CN111404944A - 一种实现主认证增强的安全udm/hss设计方法及系统 - Google Patents

Abstract

本发明涉及无线通信技术领域，本发明公开了一种实现主认证增强的安全UDM/HSS设计方法及系统，该系统包括定制UDM/HSS设备以及至少一个主认证增强设备，定制UDM/HSS设备完成标准UDM/HSS除鉴权向量以外的功能，主认证增强设备完成AKA过程中鉴权向量的生成，主认证增强设备与定制UDM/HSS设备之间通过定义专用协议进行通信，协同完成网络侧的主认证增强功能。该方法为当终端入网发起主认证时，定制UDM/HSS设备接收到来自终端的主认证请求后，向主认证增强设备发起请求，由主认证增强设备生成AKA鉴权向量并返回给定制UDM/HSS设备，再由定制UDM/HSS设备执行主认证后续流程。本发明提供了便利的国产化鉴权算法定制机制，鉴权算法替换具有充分的灵活性，同时便于运营商部署运维。

Description

一种实现主认证增强的安全UDM/HSS设计方法及系统

技术领域

本发明涉及无线通信技术领域，尤其涉及一种实现主认证增强的安全UDM/HSS设计方法及系统。

背景技术

在4G/5G移动通信系统中，终端在接入网络时需要发起主认证流程完成与核心网之间的双向鉴权以验证其身份的合法性。主认证流程是终端入网接入安全的重要保障，在3GPP 5G标准中是由用户签约信息管理单元UDM(Unified Data Management，其中执行鉴权计算的是ARPF模块，在4G中由HSS执行该功能)负责。对于特殊行业用户或具有高安全需求的垂直行业用户而言，3GPP协议中规定的标准认证和鉴权算法，并不能满足用户自身的安全管理规定。因此，需要在移动通信终端侧和网络侧引入额外的机制实现定制化的认证和鉴权算法以对标准主认证进行安全增强，以满足上述安全需求。

具体而言，目前网络侧UDM/HSS(Home Subscriber Server，归属签约用户服务器)在主认证流程安全方面的不足体现在以下几点：

(1)不满足鉴权算法国产化的需求：特殊行业用户或具有高安全需求的垂直行业用户往往要求所用鉴权算法为国产定制算法，为满足这一鉴权算法国产化需要，需要对标准UDM/HSS网元中的算法相关功能进行改造，而现在的UDM/HSS中算法相关部分，在实现上与其他功能紧耦合，不利于对算法单独进行定制化。

(2)不满足定制灵活性的需求：对于特殊行业用户以及不同行业的垂直用户而言，他们对移动通信系统的安全防护等级要求不同，需要根据具体情况在主认证流程中为其定制不同的鉴权算法及认证协议。由于安全保密管理规定等原因，在同一个UDM/HSS网元上实现不同安全等级的算法和协议以满足所有用户的需求是不现实的，因此直接在UDM/HSS中改造实现定制算法和协议将导致设备厂商需要为不同行业用户定制专用设备，这意味着设备厂商将根据定制需求生产一系列的UDM/HSS，增加厂商的研发管理维护成本，不符合设备厂商产品化开发生成的模式。

(3)不满足运营商部署运维的需求：一系列定制化的UDM/HSS，也会导致运营商对其入网测试、部署、运维方式发生重大改变，不利于面向特殊行业用户或具有高安全需求的垂直行业用户的主认证增强功能获得运营商的支持，并在现有移动通信网中的落地实现与推广。

发明内容

为了解决上述问题，本发明提出一种实现主认证增强的安全UDM/HSS设计方法及系统，本发明将标准UDM/HSS一分为二，其中鉴权功能部分形成主认证增强设备，剩余功能作为定制UDM/HSS设备，两者之间定义通信接口，协同完成网络侧的主认证增强功能，共同组成安全UDM/HSS。定制UDM/HSS的开发、生产、部署与运维模式与标准UDM/HSS保持一致，主认证增强设备则遵循相应安全管理规定，不同安全需求的用户配置实现了不同认证协议和鉴权算法的主认证增强设备，这样既满足主认证增强功能需要，又最大限度的适应了现有产业链的发展现状，有利于主认证增强功能的落地推广，本发明的具体技术方案如下：

