CN102843233A - 一种机器到机器通信中组认证的方法和系统 - Google Patents

一种机器到机器通信中组认证的方法和系统 Download PDF

Info

Publication number
CN102843233A
CN102843233A CN2011101672801A CN201110167280A CN102843233A CN 102843233 A CN102843233 A CN 102843233A CN 2011101672801 A CN2011101672801 A CN 2011101672801A CN 201110167280 A CN201110167280 A CN 201110167280A CN 102843233 A CN102843233 A CN 102843233A
Authority
CN
China
Prior art keywords
mtc
authentication
key
mtc terminal
terminating gateway
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2011101672801A
Other languages
English (en)
Other versions
CN102843233B (zh
Inventor
夏正雪
田甜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201110167280.1A priority Critical patent/CN102843233B/zh
Priority to PCT/CN2012/075475 priority patent/WO2012174959A1/zh
Publication of CN102843233A publication Critical patent/CN102843233A/zh
Application granted granted Critical
Publication of CN102843233B publication Critical patent/CN102843233B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/065—Network architectures or network communication protocols for network security for supporting key management in a packet data network for group communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Abstract

本发明公开了一种机器到机器(M2M)通信中组认证的方法，机器类通信(MTC)终端网关和核心网(CN)进行双向认证，并计算密钥材料；MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。本发明还公开了一种M2M通信中组认证的系统，通过上述方法和系统，极大地减轻MTC终端和CN之间的信令负荷，提高MTC终端接入的认证效率，并且保证了MTC终端和CN之间端到端的安全。

