CN101730093B - 安全切换方法及系统 - Google Patents

Abstract

本发明提供了一种安全切换方法及系统，用于下一代网络中终端的切换过程中，其中，下一代网络包括切换管理模块、认证服务器和终端。该安全切换方法包括：在认证服务器和终端上预先设置初始安全参数并由初始安全参数生成安全参数；切换管理模块获取安全参数；切换管理模块与终端使用生成的安全参数进行交互，以保证通信双方之间的通信安全。通过本发明，能够保证终端与切换管理模块之间的通信安全。

Description

安全切换方法及系统

技术领域

本发明涉及通信领域，具体而言，涉及一种安全切换方法及系统。

背景技术

下一代网络(Next Generation Network，简称为NGN)作为演进的基于分组交换的网络框架，受到越来越多的关注。国际电信标准化组织(International Telecommunication Union，简称为ITU)和其他地区标准组织对NGN的框架模型、业务以及相关领域进行了广泛的研究，并对NGN进行了标准化。

目前，相关技术中的NGN能够实现异构网络的接入、网间的漫游和网间的无缝切换。其中，在移动用户终端(以下简称为终端)进行网间切换时，终端需要与系统的切换管理模块通信。

在目前采用的NGN中，终端与切换管理模块之间不存在安全保证，即，系统无法保证终端与切换管理模块之间通信的安全性，因此导致了终端与切换管理模块之间的通信会存在较多的安全问题。例如，没有授权的终端可以与切换管理模块直接进行信令数据交互，没有加密的移动信令可能被窃听，终端的位置可能被侦听等。

为了在终端进行网间切换时，保证终端与NGN网络接入点之间的信令数据和用户数据的私密性和完整性，同时使NGN能够保证业务的连续性，需要在终端与切换管理模块之间建立安全机制。这里的安全机制包括：保证终端与切换管理模块之间的认证安全、保证终端与切换管理模块之间的交互数据的机密性和完整性。

由于目前切换管理模块无法获知与终端的相关的安全参数，这导致了终端与切换管理模块之间无法进行认证，进而导致了终端与切换管理模块之间无法建立安全机制。

发明内容

针对上述由于目前切换管理模块无法获知与终端相关的安全参数，导致了终端与切换管理模块之间无法进行认证进而无法建立安全机制的问题而提出本发明，为此，本发明旨在提供一种安全切换方法及系统，以解决上述问题至少之一。

为了实现上述目的，根据本发明的一方面，提供了一种安全切换方法，用于下一代网络中终端的切换过程中，其中，下一代网络包括切换管理模块、认证服务器和终端。

根据本发明的安全切换方法包括：在认证服务器和终端上预先设置初始安全参数并由初始安全参数生成安全参数；切换管理模块获取安全参数；切换管理模块与终端使用生成的安全参数进行交互，以保证通信双方之间的通信安全。

上述切换管理模块获取安全参数包括以下之一：切换管理模块直接从认证服务器获取安全参数；切换管理模块从移动信息管理模块获取安全参数，其中，移动信息管理模块中的安全参数是从认证服务器获取的。

上述切换管理模块与终端使用生成的安全参数进行的交互包括：切换管理模块与终端交互的认证过程、切换管理模块与终端交互的完整性、机密性过程。

其中，切换管理模块与终端的认证过程包括：切换管理模块从认证服务器获取第一安全参数并接收来自终端的第二参数，其中，第二参数包括第一随机数以及经由第一随机数处理后的第二安全参数；切换管理模块根据第一安全参数以及第二参数对终端进行认证；在对终端认证成功的情况下，终端根据来自切换管理模块的第三参数以及终端上的第四安全参数对切换管理模块进行认证，其中，第三参数包括第二随机数以及经由第二随机数处理后的第三安全参数；其中，第一安全参数和第三安全参数根据认证服务器上的初始安全参数生成，第二安全参数和第四安全参数根据终端上的初始安全参数生成。

上述切换管理模块对终端进行认证的处理包括：切换管理模块根据第一随机数对第一安全参数进行处理，将处理结果与第二参数中的经由第一随机数处理后的第二安全参数进行比较，在比较结果为相同的情况下，确定对终端认证成功。

另外，上述切换管理模块与终端的认证过程还可以包括：切换管理模块从认证服务器获取第一安全参数，并向终端发送第一参数，其中，第一参数包括第二随机数以及经由第二随机数处理后的第一安全参数；终端模块接收第一参数，并根据第二安全参数以及第一参数对切换管理模块进行认证；在对切换管理模块认证成功的情况下，切换管理模块根据来自终端的第四参数以及切换管理模块上的第三安全参数对终端进行认证，其中，第四参数包括第一随机数以及经由第一随机数处理后的第四安全参数；其中，第一安全参数和第三安全参数根据认证服务器上的初始安全参数生成，第二安全参数和第四安全参数根据终端上的初始安全参数生成。

