CN112640360B - 用于对认证信息的设定进行中介的装置及方法 - Google Patents

用于对认证信息的设定进行中介的装置及方法 Download PDF

Info

Publication number
CN112640360B
CN112640360B CN201980056988.4A CN201980056988A CN112640360B CN 112640360 B CN112640360 B CN 112640360B CN 201980056988 A CN201980056988 A CN 201980056988A CN 112640360 B CN112640360 B CN 112640360B
Authority
CN
China
Prior art keywords
key
service provider
iot device
sim
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201980056988.4A
Other languages
English (en)
Other versions
CN112640360A (zh
Inventor
片山晓雄
酒井宪吾
乔治·奥利弗·科马尔蒙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Soracom Inc
Original Assignee
Soracom Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Soracom Inc filed Critical Soracom Inc
Publication of CN112640360A publication Critical patent/CN112640360A/zh
Application granted granted Critical
Publication of CN112640360B publication Critical patent/CN112640360B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y30/00—IoT infrastructure
    • G16Y30/10—Security thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Storage Device Security (AREA)
  • Telephonic Communication Services (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明使得用于在IP网络上提供的服务的认证信息的设定变得容易。在没有在IoT设备与该IoT设备所利用的服务的服务提供商装置之间共享的认证信息的状况下，使能够与双方之间进行用于正当访问的认证的中介装置进行中介。例如，将作为IoT设备所具有的SIM的SIM认证的结果存储在中介装置和IoT设备中的加密密钥CK用作IoT设备使用各服务用的主密钥。然后，在中介装置和IoT设备中，根据主密钥生成IoT设备所利用的服务固有的应用密钥，通过安全连接从中介装置对服务提供商装置发送，由此对IoT设备和服务提供商装置设定公共的密钥作为认证信息。生成加密密钥的SIM认证的过程能够抑制非法请求对SQN的攻击。

Description

用于对认证信息的设定进行中介的装置及方法
技术领域
本发明涉及用于对认证信息的设定进行中介的装置及方法，更具体地，涉及对用于在IP网络上提供的服务的认证信息的设定进行中介的装置及方法。
背景技术
伴随着传感技术、通信技术的发展，与计算机网络连接的设备增加，所有物体都被网络化的Internet of Things这样的想法正在普及。以下，不限于因特网，将可直接或间接地与IP网络连接的设备称为“IoT设备”。
用于IoT设备的服务每天都在研究和开发，但是为了利用这些服务，需要在各IoT设备中以不被从外部盗取的形式安全地嵌入各服务固有的认证信息。
发明内容
发明要解决的问题
但是，如果要实现认证信息的安全嵌入，则会使IoT设备的设计和制造过程复杂化，增加成本，因此其引入不容易。今后，据说2020年与互联网连接的物体的数量将达到200亿个甚至1000亿个，并且设备数量越爆炸性地增长，其成本也越爆炸性地增大。
本发明是鉴于这样的问题而完成的，其第一目的在于提供一种使用于在IP网络上提供的服务的认证信息的设定容易的装置、方法及其程序。
本发明的第二目的在于提供一种可用于上述装置、方法及其程序的SIM认证过程。
解决问题的技术手段
为了实现这样的目的，本发明的第1方式是一种中介装置，其构成如下系统，该系统具备：在IP网络上提供服务的服务提供商装置、利用所述服务的IoT设备、以及对用于所述IoT设备与所述服务提供商装置之间的连接的认证信息的设定进行中介的中介装置，所述中介装置的特征在于，将在所述IoT设备所具有的SIM的认证过程中生成的、与密钥Id一起存储在所述IoT设备和所述中介装置中的加密密钥或者与其对应的密钥作为第一密钥，接收包含密钥Id和根据所述第一密钥计算出的签名的初始设定信息，根据能够通过所述密钥Id获取的所述第一密钥验证所述签名，基于所述第一密钥和随机数(ナンス)计算第二密钥，将所述第二密钥作为所述认证信息发送给所述服务提供商装置。
此外，本发明的第2方式的特征在于，在第1方式中，从所述服务提供商装置接收所述初始设定信息，其中，所述服务提供商装置从所述IoT设备接收到包含所述初始设定信息的初始设定请求。
另外，本发明的第3方式的特征在于，在第1或第2方式中，所述服务提供商装置具有用于与所述中介装置连接的凭证。
另外，本发明的第4方式的特征在于，在第3方式中，在发送所述第二密钥之前，进行使用了所述凭证的所述服务提供商装置的认证。
另外，本发明的第5方式的特征在于，在第1至第4的任一方式中，所述随机数由所述中介装置生成。
另外，本发明的第6方式的特征在于，在第1至第5的任一方式中，所述中介装置存在于能够通过所述SIM连接的蜂窝网络的核心网络内。
另外，本发明的第7方式的特征在于，在第6方式中，所述中介装置具有与存储在所述SIM中的秘密信息相同的秘密信息，在所述SIM的认证过程中根据所述秘密信息来计算所述加密密钥。
另外，本发明的第8方式的特征在于，在第1至第7的任一方式中，在所述SIM的所述认证过程中，进行基于由所述SIM生成的AUTS的、所述SIM和存储在所述中介装置中的SQN的再同步。
另外，本发明的第9方式是一种中介装置中的方法，该中介装置构成如下系统，该系统具备：在IP网络上提供服务的服务提供商装置、利用所述服务的IoT设备、和对用于所述IoT设备与所述服务提供商装置之间的连接的认证信息的设定进行中介的中介装置，所述中介装置中的方法的特征在于，包括：将在所述IoT设备具有的SIM的认证过程中生成的、与密钥Id一起存储在所述IoT设备和所述中介装置中的加密密钥或者与其对应的密钥作为第一密钥，接收包含密钥Id和根据所述第一密钥计算出的签名的初始设定信息的步骤；根据能够通过所述密钥Id获取的所述第一密钥来验证所述签名的步骤；基于所述第一密钥和随机数计算第二密钥的步骤；以及将所述第二密钥作为所述认证信息发送给所述服务提供商装置的步骤。
另外，本发明的第10方式是一种程序，用于使计算机执行中介装置中的方法，该中介装置构成如下系统，该系统具备：在IP网络上提供服务的服务提供商装置、利用所述服务的IoT设备、以及对用于所述IoT设备与所述服务提供商装置之间的连接的认证信息的设定进行中介的中介装置，所述程序的特征在于，所述方法包括：将在所述IoT设备具有的SIM的认证过程中生成的、与密钥Id一起存储在所述IoT设备和所述中介装置中的加密密钥或者与其对应的密钥作为第一密钥，接收包含密钥Id和根据所述第一密钥计算出的签名的初始设定信息的步骤；根据能够通过所述密钥Id获取的所述第一密钥验证所述签名的步骤；基于所述第一密钥和随机数计算第二密钥的步骤；以及将所述第二密钥作为所述认证信息发送给所述服务提供商装置的步骤。
发明的效果
根据本发明的一个方式，通过应用IoT设备所具有的SIM的认证过程，即使该IoT设备例如在出厂时不能与服务提供商装置之间共享认证信息，也容易在事后进行。
附图说明
图1是表示本发明的第1实施方式的、对用于在IP网络上提供的服务的认证信息的设定进行中介的装置的图。
图2是表示本发明的第1实施方式的对认证信息的设定进行中介的方法的概要的图。
图3是表示本发明的第1实施方式的对认证信息的设定进行中介的方法的一例的图。
图4是用于说明本发明第2实施方式的SIM认证过程的图。
具体实施方式
以下，参照附图详细说明本发明的实施方式。
(第1实施方式)
图1示出了根据本发明的第1实施方式的、对用于在IP网络上提供的服务的认证信息的设定进行中介的装置。装置100不仅可以通过蜂窝网络，还可以通过包含IP网络的其他计算机网络与IoT设备110进行通信，另外，还可以与提供IoT设备110利用的服务的服务提供商装置120通过IP网络进行通信。系统总体具备在IP网络上提供服务的服务提供商装置120、利用该服务的IoT设备110、以及对用于IoT设备110与服务提供商装置120之间的连接的认证信息的设定进行中介的装置100。
IoT设备110具有用于与蜂窝网络连接的SIM110-1，在SIM110-1中存储有IMSI等识别码以及K值等秘密信息。在本实施方式中，SIM110-1由装置100的运营者或其关联公司提供，其识别码和秘密信息也存储在装置100或可由装置100访问的存储介质或存储装置中。装置100通过使用该识别码和秘密信息的SIM认证过程来验证IoT设备110的可靠性。SIM认证可以与使用基于MILENAGE算法等的HLR/HSS的常规过程相同地进行，但是具有本发明的一些特定特征。这一点将在第二实施方式中叙述。
服务提供商装置120具有基于装置100的运营商通过某种方式形成的对服务提供商的信任的、用于与装置100通信的凭证。在此，所谓“凭证”是在以ID和密码为首的认证中使用的信息的总称。服务提供商能够通过公知的方法与装置100的运营者之间安全地进行凭证的共享，另一方面，在与IoT设备110之间，存在制造各个IoT设备110时的泄漏的危险，为了尽可能地抑制该危险，无法避免成本的增加。
在本发明中，在没有IoT设备110与服务提供商装置120之间共享的认证信息的状况下，通过使能够在双方之间进行用于正当访问的认证的装置100作为中介装置来中介，能够远程地容易地设定认证信息，加速IoT系统的实用的普及。
