中繼節點設備認證機制制造技術

本發明專利技術提出了一種中繼節點認證解決方案。該解決方案包括中繼節點和中繼UICC的互認證，中繼節點和網絡的互認證，以及中繼UICC和中繼節點之間的安全信道建立。重用TS33.401中的AKA過程，從而不再需要額外的NAS消息。根據哪個MME-RN可以從HSS獲取RN的公共密鑰，在初始NAS消息中向網絡發送IMEI，并執行針對DeNB的接入控制。MME-RN基于IMSI、IMEI和Kasme，產生會話密鑰，利用RN的公共密鑰對其進行加密，并將其發送給RN。UICC也產生相同的密鑰，因此RN可以認證UICC和網絡。當在UICC和RN之間發送的密鑰或其他參數不匹配時，UICC或RN會發送具有新原因的認證拒絕消息，以通知網絡。

【技術實現步驟摘要】
【國外來華專利技術】
本專利技術提出了一種用于中繼節點(RN)設備和網絡之間的互認證、中繼通用集成電路卡(UICC)和中繼設備之間的互認證和安全信道建立的機制。為了防止攻擊(非專利文獻(NPL) 2)，提供了一種重用NPL3中的認證和密鑰協議(AKA)過程和初始非接入層(NAS)過程的解決方案。防止了對中繼ncc和中繼設備配置的惡意修改或誤用、并防止了對它們之間的消息的攔截和修改。
技術介紹
第三代合作伙伴計劃(3GPP)長期演進增強(LTE-Advanced)正在考慮針對成本有效吞吐量增加和覆蓋范圍擴展的中繼(參見NPL1)。在中繼構架中，如果中繼UICC(在本專利技術中，使用nCC表示中繼nCC)和網絡之間的通信和/或RN和網絡之間的通信不安全，則可能發生中間人(MitM)攻擊、通信劫持以及若干其他攻擊。此外，在針對nCC的認證期間，認證參數通過RN以及nCC和RN平臺之間的連接進行傳遞。入侵者可以捕捉、修改或注入消息和認證數據。因為RN設備具有可移除(參見NPL2)，nCC可以插入到運營商未被授權的另一 RN中。此外，nCC和RN之間的通信必須經過安全認證和秘密保護。然而，因為沒有提供針對平臺認證的解決方案，NPL3中公開的SAE(系統構架演進)/LTE的AKA過程不適用于中繼節點的情形。因此，不僅需要提供針對Π(Χ和網絡的互認證，還需要提供針對RN和網絡的互認證、以及針對UICC和RN平臺的互認證。引用文獻列表非專利文獻NPLl:TR36.806, Relay architectures for E-UTRA(LTE-Advanced)(Released ，V9.0.0，2010-03NPL2:S3_100896, Living Document on Key Security Issues of RelayNode ArchitecturesNPL3:TS33.401， 3GPP System Architecture Evolution (SAE) ；Securityarchitecture(Release9) , V9.4.0,2010-0
技術實現思路
在本申請中，提出了一種中繼節點認證解決方案，其提供了(l)ncc和中繼節點設備與網絡之間的互認證，(2)ncc和中繼節點設備的安全綁定，以及(3)ncc和中繼節點設備之間的安全信道創建。所提出的解決方案減輕了 NPL2中提及的威脅I至威脅5。此解決方案也滿足了中繼節點的其他需求，如:重用AKA過程，中繼節點僅與DeNB (施主演進NodeB)連接，以及防止中繼節點的多跳創建。該解決方案也是未來可證的，因為其可以不經修改地用于移動性(當前中繼節點規范集中在針對覆蓋范圍擴展的固定布設上)。認證需要ncc到網絡的互認證、中繼設備到網絡的互認證、以及ncc和中繼設備之間的綁定；所有這些要求通過以下操作完成:1.UICC到網絡的互認證通過EPS (演進分組系統)AKA實現。2.網絡基于中繼設備使用私有密鑰進行加密的消息，來認證中繼設備。3.在所提出的解決方案中，產生Kri和Krc，用于HCC和中繼設備之間的安全通信。Kri和Krc僅可由網絡和USM(通用訂戶標識模塊)創建。向中繼設備發送使用中繼設備的公共密鑰加密的Kri和Krc。因此，只有中繼設備可以解密該消息，并使用來自USM的Kri來驗證MAC(消息認證碼)。因此，因為網絡持有與USM相同的根密鑰，中繼設備認證網絡。4.中繼設備在認證響應中向網絡發送由Krc加密的值(例如MSI (國際移動訂戶標識))，并由此證明其持有與RN密鑰一起發送的消息的私有密鑰，并且因為其具有來自USIM的RES (認證響應)，由此證明其與nCC在一起。因此，提供了 HCC和RN之間綁定的證明。威脅減輕威脅1:通過認證中繼設備、UICC以及它們之間的綁定，而得以減輕。威脅2:消息認證碼減輕了認證期間的這種威脅。在認證之后，中間人需要用于保護中繼設備和網絡之間的業務的完整性和/或機密性的密鑰。威脅3:通過使用UP (用戶面)機密性和完整性的EPS安全過程，而得以減輕。所提出的解決方案依賴于IPsec (針對因特網協議的安全構架)或用于UP的完整性保護的新密鑰創建。威脅4:通過所討論的認證而加以考慮。威脅5:在USIM創建密鑰Kri和Krc并在中繼設備使用這些密鑰，從一開始就實現了 USM和中繼設備之間的安全通信，即，甚至在傳遞CK (密碼密鑰)和IK (完整性密鑰)之前。其他要求維護AKA過程。中間人和多跳是不可能的，即使進行了這種動作，也只能導致業務的“中繼”，而不會造成對來自中繼節點的通信的攻擊。由在NAS SMC(安全模式命令)期間選擇的算法保護的、來自MME(移動管理實體)的附接接受包括允許中繼節點與之通信的DeNB列表，使得中繼與正確的DeNB連接。本專利技術的有益效果中繼節點平臺和網絡能夠獲得互認證。中繼節點平臺和也能夠獲得互認證。互認證確保在RN中不會誤用UE (用戶設備)-UICC或任何其他的偽造nCC，并也防止誤用不屬于運營商的中繼設備。重用NPL3中公開的針對UE和MME的AKA過程序列，因而不增加額外的信令,并且密鑰層級保持相同。在HCC和RN平臺之間建立了安全信道，從而對CK和IK進行加密發送。附圖說明圖1是示出了所提出的解決方案的示例的時序圖。圖2是示出了根據本專利技術示例實施例的網絡系統的配置示例的方框圖。圖3是示出了根據本專利技術示例實施例的中繼節點的配置示例的方框圖。圖4是示出了根據本專利技術示例實施例的網絡節點的配置示例的方框圖。圖5是示出了根據本專利技術示例實施例的ICC的配置示例的方框圖。具體實施例方式在下文中，將參考圖1至5描述根據本專利技術的中繼節點、網絡節點和ICC以及應用這些節點和ICC的網絡系統的示例實施例。應當注意的是，在所有附圖中，將相同的符號分配給相同的元件，并且為了描述簡潔，適當地省略了對其的重復解釋。如圖2所示，根據本示例實施例的網絡系統包括UICClO、RN20、DeNB30、MME40和HSS50。UICClO與RN20綁定。RN20無線地中繼UE (未示出)和DeNB30之間的業務。MME40執行對DeNB30的接入控制，如果需要，與HSS50通信。應當注意的是，稍后將參考圖3至5描述UICClO、RN20和MME40的配置示例。在本示例實施例中，提出了一種中繼節點認證解決方案，其提供了(l)nCC和中繼節點設備與網絡之間的互認證，(2)nCC和中繼節點設備的安全綁定，以及(3)nCC和中繼節點設備之間的安全信道創建。所提出的解決方案減輕了中繼節點安全動態更新文件中提及的威脅I至威脅5。此解決方案也滿足了中繼節點的其他需求，如:重用AKA過程，中繼節點僅與DeNB相連，以及防止中繼節點的多跳創建。該解決方案也是未來可證的，因為其可以不經修改地用于移動中繼節點(當前標準化的中繼節點被認為是靜態的并用于覆蓋范圍擴展目的)。針對RN認證，修改并重用NPL3中的AKA過程。該解決方案假定:1.UICC是可移除的。2.DeNB和網絡之間的通信是安全的。3.RN具有數字證書。針對以下部分的討論，Kpub是RN的公共密鑰，其映射到RN的標識(假定是IMEI (國際移動設備標識))；Kpr是RN的私有密鑰本文檔來自技高網...

【技術保護點】

【技術特征摘要】
【國外來華專利技術】2010.09.13 JP 2010-2048631.一種中繼節點，能夠無線地中繼用戶設備UE和基站之間的業務，所述中繼節點包括: 第一裝置，用于以所述中繼節點的私有密鑰對所述中繼節點的標識符進行加密；以及第二裝置，用于通過所述基站，向具有所述中繼節點的公共密鑰的網絡發送加密的標識符和明文的標識符。2.根據權利要求1所述的中繼節點，還包括: 第三裝置，用于通過所述基站，從所述網絡接收以所述公共密鑰加密的第一會話密鑰，所述第一會話密鑰是通過至少使用與允許綁定到所述中繼節點的集成電路卡ICC有關的信息推導得到的；以及 第四裝置，用于以所述私有密鑰對所述第一會話密鑰進行解密， 其中所述第一裝置以解密的第一會話密鑰對所述標識符進行加密， 其中，所述第二裝置向綁定到所述中繼節點的ICC發送以所述解密的第一會話密鑰加密的標識符和所述明文的標識符，使綁定ICC認證所述中繼節點。3.根據權利要求2所述的中繼節點，其中，所述信息包括分配給允許ICC的標識符和所述允許ICC能夠產生的參數中的至少一個。4.根據權利要求2或3所述的中繼節點，其中，除所述信息之外，所述第一會話密鑰還使用所述中繼節點的所述標識符推導得到。5.根據權利要求2至4中任意一項所述的中繼節點， 其中，所述第三裝置從所述綁定ICC接收加密的第二會話密鑰，用于安全地進行所述中繼節點和所述綁定ICC之間的通信， 其中，所述第四裝置以所述解密的第一會話密鑰對所述第二會話密鑰進行解密。6.根據權利要求2至5中任意一項所述的中繼節點， 其中，當所述綁定ICC成功認證所述中繼節點時，所述第一裝置以所述解密的第一會話密鑰對所述綁定ICC的標識符進行加密， 其中，所述第二裝置通過所述基站向所述網絡發送所述綁定ICC的加密的標識符。7.根據權利要求2至6中任意一項所述的中繼節點，其中，當所述綁定ICC未能認證所述中繼節點時，所述第二裝置通過所述基站向所述網絡發送失敗的原因。8.根據權利要求1至7中任意一項所述的中繼節點， 其中，所述第一裝置以所述私有密鑰對與所述中繼節點綁定的ICC的標識符進行加密， 其中，所述第二裝置通過所述基站向所述網絡發送所述ICC的加密的標識符，以使所述網絡檢查所述綁定ICC是否允許綁定到所述中繼節點。9.一種網絡節點，執行針對基站的接入控制，所述網絡節點包括: 第一裝置，用于通過所述基站從能夠無線地中繼用戶設備UE和所述基站之間的業務的中繼節點接收以所述中繼節點的私有密鑰加密的所述中繼節點的標識符和明文的標識符; 第二裝置，用于從服務器獲取所述中繼節點的公共密鑰； 第三裝置，用于以所述公共密鑰對所述加密的標識符進行解密；以及 第四裝置，用于通過將解密的標識符與所述明文的標識符進行比較，來認證所述中繼節點。10.根據權利要求9所述的網絡節點，還包括: 第五裝置，用于通過至少使用與允許綁定到所述中繼節點的集成電路卡ICC有關的信息，推導出第一會話密鑰； 第六裝置，用于以所述公共密鑰對所述第一會話密鑰進行加密；以及 第七裝置，用于通過所述基站向所述中繼節點發送加密的第一會話密鑰。11.根據權利要求10所述的網絡節點，其中，所述第五裝置使用分配給所述允許ICC的標識符和所述允許ICC能夠產生的參數中的至少一個，作為所述信息。12.根據權利要求10或11所述的網絡節點，其中，除所述信息之外，所述第五裝置還使用所述中繼節點的所述標識符推導所述第一會話密鑰。13.根據權利要求9至12中任意一項所述的網絡節點， 其中，所述第一裝置通過所述基站從所述中繼節點接收綁定到所述中繼節點的ICC的標識符，所述綁定ICC的所述標識符是以所述私有密鑰加密的， 其中，所述第三裝置以所述公共密鑰對所述綁定ICC的所述標識符進行解密， 其中，所述第四裝置基于所述ICC的解密的標識符，認證所述綁定ICC。14.根據權利要求13所述的網絡節點，其中，所述第四裝置通過向所述服務器通知所述ICC的所述解密的標識符，以檢查所述綁定ICC是否允許綁定到所述中繼節點，來認證所述綁定ICC。15.根據權利要求9至14中任意一項所述的網絡節點，還包括: 用于基于所述中繼節點的所述標識符，確定是否允許所述中繼節點接入所述基站的裝置。16.根據權利要求9至15中任意一項所述的網絡節點，其中，當綁定到所述中繼節點的ICC未能認證所述中繼節點時，所述第一裝置通過所述基站從所述中繼節點接收失敗的原因。17.根據權利要求10至16中任意一項所述的網絡節點， 其中，所述第二裝置從所述服務器獲取允許所述中繼節點接入的一個或更多個基站的列表， 其中，所述第七裝置通過所述基站向所述中繼節點發送所述列表。18.一種集成電路卡ICC，所述ICC能夠綁定到中繼節點，所述中繼節點無線地中繼用戶設備UE和基站之間的業務，所述ICC包括: 第一裝置，用于從所述中繼節點接收所述中繼節點的加密的標識符和明文的標識符； 第二裝置，用于通過至少使用與所述ICC有關的信息，推導出第一會話密鑰； 第三裝置，用于以所述第一會話密鑰對所述加密的標識符進行解密；以及第四裝置，用于通過將解密的標識符與所述明文的標識符進行比較，來認證所述中繼節點。19.根據權利要求18所述的ICC，其中，所述第二裝置使用分配給所述ICC的標識符和所述ICC能夠產生的參數中的至少一個，作為所述信息。...

【專利技術屬性】
技術研發人員：張曉維，阿南德·羅迦沃·普拉薩德，
申請(專利權)人：日本電氣株式會社，
類型：
國別省市：