CN108848502B - 一种利用5g-aka对supi进行保护的方法 - Google Patents

一种利用5g-aka对supi进行保护的方法 Download PDF

Info

Publication number
CN108848502B
CN108848502B CN201810482380.5A CN201810482380A CN108848502B CN 108848502 B CN108848502 B CN 108848502B CN 201810482380 A CN201810482380 A CN 201810482380A CN 108848502 B CN108848502 B CN 108848502B
Authority
CN
China
Prior art keywords
supi
authentication
identity
terminal
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810482380.5A
Other languages
English (en)
Other versions
CN108848502A (zh
Inventor
贾云鹤
叶琅
刘畅
徐彦吏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Data communication science and technology research institute
XINGTANG COMMUNICATION TECHNOLOGY CO LTD
Original Assignee
Data communication science and technology research institute
XINGTANG COMMUNICATION TECHNOLOGY CO LTD
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Data communication science and technology research institute, XINGTANG COMMUNICATION TECHNOLOGY CO LTD filed Critical Data communication science and technology research institute
Priority to CN201810482380.5A priority Critical patent/CN108848502B/zh
Publication of CN108848502A publication Critical patent/CN108848502A/zh
Application granted granted Critical
Publication of CN108848502B publication Critical patent/CN108848502B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/26—Network addressing or numbering for mobility support

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明涉及一种利用5G‑AKA对SUPI进行保护的方法，属于5G通信技术领域，解决了现有技术中不能很好的隐藏用户的身份、位置、业务等多种重要敏感信息的问题。包括：终端发起鉴权请求，核心网通过终端的级别和敏感程度判定是否需要更换身份信息；当确定需要更换身份信息时，选用SUPI'作为终端新的“在用”身份标识；将加密后的SUPI'发送给终端；终端对鉴权响应进行验证，更换“在用”身份后的终端发起二次鉴权请求，利用新的“在用”身份标识进行鉴权。该方法对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。

Description

一种利用5G-AKA对SUPI进行保护的方法
技术领域
本发明涉及5G通信技术领域，尤其涉及一种利用5G-AKA对SUPI进行保护的方法。
背景技术
根据2/3/4G(第2、3、4代)移动核心网标准规范体系，任何用户必须归属某一归属位置寄存器(HLR，Home Location Register)且只归属该HLR，移动用户的号码及其国际移动用户识别码(IMSI，International Mobile Subscriber Identity)作为一种资源，具有归属属性，是支撑移动用户业务实现的重要数据。如果一个用户的国际移动用户识别码被泄露，攻击系统可以通过移动通信网络获取移动通信网用户的身份、位置、业务等多种重要敏感信息，进而实现对特定用户的攻击。
在传统2/3/4G(第2、3、4代)移动通信网络中，通过构建可信安全专网的环境，实现用户双归属技术提升用户信息身份、位置等重要信息隐藏能力。部署用户信息防护设备于专网HLR的前端，接管本地HLR的对外接口，与本地HLR以直连七号链路通信，通过过滤实现对用户信息的安全掩护，通过采用用户双归属、位置、号码与IMSI的去关联存储以及访问者身份的关联匹配检测等技术完成HLR数据库中用户信息的防窃取和防篡改，实现用户位置、业务路由信息的防泄漏、防攻击功能。
用户信息防护设备串接在专网中的专用HLR前面，对专用HLR及重要用户信息提供防护，如图1所示。该解决方案的特点是能够比较彻底的将用户的公网身份与专网身份进行分离；缺点是建设成本较高，需要构建专网环境并且需要部署专用的用户信息防护设备。
在5G(第五代)移动通信网络中，移动核心网的整体架构和协议交互方式发生了很大变化，移动用户的号码及其内部身份也不再使用IMSI，而是采用注册用户永久识别码(SUPI，Subscription Permanent Identifier)作为移动核心网内部识别移动用户的号码。
在5G(第五代)移动通信网络中，采用公钥算法解决了接入时终端(UE,UserEquipment)必须上报用户真实身份SUPI这一难题，终端用公钥算法对注册用户永久识别码进行加密获得注册用户掩盖识别码(SUCI，Subscription Concealed Identifier)，核心网统一数据管理平台(UDM，Unified Data Management)/ARPF(Authentication credentialRepository and Processing Function)恢复出SUPI以实现对用户身份的识别。但是，这种方式在5G公众网络中不能够很好的隐藏用户网络归属特性，缺乏对用户敏感信息的保护。
发明内容
鉴于上述的分析，本发明旨在提供一种利用5G-AKA对SUPI进行保护的方法，用以解决5G通信中不能很好的隐藏用户的身份、位置、业务等多种重要敏感信息的问题。
本发明的目的主要是通过以下技术方案实现的：
第一方面，提供了一种利用5G-AKA对SUPI进行保护的方法，包括以下步骤：
接收终端发起的鉴权请求，对终端上报的SUCI进行解密，得到SUPI；
当确定需要更换身份信息时，选择一新的“在用”身份标识SUPI'；
对上述“在用”身份标识进行加密后生成鉴权向量AV’，将所述鉴权向量AV’中的鉴权参数发送给终端；
接收更换上述“在用”身份后的终端发起的二次鉴权请求，利用新的“在用”身份标识进行鉴权。
本发明有益效果如下：该方法根据用户的敏感程度按需更新终端在移动通信网络中的用户“在用”身份，终端到移动通信网络鉴权的标准流程中实现终端用户真实身份和“在用”身份的转换过程；对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，隐藏用户网络归属特性，实现用户敏感信息的防护。
在上述方案的基础上，本发明还做了如下改进：
进一步，所述生成鉴权向量AV’包括：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用传输保护密钥TK对HASH(SUPI')进行加密后放入鉴权向量AV’的AUTN'字段的相应位置；
将临时公钥TPK放入鉴权向量AV’的RAND'字段；采用随机数对鉴权向量AV’的其他字段进行填充。
采用上述进一步方案的有益效果是：网络端为终端分配的映射身份通过密码技术进行保护，避免在空口被监听的风险，提高了通信的完全性，有效保护用户的敏感信息。
进一步，所述生成鉴权向量AV’，包括：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用共享密钥对HASH(SUPI’)进行加密，并将加密后的数据放入鉴权向量AV’的RAND'字段中；
采用随机数对鉴权向量AV’的其他字段进行填充,且AUTN'字段中AMF值保持有效。
采用上述进一步方案的有益效果是：在字段长度受限制或安全强度要求不高、对计算复杂度敏感的场合，可采用复用密钥保护SUPI'，节约了成本，同时提高了可靠性。
进一步，所述利用新的“在用”身份标识进行鉴权包括：
网元AMF接收更换上述“在用”身份后终端上报的SUCI和临时公钥；
网元AMF将SUCI和临时公钥发送给归属地网络的UDM/ARPF，并发起认证鉴权请求；
UDM/ARPF接收到上述认证鉴权请求、终端SUCI、临时公钥后，生成鉴权向量AV；
UDM/ARPF将上述生成的鉴权向量AV以及SUPI'信息放在鉴权响应消息中，发送给网元AMF；
网元AMF从鉴权响应消息中提取出AUTN和RAND下发给终端。
采用上述进一步方案的有益效果是：基于“在用”身份标识进行鉴权和密钥推演，只有终端和UDM/ARPF知道终端用户的真实身份，其他核心网网元只能看到“在用”身份，有效保护用户的敏感信息。
进一步，所述生成鉴权向量AV包括：
利用终端上报的SUCI、临时公钥，获得所述终端的“在用”身份SUPI'，并通过所述SUPI’查询SUPI；
使用SUPI对应的根密钥K和“在用”身份SUPI'信息生成鉴权向量AV。
第二方面，提供了一种利用5G-AKA对SUPI进行保护的方法，包括以下步骤：
向核心网发送鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程；当验证失败时，则进行SUPI'更换；
发起二次鉴权，并获取二次鉴权参数进行验证。
本发明有益效果如下：该方法根据用户的敏感程度按需更新终端在移动通信网络中的用户“在用”身份，终端到移动通信网络鉴权的标准流程中实现终端用户真实身份和“在用”身份的转换过程；对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，隐藏用户网络归属特性，实现用户敏感信息的防护。
进一步，所述进行SUPI'更换包括：
在接收到的鉴权响应信息RAND'字段中提取TPK，与SUCI信息中的公钥字段对应的本地私钥一同派生出传输密钥TK；
使用传输密钥TK对接收到的鉴权响应信息AUTN'中字段进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权。
进一步，所述进行SUPI'更换包括：
使用共享密钥对接收到的鉴权响应信息中RAND'进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权。
进一步，所述发起二次鉴权，并获取二次鉴权响应进行验证，包括：
向核心网发送二次鉴权请求，对SUPI’进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程。
第三方面，提供了一种利用5G-AKA对SUPI进行保护的方法，包括上述第一方面所述的对SUPI进行保护的方法和上述第二方面所述的对SUPI进行保护的方法。
本发明有益效果如下：该方法根据用户的敏感程度按需更新终端在移动通信网络中的用户“在用”身份，终端到移动通信网络鉴权的标准流程中实现终端用户真实身份和“在用”身份的转换过程；对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，隐藏用户网络归属特性，实现用户敏感信息的防护。
本发明中，上述各技术方案之间还可以相互组合，以实现更多的优选组合方案。本发明的其他特征和优点将在随后的说明书中阐述，并且，部分优点可从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过说明书、权利要求书以及附图中所特别指出的内容中来实现和获得。
附图说明
附图仅用于示出具体实施例的目的，而并不认为是对本发明的限制，在整个附图中，相同的参考符号表示相同的部件。
图1为现有技术中对专用HLR及重要用户信息提供防护示意图；
图2为本发明实施例中5G移动通信网络对SUPI进行保护系统框架图；
图3为本发明实施例中一种对SUPI进行保护的方法流程图；
图4为本发明实施例中另一种对SUPI进行保护的方法流程图；
图5为本发明实施例1中方法流程图；
图6为本发明实施例2中方法流程图。
具体实施方式
下面结合附图来具体描述本发明的优选实施例，其中，附图构成本申请一部分，并与本发明的实施例一起用于阐释本发明的原理，并非用于限定本发明的范围。
在5G(第五代)移动通信公众网络中，移动用户识别码采用SUPI表示。由于移动通信的特殊性，移动通信网中各网元节点之间可能传递和处理多维捆绑甚至冗余的用户信息，这是用户信息泄露的一个重要途径，因而需要从用户敏感信息去耦合分离存储、应用和传输三个方面入手，在不改变当前核心网协议体系的前提下，采用用户信息主动防护技术实现用户敏感信息的安全防护。
为了基于5G(第五代)移动通信公众网络基础设施提供安全等级更高的服务，需要由专用设备生成安全参数，并基于安全参数推演出用于加密和完保的密钥。3GPP(3rdGeneration Partnership Project)标准中已定义了鉴权认证以及其它安全过程中的相关流程，为了实现隐藏用户的身份、位置、业务等多种重要敏感信息的需求，仅需在标准协议的基础上，对涉及到用户网络归属特性的网元进行安全增强，使用专用设备产生的安全参数，实现高密级服务的要求。在5G(第五代)移动通信公众网络中，存储用户网络归属特性的网元是UDM/ARPF(本发明中UDM/ARPF是指具有UDM和ARPF两个网元的功能)，因此需要对核心网网络功能UDM/ARPF进行安全增强。图2为本发明5G移动通信网络对SUPI进行保护系统框架图，系统主要涉及到终端(UE，User Equipment)和UDM/ARPF。
在本发明中，每次网络认为终端用户需要更换身份信息时，通过鉴权向量携带加密的映射用户身份，下发给终端(UE)。在认证鉴权过程中，USIM(全球用户识别卡)和网络能够同时完成双向认证和用户身份的更换。具体来说，主要包含SUPI'更换流程和利用SUPI'进行鉴权的流程，如图3、图4所示；当UDM/ARPF认为需要更换SUPI'时，执行SUPI'更换流程，该流程需借用一次鉴权流程，使得终端和UDM/ARPF之间获得共享密钥，并且在本次“鉴权”流程中，将加密后的SUPI'发送给终端，目的是防止在空口截获SUPI'。在后续的鉴权中，利用SUPI'执行鉴权流程，当UDM/ARPF收到SUCI后，就会索引找到SUPI'，在鉴权响应消息中携带SUPI'，并在后续鉴权和网络中，以SUPI'为该用户的“在用”身份标识。
实施例1，
公开了一种利用5G AKA对SUPI进行保护的方法。该方法应用于网络侧(包括网元AMF(Access and Mobility Management Function)和UDM/ARPF)，如图5所示，包括以下步骤：
步骤S101，核心网接收终端发起的鉴权请求，对终端上报的SUCI进行解密，得到SUPI；
步骤S102，判定是否需要更换身份信息；当确定无需更换身份信息时，利用SUPI进行鉴权；当确定需要更换身份信息时，从备选SUPI资源池中随机选择一SUPI作为终端新的“在用”身份标识SUPI'；
步骤S103，对上述“在用”身份标识进行加密，将加密后的“在用”身份标识放入鉴权向量AV'，将所述鉴权向量AV'中的鉴权参数发送给终端；
步骤S104，接收更换上述“在用”身份后的终端发起的二次鉴权请求，利用新的“在用”身份标识进行鉴权。
实施时，每次网络认为终端用户需要更换身份信息时，通过对鉴权响应消息中特定字段进行定制改造，利用协商流程实现UDM/ARPF将映射身份和密码信息推送给终端(鉴权向量携带加密的映射用户身份，下发给终端(UE))。在认证鉴权过程中，USIM(全球用户识别卡)和网络能够同时完成双向认证和用户身份的更换。
与现有技术相比，本实施例提供的利用5G-AKA协议对SUPI进行保护的方法。对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。
在步骤S101中，核心网网元AMF接收到终端上报的SUCI和本次临时公钥，按照3GPP标准流程，网元AMF向UDM/ARPF发起认证鉴权请求，开始认证过程，并将SUCI(包含临时公钥、加密后的SUPI、MAC)、SN-NAME(网络名称)作为鉴权申请送给归属地网络的UDM/ARPF。网元UDM/ARPF利用接收到的SUCI、临时公钥、SN-NAME信息，根据3GPP标准将SUCI解密为SUPI；
为了对用户敏感信息进行保护，在步骤S102中，网元UDM/ARPF查询用户SUPI的状态，根据预设策略(如用户安全级别，信息敏感程度等)，对是否需要更换SUPI进行判断，当确定需要更换身份信息时，从UDM/ARPF中的备选SUPI资源池(示例性地，可以使用特殊用户群申请的几万个公网的合法SUPI号码作为备选资源池)中随机选择一SUPI号码作为终端新的“在用”身份标识SUPI'；
为了避免在空口被监听的风险，提高通信的完全性，有效保护用户的敏感信息，在步骤S103中，网元UDM/ARPF对“在用”身份标识进行加密，示例性地，可以基于ECDH(基于ECC(椭圆曲线密码体制)的密钥交换算法)协议，派生密钥对SUPI'进行加密，放在生成的鉴权向量中，具体包括以下步骤：
生成本地临时公私钥对TPK(临时公钥)和TSK(临时私钥)；
使用SUCI信息中包含的公钥和TSK派生出传输保护密钥TK；
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用TK(传输保护密钥)对SUPI'||HASH(SUPI')进行加密，并将加密后的数据放入鉴权向量AV’中的AUTN'字段的相应位置，且AUTN'字段中的AMF值保持有效；
将TPK放入鉴权向量AV’的RAND'字段；
采用随机数对鉴权向量AV’内除RAND'和AUTN'外的其他字段进行填充。
考虑到在字段长度受限制或安全强度要求不高、对计算复杂度敏感的场合，可采用复用密钥保护SUPI'，节约了成本，同时提高了可靠性。还可以采用共享密钥对“在用”身份标识进行加密，包括以下步骤：
使用共享密钥对新生成的SUPI'进行加密，放在生成的鉴权向量AV’中：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用共享密钥对HASH(SUPI’)进行加密，并将加密后的数据放入鉴权向量AV’的RAND'字段中；
采用随机数对鉴权向量AV’内除RAND'外的其他字段进行填充,且AUTN'字段中AMF(Action Message Format)值保持有效。
在生成鉴权向量AV’以后，按照3GPP标准流程，UDM/ARPF将生成的鉴权向量AV’连同SUPI’一同发送给网元AMF。AMF按照3GPP标准流程，将鉴权向量AV’中的AUTN'和RAND'以鉴权请求的形式下发给终端。
需要说明的是，在步骤S104中，利用新的“在用”身份标识进行鉴权包括以下步骤：
网元AMF接收更换上述“在用”身份后终端上报的SUCI和临时公钥；
网元AMF将SUCI和临时公钥发送给归属地网络的UDM/ARPF，并发起认证鉴权请求；
UDM/ARPF接收到上述认证鉴权请求、终端SUCI、临时公钥后，生成鉴权向量AV；
按照3GPP标准流程，UDM/ARPF将上述生成的鉴权向量AV以及SUPI'信息放在鉴权响应消息中，发送给网元AMF；
网元AMF从鉴权响应消息中提取出AUTN和RAND下发给终端。
需要说明的是，在进行二次鉴权生成鉴权向量AV过程中：
网元UDM/ARPF利用终端上报的SUCI、临时公钥，获得所述终端的“在用”身份SUPI'，并通过所述SUPI’查询SUPI；
使用SUPI对应的根密钥K和“在用”身份SUPI'信息生成鉴权向量AV。
实施例2，
公开了一种利用5G AKA对SUPI进行保护的方法。应用于用户终端侧，如图6所示，包括以下步骤：
步骤S201，向核心网发送鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
步骤S202，接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程；当验证失败时，则进行SUPI'更换；
步骤S203，发起二次鉴权，并获取二次鉴权响应进行验证。
与现有技术相比，本实施例提供的利用5G-AKA协议对SUPI进行保护的方法。对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。
在步骤S201中，终端利用按照3GPP标准流程中公钥算法对SUPI进行加密获得SUCI，并连同临时公钥上报给核心网网元AMF。
步骤S202中，终端接收到核心网网元AMF发送的鉴权响应信息(主要包括AUTN'和RAND'；并验证AUTN'中的MAC，当验证成功时，则判定为正常的鉴权流程，完成入网鉴权；如果验证失败，执行SUPI'更换流程；
示例性地，当接收到的鉴权响应信息中是基于ECDH协议，派生密钥对SUPI'进行加密时，进行SUPI'更换包括以下步骤：
在接收到的鉴权响应信息RAND'字段中提取TPK，与SUCI信息中的公钥字段对应的本地私钥一同派生出传输密钥TK；
使用传输密钥TK对接收到的鉴权响应信息AUTN'中字段进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权和密钥推演。
示例性地，当接收到的鉴权响应信息中是采用共享密钥对SUPI'进行加密时，进行SUPI'更换包括以下步骤：
使用共享密钥对接收到的鉴权响应信息中RAND'进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权和密钥推演。
需要说明的是，所述发起二次鉴权，并获取二次鉴权响应进行验证，包括：
向核心网发送二次鉴权请求，对SUPI’进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程。
实施例3，
公开了一种利用5G-AKA对SUPI进行保护的方法，由用户终端侧和网络侧交互实现，包括以下步骤：
步骤S301，终端向核心网发送鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；核心网接收终端发起的鉴权请求，对终端上报的SUCI进行解密，得到SUPI；
步骤S302，核心网通过终端的级别和敏感程度判定是否需要更换身份信息；当确定无需更换身份信息时，利用SUPI进行鉴权；当确定需要更换身份信息时，从备选SUPI资源池中随机选择SUPI'作为终端新的“在用”身份标识；
步骤S303，核心网对上述“在用”身份标识进行加密，将加密后的“在用”身份标识放在鉴权向量AV’中，并发送给终端；终端接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则判定为正常的鉴权流程，完成入网鉴权；当验证失败时，则进行SUPI'更换。
步骤S304，终端在更换“在用”身份后向核心网发起二次鉴权请求；核心网利用新的“在用”身份标识进行鉴权，并将二次鉴权响应发送给终端，终端获取二次鉴权响应进行验证。
实施时，终端向核心网发送鉴权请求，当核心网UDM/ARPF认为需要更换SUPI'时，执行SUPI'更换流程，终端和UDM/ARPF之间获得共享密钥，生成携带有新的映射身份SUPI'的鉴权向量，将加密后的鉴权向量发送给终端，防止在空口截获SUPI'，终端对接收到的鉴权响应进行验证，若验证失败则进行用户身份更换；在后续的二次鉴权中，利用SUPI'执行鉴权流程，当UDM/ARPF收到SUCI后，就会索引找到SUPI'，在鉴权响应消息中携带SUPI'，并在后续鉴权和网络中，以SUPI'为该用户的“在用”身份标识。
需要注意的是：本实施例中，网络侧和终端侧交互实现上述方法时，网络侧的具体实现细节与实施例1中相同，终端侧的具体实现细节与实施例2中相同，此处未重复赘述。
与现有技术相比，本实施例提供的利用5G-AKA协议对SUPI进行保护的方法。对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。
需要说明的是，除上述实施例所述的解决方案外，在移动通信网络中对SUPI进行保护，可以利用标准鉴权流程传递的其他字段(包括但不仅限于本发明提到的字段名称、长度、算法的长度和种类等)实现类似的效果。
本领域技术人员可以理解，实现上述实施例方法的全部或部分流程，可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于计算机可读存储介质中。其中，所述计算机可读存储介质为磁盘、光盘、只读存储记忆体或随机存储记忆体等。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (8)

1.一种利用5G-AKA对SUPI进行保护的方法，其特征在于，包括以下步骤：
接收终端发起的鉴权请求，对终端上报的SUCI(SubscriptionConcealed Identifier，注册用户掩盖识别码)进行解密，得到SUPI(Subscription Permanent Identifier，注册用户永久识别码)；
当确定需要更换身份信息时，选择一新的“在用”身份标识SUPI'；
对上述“在用”身份标识进行加密后生成鉴权向量AV’，将所述鉴权向量AV’中的鉴权参数发送给终端；
接收更换上述“在用”身份后的终端发起的二次鉴权请求，利用终端上报的SUCI、临时公钥，获得所述终端的“在用”身份SUPI’，并通过所述SUPI’查询SUPI，使用所述SUPI对应的根密钥K和“在用”身份SUPI'信息生成鉴权向量AV，从而利用新的“在用”身份标识进行鉴权。
2.根据权利要求1所述的方法，其特征在于，所述生成鉴权向量AV’包括：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用传输保护密钥TK对HASH(SUPI')进行加密后放入鉴权向量AV’的AUTN'字段的相应位置；
将临时公钥TPK放入鉴权向量AV’的RAND'字段；采用随机数对鉴权向量AV’的其他字段进行填充。
3.根据权利要求1所述的方法，其特征在于，所述生成鉴权向量AV’，包括：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用共享密钥对HASH(SUPI’)进行加密，并将加密后的数据放入鉴权向量AV’的RAND'字段中；
采用随机数对鉴权向量AV’的其他字段进行填充,且AUTN'字段中AMF值保持有效。
4.根据权利要求2或3所述的方法，其特征在于，所述利用新的“在用”身份标识进行鉴权包括：
网元AMF接收更换上述“在用”身份后的终端上报的SUCI和临时公钥；
网元AMF将SUCI和临时公钥发送给归属地网络的UDM/ARPF，并发起认证鉴权请求；
UDM/ARPF接收到上述认证鉴权请求及终端上报的SUCI、临时公钥后，生成鉴权向量AV；
UDM/ARPF将上述生成的鉴权向量AV以及SUPI'信息放在鉴权响应消息中，发送给网元AMF；
网元AMF从鉴权响应消息中提取出鉴权参数AUTN和RAND下发给终端。
5.一种利用5G-AKA对SUPI进行保护的方法，其特征在于，包括以下步骤：
向核心网发送鉴权请求，对SUPI(Subscription PermanentIdentifier，注册用户永久识别码)进行加密获得SUCI(SubscriptionConcealedIdentifier，注册用户掩盖识别码)，并将SUCI、临时公钥上报核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程；当验证失败时，则进行SUPI'更换；
发起二次鉴权，并获取二次鉴权参数进行验证，包括：
向核心网发送二次鉴权请求，对所述SUPI’进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
在鉴权响应消息中携带所述SUPI'，并在后续鉴权和网络中，以所述SUPI'为该用户的“在用”身份标识；
接收核心网下发的所述鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程。
6.根据权利要求5所述的方法，其特征在于，所述进行SUPI'更换包括：
在接收到的鉴权响应信息RAND'字段中提取TPK，与SUCI信息中的公钥字段对应的本地私钥一同派生出传输密钥TK；
使用传输密钥TK对接收到的鉴权响应信息AUTN'中字段进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权。
7.根据权利要求5所述的方法，其特征在于，所述进行SUPI'更换包括：
使用共享密钥对接收到的鉴权响应信息中RAND'进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权。
8.一种利用5G-AKA对SUPI进行保护的方法，其特征在于：包括权利要求1所述的对SUPI进行保护的方法和权利要求5所述的对SUPI进行保护的方法。
CN201810482380.5A 2018-05-18 2018-05-18 一种利用5g-aka对supi进行保护的方法 Active CN108848502B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810482380.5A CN108848502B (zh) 2018-05-18 2018-05-18 一种利用5g-aka对supi进行保护的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810482380.5A CN108848502B (zh) 2018-05-18 2018-05-18 一种利用5g-aka对supi进行保护的方法

Publications (2)

Publication Number Publication Date
CN108848502A CN108848502A (zh) 2018-11-20
CN108848502B true CN108848502B (zh) 2021-07-23

Family

ID=64213232

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810482380.5A Active CN108848502B (zh) 2018-05-18 2018-05-18 一种利用5g-aka对supi进行保护的方法

Country Status (1)

Country Link
CN (1) CN108848502B (zh)

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111669276B (zh) * 2019-03-07 2022-04-22 华为技术有限公司 一种网络验证方法、装置及系统
CN111769944B (zh) * 2019-04-02 2022-04-12 华为技术有限公司 一种数据处理方法、拜访网络网元和终端设备
CN110049483A (zh) * 2019-04-09 2019-07-23 中国电子科技集团公司第三十研究所 移动通信系统用户网络身份跳变隐藏网络功能的实现方法
CN112087746B (zh) * 2019-06-14 2023-04-18 中国电信股份有限公司 通信方法、系统、终端和可读存储介质
CN110493773B (zh) * 2019-08-23 2022-09-02 中国联合网络通信集团有限公司 移动设备鉴权能力的获取方法及其设备
CN112512045B (zh) * 2019-08-27 2023-04-18 华为技术有限公司 一种通信系统、方法及装置
WO2021036627A1 (zh) * 2019-08-27 2021-03-04 华为技术有限公司 一种通信系统、方法及装置
CN112533202B (zh) * 2019-08-30 2023-12-12 华为技术有限公司 身份鉴别方法及装置
CN112469043B (zh) * 2019-09-09 2022-10-28 华为技术有限公司 一种鉴权的方法及装置
CN110933027A (zh) * 2019-10-23 2020-03-27 南京瑞思其智能科技有限公司 一种基于5g网络的照明系统aka认证方法
CN110830985B (zh) * 2019-11-11 2022-04-29 重庆邮电大学 一种基于信任机制的5g轻量级终端接入认证方法
CN110944325A (zh) * 2019-11-28 2020-03-31 楚天龙股份有限公司 一种实现supi变换的方法及装置、识别卡、存储介质
CN111148098A (zh) * 2019-12-30 2020-05-12 江苏全链通信息科技有限公司 5g终端设备注册方法、设备及存储介质
CN111083695B (zh) * 2019-12-30 2024-01-05 江苏全链通信息科技有限公司 5g通信无卡接入方法、设备及存储介质
CN111669748B (zh) * 2020-05-20 2021-06-29 中国科学院软件研究所 一种隐私保护的移动通信认证方法
CN113873492B (zh) * 2020-06-15 2022-12-30 华为技术有限公司 一种通信方法以及相关装置
CN111770496B (zh) * 2020-06-30 2022-08-02 中国联合网络通信集团有限公司 一种5g-aka鉴权的方法、统一数据管理网元及用户设备
CN114079924A (zh) * 2020-08-10 2022-02-22 中国移动通信有限公司研究院 消息的处理方法、装置、相关设备及存储介质
CN112235736B (zh) * 2020-10-13 2022-04-15 中国联合网络通信集团有限公司 漫游场景下的用户标识认定方法
CN113541936A (zh) * 2021-06-16 2021-10-22 泰安北航科技园信息科技有限公司 一种Tarmarin分析安全的5G AKA协议安全增进系统
CN113709731A (zh) * 2021-08-02 2021-11-26 深圳供电局有限公司 一种5g安全协议的加密方法及系统
CN117062051A (zh) * 2022-05-06 2023-11-14 华为技术有限公司 密钥管理方法及通信装置
CN117177238B (zh) * 2023-11-02 2024-01-23 中国电子科技集团公司第三十研究所 一种终端发起控制指令的方法和系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101771992A (zh) * 2009-01-04 2010-07-07 中国移动通信集团公司 国际移动用户标识符imsi机密性保护的方法、设备及系统
CN101959183A (zh) * 2010-09-21 2011-01-26 中国科学院软件研究所 一种基于假名的移动用户标识码imsi保护方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101771992A (zh) * 2009-01-04 2010-07-07 中国移动通信集团公司 国际移动用户标识符imsi机密性保护的方法、设备及系统
CN101959183A (zh) * 2010-09-21 2011-01-26 中国科学院软件研究所 一种基于假名的移动用户标识码imsi保护方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
S3-180769：SUCI and LI – verification hash integrated in 5G AKA;Nokia等;《3GPP TSG SA WG3 (Security) Meeting #90Bis》;20180302;正文第6章 *

Also Published As

Publication number Publication date
CN108848502A (zh) 2018-11-20

Similar Documents

Publication Publication Date Title
CN108848502B (zh) 一种利用5g-aka对supi进行保护的方法
CN109041057B (zh) 一种基于5g aka的核心网网元间鉴权流程安全性增强方法
US9253178B2 (en) Method and apparatus for authenticating a communication device
CN101969638B (zh) 一种移动通信中对imsi进行保护的方法
CN108880813B (zh) 一种附着流程的实现方法及装置
EP2658299B1 (en) Method, network side entity and communication terminal for protecting data security
Saxena et al. Authentication protocol for an IoT-enabled LTE network
US20120331298A1 (en) Security authentication method, apparatus, and system
Liu et al. Toward a secure access to 5G network
US11909869B2 (en) Communication method and related product based on key agreement and authentication
CN112154624A (zh) 针对伪基站的用户身份隐私保护
CN108809637A (zh) 基于混合密码的lte-r车-地通信非接入层认证密钥协商方法
WO2020177591A1 (zh) 密钥的确定方法、装置、存储介质及电子装置
WO2018076740A1 (zh) 数据传输方法及相关设备
CN109691058A (zh) 使用秘密标识符的与用户设备有关的操作
CN109076086A (zh) 执行认证和密钥协商之前的安全信令
Khan et al. Trashing IMSI catchers in mobile networks
CN101192927B (zh) 基于身份保密的授权与多重认证方法
CN108235300B (zh) 移动通信网络用户数据安全保护方法及系统
US11330428B2 (en) Privacy key in a wireless communication system
Ginzboorg et al. Privacy of the long-term identities in cellular networks
TW202142011A (zh) 一種防止加密用戶識別符被重播攻擊的方法
CN111132155B (zh) 5g安全通信方法、设备及存储介质
US20230007491A1 (en) Managing a subscription identifier associated with a device
CN114614984A (zh) 一种基于国密算法的时间敏感网络安全通信方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant