KR101093902B1

KR101093902B1 - 사용자가 ｉｐ 망에 접속시 로컬 관리 도메인에서 사용자를 위한 접속 인증을 관리하는 방법 및 시스템

Info

Publication number: KR101093902B1
Application number: KR1020067018370A
Authority: KR
Inventors: 셀린 카피; 리오낼 모랜드
Original assignee: 프랑스 뗄레꽁
Priority date: 2004-02-09
Filing date: 2005-02-01
Publication date: 2011-12-13
Also published as: EP1733533A1; JP4728258B2; KR20070019704A; EP1733533B1; CN100563248C; US20070186273A1; EP1562343A1; JP2007522556A; WO2005086454A1; CN1918885A; US7665129B2

Abstract

접속망(1, 2)에 의해 IP 전송망(5)에 접속하기 위한 시도 동안에 사용자의 인증을 관리하기 위하여, 사용자 단말기들(11, 12, 13)은 접속 공급자(6, 7, 8)에 대한 사용자를 인증하는 데이터를 포함하는 접속 요구를 상기 접속 공급자에게 보내고, 이후 상기 요구는 상기 접속 공급자의 원격 인증 서버(15)에 어드레스되는 것을 고려하여 상기 접속망(1, 2)의 접속 서버(9)로 전송된다. 접속 요구의 수신시, 상기 접속 서버(9)는 RADIUS 요구를 상기 접속망(1, 2)의 프록시 서버(10)로 전송하여 상기 사용자가 국부적으로 인증되어야만 하는지를 판단하고, 인증되어야 한다면, 상기 프록시 서버는 상기 사용자의 단말기에게 어드레스될 인증 데이터를 위한 요구를 상기 접속 서버(9)로 전송하고, 상기 사용자에 의해 제공된 인증 데이터를 근거로 사용자를 인증하는 국부적 절차를 수행한다.

사용자 인증, 접속망, 프록시 서버, RADIUS 요구

Description

사용자가 ＩＰ 망에 접속시 로컬 관리 도메인에서 사용자를 위한 접속 인증을 관리하는 방법 및 시스템{METHOD AND SYSTEM FOR CONTROLLING THE ACCESS AUTHORISATION FOR A USER IN A LOCAL ADMINISTRATIVE DOMAIN WHEN SAID USER CONNECTS TO AN IP NETWORK}

본 발명은, 인터넷 또는 전화용 IP(인터넷 프로토콜)로의 연결과 같은, IP 전송에 근거한 서비스들의 규약에 관한 것이다.

특히 본 발명은 RADIUS (Remote Authentication Dial In User Service) 프로토콜에 근거한 아키텍쳐들(architectures)에 적용되고, 이들 아키텍쳐들은, 제공된 관리 도메인에 대하여 상기 사용자들에게 과금하기 위하여 필요한 계정 및 사용자들의 접속 권리를 관리하는 IP 망들에서 널리 사용된다. 이와 관련하여, 관리 도메인은 단일망 관리자에 의해 관리되는 망 장치 모두를 모은다. 또한 이들 아키텍쳐들은 로밍(roaming) 상황들에서, 즉 망들이 의존하는 것과는 다른 관리 도메인에 속하는 망에 의해 연결되는 상황들에서, 사용자를 위하여 망들에 접속하는 것을 관리하기 위하여 사용되고, 인증 관리는 관리 도메인들 사이에서 실행된다.

ADSL(Asymmetric Digital Subscriber Line), WLAN(Wireless Local Area Network), 그리고 WAP(Wireless Application Protocol)와 같은 기술들에 의해 IP 서비스들로의 접속을 가능하게 하는 아키텍쳐들과 관련하여, 적어도 두 개의 관리 도메인들이 접속 인증의 관리에 참여한다. 그들은 로컬 관리 도메인, 즉 사용자가 연결하는 로컬 관리 도메인 및 원격 관리 도메인, 즉 사용자가 접속하기를 원하는 IP 망 또는 서비스들에 대한 접속의 공급자의 원격 관리 도메인이다. 이들 아키텍쳐들에서, 로컬 관리 도메인은 사용자와 서비스 공급자의 관리 도메인 사이에서 필수적으로 중개자의 역할을 한다.

클라이언트/서버 모델 뒤에서 필수적으로 설계되는 RADIUS 프로토콜은 사용자의 IP 망의 접속 권리를 관리하는 것을 가능하게 한다. 위에서 언급된 아키텍쳐들에서, 사용자는 먼저 로컬 망 접속 서버에 연결하는데, 이 서버는 접속 요구시 제공되는 정보를 수집하고 접속 요구 메시지(Access-Request)에서 상기 정보를 상기 접속 망의 인증 서버로 전송하는 일을 하는 RADIUS 클라이언트를 가지며, 상기 인증 서버는 RADIUS 서버를 가진다. 인증 서버는 가지고 있는 정보에 따라서 사용자들을 인증함으로써 접속 요구들의 처리를 확실하게 하고, 응답으로 접속 허용 메시지(Access-Accept)의 형태로 된 접속 인증 또는 거부에 대한 이유를 포함하는 접속 거부 메시지(Access-Reject)의 형태로 된 접속 거부 중 하나를 제공한다. 접속 인증 메시지는 접속 서버를 위하여 필요한 모든 정보를 포함하여 최종 서비스를 사용자에게 제공하고, 특히 접속 구조에 대한 정보를 제공한다.

