[发明专利]支持多级安全的移动IPSec接入认证方法

权利要求书

1.一种MN在家乡网络时支持多级安全的移动IPSec接入认证方法，包括：如下步骤：

(1)移动IPv6网络中移动节点MN开机后选择随机数Ni，向家乡代理HA发送{CERT_MN，Ni，SAi1，KEi}Sig_MN消息，其中CERT_MN表示MN的证书，KEi表示发起方的Diffie-Hellman密钥交换参数，SAi1表示可供选择的IKE/SA算法提议，Sig_MN表示移动节点MN对消息{CERT_MN，Ni，SAi1，KEi}的签名；基于该证书将实体的统一标识UID和实体的角色ROLE绑定，实体的安全级和信息类列表唯一对应一个角色ROLE；

(2)家乡代理HA收到消息后，对MN的证书CERT_MN和所收到消息的签名Sig_MN进行验证，验证后由家乡代理HA选择随机数Nr，向移动节点MN发送{CERT_HA，Ni，Nr，SAr1，KEr}Sig_HA消息，用于创建MIPSec/SA_MN-HA和SAH/SA_MN-HA，其中CERT_HA表示HA的证书，KEr表示响应方的Diffie-Hellman密钥交换参数，SAr1表示响应方选择的IKE/SA算法，Sig_HA表示家乡代理HA对消息{CERT_HA，Ni，Nr，SAr1，KEr}的签名，MIPSec/SA_MN-HA表示移动节点MN和家乡代理HA之间的MIPSec安全关联，SAH/SA_MN-HA表示移动节点MN和家乡代理HA之间的源接入认证安全关联；

(3)移动节点MN收到消息后，对家乡代理的证书CERT_HA和所收到消息的签名Sig_HA验证后，根据KEr计算出与家乡代理HA之间的共享密钥SK，用该共享密钥SK加密消息{UID_MN，AUTH，SAi2，SAis}后，发送给家乡代理HA，其中UID_MN表示移动节点MN的统一标识，AUTH表示认证信息，SAi2表示可供选择的MIPSec/SA算法提议，SAis表示可供选择的源接入认证安全关联SAH/SA算法提议；

(4)家乡代理HA对收到的加密消息用共享密钥SK解密，对认证消息AUTH验证后，用共享密钥SK加密消息{UID_HA，AUTH，SAr2，SArs}，发送给移动节点MN，其中UID_HA表示家乡代理HA的统一标识，AUTH表示认证信息，SAr2表示响应方选择的MIPSec/SA算法，SArs表示响应方选择的源接入认证安全关联SAH/SA算法。

2.根据权利要求1所述的接入认证方法，其中步骤2所述的“家乡代理HA收到消息后，对移动节点的证书CERT_MN和所收到消息的签名Sig_MN进行验证”，除了对移 动节点的证书CERT_MN和所收到消息的签名Sig_MN进行验证，家乡代理HA还要对承载所收到消息数据包的源地址和CERT_MN中包含于移动节点统一标识UID_MN的IP地址进行对比，如果相同则接受注册，否则拒绝注册。

3.根据权利要求1所述的接入认证方法，其中步骤3所述的SAis和步骤4中所述的SArs消息用于创建从移动节点MN到家乡代理HA的源接入认证安全关联SAH/SA，该源接入认证安全关联SAH/SA用于防止多级安全网络的信息泄漏。