[發明專利]一種認證方法、裝置和系統

在審

• 申請號: 202111426465.X
• 申請日: 2019-01-18
• 公開（公告）號: CN114245372A
• 公開（公告）日: 2022-03-25
• 發明（設計）人: 張博;趙緒文
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04W12/03
• 分類號: H04W12/03;H04W12/041;H04W12/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

本申請實施例提供了一種認證方法、裝置和系統。其中，認證方法包括：終端設備接收接入與移動管理功能實體發送的認證請求消息，所述終端設備根據所述認證請求消息進行認證，若認證失敗，所述終端設備對認證失敗類型對應的原因值進行加密處理，以得到失敗加密信息，所述終端設備向所述接入與移動管理功能實體發送所述失敗加密信息。本申請實施例對認證失敗類型的原因值進行加密，使得攻擊者即使截獲到認證失敗消息，也無法區分具體是哪一種認證失敗類型，從而使得攻擊者無法對用戶進行定位，保障了用戶的隱私不被泄露。

技術領域

本申請涉及通信領域，并且，更具體地，涉及一種認證方法、裝置和系統。

背景技術

在第三代移動通信系統(The 3rd Generation，3G)和第四代移動通信系統(The4rd Generation，4G)中，一直存在鑒權協議可鏈接攻擊(AKA protocol linkabilityattack)的問題。攻擊者可以通過空口消息截獲某個終端設備的用戶標識，并且控制偽基站截獲從網絡側發送給該終端設備的認證請求消息，然后攻擊者控制多個偽基站對吸引到下面的每個終端設備重放該認證請求消息，觸發各終端設備進行認證。

該終端設備在收到該認證請求消息后，由于該認證請求消息是被重放的，因此消息認證碼(message authentication code，MAC)認證成功，而序列號(sequence number，SQN)認證失敗，該終端設備向偽基站反饋類型為同步失敗的認證失敗信息。而其他終端設備在收到該認證請求消息后，消息認證碼認證失敗，并且向偽基站反饋類型為消息認證碼失敗的認證失敗消息。偽基站根據該認證失敗消息的類型即可以確定該終端設備在某一個或者多個偽基站的覆蓋范圍內，從而可以采用三角定位等方法對該用戶設備進行精確定位。

在第五代移動通信系統(The 5rd Generation，5G)中，用戶標識被加密，攻擊者無法準確的通過用戶標識識別某一個終端設備的身份，但仍然可以通過實施兩次上述攻擊實現對某終端設備的定位。比如，第一次實施攻擊時，設置偽基站信號覆蓋范圍很小，只吸引該終端設備到偽基站上(此時偽基站可以盡量靠近該終端設備)，完成對其認證請求消息的截獲，當該終端設備移動到其他區域后，攻擊者可以繼續實施上述類似的步驟，最終實現對該終端設備的定位。

基于上述分析，提供一種能夠保護用戶隱私的認證方法成為業界亟需解決的問題。

發明內容

本申請提供一種認證方法、裝置和系統，具有更高的安全性能。

第一方面，提供了一種認證方法，該方法包括：終端設備接收接入與移動管理功能實體發送的認證請求消息；該終端設備根據該認證請求消息進行認證；若認證失敗，該終端設備對認證失敗類型對應的原因值進行加密處理，以得到失敗加密信息；該終端設備向該接入與移動管理功能實體發送該失敗加密信息。

本申請實施例中對認證失敗類型的原因值進行加密，使得攻擊者即使截獲到認證失敗消息，也無法區分具體是哪一種認證失敗類型，從而使得攻擊者無法對用戶進行定位，保障了用戶的隱私不被泄露，提高了系統安全性能。

結合第一方面，在第一方面的某些實現方式中，該終端設備對認證失敗類型對應的原因值進行加密處理，以得到失敗加密信息，包括：若認證失敗類型為同步失敗，則對該同步失敗對應的原因值和該終端設備的本地序列號信息進行加密處理，以得到該失敗加密信息；或者，若認證失敗類型為消息認證碼失敗，則對該消息認證碼失敗對應的原因值進行加密處理，以得到該失敗加密信息。

結合第一方面，在第一方面的某些實現方式中，對于不同的認證失敗類型，該失敗加密信息的長度相同。

根據本實施例，攻擊者無法通過該失敗加密信息的長度來區分究竟是哪一種認證失敗類型，從而攻擊者無法定位或者關聯被追蹤用戶的位置，保證用戶的隱私不被泄露。