CN115767539A

CN115767539A - 基于终端标识符更新的5g认证方法

Info

Publication number: CN115767539A
Application number: CN202211507278.9A
Authority: CN
Inventors: 王睿; 刘冬兰; 刘新; 张昊; 马雷; 张方哲; 孙莉莉; 陈剑飞; 李正浩; 王勇; 刘晗; 郭山清; 胡程瑜; 赵大伟; 徐丽娟; 姚洪磊; 于灏; 秦佳峰; 苏冰; 井俊双
Original assignee: Electric Power Research Institute of State Grid Shandong Electric Power Co Ltd
Current assignee: Electric Power Research Institute of State Grid Shandong Electric Power Co Ltd
Priority date: 2022-11-29
Filing date: 2022-11-29
Publication date: 2023-03-07

Abstract

本发明提供了一种基于终端标识符更新和新型可信计算技术的5G终端认证的方法，利用更新后的终端标识是否匹配来进行双向认证，且每次认证之后UE和HN保存的终端标识都要更新，可以抵抗重放攻击和链接攻击，在此基础上进一步结合区块链、可信执行环境等新型可信计算技术，实现分布式存储，具有更高的安全性和实用性。

Description

基于终端标识符更新的5G认证方法

技术领域

本发明属于5G蜂窝网络终端身份认证领域，尤其涉及一种基于终端标识符更新和可信执行环境的5G终端认证的方法与系统。

背景技术

3GPP发布的第五代移动通信系统的身份验证和密钥协议（5G-AKA）使用归属地网络（HN）的公钥加密终端用户（UE）的永久标识符（SUPI）来提高终端用户的隐私，通过认证序列号来抵抗重放攻击。然而，5G-AKA同步/异步场景下终端返回的响应信息不同，这很容易被攻击者利用进行链接攻击，从而暴露终端用户的部分隐私。另外，在5G-AKA认证过程中，终端用户通过服务网络（SN）与归属地网络HN进行双向认证，归属地网络HN使用一个集中式服务器执行认证过程，在这种情况下，可能会出现单点故障并增加通信延迟。

发明内容

本发明目的是提供了一种基于终端标识符更新的5G认证方法，能够保护5G网络部署免受单点故障、高通信延迟的影响。

本发明为实现上述目的，通过以下技术方案实现：

基于终端标识符更新的5G认证方法，终端设备与归属网络HN事先共享一个密钥K和若干消息认证码函数f₁、f₂以及单向哈希函数SHA256，包括步骤：

（1）注册阶段

终端设备UE与归属地网络HN共享密钥K和HN身份向量，利用密钥、随机数和用户标识SUPI计算用户首次认证时的身份向量ID_UE并存于UE和HN；

（2）认证阶段

获取终端设备UE中保存的身份向量并利用归属网络HN公钥加密，得到订阅隐藏标识符SUCI，利用SUCI向服务网络SN的安全锚定模块SEAF发送身份认证请求；

服务网络SN或归属地网络HN利用HN私钥解密SUCI，对ID_UE进行认证，如果认证通过，将挑战消息中的随机数R、鉴权向量AUTN发送至UE，所述挑战消息包括R、AUTN、预期响应的哈希值和锚定密钥KSEAF；

UE收到挑战消息后，对挑战消息进行验证，若验证通过，计算认证响应，并将认证响应发送给SN；

SN收到认证响应后，对认证响应进行验证，若验证通过，并将RES和SUCI发送给HN；

HN收到认证响应后，对认证响应进行验证，若验证通过，则HN认证UE通过。

优选的，认证通过后，归属地网络HN重新生成终端设备UE的身份向量。

更具体的，挑战消息的验证方式为，使用消息认证码MAC函数f₂，利用共享密钥K、随机数R计算掩码，从AUTN中恢复出标识，然后使用消息认证码MAC函数f₁，利用共享密钥K、随机数R以及ID_UE，计算新的终端标识，判断新的终端标识是否等于AUTN中恢复的标识，若不相等，则UE给出认证失败消息，若相等，则UE认证HN通过，使用消息认证码MAC函数f₂，利用共享密钥K、随机数R、SN标识SN_name和ID_{UE_new}计算认证响应RES*，并将RES*发送给SN。

挑战消息的一种生成方式为，在认证阶段HN在利用私钥解密SUCI后，HN选择新的随机数R，使用消息认证码MAC函数f₁，利用共享密钥K、随机数R，计算标识ID_{UE_new_hn2ue}，使用消息认证码MAC函数f₂，利用共享密钥K、随机数R、标识ID_{UE_new_hn2ue}得到AUTN；计算锚定密钥KSEAF；使用消息认证码MAC函数f₂，利用共享密钥K、随机数R、SN标识SN_name和ID_{UE_new_hn2ue}计算xRES*，计算R||xRES*的哈希值HXRES*，构造挑战消息（R、AUTN、HXRES*、KSEAF），HN将挑战消息发送给SN，SN将挑战消息中的R，AUTN转发给UE。

认证响应的一种验证方式为，判断R||RES*的哈希值是否等于HXRES*，如果不相等则认证失败，否则，SN认证UE通过，并将RES*和SUCI发送给HN；HN判断RES*是否等于xRES*，如果不相等则认证失败，否则HN认证UE通过。

优选的，注册阶段还为每一个用户配置了布谷鸟过滤器CF，用于快速查询认证信息中包含的IDUE是否已使用过；

认证阶段HN在利用私钥解密SUCI后，首先在CF中查询身份向量ID_UE是否已经使用过，如已使用过，则判定为重放攻击；如未被使用过，则判断ID_UE与HN保存的ID_UE是否相同，如果相同，则进行下一步ID_{UE_new_hn2ue}的计算；

HN重新生成身份向量方式为，UE更新ID_UE=ID_{UE_new_hn2ue}，HN将ID_UE写入布谷鸟过滤器CF，并更新ID_UE= ID_{UE_new_hn2ue}。

本发明还公开另一种认证方法，在注册阶段HN和SN部署区块链，SN部署可信执行环境，HN用自己的公钥对K||ID_UE加密得到SUCI’，HN选择随机数R，使用消息认证码MAC函数f₁，利用共享密钥K、随机数R，计算新的终端标识ID_{UE_new}=f₁(K,ID_UE||R)，使用消息认证码MAC函数f₁，利用共享密钥K、随机数R和ID_{UE_new}得到AUTN，并计算锚定密钥KSEAF，用消息认证码MAC函数f2，利用共享密钥K、随机数R、SN标识SN_name和ID_{UE_new}计算xRES，计算R||xRES的哈希值HXRES，构造认证向量AV=(R,AUTN,HXRES,KSEAF)，HN用自己的公钥加密AV得到CAV，并将SUCI’和CAV写入区块链，HN将自己的私钥放入SN的可信执行环境中密封保存；

在上述区块链部署的基础上，挑战消息的生成方式为，在认证阶段SEAF调用可信执行环境，在可信执行环境中使用HN私钥将SUCI解密为K||ID_UE，并利用ID_UE找到HN存储在区块链中的相应SUCI’和CAV，可信执行环境使用HN私钥将SUCI’解密为K_BC||ID_{UE_BC},将CAV解密为AV=(R,AUTN,HXRES,KSEAF)，可信执行环境比对K和K_BC以及ID_UE和ID_{UE_BC}，若均比对成功，则将R、AUTN发送给UE。

认证响应的验证方式为，判断R||RES*的哈希值是否等于HXRES，如果不相等则认证失败，否则，SN认证UE通过，并将RES*和SUCI发送给HN；HN判断R||RES*的哈希值是否等于HXRES，如果不相等则认证失败，否则HN认证UE通过。

HN重新生成身份向量方式为，UE更新IDUE=ID_{UE_new}，HN更新IDUE=ID_{UE_new}，并生成新的认证向量AV’，用自己的公钥加密后写入区块链。

在上述方法的基础上，优选认证阶段利用归属网络HN公钥和椭圆曲线加密算法ECIES加密，得到订阅隐藏标识符SUCI。

本发明的优点在于：

（1）每次认证完成后都会更新终端标识，且终端标识只有拥有共享密钥K的终端UE和HN可以计算，具有机密性，可以判断是否存在重放攻击，利用布谷鸟过滤器可以加快重放攻击识别的速度；

（2）无论是攻击者通过自己伪造信息还是重放某UE的中间认证数据来实施链接攻击，所有UE都会返回相同的错误信息，针对链接攻击，UE的表现都相同，攻击者无法成功进行链接攻击；

（3）相比于标准5G-AKA认证协议，需要传输的认证数据更少，认证过程中各方所需的计算量也更少，具有更高的通信效率；

（4）使用区块链存储认证凭证，将认证过程前移至服务网络SN，终端设备无需与归属网络HN频繁通信，减少了通信开销，同时保护5G网络部署免受单点故障和高通信延迟的影响。

（5）使用可信执行环境来密封归属网络HN的私钥信息，并在可信执行环境中利用HN的私钥进行解密，可以防止HN的私密数据泄露，认证向量被使用公钥加密后写入区块链，因此不必使用私有区块链，具有更高的实用性。

附图说明

图1是本发明实施例1的注册阶段完成后各参与方及其保存的数据示意图；

图2是本发明实施例1的认证阶段流程图；

图3是本发明实施例2的可信执行环境的功能结构图；

图4是本发明实施例2的基于终端标识符更新和可信执行环境的5G认证方法系统结构示意图；

图5是本发明实施例2的注册阶段各参与方操作示意图；

图6是本发明实施例2的认证阶段流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

实施例1

本实施例公开了一种基于终端标识符更新的5G认证方法，终端设备与归属网络HN事先共享一个密钥K和若干消息认证码函数f₁、f₂以及单向哈希函数SHA256，包括注册阶段和认证阶段。

（1）注册阶段

UE与HN共享密钥K、HN的标识ID_HN，令初始ID_UE为用户标识SUPI，HN选择随机数R₁，计算ID_UE=f₁(K,ID_UE||R₁)，UE将K、ID_UE、ID_HN写入UE安全环境，HN将K、ID_UE、ID_HN保存，HN为每一个用户设置一个布谷鸟过滤器（CF），用于快速查询认证信息中包含的IDUE是否已使用过。注册完成后，各参与方保存的数据如图1所示。

（2）认证阶段

UE、SN和HN的认证过程请参照图2：

步骤1、获取UE中保存的ID_UE，利用归属网络HN公钥和椭圆曲线加密算法ECIES对ID_UE加密，得到订阅隐藏标识符SUCI，利用SUCI向服务网络SN的安全锚定模块SEAF发送身份认证请求，以确保身份的机密性，SEAF将SUCI和服务网络名称SN_name发送给HN。

步骤2、HN利用其私钥解密SUCI得到用户当前标识，HN在CF中查询该用户当前标识是否已使用过，如已使用过，则判定为重放攻击报错；如未被使用过，则判断用户当前标识与HN保存的ID_UE是否相同。如相同，则HN选择随机数R₂，计算ID_{UE_new_hn2ue}= f₁(K,ID_UE||R₂)，AK=f₂(K,R₂)，AUTN=ID_{UE_new_hn2ue}⊕AK。HN生成挑战xRES*=f₂(K,R₂||SN_name||ID_{UE_new})，计算HXRES*=SHA256(R₂||xRES*)，锚定密钥KSEAF=KeySeed(K，R₂，ID_UE，SN_name)，并将挑战消息(R₂，AUTN, HXRES*, KSEAF)发送给SN。

步骤3、SN将R₂，AUTN转发给UE。

步骤4、UE计算AK=f₂(K,R₂)和新的终端标识ID_{UE_new}=AUTN⊕AK，判断ID_{UE_new}是否等于ID_{UE_new_hn2ue}=f₁(K,ID_UE||R2)，若不相等，则UE给出认证失败消息，若相等，则UE认证HN通过，计算RES*=f₂(K，R₂||SNname||ID_{UE_new_hn2ue}),并将RES*发送给SN。

步骤5、SN收到RES*后，判断SHA256(R₂||RES*)是否等于HXRES*，如果不相等则认证失败，否则，SN认证UE通过，并将RES*和SUCI发送给HN。

步骤6、HN判断RES*是否等于xRES*，如果不相等则认证失败，否则HN认证UE通过。

步骤7、认证通过后，UE更新IDUE=ID_{UE_new_hn2ue}，HN将IDUE写入布谷鸟过滤器CF，并更新ID_UE= ID_{UE_new_hn2ue}。

在具体实施中，可以使用任意的安全的公钥加密算法PKE的密钥生成算法来生成用于公钥加密的公私钥对。

实施例2

本实施例公开了一种基于终端标识符更新和新型可信计算技术的5G认证方法，终端设备与归属网络HN事先共享一个密钥K和若干消息认证码函数f₁、f₂以及单向哈希函数SHA256，包括注册阶段和认证阶段。

（1）注册阶段

HN和SN部署区块链，SN部署可信执行环境，可信执行环境的功能结构如图3所示，基于终端标识符更新和新型可信计算技术的5G认证方法的系统结构如图4所示，此处不多做赘述。

注册阶段各参与方所做的操作请参照图5，UE与HN共享密钥K、HN的标识ID_HN，令初始ID_UE为用户标识SUPI，HN选择随机数R₁，计算ID_UE=f₁(K,ID_UE||R₁)，UE将K、ID_UE、ID_HN写入UE安全环境，HN将K、ID_UE、ID_HN保存。

HN用自己的公钥和椭圆曲线加密算法ECIES对K||ID_UE加密得到SUCI’，HN选择随机数R₂，计算ID_{UE_new}=f₁(K,IDUE||R₂)，AK=f₂(K,R₂)，AUTN=ID_{UE_new}⊕AK，xRES=f₂(K，R₂||SN_name||IDUE_new), HXRES= SHA256(R₂||xRES)，KSEAF=KeySeed(K,R₂,ID_UE,SN_name)，构造认证向量AV=(R₂,AUTN,HXRES,KSEAF)，用自己的公钥加密AV得到CAV，并将SUCI’和CAV写入区块链，HN将自己的私钥放入SN的可信执行环境中密封保存。

（2）认证阶段

UE、SN和HN认证阶段的流程请参照图6：

步骤1、获取UE中保存的ID_UE，利用归属网络HN公钥和椭圆曲线加密算法ECIES对K||ID_UE加密，得到订阅隐藏标识符SUCI，利用SUCI向服务网络SN的安全锚定模块SEAF发送身份认证请求，以确保身份的机密性。SEAF调用可信执行环境，在可信执行环境中使用HN私钥将SUCI解密为K||ID_UE，并利用ID_UE找到HN存储在区块链中的相应SUCI’和CAV。可信执行环境使用HN私钥将SUCI’解密为K_BC||ID_{UE_BC},将CAV解密为AV=(R₂,AUTN,HXRES,KSEAF)。

步骤2、可信执行环境比对K和K_BC以及ID_UE和ID_{UE_BC},若均比对成功，则将(R₂，AUTN)发送给UE。

步骤3、UE计算AK=f₂(K,R₂)，ID_{UE_new}=AUTN⊕AK，判断ID_{UE_new}是否等于f₁(K,ID_UE||R₂)，若不相等，则UE给出认证失败消息，若相等，则UE认证SN/HN通过，计算RES* =f₂(K，R₂||SN_name||ID_{UE_new})，并将RES*发送给SN。

步骤4、SN的SEAF收到RES*后，判断SHA256(R₂||RES*)是否等于HXRES，如果不相等则认证失败，否则，SN认证UE通过，并将RES*和SUCI发送给HN。

步骤5、HN判断SHA256(R₂||RES*)是否等于HXRES，如果不相等则认证失败，否则HN认证UE通过。

步骤6、认证通过后，UE更新ID_UE=ID_{UE_new}，HN更新ID_UE=ID_{UE_new}，并生成新的认证向量AV，然后用自己的公钥加密后写入区块链。

在具体实施中，可以使用任意的安全的公钥加密算法PKE的密钥生成算法来生成用于公钥加密的公私钥对，区块链存储结构可以使用智能合约在以太坊上执行，也可以采用Hyperledger Fabric的数据隐私保护机制在Hyperledger Fabric执行。

可信执行环境可用SGX或任意的其他可信执行环境代替。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.基于终端标识符更新的5G认证方法，其特征在于，终端设备与归属网络HN事先共享一个密钥K和若干消息认证码函数f₁、f₂以及单向哈希函数SHA256，包括步骤：

（1）注册阶段

（2）认证阶段

2.根据权利要求1所述的基于终端标识符更新的5G认证方法，其特征在于，最后还包括步骤：所有认证通过后，归属地网络HN重新生成终端设备UE的身份向量。

3.根据权利要求2所述的基于终端标识符更新的5G认证方法，其特征在于，所述挑战消息的验证方式为，使用消息认证码MAC函数f₂，利用共享密钥K、随机数R计算掩码，从AUTN中恢复出标识，然后使用消息认证码MAC函数f₁，利用共享密钥K、随机数R以及ID_UE，计算新的终端标识，判断新的终端标识是否等于AUTN中恢复的标识，若不相等，则UE给出认证失败消息，若相等，则UE认证HN通过，使用消息认证码MAC函数f₂，利用共享密钥K、随机数R、SN标识SN_name和ID_{UE_new}计算认证响应RES*，并将RES*发送给SN。

4.根据权利要求3所述的基于终端标识符更新的5G认证方法，其特征在于，所述挑战消息的生成方式为，在认证阶段HN在利用私钥解密SUCI后，HN选择新的随机数R，使用消息认证码MAC函数f₁，利用共享密钥K、随机数R，计算标识ID_{UE_new_hn2ue}，使用消息认证码MAC函数f₂，利用共享密钥K、随机数R、标识ID_{UE_new_hn2ue}得到AUTN；计算锚定密钥KSEAF；使用消息认证码MAC函数f₂，利用共享密钥K、随机数R、SN标识SN_name和ID_{UE_new_hn2ue}计算xRES*，计算R||xRES*的哈希值HXRES*，构造挑战消息（R、AUTN、HXRES*、KSEAF），HN将挑战消息发送给SN，SN将挑战消息中的R，AUTN转发给UE。

5.根据权利要求4所述的基于终端标识符更新的5G认证方法，其特征在于，所述认证响应的验证方式为，判断R||RES*的哈希值是否等于HXRES*，如果不相等则认证失败，否则，SN认证UE通过，并将RES*和SUCI发送给HN；HN判断RES*是否等于xRES*，如果不相等则认证失败，否则HN认证UE通过。

6.根据权利要求4或5所述的基于终端标识符更新的5G认证方法，其特征在于，所述注册阶段还为每一个用户配置了布谷鸟过滤器CF；

所述认证阶段HN在利用私钥解密SUCI后，首先在CF中查询身份向量ID_UE是否已经使用过，如已使用过，则判定为重放攻击；如未被使用过，则判断ID_UE与HN保存的ID_UE是否相同，如果相同，则进行下一步ID_{UE_new_hn2ue}的计算；

所述HN重新生成身份向量方式为，UE更新ID_UE=ID_{UE_new_hn2ue}，HN将ID_UE写入布谷鸟过滤器CF，并更新ID_UE= ID_{UE_new_hn2ue}。

7.根据权利要求3所述的基于终端标识符更新的5G认证方法，其特征在于，所述注册阶段HN和SN部署区块链，SN部署可信执行环境，HN用自己的公钥对K||ID_UE加密得到SUCI’，HN选择随机数R，使用消息认证码MAC函数f₁，利用共享密钥K、随机数R，计算新的终端标识ID_{UE_new}=f₁(K,ID_UE||R)，使用消息认证码MAC函数f₁，利用共享密钥K、随机数R和ID_{UE_new}得到AUTN，并计算锚定密钥KSEAF，用消息认证码MAC函数f2，利用共享密钥K、随机数R、SN标识SN_name和ID_{UE_new}计算xRES，计算R||xRES的哈希值HXRES，构造认证向量AV=(R,AUTN,HXRES,KSEAF)，HN用自己的公钥加密AV得到CAV，并将SUCI’和CAV写入区块链，HN将自己的私钥放入SN的可信执行环境中密封保存；

所述挑战消息的生成方式为，在认证阶段SEAF调用可信执行环境，在可信执行环境中使用HN私钥将SUCI解密为K||ID_UE，并利用ID_UE找到HN存储在区块链中的相应SUCI’和CAV，可信执行环境使用HN私钥将SUCI’解密为K_BC||ID_{UE_BC},将CAV解密为AV=(R,AUTN,HXRES,KSEAF)，可信执行环境比对K和K_BC以及ID_UE和ID_{UE_BC}，若均比对成功，则将R、AUTN发送给UE。

8.根据权利要求7所述的基于终端标识符更新的5G认证方法，其特征在于，所述认证响应的验证方式为，判断R||RES*的哈希值是否等于HXRES，如果不相等则认证失败，否则，SN认证UE通过，并将RES*和SUCI发送给HN；HN判断R||RES*的哈希值是否等于HXRES，如果不相等则认证失败，否则HN认证UE通过。

9.根据权利要求7或8任一所述的基于终端标识符更新的5G认证方法，其特征在于，所述HN重新生成身份向量方式为，UE更新IDUE=ID_{UE_new}，HN更新IDUE=ID_{UE_new}，并生成新的认证向量AV’，用自己的公钥加密后写入区块链。

10.根据权利要求1所述的基于终端标识符更新的5G认证方法，其特征在于，所述认证阶段利用归属网络HN公钥和椭圆曲线加密算法ECIES加密，得到订阅隐藏标识符SUCI。