위에서 언급된 메시지 외에도, RADIUS 프로토콜은 또한 상기 인증 서버가 접속 서버로 예측할 수 없는 챌린지 값을 보내는 것을 가능하게 하는 접속 챌린지 메시지(Access-Challenge)를 제공한다. 상기와 같은 메시지의 수신시, 상기 접속 서버는 사전 정의된 알고리즘을 챌린지 값에 적용함으로써 얻어지는 응답 값을 제공하도록 사용자에게 요청한다. 이 응답의 수신시, 상기 접속 서버는 상기 응답 값을 포함하는 새로운 접속 요구 메시지를 인증 서버에 제공한다. 이 새로운 접속 요구 메시지는, 사용자에 의해 제공되는 응답 값에 따라서, 접속 허가 또는 거부 메시지를 보냄으로써 응답하는 인증 서버에 의해 처리된다. 상기 인증 서버는 또한 접속 챌린지 메시지에 응답할 수 있다.

접속 서버에 의해 호출된 접속망의 인증 서버가 사용자에 의해 전송되는 접속 요구를 처리하기 위하여 필요한 정보를 갖지 않으면, 상기 인증 서버는 접속 서버와 또 다른 인증 서버 사이에서 메시지를 단지 재전송하는 RADIUS 프록시 서버로서 작용함으로써, 적절한 인증 서버에게 어드레스(address)할 수 있다. 이로써, 상기 인증 서버는 다수의 인증 서버들까지 통하는 RADIUS 메시지를 라우팅하는 역할을 수행할 수 있다. 또한 이 메시지들을 필터링하고 그의 본질을 변경함 없이 그의 내용들을 변경(속성들을 부가, 삭제 또는 변경)하는 기능을 수행할 수 있다.

그러므로, RADIUS 프로토콜에서 규정된 RADIUS 프록시 서버의 역할은 매우 제한된다. 그러나, 상기와 같은 서버는 시그널링에 대하여 엄격한 조사(tightened inspection)를 수행하고 로컬 인증을 가능성 있게 활성화할 필요가 있을 수도 있다. 특히, 상기와 같은 프록시 서버는 접속 요구 메시지의 수신시, 원격 인증 서버와 독립적으로 RADIUS 클라이언트 및 챌린지/응답 교환을 시작할 수 없다.

그럼에도 불구하고, 수많은 응용들에서, 원격적으로뿐만 아니라 국부적으로 사용자를 인증할 수 있는 것, 특히 인터넷과 같은 공중망으로의 접속 외에도 국부적인 레벨에서 사용자들에게 부가적인 서비스들을 제공할 수 있다는 것은 바람직하다.

본 발명은 이러한 단점들을 극복하기 위한 것이다. 이 목적은 접속 망을 이용하여 IP 전송망에 접속하기 위한 시도 동안에 사용자의 인증을 관리하는 방법을 제공함으로써 달성되는데, 상기 방법은,

- 사용자 단말기는, IP 서비스 또는 접속 공급자에게, 상기 IP 서비스 또는 접속 공급자를 갖는 사용자 인증을 위한 데이터를 포함하는 접속 요구를 전송하고, 상기 접속 요구는, 상기 IP 서비스 또는 접속 공급자의 원격 인증 서버로 전송되도록, 상기 접속망 및 상기 IP 전송망의 접속 서버에 의해 전송되는 단계;

- 상기 접속 요구가 수신될 때, 상기 접속 서버는 RADIUS 프로토콜에 따른 RADIUS 요구를 상기 접속망의 프록시 서버로 전송하는 단계;

- 상기 RADIUS 요구가 수신될 때, 상기 프록시 서버는 접속 인증을 위한 요구를 상기 원격 인증 서버로 전송하는 단계;
- 상기 원격 인증 서버는 상기 접속 요구에 포함된 인증 데이터에 근거하여 사용자 인증 절차를 수행하고, 응답으로 상기 사용자 인증 절차의 결과를 포함하는 응답 메시지를 상기 프록시 서버로 전송하는 단계를 포함한다.

본 발명에 따르면, 이 방법은 또한,

- 상기 프록시 서버는, 상기 접속 서버로부터 수신되고 사용자 단말기에 의해 전송된 접속 요구에 해당하는 각 RADIUS 요구에 대하여, 상기 접속 요구를 전송하는 상기 사용자의 로컬 인증이 상기 로컬망 레벨에서 수행되어야 하는지를 판단하는 단계;

- 상기 사용자의 로컬 인증이 수행되어야 한다면, 상기 프록시 서버는, 상기 접속 서버에게, 상기 사용자 단말기로 재전송되는 인증 데이터에 대한 요구를 전송하고, 상기 접속 서버에 의해 사용자 단말기로부터 응답 메시지를 수신하고, 그리고, 상기 응답 메시지에 포함된 상기 인증 데이터에 근거하여 상기 사용자의 로컬 인증을 위한 절차를 실행하는 단계를 포함한다.

본 발명의 바람직한 실시예에 따르면, 로컬 사용자 인증이 수행되어야 한다면, 상기 프록시 서버에 의해 상기 사용자 단말기로 전송되는 인증 데이터 요구는 난수를 포함하는 챌린지 메시지이다.

유리하게는, 상기 챌린지 메시지는 상기 사용자 단말기가 로컬 사용자 인증에 관한 것인지를 판단하게 할 수 있는 지시를 포함한다.

본 발명의 바람직한 실시예에 따르면, 상기 원격 인증 서버에 의한 상기 사용자의 원격 인증은,

- 상기 원격 인증 서버가, 상기 사용자에게, 난수를 포함하는 챌린지 메시지를 전송하는 단계;

- 상기 프록시 서버가 상기 원격 인증 서버에 의해 전송되는 챌린지 메시지를 상기 사용자에게 재전송하고, 응답 메시지로, 상기 원격 인증 서버를 이용하여 사용자 인증을 위한 데이터를 수신하는 단계;

- 상기 프록시 서버가 상기 사용자 단말기에 의해 전송되는 응답 메시지를 상기 원격 인증 서버로 재전송하는 단계;

- 상기 프록시 서버가 상기 원격 인증 서버로부터 상기 사용자 인증의 결과를 포함하는 메시지를 수신하는 단계를 포함한다.

