Спосіб та пристрій для зв’язування аутентифікації абонента та аутентифікації пристрою в системах зв’язку
Формула / Реферат
1. Спосіб, що діє в пристрої для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить:
виконання аутентифікації абонента з мережним об'єктом на основі ключа аутентифікації абонента;
виконання аутентифікації пристрою з мережним об'єктом для згаданого пристрою і отримання даних аутентифікацї пристрою;
генерацію захисного ключа на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
використання захисного ключа, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею.
2. Спосіб за п. 1, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між пристроєм і мережним об'єктом.
3. Спосіб за п. 1, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між пристроєм і мережним об'єктом.
4. Спосіб за п. 1, в якому аутентифікація абонента виконується першим сервером аутентифікації, який є частиною мережного об'єкта, і аутентифікація пристрою виконується другим сервером аутентифікації, який є частиною мережного об'єкта.
5. Спосіб за п. 1, в якому аутентифікація пристрою виконується за допомогою:
прийому даних від мережного об'єкта, які зашифровані за допомогою відкритого ключа пристрою;
використання відповідного секретного ключа, щоб розшифрувати зашифровані дані; і
подальшого доказу мережному об'єкту того, що згаданий пристрій має відомості про дані.
6. Спосіб за п. 1, який додатково містить:
відправку запиту про приєднання від пристрою до мережного об'єкта, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою.
7. Спосіб за п. 1, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента.
8. Спосіб за п. 1, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані.
9. Спосіб за п. 1, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними.
10. Спосіб за п. 1, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою.
11. Спосіб за п. 10, в якому захисний ключ також являє собою функцію одноразового слова шифрування мережі та одноразового слова шифрування пристрою.
12. Спосіб за п. 1, в якому пристрій являє собою ретрансляційний вузол, який виступає як термінал доступу до мережного об'єкта, а також виступає як мережний пристрій для одного або декількох терміналів доступу.
13. Спосіб за п. 1, в якому захисний ключ окремо генерується пристроєм і мережним об'єктом.
14. Спосіб за п. 1, який додатково містить:
забезпечення специфічного для абонента ключа як частини угоди на обслуговування, при цьому специфічний для абонента ключ використовується для аутентифікації абонента; і
забезпечення специфічного для пристрою ключа в пристрої при виробництві, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою.
15. Пристрій для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить:
інтерфейс зв'язку; і
схему обробки, з'єднану з інтерфейсом зв'язку, при цьому схема обробки сконфігурована, щоб:
виконувати аутентифікацію абонента з мережним об'єктом на основі ключа аутентифікації абонента;
виконувати аутентифікацію пристрою з мережним об'єктом для згаданого пристрою і отримувати дані аутентифікацї пристрою;
генерувати захисний ключ на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею.
16. Пристрій за п. 15, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між пристроєм і мережним об'єктом.
17. Пристрій за п. 15, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між пристроєм і мережним об'єктом.
18. Пристрій за п. 15, в якому аутентифікація пристрою виконується за допомогою:
прийому даних від мережного об'єкта, які зашифровані за допомогою відкритого ключа пристрою;
використання відповідного секретного ключа, щоб розшифрувати зашифровані дані; і
подальшого доказу мережному об'єкту того, що пристрій має відомості про дані.
19. Пристрій за п. 15, який додатково містить:
відправку запиту про приєднання від пристрою до мережного об'єкта з використанням інтерфейсу зв'язку, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою.
20. Пристрій за п. 15, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента.
21. Пристрій за п. 15, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані.
22. Пристрій за п. 15, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою, захищеному обмінюванні даними.
23. Пристрій за п. 15, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою.
24. Пристрій за п. 15, причому пристрій являє собою ретрансляційний вузол, який виступає як термінал доступу до мережного об'єкта, а також виступає як мережний пристрій для одного або декількох терміналів доступу.
25. Пристрій за п. 15, який додатково містить:
знімний запам'ятовуючий пристрій, який з'єднаний зі схемою обробки і зберігає специфічний для абонента ключ, що використовується для аутентифікації абонента; і
захищений запам'ятовуючий пристрій, який з'єднаний зі схемою обробки і зберігає специфічний для пристрою ключ, що використовується для аутентифікації пристрою.
26. Пристрій для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить:
засіб для виконання аутентифікації абонента з мережним об'єктом на основі ключа аутентифікації абонента;
засіб для виконання аутентифікації пристрою з мережним об'єктом для згаданого пристрою і отримання даних аутентифікацї пристрою;
засіб для генерації захисного ключа на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
засіб для використання захисного ключа, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею.
27. Пристрій за п. 26, який додатково містить:
засіб для зберігання специфічного для абонента ключа, що використовується для аутентифікації абонента; і
засіб для зберігання специфічного для пристрою ключа, що використовується для аутентифікації пристрою.
28. Зчитуваний процесором носій зберігання, який містить інструкції, що діють в пристрої для зв'язування аутентифікації абонента і аутентифікації пристрою, які при виконанні процесором спонукають процесор:
виконувати аутентифікацію абонента з мережним об'єктом на основі ключа аутентифікації абонента;
виконувати аутентифікацію пристрою з мережним об'єктом для згаданого пристрою і отримувати дані аутентифікацї пристрою;
генерувати захисний ключ на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею.
29. Спосіб, що діє в мережному об'єкті, для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить:
виконання аутентифікації абонента з пристроєм на основі ключа аутентифікації абонента;
виконання аутентифікації пристрою для згаданого пристрою; і
отримання даних аутентифікації пристрою;
генерацію захисного ключа, на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
використання захисного ключа, щоб забезпечити зв'язок між мережним об'єктом і пристроєм.
30. Спосіб за п. 29, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між мережним об'єктом і пристроєм.
31. Спосіб за п. 29, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між мережним об'єктом і пристроєм.
32. Спосіб за п. 29, в якому аутентифікація пристрою включає в себе:
прийом сертифіката від пристрою;
перевірку сертифіката, асоційованого з пристроєм, на предмет того, що він не був анульований.
33. Спосіб за п. 29, який додатково містить:
прийом запиту про приєднання від пристрою, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою.
34. Спосіб за п. 29, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента.
35. Спосіб за п. 29, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані.
36. Спосіб за п. 29, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними.
37. Спосіб за п. 29, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою.
38. Спосіб за п. 29, в якому захисний ключ окремо генерується пристроєм і мережним об'єктом.
39. Спосіб за п. 29, який додатково містить:
отримання специфічного для абонента ключа як частини угоди на обслуговування, при цьому специфічний для абонента ключ використовується для аутентифікації абонента; і
отримання специфічного для пристрою ключа для згаданого пристрою, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою.
40. Мережний об'єкт для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить:
інтерфейс зв'язку; і
схему обробки, з'єднану з інтерфейсом зв'язку, при цьому схема обробки сконфігурована, щоб:
виконувати аутентифікацію абонента з пристроєм на основі ключа аутентифікації абонента;
виконувати аутентифікацію пристрою для згаданого пристрою і отримувати дані аутентифікацї пристрою;
генерувати захисний ключ, на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
використовувати захисний ключ, щоб забезпечити зв'язок між мережним об'єктом і пристроєм.
41. Мережний об'єкт за п. 40, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між мережним об'єктом і пристроєм.
42. Мережний об'єкт за п. 40, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між мережним об'єктом і пристроєм.
43. Мережний об'єкт за п. 40, в якому схема обробки додатково сконфігурована, щоб:
приймати запит про приєднання від пристрою, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою.
44. Мережний об'єкт за п. 40, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента.
45. Мережний об'єкт за п. 40, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані.
46. Мережний об'єкт за п. 40, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними.
47. Мережний об'єкт за п. 40, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою.
48. Мережний об'єкт за п. 40, який додатково містить:
схему обробки для отримання специфічного для абонента ключа як частини угоди на обслуговування, при цьому специфічний для абонента ключ використовується для аутентифікації абонента; і
схему обробки для отримання специфічного для пристрою ключа для згаданого пристрою, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою.
49. Мережний об'єкт для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить:
засіб для виконання аутентифікації абонента з пристроєм на основі ключа аутентифікації абонента;
засіб для виконання аутентифікації пристрою для згаданого пристрою і отримання даних аутентифікації пристрою;
засіб для генерації захисного ключа, на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
засіб для використання захисного ключа, щоб забезпечити зв'язок між мережним об'єктом і пристроєм.
50. Зчитуваний процесором носій для зберігання, який містить інструкції, що діють в мережному об'єкті, для зв'язування аутентифікації абонента і аутентифікації пристрою, які при виконанні процесором спонукають процесор:
виконувати аутентифікацію абонента з пристроєм на основі ключа аутентифікації абонента;
виконувати аутентифікацію пристрою для згаданого пристрою і отримувати дані аутентифікацї пристрою;
генерувати захисний ключ на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і
використовувати захисний ключ, щоб забезпечити зв'язок між мережним об'єктом і пристроєм.
Текст
Реферат: Забезпечений спосіб аутентифікації між пристроєм (таким як клієнтський пристрій або термінал доступу) і мережним об'єктом. Знімний запам'ятовуючий пристрій може бути з'єднаний з пристроєм і зберігати специфічний для абонента ключ, який може використовуватися для аутентифікації абонента. Захищений запам'ятовуючий пристрій може бути з'єднаний з пристроєм і зберігає специфічний для пристрою ключ, який може використовуватися для аутентифікації пристрою. Аутентифікація абонента може виконуватися між пристроєм і мережиим об'єктом. Аутентифікація пристрою також може виконуватися між пристроєм і мережним об'єктом. Потім може генеруватися захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. Захисний ключ може використовуватися, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. UA 106299 C2 (12) UA 106299 C2 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 За даною заявкою заявляється пріоритет відповідно до попередньої патентної заявки США № 61/355,423, озаглавленої "Пристрій та спосіб для аутентифікації пристроїв у системах 3GPP", поданої 16 червня 2010 року, права на яку передані правонаступнику даної заявки, і включеної в даний документ за допомогою посилання. Рівень техніки Галузь техніки, до якої належить винахід Різні ознаки стосуються систем зв'язку, а точніше, аутентифікації пристроїв, таких як ретрансляційні вузли та пристрої міжмашинного зв'язку, що використовуються в дротових і/або бездротових системах зв'язку. Рівень техніки У документі WO 2007121190 A2 описані спосіб і пристрій для зв'язування множини аутентифікацій для однорангового вузла мережі. Множина аутентифікацій для однорангового вузла грунтується на унікальному ідентифікаторі для однорангового вузла. Унікальний ідентифікатор може бути псевдовипадковим вузлом і може обмінюватися захищеним чином між однорангові вузлом, сервером аутентифікації і аутентифікатором, щоб запобігти атаці типу "man-in-the-middle" (атака через посередника). Даними для всіх аутентифікацій, зв'язаних з унікальним ідентифікатором, можна обмінюватися захищеним чином, на основі одного або декількох криптографічних ключів, які генеруються всіма або піднабором цих аутентифікацій. Множина рівнів захисту може бути використана для множини аутентифікацій для однорангового вузла. Ad-hoc вузол може виконувати першу аутентифікацію з першим сервером аутентифікації і отримувати перший криптографічний ключ і може також виконувати другу аутентифікацію і першим сервером аутентифікації або другим сервером аутентифікації і отримувати другий криптографічний ключ. Після цього спеціальний робочий вузол може обмінюватися даними безпечним чином за допомогою двох ключів з використанням вкладеного