CN1767430A - 鉴权方法 - Google Patents

鉴权方法 Download PDF

Info

Publication number
CN1767430A
CN1767430A CNA2004100878811A CN200410087881A CN1767430A CN 1767430 A CN1767430 A CN 1767430A CN A2004100878811 A CNA2004100878811 A CN A2004100878811A CN 200410087881 A CN200410087881 A CN 200410087881A CN 1767430 A CN1767430 A CN 1767430A
Authority
CN
China
Prior art keywords
authentication
portable terminal
network
random number
vlr
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2004100878811A
Other languages
English (en)
Other versions
CN1767430B (zh
Inventor
董昆阳
王正伟
周春艳
朱志明
黄天振
孔杰
王尚宾
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN2004100878811A priority Critical patent/CN1767430B/zh
Priority to AT05802192T priority patent/ATE454000T1/de
Priority to PCT/CN2005/001767 priority patent/WO2006060943A1/zh
Priority to EP05802192A priority patent/EP1758417B1/en
Priority to DE602005018638T priority patent/DE602005018638D1/de
Publication of CN1767430A publication Critical patent/CN1767430A/zh
Priority to US11/612,314 priority patent/US8909193B2/en
Application granted granted Critical
Publication of CN1767430B publication Critical patent/CN1767430B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys

Abstract

本发明公开了一种移动通信系统中网络设备生成鉴权信息的方法，至少包括：预先在网络设备中设置一个对应于移动终端的安全密钥；网络设备根据安全密钥和一个随机数生成对应于该移动终端的鉴权信息。同时，本发明公开了一种移动通信网络中移动终端对通信网络进行鉴权的方法，至少包括：预先在移动终端中设置一个对应于该移动终端的安全密钥；移动终端在接收到来自网络侧设备的鉴权信息之后，根据自己设置的安全密钥和所述鉴权信息判断对网络的鉴权是否通过。本发明还公开了一种移动通信网络中的鉴权方法，包括移动终端对网络的鉴权和网络对移动终端的鉴权。

Description

鉴权方法
技术领域
本发明涉及鉴权方法，具体涉及一种移动通信网络中使用的移动终端和网络侧设备之间的鉴权方法。
背景技术
目前的移动终端大多数采用机卡分离的方式，也就是移动终端本身和保存了用于验证无线网络用户的信息的用户卡是两个独立的部分，在使用时将它们结合在一起即可。目前的用户卡主要是用于无线通信系统中的用户标识模块卡，比如，全球移动通信(GSM)系统的用户标识模块(SIM)卡，宽带码分多址(WCDMA)通信系统的USIM卡，码分多址(CDMA)通信系统的UIM卡等等。这种方式具有很多突出的优点，例如用户想更换一个移动终端的话，只需要购买一个新的移动终端并且将原有的SIM卡插入到新的移动终端即可，这样，由于用户的信息不需要改变，因此用户也不需要向通信运行商办理任何更换移动终端的手续。这种方式还有一个更加突出的优点是，移动通信运营商开展移动业务比如放号等工作可以和移动终端的销售工作很好地分离开来，从而便于移动业务的开展，以及终端销售的相对独立，给移动业务营运和终端销售带来很大的灵活性。
但是采用机卡分离方式给用户带来极大方便的同时，也导致移动终端被盗和被抢现象时有发生，以至于在有些地方人们不敢将移动终端挂在腰间。因为在机卡分离方式下，只要在所盗抢的移动终端上换上一个新的SIM卡就可以毫无障碍地使用。这样盗贼可以将所盗抢的移动终端再销售出去从而获利。这样，用户不但经济利益受到损失，而且还需要去通信运营商处办理一系列手续，例如更改签约数据，给用户带来了很大的不便，同时，移动终端的丢失，用户保存在移动终端里的常用信息，比如号码簿记录等等也会丢失，将给用户日常生活和工作造成很大的影响。
为了解决移动终端容易被盗抢的问题，一种比较常用的方法是在移动终端上设置密码保护。例如在移动终端上设置开机密码，每次开机时都需要输入正确的开机密码，移动终端才能执行向网络注册等后续操作。如果开机密码输入不正确，该移动终端就不能正常使用。这样盗贼即使得到了用户的移动终端，也会因为不能输入正确的密码而不能使用和销售。因此，这种方法在一定程度上解决了移动终端容易被盗抢的问题。但是，对于这一种方法而言，合法用户在每次开机时也需要输入密码，将给合法用户带来非常大的麻烦。因此，目前很多用户因为觉得这样每次输入开机密码太麻烦而没有设置这样的开机密码，使得这种解决方法难以被用户接受并得到实际的应用，从而并不能从根本上解决移动终端容易被盗抢的问题。
还有一种解决方法是建设大量的设备标识寄存器(EIR)设备，并将那些被盗移动终端的国际移动设备标识(IMEI)放入相应的EIR的黑名单中。这样，移动终端在每次开机登录网络时，将其IMEI上报给网络，相关网络设备都需要到EIR设备中检查该移动终端所对应的IMEI是否被加入到黑名单中，如果在黑名单中发现了该移动终端的IMEI，网络认为该移动终端为被盗终端，该移动终端的用户为非法用户，从而拒绝其网络业务。这样盗贼同样会因为所得到的移动终端不能再次使用而不能从中获利，从而可以从根本上解决移动终端容易被盗抢的问题。但是这种方法需要建设大量的EIR设备，需要增加网络设备的建设，既增加了网络运营商的成本，同时也给网络运营商带来不便。另外，通过更改移动终端程序，使移动终端在向网络上报IMEI时，上报一个假IMEI，从而欺骗了网络，使网络不能判断该移动终端是否为被盗终端。
在目前有些移动通信网络，如第三代移动通信网络的通用移动通信系统(UMTS)，所使用的鉴权方法中，用户卡可以对移动通信网络进行鉴权，当鉴权成功后，用户卡可以正常使用，而当鉴权失败后，用户卡不能在移动通信网络中正常使用。但是这种方法只能解决移动终端中用户卡安全性问题，而不能解决移动终端本身防盗的问题。例如，盗贼盗抢了合法用户的移动终端之后，可以将合法用户的用户卡更换为自己的用户卡，这样在现有的鉴权方法中该用户卡将会鉴权成功，这样盗贼依然可以使用该盗抢的移动终端而不能禁止被盗手机继续使用，从而不能达到对移动终端进行防盗的作用。而第二代移动通信网络也不支持机卡分离的终端对网络鉴权，因此，也不能解决防盗问题。
发明内容
有鉴于此，本发明的一个发明目的是提供一种移动通信系统中网络侧设备生成鉴权信息的方法，以使移动终端可以对网络进行鉴权，从而提高移动终端的安全性，防止移动终端被盗抢。
本发明的另一个目的是提供一种移动通信系统中移动终端对网络进行鉴权的方法，以通过对网络的鉴权提高移动终端的安全性，从而防止移动终端被盗抢。
本发明的还有一个目的是提供一种移动通信系统中的鉴权方法，以通过移动终端对网络的鉴权提高移动终端的安全性，从而防止移动终端被盗抢。
根据本发明的第一个方面，一种移动通信系统中网络设备生成鉴权信息的方法至少包括：
a.预先在网络设备中设置一个对应于移动终端的安全密钥；
b.网络设备根据所述安全密钥和一个随机数生成对应于该移动终端的鉴权信息。
这里鉴权信息包括所述随机数和一个鉴权标记，其中鉴权标记至少包括序列号和消息鉴权编码。
步骤b所述根据安全密钥和随机数生成鉴权信息包括：
b1.根据安全密钥、随机数和自己设置的序列号生成鉴权标记；
b2.组合所述随机数和鉴权标记形成所述鉴权信息。
步骤b1包括：根据安全密钥、随机数和序列号生成消息鉴权编码；然后将消息鉴权编码和序列号组合成鉴权标记。
另外，鉴权标记可以进一步包括鉴权管理域，步骤b1中根据安全密钥、随机数和序列号生成消息鉴权编码是根据安全密钥、随机数、序列号和鉴权管理域生成消息鉴权编码，在组合成鉴权标记的步骤中进一步包括加入鉴权管理域的步骤。
所述网络设备可以包括归属位置寄存器/验证中心HLR/AUC，该方法进一步包括HLR/AUC根据鉴权密钥和随机数生成期望响应、加密密钥和完整性密钥；并将随机数、期望响应、加密密钥、完整性密钥和鉴权标记组成鉴权集。另外，也可以根据安全密钥和随机数生成期望响应、加密密钥和完整性密钥；并将随机数、期望响应、加密密钥、完整性密钥和鉴权标记组成鉴权集。
网络设备可以进一步包括移动交换中心MSC/VLR，该方法进一步包括HLR/AUC将鉴权集发送给MSC/VLR。
所述HLR/AUC将鉴权集发送给MSC/VLR是将大于等于一个鉴权集发送给MSC/VLR。
所述HLR/AUC将大于等于一个鉴权集发送给MSC/VLR是在接收到来自MSC/VLR的鉴权集请求消息后，或者是需要更新MSC/VLR的鉴权集时，将已经生成的大于等于一个鉴权集发送给MSC/VLR。
该方法进一步包括MSC/VLR在鉴权时发现没有相应终端的鉴权集时向HLR/AUC发送请求鉴权集消息，或者在使用完了相应终端的所有鉴权集后向HLR/AUC发送鉴权集请求消息。
该方法进一步包括MSC/VLR将由鉴权集中随机数和鉴权标记组成的鉴权信息发送给移动终端。所述MSC/VLR向移动终端发送鉴权信息是在接收到来自移动终端的触发鉴权的请求消息后发送，或者是在网络侧需要对移动终端进行鉴权时发送。
在形成鉴权信息之后可以进一步包括更新序列号的步骤。
所述序列号是用于移动终端用户卡鉴权的序列号。或者该方法进一步包括设置一个对应于移动终端鉴权的序列号的步骤；步骤b中所述序列号是所设置的对应于移动终端鉴权的序列号。
步骤a中设置对应于移动终端的安全密钥是设置对应于移动终端特征信息的安全密钥。所述移动终端特征信息是移动终端设备标识信息IMEI。
步骤a中设置对应于移动终端的安全密钥是设置对应于移动终端用户签约相关信息的安全密钥。所述移动终端用户签约相关信息是移动终端用户标识信息IMSI或移动终端用户卡编号或移动电话号码MSISDN。
步骤b之前可以进一步包括一个判断是否执行根据安全密钥生成鉴权信息的步骤，如果是，执行步骤b；否则不执行根据安全密钥生成鉴权信息的步骤。
步骤a所述安全密钥是根据随机数和鉴权密钥产生的。
由于移动通信系统中的网络设备在生成鉴权信息时，使用了预先设置的对应于移动终端的安全密钥，从而使本发明方法的鉴权信息不同于现有技术中没有考虑安全密钥的鉴权信息，再配合移动终端在接收到鉴权信息后的处理，即可实现由移动终端对网络进行鉴权，而不同于现有技术中由用户卡对网络进行鉴权。
在由移动终端对网络进行鉴权的情况下，如果移动终端被盗抢，非法用户在更换一个用户卡之后，由于移动终端中保存的是安全密钥对应于网络侧按照合法用户卡为该移动终端设置的安全密钥，比如合法用户的签约信息里设置的安全密钥，而和非法用户的签约信息里设置的安全密钥不一致，因此移动终端对网络的鉴权将不会通过，这样，非法用户将不能正常使用该移动终端；或者安全密钥对应于网络侧按照该移动终端标识设置的安全密钥，这样一旦用户在丢失移动终端后去运营商处修改网络侧对应于自己的移动终端设备的安全密钥信息，该移动终端对网络的鉴权也不会通过，因此该移动终端也将不能正常使用。因此，移动终端对网络的鉴权可以有效地提高移动终端的安全性，并有效防止移动终端被盗抢。
根据本发明的第二个方面，一种移动通信网络中移动终端对通信网络进行鉴权的方法至少包括：
a.预先在移动终端中设置一个对应于该移动终端的安全密钥；
b.移动终端在接收到来自网络侧设备的鉴权信息之后，根据自己设置的安全密钥和所述鉴权信息判断对网络的鉴权是否通过。
所述接收的鉴权信息包括随机数和鉴权标记，其中鉴权标记至少包括序列号和消息鉴权编码。
步骤b所述根据自己设置的安全密钥和所述鉴权信息判断对网络的鉴权是否通过包括：
b1.根据自己设置的安全密钥、接收的序列号和随机数计算得到一个移动终端消息鉴权编码；
b2.比较计算得到的移动终端消息鉴权编码和接收的鉴权信息中包含的消息鉴权编码是否一致，如果一致，判定对网络的鉴权通过；否则判定对网络的鉴权失败。
在步骤b1之前可以进一步包括：判断所接收的鉴权信息的鉴权标记是否可接受，如果是，执行步骤b1；否则直接判定对网络的鉴权失败。判断鉴权标记是否可接受是比较接收的鉴权信息中的序列号和自己设置的序列号是否满足预定的条件，如果是，判定鉴权标记可接受；否则判定鉴权标记不可接受。所述预定条件是接收的鉴权信息中的序列号和自己设置的序列号的差值在一个预定范围内。
鉴权标记可以进一步包括鉴权管理域，步骤b1中根据自己设置的安全密钥、接收的序列号和随机数计算得到一个移动终端消息鉴权编码时进一步结合所述鉴权管理域。
在判定对网络的鉴权通过之后进一步包括更新自己设置的序列号的步骤。
序列号是用于移动终端用户卡鉴权的序列号。或者，该方法进一步包括设置一个对应于移动终端鉴权的序列号的步骤；步骤b中所述序列号是所设置的对应于移动终端鉴权的序列号。
步骤a中设置对应于移动终端的安全密钥是设置对应于移动终端用户卡特征信息的安全密钥。用户卡特征信息是移动终端用户卡里的移动终端用户标识信息IMSI或移动终端用户卡编号。
步骤b之前可以进一步包括一个判断是否执行根据安全密钥和鉴权信息判断对网络的鉴权是否通过的步骤，如果是，执行步骤b；否则不执行终端对网络的鉴权步骤。
步骤b之前可以进一步包括移动终端向网络设备发送触发鉴权的请求消息的步骤。
步骤b进一步包括根据安全密钥和随机数生成期望响应、加密密钥和完整性密钥，并将期望响应返回给相应的网络设备。
步骤a所述安全密钥是根据随机数和用户卡中的鉴权密钥产生的。
由于移动终端在接收到鉴权信息之后根据自己保存的安全密钥和接收到的鉴权信息直接判断对网络的鉴权是否通过，而不同于现有技术中由用户卡来对网络进行鉴权。如前所述，由于实现了由移动终端自身对网络的鉴权，提高了移动终端的安全性，有效防止了移动终端被盗抢。
根据本发明的第三个方面，一种移动通信网络中的鉴权方法至少包括：
a.预先在网络设备和移动终端中分别设置一个对应该移动终端的安全密钥；
b.网络设备根据安全密钥和随机数生成对应于所述移动终端的鉴权信息；
c.网络设备将所述鉴权信息发送到所述移动终端；
d.移动终端根据自己设置的安全密钥和接收的鉴权信息判断对网络的鉴权是否通过。
鉴权信息包括随机数和鉴权标记，其中鉴权标记至少包括序列号和消息鉴权编码。
网络设备包括HLR/AUC，步骤b包括：HLR/AUC根据鉴权密钥、自己设置的序列号和随机数生成包括随机数、期望响应、加密密钥、完整性密钥和鉴权标记的鉴权集。
网络设备进一步包括MSC/VLR，步骤b包括：HLR/AUC将所述鉴权集发送到MSC/VLR。网络设备将所述鉴权信息发送到所述移动终端为MSC/VLR将鉴权集中的随机数和鉴权标记作为鉴权信息发送给移动终端。
较佳地，步骤d之后进一步包括：
移动终端将随机数发送给用户卡，用户卡根据自己设置的鉴权密钥和接收的随机数生成期望响应和加密密钥；
用户卡将期望响应发送给移动终端，移动终端再将期望响应发送给MSC/VLR；
MSC/VLR比较接收自移动终端的期望响应和接收自HLR/AUC的对应的鉴权集中的期望响应是否一致，如果一致，网络对移动终端的鉴权通过；否则网络对移动终端的鉴权不通过。
用户卡在生成期望响应和加密密钥的同时进一步生成完整性密钥，所述方法进一步包括用户卡将所述完整性密钥发送给移动终端。
该方法进一步包括移动终端根据加密密钥生成完整性密钥。
在移动终端将随机数发送给用户卡的同时进一步包括发送鉴权标记的步骤。
该方法进一步包括设置鉴权标记为一个预定值，用户卡在接收到鉴权标记之后进一步包括判断鉴权标记是否是预定值，如果是，执行生成期望响应和加密密钥的步骤；否则，用户卡判断对网络的鉴权是否通过。
所述网络设备包括HLR/AUC，步骤b包括：
HLR/AUC根据安全密钥、自己设置的序列号和随机数生成包括随机数、期望响应、加密密钥、完整性密钥和鉴权标记的鉴权集。
所述网络设备进一步包括MSC/VLR，步骤b包括：HLR/AUC将所述鉴权集发送到MSC/VLR。所述网络设备将所述鉴权信息发送到所述移动终端为MSC/VLR将鉴权集中的随机数和鉴权标记作为鉴权信息发送给移动终端。
步骤d之后可以进一步包括：
移动终端根据自己设置的安全密钥和接收的随机数生成期望响应和加密密钥；并将期望响应发送给MSC/VLR；
MSC/VLR比较接收自移动终端的期望响应和接收自HLR/AUC的对应的鉴权集中的期望响应是否一致，如果一致，网络对移动终端的鉴权通过；否则网络对移动终端的鉴权不通过。
如前所述，由于结合了第一方面和第二方面，因此实现了由移动终端自身对网络的鉴权，提高了移动终端的安全性，有效防止了移动终端被盗抢。进一步，移动终端还可以将期望响应发送给MSC/VLR，MSC/VLR比较接收自移动终端的期望响应和接收自HLR/AUC的期望响应是否一致，从而在实现移动终端对网络的鉴权之后还可以由网络对移动终端进行鉴权，进一步完善了鉴权处理，提高了鉴权效果。
附图说明
图1是根据本发明的网络设备生成鉴权信息的总体流程图。
图2是根据本发明的网络设备生成鉴权信息的一个具体实施例的流程图。
图3是根据本发明的移动终端对网络进行鉴权的总体流程图。
图4是根据本发明的移动终端对网络进行鉴权的一个具体实施例的流程图。
图5是根据本发明的整体鉴权操作的流程图。
图6是根据本发明的整体鉴权操作的一个具体实施例的流程图。
图7是图6中进一步包括了网络对终端进行鉴权的一种处理过程的流程图。
图8是根据本发明的整体鉴权操作的另一个具体实施例的流程图。
具体实施方式
下面结合附图和具体实施例对本发明进行详细说明。
图1示出了根据本发明的网络设备生成鉴权信息的总体流程图。如图1所示，在步骤101，首先在网络设备中设置一个对应移动终端的安全密钥(SKEY)。
这里设置对应移动终端的SKEY可以是设置对应移动终端特征信息的SKEY，例如设置对应于IMEI的SKEY；也可以是设置对应于移动终端用户签约信息，或者说是移动终端用户卡特征信息的SKEY，例如是对应于IMSI的SKEY，或者是对应于移动终端用户卡编号的SKEY，或者是对应于移动电话号码MSISDN的SKEY。
在步骤102，网络设备在针对某一个移动终端生成鉴权信息时，首先产生一个随机数(RAND)。
在步骤103，网络设备利用对应该移动终端的SKEY和产生的RAND生成鉴权信息。
在本发明中，鉴权信息包括随机数和鉴权标记(AUTN)。鉴权标记可以至少包括序列号(SQN)和消息鉴权编码(MAC)，并且可以进一步包括鉴权管理域(AMF)。鉴权管理域和序列号是在网络设备中预先设定的，而不是根据SKEY和RAND得到的，在生成鉴权信息的过程中，会生成AUTN中的MAC，而将已有的SQN和AMF与计算得到的MAC组合在一起即构成了AUTN。
本发明由网络设备生成鉴权信息在具体实现上可以包括两个阶段：第一阶段由HLR/AUC生成包括鉴权信息和其他信息的鉴权集，然后将鉴权集发送给MSC/VLR；第二阶段，由MSC/VLR将鉴权集中的鉴权信息提取出来发送给移动终端。其具体流程如图2所示。
这里的鉴权集中除了RAND和AUTN之外，还包括期望响应(XRES)、加密密钥(CK)和完整性密钥(IK)。其他三个参数发送到MSC/VLR之后由MSC/VLR保存，其中XRES用来在MSC/VLR对移动终端进行鉴权时使用，CK用于数据加解密，IK用于数据完整性验证，以及产生数据的验证摘要信息。本发明将在后面对此进行说明。
上述SKEY可以是根据一个随机数和鉴权密钥产生。比如，移动终端和网络侧相关设备协商产生SKEY时，可以由其中的一方产生一个随机数，并将该随机数发送给另一方，网络侧根据该随机数和自己保存的对应于该移动终端用户卡的鉴权密钥进行一定的计算，比如是一个摘要计算，得到一个计算结果，并将该计算结果作为SKEY。相应地，移动终端根据随机数和用户卡中的KI进行相应的计算得到一个计算结果，将该计算结果作为SKEY保存在移动终端，比如移动终端将随机数传送给用户卡，用户卡根据随机数和KI进行相应的计算得到移动终端需要的SKEY并发送给移动终端。上述摘要计算算法可以根据实际应用进行选择。通过随机数和鉴权密钥产生安全密钥SKEY，可以保证SKEY本身不需要在网络设备和终端之间传送，保证了SKEY的安全性。同时，这种方法有助于使用终端完全替代用户卡完成与网络进行相互鉴权。
如图2所示，在步骤201，首先在HLR/AUC中保存对应移动终端的SKEY。
在步骤202，HLR/AUC利用自己的随机数发生器产生一个RAND。
在步骤203，HLR/AUC利用自己保存的鉴权密钥(KI)和自己产生的RAND计算得到XRES、CK和IK。
在步骤204，HLR/AUC利用预先设置的对应移动终端的SKEY以及RAND和SQN生成MAC。这里的SQN是当前已知的，例如是预先设置好的。
在步骤205，HLR/AUC将步骤204生成的MAC以及已知的SQN组合成AUTN。
在步骤206，HLR/AUC将RAND、步骤205得到的AUTN、步骤203得到的XRES、CK和IK组成一个该移动终端的鉴权集。
在步骤207，HLR/AUC将鉴权集发送给MSC/VLR。
在步骤208，鉴权时，MSC/VLR在该移动终端的相应的鉴权集中提取出RAND和AUTN，作为本发明的鉴权信息发送给移动终端。
本步骤可以是移动终端向网络侧发送一个触发信息开始的。实际当中，在移动终端发起位置更新请求，或业务请求时，MSC/VLR会对终端发起鉴权请求，比如在移动终端开机登陆网络时MSC/VLR会向终端发起鉴权请求。当然，这里也可以将移动终端发起位置更新请求，或业务请求理解为包含了触发鉴权的请求消息，MSC/VLR在接受到这些请求时向终端发送鉴权信息。
本步骤可以是网络侧主动发起，比如，网络侧在移动终端很久没有发起相关请求时，出动发起一个鉴权流程，这种情况下不需要移动终端的触发消息。
在AUTN包括AMF的情况下，在步骤204中进一步考虑AMF，比如利用SKEY、RAND、SQN和AMF生成MAC，其中AMF也是当前已知的，比如，预先设置好的。在步骤205中同样进一步考虑AMF，也就是将MAC、SQN和AMF共同组合成AUTN。
这里，在步骤204之前可以进一步包括一个判断是否执行根据SKEY生成鉴权信息的步骤，如果是，执行步骤204；否则按照现有流程直接根据鉴权密钥和随机数生成鉴权信息，例如使用KI、RAND、SQN和AMF生成MAC，然后组合成AUTN并进一步组合成鉴权集。
判断是否执行根据SKEY生成鉴权信息可以是预先设置一个安全标志，如果该安全标志是表示需要根据SKEY生成鉴权信息的值，例如1，则意味着需要根据SKEY生成鉴权信息，如果安全标志是表示不需要根据SKEY生成鉴权信息的值，例如0，则意味着不需要根据SKEY生成鉴权信息。
可替代地，判断是否执行根据SKEY生成鉴权信息可以是判断SKEY是否是一个特定值，例如是0，如果是，则表示不需要根据SKEY生成鉴权信息，如果不是0而是其他任意值，则表示需要根据SKEY生成鉴权信息。
在上述方法中，HLR/AUC每产生一次鉴权集之后就对SQN进行一次更新，换句话说，每个鉴权集都具有不同的SQN。对于SQN的更新，可以按照一定的算法进行，算法根据原有的SQN生成新的SQN。具体可以参考3GPP 33.102/29.002的相关协议规定。
在现有技术中，HLR/AUC和移动终端中的用户卡都会保存一个SQN，并且在执行鉴权处理之前需要保证两个SQN进行同步。本发明的SQN可以使用和现有技术相同的SQN，即用于用户卡鉴权的SQN，也即网络和用户卡对应保存的SQN，具体可以参考3GPP 33.102/29.002的相关协议规定。但是较佳地，本发明另外单独设置一个专门用于移动终端鉴权的SQN，并且移动终端和HLR/AUC也会对该SQN进行同步处理。当然可以理解，单独设置的SQN和用户卡中保存的SQN可以取相同的值。
一般地，步骤207中HLR/AUC向MSC/VLR发送鉴权集是在接收到来自MSC/VLR的请求鉴权集消息后进行，或者在需要刷新MSC/VLR中保存的鉴权集时进行。在向MSC/VLR发送鉴权集之前，HLR/AUC一般会生成多个鉴权集，这样在接收到来自MSC/VLR的获取鉴权集的请求消息之后，可以一次只向MSC/VLR发送一个鉴权集，也可以将多个鉴权集一起发送给MSC/VLR，比如，一次发送三个鉴权集到MSC/VLR，当然，MSC/VLR的请求获取鉴权集的请求消息中可以进一步包括需要HLR/AUC返回的鉴权集的数量，HLR/AUC根据MSC/VLR的请求和自己当前保存的鉴权集的数量来决定返回给MSC/VLR的鉴权集数量，比如，HLR/AUC产生了5个鉴权集，MSC/VLR请求3个鉴权集，则HLR/AUC向MSC/VLR返回3个，如果HLR/AUC产生了2个鉴权集，MSC/VLR请求3个鉴权集，则HLR/AUC向MSC/VLR返回2个鉴权集。
MSC/VLR在鉴权时，比如是在接收到来自移动终端的触发鉴权的请求消息后，或者需要对移动终端进行鉴权时，会从保存的该终端的鉴权集中取出一个鉴权集，将其中包含的RAND和AUTN等鉴权信息发送给终端。如果MSC/VLR在取鉴权集时，发现从HLR/AUC发送来的鉴权集已经用完，则MSC/VLR会向HLR/AUC发送获取鉴权集的命令。
实际当中，上述计算鉴权集操作可以是在AUC中完成，AUC将计算得到的鉴权集发送给HLR临时保存，HLR在接收到MSC/VLR请求鉴权集的请求消息时，或者在需要刷新MSC/VLR中保存的鉴权集时，将一个或多个鉴权集发送给MSC/VLR保存。由于实际当中，HLR和AUC一般会集成在一起，因此，本发明里称为HLR/AUC。
相应地，MSC/VLR是移动交换中心和拜访位置寄存器模块的统称，实际当中，对于鉴权集的保存、向HLR请求鉴权集、以及对终端的鉴权判断等操作可以由VLR来实现。因为VLR一般被实现为MSC的一个模块，因此，本发明里将MSC和VLR统称为MSC/VLR。
在上面步骤203中，也可以是HLR/AUC利用自己保存的鉴权密钥(KI)和自己产生的RAND计算得到XRES、CK和IK。实际当中，也可以是HLR/AUC利用自己保存的SKEY和自己产生的RAND计算得到XRES、CK和IK。这种情况下，实现了终端完全替代用户卡来完成和网络的相互鉴权过程。这种情况下，较理想的做法是，要求终端的安全密钥SKEY是根据鉴权密钥KI产生。
在设置SKEY后，可以进一步包括，更新MSC/VLR中保存的鉴权集的步骤。SKEY设置后，原来根据原有的SKEY产生的鉴权集中的鉴权信息失效，因此，需要重新生成鉴权集并更新MSC/VLR中保存的鉴权集。
如果专门为移动终端鉴权设置了SQN，则，在设置SKEY之后，可以重新初始化该专门为移动终端鉴权设置的SQN。当然，保持该SQN不变也是可行的。
上述说明了网络设备侧生成鉴权信息的处理，在网络设备生成鉴权信息之后会将该鉴权信息发送到对应的移动终端，下面说明移动终端接收到该鉴权信息之后所进行的处理。
图3示出了移动通信网络中移动终端对通信网络进行鉴权的总体方法流程。如图3所示，在步骤301，移动终端首先设置一个SKEY，这里的SKEY和网络设备侧设置并保存的对应于自己的SKEY一般是相同的。
在步骤302，移动终端在接收到来自网络设备侧的鉴权信息之后，根据该鉴权信息和自己保存的SKEY判断对网络的鉴权是否通过，如果通过，在步骤303可以正常接入网络，如果未通过，则认定自己非法，在步骤304停止自己的正常使用。
这里停止自己的正常使用可以是不允许自己接入网络，或者直接断电或关机等，并且还可以配合例如发送短消息通知亲友或安全机关等操作。
对于图2所示的情况，移动终端对网络进行鉴权的一个具体实施例示于图4。
在图4的步骤401，移动终端首先保存一个SKEY，这里的SKEY和网络设备侧保存的对应于自己的SKEY是一致的。一般来说，终端和网络侧分别保存的是一对对称密钥，通常情况下这对对称密钥相同。
在步骤402，移动终端在接收到来自MSC/VLR的RAND和AUTN之后，首先判断AUTN是否可以接受，判断AUTN是否可以接受是通过判断其中的SQN来完成的。移动终端和网络侧会预先保存一个同步的SQN，这样，终端在接收到网络侧的鉴权信息时，会通过比较自己保存的SQN和AUTN中的SQN是否满足预定的条件来判断AUTN是否可以接受，该预定条件可以是AUTN中的SQN和移动终端自己保存的SQN的差值在一个预定范围内。如果移动终端判断AUTN中的SQN和自己保存的SQN的差值在所述预定范围内，则判定AUTN是可接受的，继续执行步骤403；否则判定AUTN是不可接受的，直接在步骤405判定对网络的鉴权失败。
在步骤403，移动终端根据自己的SKEY和接收的RAND、SQN计算得到一个MAC值，并比较自己计算得到的MAC值和AUTN中的MAC值是否一致，如果一致，则在步骤404判定对网络的鉴权通过；否则在步骤405判定对网络的鉴权失败。
移动终端判定对网络的鉴权通过后，使用接收的AUTN中的SQN更新自己保存的SQN。
在AUTN包括AMF的情况下，在步骤403中进一步考虑AMF，比如利用自己的SKEY、接收的RAND、SQN和AMF生成MAC值，其中SQN和AMF是AUTN中携带的。
这里，在步骤402之前可以进一步包括一个判断是否执行根据SKEY对网络进行鉴权的步骤，如果是，执行步骤402；否则按照现有流程将RAND发送给用户卡，由用户卡对网络进行鉴权。
判断是否执行根据SKEY对网络进行鉴权可以是预先设置一个安全标志，如果该安全标志是表示需要根据SKEY对网络进行鉴权的值，例如1，则意味着需要根据SKEY对网络进行鉴权，如果安全标志是表示不需要根据SKEY对网络进行鉴权的值，例如0，则意味着不需要根据SKEY对网络进行鉴权。
可替代地，判断是否执行根据SKEY对网络进行鉴权可以是判断SKEY是否是一个特定值，例如是0，如果是，则表示不需要根据SKEY对网络进行鉴权，如果不是0而是其他任意值，则表示需要根据SKEY对网络进行鉴权。
同样，这里的SQN可以使用和现有技术相同的SQN，即用于用户卡鉴权的SQN，也即网络和用户卡对应保存的SQN，具体可以参考3GPP33.102/29.002的相关协议规定。但是较佳地，本发明另外单独设置一个专门用于移动终端鉴权的SQN，并且移动终端和HLR/AUC也会对该SQN进行同步处理。当然可以理解，单独设置的SQN和用户卡中保存的SQN可以取相同的值。
由于移动终端中保存的SKEY和网络设备保存的SKEY一致，比如相同，因此，在移动终端中的SKEY可以是对应于用户卡的编号或IMSI来保存的SKEY。当然，当移动终端仅仅支持一个用户卡时，该SKEY可以直接保存在移动终端，而不是按照支持的用户卡的编号或IMSI来保存。当移动终端支持多于一个用户卡时，对应于用户卡的编号或IMSI来保存的SKEY时，移动终端可以根据当前用户卡的编号或IMSI来选择使用哪个SKEY来对网络进行鉴权。由于支持多卡的情况是本发明的一个扩展应用例子，本领域人员根据本发明思想很容易开发具体的应用，因此，这里不再对其进行详细描述。
上面分别说明了网络侧设备生成鉴权信息的流程和移动终端侧对网络进行鉴权的流程。下面根据图5说明本发明的移动通信网络中的鉴权方法的流程。
如图5所示，在步骤501，首先在网络设备和移动终端中同时设置一个对应移动终端鉴权的SKEY。当然，这里网络侧设备设置的SKEY可以是对应移动终端特征信息来设置的SKEY，也可以是对应于用户卡的IMSI来设置的SKEY。网络侧设备也可以根据用户的移动终端号码MSISDN来设置SKEY。
在步骤502，网络设备在针对某一个移动终端生成鉴权信息时，首先产生一个RAND。
在步骤503，网络设备利用对应该移动终端的SKEY和产生的RAND生成鉴权信息。
在步骤504，网络设备将鉴权信息发送到对应的移动终端。
在步骤505，移动终端在接收到来自网络设备侧的鉴权信息之后，根据该鉴权信息和自己保存的SKEY判断对网络的鉴权是否通过，如果通过，在步骤506可以正常接入网络，如果未通过，则认定自己非法，在步骤507停止自己的正常使用。
移动终端判定对网络的鉴权通过后，使用接收的AUTN中的SQN更新自己保存的SQN。
下面结合图2和图4的具体实施例说明完整的鉴权方法。如图6所示，在步骤601，首先在HLR/AUC和移动终端中同时保存对应移动终端鉴权的SKEY。
在步骤602，HLR/AUC利用自己的随机数发生器产生一个RAND。
在步骤603，HLR/AUC利用自己保存的鉴权密钥(KI)和自己产生的RAND计算得到XRES、CK和IK。
在步骤604，HLR/AUC利用预先保存的对应移动终端的SKEY以及RAND和SQN生成MAC。这里的SQN是当前已知的，比如，预先设置好的。
在步骤605，HLR/AUC将MAC以及已知的SQN组合成AUTN。
在AUTN包括AMF的情况下，在步骤604中进一步考虑AMF，比如利用SKEY、RAND、SQN和AMF生成MAC，其中AMF也是预先设置的。在步骤605中同样进一步考虑AMF，也就是将MAC、SQN和AMF共同组合成AUTN。
在步骤606，HLR/AUC将RAND、AUTN、XRES、CK和IK组成一个鉴权集。
在步骤607，HLR/AUC将该鉴权集发送给MSC/VLR。
在步骤608，鉴权时，MSC/VLR在该移动终端的相应的鉴权集中提取出RAND和AUTN，作为本发明的鉴权信息发送给移动终端。
本步骤可以是移动终端向网络侧发送一个触发信息开始的。实际当中，在移动终端发起位置更新请求，或业务请求时，MSC/VLR会对终端发起鉴权请求，比如在移动终端开机登陆网络时MSC/VLR会向终端发起鉴权请求。
本步骤可以是网络侧主动发起，比如，网络侧在移动终端很久没有发起相关请求时，出动发起一个鉴权流程。
在步骤609，移动终端在接收到来自MSC/VLR的RAND和AUTN之后，首先判断AUTN是否可以接受，比如判断AUTN中的SQN和自己保存的SQN的差值是否在一个预定范围内，如果是，判定AUTN是可接受的，继续执行步骤610；否则判定AUTN是不可接受的，直接在步骤612判定对网络的鉴权失败，这种情况下，移动终端可以向网络侧发送一个同步SQN的同步命令，通过同步流程，使终端和网络对应保存的SQN同步。关于SQN同步流程，可以参考现有技术中关于SQN同步的描述，参见3GPP33.102/29.002相关协议，在此不再赘述。
在步骤610，移动终端根据自己的SKEY和接收的RAND、SQN计算得到一个MAC值，并比较自己计算得到的MAC值和AUTN中的MAC值是否一致，如果一致，则在步骤611判定对网络的鉴权通过；否则在步骤612判定对网络的鉴权失败。
移动终端判定对网络的鉴权通过后，使用接收的的AUTN中的SQN更新自己保存的SQN。
在AUTN包括AMF的情况下，在步骤610中进一步考虑AMF，比如利用自己的SKEY、接收的RAND、SQN和AMF生成MAC值，其中SQN和AMF是AUTN中携带的。
上述说明了本发明的移动终端对网络进行鉴权的处理，本发明还可以进一步包括由网络对移动终端进行鉴权的处理，也就是在步骤611之后，继续执行网络对终端进行鉴权的后续步骤。
如图7所示，步骤701-712和步骤601-612完全相同，不再重复说明，并且在图中使用一个字母A替代。
在步骤713，移动终端将RAND发送给用户卡。
在步骤714，用户卡使用自己的KI和接收的RAND生成XRES、CK和IK。
在步骤715，用户卡将生成的XRES发送给移动终端。
在步骤716，移动终端将接收自用户卡的XRES发送给MSC/VLR。
在步骤717，MSC/VLR比较接收自移动终端的XRES和接收自HLR/AUC的该移动终端的相应的鉴权集中XRES是否一致。如果一致，在步骤718判定网络对移动终端鉴权通过；否则在步骤719判定网络对移动终端鉴权失败。
这里在步骤713，为了和现有处理兼容，移动终端在发送RAND的同时可以发送AUTN，这样用户卡可以进一步根据AUTN和自己的KI对网络进行鉴权。在这种情况下，移动终端可以将发送给用户卡的AUTN设置成一个表示由移动终端对网络进行鉴权的特殊值，用户卡在判断出AUTN是该特殊值之后，仅仅使用KI和RAND产生XRES、CK和IK，而不再根据AUTN和KI对网络进行鉴权。
在用户卡根据KI和RAND生成XRES、CK和IK时，也可以只产生XRES和CK，然后将产生的XRES和CK发送给移动终端，由移动终端根据CK导出IK。
上述步骤716，移动终端将接收自用户卡的XRES发送给MSC/VLR之前，可以判断网络是否为第二代移动通信网络，如果是，移动终端可以根据XRES、CK、IK等导出用于第二代网络鉴权的SRES2g(Signed Response符号响应)和KC2g(Cipher Key密码密钥)，使用生成的SRES2g替代XRES传送给MSC/VLR，使用KC2g和网络侧进行相关通信的加解密。相关推导方法在现有3GPP中相关协议有建议，在此不再赘述。
另外，关于第二代移动通信网络的鉴权请参考GSM 03.20和GSM09.02。
另外，XRES、CK、IK也可以由SEY和RAND产生，在此情况下，提出了如图8所示的另一实施例。
在步骤801，首先在HLR/AUC和移动终端中同时保存对应移动终端鉴权的SKEY。
在步骤802，HLR/AUC利用自己的随机数发生器产生一个RAND。
在步骤803，HLR/AUC利用预先保存的对应移动终端的SKEY和自己产生的RAND计算得到XRES、CK和IK。
在步骤804，HLR/AUC利用预先保存的对应移动终端的SKEY以及RAND和SQN生成MAC。这里的SQN是当前已知的，例如预先设置好的。
在步骤805，HLR/AUC将MAC以及已知的SQN组合成AUTN。
在AUTN包括AMF的情况下，在步骤804中进一步考虑AMF，比如利用SKEY、RAND、SQN和AMF生成MAC，其中AMF也是预先设置的。在步骤805中同样进一步考虑AMF，也就是将MAC、SQN和AMF共同组合成AUTN。
在步骤806，HLR/AUC将RAND、AUTN、XRES、CK和IK组成一个鉴权集。
在步骤807，HLR/AUC将该鉴权集发送给MSC/VLR。
在步骤808，鉴权时，MSC/VLR在该移动终端的相应鉴权集中提取出RAND和AUTN，作为本发明的鉴权信息发送给移动终端。
在步骤809，移动终端在接收到来自MSC/VLR的RAND和AUTN之后，首先判断AUTN是否可以接受，比如判断AUTN中的SQN和自己保存的SQN的差值是否在一个预定范围内，如果是，判定AUTN是可接受的，继续执行步骤810；否则判定AUTN是不可接受的，直接在步骤812判定对网络的鉴权失败，这种情况下，移动终端可以向网络侧发送一个SQN不可接受命令，比如，发起一个同步SQN的同步命令，通过同步流程，使终端和网络保存的相应的SQN同步。
在步骤810，移动终端根据自己的SKEY和接收的RAND、SQN计算得到一个MAC值，并比较自己计算得到的MAC值和AUTN中的MAC值是否一致，如果一致，则在步骤811判定对网络的鉴权通过；否则在步骤812判定对网络的鉴权失败。
移动终端判定对网络的鉴权通过后，使用接收的AUTN中的SQN更新自己保存的SQN。
在AUTN包括AMF的情况下，在步骤810中进一步考虑AMF，比如利用自己的SKEY、接收的RAND、SQN和AMF生成MAC值，其中SQN和AMF是AUTN中携带的。
在步骤813，移动终端使用自己的SKEY和接收的RAND生成XRES、CK和IK。并将自己生成的XRES发送给MSC/VLR。
在步骤814，MSC/VLR比较接收自移动终端的XRES和接收自HLR/AUC的该移动终端的相应的鉴权集中XRES是否一致。如果一致，在步骤815判定网络对移动终端鉴权通过；否则在步骤816判定网络对移动终端鉴权失败。
上述各种方法中，网络设备比如MSC/VLR在向终端发送鉴权信息时，可以一次发送，也可以分多次发送。比如，第一次传送一个随机数RAND，第二次传送鉴权标记AUTN。实际当中，将根据网络的协议能力来决定分几次发送。比如，在UMTS网络中，MSC/VLR可以一次将RAND、AUTN等鉴权信息通过鉴权命令发送给移动终端，而在第二代移动通信网络中，MSC/VLR可能需要通过两次或多次将RAND、AUTN等鉴权信息通过第二代网络的鉴权命令发送给移动终端。
本发明中产生随机数、产生鉴权集、以及终端产生期望响应XRES、加密密钥、完整性密钥及消息鉴权码MAC等等所使用的算法，可以是利用3GPP现有协议规定或建议的算法，也可以单独确定算法。关于第三代移动通信网络的鉴权请参考3G TS 33.102和3G TS 29.002。
上述MSC/VLR为电路域设备，对于分组域的网络，对应的MSC/VLR设备可以为SGSN。
可以理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (33)

1.一种移动通信系统中网络设备生成鉴权信息的方法，至少包括：
a.预先在网络设备中设置一个对应于移动终端的安全密钥；
b.网络设备根据所述安全密钥和一个随机数生成对应于该移动终端的鉴权信息。
2.根据权利要求1所述的方法，其特征是，所述鉴权信息包括所述随机数和一个鉴权标记，其中鉴权标记至少包括序列号和消息鉴权编码。
3.根据权利要求2所述的方法，其特征是，步骤b所述根据安全密钥和随机数生成鉴权信息包括：
b1.根据安全密钥、随机数和自己设置的序列号生成鉴权标记；
b2.组合所述随机数和鉴权标记形成所述鉴权信息。
4.根据权利要求3所述的方法，其特征是，步骤b1包括：
根据安全密钥、随机数和序列号生成消息鉴权编码；然后将消息鉴权编码和序列号组合成鉴权标记。
5.根据权利要求4所述的方法，其特征是，鉴权标记进一步包括鉴权管理域，步骤b 1中根据安全密钥、随机数和序列号生成消息鉴权编码是根据安全密钥、随机数、序列号和鉴权管理域生成消息鉴权编码，在组合成鉴权标记的步骤中进一步包括加入鉴权管理域的步骤。
6.根据权利要求3所述的方法，其特征是，所述网络设备包括归属位置寄存器/验证中心HLR/AUC，该方法进一步包括HLR/AUC根据鉴权密钥和随机数生成期望响应、加密密钥和完整性密钥，或者根据安全密钥和随机数生成期望响应、加密密钥和完整性密钥；并将随机数、期望响应、加密密钥、完整性密钥和鉴权标记组成鉴权集。
7.根据权利要求6所述的方法，其特征是，所述网络设备进一步包括移动交换中心MSC/VLR，该方法进一步包括HLR/AUC将鉴权集发送给MSC/VLR。
8.根据权利要求7所述的方法，其特征是，该方法进一步包括MSC/VLR在鉴权时发现没有相应终端的鉴权集或者在使用完了相应终端的所有鉴权集后向HLR/AUC发送鉴权集请求消息，HLR/AUC将鉴权集发送给MSC/VLR是在接收到来自MSC/VLR的鉴权集请求消息，或者是需要更新MSC/VLR的鉴权集时进行发送，所述发送鉴权集是将已经生成的大于等于一个鉴权集发送给MSC/VLR。
9.根据权利要求7所述的方法，其特征是，该方法进一步包括MSC/VLR在接收到来自移动终端的触发鉴权的请求消息后，或者是在网络侧需要对移动终端进行鉴权时将由鉴权集中随机数和鉴权标记组成的鉴权信息发送给移动终端。
10.根据权利要求3所述的方法，其特征是，所述序列号是用于移动终端用户卡鉴权的序列号；或者该方法进一步包括设置一个对应于移动终端鉴权的序列号的步骤；步骤b中所述序列号是所设置的对应于移动终端鉴权的序列号。
11.根据权利要求1所述的方法，其特征是，步骤a中设置对应于移动终端的安全密钥是设置对应于移动终端特征信息的安全密钥，所述移动终端特征信息是移动终端设备标识信息IMEI。
12.根据权利要求1所述的方法，其特征是，步骤a中设置对应于移动终端的安全密钥是设置对应于移动终端用户签约相关信息的安全密钥，所述移动终端用户签约相关信息是移动终端用户标识信息IMSI或移动终端用户卡编号或移动电话号码MSISDN。
13.根据权利要求1所述的方法，其特征是，步骤b之前进一步包括一个判断是否执行根据安全密钥生成鉴权信息的步骤，如果是，执行步骤b；否则不执行根据安全密钥生成鉴权信息的步骤。
14.根据权利要求1所述的方法，其特征是，步骤a所述安全密钥是根据随机数和鉴权密钥产生的。
15.一种移动通信网络中移动终端对通信网络进行鉴权的方法，至少包括：
a.预先在移动终端中设置一个对应于该移动终端的安全密钥；
b.移动终端在接收到来自网络侧设备的鉴权信息之后，根据自己设置的安全密钥和所述鉴权信息判断对网络的鉴权是否通过。
16.根据权利要求15所述的方法，其特征是，所述接收的鉴权信息包括随机数和鉴权标记，其中鉴权标记至少包括序列号和消息鉴权编码。
17.根据权利要求16所述的方法，其特征是，步骤b所述根据自己设置的安全密钥和所述鉴权信息判断对网络的鉴权是否通过包括：
b1.根据自己设置的安全密钥、接收的序列号和随机数计算得到一个移动终端消息鉴权编码；
b2.比较计算得到的移动终端消息鉴权编码和接收的鉴权信息中包含的消息鉴权编码是否一致，如果一致，判定对网络的鉴权通过；否则判定对网络的鉴权失败。
18.根据权利要求17所述的方法，其特征是，在步骤b1之前进一步包括：
判断所接收的鉴权信息中的序列号和自己设置的序列号的差值是否在一个预定范围内，如果是，执行步骤b1；否则直接判定对网络的鉴权失败。
19.根据权利要求17所述的方法，其特征是，所述鉴权标记进一步包括鉴权管理域，步骤b1中根据自己设置的安全密钥、接收的序列号和随机数计算得到一个移动终端消息鉴权编码时进一步结合所述鉴权管理域。
20.根据权利要求16所述的方法，其特征是，所述序列号是用于移动终端用户卡鉴权的序列号；或者该方法进一步包括设置一个对应于移动终端鉴权的序列号的步骤；步骤b中所述序列号是所设置的对应于移动终端鉴权的序列号。
21.根据权利要求15所述的方法，其特征是，步骤a中设置对应于移动终端的安全密钥是设置对应于移动终端用户卡特征信息的安全密钥，所述用户卡特征信息是移动终端用户卡里的移动终端用户标识信息IMSI或移动终端用户卡编号。
22.根据权利要求15所述的方法，其特征是，步骤b之前进一步包括一个判断是否执行根据安全密钥和鉴权信息判断对网络的鉴权是否通过的步骤，如果是，执行步骤b；否则不执行终端对网络的鉴权步骤。
23.根据权利要求15所述的方法，其特征是，步骤b之前进一步包括移动终端向网络设备发送触发鉴权的请求消息的步骤。
24.根据权利要求15所述的方法，其特征是，步骤b进一步包括根据安全密钥和随机数生成期望响应、加密密钥和完整性密钥，并将期望响应返回给相应的网络设备。
25.根据权利要求15所述的方法，其特征是，步骤a所述安全密钥是根据随机数和用户卡中的鉴权密钥产生的。
26.一种移动通信网络中的鉴权方法，至少包括：
a.预先在网络设备和移动终端中分别设置一个对应该移动终端的安全密钥；
b.网络设备根据安全密钥和随机数生成对应于所述移动终端的鉴权信息；
c.网络设备将所述鉴权信息发送到所述移动终端；
d.移动终端根据自己设置的安全密钥和接收的鉴权信息判断对网络的鉴权是否通过。
27.根据权利要求26所述的方法，其特征是，所述鉴权信息包括随机数和鉴权标记，其中鉴权标记至少包括序列号和消息鉴权编码。
28.根据权利要求27所述的方法，其特征是，所述网络设备包括HLR/AUC和MSC/VLR，步骤b包括：
HLR/AUC根据鉴权密钥、自己设置的序列号和随机数生成包括随机数、期望响应、加密密钥、完整性密钥和鉴权标记的鉴权集，并将所述鉴权集发送到MSC/VLR，MSC/VLR将鉴权集中的随机数和鉴权标记作为鉴权信息发送给移动终端。
29.根据权利要求28所述的方法，其特征是，步骤d之后进一步包括：
移动终端将随机数发送给用户卡，用户卡根据自己设置的鉴权密钥和接收的随机数生成期望响应和加密密钥；
用户卡将期望响应发送给移动终端，移动终端再将期望响应发送给MSC/VLR；
MSC/VLR比较接收自移动终端的期望响应和接收自HLR/AUC的对应的鉴权集中的期望响应是否一致，如果一致，网络对移动终端的鉴权通过；否则网络对移动终端的鉴权不通过。
30.根据权利要求29所述的方法，其特征是，所述用户卡在生成期望响应和加密密钥的同时进一步生成完整性密钥，所述方法进一步包括用户卡将所述完整性密钥发送给移动终端；或者该方法进一步包括移动终端根据加密密钥生成完整性密钥。
31.根据权利要求30所述的方法，其特征是，在移动终端将随机数发送给用户卡的同时进一步包括发送鉴权标记的步骤，该方法进一步包括设置鉴权标记为一个预定值，用户卡在接收到鉴权标记之后进一步包括判断鉴权标记是否是预定值，如果是，执行生成期望响应和加密密钥的步骤；否则，用户卡判断对网络的鉴权是否通过。
32.根据权利要求27所述的方法，其特征是，所述网络设备包括HLR/AUC和MSC/VLR，步骤b包括：
HLR/AUC根据安全密钥、自己设置的序列号和随机数生成包括随机数、期望响应、加密密钥、完整性密钥和鉴权标记的鉴权集，并将所述鉴权集发送到MSC/VLR；MSC/VLR将鉴权集中的随机数和鉴权标记作为鉴权信息发送给移动终端。
33.根据权利要求32所述的方法，其特征是，步骤d之后进一步包括：
移动终端根据自己设置的安全密钥和接收的随机数生成期望响应和加密密钥；并将期望响应发送给MSC/VLR；
MSC/VLR比较接收自移动终端的期望响应和接收自HLR/AUC的对应的鉴权集中的期望响应是否一致，如果一致，网络对移动终端的鉴权通过；否则网络对移动终端的鉴权不通过。
CN2004100878811A 2004-10-27 2004-10-27 鉴权方法 Active CN1767430B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN2004100878811A CN1767430B (zh) 2004-10-27 2004-10-27 鉴权方法
AT05802192T ATE454000T1 (de) 2004-10-27 2005-10-26 Authentifizierungsverfahren
PCT/CN2005/001767 WO2006060943A1 (en) 2004-10-27 2005-10-26 Authentication method
EP05802192A EP1758417B1 (en) 2004-10-27 2005-10-26 Authentication method
DE602005018638T DE602005018638D1 (de) 2004-10-27 2005-10-26 Authentifizierungsverfahren
US11/612,314 US8909193B2 (en) 2004-10-27 2006-12-18 Authentication method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2004100878811A CN1767430B (zh) 2004-10-27 2004-10-27 鉴权方法

Publications (2)

Publication Number Publication Date
CN1767430A true CN1767430A (zh) 2006-05-03
CN1767430B CN1767430B (zh) 2010-04-21

Family

ID=36577654

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2004100878811A Active CN1767430B (zh) 2004-10-27 2004-10-27 鉴权方法

Country Status (6)

Country Link
US (1) US8909193B2 (zh)
EP (1) EP1758417B1 (zh)
CN (1) CN1767430B (zh)
AT (1) ATE454000T1 (zh)
DE (1) DE602005018638D1 (zh)
WO (1) WO2006060943A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102595401A (zh) * 2012-03-19 2012-07-18 中兴通讯股份有限公司 一种检测uicc和设备是否配对的方法和系统
CN106028331A (zh) * 2016-07-11 2016-10-12 华为技术有限公司 一种识别伪基站的方法及设备
CN107071773A (zh) * 2016-11-24 2017-08-18 奇酷互联网络科技（深圳）有限公司 一种网络连接建立方法及装置
WO2018208221A1 (zh) * 2017-05-09 2018-11-15 华为国际有限公司 网络认证方法、网络设备及终端设备
CN109219037A (zh) * 2018-09-19 2019-01-15 东信和平科技股份有限公司 智能卡上多个号码同时待机的实现方法、装置及存储介质
CN110808942A (zh) * 2018-08-06 2020-02-18 华为技术有限公司 一种签约信息配置方法及通信设备

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7831237B2 (en) 2006-02-03 2010-11-09 Broadcom Corporation Authenticating mobile network provider equipment
US8265593B2 (en) 2007-08-27 2012-09-11 Alcatel Lucent Method and system of communication using extended sequence number
US8379854B2 (en) * 2007-10-09 2013-02-19 Alcatel Lucent Secure wireless communication
KR100905072B1 (ko) * 2007-12-18 2009-06-30 주식회사 케이티프리텔 강제 재위치 등록에 의한 도난 단말 사용 저지 방법 및시스템
US8600058B2 (en) * 2009-03-27 2013-12-03 Samsung Electronics Co., Ltd. Generation of self-certified identity for efficient access control list management
CN101959172A (zh) * 2009-07-17 2011-01-26 中兴通讯股份有限公司 Ngn中身份标识和位置分离的附着方法及系统
WO2011094869A1 (en) * 2010-02-05 2011-08-11 Lipso Systèmes Inc. Secure authentication system and method
CN102395130B (zh) * 2011-11-01 2014-06-04 重庆邮电大学 一种lte中鉴权的方法
CN102905264B (zh) * 2012-10-11 2015-01-21 东信和平科技股份有限公司 一种基于sim卡的网络服务保护方法及系统
US8914853B2 (en) * 2012-12-07 2014-12-16 Verizon Patent And Licensing Inc. Blocking network access for unauthorized mobile devices
CN104754577B (zh) * 2013-12-31 2019-05-03 华为技术有限公司 一种选择认证算法的方法、装置及系统
US10211990B2 (en) 2014-07-25 2019-02-19 GM Global Technology Operations LLC Authenticating messages sent over a vehicle bus that include message authentication codes
CN106411522A (zh) * 2015-08-03 2017-02-15 中兴通讯股份有限公司 一种基于智能卡的在线认证方法、智能卡及认证服务器
US9992810B2 (en) * 2015-08-26 2018-06-05 Samsung Electronics Co., Ltd Method for providing integrity protection in a dual SIM dual standby device
CN105825120B (zh) * 2016-03-11 2019-09-10 北京天创征腾信息科技有限公司 一种计算机与移动终端之间交互认证的方法及系统
US9807615B2 (en) 2016-03-17 2017-10-31 International Business Machines Corporation Disabling a mobile device that has stolen hardware components
CN105871935A (zh) * 2016-06-21 2016-08-17 珠海市魅族科技有限公司 一种移动通信的方法及装置
US10608822B2 (en) * 2017-04-26 2020-03-31 Nxp B.V. Efficient calculation of message authentication codes for related data

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI102235B1 (fi) * 1996-01-24 1998-10-30 Nokia Telecommunications Oy Autentikointiavainten hallinta matkaviestinjärjestelmässä
FI109864B (fi) * 2000-03-30 2002-10-15 Nokia Corp Tilaajan autentikaatio
DE10026326B4 (de) * 2000-05-26 2016-02-04 Ipcom Gmbh & Co. Kg Verfahren zur kryptografisch prüfbaren Identifikation einer physikalischen Einheit in einem offenen drahtlosen Telekommunikationsnetzwerk
US6879690B2 (en) * 2001-02-21 2005-04-12 Nokia Corporation Method and system for delegation of security procedures to a visited domain
FI114180B (fi) * 2001-06-12 2004-08-31 Nokia Corp Parannettu menetelmä ja laitejärjestely tietojen siirron salaamiseksi radioverkon päätelaitteen sisältämässä rajapinnassa sekä radioverkon päätelaite
US8526914B2 (en) * 2004-06-04 2013-09-03 Alcatel Lucent Self-synchronizing authentication and key agreement protocol

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102595401A (zh) * 2012-03-19 2012-07-18 中兴通讯股份有限公司 一种检测uicc和设备是否配对的方法和系统
CN102595401B (zh) * 2012-03-19 2018-05-04 中兴通讯股份有限公司 一种检测uicc和设备是否配对的方法和系统
CN106028331A (zh) * 2016-07-11 2016-10-12 华为技术有限公司 一种识别伪基站的方法及设备
CN106028331B (zh) * 2016-07-11 2020-03-10 华为技术有限公司 一种识别伪基站的方法及设备
CN107071773A (zh) * 2016-11-24 2017-08-18 奇酷互联网络科技（深圳）有限公司 一种网络连接建立方法及装置
CN107071773B (zh) * 2016-11-24 2021-01-08 奇酷互联网络科技（深圳）有限公司 一种网络连接建立方法及装置
WO2018208221A1 (zh) * 2017-05-09 2018-11-15 华为国际有限公司 网络认证方法、网络设备及终端设备
WO2018208228A3 (zh) * 2017-05-09 2018-12-27 华为国际有限公司 网络认证方法、网络设备、终端设备及存储介质
CN110808942A (zh) * 2018-08-06 2020-02-18 华为技术有限公司 一种签约信息配置方法及通信设备
CN110808942B (zh) * 2018-08-06 2021-12-10 华为技术有限公司 一种签约信息配置方法、网络设备和终端设备
US11930008B2 (en) 2018-08-06 2024-03-12 Huawei Technologies Co., Ltd. Subscription information configuration method and communications device
CN109219037A (zh) * 2018-09-19 2019-01-15 东信和平科技股份有限公司 智能卡上多个号码同时待机的实现方法、装置及存储介质

Also Published As

Publication number Publication date
US8909193B2 (en) 2014-12-09
EP1758417A1 (en) 2007-02-28
EP1758417A4 (en) 2007-10-31
CN1767430B (zh) 2010-04-21
EP1758417B1 (en) 2009-12-30
WO2006060943A1 (en) 2006-06-15
DE602005018638D1 (de) 2010-02-11
ATE454000T1 (de) 2010-01-15
US20070173229A1 (en) 2007-07-26

Similar Documents

Publication Publication Date Title
CN1767430A (zh) 鉴权方法
CN1870808A (zh) 一种密钥更新方法
CN1859729A (zh) 一种鉴权方法及相应的信息传递方法
CN1550116A (zh) 电信系统中终止消息的认证
CN1256002C (zh) 用户鉴权方法和系统
CN1889730A (zh) 无线用户标识模块、通信终端设备和通信控制方法
CN1857024A (zh) 在移动通信系统中用于密码学的增强型安全性设计
CN1230324A (zh) 增强的短消息和同步与保护蜂窝电信系统中增强的短消息交换的方法
CN1363195A (zh) 通信系统中的完整性检验
CN101052167A (zh) 一种通信号码自动更新系统及其实现方法
CN1925341A (zh) 多模式移动通讯设备及其配置和操作控制方法
CN1794676A (zh) 用户接入无线通信网络的方法和无线网络接入控制装置
CN1751533A (zh) 在移动无线电系统中形成和分配加密密钥的方法和移动无线电系统
CN1852094A (zh) 网络业务应用账户的保护方法和系统
CN1848995A (zh) 一种移动终端和网络设备之间的鉴权方法
CN1610436A (zh) 一种利用短消息远程控制手机的方法
CN101064606A (zh) 一种用于鉴权的系统、装置及方法
CN1977559A (zh) 保护在用户之间进行通信期间交换的信息的方法和系统
CN1708018A (zh) 一种无线局域网移动终端接入的方法
CN101077023A (zh) 用于配置无线电终端的方法和网络体系结构、无线电终端、网络节点及其计算机程序产品
CN1878198A (zh) 实现虚拟终端通信的方法、终端设备和通信系统
CN101047506A (zh) 针对无线通信网络中的终端设备发起业务的管理方法
CN1859734A (zh) 一种受控的密钥更新方法
US8681989B2 (en) WCDMA 3G voice communication protection method and terminal using the same
CN1835623A (zh) 一种受控的密钥更新方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant