《认证密钥生成部署.pdf》由会员分享，可在线阅读，更多相关《认证密钥生成部署.pdf（16页珍藏版）》请在专利查询网上搜索。
1、(10)申请公布号 CN 102823280 A (43)申请公布日 2012.12.12 CN 102823280 A *CN102823280A* (21)申请号 201180017324.0 (22)申请日 2011.03.18 12/749,015 2010.03.29 US H04W 12/04(2006.01) H04L 9/28(2006.01) H04L 29/06(2006.01) (71)申请人 诺基亚公司 地址 芬兰埃斯波 (72)发明人 H科基宁 M林内 P莱蒂宁 (74)专利代理机构 北京市中咨律师事务所 11247 代理人 杨晓光 于静 (54) 发明名称 认证密钥。
2、生成部署 (57) 摘要 用于局域网通信的认证密钥生成， 包括 ： 参与 到包括用于指示蜂窝网络兼容密码套件的密码套 件选择类型的消息的通信中 ； 和根据所述密码套 件选择类型创建蜂窝网络兼容认证密钥。 (30)优先权数据 (85)PCT申请进入国家阶段日 2012.09.29 (86)PCT申请的申请数据 PCT/FI2011/050233 2011.03.18 (87)PCT申请的公布数据 WO2011/121174 EN 2011.10.06 (51)Int.Cl. 权利要求书 2 页 说明书 8 页 附图 5 页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书 。
3、2 页 说明书 8 页 附图 5 页 1/2 页 2 1. 一种方法， 包括 ： 执行用于局域网通信的认证密钥生成， 所述用于局域网通信的认证密钥生成包括 ： 参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的通信中 ； 和 根据所述密码套件选择类型创建蜂窝网络兼容认证密钥。 2. 如权利要求 1 所述的方法， 其中所述参与到包括用于指示蜂窝网络兼容密码套件的 密码套件选择类型的消息的通信中包括 ： 接收所述消息。 3. 如权利要求 1 所述的方法， 其中所述参与到包括用于指示蜂窝网络兼容密码套件的 密码套件选择类型的消息的通信中包括 ： 发送所述消息。 4. 如权利要求 1 所。
4、述的方法， 其中所述密码套件选择类型包括在健壮安全网络信息元 素中。 5. 如权利要求 1 所述的方法， 其中所述密码套件选择类型包括在密钥帧中。 6. 如权利要求 1 所述的方法， 其中所述密码套件选择类型包括在信标帧中。 7. 如权利要求 1 所述的方法， 其中所述密码套件选择类型包括在探测帧中。 8. 如权利要求 4 所述的方法， 其中所述健壮安全网络信息元素包括在密钥帧中。 9. 如权利要求 1 所述的方法， 进一步包括 ： 使用所述蜂窝网络兼容认证密钥以用于局 域网中的认证。 10. 一种装置， 包括 ： 至少一个处理器 ； 和 至少一个存储器， 其包括计算机程序代码 ； 所述至少一。
5、个存储器和计算机程序代码被配置为通过所述至少一个处理器使得所述 装置 ： 执行用于局域网通信的认证密钥生成， 所述用于局域网通信的认证密钥生成包括 ： 参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的通信中 ； 和 根据所述密码套件选择类型创建蜂窝网络兼容认证密钥。 11. 如权利要求 10 所述的装置， 所述至少一个存储器和计算机程序代码被配置为通过 所述至少一个处理器使得装置 ： 通过接收所述消息来参与到包括用于指示蜂窝网络兼容密 码套件的密码套件选择类型的所述消息的通信中。 12. 如权利要求 10 所述的装置， 所述至少一个存储器和计算机程序代码被配置为通过 所述至少一。
6、个处理器使得装置 ： 通过发送所述消息来参与到包括用于指示蜂窝网络兼容密 码套件的密码套件选择类型的所述消息的通信中。 13. 如权利要求 10 所述的装置， 其中所述密码套件选择类型包括在健壮安全网络信息 元素中。 14. 如权利要求 10 所述的装置， 其中所述密码套件选择类型包括在密钥帧中。 15. 如权利要求 10 所述的装置， 其中所述密码套件选择类型包括在信标帧中。 16. 如权利要求 10 所述的装置， 其中所述密码套件选择类型包括在探测帧中。 17. 如权利要求 13 所述的装置， 其中所述健壮安全网络信息元素包括在密钥帧中。 18. 如权利要求 10 所述的装置， 其中所述至。
7、少一个存储器和计算机程序代码被配置为 通过所述至少一个处理器使得装置 ： 使用所述蜂窝网络兼容认证密钥以用于局域网中的认证。 权 利 要 求 书 CN 102823280 A 2 2/2 页 3 19. 一种实现在计算机可读介质上的计算机程序， 包括计算机可执行程序代码， 当由装 置的至少一个处理器执行时使得装置执行 ： 执行用于局域网通信的认证密钥生成， 所述用于局域网通信的认证密钥生成包括 ： 参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的通信中 ； 和 根据所述密码套件选择类型创建蜂窝网络兼容认证密钥。 20. 如权利要求 19 所述的计算机程序， 当由装置的至少一个处。
8、理器执行时使得装置执 行 ： 使用所述蜂窝网络兼容认证密钥以用于局域网中的认证。 权 利 要 求 书 CN 102823280 A 3 1/8 页 4 认证密钥生成部署 技术领域 0001 本发明一般地涉及无线通信中的认证密钥生成。 背景技术 0002 在无线通信中使用不同的认证和安全机制。 无线通信可关系到蜂窝网络或无线局 域网。 0003 作为蜂窝网络中使用的认证协议的实例， 3GPP 长期演进 （LTE） 提供了认证和密钥 协定 （AKA） 协议。作为无线局域网 （WLAN） 中使用的认证协议的实例， IEEE 802.11 提供了 LAN 上可扩展的认证协议 （EAPOL） 协议。 发。
9、明内容 0004 根据本发明的第一示例性方面， 提供一种方法， 包括 ： 0005 执行用于局域网通信的认证密钥生成， 所述用于局域网通信的认证密钥生成包 括 ： 0006 参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的通信 中 ； 和 0007 根据所述密码套件选择类型创建蜂窝网络兼容认证密钥。 0008 根据本发明的第二示例性方面， 提供一种装置， 包括 ： 0009 至少一个处理器 ； 和 0010 至少一个存储器， 其包括计算机程序代码 ； 0011 至少一个存储器和计算机程序代码被配置为， 通过至少一个处理器， 使得装置 ： 0012 执行用于局域网通信的认证密钥生。
10、成， 所述用于局域网通信的认证密钥生成包 括 ： 0013 参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的通信 中 ； 和 0014 根据所述密码套件选择类型创建蜂窝网络兼容认证密钥。 0015 根据本发明的第三示例性方面， 提供一种包括计算机可执行程序代码的计算机程 序， 当由装置的至少一个处理器执行时使得装置执行 ： 0016 执行用于局域网通信的认证密钥生成， 所述用于局域网通信的认证密钥生成包 括 ： 0017 参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的通信 中 ； 和 0018 根据所述密码套件选择类型创建蜂窝网络兼容认证密钥。 0019 根据。
