CN115022879B - 基于位置密钥的增强型北斗用户终端接入认证方法和系统 - Google Patents

基于位置密钥的增强型北斗用户终端接入认证方法和系统 Download PDF

Info

Publication number
CN115022879B
CN115022879B CN202210510722.6A CN202210510722A CN115022879B CN 115022879 B CN115022879 B CN 115022879B CN 202210510722 A CN202210510722 A CN 202210510722A CN 115022879 B CN115022879 B CN 115022879B
Authority
CN
China
Prior art keywords
user terminal
authentication
beidou
key
response value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210510722.6A
Other languages
English (en)
Other versions
CN115022879A (zh
Inventor
曹进
卜秋雨
高雨萌
李晖
马如慧
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xidian University
Original Assignee
Xidian University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xidian University filed Critical Xidian University
Priority to CN202210510722.6A priority Critical patent/CN115022879B/zh
Publication of CN115022879A publication Critical patent/CN115022879A/zh
Application granted granted Critical
Publication of CN115022879B publication Critical patent/CN115022879B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Radio Relay Systems (AREA)

Abstract

本发明公开了一种基于位置密钥的增强型北斗用户终端接入认证方法，包括：北斗指控中心根据用户终端的注册请求生成主密钥；用户终端根据主密钥生成加密密钥、位置密钥、终端侧第一消息验证码和第一认证向量；北斗指控中心对第一认证向量进行解密，计算中心侧第一消息验证码、中心侧第二消息验证码、第二认证向量和中心侧认证响应值；用户终端计算终端侧第二消息验证码、会话密钥和终端侧认证响应值；卫星将终端侧认证响应值与中心侧认证响应值进行比较，若相等，则用户终端与北斗指控中心使用会话密钥进行保密通信。本发明在接入认证过程中，仅需要少量哈希算法和对称加密算法即可完成用户终端、北斗导航系统、北斗指控中心之间的双向认证。

Description

基于位置密钥的增强型北斗用户终端接入认证方法和系统
技术领域
本发明属于通信信息安全技术领域，具体涉及一种基于位置密钥的增强型北斗用户终端接入认证方法和系统。
背景技术
随着地面通信技术的快速发展，人们对于未来的通信业务有了更高要求。作为地面通信网络的补充，卫星网络具有吞吐量大、恢复能力强、覆盖范围广的特点。利用卫星网络来保障用户终端在山区、远洋、荒漠等偏远地区地面通信网络不可用的地方安全接入，已经受到了国家的大力支持。
随着火箭回收和“一箭多发”的技术成熟，卫星的制造成本、发射成本具有显著性的下降，中低轨卫星逐渐成为信息通信的主要接入点。其中，北斗卫星导航系统是我国自主研制的全球卫星导航系统，是在继美国的GPS、俄罗斯的GLONASS之后的第三个成熟、独立的卫星导航系统。北斗卫星导航系统可以在全球范围内全天候、全天时为军民用户提供快速定位、实时导航、精密授时、位置报告、短信服务“五位一体”的服务功能，致力于构建一个全球移动互联信息网络。构建北斗卫星通信网络，有利于移动设备向高互联的方向迈进；有利于全球通信网络的高度融合；更是有利于推进中国的全球化国家战略部署。
近年来，卫星网络的用户终端接入认证协议逐渐成为研究人员的重点。然而卫星通信具有网络拓扑频繁变化、卫星节点计算和存储能力受限、传输时延大等特点，除此以外，天地一体化信息网络由于链路的高度开放性还容易受到敌手蓄意攻击和破坏，传统地面通信网络5GAKA、EAPAKA等接入认证协议不再适用于卫星网络。鉴于此，构建天地一体化信息网络的接入认证架构的重要性不言而喻。
Li等人提出了一种基于挑战应答的北斗接入认证机制。该协议除了传统的证书和随机数进行认证加密外，通过加入位置信息来避免假冒攻击，但该协议中大量的签名和验签操作会产生较大的计算开销；另外，针对用户终端的身份标识没有进行隐私保护，并不适合北斗卫星通信网络。Wu等人提出了一种基于SM9标识符密码的北斗安全传输协议。SM9标识符密码算法是将设备的标识作为公钥，避免了数字证书的过程，不需要CA的参与，使得认证系统容易管理，但是协议中采用非对称密码算法，计算较为复杂。Feng等人提出了一种适用于北斗导航系统的接入认证方案。该方案使用了ZUC对称密码算法，加密速度快，存储、计算开销小，较为适用于北斗通信领域中。但该协议未考虑用户终端身份的进行保护，容易泄露用户的隐私信息。Zhao等人提出了一种基于北斗通信网络的无人机接入认证协议，该协议使用轻量级哈希函数进行信令交互，计算开销小。然而在协议中并未考虑到当无人机被捕获时可能导致主密钥key泄露，攻击者可以通过终端直接接入北斗系统中。
综上，现有技术存在以下问题：(1)北斗卫星通信网络具有卫星节点资源受限、通信链路的开放性、通信时延大等特点，现有的接入认证方案通常计算过程复杂、交互轮数多，通信开销较为不合理，网络服务的效率难以得到保障。(2)用户终端很容易遭到捕获从而导致主密钥key泄露的安全问题，现有的方案不具有完美的前后向安全性，攻击者可以直接利用该北斗用户终端接入北斗系统。(3)在北斗卫星通信网络中，在接入认证的过程中并未对用户的身份标识信息、位置信息进行处理，不能满足用户隐私性的需要，从而带来不必要的安全问题。
发明内容
为了解决现有技术中存在的上述问题，本发明提供了一种基于位置密钥的增强型北斗用户终端接入认证方法和系统。本发明要解决的技术问题通过以下技术方案实现：
本发明的一个方面提供了一种基于位置密钥的增强型北斗用户终端接入认证方法，包括：
S1：北斗指控中心根据用户终端的注册请求生成用户终端的主密钥；
S2：所述用户终端根据所述主密钥生成加密密钥、位置密钥、终端侧第一消息验证码和第一认证向量并将所述第一认证向量发送至北斗导航系统的指定卫星；
S3：所述卫星将所述第一认证向量和自身的卫星标识发送至所述北斗指控中心；
S4：所述北斗指控中心对所述第一认证向量进行解密，计算中心侧第一消息验证码、中心侧第二消息验证码、第二认证向量和中心侧认证响应值并将第二认证向量和中心侧认证响应值发送至所述卫星；
S5：所述卫星将所述第二认证向量以及自身的卫星标识发送至所述用户终端；
S6：所述用户终端计算终端侧第二消息验证码、会话密钥和终端侧认证响应值，并将所述终端侧认证响应值发送至北斗导航系统的指定卫星；
S7：所述卫星将所述终端侧认证响应值与所述中心侧认证响应值进行比较，若相等，则所述用户终端与所述北斗指控中心使用所述会话密钥进行保密通信。
在本发明的一个实施例中，所述S1包括：
S11：获取用户终端的真实身份标识IDu和注册请求；
S12：根据所述注册请求生成第一随机数r和用户终端临时身份标识PIDu，并结合基础密钥K获得当前用户终端的主密钥key＝f(r||K)，其中，f(*)表示不带密钥的单向哈希函数；
S13：将所述用户终端临时身份标识PIDu和所述主密钥key分发至所述用户终端。
在本发明的一个实施例中，所述S2包括：
所述用户终端获取当前时间T1和当前位置信息Lu，生成第二随机数Nu，并结合自身的真实身份标识IDu、用户终端临时身份标识PIDu和主密钥key，生成加密密钥CK＝KDF(key,IDu||T1)和位置密钥AK＝KDF(key,PIDu||Nu||Lu)，终端侧第一消息验证码MAC1＝h(AK,PIDu||T1||Nu||Lu)和第一认证向量AV1＝PIDu||SM4(CK,Nu||Lu)||MAC1||T1，其中，KDF(*)表示密钥派生函数，h(*)表示带密钥的单向哈希函数，SM4(*)表示国密对称算法；
将所述第一认证向量AV1发送至所述北斗导航系统中的指定卫星。
在本发明的一个实施例中，所述S4包括：
S41：所述北斗指控中心检查时间戳T1的有效性，若有效，则根据用户终端的临时身份标识PIDu查找对应的真实身份标识IDu和主密钥key，计算解密密钥CK＝KDF(key,IDu||T1)；
S42：利用所述解密密钥CK对所述第一认证向量AV1中的国密对称算法SM4(CK,Nu||Lu)进行解密，获得解密后的第二随机数Nu以及用户终端的当前位置信息Lu；
S43：根据获得的第二随机数Nu以及用户终端的当前位置信息Lu，计算会话密钥、中心侧认证响应值XRES和第二认证向量，并将所述第二认证向量和所述中心侧认证响应值XRES发送至北斗导航系统中的指定卫星。
在本发明的一个实施例中，所述S42包括：
所述北斗指控中心将计算获得的用户终端的位置Lu与所述北斗指控中心监测到的位置信息Lu*进行对比，判断是否满足|Lu*-Lu|<ΔL，其中，ΔL表示预设的位置精度阈值，若满足，则根据所述第二随机数Nu和用户终端的当前位置信息Lu，计算位置密钥AK＝KDF(key,PIDu||Nu||Lu)和中心侧的第一消息验证码HMAC1＝h(AK,PIDu||T1||Nu||Lu)；
比较所述中心侧第一消息认证码HMAC1是否与接收到的终端侧第一消息验证码MAC1相等，若相等，则获取所述北斗指控中心的当前时间T2，生成第三随机数Ns并生成下次接入认证的临时身份标识PIDu'，计算获得临时身份保护序列会话密钥Sk＝f(IDu||Nu||Ns||Lu)、中心侧第二消息验证码HMAC2＝h(AK,PIDu||T2||Ns)、中心侧认证响应值XRES＝h(AK,Sk||Nu'||Ns||IDBDS)以及第二认证向量AV2＝PID*||Ns||HMAC2||T2；
将所述第二认证向量AV2和所述中心侧认证响应值XRES发送至所述北斗导航系统的指定卫星。
在本发明的一个实施例中，所述S6包括：
所述用户终端检查时间戳T2的有效性，若有效，则获得第三随机数Ns并计算所述下次认证的临时身份标识和终端侧第二消息认证码MAC2＝h(AK,PIDu||T2||Ns)，比较终端侧第二消息认证码MAC2是否与收到的中心侧第二消息验证码HMAC2相等，若相等，则所述用户终端计算获得会话密钥Sk＝f(IDu||Nu||Ns||Lu)、终端侧认证响应值RES＝h(AK,Sk||Nu||Ns||IDBDS)；
将所述终端侧认证响应值RES发送至北斗导航系统的指定卫星。
在本发明的一个实施例中，所述S7包括：
所述北斗导航系统的指定卫星将所述终端侧认证响应值RES和所述中心侧认证响应值XRES进行比较，若相等，则将认证成功的结果发送至北斗指控中心BDC；
所述北斗指控中心在收到认证成功的结果后使用会话密钥Sk与所述用户终端进行保密通信。
本发明的另一方面提供了一种基于位置密钥的增强型北斗用户终端接入认证系统，包括用户终端、北斗指控中心和北斗导航系统，用于执行上述实施例中任一项所述的基于位置密钥的增强型北斗用户终端接入认证方法。
与现有技术相比，本发明的有益效果在于：
1、本发明在接入认证过程中，仅需要少量哈希算法和对称加密算法就可以完成用户终端、北斗导航系统、北斗指控中心之间的双向认证。相较于其他采用非对称密码算法进行大量签名、验签操作具有良好计算开销与存储开销。因此，本轻量级方案总体来说适合资源受限的北斗卫星网络。