Description

一种机器到机器通信中组认证的方法和系统
技术领域
本发明涉及机器类通信(Machine Type Communication，MTC)安全领域，特别是指一种机器到机器(M2M)通信中组认证的方法和系统。
背景技术
随着全球信息化，以及通信网络技术的发展，人类社会出现了巨大的变化。人与人之间可以更便捷地进行沟通，信息的交换也越来越频繁。然而当前只有在人为干预的情况下，计算机或其他一些智能终端才具备联网和通信的能力，众多普通的MTC终端几乎不具备主动联网和通信能力。为了让这些普通的MTC终端具备主动的联网和通信能力，以便让通信网络技术更好地为社会生活提供服务和保障，使城市变得智能化，M2M通信的概念被引入到通信网络技术中。M2M通信的目标就是：使所有MTC终端都具备联网和通信能力，从而实现机器与机器、机器与人、人与机器之间的信息交换。
在M2M系统中将部署大量的MTC终端，其中绝大部分为低移动性的MTC终端。通常一个MTC应用会有多个MTC终端参与通信，这些MTC终端一起成为MTC组的一部分。属于同一个MTC组的MTC终端可能在同一个地点，或者有相同的MTC特性，又或者属于同一个MTC用户，这些都可以灵活的作为分组的依据，而且，组内的各个MTC终端对于网络都是可见的。对于同一个组内的MTC终端，可能需要独立地和网络进行通信，因此各个MTC终端的独立的会话密钥也是必须的。另外，由于计费、拥塞控制等原因，如果没有安全机制进行保护的话，攻击者可以伪装成属于特定MTC组的MTC终端来获取或者发送信息。因此要求M2M系统能够唯一地识别MTC组，并且具备验证MTC终端是否为MTC组内的一个合法成员的能力。
现有第二代(2G)和第三代(3G)移动网络系统的安全机制主要有：认证和加密等。认证，即识别对方身份合法性的过程。下面简述全球移动通信系统(Universal Mobile Telecommunication System，UMTS)的认证和密钥协商机制(Authentication and Key Agreement，AKA)认证过程。需要说明的是在演进分组系统(Evolved Packet System，EPS)中AKA认证过程和UMTS系统并无本质区别。UMTS的AKA认证是基于存储在归属位置寄存器(Home LocationRegister，HLR)和内置在终端的全球用户识别(Universal Subscriber IdentityModule，USIM)卡中的根密钥K进行认证。图1为现有UMTS、EPS等系统中的现有认证技术和流程示意图，如图1所示，其认证过程如下：
步骤101，终端向通用分组无线服务(General Packet Radio Service，GPRS)的服务支持节点/拜访位置寄存器(Serving GPRS Support Node/Visitors LocationRegister，SGSN/VLR)发出接入请求；
步骤102，SGSN/VLR根据终端标识向HLR/认证中心(AuC)发起认证请求；
步骤103，HLR/AuC生成多组认证向量；
具体的，每组认证向量有认证向量五元组组成：随机数(RAND)、期望响应(XRES)、认证令牌(AUTN)、机密性密钥(CK)、完整性密钥(IK)。
步骤104，HLR/AuC将生成的认证向量五元组发送给请求认证的SGSN/VLR；
步骤105，SGSN/VLR接收并保存从HLR/AuC发送的多组认证向量五元组；
步骤106，SGSN/VLR从该多组认证向量中选择一组，将其中的RAND、AUTN发送至接入请求的终端；
步骤107，终端中USIM卡检查AUTN可否接受，如可以接受则执行步骤108；
具体的，所述检查AUTN可否接受，例如：AUTN是否由有效的认证令牌组成。终端接收SGSN/VLR的认证消息，首先计算认证消息中的消息认证码XMAC，并将XMAC与AUTN中的MAC进行比较，如果不同，则拒绝认证，并放弃认证过程；如果相同，则终端验证接收到的序列号SQN是否在有效范围内，若不在有效范围内，则向SGSN/VLR发送同步失败消息，并放弃认证过程，如果XMAC与AUTN中的MAC相同、且验证SQN在有效范围内，执行步骤108。
步骤108，终端计算出响应值RES，并发送给SGSN/VLR；SGSN/VLR比较终端发送的RES和HLR/AuC发送的XRES是否一致，如果一致，则认证通过，否则认证失败；在认证通过的情况下，终端的USIM卡同时计算出IK和CK，用于后续数据发送时的机密性和完整性保护。这样完成了终端和网络之间安全信道的建立。
现有移动网络都是为人与人(human-to-human)设计的，对于机器与机器、机器与人、人与机器之间的通信并非最佳。随着M2M技术的发展，终端数量将呈现极大的增长，据估计，将至少比human-to-human通讯的终端高两个数量级，由此而产生的信令、数据对现有移动网络将产生极大的冲击。如果每个终端都单独地执行认证，那么网络由于认证所承载的信令负荷也会随着终端数量的增长而成几何级数的增长，甚至导致网络拥塞，进而影响到网络的服务质量和用户的业务体验。
为了解决上述问题，优选的方案是进行组认证。在第三代合作伙伴计划(3rdGeneration Partnership Project，3GPP)标准组织中，针对组认证的安全威胁和需求，出现过以下两种技术方案。
1、基于MTC增强(Enhancement for MTC，MTCe)场景中的MTC终端网关(MTC Gateway Device)进行组认证，提出认证分为两个部分：第一部分是：MTC Gateway Device和核心网(Core Network，CN)之间的双向认证，例如，AKA认证。第二部分是：MTC Gateway Device和MTC Device之间的双向认证，MTC Gateway Device再向CN通告它和MTC Device的认证结果。具体的，如果两部分认证都通过，则认为MTC Device和CN之间认证成功通过，并提出基于MTC Gateway Device和CN之间协商的密钥来生成不同的会话密钥给MTC Devices。方案1中添加了Editor Note：即针对不同的会话密钥还需要深入研究。
2、基于MTC代理(MTC Delegate)的组认证，提出组内的MTC Devices至少有一个相同的属性，CN独立存储组内成员的身份；组内的MTC Devices之间通过私有协议通信，可以不在3GPP范围内。组内所有的MTC Devices转发密钥材料给MTC Delegate，MTC Delegate计算组密钥，并代替所有的MTCDevices和CN进行认证。进一步的MTC Delegate可变。
针对上述两个方案同样还存在一些缺陷。针对方案1，其中只涉及方案的概要描述，不涉及方案细节，并且MTC Gateway Device派生MTC Device和CN之间的会话密钥，并发送给MTC Device和CN，这样不能保证终端和CN之间端到端的安全。同时MTC Gateway Device可能属于不同的运营商，如果MTC Device和MTC Gateway Device之间是非3GPP网络，那么认证方法超出了3GPP研究范围。
针对方案2，其中仍然存在太多的未知因素。方案2的优点在于MTC Device不需要知道Kg就可以完成组认证。缺点在于Ki从哪里来的并未规定，CN如何知道Ki也未作规定，并且该方案中的每次组认证仅限于在线的MTC Device，如果有攻击者恶意对MTC Device频繁干扰，导致其不停的进入组、退出组等，将对系统产生严重影响，此外，如果有一个MTC Device由于未知原因发送了错误的Ki，那么将导致整个密钥材料的推导失败，且MTC Delegate无法知道是哪个MTC Device导致的失败。
发明内容
有鉴于此，本发明的主要目的在于提供一种M2M通信中组认证的方法和系统，能够减轻由于MTC终端单独认证而带来的大量信令负荷，并解决上述可能存在的安全威胁，满足相应的安全需求。
为达到上述目的，本发明的技术方案是这样实现的：
本发明提供了一种M2M通信中组认证的方法，所述方法包括：
机器类通信(MTC)终端网关和核心网(CN)进行双向认证，并计算密钥材料；
MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。
其中，所述MTC终端网关和CN进行双向认证之前，还包括：
所述MTC终端网关覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
其中，所述MTC终端网关和CN进行双向认证，包括：
MTC终端网关向接入安全管理设备(ASME)发起接入请求；ASME根据接收到的请求，向归属用户服务器/归属位置寄存器(HSS/HLR)请求认证向量；HSS/HLR根据签约数据生成认证向量，以及与该MTC终端网关相关联的MTC终端根密钥的哈希值，并返回给ASME进行保存；ASME和MTC终端网关利用认证向量进行认证，通过后计算密钥材料并建立安全信道。
其中，所述密钥材料具体为：由机密性密钥和完整性密钥计算得到的密钥材料。
其中，所述MTC终端网关和MTC终端进行双向认证的过程中，还包括：
MTC终端网关判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
其中，所述MTC终端网关和CN进行双向认证的方法包括：AKA认证；
所述MTC终端网关和MTC终端进行双向认证包括：根据Internet协议安全性(IPSec)、安全传输层协议(TLS)、公钥基础设施(PKI)证书或者本地接入技术进行双向认证。
本发明还提供了一种M2M通信中组认证的系统，所述系统包括：
MTC终端网关、CN和MTC终端，其中，
所述MTC终端网关，用于和CN进行双向认证，并计算密钥材料，和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
所述CN，用于根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥；
所述MTC终端，用于接收到的根据密钥材料和自身根密钥的哈希值生成认证后的通信密钥。
其中，所述MTC终端网关，还用于将其自身覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
其中，所述CN中还包括：ASME和HSS/HLR，其中，
所述ASME，用于在所述MTC终端网关和CN双向认证过程中，从HSS/HLR中获取所述MTC终端网关相关联的MTC终端根密钥的哈希值，保存在所述ASME中。
其中，所述MTC终端网关，还用于在和MTC终端进行双向认证的过程中，判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
本发明所提供的M2M通信中组认证的方法和系统，MTC终端网关和CN进行双向认证，并计算密钥材料；MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。这样不需要同组的所有的MTC终端都分别与CN进行认证，将极大地减轻MTC终端和核心网之间的信令负荷，提高MTC终端接入的认证效率。同时，MTC终端和CN各自分别利用密钥材料和MTC终端根密钥的哈希值生成通信密钥，避免了由MTC终端网关派生会话密钥发送给MTC终端和CN，保证了终端和CN之间端到端的安全。
附图说明
图1为现有UMTS、EPS等系统中的现有认证技术和流程示意图；
图2为本发明所涉及的网元架构示意图；