11、本发明的另一示例性方面， 提供一种存储器介质， 其实现第三示例性方面的 计算机程序。 0020 根据本发明的另一示例性方面， 提供一种局域网认证过程的信号或消息， 其中所 说 明 书 CN 102823280 A 4 2/8 页 5 述信号承载指示蜂窝网络兼容密码套件的密码套件选择类型。 0021 根据本发明的另一示例性方面， 提供一种装置， 包括 ： 0022 用于执行用于局域网通信的认证密钥生成的部件 ； 0023 用于参与到包括用于指示蜂窝网络兼容密码套件的密码套件选择类型的消息的 通信中的部件 ； 和 0024 用于根据所述密码套件选择类型创建蜂窝网络兼容认证密钥的部件。 0025 以。
12、上示出了本发明的不同的非约束示例性方面。 附图说明 0026 仅作为示例， 参照附图描述本发明， 其中 ： 0027 图 1A 示出根据示例性实施例的系统 ； 0028 图 1B 示出根据示例性实施例的流程图 ； 0029 图 2 示出根据示例性实施例的密钥层次结构 ； 0030 图 3 示出根据示例性实施例的过程 ； 0031 图 4A 示出根据示例性实施例的消息 ； 0032 图 4B 示出根据示例性实施例的 EAPOL-Key 消息的示例 ； 和 0033 图 5 示出根据示例性实施例的装置的框图。 具体实施方式 0034 以下， 使用术语 “认证密钥” 。认证密钥可以是不同类型， 类似。
13、主密钥， 密钥序列中 的导出密钥等。典型地， 这些密钥的任一个可称为安全密钥或加密密钥或简称密钥。密钥 还可称为完整保护密钥， 例如， 在 RRCint 密钥的情况下。关于会话， 密钥可称为会话密钥。 不失一般性， 在本申请中， 在不同角色中的这些密钥的任一个可称为认证密钥。 0035 图 1A 示出根据示例性实施例的系统。该系统包括用户设备 （UE） 101 （例如移动电 话或一些其他通信装置） 、 蜂窝网络 102、 局域网 103、 和提供对于局域网 103 的接入的接入 点 （AP） 。通信设备 101 能够经由空中接口连接至蜂窝网 102 和局域网 103。接入点 104 提 供对于。
14、局域网 103 的接入。蜂窝网络 102 可以是例如根据 3GPP 规范的 LTE 或 UMTS 网络， 并且局域网 103 可以是例如根据 IEEE 802.11 的无线局域网。局域网还可根据 LTE 或 UMTS 规范在未来由3GPP定义。 提供到局域网的接入的接入点可以是根据IEEE 802.11的一种接 入点， 或者可以是根据适当的 3GPP 规范的局域节点或主 （home） 节点或基站节点。可理解， IEEE 802.11 或 3GPP 可在未来版本中提供这些节点的功能的改变， 然而， 这不限制本发明 实施例的适用性。目前， 3GPP 中的这样的局域节点称为例如毫微微基站、 或主节点。
15、 B （HNB） 、 主演进节点 B（HeNB） 等。这还可包括在例如机场、 酒店等的公共楼宇中的公司网络或多个 网络。本申请中， 接入点用作如下节点的术语， 即， 覆盖提供对局域网的接入的任意功能的 节点。 0036 根据示例性实施例介绍具有新认证机制的新局域通信机制。 新通信机制可称为优 化本地接入 （OLA） 或局域演进 （LAE） 。 0037 在示例性实施例中， OLA 认证架构为 3GPP LTE 和 IEEE 技术的组合。 0038 示例性实施例中， OLA 系统架构类似于 IEEE 802.11 系统架构， OLA 物理和链路层 说 明 书 CN 102823280 A 5 3。
16、/8 页 6 帧结构类似于 LTE 帧结构。OLA 中的链路层安全可基于 LTE 规范。OLA 中的密钥协定协议 可基于 IEEE 规范。 0039 示例性实施例中， 将针对 LTE 定义的 AKA 系统和针对 IEEE 802.11 定义的 EAPOL 系统组合， 以提供用于 OLA 系统的新认证机制。 0040 示例性实施例中， 引入用于 EAPOL 密钥交换的新密码套件类型。该新密码套件 类型指示可使用 Krrcint、 Krrcenc 和 Kupenc 的 LTE 兼容套件的使用， 其定义在 3GPP TS 33.401V9.1.0(2009-09)6.2 节 23-26 页中。 00。
17、41 在更广义的示例性实施例中， 引入用于局域网密钥交换的新密码套件类型。该新 密码套件类型指示蜂窝网络兼容密码套件的使用。必须注意， 引入了至少一个新密码套件 类型， 并且可存在多于一个蜂窝网络兼容密码套件。 0042 图 1B 示出根据示例性实施例的流程图。在阶段 111， 执行用于局域通信的认证密 钥生成。在阶段 112， 发送或接收蜂窝网络兼容密码套件类型。例如， 图 1A 的接入点 104 可 发送蜂窝网络兼容密码套件类型， 用户设备 101 可接收蜂窝网络兼容密码套件类型。然后， 在阶段 113， 蜂窝网络兼容密码套件类型的发送方和接收方均创建蜂窝网络兼容认证密钥。 在示例性实施例。
18、中， 创建的密钥为 Krrcint、 Krrcenc 和 Kupenc。 0043 然后， 在阶段 114， 在局域通信中使用蜂窝网络兼容认证密钥， 例如用于加密、 解密 和完整性计算和校验。必须注意， 在局域通信中还可使用除了蜂窝网络兼容密钥之外的其 他密钥。例如， 可使用组密钥。 0044 可在选择或传达密码套件的任意点处使用新密码套件类型。例如， 可在如下情况 下使用新密码套件类型 0045 在寻找系统期间， 0046 在连接初始化期间， 0047 在数据传输期间， 或 0048 在切换期间 / 之后。 0049 示例性实施例中， 如果可在局域网中的不同接入点之间传输 UE 环境 （co。
19、ntext） ， 则在这些情况下还可发生密钥改变算法和蜂窝网络兼容密码套件的使用。 0050 可在广播信道上或业务信道上适当地传送 （communicate） 新密码套件类型。可在 密钥帧、 信标帧、 或探测帧中传送新密码套件类型。必须注意， 发送和接收密码套件类型不 必触发蜂窝网络兼容密钥的立即生成。而是， 可在稍后阶段适当生成密钥。 0051 示例性实施例中， 在用户设备和提供对局域网的接入的接入点之间的通信中或在 用户设备之间的通信中使用新密码套件类型。 0052 图 2 示出根据示例性实施例的密钥层次结构。 0053 用户设备中， 具有本地存储的 1024 比特长蜂窝主密钥 K， 20。
20、1。使用 GAA （通用认证 架构） 从 USIM（通用订户身份模块） 认证导出 X.509 客户端证书。使用蜂窝主密钥 K 导出 128 比特长 AKA 会话密钥 Ck 和 Ik， 202。使用 AKA 会话密钥 Ck 和 Ik 导出 256 比特长 GAA 主会话密钥 Ks， 203。使用 GAA 主会话密钥 Ks 导出 256 比特长 Ks_NAF 密钥， 204。密钥 Ks_ NAF 密钥验证 X.509 证书登记， 并保护 X.509 证书交付。X.509 证书 205 证明各个公钥。 0054 本地创建 X.509 私钥 206， 并通过 X.509 证书来使用 EAP-TLS（E。
21、AP- 传输层安全） 协议。 说 明 书 CN 102823280 A 6 4/8 页 7 0055 使用EAPOL协议创建加密和完整密钥。 本地创建256比特长成对主密钥PMK 207。 使用成对主密钥 PMK 导出 512 比特长成对暂时密钥 PTK， 208。 0056 这里， 本地密钥创建意味着在用户设备或接入点 （或其他适当装置或节点） 中创建 密钥而不与另一节点交换密钥信息。更具体地， 可在安全模块、 被保护的硬件、 被保护的存 储器或加密软件或其任意组合中创建密钥。 0057 使用成对暂时密钥 PTK 导出 128 比特长 EAPOL-Key 加密密钥 KEK209、 和 128。
