Source: https://patents.google.com/patent/FI124279B/en
Timestamp: 2019-09-19 19:58:12+00:00
Document Index: 1928746

Matched Legal Cases: ['§ 25', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', '§ 7', 'kko ', 'kko ', 'kko ', 'kko ', '§ 25', '§ 25']

FI124279B - The protected data transmission in a communication system - Google Patents
The protected data transmission in a communication system Download PDF
FI124279B
FI124279B FI20075780A FI20075780A FI124279B FI 124279 B FI124279 B FI 124279B FI 20075780 A FI20075780 A FI 20075780A FI 20075780 A FI20075780 A FI 20075780A FI 124279 B FI124279 B FI 124279B
FI20075780A
FI20075780A0 (en
FI20075780A (en
2007-11-01 Application filed by Teliasonera Ab filed Critical Teliasonera Ab
2007-11-01 Priority to FI20075780 priority Critical
2007-11-01 Priority to FI20075780A priority patent/FI124279B/en
2007-11-01 Publication of FI20075780A0 publication Critical patent/FI20075780A0/en
2009-05-02 Publication of FI20075780A publication Critical patent/FI20075780A/en
2014-06-13 Publication of FI124279B publication Critical patent/FI124279B/en
Suojattu datanlähetys viestintäjärjestelmässä The protected data transmission in a communication system
Keksintö liittyy suojatun datanlähetyspalvelun tarjoamiseen verkko-vierailevalle käyttäjäpäätteelle langattomassa viestintäjärjestelmässä. The invention relates to providing secure data transmission service to the visiting network to the user terminal in a wireless communication system.
Edistyneet mobiiliverkot kuten 3GPP Rel-8, mobiili-WiMAX ja 3GPP2 tukevat mobiili-IPv6-välipalvelinprotokollaa (proxy mobile IPv6 protocol) eräänä mobiliteettiratkaisuna pakettiperusteiselle dataliikenteelle. Advanced mobile networks, such as 3GPP Rel-8, mobile WiMAX and 3GPP2 support mobile IPv6 protocol, the proxy (proxy mobile IPv6 protocol) as one of a mobility on a packet data traffic. Mobiili-IPv6-välipalvelinprotokolla koskee liityntäverkossa sijaitsevaa mobiliteettiliityn-10 täyhdyskäytävää (mobile access gateway, MAG) liitynnän tarjoamiseksi käyttä-jäpäätteille ja kotiverkossa sijaitsevaa paikallista mobiliteettiankkuria (local mobility anchor, LMA) toimien ensimmäisen hypyn reitittimenä ja tarjoten liitynnän ulkoisiin verkkoihin kuten internetiin. Mobile-IPv6 proxy protocol applies located in the access network mobiliteettiliityn-10 täyhdyskäytävää (Mobile Access Gateway, MAG) for providing access for the use--user terminal and located in the home network of local mobiliteettiankkuria (Local Mobility Anchor, LMA) a first jump action as a router and providing an interface to external networks such as the Internet. Mobiili-IPv6-välipalvelinprotokollan mukaan mobiliteettiliityntäyhdyskäytävä (MAG) ja paikallinen mobiliteettiankku-15 ri (LMA) jakavat tietoturva-assosiaation (security association, SA). Mobile-IPv6 protocol, the proxy mobiliteettiliityntäyhdyskäytävä (MAG) and local mobiliteettiankku 15-bis- (LMA) share a security association (security association SA). Se voisi olla esimerkiksi IPSec-SA. It could be, for example, an IPSec SA. Kussakin liityntäverkossa on tavallisesti useita mobili-teettiliityntäyhdyskäytäviä (MAG). Each access network is usually several Mobili teettiliityntäyhdyskäytäviä (MAG). Perinteisessä mobiili-IPv6:ssa tietoturva-assosiaatiot ovat olemassa kotiagentin ja käyttäjäpäätteen välillä. In the conventional mobile IPv6 security associations exist between the home agent and the user terminal. Ero mobiili-IPv6-välipalvelinprotokollan ja perinteisen mobiili-IPv6:n välillä on, että perin-20 teisessä mobiili-IPv6:ssa käyttäjäpääte kuuluu kotioperaattorin tilaajalle ja tietoturva-assosiaatio tarkistetaan jopa verkkovierailutilanteissa asiakkuuden normaalin tarkistuksen aikana. The difference in the Mobile IPv6 protocol, the proxy and the traditional mobile IPv6 between is that the originally-20-starved mobile IPv6 user terminal is the home operator of the subscriber and the security association is checked up during the roaming situations of normal amendment customer. Näin tietoturva-assosiaation (SA) tulee olla olemassa joka tapauksessa. Thus, the security association (SA) will be there in any case. Mobiili-IPv6-välipalvelinprotokollassa mobiliteettilii- tyntäyhdyskäytävä ei kuulu kotiverkko-operaattorille vaan verkkovierailupartne- o § 25 rille. Mobile IPv6 välipalvelinprotokollassa mobiliteettilii- tyntäyhdyskäytävä is not part of the home network operator, but verkkovierailupartne- No 25 § morale. SA on MAG:n ja LMA:n välillä, ei käyttäjäpäätteen ja LMA:n välillä. SA MAG is between, not the user terminal and the LMA between the EU and the LMA. Verk- The network
^ kovieraileva pääte autentikoidaan ja auktorisoidaan kotioperaattorille päin en- ° nen, kuin sen sallitaan kiinnittyä MAG:iin, sillä LMA luottaa jokaiseen päättee- 00 seen, joka liittyy ulkoisiin verkkoihin MAG:sta, jonka kanssa sillä on SA. ^ Kovieraileva the terminal is authenticated and authorize the home operator of the en-°, as it is allowed to attach to the MAG by weight, because the LMA depend to terminal 00 to each of which is linked to external networks MAG to, with which it is CQ.
| | Eräs yllä olevaan järjestelyyn assosioituvista ongelmista on, että eri- o 30 tyisesti verkkovierailutapauksissa tietoturva-assosiaatioiden hallinta on ongel- 00 £ mallista. One of the above problems associated with the arrangement is that the special 30 No particular cases, roaming security associations management is problematic £ 00 model. Mikäli esimerkiksi operaattorilla on 100 MAG-komponenttia ja kotiver- o kolia on 250 verkkovierailupartneria, yksinkertaisesti verkkovierailua varten tu- ^ lee olla 25 000 tietoturva-assosiaatiota - pahimmassa tapauksessa jokaista paikallista mobiliteettiankkuria (LMA) varten. For example, if an operator is 100 MAG component and a glycol kotiver- No 250 roaming partners, simply for roaming support lee of 25 ^ 000 security association - in the worst case for each local mobiliteettiankkuria (LMA). Nämä SA:t ovat normaalien ti-35 laus-SA:iden lisänä, joita koti-operaattorilla on kunkin tilaajansa kanssa. These SAs are normal TI-35 distillation-SA of supplement, which the home operator has for each subscriber. Tekni- 2 sesti tämä on niin hallinnollinen kuin myös skaalattavuusongelma erityisesti verkkovierailutapauksissa. 2 a technically this is such an administrative as well as skaalattavuusongelma especially in roaming situations. Kukin liityntäverkkoon tuotu mobiIiteettiIiityntäyhdys-käytävä (MAG) vaatii uuden tietoturva-assosiaation ja verifioinnin verkkovierai-luyhteydelle. Each imported to the access network mobiIiteettiIiityntäyhdys-corridor (MAG) will require a new security association and verification of roaming-luyhteydelle. Lisäksi mikäli operaattori lisää, poistaa ja/tai muuttaa MAG:n, 5 verkkovierailupartnerien tulee sopia uudesta tietoturva-assosiaatiosta (SA) lisätyllä, poistetulla ja/tai muutetulla MAG:lla. In addition, if the operator adds, removes and / or modify MAG, 5 roaming partners will agree on a new security association (SA) was maintained, deleted and / or modified MAG. Eräs toinen nykyisiin ratkaisuihin assosioituva haitta on, että ne vaativat lukuisia staattisia konfiguraatioita. A second-associated adverse current solutions is that they require a large number of static configurations. Koska kutakin LMA-MAG-yhteyttä koskee oma tietoturva-assosiaatio, muutokset kotiverkossa heijastuvat pian yhdys- ja verkkovierailupartnereihin. Since each of the LMA-MAG-contact applies to private security association, the changes are reflected in the home network as soon as reference and verkkovierailupartnereihin. Mikäli jokin 10 muuttuu, tietoturva-assosiaatiota tulee päivittää. If any of the 10 changes, the security association needs to be updated. Vaikka SA:n luonti MAG:n ja LMA:n välillä voi olla dynaaminen, verkkovierailuympäristössä tällaisilla järjestelyillä on taipumus olla staattisesti konfiguroituja. While SA's creation MAG and LMA can be a dynamic between the EU, roaming environment, such arrangements tend to be statically configured. Dynaamisesti luodun SA:n tapauksessa (esimerkiksi käyttäen IKEv2-neuvottelua) valtuutuksien jakelun monimutkaisuus on yhä jäljellä. The dynamically created SA in the case of (for example, using IKEv2 negotiation) the complexity of the mandate of the distribution is still remaining.
15 Keksinnön lyhyt kuvaus 15 Brief Description of the Invention
Esillä olevan keksinnön tavoitteena on siten taijota menetelmä ja menetelmän toteuttava järjestelmä ja verkkosolmu siten, että yllä mainittuja haittoja lievennetään. The aim of the present invention is therefore to taijota a method and a system implementing the method and a network node so as to alleviate the above disadvantages. Keksinnön tavoitteet saavutetaan menetelmällä ja järjestelyllä, joille on tunnusomaista se, mitä sanotaan itsenäisissä patenttivaatimuk-20 sissa. This is achieved by a method and an arrangement which are characterized by what is stated in the independent claims 20 process. Keksinnön edullisia suoritusmuotoja on selostettu epäitsenäisissä patenttivaatimuksissa. Preferred embodiments of the invention are disclosed in the dependent claims.
Esillä oleva keksintö koskee keskitinsolmun tuomista yhdysoperaat- toriverkkoon (interconnecting operator network). The present invention relates to the introduction of a hub rotor yhdysoperaat- network (inter-connecting network operator). Esillä oleva keksintö koskee lisäksi ensimmäisen tietoturva-assosiaation perustamista keskitinsolmun ja ^ 25 käyttäjäpäätteen kotioperaattoriverkossa sijaitsevan ankkurisolmun välille sekä o toisen tietoturva-assosiaation perustamista keskitinsolmun ja verkkovierailu- <^> operaattoriverkossa sijaitsevan liityntäsolmun välille. The present invention further relates to the establishment of the first security association establishment between a hub and 25 ^ anchor node located in the home of a user terminal in an operator network and a second security association between a hub and No roaming <^> access node in an operator network. Dataliikenne verkkovierai- o ^ luoperaattoriverkossa verkkovierailevan käyttäjäpäätteen ja ulkoisen verkon ^ kuten internetin välillä suoritetaan sen jälkeen hyödyntäen mainittuja tietoturva- Data communication roaming o ^ luoperaattoriverkossa of the roaming user terminal and an external network such as the Internet ^ carried out after utilizing said security
£ 30 assosiaatiota. £ 30 association.
o Keksinnön mukaisen menetelmän ja järjestelyn etuna on, että järjes- £ telmässä tarvittavien tietoturva-assosiaatioiden lukumäärää voidaan merkittä- N- g västi vähentää. The method and arrangement according to the o invention is that the arrangement £ issue of Telma the necessary security associations may be a significant number of N g Västi reduced. Tietoturva-assosiaatioiden valtavan lukumäärän sijaan koti- ™ verkko-operaattorin tarvitsee vain sopia yksittäisestä SA:sta ankkurisolmun ja 35 keskitinsolmun välillä verkkovierailutapauksien hallitsemiseksi. Instead of a huge number of Security Associations ™ home network operator only need to agree on a single SA between the anchor node and a hub for managing 35 verkkovierailutapauksien.