захисту. У документі ЕР 1739903 А1 розкриті спосіб аутентифікації і система зв'язку, в яких для протидії атакам типу "man-in-the-middle" мобільна станція (MS), базова станція (BS) і сервер авторизації, аутентифікації та обліку (ААА) отримують перший задавальний ключ сесії (MSK) по протоколу розширеної аутентифікації (ЕАР) у схемі EAP-в-EAP, перший MSK є аутентифікацією пристрою. Після першої ЕАР аутентифікації, вони отримують другий MSK для MS в схемі EAP-вEAP, причому другий MSK є аутентифікацією користувача. Хоча рішення попереднього рівня техніки забезпечують захист від згаданого типу атак, разом з тим, бажано подальше підвищення ефективності захисту, зважаючи що залишається вразливість захисту, через можливість отримання доступу до захисних ключів пристроїв, як зазначено вище. Сучасні бездротові мережі можуть включати в себе ретрансляційні вузли і/або термінали доступу, що в сукупності називаються пристроями. Щоб такий пристрій функціонував належним чином, він часто забезпечується/конфігурується операційними та абонентськими захисними обліковими даними до того, як вводиться в експлуатацію. Такі абонентські захисні облікові дані можуть використовуватися, наприклад, для аутентифікації пристрою до надання бездротового обслуговування або доступу і в деяких випадках можуть зберігатися в модулі, який постійно з'єднаний зі своїм головним пристроєм. Існує ризик того, що абонентські захисні облікові дані можуть бути видалені з аутентифікованого пристрою і переміщені на неавторизований пристрій. У випадку з ретрансляційним вузлом, це може дати можливість неавторизованому ретрансляційному вузлу таємно одержати доступ до передач, наприклад, між вузлом доступу та одним або декількома терміналами доступу і/або одержати безкоштовний доступ до мережних послуг. Цей ризик уразливості також існує у випадку з пристроями міжмашинного зв'язку (М2М) в тому, що параметри дійсних абонентських облікових даних (наприклад, угода про аутентифікацію і ключі - (АКА) на знімній універсальній карті на основі інтегральної мікросхеми (UICC)) М2М пристрою можуть бути переміщені на інший пристрій з метою одержання безкоштовного мережного доступу. Зв'язана з цим уразливість існує в тому, що не обов'язково мати фізичний доступ до самого М2М пристрою. Доступу до даних (наприклад, захисні ключі, що одержуються в результаті аутентифікації), що проходять по інтерфейсу М2М пристрою (наприклад, від головного пристрою до інтерфейсу UICC), достатньо для одержання доступу до захисних ключів і розкриття даних, захищених вищезазначеними ключами. Подібна проблема актуальна, якщо оператор бажає контролювати те, яким пристроям дозволений доступ до їх мережі. Отже, існує потреба в забезпеченні додаткової безпеки пристроїв, щоб вжити заходів відносно цієї та інших уразливостей і ризиків. Розкриття винаходу 1 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 Забезпечені спосіб та пристрій для захисту пристрою шляхом зв'язування аутентифікації абонента та аутентифікації пристрою, щоб генерувати захисний ключ. Відповідно до першого аспекту, забезпечений здійснюваний в пристрої спосіб, який зв'язує абонентську аутентифікацію та аутентифікацію пристрою. Пристрій може починати роботу шляхом відправки запиту на підключення мережному об'єкту, при цьому запит на підключення включає в себе індикацію можливостей аутентифікації пристрою у даного пристрою. Аутентифікація абонента може виконуватися пристроєм з мережним об'єктом. Наприклад, аутентифікація абонента може основуватися на обміні даними угоди про ключ аутентифікації між пристроєм та мережним об'єктом. Пристрій також може виконувати аутентифікацію пристрою з мережним об'єктом. Наприклад, аутентифікація пристрою може основуватися на обміні даними за схемою "запит-відповідь" між пристроєм та мережним об'єктом. Захисний ключ може генеруватися так, що буде зв'язувати абонентську аутентифікацію та аутентифікацію пристрою. Захисний ключ може генеруватися як функція від щонайменше першого ключа, одержаного при аутентифікації абонента, і другого ключа, одержаного при аутентифікації пристрою. Крім того, захисний ключ також може бути функцією одноразового слова шифрування мережі та одноразового слова шифрування пристрою. Захисний ключ може використовуватися, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. Потрібно зазначити, що захисний ключ може генеруватися окремо пристроєм і мережним об'єктом, так що він не передається за допомогою бездротового зв'язку. Відповідно до одного варіанта реалізації, аутентифікація абонента може виконуватися за допомогою першого сервера аутентифікації, який є частиною мережного об'єкта, тоді як аутентифікація пристрою може виконуватися за допомогою другого сервера аутентифікації, який є частиною мережного об'єкта. В одному прикладі аутентифікація пристрою може виконуватися шляхом використання секретного ключа, що спільно використовується, щоб зашифрувати/розшифрувати визначені обміни даними між пристроєм та мережним об'єктом. В іншому прикладі аутентифікація пристрою може виконуватися шляхом: (а) прийому даних від мережного об'єкта, які зашифровані за допомогою відкритого ключа пристрою; (b) використання відповідного секретного ключа, щоб розшифрувати зашифровані дані; і/або (с) подальшого доказу мережному об'єкту того, що пристрій має відомості про ці дані. Відповідно до одного аспекту, аутентифікація пристрою може бути захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента. У різних варіантах реалізації аутентифікація абонента та аутентифікація пристрою можуть одночасно виконуватися при обмінах комбінованими повідомленнями, або аутентифікація абонента може здійснюватися при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними. Відповідно до одного аспекту, специфічний для абонента ключ може бути забезпечений для пристрою як частина угоди на обслуговування. Аналогічно, специфічний для пристрою ключ може бути забезпечений пристрою при виробництві, причому специфічний для пристрою ключ використовується для аутентифікації пристрою. В одному варіанті реалізації пристрій може бути ретрансляційним вузлом, який виступає як термінал доступу до мережного об'єкта, а також виступає як мережний пристрій для одного або декількох терміналів доступу. В іншому варіанті реалізації пристрій може бути терміналом доступу. Відповідно до одного прикладу, пристрій може включати в себе інтерфейс зв'язку, з'єднаний зі схемою обробки. Схема обробки може бути сконфігурована для того, щоб: (а) виконувати аутентифікацію абонента з мережним об'єктом; (b) виконувати аутентифікацію пристрою з мережним об'єктом для згаданого пристрою; (с) генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і/або (d) використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. Відповідно ще до одного прикладу, може бути забезпечений зчитуваний процесором носій, який містить інструкції, що працюють в пристрої. Виконання процесором цих інструкцій може спонукати процесор: (а) виконувати аутентифікацію абонента з мережним об'єктом; (b) виконувати аутентифікацію пристрою з мережним об'єктом для згаданого пристрою; (с) генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і/або (d) використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. Відповідно ще до одного аспекту, забезпечений спосіб, що працює в мережному об'єкті. Мережний об'єкт може приймати запит на підключення від пристрою, при цьому запит на підключення включає в себе індикацію можливостей аутентифікації пристрою у даного 2 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 пристрою. Мережний об'єкт може виконувати аутентифікацію абонента з пристроєм. Також мережний об'єкт може виконувати аутентифікацію пристрою для згаданого пристрою. Потім мережним об'єктом може генеруватися захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. Захисний ключ може використовуватися, щоб забезпечити зв'язок між мережним об'єктом і пристроєм. Потрібно зазначити, що, для запобігання передачі захисного ключа бездротовим зв'язком, захисний ключ може генеруватися окремо пристроєм і мережним об'єктом. В одному прикладі аутентифікація абонента може бути основана на обміні даними угоди про ключ аутентифікації між мережним об'єктом і пристроєм. Аутентифікація пристрою може основуватися на обміні даними за схемою "запит-відповідь" між мережним об'єктом і пристроєм. В одному варіанті реалізації аутентифікація пристрою може включати в себе: (а) прийом сертифіката від пристрою; і (b) перевірку сертифіката, асоційованого з пристроєм, на предмет того, що він не був анульований. В одному варіанті реалізації, щоб запобігти несанкціонованому втручанню під час процесу аутентифікації пристрою, аутентифікація пристрою може бути захищена щонайменше одним ключем, згенерованим раніше під час процесу аутентифікації абонента. Відповідно до декількох прикладів, аутентифікація абонента та аутентифікація пристрою можуть виконуватися одночасно при обмінах комбінованими повідомленнями, або аутентифікація може здійснюватися при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними. В іншому прикладі захисний ключ може генеруватися як функція від щонайменше першого ключа, одержаного при аутентифікації абонента, і другого ключа, одержаного при аутентифікації пристрою. В одному варіанті реалізації мережний об'єкт може мати специфічний для абонента ключ як частину угоди на обслуговування. При цьому специфічний для абонента ключ використовується для аутентифікації абонента. Подібним чином мережний об'єкт може мати специфічний для пристрою ключ для пристрою, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою. В одному варіанті реалізації мережний об'єкт може містити інтерфейс зв'язку, з'єднаний зі схемою обробки. Схема обробки може бути сконфігурована для того, щоб: (а) виконувати аутентифікацію абонента з пристроєм; (b) виконувати аутентифікацію пристрою для даного пристрою; (с) генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і/або (d) використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. В одному варіанті реалізації забезпечений зчитуваний процесором носій, який містить інструкції, що працюють в пристрої. Виконання процесором цих інструкцій може спонукати процесор: (а) виконувати аутентифікацію абонента з пристроєм; (b) виконувати аутентифікацію пристрою для даного пристрою; (с) генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і/або (d) використовувати захисний ключ, щоб забезпечити зв'язок між мережним об'єктом і пристроєм. Короткий опис креслень Фіг. 1 являє собою блок-схему, що ілюструє систему бездротового зв'язку, в якій різні типи бездротових пристроїв можуть аутентифікуватися базовою мережею для одержання обслуговування. Фіг. 2 ілюструє загальний підхід до зв'язування аутентифікації пристрою та аутентифікації абонента. Фіг. 3 (що містить фіг. 3А та фіг. 3В) ілюструє приклад того, як ієрархія ключів, основана на аутентифікації абонента, може бути модифікована, щоб надати аутентифікації пристрою. Фіг. 4 ілюструє зразковий стек протоколів, який може застосовуватися в пристрої, що працює в мережі з комутацією пакетів. Фіг. 5 являє собою блок-схему, що ілюструє мережну систему, в якій можуть генеруватися різні аутентифікаційні і/або захисні ключі, проілюстровані на фіг. 3 та фіг. 4. Фіг. 6 являє собою блок-схему, що ілюструє вибрані компоненти бездротового пристрою, які можуть бути сконфігуровані, щоб зв'язувати аутентифікацію абонента та аутентифікацію пристрою. Фіг. 7 являє собою блок-схему послідовності дій, що ілюструє приклад способу, який працює в бездротовому пристрої, щоб генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. 