Source: https://patents.google.com/patent/FI110975B/en
Timestamp: 2019-07-15 22:29:30+00:00
Document Index: 14017938

Matched Legal Cases: ['kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ']

FI110975B - Cheating Prevention of telecommunication systems - Google Patents
Cheating Prevention of telecommunication systems Download PDF
FI110975B
FI110975B FI992767A FI19992767A FI110975B FI 110975 B FI110975 B FI 110975B FI 992767 A FI992767 A FI 992767A FI 19992767 A FI19992767 A FI 19992767A FI 110975 B FI110975 B FI 110975B
FI992767A
FI19992767A (en
Hannu T Jokinen
1999-12-22 Priority to FI992767 priority Critical
1999-12-22 Priority to FI992767A priority patent/FI110975B/en
2001-06-23 Publication of FI19992767A publication Critical patent/FI19992767A/en
2003-04-30 Publication of FI110975B publication Critical patent/FI110975B/en
2006-12-01 First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=8555800&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=FI110975(B) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
In a packet radio network a packet data address is activated for a terminal for transmitting data packets between the terminal and an external network. Information on the activated packet data address is stored at least in the edge nodes of the network. To prevent spoofing, i.e. misrepresentation of sender data, the method and network node of the invention comprise checking ( 206 ) in the node whether the source address of the packet transmitted from the terminal is the same as the packet data address used in the transmission of the packet or does the source address belong to a set of allowed packet data addresses. The packet is transmitted ( 207 ) from the node towards the destination address only if the addresses are identical or the source address belongs to the set of allowed packet data addresses.
110975 110975
Huijaamisen estäminen tietoliikennejärjestelmissä Cheating Prevention of telecommunication systems
Keksintö liittyy huijaamisen estämiseen tietoliikennejärjestelmissä, jotka kykenevät siirtämään pakettidataa. The invention relates to prevention of spoofing in telecommunications systems which are capable of transmitting packet data. Erityisesti keksintö liittyy matkaviesti-5 meitä lähetettyjen IP (Internet Protocol) -pakettien lähettäjätietojen huijaamisen estämiseen matkaviestinjärjestelmissä. In particular, the invention relates to a mobile-five of us to prevent the transmitted IP (Internet Protocol) packets by spoofing the mobile communication systems.
Matkaviestinjärjestelmät tarjoavat käyttäjälle liikkuvaa datansiirtoa varten tehokkaan liittymäverkon, joka antaa pääsyn varsinaisiin dataverkkoihin. Mobile communications systems provide for mobile data transfer with an efficient access network, which gives access to the actual data networks. Erityisen hyvin liikkuvaa datansiirtoa tukevat digitaaliset matkaviestinjär-10 jestelmät, kuten yleiseurooppalainen matkaviestinjärjestelmä GSM (Global System for Mobile Communication). support particularly well mobile data transmission in a digital matkaviestinjär-10 systems, such as the pan-European mobile communication system GSM (Global System for Mobile Communication). Datalla tarkoitetaan tässä hakemuksessa mitä tahansa digitaalisessa tietoliikennejärjestelmässä välitettävää informaatiota. Data refers to any information transmitted in a digital communication system, the information in this application. Tällainen informaatio voi käsittää digitaaliseen muotoon koodattua ääntä ja/tai kuvaa, tietokoneiden välistä dataliikennettä, telefaksidataa, lyhyitä ohjel-15 makoodin kappaleita jne. Matkaviestinjärjestelmä viittaa yleisesti mihin tahansa tietoliikennejärjestelmään, joka käyttää langatonta liikennöintiä, kun käyttäjät liikkuvat järjestelmän palvelualueen sisällä. Such information may comprise digitally encoded audio and / or image, data communication between computers, telefax data, short translation in over-15 code being pieces etc. The mobile communication system generally refers to any telecommunication system that uses a wireless traffic when users are moving within the system service area. Tyypillinen matkaviestinjärjestelmä on yleinen maanpäällinen matkaviestinverkko (PLMN, Public Land Mobile Network). A typical mobile communications system is a Public Land Mobile Network (PLMN, Public Land Mobile Network). Matkaviestinverkko on usein liityntäverkko (accessverkko), joka 20 tarjoaa käyttäjälle langattoman liitynnän ulkopuolisiin verkkoihin, isäntiin, tai palveluihin, joita erityiset palvelujen tuottajat tarjoavat. The mobile network is often an access network (access network), 20 which provides the user with wireless access to external networks, hosts, or services offered by specific service providers offer.
Yksi päätavoitteista matkaviestinjärjestelmien kehittämisessä on ollut tarjota mahdollisuus IP -palvelujen käyttöön matkaviestinverkon välityksellä siten, että matkaviestinkin voi toimia isäntänä (host). One of the main objectives in the development of mobile communications systems has been to provide the opportunity to use IP services via the mobile communications network so that the mobile can even act as a host (host). Tämä on mahdollista 25 esimerkiksi yleisessä pakettiradiopalvelussa GPRS (General Packet Radio Service). This is a possible 25, for example, general packet radio service GPRS (General Packet Radio Service). GPRS on pakettidatasiirron liikkuvien datapäätelaitteiden ja ulkopuolisten dataverkkojen välillä tarjoava palvelu GSM-järjestelmässä (Global System for Mobile Communication). The GPRS is a service that provides packet data transmission between mobile data terminals and external data networks when the GSM system (Global System for Mobile Communication). Lähettääkseen ja vastaanottaakseen GPRS-dataa matkaviestimen täytyy aktivoida pakettidataosoite, jota se haluaa käyt-. In order to send and receive GPRS data, the MS shall activate the packet data address that it wants to use. . . 30 tää, pyytämällä PDP (Packet Data Protocol) -aktivointiproseduuria. 30 TAA, by requesting a PDP (Packet Data Protocol) -aktivointiproseduuria. Tämä ope- „ raatio tekee matkaviestimen tunnetuksi vastaavassa yhdyskäytävät kisolmus- sa ja yhteistoiminta ulkopuolisten dataverkkojen kanssa voi alkaa aktivoidulla pakettidataosoitteella. This teaching "addition operation makes the mobile station known in the corresponding kisolmus- sa gateways and interworking with external data networks can commence activated packet data address. Vastaavanlaisia ratkaisuja ollaan myös suunnittelemassa niin sanottuihin kolmannen sukupolven matkaviestinjärjestelmiin, kuten 2 110975 UMTS (Universal Mobile Communications System) ja lMT-2000 (International Mobile Telecommunications 2000). Similar solutions are also being designed in so-called third generation mobile communication systems, such as 2 110975 UMTS (Universal Mobile Communications System) and IMT-2000 (International Mobile Telecommunications 2000).
Erityisesti IP-verkoissa huijaaminen (spoofing) eli IP-datapaketin lähdeosoitteen väärentäminen on helppoa. In particular IP networks cheating (spoofing) or IP source address of the data packet forgery is easy. Toisin sanoen isäntä, jolta IP-5 paketti lähtee, voi valehdella itsensä joksikin toiseksi ja lähettää vaikkapa A:n nimissä paketteja B:lle, joka lähettää vastauksen A:!le. In other words, the host from which the IP packet 5 leaves may lie themselves into another, say A and sends the name of packets B, which sends a response to A. Le. Tällöin sekä A että B tulevat häirityksi. In this case, both A and B will be disturbed. Eräänä ratkaisuna on palomuurien käyttö. One solution is the use of firewalls. Niissä käyttäjää ei kuitenkaan autentikoida, vaan tarkkaillaan pelkkiä lähde- ja kohdeosoitteita. In the user does not authenticate, but merely monitored by source and destination addresses. Lähdeosoitteet kerrotaan yleensä palomuurissa aliverkon tarkkuudella eikä 10 palomuuri siten voi tietää paketin todellista lähettäjää, jolloin samassa aliverkossa olevat isännät voivat esiintyä toisinaan. Source Addresses usually describes the firewall subnet places 10 and thus the firewall can not know the real sender of the packet, in which case the hosts on the same subnet may occasionally occur. Koska palomuurissa sallittujen lähdeosoitteiden tulee olla etukäteen tiedossa ja matkaviestimen on voitava liikkua yhden palomuurin alueelta toisen palomuurin alueelle vaihtamatta IP-osoitettaan, palomuurien sallitut lähdeosoitteet kattavat käytännössä kaikki ne 15 matkaviestimet, jotka voivat kytkeytyä palomuurin suojaamaan aliverkkoon. Because the firewall permitted source addresses must be known in advance and the mobile station must be able to move a single firewall in the other area of ​​the firewall without changing its IP address, the permitted source addresses of the firewalls in practice cover all the 15 mobile handsets that can connect to the firewall to protect your subnet. Niinpä ongelmana onkin, että IP-paketin lähdeosoitteeseen ei voida luottaa, vaan huijaamisen estämiseksi mobiili isäntä täytyy autentikoida erikseen. Thus, the problem is that an IP packet, the source address can not be trusted, but in order to prevent spoofing the mobile host must be authenticated separately. Erityisen tärkeää huijaamisen estäminen on isännältä laskutettavia IP-palveluita käytettäessä. It is particularly important to prevent cheating is billed from the host IP services are used. Luotettava autentikointiproseduuri voi kuitenkin lisätä verkon 20 viivettä tai kuluttaa tarpeettomasti matkaviestinverkoissa rajallista resurssia eli ilmarajapintaa. However, the reliable authentication procedure may increase the network 20, delay, or needlessly consumes scarce resource in mobile communication networks, namely air interface.
Keksinnön tavoitteena on siten kehittää menetelmä ja menetelmän toteuttava laitteisto siten, että datapaketin vastaanottaja voi olla varma siitä, 25 että datapaketissa lähdeosoite kertoo paketin todellisen lähettäjän. The aim of the invention is to provide a method and an apparatus implementing the method such that the data packet the receiver can be certain that a data packet 25 and the source address of the packet indicates the real sender.
Keksinnön tavoitteet saavutetaan menetelmällä huijaamisen estämiseksi tietoliikennejärjestelmässä, joka käsittää datapaketteja lähettämään pystyvän päätelaitteen ja ainakin yhden solmun ensimmäisessä alijärjestelmässä datapakettien vastaanottamiseksi ja edelleen lähettämiseksi. The objects are achieved by a method of preventing spoofing in a telecommunications system which comprises a data terminal capable of transmitting packets and at least one node in the first sub-system for receiving data packets and forwarding. Menetel-30 mä käsittää seuraavat askeleet: aktivoidaan ensimmäisessä alijärjestelmässä päätelaitteelle pakettidataosoite datapakettien välittämiseksi päätelaitteen ja toisen alijärjestelmän välillä; The method, I-30 comprising the following steps of: activating in the first subsystem for transmitting to the terminal a packet data address for data packets between the terminal and a second subsystem; tallennetaan pakettidataosoite ainakin yhteen ensimmäisen alijärjestelmän solmuun, jonka kautta pakettidataosoitteen datapaketit reitittyvät; storing the packet data address in at least one node of the first subsystem via which the packet data address, data packets are routed; vastaanotetaan mainitussa solmussa päätelaitteelta lähetetty 35 paketti, joka käsittää kohdeosoitteen ja lähdeosoitteen; receiving in said node the packet sent from the terminal 35, the packet comprising a destination address and a source address; tarkistetaan mainitussa 3 110975 solmussa, onko paketin lähdeosoite sama kuin pakettidataosoite; 3 110975 checked in said node whether the source address of the packet the same as the packet data address; ja lähetetään paketti solmusta kohdeosoitetta kohti ainoastaan, jos osoitteet ovat samat. and transmitting the packet from the node towards the destination address only if the addresses are the same.
Keksinnön kohteena on lisäksi menetelmä huijaamisen estämiseksi 5 tietoliikennejärjestelmässä, joka käsittää datapaketteja lähettämään pystyvän päätelaitteen ja ainakin yhden solmun ensimmäisessä alijärjestelmässä datapakettien vastaanottamiseksi ja edelleen lähettämiseksi. The invention further provides a method of preventing spoofing in a telecommunications system 5, which comprises a data terminal capable of transmitting packets and at least one node in the first sub-system for receiving data packets and forwarding. Menetelmä käsittää seuraavat askeleet: aktivoidaan ensimmäisessä alijärjestelmässä päätelaitteelle pakettidataosoite datapakettien välittämiseksi päätelaitteen ja toisen alijär-10 jestelmän välillä: tallennetaan pakettidataosoite ainakin yhteen ensimmäisen alijärjestelmän solmuun, jonka kautta pakettidataosoitteen datapaketit reitittyvät: vastaanotetaan mainitussa solmussa päätelaitteelta lähetetty paketti, joka käsittää kohdeosoitteen ja lähdeosoitteen; The method comprises the steps of: activating in the first subsystem for transmitting to the terminal a packet data address for data packets between the terminal and a second alijär-10 system: storing the packet data address in at least one of the first sub-system node through which the packet data address, data packets are routed: receiving in said node the packet sent from the terminal, the packet comprising a destination address and a source address; määritellään pakettidataosoite osoi-tejoukkona; defining the packet data address osoi-tejoukkona; tarkistetaan mainitussa solmussa, kuuluuko paketin lähdeosoite 15 osoitejoukkoon; reviewed in said node whether the source address of the packet address ranks 15; ja lähetetään paketti solmusta kohdeosoitetta kohti ainoastaan, jos lähdeosoite kuuluu osoitejoukkoon and transmitting a packet from the node towards the destination address only if the source address belongs to the ranks of address
Keksinnön kohteena on edelleen verkkosolmu datapakettien välittämiseksi pakettiverkon päätelaitteelta vastaanottajalle, joka verkkosolmu on järjestetty aktivoimaan päätelaitteelle ainakin yksi pakettidataosoite, jota 20 päätelaite voi käyttää datapaketteja lähettäessään, ja liittämään päätelaitteelta vastaanotetun paketin päätelaitteen käyttämään pakettidataosoitteeseen. The invention further relates to a network node for transmitting data packets in a packet network terminal device to which the network node is arranged to activate the terminal at least one packet data address is 20, the terminal can use when transmitting data packets, and to attach the received terminal to the packet terminal to the packet data address. Verkkosolmulle on tunnusomaista, että se on järjestetty vasteena paketin vastaanotolle vertaamaan paketissa olevaa lähdeosoitetta päätelaitteen käyttämään pakettidataosoitteeseen, ja lähettämään paketin verkkosolmusta pake-2b tissa olevaa kohdeosoitetta kohti ainoastaan, jos osoitteet ovat samat. Network node is characterized in that it is arranged in response to the reception of the packet by comparing the packet to the source address of the terminal to the packet data address and to transmit the packet from the network node in the PAKE-2b acetate towards the destination address only if the addresses are the same.
Keksinnön kohteena on lisäksi verkkosolmu datapakettien välittämiseksi pakettiverkon päätelaitteelta vastaanottajalle, joka verkkosolmu on järjestetty aktivoimaan päätelaitteelle ainakin yksi pakettidataosoite, jota päätelaite voi käyttää datapaketteja lähettäessään, ja liittämään päätelaitteelta 30 vastaanotetun paketin päätelaitteen käyttämään pakettidataosoitteeseen. The invention relates to a network node a data packet to transmit the packet network from the terminal to which the network node is arranged to activate the terminal at least one packet data address for the terminal can use when transmitting data packets, and to attach the received terminal device 30 to a package terminal to the packet data address. Verkkosolmulle on tunnusomaista, että pakettidataosoite on määritelty osoitejoukkona, ja verkkosolmu on järjestetty vasteena paketin vastaanotolle tarkistamaan, kuuluuko paketissa oleva lähdeosoite päätelaitteen käyttämän pakettidataosoitteen osoitejoukkoon, ja lähettämään paketin verkkosolmusta 35 paketissa olevaa kohdeosoitetta kohti ainoastaan, jos lähdeosoite kuuluu osoitejoukkoon. Network node is characterized in that the packet data address is specified address as a set, and the network node is arranged in response to the reception of a packet to check whether the packet source address of a terminal used by a packet data address to the address set, and send the packet from the network node towards the 35 packet destination address only if the source address is address set.
4 110975 4 110975
Keksintö perustuu siihen, että datapakettien välittämiseksi aktivoidun pakettidataosoitteen ansiosta esimerkiksi yhdyskäytävätukisolmu GGSN tietää datapaketin lähettäneen matkaviestimen pakettidataosoitteen, joten yhdyskäytävätukisolmun GGSN:n täytyy vain verrata datapaketissa ole-5 vaa lähdeosoitetta matkaviestimen käyttämään pakettidataosoitteeseen. The invention is based on the fact that the transmission of data packets of the activated packet data address due to, for example, the gateway support node GGSN knows the packet data address of the data packet transmission of the mobile station, so the gateway support node GGSN need only compare the data packet not-5 VAA source address of the mobile station to use a packet data address. Jos ne ovat samat, ei osoitetta ole väärennetty ja paketti voidaan toimittaa edelleen kohdeosoitteeseen. If they are the same, does not fake address and the packet can be shipped to the destination address.
Keksinnön etuna on se, että se on erittäin yksinkertainen toteuttaa, ja silti sen avulla pystytään estämään huijaaminen. An advantage of the invention is that it is very simple to implement, and yet it can prevent cheating. Esimerkiksi IP-paketin vas-10 taanottaja voi luottaa siihen, että IP-paketin lähdeosoite todentaa IP-paketin lähettäjän. For example, the IP packet 10 to the left-taker will be able to trust that the IP packet the source address of the IP packet authenticates the sender. Mitään ylimääräistä autentikointimekanismia ei tarvita, joten verkkoa ei kuormiteta ja viive on minimoitu. No additional authentication mechanism is not required, so the network is not loaded, and the delay is minimized. Lisäksi keksintö helpottaa laskutettavien palveluiden rakentamista, koska palvelun tuottaja voi luottaa siihen, että datapaketissa oleva lähdeosoite ilmaisee laskutettavan käyttäjän. The invention also facilitates the construction of chargeable services because the service producer can rely on the fact that the source address of the data packet indicates the user to be invoiced.
15 Keksinnön eräässä edullisessa suoritusmuodossa vertailu tehdään yhdyskäytävätukisolmussa. 15 of the invention in a preferred embodiment, reference is made to the gateway support node. Tämän suoritusmuodon etuna on lisäksi se, että vertailumekanismi täytyy lisätä elementteihin, joita verkossa ei ole kovin monta. This embodiment also has the advantage that the comparison mechanism will need to add in elements of the network is not very many.