本发明提出的一种实现主认证增强的安全UDM/HSS系统，包括：

定制UDM/HSS设备，所述定制UDM/HSS设备完成标准UDM/HSS除鉴权向量以外的功能；

以及至少一个主认证增强设备，所述主认证增强设备完成AKA过程中鉴权向量的生成；所述主认证增强设备与所述定制UDM/HSS设备之间通过定义专用协议进行通信，接口形式包括远程调用、服务化接口和定制通信协议，二者协同完成网络侧的主认证增强功能。

进一步的，所述主认证增强设备用于维护主认证需要的终端鉴权签约信息，在AKA过程中生成主认证增强所需的认证向量；所述终端鉴权签约信息包括终端SUPI/IMSI、根密钥K、鉴权参数OPC、随机数RAND以及同步序列码SQN。

本发明提出的一种实现主认证增强的安全UDM/HSS设计方法，当终端入网发起主认证时，所述定制UDM/HSS设备接收到来自终端的主认证请求后，向所述主认证增强设备发起请求，由所述主认证增强设备生成AKA鉴权向量并返回给所述定制UDM/HSS设备，再由所述定制UDM/HSS设备执行主认证后续流程。

进一步的，所述定制UDM/HSS设备与所述主认证增强设备之间采用双向认证机制，包括以下步骤：

S11.所述定制UDM/HSS设备向所述主认证增强设备发起接入请求；

S12.所述主认证增强设备接收到所述接入请求之后，计算认证挑战信息，然后发送给所述定制UDM/HSS设备；

S13.所述定制UDM/HSS设备接收到所述认证挑战信息后，对所述主认证增强设备进行认证，并计算应答信息返回给所述主认证增强设备；

S14.所述主认证增强设备接收到所述应答信息后，对所述定制UDM/HSS设备进行认证，并返回认证结果；若所述定制UDM/HSS设备与所述主认证增强设备双向认证成功，将进入正常工作流程，若认证失败，所述主认证增强设备将拒绝所述定制UDM/HSS设备的访问。

进一步的，对来自终端的主认证请求的处理包括以下步骤：

S21.所述定制UDM/HSS设备从核心网其它网元接收到来自终端的主认证请求；

S22.所述定制UDM/HSS设备根据终端标识索引查询其配置策略，并选择相应的主认证增强设备；

S23.所述定制UDM/HSS设备请求所述主认证增强设备为终端生成认证向量；

S24.所述主认证增强设备将所述认证向量返回给所述定制UDM/HSS设备；

S25.所述定制UDM/HSS设备将所述认证向量返回给所述核心网其它网元。

进一步的，在所述步骤S23中，所述定制UDM/HSS设备请求所述主认证增强设备为终端生成认证向量时，需要发送的消息包括：发起主认证请求的终端标识信息、AKA类型、服务网络名称和重同步参数AUTS；所述AKA类型包括EPS-AKA、EAP-AKA'和5G AKA。

进一步的，在所述步骤S24中，所述主认证增强设备将所述认证向量返回给所述定制UDM/HSS设备时，且：

a.当AKA类型为EPS-AKA时，需要发送的信息包括：随机数RAND、鉴权令牌AUTN、期望响应XRES和接入安全管理实体密钥Kasme；

b.当AKA类型为EAP-AKA'时，需要发送的信息包括：随机数RAND、鉴权令牌AUTN、期望响应XRES、加密密钥CK'和完整性保护密钥IK'；

c.当AKA类型为5G AKA时，需要发送的信息包括：随机数RAND、鉴权令牌AUTN、期望响应XRES*和认证服务密钥Kausf。

进一步的，对于具有不同配置策略的终端，所述定制UDM/HSS设备会根据SUPI/IMSI索引查询用户签约数据，并根据签约数据信息向相应的主认证增强设备发起生成鉴权向量请求，包括以下步骤：

S31.所述定制UDM/HSS设备从核心网其它网元接收到来自终端的主认证请求；

S32.所述定制UDM/HSS设备根据终端标识索引查询终端用户签约信息表，以获取终端配置策略k；

S33.所述定制UDM/HSS设备查询主认证增强设备信息表，以获取与配置策略k相对应的主认证增强设备x；

S34.所述定制UDM/HSS设备请求所述主认证增强设备x为终端生成认证向量；

S35.所述定制UDM/HSS设备将所述认证向量返回给所述核心网其它网元。

本发明的有益效果在于：

本发明提出了一种可用于在网络侧实现主认证增强功能的方法，通过将标准UDM/HSS一分为二，其中鉴权功能部分形成主认证增强设备，剩余功能作为定制UDM/HSS设备，两者之间定义通信接口，协同完成网络侧的主认证增强功能，本发明的有益效果体现在：

(1)提供便利的国产化鉴权算法定制机制：安全UDM/HSS在结构设计上采取了通信功能与安全功能解耦的方式，鉴权算法的替换由安全厂商实现，并且改动局限于主认证增强设备中，其替换过程不影响UDM/HSS厂商负责的定制UDM/HSS设备；

(2)鉴权算法替换具有充分的灵活性：通信与安全解耦的设计使得不同的特殊行业用户可以灵活使用不同的主认证增强设备以保证算法替换的灵活性，安全厂商与设备厂商分工合作的方式，解决了由于特殊行业用户自身的安全保密管理规定，直接在标准UDM/HSS上改动不便于主认证增强功能的落地实现与应用推广的问题；

(3)便于运营商部署运维：定制UDM/HSS最大限度减少了对标准UDM/HSS的改造，其开发、生产、部署与运维模式可与标准UDM/HSS保持一致，因此运营商只负责部署运维定制UDM/HSS，型号单一，并且同一个定制UDM/HSS可以访问多个实现了不同定制鉴权算法和认证协议的主认证增强设备，充分利用了设备能力，降低运营商成本的同时，能够满足尽可能多的垂直行业用户的安全需求。

附图说明

图1安全UDM/HSS系统结构示意图；

图2安全UDM/HSS系统交互流程图；

图3安全UDM/HSS系统支持多种终端配置策略的处理流程图。

具体实施方式

为了对本发明的技术特征、目的和效果有更加清楚的理解，现说明本发明的具体实施方式。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明，即所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

在4G/5G移动通信系统中，终端接入网络时进行主认证鉴权将执行AKA(认证和密钥协商，Authentication and Key Agreement，4G中为EPS-AKA，5G中为EAP-AKA’或5GAKA)，AKA过程包含了终端与核心网的双向身份认证以及对后续会话密钥进行协商。在实现主认证增强时，终端侧为了避免对基带固件中3GPP协议栈层面的改动，最大限度减小改造代价，通常都仅对在SIM卡中实现的相关算法(即鉴权向量的生成部分)进行定制，在网络侧也只需要对应地修改UDM/HSS中AKA鉴权向量的生成算法即可。本专利提出的在网络侧实现主认证增强功能的方法通过将标准UDM/HSS分成通信设备和安全设备两个部分，其中安全设备负责AKA过程鉴权向量的生成，即主认证增强设备，通信设备负责标准UDM/HSS除鉴权向量以外的其他功能，即定制UDM/HSS设备，主认证增强设备与定制UDM/HSS之间通过定义专用协议进行通信。当终端入网发起主认证时，定制UDM/HSS接收到来自终端的认证请求后，向主认证增强设备发起请求，由主认证增强设备根据定制算法为其生成AKA鉴权向量并返回给定制UDM/HSS，再由UDM/HSS执行主认证后续流程。一个定制UDM/HSS可以连接到多个主认证增强设备，对于具有不同配置策略的终端，UDM/HSS会根据SUPI/IMSI索引查询用户签约数据，并根据签约数据信息向相应的主认证增强设备发起生成鉴权向量请求。

(1)安全UDM/HSS结构组成

本专利提出的安全UDM/HSS在结构上采取了通信功能与安全功能解耦的方式，分为负责通信功能的定制UDM/HSS和负责安全功能的主认证增强设备，如图1所示。其中主认证增强设备维护着主认证需要的终端鉴权签约信息，包括终端SUPI/IMSI，根密钥K，鉴权参数OPC，随机数RAND，以及同步序列码SQN，在AKA过程中根据定制算法和协议，生成主认证增强所需的认证向量。定制UDM/HSS实现了标准UDM/HSS中除去生成认证向量以外的其他所有功能，定制UDM/HSS与核心网中其他网元的接口协议跟标准UDM/HSS与核心网中其他网元的接口协议保持一致。定制UDM/HSS和主认证增强设备之间通过定义专用协议进行通信，接口形式包括远程调用、服务化接口、定制通信协议等，二者协同完成网络侧的主认证增强功能，共同组成安全UDM/HSS。

(2)安全UDM/HSS系统交互流程

通信设备定制UDM/HSS和安全设备主认证增强设备之间通过定义专用通信协议进行交互，为了防止安全功能部分遭受到非法攻击，定制UDM/HSS对主认证增强设备的访问引入了双向认证机制。在AKA过程中，当定制UDM/HSS接收到来自终端的入网鉴权请求时，通知主认证增强设备为其生成认证向量，并返回给核心网其它网元。安全UDM/HSS系统交互流程如图2所示。

图2中1.a到1.d表示定制UDM/HSS和主认证增强设备之间的双向认证过程，仅在定制UDM/HSS连接到主认证增强设备时执行，2到6表示安全UDM/HSS对来自终端的主认证请求的处理过程，每接收到一次认证请求就会执行一次。其中定制UDM/HSS与主认证增强设备之间的双向认证过程如下所述：

1.a.定制UDM/HSS向主认证增强设备发起接入请求；

1.b.主认证增强设备接收到来自定制UDM/HSS的接入请求之后，计算认证挑战信息，然后发送给定制UDM/HSS；

1.c.定制UDM/HSS接收到来自主认证增强设备的认证挑战后，对主认证增强设备进行认证，并计算应答信息返回给主认证增强设备；

1.d.主认证增强设备接收到来自定制UDM/HSS的应答后，对定制UDM/HSS进行认证，并返回认证结果；若定制UDM/HSS设备与主认证增强设备双向认证成功，将进入正常工作流程，若认证失败，主认证增强设备将拒绝定制UDM/HSS设备的访问。

安全UDM/HSS对来自终端的主认证请求处理过程如下所述：

2.定制UDM/HSS从核心网其它网元接收到来自终端的主认证请求；

3.定制UDM/HSS根据终端标识索引查询其配置策略并选择相应的主认证增强设备；

4.定制UDM/HSS请求主认证增强设备为终端生成认证向量；

5.主认证增强设备将生成的认证向量返回给定制UDM/HSS；

6.定制UDM/HSS将认证向量返回给核心网其它网元。

定制UDM/HSS请求主认证增强设备为终端生成认证向量时需要发送的消息包括：

1.发起主认证请求的终端标识信息(IMSI/SUPI)；

2.AKA类型(EPS-AKA、EAP-AKA’、5G AKA)；

3.服务网络名称(Serving Network Name)；

4.重同步参数AUTS。

主认证增强设备向定制UDM/HSS返回认证向量时需要发送的信息包括：

1.[RAND,AUTN,XRES,Kasme](当AKA类型为EPS-AKA时)；

2.[RAND,AUTN,XRES,CK’,IK’](当AKA类型为EAP-AKA’时)；

3.[RAND,AUTN,XRES*,Kausf](当AKA类型为5G AKA时)；

(3)安全UDM/HSS支持多种终端配置策略

本专利提出的安全UDM/HSS中，一个定制UDM/HSS可以连接到多个主认证增强设备，每个主认证增强设备中实现了不同的定制鉴权算法和认证协议，具有不同的安全防护等级。不同垂直行业用户的终端设备在入网进行主认证时可以共用同一个定制UDM/HSS，由定制UDM/HSS根据终端配置策略选择相应的主认证增强设备生成AKA所需的认证向量，具体实现流程如图3所示。

其中主认证增强设备可以在系统建设规划之初预先设置，也可以在后期运行过程中根据用户使用需求动态新增部署。定制UDM/HSS的用户签约信息中存储了所有终端设备的配置策略信息以及不同策略对应的主认证增强设备信息，用于在处理主认证请求时选择相应的主认证增强设备。具体处理流程如下所述：

1.安全UDM/HSS从核心网其它网元接收到来自终端的主认证请求；

2.定制UDM/HSS根据终端标识索引查询终端用户签约信息表获取终端配置策略k；

3.定制UDM/HSS查询主认证增强设备信息表获取与配置策略k对应的主认证增强设备x；

4.定制UDM/HSS请求主认证增强设备x为终端生成认证向量；

5.安全UDM/HSS将认证向量返回给核心网其它网元。

以上所述仅是本发明的优选实施方式，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (8)

1.一种实现主认证增强的安全UDM/HSS系统，其特征在于，包括：

定制UDM/HSS设备，所述定制UDM/HSS设备完成标准UDM/HSS除鉴权向量以外的功能；

以及至少一个主认证增强设备，所述主认证增强设备完成AKA过程中鉴权向量的生成；所述主认证增强设备与所述定制UDM/HSS设备之间通过定义专用协议进行通信，接口形式包括远程调用、服务化接口和定制通信协议，二者协同完成网络侧的主认证增强功能。

2.根据权利要求1所述的一种实现主认证增强的安全UDM/HSS系统，其特征在于，所述主认证增强设备用于维护主认证需要的终端鉴权签约信息，在AKA过程中生成主认证增强所需的认证向量；所述终端鉴权签约信息包括终端SUPI/IMSI、根密钥K、鉴权参数OPC、随机数RAND以及同步序列码SQN。

3.一种基于如权利要求1所述的实现主认证增强的安全UDM/HSS系统的安全UDM/HSS设计方法，其特征在于，当终端入网发起主认证时，所述定制UDM/HSS设备接收到来自终端的主认证请求后，向所述主认证增强设备发起请求，由所述主认证增强设备生成AKA鉴权向量并返回给所述定制UDM/HSS设备，再由所述定制UDM/HSS设备执行主认证后续流程。

4.根据权利要求3所述的一种实现主认证增强的安全UDM/HSS设计方法，其特征在于，所述定制UDM/HSS设备与所述主认证增强设备之间采用双向认证机制，包括以下步骤：

S11.所述定制UDM/HSS设备向所述主认证增强设备发起接入请求；

S12.所述主认证增强设备接收到所述接入请求之后，计算认证挑战信息，然后发送给所述定制UDM/HSS设备；

S13.所述定制UDM/HSS设备接收到所述认证挑战信息后，对所述主认证增强设备进行认证，并计算应答信息返回给所述主认证增强设备；

S14.所述主认证增强设备接收到所述应答信息后，对所述定制UDM/HSS设备进行认证，并返回认证结果；若所述定制UDM/HSS设备与所述主认证增强设备双向认证成功，将进入正常工作流程，若认证失败，所述主认证增强设备将拒绝所述定制UDM/HSS设备的访问。

5.根据权利要求3所述的一种实现主认证增强的安全UDM/HSS设计方法，其特征在于，对来自终端的主认证请求的处理包括以下步骤：

S21.所述定制UDM/HSS设备从核心网其它网元接收到来自终端的主认证请求；

S22.所述定制UDM/HSS设备根据终端标识索引查询其配置策略，并选择相应的主认证增强设备；

S23.所述定制UDM/HSS设备请求所述主认证增强设备为终端生成认证向量；

S24.所述主认证增强设备将所述认证向量返回给所述定制UDM/HSS设备；

S25.所述定制UDM/HSS设备将所述认证向量返回给所述核心网其它网元。

6.根据权利要求5所述的一种实现主认证增强的安全UDM/HSS设计方法，其特征在于，在所述步骤S23中，所述定制UDM/HSS设备请求所述主认证增强设备为终端生成认证向量时，需要发送的消息包括：发起主认证请求的终端标识信息、AKA类型、服务网络名称和重同步参数AUTS；所述AKA类型包括EPS-AKA、EAP-AKA'和5G AKA。

7.根据权利要求6所述的一种实现主认证增强的安全UDM/HSS设计方法，其特征在于，在所述步骤S24中，所述主认证增强设备将所述认证向量返回给所述定制UDM/HSS设备时，且：

a.当AKA类型为EPS-AKA时，需要发送的信息包括：随机数RAND、鉴权令牌AUTN、期望响应XRES和接入安全管理实体密钥Kasme；

b.当AKA类型为EAP-AKA'时，需要发送的信息包括：随机数RAND、鉴权令牌AUTN、期望响应XRES、加密密钥CK'和完整性保护密钥IK'；

c.当AKA类型为5G AKA时，需要发送的信息包括：随机数RAND、鉴权令牌AUTN、期望响应XRES*和认证服务密钥Kausf。

8.根据权利要求3所述的一种实现主认证增强的安全UDM/HSS设计方法，其特征在于，对于具有不同配置策略的终端，所述定制UDM/HSS设备会根据SUPI/IMSI索引查询用户签约数据，并根据签约数据信息向相应的主认证增强设备发起生成鉴权向量请求，包括以下步骤：

S31.所述定制UDM/HSS设备从核心网其它网元接收到来自终端的主认证请求；

S32.所述定制UDM/HSS设备根据终端标识索引查询终端用户签约信息表，以获取终端配置策略k；

S33.所述定制UDM/HSS设备查询主认证增强设备信息表，以获取与配置策略k相对应的主认证增强设备x；

S34.所述定制UDM/HSS设备请求所述主认证增强设备x为终端生成认证向量；

S35.所述定制UDM/HSS设备将所述认证向量返回给所述核心网其它网元。

Images