[发明专利]一种基于网络接入设备的移动IPv6服务认证方法

说明书

技术领域

本发明涉及一种移动IPv6服务认证技术，尤其涉及一种基于网络接入设备的移动IPv6 服务认证方法，属于网络通信服务认证领域。

背景技术

在无线网络中，MN通常只与家乡域的认证服务器存在信任关系，而与HA不存在信任 关系，因此双方首先需要完成认证过程，之后在认证产生的根密钥的基础上建立一系列的子 密钥，并使用子密钥保护移动IP信令安全。

鉴于3GPP等标准组织把diameter协议作为无线网络的AAA协议，目前移动IP相关的 认证技术都在IETF dime工作组进行。最早的移动IP认证协议是dime-mip4(RFC4004)，它对 无线网络的环境特点进行了分析，并提出了无线网络mip4信任模型(如图1所示)。在该信 任模型的基础上，IETF基于diameter、EAP及dime-eap协议提出了一种认证模型，该认证模 型其实是一种类Kerberos协议。

Mip6认证过程与mip4认证过程类似，都是一种类Kerberos的认证技术。所不同的是， IETF dime工作组结合无线网络的特点提出了两种mip6认证场景：split场景和integrited场 景。在integrited场景中，MN在接入网络的接入认证和获取移动IP服务是在同一个协议中进 行，这一情况适合于MN启动时的认证问题，底层协议可以是802.1x，pana，ikev2等其他协议； 在split场景中，MN已经完成与接入域网络的认证过程，是单纯的MN与HA的认证过程， 这通常适合于MN启动后需要获得移动IP服务的情况，底层协议通常是ikev2或RFC4285(也 就是RFC4877中提到的基于ike生成共享密钥的方法)。

现有的这些移动IP认证技术都是类Kerberos技术，它们都存在如下问题：1)易遭受分 布式拒绝服务攻击(DDOS)；2)一旦某些网络域遭受网络攻击，则这一攻击将被扩散到HA 所在的网络域，且受攻击的网络域中任何节点都可以对HA和diameter服务器进行攻击。

发明内容

本发明针对背景技术中现有移动IP认证技术存在的缺陷，而提出一种在网络接入认证基 础上进行移动IPv6服务认证的方法。

本发明的基于网络接入设备的移动IPv6服务认证方法，包括如下步骤：

步骤1：

MN产生nonce1，MN使用kad将nonce1和AID签名，并将第一消息{nonce1，AID}_kad发送给NAS；

步骤2：

NAS使用kbc将第一消息{nonce1，AID}_kad和BID签名，并将第二消息 {BID，{nonce1，AID}_kad}_kbc发送给AAAF；

步骤3：

AAAF使用kcd将第二消息{BID，{nonce1，AID}_kad}_kbc签名，并将第三消息 {{BID，{nonce1，AID}_kad}_kbc}_kcd发送给AAAH；

步骤4：

AAAH验证第三消息{{BID，{nonce1，AID}_kad}_kbc}_kcd的签名，当验证成功时，则允许MN 使用移动IPv6服务，否则拒绝服务；

步骤5：

当步骤4验证成功时，AAAH产生nonce2；

计算kah＝hash(kad|AAAHID|HAID|AID|nonce1|nonce2)；

步骤6：AAAH将kah发送给HA；

步骤7：AAAH将nonce2签名并发送给AAAF；

步骤8：AAAF将nonce2签名并发送给NAS；

步骤9：NAS将nonce2签名并发送给MN；

步骤10：MN收到nonce2后，计算kah＝hash(kad|AAAHID|HAID|AID|nonce1|nonce2)，并使 用kah验证NAS发来的消息，当验证通过时，则MN与HA建立共享密钥，即kah；