專利名稱：用戶識別模塊、鑒權(quán)中心、鑒權(quán)方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及鑒權(quán)技術(shù)，尤其涉及用戶識別模塊、鑒權(quán)中心、鑒權(quán)方法及 系統(tǒng)。
背景技術(shù)：
在移動(dòng)通信網(wǎng)絡(luò)中，用戶通過無線信道接入服務(wù)網(wǎng)絡(luò)，而無線網(wǎng)絡(luò)的天 然開放性使得空中接口的竊聽、篡改、仿冒、重放等安全威脅大大提高，因 而無線網(wǎng)絡(luò)成為移動(dòng)通信網(wǎng)絡(luò)的安全薄弱環(huán)節(jié)。如何保證用戶安全的接入和 訪問網(wǎng)絡(luò)，始終是移動(dòng)通信網(wǎng)絡(luò)安全的核心問題之一。
在全球移動(dòng)通訊系統(tǒng)(Global System for Mobile Communications,簡稱 GSM)中，為保證用戶接入的安全，提供了用戶標(biāo)識隱藏、用戶身份認(rèn)證和 通信機(jī)密性保護(hù)等安全特征。但由于只采用了網(wǎng)絡(luò)對用戶的單向身份認(rèn)證， 使得攻擊者可以偽裝網(wǎng)絡(luò)向用戶卡發(fā)送大量隨機(jī)數(shù)并獲得響應(yīng)，進(jìn)而通過已 知明文攻擊破解用戶密鑰，導(dǎo)致了克隆卡現(xiàn)象的出現(xiàn)。
針對GSM中存在的問題，在通用移動(dòng)通信系統(tǒng)(Universal Mobile Telecommunications System,簡稱UMTS)中對空口安全機(jī)制進(jìn)行了進(jìn)一步加 強(qiáng)和完善，除用戶標(biāo)識隱藏和通信機(jī)密性保護(hù)外，增加了雙向身份認(rèn)證、抗 重放攻擊和通信完整性保護(hù)等機(jī)制，進(jìn)一步增強(qiáng)了網(wǎng)絡(luò)訪問的安全性。
在UMTS中，用戶與網(wǎng)絡(luò)的雙向認(rèn)證是利用歸屬位置寄存器(Home Location Register,簡稱HLR) /鑒權(quán)中心(Authentication Center,簡稱AuC ) 基于用戶根密鑰K產(chǎn)生的五元組認(rèn)證向量(<Rand, RES,CK，IK,AUTN〉)完 成的。UMTS的鑒權(quán)流程包括如下步驟
步驟A1、當(dāng)用戶發(fā)起網(wǎng)絡(luò)接入、業(yè)務(wù)接入或位置更新等請求時(shí)，網(wǎng)絡(luò)側(cè)
發(fā)起用戶身份認(rèn)證過程，拜訪位置寄存器(Visit Location Register,簡稱VLR) / GPRS服務(wù)支持節(jié)點(diǎn)(Serving GPRS Support Node,簡稱SGSN )向HLR/AuC 請求iU正五元組數(shù)據(jù)；
步驟A2、收到來自VLR/SGSN的請求后，HLR/AuC向VLR/SGSN發(fā)送 一組或幾組iU正五元組lt據(jù)；
每個(gè)五元組由下列元素組成隨機(jī)數(shù)RAND,由AuC中的隨機(jī)數(shù)發(fā)生器 產(chǎn)生；期望的響應(yīng)XRES,由RAND和K通過f2算法計(jì)算獲得；加密密鑰 CK和完整性密鑰IK，分別由RAND和K通過f3和f4算法計(jì)算獲得；認(rèn)證 令牌AUTN=SQN6AK||AMF||MAC，其中序列號SQN是用于防止重放攻擊 的計(jì)數(shù)器；匿名密鑰AK^f5K(RAND)用于隱藏SQN; AMF為管理域字段， 留做將來擴(kuò)展用途，目前定義為空值；消息認(rèn)證碼MAC:flK(SQNIIRANDII AMF);每一認(rèn)證五元組可用于執(zhí)行一次用戶鑒權(quán)過程；
步驟A3、 VLR/SGSN從得到的五元組數(shù)據(jù)中順序確定一組，將對應(yīng)的 RAND和AUTN作為認(rèn)證請求發(fā)送給用戶；
步驟A4、通用用戶識別模塊(Universal Subscriber Identity Module,簡稱 USIM)卡收到RAND和AUTN后，利用與網(wǎng)絡(luò)側(cè)計(jì)算MAC相同的方法計(jì) 算XMAC,并比較XMAC是否與MAC相同，從而認(rèn)證網(wǎng)絡(luò)身份；驗(yàn)證序列 號SQN是否有效，從而防止惡意的重放攻擊；如果SQN不合法，則本次鑒 權(quán)失敗，向網(wǎng)絡(luò)發(fā)起同步過程；如果SQN合法，由K和RAND通過f2算法 計(jì)算響應(yīng)值RES,并作為認(rèn)證響應(yīng)發(fā)回VLR/SGSN;同時(shí)計(jì)算加密密鑰CK 和完整性密鑰IK，用于后續(xù)通信內(nèi)容的保護(hù)；
步驟A5、 VLR/SGSN將所接收到的RES和認(rèn)證五元組數(shù)據(jù)中的XRES 比較，如果相同，則鑒權(quán)通過，否則拒絕用戶請求。
在上述UMTS鑒權(quán)過程中，通過驗(yàn)證MAC使得用戶可以對網(wǎng)絡(luò)身份進(jìn) 行認(rèn)證，從而可以避免2G網(wǎng)絡(luò)中的偽基站攻擊，通過引入SQN序列號檢查 機(jī)制，能夠防止重放攻擊，并提供了通信內(nèi)容的完整性保護(hù)能力，有效提高
了空中接口的安全強(qiáng)度。
雖然UMTS已經(jīng)提供了較好的安全機(jī)制，但仍存在嚴(yán)重的安全隱患 (1 )用戶根密鑰在整個(gè)生命期內(nèi)始終保持固定不變，長期不變的固定密 鑰是違反安全原則的，會極大的增加密鑰被破解的可能性。
(2)3G鑒權(quán)密鑰，可能從以下途徑泄漏如果密鑰由卡商寫入，卡商 的工作人員可能泄漏密鑰；如果密鑰由運(yùn)營商寫入，運(yùn)營商的工作人員可能 泄漏密鑰；HLR/AuC維護(hù)人員可能泄漏相關(guān)密鑰數(shù)據(jù)。例如，通過欺騙、賄 賂或脅迫的方式，從HLR/AUC的維護(hù)人員處直接獲取密鑰；黑客攻擊 HLR/AUC獲取根密鑰，隨著網(wǎng)絡(luò)開放性的不斷增加，該種泄漏途徑的可能性 還會繼續(xù)增高；從空中接口截獲足夠數(shù)量的網(wǎng)絡(luò)下發(fā)的鑒權(quán)參數(shù)(RAND, AUTN)和終端返回的鑒權(quán)響應(yīng)(RES),通過對算法的攻擊來破解密鑰，長 期有效的用戶密鑰更增加了該種攻擊的可行性。由于用戶的身份認(rèn)證、通信 機(jī)密性、完整性等安全特征都是建立在用戶密鑰基礎(chǔ)上的，密鑰的泄漏會導(dǎo) 致嚴(yán)重的后果。
