CN101938746A

CN101938746A - 一种用户标识模块反克隆的方法及装置

Info

Publication number: CN101938746A
Application number: CN2009101085504A
Authority: CN
Inventors: 邱勇; 张爱琴; 陈璟; 杨义
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2009-06-30
Filing date: 2009-06-30
Publication date: 2011-01-05
Anticipated expiration: 2029-06-30
Also published as: CN101938746B

Abstract

本发明实施例公开了一种用户标识模块反克隆的方法，通过判断使用同一IMSI的两个用户是否来自同一位置区域，以此来识别该IMSI对应的SIM/USIM卡是否被克隆，网络侧识别出SIM/USIM卡被克隆后，可以发出警告甚至拒绝提供服务，从而使得用户能够及时获知自己的用户标识模块被克隆并及早采取措施来阻止克隆卡的使用，提高了网络安全性，减少用户的经济损失及隐私的泄漏，降低了用户标识模块被克隆后给合法用户带来的安全威胁。本发明实施例还公开了一种用户标识模块反克隆的装置。

Description

一种用户标识模块反克隆的方法及装置

技术领域

本发明涉及无线通信领域，尤其涉及一种用户标识模块反克隆的方法及装置。

背景技术

在GSM(Global System for Mobile Communications，全球移动通信系统)/UMTS((Universal Mobile Telecommunications System，通用移动通信系统)系统中，用户可以使用SIM(Subscriber Identity Module，用户标识模块)卡接入移动网络。SIM卡中存储着用户的永久身份IMSI(International Mobile Subscriber Identit，国际移动用户识别码)、永久密钥K等最重要的信息。SIM卡同时也是用户与网络进行认证时的重要实体。SIM卡与HLR(Home Location Register，归属位置寄存器)/AuC(Authentication Center，认证中心)进行AKA(Authentication and Key Agreement，认证和密钥协商)以完成认证，并生成随后使用的密钥。USIM(Universal SubscriberIdentity Module，通用用户标识模块)的作用与SIM卡类似，可以在UMTS/EPS(Evolved Packet System，演进的分组系统)系统中使用。

发明人在实现本发明的过程中发现，目前，存在一些技术可以实现用户标识模块的克隆，这些克隆技术会造成用户的资费损失；还可能造成用户的网络被窃听，如：短信、push业务，以及可能的实时交互业务被监听等，严重妨害了合法用户的私密性，但合法用户无法及时获知自己的用户标识模块被克隆。

发明内容

本发明实施例提供了一种用户标识模块反克隆的方法及装置，以使得合法用户能够及时获知自己的用户标识模块被克隆。

本发明实施例提供了一种用户标识模块反克隆的方法，包括：

网络侧判断是否存在与第二用户设备具有相同国际移动用户识别码IMSI，但所处的位置区域不同的第一用户设备；

如果是，则向所述第一用户设备及所述第二用户设备发送告警信息。

本发明实施例提供了一种网络管理实体，其特征在于，包括：

判断单元：用于判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备；

告警单元，用于当所述判断单元的判断结果为是时，向所述第一用户设备及所述第二用户设备发送告警信息。

通过比较可以发现，上述技术方案中的一个技术方案与现有技术相比，具有如下优点或有益效果：

本发明实施例中，通过判断使用同一IMSI的两个用户是否来自同一位置区域，以此来识别该IMSI对应的SIM/USIM卡是否被克隆，网络侧识别出SIM/USIM卡被克隆后，可以发出警告，从而使得用户能够及时获知自己的用户标识模块被克隆并及早采取措施，如：注销该卡等，来阻止克隆卡的使用，提高了网络安全性，减少用户的经济损失及隐私的泄漏，降低了用户标识模块被克隆后给合法用户带来的安全威胁。

附图说明

图1所示为本发明实施例提供的一种用户标识模块反克隆的方法的流程图；

图2所示为本发明实施例所提供的用户标识模块反克隆的方法的具体应用流程图；

图3所示为本发明实施例提供的一种网络管理实体的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面结合附图对本发明各实施例作进一步的详细描述。

如图1所示为本发明实施例提供的一种用户标识模块反克隆的方法，可应用于不同的通信系统中，如：GSM、3G(第三代移动通信系统)、LTE等。具体方法流程包括：

步骤101、网络侧判断是否存在与第二用户设备具有相同国际移动用户识别码IMSI，但所处的位置区域不同的第一用户设备；

步骤102、如果步骤101的判断结果为是，则向所述第一用户设备及所述第二用户设备发送告警信息，以及还可以拒绝为其中一方或双方提供服务。

如步骤101的判断结果为否，则上述两个用户设备均可以正常接入，与现有技术相同，不再赘述。

由于通常克隆与被克隆的用户标识模块处在同一位置区域的概率较小，所以可以认为上述方法能够有效地通过判断同一IMSI的两个用户是否来自同一位置区域来判断该用户标识模块是否被克隆。

通过本实施例提供的方法，使得通过判断使用同一IMSI的两个用户是否来自同一位置区域，以此来识别该IMSI对应的SIM/USIM卡是否被克隆，网络侧识别出SIM/USIM卡被克隆后，可以发出警告甚至拒绝提供服务，使得合法用户及早获知自己的用户标识模块被克隆并及早采取措施，如：注销该卡等，来阻止克隆卡的使用，提高了网络安全性，减少用户的经济损失及隐私的泄漏，降低了用户标识模块被克隆后给合法用户带来的安全威胁。

如图2所示本发明实施例所提供的用户标识模块反克隆的方法的具体应用流程图，具体包括：

步骤201、第一用户设备向网络侧中的接入网实体发送初始Layer(层)3消息。

该初始层3消息中携带着用户设备的临时身份标识，网络侧可以根据该临时身份标识查找该用户设备对应的IMSI。

在GSM系统中，上述接入网实体可以为BSC(Base Station Controller，基站控制器)；在3G系统中，上述接入网实体可以为RNC(Radio Network Controller，无线网络控制器)；在LTE系统中，上述接入网实体可以为eNB(演进的节点B)。

在GSM或3G系统中，上述初始层3消息可以为Attach Request(附着请求)、Service Request(业务请求)或者RAU/LAU Request(位置区域更新请求)。其中，Attach Request可以是在MS1开机，或者根据网络侧指令进行重新附着的情况下发送；Service Request可以是在MS1做主叫或者被叫的情况下发送；RAU/LAU Request可以是在MS1进行切换后，或者空闲状态下的移动过程中发送的。

在LTE系统中，上述初始层3消息可以为Attach Request、Service Request或者TAU Request(Tracking Area Update Request，跟踪区域更新请求)。其中，TAU Request可以是在MS1进行切换后或者空闲状态下的移动过程中发送的。

步骤202、所述接入网实体向网络侧的网络管理实体转发上述初始层3消息，以及可以发送第一用户设备的位置信息。

在GSM系统中，上述网络管理实体可以为MSC(Mobile Switching Center，移动交换中心)/VLR(Visiting Location Register，访问位置寄存器)；在3G系统中，上述网络管理实体可以为VLR/SGSN(Serving GPRS Support Node，服务GPRS支持节点)；在LTE系统中，上述网络管理实体可以为MME(Mobility Management Entity，移动管理实体)。

上述第一用户设备的位置信息，在GSM系统中可以包括：LAI(Location Area Identity，位置区域标识)、和/或cell id(小区标识)；在3G系统中可以包括：以下之一或其任意组合：LAI、RAC(Routing Area Code，路由区编码)、SAI(Service Area Identity，服务区标识)、RNC ID，还可以添加cell id；在LTE系统中可以包括：TAI(Tracking Area Identity，跟踪区域标识)、和ECGI(E-UTRAN Cell Global Identifier E-UTRAN小区全球标识符)。

步骤203、网络侧为MS1分配相应的网络资源，网络管理实体可以保存第一用户设备的位置信息及IMSI。

网络管理实体获得IMSI的方式可以是根据初始层3消息中携带的用户设备的临时身份标识去查找其对应的IMSI。

步骤204、网络侧在第一用户设备已经注册的时间内又收到第二用户设备通过其归属的接入网实体转发的初始层3消息，则：

当第一用户设备和第二用户设备均处于上述同一网络管理实体控制范围内时，如果该网络管理实体检测出第一用户设备与第二用户设备具有相同的IMSI，且根据其各自的位置信息判断出上述两个用户设备处于不同的位置区域，则向上述两个用户设备均发出告警信息，还可以拒绝为其中一方或其双方提供服务，从而使得合法用户可以获知其SIM卡可能被克隆；

或者，当上述初始层3消息为第二用户设备在其它网络控制实体的控制范围内发送的，即第一用户设备和第二用户设备分别处于不同的网络控制实体的控制范围时，为方便描述，以下称第一用户设备归属的网络控制实体为第一网络控制实体，第二用户设备归属的网络控制实体为第二网络控制实体；则由于第二网络控制实体会向该第二用户设备中的SIM/USIM卡最近一次附着的网络控制实体查找其信息，所以在第二用户设备与第一用户设备具有同样IMSI的情况下，第二网络控制实体会向第一网络控制实体发送身份请求消息，请求获取有关第二用户设备的信息；第一网络控制实体收到第二网络控制实体发来的身份请求消息之后，由于第二用户设备是在第二网络管理实体的控制范围内，所以显然与第一用户设备处于不同的位置区域。第一网络控制实体可以根据身份请求消息中携带的第二用户设备的临时身份检索第二用户设备对应的IMSI，并查找第一网络管理实体控制的位置区域中是否存在与该第二用户设备对应的IMSI相同的IMSI，从而可以判断出与第二用户设备处于不同位置区域的其他用户设备的IMSI中是否存在与该第二用户设备具有相同的IMSI。如果一个用户设备已经在一个位置区域内了，则可以说明该用户设备处于接入网络的状态，因此，如果查找到与该第二用户设备IMSI相同的其他用户设备，比如说是第一用户设备，则说明这两个用户设备中有一个是非法的。并且网络管理实体可以知道用户设备处于本实体控制的具体哪个位置区域内，因此，网络管理实体可以通过判断本第一网络管理实体控制的位置区域中是否存在与所述第二用户设备具有相同IMSI的第一用户设备，来查找出非法用户。

当然，第一网络管理实体还可以是根据第二用户设备对应的IMSI，来查找该IMSI在第一网络管理实体的控制范围内是否处于接入状态，比如，可以是判断是否处于附着状态，从而可以判断与第二用户设备处于不同位置区域的其他用户设备的IMSI中是否与该第二用户设备具有相同的IMSI。如果上述判断结果为是，则向第二网络控制实体返回告警信息，随后第一网络控制实体向第一用户设备、第二网络控制实体向第二用户设备发出告警信息，还可以拒绝为其中一方或其双方提供服务，从而使合法用户可以获知其用户标识模块可能被克隆。

通过上述实施例提供的方法，使得GSM、3G、LTE等系统中的网络侧实体可以基于用户设备的位置信息判断使用同一IMSI的两个用户是否来自同一位置区域，以此来识别该IMSI对应的SIM/USIM卡是否被克隆，网络侧识别出SIM/USIM卡被克隆后，可以发出警告甚至拒绝提供服务，使得合法用户及早获知自己的用户标识模块被克隆并及早采取措施，如：注销该卡等，来阻止克隆卡的使用，提高了网络安全性，减少用户的经济损失及隐私的泄漏，降低了用户标识模块被克隆后给合法用户带来的安全威胁。

本发明实施例还提供了一种用户标识模块反克隆的方法，包括：

步骤a、用户签约的时候，用户和运营商之间确定一个user specific identity (用户特定标识)，该用户特定标识可以为由用户或者运营商设置的密码。

步骤b、每次开机附着的时候，用户设备通过附着请求消息将该用户特定标识告知侧网络，网络侧实体，如：MSC/VLR、SGSN、或MME等，验证该附着请求消息中的用户特定标识和自己存储的该用户的IMSI对应的user specific identity是否一致，若一致则继续为该用户提供服务；否则发出报警信息和/或拒绝提供服务。

通过本实施例提供的方法，使得网络侧实体可以利用用户与网络侧共享的用户特定标识是否一致来识别该IMSI对应的SIM/USIM卡是否被克隆，网络侧识别出SIM/USIM卡被克隆后，可以发出警告甚至拒绝提供服务，从而提高网络安全性，减少用户的经济损失及隐私的泄漏，降低了用户标识模块被克隆后给合法用户带来的安全威胁。

本领域普通技术人员可以理解，上述各实施例中的全部或部分步骤可以通过程序指令相关的硬件来实现，上述的程序可以存储于计算机可读取存储介质中，上述的存储介质，可以是ROM/RAM、磁碟、光盘等。

图3所示为本发明实施例提供的一种网络管理实体3，包括：判断单元302，以及告警单元303。其中，

判断单元302：用于判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备；

告警单元303：用于当上述判断单元的判断结果为是时，向上述第一用户设备及上述第二用户设备发送告警信息。

该网络管理实体还可以包括：拒绝单元304，用于当上述判断单元的判断结果为是时，拒绝为上述第一用户设备和/或上述第二用户设备提供服务。

作为本发明一个实施例，该网络管理实体还可以进一步包括：

第一获取单元301a，用于接收由第一接入网实体发送的上述第一用户设备的位置信息以及上述第一用户设备的初始层3消息，以及根据上述第一用户设备的位置信息获知上述第一用户设备所处的位置区域，根据上述初始层3消息中携带的第一用户设备的临时身份标识获取上述第一用户设备的IMSI；

以及第二获取单元301b，用于接收由第二接入网实体发送的上述第二用户设备的位置信息以及上述第二用户设备的初始层3消息，以及根据上述第二用户设备的位置信息获知上述第二用户设备所处的位置区域，根据上述初始层3消息中携带的第二用户设备的临时身份标识获取上述第二用户设备的IMSI；

上述判断单元，具体用于根据上述第一信息获取单元和上述第二信息获取单元获取的信息来判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备。

作为本发明又一实施例，该网络管理实体还可以进一步包括：

第三获取单元301c，用于接收由第三接入网实体发送的上述第一用户设备的初始层3消息；以及由其它网络管理实体发送的用户请求上述第二用户设备身份的身份请求消息，并根据上述身份请求消息中携带的上述第二用户设备的临时身份获取上述第二用户设备的IMSI。

上述判断单元，具体用于根据上述第三信息获取单元获取的信息来判断与所述第二用户设备处于不同位置区域的其他用户设备中是否存在与所述第二用户设备具有相同IMSI的第一用户设备。

上述网络管理实体可以为GSM系统中的MSC/VLR，或者3G系统中的VLR/SGSN，或者LTE系统下的MME。

通过本实施例提供的装置，使得GSM、3G、LTE等系统中的网络管理实体可以基于用户设备的位置信息判断使用同一IMSI的两个用户是否来自同一位置区域，以此来识别该IMSI对应的SIM/USIM卡是否被克隆，网络侧识别出SIM/USIM卡被克隆后，可以发出警告甚至拒绝提供服务，从而使得合法用户及早获知自己的用户标识模块被克隆并及早采取措施，如：注销该卡等，来阻止克隆卡的使用，提高了网络安全性，减少用户的经济损失及隐私的泄漏，降低了用户标识模块被克隆后给合法用户带来的安全威胁。

需要特别说明的是，以上全部或部分单元可以集成在芯片中实现。在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。上述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。上述提到的存储介质可以是只读存储器，磁盘或光盘等。

附图和相关描述只是为了说明本发明的原理，并非用于限定本发明的保护范围。例如，本发明各实施例中的消息名称和实体可以根据网络的不同而有所变化，一些消息也可以省略。因此，凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

虽然通过参照本发明的某些优选实施例，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims

1.一种用户标识模块反克隆的方法，其特征在于，包括：

2.根据权利要求1所述方法，其特征在于，在所述网络侧判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备，之前还包括：

