[發明專利]一種基于共享加密數據的雙向鑒權方法及系統

有效

• 申請號: 201110349619.X
• 申請日: 2011-11-08
• 公開（公告）號: CN103096317A
• 公開（公告）日: 2013-05-08
• 發明（設計）人: 徐龍杰;林睿;趙凌云;郭寧;羅楠
• 申請（專利權）人: 中國電信股份有限公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04L9/32;H04L9/08
• 代理公司: 中國國際貿易促進委員會專利商標事務所 11038
• 代理人: 曾暉

1.一種基于共享加密數據的雙向鑒權方法，包括以下步驟：

在接入鑒權協商過程中，網絡側與終端側協商采用雙向鑒權，并協商采用的鑒權算法；

網絡側根據共享加密數據計算第一鑒權密鑰，以所述第一鑒權密鑰作為所述鑒權算法的入參，計算第一鑒權向量，并將所述第一鑒權向量傳送給終端側；

終端側根據共享加密數據計算第二鑒權密鑰，以所述第二鑒權密鑰作為所述鑒權算法的入參，計算第二鑒權向量；

終端側判斷所述第一鑒權向量與所述第二鑒權向量是否一致，完成終端側對網絡側的鑒權認證，如果一致，則鑒權通過，并將終端側的鑒權響應發給網絡側；

網絡側比較終端側傳送的鑒權響應與網絡側生成的鑒權響應是否一致，完成網絡側對終端側的鑒權認證，如果一致，則鑒權通過。

2.根據權利要求1所述基于共享加密數據的雙向鑒權方法，其中，網絡側根據共享加密數據計算第一鑒權密鑰，包括以下步驟：

所述網絡側包括AN-AAA以及HLR/AC，在AN-AAA已保存HLR/AC的共享加密數據，根據共享加密數據計算第一鑒權密鑰；或者

在AN-AAA未保存共享加密數據或與終端側的共享加密數據不一致時，由HLR/AC進行鑒權，在鑒權通過后將共享加密數據返回給AN-AAA，根據共享加密數據計算第一鑒權密鑰。

3.根據權利要求1或2所述基于共享加密數據的雙向鑒權方法，其中，計算第一鑒權向量之后，還包括以下步驟：

當終端側與網絡側的隨機數或鑒權序列號一致或協商成功時，將鑒權序列號加1；或者

當終端側與網絡側的隨機數或鑒權序列號不一致或協商失敗時，進行隨機數與鑒權序列號的同步，將鑒權序列號加1。

4.根據權利要求1或2或3所述基于共享加密數據的雙向鑒權方法，其中，在接入鑒權協商過程中，還執行以下操作：網絡側與終端側協商進行IPsec加密。

5.根據權利要求4所述基于共享加密數據的雙向鑒權方法，其中，進行IPsec加密包括僅加密信令、僅加密數據、或者數據和信令都加密。

6.一種基于共享加密數據的雙向鑒權系統，其中：

終端側包括UIM卡和MS：

所述MS在接入鑒權協商過程中，與網絡側協商采用雙向鑒權，并協商采用的鑒權算法；根據共享加密數據計算第二鑒權密鑰，以所述第二鑒權密鑰作為所述鑒權算法的入參，計算第二鑒權向量；判斷所述第一鑒權向量與所述第二鑒權向量是否一致，完成終端側對網絡側的鑒權認證，如果一致，則鑒權通過，并將終端側的鑒權響應發給網絡側；

網絡側包括WAG、AN-AAA以及HLR：

所述WAG將第一鑒權向量傳送給終端側，以及接收終端側傳送的鑒權響應；

所述AN-AAA根據共享加密數據計算第一鑒權密鑰，以所述第一鑒權密鑰作為所述鑒權算法的入參，計算第一鑒權向量，并將所述第一鑒權向量傳送給WAG；從WAG接收終端側傳送的鑒權響應，比較終端側傳送的鑒權響應與AN-AAA生成的鑒權響應是否一致，完成網絡側對終端側的鑒權認證，如果一致，則鑒權通過。

7.根據權利要求6所述基于共享加密數據的雙向鑒權系統，其中：

所述AN-AAA在已保存HLR的共享加密數據時，從HLR獲取共享加密數據；或者在AN-AAA未保存共享加密數據或與終端側的共享加密數據不一致時，由HLR進行鑒權，在鑒權通過后將共享加密數據返回給AN-AAA。

8.根據權利要求6或7所述基于共享加密數據的雙向鑒權系統，其中：

所述AN-AAA在終端側與網絡側的隨機數或鑒權序列號一致或協商成功時，將鑒權序列號加1；或者在終端側與網絡側的隨機數或鑒權序列號不一致或協商失敗時，進行隨機數與鑒權序列號的同步，再將鑒權序列號加1。

9.根據權利要求6或7或8所述基于共享加密數據的雙向鑒權系統，其中，所述網絡側與終端側還協商進行IPsec加密。

10.根據權利要求9所述基于共享加密數據的雙向鑒權系統，其中，進行IPsec加密可協商僅加密信令、僅加密數據或者數據和信令都加密。