CN117082510A - 一种通信鉴权处理方法、装置及设备 - Google Patents

Abstract

本发明提供一种通信鉴权处理方法、装置及设备，涉及通信技术领域。该方法包括：在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。本发明的方案，实现卫星网络通信中对用户的身份鉴权，且鉴权和解密使用了同一密钥的两部分，保证了北斗卫星网络通信更高的安全性。

Description

一种通信鉴权处理方法、装置及设备

技术领域

本发明涉及通信技术领域，特别是指一种通信鉴权处理方法、装置及设备。

背景技术

目前，随着通信技术的发展，提出了卫星网络和移动通信网络混合覆盖的办法，以提高通信的覆盖范围。特别的，卫星网络可以为北斗三代卫星网络，移动终端接入北斗三代卫星网络，通过北斗三代卫星网络链接到移动网络。

其中，北斗三代卫星网络具有短报文收发能力，使得移动终端通过北斗卫星与其他移动终端用户收发短信，而为保证通信的安全性，需要对移动终端的身份进行鉴权。目前的移动通信中，广泛使用AKA用户鉴权，但该种鉴权方法中需要多次信令交互，而卫星通信受能力限制，采用该种鉴权方法会对有限的卫星空口资源造成冲击。

发明内容

本发明的目的是提供一种通信鉴权处理方法、装置及设备，实现卫星网络通信中对用户的身份鉴权，且鉴权和解密使用了同一密钥的两部分，保证了北斗卫星网络通信更高的安全性。

为达到上述目的，本发明的实施例提供一种通信鉴权处理方法，由北斗融合网关执行，包括：

在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；

根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；

根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；

根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。

可选的，所述获取终端对应的第一密钥之后，还包括：

对所述第一密钥进行拆解，得到第一预设位数的所述第一部分和第二预设位数的所述第二部分；

其中，所述第一密钥是所述北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的，所述第一预设位数和所述第二预设位数之和小于或等于所述第一密钥的位数。

可选的，所述根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码，包括：

将所述待解密报文的码流进行分组，得到第一分组和第二分组；

基于预设加密算法，对所述第一分组和所述第二分组分别采用对应的模式进行解密，得到第一鉴权码。

可选的，所述将所述待解密报文的码流进行分组，得到第一分组和第二分组，包括：

根据第三预设位数，将所述待解密报文的码流划分为一个或多个满足所述第三预设位数的第一分组，并将剩余未满足所述第三预设位数的部分确定为第二分组；

其中，所述第一分组解密采用的模式为密码分组链接模式；

所述第二分组解密采用的模式为密码反馈模式。

可选的，所述待解密报文是终端基于所述预设加密算法对所述第一鉴权码和第二信息加密后得到的，所述第二信息为第一预设信息或目标发送信息。

可选的，所述根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码，包括；

基于预设鉴权码生成算法，对所述第一信息和所述第一密钥的第二部分进行运算，得到结果信息；

在所述结果信息中，按照第四预设位数选取所述第二鉴权码；

其中，所述第一信息包括第三信息和/或辅助信息；

所述第三信息为第二预设信息或目标发送信息。

可选的，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

可选的，所述第一密钥是所述北斗融合网关根据接收到的第一请求消息，通过认证服务器BSF对所述终端进行认证，并在认证成功的情况下，存储的认证过程中从BSF获取到的密钥；

所述第一请求消息是所述终端发送的，且所述第一请求消息包括认证标识和认证信息。

为达到上述目的，本发明的实施例提供一种通信鉴权处理方法，由终端执行，包括：

根据第四信息和第二密钥的第二部分，生成第三鉴权码；

根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文；

通过卫星发送所述加密报文。

可选的，所述第二密钥为所述终端与北斗融合网关认证之后存储于所述终端中的；

其中，所述第二密钥的第一部分为所述第二密钥拆解的第一预设位数的部分；

所述第二密钥的第二部分为所述第二密钥拆解的第二预设位数的部分。

可选的，所述根据第四信息和第二密钥的第二部分，生成第三鉴权码，包括：

基于预设鉴权码生成算法，对所述第四信息和所述第二密钥的第二部分进行运算，得到结果信息；

在所述结果信息中，按照第四预设位数选取所述第三鉴权码；

其中，所述第四信息包括第六信息和/或辅助信息；

所述第六信息为第二预设信息或目标发送信息。

可选的，所述根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文，包括：

基于预设加密算法对所述第三鉴权码和第五信息加密；

其中，所述第五信息包括第一预设信息或目标发送信息；

其中，所述加密报文的码流在解密过程中，能够按照第三预设位数划分为一个或多个满足所述第三预设位数的第一分组，且若存在剩余未满足所述第三预设位数的部分，则确定为第二分组。

可选的，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

可选的，所述第二密钥是所述终端在发起与BSF的相互认证得到认证标识和密钥后，向所述北斗融合网关发送第一请求消息，并接收到所述北斗融合网关反馈的第一响应消息，且所述第一响应消息指示认证成功的情况下存储的、所得到的所述密钥；

其中，所述第一请求消息包括所述认证标识和认证信息。

为达到上述目的，本发明的实施例提供一种通信鉴权处理装置，包括：

获取模块，用于在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；

第一处理模块，用于根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；

第二处理模块，用于根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；

第三处理模块，用于根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。

可选的，所述装置还包括：

密钥处理模块，用于对所述第一密钥进行拆解，得到第一预设位数的所述第一部分和第二预设位数的所述第二部分；

其中，所述第一密钥是所述北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的，所述第一预设位数和所述第二预设位数之和小于或等于所述第一密钥的位数。

可选的，所述第一处理模块包括：

分组子模块，用于将所述待解密报文的码流进行分组，得到第一分组和第二分组；

解密子模块，用于基于预设加密算法，对所述第一分组和所述第二分组分别采用对应的模式进行解密，得到第一鉴权码。

可选的，所述分组子模块还用于：

根据第三预设位数，将所述待解密报文的码流划分为一个或多个满足所述第三预设位数的第一分组，并将剩余未满足所述第三预设位数的部分确定为第二分组；

其中，所述第一分组解密采用的模式为密码分组链接模式；

所述第二分组解密采用的模式为密码反馈模式。

可选的，所述待解密报文是终端基于所述预设加密算法对所述第一鉴权码和第二信息加密后得到的，所述第二信息为第一预设信息或目标发送信息。

可选的，所述第二处理模块包括；

第一处理子模块，用于基于预设鉴权码生成算法，对所述第一信息和所述第一密钥的第二部分进行运算，得到结果信息；

第二处理子模块，用于在所述结果信息中，按照第四预设位数选取所述第二鉴权码；

其中，所述第一信息包括第三信息和/或辅助信息；

所述第三信息为第二预设信息或目标发送信息。

可选的，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

可选的，所述第一密钥是所述北斗融合网关根据接收到的第一请求消息，通过认证服务器BSF对所述终端进行认证，并在认证成功的情况下，存储的认证过程中从BSF获取到的密钥；

所述第一请求消息是所述终端发送的，且所述第一请求消息包括认证标识和认证信息。

为达到上述目的，本发明的实施例提供一种通信鉴权处理装置，包括：

第四处理模块，用于根据第四信息和第二密钥的第二部分，生成第三鉴权码；

第五处理模块，用于根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文；

通信模块，用于通过卫星发送所述加密报文。

可选的，所述第二密钥为所述终端与北斗融合网关认证之后存储于所述终端中的；

其中，所述第二密钥的第一部分为所述第二密钥拆解的第一预设位数的部分；

所述第二密钥的第二部分为所述第二密钥拆解的第二预设位数的部分。

可选的，所述第四处理模块包括：

第三处理子模块，用于基于预设鉴权码生成算法，对所述第四信息和所述第二密钥的第二部分进行运算，得到结果信息；

第四处理子模块，用于在所述结果信息中，按照第四预设位数选取所述第三鉴权码；

其中，所述第四信息包括第六信息和/或辅助信息；

所述第六信息为第二预设信息或目标发送信息。

可选的，所述第五处理模块还用于：

基于预设加密算法对所述第三鉴权码和第五信息加密；

其中，所述第五信息包括第一预设信息或目标发送信息；

其中，所述加密报文的码流在解密过程中，能够按照第三预设位数划分为一个或多个满足所述第三预设位数的第一分组，且若存在剩余未满足所述第三预设位数的部分，则确定为第二分组。

可选的，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

可选的，所述第二密钥是所述终端在发起与BSF的相互认证得到认证标识和密钥后，向所述北斗融合网关发送第一请求消息，并接收到所述北斗融合网关反馈的第一响应消息，且所述第一响应消息指示认证成功的情况下存储的、所得到的所述密钥；

其中，所述第一请求消息包括所述认证标识和认证信息。

为达到上述目的，本发明的实施例提供一种通信设备，包括收发器、处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令；所述处理器执行所述程序或指令时实现如上所述的由北斗融合网关执行的通信鉴权处理方法，或者如上所述的由终端执行的通信鉴权处理方法。

为达到上述目的，本发明的实施例提供一种可读存储介质，其上存储有程序或指令，所述程序或指令被处理器执行时实现如上所述的由北斗融合网关执行的通信鉴权处理方法中的步骤，或者如上所述的由终端执行的通信鉴权处理方法中的步骤。

本发明的上述技术方案的有益效果如下：

本发明实施例的通信鉴权处理方法，针对接收到的卫星传输的待解密报文，首先获取终端(即该待解密报文的发送端)对应的第一密钥，之后，由该第一密钥的第一部分对待解密报文进行解密，且由第一密钥的第二部分以及该终端对应的第一信息生成第二鉴权码，最终通过第一鉴权码和第二鉴权码，可以实现对终端(主叫终端)的身份鉴权，且鉴权和解密使用了同一密钥的两部分，保证了北斗卫星网络通信更高的安全性。

附图说明

图1为本发明实施例提供的一种通信鉴权处理方法的流程示意图之一；

图2为本发明实施例提供的一种通信鉴权处理方法的流程示意图之二；

图3为本发明实施例提供的一种通信鉴权处理方法的流程示意图之三；

图4为本发明实施例提供的一种通信鉴权处理装置的流程示意图之一；

图5为本发明实施例提供的一种通信鉴权处理装置的流程示意图之二。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。在下面的描述中，提供诸如具体的配置和组件的特定细节仅仅是为了帮助全面理解本发明的实施例。因此，本领域技术人员应该清楚，可以对这里描述的实施例进行各种改变和修改而不脱离本发明的范围和精神。另外，为了清楚和简洁，省略了对已知功能和构造的描述。

应理解，说明书通篇中提到的“一个实施例”或“一实施例”意味着与实施例有关的特定特征、结构或特性包括在本发明的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。

在本发明的各种实施例中，应理解，下述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

应理解，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

在本发明所提供的实施例中，应理解，“与A相应的B”表示B与A相关联，根据A可以确定B。但还应理解，根据A确定B并不意味着仅仅根据A确定B，还可以根据A和/或其它信息确定B。

参见图1，本发明的一实施例提供了一种通信鉴权处理方法，由北斗融合网关执行，该北斗融合网关的一种示例为鉴权认证服务器，所述方法包括以下步骤：

步骤11：北斗融合网关在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；

步骤12：北斗融合网关根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；

步骤13：北斗融合网关根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；

步骤14：北斗融合网关根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。

本发明提供的通信鉴权处理方法，针对接收到的卫星传输的待解密报文，首先获取终端(即该待解密报文的发送端)对应的第一密钥，之后，由该第一密钥的第一部分对待解密报文进行解密，且由第一密钥的第二部分以及该终端对应的第一信息生成第二鉴权码，最终通过第一鉴权码和第二鉴权码，可以实现对终端(主叫终端)的身份鉴权。

如此，在第一终端(主叫终端)加密传输的目标发送信息后，通过卫星传输时，北斗融合网关应用上述方法，对用户进行身份鉴权。当然，该方法不限于卫星传输，还可以适用其他异网场景，在此不再赘述。

另外，该实施例的方法，鉴权码的生成以及待传输报文的解密虽采用不同的部分，都基于同一密钥，在密钥更新的同时，鉴权码的生成以及待传输报文的解密使用的部分自动更新，安全性更高。

这里，北斗融合网关也可称为鉴权解析服务器。

该实施例中，获取终端对应的第一密钥，具体是由终端的主叫号码信息查询得到。其中，第一终端作为通话主叫终端，主叫号码信息是用来表明第一终端的电话号码的信息。相应的，作为通话被叫终端的第二终端，被叫号码信息是用来表明第二终端的电话号码的信息。

接收的待解密报文和终端的主叫号码信息，是地面运控系统通过电文帧头捕获传输电文，并完成链路层解析，恢复出接收到的传输报文，将其中的待解密报文与主叫号码信息发送给北斗融合网关的。而传输电文是第一终端在生成第三鉴权码，并通过第二密钥的第一部分对第五信息和第三鉴权码加密得到加密报文后，利用加密报文与电文帧头(用于信号传输的捕获、消息类型指示等)、主叫号码信息与被叫号码信息以及其他所需要的信息(可选)组装成传输报文，并进行相应的通信编码等操作生成的，该传输电文适用于卫星信道传输。

在一种示例中，第一密钥的第一部分对所述待解密报文进行解密，除得到第一鉴权码之外，还可以得到其他信息，该其他信息也可以称之为解析目标信息，即对加密报文解析后得到的目标信息。

需要说明的是，对所述待解密报文进行解密所得的其他信息与第一终端发送给第二终端(被叫终端)的目标发送信息可能相同，也可能不同。目标发送信息也可以称之为待发送目标信息，即第一终端需要发送的目标信息。

在一种示例中，所述获取终端对应的第一密钥之后，还包括：

对所述第一密钥进行拆解，得到第一预设位数的所述第一部分和第二预设位数的所述第二部分；

其中，所述第一密钥是所述北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的，所述第一预设位数和所述第二预设位数之和小于或等于所述第一密钥的位数。

这里，第一密钥是所述北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的。而第二密钥是所述北斗融合网关与所述终端认证之后存储于所述终端中的。第一密钥与第二密钥相同。需要说明的是，在第一终端通过北斗卫星网络向第二终端发送目标发送信息之前，可以先与北斗融合网关进行认证。在第一终端与北斗融合网关认证成功之后，北斗融合网关中可以保存用于进行认证的第一密钥。如此，在第一终端通过北斗卫星网络向第二终端发送第二信息时，北斗融合网关可以根据第一终端的信息，如主叫号码信息，获取到对应的第一密钥，从而对第一终端设备进行鉴权认证。

可选地，所述第一密钥是所述北斗融合网关根据接收到的第一请求消息，通过认证服务器BSF对所述终端进行认证，并在认证成功的情况下，存储的认证过程中从BSF获取到的密钥；

所述第一请求消息是所述终端发送的，且所述第一请求消息包括认证标识和认证信息。

具体地，第一终端发起与认证服务器BSF的相互认证，得到认证标识和密钥；之后，第一终端通过第一请求消息将认证信息和认证标识发送给北斗融合网关，以使北斗融合网关基于认证信息和认证标识对第一终端进行认证。北斗融合网关会在认证通过后发送第一响应消息指示认证成功，如此，第一终端将会存储所得到的密钥，将其作为第一密钥用于鉴权认证。此时，第一密钥用于第一终端与北斗融合网关进行数据传输的安全保护。

还应该知道的是，该实施例中，第一预设位数和第二预设位数是预先设置的，如第一密钥Key0是256位的密钥，第一预设位数为n1(n1＝128)位，第二预设位数为n2(n2＝128)位。当然，还可以设置顺序，如第一部分是第一密钥的后128位，第二部分是第一密钥的前128位。

在一种示例中，所述根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码，包括：

将所述待解密报文的码流进行分组，得到第一分组和第二分组；

基于预设加密算法，对所述第一分组和所述第二分组分别采用对应的模式进行解密，得到第一鉴权码。

这里，待解密报文的码流可由接收到传输报文恢复出来，待解密报文的码流长度记为Nbit。在将待解密报文的码流分组得到第一分组和第二分组后，就能够基于预设加密算法，针对分组采用对应模式进行解密。

其中，所述将所述待解密报文的码流进行分组，得到第一分组和第二分组，包括：

根据第三预设位数，将所述待解密报文的码流划分为一个或多个满足所述第三预设位数的第一分组，并将剩余未满足所述第三预设位数的部分确定为第二分组；

其中，所述第一分组解密采用的模式为密码分组链接模式；

所述第二分组解密采用的模式为密码反馈模式。

这里，第三预设位数是预先设置的，如n0 bit。如此，对于长度为Nbit的待解密报文的码流，基于n0 bit划分得到一个或多个长度为n0 bit第一分组，对应该第一分组，可采用密码分组链接模式(CBC模式)解密，若N为n0的整数倍，待解密报文的码流将完整划分为一个或多个第一分组，不存在第二分组；否则，待解密报文的码流剩余未满足n0 bit的部分将作为第二分组，采用密码反馈模式(CFB模式)解密。

其中，预设加密算法可以为SM4算法。对于第一分组和第二分组均适用。一般而言，待解密报文解密后所得解密后报文，还需要恢复出其中的第一鉴权码和除第一鉴权码之外其他信息。恢复过程可以按照预先设置的鉴权码和其他信息的组合方式(例如，2ⁿ bit鉴权码(记为X0)后直接拼接目标发送信息比特位)对解密后报文进行同种模式的拆分，获取鉴权码’(记为X1)与解析的目标信息(记为S)。

在一种示例中，所述待解密报文是终端基于所述预设加密算法对所述第一鉴权码和第二信息加密后得到的，所述第二信息为第一预设信息或目标发送信息。

也就是说，终端生成第一鉴权码时，使用的第二信息可采用目标发送信息，也可以采用以预设的信息即第一预设信息。第一预设信息可称为认证参数信息，可以是第一终端与鉴权认证服务器协商确定的。

在一种示例中，所述根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码，包括；

基于预设鉴权码生成算法，对所述第一信息和所述第一密钥的第二部分进行运算，得到结果信息；

在所述结果信息中，按照第四预设位数选取所述第二鉴权码；

其中，所述第一信息包括第三信息和/或辅助信息；

所述第三信息为第二预设信息或目标发送信息。

这里，预设鉴权码生成算法可以是SM3算法。如此，按照上述步骤，北斗融合网关用SM3算法对第一信息和第一密钥的第二部分作摘要运算，得到结果信息后，进一步从结果信息中选取第四预设位数的信息即第二鉴权码。

由于第二鉴权码是用于认证对比的，第一信息与终端生成第三鉴权码使用的第四信息对应相同，如第四信息为第二预设信息，则第一信息为第二预设信息；第四信息为目标发送信息，则第一信息为目标发送信息；如第四信息为辅助信息，则第一信息为辅助信息；如第四信息为第二预设信息和辅助信息，则第一信息为第二预设信息和辅助信息；如第四信息为目标发送信息和辅助信息，则第一信息为目标发送信息和辅助信息。也就是说，北斗融合网关可以基于与终端协商预先设置的第二预设信息进行第二鉴权码的生成，也可以基于对待解密报文进行解密后所得的除第一鉴权码之外的信息进行第二鉴权码的生成。

当鉴权码生成约定采用目标发送信息，鉴权码加密同时也对目标发送信息加密，实现单次北斗短报文网络发送信息时同时解决用户身份认证及报文信息的通讯加密问题。

其中，所述辅助信息包括以下至少一项：时间参数信息；与SIM卡相关的参数信息。

与SIM卡相关的参数信息例如可以是所述第一终端的国际移动用户识别码(International Mobile Subscriber Identity，IMSI)、所述第一终端的集成电路卡识别码(Integrate circuit card identity，ICCID)。

辅助信息的获取，参照北斗融合网关对于辅助信息的要求及应用机制进行实现：例如可选取第一终端发送该目标发送信息的当前时刻值、从SIM卡中获取的IMSI、ICCID等参数中的一种或多种作为辅助信息。可选的，当北斗融合网关要求辅助信息包含第一终端发送目标发送信息的当前时刻值时，记录其时刻T0：例如第一终端可选取北斗标准时间，以单位分钟为尺度进行记录。可选的，当北斗融合网关要求辅助信息包含第一终端发送报文时当前使用SIM卡的IMSI、ICCID等值时，第一终端可以调用SIM卡相应接口，获取该信息。

可以了解的是，在鉴权码生成时加入辅助信息，如时间参数信息，可以通过比对时间了解是否为新消息重放，避免了消息重放的发生。当然，由于SM3算法的灵活性，辅助信息不限于上述内容。

例如，第一终端用SM3算法对第四信息(目标发送信息、消息发送时间、SIM卡相关的参数信息)及第二密钥的第二部分同时作摘要运算，得到y位的结果(y由系统给定)，取结果的前2ⁿ(n由系统给出，如n＝4)bit作第三鉴权码X0。北斗融合网关在根据明文的主叫号码查询到第一终端的第一密钥后，获取第一密钥的第二部分、第一信息(目标发送信息、消息接收时间所推算出的消息发送时间、SIM卡相关的参数信息)解密的同时能得出同样2ⁿbit数字，即第一鉴权码X1。而在北斗融合网关采用与第一终端生成第三鉴权码相同的方式生成第二鉴权码时，由于消息接收时间所推算出的消息发送时间可以是一时间范围，如[消息接收时间T0-t0，消息接收时间T0]，则生成的第二鉴权码X2可以是一个集合，记为鉴权码空间[X2-t0，X2]。如此，根据第一鉴权码和第二鉴权码进行鉴权，是将[X2-t0，X2]与鉴权码X1进行比对，如果一致，则鉴权成功，否则鉴权失败。

在一种示例中，北斗融合网关在根据第一鉴权码和第二鉴权码后，根据鉴权结果向终端发送响应报文，以告知鉴权结果。响应报文包括：鉴权认证成功和/或目标发送信息发送成功，或者，鉴权认证失败和/或目标发送信息发送失败。需要说明的是，北斗融合网关发送响应报文，终端在接收到响应报文之后，用户可以根据响应报文得知终端是否与北斗融合网关完成鉴权认证或者是否成功发送目标发送信息。在得知鉴权认证失败或者发送目标发送信息失败的情况下，用户可以通过第一终端重新发送目标发送信息或者重新发起与北斗融合网关的鉴权认证，以实现目标发送信息的发送。

地面运控系统捕获传输电文后，还可以知道被叫号码信息以及其他所需要的信息(可选)，并通过通信卫星转发至北斗融合网关。

例如，北斗融合网关在得到被叫号码信息的情况下，并且已对第一终端鉴权认证成功，则可以将目标发送信息发送给被叫号码信息对应的第二终端，从而第一终端与第二终端通过通信卫星实现了通信。

对于北斗融合网关向第一终端发送响应报文的流程与第一终端向北斗融合网关发送信息进行鉴权反向，流程一致，且由于北斗融合网关->终端的通道安全可控，故不需在考虑发送时间，其余流程均为对称性实现。

接下来参见图2，本发明的一实施例提供了一种通信鉴权处理方法，由终端执行，包括：

步骤21：终端根据第四信息和第二密钥的第二部分，生成第三鉴权码；

步骤22：终端根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文；

步骤23：终端通过卫星发送所述加密报文。

在一种示例中，所述第二密钥为所述终端与北斗融合网关认证之后存储于所述终端中的；

其中，所述第二密钥的第一部分为所述第二密钥拆解的第一预设位数的部分；

所述第二密钥的第二部分为所述第二密钥拆解的第二预设位数的部分。

这里，在使用第二密钥之前，可以对密钥进行校验。可选的校验方法是北斗融合网关要求的方法，以避免重放攻击。具体地，校验可以从终端的SIM卡中取IMSI信息，与终端中保存的第二密钥包含的IMSI参数信息进行对比。如果两个IMSI信息对比不一致，则不能使用此第二密钥，也就是校验失败。如果两个IMSI信息对比一致，则可以使用此第二密钥，也就是校验成功。

可选地，所述第二密钥是所述终端在发起与BSF的相互认证得到认证标识和密钥后，向所述北斗融合网关发送第一请求消息，并接收到所述北斗融合网关反馈的第一响应消息，且所述第一响应消息指示认证成功的情况下存储的、所得到的所述密钥；

其中，所述第一请求消息包括所述认证标识和认证信息。

在一种示例中，所述根据第四信息和第二密钥的第二部分，生成第三鉴权码，包括：

基于预设鉴权码生成算法，对所述第四信息和所述第二密钥的第二部分进行运算，得到结果信息；

在所述结果信息中，按照第四预设位数选取所述第三鉴权码；

其中，所述第四信息包括第六信息和/或辅助信息；

所述第六信息为第二预设信息或目标发送信息。

这里，第四信息与北斗融合网关生成第二鉴权码使用的第一信息相同。第六信息可以采用目标发送信息，也可以采用第二预设信息如认证参数信息，该认证参数信息可以是第一终端与鉴权认证服务器协商的。利用该认证参数信息、第二密钥以及预设鉴权码生成算法生成第三鉴权码，从而利用生成的第三鉴权码对第三信息进行拼接。

这里，预设鉴权码生成算法可以是SM3算法。如此，按照上述步骤，终端用SM3算法对第四信息和第二密钥的第二部分作摘要运算，得到结果信息后，进一步从结果信息中选取第四预设位数的信息即第三鉴权码。

在一种示例中，所述根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文，包括：

基于预设加密算法对所述第三鉴权码和第五信息加密；

其中，所述第五信息包括第一预设信息或目标发送信息；

其中，所述加密报文的码流在解密过程中，能够按照第三预设位数划分为一个或多个满足所述第三预设位数的第一分组，且若存在剩余未满足所述第三预设位数的部分，则确定为第二分组。

这里，第五信息同北斗融合网关实施例中第二信息，可采用目标发送信息，也可以采用以预设的信息即第一预设信息。第一预设信息可称为认证参数信息，可以是第一终端与鉴权认证服务器协商确定的。

在一种示例中，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

其中，与SIM卡相关的参数信息例如可以是所述第一终端的国际移动用户识别码IMSI、所述第一终端的集成电路卡识别码ICCID。

需要说明的是，终端加密和北斗融合网关解密为对称实现，终端生成鉴权码和北斗融合网关生成鉴权码采用相同的处理方式。

接下来如图3所示，介绍本发明实施例通信鉴权处理方法的应用。

第一步，第一终端基于预设鉴权码生成算法，由目标发送信息、辅助信息和第二密钥的第二部分生成第三鉴权码。具体内容如上所述，在此不再赘述。

下一步，第一终端基于预设加密算法对所述第二密钥的第一部分对目标发送信息和所述第三鉴权码进行加密，生成加密报文。

下一步，第一终端在该加密报文的基础上生成传输电文。具体地，将加密报文与电文帧头(用于信号传输的捕获、消息类型指示等)、主叫号码信息和被叫号码信息组装成传输报文，进行相应的通信编码等操作生成适用于卫星信道传输的传输电文。在组装传输报文时，也可以结合其它所需要的信息。

下一步，发送传输电文：通过通信卫星转发至地面运控系统(也可以称为运控设备)。

下一步，地面运控系统通过电文帧头捕获传输电文，并完成链路层解析，恢复出接收到的传输报文，将传输报文(待解密报文)与主叫号码信息、被叫号码信息、以及其它所需要的信息(可选)传输至北斗融合网关。

下一步，北斗融合网关根据主叫号码信息，获取对应第一密钥，并由第一密钥的第一部分对传输报文进行解密，得到第一鉴权码。其中，解密是基于预设加密算法进行，具体内容如上所述，在此不再赘述。当然，解密后还能够得到解析目标信息，即目标发送信息。

下一步，北斗融合网关基于预设鉴权码生成算法，由解析目标信息、辅助信息和第二密钥的第二部分生成第二鉴权码。具体内容如上所述，在此不再赘述。

下一步，北斗融合网关基于所述第一鉴权码和所述第二鉴权码，判断两者是否一致来确定终端是否鉴权成功。

本发明针对地面移动通信用户通过卫星接入移动网络的场景，提出了一种通信鉴权处理方法。即通过用户终端预先存储的已经过地面移动通信网络运营商认证通过的密钥，对用户在使用卫星网络接入时的用户身份鉴权认证的方案进行设计，实现了用户通过卫星发送单条上行报文即可同时完成鉴权与目标内容传输的功能。

接下来参见图4，基于与上述通信鉴权处理方法相同的技术构思，本发明的另一实施例提供了一种通信鉴权处理装置，应用于北斗融合网关，所述通信鉴权处理装置与所述通信鉴权处理方法所起的效果类似，此处不再赘述。所述通信鉴权处理装置包括：

获取模块41，用于在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；

第一处理模块42，用于根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；

第二处理模块43，用于根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；

第三处理模块44，用于根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。

可选的，所述装置还包括：

密钥处理模块，用于对所述第一密钥进行拆解，得到第一预设位数的所述第一部分和第二预设位数的所述第二部分；

其中，所述第一密钥是所述北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的，所述第一预设位数和所述第二预设位数之和小于或等于所述第一密钥的位数。

可选的，所述第一密钥是所述北斗融合网关根据接收到的第一请求消息，通过认证服务器BSF对所述终端进行认证，并在认证成功的情况下，存储的认证过程中从BSF获取到的密钥；

所述第一请求消息是所述终端发送的，且所述第一请求消息包括认证标识和认证信息。

可选的，所述第一处理模块包括：

分组子模块，用于将所述待解密报文的码流进行分组，得到第一分组和第二分组；

解密子模块，用于基于预设加密算法，对所述第一分组和所述第二分组分别采用对应的模式进行解密，得到第一鉴权码。

可选的，所述分组子模块还用于：

根据第三预设位数，将所述待解密报文的码流划分为一个或多个满足所述第三预设位数的第一分组，并将剩余未满足所述第三预设位数的部分确定为第二分组；

其中，所述第一分组解密采用的模式为密码分组链接模式；

所述第二分组解密采用的模式为密码反馈模式。

可选的，所述待解密报文是终端基于所述预设加密算法对所述第一鉴权码和第二信息加密后得到的，所述第二信息为第一预设信息或目标发送信息。

可选的，所述第二处理模块包括；

第一处理子模块，用于基于预设鉴权码生成算法，对所述第一信息和所述第一密钥的第二部分进行运算，得到结果信息；

第二处理子模块，用于在所述结果信息中，按照第四预设位数选取所述第二鉴权码；

其中，所述第一信息包括第三信息和/或辅助信息；

所述第三信息为第二预设信息或目标发送信息。

可选的，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

接下来参见图5，本发明的另一实施例提供了一种通信鉴权处理装置，包括：

第四处理模块51，用于根据第四信息和第二密钥的第二部分，生成第三鉴权码；

第五处理模块52，用于根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文；

通信模块53，用于通过卫星发送所述加密报文。

可选的，所述第二密钥为所述终端与北斗融合网关认证之后存储于所述终端中的；

其中，所述第二密钥的第一部分为所述第二密钥拆解的第一预设位数的部分；

所述第二密钥的第二部分为所述第二密钥拆解的第二预设位数的部分。

可选的，所述第二密钥是所述终端在发起与BSF的相互认证得到认证标识和密钥后，向所述北斗融合网关发送第一请求消息，并接收到所述北斗融合网关反馈的第一响应消息，且所述第一响应消息指示认证成功的情况下存储的、所得到的所述密钥；

其中，所述第一请求消息包括所述认证标识和认证信息。

可选的，所述第四处理模块包括：

第三处理子模块，用于基于预设鉴权码生成算法，对所述第四信息和所述第二密钥的第二部分进行运算，得到结果信息；

第四处理子模块，用于在所述结果信息中，按照第四预设位数选取所述第三鉴权码；

其中，所述第四信息包括第六信息和/或辅助信息；

所述第六信息为第二预设信息或目标发送信息。

可选的，所述第五处理模块还用于：

基于预设加密算法对所述第三鉴权码和第五信息加密；

其中，所述第五信息包括第一预设信息或目标发送信息；

其中，所述加密报文的码流在解密过程中，能够按照第三预设位数划分为一个或多个满足所述第三预设位数的第一分组，且若存在剩余未满足所述第三预设位数的部分，则确定为第二分组。

可选的，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

本发明另一实施例的一种通信设备，包括收发器、处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令；所述处理器执行所述程序或指令时实现如上所述的由北斗融合网关执行的通信鉴权处理方法，或者如上所述的由终端执行的通信鉴权处理方法。

本发明的再一实施例提供了一种计算机可读存储介质，所述计算机可读存储介质上存储计算机程序，所述计算机程序被处理器执行时，实现如上所述的通信鉴权处理方法的步骤。

此外，本发明可以在不同例子中重复参考数字和/或字母。这种重复是为了简化和清楚的目的，其本身不指示所讨论各种实施例和/或设置之间的关系。

还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (30)

1.一种通信鉴权处理方法，其特征在于，由北斗融合网关执行，包括：

在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；

根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；

根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；

根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。

2.根据权利要求1所述的方法，其特征在于，所述获取终端对应的第一密钥之后，还包括：

对所述第一密钥进行拆解，得到第一预设位数的所述第一部分和第二预设位数的所述第二部分；

其中，所述第一密钥是所述北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的，所述第一预设位数和所述第二预设位数之和小于或等于所述第一密钥的位数。

3.根据权利要求1或2所述的方法，其特征在于，所述根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码，包括：

将所述待解密报文的码流进行分组，得到第一分组和第二分组；

基于预设加密算法，对所述第一分组和所述第二分组分别采用对应的模式进行解密，得到第一鉴权码。

4.根据权利要求3所述的方法，其特征在于，所述将所述待解密报文的码流进行分组，得到第一分组和第二分组，包括：

根据第三预设位数，将所述待解密报文的码流划分为一个或多个满足所述第三预设位数的第一分组，并将剩余未满足所述第三预设位数的部分确定为第二分组；

其中，所述第一分组解密采用的模式为密码分组链接模式；

所述第二分组解密采用的模式为密码反馈模式。

5.根据权利要求3所述的方法，其特征在于，所述待解密报文是终端基于所述预设加密算法对所述第一鉴权码和第二信息加密后得到的，所述第二信息为第一预设信息或目标发送信息。

6.根据权利要求1或2所述的方法，其特征在于，所述根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码，包括；

基于预设鉴权码生成算法，对所述第一信息和所述第一密钥的第二部分进行运算，得到结果信息；

在所述结果信息中，按照第四预设位数选取所述第二鉴权码；

其中，所述第一信息包括第三信息和/或辅助信息；

所述第三信息为第二预设信息或目标发送信息。

7.根据权利要求6所述的方法，其特征在于，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

8.根据权利要求1或2所述的方法，其特征在于，所述第一密钥是所述北斗融合网关根据接收到的第一请求消息，通过认证服务器BSF对所述终端进行认证，并在认证成功的情况下，存储的认证过程中从BSF获取到的密钥；

所述第一请求消息是所述终端发送的，且所述第一请求消息包括认证标识和认证信息。

9.一种通信鉴权处理方法，其特征在于，由终端执行，包括：

根据第四信息和第二密钥的第二部分，生成第三鉴权码；

根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文；

通过卫星发送所述加密报文。

10.根据权利要求9所述的方法，其特征在于，所述第二密钥为所述终端与北斗融合网关认证之后存储于所述终端中的；

其中，所述第二密钥的第一部分为所述第二密钥拆解的第一预设位数的部分；

所述第二密钥的第二部分为所述第二密钥拆解的第二预设位数的部分。

11.根据权利要求9或10所述的方法，其特征在于，所述根据第四信息和第二密钥的第二部分，生成第三鉴权码，包括：

基于预设鉴权码生成算法，对所述第四信息和所述第二密钥的第二部分进行运算，得到结果信息；

在所述结果信息中，按照第四预设位数选取所述第三鉴权码；

其中，所述第四信息包括第六信息和/或辅助信息；

所述第六信息为第二预设信息或目标发送信息。

12.根据权利要求9所述的方法，其特征在于，所述根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文，包括：

基于预设加密算法对所述第三鉴权码和第五信息加密；

其中，所述第五信息包括第一预设信息或目标发送信息；

其中，所述加密报文的码流在解密过程中，能够按照第三预设位数划分为一个或多个满足所述第三预设位数的第一分组，且若存在剩余未满足所述第三预设位数的部分，则确定为第二分组。

13.根据权利要求11所述的方法，其特征在于，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

14.根据权利要求9或10所述的方法，其特征在于，所述第二密钥是所述终端在发起与BSF的相互认证得到认证标识和密钥后，向北斗融合网关发送第一请求消息，并接收到所述北斗融合网关反馈的第一响应消息，且所述第一响应消息指示认证成功的情况下存储的、所得到的所述密钥；

其中，所述第一请求消息包括所述认证标识和认证信息。

15.一种通信鉴权处理装置，其特征在于，包括：

获取模块，用于在接收到卫星传输的待解密报文的情况下，获取终端对应的第一密钥，所述终端为所述待解密报文的发送端；

第一处理模块，用于根据所述第一密钥的第一部分对所述待解密报文进行解密，得到第一鉴权码；

第二处理模块，用于根据所述终端对应的第一信息和所述第一密钥的第二部分，生成第二鉴权码；

第三处理模块，用于根据所述第一鉴权码和所述第二鉴权码，确定所述终端是否鉴权成功。

16.根据权利要求15所述的装置，其特征在于，还包括：

密钥处理模块，用于对所述第一密钥进行拆解，得到第一预设位数的所述第一部分和第二预设位数的所述第二部分；

其中，所述第一密钥是北斗融合网关与所述终端认证之后存储于所述北斗融合网关中的，所述第一预设位数和所述第二预设位数之和小于或等于所述第一密钥的位数。

17.根据权利要求15或16所述的装置，其特征在于，所述第一处理模块包括：

分组子模块，用于将所述待解密报文的码流进行分组，得到第一分组和第二分组；

解密子模块，用于基于预设加密算法，对所述第一分组和所述第二分组分别采用对应的模式进行解密，得到第一鉴权码。

18.根据权利要求17所述的装置，其特征在于，所述分组子模块还用于：

根据第三预设位数，将所述待解密报文的码流划分为一个或多个满足所述第三预设位数的第一分组，并将剩余未满足所述第三预设位数的部分确定为第二分组；

其中，所述第一分组解密采用的模式为密码分组链接模式；

所述第二分组解密采用的模式为密码反馈模式。

19.根据权利要求17所述的装置，其特征在于，所述待解密报文是终端基于所述预设加密算法对所述第一鉴权码和第二信息加密后得到的，所述第二信息为第一预设信息或目标发送信息。

20.根据权利要求15或16所述的装置，其特征在于，所述第二处理模块包括；

第一处理子模块，用于基于预设鉴权码生成算法，对所述第一信息和所述第一密钥的第二部分进行运算，得到结果信息；

第二处理子模块，用于在所述结果信息中，按照第四预设位数选取所述第二鉴权码；

其中，所述第一信息包括第三信息和/或辅助信息；

所述第三信息为第二预设信息或目标发送信息。

21.根据权利要求20所述的装置，其特征在于，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

22.根据权利要求15或16所述的装置，其特征在于，所述第一密钥是北斗融合网关根据接收到的第一请求消息，通过认证服务器BSF对所述终端进行认证，并在认证成功的情况下，存储的认证过程中从BSF获取到的密钥；

所述第一请求消息是所述终端发送的，且所述第一请求消息包括认证标识和认证信息。

23.一种通信鉴权处理装置，其特征在于，包括：

第四处理模块，用于根据第四信息和第二密钥的第二部分，生成第三鉴权码；

第五处理模块，用于根据所述第二密钥的第一部分对所述第三鉴权码和第五信息进行加密，生加密报文；

通信模块，用于通过卫星发送所述加密报文。

24.根据权利要求23所述的装置，其特征在于，所述第二密钥为终端与北斗融合网关认证之后存储于所述终端中的；

其中，所述第二密钥的第一部分为所述第二密钥拆解的第一预设位数的部分；

所述第二密钥的第二部分为所述第二密钥拆解的第二预设位数的部分。

25.根据权利要求23或24所述的装置，其特征在于，所述第四处理模块包括：

第三处理子模块，用于基于预设鉴权码生成算法，对所述第四信息和所述第二密钥的第二部分进行运算，得到结果信息；

第四处理子模块，用于在所述结果信息中，按照第四预设位数选取所述第三鉴权码；

其中，所述第四信息包括第六信息和/或辅助信息；

所述第六信息为第二预设信息或目标发送信息。

26.根据权利要求23所述的装置，其特征在于，所述第五处理模块还用于：

基于预设加密算法对所述第三鉴权码和第五信息加密；

其中，所述第五信息包括第一预设信息或目标发送信息；

其中，所述加密报文的码流在解密过程中，能够按照第三预设位数划分为一个或多个满足所述第三预设位数的第一分组，且若存在剩余未满足所述第三预设位数的部分，则确定为第二分组。

27.根据权利要求25所述的装置，其特征在于，所述辅助信息包括以下至少一项：

时间参数信息；

与SIM卡相关的参数信息。

28.根据权利要求23或24所述的装置，其特征在于，所述第二密钥是终端在发起与BSF的相互认证得到认证标识和密钥后，向北斗融合网关发送第一请求消息，并接收到所述北斗融合网关反馈的第一响应消息，且所述第一响应消息指示认证成功的情况下存储的、所得到的所述密钥；

其中，所述第一请求消息包括所述认证标识和认证信息。

29.一种通信设备，包括：收发器、处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令；其特征在于，所述处理器执行所述程序或指令时实现如权利要求1-8任一项所述的通信鉴权处理方法，或者如权利要求9-14任一项所述的通信鉴权处理方法。

30.一种可读存储介质，其上存储有程序或指令，其特征在于，所述程序或指令被处理器执行时实现如权利要求1-8任一项所述的通信鉴权处理方法中的步骤，或者如权利要求9-14任一项所述的通信鉴权处理方法中的步骤。