CN102883319B - 鉴权向量管理方法及装置 - Google Patents

Abstract

本申请提供了一种鉴权向量管理方法，包括以下步骤：服务节点在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数；服务节点比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量。本申请还提供了一种实现前述方法的鉴权向量管理装置。本申请的鉴权向量管理方法及装置，能够避免鉴权向量被长时间使用，特别是在NAS信令交互次数较少的情况下，从而降低鉴权向量被破解的风险，保证网络通信的安全性。

Description

鉴权向量管理方法及装置

技术领域

本申请涉及通信技术领域，特别是涉及一种鉴权向量管理方法及装置。

背景技术

随着众多业务的开展，运营商和用户都需要可靠的认证机制来保证合法的业务使用以及正确的计费。在2G、3G以及LTE中，使用基于共享秘密的GBA（Generic Bootstrapping Architecture，通用引导）架构的鉴权方法。用户设备（UE）和网络侧通过运行AKA（Authentication and KeyAgreement，认证与密钥协商协议）认证机制，并使用运行结果（加密密钥和完整性密钥）来实现鉴权和安全功能。认证的鉴权向量由HSS（HomeSubscriber Server，归属地签约数据服务）计算产生，并将一组或多组鉴权向量（Authentication Vectors）通过鉴权信息应答（AuthenticationInformation Answer）消息下发给接入网控制实体，并由接入网实体以及用户设备，使用鉴权向量推衍出NAS以及AS层的各种加密密钥和完整性保护密钥对信令或者数据进行保护。

例如，在LTE中，鉴权信息（Authentication-Info）中包含多组E-UTRAN向量（E-UTRAN-Vector），由HS S下发给MME（Mobility ManagementEntity，移动管理实体）。MME保存鉴权向量，并使用鉴权向量发起认证过程，根据鉴权向量推衍出NAS层完整性保护密钥和加密密钥，并推衍出Kenb并发送给eNB（evolved NodeB，演进基站），eNB获得后通过Kenb推衍出KRRCint、KRRCenc以及KUPenc。NAS层以及AS层多个加密以及完整性保护密钥都是通过某个鉴权向量推衍得到的。

目前多使用计数器来记录NAS信令交互次数的方式对鉴权向量进行管理。当计数器达到最大值时，回卷计数器，重新获取新的鉴权向量。因为此种更换是基于NAS信令交互次数，若长时间内没有NAS信令交互，鉴权向量便无法更换，随着使用时间的增加，鉴权向量被破解的可能性也就越高，密钥也更容易被泄露，影响网络通信的安全。

发明内容

本申请提供一种鉴权向量管理方法及装置，能够解决鉴权向量因为长时间使用而被破解和泄露的问题。

为了解决上述问题，本申请公开了一种鉴权向量管理方法，包括以下步骤：

服务节点在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数；

服务节点比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量。

进一步地，所述方法还包括：

将所述被新的鉴权向量替换的当前鉴权向量置为“已使用”状态。

进一步地，所述记录当前鉴权向量的使用时间采用定时器记录，所述比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期包括：

在鉴权流程成功后，服务节点启动定时器记录所述当前鉴权向量的使用时间，所述定时器的时长为当前鉴权向量的生命周期，若所述定时器超时，则确定当前鉴权向量的使用时间超过其生命周期。

进一步地，在服务节点在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数之前，所述方法还包括：

服务节点发送鉴权信息请求消息给归属地签约数据服务；

归属地签约数据服务生成鉴权向量和鉴权向量生命周期，将所述鉴权向量和鉴权向量生命周期返回给服务节点；

服务节点选取一组鉴权向量发起鉴权流程，若鉴权流程成功则进行下一步骤，反之，则重新选取一组鉴权向量再次发起鉴权流程。

进一步地，所述服务节点选取一组鉴权向量发起鉴权流程包括：

使用选取的鉴权向量向用户设备发送鉴权请求消息，并接收用户设备在对网络进行认证成功后回复的鉴权响应消息；

比较鉴权响应消息中的用户响应值和期望的用户响应值是否一致，若是，则鉴权流程成功，反之，则失败。

进一步地，所述服务节点包括移动管理实体或GPRS服务支持节点。

本申请还公开了一种鉴权向量管理装置，置于服务节点中，包括：

信息记录模块，用于在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数；

比较模块，用于比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量。

进一步地，所述装置还包括：

状态记录更改模块，用于将所述被新的鉴权向量替换的当前鉴权向量置为“已使用”状态。

进一步地，所述信息记录模块包括：

定时器，用于记录当前鉴权向量的使用时间，所述定时器的时长为当前鉴权向量的生命周期，若定时器超时，则比较模块判定当前鉴权向量的使用时间超过其生命周期。

进一步地，所述装置还包括：

信息发送模块，用于发送鉴权信息请求消息给归属地签约数据服务；

信息接收模块，用于接收归属地签约数据服务生成的鉴权向量和鉴权向量生命周期；

鉴权模块，用于选取一组鉴权向量发起鉴权流程，若鉴权流程成功则触发信息记录模块，反之，则重新选取一组鉴权向量再次发起鉴权流程。

进一步地，所述服务节点为移动管理实体或GPRS服务支持节点。

与现有技术相比，本申请包括以下优点：

本申请的鉴权向量管理方法通过增加鉴权向量生命周期，与NAS交互次数相结合的方式来对鉴权向量的使用时效进行管理，只要二者任一一个达到预设值，则用新的鉴权向量替换当前的鉴权向量。此种方式可以避免鉴权向量被长时间使用，特别是在NAS信令交互次数较少的情况下，从而降低了鉴权向量被破解的风险，保证网络通信的安全性。

其次，通过对鉴权向量状态的更改，便于服务节点在后续使用鉴权向量时准确区分鉴权向量是否被使用过，从而可以保证新的鉴权向量未被使用过，保证数据的有效性。

当然，实施本申请的任一产品不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请的鉴权向量管理方法实施例一的流程图；

图2是本申请的鉴权向量管理方法实施例二的流程图；

图3是本申请的鉴权向量管理方法实施例三的流程图；

图4是本申请的鉴权向量管理装置实施例一的结构示意图；

图5是本申请的鉴权向量管理装置实施例二的结构示意图；

图6是本申请的鉴权向量管理装置实施例三的结构示意图；

图7是本申请的鉴权向量管理装置的系统架构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本申请保护的范围。

参照图1，示出本申请的一种鉴权向量管理方法实施例一，包括以下步骤：

步骤101，服务节点在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数。

服务节点包括移动管理实体（MME）或GPRS服务支持节点（SGSN，Serving GPRS SUPPORT NODE）等可以提供网络服务的节点。

记录当前鉴权向量的使用时间可以采用定时器的方式实现，即在鉴权流程成功后，服务节点启动一个定时器来记录当前鉴权向量的使用时间。该定时器的时长为鉴权向量的生命周期，当定时器超时时，服务节点便可以确定当前鉴权向量的使用时间超过其生命周期。

记录当前鉴权向量的NAS（Network Attached Storage，网络附属存储）信令交互次数可以采用计数器的方式实现，其中，计数器的最大值为NAS信令交互次数阈值，在鉴权流程成功后，服务节点触发该计数器计数，计数器的初始值为0，每进行一次NAS信令交互，则触发计数器的数值加1。

步骤102，服务节点基于比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量。

鉴权向量生命周期即为鉴权向量的有效使用时间，本申请的鉴权向量管理方法通过增加鉴权向量生命周期，与NAS信令交互次数相结合的方式来对鉴权向量的使用时效进行管理，只要二者任一一个达到预设值，则用新的鉴权向量替换当前的鉴权向量。其中，鉴权向量的生命周期与NAS信令交互次数阈值可以根据实际情况确定，例如，鉴权向量的生命周期可以由鉴权向量生成方基于鉴权向量生成的相关参数来确定，或者基于经验值确定，NAS信令交互次数阈值可以基于实际的NAS信令交互频率来确定，本申请对此并不限制。鉴权向量的生命周期与NAS信令交互次数阈值在确定后，预先存储在服务节点中，服务节点将实时记录的当前鉴权向量的使用时间及NAS信令交互次数分别与预存的生命周期及阈值比较，从而确定使用时间是否超过生命周期，以及NAS信令交互次数是否超过阈值。此种方式可以避免鉴权向量被长时间使用，特别是在NAS信令交互次数较少的情况下，从而降低了鉴权向量被破解的风险，保证网络通信的安全性。

参照图2，示出本申请的鉴权向量管理方法实施例二，在实施例一的步骤102之后还包括以下步骤：

步骤201，将所述被新的鉴权向量替换的当前鉴权向量置为“已使用”状态。

通过对鉴权向量状态的更改，从而便于服务节点在后续使用鉴权向量时准确区分鉴权向量是否被使用过，从而可以保证新的鉴权向量未被使用过，保证数据的有效性。

参照图3，示出本申请的鉴权向量管理方法实施例三，在实例一或二的步骤101之前还包括以下步骤：

步骤301，服务节点发送鉴权信息请求消息给归属地签约数据服务。

同前所述，服务节点包括移动管理实体（MME）或GPRS服务支持节点（SGSN，Serving GPRS SUPPORT NODE）等可以提供网络服务的节点。

步骤302，归属地签约数据服务生成鉴权向量和鉴权向量生命周期，将所述鉴权向量和鉴权向量生命周期返回给服务节点。

其中，归属地签约数据服务（HSS）会同时生成多组鉴权向量，具体的可以包括E-UTRAN向量（E-UTRAN-Vector）、UTRAN向量（UTRAN-Vector）、GERAN向量（GERAN-Vector）等等。归属地签约数据服务在生成鉴权向量的同时会生成每组鉴权向量的生命周期。其中，各组鉴权向量生命周期通过预先设置的参数来确定。

步骤303，服务节点选取一组鉴权向量发起鉴权流程，若鉴权流程成功则进行下一步骤，反之，则重新选取一组鉴权向量再次发起鉴权流程。

服务节点发起鉴权流程的具体包括：

使用选取的鉴权向量向用户设备发送鉴权请求消息（AuthenticationRequest），并接收用户设备在对网络进行认证成功后回复的鉴权响应消息（Authentication Response）；

比较鉴权响应消息中的用户响应值（RES，User Response）和期望的用户响应值（XRES，Expected User Response）是否一致，若是，则鉴权流程成功，反之，则失败。

可以理解，在鉴权流程成功后，服务节点以及用户设备将根据该组鉴权向量，通过NAS层安全模式控制（Security mode control）过程以及AS层安全模式控制过程，生成NAS层完整性保护密钥、NAS加密密钥、RRC层完整性保护密钥、RRC层加密密钥、UP层加密密钥等一系列密钥。与此同时，服务节点则需要对鉴权向量生命周期以及与用户设备的NAS信令交互次数进行监控，即进行前述步骤101。

另外，对于前述各实施例的步骤102中的使用新的鉴权向量替换当前鉴权向量的过程为：服务节点重新选取一组鉴权向量并发起鉴权流程，若成功，则该组鉴权向量为新的鉴权向量，若失败，则服务器节点需要再次选取一组鉴权向量，直到鉴权流程成功，则将该组鉴权向量作为新的鉴权向量来替换当前鉴权向量。

参照图4，示出本申请的鉴权向量管理装置实施例一，其置于服务节点中，包括信息记录模块10和比较模块20。

信息记录模块10，用于在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数。优选地，信息记录模块10包括定时器和计数器，其中，当前鉴权向量的使用时间通过定时器记录，定时器的时长为当前鉴权向量的生命周期，当鉴权流程成功后，服务节点则启动定时器开始计时，到定时器超时时，则说明当前鉴权向量的使用时间超过生命周期。NAS信令交互次数由计数器记录，计数器的最大值为当前鉴权向量的NAS信令交互次数阈值。

比较模块20，用于比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量。

参照图5，示出本申请的鉴权向量管理装置实施例二，该装置还包括状态记录更改模块50，用于将所述被新的鉴权向量替换的当前鉴权向量置为“已使用”状态。

参照图6，示出本申请的鉴权向量管理装置实施例三，该装置还包括信息发送模块61、信息接收模块63和鉴权模块65。

信息发送模块61，用于发送鉴权信息请求消息给归属地签约数据服务。

信息接收模块63，用于接收归属地签约数据服务生成的鉴权向量和鉴权向量生命周期。

鉴权模块65，用于选取一组鉴权向量发起鉴权流程，若鉴权流程成功则触发信息记录模块，反之，则重新选取一组鉴权向量再次发起鉴权流程。

可以理解，前述服务节点可以是移动管理实体或GPRS服务支持节点或者其他能够提供网络服务的节点。

参照图7，示出本申请的鉴权向量管理装置与归属地签约数据服务以及用户设备之间信息交互的具体实例图。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本申请各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上对本申请所提供的鉴权向量管理方法及装置进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (9)

1.一种鉴权向量管理方法，其特征在于，包括以下步骤：

服务节点在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数；

服务节点比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量；

其中，在服务节点在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数之前，所述方法还包括：

服务节点发送鉴权信息请求消息给归属地签约数据服务；

归属地签约数据服务生成鉴权向量和鉴权向量生命周期，将所述鉴权向量和鉴权向量生命周期返回给服务节点；

服务节点选取一组鉴权向量发起鉴权流程，若鉴权流程成功则进行下一步骤，反之，则重新选取一组鉴权向量再次发起鉴权流程。

2.如权利要求1所述的鉴权向量管理方法，其特征在于，所述方法还包括：

将所述被新的鉴权向量替换的当前鉴权向量置为“已使用”状态。

3.如权利要求1所述的鉴权向量管理方法，其特征在于，所述记录当前鉴权向量的使用时间采用定时器记录，所述比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期包括：

在鉴权流程成功后，服务节点启动定时器记录所述当前鉴权向量的使用时间，所述定时器的时长为当前鉴权向量的生命周期，若所述定时器超时，则确定当前鉴权向量的使用时间超过其生命周期。

4.如权利要求1所述的鉴权向量管理方法，其特征在于，所述服务节点选取一组鉴权向量发起鉴权流程包括：

使用选取的鉴权向量向用户设备发送鉴权请求消息，并接收用户设备在对网络进行认证成功后回复的鉴权响应消息；

比较鉴权响应消息中的用户响应值和期望的用户响应值是否一致，若是，则鉴权流程成功，反之，则失败。

5.如权利要求1至4任一项所述的鉴权向量管理方法，其特征在于，所述服务节点包括移动管理实体或GPRS服务支持节点。

6.一种鉴权向量管理装置，置于服务节点中，其特征在于，包括：

信息记录模块，用于在鉴权流程成功后，记录当前鉴权向量的使用时间以及NAS信令交互次数；

比较模块，用于比较所述当前鉴权向量的使用时间与预存的当前鉴权向量的生命周期以及NAS信令交互次数与预存的NAS信令交互次数阈值，若当前鉴权向量的使用时间超过其生命周期或NAS信令交互次数超过阈值，则使用新的鉴权向量替换当前鉴权向量；

其中，所述装置还包括：

信息发送模块，用于发送鉴权信息请求消息给归属地签约数据服务；

信息接收模块，用于接收归属地签约数据服务生成的鉴权向量和鉴权向量生命周期；

鉴权模块，用于选取一组鉴权向量发起鉴权流程，若鉴权流程成功则触发信息记录模块，反之，则重新选取一组鉴权向量再次发起鉴权流程。

7.如权利要求6所述的鉴权向量管理装置，其特征在于，所述装置还包括：

状态记录更改模块，用于将所述被新的鉴权向量替换的当前鉴权向量置为“已使用”状态。

8.如权利要求6所述的鉴权向量管理装置，其特征在于，所述信息记录模块包括：

定时器，用于记录当前鉴权向量的使用时间，所述定时器的时长为当前鉴权向量的生命周期，若定时器超时，则比较模块判定当前鉴权向量的使用时间超过其生命周期。

9.如权利要求6至8任一项所述的鉴权向量管理装置，其特征在于，所述服务节点为移动管理实体或GPRS服务支持节点。