CN102843233B - 一种机器到机器通信中组认证的方法和系统 - Google Patents

一种机器到机器通信中组认证的方法和系统 Download PDF

Info

Publication number
CN102843233B
CN102843233B CN201110167280.1A CN201110167280A CN102843233B CN 102843233 B CN102843233 B CN 102843233B CN 201110167280 A CN201110167280 A CN 201110167280A CN 102843233 B CN102843233 B CN 102843233B
Authority
CN
China
Prior art keywords
mtc terminal
mtc
key
certification
gateway
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201110167280.1A
Other languages
English (en)
Other versions
CN102843233A (zh
Inventor
夏正雪
田甜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201110167280.1A priority Critical patent/CN102843233B/zh
Priority to PCT/CN2012/075475 priority patent/WO2012174959A1/zh
Publication of CN102843233A publication Critical patent/CN102843233A/zh
Application granted granted Critical
Publication of CN102843233B publication Critical patent/CN102843233B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/065—Network architectures or network communication protocols for network security for supporting key management in a packet data network for group communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Abstract

本发明公开了一种机器到机器(M2M)通信中组认证的方法，机器类通信(MTC)终端网关和核心网(CN)进行双向认证，并计算密钥材料；MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。本发明还公开了一种M2M通信中组认证的系统，通过上述方法和系统，极大地减轻MTC终端和CN之间的信令负荷，提高MTC终端接入的认证效率，并且保证了MTC终端和CN之间端到端的安全。