3 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 Фіг. 8 являє собою блок-схему, що ілюструє вибрані компоненти мережного об'єкта, які можуть бути сконфігуровані, щоб зв'язувати аутентифікацію абонента та аутентифікацію пристрою. Фіг. 9 являє собою блок-схему послідовності дій, що ілюструє приклад способу, який працює в мережному об'єкті, щоб генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. Фіг. 10 ілюструє перший зразковий спосіб генерації захисного ключа шляхом зв'язування аутентифікації абонента та аутентифікації пристрою. Фіг. 11 ілюструє другий зразковий спосіб генерації захисного ключа шляхом зв'язування аутентифікації абонента та аутентифікації пристрою. Фіг. 12 ілюструє третій зразковий спосіб генерації захисного ключа шляхом зв'язування аутентифікації абонента та аутентифікації пристрою. Здійснення винаходу У наступному описі представлені конкретні деталі, щоб забезпечити повне розуміння описаних варіантів реалізації. Однак фахівцям в даній галузі техніки буде зрозуміло, що різні варіанти реалізації можуть здійснюватися без цих конкретних деталей. Наприклад, схеми можуть бути показані в блок-схемах, щоб не ускладнювати розуміння варіантів реалізації винаходу додаванням необов'язкових деталей. В інших випадках добре відомі схеми, структури і технології можуть бути показані детально, щоб не ускладнювати розуміння описаних варіантів реалізації винаходу. Слово "зразковий" використовується тут в значенні "такий, що служить прикладом, окремим випадком або ілюстрацією". Будь-який варіант реалізації, описаний тут як "зразковий", не обов'язково повинен бути витлумачений як переважний або більш вигідний в порівнянні з іншими варіантами реалізації. Також термін "варіанти реалізації" не обов'язково має на увазі, що всі варіанти реалізації включають в себе розглянуті ознаки, переваги або режими роботи. Короткий опис Забезпечений спосіб аутентифікації між пристроєм (таким як клієнтський пристрій або термінал доступу) та мережним об'єктом. Знімний запам'ятовуючий пристрій може з'єднуватися з пристроєм і зберігати специфічний для абонента ключ, який може використовуватися для аутентифікації абонента. Захищений запам'ятовуючий пристрій може з'єднуватися з пристроєм і зберігати специфічний для абонента ключ, який може використовуватися для аутентифікації абонента. Аутентифікація абонента може здійснюватися між пристроєм і мережним об'єктом. Аутентифікація пристрою для пристрою також може виконуватися з мережним об'єктом. Потім може генеруватися захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. Тобто ключ, дані і/або інформація про процес аутентифікації абонента і ключ, дані і/або інформація про процес аутентифікації пристрою можуть комбінуватися, щоб генерувати (складений) захисний ключ. Захисний ключ може використовуватися, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. Зразкове мережне середовище Фіг. 1 являє собою блок-схему, що ілюструє систему бездротового зв'язку, в якій різні типи бездротових пристроїв можуть аутентифікуватися базовою мережею для одержання обслуговування. Ця система бездротового зв'язку може бути, наприклад, такою, що легко стикується, або сумісною мережею універсальної системи мобільних телекомунікацій (UMTS) або сумісною мережею глобальної системи мобільного зв'язку (GSM) або сумісною мережею глобальної системи мобільного зв'язку (GSM). Незважаючи на те, що деякі з описаних тут прикладів можуть належати до мережі стандарту "Довгостроковий розвиток мереж зв'язку" (LTE), різні ознаки, описані тут, можуть бути застосовні також і в інших мережах. Система може включати в себе один або декілька пристроїв 101, таких як термінали 103/104 доступу і ретрансляційний вузол 102, які підтримують зв'язок з вузлом 106 доступу. Ретрансляційний вузол 102 може сприяти здійсненню бездротових передач між мережею 106/108 бездротового зв'язку і одним або декількома терміналами 104 доступу. Система бездротового зв'язку (наприклад, мережа стандарту "Довгостроковий розвиток мереж зв'язку" (LTE), мережа стандарту LTE-Advanced тощо) може містити базову мережу 108 і один або декілька вузлів 106 доступу. Вузол 106 доступу може з'єднуватися з базовою мережею 108 за допомогою зворотної лінії (наприклад, дротове з'єднання). Базова мережа 108 може включати в себе, наприклад, об'єкти 110 керування мобільним зв'язком (ММЕ), сервер 112 домашніх абонентів (HSS) і/або інші компоненти. В одному прикладі об'єкт 110 керування мобільним зв'язком (ММЕ) може бути включений в активацію/деактивацію каналу-носія для пристрою 101, ретрансляційного вузла 102 і/або терміналів 103/104 доступу (які тут і далі загалом називаються "пристрій") і підтримку 4 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 аутентифікації шляхом взаємодії із сервером 112 домашніх абонентів (HSS). ММЕ 110 також може генерувати і/або виділяти часові ідентифікатори для пристроїв (наприклад, пристрою 101, ретрансляційному вузлу 102, терміналам 103/104 доступу тощо). Він може перевіряти авторизацію пристрою, щоб облаштуватися (наприклад, одержати обслуговування, приєднатися, встановити лінію зв'язку) в мережі наземного відкритого мобільного зв'язку (PLMN) і може забезпечувати дотримання обмежень роумінгу пристрою. ММЕ 110 може бути кінцевою точкою в мережі для захисту шифрування/цілісності для сигналізації шару, не зв'язаного з наданням доступу (NAS), і автоматичного керування захисними ключами. ММЕ 110 також може виконувати процедури відстеження і/або персонального виклику (включаючи повторні передачі) для пристроїв, з'єднаних з базовою мережею 108. Сервер 112 домашніх абонентів (HSS) являє собою головну абонентську базу даних, яка підтримує мережні об'єкти, фактично керуючі пристроями. Вона може містити зв'язану з абонентською підпискою інформацію (профілі абонентів), аутентифікацію надання допомоги та авторизацію підписки, і може надавати інформацію про місцезнаходження абонента. Це схоже з реєстром домашнього положення (HLR) GSM і центром аутентифікації (AuC). Реєстр домашнього положення (HLR) може бути базою даних, що містить деталі про кожного абонента, авторизованого для використання базової мережі. HLR може сприяти AuC в аутентифікації абонентів (тобто використанні абонентських терміналів). Ретрансляційний вузол 102 може бути конфігурований, щоб посилювати і/або повторювати сигнал між терміналом 104 доступу і вузлом 106 доступу. Загалом, ретрансляційний вузол 102 може виступати для термінала 104 доступу як вузол доступу (AN) і може виступати для вузла 106 доступу як термінал доступу (АТ). Наприклад, ретрансляційний вузол 102 може включати в себе інтерфейс 105 термінала доступу, за допомогою якого він підтримує зв'язок з вузлом 106 доступу, і може також включати в себе інтерфейс 107 вузла доступу, за допомогою якого він підтримує зв'язок з терміналом 104 доступу. Тобто, інтерфейс 105 термінала доступу може сприяти тому, що ретрансляційний вузол буде виступати як термінал доступу для вузла 106 доступу. Подібним чином, інтерфейс 107 вузла доступу може сприяти тому, що ретрансляційний вузол 102 буде виступати як вузол доступу для термінала 104 доступу. У деяких варіантах реалізації ретрансляційний вузол 102 може переводити сигнали з першого формату у другий формат між інтерфейсом 105 термінала доступу та інтерфейсом 107 вузла доступу. Ретрансляційний вузол 102 може розміщуватися поблизу меж стільників так, що термінал 104 доступу може підтримувати зв'язок з ретрансляційним вузлом 102 замість того, щоб зв'язуватися напряму з вузлом 106 доступу. У системах радіозв'язку стільник являє собою географічну зону покриття прийому і передачі. Стільники можуть перекриватися один на одного. У типовому прикладі існує один вузол доступу, зв'язаний з кожним стільником. Розмір стільника визначається такими факторами, як смуга частот, рівень потужності та умови каналу. Ретрансляційні вузли, такі як ретрансляційний вузол 102, можуть використовуватися, щоб збільшувати покриття всередині або біля стільника або щоб збільшити розмір покриття стільника. Крім того, використання ретрансляційного вузла 102 може збільшити пропускну здатність сигналу всередині стільника, оскільки термінал 104 доступу може мати доступ до ретрансляційного вузла 102 з вищою швидкістю передачі даних і нижчою потужністю передачі, ніж під час зв'язку термінала 104 доступу напряму з вузлом 106 доступу для цього стільника. Передача з вищою швидкістю передачі даних сприяє вищій ефективності використання спектра, а нижча потужність сприяє, наприклад, зниженню споживання терміналом 104 доступу потужності батареї. У деяких прикладах ретрансляційний вузол 102 може бути реалізований згідно з одним з трьох типів ретрансляційного вузла: ретрансляційний вузол першого рівня, ретрансляційний вузол другого рівня і/або ретрансляційний вузол третього рівня. Ретрансляційний вузол першого рівня по суті являє собою повторювач, який може повторно передавати передачу без якої-небудь модифікації, відмінної від посилення і невеликої затримки. Ретрансляційний вузол другого рівня може декодувати передачу, яку приймає, перекодувати результат декодування і потім передавати перекодовані дані. Ретрансляційний вузол третього рівня може мати можливість повного контролю над радіоресурсом і, таким чином, може працювати подібно до вузла доступу. Протоколи керування радіоресурсом, що використовуються ретрансляційним вузлом, можуть бути такими самими, як і ті, що використовуються вузлом доступу, і ретрансляційний вузол може мати унікальний ідентифікатор стільника, що звичайно використовується вузлом доступу. З метою розуміння, в цьому описі ретрансляційний вузол 102 відрізняється від вузла 106 доступу тим, що може покладатися на присутність щонайменше одного вузла 106 доступу (і стільника, зв'язаного з вузлом доступу) або іншого ретрансляційного вузла, щоб одержувати доступ до інших компонентів в телекомунікаційній системі (наприклад, 5 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 мережі 108). Тобто ретрансляційний вузол 102 може виступати як абонентський пристрій, клієнтський пристрій або термінал доступу відносно мережі, отже, він з'єднується з вузлом доступу, щоб здійснювати сполучення по мережі 108. Однак для інших абонентських пристроїв, користувацьких пристроїв і/або терміналів 104 доступу ретрансляційний вузол 102 може виступати як мережний пристрій (наприклад, вузол доступу). Отже, ретрансляційний вузол 102 може ввести в дію один або декілька інтерфейсів зв'язку, щоб підтримувати зв'язок з вузлом доступу і/або одним або декількома терміналами доступу/абонента/користувача. В одному прикладі один і той самий передавач/приймач (наприклад, один або декілька бездротових каналів) може використовуватися ретрансляційним вузлом 102, щоб підтримувати зв'язок зі своїм вузлом доступу і/або одним або декількома терміналами доступу. В іншому прикладі ретрансляційний вузол 102 може використовувати два або більше різних передавачів/приймачів, щоб підтримувати зв'язок з вузлом доступу і/або одним або декількома терміналами доступу. Щоб заглушити неправильне застосування підписки для доступу до послуг мережі, пристрої можуть зв'язувати аутентифікацію пристрою з аутентифікацією абонента. Аутентифікація пристрою може діяти разом з, наприклад, стандартною 3GPP AKA (угода про аутентифікацію і ключі) аутентифікацією доступу, основаною на облікових даних (таких як кореневий ключ К абонента), які зберігаються на універсальній карті 109, 111, 113 та 116 на основі інтегральної мікросхеми (UICC) або на універсальному модулі ідентифікації абонента (наприклад, USIM), з'єднаному з пристроєм з можливістю роз'єднання. У деяких варіантах реалізації аутентифікація пристрою може виконуватися за допомогою тих самих повідомлень шару, не зв'язаного з наданням доступу (NAS), які використовуються для АКА аутентифікації. Таким чином, пристрій (наприклад, ретрансляційний вузол 102, термінали 103/104 доступу тощо) може бути зв'язаний зі своєю підпискою (тобто, підпискою на обслуговування з базовою мережею 108), щоб запобігти використанню третіми особами облікових даних абонента (тобто для послуги підписки) на неавторизованому пристрої. Одне вирішення проблеми, зв'язаної з ризиком неавторизованого використання облікових даних абонента, забезпечене для пристрою (наприклад, пристрою 101, ретрансляційного вузла 102 або терміналів 103/104 доступу тощо) і UICC 109, щоб взаємно аутентифікувати один одного (наприклад, з використанням захищеного каналу між головним пристроєм і UICC), але це може вимагати попереднього забезпечення UICC 109, 111, 113 та 116 і/або головного пристрою (наприклад, пристрою 101, ретрансляційного вузла 102 або терміналів 103/104 доступу тощо) інформацією, щоб здійснити таку взаємну аутентифікацію. Інше рішення може вимагати того, щоб ключі, які використовуються для мережного доступу (наприклад, ключі, які використовуються для захисту трафіку між пристроєм і мережею), залежали як від облікових даних, що зберігаються на UICC 109, 111, 113 та 116, так і від облікових даних, що зберігаються на пристрої (наприклад, на пристрої 101, ретрансляційному вузлі 102 або терміналах 103/104 доступу). Це може бути реалізоване за допомогою зв'язування ключів АКА аутентифікації з аутентифікацією пристрою яким-небудь чином. Це рішення також актуальне у випадку з аутентифікацією міжнародного ідентифікатора мобільного обладнання (IMEI) (яка, наприклад, може дозволити оператору припинити приєднання неавторизованих пристроїв до їх мережі). Причина цього в тому, що, шляхом зв'язування ключа(ів) від АКА аутентифікації, що використовується для мережного доступу, і ключів, що використовуються для аутентифікації пристрою, забезпечується упевненість в тому, що всі повідомлення, що виходять від пристрою до мережі 108, дійсно виходять з пристрою, який був аутентифікований. За припущенням, що зв'язані ключі (і всі інші подальші ключі, одержані із зв'язаного ключа) безпечно зберігаються на пристрої (наприклад, пристрої 101, ретрансляційному вузлі 102 або терміналах 103/104 доступу), зв'язування ключів від АКА аутентифікації з аутентифікацією пристрою забезпечує більший захист в порівнянні з використанням для аутентифікації пристрою тільки механізму, основаного на схемі "запит-відповідь". Використання тільки механізму, основаного на схемі "запит-відповідь" для аутентифікації пристрою лише доводить, що даний пристрій був доступний, щоб згенерувати відповідь аутентифікації, але не те, що він залишається даним надалі. Фіг. 2 ілюструє загальний підхід до зв'язування аутентифікації пристрою та аутентифікації абонента. Пристрій 202 (наприклад, пристрій 101, ретрансляційний вузол 102 або термінали 103/104 доступу) може бути забезпечений кореневим_ключем_абонента 206 і/або ідентифікатором_абонента 207, які можуть використовуватися, щоб аутентифікувати підписку з базовою мережею 108 і/або генерувати захисні ключі, що використовуються для доступу до зашифрованого трафіку, відправленого до пристрою 202. Кореневий_ключ_абонента 206 може бути унікальним чином асоційований з ідентифікатором_абонента 207. В одному прикладі 6 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 кореневий_ключ_абонента 206 і/або