WO2008034359A1 - Procédé, système de communication et dispositif permettant d'identifier et d'authentifier un dispositif d'authentification - Google Patents

Procédé, système de communication et dispositif permettant d'identifier et d'authentifier un dispositif d'authentification Download PDF

Info

Publication number
WO2008034359A1
WO2008034359A1 PCT/CN2007/070272 CN2007070272W WO2008034359A1 WO 2008034359 A1 WO2008034359 A1 WO 2008034359A1 CN 2007070272 W CN2007070272 W CN 2007070272W WO 2008034359 A1 WO2008034359 A1 WO 2008034359A1
Authority
WO
WIPO (PCT)
Prior art keywords
hlr
auc
authentication
terminal
identification information
Prior art date
Application number
PCT/CN2007/070272
Other languages
English (en)
French (fr)
Inventor
Zhengwei Wang
Minghu Wang
Fangyong Lu
Di Wu
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2008034359A1 publication Critical patent/WO2008034359A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices

Definitions

  • the present invention relates to the field of wireless communications, and more particularly to a method for a communication system to identify an authentication device while authenticating, and an authentication method, a communication system, and a device.
  • an International Mobile Subscriber Identity (IMSI), an Authentication Key (KI), and a User Card Local Serial Number (SQNMS) are stored in the mobile terminal (MS).
  • An IMSI, KI, and an authentication sequence number SQNHE are stored in the home location register/authentication center (HLR/AUC, Home Location Register/AUTentication Center) of the network side for mutual authentication of the mobile terminal and the network. .
  • the SQNMS may also be referred to as a local authentication sequence number, and the SQNHE may also be referred to as an authentication sequence number in the authentication parameter information.
  • the existing authentication technology of the 3G communication system mainly includes the following settings and processes:
  • the HLR/AUC generates a random number (RAND, Random Challenge), generates an expected response (XRES, Expected Response) according to the random number and the KI, an encryption key (CK, Cipher Key), and an integrity key (IK, Integrity Key). ; Generate message authentication code (MAC-A) according to random number, serial number, authentication key and authentication management domain (AMF), and obtain authentication according to MAC-A, SQNHE, anonymous key (AK) and AMF Mark AUTN (Authentication Token).
  • the quintuple parameters are composed of RAND and XRES, CK, IK and AUTN; wherein AUTN includes MAC-A, SQNHE, AK and AMF information;
  • the VLR/SGSN requests the HLR/AUC to provide an authentication parameter, that is, a quintuple;
  • the HLR/AUC sends the corresponding one or more five-tuples generated by the VLR/SGSN to the VLR/SGSN for storage;
  • the HLR/AUC can generate a quintuple when the VLR/SGSN requests the HLR/AUC to provide a quintuple; 104.
  • the VLR/SGSN sends the RAND and the AUTN in the corresponding five-tuple to the terminal.
  • the terminal verifies the consistency of the AUTN according to the KI saved by itself, if the consistency verification fails, then proceeds to step 106; if the consistency risk certificate passes, then proceeds to step 107;
  • the terminal determines, according to the SQNMS, whether the SQNHE belongs to an acceptable range: if yes, then proceeds to step 108; if it is determined that the SQNHE does not belong to the acceptable range, then proceeds to step 109;
  • the terminal determines that the network authentication is passed, the terminal returns an authentication response generated by the terminal to the VLR/SGSN, and updates the SQNMS according to the SQNHE in the AUTN, and the VLR/SGSN compares the authentication response returned by the terminal with the corresponding quintuple. Whether the XRES is consistent to determine the legitimacy of the terminal; if the consistency comparison is passed, then go to step 109; if not, the authentication process ends;
  • AUTS Resynchronisation Token
  • the HLR/AUC determines the legality of the AUTS according to the corresponding saved KI and the received RAND, if not, proceeds to step 113; if it is determined that the AUTS is legal, then proceeds to step 114;
  • the HLR/AUC returns an AUTS invalid information to the VLR/SGSN; the authentication process ends;
  • the HLR/AUC updates the SQNHE according to the SQNMS in the AUTS, and generates a new authentication quintuple;
  • the network side has a mutual backup HLR / AUC resource pool.
  • the HLR/AUC resource pool has only two active and standby HLR/AUCs.
  • HLR/AUC switching or switching occurs between the active and standby HLR/AUC.
  • the standby HLR/AUC switches to the primary HLR/AUC.
  • the negotiation protocol can be seen that, during authentication, the mobile subscriber card (USIM card) in the terminal cannot identify that the HLR/AUC corresponding to the authentication tuple of the current authentication is a backup HLR/AUC resource pool. Which one of the HLR/AUC. In this way, the terminal cannot track the events of the network switching and record related logs.
  • the present invention provides an identification method and an authentication method, a communication system, and a device that can authenticate an authentication device to solve the technical problem that the terminal cannot recognize the HLR/AUC in the authentication process.
  • a method for identifying HLR/AUC in authentication comprising the steps of:
  • the home location register/authentication center HLR/AUC identification information is added to the authentication parameter information;
  • the terminal After receiving the authentication parameter information carrying the HLR/AUC identification information, the terminal parses the HLR/AUC identifier from the authentication parameter information, and identifies a corresponding HLR/AIL authentication method according to the identifier. , including steps:
  • the HLR/AUC transmits the authentication parameter information carrying the HLR/AUC identification information to the terminal; the terminal acquires the HLR/AUC identifier, and performs an authentication process based on the HLR/AUC.
  • a communication device including an HLR/AUC, is configured to return an authentication parameter information when receiving an authentication parameter request, where the communications device further includes:
  • the authentication parameter information generating unit is configured to generate authentication parameter information carrying the HLR/AUC identification information.
  • a communication system including an HLR/AUC and a terminal
  • the HLR/AUC is configured to generate authentication parameter information that carries the HLR/AUC identification information, and when the authentication parameter request is received, return the authentication parameter information that carries the HLR/AUC identification information to the terminal;
  • the received authentication response authenticates the user card, determines whether the terminal is legal, and implements mutual authentication of the network side and the terminal;
  • the terminal configured to parse the HLR/AUC identifier from the received authentication parameter information, identify a corresponding HLR/AU according to the identifier, and perform authentication on the authentication parameter information of the HLR/AUC. process.
  • the terminal can identify the HLR/AUC and know the authentication parameters obtained by it. Which HLR/AUC is from AUTN and RAND, so that the terminal can count the number of active/standby HLR/AUC handovers and the HLR/AUC usage rate when needed, or enable the terminal to use the HLR/AUC corresponding to its own saved
  • the parameter information authenticates the HLR/AUC. In this way, when HLR/AUC switching occurs, large-scale SQN synchronization can be avoided and pressure on the network can be avoided.
  • the terminal when receiving the authentication parameter request, returning the authentication parameter information carrying the HLR/AUC identification information to the terminal, the terminal can identify the HLR/AUC and know the authentication parameter obtained by the terminal.
  • the AUTN and RAND are from which HLR/AUC, so that the terminal can count the number of active and standby HLR/AUC handovers and the HLR/AUC usage rate when needed, and the terminal can perform authentication process according to the HLR/AUC information. Since the terminal recognizes the HLR/AUC, the terminal can count the number of active/standby HLR/AUC handovers and the respective HLR/AUC usage rates when needed, and the sequence numbers of the HLR/AUCs in the HLR/AUC resource pool are inconsistent. In the case of HLR/AUC switching, the terminal can recognize that the inconsistency is caused by switching, which can help avoid large-scale SQN synchronization and avoid stress on the network.
  • the HLR/AUC may return to carry the HLR/ when receiving the authentication parameter request.
  • the authentication parameter information of the AUC identifier is sent to the terminal, so that the terminal can identify which HLR/AUC the authentication parameter it obtains from, and the terminal can perform the authentication process according to the HLR/AUC information, because the terminal recognizes the HLR/AUC,
  • the terminal can count the number of active/standby HLR/AUC handovers and the HLR/AUC usage rate when needed, and when HLR/AUC switching occurs when the sequence numbers of HLR/AUCs in the HLR/AUC resource pool are inconsistent,
  • the terminal can recognize that the inconsistency is caused by switching, and can help avoid large-scale SQN synchronization and avoid stress on the network.
  • the authentication parameter information generating unit since the authentication parameter information generating unit generates the HLR/AUC identifier in the authentication parameter, the HLR/AUC may return to carry the HLR/AUC when receiving the authentication parameter request.
  • the identified authentication parameter information is sent to the requesting party, and the requesting party knows which HLR/AUC the authentication parameter it obtained is from, so the requesting party can use the identifier to perform various communication processing.
  • 1 is a timing diagram of an authentication method of a prior art communication system
  • 2 is a sequence diagram of a main implementation method for identifying a HLR/AUC during authentication by a communication system according to an embodiment of the present invention
  • FIG. 3 is a sequence diagram of an authentication method of a communication system according to an embodiment of the present invention.
  • FIG. 4 is a schematic block diagram of a communication system according to an embodiment of the present invention.
  • FIG. 5 is a schematic block diagram of a communication device according to an embodiment of the present invention.
  • the terminal Whenever a connection is established between the user terminal and the mobile network, and all service requests, location update requests, attach requests, detach requests, and re-establishment connections, an authentication operation is required to verify the validity of the user identity.
  • the HLR/AUC on the network side sends the authentication parameter information carrying the HLR/AUC identification information to the user terminal
  • the terminal obtains the HLR/AUC according to the HLR/AUC identification method agreed in advance with the HLR/AUC. Identify and operate on the identity in the subsequent authentication process. For example, the number of times the HLR/AUC authentication parameter is obtained. Count the HLR/AUC switching frequency.
  • Embodiments of the present invention provide a basic implementation method for identifying a HLR/AUC during authentication by a communication system, including the following steps:
  • the terminal receives the authentication parameter information generated by the HLR/AUC, and parses the HLR/AUC identifier therefrom.
  • the HLR/AUC when the HLR/AUC generates an authentication tuple, a random number is first generated, and an expected response, an encryption key, and an integrity key are generated according to the random number and the KI; according to the random number, the serial number, and the authentication key. And the authentication management domain generates a message authentication code, and obtains an authentication token AUTN according to MAC-A, SQNHE, AK, and AMF.
  • the quintuple parameters are composed of RAND and XRES, CK, IK and AUTN.
  • the authentication parameters transmitted by the HLR/AUC to the terminal include RAND and AUTN.
  • the HLR/AUC may first generate an authentication tuple, or may generate an authentication tuple after receiving an authentication tuple request message of the VLR/SGSN. After receiving the authentication tuple request of the VLR/SGSN, the HLR/AUC sends the generated authentication tuple to the VLR/SGSN.
  • the HLR/AUC transmits the authentication parameters to the terminal through the VLR/SGSN.
  • the VLR/SGSN will take the parameter information RAND and AUTN from the authentication tuple of the HLR/AUC. Send to the terminal.
  • step 1 when the HLR/AUC receives the authentication parameter request, it returns the authentication parameter information carrying the HLR/AUC identifier to the terminal, so that the terminal knows the authentication parameters it obtains, such as which HLR the AUTN and RAND are from. /AUC, so in step 2, the terminal can perform subsequent authentication process according to the HLR/AUC identifier, for example, in the subsequent authentication process, which HLR/AUC causes the synchronization process to be the most, and which HLR/AUC utilization ratio is compared. High, wait.
  • a main implementation method for identifying a HLR/AUC in a communication system during authentication is provided in the embodiment of the present invention. Referring to FIG. 2, the method includes the following steps:
  • Step 201 The HLR/AUC generates authentication parameter information, and adds the authentication parameter information.
  • the authentication parameters generated by the HLR/AUC are called authentication tuples.
  • Step 202 The HLR/AUC sends the generated authentication parameter information to the VLR/SGSN.
  • the HLR/AUC may be configured to send at least one of the plurality of sets of authentication tuples generated to the VLR/SGSN after receiving the request for the request authentication tuple of the VLR/SGSN.
  • Step 203 The VLR/SGSN sends related parameter information in the authentication tuple to the terminal.
  • the authentication tuple may include multiple authentication parameters, and the VLR/SGSN sends the authentication tuple part and the terminal-related authentication parameters to the terminal.
  • the authentication parameters related to the terminal are RAND and AUTN.
  • Step 204 The terminal parses the HLR/AUC identifier from the received authentication parameter information.
  • Step 205 After obtaining the HLR/AUC identifier, the terminal performs a subsequent authentication process.
  • the authentication parameter information carrying the HLR/AUC identifier may be at least one of a random number, a sequence number, an authentication management domain, and a message authentication code.
  • the authentication specifications in the existing 3GPP specifications stipulate that the authentication tuple includes a random number RAND, an expected response XRES, an encryption key CK, an integrity IK, and an authentication token AUTN, wherein the AUTN is composed of a sequence number SQNHE, an authentication management domain AMF.
  • the message authentication code is composed of MAC-A.
  • the SQNHE is required to be encrypted, the SQNHE is encrypted by the key AK generated by RAND and KI.
  • the present invention can be applied to a WCDMA system or to other communication systems.
  • the HLR/AUC may use at least one of the parameters of RAND, or AUTN. At least one bit is used as the HLR/AUC identification information indicating the HLR/AUC; correspondingly, the terminal parses the HLR/AUC identifier according to the received HLR/AUC flag bit of the corresponding parameter in the authentication parameter information. For example, the highest bit in the AMF is used to identify the primary and secondary HLR/AUC identifiers. When the bit is 0, the primary HLR/AUC is identified; when the bit is 1, the secondary HLR/AUC is identified. Similarly, the least significant bit of RAND can be used to identify the primary and secondary HLR/AUC. Of course, you can also use SQNHE or a bit of MAC-A to identify the primary and secondary HLR/AUC.
  • a RAND may be generated according to the prior art, and then a bit of the RAND, for example, the lowest bit is set to 0 or 1, to identify the active and standby HLR/AUC. Or, when the RAND is generated, the lowest bit is set to a value consistent with the primary and secondary identifiers, and the other bits of the RAND are generated by a random method.
  • the HLR/AUC operation is required to be performed after the AMF value is required to be set and other parameters are generated according to the AMF, for example, to generate a MAC-A.
  • one bit of the SNQHE can be used to identify the primary and secondary HLR/AUC. It is also required to complete the identification work before the SQNHE is generated, before other parameters are generated according to the SQNHE, for example, before the MAC-A is generated. For example, when SQNHE is generated, the value of a bit is set to 0 to identify the primary HLR/AUC; if this bit is set to 1, the secondary HLR/AUC is identified.
  • MAC-A When using MAC-A to identify the primary and secondary HLR/AUC, it is required to set the value of a certain bit of the MAC-A, for example, the highest bit value, to 0 after MAC-A is generated or after MAC-A is generated. Or 1 to identify the primary and secondary HLR/AUC.
  • the terminal parses the HLR/AUC identifier according to the category of the corresponding parameter in the received authentication parameter information. For example, if there are three HLR/AUCs in the HLR/AUC resource pools that are backed up each other, and the identifiers are 1, 2, and 3, respectively, the three HLR/AUCs can be identified by the remainder whose random number is divided by three, and the remainder is 0.
  • the HLR/AUC flag 1 is identified, the remainder is 1 for the HLR/AUC flag 2, and the remainder is 2 for the HLR/AUC flag 3.
  • the classification of random numbers is classified according to the remainder divided by 3.
  • the range of the random number can also be segmented into three segments, and the value of each segment is used to identify different HLR/AUC identifiers.
  • the embodiment of the present invention specifically introduces the content of the present invention by taking a third generation mobile communication system as an example.
  • IMSI, KI, and SQNMS are stored in the mobile terminal of the third generation mobile communication system.
  • the HLR/AUC on the network side stores IMSI, KI, and sequence number SQNHE for the mobile terminal for mutual authentication between the mobile terminal and the network.
  • the specific implementation manner of the authentication method of the present invention and the method for identifying the HLR/AUC in the authentication includes the following settings and processes:
  • the HLR/AUC is set in the HLR/AUC of the communication system.
  • the number in the HLR/AUC resource pool When there are only two HLR/AUCs in the HLR/AUC resource pool that are backed up each other, the number can be "0" and "1", when the HLR/AUC resources are mutually backed up. When there are three HLR/AUCs in the pool, the number can be “0", “1” and “2”. When there are four HLR/AUC in the HLR/AUC resource pools that are backed up each other, the number can be "0”. ", "1", "2", and "3".
  • the terminal pre-arranges the HLR/AUC identification method with the HLR/AUC, that is, the software and hardware unit that resolves the HLR/AUC identifier on the terminal.
  • HLR/AUC generates random number RAND, generates XRES, CK according to RAND and KI,
  • IK Generates MAC-A based on RAND, SQNHE, KI, and AMF, and AUTN based on MAC-A, SQNHE, AK, and AMF.
  • the quintuple parameters are composed of RAND and XRES, CK, IK and AUTN.
  • a specific bit in the AMF is set to indicate an identifier of this HLR/AUC.
  • the body is a HLR/AUC resource pool number that identifies one or a few bits in the AMF as a special value to identify the HLR/AUC.
  • the most significant bit of the AMF is set to indicate whether the HLR/AUC is the primary HLR/AUC or the standby HLR/AUC. In the case where the HLR/AUC is the primary HLR/AUC, the highest bit of the AMF is set to "0".
  • the highest bit of the AMF is set to "0"
  • the existing process is used to generate the authentication tuple.
  • the HLR/AUC calculates the XRES by using the RAND generated by the random number generator and the authentication key KI saved by itself, and generates the AUTN according to the RAND, the KI, the serial number SQNHE, and the authentication management domain AMF.
  • CK and IK can also be calculated separately according to the RAND and the authentication key KI saved by itself.
  • the authentication process is started; the VLR/SGSN requests the HLR/AUC to provide an authentication parameter, that is, a quintuple;
  • the HLR/AUC sends the corresponding one or more quintuals to the VLR/SGSN according to the request of the VLR/SGSN, and the HLR/AUC identifier of the AMF stored in the quintuple is also sent to the VLR.
  • /SGSN that is, the quintuple contains the HLR/AUC identifier;
  • the VLR/SGSN sends the RAND and the AUTN in the corresponding five-tuple to the terminal, where
  • the AMF in the AUTN carries the HLR/AUC identifier
  • the terminal obtains the authentication parameter information RAND and AUTN corresponding to the specific HLR/AUC, and performs an authentication process.
  • the terminal Since the terminal pre-arranges the HLR/AUC identification identification method with the HLR/AUC, the terminal has a hardware and software unit that resolves the HLR/AUC identification. Specifically, the USIM in the terminal obtains a specific bit value indicating the HLR/AUC number in the AMF, and uses the value as the HLR/AUC resource pool number corresponding to the HLR/AUC. Specifically, when the USIM determines that the value of the specific bit of the AMF is “0”, it is known that the HLR/AUC corresponding to the authentication tuple is the primary HLR/AUC; the USIM determines that the value of the specific bit of the AMF is “1”. "When, it is known that the HLR/AUC corresponding to the authentication tuple is the standby HLR/AUC.
  • the terminal then verifies the consistency of the AUTN according to the KI saved by itself, if the consistency verification does not pass, then proceeds to step 306; if the consistency verification passes, then proceeds to step 307;
  • step 307 determine whether the SQNHE in the AUTN is within an acceptable range: if yes, then go to step 308; if it is determined that the SQNHE does not belong to the acceptable range, then go to step 309; 308.
  • the terminal determines that the network authentication is passed, the terminal returns an authentication response generated by the terminal to the VLR/SGSN, and updates the SQNMS according to the SQNHE in the AUTN, and the VLR/SGSN compares the authentication response returned by the terminal with the corresponding quintuple. Whether the XRES is consistent to determine the legitimacy of the terminal; if the consistency comparison is passed, then go to step 309; if not, the authentication process ends;
  • AUTS resynchronization token
  • the terminal returns a resynchronization request or a Synchronisation failure message to the network side VLR/SGSN, and attaches the generated resynchronization flag AUTS, that is, the message includes AUTS;
  • HLR / AUC according to the corresponding saved KI and the received RAND, determine the AUTS legality, if not, then go to step 313; if it is determined that the AUTS is legal, then go to step 314;
  • the HLR/AUC returns an AUTS invalid information to the VLR/SGSN, and ends;
  • the HLR/AUC updates the SQNHE according to the SQNMS in the AUTS, and generates a new authentication quintuple carrying the HLR/AUC identifier.
  • the HLR/AUC authentication parameter AMF specific bit is used as the identifier of the HLR/AUC in step 301, so HLR/AUC Upon receiving the authentication parameter request, the authentication parameter information carrying the HLR/AUC identification information is returned to the terminal, so that the terminal can know which HLR/AUC the authentication parameter it obtained is from.
  • the terminal identifies the HLR/AUC identifier, and can perform HLR/AUC statistics, such as counting the number of authentications of each HLR/AUC for communication management purposes. It is also possible to use different key pairs according to different HLR/AUC identifiers/numbers.
  • the network performs authentication and the like.
  • the HLR/AUC may generate a quintuple carrying the HLR/AUC identity when the VLR/SGSN requests the HLR/AUC to provide the quintuple.
  • step 301 there are three or four in the HLR/AUC resource pool for each backup.
  • two bits can be used to indicate the resource pool number. For example, the value of the two bits is "00" for the number 0, and the value of the two bits is "01" for the number 1. The value of the bit "10” indicates the number 2, and the value "11" of the two bits indicates the number 3.
  • the AMF value can be classified according to the modulus, for example, using AMF mod 3, the remainder The value of 0 is corresponding to the resource pool number 0; the remainder is 1 for the resource pool number 1; the remainder is 2 for the resource pool number 2.
  • the lowest two bits of the AMF can be reserved, and the two bits are adjusted to make the AMF value in a particular class without affecting the high 14-bit value.
  • the RAND is classified and different HLR/AUC identifiers are identified by different classes, it is possible to directly add or subtract 1 or not to add or subtract any number according to the prior art.
  • J that is, the value of the control RAND mod 3 is always equal to 0, or is equal to 1, or is equal to 2.
  • the process of the foregoing embodiment carries the HLR/AUC identification information by using the AMF, and the identifier information of the HLR/AUC is carried by the SQNHE, including the steps (not shown in the following steps):
  • the HLR/AUC generates a random number RAND, and generates XRES, CK according to RAND and KI.
  • IK Generates MAC-A based on RAND, SQNHE, KI, and AMF, and AUTN based on MAC-A, SQNHE, AK, and AMF.
  • the quintuple parameters are composed of RAND and XRES, CK, IK and AUTN.
  • a specific bit in the SQNHE is set to indicate an identifier of this HLR/AUC.
  • a bit or bits in the SQNHE are set to a special value to identify the HLR/AUC resource pool number of the HLR/AUC. More specifically, in the present embodiment, the lowest bit of the SQNHE is set to indicate whether the HLR/AUC is the primary HLR/AUC or the standby HLR/AUC. In the case where the HLR/AUC is the primary HLR/AUC, the lowest bit of the SQNHE is set to "0".
  • the HLR/AUC calculates the XRES by using the RAND generated by the random number generator and the authentication key KI saved by itself, and generates the AUTN according to the RAND, the KI, the serial number SQNHE, and the authentication management domain AMF.
  • CK and IK can also be calculated separately according to the RAND and the authentication key KI saved by itself.
  • the VLR/SGSN requests the HLR/AUC to provide an authentication parameter, that is, a quintuple;
  • the HLR/AUC sends the corresponding one or more quintuals to the VLR/SGSN according to the request of the VLR/SGSN, and the HLR/AUC identifier of the SQNHE stored in the quintuple is also sent to the VLR.
  • /SGSN that is, the quintuple contains the HLR/AUC identifier;
  • the VLR/SGSN sends the RAND and the AUTN in the corresponding five-tuple to the terminal, where
  • the SQNHE in the AUTN carries the HLR/AUC identifier
  • the terminal obtains the authentication parameter information RAND and AUTN corresponding to the specific HLR/AUC, and performs an authentication process.
  • the terminal pre-arranges the HLR/AUC identification identification method with the HLR/AUC
  • the terminal is equipped with a hardware and software unit that parses the HLR/AUC identification information.
  • the USIM in the terminal obtains a specific bit value indicating the HLR/AUC number in the SQNHE, and uses the value as the HLR/AUC resource pool number corresponding to the HLR/AUC.
  • the USIM determines that the value of the specific bit of the SQNHE is “0”, it is known that the HLR/AUC corresponding to the authentication tuple is the primary HLR/AUC; the USIM determines that the value of the specific bit of the SQNHE is “1”. "When, it is known that the HLR/AUC corresponding to the authentication tuple is the standby HLR/AUC.
  • the terminal then verifies the consistency of the AUTN according to the KI saved by itself, if the consistency verification does not pass, then proceeds to step 406; if the consistency verification passes, then proceeds to step 407;
  • step 407 determining whether the SQNHE in the AUTN belongs to an acceptable range: if yes, then go to step 408; if it is determined that the SQNHE is not within the acceptable range, then go to step 409;
  • the terminal can judge whether the SQNHE is an acceptable range operation, and can be ignored.
  • the terminal determines that the network authentication is passed, and the terminal returns an authentication response generated by the terminal to the VLR/SGSN, and updates the SQNMS according to the SQNHE in the AUTN, and the VLR/SGSN compares the authentication response returned by the terminal with the corresponding quintuple. Whether the XRES is consistent to determine the legitimacy of the terminal; if the consistency comparison is passed, then go to step 409; if not, the authentication process ends;
  • AUTS Resynchronisation Token
  • the terminal returns a resynchronization request or a Synchronisation failure message to the network side VLR/SGSN, and attaches the generated resynchronization flag AUTS, that is, Contains AUTS;
  • step 412 HLR / AUC according to the corresponding saved KI and the received RAND, determine the AUTS legality, if not, then go to step 413; if it is determined that the AUTS is legal, then go to step 414;
  • the HLR/AUC returns an AUTS invalid information to the VLR/SGSN, and ends.
  • the HLR/AUC updates the SQNHE according to the SQNMS in the AUTS, and generates a new authentication quintuent carrying the HLR/AUC identifier;
  • the above can also use the highest bit of the SQNHE to represent the HLR/AUC identification information; of course, other bits of the SQNHE can also be used to indicate the HLR/AUC identification information.
  • the values of the bits of the SQNHE for indicating the HLR/AUC identification information can also be ignored, and only the values of other bits are acceptable.
  • the operation of determining the acceptability of the SQNHE may be performed without considering the highest bit.
  • the comparison technique of the existing judgment can be directly used.
  • the authentication parameter SQNHE specific bit is used as the identifier of the HLR/AUC in step 401, so the HLR/AUC is received.
  • the authentication parameter information carrying the HLR/AUC identification information is returned to the terminal, so that the terminal can know which HLR/AUC the authentication parameter it obtains is from.
  • the terminal identifies the HLR/AUC identifier, and can perform HLR/AUC statistics, such as counting the number of authentications of each HLR/AUC for communication management purposes. It is also possible to use different key pairs according to different HLR/AUC identifiers/numbers.
  • the network performs authentication and the like.
  • the HLR/AUC may generate a quintuple carrying the HLR/AUC identity when the VLR/SGSN requests the HLR/AUC to provide the quintuple.
  • step 401 when there are three or four HLR/AUCs in the HLR/AUC resource pool that are mutually backed up, two bits can be used to represent the resource pool number. For example, the value of two bits is used respectively. "00" indicates the number 0, the number 1 is represented by the value "01" of the two bits, the number 2 is represented by the value "10" of the two bits, and the number 3 is represented by the value "11" of the two bits.
  • the authentication parameter carrying the HLR/AUC identifier is not limited to AMF or SQNHE, and may also be RAND or MAC-A. It is also possible to combine two or more of AMF, SQNHE, RAND or MAC-A to identify the HLR/AUC.
  • the random number may be generated according to the prior art, and then the corresponding bit of the random number is adjusted to identify the HLR/AUC of the HLR/AUC. Resource pool number.
  • the USIM obtains the value of the corresponding bit in the RAND, and uses the value as the HLR/AUC resource pool number corresponding to the HLR/AUC. For example, when the USIM determines that the value of the specific bit of the RAND is “0”, it is known that the HLR/AUC corresponding to the authentication tuple is the primary HLR/AUC; when the USIM determines that the value of the specific bit of the RAND is “1” That is, it is known that the HLR/AUC corresponding to the authentication tuple is the standby HLR/AUC.
  • the MAC-A may be generated according to the prior art, and then the specific bit of the MAC-A is adjusted to enable the HLR/AUC to be identified. HLR/AUC resource pool number.
  • HLR/AUC resource pool number it is also possible to first identify the HLR/AUC resource pool number of the HLR/AUC by using the MAC-A specific location, and then generate the remaining bits of the MAC-A.
  • the USIM obtains the value of a specific bit in the MAC-A, and uses the value as the HLR/AUC resource pool number corresponding to the HLR/AUC. For example, when the USIM determines that the value of the specific bit of the MAC-A is “0”, it is known that the HLR/AUC corresponding to the authentication tuple is the primary HLR/AUC; the USIM determines that the value of the specific bit of the MAC-A is When "1", it is known that the HLR/AUC corresponding to the authentication tuple is the standby HLR/AUC. In this case, when the USIM performs MAC address consistency verification, it only needs to perform consistency verification on the remaining bits of the MAC-A.
  • the USIM After the USIM generates the verification value corresponding to the MAC-A, it is determined whether the remaining bits in the MAC-A are the same as the corresponding bits in the verification value. If they are the same, it can be determined that the consistency verification is passed.
  • the SQNHE may be generated according to the prior art, and then the specific bit of the SQNHE may be adjusted to enable it to be marked. Know the HLR/AUC resource pool number of the HLR/AUC. Of course, it is also possible to first identify the HLR/AUC resource pool number of the HLR/AUC with a specific bit of the SQN, and then generate the remaining bits of the SQN.
  • the USIM obtains the value of the corresponding bit in the SQN, and uses the value as the HLR/AUC resource pool number corresponding to the HLR/AUC. For example, when the USIM determines that the value of the specific bit of the SQN is “0”, it is known that the HLR/AUC corresponding to the authentication tuple is the primary HLR/AUC; when the USIM determines that the value of the specific bit of the SQN is “1” That is, it is known that the HLR/AUC corresponding to the authentication tuple is the standby HLR/AUC.
  • the method for the HLR/AUC to join the HLR/AUC identification information in the authentication quintuple may further be: classifying at least one of the random number, the sequence number, the authentication management domain, and the message authentication coding parameter, and using the category of the corresponding parameter.
  • HLR/AUC identification information indicating HLR/AUC.
  • the hardware and software unit that parses the HLR/AUC identification information in the terminal parses the HLR/AUC identifier from the received authentication parameter information, specifically according to the received authentication parameter information.
  • the HLR/AUC identifier is parsed out in the category of the corresponding parameter, that is, the corresponding HLR/AUC is determined from the obtained authentication parameter according to the correspondence between the authentication parameter and the HLR/AUC.
  • the specific method for generating the authentication quintuple carrying the HLR/AUC identification information is: forming the authentication management domain, the serial number, the random number or the message authentication code, and then adjusting the category of the corresponding parameter to indicate the
  • the HLR/AUC identification information, or the HLR/AUC identification information is represented by a method of directly generating the authentication management domain, sequence number, random number or message authentication code corresponding to the HLR/AUC identifier.
  • an embodiment of the present invention further provides a communication system, including an HLR/AUC 410, a VLR/SGSN 420, and a terminal 430.
  • the HLR/AUC 410 includes an authentication parameter information generating unit 411 for generating authentication parameter information carrying HLR/AUC identification information.
  • the terminal 430 includes an HLR/AUC identification parsing unit 431.
  • the HLR/AUC 410 is configured to generate the authentication parameter information carrying the HLR/AUC identification information, and when receiving the authentication parameter request, return the authentication parameter information carrying the HLR/AUC identification information to the terminal;
  • the user card is authenticated according to the received authentication response, and it is determined whether the terminal is combined
  • the law implements mutual authentication between the network side and the terminal.
  • the terminal 430 is configured to parse the HLR/AUC identifier from the received authentication parameter information, identify a corresponding HLR/AU according to the identifier, and perform authentication on the authentication parameter information of the HLR/AUC. process.
  • the authentication parameter information carrying the HLR/AUC identification information is at least one of AMF, SQNHE, RAND or MAC-A, wherein AMF, SQNHE, and MAC-A form an authentication token AUTN.
  • the authentication parameter information generating unit 411 adjusts the value of the specific bit by using the AMF, SQN, RAND or MAC-A, or by the AMF, SQN, RAND or MAC-A.
  • the method of the value of a particular bit represents the HLR/AUC identification information.
  • the VLR/SGSN 420 After receiving the authentication parameters, the VLR/SGSN 420 forwards all or part of the authentication parameters to the user terminal 430.
  • the terminal 430 obtains the HLR/AUC identity through the HLR/AUC identity parsing unit 431, and interacts with the VLR/SGSN 420 or the HLR/AUC 410 in the subsequent authentication procedure.
  • Subsequent authentication procedures such as terminal 430 performing AUTN-based authentication, and generating a resynchronization flag in the event that SQNHE is not within an acceptable range, and transmitting a resynchronization flag to HLR/AUC 410, said HLR/AUC 410
  • a new authentication parameter is generated by updating the SQNHE according to the SQNMS in the resynchronization flag.
  • the authentication parameter information generating unit 411 includes the HLR/AUC identification information in the generated authentication parameters AMF, SQN, RAND or MAC-A
  • the HLR/AUC 410 is received.
  • the authentication parameter information carrying the HLR/AUC identification information may be returned to the terminal 430, so that the terminal 430 knows which HLR/AUC the authentication parameter it obtained is from, and the terminal 430 determines that the SQNHE is not When it is within an acceptable range, the AUTS and the RAND in the corresponding quintuple are sent to the HLR/AUC 410 by the VLR/SGSN 420.
  • the authentication parameter information generating unit 411 may further classify at least one parameter of the authentication management domain, the serial number, the random number or the message authentication code, and classify the HLR/AUC identification information corresponding to the parameter.
  • Method to represent HLR/AUC identification information Specifically, the authentication parameter information generating unit 411 represents the HLR/AUC identification information by using the authentication management domain, the serial number, the random number, or the message authentication code, and then adjusting the category of the corresponding parameter, or
  • the HLR/AUC identification information is represented by a method of directly generating the authentication management domain, sequence number, random number, or message authentication code corresponding to the HLR/AUC identifier. Referring to FIG.
  • the present invention further provides a communication device including an HLR/AUC 410 and an authentication parameter information generating unit 411.
  • the authentication parameter information generating unit 411 is configured to generate authentication parameter information carrying HLR/AUC identification information, and when receiving the authentication parameter request, the HLR/AUC 410 returns a card carrying the HLR/AUC identification information.
  • the parameter information is configured to facilitate the terminal to process the authentication process based on the HLR/AUC.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

鉴权设备的识别方法和鉴权方法、 通信系统以及设备 本申请要求于 2006 年 9 月 22 日提交中国专利局、 申请号为 200610139739.6、 发明名称为"鉴权设备的识别方法和鉴权方法、 通信系统以 及设备 "的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及无线通信领域，特别是涉及通信系统在鉴权的同时识别鉴权设 备的方法、 以及一种鉴权方法、 通信系统以及设备。
背景技术
现有的第三代（3G )移动通信系统中， 在移动终端 （MS ) 中保存有国际 移动用户标识（IMSI )、 鉴权密钥 （KI )和用户卡本地序列号 （SQNMS )。 网 络侧的 归属位置寄存器 /鉴权中 心 （ HLR/AUC, Home Location Register/AUthentication Center ) 中针对该移动终端对应保存有 IMSI、 KI和鉴 权序列号 SQNHE, 以用于移动终端和网络相互鉴权。
其中， 上述 SQNMS也可以被称为本地鉴权序列号， SQNHE也可以被称 为鉴权参数信息中的鉴权序列号。
参阅图 1 , 3G通信系统的现有鉴权技术主要包括以下设置和流程：
101、 HLR/AUC产生随机数（RAND, Random Challenge ), 根据随机数和 KI产生期望响应 （XRES, Expected Response ), 加密密钥 （ CK, Cipher Key )、 完整性密钥 （ IK, Integrity Key ); 根据随机数、 序列号、 鉴权密钥和鉴权管理 域（AMF )产生出消息鉴权编码（MAC-A ), 根据 MAC-A, SQNHE, 匿名密 钥 （ AK )和 AMF得到鉴权标记 AUTN ( Authentication Token )。 由 RAND和 XRES、 CK、 IK和 AUTN组成鉴权五元组参数； 其中， AUTN中包含 MAC-A、 SQNHE、 AK和 AMF信息；
102、 在移动终端移动到 HLR/AUC所在网络并进行连接时， 开始鉴权流 程； VLR/SGSN请求 HLR/AUC提供鉴权参数， 即五元组；
103、 HLR/AUC应 VLR/SGSN的请求将产生的相应的一个或多个五元组 发送给 VLR/SGSN保存；
另外，可以在 VLR/SGSN请求 HLR/AUC提供五元组时 HLR/AUC才产生 五元组； 104、 VLR/SGSN将对应五元组中 RAND和 AUTN发送给终端；
105、 终端根据自己保存的 KI验证 AUTN的一致性， 如果一致性验证不 通过， 则转向步骤 106; 若一致性险证通过， 则转向步骤 107;
106、 向 VLR/SGSN返回鉴权失败信息， 本鉴权流程结束；
107、 终端根据 SQNMS判断 SQNHE是否属于可接受的范围： 若属于， 则转向步骤 108; 若判断出 SQNHE不属于可接受范围， 则转向步骤 109;
108、 终端判断出对网络鉴权通过， 终端向 VLR/SGSN返回终端自己产生 的鉴权响应， 并根据 AUTN中的 SQNHE更新 SQNMS, VLR/SGSN比较终端 返回的鉴权响应和对应五元组中的 XRES是否一致来判断终端的合法性；如果 一致性比较通过， 则转向步骤 109; 如果不一致， 则本鉴权流程结束；
109、 根据 SQNMS产生再同步标记 AUTS(Resynchronisation Token)；
110、 向网络侧 VLR/SGSN返回再同步请求或同步失败（Synchronisation failure ) 消息， 同时附上产生的再同步标记 AUTS, 也即消息中包含 AUTS;
111、 网络侧 VLR/SGSN接收到再同步标记 AUTS时，将 AUTS和对应五 元组中的 RAND发送给 HLR/AUC；
112、 HLR/AUC根据对应保存的 KI和接收到的 RAND, 判断 AUTS的合 法性，如果不合法，则转向步骤 113;如果判断出 AUTS合法，则转向步骤 114;
113、 HLR/AUC向 VLR/SGSN返回 AUTS不合法信息； 本鉴权流程结束；
114、 HLR/AUC根据 AUTS中的 SQNMS更新 SQNHE, 并产生一个新的 鉴权五元组；
115、将新的五元组发送给 VLR/SGSN, VLR/SGSN接收到新的五元组后， 删除对应的旧的五元组， 之后可再重新执行步骤 104及后续步骤。
关于上述鉴权流程，可以参照 3GPP规范，如鉴权与密钥协商协议（ AKA )0 现有网络中，网络侧拥有互为备份的 HLR/AUC资源池。一般地， HLR/AUC 资源池只有主备两个 HLR/AUC。处于维护的目的或者是某个 HLR/AUC故障， 所述主备两个 HLR/AUC会发生 HLR/AUC倒换或切换。 例如， 主 HLR/AUC 故障， 网络切换到备 HLR/AUC, 将备 HLR/AUC作为当前运行 HLR/AUC; 或者反之， 由备 HLR/AUC切换到主 HLR/AUC。
由于主、 备 HLR/AUC内保存的 SQNHE通常不一样， 从上述鉴权与密钥 协商协议（AKA ) 可以看出， 在鉴权时， 终端内的移动用户卡（USIM卡）无 法识别出当前鉴权的鉴权元组所对应的 HLR/AUC是互为备份的 HLR/AUC资 源池中的哪一个 HLR/AUC。 这样， 终端不能对网络倒换的事件进行跟踪， 以 及记录相关的日志。
发明内容
本发明提供可以在鉴权中鉴权设备的识别方法和鉴权方法、通信系统以及 设备， 以解决在鉴权过程中终端无法识别 HLR/AUC的技术问题。
一种在鉴权中识别 HLR/AUC的方法， 包括步骤：
产生鉴权参数信息时， 在所述鉴权参数信息中加入归属位置寄存器 /鉴权 中心 HLR/AUC标识信息；
终端接收到携带有 HLR/AUC标识信息的鉴权参数信息后，从所述鉴权参 数信息中解析出所述 HLR/AUC标识， 根据所述标识识别出对应的 HLR/AIL 一种鉴权方法， 包括步骤：
HLR/AUC向终端传送携带有 HLR/AUC标识信息的鉴权参数信息； 终端取得所述 HLR/AUC标识， 并基于所述 HLR/AUC进行鉴权进程。 一种通信设备， 包括 HLR/AUC, 在收到鉴权参数请求时， 用于返回鉴权 参数信息， 所述通信设备还包括：
鉴权参数信息生成单元，用于生成携带有 HLR/AUC标识信息的鉴权参数 信息。
一种通信系统， 包括 HLR/AUC和终端，
所述 HLR/AUC, 用于生成携带有 HLR/AUC标识信息的鉴权参数信息， 在收到鉴权参数请求时，返回携带有 HLR/AUC标识信息的鉴权参数信息到所 述终端； 根据接收到的鉴权响应对用户卡进行鉴权， 判断所述终端是否合法， 实现网络侧和终端的互鉴权；
终端， 用于从接收到的所述鉴权参数信息中解析出所述 HLR/AUC标识， 根据所述标识识别出对应的 HLR/AU,对所述 HLR/AUC的鉴权参数信息处理 鉴权进程。
以上第一技术方案可以看出， 由于在发送到终端的鉴权参数信息中加入 HLR/AUC标识信息， 可以让终端识别 HLR/AUC并知道它得到的鉴权参数如 AUTN和 RAND是来自哪个 HLR/AUC, 这样， 终端在需要时可以统计出主备 HLR/AUC切换次数， 以及各个 HLR/AUC使用率， 或者使终端能够根据使用 自己保存的对应该 HLR/AUC的参数信息对该 HLR/AUC进行鉴权。 这样， 在 发生 HLR/AUC倒换时， 可以避免发生大规模的 SQN同步现象， 避免给网络 造成压力。
以上第二技术方案可以看出， 由于在收到鉴权参数请求时， 返回携带有 HLR/AUC标识信息的鉴权参数信息到终端， 可以让终端识别 HLR/AUC并知 道它得到的鉴权参数如 AUTN和 RAND是来自哪个 HLR/AUC, 从而使终端 在需要时可以统计出主备 HLR/AUC切换次数， 以及各个 HLR/AUC使用率， 并且终端可以根据此 HLR/AUC信息进行鉴权进程，由于终端识别 HLR/AUC , 这样，终端在需要时可以统计出主备 HLR/AUC切换次数，以及各个 HLR/AUC 使用率， 并且在出现 HLR/AUC资源池中各 HLR/AUC的序列号不一致的情况 下又发生 HLR/AUC倒换时， 终端可以识别出所述不一致是倒换引起的， 可以 有助于避免发生大规模的 SQN同步现象， 避免给网络造成压力。
以上第三技术方案可以看出，由于本发明通过鉴权参数信息生成单元在鉴 权参数中生成 HLR/AUC标识信息， 因此 HLR/AUC在收到鉴权参数请求时， 可以返回携带有 HLR/AUC标识的鉴权参数信息到终端，可以让终端识别出它 得到的鉴权参数是来自哪个 HLR/AUC, 终端可以根据此 HLR/AUC信息进行 鉴权进程， 由于终端识别 HLR/AUC, 这样， 终端在需要时可以统计出主备 HLR/AUC切换次数， 以及各个 HLR/AUC使用率， 并且在出现 HLR/AUC资 源池中各 HLR/AUC的序列号不一致情况下又发生 HLR/AUC倒换时， 终端可 以识别出所述不一致是倒换引起的， 可以有助于避免发生大规模的 SQN同步 现象， 避免给网络造成压力。
以上第四技术方案可以看出，由于本发明通过鉴权参数信息生成单元在鉴 权参数中生成 HLR/AUC标识， 因此 HLR/AUC在收到鉴权参数请求时， 可以 返回携带有 HLR/AUC标识的鉴权参数信息到请求方，请求方知道它得到的鉴 权参数是来自哪个 HLR/AUC,因此请求方可以利用该标识进行各种通信处理。 附图说明
图 1是现有技术通信系统的鉴权方法时序图； 图 2是本发明实施例的通信系统在鉴权时识别 HLR/AUC的主要实现方法 时序图；
图 3是本发明实施例的通信系统的鉴权方法时序图；
图 4是本发明实施例的通信系统的原理框图；
图 5是本发明实施例的通信设备的原理框图。
具体实施方式
当每次用户终端与移动网络之间建立连接时， 以及所有业务请求、位置更 新请求、 附着请求、 分离请求、 以及重新建立连接等等操作， 需要进行鉴权操 作， 以便验证用户身份的合法性时， 在网络侧的 HLR/AUC 下发携带有 HLR/AUC 标识信息的鉴权参数信息到用户终端， 终端方面则按照预先与 HLR/AUC约定好的 HLR/AUC标识识别方法， 得到 HLR/AUC标识， 并在后 续鉴权流程中基于该标识进行操作。 例如， 统计得到的该 HLR/AUC鉴权参数 次数。 统计 HLR/AUC切换频率。
本发明实施例提供一种通信系统在鉴权时识别 HLR/AUC 的基本实现方 法， 包括步骤：
一、 在 HLR/AUC 产生鉴权参数信息时， 在所述鉴权参数信息中加入 HLR/AUC标识信息；
二、 鉴权时， 终端接收 HLR/AUC产生的所述鉴权参数信息， 从中解析出 所述 HLR/AUC标识。
现有 3GPP规范中， HLR/AUC产生鉴权元组时， 首先产生随机数， 根据 随机数和 KI产生期望响应、 加密密钥、 完整性密钥； 根据随机数、 序列号、 鉴权密钥和鉴权管理域产生出消息鉴权编码， 根据 MAC-A, SQNHE、 AK和 AMF得到鉴权标记 AUTN。 由 RAND和 XRES、 CK、 IK和 AUTN组成鉴权 五元组参数。 HLR/AUC传送给终端的鉴权参数包括 RAND和 AUTN。
HLR/AUC可以先产生鉴权元组，也可以在接收到 VLR/SGSN的鉴权元组 请求消息后才产生鉴权元组。 HLR/AUC在接收到 VLR/SGSN的鉴权元组请求 后， 将产生的鉴权元组发送给 VLR/SGSN。
所述 HLR/AUC将鉴权参数传送给终端是通过 VLR/SGSN来完成的。 鉴 权时， VLR/SGSN将取自 HLR/AUC的鉴权元组中参数信息 RAND和 AUTN 发送给终端。
步骤一中， 是 HLR/AUC在收到鉴权参数请求时， 返回携带有 HLR/AUC 标识的鉴权参数信息到终端， 以便让终端知道它得到的鉴权参数如 AUTN和 RAND是来自哪个 HLR/AUC, 从而在步骤二中， 终端可以根据此 HLR/AUC 标识进行后续的鉴权进程， 例如， 在后续鉴权过程中统计哪个 HLR/AUC引起 的同步流程最多， 哪个 HLR/AUC利用率较高， 等等。
以下结合实施方式和附图， 对本发明进行详细描述。
本发明实施例提供的一种通信系统在鉴权时识别 HLR/AUC 的主要实现 方法， 参阅图 2, 包括步骤：
步骤 201、 HLR/AUC产生鉴权参数信息， 并在所述鉴权参数信息中加入
HLR/AUC标识信息。
HLR/AUC产生的鉴权参数称为鉴权元组。
步骤 202、 HLR/AUC将产生的鉴权参数信息发送给 VLR/SGSN。
HLR/AUC可以是在接收到 VLR/SGSN的请求鉴权元组的请求后将产生的 所述多组鉴权元组中至少一组鉴权元组发送给 VLR/SGSN。
步骤 203、 VLR/SGSN将所述鉴权元组中的相关参数信息发送给终端。 鉴权元组中可以包括多个鉴权参数， VLR/SGSN将鉴权元组部分与终端相 关的鉴权参数发送给终端。 其中， 与终端相关的鉴权参数是 RAND和 AUTN。
步骤 204、 终端从接收到的所述鉴权参数信息中解析出所述 HLR/AUC标 识。
步骤 205、 终端在获取 HLR/AUC标识后执行后续的鉴权流程。
所述携带 HLR/AUC标识的鉴权参数信息可以是随机数、 序列号、 鉴权管 理域和消息鉴权编码中至少一种。
现有的 3GPP规范中的鉴权规范规定鉴权元组包括随机数 RAND、期望响 应 XRES、 加密密钥 CK、 完整性 IK和鉴权标记 AUTN, 其中 AUTN由序列 号 SQNHE、 鉴权管理域 AMF、 消息鉴权编码 MAC-A组成， 在 SQNHE被要 求加密时， SQNHE被由 RAND和 KI产生的密钥 AK所加密。 本发明可以应 用在 WCDMA系统中， 也可以应用到其他通信系统中。
实际当中， HLR/AUC可以使用 RAND、 或 AUTN中至少一个所述参数中 的至少一个位作为表示 HLR/AUC的 HLR/AUC标识信息； 对应地， 终端根据 接收到的所述鉴权参数信息中对应参数的 HLR/AUC 标识位解析出所述 HLR/AUC标识。 例如， 使用 AMF中的最高位标识主备 HLR/AUC标识， 该 位为 0时， 标识主 HLR/AUC; 该位为 1时标识备 HLR/AUC。 同样， 可以使 用 RAND 的最低位来标识主备 HLR/AUC。 当然， 也可以使用 SQNHE 或 MAC-A的某个位来标识主备 HLR/AUC。
当需要标识的 HLR/AUC 多于 2 个时， 则需要更多的位来标识不同的 HLR/AUC„
需要说明的是， 现有 3GPP规范中， HLR/AUC产生鉴权元组时， 首先产 生 RAND, 根据 RAND和 KI产生 XRES、 CK、 IK; 根据 RAND、 SQNHE, KI和 AMF产生出 MAC-A, 根据 MAC-A, SQNHE、 AK和 AMF得到 AUTN。 由 RAND和 XRES、 CK、 IK和 AUTN组成鉴权五元组参数。 因此， 如果通过 RAND来标识 HLR/AUC, 那么 , 要求产生 RAND之后 , 并在根据 RAND产 生其它参数之前， 例如产生 MAC-A之前， 就要完成这种标识 HLR/AUC的操 作。 本发明实施例在实际应用当中， 可以按照现有技术产生一个 RAND, 而后 将该 RAND的某个 bit位， 例如最低位设置为 0或 1来标识主备 HLR/AUC。 或者在产生 RAND时，将所述最低位设置为与主备标识一致的值，而对 RAND 的其它位釆用随机方法来产生即可。 如果用 AMF来标识 HLR/AUC, 那么， 要求设定 AMF值之后， 并在根据 AMF产生其它参数， 例如产生 MAC-A等 之前， 就要完成这种标识 HLR/AUC的操作。 同样， 可以用 SNQHE的一个位 来标识主备 HLR/AUC。 并且要求在产生 SQNHE后， 根据 SQNHE产生其它 参数前， 例如产生 MAC-A前， 就完成所述标识工作。 例如， 产生 SQNHE时， 将某个位的值设置为 0, 标识主 HLR/AUC; 如果将该位设置为 1 , 则标识备 HLR/AUC。在使用 MAC-A来标识主备 HLR/AUC时，要求在产生 MAC-A时， 或者产生 MAC-A之后， 将该 MAC-A的某个位的值， 例如是最高位的值设置 为 0或 1来分别标识主备 HLR/AUC。
当然， 还可以釆用如下办法来对 HLR/AUC进行标识：
对所述参数 RAND 或 AUTN 中至少一个进行分类， 或者说对所述参数 RAND, 或 SQNHE、 或 AMF、 或 MAC-A进行分类， 使用对应参数的类别作 为表示 HLR/AUC的 HLR/AUC标识信息； 对应地， 终端根据接收到的所述鉴 权参数信息中对应参数的类别解析出所述 HLR/AUC标识。 例如， 如果互为备 份的 HLR/AUC资源池中有三 HLR/AUC, 标识分别为 1、 2、 3 , 则可以用随 机数是被 3除的余数分别标识这三个 HLR/AUC, 余数为 0标识 HLR/AUC标 识 1 ,余数为 1标识 HLR/AUC标识 2 ,余数为 2标识 HLR/AUC标识 3。其中， 随机数的分类是按照除以 3的余数进行分类的。 当然，也可以将随机数的范围 进行分段， 分成三段， 用每一段的值标识不同的 HLR/AUC标识。
本发明实施例以第三代移动通信系统为例具体介绍本发明内容。 在第三 代移动通信系统的移动终端中保存有 IMSI、KI和 SQNMS。网络侧的 HLR/AUC 中针对该移动终端对应保存有 IMSI、 KI和序列号 SQNHE, 以用于移动终端 和网络相互鉴权。
参阅图 3 , 本发明鉴权方法以及在鉴权中识别 HLR/AUC的方法具体实施 方式包括以下设置和流程：
设置：
一、 在通信系统的 HLR/AUC 中设置有该 HLR/AUC 在互为备份的
HLR/AUC 资源池中的编号， 在当互为备份的 HLR/AUC 资源池中只有两个 HLR/AUC时， 该编号可以是 "0"和 "1", 当互为备份的 HLR/AUC资源池中有 三个 HLR/AUC时， 该编号可以是 "0"、 "1 "和" 2", 当互为备份的 HLR/AUC资 源池中有四个 HLR/AUC时， 该编号可以是 "0"、 "1"、 "2", 和" 3"。 本实施方 式中， 在互为备份的 HLR/AUC资源池中有两个 HLR/AUC, 将主 HLR/AUC 的 HLR/AUC资源池编号设置位" 0", 备用 HLR/AUC的资源池编号为" 1"; 二、 终端预先与 HLR/AUC约定好 HLR/AUC标识识别方法， 即终端上有 解析 HLR/AUC标识的软硬件单元。
流程：
301、 HLR/AUC产生随机数 RAND, 根据 RAND和 KI产生 XRES、 CK、
IK;根据 RAND, SQNHE、 KI和 AMF产生出 MAC-A,根据 MAC-A, SQNHE、 AK和 AMF得到 AUTN。 由 RAND和 XRES、 CK、 IK和 AUTN组成鉴权五 元组参数。
其中， 在所述 AMF中特定的位， 被设置表示为此 HLR/AUC的标识。 具 体是将 AMF 中的某一位或某几位设置为特殊值来标识该 HLR/AUC 的 HLR/AUC资源池编号。 在本实施例中更具体地是将 AMF的最高位设置为表 示该 HLR/AUC 是主 HLR/AUC 还是备 HLR/AUC。 在该 HLR/AUC 是主 HLR/AUC情况下， 该 AMF的最高位设置为" 0"。 这样， 在产生鉴权元组时， 首先， AMF的最高位被设置为" 0", 而后釆用现有的流程产生鉴权元组。例如， 产生鉴权元组时， HLR/AUC用随机数发生器产生的 RAND和自身保存的鉴权 密钥 KI分别计算出 XRES, 根据 RAND、 KI、 序列号 SQNHE、 鉴权管理域 AMF产生 AUTN, 也可以进一步根据 RAND和自身保存的鉴权密钥 KI分别 计算出 CK和 IK。
302、 在移动终端移动到 HLR/AUC所在网络并进行连接时， 开始鉴权流 程； VLR/SGSN请求 HLR/AUC提供鉴权参数， 即五元组；
303、 HLR/AUC应 VLR/SGSN的请求将产生的相应的一个或多个五元组 发送给 VLR/SGSN保存，保存在所述五元组中 AMF的 HLR/AUC标识也一并 发送给 VLR/SGSN, 也即所述五元组中是包含 HLR/AUC标识的；
304、 VLR/SGSN将对应五元组中的 RAND和 AUTN发送给终端， 其中
AUTN内的 AMF携带有所述 HLR/AUC标识；
305、 终端取得对应特定 HLR/AUC的鉴权参数信息 RAND和 AUTN, 进 行鉴权进程。
因为终端预先与 HLR/AUC约定好 HLR/AUC标识识别方法， 因而终端上 具有解析 HLR/AUC标识的软硬件单元。 具体是终端内的 USIM获取 AMF中 表示 HLR/AUC编号的特定位值， 将该值作为该 HLR/AUC对应的 HLR/AUC 资源池编号。具体是在 USIM判断出 AMF的特定位的值为" 0"时， 即得知该鉴 权元组对应的 HLR/AUC是主 HLR/AUC; 在 USIM判断出 AMF的特定位的 值为 "1 "时， 即得知该鉴权元组对应的 HLR/AUC是备 HLR/AUC。
终端随后根据自己保存的 KI验证 AUTN的一致性，如果一致性验证不通 过， 则转向步骤 306; 若一致性验证通过， 则转向步骤 307;
306、 向 VLR/SGSN返回鉴权失败信息， 结束；
307、 判断 AUTN内的 SQNHE是否属于可接受的范围： 若属于， 则转向 步骤 308; 若判断出 SQNHE不属于可接受范围， 则转向步骤 309; 308、 终端判断出对网络鉴权通过， 终端向 VLR/SGSN返回终端自己产生 的鉴权响应， 并根据 AUTN中的 SQNHE更新 SQNMS, VLR/SGSN比较终端 返回的鉴权响应和对应五元组中的 XRES是否一致来判断终端的合法性；如果 一致性比较通过， 则转向步骤 309; 如果不一致， 则本鉴权流程结束；
309、 根据 SQNMS产生再同步标记 AUTS(Resynchronisation Token), 所 述 AUTS中也加入有 HLR/AUC标识；
310、 终端向网络侧 VLR/SGSN 返回再同步请求或同步失败 ( Synchronisation failure ) 消息， 同时附上产生的再同步标记 AUTS, 也即消 息中包含 AUTS;
311、 网络侧 VLR/SGSN接收到再同步标记 AUTS时，将 AUTS和对应五 元组中的 RAND发送给 HLR/AUC;
312、 HLR/AUC根据对应保存的 KI和接收到的 RAND, 判断 AUTS的合 法性，如果不合法，则转向步骤 313;如果判断出 AUTS合法，则转向步骤 314;
313、 HLR/AUC向 VLR/SGSN返回 AUTS不合法信息， 结束；
314、 HLR/AUC根据 AUTS中的 SQNMS更新 SQNHE, 并产生一个新的 携带有所述 HLR/AUC标识的鉴权五元组；
315、将新的五元组发送给 VLR/SGSN, VLR/SGSN接收到新的五元组后， 删除对应的旧的五元组。
从以上可以看出， 由于在设置里对 HLR/AUC资源池的 HLR/AUC进行编 号， 在步骤 301里釆用 HLR/AUC鉴权参数 AMF特定位作为此 HLR/AUC的 标识， 因此 HLR/AUC在收到鉴权参数请求时， 返回携带有 HLR/AUC标识信 息的鉴权参数信息到终端， 可以让终端知道它得到的鉴权参数是来自哪个 HLR/AUC„
终端识别出 HLR/AUC的标识， 可以进行 HLR/AUC统计， 比如统计每个 HLR/AUC的鉴权次数， 以作为通信管理用途； 还可以根据不同 HLR/AUC标 识 /编号使用不同的密钥对网络进行鉴权等。
在本发明其他实施方式中， 可以在 VLR/SGSN请求 HLR/AUC提供五元 组时 HLR/AUC才产生携带 HLR/AUC标识的五元组。
在步骤 301 中， 对于互为备份的 HLR/AUC 资源池中有三个或者四个 HLR/AUC时， 可以用两个位来表示资源池编号， 例如， 分别用两个位的取值 "00"表示编号 0, 用两个位的取值 "01 "表示编号 1 , 用两个位的取值" 10"表示 编号 2, 用两个位的取值 "11 "表示编号 3。
在步骤 301中，对于互为备份的 HLR/AUC资源池只有主备两个 HLR/AUC 的这种情况， 还可以釆用将 AMF值按照模数来进行分类， 例如， 用 AMF mod 3 , 余数为 0的为一类， 对应资源池编号 0; 余数为 1的为一类， 对应资源池 编号 1 ; 余数为 2的为一类， 对应资源池编号 2。 实际当中， 可以将 AMF的 最低两个位预留下来， 并通过调整这两个位来使 AMF的值处于特定的类而又 不影响到高 14位的值。 当然， 如果是通过对 RAND来进行分类并用不同的类 标识不同的 HLR/AUC标识时， 可以直接通过对按照现有技术产生 RAND进 行加 1或减 1或不进行加减任何数等调整手段，使调整后的随机数属于指定类 另 |J , 即控制 RAND mod 3值恒等于 0、 或恒等于 1、 或恒等于 2。
上述实施例流程通过 AMF来携带 HLR/AUC标识信息，下面通过 SQNHE 来携带所述 HLR/AUC的标识信息， 包括步骤（以下步骤图未示）：
401、 HLR/AUC产生随机数 RAND, 根据 RAND和 KI产生 XRES、 CK、
IK;根据 RAND, SQNHE、 KI和 AMF产生出 MAC-A,根据 MAC-A, SQNHE、 AK和 AMF得到 AUTN。 由 RAND和 XRES、 CK、 IK和 AUTN组成鉴权五 元组参数。
其中， 在所述 SQNHE中特定的位， 被设置表示为此 HLR/AUC的标识。 具体是将 SQNHE 中的某一位或某几位设置为特殊值来标识该 HLR/AUC 的 HLR/AUC资源池编号。 更具体地是在本实施例中将 SQNHE的最低位设置为 表示该 HLR/AUC是主 HLR/AUC还是备 HLR/AUC。 在该 HLR/AUC是主 HLR/AUC情况下，该 SQNHE的最低位设置为" 0"。这样，在产生鉴权元组时， 首先， SQNHE的最低位被设置为" 0", 而后釆用现有的流程产生鉴权元组。 例 如， 产生鉴权元组时， HLR/AUC用随机数发生器产生的 RAND和自身保存的 鉴权密钥 KI分别计算出 XRES , 根据 RAND、 KI、 序列号 SQNHE、 鉴权管理 域 AMF产生 AUTN, 也可以进一步根据 RAND和自身保存的鉴权密钥 KI分 别计算出 CK和 IK。
402、 在移动终端移动到 HLR/AUC所在网络并进行连接时， 开始鉴权流 程； VLR/SGSN请求 HLR/AUC提供鉴权参数， 即五元组；
403、 HLR/AUC应 VLR/SGSN的请求将产生的相应的一个或多个五元组 发送给 VLR/SGSN保存，保存在所述五元组中 SQNHE的 HLR/AUC标识也一 并发送给 VLR/SGSN, 也即所述五元组中是包含 HLR/AUC标识的；
404、 VLR/SGSN将对应五元组中的 RAND和 AUTN发送给终端， 其中
AUTN内的 SQNHE携带有所述 HLR/AUC标识；
405、 终端取得对应特定 HLR/AUC的鉴权参数信息 RAND和 AUTN, 进 行鉴权进程。
因为终端预先与 HLR/AUC约定好 HLR/AUC标识识别方法， 终端上配置 有解析 HLR/AUC标识信息的软硬件单元。具体是终端内的 USIM获取 SQNHE 中表示 HLR/AUC编号的特定位值，将该值作为该 HLR/AUC对应的 HLR/AUC 资源池编号。 具体是在 USIM判断出 SQNHE的特定位的值为" 0"时， 即得知 该鉴权元组对应的 HLR/AUC是主 HLR/AUC; 在 USIM判断出 SQNHE的特 定位的值为 "1 "时， 即得知该鉴权元组对应的 HLR/AUC是备 HLR/AUC。
终端随后根据自己保存的 KI验证 AUTN的一致性，如果一致性验证不通 过， 则转向步骤 406; 若一致性验证通过， 则转向步骤 407;
406、 向 VLR/SGSN返回鉴权失败信息， 流程结束；
407、 判断 AUTN内的 SQNHE是否属于可接受的范围： 若属于， 则转向 步骤 408; 若判断出 SQNHE不属于可接受范围， 则转向步骤 409;
这里， 终端在判断 SQNHE 是否属于可以接受范围的操作， 可以忽略
SQNHE的最低位的值，而仅仅判断其它位的值是否在可以接受的范围内即可。
408、 终端判断出对网络鉴权通过， 终端向 VLR/SGSN返回终端自己产生 的鉴权响应， 并根据 AUTN中的 SQNHE更新 SQNMS, VLR/SGSN比较终端 返回的鉴权响应和对应五元组中的 XRES是否一致来判断终端的合法性；如果 一致性比较通过， 则转向步骤 409; 如果不一致， 则本鉴权流程结束；
409、 根据 SQNMS产生再同步标记 AUTS(Resynchronisation Token), 所 述 AUTS中携带有 HLR/AUC标识；
410、 终端向网络侧 VLR/SGSN 返回再同步请求或同步失败 ( Synchronisation failure ) 消息， 同时附上产生的再同步标记 AUTS, 也即消 息中包含 AUTS;
411、 网络侧 VLR/SGSN接收到再同步标记 AUTS时，将 AUTS和对应五 元组中的 RAND发送给 HLR/AUC;
412、 HLR/AUC根据对应保存的 KI和接收到的 RAND, 判断 AUTS的合 法性，如果不合法，则转向步骤 413;如果判断出 AUTS合法，则转向步骤 414;
413、 HLR/AUC向 VLR/SGSN返回 AUTS不合法信息， 结束；
414、 HLR/AUC根据 AUTS中的 SQNMS更新 SQNHE, 并产生一个新的 携带有所述 HLR/AUC标识的鉴权五元组；
415、将新的五元组发送给 VLR/SGSN, VLR/SGSN接收到新的五元组后， 删除对应的旧的五元组。
上述同样可以用 SQNHE的最高位来表示 HLR/AUC标识信息； 当然， 也 可以用 SQNHE的其它位来表示 HLR/AUC的标识信息。 对应地， 在步骤 407 中判断 AUTN内的 SQNHE是否属于可接受的范围时， 同样可以忽略 SQNHE 的这些用于表示 HLR/AUC标识信息的位的值，而仅仅判断其它位的值是否在 可以接受的范围内即可。
根据现有 3GPP规范中关于 WCDMA的鉴权流程规范， 在使用 SQNHE 的最高位来表示 HLR/AUC标识信息时， 对 SQNHE的所述可接受性判断的操 作可以在不考虑该最高位的情况下直接沿用现有判断的比较技术即可。
从以上可以看出， 由于在设置里对 HLR/AUC资源池的 HLR/AUC进行编 号， 在步骤 401里釆用鉴权参数 SQNHE特定位作为此 HLR/AUC的标识， 因 此 HLR/AUC在收到鉴权参数请求时， 返回携带有 HLR/AUC标识信息的鉴权 参数信息到终端， 可以让终端知道它得到的鉴权参数是来自哪个 HLR/AUC。
终端识别出 HLR/AUC的标识， 可以进行 HLR/AUC统计， 比如统计每个 HLR/AUC的鉴权次数， 以作为通信管理用途； 还可以根据不同 HLR/AUC标 识 /编号使用不同的密钥对网络进行鉴权等。
在本发明其他实施方式中， 可以在 VLR/SGSN请求 HLR/AUC提供五元 组时 HLR/AUC才产生携带 HLR/AUC标识的五元组。
在步骤 401 中， 对于互为备份的 HLR/AUC 资源池中有三个或者四个 HLR/AUC时， 可以用两个位来表示资源池编号， 例如， 分别用两个位的取值 "00"表示编号 0, 用两个位的取值 "01 "表示编号 1 , 用两个位的取值" 10"表示 编号 2, 用两个位的取值 "11 "表示编号 3。
在本发明其他实施方式中， 携带 HLR/AUC标识的鉴权参数不限于 AMF 或 SQNHE, 还可以是 RAND或 MAC-A。 还可以是将 AMF、 SQNHE、 RAND 或 MAC-A等中的两个或以上组合起来标识 HLR/AUC。
对于釆用 RAND来标识一个 HLR/AUC的 HLR/AUC资源池编号情况，可 以是先按现有技术产生随机数， 而后调整该随机数的对应位使其能够标识该 HLR/AUC的 HLR/AUC资源池编号。 当然， 也可以是先用 RAND的特定位标 识 HLR/AUC的 HLR/AUC资源池编号，而后用随机方法产生 RAND的其余位 即可。
对应地， USIM获取 RAND中对应位的值， 将该值作为该 HLR/AUC对应 的 HLR/AUC资源池编号。 例如， USIM判断出 RAND的特定位的值为" 0"时， 即得知该鉴权元组对应的 HLR/AUC是主 HLR/AUC; USIM判断出 RAND的 特定位的值为 "1 "时， 即得知该鉴权元组对应的 HLR/AUC是备 HLR/AUC。
对于釆用 MAC-A来标识一个 HLR/AUC的 HLR/AUC资源池编号情况， 可以是先按现有技术产生 MAC-A, 而后调整该 MAC-A的特定位使其能够标 识该 HLR/AUC的 HLR/AUC资源池编号。 当然， 也可以是先用 MAC-A的特 定位标识 HLR/AUC的 HLR/AUC资源池编号， 而后产生 MAC-A的其余位即 可。
对应地， USIM获取 MAC-A中特定位的值， 将该值作为该 HLR/AUC对 应的 HLR/AUC资源池编号。 例如， USIM判断出 MAC-A的特定位的值为" 0" 时 ,即得知该鉴权元组对应的 HLR/AUC是主 HLR/AUC; USIM判断出 MAC-A 的特定位的值为 "1 "时， 即得知该鉴权元组对应的 HLR/AUC是备 HLR/AUC。 这种情况下， USIM在对 MAC-A进行一致性验证时， 只需要对 MAC-A的其 余位进行一致性验证即可。 例如， USIM产生了与 MAC-A对应的验证值后， 判断 MAC-A中的其余位是否和该验证值中的对应位相同， 如果相同， 则可以 判断出一致性验证通过。
对于釆用 SQNHE来标识一个 HLR/AUC的 HLR/AUC资源池编号情况， 可以是先按现有技术产生 SQNHE, 而后调整该 SQNHE的特定位使其能够标 识该 HLR/AUC的 HLR/AUC资源池编号。 当然， 也可以是先用 SQN的特定 位标识 HLR/AUC的 HLR/AUC资源池编号， 而后产生 SQN的其余位即可。
对应地， USIM获取 SQN中对应位的值， 将该值作为该 HLR/AUC对应 的 HLR/AUC资源池编号。 例如， USIM判断出 SQN的特定位的值为" 0"时， 即得知该鉴权元组对应的 HLR/AUC是主 HLR/AUC; USIM判断出 SQN的特 定位的值为 "1 "时， 即得知该鉴权元组对应的 HLR/AUC是备 HLR/AUC。
HLR/AUC在鉴权五元组加入 HLR/AUC标识信息的方法还可以是： 对至少一个所述随机数、序列号、鉴权管理域和消息鉴权编码参数进行分 类，使用对应参数的类别作为表示 HLR/AUC的 HLR/AUC标识信息。对应地， 所述终端内的解析 HLR/AUC 标识信息的软硬件单元从接收到的所述鉴权参 数信息中解析出所述 HLR/AUC标识，具体是根据接收到的所述鉴权参数信息 中对应参数的类别解析出所述 HLR/AUC 标识， 也即根据鉴权参数与 HLR/AUC对应关系从得到的鉴权参数判断出所述对应的 HLR/AUC。
所述携带 HLR/AUC标识信息的鉴权五元组具体生成方法是：先生成所述 鉴权管理域、 序列号、 随机数或消息鉴权编码， 再调整对应参数的类别的方法 表示所述 HLR/AUC标识信息， 或通过直接生成对应于该 HLR/AUC标识的所 述鉴权管理域、 序列号、 随机数或消息鉴权编码的方法表示所述 HLR/AUC标 识信息。
参阅图 4 , 本发明实施例还提供一种通信系统， 包括 HLR/AUC 410、 VLR/SGSN 420和终端 430。 所述 HLR/AUC 410包括鉴权参数信息生成单元 411 , 用于生成携带有 HLR/AUC标识信息的鉴权参数信息。 所述终端 430包 括 HLR/AUC标识解析单元 431。
当每次用户终端 430 与移动网络之间建立连接时， 所有业务请求以及位 置更新请求、 附着请求、 分离请求、 以及重新建立连接等等， 在需要进行鉴权 操作， 以便验证用户身份的合法性时， 在网络侧的 HLR/AUC 410下发携带有 HLR/AUC标识信息的鉴权参数信息到 VLR/SGSN 420。
也即， HLR/AUC 410用于生成携带有 HLR/AUC标识信息的鉴权参数信 息， 在收到鉴权参数请求时， 返回携带有 HLR/AUC标识信息的鉴权参数信息 到所述终端； 根据接收到的鉴权响应对用户卡进行鉴权， 判断所述终端是否合 法， 实现网络侧和终端的互鉴权。 终端 430用于从接收到的所述鉴权参数信息 中解析出所述 HLR/AUC标识， 根据所述标识识别出对应的 HLR/AU, 对所述 HLR/AUC的鉴权参数信息处理鉴权进程。
所述携带有 HLR/AUC标识信息的鉴权参数信息是 AMF、 SQNHE、 RAND 或 MAC-A中至少一种， 其中 AMF、 SQNHE、 MAC-A组成鉴权标记 AUTN。 所述鉴权参数信息生成单元 411 通过先生成所述 AMF、 SQN、 RAND 或 MAC-A,再调整其中特定位的值的方法，或通过先生成所述 AMF、 SQN、RAND 或 MAC-A的特定位的值的方法表示所述 HLR/AUC标识信息。
VLR/SGSN 420 收到鉴权参数后， 转发全部或部分鉴权参数到用户终端 430。终端 430方面则通过 HLR/AUC标识解析单元 431得到 HLR/AUC标识 , 并在后续鉴权流程中与 VLR/SGSN 420或 HLR/AUC 410交互 HLR/AUC。 后 续鉴权流程比如终端 430进行 AUTN—致性验证， 并在判断 SQNHE不属于 可接受的范围情况下， 产生再同步标记， 并将再同步标记发送到 HLR/AUC 410, 所述 HLR/AUC 410根据再同步标记中的 SQNMS更新 SQNHE, 产生新 的鉴权参数。
从以上可以看出， 由于本发明实施例通过鉴权参数信息生成单元 411 在 产生的鉴权参数 AMF、 SQN、 RAND或 MAC-A中包含了 HLR/AUC标识信 息， 因此 HLR/AUC 410在收到鉴权参数请求时， 可以返回携带有 HLR/AUC 标识信息的鉴权参数信息到终端 430, 可以让终端 430 知道它得到的鉴权参 数是来自哪个 HLR/AUC, 在终端 430判断出 SQNHE不属于可接受范围时， 通过 VLR/SGSN 420将 AUTS和对应五元组中的 RAND发送给所述 HLR/AUC 410。
所述鉴权参数信息生成单元 411还可以釆用对所述鉴权管理域、 序列号、 随机数或消息鉴权编码中至少一个参数进行分类，将所述 HLR/AUC标识信息 对应参数的类别的方法来表示 HLR/AUC标识信息。具体是所述鉴权参数信息 生成单元 411通过先生成所述鉴权管理域、 序列号、 随机数或消息鉴权编码， 再调整对应参数的类别的方法表示所述 HLR/AUC标识信息，或通过直接生成 对应于该 HLR/AUC标识的所述鉴权管理域、序列号、 随机数或消息鉴权编码 的方法表示所述 HLR/AUC标识信息。 参阅图 5, 本发明又提供一种通信设备， 包括 HLR/AUC 410和鉴权参数 信息生成单元 411。 所述鉴权参数信息生成单元 411 用于生成携带有 HLR/AUC标识信息的鉴权参数信息，在收到鉴权参数请求时，所述 HLR/AUC 410 返回携带有 HLR/AUC 标识信息的鉴权参数信息， 以便于终端基于所述 HLR/AUC处理鉴权进程。 例的说明只是用于帮助理解本发明的方法及其核心思想； 同时，对于本领域的 一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变 之处， 综上所述， 本说明书内容不应理解为对本发明的限制。

Claims

权 利 要 求
1.一种在鉴权中识别 HLR/AUC的方法， 其特征在于， 包括步骤： 产生鉴权参数信息时， 在所述鉴权参数信息中加入归属位置寄存器 /鉴权 中心 HLR/AUC标识信息；
终端接收到携带有 HLR/AUC标识信息的鉴权参数信息后，从所述鉴权参 数信息中解析出所述 HLR/AUC标识， 根据所述标识识别出对应的 HLR/AIL
2.根据权利要求 1所述的在鉴权中识别 HLR/AUC的方法， 其特征在于， 所述携带有 HLR/AUC标识信息鉴权参数信息包括随机数、序列号、 鉴权管理 域和消息鉴权编码中至少一种。
3.根据权利要求 1所述的在鉴权中识别 HLR/AUC的方法， 其特征在于， 在所述鉴权参数信息中加入 HLR/AUC标识信息的步骤包括：使用至少一 个所述参数中的至少一个位作为表示 HLR/AUC的 HLR/AUC标识信息；
所述终端从接收到的所述鉴权参数信息中解析出所述 HLR/AUC 标识的 步骤包括：终端根据接收到的所述鉴权参数信息中对应参数的 HLR/AUC标识 位解析出所述 HLR/AUC标识； 或者，
在所述鉴权参数信息中加入 HLR/AUC标识信息的步骤包括：对至少一个 所述参数进行分类， 使用对应参数的类别作为表示 HLR/AUC的 HLR/AUC标 识信息；
所述终端从接收到的所述鉴权参数信息中解析出所述 HLR/AUC 标识的 步骤包括：终端根据接收到的所述鉴权参数信息中对应参数的类别解析出所述 HLR/AUC标识。
4.一种鉴权方法， 其特征在于， 包括步骤：
HLR/AUC向终端传送携带有 HLR/AUC标识信息的鉴权参数信息； 终端取得所述 HLR/AUC标识， 并基于所述 HLR/AUC进行鉴权进程。
5.根据权利要求 4所述的鉴权方法， 其特征在于， 所述携带有 HLR/AUC 标识信息的鉴权参数信息包括鉴权管理域、序列号、 随机数和消息鉴权编码中 的至少一种。
6.根据权利要求 5所述的鉴权方法， 其特征在于，
所述 HLR/AUC标识信息釆用所述鉴权管理域、 序列号、 随机数或消息鉴 权编码中至少一个参数的特定位表示； 或者，
对所述鉴权管理域、序列号、 随机数或消息鉴权编码中至少一个参数进行 分类， 所述 HLR/AUC标识信息釆用对应参数的类别表示。
7.根据权利要求 6所述的鉴权方法， 其特征在于， 所述 HLR/AUC标识信 息的表示方式包括：
通过先生成所述鉴权管理域、 序列号、 随机数或消息鉴权编码， 再调整其 中特定位的值的方法表示， 或者，
通过先生成所述鉴权管理域、序列号、 随机数或消息鉴权编码的特定位的 值的方法表示； 或者，
通过先生成所述鉴权管理域、 序列号、 随机数或消息鉴权编码， 再调整对 应参数的类别的方法表示， 或者，
通过直接生成对应于该 HLR/AUC标识的所述鉴权管理域、序列号、 随机 数或消息鉴权编码的方法表示。
8.根据权利要求 4至 7任一项所述的鉴权方法， 其特征在于， 所述进行鉴 权进程的步骤具体是： 进行 AUTN—致性验证，并在判断 SQNHE不属于可接 受的范围情况下， 产生再同步标记， 并将再同步标记发送到 HLR/AUC, 所述 HLR/AUC 根据再同步标记中的 SQNMS 更新 SQNHE , 产生新的包含 HLR/AUC标识的鉴权参数信息。
9.一种通信设备， 包括 HLR/AUC, 在收到鉴权参数请求时， 用于返回鉴 权参数信息， 其特征在于， 所述通信设备还包括：
鉴权参数信息生成单元，用于生成携带有 HLR/AUC标识信息的鉴权参数 信息。
10. 根据权利要求 9所述的通信系统的通信设备， 其特征在于， 所述携 带有 HLR/AUC标识信息鉴权参数信息包括随机数、序列号、 鉴权管理域和消 息鉴权编码中至少一种。
11. 一种通信系统， 包括 HLR/AUC和终端， 其特征在于，
所述 HLR/AUC, 用于生成携带有 HLR/AUC标识信息的鉴权参数信息， 在收到鉴权参数请求时，返回携带有 HLR/AUC标识信息的鉴权参数信息到所 述终端； 根据接收到的鉴权响应对用户卡进行鉴权， 判断所述终端是否合法， 实现网络侧和终端的互鉴权；
终端， 用于从接收到的所述鉴权参数信息中解析出所述 HLR/AUC标识， 根据所述标识识别出对应的 HLR/AU,对所述 HLR/AUC的鉴权参数信息处理 鉴权进程。
12. 根据权利要求 11 所述的通信系统， 其特征在于， 所述携带有 HLR/AUC标识信息鉴权参数信息包括随机数、 序列号、 鉴权管理域和消息鉴 权编码中至少一种。
PCT/CN2007/070272 2006-09-22 2007-07-11 Procédé, système de communication et dispositif permettant d'identifier et d'authentifier un dispositif d'authentification WO2008034359A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNB031480284A CN100466835C (zh) 2006-09-22 2006-09-22 鉴权设备的识别方法和鉴权方法、通信系统以及设备
CN200610139739.6 2006-09-22

Publications (1)

Publication Number Publication Date
WO2008034359A1 true WO2008034359A1 (fr) 2008-03-27

Family

ID=37859418

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/070272 WO2008034359A1 (fr) 2006-09-22 2007-07-11 Procédé, système de communication et dispositif permettant d'identifier et d'authentifier un dispositif d'authentification

Country Status (2)

Country Link
CN (1) CN100466835C (zh)
WO (1) WO2008034359A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103491522A (zh) * 2012-06-12 2014-01-01 华为软件技术有限公司 终端适配方法和装置

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101193424B (zh) * 2006-11-28 2010-10-13 中国移动通信集团公司 一种鉴权方法以及设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1568027A (zh) * 2003-06-24 2005-01-19 中兴通讯股份有限公司 一种零时间业务接管的归属位置寄存器的容灾方法
WO2005112337A1 (en) * 2004-05-19 2005-11-24 Entrust Limited Method and apparatus for providing electronic message authentication
CN1815954A (zh) * 2005-02-05 2006-08-09 华为技术有限公司 实现用户信息同步及对用户终端鉴权的方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6671507B1 (en) * 2000-06-16 2003-12-30 Siemens Aktiengesellschaft Authentication method for inter-system handover between at least two radio communications systems
JP4664050B2 (ja) * 2004-07-01 2011-04-06 株式会社エヌ・ティ・ティ・ドコモ 認証ベクトル生成装置、加入者認証モジュール、移動通信システム、認証ベクトル生成方法、演算方法及び加入者認証方法
CN100452924C (zh) * 2006-01-09 2009-01-14 中国科学院软件研究所 利用sim卡实现终端与网络双向鉴权的方法和装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1568027A (zh) * 2003-06-24 2005-01-19 中兴通讯股份有限公司 一种零时间业务接管的归属位置寄存器的容灾方法
WO2005112337A1 (en) * 2004-05-19 2005-11-24 Entrust Limited Method and apparatus for providing electronic message authentication
CN1815954A (zh) * 2005-02-05 2006-08-09 华为技术有限公司 实现用户信息同步及对用户终端鉴权的方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103491522A (zh) * 2012-06-12 2014-01-01 华为软件技术有限公司 终端适配方法和装置
CN103491522B (zh) * 2012-06-12 2016-08-03 华为软件技术有限公司 终端适配方法和装置

Also Published As

Publication number Publication date
CN100466835C (zh) 2009-03-04
CN1929684A (zh) 2007-03-14

Similar Documents

Publication Publication Date Title
JP6732095B2 (ja) 異種ネットワークのための統一認証
Huang et al. Authentication and key agreement protocol for UMTS with low bandwidth consumption
WO2006131061A1 (fr) Procede d'authentification et procede de transmission d'informations correspondant
US8792641B2 (en) Secure wireless communication
KR101048560B1 (ko) 차세대 이동 네트워크에서의 보호용 키를 생성하는 방법, 네트워크 디바이스, 사용자 장비 및 컴퓨터 판독가능 매체
US8533461B2 (en) Wireless local area network terminal pre-authentication method and wireless local area network system
KR101505590B1 (ko) 유선 근거리 통신망을 위한 보안 액세스 제어 방법 및 시스템
CN108809637B (zh) 基于混合密码的lte-r车-地通信非接入层认证密钥协商方法
WO2012174959A1 (zh) 一种机器到机器通信中组认证的方法、系统及网关
WO2008113299A1 (fr) Procédé d'authentification et de négociation de clé secrète, procédé de certification, système et dispositif
WO2006060943A1 (en) Authentication method
WO2012146282A1 (en) Authenticating a device in a network
WO2008006306A1 (fr) Procédé et dispositif de dérivation d'une clé interface locale
KR20060067263A (ko) Ｗｌａｎ-ｕｍｔｓ 연동망 시스템과 이를 위한 인증 방법
WO2020253736A1 (zh) 一种认证方法、装置及系统
WO2013010469A1 (zh) 建立连接的方法、终端和接入点
WO2013166934A1 (zh) 一种实现漫游切换的方法和装置
WO2013064002A1 (zh) 家庭基站安全接入的方法、系统及核心网网元
WO2009074050A1 (fr) Procede, systeme et appareil d'authentification de dispositif de point d'acces
WO2019095990A1 (zh) 一种通信方法及装置
WO2007022731A1 (fr) Procede, systeme et equipement de negociation de cle de cryptage dans une trame de verification universelle amelioree
WO2011015060A1 (zh) 一种可扩展的鉴权协议认证方法、基站及鉴权服务器
WO2007041933A1 (fr) Procédé de mise à jour de clés secrètes contrôlées et appareil idoine
WO2008011826A1 (fr) Procédé et dispositif permettant d'exécuter plusieurs authentifications au cours d'un processus epa
WO2012083873A1 (zh) 一种密钥生成方法、装置及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07764200

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07764200

Country of ref document: EP

Kind code of ref document: A1