[發(fā)明專利]因特網協議安全性隧道建立方法，用戶設備及基站

有效

• 申請?zhí)枺?/td>: 201580035366.5
• 申請日: 2015-10-31
• 公開（公告）號: CN107005410B
• 公開（公告）日: 2020-06-26
• 發(fā)明（設計）人: 陳璟;李赫
• 申請（專利權）人: 大勢至（北京）軟件工程有限公司;華為技術有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32
• 代理公司: 北京同輝知識產權代理事務所(普通合伙) 11357
• 代理人: 饒富春

1.一種因特網協議安全性IPsec隧道建立方法，其特征在于，包括：

基站發(fā)送第一抗重放參數給用戶設備；

所述基站確定所述用戶設備的第二抗重放參數，所述第一抗重放參數和第二抗重放參數分別用于防止所述基站和所述用戶設備每次生成的密鑰相同；

所述基站根據空口密鑰KeNB和所述第一抗重放參數生成第一預共享密鑰Kipsec，并根據所述第一Kipsec生成第一鑒權信息AUTH；

所述基站確定IPsec隧道建立參數，所述IPsec隧道建立參數包括第二AUTH，其中，所述用戶設備根據所述KeNB和所述第二抗重放參數生成第二Kipsec，并根據所述第二Kipsec生成所述第二AUTH；

若所述基站驗證所述第一AUTH和所述第二AUTH一致，對所述用戶設備的身份進行驗證。

2.如權利要求1所述的方法，其特征在于，還包括：

所述基站將所述基站的互聯網協議IP地址發(fā)送給所述用戶設備；

所述基站接收所述用戶設備發(fā)送的所述用戶設備連接的無線局域網的IP地址。

3.如權利要求1或2所述的方法，其特征在于，所述IPsec隧道建立參數還包括IPsec隧道傳輸參數，所述IPsec隧道傳輸參數包括第一安全參數和用于標識IPsec保護的數據流的出/入端口的標識TS，所述第一安全參數包括安全算法，以及所述第一Kipsec或所述第二Kipsec。

4.如權利要求3所述的方法，其特征在于，所述基站確定IPsec隧道建立參數，包括：

所述基站接收所述用戶設備發(fā)送的第一因特網密鑰交換協議版本2IKEv2消息，所述第一IKEv2消息包括第二安全參數；

所述基站發(fā)送所述第一IKEv2消息的響應消息給所述用戶設備；

所述基站接收所述用戶設備根據所述第二安全參數加密發(fā)送的第二IKEv2消息，所述第二IKEv2消息包括所述IPsec隧道建立參數；

所述基站發(fā)送所述第二IKEv2消息的響應消息給所述用戶設備；

其中，所述IPsec隧道建立參數中還包括所述用戶設備的身份標識，和因特網密鑰交換協議頭HDR，所述HDR中包括用于標識IPsec隧道建立流程的標識SPI；所述安全算法為設置有安全算法級別的安全算法。

5.如權利要求4所述的方法，其特征在于，所述基站驗證所述用戶設備的身份，包括：

所述基站驗證所述用戶設備的身份標識是否與核心網側已獲得的所述用戶設備的身份一致。

6.如權利要求4所述的方法，其特征在于，所述基站確定IPsec隧道建立參數，包括：

所述基站接收所述用戶設備發(fā)送的至少一個無線資源控制RRC消息；

其中，所述至少一個RRC消息封裝所述第一IKEv2消息，所述第一IKEv2消息的響應消息，所述第二IKEv2消息，以及所述第二IKEv2消息的響應消息。

7.如權利要求3所述的方法，其特征在于，所述基站確定IPsec隧道建立參數，包括：

所述基站接收所述用戶設備通過無線資源控制RRC消息發(fā)送的所述第二AUTH和所述用戶設備所支持的安全算法列表；

所述基站根據自身的安全算法級別列表，以及所述用戶設備所支持的安全算法列表，確定所述第一安全參數的安全算法的級別，所述安全算法級別列表包括多個安全算法與安全算法級別的對應關系；

所述基站將所述IPsec隧道建立參數發(fā)送給所述用戶設備。

8.如權利要求3所述的方法，其特征在于，所述基站確定IPsec隧道建立參數，包括：

所述基站通過RRC消息將所述第二AUTH和所述基站的安全算法級別列表發(fā)送給所述用戶設備，以使所述用戶設備根據自身所支持的安全算法列表，以及所述基站的安全算法級別列表，確定所述第一安全參數的安全算法的級別，所述安全算法級別列表包括多個安全算法與安全算法級別的對應關系；

所述基站接收所述用戶設備發(fā)送的所述IPsec隧道建立參數。