CN104185178A - 一种对移动终端鉴权的方法及装置 - Google Patents

Abstract

本发明公开了一种对移动终端鉴权的方法及装置，涉及移动通信安全技术领域，所述方法包括：鉴权中心接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息；利用所述接入鉴权请求消息中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理；根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，并发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。本发明能够有效防范伪造移动终端的使用。

Description

一种对移动终端鉴权的方法及装置

技术领域

本发明涉及移动通信安全技术领域，特别涉及移动通信系统中的对移动终端鉴权的方法及相关装置。

背景技术

移动终端的标识是专用移动通信系统识别移动终端身份的唯一性信息。常用的标识信息包括UIMID、ESN、MEID等。国内移动通信系统中移动终端一般采用机卡分离的模式，在移动终端注册流程中虽然上传了固化在移动终端上的ESN/MEID信息，但在开机鉴权、短信始呼鉴权、语音通话始呼鉴权等流程中使用的却是烧写在UIM卡上的UIMID，而不是ESN/MEID信息。

因此，严格意义上讲，目前公网所做的鉴权本质上是针对UIM卡而不是移动终端本身的，因此造成了山寨手机等伪造终端的泛滥。

要对移动终端的身份进行管理，关键问题是设计基于移动终端本身的标识信息。

发明内容

本发明的目的在于提供一种移动终端鉴权方法及装置，能更好地解决移动终端本身的鉴权问题。

根据本发明的一个方面，提供了一种对移动终端鉴权的方法，包括：

鉴权中心接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息；

利用所述接入鉴权请求消息中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理；

根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，并发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。

优选地，还包括：

鉴权中心向移动终端发送接入鉴权询问消息，以供移动移动终端根据所述接入鉴权询问消息，上报接入鉴权请求消息。

优选地，移动终端利用其主密钥，加密移动终端的认证码和数字噪声，得到加密认证码和加密数字噪声，并生成包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息，发送至鉴权中心。

优选地，所述对移动终端的合法性进行一次校验处理的步骤包括：

鉴权中心对收到的所述接入鉴权请求消息进行解析，得到终端标识、加密认证码、加密数字噪声；

利用所述终端标识，计算移动终端的防伪校验码；

将计算得到的所述防伪校验码与所述终端标识中的防伪校验码进行比较；

若计算得到的所述防伪校验码与所述终端标识中的防伪校验码一致，则对所述移动终端的一次校验成功，否则，对所述移动终端的一次校验失败。

优选地，所述对移动终端的合法性进行二次校验处理的步骤包括：

当一次校验成功时，鉴权中心找到预存的与所述终端标识对应的主密钥和认证码；

利用所述移动终端的主密钥，对所述加密认证码和加密数字噪声进行解密，得到认证码和数字噪声；

将解密得到认证码与预存的认证码进行比较；

若解密得到认证码与预存的认证码一致，则对所述移动终端的二次校验成功，否则，对所述移动终端的二次校验失败。

优选地，所述根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，并发送至移动终端的步骤包括：

鉴权中心利用解密得到的数字噪声，得到数字噪声反码；

鉴权中心生成包含一次检验失败或二次校验失败或二次交验成功的检验结果、所述数字噪声反码的接入鉴权响应消息，发送至移动终端。

优选地，所述移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性的步骤包括：

移动终端解析收到的所述接入鉴权响应消息，得到所述校验结果和数字噪声反码；

当所述校验结果是移动终端二次校验成功时，利用所述数字噪声反码，得到数字噪声；

将得到的所述数字噪声与移动终端的数字噪声进行比较；

若得到的所述数字噪声与移动终端的数字噪声一致，则确认所述鉴权中心合法，否则，确认所述鉴权中心非法。

优选地，所述根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，发送至移动终端的步骤包括：

鉴权中心利用解密得到的数字噪声，得到数字噪声反码；

利用所述移动终端的主密钥，对一次检验失败或二次校验失败或二次交验成功的检验结果、所述数字噪声反码进行加密，得到加密校验结果和加密数字噪声反码；

生成包含所述加密校验结果和加密数字噪声反码的接入鉴权响应消息，并发送至移动终端。

优选地，所述移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性的步骤包括：

移动终端解析收到的所述接入鉴权响应消息，得到加密校验结果和加密数字噪声反码；

利用移动终端的主密钥，对所述加密校验结果和加密数字噪声反码进行解密，得到校验结果和数字噪声反码；

当所述校验结果为移动终端二次校验成功时，利用所述数字噪声反码，得到数字噪声；

将得到的所述数字噪声与移动终端的数字噪声进行比较；

若得到的所述数字噪声与移动终端的数字噪声一致，则确认所述鉴权中心合法，否则，确认所述鉴权中心非法。

根据本发明的另一方面，提供了一种对移动终端鉴权的装置，包括：

请求消息接收单元，用于接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息；

移动终端校验单元，用于利用所述接入鉴权请求中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理；

响应消息发送单元，用于根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，并发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。

与现有技术相比较，本发明的有益效果在于：

本发明能够实现对移动终端的鉴权，从而有效防范伪造的移动终端。

附图说明

图1是本发明实施例提供的对移动终端鉴权的方法原理框图；

图2是本发明实施例提供的移动终端的包括标识组成和标识内容的终端标识格式示意图；

图3是本发明实施例提供的包括终端侧和网络侧的终端鉴权网络组成示意图；

图4是本发明实施例提供的终端鉴权流程图；

图5是本发明实施例提供的对移动终端鉴权的装置框图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

图1是本发明实施例提供的对移动终端鉴权的方法原理框图，如图1所示，步骤包括：

步骤101、鉴权中心接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息。

移动终端开机时或移动终端收到来自鉴权中心的接入鉴权询问消息时，移动终端需要上报接入鉴权请求消息。具体地说，移动终端利用其主密钥，加密移动终端的认证码和数字噪声，得到加密认证码和加密数字噪声，并生成包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息，发送至鉴权中心。

步骤102、利用所述接入鉴权请求消息中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理。

鉴权中心对收到的所述接入鉴权请求消息进行解析，得到终端标识、加密认证码、加密数字噪声。首先，利用所述终端标识，计算终端标识的防伪校验码，并将计算得到的所述防伪校验码与所述终端标识中的防伪校验码进行比较，若计算得到的所述防伪校验码与所述终端标识中的防伪校验码一致，则对所述移动终端的一次校验成功，否则，对所述移动终端的一次校验失败。当一次校验成功时，鉴权中心找到预存的与所述终端标识对应的主密钥和认证码，然后，利用所述移动终端的主密钥，对所述加密认证码和加密数字噪声进行解密，得到认证码和数字噪声，并将解密得到认证码与预存的认证码进行比较，若解密得到认证码与预存的认证码一致，则对所述移动终端的二次校验成功，否则，对所述移动终端的二次校验失败。

步骤103、根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。

鉴权中心得到一次校验失败或二次校验失败或二次交验成功的检验结果后，利用解密得到的数字噪声，得到数字噪声反码，并生成包含一次检验失败或二次校验失败或二次交验成功的检验结果、所述数字噪声反码的接入鉴权响应消息，发送至移动终端。移动终端通过解析收到的所述接入鉴权响应消息，得到所述校验结果和数字噪声反码，当所述校验结果是移动终端二次校验成功时，利用所述数字噪声反码，得到数字噪声，并将得到的所述数字噪声与移动终端的数字噪声进行比较，若得到的所述数字噪声与移动终端的数字噪声一致，则确认所述鉴权中心合法，否则，确认所述鉴权中心非法。

为了提高安全性，鉴权中心还可以利用所述移动终端的主密钥，对一次检验失败或二次校验失败或二次交验成功的检验结果、所述数字噪声反码进行加密，得到加密校验结果和加密数字噪声反码，并生成包含所述加密校验结果和加密数字噪声反码的接入鉴权响应消息，并发送至移动终端。对于移动终端，可通过解析收到的所述接入鉴权响应消息，得到加密校验结果和加密数字噪声反码，并利用移动终端的主密钥，对所述加密校验结果和加密数字噪声反码进行解密，得到校验结果和数字噪声反码，从而在所述校验结果为移动终端二次校验成功时，利用所述数字噪声反码，得到数字噪声，并通过将得到的所述数字噪声与移动终端的数字噪声进行比较，确认所述鉴权中心的合法性。

图2是本发明实施例提供的移动终端的包括标识组成和标识内容的终端标识格式示意图，如图2所示，本发明采用基于身份编码信息的移动终端标识方式，实现对每台移动终端进行唯一标识，例如，专用CDMA移动通信终端，终端标识具有自我防伪校验码功能，防范伪造移动终端的标识码信息。

1、移动终端的终端标识

终端标识包括56bit结构化数据以及由所述56bit结构化数据运算得出的4bit防伪校验码，共计60bit。终端标识由特定机构负责生成，终端生产厂商和普通用户不掌握该算法，也就是说，即使能够伪造前56bit信息，也无法算出合法的后4bit校验信息，从而无法伪造终端标识。

所述终端标识采用分段编码格式，长度为60bit，用15个4bit的16进制数字来表示，如图2所示。其中：

1）管理部门：8个bit，用来标识设备的组织研制单位；

2）厂家代码：20个bit，代表设备研制厂家；

3）设备类型：8bit，代表设备类型，如手机、Pad、上网卡等；

4）设备序列号：20bit，生产厂家确定，每个设备有一个唯一的设备序列号；

5）防伪校验码：4bit，用于对前面的所有数字进行校验。

例如：某个移动终端的合法标识为FA103254A0CB ED C，其中后4bit的值0x0C为防伪校验码。

如果其他某个移动终端上报的终端标识为FA103254A0CB ED B，其后4bit防伪校验码的值为0x0B，防伪校验码错误，显然为伪造的移动终端。

2、终端标识的防伪校验码算法

算法输入为终端标识的前56bit，输出为4bit防伪校验码，共同构成60bit的终端标识信息，具体地说，针对终端标识的前14个16进制数字，计算终端防伪校验码，步骤如下：

第一步、将前14个16进制数字中的奇数位数字分别乘以2，得到7个16进制数字，然后，将所述7个16进制数字的个位数之和与十位数之和相加；

第二步、将前14个16进制数字中的偶数位数字相加，再加上第一步得到的值；

第三步、第二步得出的数值，如果个位是0，则防伪校验位为0，否则使用0x10减去个位数，得到防伪校验码。

例如：针对该终端标识的前56bit为FA103254A0CB ED，可计算得出其防伪校验码。

第一步、奇数位乘以2，得到：

0x0F*2=0x1E

0x01*2=0x02

0x03*2=0x06

0x05*2=0x0A

0x0A*2=0x14

0x0C*2=0x18

0x0E*2=0x1C；

将个位数之和与十位数之和相加：1+1+1+1+E+2+6+A+4+8+C=0x3C；

第二步、计算偶数位数字之和，得到：A+0+2+4+0+B+D=0x28；

再加上前一步算得的值，得到：0x3C+0x28=0x64，其个位数为0x04；

第三步、防伪校验位为：0x10–0x04=0x0C。

图3是本发明实施例提供的包括终端侧和网络侧的终端鉴权网络组成示意图，如图3所示，移动终端开机后，通过移动通信公众网，立即上报用于终端鉴权的接入鉴权请求消息，由网络侧的鉴权中心AC对移动终端进行鉴权。

根据网络管理需要，网络侧AC也可主动向特定终端发出接入鉴权询问消息，收到询问的移动终端应立即上报接入鉴权请求消息，以供鉴权中心进行终端鉴权，否则视为伪造终端。

图4是本发明实施例提供的终端鉴权流程图，如图4所示，步骤包括：

步骤401、移动终端开机或接到鉴权中心AC询问后，上报接入鉴权请求消息，启动鉴权流程，也就是说，此时，移动终端经由电信网络设备的基站子系统BSS和移动交换中心MSC向网络侧发出接入鉴权请求消息，所述接入鉴权请求中含有终端标识TID、用自身主密钥加密得到的加密认证码AD’和加密数字噪声NS’。

每个移动终端内预置一个唯一的终端标识TID（60bit）、认证码AD（16个字节）和主密钥MK（16个字节），并在移动终端注册时生成16字节的数字噪声NS。网络侧AC预置所有的终端标识TID、认证码AD和主密钥MK，还有一张终端信息表，标明终端的TID和MDN等。

步骤402、短信中心MC查询所有登记服务的用户号码MDN，在向AC转发接入鉴权请求消息时，将所述MDN一并送到AC。

步骤403、AC首先根据移动终端的防伪校验码算法对终端标识TID进行验证，即进行一次校验处理，如果校验结果为合法，则利用TID在数据库中找到对应的主密钥MK，对所述加密认证码AD’和加密数字噪声NS’进行解密，得到认证码AD和NS。比较AC预存的AD和计算得到的AD，对移动终端进行二次校验处理，如果校验结果为合法，则将TID和MDN绑定。

AC生成包含校验结果和NS反码的接入鉴权响应消息，并发送给移动终端。其中，所述校验结果为1字节，校验成功（即所述移动终端在一次校验和二次校验中的校验结果均为合法）为0xCC，校验失败（即所述移动终端在一次校验中的校验结果为非法，或在一次校验中的校验结果为合法但在二次校验中的校验结果为非法）为0x55。

为提高信息传输的安全性，AC可以利用移动终端的主密钥对所述校验结果和所述NS反码进行加密处理，得到加密校验结果和加密NS反码，并生成包含所述加密校验结果和加密NS反码的接入鉴权响应消息，发送给移动终端。

步骤404、首先，移动终端用自身主密钥，解密得出校验结果和NS反码，如果鉴权结果为0xCC，则使用NS反码计算NS，并与本机的NS比较，若一致，则确认AC合法，移动终端的接入鉴权完成，否则，移动终端可主动终止后续的通信流程。

图5是本发明实施例提供的对移动终端鉴权的装置框图，如图5所示，包括：

请求消息接收单元，用于接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息；

移动终端校验单元，用于利用所述接入鉴权请求中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理；

响应消息发送单元，用于根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。.

移动终端开机时主动上报用于终端鉴权的信息（例如终端标识TID、认证码AD）到AC，AC的请求消息接收单元接收所述用于终端鉴权的信息，AC的移动终端校验单元将所述用于终端鉴权的信息与预存的信息进行比较，从而实现终端鉴权，并经由AC的响应消息发送单元将鉴权结果返回至移动终端。

此外，网络侧AC也可向特定的移动终端发起询问，要求移动终端上报用于终端鉴权的信息，以便对终端进行鉴权。

综上所述，本发明通过对移动终端的身份进行管理，设计基于移动终端本身的终端标识，并进行移动终端入网鉴权管理，可有效防范伪造移动终端的使用。

尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (10)

1.一种对移动终端鉴权的方法，其特征在于，包括：

鉴权中心接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息；

利用所述接入鉴权请求消息中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理；

根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，并发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。

2.根据权利要求1所述的方法，其特征在于，还包括：

鉴权中心向移动终端发送接入鉴权询问消息，以供移动移动终端根据所述接入鉴权询问消息，上报接入鉴权请求消息。

3.根据权利要求1或2所述的方法，其特征在于，移动终端利用其主密钥，加密移动终端的认证码和数字噪声，得到加密认证码和加密数字噪声，并生成包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息，发送至鉴权中心。

4.根据权利要求3所述的方法，其特征在于，所述对移动终端的合法性进行一次校验处理的步骤包括：

鉴权中心对收到的所述接入鉴权请求消息进行解析，得到终端标识、加密认证码、加密数字噪声；

利用所述终端标识，计算移动终端的防伪校验码；

将计算得到的所述防伪校验码与所述终端标识中的防伪校验码进行比较；

若计算得到的所述防伪校验码与所述终端标识中的防伪校验码一致，则对所述移动终端的一次校验成功，否则，对所述移动终端的一次校验失败。

5.根据权利要求4所述的方法，其特征在于，所述对移动终端的合法性进行二次校验处理的步骤包括：

当一次校验成功时，鉴权中心找到预存的与所述终端标识对应的主密钥和认证码；

利用所述移动终端的主密钥，对所述加密认证码和加密数字噪声进行解密，得到认证码和数字噪声；

将解密得到认证码与预存的认证码进行比较；

若解密得到认证码与预存的认证码一致，则对所述移动终端的二次校验成功，否则，对所述移动终端的二次校验失败。

6.根据权利要求5所述的方法，其特征在于，所述根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，发送至移动终端的步骤包括：

鉴权中心利用解密得到的数字噪声，得到数字噪声反码；

鉴权中心生成包含一次检验失败或二次校验失败或二次交验成功的检验结果、所述数字噪声反码的接入鉴权响应消息，发送至移动终端。

7.根据权利要求6所述的方法，其特征在于，所述移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性的步骤包括：

移动终端解析收到的所述接入鉴权响应消息，得到所述校验结果和数字噪声反码；

当所述校验结果是移动终端二次校验成功时，利用所述数字噪声反码，得到数字噪声；

将得到的所述数字噪声与移动终端的数字噪声进行比较；

若得到的所述数字噪声与移动终端的数字噪声一致，则确认所述鉴权中心合法，否则，确认所述鉴权中心非法。

8.根据权利要求5所述的方法，其特征在于，所述根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，发送至移动终端的步骤包括：

鉴权中心利用解密得到的数字噪声，得到数字噪声反码；

利用所述移动终端的主密钥，对一次检验失败或二次校验失败或二次交验成功的检验结果、所述数字噪声反码进行加密，得到加密校验结果和加密数字噪声反码；

生成包含所述加密校验结果和加密数字噪声反码的接入鉴权响应消息，并发送至移动终端。

9.根据权利要求8所述的方法，其特征在于，所述移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性的步骤包括：

移动终端解析收到的所述接入鉴权响应消息，得到加密校验结果和加密数字噪声反码；

利用移动终端的主密钥，对所述加密校验结果和加密数字噪声反码进行解密，得到校验结果和数字噪声反码；

当所述校验结果为移动终端二次校验成功时，利用所述数字噪声反码，得到数字噪声；

将得到的所述数字噪声与移动终端的数字噪声进行比较；

若得到的所述数字噪声与移动终端的数字噪声一致，则确认所述鉴权中心合法，否则，确认所述鉴权中心非法。

10.一种对移动终端鉴权的装置，其特征在于，包括：

请求消息接收单元，用于接收来自移动终端的包含终端标识、加密认证码、加密数字噪声的接入鉴权请求消息；

移动终端校验单元，用于利用所述接入鉴权请求中的终端标识，对移动终端的合法性进行一次校验处理，并利用所述接入鉴权请求中的加密认证码和加密数字噪声，对移动终端的合法性进行二次校验处理；

响应消息发送单元，用于根据一次校验处理结果或二次交验处理结果,生成接入鉴权响应消息，并发送至移动终端，以供移动终端根据所述接入鉴权响应消息确认鉴权中心的合法性。