[發明專利]提供3GPP網絡與無線局域網互通安全的方法和裝置

有效

• 申請號: 200910197176.X
• 申請日: 2009-10-10
• 公開（公告）號: CN102045714A
• 公開（公告）日: 2011-05-04
• 發明（設計）人: 胡志遠;駱志剛;雷正雄;金曉蓉;萬永根
• 申請（專利權）人: 上海貝爾股份有限公司
• 主分類號: H04W12/04
• 分類號: H04W12/04;H04W12/10;H04W92/02
• 代理公司: 北京市中咨律師事務所 11247
• 代理人: 楊曉光;于靜

1.一種在3GPP網絡與無線局域網互通時在網絡側實體中提供安全保護的方法，包括：

預先獲得在所述實體與所述無線局域網終端之間共享的密鑰；

通過在所述網絡側實體與所述無線局域網終端之間的普通分組數據傳輸隧道為所述無線局域網終端傳輸分組數據；以及

檢查來自所述無線局域網終端的分組的數據完整性，其中利用分組頭部的“選項”字段來承載完整性檢查的安全參數。

2.根據權利要求1的方法，其中，周期性地檢查來自所述無線局域網終端的分組的數據完整性或檢查來自所述無線局域網終端的每一分組的數據完整性。

3.根據權利要求1的方法，其中，所述密鑰是根據通過所述無線局域網終端與所述3GPP網絡之間的EAP-AKA/EAP-SIM認證及密鑰協商過程得到的密鑰導出的。

4.根據權利要求1至3中任意一個的方法，其中，所述完整性檢查包括：

向所述無線局域網終端發送完整性質詢，其中所述質詢的時間戳或序列號以及隨機數被承載在分組頭部的“選項”字段中；

響應于所述質詢，從所述無線局域網終端接收完整性響應，其中所述響應的響應參數被承載在分組頭部的“選項”字段中；以及

確定所述響應的響應參數是否正確以檢查分組的數據完整性。

5.根據權利要求4的方法，其中，所述完整性檢查進一步包括：

確定對于承載所述響應的分組是否存在正確的地址映射。

6.根據權利要求1的方法，其中，所述實體位于以下設備中的至少一個中：無線局域網接入網關、分組數據網關或3GPP?AAA服務器。

7.一種在3GPP網絡與無線局域網互通時在無線局域網終端中提供安全保護的方法，包括：

預先獲得在網絡側實體與所述無線局域網終端之間共享的密鑰；

通過所述無線局域網終端與所述實體之間的普通分組數據傳輸隧道傳輸分組數據；以及

響應來自所述實體的對發自所述無線局域網終端的分組的數據完整性檢查，其中利用分組頭部的“選項”字段來承載完整性檢查的安全參數。

8.根據權利要求7的方法，其中，響應完整性檢查包括：

接收來自所述實體的完整性質詢，其中所述質詢的時間戳或序列號以及隨機數被承載在分組頭部的“選項”字段中；以及

將響應于所述質詢的響應發送給所述實體，其中所述響應的響應參數被承載在分組頭部的“選項”字段中。

9.根據權利要求9的方法，其中，所述響應完整性檢查進一步包括：

響應于接收來自所述實體的完整性質詢，確定所述密鑰是否有效；以及

如果所述密鑰無效，則經由所述無線局域網終端與所述3GPP網絡之間的EAP-AKA/EAP-SIM認證及密鑰協商過程重新獲得密鑰以導出在所述實體與所述無線局域網終端之間共享的密鑰。

10.一種在3GPP網絡與無線局域網互通時提供安全保護的網絡側裝置，包括：

用于預先獲得在所述網絡側裝置與所述無線局域網終端之間共享的密鑰的裝置；

通過所述網絡側裝置與所述無線局域網終端之間的普通分組數據傳輸隧道為所述無線局域網終端傳輸分組數據的裝置；以及

檢查來自所述無線局域網終端的分組的數據完整性的裝置，其中利用分組頭部的“選項”字段來承載完整性檢查的安全參數。

11.根據權利要求10的網絡側裝置，其中，檢查數據完整性的裝置包括：

用于向所述無線局域網終端發送完整性質詢的裝置，其中所述質詢的時間戳或序列號以及隨機數被承載在分組頭部的“選項”字段中；

用于響應于所述質詢，從所述無線局域網終端接收完整性響應的裝置，其中所述響應的響應參數被承載在分組頭部的“選項”字段中；以及

確定所述響應的響應參數是否正確以檢查分組的數據完整性的裝置。

12.根據權利要求11的網絡側裝置，其中，所述檢查數據完整性的裝置進一步包括：

確定對于承載所述響應的分組是否存在正確的地址映射的裝置。

13.根據權利要求12的網絡側裝置，其中，所述網絡側裝置位于以下設備中的至少一個中：無線局域網接入網關、分組數據網關或3GPP?AAA服務器。