[发明专利]一种基于共享加密数据的双向鉴权方法及系统

说明书

技术领域

本发明涉及CDMA和WiFi应用技术领域，尤其涉及一种基于共享加密数据的双向鉴权方法及系统。

背景技术

基于WLAN接入网关(WAG)的CDMA+WiFi的统一认证方案，实现了电信运营商的固定和移动网络的有效融合，充分分流了移动3G的业务流量，为电信运营商在全业务的竞争背景下赢得了先机。

但是，基于WAG的CDMA+WiFi的统一认证实现方案，在接入认证方式上采用的是网络侧单向的CAVE或MD5鉴权算法，空口采用的是简单UDP的数据通道方式，鉴权认证方式及空口数据通道的安全性都有待提高。

发明内容

鉴于以上，本发明提出一种基于共享加密数据的双向鉴权方法及系统。

本发明提出一种基于共享加密数据的双向鉴权方法，包括以下步骤：在接入鉴权协商过程中，网络侧与终端侧协商采用双向鉴权，并协商采用的鉴权算法；网络侧根据共享加密数据计算第一鉴权密钥，以所述第一鉴权密钥作为所述鉴权算法的入参，计算第一鉴权向量，并将所述第一鉴权向量传送给终端侧；终端侧根据共享加密数据计算第二鉴权密钥，以所述第二鉴权密钥作为所述鉴权算法的入参，计算第二鉴权向量；终端侧判断所述第一鉴权向量与所述第二鉴权向量是否一致，完成终端侧对网络侧的鉴权认证，如果一致，则鉴权通过，并将终端侧的鉴权响应发给网络侧；网络侧比较终端侧传送的鉴权响应与网络侧生成的鉴权响应是否一致，完成网络侧对终端侧的鉴权认证，如果一致，则鉴权通过。

本发明提出一种基于共享加密数据的双向鉴权系统，其中：终端侧包括UIM卡和MS：所述MS在接入鉴权协商过程中，与网络侧协商采用双向鉴权，并协商采用的鉴权算法；根据共享加密数据计算第二鉴权密钥，以所述第二鉴权密钥作为所述鉴权算法的入参，计算第二鉴权向量；判断所述第一鉴权向量与所述第二鉴权向量是否一致，完成终端侧对网络侧的鉴权认证，如果一致，则鉴权通过，并将终端侧的鉴权响应发给网络侧；网络侧包括WAG、AN-AAA以及HLR：所述WAG将第一鉴权向量传送给终端侧，以及接收终端侧传送的鉴权响应；所述AN-AAA根据共享加密数据计算第一鉴权密钥，以所述第一鉴权密钥作为所述鉴权算法的入参，计算第一鉴权向量，并将所述第一鉴权向量传送给WAG；从WAG接收终端侧传送的鉴权响应，比较终端侧传送的鉴权响应与AN-AAA生成的鉴权响应是否一致，完成网络侧对终端侧的鉴权认证，如果一致，则鉴权通过。

本发明提出了一种基于共享加密数据的CAVE+AKA双向鉴权实现方法，可以适用于现有CDMA移动核心网络，能有效地解决基于WLAN接入网关的CDMA+WiFi统一认证接入模式下单向鉴权存在的安全问题。

在此基础上，还提出了一种基于CAVE+AKA双向鉴权的空口加密IPsec安全通道的实现方案，解决了简单UDP数据通道的安全问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是示出本发明实施例中，在基于共享SSD的CAVE+AKA双向鉴权流程示意图。

图2是示出本发明随机数(RANDOM)与鉴权序列号(SQN)的同步流程示意图。

图3是示出本发明基于CAVE+AKA双向鉴权的IPsec实现流程示意图。

图4是示出本发明的一种基于共享加密数据的双向鉴权系统结构示意图。

具体实施方式

现有技术进行单向鉴权，单向鉴权是网络侧对终端侧的认证鉴权，终端侧对网络侧没有认证鉴权，无法保证接入的网络是合法的网络，比如非法份子建设的伪运营商的网络，骗取用户的信息。

本发明的目的在于提出一种基于WLAN接入网关(WAG)的CDMA+WiFi统一认证网络的双向鉴权(AKA)实现方法，本发明的双向鉴权基于共享加密数据，既由终端侧对网络侧进行认证鉴权，也由网络侧对终端侧进行认证鉴权，从而能保证双方的安全。进一步提出基于双向鉴权模式下的IPsec加密通道实现方法。

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。

本发明需要在HLR/AC上配置SSD共享方式。SSD共享方式包含以下功能：