ідентифікатор_абонента 207 можуть зберігатися на UICC 204, і/або аутентифікація абонента може оброблятися UICC 204. Подібним чином, пристрій 202 може бути забезпечений кореневим_ключем_пристрою 208 і/або ідентифікатором 209 пристрою (або зберігає їх), які можуть використовуватися, щоб аутентифікувати пристрій з базовою мережею 108. Кореневий_ключ_пристрою 206 може бути унікальним чином асоційований з ідентифікатором 209 пристрою. В одному прикладі ідентифікатор_пристрою 209 може бути міжнародним ідентифікатором мобільного обладнання (IMEI) пристрою 202 (наприклад, пристрою 101, ретрансляційного вузла 102 або терміналів 103/104 доступу), але інші форми ідентифікації відносно пристрою (наприклад, адреси обладнання IEEE, як то EUI-48 EUI-64) також можуть використовуватися. У деяких варіантах реалізації кореневий_ключ_пристрою 206 може бути секретним ключем, що спільно використовується пристроєм 202 тільки з базовою мережею 108, але не передається бездротовим зв'язком. Ідентифікатор_пристрою 209 може передаватися пристроєм 202 до базової мережі 108 так, що вона може одержати коректний кореневий ключ пристрою, призначений для аутентифікації пристрою. Як альтернатива кореневий_ключ_пристрою 206 може бути відкритим ключем пари "відкритий/секретний ключ", коли сертифікати використовуються для аутентифікації пристрою. Наприклад, пристрій може приймати деякі дані від мережі, причому дані зашифровані за допомогою відкритого ключа. Потім пристрій може використовувати свій секретний ключ, щоб дешифрувати зашифровані дані і згодом довести мережі, що він обізнаний про ці дані. Сертифікат (наприклад, облікові дані пристрою) може бути перевірений базовою мережею 108. Відповідний секретний ключ пристрою 202 може безпечно зберігатися на пристрої 202. Облікові дані пристрої можуть як належати до сертифіката пристрою, так і бути посиланням на нього. Ці облікові дані пристрої можуть дозволяти релевантному мережному об'єкту формувати запит_пристрою і перевіряти статус скасування пристрою 202 (наприклад, перевіряти, чи не є облікові дані, такі як секретний ключ або ключ, що спільно використовується, які стосуються пристрою, розсекреченими). Додатково передбачається, що захищена частина пристрою (така як безпечне середовище, або TrE, як визначено в технічному описі 33.320 3GPP) зберігає конфіденційні ключі пристрою, такі як кореневий_ключ_пристрою і/або секретний ключ, що стосується сертифіката. Крім того, передбачається, що TrE виконує всі криптографічні операції, що задіюють ці ключі. На початку, аутентифікація абонента може мати місце між пристроєм 202 і базовою мережею 108. Наприклад, обмін 210 даними угоди про аутентифікацію і ключі (АКА) між пристроєм 202 і мережею 108 може призвести до встановлення ключа K_ASME. Такий обмін 210 даними АКА може бути оснований, наприклад, на кореневому_ключі_абонента 206 і/або ідентифікаторі_абонента 207, щоб аутентифікувати абонента, асоційованого з пристроєм 202. Наприклад, така інформація про підписку або облікові дані можуть безпечно зберігатися на UICC 204, яка з'єднана з головним пристроєм 202 з можливістю від'єднання. Мережа 108 також може здійснювати аутентифікацію пристрою на пристрої 202. Ідентифікатор_пристрою 209 може бути наданий в базову мережу 108 пристроєм 202 так, що базова мережа 108 може виконувати пошук, щоб одержати коректний відповідний кореневий_ключ_пристрою 206. Мережа 108 може створювати запит_пристрою 212 і відправляє його на пристрій 202 (наприклад, як частину релевантного NAS повідомлення). У відповідь пристрій 202 обчислює відповідь_пристрою 214 (наприклад, основану на запиті_пристрою і кореневому_ключі_пристрою 208 або їх похідній) і повертає її до мережі 108. Пристрій 202 також може використовувати дані при запиті_пристрою і відповіді_пристрою, щоб обчислити складений захисний ключ K_ASME_D 216. Потрібно зазначити, що у випадку з пристроєм 202 складений захисний ключ K_ASME_D 216 може генеруватися як до відправки відповіді_пристрою 214, так і після неї. В одному прикладі складений захисний ключ K_ASME_D 216 може бути еквівалентним ключем по відношенню до захисного ключа K_ASME, визначеного у виділеній універсальній мережі наземного радіодоступу E-UTRAN (E-UTRAN), визначеній в технічному описі 33.401 3GPP, за винятком того, що ключ K_ASME_D зв'язаний з ідентифікатором 209 пристрою, як і з ключем, що одержуються внаслідок аутентифікації АКА, таким як ключ K_ASME. Якщо мережа 108 приймає дійсний запит_пристрою, вона також обчислює складений захисний ключ K_ASME_D 218. Обчислення запита_пристрою 212, відповіді_пристрою 214 і складеного захисного ключа K_ASME_D може бути наступним. Запит_пристрою 212 може бути обчислений таким чином: Device_challenge=eKSI, [(E_device_root_key (device_temp_key)], network_nonce (Запит_пристрою=eKSI, [E_кореневий_ключ_пристрою (тимчасовий_ключ_пристрою)], одноразове_слово_шифрування_мережі), де 7 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 eKSI - це ідентифікатор виділеного/розширеного набору ключів, який зв'язаний з K_ASME_D, […] означає необов'язковий параметр, E_k(data) означає дані, зашифровані за допомогою ключа k, і одноразове_слово_шифрування_мережі - випадкове число прийнятного розміру (наприклад, 128-біт), вибране мережею. Алгоритм шифрування може бути як асиметричним (у випадку якщо кореневий_ключ_пристрою - відкритий ключ, асоційований із сертифікатом пристрою), так і симетричним (у випадку якщо кореневий_ключ_пристрою - ключ, що спільно використовується). Тимчасовий_ключ_пристрою може бути ключем, що одержуються або генерується як частина аутентифікації пристрою. В одному прикладі тимчасовий_ключ_пристрою може бути вибраний (наприклад, випадково) мережею 108, відправляється на пристрій 202 в зашифрованому вигляді і має прийнятну довжину (наприклад, 256- або 128-бітове значення). І пристрій 202, і мережа 108 можуть зберігати тимчасовий_ключ_пристрою серед мережних доступів з метою оптимізації. Якщо це не так, другий параметр ([(E_device_root_key (device_temp_key)]) в запиті 212 пристрою не є факультативным. Відповідь_пристрою 214 може бути обчислена так: Device_response=device_nonce, device_res (Відповідь_пристрою=одноразове_слово_шифрування_пристрою, res_пристрою), де Одноразове_слово_шифрування_пристрою - довільне число прийнятного розміру (наприклад, 128-бітів), вибране пристроєм і Device_res=KDF (device_temp_key, network_nonce, device_nonce), де (Res_пристрою=KDF (тимчасовий_ключ_пристрою, одноразове_слово_шифрування_мережі, одноразове_слово_шифрування_пристрою)), де KDF - криптографічна функція від, прийнятна для генерації відповіді res_пристрою. З урахуванням одержання, раніше, ключа аутентифікації K_ASME (наприклад, як частини обміну 210 даними АКА) обчислення складеного захисного ключа K_ASME_D 216 та 218 (тобто зв'язування аутентифікації пристрою та аутентифікації абонента) може здійснюватися таким чином: K_ASME_D=KDF (device_temp_key, K_ASME, network_nonce, device_nonce) (K_ASME_D=KDF (тимчасовий_ключ_пристрою, K_ASME, одноразове_слово_шифрування_мережі, одноразове_слово_шифрування_пристрою)), де K_ASME може бути ключем або значенням, одержаним під час аутентифікації абонента між пристроєм і мережею (в результаті обміну 210 даними аутентифікації АКА). В одному прикладі ключ K_ASME може бути ключем, раніше згенерованим і/або використаним між пристроєм 202 і мережею 108. Як альтернатива, якщо процес 212 та 214 аутентифікації пристрою здійснюється з використанням тих самих повідомлень NAS, що і повідомлення NAS, які застосовуються для процедури 210 АКА, ключ K_ASME може бути знову або одночасно згенерований. Подібним чином тимчасовий_ключ_пристрою може бути ключем або значенням, одержаним під час аутентифікації пристрою між пристроєм 202 і мережею 108. Складений захисний ключ далі може використовуватися як основа і/або корінь для обчислення додаткових захисних ключів 217 та 219. Додаткові захисні ключі можуть служити для захисту, наприклад, зв'язку рівня NAS і/або рівня AS. Складений захисний ключ K_ASME_D, відповідні йому параметри захисту і всі ключі, виведені від K_ASME_D, можуть безпечно міститися на пристрої 202 і не зберігаються на UICC 204. Складений захисний ключ K_ASME_D потім може використовуватися для захисту повідомлень, обмін 220 якими відбувається між пристроєм 202 і базовою мережею 108. Фіг. 3 (яка містить фіг. 3А та фіг. 3В) ілюструє приклад того, як ієрархія ключів, основана на аутентифікації абонента, може бути модифікована, щоб також включати в себе аутентифікацію пристрою. Ієрархія ключів може застосовуватися, щоб встановити параметри захисту (наприклад, захисний ключ) для використання при сполученні шифрування/дешифрування між пристроєм та мережею. У цьому прикладі аутентифікація абонента і пристрою може виконуватися між пристроєм 322 і мережним об'єктом 324. Пристрій 322 може бути, наприклад, терміналом доступу (АТ), користувацьким пристроєм (UE), мобільним телефоном і/або ретрансляційним вузлом. Мережний об'єкт 324 може являти собою один або декілька мережних пристроїв, таких як об'єкт керування мобільним зв'язком (ММЕ) і/або сервер домашніх абонентів (HSS). Цей приклад ілюструє, як перша ієрархія 300 ключів, основана на аутентифікації абонента, модифікується, щоб одержати другу ієрархію 300' ключів, основану і на аутентифікації абонента, і на аутентифікації пристрою. З метою аутентифікації абонента, як показано в першій ієрархії 300 ключів, універсальна карта на основі інтегральної мікросхеми (UICC на пристрої 322) і мережний об'єкт 324 8 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 (наприклад, ММЕ 110, HSS 112 на фіг. 1 або інший мережний об'єкт) може використовувати головний ключ К 302, щоб генерувати ключ 304 до шифру (СК) і ключ 306 цілісності (IK). Ключ 304 до шифру (СК) і ключ 306 цілісності (IK) потім можуть використовуватися пристроєм 322 і мережним об'єктом 324 як частина обміну даними угоди про аутентифікацію і ключі (АКА), щоб генерувати ключ об'єкта керування безпекою доступу K_ASME 308 (що також згадується тут як ключ аутентифікації абонента). Активація захисту пристрою 202 може бути виконана за допомогою процедури угоди про аутентифікацію і ключі (АКА), процедури конфігурації безпечного режиму (NAS SMC) шару, не зв'язаного з наданням доступу (NAS), і процедури конфігурації безпечного режиму (AS SMC) шару, зв'язаного з наданням доступу (AS). У цьому прикладі аутентифікація абонента може включати в себе обмін 326 даними АКА, внаслідок якого одержується K_ASME 308. Обмін 326 даними АКА може включати в себе запит 340 аутентифікації абонента і відповідь 342 аутентифікації абонента. У цьому прикладі процес аутентифікації абонента, який генерує ключ K_ASME 308, може також генерувати відповідні ключі рівня NAS (K_NAS-enc 305 та K_NAS-int 311) і/або ключі рівня AS (K_UP-enc 315, K_RRCenc 317 та K_RRC-int 319). Потрібно зазначити, що в деяких варіантах реалізації, якщо ці версії ключів рівня NAS і ключів рівня AS не використовуються, далі генерація цих ключів може бути пропущена під час аутентифікації абонента. Друга ієрархія 300' ключів ілюструє те, як аутентифікація пристрою може бути зв'язана з аутентифікацією абонента, щоб генерувати захисні ключі рівня NAS і рівня AS. Під час, до або після аутентифікації абонента (і генерації її відповідного ключа K_ASME 308) аутентифікація 328 пристрою може виконуватися на основі (щонайменше частково) специфічного для пристрою кореневого ключа. Аутентифікація 328 пристрою може включати в себе запит 344 аутентифікації пристрою і відповідь 346 аутентифікації пристрою. В одному варіанті реалізації аутентифікація 307 пристрою може бути незалежна від аутентифікації абонента; тільки якщо і аутентифікація абонента, і аутентифікація пристрою задоволені, складений захисний ключ K_ASME_D 309 генерується. В альтернативному варіанті реалізації аутентифікація пристрою може виконуватися до аутентифікації абонента. Складений захисний ключ K_ASME_D 309 може використовуватися як базовий ключ для обчислення, наприклад ключів 310 та 312 NAS (шару, не зв'язаного з наданням доступу), і ключів 314, 316, 318 та 320 AS (шару, зв'язаного з наданням доступу). Тобто пристрій 322 і мережний об'єкт 324 потім можуть використовувати ключ K_ASME_D 309, щоб генерувати один або декілька захисних ключів. Мережі з комутацією пакетів можуть бути структуровані на множину ієрархічних рівнів протоколу, де нижчі рівні протоколу забезпечують обслуговування шарів вищого рівня і кожний шар відповідає за виконання різних задач. Наприклад, фіг. 4 ілюструє зразковий стек протоколів, який може застосовуватися в пристрої, що працює в мережі з комутацією пакетів. У цьому прикладі стек 402 протоколів включає в себе 406 404, рівень 406 керування доступом до середовища (MAC), рівень 408 керування лінією радіозв'язку (RLC), рівень 410 протоколу конвергенції пакетних даних (PDCP), рівень 412 керування радіоресурсами (RRC), рівень 414 шару, не зв'язаного з наданням доступу (NAS), і рівень 416 додатків (APP). Рівні нижче Рівня 414 NAS часто іменуються рівнем 418 шару, зв'язаного з наданням доступу (AS). Рівень 408 RLC може включати в себе один або декілька каналів 420. Рівень 412 RRC може використовувати різні режими стеження для термінала доступу, включаючи стан з'єднання і стан незайнятості. Рівень 414 шару, не зв'язаного з наданням доступу (NAS) може підтримувати контекст керування мобільністю, контекст пакетних даних і/або IP-адреси пристрою зв'язку. Потрібно зазначити, що інші рівні можуть бути присутніми в стеку 402 протоколів (наприклад, вище, нижче проілюстрованих рівнів або між ними), але були опущені в ілюстративних цілях. З посиланням на фіг. 4, сеанси/радіо канали-носії 422 можуть бути встановлені, наприклад, на рівні 412 RRC і/або на рівні 414 NAS. Отже, рівень 414 NAS може використовуватися пристроєм 202 і базовою мережею 108, щоб генерувати захисні ключі 310 K_NAS-enc та 312 K_NAS-int, показані на фіг. 3. Подібним чином, рівень 412 RRC може використовуватися пристроєм 202 і базовою мережею 108, щоб генерувати захисні ключі 316 K_UP-enc, 318 K_RRC-enc та 320 K_RRC-int шару, зв'язаного з наданням доступу (AS). Коли захисні ключі 316 K_UP-enc, 318 K_RRC-enc та 320 K_RRC-int можуть генеруватися на рівні 312 RRC, вони можуть використовуватися рівнем 410 PDCPP, щоб забезпечити сигнальне повідомлення і/або повідомлення "користувач/дані". Наприклад, ключ 316 K_UP-enc може використовуватися рівнем 410 PDCPP, щоб забезпечити повідомлення площини користувача/дані (UP), тоді як ключі 318 K_RRC-enc та 320 K_RRC-int можуть використовуватися щоб забезпечити сигнальне повідомлення (наприклад, керування) на рівні 410 PDCPP. 9 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 У похідній від цих захисних ключів, що використовуються для алгоритмів шифрування і цілісності, і AS (площина користувача і RRC), і NAS вимагають, щоб був забезпечений індивідуальний ідентифікатор алгоритму як одне з введень. На рівні AS алгоритми, які будуть використовуватися, забезпечуються командою безпечного режиму керування радіоресурсами (RRC). Фіг. 5 являє собою блок-схему, що ілюструє мережну систему, в якій можуть генеруватися різні аутентифікаційні і/або захисні ключі, проілюстровані на фіг. 3 та фіг. 4. Тут пристрій 322 може використовувати стек зв'язку, що включає в себе різні рівні (наприклад, APP, NAS, RRC, RLC, MAC та PHY). Мережа 504 доступу (наприклад, вузол 106 доступу на фіг. 1) може забезпечувати можливість бездротового зв'язку з пристроєм 322 так, що він може підтримувати зв'язок з мережею 108. Сервер 506 домашніх абонентів і пристрій 322 можуть знати або мати доступ до кореневого ключа (К), який може використовуватися, щоб генерувати або одержати ключ до шифру (СК) і/або ключ цілісності (IK). Пристрій 322 і/або HSS 506 потім можуть використовувати ключ до шифру (СК) і/або ключ цілісності (IK), щоб генерувати ключ об'єкта керування безпекою доступу K_ASME. Аутентифікація пристрою також може виконуватися в комбінації (с) або на основі ключа K_ASME, щоб генерувати складений захисний ключ K_ASME_D, об'єднуючи, таким чином, аутентифікацію абонента і пристрою в один ключ. Використовуючи ключ K_ASME_D, пристрій 322 та об'єкт 510 керування мобільністю (ММЕ) потім можуть генерувати ключі K_NAS-enc та K_NAS-int. Пристрій 322 і ММЕ 510 також можуть генерувати специфічний для мережі доступу ключ K_eNB/NH. Використовуючи цей специфічний для мережі доступу ключ, пристрій 322 і ММЕ 510 можуть генерувати ключі K_eNB/NH K_UP-enc K_RRC-enc K_RRC-int. Подробиці відносно похідної від цих ключів забезпечені в STD-T63-33.401 3GPP, в Релізі 8 "Розвиток архітектури системи (SAE): архітектура системи безпеки" (відомий як 3GPP TS 33.401), який включений сюди за допомогою посилання. Потрібно зазначити, що фіг. 3-5 описують конкретне середовище/конкретний контекст, в яких аутентифікація і зв'язування абонента і пристрою можуть здійснюватися, це не повинне обмежувати дану ознаку, яка може бути застосовна в різних типах мереж. Зразковий бездротовий пристрій Фіг. 6 являє собою блок-схему, що ілюструє вибрані компоненти бездротового пристрою 600, які можуть бути сконфігуровані, щоб зв'язувати аутентифікацію абонента та аутентифікацію пристрою. Бездротовий пристрій 600 загалом включає в себе схему 602 обробки, з'єднану з одним або декількома інтерфейсами 604 бездротового зв'язку. Наприклад, бездротовий пристрій 600 може бути ретрансляційним вузлом і/або терміналом доступу. Схема 602 обробки може бути сконфігурована, щоб одержувати, обробляти і/або відправляти дані, контролювати зберігання даних і доступ до них, віддавати команди і контролювати інші задані операції. Схема 602 обробки може містити схеми, сконфігуровані, щоб здійснювати бажане програмування, що забезпечується за допомогою прийнятного носія в щонайменше одному варіанті реалізації. Наприклад, схема 602 обробки може застосовуватися як один або декілька процесорів, контролерів, множина процесорів і/або інша структура, сконфігурована, щоб реалізовувати команди, що виконуються, включаючи, наприклад, команди програмного і/або програмно-апаратного забезпечення, і/або схем апаратного забезпечення. Варіанти реалізації схеми 602 обробки можуть включати в себе процесор загального призначення, цифровий сигнальний процесор (DSP), спеціалізовану інтегральну схему (ASIC), програмовану користувачем вентильну матрицю (FPGA) або інший програмований логічний компонент, виділені вентильні або транзисторні логічні схеми, виділені компоненти апаратного забезпечення або будь-яку з комбінацій перелічених компонентів, щоб виконувати описані тут функції. Процесор загального призначення може бути мікропроцесором, але, як альтернатива, процесор може бути будь-яким стандартним процесором, контролером, мікроконтролером або кінцевим автоматом. Процесор також може застосовуватися як комбінація обчислювальних компонентів, як то комбінація DSP і мікропроцесора, деякої кількості мікропроцесорів, одного або декількох мікропроцесорів спільно з ядром DSP або будь-яка інша така конфігурація. Ці приклади схеми 602 обробки представлені для ілюстрації, і інші прийнятні конфігурації в рамках даного опису також передбачаються. Інтерфейс 604 бездротового зв'язку може бути сконфігурований так, щоб забезпечувати здійснення бездротового зв'язку бездротовим пристроєм 600. Наприклад, інтерфейс 604 бездротового зв'язку може бути сконфігурований, щоб повідомляти інформацію двоспрямовано відносно інших бездротових пристроїв, таких як термінали доступу, вузли доступу, інші ретрансляційні вузли тощо. Інтерфейс 604 бездротового зв'язку може бути з'єднаний з антеною (не показано) і може включати в себе бездротові схеми приймач-передавача, які включають в 10 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 себе щонайменше один передавач і/або щонайменше один приймач (наприклад, один або декілька приймач-передавальних ланцюгів) для бездротового зв'язку. Схема 602 обробки може включати в себе модуль 610 зв'язування аутентифікації абонента і пристрою. Модуль 610 зв'язування аутентифікації абонента і пристрою може містити схеми і/або програмні засоби, адаптовані, щоб виконувати процедури аутентифікації абонента з використанням абонентських захисних облікових даних (наприклад, специфічний для абонента ключ 607 і/або ідентифікатор 609 абонента, що зберігаються на універсальній карті 608 на основі інтегральної мікросхеми), адаптовані, щоб виконувати (в межах безпечного середовища 606) процедури аутентифікації пристрою з використанням захисних облікових даних пристрою (наприклад, специфічний для пристрою ключ 605 і/або ідентифікатор 611 пристрою), і зв'язувати разом аутентифікації абонента і пристрою. Таке "зв'язування" може включати комбінування деяких результатів від аутентифікації абонента та аутентифікації пристрою. Наприклад, перший захисний ключ, одержаний при аутентифікації абонента, може комбінуватися з другим захисним ключем, одержаним при аутентифікації пристрою, щоб одержати третій (складений) захисний ключ. У деяких варіантах реалізації бездротовий пристрій 600 може включати в себе безпечне (довірене) середовище (TrE) 606. Безпечне середовище 606 може бути адаптоване для того, щоб задовольняти технічним умовам для безпечного середовища згідно з деталями опису TS 33.320 3GPP. Безпечне середовище 606 може бути заздалегідь забезпечене (або безпечно доповнене) щонайменше деякими захисними обліковими даними (наприклад, специфічний для пристрою ключ 605 і/або ідентифікатор 611 пристрою). Наприклад, безпечне середовище 606 може мати захисні облікові дані, зв'язані з аутентифікацією пристрою. У деяких варіантах реалізації бездротовий пристрій 600 може включати в себе захищену обробку в межах універсальної карти 608 на основі інтегральної мікросхеми (UICC). UICC 608 може з'єднуватися з бездротовим пристроєм 600 з можливістю від'єднання. UICC 608 може бути заздалегідь забезпечена захисними обліковими даними (наприклад, специфічний для абонента ключ 607 і/або ідентифікатор 609 абонента), як то облікові дані угоди про аутентифікацію і ключі (АКА). Як альтернатива захищена обробка може виконуватися в межах універсального модуля ідентифікації абонента (USIM). Відповідно до одного або декількох ознак бездротового пристрою 600, схема 602 обробки може бути сконфігурована, щоб виконувати будь-який з процесів, функцій, етапів і/або стандартних операцій, зв'язаних з проілюстрованими на фіг. 2-5, 7, 10, 11 та 12. Тут термін "сконфігурована" відносно схеми 602 обробки може означати, що схема 602 обробки конфігурується, використовується, застосовується і/або програмується, щоб виконувати конкретний процес, функцію, етап і/або стандартну операцію відповідно до різних ознак, описаних тут. Фіг. 7 являє собою блок-схему, яка ілюструє приклад способу, що працює в бездротовому пристрої, щоб генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. Бездротовий пристрій може бути заздалегідь забезпечений специфічним для пристрою ключем (етап 702). Наприклад, такий специфічний для пристрою ключ може бути вбудований в чіп або сконфігурований при виробництві бездротового пристрою. Бездротовий пристрій також може включати в себе ідентифікатор пристрою, асоційований зі специфічним для пристрою ключем. Крім того, бездротовий пристрій може бути заздалегідь забезпечений специфічним для абонента ключем (етап 704). Наприклад, такий специфічний для абонента ключ може бути кореневим ключем, призначеним для абонента, і може зберігатися всередині фіксованого або знімного модуля (наприклад, UICC або USIM), з'єднаного з бездротовим пристроєм. Бездротовий пристрій може також включати в себе ідентифікатор підписки, асоційований зі специфічним для абонента ключем. Бездротовий пристрій може виконувати аутентифікацію абонента з мережним об'єктом (наприклад, використовуючи специфічний для абонента ключ) (етап 706). Це може включати в себе, наприклад, обмін даними угоди про аутентифікацію і ключі з мережним об'єктом. Бездротовий пристрій також може виконувати аутентифікацію пристрою з мережним об'єктом (наприклад, використовуючи специфічний для пристрою ключ) (етап 708). Аутентифікація абонента та аутентифікація пристрою можуть здійснюватися в один і той самий або в різний час з одним і тим самим або з різними мережними об'єктами. Захисний ключ (наприклад, K_ASME_D тощо) потім може генеруватися бездротовим пристроєм, причому такий захисний ключ зв'язує аутентифікацію абонента та аутентифікацію пристрою (етап 710). Так, в одному прикладі дані (наприклад, один або декілька одержаних в результаті ключів, сертифікатів, ідентифікаторів тощо) від аутентифікації пристрою і дані (наприклад, один або декілька одержаних в результаті ключів, сертифікатів, ідентифікаторів тощо) від аутентифікації абонента можуть комбінуватися, щоб 11 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 генерувати захисний ключ. Наприклад, на фіг. 1 ключ K_ASME від аутентифікації 210 абонента у тимчасовий_ключ_пристрою від аутентифікації пристрою на фіг. 1 можуть комбінуватися, щоб генерувати захисний ключ K_ASME_D. Потім захисний ключ може використовуватися, щоб забезпечити бездротовий зв'язок між бездротовим пристроєм і мережним об'єктом (етап 712). Наприклад, захисний ключ може використовуватися, щоб генерувати інші ключі і/або сертифікати (наприклад, захисні ключі рівня NAS і/або рівня AS), які можуть застосовуватися для шифрування/дешифрування зв'язку (наприклад, даних або сигналів) між бездротовим пристроєм і мережею. Зразковий мережний об'єкт Фіг. 8 являє собою блок-схему, що ілюструє компоненти мережного об'єкта 800,який може бути сконфігурований, щоб зв'язувати аутентифікацію абонента та аутентифікацію пристрою. Мережний об'єкт 800 може включати в себе схему 802 обробки, з'єднану з інтерфейсом 804 зв'язку. Схема 802 обробки може бути сконфігурована, щоб одержувати, обробляти і/або відправляти дані, контролювати зберігання даних і доступ до них, віддавати команди і контролювати інші задані операції. Схема 802 обробки може містити схеми, сконфігуровані, щоб здійснювати бажане програмування, що забезпечується за допомогою прийнятного носія в щонайменше одному варіанті реалізації. Наприклад, схема 802 обробки може застосовуватися як один або декілька процесорів, контролерів, множина процесорів і/або інша структура, сконфігурована так, щоб реалізовувати команди, що виконуються, включаючи, наприклад, команди програмного і/або програмно-апаратного забезпечення, і/або схем апаратного забезпечення. Варіанти реалізації схеми 802 обробки можуть включати в себе процесор загального призначення, цифровий сигнальний процесор (DSP), спеціалізовану інтегральну схему (ASIC), програмовану користувачем вентильну матрицю (FPGA) або інший програмований логічний компонент, виділені вентильні або транзисторні логічні схеми, виділені