Keksintöä kuvataan seuraavassa lähemmin yksityiskohdin edullisten suoritusmuotojen avulla viitaten oheisiin piirroksiin, joista The invention will be described in greater detail by means of preferred embodiments with reference to the accompanying drawings, in which
Kuvio 1 havainnollistaa esillä olevan ratkaisun erään suoritusmuo-5 don mukaisen viestintäjärjestelmän yleistä arkkitehtuuria; Figure 1 illustrates a general architecture of a communication system according to a EMBODIMENTS-5 do not solution;
Kuvio 2 havainnollistaa esillä olevan ratkaisun ensimmäisen suoritusmuodon mukaista signalointia; Figure 2 illustrates the signaling according to the first embodiment of the present solution;
Kuvio 3 havainnollistaa esillä olevan ratkaisun toisen suoritusmuodon mukaista signalointia; Figure 3 illustrates the signaling according to a second embodiment of the present solution; 10 Kuvio 4 on vuokaavio havainnollistaen esillä olevan ratkaisun erään suoritusmuodon mukaisen ankkurisolmun toiminnallisuutta; 10 Figure 4 is a flow chart illustrating the anchor node in accordance with an embodiment of the functionality of the present solution;
Kuvio 5 on vuokaavio havainnollistaen esillä olevan ratkaisun erään suoritusmuodon mukaisen liityntäsolmun toiminnallisuutta; Figure 5 is a flow chart illustrating an access node according to an embodiment of the functionality of the present solution;
Kuvio 6 on vuokaavio havainnollistaen esillä olevan ratkaisun erään 15 suoritusmuodon mukaisen keskitinsolmun toiminnallisuutta; Figure 6 is a flow diagram illustrating the present solution to a hub node 15 according to the embodiment of the functionality;
Kuvio 7 on vuokaavio havainnollistaen esillä olevan ratkaisun erään suoritusmuodon mukaisen keskitinsolmun toiminnallisuutta. Figure 7 is a flow diagram illustrating the present solution a hub according to an embodiment of functionality.
Seuraavassa keksinnön suoritusmuotoja kuvataan viitaten kehitty-20 neeseen matkaviestinjärjestelmään kuten 3GPP Rel-8, 3GPP2 tai mobiili-WiMAX. Embodiments of the invention will be described with reference to neeseen 20 of sophisticated mobile communication system, such as 3GPP Rel-8, 3GPP2, or WiMAX mobile. Keksintöä ei kuitenkaan ole tarkoitettu rajoitetuksi näihin suoritusmuotoihin. However, the invention is not intended to be limited to these embodiments. Esillä oleva keksintö on sovellettavissa mihin tahansa verkkosolmuun, vastaavaan komponenttiin (vastaaviin komponentteihin) ja/tai mihin tahansa viestintäjärjestelmään tai mihin tahansa eri viestintäjärjestelmien yhdistelmään, g 25 joka pystyy tarjoamaan pakettikytkentäisen datanlähetyksen, kuten 4G, bey- ^ ond-3G tai WLAN. The present invention is applicable to any network node, corresponding component (the corresponding components) and / or to any communication system or any of a variety of communication combination g of 25 which is able to provide packet-switched transmission of data, such as 4G, bey- ^ ond-3G or WLAN. Viestintäjärjestelmä voi olla kiinteä viestintäjärjestelmä, lan- g gaton viestintäjärjestelmä tai viestintäjärjestelmä, joka hyödyntää sekä kiinteitä oo verkkoja että langattomia verkkoja. The communication system may be a fixed communication system, a wired g A wireless communication system or a communication system utilizing both fixed networks and wireless oo networks. Käytetyt protokollat ja viestintäjärjestelmien x tai verkkosolmujen spesifikaatiot erityisesti mobiili- ja langattomassa viestin- * 30 nässä kehittyvät nopeasti. Used protocols and communication systems x or specifications of network nodes, particularly for mobile and wireless communications * 30 Nassa developing rapidly. Tällainen kehitys voi vaatia ylimääräisiä muutoksia § suoritusmuotoon. Such a development may require extra changes to § embodiment. Sen vuoksi kaikki sanat ja ilmaisut tulisi tulkita laajasti, ja nii- den tarkoituksena on havainnollistaa, ei rajoittaa suoritusmuotoa. Therefore, all words and expressions should be interpreted broadly, and in their intended to illustrate and not limit the embodiment. Olennainen o keksinnöllinen näkökohta on kyseinen toiminnallisuus, ei verkkoelementti tai laitteisto, jossa se suoritetaan. An essential No inventive aspect is the functionality concerned, not the network element or equipment where it is executed.
Tietoturva-assosiaatio (SA) viittaa yhteyteen kahden tai useamman viestintäverkko-olion (entity) välillä kuvaten, kuinka oliot hyödyntävät tietoturvapalvelulta kommunikoidakseen suojatusti. Security association (SA) refers to a connection between two or more communication network entity (Entity), describing how objects utilizing traditional security services to communicate securely. Tietoturva-assosiaatio määrittelee, mitä muunnoksia ja algoritmeja käytetään autentikointiotsikossa tai kapse-5 lointitietoturvahyötykuormassa (encapsulating security payload) tietoturvapal-veluiden tarjoamiseksi dataliikenteelle, jota se kuljettaa. Security Association defines what transforms and algorithms used autentikointiotsikossa or a capsule-5 lointitietoturvahyötykuormassa (Encapsulating Security Payload) for providing tietoturvapal-veluiden data traffic which it carries.
GPRS-verkkovierailukeskusverkko (GPRS roaming exchange, GRX) viittaa keskitettyyn IP-reititysverkkoon, joka yhdistää yleisiä pakettira-diopalveluverkkoja (general packet radio service, GPRS) toisiinsa ja mahdollis-10 taa globaalin verkkovierailukattavuuden langattomille verkoille suoraan tai toisten GRX-verkkojen kautta. GPRS roaming exchange network (GPRS Roaming Exchange GRX) refers to a centralized IP routing network, which connects the common pakettira-diopalveluverkkoja (general packet radio service, GPRS) to one another and optionally-10 TAA global roaming coverage of the wireless network, directly or through other GRX networks. GRX määritellään GSMA-PRD-IR.34-dokumen-tissa. GRX-defined GSMA PRD IR.34-documented-minute.
Maailmanlaajuinen yhteentoimivuus mikroaaltoliityntää varten (worldwide interoperability for microwave access, WiMAX) viittaa langattomia 15 verkkoja varten olevaan teknologiaan, joka toimii IEEE-802.16-standardin mukaan. Worldwide Interoperability for mikroaaltoliityntää (worldwide interoperability for microwave access, WiMAX) refers to wireless networks 15 for the technology that operates in IEEE 802.16 standard. WiMAX on langaton kaupunkiverkkoteknologia (metropolitan area network) tarjoten viimemailin laajakaistaliityntäyhteyden langattoman lähiverkon (wireless local area network, WLAN) liityntäpisteistä (access point) internetiin. WiMax is a wireless technology urban network (Metropolitan Area Network) providing the last mile laajakaistaliityntäyhteyden wireless local area network (wireless local area network WLAN) access points (access points) to the Internet. WiMAX on WLAN:ia ja Wi-Fi:ä (wireless fidelity) täydentävä tarjoten lisäänty-20 neen kaistanleveyden ja laajemman langattoman kattavuuden. WiMAX is a WLAN and Wi-Fi (wireless fidelity), providing an additional multiply-20 Neen bandwidth and wider wireless coverage.
Esillä oleva ratkaisu perustuu ajatukseen, että mobiili-IPv6-välipalvelinprotokollaa toteuttavaan verkkoon tuodaan keskitinsolmu kuten mobiili-IPv6-välipalvelinhubi (proxy mobile IPv6 hub). The present solution is based on the idea that the mobile IPv6 proxy protocol that implements the network as a hub introduced into the Mobile IPv6 välipalvelinhubi (proxy mobile IPv6 hub). Esillä oleva ratkaisu mahdollistaa hubi/välipalvelinratkaisun käyttäen mobiili-IPv6-välipalvelinproto-25 kollaa yhdistämään toisiinsa verkkoja, joissa verkkovierailudataliikennettä Siirin retään mobiili-IPv6-välipalvelinprotokollan päällä. The present solution enables the hub / proxy server solution using mobile IPv6 proxy proto-25 protocol is to connect to each other networks in which data roaming traffic Siiri unloaded from the mobile IPv6 protocol, the proxy site. Esillä oleva ratkaisu tuo edul- oo lisen yhdysverkko-operaattorin hallitseman mobiili-IPv6-välipalvelinhubin yh- co dysverkkoon. The present solution will preferably oo-Lise to the gateway operator-controlled mobile IPv6 välipalvelinhubin one co dysverkkoon. Tässä yhdysverkko viittaa esimerkiksi GPRS-verkkovierailu- o ^ keskusverkkoon (GRX) tai sen kehitelmiin kuten IPX (internet packet exchange 30 GSMA-PRD-IR.34:n mukaan määriteltynä). In this example, with reference to the gateway GPRS roaming o ^ a central network (GRX) or the further developments, such as IPX (Internet Packet Exchange 30 GSMA PRD IR.34 according configured). Esillä oleva ratkaisu perustuu aja-£ tukseen, että kotiverkko-operaattorilla on yksittäinen yhteys hubiin, ja hubi on o yhdistetty verkkovierailupartnerin mobiliteettiliityntäyhdyskäytävään (MAG). The present solution is based on the idea £ tukseen the home network operator has a single connection to a hub, and the hub is connected to the roaming partner No mobiliteettiliityntäyhdyskäytävään (MAG).
[n Näin ollen verkkovierailuyhteydet ovat esimerkiksi GRX-verkon tarjoajan isän- f""" § nöimän yksittäisen hubin takana käytettäessä mobiili-IPv6-välipalvelinproto- [Therefore, the roaming connections are, for example, the GRX network provider host f "" "§ for the rear hub nöimän individual mobile IPv6 välipalvelinproto-
35 kollaa. 35 protocol is. Hubin sijainti ei ole sidottu GRX:ään, vaikka se on toteuttamiskelpoinen paikka tällaisen hubisolmun sijoittelemiseksi. Hub location is not tied to GRX reads, even if it's a viable place for such a positioning of the hubisolmun. Esillä olevan ratkaisun mukainen 5 mobiili-IPv6-välipalvelinhubi esiintyy loogisesti mobiliteettiliityntäyhdyskäytävä-nä (MAG) paikalliselle mobiliteettiankkurille (LMA), joka sijaitsee kotiverkossa, ja LMA:n ja hubin välillä tarvitaan vain yksittäinen tietoturva-assosiaatio (SA). according to the present solution 5 mobile IPv6 välipalvelinhubi occurs logically mobiliteettiliityntäyhdyskäytävä-Na (MAG) to the local mobiliteettiankkurille (LMA), which is located in the home network, and the LMA only a single security association (SA) between the required and the hub. Muu liikenne on järjestetty siten, että hubin ja mobiliteettiliityntäyhdyskäytävän 5 (MAG) välillä sovitaan lisätietoturva-assosiaatiosta. Other traffic is arranged so that the hub and mobiliteettiliityntäyhdyskäytävän 5 (MAG) suitable for the additional security association. Samalla tavalla mobiili-IPv6-välipalvelinhubi esiintyy LMA:na MAG:lle. At the same time, a mobile IPv6 välipalvelinhubi present in the LMA na MAG: a. Myös tässä tapauksessa tarvitaan yksittäinen SA hubin ja MAG:n välillä. Also in this case, a single hub and MAG SA between. Useita mobiili-IPv6-välipalvelin-hubeja voi olla yhdistettyinä toisiinsa (ketjutettuina) luoden näin ollen hubi (mesh)verkon. Several mobile IPv6 proxy hubs can be connected to each other (concatenated) thus creating a hub (mesh) network.
10 Seuraavassa esillä olevan ratkaisun suoritusmuotoja kuvataan viita ten oheisiin piirustuksiin. 10 In the following the present solution are described embodiment, reference is made to the accompanying drawings.
