WO2013062394A1 - 이동 통신 시스템에서 단일 사용 승인 방법 및 장치 - Google Patents

이동 통신 시스템에서 단일 사용 승인 방법 및 장치 Download PDF

Info

Publication number
WO2013062394A1
WO2013062394A1 PCT/KR2012/008950 KR2012008950W WO2013062394A1 WO 2013062394 A1 WO2013062394 A1 WO 2013062394A1 KR 2012008950 W KR2012008950 W KR 2012008950W WO 2013062394 A1 WO2013062394 A1 WO 2013062394A1
Authority
WO
WIPO (PCT)
Prior art keywords
identification information
naf
agent
authentication agent
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/KR2012/008950
Other languages
English (en)
French (fr)
Inventor
서경주
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Samsung Electronics Co Ltd
Original Assignee
Samsung Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Samsung Electronics Co Ltd filed Critical Samsung Electronics Co Ltd
Priority to EP12843733.2A priority Critical patent/EP2773142B1/en
Priority to US14/349,221 priority patent/US9560526B2/en
Publication of WO2013062394A1 publication Critical patent/WO2013062394A1/ko
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor

Definitions

  • the present invention relates to a single use authorization method and apparatus of a mobile communication system, and more particularly, to a method and apparatus for efficiently supporting a process of performing a single user authorization procedure.
  • SSO Single sign-on
  • a mobile communication network is an authorization method that allows a user to log on to the network once and access all authorized resources.
  • SSO single sign-on
  • one user ID and password can be used to automatically log on to all appropriate servers.
  • SSO according to the prior art has security vulnerabilities in the identifier and verification process sent for authorization. Therefore, there is a problem in that it is vulnerable to a phishing attack using such a security vulnerability.
  • the present invention has been made to solve the above problems, the authentication process is performed separately from the browsing agent (Browsing Agent) and the authentication agent (Authentication Agent) to perform a single user authorization process to occur in a single user authorization process
  • the purpose is to solve possible security problems.
  • a single use approval method of a browsing agent (Browsing Agent), transmitting the user supplied identifier (User supplied identifier) to the RP (Relaying Party) Receiving a message instructing to redirect the browser from the RP to the RP, Open identifier provider (OP) / NAF (Network) to identify the identification of the authentication agent (Authentication Agent) Application function) and transmitting a message triggering to query the identification information of the authentication agent or the identification information of the authentication agent to the authentication agent.
  • OP Open identifier provider
  • NAF Network
  • Authentication Agent Authentication Agent
  • the single use authorization method of the authentication agent (Authentication Agent) in the mobile communication system receiving the identification information (identifier) of the authentication agent from the browsing agent (Browsing Agent), the received authentication Determining whether the identification information of the agent is the same as the user supplied identifier, and if the identification information of the authentication agent is the same as the user supplied identification information, a confirmation message is sent to the Open ID Provider (NAF).
  • NAF Open ID Provider
  • the single use authorization method of the authentication agent (Authentication Agent) in the mobile communication system triggering to look up the identification information (identifier) of the authentication agent from the browsing agent (Browsing Agent) Receiving a message and transmitting the user supplied identifier (User supplied identifier) to the Open ID Provider (OP) / Network Application Function (NAF).
  • identifier identification information
  • OP Open ID Provider
  • NAF Network Application Function
  • the single use authorization device of a browsing agent transmits user supplied identifier information to a relaying party and sends a browser from the RP to a browser. Receive a message instructing to redirect to the RP, and transmits the identification information (identifier) of the authentication agent (Authentication Agent) to OP (Open ID Provider) / Network Application Function (NAF), the authentication agent And a control unit for controlling to transmit a message triggering to query the identification information or the identification information of the authentication agent to the authentication agent.
  • identifier identifier
  • OP Open ID Provider
  • NAF Network Application Function
  • the single use authorization device of the authentication agent (Authentication Agent) in the mobile communication system receives the identification information (identifier) of the authentication agent from the browsing agent (Browsing Agent), the received authentication agent Determine whether the identification information is identical to the user supplied identifier, and if the identification information of the authentication agent is the same as the user supplied identification information, a confirmation message is sent to the OP (Open ID Provider) / NAF (Network Application Function). It characterized in that it comprises a control unit for controlling to transmit to.
  • the single use authorization device of the authentication agent (Authentication Agent) in the mobile communication system triggering to look up the identification information (identifier) of the authentication agent from the browsing agent (Browsing Agent)
  • a control unit configured to receive the message and to control the user supplied identification information to be transmitted to an OP (Open ID Provider) / NAF (Network Application Function).
  • a single user approval procedure can be performed more safely.
  • FIG. 1 is a block diagram illustrating a single sign-on environment in a mobile communication system environment according to an embodiment of the present invention.
  • FIG. 2 is a flowchart illustrating a procedure of a single user approval process according to an embodiment of the present invention.
  • the present invention describes a single use approval procedure that is more secure in a single use approval of a terminal in a mobile communication system environment.
  • Evolved Packet System based on 3GPP, Universal Terrestrial Radio Access Network (UTRAN) (UTRAN), Evolved Universal Terrestrial Radio Access Network (EUTRAN), GERAN (GSM) / EDGE Radio Access Network (hereinafter referred to as GERAN), but is not limited thereto and may be applicable to other mobile systems.
  • GERAN Evolved Packet System
  • various modifications are possible within the scope of the present invention without departing from the scope of the present invention in the process of processing the relevant information so that the terminal is suitable for a single use approval environment.
  • the present invention provides a generic bootstrapping architecture (Generic Bootstrapping Architecture) and related protocols and other security-related protocols in the evolved mobile communication system, including the 3GPP EPS, and when supporting the Open ID, the terminal in the process of communicating with the network To describe a single user approval process.
  • Generic Bootstrapping Architecture Generic Bootstrapping Architecture
  • FIG. 1 is a block diagram illustrating a single sign-on environment in a mobile communication system environment according to an embodiment of the present invention.
  • FIG. 1 is a block diagram illustrating a single user sign-on environment in a mobile communication system environment according to a preferred embodiment of the present invention.
  • 3GPP EPS system structure is illustrated as an example.
  • the present invention has been described based on EUTRAN, and this method can be used in other similar mobile communication systems.
  • a user equipment (hereinafter, referred to as a terminal or a UE) 110 may establish a wireless connection with a base station and perform communication.
