WO2017185450A1 - 终端的认证方法及系统 - Google Patents

终端的认证方法及系统 Download PDF

Info

Publication number
WO2017185450A1
WO2017185450A1 PCT/CN2016/084058 CN2016084058W WO2017185450A1 WO 2017185450 A1 WO2017185450 A1 WO 2017185450A1 CN 2016084058 W CN2016084058 W CN 2016084058W WO 2017185450 A1 WO2017185450 A1 WO 2017185450A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
key
user
authentication
registration
Prior art date
Application number
PCT/CN2016/084058
Other languages
English (en)
French (fr)
Inventor
汤镇辉
Original Assignee
宇龙计算机通信科技(深圳)有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 宇龙计算机通信科技(深圳)有限公司 filed Critical 宇龙计算机通信科技(深圳)有限公司
Publication of WO2017185450A1 publication Critical patent/WO2017185450A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication

Definitions

  • the present invention relates to the field of network security technologies, and in particular, to a terminal authentication method and system.
  • M2M can represent the connection and communication between Machine to Machine, Man to Machine, Machine to Man, Mobile to Machine. It covers all the technologies and means to achieve a communication connection between people, machines and systems.
  • the M2M service provides a complete solution for data collection, transmission, processing and business management for customers in a variety of industries.
  • the focus of M2M is on machine-to-machine wireless communication. There are three ways: machine-to-machine, machine-to-mobile (such as user remote monitoring), and mobile-to-machine (such as user remote control).
  • the Wireless Machine to Machine Protocol is an application layer protocol designed to implement the data communication process between the M2M terminal and the M2M platform, between the M2M terminal, and between the M2M platform and the application platform in the M2M service.
  • China Mobile's protocol for M2M services which provides basic functions for end-to-end wireless machine communication, terminal management and business security. According to the WMMP regulations, M2M terminals can only use M2M services after they are registered and authenticated on the M2M platform.
  • the solution for identity authentication between existing machines and machines is basically based on a public key cryptosystem.
  • the public key cryptosystem includes: each M2M terminal is authenticated from a trusted third party digital certificate.
  • the Certificate Authority (CA) obtains the corresponding identity certificate and the corresponding private key, and obtains the CA certificate for verifying the corresponding identity certificate; when the M2M terminal accesses the network, it performs verification by sending the respective identity certificate.
  • the identity of both parties; access to the network is only possible after the certification is passed.
  • the public key cryptosystem has the disadvantages of complicated encryption operation and greatly reduced performance and efficiency when encrypting big data.
  • a large number of user authentication consumes network resources and computing resources of signaling interaction.
  • the public key cryptosystem relies on trusted third-party management keys, which poses significant challenges to the security of online transactions under malicious threats such as viruses, hackers, phishing, and phishing scams.
  • a terminal authentication method which does not require a third party during authentication, reduces the occupation of network resources and computing resources, and can solve the problem of online transaction security of user terminals.
  • a terminal authentication method includes:
  • the first terminal When the first terminal authenticates the legal identity of the second terminal, the first terminal transmits a second authentication request to the second terminal, so that the second terminal calculates according to the second authentication request. And second verification information, and performing authentication on the first terminal according to the second verification information.
  • the first authentication request transmitted by the second terminal includes a username, an authentication key, and a timestamp of the second terminal; and the first verification information includes a first verification key.
  • the first verification key is calculated according to the received user name and time stamp of the second terminal by using a server key of the registration server and an encryption algorithm.
  • performing authentication on the second terminal according to the first verification information includes:
  • the method before the first authentication information is calculated according to the first authentication request, and the authentication of the second terminal is performed according to the first verification information, the method further includes:
  • the first verification information is calculated when a difference between a timestamp when the first authentication request transmitted by the second terminal is received and a timestamp transmitted by the second terminal is less than a preset effective time interval;
  • the authenticating method further includes performing registration on the first terminal, and performing, by the first terminal, registration:
  • the user key is a combination of one or more of the user's biometric keys, including a fingerprint key, an iris key, a voice key, and a face key.
  • the secure storage area is a secure storage area of the embedded SIM card of the first terminal.
  • the user name is an identity identifier provided by the embedded SIM card.
  • the authentication method further includes: performing, at the first terminal, The user key is modified, and the user key modification includes:
  • the user When it is verified that the current user key input by the user is correct, the user is prompted to input a new user key to the first terminal.
  • the user key modification further includes:
  • a terminal authentication system which does not require a third party during authentication, reduces the occupation of network resources and computing resources, and can solve the problem of online transaction security of user terminals.
  • An authentication system for a terminal comprising:
  • Authentication module for:
  • the first authentication request transmitted by the second terminal includes a username, an authentication key, and a timestamp of the second terminal; and the first verification information includes a first verification key.
  • the first verification key is calculated according to the received user name and time stamp of the second terminal by using a server key of the registration server and an encryption algorithm.
  • performing authentication on the second terminal according to the first verification information includes:
  • the authentication module is further configured to:
  • the first verification information is calculated when a difference between a timestamp when the first authentication request transmitted by the second terminal is received and a timestamp transmitted by the second terminal is less than a preset effective time interval;
  • the two-way authentication system further includes:
  • a registration module configured to submit a registration request to the registration server, and receive registration related information transmitted by the registration server according to the registration request, and store the registration related information in a secure storage area of the first terminal, where :
  • the registration request includes a username of the first terminal and an encrypted user key
  • the registration related information includes a secondary encrypted user key, a registration key of the first terminal, an encrypted server key, and an encryption algorithm used by the registration server, wherein the secondary encrypted user
  • the key is obtained by the registration server using the encryption algorithm to perform the second encryption on the user key, where the registration key is the user name and the user key of the first terminal according to the first terminal.
  • the encrypted server key is calculated using the encryption algorithm.
  • the user key is a combination of one or more of the user's biometric keys, including a fingerprint key, an iris key, a voice key, and a face key.
  • the secure storage area is a secure storage area of the embedded SIM card of the first terminal.
  • the user name is an identity identifier provided by the embedded SIM card.
  • the authentication system further includes:
  • a key modification module configured to prompt the user to input a current user key of the first terminal when receiving the request for modifying the user key, and prompt the user to input when the current user key input by the user is correct New user key.
  • the key modification module is further configured to:
  • the key and the new registration key are in the secure storage area of the first terminal, and prompt the user that the new user key is successfully set.
  • the terminal when the terminal registers with the registration server, the terminal sends the user name and the encrypted user key to the registration server instead of directly transmitting the user key to the registration server. Therefore, when there is an internal attacker in the registration server, the user key cannot be obtained to ensure the security of the user key. Furthermore, the method of the present invention uses a timestamp mechanism to prevent replay attacks. Furthermore, in the method of the present invention, even if the key of the registration server is leaked, the information of any user key is secure because the registration server itself does not store any user key information. Further, when performing the bidirectional authentication of the M2M terminal, the method of the present invention does not require the registration server to participate, and releases the computing resources of the registration server.
  • FIG. 1 is a flow chart showing a method of a registration phase in a preferred embodiment of an authentication method for an M2M terminal of the present invention.
  • FIG. 2 is a diagram showing an example of a registration phase in a preferred embodiment of the authentication method of the M2M terminal of the present invention.
  • FIG. 3 and FIG. 4 are flowcharts showing a method of a two-way authentication phase in a preferred embodiment of the authentication method of the terminal of the present invention.
  • FIG. 5 is a diagram showing an example of a two-way authentication phase in a preferred embodiment of an authentication method for a terminal of the present invention.
  • FIG. 6 is a diagram showing an example of a two-way authentication phase in a preferred embodiment of another authentication method of the terminal of the present invention.
  • FIG. 7 is a flow chart showing a method of a key modification phase in a preferred embodiment of the authentication method of the terminal of the present invention.
  • FIG. 8 is a diagram showing an example of a key modification phase in a preferred embodiment of the authentication method of the terminal of the present invention.
  • FIG. 9 is a schematic diagram of an application environment of a preferred embodiment of an authentication system for a terminal of the present invention.
  • FIG. 10 is a hardware architecture diagram of the terminal of the present invention.
  • FIG. 11 is a functional block diagram of a preferred embodiment of the authentication system of the terminal of the present invention.
  • the terminal described is an M2M terminal.
  • the M2M can represent the connection and communication between Machine to Machine, Man to Machine, Machine to Man, Mobile to Machine, and it covers All technologies and means to achieve communication connections between people, machines, and systems.
  • An M2M terminal may be a connection and communication between the first terminal and the second terminal, and the words "first", "second” and the like (if present) are used to denote names, and do not represent any particular order.
  • FIG. 1 is a flowchart of a method in a registration phase in a preferred embodiment of the authentication method of the terminal of the present invention.
  • the order of execution in the flowchart shown in the figure may vary depending on various requirements, and some may be omitted.
  • the M2M terminal transmits the username of the M2M terminal to the registration server and the encrypted use. User key.
  • the user name may be an identity identifier provided by an eSIM card embedded in the M2M terminal, such as a mobile phone number, or may be a user-defined user name, but the user name must be first The mobile phone number is bound.
  • the user key may be a combination of one or more of the user's biometric keys, and the commonly used biometric key includes a fingerprint key, an iris key, a voice key, a face key, and the like.
  • the registration server After receiving the username and the user key transmitted by the M2M terminal, the registration server encrypts the user key for a second time by using an encryption algorithm.
  • the encryption algorithm may be a hash algorithm.
  • the registration server calculates the registration key of the M2M terminal by using the encryption algorithm according to the user name and the user key transmitted by the M2M terminal, and further using the encrypted server key of the registration server. .
  • the registration server transmits the calculated secondary encrypted user key, the registration key of the M2M terminal, the encrypted server key, and the encryption algorithm used above to the M2M terminal, and stores the
  • the secure storage area of the M2M terminal is, for example, stored in a secure storage area of an eSIM card embedded in the M2M terminal.
  • the application for legal registration is submitted to the registration server.
  • the user can select the user name UID (User ID) and the user key BK (Biosignature key), and then send the UID and the encrypted BK to the registration server through a secure channel.
  • the registration server calculates information such as a registration key of the M2M terminal in response to the user request.
  • the registration server sends information such as a registration key to the secure storage area of the M2M terminal through a secure channel.
  • the user in the stage in which the user of the M2M terminal performs registration with the registration server, the user sends the UID of the user and the encrypted BK to the registration server instead of directly transmitting the user key BK to the registration server. Therefore, when there is an internal attacker in the registration server, it cannot obtain the user key BK to ensure the security of the user key.
  • UID represents the user name
  • BK represents the user biometric key
  • Hash () represents the hash function
  • RSK Indicates the registration server key
  • ⁇ indicates the encryption and decryption operation (such as XOR operation).
  • the registration of the M2M terminal user UIDi includes:
  • the registration server uses the hash function and the user name UIDi of the user, the encrypted user key hash (BKi), and the encrypted registration server key hash (RSK), and these parameters calculate the registration secret of the user UIDi.
  • Key hash value: HRSKI Hash(UIDi ⁇ Hash(RSK)) ⁇ Hash(BKi);
  • the registration server will store and decrypt information related to the user key hash value and the user registration key hash value, including [HHBKi, HRSKI, UIDi, Hash (RSK), Hash ()] stored in User UIDi's eSIM card is in the secure storage area.
  • the registration of the M2M terminal user UIDj includes:
  • the registration server will store the information related to encryption and decryption in the process of calculating the user key hash value and the user registration key hash value, including [HHBKj, HRSKj, UIDj, Hash (RSK), Hash()].
  • the user UIDj is in the secure storage area of the eSIM card.
  • each M2M terminal needs to independently authenticate and transmit data with the registration server, and then the registration server will face the situation that it cannot handle such a large user request, thereby seriously reducing the service of the M2M service. quality.
  • the authentication only needs to be performed between two or more M2M terminals.
  • the authentication process does not require the registration of the registration server. For details, refer to the descriptions of FIG. 3 to FIG. 5 below.
  • FIG. 3 and FIG. 4 it is a flowchart of a method in an authentication phase in a preferred embodiment of the authentication method of the M2M terminal of the present invention.
  • the order of execution in the flowchart shown in the figure may vary depending on various requirements, and some may be omitted.
  • the first terminal calculates the authentication secret of the first terminal by using an encryption algorithm stored in the secure storage area according to the registration key, the encrypted user key, and the current timestamp Tci stored in the secure storage area.
  • Key SKi is a secret value stored in the secure storage area.
  • the stored registration key and encryption algorithm are transmitted by the registration server during the registration phase.
  • the first terminal transmits its username, the authentication key SKi, and the timestamp Tci to the second terminal.
  • the second terminal acquires the current timestamp Tcj when receiving the username, the authentication key SKi, and the timestamp Tci transmitted by the first terminal.
  • the second terminal determines whether Tcj-Tci ⁇ ⁇ T.
  • the ⁇ T is a preset effective time interval.
  • the second terminal calculates a verification key SKij according to the received user name of the first terminal and the timestamp Tci, and uses the stored server key of the registration server.
  • the second terminal receives the authentication of the first terminal.
  • the second terminal calculates the authentication secret of the second terminal by using an encryption algorithm stored in the secure storage area according to the registration key, the encrypted user key, and the current timestamp Tcj stored in the secure storage area.
  • Key SKj is a secret key stored in the secure storage area according to the registration key, the encrypted user key, and the current timestamp Tcj stored in the secure storage area.
  • the stored registration key and encryption algorithm are transmitted by the registration server during the registration phase.
  • the second terminal transmits its username, the authentication key SKj, and the timestamp Tcj. Give the first terminal.
  • the first terminal acquires a current timestamp Tcji when receiving the username, the authentication key SKj, and the timestamp Tcj transmitted by the second terminal.
  • the first terminal determines whether Tcji-Tcj ⁇ T.
  • the ⁇ T is a preset effective time interval.
  • the first terminal calculates a verification key SKji according to the received user name of the second terminal and the timestamp Tcj, and uses the stored server key of the registration server.
  • first and second terminals described in the foregoing embodiments are only exemplary terminals of the M2M terminal, and roles of the two terminals may be interchanged, and the process performed at the second terminal is also applicable to the foregoing.
  • a terminal and the processes performed at the first terminal are equally applicable to the second terminal.
  • the two-way authentication operation includes:
  • the first terminal receives the first authentication request sent by the second terminal, calculates first authentication information according to the first authentication request, and performs authentication on the second terminal according to the first verification information;
  • the first terminal when the first terminal authenticates the legal identity of the second terminal, the first terminal sends a second authentication request to the second terminal, so that the second terminal is configured according to the second authentication. Requesting to calculate second verification information, and performing authentication on the first terminal according to the second verification information.
  • the two-way authentication operation only takes place between the M2M terminals for identity authentication, and does not require the participation of the registration server.
  • Tci represents the current timestamp of the M2M terminal user UIDi
  • Tcj represents the current timestamp of the M2M terminal user UIDj
  • ⁇ T represents the effective time interval.
  • User UIDi sends an authentication request message [UIDi, SKi, Tci] to all users in the M2M service system;
  • the user UIDi sends a request message to the user UIDj, and the user UIDj receives the user UIDi transmission request message at Tcj.
  • the user UIDj first verifies the legality of the request time, that is, whether the judgment (Tcj - Tci) is less than ⁇ T. If (Tcj - Tci) ⁇ ⁇ T, the user UIDj accepts the authentication request, otherwise the authentication request is rejected.
  • the user UIDi first verifies the validity of the request time and determines whether (Tcji - Tcj) is less than ⁇ T. If (Tcji - Tcj) ⁇ ⁇ T, the user UIDi accepts the authentication request, otherwise the authentication request is rejected.
  • the above embodiment describes the use of the user biometric as a user key to perform registration and authentication of the terminal. It should be understandable that the user's biometric key sometimes needs to be modified, for example, the user wants The user key is changed from the fingerprint key to the iris key, or the user key needs to be modified from the biometrics of user A to the biometrics of user B. The following describes how to perform the modification of the user key.
  • FIG. 7 it is a flowchart of a method for a key modification phase in a preferred embodiment of the bidirectional authentication method of the M2M terminal of the present invention.
  • the order of execution in the flowchart shown in the figure may vary depending on various requirements, and some may be omitted.
  • the M2M terminal When receiving the request for modifying the user key, the M2M terminal prompts the user to input the current user key. For example, the M2M terminal may provide a key modification request icon on its user interface, and when the user selects the icon, the M2M terminal determines to receive a request to modify the user key.
  • the M2M terminal determines whether the value obtained by performing the two encryption operations on the current user key input by the user is consistent with the secondary encrypted user key transmitted by the registration server.
  • the key modification process is ended.
  • the M2M terminal prompts the user to input a new user key.
  • the M2M terminal performs secondary encryption on the new user key by using an encryption algorithm, and calculates the using the encryption algorithm according to the user name, the new user key, and the encrypted server key of the M2M terminal.
  • a new registration key of the terminal and storing the second encrypted new user key and the new registration key in the secure storage area of the terminal.
  • the M2M terminal prompts the user that the new user key is successfully set.
  • the modification of the user key phase mainly occurs when the user needs to modify the user key; and the modified key flow is executed after the user inputs the correct user biometric key. Since the secure storage area of the eSIM (Embedded SIM) card of the M2M terminal stores encryption-related information, the process of modifying the key does not require registration of the server.
  • SIM embedded SIM
  • the M2M terminal performs a hash function operation Hash (Hash (BKi)) on the user key input by the user using a hash function Hash() stored in the security area of the eSIM card, and determines whether it is equal to the stored HHBKi. If the two are equal, the user key BKi entered by the user is a legal key, Enter the new key registration process;
  • Hash Hash
  • the M2M terminal stores the new user key hash value and the user registration key hash value [HHBKn, HRSKn] in a secure storage area in the eSIM card of the M2M terminal of the user UIDi;
  • the M2M terminal prompts the user UIDi to modify the new key successfully.
  • the user's UID and Hash (BK) are sent to the registration server instead of directly sending the user key BK to the registration server, so when there is an internal attacker in the registration server, It also cannot obtain the user's key BK, ensuring the security of the user's key information.
  • the method of the present invention uses a timestamp mechanism to prevent replay attacks. Further, in the method of the present invention, if the key RSK of the registration server is leaked, any user key information is also secure because the registration server itself does not store any user key information.
  • FIG. 1 to FIG. 8 describe in detail the registration method, the authentication method, and the key modification method of the M2M terminal of the present invention.
  • the hardware system architecture for implementing the authentication method of the above M2M terminal and the implementation thereof are respectively described below with reference to FIGS. 9-11.
  • the functional modules of the software system of the authentication method of the M2M terminal are introduced.
  • FIG. 9 it is a hardware system architecture diagram of a preferred embodiment of the method for authenticating the M2M terminal according to the present invention.
  • the implementation of the authentication method of the M2M terminal is composed of two parts: a plurality of M2M terminals 1, and a registration server 2.
  • the M2M terminal 1 is a request or capable of answering data contained in some devices.
  • a device that automatically transmits data contained in these devices for use in power, transportation, industrial control, retail, utility management, medical, water, petroleum, and other industries for vehicle theft prevention, security monitoring, vending, Mechanical maintenance, M-logistic management, mobile payment (M-POS), mobile monitoring (M-monitoring), etc.
  • the M2M terminal 1 includes an authentication system 10, a communication unit 11, a memory 12, a processor 13, and an eSIM card 14. It should be understood that the M2M terminal 1 may also include other hardware or software, such as a display screen, a camera, a control circuit, etc., and is not limited to the components listed above.
  • the communication unit 11 is used for information exchange between the M2M terminal 1 and other devices, such as other M2M terminals 1 or servers.
  • the communication unit 11 may be a wireless communication module, including a Wi-Fi module, a WiMax (World Interoperability for Microwave Access) module, and a GSM (Global System for Mobile Communication) module.
  • CDMA Code Division Multiple Access
  • CDMA2000 Code Division Multiple Access
  • CDMA2000 1x evdo WCDMA
  • TD-SCDMA Time Division Multiple Access
  • LTE Long Term Evolution
  • HiperLAN high-performance radio
  • the memory 12 is used for storing programs and various data, and realizes high-speed, automatic completion of access of programs or data during the operation of the M2M terminal 1.
  • the memory 12 may be an external memory and/or an internal memory of the M2M terminal 1.
  • the memory 12 may be a circuit having a storage function in a physical form, such as a RAM (Random-Access Memory), a FIFO (First In First Out), or the like.
  • the memory 12 may also be a storage device having a physical form, such as a memory stick, a TF card (Trans-flash Card), or the like.
  • the processor 13 also known as a central processing unit (CPU), is a very large-scale integrated circuit, which is an operation core (Core) and a control unit of the M2M terminal 1.
  • the function of the processor 11 is mainly to interpret program instructions and data in the processing software.
  • the eSIM card 14 refers to the traditional SIM card embedded directly on the device chip, rather than being added as a separate removable component to meet the requirements of convenience, travel, cost, security, and the like.
  • the authentication system 10 can include a plurality of functional modules consisting of program segments (see FIG. 11 for details).
  • Program codes of respective program segments in the authentication system 10 may be stored in the memory 12, and It is executed by the processor 13 to perform operations such as registration on the M2M platform and authentication with other M2M terminals 1 (described in detail in FIG. 11).
  • the registration server 2 may be a CA server for issuing, managing, canceling, etc., the applicant of the digital certificate.
  • the role of the CA is to check the legality of the identity of the certificate holder and issue a certificate (signature by mathematical means) in case the certificate is forged or tampered with.
  • the registration server 2 is configured to accept the registration of each M2M terminal 1 so that the M2M terminal 1 can legally use the M2M service.
  • the registration server 2 accepts the first registration request of the M2M terminal 1, and in response to the registration request, calculates the user's key hash value HHBK and the registration key hash value HRSK, and the HHBK Information such as HRSK is transmitted to the secure storage area of the eSIM card 14 of the M2M terminal 1 through the secure channel.
  • the registration server 2 only participates in the first registration operation of the M2M terminal 1, and various operations after registration, such as authentication operations between the respective M2M terminals 1, may not participate.
  • the authentication system 10 can be divided into multiple functional modules according to the functions performed by the authentication system 10.
  • the function module includes: a registration module 100, an authentication module 101, and a key modification module 102.
  • the registration module 100 is configured to submit a registration request to the registration server 2, and receive registration related information transmitted by the registration server 2 according to the registration request, and store the received registration related information in a secure storage area of the M2M terminal 1. For example, it is stored in a secure storage area of the eSIM card 14 embedded in the M2M terminal 1.
  • the registration module 100 transmits the user name of the M2M terminal 1 and the encrypted user key, and receives the secondary encrypted user key calculated and transmitted by the registration server 2.
  • the username may be an identity identifier provided by the eSIM card 14, such as a mobile phone number, or may be a user-defined username, but the username must be first The phone number is bound.
  • the user key may be one of the user's biometric keys, and the commonly used biometric key includes a fingerprint key, an iris key, a voice key, a face key, and the like.
  • the authentication module 101 is configured to receive an authentication request transmitted by another M2M terminal 1, calculate a verification information according to the authentication request, and determine, according to the verification information, whether to receive the authentication of the another M2M terminal 1.
  • the authentication request includes a username, an authentication key, and a timestamp Tci of the other M2M terminal 1.
  • the authentication key is calculated by the another M2M terminal 1 according to its registration key, the encrypted user key, and the timestamp Tci using the stored encryption algorithm.
  • the registration key and the encryption algorithm are transmitted by the registration server 2 during the registration phase of the other M2M terminal 1.
  • the verification information includes a verification key, which is based on the received username of the other M2M terminal 1 and the timestamp Tci, and utilizes the stored registration server 2
  • the server key and the encryption algorithm are calculated.
  • the server key of the registration server 2 and the encryption algorithm are transmitted by the registration server 2 during the registration phase.
  • the authentication module 101 is further configured to determine whether a difference between the timestamp Tcj and the timestamp Tci when the authentication request transmitted by the another M2M terminal 1 is received is less than a preset effective time interval ⁇ T, that is, whether Tcj-Tci ⁇ ⁇ T.
  • the authentication module 101 calculates the verification information only when Tcj-Tci ⁇ ⁇ T.
  • Tcj-Tci ⁇ ⁇ T the authentication module 101 ends the authentication operation.
  • determining whether to receive the authentication of the another M2M terminal 1 according to the verification information is to determine whether the authentication key and the verification key are the same.
  • the authentication module 101 receives the authentication of the other M2M terminal 1.
  • the authentication module 101 ends the authentication operation.
  • the key modification module 102 is configured to prompt the user to input the current user key when receiving the request for modifying the user key, and prompt the user to input a new user when determining that the current user key input by the user is correct.
  • the key and when the new key is set successfully, prompts the user that the new user key is set successfully.
  • the determining that the current user key input by the user is correct means that the value obtained by performing the encryption operation twice on the current user key input by the user is consistent with the secondary encrypted user key transmitted by the registration server 2.
  • the key modification module 102 performs secondary encryption on the new user key using an encryption algorithm, and according to the user name, new user key, and encryption of the M2M terminal 1.
  • Server key using the encryption algorithm to calculate a new registration key of the terminal, and storing the second encrypted new user key and the new registration key in the secure storage area of the M2M terminal 1 The new key is set successfully.
  • each functional module in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of hardware plus software function modules.
  • the above-described integrated unit implemented in the form of a software function module can be stored in a computer readable storage medium.
  • the software function modules described above are stored in a storage medium and include instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) or a processor to perform the methods of the various embodiments of the present invention. section.

Abstract

一种终端的认证方法和系统，用于在两个终端之间实现双向认证，所述方法包括：第一终端接收第二终端传送的认证请求，根据该认证请求计算验证信息，并根据该验证信息判断是否接受第二终端的认证。所述方法在认证时不需要第三方，减少网络资源及计算资源的占用，且能够解决用户终端在线交易安全性问题。

Description

终端的认证方法及系统
本申请要求于2016年4月29日提交中国专利局，申请号为201610280800.2、发明名称为“终端的认证方法及系统”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本发明涉及网络安全技术领域，具体地，涉及一种终端的认证方法及系统。
背景技术
从广义上讲，M2M可以代表机器对机器(Machine to Machine)、人对机器(Man to Machine)、机器对人(Machine to Man)、移动网络对机器(Mobile to Machine)之间的连接与通信，它涵盖了所有实现在人、机器、系统之间建立通信连接的技术和手段。M2M业务为各种行业的客户提供了一种集数据采集、传输、处理和业务管理的整套解决方案。目前，M2M的重点在于机器对机器的无线通信，存在以下三种方式：机器对机器，机器对移动电话(如用户远程监视)，移动电话对机器(如用户远程控制)。
无线机器到机器协议(WMMP，Wireless M2M Protocol)是为实现M2M业务中M2M终端与M2M平台之间、M2M终端之间、M2M平台与应用平台之间的数据通信过程而设计的应用层协议，是中国移动针对M2M业务而开发的协议，该协议提供了端到端的无线机器通信、终端管理和业务安全等方面的基本功能。根据WMMP规定，M2M终端只有在M2M平台注册并经过认证后才能使用M2M业务。
现有的机器与机器之间的身份认证的解决方案基本是基于公钥密码体制。所述基于公钥密码体制包括：各M2M终端都从可信的第三方数字证书认证中 心(Certificate Authority，简称CA)处取得各自对应的身份证书和对应的私钥，并可取得CA证书用于验证各自对应的身份证书；M2M终端接入网络时，通过发送各自的身份证书进行验证双方身份；认证通过后才可以接入网络。
该公钥密码体制存在着加密运算复杂，且加密大数据时性能和效率都大大降低的缺点，在终端节点数量庞大时，大量用户认证会消耗信令交互的网络资源及计算资源。
此外，该公钥密码体制需要依赖可信任的第三方管理密钥，在病毒、黑客、网络钓鱼以及网页仿冒诈骗等恶意威胁下，给在线交易的安全性带来了极大的挑战。
发明内容
鉴于以上内容，有必要提出一种终端的认证方法，在认证时不需要第三方，减少网络资源及计算资源的占用，且能够解决用户终端在线交易安全性问题。
一种终端的认证方法，包括：
第一终端接收第二终端传送过来的第一认证请求，根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证；及
当所述第一终端认证了所述第二终端的合法身份时，所述第一终端向所述第二终端传送第二认证请求，以使所述第二终端根据所述第二认证请求计算第二验证信息，并根据所述第二验证信息执行对所述第一终端的认证。
本发明其他较佳实施例中，所述第二终端传送过来的第一认证请求包括所述第二终端的用户名、认证密钥以及时间戳；以及所述第一验证信息包括第一验证密钥，所述第一验证密钥为根据所接收到的所述第二终端的用户名以及时间戳，利用注册服务器的服务器密钥以及加密算法计算得到。
本发明其他较佳实施例中，根据所述第一验证信息执行对所述第二终端的认证包括：
当所述第二终端的认证密钥与所述第一验证密钥相同时，认证所述第二终端的合法身份；及
当所述第二终端的认证密钥与所述第一验证密钥不相同时，结束对所述第二终端的认证操作。
本发明其他较佳实施例中，根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证之前，还包括:
当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值小于预设的有效时间间隔时，计算所述第一验证信息；及
当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值大于或者等于所述预设的有效时间间隔时，结束对所述第二终端的认证操作。
本发明其他较佳实施例中，所述认证方法还包括对所述第一终端执行注册，所述第一终端执行注册包括：
所述第一终端向注册服务器传送所述第一终端的用户名以及加密后的用户密钥；
接收所述注册服务器传送的二次加密的用户密钥、所述第一终端的注册密钥、加密后的服务器密钥以及所述注册服务器所使用的加密算法，其中，所述二次加密的用户密钥是所述注册服务器使用所述加密算法对所述用户密钥进行第二次加密所得到，所述注册密钥是所述注册服务器根据所述第一终端的用户名、用户密钥以及所述加密后的服务器密钥，使用所述加密算法计算得到的；及
存储所述注册服务器传送的二次加密的用户密钥、注册密钥、加密后的服务器密钥及所述注册服务器所使用的加密算法于所述第一终端的安全存储区域。
本发明其他较佳实施例中，所述用户密钥为用户的生物特征密钥中的一种或多种的组合，包括指纹密钥、虹膜密钥、声音密钥及人脸密钥。
本发明其他较佳实施例中，所述安全存储区域为所述第一终端的嵌入式SIM卡的安全存储区。
本发明其他较佳实施例中，所述用户名为所述嵌入式SIM卡提供的身份标识。
本发明其他较佳实施例中，所述认证方法还包括在所述第一终端执行的用 户密钥修改，所述用户密钥修改包括：
在接收到修改用户密钥的请求时，提示用户输入当前的用户密钥；及
在验证用户输入的所述当前的用户密钥正确时，提示所述用户向所述第一终端输入新的用户密钥。
本发明其他较佳实施例中，所述用户密钥修改还包括：
使用所述加密算法对所述新的用户密钥进行二次加密，及根据所述第一终端的用户名、所述新的用户密钥以及加密后的服务器密钥，使用所述加密算法计算出所述第一终端的新的注册密钥，并存储所述二次加密的新的用户密钥以及新的注册密钥于所述第一终端的安全存储区域中，并提示用户新的用户密钥设置成功。
鉴于以上内容，还有必要提出一种终端的认证系统，在认证时不需要第三方，减少网络资源及计算资源的占用，且能够解决用户终端在线交易安全性问题。
一种终端的认证系统，所述认证系统包括：
认证模块，用于：
接收第二终端传送过来的第一认证请求，根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证；及
当认证了所述第二终端的合法身份时，向所述第二终端传送第二认证请求，以使所述第二终端根据所述第二认证请求计算第二验证信息，并根据所述第二验证信息执行对第一终端的认证。
本发明其他较佳实施例中，所述第二终端传送过来的第一认证请求包括所述第二终端的用户名、认证密钥以及时间戳；以及所述第一验证信息包括第一验证密钥，所述第一验证密钥为根据所接收到的所述第二终端的用户名以及时间戳，利用注册服务器的服务器密钥以及加密算法计算得到。
本发明其他较佳实施例中，根据所述第一验证信息执行对所述第二终端的认证包括：
当所述第二终端的认证密钥与所述第一验证密钥相同时，认证所述第二终端的合法身份；及
当所述第二终端的认证密钥与所述第一验证密钥不相同时，结束对所述第 二终端的认证操作。
本发明其他较佳实施例中，所述认证模块还用于：
当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值小于预设的有效时间间隔时，计算所述第一验证信息；及
当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值大于或者等于所述预设的有效时间间隔时，结束对所述第二终端的认证操作。
本发明其他较佳实施例中，该双向认证系统还包括：
注册模块，用于向注册服务器提出注册请求，并接收所述注册服务器根据所述注册请求传送的注册相关信息，并将所述注册相关信息存储于所述第一终端的安全存储区中，其中：
所述注册请求包括所述第一终端的用户名以及加密后的用户密钥；以及
所述注册相关信息包括二次加密的用户密钥、所述第一终端的注册密钥、加密后的服务器密钥以及所述注册服务器所使用的加密算法，其中，所述二次加密的用户密钥是所述注册服务器使用所述加密算法对所述用户密钥进行第二次加密所得到，所述注册密钥是所述注册服务器根据所述第一终端的用户名、用户密钥以及所述加密后的服务器密钥，使用所述加密算法计算得到的。
本发明其他较佳实施例中，所述用户密钥为用户的生物特征密钥中的一种或多种的组合，包括指纹密钥、虹膜密钥、声音密钥及人脸密钥。
本发明其他较佳实施例中，所述安全存储区域为所述第一终端的嵌入式SIM卡的安全存储区。
本发明其他较佳实施例中，所述用户名为所述嵌入式SIM卡提供的身份标识。
本发明其他较佳实施例中，该认证系统还包括：
密钥修改模块，用于在接收到修改用户密钥的请求时，提示用户输入所述第一终端当前的用户密钥，并在用户输入的所述当前的用户密钥正确时，提示用户输入新的用户密钥。
本发明其他较佳实施例中，所述密钥修改模块还用于：
使用所述加密算法对所述新的用户密钥进行二次加密，及根据所述第一终 端的用户名、所述新的用户密钥以及加密后的服务器密钥，使用所述加密算法计算出所述第一终端的新的注册密钥，并存储所述二次加密的新的用户密钥以及新的注册密钥于所述第一终端的安全存储区域中，并提示用户新的用户密钥设置成功。
相较于现有技术，本发明所使用的方法中，在终端向注册服务器注册阶段，终端发送用户名和加密后的用户密钥给注册服务器，而不是直接发送用户密钥给注册服务器。所以当注册服务器中存在内部攻击者时也无法获取用户密钥，保证用户密钥的安全性。此外，本发明方法使用了时间戳机制，可以防止重放攻击。再者，本发明的方法中，即使注册服务器的密钥被泄露，任何用户密钥的信息都是安全的，因为注册服务器本身没有存储任何的用户密钥信息。进一步地，本发明方法在进行M2M终端的双向认证时，不需要注册服务器的参与，释放了注册服务器的计算资源。
附图说明
图1所示是本发明M2M终端的认证方法较佳实施例中注册阶段的方法流程图。
图2所示是本发明M2M终端的认证方法较佳实施例中的注册阶段的示例图。
图3及图4所示是本发明终端的认证方法较佳实施例中双向认证阶段的方法流程图。
图5所示是本发明终端的一种认证方法较佳实施例中双向认证阶段的示例图。
图6所示是本发明终端的另一种认证方法较佳实施例中双向认证阶段的示例图。
图7所示是本发明终端的认证方法较佳实施例中密钥修改阶段的方法流程图。
图8所示是本发明终端的认证方法较佳实施例中密钥修改阶段的示例图。
图9所示是本发明终端的认证系统较佳实施例的应用环境示意图。
图10所示是本发明终端的硬件架构图。
图11所示是本发明终端的认证系统较佳实施例中功能模块图。
主要元件符号说明
M2M终端                                        1
注册服务器                                     2
认证系统                                       10
通讯单元                                       11
存储器                                         12
处理器                                         13
eSIM卡                                         14
注册模块                                       100
认证模块                                       101
密钥修改模块                                   102
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清除、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。
基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例中，所描述的终端为一个M2M终端。所述M2M可以代表机器对机器(Machine to Machine)、人对机器(Man to Machine)、机器对人(Machine to Man)、移动网络对机器(Mobile to Machine)之间的连接与通信，它涵盖了所有实现在人、机器、系统之间建立通信连接的技术和手段。一个M2M终端可以是第一终端与第二终端之间的连接与通信，“第一”，“第二”等词语(如果存在)用来表示名称，而并不表示任何特定的顺序。
请参考图1，是本发明终端的认证方法较佳实施例中注册阶段的方法流程图。根据不同的需求，该图所示流程图中的执行顺序可以改变，某些可以省略。
S10，M2M终端向注册服务器传送该M2M终端的用户名以及加密后的用 户密钥。
本发明较佳实施例中，所述用户名可以是嵌入到所述M2M终端的eSIM卡提供的身份标识，例如手机号，或者也可以是用户自定义的用户名，但该用户名须先与所述手机号绑定。所述用户密钥可以是用户的生物特征密钥中的一种或者多种的组合，常用的生物特征密钥包括有指纹密钥、虹膜密钥、声音密钥、人脸密钥等。
S11，所述注册服务器接收到所述M2M终端传送的用户名以及用户密钥后，使用加密算法对所述用户密钥进行第二次加密。
本实施例中，所述加密算法可以是一种散列算法。
S12，所述注册服务器根据所述M2M终端传送的用户名及用户密钥，并进一步利用所述注册服务器的加密后的服务器密钥，使用所述加密算法计算出所述M2M终端的注册密钥。
S13，所述注册服务器将计算出来的二次加密的用户密钥、该M2M终端的注册密钥、加密后的服务器密钥及上述使用的加密算法传送给所述M2M终端，并存储于所述M2M终端的安全存储区域中，例如，存储于内嵌于所述M2M终端的eSIM卡的安全存储区中。
由上述流程可知，本发明较佳实施例中，当M2M终端的用户第一次申请加入M2M平台使用M2M业务时，会向注册服务器提出合法注册申请。用户可以自己选择用户名UID(User ID)和用户密钥BK(Biosignature key)，然后，将所述UID和经过加密的BK通过安全信道发送到所述注册服务器。所述注册服务器响应用户请求，计算M2M终端的注册密钥等信息。最后，所述注册服务器通过安全信道将注册密钥等信息，发送到M2M终端的安全存储区中。
本发明较佳实施例中，在M2M终端的用户向注册服务器执行注册的阶段中，用户是发送用户的UID和加密的BK给注册服务器，而不是直接发送用户密钥BK给注册服务器。所以当注册服务器中存在内部攻击者时，其也无法获取用户密钥BK，保证用户密钥的安全性。
所述注册阶段的一个示例，请参阅下述的图2所示的示意图。
首先对图2所示的注册阶段使用的一些参数进行如下声明：
UID表示用户名；BK表示用户生物特征密钥；Hash()表示散列函数；RSK 表示注册服务器密钥；※表示加解密运算(如异或运算)。
参阅图2所示，M2M终端用户UIDi的注册包括：
1：将用户名UIDi和加密后的用户密钥Hash(BKi)发送给注册服务器。
2：注册服务器先通过散列函数计算出用户UIDi的用户密钥哈希值：HHBKi＝Hash(Hash(BKi))；
3：注册服务器再使用所述散列函数以及用户的用户名UIDi、加密后的用户密钥Hash(BKi)、加密后的注册服务器密钥Hash(RSK)，这些参数计算出用户UIDi的注册密钥哈希值：HRSKi＝Hash(UIDi※Hash(RSK))※Hash(BKi)；
4：注册服务器将在计算用户密钥哈希值和用户注册密钥哈希值过程中所使用加解密相关的信息，包括[HHBKi、HRSKi、UIDi、Hash(RSK)、Hash()]存储于用户UIDi的eSIM卡的安全存储区中。
同理，M2M终端用户UIDj的注册包括：
1：将用户名UIDj和加密后的用户密钥Hash(BKj)发送给所述注册服务器；
2：注册服务器计算出用户UIDj的用户密钥哈希值HHBKj＝Hash(Hash(BKj))；
3：注册服务器计算出用户UIDj的用户注册密钥哈希值：HRSKj＝Hash(UIDj※Hash(RSK))※Hash(BKj)；
4：注册服务器将在计算用户密钥哈希值和用户注册密钥哈希值过程中所使用加解密相关的信息，包括[HHBKj、HRSKj、UIDj、Hash(RSK)、Hash()]存储于用户UIDj的eSIM卡的安全存储区中。
至此，完成两个M2M终端的认证过程。
在M2M终端用户UIDi与用户UIDj完成注册之后，还需进行双方的身份认证，才可以实现两者之间的连接与通信。按照现有的认证方式，每一个M2M终端需要分别独立地与注册服务器完成鉴权和传送数据，那么，注册服务器将面临无法处理如此庞大的用户请求的局面，从而严重地降低了M2M服务的服务质量。
本案在认证阶段，只需要在两个或者多个M2M终端之间进行身份认证，认证过程并不需要注册服务器的参与，详细过程请参阅下述的图3至图5的描述。
参阅图3及图4所示，是本发明M2M终端的认证方法较佳实施例中认证阶段的方法流程图。根据不同的需求，该图所示流程图中的执行顺序可以改变，某些可以省略。
参阅图3所示：
S20，第一终端根据其安全存储区中所存储的注册密钥、加密后的用户密钥以及当前时间戳Tci，利用其安全存储区中所存储的加密算法计算出该第一终端的认证密钥SKi。
本实施例中，所存储的注册密钥、加密算法是在注册阶段中，注册服务器传送的。
S21，第一终端将其用户名、所述认证密钥SKi以及所述时间戳Tci传送给第二终端。
S22，第二终端在接收到第一终端传送的用户名、认证密钥SKi以及时间戳Tci时，获取当前时间戳Tcj。
S23，第二终端判断是否Tcj-Tci<ΔT。所述ΔT为预设的有效的时间间隔。
当Tcj-Tci≥ΔT时，第二终端判断有可能发生了防止重放攻击，因此结束此次认证流程。
当Tcj-Tci<ΔT时，
S24，第二终端根据所接收到的第一终端的用户名以及时间戳Tci，并利用所存储的注册服务器的服务器密钥，计算出一个验证密钥SKij。
S25，第二终端判断是否SKij＝SKi。
若SKij≠SKi，则结束此次认证流程。
否则，若SKij＝SKi，则S26，第二终端接收第一终端的认证。
至此，完成第二终端对第一终端的认证，接着，执行第一终端对第二终端的认证，参阅图4所示：
S30，第二终端根据其安全存储区中所存储的注册密钥、加密后的用户密钥以及当前时间戳Tcj，利用其安全存储区中所存储的加密算法计算出该第二终端的认证密钥SKj。
本实施例中，所存储的注册密钥、加密算法是在注册阶段中，注册服务器传送的。
S31，第二终端将其用户名、所述认证密钥SKj以及所述时间戳Tcj传送 给第一终端。
S32，第一终端在接收到所述第二终端传送的用户名、认证密钥SKj以及所述时间戳Tcj时，获取当前时间戳Tcji。
S33，第一终端判断是否Tcji-Tcj<ΔT。所述ΔT为预设的有效的时间间隔。
当Tcji-Tcj≥ΔT时，第一终端判断有可能发生了防止重放攻击，因此结束此次认证流程。
当Tcji-Tcj<ΔT时，
S34，第一终端根据所接收到的第二终端的用户名以及时间戳Tcj，并利用所存储的注册服务器的服务器密钥，计算出一个验证密钥SKji。
S35，第一终端判断是否SKji＝SKj。
若SKji≠SKj，则结束此次认证流程。
否则，若SKji＝SKj，则S36，第一终端接受第二终端的认证。
至此，完成第一终端对第二终端的验证。
应该可以理解，上述实施例所述的第一、第二终端仅是所述M2M终端的示例性终端，两者的角色可以互换，在所述第二终端执行的流程同样适用于所述第一终端以及在所述第一终端执行的流程同样适用于所述第二终端。
根据上述描述可以看出，当用户要求被验证或者需要认证其他用户的时候，会执行双向认证操作。如图5所示,该双向认证操作包括：
S37,第一终端接收第二终端传送过来的第一认证请求，根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证；及
S38,当所述第一终端认证了所述第二终端的合法身份时，所述第一终端向所述第二终端传送第二认证请求，以使所述第二终端根据所述第二认证请求计算第二验证信息，并根据所述第二验证信息执行对所述第一终端的认证。
本发明较佳实施例中，所述双向认证操作只发生在M2M终端之间进行身份认证，并不需要注册服务器的参与。
所述双向认证阶段的一个示例，请参阅下述的图6所示的示意图。
首先，对图6所示的双向认证阶段使用的一些参数进行如下声明：
Tci表示M2M终端用户UIDi当前的时间戳；Tcj表示M2M终端用户UIDj当前的时间戳；ΔT表示有效的时间间隔。
1：计算用户UIDi的认证密钥哈希值：SKi＝Hash(HRSKi※Hash(BKi)※Tci)；
2：用户UIDi向M2M业务系统中的所有用户发送认证请求消息[UIDi、SKi、Tci]；
3：M2M业务系统中的任何在线用户接收到请求消息后，先进入消息认证过程。
假设用户UIDi向用户UIDj发送请求消息，且用户UIDj在Tcj收到用户UIDi发送请求消息。
4：用户UIDj先验证请求时间的合法性，即判断(Tcj–Tci)是否小于ΔT。如果(Tcj–Tci)<ΔT，用户UIDj就接受认证请求，否则拒绝认证请求。
5：通过执行4后，假设用户UIDj验证了用户UIDi请求时间的合法性，接受用户UIDi的认证请求。然后会计算出用户UIDj在Tci时刻的验证密钥哈希值：SKij＝Hash(Hash(UIDi※Hash(RSK))※Tci)，并判断当前计算出的SKij与用户UIDi发送过来的SKi是否相同。如果两者相同，用户UIDj就接受用户UIDi成为它的一个合法用户，否则，认为用户UIDi是一个非法用户。
6：通过执行5后，如果用户UIDj接受用户UIDi成为它的一个合法用户之后，就会计算出用户UIDj的当前认证密钥哈希值：SKj＝Hash(HRSKj※Hash(BKj)※Tcj)，然后用户UIDj向用户UIDi发送请求消息[SKj、UIDj、Tcj]。
7：用户UIDi先验证请求时间的合法性，判断(Tcji–Tcj)是否小于ΔT。如果(Tcji–Tcj)<ΔT，用户UIDi就接受认证请求，否则拒绝认证请求。
8：通过执行7后，假设用户UIDi验证了用户UIDj请求时间的合法性，接受用户UIDj的认证请求，然后会计算出用户UIDi在Tcj时刻的验证密钥哈希值：SKji＝Hash(Hash(UIDj※Hash(RSK))※Tcj)，最后判断当前计算出的SKji与用户UIDj发送过来的SKj是否相同。如果两者相等，用户UIDi接受用户UIDj成为它的一个合法用户。否则，认为用户UIDj是一个非法用户。
当执行完5后，得出SKij与用户UIDi发送过来的SKi相同，且当执行完8后，得出SKji与用户UIDj发送过来的SKj相同，也就是当SKij＝SKi且SKji＝SKj时，就了实现用户UIDi与用户UIDj之间的双向认证操作。
上述实施例介绍了利用用户生物特征作为用户密钥，执行终端的注册以及认证。应该可以理解，用户的生物特征密钥有时候需要修改，例如，用户希望 将其用户密钥从指纹密钥变成虹膜密钥，或者，需要将用户密钥从用户A的生物特征修改为用户B的生物特征。下面介绍如何执行用户密钥的修改。
参阅图7所示，是本发明M2M终端的双向认证方法较佳实施例中密钥修改阶段的方法流程图。根据不同的需求，该图所示流程图中的执行顺序可以改变，某些可以省略。
S40，M2M终端在接收到修改用户密钥的请求时，提示用户输入当前的用户密钥。例如，所述M2M终端可以在其用户界面上提供一个密钥修改请求图标，当用户选择该图标时，所述M2M终端判断接收到修改用户密钥的请求。
S41，M2M终端判断对用户输入的当前的用户密钥进行两次加密运算后的值与注册服务器传送的二次加密的用户密钥是否一致。
若对用户输入的当前的用户密钥进行两次加密运算后的值与注册服务器传送的二次加密的用户密钥不一致，则结束密钥修改流程。
否则，若对用户输入的当前的用户密钥进行两次加密运算后的值与注册服务器传送的二次加密的用户密钥一致，则S42，M2M终端提示用户输入新的用户密钥。
S43，M2M终端使用加密算法对所述新的用户密钥进行二次加密，及根据该M2M终端的用户名、新的用户密钥以及加密后的服务器密钥，使用所述加密算法计算出该终端的新的注册密钥，并存储所述二次加密的新的用户密钥以及新的注册密钥于终端的安全存储区域中。
S44，M2M终端提示用户新的用户密钥设置成功。
根据上述描述可知，修改用户密钥阶段主要发生在用户需要修改用户密钥的时候；在用户输入正确的用户生物密钥后，才会执行的修改密钥流程。由于M2M终端的eSIM(Embedded SIM，嵌入式SIM)卡的安全存储区存放着加密相关的信息，所以修改密钥的过程不需要注册服务器的参与。
所述密钥修改的一个示例，请参阅图8所示的示意图。
1：在需要修改用户密钥时，用户在M2M终端中先输入当前的用户密钥BKi；
2：M2M终端使用存储在eSIM卡的安全区中的散列函数Hash()对用户输入的用户密钥进行散列函数运算Hash(Hash(BKi))，并判断其是否等于所存储的HHBKi，如果两者相等，说明用户输入的用户密钥BKi是合法密钥，就 进入新密钥注册过程；
3：M2M终端通过两次使用散列函数计算出用户UIDi的新的用户密钥哈希值：HHBKn＝Hash(Hash(BKn))；
4：M2M终端再使用散列函数以及用户的UIDi、Hash(BKn)、Hash(RSK)这些参数计算出用户UIDi的新的用户注册密钥哈希值：HRSKn＝Hash(UIDn※Hash(RSK))※Hash(BKn)；
5：M2M终端将新的用户密钥哈希值和用户注册密钥哈希值[HHBKn、HRSKn]存储于用户UIDi的M2M终端的eSIM卡内的安全存储区中；
6：M2M终端提示用户UIDi，修改新密钥成功。
对本发明方法的安全性的分析：
本发明的方法中，在用户向注册服务器注册阶段，是发送用户的UID和Hash(BK)给注册服务器，而不是直接发送用户密钥BK给注册服务器，所以当注册服务器中存在内部攻击者，其也无法获取用户的密钥BK，保证用户密钥信息的安全性。此外，本发明方法使用了时间戳机制，可以防止重放攻击。进一步地，本发明的方法中，如果注册服务器的密钥RSK被泄露，任何的用户密钥信息也是安全的，因为注册服务器本身没有存储任何的用户密钥信息。
以上所述，仅是本发明的具体实施方式，但本发明的保护范围并不局限于此，对于本领域的普通技术人员来说，在不脱离本发明创造构思的前提下，还可以做出改进，但这些均属于本发明的保护范围。
上述图1至图8详细介绍了本发明的M2M终端的注册方法、认证方法以及密钥修改方法，下面结合第9～11图，分别对实现上述M2M终端的认证方法的硬件系统架构以及实现该M2M终端的认证方法的软件系统的功能模块进行介绍。
应该了解，该实施例仅为说明之用，在专利申请范围上并不受此结构的限制。
如图9所示，为本发明实现所述M2M终端的认证方法较佳实施例的硬件系统架构图。
在本发明的其中一个较佳实施例中，所述M2M终端的认证方法的实现由两大部分构成：多台M2M终端1、注册服务器2。
其中，所述M2M终端1是能够回答包含在一些设备中的数据的请求或能 够自动传送包含在这些设备中的数据的设备，应用在电力、交通、工业控制、零售、公共事业管理、医疗、水利、石油等多个行业，用于车辆防盗、安全监测、自动售货、机械维修、移动物流管理(M-logistic management)、移动支付(M-POS)、移动监控(M-monitoring)等。
如图10所示，所述M2M终端1包括认证系统10、通讯单元11、存储器12、处理器13以及eSIM卡14。应该了解，所述M2M终端1也可以包括其他硬件或者软件，例如，显示屏幕、摄像头、控制电路等，而并不限制于上述列举的部件。
所述通讯单元11用于所述M2M终端1与其他设备，如其他M2M终端1或者服务器之间的信息交换。
所述通讯单元11可以是无线通讯模块，包括Wi-Fi模块，WiMax(World Interoperability for Microwave Access，即全球微波接入互操作性)模块，GSM(Global System for Mobile Communication，全球移动通信系统)模块，CDMA(Code Division Multiple Access，码分多址)模块，包括CDMA2000，CDMA，CDMA2000 1x evdo，WCDMA，TD-SCDMA等等)，LTE(Long Term Evolution,长期演进)模块，HiperLAN(high-performance radio local area network，高性能无线局域网)模块、以及短距离无线传输模块，如蓝牙、Zigbee、RF等等。
所述存储器12用于存储程序和各种数据，并在M2M终端1运行过程中实现高速、自动地完成程序或数据的存取。所述存储器12可以是M2M终端1的外部存储器和/或内部存储器。进一步地，所述存储器12可以是集成电路中没有实物形式的具有存储功能的电路，如RAM(Random-Access Memory，随机存取存储器)、FIFO(First In First Out，)等。或者，所述存储器12也可以是具有实物形式的存储设备，如内存条、TF卡(Trans-flash Card)等等。
所述处理器13又称中央处理器(CPU，Central Processing Unit)，是一块超大规模的集成电路，是M2M终端1的运算核心(Core)和控制核心(Control Unit)。处理器11的功能主要是解释程序指令以及处理软件中的数据。
所述eSIM卡14是指将传统SIM卡直接嵌入到设备芯片上，而不是作为独立的可移除零部件加入设备中，以满足便利、出行、成本、安全性等的要求。
所述认证系统10可以包括多个由程序段所组成的功能模块(详见图11)。所述认证系统10中的各个程序段的程序代码可以存储于所述存储器12中，并 由所述处理器13所执行，以执行在M2M平台上的注册及与其他M2M终端1的认证等操作(详见图11中描述)。
其中，本发明较佳实施例中，所述注册服务器2可以是一个CA服务器，用于对数字证书的申请者发放、管理、取消等。所述CA的作用是检查证书持有者身份的合法性，并签发证书(用数学方法在证书上签字)，以防证书被伪造或篡改。
本实施例中，所述注册服务器2用于接受各个M2M终端1的注册，以使M2M终端1可以合法使用M2M业务。
本发明较佳实施例中，所述注册服务器2接受M2M终端1的首次注册请求，并响应该注册请求，计算出用户的密钥哈希值HHBK和注册密钥哈希值HRSK，并将HHBK、HRSK等信息通过安全信道发送到M2M终端1的eSIM卡14的安全存储区中。
本发明较佳实施例中，所述注册服务器2只参与M2M终端1的首次注册操作，在注册之后的各个操作，如各个M2M终端1之间的认证操作等可以不参与。
参阅图11所示，为本发明位置推荐系统较佳实施例的功能模块图。本实施例中，所述认证系统10根据其所执行的功能，可以被划分为多个功能模块。本实施例中，所述功能模块包括：注册模块100、认证模块101及密钥修改模块102。
所述注册模块100用于向注册服务器2提出注册请求，并接收注册服务器2根据所述注册请求传送回来的注册相关信息，并将该接收到的注册相关信息存储于M2M终端1的安全存储区域中，例如，存储于内嵌于所述M2M终端1的eSIM卡14的安全存储区。
本实施例中，所述注册模块100在向注册服务器2提出注册请求时，传送M2M终端1的用户名以及加密后的用户密钥，接收注册服务器2计算并传送的二次加密的用户密钥、该M2M终端1的注册密钥、加密后的服务器密钥及注册服务器2所使用的加密算法等。
在本发明较佳实施例中，所述用户名可以是所述eSIM卡14提供的身份标识，如手机号等，或者也可以是用户自定义的用户名，但该用户名须先与所 述手机号绑定。所述用户密钥可以是用户的生物特征密钥中的一种，常用的生物特征密钥包括有指纹密钥、虹膜密钥、声音密钥、人脸密钥等等。
所述认证模块101用于接收另一个M2M终端1传送的认证请求，根据该认证请求计算一个验证信息，并根据所述验证信息判断是否接收所述另一个M2M终端1的认证。
本实施例中，所述认证请求包括所述另一个M2M终端1的用户名、认证密钥以及一时间戳Tci。所述认证密钥是所述另一个M2M终端1根据其注册密钥、加密后的用户密钥以及所述时间戳Tci，利用所存储的加密算法计算得到的。其中，所述注册密钥以及所述加密算法是所述另一个M2M终端1在注册阶段由注册服务器2所传送的。
本实施例中，所述验证信息包括一个验证密钥，所述验证密钥是根据所接收到的所述另一个M2M终端1的用户名以及时间戳Tci，并利用所存储的注册服务器2的服务器密钥以及加密算法计算得到的。其中，所述注册服务器2的服务器密钥以及所述加密算法是在注册阶段，由注册服务器2所传送的。
进一步地，所述认证模块101还用于判断接收到所述另一个M2M终端1传送的认证请求时的时间戳Tcj与所述时间戳Tci之差是否小于预设的有效时间间隔ΔT，即是否Tcj-Tci<ΔT。只有在Tcj-Tci<ΔT时，所述认证模块101才计算所述验证信息。当Tcj-Tci≥ΔT时，所述认证模块101结束认证操作。
本发明较佳实施例中，根据所述验证信息判断是否接收所述另一个M2M终端1的认证是通过判断所述认证密钥与所述验证密钥是否相同。当所述认证密钥与所述验证密钥相同时，所述认证模块101接收所述另一个M2M终端1的认证。当所述认证密钥与所述验证密钥不相同时，所述认证模块101结束认证操作。
所述密钥修改模块102用于在接收到修改用户密钥的请求时，提示用户输入的当前的用户密钥，并在判断用户输入的当前的用户密钥正确时，提示用户输入新的用户密钥，并在新的密钥设置成功时，提示用户新的用户密钥设置成功。
所述判断用户输入的当前的用户密钥正确是指对用户输入的当前的用户密钥进行两次加密运算后得到的值与注册服务器2传送的二次加密的用户密钥一致。
本发明较佳实施例中，当所述密钥修改模块102使用加密算法对所述新的用户密钥进行二次加密，及根据该M2M终端1的用户名、新的用户密钥以及加密后的服务器密钥，使用所述加密算法计算出该终端的新的注册密钥，并存储所述二次加密的新的用户密钥以及新的注册密钥于M2M终端1的安全存储区域中以后，新的密钥设置成功。
在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。
另外，在本发明各个实施例中的各功能模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能模块的形式实现。
上述以软件功能模块的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能模块存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的部分。
对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或，单数不排除复数。系统权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。
最后应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或等同替换，而不脱离本发明技术方案的精神和范围。

Claims (20)

  1. 一种终端的认证方法，其特征在于，所述认证方法包括：
    第一终端接收第二终端传送过来的第一认证请求，根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证；及
    当所述第一终端认证了所述第二终端的合法身份时，所述第一终端向所述第二终端传送第二认证请求，以使所述第二终端根据所述第二认证请求计算第二验证信息，并根据所述第二验证信息执行对所述第一终端的认证。
  2. 如权利要求1所述的终端的认证方法，其特征在于，所述第二终端传送过来的第一认证请求包括所述第二终端的用户名、认证密钥以及时间戳；以及所述第一验证信息包括第一验证密钥，所述第一验证密钥为根据所接收到的所述第二终端的用户名以及时间戳，利用注册服务器的服务器密钥以及加密算法计算得到。
  3. 如权利要求2所述的终端的认证方法，其特征在于，所述根据所述第一验证信息执行对所述第二终端的认证包括：
    当所述第二终端的认证密钥与所述第一验证密钥相同时，认证所述第二终端的合法身份；及
    当所述第二终端的认证密钥与所述第一验证密钥不相同时，结束对所述第二终端的认证操作。
  4. 如权利要求2所述的终端的认证方法，其特征在于，所述根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证之前，还包括:
    当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值小于预设的有效时间间隔时，计算所述第一验证信息；及
    当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值大于或者等于所述预设的有效时间间隔时，结束对所述第二终端的认证操作。
  5. 如权利要求1所述的终端的认证方法，其特征在于，所述认证方法还包括对所述第一终端执行注册，所述第一终端执行注册包括：
    所述第一终端向注册服务器传送所述第一终端的用户名以及加密后的用户密钥；
    接收所述注册服务器传送的二次加密的用户密钥、所述第一终端的注册密钥、加密后的服务器密钥以及所述注册服务器所使用的加密算法，其中，所述二次加密的用户密钥是所述注册服务器使用所述加密算法对所述用户密钥进行第二次加密所得到，所述注册密钥是所述注册服务器根据所述第一终端的用户名、用户密钥以及所述加密后的服务器密钥，使用所述加密算法计算得到的；及
    存储所述注册服务器传送的二次加密的用户密钥、注册密钥、加密后的服务器密钥及所述注册服务器所使用的加密算法于所述第一终端的安全存储区域。
  6. 如权利要求5所述的终端的认证方法，其特征在于，所述用户密钥为用户的生物特征密钥中的一种或多种的组合，包括指纹密钥、虹膜密钥、声音密钥及人脸密钥。
  7. 如权利要求5所述的终端的认证方法，其特征在于，所述安全存储区域为所述第一终端的嵌入式SIM卡的安全存储区。
  8. 如权利要求7所述的终端的认证方法，其特征在于，所述用户名为所述嵌入式SIM卡提供的身份标识。
  9. 如权利要求5所述的终端的认证方法，其特征在于，所述认证方法还包括在所述第一终端执行的用户密钥修改，所述用户密钥修改包括：
    在接收到修改用户密钥的请求时，提示用户输入当前的用户密钥；及
    在验证用户输入的所述当前的用户密钥正确时，提示所述用户向所述第一终端输入新的用户密钥。
  10. 如权利要求9所述的终端的认证方法，其特征在于，所述用户密钥修改还包括：
    使用所述加密算法对所述新的用户密钥进行二次加密，及根据所述第一终端的用户名、所述新的用户密钥以及加密后的服务器密钥，使用所述加密算法计算出所述第一终端的新的注册密钥，并存储所述二次加密的新的用户密钥以及新的注册密钥于所述第一终端的安全存储区域中，并提示用户新的用户密钥设置成功。
  11. 一种终端的认证系统，其特征在于，所述系统包括：
    认证模块，用于：
    接收第二终端传送过来的第一认证请求，根据所述第一认证请求计算第一验证信息，并根据所述第一验证信息执行对所述第二终端的认证；及
    当认证了所述第二终端的合法身份时，向所述第二终端传送第二认证请求，以使所述第二终端根据所述第二认证请求计算第二验证信息，并根据所述第二验证信息执行对第一终端的认证。
  12. 如权利要求11所述的终端的认证系统，其特征在于，所述第二终端传送过来的第一认证请求包括所述第二终端的用户名、认证密钥以及时间戳；以及所述第一验证信息包括第一验证密钥，所述第一验证密钥为根据所接收到的所述第二终端的用户名以及时间戳，利用注册服务器的服务器密钥以及加密算法计算得到。
  13. 如权利要求12所述的终端的认证系统，其特征在于，所述根据所述第一验证信息执行对所述第二终端的认证包括：
    当所述第二终端的认证密钥与所述第一验证密钥相同时，认证所述第二终端的合法身份；及
    当所述第二终端的认证密钥与所述第一验证密钥不相同时，结束对所述第二终端的认证操作。
  14. 如权利要求12所述的终端的认证系统，其特征在于，所述认证模块还用于：
    当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值小于预设的有效时间间隔时，计算所述第一验证信息；及
    当接收到所述第二终端传送的第一认证请求时的时间戳与所述第二终端传送的时间戳之间的差值大于或者等于所述预设的有效时间间隔时，结束对所述第二终端的认证操作。
  15. 如权利要求11所述的终端的认证系统，其特征在于，所述系统还包括：
    注册模块，用于向注册服务器提出注册请求，并接收所述注册服务器根据所述注册请求传送的注册相关信息，并将所述注册相关信息存储于所述第一终端的安全存储区中，其中：
    所述注册请求包括所述第一终端的用户名以及加密后的用户密钥；以及
    所述注册相关信息包括二次加密的用户密钥、所述第一终端的注册密钥、加密后的服务器密钥以及所述注册服务器所使用的加密算法，其中，所述二次加密的用户密钥是所述注册服务器使用所述加密算法对所述用户密钥进行第二次加密所得到，所述注册密钥是所述注册服务器根据所述第一终端的用户名、用户密钥以及所述加密后的服务器密钥，使用所述加密算法计算得到的。
  16. 如权利要求15所述的终端的认证系统，其特征在于，所述用户密钥为用户的生物特征密钥中的一种或多种的组合，包括指纹密钥、虹膜密钥、声音密钥及人脸密钥。
  17. 如权利要求15所述的终端的认证系统，其特征在于，所述安全存储区域为所述第一终端的嵌入式SIM卡的安全存储区。
  18. 如权利要求17所述的终端的认证系统，其特征在于，所述用户名为所述嵌入式SIM卡提供的身份标识。
  19. 如权利要求15所述的终端的认证系统，其特征在于，所述认证系统还包括：
    密钥修改模块，用于在接收到修改用户密钥的请求时，提示用户输入所述第一终端当前的用户密钥，并在用户输入的所述当前的用户密钥正确时，提示所述用户输入新的用户密钥。
  20. 如权利要求19所述的终端的认证系统，其特征在于，所述密钥修改模块还用于：
    使用所述加密算法对所述新的用户密钥进行二次加密，及根据所述第一终端的用户名、所述新的用户密钥以及加密后的服务器密钥，使用所述加密算法计算出所述第一终端的新的注册密钥，并存储所述二次加密的新的用户密钥以及新的注册密钥于所述第一终端的安全存储区域中，并提示用户新的用户密钥设置成功。
PCT/CN2016/084058 2016-04-29 2016-05-31 终端的认证方法及系统 WO2017185450A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201610280800.2A CN105975846B (zh) 2016-04-29 2016-04-29 终端的认证方法及系统
CN201610280800.2 2016-04-29

Publications (1)

Publication Number Publication Date
WO2017185450A1 true WO2017185450A1 (zh) 2017-11-02

Family

ID=56993542

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/084058 WO2017185450A1 (zh) 2016-04-29 2016-05-31 终端的认证方法及系统

Country Status (2)

Country Link
CN (1) CN105975846B (zh)
WO (1) WO2017185450A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111741465A (zh) * 2019-03-25 2020-10-02 成都鼎桥通信技术有限公司 软sim保护方法及设备
CN113282908A (zh) * 2020-02-19 2021-08-20 网联科技股份有限公司 合法性验证方法
CN113992416A (zh) * 2021-10-28 2022-01-28 上海辰锐信息科技公司 一种物联感知终端认证方法及物联感知终端
CN114422145A (zh) * 2022-01-21 2022-04-29 上海交通大学 基于PUF与Hash的物联网端到端动态身份认证方法
CN115001822A (zh) * 2022-06-02 2022-09-02 广东电网有限责任公司 一种基于时延判断的配电网安全认证方法及网关

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108985046A (zh) * 2018-06-07 2018-12-11 国民技术股份有限公司 一种安全停靠控制方法、系统及计算机可读存储介质
WO2020140296A1 (zh) * 2019-01-04 2020-07-09 华为技术有限公司 一种图像识别的数据保护方法、装置及系统
CN110213229B (zh) * 2019-04-25 2021-09-14 平安科技（深圳）有限公司 身份认证方法、系统、计算机设备及存储介质
CN110570261B (zh) * 2019-08-30 2022-05-24 天地融科技股份有限公司 一种获取不停车收费发票的方法、系统以及车载单元
CN111262889B (zh) * 2020-05-06 2020-09-04 腾讯科技（深圳）有限公司 一种云服务的权限认证方法、装置、设备及介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1691578A (zh) * 2004-04-29 2005-11-02 华为技术有限公司 一种设备验证自身合法性的方法
CN101409621A (zh) * 2008-11-13 2009-04-15 中国移动通信集团北京有限公司 一种基于设备的多方身份认证方法及系统
CN101442411A (zh) * 2008-12-23 2009-05-27 中国科学院计算技术研究所 一种p2p网络中对等用户结点间的身份认证方法
CN101902476A (zh) * 2010-07-27 2010-12-01 浙江大学 移动p2p用户身份认证方法
US20150039883A1 (en) * 2013-07-31 2015-02-05 Sds America, Inc. System and method for identity-based key management

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101150405B (zh) * 2006-09-22 2010-10-27 华为技术有限公司 多播广播业务认证鉴权的方法及系统
CN101771535B (zh) * 2008-12-30 2012-07-11 上海茂碧信息科技有限公司 终端和服务器之间的双向认证方法
CN101873298A (zh) * 2009-04-21 2010-10-27 华为软件技术有限公司 注册方法及终端、服务器、系统
JP5537129B2 (ja) * 2009-11-25 2014-07-02 Ｋｄｄｉ株式会社 認証システム、認証方法およびプログラム
CN102137103A (zh) * 2011-03-09 2011-07-27 北京交通大学 通过扩展MIKEY协议实现VoIP媒体流可信传输的方法
CN102413132B (zh) * 2011-11-16 2014-12-17 北京数码视讯软件技术发展有限公司 基于双向安全认证的数据下载方法及系统
CN102685110B (zh) * 2012-04-17 2015-02-18 中国科学院计算技术研究所 一种基于指纹特征的通用用户注册认证方法及系统
CN103152735A (zh) * 2013-03-27 2013-06-12 深圳市中兴移动通信有限公司 移动终端中双向签名的方法及装置
KR101568940B1 (ko) * 2014-10-01 2015-11-20 이화여자대학교 산학협력단 모바일 개방형 iptv 시스템에서 단말간 통신을 위한 인증 방법 및 모바일 개방형 iptv 시스템에서 단말간 통신 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1691578A (zh) * 2004-04-29 2005-11-02 华为技术有限公司 一种设备验证自身合法性的方法
CN101409621A (zh) * 2008-11-13 2009-04-15 中国移动通信集团北京有限公司 一种基于设备的多方身份认证方法及系统
CN101442411A (zh) * 2008-12-23 2009-05-27 中国科学院计算技术研究所 一种p2p网络中对等用户结点间的身份认证方法
CN101902476A (zh) * 2010-07-27 2010-12-01 浙江大学 移动p2p用户身份认证方法
US20150039883A1 (en) * 2013-07-31 2015-02-05 Sds America, Inc. System and method for identity-based key management

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111741465A (zh) * 2019-03-25 2020-10-02 成都鼎桥通信技术有限公司 软sim保护方法及设备
CN113282908A (zh) * 2020-02-19 2021-08-20 网联科技股份有限公司 合法性验证方法
CN113992416A (zh) * 2021-10-28 2022-01-28 上海辰锐信息科技公司 一种物联感知终端认证方法及物联感知终端
CN114422145A (zh) * 2022-01-21 2022-04-29 上海交通大学 基于PUF与Hash的物联网端到端动态身份认证方法
CN115001822A (zh) * 2022-06-02 2022-09-02 广东电网有限责任公司 一种基于时延判断的配电网安全认证方法及网关
CN115001822B (zh) * 2022-06-02 2023-11-10 广东电网有限责任公司 一种基于时延判断的配电网安全认证方法及网关

Also Published As

Publication number Publication date
CN105975846B (zh) 2019-04-12
CN105975846A (zh) 2016-09-28

Similar Documents

Publication Publication Date Title
WO2017185450A1 (zh) 终端的认证方法及系统
WO2017201809A1 (zh) 终端通信方法及系统
Chen et al. Lightweight and provably secure user authentication with anonymity for the global mobility network
US8881257B2 (en) Method and apparatus for trusted federated identity management and data access authorization
US20170054707A1 (en) Method and Apparatus for Trusted Authentication and Logon
JP5688087B2 (ja) 信頼できる認証およびログオンのための方法および装置
WO2017028593A1 (zh) 网络接入设备接入无线网络接入点的方法、网络接入设备、应用程序服务器和非易失性计算机可读存储介质
US8769289B1 (en) Authentication of a user accessing a protected resource using multi-channel protocol
US20160125180A1 (en) Near Field Communication Authentication Mechanism
CN102685749B (zh) 面向移动终端的无线安全身份验证方法
US20110320802A1 (en) Authentication method, key distribution method and authentication and key distribution method
US9998287B2 (en) Secure authentication of remote equipment
CN111800377B (zh) 一种基于安全多方计算的移动终端身份认证系统
Santos et al. FLAT: Federated lightweight authentication for the Internet of Things
WO2011009268A1 (zh) 一种基于wapi的认证系统及方法
CN112640385A (zh) 非3gpp设备对核心网络的接入
WO2023071751A1 (zh) 一种认证方法和通信装置
Nikooghadam et al. A provably secure ECC-based roaming authentication scheme for global mobility networks
CN107911211B (zh) 基于量子通信网络的二维码认证系统
CN110866754A (zh) 一种基于动态口令的纯软件dpva身份认证方法
CN107786978B (zh) 基于量子加密的nfc认证系统
Kumar et al. A conditional privacy-preserving and desynchronization-resistant authentication protocol for vehicular ad hoc network
JP2017139026A (ja) 信頼できる認証およびログオンのための方法および装置
KR20080076399A (ko) 모바일 기기를 이용한 사용자와 서버간의 상호 인증시스템, 그 방법 및 기록매체
JP2015111440A (ja) 信頼できる認証およびログオンのための方法および装置

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16899960

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 16899960

Country of ref document: EP

Kind code of ref document: A1