CN108880813B - 一种附着流程的实现方法及装置 - Google Patents

一种附着流程的实现方法及装置 Download PDF

Info

Publication number
CN108880813B
CN108880813B CN201710316639.4A CN201710316639A CN108880813B CN 108880813 B CN108880813 B CN 108880813B CN 201710316639 A CN201710316639 A CN 201710316639A CN 108880813 B CN108880813 B CN 108880813B
Authority
CN
China
Prior art keywords
network element
request message
key
identity
response message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710316639.4A
Other languages
English (en)
Other versions
CN108880813A (zh
Inventor
刘福文
彭晋
左敏
庄小君
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Communications Ltd Research Institute filed Critical China Mobile Communications Group Co Ltd
Priority to CN201710316639.4A priority Critical patent/CN108880813B/zh
Publication of CN108880813A publication Critical patent/CN108880813A/zh
Application granted granted Critical
Publication of CN108880813B publication Critical patent/CN108880813B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Theoretical Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种附着流程的实现方法及装置，包括：第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥，向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息；基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息。

Description

一种附着流程的实现方法及装置
技术领域
本发明涉及移动通信领域中的附着技术，尤其涉及一种附着流程的实现方法及装置。
背景技术
第五代移动通信技术(5G，5th Generation Mobile Communication Technology)追逐的目标是满足2020年及以后的商业需求，通过5G有望塑造一个完全移动和全面连接的社会，在今天难以想象的很多方面促使社会经济改革，如生产效率、可持续性发展等方面。5G有必要提供的性能包括：更大的吞吐量、超低延迟、极高可靠性、更高的连接密度和更高的移动范围。这种增强的性能预计将提供在高度异质网络环境中运行的能力，以及确保安全性、信任、身份和隐私的能力。
长期演进(LTE，Long Term Evolution)的演进是5G的重要组成部分，不局限于此，5G还包括网络演变的所有部分，如核心和管理系统、以及从无线层到应用层的所有协议层。因此，5G的安全隐患可能会无处不在。第二代移动通信技术，也即全球移动通信系统(GSM，Global System for Mobile Communication)是第一个拥有标准化、内置安全功能的系统，然后GSM演变到3G和4G。目前的4G蜂窝系统为用户和运营商提供足够的安全性和可信度，但其仍然存在一些安全漏洞，尤其是用户设备(UE，User Equipment)在对网络进行附着的过程中。3GPP TR 33.899[1]是5G网络安全的研究报告，其中对附着流程可能出现的安全漏洞进行了归纳总结，具有如下漏洞：用户标识符隐私、长期密钥泄露、移动网络运营商之间的不安全链路、关联性攻击。
为此，在TR33.899中提出将迪菲赫尔曼(DH，Diffie-Hellman)密钥交换协议用于附着流程，此方案可以消除当攻击是被动时的三大安全威胁：用户标识符隐私、长期密钥泄露、移动网络运营商之间的不安全链路。然而，DH密钥交换协议用于附着流程方案存在如下主要缺点：
1)不能防止主动攻击，此方案在UE和SEAF间使用DH密钥交换协议，由于交换的公钥没有完整性保护，此方案易受到中间人攻击，也就是不能防止主动攻击。
2)不能防止关联性攻击，此方案没有任何机制用于防止关联性攻击。
发明内容
为解决上述技术问题，本发明实施例提供了一种附着流程的实现方法及装置。
本发明实施例提供的附着流程的实现方法，包括：
第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥；
所述第一网元向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；所述第一网元接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；
所述第一网元向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述第一网元接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；
所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述第一网元接收UE发送的第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述第一网元接收UE发送的第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本发明实施例中，所述第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥，包括：
如果所述第一网元接收到UE发送的第二附着请求消息，则生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥；
如果所述第一网元接收到UE发送的第一附着请求消息，则判定如下条件是否成立：是否存在与所述UE的临时身份相对应的UE的真实身份、所述第一网元与UE之间是否已经建立共享密钥KDH；如果上述条件中的一个或两个不成立，则所述第一网元生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥。
本发明实施例中，所述方法还包括：
所述第一网元根据所述第一附着请求消息中GUTI中的MMC+MNC，或者根据所述第二附着请求消息中的MMC+MNC，生成所述签名请求消息，所述签名请求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一网元的DH公钥，所述SNid代表服务网络号；
其中，如果所述MMC+MNC指向的网络与所述第一网元所在的网络属于不同属性的网络，则所述签名请求消息还包括：SIGNSEAF，所述SIGNSEAF代表所述第一网元或者与所述第一网元互联的安全网管利用所述第一网元的私钥对所述签名请求消息的数字签名。
本发明实施例中，在所述签名请求消息包括所述SIGNSEAF的情况下，所述签名响应消息具有两种，分别为：第一签名响应消息和第二签名响应消息，其中，
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证失败，则所述第一网元接收所述第二网元发送的第一签名响应消息，所述第一签名响应消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证成功，则所述第一网元接收所述第二网元发送的第二签名响应消息，所述第二签名响应消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，如果所述第一网元从所述第二网元接收到所述第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；
如果所述第一网元从所述第二网元接收到所述第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，所述身份响应消息包括KUpub，{身份信息}KE，MAC1，所述KUpub代表所述UE的DH公钥，所述{身份信息}KE代表使用KE加密的身份信息，所述MAC1代表使用KM对所述身份响应消息计算出的消息认证码，其中，所述KE和所述KM分别代表加密密钥和完整性密钥。
本发明实施例中，如果所述身份响应消息携带网络切片标识符和/或网络接入标识符，则所述身份响应消息包括：
KUpub，{身份信息、网络切片标识符}KE，MAC1；或者，
KUpub，{身份信息、网络接入标识符}KE，MAC1；或者，
KUpub，{身份信息、网络切片标识符、网络接入标识符}KE，MAC1；
其中，所述{}KE代表使用KE进行加密。
本发明实施例中，所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，包括：
所述第一网元使用所述UE的DH私钥以及所述第一网元的DH公钥，计算所述UE与所述第一网元之间的共享密钥；
利用所述共享密钥，基于以下公式计算加密密钥和完整性密钥：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
其中，KE代表加密密钥，KM代表完整性密钥，KDF代表密钥推导函数，number1和number2分别代表两个不同的数据；
利用所述加密密钥从所述身份响应消息中获取所述UE的身份信息。
本发明实施例中，所述方法还包括：
所述第一网元向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；
所述第一网元接收所述UE发送的认证响应消息，所述认证响应消息包括响应参数；如果对所述响应参数验证失败，则所述第一网元向所述UE发送认证拒绝消息，所述认证拒绝消息包括MAC2，所述MAC2代表使用KM对所述认证拒绝消息进哈希计算出的消息认证码。
本发明实施例中，所述方法还包括：
所述第一网元向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；
如果所述UE对所述AUTN进行MAC检验失败或者所述UE检验同步失败，则所述第一网元接收所述UE发送的认证响应消息，所述认证响应消息包括FAIL_CAUSE、TUE、IMSI、SQNMS，所述认证响应消息中的内容使用KE和KM进行加密；
其中，所述FAIL_CAUSE的值为MAC失败或者同步失败，如果所述FAIL_CAUSE的值为同步失败，则所述第一网元利用所述认证响应消息中的SQNMS与归属网络进行同步，所述SQNMS代表UE的序列号；所述TUE代表UE发送消息时的UE时钟或者随机数。
