[發明專利]空天車地軌道專用網絡接入認證與密鑰協商系統和方法

有效

• 申請號: 201710470701.5
• 申請日: 2017-06-20
• 公開（公告）號: CN107204847B
• 公開（公告）日: 2021-03-23
• 發明（設計）人: 朱曉妍;王上慶;賈鑫;張海林
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04W12/02;H04W12/03;H04W12/0431;H04W12/06;H04B7/185
• 代理公司: 陜西電子工業專利中心 61205
• 代理人: 程曉霞;王品華

1.一種面向空天車地信息一體化專用網絡的接入認證與密鑰協商系統，其特征在于，在空天車地信息一體化軌道專用網絡的網絡結構和通信模式下，實現飛艇和地面安全與運營保障中心的接入認證與密鑰協商，用戶與飛艇間的接入認證與密鑰協商，包括有如下子系統：

核心網配置認證子系統：包括有飛艇、地面安全與運營保障中心，在飛艇和地面安全與運營保障中心進行認證過程中使用公鑰密碼體制對傳輸的認證信息進行加密，需要可信的第三方認證中心CA參與；飛艇和地面安全與運營保障中心間進行接入認證以及密鑰協商，通過協商產生對稱密鑰K，以對稱密鑰K為基礎，在兩者間建立安全信道；若通過協商產生對稱密鑰K后，若非存在飛艇更換或密鑰定期更新情況，無需進行重新配置；

在核心網配置認證子系統中，飛艇和地面安全與運營保障中心間建立安全信道，具體如下：

(1.a)飛艇獲取地面安全與運營保障中心的公鑰；

(1.b)飛艇使用公鑰向地面安全與運營保障中心發送接入請求；

(1.c)地面安全與運營保障中心獲取飛艇的公鑰；

(1.d)地面安全與運營保障中心給飛艇發送請求響應；

(1.e)飛艇驗證地面安全與運營保障中心真實性；

(1.f)地面安全與運營保障中心驗證飛艇身份真實性后，生成對稱密鑰K；

(1.g)地面安全與運營保障中心向飛艇傳遞對稱密鑰K，完成認證與密鑰協商流程；

用戶接入認證子系統：包括用戶設備、飛艇、地面安全與運營保障中心，實現用戶設備和飛艇之間的認證及密鑰協商，完成用戶設備的接入認證，獲得用戶設備和飛艇間的通信會話密鑰IK，以會話密鑰為基礎，在兩者間建立安全通信，用戶設備接入飛艇的認證過程中無需認證中心CA參與，在飛艇和地面安全與運營保障中心間傳輸的認證數據使用對稱密鑰K進行加密，在不破壞原有LTE認證機制的輕便性的前提下，完成用戶認證及密鑰協商；

在用戶接入認證子系統中，用戶設備和飛艇間建立安全信道，具體如下：

(2.a)用戶設備向飛艇發送接入認證請求；

(2.b)飛艇轉發認證請求至地面安全與運營保障中心；

(2.c)地面安全與運營保障中心驗證用戶設備身份合法性，并生成認證向量組；

(2.d)地面安全與運營保障中心將認證向量組及用戶設備身份信息，使用在核心網配置認證子系統中協商得到的對稱密鑰K加密，發送給飛艇；

(2.e)飛艇解密得到地面安全與運營保障中心生成的認證向量組后，從中選取一個認證向量，為基礎密鑰生成一個密鑰標識；認證向量包括以下參數：隨機數，認證令牌，預期響應，基礎密鑰；

(2.f)飛艇將隨機數、認證令牌及密鑰標識作為認證響應發送給用戶設備，認證令牌作為用戶驗證飛艇身份的憑據；

(2.g)用戶設備接收到認證響應后，驗證飛艇身份；

(2.h)飛艇通過驗證后，用戶設備向飛艇發送用戶響應；

(2.i)飛艇驗證用戶設備身份；

(2.j)通過驗證后，兩者根據基礎密鑰生成后續加密密鑰及完整性密鑰；

核心網配置認證子系統在用戶設備接入認證之前獨立完成配置，其過程不影響用戶設備接入認證。

2.根據權利要求1所述的面向空天車地信息一體化專用網絡的接入認證與密鑰協商系統，其特征在于，對稱密鑰K由核心網配置認證子系統完成身份認證后協商得到，應用于用戶接入認證子系統中，實現用戶設備接入流程中飛艇和地面安全與運營保障中心間鏈路的加密，保障通信數據安全傳輸。

3.一種面向空天車地信息一體化專用網絡的接入認證與密鑰協商方法，在權利要求1或2所述的面向空天車地信息一體化專用網絡的接入認證與密鑰協商系統上運行，其特征在于，包括有如下協商過程：

(1)飛艇和地面安全與運營保障中心間進行認證以及密鑰協商，完成飛艇和地面安全與運營保障中心間的相互認證，并得到對稱密鑰K；

(2)用戶設備和飛艇之間進行認證及密鑰協商，完成用戶設備和飛艇之間的相互認證，得到會話密鑰；

(3)通過核心網認證子系統，協商得到的對稱密鑰K，保證用戶接入認證子系統中飛艇與地面安全與運營保障中心間的安全通信；通過用戶接入認證子系統，協商得到的會話密鑰IK，保證后續用戶設備和飛艇間的安全通信；實現保證從用戶設備到飛艇到地面安全與運營保障中心整個傳輸鏈路中的可靠傳輸。

4.根據權利要求3所述的面向空天車地信息一體化專用網絡的接入認證與密鑰協商方法，其特征在于，步驟(1)中飛艇和地面安全與運營保障中心間的相互認證，得到對稱密鑰K，具體包括有：

(1.1)飛艇MME向認證中心CA發送

(1.2)認證中心CA解密，并向飛艇MME發送

(1.3)飛艇MME驗證認證中心簽名，驗證通過后，飛艇生產隨機數R₁，向地面安全與運營保障中心HSS發送認證請求驗證未通過，返回執行步驟(1.1)，飛艇重新進行接入認證；

(1.4)地面安全與運營保障中心HSS用私鑰SK_HSS解密認證請求后，將發送至認證中心CA；

(1.5)認證中心CA向地面安全與運營保障中心HSS發送

(1.6)地面安全與運營保障中心HSS驗證認證中心簽名，并生產隨機數R₂，向飛艇MME發送請求響應

(1.7)飛艇MME解密并驗證隨機數R₁，并向地面安全與運營保障中心HSS發送

(1.8)地面安全與運營保障中心HSS解密并驗證隨機數R₂，生成對稱密鑰K，向飛艇MME發送