CN101626569B

CN101626569B - 对终端进行重鉴权的方法和装置

Info

Publication number: CN101626569B
Application number: CN200910166111.9A
Authority: CN
Inventors: 李冬贵
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-08-12
Filing date: 2009-08-12
Publication date: 2012-12-19
Anticipated expiration: 2029-08-12
Also published as: CN101626569A; WO2011017876A1

Abstract

本发明的目的在于，优化现有WiMAX终端在重鉴权的接入过程，解决当前WiMAX终端重鉴权相对较慢、AAA压力较大的问题，为解决这些问题，本发明提出了一种对终端进行重鉴权的方法包括以下步骤：固件Firmware(其可以是一种嵌入终端的芯片，例如，WiMAX芯片)将鉴权开始消息(即，EAP-Start消息)发送至鉴权客户端(例如，Supplicant)；鉴权客户端生成鉴权响应消息，并将鉴权响应消息发送至AAA服务器；AAA服务器将预定算法的挑战消息发送至鉴权客户端；鉴权客户端将与预定算法的挑战消息相对应的预定算法的响应消息发送至AAA服务器；AAA服务器将鉴权成功消息发送至鉴权客户端，其中，鉴权响应消息携带有终端的标识信息。此外，还提出了一种对终端进行重鉴权的装置。

Description

对终端进行重鉴权的方法和装置

技术领域

本发明涉及无线通讯领域，更具体地，涉及一种对终端进行重鉴权的方法和装置。

背景技术

WiMAX全称为World Interoperability for Microwave Access，即全球微波接入互操作性，是一项基于IEEE 802.16系列标准的宽带无线接入城域网(Wireless Metropolitan Area Network，WMAN)技术，是针对微波和毫米波频段提出的一种新的空中接口标准。WiMAX的基本目标是在城域网接入环境下，确保不同厂商的无线设备互连互通，主要用于为家庭、企业以及移动通信网络提供“最后一公里”的高速宽带接入，以及将来的个人移动通信业务。相比于其他宽带无线接入技术，WiMAX具有覆盖范围广、可扩展性强以及业务质量(QoS)可控制等优点。

WiMAX是移动宽带无线接入的标准，它相比于其他宽带无线接入技术，具备如下优点：

(1)高速移动，WiMAX终端可以在车速移动的场景中进行无线接入，通常认为可以达到120km/h。

(2)宽带接入，终端可以在不同的载波宽带和调制方式下获得不同的接入速度，最高速率可以达到30Mbit/s。

(3)覆盖范围广，覆盖范围达到几km量级。

(4)主要提供数据业务，面向个人用户提供数据接入业务，也可以提供话音业务。

目前，WiMAX产业链逐步完善，从系统设备到终端，WiMAX上下游供应链都在为该技术的发展做着不懈的努力，将共同促进WiMAX市场的商业化进程。

目前，WiMAX终端的鉴权方式都采用了EAP协议，市场上主要采用的是EAP-TTLS/MSCHAPv2和EAP-TLS这两种EAP鉴权方法。WiMAX协议标准规定，WiMAX终端在一定时间之后需要进行重鉴权，所以EAP鉴权过程可以分为两种：EAP初始鉴权过程和EAP重鉴权过程。

现有EAP初始鉴权过程，以EAP-TLS为例，如图1。

现有EAP重鉴权过程，以EAP-TLS为例，如图2。

对比图1和图2，我们可以发现，EAP重鉴权过程相比EAP初始鉴权过程，仅仅多了一条发起重鉴权的EAP-start消息，其余过程是完全一样的。而这个现有EAP重鉴权过程，存在如下的缺点：

1)交互信息相对较多，重鉴权速度相对较慢。

2)如果运营商设定的重鉴权时间较短，比如5分钟，在大规模商用的场景下，AAA将面临非常大的压力。

3)降低了WiMAX终端的稳定性，在信号强度较差的情况，容易出现重鉴权接入困难或掉线的情况。

发明内容

本发明的目的在于，优化现有WiMAX终端在重鉴权的接入过程，解决当前WiMAX终端重鉴权相对较慢、AAA压力较大的问题，为解决这些问题，本发明提出了一种对终端进行重鉴权的方法包括以下步骤：固件Firmware(其可以是一种嵌入终端的芯片，例如，WiMAX芯片)将鉴权开始消息(即，EAP-Start消息)发送至鉴权客户端(例如，Supplicant)；鉴权客户端生成鉴权响应消息，并将鉴权响应消息发送至AAA服务器；AAA服务器将预定算法的挑战消息发送至鉴权客户端；鉴权客户端将与预定算法的挑战消息相对应的预定算法的响应消息发送至AAA服务器；AAA服务器将鉴权成功消息发送至鉴权客户端，其中，鉴权响应消息携带有终端的标识信息。

其中，AAA服务器将鉴权成功消息发送至鉴权客户端的步骤之后还包括：鉴权客户端根据预定算法的挑战消息、挑战报文标识符和共享密钥计算MSK密钥，并将所算得的密钥发送至固件。

其中，在固件Firmware将鉴权开始消息发送至鉴权客户端的步骤之后，AAA服务器将预定算法的挑战消息发送至鉴权客户端的步骤之前，还包括：固件通知鉴权客户端所使用的算法为预定算法。

其中，将鉴权响应消息发送至AAA服务器的步骤包括：依次经由固件、基站和网关将鉴权响应消息传输至AAA服务器。

其中，AAA服务器将预定算法的挑战消息发送至鉴权客户端的步骤包括：依次经由网关、基站和固件将预定算法的挑战消息传输至鉴权客户端。

其中，鉴权客户端将与预定算法的挑战消息相对应的预定算法的响应消息发送至AAA服务器的步骤包括：依次经由固件、基站和网关将预定算法的响应消息传输至AAA服务器。

其中，AAA服务器将鉴权成功消息发送至鉴权客户端的步骤包括：依次经由网关、基站和固件将鉴权成功消息传输至鉴权客户端。

其中，当鉴权响应消息从网管传输至AAA服务器时，将鉴权响应消息封装为AAA服务器识别的信息，而当鉴权响应消息从AAA服务器传输至网管时，对鉴权响应消息进行解封装。

其中，终端为WiMAX终端，包括固件和鉴权客户端，其中，固件为WiMAX芯片。

此外，本发明还提出了一种对终端进行重鉴权的装置，包括：第一模块，用于将鉴权开始消息从固件Firmware发送至鉴权客户端；第二模块，用于由鉴权客户端生成鉴权响应消息，并将鉴权响应消息发送至AAA服务器；第三模块，用于将预定算法的挑战消息从AAA服务器发送至鉴权客户端；第四模块，用于将与预定算法的挑战消息相对应的预定算法的响应消息从鉴权客户端发送至AAA服务器；第五模块，用于将鉴权成功消息从AAA服务器发送至鉴权客户端，其中，鉴权响应消息携带有终端的标识信息。

本发明具有如下优点和效果：

1)重鉴权速度提升。通过优化重鉴权流程，使得WiMAX终端在重鉴权过程中，能够快速完成交互过程，从而明显提升重鉴权的接入速度。

2)缓解AAA压力。由于减少了WiMAX终端和AAA在重鉴权过程的数据交互量，使得在大规模商用的情景下，明显的缓解了AAA的压力。

3)提高稳定性。通过优化重鉴权流程，使得在重鉴权过程不需要传递AAA服务器端的CA证书、设备证书等消息，这样就提高WiMAX终端在重鉴权过程中的接入成功率，有效的减少掉线的可能性，从而提高了WiMAX终端的稳定性。。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的限定。在附图中：

图1是WiMAX终端初始鉴权流程图(EAP-TLS)；

图2是现有WiMAX终端重鉴权流程图(EAP-TLS)；

图3是本发明所述的WiMAX终端的快速重鉴权流程图；

图4示出了根据本发明的示例性实施例的MAC PUD格式。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

下面结合附图，通过介绍现有WiMAX终端的EAP初始鉴权流程、现有WiMAX终端的EAP重鉴权流程，对本发明所述的WiMAX终端的快速重鉴权的实现方法进行了详细的描述。

图1显示了WiMAX终端初始鉴权流程图。

图2显示了现有WiMAX终端重鉴权流程图。

图3是本发明所述的WiMAX终端的快速重鉴权流程图，交互步骤如下：

(1)固件Firmware发送鉴权开始(EAP-Start)消息到鉴权客户端Supplicant，发起重鉴权流程。

(2)(3)(4)(5)：鉴权客户端Supplicant发送EAP响应/标识消息到AAA服务器。

(6)(7)(8)(9)：AAA服务器发送MD5挑战消息到鉴权客户端Supplicant。

(10)(11)(12)(13)：鉴权客户端Supplicant发送MD5响应消息到AAA服务器。

(14)(15)(16)(17)：AAA服务器发送EAP成功消息到鉴权客户端Supplicant，重鉴权流程结束。

(18)鉴权客户端Supplicant发送MSK到固件Firmware，用于形成WiMAX终端安全子层的密钥层次结构。

与现有的WiMAX重鉴权技术相比较，本发明所采用的重鉴权技术，主要通过更改重鉴权的发起方式，同时在初始鉴权完成的基站上，简化重鉴权的流程，通过上述方法来解决现有WiMAX终端在重鉴权过程中的速度慢、运行相对不稳定和AAA压力大等问题。

现有的WiMAX重鉴权技术是从固件Firmware发送鉴权开始(EAP-Start)消息到AGW开始重鉴权过程，而本发明的WiMAX重鉴权技术是从固件Firmware发送鉴权开始(EAP-Start)消息到Supplicant开始重鉴权过程，同时固件Firmware通知鉴权客户端Supplicant在重鉴权过程中将选用MD5算法来计算MSK，而不是选用初始鉴权中用到的EAM-TTLS/MSCHAPv2或EAP-TLS鉴权方法来计算MSK。WiMAX终端发送的EAP-Response/Identity中携带了用户的NAI(Network Access Identifier，例如NAI格式MAC_Addressrealm)信息，从而达到了对特定终端进行鉴权的目的。WiMAX终端选用一种WiMAX基站支持的相对简单的MD5算法，使得终端可以通过基站发送的MD5挑战、CHAP-ID(挑战报文标识符)和共享密钥计算出MSK(Master Session Key)密钥，在重鉴权成功后将这个MSK封装在WiMAX API消息发送给固件Firmware，完成对MSK的更新。

为了实现上述方法，本发明提出了一种对终端进行重鉴权的装置(未在附图中示出)。该装置可以包括：第一模块，用于将鉴权开始消息从固件Firmware发送至鉴权客户端；第二模块，用于由鉴权客户端生成鉴权响应消息，并将鉴权响应消息发送至AAA服务器；第三模块，用于将预定算法的挑战消息从AAA服务器发送至鉴权客户端；第四模块，用于将与预定算法的挑战消息相对应的预定算法的响应消息从鉴权客户端发送至AAA服务器；第五模块，用于将鉴权成功消息从服务器发送至鉴权客户端，其中，鉴权响应消息携带有终端的标识信息。

本发明的快速重鉴权是建立在成功的初始鉴权基础上的，并利用初始鉴权建立起来的安全性，对重鉴权流程进行了改进，使得WiMAX终端能够更快速、更稳定的完成重鉴权的过程，同时也有利于缓解AAA面临的由于大量数据交互造成的压力。

本发明的安全性分析

现有WiMAX终端在初始鉴权中一般选用EAP-TTLS/MSCHAPv2或EAP-TLS鉴权方法。如果WiMAX终端选用EAP-TLS鉴权方法时，初始鉴权完成后，Supplicant就建立了TLS(Transport Layer Security)传输层安全，如果WiMAX终端选用EAP-TTLS/MSCHAPv2鉴权方法时，初始鉴权完成后，Supplicant就建立了基于隧道的TLS(Tunneled Transport Layer Security)传输层安全。所以不论终端选用的是EAP-TTLS/MSCHAPv2还是EAP-TLS，经过初始鉴权之后，Supplicant都建立了传输层安全，而在初始鉴权之后，这个传输层安全并没有被释放，本发明的快速重鉴权正是利用了初始鉴权建立的传输层安全，通过NAI来对终端进行鉴权，选用相对简单的MD5算法来计算MSK，达到了在保证安全的基础上进行快速、稳定的重鉴权。

从安全领域的角度出发，本发明的快速重鉴权的方法的安全分析如下：

1.完整性保护(integrality)

由于初始鉴权的完成，WiMAX终端和WiMAX基站之间就共享了AK(Authorization Key)，根据密钥层次结构，计算出WiMAX管理消息的CMAC(Cipher-based Message Authentication Code，一种散列消息认证码)放置在Payload(净荷)之后，接收方接收到该WiMAX管理消息之后，通过共享的AK计算出该消息的CMAC，然后和消息中携带的CMAC值做比较，如果这两个CMAC值相等，则CMAC验证成功，否则丢弃该消息。如果攻击者篡改了数据，由于攻击者无法获得AK，所以无法计算出正确的CMAC值，接收方一旦发现该CMAC不匹配，就说明这个数据包已经被篡改，然后就直接丢弃该消息，从而达到了对该消息的完整性保护。

2.重放攻击(Replay Attack)

在MAC PDU的净荷中，PN(Packet Number，数据包序号)放置于MAC PDU的最高4个字节。在安全关联(SA)建立之后，PN在发第一个包时为1，后续每发一个包增加1。当攻击着重放攻击时，接收方由于可以不断的校验PN值，所以重发的PN值的消息将被丢弃，从而达到防止重放攻击。

图4显示了MAC PUD格式，其中含有密文净荷(ciphertextpayload)。

3.免受reorder攻击(reorder-attack)

上面所说的序列号也可以防止攻击者记录数据包并以不同的次序发送，从而达到防止reorder攻击。

4.中间人攻击(MIMT)

顾名思义，中间人攻击(Man-in-the-Middle Attack)是指攻击者将自己插入到两个通信对象之间，以截取他无法访问或没有资格访问的信息。中间人攻击被认为是WiMAX网络中危害最为严重的攻击。当攻击者截取了数据包，但是由于攻击者无法获取共享密钥，从而无法伪造转发的数据包，从而达到防止中间人攻击。

通过以上分析，本发明改进的快速重鉴权方法，已经具备防范各种主要的安全威胁。

本发明的可行性分析

本发明所用到的MD5算法由于是开源实现，在实现方法上相对于EAP-TTLS/MSCHAPv2或EAP-TLS鉴权方法简单易行。由于当前WiMAX协议中对重鉴权技术并没有详细规定如何去实现，使得当前大部分WiMAX厂商都采用和初始鉴权一样的技术。由于EAP协议并属于WiMAX协议范畴，所以采用EAP协议进行重鉴权时，可以使用更为简单、快捷的EAP-MD5方法进行重鉴权。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种对终端进行重鉴权的方法，其特征在于，包括以下步骤：

固件Firmware将鉴权开始消息发送至鉴权客户端；

所述鉴权客户端生成鉴权响应消息，并将所述鉴权响应消息发送至AAA服务器；

所述AAA服务器将预定算法的挑战消息发送至所述鉴权客户端；

所述鉴权客户端将与所述预定算法的挑战消息相对应的预定算法的响应消息发送至所述AAA服务器；

所述AAA服务器将鉴权成功消息发送至所述鉴权客户端，

其中，所述鉴权响应消息携带有所述终端的标识信息。

2.根据权利要求1所述的方法，其特征在于，所述AAA服务器将鉴权成功消息发送至所述鉴权客户端的步骤之后还包括：

所述鉴权客户端根据所述预定算法的挑战消息、挑战报文标识符和共享密钥计算MSK密钥，并将所算得的密钥发送至所述固件。

3.根据权利要求1所述的方法，其特征在于，在固件Firmware将鉴权开始消息发送至鉴权客户端的步骤之后，所述AAA服务器将预定算法的挑战消息发送至所述鉴权客户端的步骤之前，还包括：

所述固件通知所述鉴权客户端所使用的算法为预定算法。

4.根据权利要求1至3中任一项所述的方法，其特征在于，将所述鉴权响应消息发送至AAA服务器的步骤包括：

依次经由所述固件、基站和网关将所述鉴权响应消息传输至所述AAA服务器。

5.根据权利要求4所述的方法，其特征在于，所述AAA服务器将预定算法的挑战消息发送至所述鉴权客户端的步骤包括：

依次经由所述网关、所述基站和所述固件将所述预定算法的挑战消息传输至所述鉴权客户端。

6.根据权利要求5所述的方法，其特征在于，所述鉴权客户端将与所述预定算法的挑战消息相对应的预定算法的响应消息发送至所述AAA服务器的步骤包括：

依次经由所述固件、所述基站和所述网关将所述预定算法的响应消息传输至所述AAA服务器。

7.根据权利要求6所述的方法，其特征在于，所述AAA服务器将鉴权成功消息发送至所述鉴权客户端的步骤包括：

依次经由所述网关、所述基站和所述固件将所述鉴权成功消息传输至所述鉴权客户端。

8.根据权利要求4所述的方法，其特征在于，当所述鉴权响应消息从所述网关传输至所述AAA服务器时，将所述鉴权响应消息封装为所述AAA服务器识别的信息。

9.根据权利要求1所述的方法，其特征在于，所述终端为WiMAX终端，包括所述固件和所述鉴权客户端，其中，所述固件为WiMAX芯片。

10.一种对终端进行重鉴权的装置，其特征在于，包括：

第一模块，用于将鉴权开始消息从固件Firmware发送至鉴权客户端；

第二模块，用于由所述鉴权客户端生成鉴权响应消息，并将所述鉴权响应消息发送至AAA服务器；

第三模块，用于将预定算法的挑战消息从所述AAA服务器发送至所述鉴权客户端；

第四模块，用于将与所述预定算法的挑战消息相对应的预定算法的响应消息从所述鉴权客户端发送至所述AAA服务器；

第五模块，用于将鉴权成功消息从所述AAA服务器发送至所述鉴权客户端，

其中，所述鉴权响应消息携带有所述终端的标识信息。