本发明另一实施例提供的附着流程的实现方法，包括：
UE向第一网元发送附着请求消息；
所述UE接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥；
如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；
所述UE基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密；
所述UE向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述UE向第一网元发送第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述UE向第一网元发送第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本发明实施例中，如果所述第一网元从所述第二网元接收到第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；所述Nonce1代表一次性随机数，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第一网元从所述第二网元接收到第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF，所述KSpub代表所述第一网元的DH公钥。
本发明实施例中，所述如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；所述UE基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密，包括：
如果所述UE使用所述第二网元的公钥对所述签名验证成功，则判断所述身份请求消息中的内容；
如果所述身份请求消息中没有所述FAIL，且所述身份请求消息中的Nonce1与自身向所述第一网元发送的Nonce1一致，则所述UE获得所述第一网元的DH公钥；
所述UE生成自身的DH私钥及计算与所述DH私钥相应的DH公钥；
所述UE使用所述UE的DH私钥以及所述第一网元的DH公钥，计算所述UE与所述第一网元之间的共享密钥；
利用所述共享密钥，基于以下公式计算加密密钥和完整性密钥：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
其中，KE代表加密密钥，KM代表完整性密钥，KDF代表密钥推导函数，number1和number2分别代表两个不同的数据；
利用所述加密密钥对所述UE的身份信息进行加密。
本发明实施例提供的附着流程的实现装置，包括：
附着请求单元，用于接收UE发送的附着请求消息，计算第一网元的DH公钥；
签名请求单元，用于向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；
身份请求单元，用于向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；
处理单元，用于基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述第一网元接收UE发送的第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述第一网元接收UE发送的第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本发明实施例中，所述处理单元，还用于：
如果所述第一网元接收到UE发送的第二附着请求消息，则生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥；
如果所述第一网元接收到UE发送的第一附着请求消息，则判定如下条件是否成立：是否存在与所述UE的临时身份相对应的UE的真实身份、所述第一网元与UE之间是否已经建立共享密钥KDH；如果上述条件中的一个或两个不成立，则所述第一网元生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥。
本发明实施例中，所述处理单元，还用于：根据所述第一附着请求消息中GUTI中的MMC+MNC，或者根据所述第二附着请求消息中的MMC+MNC，生成所述签名请求消息，所述签名请求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一网元的DH公钥，所述SNid代表服务网络号；
其中，如果所述MMC+MNC指向的网络与所述第一网元所在的网络属于不同属性的网络，则所述签名请求消息还包括：SIGNSEAF，所述SIGNSEAF代表所述第一网元或者与所述第一网元互联的安全网管利用所述第一网元的私钥对所述签名请求消息的数字签名。
本发明实施例中，在所述签名请求消息包括所述SIGNSEAF的情况下，所述签名响应消息具有两种，分别为：第一签名响应消息和第二签名响应消息，其中，
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证失败，则所述第一网元接收所述第二网元发送的第一签名响应消息，所述第一签名响应消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证成功，则所述第一网元接收所述第二网元发送的第二签名响应消息，所述第二签名响应消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，如果从所述第二网元接收到所述第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；
如果从所述第二网元接收到所述第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，所述装置还包括：
认证请求单元，用于向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；接收所述UE发送的认证响应消息，所述认证响应消息包括响应参数；如果对所述响应参数验证失败，则所述第一网元向所述UE发送认证拒绝消息，所述认证拒绝消息包括MAC2，所述MAC2代表使用KM对所述认证拒绝消息进哈希计算出的消息认证码。
本发明实施例中，所述装置还包括：
认证请求单元，用于向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；如果所述UE对所述AUTN进行MAC检验失败或者所述UE检验同步失败，则接收所述UE发送的认证响应消息，所述认证响应消息包括FAIL_CAUSE、TUE、IMSI、SQNMS，所述认证响应消息中的内容使用KE和KM进行加密；
其中，所述FAIL_CAUSE的值为MAC失败或者同步失败，如果所述FAIL_CAUSE的值为同步失败，则所述第一网元利用所述认证响应消息中的SQNMS与归属网络进行同步，所述SQNMS代表UE的序列号；所述TUE代表UE发送消息时的UE时钟或者随机数。
本发明另一实施例提供的附着流程的实现装置，包括：
附着请求单元，用于向第一网元发送附着请求消息；
身份请求单元，用于接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥；向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息；
处理单元，用于如果使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述UE向第一网元发送第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述UE向第一网元发送第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本发明实施例的技术方案，第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥；所述第一网元向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；所述第一网元接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；所述第一网元向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述第一网元接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程。采用本发明实施例的技术方案，能够消除四大安全威胁，即使存在以下主动攻击：用户标识符隐私、长期密钥泄露、移动网络运营商之间的不安全链路、关联性攻击，也能够满足5G网络接入的安全需求。
附图说明
图1为DH密钥交换协议用于附着流程的示意图；
图2为本发明实施例的附着流程的实现方法的流程图一；
图3为本发明实施例的附着流程的实现方法的流程图二；
图4为本发明实施例的成功附着流程的流程示意图；
图5为本发明实施例的失败附着流程的流程示意图一；
图6为本发明实施例的失败附着流程的流程示意图二；
图7为本发明实施例的附着流程的实现装置的结构组成示意图一；
图8为本发明实施例的附着流程的实现装置的结构组成示意图二；
图9为本发明实施例的附着流程的实现设备的结构组成示意图。
具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。
附着过程是UE访问网络的一个重要步骤，它可以根据其不同的功能分为三个阶段：(1)身份管理，用于在网络侧确定UE的身份，(2)UE和网络之间进行认证和密钥管理(AKA，Authentication and Key Agreement)，用于相互认证以及导出会话密钥，(3)安全模式命令(SMC，Security Mode Command)，用于密码算法的协商和激活消息的保护。虽然大部分时间一个UE接入到网络使用临时身份(例如在LTE网络中的全球唯一临时UE标识(GUTI，Globally Unique Temporary UE Identity))，但仍可能在某些时间内会泄露其真实身份，如第一次附着到网络时。
AKA协议在附着流程中负责认证和密钥管理，虽然AKA协议已使用多年，但有关AKA协议的假定条件的安全性近年来已受到质疑，其结果是，攻击者可能不需要攻破AKA协议就能窃听通信。此外，AKA协议本身也可能泄露用户隐私，攻击者使用关联性攻击来跟踪用户位置。
UE附着网络流程的安全漏洞可归纳如下：
1)用户标识符隐私：自从2G网络起，3GPP已经做了很多努力来处理用户标识符的隐私。基本思路是将一个临时身份分配给UE用于网络接入，以隐藏UE的真实身份。然而，由于不完善的身份管理过程，攻击者仍然可能获得UE的真实身份。连接网络时，至少在两种情况下，UE可能泄露其真实身份：第一次网络附着的情况下，以及国际移动用户识别码(IMSI，International Mobile Subscriber Identification Number)和GUTI之间同步出现问题的情况下。被动攻击者可以通过窃听第一次网络附着消息获得IMSI，因为UE会在第一次连接到网络时，暴露其真实身份给网络。这样的攻击在机场这类场景特别有效，因为大多数人都是第一次从注册网络漫游到访问网络。主动攻击者可以通过使用IMSI捕捉器随时随地获得UE的真实身份，其中将IMSI捕捉器伪装成基站迫使UE透露其身份，用户标识的隐私已在TR 33.899被确定为一个关键问题。
