[发明专利]无线演进网络实现认证的方法及安全系统

说明书

技术领域

本发明涉及无线通信系统安全技术，尤指一种无线演进网络实现认证的方法及安全系统。

背景技术

目前的第三代(3G)通信系统如码分多址2000(CDMA2000)网络自身具有安全体系和机制。早期的版本CDMA2000 1x系统或简称为1x系统，在电路域采用基于蜂窝认证和语音加密协议(CAVE，Cellular Authenticationand Voice Encryption)的认证方法，当用户请求电路域业务和位置更新时，移动交换中心(MSC)会发起对用户的认证，这种认证只是网络对用户的单向认证；在认证成功后，MSC将协商好的密钥发给基站(BS)，用于保护移动台(MS)和BS间的空口信令和用户数据，这种保护只对专用信令信道上的某些消息进行完整性和机密性保护，而不包括对公用信令信道的信令和业务信道的用户信息安全的保护。保护中使用的加密算法可以是蜂窝消息加密算法(CMEA，Cellular Message Encryption Algorithm)或增强CMEA(ECMEA)。

为了改变CAVE认证的不足，在作为1x系统的演进方案的EV-DV系统中，除了CAVE认证外，还增加了基于认证和密钥协商(AKA，Authenticationand Key Agreement)的认证，这种认证机制是双向认证，包括网络对终端及终端对网络的认证。AKA同时也是一个密钥协商协议，在认证的过程中，同时计算用于保护数据安全的密钥。类似的，MSC也会将计算得到的密钥发给BS，用于保护MS和BS间的数据。数据保护的方法与1x系统相同。

1x系统演进的另一个方向是高速率分组数据(HRPD)或称EV-DO系统。EV-DO系统只存在分组域而没有电路域，因此，认证方法与EV-DV系统有所不同，用户的认证包括两个层次，即接入网(AN)认证和核心网(CN)认证。

其中，接入网认证是AN在与接入终端(AT)建立点到点协议(PPP，Point-to Point Protocol)过程中，通过PPP挑战握手认证协议(CHAP)对AT进行认证，这种认证是单向的。空口的安全方面，使用密钥交换协议协商密钥保证空口数据的完整性和机密性，但协商过程没有包含对双方的认证。这里，AT是HRPD相关规范中的移动终端。

对于CMDA 2000分组核心网的认证，1x系统、EV-DV系统和EV-DO系统的认证方法基本相同。简单IP中，分组数据服务结点(PDSN，Packet DataServing Node)在与MS/AT建立PPP时，利用密码认证协议(PAP)或CHAP对终端进行认证；移动IP中，当MS获得转交地址后，会向家乡代理(HA)发送注册请求，这时MS会包含移动节点-认证、授权、计费(MN-AAA)认证扩展和MN-HA认证扩展，PDSN利用AAA服务器校验MN-AAA认证扩展以实现对MS的认证，而HA会对MN-HA扩展进行校验，如果正确，说明MS是合法用户。

综上所述，现有的CDMA2000系统的安全存在以下问题：

1)各种版本的认证和空口安全机制差别比较大，例如1x和EV-DV系统的认证不同；EV-DO系统的空口安全与1x、EV-DV系统的空口安全不同；

2)接入网认证中，除了EV-DV系统支持双向认证外，1x和EV-DO系统均只支持单向认证；

3)对信令和用户数据的保护比较复杂，要求保护某些信令的某些字段，而不是保护整个报文，这给系统的判断和处理都带来了难度；

4)上述安全机制不能满足跨接入系统漫游的要求。

为了保证未来系统的竞争力，增强分组交换能力、简化网络结构、提高服务质量(QoS)、减少时延、提高用户数据率、提高系统容量和覆盖率、减少运营成本等，3GPP2和3GPP标准组织一直在研究现有网络，主要是IP分组网络的长期演进方案，使分组网络能更有效地提供对实时业务和非实时业务的承载。另外，由于其它基于IP的接入技术特别是无线接入技术，如无线局域网(WLAN)和宽带互联微波接入(WiMAX)体系也越来越成熟，应用越来越广泛，未来的IP移动设备也具有多种接入能力，因此，未来的演进网络必须考虑如何与这些接入网络实现无缝移动性等。