Description

一种机器到机器通信中组认证的方法和系统
技术领域
本发明涉及机器类通信(Machine Type Communication，MTC)安全领域，特别是指一种机器到机器(M2M)通信中组认证的方法和系统。
背景技术
随着全球信息化，以及通信网络技术的发展，人类社会出现了巨大的变化。人与人之间可以更便捷地进行沟通，信息的交换也越来越频繁。然而当前只有在人为干预的情况下，计算机或其他一些智能终端才具备联网和通信的能力，众多普通的MTC终端几乎不具备主动联网和通信能力。为了让这些普通的MTC终端具备主动的联网和通信能力，以便让通信网络技术更好地为社会生活提供服务和保障，使城市变得智能化，M2M通信的概念被引入到通信网络技术中。M2M通信的目标就是：使所有MTC终端都具备联网和通信能力，从而实现机器与机器、机器与人、人与机器之间的信息交换。
在M2M系统中将部署大量的MTC终端，其中绝大部分为低移动性的MTC终端。通常一个MTC应用会有多个MTC终端参与通信，这些MTC终端一起成为MTC组的一部分。属于同一个MTC组的MTC终端可能在同一个地点，或者有相同的MTC特性，又或者属于同一个MTC用户，这些都可以灵活的作为分组的依据，而且，组内的各个MTC终端对于网络都是可见的。对于同一个组内的MTC终端，可能需要独立地和网络进行通信，因此各个MTC终端的独立的会话密钥也是必须的。另外，由于计费、拥塞控制等原因，如果没有安全机制进行保护的话，攻击者可以伪装成属于特定MTC组的MTC终端来获取或者发送信息。因此要求M2M系统能够唯一地识别MTC组，并且具备验证MTC终端是否为MTC组内的一个合法成员的能力。
现有第二代(2G)和第三代(3G)移动网络系统的安全机制主要有：认证和加密等。认证，即识别对方身份合法性的过程。下面简述全球移动通信系统(Universal MobileTelecommunication System，UMTS)的认证和密钥协商机制(Authentication and KeyAgreement，AKA)认证过程。需要说明的是在演进分组系统(Evolved Packet System，EPS)中AKA认证过程和UMTS系统并无本质区别。UMTS的AKA认证是基于存储在归属位置寄存器(Home Location Register，HLR)和内置在终端的全球用户识别(Universal SubscriberIdentity Module，USIM)卡中的根密钥K进行认证。图1为现有UMTS、EPS等系统中的现有认证技术和流程示意图，如图1所示，其认证过程如下：
步骤101，终端向通用分组无线服务(General Packet Radio Service，GPRS)的服务支持节点/拜访位置寄存器(Serving GPRS Support Node/Visitors LocationRegister，SGSN/VLR)发出接入请求；
步骤102，SGSN/VLR根据终端标识向HLR/认证中心(AuC)发起认证请求；
步骤103，HLR/AuC生成多组认证向量；
具体的，每组认证向量有认证向量五元组组成：随机数(RAND)、期望响应(XRES)、认证令牌(AUTN)、机密性密钥(CK)、完整性密钥(IK)。
步骤104，HLR/AuC将生成的认证向量五元组发送给请求认证的SGSN/VLR；
步骤105，SGSN/VLR接收并保存从HLR/AuC发送的多组认证向量五元组；
步骤106，SGSN/VLR从该多组认证向量中选择一组，将其中的RAND、AUTN发送至接入请求的终端；
步骤107，终端中USIM卡检查AUTN可否接受，如可以接受则执行步骤108；
具体的，所述检查AUTN可否接受，例如：AUTN是否由有效的认证令牌组成。终端接收SGSN/VLR的认证消息，首先计算认证消息中的消息认证码XMAC，并将XMAC与AUTN中的MAC进行比较，如果不同，则拒绝认证，并放弃认证过程；如果相同，则终端验证接收到的序列号SQN是否在有效范围内，若不在有效范围内，则向SGSN/VLR发送同步失败消息，并放弃认证过程，如果XMAC与AUTN中的MAC相同、且验证SQN在有效范围内，执行步骤108。
步骤108，终端计算出响应值RES，并发送给SGSN/VLR；SGSN/VLR比较终端发送的RES和HLR/AuC发送的XRES是否一致，如果一致，则认证通过，否则认证失败；在认证通过的情况下，终端的USIM卡同时计算出IK和CK，用于后续数据发送时的机密性和完整性保护。这样完成了终端和网络之间安全信道的建立。
现有移动网络都是为人与人(human-to-human)设计的，对于机器与机器、机器与人、人与机器之间的通信并非最佳。随着M2M技术的发展，终端数量将呈现极大的增长，据估计，将至少比human-to-human通讯的终端高两个数量级，由此而产生的信令、数据对现有移动网络将产生极大的冲击。如果每个终端都单独地执行认证，那么网络由于认证所承载的信令负荷也会随着终端数量的增长而成几何级数的增长，甚至导致网络拥塞，进而影响到网络的服务质量和用户的业务体验。
为了解决上述问题，优选的方案是进行组认证。在第三代合作伙伴计划(3rdGeneration Partnership Project，3GPP)标准组织中，针对组认证的安全威胁和需求，出现过以下两种技术方案。
1、基于MTC增强(Enhancement for MTC，MTCe)场景中的MTC终端网关(MTCGateway Device)进行组认证，提出认证分为两个部分：第一部分是：MTC Gateway Device和核心网(Core Network，CN)之间的双向认证，例如，AKA认证。第二部分是：MTC GatewayDevice和MTC Device之间的双向认证，MTC Gateway Device再向CN通告它和MTC Device的认证结果。具体的，如果两部分认证都通过，则认为MTC Device和CN之间认证成功通过，并提出基于MTC Gateway Device和CN之间协商的密钥来生成不同的会话密钥给MTCDevices。方案1中添加了Editor Note：即针对不同的会话密钥还需要深入研究。
2、基于MTC代理(MTC Delegate)的组认证，提出组内的MTC Devices至少有一个相同的属性，CN独立存储组内成员的身份；组内的MTC Devices之间通过私有协议通信，可以不在3GPP范围内。组内所有的MTC Devices转发密钥材料给MTC Delegate，MTC Delegate计算组密钥，并代替所有的MTC Devices和CN进行认证。进一步的MTC Delegate可变。
针对上述两个方案同样还存在一些缺陷。针对方案1，其中只涉及方案的概要描述，不涉及方案细节，并且MTC Gateway Device派生MTC Device和CN之间的会话密钥，并发送给MTC Device和CN，这样不能保证终端和CN之间端到端的安全。同时MTC GatewayDevice可能属于不同的运营商，如果MTC Device和MTC Gateway Device之间是非3GPP网络，那么认证方法超出了3GPP研究范围。
针对方案2，其中仍然存在太多的未知因素。方案2的优点在于MTC Device不需要知道Kg就可以完成组认证。缺点在于Ki从哪里来的并未规定，CN如何知道Ki也未作规定，并且该方案中的每次组认证仅限于在线的MTC Device，如果有攻击者恶意对MTC Device频繁干扰，导致其不停的进入组、退出组等，将对系统产生严重影响，此外，如果有一个MTCDevice由于未知原因发送了错误的Ki，那么将导致整个密钥材料的推导失败，且MTCDelegate无法知道是哪个MTC Device导致的失败。
发明内容
有鉴于此，本发明的主要目的在于提供一种M2M通信中组认证的方法和系统，能够减轻由于MTC终端单独认证而带来的大量信令负荷，并解决上述可能存在的安全威胁，满足相应的安全需求。
为达到上述目的，本发明的技术方案是这样实现的：
本发明提供了一种M2M通信中组认证的方法，所述方法包括：
机器类通信(MTC)终端网关和核心网(CN)进行双向认证，并计算密钥材料；
MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。
其中，所述MTC终端网关和CN进行双向认证之前，还包括：
所述MTC终端网关覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
其中，所述MTC终端网关和CN进行双向认证，包括：
MTC终端网关向接入安全管理设备(ASME)发起接入请求；ASME根据接收到的请求，向归属用户服务器/归属位置寄存器(HSS/HLR)请求认证向量；HSS/HLR根据签约数据生成认证向量，以及与该MTC终端网关相关联的MTC终端根密钥的哈希值，并返回给ASME进行保存；ASME和MTC终端网关利用认证向量进行认证，通过后计算密钥材料并建立安全信道。
其中，所述密钥材料具体为：由机密性密钥和完整性密钥计算得到的密钥材料。
其中，所述MTC终端网关和MTC终端进行双向认证的过程中，还包括：
MTC终端网关判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
其中，所述MTC终端网关和CN进行双向认证的方法包括：AKA认证；
所述MTC终端网关和MTC终端进行双向认证包括：根据Internet协议安全性(IPSec)、安全传输层协议(TLS)、公钥基础设施(PKI)证书或者本地接入技术进行双向认证。
本发明还提供了一种M2M通信中组认证的系统，所述系统包括：
MTC终端网关、CN和MTC终端，其中，
所述MTC终端网关，用于和CN进行双向认证，并计算密钥材料，和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
所述CN，用于根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥；
所述MTC终端，用于接收到的根据密钥材料和自身根密钥的哈希值生成认证后的通信密钥。
其中，所述MTC终端网关，还用于将其自身覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
其中，所述CN中还包括：ASME和HSS/HLR，其中，
所述ASME，用于在所述MTC终端网关和CN双向认证过程中，从HSS/HLR中获取所述MTC终端网关相关联的MTC终端根密钥的哈希值，保存在所述ASME中。
其中，所述MTC终端网关，还用于在和MTC终端进行双向认证的过程中，判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
本发明所提供的M2M通信中组认证的方法和系统，MTC终端网关和CN进行双向认证，并计算密钥材料；MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。这样不需要同组的所有的MTC终端都分别与CN进行认证，将极大地减轻MTC终端和核心网之间的信令负荷，提高MTC终端接入的认证效率。同时，MTC终端和CN各自分别利用密钥材料和MTC终端根密钥的哈希值生成通信密钥，避免了由MTC终端网关派生会话密钥发送给MTC终端和CN，保证了终端和CN之间端到端的安全。
附图说明
图1为现有UMTS、EPS等系统中的现有认证技术和流程示意图；
图2为本发明所涉及的网元架构示意图；
图3为本发明一种M2M通信中组认证的方法流程示意图；
图4为本发明MTC终端网关和CN进行双向认证的流程示意图；
图5为本发明MTC终端网关和MTC终端进行双向认证的流程示意图；
图6为本发明一种M2M通信中组认证的系统结构示意图。
具体实施方式
本发明的基本思想是：MTC终端网关和核心网(CN)进行双向认证，并计算密钥材料；MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的通信密钥。
下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。
为了更好的理解本发明，首先介绍一下本发明所涉及的网元架构。图2为本发明所涉及的网元架构示意图，如图2所示，所述架构包括：MTC终端(MTC Devicei)201，其连接MTC终端网关202；MTC终端网关202连接了M2M系统中的接入安全管理设备(ASME)203；ASME203则连接了归属用户服务器/归属位置寄存器(HSS/HLR)204。其中，ASME203和HSS/HLR204同属于核心网侧。
图3为本发明一种M2M通信中组认证的方法流程示意图，如图3所示，所述方法包括：
步骤301，MTC终端网关和CN进行双向认证，并计算密钥材料；
具体的，所述MTC终端网关和CN进行双向认证的方法包括：AKA认证。所述密钥材料具体为：由机密性密钥CK和完整性密钥IK计算得到的密钥材料。其中，所述密钥材料Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述。
进一步的，所述步骤301之前，还包括：所述MTC终端网关覆盖下同一个地点属于同一个MTC用户的低移动性MTC Devices签约为同一个MTC组。
进一步的，所述双向认证过程中，还包括：从HSS/HLR中获取所述MTC终端网关相关联的MTC Device根密钥的哈希值，保存在接入安全管理设备(ASME)中；其中，所述MTC终端网关相关联的MTC Device根密钥的哈希值具体为：所述MTC终端网关覆盖下同一个MTC组的所有MTC Device根密钥的哈希值。
所述MTC终端网关和CN进行双向认证具体包括：MTC终端网关向ASME发起接入请求；ASME根据接收到的请求，向HSS/HLR请求认证向量；HSS/HLR根据签约数据生成认证向量AV(1......n)，以及与该MTC终端网关相关联的MTC Device根密钥的哈希值，并返回给ASME进行保存；ASME和MTC终端网关利用认证向量进行认证，通过后计算密钥材料并建立安全信道。其中，所述建立安全信道具体是指：ASME选择和MTC终端网关相对应的机密性密钥CK和完整性密钥IK，用于随后通信的机密性和完整性保护。
步骤302，MTC终端网关和MTC Device进行双向认证，认证通过后向MTC Device发送密钥材料，并通知CN所述通过认证的MTC Device；
具体的，所述MTC终端网关和MTC Device进行双向认证包括：根据Internet协议安全性(IPSec)、安全传输层协议(TLS)、公钥基础设施(PKI)证书或者本地接入技术进行双向认证。