2)长期密钥泄露：AKA协议依靠分别存储在全球用户识别卡(USIM，UniversalSubscriber Identity Module)和归属签约用户服务器(HSS，Home Subscriber Server)中的根密钥K实现UE和网络之间的相互认证，并导出会话密钥。安全的假设条件是根密钥K除了网络运营商外，别人都不知道。然而，研究报告表明这种假设并不总是正确的，因为根密钥K可能在USIM卡的生产阶段就已被泄露。因此，被动攻击者可以使用从根密钥K、以及UE和网络之间交换消息而衍生的会话密钥来窃听通信。一个主动攻击者可能会利用偷来的大量根密钥伪造基站而发起中间人攻击。长期密钥泄密已经在TR33.899被认为是一个关键问题。
3)移动网络运营商之间的不安全链路：会话密钥，也被称为无线接口密钥，在注册网络的HSS上计算。它们会通过移动网络运营商(MNO，Mobile Network Operator)间的链接被传送到访问网络的服务节点，如SS7/Diameter消息。AKA协议假定MNO间的链接是安全的，然而，MNO间SS7链路的攻击证明这样的假设是可疑的。其结果是，攻击者可能使用从MNO之间的链路上取得的会话密钥监听访问网络通信，并使用从MNO之间的链路上取得的会话密钥来监听空口通信内容。移动网络运营商之间的不安全链路在TR33.899被标记为一个关键问题。
4)关联性攻击：AKA协议遭受关联性攻击的原因是在UE认证网络失败的情况下可以从UE发送到网络两个不同的错误信息(消息验证码(MAC，Message AuthenticationCodes)失败，同步失败)，这两个错误信息都没有完整性和机密性保护，可以被攻击者明文截获。为了检测某一UE在某个区域的存在性，主动攻击者可以事先捕获任意一个网络侧发给该UE的合法认证请求消息中包含的消息对(随机数(RAND)，认证令牌(AUTN))。攻击者不需要知道用户的IMSI与MSISDN，只需在区域内重放以前捕获的认证请求消息对(RAND，AUTN)，如果攻击者接收到同步失败的消息，攻击者就可以确定目标UE在该区域内，这违反了用户位置机密性要求。
在TR33.899中提出将迪菲赫尔曼(DH，Diffie-Hellman)密钥交换协议用于附着流程，如图1所示：
基本思路是：DH密钥交换协议被集成到附着流程的身份管理阶段。UE和网络之间协商的密钥KDH用于生成加密密钥KE，UE的真实身份用密钥KE加密，使被动攻击者无法获得UE的真实身份。AKA协议结束后，UE和网络在共享根密钥K的基础上生成相同的密钥Kmid。然后，UE和网络利用密钥Kmid和密钥KDH计算会话密钥Ks。在SMC阶段，安全模式命令和安全模式响应消息的MAC值使用会话密钥Ks来计算，以确认密钥Ks的正确性。此方案可以消除当攻击是被动时的三大安全威胁：用户标识符隐私、长期密钥泄露、移动网络运营商之间的不安全链路。然而，此方案具有如下问题：1)不能防止主动攻击，2)不能防止关联性攻击。
本发明实施例的技术方案，旨在消除四大安全威胁，即使存在以下主动攻击：用户标识符隐私、长期密钥泄露、移动网络运营商之间的不安全链路、关联性攻击，也能够满足5G网络接入的安全需求。以下对本发明实施例的技术方案做详细描述。
本发明实施例的技术方案，将DH密钥交换协议和数字签名应用在附着流程中。其中，DH密钥交换协议是主要用于通过公共渠道建立双方之间共享密钥的密钥协商方案。数字签名是一种使用发送方公钥，接收方能验证收到数据真实性的方法。本发明实施例的基本思路是：UE和网络之间进行DH密钥交换时，服务网络的DH公钥被归属网络的长效私钥签名，UE使用预先配置的归属网络的长效公钥验证数字签名，从而保证UE获取的服务网络SEAF的DH公钥是真实的。UE和网络之间协商的密钥KDH用于生成加密密钥KE，UE的真实身份用密钥KE加密。只有服务网络能得到UE的真实身份，因UE使用的是真实的服务网络DH公钥，从而防止了中间人攻击。AKA协议结束后，UE和网络在共享根密钥K的基础上生成相同的密钥Kmid。然后，UE和网络利用密钥Kmid和密钥KDH计算会话密钥Ks。此外，在附着失败的情况下，本发明实施例的技术方案对UE发向网络的认证响应消息使用加密密钥KE和完整性密钥KM进行保护，以抵制关联性攻击。
下一代网络针对附着流程定义了四种逻辑网络实体：UE、安全锚点功能(SEAF)、认证服务器功能(AUSF)、认证凭证存储和处理功能(ARPF)。归属网络有一公私钥对，其中，私钥安全地保存在AUSF上，公钥预先配置在UE上。服务网络也有一公私钥对，其中，私钥安全地保存在SEAF上或与其他运营商互联的安全网关上，公钥通过漫游协议让归属网络知悉。
图2为本发明实施例的附着流程的实现方法的流程图一，本实施例中，第一网元可以通过SEAF实现，第二网元可以通过AUSF来实现，第三网元可以通过ARPF来实现，如图2所示，所述方法包括以下步骤：
步骤201：第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述第一网元接收UE发送的第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述第一网元接收UE发送的第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本发明实施例中，所述第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥，包括：
如果所述第一网元接收到UE发送的第二附着请求消息，则生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥；
如果所述第一网元接收到UE发送的第一附着请求消息，则判定如下条件是否成立：是否存在与所述UE的临时身份相对应的UE的真实身份、所述第一网元与UE之间是否已经建立共享密钥KDH；如果上述条件中的一个或两个不成立，则所述第一网元生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥。
步骤202：所述第一网元向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；所述第一网元接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥。
本发明实施例中，所述第一网元根据所述第一附着请求消息中GUTI中的MMC+MNC，或者根据所述第二附着请求消息中的MMC+MNC，生成所述签名请求消息，所述签名请求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一网元的DH公钥，所述SNid代表服务网络号；
其中，如果所述MMC+MNC指向的网络与所述第一网元所在的网络属于不同属性的网络，则所述签名请求消息还包括：SIGNSEAF，所述SIGNSEAF代表所述第一网元或者与所述第一网元互联的安全网管利用所述第一网元的私钥对所述签名请求消息的数字签名。
本发明实施例中，在所述签名请求消息包括所述SIGNSEAF的情况下，所述签名响应消息具有两种，分别为：第一签名响应消息和第二签名响应消息，其中，
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证失败，则所述第一网元接收所述第二网元发送的第一签名响应消息，所述第一签名响应消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证成功，则所述第一网元接收所述第二网元发送的第二签名响应消息，所述第二签名响应消息包括：Nonce1、KSpub、SIGNAUSF。
步骤203：所述第一网元向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述第一网元接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成。
本发明实施例中，如果所述第一网元从所述第二网元接收到所述第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；
如果所述第一网元从所述第二网元接收到所述第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，所述身份响应消息包括KUpub，{身份信息}KE，MAC1，所述KUpub代表所述UE的DH公钥，所述{身份信息}KE代表使用KE加密的身份信息，所述MAC1代表使用KM对所述身份响应消息计算出的消息认证码，其中，所述KE和所述KM分别代表加密密钥和完整性密钥。
其中，如果所述身份响应消息携带网络切片标识符和/或网络接入标识符，则所述身份响应消息包括：
KUpub，{身份信息、网络切片标识符}KE，MAC1；或者，
KUpub，{身份信息、网络接入标识符}KE，MAC1；或者，
KUpub，{身份信息、网络切片标识符、网络接入标识符}KE，MAC1；
其中，所述{}KE代表使用KE进行加密。
步骤204：所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程。
本发明实施例中，所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，包括：
所述第一网元使用所述UE的DH私钥以及所述第一网元的DH公钥，计算所述UE与所述第一网元之间的共享密钥；
利用所述共享密钥，基于以下公式计算加密密钥和完整性密钥：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
其中，KE代表加密密钥，KM代表完整性密钥，KDF代表密钥推导函数，number1和number2分别代表两个不同的数据；
利用所述加密密钥从所述身份响应消息中获取所述UE的身份信息。
本发明实施例中，所述方法还包括：所述第一网元向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；
所述第一网元接收所述UE发送的认证响应消息，所述认证响应消息包括响应参数；如果对所述响应参数验证失败，则所述第一网元向所述UE发送认证拒绝消息，所述认证拒绝消息包括MAC2，所述MAC2代表使用KM对所述认证拒绝消息进哈希计算出的消息认证码。
本发明实施例中，所述方法还包括：所述第一网元向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；
如果所述UE对所述AUTN进行MAC检验失败或者所述UE检验同步失败，则所述第一网元接收所述UE发送的认证响应消息，所述认证响应消息包括FAIL_CAUSE、TUE、IMSI、SQNMS，所述认证响应消息中的内容使用KE和KM进行加密；
其中，所述FAIL_CAUSE的值为MAC失败或者同步失败，如果所述FAIL_CAUSE的值为同步失败，则所述第一网元利用所述认证响应消息中的SQNMS与归属网络进行同步，所述SQNMS代表UE的序列号；所述TUE代表UE发送消息时的UE时钟或者随机数。
图3为本发明实施例的附着流程的实现方法的流程图二，如图3所示，所述方法包括以下步骤：
步骤301：UE向第一网元发送附着请求消息。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述UE向第一网元发送第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述UE向第一网元发送第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
步骤302：所述UE接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥。
本发明实施例中，如果所述第一网元从所述第二网元接收到第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；所述Nonce1代表一次性随机数，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第一网元从所述第二网元接收到第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF，所述KSpub代表所述第一网元的DH公钥。
步骤303：如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥。
步骤304：所述UE基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密。
步骤305：所述UE向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息。
如果所述UE使用所述第二网元的公钥对所述签名验证成功，则判断所述身份请求消息中的内容；
如果所述身份请求消息中没有所述FAIL，且所述身份请求消息中的Nonce1与自身向所述第一网元发送的Nonce1一致，则所述UE获得所述第一网元的DH公钥；
所述UE生成自身的DH私钥及计算与所述DH私钥相应的DH公钥；
所述UE使用所述UE的DH私钥以及所述第一网元的DH公钥，计算所述UE与所述第一网元之间的共享密钥；
利用所述共享密钥，基于以下公式计算加密密钥和完整性密钥：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
其中，KE代表加密密钥，KM代表完整性密钥，KDF代表密钥推导函数，number1和number2分别代表两个不同的数据；
利用所述加密密钥对所述UE的身份信息进行加密。
图4为本发明实施例的成功附着流程的流程示意图，如图4所示，所述附着流程包括如下步骤：
1.UE发起附着流程，并发送一个附着请求到SEAF。
如果UE已分配了一个临时身份GUTI，附着请求消息为1-a，包括一次性随机数Nonce1，GUTI，MAC0。MAC0的计算如下：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中HASH为哈希函数，KDH为UE和SEAF间上次的共享密钥。
如果UE还没有分配GUTI，附着请求消息为1-b，包括一次性随机数Nonce1和归属网络的国家号码(MMC)加上网络号码(MNC)。
2.SEAF接收到该附着请求后，执行如下过程：
情况一：如果为消息1-b，SEAF生成DH私钥KSpri，并计算相应的DH公钥KSpub。
情况二：如果为消息1-a，SEAF检查是否存在对应于这个临时身份的真实身份，以及是否SEAF与UE已经建立了共享密钥KDH，
1)在这两个条件都满足的情况下，SEAF将验证MAC0，如果验证成功进入第6步。在进入第6步之前，SEAF使用与UE的共享密钥KDH导出加密密钥KE和完整性密钥KM。KE和KM的计算方法如下：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
这里KDF是密钥推导函数。KDF函数中的“number1”和“number2”用于区分加密密钥KE和完整性密钥KM。
2)如果有其中任意一个条件不满足，则SEAF生成DH私钥KSpri，并计算相应的DH公钥KSpub。
2a.SEAF根据消息1-b中的MMC+MNC或消息1-a所含GUTI中的MMC+MNC生成签名请求消息，包括Nonce1,SEAF的DH公钥KSpub，服务网络号SNid,以及SEAF对签名请求消息的数字签名SIGNSEAF。归属网络在与服务网络签署漫游协议时获取服务网络的公钥，以便能对服务网络的数字签名进行验证。如果MMC+MNC指向的网络与服务网络属于同一家运营商，则数字签名SIGNSEAF可以省略。
值得注意的是，这里是SEAF对签名请求消息进行数字签名，也可以是与其他运营商互联的安全网关对签名请求消息进行数字签名。
3.AUSF收到签名请求消息，如果有数字签名SIGNSEAF，则对数字签名进行验证。AUSF向SEAF发送签名响应消息，如果数字签名验证失败，消息内容为Nonce1,“FAIL”，以及AUSF对签名响应消息的数字签名SIGNAUSF；如果数字签名验证成功，消息内容为Nonce1,SEAF的DH公钥KSpub，以及AUSF对签名响应消息的数字签名SIGNAUSF。
4.SEAF向UE发送身份请求消息，其内容与从AUSF收到的签名响应消息相同。
4a.UE接收身份请求消息后，使用归属网络的公钥对数字签名SIGNAUSF进行验证。如果验证失败，则终止附着流程。如果验证成功，身份请求消息中没有“FAIL”，以及收到的Nonce1与发送的Nonce1相同，则UE获得SEAF的真实DH公钥KSpub。UE生成私钥KUpriv并推导出相应的公钥KUpub。UE使用其私钥KUpriv和SEAF的公钥KSpub派生出与SEAF之间的共享密钥KDH。为了加密UE的身份，导出加密密钥KE和完整性密钥KM。KE和KM的计算方法如下：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
这里KDF是密钥推导函数。“number1”和“number2”用于区分加密密钥KE和完整性密钥KM。
如果采用认证加密方法加密UE的身份，只要生成加密密钥KE。
5.UE把它的公钥KUpub，使用KE加密的身份，以及对该消息使用KM计算出的消息认证码MAC1，传给SEAF。
5a.以UE同样的方式，SEAF导出加密密钥KE和完整性密钥KM。它首先验证MAC1，如果验证成功，则它用KE解密消息的加密部分，以获得UE的真实身份。否则，它终止附着流程。
6.SEAF把含有UE真实身份的认证数据请求消息发给AUSF/ARPF。
7.ARPF根据UE的身份查找UE的根密钥K，AUSF依据根密钥K计算出认证向量。然后AUSF发送认证向量给SEAF。
8.SEAF向UE发送认证请求消息，包含RAND和AUTN。
9.UE回应SEAF认证响应消息，包括UE认证网络成功后生成的RES(f2K(RAND))。
UE同时生产中间密钥Kmid，它类似于LTE中的密钥KASME。
SEAF受到认证响应消息后，验证RES成功后，生成中间密钥Kmid。
UE和SEAF计算会话密钥Ks如下：
Ks＝KDF(KDH,Kmid)
上述流程中，DH密钥交换也可用椭圆曲线DH密钥交换，因为椭圆曲线DH密钥交换比普通的DH密钥交换更高效。
UE失败附着可以有多种原因，本发明实施例主要考虑以下三种失败附着流程，因它们与关联性攻击和DOS攻击相关:SEAF认证RES失败，MAC_FAIL,SYNC_FAIL。
图5为本发明实施例的失败附着流程的流程示意图一，本实施例以SEAF认证RES失败为例，如图5所示，所述附着流程包括如下步骤：
8.SEAF向UE发送认证请求消息，包含RAND和AUTN。
9.UE回应SEAF认证响应消息，RES(f2K(RAND))。
10.SEAF收到认证响应消息，如果验证RES失败，SEAF可能向UE发出认证拒绝消息，其完整性由KM对认证拒绝消息进行哈希生成的MAC2保护，以避免引起攻击者向UE发送假的认证拒绝消息而引起的对UE的DOS攻击。
图6为本发明实施例的失败附着流程的流程示意图二，本实施例以MAC_FAIL和SYNC_FAIL为例，MAC_FAIL和SYNC_FAIL合并处理。无论是MAC_FAIL或是SYNC_FAIL，UE都向SEAF发送具有相同格式的认证响应消息，其机密性和完整性有密钥KE和KM保护，从而避免关联性攻击。如图6所示，所述附着流程包括如下步骤：
8.SEAF向UE发送认证请求消息，包含RAND和AUTN。
9.当UE检验AUTN中的MAC失败或者检验同步失败后，回应SEAF认证响应消息，其包括FAIL_CAUSE,TUE，IMSI，SQNMS，其机密性和完整性有密钥KE和KM保护。FAIL_CAUSE的值可以是MAC失败或者是同步失败，SEAF收到是同步失败后，用消息中UE的当前SQNMS与归属网络间进行同步。TUE是UE发送消息时UE的时钟，也可以是一随机数，其目的是使每次认证响应消息的密文都不相同，以避免攻击者从密文上猜测出是MAC_FAIL或是SYNC_FAIL。IMSI在此消息中发送给SEAF，以避免SEAF再次向UE发起身份请求消息，这样无论是MAC_FAIL或是SYNC_FAIL，SEAF都只会向UE发送认证请求消息，从而避免了攻击者根据收到认证响应消息后，SEAF回应不同的响应消息而产生的关联性攻击。
10-11.SEAF收到UE的认证响应后，SEAF可能再次向UE发起认证请求，UE并用认证响应消息回应。
本发明实施例的技术方案具有以下特性：
1.安全性
(1)中间人攻击
该方案可以防止中间人攻击由于引入了双重认证机制：一是归属网络对服务网络DH公钥的数字签名SIGNAUSF，二是AKA协议进行UE和SEAF的双向认证。SEAF的DH公钥的真实性由数字签名SIGNAUSF来保证。UE和SEAF间生成加密密钥KE和完整性密钥KM，只有拥有相应DH私钥的SEAF才能解密加密的消息。这意味SEAF使用自身的私钥向UE认证。这样一来，在进行中间人攻击获取会话密钥Ks之前，攻击者需开展以下攻击：破解SEAF获取SEAF的私钥，破解AUSF获取归属网络的私钥，以及窃取AKA协议中使用的根密钥K。即使根密钥K被泄露，主动攻击者仍然不可能获得会话密钥Ks，除非它能破解SEAF或AUSF。
(2)用户标识符隐私
该方案可以防止攻击者(无论是主动或被动攻击者)获得用户标识符，因为它们用加密密钥KE加密。攻击者没有办法获得加密密钥KE，因为这需要它攻破AUSF或SEAF。
(3)长期密钥泄露
所提出的方案可以防止被动攻击者和主动攻击者得到会话密钥Ks，即使长期密钥已泄露。这是因为，会议密钥Ks的产生不仅取决于从长期密钥K推导出的中间密钥Kmid，还取决于共享密钥KDH。攻击者不能获得会话密钥Ks，因为它无法推断密钥KDH，除非它可以破解AUSF或SEAF。
(4)移动网络运营商之间的不安全链路
攻击者无法获取会话Ks的，即使它已移动网络运营商处之间的链路上窃听到认证向量。与长期密钥泄露类似，由于不知道KDH，攻击者无法获取的会话密钥Ks。
(5)关联性攻击
MAC_FAIL和SYNC_FAIL合并处理，无论是MAC_FAIL或是SYNC_FAIL，UE都向SEAF发送具有相同格式的认证响应消息，其机密性和完整性有密钥KE和KM保护，攻击者无法从密文上获悉UE向SEAF发送的是MAC_FAIL或是SYNC_FAIL。并且无论是MAC_FAIL或是SYNC_FAIL，SEAF都只会向UE发送认证请求消息，从而避免了攻击者根据收到认证响应消息后，SEAF回应不同的响应消息而产生的关联性攻击。