компоненти апаратного забезпечення або будь-яку з комбінацій перелічених компонентів, щоб виконувати описані тут функції. Процесор загального призначення може бути мікропроцесором, але, як альтернатива, процесор може бути будь-яким стандартним процесором, контролером, мікроконтролером або кінцевим автоматом. Процесор також може застосовуватися як комбінація обчислювальних компонентів, як то комбінація DSP і мікропроцесора, деякої кількості мікропроцесорів, одного або декількох мікропроцесорів спільно з ядром DSP або будьяка інша така конфігурація. Ці приклади схеми 802 обробки представлені для ілюстрації, і інші прийнятні конфігурації також передбачаються такими, що входять в обсяг даного винаходу. Схема 802 обробки може включати в себе модуль 806 зв'язування аутентифікації абонента та пристрою. Модуль 806 зв'язування аутентифікації абонента і пристрою може містити схеми і/або програмні засоби, адаптовані, щоб виконувати процедури для аутентифікації абонента на основі абонентських захисних облікових даних (наприклад, специфічний для абонента ключ і/або ідентифікатор абонента), виконувати процедури для аутентифікації пристрою на основі захисних облікових даних пристрою (наприклад, специфічний для пристрою ключ і/або ідентифікатор пристрою) і зв'язувати дані (наприклад, ключі, значення, сертифікати тощо) від аутентифікації абонента та аутентифікації пристрою, щоб генерувати захисний ключ. Інтерфейс 804 зв'язку сконфігурований, щоб сприяти здійсненню зв'язку пристрою мережного об'єкта 800 як напряму, так і не напряму (наприклад, за допомогою одного або декількох мережних об'єктів), з іншими пристроями, такими як ретрансляційні вузли і термінали доступу. Відповідно до одного або декількох ознак мережного об'єкта 800, схема 802 обробки може бути сконфігурована, щоб виконувати будь-який з процесів, функцій, етапів і/або стандартних операцій, зв'язаних з різними мережними об'єктами, такими як об'єкт 110 керування мобільністю (ММЕ) і сервер 112 домашніх абонентів (HSS). Крім того, мережний об'єкт 800 може містити один об'єкт або комбінацію з двох і більше об'єктів мережі. Як необмежуючий приклад мережний об'єкт 800 може містити об'єкт керування мобільністю (ММЕ), сервер домашніх абонентів (HSS), сервер аутентифікації пристроїв серед інших. Тут термін "сконфігурована" відносно схеми 802 обробки може означати, що схема 802 обробки конфігурується, використовується, застосовується або програмується (відбувається одна з цих дій або більше), щоб виконувати конкретний процес, функцію, етап і/або стандартну операцію відповідно до різних ознак, описаних тут. Фіг. 9 являє собою блок-схему, яка ілюструє приклад способу, що працює в мережному об'єкті, щоб генерувати захисний ключ, який зв'язує аутентифікацію абонента та аутентифікацію пристрою. Мережний об'єкт може містити специфічний для пристрою ключ для бездротового пристрою (етап 902). Наприклад, такий специфічний для пристрою ключ може бути вбудований в чіп або сконфігурований під час виробництва бездротового пристрою, і ця інформація може 12 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 зберігатися в базі даних, до якої мережний об'єкт має доступ. Ідентифікатор пристрою може бути асоційований зі специфічним для пристрою ключем і може використовуватися, щоб ідентифікувати пристрій і його ключ. Крім того, мережний об'єкт може бути заздалегідь забезпечений специфічним для абонента ключем, асоційованим з підпискою для бездротового пристрою (етап 904). Наприклад, такий специфічний для абонента ключ може бути кореневим ключем, призначеним для абонента, і може зберігатися всередині фіксованого або знімного модуля (наприклад, UICC або USIM), з'єднаного з бездротовим пристроєм. Мережний об'єкт може також виконувати аутентифікацію абонента з бездротовим пристроєм (наприклад, використовуючи специфічний для абонента ключ) (етап 906). Це може включати в себе, наприклад, обмін даними угоди про аутентифікацію і ключі з мережним об'єктом. Мережний об'єкт також може виконувати аутентифікацію пристрою з бездротовим пристроєм (наприклад, використовуючи специфічний для пристрою ключ) (етап 908). Аутентифікація абонента та аутентифікація пристрою можуть здійснюватися в один і той самий або в різний час. Захисний (складений) ключ (наприклад, K_ASME_D тощо) потім може генеруватися мережним об'єктом, причому такий захисний ключ зв'язує аутентифікацію абонента та аутентифікацію пристрою (етап 910). Так, в одному прикладі дані (наприклад, один або декілька одержаних внаслідок ключів, сертифікатів, ідентифікаторів тощо) від аутентифікації пристрою і дані (наприклад, K_ASME тощо) від аутентифікації абонента можуть комбінуватися, щоб генерувати захисний ключ. Потім захисний ключ може використовуватися, щоб забезпечити бездротовий зв'язок між бездротовим пристроєм і мережним об'єктом (етап 712). Наприклад, захисний ключ може використовуватися, щоб генерувати інші ключі і/або сертифікати, які можуть застосовуватися для шифрування/дешифрування зв'язку між бездротовим пристроєм і мережею. Перший зразковий спосіб аутентифікації абонент-пристрій Фіг. 10 ілюструє перший зразковий спосіб генерації захисного ключа шляхом зв'язування аутентифікації абонента та аутентифікації пристрою. У цьому прикладі пристрій 1002 може бути ретрансляційним вузлом або терміналом доступу, наприклад. Під час стадії приєднання, коли пристрій 1102 може прагнути приєднатися до бездротової мережі (наприклад, яка включає в себе ММЕ 1002 та HSS 1006), розкриваючи ідентифікатор пристрою або іншу зв'язану з пристроєм інформацію по бездротовому зв'язку, може виникнути проблема безпеки (наприклад, для пристрою 1002). Отже, в цьому способі пристрій 1002 не надає свої облікові дані (наприклад, специфічний для пристрою ідентифікатор, як то міжнародний ідентифікатор мобільного обладнання (IMEI) тощо) по бездротовому зв'язку доти, доки вони не будуть запитані мережею безпечним способом. Це робиться з метою запобігання пасивним атакам на ідентифікатор пристрою. Пристрій може почати роботу шляхом відправки мережі запиту 1010 приєднання, який включає в себе індикацію, що він здатний здійснювати аутентифікацію пристрою. Після одержання запиту 1010 приєднання об'єкт 104 керування мобільністю (ММЕ) може запитувати і приймати інформацію 1012 про підписку та аутентифікацію (наприклад, зв'язану з акаунтом підписки або користувачем пристрою 1002) від сервера 1006 домашніх абонентів (HSS). ММЕ 1004 потім відправляє запит 1014 аутентифікації, який включає в себе АКА запит з метою виконати АКА аутентифікації. Після одержання запиту 1014 АКА аутентифікації пристрій 1002 відправляє відповідь 1016 аутентифікації, що включає в себе АКА відповідь. Запит 1014 АКА аутентифікації та відповідь 1016 використовуються для виконання аутентифікації підписки. Такі процедури АКА аутентифікації можуть привести до одержання ключа аутентифікації абонента (наприклад, K_ASME), що генерується пристроєм 1002 та ММЕ. Аутентифікація пристрою може здійснюватися на різних стадіях під час процесу активації захисту. У цьому прикладі аутентифікація пристрою може прикріплятися позаду до повідомлень безпеки рівня NAS. Наприклад, пристрій 1004 може відправляти команду 1018 безпечного режиму NAS, яка включає в себе запит про ідентифікацію пристрою (наприклад, запит версії програмного забезпечення IMEI (IMEISV) і/або запит облікових_даних_пристрою). У відповідь пристрій 1002 може надавати ідентифікатор пристрою або облікові дані, в межах повідомлення 1020 "безпечний режим - виконаний" про те, що повинна виконуватися аутентифікація пристрою. Потрібно зазначити, що, щоб уникнути розкриття ідентифікатора пристрою або облікових даних під час передачі по бездротовому зв'язку, ідентифікатор пристрою або облікові дані на етапі 1020 "безпечний режим - виконаний" можуть бути захищені обчисленим раніше ключем аутентифікації абонента (наприклад, K_ASME). Після одержання ідентифікатора пристрою або облікових даних ММЕ 1004 може відправляти повідомлення запиту 1022 про ідентифікацію, з ідентифікатором виділеного/розширеного набору ключів (eKSI) і запитом_пристрою. eKSI може бути асоційований з K_ASME_D, що підлягає генерації. Так, eKSI, що використовується в запиті 1022 про ідентифікацію, може бути відмінним від будь-якого 13 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 іншого eKSI, який міг би використовуватися, наприклад, для АКА (тобто аутентифікації абонента). Після одержання повідомлення запиту 1022 про ідентифікацію пристрій 1002 може генерувати відповідь_пристрою, основану на запиті_пристрою, і відправляє її як частину повідомлення відповіді 1024 про ідентифікацію. Відповідь_пристрою може основуватися на запиті_пристрою і на ідентифікаційному номері пристрою або облікових даних. Пристрій 1002 потім може обчислити (складений) захисний ключ (K_ASME_D) 1025, оснований на даних ключі аутентифікації (наприклад, K_ASME) і даних аутентифікації пристрою (наприклад, відповідь пристрою тощо). ММЕ 1004 перевіряє відповідь_пристрою, наприклад, шляхом використання ідентифікатора пристрою або сертифіката пристрою 1002 і використання запита_пристрою. Якщо пристрій 1002 успішно аутентифікується за допомогою ММЕ 1004, ММЕ 1004 також генерує захисний ключ (K_ASME_D) 1027. На цій стадії пристрій 1002 і ММЕ 1004 спільно використовують захисний ключ (K_ASME_D) та ідентифікатор eKSI, що стосується його. ММЕ 1004 далі може відправляти команду 1026 безпечного режиму з ідентифікатором розвиненого/розширеного набору ключів (eKSI), що стосується захисного ключа (K_ASME_D). Це дозволяє пристрою 1002 обчислити один або декілька захисних ключів на основі захисного ключа (K_ASME_D). Пристрій 1002 може відправляти повідомлення 1028 "безпечний режимвиконаний" на ММЕ 1004, дозволяючи, таким чином, ММЕ 1004 відправляти повідомлення 1030 "приєднання виконано". Другий зразковий спосіб аутентифікації абонента-пристрою Фіг. 11 ілюструє другий зразковий спосіб генерації захисного ключа шляхом зв'язування аутентифікації абонента та аутентифікації пристрою. У цьому прикладі при розкритті ідентифікатора пристрою або сертифіката (або іншої інформації, зв'язаної з обліковими даними) по бездротовому зв'язку може виникнути проблема безпеки. На відміну від способу за фіг. 10, в цьому випадку передбачається, що попереднє надання ідентифікатора пристрою не приведе ні до яких проблем і ризиків у питаннях конфіденційності. Пристрій вже має ідентифікатор пристрою або облікові дані (наприклад, IMEI), які будуть прийняті ММЕ, але не має контексту безпеки E-UTRAN, який бажаний для використання ММЕ. Пристрій 1102 відправляє запит 1108 приєднання, що включає в себе ідентифікатор пристрою або облікові дані, до ММЕ 1004. ММЕ 1004 може одержувати інформацію 1110 про підписку та аутентифікацію від сервера 1106 домашніх абонентів (HSS) і відправляє запит 1112 аутентифікації, який включає в себе АКА запит (для аутентифікації підписки) і/або запит пристрою (для аутентифікації пристрою). Потрібно зазначити, що пристрій 1102 може відповідати шляхом відправки відповіді 1114 аутентифікації, яка може включати в себе АКА відповідь і/або відповідь пристрою. АКА відповідь може бути основана, щонайменше частково, на ідентифікаторі абонента. Відповідь пристрою може основуватися на ідентифікаторі пристрою і/або облікових даних і запиті пристрою. Пристрій 1104 потім може генерувати (складений) захисний ключ K_ASME_D шляхом комбінування інформації про аутентифікацію абонента і інформації про аутентифікацію пристрою. Подібним чином, після успішної перевірки АКА відповіді і відповіді пристрою, ММЕ 1104 також може генерувати захисний ключ K_ASME_D шляхом комбінування інформації про аутентифікацію абонента та інформації про аутентифікацію пристрою. ММЕ відправляє команду 1116 безпечного режиму, щоб почати використання безпечного контексту, основаного на захисному ключі K_ASME_D. Пристрій 1102 відповідає за допомогою повідомлення 1118 "безпечний режим - виконаний". Тобто пристрій 1102 і ММЕ 1104 можуть генерувати один або декілька додаткових захисних ключів (або інакше захищати сполучення між пристроєм 1102 та ММЕ 1104), використовуючи захисний ключ K_ASME_D. ММЕ 1104 потім може відправляти повідомлення 1120 "приєднання виконане" на пристрій 1102. Тут необхідно зазначити, що якщо ідентифікатор пристрою і/або облікові дані (або раніше одержані/згенеровані ключі пристрою) зберігалися на HSS 1106 або іншому сервері в мережі з ідентифікатором підписки, то пристрій 1102 міг би використовувати цю послідовність дій, щоб виконати приєднання. Щоб здійснити це, пристрій 1102 може визначити (наприклад, в запиті 1108 приєднання), що його ідентифікатор пристрою і/або облікові дані можуть бути одержані від HSS 1106 або іншого мережного сервера. Як альтернатива ММЕ 1104 може визначити для пристрою 1102, що запит_пристрою зв'язаний з конкретним ідентифікатором пристрою (наприклад, включаючи ідентифікатор пристрою, такий як IMEI, разом із запитом_пристрою в деякій формі). Таким чином, пристрій 1102 може знати, що запит пристрою (в запиті 1112 аутентифікації) асоційований з його ідентифікатором пристрою. Третій зразковий спосіб аутентифікації абонента-пристрою Фіг. 12 ілюструє третій зразковий спосіб генерації захисного ключа шляхом зв'язування аутентифікації абонента та аутентифікації пристрою. У цьому прикладі аутентифікація абонента 14 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 була раніше виконана, так що контекст 1206 безпеки абонента (наприклад, ключ K_ASME) вже є. Комбінована аутентифікація абонента і пристрою може бути ініційована мережею, щоб замінити існуючий контекст безпеки. Варіант реалізації може бути корисним для пристроїв, яким могло б знадобитися встановлення основаного на АКА контексту безпеки, щоб одержати повноцінні і діючі облікові дані від оператора. Цей підхід передбачає, що ММЕ вже знає ідентифікатор пристрою (наприклад, IMEI) і/або облікові_дані_пристрою. ММЕ 1204 відправляє запит 1208 аутентифікації в пристрій 1202, що включає в себе запит_пристрою. У відповідь пристрій 1202 відправляє відповідь 1210 аутентифікації в ММЕ 1204, що включає в себе відповідь_пристрою. Відповідь_пристрою може основуватися на запиті_пристрою і ідентифікаторі пристрою і/або сертифікаті. На цій стадії і пристрій 1202, і ММЕ 1204 можуть мати достатньо інформації, щоб обчислити (складений) захисний ключ K_ASME_D (наприклад, на базі основаного на АКА контексту безпеки та інформації про аутентифікацію). ММЕ 1204 може відправляти команду 1212 безпечного режиму NAS, щоб замінити існуючий контекст безпеки 1206 на контекст, оснований на новому захисному ключі K_ASME_D (наприклад, який включає в себе як аутентифікацію абонента, так і аутентифікацію пристрою). У відповідь пристрій 1202 може генерувати новий контекст безпеки, оснований на захисному ключі K_ASME_D, і може відправляти повідомлення 1214 "безпечний режим NAS - виконаний" у відповідь. Потрібно зазначити, що хоча різні приклади тут ілюструють, що як аутентифікація абонента, так і аутентифікація пристрою можуть виконуватися за допомогою ММЕ, інші мережні об'єкти також можуть виконувати деякі з цих функцій в комбінації з ММЕ або замість нього. Один або декілька компонентів, етапів, ознак і/або функцій, проілюстрованих на фіг. 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11 і/або 12, можуть бути перерозподілені і/або комбіновані в один компонент, етап, ознаку або функцію, що реалізується в декількох компонентах, етапах або функціях. Додаткові елементи, компоненти, етапи і/або функції також можуть бути додані, не виходячи за обсяг даного винаходу. Апарати, пристрої і/або компоненти, проілюстровані на фіг. 1, 5, 6 і/або 8, можуть бути сконфігуровані так, щоб реалізовувати один або декілька способів, ознак або етапів, описаних на фіг. 2, 3, 4, 7 і/або 9-12. Нові алгоритми, описані тут, також можуть ефективно реалізовуватися в програмному забезпеченні і/або апаратному забезпеченні. Також потрібно зазначити, що щонайменше декілька варіантів реалізації були описані як процеси, зображені у вигляді блок-схеми послідовності операцій або структурної діаграми. Хоча блок-схема може описувати операції як послідовний процес, багато які з операцій можуть виконуватися паралельно або одночасно одна з одною. Крім того, порядок операцій може бути змінений. Процес завершується, коли його операції будуть виконані. Процес може відповідати способу, функції, процедурі, підпрограмі тощо. Коли процес відповідає функції, його завершення відповідає поверненню функції до викликаючої функції або головної функції. Крім того, варіанти реалізації можуть реалізовуватися апаратним забезпеченням, програмним забезпеченням, програмно-апаратним забезпеченням, проміжним програмним забезпеченням, мікропрограмами або комбінацією перелічених програм. Під час реалізації в апаратному забезпеченні, програмному забезпеченні, програмно-апаратному забезпеченні, проміжному програмному забезпеченні або мікропрограмах, програмний код або кодові сегменти для виконання необхідних задач можуть зберігатися на машинозчитуваному носії, такому як носій даних або інший запам'ятовуючий пристрій (запам'ятовуючі пристрої). Процесор може виконувати необхідні задачі. Кодовий сегмент може являти собою процедуру, функцію, підпрограму, програму, стандартну операцію, модуль, пакет програм, клас або будь-яку комбінацію команд, структур даних або операторів програми. Кодовий сегмент може бути з'єднаний з іншим кодовим сегментом або схемою апаратного забезпечення за допомогою передачі і/або прийому інформації, даних, аргументів, параметрів або вмісту пам'яті. Інформація, аргументи, параметри, дані тощо можуть переноситися, переадресовуватися або передаватися за допомогою прийнятних засобів, включаючи спільне використання пам'яті, передачу повідомлень, мережну передачу тощо. Терміни "машинозчитуваний носій", "придатний для введення в комп'ютер носій" або "зчитуваний процесором носій" можуть включати в себе, але не обмежуватися цим, портативні або стаціонарні запам'ятовуючі пристрої, оптичні запам'ятовуючі пристрої та інші різні не тимчасові носії, здатні зберігати, містити або переносити команду (команди) і/або дані. Таким чином, різні способи, описані тут, можуть частково або повністю реалізовуватися командами і/або даними, які можуть зберігатися на "машинозчитуваному носії", "придатному для введення в комп'ютер носії" або "зчитувані процесором носії", і здійснюватися одним або декількома процесорами, машинами і/або пристроями. 15 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 Способи або алгоритми, описані в зв'язку з розкритими тут прикладами, можуть реалізовуватися напряму в апаратному забезпеченні, в модулі програмного забезпечення, що виконується процесором, або їх комбінації у вигляді блоку обробки, команд програмування або інших команд і можуть міститися на одному пристрої або можуть бути розподілені по декількох пристроях. Модуль програмного забезпечення може знаходитися в пам'яті RAM, флеш-пам'яті, ROM-пам'яті, EPROM-пам'яті, EEPROM-пам'яті, регістрах, на жорсткому диску, знімному диску, CD-ROM або будь-якому іншому не тимчасовому носії даних, відомому в даній галузі техніки. Носій даних може бути з'єднаний з процесором так, що процесор може зчитувати інформацію з носія даних і записувати інформацію на нього. Як альтернатива, носій даних може бути частиною процесора. Фахівці в даній галузі техніки зможуть також зрозуміти, що різні ілюстративні логічні блоки, модулі, схеми та етапи алгоритмів, описані в зв'язку з розкритими тут варіантами реалізації, можуть застосовуватися як електронне апаратне забезпечення, комп'ютерне програмне забезпечення або їх комбінація. Щоб чітко продемонструвати взаємозамінність апаратного забезпечення і програмного забезпечення, різні ілюстративні компоненти, блоки, модулі, схеми та етапи були описані вище загалом на основі своєї функціональності. Чи здійснюється така функціональність як апаратне забезпечення або програмне забезпечення, залежить від конкретного додатку і проектних обмежень, накладених на всю систему. Різні ознаки винаходу, описані тут, можуть застосовуватися в різних системах, не виходячи за рамки винаходу. Потрібно зазначити, що вищезазначені варіанти реалізації являють собою лише приклади і не повинні бути витлумачені як такі, що обмежують винахід. Опис варіантів реалізації має на меті бути ілюстративним і не обмежує обсяг винаходу. Як такі дані ідеї можуть легко застосовуватися відносно пристроїв інших типів, і множина їх альтернатив, модифікацій і варіацій будуть зрозумілі фахівцям в даній галузі техніки. Посилальні позиції 101 пристрій 102 ретрансляційний вузол 103/104 термінали доступу 105 інтерфейс термінала доступу 106 вузол доступу 107 інтерфейс вузла доступу 108 базова мережа бездротового зв'язку 109, 111, 113, 116 універсальні карти на основі інтегральної мікросхеми (UICC) 110 об'єкти керування мобільним зв'язком (ММЕ) 112 сервер домашніх абонентів (HSS) 202 пристрій 204 UICC 206 кореневий_ключ_абонента 207 ідентифікатор_абонента 209 ідентифікатор пристрою 210 обмін даними угоди про аутентифікацію і ключі (АКА) 212 запит пристрою 214 відповідь пристрою 216, 218 складений захисний ключ K_ASME_D 217, 219 додаткові захисні ключі 220 обмін повідомленнями 300 перша ієрархія ключів 300' друга ієрархія ключів 304 ключ до шифру (СК) 305 ключ K_NAS-enc 306 ключ цілісності (IK) 307 аутентифікація пристрою 308 ключ об'єкта керування безпекою доступу K_ASME 309 складений захисний ключ K_ASME_D 310, 312 ключі NAS 311 ключ K_NAS-int 314, 316, 318, 320 ключі AS 315 ключ K_UP-enc 317 ключ K_RRC-enc 319 ключ та K_RRC-int 16 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 322 пристрій 324 мережний об'єкт 326 обмін даними АКА 328 аутентифікація пристрою 340 запит аутентифікації абонента 342 відповідь аутентифікації абонента 344 запит аутентифікації пристрою 346 відповідь аутентифікації пристрою 402 стек протоколів 404 фізичний (PHY) рівень 406 рівенькерування доступом до середовища 408 рівень керування лінією радіозв'язку 410 рівень протоколу конвергенції пакетних даних 412 рівень керування радіоресурсами 414 рівень шару, не зв'язаного з наданням доступу 416 рівень додатків 418 рівень шару, зв'язаного з наданням доступу 420 канали 422 сеанси/радіо канали-носії 504 мережа доступу 506 сервер домашніх абонентів 510 об'єкт керування мобільністю (ММЕ) 600 бездротовий пристрій 602 схема обробки 604 інтерфейси бездротового зв'язку 605 специфічний для пристрою ключ 606 безпечне середовище 607 специфічний для абонента ключ 608 універсальна карта на основі інтегральної мікросхеми 609 ідентифікатор абонента 610 модуль зв'язування аутентифікації абонента і пристрою 611 ідентифікатор пристрою 800 мережний об'єкт 802 схема обробки 804 інтерфейс зв'язку 806 модуль зв'язування аутентифікації абонента і пристрою 1002, 1102, 1202 пристрій 1004, 1104, 1204 об'єкти керування мобільним зв'язком 1006, 1106 сервер домашніх абонентів (HSS) 1010, 1108 запит приєднання 1012, 1110 інформація про підписку та аутентифікацію 1014, 1112 запит аутентифікації 1016, 1114, 1210 відповідь аутентифікації 1018, 1116, 1212 команда безпечного режиму NAS 1020, 1028, 1118, 1214 повідомлення "безпечний режим - виконаний» 1022 повідомлення запиту про ідентифікацію 1024 повідомлення відповіді про ідентифікацію 1026 команди безпечного режиму з ідентифікатором розвиненого/розширеного набору ключів 1025, 1027 захисний ключ 1030, 1120 повідомлення "приєднання виконано» 1206 контекст безпеки абонента ФОРМУЛА ВИНАХОДУ 55 1. Спосіб, що діє в пристрої для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить: виконання аутентифікації абонента з мережним об'єктом на основі ключа аутентифікації абонента; 17 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 60 виконання аутентифікації пристрою з мережним об'єктом для згаданого пристрою і отримання даних аутентифікацї пристрою; генерацію захисного ключа на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і використання захисного ключа, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. 2. Спосіб за п. 1, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між пристроєм і мережним об'єктом. 3. Спосіб за п. 1, в якому аутентифікація пристрою основана на обміні даними за схемою "запитвідповідь" між пристроєм і мережним об'єктом. 4. Спосіб за п. 1, в якому аутентифікація абонента виконується першим сервером аутентифікації, який є частиною мережного об'єкта, і аутентифікація пристрою виконується другим сервером аутентифікації, який є частиною мережного об'єкта. 5. Спосіб за п. 1, в якому аутентифікація пристрою виконується за допомогою: прийому даних від мережного об'єкта, які зашифровані за допомогою відкритого ключа пристрою; використання відповідного секретного ключа, щоб розшифрувати зашифровані дані; і подальшого доказу мережному об'єкту того, що згаданий пристрій має відомості про дані. 6. Спосіб за п. 1, який додатково містить: відправку запиту про приєднання від пристрою до мережного об'єкта, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою. 7. Спосіб за п. 1, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента. 8. Спосіб за п. 1, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані. 9. Спосіб за п. 1, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними. 10. Спосіб за п. 1, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою. 11. Спосіб за п. 10, в якому захисний ключ також являє собою функцію одноразового слова шифрування мережі та одноразового слова шифрування пристрою. 12. Спосіб за п. 1, в якому пристрій являє собою ретрансляційний вузол, який виступає як термінал доступу до мережного об'єкта, а також виступає як мережний пристрій для одного або декількох терміналів доступу. 13. Спосіб за п. 1, в якому захисний ключ окремо генерується пристроєм і мережним об'єктом. 14. Спосіб за п. 1, який додатково містить: забезпечення специфічного для абонента ключа як частини угоди на обслуговування, при цьому специфічний для абонента ключ використовується для аутентифікації абонента; і забезпечення специфічного для пристрою ключа в пристрої при виробництві, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою. 15. Пристрій для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить: інтерфейс зв'язку; і схему обробки, з'єднану з інтерфейсом зв'язку, при цьому схема обробки сконфігурована, щоб: виконувати аутентифікацію абонента з мережним об'єктом на основі ключа аутентифікації абонента; виконувати аутентифікацію пристрою з мережним об'єктом для згаданого пристрою і отримувати дані аутентифікацї пристрою; генерувати захисний ключ на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. 16. Пристрій за п. 15, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між пристроєм і мережним об'єктом. 