[發明專利]一種附著流程的實現方法及裝置

有效

• 申請號: 201710316639.4
• 申請日: 2017-05-08
• 公開（公告）號: CN108880813B
• 公開（公告）日: 2021-07-16
• 發明（設計）人: 劉福文;彭晉;左敏;莊小君
• 申請（專利權）人: 中國移動通信有限公司研究院;中國移動通信集團公司
• 主分類號: H04L9/30
• 分類號: H04L9/30;H04L9/32;H04L29/06
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 張振偉;姚開麗

1.一種附著流程的實現方法，其特征在于，所述方法包括：

第一網元接收UE發送的附著請求消息，計算所述第一網元的DH公鑰；

所述第一網元向第二網元發送簽名請求消息，所述簽名請求消息包括所述第一網元的DH公鑰；所述第一網元接收所述第二網元發送的簽名響應消息，所述簽名響應消息包括被所述第二網元的私鑰簽名的第一網元的DH公鑰；

所述第一網元向所述UE發送身份請求消息，所述身份請求消息包括被所述第二網元的私鑰簽名的第一網元的DH公鑰；如果所述UE使用所述第二網元的公鑰對所述簽名驗證成功，則所述第一網元接收所述UE發送的身份響應消息，所述身份響應消息包括被加密密鑰加密的所述UE的身份信息，所述加密密鑰基于所述第一網元的DH公鑰而生成；

所述第一網元基于自身的DH公鑰計算所述加密密鑰，基于所述加密密鑰從所述身份響應消息中獲取所述UE的身份信息，并基于所述UE的身份信息向第三網元進行認證和密鑰協商流程；其中，

所述附著請求消息具有兩種，分別為：第一附著請求消息、第二附著請求消息，其中，

如果所述UE已分配GUTI，則所述第一網元接收UE發送的第一附著請求消息，所述第一附著請求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性隨機數，所述GUTI代表所述UE的臨時身份，所述MAC0代表消息驗證碼；

如果所述UE未分配GUTI，則所述第一網元接收UE發送的第二附著請求消息，所述第二附著請求消息包括：Nonce1、MMC+MNC，所述MMC代表歸屬網絡的國家號碼，所述MNC代表網絡號碼；

所述第一網元接收UE發送的附著請求消息，計算所述第一網元的DH公鑰，包括：

如果所述第一網元接收到UE發送的第二附著請求消息，則生成所述第一網元的DH私鑰，并計算與所述第一網元的DH私鑰相應的DH公鑰；

如果所述第一網元接收到UE發送的第一附著請求消息，則判定如下條件是否成立：是否存在與所述UE的臨時身份相對應的UE的真實身份、所述第一網元與UE之間是否已經建立共享密鑰K_DH；如果上述條件中的一個或兩個不成立，則所述第一網元生成所述第一網元的DH私鑰，并計算與所述第一網元的DH私鑰相應的DH公鑰。

2.根據權利要求1所述的方法，其特征在于，所述MAC0通過以下公式計算：

MAC0＝HASH(K_DH,Nonce1,GUTI)

其中，HASH為哈希函數，K_DH為所述UE和所述第一網元之間上次使用的共享密鑰。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

所述第一網元根據所述第一附著請求消息中GUTI中的MMC+MNC，或者根據所述第二附著請求消息中的MMC+MNC，生成所述簽名請求消息，所述簽名請求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一網元的DH公鑰，所述SNid代表服務網絡號；

其中，如果所述MMC+MNC指向的網絡與所述第一網元所在的網絡屬于不同屬性的網絡，則所述簽名請求消息還包括：SIGNSEAF，所述SIGNSEAF代表所述第一網元或者與所述第一網元互聯的安全網管利用所述第一網元的私鑰對所述簽名請求消息的數字簽名。

4.根據權利要求3所述的方法，其特征在于，在所述簽名請求消息包括所述SIGNSEAF的情況下，所述簽名響應消息具有兩種，分別為：第一簽名響應消息和第二簽名響應消息，其中，

如果所述第二網元利用所述第一網元的公鑰對所述簽名請求消息的數字簽名驗證失敗，則所述第一網元接收所述第二網元發送的第一簽名響應消息，所述第一簽名響應消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表驗證失敗，所述SIGNAUSF代表所述第二網元利用所述第二網元的私鑰對所述簽名響應消息的數字簽名；

如果所述第二網元利用所述第一網元的公鑰對所述簽名請求消息的數字簽名驗證成功，則所述第一網元接收所述第二網元發送的第二簽名響應消息，所述第二簽名響應消息包括：Nonce1、KSpub、SIGNAUSF。