CN101199184A - 提供认证码的方法和装置 - Google Patents

提供认证码的方法和装置 Download PDF

Info

Publication number
CN101199184A
CN101199184A CNA2006800213675A CN200680021367A CN101199184A CN 101199184 A CN101199184 A CN 101199184A CN A2006800213675 A CNA2006800213675 A CN A2006800213675A CN 200680021367 A CN200680021367 A CN 200680021367A CN 101199184 A CN101199184 A CN 101199184A
Authority
CN
China
Prior art keywords
message
authentication code
authenticator
transport layer
frame
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2006800213675A
Other languages
English (en)
Other versions
CN101199184B (zh
Inventor
P·毛图斯
A·迈伦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of CN101199184A publication Critical patent/CN101199184A/zh
Application granted granted Critical
Publication of CN101199184B publication Critical patent/CN101199184B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

简要来讲，提供了一种方法和装置，其用于根据为通信信道的传输层上的帧所提供的消息认证码来对消息进行认证。

Description

提供认证码的方法和装置
背景技术
无线电话通信系统(例如，蜂窝通信系统)根据规范的公共标准进行操作。这些标准可以按代分类，例如，第一代(1G)、第二代(2G)、第三代(3G)等等。3G标准可以包括通用移动通信系统(UMTS)标准。如果需要，可将UMTS系统功能性地划分为三个主要部分：用户设备(UE)、UMTS陆地无线接入网(UTRAN)以及核心网(CN)。如果需要，UE可包括一个或多个用户的移动终端，其可称为移动设备(ME)；UTRAN能够处理所有无线相关的功能；以及CN能够对连到外部网络的呼叫和数据连接进行交换和路由。
某些系统单元(例如，UTRAN和CN)可以通过接口而可操作地相连。这些接口可以包括物理链路，例如，在难以控制的公共区域和/或网络基础设施上延伸的租用线路。可能无法通过认证和完整性手段来充分地保护在某些接口上可用的用户数据和某些UMTS信令帧。
附图说明
在说明书的结论部分特别指出并明确地要求保护本发明的主题。但是，通过参照附图阅读以下详细描述，可以最好地理解本发明的结构和操作方法及其目的、特征和优点，在附图中：
图1是根据本发明一个示例性实施例的无线通信系统的示意图；
图2是根据本发明一些示例性实施例的网络处理器框图的示意图；
图3是消息帧的示意图，其用于描述根据本发明至少一个示例性实施例的认证方法；以及
图4是消息帧的示意图，其用于描述根据本发明至少另一个示例性实施例的认证方法。
应当理解，为了视图的简洁和清楚，图中所示的部件并不必按比例绘制。例如，为了清楚，某些部件的尺寸可能相对于其它部件而被放大。此外，在附图中适当的地方可能重复使用参考标号，以指示相应或类似的部件。
具体实施方式
在下面的详细描述中，叙述了很多具体细节，以便提供对本发明的全面理解。但是，本领域技术人员将会理解，本发明可以在不具有这些具体细节的情况下得以实现。在其它实例中，为了防止使本发明变得不够明确，未对公知的方法、过程、组件和电路进行详细描述。
根据对计算机存储器内的数据比特或二进制数字信号的操作的算法和符号表示来提出以下详细描述的某些部分。这些算法描述和表示可以是数据处理领域中的技术人员向本领域其他技术人员传达其工作本质所用的技术。
从下面的讨论中可以清楚地看出，除非特别声明，应当理解，在说明书的讨论中，使用例如“处理”、“计算”、“运算”、“确定”、“建立”、“发送”、“交换”等术语来表明计算机或计算系统或者类似的电子计算设备的操作和/或处理，其用于控制被表示为计算系统的寄存器和/或存储器内的物理(例如，电)量的数据，并且将这些数据变换成被类似地表示为计算系统的存储器、寄存器或其它这种信息存储介质内的物理量的其它数据，其中，如果需要，所述存储器、寄存器或信息存储介质可以存储用于执行操作和/或处理的指令。
本文所使用的术语“节点”可以指可对表示信息的信号进行处理的任意部件、模块、组件、板、设备或系统。例如，所述信号可以是电信号、光信号、声音信号、化学信号等。这些实施例并不局限于此。
需要注意，说明书中提及的“一个实施例”或“实施例”表示结合该实施例描述的特定特征、结构或特性被包括在至少一个实施例中。短语“在一个实施例中”在说明书中的不同地方的出现不一定都指同一个实施例。
应当理解，本发明可以在多种应用中使用。本文公开的电路和技术可以用在许多设备中，例如无线系统的网络节点和接口，但本发明并不局限于此。涵盖在本发明范围内的蜂窝无线电话系统的类型包括但不限于：用于发送和接收扩频信号的码分多址(CDMA)和宽带CDMA(WCDMA)蜂窝无线电话便携设备、全球移动通信系统(GSM)蜂窝无线电话、通用分组无线业务(GPRS)、扩展的GPRS等等。
首先参见图1，其示出了无线通信系统100，例如蜂窝通信系统。示例性的蜂窝通信系统100可以包括由ITU 3GPP/UMTS标准定义的一些组件，但本发明的范围并不局限于此。根据本发明的一些实施例，蜂窝通信系统100可以包括多个单元，例如UE 110、UTRAN 120、CN 130、互联网140和公共交换电话网(PSTN)150。根据本发明的这个实施例，如果需要，接口105、125和127可被用于耦合蜂窝通信系统100的单元110、120和130。如果需要，接口105可被用于将UE 110可操作地耦合到UTRAN 120；接口125(其可以是分组交换业务(PST)接口)可被用于在UTRAN 120、CN 130、互联网140和/或PSTN 150之间传输数据；以及接口127(其可以是电路交换业务(CST)接口)可被用于传输例如来自/发往CN 130和/或PSTN 150的语音。
在操作期间，蜂窝通信系统100能够通过接口105、125和127，将语音和数据从至少一个ME 103传输到互联网140和/或PSTN 150，或者将语音和数据从互联网140和/或PSTN 150传输到至少一个ME103。UTRAN 120可以包括一个或多个无线网络控制器(RNC)170以及网络节点160(例如，节点B)。根据本发明的一些示例性实施例，RNC 170能够管理和/或传送在网络部件之间交换的数据，其中可以用数据帧的形式通过接口105、125和127来传递这些数据。此外，如果需要，RNC 170能够对语音和数据消息进行认证，并且在传输层(例如，通信信道最底层的传输层)上传送经过认证的语音和数据消息。
根据本发明的一些实施例，ME 103能够从蜂窝通信系统单元接收经过认证的消息。此外，一些ME还能够对经过认证的消息进行反认证(de-authenticating)，而其它一些ME则不能对经过认证的消息进行反认证。
根据本发明的实施例，传输层可以是通信信道的最底层。可以通过传输层协议(例如，异步传输模式ATM、网际协议(IP)等)来传送消息。
根据本发明的一些实施例，消息认证码(MAC)可以在传输层(例如，最底层的通信层)上进行传送，并且可被用于对较高通信层的消息进行认证。网络节点和/或其它通信系统单元可以提供认证密钥，以对较高层的消息进行认证，但本发明的范围绝不局限于此。
