WO2011113223A1 - 一种基于业务的安全组播方法及系统 - Google Patents

一种基于业务的安全组播方法及系统 Download PDF

Info

Publication number
WO2011113223A1
WO2011113223A1 PCT/CN2010/072665 CN2010072665W WO2011113223A1 WO 2011113223 A1 WO2011113223 A1 WO 2011113223A1 CN 2010072665 W CN2010072665 W CN 2010072665W WO 2011113223 A1 WO2011113223 A1 WO 2011113223A1
Authority
WO
WIPO (PCT)
Prior art keywords
base station
broadcast
service
group
broadcast message
Prior art date
Application number
PCT/CN2010/072665
Other languages
English (en)
French (fr)
Inventor
胡亚楠
庞辽军
黄振海
铁满霞
曹军
Original Assignee
西安西电捷通无线网络通信股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西安西电捷通无线网络通信股份有限公司 filed Critical 西安西电捷通无线网络通信股份有限公司
Publication of WO2011113223A1 publication Critical patent/WO2011113223A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/06—Selective distribution of broadcast services, e.g. multimedia broadcast multicast service [MBMS]; Services to user groups; One-way selective calling services

Definitions

  • the invention belongs to the field of network security, and in particular relates to a service-based secure multicast method and system. Background technique
  • SCDMA Serial Code Division Multiple Access
  • SWAP Session Initiation Protocol
  • SCDMA broadband system has the following technical features: 1) The BS corresponds to different application services, and the UTs of the same service group served may be dispersed under different BSs; 2) The UT negotiates with the BS to obtain the BS. The multicast key of other BSs connected to the BS in the inner network.
  • the service-based secure multicast method is not described. There are many services in the network that need to be carried out through multicast. There is no secure multicast method and system that is not conducive to business security and effective.
  • the present invention provides a security-based service-based secure multicast method and system.
  • a service-based secure multicast method comprising the following steps:
  • the base station BSi encrypts the first broadcast message packet by using the multicast key MKi, and broadcasts the first broadcast message packet to all base station BS groups, where the first broadcast message packet includes a service message, a broadcast sequence number, and a message ciphertext. , integrity check value;
  • the base station BS group constructs a second broadcast message packet after receiving the first broadcast message packet, and broadcasts the second broadcast message packet to the user terminal UT group, where the second broadcast message packet includes a service Message, broadcast sequence number, message ciphertext, integrity check value;
  • the first broadcast message packet in the above step 1) further includes the signature of the base station BSi.
  • the above steps 2) include:
  • the base station BS that receives the first broadcast message packet of the base station BSi verifies the signature of the base station BSi by using the public key broadcasted by the BSi, and discards the first broadcast message packet if the signature is incorrect; if the signature is correct Then proceed to step 2.2);
  • the above steps 3) include:
  • the user terminal UT receiving the second broadcast message packet is a subscription service of the user terminal UT, if the base station BSi identifier and the service code identify and locally stored the base station BSi identity and service If the code identifier is consistent, the integrity key is derived, the integrity check value is calculated, and the content in the message ciphertext is decrypted by using the multicast key MKi; if the base station BSi identifier and service code are identified and localized If the stored base station BSi identifier and the service code identifier do not match, the user terminal UT ignores the second broadcast message packet.
  • a service-based secure multicast system includes: a base station BS group and a user terminal UT group, the base station BS group including i base stations BSi;
  • the base station BSi is configured to broadcast a first broadcast message packet to all base station BS groups, and the base station BS group is configured to construct a second broadcast message packet after receiving the first broadcast message packet, and Broadcasting the message packet to the user terminal UT group;
  • the user terminal UT group is configured to decrypt the second broadcast message packet.
  • the advantages of the present invention are:
  • the service-based secure multicast method suitable for the SCDMA broadband system provided by the present invention in the process of implementing the secure multicast, a certain base station BS in the network simply broadcasts to all the base station BS groups in a single stream.
  • the base station BS that receives the broadcast also broadcasts to all UTs in a single manner, and all of them are all broadcast modes. Therefore, the base station BS cannot associate a certain user terminal UT with another base station BS, and cannot confirm a certain user terminal UT. Whether or not there is a service association with which base station BS, it is impossible to record the service of the UT and the message of the group, so that the security of the network is higher.
  • FIG. 1 is a schematic structural diagram of a service-based secure multicast method framework provided by the present invention. detailed description
  • the present invention provides a service-based secure multicast method, and the specific implementation process of the method is as follows:
  • the base station BSi (i denotes the i-th base station BS in the network) encrypts the message with its own associated service multicast key MKi and broadcasts it to all base station BS groups.
  • the first broadcast message packet content includes: a base station BSi identifier (representing a base station identity message for initiating a broadcast service), a service code (a message indicating an originating broadcast service), a broadcast sequence number (representing a broadcast sequence number of the base station BSi, and is an integer, It is used to identify the data packet sequence number (since the packet sequence number in the multicast data) that has been encrypted by using the currently advertised key, and then the received data frame sequence number should be greater than the value of this field), ciphertext message (base station BSi uses its own The multicast key MKi encrypted message), the MIC integrity check value (calculated using the integrity key derived by the multicast key MKi corresponding to the base station BSi), and the signature of the base station BSi (the
  • each base station BS that receives the base station BSi broadcast message verifies the signature by using the public key of the BSi external broadcast, discards the message if it is incorrect, and constructs the second broadcast message packet if the signature is correct, and then All user terminals UT broadcast (if the service requirements do not require signature and verification, the base station BS directly constructs a second broadcast message packet and then broadcasts to all user terminals UT).
  • the second broadcast message packet content includes: a base station BSi identifier (representing a base station identity message for initiating a broadcast service), a service code (a message indicating an originating broadcast service), a broadcast sequence number (representing a broadcast sequence number of the base station BSi, being an integer) For identifying the data packet sequence number (since the packet sequence number in the multicast data) that has been encrypted using the currently advertised key, and then receiving the data frame sequence number should be greater than the value of this field), ciphertext message (base station BSi uses itself Multicast key MKi encrypted message) and MIC integrity check value
  • the value of these contents is the same as the corresponding content in the first broadcast message packet;
  • each user terminal UT that receives the broadcast can identify whether it is its own subscription service through the base station BSi identification and the service code in order to decide whether to decrypt it. If the base station BSi identifier and the service code stored in the local area are consistent with each other, the integrity key of the integrity key is verified by the multicast key MKi of the service negotiated by both parties, and the decryption key is decrypted by using the multicast key MKi. The content of the message.
  • a service-based secure multicast system includes a base station BS group and a user terminal UT group, the base station BS group includes i base stations BSi; the base station BSi broadcasts the first broadcast message packet to all base station BS groups; The second broadcast message packet is constructed to be broadcast to the user terminal UT group after the first broadcast message packet; the user terminal UT group decrypts the second broadcast message packet.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

一种基于业务的安全组播方法及系统
本申请要求于 2010 年 3 月 16 日提交中国专利局、 申请号为 201010127695.1、 发明名称为"一种基于业务的安全组播方法及系统"的中国专 利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明属网络安全领域，尤其涉及一种基于业务的安全组播方法及系统。 背景技术
SCDMA ( Synchronous Code Division Multiple Access )是一种同步码分多 址的宽带无线接入技术， 它采用了智能天线、 软件无线电、 以及自主开发的 SWAP ( Synchronous Wireless Access Protocol ) 空中接口协议等先进技术， 是 一个全新的体系，一个全新的我国拥有完整自主知识产权的第三代无线通信技 术标准， 可以以集群的方式组建网络和开展业务。 SCDMA宽带系统具有如下 技术特点： 1 ) BS对应于不同的应用业务， 所服务的同一业务组的 UT可能分散 于不同的 BS下； 2 ) UT在与 BS的关联过程中协商得到了包括该 BS在内的网络 中与该 BS连接的其他 BS的组播密钥。
在 SCDMA技术标准的用户终端（UT, User Terminal )和基站（BS, Base Station )通信的空中接口安全的方案中， 并没有对基于业务的安全组播方法进 行描述。 网络中有许多业务的都需要通过组播的方式进行开展， 没有安全组播 方法及系统不利于业务安全和有效地进行。
发明内容
为了解决背景技术中存在的上述技术问题，本发明提供了一种安全性更高 的基于业务的安全组播方法及系统。
本发明的技术解决方案是： 一种基于业务的安全组播方法，所述基于业务 的安全组播方法包括以下步骤：
1 )基站 BSi利用组播密钥 MKi对第一广播消息分组进行加密， 并将第一广 播消息分组向所有基站 BS组广播， 所述第一广播消息分组包括业务消息、 广 播序号、 消息密文、 完整性校验值；
2 )基站 BS组接收到第一广播消息分组后构造第二广播消息分组， 并将所 述第二广播消息分组向用户终端 UT组广播， 所述第二广播消息分组包括业务 消息、 广播序号、 消息密文、 完整性校验值；
3 )用户终端 UT组对第二广播消息分组进行解密。
上述步骤 1 ) 中第一广播消息分组还包括基站 BSi的签名。
上述步骤 2 ) 包括：
2.1 )接收到基站 BSi第一广播消息分组的基站 BS利用 BSi对外广播的公钥 验证所述基站 BSi的签名，如果所述签名不正确则丢弃所述第一广播消息分组； 如果所述签名正确则进行步骤 2.2 );
2.2 )构造第二广播消息分组向用户终端 UT组广播， 所述第二广播消息分 组包括业务消息、 广播序号、 消息密文、 完整性校验值。
上述步骤 3 ) 包括：
接收到第二广播消息分组的用户终端 UT通过基站 BSi标识和业务代码识 别是否是所述用户终端 UT的订制业务，如果所述基站 BSi标识和业务代码识别 与本地储存的基站 BSi标识和业务代码标识相符合， 则导出完整性密钥， 计算 完整性校验值的正确性， 并且利用组播密钥 MKi解密所述消息密文中的内容； 如果所述基站 BSi标识和业务代码识别与本地储存的基站 BSi标识和业务 代码标识不符合， 则用户终端 UT忽略所述第二广播消息分组。
一种基于业务的安全组播系统， 所述基于业务的安全组播系统包括： 基站 BS组以及用户终端 UT组， 所述基站 BS组包括 i个基站 BSi;