  • the UE 110 may access a packet data network such as the Internet through a Serving Gateway (hereinafter referred to as Serving GW or SGW).
  • Serving GW Serving Gateway
  • the UE 110 may include a mobile equipment (ME) and a subscriber identification module (SIM).
  • the mobile device may perform an operation for communication with a user or a network.
  • the SIM may perform an operation related to storage, management, etc. of user-related information and security information of a user.
  • the UE 110 may include two entities for a single user authorization. That is, the UE 110 may include an authentication agent (AA) 111 and a browsing agent (hereinafter referred to as BA) 112. In this case, the AA 111 and the BA 112 may not be included in a physically identical entity. That is, the AA 111 may be included in the UE 110 and present in the ME, and the BA 112 may exist in a physically separate entity.
  • AA authentication agent
  • BA browsing agent
  • a home subscriber server (HSS) 121 may manage authentication information and service information about a user and a terminal.
  • the HSS 121 may include a home location register (HLR) and an AUC (authentication center).
  • HLR home location register
  • AUC authentication center
  • Bootstrapping Server Function (BSF) 193 may participate in a bootstrapping procedure to configure a generic bootstrapping architecture.
  • a network application function (NAF) 191 may perform an application.
  • the NAF 191 may include an Open ID Provider (OP).
  • OP Open ID Provider
  • relaying party (RP) 195 is an entity involved in a single user approval procedure.
  • RP 195 includes a web application that wants proof that a user uses an identifier.
  • the OP is an entity that performs an open ID authentication server function.
  • Other network entities such as the RP 195, propose a more secure operation of the user's single use authorization.
  • UE 110 is a transceiver for transmitting and receiving data with other components, respectively And a controller configured to determine based on the data received through the transceiver, and to transmit and receive a result value according to the determination result through the transceiver.
  • an embodiment of the present invention according to FIG. 1 has proposed a method in which a UE, which is a basic object of the present invention, has a single use authorization in an EUTRAN or 3GPP environment.
  • the channel type, network architecture, or similar protocol or protocol may be applied in other variations in other mobile communication systems having different but similarly operating protocols without departing from the scope of the present invention. It will be possible to judge by those skilled in the art of the present invention.
  • FIG. 2 is a flowchart illustrating a procedure of a single user approval process according to an embodiment of the present invention.
  • the BA 112 may transmit a signal including user provided identifier to the RP 195 through a browser. Thereafter, in step 203, the RP 195 may inquire the address of the OP 191 based on the signal received in step 201.
  • the OP 191 may include a NAF.
  • the RP 195 may set shared secret information between the OP / NAF 191 inquired in step 203.
  • steps 207-01 to 207-19 a single user approval process and a user authentication process through the AA 111 and the BA 112 will be described.
  • the RP 195 may send a message to the BA 112 that includes information instructing the BA 112 to redirect the browser of the BA 112 to the shared secret OP 191.
  • the message may include an Open ID authentication request.
  • an indicator for the Open ID operation may also be transmitted, and this indicator may be used later in the process of selecting the appropriate OP / NAF by the BA 112 or during the operation of the OP / NAF.
  • the BA 112 may transmit an HTTPS GET request message to the OP / NAF 191 in steps 207-03.
  • the OP / NAF 191 receiving the HTTPS GET request message may transmit an HTTPS response to the BA 112 requesting an identifier of the AA 111 in step 207-05.
  • the BA 112 may transmit an HTTPS GET request with the identification information of the AA 111 to the OP / NAF 191.
  • the BA 112 may transmit AA identification information to the AA 111.
  • a user supplied identifier may be used as identification information to be used.
  • the AA 111 compares the AA identification information received from the BA 112 in steps 207-13 with the user-provided identification information transmitted by the BA 112 to the RP 195 in step 201 (steps 207-13). Verification is done by comparing or verifying.
  • the BA 112 when the BA 112 is an entity physically separate from the AA 111, the BA 112 may be provided with user-provided identification information from the AA 111 before step 207-11. If the authentication is successful, the AA 111 may transmit a message confirming to the OP / NAF 191 in steps 207-15.
  • the BA 112 may transmit a message that triggers the AA 111 to query the identifier of the authentication agent.
  • the AA 111 may transmit user provided identification information to the OP / NAF 191 as identification information of the AA.
  • the OP / NAF 191 may perform a process of authenticating by comparing or verifying the received AA identification information with the identification information of the AA received from the BA 112 in steps 207-17.
  • the BA 112 may transmit a message that triggers the AA 111 to query the identification information of the authentication agent.
  • the AA 111 may transmit any one or more of B-TID (bootstrapping transaction identifier) or user-provided identification information used for the bootstrapping transaction among the identification information of the AA to the OP / NAF 191.
  • the OP / NAF 191 may perform a process of comparing or verifying the received AA identification information or the B-TID with the identification information of the AA received from the BA 112 in steps 207 to 17.
  • the BA 112 may transmit a message to the AA 111, which triggers to query the identifier of the authentication agent.
  • the AA 111 may transmit any one or more of Mobile Station Integrated Services Digital Number (MSISDN) or user-provided identification information among the identification information of the AA to the OP / NAF 191.
  • the OP / NAF 191 performs a process of authenticating by comparing or verifying the received AA identification information or Mobile Station Integrated Services Digital Number (MSISDN) with the identification information of the AA received from the BA 112. can do.
  • MSISDN Mobile Station Integrated Services Digital Number
  • the OP / NAF 191 may perform an operation for initiating an authentication process using the Generic Bootstrapping Architecture (GBA) with the AA 111.
  • GBA Generic Bootstrapping Architecture
  • step 215 the AA 111 transmits an HTTPS GET message to the OP 191, and in step 217, the NAF may start a UE authentication process based on the HTTPS GET message received in step 215.
  • step 219 the AA 111 performs a bootstrapping process with the BSF 193.
  • step 221 the AA 111 performs an HTTPS request message including a B-TID (bootstrapping transaction identifier) used for a bootstrapping transaction. May be transmitted to the OP / NAF 191.
  • B-TID bootsstrapping transaction identifier
  • the OP / NAF 191 and the BSF 193 may perform a process for user authentication based on the message transmitted in step 211.
  • the NAF / OP 191 may transmit a message to the AA 111 indicating that the browser is to be redirected to the relaying party 195 through a browsing agent.
  • the AA 111 may transmit an authentication approval confirmation message to the OP / NAF 191.
  • the OP / NAF 191 may send a message to the BA 112 instructing to redirect the browser to the RP 195.
  • the message may include a message instructing to transmit the authentication approval message together.
  • the BA 112 may redirect the browser to the RP 195, and at this time, may transmit an authentication approval message.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