본 발명의 바람직한 실시예에 따르면, 상기 프록시 서버는 상기 사용자의 상기 로컬 및 원격 인증들의 결과를 근거로 상기 사용자에게 어느 접속 권리들이 할당되는지를 판단한다.

본 발명은 또한, IP 전송망을 이용하여 IP 서비스 또는 접속 공급자에게 접속하기 위한 사용자 단말기에 의한 시도 동안, 사용자의 인증을 관리하는 시스템에 관한 것으로서, 상기 시스템은,

- 상기 사용자 단말기들이 연결되는 접속망들;

- 상기 접속망들과 상기 IP 전송망 사이에서 연결을 각각 확실하게 하는 IP 게이트웨이들;

- 상기 사용자 단말기들의 요구시에, RADIUS 프로토콜에 따른 RADIUS 접속 요구들을 전송하도록 설계된, 각 접속망을 위한 적어도 하나의 접속 서버;

- 상기 인증 서버에 의해 수신된 접속 요구들에 포함된 인증 데이터를 근거로 상기 사용자들을 인증하도록 설계된, 상기 IP 서비스 또는 접속 공급자들의 각각을 위한 적어도 하나의 원격 인증 서버; 및

- 상기 IP 전송망에 연결되고, 사용자의 요구시 상기 접속 서버들 중 하나에 의해 전송되는 각 RADIUS 접속 요구를, 상기 접속 요구로 지시되는 IP 서비스 또는 접속 공급자의 원격 인증 서버로 재전송하고, 상기 원격 인증 서버들에 의해 제공되는 인증 응답들을 상기 접속 서버들로 재전송하도록 설계된 프록시 서버를 포함한다.

본 발명에 따르면, 상기 프록시 서버는,

- 사용자의 요구시 접속 서버로부터 수신된 각 RADIUS 접속 요구에 대하여, 상기 접속 요구를 전송하는 상기 사용자의 로컬 인증이 로컬망 레벨에서 수행되어야 하는지를 판단하는 수단;

- 접속 서버에 의해서, 인증 데이터를 요구하는 메시지를 국부적으로 인증되어야 하는 사용자 단말기로 전송하고, 응답으로, 요구된 인증 데이터를 포함하는 응답 메시지를 상기 사용자 단말기로부터 수신하는 수단; 및

- 상기 응답 메시지에 포함된 인증 정보를 근거로 로컬 사용자 인증 절차를 실행하는 수단을 포함한다.

본 발명의 바람직한 실시예에 따르면, 상기 프록시 서버는 또한 상기 로컬 사용자 인증 결과 및 상기 인증 서버에 의해 제공되는 사용자의 인증 응답에 근거하여, 전체 인증 결과를 판단하고, 상기 전체 인증 결과를 상기 접속 서버에게 재전송하는 수단을 포함한다.

본 발명의 바람직한 실시예에 따르면, 각 접속 서버는 RADIUS 클라이언트를 포함하고, 상기 프록시 서버는 상기 RADIUS 프로토콜에 따른 메시지들을 상호교환하기 위하여, 클라이언트 및 RADIUS 서버를 포함한다.

본 발명의 바람직한 실시예에 따르면, 상기 사용자를 국부적으로 인증하기 위하여 상기 프록시 서버에 의해 전송되는 인증 데이터 요구 메시지는 챌린지 메시지이고, 상기 프록시 서버는 상기 챌린지 메시지로 삽입되는 난수를 발생시키는 수단, 그리고 상기 사용자 단말기로부터 수신되는 챌린지 메시지에 대한 응답을 증명하는 수단을 포함한다.

본 발명의 바람직한 실시예에 따르면, 상기 프록시 서버는 상기 사용자의 상기 로컬 및 원격 인증들의 결과를 근거로 상기 사용자에게 어느 접속 권리들이 할당되는지를 판단하는 수단을 포함한다.

본 발명은 또한 IP 게이트웨이에 의해 접속망에 연결된 IP 전송망을 이용하여 IP 서비스 또는 접속 공급자에게 접속하기 위한 접속 망에 연결되는 사용자 단말기를 인증하는 프록시 서버에 관한 것으로서, 상기 프록시 서버는 IP 전송망에 연결되고,

- 사용자 단말기의 요구시 접속 서버에 의해 전송되는, RADIUS 프로토콜에 따른 각 RADIUS 접속 요구를, 상기 접속 요구로 지시되는 IP 서비스 또는 접속 공급자의 원격 인증 서버로 재전송하는 수단, 그리고

- 상기 원격 인증 서버에 의해 제공되는 인증 응답을 상기 접속 서버에게 재전송하는 수단을 포함한다.

본 발명에 따르면, 상기 프록시 서버는:

-사용자의 요구시 접속 서버로부터 수신된 각 RADIUS 접속 요구에 대하여, 상기 접속 요구를 전송하는 사용자의 로컬 인증이 로컬망 레벨에서 수행되어야 하는지를 판단하는 수단,

- 접속 서버에 의해서, 인증 데이터를 요구하는 메시지를 국부적으로 인증되어야 하는 사용자 단말기로 전송하고, 응답으로, 요구된 인증 데이터를 포함하는 응답 메시지를 상기 사용자 단말기로부터 수신하는 수단, 그리고

- 상기 응답 메시지에 포함된 인증 정보를 근거로 로컬 사용자 인증 절차를 실행하는 수단도 포함한다.

본 발명은 또한 IP 게이트웨이에 의해 접속망에 연결된 IP 전송망을 이용하여 IP 서비스 또는 접속 공급자에게 접속하기 위한 접속망에 연결되는 사용자 단말기를 인증하도록 설계된 프록시 서버에 의해 실행되도록 된 컴퓨터 프로그램에 관한 것으로서, 상기 프록시 서버는 IP 전송망에 연결되고, 상기 프로그램은:

- 사용자 단말기의 요구시 접속 서버에 의해 전송되는, RADIUS 프로토콜에 따른 각 RADIUS 접속 요구를 상기 접속 요구로 지시되는 IP 서비스 또는 접속 공급자의 원격 인증 서버로 재전송하는 지시, 그리고

- 상기 원격 인증 서버에 의해 제공되는 인증 응답을 상기 접속 서버에게 재전송하는 지시를 포함한다.

본 발명에 따르면, 상기 프로그램은:

-사용자의 요구시 접속 서버로부터 수신된 각 RADIUS 접속 요구에 대하여, 상기 접속 요구를 전송하는 사용자의 로컬 인증이 로컬망 레벨에서 수행되어야 하는지를 판단하는 지시,

- 접속 서버에 의해서, 인증 데이터를 요구하는 메시지를 국부적으로 인증되어야 하는 사용자 단말기로 전송하고, 응답으로, 요구된 인증 데이터를 포함하는 응답 메시지를 상기 사용자 단말기로부터 수신하는 지시, 그리고

- 상기 응답 메시지에 포함되는 인증 정보를 근거로 로컬 사용자 인증 절차를 실행하는 지시를 포함한다.

본 발명의 바람직한 실시예가 첨부된 도면을 참조하여 비제한적인 예에 의하여 아래에서 설명될 것이다.

도 1은 본 발명에 따라서 IP 전송에 근거하여 서비스를 제공하는 시스템의 아키텍쳐를 도식적으로 보여준다.

도 2a와 도 2b는, 본 발명의 방법에 따라서, 도 1에 도시된 시스템에서 수행되는 단계들의 순서의 도해를 보여준다.

도 1에 도시된 시스템은 사용자 단말기들(11, 12, 13)이 연결되는 접속망들(1, 2)을 포함한다. 이들 접속 망들(1, 2)은 접속망에 적합하게 된 각각의 IP 게이트웨이들(3, 4)에 의해 IP 전송망(5)으로의 접속을 단말기들에게 제공한다. IP 전송망(5)은 사용자들이 인터넷 접속 공급자(6, 7) 또는 IP 서비스 공급자(8)에게 접속하는 것을 가능하게 한다.

본 발명에 따르면, 이 시스템은 IP 망에 접속하기를 원하는 사용자들이 연결해야 하는 로컬 망들(1, 2)에 각각 연결되는 접속 서버들(9)과, 상기 IP 전송망(5)에 연결되고 각 접속 서버(9)가 상기 단말기들(11, 12, 13)에 의해 전송된 접속 요구들을 전송하는 인증 프록시 서버(10)도 포함한다.

각 접속 서버(9)는 해당 로컬 망(1, 2)상의 사용자들에 의해 전송되는, 서비스 공급자 또는 접속 공급자(6, 7, 8)으로의 접속을 위한 모든 요구들을 수신하고 이들 요구들을 게이트웨이(3, 4)에 의해 IP 전송망을 통하여 서비스 공급자 또는 접속 공급자(6, 7, 8)로 라우팅하도록 설계되고, 이때 상기 서비스 공급자 또는 접속 공급자(6, 7, 8)는 사용자 단말기에 의한 요구로 지시되고, 여기에서 각 서비스 또는 접속 공급자는 인증 서버(15)를 가진다.

사용자 단말기들(11, 12, 13)이 로컬망에 접속하려고 시도할 때, 인터넷 내비게이션 소프트웨어는, 예를 들어, 접속 서버(9)처럼 동작하는 웹 서버로 자동적으로 방향을 전환하는데, 상기 접속 서버(9)는 도 2a 및 도 2b에 도시된 접속 인증 절차를 실행한다.

이 절차는 RADIUS 프로토콜과 일치한다. 이로써, RADIUS 메시지들을 수신할 수 있도록 하고 그리고 이들 메시지들에 응답하도록, 접속 서버(9)는 RADIUS 클라이언트를 통합한다. 프록시 서버(10)는 또한 RADIUS 표준에서 설명된 것처럼 프록시의 모든 기능들을 가진다.

인증 절차의 다음의 설명을 통하여, 사용된 RADIUS 요구 또는 메시지 식별자들은 예를 통하여 제공받는다. RADIUS 표준에서, "타입(type)"이란 용어는 메시지의 타입을 말한다.

제1 단계(21)에서, 상기 접속 서버(9)는 로컬 관리 도메인에 위치된 인증 프록시 서버(10)로 RADIUS 접속 요구(41)를 전송하고, 이때 상기 RADIUS 접속 요구(41)는 128인 식별자를 포함한다. 단계(22)에서 상기와 같은 메시지를 수신할 시, 상기 프록시 서버(10)는 이 메시지의 내용들을 저장하고 분석하여 사용자가 국부적으로 인증되어야 하는지를 판단한다(단계 23).

이로써, 예를 들어, 접속 요구가 특정 로컬망으로부터 오면, 혹은 그 요구에 포함된 사용자 식별 정보를 토대로, 로컬 인증이 시작될 수 있다.

사용자가 국부적으로 식별되어야만 한다면, 프록시 서버(10)는 단계(24)에서 상기 접속 서버(9)로 RADIUS 접속 챌린지 메시지(44)를 전송하고, 이때 상기 RADIUS 접속 챌린지 메시지(44)는 RADIUS 접속-챌린지(Access-Challenge) 타입의 128인 식별자를 포함한다. 이 메시지는 또한 예측불가능한 값, 예를 들어, 프록시 서버(10)에 의해, 또는 인증 센터일 수 있는 별도의 장치에 의해 임의적으로 발생되는 값, 그리고 메시지의 소스를 특정하는 속성, 즉 로컬 관리 도메인을 포함한다. 이를 위해서, RADIUS 프로토콜에 의해 규정된 "Vendor-Specific" 속성들, 또는 "State" 또는 "Reply-Message" 속성들을 사용하는 것이 가능하다.

다음 단계(25)에서, 접속 서버(9)는 챌린지 메시지(44)를 수신하여, 상기 메시지의 소스를 특정하는 속성을 이용하여 상기 메시지의 전송자를 식별하고, 이로써 사용자에게 로컬 인증 요구에 대한 응답을 제공해줄 것을 요청한다. 이 응답은 사용자에게 특정된 비밀 키이를 포함하는 사전 정의된 암호화 알고리즘을 상기 챌린지 메시지에 포함된 임의의 값(random value)에 적용함으로써 얻어진 응답 값을 포함할 수 있고, 여기서 상기 프록시 서버는 상기 응답 값이 상기 임의의 값 및 상기 사용자의 비밀 키이에 해당하는지를 판단하는 수단을 가진다.

다음 단계(26)에서, 상기 접속 서버는 프록시 서버(10)로 새로운 접속 요구(46)를 전송하고, 이때 상기 새로운 접속 요구(46)는 45인 식별자를 포함하는 RADIUS 접속 요구(Access Request) 타입의 로컬 인증 요구에 대한 응답을 포함한다.

다음 단계(27)에서, 상기 프록시 서버(10)는 상기 접속 서버로부터 사용자에 의해 제공되는 로컬 인증에 대한 응답을 수신하여, 그 응답을 증명하고 저장한다. 다음 단계(28)에서, 상기 응답이 타당하지 않으면(로컬 인증 실패), 상기 프록시 서버는 단계(24)로 시작하는 절차를 반복함으로써, 또 다른 인증 시도를 수행할 수 있다. 로컬 사용자 인증이 사전에 정의된 시도 횟수 후에도 성공하지 않으면, 상기 프록시 서버(10)는 로컬 인증 정책에 따라서 사용자에게 접속 서버(9)를 이용하여 RADIUS 접속 거부 메시지를 보내거나, 또는 상기 사용자가 접속을 원하는 서비스 또는 접속 공급자에 의해 실행되는 원격 인증 서버(15)에 의해 사용자가 인증될 수 있도록 단계(30)로 그 절차를 계속한다.

만약, 단계 23에서, 사용자가 국부적으로 인증받을 필요가 없으면, 그 절차는 또한 단계(30)에서 계속된다. 이 단계에서, 프록시 서버(10)는, 사용자가 인증받기를 원하는 원격 인증 서버(15)로 접속 요구(50)를 전송하는데, 이때 이 접속 요구는, 상기 서버(15)가 RADIUS 서버일 경우, 31인 식별자를 포함하는 RADIUS 접속 요구(Access-Request) 타입을 가진다.

다음 단계(31)에서, 상기 원격 인증 서버(15)는 이 메시지를 수신하고 분석하여 사용자가 요구하는 서비스에 대한 접속의 권리를 판단한다.

다음 단계(32)에서, 상기 인증 서버는 응답 메시지(52)를 전송하고, 이때 상기 응답 메시지(52)는 수신된 메시지(50)에 포함된 인증 정보에 따라서 허가, 거부 또는 챌린지 메시지일 수 있다. 이로써, RADIUS 프로토콜에 따라서, 상기 메시지(52)는 접속 허가(Access-Accept), 접속 거부(Access-Reject) 또는 접속-챌린지 타입일 수 있고, 수신된 메시지(50)의 식별자에 해당하는 31인 식별자를 포함한다.

상기 절차의 다음 단계들은 두 가지 조건들(단계 33)에 의존하고, 즉 사용자의 로컬 인증이 앞서 요구되었는지 여부와, 상기 로컬 인증이 요구되었다면, 상기 로컬 인증이 성공했는지 또는 실패했는지 여부에 의존한다.

인증이 앞서 요구되지 않았다면, 상기 메시지(52)를 수신한 프록시 서버(10)는 단계(34)에서 이 메시지를 처리하여 메시지(54)를 상기 접속 서버(9)로 전송한다. 이 메시지(54)는 단계(21)에서 상기 접속 서버에 의해 전송된 메시지(41)에 대한 응답에 해당한다. 이들 메시지들은, 예를 들어, 식별자 128(도 2b에서 a의 경우)을 포함한다. 그러므로, 상기 원격 인증 서버(15)에 의해 전송된 메시지(52)가 허가 메시지(RADIUS Access-Accept)이면, 프록시 서버(10)는 상기 접속 서버(9)로 허가 메시지(RADIUS Access-Accept)를 전송한다. 상기 원격 인증 서버(15)에 의해 전송된 메시지(52)가 거부 메시지(RADIUS Access-Reject)이면, 프록시 서버(10)는 상기 프록시 서버의 로컬 정책에 따라서 거부 메시지(RADIUS Access-Reject) 또는 허가 메시지를 상기 접속 서버(9)로 전송한다. 상기 원격 인증 서버(15)에 의한 사용자 인증이 실패했거나, 후자가 더 많은 인증 정보를 필요로 하거나 동적 인증 메커니즘을 적용하기를 원하면, 상기 메시지(52)는 챌린지 메시지일 수 있다. 이 경우, 상기 접속 서버로 전송된 상기 메시지(54)는 챌린지 메시지(RADIUS Access-Challenge)이다.

단계(35)에서 메시지(54)의 수신시, 접속 서버는 메시지의 내용들을 분석하고, 상기 메시지가 허가 또는 거부 메시지라면, 인증 절차가 끝나고 상기 접속 서버는 로컬망(1, 2)로의 사용자의 접속 및 프록시 서버의 응답에 따르는 IP 망(5)으로의 사용자의 접속을 구성한다. 상기 메시지(54)가 챌린지 메시지라면, 상기 접속 서버는 단계(36)에서 사용자에게 원격 관리 도메인의 인증 요구에 대한 응답을 제공할 것을 요청한다. 다음 단계(37)에서, 상기 접속 서버는 사용자의 응답을 포함하는 접속 요구(57)를 구성하고 그 구성된 접속 요구를 상기 프록시 서버(10)로 전송한다. 이 접속 요구는 10의 식별자를 가진 RADIUS 접속 요구(Access-Request) 메시지이다(도 2b에서 b의 경우).

다음 단계(38)에서, 상기 프록시 서버는 메시지(57)를 수신하여 그 수신된 메시지를 요구 메시지(58)로, 즉, 24인 식별자를 가진 접속 요구(Access-Request) 타입의 RADIUS 메시지의 형태(도 2b에서 c의 경우)로 원격 인증 서버(15)에 재전송한다. 다음 단계(39)에서, 상기 서버(15)는 메시지(58)의 내용들을 수신하여 분석하고, 다음 단계(40)에서, 응답 메시지(60)를 전송하고, 이때 상기 응답 메시지(60)의 내용은 상기 서버(15)에 의해 수행된 인증의 성공에 의존한다. 이 메시지는 식별자 24(도 2b에서 d의 경우)를 보유한다. 이로써, 상기 메시지(60)는 허가 메시지(RADIUS Access-Accept), 거부 메시지(RADIUS Access-Reject), 또는 새로운 챌린지 메시지(RADIUS Access-Challenge)일 수 있다.

이후 상기 인증 절차는 단계(34)부터 시작하여 반복되는데, 여기에서 상기 프록시 서버(10)는 메시지(54)의 형태로 상기 접속 서버에 수신된 메시지(60)를 처리하여 재전송한다. 상기 수신된 메시지(60)의 식별자인 24는 상기 접속 서버에 의해 전송된 메시지(57)에 대응하도록 10으로 대체된다.

상기 접속 서버(9)로 전송된 상기 메시지(54)가 허가 또는 거부 메시지이고 상기 원격 인증 서버(15)에 의해 수행된 인증의 결과를 포함하면(로컬 인증이 아님), 상기 인증 절차는 단계(35)로 끝난다. 이와 달리, 상기 메시지(54)가 새로운 챌린지 메시지이면, 상기 절차는 단계(36)에서 계속된다.

단계(33)에서, 상기 로컬 인증이 요구되고 성공한 경우, 단계(34) 내지 단계(40)를 포함하는 절차도 수행되지만, 서로 다른 인증 번호들을 포함하는 메시지들을 갖고서 수행된다(도 2b에서 a1 내지 e1의 경우). 이로써, 식별자 31을 포함하는 메시지(52)는 단계(34)에서 상기 프록시 서버에 의해 식별자 45 및 로컬 식별의 결과를 포함하는 메시지(54)로 변환된다. 단계(37)에서, 메시지(57)의 식별자 45는 20이 된다. 다음 단계(38)에서, 메시지(58)의 식별자 20은 48이 된다. 단계(40)에서, 식별자 48은 변하지 않고 남아 있는다. 다음 단계(34)에서, 메시지의 식별자 48은 20이 된다.

상기 접속 서버(9)로 전송된 상기 메시지(54)가 로컬(성공) 및 원격 인증들의 결과를 특정하는 속성을 포함하는 허가 또는 거부 메시지로 되어 있으면, 상기 인증 절차는 단계(35)로 끝난다. 이와 달리, 상기 메시지(54)가 새로운 챌린지 메시지이면, 상기 절차는 단계(36)에서 계속된다.

인증 절차의 마지막에서, 원격 인증이 성공적이었다면, 메시지(54)는 허가 메시지이고, 실패하였다면, 이 메시지는 로컬 관리 정책에 따른 허가 또는 거부 메시지일 수 있다.

단계(33)에서, 로컬 인증이 요구되고 실패한 경우, 단계들(34 내지 40)로 구성되는 절차는 서로 다른 인식 번호들을 포함하는 메시지들(도 2b에서 a2 내지 e2의 경우들에 해당하는 메시지들)을 갖고서 수행된다. 이로써, 식별자 31을 포함하는 메시지(52)는 단계(34)에서 프록시 서버에 의해 식별자 45 및 로컬 인증의 결과를 포함하는 메시지(54)로 변환된다. 단계(37)에서, 메시지(57)의 식별자 45는 30이 된다. 다음 단계(38)에서, 메시지(58)의 식별자 30은 96이 된다. 단계(40)에서, 식별자 96은 변하지 않고 남아 있다. 다음 단계(34)에서, 상기 메시지의 식별자 96은 30이 된다.

상기 접속 서버(9)로 전송된 상기 메시지(54)가 로컬(실패) 및 원격 인증들의 결과를 특정하는 속성을 포함하는 허가 또는 거부 타입으로 되어 있으면, 상기 인증 절차는 단계(35)로 끝난다. 이와 달리, 상기 메시지(54)가 새로운 챌린지 메시지이면, 상기 절차는 단계(36)에서 계속된다.

인증 절차의 마지막에서, 상기 접속 서버(9)로 전송된 메시지(54)는 로컬 관리 정책에 따라서 허가 형태(로컬 및 원격 인증이 실패하였더라도) 또는 거부 형태로 될 수 있다.

인증 절차의 결과에 따라서, 이후 상기 접속 서버(9)는 사용자의 접속을 적절하게 구성하고 사용자에게 허가되는 연결의 타입을 알릴 수 있다.

이들 규약들 때문에, 로컬 및 원격 사용자 인증 절차들은 완전히 독립적이다. 그러므로, 각 관리 도메인이 인증 절차를 부과하거나 부과하지 않는 것은 완전히 자율적이다.

본 발명의 실시예에서, 프로토콜에서 규정된 RADIUS 메시지의 두 가지 "Vendor Specific" 속성들이 사용된다. 이들 두 가지 속성들 중 "Local- Challenge"로 불리는 첫번 째는 프록시 서버(10)에 의해 접속 서버(9)로 전송된 챌린지 메시지에 포함된다. 이 속성은 메시지의 소스인지 아닌지를 접속 서버에게 나타내기 위하여 사용된다. 이 속성의 존재 여부에 따라서, 상기 접속 서버는 사용자에게 챌린지 메시지에 대한 적절한 응답을 얻기 위하여 로컬 또는 원격 인증이 필요한지를 특정한다.

"Auth_Status"로 불리는 제2 속성은 사용자 인증 절차를 닫고 접속 서버에게 로컬 및 원격 인증 결과들을 나타내기 위하여 상기 프록시 서버에 의해 전송된 허가 메시지에 포함된다.

이 절차는 WLAN-타입 오픈 로컬망, 예를 들어, 접속이 소유자에 의해 조절되는 Wi-Fi에 의해 인터넷에 대한 접속을 하기에 완벽하게 적합하다. 이 로컬망은, 로컬망이 접속가능한 사이트에서, 예를 들어, 유용한 주소들의 플랜들(plans), 리스트들 등에서, 정보 제공 서비스와 같은 로컬 서비스들을 제공할 수 있다. 인터넷에 접속하기 위하여, 이 로컬망에 접속하는 사용자들은 또한 그들의 접속 공급자로부터 접속을 요구해야 한다.

단말기를 장착한 사용자가 로컬 WLAN 망이 가능한 영역 내에 있고, 내비게이션 소프트웨어를 시작하면, 상기 단말기는 자동적으로 로컬 접속망(9)의 웹 서버로 방향이 바뀐다. 웹 서버의 환영 페이지에서, 사용자들은 로컬망로의 접속을 위한 식별자 및 패스워드를 가지고 있다면 입력하도록 요청받는다. 사용자들이 인터넷에 접속하기를 원하면, 사용자들은 목록으로부터 접속 공급자를 선택해야 하고, 이후 선택된 접속 공급자에 해당하는 접속을 위한 식별자 및 패스워드를 입력해야만 한다.

사용자가 입력한 정보는 접속 서버(9)에 의해 로컬망의 프록시 서버(10)로 전송된다.

사용자가 로컬망로의 접속을 위한 식별자 및 패스워드를 입력하였다면, 상기 로컬망의 프록시 서버(10)는 로컬 식별 절차를 시작하여 이 인증의 결과를 저장한다. 이후, 상기 프록시 서버(10)는 사용자가 선택한 접속 공급자의 인증 서버(15)로 사용자의 인증을 위한 절차를 시작한다.

로컬 및 원격 인증의 결과에 따라서, 로컬 및 원격 인증 둘다 실패하였으면, 상기 프록시 서버는 허가 메시지 또는 거부 메시지를 보낸다. 후자의 경우, 상기 접속 서버는 사용자가 로컬 또는 원격 서비스들에 접속하도록 인증하지 않는다.

사용자가 국부적으로만 혹은 단지 접속 공급자에 의해서만 인증을 받았으면, 상기 접속 서버는 사용자에게 해당 서비스들에 대한 접속만을 제공한다. 두 가지 인증 모두가 성공적이었으면, 접속 서버는 사용자에게 로컬 서비스 및 원격 서비스 모두로의 접속을 제공한다.

유사하게, 사용자가 로컬 인증을 요구하지 않았다면, 원격 인증만이 수행되고, 이것이 성공이면, 상기 접속 서버는 인터넷에 대한 사용자를 위한 접속을 구성한다.

로컬망에서 사용자에게 할당된 서비스 품질(QoS)은 로컬 인증 결과에 따라서 접속 서버에 의해 조절될 수도 있다.

Claims

접속망(1, 2)에 연결된 사용자 단말기의 IP 전송망(5)에 대한 접속의 인증을 관리하는 방법으로서,

상기 IP 전송망에 연결된 프록시 서버(10)는:

(i) 상기 사용자 단말기의 요구 시 접속 서버(9)로부터 수신되는 RADIUS 접속 요구에 대하여, 사용자의 로컬 인증이 상기 접속망(1, 2)의 레벨에서 수행되어야 하는지를 판단하는 단계;

(ii) 상기 사용자의 로컬 인증이 수행되어야 한다면, 인증 데이터를 요구하는 메시지를 상기 접속 서버에 의해 상기 사용자 단말기로 전송하는 단계;

(iii) 상기 사용자 단말기로부터, 요구된 인증 데이터를 포함하는 응답 메시지를 수신할 시, 수신된 인증 데이터에 근거하여 로컬 사용자 인증 절차를 실행하는 단계;

(iv) RADIUS 프로토콜에 따른 RADIUS 접속 요구(50, 58)를, 상기 접속 요구로 지시되는 IP 서비스 또는 접속 공급자(6, 7, 8)의 원격 인증 서버(15)로 전송하는 단계로서, 상기 접속 요구는 상기 사용자 단말기의 요구 시 상기 접속망의 접속 서버(9)에 의해 전송되는 단계; 및

(v) 상기 원격 인증 서버(15)에 의해 제공되는 사용자의 인증 응답을 상기 접속 서버로 전송하는 단계;

를 단계 (i), (ii), (iii), (iv) 및 (v)의 순서로 수행하는 것을 특징으로 하는 방법.
제1항에 있어서,

로컬 사용자 인증이 수행되어야 한다면, 상기 프록시 서버(10)에 의해 상기 사용자 단말기(11, 12, 13)로 전송되는 인증 데이터 요구는 난수를 포함하는 챌린지 메시지인 것을 특징으로 하는 방법.
제2항에 있어서,

상기 챌린지 메시지는 상기 사용자 단말기가 로컬 사용자 인증에 관한 것인지를 판단하는 것을 가능하도록 하는 지시를 포함하는 것을 특징으로 하는 방법.
제1항 내지 제3항 중 어느 한 항에 있어서,

상기 프록시 서버(10)는, 상기 로컬 사용자 인증의 결과 및 상기 원격 인증 서버에 의해 제공되는 인증 응답에 근거하여, 상기 사용자에게 어느 접속 권리들이 할당되는지를 판단하는 것을 특징으로 하는 방법.
IP 전송망(5)을 이용하여 IP 서비스 또는 접속 공급자(6, 7, 8)에 접속하기 위한 사용자 단말기에 의한 시도 동안에 사용자의 인증을 관리하며,

상기 사용자 단말기가 연결되는 적어도 하나의 접속망(1, 2);

상기 접속망(1, 2)과 상기 IP 전송망(5) 사이를 연결하는 적어도 하나의 IP 게이트웨이(3, 4);

상기 사용자 단말기의 요구 시에, RADIUS 프로토콜에 따른 RADIUS 접속 요구들을 전송하도록 구성된, 상기 접속망의 적어도 하나의 접속 서버(9);

원격 인증 서버에 의해 수신된 접속 요구(50, 58)에 포함된 인증 데이터를 근거로 상기 사용자를 인증하도록 구성된, 상기 IP 서비스 또는 접속 공급자(6, 7, 8)와 관련된 적어도 하나의 원격 인증 서버(15); 및

상기 IP 전송망에 연결되고, 사용자 단말기의 요구 시 상기 접속 서버(9)에 의해 전송되는 RADIUS 접속 요구를, 상기 접속 요구로 지시되는 IP 서비스 또는 접속 공급자의 원격 인증 서버(15)로 재전송하고, 상기 원격 인증 서버(15)에 의해 제공되는 사용자의 인증 응답을 상기 접속 서버로 재전송하도록 구성된 프록시 서버(10)를 포함하는 시스템에 있어서,

상기 프록시 서버(10)는:

사용자의 요구 시 접속 서버(9)로부터 수신된 RADIUS 접속 요구에 대하여, 상기 사용자의 로컬 인증이 상기 접속망(1, 2)의 레벨에서 수행되어야 하는지를 판단하는 수단;

상기 사용자의 로컬 인증이 수행되어야 활성화되고, 인증 데이터를 요구하는 메시지를 상기 접속 서버에 의해 상기 사용자 단말기로 전송하는 수단; 및

요구된 인증 데이터를 포함하는 사용자 단말기로부터의 응답 메시지를 수신할 시에 활성화되고, 수신된 인증 정보에 근거하여 로컬 사용자 인증 절차를 실행하는 수단을 포함하는 것을 특징으로 하는 시스템.
제5항에 있어서,

상기 프록시 서버(10)는 로컬 사용자 인증 결과 및 상기 원격 인증 서버(15)에 의해 제공되는 사용자의 인증 응답에 근거하여, 인증 결과를 판단하고, 상기 인증 결과를 상기 접속 서버(9)로 재전송하는 수단도 포함하는 것을 특징으로 하는 시스템.
제5항 또는 제6항에 있어서,

각 접속 서버(9)는 RADIUS 클라이언트를 포함하고, 상기 프록시 서버는 상기 RADIUS 프로토콜에 따른 메시지들을 상호교환하기 위하여, 클라이언트 및 RADIUS 서버를 포함하는 것을 특징으로 하는 시스템.
제5항 또는 제6항에 있어서,

상기 사용자를 국부적으로 인증하기 위하여 상기 프록시 서버(10)에 의해 전송되는 인증 데이터 요구 메시지는 챌린지 메시지이고,

상기 프록시 서버는, 상기 챌린지 메시지로 삽입되는 난수를 발생시키는 수단, 및 상기 사용자 단말기로부터 수신된 상기 챌린지 메시지에 대한 응답을 증명하는 수단을 포함하는 것을 특징으로 하는 시스템.
제5항 또는 제6항에 있어서,

상기 프록시 서버(10)는 인증 결과를 근거로 상기 사용자에게 어느 접속 권리들이 할당되는 지를 판단하는 수단을 포함하는 것을 특징으로 하는 시스템.
접속망(1, 2)에 연결된 사용자 단말기의 IP 전송망(5)에 대한 접속의 인증을 관리하는 프록시 서버(10)로서, 상기 프록시 서버(10)는 IP 전송망에 연결되고,

RADIUS 프로토콜에 따른 RADIUS 접속 요구(50, 58)를, 상기 접속 요구로 지시되는 IP 서비스 또는 접속 공급자(6, 7, 8)의 원격 인증 서버(15)로 전송하는 수단으로서, 상기 접속 요구가 상기 사용자 단말기의 요구 시 상기 접속망의 접속 서버(9)에 의해 전송되는 수단; 및

상기 원격 인증 서버(15)에 의해 제공되는 사용자의 인증 응답을 상기 접속 서버로 전송하는 수단을 포함하는 프록시 서버에 있어서,

상기 프록시 서버는:

상기 사용자 단말기의 요구 시 접속 서버(9)로부터 수신된 RADIUS 접속 요구에 대하여, 상기 사용자의 로컬 인증이 접속망(1, 2)의 레벨에서 수행되어야 하는지를 판단하는 수단,

상기 사용자의 로컬 인증이 수행되어야 활성화되고, 인증 데이터를 요구하는 메시지를 상기 접속 서버에 의해 상기 사용자 단말기로 전송하는 수단; 및

사용자 단말기로부터, 요구되는 인증 데이터를 포함하는 응답 메시지를 수신할 시에 활성화되고, 수신된 인증 정보에 근거하여 로컬 사용자 인증 절차를 실행하는 수단을 포함하는 것을 특징으로 하는 프록시 서버.
제1항에 따른 사용자 단말기의 접속의 인증을 관리하는 방법의 단계들을 실행하는 프로그램 코드 지시들을 포함하는 컴퓨터 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체에 있어서,

상기 컴퓨터 프로그램이 컴퓨터 상에서 실행될 때, 상기 방법의 단계들이 실시되는 것을 특징으로 하는 기록매체.
삭제