[發(fā)明專利]鑒權和密鑰協(xié)商方法、認證方法、系統(tǒng)及設備

有效

• 申請?zhí)枺?/td>: 200710089942.1
• 申請日: 2007-03-22
• 公開（公告）號: CN101272251A
• 公開（公告）日: 2008-09-24
• 發(fā)明（設計）人: 趙潔;尤昉;劉文宇
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06;H04L12/28;H04Q7/38
• 代理公司: 上海明成云知識產(chǎn)權代理有限公司
• 代理人: 成春榮;竺云

1.?一種鑒權和密鑰協(xié)商方法，其特征在于，包含以下步驟：

網(wǎng)絡側收到終端的認證請求時，根據(jù)與該終端的共享密鑰、一個隨機數(shù)、和代表網(wǎng)絡側當前系統(tǒng)時間的第一序列號生成第一認證碼，將該隨機數(shù)、第一序列號和第一認證碼發(fā)送給所述終端；

所述終端對收到的隨機數(shù)、第一序列號和第一認證碼進行驗證，如滿足以下條件則認定所述網(wǎng)絡側合法：

根據(jù)與所述網(wǎng)絡側的共享密鑰、所述隨機數(shù)和第一序列號生成的第二認證碼與所述第一認證碼相同；

代表終端側當前系統(tǒng)時間的第二序列號與所述第一序列號的差值滿足預定條件；

所述終端認定所述網(wǎng)絡側合法后，根據(jù)與所述網(wǎng)絡側的共享密鑰和隨機數(shù)生成響應值，發(fā)送給所述網(wǎng)絡側；

如果所述網(wǎng)絡側對所述響應值驗證成功，則認定所述終端合法。

2.?根據(jù)權利要求1所述的鑒權和密鑰協(xié)商方法，其特征在于，所述第一序列號和第二序列號的長度小于或等于48比特；或

所述第一序列號和第二序列號均包含兩部分，第一部分的長度小于或等于48比特，第二部分的長度小于或等于16比特。

3.?根據(jù)權利要求1所述的鑒權和密鑰協(xié)商方法，其特征在于，所述預定條件為：

所述第二序列號與所述第一序列號的差值的絕對值小于預定門限；或

所述第二序列號與所述第一序列號的差值在預定范圍內。

4.?根據(jù)權利要求1所述的鑒權和密鑰協(xié)商方法，其特征在于，所述終端在發(fā)送所述認證請求之前，或所述網(wǎng)絡側在生成所述第一認證碼之前，確保所述終端和所述網(wǎng)絡側的系統(tǒng)時鐘同步。

5.?根據(jù)權利要求1所述的鑒權和密鑰協(xié)商方法，其特征在于，所述網(wǎng)絡側通過以下方式驗證所述響應值：

所述網(wǎng)絡側根據(jù)與所述終端的共享密鑰和所述隨機數(shù)生成響應驗證值，如果該響應驗證值與所述響應值相同，則所述驗證成功。

6.?根據(jù)權利要求1所述的鑒權和密鑰協(xié)商方法，其特征在于，還包含以下步驟：

所述網(wǎng)絡側在生成所述第一認證碼時，還根據(jù)與所述終端的共享密鑰和所述隨機數(shù)生成完整性密鑰和加密密鑰；

所述終端認定所述網(wǎng)絡側合法后，還根據(jù)與所述網(wǎng)絡側的共享密鑰和所述隨機數(shù)生成所述完整性密鑰和加密密鑰；

如果所述網(wǎng)絡側認定所述終端合法，則該網(wǎng)絡側和該終端通過所述完整性密鑰和加密密鑰進行數(shù)據(jù)傳輸。

7.?根據(jù)權利要求1至6中任一項所述的鑒權和密鑰協(xié)商方法，其特征在于，如果所述終端驗證得到所述第二序列號與所述第一序列號的差值不滿足預定條件，則還包含以下步驟：

所述終端將所述第二序列號發(fā)送給所述網(wǎng)絡側；

所述網(wǎng)絡側根據(jù)所述第二序列號代表的系統(tǒng)時間進行所述終端與該網(wǎng)絡側的時鐘同步過程。

8.?一種鑒權和密鑰協(xié)商系統(tǒng)，包含網(wǎng)絡側和終端，其特征在于，所述網(wǎng)絡側包含：第一生成單元，用于在收到所述終端的認證請求時，根據(jù)與該終端的共享密鑰、一個隨機數(shù)、和代表網(wǎng)絡側當前系統(tǒng)時間的第一序列號生成第一認證碼；

發(fā)送單元，用于將所述隨機數(shù)、第一序列號和所述第一生成單元生成的第一認證碼發(fā)送給所述終端；

所述終端包含：接收單元，用于從所述網(wǎng)絡側接收所述隨機數(shù)、第一序列號和第一認證碼；

第二生成單元，用于根據(jù)與所述網(wǎng)絡側的共享密鑰和所述接收單元收到的隨機數(shù)，生成第二認證碼和響應值；

發(fā)送單元，用于將所述響應值發(fā)送給所述網(wǎng)絡側；

驗證單元，用于對所述接收單元收到的所述隨機數(shù)、第一序列號和第一認證碼進行驗證，在所述第二生成單元生成的第二認證碼與所述第一認證碼相同，且代表終端側當前系統(tǒng)時間的第二序列號與所述第一序列號的差值滿足預定條件時，認定所述網(wǎng)絡側合法；

所述第二生成單元在所述驗證單元認定所述網(wǎng)絡側合法后，根據(jù)與所述網(wǎng)絡側的共享密鑰和所述隨機數(shù)生成所述響應值。

9.?根據(jù)權利要求8所述的鑒權和密鑰協(xié)商系統(tǒng)，其特征在于，所述第一序列號和第二序列號的長度小于或等于48比特；或

所述第一序列號和第二序列號均包含兩部分，第一部分的長度小于或等于48比特，第二部分的長度小于或等于16比特。