[發明專利]一種實現控制面和用戶面密鑰同步的方法

無效

• 申請號: 200610060692.4
• 申請日: 2006-05-11
• 公開（公告）號: CN101072092A
• 公開（公告）日: 2007-11-14
• 發明（設計）人: 胡偉華;吳問付
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L9/12;H04L9/28
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明屬于移動通信領域，尤其涉及控制面實體和用戶面實體分離時的安全處理方法。?

背景技術

為了保證10年以至更久的時間內第三代伙伴項目(Third?GenerationPartnership?Project，3GPP)系統的競爭力，一個接入技術演進的工作正在3GPP組織內部進行。特別是為了加強3GPP系統處理快速增長的網際協議(InternetProtocol，IP)數據業務的能力，在3GPP系統內使用分組技術需要進一步加強。這類技術演進中最重要包括減少時延和反應時間，提高用戶數據速率，增強系統容量和覆蓋范圍以及降低運營商整體成本等幾個部分。演進的網絡結構對于現有網絡的后向兼容性也是一個重要的指標，其中在安全方面，要求演進網絡中的用戶安全流程必須確保提供至少和目前第二代(Second?Generation，2G)和第三代(Third?Generation，3G)系統相同級別的安全機制。?

如圖1所示，無線演進網絡的核心網主要包含移動管理實體(MobilityManagement?Entity，MME)、用戶面實體(User?Plane?Entity，UPE)、不同接入系統間的用戶面錨點(Inter?Access?System?Anchor，Inter?AS?Anchor)三個邏輯功能體。其中，MME是控制面實體，負責控制面的移動性管理，包括用戶上下文和移動狀態管理，分配用戶臨時身份標識、安全功能等，對應于當前通用移動通信系統(Universal?Mobile?Telecommunications?System，UMTS)內部服務GPRS支持節點(Serving?GPRS?Supporting?Node，SGSN)的控制面部分；UPE是用戶面實體，負責空閑狀態下為下行數據發起尋呼，管理保存IP承載參數和網絡內部路由信息等，對應于當前UMTS系統內部SGSN的數據面部分；?Inter?AS?Anchor則充當不同接入系統間的用戶面錨點。圖中各個接口的功能以及是否存在尚沒有最終確定。網關GPRS支持節點(Gateway?GPRS?SupportingNode，GGSN)的數據平面部分可能位于UPE內，也可能位于Inter?AS?Anchor內。歸屬用戶服務器(Home?Subscriber?Server，HSS)用于存儲用戶簽約信息。?

移動通信系統存在特有的空中接口部分(簡稱空口)。用戶的數據和信令在整個傳輸路徑中，有一段是承載于無線接入部分，直接暴露于空口，可能被不法分子監聽，存在相當大的安全隱患。為此，在移動通信系統中，需要對空口上傳輸的信令和數據進行加密。此外，因為空口傳輸的相對不可靠性，必須有機制確保其承載傳輸的數據負荷的完整性，即完整性保護。簡而言之，移動通信系統通過對用戶的數據和信令進行加密，保證用戶數據的安全，通過對信令和數據進行完整性保護，確保用戶數據在傳輸過程中，不會被中途破壞和失真，例如被插入多余的數據。?

為實現加密和完整性保護功能，需要在執行加密和完整性保護的對等實體間確保使用相同的加密和完整性算法，以及使用相同的加密密鑰(Cipher?Key，CK)和完整性密鑰(Integrity，IK)。?

當控制面實體和用戶面實體存在于同一物理實體中時，控制面和用戶面進行加密和完整性保護的算法、加密密鑰和完整性密鑰都是共用的，依靠統一的安全相關的信令流程來完成協商和控制，如圖2所示：?

1.核心網(Core?Network，CN)發送鑒權信息(Send?Authentication?Info)到歸屬位置寄存器(Home?Location?Register，HLR)，HLR的鑒權中心(Authentication?Centre，AUC)根據核心網的要求產生新的鑒權參數集合，且返回給核心網(Send?Authentication?Info?Ack)；?

2.核心網使用從HLR的鑒權中心收到的鑒權參數集合，向移動臺(MobileStation，MS)發送鑒權和加密請求消息(Authentication?and?Ciphering?Request)，消息中攜帶鑒權挑戰隨機數(Rand)和標識當前使用的鑒權參數集合的序列號；?

3.MS根據鑒權挑戰隨機數Rand，計算得出加密密鑰和完整性保護密鑰，以及鑒權響應簽名參數(Res)，向核心網返回鑒權和加密響應消息(Authentication?and?Ciphering?Response)，攜帶鑒權響應簽名參數，核心網比對收到的鑒權響應消息中的鑒權響應簽名參數，判斷用戶是否合法。