[發明專利]在終端聯接至接入網期間實現安全關聯

有效

• 申請號: 201380040142.4
• 申請日: 2013-06-20
• 公開（公告）號: CN104509144B
• 公開（公告）日: 2018-07-17
• 發明（設計）人: J.伯內爾;L.莫蘭德
• 申請（專利權）人: 奧林奇公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04L29/06
• 代理公司: 北京市柳沈律師事務所 11105
• 代理人: 李芳華;張銀英

本發明涉及一種為聯接到接入網(ACC_NET)的終端(UE)實現安全關聯的方法，包括在接收到(211)來自終端的聯接到網絡的請求之后、由接入網的驗證服務器(AAA)執行的下列步驟：從引導功能服務器(BSF)接收(216、218')包含至少一個安全關聯參數(B?TID、Tks)的第一消息；借助由所述終端的歸屬訂戶服務器(HSS)提供的至少一個第一驗證參數(RAND、AUTN、XRES)來對終端進行驗證(217、219')；和向被驗證的終端發送(218、220')包含所述至少一個安全關聯參數的安全關聯消息。

技術領域

本發明的領域是電信領域，更具體地是移動網絡的電信。

背景技術

3GPP標準化組織已定義了被稱做GBA(“通用引導架構”)的架構，其 目的是允許移動終端的驗證以便創建移動終端和應用之間的安全關聯。該架 構包括引導功能服務器，被稱作BSF(“引導功能服務器”)，其充當允許終 端和應用之間建立安全關聯的可信任的第三方。

因而在該架構中所使用的驗證過程分兩個階段實現，由引導服務器BSF 驗證移動終端的第一過程。該驗證階段使得可能基于在驗證過程中生成的共 享密鑰來在終端和BSF之間建立安全關聯。隨后，該共享密鑰使得可能建立 終端和應用之間的安全關聯，其可接入BSF以便恢復用于驗證終端所需的安 全硬件。

在移動終端試圖經由非3GPP接入網連接的情況中，通常通過使用EAP (可擴展驗證協議)協議事先執行將終端聯接到接入網的附加步驟來驗證終 端，以允許其接入非3GPP接入網。

圖1說明當移動終端試圖經由非3GPP接入網連接至應用時的驗證過 程。

在第一階段，移動終端UE通過經所述網絡的接入點AP向驗證服務器 AAA/EAP進行自我尋址并使用EAP驗證協議進行第一驗證來聯接到非 3GPP接入網(步驟105)。

一旦終端UE聯接到非3GPP接入網，它隨后便能利用GBA設施來進行 第二驗證過程。因此，使用基于http協議的連接(步驟111)，裝有SIM卡 的終端UE首先利用引導功能服務器BSF來進行自我驗證(步驟110)。

該驗證的結果是由引導服務器BSF提供的安全密鑰Ks，其在確定的一 段時間內有效。引導服務器BSF還為終端提供與安全密鑰Ks關聯的會話標 識符B-TID，以及所述密鑰的有效期(步驟113)。

接下來，當終端想要訪問應用APP時，它通過打開與所述應用APP的 連接(步驟121)，向該應用指示它想要按照GBA技術來驗證并向其提供會 話標識符B-TID，來和所述應用APP相互自我驗證(步驟120)。

應用APP然后聯系服務器BSF以向其提供會話標識符B-TID，服務器 BSF通過向它提供從安全密鑰和應用的名字中獲取的新的密鑰K'來響應(步 驟123)。在終端這一邊執行相同的操作(步驟125)。

因此終端和應用具有一個相同的密鑰K'，它們可用它來相互自我驗證并 確保它們之間的IP連接(步驟127)。

所述驗證過程因而意味著終端打開其http瀏覽器以便能隨后打開與應 用的IP連接，但該連接并不一定基于http協議。

此外，聯接到網絡時，在利用引導服務器BSF進行自我驗證之前，移動 終端已預先利用接入網的服務器AAA進行了自我驗證。因而對移動終端有 雙重驗證，第一次是在其聯接到網絡時，第二次是在創建與引導服務器BSF 的安全關聯時，從而在終端訪問應用APP期間造成延遲、及復雜度增加， 并增加了網絡上的消息交換。

發明內容

本發明的目的是通過提供為聯接到接入網特別是非3GPP類型接入網的 終端設立安全關聯的方法來解決現有技術的缺點，其只需要一個聯接到網絡 以及安全關聯的聯合階段。