一种群组终端的网络认证方法及装置制造方法及图纸

本发明专利技术公开了一种群组终端的网络认证方法及装置，用以解决设备运维成本高、在群组终端接入网络的认证过程中，认证效率不高以及认证安全性不高的问题。该方法为：第一终端基于通过本地与基站之间的信道特征参数生成的物理层共享密钥对第一终端的身份信息进行加密，并将加密后的身份信息发送给网络服务器，接收网络服务器基于身份信息生成的群组认证向量，并基于群组认证向量完成网络认证，以及触发网络服务器通知与第一终端同组的其他群组终端采用群组认证向量进行网络认证。采用上述方法，终端可以通过基于本地与基站之间的信道特征参数生成的物理层共享密钥对终端的身份信息进行加密后再传输，这样就降低了终端身份信息泄露的概率。

A network authentication method and device for group terminal

The invention discloses a network authentication method and device for group terminal to solve the problem of high cost of equipment operation and maintenance, low authentication efficiency and low authentication security during the authentication process of group terminal access network. The method is as follows: the first terminal encrypts the identity information of the first terminal based on the physical layer shared key generated by the channel characteristic parameters between the local and the base stations, and sends the encrypted identity information to the network server, receiving the group authentication vector generated by the identity information based on the network server and based on the group. The authentication vector completes network authentication, and other group terminals that trigger the network server notification and the first terminal use group authentication vectors for network authentication. With the above method, the terminal can be encrypted and retransmitted through the sharing key of the physical layer based on the characteristic parameters of the channel between the base station and the local base station, thus reducing the probability of the leakage of the terminal identity information.

【技术实现步骤摘要】
一种群组终端的网络认证方法及装置
本专利技术涉及通信安全领域，特别涉及一种群组终端的网络认证方法及装置。
技术介绍
随着通信技术的发展，机器类设备通信(MachineTypeCommunication，MTC)是长期演进(LongTermEvolution，LTE)以及未来第五代移动通信技术(5-Generation，5G)网络中一个重要的应用场景。根据现有第三代合作伙伴计划(3rdGenerationPartnershipProject，3GPP)标准，当大量的群组设备同时接入网络时，网络需要对每一个群组设备单独做一次认证，这样就可能会导致网络拥塞，目前，通常采用基于主设备(GroupLeader)的3GPP网络群组认证的方法解决上述网络拥塞的问题。在群组建立过程中，运营商首先为群组内所有群组设备(UserEquipment，UE)分配相同的群组身份标识和密钥等，然后单独为每个UE预先设置设备身份标识、设备密钥等，并将其保存在归属签约用户服务器(HomeSubscriberServer，HSS)，最后，选择一个UE作为该群组的主设备。第一种方法是：群组设备支持3GPP之外的无线传输技术，主设备向3GPP网络发起接入申请，主设备接入网络的流程如下：主设备将国际移动用户识别码(InternationalMobileSubscriberIdentificationNumber，IMSI)和电子身份证(ElectronicIdentity，eID)发送给移动管理实体(MobileManagenmentEntity，MME)，MME向HSS发送认证数据请求后，接收HSS返回的认证向量(AuthenticationVector，AV)，主设备基于HSS返回的认证向量完成网络认证。主设备接入成功后，获取认证向量，并将认证向量通过non-3GPP无线接入转发给群组内其他设备，然后群组使用聚合签名等技术生成新的设备认证向量，用于群组内其他设备的3GPP认证。然而，采用上述方法，需要群组设备支持3GPP之外的无线连接技术，这样，就增加了设备成本和功耗，且认证过程复杂，认证效率不高。第二种方法是：群组设备不支持3GPP之外的无线传输技术，主设备向3GPP网络发起接入申请，主设备接入网络的流程如下：主设备将IMSI和eID发送给MME，MME向HSS发送认证数据请求后，接收并保存HSS返回的认证向量AV，主设备基于HSS返回的认证向量完成网络认证。此时，MME中保存有主设备接入网络时HSS生成的认证向量，该认证向量可以供群组内其他设备进行网络认证时使用。但是采用上述认证方法，需要设备厂商预先为每一个群组设备分别设置一个设备密钥，并需要在HSS中存储相应的设备密钥信息，这样，就增加了设备厂商的生成成本和运营商的运营成本。而且，上述两种群组设备认证方法均是基于LTE系统的认证和密钥协商(EPS-AKA)认证过程，不能解决基于EPS-AKA认证固有存在的安全问题(如，国际移动用户识别码(InternationalMobileSubscriberIdentificationNumber，IMSI)和Ki的泄露问题)，从而导致群组设备的信息泄露。综上所述，需要设计一种新的群组终端网络认证方法，用以解决现有技术中存在的缺陷以及不足之处。
技术实现思路
本专利技术实施例提供了一种群组终端的网络认证方法及装置，用以解决现有技术中存在的设备运维成本高、在群组终端接入网络的认证过程中，认证效率不高以及认证安全性不高的问题。本专利技术实施例提供的具体技术方案如下：一种群组终端的网络认证方法，包括：第一终端基于本地与基站之间的信道特征参数，生成物理层共享密钥；第一终端基于所述物理层共享密钥，对所述第一终端的身份信息进行加密，并将加密后的身份信息发送给网络服务器；第一终端接收所述网络服务器基于所述身份信息生成的群组认证向量，并基于所述群组认证向量完成网络认证，以及触发网络服务器通知与所述第一终端同组的其他群组终端采用所述群组认证向量进行网络认证。可选的，第一终端基于本地与基站之间的信道特征参数，生成物理层共享密钥，具体包括：第一终端每接收一次基站发送的探测信号，基于本地与基站之间的信道特征参数，计算接收的探测信号对应的信号特征，并将生成的各个信号特征组成信号特征序列；第一终端针对所述信号特征序列进行量化纠错处理，得到处理后的信号特征序列；第一终端将所述处理后的信号特征序列转换为物理层共享密钥。可选的，第一终端基于所述物理层共享密钥，对所述第一终端的身份信息进行加密，并将加密后的身份信息发送给网络服务器，具体包括：第一终端基于所述物理层共享密钥，对所述第一终端的国际移动用户识别码IMSI和/或电子身份证eID进行加密；第一终端将加密后的IMSI和/或eID发送给网络服务器。可选的，第一终端接收所述网络服务器基于所述身份信息生成的群组认证向量，以及基于所述群组认证向量完成网络认证，具体包括：第一终端接收网络服务器发送的认证请求消息，其中，所述认证请求消息携带有所述群组认证向量；第一终端基于所述群组认证向量包含的认证参数对所述认证请求消息进行合法性验证，并在确定所述认证请求消息合法时，生成与所述认证请求消息相应的认证响应消息；第一终端将所述认证响应消息返回网络服务器。可选的，第一终端基于所述群组认证向量包含的认证参数对所述认证请求消息进行合法性验证，并在确定所述认证请求消息合法时，生成与所述认证请求消息相应的认证响应消息，具体包括：第一终端基于所述群组认证向量包含的认证令牌AUTN生成相应的认证数据信息，并在判定所述认证数据信息与所述认证令牌AUTN携带的原始数据信息相匹配时，确定所述认证请求消息合法；第一终端基于所述认证请求消息生成相应的响应数据，并基于群组密钥对所述响应数据进行加密处理，得到相应的认证响应消息，其中，所述群组密钥是针对第一终端所在群组中的所有终端预设的密钥。可选的，第一终端基于所述群组认证向量完成网络认证之后，进一步包括：第一终端基于物理层共享密钥和群组密钥生成相应的会话密钥，所述会话密钥应用于所述第一终端与网络服务器之间的业务数据交互流程。一种群组终端的网络认证方法，包括：网络服务器接收第一终端发送的，基于物理层共享密钥进行加密后的身份信息，其中，所述物理层共享密钥是第一终端基于本地与基站之间的信道特征参数生成的；网络服务器对所述加密后的身份信息进行解密，并基于解密后的身份信息生成相应的群组认证向量；网络服务器将所述群组认证向量发送给第一终端，并触发第一终端基于所述群组认证向量完成网络认证；网络服务器通知与所述第一终端同组的其他群组终端采用所述群组认证向量进行网络认证。可选的，网络服务器通知与所述第一终端同组的其他群组终端采用所述群组认证向量进行网络认证，包括：在确定第一终端完成网络认证后，向与所述第一终端同组的其他群组终端发送完成认证指令；所述完成认证指令用于触发与所述第一终端同组的其他群组终端从网络服务器获取所述群组认证向量，并采用所述群组认证向量进行网络认证。一种群组终端的网络认证装置，包括：生成单元，用于基于本地与基站之间的信道特征参数，生成物理层共享密钥；加密单元，用于基于所述物理层共享密钥，对所述装置的身份信息进行加密，并本文档来自技高网...

【技术保护点】
一种群组终端的网络认证方法，其特征在于，包括：第一终端基于本地与基站之间的信道特征参数，生成物理层共享密钥；第一终端基于所述物理层共享密钥，对所述第一终端的身份信息进行加密，并将加密后的身份信息发送给网络服务器；第一终端接收所述网络服务器基于所述身份信息生成的群组认证向量，并基于所述群组认证向量完成网络认证，以及触发网络服务器通知与所述第一终端同组的其他群组终端采用所述群组认证向量进行网络认证。

【技术特征摘要】
1.一种群组终端的网络认证方法，其特征在于，包括：第一终端基于本地与基站之间的信道特征参数，生成物理层共享密钥；第一终端基于所述物理层共享密钥，对所述第一终端的身份信息进行加密，并将加密后的身份信息发送给网络服务器；第一终端接收所述网络服务器基于所述身份信息生成的群组认证向量，并基于所述群组认证向量完成网络认证，以及触发网络服务器通知与所述第一终端同组的其他群组终端采用所述群组认证向量进行网络认证。2.如权利要求1所述的方法，其特征在于，第一终端基于本地与基站之间的信道特征参数，生成物理层共享密钥，具体包括：第一终端每接收一次基站发送的探测信号，基于本地与基站之间的信道特征参数，计算接收的探测信号对应的信号特征，并将生成的各个信号特征组成信号特征序列；第一终端针对所述信号特征序列进行量化纠错处理，得到处理后的信号特征序列；第一终端将所述处理后的信号特征序列转换为物理层共享密钥。3.如权利要求1所述的方法，其特征在于，第一终端基于所述物理层共享密钥，对所述第一终端的身份信息进行加密，并将加密后的身份信息发送给网络服务器，具体包括：第一终端基于所述物理层共享密钥，对所述第一终端的国际移动用户识别码IMSI和/或电子身份证eID进行加密；第一终端将加密后的IMSI和/或eID发送给网络服务器。4.如权利要求1、2或3所述的方法，其特征在于，第一终端接收所述网络服务器基于所述身份信息生成的群组认证向量，以及基于所述群组认证向量完成网络认证，具体包括：第一终端接收网络服务器发送的认证请求消息，其中，所述认证请求消息携带有所述群组认证向量；第一终端基于所述群组认证向量包含的认证参数对所述认证请求消息进行合法性验证，并在确定所述认证请求消息合法时，生成与所述认证请求消息相应的认证响应消息；第一终端将所述认证响应消息返回网络服务器。5.如权利要求4所述的方法，其特征在于，第一终端基于所述群组认证向量包含的认证参数对所述认证请求消息进行合法性验证，并在确定所述认证请求消息合法时，生成与所述认证请求消息相应的认证响应消息，具体包括：第一终端基于所述群组认证向量包含的认证令牌AUTN生成相应的认证数据信息，并在判定所述认证数据信息与所述认证令牌AUTN携带的原始数据信息相匹配时，确定所述认证请求消息合法；第一终端基于所述认证请求消息生成相应的响应数据，并基于群组密钥对所述响应数据进行加密处理，得到相应的认证响应消息，其中，所述群组密钥是针对第一终端所在群组中的所有终端预设的密钥。6.如权利要求5所述的方法，其特征在于，第一终端基于所述群组认证向量完成网络认证之后，进一步包括：第一终端基于物理层共享密钥和群组密钥生成相应的会话密钥，所述会话密钥应用于所述第一终端与网络服务器之间的业务数据交互流程。7.一种群组终端的网络认证方法，其特征在于，包括：网络服务器接收第一终端发送的，基于物理层共享密钥进行加密后的身份信息，其中，所述物理层共享密钥是第一终端基于本地与基站之间的信道特征参数生成的；网络服务器对所述加密后的身份信息进行解密，并基于解密后的身份信息生成相应的群组认证向量；网络服务器将所述群组认证向量发送给第一终端，并触发第一终端基于所述群组认证向量完成网络认证；网络服务器通知与第一终端同组的其他群组终端采用所述群组认证向量进行网络认证。8.如权利要求7所述的方法，其特征在于，网络服务器通知与所述第一终端同组的其他群组终端采用所述群组认证向量进行网络认证，包括：网络服务器在确定第一终端完成网络认证后，向与所述第一终端同组的其他群组终端发送寻呼消息；所述寻呼消息用于通知与所述第一终端同组的其他群组终端从网络服务器获取所述群组认证向量，并采用所述群组认证向量进行网络认证。9.一种群组终...

【专利技术属性】
技术研发人员：李笑如，左敏，庄小君，
申请(专利权)人：中国移动通信有限公司研究院，中国移动通信集团公司，
类型：发明
国别省市：北京,11