[发明专利]一种身份鉴别方法和装置

说明书

本申请公开了一种身份鉴别方法，请求设备和鉴别接入控制器基于预共享密钥的鉴别机制进行身份验证时，以密文的形式传输被验证方的身份信息，防止了被验证方的身份信息在传输过程中直接暴露，保证攻击者无法获得私密、敏感信息；在保证实体身份相关信息机密性的同时，实现了鉴别接入控制器和请求设备之间双向或单向的身份鉴别，从而为确保访问网络的用户是合法的，和/或，用户访问的网络是合法的奠定基础。同时，结合密钥交换计算并通过巧妙的细节设计，增强了该鉴别过程的抗字典暴力破解或者抗量子计算攻击能力。

技术领域

本申请涉及网络通信安全技术领域，特别是涉及一种身份鉴别方法和装置。

背景技术

在通信网络中，请求设备可以通过鉴别接入控制器访问网络。在一些对安全性需求较高的情况下，鉴别接入控制器需要对请求设备的身份进行鉴别，有时，请求设备也需要对鉴别接入控制器的身份进行鉴别，以确保访问网络的请求设备属于合法用户，和/或，请求设备访问的网络属于合法网络。此外，在区块链技术中的点对点传输，也需要在不同节点之间建立信任关系，因此对于节点的身份鉴别也是十分重要的。

目前，请求设备和鉴别接入控制器可以采用预共享密钥的鉴别机制进行身份验证，但在此过程中通常不携带实体的身份信息，也就是说，只要对对方的预共享密钥进行了验证，就判定对方是否合法，但实际上对方是谁并不知晓，从本质上来讲，并没有实现对对方身份的真正鉴别；也有一些方案，虽然在验证对方预共享密钥的同时携带了身份信息，但在鉴别消息传输的过程中，却又经常直接暴露实体的身份信息，而实体的身份信息包含了实体的若干私密或敏感信息，譬如身份证号、家庭住址、银行卡信息等，若被攻击者截获继而被其利用从事非法活动，后果将不堪设想。

若在请求设备与网络的身份鉴别过程中，请求设备的身份信息被攻击者截获用于非法用途，或者网络的身份信息被攻击者截获用于非法用途，则会对鉴别接入控制器、请求设备以及网络造成极大的安全隐患。

发明内容

为了解决上述技术问题，本申请提供了一种身份鉴别方法和装置，在保障实体身份和相关信息机密性的同时，利用预共享密钥实现了鉴别接入控制器和请求设备之间双向或单向的身份鉴别，从而确保访问网络的用户是合法的，和/或，用户访问的网络是合法的。同时，选择采用如迪菲·赫尔曼(Diffie-Hellman，简称DH)等密钥交换计算并通过巧妙的细节设计，增强了该鉴别过程的抗量子计算攻击或者抗字典暴力破解攻击的能力。

本申请实施例公开了如下技术方案：

第一方面，本申请实施例提供了一种身份鉴别方法，包括：

请求设备向鉴别接入控制器发送第一身份密文消息，所述第一身份密文消息中包括第一身份信息密文，所述第一身份信息密文是利用消息加密密钥对包括所述请求设备的身份标识在内的信息加密生成的；

所述鉴别接入控制器利用所述消息加密密钥解密所述第一身份信息密文得到所述请求设备的身份标识，根据所述请求设备的身份标识确定与所述请求设备的预共享密钥，根据包括所述预共享密钥和第一密钥在内的信息计算生成身份鉴别密钥；

所述鉴别接入控制器向所述请求设备发送第二身份密文消息，所述第二身份密文消息中包括第二身份信息密文和所述鉴别接入控制器的第二密钥交换参数，所述第二身份信息密文是所述鉴别接入控制器利用所述消息加密密钥对包括所述鉴别接入控制器的身份标识在内的信息加密生成的；所述鉴别接入控制器的第二密钥交换参数是利用所述身份鉴别密钥对包括所述鉴别接入控制器生成的第二临时公钥在内的信息加密生成的；

所述请求设备利用所述消息加密密钥解密所述第二身份信息密文得到所述鉴别接入控制器的身份标识，根据所述鉴别接入控制器的身份标识确定与所述鉴别接入控制器的预共享密钥，根据包括所述预共享密钥和所述第一密钥在内的信息计算生成所述身份鉴别密钥；