22、 比特 长 EAPOL-Key 确认密钥 KCK 210。使用 KEK 和 KCK 保护 128 比特长组临时密钥 GTK 的传输。 使用组临时密钥 GTK 导出 128 比特长组加密密钥 GEK 212、 和 128 比特长组完整密钥 GIK 213。 0058 通过与LTE中的Kenb或Kasme 215类似的方式使用256比特长专用临时密钥TKIP （PTK 的比特 256-511） 。Kasme 是演进分组系统认证向量的一部分， 并且可以是认证和密钥 协定协议。Kenb 基于 Kasme 密钥。将 TKIP 比特设置为表示 Kenb 密钥的值， 其具有与蜂窝 密钥创建相关的含义和关系。。
23、 0059 使用 Kenb 导出 128 比特长 Krrcenc 216 ； 128 比特长 Krrcint 217 ； 和 128 比特长 Kupenc 218。Krrcenc 是可用于 RRC （无线电资源控制） 业务的加密的密钥， Krrcint 是可用 于 RRC 业务的完整性保护的密钥， Kupenc 是可用于加密用户数据的密钥。Kenb、 Krrcenc、 Krrcint、 和 Kupenc 可以是例如在 3GPP TS 33.401V9.1.0(2009-09)6.2 节 23-26 页中定义 的密钥。 0060 图 3 示出根据示例性实施例的过程。 0061 在开始阶段， 在用。
24、户设备中存在客户端证书 301a 以及在 radius 服务器中存在服 务器证书 301b。接入点向 UE 发送 EAP 身份请求消息 302， 并初始化 TLS， EAP 上的 TLS 303a 朝向 UE， Radius 上的 TLS 朝向 Radius 服务器。UE 和 Radius 服务器生成成对主密钥 PMK 304a 和 304b。Radius 服务器在 radius 完整消息 305 中向 AP 发送 PMK。即， 现在， AP 也具 有 PMK 304c。AP 向 UE 发送 EAP 成功消息 306。 0062 然后， AP 向 UE 发送具有 ANonce（认证方现时） 的。
25、 EAPOL-Key 消息 307。UE 生成成 对暂时密钥 PTK 308a， 并向 AP 发送具有 SNonce（请求方现时） 和 MIC（消息完整性代码） 的 EAPOL-Key 消息 309。AP 生成成对暂时密钥 PTK 308b 和组临时密钥 GTK 309b， 并向 UE 发 送具有 RSNIE（健壮安全网络信息元素） 、 GTK 和 MIC 的 EAPOL-Key 消息 311。结果， UE 也具 有 GTK 310a。UE 向 AP 发送 EAPOL-Key 确收消息 312。 0063 EAPOL-Key 消息 311 中的 RSNIE 指示蜂窝网络兼容密码套件。因此， U。
26、E 和 AP 生成 蜂窝网络兼容密钥 Kupenc、 Krrcenc 和 Krrcint， 313a 和 313b。 0064 示例性实施例提供承载密码套件类型的局域网认证协议的消息， 其指示蜂窝网络 兼容密码套件的使用。图 4A 示出这样的消息 401 的实例。该消息可以是例如图 3 的消息 311。 0065 消息 401 包括信息元素 402。信息元素 402 可以是例如健壮安全网络信息元素 （RSNIE） 。消息 401 也可包括其他信息元素或部分， 但是他们没有在这里示出。信息元素 402 包括标识符字段 403、 密码套件计数字段 404、 和密码套件列表字段 405。信息元素也可。
27、 包括其他字段， 但是他们没有在这里示出。密码套件列表字段包括指示蜂窝网络兼容密码 套件的使用的密码套件类型。 说 明 书 CN 102823280 A 7 5/8 页 8 0066 图 4A 的消息 401 可以是例如密钥帧、 信标帧、 或探测帧。 0067 以下表 1 示出根据示例性实施例的用于 OLA/LAE 的密码套件选择器。 0068 表 1 是根据 IEEE 802.11v.2007， 125 页的表 7-32 中定义的表修改的。 0069 表 1 0070 0071 在示例性实施例中， 当需要交换要秘密发送的素材时， 使用 EAPOL-Key 消息 / 帧。 这个素材可以是数据或。
28、密钥本身。 密钥可以是例如组密钥、 成对密钥或STA密钥 （UE密钥） 。 0072 根据本发明的各个实施例， 可为了 WPA 类、 TKIP 类或 OLA 类的密钥交付的目的而 修改 EAPOL-Key 消息。当为了 OLA 密钥交互或更一般地为了蜂窝网络兼容密钥交付而使用 WPA或TKIP定义时， 从密码套件选择器类型识别OLA或蜂窝网络兼容系统， 并且在密钥数据 字段 （以 WPA 或 TKIP 协议格式） 中承载的密钥是例如根据这里公开的实施例导出的蜂窝网 络兼容密钥。 0073 图 4B 示出根据示例性实施例的 EAPOL-Key 消息或帧 430 和 440 的实例。消息 430 。
29、为 EAPOL-Key 描述的 TKIP 版本， 消息 440 为 EAPOL-Key 描述的 WPA 版本。 0074 消息 430 包括以下字段 ： MAC 报头 411、 密钥 ID 412、 扩展 413、 数据 PDU 414、 完整 性 415、 和校验和 416。 0075 消息 440 包括以下字段 ： 描述符类型 417、 密钥信息 418、 密钥长度 419、 密钥重放 计数器 420、 密钥现时 421、 EAPOL 密钥 422、 密钥接收序列计数器 423、 密钥标识符 424、 消息 完整性代码 425、 密钥数据长度 426、 和密钥数据 427。 0076 示例。
30、性实施例中， EAPOL-key 数据字段 427 可承载蜂窝网络兼容密码套件选择或 实际认证密钥。 0077 示例性实施例中， 密钥数据字段 EAPOL-Key 消息或帧不同地用于成对密钥和组密 钥握手。在成对密钥的情况下， 由请求方和认证方 （例如， UE 和接入点） 独立地计算密钥。这 说 明 书 CN 102823280 A 8 6/8 页 9 个情况下， 在密钥数据字段 427 中承载指示蜂窝网络兼容密码套件的 RSN 信息元素。在组 密钥的情况下， 密钥数据字段 427 可承载实际密钥。密钥数据字段包括指定密钥数据的实 际内容的信息元素。 0078 在图 4B 中， 插入 Kenb。
31、 428 示出示例性实施例的功能。该功能用密钥指示符来插 入认证密钥自身， 或其仅插入密钥指示符， 或其特别地插入包括至少蜂窝网络兼容密码套 件选择器的字段。 0079 本发明的实施例可实现于软件、 硬件、 应用逻辑或软件、 硬件、 和 / 或应用逻辑的 组合中。软件、 应用逻辑和 / 或硬件可驻留在通信装置 （例如图 1A 的用户设备 101） 上或接 入点 （例如图 1A 的接入点 104） 上。 0080 示例性实施例中， 应用逻辑、 软件或指令集保持在各个传统计算机可读介质的任 一个上。在本文档的上下文中，“计算机可读介质” 可以是可包含、 存储、 传送、 传播或传输指 令， 以供指令。
32、执行系统、 装置、 或设备 （例如计算机） 使用或与其结合的任何介质或部件， 计 算机的一个实例如以下图 5 所述和所示。计算机可读介质可以是数字数据存储器 （例如数 据盘或磁盘） 、 光存储器、 磁存储器、 全息存储器、 相变存储器 （PCM） 或光磁存储器。 计算机可 读介质可形成于没有除了存储内存之外的其他实质性功能的设备中， 或者其可形成为具有 其他功能的设备的一部分， 包括但不限于计算机的存储器、 芯片集、 和电子设备的子配件。 0081 图 5 示出根据本发明的某些示例性实施例的装置 500 的示例性框图。装置 500 适 合于用作例如图1A的通信装置101或接入点104。 其可以。
33、是手持无线装置， 例如移动电话、 或为特定目的配置的计算机或服务器。 0082 装置 500 为物理上成型的对象， 并包括至少一个存储器 502， 其被配置为存储计算 机程序代码 （或软件） 503。装置 500 还包括 ： 至少一个处理器 501， 其配置为使用计算机程 序代码503控制装置500的操作 ； 和通信单元505， 其配置为与其他实体或装置通信。 此外， 该装置可包括用户接口 506 （用虚线示出） 。用户接口典型地包括用于用户交互的显示器和 键盘或键区。 对于本发明的实施例的操作不是必须具有用户接口。 相反， 装置的控制可通过 通信单元 505 借助于远程连接来实现。至少一个处。
34、理器 501 可以是主控制单元 （MCU） 。或 者， 至少一个处理器 501 可以是微处理器、 数字信号处理器 （DSP） 、 专用集成电路 （ASIC） 、 场 可编程门阵列、 微控制器或这些元件的组合。图 5 示出一个处理器 501， 但是装置 500 可包 括多个处理器 501。 0083 通信单元 505 可以是例如无线电接口模块， 诸如 WLAN、 蓝牙、 GSM/GPRS、 CDMA、 WCDMA、 或 LTE 无线电模块。通信单元 505 可集成到装置 500 中或适配器、 卡或可插入装置 500 的合适的槽或端口中的类似部件中。通信单元 505 可支持一种无线电接口技术或多种。
35、 技术。图 5 示出一个通信单元 505， 但是装置 500 可包括多个通信单元 505。 0084 本领域技术人员可理解， 除了图 5 所示的元件， 装置 500 可包括其他元件， 例如 麦克风、 显示器、 以及附加电路， 诸如输入 / 输出 （I/O） 电路、 存储器芯片、 专用集成电路 （ASIC） 、 用于特定目的的处理电路， 诸如信源编码 / 解码电路、 信道编码 / 解码电路、 加密 / 解密电路等。此外， 装置 500 可包括一次性或可充电电池 （未示出） ， 用于在外部电源不可用 时向装置 500 供电。 0085 关于本发明的实施例的操作， 当计算机程序代码 503 由至少一。
36、个处理器 501 执行 时， 这使得装置500实现通信装置的操作或接入点的操作。 详细地， 处理器501和程序代码、 说 明 书 CN 102823280 A 9 7/8 页 10 或计算机程序 503 可启动装置 500 的操作。例如， 可启动根据示例性实施例的密钥生成。 0086 借助于将本发明的各个实施例中定义的局域网认证和蜂窝网络兼容密码套件的 特征组合， 可实现无线电资源的有效利用。此外， 可使用运营商独立的认证系统。 0087 本发明的实施例允许使用蜂窝运营商生成的密钥。当根据 E-UTRAN 中的密钥层次 结构， 通过 NAS 信令到 MME 的连接可行时， 可在蜂窝运营商网络中。
37、证明认证密钥， 并且在局 域网中使用的密钥是在蜂窝运营商网络中证明的密钥的导出物。 0088 在本发明的示例性实施例中， 在局域网通信中采用具有密钥集 KSI（密钥集标识 符） 、 IK（完整性密钥） 、 CK（密码密钥） 的 UTRAN 的密钥分层。另一示例性实施例中， 在局域 网通信中采用包括来自 IK（完整性密钥） 、 CK（密码密钥） 的 Kc（密码密钥） 导出物的 GSM/ GERAN 密钥集。 0089 通过使用 EAP 相关的密钥， 使得能够例如通过 Radius 服务器进行本地认证。本地 认证对于设置具有低延迟的本地连接， 或当例如在本地子网中执行切换过程时是有效的。 这还使得。
38、企业管理他们自己的认证实践。可启用证书的使用 （其中， 密钥导出源自 UICC （通 用集成电路卡） ） ， 即使通过本地认证。 0090 本发明的某些实施例使得运营商能够作为 （has a role） 企业局域网。以下列表 标识几个实例 ： 0091 运营商提供访问和连接服务， 但是并不由此操作企业基础设施 （例如服务器） 。 0092 运营商提供认证服务， 从而其发布证书并管理企业雇员的用户群、 用户访问权 限和特权以及漫游协议。运营商不必作为局域网中的任何其他角色。 0093 运营商能够操作和 / 或拥有企业场所中的通信基础设施的至少一部分。 0094 以下几个实例中， 列出采用本发明的。
39、某些实施例的使用例。这些用例得益于具有 用于局域访问的蜂窝运营商控制的认证。 0095 1） 运营商提供管理企业局域网的服务。运营商安装和保持企业 WLAN 网络 （或无线 办公） ， 并管理自身或与企业 IT 部门一起访问企业 WLAN 网络所需的授权。这个模式下， 运 营商可销售通信服务给该企业的雇员， 并且企业楼宇中的局域通信形成从任意国内或国际 位置或在移动中通信的总体定制的成本缩减子集。 这个情况下， 运营商可拥有服务模型， 但 是不必拥有企业楼宇中的硬件基础设施。或者， 运营商还可拥有企业场所中的 IT 硬件， 并 作为向企业出租 （lease） 通信服务的 IT 机构 （hous。
40、e） 。 0096 2） 运营商提供认证和计费服务给企业， 从而企业 （或其 IT 部门） 建立 WLAN 网络并 在技术上对其进行管理 （分别在每个企业楼宇中） 。运营商提供机构内部和移动中的服务封 包， 其包括无缝认证机制。 这意味着用户不必过多被认证所扰， 因为其基于由运营商管理的 证书。在企业楼宇内部， WLAN 是可用的， 并因此其通过蜂窝网络完成运营商自身 （国内广域 和国外漫游） 提供。 0097 3） 运营商向具有已知或受保护的 SSID 名称的可信 （第三方） WLAN 网络提供认证访 问。运营商证书可用于访问可信 WLAN 网络。WLAN 网络并非由运营商拥有。同样， 除了。
41、这个 运营商的客户的其他用户可访问和使用网络， 然而他们的网络认证不由运营商控制， 并且 其他用户的安全级别可能没有运营商自己的客户高。同样， 运营商授权可结合至计费和质 量偏好， 从而如果在第三方 WLAN 提供商和运营商之间存在合约， 则运营商的客户可得到访 问率的更高优待。此外， 计费可经过运营商来发生。这可意味着运营商的客户 （例如， 最终 说 明 书 CN 102823280 A 10 8/8 页 11 用户或最终用户的雇主） 可得到访问的折扣。或者， 即使访问的定价相同， 实际账单可能更 简单， 并且 WLAN 访问成本可包括在运营商的定期通信账单中。运营商可具有与几个这样的 可信。
42、第三方 WLAN 提供商的协定。 0098 已经提供了各个实施例。应理解， 在本文档中， 词语 “包括” 、“包含” 和 “含有” 均 用作开放性表述， 不具有排他性指定。 0099 以上描述已经通过特定实现的非限制性实例和本发明的实施例提供了由发明人 当前考虑的用于实现本发明的最佳方式的完全和信息描述。 然而， 本领域技术人员清楚， 本 发明不限于上述实施例的细节， 而是其可在使用等同方式的其他实施例中或在实施例的不 同组合中实现， 而不背离本发明的特征。 还注意， 以上实施例仅用于说明可在本发明的实现 中利用的所选方面或步骤。可仅参照本发明的某些示例性实施例提供一些特征。应理解， 对应特征。
43、也可应用于其他实施例。 0100 此外， 本发明的以上公开实施例的一些特征可在没有相应的使用其他特征的情况 下有利地使用。由此， 以上描述应看作仅为本发明的原理的示例， 而并非其限制。因此， 本 发明的范围仅受到所附专利权利要求的限制。 说 明 书 CN 102823280 A 11 1/5 页 12 图 1A 图 1B 说 明 书 附 图 CN 102823280 A 12 2/5 页 13 图 2 说 明 书 附 图 CN 102823280 A 13 3/5 页 14 图 3 说 明 书 附 图 CN 102823280 A 14 4/5 页 15 图 4A 图 4B 说 明 书 附 图 CN 102823280 A 15 5/5 页 16 图 5 说 明 书 附 图 CN 102823280 A 16 。