[发明专利]移动用户通过家庭基站接入核心网的认证方法

摘要

本发明公开了一种移动用户通过家庭基站接入核心网的认证方法，主要弥补3GPP标准中，没有给出完整的移动用户接入核心网认证方法缺陷。在不改变3GPP标准中的网络设备的条件下，对现有基于认证和密钥分配协议EAP-AKA和密钥交换协议IKEv2进行改进。其认证步骤是：(1)家庭基站和安全网关建立安全信道IPsec；(2)移动用户进行接入认证，并为步骤(3)预先生成重要认证参数MK；(3)移动用户和核心网利用步骤(1)建立的IPsec以及步骤(2)预先生成的MK进行双向认证。本发明与传统的使用EAP-AKA和IKEv2的认证方法相比，在不降低安全性的条件下优化了认证步骤，减少了认证开销，具有安全、快速的优点，适用于移动用户需要通过家庭基站接入核心网的场景。

主权项

一种移动用户通过家庭基站接入核心网的认证方法，包括如下步骤：(1)利用认证与密钥分配协议EAP-AKA/SIM以及密钥交换协议IKEv2，对家庭基站与安全网关进行双向认证，并在家庭基站与安全网关之间建立一条安全信道IPsec；(2)移动用户通过AAA服务器进行如下接入认证：2.1)移动用户将自己的移动用户身份发送给AAA服务器，AAA服务器通过获得的移动用户身份从HSS服务器获取认证向量：挑战随机数RAND、认证令牌AUTN、认证挑战SRES、加密密钥CK和完整性密钥IK；2.2)AAA服务器计算主密钥：MK＝prf(Identity|IK|CK))，并使用主密钥MK生成主会话密钥MSK，其中|表示比特串的链接，prf是伪随机函数，Identity是移动用户身份，AAA服务器保存主密钥MK，建立与该主密钥对应的移动用户身份列表；2.3)AAA服务器计算消息认证码MACserver，将步骤2.1)得到的挑战随机数RAND，认证令牌AUTN以及MACserver通过EAP-Request/AKA-Challenge消息发送给移动用户；2.4)移动用户使用步骤2.2)的方法分别计算主密钥MK和主会话密钥MSK，并将这两个密钥存储后，计算认证响应XRES和消息认证码MACuser；2.5)移动用户验证从步骤接2.3)收到的消息认证码MACserver和挑战随机数RAND，验证通过后，将步骤2.4)中得到的认证响应XRES和消息认证码MACuser，通过EAP-Response/AKA-Challenge消息发送给AAA服务器；2.6)AAA服务器验证接收到的认证响应XRES和消息认证码MACuser，如果验证通过，则在移动用户和家庭基站之间使用主会话密钥MSK进行安全通信；(3)移动用户通过家庭基站和核心网之间进行如下双向认证：3.1)移动用户和安全网关直接利用步骤(1)中建立的安全信道IPsec进行安全通信；3.2)移动用户用步骤2.4)中存储的主密钥MK计算移动用户认证负载AUTHi，并将把IP地址请求消息CP-Request、移动用户身份ID和移动用户认证负载AUTHi发送给安全网关；3.3)安全网关接到移动用户发送的消息后，将移动用户身份ID转发给AAA服务器，AAA服务器搜索步骤2.2)中建立的移动用户身份列表，找到移动用户身份ID所对应的主密钥MK，并把主密钥MK发送给安全网关；3.4)安全网关接收主密钥MK，并验证移动用户的移动用户认证负载AUTHi，验证成功后，利用收到的主密钥MK计算安全网关认证负载AUTHr，并把安全网关认证负载AUTHr和IP地址响应消息CP-Reply发送给移动用户；3.5)移动用户验证接收到的安全网关认证负载AUTHr，并从接收到的IP地址响应消息CP-Reply中获得接入核心网的IP地址，整个认证过程结束。