DE60035953T2

DE60035953T2 - Wiederverwendung von sicherheitsbeziehungen zur verbesserung der durchführung eines handovers

Info

Publication number: DE60035953T2
Application number: DE60035953T
Authority: DE
Inventors: Martin Rinman; Dan Jerrestam; Yi Cheng; Lars BJÖRUP
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 1999-01-08
Filing date: 2000-01-07
Publication date: 2008-05-08
Anticipated expiration: 2020-01-08
Also published as: US6418130B1; JP2002534930A; AU2335300A; DE60035953D1; WO2000041427A2; EP1142400A2; WO2000041427A3; JP4515411B2; EP1142400B1; JP2006319971A; CN1337134A

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft drahtlose Telekommunikationssysteme und/oder -Netze, wie etwa drahtlose Lokalbereichs-Netze (LANs, local area networks) und mobile Internetprotokoll-(IP)-Systeme. Insbesondere betrifft die vorliegende Erfindung die Wiederverwendung von Sicherheitszuordnungen, wenn eine Mobileinheit oder ein Mobilendgerät einen Handover von einer stationären Einheit in dem Netz zu einer anderen durchläuft.
HINTERGRUND
Mit der schnellen Entwicklung von drahtlosen und Mobilkommunikationstechnologien haben Kommunikationssicherheitsangelegenheiten, wie etwa eine Benutzerauthentifizierung, eine Verkehrs-Privatsphäre und eine Nachrichtenintegrität große Bedeutung erlangt. Als Reaktion werden nun eine Anzahl von Internet-Engineering-Task-Force-(IETF)-Sicherheitsprotokollstandards, wie etwa das Internet-Key-Exchange-(IKE, Internet-Schlüsselaustausch)-Protokoll, das Internet-Sicherheitszuordnungs- und Schlüsselverwaltungs-Protokoll (ISAKMP), und die Internetprotokoll-Sicherheit IP_SEC) in verschiedenen drahtlosen LAN und Mobil-IP-Umgebungen eingesetzt.
Das IKE-Protokoll wurde ausgelegt, um einen Mechanismus für zwei oder mehrere kommunizierende Parteien bereitzustellen, wie etwa eine Mobileinheit (MU) und eine stationäre Netzeinheit (SU), um verschiedene Sicherheitsdienste und Sicherheitszuordnungen auszuhandeln. Ein Sicherheitsdienst ist ein Verfahren oder eine Einrichtung zum Bereitstellen eines Schutzes für die Kommunikation zwischen den zwei oder mehreren Parteien, wohingegen eine Sicherheitszuordnung (SA) eine Beziehung zwischen zwei oder mehreren kommunizierenden Parteien ist, welche definiert, wie die Parteien die vereinbarten Sicherheitsdienste ausführen werden. Eine Sicherheitszuordnung wird tatsächlich durch einen Satz von Attributen definiert, wie etwa einen Authentifizierungsalgorithmus, einen Authentifizierungsschlüssel, einen Verschlüsselungsalgorithmus, einen Verschlüsselungsschlüssel und eine SA-Lebensdauer, welche die Zeitperiode darstellt, während der die entsprechende SA gültig ist. Wie der Fachmann erkennen wird, müssen die SAs ausgehandelt werden, und bevor die zwei oder mehreren Parteien sichere Kommunikationen beginnen können, wird die Prozedur zum Aushandeln von Sicherheitsdiensten und SAs in Übereinstimmung mit dem IKE-Protokoll in zwei Phasen erreicht. In einer ersten Phase (d.h. einer Phase 1) handeln die kommunizierenden Parteien die ISAKMP-SA aus. Die ISAKMP-SA ist definiert durch einen Satz von grundlegenden Sicherheitsattributen, die einen Schutz für nachfolgende ISAKMP-Austausche bereitstellen. In einer zweiten Phase (d.h. einer Phase 2) und unter dem Schutz der ISAKMP-SA handeln die kommunizierenden Parteien die IP_SEC SAs, die dem IP_SEC-Authentifizierungs-Header-(AH)-Protokoll zugeordnet sind, und/oder das IP_SEC-Verkapselungssicherheits-Nutzlast-(ESP)-Protokoll aus. Die IP_SEC-Protokolle stellen Sicherheitsdienste für Kommunikationen in der IP-Schicht dar. Wie im Stand der Technik bekannt ist, ist eine spezifische IP_SEC-A eindeutig durch einen Sicherheitsparameterindex (SPI), eine Ziel-IP-Adresse und ein IP_SEC-Protokoll (d.h. AH oder ESP) definiert.
Weil die SAs (d.h. die ISAKMP-SA und die IP_SEC SAs) an die aushandelnden Parteien gebunden sind, werden die SAs erneut ausgehandelt, wann immer sich eine Mobileinheit von einem Zugriffspunkt zu einem anderen in einer drahtlosen LAN-Umgebung oder von einem fremden Agenten zu einem anderen in einem mobilen IP-Kontext bewegt. Jedoch ist der IKE-Aushandlungsprozess rechenmäßig intensiv, insbesondere die Phase 1. Dies ist insbesondere mühevoll bei drahtlosen LAN- und mobilen IP-Anwendungen, wo die Mobileinheit einen Handover von einer SU zu einer anderen häufig durchläuft, und wo die MU begrenzte Rechenleistung aufweist. Unter derartigen Bedingungen wird das gesamte System-Betriebsverhalten außergewöhnlich schlecht sein, da ein beträchtlicher Teil der Zeit für ein erneutes Aushandeln von SAs anstelle für ein Kommunizieren verwendet werden muss.
Das US-Patent 5,243,653 offenbart ein Verfahren und eine Einrichtung zum Steuern eines Sicherheitsdienstes, wobei sich konstant ändernde Weiterführungsdaten während eines Kanalwechsels zwischen stationären Einheiten weitergeleitet werden, dass ein Verschlüsselungs- oder Entschlüsselungsprozess ohne Unterbrechung andauern kann.
Das US-Patent 5,293,423 offenbart einen Sicherheitsdienst, wobei während eines Anruf-Handovers in einer Zeitteilungs-Mehrfachzugriffs-Umgebung ein Chiffrieren durch eine Bereitstellung einer Information zwischen Basisstationen einer variablen Anzeige darüber aufrechterhalten wird, für wie viele Rahmenperioden ein Chiffrieren während dem Handover aufhören wird. Das Chiffrieren wird dann nach der vereinbarten Anzahl weggelassener Rahmen erneut begonnen.
ZUSAMMENFASSUNG DER ERFINDUNG
Die der Erfindung zugrunde liegende Aufgabe besteht darin, eine Technik bereitzustellen, die das Betriebsverhalten einer Mobileinheit (MU) in einer drahtlosen LAN- oder Mobil-IP-Umgebung insbesondere während eines Handovers verbessert. Die vorliegende Erfindung löst dies durch ein Wiederverwenden statt ein Neuaushandeln der Sicherheitszuordnungen (SAs), die der MU entsprechen, sobald die MU weitergereicht wird. Durch ein Wiederverwenden der SAs wird weniger Zeit zum Aushandeln von SAs verbraucht. Folglich kann eine MU sichere Kommunikationen nahezu unmittelbar beginnen, nachdem sie von einer SU zu einer weiteren SU weitergereicht wurde.
Dementsprechend ist es eine Aufgabe der vorliegenden Erfindung, eine effizientere Weise bereitzustellen, um SAs während eines Handovers zu benutzen.
Es ist eine weitere Aufgabe der vorliegenden Erfindung, die Latenzperiode zwischen der Zeit, in der eine MU zu einer stationären Einheit weitergereicht wird, und der Zeit zu verringern und/oder zu minimieren, zu der die MU sichere Kommunikationen mit der stationären Einheit beginnen kann.
Es ist noch eine weitere Aufgabe der vorliegenden Erfindung, das Betriebsverhalten einer MU durch einen nahtlosen Handover allgemein zu verbessern.
Es ist noch eine weitere Aufgabe der vorliegenden Erfindung, einen erforderlichen Pegel eines Betriebsverhaltens aufrechtzuerhalten, ohne eine Kommunikationssicherheit zu opfern.
In Übereinstimmung mit einer Ausführungsform der vorliegenden Erfindung werden die oben identifizierten und andere Aufgaben durch ein Verfahren und/oder eine Vorrichtung zum Erreichen eines Handovers einer Mobileinheit von einer ersten stationären Einheit zu einer zweiten stationären Einheit gelöst. Das Verfahren bringt ein Trennen der Mobileinheit von der ersten stationären Einheit und danach ein Verbinden der Mobileinheit mit der zweiten stationären Einheit mit sich. Das Verfahren bringt auch ein Wiederverwenden einer existierenden Sicherheitszuordnungen mit sich, um die Verbindung zwischen der Mobileinheit und der zweiten stationären Einheit zu unterstützen, wobei die existierende Sicherheitszuordnung zuvor verwendet wurde, um die Verbindung zwischen der Mobileinheit und der ersten stationären Einheit zu unterstützen.
In Übereinstimmung mit einer weiteren Ausführungsform der vorliegenden Erfindung werden die oben identifizierten und andere Aufgaben mit einem Verfahren und/oder einer Vorrichtung zum Einrichten eines Handovers einer Mobileinheit von einer ersten stationären Einheit zu einer zweiten stationären Einheit gelöst. Spezifischer bringt das Verfahren ein Trennen der Mobileinheit von der ersten stationären Einheit und danach ein Verbinden der Mobileinheit mit der zweiten stationären Einheit mit der zweiten stationären Einheit mit sich. Das Verfahren bringt dann ein Wiederverwenden einer existierenden Sicherheitszuordnung mit sich, um die Verbindung zwischen der Mobileinheit und der stationären Einheit zu unterstützen, wobei die existierende Sicherheitszuordnung zuvor verwendet wurde, um sichere Kommunikationen für eine Verbindung zwischen der Mobileinheit und einer dritten stationären Einheit sicherzustellen, und wobei der dritten stationären Einheit und der zweiten stationären Einheit eine erste Verwaltungsdomäne zugeordnet werden, die eine gemeinsame Sicherheitsstrategie einsetzt.
In Übereinstimmung mit noch einer weiteren Ausführungsform der vorliegenden Erfindung werden die oben identifizierten und anderen Aufgaben mit einem Verfahren zum Wiederverwenden von Sicherheitszuordnungen gelöst, um ein Handover einer Mobileinheit zwischen stationären Einheiten zu erleichtern, die einer gemeinsamen Verwaltungsdomäne zugeordnet sind, wobei sämtliche der stationären Einheiten, die der gemeinsamen Verwaltungsdomäne zugeordnet sind, der gleichen Sicherheitsstrategie unterworfen werden. Das Verfahren bringt ein Aushandeln einer ersten Sicherheitszuordnung für eine Verbindung zwischen der Mobileinheit und einer ersten stationären Einheit, die der gemeinsamen Verwaltungsdomäne zugeordnet ist, mit sich. Die Mobileinheit wird dann von der ersten stationären Einheit getrennt, und wird danach mit einer zweiten stationären Einheit, die der gemeinsamen Verwaltungsdomäne zugeordnet ist, verbunden. Ein erster Satz von Sicherheitszuordnungsattributen, die der ersten Sicherheitszuordnung entsprechen, wird dann von der ersten stationären Einheit zu der zweiten stationären Einheit übertragen. Die erste Sicherheitszuordnung kann dann eingesetzt werden, um sichere Kommunikationen für die Verbindung zwischen der Mobileinheit und der zweiten stationären Einheit sicherzustellen.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Die Aufgaben und Vorteile der Erfindung werden durch ein Lesen der folgenden detaillierten Beschreibung in Verbindung mit den Zeichnungen verstanden werden. In den Zeichnungen zeigen:
1 eine erste beispielhafte Ausführungsform der vorliegenden Erfindung;
2 eine zweite beispielhafte Ausführungsform der vorliegenden Erfindung;
3 einen ersten beispielhaften Satz von Sicherheitszuordnungsattributen, die in Übereinstimmung mit der vorliegenden Erfindung übertragen werden;
4 einen zweiten Satz von Sicherheitszuordnungsattributen, die in Übereinstimmung mit der vorliegenden Erfindung übertragen werden; und
5 die Übertragung einer Sicherheitszuordnungs-Attributinformation in Übereinstimmung mit der vorliegenden Erfindung unter Verwendung von Verschlüsselungs- und Authentifizierungstechniken.
DETAILLIERTE BESCHREIBUNG DER ERFINDUNG
Zum besseren Verständnis der Erfindung bezieht sich die folgende detaillierte Beschreibung auf die zugehörigen Zeichnungen, wobei bevorzugte exemplarische Ausführungsformen der vorliegenden Erfindung veranschaulicht und beschrieben sind. Zusätzlich sind die Bezugszeichen, die verwendet werden, um Schlüsselelemente der Erfindung in den Zeichnungen zu identifizieren, durchgehend durch diese Beschreibung konsistent.
Die vorliegende Erfindung bringt eine Technik mit sich, die das Betriebsverhalten einer Mobileinheit oder eines Mobilendgeräts (nachstehend bezeichnet als eine "MU") in einem Funktelekommunikationssystem insbesondere während eines Handovers verbessert, wobei die MU getrennt wird von einer ersten stationären Einheit (nachstehend bezeichnet als eine "SU_k") und verbunden wird mit einer anderen stationären Einheit (nachstehend bezeichnet als eine "SU_k+1"), und wobei SU_k und SU_k+1 zu einer gemeinsamen Verwaltungsnetzdomäne gehören, die unter der Steuerung einer gemeinsamen Sicherheitsstrategie ist. Die vorliegende Erfindung erreicht dies durch ein Wiederverwenden von einer oder mehreren zuvor eingerichteten Sicherheitsassoziationen, um die neu gebildete Verbindung zwischen der MU und der SU_k+1 zu unterstützen. Durch ein Wiederverwenden dieser zuvor eingerichteten Sicherheitszuordnungen müssen die MU und die SU_k+1 nicht durch die zeitintensive Aufgabe eines erneuten Aushandelns der Sicherheitszuordnungen (hierein bezeichnet als "SA"s) jedes Mal dann gehen, wenn die MU ihren Verbindungspunkt innerhalb der Verwaltungsdomäne ändert (z.B. ein Handover durchläuft). Die vorliegende Erfindung ist insbesondere dort von Bedeutung, wo die kommunizierenden Einheiten (z.B. die MU und die SU_k+1) ein niedriges bis mittleres Niveau an Rechenleistung aufzeigen, und wo die MU insbesondere mobil ist und häufig einen Handover durchläuft.
In Übereinstimmung mit der vorliegenden Erfindung werden sämtliche einer Anzahl von stationären Einheiten (SUs), die der gleichen Verwaltungsdomäne zugeordnet sind, und somit unter der Steuerung einer gemeinsamen Sicherheitsstrategie sind, auf eine identische Weise bezüglich der SAs verwaltet, die eingesetzt werden, um die Kommunikation zwischen der MU und den verschiedenen SUs zu schützen. Dementsprechend kann der Satz von SAs, die zwischen der MU und irgendeiner der verschiedenen SUs eingerichtet sind, die zu dieser Verwaltungsdomäne gehören, durch irgendeine der anderen SUs wieder verwendet werden, die dieser Verwaltungsdomäne zugeordnet sind, falls und wenn die MU zu einer dieser anderen SUs übergeben wird. Wie zuvor bemerkt, wird die Wiederverwendung der zuvor eingerichteten SAs das Betriebsverhalten der MU während eines Handovers verbessern, ohne eine Kommunikationssicherheit zu opfern. Jedoch werden in Abhängigkeit von dem Ausmaß, in welchem eine MU-Betriebsverhaltens-Verbesserung gewünscht wird, zwei beispielhafte Ausführungsformen der Erfindung untenstehend hierin beschrieben werden.
In Übereinstimmung mit einer ersten beispielhaften Ausführungsform der vorliegenden Erfindung, die hierin bezeichnet wird als eine Ausführungsform mit teilweiser SA-Wiederverwendung, wird eine eingerichtete Internetsicherheitszuordnung und eine Schlüsselverwaltungsprotokoll-(ISAKMP)-SA jedes Mal dann wieder verwendet, wenn die MU zu einer anderen SU (d.h. SU_k+1) in der Verwaltungsdomäne übergeben wird. Spezifischer werden, wenn die MU eine Verbindung mit einer SU in der Verwaltungsdomäne zum ersten Mal einrichtet, die Internetschlüsselaustausch-(IKE)-Phase-1-Aushandlung, die zum Einrichten der ISAKMP-SA verwendet wird, und die IKE-Phase-2-Aushandlung, die zum Einrichten der IP_SEC-SAs verwendet wird, in Übereinstimmung mit den verschiedenen Standards ausgeführt, die durch die Internet Engineering Task Force (IETF) offenbart sind. Jedoch wird, wenn sich die Mobileinheit herum bewegt und zu einer anderen SU (d.h. SU_k+1), die der gleichen Verwaltungsdomäne zugeordnet ist, übergeben wird, die zuvor eingerichtete ISAKMP-SA durch die MU und die SU_k+1 wieder verwendet. Nichts desto weniger müssen die MU und die SU_k+1 immer noch eine IKE-Phasen-2-Aushandlung durchführen; das heißt, die MU und die SU_k+1 müssen die IP_SEC-SAs erneut aushandeln. Weil der IKE-Phase-1-SA-Aushandlungsprozess viel zeitintensiver relativ zu dem IKE-Phase-2-Aushandlungsprozess ist, verbessert die Wiederverwendung der ISAKMP-SA in hohem Maße das Betriebsverhalten der MU während eines Handovers.
In Übereinstimmung mit einer zweiten beispielhaften Ausführungsform der vorliegenden Erfindung, die hierin bezeichnet wird als die Ausführungsform mit der vollständigen SA-Wiederverwendung, werden die zuvor eingerichtete ISAKMP-SA und die zuvor eingerichtete IP_SEC-SA jedes Mal wieder verwendet, wenn die MU einen Handover von einer SU (d.h. SU_k) zu einer anderen SU (d.h. SU_k+1) in der Verwaltungsdomäne durchläuft. Wie oben stehend bemerkt, werden , wenn die MU sich mit einer SU in der Verwaltungsdomäne zum ersten Mal verbindet, die ISAKMP-SA und die IP_SEC-SAs in Übereinstimmung mit den IKE-Phase-1- bzw. IKE-Phase-2-Aushandlungsprozessen eingerichtet. Jedoch führen, anders als bei der oben beschriebenen Ausführungsform, mit der teilweisen SA-Wiederverwendung nachfolgende Handovers zu der Wiederverwendung von sowohl der zuvor eingerichteten ISAKMP-SA als auch der zuvor eingerichteten IP_SEC-SAs. Somit wird der gesamte IKE-SA-Aushandlungsprozess einschließlich Phase-1 und Phase-2 vermieden. Deswegen können die MU und die SU_k+1 miteinander zu kommunizieren beginnen, nahezu unmittelbar, nachdem die ISAKMP-SA und die IP_SEC-SAs von der SU_k zu der SU_k+1 übertragen sind. Folglich wird die Handover-Prozedur auf eine nahtlose oder nahezu nahtlose Weise erreicht.
Im Allgemeinen stellt die Ausführungsform mit der vollständigen SA-Wiederverwendung eine größere MU- Betriebsverhaltensverbesserung während eines Handovers bereit, als dies die Ausführungsform mit der teilweisen SA-Wiederverwendung tut. Dies liegt daran, dass die MU und die SU_k+1 nicht erneut irgendwelche SAs aushandeln müssen. Wann dann könnte es ein Netzadministrator wünschen, die Ausführungsform mit der teilweisen SA-Wiederverwendung gegenüber der Ausführungsform mit der vollständigen SA-Wiederverwendung zu implementieren? Ein Grund kann darin liegen, dass der Netzadministrator es nicht wünscht, dass die verschiedenen SUs, die einer Verwaltungsdomäne zugeordnet sind, die gleichen Sitzungsschlüssel (d.h. Verschlüsselungs- und Authentifizierungsschlüssel), wie sie durch die IP_SEC-SAs spezifiziert sind, teilen. Wenn beispielsweise sämtliche der SUs, die der Verwaltungsdomäne zugeordnet sind, die gleichen Sitzungsschlüssel teilen und nur eine der SUs beeinträchtigt ist, kann ein Angreifer wahrscheinlich Kommunikationen zwischen der MU und jedweder der SUs, die der Verwaltungsdomäne zugeordnet sind, beeinträchtigen.
Wie zuvor bemerkt, wird eine spezifische IP_SEC-SA eindeutig durch einen Sicherheitsparameterindex (SPI) in Kombination mit einer Ziel-IP-Adresse und ein bestimmtes Sicherheitsprotokoll (z.B. das Authentifizierungs-Header-Protokoll oder das Verschlüsselungs-Sicherheitsnutzlast-Protokoll) identifiziert. Als solche wird eine gemeinsame IP-Adresse für sämtliche SUs in der Verwaltungsdomäne benötigt, um eine IP_SEC-SA wieder zu verwenden. In Übereinstimmung der Ausführungsform mit der vollständigen SA-Wiederverwendung kann diese IP-Adresse jeder SU als eine Alias-IP-Adresse zugewiesen werden. Jedoch kann es ein Netzadministrator unter bestimmten Umständen wünschen, eine gemeinsame IP-Adresse jeder SU zuzuweisen. Wenn dies der Fall ist, wünscht der Netzadministrator wahrscheinlich die Ausführungsform mit der teilweisen SA-Wiederverwendung eher als die Ausführungsform mit der vollständigen SA-Wiederverwendung.
Wenn eine MU von einer SU (z.B. SU_k) zu einer anderen SU (z.B. SU_k+1) übergeben wird, müssen die SA-Attribute, die der ISAKMP-SA entsprechen, und die SA-Attribute, die den IP_SEC-SAs entsprechen, in Abhängigkeit davon, ob die Ausführungsform mit der teilweisen SA-Wiederverwendung oder die Ausführungsform mit der vollständigen SA-Wiederverwendung eingesetzt wird, von der SU_k zu der SU_k+1 übertragen werden. Diese Übertragung von SA-Attributen von der SU_k zu der SU_k+1 kann in Übereinstimmung mit einer Anzahl von beispielhaften Techniken erreicht werden.
1 veranschaulicht eine derartige Technik, die hierin als die direkte Übertragungstechnik bezeichnet wird. Gemäß der direkten Übertragungstechnik durchläuft eine MU 101 einen Handover von der SU_k 105 zu der SU_k+1 110, wie durch den Richtungspfeil, der mit "1" markiert ist, veranschaulicht. Als nächstes kontaktiert die SU_k+1 110 die SU_k 105 durch ein Senden einer SA-Anforderungsnachricht, wie durch den Richtungspfeil veranschaulicht, der mit "2" markiert ist. Die SA-Anforderungsnachricht fordert spezifisch jene SAs an, die der MU 101 zugeordnet sind. Dementsprechend muss die SA-Anforderungsnachricht einen Identifizierercode für die MU 101 enthalten. Die SU_k 105 antwortet dann auf die SA-Anforderungsnachricht durch ein Senden der geeigneten SA-Attribute zu der SU_k+1 110, wie durch den Richtungspfeil veranschaulicht, der mit "3" markiert ist.
Zusätzlich zu den Prozessschritten, die oben stehend beschrieben sind, kann die direkte Übertragungstechnik, die in 1 veranschaulicht ist, auch den Schritt eines Verifizierens mit sich bringen, dass die SU_k zu der gleichen Verwaltungsdomäne wie die SU_k+1 gehört. Um dies zu erreichen, kann jede SU, die der Verwaltungsdomäne zugeordnet ist, eine Liste aufrechterhalten, die sämtliche IP-Adressen, die der Verwaltungsdomäne zugeordnet sind, enthält. Die SU_k+1 kann dann die erforderliche Verifikation durch ein einfaches Überprüfen durchführen, um zu sehen, ob die IP-Adresse, die der SU_k zugeordnet ist, auf der Liste ist. Alternativ kann, wenn die Verwaltungsdomäne einem IP-Netz oder Unternetz entspricht, die SU_k+1 einfach den Netzidentifikationsabschnitt der IP-Adresse der SU_k mit dem Netzidentifikationsabschnitt ihrer eigenen IP-Adresse vergleichen. Wenn sie übereinstimmen, hat die SU_k+1 verifiziert, dass die SU_k tatsächlich zu der gleichen Verwaltungsdomäne gehört. Wenn die SU_k+1 bestimmt, dass die SU_k nicht zu der gleichen Verwaltungsdomäne gehört, dann kann es erforderlich sein, dass die MU und die SU_k+1 die ISAKMP-SA und die IP_SEC-SAs erneut aushandeln, außer die Attribute, die der ISAKMP-SA und den IP_SEC-SAs zugeordnet sind, wurden beispielsweise in einer Datenbank, wie in 2 veranschaulicht, und einer vorherigen Verbindung zwischen der MU und irgendeiner der SUs, die der Verwaltungsdomäne zugeordnet sind, zu welcher die SU_k+1 gehört, wurden gespeichert.
2 veranschaulicht eine alternative Technik zum Übertragen der geeigneten SA-Attribute. Diese alternative Technik wird hierin als die Zwischenspeichertechnik bezeichnet. Die Zwischenspeichertechnik kann vorzuziehen sein, wo die Netzkonfiguration es erschwert, die SU_k zu identifizieren, oder wenn eine direkte Kommunikation zwischen der SU_k und der SU_k+1 schwierig oder unerwünscht ist. In Übereinstimmung mit dieser alternativen Technik, wie sie in 2 gezeigt ist, durchläuft eine MU 201 einen Handover von der SU_k 205 zu der SU_k+1 210, wie durch den Richtungspfeil veranschaulicht, der mit "1" markiert ist. Vor dem, gleichzeitig mit dem, oder, falls nötig, nach dem Handover überträgt die SU_k die geeigneten SAs, die der MU 210 zugeordnet sind, zu einer Datenbank (DBS) 215, wie durch den Richtungspfeil angezeigt, der mit "2" markiert ist. Die SU_k+1 210 sendet dann eine SA-Anforderungsnachricht zu der DBS 215, wie durch den Richtungspfeil veranschaulicht, der mit "3" markiert ist. Wie bei der direkten Übertragungstechnik, enthält die SA-Anforderungsnachricht einen Identifizierercode, der spezifisch die MU 210 identifiziert. Somit kann die DBS 215 auf die SA-Anforderungsnachricht durch ein Senden der geeigneten SAs, die der MU 210 zugeordnet sind, zu der SU_k+1 210 antworten, wie durch den Richtungspfeil veranschaulicht, der mit "4" markiert ist.
Wie eine Fachperson leicht erkennen wird, enthalten die SAs sensitive Information (z.B. Sitzungsschlüssel). Dementsprechend sollte die SA-Information, die von der SU_k zu der SU_k+1 unter Verwendung der direkten Übertragungs- oder der Zwischenspeichertechnik übertragen wird, geschützt werden. Deswegen kann ein Verschlüsselungs- und Authentifizierungsmechanismus eingesetzt werden, um eine Vertraulichkeit und eine Authentizität für diese Information sicherzustellen.
3 veranschaulicht spezifischer die SA-Attribute, die von der SU_k zu der SU_k+1 übertragen werden können, wenn die Ausführungsform mit der teilweisen SA-Wiederverwendung eingesetzt wird. Wie veranschaulicht, sendet die SU_k 105 auf ein Empfangen einer SA-Anforderungsnachricht von der SU_k+1 110 hin, wie durch den Richtungspfeil angezeigt wird, der mit "2" markiert ist, eine Antwortnachricht 305 zu der SU_k+1 110, wobei die Antwortnachricht 305 die Information enthält, die notwendig ist, um die folgenden ISAKMP-SA-Attribute zu definieren: die ISAKMP-SA-Lebensdauer; die ISAKMP-Sitzungsschlüssel einschließlich des ISAKMP-Sitzungsschlüssels für die Authentifizierung und des ISAKMP-Sitzungsschlüssels für die Verschlüsselung; Verschlüsselungsmaterial, das erforderlich ist zum Ableiten der IP_SEC-Sitzungsschlüssel; den letzten IKE-Phase-1-CBC- (d.h. Chiffre-Block-Verkettungs-, cipher block chaining)-Ausgangsblock zum Erzeugen eines Initialisierungsvektors, der wiederum benötigt wird zur Verschlüsselung der ersten IKE-Phase-2-Nachricht. Obwohl 3 anzeigt, dass die SA-Attribute in Übereinstimmung mit der oben beschriebenen direkten Übertragungstechnik übertragen werden, ist es für die Fachperson leicht einzusehen, dass in der Alternative die Zwischenspeichertechnik eingesetzt werden kann.
4 veranschaulicht die SA-Attribute, die von der SU_k 105 zu der SU_k+1 110 zusätzlich zu den SA-Attributen, die in 3 identifiziert ist, übertragen werden können, wenn die Ausführungsform mit der vollständigen SA-Wiederverwendung eingesetzt wird. Wie in 4 veranschaulicht, sendet die SU_k 105 auf ein Empfangen einer SA-Anforderungsnachricht von der SU_k+1 110 hin, wie durch den Richtungspfeil angezeigt, der mit "2" markiert ist, eine Antwortnachricht 405 zu der SU_k+1 110, wobei die Antwortnachricht 405 die Information, die notwendig ist, um die ISAKMP-SA-Attribute zu definieren, die oben stehend in 3 identifiziert sind, und die Information enthält, die notwendig ist, um die folgenden IP_SEC-SA-Attribute zu definieren: die IP_SEC-SA-Lebensdauer; die IP_SEC-Protokolle, die verwendet werden, d.h. die Authentifizierungs-Header- und/oder Verschlüsselungs-Sicherheitsnutzlast-Protokolle; den IP_SEC-Protokollmodus, d.h. den Transportmodus oder den Tunnelmodus; den (die) Sicherheitsparameterindex-(Indizes); die IP_SEC-Sitzungsschlüssel einschließlich der Sitzungsschlüssel für eine Authentifizierung und Verschlüsselung, wie auch ihre jeweiligen Algorithmen; den letzten CBC-Ausgangsblock vor einem Handover, der als der Initialisierungsvektor für eine Verschlüsselung des ersten IP-Pakets nach einem Handover verwendet wird; und den Wert der Sequenznummer in Übereinstimmung mit dem Authentifizierungs-Header-Protokoll oder dem Verschlüsselungs-Sicherheitsnutzlast-Protokoll gerade vor einem Handover, da dieser Wert +1 der Anfangswert der Sequenznummer nach dem Handover für Anti-Weiterleitungs-Überprüfungszwecke sein wird. Wie es in 3 der Fall war, wird die Übertragung der SA-Attribute in 4 in Übereinstimmung mit der direkten Übertragungstechnik erreicht, die oben stehend beschrieben ist. Es ist jedoch zu verstehen, dass die SA-Attribute in Übereinstimmung mit der Zwischenspeichertechnik übertragen werden können, die auch oben stehend beschrieben ist.
Wie zuvor erwähnt, müssen dann, wenn die MU sich zum ersten Mal mit irgendeiner SU in einer gegebenen Verwaltungsdomäne verbindet, eine IKE-Phase-1-Aushandlung und eine IKE-Phase-2-Aushandlung erreicht werden, wodurch die ISAKMP-SA und die IP_SEC-SAs jeweils eingerichtet werden. Jedoch können in Übereinstimmung mit einem weiteren Aspekt der vorliegenden Erfindung die SA-Attribute, die der ISAKMP-SA und den IP_SEC-SAs zugeordnet sind, für eine Zeitperiode gespeichert werden, beispielsweise eine Zeitperiode äquivalent zu der ISAKMP-SA-Lebensdauer bzw. der IP_SEC-SA-Lebensdauer. Die SA-Attribute können in einer Datenbank, etwa der Datenbank 215, gespeichert werden, die in 2 veranschaulicht ist. Durch ein Speichern der SA-Attribute kann vermieden werden, dass die MU die ISAKMP-SA und die IP_SEC-SAs erneut aushandeln muss, wenn die MU von der Verwaltungsdomäne getrennt wird, indem sie beispielsweise an eine SU übergeben wird, die der Verwaltungsdomäne nicht zugeordnet ist, und die MU dann erneut zu der Verwaltungsdomäne, beispielsweise durch ein Übergeben zurück zu einer SU zugeordnet wird, die der Verwaltungsdomäne zugeordnet ist, bevor die zuvor erwähnte Zeitperiode abläuft. In Übereinstimmung mit diesem Aspekt der Erfindung kann die Übertragung der SA-Attribute zu der SU_k+1 auf im Wesentlichen die gleiche Weise wie bei der Zwischenspeichertechnik, die in 2 veranschaulicht ist, eingerichtet werden, außer der Tatsache, dass die MU zu einer SU übergeben wird, die einer anderen Verwaltungsdomäne zugeordnet ist, während einer Zwischenperiode zwischen der Zeit, in der die MU mit der SU_k verbunden ist, und der Zeit, während der die MU mit der SU_k+1 verbunden ist.
5 veranschaulicht eine Prozedur zum Übertragen von SA-Attribut-Steuernachrichten in Übereinstimmung mit einer beispielhaften Ausführungsform der vorliegenden Erfindung, unter Verwendung von Verschlüsselungs- und Authentifizierungs-Techniken, um die SA-Attribute während einer Übertragung zu schützen. Während die Prozedur, die in 5 veranschaulicht ist, die Zwischenspeichertechnik mit sich bringt, die oben stehend unter Bezugnahme auf 2 beschrieben ist, wird eine Fachperson leicht erkennen, dass eine ähnliche Prozedur auf die direkte Übertragungstechnik angewandt werden kann, die oben stehend unter Bezugnahme auf 1 beschrieben ist.
Die in 5 veranschaulichte Prozedur beginnt anfangs damit, dass die MU eine Handover-Prozedur von der stationären Einheit SU_k zu der stationären Einheit SU_k+1 durchläuft, wie durch den Richtungspfeil angezeigt, der mit "1" markiert ist, wobei die SU_k und die SU_k+1 der gleichen Verwaltungsdomäne zugeordnet sind. Deswegen sind die SU_k und die SU_k+1 der gleichen Sicherheitsstrategie unterworfen. Dann überträgt die SU_k an einem bestimmten Punkt während der Handover-Prozedur die SA-Attribut-Steuernachricht zu der DBS, wie durch den Richtungspfeil angezeigt, der mit "2" markiert ist. Wie gezeigt, enthält die SA-Attribut-Steuernachricht einen MU-Identifikationscode (ID_MU); die SA-Attribute (ENC_KSA), die unter Verwendung eines Verschlüsselungsschlüssels K_SA verschlüsselt sind; einen Zeitstempel (T); und einen Hash-Wert (HASH_KDB). Der Zweck des MU-Identifikationscodes (ID_MU) besteht darin, die SA-Attribute (d.h. ENC_KSA) zu identifizieren, wie sie der MU zugeordnet sind. Der Zweck des Zeitstempels (T) besteht darin, die DBS bezüglich der Zeitperiode zu informieren, die verstrichen ist, seit die SU_K die SA-Steuernachricht sendete, wenn eine signifikante Zeitperiode verstrichen ist, kann die DBS ausgelegt sein, die SA-Attribut-Steuernachricht zurückzuweisen, um gegen eine nicht autorisierte Wiedergabe zu schützen. Während der MU-Identifikationscode a (ID_MU) und der Zeitstempel (T) typischerweise nicht verschlüsselt sind, sind die SA-Attribute unter Verwendung eines Verschlüsselungsschlüssels K_SA verschlüsselt, der von jeder SUs, die der Verwaltungsdomäne zugeordnet sind, geteilt wird. Der Hash- Wert (HASH_KDB) wird für Authentifizierungszwecke verwendet und wird unter Verwendung eines Authentifizierungsschlüssels K_DB und als eine Funktion des MU-Identifikationscodes (ID_MU), der SA-Attribute (ENC_KSA) und des Zeitstempels (T) abgeleitet. Der Authentifizierungsschlüssel K_DB wird, wie der Verschlüsselungsschlüssel K_SA, von jeder der SUs, die der Verwaltungsdomäne zugeordnet sind, geteilt. Zusätzlich wird er durch die DES geteilt.
Wie bemerkt, überträgt die SU_k die SA-Attribut-Steuernachricht, die den MU-Identifikationscode (ID_MU), die verschlüsselten SA-Attribute (ENC_KSA) den Zeitstempel (T) und den Hash-Wert (HASH_KDB) enthält, zu der DES. Auf ein Empfangen der SA-Attribut-Steuernachricht hin berechnet die DBS den Hash-Wert als eine Funktion der empfangenen Werte für den MU-Identifikationscode (ID_MU), der SA-Attribute (ENC_KSA) und des Zeitstempels (T) und auf der Grundlage des Authentifizierungsschlüssels K_DB erneut. Dann vergleicht die DBS den erneut berechneten Hash-Wert mit dem empfangenen Hash-Wert. Wenn die beiden Werte gleich sind (d.h. wenn die beiden Werte übereinstimmen), authentifiziert die DBS die SU_k und akzeptiert die SA-Attribut-Steuernachricht. Die DBS speichert dann die verschlüsselten SA-Attribute (ENC_SKA) zusammen mit dem MU-Identifikationscode (ID_MU).
Ferner gibt die SU_k+1 in Übereinstimmung mit der Prozedur, die in 5 veranschaulicht ist, nun eine SA-Attribut-Anforderungsnachricht zu der DBS aus, wie durch den Richtungspfeil angezeigt ist, der mit "3" markiert ist, wobei die SA-Attribut-Anforderungsnachricht den MU-Identifikationscode (ID_MU) enthält. Als Antwort überträgt die DES die verschlüsselten SA-Attribute (ENC_KSA) die dem MU-Identifikationscode (ID_MU) entsprechen, der in der SA-Attribut-Anforderungsnachricht enthalten ist, zu der SU_k+1. Durch ein Anwenden des Verschlüsselungsschlüssels K_SA auf die SA-Attribute (ENC_KSA) kann die SU_k+1 die verschlüsselten SA-Attribute entziffern.
Die vorliegende Erfindung ist unter Bezugnahme auf eine bevorzugte Ausführungsform beschrieben worden. Der Umfang der Erfindung ist durch die angehängten Ansprüche eher als durch die voran stehende Beschreibung gegeben, und es ist beabsichtigt, dass sämtliche Variationen und Äquivalente, die in den Bereich der Ansprüche fallen, darin umfasst sind.

Claims

Verfahren zur Verwendung in einem Funktelekommunikationssystem, wobei das Verfahren zum Erreichen eines Handovers einer Mobileinheit (101) von einer ersten stationären Einheit (105) zu einer zweiten stationären Einheit (110) dient, wobei das Verfahren die Schritte umfasst: Trennen der Mobileinheit (101) von der ersten stationären Einheit (105); Verbinden der Mobileinheit (101) mit der zweiten stationären Einheit (110); und Wiederverwenden einer existierenden Sicherheitsassoziierung (SA), die definiert, wie die kommunizierenden Parteien vereinbarte Sicherheitsdienste ausführen werden, um die Verbindung zwischen der Mobileinheit (106) und der zweiten stationären Einheit (110) zu unterstützen; wobei die existierende Sicherheitsassoziierung zuvor verwendet wurde, um die Verbindung zwischen der Mobileinheit (101) und der ersten stationären Einheit (105) zu unterstützen.
Verfahren nach Anspruch 1, weiter umfassend den Schritt: Übertragen einer Anzahl von Sicherheitsassoziierungs-Attributen (305, 405), die der Sicherheitsassoziierung (SA) zugeordnet sind, von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110).
Verfahren nach Anspruch 2, wobei die Sicherheitsassoziierungs-Attribute von der ersten stationären Einheit (105) direkt zu der zweiten stationären Einheit (110) übertragen werden (305, 405).
Verfahren nach Anspruch 2, wobei der Schritt eines Übertragens der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405), die der Sicherheitsassoziierung (SA) zugeordnet sind, von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110) die Schritte umfasst: Übertragen der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) von der ersten stationären Einheit (105) zu einer Datenspeichereinheit (215); und Übertragen der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) von der Datenspeichereinheit zu der zweiten stationären Einheit.
Verfahren nach Anspruch 4, wobei die Datenspeichereinheit (215) eine Datenbasis ist, die für die zweite stationäre Einheit (110) zugänglich ist.
Verfahren nach Anspruch 2, weiter umfassend den Schritt: Verschlüsseln der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405), vor dem Schritt eines Übertragens der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110) unter Verwendung eines Verschlüsselungs-Schlüssels, der von den ersten (105) und zweiten (110) stationären Einheiten geteilt wird.
Verfahren nach Anspruch 1, wobei die existierende Sicherheitsassoziierung (SA) eine ISAKMP-Sicherheitsassoziierung ist.
Verfahren nach Anspruch 1, wobei die existierende Sicherheitsassoziierung (SA) eine IP_SEC-Sicherheitsassoziierung ist.
Verfahren nach Anspruch 1, wobei die erste stationäre Einheit (105) und die zweite stationäre Einheit (110) beide einer gemeinsamen Verwaltungsdomäne zugeordnet sind, derart, dass die erste stationäre Einheit (105) und die zweite stationäre Einheit (110) einer gemeinsamen Sicherheitsstrategie unterworfen sind.
Verfahren nach Anspruch 9, wobei die erste stationäre Einheit (105) und die zweite stationäre Einheit (110) eine gemeinsame IP-Adresse teilen.
Verfahren nach Anspruch 1, wobei die existierende Sicherheitsassoziierung (SA) zuvor verwendet wurde, um sichere Kommunikationen für eine Verbindung zwischen der Mobileinheit (101) und einer dritten stationären Einheit sicherzustellen, und wobei die dritte stationäre Einheit und die zweite stationäre Einheit (110) einer ersten Verwaltungsdomäne zugeordnet sind, die eine gemeinsame Sicherheitsstrategie einsetzt.
Verfahren nach Anspruch 11, weiter umfassend den Schritt: Übertragen eines Satzes von Sicherheitsassoziierungs-Attributen (305, 405), die der existierenden Sicherheitsassoziierung (SA) zugeordnet sind, von der dritten stationären Einheit zu der zweiten stationären Einheit (110).
Verfahren nach Anspruch 11, wobei der Schritt eines Übertragens des Satzes von Sicherheitsassoziierungs-Attributen (305, 405), die der existierenden Sicherheitsassoziierung zugeordnet sind, von der dritten stationären Einheit zu der zweiten stationären Einheit (110) die Schritte umfasst: Übertragen der Sicherheitsassoziierungs-Attribute (305, 405) von der dritten stationären Einheit zu einem Speicherort (215); und Übertragen der Sicherheitsassoziierungs-Attribute (305, 405) von dem Speicherort (215) zu der zweiten stationären Einheit (110).
Verfahren nach Anspruch 13, wobei der Speicherort (215) in einer Datenbank ist, die der ersten Verwaltungsdomäne zugeordnet ist, zu welcher die dritte stationäre Einheit und die zweite stationäre Einheit (110) gehören.
Verfahren nach Anspruch 11, wobei die erste stationäre Einheit (105) einer zweiten Verwaltungsdomäne zugeordnet ist.
Verfahren zur Verwendung in einem Funktelekommunikationsnetz zur Wiederverwendung von Sicherheitsassoziierungen, um einen Handover einer Mobileinheit (101) zwischen stationären Einheiten (105, 110) zu erleichtern, die einer gemeinsamen Verwaltungsdomäne zugeordnet sind, wobei sämtliche der stationären Einheiten (105, 110), die der gemeinsamen Verwaltungsdomäne zugeordnet sind, der gleichen Sicherheitsstrategie unterworfen sind, wobei das Verfahren die Schritte umfasst: Aushandeln einer ersten Sicherheitsassoziierung (SA), die definiert, wie die kommunizierenden Parteien vereinbarte Sicherheitsdienste für eine Verbindung zwischen der Mobileinheit (101) und einer ersten stationären Einheit (105) ausführen werden, die der gemeinsamen Verwaltungsdomäne zugeordnet ist; Trennen der Mobileinheit (101) von der ersten stationären Einheit (105); Verbinden der Mobileinheit (101) mit einer zweiten stationären Einheit (110), die der gemeinsamen Verwaltungsdomäne zugeordnet ist; Übertragen eines ersten Satzes von Sicherheitsassoziierungs-Attributen (205, 405), die der ersten Sicherheitsassoziierung (SA) entsprechen, die definiert, wie die kommunizierenden Parteien vereinbarte Sicherheitsdienste ausführen werden, von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110); und Einsetzen der ersten Sicherheitsassoziierung (SA), um sichere Kommunikationen für die Verbindung zwischen der Mobileinheit (101) und der zweiten stationären Einheit (110) sicherzustellen.
Verfahren nach Anspruch 16, wobei der Schritt eines Aushandelns einer ersten Sicherheitsassoziierung den Schritt umfasst: Einrichten einer ISAKMP-Sicherheitsassoziierung in Übereinstimmung mit einer IKE-Phase-1-Aushandlungsprozedur.
Verfahren nach Anspruch 17, weiter umfassend die Schritte: Aushandeln einer zweiten Sicherheitsassoziierung in Übereinstimmung mit einer IKE-Phase-2-Aushandlungsprozedur für die Verbindung zwischen der Mobileinheit (101) und der ersten stationären Einheit (110); Übertragen eines zweiten Satzes von Sicherheitsassoziierungs-Attributen (305, 405), die der zweiten Sicherheitsassoziierung (SA) entsprechen, von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110); und Einsetzen der zweiten Sicherheitsassoziierung (SA) in Verbindung mit der ersten Sicherheitsassoziierung (SA), um sichere Kommunikationen für die Verbindung zwischen der Mobileinheit (101) und der zweiten stationären Einheit (110) weiter sicherzustellen.
Verfahren nach Anspruch 17, wobei die zweite Sicherheitsassoziierung (SA) eine IP_SEC-Authentifizierungs-Header-Protokoll-Sicherheitsassoziierung ist.
Verfahren nach Anspruch 18, wobei die zweite Sicherheitsassoziierung eine IP_SEC-Verschlüsselungs-Sicherheits-Nutzlastprotokoll-Sicherheitsassoziierung ist.
Vorrichtung zum Erreichen eines Handovers einer Mobileinheit (101) von einer ersten stationären Einheit (105) zu einer zweiten stationären Einheit (110) in einem Funktelekommunikationssystem, wobei die Vorrichtung umfasst: eine Einrichtung zum Trennen der Mobileinheit (101) von der ersten stationären Einheit (105); eine Einrichtung zum Verbinden der Mobileinheit (101) mit der zweiten stationären Einheit (110); und eine Einrichtung zum Wiederverwenden einer existierenden Sicherheitsassoziierung (SA), die definiert, wie die kommunizierenden Parteien vereinbarte Sicherheitsdienste ausführen werden, um die Verbindung zwischen der Mobileinheit (101) und der zweiten stationären Einheit (110) zu unterstützen, wobei die existierende Sicherheitsassoziierung (SA) zuvor verwendet wurde, um die Verbindung zwischen der Mobileinheit (101) und der ersten stationären Einheit (105) zu unterstützen.
Vorrichtung nach Anspruch 20, weiter umfassend: eine Einrichtung zum Übertragen einer Anzahl von Sicherheitsassoziierungs-Attributen (305, 405), die der Sicherheitsassoziierung (SA) zugeordnet sind, von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110).
Vorrichtung nach Anspruch 22, wobei die Sicherheitsassoziierungs-Attribute (305, 405) von der ersten stationären Einheit (105) direkt zu der zweiten stationären Einheit (110) übertragen werden.
Vorrichtung nach Anspruch 22, wobei die Einrichtung zum Übertragen der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405), die der Sicherheitsassoziierung (SA) zugeordnet sind, von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110) umfasst: eine Einrichtung zum Übertragen der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) von der ersten stationären Einheit (105) zu einer Datenspeichereinheit (215); und eine Einrichtung zum Übertragen der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) von der Datenspeichereinheit (215) zu der zweiten stationären Einheit (110).
Vorrichtung nach Anspruch 24, wobei die Datenspeichereinheit (215) eine Datenbank ist, die für die zweite stationäre Einheit (110) zugänglich ist.
Vorrichtung nach Anspruch 22, weiter umfassend: eine Einrichtung zum Verschlüsseln der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) vor einem Übertragen der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) von der ersten stationären Einheit (105) zu der zweiten stationären Einheit (110), wobei die Einrichtung zum Verschlüsseln der Anzahl von Sicherheitsassoziierungs-Attributen (305, 405) einen Verschlüsselungs-Schlüssel einsetzt, der von den ersten (105) und zweiten (110) stationären Einheiten geteilt wird.
Vorrichtung nach Anspruch 21, wobei die existierende Sicherheitsassoziierung (SA) eine ISAKMP-Sicherheitsassoziierung ist.
Vorrichtung nach Anspruch 21, wobei die existierende Sicherheitsassoziierung (SA) eine IP_SEC-Sicherheitsassoziierung ist.
Vorrichtung nach Anspruch 21, wobei die erste stationäre Einheit (105) und die zweite stationäre Einheit (110) beide einer gemeinsamen Verwaltungsdomäne zugeordnet sind, derart, dass die erste stationäre Einheit (105) und die zweite stationäre Einheit (110) einer gemeinsamen Sicherheitsstrategie unterworfen sind.
Vorrichtung nach Anspruch 29, wobei die erste stationäre Einheit (105) und die zweite stationäre Einheit (110) eine gemeinsame IP-Adresse teilen.
Vorrichtung nach Anspruch 21, umfassend: eine Einrichtung zum Trennen der Mobileinheit (101) von der ersten stationären Einheit (105); eine Einrichtung zum Verbinden der Mobileinheit (101) mit der zweiten Mobileinheit (110); wobei die existierende Sicherheitsassoziierung (SA) zuvor verwendet wurde, um Kommunikationen für eine Verbindung zwischen der Mobileinheit (101) und einer dritten stationären Einheit sicherzustellen, und wobei die dritte stationäre Einheit und die zweite stationäre Einheit (110) einer ersten Verwaltungsdomäne zugeordnet sind, die eine gemeinsame Sicherheitsstrategie einsetzt.
Vorrichtung nach Anspruch 31, weiter umfassend: eine Einrichtung zum Übertragen eines Satzes von Sicherheitsassoziierungs-Attributen (305, 405), die der existierenden Sicherheitsassoziierung (SA) zugeordnet sind, von der dritten stationären Einheit zu der zweiten stationären Einheit (110).
Vorrichtung nach Anspruch 31, wobei die Einrichtung zum Übertragen des Satzes von Sicherheitsassoziierungs-Attributen (305, 405), die der existierenden Sicherheitsassoziierung (SA) zugeordnet sind, von der dritten stationären Einheit zu der zweiten stationären Einheit (110) umfasst: eine Einrichtung zum Übertragen der Sicherheitsassoziierungs-Attribute (105, 405), von der dritten stationären Einheit zu einem Speicherort (215); und eine Einrichtung zum Übertragen der Sicherheitsassoziierungs-Attribute (305, 405) von dem Speicherort (215) zu der zweiten stationären Einheit (110).
Vorrichtung nach Anspruch 33, wobei der Speicherort (215) eine Datenbank ist, die der ersten Verwaltungsdomäne zugeordnet ist, zu welcher die dritte stationäre Einheit und die zweite stationäre Einheit (110) gehören.
Vorrichtung nach Anspruch 31, wobei die erste stationäre Einheit (105) einer zweiten Verwaltungsdomäne zugeordnet ist.