СПОСОБ И УСТРОЙСТВО ДЛЯ УСТАНОВЛЕНИЯ БЕЗОПАСНОЙ АССОЦИАЦИИ

1. Способ установления безопасной связи между узлом услуги и клиентом для доставки информации из узла услуги клиенту, где клиент и функция формирования ключа совместно используют базовую секретную информацию, при этом способ содержит:
передачу запроса на формирование и инициализацию ключа услуги из узла услуги в функцию формирования ключа, упомянутый запрос содержит идентификаторы узла услуги и клиента;
формирование ключа услуги в функции формирования ключа с использованием идентификатора узла услуги, базовой секретной информации и дополнительной информации, и передачу ключа услуги в узел услуги совместно с упомянутой дополнительной информацией;
инициализацию сеанса связи с упомянутым клиентом в узле услуги, причем инициализация включает в себя направление упомянутой дополнительной информации и упомянутого идентификатора узла услуги из узла услуги клиенту;
формирование упомянутого ключа услуги с использованием принятой дополнительной информации, идентификатора узла услуги и базовой секретной информации, на клиенте; и
установление безопасной ассоциации между клиентом и узлом услуги с использованием упомянутого ключа услуги.
2. Способ по п.1, в котором упомянутым клиентом является клиентский терминал сети связи 3G, применяющей Архитектуру Общей Самонастройки, упомянутый узел услуги содержит Функцию Сетевого Приложения, и упомянутая функция формирования ключа содержит Функцию Серверной Самонастройки.
3. Способ по п.2, в котором упомянутая функция формирования ключа дополнительно содержит Домашнюю Систему Подписчика или Домашний Регистр/Центр Аутентификации, упомянутая базовая секретная информация известна или доступна Домашней Системе Подписчика или Домашнему Регистру/Центру Аутентификации.
4. Способ по п.2 или 3, в котором упомянутый этап формирования ключа услуги в функции формирования ключа содержит этапы:
формирования ключевого материала Ks с использованием упомянутой базовой секретной информации; и
формирования ключа услуги с использованием упомянутого ключевого материала KS, идентификатора узла услуги, и упомянутой дополнительной информации.
5. Способ по п.2, в котором упомянутый этап формирования упомянутого ключа услуги в клиенте содержит:
формирование ключевого материала KS с использованием упомянутой базовой секретной информации; и
формирование ключа услуги с использованием упомянутого ключевого материала KS и упомянутой дополнительной информации.
6. Способ по п.5, в котором упомянутая базовая секретная информация хранится в ISIM/USIM клиента, и упомянутый этап формирования ключевого материала KS выполняют внутри ISIM/USIM.
7. Способ поп.1, в котором на упомянутом этапе формирования ключа услуги в функции формирования ключа используют значения, отличные от передаваемых клиенту из узла услуги.
8. Способ по п.7, в котором, по меньшей мере, некоторые из упомянутых отличных значений клиент получает из функции формирования ключа.
9. Способ по п.1, в котором упомянутая дополнительная информация содержит одно или большее количество из:
идентификатора транзакции; и
значения аутентификации сети.
10. Способ по п.1, в котором упомянутая дополнительная информация содержит идентификатор транзакции в формате NAI, идентификатор транзакции содержит кодированное случайное значение, сформированное функцией формирования ключа, кодированное случайное значение используют для формирования ключа услуги.
11. Способ по п.1, в котором упомянутая дополнительная информация содержит идентификатор транзакции в формате NAI, идентификатор транзакции содержит указатель на случайное значение, сформированное и сохраненное в функции формирования ключа, случайное значение используют для формирования ключа услуги, способ содержит передачу запроса, содержащего упомянутый указатель, от клиента в функцию формирования ключа, и возвращение случайного значения клиенту для обеспечения возможности формирования клиентом ключа услуги.
12. Способ по п.1, в котором функция формирования ключа передает в узел услуги значение аутентификации сети, и узел услуги направляет это значение клиенту совместно со упомянутой дополнительной информацией, клиент использует базовую секретную информацию и значение аутентификации для аутентификации функции формирования ключа.
13. Способ по п.1, содержащий передачу запроса на значение аутентификации от клиента в функцию формирования ключа после приема клиентом упомянутой дополнительной информации из узла услуги, прием значения аутентификации в клиенте и авторизацию запроса на безопасную ассоциацию, принятого из узла услуги, на основе этого значения.
14. Способ по п.1, в котором упомянутую дополнительную информацию направляют из узла услуги клиенту в сообщении, также содержащем данные услуги, данные услуги шифрованы и/или осуществлена защита их целостности с использованием ключа услуги, при этом клиент может дешифровывать зашифрованные данные после формирования им ключа услуги.
15. Способ по п.1, в котором упомянутый этап формирования ключа услуги в функции формирования ключа содержит использование идентификатора второго узла.
16. Способ по п.1, в котором упомянутым ключом услуги является ключ Diffie-Hellman для клиента, способ дополнительно содержит этап предоставления для узла услуги ключа Diffie-Hellman для этого узла услуги и передачу ключа Diffie-Hellman для узла услуги клиенту, упомянутую безопасную ассоциацию устанавливают на основе двух ключей Diffie-Hellman.
17. Узел услуги для поставки услуги доставки клиенту через защищенную линию связи, при этом узел услуги содержит:
средство для передачи запроса на формирование и инициализацию ключа услуги в функцию формирования ключа, запрос идентифицирует клиента и узел услуги;
средство для приема ключа услуги из функции формирования ключа совместно с упомянутой дополнительной информацией;
средство для инициализации сеанса связи с клиентом, причем инициализация включает в себя направление упомянутой дополнительной информации клиенту; и
средство для шифрования и/или защиты целостности информации услуги с использованием ключа услуги и для передачи шифрованной/защищенной информации клиенту.
18. Терминал клиента для приема услуги доставки, поставляемой узлом услуги, при этом терминал клиента содержит:
средство памяти для хранения секретной информации, которую используют совместно с функцией формирования ключа;
средство для приема из упомянутого узла услуги информации формирования ключа, переданной узлом услуги;
средство для формирования ключа услуги с использованием упомянутой совместно используемой секретной информации и упомянутой информации формирования ключа; и
средство для использования упомянутого ключа услуги при дешифровании и/или проверке целостности связи с узлом услуги.
19. Терминал клиента по п.18, содержащий средство для приема кода аутентификации сообщения из узла услуги, упомянутый терминал содержит средство для формирования ключа или ключей аутентификации по меньшей мере из части информации формирования ключа и использования ключа(ей) аутентификации для аутентификации кода аутентификации сообщения.
20. Терминал клиента по п.18, в котором упомянутое средство для формирования ключа или ключей аутентификации содержит USIM/ISIM.
21. Функция формирования ключа для использования при установлении безопасной ассоциации между клиентом и узлом услуги для доставки информации из узла услуги клиенту, при этом функция формирования ключа содержит:
средство памяти для хранения секретной информации, которую используют совместно с упомянутым клиентом;
средство для приема запроса на формирование и инициализацию ключа услуги из упомянутого узла услуги, запрос идентифицирует клиента и узел услуги; и
средство для формирования ключа услуги с использованием идентификатора узла услуги, базовой секретной информации и дополнительной информации и для передачи ключа услуги в узел услуги совместно со упомянутой дополнительной информацией.
22. Способ установления безопасной ассоциации между первым и вторым клиентами для доставки информации от первого клиента второму клиенту, где первый и второй клиенты имеют доверительные отношения с первым и со вторым серверами ключей, соответственно, и совместно используют секретную информацию с соответствующими им серверами ключей, при этом способ содержит:
передачу запроса на формирование и инициализацию ключа услуги от первого клиента в упомянутый второй сервер ключей через первый сервер ключей, запрос идентифицирует первый и второй узлы;
формирование ключа услуги во втором сервере ключей с использованием идентификатора первого узла, базовой секретной информации и дополнительной информации и передачу ключа услуги в первый узел совместно со упомянутой дополнительной информацией;
направление упомянутой дополнительной информации из первого узла во второй узел; и
формирование упомянутого ключа услуги с использованием принятой дополнительной информации и базовой секретной информации, во втором узле.
23. Способ защиты узла от атак повторного воспроизведения, при этом способ содержит:
формирование ключа услуги в функции сервера самонастройки;
предоставление ключа услуги в первый узел совместно с информацией, требуемой для формирования ключа услуги,
передачу сообщения формирования ключа из первого узла во второй узел, сообщение содержит упомянутую информацию, значение предотвращения повторного воспроизведения и код аутентификации сообщения, вычисленный по телу сообщения, содержащему значение предотвращения повторного воспроизведения, значение предотвращения повторного воспроизведения увеличивается или уменьшается при каждом запуске процедуры;
прием упомянутого сообщения формирования ключа в упомянутом втором узле и сохранение содержащегося в нем значения предотвращения повторного воспроизведения; и
во втором узле, каждый раз при приеме сообщения формирования ключа, верификацию упомянутого кода аутентификации сообщения, определение, было ли уже сохранено во втором узле значение предотвращения повторного воспроизведения, содержащееся в сообщении, и, если да, то отклонение сообщения.