[發明專利]用于鑒權和隱私的方法與布置

無效

• 申請號: 200580050970.1
• 申請日: 2005-07-07
• 公開（公告）號: CN101218800A
• 公開（公告）日: 2008-07-09
• 發明（設計）人: L·巴里加;D·卡斯特拉諾斯－扎莫拉
• 申請（專利權）人: 艾利森電話股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 中國專利代理(香港)有限公司
• 代理人: 張亞寧;張志醒

技術領域

本發明涉及在通信網絡中用于用戶實體鑒權的方法和布置。具體而言，本發明涉及提高在實現一般鑒權/一般引導架構GAA/GBA的通信網絡中的安全性。

背景技術

3GPP鑒權基礎結構包括3GPP鑒權中心(AuC)、通用SIM卡(USIM)或IM服務身份模塊(ISIM)及在它們之間運行的3GPP鑒權和密鑰同意協議(AKA)，是3GPP運營商的極為寶貴的資產。人們認識到此基礎結構可用于在網絡中和在用戶端啟用應用功能以建立共享密鑰。因此，3GPP指定了“一般引導架構”(GBA)，允許通過使用基于AKA機制([1]，[2])將共享秘密分發到用戶設備(UE)和網絡應用功能(NAF)。圖1示出了根據參考文獻[2]的簡單參考模型，用于通過新網絡基礎結構組件、引導服務器功能(BSF)和歸屬用戶系統(HSS)的支持引導NAF和UE中密鑰。參照圖1，圖2的流程圖解釋了現有技術的引導的步驟。在步驟210，用戶設備UE通過接口Ua接入網絡應用功能NAF。在步驟220中，確定接入是否包括了已經可用的標識符到鑒權數據。如果已包括，則流程在步驟270中繼續。否則，在步驟230中，NAF請求UE使用GBA(Generic?BootstrappingArchitecture)方法啟動引導以生成共享密鑰。UE通過Ub接口將請求重定向到BSF。如此處所述，引導請求可以是來自NAF命令的重定向結果，或者在步驟210中UE接入NAF前執行引導請求。UE的配置確定適用的情況。在步驟240中，BSF通過Zh接口從HSS請求鑒權向量。在步驟250，BSF使用鑒權向量，通過Ub接口與UE執行AKA鑒權。共享密鑰Ks會被生成，并且BSF會附加創建識別在BSF生成的憑據材料的事務標識符B-TID。在步驟260中，標識符B-TID通過接口Ub和Ua，經UE被傳送到NAF。在步驟270，NAF通過Zn接口聯系BSF，提供標識符B-TID，由此BSF通過對應的憑據材料做出響應。在步驟280，NAF對步驟210中原始請求做出響應，包括鑒權結果。

此時，NAF能夠使用分發的憑據。此材料可用于NAF可能啟動的其它最終用戶鑒權，例如，如[3]中定義的使用分布式共享秘密的http-摘要鑒權。憑據也可用于鑒權外的其它用途，例如，用于完整性、機密性或導出密鑰。

3GPP在提議將GBA用于最終用戶鑒權目的，定義了如參考文獻[1]中所述的“一般鑒權架構”GAA(Generic?AuthenticationArchitecture)。GAA利用GBA過程在UE和NAF建立共享秘密，使得這些憑據可進一步用作隨后在NAF與UE之間執行的最終用戶鑒權機制的基礎。

3GPP也研究了在IMS系統中使用GBA，例如，參考文獻[4]。

GAA/GBA有兩個基本問題：

·它對用戶隱私的保護很弱，并且由于兩個或更多個獨立第三方應用可通過Ua接口回溯用戶，因此，共謀是可能的。

·當前GAA/GBA架構不提供明確的最終用戶鑒權支持。如果應用只利用GAA/GBA架構進行鑒權，則NAF應用需要基于引導的密鑰實現附加最終用戶鑒權機制。此外，用戶將被有效地鑒權兩次：一次由BSF，并且之后由NAF鑒權。

在隱私方面，可注意到相同的B-TID用于每個NAF。此情況可用于構建指示預訂服務的用戶配置文件，因而違反了隱私保護要求。這種類型的隱私攻擊稱為共謀。雖然對于同一運營商提供的應用而言是個小問題，但在第三方提供應用或者運營商在其設施內托管第三方服務時，它成了一個嚴重的問題。

此外，GAA/GBA架構有一個可能存在中間人攻擊的問題，由此，欺詐性質的用戶可請求屬于他人的憑據。

基本上，GAA/GBA架構是基于SIM的密鑰分發架構。術語“SIM”在此處理解為USIM(3G)或ISIM。GAA/GBA由于采用基于SIM的鑒權，因此，相對于支持的鑒權機制，它不是一般性的。此外，由于提供的密鑰可能用于或不用于鑒權，因此，GAA/GBA不是面向鑒權。

GAA/GBA的一個缺點是要求應用實現以下機制以便符合GAA/GBA要求：

-密鑰管理，以實現提供密鑰的安全存儲，密鑰有效性跟蹤，

?將密鑰綁定到特定用戶和應用，有效性過期時更新密鑰。

-從等BS獲取密鑰的協議，例如Diameter。

-對用戶鑒權的鑒權協議。

-保護密鑰分發的安全信道。

對于經常要求驗證用戶身份的應用而言，實現所有這些GAA/GBA機制，特別是實現密鑰分發過程的需要是高負擔的。