[发明专利]一种基于USIM卡的EAP-AKA认证方法

说明书

本发明公开了一种基于USIM卡的EAP‑AKA认证方法，用于在家庭基站与安全网关之间建立IPsec隧道，所述家庭基站中集成有USIM卡、USIM卡操作接口程序、IPsec程序以及内核协议栈；家庭基站提供USIM卡插槽，移动运营商提供USIM卡；所述USIM卡操作接口程序用于读取IMSI，调用USIM卡完成认证并返回认证结果；所述IPsec程序用于实现IKEv2协议，调用USIM卡操作接口程序获取IMSI，以及调用USIM卡进行认证，与安全网关协商建立IPsec隧道，还用于与内核协议栈交互，管理IPsec隧道；所述内核协议栈用于实现IPsec协议。本发明有效的解决了家庭基站与核心网之间的双向认证，以及数据传输安全问题，并可实现机卡分离。

技术领域

本发明涉及移动通信技术领域，尤其涉及一种基于USIM卡的EAP-AKA认证方法。

背景技术

家庭基站是一种小型的、低功率蜂窝基站，主要用于家庭室内环境、办公环境等，以增强室内覆盖。家庭基站使用IP协议，通过现有的宽带固网接入移动运营商的核心网络，家庭基站是移动网络与固网的融合，与宏站不同，家庭基站通过宽带固网接入移动运营商的核心网，处于不可信的环境中，给移动运营商的核心网络、移动用户带来新的风险。如何对家庭基站和核心网进行双向认证，避免非法用户接入运营商的核心网络，避免家庭基站接入“伪核心网”；如何保证家庭基站到核心网之间的通信安全就变得尤为重要。

公开号为CN102655641A的中国专利公开了一种安全隧道建立方法和基站，该安全隧道建立方法包括：第一基站获得用于验证第二基站证书的根证书或者第二基站与所述第一基站之间的共享密钥；所述第一基站为家庭基站时，所述第二基站为家庭基站或宏基站；或者，所述第一基站为宏基站时，所述第二基站为家庭基站；所述第一基站通过所述共享密钥或者所述用于验证第二基站证书的根证书与所述第二基站建立因特网协议安全隧道，以保证所述第一基站与所述第二基站之间接口的安全性。

为了保证家庭基站与核心网的通信安全，在核心网边缘部署安全网关，家庭基站通过安全网关连接到核心网，并在家庭基站与安全网关间建立IPsec隧道。IPsec隧道通过IKEv2协议协商建立。建立IPsec隧道的认证模式有证书认证模式、预共享密钥模式、EAP-AKA认证模式等。3GPP标准中没有对建立IPsec隧道的认证模式进行限制，也没有给出具体的实现方案。EAP-AKA认证模式即可以通过软件(通过软件实现AKA算法)实现，也可以通过硬件(USIM卡)实现。

发明内容

本发明的目的是针对现有技术存在的问题，提供一种基于USIM卡的EAP-AKA认证方法。通过在家庭基站上集成USIM卡模块，并通过IKEv2协议，实现基于USIM卡的EAP-AKA认证模式建立IPsec隧道，有效的解决了家庭基站与核心网之间的双向认证，以及数据传输安全问题，并可实现机卡分离。

为实现上述目的，本发明采用的技术方案是：

根据本发明说明书的一方面，提供了一种基于USIM卡的EAP-AKA认证方法，用于在家庭基站与安全网关之间建立IPsec隧道，所述家庭基站中集成有USIM卡、USIM卡操作接口程序、IPsec程序以及内核协议栈；所述认证方法包括以下步骤：

S1，安全网关获取USIM卡的IMSI，并向AAA服务器发送封装有IMSI的Radius请求访问消息；

S2，AAA服务器提取IMSI后，从HSS服务器获取认证向量；并向安全网关发送封装有认证向量的Radius挑战访问消息；

S3，安全网关接收到Radius挑战访问消息后，向家庭基站发送封装有认证向量的IKE_AUTH消息；

S4，家庭基站收到IKE_AUTH消息后，将认证向量作为输入参数，调用USIM卡操作接口程序进行认证，获取认证结果，并向安全网关发送封装有认证结果的IKE_AUTH消息；