其中，终端对切换管理模块进行认证的处理包括：终端根据第二随机数对第二安全参数进行处理，将处理结果与第一参数中的经由第二随机数处理后的第一安全参数进行比较，在比较结果为相同的情况下，确定对切换管理模块认证成功。

上述方法还包括：终端根据第二安全参数对认证请求消息进行加密；切换管理模块根据接收的认证请求中的第二参数对认证请求消息进行解密。

以及，上述方法还包括：终端根据第二安全参数和认证请求消息设置第一附加数据，并将第一附加数据携带在认证请求中；切换管理模块根据接收的第二参数和认证请求消息设置第二附加数据；如果第一附加数据和第二附加数据相同，则表示认证请求安全。

上述的第一安全参数、或第二安全参数、或第三安全参数、或第四安全参数包括以下至少之一：密钥、密钥生存周期、密钥算法、密钥协议。

根据本发明的另一方面，提供了一种安全切换系统，该安全切换系统包括终端、切换管理模块、移动信息管理模块和认证服务器，其中，认证服务器和终端上预先设置有初始安全参数，

其中，切换管理模块包括：获取子模块，用于从移动信息管理模块或认证服务器获取第一安全参数和第三安全参数；第一接收子模块，用于接收来自终端的第二参数，其中，第二参数包括第一随机数以及经由第一随机数处理后的第二安全参数；第一处理子模块，用于根据第一接收子模块接收的第二参数中的第一随机数，对获取子模块获取的第一安全参数进行处理；第一比较子模块，用于比较第一处理子模块的处理结果与第一接收子模块接收的经由第一随机数处理后的第二安全参数；第一发送子模块，用于将第三参数发送给终端，其中，第三参数包括第二随机数以及经由第二随机数处理后的第三安全参数；调用子模块，用于在第一比较子模块的比较结果为相同的情况下，使能第一发送子模块；

终端包括：第二发送子模块，用于将第二参数发送给切换管理模块；第二接收子模块，用于接收来自切换管理模块的第三参数，其中，第三参数包括第二随机数以及经由第二随机数处理后的第三安全参数；第二处理子模块，用于根据第二接收子模块接收的第三参数中的第二随机数，对本地的第四安全参数进行处理；第二比较子模块，用于比较第二处理子模块的处理结果与第二接收子模块接收的经由第二随机数处理后的第三安全参数；触发子模块，用于在第二比较子模块的比较结果为相同的情况下，触发系统建立安全机制；

上述第一安全参数和第三安全参数根据认证服务器上的初始安全参数生成，第二安全参数和第四安全参数根据终端上的初始安全参数生成。

上述终端和切换管理模块还包括：加密子模块，用于对需要发送的数据进行加密；解密子模块，用于对接收的数据进行解密。

以及，第一安全参数、或第二安全参数、或第三安全参数、或第四安全参数包括以下之少之一：密钥、密钥生存周期、密钥算法、密钥协议。

借助上述技术方案，本发明通过预先在终端和认证服务器设置初始安全参数，使得切换管理模块可以从认证服务器获取由初始安全参数产生的安全参数，基于获取的安全参数，在与终端相互认证成功的情况下，建立与终端的安全机制，可以克服由于切换管理模块无法获知与终端相关的安全参数，导致终端与切换管理模块之间无法进行认证进而无法建立安全机制的问题，本发明能够保证终端与切换管理模块之间的通信安全。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明方法实施例的安全切换方法的认证过程的流程图；

图2是根据本发明方法实施例的域内安全切换认证过程的示意图；

图3是根据本发明方法实施例的域内安全切换认证过程的另一示意图；

图4是根据本发明方法实施例的域间认证过程的示意图；

图5是根据本发明系统实施例的安全切换系统的简要结构框图；

图6是根据本发明系统实施例的安全切换系统的框图；

图7是根据本发明系统实施例的安全切换系统的架构示意图。

具体实施方式

功能概述

在目前的网络切换过程中，由于切换管理模块无法获知与终端相关的安全参数，使得终端与切换管理模块之间无法通过认证过程来建立安全机制，进而使得终端与切换管理模块之间的通信安全也无法得以保证。基于此，本发明提供了一种改进的安全切换方案，应用于下一代网络中终端的切换过程中，在该方法中，通过在认证服务器设置与终端相同的初始安全参数，使得切换管理模块可以直接或间接地从认证服务器获取由初始安全参数产生的安全参数，并基于获取的安全参数实现终端与切换管理模块的相互认证，在与终端相互认证成功的情况下，建立与终端的安全机制，从而可以保证终端与切换管理模块之间的通信安全。