Kuvio 1 havainnollistaa erään suoritusmuodon mukaista viestintäjärjestelmää (S). Figure 1 illustrates a communication system according to the embodiment (s). Viitaten kuvioon 1 järjestelmä S käsittää ainakin yhden käyttäjä-päätteen UE1-2, UE1-3, UE1-4, UE1-5, joka voi olla esimerkiksi mobiilipääte 15 tai langaton pääte kuten matkapuhelin (matkaviestin), henkilökohtainen digitaalinen assistentti (PDA), pelikonsoli, sylimikro tai vastaava, joka pystyy operoimaan pakettikytkentäisessä viestintäverkossa. Referring to Figure 1, the system S comprises at least one user terminal UE1-2, UE1-3, UE1-4, UE1-5, which may be for example a mobile terminal 15 or a wireless terminal such as a cell phone (mobile station), a personal digital assistant (PDA), game consoles , a laptop computer, or the like, which can operate in a packet switched communication network. Järjestelmä S käsittää lisäksi ainakin yhden liityntäverkon N1, N2, N3, N4, N5 kuten langattoman lähiverkon (WLAN) tai matkaviestinverkon radioliityntäverkon (radio access network, 20 RAN). The system S further comprises at least one access network N1, N2, N3, N4, N5, such as a wireless local area network (WLAN) or a mobile radio access network (a radio access network, RAN, 20). Tässä on oletettu, että liityntäverkkoja N1, N2, N3, N4, N5 operoivat eri verkko-operaattorit liityntäverkon N1 ollessa käyttäjäpäätteen UE1-2, UE1-3, UE1-4, UE1-5 kotioperaattoriverkko ja sisältäen paikallisen mobiliteettiankkurin LMA1 (johon viitataan myös ankkurisolmuna). Here, it is assumed that the access networks N1, N2, N3, N4, N5, operated by different network operators access network N1 of the user terminal UE1-2, UE1-3, UE1-4, UE1-5 home network operator and including a local mobiliteettiankkurin LMA1 (also referred to as the anchor ). Kuviossa 1 esitetyssä tapauksessa käyttäjäpääte UE1-2 verkkovierailee liityntäverkossa N2, käyttäjäpääte 25 UE1-3 verkkovierailee liityntäverkossa N3, käyttäjäpääte UE1-4 verkkovierai- ^ lee liityntäverkossa N4 ja käyttäjäpääte UE1-5 verkkovierailee liityntäverkossa o N5. In the case shown in Figure 1, the user terminal UE1-2 is roaming in the access network N2, the user terminal 25 is roaming in the access network UE1-3 N3, the user terminal is roaming in UE1-4 ^ lee access network N4 and the user terminal is roaming in the access network UE1-5 No N5. Liityntäverkko N2, N3, N4, N5 (johon viitataan myös verkkovierailuoperaat- cb toriverkkona) sisältää ainakin yhden vastaavan mobiliteettiliityntäyhdyskäytä- o ^ vän (johon viitataan myös liityntäsolmuna) MAG2, MAG3, MAG4, MAG5 liityn- 30 nän tarjoamiseksi käyttäjäpäätteelle UE1-2, UE1-3, UE1-4, UE1-5 vastaavan EE liityntäverkon N2, N3, N4, N5 kautta. The access network N2, N3, N4, N5 (also referred to as verkkovierailuoperaat- toriverkkona cb) comprises at least one corresponding mobiliteettiliityntäyhdyskäytä- o ^ Vän (also referred to as an access node) MAG2, MAG3, MAG4, the access MAG5 30 NaN provide the user UE1-2 UE1 -3, UE1-4, UE1-5 corresponding EE access network N2, N3, N4, N5 through. Tässä on oletettu, että liityntäsolmut o MAG2, MAG3, MAG5 pystyvät olemaan yhteydessä LMAI.een ensimmäisen [n GPRS-verkkovierailukeskusverkon GRXa kautta. Here, it is assumed that the access nodes No MAG2, MAG3, MAG5 to communicate with the first LMAI.een [n GPRS roaming exchange network via GRXa. Lisäksi on oletettu, että liityn- § täsolmut MAG4, MAG5 pystyvät olemaan yhteydessä LMA1 :een ensimmäisen In addition, it is assumed that the access § MAG4 communications node, MAG5 able to communicate with LMA1: een first
35 GPRS-verkkovierailukeskusverkon GRXa ja toisen GPRS-verkkovierailu-keskusverkon GRXb yhdistelmän kautta. 35 via the GPRS roaming network GRXa center and the second center GPRS roaming network GRXb combination. Ensimmäinen GPRS-verkkovierailu- 6 keskusverkko GRXa sisältää esillä olevan ratkaisun mukaisen ensimmäisen keskitinsoimun Ha (kuten mobiilMPv6-välipalvelinhubin), ja toinen GPRS-verkkovierailukeskusverkko GRXb sisältää esillä olevan ratkaisun mukaisen toisen keskitinsoimun Hb (kuten mobiili-IPv6-välipalvelinhubin). The first GPRS roaming six switch network includes a first GRXa keskitinsoimun HA according to the present solution (such as mobiilMPv6-välipalvelinhubin) and a second GPRS roaming exchange network GRXb includes a second keskitinsoimun of the present Hb solution (such as mobile IPv6 välipalvelinhubin). Kuviossa 1 5 esillä olevan ratkaisun mukainen ensimmäinen tietoturva-assosiaatio SA1 on perustettu LMA1 :n ja Ha:n välille, ja esillä olevan ratkaisun mukainen toinen tietoturva-assosiaatio SA2, SA3, SA4, SA5 on vastaavasti perustettu 1) Ha:n ja MAG2:n välille, 2) Ha:n ja MAG3:n välille, 3) Hb:n ja MAG4:n välille, 4) Hb:n ja MAG5:n välille. Fig May 1 of the present first security association according to the present solution SA1 is set LMA1 and HA between, and a second security association according to the present solution, SA2, SA3, SA4, SA5 are respectively set 1) Ha and MAG2: of between, 2), HA and MAG3 between, 3) Hb and MAG4 between, 4) Hb between and MAG5. Verkkovieraileva käyttäjäpääte UE1-2, UE1-3, UE1-4, UE1-5 10 voi päästä liittymään ulkoisiin verkkopalveluihin E kotiverkkonsa N1 kautta käyttämällä ensimmäistä tietoturva-assosiaatiota SA1 ja sopivaa toista tietoturva-assosiaatiota SA2, SA3, SA4, SA5. The roaming user terminal UE1-2, UE1-3, UE1-4, UE1-5 10 can access external network interface E home network N1 through the use of a first security association SA1 and a suitable second security association SA2, SA3, SA4, SA5. Kuvio 1 esittää yksinkertaistetun version verkkorakenteesta havainnollistaen vain komponentteja, jotka ovat olennaisia esillä olevan ratkaisun havainnollistamiseksi, vaikka alan ammattilaiset 15 luonnollisesti tietävät, että yleinen viestintäjärjestelmä käsittää myös muita toimintoja ja rakenteita, joita ei tarvitse kuvata tässä yksityiskohtaisemmin. Figure 1 shows a simplified version of the network structure, only illustrating components that are essential to illustrate the present solution, even though those skilled in the 15 naturally know that a general communications system also comprises other functions and structures, which need not be described here in detail. Verkkosolmu LMA1 voi sisältää minkä tahansa verkkosolmun, jota operoi kotiverkko-operaattori mobiliteetin tarjoamiseksi käyttäjäpäätteelle, kuten GPRS-yhdyskäytävätukisolmun (gateway GPRS support node, GGSN), pakettidata-20 verkkoyhdyskäytävän (packet data network gateway, PDN-GW) tai minkä tahansa mobiili-IPv6-välipalvelinkykyisen kotiagentin. The network node LMA1 may include any network node that is operated by a home network operator to provide mobility to the user, such as a GPRS gateway support node (gateway GPRS support node GGSN), a packet data 20 on the network gateway (Packet Data Network Gateway, PDN-GW), or any mobile IPv6 -välipalvelinkykyisen home agent. Verkkosolmut MAG2, MAG3, MAG4, MAG5 voivat sisältää minkä tahansa verkkoelementin, jota operoi verkkovierailuverkko-operaattori käyttäjäpäätteen jäljittämiseksi verkkovie-railuverkossa. The network nodes MAG2, MAG3, MAG4, MAG5 may include any network element that is operated by the roaming network operator of the user terminal to track verkkovie-railuverkossa. MAG toimii myös verkkoliityntäpalvelimena päätteelle, ja pääte 25 pitää autentikoida/auktorisoida MAG:n kautta kotioperaattoriverkolle. MAG also works verkkoliityntäpalvelimena terminal, and the terminal 25 to keep authenticate / authorize MAG via the home network operator. Autenti-o) koinnin ja/tai auktorisoinnin suorittamiseksi voi olla useita vaihtoehtoja riippuen og liityntäteknologiasta. Authentic-o) applying and / or the authorization of carrying out can be a number of options depending og access technology. Esimerkiksi WiMAX:n yhteydessä voidaan suorittaa EAP- ώ perusteinen autentikointi, jolloin MAG (ts. ASN-GW WiMAX:ssa) toimii autenti- oo kaattorina välittäen autentikoinnin edelleen kotioperaattorin AAA-palvelimelle 30 (autentikointi, auktorisointi ja laskutus; authentication, authorisation, accoun-£ ting) käyttäen valittua AAA-protokollaa. For example, the WiMAX connection may be carried out EAP ώ-based authentication, wherein the MAG is authenticated oo indicator of mediating authentication to the home operator's AAA server 30 (authentication, authorization and billing, authentication, authorization, accoun (i.e., the ASN-GW of the WiMAX ° C.) - £ ting) using the selected AAA protocol. Verkkosolmut Ha, Hb voivat sisältää § minkä tahansa verkkosolmun, jota operoi yhdysverkko-operaattori yhteyden to tarjoamiseksi liityntäverkkojen ja yhdysverkkojen (interconnecting network) vä- o lille, kuten hubin. The network nodes Ha, Hb can contain § any network node that is operated to the gateway operator to provide a connection to the gateway and the access networks (inter-connecting network) between o-account, such as a hub. Hubi voi näin ollen sisältää reititintoiminnallisuuden, IPSec- Hub may thus include functionality to a router, IPSec
35 GW-toiminnallisuuden ja todennäköisesti myös AAA-asiakastoiminnallisuuden. 35 GW functionality and is also likely to AAA client functionality. Vaikka kukin verkkosolmu LMA1, MAG2, MAG3, MAG4, MAG4, MAG5, Ha, 7 Although each network node LMA1, MAG2, MAG3, MAG4, MAG4, MAG5, Ha, 7
Hb on kuvailtu yhtenä oliona, eri moduuleja ja muistia voi olla toteutettuna yhdessä tai useammassa fyysisessä tai loogisessa oliossa. Hb is described as a single Object, different modules and memory may be implemented in one or more physical or logical entity.
Kuviot 2 ja 3 havainnollistavat esillä olevan ratkaisun suoritusmuotojen mukaista signalointia. Figures 2 and 3 illustrate signaling according to embodiments of the present solution.
