CN101188851B

CN101188851B - 移动终端准入控制的方法

Info

Publication number: CN101188851B
Application number: CN2006101384979A
Authority: CN
Inventors: 李栎; 张峰; 陈剑勇; 李远威
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2006-11-17
Filing date: 2006-11-17
Publication date: 2011-03-02
Anticipated expiration: 2026-11-17
Also published as: CN101188851A

Abstract

本发明公开了一种移动终端准入控制的方法，涉及移动通信系统的终端准入控制，为解决现有准入控制过程中的安全状态信息有可能被篡改的问题而发明。该移动终端准入控制方法包括以下步骤：(1)移动终端将加密后的安全状态信息通过网络访问控制设备转发给安全策略服务器；(2)安全策略服务器将收到的安全状态信息解密，并依据该解密后的安全状态信息生成安全策略；(3)安全策略服务器将生成的安全策略发送给网络访问控制设备，网络访问控制设备利用该安全策略对移动终端进行准入控制本发明使得安全状态信息在传送过程中一直处于加密状态，确保了准入控制的安全，主要用于移动通信系统中对用户接入的控制，确保移动通信系统的安全。

Description

移动终端准入控制的方法

技术领域

本发明涉及移动通信系统的安全领域，特别涉及移动通信系统的终端准入控制。

背景技术

未来的移动通信网络将是半开放的网络，是基于IP的、承载与业务相分离的网络，并且与开放的Internet相连接，未来的移动通信终端将拥有处理能力极强的操作系统，更宽的接入带宽，这些都为移动通信网络用户运用丰富的数据和开通各种多媒体业务提供了硬件基础，未来的通信网将会和互联网融合成一体。然而，这种移动通信网络与互联网、移动终端与互联网终端(PC：个人计算机)相互融合的趋势导致了未来的移动通信网络也将面临更大的安全威胁，类似于互联网上的病毒、蠕虫和黑客攻击等也将会是影响到未来的移动通信网络中业务开展，病毒将会在移动通信网络里泛滥，严重的会导致移动通信网暂时的瘫痪。

目前移动网络所用的准入控制主要是根据用户是否有应用移动网络资源的能力(如：合法用户标志、充足的话费余额、通讯信号满足服务质量要求等条件)来实施对移动终端接入移动网络的准入控制，移动终端的安全状态并不作为准入控制的条件。但是在第三代移动通信网络(3G)中，移动终端数据能力增强，极有可能发生针对网络的蠕虫病毒攻击，占用大量网络资源。目前处理这种情况的方法是在感染蠕虫病毒后，通过病毒查杀过滤的方法，防止病毒的扩散。在目前运用的移动通信网络中，还没有一种在病毒等灾害发生初期，能够及时发现病毒源，并迅速防止灾害扩散的具体实现方法。要实现上述的在病毒等灾害发生初期就能够防止灾害扩散，一个比较可行的方法就是在移动终端的准入控制中加强安全措施。

针对上述问题，目前安全业界提出了基于移动终端安全状态的移动网络准入控制方法，能够有效防止带有不安全因素的移动终端接入移动网络，降低了网络受病毒等威胁的影响，保护移动网络资源，保证正常移动业务的开展。其主要思路是在移动终端上部署安全代理模块，在网络侧部署安全策略服务器；安全代理负责收集移动终端上的安全相关信息，并将这些信息上报给安全策略服务器，由安全策略服务器评估并产生相应的安全策略，然后通知网络访问控制设备，由网络访问控制设备对该移动终端的接入和访问做出适当的安全控制。

但是，以上的方案中存在着一定的安全威胁。在对电信运营商网络的安全威胁分析中，目前已经达成的共识是：在以上的方案中网络访问控制设备对从移动终端传送过来的密文进行解密，然后以明文形式在核心网中传送到其它网络设备。非授权用户可以窃听网络控制设备与安全策略服务器之间的通信，甚至进行截取、篡改，从而造成安全策略服务器收到的的信息不真实或不完整，可能的后果就是安全级别较低的移动终端获得了较高的网络访问权限，或者符合安全策略的终端不能正常接入网络，若安全级别较低的移动终端获得了较高的网络访问权限就会给很多病毒提供传播空间，若符合安全策略的终端不能正常接入网络就会导致运营商无法正常开展业务。

产生以上安全威胁的原因在于安全代理与安全策略服务器之间的通信并没有进行机密性和完整性保护。虽然3G系统中移动终端和网络访问控制设备之间已经进行了机密性和完整性保护，但是网络访问控制设备对从移动终端传送过来的密文即进行解密，然后以明文形式在核心网中传送，这个过程中安全代理模块所上报的信息完全裸露在通信网络中，没有任何安全措施，构成了上述的安全威胁。

发明内容

为克服上述缺陷，本发明的目的在于提供一种安全等级较高的移动终端准入控制的方法。

为达到上述发明目的，本发明移动终端准入控制的方法包括以下步骤：

(1)移动终端将加密后的安全状态信息通过网络访问控制设备转发给安全策略服务器；

(2)安全策略服务器将收到的安全状态信息解密，并依据该解密后的安全状态信息生成安全策略；

(3)安全策略服务器将生成的安全策略发送给网络访问控制设备，网络访问控制设备利用该安全策略对移动终端进行准入控制。

其中，所述的步骤(1)具体为：

(11)移动终端上的安全代理模块和安全策略服务器进行密钥协商获得密钥，并进行算法协商获得算法；

(12)安全代理模块收集安全状态信息，并利用密钥协商获得的密钥和算法协商获得的算法对该安全状态信息进行加密；

(13)安全代理模块将加密后的安全状态信息发送给网络访问控制设备，并在所述加密后的安全状态信息的特定位置设置标志以表明所述加密后的安全状态信息是发送给安全策略服务器的安全状态信息的密文；

(14)网络访问控制设备将该加密后的安全状态信息转发给安全策略服务器。

其中，所述的步骤(2)具体为：

(21)安全策略服务器利用密钥协商获得的密钥和算法协商获得的算法，对加密后的安全状态信息进行解密；

(22)安全策略服务器通过解密后的安全状态信息对移动终端进行安全评估，并根据安全评估结果生成移动终端的安全策略。

其中，所述步骤(3)中的准入控制包括：控制接入网络的权限和控制访问网络的权限。

其中，所述的安全策略包括：允许策略、警告策略、隔离策略和拒绝策略。

其中，所述的网络访问控制设备为无线网络控制器。

其中，所述的密钥包括机密性密钥和完整性密钥，所述的算法包括加密算法和解密算法。

由上述技术方案所描述的移动终端准入控制的方法在执行过程中，并不将安全状态信息在网络访问控制设备就解密，而是将该安全状态信息有网络访问控制设备转发到安全策略服务器后，再由安全策略服务器对其进行解密，这种方法使得安全状态信息在被安全策略服务器利用之前都处于加密状态，传输过程中没有可以被解密的安全漏洞，故而本发明所说的移动终端准入控制的方法是非常安全的。

附图说明

图1为本发明移动终端准入控制的方法所应用的通信系统中的模块示意图；

图2为本发明移动终端准入控制的方法的流程图。

具体实施方式

在现有的移动终端准入控制中，移动终端的安全状态信息在经过网络控制器时就被解密了，然后以明文形式传输到安全策略服务器，但实际上，对于移动终端上报的安全状态信息没有必要在网络访问控制设备处解密，而应该以密文形式传送到安全策略服务器再进行解密，这样安全性更高。基于以上的考虑，本发明提出了一种保护安全代理模块与安全策略服务器之间通信的方法。

如图1所示，本发明移动终端准入控制的方法所需要用到的实体模块如下：

1)安全代理模块：安装在移动终端上的模块，可以是软件，也可以是软件和硬件的结合。负责收集移动终端系统安全状态信息，这些安全状态信息包括操作系统信息、安装的软件、相关的补丁版本以及病毒库版本等。安全代理模块可以通过移动终端向移动网络访问控制设备发送安全状态消息。安全代理应该具有密钥协商和密码运算的能力。

2)网络访问控制设备：移动网络侧设备，负责转发移动终端安全状态信息；根据接收到的安全策略对移动终端执行相应的访问控制。

3)安全策略服务器：移动网络侧设备，负责对移动终端安全信息进行评估，并根据评估结果生成该移动终端网络的安全策略。安全策略服务器应该具有密钥协商和密码运算的能力。

本发明提出的移动终端准入控制的方法的思路如下：由安全代理模块和安全策略服务器首先进行密钥协商和算法协商，得到机密性密钥、完整性的密钥、以及相应算法，其中密钥协商和算法协商的协议可由通信系统预先指定，然后安全代理模块将需要传送给安全策略服务器的安全状态信息用密钥加密，然后传送到网络访问控制设备，网络访问控制设备再将密文直接转发给安全策略服务器，安全策略服务器用密钥将该加密过的安全状态信息解密后得到移动终端的安全状态信息，根据此安全状态信息做出评估，并根据评估结果制定与该移动终端相对应的安全策略，将安全策略传送给网络访问控制设备，最后网络访问控制设备根据此安全策略控制该移动终端接入网络和访问网络的权限。

上述的移动终端准入控制的方法在执行过程中，并不将安全状态信息在网络访问控制设备就解密，而是将该安全状态信息有网络访问控制设备转发到安全策略服务器后，由安全策略服务器对其进行解密，这种方法使得安全状态信息在被安全策略服务器利用之前都处于加密状态，传输过程中没有可以被解密的安全漏洞，故而本发明所说的移动终端准入控制的方法是非常安全的。

另外需要说明的是，本发明移动终端准入控制的方法所述的移动终端、网络访问控制设备以及安全策略服务器三者之间的通信是在移动终端与移动网络之间完成基于现有公开技术的双向身份认证之后进行的。这里所说的双向身份认证主要包括：该移动终端是否有允许接入的合法用户标志，也就是用户号码；该移动终端是否有足够的话费余额；该移动终端通讯信号是否满足服务质量要求，也就是信号强度是否足够；只有同事拥有用户号码、足够话费余额和足够的信号强度才能通过双向身份认证。

完成上述的双向身份认证之后，移动终端、网络访问控制设备以及安全策略服务器三者之间的通信即可进行，本发明移动终端准入控制的方法要能够在系统中运行，具体包括以下步骤：

1、安装在移动终端的安全代理模块向安全策略服务器发起密钥协商请求，如果机密性算法和完整性算法不是由通信系统预先指定的，则要同时包含算法协商请求。由于移动终端和网络访问控制设备之间已经签署了密钥协议，为了保证所述密钥协商请求信息和算法协商请求信息的安全，所述的请求信息都需要利用已签署的密钥协已加密，并经过网络访问控制设备转发给安全策略服务器。

2、安全策略服务器接收到密钥协商请求信息和算法协商请求信息后，采用标准的或非标准的密钥协商协议和算法协商协议，在安全代理模块与安全策略服务器之间进行密钥协商和算法协商，得到机密性密钥、完整性密钥和相对应的算法，该算法主要包括相适应的加密算法和解密算法，以便安全策略服务器能顺利解密安全代理模块加密的信息。

3、安全代理模块事先收集好该移动终端的安全状态信息，这些安全状态信息包括移动终端所使用的操作系统信息、病毒库版本信息、操作系统上所安装的软件以及软件的相关补丁版本信息等，这些信息都在不同层面反映移动终端所处的安全状态。

4、安全代理模块将移动终端收集的安全状态信息用与安全策略服务器协商好的密钥进行机密性和完整性保护后，发送给网络访问控制设备，这里所用的加密算法是由上面通过协商的算法或者是由通信系统预先指定的算法。

5、网络访问控制设备直接将其按照接收到的状态转发给安全策略服务器，这个过程中不改变安全状态信息所处的加密状态。

6、安全策略服务器根据接收到的该终端的安全状态信息密文(经过加密后的信息)，解密后得到明文(被解密后的信息)，利用明文对该移动终端所处的安全状态进行评估，并根据该移动终端的安全评估结果，生成该移动终端的安全策略。

7、安全策略服务器将生成的安全策略发送给网络访问控制设备。

8、网络访问控制设备根据接收到的该移动终端的安全策略，实施对该移动终端的准入控制，主要包括对该移动终端的接入和访问权限的控制。

这样就完成了一个安全的移动终端准入控制流程，在该流程中移动终端的安全状态信息只能由安全策略服务器进行解密，其它的设备无法对该安全状态信息操作，确保了安全状态信息不会被截取和篡改，有效地防止了病毒的入侵。

本发明可以运用在很多移动通信系统中，不仅包括现在国内普遍使用的GSM网络，CDMA网络等，还包括现在正在开发得第三代移动通信中的三大主流网络：CDMA2000、WCDMA和TD-SCDMA等，下面以WCDMA为例，结合附图说明本发明的具体实施方式。

这里以WCDMA R4(宽带码分多址第4版)移动通信系统的PS(分组交换)域为例。如图2所示，移动终端(UE)上安装了安全代理模块(以下简称SA)，网络访问控制设备用的是RNC(无线网络控制器)，网络系统中需要部署安全策略服务器(以下简称SPS)，SPS可以直接与RNC连接并通信，也可以通过其它网元(例如SGSN：服务GPRS支持节点)连接RNC并通信。在移动终端与网络侧完成双向身份认证后，UE与RNC之间已经协商好机密性密钥CK和完整性密钥IK。随后，UE中的SA将与SPS进行通信。具体流程如下：

(1)安装在移动终端的安全代理模块SA向安全策略服务器SPS发送密钥协商和算法协商请求消息，该请求消息由UE和RNC之间协商好的CK、IK进行保护，防止请求消息被攻击，经过RNC解密后发送给SPS。

(2)SPS收到密钥协商和算法协商请求消息后，在SA与SPS之间采用标准的或非标准的密钥协商协议和算法协商协议，进行密钥和算法协商，得到SA与SPS之间的机密性密钥CK_s和完整性密钥IK_s，以及相对应的加密和解密算法。上述所采用的密钥协商协议和算法协商协议可以由通信系统预先指定。

(3)SA收集好该移动终端UE的所有安全状态信息，这些安全状态信息包括移动终端上所使用的操作系统信息、移动终端所使用的病毒库版本信息、该操作系统上所安装的软件信息以及相关补丁版本信息等。

(4)SA将这些安全状态信息用密钥CK_s和相应的加密算法进行加密，并将加密后的密文用密钥IK_s和相应算法计算消息验证码(MAC)，从而对安全状态信息进行机密性和完整性保护，并在该消息特定位置设置标志以表明该消息是发送给安全策略服务器的安全状态信息的密文，然后发送给RNC。

(5)RNC接收到该加密后的安全状态信息，检查标志，确认标志后将其直接发送给SPS。RNC不需要也无法解密该信息，提高了安全状态信息传送过程中的安全性。

(6)SPS接收到该终端的安全状态信息密文，首先用密钥CK_s和相应算法解密，得到安全状态信息明文，然后用密钥IK_s和相应算法计算消息验证码(xMAC)，并与MAC进行比较，如果一致则表示消息是完整的，验证通过。

(7)SPS根据该移动终端的安全状态信息对该移动终端的安全状态进行评估，并根据评估结果生成该终端的安全策略。该安全策略可以包括允许策略、警告策略、隔离策略、拒绝策略等，移动通信系统可以根据实际需求详细定义这些策略。

(8)SPS将生成的安全策略发送给RNC。

(9)RNC根据该移动终端的安全策略，实施对该移动终端的准入控制。如果该移动终端安全信息符合系统的要求，则允许移动终端接入移动网络，并完全使用网络资源；如果该移动终端具有不太严重的安全隐患(如病毒库版本没有升级到最新版本)，则允许接入移动网络，但同时会向移动终端发送相关安全警告信息，建议终端进行更新或升级；如果该移动终端存在严重安全问题，则只允许使用基本的移动语音业务，不允许数据业务等其他业务使用；如果该移动终端可能对移动网络造成严重安全威胁，则拒绝该移动终端的接入。

经过执行上述步骤后，所有的移动终端在接入移动通信息同时都需要进行安全验证，并且这个安全验证过程中，其他设备无法窃取验证信息，即使被窃取了也无法在安全策略控制器生成安全策略以前解密，确保了所有接入移动通信系统的移动终端都不会对移动通信系统造成安全危害。

Claims

1.一种移动终端准入控制的方法，其特征在于：包括以下步骤：

(3)安全策略服务器将生成的安全策略发送给网络访问控制设备，网络访问控制设备利用该安全策略对移动终端进行准入控制，

所述的步骤(1)具体为：

2.按照权利要求1所述的移动终端准入控制的方法，其特征在于：所述的步骤(2)具体为：

3.按照权利要求1或2所述的移动终端准入控制的方法，其特征在于：所述步骤(3)中的准入控制包括：控制接入网络的权限和控制访问网络的权限。

4.按照权利要求1或2所述的移动终端准入控制的方法，其特征在于：所述的安全策略包括：允许策略、警告策略、隔离策略和拒绝策略。

5.按照权利要求1或2所述的移动终端准入控制的方法，其特征在于：所述的网络访问控制设备为无线网络控制器。

6.按照权利要求1或2所述的移动终端准入控制的方法，其特征在于：所述的密钥包括机密性密钥和完整性密钥，所述的算法包括加密算法和解密算法。