CN107911813B - 透明模式的移动用户身份管理方法及系统 - Google Patents

Abstract

本发明提出一种透明模式的移动用户身份管理方法及系统，通过HSS代理服务器为用户分配动态身份信息，使用户每次接入移动网络时使用动态身份信息进行接入认证，从而避免在不安全网络环境中暴露用户长期签约身份信息，导致用户长期签约身份信息被恶意截获、用户位置被跟踪。

Description

透明模式的移动用户身份管理方法及系统

技术领域

本发明涉及网络通信安全技术领域，尤其涉及一种透明模式的移动用户身份管理方法及系统。

背景技术

移动通信网络服务由于其移动性和便利性已经广泛应用于人们的日常生活，随着4G移动通信网络的大规模部署，越来越多的人开始使用4G网络服务。在享受移动通信网络带来的便利同时，通信监听以及个人隐私泄露也成为日益严重的问题。

移动网络用户使用3G、4G等网络业务的过程中，恶意用户通过截取用户接入无线网的接入请求过程中尚未安全保护的信令信息，分析信令信息用户身份信息，或者通过恶意软件模仿核心网发起用户身份信息请求机制，恶意获取用户的身份信息，即长期签约身份信息(IMSI)，然后通过结合非法途径获取移动用户签约信息，感知IMSI代表的用户身份。通过截取特定IMSI相关的信令及流量信息，从而对用户位置进行非法跟踪，导致用户敏感信息泄露的安全威胁。

现有的3G、4G移动网络为了降低用户长期签约身份信息被泄露的风险，采取临时身份信息，即P-TMSI及GUTI，用户在首次成功接入网络以后，以后再访问网络业务时就使用网络侧分配的临时身份信息以标识自己身份。网络侧靠动态变更用户临时身份信息，从而降低用户长期签约身份信息IMSI泄露的风险。

现有机制靠临时身份信息能够在一定程度降低用户长期签约身份信息被泄露的风险，但是目前的4G网络设计还是存在一定漏洞。在用户接入移动网络过程中，核心网的网元收到用户临时身份信息如果无法识别，就会主动要求用户以明文方式上报其长期签约身份信息。这个机制目前可以被恶意软件或机构伪装核心网，从而获取用户的长期签约身份信息。非法使用用户长期签约身份信息可能导致用户位置信息泄露。所以目前的4G移动网络机制还存在一定缺陷无法解决用户长期签约身份信息泄露及位置被跟踪的安全威胁。

发明内容

本发明的目的是提出一种透明模式的移动用户身份管理方法及系统，通过HSS代理服务器为用户分配动态身份信息，使用户每次接入移动网络时使用动态身份信息进行接入认证，从而避免在不安全网络环境中暴露用户长期签约身份信息，导致用户长期签约身份信息被恶意截获、用户位置被跟踪。

为达到上述目的，本发明采用的技术方案是：

一种透明模式的移动用户身份管理方法，其步骤包括：

用户终端设备附着网络时，MME(即移动管理节点)接收该用户终端设备的附着请求信息，该附着请求信息包括正在使用的当前动态身份信息；

所述MME确定相关的HSS-Proxy(即HSS代理服务器)，并向该HSS-Proxy发送认证请求信息，该认证请求信息包括所述当前动态身份信息；

所述HSS-Proxy收到所述认证请求信息后，在数据库中查找并确认所述当前动态身份信息是否存在与一长期签约身份信息的绑定关系；

如果存在所述绑定关系，则将所述当前动态身份信息替换为所述长期签约身份信息，并发送给相应的HSS(即HSS服务器，归属签约用户服务器)进行认证请求；

所述HSS根据所述长期签约身份信息生成认证数据，并连同所述长期签约身份信息一同回复给所述HSS-Proxy；

所述HSS-Proxy根据该响应信息更新数据库，将所述长期签约身份信息替换为相应的动态身份信息；

如果不存在所述绑定关系，则所述HSS-proxy直接拒绝来自所述MME的认证请求信息；

所述HSS-proxy将所述认证数据、动态身份信息发给所述MME，由其告知所述用户终端设备附着结果。

进一步地，所述MME根据预配置的HSS-proxy代理的身份信息表和HSS-proxy IP对应关系确定相关的HSS-proxy。

进一步地，根据所述长期签约身份信息中的MNC或MCC信息找到相应的HSS。

进一步地，所述用户终端设备的当前动态身份信息为上次附着网络时由所述HSS-Proxy分配得到，其分配方法的步骤包括：

所述用户终端设备附着网络时，所述HSS-Proxy检测其使用的身份信息，如果为长期签约身份信息，则向用户终端设备发送身份更新请求信息；

所述HSS-Proxy接收用户终端设备发出的身份请求信息，包括长期签约身份信息或之前分配的当前动态身份信息；

如果为当前动态身份信息，则为所述用户终端设备分配新的动态身份信息，并更新数据库，用所述新的动态身份信息替换当前动态身份信息并与所述用户终端设备的长期签约身份信息建立绑定关系；

如果为长期签约身份信息，则直接分配新的动态身份信息，并在所述数据库中建立该新的动态身份信息与该长期签约身份信息的绑定关系；

所述HSS-Proxy向用户终端设备回复响应，发送所述新的动态身份信息以用于用户终端设备的下次附着网络时使用。

进一步地，如果所述用户终端设备的身份请求信息包括更早分配的旧的动态身份信息，则为所述用户终端设备分配新的动态身份信息，并更新数据库，用所述新的动态身份信息替换旧的动态身份信息并与所述用户终端设备的长期签约身份信息建立绑定关系。

进一步地，所述HSS-Proxy从所管理的动态身份信息池中为用户终端设备分配新的动态身份信息。

进一步地，所述HSS-Proxy通过预配置的方式或者通过接收网管系统的配置命令添加、删除或变更所管理的动态身份信息池中的动态身份信息。

进一步地，所述用户终端设备附着网络时的身份信息由用户终端设备的终端安全接入控制模块写入。

进一步地，所述用户终端设备根据动态身份信息安全策略或者HSS-Proxy的请求，发送身份请求信息。

一种移动用户附着网络的身份信息管理系统，包括

HSS-proxy，用于为附着网络的用户终端设备分配动态身份信息，更新动态身份信息与长期签约身份信息的绑定关系的数据库，向用户终端设备或MME发送相应信息，向HSS发送认证请求信息；

MME，用于接收用户终端设备附着请求信息，向相关的HSS-Proxy发送认证请求信息并最终向用户终端设备回复附着结果；

HSS，根据HSS-proxy的认证请求生成认证数据，将用户终端设备的动态身份信息替换为长期签约身份信息。

本发明在HSS-Proxy和用户终端设备UE之间直接引入新的接口MME，用于向UE提供分配的动态身份信息、动态身份信息生命周期及身份信息更新策略。HSS-Proxy位于MME和HSS连接之间，代理二者之间的交互信息，对于MME来说，HSS-proxy充当HSS角色。对于HSS来说，HSS-proxy充当MME的角色。

在相关的MME上配置HSS-proxy代理的动态身份信息及代理的HSS包含的签约身份信息库信息和HSS-proxy IP地址的对应关系，以便MME可以将包含的相关动态身份信息及相关签约身份信息的发给HSS-proxy而不是根据IMSI中MCC及MNC寻找HSS。

用户终端设备成功附着后，根据本地安全策略或者HSS-proxy的触发，用户终端设备向HSS-proxy发送身份请求信息，该信息包含用户终端设备当前身份信息(IMSI0或IMSIn)。HSS-Proxy收到后检查该用户终端设备通过询问MME判断是否通过认证。如果通过认证，则从配置的动态身份信息池中分配一个动态身份信息IMSIn或IMSIn+1给该用户终端设备，并在本地数据库中保存动态身份信息IMSIn或IMSIn+1和长期签约身份信息IMSI0的绑定关系。HSS-proxy回复用户终端设备身份请求响应信息，该信息中包含为用户终端设备分配的动态身份信息IMSIn或IMSn+1。

MME根据预配置的HSS-Proxy代理的身份信息，将包含的相关身份信息路由到HSS-proxy。HSS-proxy检查MME发来的信息中是否包含所管理的动态身份信息，如果有包含动态身份信息，则查找本地数据库。如果查找到该动态身份信息绑定的长期签约身份信息，则将该动态身份信息替换成长期签约身份信息，然后依据长期签约信息中的MNC及MCC信息找到相关的HSS并将修改后的信息转发给HSS；如果没有查找到该动态身份信息绑定的长期签约身份信息，则回复拒绝信息给MME。

此外，HSS-Proxy检查MME发来信息中包含的动态身份信息，如果用户终端设备通过新分配的动态身份信息IMSIn+1接入网络，HSS-Proxy就是从本地数据库删除旧的动态身份信息IMSIn、IMSIn-1和长期签约身份信息的的绑定关系。HSS-proxy检查MME发来的信息中是否包含所管理动态身份信息，如果没有有包含动态身份信息，则直接将该信息转发给先关的HSS。HSS-Proxy收到HSS的响应信息后，通过查找本地数据库检查该信息中的长期签约身份信息是否绑定了动态身份信息，如果绑定了动态身份信息，则将该长期签约信息替换成动态身份信息，然后将修改后的信息发送给MME。

本发明通过引入新网络功能，即HSS-Proxy代理功能，该功能工作与HSS和MME之间，代理二者之间的DIAMETER接口信息。该功能对用户动态身份信息池进行管理。从动态身份信息池中为具体用户终端设备分配可用的动态身份信息，回收用户终端设备已经使用过的身份信息。为用户终端设备分配动态身份信息后，HSS-Proxy在本地建立用户动态身份信息和长期签约身份信息的绑定关系。HSS-proxy检查MME到HSS的交互信息，如果发现信息中包含之前分配的动态身份信息，根据绑定关系，将动态身份信息替换成长期签约身份信息。同时，检查HSS到MME的交互信息，如果发现信息中包含的长期签约身份信息含有对应的绑定关系，将长期签约身份信息替信息替换成绑定的动态身份信息，从而实现动态身份管理机制对于MME和HSS透明，减小对现有4G网络系统的影响。

附图说明

图1为透明模式用户身份及位置信息保护方案架构图。

图2为实施例的一种透明模式的移动用户身份管理方法流程图。

图3为动态身份信息分配流程图。

具体实施方式

为使本发明的上述特征和优点能更明显易懂，下文特举实施例，并配合所附图作详细说明如下。

本实施例提供一种透明模式的移动用户身份管理方法，如图1、图2所示，步骤如下：

(1)用户终端设备附着网络时，发起网络附着请求信息给MME，在附着请求信息中包含当前动态身份信息IMSIn或IMSIn+1。

(2)MME根据预配置的HSS-proxy代理的身份信息表和HSS-proxy的IP对应关系确定相关的HSS-proxy。

(3)为了完成对该用户终端设备的认证，MME向HSS-proxy发送认证请求信息，该信息包含用户终端设备上报的当前动态身份信息IMSIn或IMSIn+1。

(4)HSS-proxy收到来自MME的信息后，在本地数据库中查找当前动态身份信息IMSIn或IMSIn+1对应的绑定关系是否存在。

(5)如果找到对应的绑定关系，HSS-proxy将MME发来的信息中包含的当前动态身份信息IMSIn或IMSIn+1替换成该用户终端设备的长期签约身份信息IMSI0。

(6)HSS-proxy根据长期签约身份信息中的MNC或MCC信息找到相应的HSS，并将替换后的身份信息转发给HSS进行认证请求。

(7)HSS生成认证数据，并返回响应信息给HSS-proxy。

(8)HSS-proxy收到来自HSS的响应信息后，在本地数据库中查找信息中包含的长期签约身份信息和动态身份信息对应的绑定关系，将HSS发来信息中包含的用户终端设备的长期签约身份信息IMSI0替换成相应的动态身份信息IMSIn或IMSIn+1。

(9)HSS-proxy如果没有找到对应的绑定关系，直接拒绝来自MME的认证请求，失败理由可以设置成用户身份信息无法识别。

(10)HSS-proxy回复或转发来自HSS的修改后的响应信息给MME，该信息包含用户动态身份信息IMSIn或IMSIn+1及HSS生成的认证数据。

(11)MME完成和用户终端设备的相互认证后，回复用户终端设备附着响应信息。

所述用户终端设备附着网络时使用的当前动态身份信息是上次附着网络时由HSS-proxy分配得到，该分配过程如图3所示，主要步骤如下：

(1)附着网络时，用户终端设备(UE)上的终端安全接入控制模块发送身份请求信息，该信息包含正在使用的当前动态身份信息IMSIn或长期签约身份信息IMSI0。

(2)在附着过程中，HSS-proxy发现某些特定用户终端设备使用长期签约身份信息IMSI0附着网络，则为这些用户终端设备进行动态身份更新。

(3)如果触发用户动态身份更新，则HSS-proxy根据用户终端设备的IP地址主动向其发送身份更新请求信息。

(4)用户终端设备回复响应信息给HSS-proxy。

(5)根据用户终端设备上的动态身份信息安全策略或者HSS-proxy的请求，向HSS-proxy发送身份请求信息，该信息包含用户终端设备当前身份信息，即长期签约身份信息IMSI0或者当前动态身份信息IMSIn。

(6)HSS-proxy收到身份请求信息后检查用户终端设备当前身份信息，根据身份信息的具体类型进行后续步骤的相应操作。

(7)如果当前身份信息是之前分配的当前动态身份信息IMSIn，则HSS-proxy从所管理的动态身份信息池中分配可用的新动态身份信息IMSIn+1给该用户终端设备。

(8)HSS-proxy更新本地的动态身份信息和长期签约身份信息绑定关系数据库信息，用所述新动态身份信息IMSIn+1替换所述当前动态身份信息IMSIn或更早分配的旧动态身份信息IMSIn-1。

(9)如果当前身份信息是长期签约身份信息IMSI0，则HSS-proxy从所管理的动态身份信息池中分配可用的动态身份信息IMSIn给该用户终端设备。

(10)HSS-proxy更新本地数据库，增加动态身份信息IMSIn和长期签约身份信息IMSI0的绑定关系。

(11)HSS-proxy回复响应信息给用户终端设备，该信息中包含为该用户终端设备分配的动态身份信息IMSIn或IMSIn+1。

(12)用户终端设备收到该信息后保存上述动态身份信息，并在合适的时间替换当前使用的身份信息(动态身份信息IMSIn或长期签约身份信息IMSI0)。

图1、图2中的S/P-GW网关为移动通信网络EPC的重要网元，属现有技术，不再赘述。

综上所述，本发明公开了适用于移动网络用户长期签约身份信息保护的方法，其工作机制对现有的4G网络功能透明，避免了对现有网络系统的影响。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求书所述为准。

Claims (10)

1.一种透明模式的移动用户身份管理方法，其步骤包括：

用户终端设备附着网络时，移动管理节点接收所述用户终端设备的附着请求信息，所述附着请求信息包括正在使用的当前动态身份信息；

所述移动管理节点确定相关的HSS代理服务器即归属签约用户服务器的代理服务器，并向所述HSS代理服务器发送认证请求信息，所述认证请求信息包括所述当前动态身份信息；

所述HSS代理服务器收到所述认证请求信息后，在数据库中查找并确认所述当前动态身份信息是否存在与一长期签约身份信息的绑定关系；

如果存在所述绑定关系，则将所述当前动态身份信息替换为所述长期签约身份信息，并发送给相应的HSS服务器即归属签约用户服务器进行认证请求；

所述HSS服务器根据所述长期签约身份信息生成认证数据，并连同所述长期签约身份信息一同回复给所述HSS代理服务器；

所述HSS代理服务器根据响应信息更新数据库，将所述长期签约身份信息替换为相应的动态身份信息；

如果不存在所述绑定关系，则所述HSS代理服务器直接拒绝来自所述移动管理节点的认证请求信息；

所述HSS代理服务器将所述认证数据、动态身份信息发给所述移动管理节点，由所述移动管理节点告知所述用户终端设备附着结果。

2.根据权利要求1所述的方法，其特征在于，所述移动管理节点根据预配置的HSS代理服务器代理的身份信息表和HSS代理服务器IP对应关系确定相关的HSS代理服务器。

3.根据权利要求1所述的方法，其特征在于，根据所述长期签约身份信息中的MNC或MCC信息找到相应的HSS服务器。

4.根据权利要求1所述的方法，其特征在于，所述用户终端设备的当前动态身份信息为上次附着网络时由所述HSS代理服务器分配得到，其分配方法的步骤包括：

所述用户终端设备附着网络时，所述HSS代理服务器检测其使用的身份信息，如果为长期签约身份信息，则向用户终端设备发送身份更新请求信息；

所述HSS代理服务器接收所述用户终端设备发出的身份请求信息，包括长期签约身份信息或之前分配的当前动态身份信息；

如果为所述当前动态身份信息，则为所述用户终端设备分配新的动态身份信息，并更新数据库，用所述新的动态身份信息替换所述当前动态身份信息并与所述用户终端设备的长期签约身份信息建立绑定关系；

如果为所述长期签约身份信息，则直接分配新的动态身份信息，并在所述数据库中建立所述新的动态身份信息与所述长期签约身份信息的绑定关系；

所述HSS代理服务器向所述用户终端设备回复响应，发送所述新的动态身份信息以用于所述用户终端设备的下次附着网络时使用。

5.根据权利要求4所述的方法，其特征在于，如果所述身份请求信息包括更早分配的旧的动态身份信息，则为所述用户终端设备分配新的动态身份信息，并更新数据库，用所述新的动态身份信息替换所述旧的动态身份信息并与所述用户终端设备的长期签约身份信息建立绑定关系。

6.根据权利要求4所述的方法，其特征在于，所述HSS代理服务器从所管理的动态身份信息池中为所述用户终端设备分配新的动态身份信息。

7.根据权利要求6所述的方法，其特征在于，所述HSS代理服务器通过预配置的方式或者通过接收网管系统的配置命令添加、删除或变更所述动态身份信息池中的动态身份信息。

8.根据权利要求4所述的方法，其特征在于，所述用户终端设备根据动态身份信息安全策略或者HSS代理服务器的请求，发送身份请求信息。

9.根据权利要求1或4所述的方法，其特征在于，所述用户终端设备附着网络时的身份信息由所述用户终端设备的终端安全接入控制模块写入。

10.一种透明模式的移动用户身份管理系统，包括：

HSS代理服务器，即归属签约用户服务器的代理服务器，用于为附着网络的用户终端设备分配动态身份信息，更新动态身份信息与长期签约身份信息的绑定关系的数据库，向用户终端设备或移动管理节点发送相应信息，向HSS服务器发送认证请求信息；

移动管理节点，用于接收用户终端设备附着请求信息，向相关的HSS代理服务器发送认证请求信息并最终向用户终端设备回复附着结果；

HSS服务器，即归属签约用户服务器，根据所述HSS代理服务器的认证请求生成认证数据，并连同所述长期签约身份信息一同回复给所述HSS代理服务器。

Images