Disposición, nodos y método en relación con acceso a servicios sobre un sistema de comunicación.

Una disposición en un sistema de comunicaciones que participa en procedimientos de solicitud de y/o de acceso a servicios de estación de usuario,

y que comprende una serie de nodos de soporte de datos en paquetes (GGSN; CGSN; TPF; 10; 10B; 10C), una serie de nodos de gestión de facturación y/o de políticas (CRF; TPF; PCCN; 30; 30A; 30B; 30C) y una serie de funciones de aplicación (AF; P, S, ICSCF; 20; 20B; 20C) que administran la gestión de movilidad y el control de llamadas de estaciones de usuario móviles (UE; 1) que solicitan y/o acceden a servicios, caracterizada

por que el nodo o nodos de soporte de datos en paquetes (10; 10B; 10C) comprenden medios adoptados para enviar una primera información relativa a la identidad de la estación de usuario móvil (UE; 1) sobre una primera interfaz (Gx, Gy; Gx/Gy) a un nodo de gestión de facturación y/o de políticas (CRF; PDF; PCCN; 30; 30A; 30B; 30C), a la recepción de una solicitud de servicios de portador procedente de una estación de usuario móvil (UE; 1) por que la función o funciones de aplicación (AF; P, S, ICSCF; 20; 20B; 20C) comprenden medios para, a la recepción de una solicitud de una sesión de servicio SIP procedente de una estación de usuario móvil (UE; 1), enviar una segunda información relativa a la identidad de la estación de usuario móvil al nodo de gestión de facturación y/o de políticas (CRF; PDF; PCCN; 30; 30A; 30B; 30C), sobre una segunda interfaz (Rx, Rx/Gq),

y por que el nodo (CRF; PDF; PCCN; 30; 30A; 30B; 30C) de gestión de políticas y/o de facturación comprende medios de verificación (32, 32A) adaptados para determinar si la solicitud de un servicio de portador al nodo de soporte de datos en paquetes (10; 10B; 10C) y la solicitud de un servicio de sesión a la función de aplicación (AF; P/S/I-CSCF; 20; 20B; 20C) están originadas en una única estación de usuario móvil (UE; 1).

Disposición, nodos y método en relación con acceso a servicios sobre un sistema de comunicación Campo de la invención La presente invención se refiere a una disposición en un sistema de comunicaciones que participa en procedimientos de acceso a, o solicitud de, servicios de estación de usuario y comprende una serie de nodos de soporte de datos en paquetes, una serie de nodos de gestión de facturación y/o de políticas y una serie de funciones de aplicación que administran la gestión de movilidad y el control de llamadas de estaciones de usuario móviles que solicitan servicios o acceden a los mismos. La invención se refiere asimismo a un nodo en un sistema de comunicaciones que soporta datos en paquetes, que está dispuesto para comunicar con una función de aplicación y un nodo de soporte de datos en paquetes.

La invención se refiere además a un método involucrado en la solicitud de/el acceso a servicios, en un sistema de comunicaciones que soporta comunicación de datos en paquetes y que comprende una serie de nodos de datos en paquetes, una serie de nodos de gestión de facturación y/o de políticas y una serie de funciones de aplicación que administran la gestión de movilidad y el control de llamadas de estaciones de usuario móviles que solicitan/acceden a servicios.

Estado de la técnica

Los denominados servicios IM (Internet IP Multimedia, multimedia IP por internet) son cada vez más atractivos y se utilizan ya ampliamente. Los subsistemas IMS (IP Multimedia Subsystems, subsistemas multimedia IP) 3GPP proporcionan una capacidad de control de sesión basada en IP que se basa en el protocolo SIP (Session based Initiation Protocol, protocolo de inicio basado en sesiones) . IMS puede utilizarse por ejemplo para la prestación de servicios tales como pulsar para hablar, mensajería instantánea, presencia y conferencia. IMS en UMTS (Universal Mobile Telecommunication System, sistema universal de telecomunicaciones móviles) soportará aplicaciones multimedia IP tales como video, audio y conferencias multimedia. Tal como se ha mencionado anteriormente, 3GPP utilizará SIP, protocolo de inicio de sesiones, como el protocolo de señalización para crear y finalizar sesiones multimedia, véase por ejemplo el documento IETF RFC (Request For Comments) 3261, que trata sobre cómo se protege la señalización SIP entre el abonado y el IMS, cómo se autentica el abonado y cómo el abonado autentica el IMS.

La arquitectura de seguridad actual para IMS está especificada en 3GPP TS 33.203. Sin embargo, existe un problema en el hecho de que existirán implementaciones de los servicios mencionados anteriormente que no sean totalmente compatibles con IMS 3GPP. IMS 3GPP, por ejemplo, utiliza exclusivamente IPv6 (Internet Protocol version 6, protocolo de internet versión 6) aunque pueden seguir existiendo implementaciones IMS basadas en IPv4. Sin embargo, la utilización de IPv4 en lugar de IPv6 es solamente una de las diferencias entre las implementaciones IMS "precoces" y las implementaciones plenamente compatibles con IMS 3GPP. Se ha reconocido que la no compatibilidad con características de seguridad 3GPP TS 33.203 producirá principalmente problemas en el equipo de usuario (UE) debido a la ausencia potencial de soporte de la interfaz USIM/ISIM, en particular para estaciones de usuario compatibles solamente con 2G. Por lo tanto, se ha comprendido que para dichas implementaciones IMS "precoces", se requieren mecanismos de protección contra las amenazas de seguridad más significativas.

Una solución temporal de este tipo para las implementaciones IMS "precoces" se propone en 3GPP TR 33.878. El enfoque de este documento es que el GGSN (Gateway GPRS Support Node, nodo de soporte de pasarela GPRS) deberá enviar MSISDN y la dirección IP de una estación de usuario (UE equipo de usuario) hacia un servidor Radius sobre la interfaz Gi. El servidor Radius transfiere a continuación la MSISDN y la dirección IP al HSS (Home Subscriber Server, servidor propio de abonado) . Cuando la estación de usuario, o el UE, envía una solicitud de registro SIP hacia una función de control de sesión/llamada de servicio (S-CSCF, Serving-Call/Session Control Function) , que incluye la identidad privada IM (IP Multimedia, multimedia IP) , la S-CSCF consultará al HSS el cual, basándose en la identidad IMS puede identificar la MSISDN y la dirección IP coincidentes del UE y devolver la dirección IP a la S-CSCF. La S-CSCF comprobará la dirección IP almacenada en la S-CSCF para ver si coincide con la dirección IP recibida desde el UE. Si las dos direcciones IP son iguales, la S-CSCF puede avanzar al procedimiento de registro, pero si no son iguales, presumiblemente debido a un ataque en curso, se finaliza la sesión. Esto proporciona la posibilidad de evitar ciertos ataques, tales como por ejemplo un atacante que utiliza identidades IMS de una víctima, lo que puede tener como consecuencia que el usuario atacado tenga que pagar el servicio al que ha accedido el atacante.

Un operador corre asimismo el riesgo de que el atacante no pague por el portador, por ejemplo un portador conversacional, debido al hecho de que, por ejemplo, está implementada FBC (Flow Based Charging, facturación basada en flujo) y la facturación al portador es cero. Esto significa que en algunos casos de utilización, un atacante podría utilizar ciertos servicios gratis.

El documento 3GPP TR 33.878 asume que durante una solicitud de contexto-PDP hacia el IMS, el GGSN deberá enviar un mensaje de "Radius Accounting-Request-Start" (iniciar solicitud de contabilización Radius) a un servidor Radius acoplado al HSS. Esto puede llevar a suponer que un operador utiliza un APN (Access Point Name, nombre

de punto de acceso) IMS específico o que el UE utiliza un contexto PDP de señalización. Sin embargo, se considera que la hipótesis relativa a la utilización de un APN IMS específico es demasiado restrictiva desde el punto de vista del diseño. El documento 3GPP TS 23.228 estipula que "cuando el UE utiliza acceso GPRS para servicios IMS, deberá ser capaz de establecer un contexto PDP de señalización dedicado para la señalización relacionada con el subsistema IM o utilizar un contexto PDP de propósito general para el tráfico de señalización del subsistema IM". Por lo tanto, no existe ninguna garantía de que el UE utilice un contexto PDP de señalización para IMS, lo que puede conducir a la conclusión de que el GGSN debería enviar entonces la dirección IP de un UE hacia un servidor Radius para todos los servicios. Además, un UE puede tener varias direcciones IP hacia un mismo GGSN y parece necesario que, en tal caso, el GGSN tenga que enviar todas estas direcciones IP hacia el servidor Radius. Además, en el caso general un UE puede estar acoplado a más de un GGSN o puede tener activada más de una conexión de red IP. Dichos escenarios no se discuten en el documento 3GPP TR 33.878.

