[发明专利]在终端上实现共享密钥保存和使用的共享密钥管理方法

说明书

技术领域

本发明涉及无线通信领域，更具体地，涉及一种在由PCMCIA卡和电脑构成的特定终端类型上实现共享密钥管理的方法。

背景技术

近年来，无线城域网(Wireless MAN)技术逐渐变得成熟并得到实际应用，为了促进无线城域网技术的进一步发展，IEEE成立了802.16工作组来专门研究宽带无线接入技术规范，目标是要建立一个全球统一的宽带无线接入标准，目前主要形成了两个标准：IEEE802.16-2004即IEEE802.16d，支持固定宽带无线接入，目前市场上已有成熟的产品；另外一个为IEEE802.16e，为支持移动特性的宽带无线接入标准，即将有相关的产品推向市场。同时，全球知名的运营商和通讯制造商共同成立了微波存取全球互通技术论坛(World Interoperability for Microware Access，以下简称为WiMAX)，WiMAX论坛的宗旨是促进和认证符合IEEE 802.16和ETSI HiperMAN标准的宽带无线接入设备的兼容性和互操作性，只有通过WiMAX认证的产品才能更好地被运营商和用户所接受。

IEEE 802.16系列标准针对无线环境系统易受窃取，假冒和攻击的特点，在安全性方面做了专门的考虑，特别设置了一个安全子层，包括鉴权、授权和密钥管理、加密等功能，对用户安全的接入网络提供了充分保障。其中鉴权支持两种不同类型的鉴权协议：RSA和EAP鉴权，其中后者是为获得WiMAX认证必须要支持的，EAP是Extensible Authentication Protocol(扩展鉴权协议)的缩写，包括EAP层和EAP方法层，EAP方法层定义了具体的EAP鉴权方法，包括EAP-MD5、EAP-AKA、EAP-SIM等，不同的鉴权方法可分别用于设备鉴权或用户鉴权。

在上述鉴权方法中，有的需要在终端入网时为其分配一个根密钥，同时将上述根密钥保存在鉴权/授权/计费服务器(Authentication、Authorization、以及Accounting，以下简称为AAA服务器)中，这种同时在终端和AAA服务器上配置的相同的密钥，称为共享密钥。例如，上述鉴权方法中用于用户鉴权的根密钥(Subscriber Root Key，以下简称为SRK)，或者用于设备鉴权的预共享密钥(Preshared Key，以下简称为PSK)。

图1给出了终端与AAA实现EAP-MD5鉴权的过程。如图1所示，终端在网络初始接入过程中，必须与基站或AAA服务器进行鉴权，鉴权过程中执行EAP方法，通常是相互进行一些请求和应答，根据请求和应答中携带的信息连同共享密钥，最终在终端和AAA服务器两端分别派生出主会话密钥(Master Session Key，以下简称为MSK)。例如，EAP-MD5就是由AAA服务器向终端发出MD5-Challenge，终端给出应答(MD5 Response＝MD5(Identifier，Secret，Challenge))，AAA服务器完成对终端的鉴权(确认MD5Response合法)后，双方可根据共享密钥Secret和MD5-Challenge共同派生出MSK。

终端设备(CPE)包括不同的构成形式：早期的CPE类似DSL调制解调器，目前CPE可集成为上网卡的形式(诸如PCMCIA卡)，可与笔记本电脑配合使用实现上网等多种功能，未来CPE可进一步缩小成为单独的PDA或手机。

以PCMCIA卡与笔记本电脑构成的终端为例，目前主要以如下方式实现鉴权，如图2所示，PCMCIA卡实现802.16e PKMv2消息的处理，即实现协议栈中的802.16和PKMv2两层，运行在笔记本电脑上的拨号软件完成用户名(NAI)和密码(Secret)的输入，并实现EAP Method层和EAP层报文的处理，即实现协议栈中的EAPMethod和EAP层。图3显示了PCMCIA卡与笔记本电脑构成的终端如何进行共享密码保存与使用。输入的密码可保存在拨号软件中(此时，可省略如图2所示的步骤1以及步骤2)，或者通过拨号软件与PCMCIA卡提供的应用程序接口(Application ProgrammeInterface，以下简称为API)写入到PCMCIA卡的非易失性存储器(ROM或者FLASH)里面(参见步骤1)，每次鉴权时拨号软件再通过API接口读取该Secret(参见步骤2)，并构造EAP报文，通过API接口送往PCMCIA卡(参见步骤3)，PCMCIA卡封装EAP报文到密钥管理协议(PKM)消息中送往基站进行鉴权(参见步骤4)。

但是，上述实现方式存在如下缺点：