CN1250025C - 执行验证的方法 - Google Patents

Abstract

一种在通信系统中执行验证的方法，所述通信系统包括验证服务器(AS)和用于存储通信系统用户的用户简档的用户简档存储器，该方法包括：将对用户的用户简档的请求从验证服务器发送到用户简档存储器；在AS接收对该请求的响应；确定该响应是否指出错误；以及如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器对该用户执行位置更新过程。

Description

执行验证的方法

技术领域

本发明涉及在通信系统内执行验证的方法。

背景技术

在许多通信系统中，例如在电话系统中，在使用户访问资源之前，对用户执行验证。资源可以是例如数据发送和/或接收服务、访问网络或访问数据或者访问配置选项。

图1示出一种这样的系统。图1是GSM(全球移动通信系统)通信系统的原理图。图1仅示出该系统的相关部件。图1所示的系统包括GSM网1，利用GSM网1，终端2可以进行通信。该网包括归属位置寄存器(HLR)3、访问者位置寄存器(VLR)4以及验证服务器(AS)5。该系统还包括无线局域网(WLAN)7。该终端既可以在GSM网内，又可以在WLAN内进行通信。

HLR和VLR一起提供主要用于呼叫路由选择和漫游的设施。HLR对网络1存储每个订户的用户简档，包括订户的管理信息。它还可以存储用于确定订户所使用的终端的当前位置的信息。通常以与移动台有关的VLR的信令地址的形式保持终端的当前位置。如果终端在网络1内工作，则该终端的当前位置将是VLR 4的地址。如果终端在另一个网络内漫游，则该终端的当前位置是该网络的VLR的地址。在每个GSM网络中，逻辑上存在一个HLR，但是可以将它实现为一个分布式数据库。对于当前位于VLR负责的地理区域内的每个终端，VLR存储从HLR选择的、进行呼叫控制以及提供服务所需的管理信息。

在对终端提供服务时，验证服务器用于验证终端。以下说明一种执行验证的方式。终端2引入订户身份模块(SIM)6，订户身份模块6存储保密验证密钥，并且可以执行验证函数，该验证函数取该密钥和该终端送到SIM的数据为操作数。将该函数的结果返回该终端。还将该保密密钥存储到保持在其HLR的、订户的用户简档中。当要验证订户时，希望验证订户的实体将询问数据送到该订户的终端。询问数据被传送到SIM，SIM计算询问数据和存储的保密密钥的验证函数。将该函数的结果返回网络，例如返回希望验证订户的实体。然后，将该结果与询问数据一起送到验证服务器5，验证服务器5从该订户的HLR中检索该订户的保密密钥，并计算该密钥和询问数据的验证函数。如果该计算的结果与送到验证服务器的结果匹配，则验证服务器返回希望验证订户的实体一条消息，指出该订户已经被验证。否则，该订户未被验证。扩展验证协议(EAP)可以用于该用途。

以下说明由AS从HLR获得订户简档信息的传统信令序列：

A.AS将MAP_SEND_AUTHENTICATION_INFO消息发送到HLR。

B.HLR利用MAP_SEND_AUTHENTICATION_INFO_ACK确认消息响应。

C.AS将MAP_RESTORE_DATA消息发送到HLR。

D.HLR利用MAP_INSERT_SUBSCRIBER_DATA消息响应，将订户数据送到AS。

其中可以采用验证的情况的一个例子是，验证终端以帮助确定是否应该允许它访问无线局域网(WLAN)(图1中的7)。如果正在使用这种方式的验证，则在订户试图访问WLAN时，用于控制访问WLAN的实体利用GSM网络的AS验证该订户的身份。这就要求AS从其HLR中检索该订户的用户简档。即使可以在两种网络中工作，在终端试图访问GSM网时，该终端仍不需要与GSM网通信或者连接到GSM网，即它可以在GSM网范围之外，或者其GSM收发信机可以关电。

在上述情况下，GSM网用于帮助验证试图访问另一个网络的终端。这种方式的交叉网络验证与最初开发GSM HLR时预期的交叉网络验证有点不同。在广泛期待这种方式的交叉网络验证之前，可能已假定要验证的终端与GSM网络相连。然而，情况不一定是这样。因此，可以预料，在这种情况下，在为了执行验证而从HLR获得订户简档时，可能出现问题。

例如，本专利申请人已经发现至少有一个制造商的HLR不响应MAP_RESTORE_DATA消息而返回订户简档，除非它们正在存储该订户的VLR地址记录，并且还发现，在约3天时间之后，这种HLR清除与订户有关的VLR的记录。因此，利用这些HLR，如果该终端在试图访问WLAN之前的日子中未与GSM网通信，则该终端可能还没有对它分配的VLR，并因此，HLR可能不会响应MAP_RESTORE_DATA消息而返回订户简档。在这种情况下，AS不能对它执行验证。某些其他HLR可以在AS要求时进行响应，但是不使此作为其缺省配置。这种HLR可能需要被配置，以便确保它们确实将订户简档送到AS。

某些HLR执行其中在进行第一GSM位置更新之后激活订户帐户的机制。如果SIM卡仅用于WLAN验证，即如果最终用户使用一个SIM用于正常GSM语音服务而使用另一个SIM用于WLAN数据访问，则可能产生问题。在这种情况下，在提供WLAN(仅数据)SIM卡时，网络运营商必须规定与正常情况不同的指令。如果遵循正常SIM卡分发过程(其中预约在最终用户启动第一位置更新时被该最终用户自动更新)，则仅数据SIM卡不被激活。激活数据SIM要求在将SIM交给最终用户之前，由某人利用该SIM进行位置更新，这将是SIM卡分发过程中的一个额外步骤，并且可能产生错误。

因此，需要一种改进方式执行验证，特别是需要一种改进方式获得用户简档数据。

发明内容

根据本发明，提供了一种在通信系统中执行验证的方法，所述通信系统包括验证服务器和用于存储通信系统用户的用户简档的用户简档存储器，该方法包括：将对用户的用户简档的请求从验证服务器发送到用户简档存储器；在AS接收对该请求的响应；确定该响应是否指出错误；以及如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器对该用户执行位置更新过程。

根据本发明的第二方面，提供了一种用于在通信系统中执行验证的验证服务器，所述通信系统包括用于存储通信系统用户的用户简档的用户简档存储器，为执行验证，该验证服务器被配置为：将对用户的用户简档的请求从验证服务器发送到用户简档存储器；在AS接收对该请求的响应；确定该响应是否指出错误；以及如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器执行对该用户的位置更新过程。

根据本发明的第三方面，提供了一种通信系统，该通信系统包括：用户简档存储器，用于存储通信系统用户的用户简档；以及验证服务器(AS)，用于在通信系统中执行验证，并且为执行验证，该验证服务器被配置为：将对用户的用户简档的请求从验证服务器发送到用户简档存储器；在AS接收对该请求的响应；确定该响应是否指出错误；以及如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器执行对该用户的位置更新过程。

所述消息优选是触发用户简档存储器执行位置更新，并随后将用户的用户简档发送到验证服务器的这种类型的消息。

用户简档存储器适于是GSM网的用户简档存储器。用户简档存储器优选是归属位置寄存器(HLR)。

用户简档存储器适于：在一些情况下，响应对用户的用户简档的请求，将用户的用户简档返回验证服务器；以及在其他情况下，响应请求，将错误消息返回验证服务器。所述其他情况优选包括用户长期(例如一天或两天或更多天)未与用户简档存储器作为其一部分的网络进行通信。用户简档存储器可以仅在它存储用户的位置时，响应所述请求，将用户的用户简档返回验证服务器，并且所述其他情况可以包括用户简档存储器已经从其数据存储器中删除该用户的位置。

所述请求优选是根据MAP(移动应用部分)协议的消息，最优选是MAP_RESTORE_DATA消息。

用于触发用户简档存储器对该用户执行位置更新过程的这种类型的消息优选是根据MAP协议的消息，最优选是MAP_UPDATA_LOCATION消息或MAP_UPDATA_GPRS_LOCATION消息。

该方法可以包括：在验证服务器从用户简档存储器接收用户的用户简档；以及利用接收的用户简档，验证用户的凭证；并且其中如果所述凭证被正确验证，则许可用户访问资源，否则拒绝用户访问资源。资源适于包括访问用户简档存储器是其一部分的网络之外的网络。用户简档存储器可以是其一部分的网络之外的网络是例如无线局域网。

用户优选是订户(subscriber)，最优选是用户简档存储器是其一部分的网络的订户。用户/订户可以利用终端访问网络。该终端优选可以与网络进行无线(例如无线电)通信。该终端可以是移动台。该终端可以是移动电话或移动数字设备。该终端可以与用户身份单元(例如SIM或USIM(UMTS(通用移动电话系统))SIM)通信(并最好持有用户身份单元)，用户身份单元包括终端可以利用其参与验证过程的数据。该终端优选可以在至少两种不同类型的网络中进行通信。一种网络优选是用户简档存储器是其一部分的网络。另一种网络优选是试图访问的资源。

验证过程优选包括步骤：用户试图获得对资源的访问；用户正在使用的终端形成可利用用户的用户简档验证的验证数据，将该数据直接或间接发送到验证服务器；验证服务器验证该验证数据(优选如上所述)；以及相应地许可或者拒绝用户访问资源。

附图说明

现在。将参考附图，利用例子说明本发明。

图1是GSM通信网的部分原理图；以及

图2示出根据本发明实施例验证期间的信令。

具体实施方式

在其原理图与图1所示原理图相同的系统中，可以实现本发明的系统。在说明本发明系统的过程中，该系统的等效部件请参考图1。然而，在本发明系统中，AS的功能是经过对传统AS的功能进行修改获得的。

如上所述，在AS需要从HLR中确定订户简档，而HLR处于不返回所述订户的简档的状态时，可能出现问题。解决该问题的一种方式是，配置AS，以便在对订户简档的请求不可接受时，启动对该订户的位置更新。以下对此做更详细说明。

以下将扼要重述，由AS从HLR获得订户简档信息的传统信令序列：

A.AS将MAP_SEND_AUTHENTICATION_INFO消息发送到HLR。

B.HLR利用MAP_SEND_AUTHENTICATION_INFO_ACK确认消息响应。

C.AS将MAP_RESTORE_DATA消息发送到HLR。

D.HLR利用MAP_INSERT_SUBSCRIBER_DATA消息响应，将订户数据送到AS。

如果HLR处于它不返回所述订户的简档的状态下，则它在步骤D返回错误消息。

对本发明系统的AS进行配置，以便如果在它试图从HLR中检索用户简档时，它收到响应它在步骤C发送的消息的错误消息，则它启动对所述订户的位置更新。然后，预期HLR对该订户进行位置更新，并返回该订户的用户简档。因此，在在步骤D返回错误消息后，执行以下附加步骤：

E.AS将MAP_UPDATE_LOCATION消息发送到HLR。

F.HLR对该订户进行位置更新，并利用MAP_INSERT_SUBSCRIBER_DATA消息响应AS，将订户数据送到AS。

可以预期，将MAP_UPDATE_LOCATION消息发送到HLR的AS会对GSM网内的订户连接产生问题。然而，在在步骤D收到错误消息时，AS发送MAP_UPDATE_LOCATION消息。该错误信号的原因是，因为该订户未连接到GSM网上，HLR已经删除了该订户的VLR地址。因此，如果执行步骤E和F，则预期订户未实际连接到GSM网上。

图2示出在在步骤D收到错误消息的情况下发送信令的步骤。该图还示出在AS5与WLAN访问区7之间发送的信令(步骤X和Y)。该信令可以采用RADIUS协议。步骤X是WLAN访问区请求验证订户。这可以包括用于得到其的验证数据和询问数据以及一个订户标识。步骤Y是对WLAN访问区指出根据验证结果是允许访问还是拒绝访问的消息。

以上描述的方法可以在订户/终端未连接到GSM网上时，使GSM订户的用户简档被可靠用于对访问服务进行验证。这些服务可以是对除GSM网之外的网络进行访问。应该明白，GSM网包括基于GSM的衍生标准的网络。

所使用的特定消息可以与上述描述的消息不同。在步骤5可以不使用MAP_UPDATE_LOCATION消息，而使用MAP_UPDATE_GPRS_LOCATION消息。它还可以触发HLR对订户进行位置更新，并且由HLR利用MAP_INSERT_SUBSCRIBER_DATA消息对它应答。

应该注意，以上说明的信令采用MAP协议。尽管可以采用其他信令协议，但是MAP协议具有优点。

验证服务器可以是HLR作为其一部分的网络的一部分(如图1所示)，也可以是另一个网络的一部分，也可以是独立功能块。验证服务器可以被设置为一个单元，或者设置为分布在两个或者更多个物理单元和/或位置之间的功能块。

本专利申请人特此独立公开了在此描述的每个单独特征以及两个或者更多个这种特征的任意组合，以致利用本技术领域内的熟练技术人员的通用一般知识，根据本发明说明书的全部内容，可以实现这些特征或这些特征的组合，而不考虑这些特征或这些特征的组合是否解决在此公开的问题，并且对权利要求所述的本发明范围没有限制意义。本专利申请人指出本发明的各方面可以包括任何这种单独特征或各特征的组合。根据上述说明，本技术领域内的熟练技术人员明白，可以在本发明范围内对其进行各种修改。

Claims (15)

1.一种在通信系统中执行验证的方法，所述通信系统包括验证服务器(AS)和用于存储通信系统用户的用户简档的用户简档存储器，该方法包括：

将对用户的用户简档的请求从验证服务器发送到用户简档存储器；

在验证服务器接收对该请求的响应；

确定该响应是否指出错误；以及

如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器对该用户执行位置更新过程。

2.根据权利要求1所述的方法，其中该消息是这种类型的消息，即使得触发用户简档存储器执行位置更新，并随后将用户的用户简档发送到验证服务器。

3.根据权利要求1或2所述的方法，其中用户简档存储器是GSM网的用户简档存储器。

4.根据权利要求1或2所述的方法，其中用户简档存储器是归属位置寄存器(HLR)。

5.根据权利要求1或2所述的方法，其中用户简档存储器：

在一些情况下，响应所述请求将用户的用户简档返回验证服务器；以及

在其他情况下，响应所述请求将错误消息返回验证服务器。

6.根据权利要求5所述的方法，其中所述其他情况包括用户长期未与用户简档存储器作为其一部分的网络进行通信。

7.根据权利要求1或2所述的方法，其中所述请求是根据MAP协议的消息。

8.根据权利要求7所述的方法，其中所述请求是MAP RESTORE DATA消息。

9.根据权利要求1或2所述的方法，其中使得触发用户简档存储器对该用户执行位置更新过程的这种类型的消息是根据MAP协议的消息。

10.根据权利要求9所述的方法，其中使得触发用户简档存储器对该用户执行位置更新过程的这种类型的消息是MAP_UPDATA_LOCATION或MAP_UPDATA_GPRS_LOCATION消息。

11.根据权利要求1或2所述的方法，该方法进一步包括：

在验证服务器从用户简档存储器接收用户的用户简档；以及利用接收的用户简档，验证用户的凭证；并且其中

如果所述凭证被正确验证，则许可用户访问资源，否则拒绝用户访问资源。

12.根据权利要求11所述的方法，其中访问资源包括访问不同于用户简档存储器是其一部分的网络的网络。

13.根据权利要求12所述的方法，其中所述不同于用户简档存储器是其一部分的网络的网络是无线局域网。

14.一种用于在通信系统中执行验证的验证服务器(AS)，所述通信系统包括用于存储通信系统用户的用户简档的用户简档存储器，为执行验证，该验证服务器被配置为：

将对用户的用户简档的请求从验证服务器发送到用户简档存储器；

在验证服务器接收对该请求的响应；

确定该响应是否指出错误；以及

如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器执行对该用户的位置更新过程。

15.一种通信系统，该通信系统包括：

用户简档存储器，用于存储通信系统用户的用户简档；以及验证服务器(AS)，用于在通信系统中执行验证，并且为执行验证，该验证服务器被配置为：

将对用户的用户简档的请求从验证服务器发送到用户简档存储器；

在验证服务器接收对该请求的响应；

确定该响应是否指出错误；以及

如果该响应指出错误，则从验证服务器向用户简档存储器传送一种类型的消息，使得触发用户简档存储器执行对该用户的位置更新过程。

Images