Claims (23)
1. Способ в сети связи, которая реализует ОАА/ОАНЗ (обобщенную архитектуру аутентификации/обобщенную архитектуру начальной загрузки), и в которой сетевой узел (120) ФСНЗ (функции сервера начальной загрузки) выполняет начальные этапы, по меньшей мере содержащие авторизацию пользовательского объекта ОП (140) и установление по меньшей мере одного ключа защиты, совместно используемого с ОП, содержащего первый ключ Ks и связанный с ним идентификатор B_TID ключа, и по меньшей мере один второй ключ Ks_NAF, полученный из Ks и связанный по меньшей мере с одной функцией сетевого приложения ФСП (130), для улучшенной защиты конфиденциальности и поддержки аутентификации, содержит этапы1. A method in a communication network that implements OAA / OANZ (generalized authentication architecture / generalized bootstrap architecture), and in which the network node (120) FSNZ (functions of the bootstrap server) performs the initial steps, at least containing authorization of the user object OP (140) and establishing at least one security key shared with the OP containing the first key Ks and the associated key identifier B_TID, and at least one second key Ks_NAF obtained from Ks and associated with at least one f The FSP (130) network application function, for improved privacy protection and authentication support, contains the steps
дополнительного генерирования сетевым узлом ФСНЗ ваучера аутентификации, объявляющего, что ОП было аутентифицировано;additional generation by the FSNZ network node of an authentication voucher announcing that the OP has been authenticated;
генерирования по меньшей мере одного идентификатора B_TID_NAF ключа, связанного с упомянутым по меньшей мере одним вторым полученным ключом, причем идентификатор ключа является уникальным для каждой ФСП;generating at least one key identifier B_TID_NAF associated with said at least one second key received, wherein the key identifier is unique to each FSF;
посылки сетевым узлом ФСНЗ идентификаторов B_TID и по меньшей мере одного идентификатора B_TID_NAF на ОП;sending the network node FSNZ identifiers B_TID and at least one identifier B_TID_NAF on OP;
предоставления функцией сетевого приложения ФСП в ответ на обращение ОП за услугами, включающее в себя по меньшей мере один идентификатор B_TID_NAF, по меньшей мере, упомянутого идентификатора B_TID_NAF для ФСНЗ;providing the FSP network application function in response to an OP request for services, including at least one B_TID_NAF identifier of at least said B_TID_NAF identifier for the FSS;
идентификации сетевым узлом ФСНЗ в ответ на упомянутый идентификатор B_TID_NAF ваучера аутентификации ОП для возможности установления статуса аутентификации ОП.identification of the FSNZ network node in response to the said identifier B_TID_NAF of the OP authentication voucher for the possibility of establishing the authentication status of the OP.
2. Способ по п.1, в котором пользовательский объект ОП идентифицируется по интерфейсу Ub между ФСНЗ-ОП упомянутым идентификатором B_TID.2. The method according to claim 1, in which the user object OP is identified by the Ub interface between the FSNZ-OP mentioned identifier B_TID.
3. Способ по п.1, в котором этап посылки идентификатора B_TID ключа и по меньшей мере одного идентификатора B_TID_NAF с ФСНЗ на ОП дополнительно содержит шифрование идентификаторов, используя ключ Ks.3. The method according to claim 1, wherein the step of sending the identifier B_TID of the key and at least one identifier B_TID_NAF from the FSES to the OP further comprises encrypting the identifiers using the key Ks.
4. Способ по п.1, в котором ваучер аутентификации является уникальным для каждой ФСП и идентифицируется упомянутым по меньшей мере одним идентификатором B_TID_NAF.4. The method according to claim 1, in which the authentication voucher is unique to each FSF and is identified by the said at least one identifier B_TID_NAF.
5. Способ по п.1, в котором этап предоставления дополнительно включает в себя предоставление подписи B_TID_NAF, причем подпись создается при помощи ОП, используя ключ Ks, и включается в упомянутое обращение за услугами.5. The method according to claim 1, wherein the step of providing further includes providing a signature of B_TID_NAF, wherein the signature is created by the OP using the key Ks and is included in said request for services.
6. Способ по п.5, в котором подпись включает в себя признак обновленности.6. The method according to claim 5, in which the signature includes a sign of renewal.
7. Способ по п.5, дополнительно содержащий этап проверки ФСНЗ подписи B_TID_NAF.7. The method according to claim 5, further comprising the step of verifying the FSES signature B_TID_NAF.
8. Способ по любому из пп.1-5, дополнительно содержащий этап установления ФСП статуса аутентификации посредством запроса ваучера аутентификации с сетевого узла ФСНЗ.8. The method according to any one of claims 1 to 5, further comprising the step of establishing the FSP authentication status by requesting an authentication voucher from the FSNZ network node.
9. Способ по любому из пп.1-5, дополнительно содержащий этап установления ФСНЗ статуса аутентификации посредством анализа ваучера аутентификации.9. The method according to any one of claims 1 to 5, further comprising the step of establishing an authentication status of the FSN by analyzing the authentication voucher.
10. Способ по любому из пп.1-5, в котором ФСП при упомянутом предоставлении дополнительно включает в себя запрос ключа Ks_NAF.10. The method according to any one of claims 1 to 5, in which the FSF with the said provision further includes requesting a key Ks_NAF.
11. Способ по любому из пп.1-5, в котором ваучер аутентификации включает в себя информацию о, по меньшей мере, одном из: времени достоверности, времени для аутентификации и способа аутентификации.11. The method according to any one of claims 1 to 5, in which the authentication voucher includes information about at least one of: validity time, time for authentication, and authentication method.
12. Способ по п.8, дополнительно содержащий этапы12. The method of claim 8, further comprising stages
представления ФСП для сетевого узла ФСНЗ дополнительных требований для подтверждения достоверности авторизации;submission of FSP for the FSNZ network node of additional requirements to confirm the authenticity of authorization;
проверки ФСНЗ для ФСП, какие из дополнительных требований выполнены.inspections of the Federal Security Service for the Federal Tariff Service, which of the additional requirements are met.
13. Способ по любому из пп.1-3, дополнительно содержащий этап посылки ФСНЗ на ОП ваучера аутентификации совместно с посылкой идентификаторов или отдельно от них.13. The method according to any one of claims 1 to 3, further comprising the step of sending the FSNS to the OP authentication voucher, together with sending identifiers or separately from them.
14. Способ по п.13, в котором ваучер аутентификации выполнен уникальным для каждой ФСП и идентифицируется упомянутым по меньшей мере одним идентификатором B_TID_NAF.14. The method according to item 13, in which the authentication voucher is unique for each FSF and is identified by the mentioned at least one identifier B_TID_NAF.
15. Способ по п.14, в котором ваучер аутентификации выполнен уникальным посредством шифрования его ФСНЗ, используя ключ Ks и выбранное случайное число (Rand), различное для каждой ФСП, по формуле Encr(Ks, ваучер, Rand), где Encr представляет собой функцию шифрования, и в котором упомянутый способ дополнительно содержит установление статуса аутентификации посредством15. The method according to 14, in which the authentication voucher is unique by encrypting its FSS using the key Ks and a selected random number (Rand), different for each FSP, according to the formula Encr (Ks, voucher, Rand), where Encr is an encryption function, and wherein said method further comprises establishing an authentication status by
посылки зашифрованного ваучера аутентификации ФСНЗ;sending encrypted FSNZ authentication voucher;
расшифрования ФСНЗ ваучера аутентификации и проверки его достоверности;decryption FSNZ voucher authentication and verification of its authenticity;
выбора ФСНЗ нового случайного числа (Rand2) и повторного шифрования ваучера аутентификации во второй раз ключом Ks следующим образом: Encr(Ks, Encr(Ks, ваучер, Rand2));selecting a new random number from the Federal Security Service (Rand2) and re-encrypting the authentication voucher for the second time with the key Ks as follows: Encr (Ks, Encr (Ks, voucher, Rand2));
возврата ФСНЗ повторно зашифрованного ваучера аутентификации на ОП через ФСП;return of the FSNZ re-encrypted authentication voucher to the OP through the FSF;
расшифрования ОП принятого ваучера аутентификации один раз для получения: Encr(Ks, ваучер, Rand2);decrypting the OP of the received authentication voucher once to receive: Encr (Ks, voucher, Rand2);
использования ОП расшифрованного один раз ваучера аутентификации при последующем обращении к ФСП.use of OP decrypted authentication voucher once upon subsequent access to the FSF.
16. В сети связи, которая реализует архитектуру ОАА/ОАНЗ, сетевой узел ФСНЗ (120) выполняет аутентификацию пользовательского объекта ОП (140) и согласовывает совместно используемый ключ Ks с ОП (140), причем сетевой узел ФСНЗ (120) дополнительно содержит16. In a communication network that implements the OAA / OANZ architecture, the network node FSNZ (120) authenticates the user object OP (140) and negotiates a shared key Ks with OP (140), and the network node FSNZ (120) further comprises
средство (320) для генерирования идентификатора B_TID, связанного с Ks;means (320) for generating a B_TID associated with Ks;
средство (320) для генерирования по меньшей мере одного полученного ключа Ks_NAF, связанного с по меньшей мере одной функцией сетевого приложения ФСП (130) и для генерирования по меньшей мере соответствующего идентификатора B_TID_NAF, причем идентификатор является уникальным для каждой ФСП (130);means (320) for generating at least one received key Ks_NAF associated with at least one function of the network application of the FSF (130) and for generating at least the corresponding identifier B_TID_NAF, the identifier being unique for each FSF (130);
средство (330) для генерирования ваучера аутентификации, объявляющего, что ОП было аутентифицировано;means (330) for generating an authentication voucher announcing that the OP has been authenticated;
средство (360) для хранения ключей, идентификаторов ключей и ваучера аутентификации и для связывания этих объектов с ОП;means (360) for storing keys, key identifiers and an authentication voucher and for linking these objects to the OP;
средство (310) для посылки B_TID и по меньшей мере одного B_TID_NAF на ОП;means (310) for sending a B_TID and at least one B_TID_NAF to an OP;
средство (360) для извлечения, в ответ на прием по меньшей мере одного идентификатора B_TID_NAF, относящегося к оборудованию пользователя ОП, соответствующего ваучера аутентификации для возможности установления статуса аутентификации ОП.means (360) for retrieving, in response to receiving at least one identifier B_TID_NAF, related to the user equipment of the OP, the corresponding authentication voucher for the possibility of establishing the authentication status of the OP.
17. Сетевой узел по п.16, дополнительно содержащий средство (380) для шифрования с использованием ключа Ks и алгоритма шифрования (Encr).17. The network node according to clause 16, further comprising means (380) for encryption using the key Ks and the encryption algorithm (Encr).
18. Сетевой узел по п.17, содержащий средство (390) для генерирования случайного числа Rand, и в котором упомянутое средство (380) для шифрования используется для шифрования ваучера аутентификации в виде Encr(Ks, ваучер, Rand).18. The network node according to claim 17, comprising means (390) for generating a random Rand number, and wherein said encryption means (380) is used to encrypt the authentication voucher in the form of Encr (Ks, voucher, Rand).
19. Сетевой узел по п.16, содержащий средство (310) для приема и ответа на запрос от ФСП, касающийся подробностей аутентификации пользовательского объекта ОП, полученных от средства (340), анализирующего ваучер аутентификации.19. The network node according to clause 16, comprising means (310) for receiving and responding to a request from the FSF regarding authentication details of the user object of the UE received from means (340) that analyzes the authentication voucher.
20. Сетевой узел по п.19, в котором упомянутый запрос касается любого или всех из времени для аутентификации, способа аутентификации или времени действия аутентификации.20. The network node of claim 19, wherein said request relates to any or all of an authentication time, an authentication method, or an authentication validity time.
21. Система обеспечения улучшенной защиты конфиденциальности и аутентификации в сети связи, реализующей инфраструктуру (100) ОАА/ОАНЗ, причем система содержит21. A system for providing improved protection of confidentiality and authentication in a communication network implementing the OAA / OANZ infrastructure (100), the system comprising
функцию сервера начальной загрузки ФСНЗ (120), которая предоставляет ваучер аутентификации, объявляющий аутентификацию пользовательского объекта ОП (140), и идентификаторы B_TID_NAF ключей Ks_NAF, связанных с по меньшей мере одной функцией сетевого приложения ФСП, причем идентификаторы являются уникальными для каждой ФСП (130);the function of the FSNZ bootstrap server (120), which provides an authentication voucher declaring the authentication of the user OP object (140), and the identifiers B_TID_NAF of the keys Ks_NAF associated with at least one function of the network application of the FSF, and the identifiers are unique for each FSF (130) ;
интерфейс Ub между ФСНЗ (130) и ОП (140), который дополнительно защищен посредством шифрования с использованием ключа Ks, совместно используемого ФСНЗ (130) и ОП (140);an Ub interface between the FSNZ (130) and the OP (140), which is further protected by encryption using the key Ks shared by the FSNZ (130) and the OP (140);
интерфейс Ua между ОП (140) и ФСП (130), который дополнительно защищен от атак соединением с подстановкой посредством подписания сообщений, используя ключ Ks и признак обновленности;the Ua interface between the OP (140) and the FSF (130), which is additionally protected against attacks by a wildcard connection by signing messages using the Ks key and the update sign;
по меньшей мере одну функцию сетевого приложения ФСП (130), предназначенную для связи с ФСНЗ (120) в отношении достоверности ваучера аутентификации так, чтобы предотвратить сговор нескольких ФСП (130) с целью отслеживания пользовательского объекта ОП (140).at least one function of the network application FSP (130), designed to communicate with the Federal Security Service (120) regarding the validity of the authentication voucher so as to prevent collusion of several FSP (130) in order to track the user object OP (140).
22. Система по п.21, в которой дополнительно содержится22. The system of claim 21, which further comprises
средство (330) для ограничения информации в ваучере аутентификации только объявлением, что имела место аутентификация;means (330) for restricting information in the authentication voucher only by declaring that authentication has taken place;
средство для предоставления ФСП (130) для задания дополнительных требований, относящихся к аутентификации пользователя, и средство (340) на ФСНЗ (130) для проверки выполнения каждого дополнительного требования.means for providing the FSF (130) for setting additional requirements related to user authentication, and means (340) for the FSES (130) to verify that each additional requirement is met.
23. Система по п.21, в которой дополнительно содержится средство (380) для шифрования ваучера аутентификации с использованием ключа Ks и в зависимости от случайного числа так, чтобы формировать уникальный ваучер аутентификации для каждой ФСП (130).
23. The system according to item 21, which further comprises means (380) for encrypting the authentication voucher using the key Ks and depending on a random number so as to generate a unique authentication voucher for each FSP (130).