5 Esillä olevan ratkaisun ensimmäisen suoritusmuodon mukaan viita ten kuvioon 2 käyttäjäpäätteen UE1-2 kotioperaattoriverkossa N1 sijaitsevan paikallisen mobiliteettiankkurin LMA1 (ankkurisolmu) ja yhdysoperaattoriver-kossa GRXa sijaitsevan keskitinsolmun Ha välille perustetaan 2-1 ensimmäinen tietoturva-assosiaatio SA1. local mobiliteettiankkurin first embodiment of the present solution 5 of referring to Figure 2, the user terminal UE1-2 home operator network N1 in the LMA1 (anchor node) and a hub in yhdysoperaattoriver-Ha GRXa Table 2-1 establishes a first security association SA1. Yhdysoperaattoriverkossa GRXa sijaitsevan 10 keskitinsolmun Ha ja verkkovierailuoperaattoriverkossa N2 sijaitsevan mobili-teettiliityntäyhdyskäytävän MAG2 (liityntäsolmu) välille perustetaan 2-2 toinen tietoturva-assosiaatio SA2. Yhdysoperaattoriverkossa GRXa of hub 10 in Ha operator and roaming in the network N2 Mobili teettiliityntäyhdyskäytävän MAG2 (access node) the establishment of a 2-2 second security association SA2. Perustamisen aikana verkkosolmut LMA1 ja Ha sekä Ha ja MAG2 voivat vaihtaa keskenään informaatiota siitä, millaista tieto-turvaprotokollaa tullaan käyttämään kotiverkolle ja kyseiselle verkkovierailu-15 verkolle. During the establishment of the network nodes and LMA1, and Ha Ha and MAG2 may exchange information as to what kind of information the security protocol to be used and the home network to the roaming network 15. Mitä tahansa olemassa olevaa signalointiproseduuria voidaan hyödyntää perustettaessa tietoturva-assosiaatio SA1, SA2. Any existing signaling procedure can be utilized in setting up a security association SA1, SA2. Käyttäjäpääte UE1-2 (joka sijaitsee N2:ssa) lähettää 2-3 ulkoiselle verkolle E osoitettua dataliikennettä. The user terminal UE1-2 (located under N2) transmits 2-3 to the external network data traffic addressed to the E. Data vastaanotetaan liityntäsolmussa MAG2, joka välittää 2-4 datan edelleen keskitinsolmulle Ha hyödyntäen esillä olevan ratkaisun ensimmäisen 20 suoritusmuodon mukaista toista tietoturva-assosiaatiota SA2. Data received from the MAG2 access node that transmits the data to the 2-4 Ha using the present solution to a hub second security association according to the first embodiment 20, SA2. Data vastaanotetaan keskitinsolmussa Ha, joka välittää 2-5 datan edelleen ankkurisolmulle LMA1 hyödyntäen esillä olevan ratkaisun erään suoritusmuodon mukaista ensimmäistä tietoturva-assosiaatiota SA1. Data is received from a hub Ha, which forwards the data to the LMA1 2-5 using the anchor of the present solution to the first security association in accordance with an embodiment of SA1. Kun dataliikenne vastaanotetaan ank-kurisolmussa LMA1, ankkurisolmu LMA1 välittää 2-6 datan edelleen ulkoiselle 25 verkolle E (esimerkiksi internetille). When the data traffic received from the discipline ank-LMA1 node, the anchor node LMA1 2-6 transmits data to the external network 25 E (for example, through the Internet). Sanomassa 2-7 lähetetään verkkovieraile- 2-7 The message sent to a roaming
g valle käyttäjäpäätteelle UE1-2 osoitettua dataliikennettä ulkoiselta verkolta E g UE1-2 assigned for the user data traffic from the external network E
° ankkurisolmulle LMA1. The anchor ° LMA1. Data vastaanotetaan LMA1 :ssä, joka välittää 2-8 sen g edelleen keskitinsolmulle Ha hyödyntäen esillä olevan ratkaisun ensimmäisen oo suoritusmuodon mukaista ensimmäistä tietoturva-assosiaatiota SA1. The data is received LMA1 C., which transmits a 2-8 g of a hub further Ha using the first solution of the present oo first security association SA1 according to the embodiment. Data vas- x 30 taanotetaan keskitinsolmussa Ha, joka välittää 2-9 sen edelleen liityntäsolmulle Data received by the x 30 view of a hub of Ha, which forwards it to the access node 2-9
MAG2 hyödyntäen esillä olevan ratkaisun ensimmäisen suoritusmuodon muro kaista toista tietoturva-assosiaatiota SA2. MAG2 using the present solution of the first embodiment of the cereal-band of the second security association SA2. Kun dataliikenne vastaanotetaan lii- tyntäsolmussa MAG2, liityntäsolmu MAG2 välittää 2-10 datan edelleen käyttä-§ jäpäätteelle UE1-2. When the data traffic received from the traffic tyntäsolmussa MAG2, MAG2 access node transmits data to 2-10 used in-§-user terminal UE1-2. Tulisi huomata, että datanlähetys ulkoisen verkon E ja 35 käyttäjäpäätteen välillä UE1-3 suoritetaan samalla tavalla, mutta siinä tapauk- 8 sessa käytettävä liityntäsolmu on MAG3 ja käytettävä toinen tietoturva-assosiaatio on SA3 (perustettu Ha:n ja MAG3:n välille). It should be noted that the data transmission between the external network E, and the user terminal 35 UE1-3 performed in the same manner, but in the case 8, used in the access node is MAG3 and a second security association is used to SA3 (Ha established between and MAG3).
Esillä olevan ratkaisun toisen suoritusmuodon mukaan viitaten kuvioon 3 käyttäjäpäätteen UE1-4 kotioperaattoriverkossa N1 sijaitsevan paikalli-5 sen mobiliteettiankkurin LMA1 (ankkurisolmu) ja ensimmäisessä yhdysope-raattoriverkossa GRXa sijaitsevan ensimmäisen keskitinsolmun Ha välille perustetaan 3-1 ensimmäinen tietoturva-assosiaatio SA1. According to another embodiment of the present solution, with reference to Figure 3, the user terminal UE1-4 home network N1 of the first operator in a hub in the Locate 5 to mobiliteettiankkurin LMA1 (anchor node) and the first yhdysope-raattoriverkossa GRXa Ha between 3-1 establishes a first security association SA1. Toisessa yhdysope-raattoriverkossa GRXb sijaitsevan toisen keskitinsolmun Hb (mobiili-IPv6-väli-palvelinhubi) ja verkkovierailuoperaattoriverkossa N4 sijaitsevan mobiliteettilii-10 tyntäyhdyskäytävän MAG4 (liityntäsolmu) välille perustetaan 3-2 toinen tietoturva-assosiaatio SA4. In another yhdysope-raattoriverkossa GRXb second hub nodes in Hb (Mobile IPv6 intermediate palvelinhubi) and the roaming network operator in mobiliteettilii N4-10 tyntäyhdyskäytävän MAG4 (access node) the establishment of a second security association from 3-2 SA4. Perustamisen aikana verkkosolmut LMA1 ja Ha sekä Ha ja MAG2 voivat vaihtaa keskenään informaatiota siitä, millaista tietoturva-protokollaa tullaan käyttämään kotiverkolle ja kyseiselle verkkovierailuverkolle. During the establishment of the network nodes and LMA1, and Ha Ha and MAG2 may exchange information about the type of security protocol to be used to the home network and the roaming network. Mitä tahansa olemassa olevaa signalointiproseduuria voidaan hyödyntää pe-15 rustettaessa tietoturva-assosiaatio SA1, SA2. Any existing signaling procedure can be utilized Fri-15 rustettaessa security association SA1, SA2. Käyttäjäpääte UE1-4 (joka sijaitsee N4:ssa) lähettää 3-3 ulkoiselle verkolle (E) osoitettua dataliikennettä. The user terminal UE1-4 (located N4) transmits 3-3 to the external network (e) assigned to the data traffic. Data vastaanotetaan liityntäsolmussa MAG4, joka välittää 3-4 datan edelleen toiselle keskitinsolmulle Hb hyödyntäen esillä olevan ratkaisun toisen suoritusmuodon mukaista toista tietoturva-assosiaatiota SA4. The data is received MAG4 access node that transmits the data to the 3-4 second hub node of Hb using a second security association according to the second embodiment of the present solution SA4. Data vastaanotetaan toises-20 sa keskitinsolmussa Hb, joka välittää 3-5 datan edelleen ensimmäiselle keskitinsolmulle Ha. The data is received at a second SA-20 of hub IIb, which forwards the data to the first 3-5 of hub Ha. Kun data vastaanotetaan ensimmäisessä keskitinsolmussa Ha, ensimmäinen keskitinsolmu Ha välittää 3-6 datan edelleen ankkurisolmulle LMA1 hyödyntäen esillä olevan ratkaisun erään suoritusmuodon mukaista ensimmäistä tietoturva-assosiaatiota SA1. When the data is received from the first hub nodes Ha, Ha first hub node 3-6 transmits the data to the LMA1 making use of the anchor of the present solution to the first security association in accordance with an embodiment of SA1. Kun dataliikenne vastaanotetaan ank-25 kurisolmussa LMA1, ankkurisolmu LMA1 välittää 3-7 datan edelleen ulkoiselle g verkolle E (esimerkiksi internetille). When the data traffic received from the discipline ank-25 LMA1 node, the anchor node LMA1 3-7 transmits data to the external network of the E g of (for example, through the Internet). Sanomassa 3-8 lähetetään verkkovieraile- 3-8 The message sent to a roaming
° valle käyttäjäpäätteelle UE1-4 osoitettua dataliikennettä ulkoiselta verkolta E ° UE1-4 assigned for the user data traffic from the external network E
g ankkurisolmulle LMA1. g LMA1 the anchor. Data vastaanotetaan LMA1:ssä, joka välittää 3-9 sen i oo edelleen ensimmäiselle keskitinsolmulle Ha hyödyntäen esillä olevan ratkaisun x 30 toisen suoritusmuodon mukaista ensimmäistä tietoturva-assosiaatiota SA1. The data is received LMA1 C., which transmits 3-9 the first i oo still a hub of Ha using the present solution x 30 first security association according to the second embodiment SA1.
“ Data vastaanotetaan ensimmäisessä keskitinsolmussa Ha, joka välittää 3-10 co sen edelleen toiselle keskitinsolmulle Hb. "Data is received from the first hub nodes Ha, which forwards it to the 3-10 co IIb other hub nodes. Kun data vastaanotetaan toisessa keskitinsolmussa Hb, toinen keskitinsolmu Hb välittää 3-11 datan edelleen lii-o g tyntäsolmulle MAG4 hyödyntäen esillä olevan ratkaisun toisen suoritusmuodon 35 mukaista toista tietoturva-assosiaatiota SA4. When the data is received from the second hub node of Hb, Hb second hub node transmits the data to the 3-11 LII-o g tyntäsolmulle MAG4 utilizing the second security association according to the second embodiment of the present solution 35 SA4. Kun dataliikenne vastaanotetaan liityntäsolmussa MAG4, liityntäsolmu MAG4 välittää 3-12 datan edelleen käyt- 9 täjäpäätteelle UE1-2. When the data traffic received from the access node MAG4, MAG4 access node transmits the data to the operating 3-12 9 UE1-2 a user terminal. Tulisi huomata, että datanlähetys ulkoisen verkon E ja käyttäjäpäätteen UE1-5 välillä suoritetaan samalla tavalla, mutta siinä tapauksessa käytettävä liityntäsolmu on MAG5 ja käytettävä toinen tietoturva-assosiaatio on SA5 (perustettu Hb:n ja MAG5:n välille). It should be noted that data transmission to the external network and the user terminal E UE1-5 effected in the same manner, but the access node used in the case MAG5 and a second security association is used to SA5 (established Hb and MAG5 between).
5 Kuviot 4, 5, 6 ja 7 havainnollistavat esillä olevan ratkaisun suoritus muotojen mukaisten verkkosolmujen toiminnallisuutta. 5 Figures 4, 5, 6 and 7 illustrate a network of nodes according to the present solution the functionality of the embodiments.
Kuvio 4 havainnollistaa esillä olevan ratkaisun erään suoritusmuodon mukaisen ankkurisolmun LMA1 (kuten paikallisen mobiliteettiankkurin) toiminnallisuutta. Figure 4 illustrates the anchor node in accordance with an embodiment of the present solution LMA1 (such as a local mobiliteettiankkurin) functionality. Viitaten kuvioon 4 vaiheessa 4-1 perustetaan ensimmäinen tie-10 toturva-assosiaatio SA1 ensimmäisen keskitinsolmun Ha (kuten mobiili-IPv6-välipalvelinhubin) kanssa, joka sijaitsee yhdysoperaattoriverkossa GRXa. Referring to Figure 4, at step 4-1 establishes a first tie 10 toturva association SA1 to the first Ha of hub (such as a mobile IPv6 välipalvelinhubin) located yhdysoperaattoriverkossa GRXa. Vaiheessa 4-2 ulkoiselle verkolle E osoitettua dataliikennettä vastaanotetaan ensimmäiseltä keskitinsolmulta hyödyntäen ensimmäistä tietoturva-assosiaatiota SA1. In step 4-2 the external network E addressed data traffic received from the first hub node utilizing the first security association SA1. Vastaanotettu dataliikenne välitetään edelleen vaiheessa 4-3 ulkoiselle 15 verkolle E. Vaiheessa 4-4 ulkoiselta verkolta E vastaanotetaan verkkovieraile-valle käyttäjäpäätteelle UE1-2, UE1-3, UE1-4, UE1-5 osoitettua dataliikennettä. The received data traffic is forwarded in step 4-3 to an external network 15 E. At step 4-4, the external network is received from the E-roaming for the user UE1-2, UE1-3, UE1-4, UE1-5 allocated to the data traffic. Vastaanotettu dataliikenne välitetään vaiheessa 4-5 edelleen ensimmäiselle keskitinsolmulle Ha hyödyntäen ensimmäistä tietoturva-assosiaatiota SA1. The received data traffic is passed to step 4-5, further to the first Ha hub node utilizing the first security association SA1.
Kuvio 5 havainnollistaa esillä olevan ratkaisun erään suoritusmuo-20 don mukaisen liityntäsolmun MAG2 (kuten mobiliteettiliityntäyhdyskäytävän) toiminnallisuutta. Figure 5 illustrates a solution according to an access node EMBODIMENTS-20 do not MAG2 (such as mobiliteettiliityntäyhdyskäytävän) functionality. Viitaten kuvioon 5 vaiheessa 5-1 perustetaan toinen tietoturva-assosiaatio SA2 ensimmäisen keskitinsolmun Ha (kuten mobiili-IPv6-väli-palvelinhubin) kanssa, joka sijaitsee yhdysoperaattoriverkossa GRXa. Referring to Figure 5, at step 5-1 establishment of a second security association SA2 with a first Ha of hub (such as a mobile IPv6-to-space palvelinhubin) located yhdysoperaattoriverkossa GRXa. Vaiheessa 5-2 ulkoiselle verkolle E osoitettua dataliikennettä vastaanotetaan 25 verkkovierailevalta käyttäjäpäätteeltä UE1-2 hyödyntäen toista tietoturva-asso-g siaatiota SA2. In step 5-2 the external network data traffic addressed to E are received from the visiting network 25 from the user UE1-2 utilizing the second security asso g siaatiota SA2. Vastaanotettu dataliikenne välitetään edelleen vaiheessa 5-3 ° keskitinsolmulle Ha. The received data traffic is forwarded to a hub in step 5-3 ° Ha. Vaiheessa 5-4 keskitinsolmulta Ha vastaanotetaan verk- g kovierailevalle käyttäjäpäätteelle UE1-2 osoitettua dataliikennettä. At step 5-4, a hub Ha received from the network to the user kovierailevalle g UE1-2 assigned to data communications. Vastaan- i oo otettu dataliikenne välitetään vaiheessa 5-5 edelleen käyttäjäpäätteelle UE1-2 x 30 hyödyntäen ensimmäistä tietoturva-assosiaatiota SA1. I oo been received the data traffic is transmitted to the user at step 5-5 further UE1-2 x 30 utilizing the first security association SA1. Tulisi huomata, että It should be noted that the
MAG3:n toiminnallisuus on toteutettu vastaavasti, mutta siinä tapauksessa § käyttäjäpääte on UE1-3 ja toinen tietoturva-assosiaatio on SA3 (perustettu MAG3 The functionality is implemented, respectively, in which case the user terminal is § UE1-3 and a second security association is SA3 (founded
Is- £ Ha:n ja MAG3:n välille). between n) £ seat HA and MAG3. Tulisi myös huomata, että MAG4:n, MAG5:n toiminnal- It should also be noted that MAG4 s, MAG5 the functional
o lisuus on toteutettu vastaavasti, mutta siinä tapauksessa käyttäjäpääte on 35 UE1-4, UE1-5 ja toinen tietoturva-assosiaatio on SA4, SA5 (perustettu Ha:n ja MAG4:n, MAG5:n välille) vastaavasti. No industry has realized, respectively, in which case the user terminal 35 UE1-4, UE1-5 and a second security association is a SA4, SA5, respectively, (Ha established between and MAG4: N, MAG5).
Kuvio 6 havainnollistaa esillä olevan ratkaisun ensimmäisen suoritusmuodon mukaisen keskitinsolmun Ha (kuten mobiili-IPv6-välipalvelinhubin) toiminnallisuutta. Figure 6 illustrates a hub node according to the first embodiment of the present solution Ha (such as mobile IPv6 välipalvelinhubin) functionality. Viitaten kuvioon 6 vaiheessa 6-1 perustetaan ensimmäinen tietoturva-assosiaatio SA1 ankkurisolmun LMA1 (kuten paikallisen mobiliteetti-5 ankkurin) kanssa, joka sijaitsee käyttäjäpäätteen UE1-2 kotioperaattoriverkos-sa N1. Referring to Figure 6, at step 6-1 the first set of security association SA1 anchor node LMA1 (such as a local mobility anchor-5), which is located in the user terminal UE1-2 kotioperaattoriverkos SA-N1. Vaiheessa 6-2 perustetaan toinen tietoturva-assosiaatio SA2 verkkovie-railuoperaattoriverkossa N2 sijaitsevan liityntäsolmun MAG2 (kuten mobiliteet-tiIiityntäyhdyskäytävän) kanssa. At step 6-2, a second set of security association SA2, the access node verkkovie-railuoperaattoriverkossa N2 in MAG2 (such as Mobilitet-tiIiityntäyhdyskäytävän) with. Vaiheessa 6-3 ulkoiselle verkolle E osoitettua dataliikennettä vastaanotetaan liityntäsolmulta MAG2 hyödyntäen toista tieto-10 turva-assosiaatiota SA2. In step 6-3 the external network E addressed data traffic received from the MAG2 access node utilizing the second information-10 security association SA2. Vastaanotettu dataliikenne välitetään edelleen vaiheessa 6-4 ankkurisolmulle LMA1 hyödyntäen ensimmäistä tietoturva-assosiaatiota SA1. The received data traffic is forwarded to the anchor point 6-4 LMA1 utilizing the first security association SA1. Vaiheessa 6-5 ankkurisolmulta LMA1 vastaanotetaan verkkovie-railevalle käyttäjäpäätteelle UE1-2 osoitettua dataliikennettä hyödyntäen ensimmäistä tietoturva-assosiaatiota SA1. In step 6-5 the anchor LMA1 is received verkkovie of visiting the user-assigned UE1-2 data communication using the first security association SA1. Vastaanotettu dataliikenne välitetään 15 vaiheessa 6-6 edelleen liityntäsolmulle MAG2 hyödyntäen toista tietoturva-assosiaatiota SA2. The received data traffic is transmitted in step 15 still 6-6 MAG2 access node utilizing the second security association SA2. Tulisi huomata, että datanlähetys ulkoisen verkon E ja käyttäjäpäätteen UE1-3 välillä suoritetaan vastaavasti, mutta siinä tapauksessa käytettävä liityntäsolmu on MAG3 ja käytettävä toinen tietoturva-assosiaatio on SA3 (perustettu Ha:n ja MAG3:n välille). It should be noted that data transmission to the external network and the user terminal E UE1-3 is performed between the same rate, but the access node used in the case MAG3 and a second security association is used to SA3 (Ha established between and MAG3). Tulisi myös huomata, että esillä ole-20 van ratkaisun toisessa suoritusmuodossa datanlähetys ulkoisen verkon E ja verkkovierailevan käyttäjäpäätteen UE1-4, UE1-5 välillä suoritetaan vastaavasti, mutta siinä tapauksessa ensimmäinen keskitinsolmu Ha vastaanottaa ulkoiselle verkolle E osoitetun dataliikenteen toiselta keskitinsolmulta Hb (liityntäsolmun sijaan) ja ensimmäinen keskitinsolmu Ha välittää verkkovierailevalle 25 käyttäjäpäätteelle UE1-4, UE1-5 osoitetun dataliikenteen edelleen toiselle kes-g kitinsolmulle Hb (liityntäsolmun sijaan). It should also be noted that in the second embodiment of the present no-20 van solution for data transmission of the external network E, and the roaming user terminal UE1-4, UE1-5 is performed between, respectively, but in this case first a hub Ha receives the external network E assigned to the other hub nodes data traffic Hb (instead of access node) and a hub Ha first transmits the roaming user terminal 25 UE1-4, UE1-5 allocated to the data traffic still another apr g kitinsolmulle Hb (instead of access node).
^ Kuvio 7 havainnollistaa esillä olevan ratkaisun toisen suoritusmuo- g don mukaisen toisen keskitinsolmun Hb (kuten toisen mobiili-IPv6-välipalvelin- co hubin) toiminnallisuutta. ^ Figure 7 illustrates a second solution according to the second embodiment of a hub g Hb do not (such as another Mobile IPv6 välipalvelin- co hub) functionality. Viitaten kuvioon 7 vaiheessa 7-1 perustetaan toinen x 30 tietoturva-assosiaatio SA4 verkkovierailuoperaattoriverkossa N4 sijaitsevan lii- * tyntäsolmun MAG4 (kuten mobiliteettiliityntäyhdyskäytävän) kanssa. Referring to Figure 7, Step 7-1 establishes a second 30 x security association SA4 roaming in operator network traffic N4 * tyntäsolmun MAG4 (such as mobiliteettiliityntäyhdyskäytävän) with. Vaihees- § sa 7-2 ulkoiselle verkolle E osoitettua dataliikennettä vastaanotetaan liityntä- h- j^> solmulta MAG4 hyödyntäen toista tietoturva-assosiaatiota SA4. From step SA § 7-2 E assigned to the external network data traffic is received from an access h ^ j> MAG4 the node utilizing the second security association SA4. Vastaanotettu o dataliikenne välitetään edelleen vaiheessa 7-3 ensimmäiselle keskitinsolmulle C\1 35 Ha (kuten toisen mobiili-IPv6-välipalvelinhubille). No received data traffic is forwarded in step 7-3 to the first hub node C \ January 35 Ha (such as another Mobile IPv6 välipalvelinhubille). Vaiheessa 7-4 ensimmäiseltä keskitinsolmulta Ha vastaanotetaan verkkovierailevalle käyttäjäpäätteelle UE1- 11 4 osoitettua dataliikennettä. In step 7-4 the first hub nodes Ha received by the roaming user terminal UE1- April 11 allocated to the data traffic. Vastaanotettu dataliikenne välitetään vaiheessa 7- 5 edelleen liityntäsolmulle MAG4 hyödyntäen toista tietoturva-assosiaatiota SA4. The received data traffic is transmitted in step 7 5 further MAG4 access node utilizing the second security association SA4. Tulisi huomata, että datanlähetys ulkoisen verkon E ja käyttäjäpäätteen UE1-5 välillä suoritetaan vastaavasti, mutta siinä tapauksessa käytettävä liityn- 5 täsolmu on MAG5 ja käytettävä toinen tietoturva-assosiaatio on SA5 (perustettu Hb:n ja MAG5:n välille). It should be noted that data transmission to the external network and the user terminal E UE1-5 is performed between, respectively, but for the access in the case 5 is MAG5 communications node and a second security association is used to SA5 (established Hb and MAG5 between).
Tulisi huomata, että ulkoinen verkko E (verkkovierailevan käyttäjä-päätteen UE1-2, UE1-3, UE1-4, UE1-5 sijaan) voi initialisoida dataliikenteen lähetyksen, missä tapauksessa esimerkiksi sanomien 2-7, 2-8, 2-9, 2-10 lähe-10 tys suoritetaan ennen sanomien 2-3, 2-4, 2-5, 2-6 lähetystä. It should be noted that the external network E (the roaming user terminal UE1-2, UE1-3, UE1-4, instead UE1-5) can be initialized with transmission of data traffic, in which case, for example, the messages 2-7, 2-8, 2-9, 2-10 The transmitter 10 is accomplished before the messages 2-3, 2-4, 2-5, 2-6 to transmission.
Tulisi huomata, että Ha:n ja Hb:n välinen yhteys, jonka kautta data välitetään edelleen toisessa suoritusmuodossa, voi olla toteutettu millä tahansa sopivalla datanlähetystekniikalla. It should be noted that Ha and Hb connection between, through which data is transmitted further to the second embodiment, may be implemented by any suitable data transmission technique. Tulisi myös huomata, että GRXa:n ja GRXb:n lisäksi dataliikenteen edelleen välitys Ha:n ja H:b välillä voi tarvittaessa koskea 15 yhtä tai useampaa yhdysverkkoa. It should also be noted that GRXa and H: b between the cover 15 can, if necessary, one or more of the GRXb to the gateway and the further transmission of data traffic in addition Ha. Kyseiset yhdysverkot ovat silloin vastuussa eri yhdysverkkojen välisen datayhteyden toteuttamisesta. Those to the gateway will then be responsible for the implementation of a data connection between the different to the gateway.
Esimerkki dataliikenteestä käyttäjäpäätteeltä ulkoiselle verkolle on, että käyttäjäpääte lähettää palvelupyynnön pyytäen intemetpalvelua tai -sovellusta. An example of a data traffic from the user to the external network is that the user terminal sends a service request asking for intemetpalvelua or application. Esimerkki dataliikenteestä ulkoiselta verkolta käyttäjäpäätteelle on, että 20 käyttäjäpäätteen pyytämä intemetpalvelu tai -sovellus lähetetään käyttäjäpäätteelle. An example of the data traffic from the external network to the user is that requested by the user terminal 20 intemetpalvelu or sent to the user application. Esillä olevaa ratkaisua voidaan soveltaa nousevan siirtotien (uplink) ja/tai laskevan siirtotien dataliikenteeseen. The present solution may be applied to the uplink (uplink) and / or downlink data traffic. Dataliikenne voi sisältää esimerkiksi musiikkitiedostoja, äänitiedostoja, datatiedostoja, puhetta jne. Data communication may include, for example, music files, sound files, data files, speech, etc.
Keksinnön etuna on, että kotiverkko-operaattorin tarvitsee vain so-25 pia yksittäisestä tietoturva-assosiaatiosta SA1 kotiverkossa ja yksittäisestä tie-cj) toturva-assosiaatiosta SA2 kussakin verkkovierailuverkossa järjestääkseen An advantage of the invention is that the home network operator needs only 25 iso-syrup single security association SA1 home network, and a single tie-c) toturva-association SA2 each roaming network to organize
o suojatut datayhteydet verkkovieraileville tilaajilleen käyttämällä mobiili-IPv6- co välipalvelinprotokollaa. No protected data connections in the roaming subscribers using Mobile IPv6 co-proxy protocol.
o ^ Vaikka kotiverkolla on useita verkkovierailupartnereita, LMA1 :n tar- ^ 30 vitsee vain olla yhdistetty loogisesti yksittäiseen Ha:han (vastaavasti MAG:n a. näkökulmasta MAG kommunikoi loogisesti yksittäisen hubin kanssa, vaikka lii- o kenne lähetetään useille LMA:ille). o ^ Even if the home network has a number of roaming partners, LMA1 to the TAR ^ 30 vitsee only be connected logically to a single HA (respectively MAG. A perspective of the MAG communicates logically with a single hub, although traffic No structure to a plurality of the LMA through) . SA1 on olemassa LMA1 :n ja Ha.n välillä (ei in LMA1 :n ja kunkin liityntäsolmun MAG2, MAG3, MAG4, MAG5 välillä kuten pe- SA1 LMA1 there between and an HA (not in LMA1: MAG2 and each access node, MAG3, MAG4, such as the basic MAG5
Is- § rinteisissä ratkaisuissa). § seat traditional solutions). Ha ja/tai Hb huolehtivat verkkovierailuyhteyksistä ja Ha and / or Hb ensure roaming connections, and
35 tietoturva-assosiaatioista SA2, SA3, SA4, SA5 vastaavien liityntäsolmujen MAG2, MAG3, MAG4, MAG5 kanssa. 35 security association SA2, SA3, SA4, SA5 corresponding access nodes MAG2, MAG3, MAG4, with MAG5.
Esillä olevan ratkaisun avulla huolimatta palveluun ja mobiili-IPv6-välipalvelinprotokollaan liittyvien käyttäjäpäätteiden valtavasta määrästä kaikkia päätteitä (joiden kotiverkko on N1) voi edustaa sama tietoturva-assosiaatio SA1 Ha:n ja LMA1:n välillä. In spite of the present invention makes the service and the huge number of mobile IPv6 välipalvelinprotokollaan user terminals to all terminals (which is the home network N1) may be represented by the same security association SA1 Ha between and LMA1. Esillä olevassa ratkaisussa tietoturva-assosiaatio 5 leikataan kahteen palaan SA1 ja SA2 Ha:n ja LMA1 :n sekä Ha:n ja MAG2:n välillä. In this solution the security association of five cut into two parts SA1 and SA2 Ha between and LMA1 of both HA and MAG2. Mobiili-IPv6-välipalvelinprotokolla sallii tämän, sillä mobiliteettiliityntäyh-dyskäytävän ja paikallisen ankkurisolmun välinen tietoturva-assosiaatio on IP-Sec-assosiaatio ja niiden välinen yhteys on IPSec-VPN. Mobile-IPv6 protocol allows a proxy to this, the security association between the gateway and mobiliteettiliityntäyh-anchor node is a local IPSec association and connection between them is an IPSec VPN.
Käytännössä hubin Ha, Hb ei tarvitse ''ymmärtää” mobiili-IPv6-väli-10 palvelinprotokollaa. In practice, the hub Ha, Hb does not have to 'understand' mobile IPv6 proxy-server 10 protocol. Hubi purkaa (decapsulate) ja kapseloi dataliikennettä eri IPSec-tunneleiden välillä. Hub unload (decapsulate) and encapsulates the data traffic between different IPSec tunnels. Mobiili-IP-tunneloitu liikenne lähetetään IPSec:llä, jolloin IPv6:n tapauksessa mobiili-IP-tunneloitu liikenne voidaan lähettää normaalisti ja IPv4:n tapauksessa voi olla välttämätöntä käyttää lisä-GRE-tunnelia (yleiskäyttöinen, reitityskapselointi, generic routing encapsulation) IPSecillä, 15 mikäli IPv4-osoitteet tulevat yksityisestä tilasta. Mobile-IP tunnelled traffic is sent IPSec, wherein the case of IPv6 mobile IP tunnelled traffic can be sent normally and the IPv4 case, it may be necessary to use additional GRE tunnel (general-purpose, reitityskapselointi, Generic Routing Encapsulation), IPsec, 15, if the IPv4 addresses come from the private mode. Käyttäjätason (user plane) data lähetetään mobiili-IP-tunnelilla. User-level data (user plane) is sent to the mobile IP tunnel. Mobiili-IP-tunnelin päätepisteet ovat MAG ja LMA, ja perustuen tähän tietoon IPSec:iin päättyvät hubit pystyvät reitittämään mobiili-IPv6-välipalvelintunneloitua liikennettä IP-mielessä. Mobile IP tunnel endpoints are the MAG and the LMA, and based on this knowledge IPSec cent will end hubs are able to route mobile IPv6 välipalvelintunneloitua traffic to IP in mind.
Esillä olevan ratkaisun etuihin sisältyvät korkea skaalattavuus koti- 20 verkko-operaattorin näkökulmasta ja tosiasia, että muutokset IPv6-välipalvelin- protokollaan eivät ole välttämättömiä. The present solution advantages include high scalability of the network 20 home operator point of view and the fact that changes in the IPv6 protocol välipalvelin- are not necessary. Ratkaisu sallii verkkovierailuyhteyksien helpon hallinnan ja konfiguroinnin käytettäessä mobiili-IPv6-välipalvelinperus- teista teknologiaa verkkovierailuun. The solution allows the roaming connections for easy management and configuration using the mobile IPv6 technology välipalvelinperus- you roaming. Yhdysverkko-operaattorin näkökulmasta esillä oleva ratkaisu mahdollistaa uuden operointi- ja palvelumallin mobiili- 25 IPv6-välipalvelinhubin muodossa, kuten yllä on kuvattu. present to the gateway operator point of view, the solution enables new operating and service model 25 in the form of a mobile IPv6 välipalvelinhubin, as described above. Näin ollen yhdysverk- o ko voi lisätä kannattavuuttaan lisäämällä uutta älykkyyttä ja uusia laskutettavia og palveluita verkkoonsa. Thus, yhdysverk- o ko can increase profitability by adding new intelligence and new billable services og network. Esillä oleva ratkaisu muuttaa perinteistä verkkovierai- g lumallia. The present solution is to change the traditional roaming g pricing model. Esillä olevassa ratkaisussa kahdenväliset sopimukset loppukäyttäjien g operaattorien välillä eivät ole enää välttämättömiä, vaan samaan verkkovierai- ^ 30 lu/yhdysverkkoyhteisöön kuuluvat ovat saavutettavissa toisilleen ilman erityisiä £ toimia. In this solution, the end of bilateral agreements between operators g of users are no longer necessary, but at the same roaming? 30 IU / yhdysverkkoyhteisöön belong to each other are achievable without special measures £. Esillä oleva ratkaisu sallii monenvälisten verkkovierailujärjestelyiden g helpon sijoittelun operaattorin näkökulmasta. The present solution allows the roaming arrangements in the multilateral g easy placement of the operator's point of view.
jn Tietoturva-assosiaatiot voidaan perustaa dynaamisina tai staattisina § tietoturva-assosiaatioina. jn Security associations may be set up as dynamic or static § security association. Perustettu tietoturva-assosiaatio voi olla aikariippuva Established security association can be a time-dependent
35 sertifikaatti, jolla on ennalta määrätty elinaika (esimerkiksi viikko, kuukausi, vuosi) vaatien näin ollen uuden ratifioinnin sertifikaatin kelpoisuuden raukea- 13 misen jälkeen. 35 Certificate, which has a predetermined life span (for example, week, month, year), requiring, therefore, the ratification of a new certificate after the lapse of the 13 eligibility misen. Staattinen tietoturva-assosiaatio tarkistetaan, kun se perustetaan. Static security association will be amended when it is established. Dynaaminen tietoturva-assosiaatio luodaan verkkovierailevan asiakkaan kanssa, jolla on uusi mobiililiityntäyhdyskäytävä. Dynamic security association is created with a roaming customer with a new mobiililiityntäyhdyskäytävä. Mikäli MAG:n ja hubin (tai LMA:n) välillä ei ole verkkovierailevia käyttäjiä, mitään IPSec-tunneliakaan ei 5 tarvita niiden välillä. If the MAG and the hub (or LMA) does not exist between roaming user, no IPSec tunnel he will not need 5 between them. Ensimmäinen pääte, joka autentikoidaan MAG:n kautta verkkoon ja tarvitsee kyseisen yhteyden, aloittaa SA:n dynaamisen luonnin MAG:n ja sopivan hubin (tai LMA:n) välillä. The first terminal which is authenticated by the MAG via the network and that needs a connection start SA dynamic creation of MAG and a suitable hub (or LMA) route.
Tulisi huomata, että yhdysverkko, kotiverkko ja/tai verkkovierailu-verkko voivat käytännössä olla saman yrityksen omistamia, mutta niitä pide-10 tään loogisesti eri operaattoreina esillä olevan ratkaisun näkökulmasta, It should be noted that, to the gateway, the home network and / or the roaming network can actually be owned by the same company, but they pide-10 is logically present in a different solution to the operator point of view,
Kuvioissa esitetyt kohteet ja vaiheet ovat yksinkertaistettuja ja ne tähtäävät vain keksinnön ajatuksen kuvaamiseen. The items and steps shown in the figures are simplified and only aim at describing the idea of ​​the invention. Muita kohteita voidaan käyttää ja/tai muita toimintoja voidaan suorittaa vaiheiden välissä. Other items may be used and / or other functions carried out between the steps. Kohteet palvelevat vain esimerkkeinä, ja niihin voi sisältyä vain osa yllä mainitusta informaa-15 tiosta. Spots serve only as examples and may include only part of the above-mentioned Inform-15 State. Kohteet voivat myös sisältää muuta informaatiota, ja nimet voivat poiketa yllä annetuista. The objects can also contain other information, and the names may be different from those given above. Kohteiden ja/tai vaiheiden järjestys voi poiketa annetusta. Objects and / or steps may differ from the order. Ankkurisolmun, keskitinsolmun, liityntäsolmun ja/tai käyttäjäpäätteen sijaan tai lisäksi yllä kuvatut operaatiot voidaan suorittaa missä tahansa muussa viestintäjärjestelmän elementissä. The anchor node, a hub, the access node and / or user terminal instead of or in addition to the above-described operations can be performed in any other communication system element.
20 Tunnetun tekniikan välineiden lisäksi keksinnön toiminnallisuuden toteuttava järjestelmä tai järjestelmän verkkosolmut käsittävät välineet tietoturva-assosiaation perustamiseksi ja datan lähettämiseksi hyödyntäen perustettua tietoturva-assosiaatiota yllä kuvatulla tavalla. 20 in addition to prior art means, a system implementing the functionality of the invention, or system network nodes comprise means for establishing a security association and transmitting data utilizing the established security association, as described above. Olemassa olevat verkkosolmut ja käyttäjäpäätteet käsittävät prosessoreita ja muistia, joita voidaan hyö-25 dyntää keksinnön operaatioissa. Existing network nodes and user terminals comprise processors and memory, which can be more useful to the 25 backed on operations of the invention. Mitkä tahansa muutokset, jotka tarvitaan kek- (j) sinnön toteuttamiseksi, voidaan suorittaa käyttäen ohjelmistorutiinien ja/tai Any changes needed in the inventive (j) for carrying out sinnön may be carried out using software routines and / or
o asiakaspiireihin (application specific integrated circuit, ASIC) ja/tai ohjelmoita- ch viin piireihin, kuten EPLD:ihin (electrically programmable logic device) tai o ^ FPGA:ihin (field programmable gate array), sisältyvien rutiinien täydennyksiä ^ 30 tai päivityksiä. No customer circuits (Application Specific Integrated Circuit, ASIC) and / or programmable Viin circuits CH, as EPLD: the (Electrically Programmable Logic Device) or o ^ FPGAs (field programmable gate array), routines included in the supplement ^ 30 or updates.
£ Alan ammattilaiselle on ilmeistä, että teknologian edistyessä keksin- o nöllinen käsite voidaan toteuttaa monin eri tavoin. £ skilled in the art it is obvious that as technology advances, the inventive concept can be useful operational No implemented in many different ways. Keksintö ja sen suoritus- The invention and its embodiments
00 J 00 J
[o muodot eivät rajoitu yllä kuvattuihin esimerkkeihin, vaan ne voivat vaihdella pa- l"'- § tenttivaatimusten puitteissa. [O are not restricted to the examples described above but may vary within the l '' - § within the scope of the claims.
1. Menetelmä tietoturvapalvelun tarjoamiseksi dataliikenteelle viestintäjärjestelmässä (S) järjestelmän (S) käsittäessä kotioperaattoriverkon (N1), 5 verkkovierailuoperaattoriverkon (N2, N3, N4), yhdysoperaattoriverkon (GRXa, GRXb), ja käyttäjäpäätteen (UE1-2, UE1-3, UE1-4), jolloin kotioperaattoriverk-ko (N1) on käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) kotiverkko, menetelmän käsittäessä ainakin yhden operaattorispesifisen tieto-10 turva-assosiaation perustamisen dataliikenteen suojaamiseksi järjestelmässä (S), tunnettu siitä, että menetelmässä perustetaan ensimmäinen tietoturva-assosiaatio (SA1) kotioperaat-toriverkossa (N1) sijaitsevan ankkurisolmun (LMA1) ja yhdysoperaattoriver-kossa (GRXa, GRXb) sijaitsevan keskitinsolmun (Ha, Hb) välille; 1. A method for providing a security service for data traffic in a communication system (S), the system (S) comprising the home operator network (N1), a five roaming operator network (N2, N3, N4), yhdysoperaattoriverkon (GRXa, GRXb), and the user terminal (UE1-2, UE1-3, UE1- 4), wherein the co-kotioperaattoriverk (N1) is a user terminal (UE1-2, UE1-3, UE1-4) home network, the method comprising establishment of at least one operator specific information 10 security association to protect the data communication system (S), characterized in that the method first establishes a security association (SA1) in kotioperaat-square network (N1) to the anchor node (LMA1) and yhdysoperaattoriver-network (GRXa, GRXb) between the hub nodes in (Ha, Hb); 15 perustetaan toinen tietoturva-assosiaatio (SA2, SA3, SA4) verkko- vierailuoperaattoriverkossa (N2, N3, N4) sijaitsevan liityntäsolmun (MAG1, MAG2, MAG3) ja yhdysoperaattoräverkossa (GRXa, GRXb) sijaitsevan keskitinsolmun (Ha, Hb) välille; 15 establishes a second security association (SA2, SA3, SA4) roaming operator network (N2, N3, N4) in the access node (MAG1, MAG2, MAG3), and yhdysoperaattoräverkossa (GRXa, GRXb) between the hub nodes in (Ha, Hb); ja lähetetään dataliikennettä kotioperaattoriverkossa (N1) sijaitsevan 20 ankkurisolmun (LMA1) ja verkkovierailuoperaattoriverkossa (N2, N3, N4) verk-kovierailevan käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) välillä hyödyntäen ensimmäistä tietoturva-assosiaatiota (SA1) ja vastaavaa toista tietoturva-assosiaatiota (SA2, SA3, SA4). and transmitting a data traffic to the home operator network (N1) in 20 anchor node (LMA1) and roaming operator network (N2, N3, N4) of the network i-kovierailevan user terminal (UE1-2, UE1-3, UE1-4) from using the first security association (SA1), and the like a second security association (SA2, SA3, SA4).
2. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, 25 että ensimmäinen tietoturva-assosiaatio (SA1) on spesifinen kotioperaattori- verkolle (N 1). 2. The method according to claim 1, characterized in 25 that the first security association (SA1) kotioperaattori- is specific to the network (N 1).
3. Patenttivaatimuksen 1 tai 2 mukainen menetelmä, tunnettu CM ^ siitä, että toinen tietoturva-assosiaatio (SA2, SA3, SA4) on spesifinen kotiope- O ^ raaitoriverkolle (N1) ja verkkovierailuoperaattoriverkolle (N2, N3, N4). 3. The method according to claim 1 or 2, CM ^ characterized in that the second security association (SA2, SA3, SA4) is a specific in home raaitoriverkolle O ^ (N1) and the roaming network operator (N2, N3, N4).
4. Patenttivaatimuksen 1, 2 tai 3 mukainen menetelmä, tunnet- X £ tu siitä, että perustetaan tietoturva-assosiaatio (SA2, SA3, SA4) kotioperaat- o toriverkon (N1) kutakin verkkovierailupartneriverkkoa (N2, N3, N4) varten. 4. The method according to claim 1, 2 or 3, c X £ tu in that the establishment of a security association (SA2, SA3, SA4) kotioperaat- No rotor network (N1) of each roaming partner network (N2, N3, N4).
5. Minkä tahansa patenttivaatimuksen 1 - 4 mukainen menetelmä, r-- . 5. any one of claims 1 - A method according to claim 4, r-. § tunnettu siitä, että ensimmäinen tietoturva-assosiaatio (SA1) raukeaa en- ^ 35 naita määrätyn ajanjakson jälkeen. § characterized in that the first security association (SA1) does not proceed en-^ 35 That line after a specified period. 15 15
6. Minkä tahansa patenttivaatimuksen 1 - 5 mukainen menetelmä, tunnettu siitä, että toinen tietoturva-assosiaatio (SA2, SA3, SA4) raukeaa ennalta määrätyn ajanjakson jälkeen. 6. claimed in any one of claims 1 - to 5, characterized in that the second security association (SA2, SA3, SA4) after the lapse of a predetermined period of time.
7. Minkä tahansa patenttivaatimuksen 1 - 6 mukainen menetelmä, 5 tunnettu siitä, että hyödynnetään mobiili-IPv6-välipalvelinprotokol!aa yh- dysoperaattoriverkon ja kotioperaattoriverkon välillä sekä yhdysoperaattoriver-kon ja verkkovierailuoperaattorin välillä. 7. in any one of claims 1 - A method according to claim 6, 5 characterized in that use mobile IPv6 välipalvelinprotokol aa one between dysoperaattoriverkon and the home operator network and yhdysoperaattoriver-box and roaming!.
8. Viestintäjärjestelmä (S) käsittäen kotioperaattoriverkon (N1), 10 verkkovierailuoperaattoriverkon (N2, N3, N4), yhdysoperaattoriverkon (GRXa, GRXb), ja käyttäjäpäätteen (UE1-2, UE1-3, UE1-4), jolloin kotioperaattoriverk-ko (N1) on käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) kotiverkko, järjestelmän (S) ollessa järjestetty perustamaan ainakin yhden ope-15 raattorispesifisen tietoturva-assosiaation dataliikenteen suojaamiseksi, tunnettu siitä, että järjestelmä (S) on järjestetty perustamaan ensimmäisen tietoturva-assosiaation (SA1) kotiope-raattoriverkossa (N1) sijaitsevan ankkurisolmun (LMA1) ja yhdysoperaattori-verkossa (GRXa, GRXb) sijaitsevan keskitinsolmun (Ha, Hb) välille; 8. A communications system (S) comprising the home operator network (N1), 10 roaming operator network (N2, N3, N4), yhdysoperaattoriverkon (GRXa, GRXb), and the user terminal (UE1-2, UE1-3, UE1-4), wherein the co-kotioperaattoriverk ( N1) is a user terminal (UE1-2, UE1-3, UE1-4), the home network system (S) being arranged to set up the protection of the at least one OPE-15 raattorispesifisen data traffic security association, characterized in that the system (S) is arranged to set up a first security association (SA1) an anchor node in kotiope-raattoriverkossa (N1) (LMA1) and yhdysoperaattori network (GRXa, GRXb) located between the hub node (Ha, Hb); 20 perustamaan toisen tietoturva-assosiaation (SA2, SA3, SA4) verk- kovierailuoperaattoriverkossa (N2, N3, N4) sijaitsevan liityntäsolmun (MAG1, MAG2, MAG3) ja yhdysoperaattoriverkossa (GRXa, GRXb) sijaitsevan keskitinsolmun (Ha, Hb) välille; 20 to establish a second security association (SA2, SA3, SA4) kovierailuoperaattoriverkossa network (N2, N3, N4) in the access node (MAG1, MAG2, MAG3), and yhdysoperaattoriverkossa (GRXa, GRXb) between the hub nodes in (Ha, Hb); ja lähettämään dataliikennettä kotioperaattoriverkossa (N1) sijaitsevan 25 ankkurisolmun (LMA1) ja verkkovierailuoperaattoriverkossa (N2, N3, N4) verk-(jj kovierailevan käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) välillä hyödyntäen en- o simmäistä tietoturva-assosiaatiota (SA1) ja vastaavaa toista tietoturva- co assosiaatiota (SA2, SA3, SA4). O and send data traffic to the home operator network (N1) node located in the anchor 25 (LMA1) and the operator of the roaming network (N2, N3, N4) of the network (jj kovierailevan user terminal (UE1-2, UE1-3, UE1-4) using the en-No security association simmäistä (SA1) and the corresponding co a second security association (SA2, SA3, SA4). O
^ 9. Patenttivaatimuksen 8 mukainen järjestelmä, tunnettu siitä, 30 että ensimmäinen tietoturva-assosiaatio (SA1) on spesifinen kotioperaattori-£ verkolle (N 1). ^ 9. The system according to claim 8, characterized in 30 that the first security association (SA1) has a specific kotioperaattori- £ network (N 1).
10. Patenttivaatimuksen 8 tai 9 mukainen järjestelmä, tunnettu siitä, että toinen tietoturva-assosiaatio (SA2, SA3, SA4) on spesifinen kotiope-§ raattoriverkolle (N1) ja verkkovierailuoperaattoriverkolie (N2, N3, N4). 10. The system of claim 8 or 9, characterized in that the second security association (SA2, SA3, SA4) is a specific kotiope-§ raattoriverkolle (N1) and verkkovierailuoperaattoriverkolie (N2, N3, N4). ^ 35 ^ 35
11. Patenttivaatimuksen 8, 9 tai 10 mukainen järjestelmä, tun nettu siitä, että se on konfiguroitu perustamaan tietoturva-assosiaation 16 (SA2, SA3, SA4) kotioperaattoriverkon (N1) kutakin verkkovierailupartneriverk-koa {N2, N3, N4) varten. 11. The system as claimed in claim 8, 9 or 10, c h characterized in that it is configured to establish a security association between 16 (SA2, SA3, SA4) the home operator network (N1) of each verkkovierailupartneriverk CoA {N2, N3, N4).
12. Minkä tahansa patenttivaatimuksen 8-11 mukainen järjestelmä, tunnettu siitä, että ensimmäinen tietoturva-assosiaatio (SA1) raukeaa en- 5 naita määrätyn ajanjakson jälkeen. 12. The system according to any one of claims 8-11, characterized in that the first security association (SA1) en-5 of these lapses after a fixed period of time.
13. Minkä tahansa patenttivaatimuksen 8-12 mukainen järjestelmä, tunnettu siitä, että toinen tietoturva-assosiaatio (SA2, SA3, SA4) raukeaa ennalta määrätyn ajanjakson jälkeen. 13. The system according to any one of claims 8-12, characterized in that the second security association (SA2, SA3, SA4) after the lapse of a predetermined period of time.
14. Minkä tahansa patenttivaatimuksen 8 -13 mukainen järjestelmä, 10 tunnettu siitä, että se on konfiguroitu hyödyntämään mobiili-IPvö-väli- palvelinprotokollaa yhdysoperaattoriverkon ja kotioperaattoriverkon välillä sekä yhdysoperaattoriverkon ja verkkovierailuoperaattorin välillä. 14 in any of the claims 8 -13 The system according to 10, characterized in that it is configured to utilize the mobile-IPvö intermediate-server protocol between the yhdysoperaattoriverkon and the home operator network and yhdysoperaattoriverkon and roaming.
15. Ankkurisolmu (LMA1) viestintäjärjestelmää (S) varten, jolloin ankkurisolmu (LMA1) sijaitsee käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) koti- 15 operaattoriverkossa (N1), tunnettu siitä, että ankkurisolmu (LMA1) on järjestetty perustamaan tietoturva-assosiaation (SA1) suojattua dataliikennettä varten yhdysoperaattoriverkossa (GRXa, GRXb) sijaitsevan keskitinsolmun (Ha, Hb) kanssa; 15. The anchor node (LMA1) for a communication system (S), wherein the anchor node (LMA1) is located in the user terminal (UE1-2, UE1-3, UE1-4) 15 of the home operator network (N1), characterized in that the anchor node (LMA1) is arranged for the establishment of a security association (SA1) of the protected data traffic yhdysoperaattoriverkossa (GRXa, GRXb) with a hub in (Ha, Hb); ja 20 suorittamaan datanlähetyksen verkkovierailuoperaattoriverkossa (N2, N3, N4) verkkovierailevan käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) kanssa hyödyntäen tietoturva-assosiaatiota (SA1). and 20 to perform the data transmission to the roaming operator network (N2, N3, N4) of the roaming user terminal (UE1-2, UE1-3, UE1-4) with using the security association (SA1).
16. Patenttivaatimuksen 15 mukainen ankkurisolmu (LMA1), tunnettu siitä, että tietoturva-assosiaatio (SA1) on spesifinen kotioperaattori- 25 verkolle (N1). the anchor node according to claim 15 of 16 (LMA1), characterized in that the security association (SA1) has a specific kotioperaattori- 25 to the network (N1).
^ 17. Patenttivaatimuksen 15 tai 16 mukainen ankkurisolmu (LMA1), o tunnettu siitä, että tietoturva-assosiaatio (SA1) raukeaa ennalta määrätyn co ajanjakson jälkeen. ^ 17. The anchor node according to claim 15 or 16 (LMA1), o characterized in that the security association (SA1) after lapse of a predetermined period of time co.
^ 18. Liityntäsolmu (MAG1, MAG2, MAG3) viestintäjärjestelmää (S) 30 varten, jolloin liityntäsolmu {MAG1, MAG2, MAG3) sijaitsee verkkovierailuope-£ raattoriverkossa (N2, N3, N4), tunnettu siitä, että liityntäsolmu (MAG1, o MAG2, MAG3) on järjestetty [n perustamaan tietoturva-assosiaation (SA2, SA3, SA4) suojattua da- § taliikennettä varten yhdysoperaattoriverkossa {GRXa, GRXb) sijaitsevan keski- C\J 35 tmsolmun (Ha, Hb) kanssa; ^ 18. The access node (MAG1, MAG2, MAG3) communication system (S) for the 30, wherein the access node {MAG1, MAG2, MAG3) is located verkkovierailuope- £ raattoriverkossa (N2, N3, N4), characterized in that the access node (MAG1, MAG2 No , MAG3) is disposed [the establishment of a security association (SA2, SA3, SA4) of the protected data traffic accounted for yhdysoperaattoriverkossa § {GRXa, GRXb) in the center C \ J 35 tmsolmun (IIa, IIb) with; ja 17 suorittamaan dataniähetyksen verkkovierailuoperaattoriverkossa (N2, N3, N4) verkkovieraiievan käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) kanssa hyödyntäen tietoturva-assosiaatiota (SA2, SA3, SA4). and 17 to perform dataniähetyksen roaming operator network (N2, N3, N4) verkkovieraiievan user terminal (UE1-2, UE1-3, UE1-4) with using the security association (SA2, SA3, SA4).
19. Patenttivaatimuksen 18 mukainen liityntäsolmu (MAG1, MAG2, 5 MAG3), tunnettu siitä, että tietoturva-assosiaatio (SA1) on spesifinen ko- tioperaattoriverkoile (N1) ja verkkovierailuoperaattoriverkolle (N2, N3, N4). 19. The access node according to claim 18 (MAG1, MAG2, MAG3 5), characterized in that the security association (SA1) has a specific KO tioperaattoriverkoile (N1) and the roaming network operator (N2, N3, N4).
20. Patenttivaatimuksen 18 tai 19 mukainen liityntäsolmu (MAG1, MAG2, MAG3), tunnettu siitä, että tietoturva-assosiaatio (SA2, SA3, SA4) raukeaa ennalta määrätyn ajanjakson jälkeen. the access node of claim 18 or claim 20. 19 (MAG1, MAG2, MAG3), characterized in that the security association (SA2, SA3, SA4) after the lapse of a predetermined period of time.
21. Keskitinsolmu (Ha, Hb) viestintäjärjestelmää (S) varten, jolloin keskitinsolmu (Ha, Hb) sijaitsee yhdysoperaattoriverkossa (GRXa, GRXb), tunnettu siitä, että keskitinsolmu (Ha, Hb) on järjestetty perustamaan ensimmäisen tietoturva-assosiaation (SA1) suojattua dataliikennettä varten käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) kotioperaattori-15 verkossa (N1) sijaitsevan ankkurisolmun (LMA1) kanssa; 21. For a hub (IIa, IIb) in a communication system (S), wherein a hub (IIa, IIb) is located yhdysoperaattoriverkossa (GRXa, GRXb), characterized in that a hub (Ha, Hb) is arranged to set up a secure the first security association (SA1) for the data traffic to the user terminal (UE1-2, UE1-3, UE1-4) with the anchor node located in the home operator network 15 (N1) (LMA1); perustamaan toisen tietoturva-assosiaation (SA2, SA3, SA4) suojattua dataliikennettä varten verkkovierailuoperaattoriverkossa (N2, N3, N4) sijaitsevan liityntäsolmun (MAG1, MAG2, MAG3) kanssa; to establish a second security association (SA2, SA3, SA4) for secure data transport operator roaming network (N2, N3, N4) in the access node (MAG2, MAG3 MAG1,); ja lähettämään dataliikennettä kotioperaattoriverkossa (N1) sijaitsevan 20 ankkurisolmun (LMA1) ja verkkovierailuoperaattoriverkossa (N2, N3, N4) verkkovieraiievan käyttäjäpäätteen (UE1-2, UE1-3, UE1-4) välillä hyödyntäen ensimmäistä tietoturva-assosiaatiota (SA1) ja vastaavaa toista tietoturva-assosiaatiota (SA2, SA3, SA4). and send data traffic to the home operator network (N1) in 20 anchor node (LMA1) and roaming operator network (N2, N3, N4) verkkovieraiievan user terminal (UE1-2, UE1-3, UE1-4) from using the first security association (SA1) and the second security Association The (SA2, SA3, SA4).
22. Patenttivaatimuksen 21 mukainen keskitinsolmu (Ha, Hb), 25 tunnettu siitä, että ensimmäinen tietoturva-assosiaatio (SA1) on spesifinen (jj kotioperaattoriverkolie (N1). a hub according to claim 21, 22 (IIa, IIb), 25 characterized in that the first security association (SA1) is specific for (jj kotioperaattoriverkolie (N1).
23. Patenttivaatimuksen 21 tai 22 mukainen keskitinsolmu (Ha, Hb), C0 tunnettu siitä, että toinen tietoturva-assosiaatio (SA2, SA3, SA4) on spesi- o ^ finen kotioperaattoriverkolie (N1) ja verkkovierailuoperaattoriverkolie (N2, N3, ^ 30 N4). 23 according to claim 21 or 22, a hub (IIa, IIb), C0 characterized in that the second security association (SA2, SA3, SA4) is specific for o ^ tautomer kotioperaattoriverkolie (N1) and verkkovierailuoperaattoriverkolie (N2, N3, N4 ^ 30 ). X X
£ 24. Patenttivaatimuksen 21, 22 tai 23 mukainen keskitinsolmu (Ha, o Hb), tunnettu siitä, että ensimmäinen tietoturva-assosiaatio (SA1) raukein aa ennalta määrätyn ajanjakson jälkeen. £ 24, a hub as claimed in claim 21, 22 or 23 (IIa, IIb No), characterized in that the first security association (SA1) aa raukein after a predetermined period of time. Γ"' Γ ''
§ 25. Minkä tahansa patenttivaatimuksen 21 - 24 mukainen keskitin- 00 35 solmu (Ha, Hb), tunnettu siitä, että toinen tietoturva-assosiaatio (SA2, SA3, SA4) raukeaa ennalta määrätyn ajanjakson jälkeen. § 25 of any one of claims 21 - 00 to 24 concentrator node 35 (IIa, IIb), characterized in that the second security association (SA2, SA3, SA4) after the lapse of a predetermined period of time. 18 18
FI20075780A 2007-11-01 2007-11-01 The protected data transmission in a communication system FI124279B (en)
US12/734,432 US8355695B2 (en) 2007-11-01 2008-10-29 Secured data transmission in communications system
DK08846173.6T DK2215767T3 (en) 2007-11-01 2008-10-29 Secured data transmission in communication system
EP08846173.6A EP2215767B1 (en) 2007-11-01 2008-10-29 Secured data transmission in communications system
ES08846173.6T ES2457317T3 (en) 2007-11-01 2008-10-29 Secure transmission of data in a communications system
FI20075780A0 FI20075780A0 (en) 2007-11-01
FI20075780A FI20075780A (en) 2009-05-02
FI124279B true FI124279B (en) 2014-06-13
2007-11-01 FI FI20075780A patent/FI124279B/en active IP Right Grant
2008-10-29 EP EP08846173.6A patent/EP2215767B1/en active Active
2008-10-29 US US12/734,432 patent/US8355695B2/en active Active
2008-10-29 ES ES08846173.6T patent/ES2457317T3/en active Active
2008-10-29 WO PCT/FI2008/050611 patent/WO2009056681A1/en active Application Filing
2008-10-29 DK DK08846173.6T patent/DK2215767T3/en active
US8355695B2 (en) 2013-01-15
FI20075780A0 (en) 2007-11-01
FI20075780D0 (en)
WO2009056681A1 (en) 2009-05-07
EP2215767A4 (en) 2011-03-02
US20100261451A1 (en) 2010-10-14
FI20075780A (en) 2009-05-02
EP2215767A1 (en) 2010-08-11
DK2215767T3 (en) 2014-05-12
EP2215767B1 (en) 2014-02-26
ES2457317T3 (en) 2014-04-25
Ref document number: 124279