[发明专利]一种基于对称密钥池的HTTP-Digest改进型AKA身份认证系统和方法

说明书

本发明公开一种基于对称密钥池的HTTP‑Digest改进型AKA身份认证系统和方法，实施认证时请求方向鉴权方发起鉴权请求，鉴权请求中带有第一随机数；鉴权方响应于所述鉴权请求生成提问消息并发送至请求方，所述提问消息包括消息认证码、AMF以及用于生成协商密钥的第二随机数，且该第二随机数采用密文形式，用于加密第二随机数的匿名密钥是利用所述第一随机数生成；请求方接收来自鉴权方的提问消息，利用第一随机数对所述提问消息进行验证，验证通过后生成应答消息发送至鉴权方；鉴权方接收来自请求方的应答消息并进行认证得到鉴权结果，再将鉴权结果发送给请求方；请求方接收来自鉴权方的鉴权结果。本发明采用双向认证提高了安全性，简化了繁琐的消息校验步骤。

技术领域

本发明涉及安全通信技术领域，具体涉及一种端到端的鉴权和密钥协商的算法，即通信双方如何进行双向的身份认证和从对称密钥池中取出相同密钥的机制。

背景技术

鉴权是实现信息安全的基本技术，系统通过审查用户的身份来确认该用户是否具有对某种资源的访问和使用权限，同样也可以进行系统与系统间的身份认证。

移动通信的安全问题正面临着严峻的挑战，也越来越多的受到关注。作为相对独立的安全体系，用户端和服务器之间的通信必须时刻处于安全保护之中，所有的用户端在使用网络核心控制平台的服务之前都必须进行鉴权。如何保证用户端安全的接入网络，完成与服务器之间的双向身份认证有着十分重要的现实意义。随着量子计算机的发展，经典非对称加密算法将不再安全，无论是认证还是加解密领域，对称密钥算法将大行其道。比如目前在移动通信领域比较常用的基于对称密钥算法的服务器法之一的AKA机制。基于认证和密钥协商(AKA)的接入认证机制是由IETF 制定，被3GPP采用并广泛应用的鉴权机制。AKA机制在身份认证的同时并进行了密钥的协商，为后续通信的加密提供了密钥保障。

作为安全性升级的方案，对称密钥池的方式将是一种保证密钥安全的重要方案乃至主流方案。同时可以对对称密钥池中的全部或部分内容进行加密存储，加密密钥可以存储到对称密钥池宿主的安全隔离装置中。后续对对称密钥池进行密钥操作时，需要由安全隔离装置解密后使用。有关对称密钥池可参见公开号为CN105337726A，发明名称为“基于量子密码的端对端手持设备加密方法及系统”的发明专利文献，公开了一种基于量子密码的端对端手持设备加密方法，其量子通信的两台密钥分发设备之间，通过QKD形成了一对对称密钥池，用于QKD双方的用户进行量子加密通信。

又例如公开号为CN106452740A，发明名称为“一种量子通信服务站、量子密钥管理装置以及密钥配置网络和方法”的发明专利文献，公开了一种量子通信服务站、量子密钥管理装置，两者之间共享同样的量子随机数密钥数据块，该数据块对也可以理解为一对对称密钥池，用于双方的用户进行量子随机数密钥的加密通信。

公开号为CN106357649A，发明名称为“用户身份认证系统和方法”的专利文献，公开了一种对称密钥体制的身份认证方法。该发明基于移动密钥装置，采用量子真随机数发生器产生的真随机数作为密钥种子，在身份认证时有限多次使用，兼顾了密钥生成量和安全性问题。

现有技术存在的问题：

1.公开号为CN106357649A的专利文献虽然使用了对称密钥池的技术作为密钥的来源，但是其身份认证是单向的，存在较大的安全隐患。并且该发明在鉴权时没有密钥协商的功能，如需实现，得在鉴权后再开启密钥协商的功能。过程过于繁琐，且增加了鉴权双方的通信负担。

2.现有的使用AKA机制的HTTP Digest身份认证方法使用的根密钥非常有限，且协商的密钥都是通过根密钥计算所得，安全性能不高。

发明内容

本发明提供一种基于对称密钥池实现的身份认证系统和方法，在现有 AKA身份认证方法基础上进一步改进提高了安全性。

一种基于对称密钥池的HTTP-Digest改进型AKA身份认证方法，实施在用户端，包括：