总之，本发明实施例的技术方案不仅能预防被动攻击而且能抵御主动攻击。
2.复杂性
所提出的方案有简单的一面，因为它的操作并不需要使用的PKI，只需每个UE预先配置归属网络的公钥即可。方案复杂的一面是运营商间签漫游协议时要交换网络公钥，以及SEAF的DH公钥需要可信的AUSF对其进行数字签名。
3.兼容性
因为它不触及对LTE AKA协议的修改，本发明实施例与LTE EPS系统高度后向兼容。此外，在LTE(IMSI的GUTI映射)成熟的身份管理系统仍然可以在5G系统使用，因为本发明实施例保持身份管理原理不变，并通过在最初的附着流程中隐藏UE的真实身份而增强它的安全性。
4.效率
本发明实施例的方案的高效性在于UE和SEAF之间的共享密钥KDH可以重用。UE再次连接网络时生成会话密钥Ks可以重用KDH，只要IMSI和GUTI之间没有同步问题。这可显著降低由于DH计算造成的计算开销。
此外，本发明实施例用加密密钥KE和完整性密钥KM对身份消息进行处理，以保护UE的真实身份。实际上，在附着流程初始阶段UE向SEAF发送的身份响应消息也可以包含其它需要保护的消息，如网络切片标识符，网络接入标识符等。
1.保护网络切片标识符
5G网络中根据业务的不同，业务可能会使用不同的网络切片。每个网络切片会有不同的网络切片标识符以于区分。为了防止攻击者根据不同网络切片标识符来判断UE的业务使用习惯，需要对它进行加密。网络切片标识符可以使用KE来加密，那么本发明实施例中的身份响应消息变为：
KUpub，{身份，网络切片标识符}KE，MAC1
其中，MAC1的计算使用完整性密钥KM。
2.保护网络接入标识符
EAP(Extensible Authentication Protocol)很有可能成为5G网络的统一认证框架。其支持众多的认证方法，如EAP-AKA，EAP-AKA`，EAP-PEAP等。UE和SEAF在相互认证前需交换消息，确定它们使用哪种认证方法进行认证。一种典型的方法是UE传给SEAF带有指示认证方法的网络接入标识符(NAI)，告知SEAF使用什么认证方法。NAI消息需要安全保护，以避免受到协商攻击。如果NAI消息被安全信道所保护，那么本发明实施例的身份响应消息变为：
KUpub，{身份，网络切片标识符，NAI}KE，MAC0
其中，MAC0的计算使用完整性密钥KM。
本发明实施例的技术方案，认证部分是以AKA协议为例，也可适配到EAP-AKA，EAP-AKA`以及基于EAP协议的其他认证方法如EAP-PEAP。只要把本发明实施例中的AKA协议替换成要适配的协议即可。本发明实施例的技术方案充分考虑了5G网络接入对安全，后向兼容，效率的要求。
图7为本发明实施例的附着流程的实现装置的结构组成示意图一，如图7所示，所述装置包括：
附着请求单元71，用于接收UE发送的附着请求消息，计算第一网元的DH公钥；
签名请求单元72，用于向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；
身份请求单元73，用于向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；
处理单元74，用于基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述第一网元接收UE发送的第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述第一网元接收UE发送的第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本发明实施例中，所述处理单元74，还用于：
如果所述第一网元接收到UE发送的第二附着请求消息，则生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥；
如果所述第一网元接收到UE发送的第一附着请求消息，则判定如下条件是否成立：是否存在与所述UE的临时身份相对应的UE的真实身份、所述第一网元与UE之间是否已经建立共享密钥KDH；如果上述条件中的一个或两个不成立，则所述第一网元生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥。
本发明实施例中，所述处理单元74，还用于：根据所述第一附着请求消息中GUTI中的MMC+MNC，或者根据所述第二附着请求消息中的MMC+MNC，生成所述签名请求消息，所述签名请求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一网元的DH公钥，所述SNid代表服务网络号；
其中，如果所述MMC+MNC指向的网络与所述第一网元所在的网络属于不同属性的网络，则所述签名请求消息还包括：SIGNSEAF，所述SIGNSEAF代表所述第一网元或者与所述第一网元互联的安全网管利用所述第一网元的私钥对所述签名请求消息的数字签名。
本发明实施例中，在所述签名请求消息包括所述SIGNSEAF的情况下，所述签名响应消息具有两种，分别为：第一签名响应消息和第二签名响应消息，其中，
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证失败，则所述第一网元接收所述第二网元发送的第一签名响应消息，所述第一签名响应消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证成功，则所述第一网元接收所述第二网元发送的第二签名响应消息，所述第二签名响应消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，如果从所述第二网元接收到所述第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；
如果从所述第二网元接收到所述第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF。
本发明实施例中，所述装置还包括：
认证请求单元，用于向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；接收所述UE发送的认证响应消息，所述认证响应消息包括响应参数；如果对所述响应参数验证失败，则所述第一网元向所述UE发送认证拒绝消息，所述认证拒绝消息包括MAC2，所述MAC2代表使用KM对所述认证拒绝消息进哈希计算出的消息认证码。
本发明实施例的认证请求单元，还可以用于向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；如果所述UE对所述AUTN进行MAC检验失败或者所述UE检验同步失败，则接收所述UE发送的认证响应消息，所述认证响应消息包括FAIL_CAUSE、TUE、IMSI、SQNMS，所述认证响应消息中的内容使用KE和KM进行加密；
其中，所述FAIL_CAUSE的值为MAC失败或者同步失败，如果所述FAIL_CAUSE的值为同步失败，则所述第一网元利用所述认证响应消息中的SQNMS与归属网络进行同步，所述SQNMS代表UE的序列号；所述TUE代表UE发送消息时的UE时钟或者随机数。
本领域技术人员应当理解，图7所示的附着流程的实现装置中的各单元的实现功能可参照前述附着流程的实现方法的相关描述而理解。图7所示的信息推荐装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图8为本发明实施例的附着流程的实现装置的结构组成示意图二，如图8所示，所述装置包括：
附着请求单元81，用于向第一网元发送附着请求消息；
身份请求单元82，用于接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥；向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息；
处理单元83，用于如果使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密。
本发明实施例中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述UE向第一网元发送第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述UE向第一网元发送第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
本发明实施例中，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
本领域技术人员应当理解，图8所示的附着流程的实现装置中的各单元的实现功能可参照前述附着流程的实现方法的相关描述而理解。图8所示的信息推荐装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图9为本发明实施例的附着流程的实现设备的结构组成示意图，如图9所示，所述设备包括：存储器91、处理器92，所述存储器91上存储有可执行指令，当所述可执行指令被所述处理器92执行时，能够实现以下方法步骤：
接收UE发送的附着请求消息，计算第一网元的DH公钥；
向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；所述第一网元接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；
向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述第一网元接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；
基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程。
在另一实施方式中，当所述可执行指令被所述处理器92执行时，能够实现以下方法步骤：
UE向第一网元发送附着请求消息；
接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥；
如果所述UE使用所述第二网元的公钥对所述签名验证成功，则从所述身份请求消息中获得所述第一网元的DH公钥；
基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密；
向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息。
本发明实施例所记载的技术方案之间，在不冲突的情况下，可以任意组合。
在本发明所提供的几个实施例中，应该理解到，所揭露的方法和智能设备，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。
上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。
另外，在本发明各实施例中的各功能单元可以全部集成在一个第二处理单元74中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (23)

1.一种附着流程的实现方法，其特征在于，所述方法包括：
第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥；
所述第一网元向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；所述第一网元接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；
所述第一网元向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述第一网元接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；
所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程；其中，
所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述第一网元接收UE发送的第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述第一网元接收UE发送的第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码；
所述第一网元接收UE发送的附着请求消息，计算所述第一网元的DH公钥，包括：
如果所述第一网元接收到UE发送的第二附着请求消息，则生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥；
如果所述第一网元接收到UE发送的第一附着请求消息，则判定如下条件是否成立：是否存在与所述UE的临时身份相对应的UE的真实身份、所述第一网元与UE之间是否已经建立共享密钥KDH；如果上述条件中的一个或两个不成立，则所述第一网元生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥。
2.根据权利要求1所述的方法，其特征在于，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
3.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述第一网元根据所述第一附着请求消息中GUTI中的MMC+MNC，或者根据所述第二附着请求消息中的MMC+MNC，生成所述签名请求消息，所述签名请求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一网元的DH公钥，所述SNid代表服务网络号；
其中，如果所述MMC+MNC指向的网络与所述第一网元所在的网络属于不同属性的网络，则所述签名请求消息还包括：SIGNSEAF，所述SIGNSEAF代表所述第一网元或者与所述第一网元互联的安全网管利用所述第一网元的私钥对所述签名请求消息的数字签名。
4.根据权利要求3所述的方法，其特征在于，在所述签名请求消息包括所述SIGNSEAF的情况下，所述签名响应消息具有两种，分别为：第一签名响应消息和第二签名响应消息，其中，
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证失败，则所述第一网元接收所述第二网元发送的第一签名响应消息，所述第一签名响应消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证成功，则所述第一网元接收所述第二网元发送的第二签名响应消息，所述第二签名响应消息包括：Nonce1、KSpub、SIGNAUSF。
5.根据权利要求4所述的方法，其特征在于，
如果所述第一网元从所述第二网元接收到所述第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；
如果所述第一网元从所述第二网元接收到所述第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF。
6.根据权利要求1所述的方法，其特征在于，所述身份响应消息包括KUpub，{身份信息}KE，MAC1，所述KUpub代表所述UE的DH公钥，所述{身份信息}KE代表使用KE加密的身份信息，所述MAC1代表使用KM对所述身份响应消息计算出的消息认证码，其中，所述KE和所述KM分别代表加密密钥和完整性密钥。
7.根据权利要求1所述的方法，其特征在于，如果所述身份响应消息携带网络切片标识符和/或网络接入标识符，则所述身份响应消息包括：
KUpub，{身份信息、网络切片标识符}KE，MAC1；或者，
KUpub，{身份信息、网络接入标识符}KE，MAC1；或者，
KUpub，{身份信息、网络切片标识符、网络接入标识符}KE，MAC1；
其中，所述{}KE代表使用KE进行加密。
8.根据权利要求1所述的方法，其特征在于，所述第一网元基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，包括：
所述第一网元使用所述UE的DH私钥以及所述第一网元的DH公钥，计算所述UE与所述第一网元之间的共享密钥；
利用所述共享密钥，基于以下公式计算加密密钥和完整性密钥：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
其中，KE代表加密密钥，KM代表完整性密钥，KDF代表密钥推导函数，number1和number2分别代表两个不同的数据，Nonce1代表一次性随机数；
利用所述加密密钥从所述身份响应消息中获取所述UE的身份信息。
9.根据权利要求7所述的方法，其特征在于，所述方法还包括：
所述第一网元向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；
所述第一网元接收所述UE发送的认证响应消息，所述认证响应消息包括响应参数；如果对所述响应参数验证失败，则所述第一网元向所述UE发送认证拒绝消息，所述认证拒绝消息包括MAC2，所述MAC2代表使用KM对所述认证拒绝消息进哈希计算出的消息认证码。
10.根据权利要求7所述的方法，其特征在于，所述方法还包括：
所述第一网元向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；
如果所述UE对所述AUTN进行MAC检验失败或者所述UE检验同步失败，则所述第一网元接收所述UE发送的认证响应消息，所述认证响应消息包括FAIL_CAUSE、TUE、IMSI、SQNMS，所述认证响应消息中的内容使用KE和KM进行加密；
其中，所述FAIL_CAUSE的值为MAC失败或者同步失败，如果所述FAIL_CAUSE的值为同步失败，则所述第一网元利用所述认证响应消息中的SQNMS与归属网络进行同步，所述SQNMS代表UE的序列号；所述TUE代表UE发送消息时的UE时钟或者随机数。
11.一种附着流程的实现方法，其特征在于，所述方法包括：
UE向第一网元发送附着请求消息；
所述UE接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥；
如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；
所述UE基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密；
所述UE向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息；其中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述UE向第一网元发送第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述UE向第一网元发送第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
12.根据权利要求11所述的方法，其特征在于，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
13.根据权利要求11所述的方法，其特征在于，
如果所述第一网元从所述第二网元接收到第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；所述Nonce1代表一次性随机数，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第一网元从所述第二网元接收到第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF，所述KSpub代表所述第一网元的DH公钥。
14.根据权利要求13所述的方法，其特征在于，所述如果所述UE使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；所述UE基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密，包括：
如果所述UE使用所述第二网元的公钥对所述签名验证成功，则判断所述身份请求消息中的内容；
如果所述身份请求消息中没有所述FAIL，且所述身份请求消息中的Nonce1与自身向所述第一网元发送的Nonce1一致，则所述UE获得所述第一网元的DH公钥；
所述UE生成自身的DH私钥及计算与所述DH私钥相应的DH公钥；
所述UE使用所述UE的DH私钥以及所述第一网元的DH公钥，计算所述UE与所述第一网元之间的共享密钥；
利用所述共享密钥，基于以下公式计算加密密钥和完整性密钥：
KE＝KDF(Nonce1,KDH,number1)；
KM＝KDF(Nonce1,KDH,number2)；
其中，KE代表加密密钥，KM代表完整性密钥，KDF代表密钥推导函数，number1和number2分别代表两个不同的数据；
利用所述加密密钥对所述UE的身份信息进行加密。
15.一种附着流程的实现装置，其特征在于，所述装置包括：
附着请求单元，用于接收UE发送的附着请求消息，计算第一网元的DH公钥；
签名请求单元，用于向第二网元发送签名请求消息，所述签名请求消息包括所述第一网元的DH公钥；接收所述第二网元发送的签名响应消息，所述签名响应消息包括被所述第二网元的私钥签名的第一网元的DH公钥；
身份请求单元，用于向所述UE发送身份请求消息，所述身份请求消息包括被所述第二网元的私钥签名的第一网元的DH公钥；如果所述UE使用所述第二网元的公钥对所述签名验证成功，则接收所述UE发送的身份响应消息，所述身份响应消息包括被加密密钥加密的所述UE的身份信息，所述加密密钥基于所述第一网元的DH公钥而生成；
处理单元，用于基于自身的DH公钥计算所述加密密钥，基于所述加密密钥从所述身份响应消息中获取所述UE的身份信息，并基于所述UE的身份信息向第三网元进行认证和密钥协商流程；
其中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述第一网元接收UE发送的第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述第一网元接收UE发送的第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码；
所述处理单元，还用于：
如果所述第一网元接收到UE发送的第二附着请求消息，则生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥；
如果所述第一网元接收到UE发送的第一附着请求消息，则判定如下条件是否成立：是否存在与所述UE的临时身份相对应的UE的真实身份、所述第一网元与UE之间是否已经建立共享密钥KDH；如果上述条件中的一个或两个不成立，则所述第一网元生成所述第一网元的DH私钥，并计算与所述第一网元的DH私钥相应的DH公钥。
16.根据权利要求15所述的装置，其特征在于，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
17.根据权利要求15所述的装置，其特征在于，所述处理单元，还用于：根据所述第一附着请求消息中GUTI中的MMC+MNC，或者根据所述第二附着请求消息中的MMC+MNC，生成所述签名请求消息，所述签名请求消息包括：Nonce1，KSpub，SNid，所述KSpub代表所述第一网元的DH公钥，所述SNid代表服务网络号；
其中，如果所述MMC+MNC指向的网络与所述第一网元所在的网络属于不同属性的网络，则所述签名请求消息还包括：SIGNSEAF，所述SIGNSEAF代表所述第一网元或者与所述第一网元互联的安全网管利用所述第一网元的私钥对所述签名请求消息的数字签名。
18.根据权利要求17所述的装置，其特征在于，在所述签名请求消息包括所述SIGNSEAF的情况下，所述签名响应消息具有两种，分别为：第一签名响应消息和第二签名响应消息，其中，
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证失败，则所述第一网元接收所述第二网元发送的第一签名响应消息，所述第一签名响应消息包括：Nonce1、FAIL、SIGNAUSF，所述FAIL代表验证失败，所述SIGNAUSF代表所述第二网元利用所述第二网元的私钥对所述签名响应消息的数字签名；
如果所述第二网元利用所述第一网元的公钥对所述签名请求消息的数字签名验证成功，则所述第一网元接收所述第二网元发送的第二签名响应消息，所述第二签名响应消息包括：Nonce1、KSpub、SIGNAUSF。
19.根据权利要求18所述的装置，其特征在于，
如果从所述第二网元接收到所述第一签名响应消息，则所述身份请求消息包括：Nonce1、FAIL、SIGNAUSF；
如果从所述第二网元接收到所述第二签名响应消息，则所述身份请求消息包括：Nonce1、KSpub、SIGNAUSF。
20.根据权利要求15所述的装置，其特征在于，所述装置还包括：
认证请求单元，用于向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；接收所述UE发送的认证响应消息，所述认证响应消息包括响应参数；如果对所述响应参数验证失败，则所述第一网元向所述UE发送认证拒绝消息，所述认证拒绝消息包括MAC2，所述MAC2代表使用KM对所述认证拒绝消息进哈希计算出的消息认证码。
21.根据权利要求15所述的装置，其特征在于，所述装置还包括：
认证请求单元，用于向所述UE发送认证请求消息，所述认证请求消息包括RAND和AUTN，所述RAND代表随机数，所述AUTN代表认证令牌；如果所述UE对所述AUTN进行MAC检验失败或者所述UE检验同步失败，则接收所述UE发送的认证响应消息，所述认证响应消息包括FAIL_CAUSE、TUE、IMSI、SQNMS，所述认证响应消息中的内容使用KE和KM进行加密；
其中，所述FAIL_CAUSE的值为MAC失败或者同步失败，如果所述FAIL_CAUSE的值为同步失败，则所述第一网元利用所述认证响应消息中的SQNMS与归属网络进行同步，所述SQNMS代表UE的序列号；所述TUE代表UE发送消息时的UE时钟或者随机数。
22.一种附着流程的实现装置，其特征在于，所述装置包括：
附着请求单元，用于向第一网元发送附着请求消息；
身份请求单元，用于接收所述第一网元发送的身份请求消息，所述身份请求消息包括被第二网元的私钥签名的第一网元的DH公钥；向所述第一网元发送身份响应消息，所述身份响应消息包括被加密密钥加密的UE的身份信息；
处理单元，用于如果使用所述第二网元的公钥对所述签名验证成功，则所述UE从所述身份请求消息中获得所述第一网元的DH公钥；基于所述第一网元的DH公钥，生成加密密钥，并基于所述加密密钥对所述UE的身份信息进行加密；其中，所述附着请求消息具有两种，分别为：第一附着请求消息、第二附着请求消息，其中，
如果所述UE已分配GUTI，则所述UE向第一网元发送第一附着请求消息，所述第一附着请求消息包括：Nonce1，GUTI，MAC0，所述Nonce1代表一次性随机数，所述GUTI代表所述UE的临时身份，所述MAC0代表消息验证码；
如果所述UE未分配GUTI，则所述UE向第一网元发送第二附着请求消息，所述第二附着请求消息包括：Nonce1、MMC+MNC，所述MMC代表归属网络的国家号码，所述MNC代表网络号码。
23.根据权利要求22所述的装置，其特征在于，所述MAC0通过以下公式计算：
MAC0＝HASH(KDH,Nonce1,GUTI)
其中，HASH为哈希函数，KDH为所述UE和所述第一网元之间上次使用的共享密钥。
CN201710316639.4A 2017-05-08 2017-05-08 一种附着流程的实现方法及装置 Active CN108880813B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710316639.4A CN108880813B (zh) 2017-05-08 2017-05-08 一种附着流程的实现方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710316639.4A CN108880813B (zh) 2017-05-08 2017-05-08 一种附着流程的实现方法及装置

Publications (2)

Publication Number Publication Date
CN108880813A CN108880813A (zh) 2018-11-23
CN108880813B true CN108880813B (zh) 2021-07-16

Family

ID=64287715

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710316639.4A Active CN108880813B (zh) 2017-05-08 2017-05-08 一种附着流程的实现方法及装置

Country Status (1)

Country Link
CN (1) CN108880813B (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3883279A4 (en) * 2018-12-29 2021-12-15 Huawei Technologies Co., Ltd. COMMUNICATION PROCEDURE AND RELATED PRODUCT
CN113287335B (zh) * 2019-01-15 2023-03-10 中兴通讯股份有限公司 防止用户跟踪的方法和设备、存储介质和电子设备
CN111464306B (zh) * 2019-01-18 2022-12-02 中兴通讯股份有限公司 认证处理方法、装置、存储介质及电子装置
CN111669276B (zh) * 2019-03-07 2022-04-22 华为技术有限公司 一种网络验证方法、装置及系统
CN111836260B (zh) * 2019-04-22 2022-12-13 中国移动通信有限公司研究院 一种认证信息处理方法、终端和网络设备
CN111835691B (zh) * 2019-04-22 2022-09-27 中国移动通信有限公司研究院 一种认证信息处理方法、终端和网络设备
CN114026900A (zh) * 2019-06-17 2022-02-08 瑞典爱立信有限公司 归属控制的网络切片秘密性
CN113225176B (zh) * 2020-02-04 2022-09-16 华为技术有限公司 密钥获取方法及装置
CN113382410B (zh) * 2020-02-21 2022-12-06 华为技术有限公司 通信方法和相关装置及计算机可读存储介质
CN114513860B (zh) * 2020-10-23 2023-05-05 中国移动通信有限公司研究院 一种终端附着方法、设备及存储介质

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100512954B1 (ko) * 2003-03-12 2005-09-07 삼성전자주식회사 안전한 통신을 위한 ｒｒ 방법
CN102026178B (zh) * 2010-12-31 2013-06-12 成都三零瑞通移动通信有限公司 一种基于公钥机制的用户身份保护方法
US8880885B2 (en) * 2012-10-09 2014-11-04 Sap Se Mutual authentication schemes
CN105813079B (zh) * 2016-05-17 2019-06-07 工业和信息化部电信研究院 一种终端接入方法

Also Published As

Publication number Publication date
CN108880813A (zh) 2018-11-23

Similar Documents

Publication Publication Date Title
CN108880813B (zh) 一种附着流程的实现方法及装置
US10638321B2 (en) Wireless network connection method and apparatus, and storage medium
US11863982B2 (en) Subscriber identity privacy protection against fake base stations
US7734280B2 (en) Method and apparatus for authentication of mobile devices
KR101508576B1 (ko) 홈 노드-ｂ 장치 및 보안 프로토콜
Liu et al. Toward a secure access to 5G network
Saxena et al. Authentication protocol for an IoT-enabled LTE network
EP2296392A1 (en) Authentication method, re-certification method and communication device
KR102456280B1 (ko) 원격 통신 네트워크의 단말 내에서 모바일 장비와 협력하는 보안 엘리먼트를 인증하기 위한 방법
Abdrabou et al. LTE authentication protocol (EPS-AKA) weaknesses solution
Dantu et al. EAP methods for wireless networks
CN109788480B (zh) 一种通信方法及装置
Hamandi et al. Privacy enhanced and computationally efficient HSK-AKA LTE scheme
JP2000115161A (ja) 移動体匿名性を保護する方法
Hu et al. A security enhanced 5G authentication scheme for insecure channel
Abdo et al. EC-AKA2 a revolutionary AKA protocol
Ouaissa et al. New security level of authentication and key agreement protocol for the IoT on LTE mobile networks
TW202142011A (zh) 一種防止加密用戶識別符被重播攻擊的方法
Sharma et al. A review on wireless network security
CN111836260A (zh) 一种认证信息处理方法、终端和网络设备
WO2022067627A1 (en) A method for preventing leakage of authentication sequence number of a mobile terminal
KR100330418B1 (ko) 이동통신 환경에서의 가입자 인증 방법
Singh et al. Security analysis of lte/sae networks with the possibilities of tampering e-utran on ns3
Parne et al. Efficient and secure modified cocktail-AKA protocol for UMTS network
US20230108626A1 (en) Ue challenge to a network before authentication procedure

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant