WO2009152749A1 - 一种绑定认证的方法、系统和装置 - Google Patents

一种绑定认证的方法、系统和装置 Download PDF

Info

Publication number
WO2009152749A1
WO2009152749A1 PCT/CN2009/072259 CN2009072259W WO2009152749A1 WO 2009152749 A1 WO2009152749 A1 WO 2009152749A1 CN 2009072259 W CN2009072259 W CN 2009072259W WO 2009152749 A1 WO2009152749 A1 WO 2009152749A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
access device
network access
side network
identifier
Prior art date
Application number
PCT/CN2009/072259
Other languages
English (en)
French (fr)
Inventor
张宁
韩少伟
尹瀚
王绍斌
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2009152749A1 publication Critical patent/WO2009152749A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal

Definitions

  • the embodiments of the present invention relate to the field of communications technologies, and in particular, to a method, system, and apparatus for binding authentication. Background technique
  • the home base station is a home micro base station. Users can arrange such base stations in hotspot coverage areas such as homes and office places, and access the mobile communication network through the Internet, so that users can obtain more bandwidth and more reliable indoors than indoors. Quality of service, and more economical wireless communication services.
  • the introduction of the home base station solves the bottleneck problem of the hollow port resource of the wireless data service, so that the user can enjoy the high-speed, high-bandwidth network service, but should effectively control the home base station requesting access to the network.
  • the access control of the network node is generally performed in the following manner.
  • the arrangement of network nodes most of them are planned by the operator in advance, and the network arrangement is completed according to the planned content. Therefore, the time, location, and access configuration of the macro base station are known to the current wireless network.
  • the macro base station requests access, it only needs to configure corresponding access parameters according to the data planned by the network. , the access of the macro base station can be completed, and no special control mechanism is needed.
  • the user base station applies for service to the operator, the operator issues the device to the user and installs it. Therefore, when the home base station is powered on and after establishing a physical link with the operator's core network, the operator needs to perform access control on the home base station, and the first step of performing access control on the home base station is identity authentication.
  • the SIM card and the USIM card are collectively referred to as the (X) SIM card.
  • the SIM card and the USIM card are collectively referred to as the (X) SIM card.
  • An XRES Expectation Response
  • RES Response
  • the prior art authentication of the home base station is actually the authentication of the (X) SIM card identity inserted in the device, not the device itself. Certification. Due to the mobility of the (X) SIM card, there is such a problem that a legitimate card is used on an illegal device that is not trusted by the operator, accesses the core network of the operator, and then steals the service or launches an attack. Summary of the invention
  • the embodiment of the invention provides a method, a system and a device for binding authentication, so as to perform binding authentication on a user-side network access device and a user identity module inserted in the user-side network access device.
  • An embodiment of the present invention provides a method for binding authentication, including: And obtaining, by the network side device, an identifier of the user side network access device, and obtaining, by the user side network access device, an identifier of the user side network access device;
  • the access device is a legal device that is bound to the user identity module inserted in the user-side network access device.
  • an embodiment of the present invention further provides a network system, including:
  • a user side network access device configured to send an identifier of the user side network access device
  • a network side device configured to send the identifier of the user side network access device
  • An authentication network element configured to acquire an identifier of a user-side network access device from the user-side network access device, and an identifier of a user-side network access device from the network-side device, where the identifier from the network-side device Determining, when the identifier of the user-side network access device is consistent with the identifier of the user-side network access device from the user-side network access device, determining that the user-side network access device is the user-side network A legal device bound to the user identification module inserted in the access device.
  • the embodiment of the present invention further provides an authentication network element, including:
  • a receiving module configured to acquire an identifier of a user side network access device from a user side network access device and an identifier of a user side network access device from the network side device;
  • a comparison module configured to compare an identifier of a user side network access device from the network side device acquired by the receiving module with an identifier of the user side network access device from the user side network access device ;
  • a legality authentication module configured to: when the comparing module determines an identifier of the user side network access device from the network side device, and the user side network access device from the user side network access device When the identifiers are consistent, it is determined that the user-side network access device is a legal device that is bound to the user identity module inserted in the user-side network access device.
  • the embodiment of the present invention further provides a network device, including: a saving module, configured to store a correspondence between an identifier of the user-side network access device and an international mobile subscriber identity IMSI inserted in the user-side network access device; and an identifier finding module, configured to be used according to the user
  • the IMSI of the identity module searches for the identifier of the user-side network access device in the correspondence relationship list saved by the save module;
  • a sending module configured to send the identifier of the user-side network access device that is found by the identifier finding module to the authentication network element.
  • the embodiment of the present invention further provides a network device, including:
  • An identifier obtaining module configured to acquire an identifier of a network access device of the user side
  • a sending module configured to send, to the authentication network element, an identifier of the user-side network access device acquired by the acquiring module.
  • the embodiment of the present invention further provides a method for binding authentication, including: acquiring IMSI data that is sent by a user-side network access device and signed by a private key of the digital certificate of the user-side network access device,
  • the IMSI data includes an IMSI of the user identity module inserted in the user side network access device and a signed IMSI;
  • the authentication network The device determines that the user-side network access device is a legal device that is bound to the user identity module inserted in the user-side network access device.
  • the embodiment of the present invention can not only authenticate the identity of the user identity module, but also authenticate the legality of the user-side network access device inserted by the user identity module, and implement the user-side network access device and the user-side network. Bind authentication of the user identity module inserted in the access device, so that the user identity module inserted in the user-side network access device cannot be replaced at will.
  • FIG. 1 is a flowchart of a method for binding authentication according to an embodiment of the present invention
  • Embodiment 1 of a method for binding authentication according to the present invention
  • Embodiment 3 is a flowchart of Embodiment 2 of a method for binding authentication according to the present invention.
  • Embodiment 4 is a flowchart of Embodiment 3 of a method for binding authentication according to the present invention.
  • FIG. 5 is a flowchart of Embodiment 4 of a method for binding authentication according to the present invention.
  • Embodiment 5 is a flowchart of Embodiment 5 of a method for binding authentication according to the present invention.
  • FIG. 7 is a structural diagram of a system for binding authentication according to an embodiment of the present invention.
  • FIG. 8 is a structural diagram of an authentication network element according to an embodiment of the present invention.
  • FIG. 9 is a structural diagram of a network side device according to an embodiment of the present invention.
  • FIG. 10 is another structural diagram of a network side device according to an embodiment of the present invention.
  • FIG. 11 is a structural diagram of a user side network access device according to an embodiment of the present invention.
  • FIG. 12 is another structural diagram of a user side network access device according to an embodiment of the present invention. detailed description
  • the embodiment of the present invention provides a method for binding authentication, which performs binding authentication on a user-side network access device and a user identity module inserted in the user-side network access device, so that the user inserted in the user-side network access device The identification module cannot be replaced at will.
  • the executor of the binding authentication is an authentication network element, but the embodiment of the present invention is not limited thereto, and the executor of the binding authentication may also be a network side functional entity of the operator core network such as the HLR. As shown in FIG.
  • a flowchart of a method for binding authentication includes: Step S101: Acquire an identifier of a user-side network access device from a network-side device, and obtain the identifier from a user-side network access device. ID of the user-side network access device.
  • the network side device saves the identifier of the user side network access device and the IMSI correspondence relationship list of the user identity module inserted in the user side network access device.
  • the network side device Before the network side device sends the identifier of the user side network access device, the network side device saves the corresponding relationship of the IMSI of the user identity module inserted in the user side network access device sent by the user side network access device on the network side device. The identifier of the user-side network access device is found in the list, and then the network-side device sends the identifier of the user-side network access device to the authentication network element.
  • the user identity module in the user-side network access device encrypts the identifier of the user-side network access device by using the persistent shared key Ki, and connects the encrypted user-side network.
  • the identifier of the ingress device and the IMSI of the user identity module are sent to the user side network access device, and the user side network access device sends the identifier of the user side network access device encrypted by the permanent shared key Ki to the authentication network element. .
  • the network side device searches for the permanent shared key Ki and the identifier of the user-side network access device corresponding to the IMSI according to the IMSI of the user identity module sent by the user-side network access device by using the authentication network element, and uses the The permanent shared key encrypts the identifier of the user-side network access device corresponding to the IMSI, and then the network-side device sends the identifier of the user-side network access device encrypted by the persistent shared key Ki to the authentication network element.
  • the user identity module in the user side network access device may also use the public key pair.
  • the user-side network access device performs the verification by using the identifier of the user-side network access device after the private key is signed. After the verification is passed, the identifier of the user-side network access device is obtained, and the public key and the private key are A correspondence.
  • the authentication center of the network side device encrypts the identifier of the user side network access device by using the encryption key, and then the network side device encrypts the user encrypted by using the encryption key.
  • the identifier of the side network access device is sent to the authentication network element, where the encryption key carries In the authentication vector group calculated according to AKA.
  • the authentication network element stores the identifier of the user-side network access device encrypted by the encryption key, and forwards the random number and the AUTN (Authentication Token) in the authentication vector group to the user-side network access device.
  • the user side network access device calculates an encryption key according to the random number and the AUTN in the authentication vector group, and encrypts the identifier of the user side network access device by using the encryption key.
  • Step S102 Compare the identifier of the user-side network access device that is obtained by the network-side device from the identifier of the user-side network access device that is obtained from the user-side network access device.
  • the authentication network element may connect the identifier of the user-side network access device that is encrypted by the network-side device and that is encrypted by the user-side network access device to the user-side network that is encrypted by using the permanent shared key. Compare the identity of the incoming device; or,
  • the authentication network element compares the identifier of the user-side network access device encrypted by the network-side device with the encryption key and the identifier of the user-side network access device encrypted by the user-side network access device and encrypted by the encryption key.