所述MTC终端网关和MTC Device进行双向认证的过程中，还包括：MTC终端网关判断该MTC Device是否经过认证，MTC终端网关自身是否存在密钥材料Kg，如果该MTC Device没有被认证，则所述MTC终端网关和MTC Device进行双向认证，通过后将密钥材料发送给MTC Device；如果已经被认证但不存在密钥材料Kg，则返回步骤301，重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料Kg，则直接向MTC Device发送密钥材料。
步骤303，MTC Device根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC Device的根密钥的哈希值生成认证后的通信密钥。
具体的，所述MTC Device根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥具体为：MTC Device根据接收到的密钥材料Kg以及自身根密钥的哈希值，生成对应自身的机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。所述CN根据密钥材料和所述通过认证的MTCDevice的根密钥的哈希值生成认证后的通信密钥具体为：CN中的ASME接收到MTC终端网关通告的通过认证的MTC Device的身份后，根据密钥材料Kg以及该MTC Device对应的根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。
需要说明的是CN中计算密钥材料的机密性密钥CK和完整性密钥IK，是在步骤301中MTC终端网关和CN进行双向认证的过程中，从HSS/HLR中获取的。
图4为本发明MTC终端网关和CN进行双向认证的流程示意图，如图4所示，所述认证包括以下步骤：
步骤401，MTC终端网关(MTC Gateway Device)向ASME发起接入请求；
具体的，所述接入请求中包含MTC Gateway Device的身份标识。
步骤402，ASME根据接收到的请求，向HSS/HLR请求认证向量；
步骤403，HSS/HLR检查MTC Gateway Device签约数据，确认该MTC GatewayDevice是签约为一组MTC Device的代理，则生成认证向量AV(1......n)，以及与该MTCGateway Device相关联的MTC Device根密钥的哈希值；
步骤404，HSS/HLR向ASME发送认证数据响应消息；
具体的，响应消息中包含步骤403中上述认证向量，以及MTC Device根密钥的哈希值。
步骤405，ASME保存从HSS/HLR发送过来的认证向量，以及MTC Device根密钥的哈希值；
步骤406，ASME向MTC Gateway Device发起认证请求，请求消息中携带随机数Rand，鉴权令牌AUTN；
步骤407，MTC Gateway Device根据随机数Rand和鉴权令牌AUTN认证网络，计算认证响应RES，以及机密性密钥CK，完整性密钥IK；
步骤408，MTC Gateway Device向ASME返回认证响应RES；
步骤409，ASME验证RES和XRES是否一致。如果一致，则认证通过，选择相应的机密性密钥CK和完整性密钥IK，用于随后的计算密钥材料，进而实现机密性和完整性保护；如果不一致，则认证失败；
步骤410，MTC Gateway Device和网络之间建立安全信道。
步骤411，MTC Gateway Device根据机密性密钥CK和完整性密钥IK，计算该组的密钥材料Kg，Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述；
步骤412，ASME根据MTC Gateway Device的机密性密钥CK和完整性密钥IK，计算该组的密钥材料Kg，Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述。
图5为本发明MTC终端网关和MTC终端进行双向认证的流程示意图，如图5所示，所述流程包括以下步骤：
步骤501，MTC Device向MTC Gateway Device发起接入请求，请求中包含该MTCDevice的身份标识；
步骤502，MTC Gateway Device判断该MTC Device是否经过认证，MTC GatewayDevice自身是否存在密钥材料Kg，如果该MTC Device没有被认证，则执行步骤503，如果已经被认证但不存在密钥材料Kg，则执行步骤504重新建立MTC Gateway Device和CN之间的安全信道，如果已认证且存在密钥材料Kg，则执行步骤505；
步骤503，MTC Gateway Device和MTC Device之间进行双向认证，并建立安全信道；
具体的，所述双向认证具体为：通过IPSec、TLS、PKI证书或者本地接入技术等进行双向认证。
进一步的，执行完步骤503，MTC Gateway Device和MTC Device之间进行双向认证，并建立安全信道后，如果MTC Gateway Device中不存在密钥材料Kg，则执行步骤504；如果MTC Gateway Device中已经存在密钥材料Kg，则跳过步骤504，执行步骤505。
步骤504，MTC Gateway Device和CN之间建立安全信道；
步骤505，MTC Gateway Device向MTC Device发送接入响应，响应消息中包含密钥材料Kg，以及密钥材料Kg的生命周期key lifetime；
步骤506，同时，MTC Gateway Device向ASME通告该MTC Device的身份标识(如，Device ID)，标明该MTC Device通过组内认证；
步骤507，MTC Device根据接收到的密钥材料Kg以及自身根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护；
步骤508，ASME接收到MTC Gateway Device通告的该MTC Device的身份后，根据Kg以及该MTC Device对应的根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护；
步骤509：MTC Device和核心网中ASME基于上述的机密性密钥CKi和完整性密钥IKi建立安全信道。
图6为本发明一种M2M通信中组认证的系统结构示意图，如图6所示，所述系统包括：MTC终端网关61、CN62和MTC终端63，其中，
所述MTC终端网关61，用于和CN62进行双向认证，并计算密钥材料，和MTC终端63进行双向认证，认证通过后向MTC终端63发送密钥材料，并通知CN62所述通过认证的MTC终端63；
具体的，所述MTC终端网关61和CN62进行双向认证的方法包括：AKA认证。所述密钥材料具体为：由机密性密钥CK和完整性密钥IK计算得到的密钥材料。其中，所述密钥材料Kg＝CK||IK，具体的计算方法和过程采用现有技术，这里不再赘述。所述MTC终端网关61和MTC终端63进行双向认证包括：根据IPSec、TLS、PKI证书或者本地接入技术等进行双向认证。
进一步的，所述MTC终端网关61，还用于将其自身覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
进一步的，所述MTC终端网关61，还用于在和MTC终端63进行双向认证的过程中，判断该MTC终端63是否经过认证，MTC终端网关61自身是否存在密钥材料Kg，如果该MTC终端63没有被认证，则所述MTC终端网关61和MTC终端63进行双向认证，通过后将密钥材料发送给MTC终端63，如果已经被认证但不存在密钥材料Kg，则重新进行MTC终端网关61和CN62的双向认证，计算密钥材料并发送给MTC终端63；如果已认证且存在密钥材料Kg，则直接向MTC终端63发送密钥材料。
所述CN62，用于根据密钥材料和所述通过认证的MTC终端63的根密钥的哈希值生成认证后的通信密钥；
进一步的，所述CN62中还包括：ASME64和HSS/HLR65，其中，
所述ASME64，用于在所述MTC终端网关61和CN62双向认证过程中，从HSS/HLR65中获取所述MTC终端网关61相关联的MTC终端63根密钥的哈希值，保存在所述ASME64中。
具体的，所述MTC终端网关61相关联的MTC终端63根密钥的哈希值具体为：所述MTC终端网关61覆盖下同一个MTC组的所有MTC终端63根密钥的哈希值。
所述MTC终端网关61和CN62进行双向认证具体包括：MTC终端网关61向ASME64发起接入请求；ASME64根据接收到的请求，向HSS/HLR65请求认证向量；HSS/HLR65根据签约数据生成认证向量AV(1......n)，以及与该MTC终端网关61相关联的MTC终端63根密钥的哈希值，并返回给ASME64进行保存；ASME64和MTC终端网关61利用认证向量进行认证，通过后计算密钥材料Kg并建立安全信道。其中，所述建立安全信道具体是指：ASME64选择和MTC终端网关61相对应的机密性密钥CK和完整性密钥IK，用于随后通信的机密性和完整性保护。
所述CN62根据密钥材料和所述通过认证的MTC终端63的根密钥的哈希值生成认证后的通信密钥具体为：CN62中的ASME64接收到MTC终端网关61通告的通过认证的MTC终端63的身份后，根据密钥材料Kg以及该MTC终端63对应的根密钥的哈希值，生成机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。
所述MTC终端63，用于接收到的根据密钥材料和自身根密钥的哈希值生成认证后的通信密钥。
具体的，所述MTC终端63根据接收到的密钥材料和自身根密钥的哈希值生成认证后的通信密钥具体为：MTC终端63根据接收到的密钥材料Kg以及自身根密钥的哈希值，生成对应自身的机密性密钥CKi和完整性密钥IKi，用于随后的机密性和完整性保护。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种机器到机器(M2M)通信中组认证的方法，其特征在于，所述方法包括：
机器类通信(MTC)终端网关和核心网(CN)进行双向认证，并根据CN获取的MTC终端的根密钥的哈希值计算密钥材料；
MTC终端网关和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
MTC终端根据接收到的密钥材料和自身根密钥的哈希值生成认证后的与CN的通信密钥，同时，CN根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的与MTC终端的通信密钥。
2.根据权利要求1所述的方法，其特征在于，所述MTC终端网关和CN进行双向认证之前，还包括：
所述MTC终端网关覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
3.根据权利要求1或2所述的方法，其特征在于，所述MTC终端网关和CN进行双向认证，包括：
MTC终端网关向接入安全管理设备(ASME)发起接入请求；ASME根据接收到的请求，向归属用户服务器/归属位置寄存器(HSS/HLR)请求认证向量；HSS/HLR根据签约数据生成认证向量，以及与该MTC终端网关相关联的MTC终端根密钥的哈希值，并返回给ASME进行保存；ASME和MTC终端网关利用认证向量进行认证，通过后计算密钥材料并建立安全信道。
4.根据权利要求1或2所述的方法，其特征在于，所述密钥材料具体为：由机密性密钥和完整性密钥计算得到的密钥材料。
5.根据权利要求1或2所述的方法，其特征在于，所述MTC终端网关和MTC终端进行双向认证的过程中，还包括：
MTC终端网关判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
6.根据权利要求1或2所述的方法，其特征在于，所述MTC终端网关和CN进行双向认证的方法包括：AKA认证；
所述MTC终端网关和MTC终端进行双向认证包括：根据Internet协议安全性(IPSec)、安全传输层协议(TLS)、公钥基础设施(PKI)证书或者本地接入技术进行双向认证。
7.一种M2M通信中组认证的系统，其特征在于，所述系统包括：
MTC终端网关、CN和MTC终端，其中，
所述MTC终端网关，用于和CN进行双向认证，并根据CN获取的MTC终端的根密钥的哈希值计算密钥材料，和MTC终端进行双向认证，认证通过后向MTC终端发送密钥材料，并通知CN所述通过认证的MTC终端；
所述CN，用于获取MTC终端的根密钥的哈希值，根据密钥材料和所述通过认证的MTC终端的根密钥的哈希值生成认证后的与MTC终端的通信密钥；
所述MTC终端，用于接收到的根据密钥材料和自身根密钥的哈希值生成认证后的与CN的通信密钥。
8.根据权利要求7所述的系统，其特征在于，所述MTC终端网关，还用于将其自身覆盖下同一个地点属于同一个MTC用户的低移动性MTC终端签约为同一个MTC组。
9.根据权利要求7或8所述的系统，其特征在于，所述CN中还包括：ASME和HSS/HLR，其中，
所述ASME，用于在所述MTC终端网关和CN双向认证过程中，从HSS/HLR中获取所述MTC终端网关相关联的MTC终端根密钥的哈希值，保存在所述ASME中。
10.根据权利要求7或8所述的系统，其特征在于，所述MTC终端网关，还用于在和MTC终端进行双向认证的过程中，判断该MTC终端是否经过认证，MTC终端网关自身是否存在密钥材料，如果该MTC终端没有被认证，则所述MTC终端网关和MTC终端进行双向认证，通过后将密钥材料发送给MTC终端；如果已经被认证但不存在密钥材料，则重新进行MTC终端网关和CN的双向认证，计算密钥材料并发送给MTC终端；如果已认证且存在密钥材料，则直接向MTC终端发送密钥材料。
CN201110167280.1A 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统 Active CN102843233B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201110167280.1A CN102843233B (zh) 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统
PCT/CN2012/075475 WO2012174959A1 (zh) 2011-06-21 2012-05-14 一种机器到机器通信中组认证的方法、系统及网关

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201110167280.1A CN102843233B (zh) 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统

Publications (2)

Publication Number Publication Date
CN102843233A CN102843233A (zh) 2012-12-26
CN102843233B true CN102843233B (zh) 2017-05-31

Family

ID=47370313

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201110167280.1A Active CN102843233B (zh) 2011-06-21 2011-06-21 一种机器到机器通信中组认证的方法和系统

Country Status (2)

Country Link
CN (1) CN102843233B (zh)
WO (1) WO2012174959A1 (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014109168A2 (en) * 2013-01-10 2014-07-17 Nec Corporation GROUP AUTHENTICATION IN BROADCASTING FOR MTC GROUP OF UEs
JP6116712B2 (ja) * 2013-02-15 2017-04-19 コンヴィーダ ワイヤレス， エルエルシー ドメインにわたるサービス層リソース伝搬
JP6165483B2 (ja) * 2013-03-27 2017-07-19 株式会社Ｎｔｔドコモ 通信システム、中継装置及び通信方法
CN103596167B (zh) * 2013-10-25 2016-06-29 西安电子科技大学 基于代理的机器类型通信认证和密钥协商方法
CN104754576B (zh) * 2013-12-31 2018-07-31 华为技术有限公司 设备验证方法、用户设备及网络设备
CN105681210A (zh) * 2014-11-14 2016-06-15 中兴通讯股份有限公司 组资源更新处理方法、装置、系统及cse
CN105792095A (zh) * 2014-12-23 2016-07-20 中兴通讯股份有限公司 用于mtc分组通信的密钥协商方法、系统及网络实体
CN104602236B (zh) * 2015-02-04 2018-08-07 西安电子科技大学 一种机器类型通信中基于群组的匿名切换认证方法
CN106034027A (zh) * 2015-03-12 2016-10-19 中兴通讯股份有限公司 一种实现分组认证的方法及系统
CN105187398B (zh) * 2015-08-12 2018-01-30 四川神琥科技有限公司 一种身份认证识别方法
CN106921636B (zh) * 2015-12-28 2020-05-08 华为技术有限公司 身份认证方法及装置
US10880332B2 (en) * 2017-04-24 2020-12-29 Unisys Corporation Enterprise security management tool
WO2018222132A2 (zh) 2017-05-29 2018-12-06 华为国际有限公司 网络认证方法、网络设备及核心网设备
CN110267351B (zh) 2018-03-12 2022-07-22 华为云计算技术有限公司 通信方法和装置
CN110366179A (zh) * 2018-04-09 2019-10-22 中兴通讯股份有限公司 一种认证方法、设备和计算机可读存储介质
CN110324820A (zh) * 2019-07-03 2019-10-11 易联众智能（厦门）科技有限公司 一种物联网安全鉴权方法、系统及可读介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101867928A (zh) * 2010-05-21 2010-10-20 西安电子科技大学 移动用户通过家庭基站接入核心网的认证方法
CN102088668A (zh) * 2011-03-10 2011-06-08 西安电子科技大学 基于群组的机器类型通信设备的认证方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101002799B1 (ko) * 2007-03-21 2010-12-21 삼성전자주식회사 이동통신 네트워크 및 상기 이동통신 네트워크에서 이동 노드의 인증을 수행하는 방법 및 장치
CN101854629B (zh) * 2010-05-21 2013-02-27 西安电子科技大学 家庭基站系统中用户终端接入认证及重认证的方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101867928A (zh) * 2010-05-21 2010-10-20 西安电子科技大学 移动用户通过家庭基站接入核心网的认证方法
CN102088668A (zh) * 2011-03-10 2011-06-08 西安电子科技大学 基于群组的机器类型通信设备的认证方法

Also Published As

Publication number Publication date
WO2012174959A1 (zh) 2012-12-27
CN102843233A (zh) 2012-12-26

Similar Documents

Publication Publication Date Title
CN102843233B (zh) 一种机器到机器通信中组认证的方法和系统
Cao et al. A survey on security aspects for 3GPP 5G networks
CN101946536B (zh) 演进网络中的应用特定的主密钥选择
CN104145465B (zh) 机器类型通信中基于群组的自举的方法和装置
CN101222331B (zh) 一种认证服务器及网状网中双向认证的方法及系统
CN101931955B (zh) 认证方法、装置及系统
Lai et al. SEGR: A secure and efficient group roaming scheme for machine to machine communications between 3GPP and WiMAX networks
Nyangaresi et al. Artificial neural network and symmetric key cryptography based verification protocol for 5G enabled Internet of Things
CN102783080A (zh) 安全多uim认证与密钥交换
CN103688563A (zh) 执行组认证和密钥协商过程
CN109716724A (zh) 与服务器通信的通信设备的双网认证的方法和系统
CN101772020A (zh) 鉴权处理方法和系统、3gpp认证授权计费服务器及用户设备
EP3614741B1 (en) Processing apparatus for terminal access to 3gpp network and communication system and corresponding system and computer program product
CN102480727A (zh) 机器与机器通信中的组认证方法及系统
Zhang et al. Dynamic group based authentication protocol for machine type communications
CN102469458A (zh) 一种m2m通信中的组认证方法和系统
Gharsallah et al. An efficient authentication and key agreement protocol for a group of vehicles devices in 5G cellular networks
CN107205208A (zh) 鉴权的方法、终端和服务器
CN101052032B (zh) 一种业务实体认证方法及装置
Basudan LEGA: a lightweight and efficient group authentication protocol for massive machine type communication in 5G networks
Zhang et al. Group-based authentication and key agreement for machine-type communication
Weng et al. A lightweight anonymous authentication and secure communication scheme for fog computing services
Lai et al. Security issues on machine to machine communications
CN102026184B (zh) 一种鉴权方法及鉴权系统以及相关设备
KR20140030518A (ko) 머신 타입 통신에서의 네트워크와의 상호 인증 방법 및 시스템, 키 분배 방법 및 시스템, 및 ｕｉｃｃ와 디바이스 쌍 인증 방법 및 시스템

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant