[发明专利]下一代网络中支持移动性安全的方法与系统

权利要求书

1.一种下一代网络中支持移动性安全的方法，其特征在于，

网络中设置传输认证授权功能实体TAA-FE和移动代理功能实体，所述 移动代理功能实体与所述TAA-FE之间建立传输密钥材料的参考点；

当终端移动时，所述移动代理功能实体从所述TAA-FE处接收密钥材料， 对所述终端和移动代理功能实体之间的信令进行安全保护；

所述移动代理功能实体包括移动接入功能实体MA-FE和移动家乡功能 实体MH-FE；

所述终端移动时，附着网络的流程包括：

认证授权步骤：所述终端发起认证和授权请求，提供凭证给所述 TAA-FE，所述TAA-FE向传输用户描述功能实体TUP-FE查询用户描述信息， 根据所述用户描述信息对所述终端进行认证，若认证成功，所述TAA-FE向 所述MH-FE和MA-FE发送密钥，所述MH-FE与所述终端建立移动安全关 联；

IP配置步骤：所述TAA-FE将认证和授权响应返回给终端，其中包含终 端导出密钥的随机值、动态家乡地址HoA和家乡地址HA；所述终端获取临 时地址CoA；

位置管理步骤：所述终端把位置信息注册到传输位置管理功能实体 TLM-FE，TLM-FE将所述信息发送到资源准入控制功能实体RACF中；

隧道建立步骤：所述终端根据网络接入标识NAI、CoA和HoA构造注 册请求消息RRQ，并把绑定注册到所述MH-FE；所述MH-FE根据所述 TAA-FE发送的密钥对所述终端的移动IP信令进行验证，验证通过后，所述 MH-FE将当前隧道状态通知TLM-FE，并通过所述MA-FE将把移动IP注册 响应消息RRP发送到所述终端。

2.如权利要求1所述的方法，其特征在于，所述终端向所述TAA-FE 提供的凭证包括：共享密钥、数字证书。

3.如权利要求1所述的方法，其特征在于，所述终端通过以下方式 之一获取CoA：

网络接入配置功能实体NAC-FE给终端分配IP地址，即共存CoA；

所述终端通过和所述MA-FE交换移动IP请求或通告消息来获取外部代 理CoA。

4.如权利要求1所述的方法，其特征在于，所述TLM-FE接收到所 述MH-FE发送的当前隧道状态后，将描述信息发送给RACF。

5.如权利要求4所述的方法，其特征在于，所述描述信息包括密钥材 料、HoA、HA、认证授权、IP配置、位置中的一个或任意组合。

6.一种下一代网络中支持移动性安全的系统，包括：

传输用户描述功能实体TUP-FE，用于存储用户描述信息；

传输认证授权功能实体TAA-FE，用于接收终端的授权认证请求后，向 所述TUP-FE查询用户描述信息，并根据查询到的用户描述信息对所述终端 进行授权认证；

其特征在于，还包括：

移动代理功能实体，用于从所述TAA-FE获得密钥材料，并根据所述密 钥材料对所述终端的信令进行安全保护；

所述移动代理功能实体包括移动接入功能实体MA-FE和移动家乡功能 实体MH-FE，其中，

所述MA-FE，用于向所述终端提供临时地址，为所述终端提供路由服务； 所述MA-FE还用于中转所述终端的移动IP信令以及对所述终端进行认证； 当所述终端处于活动状态时，所述MA-FE还用于与资源准入控制功能实体 RACF交互来请求资源；

所述MH-FE，用于把报文送往离开家乡的终端，维护所述终端的绑定信 息；当所述终端接入需要动态家乡地址和MH-FE地址时，所述MH-FE可以 向所述TAA-FE提供动态家乡地址和MH-FE地址；所述MH-FE还用于从所 述TAA-FE请求密钥材料以完成对所述终端或MA-FE的MIP信令的认证； 所述MH-FE还用于在创建绑定记录后，向传输位置管理功能实体TLM-FE 通知隧道建立信息；当所述终端处于活动状态时，所述MH-FE还用于与 RACF交互来请求资源。

7.如权利要求6所述的系统，其特征在于，所述用户描述信息包括密 钥材料、HoA、HA、认证授权、IP配置、位置中的一个或任意组合。