WO2012068801A1 - 移动终端的认证方法及移动终端 - Google Patents

移动终端的认证方法及移动终端 Download PDF

Info

Publication number
WO2012068801A1
WO2012068801A1 PCT/CN2011/071575 CN2011071575W WO2012068801A1 WO 2012068801 A1 WO2012068801 A1 WO 2012068801A1 CN 2011071575 W CN2011071575 W CN 2011071575W WO 2012068801 A1 WO2012068801 A1 WO 2012068801A1
Authority
WO
WIPO (PCT)
Prior art keywords
mobile terminal
authentication
eap
radius server
ikev2
Prior art date
Application number
PCT/CN2011/071575
Other languages
English (en)
French (fr)
Inventor
苏国松
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012068801A1 publication Critical patent/WO2012068801A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present invention relates to the field of communications, and in particular, to a method for authenticating a mobile terminal and a mobile terminal.
  • the Extensible Authentication Protocol (EAP) is a commonly used authentication protocol and is often used in wireless networks or peer-to-peer connections.
  • EAP Extensible Authentication Protocol
  • the commonly used authentication methods are mostly certificate exchange and password authentication
  • EAP_IKEv2 is a new EAP-based authentication and key distribution protocol, which is to unify certificate exchange and password authentication into one protocol.
  • the authentication method used for dynamic adjustment can provide operators with multiple options for security.
  • EAP_IKEv2 reuses the mature Internet Key Exchange Version 2 (referred to as ⁇ 2) protocol authentication mechanism, providing a considerable degree of security. For example, it supports mutual authentication, integrity assurance, security assurance, replay attack protection, dictionary attack protection, etc., to provide a secure and confidential network environment for operators and users.
  • ⁇ 2 Internet Key Exchange Version 2
  • the EAP_IKEv2 protocol authentication mechanism is only applied to the Internet, and the operator urgently needs a security authentication mode when 40 pairs of mobile terminals access the wireless local area network (Wireless Local Area Network, WLAN for short). To manage mobile terminals accessing the WLAN.
  • WLAN Wireless Local Area Network
  • a primary object of the present invention is to provide an authentication scheme for a mobile terminal, so as to at least solve the problem of low security of an existing authentication method of an operator when the mobile terminal accesses the WLAN in the related art.
  • an authentication method of a mobile terminal includes the following steps: the mobile terminal determines the authentication mode of the EAP_IKEv2 used; and uses the authentication interface corresponding to the authentication mode to remotely authenticate the dial-up user.
  • the server initiates EAP IKEv2 authentication.
  • the EAP_IKEv2 authentication is initiated to the RADIUS server by using the authentication interface corresponding to the EAP_IKEv2 authentication mode.
  • the mobile terminal obtains the user identity information through the interface provided by the operating system platform, and sends the user identity information to the RADIUS server through the WiFi wireless connection.
  • the user identity information is sent to the RADIUS server through the WiFi wireless connection for EAP_IKEv2 authentication, including: the RADIUS server determines, according to the user identity information, whether the mobile terminal is locally registered; in the case that it is determined that the mobile terminal is locally registered,
  • the RADIUS server negotiates with the mobile terminal for the key algorithm and uses the negotiated key algorithm for authentication.
  • the RADIUS server and the mobile terminal perform the key algorithm negotiation: the RADIUS server negotiates with the mobile terminal the IKE_SA security payload used to establish the secure channel.
  • the authentication by using the negotiated key algorithm includes: the RADIUS server calculates the master key and the master according to the negotiated key algorithm according to the random number of the user, the received random number from the mobile terminal, and the shared key. The subkey corresponding to the key.
  • the method further includes: the RADIUS server calculates the AUTH_I according to the subkey, the shared key, the key exchange payload Kei key, its own security payload, and the random number, and sends the AUTH_I to the mobile terminal; the mobile terminal calculates the AUTH_R by using the negotiated key algorithm And compare AUTH_R with the received AUTH_I from the RADIUS server; in the case that AUTH_R is consistent with AUTH_I, the mobile terminal sends AUTH R to the RADIUS server; and the RADIUS server determines AUTH_I In the case of the received AUTH_R from the mobile terminal, it is determined that the EAP_IKEv2 authentication is successful.
  • the above operating system platform is Android.
  • the EAP_IKEv2 authentication mode is at least one of the following: a shared key, a digital certificate.
  • a mobile terminal is also provided.
  • the method includes: a determining module configured to determine an authentication mode of the EAP_IKEv2 to be used; and a sending module configured to use the authentication interface corresponding to the authentication mode to remotely authenticate the dial-up user.
  • the server initiates EAP IKEv2 authentication.
  • the sending module is further configured to obtain user identity information through an interface provided by the operating system platform, and send the user identity information to the RADIUS server through the WiFi wireless connection for EAP IKEv2 authentication.
  • the method for applying the EAP_IKEv2 authentication to the mobile terminal is used to solve the problem that the existing authentication mechanism of the operator is low when the mobile terminal accesses the WLAN in the related art, thereby improving the security and performance of the system.
  • FIG. 1 is a flowchart of a method for authenticating a mobile terminal according to an embodiment of the present invention
  • FIG. 2 is a structural block diagram of a mobile terminal according to an embodiment of the present invention
  • FIG. 3 is a second preferred embodiment of the present invention.
  • FIG. 4 is a schematic diagram of module interaction of a method for authenticating a mobile terminal according to a preferred embodiment 3 of the present invention.
  • FIG. 4 is a schematic diagram of a process of accessing a wireless local area network by EAP_IKEv2 authentication.
  • BEST MODE FOR CARRYING OUT THE INVENTION a method for authenticating a mobile terminal.
  • step S104 the authentication interface corresponding to the authentication mode is used to initiate EAP IKEv2 authentication to the Remote Authentication Dial In User Service (RADIUS) server.
  • RADIUS Remote Authentication Dial In User Service
  • the method of applying ⁇ _ ⁇ 2 authentication to the mobile terminal is used to solve the problem that the existing authentication mechanism of the operator is low when the mobile terminal accesses the WLAN in the related art, thereby improving the security and performance of the system.
  • the mobile terminal can obtain the user identity information through the interface provided by the operating system platform, and send the user identity information to the RADIUS server for EAP IKEv2 authentication through a wireless (Wireless Fidelity, 802.11b standard) wireless connection. . This method can improve the effectiveness of the system.
  • the user identity information is sent to the RADIUS server through the WiFi wireless connection for EAP_IKEv2 authentication, including: the RADIUS server determines, according to the user identity information, whether the mobile terminal is locally registered; in the case that it is determined that the mobile terminal is locally registered, The RADIUS server negotiates with the mobile terminal for the key algorithm and uses the negotiated key algorithm for authentication.
  • the method is simple, practical, and operability.
  • the RADIUS server and the mobile terminal perform the key algorithm negotiation: the RADIUS server negotiates with the mobile terminal the IKE_SA security payload used to establish the secure channel. This method can ensure the security of the system.
  • the using the negotiated key algorithm for authentication comprises: the RADIUS server may calculate the master key according to the negotiated key algorithm according to the random number of the user, the received random number from the mobile terminal, and the shared key.
  • the subkey corresponding to the master key is simple to implement and has high operability.
  • the RADIUS server calculates the master key and the subkey corresponding to the master key according to the random number of the mobile terminal, the received random number from the mobile terminal, and the shared key according to the negotiated key algorithm, and the RADIUS server
  • the AUTH_I may be calculated according to the subkey, the shared key, the key exchange payload Kei key, its own security payload and the random number, and sent to the mobile terminal; the mobile terminal may calculate the AUTH_R according to the negotiated key algorithm, and Comparing AUTH_R with the received AUTH_I from the RADIUS server; in the case of AUTH_R and AUTH_I, the mobile terminal transmits AUTH_R to the RADIUS server; and the RADIUS server determines AUTH_I and the received from the mobile terminal In the case of AUTH_R The EAP_IKEv2 authentication succeeded.
  • the method improves the security of the system through the mutual-risk of the mobile terminal and the RADIUS server.
  • the above operating system platform may be Android.
  • This method can enhance the security of data transmission by Android mobile terminals and improve the flexibility and adaptability of the system.
  • the EAP_IKEv2 authentication mode is at least one of the following: a shared key, a digital certificate.
  • the method is simple to implement and has high operability. It should be noted that the embodiments of the present invention can be applied to all mobile terminals based on the Android platform.
  • the embodiment of the present invention further provides a mobile terminal
  • FIG. 2 is a structural block diagram of the mobile terminal according to the embodiment of the present invention. As shown in FIG.
  • the mobile terminal 20 includes: a determining module 22,
  • the sending module 24 is coupled to the determining module 22 and configured to initiate EAP IKEv2 authentication to the RADIUS server by using the authentication interface corresponding to the authentication mode.
  • the EAP_IKEv2 authentication is applied to the mobile terminal, and the problem that the existing authentication mechanism of the operator is low when the mobile terminal accesses the WLAN in the related art is solved, and the security and performance of the system are improved.
  • the sending module 24 is further configured to obtain user identity information through an interface provided by the operating system platform, and send the user identity information to the RADIUS server for EAP IKEv2 authentication through the WiFi wireless connection.
  • Preferred Embodiment 1 The preferred embodiment is used to select an authentication method (for example, a shared key or a digital certificate) on an Android mobile terminal to initiate EAP_IKEv2 authentication, and the identity information International Mobile Subscriber Identification (IMSI) After the carrier confirms the identity of the user, the EAP_IKEv2 authentication of the mobile terminal and the RADIUS server is performed. Specifically, the method includes the following steps: Step 1: Add a necessary authentication mode selection menu and a corresponding authentication interface in an application layer (app, simply referred to as app) layer and a framework layer, and initiate EAP IKEv2 authentication.
  • an authentication method for example, a shared key or a digital certificate
  • IMSI International Mobile Subscriber Identification
  • Step 2 The user identity information (IMSI) is obtained by calling the Subscriber Identity Module (SIM) card interface directly at the framwork layer through the interface provided by the Android platform.
  • Step 3 Perform protocol authentication by interacting with the RADIUS server on the Andriod platform mobile terminal.
  • the RADIUS server is always the initiator, and the Android platform acts as a feedback party to receive the data packets sent by the RADIUS, and then processes the data packets and then feeds them back to the server.
  • the user can initiate EAP IKEv2 on the mobile terminal of the Android TD platform and select the protocol authentication mode for authentication.
  • the operator can authorize the legitimate user to use the network securely and for the illegal user.
  • FIG. 3 is a schematic diagram of a process for accessing a WLAN through EAP_IKEv2 authentication according to a preferred embodiment 2 of the present invention. As shown in FIG. 3, the method includes the following steps: Step 4: S302, App layer will EAP The IKEv2 string IKEv2 is added to the existing one.
  • the authentication method of the Android EAP framework In this way, the corresponding EAP_IKEv2 authentication mode can be seen in the application that the mobile terminal activates the Access Point (AP) to access the WiFi.
  • Step S304 selecting an EAP_IKEv2 pull-down menu to select an authentication mode (for example, a shared key or a digital certificate) to initiate authentication.
  • Step S306 obtaining the SIM card identity authentication by using the SIM card interface function provided by the Android, and sending the identity ID to the RADIUS server for authentication through the WiFi.
  • the IKEv2 protocol completes the negotiation of the Security Association (SA) in two phases.
  • SA Security Association
  • the IKEv2 principal protocol authentication process can be completed in the following two phases: (1) Negotiating the IKE_SA security payload provides a secure channel for the communication entity to protect the phase (2) exchange; (2) Establishing through two messages CHILD_SA is used to protect the data transmission between the two parties. Step S310, after both the server and the Andorid mobile device are authenticated, the authentication process ends, and the server allocates an IP address to the Android mobile device, and the Android mobile device can securely access the WiFi wireless station i or the network through the address.
  • FIG. 3 is a schematic diagram of module interaction of the authentication method of the mobile terminal according to the preferred embodiment 3 of the present invention.
  • the parameters in the brackets are optional parameters, and the method includes the following steps.
  • Step S402 Open the AP, and search for the available wireless local area network by WiFi. After the search is complete, display the available AP access point, select the EAP IKEv2 certificate type on the user interface, and select the required authentication mode for authentication.
  • Step S404 the server sends the request identity authentication package, and after receiving the data packet, the mobile terminal sends the identity information (IMSI) from the card to the server in the form of a data packet, and the server searches for the local The database looks at whether the IMSI is registered locally. If yes, the process proceeds to step S406. If not, the authentication is terminated, the authentication fails, and access to the network is not allowed. Step S406, the server sends HDR, Sail, Kei, Ni data packets, and the mobile terminal responds
  • IMSI identity information
  • HDR is the ISAKMP header
  • Sail, Kei, Ni are the server-side security association payload, key exchange payload, and random number respectively
  • SAR1, Ker, and Nr are the security association payload, key exchange payload, and random number of the mobile terminal.
  • the server and the mobile terminal can negotiate a key algorithm according to these loads, complete the exchange of the random numbers Ni and Nr and the transmission of the shared key.
  • HDR is an IKE header (IKE Header), KE is a Key Exchange, Ni, Nr is a random number (Nonce), SA is a Security Association, and AUTH is an Authentication.
  • the TSi is a Traffic Selector Initiator, the TSr is a Traffic Selector Responder; and the SK is a Security Key.
  • the subscripts i and r respectively represent the server. End and mobile terminal. For example, Keil represents a server-side key exchange, and KErl represents a key exchange of a mobile terminal.
  • Step S408 After the key algorithm is consistent, the server calculates the master key from the random number and the Diffie-Hellman shared key according to the key algorithm, and further calculates other related keys.
  • the server side according to its own random number Ni, the received random number Nr of the mobile terminal and the transmission
  • the shared key is calculated according to the agreed key algorithm, and the master key has a certain algorithm to generate other related subkeys; and then the server and the mobile terminal respectively use the subkey and the shared key.
  • AUTH_I and AUTH_R are calculated by their own safety load and random number. It should be noted that AUTH_I and AUTH_R are authentication codes, which are values calculated according to the key, the shared key, its own security payload, and the random number, and are standard protocols.
  • the server may calculate the AUTH_I according to the subkey, the shared key, its own security payload, the random number, and the Kei key, and send it to the mobile terminal together with the HDR, etc.; after the mobile terminal receives the data packet, The AUTH_R is calculated again by the same algorithm, and the two AUTHs are compared. If the discrepancy is found, the connection is interrupted. If it is met, the data packets such as AUTH_R and HDR are sent to the server; the server further pens AUTH_R and AUTH_I. If yes, the server will consider the authentication successful, so that the terminal provides a network IP, and the IP user can securely access the wireless local area network.
  • the present embodiment is an application implementation of the EAP-IKEv2 certified wireless office i or the network in the Android TD mobile phone, and the EAP_IKEv2 authentication mode can also implement the function of binding with the SIM card, so that the operator is in the existing SIM card charging system. A small amount of 4 tampering can be used to implement billing and prevent unauthorized users from illegally using the network.
  • the embodiment of the present invention is designed for the Android smartphone to access the WLAN to achieve secure Internet access, that is, the EAP authentication and the IKEv2 authentication are combined, and the 40 pairs of Android platform mobile phones are processed accordingly. This can provide users with a safe online environment and provide operators with a good fee-based service.
  • the authentication method also provides digital certificate authentication, which is always initiated from the server, and can effectively prevent dictionary attacks, replay attacks, and the like.
  • digital certificate authentication which is always initiated from the server, and can effectively prevent dictionary attacks, replay attacks, and the like.
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices. Alternatively, they may be implemented by program code executable by the computing device, such that they may be stored in the storage device by the computing device and, in some cases, may be different from the order herein.
  • the steps shown or described are performed, or they are separately fabricated into individual integrated circuit modules, or a plurality of modules or steps are fabricated as a single integrated circuit module. Thus, the invention is not limited to any specific combination of hardware and software.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

移动终端的 ^人证方法及移动终端 技术领域 本发明涉及通信领域， 尤其涉及一种移动终端的认证方法及移动终端。 背景技术 随着手机安全越来越受各大厂商及运营商的关注， 认证技术成为无线局 域网络中最重要的月艮务之一。 扩展认证十办议 ( Extensible Authentication Protocol, 简称为 EAP)作为普遍使用的认证协议， 常被用于无线网络或点对 点连接中。 目前， 通常使用的认证方法多是证书交换和密码认证， 而 EAP_IKEv2 作为一个新的基于 EAP协议的认证和密钥分配协议，是将证书交换和密码认 证统一到一个协议中， 在使用中根据需要动态的调整所使用的认证方法， 可 以为运营商提供安全性的多种选择。 同时， EAP_IKEv2重用了成熟的互联网密钥交换版本 2 ( Internet Key Exchange Version2 , 简称为 ΙΚΕν2 ) 协议认证机制， 提供了相当程度的安全 保证。 例如， 支持互认证、 完整性保证、 保密保证、 重放攻击保护、 字典攻 击保护等， 为运营商和广大用户提供一个安全、 保密的网络环境。 但是， 在相关技术中， EAP_IKEv2协议认证机制只应用于互联网， 而运 营商迫切需要一种 4十对移动终端接入无线局 i或网 （ Wireless Local Area Network , 简称为 WLAN )时的安全认证方式， 来管理接入 WLAN的移动终 端。 发明内容 本发明的主要目的在于提供一种移动终端的认证方案， 以至少解决上述 的相关技术中移动终端接入 WLAN时运营商现有的认证方式安全性较低的 问题。 为了实现上述目的， 根据本发明的一个方面， 提供了一种移动终端的认 证方法。 才艮据本发明的移动终端的认证方法， 包括以下步 4聚： 移动终端确定所釆 用的 EAP_IKEv2的认证方式； 使用与该认证方式对应的认证接口向远程认 证拨号用户月艮务 RADIUS月艮务器发起 EAP IKEv2认证。 优选地， 使用与 EAP_IKEv2认证方式相应的认证接口向 RADIUS月艮务 器发起 EAP_IKEv2认证包括： 移动终端通过操作系统平台提供的接口获取 用户身份信息， 并通过 WiFi无线连接将用户身份信息发送给 RADIUS服务 器进行 EAP IKEv2认证。 优选地， 通过 WiFi无线连接将用户身份信息发送给 RADIUS月艮务器进 行 EAP_IKEv2认证包括： RADIUS服务器根据用户身份信息判断移动终端 是否已在本地注册； 在确定移动终端已在本地注册的情况下， RADIUS月艮务 器与移动终端进行密钥算法的协商， 并使用协商后的密钥算法进行认证。 优选地， RADIUS 艮务器与移动终端进行密钥算法的协商包括： RADIUS 服务器与移动终端协商出用于建立安全通道的 IKE_SA安全载荷。 优选地， 使用协商后的密钥算法进行认证包括： RADIUS服务器根据自 身的随机数、 接收到的来自移动终端的随机数及共享密钥按照协商后的密钥 算法计算出主密钥及与主密钥对应的子密钥。 优选地， RADIUS服务器根据自身的随机数、 接收到的来自移动终端的 随机数及共享密钥按照协商后的密钥算法计算出主密钥及与主密钥对应的子 密钥之后， 该方法还包括： RADIUS服务器根据子密钥、 共享密钥、 密钥交 换载荷 Kei密钥、 自身的安全载荷及随机数计算出 AUTH_I, 并发给移动终 端； 移动终端 居协商后的密钥算法计算出 AUTH_R, 并将 AUTH_R与接 收到的来自 RADIUS月艮务器的 AUTH_I进行比较； 在 AUTH_R与 AUTH_I 一致的情况下，移动终端将 AUTH R发送给 RADIUS月艮务器； 以及 RADIUS 月艮务器在确定 AUTH_I与接收到的来自移动终端的 AUTH_R—致的情况下， 判定 EAP_IKEv2认证成功。 优选地， 上述操作系统平台为安致 Android。 优选地， EAP_IKEv2认证方式为以下至少之一： 共享密钥、 数字证书。 为了实现上述目的， 才艮据本发明的另一方面， 还提供了一种移动终端。 才艮据本发明的移动终端， 包括： 确定模块， 设置为确定所釆用的 EAP_IKEv2的认证方式； 发送模块， 设置为使用与该认证方式对应的认证接 口向远程认证拨号用户月艮务 RADIUS月艮务器发起 EAP IKEv2认证。 优选地， 发送模块还设置为通过操作系统平台提供的接口获取用户身份 信息， 并通过 WiFi无线连接将用户身份信息发送给 RADIUS月艮务器进行 EAP IKEv2认证。 通过本发明， 釆用将 EAP_IKEv2认证应用于移动终端的方式， 解决了 相关技术中移动终端接入 WLAN时运营商现有的认证机制安全性较低的问 题， 从而提高了系统的安全性和性能。 附图说明 此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部 分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的 不当限定。 在附图中： 图 1是根据本发明实施例的移动终端的认证方法的流程图； 图 2是 居本发明实施例的移动终端的结构框图； 图 3是才艮据本发明优选实施例二的通过 EAP_IKEv2认证接入无线局域 网络的流程示意图； 图 4是才艮据本发明优选实施例三的移动终端的认证方法的模块交互示意 图。 具体实施方式 下文中将参考附图并结合实施例来详细说明本发明。 需要说明的是， 在 不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互组合。 才艮据本发明实施例， 提供了一种移动终端的认证方法。 图 1是 居本发 明实施例的移动终端的认证方法的流程图， 如图 1所示， 该方法包括以下步 骤： 步 4聚 S 102 , 移动终端确定所釆用的 EAP_IKEv2的认证方式； 步骤 S 104,使用与该认证方式对应的认证接口向远程认证拨号用户服务 ( Remote Authentication Dial In User Service, 简称为 RADIUS )月艮务器发起 EAP IKEv2认证。 通过上述步骤， 釆用将 ΕΑΡ_ΙΚΕν2认证应用于移动终端的方式， 解决 了相关技术中移动终端接入 WLAN时运营商现有的认证机制安全性较低的 问题， 从而提高了系统的安全性和性能。 优选地， 在步骤 S 104中， 移动终端可以通过操作系统平台提供的接口 获取用户身份信息， 并通过 WiFi(Wireless Fidelity, 即 802.11b标准）无线连 接将用户身份信息发送给 RADIUS服务器进行 EAP IKEv2认证。 该方法可 以提高系统的有效性。 优选地， 通过 WiFi无线连接将用户身份信息发送给 RADIUS月艮务器进 行 EAP_IKEv2认证包括： RADIUS服务器根据用户身份信息判断移动终端 是否已在本地注册； 在确定移动终端已在本地注册的情况下， RADIUS服务 器与移动终端进行密钥算法的协商， 并使用协商后的密钥算法进行认证。 该 方法简单、 实用， 可操作性强。 优选地， RADIUS 艮务器与移动终端进行密钥算法的协商包括： RADIUS 服务器与移动终端协商出用于建立安全通道的 IKE_SA安全载荷。 该方法可 以保证系统的安全性。 优选地， 使用协商后的密钥算法进行认证包括： RADIUS服务器可以根 据自身的随机数、 接收到的来自移动终端的随机数及共享密钥按照协商后的 密钥算法计算出主密钥及与主密钥对应的子密钥。 该方法实现简单、 可操作 性强。 优选地， RADIUS服务器根据自身的随机数、 接收到的来自移动终端的 随机数及共享密钥按照协商后的密钥算法计算出主密钥及与主密钥对应的子 密钥之后， RADIUS服务器可以根据子密钥、 共享密钥、 密钥交换载荷 Kei 密钥、 自身的安全载荷及随机数计算出 AUTH_I, 并发给移动终端； 移动终 端可以 艮据协商后的密钥算法计算出 AUTH_R, 并将 AUTH_R与接收到的 来自 RADIUS月艮务器的 AUTH_I进行比较； 在 AUTH_R与 AUTH_I—致的 情况下， 移动终端将 AUTH_R发送给 RADIUS服务器； 以及 RADIUS服务 器在确定 AUTH_I与接收到的来自移动终端的 AUTH_R—致的情况下， 判 定 EAP_IKEv2认证成功。 该方法通过移动终端和 RADIUS月艮务器的相互-险 证， 提高了系统的安全性。 优选地，上述操作系统平台可以为安致 Android。该方法可以增强 Android 移动终端传输数据的安全性， 提高了系统的灵活性和适应性。 优选地， EAP_IKEv2认证方式为以下至少之一： 共享密钥、 数字证书。 该方法实现简单、 可操作性强。 需要说明的是， 本发明实施例可以适用于基于 Android平台的所有移动 终端。 对应于上述方法， 本发明实施例还提供了一种移动终端， 图 2是才艮据本 发明实施例的移动终端的结构框图， 如图 2所示， 该移动终端 20包括： 确 定模块 22 , 设置为确定所釆用的 EAP_IKEv2的认证方式； 发送模块 24 , 耦 合至确定模块 22 ,设置为使用与该认证方式对应的认证接口向 RADIUS服务 器发起 EAP IKEv2认证。 通过上述装置， 釆用将 EAP_IKEv2认证应用于移动终端的方式， 解决 了相关技术中移动终端接入 WLAN时运营商现有的认证机制安全性较低的 问题， 提高了系统的安全性和性能。 优选地， 发送模块 24还用于通过操作系统平台提供的接口获取用户身 份信息， 并通过 WiFi无线连接将用户身份信息发送给 RADIUS服务器进行 EAP IKEv2认证。 下面结合优选实施例和附图对上述实施例的实现过程进行详细说明。 优选实施例一 本优选实施例釆用在 Android移动终端上选择认证方式 （例如， 共享密 钥或数字证书）发起 EAP_IKEv2认证， 经过身份信息国际移动用户识别码 ( International Mobile Subscriber Identification, 简称为 IMSI ) 交换， 运营商 对用户身份确认后，再进行移动终端与 RADIUS月艮务器的 EAP_IKEv2认证。 具体地， 该方法包括如下步骤： 步骤 1 , 在应用层 （ Application, 可以简称为 app )层和 framework层增 加必要的认证方式选择菜单及相应认证接口， 发起 EAP IKEv2认证。 步骤 2 , 通过 Android平台提供的接口， 直接在 framwork层调用用户识 别模块 （ Subscriber Identity Module , 简称为 SIM )卡接口获取用户身份信息 ( IMSI )。 步骤 3 , 通过 Andriod平台移动终端与 RADIUS 艮务器交互的方式进行 协议认证。 RADIUS服务器总是发起方， 而 Android平台作为反馈方来接收 RADIUS发来的数据包， 进行处理后再反馈给服务器。 可见， 通过本发明实施例用户可以在 Android TD平台移动终端上发起 EAP IKEv2并选择协议认证方式进行认证， 通过设置 RADIUS月艮务器， 运 营商可以授权合法用户安全的使用网络，并对非法用户进行屏蔽其非法操作。 同时可以启用计费月艮务， 对用户使用网络进行计费， 使得运营商可以通过上 述安全的认证协议来管理无线局域网络的收费月艮务。 优选实施例二 图 3是才艮据本发明优选实施例二的通过 EAP_IKEv2认证接入无线局域 网络的流程示意图， 如图 3所示， 该方法包括如下步骤： 步 4聚 S302 , app层将 EAP IKEv2对应的字符串 IKEv2加入现有的
Android EAP框架的认证方法中。这样，在移动终端启动接入点（ Access Point, 简称为 AP )接入 WiFi的应用中就可以看到对应的 EAP_IKEv2认证方式。 步骤 S304, 选择 EAP_IKEv2下拉菜单选择认证方式 （例如， 共享密钥 或数字证书） 发起认证。 步骤 S306 , 通过 Android提供的 SIM卡接口函数调用获取 SIM卡身份 认证， 并通过 WiFi将身份 ID发给 RADIUS月艮务器进行认证。 步骤 S308, IKEv2协议两阶段完成安全关联（ Security Association, 简 称为 SA ) 的协商。 例如， IKEv2主体协议认证过程可以分如下两阶段完成： ( 1 )协商出 IKE_SA安全载荷为通讯实体提供一条安全的通道， 用于保护第 ( 2 ) 阶段的交换； （2 ) 通过 2条消息建立起 CHILD_SA用于保护通讯双方 的数据传输。 步骤 S310, 当服务器和 Andorid移动设备双方都通过认证后， 认证过程 结束， 服务器为 Android移动设备分配一个 IP地址， 通过此地址， Android 移动设备可以安全的接入 WiFi无线局 i或网络。 可见， 本实施例中的 Android TD移动终端是通过 EAP IKEv2协议认证 接入 WiFi网络， 即， 基于 Android智能手机解决了 EAP-IKEv2认证无线局 域网络在 Android TD手机中的应用， 具备一定的通用性。 优选实施例三 图 4是才艮据本发明优选实施例三的移动终端的认证方法的模块交互示意 图， 如图 4所示， 其中， 中括号中的参数为可选参数， 该方法包括如下步骤： 步骤 S402, 打开 AP, WiFi搜索可用的无线局域网， 搜索完毕后显示可 用的 AP接入点， 在用户界面选择 EAP IKEv2证书类型， 选中需要的认证方 式进行认证。 步骤 S404, 服务端发送请求身份认证包， 手机终端接收到数据包后， 通 过 Android提供的 SIM卡接口， 从卡上读取身份信息（ IMSI )装载成数据包 的形式发给服务器， 服务器查找本地的数据库看 IMSI是否在本地进行注册 过， 若是， 则进入步骤 S406, 若不是， 结束认证， 认证失败， 不允许接入网 络。 步骤 S406, 月艮务器端发送 HDR、 Sail, Kei、 Ni数据包， 手机终端回应
HDR、 SARI, Ker、 Nr协商密钥算法， 交换随机数， 及一次 Diffie-Hellman ( Whit Diffie和 Martin Hellman共同提出的）交换。 其中， HDR是 ISAKMP 报头， Sail、 Kei、 Ni分别是服务器端的安全关联载荷、 密钥交换载荷、 随机 数； 而 SAR1、 Ker、 Nr是移动终端的安全关联载荷、 密钥交换载荷及随机数。 在具体实施过程中， 月艮务器和移动终端可以才艮据这些载荷协商出一个密钥算 法， 完成随机数 Ni和 Nr的交换及共享密钥的传输。 需要说明的是， HDR为 IKE数据头（ IKE Header )、 KE为密钥交换 ( Key Exchange ), Ni、 Nr为随机数 (Nonce)、 SA为安全关联 ( Security Association ), AUTH为认证 ( Authentication ), TSi为交换选择发起者 （ Traffic Selector Initiator ), TSr为交换选择应答者（ Traffic Selector Responder；)、 SK为安全密 钥 （ Security Key ), 其中， 下标 i、 r分别表示月艮务器器端和移动终端。 例如， Keil表示服务器端密钥交换， KErl表示移动终端的密钥交换。 步骤 S408, 密钥算法协商一致后， 月艮务器才艮据密钥算法， 从随机数、 Diffie-Hellman共享密钥中计算出主密钥， 并进一步计算出其它相关密钥。 例 如， 服务器端根据自身的随机数 Ni、 接收到的移动终端的随机数 Nr及传输 过来的共享密钥按照协商一致的密钥算法计算出主密钥 SK, 主密钥 居一 定的算法生成其它相关的子密钥；再由服务器端和移动终端分别根据子密钥、 共享密钥、 自身的安全载荷、 随机数计算出 AUTH_I和 AUTH_R。 需要说明的是， 这里的 AUTH_I和 AUTH_R为鉴权码， 是根据密钥、 共享密钥、 自身的安全载荷、 随机数计算出来的一个值， 是标准协议。 在具体实施过程中， 服务器端可以根据子密钥、 共享密钥、 自身的安全 载荷、 随机数及 Kei密钥计算出 AUTH_I将其和 HDR等一起发送给移动终 端； 移动终端受到数据包后， 再次以同样的算法算出 AUTH_R,并对这两个 AUTH进行对比，如果发现不符，则中断本次连接，如果符合，则将 AUTH_R 和 HDR等数据包发给服务器； 服务器进一步将 AUTH_R和 AUTH_I进行笔 对， 如果相同， 则服务器会认为认证成功， 从而为本终端提供一个网络 IP, 通过此 IP用户就可以安全的接入无线局域网络了。 可见， 本实施例是 EAP-IKEv2认证无线局 i或网络在 Android TD手机中 的应用实现， EAP_IKEv2认证方式同时可以实现与 SIM卡绑定的功能， 使 得运营商在现有的 SIM卡计费系统上故少量 4爹改就可以实现计费，并防止未 授权的用户非法使用网络。 综上所述，本发明实施例是针对 Android智能手机接入 WLAN实现安全 上网而设计的， 即， 将 EAP认证和 IKEv2认证结合在一起， 4十对 Android 平台手机作了相应处理。 这样可以为用户提供安全的上网环境， 同时为运营 商提供了良好的收费服务。 并且， 该认证方式还提供了数字证书认证， 总是 从服务器发起， 可以有效防止字典攻击， 重放攻击等。 显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可 以用通用的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布 在多个计算装置所组成的网络上， 可选地， 它们可以用计算装置可执行的程 序代码来实现， 从而， 可以将它们存储在存储装置中由计算装置来执行， 并 且在某些情况下， 可以以不同于此处的顺序执行所示出或描述的步骤， 或者 将它们分别制作成各个集成电路模块， 或者将它们中的多个模块或步骤制作 成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬件和软件 结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本 领域的技术人员来说， 本发明可以有各种更改和变化。 凡在本发明的^"神和 原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护 范围之内。

Claims

权 利 要 求 书
1. 一种移动终端的认证方法， 包括：
移动终端确定所釆用的 EAP_IKEv2的认证方式； 使用与所述认证方式对应的认证接口向远程认证拨号用户服务 RADIUS月艮务器发起 EAP IKEv2认证。
2. 才艮据权利要求 1所述的方法， 其中， 使用与所述 EAP_IKEv2认证方式 相应的认证接口向所述 RADIUS月艮务器发起所述 EAP IKEv2认证包 括：
所述移动终端通过操作系统平台提供的接口获取用户身份信息， 并通过 WiFi无线连接将所述用户身份信息发送给所述 RADIUS服务 器进行所述 EAP_IKEv2认证。
3. 居权利要求 2所述的方法， 其中， 通过所述 WiFi无线连接将所述用 户身份信息发送给所述 RADIUS服务器进行所述 EAP IKEv2认证包 括：
所述 RADIUS月艮务器才艮据所述用户身份信息判断所述移动终端是 否已在本地注册；
在确定所述移动终端已在本地注册的情况下， 所述 RADIUS 艮务 器与所述移动终端进行密钥算法的协商， 并使用协商后的密钥算法进 行认证。
4. 根据权利要求 3所述的方法， 其中， 所述 RADIUS服务器与所述移动 终端进行密钥算法的协商包括：
所述 RADIUS月艮务器与所述移动终端协商出用于建立安全通道的 IKE SA安全载荷。
5. 根据权利要求 3所述的方法， 其中， 使用协商后的密钥算法进行认证 包括：
所述 RADIUS服务器根据自身的随机数、 接收到的来自所述移动 终端的随机数及共享密钥按照所述协商后的密钥算法计算出主密钥及 与所述主密钥对应的子密钥。
6. 根据权利要求 5所述的方法， 其中， 所述 RADIUS服务器根据自身的 随机数、 接收到的来自所述移动终端的随机数及共享密钥按照所述协 商后的密钥算法计算出所述主密钥及与所述主密钥对应的子密钥之 后， 还包括：
所述 RADIUS服务器根据所述子密钥、 所述共享密钥、 密钥交换 载荷 Kei密钥、 自身的安全载荷及随机数计算出 AUTH_I, 并发给所 述移动终端；
所述移动终端 -据所述协商后的密钥算法计算出 AUTH_R, 并将 所述 AUTH_R与接收到的来自所述 RADIUS 艮务器的所述 AUTH I 进行比较；
在所述 AUTH_R与所述 AUTH_I—致的情况下，所述移动终端将 所述 AUTH_R发送给所述 RADIUS服务器； 以及
所述 RADIUS 艮务器在确定所述 AUTH I与接收到的来自所述移 动终端的所述 AUTH_R—致的情况下， 判定所述 EAP_IKEv2认证成 功。
7. 根据权利要求 2至 6中任一项所述的方法， 其中， 所述操作系统平台 为安致 Android„
8. 才艮据权利要求 1所述的方法， 其中， 所述 EAP_IKEv2认证方式为以下 至少之一： 共享密钥、 数字证书。
9. 一种移动终端， 包括：
确定模块， 设置为确定所釆用的 EAP_IKEv2的认证方式； 发送模块， 设置为使用与所述认证方式对应的认证接口向远程认 证拨号用户月艮务 RADIUS月艮务器发起 EAP IKEv2认证。
10. 根据权利要求 9所述的移动终端， 其中， 发送模块还设置为通过操作 系统平台提供的接口获取用户身份信息，并通过 WiFi无线连接将所述 用户身份信息发送给所述 RADIUS服务器进行所述 EAP IKEv2认证。
PCT/CN2011/071575 2010-11-22 2011-03-07 移动终端的认证方法及移动终端 WO2012068801A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010555588.9 2010-11-22
CN2010105555889A CN102014385A (zh) 2010-11-22 2010-11-22 移动终端的认证方法及移动终端

Publications (1)

Publication Number Publication Date
WO2012068801A1 true WO2012068801A1 (zh) 2012-05-31

Family

ID=43844354

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/071575 WO2012068801A1 (zh) 2010-11-22 2011-03-07 移动终端的认证方法及移动终端

Country Status (2)

Country Link
CN (1) CN102014385A (zh)
WO (1) WO2012068801A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104683343A (zh) * 2015-03-03 2015-06-03 中山大学 一种终端快速登录WiFi热点的方法

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5987707B2 (ja) * 2013-01-25 2016-09-07 ソニー株式会社 端末装置、プログラム及び通信システム
CN104243144B (zh) * 2013-06-08 2018-03-13 科大国盾量子技术股份有限公司 一种基于Android智能移动终端的通信密钥分配方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101212465A (zh) * 2006-12-26 2008-07-02 中兴通讯股份有限公司 因特网密钥交换协议第二版证书有效性验证的方法
CN101252770A (zh) * 2007-12-27 2008-08-27 华为技术有限公司 Ims的终端接入认证的方法、通信系统及相关设备
WO2009087006A1 (en) * 2008-01-09 2009-07-16 Nokia Siemens Networks Oy Mechanism for authentication and authorization for network and service access
CN101542973A (zh) * 2007-02-09 2009-09-23 捷讯研究有限公司 使用eap对对等设备进行认证的方法和系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101212296B (zh) * 2006-12-28 2010-05-26 中国移动通信集团公司 基于证书及sim的wlan接入认证方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101212465A (zh) * 2006-12-26 2008-07-02 中兴通讯股份有限公司 因特网密钥交换协议第二版证书有效性验证的方法
CN101542973A (zh) * 2007-02-09 2009-09-23 捷讯研究有限公司 使用eap对对等设备进行认证的方法和系统
CN101252770A (zh) * 2007-12-27 2008-08-27 华为技术有限公司 Ims的终端接入认证的方法、通信系统及相关设备
WO2009087006A1 (en) * 2008-01-09 2009-07-16 Nokia Siemens Networks Oy Mechanism for authentication and authorization for network and service access

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
WANG YE-CHENG ET AL., RESEARCH AND SECURITY ANALYSIS ON EAP_IKEV2, December 2008 (2008-12-01) *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104683343A (zh) * 2015-03-03 2015-06-03 中山大学 一种终端快速登录WiFi热点的方法
CN104683343B (zh) * 2015-03-03 2018-03-16 中山大学 一种终端快速登录WiFi热点的方法

Also Published As

Publication number Publication date
CN102014385A (zh) 2011-04-13

Similar Documents

Publication Publication Date Title
CN107277061B (zh) 基于iot设备的端云安全通信方法
US7707412B2 (en) Linked authentication protocols
CN107409305B (zh) 通信设备与网络设备之间的通信安全设置
CN107005927B (zh) 用户设备ue的接入方法、设备及系统
JP4663011B2 (ja) 通信コネクションを保護するために少なくとも１つの第１の通信加入者と少なくとも１つの第２の通信加入者との間で秘密鍵を一致させるための方法
CN101371550B (zh) 自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和系统
CN105828332B (zh) 一种无线局域网认证机制的改进方法
KR101582502B1 (ko) 인증을 위한 시스템 및 방법
KR20060049882A (ko) 무선 근거리 네트워크 관계용 디바이스 및 방법과, 이에대응하는 제품
CN101562814A (zh) 一种第三代网络的接入方法及系统
WO2010012203A1 (zh) 鉴权方法、重认证方法和通信装置
JP7470671B2 (ja) コアネットワークへの非３ｇｐｐ装置アクセス
WO2009074050A1 (fr) Procede, systeme et appareil d'authentification de dispositif de point d'acces
WO2009152749A1 (zh) 一种绑定认证的方法、系统和装置
WO2010078492A2 (en) Authentication method selection using a home enhanced node b profile
KR20080086127A (ko) 이동통신 네트워크 및 상기 이동통신 네트워크에서 이동 노드의 인증을 수행하는 방법 및 장치
CN112640387B (zh) 用于无线连接的非si设备、si设备、方法和计算机可读介质和/或微处理器可执行介质
CN102223634A (zh) 一种用户终端接入互联网方式的控制方法及装置
KR101718096B1 (ko) 무선통신 시스템에서 인증방법 및 시스템
Matos et al. Secure hotspot authentication through a near field communication side-channel
CN111615837B (zh) 数据传输方法、相关设备以及系统
EP3649760A1 (en) Secure communications using network access identity
CN103096317A (zh) 一种基于共享加密数据的双向鉴权方法及系统
WO2012068801A1 (zh) 移动终端的认证方法及移动终端
CN104168566A (zh) 一种接入网络的方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11843886

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11843886

Country of ref document: EP

Kind code of ref document: A1