Keksinnön eräässä toisessa edullisessa suoritusmuodossa vertailu 20 tehdään matkaviestintä palvelevassa pakettiradioverkon reunasolmussa. Comparison In another preferred embodiment, the mobile station 20 is made in the serving packet radio network edge node. Tämän suoritusmuodon etuna on se, että pakettiradioverkkoa ei kuormiteta välittämällä siinä paketteja, joita ei kuitenkaan toimiteta perille. This embodiment has the advantage that the packet radio network is not loaded by transmitting the packets, which was not delivered.
Keksinnön eräässä edullisessa suoritusmuodossa vertailu tehdään vain niille paketeille, joiden käyttämä pakettidataprotokolla mahdollistaa hui-2b jäämisen eli lähdeosoitteen väärentämisen. In one embodiment of the invention, the preferred comparison is made only for those packets which the packet data protocol used allows for counterfeiting hui 2b to remain a source address. Tämän suoritusmuodon etuna on lisäksi se, että vertailua ei tehdä turhaan niille paketeille, joissa lähdeosoitetta ei voi väärentää. This embodiment also has the advantage that the comparison is not done in vain for those packets where the source address can not be copied.
Keksinnön mukaisen menetelmän ja verkkosolmun edulliset suoritusmuodot ilmenevät oheisista epäitsenäisistä patenttivaatimuksista. the method and network node of the invention Preferred embodiments appear from the attached dependent claims.
30 Kuvioiden lyhyt selostus 30 BRIEF DESCRIPTION OF THE DRAWINGS
Keksintöä selostetaan nyt lähemmin edullisten suoritusmuotojen yhteydessä, viitaten oheisiin kuvioihin, joista The invention will now be described in greater detail in connection with preferred embodiments with reference to the accompanying drawings, in which
Kuvio 1 esittää lohkokaavion GPRS-palvelun verkkoarkkitehtuurista; Figure 1 shows a block diagram of the GPRS service network architecture; ja 35 Kuvio 2 on vuokaavio keksinnön mukaisesta toiminnasta. and 35 Figure 2 is a flow chart of the operation according to the invention.
5 110975 5 110975
Esillä olevaa keksintöä voidaan soveltaa minkä tahansa pakettivälitteisen järjestelmän yhteydessä, jossa yksilöllinen pakettidataosoite aktivoidaan GPRS-tyyppisesti ennen kuin sitä voidaan käyttää ja jonka järjestelmän verk- « 5 koinfrastruktuurissa säilytetään tietoa käyttäjän aktiivisesta pakettidataosoit-teesta. The present invention is applicable to any packet-switched system in which an individual packet data address is activated by a GPRS-type before it can be used with a network system <5 koinfrastruktuurissa information stored in the user-active pakettidataosoit situation. Tällaisia ovat mm. These include. ns. the so-called. kolmannen sukupolven matkaviestinjärjestelmät Universal Mobile Telecommunications System (UMTS) ja IMT-2000 (International Mobile Telecommunications 2000) sekä GSM-järjestelmää vastaavat matkaviestinjärjestelmät, kuten DCS 1800 (Digital Cellular System for 188 10 MHz) ja PCS (Personal Communication System) sekä em. järjestelmiin perustuvat WLL-järjestelmät, jotka toteuttavat GPRS-tyyppisen pakettiradion. third-generation mobile communication systems, the Universal Mobile Telecommunications System (UMTS) and IMT-2000 (International Mobile Telecommunications 2000) and the GSM system in a mobile communication systems, such as DCS 1800 (Digital Cellular System for 188 and 10 MHz) and PCS (Personal Communication System), and the above-mentioned. systems based WLL systems that implement a GPRS-type packet radio. Keksintöä voidaan soveltaa myös muissa kuin matkaviestinjärjestelmissä, kuten esimerkiksi kaapelimodeemi-verkoissa tai muissa vastaavissa kiinteissä järjestelmissä. The invention is also applicable to other mobile systems, such as cable modem networks and similar fixed systems. Keksintöä selostetaan seuraavassa käyttäen esimerkkijärjestelmänä 15 GSM-järjestelmän GPRS-palvelua keksintöä kuitenkaan tällaiseen tiettyyn järjestelmään rajaamatta. The invention will now be described using an example system 15 in GSM system, the GPRS service of the invention to such a specific system without limiting. Matkaviestinjärjestelmien määritykset kehittyvät nopeasti. Configuration of mobile communication systems are developing rapidly. Tällainen kehitys voi vaatia keksintöön ylimääräisiä muutoksia. Such development may require extra changes to the invention. Sen vuoksi kaikki sanat ja ilmaisut tulisi tulkita laajasti ja ne on tarkoitettu kuvaamaan eikä rajoittamaan keksintöä. Therefore, all words and expressions should be interpreted broadly and they are intended to illustrate and not limit the invention.
20 Kuviossa 1 on esitetty GPRS-palvelun verkkoarkkitehtuuri karkealla tasolla, koska verkon yksityiskohtaisemmalla rakenteella ei ole keksinnön kannalta olennaista merkitystä. 20 shows one of the GPRS service network architecture is shown at a general level because a more detailed structure of the network is not significant for the invention. GSM-järjestelmän rakenne ja toiminta ovat alan ammattimiehen hyvin tuntemia. The structure and operation of the GSM system are well known to those skilled in the art. GPRS-palvelun rakennetta on määritelty esimerkiksi ETSknspesifikaatiossa GSM 03.60 version 6.0.0 (Digital cellular '25 telecommunications system (Phase 2+); General Packet Radio Service (GPRS); Service description; Stage 2), joka lisätään hakemukseen viittauksena. the structure of the GPRS service is defined e.g. ETSknspesifikaatiossa GSM 03.60 version 6.0.0 (Digital cellular '25 telecommunications system (Phase 2+); General Packet Radio Service (GPRS); Service Description; Stage 2), which is added to the application by reference. GPRS-palvelu käsittää radiopääsyn tarjoavan liityntäverkon, joka kuvion 1 esimerkissä on GSM-järjestelmän tukiasema-alijärjestelmä BSS (Base Station Subsystem), sekä reunasolmuina GRPS-palvelun tukisolmut datan siirtämi-30 seksi pakettivälitteisesti pakettidataverkon PDN ja matkaviestimen MS välillä. The GPRS service comprises providing access to a radio access network, which in the example of Figure 1 is a GSM base station subsystem BSS (Base Station Subsystem), as well as the edge of the GPRS service support nodes by transferring the data into 30-packet-a packet data network PDN and a mobile station MS. Tukisolmuja ovat palveleva GPRS-tukisolmu SGSN (Serving GPRS Support Node) ja GPRS-yhdyskäytävätukisolmu GGSN (Gateway GPRS Support No-« de). The support nodes include a serving GPRS support nodes SGSN (Serving GPRS Support Node) and the GPRS gateway support nodes GGSN (Gateway GPRS Support No- «de). Nämä erilaiset tukisolmut SGSN ja GGSN on kytketty toisiinsa runko verkolla 1 (backbone). These different support nodes SGSN and GGSN are interconnected backbone network 1 (Backbone). On huomattavaa, että on myös mahdollista yhdistää 35 SGSN- ja GGSN-toiminnallisuudet fyysisesti samaan verkkosolmuun, jolloin 6 110975 operaattorin runkoverkkoa ei tarvita. It is noted that it is also possible to combine the SGSN 35 and GGSN physically in the same network node, wherein the 6 110 975-operator backbone network is needed. Loogisesti solmut kuitenkin ovat eri solmuja. Logically, however, the nodes are different nodes.
Palveleva GPRS-tukisolmu SGSN on solmu, joka palvelee matkaviestintä MS. The serving GPRS support node SGSN is a node which serves the mobile station MS. Jokainen tukisolmu SGSN tuottaa pakettidatapalvelua liikkuville 5 datapäätelaitteille eli matkaviestimille MS yhden tai useamman solun alueella solukkotyyppisessä pakettiradioverkossa. Each support node SGSN produces a packet data service for mobile data terminals 5, i.e. mobile stations MS in a cellular one or more cells in a packet radio network. Tätä varten jokainen tukisolmu SGSN on tyypillisesti kytketty GSM-matka-viestinverkkoon (tyypillisesti tukiasemaohjaimeen tukiasemajärjestelmässä BSS) niin että välissä oleva matkaviestinverkko tuottaa radioliitynnän ja pakettikytketyn datasiirron SGSN:n ja 10 matkaviestimien välillä. For this purpose, each support node SGSN is typically connected to the GSM mobile-communication network (typically to base station controller, the base station system BSS) so that the intermediate mobile communication network provides radio access and packet switched data transmission between the SGSN 10 and the mobile stations. Toisin sanoen solussa oleva matkaviestin MS kommunikoi radiorajapinnan yli tukiaseman kanssa ja edelleen tukiasema-alijärjestelmän läpi sen tukisolmun SGSN kanssa, jonka palvelualueeseen solu kuuluu. In other words, the mobile station MS in a cell communicates over the radio interface with a base station and further through the base station subsystem with the support node SGSN to whose service area the cell belongs. SGSN-solmun päätoiminnot ovat havaita uudet GPRS-matkaviestimet palvelualueellaan, hoitaa uusien matkaviestinten MS rekiste-15 röintiprosessi yhdessä GPRS-rekistereiden kanssa, lähettää datapaketteja GPRS-matkaviestimelle MS tai vastaanottaa niitä siltä, sekä pitää tiedostoa matkaviestinten MS sijainnista sen palvelualueen sisäpuolella. SGSN main functions are to detect new GPRS mobile stations in its service area, handle the new mobile stations MS regis-15 röintiprosessi along with the GPRS registers, send data packets to the GPRS mobile station MS or to receive them in, and maintains a list of mobile stations MS the location of its service area on the inside. SGSN suorittaa siten turvatoiminnot ja pääsyn kontrolloinnin eli mm. The SGSN to perform security functions and access control of a mm. autentikointi- ja salaus-proseduurit. authentication and encryption procedures. SGSN reitittää matkaviestimeltä vastaanotetun paketin uniikkia 20 tunnelia käyttäen kapseloituna GPRS-runkoverkon yli sille GGSN-solmulle, jonne pakettidataosoite on aktivoitu. The SGSN routes the packet received from the mobile station using a unique tunnel 20 encapsulated in the GPRS backbone network over the GGSN node where the packet data address is activated.
GPRS-yhdyskäytävätukisolmut GGSN kytkevät operaattorin GPRS-verkon ulkopuolisiin järjestelmiin, kuten muiden operaattoreiden GPRS-järjestelmiin, dataverkkoihin, kuten IP-verkkoon (Internet) tai X.25-verkkoon, ja ' 25 palvelimiin 2. GGSN voi olla myös kytketty suoraan yksityiseen yritysverkkoon tai isäntään. The GPRS gateway support nodes GGSN connect an operator's GPRS network to external systems, such as other operators 'GPRS systems, data networks, such as IP network (Internet) or X.25 network, and' 25's servers 2. The GGSN can also be connected directly to a private company network or to host. Kuvion 1 esimerkissä GGSN on kytketty palvelimiin 2 luotettavan IP-verkon 3 välityksellä ja yleiseen Internetiin 4 palomuurin FW välityksellä. 1, the GGSN is connected to two servers in a reliable IP network 3 and via the public Internet 4 via a firewall FW. GGSN sisältää GPRS-tilaajien PDP-osoitteet ja reititysinformaation, ts. SGSN-osoitteet. The GGSN includes GPRS subscribers' PDP addresses and routing information, ie., The SGSN addresses. GGSN päivittää sijaintitiedoston käyttäen reititysinformaatiota, jonka 30 SGSN-solmut tuottavat matkaviestimen MS reitistä. The GGSN updates the location file using the routing information that the SGSN-nodes 30 provide the mobile station MS of the route. GGSN toimii reitittimenä ulkoisen osoitteen ja sisäisen reititystiedon (esim SGSN) välillä. The GGSN operates as a router between an external address and internal routing information (e.g. SGSN). Toisin sanoen GGSN reitittää ulkopuolisen dataverkon protokollapaketin kapseloituna GPRS-runkoverkon yli SGSN-solmulle, joka sillä hetkellä palvelee matkaviestintä MS. In other words, the GGSN routes the external data network protocol packet encapsulated in the GPRS backbone network over the SGSN currently serving the MS.
Se myös purkaa matkaviestimeltä lähetetyn paketin kapseloinnin ja välittää 35 ulkoisen dataverkon paketit asianomaiseen dataverkkoon. It also decodes transmitted from the mobile packet encapsulation and forwards 35 the external data network packets to the appropriate data network. GGSN voi myös 7 110975 välittää paketteja matkaviestimeltä matkaviestimelle verkon sisällä. The GGSN may also transmit packets from 7 110975 from the mobile station to the mobile station within the network. Lisäksi GGSN hoitaa dataliikenteen laskutuksen. In addition, the GGSN manages billing of data traffic.
Matkaviestin MS voi olla mikä tahansa pakettidatasiirtoa tukeva liikkuva solmu, jolla on radiorajapinta verkkoon. The mobile station MS may be any mobile node which supports packet data transmission, which is a radio interface to the network. Se voi esimerkiksi olla laptop-' 5 tietokone PC, joka on kytketty pakettiradiotoimintaan kykenevään solukkopu- helimeen tai pienen tietokoneen ja pakettiradiopuhelimen integroitu yhdistelmä. It may for example be a laptop '5 computer PC, which is connected to the packet radio operation-competent cellular phone terminal or an integrated combination of a small computer and a packet radio phone. Matkaviestimen MS vielä muita suoritusmuotoja ovat erilaiset hakulaitteet, kauko-ohjaus, valvonta ja/tai datankeräyslaitteet, jne. Matkaviestimestä voidaan käyttää myös nimitystä liikkuva solmu tai liikkuva isäntä. MS Still other embodiments include various pagers, remote-control, surveillance and / or data acquisition devices, etc. The mobile also called mobile node or a mobile host can be used.
10 Päästäkseen GPRS-palveluihin matkaviestimen MS täytyy ensin tehdä läsnäolonsa tunnetuksi verkolle suorittamalla GPRS attach -operaatio. 10 to access the GPRS services, the MS must first make its presence known to the network by performing a GPRS attach operation. Tämä operaatio muodostaa loogisen linkin matkaviestimen MS ja SGSN-solmun välille ja saa aikaan sen, että GPRS:n yli tuleva lyhytsanoma tai muu vastaava yhteydettömästi toimitetta sanoma, SGSN-solmun kautta tuleva haku 15 sekä ilmoitus tulevasta GPRS-datasta voi saavuttaa matkaviestimen MS. This operation establishes a logical link between the mobile station MS and the SGSN, and provides that the over GPRS from the corresponding short message, or other connectionless transmitted message input through the SGSN filter 15 and a statement incoming GPRS data may reach the mobile station MS. Tarkemmin sanottuna, kun MS liittyy GPRS-verkkoon, ts. GPRS attach -proseduurissa, SGSN luo liikkuvuudenhallintakontekstin (MM-konteksti) ja matkaviestimen MS ja SGSN-solmun välille muodostetaan looginen linkki LLC (Logical Link Control) protokollakerroksessa. More particularly, when the MS attaches to the GPRS network, ie. The GPRS attach procedure, the SGSN creates a mobility management context (MM context) and a mobile station MS and the SGSN establishes a logical link LLC (Logical Link Control) protocol layer. MM-konteksti tallennetaan 20 SGSN-solmussa ja matkaviestimessä MS. The MM context is stored in the SGSN 20 and the MS. SGSN-solmun MM-konteksti voi sisältää tilaajatietoja, kuten tilaajan IMSI, TLLI (Temporary Logical Link Identifier) sekä sijainti- ja reititysinformaatiota, jne. SGSN MM context may contain subscriber data, such as the subscriber's IMSI, TLLI (Temporary Logical Link Identifier) ​​and location and routing information, etc.
Lähettääkseen ja vastaanottaakseen GPRS-dataa matkaviestimen MS täytyy aktivoida PDP-osoite eli pakettidataosoite, jota se haluaa käyttää, 25 pyytämällä PDP-aktivointiproseduuria. In order to send and receive GPRS data, the MS must activate the PDP address of a packet data address that it wants to use, by requesting a PDP-25 activation procedure. PDP-kontekstin aktivointi voi tapahtua matkaviestimen kirjoittautuessa (attach) GPRS-verkkoon. PDP context activation may be when the mobile station (attach) to the GPRS network. Vaihtoehtoisesti matkaviestin voi PDP-kontekstin myöhemmin tai aktivointi voi tapahtua GPRS -verkolta vastaanotetun aktivointipyynnön seurauksena (GRPS network requested PDP context activation).GPRS liittymä sisältää yhden tai useamman .30 yksilöllisen PDP-kontekstin, jolla kuvataan pakettidataosoitetta ja siihen liittyviä parametreja. Alternatively, the mobile station can the PDP context later or activation may occur as a result of the received activation request from the GPRS network (GPRS Network Requested PDP Context Activation) .GPRS interface includes one or more of .30 individual PDP context is used to describe the packet data address and the parameters related thereto. Tarkemmin sanottuna PDP-konteksti määrittää erilaisia datansiir-toparametreja, kuten PDP-tyyppi (esimerkiksi X.25 tai IP), PDP-osoite (esi-, merkiksi IP-osoite), palvelun laatu QoS (quality of service) ja NSAPI (Network Specifically, the PDP context defines different datansiir-transmission parameters, such as the PDP type (e.g. X.25 or IP), PDP address (for example, indicating an IP address), quality of service QoS (Quality of Service) and the NSAPI (Network
Service Access Point Identifier). Service Access Point Identifier). Yhdellä matkaviestimellä voi olla myös useita 35 saman tyyppisiä PDP-osoitteita, esimerkiksi eri IP-osoitteita PDP-osoitteina (eli matkaviestimellä on useita IP-tyyppisiä konteksteja). One mobile station can have a number of 35 of the same type PDP addresses, for example, different IP addresses of the PDP addresses (that is, the mobile station has several IP-type contexts). Esimerkiksi eri IP- 8 110975 osoitteita eli konteksteja voidaan käyttää IP-protokollalla välitettäviin eri tasoisiin ja eri hintaisiin palveluihin. For example, different IP addresses, namely 8 110975 contexts can use the IP protocol transmission of different levels of price and different services. PDP-kontekstin pakettidataosoite on joko pysyvä (eli kotirekisterin tilaajatiedoissa määritelty) tai dynaaminen, jolloin GGSN allokoi pakettidataosoitteen PDP-aktivointiproseduurin aikana. The PDP context for the packet data address is either permanent (i.e., home location register of the subscriber data defined) or dynamic, in which case the GGSN allocates the packet data address during the PDP activation procedure. PDP-5 aktivointiproseduuri aktivoi PDP-kontekstin ja tekee matkaviestimen MS tunnetuksi vastaavassa GGSN-solmussa, jolloin yhteistoiminta ulkopuolisten dataverkkojen kanssa voi alkaa. 5 PDP activation procedure activates the PDP context and makes the MS known in the corresponding GGSN node, wherein the interworking with external data networks can commence. PDP-kontekstin aktivoinnin aikana PDP-konteksti luodaan matkaviestimessä MS sekä GGSN- ja SGSN-solmuissa. During the PDP context activation the PDP context is created in the MS and the GGSN and SGSN nodes. PDP-kontekstia aktivoitaessa käyttäjä autentikoidaan GSM-proseduureja käyttäen, 10 joten kontekstin aktivoinnissa terminaalille annettu pakettidataosoite, esimerkiksi IP-osoite, voidaan luotettavasti liittää käyttäjän identifiointitunnukseen, esimerkiksi IMSkiin (International Mobile Subscriber Identity). The PDP context is activated, the user is authenticated using GSM procedures, 10 so that the packet data address for the context activation of the terminal, such as IP address, can be reliably connected to the user identifiointitunnukseen, for example IMSkiin (International Mobile Subscriber Identity).