图3为本发明一种M2M通信中组认证的方法流程示意图；
图4为本发明MTC终端网关和CN进行双向认证的流程示意图；
图5为本发明MTC终端网关和MTC终端进行双向认证的流程示意图；
图6为本发明一种M2M通信中组认证的系统结构示意图。
具体实施方式
本发明的基本思想是：MTC终端网关和核心网(CN)进行双向认证，并计算密钥材料；MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。
下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。
为了更好的理解本发明，首先介绍一下本发明所涉及的网元架构。图2为本发明所涉及的网元架构示意图，如图2所示，所述架构包括：MTC终端(MTCDevicei)201，其连接MTC终端网关202；MTC终端网关202连接了M2M系统中的接入安全管理设备(ASME)203；ASME203则连接了归属用户服务器/归属位置寄存器(HSS/HLR)204。其中，ASME203和HSS/HLR204同属于核心网侧。
图3为本发明一种M2M通信中组认证的方法流程示意图，如图3所示，所述方法包括：
步骤301，MTC终端网关和CN进行双向认证，并计算密钥材料；
具体的，所述MTC终端网关和CN进行双向认证的方法包括：AKA认证。所述密钥材料具体为：由机密性密钥CK和完整性密钥IK计算得到的密钥材料。其中，所述密钥材料Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述。
进一步的，所述步骤301之前，还包括：所述MTC终端网关覆盖下同一个地点属于同一个MTC用户的低移动性MTC Devices签约为同一个MTC组。
进一步的，所述双向认证过程中，还包括：从HSS/HLR中获取所述MTC终端网关相关联的MTC Device根密钥的哈希值，保存在接入安全管理设备(ASME)中；其中，所述MTC终端网关相关联的MTC Device根密钥的哈希值具体为：所述MTC终端网关覆盖下同一个MTC组的所有MTC Device根密钥的哈希值。
所述MTC终端网关和CN进行双向认证具体包括：MTC终端网关向ASME发起接入请求；ASME根据接收到的请求，向HSS/HLR请求认证向量；HSS/HLR根据签约数据生成认证向量AV(1......n)，以及与该MTC终端网关相关联的MTC Device根密钥的哈希值，并返回给ASME进行保存；ASME和MTC终端网关利用认证向量进行认证，通过后计算密钥材料并建立安全信道。其中，所述建立安全信道具体是指：ASME选择和MTC终端网关相对应的机密性密钥CK和完整性密钥IK，用于随后通信的机密性和完整性保护。
步骤302，MTC终端网关和MTC Device进行双向认证，认证通过后向MTCDevice发送密钥材料，并通知CN所述通过认证的MTC Device；
具体的，所述MTC终端网关和MTC Device进行双向认证包括：根据Internet协议安全性(IPSec)、安全传输层协议(TLS)、公钥基础设施(PKI)证书或者本地接入技术进行双向认证。
所述MTC终端网关和MTC Device进行双向认证的过程中，还包括：MTC终端网关判断该MTC Device是否经过认证，MTC终端网关自身是否存在密钥材料Kg，如果该MTC Device没有被认证，则所述MTC终端网关和MTC Device进行双向认证，通过后将密钥材料发送给MTC Device；如果已经被认证但不存在密钥材料Kg，则返回步骤301，重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料Kg，则直接向MTC Device发送密钥材料。
步骤303，MTC Device根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC Device的根密钥的哈希值生成认证后的通信密钥。
具体的，所述MTC Device根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥具体为：MTC Device根据接收到的密钥材料Kg以及自身根密钥的哈希值，生成对应自身的机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。所述CN根据密钥材料和所述通过认证的MTCDevice的根密钥的哈希值生成认证后的通信密钥具体为：CN中的ASME接收到MTC终端网关通告的通过认证的MTC Device的身份后，根据密钥材料Kg以及该MTC Device对应的根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。
需要说明的是CN中计算密钥材料的机密性密钥CK和完整性密钥IK，是在步骤301中MTC终端网关和CN进行双向认证的过程中，从HSS/HLR中获取的。
图4为本发明MTC终端网关和CN进行双向认证的流程示意图，如图4所示，所述认证包括以下步骤：
步骤401，MTC终端网关(MTC Gateway Device)向ASME发起接入请求；
具体的，所述接入请求中包含MTC Gateway Device的身份标识。
步骤402，ASME根据接收到的请求，向HSS/HLR请求认证向量；
步骤403，HSS/HLR检查MTC Gateway Device签约数据，确认该MTCGateway Device是签约为一组MTC Device的代理，则生成认证向量AV(1......n)，以及与该MTC Gateway Device相关联的MTC Device根密钥的哈希值；
步骤404，HSS/HLR向ASME发送认证数据响应消息；
