[發明專利]一種基于對稱密鑰池和中繼通信的類AKA身份認證系統和方法

有效

• 申請號: 201810530145.0
• 申請日: 2018-05-29
• 公開（公告）號: CN108737091B
• 公開（公告）日: 2021-03-02
• 發明（設計）人: 富堯;鐘一民;余秋煒
• 申請（專利權）人: 如般量子科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 解明鎧;劉靜靜

1.一種基于對稱密鑰池和中繼通信的類AKA身份認證系統，包括參與AKA身份認證的成員、中繼和服務器，其特征在于，所述成員、中繼和服務器三者共享有群組密鑰池，實施AKA身份認證時具體包括：

成員向中繼發送鑒權請求；

中繼響應于該鑒權請求并從服務器獲得相應的認證向量，且該認證向量包含有指針地址A以及生成所述指針地址A的參數；

生成所述指針地址A的參數采用服務器和成員之間協商的匿名密鑰加密；

中繼利用來自群組密鑰池的密鑰種子再結合隨機數參數計算得到成員和中繼之間的協商密鑰，其中所述隨機數參數是利用指針地址A在群組密鑰池中相應獲得；

中繼向成員發送提問消息，且該提問消息中包含來自認證向量的生成所述指針地址A的參數；

成員通過指針地址A的參數生成所述指針地址A，利用來自群組密鑰池的密鑰種子，再結合指針地址A在群組密鑰池中獲得隨機數參數計算得到成員和中繼之間的協商密鑰；

成員響應于所述提問消息向中繼發送相應的鑒權應答；

中繼對所述鑒權應答進行驗證后，向成員發送鑒權結果以供成員進行確認完成AKA身份認證。

2.如權利要求1所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，進行AKA身份認證過程中成員與中繼之間利用群組密鑰池加密通信，中繼與服務器之間利用兩者預先共享的協商密鑰加密通信。

3.如權利要求2所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，成員與中繼通信時，主動方生成隨機數形式的協商碼，利用該協商碼通過指定的指針地址算法獲得指針地址，依據該指針地址從群組密鑰池取出指定長度的隨機數，再利用指定的密鑰生成算法和取出的隨機數生成群聊保密性密鑰和群聊完整性密鑰；

群聊完整性密鑰用于結合通信內容生成以及校驗相應的驗證碼；

群聊保密性密鑰用于結合通信內容進行加密以及解密。

4.如權利要求2所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，成員和中繼還分別有私有密鑰池，成員和中繼相互獨立的與服務器共享其私有密鑰池用以生成鑒權密鑰；

所述指針地址A是隨機數A結合成員與服務器之間的鑒權密鑰通過指定算法相應獲得，所述隨機數A由服務器生成。

5.如權利要求4所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，所述密鑰種子是利用指針地址B從群組密鑰池相應獲取，指針地址B是采用隨機數B通過指定算法相應獲得，所述隨機數B由中繼生成并通過所述提問消息分發給成員。

6.如權利要求5所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，所述鑒權請求中還攜帶有成員生成的且為真隨機數形式的通信標識符，中繼從鑒權請求中獲得該通信標識符，該通信標識符在中繼向服務器發送認證向量請求時發送給服務器，服務器利用該通信標識符結合成員與服務器之間的鑒權密鑰生成所述匿名密鑰。

7.如權利要求6所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，所述認證向量中還包含所述通信標識符，中繼通過該通信標識符對來自服務器的認證向量反饋進行驗證；

所述通信標識符也通過提問消息發送給成員，成員利用該通信標識符結合成員與服務器之間的鑒權密鑰生成所述匿名密鑰，用以解密獲得隨機數A，成員還利用所述通信標識符校驗提問消息。

8.如權利要求7所述的基于對稱密鑰池和中繼通信的類AKA身份認證系統，其特征在于，認證向量中還包含認證應答，該認證應答利用成員和服務器之間的鑒權密鑰，以及隨機數A生成；

中繼在認證向量中直接獲取認證應答，成員接收提問消息并驗證通過后，利用與生成認證應答相應的方式生成消息認證碼，并以鑒權應答的方式將消息認證碼發送給中繼，供中繼進行認證應答和消息認證碼的對比認證。