在本发明的方案中，安全参数包括密钥、密钥生存周期、密钥算法及密钥协议，可以由初始安全参数根据EAP-AKA协议产生，具体地，认证服务器与终端可以根据特定的函数对初始安全参数进行处理，产生安全参数。这里的特定的函数可以是哈希函数或KDF(密钥产生功能)函数。本发明中的认证服务器可以将本地产生的安全参数分发到其他功能模块。

需要说明的是，本发明中涉及的由初始安全参数产生安全参数的过程，可以参考现有技术中的由根密钥产生密钥的过程。由于在终端和认证服务器预先设置的初始安全参数是相同的，并且，终端和认证服务器以相同的处理方式处理初始安全参数，因此，如果终端是合法的，那么在终端和认证服务器上由各自的初始安全参数产生的安全参数也应当是相同的。在现有技术中，如果根密钥产生了若干密钥，系统分别使用这些密钥的顺序是一定的，也就是说，终端和认证服务器上的安全参数的使用顺序也是相同的。例如，使用哈希函数对初始安全参数处理后，得到四个安全参数，这四个安全参数的使用顺序是一定的，并且，分别在终端和认证服务器上的四个安全参数是根据上述顺序一一对应并且相同的，也就是说，在进行认证时，终端与认证服务器都知道的当前应当采用的安全参数。

下面将参考附图并结合实施例，来详细说明本发明。需要说明的是，如果不冲突，本申请中的实施例以及实施例中的特征可以相互组合。

方法实施例

根据本发明实施例，提供了一种安全切换方法，用于下一代网络中终端的切换过程中，其中，下一代网络包括切换管理模块、认证服务器和终端，该安全切换方法包括：在认证服务器和终端上预先设置初始安全参数并由初始安全参数生成安全参数；切换管理模块获取安全参数；以及切换管理模块与终端使用生成的安全参数进行交互，以保证通信双方之间的通信安全。

在具体实施过程中，切换管理模块直接从认证服务器获取安全参数；或者切换管理模块从移动信息管理模块获取安全参数，其中，移动信息管理模块中的安全参数是从认证服务器获取的。

上述使用生成的安全参数进行的交互包括认证过程、切换管理模块与终端交互的完整性、机密性过程。

图1是根据本发明实施例的安全切换方法中的认证过程的流程图，其中，第一安全参数和第三安全参数由认证服务器上的初始安全参数生成，第二安全参数和第四安全参数由终端上的初始安全参数生成。根据上述对安全参数的描述，对于认证服务器，系统首先使用的是第一安全参数，然后是第三安全参数，而对于终端，系统首先使用的是第二安全参数，然后是第四安全参数。

在需要进行切换的情况下，如图1所示，该认证过程包括步骤102-步骤106。

步骤102，切换管理模块从认证服务器获取第一安全参数并接收来自终端的第二参数，其中，第二参数包括第一随机数以及经由第一随机数处理后的第二安全参数。这里的切换管理模块从认证服务器获取第一安全参数可以是直接从认证服务器获取，也可以间接从认证服务器获取，其中，间接获取是指切换管理模块从移动信息管理模块获取第一安全参数，而移动信息管理模块的第一安全参数是预先从认证服务器获取的(第三安全参数的获取同样也可以采用直接获取或间接获取的方式)。

在具体的实施过程中，上述对第二安全参数的处理包括：终端产生一个随机数(即上述第一随机数)，对第二安全参数和第一随机数执行MD5算法或者H-MAC算法。这样，在传输过程中，可以保证安全参数不被非法者获取，从而保证安全参数的安全性。

步骤104，切换管理模块根据第一安全参数以及第二参数对终端进行认证。

具体地，切换管理模块根据第一随机数对第一安全参数进行处理(该处理过程与上述对第二安全参数的处理相同)，将处理结果与第二参数中的经由第一随机数处理后的第二安全参数进行比较，在比较结果为相同的情况下，确定对终端认证成功。

在实际中，切换管理模块对终端进行认证，也可以是：对第二参数中的经由第一随机数处理后的第二安全参数执行逆处理，获得第二安全参数，如果第一安全参数和第二安全参数相同，则表示确定对终端认证成功。

步骤106，在对终端认证成功的情况下，终端根据来自切换管理模块的第三参数以及终端上的第四安全参数对切换管理模块进行认证，其中，第三参数包括第二随机数以及经由第二随机数处理后的第三安全参数，该第二随机数由切换管理模块随机产生。

具体地，终端根据第二随机数对第四安全参数进行处理(该处理过程与上述对第二安全参数的处理相同)，将处理结果与第三参数中的经由第二随机数处理后的第三安全参数进行比较，在比较结果为相同的情况下，确定对切换管理模块认证成功。

类似于上述步骤104，终端对切换管理模块进行认证，也可以是：对第三参数中的经由第二随机数处理后的第三安全参数执行逆处理，获得第三安全参数，如果第四安全参数和第三安全参数相同，则表示对切换管理模块认证成功。

优选地，终端在需要进行切换的情况下，可以向切换管理模块发送认证请求，并在该认证请求中携带第二参数(即上述步骤104中的第二参数)和认证请求消息，从而将第二参数发送给切换管理模块，在步骤104中对终端的认证成功的情况下，响应于认证请求消息，切换管理模块可以向终端发送认证响应，并在该认证响应中携带第三参数(即上述步骤106中的第三参数)，用于之后在终端上执行的认证。具体详细地认证过程可以参考上述步骤104和步骤106。

另外，安全机制中除了上述的认证过程，还包括对终端和切换管理模块之间通信的数据的机密性和完整性的保障。上述切换管理模块获取的安全参数还可以参与终端和切换管理模块之间通信的数据的机密性和完整性的保护。

对于数据的机密性的保障，通过下述操作来实现：终端根据第二安全参数对认证请求消息进行加密，相应地，切换管理模块根据接收的认证请求中的第二参数对认证请求消息进行解密。这样，就保证了认证请求消息的机密性。具体操作包括：终端将第二安全参数中的相关密钥信息作为密码算法1的输入参数之一，对认证请求消息进行加密处理，相应地，切换管理模块在接收到第二参数时，可以根据第二参数中的第一随机数获取第二安全参数(即执行步骤102中与第一随机数处理第二安全参数相应的逆处理)，根据第二安全参数中的相关密钥信息对认证请求消息进行解密处理，以此实现对认证请求消息的机密性保护。

对于数据的完整性的保障，通过下述操作来实现：终端根据第二安全参数和认证请求消息设置第一附加数据，并将第一附加数据携带在认证请求中；切换管理模块根据接收的第二参数和认证请求消息输出第二附加数据；如果第一附加数据和第二附加数据相同，则表示认证请求安全，即表示该认证请求消息未被篡改，该认证请求消息是完整的。具体的操作包括：终端将第二安全参数中相关密钥信息和认证请求消息作为密码算法2的输入参数，输出固定长度的数据，将该固定长度的数据携带在认证请求中发送给切换管理模块。相应地，切换管理模块接收到认证请求后，通过上述机密性保护中的处理获取第二安全参数，并将第二安全参数中相关密钥信息和认证请求消息作为密码算法2的输入参数，输出另一固定长度的数据。如果输出的固定长度的数据与认证请求中的固定长度的数据相同，则表示认证请求消息没有被篡改，从而保证了认证请求消息的完整性。

需要说明的是，上述对认证请求消息的机密性和完整性的保障操作，同样也可以应用于对认证响应以及其他场景中数据的机密性和完整性的保障。

在实际中，如果步骤104的对终端的认证不成功，则无需执行步骤106，该认证过程结束。另外，如果步骤106的对切换管理模块的认证不成功，则认证过程结束。

由上述描述可以看出，通过切换管理模块获取安全参数，使得切换管理模块和终端之间能够互相认证，从而终端和切换管理模块之间可以建立安全机制，进而保证终端与切换管理模块之间的通信安全。

图2是根据本发明方法实施例的域内安全切换认证过程的示意图，其中，随机数表示为R1(对应于上述第一随机数)和R2(对应于上述第二随机数)，在终端，由初始安全参数产生的安全参数表示为A1、A2、A3、A4，安全参数经过与R1的处理后表示为R11(R1处理后的A1)、R12(R1处理后的A2)、R13(R1处理后的A3)、R14(R1处理后的A4)，经过与R2的处理后表示为R21(R2处理后的A1)、R22(R2处理后的A2)、R23(R2处理后的A3)、R24(R2处理后的A1)；在认证服务器，由初始安全参数产生的安全参数表示为B1、B2、B3、B4，安全参数经过与R1的处理后表示为R11’(R1处理后的B1)、R12’(R1处理后的B2)、R13’(R1处理后的B3)、R14’(R1处理后的B4)，安全参数经过与R2的处理后表示为R21’(R2处理后的B1)、R22’(R2处理后的B2)、R23’(R2处理后的B3)、R24’(R2处理后的B4)，上述切换管理模块可以是切换决策功能模块(Handover Decision Function，简称为HDF)21，上述移动信息管理模块可以是地址管理功能模块(MobileLocation Management Function，简称为MLMF)22，上述认证服务器可以是传输认证授权功能模块(Transport authentication andauthorization functional entity，简称为TAA-FE)23，如图2所示，该流程包括以下步骤：

步骤1，终端20向切换决策功能模块21发送认证请求，该认证请求中包含有R11和R1；

步骤2，响应于接收到的认证请求，切换决策功能模块21向地址管理功能模块22发送认证请求，该认证请求中包含由安全参数获取请求；

步骤3，响应于接收到的安全参数获取请求，地址管理功能模块22向传输认证授权功能模块23发送认证请求，该认证请求中包含由安全参数获取请求；

步骤4，响应于接收到的地址管理功能模块22的安全参数获取请求，传输认证授权功能模块23向地址管理功能模块22发送认证响应，该认证响应中包含有B1；

步骤5，地址管理功能模块22向切换决策功能模块21发送认证响应，该认证响应中包含有B1；

上述步骤2-步骤5为上述描述的从传输认证授权功能模块23间接地获取安全参数，对于直接从传输认证授权功能模块23获取安全参数，该获取安全参数的处理可以由以下步骤6和步骤7来替代实现：

步骤6，切换决策功能模块21向传输认证授权功能模块23发送认证请求，该认证请求中包含由安全参数获取请求；

步骤7，传输认证授权功能模块23向切换决策功能模块21发送认证响应，该认证响应中包含有B1，对B1经过R1处理后，得到R11’，如果R11与R11’相同，则表示切换决策功能模块21对终端20的认证成功，并执行步骤8；否则，认证过程结束；

步骤8，切换决策功能模块21向终端20发送认证响应，其中，认证响应中包括R22’和R2，对A2经过R2处理后，得到R22，如果R22’等于R22，则表示终端20对切换决策功能模块21的认证成功，系统能够建立安全机制，否则，认证过程结束。

在上述步骤1至8中，所有的切换决策功能模块21和终端20之间的通信数据，都需要执行上述机密性和完整性的保障操作，具体地描述，这里不再赘述。

在具体实施过程中，还可以由切换管理模块发起认证过程，即，由切换管理模块首先向终端发送参数，以供终端对切换管理模块进行认证。该认证过程包括以下3个步骤：

步骤1，切换管理模块从认证服务器获取第一安全参数，并向终端发送第一参数，其中，第一参数包括第二随机数以及经由第二随机数处理后的第一安全参数；

步骤2，终端模块接收第一参数，并根据第二安全参数以及第一参数对切换管理模块进行认证；

步骤3，在对切换管理模块认证成功的情况下，切换管理模块根据来自终端的第四参数以及切换管理模块上的第三安全参数对终端进行认证，其中，第四参数包括第一随机数以及经由第一随机数处理后的第四安全参数；

其中，第一安全参数和第三安全参数根据认证服务器上的初始安全参数生成，第二安全参数和第四安全参数根据终端上的初始安全参数生成。

具体地，终端和切换管理模块在本地相互认证的过程可以参考上述图1中的相应描述，这里不再赘述。

图3是根据本发明实施例的域内安全切换认证过程的另一示意图，与图2所示的流程区别在于，图2所示的安全切换认证过程是由用户终端首先发起的，而图3所示的安全切换认证过程是由切换决策功能模块首先发起的。

如图3所示，图2中的步骤1的认证请求中包含R11和R1，而在图3中，终端向切换决策功能模块发送的认证请求中不包含R11和R1。

另外，与图2中所示的步骤不同的步骤还包括：

步骤7，传输认证授权功能模块23向切换决策功能模块21发送认证响应，该认证响应中包含随机数1和安全参数1经过随机数1处理后产生的参数1；

步骤8：终端20在接收到认证响应后，用终端的安全参数2和认证响应中的随机数1产生参数2，如果参数2和认证响应中的参数1相同，则表示终端20对切换决策功能模块21认证成功，执行步骤9，否则，认证过程结束；

步骤9，终端20对切换决策功能模块21认证成功后，终端20发送安全参数4经过随机数2处理后产生的参数4和随机数2到切换决策功能模块21，切换决策功能模块21用安全参数3和随机数2生成参数3，如果参数3、4相同，则表示切换决策功能模块21对终端20认证成功。

图4是根据本发明实施例的域间认证过程的示意图，包括以下步骤：

步骤1，终端30向目的切换决策功能模块32(HDF-2)发起认证请求；

步骤2，目的切换决策功能模块32向目的地址管理功能模块35(MLMF-2)发送认证请求，该认证请求中包含安全参数获取请求；

步骤3，目的地址管理功能模块35向目的传输认证授权功能模块36(TAA-FE-2)发送认证请求，该认证请求中包含安全参数获取请求；

步骤4，响应于接收到的地址管理功能模块35的认证请求，目的传输认证授权功能模块36向目的地址管理功能模块35发送认证响应，该认证响应中包含有安全参数(该安全参数对应于步骤102中的第一安全参数)；

步骤5，目的地址管理功能模块35向目的切换决策功能模块32发送认证响应，该认证响应中包含有安全参数(即，步骤4中的安全参数)；

或者，类似于图2中的流程，上述步骤2-步骤5为目的切换决策功能模块32从目的传输认证授权功能模块36间接地获取安全参数，可选地，也可以直接从目的传输认证授权功能模块36获取安全参数，直接获取过程包括以下步骤6和步骤7：

步骤6，目的切换决策功能模块32向目的传输认证授权功能模块36发送认证请求，该认证请求中包含由安全参数获取请求；

步骤7，目的传输认证授权功能模块36返回认证响应，该认证响应中包含安全参数(该安全参数对应于步骤102中的第一安全参数)；目的切换决策功能模块32对终端30进行认证，认证过程前面已经详细叙述；

步骤8，目的切换决策功能模块32向终端30发送认证响应；

步骤9，终端30对目的切换决策功能模块32进行认证，认证过程前面已经详细叙述。

在上述步骤1至9中，所有的切换决策功能模块32和终端30之间的通信数据，都需要执行上述机密性和完整性的保障操作，具体地描述，这里不再赘述。

需要说明的是，为了便于描述，在图1至图4中以步骤的形式示出并描述了本发明的方法实施例的技术方案，在图1至图4中所示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。虽然在图1至图4中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

由以上描述可以看出，终端与切换管理模块之间以安全参数为基础建立安全机制，使终端与切换管理模块之间通信过程中的信令数据和用户数据的私密性、完整性得到保证。

系统实施例

根据本发明实施例，提供了一种安全切换系统，可以用于实现上述方法实施例中所描述的方法。

图5是根据本发明实施例的安全切换系统的简要结构框图，如图5所示，安全切换系统包括：移动信息管理模块40、切换管理模块41、终端42、认证服务器43，以下对个模块进行详细的描述。

移动信息管理模块40，连接至切换管理模块41和认证服务器43，用于在终端42的网络附着、网络切换过程中从认证服务器43获取认证需要的安全参数，以及获取终端42的永久/临时以及本地/移动网络地址信息和终端42的网络附着的信息，该移动信息管理模块40可以位于拜访网络和/或家乡网络。

切换管理模块41，连接至移动信息管理模块40、和终端42、和认证服务器43，具有切换决策功能、二层切换控制功能、三层切换控制功能、移动用户终端网络信息功能，从而切换管理模块41能够用于网络资源协商，网络触发的切换决策以及终端触发的切换操作。

认证服务器43，连接至移动信息管理模块40、和切换管理模块41，用于存储与终端42相同的初始安全参数，例如认证信息等。

在终端42网络切换的过程中，首先需要与切换管理模块41之间建立安全机制，而安全机制的建立需要切换管理模块41获知认证服务器43的与终端42相同的安全参数。切换管理模块41可以通过直接或间接地(即，通过移动信息管理模块40从认证服务器43首先获取，然后切换管理模块41从移动信息管理模块40获取)从认证服务器43获取安全机制建立所需的安全参数，基于获取的安全参数，实现切换管理模块41与终端42的相互认证，以此建立切换管理模块与终端42的安全机制，保护切换管理模块与终端42的通信安全。具体地，切换管理模块41与终端42的相互认证过程，可以参考上述方法实施例中的认证过程，这里不再赘述。

图6是根据本发明实施例的安全切换系统的框图，如图6所示，安全切换系统包括切换管理模块1、终端2、移动信息管理模块3和认证服务器4，各模块之间的连接关系如图5所示。其中，在认证服务器4和终端2上预先设置有相同的初始安全参数，认证所需要的安全参数由初始安全参数产生，安全参数主要包括：密钥、密钥生存周期、密钥算法及密钥协议。优选地，该安全参数可以是上述方法实施例中的安全参数。

如图6所示，切换管理模块1包括：获取子模块10、第一接收子模块11、第一处理子模块12、第一比较子模块13、第一发送子模块14、调用子模块15；终端2包括：第二发送子模块20、第二接收子模块21、第二处理子模块22、第二比较子模块23、触发子模块24，以下对各模块进行详细的描述。

在切换管理模块1中：获取子模块10，用于从移动信息管理模块3或认证服务器4获取第一安全参数和第三安全参数；第一接收子模块11，用于接收来自终端的第二参数，其中，第二参数包括第一随机数以及经由第一随机数处理后的第二安全参数；第一处理子模块12，连接至第一接收子模块11和获取子模块10，用于根据第一接收子模块11接收的第二参数中的第一随机数，对获取子模块10获取的第一安全参数进行处理；第一比较子模块13，连接至第一处理子模块12和第一接收子模块11，用于比较第一处理子模块12的处理结果与第一接收子模块11接收的经由第一随机数处理后的第二安全参数；第一发送子模块14，用于将第三参数发送给终端，其中，第三参数包括第二随机数以及经由第二随机数处理后的第三安全参数；调用子模块15，连接至第一比较子模块13，用于在第一比较子模块13的比较结果为相同的情况下，使能第一发送子模块14。

在终端2中：第二发送子模块20，用于将第二参数发送给切换管理模块；第二接收子模块21，用于接收来自切换管理模块的第三参数，其中，第三参数包括第二随机数以及经由第二随机数处理后的第三安全参数；第二处理子模块22，连接至第二接收子模块21，用于根据第二接收子模块22接收的第三参数中的第二随机数，对本地的第四安全参数进行处理；第二比较子模块23，连接至第二处理子模块22和第二接收子模块21，用于比较第二处理子模块22的处理结果与第二接收子模块21接收的经由第二随机数处理后的第三安全参数；触发子模块24，连接至第二比较子模块23，用于在第二比较子模块23的比较结果为相同的情况下，触发系统建立安全机制。

其中，第一安全参数和第三安全参数根据认证服务器上的初始安全参数生成，第二安全参数和第四安全参数根据终端上的初始安全参数生成，具体地，由初始安全参数生成安全参数的方法可以参考上述方法实施例中的相应描述，这里不再赘述。

在具体实施过程中，切换管理模块1和终端2都可以包括加密子模块和解密子模块，其中，加密子模块用于对需要发送的数据进行加密，解密子模块用于对接收的数据进行解密。优选地，加密子模块和解密子模块可以结合起来，用于保证切换管理模块1和终端2之间通信的数据的机密性和完整性，具体地执行机密性和完整性操作，可以参考上述方法实施例中的描述，这里不再赘述。

图7是根据本发明实施例的安全切换系统的架构示意图，如图7所示，该系统架构主要包括移动用户终端(User Equipment，简称为UE，也可称为终端)1、用于实现用户认证、移动业务的认证、IP地址分配等功能的网络附着控制功能(NACF)2，用于在NGN中进行移动性管理的移动管理控制功能(MMCF)3。其中，NACF2包括：用于存储用户身份、认证数据、支持的认证方式、密钥等信息的传输用户信息功能实体(TUP-FE)20和TAA-FE 21，MMCF3包括：MLMF 30，HDF 31，和用于提供邻居网络信息(例如邻居网络的策略和切换代价等信息)并为HDF 31提供支持的网络信息存储功能(NIRF)32。其中，MLMF 30，HDF 31，TAA-FE 21分别对应于上述的移动信息管理模块、切换决策模块、认证服务器。

UE在网络切换过程中，需要与HDF 31进行认证才能建立安全机制，以保护两者之间的通信安全，HDF 31通过以下两种方式获得认证所需的安全参数。

方法一：直接从TAA-FE获取

步骤1，HDF向TAA-FE发送认证请求，TAA-FE返回切换决策模块HDF认证需要的安全参数；

方法二：间接从TAA-FE获取

步骤2，HDF向MLMF发送认证请求，MLMF从TAA-FE获得认证需要的安全参数后，将该安全参数发送给HDF。

综上所述，通过预先在认证服务器设置与终端相同的初始安全参数，使得切换决策模块可以获取认证所需要的安全参数，基于获取的安全参数，实现与终端之间相互认证过程以及数据机密性和完整性的保证，从而解决了相关技术中终端切换时由于切换决策模块无法与终端进行认证所以无法实现两者之间的安全机制的问题，通过本发明，能够在上述两者之间建立安全机制，保证两者之间通信的安全性，为终端的安全切换提供保障。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (11)

1.一种安全切换方法，用于下一代网络中终端的切换过程中，其中，所述下一代网络包括切换管理模块、认证服务器和所述终端，其特征在于，

在所述认证服务器和所述终端上预先设置初始安全参数并由所述初始安全参数生成安全参数；

所述切换管理模块获取所述安全参数，包括：所述切换管理模块直接从所述认证服务器获取所述安全参数；

所述切换管理模块与所述终端使用生成的所述安全参数进行交互，以保证通信双方之间的通信安全，其中，所述交互包括：所述切换管理模块与所述终端的认证过程，包括：

所述切换管理模块从所述认证服务器获取第一安全参数并接收来自所述终端的第二参数，其中，所述第二参数包括第一随机数以及经由所述第一随机数处理后的第二安全参数；

所述切换管理模块根据所述第一安全参数以及所述第二参数对所述终端进行认证，包括：所述切换管理模块根据所述第一随机数对所述第一安全参数进行处理，将处理结果与所述第二参数中的经由所述第一随机数处理后的第二安全参数进行比较，在比较结果为相同的情况下，确定对所述终端认证成功；

在对所述终端认证成功的情况下，所述终端根据来自所述切换管理模块的第三参数以及所述终端上的第四安全参数对所述切换管理模块进行认证，其中，所述第三参数包括第二随机数以及经由所述第二随机数处理后的第三安全参数；

其中，所述第一安全参数和所述第三安全参数根据所述认证服务器上的初始安全参数生成，所述第二安全参数和所述第四安全参数根据所述终端上的初始安全参数生成。

2.根据权利要求1所述的方法，其特征在于，所述切换管理模块获取所述安全参数，还包括以下方式：

所述切换管理模块从移动信息管理模块获取所述安全参数，其中，所述移动信息管理模块中的安全参数是从认证服务器获取的。

3.根据权利要求1所述的方法，其特征在于，所述切换管理模块与所述终端使用生成的所述安全参数进行的交互还包括：所述切换管理模块与所述终端交互的完整性、机密性过程。

4.根据权利要求3所述的方法，其特征在于，所述切换管理模块与所述终端的认证过程包括：

所述切换管理模块从所述认证服务器获取第一安全参数，并向终端发送第一参数，其中，所述第一参数包括第二随机数以及经由所述第二随机数处理后的第一安全参数；

所述终端模块接收所述第一参数，并根据第二安全参数以及所述第一参数对所述切换管理模块进行认证；

在对所述切换管理模块认证成功的情况下，所述切换管理模块根据来自所述终端的第四参数以及所述切换管理模块上的第三安全参数对所述终端进行认证，其中，所述第四参数包括第一随机数以及经由所述第一随机数处理后的第四安全参数；

其中，所述第一安全参数和所述第三安全参数根据所述认证服务器上的初始安全参数生成，所述第二安全参数和所述第四安全参数根据所述终端上的初始安全参数生成。

5.根据权利要求4所述的方法，其特征在于，所述终端对所述切换管理模块进行认证的处理包括：

所述终端根据所述第二随机数对所述第二安全参数进行处理，将处理结果与所述第一参数中的经由所述第二随机数处理后的第一安全参数进行比较，在比较结果为相同的情况下，确定对所述切换管理模块认证成功。

6.根据权利要求3所述的方法，其特征在于，所述方法还包括：

所述终端根据所述第二安全参数对认证请求消息进行加密；

所述切换管理模块根据接收的认证请求中的所述第二参数对所述认证请求消息进行解密。

7.根据权利要求3所述的方法，其特征在于，所述方法还包括：

所述终端根据所述第二安全参数和认证请求消息设置第一附加数据，并将所述第一附加数据携带在所述认证请求中；

所述切换管理模块根据接收的所述第二参数和所述认证请求消息设置第二附加数据；

如果所述第一附加数据和所述第二附加数据相同，则表示认证请求安全。

8.根据权利要求1至7中任一项所述的方法，其特征在于，所述第一安全参数、或所述第二安全参数、或所述第三安全参数、或所述第四安全参数包括以下至少之一：

密钥、密钥生存周期、密钥算法、密钥协议。

9.一种安全切换系统，该安全切换系统包括终端、切换管理模块、移动信息管理模块和认证服务器，其特征在于，所述认证服务器和所述终端上预先设置有初始安全参数，其中，

所述切换管理模块包括：

获取子模块，用于从所述移动信息管理模块或所述认证服务器获取第一安全参数和第三安全参数；

第一接收子模块，用于接收来自所述终端的第二参数，其中，所述第二参数包括第一随机数以及经由所述第一随机数处理后的第二安全参数；

第一处理子模块，用于根据所述第一接收子模块接收的所述第二参数中的所述第一随机数，对所述获取子模块获取的第一安全参数进行处理；

第一比较子模块，用于比较所述第一处理子模块的处理结果与所述第一接收子模块接收的经由所述第一随机数处理后的第二安全参数；

第一发送子模块，用于将第三参数发送给所述终端，其中，所述第三参数包括第二随机数以及经由所述第二随机数处理后的第三安全参数；

调用子模块，用于在所述第一比较子模块的比较结果为相同的情况下，使能所述第一发送子模块；所述终端包括：

第二发送子模块，用于将第二参数发送给所述切换管理模块；

第二接收子模块，用于接收来自所述切换管理模块的第三参数，其中，所述第三参数包括第二随机数以及经由所述第二随机数处理后的第三安全参数；

第二处理子模块，用于根据所述第二接收子模块接收的所述第三参数中的所述第二随机数，对本地的第四安全参数进行处理；

第二比较子模块，用于比较所述第二处理子模块的处理结果与所述第二接收子模块接收的经由所述第二随机数处理后的第三安全参数；

触发子模块，用于在所述第二比较子模块的比较结果为相同的情况下，触发系统建立安全机制；

其中，所述第一安全参数和所述第三安全参数根据所述认证服务器上的初始安全参数生成，所述第二安全参数和所述第四安全参数根据所述终端上的初始安全参数生成。

10.根据权利要求9所述的安全切换系统，其特征在于，所述终端和所述切换管理模块还包括：

加密子模块，用于对需要发送的数据进行加密；

解密子模块，用于对接收的数据进行解密。

11.根据权利要求9或10所述的安全切换系统，其特征在于，所述第一安全参数、或所述第二安全参数、或所述第三安全参数、或所述第四安全参数包括以下之少之一：

密钥、密钥生存周期、密钥算法、密钥协议。

Images