009-07-23 Yahoo! Inc. Security and authentications in peer-to-peer networks
US8655838B2 (en) * 2008-02-20 2014-02-18 At&T Intellectual Property I, L.P. Selection of peers to cluster within a peer-to-peer network
US8850553B2 (en) * 2008-09-12 2014-09-30 Microsoft Corporation Service binding
US9066232B2 (en) * 2009-06-08 2015-06-23 Qualcomm Incorporated Femtocell access control
US9160545B2 (en) * 2009-06-22 2015-10-13 Beyondtrust Software, Inc. Systems and methods for A2A and A2DB security using program authentication factors
US8863253B2 (en) 2009-06-22 2014-10-14 Beyondtrust Software, Inc. Systems and methods for automatic discovery of systems and accounts
US20110007639A1 (en) * 2009-07-10 2011-01-13 Qualcomm Incorporated Methods and apparatus for detecting identifiers
US20110113146A1 (en) * 2009-11-10 2011-05-12 Li Gordon Yong Dynamic quality of service (qos) setup over wired and wireless networks
CN102196438A (zh) 2010-03-16 2011-09-21 高通股份有限公司 通信终端标识号管理的方法和装置
US9385862B2 (en) * 2010-06-16 2016-07-05 Qualcomm Incorporated Method and apparatus for binding subscriber authentication and device authentication in communication systems
US8839373B2 (en) 2010-06-18 2014-09-16 Qualcomm Incorporated Method and apparatus for relay node management and authorization
US9112905B2 (en) 2010-10-22 2015-08-18 Qualcomm Incorporated Authentication of access terminal identities in roaming networks
WO2012095184A1 (en) * 2011-01-14 2012-07-19 Nokia Siemens Networks Oy External authentication support over an untrusted network
US9668128B2 (en) 2011-03-09 2017-05-30 Qualcomm Incorporated Method for authentication of a remote station using a secure element
JP5962750B2 (ja) * 2012-03-22 2016-08-03 富士通株式会社 アドホックネットワークシステム、ノード、および通信方法
US20130305378A1 (en) * 2012-05-09 2013-11-14 Visa Europe Limited Method and system for establishing trust between a service provider and a client of the service provider
US9954679B2 (en) * 2014-03-05 2018-04-24 Qualcomm Incorporated Using end-user federated login to detect a breach in a key exchange encrypted channel
WO2015139725A1 (en) * 2014-03-17 2015-09-24 Telefonaktiebolaget L M Ericsson (Publ) User identifier based device, identity and activity management system
GB2543072B (en) * 2015-10-07 2021-02-10 Enclave Networks Ltd Public key infrastructure & method of distribution
CN106453415B (zh) * 2016-12-01 2020-09-29 江苏通付盾科技有限公司 基于区块链的设备认证方法、认证服务器及用户设备
US10977361B2 (en) 2017-05-16 2021-04-13 Beyondtrust Software, Inc. Systems and methods for controlling privileged operations
DE102017208735A1 (de) 2017-05-23 2018-11-29 Siemens Aktiengesellschaft Verfahren und Vorrichtung zum Schutz einer Kommunikation zwischen mindestens einer ersten Kommunikationseinrichtung und wenigstens einer zweiten Kommunikationseinrichtung insbesondere innerhalb eines Kommunikationsnetzwerkes einer industriellen Fertigung und/oder Automatisierung
US10965676B2 (en) * 2018-10-02 2021-03-30 Ca, Inc. Peer authentication by source devices
US11528149B2 (en) 2019-04-26 2022-12-13 Beyondtrust Software, Inc. Root-level application selective configuration

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10322328A (ja) * 1997-05-20 1998-12-04 Mitsubishi Electric Corp 暗号通信システム及び暗号通信方法
AU2765699A (en) * 1998-03-20 1999-10-18 Nuvomedia, Inc. Electronic book system
JP2001326632A (ja) 2000-05-17 2001-11-22 Fujitsu Ltd 分散グループ管理システムおよび方法
WO2002057917A2 (en) * 2001-01-22 2002-07-25 Sun Microsystems, Inc. Peer-to-peer network computing platform
JP2002335239A (ja) * 2001-05-09 2002-11-22 Nippon Telegr & Teleph Corp <Ntt> シングルサインオン認証方法及びシステム装置
US7350076B1 (en) * 2001-05-16 2008-03-25 3Com Corporation Scheme for device and user authentication with key distribution in a wireless network
US7373515B2 (en) * 2001-10-09 2008-05-13 Wireless Key Identification Systems, Inc. Multi-factor authentication system
JP3969153B2 (ja) 2002-03-28 2007-09-05 日本電気株式会社 端末認証システム、端末認証装置、および端末認証プログラム
JP4261952B2 (ja) * 2003-03-27 2009-05-13 株式会社富士通ソーシアルサイエンスラボラトリ 携帯機器を用いた身分証明システム及びプログラム
JP2004355562A (ja) * 2003-05-30 2004-12-16 Kddi Corp 機器認証システム
US20050015490A1 (en) * 2003-07-16 2005-01-20 Saare John E. System and method for single-sign-on access to a resource via a portal server
US7509491B1 (en) * 2004-06-14 2009-03-24 Cisco Technology, Inc. System and method for dynamic secured group communication
US20060002557A1 (en) 2004-07-01 2006-01-05 Lila Madour Domain name system (DNS) IP address distribution in a telecommunications network using the protocol for carrying authentication for network access (PANA)
JP2006039206A (ja) * 2004-07-27 2006-02-09 Canon Inc 暗号化装置および復号化装置
US7596690B2 (en) * 2004-09-09 2009-09-29 International Business Machines Corporation Peer-to-peer communications
DE102004045147A1 (de) * 2004-09-17 2006-03-23 Fujitsu Ltd., Kawasaki Einstellungsinformations-Verteilungsvorrichtung, Verfahren, Programm und Medium, Authentifizierungseinstellungs-Transfervorrichtung, Verfahren, Programm und Medium und Einstellungsinformations-Empfangsprogramm
US8166296B2 (en) * 2004-10-20 2012-04-24 Broadcom Corporation User authentication system
US8037514B2 (en) * 2005-03-01 2011-10-11 Cisco Technology, Inc. Method and apparatus for securely disseminating security server contact information in a network
US8006089B2 (en) * 2006-02-07 2011-08-23 Toshiba America Research, Inc. Multiple PANA sessions
US8239671B2 (en) * 2006-04-20 2012-08-07 Toshiba America Research, Inc. Channel binding mechanism based on parameter binding in key derivation

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150084110A (ko) * 2014-01-13 2015-07-22 에스케이플래닛 주식회사 멀티 디바이스 기반의 사용자 인증 방법, 이를 위한 서비스 장치 및 시스템

Also Published As

Publication number Publication date
TW200810487A (en) 2008-02-16
CN101395887A (zh) 2009-03-25
EP2005706A2 (en) 2008-12-24
US20080040606A1 (en) 2008-02-14
WO2007121190A2 (en) 2007-10-25
JP4933609B2 (ja) 2012-05-16
JP2012113723A (ja) 2012-06-14
CN101395887B (zh) 2013-02-13
JP5410499B2 (ja) 2014-02-05
EP2005706B1 (en) 2018-12-12
US8607051B2 (en) 2013-12-10
KR100988179B1 (ko) 2010-10-18
WO2007121190A3 (en) 2008-02-07
JP2009533771A (ja) 2009-09-17
ES2710666T3 (es) 2019-04-26

Similar Documents

Publication Publication Date Title
KR100988179B1 (ko) 다중 인증을 바인딩하는 방법 및 장치
JP6262308B2 (ja) リンク設定および認証を実行するシステムおよび方法
US20190246268A1 (en) Method and system of secured direct link set-up (dls) for wireless networks
US7653200B2 (en) Accessing cellular networks from non-native local networks
RU2374778C2 (ru) Защищенная самонастройка для беспроводной связи
US8726019B2 (en) Context limited shared secret
US8467532B2 (en) System and method for secure transaction of data between a wireless communication device and a server
US7546459B2 (en) GSM-like and UMTS-like authentication in a CDMA2000 network environment
US9668139B2 (en) Secure negotiation of authentication capabilities
US8959333B2 (en) Method and system for providing a mesh key
CN108880813B (zh) 一种附着流程的实现方法及装置
US20120254615A1 (en) Using a dynamically-generated symmetric key to establish internet protocol security for communications between a mobile subscriber and a supporting wireless communications network
Pagliusi et al. PANA/GSM authentication for Internet access
Ntantogian et al. A security protocol for mutual authentication and mobile VPN deployment in B3G networks
Levkowetz Extensible Authentication Protocol (EAP) Key Management Framework By submitting this Internet-Draft, each author represents that any applicable patent or other IPR claims of which he or she is aware have been or will be disclosed, and any of which he or she becomes aware will be disclosed, in accordance with Section 6 of BCP 79.

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20130927

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20140929

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20150930

Year of fee payment: 6

FPAY Annual fee payment

Payment date: 20160929

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20170929

Year of fee payment: 8

FPAY Annual fee payment

Payment date: 20180928

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20190924

Year of fee payment: 10