具体的，响应消息中包含步骤403中上述认证向量，以及MTC Device根密钥的哈希值。
步骤405，ASME保存从HSS/HLR发送过来的认证向量，以及MTC Device根密钥的哈希值；
步骤406，ASME向MTC Gateway Device发起认证请求，请求消息中携带随机数Rand，鉴权令牌AUTN；
步骤407，MTC Gateway Device根据随机数Rand和鉴权令牌AUTN认证网络，计算认证响应RES，以及机密性密钥CK，完整性密钥IK；
步骤408，MTC Gateway Device向ASME返回认证响应RES；
步骤409，ASME验证RES和XRES是否一致。如果一致，则认证通过，选择相应的机密性密钥CK和完整性密钥IK，用于随后的计算密钥材料，进而实现机密性和完整性保护；如果不一致，则认证失败；
步骤410，MTC Gateway Device和网络之间建立安全信道。
步骤411，MTC Gateway Device根据机密性密钥CK和完整性密钥IK，计算该组的密钥材料Kg，Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述；
步骤412，ASME根据MTC Gateway Device的机密性密钥CK和完整性密钥IK，计算该组的密钥材料Kg，Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述。
图5为本发明MTC终端网关和MTC终端进行双向认证的流程示意图，如图5所示，所述流程包括以下步骤：
步骤501，MTC Device向MTC Gateway Device发起接入请求，请求中包含该MTC Device的身份标识；
步骤502，MTC Gateway Device判断该MTC Device是否经过认证，MTCGateway Device自身是否存在密钥材料Kg，如果该MTC Device没有被认证，则执行步骤503，如果已经被认证但不存在密钥材料Kg，则执行步骤504重新建立MTC Gateway Device和CN之间的安全信道，如果已认证且存在密钥材料Kg，则执行步骤505；
步骤503，MTC Gateway Device和MTC Device之间进行双向认证，并建立安全信道；
具体的，所述双向认证具体为：通过IPSec、TLS、PKI证书或者本地接入技术等进行双向认证。
进一步的，执行完步骤503，MTC Gateway Device和MTC Device之间进行双向认证，并建立安全信道后，如果MTC Gateway Device中不存在密钥材料Kg，则执行步骤504；如果MTC Gateway Device中已经存在密钥材料Kg，则跳过步骤504，执行步骤505。
步骤504，MTC Gateway Device和CN之间建立安全信道；
步骤505，MTC Gateway Device向MTC Device发送接入响应，响应消息中包含密钥材料Kg，以及密钥材料Kg的生命周期key lifetime；
步骤506，同时，MTC Gateway Device向ASME通告该MTC Device的身份标识(如，Device ID)，标明该MTC Device通过组内认证；
步骤507，MTC Device根据接收到的密钥材料Kg以及自身根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护；
步骤508，ASME接收到MTC Gateway Device通告的该MTC Device的身份后，根据Kg以及该MTC Device对应的根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护；
步骤509：MTC Device和核心网中ASME基于上述的机密性密钥CKi和完整性密钥IKi建立安全信道。
图6为本发明一种M2M通信中组认证的系统结构示意图，如图6所示，所述系统包括：MTC终端网关61、CN62和MTC终端63，其中，
所述MTC终端网关61，用于和CN62进行双向认证，并计算密钥材料，和MTC终端63进行双向认证，认证通过后向MTC终端63发送密钥材料，并通知CN62所述通过认证的MTC终端63；
具体的，所述MTC终端网关61和CN62进行双向认证的方法包括：AKA认证。所述密钥材料具体为：由机密性密钥CK和完整性密钥IK计算得到的密钥材料。其中，所述密钥材料Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述。所述MTC终端网关61和MTC终端63进行双向认证包括：根据IPSec、TLS、PKI证书或者本地接入技术等进行双向认证。
进一步的，所述MTC终端网关61，还用于将其自身覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
进一步的，所述MTC终端网关61，还用于在和MTC终端63进行双向认证的过程中，判断该MTC终端63是否经过认证，MTC终端网关61自身是否存在密钥材料Kg，如果该MTC终端63没有被认证，则所述MTC终端网关61和MTC终端63进行双向认证，通过后将密钥材料发送给MTC终端63，如果已经被认证但不存在密钥材料Kg，则重新进行MTC终端网关61和CN62的双向认证，计算密钥材料并发送给MTC终端63；如果已认证且存在密钥材料Kg，则直接向MTC终端63发送密钥材料。
所述CN62，用于根据密钥材料和所述通过认证的MTC终端63的根密钥的哈希值生成认证后的通信密钥；
进一步的，所述CN62中还包括：ASME64和HSS/HLR65，其中，
所述ASME64，用于在所述MTC终端网关61和CN62双向认证过程中，从HSS/HLR65中获取所述MTC终端网关61相关联的MTC终端63根密钥的哈希值，保存在所述ASME64中。
具体的，所述MTC终端网关61相关联的MTC终端63根密钥的哈希值具体为：所述MTC终端网关61覆盖下同一个MTC组的所有MTC终端63根密钥的哈希值。
所述MTC终端网关61和CN62进行双向认证具体包括：MTC终端网关61向ASME64发起接入请求；ASME64根据接收到的请求，向HSS/HLR65请求认证向量；HSS/HLR65根据签约数据生成认证向量AV(1......n)，以及与该MTC终端网关61相关联的MTC终端63根密钥的哈希值，并返回给ASME64进行保存；ASME64和MTC终端网关61利用认证向量进行认证，通过后计算密钥材料Kg并建立安全信道。其中，所述建立安全信道具体是指：ASME64选择和MTC终端网关61相对应的机密性密钥CK和完整性密钥IK，用于随后通信的机密性和完整性保护。
所述CN62根据密钥材料和所述通过认证的MTC终端63的根密钥的哈希值生成认证后的通信密钥具体为：CN62中的ASME64接收到MTC终端网关61通告的通过认证的MTC终端63的身份后，根据密钥材料Kg以及该MTC终端63对应的根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。
所述MTC终端63，用于接收到的根据密钥材料和自身根密钥的哈希值生成认证后的通信密钥。
具体的，所述MTC终端63根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥具体为：MTC终端63根据接收到的密钥材料Kg以及自身根密钥的哈希值，生成对应自身的机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种机器到机器(M2M)通信中组认证的方法，其特征在于，所述方法包括：
机器类通信(MTC)终端网关和核心网(CN)进行双向认证，并计算密钥材料；
MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。
2.根据权利要求1所述的方法，其特征在于，所述MTC终端网关和CN进行双向认证之前，还包括：
所述MTC终端网关覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
3.根据权利要求1或2所述的方法，其特征在于，所述MTC终端网关和CN进行双向认证，包括：
MTC终端网关向接入安全管理设备(ASME)发起接入请求；ASME根据接收到的请求，向归属用户服务器/归属位置寄存器(HSS/HLR)请求认证向量；HSS/HLR根据签约数据生成认证向量，以及与该MTC终端网关相关联的MTC终端根密钥的哈希值，并返回给ASME进行保存；ASME和MTC终端网关利用认证向量进行认证，通过后计算密钥材料并建立安全信道。
4.根据权利要求1或2所述的方法，其特征在于，所述密钥材料具体为：由机密性密钥和完整性密钥计算得到的密钥材料。
5.根据权利要求1或2所述的方法，其特征在于，所述MTC终端网关和MTC终端进行双向认证的过程中，还包括：
MTC终端网关判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
6.根据权利要求1或2所述的方法，其特征在于，所述MTC终端网关和CN进行双向认证的方法包括：AKA认证；
所述MTC终端网关和MTC终端进行双向认证包括：根据Internet协议安全性(IPSec)、安全传输层协议(TLS)、公钥基础设施(PKI)证书或者本地接入技术进行双向认证。
7.一种M2M通信中组认证的系统，其特征在于，所述系统包括：
MTC终端网关、CN和MTC终端，其中，
所述MTC终端网关，用于和CN进行双向认证，并计算密钥材料，和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
所述CN，用于根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥；
所述MTC终端，用于接收到的根据密钥材料和自身根密钥的哈希值生成认证后的通信密钥。
8.根据权利要求7所述的系统，其特征在于，所述MTC终端网关，还用于将其自身覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
9.根据权利要求7或8所述的系统，其特征在于，所述CN中还包括：ASME和HSS/HLR，其中，
所述ASME，用于在所述MTC终端网关和CN双向认证过程中，从HSS/HLR中获取所述MTC终端网关相关联的MTC终端根密钥的哈希值，保存在所述ASME中。
10.根据权利要求7或8所述的系统，其特征在于，所述MTC终端网关，还用于在和MTC终端进行双向认证的过程中，判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
CN201110167280.1A 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统 Active CN102843233B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201110167280.1A CN102843233B (zh) 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统
PCT/CN2012/075475 WO2012174959A1 (zh) 2011-06-21 2012-05-14 一种机器到机器通信中组认证的方法、系统及网关

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201110167280.1A CN102843233B (zh) 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统

Publications (2)

Publication Number Publication Date
CN102843233A true CN102843233A (zh) 2012-12-26
CN102843233B CN102843233B (zh) 2017-05-31

Family

ID=47370313

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201110167280.1A Active CN102843233B (zh) 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统

Country Status (2)

Country Link
CN (1) CN102843233B (zh)
WO (1) WO2012174959A1 (zh)

Cited By (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103596167A (zh) * 2013-10-25 2014-02-19 西安电子科技大学 基于代理的机器类型通信认证和密钥协商方法
CN104602236A (zh) * 2015-02-04 2015-05-06 西安电子科技大学 一种机器类型通信中基于群组的匿名切换认证方法
CN104754576A (zh) * 2013-12-31 2015-07-01 华为技术有限公司 设备验证方法、用户设备及网络设备
CN105103579A (zh) * 2013-03-27 2015-11-25 株式会社Ntt都科摩 通信系统、中继装置以及通信方法
CN105187398A (zh) * 2015-08-12 2015-12-23 四川神琥科技有限公司 一种身份认证识别方法
JP2016501488A (ja) * 2013-01-10 2016-01-18 日本電気株式会社 Ｕｅのｍｔｃグループに対するブロードキャストにおけるグループ認証
CN105681210A (zh) * 2014-11-14 2016-06-15 中兴通讯股份有限公司 组资源更新处理方法、装置、系统及cse
WO2016101579A1 (zh) * 2014-12-23 2016-06-30 中兴通讯股份有限公司 密钥协商方法、系统、网络实体及计算机存储介质
CN106034027A (zh) * 2015-03-12 2016-10-19 中兴通讯股份有限公司 一种实现分组认证的方法及系统
WO2018222132A3 (zh) * 2017-05-29 2019-01-31 华为国际有限公司 网络认证方法、网络设备及核心网设备
CN110035110A (zh) * 2013-02-15 2019-07-19 康维达无线有限责任公司 跨域服务层资源传播
CN110324820A (zh) * 2019-07-03 2019-10-11 易联众智能（厦门）科技有限公司 一种物联网安全鉴权方法、系统及可读介质
WO2019196794A1 (zh) * 2018-04-09 2019-10-17 中兴通讯股份有限公司 认证方法、设备和计算机可读存储介质
US11770726B2 (en) 2018-03-12 2023-09-26 Huawei Cloud Computing Technologies Co., Ltd. Communication method and communications apparatus

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106921636B (zh) * 2015-12-28 2020-05-08 华为技术有限公司 身份认证方法及装置
US10880332B2 (en) * 2017-04-24 2020-12-29 Unisys Corporation Enterprise security management tool

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101867928A (zh) * 2010-05-21 2010-10-20 西安电子科技大学 移动用户通过家庭基站接入核心网的认证方法
CN102088668A (zh) * 2011-03-10 2011-06-08 西安电子科技大学 基于群组的机器类型通信设备的认证方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101002799B1 (ko) * 2007-03-21 2010-12-21 삼성전자주식회사 이동통신 네트워크 및 상기 이동통신 네트워크에서 이동 노드의 인증을 수행하는 방법 및 장치
CN101854629B (zh) * 2010-05-21 2013-02-27 西安电子科技大学 家庭基站系统中用户终端接入认证及重认证的方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101867928A (zh) * 2010-05-21 2010-10-20 西安电子科技大学 移动用户通过家庭基站接入核心网的认证方法
CN102088668A (zh) * 2011-03-10 2011-06-08 西安电子科技大学 基于群组的机器类型通信设备的认证方法

Cited By (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016501488A (ja) * 2013-01-10 2016-01-18 日本電気株式会社 Ｕｅのｍｔｃグループに対するブロードキャストにおけるグループ認証
CN110035110B (zh) * 2013-02-15 2021-12-10 康维达无线有限责任公司 跨域服务层资源传播方法及设备
CN110035110A (zh) * 2013-02-15 2019-07-19 康维达无线有限责任公司 跨域服务层资源传播
CN105103579A (zh) * 2013-03-27 2015-11-25 株式会社Ntt都科摩 通信系统、中继装置以及通信方法
CN103596167A (zh) * 2013-10-25 2014-02-19 西安电子科技大学 基于代理的机器类型通信认证和密钥协商方法
CN103596167B (zh) * 2013-10-25 2016-06-29 西安电子科技大学 基于代理的机器类型通信认证和密钥协商方法
CN104754576B (zh) * 2013-12-31 2018-07-31 华为技术有限公司 设备验证方法、用户设备及网络设备
CN104754576A (zh) * 2013-12-31 2015-07-01 华为技术有限公司 设备验证方法、用户设备及网络设备
CN105681210A (zh) * 2014-11-14 2016-06-15 中兴通讯股份有限公司 组资源更新处理方法、装置、系统及cse
WO2016101579A1 (zh) * 2014-12-23 2016-06-30 中兴通讯股份有限公司 密钥协商方法、系统、网络实体及计算机存储介质
US10454909B2 (en) 2014-12-23 2019-10-22 Zte Corporation Key negotiation method and system, network entity and computer storage medium
CN104602236A (zh) * 2015-02-04 2015-05-06 西安电子科技大学 一种机器类型通信中基于群组的匿名切换认证方法
CN104602236B (zh) * 2015-02-04 2018-08-07 西安电子科技大学 一种机器类型通信中基于群组的匿名切换认证方法
CN106034027A (zh) * 2015-03-12 2016-10-19 中兴通讯股份有限公司 一种实现分组认证的方法及系统
CN105187398B (zh) * 2015-08-12 2018-01-30 四川神琥科技有限公司 一种身份认证识别方法
CN105187398A (zh) * 2015-08-12 2015-12-23 四川神琥科技有限公司 一种身份认证识别方法
WO2018222132A3 (zh) * 2017-05-29 2019-01-31 华为国际有限公司 网络认证方法、网络设备及核心网设备
CN110583036A (zh) * 2017-05-29 2019-12-17 华为国际有限公司 网络认证方法、网络设备及核心网设备
US11432157B2 (en) 2017-05-29 2022-08-30 Huawei International Pte. Ltd. Network authentication method, network device, and core network device
US11770726B2 (en) 2018-03-12 2023-09-26 Huawei Cloud Computing Technologies Co., Ltd. Communication method and communications apparatus
WO2019196794A1 (zh) * 2018-04-09 2019-10-17 中兴通讯股份有限公司 认证方法、设备和计算机可读存储介质
CN110324820A (zh) * 2019-07-03 2019-10-11 易联众智能（厦门）科技有限公司 一种物联网安全鉴权方法、系统及可读介质

Also Published As

Publication number Publication date
CN102843233B (zh) 2017-05-31
WO2012174959A1 (zh) 2012-12-27

Similar Documents

Publication Publication Date Title
CN102843233A (zh) 一种机器到机器通信中组认证的方法和系统
KR101675088B1 (ko) Mtc에서의 네트워크와의 상호 인증 방법 및 시스템
CN102215474B (zh) 对通信设备进行认证的方法和装置
CN101946536B (zh) 演进网络中的应用特定的主密钥选择
Lai et al. Toward secure large-scale machine-to-machine comm unications in 3GPP networks: chall enges and solutions
KR101877733B1 (ko) 기기간 통신 환경에서 그룹 통신을 보안하는 방법 및 시스템
CN104871579B (zh) 移动通信系统中群组通信安全管理的方法和装置
CN102238484B (zh) 机器对机器的通信系统中基于组的认证方法及系统
CN102469458B (zh) 一种m2m通信中的组认证方法和系统
CN102480727B (zh) 机器与机器通信中的组认证方法及系统
Zhao et al. Secure machine-type communications toward LTE heterogeneous networks
CN105828413B (zh) 一种d2d模式b发现的安全方法、终端和系统
US20130189955A1 (en) Method for context establishment in telecommunication networks
CN102457844B (zh) 一种m2m组认证中组密钥管理方法及系统
Elouafiq Authentication and Encryption in GSM and 3GUMTS: An Emphasis on Protocols and Algorithms
Zhang et al. Dynamic group based authentication protocol for machine type communications
CN101640887A (zh) 鉴权方法、通信装置和通信系统
CN105376737A (zh) 机器到机器的蜂窝通信安全性
WO2016166529A1 (en) Security improvements in a cellular network
Ramadan et al. User-to-User Mutual Authentication and Key Agreement Scheme for LTE Cellular System.
JP2016501488A (ja) Ｕｅのｍｔｃグループに対するブロードキャストにおけるグループ認証
CN102263793A (zh) 一种mtc服务器权限验证控制方法、系统及装置
Lai et al. Security issues on machine to machine communications
CN105376214A (zh) 机器到机器的蜂窝通信安全性
Zhang et al. Group-based authentication and key agreement for machine-type communication

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant