[發(fā)明專利]一種利用5G-AKA對SUPI進(jìn)行保護(hù)的方法

有效

• 申請?zhí)枺?/td>: 201810482380.5
• 申請日: 2018-05-18
• 公開（公告）號: CN108848502B
• 公開（公告）日: 2021-07-23
• 發(fā)明（設(shè)計(jì)）人: 賈云鶴;葉瑯;劉暢;徐彥吏
• 申請（專利權(quán)）人: 興唐通信科技有限公司;數(shù)據(jù)通信科學(xué)技術(shù)研究所
• 主分類號: H04W12/03
• 分類號: H04W12/03;H04W12/041;H04W12/06;H04W12/065;H04W12/69;H04W8/26
• 代理公司: 北京天達(dá)知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11386
• 代理人: 龐許倩;馬東偉

1.一種利用5G-AKA對SUPI進(jìn)行保護(hù)的方法，其特征在于，包括以下步驟：

接收終端發(fā)起的鑒權(quán)請求，對終端上報(bào)的SUCI(SubscriptionConcealed Identifier，注冊用戶掩蓋識(shí)別碼)進(jìn)行解密，得到SUPI(Subscription Permanent Identifier，注冊用戶永久識(shí)別碼)；

當(dāng)確定需要更換身份信息時(shí)，選擇一新的“在用”身份標(biāo)識(shí)SUPI'；

對上述“在用”身份標(biāo)識(shí)進(jìn)行加密后生成鑒權(quán)向量AV’，將所述鑒權(quán)向量AV’中的鑒權(quán)參數(shù)發(fā)送給終端；

接收更換上述“在用”身份后的終端發(fā)起的二次鑒權(quán)請求，利用終端上報(bào)的SUCI、臨時(shí)公鑰，獲得所述終端的“在用”身份SUPI’，并通過所述SUPI’查詢SUPI，使用所述SUPI對應(yīng)的根密鑰K和“在用”身份SUPI'信息生成鑒權(quán)向量AV，從而利用新的“在用”身份標(biāo)識(shí)進(jìn)行鑒權(quán)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述生成鑒權(quán)向量AV’包括：

對SUPI'計(jì)算雜湊值生成認(rèn)證標(biāo)簽HASH(SUPI')；

使用傳輸保護(hù)密鑰TK對HASH(SUPI')進(jìn)行加密后放入鑒權(quán)向量AV’的AUTN'字段的相應(yīng)位置；

將臨時(shí)公鑰TPK放入鑒權(quán)向量AV’的RAND'字段；采用隨機(jī)數(shù)對鑒權(quán)向量AV’的其他字段進(jìn)行填充。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述生成鑒權(quán)向量AV’，包括：

對SUPI'計(jì)算雜湊值生成認(rèn)證標(biāo)簽HASH(SUPI')；

使用共享密鑰對HASH(SUPI’)進(jìn)行加密，并將加密后的數(shù)據(jù)放入鑒權(quán)向量AV’的RAND'字段中；

采用隨機(jī)數(shù)對鑒權(quán)向量AV’的其他字段進(jìn)行填充,且AUTN'字段中AMF值保持有效。

4.根據(jù)權(quán)利要求2或3所述的方法，其特征在于，所述利用新的“在用”身份標(biāo)識(shí)進(jìn)行鑒權(quán)包括：

網(wǎng)元AMF接收更換上述“在用”身份后的終端上報(bào)的SUCI和臨時(shí)公鑰；

網(wǎng)元AMF將SUCI和臨時(shí)公鑰發(fā)送給歸屬地網(wǎng)絡(luò)的UDM/ARPF，并發(fā)起認(rèn)證鑒權(quán)請求；

UDM/ARPF接收到上述認(rèn)證鑒權(quán)請求及終端上報(bào)的SUCI、臨時(shí)公鑰后，生成鑒權(quán)向量AV；

UDM/ARPF將上述生成的鑒權(quán)向量AV以及SUPI'信息放在鑒權(quán)響應(yīng)消息中，發(fā)送給網(wǎng)元AMF；

網(wǎng)元AMF從鑒權(quán)響應(yīng)消息中提取出鑒權(quán)參數(shù)AUTN和RAND下發(fā)給終端。

5.一種利用5G-AKA對SUPI進(jìn)行保護(hù)的方法，其特征在于，包括以下步驟：

向核心網(wǎng)發(fā)送鑒權(quán)請求，對SUPI(Subscription PermanentIdentifier，注冊用戶永久識(shí)別碼)進(jìn)行加密獲得SUCI(SubscriptionConcealedIdentifier，注冊用戶掩蓋識(shí)別碼)，并將SUCI、臨時(shí)公鑰上報(bào)核心網(wǎng)；

接收核心網(wǎng)下發(fā)的鑒權(quán)響應(yīng)信息并進(jìn)行驗(yàn)證，當(dāng)驗(yàn)證成功時(shí)，則執(zhí)行正常鑒權(quán)流程；當(dāng)驗(yàn)證失敗時(shí)，則進(jìn)行SUPI'更換；

發(fā)起二次鑒權(quán)，并獲取二次鑒權(quán)參數(shù)進(jìn)行驗(yàn)證，包括：

向核心網(wǎng)發(fā)送二次鑒權(quán)請求，對所述SUPI’進(jìn)行加密獲得SUCI，并將SUCI、臨時(shí)公鑰上報(bào)給核心網(wǎng)；

在鑒權(quán)響應(yīng)消息中攜帶所述SUPI'，并在后續(xù)鑒權(quán)和網(wǎng)絡(luò)中，以所述SUPI'為該用戶的“在用”身份標(biāo)識(shí)；

接收核心網(wǎng)下發(fā)的所述鑒權(quán)響應(yīng)信息并進(jìn)行驗(yàn)證，當(dāng)驗(yàn)證成功時(shí)，則執(zhí)行正常鑒權(quán)流程。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述進(jìn)行SUPI'更換包括：

在接收到的鑒權(quán)響應(yīng)信息RAND'字段中提取TPK，與SUCI信息中的公鑰字段對應(yīng)的本地私鑰一同派生出傳輸密鑰TK；

使用傳輸密鑰TK對接收到的鑒權(quán)響應(yīng)信息AUTN'中字段進(jìn)行解密，獲得HASH(SUPI')并驗(yàn)證HASH值，若通過，則本次身份更換成功；

將SUPI'作為終端的“在用”身份，用于二次鑒權(quán)。