如果能夠以安全可靠的方式對用戶根密鑰進(jìn)行動(dòng)態(tài)更新，將有效彌補(bǔ) UMTS網(wǎng)絡(luò)安全機(jī)制的缺陷，提高用戶和網(wǎng)絡(luò)的安全性。

發(fā)明內(nèi)容
本發(fā)明的目的在于，提供用戶識別模塊、鑒權(quán)中心、鑒權(quán)方法及系統(tǒng)， 增強(qiáng)鑒權(quán)的安全性。
為了實(shí)現(xiàn)上述目的，本發(fā)明提供了一種鑒權(quán)方法，包括如下步驟
用戶識別模塊及鑒權(quán)中心預(yù)先存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)
識；
所述鑒權(quán)中心接收認(rèn)證數(shù)據(jù)請求信息，生成選擇密鑰標(biāo)識，根據(jù)所述選 擇密鑰標(biāo)識以及所述鑒權(quán)中心存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo) 識確定對應(yīng)密鑰，根據(jù)所述選擇密鑰標(biāo)識及對應(yīng)密鑰生成攜帶有所述選擇密
鑰標(biāo)識信息的認(rèn)證數(shù)據(jù)，并將所述認(rèn)證數(shù)據(jù)向拜訪位置寄存器/通用分組無線
業(yè)務(wù)服務(wù)支持節(jié)點(diǎn)(VLR/SGSN)發(fā)送；
所述VLR/SGSN接收所述認(rèn)證數(shù)據(jù)，將攜帶有所述選擇密鑰標(biāo)識信息的 部分認(rèn)證數(shù)據(jù)向所述用戶識別模塊發(fā)送；
所述用戶識別模塊接收所述部分認(rèn)證數(shù)據(jù)，從所述部分認(rèn)證數(shù)據(jù)中獲得 所述選擇密鑰標(biāo)識，根據(jù)所述選擇密鑰標(biāo)識以及所述用戶識別模塊中存儲的 所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識獲得對應(yīng)密鑰，利用所述對應(yīng)密鑰 對網(wǎng)絡(luò)側(cè)鑒權(quán)，若鑒權(quán)通過，則利用所述對應(yīng)密鑰生成認(rèn)證響應(yīng)信息，并將 所述認(rèn)證響應(yīng)信息發(fā)送至所述VLR/SGSN;
所述VLR/SGSN根據(jù)所述認(rèn)證響應(yīng)信息以及所述認(rèn)證數(shù)據(jù)判斷鑒權(quán)是否 通過。
為了實(shí)現(xiàn)上述目的，本發(fā)明還提供了一種鑒權(quán)中心，包括存儲模塊， 用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識；接收模塊，用于接收信息； 發(fā)送模塊，用于發(fā)送信息；第一確定模塊，用于在接收到認(rèn)證數(shù)據(jù)請求信息 后，生成選擇密鑰標(biāo)識并根據(jù)所述選擇密鑰標(biāo)識以及所述存儲模塊存儲的所 述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；認(rèn)證數(shù)據(jù)生成模塊， 用于根據(jù)所述選擇密鑰標(biāo)識及所述對應(yīng)密鑰生成攜帶有所述選擇密鑰標(biāo)識信 息的認(rèn)證數(shù)據(jù)，并通過所述發(fā)送模塊發(fā)送。
為了實(shí)現(xiàn)上述目的，本發(fā)明還提供了一種用戶識別模塊，包括接收模 塊，用于接收信息；發(fā)送模塊，用于發(fā)送信息；密鑰存儲模塊，用于存儲多 個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識；第二確定模塊，用于接收攜帶有選擇密 鑰標(biāo)識信息的部分認(rèn)證數(shù)據(jù)，從所述部分認(rèn)證數(shù)據(jù)中獲得所述選擇密鑰標(biāo)識， 并根據(jù)所述選擇密鑰標(biāo)識以及所述密鑰存儲模塊中存儲的所述多個(gè)密鑰及所 述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；鑒權(quán)模塊，用于利用所述對應(yīng)密鑰對 網(wǎng)絡(luò)側(cè)進(jìn)行鑒權(quán)；認(rèn)證響應(yīng)模塊，用于在對網(wǎng)絡(luò)側(cè)鑒權(quán)通過的情況下，根據(jù) 所述對應(yīng)密鑰生成認(rèn)證響應(yīng)信息。
為了實(shí)現(xiàn)上述目的，本發(fā)明還提供了一種鑒權(quán)系統(tǒng)，包括
鑒權(quán)中心，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識；接收認(rèn)證數(shù) 據(jù)請求信息，生成選擇密鑰標(biāo)識，根據(jù)所述選擇密鑰標(biāo)識及存儲的所述多個(gè) 密鑰與所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；根據(jù)所述選擇密鑰標(biāo)識及所 述對應(yīng)密鑰生成攜帶有選擇密鑰信息的認(rèn)證數(shù)據(jù)并發(fā)送；
VLR/SGSN，用于接收認(rèn)證數(shù)據(jù)，發(fā)送攜帶有所述選擇密鑰信息的部分 認(rèn)證數(shù)據(jù)；接收所述認(rèn)證響應(yīng)信息，并根據(jù)所述認(rèn)證響應(yīng)信息以及所述認(rèn)證 數(shù)據(jù)判斷鑒權(quán)是否通過；
用戶識別模塊，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識，接收所 述部分認(rèn)證數(shù)據(jù)，從所述部分認(rèn)證數(shù)據(jù)中獲得選擇密鑰標(biāo)識，根據(jù)所述選擇 密鑰標(biāo)識以及存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密 鑰，利用所述對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)鑒權(quán)，若鑒權(quán)通過，則利用所述對應(yīng)密鑰生 成認(rèn)證響應(yīng)信息并向所述VLR/SGSN發(fā)送。
本發(fā)明實(shí)現(xiàn)了利用動(dòng)態(tài)更新的密鑰進(jìn)行鑒權(quán)，提高了密鑰的攻擊難度， 增強(qiáng)了鑒權(quán)的安全性。
下面通過附圖和實(shí)施例，對本發(fā)明的技術(shù)方案做進(jìn)一步的詳細(xì)描述。


