CN112105024A - 一种基站身份认证方法、装置及设备 - Google Patents

Abstract

本申请实施例公开了一种基站身份认证方法、装置和设备。在本申请中，通过在核心网设备和基站设备上增加鉴权模式，在核心网设备与基站进行下一代应用协议接口连接NG连接过程中，使核心网设备向所述基站发送携带随机密钥的鉴权请求消息，并接收所述基站返回的携带第一密文数据的鉴权响应消息，然后依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互，从而使合法的基站与核心网设备进行数据交互，防止身份不明的伪基站接入核心网。

Description

一种基站身份认证方法、装置及设备

技术领域

本申请涉及网络通信领域，特别涉及一种基站身份认证方法、装置及设备。

背景技术

5G移动通信网络面对海量需要高带宽的场景，所以建设过程中需要用到更多的基站，这会催生很多设备商进入基站研发领域，当大量品牌的基站设备进入市场时，这些基站设备将会出现良莠不齐的现象，这给伪基站趁机接入核心网创造了机会。

合法的基站接入核心网有利于网络的建设，但是伪基站作为非法设备，一旦接入核心网，则会严重威胁网络安全。

发明内容

本申请公开了一种基站身份认证方法、装置及设备，以防止伪基站接入核心网威胁网络安全。

根据本申请实施例的第一方面，提供一种基站身份认证方法，该方法应用于核心网设备，所述核心网设备工作在鉴权模式下，所述方法包括：

在所述核心网设备与第一基站进行下一代应用协议接口连接NG连接过程中，向所述第一基站发送鉴权请求消息，所述鉴权请求消息携带随机密钥；

接收所述第一基站返回的鉴权响应消息；所述鉴权响应消息携带第一密文数据，所述第一密文数据是所述第一基站利用所述随机密钥对所述第一基站已配置的机密信息进行加密得到；

依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定所述第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互。

可选的，所述方法包括：

所述鉴权请求消息是在接收到所述第一基站发送的下一代应用协议接口建立请求NGSETUP REQUEST信令消息后生成的。

可选的，若所述第一密文数据和所述第二密文数据相匹配，该方法进一步包括：

向所述第一基站返回响应所述NG SETUP REQUEST信令消息的下一代应用协议接口建立应答NG SETUP RESPONSE信令消息，以成功建立所述核心网设备与所述第一基站之间的NG连接。

可选的，若所述第一密文数据和所述第二密文数据不匹配，则该方法进一步包括：

向所述第一基站返回下一代应用协议接口建立失败NG SETUP FAILURE的信令消息，并给出失败原因cause为下一代无线接入网节点认证失败NG-RAN node auth failure。

可选的，该方法之前或之后进一步包括：

接收切换指令，依据所述切换指令将所述核心网设备从鉴权模式切换为标准模式；

在所述核心网设备工作在标准模式下，若接收到第二基站发送的NG SETUP REQUEST信令消息，则向所述第二基站返回NG SETUP RESPONSE信令消息。

根据本申请实施例的第二方面，提供一种基站身份认证的方法，该方法应用于基站，所述基站工作在鉴权模式下，所述方法包括：

向核心网设备发送下一代应用协议接口建立请求NG SETUP REQUEST信令消息；

当接收到所述核心网设备发送的携带随机密钥的鉴权请求消息时，利用所述随机密钥对所述基站已配置的所述机密信息进行加密得到第一密文数据，并向核心网设备返回携带第一密文数据的鉴权响应消息；

当接收到所述核心网设备返回的下一代应用协议接口建立应答NG SETUP RESPONSE信令消息时，则确定所述基站在核心网设备通过认证，在所述NG连接成功后通过所述NG连接与所述核心网设备进行数据交互。

根据本申请实施例的第三方面，提供一种基站身份认证的装置，该装置应用于核心网设备，所述核心网设备工作在鉴权模式下，所述装置包括：

发送单元，用于在所述核心网设备与第一基站进行下一代应用协议接口连接NG连接过程中，向所述第一基站发送鉴权请求消息，所述鉴权请求消息携带随机密钥；

接收单元，用于接收所述第一基站返回的鉴权响应消息；所述鉴权响应消息携带第一密文数据，所述第一密文数据是所述第一基站利用所述随机密钥对所述第一基站已配置的机密信息进行加密得到；

认证单元，用于依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定所述第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互。

根据本申请实施例的第四方面，提供一种基站身份认证的装置，该装置应用于基站，所述基站工作在鉴权模式下，所述装置包括：

发送单元，用于向核心网设备发送下一代应用协议接口建立请求NG SETUP REQUEST信令消息；

加密单元，用于接收所述核心网设备发送的携带随机密钥的鉴权请求消息，利用所述随机密钥对所述基站已配置的所述机密信息进行加密得到第一密文数据，并向核心网设备返回携带第一密文数据的鉴权响应消息；

接收单元，用于当接收到所述核心网设备返回的下一代应用协议接口建立应答NGSETUP RESPONSE信令消息时，则确定所述基站在核心网设备通过认证，在所述NG连接成功后通过所述NG连接与所述核心网设备进行数据交互。

根据本申请实施例的第五方面，提供一种电子设备，该电子设备包括：处理器和存储器；

所述存储器，用于存储机器可执行指令；

所述处理器，用于读取并执行所述存储器存储的机器可执行指令，以实现如上所述应用于核心网设备的方法。

根据本申请实施例的第六方面，提供一种电子设备， 该电子设备包括：处理器和存储器；

所述存储器，用于存储机器可执行指令；

所述处理器，用于读取并执行所述存储器存储的机器可执行指令，以实现如上所述应用于基站的方法。

本申请的实施例提供的技术方案可以包括以下有益效果：

由以上技术方案可知，本申请提供的方案可以通过在核心网设备和基站设备上增加鉴权模式，在核心网设备与基站进行下一代应用协议接口连接NG连接过程中，使核心网设备向所述基站发送携带随机密钥的鉴权请求消息，并接收所述基站返回的携带第一密文数据的鉴权响应消息，然后依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互，从而使合法的基站与核心网设备进行数据交互，防止身份不明的伪基站接入核心网。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施例，并与说明书一起用于解释本说明书的原理。

图1本申请实施例提供的移动通信网络的架构示意图；

图2是本申请实施例提供的建立NG连接的标准信令流程图；

图3是本申请实施例提供的应用于核心网设备的方法流程图；

图4是本申请实施例提供的基站身份认证成功的信令流程示意图；

图5是本申请实施例提供的基站身份认证失败的信令流程示意图；

图6是本申请实施例提供的应用于基站的方法流程图；

图7是本申请实施例提供的应用于核心网设备的装置示意图；

图8是本申请实施例提供的应用于基站的装置示意图；

图9是本申请实施例提供的硬件结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

为了使本领域技术人员更好地理解本申请实施例提供的技术方案，并使本申请实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本申请实施例中技术方案作进一步详细的说明。

为了便于理解，首先介绍以下本申请实施例的应用场景。

可选的，本申请实施例可以应用于移动通信网络中，如图1所示，移动通信网络是由射频拉远单元RRU（Remote Radio Unit）、基站BBU(Base Band Unit)、核心网设备以及连接各设备的回传网络组成，而终端可以通过移动通信网络与互联网Internet进行数据交互。

当前的移动通信网络为运营商自建的专用网络，网络安全有保证，属于受信网络，所以移动通信网络中的设备连接可以不做验证，相互之间可以直接通信。但是由于5G移动通信网络是面对海量高带宽通信，所以建设5G移动通信网络需要更多的基站，这会催生很多设备商进入基站研发领域。当大量基站进入市场时，必将会出现良莠不齐的现象，而移动通信网络中的核心网设备不对接入的基站做验证，有一些伪基站就会趁机接入移动通信网络，如图1中带有“×”的基站为伪基站，当伪基站接入移动通信网络，会给网络安全造成巨大威胁，比如可能会造成用户信息泄露，攻击移动通信网络等。

可选的，基站通过连接核心网设备实现接入移动通信网络，而基站和核心网设备之间通信首先需要建立NG连接（NGAP连接，Next Generation Application Protocol连接，下一代应用协议接口连接），3GPP（第三代合作伙伴计划，3rd Generation PartnershipProject）定义了基站和核心网设备建立NG接口实例的标准信令流程。具体标准信令的流程如图2所示。

图2中的NG-RAN node（下一代无线接入网节点，Next generation-Radio AccessNetwork node）为基站，AMF（接入和移动性管理功能，Access and Mobility ManagementFunction）为核心网设备中管理接入功能的网元。当基站和核心网设备建立NG连接时，NG-RAN node负责向AMF发送下一代应用协议接口建立请求NG SETUP REQUEST的信令消息，AMF接收到基站发送的信令消息后直接向基站发送下一代应用协议接口建立应答NG SETUPRESPONSE的信令消息，或者如果AMF不能接受与基站建立NG连接，则向基站发送下一代应用协议接口建立失败NG SETUP FAILURE的信令消息。

可选的，只要遵循上述的标准信令流程，核心网设备服务的PLMN（公共陆地移动网，Public Land Mobile Network）范围内的任何基站都可不受限制的与核心网设备建立NG连接，比如该范围内的伪基站一样可以与核心网设备建立NG连接，存在一定安全隐患。

为了解决上述问题，防止伪基站通过接入核心网进入移动通信网络，本申请实施例提供了以下方法。参见图3，图3为本申请实施例提供的方法流程图，该方法实施例应用于核心网设备，所述核心网设备工作于鉴权模式下。

基于上面描述，下面对图3所示流程进行描述：

如图3所示，该流程可以包括以下步骤：

步骤301，在所述核心网设备与第一基站进行下一代应用协议接口连接NG连接过程中，向所述第一基站发送鉴权请求消息，所述鉴权请求消息携带随机密钥。

在具体实现时，核心网设备是在接收到第一基站发送的NG SETUP REQUEST信令消息后，生成随机密钥，并构造携带了随机密钥的鉴权请求消息。可选的，鉴权请求消息是根据3GPP中定义的私有消息机制（类型PrivateMessage）构造的，如图4所示，鉴权请求消息为私有消息，具体信令消息为PRIVATE MESSAGE NG-RAN AUTH REQUEST。

步骤302，接收所述第一基站返回的鉴权响应消息；所述鉴权响应消息携带第一密文数据。

在本实施例中，步骤302中鉴权响应消息中携带的第一密文数据是第一基站利用所述随机密钥对所述第一基站已配置的机密信息进行加密得到的，所述机密信息是第一基站在出厂时被写入的用于验证第一基站身份的数据，核心网设备上会收集对应第一基站的机密信息，该机密信息只有第一基站本身和核心网设备具有，以在与第一基站建立NG连接时对基站进行鉴权。

可选的，如果核心网设备在向第一基站发送鉴权请求消息后，在指定时间内没有接收到第一基站返回的鉴权响应消息，则核心网设备直接结束本次与第一基站建立NG连接的过程。

可选的，如图4所示，鉴权响应消息也是私有消息，具体信令消息为PRIVATEMESSAGE NG-RAN AUTH RESPONSE。

步骤303，依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定所述第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互。

可选的，步骤303中核心网设备已配置的所述机密信息对应的第一基站的机密信息，且步骤303中得到第二密文数据使用的加密算法和第一基站得到第一密文数据使用的加密算法一致，比如都使用MD5算法进行加密。

作为一个实施例，如果所述第一密文数据和所述第二密文数据相匹配，表示第一基站通过了认证，则向所述第一基站返回响应所述NG SETUP REQUEST信令消息的下一代应用协议接口建立应答NG SETUP RESPONSE信令消息，以成功建立所述核心网设备与所述第一基站之间的NG连接，具体流程如图4所示。

作为另一个实施例，如果所述第一密文数据和所述第二密文数据不匹配，表示第一基站未通过认证，则向所述第一基站返回NG SETUP FAILURE信令消息，并给出失败原因cause为下一代无线接入网节点认证失败NG-RAN node auth failure，具体流程如图5所示。

需要说明的是，在确定要接入核心网的基站都是可信基站的情况下，可以在该方法之前或之后接收外部输入的切换指令，依据所述切换指令将所述核心网设备从鉴权模式切换为标准模式，按照3GPP定义的标准信令流程建立NG连接，以增加组网的灵活性。在核心网设备工作在标准模式下时，若接收到第二基站发送的NG SETUP REQUEST信令消息，则向所述第二基站直接返回NG SETUP RESPONSE信令消息，以成功建立所述核心网设备与所述第二基站之间的NG连接。