PDP-konteksti luodaan ja paketit tunneloidaan käyttämällä GTP-protokollaa (GPRS Tunneling Protocol). The PDP context is created and the packets tunnelled using a GTP protocol (GPRS Tunneling Protocol). Matkaviestin MS aktivoi PDP-15 kontekstin erityisellä sanomalla, Activate PDP Context Request, jossa se antaa informaationa TLLI:n, PDP-tyypin, mahdollisesti PDP-osoitteen, pyydetyn QoS:in ja NSAPI:n, ja optionaalisesti accesspisteen nimen APN (access point name). The mobile station MS activates the PDP-15 context with a specific message, Activate PDP Context Request, in which it gives information on the TLLI, PDP type, optionally in the PDP address, the requested QoS in and NSAPI, and optionally the access point name APN (Access Point Name ). SGSN lähettää create PDP context -sanoman GGSN-solmulle, joka luo PDP-kontekstin ja lähettää sen SGSN-solmulle. The SGSN sends a Create PDP Context message to the GGSN which creates the PDP context and sends it to the SGSN node. Jos Activate PDP Context 20 Request -sanoma (ja siten create PDP context -sanoma) ei sisältänyt PDP-osoitetta, allokoi GGSN PDP-osoitteen PDP kontekstin luonnin aikana ja sisällyttää dynaamisen PDP-osoitteen SGSNrlle lähetettävään PDP-kontekstiin. If the Activate PDP Context Request message 20 (and thus create PDP context message) does not contain a PDP address, the GGSN allocate the PDP address during the PDP context creation and include a dynamic PDP address SGSNrlle sent to the PDP context. SGSN lähettää PDP-kontekstin matkaviestimelle MS activate PDP context response -sanomassa. The SGSN sends the PDP context to the MS an Activate PDP Context Response message. PDP-konteksti tallennetaan matkaviestimessä MS, 25 SGSN-solmussa ja GGSN-solmussa. The PDP context is stored in the MS 25 the SGSN node and the GGSN node. Kukin PDP-konteksti tallennetaan palvelevassa SGSN-solmussa yhdessä MM-kontekstin kanssa. Each PDP context is stored in the serving SGSN node, together with the MM context. Kun MS vaeltaa uuden SGSN-solmun alueelle, uusi SGSN pyytää MM-kontekstin ja PDP-kontekstit vanhalta SGSN-solmulta. When the MS roams to a new SGSN area, the new SGSN requests the MM context and PDP contexts from the old SGSN node.
PDP-kontekstin aktivointiproseduurissa muodostetaan siten matka-30 viestimen MS ja GGSN-solmun välille virtuaalinen yhteys tai linkki. The PDP context activation procedure thus forming a mobile-station 30 between the MS and the GGSN node to the virtual connection or link. Samalla . At the same time. . . syntyy uniikki tunneli GGSN:n ja SGSN:n välille tätä PDP-kontekstia ja paket-tidataosoitetta varten. The GGSN results in a unique tunnel between this PDP context and packet-tidataosoitetta for and the SGSN. Tunneli on reitti, jota IP-datapaketti seuraa ja jonka avulla matkaviestimeltä lähtenyt paketti liitetään GGSN:ssä tiettyyn PDP-kontekstiin ja siten tiettyyn pakettidataosoitteeseen. The tunnel is a route which the IP data packet follows and by means of which the mobile station left the package is connected to the GGSN certain PDP context and certain packet data to the address. Toisin sanoen tunnelin 35 avulla tunnistetaan se pakettidataosoite, jota matkaviestin käytti lähettäessään paketin. In other words, through the tunnel 35 is identified by the packet data address the mobile station used when transmitting the packet. GTP-protokollaa käytettäessä paketti liitetään GGSNissä tiettyyn 9 110975 PDP-kontekstiin joko tunnelin tunnisteen TID (Tunnel Identifier) tai tunnelin loppupään tunnisteen avulla. The GTP protocol, the packet assigned to a particular GGSNissä 9 110975 PDP context either the tunnel identifier TID (Tunnel Identifier) ​​or the tunnel end identifier. Tunnelin tunniste muodostuu NSAPhsta ja IM-' Sl:stä. The tunnel identifier consists of NSAPhsta and IM 'Sl through. PDP-kontekstin aktivointiproseduurin aikana GGSN voi myös allokoida tunnelin loppupään tunnisteen käytettäväksi paketin PDP-kontekstin osoitta-' 5 miseen. During the PDP context activation procedure the GGSN may allocate the tunnel end identifier of a packet for use in the PDP context to indicate "five miseen.
Kuviossa 2 esitetään vuokaavio keksinnön ensimmäisen edullisen suoritusmuodon mukaisesta toiminnasta yhdyskäytävätukisolmussa GGSN. Figure 2 shows a flow diagram of the operation of the gateway support node according to a first preferred embodiment of the invention, the GGSN. Keksinnön ensimmäisessä edullisessa suoritusmuodossa paketissa olevaa lähdeosoitetta verrataan aktivoituun pakettidataosoitteeseen vain niissä PDP-10 konteksteissa, joiden tyyppi on sellainen, että huijaaminen on mahdollista. In the first preferred embodiment of the invention in the form of a pack in the source address is compared with the activated packet data address only in the PDP contexts 10, the type of which is such that cheating is possible. Tällaisia ovat esimerkiksi IP-tyyppiset kontekstit ja pakettidataosoitteet. These include IP-type contexts and packet data addresses. Nämä tyypit (tai tyyppi) määritellään vertailun tekevään solmuun. These types (or type) is defined as a comparison of the extensible node. Kuvion 2 esimerkissä oletetaan, että vain IP-osoitteilla pystyy huijaamaan, muilla mahdollisilla pa-kettidataosoitetyypeillä huijaaminen ei onnistu. the example of Figure 2, it is assumed that only the IP addresses is able to trick, other possible pa-kettidataosoitetyypeillä cheating is not possible. Lisäksi oletetaan, että matkavies-15 tin on aktivoinut käyttämänsä PDP-kontekstin eli ottanut käyttöönsä esimerkiksi IP-osoitteen ja lähettää IP-paketin esimerkiksi kuviossa 1 esitetylle palvelimelle 1 tai yleiseen Internetiin 4. Edelleen oletetaan, että tunnelin identifiointiin käytetään tunnelin tunnistetta TID. In addition, it is assumed that matkavies 15-acetate is activated by using a PDP context to access that is taken as an IP address, and sends the IP packet example shown in Figure 1 to the server 1 or the public Internet 4. It is further assumed that a tunnel is used to identify the tunnel identifier TID.
Viitaten kuvioon 2 kohdassa 200 GGSN vastaanottaa uniikkia tunne-20 lia käyttävän paketin, purkaa kohdassa 201 sen kapseloinnin ja poimii kohdassa 202 tunnelin tunnisteen TID. Referring to Figure 2 in the GGSN receives 200 the unique feeling of using a glycol-20 package, the unload section 201 and the encapsulation section 202 extracts the tunnel identifier TID. Sen avulla GGSN hakee kohdassa 203 vastaavan PDP-kontekstin tiedot. It allows the GGSN searches in paragraph 203 of the corresponding PDP context information. Nämä tiedot sisältävät PDP-kontekstissa olevan datapaketti- eli PDP-osoitteen, joka tässä esimerkissä on IP-osoite. These data include the packet data as a PDP address in the PDP context, which in this example is an IP address. Sen jälkeen GGSN tarkistaa kohdassa 204, oliko tunnelia vastaava PDP-konteksti (eli pakettidata-; 25 osoite) IP-tyyppinen. Subsequently, the GGSN checks in step 204 whether the corresponding tunnel is a PDP context (i.e. packet data; 25 address) of the IP type. Jos oli, GGSN poimii kohdassa 205 paketin otsakkeessa olevan lähdeosoitteen. If so, the GGSN extracts the header section 205 to be the source address of the packet. Kun GGSN tietää molemmat osoitteet, vertaa se niitä kohdassa 206 keskenään. When the GGSN knows both the addresses, it compares them in 206 with each other. Jos lähdeosoite on sama kuin PDP-kontekstin PDP-osoite, matkaviestin on se, mitä IP-paketissa väittää olevansa, joten GGSN lähettää paketin kohdassa 207 eteenpäin. If the source address is the same as the PDP context for the PDP address, the mobile is what an IP packet claims to be, so the GGSN sends in paragraph 207 of the package forward. Jos lähdeosoite poikkeaa PDP-30 osoitteesta, yrittää matkaviestin tekeytyä joksikin muuksi, minkä vuoksi GGSN : hylkää paketin kohdassa 208. Hylkäämisellä tarkoitetaan tässä sitä, että pakettia ei lähetetä kohdeosoitteeseen. If the source address differs from the PDP 30, the mobile station is trying to pretend to be something else, and therefore the GGSN rejects the purposes herein means that the packet is not sent to the destination address 208 in the rejection of the packet.
Se, mitä paketille hylkäämisen jälkeen tapahtuu, riippuu operaattorin määrittelyistä ja on irrelevanttia keksinnön kannalta. What happens after the rejection of the packet depends on the operator's definitions and is irrelevant to the invention. Esimerkiksi käyttäjälle ja 35 päätelaiteelle voidaan ilmoittaa ohjaustason signaloinnilla siitä, että lähdeosoite ei ole se, mikä sen pitäisi olla. For example, the user of the terminal 35 and can be notified of the control plane signaling that the source address is not what it should be. GGSN voi myös lähettää hälytyssignaalin ope- 110975 10 raattorin verkon toiminta- ja ylläpitokeskukseen (O&M centre). The GGSN can also transmit an alarm signal generator teaching 110 975 10 network operations and maintenance center (O & M center). On myös mahdollista tehdä virhelokitiedostoon merkintä, joka sisältää PDP-kontekstin tiedot ja paketin tiedot. It is also possible to make a mistake in a log file entry, which includes PDP context information and packet information. Virhelokitiedostoon voidaan myös kirjoittaa hylätyn paketin sisältö. The error log file can also write the contents of the discarded packet. Lisäksi vielä eräänä mahdollisuutena ilmoittaa käyttäjälle ja terminaalille 5 virheellisestä lähdeosoitteesta on sen PDP-kontekstin deaktivointi, jota käytettiin vilpillisen paketin lähettämiseen. Still another possibility to indicate to the user terminal 5 and the incorrect source address is a PDP context deactivation, which is used to send the fraudulent packet. PDP-konteksti deaktivoidaan GGSN:ssä, SGSN:ssä ja MS:ssä esimerkiksi siten, että GGSN pyytää SGSN:ää deaktivoimaan PDP-kontekstin (tai jos SGSN hylkäsi paketin, SGSN lähettää deaktivointipyynnön GGSN:lle) ja SGSN pyytää MS:ää deaktivoimaan 10 PDP-kontekstin. The PDP context is deactivated in the GGSN, SGSN and MS, for example, so that the GGSN requests the SGSN to deactivate the PDP context (or if the SGSN rejecting the packet, the SGSN will send the deactivation GGSN) and the SGSN requests the MS to deactivate 10 PDP context. Nämä deaktivointisanomat sisältävät edullisesti syykoodina spesifisen deaktivointikoodin, joka osoittaa, että MS tai sen kanssa yhteistoiminnassa oleva sovellus on käyttänyt virheellistä tai vilpillistä lähdeosoitetta. These preferably include deaktivointisanomat as the reason of a specific deactivation code indicating that the MS or an application in cooperation with the applied an incorrect or fraudulent source address. Tämä spesifinen syykoodi aikaansaa sen, että käyttäjälle ilmoitetaan yrityksestä käyttää virheellistä lähdeosoitetta. This specific reason code provides that the user is notified of an erroneous attempt to use the source address. Perussyy tälle 15 ilmoitukselle on että joko käyttäjää koetetaan estää tekemästä vilppiä tai käyttäjälle ilmoitetaan virheellisiä lähdeosoitteita käyttävästä sovelluksesta. The basic reason for this is that the notification 15, either discourages users from making cheating or the user is notified incorrect source addresses to the application. Ilmoitus käyttäjälle on edullisesti tekstiviesti tai sanomaikkuna joka identifioi sen sovelluksen, joka yrittää lähettää dataa virheellisellä osoitteella. Notification to the user is preferably a text message or a message window identifying the application that is trying to send data to an incorrect address. Edellä kuvatut toimenpiteet voidaan tehdä vasta sen jälkeen, kun vilpillisiä paketteja 20 on hylätty ennalta määritelty määrä. The above described operations can be done only after 20 fraudulent packets have been rejected by a predetermined amount. Kun MS:!le ilmoitetaan virheellisen lähdeosoitteen käytöstä, sanoma, jonka esimerkiksi GGSN lähettää MS:lle ja/tai operaattorin verkon toiminta- ja ylläpitokeskukseen voi edullisesti kuljettaa jotain tietoa virheellisen lähdeosoitteen paketin ylemmän kerroksen protokollan (esimerkiksi TCP tai UDP) otsakkeista. When the MS: le reported the use of an invalid source address, the message, which the GGSN, for example, sends to the MS and / or the operator's network operations and maintenance center may preferably carry some information on incorrect source address of the packet of the upper layer protocol (e.g. TCP or UDP) headers. Tämä helpottaa vilpillisen ?5 sovelluksen ja vilpillisen toiminnan löytämistä. This facilitates fraudulent? Finding a 5 application and fraudulent activity. Sanomat voivat jopa sisältää väärän osoitteen takia hylätyn paketin (tai pakettien) koko sisällön. The messages may even contain the rejected due to an incorrect address of the packet (or packets) of the total content. Hylättyjen pakettien virta voidaan jopa ohjata ulkoiselle solmulle (kuten operaattorin verkon toiminta- ja ylläpitokeskukseen). Of rejected packets may even control the power to the external node (such as the operator's network operations and maintenance center).
Jos kohdassa 204 havaitaan, että PDP-konteksti ei ollut IP-tyyppinen, : 30 siirtyy GGSN suoraan kohtaan 207 ja lähettää paketin eteenpäin. If step 204 reveals that the PDP context was not IP-type,: 30 moves directly to the GGSN 207 and forward the packet.
Kohdan 206 tarkistuksella varmistutaan siitä, että GGSN välittää eteenpäin ulkoisiin verkkoihin vain niitä paketteja, joiden lähettäjä ei ole yrittänyt tekeytyä joksikin muuksi. Item 206 amendment ensured that the GGSN forwards to external networks only those packets that the sender is not trying to pretend to be something else. Keksinnön mukaiseen lähettäjän todentamiseen riittää siten yksinkertainen tarkistus eikä mitään erillistä autentikointisignalointia tarvita. according to the invention, the sender authentication simple and no separate checking of the authentication need to be sufficient.
35 Keksinnön toisessa edullisessa suoritusmuodossa kohdan 206 tarkis tus tehdäänkin SSGN:ssä, jolloin kohtaa 201 ei suoriteta, koska matkaviestimel- 11 110975 tä vastaanotettu paketti ei ole kapseloitu. 35 in the second preferred embodiment of the invention in the form of revised TUS 206 tehdäänkin SSGM together, wherein the point 201 is not performed since the mobile station it 11 110 975 s the received packet is not encapsulated. Toisessa edullisessa suoritusmuodossa SGSN poimii kohdassa 202 TID:in sijasta TLLI:n ja NSAPI:n matkaviestimeltä vastaanottamastaan paketista. In another preferred embodiment, the SGSN extracts in step 202 the TID in place of the TLLI and the NSAPI from the mobile station received by the package. TLLI identifioi reititysalueella yksikäsit-* teisesti MS:n, ja siten IMSI:n. The TLLI uniquely identifies the routing area * ditionally the MS, and thus the IMSI. NSAPI identifioi sen PDP-kontekstin, jota mat- 5 kaviestin käytti tämän paketin kanssa. NSAPI identifies the PDP context by mobile Mobile Station 5 was used with the package. TLLI:tä ja NSAPI:ia käyttäen SGSN hakee PDP-kontekstin tiedot. The TLLI and the NSAPI s using AI SGSN searches the PDP context information. Pakettiin liitetään TID (tai vastaava PDP-kontekstin identifioiva tieto) ja se kapseloidaan toisessa edullisessa suoritusmuodossa ennen kohtaa 207, eli paketin lähettämistä GGSN:lle. The package is connected to the TID (or the corresponding PDP context identifying information), and it is encapsulated in another preferred embodiment, prior to point 207, that is, sending the packet to the GGSN.
Tulevaisuudessa voi olla, että yhteen PDP-kontekstiin tai vastaa-10 vaan yhteysmäärittelyyn voi liittyä pakettidataosoitteiden osoiteavaruus. In the future, it may be that one PDP context or the like, but the connection 10 can be associated with the definition of the packet data addresses in the address space. Se voidaan muodostaa esimerkiksi luettelemalla sallitut pakettidataosoitteet. It may be formed, for example, by listing allowed packet data addresses. Tällöin riittää, että paketissa oleva lähdeosoite löytyy sallittujen joukosta. In this case, it is sufficient that the packet source address can be found among permitted. Vastaavasti tulevaisuudessa PDP-kontekstin tiedoissa sallittu pakettidataosoite voidaan yksilöidä osoitejoukkona (eli osoiteavaruutena) määrittelemällä osa salli-15 tusta pakettidataosoitteesta. Similarly, in the future, the PDP context data allowed packet data address to identify a set of address (i.e. address space) by defining part of the allowed 15-FINANCING packet data addresses. Tällöin paketin lähdeosoitteen täytyy käsittää määritelty osa osoitteesta eli lähdeosoitteen tulee kuulua määriteltyyn osoite-joukkoon. In this case, the source address of the packet must comprise at a defined part of the source address must fall within the specified address-set. Osoiteavaruus voidaan myös määritellä molempia edellä selitettyjä tapoja käyttäen. The address space can also be defined on both the above-described ways of using. Osoiteavaruus voidaan määritellä myös jollain muulla tavalla. The address space can also be defined in some other way.
Suoritusmuodoissa, joissa on määritelty useampia pakettidataosoi-20 tetyyppejä, joissa huijaaminen on mahdollista, tarkistetaan kohdassa 204, onko paketin käyttämä pakettidataosoite joku näistä. In embodiments in which is defined more pakettidataosoi-20 types of equipment where cheating is possible, it is checked in step 204, whether the package used by the packet data address any of these. Ja jos on, jatketaan kohdasta 205 ja jos ei ole, siirrytään kohtaan 207. And if it is, skip to Section 205 and, if not, we move to step 207.
Keksinnön eräissä edullisissa suoritusmuodoissa paketissa olevaa .· lähdeosoitetta verrataan aktivoituun pakettidataosoitteeseen riippumatta akti* 25 voidun pakettidataosoitteen tyypistä. In some preferred embodiments, the pack. · Source address is compared with the activated packet data address regardless of the type of activated * 25-activated packet data address. Tällöin kohdan 204 tarkistusta ei suoriteta, vaan kaikille paketeille suoritetaan kohdan 206 tarkistus. In this case, the amendment point 204 is not executed, but all the packets 206 carried checkpoint.
Kuviossa 2 esitettyjen kohtien järjestys voi poiketa edellä esitetystä ja kohdat voivat tapahtua rinnakkaisesti. order of the entries shown in Figure 2 may differ from the above and the steps can occur in parallel. Esimerkiksi kohta 204 voidaan suorittaa ennen kohtaa 201 ja kohta 203 rinnakkaisesti kohdan 205. Kohtien välissä : 30 voidaan suorittaa muita kohtia, joita ei ole esitetty kuviossa. For example, step 204 may be performed before step 201 and the point 203 in parallel between the points 205. The point 30 can be performed in other points, which are not shown in Fig. Joissakin suoritusmuodoissa kohta 201 ja/tai kohta 204 voidaan jättää pois. In some embodiments, step 201 and / or step 204 may be omitted. Kohdassa 202 voidaan poimia TID:in sijasta joku muu PDP-kontekstin identifioiva tieto. In step 202 can be extracted TID instead of someone else PDP context identifying information.
Esillä olevan keksinnön mukaisen toiminnallisuuden toteuttava tietoliikennejärjestelmä, -verkko ja verkkosolmu käsittävät tekniikan tason mukai-35 seen palvelujen toteutuksessa tarvittavien välineiden lisäksi välineitä paketissa olevan osoitteen vertaamiseksi paketin lähettäjälle aktivoituun eli sallittuun 12 110975 osoitteeseen/osoitteisiin. functionality of the present invention provide a communication system, the network and network node comprise a prior art embodiment 35 in accordance with the service in addition to the instruments necessary means for comparing the packet address of the sender of the packet that is activated allowed 12 110 975 address / addresses. Nykyiset verkkosolmut käsittävät prosessoreita ja muistia, joita voidaan hyödyntää keksinnön mukaisissa toiminnoissa. Current network nodes comprise processors and memory that can be utilized in the functions according to the invention. Kaikki keksinnön toteuttamiseen tarvittavat muutokset voidaan suorittaa lisättyinä tai päivitettyinä ohjelmistorutiineina, ja/tai sovelluspiireillä (ASIC). All the changes needed to implement the invention can be carried out as added or updated software routines and / or application circuits (ASIC).
5 Vaikka edellä on esitetty, että verkon reunaelementti (SGSN tai GGSN) todentaa tilaajan, keksintöä ei kuitenkaan ole rajoitettu reunaelement-teihin. 5 Although it is stated above that the edge element of the network (SGSN or GGSN) authenticates the subscriber, however, the invention is not limited to the edge of the element-roads. Joku muukin verkon solmu, jonne vertailussa tarpeellinen osoitetieto on tallennettu, voi suorittaa vertailun. Someone else in the network node, where the comparison is necessary address information is stored, the comparison can be carried out.
Edellä käytettyjen termien 'pakettidataprotokolla' (Packet Data 10 Protocol, PDP) tai 'PDP konteksti' tulisi ymmärtää viittaavan yleisesti johonkin tilaan päätelaitteessa (esimerkiksi matkaviestimessä) ja ainakin yhteen verkkoelementtiin tai toiminnallisuuteen, joka tila tuottaa päätelaitteen käyttämän verkon (esimerksiksi matkaviestinverkon) kautta datapaketin siirtotien eli tunnelin, jolla on määrätty joukko parametreja. Terms used in the above 'packet data protocol' (Packet Data 10 Protocol, PDP) or 'PDP context' should be understood to refer generally to a mode terminal (e.g. a mobile station) and at least one network element or functionality which state to produce via a terminal used by the network (esimerksiksi mobile communication network) to the data packet transmission path a tunnel with a specific set of parameters. Tässä käytetyn termin 'solmu' tulisi 15 ymmärtää viittaavan yleisesti johonkin verkkoelementtiin tai toiminnallisuuteen, joka käsittelee PDP-tunnelin kautta siirrettyjä datapaketteja. used herein, the term 'node' 15 should be understood to refer generally to any network element or functionality which processes data packets transmitted via the PDP tunnel.
On ymmärrettävä, että edellä oleva selitys ja siihen liittyvät kuviot on ainoastaan tarkoitettu havainnollistamaan esillä olevaa keksintöä. It is to be understood that the above description and the related figures are only intended to illustrate the present invention. Alan am-20 mattilaiselle tulevat olemaan ilmeisiä erilaiset keksinnön variaatiot ja muunnelmat ilman, että poiketaan oheisissa patenttivaatimuksissa esitetyn keksinnön suojapiiristä ja hengestä. Those pm-20 on the teachings will be apparent that many variations and modifications of the invention without departing from the scope and spirit of the appended claims.
1. Menetelmä huijaamisen estämiseksi tietoliikennejärjestelmässä, joka käsittää datapaketteja lähettämään pystyvän päätelaitteen ja ainakin yhden solmun ensimmäisessä alijärjestelmässä datapakettien vastaanottami- 5 seksi ja edelleen lähettämiseksi, joka menetelmä käsittää seuraavat askeleet: aktivoidaan ensimmäisessä alijärjestelmässä päätelaitteelle paketti-dataosoite datapakettien välittämiseksi päätelaitteen ja toisen alijärjestelmän välillä; 1. A method of preventing spoofing in a telecommunications system, which comprises data packets terminal capable of transmitting and at least one node in the first sub-system, a data packet receiving five sex and forwarding, said method comprising the steps of: activating in the first subsystem for transmitting to the terminal a packet data address for data packets between the terminal and a second subsystem; tallennetaan pakettidataosoite ainakin yhteen ensimmäisen alijär-10 jestelmän solmuun, jonka kautta pakettidataosoitteen datapaketit reitittyvät; storing the packet data address in at least one node of the first alijär-10 system, through which the packet data address, data packets are routed; vastaanotetaan mainitussa solmussa päätelaitteelta lähetetty paketti, joka käsittää kohdeosoitteen ja lähdeosoitteen; receiving in said node the packet sent from the terminal, which comprises a destination address and a source address; tunnettu siitä, että tarkistetaan (206) mainitussa solmussa, onko paketin lähdeosoite 15 sama kuin pakettidataosoite; characterized in that checking (206) in said node whether the source address of the packet 15 the same as the packet data address; ja lähetetään (207) paketti solmusta kohdeosoitetta kohti ainoastaan, jos osoitteet ovat samat. and sending (207) a packet from the node towards the destination address only if the addresses are the same.
2. Menetelmä huijaamisen estämiseksi tietoliikennejärjestelmässä, joka käsittää datapaketteja lähettämään pystyvän päätelaitteen ja ainakin yh- 20 den solmun ensimmäisessä alijärjestelmässä datapakettien vastaanottamiseksi ja edelleen lähettämiseksi, joka menetelmä käsittää seuraavat askeleet: aktivoidaan ensimmäisessä alijärjestelmässä päätelaitteelle pakettidataosoite datapakettien välittämiseksi päätelaitteen ja toisen alijärjestelmän välillä; 2. A method of preventing spoofing in a telecommunications system, which comprises data packets terminal capable of transmitting and at least one 20 of the node in the first sub-system for receiving data packets and forwarding, said method comprising the steps of: activating in the first subsystem for transmitting to the terminal a packet data address for data packets between the terminal and a second subsystem; 25 tallennetaan pakettidataosoite ainakin yhteen ensimmäisen alijär jestelmän solmuun, jonka kautta pakettidataosoitteen datapaketit reitittyvät; 25 is stored in the packet data address in at least one of the first sub-systems to the node through which the packet data address, data packets are routed; vastaanotetaan mainitussa solmussa päätelaitteelta lähetetty paketti, joka käsittää kohdeosoitteen ja lähdeosoitteen; receiving in said node the packet sent from the terminal, which comprises a destination address and a source address; : tunnettu siitä, että 30 määritellään pakettidataosoite osoitejoukkona; : Characterized in that 30 defining the packet data address as a set of address; tarkistetaan (206) mainitussa solmussa, kuuluuko paketin lähde-osoite osoitejoukkoon; checking (206) in said node whether the source address of the packet address is set; ja lähetetään (207) paketti solmusta kohdeosoitetta kohti ainoastaan, jos lähdeosoite kuuluu osoitejoukkoon. and transmitting (207) the packet from the node towards the destination address only if the source address is address set. 110975 110975
3. Patenttivaatimuksen 1tai 2 mukainen menetelmä, tunnettu siitä, että mainittu solmu on ensimmäisen alijärjestelmän yhdyskäytävätu-kisolmu, joka reitittää datapaketin päätelaitteelta toiseen alijärjestelmään. 3. claimed in claim 1or 2, characterized in that said node is a first sub-yhdyskäytävätu kisolmu, which routes the data packet from the terminal to the second subsystem.
4. Patenttivaatimuksen 1 tai 2 mukainen menetelmä, tunnettu 5 siitä, että mainittu solmu on matkaviestintä palveleva tukisolmu, joka reitittää päätelaitteelta vastaanotetun paketin ensimmäisessä alijärjestelmässä eteenpäin. 4. The method according to claim 1 or 2, characterized 5 in that the said node is a support node serving a mobile station, which routes the packet received from the terminal forward in the first subsystem.
5. Jonkin edellä olevan vaatimuksen mukainen menetelmä, tunnettu siitä, että ensimmäinen alijärjestelmä on GTP-protokollaa käyttävä 10 pakettiradioverkko, jossa pakettidataosoite aktivoidaan aktivoimalla vastaava PDP-konteksti. 5. The method according to any one of the preceding claims, characterized in that the first subsystem is using the GTP protocol, the packet radio network 10, wherein the packet data address is activated by activating the corresponding PDP context.
6. Jonkin edellä olevan vaatimuksen mukainen menetelmä, tunnettu siitä, että menetelmä käsittää lisäksi seuraavat askeleet: ylläpidetään mainitussa solmussa tietoa ensimmäisistä pakettidata- 15 osoitetyypeistä, joka tieto sisältää ainakin yhden pakettidataosoitetyypin, jolle mainittu tarkistus tehdään; 6. The method according to any one of the preceding claims, characterized in that the method further comprises the steps of: maintaining in said node information of the first packet data address types 15, which data includes at least one packet data address type on which said check is performed; ja suoritetaan mainittu tarkistus vain, jos pakettidataosoitteen tyyppi on ensimmäistä pakettidatasoitetyyppiä. and performing said check only if the packet data address type is the first pakettidatasoitetyyppiä.
7. Patenttivaatimuksen 6 mukainen menetelmä, tunnettu siitä, 20 että ensimmäinen pakettidataosoitetyyppi sisältää ainakin Internet-protokollan mukaisen IP-osoitteen. 7. A method according to claim 6, characterized in 20 that the first packet data address type includes at least an IP address according to the Internet protocol.
8. Pakettiverkon verkkosolmu (SGSN, GGSN) datapakettien välittämiseksi pakettiverkon päätelaitteelta (MS) vastaanottajalle (2,4), joka verkkosolmu (SGSN, GGSN) on järjestetty aktivoimaan päätelaitteelle ainakin yksi 25 pakettidataosoite, jota päätelaite voi käyttää datapaketteja lähettäessään, ja liittämään päätelaitteelta vastaanotetun paketin päätelaitteen käyttämään pa-kettidataosoitteeseen, tunnettu siitä, että verkkosolmu (SGSN, GGSN) on järjestetty vasteena paketin vas-: 30 taanotolle vertaamaan paketissa olevaa lähdeosoitetta päätelaitteen käyttämään pakettidataosoitteeseen, ja lähettämään paketin verkkosolmusta paketissa olevaa kohdeosoitetta kohti ainoastaan, jos osoitteet ovat samat. 8. The packet network the network node (SGSN, GGSN) for transmitting data packets in a packet network terminal (MS) to (2,4), the network node (SGSN, GGSN) is arranged to activate the terminal at least one of 25 the packet data address that the terminal can use when transmitting data packets, and to connect the terminal to the received a package terminal to the packet data address, characterized in that the network node (SGSN, GGSN) is arranged in response to the packet received: the packet source address compare 30 receptions of the terminal to the packet data address and to transmit towards the packet network node packet to the destination address only if the addresses are the same.
9. Pakettiverkon verkkosolmu (SGSN, GGSN) datapakettien välittämiseksi pakettiverkon päätelaitteelta (MS) vastaanottajalle (2,4), joka verk- 35 kosolmu (SGSN, GGSN) on järjestetty aktivoimaan päätelaitteelle ainakin yksi pakettidataosoite, jota päätelaite voi käyttää datapaketteja lähettäessään, ja 110975 liittämään päätelaitteelta vastaanotetun paketin päätelaitteen käyttämään pa-kettidataosoitteeseen, tunnettu siitä,että X pakettidataosoite on määritelty osoitejoukkona, ja 5 verkkosolmu (SGSN, GGSN) on järjestetty vasteena paketin vas taanotolle tarkistamaan, kuuluuko paketissa oleva lähdeosoite päätelaitteen käyttämän pakettidataosoitteen osoitejoukkoon, ja lähettämään paketin verkkosolmusta paketissa olevaa kohdeosoitetta kohti ainoastaan, jos lähdeosoite kuuluu osoitejoukkoon. 9. The packet network the network node (SGSN, GGSN) for transmitting data packets in a packet network terminal (MS) to the receiver (2.4) based network 35 node, (SGSN, GGSN) is arranged to activate the terminal at least one packet data address for the terminal can use when transmitting data packets, and 110 975 associate the received terminal to the packet terminal to use a pa-kettidataosoitteeseen, characterized in that X a packet data address is specified address as a set, and 5 of the network node (SGSN, GGSN) is arranged in response to the left packet receptions to check whether the packet source address of a terminal used by a packet data address to the address set, and send the packet from the network node pack on towards the destination address only if the source address belongs to the ranks of address.
10. Patenttivaatimuksen 8 tai 9 mukainen verkkosolmu, tunnet- tu siitä, että verkkosolmu (SGSN, GGSN) on järjestetty ylläpitämään tietoa ensimmäisistä pakettidataosoitetyypeistä, joille mainittu vertailu tehdään, ja suorittamaan vertailun ainoastaan, jos päätelaitteen käyttämä pakettidataosoite on ensimmäistä pakettidataosoitetyyppiä. 10. claimed in claim 8 or 9, network node according to the known TU in that the network node (SGSN, GGSN) is arranged to maintain information on first packet data address types on which said comparison is carried out, and to perform the comparison only if the packet data address used by the terminal for the first packet data address type.
11. Patenttivaatimuksen 8, 9 tai 10 mukainen verkkosolmu, tun nettu siitä, että verkkosolmu on GTP-protokollaa käyttävän pakettiradiover-kon (GPRS) yhdyskäytäväsolmu (GGSN). 11. The network node according to claim 8, 9 or 10, c h characterized in that the network node is using the GTP protocol pakettiradiover-network (GPRS) gateway node (GGSN).
12. Patenttivaatimuksen 8, 9 tai 10 mukainen verkkosolmu, tunnettu siitä, että verkkosolmu on GTP-protokollaa käyttävän paketti rad iover- 20 kon (GPRS) päätelaitetta palveleva solmu (SGSN). 12. The network node according to claim 8, 9 or 10, characterized in that the network node using the GTP protocol is a packet of 20 rad iover- network (GPRS) terminal to the serving node (SGSN). 110975 110975
FI992767A 1999-12-22 1999-12-22 Cheating Prevention of telecommunication systems FI110975B (en)
FI992767 1999-12-22
CN200610094130A CN100581099C (en) 1999-12-22 2000-12-19 Prevention of spoofing in telecommunications systems
CNB008175918A CN100431296C (en) 1999-12-22 2000-12-19 Prevention of spoofing in telecommunications systems
EP00987534A EP1240744B1 (en) 1999-12-22 2000-12-19 Prevention of spoofing in telecommunications systems
AU23783/01A AU2378301A (en) 1999-12-22 2000-12-19 Prevention of spoofing in telecommunications systems
JP2001547792A JP2003518821A (en) 1999-12-22 2000-12-19 Prevention of spoofing in telecommunications systems
DE60026373T DE60026373T2 (en) 1999-12-22 2000-12-19 Avoiding the identity falsification in telecommunication systems
ES00987534T ES2258487T3 (en) 1999-12-22 2000-12-19 Preventing spoofing in telecommunications systems.
AT00987534T AT319243T (en) 1999-12-22 2000-12-19 Avoiding the identity falsification in telecommunication systems
US10/175,517 US7342926B2 (en) 1999-12-22 2002-06-20 Prevention of spoofing in telecommunications systems
JP2007179261A JP2007259507A (en) 1999-12-22 2007-07-09 Prevention of spoofing in telecommunications systems
FI19992767A FI19992767A (en) 2001-06-23
FI110975B true FI110975B (en) 2003-04-30
JP4360336B2 (en) 2005-03-25 2009-11-11 日立電線株式会社 Method for producing a copper-phosphorus brazing clad material
JP5327717B2 (en) 2009-10-20 2013-10-30 岩崎電気株式会社 Ceramic metal halide lamps and manufacturing method thereof
US20020181448A1 (en) 2002-12-05
JP3848232B2 (en) 2006-11-22 Apparatus for subscriber status matching in net wireless public network and wired private network is interlocked, the method and system
AU765973B2 (en) 2003-10-09 Internet protocol traffic filter for a mobile radio network