17. Пристрій за п. 15, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між пристроєм і мережним об'єктом. 18. Пристрій за п. 15, в якому аутентифікація пристрою виконується за допомогою: прийому даних від мережного об'єкта, які зашифровані за допомогою відкритого ключа пристрою; 18 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 використання відповідного секретного ключа, щоб розшифрувати зашифровані дані; і подальшого доказу мережному об'єкту того, що пристрій має відомості про дані. 19. Пристрій за п. 15, який додатково містить: відправку запиту про приєднання від пристрою до мережного об'єкта з використанням інтерфейсу зв'язку, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою. 20. Пристрій за п. 15, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента. 21. Пристрій за п. 15, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані. 22. Пристрій за п. 15, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою, захищеному обмінюванні даними. 23. Пристрій за п. 15, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою. 24. Пристрій за п. 15, причому пристрій являє собою ретрансляційний вузол, який виступає як термінал доступу до мережного об'єкта, а також виступає як мережний пристрій для одного або декількох терміналів доступу. 25. Пристрій за п. 15, який додатково містить: знімний запам'ятовуючий пристрій, який з'єднаний зі схемою обробки і зберігає специфічний для абонента ключ, що використовується для аутентифікації абонента; і захищений запам'ятовуючий пристрій, який з'єднаний зі схемою обробки і зберігає специфічний для пристрою ключ, що використовується для аутентифікації пристрою. 26. Пристрій для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить: засіб для виконання аутентифікації абонента з мережним об'єктом на основі ключа аутентифікації абонента; засіб для виконання аутентифікації пристрою з мережним об'єктом для згаданого пристрою і отримання даних аутентифікацї пристрою; засіб для генерації захисного ключа на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і засіб для використання захисного ключа, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. 27. Пристрій за п. 26, який додатково містить: засіб для зберігання специфічного для абонента ключа, що використовується для аутентифікації абонента; і засіб для зберігання специфічного для пристрою ключа, що використовується для аутентифікації пристрою. 28. Зчитуваний процесором носій зберігання, який містить інструкції, що діють в пристрої для зв'язування аутентифікації абонента і аутентифікації пристрою, які при виконанні процесором спонукають процесор: виконувати аутентифікацію абонента з мережним об'єктом на основі ключа аутентифікації абонента; виконувати аутентифікацію пристрою з мережним об'єктом для згаданого пристрою і отримувати дані аутентифікацї пристрою; генерувати захисний ключ на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і використовувати захисний ключ, щоб забезпечити зв'язок між пристроєм та обслуговуючою мережею. 29. Спосіб, що діє в мережному об'єкті, для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить: виконання аутентифікації абонента з пристроєм на основі ключа аутентифікації абонента; виконання аутентифікації пристрою для згаданого пристрою; і отримання даних аутентифікації пристрою; генерацію захисного ключа, на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і використання захисного ключа, щоб забезпечити зв'язок між мережним об'єктом і пристроєм. 30. Спосіб за п. 29, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між мережним об'єктом і пристроєм. 19 UA 106299 C2 5 10 15 20 25 30 35 40 45 50 55 31. Спосіб за п. 29, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між мережним об'єктом і пристроєм. 32. Спосіб за п. 29, в якому аутентифікація пристрою включає в себе: прийом сертифіката від пристрою; перевірку сертифіката, асоційованого з пристроєм, на предмет того, що він не був анульований. 33. Спосіб за п. 29, який додатково містить: прийом запиту про приєднання від пристрою, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою. 34. Спосіб за п. 29, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента. 35. Спосіб за п. 29, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані. 36. Спосіб за п. 29, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними. 37. Спосіб за п. 29, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою. 38. Спосіб за п. 29, в якому захисний ключ окремо генерується пристроєм і мережним об'єктом. 39. Спосіб за п. 29, який додатково містить: отримання специфічного для абонента ключа як частини угоди на обслуговування, при цьому специфічний для абонента ключ використовується для аутентифікації абонента; і отримання специфічного для пристрою ключа для згаданого пристрою, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою. 40. Мережний об'єкт для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить: інтерфейс зв'язку; і схему обробки, з'єднану з інтерфейсом зв'язку, при цьому схема обробки сконфігурована, щоб: виконувати аутентифікацію абонента з пристроєм на основі ключа аутентифікації абонента; виконувати аутентифікацію пристрою для згаданого пристрою і отримувати дані аутентифікацї пристрою; генерувати захисний ключ, на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і використовувати захисний ключ, щоб забезпечити зв'язок між мережним об'єктом і пристроєм. 41. Мережний об'єкт за п. 40, в якому аутентифікація абонента основана на обміні даними угоди про ключ аутентифікації між мережним об'єктом і пристроєм. 42. Мережний об'єкт за п. 40, в якому аутентифікація пристрою основана на обміні даними за схемою "запит-відповідь" між мережним об'єктом і пристроєм. 43. Мережний об'єкт за п. 40, в якому схема обробки додатково сконфігурована, щоб: приймати запит про приєднання від пристрою, при цьому запит про приєднання включає в себе індикацію, що пристрій має можливість аутентифікації пристрою. 44. Мережний об'єкт за п. 40, в якому аутентифікація пристрою захищена щонайменше одним ключем, згенерованим під час аутентифікації абонента. 45. Мережний об'єкт за п. 40, в якому аутентифікація абонента та аутентифікація пристрою виконуються одночасно в обмінах повідомленнями, в яких аутентифікація абонента і аутентифікація пристрою об'єднані. 46. Мережний об'єкт за п. 40, в якому аутентифікація абонента виконується при більш ранньому і окремому від аутентифікації пристрою захищеному обміні даними. 47. Мережний об'єкт за п. 40, в якому захисний ключ генерується як функція від щонайменше першого ключа, отриманого при аутентифікації абонента, і другого ключа, отриманого при аутентифікації пристрою. 48. Мережний об'єкт за п. 40, який додатково містить: схему обробки для отримання специфічного для абонента ключа як частини угоди на обслуговування, при цьому специфічний для абонента ключ використовується для аутентифікації абонента; і схему обробки для отримання специфічного для пристрою ключа для згаданого пристрою, при цьому специфічний для пристрою ключ використовується для аутентифікації пристрою. 49. Мережний об'єкт для зв'язування аутентифікації абонента і аутентифікації пристрою, який містить: 20 UA 106299 C2 5 10 15 засіб для виконання аутентифікації абонента з пристроєм на основі ключа аутентифікації абонента; засіб для виконання аутентифікації пристрою для згаданого пристрою і отримання даних аутентифікації пристрою; засіб для генерації захисного ключа, на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і засіб для використання захисного ключа, щоб забезпечити зв'язок між мережним об'єктом і пристроєм. 50. Зчитуваний процесором носій для зберігання, який містить інструкції, що діють в мережному об'єкті, для зв'язування аутентифікації абонента і аутентифікації пристрою, які при виконанні процесором спонукають процесор: виконувати аутентифікацію абонента з пристроєм на основі ключа аутентифікації абонента; виконувати аутентифікацію пристрою для згаданого пристрою і отримувати дані аутентифікацї пристрою; генерувати захисний ключ на основі ключа аутентифікації абонента і даних аутентифікації пристрою, який зв'язує аутентифікацію абонента та аутентифікацію пристрою; і використовувати захисний ключ, щоб забезпечити зв'язок між мережним об'єктом і пристроєм. 21 UA 106299 C2 22 UA 106299 C2 23 UA 106299 C2 24 UA 106299 C2 25 UA 106299 C2 26 UA 106299 C2 27 UA 106299 C2 28
ДивитисяДодаткова інформація
Назва патенту англійськоюMethod and apparatus for binding subscriber authentication and device authentication in communication systems
Автори англійськоюEscott, Adrian Edward, Palanigounder, Anand
Автори російськоюЭскотт Эдриан Эдвард, Паланигоундер Ананд
МПК / Мітки
МПК: H04W 12/04, H04L 29/06
Мітки: абонента, зв'язування, зв'язку, пристрою, спосіб, пристрій, аутентифікації, системах
Код посилання
<a href="https://ua.patents.su/34-106299-sposib-ta-pristrijj-dlya-zvyazuvannya-autentifikaci-abonenta-ta-autentifikaci-pristroyu-v-sistemakh-zvyazku.html" target="_blank" rel="follow" title="База патентів України">Спосіб та пристрій для зв’язування аутентифікації абонента та аутентифікації пристрою в системах зв’язку</a>
Спосіб аутентифікації щонайменше одного абонента при обміні даними
Номер патенту: 65633
Опубліковано: 15.04.2004
Автор: Поккрандт Вольфганг
Мітки: одного, щонайменше, даними, спосіб, аутентифікації, обміні, абонента
Формула / Реферат:
1. Спосіб аутентифікації щонайменше одного елемента системи іншим елементом утвореної чіп-карткою і терміналом запису/зчитування системи передачі інформації, згідно з яким від першого елемента (1) системи другому елементу (2) системи передають виклик, в другому елементі (2) системи цей виклик з використанням алгоритму перероблюють у відповідь і передають першому елементу (1) системи і в першому елементі (1) системи відповідь перевіряють на...
Пристрій для індикації номера викликаючого абонента на телефонному апараті абонента, що виключається
Номер патенту: 4186
Опубліковано: 27.12.1994
Автори: Шпіта Олександр Васильович, Нікулін Валерій Павлович, Юрченко Віталій Анатолійович, Шапошніков Віктор Васильович, Бондарева Клавдія Володимирівна
МПК: H04M 1/57
Мітки: пристрій, викликаючого, апараті, індикації, телефонному, виключається, номера, абонента
Формула / Реферат:
1. Устройство для индикации номера вызывающего абонента на телефонном аппарате вызываемого абонента, содержащее последовательно соединенные блок фильтров и дешифратор, последовательно соединенные преобразователь сигналов, распределитель, блок памяти и блок индикации, при этом выходы дешифратора соединены с входами данных блока памяти, отличающееся тем, что введены последовательно соединенные генератор импульсов, счетчик, управляющий блок и...
Спосіб та пристрій для взаємної аутентифікації
Номер патенту: 95313
Опубліковано: 25.07.2011
Автори: Дондеті Лакшмінатх Редді, Перес Арам
МПК: H04L 9/32
Мітки: пристрій, взаємної, аутентифікації, спосіб
Формула / Реферат:
1. Спосіб взаємної аутентифікації між першим об'єктом і другим об'єктом, який містить етапи, на яких:за допомогою першого об'єкта, ініціюють взаємну аутентифікацію за допомогою відправлення повідомлення другому об'єкту;за допомогою другого об'єкта, верифікують перший відкритий ключ, асоційований з першим об'єктом, формують перше випадкове число, шифрують перше випадкове число за допомогою першого відкритого ключа і відправляють...
Пристрій індикації номера викликаючого абонента на телефонному апараті абонента, що викликається
Номер патенту: 19468
Опубліковано: 25.12.1997
Автори: Устинов Юрій Євгенійович, Самков Олександр Всеволодович, Рибчинський Юхим Борисович, Самкова Вікторія Юхимівна, Новський Володимир Олександрович
МПК: H04M 1/57
Мітки: викликається, телефонному, номера, пристрій, апараті, абонента, індикації, викликаючого
Формула / Реферат:
Устройство индикации номера вызывающего абонента на телефонном аппарате вызываемого абонента, содержащее на стороне вызываемого абонента последовательно соединенные блок фильтров и дешифратор кода, а также последовательно соединенные преобразователь, распределитель, блок памяти и блок индикации, отличающееся тем, что введены блок литания, блок сопряжения, контроллер, блок подмены, диоды с первого по шестой, причем блок питания соединен по...
Система отримання інформації про абонента з бази даних за допомогою мобільного пристрою в режимі реального часу
Номер патенту: 87200
Опубліковано: 27.01.2014
Автор: Лебідь Євгеній Михайлович
МПК: H04W 64/00, H04W 4/00
Мітки: допомогою, мобільного, отримання, режимі, абонента, реального, система, пристрою, часу, інформації, даних, базі
Формула / Реферат:
1. Система отримання інформації про абонента з бази даних за допомогою мобільного пристрою в режимі реального часу, яка додатково відображає інформацію про останні контакти абонента і загальну інформацію про нього, що включає пристрій користувача, з якого викликають абонента, пристрій користувача, якого викликають, оператор зв'язку і мережу оператора, сервер для зберігання, обробки та передачі інформації, яка відрізняється тим, що оператор...
Попередній патент: Статор трифазного синхронного гідрогенератора з полюсно-перемикальною обмоткою
Наступний патент: Судно з танками (варіанти) і спосіб завантаження-вивантаження і транспортування вантажів на цьому судні (варіанти)
Випадковий патент: Багатохвильова електророзрядна лампа синьо-зеленого та інфрачервоного спектрального діапазону випромінювання