至此，完成图3所示流程。

通过图3所示的流程可以看出，本实施例通过在核心网设备上增加鉴权模式，在核心网设备与基站进行下一代应用协议接口连接NG连接过程中，使核心网设备向所述基站发送携带随机密钥的鉴权请求消息，并接收所述基站返回的携带第一密文数据的鉴权响应消息，然后依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互，从而使合法的基站与核心网设备进行数据交互，防止身份不明的伪基站接入核心网。

为了实现上述应用于核心网设备的方法实施例，本申请实施例还提供了一种基站身份认证方法，应用于基站，所述基站工作在鉴权模式下：

参见图6，该流程可以包括以下步骤：

步骤601，向核心网设备发送下一代应用协议接口建立请求NG SETUP REQUEST信令消息。

步骤602，当接收到所述核心网设备发送的携带随机密钥的鉴权请求消息时，利用所述随机密钥对所述基站已配置的所述机密信息进行加密得到第一密文数据，并向核心网设备返回携带第一密文数据的鉴权响应消息。

步骤603，当接收到所述核心网设备返回的下一代应用协议接口建立应答NGSETUP RESPONSE信令消息时，则确定所述基站在核心网设备通过认证，在所述NG连接成功后通过所述NG连接与所述核心网设备进行数据交互。

作为一个实施例，若接收到核心网设备返回的下一代应用协议接口建立失败NGSETUP FAILURE的信令消息，且该信令消息中携带有失败原因cause为下一代无线接入网节点认证失败NG-RAN node auth failure，则确定所述基站在核心网设备没有通过认证，则该基站不能与核心网设备建立NG连接。

至此，完成图6所示流程。

通过图6所示流程，实现了基站在与核心网设备进行NG连接过程中，在接收到核心网设备发送的鉴权请求消息时，向核心网设备返回携带第一密文数据鉴权响应消息，以使所述核心网设备对基站进行认证，并在接收到核心网设备返回的NG SETUP RESPONSE信令消息时，确定基站通过认证。

以上对本申请实施例提供的方法进行了描述。下面对本申请实施例提供的装置进行描述：

参见图7，图7为本申请实施例提供的一种实现基站身份认证的装置示意图，应用于核心网设备。该装置包括：

发送单元701，用于在所述核心网设备与第一基站进行下一代应用协议接口连接NG连接过程中，向所述第一基站发送鉴权请求消息，所述鉴权请求消息携带随机密钥。

接收单元702，用于接收所述第一基站返回的鉴权响应消息；所述鉴权响应消息携带第一密文数据，所述第一密文数据是所述第一基站利用所述随机密钥对所述第一基站已配置的机密信息进行加密得到。

认证单元703，用于依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定所述第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互。

上述完成对步骤301~步骤303所述实施例的装置的描述。下面将描述步骤601~步骤603所述实施例对应的装置，如图8所示，该装置应用于基站，包括：

发送单元801，用于向核心网设备发送下一代应用协议接口建立请求NG SETUPREQUEST信令消息。

加密单元802，用于接收所述核心网设备发送的携带随机密钥的鉴权请求消息，利用所述随机密钥对所述基站已配置的所述机密信息进行加密得到第一密文数据，并向核心网设备返回携带第一密文数据的鉴权响应消息。

接收单元803，用于当接收到所述核心网设备返回的下一代应用协议接口建立应答NG SETUP RESPONSE信令消息时，则确定所述基站在核心网设备通过认证，在所述NG连接成功后通过所述NG连接与所述核心网设备进行数据交互。

对应地，本申请实施例还提供了一种硬件结构图，具体如图9所示。如图9所示，该硬件结构包括：处理器和存储器。

其中，所述存储器，用于存储机器可执行指令；

所述处理器，用于读取并执行所述存储器存储的机器可执行指令，以实现上述任一实施例。

作为一个实施例，存储器可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，存储器可以是：易失存储器、非易失性存储器或者类似的存储介质。具体地，存储器可以是RAM（Radom Access Memory，随机存取存储器）、闪存、存储驱动器（如硬盘驱动器）、固态硬盘、任何类型的存储盘（如光盘、DVD等），或者类似的存储介质，或者它们的组合。

至此，完成图9所示设备的描述。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种基站身份认证方法，其特征在于，该方法应用于核心网设备，所述核心网设备工作在鉴权模式下，所述方法包括：

在所述核心网设备与第一基站进行下一代应用协议接口连接NG连接过程中，向所述第一基站发送鉴权请求消息，所述鉴权请求消息携带随机密钥；

接收所述第一基站返回的鉴权响应消息；所述鉴权响应消息携带第一密文数据，所述第一密文数据是所述第一基站利用所述随机密钥对所述第一基站已配置的机密信息进行加密得到；

依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定所述第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互。

2.根据权利要求1所述的方法，其特征在于，所述方法包括：

所述鉴权请求消息是在接收到所述第一基站发送的下一代应用协议接口建立请求NGSETUP REQUEST信令消息后生成的。

3.根据权利要求1或2任一项所述的方法，其特征在于，若所述第一密文数据和所述第二密文数据相匹配，该方法进一步包括：

向所述第一基站返回响应所述NG SETUP REQUEST信令消息的下一代应用协议接口建立应答NG SETUP RESPONSE信令消息，以成功建立所述核心网设备与所述第一基站之间的NG连接。

4.根据权利要求1所述的方法，其特征在于，若所述第一密文数据和所述第二密文数据不匹配，则该方法进一步包括：

向所述第一基站返回下一代应用协议接口建立失败NG SETUP FAILURE信令消息，并给出失败原因cause为下一代无线接入网节点认证失败NG-RAN node auth failure。

5.根据权利要求1所述的方法，其特征在于，该方法之前或之后进一步包括：

接收切换指令，依据所述切换指令将所述核心网设备从鉴权模式切换为标准模式；

在所述核心网设备工作在标准模式下，若接收到第二基站发送的NG SETUP REQUEST信令消息，则向所述第二基站返回NG SETUP RESPONSE信令消息。

6.一种基站身份认证的方法，其特征在于，该方法应用于基站，所述基站工作在鉴权模式下，所述方法包括：

向核心网设备发送下一代应用协议接口建立请求NG SETUP REQUEST信令消息；

当接收到所述核心网设备发送的携带随机密钥的鉴权请求消息时，利用所述随机密钥对所述基站已配置的所述机密信息进行加密得到第一密文数据，并向核心网设备返回携带第一密文数据的鉴权响应消息；

当接收到所述核心网设备返回的下一代应用协议接口建立应答NG SETUP RESPONSE信令消息时，则确定所述基站在核心网设备通过认证，在所述NG连接成功后通过所述NG连接与所述核心网设备进行数据交互。

7.一种基站身份认证装置，其特征在于，该装置应用于核心网设备，所述核心网设备工作在鉴权模式下，所述装置包括：

发送单元，用于在所述核心网设备与第一基站进行下一代应用协议接口连接NG连接过程中，向所述第一基站发送鉴权请求消息，所述鉴权请求消息携带随机密钥；

接收单元，用于接收所述第一基站返回的鉴权响应消息；所述鉴权响应消息携带第一密文数据，所述第一密文数据是所述第一基站利用所述随机密钥对所述第一基站已配置的机密信息进行加密得到；

认证单元，用于依据所述随机密钥对所述核心网设备已配置的所述机密信息进行加密得到第二密文数据，若所述第一密文数据和所述第二密文数据相匹配，则确定所述第一基站通过认证，以在所述NG连接成功后通过所述NG连接与所述第一基站进行数据交互。

8.一种基站身份认证的装置，其特征在于，该装置应用于基站，所述基站工作在鉴权模式下，所述装置包括：

发送单元，用于向核心网设备发送下一代应用协议接口建立请求NG SETUP REQUEST信令消息；

加密单元，用于接收所述核心网设备发送的携带随机密钥的鉴权请求消息，利用所述随机密钥对所述基站已配置的所述机密信息进行加密得到第一密文数据，并向核心网设备返回携带第一密文数据的鉴权响应消息；

接收单元，用于当接收到所述核心网设备返回的下一代应用协议接口建立应答NGSETUP RESPONSE信令消息时，则确定所述基站在核心网设备通过认证，在所述NG连接成功后通过所述NG连接与所述核心网设备进行数据交互。

9.一种电子设备，其特征在于，该电子设备包括：处理器和存储器；

所述存储器，用于存储机器可执行指令；

所述处理器，用于读取并执行所述存储器存储的机器可执行指令，以实现如权利要求1至5任一方法。

10.一种电子设备，其特征在于，该电子设备包括：处理器和存储器；

所述存储器，用于存储机器可执行指令；

所述处理器，用于读取并执行所述存储器存储的机器可执行指令，以实现如权利要求6所述的方法。

Images