2、本发明创造性地提出了由用户终端的位置信息作为位置密钥进行消息验证码的校验。另外，因为用户终端的位置与北斗指控中心检测到的位置可能存在一定偏差而导致校验失败，为保证位置密钥的一致性，由加密密钥来加密用户终端的位置信息，以此完成实体之间的双向认证，解决了认证过程中由于被捕获而导致的主密钥key泄露的安全问题，增强认证的可靠性。
3、本发明在数据传输过程中，针对用户的隐私信息进行保护：UE的匿名性通过注册过程中生成的临时身份标识PIDu实现，并且在接入认证过程中重新生成新的临时身份标识PIDu'来保障后续的认证过程的不可链接性，通过临时身份保护序列增强了PIDu'的机密性；位置信息通过在接入认证过程中生成加密密钥CK进行处理，对于其他用户和敌手来说因为不持有正确IDu，所以无法解密获得用户终端的位置。
以下将结合附图及实施例对本发明做进一步详细说明。
附图说明
图1是本发明实施例提供的一种基于位置密钥的增强型北斗用户终端接入认证方法的流程图；
图2是本发明实施例提供的一种基于位置密钥的增强型北斗用户终端接入认证中密钥架构；
图3是本发明实施例提供的一种北斗用户终端注册过程示意图；
图4是本发明实施例提供的一种北斗用户终端的接入认证过程示意图；
图5是本发明实施例提供的基于位置密钥的增强型北斗用户终端接入认证系统的结构示意图。
具体实施方式
为了进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图及具体实施方式，对依据本发明提出的一种基于位置密钥的增强型北斗用户终端接入认证方法和系统进行详细说明。
有关本发明的前述及其他技术内容、特点及功效，在以下配合附图的具体实施方式详细说明中即可清楚地呈现。通过具体实施方式的说明，可对本发明为达成预定目的所采取的技术手段及功效进行更加深入且具体地了解，然而所附附图仅是提供参考与说明之用，并非用来对本发明的技术方案加以限制。
应当说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的物品或者设备中还存在另外的相同要素。
实施例一
请参见图1和图2，图1是本发明实施例提供的一种基于位置密钥的增强型北斗用户终端接入认证方法的流程图，图2是本发明实施例提供的一种基于位置密钥的增强型北斗用户终端接入认证中密钥架构。该方法包括以下步骤：
S1：北斗指控中心根据用户终端的注册请求生成用户终端的主密钥。
首先阐述本发明实施例中技术名词的含义：
用户段：用户终端(UE)，可以访问北斗卫星网络并获得相应的网络服务。
地面控制段：北斗指控中心(BDC)，负责北斗系统导航的运行控制，进行数据处理、提供实时观测数据等。
空间段：北斗导航系统(BDS)，由3颗地球静止轨道(GEO)卫星、3颗倾斜地球同步轨道(IGSO)卫星和24颗中圆地球轨道(MEO)卫星组成，负责用户终端和北斗指控中心之间的消息转发和处理。
在本实施例中，请参见图3，图3是本发明实施例提供的一种北斗用户终端注册过程示意图。所述步骤S1具体包括：
S11：获取用户终端的真实身份标识IDu和注册请求；
具体地，用户终端发送自身的真实身份标识IDu和注册请求至BDC。
S12：根据所述注册请求生成第一随机数r和用户终端临时身份标识PIDu，并结合基础密钥K获得当前用户终端的主密钥key＝f(r||K)，其中，f(*)表示不带密钥的单向哈希函数；
具体地，北斗指控中心BDC根据用户终端发送的注册请求生成一个随机数r，并且生成一个随机数作为用户终端的临时身份标识PIDu，结合北斗指控中心中存储的基础密钥K，获得用户终端的主密钥key＝f(r||K)，其中，f(*)为不带密钥的单向哈希函数。
S13：将所述用户终端临时身份标识PIDu和所述主密钥key分发至所述用户终端。
具体地，BDC保存用户终端的真实身份标识IDu、临时身份标识PIDu和主密钥key，并将用户终端的临时身份标识PIDu连同主密钥key分发至当前北斗用户终端。用户终端UE将收到的用户终端主密钥key写入密码模块。需要说明的是，所述密码模块是用户终端的存储密码模块，便于对密码进行保存和管理。
S2：所述用户终端根据所述主密钥生成加密密钥、位置密钥、终端侧第一消息验证码MAC1和第一认证向量并将所述第一认证向量发送至北斗导航系统的指定卫星；
具体地，请参见图4，图4是本发明实施例提供的一种北斗用户终端的接入认证过程示意图。用户终端获取当前时间T1和当前位置信息Lu，生成第二随机数Nu，结合自身的真实身份标识IDu、用户终端临时身份标识PIDu和主密钥key，计算生成加密密钥CK＝KDF(key,IDu||T1)、位置密钥AK＝KDF(key,PIDu||Nu||Lu)、终端侧第一消息验证码MAC1＝h(AK,PIDu||T1||Nu||Lu)和第一认证向量AV1＝PIDu||SM4(CK,Nu||Lu)||MAC1||T1，其中，KDF(*)表示密钥派生函数，h(*)表示带密钥的单向哈希函数，SM4(*)表示国密对称算法；
随后，将第一认证向量AV1发送至北斗导航系统BDS中的指定卫星。
S3：所述卫星将所述第一认证向量和自身的卫星标识发送至所述北斗指控中心；
具体地，BDS中的当前卫星收到第一认证向量AV1后，连同自身的卫星标识IDBDS发送至北斗指控中心BDC。
S4：所述北斗指控中心对所述第一认证向量进行解密，计算中心侧第一消息验证码HMAC1、中心侧第二消息验证码HMAC2、第二认证向量和中心侧认证响应值XRES并将第二认证向量和中心侧认证响应值XRES发送至所述卫星。
具体地，所述S4包括：
S41：所述北斗指控中心BDC检查时间戳T1的有效性，若有效，则根据用户终端的临时身份标识PIDu查找对应的真实用户标识符IDu和主密钥key，计算解密密钥CK＝KDF(key,IDu||T1)，其中，所述时间戳T1*表示北斗指控中心的当前时间(即接收信息的时间)与用户终端发送信息时间戳T1的差值。需要说明的是，在本实施例中，由于采用了对称加密的方式，因此加密密钥与解密密钥相同。
S42：利用所述解密密钥CK对所述第一认证向量AV1中的国密对称算法SM4(CK,Nu||Lu)进行解密，获得解密后的第二随机数Nu以及用户终端的当前位置信息Lu，需要注意的是，解密后的随机数Nu以及用户终端的当前位置信息Lu应该与用户终端生成的第二随机数Nu和位置信息Lu对应相等。
S43：根据获得的第二随机数Nu以及用户终端的当前位置信息Lu，计算会话密钥、中心侧认证响应值XRES和第二认证向量，并将所述第二认证向量和所述中心侧认证响应值XRES发送至北斗导航系统中的指定卫星。
具体地，将解密得到的用户终端的当前位置信息Lu与北斗指控中心监测到的位置信息Lu*进行对比，判断是否满足|Lu*-Lu|<ΔL，其中，ΔL表示预设的位置精度阈值，若满足，则根据解密后的第二随机数Nu以及用户终端的当前位置信息Lu，计算位置密钥AK＝KDF(key,PIDu||Nu||Lu)和中心侧第一消息验证码HMAC1＝h(AK,PIDu||T1||Nu||Lu)；
比较所述中心侧第一消息认证码HMAC1是否与接收到的所述终端侧第一消息验证码MAC1相等，若相等，则获取所述北斗指控中心的当前时间T2，生成第三随机数Ns并生成下次接入认证的临时身份标识PIDu'为后续认证过程提供保障，计算获得临时身份保护序列会话密钥Sk＝f(IDu||Nu||Ns||Lu)、中心侧第二消息验证码HMAC2＝h(AK,PIDu||T2||Ns)、中心侧认证响应值XRES＝h(AK,Sk||Nu'||Ns||IDBDS)以及第二认证向量AV2＝PID*||Ns||HMAC2||T2。其中，KDF(*)是密钥派生函数，f(*)表示不带密钥的单向哈希函数，用于保证消息的完整性；h(*)是带密钥的单向哈希函数，用于数据源发性认证和完整性校验；
将所述第二认证向量AV2和所述中心侧认证响应值XRES发送至所述北斗导航系统的指定卫星。
S5：所述卫星将所述第二认证向量AV2以及自身的卫星标识发送至所述用户终端。
具体地，北斗三号导航系统BDS的卫星在收到第二认证向量AV2和所述中心侧认证响应值XRES后，将第二认证向量AV2以及自身的卫星标识IDBDS发送至用户终端UE。
S6：所述用户终端计算终端侧第二消息验证码MAC2、会话密钥和终端侧认证响应值RES，并将所述终端侧认证响应值RES发送至北斗导航系统的指定卫星；
具体地，用户终端检查时间戳T2的有效性，若有效，则获得第三随机数Ns并计算所述下次临时身份标识和终端侧的第二消息认证码MAC2＝h(AK,PIDu||T2||Ns)，比较终端侧的第二消息认证码MAC2是否与收到的中心侧的第二消息验证码HMAC2相等，若相等，则所述用户终端计算获得会话密钥Sk＝f(IDu||Nu||Ns||Lu)、终端侧认证响应值RES＝h(AK,Sk||Nu||Ns||IDBDS)；将终端侧认证响应值RES发送至北斗导航系统的指定卫星，UE存储{Sk,PIDu'}。
S7：所述卫星将所述终端侧认证响应值RES与所述中心侧认证响应值XRES进行比较，若相等，则所述用户终端与所述北斗指控中心使用所述会话密钥进行保密通信。
具体地，BDS中的指定卫星收到终端侧认证响应值RES与中心侧认证响应值XRES进行比较，若相等，则将认证成功的结果发送至北斗指控中心BDC。随后，北斗指控中心BDC收到认证成功的结果，BDC存储{IDu,PIDu',Sk}，随后即可使用会话密钥Sk进行保密通信。需要说明的是，IDu为用户终端的真实身份标识，用于追踪用户终端的恶意行为。PIDu'表示下次认证的临时身份标识，保护用户的条件隐私性，Sk为会话密钥，用于进行后续会话保密通信。
进一步的，请参见图5，图5是本发明实施例提供的基于位置密钥的增强型北斗用户终端接入认证系统的结构示意图。本发明的另一方面还提供了一种基于位置密钥的增强型北斗用户终端接入认证系统，包括用户终端、北斗指控中心和北斗导航系统，用于执行上述实施例中所述的基于位置密钥的增强型北斗用户终端接入认证方法。
本发明在接入认证过程中，仅需要少量哈希算法和对称加密算法就可以完成用户终端、北斗导航系统、北斗指控中心之间的双向认证。相较于其他采用非对称密码算法进行大量签名、验签操作具有良好计算开销与存储开销。因此，本轻量级方案总体来说适合资源受限的北斗卫星网络。本发明实施例创造性地提出了由用户终端的位置信息作为位置密钥进行消息认证码的校验。另外，因为用户终端的位置与北斗指控中心检测到的位置可能存在一定偏差而导致校验失败，为保证位置密钥的一致性，由加密密钥来加密用户终端的位置信息，以此完成实体之间的双向认证，解决了认证过程中由于被捕获而导致的主密钥key泄露的安全问题，增强认证的可靠性。
本发明在数据传输过程中，针对用户的隐私信息进行保护：UE的匿名性通过注册过程中生成的临时身份标识PIDu实现，并且在接入认证过程中重新生成新的临时身份标识PIDu'来保障后续的认证过程的不可链接性，通过临时身份保护序列增强了PIDu'的机密性；位置信息通过在接入认证过程中生成加密密钥CK进行处理，对于其他用户和敌手来说因为不持有正确IDu，所以无法解密获得用户终端的位置。
本发明实施例的增强型北斗用户终端接入认证方法的安全性分析：
(1)双向认证：在上述北斗终端接入认证过程中，北斗用户终端和北斗指控中心可以进行双向的身份认证。北斗终端可以通过本地计算的MAC2和收到中心侧第二消息验证码HMAC2进行比较来鉴别北斗指控中心的身份；北斗指控中心通过本地计算的消息验证码HMAC1和收到终端侧第一消息验证码MAC1是否相等来鉴别北斗终端的身份；北斗导航系统，根据收到中心侧认证响应值XRES和终端侧认证响应值RES来鉴别北斗终端和北斗指控中心的身份，实现了三方实体的身份认证。
(2)条件隐私性：条件隐私性分为用户终端身份的匿名性和用户终端位置信息的机密性。UE的匿名性通过注册过程中生成的临时身份标识PIDu实现，并且在接入认证过程中重新生成新的临时身份标识PIDu'来保障下一次的终端接入认证过程；北斗导航系统BDS中不会存储用户的真实身份标识和临时身份标识的映射表，且单向哈希算法不能通过反向求解获得用户的真实身份。因此对于BDS以及其他用户或者敌手可以实现用户身份匿名性。位置信息的机密性通过在接入认证过程中生成加密密钥CK进行加解密，对于其他用户和敌手来说因为不持有正确IDu所以无法解密获得用户终端的位置。
(3)可追踪性：北斗指控中心BDC本地存储着与临时身份标识PIDu相对应的真实身份标识IDu，因此BDC可以获得用户的真实身份，实现用户终端恶意行为的可追踪性。
(4)抵抗重放攻击：在接入认证过程中，UE发送的第一认证向量AV1＝PIDu||SM4(CK,Nu||Lu)||MAC1||T1和BDC发送的第二认证向量AV2＝PID*||Ns||HMAC2||T2中加入时间戳，保证消息的不可重放性。另外，使用时间戳、随机数生成消息认证码和认证响应值，攻击者无法重放和篡改消息。
(5)抵抗中间人攻击：在本发明的方案中，攻击者无法获得用户终端的真实的身份标识IDu和主密钥key，因此，无法假冒其中一方与另一方进行通信，可以抵抗中间人攻击。
(6)前向后向安全：在本方案中，会产生新的随机数或者时间戳用于计算加密(解密)密钥、位置密钥、会话密钥，因此各密钥之间互相独立。即使攻击者获取了当前的密钥，也不能获得之前或者之后的密钥。因此，本方案可实现前后向安全。
以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (5)

1.一种基于位置密钥的增强型北斗用户终端接入认证方法，其特征在于，包括：
S1：北斗指控中心根据用户终端的注册请求生成用户终端的主密钥；
S2：所述用户终端根据所述主密钥生成加密密钥、位置密钥、终端侧第一消息验证码和第一认证向量并将所述第一认证向量发送至北斗导航系统的指定卫星；
S3：所述卫星将所述第一认证向量和自身的卫星标识发送至所述北斗指控中心；
S4：所述北斗指控中心对所述第一认证向量进行解密，计算中心侧第一消息验证码、中心侧第二消息验证码、第二认证向量和中心侧认证响应值并将第二认证向量和中心侧认证响应值发送至所述卫星；
S5：所述卫星将所述第二认证向量以及自身的卫星标识发送至所述用户终端；
S6：所述用户终端计算终端侧第二消息验证码、会话密钥和终端侧认证响应值，并将所述终端侧认证响应值发送至北斗导航系统的指定卫星；
S7：所述卫星将所述终端侧认证响应值与所述中心侧认证响应值进行比较，若相等，则所述用户终端与所述北斗指控中心使用所述会话密钥进行保密通信；
所述S2包括：
所述用户终端获取当前时间T1和当前位置信息Lu，生成第二随机数Nu，并结合自身的真实身份标识IDu、用户终端临时身份标识PIDu和主密钥key，生成加密密钥CK＝KDF(key,IDu||T1)和位置密钥AK＝KDF(key,PIDu||Nu||Lu)，终端侧第一消息验证码MAC1＝h(AK,PIDu||T1||Nu||Lu)和第一认证向量AV1＝PIDu||SM4(CK,Nu||Lu)||MAC1||T1，其中，KDF(*)表示密钥派生函数，h(*)表示带密钥的单向哈希函数，SM4(*)表示国密对称算法；
将所述第一认证向量AV1发送至所述北斗导航系统中的指定卫星；
所述S4包括：
S41：所述北斗指控中心检查时间戳T1的有效性，若有效，则根据用户终端的临时身份标识PIDu查找对应的真实身份标识IDu和主密钥key，计算解密密钥CK＝KDF(key，IDu||T1)；
S42：利用所述解密密钥CK对所述第一认证向量AV1中的国密对称算法SM4(CK，Nu||Lu)进行解密，获得解密后的第二随机数Nu以及用户终端的当前位置信息Lu；
S43：根据获得的第二随机数Nu以及用户终端的当前位置信息Lu，计算会话密钥、中心侧认证响应值XRES和第二认证向量，并将所述第二认证向量和所述中心侧认证响应值XRES发送至北斗导航系统中的指定卫星，
进一步地，所述S43包括：
所述北斗指控中心将计算获得的用户终端的位置Lu与所述北斗指控中心监测到的位置信息Lu*进行对比，判断是否满足|Lu*-Lu|＜ΔL，其中，ΔL表示预设的位置精度阈值，若满足，则根据所述第二随机数Nu和用户终端的当前位置信息Lu，计算位置密钥AK＝KDF(key，PIDu||Nu||Lu)和中心侧的第一消息验证码HMAC1＝h(AK，PIDu||T1||Nu||Lu)；
比较所述中心侧第一消息认证码HMAC1是否与接收到的终端侧第一消息验证码MAC1相等，若相等，则获取所述北斗指控中心的当前时间T2，生成第三随机数Ns并生成下次接入认证的临时身份标识PIDu′，计算获得临时身份保护序列会话密钥Sk＝f(IDu||Nu||Ns||Lu)、中心侧第二消息验证码HMAC2＝h(AK，PIDu||T2||Ns)、中心侧认证响应值XRES＝h(AK，Sk||Nu′||Ns|| IDBDS)以及第二认证向量AV2＝PID*||Ns|| HMAC2||T2；
将所述第二认证向量AV2和所述中心侧认证响应值XRES发送至所述北斗导航系统的指定卫星。
2.根据权利要求1所述的基于位置密钥的增强型北斗用户终端接入认证方法，其特征在于，所述S1包括：
S11：获取用户终端的真实身份标识IDu和注册请求；
S12：根据所述注册请求生成第一随机数r和用户终端临时身份标识PIDu，并结合基础密钥K获得当前用户终端的主密钥key＝f(r|| K)，其中，f(*)表示不带密钥的单向哈希函数；
S13：将所述用户终端临时身份标识PIDu和所述主密钥key分发至所述用户终端。
3.根据权利要求2所述的基于位置密钥的增强型北斗用户终端接入认证方法，其特征在于，所述S6包括：
所述用户终端检查时间戳T2的有效性，若有效，则获得第三随机数Ns并计算所述下次认证的临时身份标识和终端侧第二消息认证码MAC2＝h(AK，PIDu||T2||Ns)，比较终端侧第二消息认证码MAC2是否与收到的中心侧第二消息验证码HMAC2相等，若相等，则所述用户终端计算获得会话密钥Sk＝f(IDu||Nu||Ns||Lu)、终端侧认证响应值RES＝h(AK，Sk||Nu||Ns||IDBDS)；
将所述终端侧认证响应值RES发送至北斗导航系统的指定卫星。
4.根据权利要求3所述的基于位置密钥的增强型北斗用户终端接入认证方法，其特征在于，所述S7包括：
所述北斗导航系统的指定卫星将所述终端侧认证响应值RES和所述中心侧认证响应值XRES进行比较，若相等，则将认证成功的结果发送至北斗指控中心BDC；
所述北斗指控中心在收到认证成功的结果后使用会话密钥Sk与所述用户终端进行保密通信。
5.一种基于位置密钥的增强型北斗用户终端接入认证系统，其特征在于，包括用户终端、北斗指控中心和北斗导航系统，用于执行权利要求1至4中任一项所述的基于位置密钥的增强型北斗用户终端接入认证方法。
CN202210510722.6A 2022-05-11 2022-05-11 基于位置密钥的增强型北斗用户终端接入认证方法和系统 Active CN115022879B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210510722.6A CN115022879B (zh) 2022-05-11 2022-05-11 基于位置密钥的增强型北斗用户终端接入认证方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210510722.6A CN115022879B (zh) 2022-05-11 2022-05-11 基于位置密钥的增强型北斗用户终端接入认证方法和系统

Publications (2)

Publication Number Publication Date
CN115022879A CN115022879A (zh) 2022-09-06
CN115022879B true CN115022879B (zh) 2023-11-21

Family

ID=83068312

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210510722.6A Active CN115022879B (zh) 2022-05-11 2022-05-11 基于位置密钥的增强型北斗用户终端接入认证方法和系统

Country Status (1)

Country Link
CN (1) CN115022879B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116347433B (zh) * 2022-12-27 2024-05-28 中国电信股份有限公司卫星通信分公司 卫星终端通信方法、装置、非易失性存储介质及电子设备
CN116074811B (zh) * 2023-04-06 2023-07-21 深圳华大北斗科技股份有限公司 基于eSim的北斗短报文通信方法、装置及存储介质
CN116938321B (zh) * 2023-09-14 2023-11-24 成都本原星通科技有限公司 基于位置密钥低轨卫星抗量子接入认证的卫星通信方法
CN117376917B (zh) * 2023-12-05 2024-03-26 成都本原星通科技有限公司 一种基于格代理签密算法的卫星终端认证的卫星通信方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1767429A (zh) * 2004-10-29 2006-05-03 大唐移动通信设备有限公司 移动通信用户认证与密钥协商方法
JP2011041038A (ja) * 2009-08-12 2011-02-24 Hitachi Information & Control Solutions Ltd 秘匿された暗号コードを用いた位置情報認証方法および位置情報認証システム
CN105934688A (zh) * 2014-01-21 2016-09-07 株式会社电装 位置信息认证系统、位置测定终端以及位置信息获取装置
CN110488324A (zh) * 2019-09-03 2019-11-22 中国民航大学 基于信息认证的北斗二代民用信号抗欺骗方法
CN110971415A (zh) * 2019-12-13 2020-04-07 重庆邮电大学 一种天地一体化空间信息网络匿名接入认证方法及系统
CN111314056A (zh) * 2020-03-31 2020-06-19 四川九强通信科技有限公司 基于身份加密体制的天地一体化网络匿名接入认证方法
CN113132083A (zh) * 2021-04-02 2021-07-16 四川省计算机研究院 应用于北斗导航系统的安全认证系统、方法和装置
CN114172669A (zh) * 2022-02-15 2022-03-11 之江实验室 一种星地通信中融合时空特性双阶段安全接入认证方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1767429A (zh) * 2004-10-29 2006-05-03 大唐移动通信设备有限公司 移动通信用户认证与密钥协商方法
JP2011041038A (ja) * 2009-08-12 2011-02-24 Hitachi Information & Control Solutions Ltd 秘匿された暗号コードを用いた位置情報認証方法および位置情報認証システム
CN105934688A (zh) * 2014-01-21 2016-09-07 株式会社电装 位置信息认证系统、位置测定终端以及位置信息获取装置
CN110488324A (zh) * 2019-09-03 2019-11-22 中国民航大学 基于信息认证的北斗二代民用信号抗欺骗方法
CN110971415A (zh) * 2019-12-13 2020-04-07 重庆邮电大学 一种天地一体化空间信息网络匿名接入认证方法及系统
CN111314056A (zh) * 2020-03-31 2020-06-19 四川九强通信科技有限公司 基于身份加密体制的天地一体化网络匿名接入认证方法
CN113132083A (zh) * 2021-04-02 2021-07-16 四川省计算机研究院 应用于北斗导航系统的安全认证系统、方法和装置
CN114172669A (zh) * 2022-02-15 2022-03-11 之江实验室 一种星地通信中融合时空特性双阶段安全接入认证方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于标识认证和SM2算法的北斗终端接入认证协商协议;马军;黄慧;夏传福;张丽丽;;电子设计工程(第19期);全文 *

Also Published As

Publication number Publication date
CN115022879A (zh) 2022-09-06

Similar Documents

Publication Publication Date Title
CN115022879B (zh) 基于位置密钥的增强型北斗用户终端接入认证方法和系统
CN111371730B (zh) 边缘计算场景下支持异构终端匿名接入的轻量级认证方法
CN110971415B (zh) 一种天地一体化空间信息网络匿名接入认证方法及系统
Chaudhry et al. A lightweight authentication scheme for 6G-IoT enabled maritime transport system
US9509506B2 (en) Quantum key management
CN112039870B (zh) 基于区块链的面向隐私保护的车载网认证方法及系统
CN112953726B (zh) 融合双层卫星网络星地和星间组网认证方法、系统及应用
JP6452205B2 (ja) 衛星システムにおける鍵配布
US20170366342A1 (en) Protecting the Integrity of Log Entries in a Distributed System
Ostad-Sharif et al. Efficient utilization of elliptic curve cryptography in design of a three-factor authentication protocol for satellite communications
US9465582B1 (en) Significant random number generator
EP2856789B1 (en) Method for tracking a mobile device onto a remote displaying unit via a mobile switching center and a head-end
US20230032099A1 (en) Physical unclonable function based mutual authentication and key exchange
CN111212400B (zh) 基于秘密共享和移动终端的抗量子计算车联网系统及其认证方法
CN112564775A (zh) 一种基于区块链的空间信息网络访问控制系统与认证方法
Yoon et al. An efficient and secure anonymous authentication scheme for mobile satellite communication systems
CN108964895B (zh) 基于群组密钥池和改进Kerberos的User-to-User身份认证系统和方法
Ma et al. LAA: lattice-based access authentication scheme for IoT in space information networks
Karimi et al. Enhancing security and confidentiality in location-based data encryption algorithms
CN114339735B (zh) 一种基于ntru的天地一体化网络匿名接入认证方法
CN116318739A (zh) 一种电子数据交换方法及系统
CN116599653A (zh) 一种卫星通信网络动态安全管理方法、系统及存储介质
Li et al. Sustainable and round-optimized group authenticated key exchange in vehicle communication
Rahman et al. Man in the Middle Attack Prevention for edg-fog, mutual authentication scheme
CN113259091A (zh) 基于椭圆曲线密码的空间信息网络时钟异步安全认证方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant