CN101247630B - 实现多媒体广播业务密钥协商的系统及方法 - Google Patents

Abstract

本发明涉及一种实现多媒体广播业务密钥协商的系统及方法，该系统包括2G网络接入模块、多媒体广播业务控制模块及鉴权运算模块，通过该系统，2G终端用户实现了以五元组鉴权方式进行多媒体广播业务密钥协商，更有效地保障了2G通信网络系统中多媒体广播业务的安全。该方法包括：2G终端用户通过2G鉴权方式接入网络侧，并建立GPRS连接后，通过多媒体广播业务客户端向网络侧发送多媒体广播业务鉴权请求消息；网络侧根据多媒体广播业务鉴权请求消息，通过五元组鉴权方式进行多媒体广播业务鉴权，网络侧和终端侧各生成多媒体广播业务的共享密钥。为2G通信网络系统中多媒体广播业务提供了更高的安全保障。

Description

实现多媒体广播业务密钥协商的系统及方法

技术领域

本发明涉及一种实现多媒体广播业务密钥协商的系统及方法，尤其涉及一种在2G通信网络系统中实现多媒体广播业务密钥协商的系统及方法。 

背景技术

随着移动通信技术的迅速发展，出现了融合多媒体广播业务与移动通信技术的移动多媒体广播业务，如手机电视业务。移动终端要播放电视节目，首先要接入移动通信网络系统，再通过多媒体广播业务密钥协商，得到共享密钥，进而生成用户密钥，解密移动通信网络系统发送的业务密钥，得到节目流密钥，对节目流进行解密，从而打开节目流进行播放。 

目前，2G通信网络系统中的多媒体广播业务密钥协商方法主要是通过2G终端用户通过三元组鉴权方式接入网络后，通过多媒体广播业务客户端向多媒体广播业务平台发出多媒体广播业务鉴权请求，多媒体广播业务平台对2G终端用户以三元组鉴权方式进行多媒体广播业务鉴权，鉴权成功后，多媒体广播业务平台及2G终端用户均根据三元组鉴权方式生成的鉴权元组信息，通过2G多媒体广播业务鉴权算法生成网络侧的共享密钥、终端侧的共享密钥。 

3G通信网络系统中的多媒体广播业务密钥协商方法主要是通过3G终端用户通过五元组鉴权方式接入网络后，通过多媒体广播业务客户端向多媒体广播业务平台发出多媒体广播业务鉴权请求，多媒体广播业务平台对3G终端用户以五元组鉴权方式进行多媒体广播业务鉴权，鉴权成功后，多媒体广播业务平台及3G终端用户均根据五元组鉴权方式生成的鉴权元组信息，通过3G多媒体广播业务鉴权算法生成网络侧的共享密钥、终端侧的共享密钥。 

现有技术存在的问题在于，在2G通信网络系统中通过三元组鉴权方式进行多媒体广播业务鉴权，仅仅在网络侧进行单向安全认证，并且2G鉴权算法安全性低，对于2G终端用户而言，安全性得不到保障。在3G通信网络系统中实现多媒体广播业务，虽然安全得到了有效保障，但是对于2G终端用户及2G通信网络系统而言，却不能使用3G多媒体广播业务鉴权方式。 

发明内容

本发明的目的在于针对现有技术存在的问题提出一种实现多媒体广播业务密钥协商的系统及方法，以解决2G通信网络系统中多媒体广播业务密钥协商的安全问题。 

为实现上述目的，本发明提供了一种实现多媒体广播业务密钥协商的系统，包括2G网络接入模块、多媒体广播业务控制模块及鉴权运算模块，其中，2G网络接入模块用于根据2G终端用户发送的接入鉴权请求消息发出获取所述2G终端用户三元鉴权元组信息的请求，进行接入鉴权，接入所述2G终端用户；并根据所述2G终端用户发送的GPRS鉴权请求消息发出获取所述2G终端用户三元鉴权元组信息的请求，进行GPRS鉴权，建立GPRS连接；其中，所述2G终端中插有USIM卡或ISIM卡，所述2G终端通过所述USIM卡或ISIM卡进行三元组鉴权运算以使所述2G网络接入模块进行接入鉴权和GPRS鉴权；多媒体广播业务控制模块用于根据所述2G网络接入模块接入的2G终端用户发送的多媒体广播业务鉴权请求消息，发出获取所述2G终端用户的五元鉴权元组信息的请求，并根据获取的五元鉴权元组信息进行广播业务鉴权，采用3G多媒体广播业务鉴权算法生成共享密钥；其中，所述2G终端通过所述USIM卡或ISIM卡进行五元组鉴权运算以使所述多媒体广播业务控制模块进行多媒体广播业务鉴权；鉴权运算模块用于根据所述2G网络接入模块或多媒体广播业务控制模块发出的请求进行相应的鉴权运算，生成三元鉴权元组信息或五元鉴权元组信息，并提供给所述2G网络接入模块或多媒体广播业务控制模块。 

通过上述系统，2G终端用户实现了以五元组鉴权方式进行多媒体广播业务密钥协商，更有效地保障了2G通信网络系统中多媒体广播业务的安全。 

为实现上述目的，本发明还提供了一种实现多媒体广播业务密钥协商 的方法，包括： 

步骤1、2G终端用户通过2G鉴权方式接入网络侧，并建立GPRS连接后，通过多媒体广播业务客户端向网络侧发送多媒体广播业务鉴权请求消息；其中，所述2G终端中插有USIM卡或ISIM卡，所述2G终端通过所述USIM卡或ISIM卡进行三元组接入鉴权和GPRS鉴权； 

步骤2、所述网络侧根据所述多媒体广播业务鉴权请求消息，通过五元组鉴权方式对所述2G终端用户进行多媒体广播业务鉴权，鉴权成功后，根据通过所述五元组鉴权方式得到的鉴权元组信息生成多媒体广播业务的共享密钥；然后向所述2G终端返回多媒体广播业务鉴权成功响应消息；其中，所述2G终端通过所述USIM卡或ISIM卡进行五元组多媒体广播业务鉴权； 

步骤3、所述2G终端用户根据通过所述五元组鉴权方式得到的鉴权元组信息生成与所述网络侧相同的共享密钥。 

通过上述方法，2G终端用户可通过五元组鉴权方式与网络侧进行多媒体广播业务密钥协商，为2G通信网络系统中多媒体广播业务提供了更高的安全保障。 

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。 

附图说明

图1为本发明实现多媒体广播业务密钥协商的系统较佳实施例的结构示意图； 

图2为本发明实现多媒体广播业务密钥协商的方法较佳实施例的流程图。 

具体实施方式

本发明适用于支持并且插有基于通用集成电路卡片(UniversalIntegrated Circuit Card，以下简称UICC)平台的通用用户身份识别模块(Universal Subscriber Identity Module，以下简称USIM)卡及IP多媒体业务身份识别模块(IP Multimedia Services Identity Module， 以下简称ISIM)卡的2G终端，该2G终端还支持多媒体广播业务模式的鉴权命令。2G终端中插入USIM卡或ISIM卡后，成为具有唯一身份的2G终端用户。这样，该2G终端用户既支持三元组鉴权运算又支持五元组鉴权运算。同时，网络侧存储有通过五元组鉴权运算生成的该2G终端用户的五元鉴权元组：随机数(RAND)、预期的响应数(XRES)、鉴权密钥(CK)、完整性密钥(IK)及鉴权令牌(AUTN)。并且，该2G终端用户还需要安装多媒体广播业务软件，在终端侧建立多媒体广播业务客户端后，才能向网络侧请求多媒体广播业务鉴权。 

图1为本发明实现多媒体广播业务密钥协商的系统较佳实施例的结构示意图，实现多媒体广播业务密钥协商的系统S包括2G网络接入模块S1、多媒体广播业务控制模块S2及鉴权运算模块S3。2G终端用户UE通过基站BSS向2G网络接入模块S1发送接入鉴权请求消息，2G网络接入模块S1根据接入鉴权请求消息，向鉴权运算模块S3发出获取2G终端用户UE的三元鉴权元组信息的请求，由于2G网络接入模块S1属于2G网元设备，因此，鉴权运算模块S3根据存储的2G终端用户UE的身份信息如国际移动服务器标识(International Mobile Server Identity，以下简称IMSI)，将经过五元组鉴权运算得到的2G终端用户UE的五元鉴权元组RAND、XRES、CK、IK及AUTN转换为三元鉴权元组RAND、响应数(SRES)、加密密钥(Kc)，发送给2G网络接入模块S1。2G网络接入模块S1进行接入鉴权并接入2G终端用户，具体为： 

2G网络接入模块S1将RAND发送给2G终端用户UE； 

2G终端用户UE中的USIM卡或ISIM卡根据接收到的RAND进行三元组鉴权运算，得到响应RES，发送给2G网络接入模块S1； 

2G网络接入模块S1比较SRES与2G终端用户UE发送的响应RES，若二者相等，表示鉴权成功，2G网络接入模块S1向2G终端用户UE返回接入鉴权成功消息，2G终端用户UE接入网络。 

接入网络的2G终端用户UE要进行多媒体广播业务密钥协商，还要向网络侧发送GPRS鉴权请求，建立GPRS连接。具体为： 

2G网络接入模块S1根据2G终端用户发送的GPRS鉴权请求消息，向鉴权运算模块S3发出获取2G终端用户UE三元鉴权元组信息的请求； 

鉴权运算模块S3同样将2G终端用户UE的五元鉴权元组RAND、XRES、CK、IK及AUTN转换为三元鉴权元组RAND、SRES、Kc，发送给2G网络接入模块S1； 

2G网络接入模块S1将RAND发送给2G终端用户UE； 

2G终端用户UE中的USIM卡或ISIM卡根据接收到的RAND进行三元组鉴权运算，得到响应RES，发送给2G网络接入模块S1； 

2G网络接入模块S1比较SRES与2G终端用户UE发送的响应RES，若二者相等，表示鉴权成功，2G网络接入模块S1向2G终端用户UE返回GPRS鉴权成功消息，建立GPRS连接。 

2G网络接入模块S1还具有GPRS支持节点(Serving GPRS SupportNode，以下简称SGSN)、网关GPRS支持接点(Gateway GPRS SupportingNode，以下简称GGSN)及无线应用协议(Wireless Application Protocol，以下简称WAP)网关的功能，建立GPRS连接的2G终端用户UE可通过多媒体广播业务客户端，将多媒体广播业务鉴权请求消息发送给2G网络接入模块S1，2G网络接入模块S1通过SGSN、GGSN及WAP网关再发送给多媒体广播业务控制模块S2。 

多媒体广播业务控制模块S2接收到多媒体广播业务鉴权请求消息后，向鉴权运算模块S3发送五元鉴权元组请求消息，该五元鉴权元组请求消息中包含2G终端用户UE的用户标识IMSI。鉴权运算模块S3根据用户标识IMSI查找用户鉴权密钥Ki或K，进行五元组鉴权运算，生成五元鉴权元组RAND、XRES、CK、IK及AUTN，并返回给多媒体广播业务控制模块S2。多媒体广播业务控制模块S2根据AUTN得到AUTN*，并向2G终端用户UE 返回RAND和AUTN*。2G终端用户UE接收到RAND和AUTN*后，2G终端用户UE中的USIM卡或ISIM卡根据终端发送携带有RAND和AUTN*的鉴权命令，进行五元组鉴权运算。USIM卡或ISIM卡首先根据五元组鉴权运算得到的IK验证AUTN*的有效性，对网络侧进行验证，在AUTN*有效的情况下，继续运算得到RES、CK，提高了多媒体广播业务鉴权的安全性，并通过2G终端将RES发送给多媒体广播业务控制模块S2。多媒体广播业务控制模块S2判断2G终端用户UE发送的RES与鉴权运算模块S3发送的XRES是否相等，若相等，则鉴权成功，生成共享密钥(以下简称Ks)和引导业务标识(Bootstrapping Transaction Identifier，以下简称B-TID)。然后，多媒体广播业务控制模块S2将多媒体广播业务鉴权成功消息返回给2G终端用户UE，该多媒体广播业务鉴权成功消息中携带有B-TID、Ks的生命周期。2G终端用户UE接收到多媒体广播业务鉴权成功消息后，其2G终端向USIM卡或ISIM卡中写入B-TID、Ks的生命周期。USIM卡或ISIM卡根据通过五元组鉴权运算得到的CK和IK生成Ks，完成了多媒体广播业务密钥协商。 

2G网络接入模块可包括接入鉴权模块及通用无线分组业务(GeneralPacket Radio Service，以下简称GPRS)鉴权模块。接入鉴权模块用于对2G终端用户进行接入鉴权，可通过拜访位置寄存器(Visiting LocationRegister，以下简称VLR)来实现；GPRS鉴权模块用于对2G终端用户进行GPRS鉴权，可通过SGSN来实现。 

鉴权运算模块可以为归属位置寄存器(Home Location Register，以下简称HLR)或归属用户服务器(Home Subscriber Server，以下简称HSS)。 

图2为本发明实现多媒体广播业务密钥协商的方法较佳实施例的流程图，包括以下步骤： 

步骤101、2G终端用户通过2G鉴权方式接入网络侧，并建立GPRS连接后，通过多媒体广播业务客户端向网络侧发送多媒体广播业务鉴权请求 消息；具体包括以下三步： 

步骤1011、网络侧的2G网络接入模块首先根据2G终端发送的接入鉴权请求消息，以三元组鉴权方式对2G终端用户进行接入鉴权，鉴权成功，2G终端用户接入网络。 

步骤1012、2G终端用户接入网络后，2G网络接入模块根据2G终端用户发送的GPRS鉴权请求消息，以三元组鉴权方式对2G终端用户进行GPRS鉴权，鉴权成功后建立GPRS连接。 

步骤1013、2G终端用户通过安装的多媒体广播业务客户端向网络侧发送基于TCP/IP协议的多媒体广播业务鉴权请求消息，该消息携带有IMPI，如Bootstrapping_Register.REQ，网络侧通过2G网络接入模块将Bootstrapping_Register.REQ发送到多媒体广播业务控制模块； 

步骤102、多媒体广播业务控制模块根据Bootstrapping_Register.REQ，并通过五元组鉴权方式对2G终端用户进行多媒体广播业务鉴权，具体包括以下步骤： 

多媒体广播业务控制模块将IMPI映射为IMSI，向鉴权运算模块发送鉴权数据请求消息，请求五元鉴权元组，鉴权运算模块根据IMSI进行五元组鉴权运算，生成网络侧的五元鉴权元组，返回给多媒体广播业务控制模块，多媒体广播业务控制模块将其中的RAND及AUTN*通过Bootstrapping_Register.RES消息发送给2G终端用户； 

2G终端用户根据接收到的RAND及AUTN*进行五元组鉴权运算，验证AUTN*有效后，生成终端侧的五元鉴权元组，并将其中的RES通过Bootstrapping_Authorization.REQ消息发送到网络侧； 

多媒体广播业务控制模块将网络侧五元鉴权元组中的XRES与终端侧的五元鉴权元组中的RES进行比较，若二者相等，则鉴权成功。 

鉴权成功后，多媒体广播业务控制模块根据通过五元组鉴权方式得到的CK、IK，通过3G多媒体广播业务鉴权算法即CK‖IK运算，生成Ks； 

网络侧向2G终端返回基于TCP/IP协议的多媒体广播业务鉴权成功响应消息，如Bootstrapping_Authorization.RES； 

步骤103、2G终端用户根据通过五元组鉴权方式得到的CK、IK，通过3G多媒体广播业务鉴权算法即CK‖IK运算，生成与网络侧相同的Ks。 

上述多媒体广播业务密钥协商过程中，多媒体广播业务鉴权采用五元组鉴权方式，保证了网络侧和2G终端用户双方的安全性，为2G终端用户使用多媒体广播业务提供了安全保障。 

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围。 

Claims (7)

1.一种实现多媒体广播业务密钥协商的系统，其特征在于，包括

2G网络接入模块，用于根据2G终端用户发送的接入鉴权请求消息发出获取所述2G终端用户三元鉴权元组信息的请求，进行接入鉴权，接入所述2G终端用户；并根据所述2G终端用户发送的GPRS鉴权请求消息发出获取所述2G终端用户三元鉴权元组信息的请求，进行GPRS鉴权，建立GPRS连接；其中，所述2G终端中插有USIM卡或ISIM卡，所述2G终端通过所述USIM卡或ISIM卡进行三元组鉴权运算以使所述2G网络接入模块进行接入鉴权和GPRS鉴权；

多媒体广播业务控制模块，用于根据所述2G网络接入模块接入的2G终端用户发送的多媒体广播业务鉴权请求消息，发出获取所述2G终端用户的五元鉴权元组信息的请求，并根据获取的五元鉴权元组信息进行广播业务鉴权，采用3G多媒体广播业务鉴权算法生成共享密钥；其中，所述2G终端通过所述USIM卡或ISIM卡进行五元组鉴权运算以使所述多媒体广播业务控制模块进行多媒体广播业务鉴权；

鉴权运算模块，用于根据所述2G网络接入模块或多媒体广播业务控制模块发出的请求进行相应的鉴权运算，生成三元鉴权元组信息或五元鉴权元组信息，并提供给所述2G网络接入模块或多媒体广播业务控制模块。

2.根据权利要求1所述的系统，其特征在于，所述2G网络接入模块包括：

接入鉴权模块，用于对2G终端用户进行接入鉴权；

GPRS鉴权模块，用于对2G终端用户进行GPRS鉴权。

3.根据权利要求1或2所述的系统，其特征在于，所述鉴权运算模块为归属位置寄存器或归属用户服务器。

4.一种实现多媒体广播业务密钥协商的方法，其特征在于，包括：

步骤1、2G终端用户通过2G鉴权方式接入网络侧，并建立GPRS连接后，通过多媒体广播业务客户端向网络侧发送多媒体广播业务鉴权请求消息；其中，所述2G终端中插有USIM卡或ISIM卡，所述2G终端通过所述USIM卡或ISIM卡进行三元组接入鉴权和GPRS鉴权；

步骤2、所述网络侧根据所述多媒体广播业务鉴权请求消息，通过五元组鉴权方式对所述2G终端用户进行多媒体广播业务鉴权，鉴权成功后，根据通过所述五元组鉴权方式得到的鉴权元组信息生成多媒体广播业务的共享密钥；然后向所述2G终端返回多媒体广播业务鉴权成功响应消息；其中，所述2G终端通过所述USIM卡或ISIM卡进行五元组多媒体广播业务鉴权；

步骤3、所述2G终端用户根据通过所述五元组鉴权方式得到的鉴权元组信息生成与所述网络侧相同的共享密钥。

5.根据权利要求4所述的方法，其特征在于，所述步骤1中，通过2G鉴权方式接入网络侧，并建立GPRS连接具体为：所述网络侧首先根据所述2G终端发送的接入鉴权请求消息，以三元组鉴权方式对所述2G终端用户进行接入鉴权，再根据所述2G终端用户发送的GPRS鉴权请求消息，以三元组鉴权方式对所述2G终端用户进行GPRS鉴权，然后建立GPRS连接。

6.根据权利要求4或5所述的方法，其特征在于，所述步骤2中，多媒体广播业务鉴权具体为：

所述网络侧根据所述多媒体广播业务鉴权请求消息中的用户标识进行五元组鉴权运算，生成网络侧的五元鉴权元组，并将其中的随机数及鉴权令牌发送给所述2G终端用户；

所述2G终端用户根据接收到的随机数及鉴权令牌进行五元组鉴权运算，生成终端侧的五元鉴权元组，并将其中的响应信息发送到所述网络侧；

所述网络侧将网络侧五元鉴权元组中的响应信息与所述终端侧的五元鉴权元组中的响应信息进行比较，若二者相等，则鉴权成功。

7.根据权利要求4或5所述的方法，其特征在于，生成共享密钥具体为：所述网络侧及2G终端用户均通过3G多媒体广播业务鉴权算法分别生成网络侧的共享密钥、终端侧的共享密钥。

Images