更具体地，在本实施例中，将作为SIM认证的结果而存储在装置100和IoT设备110中的加密密钥(cipher key)CK或与其对应的密钥作为IoT设备110使用各种服务用的主密钥(父密钥)。然后，在装置100以及IoT设备110中，根据主密钥生成IoT设备110利用的服务固有的应用密钥(确定了用途的密钥)，通过从装置100经由安全的连接对服务提供商装置120发送应用密钥，从而能够对IoT设备110以及服务提供商装置120设定公共的密钥作为认证信息。
在本实施方式中，以加密密钥CK为例进行说明，但也可以考虑将作为SIM认证的结果而存储在装置100和IoT设备110中的完整性保证密钥(integrity key)IK或与其对应的密钥作为主密钥。在本说明书中，可以将完整性密钥定位为对应于加密密钥的密钥的一例。
装置100存在于蜂窝网络的核心网络内，可以是MNO(移动通信运营商)的通信装置，此外也可以是与MNO的通信基础设施连接而提供无线通信服务的方式的MVNO(虚拟移动通信运营商)的通信装置，SIM110-1可以是由MNO或MVNO提供的SIM卡。
在MNO和MVNO之间，存在提供MVNO进行顺利的业务用的支持服务的MVNE(虚拟移动通信服务提供商)，并且MVNE可以具有与MNO的通信基础设施连接而提供无线通信服务用的通信基础设施。在这种情况下，装置100可以是MVNE的通信设备，而SIM110-1可以是由MVNE提供的SIM卡。
装置100的全部或部分也可以是云或公共云或私有云上的虚拟机实例。这里，在本说明书中，“云”是指能够根据需要在网络上动态地配置并提供CPU、内存、存储器、网络带宽等计算资源的系统。例如，可以通过AWS等利用云。另外，“公共云”是指多个租户可利用的云。
IoT设备110所具有的SIM110-1可以是物理SIM卡，但也可以是组装在IoT设备110中的半导体芯片(也称为“eSIM”。)，另外，还可以在IoT设备110的模块内的安全区域中安装软件，在该软件中存储识别码和秘密信息，IoT设备110保持SIM认证所需的值和程序的方式可以想到各种各样的。
图2示出了本实施方式的对认证信息的设定进行中介的方法的概要。首先，IoT设备110对服务提供商装置120发送自举请求(初始设定请求)(未图示)。应该进行的初始设定中包含用于利用服务的应用密钥在IoT设备110以及服务提供商装置120中的设定，还可以包含IoT设备110在利用服务时的连接所需要的连接信息的设定。
可以将自举代理安装在IoT设备110中，作为用于自举请求的软件或程序，并且在IoT设备110的首次电源ON时启动该代理并且发送自举请求，或者响应于如下所述设定的认证信息的有效期的到期而发送自举请求。
关于初始设定请求的发送目的地，例如可以在IoT设备110中安装用于可在IoT设备110中利用的服务的一个或多个客户端软件，并分别存储在该软件内，或者存储用于可在IoT设备110中利用的服务的初始设定请求的一个或多个发送目的地的一览，IoT设备110的管理者可以从中介装置100的面向使用者的控制台直接或间接地指定。尽管自举代理和客户端软件不一定必须是单独的程序，但是在本实施例中，自举代理能够获取初始设定请求的发送目的地。
初始设置请求包括用于确定主密钥(也称“第一密钥”。)的密钥Id(密钥Id)作为初始设定信息，并且附加有基于主密钥和根据需要添加的时间戳的签名。在签名的生成中使用时间戳的情况下，在初始设定信息中也包含时间戳。这一点稍后将会进行描述，在SIM认证过程中，当在装置100和IoT设备110中存储所生成的主密钥时，还可以生成密钥Id，并将它们彼此相关联地存储。
接着，装置100从服务提供商装置120接收初始设定信息(S201)。装置100对发送来初始设定信息的服务提供商装置120进行认证(S202)，在认证结果为肯定的情况下，根据密钥Id获取主密钥来进行签名的验证(S203)。也可以使服务提供商装置120的认证和签名的认证的顺序相反。
然后，装置100生成随机数，并且基于主密钥和该随机数计算应用密钥(也称为“第二密钥”)(S204)。然后，将该应用密钥以及该随机数发送给服务提供器装置120(S205)。如在下文中进一步描述的那样，IoT设备110可以接收来自服务提供商装置120的随机数，并使用该随机数，通过与装置100相同的算法来计算应用密钥，从而IoT设备110和服务提供商装置120都可以将公共密钥设定为认证信息。
这里，随机数的生成由装置100进行，也可以考虑由服务提供商装置120或IoT设备110进行，进行所需的收发。在由服务提供商装置120或IoT设备110进行随机数生成的情况下，由于考虑到中介装置100的管理未必周到，所以有可能生成简单的随机数，这样一来，虽然希望对不同的服务生成不同的应用密钥，但是会成为相同的应用密钥，或者攻击者能够推定随机数的生成逻辑。
中介装置100具备通信接口等通信部101-1、处理器、CPU等处理部101-2、以及包含存储器、硬盘等存储装置或存储介质的存储部101-3，通过在处理部101-2中执行存储在存储部101-3或可从中介装置100访问的存储装置或存储介质中的用于进行上述及后述的各处理的程序，能够实现以下所述的各处理。如图1所示，中介装置100可以根据处理内容分离为第一装置101和第二装置102，但也可以将它们设为单一的装置，还可以进一步分离。对于其他的设备，也能够通过同样的硬件来实现。在各装置中执行的程序可以包括一个或多个程序，并且可以记录在计算机可读存储介质上，作为非瞬时性的程序产品。
图3表示本实施方式的对认证信息的设定进行中介的方法的具体例。首先，IoT设备110将密钥Id等初始设定信息发送到由“example.com/v1/path/to/something/”指定的服务提供商装置120的发送目的地，进行初始设定请求。在图3中示出了{keyId}等参数，但未图示所收发的所有参数。
服务提供商装置120根据接收到的初始设定信息，对装置100进行应用密钥的生成请求。在装置100中，进行初始设定信息中包含的签名的验证、服务提供商装置120的认证、以及根据需要确认有无对服务提供商装置120所指定的密钥Id的访问权限，其顺序可变。装置100可以向各服务提供商提供凭证，并且可以将各服务提供商能够提供服务的主密钥或其Id设定为访问权限。更详细地说，可以考虑在第2实施方式中说明的指定AUTS的SIM认证请求中，指定能够访问作为该认证的结果而生成的主密钥或其密钥Id的1个或服务或服务提供商。
例如，签名可以是对于连结主密钥和根据需要添加的时间戳而获得的值的哈希值或摘要值，并且可以在装置100中进行同样的计算，基于哈希值或摘要值的匹配或不匹配来验证签名。作为用于获得哈希值的哈希函数，可以举出SHA-256作为一例。
然后，装置100生成计算应用密钥所需的随机数。随机数例如为[23、130、4、247、……]这样的由随机数或伪随机数生成的数字串。接着，使用生成的随机数和能够通过接收的密钥Id获取的主密钥，进行应用密钥的计算。作为具体例，可以是对于将这些值连结后所得的值的哈希值。该应用密钥通过装置100和服务提供商装置120之间的安全的通信路径被发送到服务提供商装置120。
服务提供商装置120将接收到的应用密钥设定为认证信息，并且对IoT设备110发送用于IoT设备110利用服务的连接信息，接收到该信息的IoT设备110进行需要的设定。连接信息可以包括连接目的地信息，例如连接目的地的URL或IP地址。此外，在服务提供商装置120中，如果除了应用密钥的设定以外还有必要的设定，则也进行。另外，在本实施方式中，在连接信息中包含上述随机数。IoT设备110使用接收到的随机数，自己计算与在服务提供商装置120中设定的应用密钥相同的应用密钥。
作为一例，在安装了用于IoT设备110中利用的服务的客户端软件的情况下，则可以通过该软件读取用于该服务的连接信息，使得IoT设备110可以自动地使用该服务。此时，该软件可以进行使用应用密钥的通信。
IoT设备110具有必要的通信功能，并且可以是能够执行SIM认证和初始设定的任何设备，为此，可以执行诸如C、Java(注册商标)等编程语言的软件。也可以以包装(ラップ)C的安装的形式使用不同的编程语言(Ruby、Go、Javascript(注册商标)等)进行扩展。例如，可以是安装了Linux(注册商标)、Android(注册商标)等OS的设备。
注意，如果没有记载“仅基于××”、“仅根据××”和“仅在××的情况下”，则在本说明书中也可以考虑附加信息。
另外，为了慎重起见，进行如下附带说明：在某些方法、程序、终端、装置、服务器或系统(以下称为“方法等”)中，即使有进行与本说明书中记述的动作不同的动作的方面，本发明的各方式也是以与本说明书中记述的动作的任一个相同的动作为对象的，与本说明书中记述的动作不同的动作的存在并不使该方法等在本发明的各方式的范围外。
(第2实施方式)
在第一实施方式中说明的中介装置100对IoT设备110所具有的SIM的SIM认证可以与使用了HLR/HSS的以往的过程同样地进行，但可以进行以下说明的改进。
如图1所示，中介装置100可以根据处理内容分为第一装置101和第二装置102，在本实施方式中，使第二装置102主要负责生成SIM认证所需的参数。这至少部分地对应于通信载波的AuC的功能。
在第二装置102中存储有保存在SIM110-1中的IMSI等识别码以及K值等秘密信息，还存储有在SIM110-1和第二装置102之间同步的SQN。SQN通常伴随着指定了IMSI等识别码的SIM认证请求，在SIM和AuC中同步地递增。
在第一实施例中提到的加密密钥CK的生成可以通过经由不限于蜂窝网络的计算机网络在IoT设备110和中介装置100或第二装置102之间的通信来执行，因此，由第二装置102管理的SQN由于来自以某种方式获得IMSI等识别码的不具有合法SIM的装置的非法请求而递增，从而偏离IoT设备110中的SQN。在本实施方式中，抑制这样的非法请求对SQN的攻击。
在图4中，将IoT设备110和IoT设备110所具有的SIM110-1表示为不同的要素。这是以将在IoT设备110中执行程序而进行的各处理、和该IoT设备110访问SIM110-1而在SIM110-1的内部进行的各处理区别为性质不同的处理为目的，但附带地说明，都可以视为在IoT设备110上进行的处理。在以IoT设备110为主语时，也可以理解为是指用于在IoT设备110上动作的SIM认证的程序。另外，在图4中，将第二装置102与第一装置101分开表示，但附带地说明，这也可以看作是在中介装置100上进行的处理。另外，以下参照图4进行说明，但附带地说明，图4并非图示所收发的所有参数。
首先，IoT设备110向SIM110-1请求IMSI。SIM110-1向IoT设备110返回IMSI的值。接收到IMSI的IoT设备110向第一装置101请求SIM认证。第一装置101向第二装置102请求生成包括AUTN、RAND、CK、IK和XRES的认证向量(authentication vector)。
为了抑制上述非法请求，该认证向量生成请求将SQN设定为无效值，使得基于SQN确定的AUTN成为使SIM认证失败的值。如果将SQN的值设定为0，则即使在对SIM110-1进行了一次SIM认证的情况下，SQN也不一致。另外，也可以不在第一装置101中指定SQN的无效值，而在第二装置102中指定，更详细地说，也可以指定低于存储在第二装置102中的正确的SQN的值。另外，参照本实施方式中的其目的，即使不生成认证向量整体，也能够仅生成以后的处理所需的AUTN、RAND等并返回给第一装置101。
接收到来自第二装置102的认证向量的第一装置101向IoT设备110发送AUTN和RAND，IoT设备110将AUTN和RAND传递给SIM110-1以请求密钥计算。由于SQN不一致，因此SIM110-1生成用于进行SQN的同步的Resync请求所需的AUTS，并将其提供给IoT设备110作为错误时的处理。IoT设备110指定IMSI、RAND和AUTS，并再次向第一装置101请求SIM认证。在此，AUTS是不知道存储在SIM110-1中的秘密信息就无法计算出的参数。
响应于AUTS和RAND的指定，第一装置101向第二装置102发送用于再同步的Resync请求。第二装置102指定以掩码的形式包含在AUTS中的SIM110-1的SQN，生成认证向量，返回第一装置101。第一装置101生成用于确定接收到的加密密钥CK的密钥Id，并将密钥Id与加密密钥CK相关联地存储。另外，XRES也与它们相关联地存储。
第一装置101将密钥Id、AUTN以及RAND发送到IoT设备110，IoT设备110对SIM110-1委托使用了AUTN以及RAND的密钥计算。在SIM110-1中，除了接收到的AUTN和RAND之外，还使用存储在自身的存储介质或存储装置中的秘密信息K来计算CK和RES，并传递给IoT设备110。
IoT设备110将密钥Id和RES发送到第一装置101以请求验证所生成的CK。在第一装置101中，根据密钥Id获取XRES并与接收到的RES进行比较，由此进行验证，在一致的情况下，对由密钥Id确定的CK设立已验证的标志。然后，第一装置101根据需要将SIM认证的成功响应与CK的有效期一起发送到IoT设备110，并且IoT设备110与密钥Id相关联地存储CK。此时，可以与IMSI相关联地存储CK。
在本实施例中，通过允许IoT设备110在随后的处理中使用CK或与其对应的密钥作为用于利用各种服务的主密钥，可以应用由SIM认证同意的密钥，而不频繁地发出SIM认证请求。
此外，在本实施例的SIM认证过程中，为了抑制来自不具有合法SIM的装置的非法SIM认证请求，特意使作为密钥计算的前提的SQN同步失败，并且触发需要仅能访问合法SIM的秘密信息的Resync。并且，通过以Resync成功为条件执行以后的过程，能够使上述非法攻击无效。
符号说明
100 中介装置
101 第一装置
101-1 通信部
101-2 处理部
101-3 存储部
102 第二装置
110 IoT设备
110-1 SIM
120 服务提供商装置。

Claims (12)

1.一种中介装置，其构成如下系统，该系统具备：在IP网络上提供服务的服务提供商装置、利用所述服务的IoT设备、以及对用于所述IoT设备与所述服务提供商装置之间的连接的认证信息的设定进行中介的中介装置，所述中介装置的特征在于，
从所述服务提供商装置接收包含密钥Id和基于第一密钥的签名的初始设定信息，所述第一密钥在所述IoT设备的SIM的认证过程中生成，与所述密钥Id一起存储在所述IoT设备以及所述中介装置中，其中，所述服务提供商装置从所述IoT设备接收到初始设定请求；
根据能够通过所述密钥Id获取的所述第一密钥来验证所述签名；
基于所述第一密钥计算第二密钥；以及
将所述第二密钥作为所述认证信息发送到所述服务提供商装置。
2.根据权利要求1所述的中介装置，其特征在于，
所述第二密钥进一步基于随机数计算。
3.根据权利要求1所述的中介装置，其特征在于，
所述第一密钥是加密密钥或与其对应的密钥。
4.根据权利要求1所述的中介装置，其特征在于，
所述初始设定请求包含所述初始设定信息。
5.根据权利要求1所述的中介装置，其特征在于，
所述服务提供商装置具有用于与所述中介装置连接的凭证。
6.根据权利要求1所述的中介装置，其特征在于，
所述服务提供商装置具有用于与所述中介装置连接的凭证，
在发送所述第二密钥之前，进行使用了所述凭证的所述服务提供商装置的认证。
7.根据权利要求2所述的中介装置，其特征在于，
所述随机数由所述中介装置生成。
8.根据权利要求1所述的中介装置，其特征在于，
所述中介装置存在于能够通过所述SIM连接的蜂窝网络的核心网络内。
9.根据权利要求3所述的中介装置，其特征在于，
存在于能够通过所述SIM连接的蜂窝网络的核心网络内，
所述中介装置与所述SIM共享秘密信息，
在所述SIM的认证过程中基于所述秘密信息来计算所述加密密钥。
10.根据权利要求1所述的中介装置，其特征在于，
在所述SIM的所述认证过程中，进行存储在所述SIM和所述中介装置中的SQN的再同步，所述再同步基于由所述SIM生成的AUTS。
11.一种中介装置中的方法，该中介装置构成如下系统，该系统具备：在IP网络上提供服务的服务提供商装置、利用所述服务的IoT设备、以及对用于所述IoT设备与所述服务提供商装置之间的连接的认证信息的设定进行中介的中介装置，所述中介装置中的方法的特征在于，包括：
从所述服务提供商装置接收包含密钥Id和基于第一密钥的签名的初始设定信息的步骤，其中，所述第一密钥在所述IoT设备的SIM的认证过程中生成，与所述密钥Id一起存储在所述IoT设备以及所述中介装置中，所述服务提供商装置从所述IoT设备接收到初始设定请求；
根据能够通过所述密钥Id获取的所述第一密钥来验证所述签名的步骤；
基于所述第一密钥计算第二密钥的步骤；以及
将所述第二密钥作为所述认证信息发送到所述服务提供商装置的步骤。
12.一种计算机可读存储介质，其上记录有程序，所述程序用于使计算机执行中介装置中的方法，该中介装置构成如下系统，该系统具备：在IP网络上提供服务的服务提供商装置、利用所述服务的IoT设备、以及对用于所述IoT设备与所述服务提供商装置之间的连接的认证信息的设定进行中介的中介装置，所述计算机可读存储介质的特征在于，
所述方法包括：
从所述服务提供商装置接收包含密钥Id和基于第一密钥的签名的初始设定信息的步骤，其中，所述第一密钥在所述IoT设备的SIM的认证过程中生成，与所述密钥Id一起存储在所述IoT设备以及所述中介装置中，所述服务提供商装置从所述IoT设备接收到初始设定请求；
根据能够通过所述密钥Id获取的所述第一密钥来验证所述签名的步骤；
基于所述第一密钥计算第二密钥的步骤；以及
将所述第二密钥作为所述认证信息发送到所述服务提供商装置的步骤。
CN201980056988.4A 2018-07-03 2019-07-02 用于对认证信息的设定进行中介的装置及方法 Active CN112640360B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2018127031A JP7185978B2 (ja) 2018-07-03 2018-07-03 認証情報の設定を仲介するための装置及び方法
JP2018-127031 2018-07-03
PCT/JP2019/026388 WO2020009129A1 (ja) 2018-07-03 2019-07-02 認証情報の設定を仲介するための装置及び方法

Publications (2)

Publication Number Publication Date
CN112640360A CN112640360A (zh) 2021-04-09
CN112640360B true CN112640360B (zh) 2024-04-26

Family

ID=69060891

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201980056988.4A Active CN112640360B (zh) 2018-07-03 2019-07-02 用于对认证信息的设定进行中介的装置及方法

Country Status (5)

Country Link
US (2) US11552938B2 (zh)
EP (1) EP3820078A4 (zh)
JP (2) JP7185978B2 (zh)
CN (1) CN112640360B (zh)
WO (1) WO2020009129A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7185978B2 (ja) * 2018-07-03 2022-12-08 株式会社ソラコム 認証情報の設定を仲介するための装置及び方法
JP6697038B2 (ja) * 2018-07-31 2020-05-20 日本電信電話株式会社 情報処理装置、検証方法および検証プログラム
US20230078765A1 (en) * 2021-09-14 2023-03-16 Aeris Communications, Inc. Method and system for automated secure device registration and provisioning over cellular or wireless network

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010128348A1 (en) * 2009-05-08 2010-11-11 Telefonaktiebolaget L M Ericsson (Publ) System and method of using a gaa/gba architecture as digital signature enabler
CN101951590A (zh) * 2010-09-03 2011-01-19 中兴通讯股份有限公司 认证方法、装置及系统
WO2016024893A1 (en) * 2014-08-15 2016-02-18 Telefonaktiebolaget L M Ericsson (Publ) Methods and nodes for mapping subscription to service user identity
GB2533348A (en) * 2014-12-17 2016-06-22 Arm Ip Ltd Management of relationships between a device and a service provider
WO2017130292A1 (ja) * 2016-01-26 2017-08-03 株式会社ソラコム サーバ、モバイル端末及びプログラム
CN107104932A (zh) * 2016-02-23 2017-08-29 中兴通讯股份有限公司 密钥更新方法、装置及系统
WO2017160227A1 (en) * 2016-03-18 2017-09-21 Huawei International Pte. Ltd. Method and system for key generation and service-based authentication in mobile network
WO2018010150A1 (zh) * 2016-07-14 2018-01-18 华为技术有限公司 一种认证方法和认证系统
CN107809411A (zh) * 2016-09-09 2018-03-16 华为技术有限公司 移动网络的认证方法、终端设备、服务器和网络认证实体

Family Cites Families (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100488280C (zh) * 2005-06-04 2009-05-13 华为技术有限公司 一种鉴权方法及相应的信息传递方法
US8688072B1 (en) * 2010-12-30 2014-04-01 Sprint Communications Company L.P. Agent notification triggered by network access failure
DE102012219618B4 (de) * 2012-10-26 2016-02-18 Bundesdruckerei Gmbh Verfahren zur Erzeugung eines Soft-Tokens, Computerprogrammprodukt und Dienst-Computersystem
US9858052B2 (en) * 2013-03-21 2018-01-02 Razer (Asia-Pacific) Pte. Ltd. Decentralized operating system
US9801044B2 (en) * 2014-05-13 2017-10-24 Samsung Electronics Co., Ltd. Apparatus and method for accessing wireless network
CN107077678A (zh) * 2014-09-30 2017-08-18 苹果公司 基于商家信息来推荐要使用的支付凭据
KR101634295B1 (ko) * 2014-12-16 2016-06-30 주식회사 윈스 IoT 보안을 위한 인증 서비스 제공 시스템 및 방법
KR102001753B1 (ko) * 2015-03-16 2019-10-01 콘비다 와이어리스, 엘엘씨 공개 키잉 메커니즘들을 사용한 서비스 계층에서의 종단간 인증
KR101959492B1 (ko) * 2015-03-22 2019-03-18 애플 인크. 모바일 디바이스에서의 사용자 인증 및 인간 의도 검증을 위한 방법 및 장치
US10230696B2 (en) * 2015-06-09 2019-03-12 Intel Corporation System, apparatus and method for managing lifecycle of secure publish-subscribe system
US9917824B2 (en) * 2015-12-14 2018-03-13 Afero, Inc. Apparatus and method for Internet of Things (IoT) authentication for a mass storage device
CN105704123B (zh) * 2016-01-08 2017-09-15 腾讯科技（深圳）有限公司 一种进行业务处理的方法、装置和系统
US11107071B2 (en) * 2016-02-01 2021-08-31 Apple Inc. Validating online access to secure device functionality
US10172000B2 (en) * 2016-03-17 2019-01-01 M2MD Technologies, Inc. Method and system for managing security keys for user and M2M devices in a wireless communication network environment
US10291477B1 (en) * 2016-06-06 2019-05-14 Amazon Technologies, Inc. Internet of things (IoT) device registration
US10887295B2 (en) * 2016-10-26 2021-01-05 Futurewei Technologies, Inc. System and method for massive IoT group authentication
JP6444359B2 (ja) * 2016-11-17 2018-12-26 Kddi株式会社 通信システム、通信装置、通信方法、及びプログラム
US10524119B2 (en) * 2016-11-23 2019-12-31 Afero, Inc. Apparatus and method for sharing credentials in an internet of things (IoT) system
US10452824B2 (en) * 2017-07-24 2019-10-22 Dell Products, Lp Method and apparatus for optimized access of security credentials via mobile edge-computing systems
US10194320B1 (en) * 2017-07-30 2019-01-29 Dell Products, Lp Method and apparatus for assignment of subscription electronic SIM credentials via local service brokers
KR102371986B1 (ko) * 2017-08-25 2022-03-08 삼성전자주식회사 전자 장치 및 전자 장치에 프로파일을 원격으로 제공하는 방법
US11582233B2 (en) * 2017-11-22 2023-02-14 Aeris Communications, Inc. Secure authentication of devices for Internet of Things
DE112017008311T5 (de) * 2017-12-29 2020-09-17 Intel Corporation Technologien zur internet-der-dinge-schlüsselverwaltung
EP3750272A4 (en) * 2018-02-06 2021-12-15 Nb Research Llc SYSTEM AND PROCEDURE FOR SECURING A RESOURCE
JP7185978B2 (ja) * 2018-07-03 2022-12-08 株式会社ソラコム 認証情報の設定を仲介するための装置及び方法
JP6609788B1 (ja) * 2018-10-01 2019-11-27 二村　憲人 情報通信機器、情報通信機器用認証プログラム及び認証方法
US11546755B2 (en) * 2019-01-04 2023-01-03 Hewlett Packard Enterprise Development Lp Centralized configurator server for DPP provisioning of enrollees in a network
US11316683B2 (en) * 2019-11-18 2022-04-26 Ciot Systems and methods for providing IoT security service using hardware security module
US11336635B2 (en) * 2019-11-18 2022-05-17 Ciot Systems and methods for authenticating device through IoT cloud using hardware security module
CN111355707B (zh) * 2020-02-12 2022-06-17 深圳市晨北科技有限公司 一种数据处理方法及相关设备
US20210314293A1 (en) * 2020-04-02 2021-10-07 Hewlett Packard Enterprise Development Lp Method and system for using tunnel extensible authentication protocol (teap) for self-sovereign identity based authentication
CN111585771B (zh) * 2020-05-20 2021-07-06 浙江大学 一种基于u2f物理令牌的物联网设备的集中式认证系统
US11664977B2 (en) * 2020-07-31 2023-05-30 T-Mobile Usa, Inc. Encryption key management for NB-IoT devices
US12089049B2 (en) * 2020-10-26 2024-09-10 Micron Technology, Inc. Virtual subscriber identification module and virtual smart card
US12095770B2 (en) * 2021-06-14 2024-09-17 Hewlett Packard Enterprise Development Lp Connecting internet of thing (IoT) devices to a wireless network

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010128348A1 (en) * 2009-05-08 2010-11-11 Telefonaktiebolaget L M Ericsson (Publ) System and method of using a gaa/gba architecture as digital signature enabler
CN101951590A (zh) * 2010-09-03 2011-01-19 中兴通讯股份有限公司 认证方法、装置及系统
WO2016024893A1 (en) * 2014-08-15 2016-02-18 Telefonaktiebolaget L M Ericsson (Publ) Methods and nodes for mapping subscription to service user identity
GB2533348A (en) * 2014-12-17 2016-06-22 Arm Ip Ltd Management of relationships between a device and a service provider
WO2017130292A1 (ja) * 2016-01-26 2017-08-03 株式会社ソラコム サーバ、モバイル端末及びプログラム
CN107104932A (zh) * 2016-02-23 2017-08-29 中兴通讯股份有限公司 密钥更新方法、装置及系统
WO2017160227A1 (en) * 2016-03-18 2017-09-21 Huawei International Pte. Ltd. Method and system for key generation and service-based authentication in mobile network
WO2018010150A1 (zh) * 2016-07-14 2018-01-18 华为技术有限公司 一种认证方法和认证系统
CN107809411A (zh) * 2016-09-09 2018-03-16 华为技术有限公司 移动网络的认证方法、终端设备、服务器和网络认证实体

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
Study on Security aspects of integration of Single Sign-On （SSO）frameworks with 3GPP operation-controlled resources and mechanisms；（Release 13）;Moblie Competence Center;《3GPP Draft；S3-142631_TR33895_RM,3RD Generation Partnership Project(3GPP)》;全文 *
混沌系统在3G安全中的应用;刘艳凤;《中国优秀硕士学位论文全文数据库 (信息科技辑)》;I136-764 *
面向物联网的身份认证和访问控制的研究;朱艳;《中国优秀硕士学位论文全文数据库 (信息科技辑)》;I138-965 *

Also Published As

Publication number Publication date
US11943213B2 (en) 2024-03-26
WO2020009129A1 (ja) 2020-01-09
EP3820078A4 (en) 2022-03-09
JP2020010099A (ja) 2020-01-16
CN112640360A (zh) 2021-04-09
JP2023015376A (ja) 2023-01-31
EP3820078A1 (en) 2021-05-12
JP7185978B2 (ja) 2022-12-08
US20210258295A1 (en) 2021-08-19
US20230094540A1 (en) 2023-03-30
US11552938B2 (en) 2023-01-10

Similar Documents

Publication Publication Date Title
CN109417545B (zh) 下载网络接入简档的方法、安全模块、移动终端和介质
JP4824813B2 (ja) アプリケーションの認証
US11336641B2 (en) Security enhanced technique of authentication protocol based on trusted execution environment
US7992193B2 (en) Method and apparatus to secure AAA protocol messages
CN112291064B (zh) 认证系统，注册及认证方法、装置，存储介质及电子设备
US11943213B2 (en) Device and method for mediating configuration of authentication information
CN104982053B (zh) 用于获得认证无线设备的永久身份的方法和网络节点
CN108809907B (zh) 一种证书请求消息发送方法、接收方法和装置
US10700854B2 (en) Resource management in a cellular network
US11296878B2 (en) Private key updating
CN112242976B (zh) 一种身份认证方法及装置
US12120522B2 (en) Provision of application level identity
US20210195418A1 (en) A technique for authenticating data transmitted over a cellular network
TW201717084A (zh) 用於ａｐｐ認證的被認證端、輔助認證端、認證端及ａｐｐ認證的系統和方法
CN102378165B (zh) 演进型节点b的身份认证方法及系统
US20230308266A1 (en) Method and System for Onboarding an IOT Device
KR20220107431A (ko) 하드웨어 보안 모듈을 이용한 인증 서버와 디바이스 간의 상호 인증 방법 및 이를 이용한 장치
CN114006696A (zh) 通信方法、装置、系统及计算机可读存储介质
CN114930325A (zh) 安全地对存储在终端的安全处理器中的通用应用进行多样化的方法
CN116711387A (zh) 利用边缘数据网络进行认证和授权的方法、设备和系统
CN117678255A (zh) 边缘启用器客户端标识认证过程
CN115967940A (zh) 网络切片鉴权认证方法和网络系统
CN116419220A (zh) 认证和/或密钥管理方法、第一设备、终端及通信设备
KR20150135715A (ko) 이동통신 시스템에서 사용자의 프라이버시를 보호하는 장치 및 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant