[發明專利]一種移動回程網證書分發方法及系統

有效

• 申請號: 200910171500.0
• 申請日: 2009-09-21
• 公開（公告）號: CN102026192A
• 公開（公告）日: 2011-04-20
• 發明（設計）人: 陳書義;韋銀星;端時立;高峰
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04W92/04;H04L29/06
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 解婷婷;龍洪

1.一種移動回程網證書分發方法，其特征在于，該方法包括：

基站與安全網關基于國際互聯網密鑰交換(IKE)協議進行認證，并基于IKE?SA創建IP層協議安全結構(IPSec)隧道；

當所述安全網關通過所創建的IPSec隧道接收到所述基站發送的證書注冊請求時，將該證書注冊請求轉發給證書注冊審核機構(RA)或者數字證書認證中心(CA)，所述RA或者CA對所述證書注冊請求進行驗證，驗證通過后，生成基站證書，并將所生成的基站證書發送給安全網關，所述安全網關通過所創建的IPSec隧道將基站證書發送給所述基站。

2.如權利要求1所述的方法，其特征在于，

所述基站與所述安全網關之間具有事先配置的預共享密鑰時，所述基站與安全網關基于IKE協議進行認證的過程如下：

所述基站與安全網關進行IKE協議初始化后，所述基站向安全網關發起認證請求，所述認證請求包括所述基站的認證載荷；

所述安全網關接收所述認證請求，根據事先配置的預共享密鑰以及所述認證請求中基站的認證載荷對所述基站進行認證；

當所述安全網關對所述基站認證成功時，所述安全網關向所述基站返回認證響應，所述認證響應包括所述安全網關的認證載荷；

所述基站接收所述認證響應，根據事先配置的預共享密鑰以及所述認證響應中安全網關的認證載荷對所述安全網關進行認證。

3.如權利要求2所述的方法，其特征在于，

所述認證請求中還包括所述基站的身份載荷、安全關聯載荷和流量選擇載荷。

4.如權利要求1所述的方法，其特征在于，

所述基站具有設備商簽發的設備證書和設備商的根證書，所述安全網關具有設備商簽發的交叉證書、運營商簽發的SeGW證書、設備商的根證書和運營商的根證書時，所述基站與安全網關基于IKE協議進行認證的過程如下：

所述基站與安全網關進行IKE協議初始化后，所述基站向安全網關發起認證請求，所述認證請求包括所述基站的設備證書載荷和有基站簽名信息的認證載荷；

所述安全網關接收所述認證請求，對該認證請求中有基站簽名信息的認證載荷進行認證，利用設備商的根證書對認證請求中基站的設備證書的真實性進行認證，并驗證所述基站的設備證書的有效性；

所述安全網關完成認證操作后，向所述基站發送認證響應，所述認證響應中包括安全網關證書和交叉證書載荷、有安全網關簽名信息的認證載荷；

所述基站接收所述認證響應，根據所述認證響應中安全網關證書對有安全網關簽名信息的認證載荷進行認證，根據所述認證響應中交叉證書對安全網關證書的真實性進行認證，并驗證安全網關證書的有效性，所述基站再根據設備商的根證書驗證所述交叉證書的真實性，驗證所述交叉證書的有效性。

5.如權利要求4所述的方法，其特征在于，

所述認證請求中還包括所述基站的身份載荷，證書請求載荷、安全關聯載荷和流量選擇載荷。

6.一種移動回程網證書分發系統，其特征在于，該系統包括基站與安全網關，其中：

所述基站，用于與所述安全網關基于國際互聯網密鑰交換(IKE)協議進行認證，并通過所述安全網關創建的IP層協議安全結構(IPSec)隧道發送證書注冊請求，以及用于從所述IPSec隧道中接收所述安全網關發送的基站證書；

所述安全網關，用于與所述基站基于IKE協議進行認證，并基于IKE?SA創建IPSec隧道，通過所述IPSec隧道接收所述基站發送的證書注冊請求，并將該證書注冊請求轉發給證書注冊審核機構(RA)或者數字證書認證中心(CA)，以及用于將所述RA或者CA返回的基站證書通過所述IPSec隧道發送給所述基站。

7.如權利要求6所述的系統，其特征在于，所述基站與所述安全網關之間具有事先配置的預共享密鑰時：

所述基站，用于向所述安全網關發送認證請求，所述認證請求包括所述基站的認證載荷，以及用于接收所述安全網關發送的認證響應，根據事先配置的預共享密鑰以及所述認證響應中安全網關的認證載荷對所述安全網關進行認證；

所述安全網關，用于接收所述基站發送的認證請求，根據事先配置的預共享密鑰以及所述認證請求中基站的認證載荷對所述基站進行認證，以及用于在對所述基站認證成功時，向所述基站返回認證響應，所述認證響應包括所述安全網關的認證載荷。