WO2011147258A1 - 一种实现卡鉴权的方法、系统及用户设备 - Google Patents

一种实现卡鉴权的方法、系统及用户设备 Download PDF

Info

Publication number
WO2011147258A1
WO2011147258A1 PCT/CN2011/073957 CN2011073957W WO2011147258A1 WO 2011147258 A1 WO2011147258 A1 WO 2011147258A1 CN 2011073957 W CN2011073957 W CN 2011073957W WO 2011147258 A1 WO2011147258 A1 WO 2011147258A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
quintuple
hss
cscf
key
Prior art date
Application number
PCT/CN2011/073957
Other languages
English (en)
French (fr)
Inventor
吕培元
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2011147258A1 publication Critical patent/WO2011147258A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices

Definitions

  • the present invention relates to an IP multimedia subsystem, and more particularly to a method, system and user equipment for implementing card authentication.
  • IP Internet Protocol
  • IMS Internet Multimedia Subsystem
  • CSCF Call Session Control Function
  • the CSCF is divided into a Proxy Call Session Control Function (P-CSCF), an Interrogating Call Session Control Function (I-CSCF), and a Serving Call Session Control Function (S). -CSCF ) three types. Among them, the main responsibility is S-CSCF, which is used to accept user registration, trigger Application Server (AS) and complete call control and connection.
  • the P-CSCF is the access point of the User Equipment (UE) to the IMS system.
  • the main function is to forward the SIP (Session Initiation Protocol) registration and session requests sent by the UE to the I-CSCF or S-CSCF.
  • SIP Session Initiation Protocol
  • the I-CSCF provides an entry to the home network, and the S-CSCF can be flexibly selected by the Home Subscriber Server (HSS) to route SIP service messages to the S-CSCF.
  • HSS Home Subscriber Server
  • the service layer consists of a series of ASs that can provide specific service services.
  • the AS can be an independent entity or it can exist in the S-CSCF.
  • the S-CSCF controls the service trigger according to the subscription information of the user, invokes the service on the AS, and implements the service function.
  • AS and S-CSCF can be collectively referred to as Service Equipment (SE).
  • SE Service Equipment
  • the ternary corresponds to the SIM (Customer Identification Module) card
  • the quintuple corresponds to the USIM (Universal Subscriber Identity Module).
  • IMS IP Multimedia Service Identity Module, IP Multimedia Service Identity Module
  • IMS defines support for USIM and ISIM, ie support for 5-tuple authentication, XRES (expected response), AKA (Authentication and Key Agreement) for USIM and ISIM cards Agreed) _RAND (authentication random number), IK (integrity key), CK (security key) and AUTN (authentication token) authentication, but does not define how IMS should support triple authentication, ie SIM card SRES (symbol response), RAND (random number) and Kc (encryption key) authentication, while 2G (second generation mobile communication technology) users use triplet authentication, therefore, if 2G user logs in to IMS Authentication will not be possible.
  • SRES symbol response
  • RAND random number
  • Kc encryption key
  • the object of the present invention is to provide a method, system and user equipment for realizing card authentication, which solves the problem that a user who logs in to the IMS in the network using triple authentication cannot perform authentication, and implements a network using triple authentication.
  • the authentication of the user in the IMS is to provide a method, system and user equipment for realizing card authentication, which solves the problem that a user who logs in to the IMS in the network using triple authentication cannot perform authentication, and implements a network using triple authentication. The authentication of the user in the IMS.
  • a method for implementing card authentication includes: a Serving Call Session Control Function (S-CSCF) requesting a Home Subscriber Server (HSS) to authenticate a User Equipment (UE);
  • S-CSCF Serving Call Session Control Function
  • HSS Home Subscriber Server
  • the HSS obtains the triplet of the UE when the UE is a user in the network that uses the triplet authentication, and converts the triplet into a quintuple, and delivers the obtained quintuple to the S-CSCF;
  • the UE After determining that the network is logged in, the UE converts its own triplet into a quintuple and reports the obtained quintuple to the S-CSCF;
  • the S-CSCF determines whether the authentication is successful according to the quintuple sent by the HSS and the quintuple reported by the UE.
  • the HSS converts the triplet of the UE into a quintuple in the same manner as the UE.
  • the HSS and the UE convert the triplet of the UE into a quintuple by:
  • Select one or more parameters from the triple to generate intermediate parameters ⁇ Use intermediate parameters to obtain SQNAKA (Serial Number Authentication and Secret Side), Authentication Management Domain (AMF) and AKA-Key according to the required number of bits (authentication and key consent-authentication key), and randomly generate AKA_RAND (authentication and key consent_authentication random number) according to the number of bits;
  • SQNAKA Serial Number Authentication and Secret Side
  • AMF Authentication Management Domain
  • AKA-Key authentication and key consent-authentication key
  • AKA_RAND authentication and key consent_authentication random number
  • the S-CSCF requests the HSS to authenticate the UE by sending an authentication request to the HSS, and carries the public identity information and private identity information of the UE in the authentication request.
  • the method further includes: after receiving the authentication request, the HSS determines, according to the public identity information and the private identity information carried in the authentication request, whether the UE is a user in the network that uses the triplet authentication, and if yes, performs the method.
  • the present invention also provides a system for implementing card authentication, comprising: a UE and an interconnected Home Subscriber Server (HSS) and a Serving Call Session Control Function (S-CSCF), wherein:
  • HSS Home Subscriber Server
  • S-CSCF Serving Call Session Control Function
  • the S-CSCF is configured to: request the HSS to authenticate the user equipment (UE), receive the quintuple reported by the UE, and determine whether the authentication is successful according to the quintuple sent by the HSS and the quintuple reported by the UE;
  • the HSS is configured to: according to the request of the S-CSCF, when the UE is a user in the network that uses the triplet authentication, obtain the triplet of the UE, and convert the triplet into a quintuple, and the obtained The quintuple is sent to the S-CSCF;
  • the UE is configured to: when determining that the network is logged in, convert its own triplet to obtain a quintuple, and send the obtained quintuple to the S-CSCF.
  • the HSS converts the triplet of the UE into a quintuple in the same manner as the UE.
  • the HSS and the UE are arranged to convert the triplet of the UE into a five-tuple by: selecting one or more parameters from the triple to generate an intermediate parameter; using the intermediate parameter to obtain SQNAKA according to the required number of bits ( Serial number authentication and confidentiality), Authentication Management Domain (AMF) and AKA-Key (authentication and key consent-authentication key), and randomly generate AKA_RAND according to the number of bits (authentication and key consent_ Authentication random number); and
  • the S-CSCF is configured to request the HSS to authenticate the UE by sending an authentication request to the HSS, and carry the public identity information and private identity information of the UE in the authentication request.
  • the HSS is further configured to: after receiving the authentication request, determine, according to the public identity information and the private identity information carried in the authentication request, whether the UE is a user in the network that uses the triplet authentication, and if yes, obtain the UE.
  • the triplet also provides a user equipment, comprising: an interconnection authentication judgment module and a data conversion module, wherein:
  • the authentication judgment module is configured to: determine whether the network is logged in, and if the login is possible, notify the data conversion module network to log in;
  • the data conversion module is configured to: after learning that the network is logged in, convert the triplet of the user equipment into a quintuple, and send the obtained quintuple to the service call session control function.
  • the data conversion module is arranged to convert the triple of the user device into a five-tuple by:
  • Select one or more parameters from the triple to generate intermediate parameters ⁇ Use intermediate parameters to obtain SQNAKA (Serial Number Authentication and Secret Side), Authentication Management Domain (AMF) and AKA-Key according to the required number of bits (authentication and key consent-authentication key), and randomly generate AKA_RAND (authentication and key consent_authentication random number) according to the number of bits;
  • SQNAKA Serial Number Authentication and Secret Side
  • AMF Authentication Management Domain
  • AKA-Key authentication and key consent-authentication key
  • AKA_RAND authentication and key consent_authentication random number
  • the present invention uses the idea of converting a triplet into a quintuple of IMS authentication, and implements authentication of the SIM card in the IMS, and can perform only a small amount of transformation on the HSS and the UE of the IMS.
  • the invention has low cost.
  • the invention can realize the authentication of the SIM card in the IMS, and can also generate the IP security (SEC) key in the IMS by the 2G user, thereby enhancing the security of the user.
  • SEC IP security
  • FIG. 1 is a flowchart of a method for implementing card authentication according to an embodiment of the present invention
  • FIG. 2 is a structural diagram of a system for implementing card authentication according to an embodiment of the present invention
  • FIG. 3 is a structural diagram of a user equipment according to an embodiment of the present invention.
  • the HSS determines that the authenticated UE is a user in a network (such as a 2G network) that uses the triplet authentication, and then from the HLR (Home Location Register) or AUC.
  • the authentication center obtains the triplet of the UE, converts the obtained triplet that authenticates the SIM card into a quintuple, and delivers the obtained quintuple to the S-CSCF, and the S-CSCF delivers the ternary group.
  • RAND_AKA, AUTN, IK and CK (authentication vector) in the quintuple are sent to the P-CSCF, and the P-CSCF issues RAND_AKA and AUTN in the authentication vector to the UE, and the UE uses the received RAND- AKA and AUTN authentication network, to determine whether it is logged in. If you can log in, convert the triple to a quintuple in the same way as HSS, and report the RES (response) in the quintuple to S-CSCF, S - The CSCF compares whether the RES reported by the UE is the same as the XRES sent by the HSS. If the authentication is successful, the UE is notified that the authentication succeeds. If the authentication is successful, the authentication fails.
  • FIG. 1 is a method for implementing card authentication according to an embodiment of the present invention, including:
  • Step 101 The UE sends a Register request message to the IMS core network, where the user needs to carry the public identity and private identity information of the user.
  • Step 102 After receiving the Register Request message, the P-CSCF of the core network sends the message to the I-CSCF.
  • Step 103 After receiving the register request message, the I-CSCF sends a UAR (User registration status query) message to the HSS to query the information of the S-CSCF served by the UE.
  • UAR User registration status query
  • Step 104 The HSS returns information of the S-CSCF served by the UE to the I-CSCF.
  • Step 105 The I-CSCF forwards the Register request message to the S-CSCF according to the information of the S-CSCF.
  • Step 106 After receiving the Register Request message, the S-CSCF initiates an authentication request to the HSS, where the authentication request carries the public identity and private identity information of the UE.
  • Step 107 After receiving the authentication request of the S-CSCF, if the HSS determines that the UE is a 2G user according to the public identity and the private identity information of the UE, the HSS obtains the triplet from the HLR or the AUC.
  • the HSS judges the UE as a user in the network using the quintuple authentication according to the public identity and private identity information of the UE, the existing method is directly used for authentication.
  • Step 108 The HSS or AUC returns the triplet to the HSS;
  • Step 109 After receiving the triplet, the HSS converts the triplet into a quintuple;
  • HSS can convert triples to quintuds in the following way, but this embodiment does not turn
  • the limitation of the method is that the core of the embodiment is that after the triplet is converted into a quintuple, the authentication of the 2G user can be implemented without extensive modification of the IMS core network, and those skilled in the art should understand that
  • any other method can be used for conversion, as long as the number of bits of each parameter is met, and the value can be arbitrarily selected, as long as it is pre-agreed with the UE, which conversion is used. The method does not affect the implementation of the present embodiment.
  • SHA1 is the hash function
  • KC and SRES are the parameters in the triplet.
  • the hash function can also be used.
  • the high-low level swap can be used or the operation can be omitted.
  • the parameters of the hash function can also select any one or more of the triples.
  • SQNAKA serial number authentication and key agreement
  • SQNHSS is the authentication authentication serial number signed in the HSS, which is 40 bits. It is also not limited to SQNHSS here. The other 40-bit sequences are also available, and the upper 8 bits of the Key material are not limited, and any 8 bits can be used. As long as the number of bits in the SQNAKA 48 bit is met.
  • AMF Authentication Management Domain
  • Key_material is followed by the upper 8 bits of 16 bits ( 8 ⁇ 23 );
  • the AMF can also take any 16 bits of the Key material.
  • the 16 bits that follow the upper 8 bits are based on the upper 8 bits of the Key material used in SQNAKA. This method can increase security.
  • AKA Key can also take any 128 bits of Key material.
  • AKA_RAND 128-bit random number.
  • the F1 F5 function specified in the protocol of 3GPP33.401 is used as the input parameter to obtain the quintuple. .
  • AMF Key—material is low 16 bits immediately before 8 digits
  • Step 110 The HSS delivers the converted quintuple to the S-CSCF.
  • Step 111 After receiving the quintuple, the S-CSCF forwards the authentication vectors (RAND_AKA, AUTN, IK, and CK) to the P-CSCF through the I-CSCF;
  • Step 112 After receiving the authentication vector, the P-CSCF will RAND_AKA in the authentication vector.
  • AUTN is sent to the UE
  • Step 113 After receiving the RAND_AKA and the AUTN from the P-CSCF, the UE performs network authentication to determine whether it can log in to the network. If the UE can log in, the triplet is converted into a quintuple in the same manner as the HSS.
  • Step 114 The UE reports the RES in the quintuple to the S-CSCF through the PCSCF and the ICSCF.
  • Step 115 The S-CSCF compares whether the RES reported by the UE and the XRES sent by the HSS are the same to determine whether the authentication is successful. If the authentication is successful, if it is different, the authentication fails;
  • Step 116 The S-CSCF sends the authentication result to the UE through the ICSCF and the PCSCF.
  • FIG. 2 shows a system for implementing card authentication according to the embodiment, including: UE, HSS, S-CSCF, P-CSCF, I-CSCF, and HLR (or AUC), where S-CSCF, P-CSCF, and The I-CSCFs are connected to each other, and the HSS is connected to the S-CSCF, the HLR, and the I-CSCF, respectively;
  • the HSS is configured to: after receiving the authentication request of the S-CSCF for the UE, determine whether the UE is a user in the network that uses the triplet authentication according to the public identity information and the private identity information of the UE carried in the authentication request.
  • the triplet of the UE is obtained from the HLR, and the triplet is converted into a quintuple, and the obtained quintuple is sent to the UE.
  • S-CSCF S-CSCF.
  • the S-CSCF is configured to receive the quintuple reported by the UE, and compare the quintuple sent by the HSS with the quintuple reported by the UE to determine whether the authentication is successful.
  • the UE is configured to: convert the obtained triplet to the quintuple when the network is logged in, and send the obtained quintuple to the S-CSCF.
  • HSS converts triples to quintuets in the same way as UEs.
  • the process of converting the triplet to the quintuple by the HSS and the UE is: selecting one or more parameters from the triple to generate intermediate parameters; using the intermediate parameters, obtaining the SQNAKA and the authentication management domain according to the required number of bits ( AMF ) and AKA Key, and randomly generate AKA-RAND according to the number of bits; and, use SQNAKA, AMF, AKA Key and AKA-RAND to generate a quintuple.
  • the embodiment further provides a user equipment, including: an interconnected authentication judgment module and a data conversion module, where:
  • the authentication judgment module is configured to determine whether the network is logged in, and if the login is possible, notify the data conversion module that the network can log in;
  • the data conversion module is configured to convert the triplet of the user equipment into a quintuple after the network is logged, and report the obtained quintuple to the service call session control function.
  • the process of converting the triples into quintuple by the data conversion module is: selecting one or more parameters from the triples to generate intermediate parameters; using the intermediate parameters, obtaining the SQNAKA and the authentication management domain according to the required number of bits ( AMF) and AKA Key, and randomly generate AKA-RAND according to the number of bits; and, use SQNAKA, AMF, AKA Key and AKA-RAND to generate a quintuple.
  • the present invention realizes the authentication of the SIM card by converting the triplet into the quintuple of the IMS authentication, and can perform only a small amount of transformation on the HSS and the UE of the IMS, and the cost is low.
  • the 2G user can generate an IP security (SEC) key in the IMS, which enhances the security of the user.
  • SEC IP security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种实现卡鉴权的方法、系统及用户设备，包括：服务呼叫会话控制功能（S-CSCF）请求归属用户服务器（HSS）对用户设备（UE）进行鉴权；HSS在UE为使用三元组鉴权的网络中的用户时，获取该UE的三元组，并将该三元组转换为五元组，将得到的五元组下发给S-CSCF；UE在判断网络可登录后，将自身的三元组转换为五元组，将得到的五元组上报给S-CSCF；以及，S-CSCF根据HSS下发的五元组与UE上报的五元组，判断鉴权是否成功。本发明采用将三元组转换为IMS鉴权的五元组的思路，实现对SIM卡进行鉴权，可以仅对IMS的HSS和UE进行非常少量的改造，成本很低。

Description

一种实现卡鉴权的方法、 系统及用户设备
技术领域
本发明涉及 IP多媒体子系统， 尤其涉及一种实现卡鉴权的方法、 系统及 用户设备。
背景技术
在网络互联协议 ( Internet Protocol, IP )多媒体子系统（ IP Multimedia Core Network Subsystem, IMS )体系中， 控制层和业务层是分离的， 控制层不提 供具体业务， 只负责向业务层提供必要的触发、 路由、 计费等控制功能。 控 制层的控制功能是由呼叫会话控制功能（ Call Session Control Function, CSCF ) 完成的。
CSCF分为代理呼叫会话控制功能（ Proxy Call Session Control Function, P-CSCF )、查询呼叫会话控制功能（ Interrogating Call Session Control Function, I-CSCF )和服务呼叫会话控制功能（Serving Call Session Control Function, S-CSCF )三种类型。 其中， 负主要责任的是 S-CSCF, 用来接受用户注册， 触发应用服务器（ Application Server, AS )以及完成呼叫的控制和接续。 P-CSCF 是用户设备 ( User Equipment, UE )接入 IMS系统的入口， 主要功能是把 UE 发来的 SIP (会话初始协议） 注册、 会话等请求转发给 I-CSCF或 S-CSCF。 I-CSCF提供到归属网络的入口， 可通过归属用户服务器 （Home Subscriber Server, HSS )灵活选择 S-CSCF, 将 SIP业务消息路由到 S-CSCF。 业务层由 一系列 AS组成， 能提供具体业务服务， AS可以是独立的实体， 也可以存在 于 S-CSCF中。 S-CSCF根据用户的签约信息控制业务触发， 调用 AS上的业 务， 实现业务功能。 AS和 S-CSCF可以统称为服务设备（Server Equipment , SE ) 。
在移动通信领域卡鉴权主要有两种处理方式， 三元组和五元组， 三元组 对应 SIM(客户识别模块）卡，五元组对应 USIM ( Universal Subscriber Identity Module, 全球用户识别卡）和 ISIM ( IP Multimedia Service Identity Module, IP多媒体业务标识模块）卡， IMS中定义了对 USIM和 ISIM的支持， 即支 持五元组鉴权， USIM和 ISIM卡的 XRES (期望响应 )、 AKA ( Authentication and Key Agreement, 鉴权和密钥同意） _RAND (鉴权随机数） 、 IK (完整性 密钥）、 CK (安全性密钥）和 AUTN (鉴权令牌 )鉴权， 但未定义 IMS应当 如何支持三元组鉴权， 即 SIM卡的 SRES (符号响应 ) 、 RAND (随机数） 和 Kc (加密键）鉴权， 而 2G (第二代移动通讯技术）用户均釆用三元组鉴 权， 因此， 若 2G用户登录 IMS将无法进行鉴权。
发明内容
本发明的目的是提供一种实现卡鉴权的方法、 系统及用户设备， 解决使 用三元组鉴权的网络中的用户登录 IMS无法进行鉴权的问题， 实现使用三元 组鉴权的网络中的用户在 IMS中的鉴权。
为解决上述技术问题， 本发明的一种实现卡鉴权的方法， 包括： 服务呼叫会话控制功能（S-CSCF )请求归属用户服务器（HSS )对用户 设备 ( UE )进行鉴权；
HSS在 UE为使用三元组鉴权的网络中的用户时， 获取该 UE的三元组， 并将该三元组转换为五元组， 将得到的五元组下发给 S-CSCF;
UE在判断网络可登录后，将自身的三元组转换为五元组，将得到的五元 组上报给 S-CSCF; 以及
S-CSCF根据 HSS下发的五元组与 UE上报的五元组，判断鉴权是否成功。
HSS与 UE釆用相同的方式将 UE的三元组转换为五元组。
HSS与 UE通过如下方式将 UE的三元组转换为五元组包括：
从三元组中选择一个或多个参数生成中间参数； 釆用中间参数， 根据所需的位数得到 SQNAKA (序列号鉴权和密侧意 ） 、 鉴权 管理域（AMF )和 AKA— Key (鉴权和密钥同意—鉴权密钥） ， 并按照位数随 机生成 AKA_RAND (鉴权和密钥同意 _鉴权随机数） ； 以及
釆用 SQNAKA、 AMF, AKA— Key和 AKA— RAND生成五元组。 S-CSCF通过向 HSS发送鉴权请求来请求该 HSS对 UE进行鉴权， 并在 鉴权请求中携带 UE的公有身份信息和私有身份信息；
该方法还包括： HSS在接收到鉴权请求后， 根据该鉴权请求中携带的公 有身份信息和私有身份信息判断 UE是否为使用三元组鉴权的网络中的用户， 如果是， 才执行获取该 UE的三元组的步骤。
本发明还提供一种实现卡鉴权的系统， 包括： UE以及相互连接的归属用 户服务器（HSS )和服务呼叫会话控制功能（S-CSCF ) ， 其中：
S-CSCF设置成： 请求 HSS对用户设备（UE )进行鉴权， 接收 UE上报 的五元组， 并根据 HSS下发的五元组与 UE上报的五元组， 判断鉴权是否成 功；
HSS设置成：根据 S-CSCF的请求，在 UE为使用三元组鉴权的网络中的 用户时， 获取该 UE的三元组， 并将该三元组转换为五元组， 将得到的五元 组下发给 S-CSCF;
UE设置成：在判断网络可登录时，将自身的三元组进行转换得到五元组， 并将得到的五元组上 ^艮给 S-CSCF。
HSS与 UE釆用相同的方式将 UE的三元组转换为五元组。
HSS和 UE是设置成通过如下方式将 UE的三元组转换为五元组： 从三元组中选择一个或多个参数生成中间参数； 釆用中间参数， 根据所需的位数得到 SQNAKA (序列号鉴权和密侧意 ） 、 鉴权 管理域（AMF )和 AKA— Key (鉴权和密钥同意—鉴权密钥） ， 并按照位数随 机生成 AKA_RAND (鉴权和密钥同意 _鉴权随机数） ； 以及
釆用 SQNAKA、 AMF, AKA— Key和 AKA— RAND生成五元组。
S-CSCF是设置成通过向 HSS发送鉴权请求来请求该 HSS对 UE进行鉴 权， 并在鉴权请求中携带 UE的公有身份信息和私有身份信息；
HSS还设置成在接收到鉴权请求后， 根据该鉴权请求中携带的公有身份 信息和私有身份信息判断 UE是否为使用三元组鉴权的网络中的用户， 如果 是， 才获取该 UE的三元组。 本发明还提供一种用户设备， 包括： 相互连接的鉴权判断模块和数据转 换模块， 其中：
鉴权判断模块设置成： 判断网络是否可登录， 若可登录， 则通知数据转 换模块网络可登录；
数据转换模块设置成： 在获知网络可登录后， 将该用户设备的三元组转 换为五元组， 将得到的五元组上 ^艮给服务呼叫会话控制功能。
数据转换模块是设置成通过如下方式将用户设备的三元组转换为五元 组：
从三元组中选择一个或多个参数生成中间参数； 釆用中间参数， 根据所需的位数得到 SQNAKA (序列号鉴权和密侧意 ） 、 鉴权 管理域（AMF )和 AKA— Key (鉴权和密钥同意—鉴权密钥） ， 并按照位数随 机生成 AKA_RAND (鉴权和密钥同意 _鉴权随机数） ； 以及
釆用 SQNAKA、 AMF, AKA— Key和 AKA— RAND生成五元组。
综上所述， 本发明釆用将三元组转换为 IMS鉴权的五元组的思路， 实现 在 IMS中对 SIM卡进行鉴权， 同时可以仅对 IMS的 HSS和 UE进行非常少 量的改造，成本很低，本发明在实现在 IMS中对 SIM卡鉴权进行支持的同时， 还可以实现 2G用户在 IMS中产生 IP安全（SEC ) 密钥， 增强了用户的安全 性。
附图概述 图 1为本发明实施方式实现卡鉴权的方法的流程图；
图 2为本发明实施方式实现卡鉴权的系统的架构图；
图 3为本发明实施方式的用户设备的结构图。
本发明的较佳实施方式
本实施方式中 HSS在接收到鉴权请求后， 若判断鉴权的 UE为釆用三元 组鉴权的网络（如 2G网络）中的用户， 则从 HLR (归属位置寄存器）或 AUC (鉴权中心）获取 UE的三元组， 将获取到的对 SIM卡鉴权的三元组转换为 五元组， 并将得到的五元组下发给 S-CSCF , S-CSCF 下发五元组中的 RAND— AKA、 AUTN, IK和 CK (鉴权向量）给 P-CSCF, P-CSCF下发鉴权 向量中的 RAND— AKA和 AUTN给 UE, UE釆用接收到的 RAND— AKA和 AUTN认证网络， 判断是否可登录， 若可登录则釆用与 HSS同样的方法将三 元组转换为五元组， 并将五元组中的 RES (响应）上报给 S-CSCF, S-CSCF 比较 UE上报的 RES与 HSS下发的 XRES是否相同， 若相同则鉴权成功， 通 知 UE鉴权成功； 若不同则鉴权失败。
图 1为本实施方式实现卡鉴权的方法， 包括：
步骤 101 : UE向 IMS核心网发起 Register (注册）请求消息， 在该消息 中需携带用户的公有身份和私有身份信息；
步骤 102: 核心网的 P-CSCF接收到 Register请求消息后， 将该消息发送 给 I-CSCF;
步骤 103: I-CSCF接收到 Register请求消息后， 向 HSS发送 UAR ( User registration status query,用户注册状态查询）消息，查询为 UE服务的 S-CSCF 的信息；
步骤 104: HSS将为 UE服务的 S-CSCF的信息返回给 I-CSCF;
步骤 105: I-CSCF根据 S-CSCF 的信息将 Register请求消息转发至该 S-CSCF;
步骤 106: S-CSCF接收到 Register请求消息后， 向 HSS发起鉴权请求， 在鉴权请求中携带 UE的公有身份和私有身份信息；
步骤 107: HSS接收到 S-CSCF的鉴权请求后， 若根据 UE的公有身份和 私有身份信息判断 UE为 2G用户， 则向 HLR或 AUC获取三元组；
若 HSS根据 UE的公有身份和私有身份信息判断 UE为釆用五元组鉴权 的网络中的用户， 则直接釆用现有方法进行鉴权。
步骤 108: HSS或 AUC将三元组返回给 HSS;
步骤 109: HSS接收到三元组后， 将三元组转换为五元组；
HSS可以釆用如下方法将三元组转换为五元组， 但本实施方式并不对转 换方法进行限制， 本实施方式的核心在于将三元组转换为五元组后， 可以不 对 IMS核心网进行大范围的改动即可实现 2G用户的鉴权， 本领域技术人员 应当了解，除了釆用以下的转换方法外还可以釆用任意的其它方法进行转换， 只要满足各个参数的位数要求即可， 如何取值均可任意选择， 只要与 UE预 先约定好即可， 釆用何种转换方法并不影响本实施方式的实施。
Key_material=SHAl ( KC | SRES ) ；
Key— material为中间参数， SHA1为哈希函数， KC和 SRES为三元组中 的参数， 此处也可以不釆用哈希函数， 如可以釆用高低位互换或也可以不进 行运算等， 同样， 哈希函数的参数也可以选择三元组中任意的一个或多个。
SQNAKA (序列号鉴权和密钥同意 ） =SQNHss I Key— material的高 8位；
SQNHSS 为 HSS中签约的鉴权鉴权流水号， 共 40位， 此处同样不限定为 SQNHSS, 其它 40位的序列也可以， 并且不限定 Key— material的高 8位， 任意 8位均可， 只要满足 SQNAKA48位的位数要求即可。
AMF (鉴权管理域） = Key_material的紧跟高 8位的 16位（ 8~23 ) ；
AMF也可以取 Key— material的任意 16位， 取高 8位后紧跟的 16位是基 于 SQNAKA中釆用 Key— material的高 8位， 这种取法可以增加安全性。
AKA Key ( AKA鉴权密钥） =Key_material的低 128位；
AKA Key同样可取 Key— material任意 128位。
AKA_RAND=128位随机数。
得到 SQNAKA、 AMF, AKA— Key和 AKA— RAND这四个参数后， 釆用协 议号为 3GPP33.401的协议中规定的 F1 F5函数，将得到的上述四个参数作为 入参， 得到五元组。
或者釆用如下规则得到上述四个入参：
Key_material=SHAl ( KC | SRES ) ；
SQNAKA=SQNHSS| Key— material的低 8位；
AMF= Key— material低 8位前紧挨的 16位；
AKA_Key= Key— material的高 128位； AKA_RAND=128位随机数。
步骤 110: HSS将转换得到的五元组下发给 S-CSCF;
步骤 111 : S-CSCF接收到五元组后，将鉴权向量（ RAND— AKA、 AUTN、 IK和 CK )通过 I-CSCF转发给 P-CSCF;
步骤 112: P-CSCF接收到鉴权向量后， 将鉴权向量中的 RAND— AKA和
AUTN下发给 UE;
步骤 113 : UE从 P-CSCF接收到 RAND— AKA和 AUTN后， 进行网络认 证判断是否可登录到网络中， 若可登录， 则釆用与 HSS同样的方法将三元组 转换为五元组；
步骤 114: UE将五元组中的 RES通过 PCSCF和 ICSCF上报给 S-CSCF; 步骤 115: S-CSCF比较 UE上报的 RES与 HSS下发的 XRES是否相同 以判断鉴权是否成功， 若相同则鉴权成功， 若不同则鉴权失败；
步骤 116: S-CSCF通过 ICSCF和 PCSCF将鉴权结果下发给 UE。
图 2所示为本实施方式的实现卡鉴权的系统， 包括： UE、 HSS , S-CSCF, P-CSCF、 I-CSCF和 HLR (或 AUC ) ， 其中， S-CSCF、 P-CSCF和 I-CSCF 相互连接， HSS分别与 S-CSCF、 HLR和 I-CSCF相连；
HSS设置成：在接收到 S-CSCF对 UE的鉴权请求后，根据鉴权请求中携 带的 UE的公有身份信息和私有身份信息，判断 UE是否为使用三元组鉴权的 网络中的用户， 在判断该 UE为使用三元组鉴权的网络中的用户时， 从 HLR 获取该 UE的三元组， 并将该三元组转换为五元组， 将得到的五元组下发给 S-CSCF。
S-CSCF设置成接收 UE上报的五元组， 并比较 HSS下发的五元组与 UE 上报的五元组， 判断鉴权是否成功；
UE设置成： 在判断网络可登录时， 将自身的三元组转换得到的五元组， 并将得到的五元组上 ^艮给 S-CSCF。
HSS与 UE釆用相同的方式将三元组转换为五元组。 HSS和 UE将三元 组转换为五元组的过程为： 从三元组中选择一个或多个参数生成中间参数； 釆用中间参数， 根据所需的位数得到 SQNAKA、 鉴权管理域 （AMF ) 和 AKA Key, 并按照位数随机生成 AKA— RAND; 以及， 釆用 SQNAKA、 AMF、 AKA Key和 AKA— RAND生成五元组。
系统中各功能单元的所实现的其它功能请参考方法内容的描述。
如图 3所示， 本实施方式还提供了一种用户设备， 包括： 相互连接的鉴 权判断模块和数据转换模块， 其中：
鉴权判断模块设置成判断网络是否可登录， 若可登录， 则通知数据转换 模块网络可登录；
数据转换模块设置成在获知网络可登录后， 将该用户设备的三元组转换 为五元组， 将得到的五元组上报给服务呼叫会话控制功能。 数据转换模块将 三元组转换为五元组的过程为： 从三元组中选择一个或多个参数生成中间参 数； 釆用中间参数， 根据所需的位数得到 SQNAKA、 鉴权管理域（AMF )和 AKA Key, 并按照位数随机生成 AKA— RAND; 以及， 釆用 SQNAKA、 AMF, AKA Key和 AKA— RAND生成五元组。
当然， 本发明还可有其他多种实施例， 在不背离本发明精神及其实质的 但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围， 例如 本发明还有其他形式的根据三元组生成五元组的方法， 这些并不作为对本发 明的限制。
工业实用性
与现有技术相比， 本发明通过将三元组转换为 IMS鉴权的五元组实现对 SIM卡的鉴权，可以仅对 IMS的 HSS和 UE进行非常少量的改造，成本很低， 在实现 IMS对 SIM卡鉴权进行支持的同时，可以实现 2G用户在 IMS中产生 IP安全（SEC ) 密钥， 增强了用户的安全性。

Claims

权 利 要 求 书
1、 一种实现卡鉴权的方法， 包括：
服务呼叫会话控制功能（S-CSCF )请求归属用户服务器（HSS )对用户 设备 ( UE )进行鉴权；
所述 HSS在所述 UE为使用三元组鉴权的网络中的用户时， 获取该 UE 的三元组， 并将获取的三元组转换为五元组， 将得到的五元组下发给所述 S-CSCF;
所述 UE在判断网络可登录后， 将自身的三元组转换为五元组， 将得到 的五元组上报给所述 S-CSCF; 以及
所述 S-CSCF根据所述 HSS下发的五元组与所述 UE上>¾的五元组， 判 断鉴权是否成功。
2、 如权利要求 1所述的方法， 其中，
所述 HSS与所述 UE釆用相同的方式将所述 UE的三元组转换为五元组。
3、 如权利要求 2所述的方法， 其中， 所述 HSS与所述 UE釆用相同的方 式将所述 UE的三元组转换为五元组的步骤包括：
从所述三元组中选择一个或多个参数生成中间参数；
釆用所述中间参数， 根据所需的位数得到序列号鉴权和密侧 * ( SQNAKA ) 、 鉴权管理域（AMF )和鉴权和密钥同意—鉴权密钥 （AKA— Key ) , 并按照位 数随机生成鉴权和密钥同意 _鉴权随机数 ( AKA RAND ) ； 以及
釆用所述 SQNAKA、 AMF, AKA— Key和 AKA— RAND生成所述五元组。
4、 如权利要求 1或 2所述的方法， 其中，
S-CSCF请求 HSS对 UE进行鉴权的步骤包括：所述 S-CSCF通过向所述 HSS发送鉴权请求来请求该 HSS对所述 UE进行鉴权， 并在所述鉴权请求中 携带所述 UE的公有身份信息和私有身份信息；
所述方法还包括： 所述 HSS在接收到所述鉴权请求后， 根据该鉴权请求 中携带的所述公有身份信息和私有身份信息判断所述 UE是否为使用三元组 鉴权的网络中的用户， 如果是， 才执行获取所述 UE的三元组的步骤。
5、 一种实现卡鉴权的系统， 包括： 用户设备（UE ) 以及相互连接的归 属用户服务器（HSS )和服务呼叫会话控制功能（S-CSCF ) ， 其中：
所述 S-CSCF设置成： 请求所述 HSS对 UE进行鉴权， 接收所述 UE上 报的五元组以及所述 HSS下发的五元组，并根据所述 HSS下发的五元组与所 述 UE上报的五元组， 判断鉴权是否成功；
所述 HSS设置成： 根据所述 S-CSCF的请求， 在所述 UE为使用三元组 鉴权的网络中的用户时， 获取该 UE的三元组， 并将所获取的三元组转换为 五元组， 将得到的五元组下发给所述 S-CSCF;
所述 UE设置成： 在判断网络可登录时， 将自身的三元组进行转换得到 五元组， 并将所得到的五元组上^艮给所述 S-CSCF。
6、 如权利要求 5所述的系统， 其中，
所述 HSS与所述 UE釆用相同的方式将所述 UE的三元组转换为五元组。
7、 如权利要求 6所述的方法， 其中， 所述 HSS和所述 UE是设置成通过 如下方式将所述 UE的三元组转换为五元组：
从所述三元组中选择一个或多个参数生成中间参数；
釆用所述中间参数， 根据所需的位数得到序列号鉴权和密侧 * ( SQNAKA ) 、 鉴权管理域（AMF )和鉴权和密钥同意—鉴权密钥 （AKA— Key ) , 并按照位 数随机生成鉴权和密钥同意 _鉴权随机数 ( AKA RAND ) ； 以及
釆用所述 SQNAKA、 AMF, AKA— Key和 AKA— RAND生成所述五元组。
8、 如权利要求 5或 6所述的系统， 其中，
所述 S-CSCF是设置成通过向所述 HSS发送鉴权请求来请求该 HSS对所 述 UE进行鉴权，并在所述鉴权请求中携带所述 UE的公有身份信息和私有身 份信息；
所述 HSS还设置成在接收到所述鉴权请求后， 根据该鉴权请求中携带的 所述公有身份信息和私有身份信息判断所述 UE是否为使用三元组鉴权的网 络中的用户， 如果是， 才获取该 UE的三元组。
9、 一种用户设备， 包括： 相互连接的鉴权判断模块和数据转换模块， 其 中：
所述鉴权判断模块设置成判断网络是否可登录， 若可登录， 则通知所述 数据转换模块网络可登录；
所述数据转换模块设置成在获知网络可登录后， 将该用户设备的三元组 转换为五元组， 将得到的五元组上 ^艮给服务呼叫会话控制功能。
10、 如权利要求 9所述的用户设备， 其中， 所述数据转换模块是设置成 通过如下方式将所述三元组转换为五元组：
从所述三元组中选择一个或多个参数生成中间参数；
釆用所述中间参数， 根据所需的位数得到序列号鉴权和密侧 * ( SQNAKA ) 、 鉴权管理域（AMF )和鉴权和密钥同意—鉴权密钥 （AKA— Key ) , 并按照位 数随机生成鉴权和密钥同意 _鉴权随机数 ( AKA RAND ) ； 以及
釆用所述 SQNAKA、 AMF, AKA— Key和 AKA— RAND生成所述五元组。
PCT/CN2011/073957 2010-05-25 2011-05-11 一种实现卡鉴权的方法、系统及用户设备 WO2011147258A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010186711.4 2010-05-25
CN201010186711A CN101854630A (zh) 2010-05-25 2010-05-25 一种实现卡鉴权的方法、系统及用户设备

Publications (1)

Publication Number Publication Date
WO2011147258A1 true WO2011147258A1 (zh) 2011-12-01

Family

ID=42805836

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/073957 WO2011147258A1 (zh) 2010-05-25 2011-05-11 一种实现卡鉴权的方法、系统及用户设备

Country Status (2)

Country Link
CN (1) CN101854630A (zh)
WO (1) WO2011147258A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103179563A (zh) * 2011-12-20 2013-06-26 中国电信股份有限公司 接入认证方法和系统

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101854630A (zh) * 2010-05-25 2010-10-06 中兴通讯股份有限公司 一种实现卡鉴权的方法、系统及用户设备
WO2015013915A1 (zh) * 2013-07-31 2015-02-05 华为技术有限公司 认证方法、生成信任状的方法及相关装置
JP2020113807A (ja) * 2017-05-09 2020-07-27 シャープ株式会社 ユーザ装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1697373A (zh) * 2005-06-17 2005-11-16 中兴通讯股份有限公司 一种用户与应用服务器协商共享密钥的方法
CN1756428A (zh) * 2004-09-30 2006-04-05 华为技术有限公司 Ip多媒体子系统中对终端用户标识模块进行鉴权的方法
CN101247630A (zh) * 2007-02-14 2008-08-20 中国移动通信集团公司 实现多媒体广播业务密钥协商的系统及方法
CN101854630A (zh) * 2010-05-25 2010-10-06 中兴通讯股份有限公司 一种实现卡鉴权的方法、系统及用户设备

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1921378B (zh) * 2006-09-28 2010-07-28 中国移动通信集团公司 一种协商新鉴权密钥的方法和系统
CN101588579B (zh) * 2008-05-20 2011-09-14 华为技术有限公司 一种对用户设备鉴权的系统、方法及其基站子系统
CN101600205B (zh) * 2009-07-10 2011-05-04 华为技术有限公司 Sim卡用户设备接入演进网络的方法和相关设备

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1756428A (zh) * 2004-09-30 2006-04-05 华为技术有限公司 Ip多媒体子系统中对终端用户标识模块进行鉴权的方法
CN1697373A (zh) * 2005-06-17 2005-11-16 中兴通讯股份有限公司 一种用户与应用服务器协商共享密钥的方法
CN101247630A (zh) * 2007-02-14 2008-08-20 中国移动通信集团公司 实现多媒体广播业务密钥协商的系统及方法
CN101854630A (zh) * 2010-05-25 2010-10-06 中兴通讯股份有限公司 一种实现卡鉴权的方法、系统及用户设备

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103179563A (zh) * 2011-12-20 2013-06-26 中国电信股份有限公司 接入认证方法和系统

Also Published As

Publication number Publication date
CN101854630A (zh) 2010-10-06

Similar Documents

Publication Publication Date Title
KR101461455B1 (ko) 인증 방법, 시스템 및 장치
US8613058B2 (en) Systems, methods and computer program products for providing additional authentication beyond user equipment authentication in an IMS network
CN100571134C (zh) 在ip多媒体子系统中认证用户终端的方法
KR101343039B1 (ko) 인증 시스템, 방법 및 장치
CN101030854B (zh) 多媒体子系统中网络实体的互认证方法及装置
JP6330916B2 (ja) ｗｅｂＲＴＣのためのシステム及び方法
WO2005112338A1 (fr) Procede de distribution de cles
WO2011022999A1 (zh) 一种终端对视频会议数据进行加密的方法及系统
CN102196426A (zh) 一种接入ims网络的方法、装置和系统
WO2010124482A1 (zh) Ip多媒体子系统中实现安全分叉呼叫会话的方法及系统
WO2007022731A1 (fr) Procede, systeme et equipement de negociation de cle de cryptage dans une trame de verification universelle amelioree
US20030097584A1 (en) SIP-level confidentiality protection
WO2008025280A1 (fr) Procédé et système d'authentification
JP5342818B2 (ja) 管理装置、登録通信端末、非登録通信端末、ネットワークシステム、管理方法、通信方法、及びコンピュータプログラム。
WO2011147258A1 (zh) 一种实现卡鉴权的方法、系统及用户设备
JP2017537488A (ja) Ｓｉｐシグナリング復号化パラメータの取得方法及び装置
CN1777102B (zh) 软件终端接入ip多媒体子系统的装置及方法
CN102111379A (zh) 认证系统、方法及设备
CN102065069B (zh) 一种身份认证方法、装置和系统
WO2011035579A1 (zh) Wapi终端接入ims网络的认证方法、系统和终端
Chen et al. An efficient end-to-end security mechanism for IP multimedia subsystem
Abid et al. Efficient identity-based authentication for IMS based services access
CN101621501A (zh) 通信系统的用户注册控制方法和会话功能控制实体
Song et al. Performance evaluation of an authentication solution for IMS services access
CN102082769A (zh) Ims终端在获取非ims业务时的认证系统、装置及方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11786030

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11786030

Country of ref document: EP

Kind code of ref document: A1