Además, la solución descrita en este documento sugiere la introducción de un denominado "temporizador de reposo" en GGSN. Esto tiene un impacto sobre cómo son asignadas o liberadas las direcciones IP hacia un UE, y cómo una dirección IP puede ser reutilizada para un usuario cuando se produce el restablecimiento de un contexto PDP en una etapa posterior. Aparentemente, la razón para la introducción del temporizador de reposo es reducir la carga sobre la HSS y, cuando no existe contexto PDP disponible entre el GGSN y el UE, el GGSN almacena o reserva la dirección IP asignada para un UE específico durante un tiempo que es igual al periodo del tiempo establecido en el temporizador de reposo. Esto significa que el GGSN, tras la terminación de todos los portadores, no envía una detención de solicitud de contabilización hasta que ha expirado el temporizador de reposo. Por lo tanto, el temporizador de reposo no se ha introducido por razones de seguridad si no para reducir la comunicación hacia el HSS que es responsable de la creación de los vectores de autenticación, y por lo tanto la intención es reducir la comunicación con el HSS, o para no permitir más comunicación con el HSS que la necesaria a efectos de evitar que resulte sobrecargado, lo cual puede tener la consecuencia de que se verían perjudicados otros servicios, por ejemplo voz. La utilización del temporizador de reposo es inconveniente, por ejemplo, debido a que existirá un mayor riesgo de conflictos entre direcciones IP asignadas dinámicamente. Además, se mantienen más recursos de los necesarios.

La solución propuesta es asimismo inconveniente porque se envía cada vez más información desde el GGSN sobre la interfaz Gi, la cual está cada vez más sobrecargada. Es asimismo una desventaja que se requiera un servidor Radius para verificar las direcciones IP y, tal como se ha mencionado anteriormente,... [Seguir leyendo]

1. Una disposición en un sistema de comunicaciones que participa en procedimientos de solicitud de y/o de acceso a servicios de estación de usuario, y que comprende una serie de nodos de soporte de datos en paquetes (GGSN; CGSN; TPF; 10; 10B; 10C) , una serie de nodos de gestión de facturación y/o de políticas (CRF; TPF; PCCN; 30; 30A; 30B; 30C) y una serie de funciones de aplicación (AF; P, S, ICSCF; 20; 20B; 20C) que administran la gestión de movilidad y el control de llamadas de estaciones de usuario móviles (UE; 1) que solicitan y/o acceden a servicios,

caracterizada por que el nodo o nodos de soporte de datos en paquetes (10; 10B; 10C) comprenden medios adoptados para enviar una primera información relativa a la identidad de la estación de usuario móvil (UE; 1) sobre una primera interfaz (Gx, Gy; Gx/Gy) a un nodo de gestión de facturación y/o de políticas (CRF; PDF; PCCN; 30; 30A; 30B; 30C) , a la recepción de una solicitud de servicios de portador procedente de una estación de usuario móvil (UE; 1)

por que la función o funciones de aplicación (AF; P, S, ICSCF; 20; 20B; 20C) comprenden medios para, a la recepción de una solicitud de una sesión de servicio SIP procedente de una estación de usuario móvil (UE; 1) , enviar una segunda información relativa a la identidad de la estación de usuario móvil al nodo de gestión de facturación y/o de políticas (CRF; PDF; PCCN; 30; 30A; 30B; 30C) , sobre una segunda interfaz (Rx, Rx/Gq) ,

y por que el nodo (CRF; PDF; PCCN; 30; 30A; 30B; 30C) de gestión de políticas y/o de facturación comprende medios de verificación (32, 32A) adaptados para determinar si la solicitud de un servicio de portador al nodo de soporte de datos en paquetes (10; 10B; 10C) y la solicitud de un servicio de sesión a la función de aplicación (AF; P/S/I-CSCF; 20; 20B; 20C) están originadas en una única estación de usuario móvil (UE; 1) .

2. Una disposición según la reivindicación 1,

caracterizada por que la primera información relativa a la identidad de la estación de usuario móvil comprende una o varias de la MSISDN, la IMSI y la dirección IP de la estación de usuario móvil (UE; 1) .

3. Una disposición según la reivindicación 1 ó 2,

caracterizada por que la segunda información relativa a la identidad de la estación de usuario móvil comprende la identidad privada IMS (IMPI) y/o la identidad pública IMS (IMPU) .

4. Una disposición según la reivindicación 1 ó 2,

caracterizada por que la segunda información relativa a la identidad de la estación de usuario móvil comprende la IMSI y/o la MSISDN, por ejemplo, obtenida a partir de la identidad privada o pública IMS (IMPI, IMPU) , o por que la función de aplicación (20; 20B; 20C) está adaptada para extraer dicha información externamente, por ejemplo, de un HSS.

5. Una disposición según cualquiera de las reivindicaciones anteriores,

caracterizada por que las direcciones IP se reciben, o se obtienen a partir de la primera información relativa a la estación de usuario móvil y de la segunda información relativa a la identidad de la estación de usuario móvil, y por que los medios de verificación (32, 32A) están adaptados para comparar la dirección IP obtenida a partir de la función de aplicación (20; 20B; 20C) con la dirección IP obtenida a partir del nodo de soporte de datos en paquetes.

6. Una disposición según la reivindicación 4,

caracterizada por que el nodo de gestión de facturación y/o de políticas (30; 30A; 30B; 30C) está adaptado para deducir la IMSI y/o la MSISDN a partir de la identidad de usuario privada y/o pública IMS (IMPI/IMPU) .

7. Una disposición según cualquiera de las reivindicaciones anteriores,

caracterizada por que el nodo de gestión de facturación y/o de políticas (30; 30A; 30B; 30C) está adaptado para identificar e instalar normas de facturación a aplicar a la recepción de la solicitud de las mismas desde un nodo de soporte de datos en paquetes (10; 10B; 15B1, 15B2; 10C) .

8. Un usuario según cualquiera de las reivindicaciones anteriores,

caracterizado por que el nodo de soporte de datos en paquetes comprende un GGSN (10) o un CGSN que gestiona opciones para el plano de tráfico.

9. Una disposición según cualquiera de las reivindicaciones anteriores,

caracterizada por que el nodo de soporte de datos en paquetes comprende un nodo independiente o un nodo de pasarela (10B; 10C) que gestiona funciones para el plano de tráfico, o funciones para el plano de tráfico y ejecución de políticas (PEP) .

10. Una disposición según cualquiera de las reivindicaciones anteriores,

caracterizada por que la segunda interfaz comprende Rx o Rx fusionadas con Gq.

11. Un nodo de gestión de facturación y/o de políticas (30; 30A; 30B; 30C) en un sistema de comunicaciones que soporta comunicación de datos en paquetes y está dispuesto para comunicar con una función de aplicación (20; 20B; 20C) y un nodo de soporte de datos en paquetes (10; 10B; 10C) ,

caracterizado por que está adaptado para recibir una primera información relativa a la identidad de la estación de usuario móvil procedente del nodo de soporte de datos en paquetes (10; 10B; 10C) a la recepción de una solicitud de un servicio de portador procedente de una estación de usuario móvil (UE; 1) en el nodo de soporte de datos en paquetes (10; 10B; 10C) , para recibir una segunda información relativa a la identidad de la estación de usuario móvil procedente de la función de aplicación a la recepción de una solicitud de una sesión de servicio en la misma, y por que comprende medios de verificación (32, 32A) para determinar si la solicitud de un servicio de portador al nodo de soporte de datos en paquetes (10; 10B; 10C) y la solicitud de un servicio de sesión a la función de aplicación (20; 20B; 20C) están originadas en una única estación de usuario móvil (UE; 1) .

12. Un nodo de gestión de facturación y/o de políticas según la reivindicación 11,

caracterizado por que la primera información relativa a la identidad de la estación de usuario móvil comprende uno o varios de la MSISDN, la IMSI y la dirección IP de la estación de usuario móvil.

13. Un nodo de gestión de facturación y/o de políticas según cualquiera de las reivindicaciones 11 a 12,

caracterizado por que los medios de verificación (32, 32A) están adaptados para comparar la dirección IP correspondiente a, o incluida en la primera información relativa a la identidad de la estación de usuario móvil, y la dirección IP correspondiente a, o incluida en la segunda información relativa a la identidad de la estación de usuario móvil.

14. Un nodo de gestión de facturación y/o de políticas según cualquiera de las reivindicaciones 11 a 13,

caracterizado por que está adaptado para identificar e instalar normas de facturación a aplicar, a la recepción de una solicitud de las mismas desde un nodo de soporte de datos en paquetes (10; 10B; 10C) , y si la primera y la segunda informaciones relativas a la identidad de usuarios están originadas en una única estación de usuario móvil (1) , está adaptado para implementar las normas de facturación proporcionadas, y si la primera y la segunda informaciones relativas a la identidad de usuario no están originadas en una única estación de usuario móvil,

está adaptado para rechazar las normas de facturación y/o para desactivar normas de facturación implementadas y desechar el tráfico de flujo IP correspondiente, informar a la función de aplicación (20; 20B; 20C) de que no está disponible un contexto PDP, o seleccionar si desactivar las normas de facturación en el nodo de soporte de datos en paquetes (10; 10B; 10C) o mantenerlas activas.

15. Un método de control de acceso a servicios, en un sistema de comunicación que soporta comunicación de datos en paquetes y comprende una serie de nodos de datos en paquetes, una serie de nodos de gestión de facturación y/o de políticas y una serie de funciones de aplicación que administran gestión de movilidad y control de llamadas de servicios de solicitud/acceso de estaciones de usuario móviles, que comprende las etapas de:

-recibir una solicitud de servicios de portador desde una estación de usuario móvil en un nodo de soporte de datos en paquetes,

- enviar, desde el nodo de soporte de datos en paquetes, una primera información relativa a la identidad de estación de usuario móvil, de la estación de usuario móvil, a un nodo de gestión de facturación y/o de políticas,

- recibir, a continuación, antes o sustancialmente al mismo tiempo, una solicitud de una sesión de servicio procedente de la estación de usuario móvil en una función de aplicación,

- enviar, desde la función de aplicación, una segunda información relativa a la identidad de la estación de usuario móvil al nodo de gestión de facturación y/o de políticas,

- establecer, en el nodo de gestión de facturación y/o de políticas, si la solicitud de un servicio de portador al nodo de soporte de datos en paquetes y la solicitud de una sesión de servicio a la función de aplicación se originan en una única estación de usuario móvil.

16. Un método según la reivindicación 15,

en el que la primera información relativa a la identidad de la estación de usuario móvil comprende una o varias de la MSISDN, la IMSI y la dirección IP de la estación de usuario móvil, y en el que la segunda información relativa a la identidad de la estación de usuario móvil comprende la identidad privada IMS (IMPI) y/o la identidad pública IMS (IMPU) , o la segunda información relativa a la identidad de usuario comprende la IMSI y/o la MSISDN, por ejemplo obtenidas a partir de la identidad privada o pública IMS (IMPI, IMPU) , o la función de aplicación está adaptada para extraer dicha información de un HSS.

17. Un método según la reivindicación 15 ó 16, que comprende además las etapas de:

- establecer o encontrar la IMSI y/o la MSISDN de dichas primera y segunda informaciones relativas a la identidad de la estación de usuario móvil,

- comparar entre sí por lo menos parte de dichas primera y segunda informaciones relativas a la identidad de la estación de usuario móvil.

18. Un método según la reivindicación 15, 16 ó 17, que comprende la etapa de:

- comparar las direcciones IP de dichas primera y segunda informaciones relativas a la identidad de la estación de usuario móvil.

19. Un método según cualquiera de las reivindicaciones 15 a 18, que comprende la etapa de: - obtener la IMSI y/o la MSISDN a partir de identidades de usuario públicas y/o privadas IMS (IMPI/IMPU) recibidas.

20. Un método según cualquiera de las reivindicaciones 15 a 19, que comprende la etapa de:

- construir, en el nodo de gestión de facturación y/o de políticas, una identidad de usuario privada utilizando la IMSI de la estación de usuario móvil.

21. Un método según cualquiera de las reivindicaciones 15 a 20 que comprende la etapa de:

- identificar e instalar normas aplicables de facturación y/o de políticas, a la recepción de una solicitud procedente de un nodo de soporte de datos en paquetes,

-si la primera y la segunda informaciones relativas a la identidad de la estación de usuario móvil se originan en una única estación de usuario móvil,

- implementar las normas de facturación y/o de políticas proporcionadas aplicables, en el nodo de gestión de facturación y/o de políticas, o bien,

- desechar el tráfico de flujo IP correspondiente, o

- seleccionar si activar o desactivar las normas de facturación.