参见图2，其示出了根据本发明一些示例性实施例的网络处理器200的示意性框图的视图。网络处理器200可以可操作地耦合到通信信道280和290，但本发明的范围并不局限于此。通信(COMM)信道280可以包括一个或多个通信层285。通信信道290可以包括一个或多个通信层，传输(TR)层295可以是通信信道290的最底层。
根据本发明的这个示例性实施例，网络处理器200可以包括认证器210，该认证器210用于对从一个或多个通信层285接收的语音和/或数据消息进行认证。认证器210可以向发射机(TX)230提供经过认证的消息，例如消息220。如果需要，TX 230可以将经过认证的消息发送到通信信道290的传输层295。密钥生成器240可以向认证器210提供密钥。认证器210可以根据该密钥向消息220的至少一个帧提供消息认证码(MAC)。应当理解，认证器210可以使用本领域公知的任意MAC来对消息220进行认证。
网络处理器200可以包括接收机(RX)250，RX250可以从传输层295接收经过认证的消息，但本发明的范围并不局限于此。如果需要，反认证器260可以根据密钥265对经过认证的消息进行反认证。反认证器260可以向通信层285提供经过反认证的消息，例如经过反认证的消息270。
应当理解，在本发明的一些实施例中，RNC(例如，图1的RNC170)可以包括网络处理器200，但本发明的范围并不局限于此。例如，RNC可以包括用于对语音和数据消息进行加密的加密/解密单元(未显示)。此外，还应当理解，网络处理器200的功能可以用硬件、软件或者硬件和/或软件的任意组合来实现。此外，在本发明的实施例中，如果需要，网络处理器200可以嵌在一个或多个网络节点或者任意其它网络单元中。
参见图3，其示出消息帧300的示意图，其用于描述根据本发明至少一个示例性实施例的认证方法。根据本发明的一个示例性实施例，帧300可以是GPRS隧道协议用户(GPT-U)的帧，其可由PST接口(例如，图1的PST接口125)进行传输。例如，帧300可以包括GTP-U头部310、MAC头部类型320、MAC头部长度330、MAC340、头部类型350和数据分组360。
根据本发明的一些实施例，支持MAC的设备可以接收帧300以及根据MAC 340对数据分组360进行认证。如果需要，不支持MAC的设备可以忽略帧300中与MAC相关的字段。根据本发明的一些实施例，MAC 340可以包括任意认证和完整性保护算法，例如，Kasumif9、密钥-散列消息认证码-消息摘要版本5(HMC-MD5：Keyed-Hashing for message authentication code-message digest version 5)、HMAC-安全散列算法(HMAC-SHA：HMAC-Secured hash algorithm)等等。
根据本发明的一些实施例，如果需要，网络节点(例如，图1的节点B)和/或RNC(例如，图1的RNC 170)可以使用一个认证密钥和/或一组密钥来为所发送的消息创建MAC，并且可以对从其它网络部件接收到的消息中的MAC进行验证。例如，如果MAC验证失败，则可将当前验证的帧(例如，帧300)视为未经认证和/或修改，因而不作进一步处理。
参见图4，其示出消息帧400的示意图，其用于描述根据本发明至少一个其它示例性实施例的认证方法。如果需要，帧400可以在CST接口(例如，图1的CST接口127)上使用，并且可以承载UTRAN用户协议(UP)。根据本发明的这个示例性实施例，帧400可以包括帧控制部分410、帧校验和部分420、帧有效载荷字段430和MAC 440。
根据本发明的这个实施例，不支持MAC的网络节点(例如，图1的节点B160)可以忽略帧400的MAC 440。相比之下，支持MAC的网络节点可以使用MAC 440来对例如包括头部在内的帧400的字段(例如，所有字段)进行认证，但本发明的范围绝不局限于此。
虽然本文示出并描述了本发明的特定特征，但本领域技术人员将可以获知许多修改、替换、变化和等同物。因此，应当理解，所附权利要求旨在涵盖落入本发明的实质精神之内的所有修改和变化。

Claims (20)

1.一种装置，包括：
认证器，用于向帧的头部扩展提供消息认证码；以及发射机，用于在通信信道的传输层上发送包括所述帧的消息。
2.如权利要求1的装置，包括：
认证密钥生成器，用于提供认证密钥，
其中，所述认证器能够根据所述认证密钥对消息进行认证。
3.如权利要求1的装置，其中，所述消息包括经过认证的数据分组。
4.如权利要求1的装置，其中，所述发射机能够在高于所述传输层的一个或多个层上发送消息，并且其中，所述认证器能够根据在所述传输层上接收到的所述消息认证码来对消息进行认证。
5.如权利要求1的装置，其中，所述认证器能够为所述帧提供：
消息认证码头部类型；
消息认证码头部长度；以及
所述消息认证码。
6.如权利要求1的装置，该装置是网络处理器。
7.一种方法，包括：
根据与消息帧的头部扩展一起接收到的消息认证码，对所述消息进行认证；以及
在通信信道的传输层上发送所述经过认证的消息。
8.如权利要求7的方法，其中，认证操作包括：
根据认证密钥对所述消息进行认证。
9.如权利要求7的方法，包括：
根据所述经过认证的消息的消息认证码，对其它消息进行认证；以及
在高于所述传输层的一个或多个层上发送所述其它认证消息。
10.一种蜂窝通信系统，包括：
无线网络控制器，其具有网络处理器，其中，所述网络处理器包括：
认证器，用于向帧的头部扩展提供消息认证码；以及
发射机，用于在通信信道的传输层上发送包括所述帧的消息。
11.如权利要求10的蜂窝通信系统，其中，所述网络处理器包括：
认证密钥生成器，用于提供认证密钥，
其中，所述认证器能够根据所述认证密钥对消息进行认证。
12.如权利要求10的蜂窝通信系统，其中，所述消息包括经过认证的数据分组。
13.如权利要求10的蜂窝通信系统，其中，所述发射机能够在高于所述传输层的一个或多个层上发送消息，并且其中，所述认证器能够根据在所述传输层上接收到的所述消息认证码，对消息进行认证。
14.如权利要求10的蜂窝通信系统，其中，所述认证器能够为所述帧提供：
消息认证码头部类型；
消息认证码头部长度；以及
所述消息认证码。
15.如权利要求10的蜂窝通信系统，包括：
移动设备，其能够接收所述经过认证的消息。
16.如权利要求10的蜂窝通信系统，包括：
接口，其耦合在所述蜂窝通信系统的一个或多个单元之间。
17.一种无线网络控制器，包括：
网络处理器，其包括：
认证器，用于向帧的头部扩展提供消息认证码；以及发射机，用于在通信信道的传输层上发送包括所述帧的消息。
18.如权利要求17的无线网络控制器，其中，所述网络处理器包括：
认证密钥生成器，用于提供认证密钥，
其中，所述认证器能够根据所述认证密钥提供经过认证的消息。
19.如权利要求17的无线网络控制器，其中，所述发射机能够在高于所述传输层的一个或多个层上发送消息，并且其中，所述认证器能够根据在所述传输层上接收到的所述消息认证码，对消息进行认证。
20.如权利要求17的无线网络控制器，其中，认证器能够为所述帧提供：
消息认证码头部类型；
消息认证码头部长度；以及
所述消息认证码。
CN200680021367.5A 2005-06-28 2006-06-28 提供认证码的方法和装置 Expired - Fee Related CN101199184B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US11/167,125 2005-06-28
US11/167,125 US7681031B2 (en) 2005-06-28 2005-06-28 Method and apparatus to provide authentication code
PCT/US2006/025914 WO2007002936A1 (en) 2005-06-28 2006-06-28 Method and apparatus to provide authentication code

Publications (2)

Publication Number Publication Date
CN101199184A true CN101199184A (zh) 2008-06-11
CN101199184B CN101199184B (zh) 2015-12-02

Family

ID=37072952

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200680021367.5A Expired - Fee Related CN101199184B (zh) 2005-06-28 2006-06-28 提供认证码的方法和装置

Country Status (5)

Country Link
US (1) US7681031B2 (zh)
CN (1) CN101199184B (zh)
DE (1) DE112006001707T5 (zh)
GB (1) GB2439893B (zh)
WO (1) WO2007002936A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018228365A1 (zh) * 2017-06-15 2018-12-20 维沃移动通信有限公司 数据无线承载完整性保护配置方法、终端及网络设备
CN113366800A (zh) * 2019-01-29 2021-09-07 谷歌有限责任公司 用具有不同长度的消息认证码的完整性保护

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7869590B2 (en) * 2005-04-12 2011-01-11 Broadcom Corporation Method and system for hardware accelerator for implementing f9 integrity algorithm in WCDMA compliant handsets
US7752449B1 (en) * 2006-02-22 2010-07-06 Avaya, Inc. System and method for generating a non-repudiatable record of a data stream
WO2008051458A2 (en) * 2006-10-20 2008-05-02 Interdigital Technology Corporation Method and apparatus for self configuration of lte e-node bs
TWI599259B (zh) 2006-12-27 2017-09-11 無線創新信號信託公司 基地台自行配置方法及裝置
WO2009156302A1 (en) * 2008-06-23 2009-12-30 Nxp B.V. Electronic device and method of software or firmware updating of an electronic device

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB0004178D0 (en) 2000-02-22 2000-04-12 Nokia Networks Oy Integrity check in a communication system
EP1356653B1 (en) * 2001-01-24 2011-07-20 Broadcom Corporation Method for processing multiple security policies applied to a data packet structure
CN100373845C (zh) * 2002-05-02 2008-03-05 中兴通讯股份有限公司 一种在会话发起协议网络中对终端进行认证及鉴权的方法
WO2009018512A1 (en) * 2007-08-02 2009-02-05 Imagineer Software, Inc. Systems and methods for implementing a mutating transport layer security protocol

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018228365A1 (zh) * 2017-06-15 2018-12-20 维沃移动通信有限公司 数据无线承载完整性保护配置方法、终端及网络设备
US11405785B2 (en) 2017-06-15 2022-08-02 Vivo Mobile Communication Co., Ltd. Data radio bearer integrity protection configuration method, user equipment and network device
CN113366800A (zh) * 2019-01-29 2021-09-07 谷歌有限责任公司 用具有不同长度的消息认证码的完整性保护
US11917410B2 (en) 2019-01-29 2024-02-27 Google Llc Integrity protection with message authentication codes having different lengths

Also Published As

Publication number Publication date
CN101199184B (zh) 2015-12-02
US20060294361A1 (en) 2006-12-28
GB2439893B (en) 2010-12-08
US7681031B2 (en) 2010-03-16
WO2007002936A1 (en) 2007-01-04
DE112006001707T5 (de) 2008-05-15
GB0721289D0 (en) 2007-12-12
GB2439893A (en) 2008-01-09

Similar Documents

Publication Publication Date Title
US8832449B2 (en) Security considerations for the LTE of UMTS
US8472628B2 (en) Method of handling security key change and related communication device
US7471943B2 (en) Method for processing a security setup control message in mobile communication system
CN1193641C (zh) 尤其用于无线电帧的计数器初始化
CN101836470B (zh) 用于启用lte移动单元中非接入层(nas)安全性的方法和设备
CN101232731B (zh) 用于ue从utran切换到eutran的密钥生成方法和系统
CN102916808B (zh) 电信系统中的方法和设备
CN100393144C (zh) 检验发送数据量的方法
CN1835436B (zh) 一种通用鉴权网络及一种实现鉴权的方法
CN101199184B (zh) 提供认证码的方法和装置
CN101406024A (zh) Umts的lte的安全考量
CN101163003A (zh) Sim卡使用umts终端和umts系统时终端认证网络的系统和方法
JP4634445B2 (ja) Ｉ−ｗｌａｎの一時アイデンティティを記憶する方法及びシステム
CN100571460C (zh) 安全漫游的方法和装置
US20080176572A1 (en) Method of handoff
CN101207463A (zh) 无线通信系统修复协议错误的方法及其相关装置
CN113038467B (zh) 一种事件信息上报方法及通信装置
CN103945379B (zh) 一种在接入网中实现接入认证和数据通信的方法
KR20080053230A (ko) 무선통신시스템에서 재정렬을 처리하는 방법 및 장치
CN101635993B (zh) 在无线通信用户设备中进行加密的设备和方法
Dai et al. Mobile Technology Security Concerns and NESAS as a Solution
CN101088246A (zh) 用于传送消息的系统、终端、方法、和软件
WO2023241899A1 (en) Apparatus, method and computer program for privacy protection of subscription identifiers
Hassan et al. Comprehensive Analysis of UMTS Authentication and Key Agreement
CN105357658A (zh) 用户信息存储方法和装置及用户设备认证方法和装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20151202

Termination date: 20180628

CF01 Termination of patent right due to non-payment of annual fee