본 발명은 이동 통신 시스템의 단일 사용 승인 방법 및 장치에 관한 것으로, 본 발명의 실시예에 따른 이동 통신 시스템에서 브라우징 에이전트(Browsing Agent)의 단일 사용 승인 방법은, 사용자 제공 식별 정보(User supplied identifier)를 RP(Relaying Party)로 전송하는 단계, 상기 RP로부터 브라우저(browser)를 상기 RP로 리다이렉트(redirect) 할 것을 지시하는 메시지를 수신하는 단계, 인증 에이전트(Authentication Agent)의 식별 정보(identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계 및 상기 인증 에이전트의 식별 정보 또는 상기 인증 에이전트의 식별 정보를 조회하도록 트리거링(triggering)하는 메시지를 인증 에이전트로 전송하는 단계를 포함하는 것을 특징으로 한다. 본 발명에 따르면, 보다 안전하게 단일 사용자 승인 절차를 수행할 수 있다.

Description

이동 통신 시스템에서 단일 사용 승인 방법 및 장치
본 발명은 이동 통신 시스템의 단일 사용 승인 방법 및 장치에 관한 것으로, 특히, 단일 사용자 승인 절차를 수행하는 과정을 효율적으로 지원하기 위한 방법 및 장치에 관한 것이다.
이동통신 네트워크에서 단일 사용 승인(Single Sign-ON, 이하 SSO로 표기)은 사용자가 네트워크에 한 번 로그온(log on)하여, 허가된 모든 자원에 접근할 수 있도록 하는 승인 방법이다. SSO을 이용하는 경우, 하나의 사용자 아이디와 암호를 이용하여 적절한 모든 서버에 자동적으로 로그온 할 수 있다.
종래의 기술에 따른 SSO는 승인을 위하여 전송되는 식별자 및 검증 과정에 보안 상의 취약점 존재한다. 따라서, 이러한 보안 상의 취약점을 이용한 피싱 공격 (pishing attack) 등에 취약하다는 문제점이 있다.
본 발명은 상기와 같은 문제점을 해결하기 위하여 안출된 것으로서, 인증 과정을 브라우징 에이전트(Browsing Agent)와 인증 에이전트(Authentication Agent)에서 분리하여 수행하도록 하여 단일 사용자 승인 과정을 수행함으로써 단일 사용자 승인 과정에서 발생할 수 있는 보안 문제를 해결하는데 그 목적이 있다.
상기와 같은 문제점을 해결하기 위한 본 발명의 실시예에 따른 이동 통신 시스템에서 브라우징 에이전트(Browsing Agent)의 단일 사용 승인 방법은, 사용자 제공 식별 정보(User supplied identifier)를 RP(Relaying Party)로 전송하는 단계, 상기 RP로부터 브라우저(browser)를 상기 RP로 리다이렉트(redirect) 할 것을 지시하는 메시지를 수신하는 단계, 인증 에이전트(Authentication Agent)의 식별 정보(identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계 및 상기 인증 에이전트의 식별 정보 또는 상기 인증 에이전트의 식별 정보를 조회하도록 트리거링(triggering)하는 메시지를 인증 에이전트로 전송하는 단계를 포함하는 것을 특징으로 한다.
또한, 본 발명의 다른 실시예에 따른 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 방법은, 브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 수신하는 단계, 수신한 인증 에이전트의 식별 정보가 사용자 제공 식별 정보(User supplied identifier)와 동일한지 여부를 판단하는 단계 및 상기 인증 에이전트의 식별 정보가 사용자 제공 식별 정보와 동일한 경우, 확인 메시지를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계를 포함하는 것을 특징으로 한다.
또한, 본 발명의 또다른 실시예에 따른 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 방법은, 브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 수신하는 단계 및 사용자 제공 식별 정보(User supplied identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계를 포함하는 것을 특징으로 한다.
본 발명의 실시예에 따른 이동 통신 시스템에서 브라우징 에이전트(Browsing Agent)의 단일 사용 승인 장치는, 사용자 제공 식별 정보(User supplied identifier)를 RP(Relaying Party)로 전송하고, 상기 RP로부터 브라우저(browser)를 상기 RP로 리다이렉트(redirect) 할 것을 지시하는 메시지를 수신하며, 인증 에이전트(Authentication Agent)의 식별 정보(identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하고, 상기 인증 에이전트의 식별 정보 또는 상기 인증 에이전트의 식별 정보를 조회하도록 트리거링(triggering)하는 메시지를 인증 에이전트로 전송하도록 제어하는 제어부를 포함하는 것을 특징으로 한다.
또한, 본 발명의 다른 실시예에 따른 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 장치는, 브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 수신하고, 수신한 인증 에이전트의 식별 정보가 사용자 제공 식별 정보(User supplied identifier)와 동일한지 여부를 판단하며, 상기 인증 에이전트의 식별 정보가 사용자 제공 식별 정보와 동일한 경우 확인 메시지를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하도록 제어하는 제어부를 포함하는 것을 특징으로 한다.
또한, 본 발명의 또다른 실시예에 따른 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 장치는, 브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 수신하고, 사용자 제공 식별 정보(User supplied identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하도록 제어하는 제어부를 포함하는 것을 특징으로 한다.
본 발명에 따르면, 보다 안전하게 단일 사용자 승인 절차를 수행할 수 있다.
도 1은 본 발의 일 실시예에 따른 이동 통신 시스템 환경하에서의 단일 사용자 승인(Single Sign-On) 환경을 도시한 블록도이다.
도 2는 본 발명의 일 실시예에 따른 단일 사용자 승인 과정의 절차를 나타낸 순서도이다.
이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시 예들을 상세히 설명한다. 이 때, 첨부된 도면에서 동일한 구성 요소는 가능한 동일한 부호로 나타내고 있음에 유의해야 한다. 또한 본 발명의 요지를 흐리게 할 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략할 것이다.
본 발명은 이동 통신 시스템 환경하에서 단말이 단일 사용 승인을 함에 있어서 보다 안전한 단일 사용 승인 절차를 설명하는 것이다. 이하 본 발명을 구체적으로 설명하는데 있어, 3GPP 를 기반으로 하는 EPS(Evolved Packet System), UTRAN(Universal Terrestrial Radio Access Network: 이하 UTRAN), EUTRAN(Evolved Universal Terrestrial Radio Access Network: 이하 EUTRAN), GERAN(GSM/EDGE Radio Access Network: 이하 GERAN)을 이용할 것이며, 다만, 이에 한정되지 않고 다른 이동 시스템에서도 적용 가능할 것이다. 한편 본 발명에서는 단말을 단일 사용 승인 환경에 적합하도록 관련 정보를 처리하는 과정에 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다.
또한, 본 발명은 3GPP EPS 를 비롯한 진화된 이동 통신 시스템에서 일반 부트스트래핑 아키텍처 (Generic Bootstrapping Architecture) 및 관련 프로토콜과 기타 보안 관련 프로토콜, 그리고 Open ID 를 위한 지원하는 경우, 단말이 네트워크와 통신하는 과정에 있어서, 단일 사용자 승인 과정을 설명하는 것이다. 이 역시, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능하다.
도 1은 본 발의 일 실시예에 따른 이동 통신 시스템 환경하에서의 단일 사용자 승인(Single Sign-On) 환경을 도시한 블록도이다.
도 1은 본 발명의 바람직한 실시 예에 따른 이동 통신 시스템 환경하에서의 단일 사용자 승인 (single Sign-on) 환경을 도시한 블록도이다.
여기에서는 일 예로서 3GPP EPS 시스템 구조를 도시하였다. 본 발명의 경우 EUTRAN 을 중심으로 기술하였으며, 이러한 방법은 유사한 다른 이동 통신 시스템에서도 사용할 수 있다.
도 1을 참조하면, 단말(User Equipment: 이하 단말 혹은 UE 라 칭함)(110)은 기지국과 무선 접속을 설정하고 통신을 수행할 수 있다. UE(110)는 서빙 게이트웨이(Serving Gateway: 이하 Serving GW, 또는 SGW라 칭함)를 통해 인터넷과 같은 패킷 데이터 네트워크에 접속할 수 있다.
UE(110)는 모바일 장비(Mobile Equipment: 이하 ME) 및 SIM(Subscriber Identification Module)을 포함할 수 있다. 상기 모바일 장비는 사용자나 네트워크와 연동하여 통신을 위해 동작을 수행할 수 있다.
또한 상기 SIM은 사용자의 가입자 관련 정보 및 보안 정보 등의 저장, 관리 등에 관련되는 동작을 수행할 수 있다.
본 발명의 일 실시예에 따른 UE(110)는 단일 사용자 승인을 위하여 2개의 엔티티를 포함할 수 있다. 즉, UE(110)는 인증 에이전트(Authentication Agent, 이하 AA)(111)와 브라우징 에이전트(Browsing Agent, 이하 BA)(112)를 포함할 수 있다. 이 때, AA(111)와 BA(112)는 물리적으로 동일한 엔티티에 포함되지 않을 수도 있다. 즉, AA(111)는 UE(110)에 포함되어 ME에 존재하고, BA(112)는 물리적으로 별개의 엔티티에 존재할 수도 있다.
