CN101557590A - 一种移动终端接入网络的安全验证方法、系统和装置 - Google Patents

Abstract

本发明实施例公开了一种移动终端接入网络的安全验证方法、系统和装置，当移动终端接入网络时，所述方法包括：接收来自所述移动终端的移动终端安全状态信息；将所述安全状态信息与需要验证的安全状态验证信息进行匹配；如果所述安全状态信息与所述需要验证的安全状态验证信息匹配，则允许所述移动终端接入网络。通过应用本发明，保证存在安全漏洞的终端不能够接入到网络中，同时能够使用户及时发现并修补终端的漏洞，达到了提高网络和终端的安全性，改善用户体验的效果。

Description

一种移动终端接入网络的安全验证方法、系统和装置

技术领域

本发明涉及移动通信领域，特别是涉及一种移动终端接入网络的安全验证方法、系统和装置。

背景技术

随着科技的发展，网络越来越融合化，移动终端越来越智能化，给人们的生活带来了各种丰富多彩的业务体验。与此同时，黑客和病毒技术也日益猖獗。移动终端面临着各种病毒的攻击，有可能会被植入木马，也有可能软/硬件被篡改。如果存在安全隐患的移动终端接入到移动网络势必给移动网络带来安全威胁，所以我们需要一种机制，在移动终端入网的时候来检验其安全性，避免有安全漏洞的移动终端成为安全威胁的源头。

目前3GPP(3rd Generation Partnership Project，第3代项目合作伙伴)制定的规范中，用户设备UE开机入网的时候，通过运行AKA(Authentication andKey Agreement，认证和密钥协商)认证机制来实现用户对网络的认证以及网络对用户的认证。在UMTS(Universal Mobile Telecommunications System，通用移动通讯系统)规范中规定，网络侧对移动终端身份IMEI(InternationalMobile Equipment Identity，国际移动设备身份)的验证可以作为可选。

运行AKA认证机制，验证移动终端的IMEI并不能够检查该移动终端的软/硬件是否被篡改，该移动终端是否感染病毒，所以不能够保证移动终端是一个安全移动终端。

发明内容

本发明实施例要解决的问题是提供一种移动终端接入网络的安全验证方法、系统和装置，保证存在安全漏洞的终端不能够接入到网络中，从而保证了网络的安全性，同时，也能够使用户及时发现并修补终端的漏洞，以免造成更大的安全威胁。

为达到上述目的，本发明实施例一方面提出一种移动终端接入网络的安全验证方法，包括以下步骤：

接收来自所述移动终端的移动终端安全状态信息；

将所述安全状态信息与需要验证的安全状态验证信息进行匹配；

如果所述安全状态信息与所述需要验证的安全状态验证信息匹配，则允许所述移动终端接入网络。

另一方面，本发明实施例还提出了一种网络系统，包括：

移动终端，用于生成并发送安全状态信息；

网络设备，用于接收所述移动终端发送的安全状态信息，匹配所述安全状态信息和安全状态验证信息，如果所述安全状态信息与所述安全状态验证信息匹配，则允许所述移动终端接入网络。

另一方面，本发明实施例还提出了一种移动终端，包括：

收集模块，用于收集与安全状态验证的内容对应的信息；

计算模块，用于根据所述收集模块收集的信息计算安全状态信息。

另一方面，本发明实施例还提出了一种网络设备，包括：

接收模块，用于接收移动终端的安全状态信息；

匹配模块，用于将所述接收模块接收的安全状态信息与需要验证的安全状态验证信息进行匹配；

响应模块，用于当所述匹配模块判断所述移动终端的安全状态信息与所述安全状态验证信息匹配时，发送响应允许所述移动终端接入网络。

本发明实施例的技术方案具有以下优点，因为采用了在终端入网时进行安全状态验证的方法，从而，保证存在安全漏洞的终端不能够接入到网络中，同时能够使用户及时发现并修补终端的漏洞，达到了提高网络和终端的安全性，改善用户体验的效果。

附图说明

图1为本发明实施例一中一种移动终端接入网络的安全验证方法的流程示意图；

图2为本发明实施例二中一种移动终端接入网络的安全验证方法的流程示意图；

图3为本发明实施例三中一种网络系统的结构示意图；

图4为本发明实施例三中一种移动终端的结构示意图；

图5为本发明实施例三中一种网络设备的结构示意图。

具体实施方式

本发明实施例提出了一种移动终端接入网络的安全验证方法网络系统和装置。

移动终端在接入移动网络时，收集本身的安全状态信息，将安全状态信息发送给网络侧。

移动终端的安全状态信息的类型包括：操作系统版本、软/硬件、是否安装防火墙、杀毒软件版本等信息。可以是在终端出厂的时候，由终端制造商和网络运营商进行协商，确定终端的在入网时哪些重要的安全状态信息是必须要需要验证的，需要验证的安全状态验证信息被发布到网络侧。

入网验证时，可以是将接收来自所述移动终端的移动终端安全状态信息与预设的，或实时或临时设定的需要验证的安全状态验证信息直接进行匹配来验证。或者，可以是通过某种算法(如HASH)计算出终端的安全状态信息验证值，并将该值存储在安全状态验证模块中。

如图1所示，为本发明实施例一提供的一种入网验证方法的流程示意图，包括以下步骤：

步骤S101、确定安全状态验证信息的内容。

可以是终端制造商预先与网络运营商就移动终端的安全状态信息验证内容进行协商，确定终端入网时需要进行验证的安全状态验证信息的内容，包括操作系统版本、软/硬件、是否安装防火墙、杀毒软件版本等信息。或者，也可以是网络侧实时或临时确定需要进行验证的安全状态验证信息的内容。步骤S102、网络侧根据安全状态验证内容预设安全状态验证信息。

根据步骤S101中的协商结果，网络侧存储移动终端的安全状态验证信息，即安全状态计算验证值RV，这个RV可以是操作系统版本、软件、硬件、防火墙等安全状态信息的版本号，也可以是通过RV＝KDF(操作系统版本、软件、硬件、防火墙等)计算出来的一个验证值。

在实际应用中，安全状态验证信息是具体版本还是根据相应版本计算得到的验证值可以根据实际需要或操作流程的要求进行形式选择，安全状态验证信息形式的差别并不影响本发明的保护范围。

需要进一步指出的是，如果移动终端制造商或者软件发布商对终端的安全状态信息进行了升级，如操作系统版本进行了升级、防火墙版本进行了升级，那么可以将这些信息发布到网络侧，在网络侧对安全状态验证信息进行一个更新。

步骤S103、移动终端生成安全状态信息。

可以是在开机的过程中，终端根据步骤S101中协商的结果对终端的安全状态信息进行收集，并生成安全验证信息RV0。

需要进一步说明的是，根据步骤S102中安全验证标准信息RV的形式设定，本步骤中的安全验证信息RV0也需要进行相应调整，这个RV0可以是操作系统版本、软件、硬件、防火墙等安全状态信息的版本号，也可以是通过使用步骤S102中计算安全验证标准参数的算法相同的算法，根据相应的安全状态信息(操作系统版本、软件、硬件、防火墙等)计算出验证值RV0＝KDF(操作系统版本、软件、硬件、防火墙等)。

步骤S104、移动终端发送安全状态信息，请求入网。

终端将收集的结果，安全验证信息RV0发送给网络侧，请求验证安全信息，并接入网络。

步骤S105、网络侧接收安全状态信息，并与安全状态验证信息进行匹配。

网络侧接收到移动终端发送的安全状态信息RV0，将RV0与步骤S102中得到的安全状态验证信息RV进行匹配：

当RV0与RV匹配时，转入步骤S106；

当RV0与RV不匹配时，转入步骤S107。

步骤S106、允许移动终端入网。

网络侧判断RV0与RV匹配，即移动终端的安全状态信息是正常的，是安全的，不会对网络构成威胁，则允许移动终端接入网络。

入网后，移动终端正常执行通信或其他功能，用户正常使用，直至由于关机，或断网等原因，需要重新进行入网请求，即转入步骤S103，重新生成安全状态信息，进入请求入网，并进行验证的流程。

步骤S107、拒绝移动终端入网。

网络设备判断RV0与RV不匹配，即移动终端的安全状态信息不正常，具有危险性，对网络的安全性构成威胁，则可以是拒绝终端接入网络或提醒移动终端进行软件升级等操作。

具体的危险性可能是由于移动终端感染病毒、存在安全漏洞、或存在不能被系统所识别的未知软件等情况所造成。

在移动终端入网请求被拒后，用户可以选择暂时放弃入网，则本次流程结束，移动终端入网不成功；或重新进行入网请求，即转入步骤S103，重新生成安全状态信息，进入请求入网，并进行验证的流程。

需要进一步指出的是，这里提到的重新进行入网请求之前，可以包括，根据被拒绝入网的原因，进行移动终端的安全状态调整，如杀毒、补完安全漏洞、卸载未知软件等操作，也可以忽略拒绝入网的原因，直接进行再次入网请求。是否包含安全状态调整，并不影响本发明的保护范围。

基于上述的本发明实施例一提供的移动终端接入网络的安全验证方法，如图2所示，本发明实施例二进行具体说明如下，包括以下步骤：

为了实现本发明的技术方案，在本发明实施例中，需要在网络侧添加安全状态验证模块，用于接收移动终端发送的安全状态信息，并将其与安全状态验证信息进行匹配，如果匹配，则允许所该移动终端接入网络。

步骤S201、移动终端UE向演进节点eNodeB发送附着请求。

该请求中可以包括IMSI(International Mobile Subscriber Identity，国际移动签约用户身份)或者GUTI、上次拜访的TAI(如果有的话)、UE的网络能力(包括UE支持的加密算法、完整性算法以及是否支持移动终端安全状态验证等)、附着类型等。

步骤S202、eNodeB转发附着请求给新的MME(Mobile ManagementEntity，移动管理实体)。

步骤S203、新的MME传送认证请求给旧的MME/SGSN(Serving GeneralPacket Radio Service Suport Node，服务通用分组无线业务支持节点)。

如果新的MME收到的附着请求中有旧的MME分配给UE的临时身份GUTI，那么新的MME就传送包含旧的GUTI的认证请求给旧的MME；如果旧的TAI标识出是一个SGSN，那么新的MME就把认证请求发送给旧的SGSN。

步骤S204、如果旧的MME/SGSN不知道UE，新的MME就要向UE传送身份请求来请求IMSI。

步骤S205、如果网络中没有存在UE的安全上下文，那么必须执行AKA认证过程。

上述的AKA认证过程为现有技术，本发明实施例不再另行详述。

步骤S206、AKA过程执行完成后，如果网络侧还需要验证移动移动终端的身份和安全状态信息，那么UE将发送ME的身份和安全状态验证值RV0给MME。

步骤S207、新的MME可以传送ME身份验证请求(ME身份，IMSI)给EIR(Equipment Identity Register，设备标识寄存器)。

步骤S208、EIR发送ME身份检查响应给新的MME，根据检查结果，新的MME决定是继续后续附着流程还是拒绝UE。

步骤S209、新的MME传送ME的安全状态信息验证请求给安全状态验证模块。

步骤S210、安全状态验证模块比对ME的RV0和存储模块中的RV是否匹配，并返回安全状态信息验证响应给新的MME。根据验证结果，新的MME决定是继续后续附着流程还是拒绝UE。

需要进一步指出的是，上述的步骤可以根据需要调整顺序，上述步骤的调整情况不影响本发明的保护范围。

步骤S211至S213、根据身份识别的结果，判断是否允许移动终端入网。

移动终端的身份验证结果为安全时，允许该移动终端入网，否则，可以拒绝该移动终端接入网络或提醒移动终端进行软件升级等操作。上述“安全状态验证模块”可以是单独的一个硬件或软件实体也可以集成在其他网络设备(如EIR，MME等)中，对流程的相应的变型也是在本发明的保护范围中。

在本发明实施例中，通过一种入网验证方法，保证了存在安全漏洞的移动终端不能够接入到移动网络中，从而保证了网络的安全性。同时，也能够使用户及时发现并修补移动终端的漏洞，以免造成更大的安全威胁。

如图3所示，为本发明实施例三，一种网络系统，包括：

移动终端1，用于生成并发送安全状态信息；

网络设备2，用于接收移动终端1发送的安全状态信息，匹配安全状态信息和安全状态验证信息，如果安全状态信息与安全状态验证信息匹配，则允许移动终端1接入网络。

进一步的，如图4所示，一种移动终端1的结构示意图，包括：

收集模块11，用于收集与安全状态验证内容对应的信息；

移动终端的安全状态信息类型包括：操作系统版本、软/硬件、是否安装防火墙、杀毒软件版本。

安全验证内容可以是指：在移动终端出厂的时候，移动终端制造商会和网络运营商进行协商，确定移动终端的在入网时哪些重要的安全状态信息是必须要需要验证的，从而以这些必须进行验证的安全状态信息生成安全验证内容，存储于网络设备，并告知移动终端。

在实际应用中，收集模块11可能是单一的模块，负责收集所有的信息，也可以包括软件信息收集模块、硬件信息收集模块、防火墙信息收集模块、操作系统信息收集模块等，分别用于收集相应的安全状态信息。

计算模块12，用于根据收集模块11收集的信息计算安全状态信息。

安全状态信息RV0可以是对各个安全状态信息收集模块收集的结果的汇总，也可以是通过某种算法来计算出一个值，即RV0＝KDF(操作系统版本，软件，硬件，防火墙等)。最后，RV0要用安全代理模块和安全状态验证模块的共享密钥(在用户签约时设定)加密。

其中，计算模块12，还用于通过共享密钥加密安全状态信息。

其中，该移动终端1进一步还包括：

发送模块13，用于发送计算模块11计算得到的安全状态信息。

其中，收集模块11，包括：

内容设定子模块111，用于设定安全状态验证内容。

需要进一步指出的是，上述各模块实际上可以作为一个安全代理模块安装在移动移动终端1中，可以用软件实现也可以用硬件实现。

移动终端1类型包括：手机、计算机、服务器、网络设备等。

另一方面，如图5所示，为网络设备2的结构示意图，包括接收模块21、匹配模块22、响应模块23、生成模块24：

接收模块21，用于接收移动终端1的安全状态信息；

匹配模块22，用于将接收模块21接收的安全状态信息与生成模块24预设的安全状态验证信息进行匹配；

响应模块23，用于根据匹配模块22的匹配结果，对是否允许移动终端1入网发送响应。

其中，网络设备2进一步还包括：

生成模块24，用于根据安全状态验证内容生成安全状态验证信息。

其中，生成模块24，包括：

内容设定子模块241，用于设定安全状态验证内容；

计算子模块242，用于根据内容设定子模块241设定的安全状态验证内容，计算安全状态验证信息；

存储子模块243，用于存储计算子模块242计算的安全状态验证信息。

需要进一步指出的是，上述网络设备可以是单独的一个硬件或软件实体，即充当安全状态验证模块，也可以集成到其他网元设备(如EIR，MME等)中。当移动终端制造商和网络进行安全状态信息内容协商后，安全状态验证模块就通过生成模块24计算出移动终端的安全状态验证信息RV，并用安全代理模块和安全状态验证模块的共享密钥(在用户签约时设定)加密，最后进行存储。可以使用移动终端的IMEI作为查找RV值的索引，也可以使用移动终端的IMSI作为查找RV的索引。如果使用移动终端的IMSI作为查找RV的索引，相当于是将(U)SIM(Global System for Mobile CommunicationsSubscriber Identity Module，全球移动通讯系统签约用户身份模块)和移动终端进行了绑定，当移动终端插入另外一张(U)SIM卡时将不能够根据该卡的IMSI找到当前移动终端的RV。

需要进一步指出的是，如果移动终端制造商或者软件发布商对移动终端的安全状态信息进行了升级，如操作系统版本进行了升级、防火墙版本进行了升级，那么可以将这些信息发布到网络侧的安全状态验证模块中，在安全验证模块中对验证值进行一个更新。

在本实施例中，通过一种网络系统，保证了存在安全漏洞的移动终端不能够接入到移动网络中，从而确保了网络的安全性。同时，也能够使用户及时发现并修补移动终端的漏洞，以免造成更大的安全威胁。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台终端设备(可以是手机，个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (15)

1、一种移动终端接入网络的安全验证方法，其特征在于，当移动终端接入网络时，包括：

接收来自所述移动终端的移动终端安全状态信息；

将所述安全状态信息与需要验证的安全状态验证信息进行匹配；

如果所述安全状态信息与所述需要验证的安全状态验证信息匹配，则允许所述移动终端接入网络。

2、如权利要求1所述入网验证方法，其特征在于，所述安全状态信息类型包括：操作系统版本、软/硬件、是否安装防火墙、杀毒软件版本。

3、如权利要求1所述移动终端接入网络的安全验证方法，其特征在于，所述接收移动终端的安全验证信息，之前还包括：

确定移动终端接入网络的安全状态验证的内容；

根据所述安全状态验证内容，确定所述安全状态验证信息。

4、如权利要求3所述移动终端接入网络的安全验证方法，其特征在于，所述安全状态验证信息和所述移动终端的安全状态信息的计算算法一致。

5、如权利要求4所述移动终端接入网络的安全验证方法，其特征在于，所述计算，还包括：

通过共享密钥加密所述计算的结果。

6、一种网络系统，其特征在于，包括：

移动终端，用于生成并发送安全状态信息；

网络设备，用于接收所述移动终端发送的安全状态信息，匹配所述安全状态信息和安全状态验证信息，如果所述安全状态信息与所述安全状态验证信息匹配，则允许所述移动终端接入网络。

7、如权利要求6所述网络系统，其特征在于，所述移动终端，包括：

收集模块，用于收集与安全状态验证的内容对应的信息；

计算模块，用于根据所述收集模块收集的信息计算安全状态信息。

8、如权利要求6所述入网验证系统，其特征在于，所述网络设备，包括：

接收模块，用于接收所述移动终端的安全状态信息；

匹配模块，用于将所述接收模块接收的安全状态信息与需要验证的安全状态验证信息进行匹配；

响应模块，用于当所述匹配模块判断所述移动终端的安全状态信息与所述安全状态验证信息匹配时，发送响应允许所述移动终端接入网络。

9、一种移动终端，其特征在于，包括：

收集模块，用于收集与安全状态验证的内容对应的信息；

计算模块，用于根据所述收集模块收集的信息计算安全状态信息。

10、如权利要求9所述移动终端，其特征在于，还包括：

发送模块，用于发送所述计算模块计算得到的所述安全状态信息。

11、如权利要求9所述移动终端，其特征在于，所述收集模块，包括

内容设定子模块，用于设定所述安全状态验证的内容。

12、如权利要求9所述移动终端，其特征在于，所述计算模块，还用于：

通过共享密钥加密所述安全状态信息。

13、一种网络设备，其特征在于，包括：

接收模块，用于接收移动终端的安全状态信息；

匹配模块，用于将所述接收模块接收的安全状态信息与需要验证的安全状态验证信息进行匹配；

响应模块，用于当所述匹配模块判断所述移动终端的安全状态信息与所述安全状态验证信息匹配时，发送响应允许所述移动终端接入网络。

14、如权利要求13所述网络设备，其特征在于，还包括：

生成模块，用于根据安全状态验证的内容生成所述安全状态验证信息。

15、如权利要求14所述网络设备，其特征在于，所述设定模块，包括：

内容设定子模块，用于设定所述安全状态验证的内容；

计算子模块，用于根据所述内容设定子模块设定的安全状态验证的内容，计算所述安全状态验证信息；

存储子模块，用于存储所述计算子模块计算的所述安全状态验证信息。

Images