所述网络侧的网络管理实体接收由所述网络侧的第一接入网实体发送的所述第一用户设备的位置信息以及所述第一用户设备的初始层3消息，根据所述第一用户设备的位置信息获知所述第一用户设备所处的位置区域，根据所述初始层3消息中携带的第一用户设备的临时身份标识获取所述第一用户设备的IMSI；

所述网络侧的网络管理实体接收由所述网络侧的第二接入网实体发送的所述第二用户设备的位置信息以及所述第二用户设备的初始层3消息，根据所述第二用户设备的位置信息获知所述第二用户设备所处的位置区域，根据所述初始层3消息中携带的第二用户设备的临时身份标识获取所述第二用户设备的IMSI；

由所述网络管理实体执行所述判断的步骤。

3.根据权利要求1所述方法，其特征在于，所述网络侧判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备，具体包括：

所述网络侧的第一网络管理实体判断与所述第二用户设备位于不同位置区域的其他用户设备中，是否存在与所述第二用户设备具有相同的IMSI的第一用户设备；

其中，所述第一网络管理实体根据用户设备的初始层3消息中的用户设备的临时身份标识获取所述用户设备的IMSI；所述第一网络管理实体根据所述网络侧的第二网络管理实体发送的用于请求所述第二用户设备身份的身份请求消息中携带的第二用户设备的临时身份标识获取所述第二用户设备的IMSI。

4.根据权利要求3所述方法，其特征在于，所述网络侧的第一网络管理实体判断与所述第二用户设备位于不同位置区域的其他用户设备中，是否存在与所述第二用户设备具有相同的IMSI的第一用户设备，具体包括：

所述第一网络管理实体判断本第一网络管理实体控制的位置区域中是否存在与所述第二用户设备具有相同IMSI的第一用户设备；

或者包括：第一网络管理实体判断本第一网络管理实体的控制范围内是否存在与所述第二用户设备具有相同IMSI、且处于接入状态的第一用户设备。

5.根据权利要求3或4所述方法，其特征在于，所述向所述第一用户设备及所述第二用户设备发送告警信息，具体包括：

所述第一网络实体向所述第一用户设备发送告警信息，

所述第一网络实体通过所述第二网络管理实体向所述第二用户设备发送告警信息。

6.根据权利要求1至4中任意一项所述方法，其特征在于，所述网络侧判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备，之后还包括：

如果是，则拒绝为所述第一用户设备和/或所述第二用户设备提供服务。

7.一种网络管理实体，其特征在于，包括：

8.如权利要求7所述网络管理实体，其特征在于，还包括：

第一获取单元，用于接收由第一接入网实体发送的所述第一用户设备的位置信息以及所述第一用户设备的初始层3消息，以及根据所述第一用户设备的位置信息获知所述第一用户设备所处的位置区域，根据所述初始层3消息中携带的第一用户设备的临时身份标识获取所述第一用户设备的IMSI；

第二获取单元，用于接收由第二接入网实体发送的所述第二用户设备的位置信息以及所述第二用户设备的初始层3消息，以及根据所述第二用户设备的位置信息获知所述第二用户设备所处的位置区域，根据所述初始层3消息中携带的第二用户设备的临时身份标识获取所述第二用户设备的IMSI；

所述判断单元，具体用于根据所述第一信息获取单元和所述第二信息获取单元获取的信息来判断是否存在与第二用户设备具有相同IMSI，但所处的位置区域不同的第一用户设备。

9.如权利要求7所述网络管理实体，其特征在于，还包括：

第三获取单元，用于接收由第三接入网实体发送的所述第一用户设备的初始层3消息；以及由其它网络管理实体发送的用户请求所述第二用户设备身份的身份请求消息，并根据所述身份请求消息中携带的所述第二用户设备的临时身份获取所述第二用户设备的IMSI；

所述判断单元，具体用于根据所述第三信息获取单元获取的信息来判断与所述第二用户设备处于不同位置区域的其他用户设备中是否存在与所述第二用户设备具有相同IMSI的第一用户设备。

10.如权利要求7至9中任意一项所述的网络管理实体，其特征在于，还包括：

拒绝单元，用于当所述判断单元的判断结果为是时，拒绝为所述第一用户设备和/或所述第二用户设备提供服务。