CN1845600A - 移动广播电视业务中实现用户密钥协商的方法及系统 - Google Patents

Abstract

一种移动广播电视业务中实现用户密钥协商的方法，包括：步骤1为拜访地移动通信网络侧将归属BSF的地址和IMPI发送给终端；步骤2为归属BSF查找对应的IMSI；步骤3为归属BSF向归属位置寄存器和认证中心发送认证数据请求消息；步骤4为归属BSF向终端发送挑战消息；步骤5为归属BSF判断响应数据是否与鉴权元组中的对应数据相同，如果相同则执行步骤6，如果不相同则执行步骤7；步骤6为归属BSF向终端发送包括引导业务标识和用户密钥的生命周期的消息；步骤7为结束。一种移动广播电视业务中实现用户密钥协商的系统，包括：拜访业务中心模块、用户密钥管理模块、归属BSF、及归属位置寄存器和认证中心。

Description

移动广播电视业务中实现用户密钥协商的方法及系统

技术领域

本发明涉及移动广播电视业务中实现用户密钥协商的方法及系统，特别涉及能够根据终端的国际移动用户标识获取其对应的IP多媒体私有标识、能够通过三元鉴权元组运算支持使用SIM卡的终端，且通过五元鉴权元组运算支持使用USIM卡和/或ISIM卡的终端的移动广播电视业务中实现用户密钥协商的方法及系统。

背景技术

移动广播电视业务是将传统的音视频广播内容、交通信息、以及新闻等各种多媒体信息传输到个人移动终端或车载终端上，提供高质量的语音和多样化的数据服务，并提供双向的移动接收服务。

在移动广播电视业务中，为了保证业务信息和网络资源使用的安全性，终端在接入拜访地的移动通信网络时需要完成终端和移动通信网络的相互认证，并与移动通信网络进行用户密钥协商，建立新的用户密钥。所述用户密钥是终端与移动网络侧进行协商后建立的密钥，该密钥用于：生成后续过程中终端与移动网络侧的业务平台间的、与业务相关的其它认证和加密密钥。在用户密钥协商完成后，用户请求授权收看移动广播电视节目时，移动通信网络侧还需要对用户进行鉴权或与用户进行双向鉴权。拜访地的移动通信网络侧需要根据终端对应的IP多媒体私有标识(IP Multimedia Private Identity，简称IMPI)与归属地的移动通信网络侧建立通信连接，以实现对用户的鉴权或与用户进行双向鉴权的过程。使用ISIM卡的终端可在用户密钥协商过程中，将ISIM卡中保存的IMPI发送给拜访地移动通信网络侧，以便于后续的鉴权过程。而对于使用SIM卡或USIM卡的终端，由于SIM卡或USIM卡中保存的是国际移动用户标识(International Mobile Subscriber Identity，简称IMSI)，而未保存对应的IMPI，因此拜访地移动通信网络侧需要在用户密钥协商过程中，根据终端发送的IMSI来获取其对应的IMPI，以便于后续的鉴权过程。

现有技术中，为实现终端与网络密码协商的目的，通常采用认证和密钥协商(Authentication and Key Agreement，简称AKA)机制。AKA机制的执行分为两个阶段，第一阶段是认证向量(Authentication Vector，简称AV)从归属环境(Home Environment，简称HE)到服务网络(Serving Network，简称SN)的传送，第二阶段是服务GPRS支持节点(Serving GPRS Support Node，简称SGSN)/拜访位置寄存器(Visitor Location Register，简称VLR)和终端执行询问应答程序取得相互认证。其中HE包括归属位置寄存器(HomeLocation Register，简称HLR)和鉴权中心(Authentication Center，简称AuC)；认证向量含有与认证和密钥分配有关的敏感信息。

由于AKA机制未能解决根据终端发送的IMSI来获取其对应的IMPI的问题，因此不能有效地应用于移动广播电视业务中使用SIM卡或USIM卡的终端与移动通信网络间的用户密码协商过程。此外，现有技术中密钥协商过程中的五元鉴权元组运算也不支持使用SIM卡的终端。

发明内容

本发明的目的是针对上述现有技术的不足，提供一种移动广播电视业务中实现用户密钥协商的方法及系统，能够根据终端的国际移动用户标识获取其对应的IP多媒体私有标识、能够通过三元鉴权元组运算支持使用SIM卡的终端，且通过五元鉴权元组运算支持使用USIM卡和/或ISIM卡的终端。

为实现上述目的，本发明提供了一种移动广播电视业务中实现用户密钥协商的方法，包括以下步骤：

步骤1、拜访地移动通信网络侧收到终端发送的用于请求对应的归属引导服务功能模块(BOOTSTRAPPING SERVICE FUNCTION，简称BSF)的地址和IMPI的请求消息后，根据该请求消息中包括的IMSI、以及网络侧保存的IMSI与IMPI的对应关系，获取与该IMSI对应的IMPI，并根据该IMSI查找对应的归属BSF地址，然后将所述归属BSF的地址和IMPI发送给所述终端；

步骤2、所述归属BSF收到所述终端发送的用于触发密码协商过程的触发消息后，根据该触发消息中包括的IMPI，查找预先保存的与该IMPI对应的IMSI；

步骤3、所述归属BSF向归属位置寄存器和认证中心(HOME LOCATIONREGISTER/AUTHENTICATION CENTER，简称HLR/AuC)发送用于请求鉴权元组的认证数据请求消息，该认证数据请求消息中包括所述IMSI和所请求的鉴权元组的个数；

步骤4、所述归属BSF收到归属位置寄存器和认证中心发送的认证数据响应消息，所述认证数据响应消息中包括所述鉴权元组，所述鉴权元组中包括随机数据、第一响应数据和第一密钥数据，然后向所述终端发送挑战消息，所述挑战消息中包括所述鉴权元组之一中包括的随机数据；

步骤5、所述归属BSF收到所述终端发送的响应数据，该响应数据为终端根据所述随机数据进行鉴权元组运算生成的数据，然后所述归属BSF根据该响应数据对终端进行鉴权，判断该响应数据是否与所述认证数据响应消息中包括的鉴权元组中的对应数据相同，如果相同，则执行步骤6，如果不相同，则执行步骤7；

步骤6、所述归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥和引导业务标识，并向所述终端发送包括有所述引导业务标识和所述用户密钥的生命周期的消息；

步骤7、结束。

进一步地，步骤1中所述的获取与该IMSI对应的IMPI可具体包括以下步骤：在步骤10中根据预先保存的各地对应的IMSI号段，查找该IMSI对应的归属地标识；在步骤20中根据预先设定的IMSI与IMPI的换算公式计算该IMSI对应的IMPI。

例如，所述换算公式可为IMPI＝IMSI@归属地标识.运营商标识后缀名，其中，所述运营商标识和后缀名可为预先设定的常量字符串。或者IMPI＝IMSI对应的用户名@所属区域简称等。

在所述步骤3与步骤4之间还可包括以下步骤：在步骤30中，所述归属位置寄存器和认证中心根据所述IMSI查找预先保存的对应的用户鉴权密钥，并判断该终端是否使用SIM卡，如果使用SIM卡，则执行步骤31，如果使用USIM卡，则执行步骤32；在步骤31中，所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的三元鉴权元组，每个所述三元鉴权元组包括随机数据、第一响应数据和第一会话密钥数据，然后执行步骤4；在步骤32中，所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的五元鉴权元组，每个所述五元鉴权元组包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后执行步骤4。

步骤4中所述的向所述终端发送挑战消息可具体包括：所述归属BSF判断所述认证数据响应消息中包括的鉴权元组是否为所述三元鉴权元组，是则向所述终端发送包括所述随机数据的挑战消息，否则向所述终端发送包括所述随机数据和网络认证令牌的挑战消息；

在所述步骤4与步骤5之间还可包括所述终端根据所述随机数据进行鉴权元组运算的操作，具体包括以下步骤：在步骤40中，所述终端根据其所使用的卡执行相应操作，如果所述终端使用的卡为SIM卡，则执行步骤41，如果所述终端使用的卡为USIM卡，则执行步骤43；在步骤41中，所述SIM卡根据所述挑战消息中包括的随机数据，生成对应的带符号响应数据和第二会话密钥数据，并发送给所述终端；在步骤42中，所述终端将所述带符号响应数据发送给所述归属BSF，然后执行步骤5；在步骤43中，所述SIM卡根据所述挑战消息中包括的随机数据，生成对应的第二响应数据、第二加密密钥、以及第二完整性密钥，并发送给所述终端；在步骤44中，所述终端将所述第二响应数据发送给所说归属BSF，然后执行步骤5。

所述步骤5可具体包括以下步骤：在步骤50中，所述归属BSF判断所述鉴权元组是否为三元鉴权元组，是则执行步骤51，否则执行步骤52；在步骤51中，所述归属BSF判断所述鉴权元组中包括的第一响应数据是否与所述终端发送的带符号响应数据相同，是则执行步骤6，否则执行步骤7；在步骤52中，所述归属BSF判断所述鉴权元组中包括的期望响应数据是否与所述终端发送的第二响应数据相同，是则执行步骤6，否则执行步骤7。

步骤6中所述的归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥，可具体包括以下操作：所述归属BSF判断所述鉴权元组是否为三元鉴权元组，是则根据预先设定的所述第一会话密钥与所述用户密钥间的换算公式，进行运算生成所述用户密钥，否则根据预先设定的所述第一加密密钥、所述第一完整性密钥和所述用户密钥间的换算公式，进行运算生成所述用户密钥。

所述步骤6之后还可包括所述终端生成所述用户密钥的操作，具体包括以下步骤：在步骤61中，所述终端将所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期发送给该终端所使用的卡，如果该终端使用的卡为SIM卡，则执行步骤62，如果该终端使用的卡为USIM卡，则执行步骤63；在步骤62中，该SIM卡根据预先设定的所述第二会话密钥与所述用户密钥的换算公式，进行运算生成所述用户密钥，然后执行步骤7；在步骤63中，该USIM卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥间的换算公式，进行运算生成所述用户密钥，然后执行步骤7。所述步骤6之后也可包括所述终端生成所述用户密钥的操作，具体包括以下步骤：在步骤610中，所述终端保存所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期，如果该终端使用的卡为SIM卡，则执行步骤620，如果该终端使用的卡为USIM卡，则执行步骤630；在步骤620中，该SIM卡根据预先设定的所述第二会话密钥和所述用户密钥的换算公式，进行运算生成所述用户密钥，然后执行步骤7；在步骤630中，该USIM卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥间的换算公式，进行运算生成所述用户密钥，然后执行步骤7。

在上述技术方案中，克服了现有技术的缺陷，根据终端的国际移动用户标识获取其对应的IP多媒体私有标识、并通过三元鉴权元组运算支持使用SIM卡的终端，且通过五元鉴权元组运算支持使用USIM卡的终端。

为实现发明目的，本发明还提供了一种移动广播电视业务中实现用户密钥协商的方法，包括以下步骤：

步骤A1、拜访地移动通信网络侧收到终端发送的用于请求对应的归属BSF的地址的请求消息后，根据该请求消息中包括的IMPI查找对应的归属BSF地址，然后将所述归属BSF的地址发送给所述终端；

步骤A2、所述归属BSF收到所述终端发送的用于触发密码协商过程的触发消息后，根据该触发消息中包括的IMPI，查找预先保存的与该IMPI对应的IMSI；

步骤A3、所述归属BSF向归属位置寄存器和认证中心发送用于请求鉴权元组的认证数据请求消息，该认证数据请求消息中包括所述IMSI和所请求的鉴权元组的个数；

步骤A4、所述归属BSF收到归属位置寄存器和认证中心发送的认证数据响应消息，所述认证数据响应消息中包括五元鉴权元组，所述五元鉴权元组中包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后向所述终端发送挑战消息，所述挑战消息中包括所述五元鉴权元组之一中包括的随机数据和网络认证令牌；

步骤A5、所述归属BSF收到所述终端发送的期望响应数据，该期望响应数据为终端根据所述随机数据进行鉴权元组运算生成的数据，然后所述归属BSF判断所述期望响应数据是否与所述终端发送的第二响应数据相同，如果相同，则执行步骤A6，如果不相同，则执行步骤A7；

步骤A6、所述归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥和引导业务标识，并向所述终端发送包括有所述引导业务标识和所述用户密钥的生命周期的消息；

步骤A7、结束。

进一步地，在所述步骤A3与步骤A4之间还可包括以下步骤：所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的五元鉴权元组，每个所述五元鉴权元组包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后执行步骤A4。

更进一步地，在所述步骤A4与步骤A5之间还可包括所述终端根据所述随机数据进行鉴权元组运算的操作，具体包括以下步骤：在步骤A40中，所述终端使用的卡首先判断所述挑战消息中包括的网络认证令牌是否合法，是则根据所述挑战消息中包括的随机数据和网络认证令牌，生成对应的第二响应数据、第二加密密钥、以及第二完整性密钥，并发送给所述终端；否则触发网络认证令牌重同步过程；在步骤A41中，所述终端将所述第二响应数据发送给所说归属BSF，然后执行步骤A5。步骤A6中所述的归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥具体包括以下操作：所述归属BSF根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥。

在所述步骤A6与步骤A7之间还可包括以下步骤：在步骤A61中，所述终端保存所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期，或者将所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期发送给该终端所使用的卡；在步骤A62中，该终端所使用的卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥，然后执行步骤A7。

在上述技术方案中，克服了现有技术的缺陷，通过五元鉴权元组运算支持使用ISIM卡的终端。

为实现发明目的，本发明还提供了一种移动广播电视业务中实现用户密钥协商的系统，包括：拜访业务中心模块，与终端拜访地的移动通信网络连接，用于：接收终端通过移动通信网络发送的、用于请求对应的归属BSF的地址和/或IMPI的请求消息，以及将所述归属BSF的地址和/或IMPI经由终端拜访地的移动通信网络发送给所述终端；用户密钥管理模块，与所述拜访业务中心模块连接，用于：接收所述拜访业务中心模块转发的、用于请求对应的归属BSF的地址和/或IMPI的请求消息，生成IMPI及查询对应的归属BSF地址，以及将所述归属BSF的地址和/或IMPI发送给所述拜访业务中心模块；归属BSF，与终端归属地的移动通信网络连接，用于：接收所述终端发送的所述触发消息，向所述终端发送所述挑战消息，对所述终端进行鉴权或与终端互相鉴权，以及向所述终端发送所述包括有所述引导业务标识和所述用户密钥的生命周期的消息；归属位置寄存器和认证中心，与所述归属BSF连接，用于：接收所述归属BSF发送的所述认证数据请求消息，生成所述鉴权元组，以及向所述归属BSF发送所述认证数据响应消息。

进一步地，所述移动广播电视业务中实现用户密钥协商的系统还可包括一网络节点，与终端拜访地的移动通信网络连接，所述拜访业务中心通过该网络节点与终端拜访地的移动通信网络连接。所述网络节点可为无线应用协议(WIRELESS APPLICATION PROTOCOL，简称WAP)网关，也可为GPRS网关支持结点(Gateway GPRS Support Node，简称GGSN)。

在上述技术方案中，对于使用SIM卡或USIM卡的终端，拜访地移动通信网络侧在用户密钥协商过程中，根据终端发送的IMSI来获取其对应的IMPI，从而克服了现有技术中不能根据终端发送的IMSI来获取其对应的IMPI的问题，实现了对后续的鉴权过程的支持，因此能够有效地应用于移动广播电视业务中使用SIM卡或USIM卡的终端与移动通信网络间的用户密码协商过程；并且，对于使用SIM卡的终端进行三元鉴权元组运算，对于使用USIM卡和/或ISIM卡的终端，进行五元鉴权元组运算，因此能够支持使用SIM卡、USIM卡和/或ISIM卡的终端；进一步地，上述技术方案通过拜访地移动通信网络侧根据终端发送的IMSI来获取对应的归属BSF地址，从而实现对终端漫游的支持。

由上述技术方案可知，本发明能够达到根据终端的国际移动用户标识获取其对应的IP多媒体私有标识、能够通过三元鉴权元组运算支持使用SIM卡的终端，通过五元鉴权元组运算支持使用USIM卡和/或ISIM卡的终端，且能够支持终端漫游的有益效果。

附图说明

图1为本发明具体实施例一的示意图；

图2为本发明具体实施例二的示意图；

图3为本发明具体实施例三的示意图；

图4为本发明具体实施例四的示意图。

具体实施方式

下面结合附图和实施例，对本发明的技术方案做进一步的详细描述。

参见图1所示的本发明具体实施例一的示意图，一种移动广播电视业务中实现用户密钥协商的方法，包括以下步骤：在步骤1中，拜访地移动通信网络侧收到终端发送的用于请求对应的归属BSF的地址和IMPI的请求消息后，根据该请求消息中包括的IMSI、以及网络侧保存的IMSI与IMPI的对应关系，获取与该IMSI对应的IMPI，并根据该IMSI查找对应的归属BSF地址，然后将所述归属BSF的地址和IMPI发送给所述终端；在步骤2中，所述归属BSF收到所述终端发送的用于触发密码协商过程的触发消息后，根据该触发消息中包括的IMPI，查找预先保存的与该IMPI对应的IMSI；在步骤3中，所述归属BSF向归属位置寄存器和认证中心发送用于请求鉴权元组的认证数据请求消息，该认证数据请求消息中包括所述IMSI和所请求的鉴权元组的个数；在步骤4中，所述归属BSF收到归属位置寄存器和认证中心发送的认证数据响应消息，所述认证数据响应消息中包括所述鉴权元组，所述鉴权元组中包括随机数据、第一响应数据和第一密钥数据，然后向所述终端发送挑战消息，所述挑战消息中包括所述鉴权元组之一中包括的随机数据；在步骤5中，所述归属BSF收到所述终端发送的响应数据，该响应数据为终端根据所述随机数据进行鉴权元组运算生成的数据，然后所述归属BSF根据该响应数据对终端进行鉴权，判断该响应数据是否与所述认证数据响应消息中包括的鉴权元组中的对应数据相同，如果相同，则执行步骤6，如果不相同，则执行步骤7；在步骤6中，所述归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥和引导业务标识，并向所述终端发送包括有所述引导业务标识和所述用户密钥的生命周期的消息；步骤7为结束。

进一步地，步骤1中所述的获取与该IMSI对应的IMPI可具体包括以下步骤：首先根据预先保存的各地对应的IMSI号段，查找该IMSI对应的归属地标识；然后根据预先设定的IMSI与IMPI的换算公式计算该IMSI对应的IMPI。

例如，所述换算公式可为：IMPI＝IMSI@归属地标识.运营商标识后缀名，其中，所述运营商标识和后缀名为预先设定的常量字符串。当查找得到的所述归属地标识为“bj”时，对应的IMPI为：IMPI＝IMSI@bj.chinamobile.com。

本具体实施例一中，在所述步骤3与步骤4之间还可包括以下步骤：首先所述归属位置寄存器和认证中心根据所述IMSI查找预先保存的对应的用户鉴权密钥，并判断该终端是否使用SIM卡；如果使用SIM卡，则根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的三元鉴权元组，每个所述三元鉴权元组包括随机数据、第一响应数据和第一会话密钥数据，然后执行步骤4；如果使用USIM卡，则根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的五元鉴权元组，每个所述五元鉴权元组包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后执行步骤4。步骤4中所述的向所述终端发送挑战消息可具体包括：所述归属BSF判断所述认证数据响应消息中包括的鉴权元组是否为所述三元鉴权元组，是则向所述终端发送包括所述随机数据的挑战消息，否则向所述终端发送包括所述随机数据和网络认证令牌的挑战消息。在所述步骤4与步骤5之间还可包括所述终端根据所述随机数据进行鉴权元组运算的操作，具体包括以下步骤：所述终端根据其所使用的卡执行相应操作，如果所述终端使用的卡为SIM卡，则所述SIM卡根据所述挑战消息中包括的随机数据，生成对应的带符号响应数据和第二会话密钥数据，并发送给所述终端，所述终端将所述带符号响应数据发送给所述归属BSF，然后执行步骤5；如果所述终端使用的卡为USIM卡，则所述SIM卡根据所述挑战消息中包括的随机数据和网络认证令牌，生成对应的第二响应数据、第二加密密钥、以及第二完整性密钥，并发送给所述终端，所述终端将所述第二响应数据发送给所说归属BSF，然后执行步骤5。所述步骤5可具体包括以下步骤：所述归属BSF判断所述鉴权元组是否为三元鉴权元组；如果是三元鉴权元组，则判断所述鉴权元组中包括的第一响应数据是否与所述终端发送的带符号响应数据相同，是则执行步骤6，否则执行步骤7；如果不是三元鉴权元组，则判断所述鉴权元组中包括的期望响应数据是否与所述终端发送的第二响应数据相同，是则执行步骤6，否则执行步骤7。步骤6中所述的归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥，可具体包括以下操作：所述归属BSF判断所述鉴权元组是否为三元鉴权元组，是则将所述第一会话密钥作为所述用户密钥，否则将所述第一加密密钥和第一完整性密钥进行逻辑或运算后得到的数据作为所述用户密钥。所述步骤6之后还可包括所述终端生成所述用户密钥的操作，具体包括以下步骤：首先所述终端保存所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期，或者将所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期发送给该终端所使用的卡；如果该终端使用的卡为SIM卡，则该SIM卡将所述第二会话密钥作为所述用户密钥，然后执行步骤7；如果该终端使用的卡为USIM卡，则该USIM卡将所述第二加密密钥和第二完整性密钥进行逻辑或运算后得到的数据作为所述用户密钥，然后执行步骤7。

参见图2所示的本发明具体实施例二的示意图，一种移动广播电视业务中实现用户密钥协商的方法，包括以下步骤：在步骤A1中，拜访地移动通信网络侧收到终端发送的用于请求对应的归属BSF的地址的请求消息后，根据该请求消息中包括的IMPI查找对应的归属BSF地址，然后将所述归属BSF的地址发送给所述终端；在步骤A2中，所述归属BSF收到所述终端发送的用于触发密码协商过程的触发消息后，根据该触发消息中包括的IMPI，查找预先保存的与该IMPI对应的IMSI；在步骤A3中，所述归属BSF向归属位置寄存器和认证中心发送用于请求鉴权元组的认证数据请求消息，该认证数据请求消息中包括所述IMSI和所请求的鉴权元组的个数；在步骤A4中，所述归属BSF收到归属位置寄存器和认证中心发送的认证数据响应消息，所述认证数据响应消息中包括五元鉴权元组，所述五元鉴权元组中包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后向所述终端发送挑战消息，所述挑战消息中包括所述五元鉴权元组之一中包括的随机数据和网络认证令牌；在步骤A5中，所述归属BSF收到所述终端发送的期望响应数据，该期望响应数据为终端根据所述随机数据进行鉴权元组运算生成的数据，然后所述归属BSF判断所述期望响应数据是否与所述终端发送的第二响应数据相同，如果相同，则执行步骤A6，如果不相同，则执行步骤A7；在步骤A6中，所述归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥和引导业务标识，并向所述终端发送包括有所述引导业务标识和所述用户密钥的生命周期的消息；最后为步骤A7即结束。

本具体实施例二中，在所述步骤A3与步骤A4之间还可包括以下步骤：所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的五元鉴权元组，每个所述五元鉴权元组包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后执行步骤A4。在所述步骤A4与步骤A5之间还可包括所述终端根据所述随机数据进行鉴权元组运算的操作，具体包括以下步骤：在步骤A40中，所述终端使用的卡首先判断所述挑战消息中包括的网络认证令牌是否合法，是则根据所述挑战消息中包括的随机数据和网络认证令牌，生成对应的第二响应数据、第二加密密钥、以及第二完整性密钥，并发送给所述终端；否则触发网络认证令牌重同步过程；在步骤A41中，所述终端将所述第二响应数据发送给所说归属BSF，然后执行步骤A5。步骤A6中所述的归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥具体包括以下操作：所述归属BSF根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥。在所述步骤A6与步骤A7之间还可包括以下步骤：在步骤A61中，所述终端保存所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期，或者将所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期发送给该终端所使用的卡；在步骤A62中，该终端所使用的卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥，然后执行步骤A7。

参见图3所示的本发明具体实施例三的示意图，一种移动广播电视业务中实现用户密钥协商的系统，包括：拜访业务中心模块101，与终端拜访地的移动通信网络连接，用于：接收终端通过移动通信网络发送的、用于请求对应的归属BSF102的地址和IMPI的请求消息，以及将所述归属BSF102的地址和IMPI经由终端拜访地的移动通信网络发送给所述终端；用户密钥管理模块103，与所述拜访业务中心模块101连接，用于：接收所述拜访业务中心模块101转发的、用于请求对应的归属BSF102的地址和IMPI的请求消息，根据该请求消息中包括的IMSI生成对应的IMPI及查询获取对应的归属BSF102地址，以及将所述归属BSF102的地址和IMPI发送给所述拜访业务中心模块；归属BSF102，与终端归属地的移动通信网络连接，用于：接收所述终端发送的所述触发消息，向所述终端发送所述挑战消息，对所述终端进行鉴权，以及向所述终端发送所述包括有所述引导业务标识和所述用户密钥的生命周期的消息；归属位置寄存器和认证中心104，与所述归属BSF102连接，用于：接收所述归属BSF102发送的所述认证数据请求消息，生成所述鉴权元组，以及向所述归属BSF102发送所述认证数据响应消息。

其中，用户密钥管理模块103可存储有各省对应的IMSI号段，用于根据拜访业务中心发送的IMSI查找对应的用户归属省份标识(常量字符串)，并根据预先设定的IMSI与IMPI的换算公式计对应的IMPI。

例如，所述换算公式可为：IMPI＝IMSI@归属地标识.运营商标识.后缀名，其中，所述运营商标识和后缀名为预先设定的常量字符串，如：IMPI＝IMSI@用户归属省份标识.chinamobile.com。

参见图4所示的本发明具体实施例四的示意图，所述移动广播电视业务中实现用户密钥协商的系统还可包括WAP网关105，与终端拜访地的移动通信网络连接，拜访业务中心101通过该WAP网关105与终端拜访地的移动通信网络连接。

最后所应说明的是：以上实施例仅用以说明本发明的技术方案，而非对本发明作限制性理解。尽管参照上述较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这种修改或者等同替换并不脱离本发明技术方案的精神和范围。

Claims (18)

1、一种移动广播电视业务中实现用户密钥协商的方法，其特征在于，包括以下步骤：

步骤1、拜访地移动通信网络侧收到终端发送的用于请求对应的归属BSF的地址和IMPI的请求消息后，根据该请求消息中包括的IMSI、以及网络侧保存的IMSI与IMPI的对应关系，获取与该IMSI对应的IMPI，并根据该IMSI查找对应的归属BSF地址，然后将所述归属BSF的地址和IMPI发送给所述终端；

步骤2、所述归属BSF收到所述终端发送的用于触发密码协商过程的触发消息后，根据该触发消息中包括的IMPI，查找预先保存的与该IMPI对应的IMSI；

步骤3、所述归属BSF向归属位置寄存器和认证中心发送用于请求鉴权元组的认证数据请求消息，该认证数据请求消息中包括所述IMSI和所请求的鉴权元组的个数；

步骤4、所述归属BSF收到归属位置寄存器和认证中心发送的认证数据响应消息，所述认证数据响应消息中包括所述鉴权元组，所述鉴权元组中包括随机数据、第一响应数据和第一密钥数据，然后向所述终端发送挑战消息，所述挑战消息中包括所述鉴权元组之一中包括的随机数据；

步骤5、所述归属BSF收到所述终端发送的响应数据，该响应数据为终端根据所述随机数据进行鉴权元组运算生成的数据，然后所述归属BSF根据该响应数据对终端进行鉴权，判断该响应数据是否与所述认证数据响应消息中包括的鉴权元组中的对应数据相同，如果相同，则执行步骤6，如果不相同，则执行步骤7；

步骤6、所述归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥和引导业务标识，并向所述终端发送包括有所述引导业务标识和所述用户密钥的生命周期的消息；

步骤7、结束。

2、根据权利要求1所述的方法，其特征在于，步骤1中所述的获取与该IMSI对应的IMPI具体包括以下步骤：

步骤10、根据预先保存的各地对应的IMSI号段，查找该IMSI对应的归属地标识；

步骤20、根据预先设定的IMSI和IMPI的换算公式，计算该IMSI对应的IMPI。

3、根据权利要求1或2所述的方法，其特征在于，在所述步骤3与步骤4之间还包括以下步骤：

步骤30、所述归属位置寄存器和认证中心根据所述IMSI查找预先保存的对应的用户鉴权密钥，并判断该终端是否使用SIM卡，如果使用SIM卡，则执行步骤31，如果使用USIM卡，则执行步骤32；

步骤31、所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的三元鉴权元组，每个所述三元鉴权元组包括随机数据、第一响应数据和第一会话密钥数据，然后执行步骤4；

步骤32、所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的五元鉴权元组，每个所述五元鉴权元组包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后执行步骤4。

4、根据权利要求1或2所述的方法，其特征在于，步骤4中所述的向所述终端发送挑战消息具体包括：所述归属BSF判断所述认证数据响应消息中包括的鉴权元组是否为所述三元鉴权元组，是则向所述终端发送包括所述随机数据的挑战消息，否则向所述终端发送包括所述随机数据和网络认证令牌的挑战消息；

5、根据权利要求1或2所述的方法，其特征在于，在所述步骤4与步骤5之间还包括所述终端根据所述随机数据进行鉴权元组运算的操作，具体包括以下步骤：

步骤40、所述终端根据其所使用的卡执行相应操作，如果所述终端使用的卡为SIM卡，则执行步骤41，如果所述终端使用的卡为USIM卡，则执行步骤43；

步骤41、所述SIM卡根据所述挑战消息中包括的随机数据，生成对应的带符号响应数据和第二会话密钥数据，并发送给所述终端；

步骤42、所述终端将所述带符号响应数据发送给所述归属BSF，然后执行步骤5；

步骤43、所述USIM卡首先判断所述挑战消息中包括的网络认证令牌是否合法，是则根据所述挑战消息中包括的随机数据，生成对应的第二响应数据、第二加密密钥、以及第二完整性密钥，并发送给所述终端；否则触发网络认证令牌重同步过程；

步骤44、所述终端将所述第二响应数据发送给所说归属BSF，然后执行步骤5。

6、根据权利要求5所述的方法，其特征在于，所述步骤5具体包括以下步骤：

步骤50、所述归属BSF判断所述鉴权元组是否为三元鉴权元组，是则执行步骤51，否则执行步骤52；

步骤51、所述归属BSF判断所述鉴权元组中包括的第一响应数据是否与所述终端发送的带符号响应数据相同，是则执行步骤6，否则执行步骤7；

步骤52、所述归属BSF判断所述鉴权元组中包括的期望响应数据是否与所述终端发送的第二响应数据相同，是则执行步骤6，否则执行步骤7。

7、根据权利要求6所述的方法，其特征在于，步骤6中所述的归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥具体包括以下操作：所述归属BSF判断所述鉴权元组是否为三元鉴权元组，是则根据预先设定的第一会话密钥与用户密钥的换算公式，将所述第一会话密钥换算为所述用户密钥，否则根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥。

8、根据权利要求7所述的方法，其特征在于，所述步骤6与步骤7之间还包括所述终端生成所述用户密钥的操作，具体包括以下步骤：

步骤61、所述终端将所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期发送给该终端所使用的卡，如果该终端使用的卡为SIM卡，则执行步骤62，如果该终端使用的卡为USIM卡，则执行步骤63；

步骤62、该SIM卡根据预先设定的第二会话密钥与用户密钥的换算公式，将所述第二会话密钥换算为所述用户密钥，然后执行步骤7；

步骤63、该USIM卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥，然后执行步骤7。

9、根据权利要求7所述的方法，其特征在于，所述步骤6与步骤7之间还包括所述终端生成所述用户密钥的操作，具体包括以下步骤：

步骤610、所述终端保存所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期，如果该终端使用的卡为SIM卡，则执行步骤620，如果该终端使用的卡为USIM卡，则执行步骤630；

步骤620、该SIM卡根据预先设定的第二会话密钥与用户密钥的换算公式，将所述第二会话密钥换算为所述用户密钥，然后执行步骤7；

步骤630、该USIM卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥，然后执行步骤7。

10、一种移动广播电视业务中实现用户密钥协商的方法，其特征在于，包括以下步骤：

步骤A1、拜访地移动通信网络侧收到终端发送的用于请求对应的归属BSF的地址的请求消息后，根据该请求消息中包括的IMPI查找对应的归属BSF地址，然后将所述归属BSF的地址发送给所述终端；

步骤A2、所述归属BSF收到所述终端发送的用于触发密码协商过程的触发消息后，根据该触发消息中包括的IMPI，查找预先保存的与该IMPI对应的IMSI；

步骤A3、所述归属BSF向归属位置寄存器和认证中心发送用于请求鉴权元组的认证数据请求消息，该认证数据请求消息中包括所述IMSI和所请求的鉴权元组的个数；

步骤A4、所述归属BSF收到归属位置寄存器和认证中心发送的认证数据响应消息，所述认证数据响应消息中包括五元鉴权元组，所述五元鉴权元组中包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后向所述终端发送挑战消息，所述挑战消息中包括所述五元鉴权元组之一中包括的随机数据和网络认证令牌；

步骤A5、所述归属BSF收到所述终端发送的期望响应数据，该期望响应数据为终端根据所述随机数据进行鉴权元组运算生成的数据，然后所述归属BSF判断所述期望响应数据是否与所述终端发送的第二响应数据相同，如果相同，则执行步骤A6，如果不相同，则执行步骤A7；

步骤A6、所述归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥和引导业务标识，并向所述终端发送包括有所述引导业务标识和所述用户密钥的生命周期的消息；

步骤A7、结束。

11、根据权利要求10所述的方法，其特征在于，在所述步骤A3与步骤A4之间还包括以下步骤：

步骤A31、所述归属位置寄存器和认证中心根据所述认证数据请求消息中包括的所请求的鉴权元组的个数，生成所述个数的五元鉴权元组，每个所述五元鉴权元组包括随机数据、网络认证令牌、期望响应数据、第一加密密钥数据、以及第一完整性密钥数据，然后执行步骤A4。

12、根据权利要求10所述的方法，其特征在于，在所述步骤A4与步骤A5之间还包括所述终端根据所述随机数据进行鉴权元组运算的操作，具体包括以下步骤：

步骤A40、所述终端使用的卡首先判断所述挑战消息中包括的网络认证令牌是否合法，是则根据所述挑战消息中包括的随机数据和网络认证令牌，生成对应的第二响应数据、第二加密密钥、以及第二完整性密钥，并发送给所述终端；否则触发网络认证令牌重同步过程；

步骤A41、所述终端将所述第二响应数据发送给所说归属BSF，然后执行步骤A5。

13、根据权利要求10所述的方法，其特征在于，步骤A6中所述的归属BSF根据所述鉴权元组之一中包括的密钥数据生成用户密钥具体包括以下操作：所述归属BSF根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥。

14、根据权利要求10所述的方法，其特征在于，在所述步骤A6与步骤A7之间还包括以下步骤：

步骤A61、所述终端保存所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期，或者将所述随机数据、所述引导业务标识、以及所述用户密钥的生命周期发送给该终端所使用的卡；

步骤A62、该终端所使用的卡根据预先设定的所述第二加密密钥、所述第二完整性密钥和所述用户密钥的换算公式，进行运算得到所述用户密钥，然后执行步骤A7。

15、一种实现权利要求1-14任一所述的方法的移动广播电视业务中实现用户密钥协商的系统，其特征在于，包括：

拜访业务中心模块，与终端拜访地的移动通信网络连接，用于：接收终端通过移动通信网络发送的、用于请求对应的归属BSF的地址和/或IMPI的请求消息，以及将所述归属BSF的地址和/或IMPI经由终端拜访地的移动通信网络发送给所述终端；

用户密钥管理模块，与所述拜访业务中心模块连接，用于：接收所述拜访业务中心模块转发的、用于请求对应的归属BSF的地址和/或IMPI的请求消息，生成IMPI及查询对应的归属BSF地址，以及将所述归属BSF的地址和/或IMPI发送给所述拜访业务中心模块；

归属BSF，与终端归属地的移动通信网络连接，用于：接收所述终端发送的所述触发消息，向所述终端发送所述挑战消息，对所述终端进行鉴权或与终端互相鉴权，以及向所述终端发送所述包括有所述引导业务标识和所述用户密钥的生命周期的消息；

归属位置寄存器和认证中心，与所述归属BSF连接，用于：接收所述归属BSF发送的所述认证数据请求消息，生成所述鉴权元组，以及向所述归属BSF发送所述认证数据响应消息。

16、根据权利要求15所述的系统，其特征在于：还包括一网络节点，与终端拜访地的移动通信网络连接，所述拜访业务中心通过该网络节点与终端拜访地的移动通信网络连接。

17、根据权利要求16所述的系统，其特征在于：所述网络节点为WAP网关。

18、根据权利要求16所述的系统，其特征在于：所述网络节点为GPRS网关支持节点。

Images