ES2279444T3 - Metodo, sistema y terminal movil para establecer una conexion vpn. - Google Patents
Metodo, sistema y terminal movil para establecer una conexion vpn. Download PDFInfo
- Publication number
- ES2279444T3 ES2279444T3 ES04775033T ES04775033T ES2279444T3 ES 2279444 T3 ES2279444 T3 ES 2279444T3 ES 04775033 T ES04775033 T ES 04775033T ES 04775033 T ES04775033 T ES 04775033T ES 2279444 T3 ES2279444 T3 ES 2279444T3
- Authority
- ES
- Spain
- Prior art keywords
- computer
- mobile terminal
- mobile
- network
- communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
- 238000000034 method Methods 0.000 title claims abstract description 62
- VJYFKVYYMZPMAB-UHFFFAOYSA-N ethoprophos Chemical compound CCCSP(=O)(OCC)SCCC VJYFKVYYMZPMAB-UHFFFAOYSA-N 0.000 title 1
- 238000004891 communication Methods 0.000 claims abstract description 55
- 230000004044 response Effects 0.000 claims abstract description 34
- 238000010295 mobile communication Methods 0.000 claims abstract description 18
- 230000008569 process Effects 0.000 description 14
- 230000005540 biological transmission Effects 0.000 description 8
- 238000010586 diagram Methods 0.000 description 4
- 230000010354 integration Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 238000012360 testing method Methods 0.000 description 2
- 230000001010 compromised effect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000002349 favourable effect Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000013519 translation Methods 0.000 description 1
- 230000005641 tunneling Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/14—Session management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0272—Virtual private networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/03—Protecting confidentiality, e.g. by encryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W84/00—Network topologies
- H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mobile Radio Communication Systems (AREA)
- Air Bags (AREA)
- Small-Scale Networks (AREA)
- Nonmetallic Welding Materials (AREA)
- Input Circuits Of Receivers And Coupling Of Receivers And Audio Equipment (AREA)
Abstract
Procedimiento para permitir el establecimiento de una conexión de Red Privada Virtual en una red de comunicaciones (110) entre unos primer (150) y segundo (160) ordenadores conectados a la red, en el que un primer terminal de comunicaciones móvil (154) está dispuesto para la comunicación local con el primer ordenador (150) y un segundo terminal de comunicaciones móvil (164) está dispuesto para la comunicación local con el segundo ordenador (160), caracterizado porque dicho método es ejecutado por el segundo terminal móvil (164) y comprende las etapas siguientes: - recibir (308) desde el primer terminal móvil (154) un mensaje de petición encriptado que comprende - información que representa la dirección de red del primer ordenador (150) y - una clave secreta compartida, - desencriptar (310) dicho mensaje de petición utilizando una clave privada (PriveKeyB) asociada con el segundo terminal móvil (164), - transmitir (312) al segundo ordenador (160) un mensaje de configuración que contiene información que representa la dirección de red del primer ordenador (150) y la clave secreta compartida, - recibir (316) una instrucción de respuesta del segundo ordenador (160), y - al recibir la instrucción de respuesta, transmitir (318) al primer terminal móvil (154) un mensaje de respuesta que contiene información que representa la dirección de red del segundo ordenador (160), permitiendo así al primer ordenador (150) obtener la dirección de red del segundo ordenador (160) y permitiendo además al segundo ordenador (160) obtener la dirección de red del primer ordenador (150) y la clave secreta compartida, lo que permite el establecimiento de la conexión de Red privada Virtual entre los primer (150) y segundo (160) ordenadores.
Description
Método, sistema y terminal móvil para establecer
una conexión VPN.
La presente invención se refiere, en general, a
la seguridad de la información, y más específicamente a un método
para permitir el establecimiento de conexión de una Red Virtual
Privada en una red de comunicaciones entre un primer y un segundo
ordenador conectados a la red.
En particular, se dispone un primer terminal de
comunicaciones móvil para comunicación local entre el primer
ordenador y el segundo ordenador, y el procedimiento según la
invención se realiza mediante dicho terminal móvil.
La invención se refiere asimismo a un terminal
de comunicaciones móvil dispuesto para llevar a cabo el
procedimiento y a un sistema que comprende el terminal de
comunicaciones móvil para llevar a cabo el procedimiento.
Una Red Privada Virtual (VPN) es una red privada
que utiliza la estructura pública, que comprende su infraestructura
de telecomunicaciones. Las VPN son muy utilizadas para permitir que
usuarios móviles y remotos se conecten con sus LAN de empresa
internos.
La IPSec (Seguridad de Protocolo Internet) ha
sido una técnica popular en los últimos años para el suministro de
VPN. Utilizando la IPSec la seguridad se alcanza mediante la
disposición de un protocolo de tunelización y procedimientos de
seguridad.
Para establecer una conexión de túnel VPN
IPSec entre pares o entre dos ordenadores cliente conectados a internet, cada ordenador debe disponer un determinado número de datos de configuración, comprendiendo la dirección IP de ambos ordenadores y una clave secreta compartida, como un número o una cadena alfanumérica aleatorios. Cuando se suministra esta información, cada ordenador puede realizar un proceso de configuración que da como resultado el establecimiento de la conexión de
VPN.
IPSec entre pares o entre dos ordenadores cliente conectados a internet, cada ordenador debe disponer un determinado número de datos de configuración, comprendiendo la dirección IP de ambos ordenadores y una clave secreta compartida, como un número o una cadena alfanumérica aleatorios. Cuando se suministra esta información, cada ordenador puede realizar un proceso de configuración que da como resultado el establecimiento de la conexión de
VPN.
La Infraestructura de Claves Públicas (PKI) es
un procedimiento seguro para intercambiar información dentro de una
organización, una industria, una nación o en todo el mundo. El PKI
utiliza el procedimiento de encriptación asimétrica, también
conocido cono procedimiento de "clave pública/privada", para
encriptar ID y documentos/mensajes. Una autoridad certificada (CA)
emite certificados digitales (ID digitales) que autentifican la
identificación de personas y organizaciones a través de una red
pública como por ejemplo internet.
La solicitud de patente US 2003/070067
(10-04-2003) da a conocer un
procedimiento para el establecimiento de una conexión segura entre
dos terminales móviles. Un servidor suministra al terminal llamador
una clave común e información del terminal de destino. El terminal
llamador envía la clave a la dirección suministrada por el servidor.
Finalmente, se establece una conexión segura entre los dos
terminales utilizando la clave común.
El documento
EP-A-0 944 203
(22-09-1999) da a conocer un
procedimiento para establecer una conexión segura entre un terminal
móvil y su agente de nodo, en el que se envía una clave de seguridad
al terminal utilizando el Servicio de Mensajes Breves GSM.
Un objetivo de la presente invención consiste en
proporcionar un procedimiento, un dispositivo y un sistema para
permitir el establecimiento de conexión de una Red Privada Virtual
en una red de comunicaciones entre un primer y un segundo ordenador
conectados a la red.
Otro objetivo de la invención consiste en
proporcionar un procedimiento, un dispositivo y un sistema del tipo
mencionado anteriormente cuya implantación y utilización sea fácil y
económica.
Otro objetivo de la presente invención consiste
en proporcionar un procedimiento, un dispositivo y un sistema del
tipo mencionado anteriormente que utilice una infraestructura
existente, como por ejemplo la telefonía móvil universal, así como
tecnologías de nueva aparición como la comunicación de corto alcance
Bluetooth.
Otro objetivo más de la invención consiste en
proporcionar un procedimiento, un dispositivo y un sistema que
proporcionen una forma sencilla para los clientes corrientes de
establecimiento de conexiones VPN para facilitar el acceso a nuevos
procedimientos de comercio electrónico y soluciones de pago en
línea.
Por lo menos uno de los objetivos mencionados
anteriormente se consigue por medio del procedimiento, dispositivo y
sistema del tipo mencionado anteriormente descritos en las
reivindicaciones adjuntas independientes. Se obtienen ventajas más
favorables mediante las formas de realización tal y como se expone
en las reivindicaciones subordinadas.
A continuación la invención se describe con
mayor detalle a título de ejemplo y haciendo referencia a las
figuras, en las cuales
la figura 1 es un diagrama de bloques que
ilustra un sistema en el que se utiliza un procedimiento según la
invención,
la figura 2 es un cronograma que ilustra el
procedimiento completo de establecimiento de una conexión de
VPN,
la figura 3 es un diagrama de flujo de una forma
de realización preferida de la invención.
La figura 1 es un diagrama de bloques que
ilustra un sistema en el que se utiliza el procedimiento según la
presente invención.
Un primer ordenador cliente 150 (A) y un segundo
ordenador cliente 160 (B) se encuentran operativamente conectados a
una red de comunicaciones digital global 110, como por ejemplo
internet.
El objetivo de la invención consiste en
establecer una conexión VPN entre A y B, es decir, entre el primer
ordenador cliente 150 y el segundo ordenador cliente 160.
Cada ordenador cliente 150, 160 dispone de una
dirección (dirección IP) en la red 110. Además cada ordenador
cliente 150, 160, dispone de software de cliente, como por ejemplo
un navegador de internet que permita el acceso del ordenador a la
World Wide Web. Por otra parte, cada ordenador cliente 150, 160
dispone de una interfaz de comunicaciones local, como por ejemplo un
transceptor Bluetooth RF, para la comunicación inalámbrica local de
corto alcance con dispositivos periféricos remotos.
La Bluetooth es una norma industrial de
telecomunicaciones e informática que describe el modo en que
teléfonos móviles, ordenadores y asistentes personales digitales
(PDA) pueden interconectarse fácilmente entre si utilizando una
conexión inalámbrica local (de corto alcance). Un dispositivo
Bluetooth es un transceptor de microchip que transmite y recibe en
la banda de frecuencia de 2,45 Ghz. Cada dispositivo presenta una
dirección única de 48 bits del estándar IEEE 802. Las conexiones
pueden ser de punto a punto o multipunto. El alcance máximo es de
aproximadamente 10 metros. Un esquema de salto de frecuencia permite
la comunicación de los dispositivos incluso en zonal con mucha
interferencia magnética. Se disponen funciones de integración para
encriptación y autentificación de la comunicación Bluetooth de corto
alcance.
Cada ordenador cliente 150,160 dispone además de
software que permite que el ordenador se comunique con los
dispositivos periféricos remotos utilizando dicha interfaz de
comunicaciones locales.
Un primer terminal móvil 154 se encuentra
asociado con el primer ordenador cliente 150. El primer terminal
móvil 154 dispone de dos opciones de comunicación independientes: en
primer lugar, el terminal móvil 154 dispone de una interfaz de
comunicaciones para comunicación local con el primer ordenador
cliente 150, por ejemplo un transceptor Bluetooth RF. En segundo
lugar, el terminal móvil 154 está preparado para operar en una red
de telefonía móvil 120, mediante comunicación por radio con una
estación base 122 que cubre la ubicación actual del terminal móvil
154. Específicamente, la red de telefonía móvil suministra un
servicio de mensajes, por ejemplo un servicio SMS, que permite al
terminal móvil 154 transmitir un mensaje digital a otro terminal
móvil que opera en la red de telefonía móvil 120.
De forma similar, un segundo terminal móvil 164
se encuentra asociado con el segundo ordenador cliente 160 en el
lado B. El segundo terminal móvil 164 también dispone de dos
opciones de comunicación independientes: en primer lugar, el
terminal móvil 164 dispone de una interfaz de comunicaciones para
comunicación local con el segundo ordenador cliente 160, por ejemplo
un transceptor Bluetooth RF. En segundo lugar, el terminal móvil 164
está preparado para operar en una red de telefonía móvil 120,
mediante comunicación por radio con una estación base 124 que cubre
la ubicación actual del terminal móvil 164. El servicio de mensajes,
por ejemplo un servicio SMS, suministrado por la red de telefonía
móvil 120, permite al terminal móvil 164 transmitir y recibir
mensajes digitales a otro terminal móvil que opera en la red.
Normalmente, la red de telefonía móvil 120 comprende una red GSM, y
los terminales móviles están preparados para operar en la red GSM,
lo cual permite a los terminales enviar y recibir mensajes SMS a
través de la red 120.
Cada uno de los terminales móviles primero 154 y
segundo 164 comprende una tarjeta SIM (Módulo de Identidad del
Abonado).
La figura 2 es un cronograma que ilustra todo el
proceso de permitir el establecimiento de una conexión VPN entre el
primer ordenador cliente 150 y el segundo ordenador cliente 160. Con
fines ilustrativos, en la descripción del proceso de la figura 2
también se considera el sistema mostrado en la figura 1.
La siguiente información de configuración es
necesaria en ambos ordenadores de cliente 150, 160 para permitir el
establecimiento de una conexión de túnel VPN entre el primer 150 y
el segundo 160 ordenadores de cliente:
- (1)
- dirección IP de ambos ordenadores de cliente, y
- (2)
- una clave secreta compartida.
El proceso posterior de establecimiento de una
conexión o túnel VPN, basado en dichos datos de configuración, será
un procedimiento normal de diseño para un experto en la materia,
basándose en las enseñanzas de la norma IPSec.
En la etapa inicial del proceso 202, el usuario
que opera el primer ordenador cliente 150 introduce una petición. La
petición incluye una identificación del segundo terminal móvil 164,
como por ejemplo un número de teléfono asociado con el mismo.
A continuación, en la etapa de generación de la
clave secreta 204, el primer ordenador cliente 150 genera una
"clave secreta compartida", como por ejemplo un número o una
cadena alfanumérica pseudoaleatorios.
Posteriormente, en la etapa de transmisión de la
instrucción de petición 206, el primer ordenador cliente 150
transmite una instrucción de petición a través de la primera
conexión Bluetooth local 152 al primer terminal móvil 154. Las
características de integración de la comunicación a través de
Bluetooth garantizan que los datos se transmiten de forma
encriptada, lo cual resulta esencial para la
seguridad/confidencialidad. Esta instrucción comprende datos que
representan la clave secreta compartida generada, la dirección IP
del primer ordenador cliente 150 y la identidad del segundo terminal
móvil 164, y la instrucción ordena al primer terminal móvil A
transmitir un mensaje de petición en la etapa siguiente 208.
Como responsable de la recepción de la
instrucción de petición, el primer terminal móvil está dispuesto
para iniciar la etapa 208 de transmisión del mensaje de petición,
en la que el primer terminal móvil 154 transmite un mensaje de
petición, como por ejemplo un mensaje SMS, al segundo terminal móvil
164 identificado a través de la red de comunicaciones móvil 120.
Este mensaje de petición contiene la clave secreta compartida y la
dirección IP del primer ordenador cliente 150.
Preferentemente, las etapas 206 y 208 se
realizan disponiendo el primer terminal móvil 154 como un terminal
"pasivo", cuya funcionalidad puede ser controlada por el primer
ordenador cliente 150 a través de la comunicación por Bluetooth. En
este caso, el primer ordenador cliente 150 genera el mensaje de
petición, y la instrucción de petición transmitida en la etapa 206
comprenderá el mensaje de petición generado y ordenará realmente al
primer terminal móvil 154 enviar el mensaje de petición
transmitiéndolo en forma de un SMS.
El mensaje de petición se encripta utilizando la
clave pública asociada con el segundo terminal móvil 164.
Al recibir este mensaje SMS, el segundo terminal
móvil 164 ejecutará la etapa 210 de desencriptación del mensaje de
petición utilizando la clave privada asociada con el segundo
terminal móvil 164. Convenientemente, esta clave privada se
almacena en la tarjeta SIM (Módulo de Identidad del Abonado)
incluida en el segundo terminal móvil. Para obtener acceso a la
clave privada guardada en la tarjeta SIM, el operador del segundo
terminal móvil 164 deberá introducir un código PIN en el terminal
móvil 164.
Al desencriptar el mensaje de petición, el
segundo terminal móvil 164 ejecuta la etapa 212 de transmisión del
mensaje de configuración, en la que los datos de configuración, que
comprenden la dirección IP del primer ordenador cliente 150, y la
clave secreta se transmiten al segundo ordenador cliente 160 por
medio de la comunicación por Bluetooth.
Una vez que el segundo ordenador cliente 160 ha
detectado la recepción del mensaje de configuración, es decir,
cuando se han obtenido los datos de configuración, que incluyen la
dirección IP del primer ordenador cliente y la clave secreta
compartida, el segundo ordenador cliente 160 inicia un proceso de
configuración 214, configurando la conexión túnel VPN entre el
primer 150 y el segundo 160 ordenadores cliente.
A continuación, el segundo ordenador cliente 160
ejecuta la etapa 216 de transmisión de la instrucción de respuesta.
En esta etapa, se transmite una instrucción de respuesta al segundo
ordenador cliente utilizando la segunda conexión Bluetooth 162.
Como respuesta a la recepción de la instrucción
de respuesta, el segundo terminal móvil se prepara para la etapa
218 de inicio de transmisión del mensaje de respuesta, en la que el
segundo terminal móvil 164 transmite un mensaje de respuesta, por
ejemplo un mensaje SMS, al primer terminal móvil 154, a través de
la red de comunicaciones móvil 120. Este mensaje de respuesta
contiene la dirección IP del segundo ordenador cliente 160.
Preferentemente, las etapas 216 y 218 se
ejecutan disponiendo el segundo terminal móvil 164 como un terminal
móvil "pasivo", cuya funcionalidad puede ser controlada por el
segundo ordenador cliente 160 a través del Bluetooth. En este caso,
el mensaje de respuesta es generado por el segundo ordenador cliente
160, y la instrucción de respuesta transmitida en la etapa 216
incluirá el mensaje de petición generado y ordenará realmente al
segundo terminal móvil 164 que envíe el mensaje de petición
transmitiendo el mensaje de respuesta en forma de un SMS.
El mensaje de respuesta se encripta utilizando
la clave privada asociada con el segundo terminal móvil 164,
guardado en su tarjeta SIM.
En el primer terminal móvil 154, una vez
recibido el mensaje de respuesta en la etapa 218, se desencripta el
mensaje de respuesta en la etapa 220 de desencriptación del mensaje
de respuesta. La etapa 220 de desencriptación del mensaje de
respuesta corresponde esencialmente a la etapa de desencriptación
210 ejecutada por el segundo terminal móvil 164, como se ha descrito
anteriormente.
A continuación de la etapa de desencriptación
220, el primer terminal móvil 154 ejecuta la etapa 222 de
transmisión del mensaje de configuración, en la que los datos de
configuración, que incluyen la dirección IP del segundo ordenador
cliente, se transmiten al primer ordenador cliente utilizando la
comunicación Bluetooth local.
De este modo, se suministra al primer ordenador
cliente la clave secreta compartida y la dirección IP del segundo
ordenador cliente, permitiendo al primer ordenador cliente 150
iniciar un proceso de configuración de túnel VPN 224. Además,
previamente, el segundo ordenador cliente 160 ha iniciado un proceso
de configuración 214. La conclusión de estos dos procesos de
configuración 214, 224 permite el establecimiento del túnel VPN
entre los primer 150 y segundo 160 ordenadores cliente.
La figura 3 es un diagrama de flujo que ilustra
un procedimiento según la invención.
El complejo procedimiento ilustrado en la figura
2 comprende etapas ejecutadas por diversas partes. El procedimiento
ilustrado en la figura 3 corresponde a las etapas del proceso global
anterior ejecutadas por el segundo terminal móvil 164.
El procedimiento permite establecer una conexión
de Red Privada Virtual, particularmente un túnel IPSec, en una red
de comunicaciones 110 entre el primer 150 y el segundo 160
ordenadores conectados a la red.
El procedimiento se describe asimismo haciendo
referencia al sistema ilustrado en la figura 1. Se dispone un primer
terminal móvil 154 para comunicación local (por ejemplo Bluetooth)
con el primer ordenador 150 y se dispone un segundo terminal móvil
164 para comunicación local (por ejemplo Bluetooth) con el segundo
ordenador 160. Los dos terminales móviles 154 y 164, están
dispuestos también para comunicación a través de la red de telefonía
móvil 120.
El segundo terminal móvil 164 ejecuta las etapas
del procedimiento. El procedimiento se inicia en la referencia
301.
En primer lugar, en la etapa de recepción de la
petición 308 se recibe un mensaje de petición encriptado. Esta
etapa corresponde a la etapa 208 de transmisión de petición de la
figura 2, en la que el primer terminal móvil 154 ha transmitido el
mensaje de petición. El mensaje de petición contiene información que
representa la dirección de red (dirección IP) del primer ordenador
150 y la clave secreta compartida, generada por el primer ordenador
cliente 150 en la etapa 204 y transmitida por las comunicaciones
Bluetooth locales al primer terminal móvil 154 en la etapa 206 (ver
figura 2). El mensaje de petición es preferentemente un SMS
transmitido y recibido por medio de la red de comunicaciones móvil
120. El mensaje de petición se encripta con una clave pública
asociada al terminal móvil 164.
La etapa de prueba 309 garantiza que el
procedimiento continúa con la etapa de desencriptación 310 sólo
cuando se ha recibido un mensaje de petición. En caso contrario, el
procedimiento espera a la recepción de un mensaje de petición.
En la etapa de desencriptación 310,
correspondiente a la etapa de desencriptación 210 de la figura 2, el
segundo terminal móvil 164 desencripta el mensaje de petición,
utilizando la clave privada asociada con el segundo terminal móvil
164. Como se ha explicado haciendo referencia a la figura 2, esta
clave privada se almacena convenientemente en la tarjeta SIM
incluida en el segundo terminal móvil 164.
Al finalizar la etapa de desencriptación 310, el
segundo terminal móvil 164 ejecuta además la etapa 312 de
transmisión del mensaje de configuración, correspondiente a la etapa
212 de la figura 2. En este punto, los datos de configuración que
comprenden la dirección IP del primer ordenador cliente 150 y la
clave secreta compartida se transmiten a través de la comunicación
por Bluetooth local al segundo ordenador cliente 160.
A continuación, el segundo terminal móvil
ejecuta la etapa 316 de recepción de la instrucción de respuesta,
que corresponde a la etapa de transmisión de la instrucción de
respuesta 216 ejecutada por el segundo ordenador cliente, ilustrada
en la figura 2. En esta etapa 316, se recibe una instrucción de
respuesta del segundo ordenador cliente 160 utilizando la segunda
conexión Bluetooth 162.
La etapa de prueba 317 garantiza que el
procedimiento continúa con la etapa de transmisión de respuesta 318
sólo cuando se ha recibido una instrucción de respuesta. En caso
contrario, el procedimiento espera a la recepción de la instrucción
de respuesta.
Como respuesta a la recepción de la instrucción
de respuesta, se dispone el segundo terminal móvil para iniciar la
etapa 318 de transmisión del mensaje de respuesta, correspondiente a
la etapa 218 ilustrada en la figura 2. En esta etapa 318, el
segundo terminal móvil 164 transmite un mensaje de respuesta (un
mensaje SMS) al primer terminal móvil 154, a través de la red de
comunicaciones móvil 120. Este mensaje de respuesta contiene la
dirección IP del segundo ordenador cliente 160.
Preferentemente, las etapas 316 a 318 se
realizan disponiendo el segundo terminal móvil 164 en forma de
terminal móvil "pasivo", cuya funcionalidad puede ser
controlada por el segundo ordenador cliente 160 a través del
Bluetooth. En este caso, el mensaje de respuesta es generado
realmente por el segundo ordenador cliente 160 y la instrucción de
respuesta transmitida en la etapa 316 incluirá el mensaje de
petición generado y ordenará realmente al segundo terminal móvil 164
enviar el mensaje de petición transmitiendo el mensaje de respuesta
en forma de SMS.
El mensaje de respuesta se encripta utilizando
la clave privada asociada con el segundo terminal móvil 164,
guardada en su tarjeta SIM.
Una vez completadas estas etapas, en la etapa de
finalización 319, se permite al primer ordenador cliente 150 obtener
la dirección IP del segundo ordenador cliente 160 del primer
terminal móvil 154, incluida en el mensaje de respuesta
transmitido. Como se ilustra en el proceso global de la figura 2,
esto implicará que la etapa de desencriptación 220 y la etapa de
transmisión de datos de configuración 222 sean ejecutadas por el
primer terminal móvil 154. Además, se ha permitido al segundo
ordenador cliente 160 ejecutar la etapa 214 de configuración del
túnel VPN como resultado del mensaje de configuración transmitido
por el segundo terminal móvil 164 en la etapa 312.
Por consiguiente tanto el ordenador cliente 150
como el 160 han obtenido los datos de configuración necesarios para
establecer un túnel VPN entre el primer 150 y el segundo 160
ordenadores.
La invención resultará particularmente aplicable
si la red 110 soporta una característica de direccionamiento global,
que es el caso de la norma Ipv6 inminente de protocolo de internet.
La implementación basada en la Ipv4 actual extendida implica la
utilización de dispositivos de Traducción de Dirección de red (NAT).
Un inconveniente de las redes NAT basadas en Ipv4 es que se
utilizan direcciones no globales. Esto significa que un ordenador
enviará una dirección que sólo es válida dentro de la red NAT, y a
la cual no puede accederse desde el exterior. No puede obtenerse
una comunicación completa global y en lugar de ello podría
establecerse un túnel entre dos servidores NAT, pero entonces la
comunicación sería completamente abierta dentro de la red NAT y la
seguridad resultaría comprometida.
La descripción detallada anteriormente explica
la invención a título de ejemplo. Los expertos en la materia
apreciarán que pueden introducirse numerosas variaciones y
alternativas en la forma de realización detallada están comprendidas
dentro del alcance de las reivindicaciones adjuntas.
Por ejemplo, el primer terminal móvil 154 y el
primer ordenador cliente 150, que se describen como unidades
separadas que se intercomunican a través de una comunicación
Bluetooth de corto alcance pueden fundirse en una unidad móvil
única como por ejemplo un Asistente Personal Digital (PDA). En este
caso, la comunicación local que tiene lugar entre el primer
terminal móvil 154 y el primer ordenador cliente 150 se produce
internamente en la unidad móvil.
Aunque la comunicación Bluetooth se especifica
como solución preferida de comunicación local de corto alcance entre
el ordenador cliente (150, 160) y el terminal móvil correspondiente
(154, 164 respectivamente), los expertos en la materia apreciarán
asimismo que pueden utilizarse otras opciones, como por ejemplo
comunicación por infrarrojos o incluso conexión por cable. No
obstante, con fines de seguridad, las comunicaciones locales debería
presentar preferentemente esquemas de encriptación integrados.
Los terminales 154, 164 pueden ser teléfonos
móviles corrientes, por ejemplo teléfonos GSM, provistos de medios
de comunicación de corto alcance adicionales, por ejemplo Bluetooth.
No obstante, los terminales móviles también pueden ser unidades
comunicación/procesamiento más complejas, por ejemplo PDA que
incluyan un módulo de comunicaciones móvil (por ejemplo un GSM) y
por ejemplo un transceptor de comunicaciones por Bluetooth.
El proceso global de la figura 2 es iniciado por
el usuario en el primer ordenador cliente 150. Naturalmente, también
es posible iniciar el proceso en el primer terminal móvil 154, que
dispone a continuación una conexión de corto alcance con el primer
ordenador cliente 150. También es posible reordenar la etapa 204 de
generación de clave secreta compartida para que sea ejecutada por el
primer terminal móvil 154, lo cual resulta particularmente
importante si el proceso es realizado por un dispositivo de
PDA/teléfono que actúa asimismo como ordenador cliente.
Claims (11)
1. Procedimiento para permitir el
establecimiento de una conexión de Red Privada Virtual en una red de
comunicaciones (110) entre unos primer (150) y segundo (160)
ordenadores conectados a la red, en el que un primer terminal de
comunicaciones móvil (154) está dispuesto para la comunicación local
con el primer ordenador (150) y un segundo terminal de
comunicaciones móvil (164) está dispuesto para la comunicación local
con el segundo ordenador (160), caracterizado porque dicho
método es ejecutado por el segundo terminal móvil (164) y comprende
las etapas siguientes:
- -
- recibir (308) desde el primer terminal móvil (154) un mensaje de petición encriptado que comprende
- -
- información que representa la dirección de red del primer ordenador (150) y
- -
- una clave secreta compartida,
- -
- desencriptar (310) dicho mensaje de petición utilizando una clave privada (PriveKeyB) asociada con el segundo terminal móvil (164),
- -
- transmitir (312) al segundo ordenador (160) un mensaje de configuración que contiene información que representa la dirección de red del primer ordenador (150) y la clave secreta compartida,
- -
- recibir (316) una instrucción de respuesta del segundo ordenador (160), y
- -
- al recibir la instrucción de respuesta, transmitir (318) al primer terminal móvil (154) un mensaje de respuesta que contiene información que representa la dirección de red del segundo ordenador (160),
permitiendo así al primer ordenador
(150) obtener la dirección de red del segundo ordenador (160)
y
permitiendo además al segundo ordenador (160)
obtener la dirección de red del primer ordenador (150) y la clave
secreta compartida, lo que permite el establecimiento de la conexión
de Red privada Virtual entre los primer (150) y segundo (160)
ordenadores.
2. Método según la reivindicación 1, en el
que dicha clave privada (PrivKeyB) se almacena en un Módulo de
Identidad del Abonado en el segundo terminal móvil (164).
3. Método según la reivindicación 2, en el
que dicha instrucción de respuesta comprende dicho mensaje de
respuesta.
4. Método según la reivindicación 3, en el
que dicho mensaje de petición se recibe desde una red de
comunicaciones móvil (120) y en el que dicho mensaje de respuesta se
transmite a dicha red de comunicaciones móvil (120).
5. Método según la reivindicación 4, en el
que dicha red de comunicaciones móvil (120) es una red de telefonía
móvil compatible GSM y en el que dichos mensajes de petición y de
respuesta son mensajes SMS.
6. Método según la reivindicación 5, en el
que dicho mensaje de petición se encripta utilizando una clave
pública (PubKeyB) asociada con el segundo terminal móvil (164) y en
el que dicho mensaje de respuesta se encripta utilizando la clave
privada (PrivKeyB) asociada con el segundo terminal móvil (164).
7. Método según una de las reivindicaciones 1
a 6, en el que la comunicación local entre el segundo terminal móvil
(164) y el segundo ordenador (160) es una comunicación inalámbrica,
de corto alcance, implementada según la norma Bluetooth.
8. Método según una de las reivindicaciones 1
a 7, en el que la comunicación local entre el primer terminal móvil
(154) y el primer ordenador (150) es una comunicación inalámbrica,
de corto alcance, implementada según la norma Bluetooth.
9. Método según una de las reivindicaciones 1
a 7, en el que el primer terminal móvil (154) y el primer ordenador
(150) se funden en una unidad móvil única, como un Asistente
Personal Digital, realizándose dicha comunicación local entre el
primer terminal móvil (154) y el primer ordenador (150) internamente
en la unidad móvil mediante una conexión por cable.
10. Terminal de comunicaciones móvil (164)
adaptado para permitir el establecimiento de una conexión de Red
Privada Virtual entre un primer (150) y segundo (160) ordenadores en
una red de comunicaciones (110), que comprende
- -
- una disposición de radiocomunicaciones de telefonía móvil, y
- -
- una interfaz de comunicaciones para la comunicación local con un ordenador,
caracterizado porque el
terminal móvil está dispuesto para realizar un método según una de
las reivindicaciones 1 a
9.
11. Sistema para permitir el establecimiento de
una conexión de Red Privada Virtual en una red de comunicaciones
(110), comprendiendo dicho sistema unos primer (150) y segundo (160)
ordenadores conectados a la red (110), en el que un primer terminal
de comunicaciones móvil (154) está dispuesto para la comunicación
local con el primer ordenador (150) y un segundo terminal de
comunicaciones móvil (164) está dispuesto para la comunicación local
con el segundo ordenador (160),
caracterizado porque el segundo terminal
de comunicaciones móvil (164) está dispuesto para realizar un
método según una de las reivindicaciones 1 a 9.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| NO20033655 | 2003-08-18 | ||
| NO20033655A NO321751B1 (no) | 2003-08-18 | 2003-08-18 | Fremgangsmate, mobilterminal og system for a etablere en VPN-forbindelse |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| ES2279444T3 true ES2279444T3 (es) | 2007-08-16 |
Family
ID=28036449
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| ES04775033T Expired - Lifetime ES2279444T3 (es) | 2003-08-18 | 2004-08-17 | Metodo, sistema y terminal movil para establecer una conexion vpn. |
Country Status (10)
| Country | Link |
|---|---|
| EP (1) | EP1658701B1 (es) |
| AT (1) | ATE350836T1 (es) |
| DE (1) | DE602004004157T2 (es) |
| DK (1) | DK1658701T3 (es) |
| ES (1) | ES2279444T3 (es) |
| MY (1) | MY134829A (es) |
| NO (1) | NO321751B1 (es) |
| RU (1) | RU2351084C2 (es) |
| UA (1) | UA88621C2 (es) |
| WO (1) | WO2005018168A1 (es) |
Families Citing this family (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9185092B2 (en) | 2010-03-11 | 2015-11-10 | Akira Nishihata | Confidential communication method using VPN, system thereof, program thereof, and recording medium for the program |
| TW201206129A (en) * | 2010-07-20 | 2012-02-01 | Gemtek Technology Co Ltd | Virtual private network system and network device thereof |
| US20130259230A1 (en) * | 2012-03-29 | 2013-10-03 | Broadcom Corporation | Bluetooth Low Energy Privacy |
| DE102012216382A1 (de) | 2012-09-14 | 2014-03-20 | Siemens Aktiengesellschaft | Energiesparmodus für Signalsystem eines Bahnsystems |
| EP2901280A2 (en) * | 2012-09-25 | 2015-08-05 | Openpeak Inc. | Method and system for sharing vpn connections between applications |
| CN107005534B (zh) * | 2014-12-04 | 2020-07-14 | 瑞典爱立信有限公司 | 一种安全连接建立的方法和装置 |
| RU2635215C1 (ru) * | 2016-12-27 | 2017-11-09 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Способ подключения компьютера пользователя к виртуальной частной сети через локальную сеть провайдера |
| CN115397033B (zh) * | 2021-05-25 | 2024-04-09 | 成都鼎桥通信技术有限公司 | 无线通信方法、装置、无线通信模组、介质及程序产品 |
Family Cites Families (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6181703B1 (en) * | 1995-09-08 | 2001-01-30 | Sprint Communications Company L. P. | System for managing telecommunications |
| FI980291A7 (fi) * | 1998-02-09 | 1999-08-10 | Nokia Corp | Liikkuva internetpääsy |
| RU2133557C1 (ru) * | 1998-09-09 | 1999-07-20 | Лукин Александр Федорович | Телефонная сеть структурированного объекта и система телефонной связи между удаленными структурированными объектами, использующими указанную сеть |
| US8073954B1 (en) * | 2000-07-19 | 2011-12-06 | Synchronoss Technologies, Inc. | Method and apparatus for a secure remote access system |
| DE10140446A1 (de) * | 2001-08-17 | 2003-03-06 | Siemens Ag | Verfahren und Datenverarbeitungsvorrichtung zum Übertragen von Daten über verschiedene Schnittstellen |
| JP2003101570A (ja) * | 2001-09-21 | 2003-04-04 | Sony Corp | 通信処理システム、通信処理方法、およびサーバー装置、並びにコンピュータ・プログラム |
-
2003
- 2003-08-18 NO NO20033655A patent/NO321751B1/no not_active IP Right Cessation
-
2004
- 2004-08-04 MY MYPI20043146A patent/MY134829A/en unknown
- 2004-08-17 DK DK04775033T patent/DK1658701T3/da active
- 2004-08-17 WO PCT/NO2004/000249 patent/WO2005018168A1/en not_active Ceased
- 2004-08-17 DE DE602004004157T patent/DE602004004157T2/de not_active Expired - Lifetime
- 2004-08-17 EP EP04775033A patent/EP1658701B1/en not_active Expired - Lifetime
- 2004-08-17 AT AT04775033T patent/ATE350836T1/de not_active IP Right Cessation
- 2004-08-17 ES ES04775033T patent/ES2279444T3/es not_active Expired - Lifetime
- 2004-08-17 UA UAA200602940A patent/UA88621C2/ru unknown
- 2004-08-17 RU RU2006107601/09A patent/RU2351084C2/ru not_active IP Right Cessation
Also Published As
| Publication number | Publication date |
|---|---|
| DK1658701T3 (da) | 2007-03-26 |
| NO20033655L (no) | 2005-02-21 |
| DE602004004157D1 (de) | 2007-02-15 |
| NO321751B1 (no) | 2006-06-26 |
| DE602004004157T2 (de) | 2007-10-11 |
| RU2351084C2 (ru) | 2009-03-27 |
| ATE350836T1 (de) | 2007-01-15 |
| UA88621C2 (ru) | 2009-11-10 |
| EP1658701B1 (en) | 2007-01-03 |
| NO20033655D0 (no) | 2003-08-18 |
| MY134829A (en) | 2007-12-31 |
| RU2006107601A (ru) | 2007-09-27 |
| EP1658701A1 (en) | 2006-05-24 |
| WO2005018168A1 (en) | 2005-02-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11863541B2 (en) | System and method for end-to-end secure communication in device-to-device communication networks | |
| US7028186B1 (en) | Key management methods for wireless LANs | |
| JP4921557B2 (ja) | インフラストラクチャベースの無線マルチホップネットワークにおけるセキュリティ認証及び鍵管理方法 | |
| CN101534505B (zh) | 通信装置和通信方法 | |
| US8688041B2 (en) | Methods and apparatus for secure, portable, wireless and multi-hop data networking | |
| EP1484856B1 (en) | Method for distributing encryption keys in wireless lan | |
| US20100119069A1 (en) | Network relay device, communication terminal, and encrypted communication method | |
| JP5120417B2 (ja) | 通信装置、通信方法、及び通信システム | |
| JP3955025B2 (ja) | 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ | |
| WO2010124739A1 (en) | A method and system for wireless connecting a mobile device to a service provider through a hosting wireless access node | |
| JP2010503326A5 (ja) | インフラストラクチャベースの無線マルチホップネットワークにおけるセキュリティ認証及び鍵管理方法 | |
| JP5167322B2 (ja) | データ転送方法および端末 | |
| CN101296138B (zh) | 一种无线终端配置生成方法、系统及其装置 | |
| CN100571460C (zh) | 安全漫游的方法和装置 | |
| CN102420642A (zh) | 蓝牙设备及其通信方法 | |
| CN116108458A (zh) | 密钥生成方法、装置、终端设备及服务器 | |
| EP1658701B1 (en) | Method, system and mobile terminal for establishing a vpn connection | |
| JP5388088B2 (ja) | 通信端末装置、管理装置、通信方法、管理方法及びコンピュータプログラム。 | |
| WO2001069838A2 (en) | Method, and associated apparatus, for generating security keys in a communication system | |
| WO2023213383A1 (en) | Establishing secure communications over a network | |
| KR100554520B1 (ko) | 휴대 인터넷 시스템의 사용자 인증 및 보안 키 분배 방법 | |
| JP4071774B2 (ja) | 無線ネットワークにおける暗号鍵の配送方法および子機 | |
| JP2006041641A (ja) | 無線通信システム | |
| JP2005223624A (ja) | ホームエージェント装置のデータベース更新方法 | |
| TH69189A (th) | การจัดตั้งการเชื่อมต่อวีพีเอ็น |