CN1996838A - 一种多主机WiMAX系统中的AAA认证优化方法 - Google Patents
一种多主机WiMAX系统中的AAA认证优化方法 Download PDFInfo
- Publication number
- CN1996838A CN1996838A CN 200610000502 CN200610000502A CN1996838A CN 1996838 A CN1996838 A CN 1996838A CN 200610000502 CN200610000502 CN 200610000502 CN 200610000502 A CN200610000502 A CN 200610000502A CN 1996838 A CN1996838 A CN 1996838A
- Authority
- CN
- China
- Prior art keywords
- key
- aaa
- initiator
- session key
- distribution center
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
本发明涉及WiMAX技术，特别涉及在多主机WiMAX系统中的AAA认证优化方法，以解决现有WiMAX多主机系统中需要多个AAA代理时的信令和消息传输的安全性问题。本发明所述的AAA认证优化方法中，当一个会话业务需要两个或两个以上AAA代理时，在每两个相邻的AAA代理之间包括如下步骤：相邻的AAA代理之间交换密钥信息以获取会话密钥；并且相邻的AAA代理之间利用所述会话密钥加密/解密相关AAA认证信息；其中：所述的交换密钥信息基于单钥体制密钥交换协议、双钥体制密钥交换协议或混合体制密钥交换协议实现。本发明所述方法保证了需要多个AAA代理时的信令和消息传输的安全性。
Description
技术领域
本发明涉及WiMAX(World wide Interoperability for Microwave Access)技术，特别涉及在多主机(Multiple Hosts)WiMAX系统中的涉及认证、授权和计费的AAA(Authentication，Authorization and Accounting)认证优化方法。
背景技术
现有普通WiMAX网络架构体系如图1所示，包括MS(Mobile Station，移动台)、ASN(Access Service Network，接入服务网络)和CSN(ConnectivityService Network，连接服务网络)，其中：
MS为移动用户终端设备，用户使用该设备接入WiMAX网络；
ASN包括BS(Base Station，基站)和ASN-GW(Access Service Network GateWay，接入服务网络网关)等，用于为WiMAX终端设备提供无线接入服务的网络功能集合。如：基于所述BS提供BS和MS的连接、无线资源管理、测量与功率控制、空中接口数据的压缩与加密等功能；基于所述ASN-GW，为MS认证、授权和计费功能提供代理(Proxy)功能、支持NSP的网络发现和选择、为MS提供L3信息的Relay功能(如IP地址分配消息的中继)、无线资源管理等功能。为完成上述功能，BS和ASN-GW包括如下功能实体(FunctionalEntity)：物理/媒体访问控制功能实体(PHY/MAC Function)、数据通道控制功能实体(DP Function，简写为DP Function)、切换控制功能实体(HO Function)和外部代理HA(Foreign Agent)功能实体等。
CSN用于为WiMAX终端提供IP连接服务，如：为MS分配IP地址、提供互联网接入、提供AAA Proxy或者服务、提供基于用户的授权控制、提供ASN到CSN的数据通路，相当于移动IP技术中的家乡代理(Home Agent，HA)、提供WiMAX用户的计费以及运营商之间的结算、漫游情况下CSN之间的数据通路、不同ASN之间的切换，以及各种WiMAX服务(如基于位置的业务、多媒体多播和广播业务、IP多媒体子系统业务)等。
当前的多主机WiMAX(Multiple Hosts World wide Interoperability forMicrowave Access)通信系统结构如图2所示，移动台(G-MS)以及它所带的主机(Host)通过WLAN连接，G-MS通过无线接口连接基站，网络接入提供者NAP(Network Access Provider)的基站之间通过R8接口连接，基站与接入服务网络网关ASN GW(Access Service Network Gateway)之间的接口为R6接口，ASN GW之间的接口为R4接口，ASN GW与网络服务提供者NSP(NetworkService Provider)的连接服务网络CSN(Connectivity Service Network)之间的接口为R3接口。
