[發(fā)明專利]端到端認(rèn)證及密鑰協(xié)商方法、裝置及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201711287004.2
• 申請(qǐng)日: 2017-12-07
• 公開（公告）號(hào): CN109905348B
• 公開（公告）日: 2020-10-23
• 發(fā)明（設(shè)計(jì)）人: 姚惠娟;萬榮飛;劉冰洋
• 申請(qǐng)（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08;H04L9/08;H04L9/32
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 李志新

1.一種端到端認(rèn)證及密鑰協(xié)商系統(tǒng)，應(yīng)用于基于身份位置分離的身份網(wǎng)絡(luò)，其特征在于，包括第一通信設(shè)備和第二通信設(shè)備，其中：

所述第一通信設(shè)備用于向所述第二通信設(shè)備發(fā)送第一消息，所述第一消息中包括第一密鑰生成參數(shù)，所述第一密鑰生成參數(shù)為所述第一通信設(shè)備生成安全參數(shù)所需的密鑰生成參數(shù)，所述安全參數(shù)為所述第一通信設(shè)備與所述第二通信設(shè)備進(jìn)行密鑰協(xié)商所共享的安全參數(shù)；

第二通信設(shè)備用于對(duì)所述第一通信設(shè)備進(jìn)行身份認(rèn)證，并接收所述第一通信設(shè)備發(fā)送的第一消息，根據(jù)第二密鑰生成參數(shù)以及所述第一消息中包括的所述第一密鑰生成參數(shù)生成所述安全參數(shù)，所述第二密鑰生成參數(shù)為所述第二通信設(shè)備生成安全參數(shù)所需的密鑰生成參數(shù)，所述第二通信設(shè)備向所述第一通信設(shè)備發(fā)送第二消息，所述第二消息中包括所述第二密鑰生成參數(shù)；

所述第一通信設(shè)備用于對(duì)所述第二通信設(shè)備進(jìn)行身份認(rèn)證，并接收所述第二消息，根據(jù)所述第一密鑰生成參數(shù)以及所述第二消息中包括的所述第二密鑰生成參數(shù)生成所述安全參數(shù)。

2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述第一消息中還包括所述第一通信設(shè)備支持的第一安全配置指示，所述第一安全配置指示用于指示密鑰生成算法、認(rèn)證算法和加密算法；

所述第二消息中還包括所述第二通信設(shè)備使用的第二安全配置指示，所述第二安全配置指示與所述第一安全配置指示相同或者不同，所述第二安全配置指示用于指示密鑰生成算法、認(rèn)證算法和加密算法；

所述第二通信設(shè)備用于根據(jù)第二安全配置指示、第二密鑰生成參數(shù)以及所述第一消息中包括的所述第一密鑰生成參數(shù)生成所述安全參數(shù)；

所述第一通信設(shè)備用于根據(jù)第二安全配置指示、所述第一密鑰生成參數(shù)以及所述第二消息中包括的所述第二密鑰生成參數(shù)生成所述安全參數(shù)。

3.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，所述第二消息中還包括第一消息認(rèn)證碼MAC，所述第一MAC由所述第二通信設(shè)備根據(jù)所述安全參數(shù)生成；

所述第一通信設(shè)備通過驗(yàn)證所述第二消息中包括的第一MAC，對(duì)所述第二通信設(shè)備進(jìn)行身份認(rèn)證。

4.根據(jù)權(quán)利要求3所述的系統(tǒng)，其特征在于，所述第一通信設(shè)備還用于向所述第二通信設(shè)備發(fā)送第三消息，所述第三消息中包括第二MAC，所述第二MAC由所述第一通信設(shè)備根據(jù)所述安全參數(shù)生成；

所述第二通信設(shè)備用于接收所述第一通信設(shè)備發(fā)送的第三消息，并通過驗(yàn)證所述第三消息中包括的所述第二MAC，對(duì)所述第一通信設(shè)備進(jìn)行身份認(rèn)證。

5.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，所述第一消息中還包括所述第一通信設(shè)備的簽名，所述第一通信設(shè)備的簽名由所述第一通信設(shè)備根據(jù)第一通信設(shè)備私鑰計(jì)算，所述第一通信設(shè)備私鑰由所述第一通信設(shè)備從通用身份服務(wù)GRIDS處獲取；

所述第二消息中還包括所述第二通信設(shè)備的簽名，所述第二通信設(shè)備的簽名由所述第二通信設(shè)備根據(jù)第二通信設(shè)備私鑰計(jì)算，所述第二通信設(shè)備私鑰由所述第二通信設(shè)備從GRIDS處獲取；

所述第二通信設(shè)備通過將所述第一通信設(shè)備的身份標(biāo)識(shí)作為公鑰驗(yàn)證所述第一消息中包括的所述第一通信設(shè)備的簽名，對(duì)所述第一通信設(shè)備進(jìn)行身份認(rèn)證；

所述第一通信設(shè)備通過將所述第二通信設(shè)備的身份標(biāo)識(shí)作為公鑰驗(yàn)證所述第二消息中包括的所述第二通信設(shè)備的簽名，對(duì)所述第二通信設(shè)備進(jìn)行身份認(rèn)證。

6.根據(jù)權(quán)利要求1、2或4任一項(xiàng)所述的系統(tǒng)，其特征在于，所述第一密鑰生成參數(shù)包括第一通信設(shè)備生成的第一隨機(jī)數(shù)以及根據(jù)所述第一隨機(jī)數(shù)確定的第一迪菲-赫爾曼密鑰交換DH公鑰，所述第二密鑰生成參數(shù)包括第二通信設(shè)備生成的第二隨機(jī)數(shù)以及根據(jù)所述第二隨機(jī)數(shù)確定的第二DH公鑰；

或者

所述第一密鑰生成參數(shù)包括利用所述第二通信設(shè)備的公鑰加密后的第三隨機(jī)數(shù)和所述第一通信設(shè)備的身份標(biāo)識(shí)，所述第三隨機(jī)數(shù)為所述第一通信設(shè)備生成的隨機(jī)數(shù)，所述第二通信設(shè)備的公鑰為所述第二通信設(shè)備的身份標(biāo)識(shí)；

所述第二密鑰生成參數(shù)中包括利用所述第一通信設(shè)備的公鑰加密后的第四隨機(jī)數(shù)以及所述第二通信設(shè)備的身份標(biāo)識(shí)，所述第四隨機(jī)數(shù)為所述第二通信設(shè)備生成的隨機(jī)數(shù)，所述第一通信設(shè)備的公鑰為所述第一通信設(shè)備的身份標(biāo)識(shí)。