  • Step S103 When the identifier of the user-side network access device acquired from the network-side device is consistent with the identifier of the user-side network access device acquired from the user-side network access device, determining that the user-side network access device is A legal device bound to the user identity module inserted in the user-side network access device.
  • the identifier of the user-side network access device in the embodiment of the present invention may be an EI (Equipment Identity) of the user-side network access device, or a MAC (Media Access Control) of the user-side network access device.
  • the media access control is an address, or a digital certificate of the user-side network access device, but the embodiment of the present invention is not limited thereto, as long as the identifier of the user-side network access device can uniquely identify the user-side network access device. .
  • the user side when the identifier of the user side network access device sent by the network side device is consistent with the identifier of the user side network access device sent by the user side network access device, the user side may be further determined. Whether the RES sent by the network access device and the XRES in the authentication vector group sent by the network side device are consistent, when the user side network access device sends the RES and The XRES in the authentication vector group sent by the network side device determines that the identity of the user identity module is legal.
  • the RES sent by the user side network access device is calculated by the user side network access device according to the random number and the permanent shared key in the authentication vector group sent by the authentication network element.
  • the user identification module in the embodiment of the present invention may be a removable module inserted into the home base station, and has a credential capable of authenticating the holder of the home base station, and may be a mobile card such as a SIM card or a USIM card.
  • the binding authentication method can not only authenticate the identity of the user identity module, but also authenticate the legality of the user-side network access device inserted by the user identity module, and implement the user-side network access device and the Binding authentication of the user identity module inserted in the user-side network access device, so that the user identity module inserted in the user-side network access device cannot be replaced at will.
  • the network side device is an HLR
  • the user side network access device is a home base station.
  • the network side device and the user side network access device may also be other devices.
  • the EI of the home base station is bound to the (X) SIM card
  • the MAC (Media Access Control) address of the home base station is also bound to the (X) SIM card.
  • FIG. 2 it is a flowchart of Embodiment 1 of the method for binding authentication according to the present invention.
  • the correspondence between the EI of the home base station and the IMSI is stored on the HLR.
  • the relationship may be represented by a list (or other data structure) generated when the operator issues a home base station and a (X) SIM card to the user when registering the service with the operator.
  • the authentication method after the physical base link is established between the home base station and the authentication network element specifically includes:
  • Step S201 The home base station sends an EI of the home base station and an IMSI of the (X) SIM card inserted in the home base station to the authentication network element, and initiates a binding authentication application to the authentication network element.
  • Step S202 The authentication network element forwards the IMSI to the HLR.
  • Step S203 the HLR calculates an authentication vector group according to the IMSI, and acquires the identifier according to the IMSI.
  • the EI of the home base station saved by the HLR transmits the EI of the home base station together with the authentication vector group to the authentication network element.
  • Step S204 The authentication network element compares the EI of the home base station sent by the home base station with the EI of the home base station sent by the HLR. If it is consistent, the home base station is a legal device bound to the (X) SIM card, but the identity of the (X) SIM card needs to be further authenticated, step S205 is performed; if the home base station is received from the home base station The EI is inconsistent with the EI of the home base station received from the HLR, and the home base station is not a legitimate device bound to the (X) SIM card, and the link with the home base station is disconnected.
  • Step S205 The authentication network element sends the random number and the AUTN in the authentication vector group to the home base station.
  • Step S206 the home base station calculates the RES according to Ki (Permanent Shared Key) and the received random number in the SIM card.
  • Ki Permanent Shared Key
  • Step S207 The home base station returns the RES to the authentication network element.
  • Step S208 The authentication network element compares the XRES in the authentication vector group sent by the HLR with the RES sent by the home base station. If XRES and RES are met, it is determined that the (X) SIM card is legal.
  • the authentication network element determines that the home base station is tied to the (X) SIM card inserted in the home base station. Legal equipment. After further determining the XRES in the authentication vector group sent by the HLR and the RES sent by the home base station, the authentication network element determines that the identity of the (X) SIM card is legal. Not only the identity of the (X) SIM card is authenticated, but also the legality of the home base station inserted by the (X) SIM card is further authenticated, thereby realizing the user identity module inserted in the home base station and the home base station. The authentication is bound so that the (X) SIM card inserted in the home base station cannot be replaced at will.
  • FIG. 3 it is a flowchart of Embodiment 2 of the method for binding authentication according to the present invention.
  • the mapping between the EI and the IMSI of the home base station is stored on the HLR, and the correspondence column is configured.
  • the table is generated when the operator issues the home base station and the (X) SIM card to the user when registering the service with the operator.
  • a public-private key pair is added, the EI of the home base station is signed by the private key, the signature data is written into the home base station, and the public key is written into the (X) SIM card, and the private key can be stored by the operator.
  • the SIM card verifies the signature of the EI of the home base station, and then encrypts the EI of the plaintext with the Ki and outputs it to the home base station.
  • the home base station sends the encrypted serial number and the IMSI of the plaintext to the authentication network element.
  • Step S301 The home base station inputs the EI encrypted by the private key to the (X) SIM card.
  • Step S302 the SIM card authenticates the encrypted EI with the public key, obtains the EI of the home base station, and then encrypts the EI with Ki.
  • Step S303 the (X) SIM card outputs the encrypted EI and IMSI to the home base station.
  • Step S305 The authentication network element forwards the IMSI sent by the home base station to the HLR.
  • Step S306 the HLR searches for the EI of the home base station corresponding to the Ki and the user when the user opens the account according to the IMSI, and encrypts the EI of the home base station with the Ki.
  • Step S307 The HLR returns the EI and the authentication vector group of the Ki-encrypted home base station to the authentication network element.
  • Step S308 the authentication network element compares the EI of the home base station and the EI of the home base station sent by the HLR sent by the home base station. If the EI of the home base station and the EI of the home base station sent by the HLR sent by the home base station are the same, the home base station is a legal device bound to the (X) SIM card, but the identity of the (X) SIM card needs to continue to be authenticated. . If the EI of the home base station sent by the home base station and the EI of the home base station sent by the HLR are inconsistent, the home base station is not a legal device bound to the (X) SIM card. Step S309, the authentication network element sends the random number and the AUTN in the authentication vector group to the home base station.
  • Step S310 the home base station calculates the RES by using Ki and a random number in the (X) SIM card.
  • Step S312 The authentication network element compares whether the XRES in the authentication vector group sent by the RES and the HLR is consistent. If RES and XRES are the same, then it is determined that the identity of the (X) SIM card is legal.
  • the identity of the home base station is difficult to forge, even if the EI of a legitimate home base station and the IMSI of the (X) SIM card inserted in the home base station are known, if no home base station uses the private key to sign the EI, The authentication of the identity of the device cannot be performed. Only the home base station and the (X) SIM card inserted in the home base station can complete the authentication of the identity of the home base station. Thereby, the binding authentication of the home base station and the subscriber identity module inserted in the home base station is realized, so that the (X) SIM card inserted in the home base station cannot be replaced at will. When the user of the home base station needs to change the corresponding (X) SIM card, the operator can be requested to change the record on the HLR without affecting the (X) SIM card or device reuse.
  • the HLR stores a correspondence list between the EI and the IMSI of the home base station, where the correspondence relationship is generated when the operator issues the home base station and the (X) SIM card to the user when registering the service with the operator. of.
  • the third embodiment is an extension of the existing AKA protocol. By using the existing AKA authentication mechanism, a field is added to extend the AKA protocol, and the (X) SIM card and the home base station are authenticated.
  • the core idea of the third embodiment is: Encrypt EI using the CK (Cryptographic Key) negotiated by the AKA protocol.
  • the authentication network element receives the EI of the home base station encrypted by the CK encrypted by the HLR, and the EI of the home base station encrypted by the CK sent by the home base station, and compares the two, if they are consistent, it is legal (X)
  • the SIM card is used on a legitimate home base station.
  • the third embodiment uses the (X) SIM card as the USIM card as an example for description.
  • Step S401 After the home base station is started, the IMSI is sent to the authentication network element by using the USIM inserted in the home base station, and the AKA mechanism is performed with the AuC on the HLR of the core network. Step S402, the authentication network element forwards the IMSI to the HLR to request an authentication vector group.
  • Step S403 The AuC on the HLR generates a five-factor authentication vector group according to the AKA algorithm, and encrypts the EI of the home base station to which the USIM is bound by using the newly generated CK.
  • the EI of the home base station can be read by the AuC from the HLR according to IMSI.
  • Step S404 The HLR sends the AKA five-factor authentication vector group and the EI of the home base station encrypted by the CK generated by the core network to the authentication network element.
  • Step S405 The authentication network element obtains CK and IK (Integrity Key) from the AKA five-factor authentication vector group, and reserves the EI of the home base station encrypted by CK, and then randomly stores the AKA five-factor authentication vector group. The number and AUTN are forwarded to the home base station.
  • CK and IK Integrity Key
  • Step S406 The home base station performs AKA authentication, and if the AKA authentication of the home base station passes, reads the EI of the home base station from the home base station, and encrypts the EI of the home base station by using the CK estimated by the home base station.
  • Step S407 The home base station sends the calculated RES and the EI of the home base station encrypted by the home base station and encrypted by the CK to the authentication network element.
  • Step S408 The authentication network element compares the random number response RES sent by the home base station with the XRES in the AKA five-factor authentication vector group sent by the AuC, and the random number response RES sent by the home base station and the AKA five-factor authentication vector group sent by the AuC.
  • XRES it is determined that the home base station is a legitimate device. Comparing the EI of the home base station encrypted by the CK and the EI of the home base station encrypted by the CK encrypted by the AuC, the EI of the home base station encrypted by the CK and the home base station encrypted by the CK encrypted by the home base station transmitted by the AuC.
  • the EI is the same, indicating that the USIM card is plugged into the correct home base station, and the home base station is a legitimate device and is not used.
  • the authentication network element selects one of the authentication vectors, and forwards the random number and the AUTN in the authentication vector to the home base station, then the HLR in step S404.
  • Sending the EI of the home base station corresponding to the IMSI to the authentication network element, after the authentication network element selects the authentication vector, encrypting the EI of the home base station with the CK therein, and the subsequent steps S405 to S407 are the same as the above embodiment, in step S408.
  • Authentication network element comparison authentication network The element uses the EI of the home base station encrypted by the CK in the selected authentication vector and the EI of the home base station encrypted by the home base station and transmitted by the home base station.
  • the authentication network element uses an EAP (Extensible Authentication Protocol) and an AKA authentication protocol for identity authentication, and the authentication network is used.
  • EAP Extensible Authentication Protocol
  • AKA authentication protocol for identity authentication
  • the detachable device is divided into an access gateway and an authentication and authorization (AAA) server.
  • the RADIUS server and the HLR use the Radius interface to exchange messages.
  • the interactive messages are carried by the EAP.
  • the HLR encrypts the EI of the home base station by using the CK, and the home base station also encrypts the EI of the home base station by using the CK, and then the authentication network element sends the EI and the home base station of the home base station encrypted by the CK transmitted by the HLR according to the HLR.
  • the EI of the home base station encrypted by CK authenticates the legality of the home base station, and implements the authentication of the legality of the home base station inserted by the USIM card, and provides a user identifier inserted into the home base station and the home base station.
  • the module performs binding authentication.
  • the embodiment of the present invention can also be used on a mobile terminal to implement binding authentication of the mobile terminal and the (X) SIM card.
  • Step S501 The home base station sends the EI of the home base station to the (X) SIM card.
  • Step S502 (X) the SIM card encrypts the EI with Ki.
  • Step S503 (X) the SIM card sends the encrypted EI and the IMSI to the home base station.
  • Step S505 The authentication network element forwards the IMSI sent by the home base station to the HLR.
  • Step S506 The HLR searches for the EI of the home base station corresponding to the Ki and the user when the user opens the account according to the IMSI, and encrypts the EI of the home base station with the Ki.
  • Step S507 the HLR returns the EI and the authentication vector group of the Ki-encrypted home base station to the authentication network element.
  • Step S508 the authentication network element compares the EI of the home base station and the EI of the home base station sent by the HLR sent by the home base station. If the EI of the home base station and the EI of the home base station sent by the HLR sent by the home base station are the same, the home base station is a legal device bound to the (X) SIM card, but the identity of the (X) SIM card needs to continue to be authenticated. . If the EI of the home base station sent by the home base station and the EI of the home base station sent by the HLR are inconsistent, the home base station is not a legal device bound to the (X) SIM card.
  • Step S509 The authentication network element sends the random number and the AUTN in the authentication vector group to the home base station.
  • Step S510 the home base station calculates the RES by using Ki and a random number in the (X) SIM card.
  • Step S512 The authentication network element compares whether the XRES in the authentication vector group sent by the RES and the HLR is consistent. If RES and XRES are the same, then it is determined that the identity of the (X) SIM card is legal.
  • the home base station and the HLR respectively encrypt the EI of the home base station with Ki, and after the authentication network element compares the EI of the home base station and the EI of the home base station sent by the HLR sent by the home base station, the authentication network element Determining that the home base station is a legal device bound to the (X) SIM card, thereby implementing authentication of the legality of the (X) SIM card inserted home base station, and providing a method for inserting into the home base station and the home base station User identification module performs binding authentication.
  • the home base station pre-configures the digital certificate, and the HLR has already stored the correspondence between the IMSI and the public key of the home base station digital certificate.
  • the home base station signs the IMSI with the private key of the home base station digital certificate, and sends the signed IMSI data to the authentication network element. Specifically include:
  • Step S601 The home base station sends the IMSI data signed by the private key of the home base station digital certificate to the authentication network element, and initiates a binding authentication request, where the IMSI data includes the IMSI and the IMSI signed by the digital certificate private key.
  • Step S602 The authentication network element forwards the received IMSI data to the HLR, and requests to verify the signature of the IMSI data.
  • Step S603 The HLR searches for the public key of the home base station digital certificate corresponding to the IMSI according to the IMSI, and verifies the signature of the IMSI data by using the retrieved public key.
  • Step S604 the HLR sends the verification result of the signature of the IMSI data to the authentication network element.
  • the verification of the signature of the IMSI data may be performed by the HLR, or after the HLR retrieves the public key of the digital certificate of the home base station, the public key is returned to the authentication network element, and the signature of the IMSI data is verified by the authentication network element.
  • the authentication network element forwards the IMSI to the HLR, and requests the HLR to obtain the public key of the home base station digital certificate corresponding to the IMSI; after the HLR retrieves the public key of the home base station digital certificate according to the IMSI, the HLR digitizes the home base station
  • the public key of the certificate is sent to the authentication network element; the authentication network element uses the received public key to verify the signature of the IMSI data.
  • the authentication network element receives the IMSI data sent by the home base station and signed by the private key of the home base station digital certificate, and uses the public key of the home base station digital certificate to verify the signature of the IMSI data, and the verification is passed.
  • the home base station is determined to be a legal device bound to the (X) SIM card, and the legality of the (X) SIM card inserted home base station is authenticated, and a home base station and the home base station are inserted.
  • the user identification module performs a method of binding authentication.
  • a structural diagram of a system for binding authentication includes: a user side network access device 71, configured to send an identifier of a user side network access device 71; and a network side device 72, configured to Sending an identifier of the user side network access device 71;
  • the authentication network element 73 is configured to acquire the identifier of the user-side network access device 71 from the user-side network access device 71 and the identifier of the user-side network access device 71 from the network-side device 72 when the network-side device 72 is located.
  • the identifier of the user side network access device 71 is consistent with the identifier of the user side network access device 71 from the user side network access device 71, it is determined that the user side network access device 71 is inserted into the user side network access device 71.
  • the user identity module is bound to the legal device, and the identity of the user identity module is legal.
  • the type of the network side device 72 includes a home location register HLR, and the type of the user side network access device 71 includes a home base station.
  • the authentication network element 73 authenticates the legality of the user-side network access device 71 inserted by the user identity module, and implements the user-side network access device 71 and the user-side network access device 71. Binding authentication of the user identity module inserted in the user interface module inserted in the user side network access device 71 cannot be replaced at will.
  • the structural diagram of the authentication network element according to the embodiment of the present invention includes:
  • the receiving module 731 is configured to acquire an identifier of the user side network access device 71 from the user side network access device 71 and an identifier of the user side network access device 71 from the network side device 72.
  • the comparison module 732 is configured to compare the identifier of the user side network access device 71 from the network side device 72 acquired by the receiving module 731 with the identifier of the user side network access device 71 from the user side network access device 71.
  • the legality authentication module 733 is configured to: when the comparison module 732 determines that the identifier of the user side network access device 71 from the network side device 72 is consistent with the identifier of the user side network access device 71 from the user side network access device 71, It is determined that the user side network access device 71 is a legal device bound to the user identity module inserted in the user side network access device 71.
  • the comparison module 732 is specifically an encryption comparison module, configured to send the identifier of the user-side network access device 71 that is sent by the network-side device 72 and encrypted by using a permanent shared key or an encryption key, and the user-side network access device 71. The identity of the user side network access device 71 encrypted with the permanent shared key or the encryption key is compared.
  • the authentication of the user-side network access device 71 inserted in the user-side network access device 71 is performed, thereby realizing the binding of the user-side network access device 71 and the user identification module inserted in the user-side network access device 71. Certification.
  • FIG. 9 it is a structural diagram of a network side device according to an embodiment of the present invention, including: a saving module 721, configured to save a correspondence between the identifier of the user side network access device 71 and the IMSI of the user identity module inserted in the user side network access device 71;
  • the identifier finding module 722 is configured to search for the identifier of the user side network access device 71 in the corresponding relationship list saved by the saving module 721 according to the IMSI of the user identifier module.
  • the sending module 723 is configured to: find the user side network access device that is found by the identifier finding module 722.
  • the identity of 71 is sent to the authentication network element 73.
  • the network side device may further include: an encryption module 724, configured to encrypt the user side network access device by using an encryption key or a permanent shared key. logo.
  • the network-side device saves the identifier of the user-side network access device 71 and the IMSI mapping relationship of the user identifier module inserted in the user-side network access device 71, and the sending module 723 searches the identifier search module 722.
  • the identifier of the user-side network access device 71 is sent to the authentication network element 73, so that the authentication network element 73 can perform binding authentication on the user-side network access device 71 and the user identity module inserted in the user-side network access device 71. .
  • a structural diagram of a user-side network access device includes: an identifier obtaining module 711, configured to acquire an identifier of a user-side network access device 71; and a sending module 712, configured to authenticate the network The identifier of the user side network access device acquired by the element sending identifier obtaining module 711.
  • the user side network access device 71 may further include:
  • the identifier encryption module 713 is configured to encrypt the identifier of the user-side network access device acquired by the identifier obtaining module 711 by using the encryption key or the permanent shared key.
  • the verification module 714 is configured to use the public key to verify the identifier of the user-side network access device 71 after the user-side network access device 71 is signed by the private key, and the public key and the private key are in one-to-one correspondence.
  • the identifier of the user side network access device 71 is obtained by the identifier obtaining module 711.
  • the user side network access device, the sending module 712 sends the identifier of the user side network access device 71 acquired by the identifier obtaining module 711 to the authentication network element 73, and the authentication network element 73 is used for the user side network.
  • the network access device 71 and the user identity module inserted in the user-side network access device 71 perform binding authentication, so that the user identity module inserted in the user-side network access device 71 cannot be replaced at will.
  • the present invention can be implemented by hardware, or can be implemented by means of software plus necessary general hardware platform, and the technical solution of the present invention. It can be embodied in the form of a software product that can be stored in a non-volatile storage medium (which can be a CD-ROM, a USB flash drive, a mobile hard disk, etc.), including a number of instructions for making a computer device (may It is a personal computer, a server, or a network device, etc.) The method described in various embodiments of the present invention is implemented.
  • a non-volatile storage medium which can be a CD-ROM, a USB flash drive, a mobile hard disk, etc.
  • a computer device may It is a personal computer, a server, or a network device, etc.
  • modules in the apparatus in the embodiments may be distributed in the apparatus of the embodiment according to the description of the embodiments, or may be correspondingly changed in one or more apparatuses different from the embodiment.
  • the modules of the above embodiments may be combined into one module, or may be further split into a plurality of sub-modules.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Description

一种绑定认证的方法、 系统和装置
本申请要求了 2008年 6月 16日提交的， 申请号为 200810110927.5， 发 明名称为 "一种绑定认证的方法、 系统和装置" 的中国申请优先权， 其全 部内容通过引用结合在本申请中。 技术领域
本发明实施例涉及通信技术领域， 特别涉及一种绑定认证的方法、 系统 和装置。 背景技术
在无线网络通信系统中， 随着因特网的发展以及各种无线业务的广泛应 用， 用户对于无线网络的带宽、 便捷性、 成本等方面提出了更高的需求。 另 一方面， 运营商需要充分地利用现有网络的资源， 扩大容量， 减少成本， 更 好地为用户提供服务。
为了充分满足上述需求和网络的发展需求， 提出了一种家用基站
(Home NodeB ) 。 家用基站是一种家用的微型基站， 用户可以在家庭、 办 公场所等热点覆盖区域布置这种基站， 通过因特网接入到移动通信网络， 使 用户在室内获得比室外更大的带宽、 更可靠的服务质量、 且更经济的无线通 信服务。 家用基站的引入， 解决了无线数据业务中空口资源的瓶颈问题， 使 得用户可以享用到高速率、 高带宽的网络服务， 但应当对请求接入网络的家 用基站进行有效地控制。
对于覆盖面积较大的宏基站， 一般采用以下方式进行网络节点的接入控 制。 对于网络节点的布置， 大多是由运营商事先规划好， 并根据规划好的内 容完成网络布置。 因此宏基站接入的时间、 地点以及接入时的配置对于当前 的无线网络来说都是已知的， 在宏基站请求接入时， 只需要根据网络规划的 数据， 配置相应的接入参数， 便可完成宏基站的接入， 无需专门的控制机 制。 但家用基站一般在用户向运营商申请业务时， 运营商将设备发放到用户 手中， 自行安装使用。 因此当家用基站加电运行， 与运营商核心网络建立物 理链接后， 运营商需要对家用基站进行接入控制， 对家用基站进行接入控制 的首要步骤就是身份认证。
现有技术提供的一种对家用基站的身份进行认证的方法是利用 SIM
( Subscriber Identity Module , 用户标识模块） 或 USIM ( Universal Mobile Telecommunications System Subscriber Identity Module, 通用禾多动通信系统用 户标识模块） 卡， 执行 SIM或 AKA (Authentication and Key Agreement, 认 证和密钥协商） 认证， 其中 SIM卡和 USIM卡统称 （X) SIM卡。 具体为： 在用户的 （X) SIM卡内和在 HLR (Home Location Register, 用户归属位置 寄存器） 中的 AuC ( Authentication Centre , 鉴权中心） 内有一个一致的 Ki， 每次用不同的随机数在网络侧生成 XRES (Expectation Response, 期望 响应） ， 在用户侧生成 RES (Response, 响应） ， 以便验证双方的 Ki是否 一致。 将保存在 ( X ) SIM卡中的 IMSI ( International Mobile Subscriber Identity, 国际移动用户标识） 发给认证网元。
在实现本发明的过程中， 发明人发现现有技术至少存在以下缺点： 现有 技术对家庭基站的认证其实是对设备内所插入的 （X) SIM卡身份的认证， 而不是对设备本身的认证。 由于 （X ) SIM卡的可移动性， 因此存在这样的 问题： 合法的卡用在非法的不被运营商信任的设备上， 接入运营商核心网， 进而盗取业务或发动攻击。 发明内容
本发明实施例提供一种绑定认证的方法、 系统和装置， 以实现对用户侧 网络接入设备和该用户侧网络接入设备中插入的用户标识模块进行绑定认 证。
本发明实施例一方面提供一种绑定认证的方法， 包括： 从网络侧设备获取的用户侧网络接入设备的标识和从用户侧网络接入设 备获取所述用户侧网络接入设备的标识；
将从所述网络侧设备获取的所述用户侧网络接入设备的标识与从所述用 户侧网络接入设备获取的所述用户侧网络接入设备的标识进行对比；
当从所述网络侧设备获取的所述用户侧网络接入设备的标识与从所述用 户侧网络接入设备获取的所述用户侧网络接入设备的标识一致时， 确定所述 用户侧网络接入设备是与所述用户侧网络接入设备中插入的用户标识模块绑 定的合法设备。
另一方面， 本发明实施例还提供一种网络系统， 包括：
用户侧网络接入设备， 用于发送所述用户侧网络接入设备的标识； 网络侧设备， 用于发送所述用户侧网络接入设备的标识；
认证网元， 用于获取来自所述用户侧网络接入设备的用户侧网络接入设 备的标识和来自所述网络侧设备的用户侧网络接入设备的标识， 当所述来自 网络侧设备的所述用户侧网络接入设备的标识与所述来自用户侧网络接入设 备的所述用户侧网络接入设备的标识一致时， 确定所述用户侧网络接入设备 是与所述用户侧网络接入设备中插入的用户标识模块绑定的合法设备。
再一方面， 本发明实施例还提供一种认证网元， 包括：
接收模块， 用于获取来自用户侧网络接入设备的用户侧网络接入设备的 标识和来自网络侧设备的用户侧网络接入设备的标识；
对比模块， 用于将所述接收模块获取的来自所述网络侧设备的用户侧网 络接入设备的标识与来自所述用户侧网络接入设备的所述用户侧网络接入设 备的标识进行对比；
合法性认证模块， 用于当所述对比模块确定来自所述网络侧设备的所述 用户侧网络接入设备的标识与来自所述用户侧网络接入设备的所述用户侧网 络接入设备的标识一致时， 确定所述用户侧网络接入设备是与所述用户侧网 络接入设备中插入的用户标识模块绑定的合法设备。
再一方面， 本发明实施例还提供一种网络设备， 包括： 保存模块， 用于保存用户侧网络接入设备的标识和所述用户侧网络接入 设备中插入的用户标识模块的国际移动用户标识 IMSI的对应关系列表； 标识查找模块， 用于根据所述用户标识模块的 IMSI在所述保存模块保 存的对应关系列表中查找所述用户侧网络接入设备的标识；
发送模块， 用于将所述标识查找模块查找到的所述用户侧网络接入设备 的标识发送给认证网元。
再一方面， 本发明实施例还提供一种网络设备， 包括：
标识获取模块， 用于获取用户侧网络接入设备的标识；
发送模块， 用于向认证网元发送所述获取模块获取的用户侧网络接入设 备的标识。
再一方面， 本发明实施例还提供一种绑定认证的方法， 包括： 获取来自用户侧网络接入设备发送的利用所述用户侧网络接入设备数字 证书的私钥签名后的 IMSI数据， 所述 IMSI数据包括所述用户侧网络接入 设备中插入的用户标识模块的 IMSI和签名后的 IMSI;
利用所述用户侧网络接入设备数字证书的公钥对所述 IMSI数据的签名 进行验证， 在验证通过后， 确定所述用户侧网络接入设备是与所述用户侧网 络接入设备中插入的用户标识模块绑定的合法设备。
通过本发明实施例， 当所述网络侧设备发送的所述用户侧网络接入设备 的标识与所述用户侧网络接入设备发送的所述用户侧网络接入设备的标识一 致时， 认证网元确定该用户侧网络接入设备是与该用户侧网络接入设备中插 入的用户标识模块绑定的合法设备。 本发明实施例不仅可以对用户标识模块 的身份进行认证， 还可以对用户标识模块所插入的用户侧网络接入设备的合 法性进行认证， 实现了对用户侧网络接入设备和该用户侧网络接入设备中插 入的用户标识模块的绑定认证， 使得用户侧网络接入设备中插入的用户标识 模块不能被随意更换。 附图说明 为了更清楚地说明本发明实施例的技术方案， 下面将对实施例描述中所 需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图是本发明的 一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动的前提 下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例绑定认证的方法的流程图；
图 2为本发明绑定认证的方法实施例一的流程图；
图 3为本发明绑定认证的方法实施例二的流程图；
图 4为本发明绑定认证的方法实施例三的流程图；
图 5为本发明绑定认证的方法实施例四的流程图；
图 6为本发明绑定认证的方法实施例五的流程图；
图 7为本发明实施例绑定认证的系统的结构图；
图 8为本发明实施例认证网元的结构图；
图 9为本发明实施例网络侧设备的一种结构图；
图 10为本发明实施例网络侧设备的另一种结构图；
图 11为本发明实施例用户侧网络接入设备的一种结构图；
图 12为本发明实施例用户侧网络接入设备的另一种结构图。 具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例是本发明的一部分实施例， 而不 是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有做出 创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本发明实施例提供一种绑定认证的方法， 对用户侧网络接入设备和该用 户侧网络接入设备中插入的用户标识模块进行绑定认证， 使得用户侧网络接 入设备中插入的用户标识模块不能被随意更换。 本发明实施例中， 绑定认证 的执行主体为认证网元， 但是本发明实施例并不局限于此， 绑定认证的执行 主体还可以为 HLR等运营商核心网的网络侧功能实体。 如图 1所示， 为本发明实施例绑定认证的方法的流程图， 具体包括： 步骤 S101 , 从网络侧设备获取用户侧网络接入设备的标识和从用户侧 网络接入设备获取所述用户侧网络接入设备的标识。 本发明实施例中， 网络 侧设备保存用户侧网络接入设备的标识和用户侧网络接入设备中插入的用户 标识模块的 IMSI的对应关系列表。
在网络侧设备发送用户侧网络接入设备的标识之前， 网络侧设备根据用 户侧网络接入设备发送的该用户侧网络接入设备中插入的用户标识模块的 IMSI在网络侧设备保存的对应关系列表中查找用户侧网络接入设备的标 识， 然后网络侧设备将用户侧网络接入设备的标识发送给认证网元。
在本发明实施例的一种实现方式中， 用户侧网络接入设备中的用户标识 模块利用永久性共享密钥 Ki加密该用户侧网络接入设备的标识， 并将加密 后的用户侧网络接入设备的标识和该用户标识模块的 IMSI发送给用户侧网 络接入设备， 由用户侧网络接入设备将利用永久性共享密钥 Ki加密的用户 侧网络接入设备的标识发送给认证网元。
网络侧设备根据所述用户侧网络接入设备通过认证网元发送的用户标识 模块的 IMSI, 查找永久性共享密钥 Ki和所述 IMSI对应的用户侧网络接入 设备的标识， 并利用所述永久性共享密钥加密所述 IMSI对应的用户侧网络 接入设备的标识， 然后网络侧设备将利用永久性共享密钥 Ki加密的用户侧 网络接入设备的标识发送给认证网元。
优选地， 在用户侧网络接入设备中的用户标识模块利用永久性共享密钥 加密该用户侧网络接入设备的标识之前， 用户侧网络接入设备中的用户标识 模块还可以利用公钥对所述用户侧网络接入设备利用私钥签名后的用户侧网 络接入设备的标识进行验证， 验证通过后， 获取该用户侧网络接入设备的标 识， 所述公钥和所述私钥一一对应。
在本发明实施例的另一种实现方式中， 网络侧设备的鉴权中心利用加密 密钥对用户侧网络接入设备的标识进行加密， 然后网络侧设备将所述利用加 密密钥加密的用户侧网络接入设备的标识发送给认证网元， 该加密密钥携带 在根据 AKA计算的认证向量组中。 该认证网元保存所述用加密密钥加密的 用户侧网络接入设备的标识， 并向用户侧网络接入设备转发认证向量组中的 随机数和 AUTN (Authentication Token, 认证令牌） 。 由该用户侧网络接入 设备根据认证向量组中的随机数和 AUTN计算加密密钥， 并利用该加密密 钥加密该用户侧网络接入设备的标识。
步骤 S102, 将从网络侧设备获取送的用户侧网络接入设备的标识与从 用户侧网络接入设备获取的该用户侧网络接入设备的标识进行对比。
具体可以为： 认证网元将网络侧设备发送的利用永久性共享密钥加密的 用户侧网络接入设备的标识与用户侧网络接入设备发送的利用永久性共享密 钥加密的用户侧网络接入设备的标识进行对比； 或者，
认证网元将网络侧设备发送的利用加密密钥加密的用户侧网络接入设备 的标识与用户侧网络接入设备发送的利用加密密钥加密的用户侧网络接入设 备的标识进行对比。
步骤 S103 , 当从网络侧设备获取的用户侧网络接入设备的标识与从用 户侧网络接入设备获取的该用户侧网络接入设备的标识一致时， 确定该用户 侧网络接入设备是与该用户侧网络接入设备中插入的用户标识模块绑定的合 法设备。
其中， 本发明实施例中的用户侧网络接入设备的标识可以为用户侧网络 接入设备的 EI (Equipment Identity, 设备标识码） 、 或该用户侧网络接入设 备的 MAC (Media Access Control, 媒体接入控制） 地址、 或用户侧网络接 入设备的数字证书， 但本发明实施例并不局限于此， 只要用户侧网络接入设 备的标识可以唯一标识该用户侧网络接入设备即可。
在本发明实施例中， 当网络侧设备发送的用户侧网络接入设备的标识与 用户侧网络接入设备发送的该用户侧网络接入设备的标识一致时， 还可以进 一步判断所述用户侧网络接入设备发送的 RES和所述网络侧设备发送的认 证向量组中的 XRES是否一致， 当所述用户侧网络接入设备发送的 RES和 所述网络侧设备发送的认证向量组中的 XRES—致时， 确定该用户标识模块 的身份合法。
该用户侧网络接入设备发送的 RES是用户侧网络接入设备根据认证网 元发送的认证向量组中的随机数和永久性共享密钥计算的。
本发明实施例中的用户标识模块可以是插入家庭基站内的可移动的模 块， 内有能够认证家庭基站持有者的信任状， 其类型可以为 SIM卡或 USIM 卡等移动卡。
上述绑定认证的方法， 不仅可以对用户标识模块的身份进行认证， 还可 以对用户标识模块所插入的用户侧网络接入设备的合法性进行认证， 实现了 对用户侧网络接入设备和该用户侧网络接入设备中插入的用户标识模块的绑 定认证， 使得用户侧网络接入设备中插入的用户标识模块不能被随意更换。
本发明实施例以网络侧设备为 HLR, 用户侧网络接入设备为家用基站 为例进行说明， 但本发明实施例并不局限于此， 该网络侧设备和用户侧网络 接入设备还可以为其他设备。 本发明实施例将家用基站的 EI和 （X) SIM 卡绑定， 也可以将家用基站的 MAC (Media Access Control, 媒体接入控 制） 地址等信息与 （X) SIM卡绑定。
如图 2所示， 为本发明绑定认证的方法实施例一的流程图， 实施例一 中， HLR上存储有家用基站的 EI与 IMSI (International Mobile Subscriber Identity, 国际移动用户识别码） 的对应关系， 该对应关系可以以列表 （或 其他数据结构） 的形式体现， 该对应关系列表是用户在向运营商注册业务 时， 运营商将家用基站和 （X) SIM卡发放给用户时生成的。 实施例一对家 用基站与认证网元建立物理链路后的认证方法进行介绍， 具体包括：
步骤 S201 , 家用基站向认证网元发送家用基站的 EI和该家用基站中插 入的 （X) SIM卡的 IMSI, 向认证网元发起绑定认证申请。
步骤 S202, 认证网元将 IMSI转发给 HLR。 步骤 S203 , HLR根据 IMSI计算认证向量组， 并根据该 IMSI获取该
HLR保存的家用基站的 EI, 将该家用基站的 EI和认证向量组一起发送给认 证网元。
步骤 S204, 认证网元对比家用基站发送的该家用基站的 EI和 HLR发 送的该家用基站的 EI是否一致。 如果一致， 则该家用基站是与 （X) SIM 卡绑定的合法设备， 但还需对 （X) SIM卡的身份继续进行认证， 执行步骤 S205; 如果从家用基站处接收到的该家用基站的 EI和从 HLR处接收到的该 家用基站的 EI不一致， 则该家用基站不是与 （X ) SIM卡绑定的合法设 备， 断开与该家用基站的链接。
步骤 S205, 认证网元将认证向量组中的随机数和 AUTN发送给家用基 站。
步骤 S206, 家用基站在 SIM卡中根据 Ki (永久性共享密钥） 和接收 的随机数计算 RES。
步骤 S207, 家用基站将 RES返回给认证网元。
步骤 S208, 认证网元对比 HLR发送的认证向量组中的 XRES和家用基 站发送的 RES是否一致。 如果 XRES和 RES—致， 则确定 （X) SIM卡是 合法的。
上述绑定认证的方法， 当 HLR发送的家用基站的 EI与家用基站发送的 该家用基站的 EI—致时， 认证网元确定该家用基站是与该家用基站中插入 的 （X) SIM卡绑定的合法设备。 在进一步确定 HLR发送的认证向量组中 的 XRES和家用基站发送的 RES—致之后， 该认证网元确定 （X) SIM卡的 身份合法。 不仅实现了对 （X) SIM卡的身份进行认证， 还进一步对 （X) SIM卡所插入的家用基站的合法性进行认证， 从而实现了对家用基站和该家 用基站中插入的用户标识模块的绑定认证， 使得家用基站中插入的 （X) SIM卡不能被随意更换。
如图 3所示， 为本发明绑定认证的方法实施例二的流程图。 实施例二 中， HLR上存储有家用基站的 EI与 IMSI的对应关系列表， 该对应关系列 表是用户在向运营商注册业务时， 运营商将家用基站和 （X) SIM卡发放给 用户时生成的。 实施例二还增加了一个公私钥对， 用私钥对家用基站的 EI 进行签名， 将此签名数据写入家用基站， 同时将公钥写入 （X) SIM卡， 私 钥可由运营商保管。
在家用基站申请认证前， 首先与 （X) SIM卡进行一次运算， 由 （X)
SIM卡验证家用基站的 EI的签名， 然后将明文的 EI用 Ki加密后输出给家 用基站， 进行绑定认证时， 家用基站发送这个加密的序列号和明文的 IMSI 给认证网元。
具体包括：
步骤 S301 , 家用基站将用私钥加密后的 EI输入到 （X) SIM卡。
步骤 S302, (X) SIM卡用公钥对加密后的 EI进行验证， 获取该家用 基站的 EI, 然后用 Ki加密该 EI。
步骤 S303, (X) SIM卡将加密后的 EI和 IMSI—起输出给家用基站。 步骤 S304, 家用基站将 Ki加密后的该家用基站的 EI和 IMSI发送到认 证网元。
步骤 S305, 认证网元将家用基站发送的 IMSI转发给 HLR。
步骤 S306, HLR根据 IMSI查找 Ki和用户开户时对应的家用基站的 EI 的记录， 用 Ki加密家用基站的 EI。
步骤 S307, HLR将 Ki加密的家用基站的 EI和认证向量组返回给认证 网元。
步骤 S308, 认证网元对比家用基站发送的该家用基站的 EI和 HLR发 送的家用基站的 EI。 如果家用基站发送的该家用基站的 EI和 HLR发送的 家用基站的 EI—致， 则该家用基站是与 （X) SIM卡绑定的合法设备， 但 还需继续认证 （X) SIM卡的身份。 如果家用基站发送的该家用基站的 EI 和 HLR发送的家用基站的 EI不一致， 则该家用基站不是与 （X) SIM卡绑 定的合法设备。 步骤 S309, 认证网元将认证向量组中的随机数和 AUTN发送给家用基 站。
步骤 S310, 家用基站在 （X) SIM卡中用 Ki和随机数计算出 RES。 步骤 S311, (X) SIM卡将 RES返回给认证网元。
步骤 S312, 认证网元对比 RES和 HLR发送的认证向量组中的 XRES 是否一致。 如果 RES和 XRES—致， 则确定 （X) SIM卡的身份是合法的。
实施例二中， 家用基站的身份难以伪造， 即使已经知道一个合法的家用 基站的 EI和该家用基站中插入的 (X) SIM卡的 IMSI, 如果没有家用基站 利用私钥对 EI的签名， 也不能通过对设备身份合法性的认证， 只有家用基 站和该家用基站中插入的 (X) SIM卡一起才能完成对家用基站身份合法性 的认证。 从而实现了对家用基站和该家用基站中插入的用户标识模块的绑定 认证， 使得家用基站中插入的 （X) SIM卡不能被随意更换。 当家用基站的 用户需要改变对应的 （X) SIM卡时， 可以向运营商请求更改 HLR上的记 录， 并不影响 （X) SIM卡或设备的再次使用。
如图 4所示， 为本发明绑定认证的方法实施例三的流程图。 实施例三 中， HLR上存储有家用基站的 EI与 IMSI的对应关系列表， 该对应关系列 表是用户在向运营商注册业务时， 运营商将家用基站和 （X) SIM卡发放给 用户时生成的。 实施例三是对现有 AKA协议的扩展， 利用现有的 AKA认 证机制， 增加一个字段对 AKA协议进行扩展， 实现了对 （X) SIM卡和家 用基站进行绑定认证。 实施例三的核心思想是： 使用 AKA协议协商出的 CK (Cryptographic Key, 加密密钥） 来加密 EI。 认证网元接收 HLR下发的 用 CK加密的家用基站的 EI, 和由家用基站发送的用 CK加密的该家用基站 的 EI, 并将两者进行比较， 如果一致则说明是合法的 (X) SIM卡用在了合 法的家用基站上。 实施例三以 （X) SIM卡为 USIM卡为例进行说明。
具体包括：
步骤 S401, 家用基站启动后， 通过插入在该家用基站中的 USIM, 向 认证网元发送 IMSI, 与核心网的 HLR上的 AuC执行 AKA机制。 步骤 S402, 认证网元将 IMSI转发给 HLR， 请求认证向量组。
步骤 S403 , HLR上的 AuC按照 AKA算法产生五元认证向量组， 同时 用新产生的 CK加密该 USIM所绑定的家用基站的 EI。 该家用基站的 EI可 以由 AuC从 HLR中根据 IMSI读取。
步骤 S404, HLR将 AKA五元认证向量组与核心网产生的用 CK加密的 家用基站的 EI发给认证网元。
步骤 S405 , 认证网元从 AKA 五元认证向量组中获得 CK和 IK (Integrity Key, 完整性密钥） ， 并保留用 CK加密的家用基站的 EI, 然后 将 AKA五元认证向量组中的随机数和 AUTN转发给家用基站。
步骤 S406, 家用基站执行 AKA认证， 如果家用基站的 AKA认证通 过， 再从家用基站中读取家用基站的 EI, 并用该家用基站推算的 CK加密 该家用基站的 EI。
步骤 S407, 家用基站将计算出的 RES和该家用基站产生的用 CK加密 的家用基站的 EI发送给认证网元。
步骤 S408, 认证网元对比家用基站发送的随机数响应 RES和 AuC发送 的 AKA五元认证向量组中的 XRES是否一致， 当家用基站发送的随机数响 应 RES和 AuC发送的 AKA五元认证向量组中的 XRES—致时， 确定该家 用基站是合法的设备。 再比较 AuC发送的用 CK加密的家用基站的 EI和家 用基站发送的用 CK加密的家用基站的 EI, 如果 AuC发送的用 CK加密的 家用基站的 EI和家用基站发送的用 CK加密的家用基站的 EI—致， 则表明 USIM卡插在了正确的家用基站上， 并且该家用基站是合法的设备， 没有被 冒用。
如果在家用基站的归属环境的策略是发多组的认证向量， 由认证网元来 选择其中的一组认证向量， 将该认证向量中的随机数和 AUTN转发给家用 基站， 那么步骤 S404中 HLR发送 IMSI对应的家用基站的 EI给认证网元， 在认证网元选定认证向量后， 用其中的 CK加密家用基站的 EI, 后面的步 骤 S405~步骤 S407与上述实施例相同， 在步骤 S408中认证网元对比认证网 元用选定的认证向量中的 CK加密后的家用基站的 EI和家用基站发送的用 该家用基站推算的 CK加密后的该家用基站的 EI。
当本发明实施例三用在 WLAN (Wireless Local Area Network, 无线局 域网） 或其他网络中时， 认证网元应用 EAP ( Extensible Authentication Protocol, 可扩展认证协议） 一 AKA认证协议进行身份认证， 则认证网元可 拆分为接入网关禾卩 AAA ( Authentication Authorization and Accounting , 认 证、 授权和计费） 服务器， AAA服务器与 HLR之间采用 Radius接口进行 消息交互， 交互的消息用 EAP承载。
上述绑定认证的方法， HLR利用 CK加密家用基站的 EI, 并且家用基 站也利用 CK对家用基站的 EI进行加密， 然后认证网元根据 HLR发送的用 CK加密的家用基站的 EI和家用基站发送的用 CK加密的家用基站的 EI对 该家用基站的合法性进行认证， 实现了对 USIM卡插入的家用基站的合法性 进行认证， 提供了一种对家用基站和该家用基站中插入的用户标识模块进行 绑定认证的方法。
本发明实施例除了用在家用基站上， 还可以用在手机终端上， 实现对手 机终端和 （X) SIM卡的绑定认证。
如图 5所示， 为本发明绑定认证的方法实施例四的流程图。 具体包括： 步骤 S501 , 家用基站将该家用基站的 EI发送到 （X) SIM卡。
步骤 S502, (X) SIM卡用 Ki加密该 EI。
步骤 S503, (X) SIM卡将加密后的 EI和 IMSI—起发送给家用基站。 步骤 S504, 家用基站将 Ki加密后的该家用基站的 EI和 IMSI发送到认 证网元。
步骤 S505, 认证网元将家用基站发送的 IMSI转发给 HLR。
步骤 S506, HLR根据 IMSI查找 Ki和用户开户时对应的家用基站的 EI 的记录， 用 Ki加密家用基站的 EI。
步骤 S507, HLR将 Ki加密的家用基站的 EI和认证向量组返回给认证 网元。 步骤 S508, 认证网元对比家用基站发送的该家用基站的 EI和 HLR发 送的家用基站的 EI。 如果家用基站发送的该家用基站的 EI和 HLR发送的 家用基站的 EI—致， 则该家用基站是与 （X) SIM卡绑定的合法设备， 但 还需继续认证 （X) SIM卡的身份。 如果家用基站发送的该家用基站的 EI 和 HLR发送的家用基站的 EI不一致， 则该家用基站不是与 （X) SIM卡绑 定的合法设备。
步骤 S509, 认证网元将认证向量组中的随机数和 AUTN发送给家用基 站。
步骤 S510, 家用基站在 （X) SIM卡中用 Ki和随机数计算出 RES。 步骤 S511 , (X) SIM卡将 RES返回给认证网元。
步骤 S512, 认证网元对比 RES和 HLR发送的认证向量组中的 XRES 是否一致。 如果 RES和 XRES—致， 则确定 （X) SIM卡的身份是合法的。
上述绑定认证的方法， 家用基站和 HLR分别用 Ki加密该家用基站的 EI, 在认证网元对比家用基站发送的该家用基站的 EI和 HLR发送的家用基 站的 EI—致之后， 认证网元确定该家用基站是与 （X) SIM卡绑定的合法 设备， 从而实现了对 （X) SIM卡插入的家用基站的合法性进行认证， 提供 了一种对家用基站和该家用基站中插入的用户标识模块进行绑定认证的方 法。
如图 6所示， 为本发明绑定认证的方法实施例五的流程图。 实施例五 中， 家用基站预先配置数字证书， 并且 HLR 已经保存有 IMSI与家用基站 数字证书的公钥的对应关系。 家用基站在配置数字证书情况下， 用家用基站 数字证书的私钥对 IMSI进行签名， 并将签名后的 IMSI数据发送给认证网 元。 具体包括：
步骤 S601 , 家用基站向认证网元发送使用该家用基站数字证书的私钥 签名的 IMSI数据， 发起绑定认证请求， 该 IMSI数据包括 IMSI, 和用数字 证书私钥签名后的 IMSI。 步骤 S602 , 认证网元将接收到的 IMSI数据转发给 HLR, 请求验证该 IMSI数据的签名。
步骤 S603 , HLR根据 IMSI检索与该 IMSI对应的家用基站数字证书的 公钥， 用检索到的公钥验证 IMSI数据的签名。
步骤 S604, HLR将 IMSI数据的签名的验证结果发送给认证网元。
其中， 对 IMSI数据的签名进行验证可以由 HLR执行， 也可以在 HLR 检索到家用基站数字证书的公钥后， 将公钥返回给认证网元， 由认证网元对 IMSI数据的签名进行验证。 具体可以为： 认证网元将 IMSI转发给 HLR, 向 HLR请求与该 IMSI对应的家用基站数字证书的公钥； 在 HLR根据 IMSI 检索到家用基站数字证书的公钥之后， HLR将该家用基站数字证书的公钥 发送给认证网元； 认证网元利用接收到的公钥对 IMSI数据的签名进行验 证。
上述绑定认证的方法， 认证网元接收家用基站发送的利用该家用基站数 字证书的私钥签名后的 IMSI数据， 利用该家用基站数字证书的公钥对 IMSI 数据的签名进行验证， 在验证通过后， 确定该家用基站是与 (X) SIM卡绑 定的合法设备， 实现了对 （X) SIM卡插入的家用基站的合法性进行认证， 提供了一种对家用基站和该家用基站中插入的用户标识模块进行绑定认证的 方法。
如图 7所示， 为本发明实施例绑定认证的系统的结构图， 包括： 用户侧网络接入设备 71， 用于发送用户侧网络接入设备 71的标识； 网络侧设备 72， 用于发送用户侧网络接入设备 71的标识；
认证网元 73， 用于获取来自用户侧网络接入设备 71的用户侧网络接入 设备 71的标识和来自网络侧设备 72的用户侧网络接入设备 71的标识， 当 来自网络侧设备 72的用户侧网络接入设备 71的标识与来自用户侧网络接入 设备 71的用户侧网络接入设备 71的标识一致时， 确定用户侧网络接入设备 71是与用户侧网络接入设备 71中插入的用户标识模块绑定的合法设备， 并 且该用户标识模块的身份合法。 其中， 网络侧设备 72的类型包括归属位置寄存器 HLR， 用户侧网络接 入设备 71的类型包括家用基站。
上述绑定认证的系统， 认证网元 73对用户标识模块所插入的用户侧网 络接入设备 71的合法性进行认证， 实现了对用户侧网络接入设备 71和该用 户侧网络接入设备 71 中插入的用户标识模块的绑定认证， 使得用户侧网络 接入设备 71中插入的用户标识模块不能被随意更换。
如图 8所示， 为本发明实施例认证网元的结构图， 包括：
接收模块 731， 用于获取来自用户侧网络接入设备 71 的用户侧网络接 入设备 71的标识和来自网络侧设备 72的用户侧网络接入设备 71的标识。
对比模块 732， 用于将接收模块 731获取的来自网络侧设备 72的用户 侧网络接入设备 71的标识与来自用户侧网络接入设备 71的用户侧网络接入 设备 71的标识进行对比。
合法性认证模块 733， 用于当对比模块 732确定来自网络侧设备 72的 用户侧网络接入设备 71的标识与来自用户侧网络接入设备 71的用户侧网络 接入设备 71的标识一致时， 确定用户侧网络接入设备 71是与用户侧网络接 入设备 71中插入的用户标识模块绑定的合法设备。
其中， 对比模块 732具体为加密对比模块， 用于将网络侧设备 72发送 的利用永久性共享密钥或加密密钥加密的用户侧网络接入设备 71 的标识与 用户侧网络接入设备 71发送的利用永久性共享密钥或加密密钥加密的用户 侧网络接入设备 71的标识进行对比。
上述认证网元， 合法性认证模块 733根据接收模块 731接收的用户侧网 络接入设备 71发送的用户侧网络接入设备 71的标识和网络侧设备 72发送 的用户侧网络接入设备 71 的标识， 对用户标识模块所插入的用户侧网络接 入设备 71的合法性进行认证， 从而实现了对用户侧网络接入设备 71和该用 户侧网络接入设备 71中插入的用户标识模块的绑定认证。
如图 9所示， 为本发明实施例网络侧设备的结构图， 包括： 保存模块 721， 用于保存用户侧网络接入设备 71 的标识和用户侧网络 接入设备 71中插入的用户标识模块的 IMSI的对应关系列表；
标识查找模块 722， 用于根据用户标识模块的 IMSI在保存模块 721保 存的对应关系列表中查找用户侧网络接入设备 71的标识；
发送模块 723， 用于将标识查找模块 722查找到的用户侧网络接入设备
71的标识发送给认证网元 73。
在本发明的另一实施例中， 如图 10所示， 该网络侧设备还可以包括： 加密模块 724， 用于利用加密密钥或永久性共享密钥加密所述用户侧网 络接入设备的标识。
上述网络侧设备， 保存模块 721保存用户侧网络接入设备 71的标识和 用户侧网络接入设备 71 中插入的用户标识模块的 IMSI的对应关系列表， 发送模块 723将标识查找模块 722查找到的用户侧网络接入设备 71的标识 发送给认证网元 73， 从而使认证网元 73可以对用户侧网络接入设备 71和 该用户侧网络接入设备 71中插入的用户标识模块进行绑定认证。
如图 11所示， 为本发明实施例用户侧网络接入设备的结构图， 包括： 标识获取模块 711， 用于获取用户侧网络接入设备 71的标识； 发送模块 712， 用于向认证网元发送标识获取模块 711获取的用户侧网 络接入设备的标识。
在本发明的另一实施例中， 如图 12所示， 该用户侧网络接入设备 71还 可以包括：
标识加密模块 713， 用于利用加密密钥或永久性共享密钥加密标识获取 模块 711获取的用户侧网络接入设备的标识。
验证模块 714， 用于利用公钥验证用户侧网络接入设备 71利用私钥签 名后的用户侧网络接入设备 71 的标识， 所述公钥和所述私钥一一对应， 在 验证通过后， 由标识获取模块 711获取用户侧网络接入设备 71的标识。
上述用户侧网络接入设备， 发送模块 712向认证网元 73发送标识获取 模块 711获取的用户侧网络接入设备 71的标识， 由认证网元 73对用户侧网 络接入设备 71和该用户侧网络接入设备 71中插入的用户标识模块进行绑定 认证， 使得用户侧网络接入设备 71 中插入的用户标识模块不能被随意更 换。
通过以上的实施方式的描述， 本领域的技术人员可以清楚地了解到本发 明可以通过硬件实现， 也可以可借助软件加必要的通用硬件平台的方式来实 现基于这样的理解， 本发明的技术方案可以以软件产品的形式体现出来， 该 软件产品可以存储在一个非易失性存储介质 （可以是 CD-ROM, U盘， 移 动硬盘等） 中， 包括若干指令用以使得一台计算机设备 （可以是个人计算 机， 服务器， 或者网络设备等） 执行本发明各个实施例所述的方法。
本领域技术人员可以理解附图只是一个优选实施例的示意图， 附图中的 模块或流程并不一定是实施本发明所必须的。
本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述 进行分布于实施例的装置中， 也可以进行相应变化位于不同于本实施例的一 个或多个装置中。 上述实施例的模块可以合并为一个模块， 也可以进一步拆 分成多个子模块。
上述本发明实施例序号仅仅为了描述， 不代表实施例的优劣。
以上公开的仅为本发明的几个具体实施例， 但是， 本发明并非局限于 此， 任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims

权利要求书
1、 一种绑定认证的方法， 其特征在于， 包括：
从网络侧设备获取用户侧网络接入设备的标识； 从用户侧网络接入设备 获取所述用户侧网络接入设备的标识；
将所述从网络侧设备获取的所述用户侧网络接入设备的标识与从所述用 户侧网络接入设备获取的所述用户侧网络接入设备的标识进行对比；
当所述从网络侧设备获取的所述用户侧网络接入设备的标识与所述从用 户侧网络接入设备获取的所述用户侧网络接入设备的标识一致时， 确定所述 用户侧网络接入设备是与所述用户侧网络接入设备中插入的用户标识模块绑 定的合法设备。
2、 如权利要求 1所述绑定认证的方法， 其特征在于， 所述网络侧设备 保存所述用户侧网络接入设备的标识和所述用户侧网络接入设备中插入的用 户标识模块的国际移动用户标识 IMSI的对应关系列表。
3、 如权利要求 2所述绑定认证的方法， 其特征在于， 在所述从网络侧 设备获取用户侧网络接入设备的标识之前， 还包括：
所述网络侧设备根据来自所述用户侧网络接入设备的所述用户侧网络接 入设备中插入的用户标识模块的国际移动用户标识 IMSI, 在所述对应关系 列表中查找所述用户侧网络接入设备的标识。
4、 如权利要求 1所述绑定认证的方法， 其特征在于， 所述从用户侧网 络接入设备获取所述用户侧网络接入设备的标识包括：
所述用户侧网络接入设备中的用户标识模块利用永久性共享密钥加密所 述用户侧网络接入设备的标识， 将加密后的用户侧网络接入设备的标识和所 述用户标识模块的 IMSI发送给所述网络侧设备。
5、 如权利要求 4所述绑定认证的方法， 其特征在于， 所述从网络侧设 备获取用户侧网络接入设备的标识包括：
所述网络侧设备根据所述用户侧网络接入设备通过认证网元发送的所述 用户标识模块的 IMSI, 查找永久性共享密钥和所述 IMSI对应的用户侧网络 接入设备的标识， 利用所述永久性共享密钥加密所述 IMSI对应的用户侧网 络接入设备的标识。
6、 如权利要求 4或 5所述绑定认证的方法， 其特征在于， 所述将网络 侧设备发送的所述用户侧网络接入设备的标识与所述用户侧网络接入设备发 送的所述用户侧网络接入设备的标识进行对比包括：
将所述从网络侧设备获取的利用所述永久性共享密钥加密的用户侧网络 接入设备的标识， 与所述从用户侧网络接入设备获取的利用所述永久性共享 密钥加密的用户侧网络接入设备的标识进行对比。
7、 如权利要求 4所述绑定认证的方法， 其特征在于， 在所述用户侧网 络接入设备中的用户标识模块利用永久性共享密钥加密所述用户侧网络接入 设备的标识之前， 还包括：
所述用户侧网络接入设备中的用户标识模块利用公钥对所述用户侧网络 接入设备利用私钥签名后的用户侧网络接入设备的标识进行验证， 验证通过 后， 获取所述用户侧网络接入设备的标识； 所述公钥和所述私钥一一对应。
8、 如权利要求 1所述绑定认证的方法， 其特征在于， 所述从网络侧设 备获取用户侧网络接入设备的标识包括：
获取所述网络侧设备利用加密密钥加密的用户侧网络接入设备的标识， 所述加密密钥携带在所述网络侧设备根据认证和密钥协商 AKA计算的认证 向量组中。
9、 如权利要求 8所述绑定认证的方法， 其特征在于， 在所述获取网络 侧设备利用加密密钥加密的用户侧网络接入设备的标识和根据 AKA计算的 认证向量组之后， 还包括：
保存所述用加密密钥加密的用户侧网络接入设备的标识， 并向所述用户 侧网络接入设备转发所述认证向量组中的随机数和认证令牌 AUTN。
10、 如权利要求 9所述绑定认证的方法， 其特征在于， 所述从用户侧网 络接入设备获取所述用户侧网络接入设备的标识包括： 所述用户侧网络接入设备根据所述认证向量组中的随机数和 AUTN计 算加密密钥， 利用所述加密密钥加密所述用户侧网络接入设备的标识。
11、 如权利要求 8或 9所述绑定认证的方法， 其特征在于， 所述从网络 侧设备获取的所述用户侧网络接入设备的标识与从所述用户侧网络接入设备 获取的所述用户侧网络接入设备的标识进行对比包括：
将所述从网络侧设备获取的利用所述加密密钥加密的用户侧网络接入设 备的标识， 与所述从用户侧网络接入设备获取的利用所述加密密钥加密的用 户侧网络接入设备的标识进行对比。
12、 如权利要求 1所述绑定认证的方法， 其特征在于， 所述用户侧网络 接入设备的标识的类型包括： 所述用户侧网络接入设备的设备标识码 EI, 或所述用户侧网络接入设备的媒体接入控制 MAC地址， 或所述用户侧网络 接入设备的数字证书；
所述用户标识模块的类型包括： 用户标识模块 SIM卡， 或通用移动通 信系统用户标识模块 USIM卡；
所述网络侧设备的类型包括归属位置寄存器 HLR, 所述用户侧网络接 入设备的类型包括家用基站。
13、 如权利要求 1所述绑定认证的方法， 其特征在于， 还包括： 判断所述用户侧网络接入设备发送的响应 RES和所述网络侧设备发送 的认证向量组中的期望响应 XRES是否一致；
如果一致， 则确定所述用户侧网络接入设备中插入的用户标识模块的身 份合法。
14、 一种网络系统， 其特征在于， 包括：
用户侧网络接入设备， 用于发送所述用户侧网络接入设备的标识； 网络侧设备， 用于发送所述用户侧网络接入设备的标识；
认证网元， 用于获取来自所述用户侧网络接入设备的用户侧网络接入设 备的标识和来自所述网络侧设备的用户侧网络接入设备的标识， 当所述来自 网络侧设备的所述用户侧网络接入设备的标识与来自所述用户侧网络接入设 备的所述用户侧网络接入设备的标识一致时， 确定所述用户侧网络接入设备 是与所述用户侧网络接入设备中插入的用户标识模块绑定的合法设备。
15、 如权利要求 14所述网络系统， 其特征在于， 所述网络侧设备的类 型包括归属位置寄存器 HLR, 所述用户侧网络接入设备的类型包括家用基 站。
16、 一种认证网元， 其特征在于， 包括：
接收模块， 用于获取来自用户侧网络接入设备的用户侧网络接入设备的 标识和来自网络侧设备的用户侧网络接入设备的标识；
对比模块， 用于将所述接收模块获取的来自所述网络侧设备的用户侧网 络接入设备的标识与来自所述用户侧网络接入设备的所述用户侧网络接入设 备的标识进行对比；
合法性认证模块， 用于当所述对比模块确定来自所述网络侧设备的所述 用户侧网络接入设备的标识与来自所述用户侧网络接入设备的所述用户侧网 络接入设备的标识一致时， 确定所述用户侧网络接入设备是与所述用户侧网 络接入设备中插入的用户标识模块绑定的合法设备。
17、 如权利要求 16所述认证网元， 其特征在于， 所述对比模块具体为 加密对比模块， 用于将来自所述网络侧设备的利用永久性共享密钥或加密密 钥加密的用户侧网络接入设备的标识与来自所述用户侧网络接入设备的利用 永久性共享密钥或加密密钥加密的用户侧网络接入设备的标识进行对比。
18、 一种网络设备， 其特征在于， 包括：
保存模块， 用于保存用户侧网络接入设备的标识和所述用户侧网络接入 设备中插入的用户标识模块的国际移动用户标识 IMSI的对应关系；
标识查找模块， 用于根据所述用户标识模块的 IMSI在所述保存模块保 存的对应关系中查找所述用户侧网络接入设备的标识；
发送模块， 用于将所述标识查找模块查找到的所述用户侧网络接入设备 的标识发送给认证网元。
19、 如权利要求 18所述网络设备， 其特征在于， 还包括： 加密模块， 用于利用加密密钥或永久性共享密钥加密所述用户侧网络接 入设备的标识。
20、 一种网络设备， 其特征在于， 包括：
标识获取模块， 用于获取本用户侧网络接入设备的标识；
发送模块， 用于向认证网元发送所述获取模块获取的用户侧网络接入设 备的标识。
21、 如权利要求 20所述网络设备， 其特征在于， 还包括：
标识加密模块， 用于利用加密密钥或永久性共享密钥加密所述标识获取 模块获取的网络设备的标识。
22、 如权利要求 20所述网络设备， 其特征在于， 还包括：
验证模块， 用于利用公钥验证所述用户侧网络接入设备利用私钥签名后 的用户侧网络接入设备的标识， 所述公钥和所述私钥一一对应， 在验证通过 后， 由所述标识获取模块获取所述用户侧网络接入设备的标识。
23、 一种绑定认证的方法， 其特征在于， 包括：
获取来自用户侧网络接入设备的利用所述用户侧网络接入设备数字证书 的私钥签名后的 IMSI数据， 所述 IMSI数据包括所述用户侧网络接入设备 中插入的用户标识模块的 IMSI和签名后的 IMSI;
利用所述用户侧网络接入设备数字证书的公钥对所述 IMSI数据的签名 进行验证， 在验证通过后， 确定所述用户侧网络接入设备是与所述用户侧网 络接入设备中插入的用户标识模块绑定的合法设备。
24、 如权利要求 23所述绑定认证的方法， 其特征在于， 在所述利用所 述用户侧网络接入设备数字证书的公钥对所述 IMSI数据的签名进行验证之 前， 还包括 Γ
根据所述用户侧网络接入设备中插入的用户标识模块的 IMSI, 获取所 述 IMSI对应的用户侧网络接入设备数字证书的公钥。
PCT/CN2009/072259 2008-06-16 2009-06-12 一种绑定认证的方法、系统和装置 WO2009152749A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810110927.5 2008-06-16
CN2008101109275A CN101610241B (zh) 2008-06-16 2008-06-16 一种绑定认证的方法、系统和装置

Publications (1)

Publication Number Publication Date
WO2009152749A1 true WO2009152749A1 (zh) 2009-12-23

Family

ID=41433696

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/072259 WO2009152749A1 (zh) 2008-06-16 2009-06-12 一种绑定认证的方法、系统和装置

Country Status (2)

Country Link
CN (1) CN101610241B (zh)
WO (1) WO2009152749A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101883357A (zh) * 2010-06-22 2010-11-10 北京握奇数据系统有限公司 一种终端与智能卡之间的相互认证方法、装置及系统
US11877218B1 (en) 2021-07-13 2024-01-16 T-Mobile Usa, Inc. Multi-factor authentication using biometric and subscriber data systems and methods

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102340771A (zh) * 2010-07-22 2012-02-01 黄金富 利用移动电话网络认证身份的网络和网络地址编制方法
CN102307349B (zh) * 2011-08-16 2015-04-01 宇龙计算机通信科技(深圳)有限公司 无线网络的接入方法、终端和服务器
US8819794B2 (en) * 2012-01-19 2014-08-26 Microsoft Corporation Integrating server applications with multiple authentication providers
CN103312678B (zh) * 2012-03-15 2016-09-07 中国移动通信集团公司 一种客户端安全登录方法、装置及系统
CN103812649B (zh) * 2012-11-07 2017-05-17 中国电信股份有限公司 机卡接口的安全访问控制方法与系统、手机终端
CN103118327A (zh) * 2013-01-25 2013-05-22 无锡万事通科技有限公司 基于WiFi的信息传递系统及方法
CN104038935B (zh) * 2013-03-06 2018-04-24 北京分享在线网络技术有限公司 基于移动终端智能卡的用户认证方法及设备
CN104243152B (zh) * 2013-06-06 2018-01-12 中国银联股份有限公司 安全性信息交互系统、设备和方法
CN104836826A (zh) * 2014-04-10 2015-08-12 北汽福田汽车股份有限公司 车载通信方法、装置及具有其的用于车辆的信息采集系统
CN105101194B (zh) * 2014-04-28 2019-07-09 华为技术有限公司 终端安全认证方法、装置及系统
JP6488004B2 (ja) * 2014-09-05 2019-03-20 クアン−チー インテリジェント フォトニック テクノロジー リミテッド 決済システム
WO2017201753A1 (zh) * 2016-05-27 2017-11-30 华为技术有限公司 一种移动网络的认证方法和装置
CN106899410B (zh) * 2016-09-13 2019-06-25 中国移动通信有限公司研究院 一种设备身份认证的方法及装置
CN108718448A (zh) * 2018-04-27 2018-10-30 上海晨兴希姆通电子科技有限公司 绑定手机的方法及系统
CN112272379B (zh) * 2020-10-22 2023-06-02 中国联合网络通信集团有限公司 微基站注册方法、装置和注册服务器

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1332538A (zh) * 2000-06-13 2002-01-23 朗迅科技公司 验证用户署名身份模块的改进方法
US20020187808A1 (en) * 2001-06-12 2002-12-12 Jari Vallstrom Method and arrangement for encrypting data transfer at an interface in mobile equipment in radio network, and mobile equipment in radio network
CN1668117A (zh) * 2004-03-10 2005-09-14 华为技术有限公司 一种实现寻呼用户的方法
CN101022672A (zh) * 2007-02-16 2007-08-22 华为技术有限公司 一种检查移动用户合法性的方法及系统
WO2008047195A1 (en) * 2006-10-16 2008-04-24 Nokia Corporation Identifiers in a communication system

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1332538A (zh) * 2000-06-13 2002-01-23 朗迅科技公司 验证用户署名身份模块的改进方法
US20020187808A1 (en) * 2001-06-12 2002-12-12 Jari Vallstrom Method and arrangement for encrypting data transfer at an interface in mobile equipment in radio network, and mobile equipment in radio network
CN1668117A (zh) * 2004-03-10 2005-09-14 华为技术有限公司 一种实现寻呼用户的方法
WO2008047195A1 (en) * 2006-10-16 2008-04-24 Nokia Corporation Identifiers in a communication system
CN101022672A (zh) * 2007-02-16 2007-08-22 华为技术有限公司 一种检查移动用户合法性的方法及系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101883357A (zh) * 2010-06-22 2010-11-10 北京握奇数据系统有限公司 一种终端与智能卡之间的相互认证方法、装置及系统
US11877218B1 (en) 2021-07-13 2024-01-16 T-Mobile Usa, Inc. Multi-factor authentication using biometric and subscriber data systems and methods

Also Published As

Publication number Publication date
CN101610241B (zh) 2012-11-21
CN101610241A (zh) 2009-12-23

Similar Documents

Publication Publication Date Title
WO2009152749A1 (zh) 一种绑定认证的方法、系统和装置
JP5992554B2 (ja) 第１のクライアントステーションのクレデンシャルを使用して第２のクライアントステーションを認証するシステム及び方法
JP3869392B2 (ja) 公衆無線ｌａｎサービスシステムにおけるユーザ認証方法および該方法をコンピュータで実行させるためのプログラムを記録した記録媒体
US8769647B2 (en) Method and system for accessing 3rd generation network
CN107409137B (zh) 用于使用应用专用网络接入凭证到无线网络的受担保连通性的装置和方法
KR101054202B1 (ko) 인프라스트럭쳐 기반의 무선 멀티홉 네트워크 내의 보안 인증 및 키 관리
JP4965671B2 (ja) 無線通信ネットワークにおけるユーザ・プロファイル、ポリシー及びｐｍｉｐキーの配布
CN101437223B (zh) 一种家庭基站接入的方法、系统和装置
CN107690138B (zh) 一种快速漫游方法、装置、系统、接入点和移动站
CN103609154B (zh) 一种无线局域网接入鉴权方法、设备及系统
WO2010012203A1 (zh) 鉴权方法、重认证方法和通信装置
WO2019137030A1 (zh) 安全认证方法、相关设备及系统
CN105554747A (zh) 无线网络连接方法、装置及系统
WO2009074050A1 (fr) Procede, systeme et appareil d'authentification de dispositif de point d'acces
JP2011139457A (ja) 無線通信装置とサーバとの間でデータを安全にトランザクション処理する方法及びシステム
WO2011017924A1 (zh) 无线局域网的认证方法、系统、服务器和终端
CN112105021B (zh) 一种认证方法、装置及系统
US20110035592A1 (en) Authentication method selection using a home enhanced node b profile
KR20070025366A (ko) 무선 랜 시스템의 보안 시스템 및 그 방법
WO2013107423A1 (zh) 一种网络接入的认证方法、系统和设备
JP5536628B2 (ja) 無線ｌａｎ接続方法、無線ｌａｎクライアント、および無線ｌａｎアクセスポイント
WO2006097041A1 (fr) Forme d'authentification generale et procede pour mettre en place l'authentification
WO2015100974A1 (zh) 一种终端认证的方法、装置及系统
WO2010127539A1 (zh) 一种流媒体业务的接入认证方法及系统
WO2008011826A1 (fr) Procédé et dispositif permettant d'exécuter plusieurs authentifications au cours d'un processus epa

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09765388

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09765388

Country of ref document: EP

Kind code of ref document: A1