홈 구독자 서버(Home Subscriber Server: 이하 HSS)(121)는 사용자와 단말에 대한 인증정보 및 서비스 정보를 관리할 수 있다. HSS(121)은 홈 위치 등록 서버 (Home Location Register: 이하 HLR), AUC(인증센터: Authentication Center)를 포함할 수 있다.
부트스트래핑 서버 기능(Bootstrapping Server Function: 이하 BSF)(193)은 일반 부트스트래핑 아키텍쳐를 구성하기 위하여 부트스트래핑 절차에 관여할 수 있다.
네트워크 어플리케이션 기능(Network Application function: 이하 NAF)(191)은 어플리케이션을 수행할 수 있다. NAF(191)은 오픈 아이디 제공자(OpenID Provider: 이하 OP)를 포함할 수 있다.
또한, 릴레잉 파티(Relaying Party: 이하 RP)(195)는 단일 사용자 승인 절차에 관여하는 엔티티이다. RP(195)는 사용자가 식별자(identifier)를 사용하는지에 대한 증거를 원하는 웹 어플리케이션(application )을 포함한다.
또한 상기 OP 는 오픈 아이디 인증 서버 기능을 수행하는 엔티티이다.
따라서, 본 실시예에서는 이동 통신 및 인터넷 통신에서 사용되는 프로토콜을 기반으로 UE(110), AA(111), BA(112), HSS (121), BSF (193), NAF/OP(191), RP(195) 등 기타 네트워크 엔티티가 사용자의 단일 사용 승인을 좀더 안전하게 동작할 수 있는 방안을 제안하는 것이다.
UE(110), AA(111), BA(112), HSS (121), BSF (193), NAF/OP(191), RP(195)는 각각 다른 구성요소와 데이터를 송수신 할 수 있는 송수신부 및 상기 송수신부를 통해 수신된 데이터를 기반으로 판단하고, 상기 판단 결과에 따른 결과 값을 상기 송수신부를 통해 송수신 할 수 있는 제어부를 포함한다.
한편 본 발명의 도 1에서 보는 바와 같이 도 1에 따른 본 발명의 실시예는 본 발명의 기본 목적인 단말이 EUTRAN 혹은 3GPP 환경하에서 단말이 단일 사용 승인 하는 방법을 제기한 것으로 이러한 방법은 유사한 기술적 배경 및 채널 형태, 혹은 네트워크 구조(architecture) 또는 유사한 프로토콜 혹은 프로토콜은 상이하나 유사한 동작을 하는 프로토콜을 가지는 여타의 이동통신 시스템에서도 본 발명의 범위를 크게 벗어나지 아니하는 범위에서 약간의 변형으로 적용 가능하며, 이는 본 발명의 분야에서 숙련된 기술적 지식을 가진 자의 판단으로 가능할 것이다.
도 2는 본 발명의 일 실시예에 따른 단일 사용자 승인 과정의 절차를 나타낸 순서도이다.
도 1 및 도 2를 참조하면, 먼저, 201 단계에서 BA(112)는 브라우저를 통해서 RP(195)로 사용자 제공 식별 정보(user provided identifier)를 포함하는 신호를 전송할 수 있다. 그 후, 203 단계에서 RP(195)는 단계 201에서 수신한 신호를 기반으로 OP(191)의 주소를 조회할 수 있다. 상기 OP(191)는 NAF를 포함할 수 있다, 나아가, 단계 205에서는 RP(195)는 상기 203 단계에서 조회된 OP/NAF(191) 사이에서 공유 비밀 (shared secret) 정보를 설정할 수 있다.
207-01 단계 내지 207-19 단계에서 AA(111)와 BA(112)를 통한 단일 사용자 승인과정과 사용자 인증 과정 절차를 설명한다.
207-01 단계에서, RP(195)가 BA(112)로 205 단계에서 공유 비밀 OP(191)로 BA(112)의 브라우저를 리다이렉트(redirect) 하도록 지시하는 정보를 포함한 메시지를 전송할 수 있다. 상기 메시지는 Open ID 인증 요청 (Open ID authentication request)를 포함할 수 있다. 이때, Open ID 동작에 대한 지시자(indicator)도 함께 전송될 수도 있으며, 이러한 지시자는 이후 BA(112)가 적절한 OP/NAF를 선택하는 과정이나 OP/NAF의 동작 과정에서 활용될 수 있다.
BA(112)는 리다이렉트(redirect) 할 것을 지시하는 메시지를 수신 후, 207-03 단계에서, HTTPS GET 요청(request) 메시지를 OP/NAF(191)로 전송할 수 있다. HTTPS GET 요청 메시지를 수신한 OP/NAF(191)는 그에 대한 응답으로 207-05 단계에서, AA(111)의 식별자(identifier)를 요청하는 HTTPS 응답(response)을 BA(112)로 전송할 수 있다. 그 후, 207-09 단계에서 BA(112)는 OP/NAF(191)로 AA(111)의 식별 정보와 함께 HTTPS GET 요청을 전송할 수 있다.
207-11 단계 내지 207-19 단계에서 다양한 실시예에 따른 인증 과정을 설명한다.
본 발명의 제1 실시예에 따르면, 207-11 단계에서 BA(112)는 AA 식별 정보를 AA(111) 전송할 수 있다. 이때, 사용되는 식별 정보로는 사용자 제공 식별자(user supplied identifier)가 사용될 수 있다. AA(111)는 207-13 단계에서, 207-11 단계에서 BA(112)로부터 수신한 AA 식별 정보가 201 단계에서 BA(112)가 RP(195)로 전송한 사용자 제공 식별 정보와 맞는지 비교(compare) 혹은 검증(verification)하여 인증을 하게 된다. 이때, BA(112)가 AA(111)와 물리적으로 별도의 엔티티인 경우, 207-11 단계 이전에 BA(112)가 AA(111)로부터 사용자 제공 식별 정보를 제공받을 수도 있다. 인증에 성공한 경우, 207-15 단계에서 AA(111)는 OP/NAF(191)로 확인(confirm)하는 메시지를 전송할 수 있다.
본 발명의 제2 실시예에 따르면, 207-11 단계에서 BA(112)는 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 AA(111) 전송할 수 있다. 207-15 단계에서 AA(111)는 AA의 식별 정보로써 사용자 제공 식별 정보 (User spllied identifier)를 OP/NAF(191)로 전송할 수 있다. OP/NAF(191)는 207-17 단계에서, 수신한 AA 식별 정보를 BA(112)로부터 수신한 AA의 식별 정보와 비교 또는 검증하여 인증하는 과정을 수행할 수 있다.
본 발명의 제3 실시예에 따르면, 207-11 단계에서 BA(112)는 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 AA(111) 전송할 수 있다. 207-15 단계에서 AA(111)는 AA의 식별 정보 중 브트스트래핑 트랜젝션에 사용되는 B-TID (bootstrapping transaction identifier) 또는 사용자 제공 식별 정보 중 어느 하나 이상을 OP/NAF(191)로 전송할 수 있다. OP/NAF(191)는 207-17 단계에서, 수신한 AA 식별 정보 또는 B-TID를 BA(112)로부터 수신한 AA의 식별 정보와 비교 또는 검증하여 인증하는 과정을 수행할 수 있다.
본 발명의 제4 실시예에 따르면, 207-11 단계에서 BA(112)는 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 AA(111) 전송할 수 있다. 207-15 단계에서 AA(111)는 AA의 식별 정보 중 Mobile Station Integrated Services Digital Number (MSISDN) 또는 사용자 제공 식별 정보 중 어느 하나 이상을 OP/NAF(191)로 전송할 수 있다. OP/NAF(191)는 207-17 단계에서, 수신한 AA 식별 정보 또는 Mobile Station Integrated Services Digital Number (MSISDN)를 BA(112)로부터 수신한 AA의 식별 정보와 비교 또는 검증하여 인증하는 과정을 수행할 수 있다.
207-19 단계에서는 OP/NAF(191)가 AA(111)로 일반 브트스트래핑 아키텍쳐 (Generic Bootstrapping Architecture, GBA)를 이용하는 인증 과정을 시작(initiation) 하기 위한 동작을 수행할 수도 있다.
215 단계에서 AA(111)는 OP(191)로 HTTPS GET 메시지를 송신하고, 217 단계에서 NAF는 215 단계에서 수신한 HTTPS GET 메시지를 기반으로 UE 인증 과정(authneticaiton request)을 시작할 수 있다.
219 단계에서 AA(111)는 BSF(193)와 부트스트래핑 과정을 수행하게 되고, 이후 221 단계에서 AA(111) 는 부트스트래핑 트랜젝션에 사용되는 B-TID (bootstrapping transaction identifier) 를 포함하는 HTTPS request 메시지를 OP/NAF(191) 로 전송할 수 있다.
이후, 223 단계에서 OP/NAF(191) 와 BSF(193)는 211 단계에서 전송된 메시지를 기반으로 사용자 인증을 위한 과정을 할 수 있다. 223-03 단계에서 NAF/OP(191)는 브라우징 에이전트(Browsing Agent)를 통해 브라우저를 RP(Relaying Party)(195)로 리다이렉트 하겠다는 것을 알리는 메시지를 AA(111)로 전송할 수 있다. 그 후, 223-05 단계에서 AA(111)는 OP/NAF(191)로 인증 승인 확인(confirm) 메시지를 전송할 수 있다.
225 단계에서 OP/NAF(191)는 브라우저를 RP(195)로 리다이렉트 할 것을 지시하는 메시지를 BA(112)로 전송할 수 있다. 이때, 인증 승인 메시지를 함께 전송할 것을 지시하는 메시지를 포함하여 전송할 수 있다. 227 단계에서 BA(112)는 브라우저를 RP(195)로 리다이렉트 할 수 있으며, 이때, 인증 승인 메시지를 함께 전송할 수도 있다.
한편 본 발명의 상세한 설명에서는 구체적인 실시예에 관해 설명하였으나, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 발명의 범위는 설명된 실시예에 국한되지 않으며, 후술되는 특허청구의 범위뿐만 아니라 이 특허청구의 범위와 균등한 것들에 의해 정해져야 한다.

Claims (15)

  1. 이동 통신 시스템에서 브라우징 에이전트(Browsing Agent)의 단일 사용 승인 방법에 있어서,
    사용자 제공 식별 정보(User supplied identifier)를 RP(Relaying Party)로 전송하는 단계;
    상기 RP로부터 브라우저(browser)를 상기 RP로 리다이렉트(redirect) 할 것을 지시하는 메시지를 수신하는 단계;
    인증 에이전트(Authentication Agent)의 식별 정보(identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계; 및
    상기 인증 에이전트의 식별 정보 또는 상기 인증 에이전트의 식별 정보를 조회하도록 트리거링(triggering)하는 메시지를 인증 에이전트로 전송하는 단계를 포함하는 것을 특징으로 하는 방법.
  2. 제1항에 있어서,
    상기 OP/NAF로부터 상기 브라우저를 상기 RP로 리다이렉트 할 것을 지시하는 메시지를 수신하는 단계; 및
    상기 브라우저를 상기 RP로 리다이렉트 하는 단계를 더 포함하는 것을 특징으로 하는 방법.
  3. 제1항에 있어서,
    상기 인증 에이전트의 식별 정보를 OP/NAF로 전송하는 단계는,
    HTTPS GET 요청(request)을 상기 OP/NAF로 전송하는 단계;
    상기 OP/NAF로부터 상기 HTTPS GET 요청(request)에 대한 응답으로, 상기 인증 에이전트의 식별 정보를 요청하는 HTTPS 응답(response)를 수신하는 단계; 및
    상기 인증 에이전트의 식별 정보와 HTTP GET 요청을 상기 OP/NAF로 전송하는 단계를 포함하는 것을 특징으로 하는 방법.
  4. 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 방법에 있어서,
    브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 수신하는 단계;
    수신한 인증 에이전트의 식별 정보가 사용자 제공 식별 정보(User supplied identifier)와 동일한지 여부를 판단하는 단계; 및
    상기 인증 에이전트의 식별 정보가 사용자 제공 식별 정보와 동일한 경우, 확인 메시지를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계를 포함하는 것을 특징으로 하는 방법.
  5. 제4항에 있어서,
    상기 OP/NAF로부터 상기 브라우징 에이전트(Browsing Agent)를 통해 브라우저를 RP(Relaying Party)로 리다이렉트 하겠다는 것을 알리는 메시지를 수신하는 단계; 및
    인증 승인 확인(confirm) 메시지를 상기 OP/NAF로 전송하는 단계를 더 포함하는 것을 특징으로 하는 방법.
  6. 제5항에 있어서,
    상기 사용자 제공 식별 정보는,
    상기 브라우징 에이전트가 상기 RP로 전송한 사용자 제공 식별 정보인 것을 특징으로 하는 방법.
  7. 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 방법에 있어서,
    브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 수신하는 단계; 및
    사용자 제공 식별 정보(User supplied identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하는 단계를 포함하는 것을 특징으로 하는 방법.
  8. 제7항에 있어서,
    상기 OP/NAF로부터 부트스트래핑 아키텍쳐(Bootstrapping Architecture)를 이용하는 인증과정을 시작(initiation)할 것을 지시하는 메시지를 수신하는 단계를 더 포함하는 것을 특징으로 하는 방법.
  9. 제7항에 있어서,
    상기 OP/NAF로부터 상기 브라우징 에이전트(Browsing Agent)를 통해 브라우저를 RP(Relaying Party)로 리다이렉트 하겠다는 것을 알리는 메시지를 수신하는 단계; 및
    인증 승인 확인(confirm) 메시지를 상기 OP/NAF로 전송하는 단계를 더 포함하는 것을 특징으로 하는 방법.
  10. 제7항에 있어서,
    상기 사용자 제공 식별 정보를 OP/NAF로 전송하는 단계는,
    B-TID(Bootstrapping Transaction Identifier) 또는 사용자 제공 식별 정보 중 적어도 하나 이상을 상기 OP/NAF로 전송하는 것을 특징으로 하는 방법.
  11. 제7항에 있어서,
    상기 사용자 제공 식별 정보를 OP/NAF로 전송하는 단계는,
    MSISDN(Mobile Station Integrated Serviced Digital Number) 또는 사용자 제공 식별 정보 중 적어도 하나 이상을 상기 OP/NAF로 전송하는 것을 특징으로 하는 방법.
  12. 제7항에 있어서,
    상기 사용자 제공 식별 정보는,
    상기 브라우징 에이전트가 상기 RP로 전송한 사용자 제공 식별 정보인 것을 특징으로 하는 방법.
  13. 이동 통신 시스템에서 브라우징 에이전트(Browsing Agent)의 단일 사용 승인 장치에 있어서,
    사용자 제공 식별 정보(User supplied identifier)를 RP(Relaying Party)로 전송하고, 상기 RP로부터 브라우저(browser)를 상기 RP로 리다이렉트(redirect) 할 것을 지시하는 메시지를 수신하며, 인증 에이전트(Authentication Agent)의 식별 정보(identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하고, 상기 인증 에이전트의 식별 정보 또는 상기 인증 에이전트의 식별 정보를 조회하도록 트리거링(triggering)하는 메시지를 인증 에이전트로 전송하도록 제어하는 제어부를 포함하는 것을 특징으로 하는 장치.
  14. 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 장치에 있어서,
    브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 수신하고, 수신한 인증 에이전트의 식별 정보가 사용자 제공 식별 정보(User supplied identifier)와 동일한지 여부를 판단하며, 상기 인증 에이전트의 식별 정보가 사용자 제공 식별 정보와 동일한 경우 확인 메시지를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하도록 제어하는 제어부를 포함하는 것을 특징으로 하는 장치.
  15. 이동 통신 시스템에서 인증 에이전트(Authentication Agent)의 단일 사용 승인 장치에 있어서,
    브라우징 에이전트(Browsing Agent)로부터 인증 에이전트의 식별 정보(identifier)를 조회하도록 트리거링(triggering)하는 메시지를 수신하고, 사용자 제공 식별 정보(User supplied identifier)를 OP(Open ID Provider)/NAF(Network Application Function)로 전송하도록 제어하는 제어부를 포함하는 것을 특징으로 하는 장치.
PCT/KR2012/008950 2011-10-28 2012-10-29 이동 통신 시스템에서 단일 사용 승인 방법 및 장치 Ceased WO2013062394A1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP12843733.2A EP2773142B1 (en) 2011-10-28 2012-10-29 Method and apparatus for single sign-on in a mobile communication system
US14/349,221 US9560526B2 (en) 2011-10-28 2012-10-29 Method and apparatus for single sign-on in a mobile communication system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US201161552684P 2011-10-28 2011-10-28
US61/552,684 2011-10-28

Publications (1)

Publication Number Publication Date
WO2013062394A1 true WO2013062394A1 (ko) 2013-05-02

Family

ID=48168123

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2012/008950 Ceased WO2013062394A1 (ko) 2011-10-28 2012-10-29 이동 통신 시스템에서 단일 사용 승인 방법 및 장치

Country Status (3)

Country Link
US (1) US9560526B2 (ko)
EP (1) EP2773142B1 (ko)
WO (1) WO2013062394A1 (ko)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2992811A1 (fr) * 2012-07-02 2014-01-03 France Telecom Mise en place d'une association de securite lors de l'attachement d'un terminal a un reseau d'acces
CN104283886B (zh) * 2014-10-14 2017-12-29 中国科学院信息工程研究所 一种基于智能终端本地认证的web安全访问的实现方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070083345A (ko) * 2006-02-21 2007-08-24 삼성전자주식회사 그룹웨어 서비스를 위한 휴대용 단말기의 인증 장치 및방법
KR20110048038A (ko) * 2009-02-27 2011-05-09 주식회사 케이티 인터페이스 서버의 사용자 단말 인증 방법과 그 인터페이스 서버 및 사용자 단말
WO2011100331A1 (en) * 2010-02-09 2011-08-18 Interdigital Patent Holdings, Inc Method and apparatus for trusted federated identity

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102006045352B4 (de) 2006-09-26 2015-02-12 Nokia Solutions And Networks Gmbh & Co. Kg Verfahren für Single-Sign-On bei Verwendung einer Set-Top-Box
CN102550001B (zh) 2009-10-19 2015-07-08 诺基亚公司 用于允许自举架构和共享身份服务相互作用的用户身份管理
WO2011128183A2 (en) 2010-04-13 2011-10-20 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for interworking with single sign-on authentication architecture

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070083345A (ko) * 2006-02-21 2007-08-24 삼성전자주식회사 그룹웨어 서비스를 위한 휴대용 단말기의 인증 장치 및방법
KR20110048038A (ko) * 2009-02-27 2011-05-09 주식회사 케이티 인터페이스 서버의 사용자 단말 인증 방법과 그 인터페이스 서버 및 사용자 단말
WO2011100331A1 (en) * 2010-02-09 2011-08-18 Interdigital Patent Holdings, Inc Method and apparatus for trusted federated identity

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2773142A4 *

Also Published As

Publication number Publication date
US20140235211A1 (en) 2014-08-21
EP2773142A1 (en) 2014-09-03
EP2773142A4 (en) 2015-07-01
EP2773142B1 (en) 2022-01-05
US9560526B2 (en) 2017-01-31

Similar Documents

Publication Publication Date Title
CN110800331B (zh) 网络验证方法、相关设备及系统
EP3449608B1 (en) Enhanced non-access stratum security
JP5199405B2 (ja) 通信システムにおける認証
US8533798B2 (en) Method and system for controlling access to networks
EP3021549B1 (en) Terminal authentication apparatus and method
EP3420778B1 (en) System and method for relaying data over a communication network
JP2018523950A (ja) 直接通信キーの確立のための方法および装置
KR20100054178A (ko) 이동 통신 시스템에서 단말 보안 능력 관련 보안 관리 방안및 장치
CN113366800B (zh) 用具有不同长度的消息认证码的完整性保护
CN110754101B (zh) 用于保护与用户设备相关联的订户信息的方法、系统和计算机可读存储介质
CN108353284A (zh) 通信系统中的网关节点的选择
US20060154645A1 (en) Controlling network access
JP6861285B2 (ja) 緊急アクセス中のパラメータ交換のための方法およびデバイス
US7630712B2 (en) Method for reconnecting a mobile terminal in a wireless network
CN104521261B (zh) 用于使得在电信网络中能够合法侦听的方法、用户装置和基站收发台
EP3228108B1 (en) Method, computer program and network node for ensuring security of service requests
US9560526B2 (en) Method and apparatus for single sign-on in a mobile communication system
US9602493B2 (en) Implicit challenge authentication process
WO2013062393A1 (ko) 이동 통신 시스템 에서 단일 사용자 승인을 지원하는 관리 방법 및 장치
KR101480706B1 (ko) 인트라넷에 보안성을 제공하는 네트워크 시스템 및 이동통신 네트워크의 보안 게이트웨이를 이용하여 인트라넷에 보안성을 제공하는 방법
Said et al. A Comparative Study on Security implementation in EPS/LTE and WLAN/802.11
EP3316610B1 (en) Method to set up a communication connection between an access entity and a core entity of a core network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12843733

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14349221

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2012843733

Country of ref document: EP