CN111565169B - 移动边缘计算架构下云边端认证方法、电子设备及存储介质 - Google Patents

Abstract

本发明实施例提供一种移动边缘计算架构下云边端认证方法，将MEC服务器匿名身份发送给终端认证装置，以供终端认证装置生成终端认证向量；根据终端认证装置发送的所述终端认证向量和第一MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将MEC服务器认证向量发送给核心网服务器，以供核心网服务器验证另外两者身份；根据核心网服务器发送的核心网服务器认证向量和MEC服务器期望响应消息验证核心网服务器身份，若其身份验证成功，则将核心网服务器认证向量的预设部分转发给终端认证装置，以供终端认证装置验证核心网服务器身份。本发明实施例保证了认证安全性和低时延性。

Description

移动边缘计算架构下云边端认证方法、电子设备及存储介质

技术领域

本发明涉及移动通信领域，具体涉及一种移动边缘计算架构下云边端认证方法。

背景技术

近年来，随着万物互联以及大数据时代的到来，人和物等大量终端产生庞大的用户数据，由于终端设备资源有限，通常将数据上传至云端进行处理，但是传统的集中式数据处理方法难以满足用户对时延和高带宽的需求。在网络边缘部署小型数据中心，将一部分核心网功能下沉到边缘进行，并在边缘增加缓存功能，能够有效降低端到端时延，提升网络吞吐量，因此，移动边缘计算(Mobile Edge Computing，以下简称MEC)已经成为5G的重要特征之一。在如今，安全性和隐私性至关重要，接入认证是保证网络安全的第一步，能够起到终端和网络相互验证身份并建立安全信道的作用。

现有的云计算认证方法不适用于移动边缘计算。由于现有的云计算认证方法一般不具备轻量化特点，并且大部分依赖于公钥基础设施(Public Key Infrastructure，以下简称PKI)机制，需要可信第三方参与，这一点在移动边缘计算场景下通常不能满足，比如终端首次接入网络时不存在任何可信第三方。其次，5G标准化认证方案5G认证与密钥协商协议(Authentication and Key Agreement，以下简称5G AKA)、可扩展认证与密钥协商协议(Extensible Authentication Protocol-Authentication and Key Agreement，以下简称EAP-AKA)、可扩展认证安全传输层协议(Extensible Authentication Protocol-Transport Layer Security，以下简称EAP-TLS)不适用于移动边缘计算。5G已标准化的认证方案未在认证架构中考虑MEC，因此难以直接应用 5G认证机制用于MEC认证。此外，5G认证方案只提供终端认证装置和核心网之间的实体认证，终端认证装置与其他网元如基站之间的信任通过隐式密钥认证完成，而MEC通常部署在基站侧，隐式密钥认证的安全性相比实体认证低，并需要额外的密钥确认流程，增加额外的时延，从而不适用于MEC认证。现有的MEC认证方案可分为三类：物理层认证、基于密码学的认证、区块链辅助认证，但现有方案均未考虑核心网、MEC、终端认证装置三方之间相互认证，并且各种认证方案均不能同时保证安全性和低时延性。

因此，如何提供一种移动边缘计算架构下云边端认证方法，保证认证的安全性，同时还能有效降低认证时延，成为亟待解决的问题。

发明内容

针对现有技术中的缺陷，本发明实施例提供一种移动边缘计算架构下云边端认证方法。

第一方面，本发明实施例提供一种移动边缘计算架构下云边端认证方法，包括：

将移动边缘计算MEC服务器匿名身份发送给终端认证装置，以供所述终端认证装置根据所述MEC服务器匿名身份和第一终端认证装置随机数生成终端认证向量；

根据所述终端认证装置发送的所述终端认证向量和第一MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将所述MEC 服务器认证向量发送给核心网服务器，以供所述核心网服务器根据所述MEC 服务器认证向量验证MEC服务器身份和终端认证装置身份；

根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则将所述核心网服务器认证向量的预设部分转发给所述终端认证装置，以供所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份。

可选地，所述MEC服务器匿名身份根据第二MEC服务器随机数、核心网服务器公钥和MEC服务器永久身份计算得到。

可选地，所述MEC服务器认证向量中MEC服务器匿名时间戳根据MEC 服务器时间戳和MEC服务器匿名密钥计算得到；

所述MEC服务器认证向量中MEC服务器消息认证码根据初始化参数、第一MEC服务器随机数、MEC服务器永久密钥和所述MEC服务器时间戳计算得到。

第二方面，本发明实施例提供又一种移动边缘计算架构下云边端认证方法，包括：

根据MEC服务器发送的MEC服务器匿名身份和第一终端认证装置随机数，生成终端认证向量和终端认证装置期望响应消息，并将所述终端认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述终端认证向量生成MEC服务器认证向量；

根据所述MEC服务器转发的核心网服务器认证向量的预设部分和所述终端认证装置期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则完成认证核心网服务器和所述MEC服务器。

可选地，所述终端认证向量中所述终端认证装置匿名身份根据所述第一终端认证装置随机数、核心网服务器公钥和终端认证装置永久身份计算得到；

所述终端认证向量中终端认证装置消息认证码根据初始化参数、所述第一终端认证装置随机数、终端认证装置永久密钥和终端认证装置时间戳计算得到。

第三方面，本发明实施例提供另一种移动边缘计算架构下云边端认证方法，包括：

根据MEC服务器发送的MEC服务器认证向量验证终端认证装置身份，若所述终端认证装置身份验证成功，则再根据所述MEC服务器认证向量验证 MEC服务器身份，若所述MEC服务器身份验证成功，则根据所述MEC服务器认证向量生成核心网服务器认证向量，并将所述核心网服务器认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述核心网服务器认证向量验证核心网服务器身份。

可选地，所述根据所述MEC服务器认证向量生成核心网服务器认证向量包括：

根据所述MEC服务器认证向量和根据所述MEC服务器认证向量推导的终端认证装置与所述核心网服务器通信密钥、MEC服务器与所述核心网服务器通信密钥和终端认证装置与所述MEC服务器通信密钥生成所述核心网服务器认证向量。

可选地，所述终端认证装置与所述核心网服务器通信密钥根据初始化参数、第一终端认证装置随机数、核心网服务器永久身份和终端认证装置时间戳计算得到；

所述MEC服务器与所述核心网服务器通信密钥根据所述初始化参数、第一MEC服务器随机数、所述核心网服务器永久身份和MEC服务器时间戳计算得到；

所述边端认证装置与所述MEC服务器通信密钥根据所述初始化参数、所述MEC服务器与所述核心网服务器通信密钥和所述终端认证装置与所述核心网服务器通信密钥计算得到。

第四方面本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现以上任一项所述的移动边缘计算架构下云边端认证方法的步骤。

第五方面本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以上任一项所述的移动边缘计算架构下云边端认证方法的步骤。

本发明实施例提供的移动边缘计算架构下云边端认证方法，通过终端认证装置和MEC服务器分别与核心网服务器相互认证，只要有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性，同时通过终端认证装置和MEC服务器只需完成一次非对称加密能够有效降低认证时延。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种移动边缘计算架构下云边端认证方法的流程示意图；

图2为本发明实施例提供的一种移动边缘计算架构下云边端认证方法的应用场景图；

图3为本发明实施例提供的一种移动边缘计算架构下云边端认证方法的完整流程图。

图4为本发明实施例提供的又一移动边缘计算架构下云边端认证方法的流程示意图；

图5为本发明实施例提供的另一移动边缘计算架构下云边端认证方法的流程示意图；

图6为本发明实施例提供的一种MEC服务器的结构示意图；

图7为本发明实施例提供的一种终端认证装置的结构示意图；

图8为本发明实施例提供的一种核心网服务器的结构示意图；

图9为本发明实施例提供的一种电子设备的实体结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1是本发明实施例提供的一种移动边缘计算架构下云边端认证方法的流程示意图，图2是本发明实施例提供的一种移动边缘计算架构下云边端认证方法的应用场景图，图3是本发明实施例提供的一种移动边缘计算架构下云边端认证方法的完整流程图，如图1-3所示，该方法包括：

S101：将MEC服务器匿名身份发送给终端认证装置，以供所述终端认证装置根据所述MEC服务器匿名身份和第一终端认证装置随机数生成终端认证向量。

其中，所述MEC服务器匿名身份为MEC服务器隐匿了其身份信息的数字信息。

所述终端认证装置为可移动终端设备。

所述第一终端认证装置随机数为终端认证装置用以计算终端认证向量而随机生成的数字。

所述终端认证向量为包含终端认证装置匿名身份、MEC服务器匿名身份、核心网服务器永久身份，终端认证装置消息认证码的认证信息。其中，终端认证装置匿名身份为终端认证装置隐匿了其身份信息的数字信息，核心网服务器永久身份为表示核心网服务器身份的固定数字信息，终端认证装置消息认证码为核心网服务器验证终端认证装置身份合法的标准信息。

S102：根据所述终端认证装置发送的所述终端认证向量和第一MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将所述MEC服务器认证向量发送给核心网服务器，以供所述核心网服务器根据所述MEC服务器认证向量验证MEC服务器身份和终端认证装置身份。

其中，所述第一MEC服务器随机数为MEC服务器用以计算MEC服务器认证向量和MEC服务器期望响应消息而随机生成的数字。

所述MEC服务器期望响应消息为MEC服务器确认核心网身份的标准信息。

所述MEC服务器认证向量为包含终端认证装置匿名身份、终端认证装置消息认证码、核心网服务器永久身份、第一MEC服务器随机数、MEC服务器匿名身份、MEC服务器匿名时间戳、MEC服务器消息认证码。其中，终端认证装置匿名身份为终端认证装置隐匿了其身份信息的数字信息，MEC服务器匿名时间戳为MEC服务器隐匿了其时间戳信息的数字信息，MEC服务器消息认证码为核心网服务器验证MEC服务器身份合法的标准信息，时间戳是指格林威治时间1970年01月01日00时00分00秒(北京时间1970年01 月01日08时00分00秒)起至当前时间的总秒数。S103：根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则将所述核心网服务器认证向量的预设部分转发给所述终端认证装置，以供所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份。

其中，所述核心网服务器认证向量包含MEC服务器身份验证参数、第二加密参数、终端认证装置身份验证参数和第一加密参数的认证信息。其中， MEC服务器身份验证参数为MEC服务器确认核心网服务器身份的对比信息，第二加密参数为MEC服务器与终端认证装置通信密钥的加密信息，终端认证装置身份验证参数为终端认证装置确认核心网服务器身份的对比信息，第一加密参数为终端认证装置与MEC服务器通信密钥的另外一种加密信息。

预设部分为核心网服务器认证向量的后半部分。

具体地，MEC服务器、终端认证装置和核心网服务器会初始化公开参数，选定有限域

上的椭圆曲线

椭圆曲线

的循环子群G，设G 的生成元为P，G的阶数为q，记正整数集合

选定映射

将输入的明文str映射为椭圆曲线

上的一个点，选定三个独立的哈希函数H1、H2、H3，选定两个独立的密钥推导函数KDF1和KDF2，则

G、P、q、

σ(·)、H1、H2、H3、KDF1和KDF2均为公开参数。另外，MEC服务器、终端认证装置和核心网服务器默认都处于时间同步状态，时间同步状态表示的是MEC服务器时间戳、终端认证装置时间戳和核心网服务器时间戳差别控制在误差范围内，如误差范围设置在7ms内。

MEC服务器会将预先选定的核心网服务器公钥PK_C、核心网服务器永久身份ID_C、MEC服务器永久身份ID_E、MEC服务器永久密钥K_E存储起来，核心网服务器公钥PK_C根据公式PK_C＝SK_C·P计算得到，其中，SK_C为预先选定的核心网服务器私钥，·运算代表椭圆曲线上的乘法。

MEC服务器生成MEC服务器匿名身份SID_E，然后MEC服务器将生成的 MEC服务器匿名身份SID_E发送给终端认证装置，以供终端认证装置根据MEC 服务器匿名身份SID_E和第一终端认证装置随机数R_U1生成终端认证向量AV_U。

MEC服务器接收终端认证装置发送的终端认证向量 AV_U＝(SID_U,SID_E,ID_C,MAC_U)，其中，SID_U表示终端认证装置匿名身份，SID_E表示MEC服务器匿名身份，ID_C表示核心网服务器永久身份ID_C，MAC_U表示终端认证装置消息认证码，然后MEC服务器选择第一MEC服务器随机数R_E1， MEC服务器根据终端认证向量AV_U和第一MEC服务器R_E1生成MEC服务器认证向量AV_E＝(SID_U,SID_E,ID_C,MAC_U,R_E1,ST_E,MAC_E)和MEC服务器期望响应消息xRES_E＝H3(K_E||R_E1||ID_C)，其中ST_E表示MEC服务器匿名时间戳，MAC_E表示MEC服务器消息认证码。接下来，MEC服务器将MEC服务器认证向量AV_E发送给核心网服务器，以供核心网服务器根据MEC服务器认证向量AV_E验证 MEC服务器身份和终端认证装置身份。

MEC服务器接收核心网服务器发送的核心网服务器认证向量

其中，xRES_E ^*为MEC服务器身份验证参数， SK2_U-E为第二加密参数、xRES_U ^*为终端认证装置身份验证参数，SK1_U-E为第一加密参数。然后MEC服务器判断MEC服务器期望响应消息xRES_E是否与 MEC服务器身份验证参数xRES_E ^*相等，若不相等，则终止本次认证，MEC 服务器取消与终端认证装置、核心网服务器的连接；若相等，则MEC服务器确认核心网服务器身份合法，再根据公式K_E-C＝KDF1(K_E,R_E1,ID_C,T_E)推导 MEC服务器与核心网服务器通信密钥K_E-C，其中T_E为MEC服务器时间戳，再根据MEC服务器与核心网服务器通信密钥K_E-C解密第二加密参数SK2_U-E得到K_U-E，记作公式

MEC服务器再将核心网服务器认证向量AV_C的预设部分转发给终端认证装置，以供终端认证装置根据核心网服务器认证向量AV_C的预设部分验证核心网服务器身份，其中核心网服务器认证向量AV_C的预设部分表示核心网服务器认证向量AV_C的后半部分，即

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过终端认证装置和MEC服务器分别与核心网服务器相互认证，只要有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性，同时通过终端认证装置和MEC服务器只需完成一次非对称加密能够有效降低认证时延。

更进一步地，在上述发明实施例的基础上，所述MEC服务器匿名身份根据第二MEC服务器随机数、核心网服务器公钥和MEC服务器永久身份计算得到。

所述第二MEC服务器随机数为MEC服务器用以计算MEC服务器匿名身份而随机生成的数字。

所述核心网服务器公钥为核心网服务器加密信息的，且可以用相应的私钥解密的数据。

具体地，选择第二MEC服务器随机数R_E2，MEC服务器匿名身份SID_E采用核心网服务器公钥PK_C加密ID_E||R_E2而成，可记作SID_E＝E_PKC(ID_E||R_E2)，其中

ID_E||R_E2表示级联第二MEC服务器随机数R_E2和MEC服务器永久身份ID_E。

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过用核心网服务器公钥PK_C加密级联操作的第二MEC服务器随机数R_E2和 MEC服务器永久身份ID_E，能够简便的计算得到MEC服务器匿名身份，同时还能保证计算时延小。

更进一步地，在上述发明实施例的基础上，所述MEC服务器认证向量中MEC服务器匿名时间戳根据MEC服务器时间戳和MEC服务器匿名密钥计算得到；

所述MEC服务器认证向量中MEC服务器消息认证码根据初始化参数、第一MEC服务器随机数、MEC服务器永久密钥和所述MEC服务器时间戳计算得到。

所述MEC服务器匿名密钥为用于生成MEC服务器匿名时间戳的数字信息。

所述MEC服务器永久密钥用于生成MEC服务器消息认证码的数字信息。具体地，MEC服务器乘法操作公开参数H1和K_E||R_E1，得到MEC服务器匿名密钥AK_E，记作AK_E＝H1(K_E||R_E1)，其中K_E||R_E1表示级联MEC服务器永久密钥K_E和第一MEC服务器随机数R_E1，再异或运算MEC服务器匿名密钥AK_E和MEC服务器时间戳T_E得到MEC服务器匿名时间戳ST_E，记作

MEC服务器乘法操作公开参数H2和K_E||R_E1||T_E，得到MEC服务器消息认证码MAC_E，记作MAC_E＝H2(K_E||R_E1||T_E)，其中K_E||R_E1||T_E表示级联MEC服务器永久密钥K_E、第一MEC服务器随机数R_E1和MEC服务器时间戳T_E。

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过乘法操作、级联操作和异或运算，能够简便的计算得到MEC服务器匿名时间戳和MEC服务器消息认证码MAC_E，同时还能保证计算时延小。

图4是本发明实施例提供的又一移动边缘计算架构下云边端认证方法的流程示意图，如图4所示，该方法包括：

S401：根据MEC服务器发送的MEC服务器匿名身份和第一终端认证装置随机数，生成终端认证向量和终端认证装置期望响应消息，并将所述终端认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述终端认证向量生成MEC服务器认证向量；

S402：根据所述MEC服务器转发的核心网服务器认证向量的预设部分和所述终端认证装置期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则完成认证核心网服务器和所述MEC服务器。

具体地，终端认证装置会将预先选定的核心网服务器公钥PK_C、核心网服务器永久身份ID_C、终端认证装置永久身份ID_U、终端认证装置永久密钥K_U存储起来，核心网服务器公钥PK_C根据公式PK_C＝SK_C·P计算得到，其中，SK_C为预先选定的核心网服务器私钥，·运算代表椭圆曲线上的乘法。

终端认证装置接收MEC服务器发送的MEC服务器匿名身份SID_E，终端认证装置再根据MEC服务器匿名身份SID_E和第一终端认证装置随机数R_U1，生成终端认证向量AV_U＝(SID_U,SID_E,ID_C,MAC_U)和终端认证装置期望响应消息 xRES_U＝H3(K_U||R_U1||ID_C)，其中，SID_U表示终端认证装置匿名身份，SID_E表示 MEC服务器匿名身份，ID_C表示核心网服务器永久身份ID_C，MAC_U表示终端认证装置消息认证码，H3为公开参数。然后将终端认证向量AV_U发送给MEC 服务器以供MEC服务器根据终端认证向量AV_U生成MEC服务器认证向量AV_E。

终端认证装置接收MEC服务器转发的核心网服务器认证向量AV_C的预设部分，其中核心网服务器认证向量AV_C的预设部分表示核心网服务器认证向量AV_C的后半部分，即

然后判断终端认证装置期望响应消息 xRES_U是否与RES_U ^*是否相等，若不相等，终止本次认证，取消与MEC服务器和核心网服务器的连接，若相等，则终端认证装置确认核心网身份合法。再根据公式K_U-C＝KDF1(K_U,R_U1,ID_C,T_U)推导终端认证装置与核心网服务器通信密钥K_U-C，其中T_U为终端认证装置时间戳，再根据终端认证装置与核心网服务器通信密钥K_U-C解密第一加密参数SK1_U-E得到K_U-E，记作公式

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过终端认证装置验证核心网服务器身份，完成三方认证，只要其中有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性，同时通过终端认证装置和MEC服务器只需完成一次非对称加密能够有效降低认证时延。

更进一步地，在上述发明实施例的基础上，所述终端认证向量中所述终端认证装置匿名身份根据所述第一终端认证装置随机数、核心网服务器公钥和终端认证装置永久身份计算得到；

所述终端认证向量中终端认证装置消息认证码根据初始化参数、所述第一终端认证装置随机数、终端认证装置永久密钥和终端认证装置时间戳计算得到。

具体地，选择第一终端认证装置随机数R_U1，终端认证向量AV_U中的终端认证装置匿名身份SID_U采用核心网服务器公钥PK_C加密ID_U||R_U1||T_U而得到，可记作

其中

ID_U||R_U1||T_U表示级联终端认证装置永久身份ID_U、第一终端认证装置随机数R_U1和终端认证装置时间戳 T_U。

终端认证装置乘法操作公开参数H2和K_U||R_U1||T_U，得到终端认证装置消息认证码MAC_U，记作MAC_U＝H2(K_U||R_U1||T_U)，其中K_U||R_U1||T_U表示级联终端认证装置永久密钥K_U、第一终端认证装置随机数R_E1和终端认证装置时间戳 T_U。

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过乘法操作、加法操作、级联操作，能够简便的计算得到终端认证装置匿名身份和终端认证装置消息认证码，同时还能保证计算时延小。

图5为本发明实施例提供的另一移动边缘计算架构下云边端认证方法的流程示意图，如图5所示，该方法包括：

S501：根据MEC服务器发送的MEC服务器认证向量验证终端认证装置身份，若所述终端认证装置身份验证成功，则再根据所述MEC服务器认证向量验证MEC服务器身份，若所述MEC服务器身份验证成功，则根据所述 MEC服务器认证向量生成核心网服务器认证向量，并将所述核心网服务器认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述核心网服务器认证向量验证核心网服务器身份。

具体地，核心网服务器会预先选定并存储核心网服务器私钥SK_C，其中

且预先存储终端认证装置永久身份ID_U、终端认证装置永久密钥K_U、 MEC服务器永久身份ID_E、MEC服务器永久密钥K_E。

核心网服务器接收MEC服务器发送的MEC服务器认证向量 AV_E＝(SID_U,SID_E,ID_C,MAC_U,R_E2,ST_E,MAC_E)，通过核心网服务器私钥SK_C解密终端认证装置匿名身份SID_U得到

其中

判断终端认证装置时间戳T_U是否合法，该判断规则可以是判断终端认证装置时间戳T_U为最新的时间戳，本发明实施例对此不作具体限定，若不合法，则终止本次认证，取消与终端认证装置和MEC服务器的连接，若合法，则查找终端认证装置永久身份ID_U对应的终端认证装置永久密钥K_U，根据公式xMAC_U＝H2(K_U||R_U1||T_U)计算终端认证装置验证参数xMAC_U，判断MEC服务器认证向量AV_E中终端认证装置消息认证码MAC_U是否等于终端认证装置验证参数xMAC_U，若不相等，则取消与终端认证装置和MEC服务器的连接，若相等，则终端认证装置身份合法。

再通过核心网服务器私钥SK_C解密MEC服务器匿名身份SID_E得到

其中

查找MEC服务器永久身份ID_E对应的MEC服务器永久密钥K_E，通过公式 AK_E＝H1(K_E||R_E1)和

恢复MEC服务器时间戳T_E，判断MEC服务器时间戳T_E是否合法，该判断规则可以是判断MEC服务器时间戳T_E为最新的时间戳，本发明实施例对此不作具体限定，若不合法，则终止本次认证，取消与终端认证装置和MEC服务器的连接，若合法，根据公式 xMAC_E＝H2(K_E||R_E1||T_E)计算MEC服务器验证参数xMAC_E，判断MEC服务器认证向量AV_E中MEC服务器消息认证码MAC_E是否等于MEC服务器验证参数xMAC_E，若不相等，则取消与终端认证装置和MEC服务器的连接，若相等，则MEC服务器身份合法。

再根据MEC服务器认证向量生成核心网服务器认证向量

并将核心网服务器认证向量AV_C发送给MEC 服务器，以供MEC服务器根据核心网服务器认证向量AV_C验证核心网服务器身份。

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过核心网服务器验证终端认证装置身份和MEC服务器身份，完成三方认证，只要其中有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性。

更进一步地，在上述发明实施例的基础上，所述根据所述MEC服务器认证向量生成核心网服务器认证向量包括：

根据所述MEC服务器认证向量和根据所述MEC服务器认证向量推导的终端认证装置与所述核心网服务器通信密钥、MEC服务器与所述核心网服务器通信密钥和终端认证装置与所述MEC服务器通信密钥生成所述核心网服务器认证向量。

具体地，在MEC服务器认证向量AV_E＝(SID_U,SID_E,ID_C,MAC_U,R_E1,ST_E,MAC_E) 基础上，推导终端认证装置与核心网通信密钥K_U-C、MEC服务器与核心网服务器通信密钥K_E-C和推导终端认证装置与MEC通信密钥K_U-E，计算 xRES_U ^*＝H3(K_U||R_U1||ID_C)，xRES_E ^*＝H3(K_E||R_E1||ID_C)，其中||代表级联操作，再分别用K_U-C、K_E-C对K_U-E进行加密生成SK1_U-E和SK2_U-E，记作

其中

均为对称加密操作，然后生成核心网服务器认证向量

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过乘法操作、对称加密操作、级联操作，能够简便的计算得到核心网服务器认证向量，同时还能保证计算时延小。

更进一步地，在上述发明实施例的基础上，所述终端认证装置与所述核心网服务器通信密钥根据初始化参数、第一终端认证装置随机数、核心网服务器永久身份和终端认证装置时间戳计算得到；

所述MEC服务器与所述核心网服务器通信密钥根据所述初始化参数、第一MEC服务器随机数、所述核心网服务器永久身份和MEC服务器时间戳计算得到；

所述边端认证装置与所述MEC服务器通信密钥根据所述初始化参数、所述MEC服务器与所述核心网服务器通信密钥和所述终端认证装置与所述核心网服务器通信密钥计算得到。

具体地，在MEC服务器认证向量AV_E＝(SID_U,SID_E,ID_C,MAC_U,R_E1,ST_E,MAC_E) 基础上，根据公式K_U-C＝KDF1(K_U,R_U1,ID_C,T_U)推导核心网推导终端认证装置与核心网通信密钥K_U-C，根据公式K_E-C＝KDF1(K_E,R_E1,ID_C,T_E)推导MEC服务器与核心网服务器通信密钥K_E-C，根据公式K_U-E＝KDF2(K_U-C,K_E-C)推导终端认证装置与MEC通信密钥K_U-E

本发明实施例提供了移动边缘计算架构下云边端认证方法，该方法中，通过简单的常规运算能够计算得到核心网推导终端认证装置与核心网通信密钥、MEC服务器与核心网服务器通信密钥和推导终端认证装置与MEC通信密钥，还能保证计算时延小。

本发明实施例基于椭圆曲线密码提出了一种移动边缘计算架构下云边端认证方法。终端认证装置和MEC服务器分别与核心网服务器相互认证，从而终端认证装置与MEC服务器之间可以建立相互信任。用户身份管理均由核心网服务器完成，终端认证装置和MEC服务器只需完成一次非对称加密，其余操作均为哈希运算、级联、异或、密钥推导以及对称加密操作，并且认证只需要终端认证装置到核心网服务器端到端2次通信过程，所以认证协议的计算开销和通信开销较小。此外，本发明实施例提出的方法对终端认证装置和MEC服务器均匿名。

本发明实施例通过如下十五个步骤具体阐述终端认证装置、MEC服务器和核心网服务器之间完整的认证过程：

第一步，初始化系统参数。选定有限域

上的椭圆曲线

椭圆曲线

的循环子群G，设G的生成元为P，G的阶数为q，记

选定映射

将输入的明文映射为椭圆曲线

上的一个点；选定三个独立的哈希函数H1、H2、H3；选定两个独立的密钥推导函数KDF1和KDF2；则

G、P、q、

σ(·)、H1、H2、H3、 KDF1和KDF2均为公开参数。

第二步，选定身份信息和公钥信息。选定

是核心网服务器的私钥，PK_C＝SK_C·P是核心网服务器公钥，并将PK_C预先存储在终端认证装置和 MEC服务器存储器中，其中运算代表椭圆曲线上的乘法。选定核心网服务器永久身份ID_C，并将其预先存储在终端认证装置和MEC服务器存储器中。选定终端认证装置永久身份ID_U、永久密钥K_U，并存储在终端认证装置的安全硬件电路以及核心网服务器的安全数据库中。选定MEC服务器永久身份ID_E、永久密钥K_E，并存储在MEC服务器的安全硬件电路以及核心网服务器的安全数据库中。

第三步，在认证开始之前，终端认证装置、MEC服务器、核心网服务器完成时间同步，即终端认证装置时间戳、MEC服务器时间戳、核心网服务器时间戳的差别控制在误差范围以内。

第四步，MEC服务器生成MEC服务器匿名身份SID_E并广播。MEC服务器选择MEC服务器永久密钥

的随机数，选择第二MEC服务器随机数 R_E2，采用核心网服务器公钥PK_C加密ID_E||R_E2生成MEC服务器匿名身份 SID_E，即

其中||代表级联操作，

第五步，终端认证装置接收MEC服务器广播的MEC服务器匿名身份 SID_E。

第六步，终端认证装置生成终端认证向量AV_U＝(SID_U,SID_E,ID_C,MAC_U)。终端认证装置选择随机数

选择第一终端认证装置随机数R_U1，生成终端认证装置时间戳T_U，生成终端认证装置匿名身份

生成终端认证装置消息认证码MAC_U＝H2(K_U||R_U1||T_U)，生成终端认证装置期望响应消息xRES_U＝H3(K_U||R_U1||ID_C)。其中||代表级联操作，

第七步，终端认证装置向MEC服务器发送终端认证向量AVU。

第八步，MEC服务器接收终端认证向量并生成MEC服务器认证向量 AV_E＝(SID_U,SID_E,ID_C,MAC_U,R_E1,ST_E,MAC_E)。MEC服务器选择第一MEC服务器随机数R_E1，生成MEC服务器时间戳T_E，计算MEC服务器匿名密钥 AK_E＝H1(K_E||R_E1)，生成MEC服务器匿名时间戳

生成MEC服务器消息认证码MAC_E＝H2(K_E||R_E1||T_E)，生成MEC服务器期望响应消息 xRES_E＝H3(K_E||R_E1||ID_C)。

第九步，核心网服务器接收MEC服务器认证向量，验证终端认证装置身份，如果终端认证装置身份验证成功，则继续下一步，否则，终止本次认证，取消与终端认证装置、MEC服务器的连接。核心网服务器用自己的私钥SK_C解密终端认证装置匿名身份得到

验证终端认证装置时间戳T_U是否新鲜，如果终端认证装置时间戳T_U合法，则继续下一步，否则终止本次认证，取消与终端认证装置、MEC服务器的连接；核心网服务器查找ID_U对应的K_U，计算xMAC_U＝H2(K_U||R_U1||T_U)，验证MAC_U是否等于xMAC_U，如果相等，则终端认证装置身份合法，继续下一步，否则终止本次认证，取消与终端认证装置、MEC服务器的连接；其中

第十步，核心网服务器验证MEC服务器身份，如果MEC服务器身份验证成功，则继续下一步，否则，终止本次认证，取消与终端认证装置、MEC 服务器的连接。核心网服务器用自己的核心网服务器私钥SK_C解密MEC服务器匿名身份得到

查找ID_E对应的K_E，计算 AK_E＝H1(K_E||R_E1)，恢复MEC服务器时间戳

验证MEC服务器时间戳T_E是否新鲜，如果T_E合法，则继续，否则终止本次认证，取消与终端认证装置、MEC服务器的连接；计算xMAC_E＝H2(K_E||R_E1||T_E)，验证MAC_E是否等于xMAC_E，如果相等，则MEC服务器合法，则继续下一步，否则终止本次认证，取消与终端认证装置、MEC服务器的连接；其中

第十一步，核心网服务器进行密钥推导并生成核心网服务器认证向量

核心网服务器推导终端认证装置与核心网服务器通信密钥K_U-C＝KDF1(K_U,R_U1,ID_C,T_U)，推导MEC服务器与核心网服务器通信密钥K_E-C＝KDF1(K_E,R_E1,ID_C,T_E)，推导终端认证装置与MEC服务器通信密钥K_U-E＝KDF2(K_U-C,K_E-C)，计算xRES_U*＝H3(K_U||R_U1||ID_C)， xRES_E*＝H3(K_E||R_E1||ID_C)，分别用K_U-C、K_E-C对K_U-E进行加密生成

其中

均为对称加密操作。

第十二步，核心网服务器向MEC服务器发送核心网服务器认证向量。

第十三步，MEC服务器接收核心网服务器认证向量，验证核心网服务器身份，进行密钥推导并提取与终端认证装置通信的密钥，如果核心网服务器身份验证成功，则继续下一步，否则，终止本次认证，MEC服务器取消与终端认证装置、核心网服务器的连接。MEC服务器验证xRES_E*是否与 xRES_E相等，如果是，则MEC服务器确认核心网服务器身份合法，继续下一步，否则，终止本次认证，MEC服务器取消与终端认证装置、核心网服务器的连接；MEC服务器推导与核心网服务器通信密钥 K_E-C＝KDF1(KE,RE2,IDC,TE)，解密SK2_U-E得到

第十四步，MEC服务器向终端认证装置转发核心网服务器认证向量的后半部分

第十五步，终端认证装置验证核心网服务器身份，进行密钥推导并提取与MEC服务器通信的密钥如果核心网服务器身份验证成功，则终端认证装置完成认证核心网服务器和MEC服务器，可以用推导出的密钥进行安全通信，否则，终止本次认证，取消与MEC服务器、核心网服务器的连接。终端认证装置验证RES_U*是否与xRES_U相等，如果是，则终端认证装置确认核心网服务器身份合法，继续推导密钥，否则，终止本次认证，取消与MEC 服务器、核心网服务器的连接；终端认证装置推导与核心网服务器通信密钥 K_U-C＝KDF1(K_U,R_U1,ID_C,T_U)，解密SK1_U-E得到

图6为本发明实施例提供的一种MEC服务器的结构示意图，如图6所示，该MEC服务器包括：第一发送模块601、第一处理模块602和第二处理模块 603，其中：

第一发送模块601用于将移动边缘计算MEC服务器匿名身份发送给终端认证装置，以供所述终端认证装置根据所述MEC服务器匿名身份和第一终端认证装置随机数生成终端认证向量；

第一处理模块602用于根据所述终端认证装置发送的所述终端认证向量和第一MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将所述MEC服务器认证向量发送给核心网服务器，以供所述核心网服务器根据所述MEC服务器认证向量验证MEC服务器身份和终端认证装置身份；

第二处理模块603用于根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则将所述核心网服务器认证向量的预设部分转发给所述终端认证装置，以供所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份。

本发明实施例提供了MEC服务器，通过终端认证装置和MEC服务器分别与核心网服务器相互认证，只要有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性，同时通过终端认证装置和MEC服务器只需完成一次非对称加密能够有效降低认证时延。

进一步地，在上述实施例基础上，所述MEC服务器匿名身份根据第二 MEC服务器随机数、核心网服务器公钥和MEC服务器永久身份计算得到。

进一步地，在上述实施例基础上，所述MEC服务器认证向量中MEC服务器匿名时间戳根据MEC服务器时间戳和MEC服务器匿名密钥计算得到；

所述MEC服务器认证向量中MEC服务器消息认证码根据初始化参数、第一MEC服务器随机数、MEC服务器永久密钥和所述MEC服务器时间戳计算得到。

本实施例所述的MEC服务器可以用于执行上述对应的方法实施例，其原理和技术效果类似，此处不再赘述。

图7为本发明实施例提供的一种终端认证装置的结构示意图，如图7所示，该装置包括：第三处理模块701和第一验证模块702，其中：

第三处理模块701用于根据MEC服务器发送的MEC服务器匿名身份和第一终端认证装置随机数，生成终端认证向量和终端认证装置期望响应消息，并将所述终端认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述终端认证向量生成MEC服务器认证向量；

第一验证模块702用于根据所述MEC服务器转发的核心网服务器认证向量的预设部分和所述终端认证装置期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则完成认证核心网服务器和所述MEC服务器。

本发明实施例提供了终端认证装置，通过终端认证装置验证核心网服务器身份，完成三方认证，只要其中有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性，同时通过终端认证装置和MEC服务器只需完成一次非对称加密能够有效降低认证时延。

进一步地，在上述实施例基础上，所述终端认证向量中所述终端认证装置匿名身份根据所述第一终端认证装置随机数、核心网服务器公钥和终端认证装置永久身份计算得到；

所述终端认证向量中终端认证装置消息认证码根据初始化参数、所述第一终端认证装置随机数、终端认证装置永久密钥和终端认证装置时间戳计算得到。

本实施例所述的终端认证装置可以用于执行上述对应的方法实施例，其原理和技术效果类似，此处不再赘述。

图8为本发明实施例提供的一种核心网服务器的结构示意图，如图8所示，该核心网服务器包括：第四处理模块801，其中：

第四处理模块801用于根据MEC服务器发送的MEC服务器认证向量验证终端认证装置身份，若所述终端认证装置身份验证成功，则再根据所述 MEC服务器认证向量验证MEC服务器身份，若所述MEC服务器身份验证成功，则根据所述MEC服务器认证向量生成核心网服务器认证向量，并将所述核心网服务器认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述核心网服务器认证向量验证核心网服务器身份。

本发明实施例提供了核心网服务器，通过核心网服务器验证终端认证装置身份和MEC服务器身份，完成三方认证，只要其中有一方认证不通过，协议立刻终止，从而当协议完成时，终端认证装置、MEC服务器和核心网服务器建立相互信任，保证了三方认证的安全性。

进一步地，在上述发明实施例的基础上，所述根据所述MEC服务器认证向量生成核心网服务器认证向量包括：

根据所述MEC服务器认证向量和根据所述MEC服务器认证向量推导的终端认证装置与所述核心网服务器通信密钥、MEC服务器与所述核心网服务器通信密钥和终端认证装置与所述MEC服务器通信密钥生成所述核心网服务器认证向量。

进一步地，在上述发明实施例的基础上，所述终端认证装置与所述核心网服务器通信密钥根据初始化参数、第一终端认证装置随机数、核心网服务器永久身份和终端认证装置时间戳计算得到；

所述MEC服务器与所述核心网服务器通信密钥根据所述初始化参数、第一MEC服务器随机数、所述核心网服务器永久身份和MEC服务器时间戳计算得到；

所述边端认证装置与所述MEC服务器通信密钥根据所述初始化参数、所述MEC服务器与所述核心网服务器通信密钥和所述终端认证装置与所述核心网服务器通信密钥计算得到。

本实施例所述的核心网服务器可以用于执行上述对应的方法实施例，其原理和技术效果类似，此处不再赘述。

图9示例了电子设备的实体结构示意图，如图9所示，该电子设备可以包括：处理器(Processor)901、存储器(Memory)902、通信接口 (Communications Interface)903和通信总线904，其中，处理器901，存储器 902，通信接口903通过通信总线904完成相互间的通信。处理器901可以调用存储器902中的逻辑指令，以执行上述各方法实施例所提供的方法，例如包括：将移动边缘计算MEC服务器匿名身份发送给终端认证装置，以供所述终端认证装置根据所述MEC服务器匿名身份和第一终端认证装置随机数生成终端认证向量；根据所述终端认证装置发送的所述终端认证向量和第一 MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将所述MEC服务器认证向量发送给核心网服务器，以供所述核心网服务器根据所述MEC服务器认证向量验证MEC服务器身份和终端认证装置身份；根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则将所述核心网服务器认证向量的预设部分转发给所述终端认证装置，以供所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份。

此外，上述的存储器902中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本发明实施例还提供非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法实施例所提供的方法，例如包括：将移动边缘计算MEC服务器匿名身份发送给终端认证装置，以供所述终端认证装置根据所述MEC服务器匿名身份和第一终端认证装置随机数生成终端认证向量；根据所述终端认证装置发送的所述终端认证向量和第一MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将所述MEC服务器认证向量发送给核心网服务器，以供所述核心网服务器根据所述MEC服务器认证向量验证MEC服务器身份和终端认证装置身份；根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则将所述核心网服务器认证向量的预设部分转发给所述终端认证装置，以供所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种移动边缘计算架构下云边端认证方法，其特征在于，包括：

将移动边缘计算MEC服务器匿名身份发送给终端认证装置，以供所述终端认证装置根据所述MEC服务器匿名身份和第一终端认证装置随机数生成终端认证向量和终端认证装置期望响应消息；

根据所述终端认证装置发送的所述终端认证向量和第一MEC服务器随机数生成MEC服务器认证向量和MEC服务器期望响应消息，并将所述MEC服务器认证向量发送给核心网服务器，以供所述核心网服务器根据所述MEC服务器认证向量验证MEC服务器身份和终端认证装置身份；

根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则将所述核心网服务器认证向量的预设部分转发给所述终端认证装置，以供所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份；

其中，所述终端认证向量为包含终端认证装置匿名身份、MEC服务器匿名身份、核心网服务器永久身份和终端认证装置消息认证码的认证信息；所述MEC服务器认证向量为包含终端认证装置匿名身份、终端认证装置消息认证码、核心网服务器永久身份、第一MEC服务器随机数、MEC服务器匿名身份、MEC服务器匿名时间戳和MEC服务器消息认证码的认证信息；所述MEC服务器期望响应消息为MEC服务器确认核心网身份的标准信息；所述核心网服务器认证向量为包含MEC服务器身份验证参数、第二加密参数、终端认证装置身份验证参数和第一加密参数的认证信息；所述核心网服务器认证向量的预设部分为终端认证装置身份验证参数和第一加密参数的认证信息；

所述核心网服务器根据所述MEC服务器认证向量验证MEC服务器身份和终端认证装置身份，具体包括：

所述核心网服务器根据所述MEC服务器认证向量中的终端认证装置消息认证码是否等于终端认证装置验证参数，验证终端认证装置身份，并根据所述MEC服务器认证向量中的MEC服务器消息认证码是否等于MEC服务器验证参数，验证MEC服务器身份；

所述根据所述核心网服务器发送的核心网服务器认证向量和所述MEC服务器期望响应消息验证核心网服务器身份，具体包括：

通过判断所述MEC服务器期望响应消息是否与所述核心网服务器认证向量中的MEC服务器身份验证参数相等，验证核心网服务器身份；

所述终端认证装置根据所述核心网服务器认证向量的预设部分验证所述核心网服务器身份，具体包括：

所述终端认证装置通过判断终端认证装置期望响应消息是否与所述预设部分中的终端认证装置身份验证参数相等，验证所述核心网服务器身份；

所述MEC服务器验证参数，是根据所述MEC服务器永久密钥、所述第一MEC服务器随机数和MEC服务器时间戳生成的；

所述终端认证装置身份验证参数，是根据所述终端认证装置永久密钥、第一终端认证装置随机数和终端认证装置时间戳生成的。

2.根据权利要求1所述的移动边缘计算架构下云边端认证方法，其特征在于，所述MEC服务器匿名身份根据第二MEC服务器随机数、核心网服务器公钥和MEC服务器永久身份计算得到；

其中，所述MEC服务器永久身份为表示MEC服务器身份的固定数字信息。

3.根据权利要求1所述的移动边缘计算架构下云边端认证方法，其特征在于，所述MEC服务器认证向量中MEC服务器匿名时间戳根据MEC服务器时间戳和MEC服务器匿名密钥计算得到；

所述MEC服务器认证向量中MEC服务器消息认证码根据初始化参数、第一MEC服务器随机数、MEC服务器永久密钥和所述MEC服务器时间戳计算得到；

其中，所述MEC服务器匿名密钥为用于生成MEC服务器匿名时间戳的数字信息；所述MEC服务器永久密钥为用于生成MEC服务器消息认证码的数字信息。

4.一种移动边缘计算架构下云边端认证方法，其特征在于，包括：

根据MEC服务器发送的MEC服务器匿名身份和第一终端认证装置随机数，生成终端认证向量和终端认证装置期望响应消息，并将所述终端认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述终端认证向量生成MEC服务器认证向量；

根据所述MEC服务器转发的核心网服务器认证向量的预设部分和所述终端认证装置期望响应消息验证核心网服务器身份，若所述核心网服务器身份验证成功，则完成认证核心网服务器和所述MEC服务器；

其中，所述终端认证向量为包含终端认证装置匿名身份、MEC服务器匿名身份、核心网服务器永久身份和终端认证装置消息认证码的认证信息；所述MEC服务器认证向量为包含终端认证装置匿名身份、终端认证装置消息认证码、核心网服务器永久身份、第一MEC服务器随机数、MEC服务器匿名身份、MEC服务器匿名时间戳和MEC服务器消息认证码的认证信息；所述核心网服务器认证向量为包含MEC服务器身份验证参数、第二加密参数、终端认证装置身份验证参数和第一加密参数的认证信息；所述核心网服务器认证向量的预设部分为所述终端认证装置身份验证参数和第一加密参数的认证信息；

根据所述MEC服务器转发的核心网服务器认证向量的预设部分和所述终端认证装置期望响应消息验证核心网服务器身份，具体包括：

通过判断终端认证装置期望响应消息是否与所述预设部分中的终端认证装置身份验证参数相等，验证所述核心网服务器身份；

所述MEC服务器根据所述终端认证向量生成MEC服务器认证向量，具体包括：

根据所述终端认证向量和所述第一MEC服务器随机数，生成所述MEC服务器认证向量。

5.根据权利要求4所述的移动边缘计算架构下云边端认证方法，其特征在于，所述终端认证向量中所述终端认证装置匿名身份根据所述第一终端认证装置随机数、核心网服务器公钥和终端认证装置永久身份计算得到；

所述终端认证向量中终端认证装置消息认证码根据初始化参数、所述第一终端认证装置随机数、终端认证装置永久密钥和终端认证装置时间戳计算得到；

其中，所述终端认证装置永久身份为表示终端认证装置身份的固定数字信息；所述终端认证装置永久密钥为用于生成终端认证装置消息认证码的数字信息。

6.一种移动边缘计算架构下云边端认证方法，其特征在于，包括：

根据MEC服务器发送的MEC服务器认证向量验证终端认证装置身份，若所述终端认证装置身份验证成功，则再根据所述MEC服务器认证向量验证MEC服务器身份，若所述MEC服务器身份验证成功，则根据所述MEC服务器认证向量生成核心网服务器认证向量，并将所述核心网服务器认证向量发送给所述MEC服务器，以供所述MEC服务器根据所述核心网服务器认证向量验证核心网服务器身份；

其中，所述MEC服务器认证向量为包含终端认证装置匿名身份、终端认证装置消息认证码、核心网服务器永久身份、第一MEC服务器随机数、MEC服务器匿名身份、MEC服务器匿名时间戳和MEC服务器消息认证码的认证信息；所述核心网服务器认证向量为包含MEC服务器身份验证参数、第二加密参数、终端认证装置身份验证参数和第一加密参数的认证信息；

所述根据MEC服务器发送的MEC服务器认证向量验证终端认证装置身份，具体包括：

根据所述MEC服务器认证向量中的终端认证装置消息认证码是否等于终端认证装置验证参数，验证终端认证装置身份；

所述根据所述MEC服务器认证向量验证MEC服务器身份，具体包括：

根据所述MEC服务器认证向量中的MEC服务器消息认证码是否等于MEC服务器验证参数，验证MEC服务器身份；

所述MEC服务器根据所述核心网服务器认证向量验证核心网服务器身份，具体包括：

所述MEC服务器通过判断所述MEC服务器期望响应消息是否与所述核心网服务器认证向量中的MEC服务器身份验证参数相等，验证核心网服务器身份；

所述根据所述MEC服务器认证向量生成核心网服务器认证向量包括：

根据所述MEC服务器认证向量和根据所述MEC服务器认证向量推导的终端认证装置与所述核心网服务器通信密钥、MEC服务器与所述核心网服务器通信密钥和终端认证装置与所述MEC服务器通信密钥生成所述核心网服务器认证向量；

所述MEC服务器期望响应消息为MEC服务器确认核心网身份的标准信息。

7.根据权利要求6所述的移动边缘计算架构下云边端认证方法，其特征在于，所述终端认证装置与所述核心网服务器通信密钥根据初始化参数、第一终端认证装置随机数、核心网服务器永久身份和终端认证装置时间戳计算得到；

所述MEC服务器与所述核心网服务器通信密钥根据所述初始化参数、第一MEC服务器随机数、所述核心网服务器永久身份和MEC服务器时间戳计算得到；

所述边端认证装置与所述MEC服务器通信密钥根据所述初始化参数、所述MEC服务器与所述核心网服务器通信密钥和所述终端认证装置与所述核心网服务器通信密钥计算得到；

其中，所述核心网服务器永久身份为表示核心网服务器身份的固定数字信息。

8.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述的移动边缘计算架构下云边端认证方法的步骤。

9.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至7任一项所述的移动边缘计算架构下云边端认证方法的步骤。

Images