[发明专利]一种基于共享加密数据的双向鉴权方法及系统

权利要求书

1.一种基于共享加密数据的双向鉴权方法，包括以下步骤：

在接入鉴权协商过程中，网络侧与终端侧协商采用双向鉴权，并协商采用的鉴权算法；

网络侧根据共享加密数据计算第一鉴权密钥，以所述第一鉴权密钥作为所述鉴权算法的入参，计算第一鉴权向量，并将所述第一鉴权向量传送给终端侧；

终端侧根据共享加密数据计算第二鉴权密钥，以所述第二鉴权密钥作为所述鉴权算法的入参，计算第二鉴权向量；

终端侧判断所述第一鉴权向量与所述第二鉴权向量是否一致，完成终端侧对网络侧的鉴权认证，如果一致，则鉴权通过，并将终端侧的鉴权响应发给网络侧；

网络侧比较终端侧传送的鉴权响应与网络侧生成的鉴权响应是否一致，完成网络侧对终端侧的鉴权认证，如果一致，则鉴权通过。

2.根据权利要求1所述基于共享加密数据的双向鉴权方法，其中，网络侧根据共享加密数据计算第一鉴权密钥，包括以下步骤：

所述网络侧包括AN-AAA以及HLR/AC，在AN-AAA已保存HLR/AC的共享加密数据，根据共享加密数据计算第一鉴权密钥；或者

在AN-AAA未保存共享加密数据或与终端侧的共享加密数据不一致时，由HLR/AC进行鉴权，在鉴权通过后将共享加密数据返回给AN-AAA，根据共享加密数据计算第一鉴权密钥。

3.根据权利要求1或2所述基于共享加密数据的双向鉴权方法，其中，计算第一鉴权向量之后，还包括以下步骤：

当终端侧与网络侧的随机数或鉴权序列号一致或协商成功时，将鉴权序列号加1；或者

当终端侧与网络侧的随机数或鉴权序列号不一致或协商失败时，进行随机数与鉴权序列号的同步，将鉴权序列号加1。

4.根据权利要求1或2或3所述基于共享加密数据的双向鉴权方法，其中，在接入鉴权协商过程中，还执行以下操作：网络侧与终端侧协商进行IPsec加密。

5.根据权利要求4所述基于共享加密数据的双向鉴权方法，其中，进行IPsec加密包括仅加密信令、仅加密数据、或者数据和信令都加密。

6.一种基于共享加密数据的双向鉴权系统，其中：

终端侧包括UIM卡和MS：

所述MS在接入鉴权协商过程中，与网络侧协商采用双向鉴权，并协商采用的鉴权算法；根据共享加密数据计算第二鉴权密钥，以所述第二鉴权密钥作为所述鉴权算法的入参，计算第二鉴权向量；判断所述第一鉴权向量与所述第二鉴权向量是否一致，完成终端侧对网络侧的鉴权认证，如果一致，则鉴权通过，并将终端侧的鉴权响应发给网络侧；

网络侧包括WAG、AN-AAA以及HLR：

所述WAG将第一鉴权向量传送给终端侧，以及接收终端侧传送的鉴权响应；

所述AN-AAA根据共享加密数据计算第一鉴权密钥，以所述第一鉴权密钥作为所述鉴权算法的入参，计算第一鉴权向量，并将所述第一鉴权向量传送给WAG；从WAG接收终端侧传送的鉴权响应，比较终端侧传送的鉴权响应与AN-AAA生成的鉴权响应是否一致，完成网络侧对终端侧的鉴权认证，如果一致，则鉴权通过。

7.根据权利要求6所述基于共享加密数据的双向鉴权系统，其中：

所述AN-AAA在已保存HLR的共享加密数据时，从HLR获取共享加密数据；或者在AN-AAA未保存共享加密数据或与终端侧的共享加密数据不一致时，由HLR进行鉴权，在鉴权通过后将共享加密数据返回给AN-AAA。

8.根据权利要求6或7所述基于共享加密数据的双向鉴权系统，其中：

所述AN-AAA在终端侧与网络侧的随机数或鉴权序列号一致或协商成功时，将鉴权序列号加1；或者在终端侧与网络侧的随机数或鉴权序列号不一致或协商失败时，进行随机数与鉴权序列号的同步，再将鉴权序列号加1。

9.根据权利要求6或7或8所述基于共享加密数据的双向鉴权系统，其中，所述网络侧与终端侧还协商进行IPsec加密。

10.根据权利要求9所述基于共享加密数据的双向鉴权系统，其中，进行IPsec加密可协商仅加密信令、仅加密数据或者数据和信令都加密。