圖1為本發(fā)明的鑒權(quán)系統(tǒng)實(shí)施例結(jié)構(gòu)示意圖； 圖2為本發(fā)明的鑒權(quán)方法實(shí)施例一流程圖； 圖3為本發(fā)明的鑒權(quán)方法實(shí)施例二流程圖； 圖4為本發(fā)明的鑒權(quán)方法實(shí)施例三流程圖； 圖5為本發(fā)明的鑒權(quán)中心實(shí)施例一結(jié)構(gòu)示意圖； 圖6為本發(fā)明的鑒權(quán)中心實(shí)施例二結(jié)構(gòu)示意圖； 圖7為本發(fā)明的用戶識別纟莫塊實(shí)施例一結(jié)構(gòu)示意圖； 圖8為本發(fā)明的用戶識別模塊實(shí)施例二結(jié)構(gòu)示意圖。
具體實(shí)施例方式
如圖1所示，為本發(fā)明的鑒權(quán)系統(tǒng)實(shí)施例結(jié)構(gòu)示意圖。本實(shí)施例包括 鑒權(quán)中心1 、 VLR/SGSN 2以及用戶識別模塊3 。
鑒權(quán)中心1用于存儲多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識；接收認(rèn)證數(shù)據(jù)請 求信息，生成選擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識及存儲的多個(gè)密鑰與多個(gè)密 鑰的密鑰標(biāo)識確定對應(yīng)密鑰；根據(jù)選擇密鑰標(biāo)識及對應(yīng)密鑰生成攜帶有選擇 密鑰信息的認(rèn)證數(shù)據(jù)，并向VLR/SGSN2發(fā)送。
VLR/SGSN 2用于接收認(rèn)證數(shù)據(jù)，并向用戶識別模塊發(fā)送攜帶有選擇密 鑰信息的部分認(rèn)證數(shù)據(jù)；接收用戶識別模塊返回的認(rèn)證響應(yīng)信息，并根據(jù)認(rèn) 證響應(yīng)信息以及認(rèn)證數(shù)據(jù)判斷鑒權(quán)是否通過。
用戶識別模塊3用于存儲多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識，接收部分認(rèn) 證數(shù)據(jù)，從部分認(rèn)證數(shù)據(jù)中獲得選擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識以及存儲 的多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰，利用對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)鑒 權(quán)，若鑒權(quán)通過，則利用對應(yīng)密鑰生成認(rèn)證響應(yīng)信息并向VLR/SGSN2發(fā)送。
本實(shí)施例在鑒權(quán)過程中實(shí)現(xiàn)了密鑰的動(dòng)態(tài)更新，利用動(dòng)態(tài)更新的密鑰進(jìn) 行鑒權(quán)，提高了密鑰的攻擊難度，解決了固定密鑰存在的安全隱患。
如圖2所示，為本發(fā)明的鑒權(quán)方法實(shí)施例一流程圖。本實(shí)施例包括如下 步驟
步驟101、用戶識別模塊及鑒權(quán)中心預(yù)先存儲多個(gè)密鑰及多個(gè)密鑰的密 鑰標(biāo)識；
步驟102、鑒權(quán)中心生成選擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識以及鑒權(quán)中 心存儲的多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰，根據(jù)選擇密鑰標(biāo)識 及對應(yīng)密鑰生成攜帶有選擇密鑰標(biāo)識信息的認(rèn)證數(shù)據(jù)，并將認(rèn)證數(shù)據(jù)向 VLR/SGSN發(fā)送；
步驟103、 VLR/SGSN接收認(rèn)證數(shù)據(jù)，將攜帶有選擇密鑰標(biāo)識信息的部
分認(rèn)證數(shù)據(jù)向用戶識別模塊發(fā)送；
步驟104、用戶識別模塊接收部分認(rèn)證數(shù)據(jù)，從部分認(rèn)證數(shù)據(jù)中獲得選 擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識以及用戶識別模塊中存儲的多個(gè)密鑰及多個(gè) 密鑰的密鑰標(biāo)識確定對應(yīng)密鑰，利用對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)鑒權(quán)，若鑒權(quán)通過， 則利用對應(yīng)密鑰生成認(rèn)證響應(yīng)信息，并將認(rèn)證響應(yīng)信息發(fā)送至VLR/SGSN;
步驟105、 VLR/SGSN根據(jù)認(rèn)證響應(yīng)信息以及認(rèn)證數(shù)據(jù)判斷鑒權(quán)是否通過。
本實(shí)施例在鑒權(quán)過程中完成了密鑰的協(xié)商，實(shí)現(xiàn)了鑒權(quán)密鑰的動(dòng)態(tài)更新， 利用動(dòng)態(tài)更新的密鑰進(jìn)行鑒權(quán)，提高了密鑰的攻擊難度，解決了固定密鑰存 在的安全隱患。
考慮到具體的使用情況以及用戶識別模塊的存儲容量，在預(yù)先存儲密鑰 及密鑰標(biāo)識時(shí)，用戶識別模塊可存儲該用戶識別模塊的用戶標(biāo)識所對應(yīng)的多 個(gè)密鑰及該多個(gè)密鑰的密鑰標(biāo)識；而鑒權(quán)中心存儲所有用戶的密鑰信息，即 存儲各用戶標(biāo)識對應(yīng)的多個(gè)密鑰及該多個(gè)密鑰的密鑰標(biāo)識。此時(shí)，當(dāng)鑒權(quán)中 心確定密鑰時(shí)，除了考慮選擇密鑰標(biāo)識，還需要考慮用戶標(biāo)識。
當(dāng)密鑰的使用并不頻繁時(shí)，例如，針對某個(gè)特定增值業(yè)務(wù)的鑒權(quán)密鑰， 用戶識別模塊與鑒權(quán)中心可存儲相同的多個(gè)密鑰及該多個(gè)密鑰的密鑰標(biāo)識。 此時(shí)，鑒權(quán)中心根據(jù)選擇密鑰標(biāo)識確定密鑰就可以了 。
根據(jù)不同的密鑰標(biāo)識方式，可采用不同的方式生成選擇密鑰標(biāo)識。為了 增強(qiáng)安全性，可采用隨機(jī)方式生成選擇密鑰標(biāo)識。例如，密鑰標(biāo)號依次遞增 1,那么可在密鑰標(biāo)識最大值和最小值的范圍內(nèi)生成一個(gè)符合均勻分布的隨機(jī) 數(shù)，這樣大大增加了攻破密鑰的難度。
選擇密鑰標(biāo)識可采用現(xiàn)有的某個(gè)字段攜帶，或者采用一擴(kuò)展字段攜帶， 釆用哪種攜帶方式可根據(jù)具體情況而定。
如圖3所示，為本發(fā)明的鑒權(quán)方法實(shí)施例二流程圖。本實(shí)施例采用鑒權(quán) 管理字段(Authentication Management Field,簡稱AMF )攜帶選擇密鑰標(biāo)識。
由于AMF的長度為8位，因此，最多可以在數(shù)量為28=256個(gè)密鑰中選擇。 本實(shí)施例中，采用AMF的低6位攜帶選擇密鑰標(biāo)識，這樣，可以為每個(gè)用戶 分配26=64個(gè)密鑰。
步驟201、用戶識別模塊預(yù)先存儲國際移動(dòng)用戶識別碼(International Mobile Subscriber Identity,簡稱IMSI )、 64個(gè)密鑰及64個(gè)密鑰的密鑰標(biāo)識； 鑒權(quán)中心也預(yù)先存儲該IMSI及其對應(yīng)的64個(gè)密鑰及該64個(gè)密鑰的密鑰標(biāo) 識；
步驟202、用戶識別模塊發(fā)起網(wǎng)絡(luò)接入、業(yè)務(wù)接入或位置更新等請求； 該請求中攜帶有IMSI或臨時(shí)移動(dòng)用戶識別碼(Temporary Mobile Subscriber Identity,簡稱TMSI);
步驟203、 VLR/SGSN向鑒權(quán)中心發(fā)送認(rèn)證數(shù)據(jù)請求信息，該認(rèn)證數(shù)據(jù) 請求信息中攜帶有IMSI;當(dāng)用戶識別模塊發(fā)送的請求信息攜帶的是TMSI時(shí)， VLR/SGSN需要查詢該TMSI對應(yīng)的IMSI;
步驟204、鑒權(quán)中心接收到認(rèn)證數(shù)據(jù)請求信息后，隨機(jī)生成選擇密鑰標(biāo) 識，根據(jù)選擇密鑰標(biāo)識設(shè)置AMF的低6位，并根據(jù)選擇密鑰標(biāo)識及用戶標(biāo)識 以及其存儲的該用戶標(biāo)識對應(yīng)的多個(gè)密鑰以及多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng) 密鑰，根據(jù)選擇密鑰標(biāo)識及對應(yīng)密鑰生成攜帶有選擇密鑰標(biāo)識信息的認(rèn)證數(shù) 據(jù)，并將認(rèn)證數(shù)據(jù)向VLR/SGSN發(fā)送；
認(rèn)證數(shù)據(jù)AV=RAND||XRES||CK||IK||AUTN:隨機(jī)數(shù)RAND，由鑒權(quán)中心 中的隨機(jī)數(shù)發(fā)生器產(chǎn)生；期望的響應(yīng)XRES,由RAND和對應(yīng)密鑰通過f2算 法計(jì)算獲得；加密密鑰CK和完整性密鑰IK，分別由RAND和K通過f3和 f4算法計(jì)算獲得；認(rèn)證令牌AUTN=SQN AK||AMF||MAC,其中序列號SQN 是用于防止重放攻擊的計(jì)數(shù)器；匿名密鑰AK-f5K(RAND)用于隱藏SQN; AMF的低6位根據(jù)選擇密鑰標(biāo)識設(shè)置；消息認(rèn)證碼MAO flK(SQN || RAND || AMF);
步驟205 、 VLR/SGSN接收認(rèn)證數(shù)據(jù)，將RAND和AUTN作為認(rèn)證請求
發(fā)送給用戶識別模塊；
步驟206、用戶識別模塊接收認(rèn)證請求，從中提取RAND和AUTN，從 AUTN中獲取AMF，根據(jù)AMF低6位的值確定選擇密鑰標(biāo)識，根據(jù)選擇密 鑰標(biāo)識以及用戶識別模塊中存儲的多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識獲得對應(yīng) 密鑰；
步驟207、用戶識別模塊對網(wǎng)絡(luò)側(cè)進(jìn)行鑒權(quán)，若鑒權(quán)通過，執(zhí)行步驟208; 否則，本次鑒權(quán)失?。?br> 本步驟中，用戶識別模塊利用與網(wǎng)絡(luò)側(cè)計(jì)算MAC相同的方法計(jì)算 XMAC，并比較XMAC是否與MAC相同，從而對網(wǎng)絡(luò)側(cè)身份進(jìn)行認(rèn)證，若 不相同，則鑒權(quán)失?。挥脩糇R別模塊還驗(yàn)證序列號SQN是否有效，從而防止 惡意的重放攻擊；如果SQN不合法，則本次鑒權(quán)失敗，向網(wǎng)絡(luò)發(fā)起同步過程； 如果XMAC與MAC相同，且SQN合法，則對網(wǎng)絡(luò)側(cè)鑒權(quán)通過，執(zhí)行步驟 309;
步驟208、用戶識別模塊利用對應(yīng)密鑰和RAND通過f2算法計(jì)算響應(yīng)值 RES，并作為認(rèn)證響應(yīng)信息返回VLR/SGSN;同時(shí)計(jì)算加密密鑰CK和完整 性密鑰IK，用于后續(xù)通信內(nèi)容的保護(hù)；
步驟209、 VLR/SGSN將所接收到的認(rèn)證響應(yīng)信息RES和認(rèn)證五元組數(shù) 據(jù)中的XRES進(jìn)行比較，如果相同，則鑒權(quán)通過，否則拒絕用戶請求。
本實(shí)施例實(shí)現(xiàn)了用戶接入、業(yè)務(wù)及位置更新等過程中，利用動(dòng)態(tài)更新的 密鑰進(jìn)行鑒權(quán)，從而克服了固定密鑰的缺陷，大大提高了用戶的安全程度； 本實(shí)施例采用現(xiàn)有字段AMF攜帶選擇密鑰標(biāo)識，不需改變現(xiàn)有的UMTS信 令交互流程，中間環(huán)節(jié)的設(shè)備無需更改，只需在用戶識別模塊和鑒權(quán)中心進(jìn) 行修改；并且利用AMF進(jìn)行密鑰選擇，計(jì)算開銷低。
如圖4所示，為本發(fā)明的鑒權(quán)方法實(shí)施例三流程圖。本實(shí)施例中，在鑒 權(quán)時(shí)，首先根據(jù)預(yù)先設(shè)定的更新條件判斷是否需要執(zhí)行密鑰更新；若需要更 新，則在鑒權(quán)過程中協(xié)商新的密鑰并采用新密鑰進(jìn)行鑒權(quán)；若不需更新，則可采用現(xiàn)有的鑒權(quán)過程；每個(gè)用戶具有31個(gè)密鑰，采用AMF的高5位攜帶 選擇密鑰標(biāo)識，密鑰標(biāo)識從1至31;當(dāng)AMF的高5位為"00000"時(shí)，表示 不需更新密鑰。本實(shí)施例包括如下步驟
步驟301、用戶識別模塊預(yù)先存儲IMSI、 31個(gè)密鑰及31個(gè)密鑰的密鑰 標(biāo)識；鑒權(quán)中心也預(yù)先存儲該IMSI及其對應(yīng)的31個(gè)密鑰及該31個(gè)密鑰的密 鑰標(biāo)識；
步驟302、用戶識別模塊發(fā)起網(wǎng)絡(luò)接入、業(yè)務(wù)接入或位置更新等請求； 該請求中攜帶有IMSI或TMSI;
步驟303、 VLR/SGSN向鑒權(quán)中心發(fā)送認(rèn)證數(shù)據(jù)請求信息，該認(rèn)證數(shù)據(jù) 請求信息中攜帶有IMSI;當(dāng)用戶識別模塊發(fā)送的請求信息攜帶的是TMSI時(shí)， VLR/SGSN需要查詢該TMSI對應(yīng)的IMSI;
步驟304、鑒權(quán)中心接收到認(rèn)證數(shù)據(jù)請求信息后，判斷是否需要執(zhí)行密 鑰更新，若需要?jiǎng)t執(zhí)行步驟306，否則，執(zhí)行步驟305;
本步驟中，鑒權(quán)中心可以根據(jù)上次密鑰更新時(shí)間或者當(dāng)前密鑰使用次數(shù) 來判斷是否需要執(zhí)行密鑰更新；
當(dāng)根據(jù)上次密鑰更新時(shí)間判斷時(shí)，需要記錄上次密鑰更新時(shí)間，并預(yù)先 設(shè)置一個(gè)密鑰使用時(shí)長閾值，在判斷時(shí)，根據(jù)上次密鑰更新時(shí)間及當(dāng)前時(shí)間 得到當(dāng)前密鑰的使用時(shí)長，判斷該時(shí)長是否已達(dá)到密鑰使用時(shí)長閾值，若達(dá) 到了，則需要執(zhí)行密鑰更新；
當(dāng)根據(jù)當(dāng)前密鑰使用次數(shù)判斷時(shí)，需要記錄密鑰的使用次數(shù)，并預(yù)先設(shè) 置一個(gè)密鑰使用次數(shù)闊值，在判斷時(shí)，判斷當(dāng)前密鑰的使用次數(shù)是否達(dá)到了 密鑰使用次數(shù)閾值，若達(dá)到了，則需要執(zhí)行密鑰更新；
步驟305、按照現(xiàn)有的鑒權(quán)流程繼續(xù)后續(xù)步驟，AMF各字段均為零；
步驟306、鑒權(quán)中心隨機(jī)生成選擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識設(shè)置AMF 的高5位，并根據(jù)選擇密鑰標(biāo)識及用戶標(biāo)識以及其存儲的該用戶標(biāo)識對應(yīng)的 多個(gè)密鑰以及多個(gè)密鑰的密鑰標(biāo)識，確定對應(yīng)密鑰，根據(jù)選擇密鑰標(biāo)識及對
應(yīng)密鑰生成攜帶有選擇密鑰標(biāo)識信,t、的認(rèn)證數(shù)據(jù)，并將認(rèn)證數(shù)據(jù)向VLR/SGSN發(fā)送；本步驟中生成認(rèn)證數(shù)據(jù)的方式與鑒權(quán)方法實(shí)施例二步驟204 中生成i人證數(shù)據(jù)的方法相同；
步驟307、 VLR/SGSN接收認(rèn)證數(shù)據(jù)，將RAND和AUTN作為認(rèn)證請求 發(fā)送給用戶；
步驟308、用戶識別模塊接收認(rèn)證請求，從中提取RAND和AUTN,從 AUTN中獲取AMF，根據(jù)AMF高5位的值確定選擇密鑰標(biāo)識，根據(jù)選擇密 鑰標(biāo)識以及用戶識別模塊中存儲的多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識獲得對應(yīng) 密鑰；
步驟309、用戶識別模塊對網(wǎng)絡(luò)側(cè)進(jìn)行鑒權(quán)，若鑒權(quán)通過，執(zhí)行步驟310; 否則，本次鑒權(quán)失?。?br> 本步驟中，用戶識別模塊利用與網(wǎng)絡(luò)側(cè)計(jì)算MAC相同的方法計(jì)算 XMAC,并比較XMAC是否與MAC相同，從而對網(wǎng)絡(luò)側(cè)身份進(jìn)行認(rèn)證，若 不相同，則鑒權(quán)失?。挥脩糇R別模塊還驗(yàn)證序列號SQN是否有效，從而防止 惡意的重放攻擊；如果SQN不合法，則本次鑒權(quán)失敗，向網(wǎng)絡(luò)發(fā)起同步過程； 如果XMAC與MAC相同，且SQN合法，則對網(wǎng)絡(luò)側(cè)鑒權(quán)通過，執(zhí)行步驟 309;
步驟310、用戶識別模塊利用對應(yīng)密鑰和RAND通過f2算法計(jì)算響應(yīng)值 RES，并作為認(rèn)證響應(yīng)信息返回VLR/SGSN;同時(shí)計(jì)算加密密鑰CK和完整 性密鑰IK,用于后續(xù)通信內(nèi)容的保護(hù)；
步驟311 、 VLR/SGSN將所接收到的認(rèn)證響應(yīng)信息RES和i/^正五元組數(shù) 據(jù)中的XRES比較，如果相同，則鑒權(quán)通過，否則拒絕用戶請求。
本實(shí)施例中，加入了判斷是否需要執(zhí)行密鑰更新的步驟，當(dāng)需要執(zhí)行密 鑰更新的時(shí)，再在鑒權(quán)過程中加入密鑰協(xié)商更新的過程；可根據(jù)具體的情況 適當(dāng)設(shè)置密鑰更新條件；本實(shí)施例在增強(qiáng)了安全性的同時(shí)，又不會給鑒權(quán)中 心和用戶識別模塊帶來過大的計(jì)算量。
如圖5所示，為本發(fā)明的鑒權(quán)中心實(shí)施例一結(jié)構(gòu)示意圖。本實(shí)施例包括 存儲模塊ll、接收模塊12、發(fā)送模塊13、第一確定模塊14以及認(rèn)證數(shù)據(jù)生 成模塊15。
存儲模塊11用于存儲多個(gè)密鑰及該多個(gè)密鑰的密鑰標(biāo)識；接收模塊12 用于接收信息；發(fā)送模塊13用于發(fā)送信息；第一確定模塊14用于在接收模 塊12接收到認(rèn)證數(shù)據(jù)請求信息后，生成選擇密鑰標(biāo)識并根據(jù)選擇密鑰標(biāo)識以 及存儲模塊ll存儲的多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；認(rèn)證數(shù) 據(jù)生成模塊15用于根據(jù)選擇密鑰標(biāo)識及對應(yīng)密鑰生成攜帶有所述選擇密鑰 標(biāo)識信息的認(rèn)證數(shù)據(jù)，并通過發(fā)送模塊13發(fā)送。
本實(shí)施例的鑒權(quán)中心實(shí)現(xiàn)了在生成認(rèn)證數(shù)據(jù)時(shí)，進(jìn)行密鑰更新，根據(jù)更 新后的密鑰生成認(rèn)證數(shù)據(jù)并在認(rèn)證數(shù)據(jù)中攜帶新密鑰的密鑰標(biāo)識，以在鑒權(quán) 過程中通知用戶識別模塊所采用的新密鑰的密鑰標(biāo)識，并根據(jù)新密鑰鑒權(quán)。 這樣，可大大提高鑒權(quán)過程的安全性。
如圖6所示，為本發(fā)明的鑒權(quán)中心實(shí)施例二結(jié)構(gòu)示意圖。
本實(shí)施例中第一確定模塊14具體包括判斷單元141、標(biāo)識生成單元142 及第一密鑰確定單元143。判斷單元141用于在接收模塊12接收到認(rèn)證數(shù)據(jù) 請求信息后，判斷是否需要執(zhí)行密鑰更新；標(biāo)識生成單元142用于在需要執(zhí) 行密鑰更新時(shí)隨機(jī)生成選擇密鑰標(biāo)識；第一密鑰確定單元143用于根據(jù)選擇 密鑰標(biāo)識以及存儲模塊存儲的多個(gè)密鑰及多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密 鑰。
本實(shí)施例中的認(rèn)證數(shù)據(jù)生成模塊15具體包括設(shè)置單元151及生成單元 152。設(shè)置單元151用于根據(jù)選擇密鑰標(biāo)識設(shè)置鑒權(quán)管理字段AMF,例如， 將選擇密鑰標(biāo)識轉(zhuǎn)換為AMF的某些字節(jié)。生成單元152用于根據(jù)AMF及對 應(yīng)密鑰生成包含鑒權(quán)管理字段AMF的認(rèn)證數(shù)據(jù)，并通過發(fā)送模塊13發(fā)送。
本實(shí)施例的鑒權(quán)中心實(shí)現(xiàn)了，在鑒權(quán)過程中，對是否需要執(zhí)行密鑰更新 進(jìn)行判斷，在需要更新時(shí)再在鑒權(quán)過程中加入密鑰協(xié)商更新的過程；可根據(jù)
18具體的情況適當(dāng)設(shè)置密鑰更新條件；本實(shí)施例在增強(qiáng)了安全性的同時(shí)，又不 會給鑒權(quán)中心和用戶識別模塊帶來過大的計(jì)算量；通過現(xiàn)有的AMF字段攜帶 選擇密鑰標(biāo)識，不需改變現(xiàn)有的鑒權(quán)流程，中間環(huán)節(jié)設(shè)備無需更改。
如圖7所示，為本發(fā)明的用戶識別模塊實(shí)施例一結(jié)構(gòu)示意圖。本實(shí)施例 包括接收模塊31、發(fā)送模塊32、密鑰存儲模塊33、第二確定模塊34、鑒 權(quán)模塊35及認(rèn)證響應(yīng)模塊36。
接收模塊31用于接收信息；發(fā)送模塊32用于發(fā)送信息；密鑰存儲模塊 33用于存儲多個(gè)密鑰及該多個(gè)密鑰的密鑰標(biāo)識；第二確定模塊34用于從接 收的攜帶有選擇密鑰標(biāo)識信息的部分認(rèn)證數(shù)據(jù)中獲得選擇密鑰標(biāo)識，并根據(jù) 選擇密鑰標(biāo)識以及密鑰存儲模塊33中存儲的多個(gè)密鑰及該多個(gè)密鑰的密鑰 標(biāo)識確定對應(yīng)密鑰；鑒權(quán)模塊35用于利用對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)進(jìn)行鑒權(quán)；認(rèn)證 響應(yīng)模塊36用于在對網(wǎng)絡(luò)側(cè)鑒權(quán)通過的情況下，根據(jù)對應(yīng)密鑰生成認(rèn)證響應(yīng) 信息并通過發(fā)送模塊32發(fā)送。
本實(shí)施例的用戶識別模塊實(shí)現(xiàn)了在鑒權(quán)過程中根據(jù)網(wǎng)絡(luò)側(cè)發(fā)送的部分認(rèn) 證數(shù)據(jù)攜帶的選擇密鑰標(biāo)識信息動(dòng)態(tài)更新密鑰，從而可克服固定密鑰的安全 性缺陷。
如圖8所示，為本發(fā)明的用戶識別模塊實(shí)施例二結(jié)構(gòu)示意圖。 本實(shí)施例中的第二確定模塊34具體包括認(rèn)證令牌提取單元341、密鑰 標(biāo)識獲得單元342及第二密鑰確定單元343。認(rèn)證令牌提取單元341用于從 接收到的部分認(rèn)證數(shù)據(jù)中提取認(rèn)證令牌；密鑰標(biāo)識獲得單元342用于從認(rèn)證 令牌中獲得鑒權(quán)管理字段，并根據(jù)鑒權(quán)管理字段的值確定選擇密鑰標(biāo)識；第 二密鑰確定單元343用于根據(jù)選擇密鑰標(biāo)識以及密鑰存儲^^莫塊33中存儲的多 個(gè)密鑰及該多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰。
本實(shí)施例的用戶識別模塊實(shí)現(xiàn)了在網(wǎng)絡(luò)側(cè)采用AMF攜帶選擇密鑰標(biāo)識 時(shí)，從接收到的認(rèn)證數(shù)據(jù)中提取AMF字段的值，并根據(jù)該值確定選擇密鑰標(biāo) 識并進(jìn)而確定對應(yīng)密鑰，從而實(shí)現(xiàn)采用AMF攜帶選^^奪密鑰標(biāo)識時(shí)的用戶側(cè)密
鑰更新。
最后應(yīng)說明的是以上實(shí)施例僅用以說明本發(fā)明的技術(shù)方案，而非對其 限制；盡管參照前述實(shí)施例對本發(fā)明進(jìn)行了詳細(xì)的說明，本領(lǐng)域的普通技術(shù) 人員應(yīng)當(dāng)理解其依然可以對前述各實(shí)施例所記載的技術(shù)方案進(jìn)行修改，或 者對其中部分技術(shù)特征進(jìn)行等同替換；而這些修改或者替換，并不使相應(yīng)技 術(shù)方案的本質(zhì)脫離本發(fā)明各實(shí)施例技術(shù)方案的精神和范圍。
權(quán)利要求
1、一種鑒權(quán)方法，其特征在于，所述方法包括如下步驟:用戶識別模塊及鑒權(quán)中心預(yù)先存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識；所述鑒權(quán)中心接收認(rèn)證數(shù)據(jù)請求信息，生成選擇密鑰標(biāo)識，根據(jù)所述選擇密鑰標(biāo)識以及所述鑒權(quán)中心存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰，根據(jù)所述選擇密鑰標(biāo)識及對應(yīng)密鑰生成攜帶有所述選擇密鑰標(biāo)識信息的認(rèn)證數(shù)據(jù)，并將所述認(rèn)證數(shù)據(jù)向VLR/SGSN發(fā)送；所述VLR/SGSN接收所述認(rèn)證數(shù)據(jù)，將攜帶有所述選擇密鑰標(biāo)識信息的部分認(rèn)證數(shù)據(jù)向所述用戶識別模塊發(fā)送；所述用戶識別模塊接收所述部分認(rèn)證數(shù)據(jù)，從所述部分認(rèn)證數(shù)據(jù)中獲得所述選擇密鑰標(biāo)識，根據(jù)所述選擇密鑰標(biāo)識以及所述用戶識別模塊中存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識獲得對應(yīng)密鑰，利用所述對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)鑒權(quán)，若鑒權(quán)通過，則利用所述對應(yīng)密鑰生成認(rèn)證響應(yīng)信息，并將所述認(rèn)證響應(yīng)信息發(fā)送至所述VLR/SGSN；所述VLR/SGSN根據(jù)所述認(rèn)證響應(yīng)信息以及所述認(rèn)證數(shù)據(jù)判斷用戶鑒權(quán)是否通過。
2、 根據(jù)權(quán)利要求1所述的鑒權(quán)方法，其特征在于，所述生成選擇密鑰 標(biāo)識之前還包括，判斷是否需要執(zhí)行密鑰更新；在需要進(jìn)行密鑰更新時(shí)，執(zhí) 行生成選擇密鑰標(biāo)識的步驟。
3、 根據(jù)權(quán)利要求1所述的鑒權(quán)方法，其特征在于，所述用戶識別模塊 及鑒權(quán)中心預(yù)先存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識的步驟具體為所 述用戶識別模塊預(yù)先存儲與所述用戶識別模塊的用戶標(biāo)識對應(yīng)的多個(gè)密鑰及 所述多個(gè)密鑰的密鑰標(biāo)識，所述鑒權(quán)中心預(yù)先存儲所述用戶標(biāo)識與所述多個(gè) 密鑰及所述多個(gè)密鑰的密鑰標(biāo)識的對應(yīng)關(guān)系。
4、 根據(jù)權(quán)利要求3所述的鑒權(quán)方法，其特征在于，所述根據(jù)所述選擇 密鑰標(biāo)識以及所述鑒權(quán)中心存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰的步驟具體為根據(jù)所述選擇密鑰標(biāo)識，以及所述用戶標(biāo)識與 所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識的對應(yīng)關(guān)系，確定所述選擇密鑰標(biāo) 識的對應(yīng)密鑰。
5、 根據(jù)權(quán)利要求1所述的鑒權(quán)方法，其特征在于，所述鑒權(quán)通過時(shí)， 所述VLR/SGSN向所述鑒權(quán)中心發(fā)送密鑰更新響應(yīng)信息。
6、 根據(jù)權(quán)利要求1-5任一所述的鑒權(quán)方法，其特征在于，所述鑒權(quán)中 心利用鑒權(quán)管理字段攜帶所述選擇密鑰標(biāo)識。
7、 根據(jù)權(quán)利要求6所述的鑒權(quán)方法，其特征在于，所述用戶識別模塊 從所述部分認(rèn)證數(shù)據(jù)中獲得所述選擇密鑰標(biāo)識的步驟具體為，所述用戶識別 模塊從所述部分認(rèn)證數(shù)據(jù)中提取認(rèn)證令牌，從所述認(rèn)證令牌中獲取所述鑒權(quán) 管理字段的值，并根據(jù)所述鑒權(quán)管理字段的值確定所述選擇密鑰標(biāo)識。
8、 一種鑒權(quán)中心，其特征在于，所述鑒權(quán)中心包括 存儲模塊，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識； 接收模塊，用于接收信息；發(fā)送模塊，用于發(fā)送信息；第一確定模塊，用于在接收到認(rèn)證數(shù)據(jù)請求信息后，生成選擇密鑰標(biāo)識 并根據(jù)所述選擇密鑰標(biāo)識以及所述存儲模塊存儲的所述多個(gè)密鑰及所述多個(gè) 密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；認(rèn)證數(shù)據(jù)生成模塊，用于根據(jù)所述選擇密鑰標(biāo)識及所述對應(yīng)密銅生成攜 帶有所述選擇密鑰標(biāo)識信息的認(rèn)證數(shù)據(jù)，并通過所述發(fā)送模塊發(fā)送。
9、 根據(jù)權(quán)利要求8所述的鑒權(quán)中心，其特征在于，所述第一確定模塊 包括判斷單元，用于在接收到認(rèn)證數(shù)據(jù)請求信息后，判斷是否需要執(zhí)行密鑰 更新；標(biāo)識生成單元，用于在需要執(zhí)行密鑰更新時(shí)隨機(jī)生成選擇密鑰標(biāo)識；第一密鑰確定單元，用于根據(jù)選擇密鑰標(biāo)識以及所述存儲模塊存儲的所 述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰。
10、 根據(jù)權(quán)利要求8或9所述的鑒權(quán)中心，其特征在于，所述認(rèn)證數(shù)據(jù) 生成模塊包括設(shè)置單元，用于根據(jù)所述選擇密鑰標(biāo)識設(shè)置鑒權(quán)管理字段； 生成單元，用于根據(jù)所述鑒權(quán)管理字段及所述對應(yīng)密鑰生成包含所述鑒 權(quán)管理字段的認(rèn)證數(shù)據(jù)，并通過所述發(fā)送模塊發(fā)送。
11、 一種用戶識別模塊，其特征在于，所述用戶識別模塊包括 接收模塊，用于接收信息；發(fā)送模塊，用于發(fā)送信息；密鑰存儲模塊，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識； 第二確定模塊，用于在所述接收模塊接收到攜帶有選擇密鑰標(biāo)識信息的部分認(rèn)證數(shù)據(jù)時(shí)，從所述部分認(rèn)證數(shù)據(jù)中獲得所述選擇密鑰標(biāo)識，并根據(jù)所述選擇密鑰標(biāo)識以及所述密鑰存儲模塊中存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；鑒權(quán)模塊，用于利用所述對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)進(jìn)行鑒權(quán)；認(rèn)證響應(yīng)模塊，用于在對網(wǎng)絡(luò)側(cè)鑒權(quán)通過的情況下，根據(jù)所述對應(yīng)密鑰生成認(rèn)證響應(yīng)信息并通過所述發(fā)送模塊發(fā)送。
12、 根據(jù)權(quán)利要求11所述的用戶識別模塊，其特征在于，所述第二確 定模塊包括認(rèn)證令牌提取單元，用于從所述部分認(rèn)證數(shù)據(jù)中提取認(rèn)證令牌； 密鑰標(biāo)識獲得單元，用于從所述認(rèn)證令牌中獲得鑒權(quán)管理字段，并根據(jù) 所述鑒權(quán)管理字段的值確定所述選擇密鑰標(biāo)識；第二密鑰確定單元，用于根據(jù)所述選擇密鑰標(biāo)識以及所述密鑰存儲模塊中存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰。
13、 一種鑒權(quán)系統(tǒng)，其特征在于，所述鑒權(quán)系統(tǒng)包括 鑒權(quán)中心，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識；接收認(rèn)證數(shù) 據(jù)請求信息，生成選擇密鑰標(biāo)識，根據(jù)所述選擇密鑰標(biāo)識及存儲的所述多個(gè) 密鑰與所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；根據(jù)所述選擇密鑰標(biāo)識及所 述對應(yīng)密鑰生成攜帶有選擇密鑰信息的認(rèn)證數(shù)據(jù)并發(fā)送；VLR/SGSN，用于接收所述攜帶有選擇密鑰信息的認(rèn)證數(shù)據(jù)，發(fā)送攜帶 有所述選擇密鑰信息的部分認(rèn)證數(shù)據(jù)；接收認(rèn)證響應(yīng)信息，并根據(jù)所述認(rèn)證 響應(yīng)信息以及所述認(rèn)證數(shù)據(jù)判斷鑒權(quán)是否通過；用戶識別模塊，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識，接收所 述部分認(rèn)證數(shù)據(jù)，從所述部分認(rèn)證數(shù)據(jù)中獲得選擇密鑰標(biāo)識，根據(jù)所述選擇 密鑰標(biāo)識以及存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密 鑰，利用所述對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)鑒權(quán)，若鑒權(quán)通過，則利用所述對應(yīng)密鑰生 成認(rèn)^E響應(yīng)信息并向所述VLR/SGSN發(fā)送。
14、 根據(jù)權(quán)利要求13所述的鑒權(quán)系統(tǒng)，其特征在于，所述用戶識別模 塊包括接收模塊，用于接收信息； 發(fā)送模塊，用于發(fā)送信息；密鑰存儲模塊，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識； 第二確定模塊，用于接收攜帶有選擇密鑰標(biāo)識信息的部分認(rèn)證數(shù)據(jù)，從 所述部分認(rèn)證數(shù)據(jù)中獲得所述選擇密鑰標(biāo)識，并根據(jù)所述選擇密鑰標(biāo)識以及 所述密鑰存儲模塊中存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對 應(yīng)密鑰；鑒權(quán)模塊，用于利用所述對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)進(jìn)行鑒權(quán)； 認(rèn)證響應(yīng)模塊，用于在對網(wǎng)絡(luò)側(cè)鑒權(quán)通過的情況下，根據(jù)所述對應(yīng)密鑰 生成認(rèn)證響應(yīng)信息并通過所述發(fā)送模塊發(fā)送。
15、 根據(jù)權(quán)利要求14所述的鑒權(quán)系統(tǒng)，其特征在于，所述第二確定模 塊包括 認(rèn)證令牌提取單元，用于從所述部分認(rèn)證數(shù)據(jù)中提取認(rèn)證令牌； 密鑰標(biāo)識獲得單元，用于從所述認(rèn)證令牌中獲得鑒權(quán)管理字段，并根據(jù)所述鑒權(quán)管理字段的值確定所述選擇密鑰標(biāo)識；第二密鑰確定單元，用于根據(jù)所述選擇密鑰標(biāo)識以及所述密鑰存儲模塊中存儲的所述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰。
16、 根據(jù)權(quán)利要求13所述的鑒權(quán)系統(tǒng)，其特征在于，所述鑒權(quán)中心包括存儲模塊，用于存儲多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識； 接收模塊，用于接收信息； 發(fā)送模塊，用于發(fā)送信息；第一確定模塊，用于在接收到認(rèn)證數(shù)據(jù)請求信息后，生成選擇密鑰標(biāo)識 并根據(jù)所述選擇密鑰標(biāo)識以及所述存儲模塊存儲的所述多個(gè)密鑰及所述多個(gè) 密鑰的密鑰標(biāo)識確定對應(yīng)密鑰；認(rèn)證數(shù)據(jù)生成模塊，用于根據(jù)所述選擇密鑰標(biāo)識及所述對應(yīng)密鑰生成攜 帶有所述選擇密鑰標(biāo)識信息的認(rèn)證數(shù)據(jù)，并通過所述發(fā)送模塊發(fā)送。
17、 根據(jù)權(quán)利要求16所述的鑒權(quán)系統(tǒng)，其特征在于，所述第一確定模 塊包括判斷單元，用于在接收到認(rèn)證數(shù)據(jù)請求信息后，判斷是否需要執(zhí)行密鑰更新； 標(biāo)識生成單元，用于在需要執(zhí)行密鑰更新時(shí)隨機(jī)生成選擇密鑰標(biāo)識； 第一密鑰確定單元，用于根據(jù)選擇密鑰標(biāo)識以及所述存儲模塊存儲的所 述多個(gè)密鑰及所述多個(gè)密鑰的密鑰標(biāo)識確定對應(yīng)密鑰。
18、 根據(jù)權(quán)利要求16或17所述的鑒權(quán)系統(tǒng)，其特征在于，所述認(rèn)證數(shù) 據(jù)生成模塊包括設(shè)置單元，用于根據(jù)所述選擇密鑰標(biāo)識設(shè)置鑒權(quán)管理字段； 生成單元，用于根據(jù)所述鑒權(quán)管理字段及所述對應(yīng)密鑰生成包含所述鑒 權(quán)管理字段的認(rèn)證數(shù)據(jù)，并通過所述發(fā)送模塊發(fā)送。
全文摘要
本發(fā)明涉及鑒權(quán)方法，包括用戶識別模塊及鑒權(quán)中心預(yù)存多個(gè)密鑰及密鑰標(biāo)識；鑒權(quán)中心生成選擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識確定對應(yīng)密鑰，生成攜帶有選擇密鑰標(biāo)識信息的認(rèn)證數(shù)據(jù)并向VLR/SGSN發(fā)送；VLR/SGSN將攜帶有選擇密鑰標(biāo)識信息的部分認(rèn)證數(shù)據(jù)向用戶識別模塊發(fā)送；用戶識別模塊從部分認(rèn)證數(shù)據(jù)中獲得選擇密鑰標(biāo)識，根據(jù)選擇密鑰標(biāo)識確定對應(yīng)密鑰，利用對應(yīng)密鑰對網(wǎng)絡(luò)側(cè)鑒權(quán)，利用對應(yīng)密鑰生成認(rèn)證響應(yīng)發(fā)送至VLR/SGSN；VLR/SGSN根據(jù)認(rèn)證響應(yīng)以及認(rèn)證數(shù)據(jù)進(jìn)行用戶鑒權(quán)。本發(fā)明還涉及用戶識別模塊、鑒權(quán)中心及鑒權(quán)系統(tǒng)。本發(fā)明實(shí)現(xiàn)了利用動(dòng)態(tài)更新的密鑰進(jìn)行鑒權(quán)，提高了密鑰的攻擊難度，增強(qiáng)了鑒權(quán)的安全性。
文檔編號H04L9/00GK101378582SQ20071012104
公開日2009年3月4日 申請日期2007年8月29日 優(yōu)先權(quán)日2007年8月29日
發(fā)明者斐 劉, 劉利軍, 冰 魏 申請人:中國移動(dòng)通信集團(tuán)公司