当前的WiMAX多主机系统的信任模型中包括三个最主要的实体，分别是MS，AAA Client(Authenticator)和AAA Server。除了这三个实体，需要在Authenticator和AAA Server中增加一些代理AAA Proxy。
在这里主机Host是指通过MS连接到WiMAX网络上的设备。为了区别普通WiMAX系统的MS和WiMAX多主机系统中的MS，在WiMAX多主机系统中，统称MS为G-MS。在多主机的情景下，需要给主机提供AAA Client功能用于网络接入。该功能不是由WiMAX的Authenticator提供，而是由作为主机网关的G-MS提供。
如图3所示，由于在多主机的情况下，WiMAX的信任模型与普通的WiMAX的信任模型是不同的，所以在当前的技术中为了实现多主机WiMAX系统安全的需求，定义了下面几种信任关系(Trust Relationships)包括：
1、Host与G-MS之间的信任关系；
该信任关系是Host认证的一部分，Host的家乡AAA服务器(home AAAServer)发送基于扩展认证协议EAP(Extensible Authentication Protocol)的认证结果主会话密钥MSK(Master Session Key)给G-MS，然后G-MS使用MSK来建立Host和G-MS之间的安全无线链路。
2、G-MS与AAA(Host)之间的信任关系；
由于G-MS后的多个Host可以拥有不同的家乡网络，所以由G-MS来配置到这些家乡网络和它们的AAA Servers的正确的安全连接是很困难的。另外一方面，在一个AAA Server上建立与在不同网络中的多个G-MS实体也是不可接受的，于是就不可能假定在G-MS和AAA Server之间的有直接的信任关系。
3、G-MS与AAA Proxy之间的信任关系；
为了建立恰当的AAA架构以支持G-MS，在ASN或者NAP中就需要一个AAA Proxy功能。AAA Proxy负责在ASN/NAP与相应的Host的家乡网络中的AAA Server之间路由AAA消息。G-MS为了建立一个在G-MS和AAAProxy(在同一个ASN/NAP中)之间的安全联系，需要向AAA Proxy请求密钥。并且在一个Host能够成功接入并得到G-MS提供的网络资源之前就必须建立好该信任关系，该信任关系包含了两个方面：
其一保证在G-MS和AAA Proxy之间的消息的安全性。如果RADIUS被用于AAA protocol，这些消息的安全性应该由IETF RFC3579提供；
其二建立G-MS和AAA Proxy之间的密钥。
4、AAA Proxy与AAA(Host)之间的信任关系；
建立这两个实体之间的安全联系是为了配置决定和漫游协定。相同的安全需求也被应用了，例如由NAP操作AAA Proxy，它代理了在家乡网络中AAAServer和ASN-GW中的Authenticator之间的AAA消息。
如图4所示，显示了在一个G-MS后连一个Host时，该Host的认证过程。其中Authenticator位于G-MS中，并且在ASN网关中有一个AAA Proxy，Host的认证过程包括如下过程：
1、利用IEEE 802.11标准初始化网络接入过程；
2、EAP交换过程；
在G-MS(也是认证者(Authenticator))中的EAP发送一个EAP-Requestuest消息给请求者(Supplicant)(这里为Host)，该请求是EAP身份(EAP Identity)请求；
在请求者(Supplicant)上的EAP接收到EAP Request后，把它发送到本地的EAP方法中进行处理，然后发送携带了网络接入身份NAI(Network AccessIdentifier)信息的EAP响应(EAP-Response)。于是从现在起，认证者(Authenticator)转发所有的从MS到AAA代理(AAA Proxy)的响应，AAA代理然后根据NAI域路由数据包。
3、接入请求过程；
G-MS(Authenticator)根据CID(Connection IDentifier)将含有NAI信息的接入请求(Access Request)发送到BS上，再由BS通过R6接口转发给AAAProxy；
AAA Proxy收到Access Request后根据该消息中的NAI域信息和存储在AAA Proxy上的NAI域，到AAA Server的映射表查找出该主机(Host)的AAAserver。然后把该Access Request消息路由到该主机(Host)对应的AAA Server上。
4、EAP认证过程；
根据不同的认证方法，认证服务器(Authentication Server)通过AAA协议连接到远端，并决定该认证是否成功。
5、共享MSK建立过程；
作为第四步的一部分，在MS和AAA Server之间建立了一个主会话密钥MSK，该AAA Server然后把产生的MSK传输到Authenticator(G-MS)上，最后G-MS向Host返回一个EAP表示认证完成。
现有技术没有考虑在AAA Proxy和AAA Proxy之间的信任关系。当认证过程中有1个以上的AAA Proxy被用于路由AAA消息时，由于不同的AAAProxy可能属于不同的ASN网络，如果AAA Proxy之间没有信任关系，那么在它们之间直接进行AAA消息的路由就可能会产生AAA消息中的敏感信息被泄漏的危险或者引起其它一些安全问题。
在G-MS移动的过程中，当G-MS从一个ASN移动到另一个与它处于不同NAP的ASN中后，新的ASN中的AAA Proxy如果与旧的AAA Proxy没有建立信任关系，那么该G-MS的切换的AAA过程就不能安全的完成。
发明内容
本发明提供一种WiMAX多主机系统中AAA代理之间获取会话密钥的实现方法，以解决现有WiMAX多主机系统中需要多个AAA代理时的信令和消息传输时，无法保证安全性的问题，并进一步解决现有切换过程中建立两个ASN之间信息通道时，无法保证安全性的问题。
一种多主机WiMAX系统中的AAA认证优化方法，当一个会话业务需要两个或两个以上AAA代理时，在每两个相邻的AAA代理之间，所述的AAA认证优化方法包括如下步骤：
相邻的AAA代理之间交换密钥信息以获取会话密钥；并且
相邻的AAA代理之间利用所述会话密钥加密/解密相关AAA认证信息。
所述的交换密钥信息基于单钥体制密钥交换协议、双钥体制密钥交换协议或混合体制密钥交换协议实现。
基于单钥体制密钥交换协议的实现方法中，每一个AAA代理预先到网络侧的密钥分配中心登记并与该密钥分配中心共享一对主密钥，相邻两个AAA代理通过如下步骤实现密钥交换：
A1、发起方利用自己的主密钥加密双方的身份信息并发送给密钥分配中心；
A2、密钥分配中心利用发起方对应的主密钥解密并获取双方身份信息；
A3、密钥分配中心生成双方的会话密钥，利用发起方对应的主密钥加密会话密钥后发送给发起方，并利用另一方对应的主密钥加密会话密钥后通过发起方转发给另一方；
A4、双方分别利用自己的主密钥解密并获取会话密钥。
基于单钥体制密钥交换协议的实现方法中还包括：密钥分配中心同时生成会话密钥的使用有效期发送给双方，发起方在使用有效期达到之前重新执行步骤A1至A4以获取新的会话密钥。
所述单钥体制密钥交换协议包括下列之一：大嘴青蛙协议、Yahalom协议、Needham-Schroeder协议、Otway-Rees协议、Kerberos协议或Neuman-Stubblebine协议。
基于双钥体制密钥交换协议的实现方法中，每一个AAA代理预先到网络侧的密钥分配中心登记并获取一对公钥和私钥，相邻两个AAA代理通过如下步骤实现密钥交换：
B1、发起方将双方的身份信息发送给密钥分配中心；
B2、密钥分配中心利用发起方对应的公钥加密另一方的公钥并发送给发起方；
B3、发起方利用自己的私钥解密并获取另一方的公钥；
B4、发起方生成会话密钥，保存该会话密钥并利用另一方的公钥加密会话密钥后发送给另一方；
B5、另一方利用自己的私钥解密并获取会话密钥。
所述步骤B1具体包括如下步骤：
发起方利用密钥分配中心的公钥加密双方的身份信息并发送给密钥分配中心；
密钥分配中心利用自己的私钥解密并获取双方身份信息。
基于混合体制密钥交换协议的实现方法具体包括如下步骤：
C1、发起方生成一个随机整数M，计算gM除以n之后的余数X，并将该余数X发送给另一方，其中所述g和n分别为双方约定的素数；
C2、另一方生成一个随机整数N，计算gN除以n之后的余数Y，并将该余数Y发送给发起方；
C3、发起方计算YM除以n之后的余数K，并将该余数K保存为双方的会话密钥；
C4、另一方计算XN除以n之后的余数K’，并将该余数K’保存为双方的会话密钥。
所述混合体制密钥交换协议包括DASS协议。
本发明的有益效果如下：
本发明所述方法通过增加AAA Proxy之间建立信任关系，保证了在WiMAX多主机系统中当AAA过程中需要多个AAA Proxy时的信令和消息传输的安全性；进一步保证了在切换过程中建立两个ASN之间的信息通道的安全性；并且本发明所述方法简单实用。
附图说明
图1为普通WiMAX系统结构示意图；
图2为多主机WiMAX系统结构示意图；
图3为当前的技术中为了实现多主机WiMAX系统安全的需求，定义的各种信任关系示意图；
图4为现有一个Host进行AAA认证的流程图；
图5为包括本发明所述建立AAA Proxy之间建立信任关系的Host认证优化中，一个Host进行AAA认证的优化方法流程图。
具体实施方式
为了支持在AAA过程中需要不止一个AAA Proxy的情形，以及在ASN之间(inter-ASN)的移动性，需要建立AAA Proxy之间的信任关系，该信任关系可以通过在两个的AAA Proxy之间利用会话密钥对信息进行加密来实现。
因此，本发明提出了在基于WiMAX多主机系统的安全模型中所需的信任关系中增加AAA Proxy和AAA Proxy之间信任关系，使AAA Proxy之间获得会话密钥，利用会话密钥加解密交互的信息，以解决在AAA认证过程中有一个以上AAA Proxy时保证AAA Proxy之间消息安全性的问题。
如图5所示，AAA Proxy之间为建立信任关系而获取会话密钥的过程发生在第三部分中，当AAA Proxy1从R6接口收到接入请求(Access Request)消息之后，发起与AAA Proxy2之间建立信任关系的流程，如果双方成功获得会话密钥，则信任关系被成功建立，AAA Proxy1向AAA Proxy2发送AccessRequest消息，认证过程得以继续，在第五部分的共享MSK的建立过程中，AAA Proxy2会向AAA Proxy1返回接入响应(Access Response)消息；反之，如果AAA Proxy1与AAA Proxy2之间没有获取会话密钥，则信任关系建立失败，则整个AAA认证过程被中断。
当AAA认证过程涉及到多个AAA Proxy时，每一对AAA Proxy之间分别执行获得会话密钥以建立信任关系的过程。
AAA Proxy之间通过获得会话密钥通过密钥交换实现，具体包括如下几种方式：
一、基于单钥体制的密钥交换
基于单钥体制的密钥交换协议均借助于密钥分配中心(Key DistributionCenter(KDC))。在一个具有n个节点的网络中，为实现任意节点之间的保密通信，每个节点都只需保存一个与KDC共享的主密钥，KDC也只需要保存对应n个节点的n个主密钥，网络共需n个主密钥。该类协议有：大嘴青蛙协议、Yahalom协议、Needham-Schroeder协议、Otway-Rees协议、Kerberos协议、Neuman-Stubblebine协议等。下面以Kerberos协议为例对单钥体制进行说明。
Kerberos协议是从Needham-Schroeder协议演变而来的。在基本的Kerberos.V5协议中，AAA Proxy1和AAA Proxy2各自与KDC共享一个主密钥，采用时戳的方式。例如AAA Proxy1为建立信任关系的发起方，AAA Proxy2为建立信任关系的另一方，则建立信任关系具体包括如下步骤：具体过程包括如下步骤：
1、AAA Proxy1生成会话密钥请求消息，并利用自己保存的主密钥进行加密后发送给KDC；
该会话密钥请求消息中包括AAA Proxy1的身份信息和AAA Proxy2的身份信息：(A，B)；
2、KDC利用本地保存的与该AAA Proxy1共享的主密钥解密会话密钥请求消息并获取AAA Proxy1的身份信息和AAA Proxy2的身份信息：(A，B)；KDC生成如下两条消息并分别加密后发送给AAA Proxy1：
其一为消息EA(T，L，K，B)，其中包含时戳T、有效期L、会话密钥K和AAA Proxy2的身份信息，并采用与AAA Proxy1共享的密钥加密；
其二为消息EB(T，L，K，A)，其中包含时戳T、有效期L、随机生成的会话密钥K和AAA Proxy1的身份，并采用与AAA Proxy2共享的密钥加密，该消息随后由AAA Proxy1转发给AAA Proxy2。
3、AAA Proxy1收到消息EA(T，L，K，B)后，解密得到会话密钥K和时戳T，然后生成消息EK(A，T)，其中包含AAA Proxy1的身份信息A和时戳T，并采用K加密后发送给AAA Proxy2；
并将从KDC收到的、属于AAA Proxy2的消息EB(T，L，K，A)发送给AAAProxy2。
上述步骤完成后，AAA Proxy1就可以利用会话密钥K加密的AccessRequest消息并发送给AAA Proxy2。
4、AAA Proxy2利用与KDC的共享密钥解密消息EB(T，L，K，A)后获得会话密钥K；
再利用K解密消息EK1(A，T)，将时戳加1生成消息EK2(T+1)，并利用会话密钥K加密后发送给AAA Proxy1；
AAA Proxy2收到来自AAA Proxy1的Access Request消息时，利用会话密钥K进行解密，然后继续发送个给上一级H-AAA，AAA认证过程得以继续，否则，AAA Proxy2无法解密来自AAA Proxy1的Access Request消息，AAA认证过程被中断；同样，AAA Proxy2利用会话密钥K加密发送给AAA Proxy1的Access Response消息，AAA Proxy1利用会话密钥K解密来自AAA Proxy2的Access Response消息并发送给下一级BS，AAA认证过程继续进行。
AAA认证过程顺利结束后，AAA Proxy1和AAA Proxy2之间就可以利用会话密钥K加密他们之间需要传输的信息，直到有效期T结束。当有效期结束之前，AAA Proxy1再次向KDC申请新的会话密钥K，并重复上面的过程以获得新的会话密钥。
此协议运行的前提条件是假设每个用户必须具有一个与KDC同步的时钟。实际上，同步时钟是由系统中的安全时间服务器来保持的。通过设立一定的时间间隔，系统可以有效的检测到重发攻击。
二、基于双钥体制的密钥交换
该方法仍然需要借助KDC实现，KDC自己具有一对公钥和私钥，每一个AAA Proxy需要到KDC登记并获取一对公钥和私钥，KDC保存公钥，每一个AAA Proxy自己保存私钥。两个AAA Proxy之间使用公钥密码体制协商会话密钥，并用协商的会话密钥加密数据。这使得密钥交换协议更容易，即使AAAProxy2从来没有听说过AAA Proxy1，AAA Proxy1也能够把消息安全地发送给AAA Proxy2。例如AAA Proxy1为建立信任关系的发起方，AAA Proxy2为建立信任关系的另一方，则建立信任关系具体包括如下步骤：
1、Proxy1利用KDC的公钥加密双方的身份信息并发送给KDC；
2、KDC利用自己的私钥解密并获取双方身份信息；
3、KDC利用Proxy1对应的公钥加密Proxy2的公钥并发送给Proxy1；
由于公钥是公开的，所以上述两个步骤中的加密、解密可以略去。
4、Proxy1利用自己的私钥解密并获取Proxy2的公钥；
5、Proxy1生成会话密钥K，保存该会话密钥K并利用Proxy2的公钥加密会话密钥后发送给Proxy2；
上述步骤完成后，AAA Proxy1就可以利用会话密钥K加密的AccessRequest消息并发送给AAA Proxy2。
6、Proxy2利用自己的私钥解密并获取会话密钥K。
AAA Proxy2收到来自AAA Proxy1的Access Request消息时，利用会话密钥K进行解密，然后继续发送个给上一级H-AAA，AAA认证过程得以继续，否则，AAA Proxy2无法解密来自AAA Proxy1的Access Request消息，AAA认证过程被中断；同样，AAA Proxy2利用会话密钥K加密发送给AAA Proxy1的Access Response消息，AAA Proxy1利用会话密钥K解密来自AAA Proxy2的Access Response消息并发送给下一级BS，AAA认证过程继续进行。
AAA认证过程顺利结束后，两个Proxy之间用同一会话密钥K对他们之间的通信信息进行加/解密，当会话结束后该密钥K失效。
基于双钥体制的密钥交换协议密钥管理简单，可升级性好，但计算复杂性太高。因此密钥交换协议中一般不单独采用双钥体制，而是采用单钥体制和双钥体制的混合体制，混合体制密钥管理简单，可升级并且有较高的效率，但协议的安全分析比较复杂。
三、基于混合体制的密钥交换
基于混合体制的密钥交换协议有很多，例如DASS协议，是由DEC公司开发的，既采用了双钥体制又采用了单钥体制，还有Denning-Sacco协议、Woo-Lam协议，EKE协议等。这些协议中最常用的认证方式有签名和预共享密钥。签名认证方式密钥管理简单、可升级好，并且协议相对来说比较简洁；共享秘密认证方式要求参与者预先共享一些秘密信息，双方可以通过带外机制或安全的信道来分配共享密钥。这种方式灵活、方便。另外，口令也是共享密钥的一种，可以通过口令达到强认证，IEEE P1363.2/D7(Draft version 7)对此进行了详细说明。下面介绍一下Diffie-Hellman密钥交换协议。
Diffie-Hellman的安全性来自于有限域上计算离散对数的难度。Diffie-Hellman协议可以用作密钥交换，AAA Proxy1和AAA Proxy2可以采用这个算法共享一个秘密的会话密钥。例如AAA Proxy1为建立信任关系的发起方，AAA Proxy2为建立信任关系的另一方，则建立信任关系具体包括如下步骤：具体包括如下步骤：
首先，AAA Proxy1和AAA Proxy2约定两个大的素数n和g，使得g是群<0，n-1>上的本原元。这两个整数不必保密，AAA Proxy1和AAA Proxy2可以通过不安全的信道传递它们。即使许多用户知道这两个数，也没有关系，然后：
1、Proxy1生成一个随机整数M，计算余数X＝gM modn，然后将该余数X发送给Proxy2，mod n表示gM的值除以n之后的余数；
2、Proxy2生成一个随机整数N，计算余数Y＝gN modn，然后将该余数Y发送给Proxy1；
3、Proxy1计算余数K＝YM modn，并将余数K保存为双方的会话密钥；
上述步骤完成后，AAA Proxy1就可以利用会话密钥K加密的AccessRequest消息并发送给AAA Proxy2。
4、Proxy2计算余数K’＝XN modn，并将余数K’保存为双方的会话密钥。
至此，K和K’均等于通过算式gMN modn运算出的余数。搭线窃听的任何人均不会计算得到该值。除非攻击者能够计算离散对数来得到M和N，否则他们无法获得该密钥。所以，K可被AAA Proxy1和AAA Proxy2用作会话密钥。
AAA Proxy2收到来自AAA Proxy1的Access Request消息时，利用会话密钥K进行解密，然后继续发送个给上一级H-AAA，AAA认证过程得以继续，否则，AAA Proxy2无法解密来自AAA Proxy1的Access Request消息，AAA认证过程被中断；同样，AAA Proxy2利用会话密钥K加密发送给AAA Proxy1的Access Response消息，AAA Proxy1利用会话密钥K解密来自AAA Proxy2的Access Response消息并发送给下一级BS，AAA认证过程继续进行。
AAA认证过程顺利结束后，两个Proxy之间用同一会话密钥K对他们之间的通信信息进行加/解密，当会话结束后该密钥K失效。
综上所述，本发明的所述方法一个实现流程仍参见图5所示，包括如下几部分：
1、利用IEEE 802.11标准初始化网络接入过程；
2、EAP交换过程；
在G-MS(也是认证者(Authenticator))中的EAP发送一个EAP-Request消息给请求者(Supplicant)(这里为Host)，用于请求EAP身份(EAP Identity)。
请求者(Supplicant)上的EAP在接收到EAP Request消息后，发送到本地的EAP方法中进行处理，然后发送携带了NAI信息的EAP响应(EAP-Response)，于是从现在起，认证者(Authenticator)转发所有从MS到AAA代理(AAA Proxy)的响应，AAA代理然后根据NAI域路由数据包。
3、接入请求过程；
G-MS(Authenticator)根据CID将含有NAI信息的接入请求(AccessRequest)发送到基站(BS)上，再由BS通过R6转发给AAA Proxy1；
AAA Proxy1收到Access Request后根据该消息中的NAI域信息和存储在AAA Proxy上的NAI域到AAA Server的映射表查找该主机(Host)的AAAServer，如果该AAA Proxy1中没有该NAI域的映射表项，则该AAA Proxy1需要通过R4将Access Request转发给下一个AAA Proxy2，再转发之前，AAAProxy1和AAA Proxy2之间根据前述三种方法之一获得会话密钥K，然后进行接入过程。
AAA Proxy2收到Access Request后，根据该消息中的NAI域信息和存储在AAA Proxy2上的NAI域到AAA Server的映射表查找出该主机Host的AAAServer，然后把该Access Request消息路由到该主机Host对应的AAA Server上。
4、EAP认证过程；
根据不同的AAA认证方法，认证服务器(Authentication Server)通过AAA协议连接到远端，并决定该认证是否成功。
5、共享MSK建立
作为第四步的一部分，在MS和AAA Server之间建立了一个主会话密钥(Master Session Key(MSK))。该AAA Server然后把产生的MSK传输到Authenticator(G-MS)上。最后G-MS返回一个EAP表示认证完成。
上述实施例仅以两个AAA Proxy之间建立信任关系为例进行说明，但有多个AAA Proxy时，每两个AAA Proxy之间建立信任关系的方法完全一样，这里不再赘述。
本发明所述方法通过增加AAA Proxy之间建立信任关系，保证了在WiMAX多主机系统中当AAA过程中需要多个AAA Proxy时的信令和消息传输的安全性；本发明所述方法进一步保证了在切换过程中建立两个ASN之间的信息通道的安全性；并且本发明所述方法具有简单实用的优点。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
Claims (9)
1、一种多主机WiMAX系统中的AAA认证优化方法，当一个会话业务需要两个或两个以上AAA代理时，在每两个相邻的AAA代理之间，所述的AAA认证优化方法包括如下步骤：
相邻的AAA代理之间交换密钥信息以获取会话密钥；并且
相邻的AAA代理之间利用所述会话密钥加密/解密相关AAA认证信息。
2、如权利要求1所述的方法，其特征在于，所述的交换密钥信息基于单钥体制密钥交换协议、双钥体制密钥交换协议或混合体制密钥交换协议实现。
3、如权利要求2所述的方法，其特征在于，基于单钥体制密钥交换协议的实现方法中，每一个AAA代理预先到网络侧的密钥分配中心登记并与该密钥分配中心共享一对主密钥，相邻两个AAA代理通过如下步骤实现密钥交换：
A1、发起方利用自己的主密钥加密双方的身份信息并发送给密钥分配中心；
A2、密钥分配中心利用发起方对应的主密钥解密并获取双方身份信息；
A3、密钥分配中心生成双方的会话密钥，利用发起方对应的主密钥加密会话密钥后发送给发起方，并利用另一方对应的主密钥加密会话密钥后通过发起方转发给另一方；
A4、双方分别利用自己的主密钥解密并获取会话密钥。
4、如权利要求3所述的方法，其特征在于，所述方法中还包括：密钥分配中心同时生成会话密钥的使用有效期发送给双方，发起方在使用有效期达到之前重新执行步骤A1至A4以获取新的会话密钥。
5、如权利要求2所述的方法，其特征在于，所述单钥体制密钥交换协议包括下列之一：大嘴青蛙协议、Yahalom协议、Needham-Schroeder协议、Otway-Rees协议、Kerberos协议或Neuman-Stubblebine协议。
6、如权利要求2所述的方法，其特征在于，基于双钥体制密钥交换协议的实现方法中，每一个AAA代理预先到网络侧的密钥分配中心登记并获取一对公钥和私钥，相邻两个AAA代理通过如下步骤实现密钥交换：
B1、发起方将双方的身份信息发送给密钥分配中心；
B2、密钥分配中心利用发起方对应的公钥加密另一方的公钥并发送给发起方；
B3、发起方利用自己的私钥解密并获取另一方的公钥；
B4、发起方生成会话密钥，保存该会话密钥并利用另一方的公钥加密会话密钥后发送给另一方；
B5、另一方利用自己的私钥解密并获取会话密钥。
7、如权利要求6所述的方法，其特征在于，所述步骤B1具体包括如下步骤：
发起方利用密钥分配中心的公钥加密双方的身份信息并发送给密钥分配中心；
密钥分配中心利用自己的私钥解密并获取双方身份信息。
8、如权利要求2所述的方法，其特征在于，基于混合体制密钥交换协议的实现方法具体包括如下步骤：
C1、发起方生成一个随机整数M，计算gM除以n之后的余数X，并将该余数X发送给另一方，其中所述g和n分别为双方约定的素数；
C2、另一方生成一个随机整数N，计算gN除以n之后的余数Y，并将该余数Y发送给发起方；
C3、发起方计算YM除以n之后的余数K，并将该余数K保存为双方的会话密钥；
C4、另一方计算XN除以n之后的余数K’，并将该余数K’保存为双方的会话密钥。
9、如权利要求8所述的方法，其特征在于，所述混合体制密钥交换协议包括DASS协议。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 200610000502 CN1996838A (zh) | 2006-01-05 | 2006-01-05 | 一种多主机WiMAX系统中的AAA认证优化方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 200610000502 CN1996838A (zh) | 2006-01-05 | 2006-01-05 | 一种多主机WiMAX系统中的AAA认证优化方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN1996838A true CN1996838A (zh) | 2007-07-11 |
Family
ID=38251793
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN 200610000502 Pending CN1996838A (zh) | 2006-01-05 | 2006-01-05 | 一种多主机WiMAX系统中的AAA认证优化方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN1996838A (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102656839A (zh) * | 2009-12-21 | 2012-09-05 | 西门子公司 | 用于保障至少一个密码钥在设备之间的协商的装置和方法 |
| CN104901952A (zh) * | 2015-05-04 | 2015-09-09 | 太原科技大学 | 一种应对新攻击模式的Woo-Lam协议的改进方法 |
| CN112102924A (zh) * | 2020-09-27 | 2020-12-18 | 杨晓光 | 一种基于互联网的社会心理调适集成系统 |
-
2006
- 2006-01-05 CN CN 200610000502 patent/CN1996838A/zh active Pending
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102656839A (zh) * | 2009-12-21 | 2012-09-05 | 西门子公司 | 用于保障至少一个密码钥在设备之间的协商的装置和方法 |
| CN105681037A (zh) * | 2009-12-21 | 2016-06-15 | 西门子瑞士有限公司 | 保障密码钥在设备之间的协商的方法、系统和装置 |
| CN104901952A (zh) * | 2015-05-04 | 2015-09-09 | 太原科技大学 | 一种应对新攻击模式的Woo-Lam协议的改进方法 |
| CN112102924A (zh) * | 2020-09-27 | 2020-12-18 | 杨晓光 | 一种基于互联网的社会心理调适集成系统 |
| CN112102924B (zh) * | 2020-09-27 | 2021-08-03 | 杨晓光 | 一种基于互联网的社会心理调适集成系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100832893B1 (ko) | 무선 근거리 통신망으로 이동 단말의 보안 접근 방법 및 무선 링크를 통한 보안 데이터 통신 방법 | |
| Salgarelli et al. | Efficient authentication and key distribution in wireless IP networks | |
| EP2062189B1 (en) | Method and system for secure processing of authentication key material in an ad hoc wireless network | |
| JP5597676B2 (ja) | 鍵マテリアルの交換 | |
| US20090175454A1 (en) | Wireless network handoff key | |
| US20020118674A1 (en) | Key distribution mechanism for IP environment | |
| EP1933498B1 (en) | Method, system and device for negotiating about cipher key shared by ue and external equipment | |
| WO2010012203A1 (zh) | 鉴权方法、重认证方法和通信装置 | |
| Maccari et al. | Security analysis of IEEE 802.16 | |
| Zhu et al. | Research on authentication mechanism of cognitive radio networks based on certification authority | |
| CN1996838A (zh) | 一种多主机WiMAX系统中的AAA认证优化方法 | |
| KR20080056055A (ko) | 통신 사업자간 로밍 인증방법 및 키 설정 방법과 그 방법을포함하는 프로그램이 저장된 기록매체 | |
| JP4677784B2 (ja) | 集合型宅内ネットワークにおける認証方法及びシステム | |
| Manulis et al. | Authenticated wireless roaming via tunnels: Making mobile guests feel at home | |
| Liu et al. | Privacy-preserving quick authentication in fast roaming networks | |
| KR100729729B1 (ko) | 무선 휴대 인터넷 시스템의 액세스 포인트의 인증 장치 및그 방법 | |
| He et al. | An asymmetric authentication protocol for M-Commerce applications | |
| Chauhan et al. | Security analysis of identity based cryptography and certificate based in wimax network using omnet++ simulator | |
| Niranjani et al. | Distributed security architecture for authentication in 4G networks | |
| US11838428B2 (en) | Certificate-based local UE authentication | |
| Fathi et al. | Protocols for purpose-restricted anonymous communications in IP-based wireless networks | |
| Park et al. | A new user authentication protocol for mobile terminals in wireless network | |
| Wan et al. | Access control protocols with two-layer architecture for wireless networks | |
| Narmadha et al. | Performance analysis of signaling cost on EAP-TLS authentication protocol based on cryptography | |
| Li | Efficient security protocols for fast handovers in wireless mesh networks |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C02 | Deemed withdrawal of patent application after publication (patent law 2001) | ||
| WD01 | Invention patent application deemed withdrawn after publication |