CN100544249C - 移动通信用户认证与密钥协商方法 - Google Patents

Abstract

本发明涉及移动通信用户认证与密钥协商方法，解决移动通信中用户和网络间的双、单向认证及密钥协商，可以证明通信双方的不可抵赖性，是基于哈希链的网络与移动用户间的双、单向认证。包括：在注册阶段，移动用户产生随机数，对随机数进行第一哈希运算，利用最终的哈希值和用户密码生成消息认证码发送给拜访网络，拜访网络借助于移动用户的归属网络确认该消息的真实性，并在真实时保存该哈希值；拜访网络产生随机数，对随机数进行第二哈希运算，利用最终的哈希值生成消息认证码发送给移动用户，移动用户对拜访网络进行身份确认，确认后保存该哈希值。在认证与密钥协商阶段，移动用户与拜访网络利用存储的哈希值互相或单方向进行认证，并在认证通过后生成会话密钥。

Description

移动通信用户认证与密钥协商方法

技术领域

本发明涉及移动通信认证技术，更确切地说是涉及移动通信系统中用户与网络间的认证及会话密钥协商方法。

背景技术

全球移动通信系统(GSM)中的用户认证和密钥协商采用单向方式，即只有网络认证用户的过程，没有用户认证网络的过程，网络认证用户的单向过程如图1所示：

步骤11，移动台发出用户接入请求，该请求中包含移动台的用户身份标识(IMSI)；

步骤12，基站子系统/移动交换中心/拜访位置寄存器(BSS/MSC/VLR)接收到请求，并向归属网络的认证中心(AuC)发出认证数据请求，该请求中包含移动台的用户身份标识(IMSI)；

步骤13，归属网络的认证中心(AuC)，根据移动台的用户身份标识(IMSI)查询到相应的密钥K，和产生一个随机数RAND，并根据密钥K、随机数RAND，利用响应生成函数A₃()生成期望的响应值SRES，和根据密钥K、随机数RAND，利用会话密钥生成函数A₈()生成会话密钥K_C，向BSS/MSC/VLR返回认证响应消息，将三元组合RAND、SRES、K_C发送给BSS/MSC/VLR存储；

步骤14，BSS/MSC/VLR取出随机数RAND作为挑战值发送给移动台MS；

步骤15，移动台(MS)根据与AuC共享的密钥K、响应生成函数A₃()及会话密钥生成函数A₈()，计算会话密钥K_C和响应值XSRES，并将响应值XSRES发送给BSS/MSC/VLR，BSS/MSC/VLR比较XSRES与存储的SRES，如果一致时通过认证，然后移动台(MS)与BSS/MSC/VLR间就可利用协商的会话密钥K_C进行会话通信。

网络认证用户的单向过程所带来的问题是无法防止中间人假基站攻击，而且无法保证会话密钥K_C的新鲜性。因为只要在网络中截获了三元组合RAND、SRES、K_C，则该三元组合就可以一直使用下去，K_C就无新鲜性可言。

为了解决中间人假基站攻击和会话密钥的新鲜性问题，3GPP对GSM系统认证过程进行了改进，通过消息认证码增加了用户对网络的认证，实现双向认证，和通过序列号机制防止旧的会话密钥重用，保证了会话密钥的新鲜性，并且增加了完整性密钥的生成。3GPP的认证过程如图2所示。主要包括：认证请求；认证向量AV的分配，和认证与密钥协商三大过程。

认证请求由步骤201完成，由用户认证模块/移动设备(USIM/ME)向拜访位置寄存器(VLR)发出服务请求，该请求中包含了用户身份标识IMSI。

认证向量AV从HE/HLR(HE)到VLR(SN)的分配由步骤202至205完成。

步骤202，VLR向归属环境/归属位置寄存器(HE/HLR)发出认证数据请求，该请求中包含了用户身份标识IMSI；

步骤203，HE/HLR根据用户身份标识IMSI查询到相应的密钥K，分别产生随机数RAND和产生序列号SQN；利用消息认证函数f1()生成消息认证码MAC，MAC＝f1K(SQN‖RAND‖AMF)，其中的‖是简单级联符，AMF是认证管理域，用于规定密钥的使用时间或者在使用多套f1至f5算法时用于指定其中的一套；再利用消息认证函数f2()、密钥产生函数f3()、f4()、f5()分别生成供网络认证终端的XRES值、会话密钥CK、完整性密钥IK和匿名密钥AK，XRES＝f2K(RAND)，CK＝f3K(RAND)，IK＝f4K(RAND)，AK＝f5K(RAND)；生成供终端认证网络的AUTN值(认证令牌)， $\mathrm{AUTN}=\mathrm{SQN}\⊕\mathrm{AK}\left|\right|\mathrm{AMF}\left|\right|\mathrm{MAC}$ ；该RAND、AUTN、XRES、CK、IK的五元组合构成认证向量AV，AV＝RAND‖XRES‖CK‖IK‖AUTN。对于每个用户，密钥K只有一个，但HLR可以产生多个随机数RAND，从而生成多个五元组合；

步骤204，HE/HLR通过认证数据响应消息将多个五元组合XRES、CK、IK、AUTN和RAND发送给VLR；

步骤205，VLR存储多个认证向量AV。

认证与密钥协商由步骤206至213完成。

步骤206，VLR从存储的多个认证向量中选择一个，即选择一种(表示为i)五元组合的认证向量AV(i)；

步骤207，VLR向USIM/ME发出认证请求，该认证请求中包含所选认证向量AV(i)，RAND(i)‖AUTN(i)；

步骤208，USIM/ME首先验证AUTN(i)体现终端认证网络，具体做法是首先计算出SQN，验证SQN是否在正确的范围内，然后计算XMAC＝f1K(SQN‖RAND‖AMF)，将XMAC与AUTN(i)中包含的MAC相比较，如果不一样，USIM/ME向VLR/SGSN返回用户认证失败，VLR向HE/HLR发送认证失败报告，由VLR再决定启动一个新的认证过程。一致时通过认证。然后开始进行网络认证终端的操作，用与HE/HLR共享的密钥K及函数f2()，用接收到的RAND(i)计算RES(i)；

步骤209，USIM/ME向VLR发送认证响应消息，在该响应消息中将计算的RES(i)发送给VLR；

步骤210，VLR接收RES(i)，并与存储的XRES(i)进行比较，比较一致时通过认证；

步骤211，VLR将认证结果发送给USIM/ME；

步骤212，VLR利用函数f3()、f4()，根据密钥K、RAND(i)计算密钥CK(i)和IK(i)；

步骤213，USIM/ME利用函数f3()、f4()，根据密钥K、RAND(i)计算密钥CK(i)和IK(i)。

上述过程中，为了实现用户认证网络，3GPP在HE/HLR中根据序列号SQN、随机挑战RAND等信息生成消息认证码MAC，由USIM/ME通过验证消息认证码MAC实现对网络的认证，该序列号SQN是由用户和网络共同维护的一个整数，该整数每经过一次认证就会按一定规律递增一次。通过序列号机制，来防止认证信息的重放，从而保证生成的会话密钥的新鲜性。当从网络发送到终端的认证信息中的序列号不在终端可以接受的范围内时，终端需要发起序列号同步过程，使得HE/HLR中该终端的序列号重新设置，为了防止序列号暴露用户的身份及位置信息，还需要生成匿名密钥对序列号进行隐藏。

在GSM和3GPP系统中，由归属网络的认证中心AuC产生认证数据并发送给拜访网络的VLR/SGSN，由VLR/SGSN认证用户，即VLR依赖于AuC产生的随机挑战和响应来认证用户。

综上所述，GSM系统的认证是单向认证，缺少用户对网络的认证，容易使系统受到中间人攻击。3GPP认证与密钥协商的主要问题是复杂的序列号管理机制与认证过程，使得协议及系统实现上比较复杂。

另外，当用户和VLR之间出现关于网络使用的纠纷时，AuC无法解决该纠纷。VLR无法给出用户使用网络的证据，因为在用户没有访问网络时，VLR也可以通过MAP信令获得认证向量，而这些认证向量是不能作为用户使用网络的证据的。

随着3G业务的发展，商业应用中可能需要对用户和VLR之间的通信状态进行认证，不允许抵赖。类似于电子商务中，需要保证交易各方的身份认证和交易的不可抵赖性。因此，应当找到一种方法不仅能实现移动用户和网络间的双向身份认证与密钥协商，而且能证明用户和网络之间的通信状态，使通信双方具有不可抵赖性。

发明内容

本发明的目的是设计一种移动通信用户认证与密钥协商方法，解决移动通信系统中用户和网络间的双向、单向认证及会话密钥协商，可以证明通信双方的通信状态，具有不可抵赖性。

实现本发明目的的技术方案是这样的：一种移动通信双向用户认证与密钥协商方法，应用于移动用户、拜访网络与归属网络间，其特征在于：

A.在注册阶段，

A1.移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；

A2.拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n；

B.在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝m，1<＝i<＝n，

B1.移动用户根据存储的哈希值f^n-i+1(Rv)，对拜访网络发送过来的认证数据f^n-i(Rv)进行验证，确定拜访网络的真实性，在认证成功后移动用户保存f^n-i(Rv)，完成基于哈希链的移动用户对网络的认证；

B2.拜访网络根据存储的哈希值f^m-i+1(Ru)，对移动用户发送过来的认证数据f^m-i(Ru)进行验证，确定移动用户身份的真实性，在认证成功后拜访网络保存f^m-i(Ru)，完成基于哈希链的网络对移动用户的认证；

B3.移动用户与拜访网络，在认证成功后，分别利用f^m-i(Ru)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

实现本发明目的的技术方案还是这样的，一种移动通信单向用户认证与密钥协商方法，应用于移动用户、拜访网络与归属网络间，其特征在于：

A’.在注册阶段，

A1’.移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；

A2’.拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n；

B’.在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝m，拜访网络根据存储的哈希值f^m-i+1(Ru)，对移动用户发送过来的认证数据f^m-i(Ru)进行验证，确定移动用户身份的真实性，在认证成功后拜访网络保存f^m-i(Ru)，完成基于哈希链的网络对移动用户的认证；在认证成功后，移动用户和拜访网络利用f^m-i(Ru)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

实现本发明目的的技术方案还可以是这样的：一种移动通信单向用户认证与密钥协商方法，应用于移动用户、拜访网络与归属网络间，其特征在于：

A”.在注册阶段，

A1”.移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；

A2”.拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n；

B’’.在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝n，移动用户根据存储的哈希值f^n-i+1(Rv)，对拜访网络发送过来的认证数据f^n-i(Rv)进行验证，确定拜访网络的真实性，在认证成功后移动用户保存f^n-i(Rv)，完成基于哈希链的移动用户对网络的认证；在认证成功后，移动用户和拜访网络利用f^n-i(Rv)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

本发明的双向认证方法包括基于哈希(Hash)链的网络对移动用户的认证和基于哈希链的移动用户对网络的认证。

本发明的单向认证方法包括基于哈希(Hash)链的网络对移动用户的认证或者基于哈希链的移动用户对网络的认证。

其中基于哈希链的网络对移动用户的认证，具体指：在注册过程中，移动用户通过拜访网络的拜访位置寄存器VLR向归属网络的认证中心AuC进行身份注册，AuC通过消息认证函数(H())对移动用户身份进行判断；在认证与密钥协商过程中，VLR通过独立的Hash链对移动用户进行认证。

基于哈希链的移动用户对网络的认证，具体指：在注册过程中，移动用户根据消息认证函数(H())对VLR进行身份判断；在认证与密钥协商过程中，移动用户通过对VLR的认证信息进行哈希运算后与存储在本地的信息(经过更新后的哈希值)进行比较，对拜访网络进行身份认证。

本发明方法的基于哈希链的认证与密钥协商过程中，会话密钥(加密密钥与完整性密钥)的产生伴随着认证过程，并且每次生成的会话密钥都与本次的认证信息相关。

本发明方法的基于消息认证码的消息源认证，移动用户、AuC、VLR三方都共享消息认证函数，移动用户通过消息认证码MACu向AuC证明提交的认证信息的真实性，AuC根据消息认证码判断从VLR转发过来的认证信息是否真的来自消息中所声称的移动用户；VLR通过消息认证码MACv向移动用户证明所发送认证信息的真实性，移动用户根据消息认证码判断VLR提交的信息的真实性。

消息认证函数(H())需要认证者和被认证者共享密钥。3GPP中移动用户对网络的认证信息都是由AuC产生的，基于移动用户和AuC共享的密钥，VLR自己不产生消息认证码。而本发明方法中，移动用户和AuC之间的消息认证是基于移动用户和网络之间的共享密钥K，移动用户与VLR之间的消息认证是基于共享的匿名密钥AK(移动用户侧的AK’由移动用户根据RAND和K产生，VLR侧的AK由AuC发送给VLR)。

本发明方法除了能够实现移动用户和网络的双向、单向身份认证外，还有以下几方面的有益效果：

通过由移动用户产生的随机数的哈希值来获得密钥新鲜性的保证，与3GPP通过序列号机制来保证密钥新鲜性相比较，没有因为序列号的管理而带来的复杂处理，因而协商实现简单；

当拜访网络与移动用户出现纠纷时，拜访网络可以向移动用户的归属网络提供移动用户使用网络的证据(移动用户产生的f^m-i(Ru)和MACu)，由于该证据是基于移动用户产生的随机数Ru及移动用户与归属网络共享的密钥K加密产生的，归属网络可以验证，并且拜访网络无法自己产生，所以能够证明移动用户对网络的使用，因而具有一定程度的防止抵赖功能；

由于网络对移动用户的认证与移动用户对网络的认证分别由两个相互独立的第一、第二哈希链完成，在不需要进行双向认证的情况下，可以很方便灵活的将双向认证变为单向认证。如果移动用户不需要认证网络，则网络侧就不用产生哈希链，在认证时仅由网络检查移动用户的认证信息，而移动用户不必检查网络的认证信息。反之，如果网络不需要认证移动用户，则移动用户侧就不用产生哈希链，在认证时仅由移动用户检查网络的认证信息，而网络不必检查移动用户的认证信息。

总之，本发明方法采用了不同于已有技术方案的、移动用户与网络双向、单向身份认证与密钥协商机制，协议实现简单灵活，并具有一定程度的防止抵赖功能。

附图说明

图1是GSM系统中网络认证用户的单向流程框图；

图2是3GPP网络与用户的双向认证与密钥协商流程框图；

图3是本发明方法的移动用户在漫游到一个新的访问网络时的注册流程框图；

图4是本发明方法的当移动用户发起业务请求，拜访网络要求认证移动用户时的认证与密钥协商流程框图。

图5是本发明方法的基于哈希(Hash)链的网络对移动用户的单向认证流程框图；

图6是本发明方法的基于哈希(Hash)链的移动用户对网络的单向认证流程框图。

具体实施方式

执行本发明认证方案的前提条件包括：

移动用户和归属网络认证中心(AuC)共享主密钥K，密钥产生函数f₃()、f₄()、f₅()，消息认证函数H()；

移动用户和拜访网络的拜访位置寄存器(VLR)共享哈希函数f()，消息认证函数H()，密钥产生函数f₃’()、f₄’()；

移动用户，VLR和AuC各自能够产生随机数，将移动用户产生的随机数表示为Ru，将VLR产生的随机数表示为Rv，和将AuC产生的随机数表示为RAND。

上述条件也可表示为：在移动用户侧有主密钥K，密钥产生函数f₃()、f₄()、f₅()、f₃’()、f₄’()，消息认证函数H()和哈希函数f()，产生随机数Ru；在拜访网络(VLR)侧有哈希函数f()、消息认证函数H()和密钥产生函数f₃’()、f₄’()，产生随机数Rv；归属网络(AuC)侧有主密钥K，密钥产生函数f₃()、f₄()、f₅()，消息认证函数H()，产生随机数RAND。

移动用户和AuC之间共享的主密钥K和消息认证函数H()用于移动用户和AuC之间的消息认证；移动用户和AuC之间共享的密钥产生函数f₃()用于生成加密密钥种子CK；移动用户和AuC之间共享的密钥产生函数f₄()用于生成完整性密钥种子IK；移动用户和AuC之间共享的密钥产生函数f₅()用于生成匿名密钥AK。

移动用户和VLR之间共享的密钥产生函数f₃’()用于生成对应第i次认证请求的空中接口加密密钥CKi；移动用户和VLR之间共享的密钥产生函数f₄’()用于生成对应第i次认证请求的空中接口完整性密钥IKi。

本发明方法的移动用户与网络的相互认证及密钥协商分为两个阶段执行；注册阶段和认证阶段。

当移动用户漫游到一个新的访问网络时，首先需要进行注册，注册过程如图3所示；完成注册后，当移动用户发起业务请求时，拜访网络要求认证移动用户，认证流程如图4所示。

参见图3，移动用户漫游到一个新的拜访网络(或者在产生的哈希链的所有哈希值都使用完毕时)开始注册过程，完成移动用户在归属网络的注册。

步骤31，移动用户产生随机数Ru，产生长度为m的第一hash链，计算f^M(Ru)(M＝1，2，3，...，m)，即计算f¹(Ru)，f²(Ru)，...，f^m(Ru)，并产生一个移动用户当前的时间戳TimeStamp；然后，根据国际移动用户识别号(IMSI)、f^m(Ru)和TimeStamp，生成MSGu和移动用户的消息认证码MACu，MSGu＝IMSI‖f^m(Ru)‖TimeStamp，MACu＝H(K，MSGu)，并将MSGu和MACu发送给拜访网络的VLR；

步骤32，拜访网络的VLR将MSGu和MACu发送给归属网络的AuC。注册过程中，VLR对移动用户不认证，只是将认证信息发给移动用户的归属网络，由归属网络认证后将结果返回。

步骤33，归属网络的AuC收到MSGu和MACu消息后，首先根据收到的MSGu，计算XMACu，XMACu＝H(K，MSGu)；然后验证接收到的MACu和计算出的XMACu是否相等，如果相等，再检查接收到的MSGu中的时间戳TimeStamp是否在允许的范围内(与AuC当前时间戳比较，判断两者间隔是否在允许的范围内)，如果是则移动用户的身份合法，通过网络对移动用户的认证。

可见，判断移动用户身份是否合法，仍由归属网络AuC控制。

归属网络的AuC产生一个随机数RAND，根据随机数RAND和共享主密钥K，利用密钥产生函数f₃、f₄、f₅分别生成加密密钥种子CK、完整性密钥种子IK和匿名密钥AK：

CK＝f₃(K，RAND)；

IK＝f₄(K，RAND)；

AK＝f₅(K，RAND)。

归属网络的AuC将MSGh＝IMSI‖f^m(Ru)‖RAND‖CK‖IK‖AK通过确认响应消息发送给拜访网络的VLR。之所以要发送RAND，是因为移动用户在产生CK、IK和AK时需要依据AuC生成的RAND，移动用户知道了RAND后才能生成这几个密钥。

步骤34，拜访网络的VLR收到AuC的确认响应消息MSGh后，VLR将其中的IMSI、f^m(Ru)、CK、IK和AK保存，选择随机数Rv产生自己的长度为n的第二Hash链，计算f^N(Rv)(N＝1，2，3，...，n)，即计算f¹(Rv)，f²(Rv)，...，fⁿ(Rv)，获得确认响应消息，包括MSGv和消息认证码MACv：

MSGv＝RAND‖fⁿ(Rv)‖TimeStamp；

MACv＝H(AK，MSGv)。

拜访网络的VLR将确认响应消息MSGv和MACv，发送给移动用户，MSGv中的TimeStamp是VLR当前的时间戳。

移动用户收到确认响应消息MSGv和MACv后，首先根据MSGv消息中的RAND产生AK’＝f5(K，RAND)，然后计算XMACv＝H(AK’，MSGv)，验证所接收的响应消息中的MACv与计算出的XMACv是否相等，如果相等，再检查接收的TimeStamp是否在允许的范围内(与移动用户当前时间戳比较是否在允许的范围内)，如果是则认为该确认响应消息来自真正的VLR，通过移动用户对网络的认证，将MSGv中的fⁿ(Rv)存储。然后根据RAND和主密钥K，产生加密密钥种子CK和完整性密钥种子IK：

CK＝f₃(K，RAND)；

IK＝f₄(K，RAND)。

至此，移动用户在归属网络的AuC注册完成。

在注册过程中，由AuC对移动用户进行身份认证，移动用户则对VLR进行身份认证。经AuC认证的移动用户，VLR不再对其进行身份认证，直接确认为合法用户。这种三方之间实现的双向认证过程，表现在注册过程中，VLR对移动用户不认证，而是将认证信息直接发给移动用户的归属网络的AuC，由归属网络的AuC认证后将结果返回VLR。如果归属网络返回的用户认证正确，则移动用户在认证与密钥协商阶段时，第一次认证与密钥协商开始提交的认证信息中的f^m(Ru)就可以作为以后移动用户访问网络时的认证凭证，就不用AuC参与认证了。

经过注册后，拜访网络的VLR侧存储了第一hash链运算的最终哈希值f^m(Ru)，移动用户侧存储了第二hash链运算的最终hash链fⁿ(Rv)。

参见图4，认证与密钥协商过程。注册完成后，当移动用户发起业务请求时，拜访网络的VLR要求认证移动用户，开始认证与密钥协商过程。假设该认证请求是第i次(1<＝i<＝n，1<＝i<＝m)。

步骤41，对于第i次认证请求，拜访网络的VLR产生认证请求消息，该请求消息中包含网络的认证数据MSGvi＝f^n-i(Rv)，将其发送给移动用户。

步骤42，移动用户收到拜访网络VLR的认证请求消息后，从该消息中获得VLR的认证数据f^n-i(Rv)，利用共享的哈希函数f()计算f(f^n-i(Rv))，并验证是否与存储的f^n-i+1(Rv)相等，如果相等，则认为VLR是合法的，将f^n-i(Rv)保存，并将产生的用户认证数据作为认证响应消息MSGui＝f^m-i(Ru)发给拜访网络的VLR。

步骤43，拜访网络的VLR收到MSGui＝f^m-i(Ru)后，利用共享的哈希函数f()计算f(f^m-i(Ru))，并验证是否与其存储的f^m-i+1(Ru)相等，如果相等，则用户认证通过，VLR将保存f^m-i(Ru)，并给移动用户发送认证成功的结果。

步骤44、45，认证成功后，移动用户和拜访网络VLR根据注册时计算存储的加密密钥种子CK、完整性密钥种子IK，和上述f^m-i(Ru)生成本次会话需要的空中接口加密密钥CKi和空中接口完整性密钥Iki：

CKi＝f₃’(CK，f^m-i(Ru))；

IKi＝f₄’(IK，f^m-1(Ru))。

因此，在认证阶段，只由拜访网络的VLR通过独立的Hash链来判断：经过AuC身份认证的移动用户能否使用VLR的本地资源。也即在认证与密钥协商阶段，是VLR与移动用户间的双向认证与密钥协商。

参见图5，是本发明方法的基于哈希(Hash)链的网络对移动用户的单向认证流程框图，但省略了在注册阶段完成的基于哈希链的网络对移动用户的认证步骤及基于哈希链的移动用户对网络的认证步骤(需要说明的是：无论是双向认证还是单向认证，本发明方法在注册阶段都必须作双向认证，即必须执行图3中的步骤31至34)。

对于基于哈希(Hash)链的网络对移动用户的单向认证过程，在注册阶段也需完成基于哈希链的网络对移动用户的认证步骤(图3中的步骤31、32、33)与基于哈希链的网络对移动用户的认证步骤(图3中的步骤34)。可概括描述为：移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n。

在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝m。

步骤51，拜访网络VLR向移动用户发出用户认证请求消息；

步骤52，接收到用户认证请求消息的移动用户，产生用户认证数据MSGui＝f^m-i(Ru)发给拜访网络的VLR。

步骤53，拜访网络的VLR收到MSGui＝f^m-i(Ru)后，利用共享的哈希函数f()计算f(f^m-i(Ru))，并验证是否与其存储的f^m-i+1(Ru)相等，如果相等，则用户认证通过，VLR将保存f^m-i(Ru)，并给移动用户发送认证成功的结果。

步骤54、55，认证成功后，移动用户和拜访网络VLR根据注册时计算存储的加密密钥种子CK、完整性密钥种子IK，和上述f^m-i(Ru)生成本次会话需要的空中接口加密密钥CKi和空中接口完整性密钥Iki：

CKi＝f₃’(CK，f^m-i(Ru))；

IKi＝f₄’(IK，f^m-i(Ru))。

步骤51至55可概括描述为：拜访网络根据存储的哈希值f^m-i+1(Ru)，对移动用户发送过来的认证数据f^m-i(Ru)进行验证，确定移动用户身份的真实性，在认证成功后拜访网络保存f^m-i(Ru)，完成基于哈希链的网络对移动用户的认证；在认证成功后，移动用户和拜访网络利用f^m-i(Ru)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

参见图6，是本发明方法的基于哈希(Hash)链的移动用户对网络的单向认证流程框图。但省略了在注册阶段完成的基于哈希链的网络对移动用户的认证步骤及基于哈希链的移动用户对网络的认证步骤(需要说明的是：无论是双向认证还是单向认证，本发明方法在注册阶段都必须作双向认证，即必须执行图3中的步骤31至34)。

对于基于哈希(Hash)链的移动用户对网络的单向认证过程，在注册阶段也需完成基于哈希链的网络对移动用户的认证步骤(图3中的步骤31、32、33)与基于哈希链的网络对移动用户的认证步骤(图3中的步骤34)。

在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝n。

步骤61，移动用户向拜访网络VLR发出网络认证请求消息；

步骤62，接收到网络认证请求消息的拜访网络VLR，产生用户认证数据MSGvi＝f^n-i(Rv)发给移动用户；

步骤63，移动用户收到拜访网络VLR的认证请求消息后，从该消息中获得VLR的认证数据f^n-i(Rv)，利用共享的哈希函数f()计算f(f^n-i(Rv))，并验证是否与存储的f^n-i+1(Rv)相等，如果相等，则认为VLR是合法的，将f^n-i(Rv)保存，并给拜访网络发送认证成功的结果。

步骤64、65，认证成功后，移动用户和拜访网络VLR根据注册时计算存储的加密密钥种子CK、完整性密钥种子IK，和上述f^n-i(Rv)生成本次会话需要的空中接口加密密钥CKi和空中接口完整性密钥Iki：

CKi＝f₃’(CK，f^n-i(Rv))；

IKi＝f₄’(IK，f^n-i(Rv))。

步骤61至65可概括描述为：移动用户根据存储的哈希值f^n-i+1(Rv)，对拜访网络发送过来的认证数据f^n-i(Rv)进行验证，确定拜访网络的真实性，在认证成功后移动用户保存f^n-i(Rv)，完成基于哈希链的移动用户对网络的认证；在认证成功后，移动用户和拜访网络利用f^n-i(Rv)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

实际应用中，经常发生的是双向认证或者网络对移动用户的单向认证，移动用户对网络的单向认证一般不使用。

本发明的双向认证，在注册阶段，由归属网络的AuC对移动用户进行身份认证，由移动用户对拜访网络的VLR进行身份认证，并在移动用户与拜访网络的VLR上存储各自的hash链；在认证阶段与密钥协商阶段，是拜访网络的VLR与移动用户的双向认证，是基于hash链的网络对移动用户的认证和基于hash链的移动用户对网络的认证。

本发明的单向认证，在注册阶段，由归属网络的AuC对移动用户进行身份认证，并在拜访网络的VLR上存储hash链，和由移动用户对拜访网络的VLR进行身份认证，并在移动用户上存储hash链；在认证阶段与密钥协商阶段，是拜访网络的VLR对移动用户的单向认证，是基于hash链的网络对移动用户的认证。

本发明的单向认证，在注册阶段，由归属网络的AuC对移动用户进行身份认证，并在拜访网络的VLR上存储hash链，和由移动用户对拜访网络的VLR进行身份认证，并在移动用户上存储hash链；在认证阶段与密钥协商阶段，是拜访网络的VLR与移动用户的单向认证，是基于hash链的移动用户对网络的认证。

Claims (13)

1.一种移动通信用户双向认证与密钥协商方法，应用于移动用户、拜访网络与归属网络间，其特征在于：

A.在注册阶段，

A1.移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；

A2.拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n；

B.在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝m，1<＝i<＝n，

B1.移动用户根据存储的哈希值f^n-i+1(Rv)，对拜访网络发送过来的认证数据f^n-i(Rv)进行验证，确定拜访网络的真实性，在认证成功后移动用户保存f^n-i(Rv)，完成基于哈希链的移动用户对网络的认证；

B2.拜访网络根据存储的哈希值f^m-i+1(Ru)，对移动用户发送过来的认证数据f^m-i(Ru)进行验证，确定移动用户身份的真实性，在认证成功后拜访网络保存f^m-i(Ru)，完成基于哈希链的网络对移动用户的认证；

B3.移动用户与拜访网络，在认证成功后，分别利用f^m-i(Ru)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

2.根据权利要求1所述的方法，其特征在于所述步骤A1中，产生消息认证码MACu包括：利用IMSI、f^m(Ru)、TimeStamp级联生成MSGu，MSGu＝IMSI‖f^m(Ru)‖TimeStamp，‖是简单级联符；利用消息认证函数生成消息认证码MACu，MACu＝H(K，MSGu)，IMSI是国际移动用户识别号，TimeStamp是移动用户当前的时间戳。

3.根据权利要求2所述的方法，其特征在于所述步骤A1中，归属网络确认认证请求消息的真实性，包括：

归属网络利用消息认证函数计算消息认证码XMACu，XMACu＝H(K，MSGu)；

比较计算的XMACu与接收的MACu是否一致，一致时继续执行下述步骤；

检查接收的TimeStamp是否在允许的范围内，是则确认认证请求消息真实。

4.根据权利要求2所述的方法，其特征在于：所述认证请求消息通过拜访网络向归属网络进行身份注册，是由移动用户将所述的MSGu与MACu发送给拜访网络，再由拜访网络将该MSGu与MACu发送给归属网络。

5.根据权利要求1所述的方法，其特征在于所述步骤A1中，归属网络将最终哈希值f^m(Ru)保存在拜访网络，包括：

归属网络产生一个随机数RAND；

生成确认响应消息MSG_h，MSG_h＝IMSI‖f^m(Ru)‖RAND‖CK‖IK‖AK，‖是简单级联符，IMSI是国际移动用户识别号，CK、IK、AK分别是加密密钥种子、完整性密钥种子、匿名密钥；

归属网络将MSG_h发送给拜访网络保存。

6.根据权利要求5所述的方法，其特征在于：所述的加密密钥种子CK、完整性密钥种子IK和匿名密钥AK，分别利用各自的密钥产生函数生成，CK＝f₃(K，RAND)，IK＝f₄(K，RAND)，AK＝f₅(K，RAND)。

7.根据权利要求1所述的方法，其特征在于所述步骤A2中，产生消息认证码MACv包括：利用RAND、fⁿ(Rv)、TimeStamp级联生成MSGv，MSGv＝RAND‖fⁿ(Rv)‖TimeStamp，‖是简单级联符；利用消息认证函数生成消息认证码MACv，MACv＝H(AK，MSGv)，RAND、AK是来自于归属网络的随机数与匿名密钥，TimeStamp是拜访网络的当前时间戳。

8.根据权利要求7所述的方法，其特征在于所述步骤A2中，移动用户确认响应消息的真实性，包括：

移动用户从所述的MSGv中取出RAND，利用匿名密钥生成函数产生匿名密钥AK’，AK’＝f5(K，RAND)；

移动用户利用消息认证函数计算XMACv，XMACv＝H(AK’，MSGv)；

比较计算的XMACv与接收的MACv是否一致，一致时继续执行下述步骤；

检查接收的TimeStamp是否在允许的范围内，是则确认响应消息的真实性，并利用加密密钥种子生成函数、完整性密钥种子生成函数分别生成加密密钥种子CK和完整性密钥种子IK，CK＝f₃(K，RAND)，IK＝f₄(K，RAND)。

9.根据权利要求1所述的方法，其特征在于所述步骤B1中，移动用户对拜访网络的认证包括：

拜访网络产生认证请求消息并发送给移动用户，该认证请求消息中包含网络认证移动用户的认证数据MSGvi＝f^n-i(Rv)；

移动用户利用共享的哈希函数计算f(f^n-i(Rv))；

比较f(f^n-i(Rv))与存储的f^n-i+1(Rv)是否一致，f^n-i+1(Rv)是指移动用户根据注册过程中的Rv，经i-1次认证后保存的哈希值，是i-1次成功认证时由拜访网络发送给移动用户的数据，一致时更新所述的哈希值为f^n-i(Rv)。

10.根据权利要求1所述的方法，其特征在于所述步骤B2中，拜访网络对移动用户的认证包括：

移动用户将认证数据MSGui＝f^m-i(Ru)发送给拜访网络；

拜访网络利用共享的哈希函数计算f(f^m-i(Ru))；

比较计算的f(f^m-i(Ru))与存储的f^m-i+1(Ru)是否一致，f^m-i+1(Ru)是指拜访网络根据注册过程中的Ru，经i-1次认证后保存的哈希值，是i-1次成功认证时由移动用户发送给拜访网络的数据，一致时更新所述的哈希值为f^m-i(Ru)。

11.根据权利要求10所述的方法，其特征在于所述步骤B3中，移动用户与拜访网络利用共享的空中接口加密密钥生成函数与空中接口完整性密钥生成函数分别生成会话密钥CKi与完整性密钥IKi，CKi＝f₃’(CK，f^m-i(Ru))，IKi＝f₄’(IK，f^m-i(Ru))，CK、IK分别是在注册阶段同时保存在移动用户与拜访网络上的加密密钥种子、完整性密钥种子。

12.一种移动通信单向用户认证与密钥协商方法，应用于移动用户、拜访网络与归属网络间，其特征在于：

A’.在注册阶段，

A1’.移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；

A2’.拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n；

B’.在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝m，拜访网络根据存储的哈希值f^m-i+1(Ru)，对移动用户发送过来的认证数据f^m-i(Ru)进行验证，确定移动用户身份的真实性，在认证成功后拜访网络保存f^m-i(Ru)，完成基于哈希链的网络对移动用户的认证；在认证成功后，移动用户和拜访网络利用f^m-i(Ru)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

13.一种移动通信单向用户认证与密钥协商方法，应用于移动用户、拜访网络与归属网络间，其特征在于：

A”.在注册阶段，

A1”.移动用户产生随机数Ru，对该随机数Ru进行第一哈希运算f^M(Ru)，并利用最终的哈希值f^m(Ru)和共享主密钥K产生消息认证码MACu，将包括最终哈希值f^m(Ru)与消息认证码MACu的认证请求消息通过拜访网络向归属网络进行身份注册，归属网络确认认证请求消息的真实性，在消息真实时，将该最终哈希值f^m(Ru)保存在拜访网络，完成基于哈希链的网络对移动用户的认证，M＝1，2，3，...，m；

A2”.拜访网络产生随机数Rv，对该随机数Rv进行第二哈希运算f^N(Rv)，并利用最终的哈希值fⁿ(Rv)产生消息认证码MACv，将包括最终哈希值fⁿ(Rv)与消息认证码MACv的确认响应消息发送给移动用户，移动用户确认该响应消息的真实性，在消息真实时，将该最终哈希值fⁿ(Rv)保存在移动用户，完成基于哈希链的移动用户对网络的认证，N＝1，2，3，...，n；

B”.在认证与密钥协商阶段，对第i次认证与密钥协商，1<＝i<＝n，移动用户根据存储的哈希值f^n-i+1(Rv)，对拜访网络发送过来的认证数据f^n-i(Rv)进行验证，确定拜访网络的真实性，在认证成功后移动用户保存f^n-i(Rv)，完成基于哈希链的移动用户对网络的认证；在认证成功后，移动用户和拜访网络利用f^n-i(Rv)生成第i次认证与密钥协商的会话密钥CKi和完整性密钥IKi。

Images