[發(fā)明專利]一種基于公鑰實(shí)現(xiàn)用戶與網(wǎng)絡(luò)認(rèn)證和密鑰分發(fā)的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201010607896.1
• 申請(qǐng)日: 2010-12-27
• 公開（公告）號(hào): CN102036238A
• 公開（公告）日: 2011-04-27
• 發(fā)明（設(shè)計(jì)）人: 馮秀濤;朱文濤;周春芳
• 申請(qǐng)（專利權(quán)）人: 中國科學(xué)院軟件研究所
• 主分類號(hào): H04W12/04
• 分類號(hào): H04W12/04;H04W12/06
• 代理公司: 北京君尚知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11200
• 代理人: 馮藝東

技術(shù)領(lǐng)域

本發(fā)明主要應(yīng)用于通信領(lǐng)域，具體涉及一種基于公鑰的用于實(shí)現(xiàn)通訊中用戶與網(wǎng)絡(luò)相互認(rèn)證及密鑰分發(fā)的方法。

背景技術(shù)

LTE/SAE(Long?Term?Evolution長期演進(jìn)/System?architecture?evolution系統(tǒng)架構(gòu)演進(jìn))是3GPP對(duì)UMTS(Universal?Mobile?Telecommunication?System通用移動(dòng)通信系統(tǒng))的演進(jìn)技術(shù)，它支持在20MHz頻譜帶寬下提供下行100Mbps、上行50Mbps的峰值速率。LTE/SAE的網(wǎng)絡(luò)由用戶設(shè)備、接入網(wǎng)以及核心網(wǎng)組成。

在UMTS系統(tǒng)中，UE(User?Equipment用戶設(shè)備)和網(wǎng)絡(luò)的交互認(rèn)證采用AKA(Authentication?and?Key?Agreement認(rèn)證和密鑰協(xié)商協(xié)議)認(rèn)證的方式。EPS(Evolved?PacketSystem演進(jìn)的分組系統(tǒng))系統(tǒng)的認(rèn)證過程與UMTS中的AKA鑒權(quán)過程基本相同，采用Milenage算法，繼承了UMTS中五元組鑒權(quán)機(jī)制的優(yōu)點(diǎn)，實(shí)現(xiàn)了UE和網(wǎng)絡(luò)側(cè)的雙向認(rèn)證。

EPS?AKA是應(yīng)用于E-UTRAN(Evolved?UTRAN演進(jìn)的UTRAN)的認(rèn)證與密鑰協(xié)商過程。EPS?AKA生成的密鑰是推衍用戶平面、無線資源控制、非接入層的加密密鑰的基礎(chǔ)，也是無線資源控制、非接入層的完整性保護(hù)密鑰的基礎(chǔ)。

EPS?AKA過程由EPS用戶認(rèn)證過程和分發(fā)認(rèn)證數(shù)據(jù)/密鑰協(xié)定過程組成。EPS系統(tǒng)的AKA用戶認(rèn)證流程如下：

1)網(wǎng)絡(luò)側(cè)MME(Mobility?Management?Entity移動(dòng)管理實(shí)體)向UE首先發(fā)起用戶鑒權(quán)請(qǐng)求流程。MME將隨機(jī)挑選的RAND(隨機(jī)數(shù))和認(rèn)證令牌AUTN(Authentication?token認(rèn)證令牌)經(jīng)過ME(Mobile?Equipment移動(dòng)設(shè)備)發(fā)送給USIM(Universal?SubscriberIdentity?Module通用用戶識(shí)別模塊)，其中AUTN來自當(dāng)前所選的認(rèn)證向量，供用戶認(rèn)證網(wǎng)絡(luò)。

2)收到此消息后，USIM應(yīng)檢驗(yàn)AUTN是否正確，如果正確，UE應(yīng)該對(duì)用戶的認(rèn)證響應(yīng)消息作出回應(yīng)，響應(yīng)消息中包括RES(Response響應(yīng))、成功的AUTN檢驗(yàn)，以及成功的AMF(Authentication?Management?Field認(rèn)證管理字段)檢驗(yàn)。同時(shí)，USIM計(jì)算加密密鑰和完整性密鑰。

3)如果認(rèn)證不成功，UE應(yīng)發(fā)送用戶認(rèn)證拒絕消息，并返回對(duì)應(yīng)的CAUSE值。

EPS系統(tǒng)的分發(fā)認(rèn)證數(shù)據(jù)/密鑰協(xié)定過程主要實(shí)現(xiàn)MME從HSS(Home?Subscriber?Server歸屬用戶服務(wù)器)獲取一個(gè)或者若干個(gè)EPS認(rèn)證向量(RAND、AUTN、XRES、K_ASME)，以執(zhí)行一定數(shù)目的用戶認(rèn)證。從HSS到MME認(rèn)證向量的發(fā)布流程如下：

1)MME通過認(rèn)證數(shù)據(jù)請(qǐng)求消息向HSS請(qǐng)求認(rèn)證向量，消息包括IMSI(InternationalMobile?Subscriber?Identity國際移動(dòng)用戶標(biāo)識(shí))、服務(wù)網(wǎng)絡(luò)標(biāo)識(shí)以及網(wǎng)絡(luò)類型。

2)當(dāng)HSS收到MME認(rèn)證數(shù)據(jù)請(qǐng)求后，可以請(qǐng)求將它們從HSS的數(shù)據(jù)庫中取回一定數(shù)量事先計(jì)算好的EPS認(rèn)證向量，或者根據(jù)需要進(jìn)行計(jì)算。

3)HSS發(fā)送認(rèn)證響應(yīng)給MME，認(rèn)證響應(yīng)中包含請(qǐng)求信息，如果請(qǐng)求多個(gè)EPS認(rèn)證向量，則根據(jù)其序列號(hào)進(jìn)行分配。

3GPP的SAE?Release?8標(biāo)準(zhǔn)中提到，AKA認(rèn)證與密鑰協(xié)商機(jī)制存在用戶身份信息泄露、認(rèn)證向量易被截獲、長期共享密鑰K和不支持?jǐn)?shù)據(jù)簽名等問題。

發(fā)明內(nèi)容

本發(fā)明的目的在于提出一種基于公鑰體制的改進(jìn)的認(rèn)證與密鑰分發(fā)方法，該方法能進(jìn)一步解決現(xiàn)有機(jī)制存在的用戶身份泄露、認(rèn)證向量易被截獲、長期共享密鑰K和不支持?jǐn)?shù)據(jù)簽名的問題，提高通信的安全性能。

為了實(shí)現(xiàn)本發(fā)明的目的采用的技術(shù)方案概述如下：

一種基于公鑰實(shí)現(xiàn)用戶與網(wǎng)絡(luò)認(rèn)證和密鑰分發(fā)的方法，其步驟包括：

1)通訊網(wǎng)絡(luò)中配置一套公鑰基礎(chǔ)設(shè)施PKI，由證書認(rèn)證中心對(duì)網(wǎng)絡(luò)中通訊實(shí)體包括用戶設(shè)備、網(wǎng)絡(luò)移動(dòng)管理實(shí)體、網(wǎng)絡(luò)歸屬用戶服務(wù)器頒發(fā)公鑰證書；

2)用戶設(shè)備和網(wǎng)絡(luò)移動(dòng)管理實(shí)體通過驗(yàn)證對(duì)方的公鑰證書進(jìn)行互相認(rèn)證；網(wǎng)絡(luò)移動(dòng)管理實(shí)體、網(wǎng)絡(luò)歸屬用戶服務(wù)器互相信任，故網(wǎng)絡(luò)歸屬用戶服務(wù)器與用戶設(shè)備不需互相認(rèn)證。