所述基站 BSi, 用于将第一广播消息分组向所有基站 BS组广播； 所述基站 BS组， 用于收到所述第一广播消息分组后构造第二广播消息分 组， 并将所述第二广播消息分组向用户终端 UT组广播；
所述用户终端 UT组， 用于对第二广播消息分组进行解密。
本发明的优点是： 本发明提供的适合 SCDMA宽带系统的基于业务的安全 组播方法， 在实现安全组播过程中， 网络中的某个基站 BS只是筒单地向所有 基站 BS组进行广播， 而接收到广播的基站 BS也只是筒单地向所有 UT进行广 播， 均是全部广播方式， 因此， 基站 BS无法将某个用户终端 UT和其他的基站 BS关联起来， 无法确认某个用户终端 UT是否与哪个基站 BS具有业务关联， 也 就无法记录 UT制定的业务和所属组的消息， 使得网络的安全性更高。
附图说明 图 1为本发明所提供的基于业务的安全组播方法框架结构示意图。 具体实施方式
参见图 1 , 本发明提供了一种基于业务的安全组播方法， 该方法的具体实 现过程如下：
1 )第一广播消息： 基站 BSi ( i表示网络中第 i个基站 BS )利用自己相关业 务的组播密钥 MKi加密消息，并将其向所有基站 BS组广播。第一广播消息分组 内容包括： 基站 BSi标识（表示发起广播业务的基站身份消息）、 业务代码（表 示发起的广播业务的消息）、 广播序号（表示基站 BSi的此次广播序号， 是一个 整数， 用于标识已经使用当前通告的密钥加密发送的数据分组序号（同组播数 据中的分组序号）， 之后收到的数据帧序号应大于本字段值）、 密文消息（基站 BSi利用自己的组播密钥 MKi加密的消息）、 MIC完整性校验值（使用基站 BSi 对应的组播密钥 MKi导出的完整性密钥计算）和基站 BSi的签名（基站 BSi利用 要可选）；
2 )第二广播消息： 每个接收到基站 BSi广播消息的基站 BS利用 BSi对外广 播的公钥验证其签名，如果不正确则丢弃该消息，如果签名正确则构造第二广 播消息分组， 然后向所有用户终端 UT广播（如果业务需求不需要签名和验证， 则基站 BS直接构造第二广播消息分组， 然后向所有用户终端 UT广播）。该第二 广播消息分组内容包括： 基站 BSi标识（表示发起广播业务的基站身份消息）、 业务代码（表示发起的广播业务的消息）、 广播序号（表示基站 BSi的此次广播 序号， 为一个整数，用于标识已经使用当前通告的密钥加密发送的数据分组序 号（同组播数据中的分组序号）， 之后收到的数据帧序号应大于本字段值）、 密 文消息 （基站 BSi利用自己的组播密钥 MKi加密的消息）和 MIC完整性校验值
(使用基站 BSi对应的组播密钥 MKi导出的完整性密钥计算 ),这些内容的数值 同第一广播消息分组中对应的内容相同；
3 ) 最后， 每个接收到广播的用户终端 UT可以通过基站 BSi标识和业务代 码识别是否是自己的订制业务， 以便决定是否对其进行解密。如果与自己本地 储存的基站 BSi标识和业务代码相符合， 则通过双方协商过的此业务的组播密 钥 MKi导出完整性密钥计算验证消息的完整性， 并且利用组播密钥 MKi解密密 文消息中的内容。
一种基于业务的安全组播系统， 该系统包括基站 BS组以及用户终端 UT 组， 基站 BS组包括 i个基站 BSi; 基站 BSi将第一广播消息分组向所有基站 BS组广播； 基站 BS组收到第一广播消息分组后构造第二广播消息分组向用 户终端 UT组广播； 用户终端 UT组对第二广播消息分组进行解密。

Claims

权 利 要 求
1、 一种基于业务的安全组播方法， 其特征在于， 该方法包括以下步骤：
1 )基站 BSi利用组播密钥 MKi对第一广播消息分组进行加密， 并将第一广 播消息分组向所有基站 BS组广播， 所述第一广播消息分组包括业务消息、 广 播序号、 消息密文、 完整性校验值；
2 )基站 BS组接收到第一广播消息分组后构造第二广播消息分组， 并将所 述第二广播消息分组向用户终端 UT组广播， 所述第二广播消息分组包括业务 消息、 广播序号、 消息密文、 完整性校验值；
3 )用户终端 UT组对第二广播消息分组进行解密。
2、根据权利要求 1所述的基于业务的安全组播方法， 其特征在于， 所述步 骤 1 ) 中第一广播消息分组还包括基站 BSi的签名。
3、根据权利要求 2所述的基于业务的安全组播方法， 其特征在于： 所述步 骤 2 ) 包括：
2.1 )接收到基站 BSi第一广播消息分组的基站 BS利用 BSi对外广播的公钥 验证所述基站 BSi的签名，如果所述签名不正确则丢弃所述第一广播消息分组； 如果所述签名正确则进行步骤 2.2 );
2.2 )构造第二广播消息分组向用户终端 UT组广播， 所述第二广播消息分 组包括业务消息、 广播序号、 消息密文、 完整性校验值。
4、 根据权利要求 1至 3任意一项所述的基于业务的安全组播方法， 其特征 在于， 所述步骤 3 ) 包括：
接收到第二广播消息分组的用户终端 UT通过基站 BSi标识和业务代码识 别是否是所述用户终端 UT的订制业务，如果所述基站 BSi标识和业务代码识别 与本地储存的基站 BSi标识和业务代码标识相符合， 则导出完整性密钥， 计算 完整性校验值的正确性， 并且利用组播密钥 MKi解密所述消息密文中的内容； 如果所述基站 BSi标识和业务代码识别与本地储存的基站 BSi标识和业务 代码标识不符合， 则用户终端 UT忽略所述第二广播消息分组。
5、 一种基于业务的安全组播系统， 其特征在于， 所述基于业务的安全组 播系统包括： 基站 BS组以及用户终端 UT组， 所述基站 BS组包括 i个基站 BSi; 所述基站 BSi, 用于将第一广播消息分组向所有基站 BS组广播； 所述基站 BS组， 用于收到所述第一广播消息分组后构造第二广播消息 并将所述第二广播消息分组向用户终端 UT组广播；
所述用户终端 UT组， 用于对第二广播消息分组进行解密。
PCT/CN2010/072665 2010-03-16 2010-05-12 一种基于业务的安全组播方法及系统 WO2011113223A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010127695.1 2010-03-16
CN2010101276951A CN101784013B (zh) 2010-03-16 2010-03-16 一种基于业务的安全组播方法及系统

Publications (1)

Publication Number Publication Date
WO2011113223A1 true WO2011113223A1 (zh) 2011-09-22

Family

ID=42523786

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/072665 WO2011113223A1 (zh) 2010-03-16 2010-05-12 一种基于业务的安全组播方法及系统

Country Status (2)

Country Link
CN (1) CN101784013B (zh)
WO (1) WO2011113223A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109391907A (zh) * 2018-12-13 2019-02-26 武汉盛硕电子有限公司 一种加密、解密方法及其应用

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6633765B1 (en) * 2000-08-28 2003-10-14 Qualcomm, Incorporated Method and apparatus for performing coverage control for multicast services in a wireless network
CN1852500A (zh) * 2005-12-29 2006-10-25 华为技术有限公司 一种即按即通系统及实现即按即通业务的方法
CN101056249A (zh) * 2006-04-12 2007-10-17 华为技术有限公司 一种组播广播信息发送的方法及系统
CN101170752A (zh) * 2007-11-27 2008-04-30 中兴通讯股份有限公司 一种开放式集群架构组播中媒体流的实现方法
CN101345677A (zh) * 2008-08-21 2009-01-14 西安西电捷通无线网络通信有限公司 一种增强广播或组播系统安全性的方法
CN101453801A (zh) * 2007-12-04 2009-06-10 株式会社日立国际电气 通信系统及网关

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
SE519210C2 (sv) * 1997-06-06 2003-01-28 Ericsson Telefon Ab L M Förfarande för att minimera uppkopplingsfördröjningen för ett mobilriktat meddelande i cellulärt radiokommunikationssystem
GB2327567A (en) * 1997-07-17 1999-01-27 Orange Personal Comm Serv Ltd Controlling Access to SMSCB Service
US20080200188A1 (en) * 2005-03-09 2008-08-21 Jarno Rajahalme Base-Station-Controlled Paging in Mobile Radio Systems
CN101359990A (zh) * 2008-09-28 2009-02-04 熊猫电子集团有限公司 时分同步码分多址与自组织网络融合的认证方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6633765B1 (en) * 2000-08-28 2003-10-14 Qualcomm, Incorporated Method and apparatus for performing coverage control for multicast services in a wireless network
CN1852500A (zh) * 2005-12-29 2006-10-25 华为技术有限公司 一种即按即通系统及实现即按即通业务的方法
CN101056249A (zh) * 2006-04-12 2007-10-17 华为技术有限公司 一种组播广播信息发送的方法及系统
CN101170752A (zh) * 2007-11-27 2008-04-30 中兴通讯股份有限公司 一种开放式集群架构组播中媒体流的实现方法
CN101453801A (zh) * 2007-12-04 2009-06-10 株式会社日立国际电气 通信系统及网关
CN101345677A (zh) * 2008-08-21 2009-01-14 西安西电捷通无线网络通信有限公司 一种增强广播或组播系统安全性的方法

Also Published As

Publication number Publication date
CN101784013B (zh) 2012-05-23
CN101784013A (zh) 2010-07-21

Similar Documents

Publication Publication Date Title
US8787574B2 (en) Multicast key negotiation method suitable for group calling system and a system thereof
US8306229B2 (en) Method for managing network key and updating session key
CN102291680B (zh) 一种基于td-lte集群通信系统的加密组呼方法
US20100153709A1 (en) Trust Establishment From Forward Link Only To Non-Forward Link Only Devices
WO2015144050A1 (zh) 分配寻址标识的方法及接入点、站点和通信系统
CN114826673A (zh) 一种传输数据的保护系统、方法及装置
US20100316221A1 (en) secure transmission method for broadband wireless multimedia network broadcasting communication
WO2010020186A1 (zh) 基于单播会话密钥的组播密钥分发方法、更新方法及基站
CN101808286B (zh) 一种适合集群系统的组播密钥协商方法及系统
WO2011035468A1 (zh) 广播业务分组的实现方法、装置和系统
CN103813272A (zh) 一种集群组呼下行传输的方法
WO2010020190A1 (zh) 一种增强广播或组播系统安全性的方法
CN102883265B (zh) 接入用户的位置信息发送和接收方法、设备及系统
CN103634744A (zh) 一种集群组呼端到端加密的实现方法
EP4238273A1 (en) Method and device for distributing a multicast encryption key
WO2021056464A1 (zh) 数据安全处理的方法和通信装置
WO2011113223A1 (zh) 一种基于业务的安全组播方法及系统
CN102014342B (zh) 混合组网的网络系统及方法
WO2009105981A1 (zh) 组业务加密密钥更新方法及系统
CN101087188B (zh) 无线网络中mbs授权密钥的管理方法及系统
CN103312514A (zh) 基于单播转发模式的组播接收者接入验证方法
US20240187849A1 (en) Multicast Broadcast Service Keys
CN101778374B (zh) 一种适合集群系统的业务订制方法及系统
CN116918300A (zh) 用于操作蜂窝网络的方法
WO2012118445A1 (en) Key management scheme for secure communication in a cellular mobile communication system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10847692

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10847692

Country of ref document: EP

Kind code of ref document: A1