CN101087188A

CN101087188A - 无线网络中mbs授权密钥的管理方法及系统

Info

Publication number: CN101087188A
Application number: CN 200610087015
Authority: CN
Inventors: 冯成燕; 林志斌; 赵元魁; 单长虹; 王海宁; 杜海涛
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2006-06-08
Filing date: 2006-06-08
Publication date: 2007-12-12
Anticipated expiration: 2026-06-08
Also published as: CN101087188B

Abstract

本发明涉及一种无线网络中MBS授权密钥的管理方法及系统。本发明主要包括：网络侧组播广播业务(MBS)授权密钥生成者生成MBS授权密钥信息，然后，MBS授权密钥生成者将生成的MBS授权密钥信息进行加密，并在加密之后发送给网络中MBS授权密钥的使用者。本发明中，对MBS授权密钥(MAK)的管理和传输进行了详细、具体的定义，并有效地保护了MAK的机密性和完整性。因此，本发明的实现可以有效地提高组播广播业务的性能，为用户提供更高效率和更快捷的多媒体业务。

Description

无线网络中MBS授权密钥的管理方法及系统

技术领域

本发明涉及网络通信技术领域，尤其涉及一种无线网络中MBS授权密钥的管理方法及系统。

背景技术

随着网络通信技术的迅速发展，人们对移动通信的需求已不再仅仅满足于电话和信息业务，大量多媒体业务要求不断涌现出来，其中一些应用业务要求多个用户能够同时接受相同的数据，如视频点播、电视广播、网上教育等等。这些移动多媒体业务与一般的数据相比，具有数据量大，持续时间长等特点。为了有效地利用移动网络资源，更好的为客户提供服务，于是产生了组播广播业务。

组播广播业务，即MBS(Multicast Broadcast Service)，是指无线网络在空口点对多点发送同一信息内容给多个(即组播)或全部(即广播)终端用户。它可以实现网络资源共享，提高网络资源的利用率，尤其是空中接口资源，高效率的为用户提供高速、稳定的多媒体业务。

在无线通信网络中，为了保证无线组播通信安全以及对接收组播业务权限的要求，需要传输的组播数据都必须经过组播密钥加密之后，方可进行传输，这样就可以保证只有签约该组播业务的用户才可以接收该组播业务。为了防止密钥泄露威胁通信安全，上述组播密钥需要定期更换。同时为了保证会话连续性，基站和终端有保持两套密钥的能力，在旧密钥生命期结束之前就要从上级密钥分发实体获取新密钥，保证在旧密钥过期时可以立即更换新密钥。

以基于Wimax技术即IEEE802.16e协议实现的无线通信系统为例，其组播数据的加密需要采用五个密钥，它们分别为：MBS授权密钥(MAK)、密钥加密密钥(KEK)、组密钥加密密钥(GEKE)、MBS组密钥加密密钥(MGTEK)、MBS业务加密密钥(MTK)。其中，MAK的生成和传输由应用层定义，MGTEK用KEK或GKEK加密之后传递给终端。MAK和MGTEK经过某个算法(如Dot16KDF算法)计算得到MTK，MTK直接用于加解密组播数据。

在Wimax网络，组播广播业务支持单基站接入和多基站接入两种模式。以多基站接入模式为例，一个MBS区内的基站用相同连接标识符(CID)和安全联盟(SA)发送同一MBS业务流的内容，注册了MBS服务的终端可以在MBS区内通过多个基站接收MBS内容，并且处于Idle模式下的终端在MBS区内跨基站(BS)移动时，可以不受影响的接收MBS业务，实现MBS业务的无缝切换。这要求MBS区内的多个基站在同一信道连接上同步传输MBS业务流，并且用于加密指定MBS业务的一个MBS区内的所有基站使用相同的MTK。同时，IEEE802.16e协议规定，一个组播连接标识符(Mulicast CID：MulticastConnection Identifier)中包含一个或多个MBS业务，每一个MBS业务用逻辑信道标识符(Logical Channel ID)来标识。一个Multicast CID的业务是统一加密的。因此MTK也是针对Multicast CID的。

目前，还没有一种可以采用的MAK的具体生成及传输处理实现方案，因而，使得网络中需要MAK的实体无法获得其需要的MAK。这样，必将会影响网络通信的安全和畅通，致使客户端无法正常的获得网络运营商提供的各种多媒体业务。

发明内容

鉴于上述现有技术所存在的问题，本发明的目的是提供一种无线网络中MBS授权密钥的管理方法及系统。从而有效地提高组播广播业务的性能和安全性，为用户提供更高效率和更快捷的多媒体业务。

本发明的目的是通过以下技术方案实现的：

本发明提供了一种无线网络中的组播广播业务MBS授权密钥的管理方法，包括：

A、网络侧MBS授权密钥生成者生成MBS授权密钥信息；

B、网络侧MBS授权密钥生成者将MBS授权密钥信息发送给移动终端和网络侧MBS授权密钥使用者。

所述的MBS授权密钥信息包括：MBS授权密钥和MBS授权密钥上下文信息。

所述的MBS授权密钥上下文信息包括：MBS组安全联盟标识符，或者，MBS组安全联盟标识符和MBS授权密钥的生命周期。

所述的方法还包括：

当MBS授权密钥需要更新时，由MBS授权密钥生成者对MBS授权密钥进行更新处理。

所述的方法还包括：

一个MBS区内的一个组播连接共享一个MBS授权密钥；或者，一个MBS区共享一个MBS授权密钥。

所述的方法还包括：

属于同一个MBS区内的基站同步运作，组播区内所有网络侧MBS授权密钥使用者同时启用MBS授权密钥。

所述的步骤B包括：

MBS授权密钥生成者采用针对MBS授权密钥的保护机制将MBS授权密钥发送给移动终端。

所述的保护MBS授权密钥保护机制包括：点对点的安全隧道机制，或者，通过保护密钥对MBS授权密钥进行加密机制。

在微波接入全球互通Wimax网络中，所述的MBS授权密钥生成者包括：

设置于核心服务网CSN中用于处理MBS业务的MBS服务器和/或MBS内容提供者。

在Wimax网络中，网络侧的MBS授权密钥使用者包括：设置于接入服务网ASN中用于处理MBS业务的MBS代理和/或基站，且所述的MBS代理设置于ASN网关上或独立设置。

本发明提供了一种基于Wimax网络的MBS授权密钥的生成与接收系统，包括：

MBS授权密钥生成发送装置，位于网络侧负责提供MBS授权密钥的实体中，用于生成和发送MBS授权密钥信息；

MBS授权密钥接收装置，位于网络侧需要获得MBS授权密钥的实体中，以及移动终端中，用于接收MBS授权密钥信息。

所述的MBS授权密钥的生成发送装置所在的实体包括：MBS内容提供者或者MBS服务器。

所述的MBS服务器设置于CSN域内，用于CSN域内处理MBS业务。

所述的MBS授权密钥生成发送装置还包括：更新触发单元，用于在确定需要对MBS授权密钥进行更新时，触发MBS授权密钥生成发送装置。

所述的MBS授权密钥接收装置设置于网络侧的MBS代理或者基站中。

所述的MBS代理设置于ASN域内的ASN网关上或独立设置于ASN域内，用于在ASN域内处理MBS业务。

由上述本发明提供的技术方案可以看出，本发明的实现可以有效地改善Wimax网络对MAK的管理和传输，提高了Wimax网络的安全性，可靠性和连续性，更好的实现了Wimax网络中多基站模式下MBS业务的无缝切换，使签约用户更高效率和更快捷的享受无线网络为其提供的多媒体业务。

同时，由于本发明中针对MBS授权密钥信息的传送过程采用了相应的安全机制，因此，可以有效保证MBS授权密钥信息传送的安全性，从而保证了MBS业务开展过程中的安全性。

附图说明

图1本发明所述的MBS授权密钥生成与分发流程图；

图2本发明所述的建立点对点安全隧道传递MBS授权密钥流程图；

图3本发明所述的用保护密钥保护MBS授权密钥传输流程图；

图4本发明所述的系统的具体实现结构示意图。

具体实施方式

本发明将提供一种简单易行的方法来解决上述网络中对MBS授权密钥管理和传输的问题。

本发明的核心思想是在网络侧由MBS授权密钥生成者生成MBS授权密钥信息并将MBS授权密钥信息发送给移动终端和网络侧MBS授权密钥使用者。

同时，本发明提供的MBS授权密钥的管理和传输实现方案中，还可以通过保密机制对MBS授权密钥进行加密处理，以保护MBS授权密钥在传输过程中的机密性和完整性。

本发明中，网络侧的MBS授权密钥生成者生成MBS授权密钥信息，并分别发送给网络中MBS授权密钥使用者和移动终端设备。同时，当所述的MBS授权密钥需要更新时，MBS授权密钥生成者也可以作为更新者重新生成相应的MBS授权密钥，以实现MBS授权密钥的更新操作。MBS授权密钥信息包括：MBS授权密钥和MBS组安全联盟标识符(MBS GSA ID)，或者，MBS授权密钥、MBS组安全联盟标识符(MBS GSA ID)和MBS授权密钥的生命周期。

本发明中，所述的MBS授权密钥的应用范围可以是在同一个MBS区内，同一个组播连接共享一个MBS授权密钥；也可以是在同一个MBS区内共享一个MBS授权密钥，但MBS业务加密密钥在这个MBS区内的一个组播连接上必须是唯一的，不能同时存在两个或多个MBS业务加密密钥，MBS业务加密密钥的唯一性由MBS组密钥加密密钥决定。

下面将结合附图1对本发明所述的具体步骤流程进行详细的说明。

步骤11：由网络中的某个可以作为MBS授权密钥生成者的实体生成相应的MBS授权密钥信息；

在该步骤中，所述的MBS授权密钥生成者生成的MBS授权密钥的信息包括：MBS授权密钥和MBS组安全联盟标识符，或者，MBS授权密钥、MBS组安全联盟标识符和MBS授权密钥的生命周期；例如，若MBS授权密钥不需要更新，MBS授权密钥生成者生成的MBS授权密钥的信息可以包括：MBS授权密钥和MBS组安全联盟标识符；若MBS授权密钥需要更新，则所述的MBS授权密钥上下文信息可以包括MBS授权密钥、MBS组安全联盟标识符和MBS授权密钥的生命周期，从而使传输网络能够对MBS授权密钥进行更好的管理和传输。

在Wimax网络中，MBS的生成者可以是MBS服务器也可以是MBS内容提供者。而且，当MBS授权密钥需要更新时，MBS授权密钥生成者也可以作为MBS授权密钥的更新者，以便于对已经生成的MBS授权密钥进行更新。

步骤12：MBS授权密钥生成者将生成的MBS授权密钥信息通过MBS授权密钥传送消息发送给MBS授权密钥使用者。

所述的MBS授权密钥使用者包括移动终端(MS)和接入网络中的某个实体，例如，可以为接入网中的基站(BS)或者MBS代理等；

所述的传送消息中包含的参数有：MBS授权密钥和MBS组安全联盟标识符，或者，MBS授权密钥、MBS组安全联盟标识符和MBS授权密钥的生命周期。

本发明中，所述的MBS服务器是位于CSN(核心服务网)域内负责处理MBS业务的一个网元；MBS代理是位于ASN(接入服务网)域内处理MBS业务的一个网元，可以位于ASN GW(ASN网关)上或作为独立网元独立设置于网络中。

随着无线网络通讯技术的迅速发展和普及，人们开始越来越了解无线网络通讯技术，有些黑客就开始利用其掌握的技术盗取本该由签约该业务的人们才能享受到的服务，这就使无线网络的安全性越来越重要。组播广播业务也是如此，在MBS授权密钥生成者将MBS授权密钥传送给移动终端的传输过程中就需要有保护机制来保护MBS授权密钥的机密性和完整性，以保证只有签约该组播广播业务的客户才能享受无线通信网络提供商提供的这种服务。

在基于Wimax技术即IEEE802.16e协议实现的无线通信网络中，MBS的保护机制有两种方法，它们分别是通过点对点的安全隧道机制和通过一个密钥对MBS授权密钥进行加密的保护机制。

下面将结合附图对本发明所述的两种保护机制分别进行详细的说明。

(一)在通过建立点对点隧道来保护MBS授权密钥的机制中，具体的实现方式包括以下步骤：

步骤21：MBS服务器，或者MBS服务器与MBS内容提供者生成MBS授权密钥信息；

所述的MBS授权密钥包括MBS授权密钥及其上下文信息，所述的上下文信息包括MBS组安全联盟标识符，或者，MBS组安全联盟标识符和MBS授权密钥的生命周期；

当由MBS服务器与MBS内容提供者生成MBS授权密钥信息时，则由MBS内容提供者生成MBS授权密钥及部分上下文信息，且MBS内容提供者需要将MBS授权密钥及其部分上下文信息(主要是MBS授权密钥的生命周期)发送给MBS服务器，并由MBS服务器生成其它上下文信息，以获得MBS授权密钥及上下文信息；

步骤22：MBS服务器将自身或与MBS内容提供者共同生成的MBS授权密钥信息通过向MBS代理或基站传送的消息发送给MBS代理或基站；

在该步骤的处理过程中，基站也可以从MBS代理处获得MBS授权密钥及其上下文信息，此时，MBS服务器无需向基站发送相应的MBS授权密钥信息；

传送的消息中包含的参数有：MBS授权密钥和MBS组安全联盟标识符，或者，MBS授权密钥、MBS组安全联盟标识符和MBS授权密钥的生命周期。

步骤23：MBS服务器将MBS授权密钥信息通过安全隧道发送给移动终端；

即MBS服务器确定相应的MBS授权密钥信息后，其还需要与移动终端之间建立一条点对点的安全隧道，该隧道可以是IPsec或者是其它应用层安全隧道，以便于保证传输的MBS授权密钥信息的安全性。

其中，所述的步骤22和步骤23相互独立，在执行时间上不分先后顺序。

(二)在通过一个密钥对MBS授权密钥进行加密的保护机制中，具体的实现方式包括以下步骤：

步骤31：MBS服务器，或者MBS服务器与MBS内容提供者生成MBS授权密钥及其上下文信息；

所述的上下文信息包括：MBS组安全联盟标识符，或者，MBS组安全联盟标识符和MBS授权密钥的生命周期；

若MBS内容提供者配合MBS共同生成MBS授权密钥信息，则其需要将MBS授权密钥及其部分上下文信息(主要是MBS授权密钥生命周期)发送给MBS服务器，MBS服务器生成其它上下文信息。

步骤32：MBS服务器将生成的MBS授权密钥信息通过与MBS代理或基站间传送的消息发送给MBS代理或基站；

所述的消息中携带的参数包括：MBS授权密钥和MBS组安全联盟标识符，或者，MBS授权密钥、MBS组安全联盟标识符和MBS授权密钥的生命周期。

步骤33：MBS服务器上生成一保护密钥，用于对MBS授权密钥信息进行加密，以保护其传输的安全性；

该保护密钥的生成方法可以为：在MBS业务签约或者MBS业务认证过程中，移动终端与MBS服务器共享一个密钥；然后，MBS服务器生成一个用户用于生成保护密钥的特定参数，一般可以是一个随机数，并使用共享密钥与该随机数根据特定加密算法生成保护密钥。

步骤34：MBS服务器用生成的保护密钥对MBS授权密钥进行加密；

步骤35：MBS服务器将进行过加密保护的MBS授权密钥信息发送给移动终端，向移动终端发送的信息包括：MBS授权密钥和MBS组安全联盟标识符，或者，MBS授权密钥、MBS组安全联盟标识符和MBS授权密钥的生命周期，以及生成保护密钥的特定参数。

步骤36：移动终端使用在MBS业务签约或者MBS业务认证过程中获得的与MBS服务器共享的密钥和接收到的生成保护密钥的特定参数根据特定算法生成保护密钥。

步骤37：移动终端用生成的保护密钥解出MBS授权密钥信息。

其中，步骤32和步骤33、34、35、36、37相互独立，在执行时间上不分先后顺序。

本发明还提供了一种基于Wimax网络的MBS授权密钥的生成与接收系统，所述系统中各组成装置分布于网络侧和用户侧各实体中，所述系统的具体实现方式如图4所示，具体包括：

MBS授权密钥生成发送装置，位于网络侧负责提供MBS授权密钥的实体中，用于生成和发送MBS授权密钥信息。MBS授权密钥的生成发送装置所在的实体包括：MBS内容提供者或者MBS服务器。

MBS授权密钥接收装置，位于网络中需要获得MBS授权密钥的实体中，用于接收由生成发送装置发送的MBS授权密钥。所述的接收装置在网络侧实体为MBS代理或者基站，在用户侧实体为移动终端。

(一)所述MBS授权密钥生成发送装置，如图4所示，具体包括：

1)当MBS授权密钥生成发送装置所在实体是MBS内容提供者时，生成的MBS授权密钥信息包括MBS授权密钥，并可选地包括MBS授权密钥生命周期，并传输给MBS服务器，由MBS服务器生成完整MBS授权密钥信息并发送给网络中MBS授权密钥的使用者。

2)当MBS授权密钥生成发送装置所在实体是MBS服务器时，生成MBS授权密钥信息包括MBS授权密钥和MBS组安全联盟标识符，并可选地包括MBS授权密钥的生命周期，并由MBS服务器发送给网络中MBS授权密钥的使用者。

所述的MBS授权密钥生成发送装置在MBS服务器发送MBS授权密钥消息给网络中需要MBS授权密钥信息的各实体时，会建立保护机制保护MBS授权密钥传输，所述的保护机制包括点对点安全隧道机制和通过保护密钥对MBS授权密钥进行加密机制。

另外，所述的MBS授权密钥生成发送装置还包括：更新触发单元，用于在确定需要对MBS授权密钥进行更新时，触发MBS授权密钥生成发送装置，对已经生成的授权密钥进行更新。

(二)所述的MBS授权密钥接收装置，如图4所示，用于接收MBS授权密钥生成发送装置发送的MBS授权密钥信息，该装置设置于用户终端设备中和/或网络侧需要获取MBS授权密钥的实体中，其中，所述的网络侧需要获取MBS授权密钥的实体包括：MBS代理或者基站等，也可为其他网络侧需要获取MBS授权密钥的实体。

综上所述，本发明有效的解决了Wimax网络现有技术中，未对MBS授权密钥的管理和传输进行详细具体定义的问题。本发明的实现简单易行，并可以有效地改善Wimax网络对MAK的管理和传输，提高了Wimax网络的性能。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

1、一种无线网络中的组播广播业务MBS授权密钥的管理方法，其特征在于，包括：

A、网络侧MBS授权密钥生成者生成MBS授权密钥信息；

2、根据权利要求1所述的方法，其特征在于，所述的MBS授权密钥信息包括：MBS授权密钥和MBS授权密钥上下文信息。

3、根据权利要求2所述的方法，其特征在于，所述的MBS授权密钥上下文信息包括：MBS组安全联盟标识符，或者，MBS组安全联盟标识符和MBS授权密钥的生命周期。

4、根据权利要求1所述的方法，其特征在于，所述的方法还包括：

5、根据权利要求1所述的方法，其特征在于，所述的方法还包括：

6、根据权利要求1所述的方法，其特征在于，所述的方法还包括：

7、根据权利要求1所述的方法，其特征在于，所述的步骤B包括：

8、根据权利要求7所述的方法，其特征在于，所述的保护MBS授权密钥保护机制包括：点对点的安全隧道机制，或者，通过保护密钥对MBS授权密钥进行加密机制。

9、根据权利要求1所述的方法，其特征在于，在微波接入全球互通Wimax网络中，所述的MBS授权密钥生成者包括：

10、根据权利要求1所述的方法，其特征在于，在Wimax网络中，网络侧的MBS授权密钥使用者包括：设置于接入服务网ASN中用于处理MBS业务的MBS代理和/或基站，且所述的MBS代理设置于ASN网关上或独立设置。

11、一种基于Wimax网络的MBS授权密钥的生成与接收系统，其特征在于，包括：

12、根据权利要求11所述的系统，其特征在于，所述的MBS授权密钥的生成发送装置所在的实体包括：MBS内容提供者或者MBS服务器。

13、根据权利要求12所述的系统，其特征在于，所述的MBS服务器设置于CSN域内，用于CSN域内处理MBS业务。

14、根据权利要求11所述的系统，其特征在于，所述的MBS授权密钥生成发送装置还包括：更新触发单元，用于在确定需要对MBS授权密钥进行更新时，触发MBS授权密钥生成发送装置。

15、根据权利要求11、12、13或14所述的系统，其特征在于，所述的MBS授权密钥接收装置设置于网络侧的MBS代理或者基站中。

16、根据权利要求15所述的系统，其特征在于，所述的MBS代理设置于ASN域内的ASN网关上或独立设置于ASN域内，用于在ASN域内处理MBS业务。