專利名稱：安全認證方法、裝置及系統(tǒng)的制作方法
技術領域：
本發(fā)明實施例涉及通信技術領域，尤其涉及一種安全認證方法、裝置及系統(tǒng)。
背景技術：
現(xiàn)有的3GPP網(wǎng)絡是針對人與人通信(Human-to-Human，H2H)的，其中，用戶標識和設備是一一對應的，網(wǎng)絡只對用戶標識進行管理。例如在使用手機時，SIM卡與手機是一一對應的，網(wǎng)絡只對SIM卡進行管理?，F(xiàn)有的安全技術可以包括當用戶終端 (UE)接入網(wǎng)絡時，網(wǎng)絡側根據(jù)UE唯一對應的用戶標識來獲取密鑰(K)，并生成認證向量 (Authentication Vector,以下簡稱為AV)，利用AV完成UE和網(wǎng)絡側的互鑒權并生成系統(tǒng)密鑰，從而保證UE到網(wǎng)絡側的安全通信。其中，該用戶標識可以為國際移動用戶身份 (International Mobile Subscriber Identity，MT" 1:IMSI)。在機器對機器(Machine-to-Machine，以下簡稱為M2M)通信中，用戶標識與設備之間不再是簡單的一一對應，而是多對多的關系。例如一個用戶對應多個終端設備，多個用戶共同使用一個終端設備，或者多個用戶對應多個終端設備。在實現(xiàn)本發(fā)明過程中，發(fā)明人發(fā)現(xiàn)在M2M通信中，若使用現(xiàn)有的安全技術，則UE 到網(wǎng)絡側可能會無法安全通信。由此，需要提供一種在M2M通信中的安全技術，以實現(xiàn)M2ME 和網(wǎng)絡側之間的安全通信。

發(fā)明內(nèi)容
本發(fā)明實施例提供一種安全認證方法、裝置及系統(tǒng)，用以實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。本發(fā)明實施例提供一種安全認證方法，包括驗證用于標識終端設備的特征標識，其中，所述終端設備為機器對機器設備；獲取與所述特征標識對應的密鑰，以根據(jù)所述密鑰與所述終端設備進行認證。本發(fā)明實施例還提供一種安全認證方法，包括接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息， 其中，所述終端設備為機器對機器設備；根據(jù)所述業(yè)務消息獲取密鑰，以根據(jù)所述密鑰與所述移動管理實體進行安全通本發(fā)明實施例提供一種移動管理實體，包括驗證模塊，用于驗證用于標識終端設備的特征標識，其中，所述終端設備為機器對機器設備；獲取模塊，用于獲取與所述驗證模塊驗證的所述特征標識對應的密鑰，以根據(jù)所述密鑰與所述終端設備進行認證。本發(fā)明實施例提供一種終端設備，包括第一接收模塊，用于接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息；獲取模塊，用于根據(jù)所述第一接收模塊接收的所述業(yè)務消息獲取密鑰，以根據(jù)所述密鑰與所述移動管理實體進行安全通信，其中，所述終端設備為機器對機器設備。本發(fā)明實施例提供一種安全認證系統(tǒng)，包括本發(fā)明實施例提供的任一移動管理實體和任一終端設備。本發(fā)明實施例的安全認證方法、裝置及系統(tǒng)，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，驗證終端的特征標識是否合法，當終端的特征標識為合法標識時，根據(jù)該特征標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。


圖1為本發(fā)明實施例提供的一種安全認證方法的流程圖2為本發(fā)明實施例提供的另--種安全認證方法的流程圖
圖3為本發(fā)明實施例提供的又--種安全認證方法的信令圖
圖4為本發(fā)明實施例提供的又--種安全認證方法的信令圖
圖5為本發(fā)明實施例提供的又--種安全認證方法的信令圖
圖6為本發(fā)明實施例提供的又--種安全認證方法的信令圖
圖7為本發(fā)明實施例提供的又--種安全認證方法的信令圖
圖8為本發(fā)明實施例提供的又--種安全認證方法的信令圖
圖9為本發(fā)明實施例提供的一種移動管理實體的示意圖10為本發(fā)明實施例提供的另一種移動管理實體的示意圖
圖11為本發(fā)明實施例提供的一種終端設備的示意圖12為本發(fā)明實施例提供的另一種終端設備的示意圖。
具體實施例方式M2M是指無需人工干預，機器和機器之間可以直接進行通信。M2M的應用種類豐富，例如可以包括以下應用自動儀表(水電氣表)、遠程監(jiān)控、工業(yè)安全與家庭自動化、支付系統(tǒng)(自動柜員機、支持終端和停車計時收費表等)以及車輛遠程控制(如車隊管理、過路費收費、車輛恢復以及根據(jù)駕駛情況支付保費等)等。用于M2M通信的終端稱為M2M設備(M2M equipment，以下簡稱為M2ME)，M2ME可以是具有M2M特性的用戶終端UE。M2ME可以接入GSM、GPRS、UTRAN或EUTRAN等網(wǎng)絡，與M2M服務器或其他M2ME進行通信，實現(xiàn)M2M 應用。本發(fā)明實施例可以應用在M2ME的通信過程中，也可以應用在中繼(Relay)設備采用可插拔的卡入網(wǎng)的過程中，下面主要以M2ME的通信過程為例進行說明。圖1為本發(fā)明實施例提供的一種安全認證方法的流程圖，本實施例以移動管理實體為執(zhí)行主體，如圖1所述，該方法包括步驟101、驗證用于標識終端設備的特征標識；該終端設備為M2ME。本實施例可以應用在多種網(wǎng)絡中，例如3GPP EPS、UMTS和GSM等，以下以應用在 3GPP EPS網(wǎng)絡中為例進行說明。本發(fā)明實施例中的終端設備可以是M2ME(亦即MTC (machinetypecommunication)設備)，M2ME包括用戶標識和特征標識。其中用戶標識與M2ME可以是一對多的關系，也就是多個M2ME共用一個用戶標識。特征標識用于標識每個M2ME，每個 M2ME都具有一特征標識，并且每個M2ME的特征標識是不同的；該特征標識可以是M2ME的設備標識，也可以是M2ME的證書。根據(jù)用戶標識，M2ME、移動管理實體(Mobility Management Entity，以下簡稱為 MME)和歸屬用戶系統(tǒng)(Home Subscriber System，以下簡稱為HSS)進行認證和密鑰協(xié)商 (Authentication and key agreement，以下簡稱為AKA)，實現(xiàn)M2ME和網(wǎng)絡側的互鑒權并生成加密密鑰(Cipher Key,以下簡稱為CK)和完整性保護密鑰(htegrity Key,以下簡稱為ικ)。在認證和密鑰協(xié)商鑒權成功后，驗證Μ2ΜΕ的特征標識是否合法。驗證的過程可以是MME接收Μ2ΜΕ發(fā)送的特征標識，然后根據(jù)預置的規(guī)則對該特征標識進行驗證；驗證的過程也可以是MME接收Μ2ΜΕ發(fā)送的特征標識，然后將該特征標識發(fā)送給設備識別寄存器 (Equipment Identity Register，以下簡稱為EIR)，E^根據(jù)預置的規(guī)則對該特征標識進行驗證。步驟102、獲取與特征標識對應的密鑰，以根據(jù)密鑰與終端設備進行安全通信。在MME或EIR對特征標識進行驗證后，若該特征標識為合法標識，則可以根據(jù)該特征標識獲得密鑰，并且通過MME與M2ME之間的通信，以及MME和M2ME預先約定的加密算法， 使得M2ME也可以獲得該密鑰，從而可以實現(xiàn)MME和M2ME根據(jù)該密鑰進行安全通信。 其中，根據(jù)該特征標識獲得密鑰可以有多種方法，例如(1) EIR或者MME根據(jù)該特征標識獲取到與該特征標識對應的第一密鑰，然后MME使用MME與M2ME約定的加密算法， 根據(jù)CK、IK和該第一密鑰，獲得密鑰(M-Kasme)，其中第一密鑰可以是與M2ME的特征標識唯一對應的密鑰，也可以是一隨機數(shù)；(2) MME使用MME與M2ME約定的加密算法，根據(jù)CK、IK 和特征標識生成新的CK和IK，例如第二 CK和第二 IK，或者第三CK和第三IK，然后根據(jù)第二 CK和第二 IK獲得M-Kasme，或者在UMTS網(wǎng)絡中MME與M2ME可以直接以第三CK和第三 IK作為密鑰進行安全通信。MME與M2ME根據(jù)上述獲得的密鑰進行安全通信，在進行安全通信之前，M2ME接收 MME發(fā)送的第一密鑰或者指示消息；當M2ME接收到MME發(fā)送的第一密鑰后，M2ME使用MME 與M2ME約定的加密算法，根據(jù)CK、IK和該第一密鑰，獲得密鑰(M-Kasme)；當M2ME接收到 MME發(fā)送的指示消息后，M2ME使用MME與M2ME約定的加密算法，根據(jù)CK、IK和特征標識生成新的CK和IK，例如第二 CK和第二 IK，或者第三CK和第三IK，然后根據(jù)第二 CK和第二 IK獲得M-Kasme，或者在UMTS網(wǎng)絡中M2ME可以直接以第三CK和第三IK作為密鑰與MME 進行安全通信。本發(fā)明實施例的安全認證方法，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，驗證特征標識是否合法，當特征標識為合法標識時，根據(jù)該特征標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M 設備和網(wǎng)絡側之間的安全通信。圖2為本發(fā)明實施例提供的另一種安全認證方法的流程圖，本實施例與圖1所示實施例相對應，以終端設備為執(zhí)行主體，如圖2所述，該方法包括步驟201、接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息；該終端設備為M2ME ；。本發(fā)明實施例中的終端設備可以是M2ME，M2ME包括用戶標識和特征標識。其中用戶標識與M2ME可以是一對多的關系，也就是多個M2ME共用一個用戶標識。特征標識用于標識每個M2ME，每個M2ME都具有一特征標識，并且每個M2ME的特征標識是不同的；該特征標識可以是M2ME的設備標識，也可以是M2ME的證書。在M2ME、MME和HSS根據(jù)M2ME的用戶標識進行AKA鑒權成功，并且M2ME的特征標識被驗證為合法標識后，M2ME接收到MME發(fā)送的業(yè)務消息，該業(yè)務消息與特征標識相對應； 其中在AKA鑒權過程中，生成CK和IK。該業(yè)務消息可以是與特征標識對應的第一密鑰，也可以是指示消息。步驟202、根據(jù)業(yè)務消息獲取密鑰，以根據(jù)密鑰與移動管理實體進行安全通信。當M2ME接收到的業(yè)務消息是第一密鑰時，M2ME使用MME與M2ME約定的加密算法， 根據(jù)CK、IK和該第一密鑰，獲得密鑰(M-Kasme)；當M2ME接收到的業(yè)務消息是指示消息時， M2ME使用MME與M2ME約定的加密算法，根據(jù)CK、IK和特征標識生成新的CK和IK，例如第二 CK和第二 IK，或者第三CK和第三IK，然后根據(jù)第二 CK和第二 IK獲得M-Kasme，或者在 UMTS網(wǎng)絡中M2ME可以直接以第三CK和第三IK作為密鑰與MME進行安全通信。本發(fā)明實施例的安全認證方法，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功，并且驗證特征標識為合法標識時，終端設備根據(jù)與該特征標識對應的業(yè)務消息獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。圖3為本發(fā)明實施例提供的又一種安全認證方法的信令圖，如圖3所述，該方法包括步驟301、終端設備向移動管理實體發(fā)送包含用戶標識和特征標識的認證請求消肩、ο本實施例中，終端設備可以為M2ME，用戶標識可以為IMSI，特征標識可以為設備標識，該設備標識具體可以為國際移動設備身份碼(InternationalMobile Equipment Identity,以下簡稱為IMEI)，以下把設備標識簡稱為M-IMEI。本發(fā)明實施例并不限定終端設備的設備標識的形式，例如，該設備標識還可以為 IMSI，此時該終端設備可以有兩個IMSI (IMSIa和IMSIb)，其中，IMSIa作為用戶標識，IMSIb 作為標識M2M設備的設備標識。M2ME向MME發(fā)送認證請求消息，在該認證請求消息中可以包括IMSI、IMEI和M，M 用于標識該終端設備為M2ME ；其中，可以預先在M2ME中配置標識M，也可以由MME為M2M認證分配一個標識M，并由MME將標識M發(fā)送給M2ME。在步驟301之后，MME將接收到的終端設備發(fā)送的用戶標識和設備標識發(fā)送到歸屬用戶系統(tǒng)進行驗證，以驗證用戶標識和設備標識的對應關系的合法性；若歸屬用戶系統(tǒng)驗證用戶標識和設備標識的對應關系合法，則根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權，這些步驟具體可以為步驟302-308所示。步驟302、MME發(fā)送認證數(shù)據(jù)請求消息給HSS，其中該認證數(shù)據(jù)請求消息中包括有 IMSI、M-IMEI、運營商網(wǎng)絡 ID (Serving network ID，簡稱為SN ID)其中，SN ID 指的是目前服務的運營商網(wǎng)絡ID。
步驟303、HSS通過查詢數(shù)據(jù)庫來驗證IMSI和M-IMEI的對應關系是否合法，若驗證成功，即若IMSI和M-IMEI的對應關系合法，則生成認證向量AVs。M2M用戶在注冊的時候把IMSI和M-IMEI綁定的對應關系告知運營商，并將該 IMSI和M-IMEI綁定的對應關系保存在HSS的數(shù)據(jù)庫中。HSS通過查詢數(shù)據(jù)庫可以得知IMSI 和M-IMEI的對應關系是否合法。通過檢查IMSI和M-IMEI對應關系的合法性，可以防止以下安全威脅例如，攻擊者合法擁有一個M2ME，非法復制了一個IMSI，通過檢查對應關系可以阻止攻擊者非法接入網(wǎng)絡；又例如，攻擊者合法擁有一個IMSI，非法盜取了一個M-IMEI， 將盜取的M-IMEI寫入自己制作的M2ME中，通過檢查對應關系也可以防止這種攻擊者非法接入網(wǎng)絡。步驟304、HSS向MME發(fā)送認證數(shù)據(jù)響應消息，該響應消息中包括認證向量AVs。步驟305、MME接收HSS發(fā)送的認證數(shù)據(jù)響應消息，并存儲AVs。步驟306、MME向M2ME發(fā)送用戶認證請求消息，該用戶認證請求消息中包含認證標記(Authentication iToken,簡稱為AUTH)、隨機數(shù) Random(RAND)和 KSIasme (Kasme 的密鑰索引，用于指示Kasme)。步驟307、M2ME收到用戶認證請求消息后，通過驗證該用戶認證請求消息中的消息鑒權碼(Message Authentication Code，簡稱為MAC)值完成終端對網(wǎng)絡的鑒權，計算出 CK、IK和XRES (Expected response，期望的響應數(shù))，然后向MME發(fā)送用戶認證響應，該響應中包含XRES。步驟308、MME收到用戶認證響應后，驗證XRES是否等于RES，完成網(wǎng)絡側對終端的鑒權。其中，本發(fā)明實施例中，也可以不包括步驟303中驗證IMSI和M-IMEI的對應關系是否合法的步驟，而直接由M2ME、MME和HSS根據(jù)IMSI進行AKA互鑒權。步驟309、移動管理實體將接收到的終端設備發(fā)送的設備標識發(fā)送到用于驗證設備標識的驗證設備中進行驗證。在AKA鑒權成功后，MME把M-IMEI發(fā)送給驗證設備進行驗證，其中，該驗證設備例如可以為設備識別寄存器(Equipment Identity Register，以下簡稱為EIR)。步驟310、EIR驗證該M-IMEI是否為合法標識，當該M-IMEI為合法標識時，E^根據(jù)該M-IMEI獲取與該M-IMEI對應的第一密鑰K’。E^根據(jù)預置的規(guī)則對M-IMEI進行驗證。第一密鑰K，可以是與M-IMEI唯一對應的密鑰，也可以是隨機數(shù)，第一密鑰K’可以提前生成，也可以在接收到MME請求時再生成； 每個M-IMEI對應不同的第一密鑰K，。其中，第一密鑰K’可以在EIR中生成，也可以在MME中生成。步驟311、MME接收EIR發(fā)送的第一密鑰K’，然后根據(jù)CK、IK和第一密鑰K’，獲取密鑰。其中，MME和E^之間為運營商網(wǎng)絡域安全，默認為可以安全的發(fā)送第一密鑰K’。MME 根據(jù) K，計算 M-Kasme = KDF (CK, IK, K，，PLMN-ID)；其中 KDF 為密鑰生成函數(shù) (Key Derivation Function)。其中，本發(fā)明實施例并不限定M-Kasme在MME中計算，M-Kasme也可以由HSS計算后再發(fā)送給MME。
步驟312、MME根據(jù)CK和IK對第一密鑰K，進行加密，并向M2ME發(fā)送加密后的第一密鑰K，。MME使用CK和加密算法對第一密鑰K’進行加密保護，計算出FC(CK，K’)，然后利用IK和完整性保護算法FI計算出MAC，將含有FC (CK，K，)、MAC的消息發(fā)送給M2ME ；其中加密算法FC和完整性算法FI預先配置在MME和M2ME上。其中，對K’進行加密和完整性保護的算法可以預先配置在MME和M2ME上，也可以通過密鑰協(xié)商的方式實現(xiàn)。步驟313、M2ME接收MME發(fā)送的、根據(jù)CK和IK進行加密后的第一密鑰K，，然后根據(jù)第一密鑰K’獲取到密鑰M-Kasme。M2ME將收到的含有FC(CK，K，)、MAC的消息進行完整性校驗，然后根據(jù)預先配置在M2ME上的加密算法FC和完整性算法FI解密得到第一密鑰K，，再根據(jù)第一密鑰K，、CK和 IK,計算得到M-Kasme ；其中， M-Kasme = KDF(CK, IK, K', PLMN—ID)。步驟314、M2ME和MME按照演進的分組系統(tǒng)(Evolved packet system,以下簡稱為EPS)機制進行非接入層(Non Access Stratum，簡稱為NAS)安全模式命令Security Mode Command，簡稱為SMC)過程，M2ME和網(wǎng)絡側就可以利用M-Kasme和協(xié)商的算法安全地進行通信。在步驟314之后，還可以包括步驟315。步驟315、M2ME在根據(jù)密鑰與MME進行安全通信后，根據(jù)從MME接收到的指示標識或預置在M2ME上的指示標識判斷是否刪除該密鑰。按照現(xiàn)有的LTE機制，在以下三種情況下，終端會刪除自身保存的EPS安全上下文(I)ME通電狀態(tài)下取走UICC ； (2)ME開機時發(fā)現(xiàn)UICC改變了 ；(3)ME開機時發(fā)現(xiàn)沒有 UICC0在M2ME進行通信的場景中，若按照以上現(xiàn)有的LTE機制，當在一個M2ME進行通信后，將位于該M2ME上的SIM卡取走后，M2ME就刪除本次計算的M-Kasme，造成終端側和網(wǎng)絡側通信中斷?；诖?，本發(fā)明實施例還可以包括步驟315所述的內(nèi)容，具體可以為MME可以用 2bit的類型(Type)數(shù)據(jù)來標識本次認證的類型，并將該Type發(fā)送給M2ME，M2ME根據(jù)Type 來判斷是否刪除M-Kasme，例如，當Type = 00時，在拔卡后刪除M-Kasme，當Type = 01時， 在拔卡后不刪除M-Kasme ；或者，M2ME根據(jù)作為指示標識的標識M判斷是否刪除M-Kasme， 當M2ME識別到標識M時，則在拔卡后不刪除M-Kasme ；或者，也可以在M2ME中預配置不刪除M-Kasme的策略。本發(fā)明實施例的安全認證方法，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證設備標識是否合法，當設備標識為合法標識時，移動管理實體根據(jù)該設備標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信；并且本實施例中，對用戶標識和設備標識的對應關系進行了驗證，可以防止攻擊者的非法接入，進一步提高了認證的安全性。圖4為本發(fā)明實施例提供的又一種安全認證方法的信令圖，如圖4所述，該方法包括步驟401、M2ME向MME發(fā)送認證請求消息，在該認證請求消息中可以包括IMSI和 M，其中M用于標識該終端設備。步驟402、M2ME, MME, HSS基于IMSI進行AKA，實現(xiàn)M2ME和網(wǎng)絡側的互鑒權，并生成CK禾口 IK。步驟403、在AKA鑒權成功后，MME向M2ME發(fā)送請求M-IMEI的請求消息。在基于IMSI的AKA鑒權成功后，M2ME接收MME發(fā)送的請求消息。步驟404、M2ME接收到MME的請求后，根據(jù)CK和/或IK對M-IMEI進行加密，然后根據(jù)MME的請求消息向MME發(fā)送加密后的M-IMEI。在M2ME接收到MME的請求后，根據(jù)預配置的加密算法fc對M-IMEI進行加密保護， 保護密鑰為CK，然后將fc(CK，M-IMEI)發(fā)送給MME其中，保護密鑰可以是CK和/或IK。其中，該加密算法可以預配置在MME和M2ME上，也可以通過密鑰協(xié)商的方式實現(xiàn)。本實施例中，在AKA互鑒權后，MME才向M2ME請求M-IMEI，M2ME利用CK對M-IMEI 加密后發(fā)送給MME，由此避免了使用明文發(fā)送M-IMEI，可以有效的防止攻擊者竊取到 M-IMEI，提高了認證的安全性。步驟405、MME接收M2ME根據(jù)請求消息發(fā)送的、根據(jù)CK和/或IK加密后的M-IMEI ； 然后對加密后的M-IMEI進行解密，并將解密后的M-IMEI發(fā)送到E^進行驗證。接著，本實施例還包括步驟406-步驟411，其中步驟406-步驟411與圖3所示實施例中的步驟310-步驟315相同，在此不再贅述。本發(fā)明實施例的安全認證方法，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證設備標識是否合法，當設備標識為合法標識時，移動管理實體根據(jù)該設備標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信；并且本實施例中，在認證和密鑰協(xié)商鑒權成功后，移動管理實體才向終端設備請求終端設備的設備標識，使得終端設備根據(jù)鑒權成功后生成的加密密鑰和/或完整性保護密鑰對設備標識進行加密后，再發(fā)送給移動管理實體，由此避免了使用明文發(fā)送設備標識，進一步提高了認證的安全性。圖5為本發(fā)明實施例提供的又一種安全認證方法的信令圖，如圖5所述，該方法包括步驟501、M2ME向MME發(fā)送認證請求消息，在該認證請求消息中可以包括IMSI和 M，其中M用于標識該終端設備。本實施例根據(jù)基于M2ME的證書對M2M設備進行認證，通過這種方式可以驗證M2ME 的合法性，避免假冒的M2ME接入網(wǎng)絡，提高安全性。本實施例中，特征標識可以為M2ME的證書。步驟502、M2ME、MME, HSS基于IMSI進行AKA，實現(xiàn)M2ME和網(wǎng)絡側的互鑒權，并生成CK禾口 IK。步驟503、在AKA鑒權成功后，M2ME把利用私鑰簽名后的M2ME的證書發(fā)送給MME。步驟504、MME驗證接收到的M2ME的證書是否合法，具體可以為MME利用CA公鑰來驗證M2ME證書的簽名是否正確，若MME驗證證書的簽名正確，則根據(jù)證書的公鑰M計算認證標記(AUTH)以驗證該證書的合法性；當該證書為合法時，MME根據(jù)該證書生成與該證書對應的第一密鑰K’。步驟505、MME根據(jù)CK、IK和第一密鑰K’，獲取密鑰。MME 根據(jù) K，計算 M-Kasme = KDF (CK, IK, K，，PLMN-ID)。接著，本實施例還包括步驟506-步驟509，其中步驟506-步驟509與圖3所示實施例中的步驟312-步驟315相同，在此不再贅述。本發(fā)明實施例的安全認證方法，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證終端的特征標識是否合法，當特征標識為合法標識時，移動管理實體根據(jù)該特征標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2ME和網(wǎng)絡側之間的安全通信；并且本實施例中，以M2ME 的證書作為特征標識，通過驗證M2ME的證書的合法性，避免了假冒的M2ME接入網(wǎng)絡，進一步提高了認證的安全性。圖6為本發(fā)明實施例提供的又一種安全認證方法的信令圖，如圖6所述，該方法包括步驟601、M2ME向MME發(fā)送認證請求消息，在該認證請求消息中可以包括IMSI、 IMEI和M，其中M用于標識該終端設備為M2ME。步驟602、M2ME, MME, HSS基于IMSI進行AKA，實現(xiàn)M2ME和網(wǎng)絡側的互鑒權，并生成CK禾口 IK。步驟603、在AKA鑒權成功后，MME把M-IMEI發(fā)送給E^進行驗證。步驟604、EIR驗證該M-IMEI是否為合法標識。步驟605、EIR向MME指示步驟604中的驗證結果。步驟606、當MME接收到EIR發(fā)送的M-IMEI為合法標識的驗證結果時，MME根據(jù) CK、IK以及M-IMEI，生成第二加密密鑰CK，和第二完整性保護密鑰IK，，并根據(jù)CK，和IK， 獲取密鑰M-Kasme。若驗證成功，則MME 基于 M-IME、CK 禾口 IK 計算出 CK，，IK，;CK，，IK，= KDF (CK, IK, M-IMEI, PLMN-ID)，然后利用 CK，，IK，計算出 M-Kasme。其中，CK’，IK’可以在MME中計算，也可以由HSS計算后發(fā)送給MME。步驟607、MME向M2ME發(fā)送第一指示消息。MME向M2ME發(fā)送驗證成功指示消息。步驟608、M2ME在接收第一指示消息后，根據(jù)CK、IK以及M-IMEI生成0(，，11(，，然后利用CK’，IK’計算出M-Kasme。步驟609、M2ME和MME按照EPS機制進行NAS SMC過程，M2ME和網(wǎng)絡側就可以利用M-Kasme和協(xié)商的算法安全地進行通信。步驟610、M2ME在根據(jù)密鑰與MME進行安全通信后，根據(jù)從MME接收到的指示標識或預置在M2ME上的指示標識判斷是否刪除該密鑰。步驟610與圖3所示實施例中的步驟315相同，在此不再贅述。本發(fā)明實施例的安全認證方法，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證設備標識是否合法，當設備標識為合法標識時，移動管理實體根據(jù)該設備標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信；并且本實施例中無需生成K’，而是進行認證向量(Authentication vector，簡稱為AV)綁定，根據(jù)M-IMEI計算出CK，， IK’，然后計算出Kasme，提供另一種生成密鑰的方式。本發(fā)明實施例還可以應用在UMTS網(wǎng)絡中，下面結合圖7和圖8描述本發(fā)明實施例在UMTS網(wǎng)絡中的應用。圖7為本發(fā)明實施例提供的又一種安全認證方法的信令圖，本實施例是圖2到圖 5所示實施例的方案在UMTS網(wǎng)絡中的應用，如圖7所述，該方法包括步驟701、M2ME向VLR發(fā)送認證請求消息，在該認證請求消息中可以包括IMSI、 IMEI和M，其中M用于標識該終端設備為M2ME。本實施例中VLR相當于上述各實施例中的MME，HLR相當于上述各實施例中的HSS。步驟702、M2ME，VLR, HLR基于IMSI進行AKA，實現(xiàn)M2ME和網(wǎng)絡側的互鑒權，并生成加密密鑰CK和完整性保護密鑰IK。步驟703、在AKA鑒權成功后，VLR把M-IMEI發(fā)送給E^進行驗證。步驟704、EIR驗證該M-IMEI是否為合法標識，當該M-IMEI為合法標識時，E^根據(jù)該M-IMEI獲取與該M-IMEI對應的第一密鑰K’。步驟705、VLR接收EIR發(fā)送的K’，然后使用預先配置在VLR上的加密算法，根據(jù) CK和K’計算得到第三加密密鑰CK’，根據(jù)IK和K’計算得到第三完整性保護密鑰IK’ ；其中，CK，= F(CK, K，)，IK，= F(IK, K，)。其中，VLR和MR之間為運營商網(wǎng)絡域安全，默認為可以安全的發(fā)送第一密鑰K’。 CKMK'可以在VLR中計算，也可以由HLR計算后發(fā)送給VLR。步驟706、VLR根據(jù)CK和IK對第一密鑰K，進行加密，并向M2ME發(fā)送加密后的第一密鑰K，。步驟707、M2ME接收到加密后的第一密鑰K，后，先解密獲得第一密鑰K，，然后使用預先配置在M2ME上的加密算法，根據(jù)CK和K’計算得到第三加密密鑰CK’，根據(jù)IK和K’ 計算得到第三完整性保護密鑰IK，；其中，CK，= F(CK，K，)，IK，= F(IK，K，)。步驟708、M2ME和網(wǎng)絡側基于CK，，IK，進行安全通信。本實施例中，M2ME和網(wǎng)絡側以第三加密密鑰CK’和第三完整性保護密鑰IK’作為密鑰進行安裝通信。步驟709、M2ME在根據(jù)密鑰與VLR進行安全通信后，根據(jù)從VLR接收到的指示標識或預置在M2ME上的指示標識判斷是否刪除該密鑰。步驟709與圖3所示實施例中的步驟315相同，在此不再贅述。本發(fā)明實施例的安全認證方法，在終端設備、VLR和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證設備標識是否合法，當設備標識為合法標識時，VLR根據(jù)該設備標識獲取密鑰，以使VLR和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。圖8為本發(fā)明實施例提供的又一種安全認證方法的信令圖，本實施例是圖6所示實施例的方案在UMTS網(wǎng)絡中的應用，如圖8所述，該方法包括步驟801、M2ME向VLR發(fā)送認證請求消息，在該認證請求消息中可以包括IMSI、 IMEI和M，其中M用于標識該終端設備為M2ME。本實施例中VLR相當于上述各實施例中的MME，HLR相當于上述各實施例中的HSS。
步驟802、M2ME，VLR, HLR基于IMSI進行AKA，實現(xiàn)M2ME和網(wǎng)絡側的互鑒權，并生成加密密鑰CK和完整性保護密鑰IK。步驟803、在AKA鑒權成功后，VLR把M-IMEI發(fā)送給E^進行驗證。步驟804、EIR驗證該M-IMEI是否為合法標識，步驟805、EIR向VLR指示步驟804中的驗證結果。步驟806、當VLR接收到E^發(fā)送的M-IMEI為合法標識的驗證結果時，VLR根據(jù) CK、IK以及M-IMEI，生成第四加密密鑰CK’和第四完整性保護密鑰IK’。若驗證成功，則VLR基于M-IME、CK和IK計算出第四加密密鑰CK，，第四完整性保護密鑰 IK，；CK，，IK，= KDF (CK, IK, M-IMEI, PLMN-ID)。其中，CK’，IK’可以在VLR中計算，也可以由MR計算后發(fā)送給VLR。步驟807、VLR向M2ME發(fā)送第二指示消息。VLR向M2ME發(fā)送驗證成功指示消息。步驟808、M2ME在接收第二指示消息后，根據(jù)CK、IK以及M-IMEI生成第四加密密鑰CK’，第四完整性保護密鑰IK’。步驟809、M2ME和網(wǎng)絡側基于第四加密密鑰CK，，第四完整性保護密鑰IK，進行安
全通^[曰ο本實施例中，M2ME和網(wǎng)絡側以第四加密密鑰CK’和第四完整性保護密鑰IK’作為密鑰進行安裝通信。步驟810、M2ME在根據(jù)密鑰與VLR進行安全通信后，根據(jù)從VLR接收到的指示標識或預置在M2ME上的指示標識判斷是否刪除該密鑰。步驟810與圖3所示實施例中的步驟315相同，在此不再贅述。本發(fā)明實施例的安全認證方法，在終端設備、VLR和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證設備標識是否合法，當設備標識為合法標識時，VLR根據(jù)該設備標識獲取密鑰，以使VLR和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信；并且本實施例中無需生成K’，而是進行AV綁定，根據(jù)M-IMEI計算出CK’，IK’，提供另一種生成密鑰的方式。上述本發(fā)明各實施例提供的方法，也可以應用于中繼(Relay)設備采用可插拔的卡入網(wǎng)的場景中，為了防止攻擊者將合法的卡應用在非法的Relay設備上，或者為了防止攻擊者將非法復制的卡應用在合法的Relay設備上，需要對Relay設備進行安全認證。在這種場景下，可將上述各實施例中的M2ME替換為Relay設備，將標識M2ME的特征標識替換為能夠唯一標識Relay設備的標識IMEI，；通過網(wǎng)絡側驗證IMEI，的合法性，并通過IMEI， 對應的密鑰或者直接通過IMEI ’來計算最后在Relay設備與網(wǎng)絡側進行通信時使用的根密鑰(密鑰)，進而完成網(wǎng)絡對Relay的卡與設備的認證；具體的流程參見上述各實施例中的描述，在此不再贅述。本領域普通技術人員可以理解實現(xiàn)上述方法實施例的全部或部分步驟可以通過程序指令相關的硬件來完成，前述的程序可以存儲于一計算機可讀取存儲介質(zhì)中，該程序在執(zhí)行時，執(zhí)行包括上述方法實施例的步驟；前述的存儲介質(zhì)包括R0M、RAM、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。圖9為本發(fā)明實施例提供的一種移動管理實體的示意圖，如圖9所示，該移動管理實體包括驗證模塊91和獲取模塊93。驗證模塊91用于驗證用于標識終端設備的特征標識，其中，終端設備為機器對機器設備。獲取模塊93用于獲取與驗證模塊91驗證的特征標識對應的密鑰，以根據(jù)密鑰與終端設備進行安全通信。本實施例中各模塊的工作原理和工作流程參見上述各實施例提供的安全認證方法中的描述，在此不再贅述。本發(fā)明實施例的移動管理實體，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，移動管理實體驗證特征標識是否合法，當特征標識為合法標識時，移動管理實體根據(jù)該特征標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。圖10為本發(fā)明實施例提供的另一種移動管理實體的示意圖，在圖9所示的移動管理實體實施例的基礎上，如圖10所示，該移動管理實體還可以包括合法驗證模塊95，以及第一加密發(fā)送模塊97、第二發(fā)送模塊99、第二加密發(fā)送模塊90或第三發(fā)送模塊92。進一步的，驗證模塊91具體可以包括發(fā)送單元911、接收單元913和解密發(fā)送單元915 ；獲取模塊93具體可以包括第一獲取單元931、第二獲取單元933、第三獲取單元 935或第四獲取單元937。當特征標識為終端設備的設備標識時，驗證模塊91具體用于將接收到的終端設備發(fā)送的設備標識發(fā)送到用于驗證設備標識的驗證設備中進行驗證。當特征標識為終端設備的證書時，驗證模塊91具體用于若驗證證書的簽名正確， 則根據(jù)證書的公鑰計算認證標記以驗證證書的合法性。發(fā)送單元911用于向終端設備發(fā)送請求消息。接收單元913用于接收終端設備根據(jù)發(fā)送單元911發(fā)送的請求消息發(fā)送的、根據(jù)加密密鑰和/或完整性保護密鑰加密后的設備標識；加密密鑰和完整性保護密鑰為根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權成功后生成的。解密發(fā)送單元915用于對接收單元913接收的加密后的設備標識進行解密，并將解密后的設備標識發(fā)送到驗證設備進行驗證。第一獲取單元931用于獲取與驗證模塊91驗證的特征標識對應的第一密鑰；根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及第一密鑰，獲取密鑰。 第二獲取單元933用于根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及驗證模塊91驗證的特征標識，生成第二加密密鑰和第二完整性保護密鑰；根據(jù)第二加密密鑰和第二完整性保護密鑰獲取密鑰。第三獲取單元935用于獲取與驗證模塊91 驗證的特征標識對應的第一密鑰；根據(jù)第一密鑰與認證和密鑰協(xié)商鑒權成功后生成的加密密鑰，生成第三加密密鑰；根據(jù)第一密鑰和認證和密鑰協(xié)商鑒權成功后生成的完整性保護密鑰，生成第三完整性保護密鑰；密鑰包括第三加密密鑰和第三完整性保護密鑰。第四獲取單元937用于根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及驗證模塊91驗證的特征標識，生成第四加密密鑰和第四完整性保護密鑰；密鑰包括第四加密密鑰和第四完整性保護密鑰。合法驗證模塊95用于在驗證模塊91驗證特征標識之前，將接收到的終端設備的用戶標識和設備標識發(fā)送到歸屬用戶系統(tǒng)進行驗證，以驗證用戶標識和設備標識的對應關系的合法性。
第一加密發(fā)送模塊97用于在第一獲取單元931獲取與特征標識對應的第一密鑰之后，根據(jù)加密密鑰和完整性保護密鑰對第一密鑰進行加密；將加密后的第一密鑰發(fā)送給終端設備，以使終端設備根據(jù)第一密鑰、加密密鑰和完整性保護密鑰，獲取密鑰。第二發(fā)送模塊99用于在第二獲取單元933獲取密鑰時或在第二獲取單元933獲取密鑰之后，向終端設備發(fā)送第一指示消息，以使終端設備根據(jù)加密密鑰、完整性保護密鑰和特征標識生成第二加密密鑰和第二完整性保護密鑰，并根據(jù)第二加密密鑰和第二完整性保護密鑰獲取密鑰。第二加密發(fā)送模塊90用于在第三獲取單元935獲取與設備標識對應的第一密鑰之后，根據(jù)加密密鑰和完整性保護密鑰對第一密鑰進行加密；將加密后的第一密鑰發(fā)送給終端設備，以使終端設備根據(jù)第一密鑰和加密密鑰生成第三加密密鑰，并根據(jù)第一密鑰和完整性保護密鑰生成第三完整性保護密鑰。第三發(fā)送模塊92用于在第四獲取單元937獲取密鑰時或在第四獲取單元937獲取密鑰之后，向終端設備發(fā)送第二指示消息，以使終端設備根據(jù)加密密鑰、完整性保護密鑰和特征標識生成第四加密密鑰和第四完整性保護密鑰。本實施例中各模塊和單元的工作原理和工作流程參見上述各實施例提供的安全認證方法中的描述，在此不再贅述。本發(fā)明實施例的移動管理實體，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，歸屬用戶系統(tǒng)驗證設備標識是否合法，當設備標識為合法標識時，移動管理實體根據(jù)該設備標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信；并且本實施例中，對用戶標識和設備標識的對應關系進行了驗證，可以防止攻擊者的非法接入，進一步提高了認證的安全性；并且可以在認證和密鑰協(xié)商鑒權成功后，移動管理實體才向終端設備請求終端設備的設備標識，使得終端設備根據(jù)鑒權成功后生成的加密密鑰和/或完整性保護密鑰對設備標識進行加密后，再發(fā)送給移動管理實體，由此避免了使用明文發(fā)送設備標識，進一步提高了認證的安全性；還可以以M2ME的證書作為特征標識，通過驗證M2ME的證書的合法性，避免了假冒的M2ME接入網(wǎng)絡，進一步提高了認證的安全性；而且也可以不生成K’，而是進行 AV綁定，根據(jù)M-IMEI計算出CK’，IK’，然后計算出Kasme，提供另一種生成密鑰的方式。圖11為本發(fā)明實施例提供的一種終端設備的示意圖，如圖11所示，該終端設備包括第一接收模塊1101和獲取模塊1103。第一接收模塊1101用于接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息。獲取模塊1103用于根據(jù)第一接收模塊1101接收的業(yè)務消息獲取密鑰，以根據(jù)密鑰與移動管理實體進行安全通信，其中，終端設備為機器對機器設備。本實施例中各模塊的工作原理和工作流程參見上述各實施例提供的安全認證方法中的描述，在此不再贅述。本發(fā)明實施例的終端設備，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功，并且驗證特征標識為合法標識時，終端設備根據(jù)與該特征標識對應的業(yè)務消息獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn) M2M設備和網(wǎng)絡側之間的安全通信。圖12為本發(fā)明實施例提供的另一種終端設備的示意圖，在圖11所示的終端設備實施例的基礎上，如圖12所示，該終端設備還可以包括第一發(fā)送模塊1105或第二發(fā)送模塊1107，以及第二接收模塊1109、加密模塊1102、第三發(fā)送模塊1104和判斷模塊1106。進一步的，第一接收模塊1101具體可以包括第一接收單元1111或第二接收單元 1113 ；獲取模塊1103具體可以包括第一獲取單元1131、第二獲取單元1133、第三獲取單元1135或第四獲取單元1137。第一接收單元1111用于接收接收移動管理實體發(fā)送的、根據(jù)加密密鑰和完整性保護密鑰進行加密后的第一密鑰；第一密鑰與特征標識相對應；加密密鑰和所述完整性保護密鑰為認證和密鑰協(xié)商鑒權成功后生成的。第二接收單元1113用于接收移動管理實體發(fā)送的第一指示消息。第一獲取單元1131用于在第一接收單元1111接收第一密鑰后，根據(jù)第一密鑰、加密密鑰和完整性保護密鑰，獲取密鑰。第二獲取單元1133用于在第一接收單元1111接收第一密鑰后，根據(jù)第一密鑰和加密密鑰生成第三加密密鑰，并根據(jù)第一密鑰和完整性保護密鑰生成第三完整性保護密鑰；密鑰包括第三加密密鑰和第三完整性保護密鑰。第三獲取單元1135用于在第二接收單元1113接收第一指示消息后，根據(jù)加密密鑰、完整性保護密鑰和特征標識生成第二加密密鑰和第二完整性保護密鑰，并根據(jù)第二加密密鑰和第二完整性保護密鑰獲取密鑰。第四獲取單元1137用于在第二接收單元1113接收第一指示消息后， 根據(jù)加密密鑰、完整性保護密鑰和特征標識生成第四加密密鑰和第四完整性保護密鑰；密鑰包括第四加密密鑰和第四完整性保護密鑰。第一發(fā)送模塊1105用于在第一接收模塊1101接收業(yè)務消息之前，向移動管理實體發(fā)送包含用戶標識和特征標識的認證請求消息。第二發(fā)送模塊1107用于在根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權成功后，在第一接收模塊1101接收業(yè)務消息之前，向移動管理實體發(fā)送特征標識。第二接收模塊1109用于在根據(jù)所述終端設備的用戶標識進行認證和密鑰協(xié)商鑒權成功后，在第一接收模塊1101接收業(yè)務消息之前，接收所述移動管理實體發(fā)送的請求消肩、O加密模塊1102用于在第二接收模塊1109接收請求消息之后，根據(jù)加密密鑰和/ 或完整性保護密鑰對特征標識進行加密；加密密鑰和完整性保護密鑰為認證和密鑰協(xié)商鑒權成功后生成的。第三發(fā)送模塊1104用于根據(jù)第二接收模塊1109接收的請求消息向移動管理實體發(fā)送加密模塊1102加密后的特征標識。判斷模塊1106用于在根據(jù)獲取模塊1103獲取的密鑰與移動管理實體進行安全通信后，根據(jù)從移動管理實體接收到的指示標識或預置的指示標識判斷是否刪除密鑰。本實施例中各模塊和單元的工作原理和工作流程參見上述各實施例提供的安全認證方法中的描述，在此不再贅述。本發(fā)明實施例的終端設備，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功，并且驗證特征標識為合法標識時，終端設備根據(jù)與該特征標識對應的業(yè)務消息獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn) M2M設備和網(wǎng)絡側之間的安全通信。本發(fā)明實施例還提供一種安全認證系統(tǒng)，包括本發(fā)明實施例提供的任一移動管理實體和任一終端設備。本實施例中各模塊和單元的工作原理和工作流程參見上述各實施例提供的安全認證方法中的描述，在此不再贅述。本發(fā)明實施例的安全認證系統(tǒng)，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，移動管理實體驗證特征標識是否合法，當特征標識為合法標識時，移動管理實體根據(jù)該特征標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。最后應說明的是以上實施例僅用以說明本發(fā)明的技術方案，而非對其限制；盡管參照前述實施例對本發(fā)明進行了詳細的說明，本領域的普通技術人員應當理解其依然可以對前述各實施例所記載的技術方案進行修改，或者對其中部分技術特征進行等同替換；而這些修改或者替換，并不使相應技術方案的本質(zhì)脫離本發(fā)明各實施例技術方案的精神和范圍。
權利要求
1.一種安全認證方法，其特征在于，包括驗證用于標識終端設備的特征標識，其中，所述終端設備為機器對機器設備；獲取與所述特征標識對應的密鑰，以根據(jù)所述密鑰與所述終端設備進行安全通信。
2.根據(jù)權利要求1所述的安全認證方法，其特征在于，所述特征標識為所述終端設備的設備標識，所述驗證用于標識終端設備的特征標識包括將接收到的所述終端設備發(fā)送的所述設備標識發(fā)送到用于驗證所述設備標識的驗證設備中進行驗證。
3.根據(jù)權利要求2所述的安全認證方法，其特征在于，所述將接收到的所述終端設備發(fā)送的所述設備標識發(fā)送到用于驗證所述設備標識的驗證設備中進行驗證包括向所述終端設備發(fā)送請求消息；接收所述終端設備根據(jù)所述請求消息發(fā)送的、根據(jù)加密密鑰和/或完整性保護密鑰加密后的所述設備標識；所述加密密鑰和所述完整性保護密鑰為根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權成功后生成的；對加密后的所述設備標識進行解密，并將解密后的所述設備標識發(fā)送到所述驗證設備進行驗證。
4.根據(jù)權利要求2所述的安全認證方法，其特征在于，所述驗證用于標識終端設備的特征標識之前還包括將接收到的所述終端設備的用戶標識和所述設備標識發(fā)送到歸屬用戶系統(tǒng)進行驗證， 以驗證所述用戶標識和所述設備標識的對應關系的合法性。
5.根據(jù)權利要求1所述的安全認證方法，其特征在于，所述特征標識為所述終端設備的證書，所述驗證用于標識終端設備的特征標識包括若驗證所述證書的簽名正確，則根據(jù)所述證書的公鑰計算認證標記以驗證所述證書的合法性。
6.根據(jù)權利要求2-5任一所述的安全認證方法，其特征在于，所述獲取與所述特征標識對應的密鑰包括獲取與所述特征標識對應的第一密鑰；根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及所述第一密鑰，獲取所述密鑰；或者根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及所述特征標識，生成第二加密密鑰和第二完整性保護密鑰；根據(jù)所述第二加密密鑰和所述第二完整性保護密鑰獲取所述密鑰。
7.根據(jù)權利要求2-5任一所述的安全認證方法，其特征在于，所述獲取與所述特征標識對應的密鑰包括獲取與所述特征標識對應的第一密鑰；根據(jù)所述第一密鑰與認證和密鑰協(xié)商鑒權成功后生成的加密密鑰，生成第三加密密鑰；根據(jù)所述第一密鑰和所述認證和密鑰協(xié)商鑒權成功后生成的完整性保護密鑰，生成第三完整性保護密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護密鑰；或者根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及所述特征標識，生成第四加密密鑰和第四完整性保護密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護密鑰。
8.根據(jù)權利要求6所述的安全認證方法，其特征在于，還包括在所述獲取與所述特征標識對應的所述第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護密鑰對所述第一密鑰進行加密；將加密后的所述第一密鑰發(fā)送給所述終端設備，以使所述終端設備根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護密鑰，獲取所述密鑰； 或者向所述終端設備發(fā)送第一指示消息，以使所述終端設備根據(jù)所述加密密鑰、所述完整性保護密鑰和所述特征標識生成所述第二加密密鑰和所述第二完整性保護密鑰，并根據(jù)所述第二加密密鑰和所述第二完整性保護密鑰獲取所述密鑰。
9.根據(jù)權利要求7所述的安全認證方法，其特征在于，還包括在所述獲取與所述設備標識對應的所述第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護密鑰對所述第一密鑰進行加密；將加密后的所述第一密鑰發(fā)送給所述終端設備，以使所述終端設備根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰，并根據(jù)所述第一密鑰和所述完整性保護密鑰生成所述第三完整性保護密鑰；或者向所述終端設備發(fā)送第二指示消息，以使所述終端設備根據(jù)所述加密密鑰、所述完整性保護密鑰和所述特征標識生成所述第四加密密鑰和所述第四完整性保護密鑰。
10.一種安全認證方法，其特征在于，包括接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息，其中， 所述終端設備為機器對機器設備；根據(jù)所述業(yè)務消息獲取密鑰，以根據(jù)所述密鑰與所述移動管理實體進行安全通信。
11.根據(jù)權利要求10所述的安全認證方法，其特征在于，所述接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息包括接收所述移動管理實體發(fā)送的、根據(jù)加密密鑰和完整性保護密鑰進行加密后的第一密鑰；所述第一密鑰與所述特征標識相對應；或者接收所述移動管理實體發(fā)送的第一指示消息；所述加密密鑰和所述完整性保護密鑰為認證和密鑰協(xié)商鑒權成功后生成的。
12.根據(jù)權利要求11所述的安全認證方法，其特征在于，所述根據(jù)所述業(yè)務消息獲取密鑰包括在接收所述第一密鑰后，根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護密鑰，獲取所述密鑰；或者在接收所述第一密鑰后，根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰， 并根據(jù)所述第一密鑰和所述完整性保護密鑰生成所述第三完整性保護密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護密鑰；或者在接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護密鑰和所述特征標識生成所述第二加密密鑰和所述第二完整性保護密鑰，并根據(jù)所述第二加密密鑰和所述第二完整性保護密鑰獲取所述密鑰；或者在接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護密鑰和所述特征標識生成所述第四加密密鑰和所述第四完整性保護密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護密鑰。
13.根據(jù)權利要求10-12任一所述的安全認證方法，其特征在于，所述接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息之前還包括向所述移動管理實體發(fā)送包含用戶標識和所述特征標識的認證請求消息；或者在根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權成功后，向所述移動管理實體發(fā)送所述特征標識。
14.根據(jù)權利要求10-12任一所述的安全認證方法，其特征在于，所述接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息之前還包括在根據(jù)所述終端設備的用戶標識進行認證和密鑰協(xié)商鑒權成功后，接收所述移動管理實體發(fā)送的請求消息；根據(jù)加密密鑰和/或完整性保護密鑰對所述特征標識進行加密；所述加密密鑰和所述完整性保護密鑰為認證和密鑰協(xié)商鑒權成功后生成的；根據(jù)所述請求消息向所述移動管理實體發(fā)送加密后的所述特征標識。
15.根據(jù)權利要求10-12任一所述的安全認證方法，其特征在于，還包括在根據(jù)所述密鑰與所述移動管理實體進行安全通信后，根據(jù)從所述移動管理實體接收到的指示標識或預置的指示標識判斷是否刪除所述密鑰。
16.一種移動管理實體，其特征在于，包括驗證模塊，用于驗證用于標識終端設備的特征標識，其中，所述終端設備為機器對機器設備；獲取模塊，用于獲取與所述驗證模塊驗證的所述特征標識對應的密鑰，以根據(jù)所述密鑰與所述終端設備進行安全通信。
17.根據(jù)權利要求16所述的移動管理實體，其特征在于，所述特征標識為所述終端設備的設備標識，所述驗證模塊具體用于將接收到的所述終端設備發(fā)送的所述設備標識發(fā)送到用于驗證所述設備標識的驗證設備中進行驗證。
18.根據(jù)權利要求17所述的移動管理實體，其特征在于，所述驗證模塊包括 發(fā)送單元，用于向所述終端設備發(fā)送請求消息；接收單元，用于接收所述終端設備根據(jù)所述發(fā)送單元發(fā)送的所述請求消息發(fā)送的、根據(jù)加密密鑰和/或完整性保護密鑰加密后的所述設備標識；所述加密密鑰和所述完整性保護密鑰為根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權成功后生成的；解密發(fā)送單元，用于對所述接收單元接收的加密后的所述設備標識進行解密，并將解密后的所述設備標識發(fā)送到所述驗證設備進行驗證。
19.根據(jù)權利要求17所述的移動管理實體，其特征在于，還包括合法驗證模塊，用于在所述驗證模塊驗證所述特征標識之前，將接收到的所述終端設備的用戶標識和所述設備標識發(fā)送到歸屬用戶系統(tǒng)進行驗證，以驗證所述用戶標識和所述設備標識的對應關系的合法性。
20.根據(jù)權利要求16所述的移動管理實體，其特征在于，所述特征標識為所述終端設備的證書，所述驗證模塊具體用于若驗證所述證書的簽名正確，則根據(jù)所述證書的公鑰計算認證標記以驗證所述證書的合法性。
21.根據(jù)權利要求16-20任一所述的移動管理實體，其特征在于，所述獲取模塊包括 第一獲取單元，用于獲取與所述驗證模塊驗證的所述特征標識對應的第一密鑰；根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及所述第一密鑰，獲取所述密鑰；或者第二獲取單元，用于根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及所述驗證模塊驗證的所述特征標識，生成第二加密密鑰和第二完整性保護密鑰；根據(jù)所述第二加密密鑰和所述第二完整性保護密鑰獲取所述密鑰；或者第三獲取單元，用于獲取與所述驗證模塊驗證的所述特征標識對應的第一密鑰；根據(jù)所述第一密鑰與認證和密鑰協(xié)商鑒權成功后生成的加密密鑰，生成第三加密密鑰；根據(jù)所述第一密鑰和所述認證和密鑰協(xié)商鑒權成功后生成的完整性保護密鑰，生成第三完整性保護密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護密鑰；或者第四獲取單元，用于根據(jù)認證和密鑰協(xié)商鑒權成功后生成的加密密鑰和完整性保護密鑰，以及所述驗證模塊驗證的所述特征標識，生成第四加密密鑰和第四完整性保護密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護密鑰。
22.根據(jù)權利要求21所述的移動管理實體，其特征在于，還包括第一加密發(fā)送模塊，用于在所述第一獲取單元獲取與所述特征標識對應的所述第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護密鑰對所述第一密鑰進行加密；將加密后的所述第一密鑰發(fā)送給所述終端設備，以使所述終端設備根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護密鑰，獲取所述密鑰；或者第二發(fā)送模塊，用于在所述第二獲取單元獲取所述密鑰時或在所述第二獲取單元獲取所述密鑰之后，向所述終端設備發(fā)送第一指示消息，以使所述終端設備根據(jù)所述加密密鑰、 所述完整性保護密鑰和所述特征標識生成所述第二加密密鑰和所述第二完整性保護密鑰， 并根據(jù)所述第二加密密鑰和所述第二完整性保護密鑰獲取所述密鑰；或者第二加密發(fā)送模塊，用于在所述第三獲取單元獲取與所述設備標識對應的第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護密鑰對所述第一密鑰進行加密；將加密后的所述第一密鑰發(fā)送給所述終端設備，以使所述終端設備根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰，并根據(jù)所述第一密鑰和所述完整性保護密鑰生成所述第三完整性保護密鑰；或者第三發(fā)送模塊，用于在所述第四獲取單元獲取所述密鑰時或在所述第四獲取單元獲取所述密鑰之后，向所述終端設備發(fā)送第二指示消息，以使所述終端設備根據(jù)所述加密密鑰、 所述完整性保護密鑰和所述特征標識生成所述第四加密密鑰和所述第四完整性保護密鑰。
23.—種終端設備，其特征在于，包括第一接收模塊，用于接收移動管理實體發(fā)送的、與用于標識終端設備的特征標識相對應的業(yè)務消息；獲取模塊，用于根據(jù)所述第一接收模塊接收的所述業(yè)務消息獲取密鑰，以根據(jù)所述密鑰與所述移動管理實體進行安全通信，其中，所述終端設備為機器對機器設備。
24.根據(jù)權利要求23所述的終端設備，其特征在于，所述第一接收模塊包括第一接收單元，用于接收所述移動管理實體發(fā)送的、根據(jù)加密密鑰和完整性保護密鑰進行加密后的第一密鑰；所述第一密鑰與所述特征標識相對應；或者第二接收單元，用于接收所述移動管理實體發(fā)送的第一指示消息；所述加密密鑰和所述完整性保護密鑰為認證和密鑰協(xié)商鑒權成功后生成的。
25.根據(jù)權利要求M所述的終端設備，其特征在于，所述獲取模塊包括第一獲取單元，用于在所述第一接收單元接收所述第一密鑰后，根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護密鑰，獲取所述密鑰；或者第二獲取單元，用于在所述第一接收單元接收所述第一密鑰后，根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰，并根據(jù)所述第一密鑰和所述完整性保護密鑰生成所述第三完整性保護密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護密鑰；或者第三獲取單元，用于在所述第二接收單元接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護密鑰和所述特征標識生成所述第二加密密鑰和所述第二完整性保護密鑰，并根據(jù)所述第二加密密鑰和所述第二完整性保護密鑰獲取所述密鑰；或者第四獲取單元，用于在所述第二接收單元接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護密鑰和所述特征標識生成所述第四加密密鑰和所述第四完整性保護密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護密鑰。
26.根據(jù)權利要求23-25任一所述的終端設備，其特征在于，還包括第一發(fā)送模塊，用于在所述第一接收模塊接收所述業(yè)務消息之前，向所述移動管理實體發(fā)送包含用戶標識和所述特征標識的認證請求消息；或者第二發(fā)送模塊，用于在根據(jù)用戶標識進行認證和密鑰協(xié)商鑒權成功后，在所述第一接收模塊接收所述業(yè)務消息之前，向所述移動管理實體發(fā)送所述特征標識。
27.根據(jù)權利要求23-25任一所述的終端設備，其特征在于，還包括第二接收模塊，用于在根據(jù)所述終端設備的用戶標識進行認證和密鑰協(xié)商鑒權成功后，在所述第一接收模塊接收所述業(yè)務消息之前，接收所述移動管理實體發(fā)送的請求消息；加密模塊，用于在所述第二接收模塊接收所述請求消息之后，根據(jù)加密密鑰和/或完整性保護密鑰對所述特征標識進行加密；所述加密密鑰和所述完整性保護密鑰為認證和密鑰協(xié)商鑒權成功后生成的；第三發(fā)送模塊，用于根據(jù)所述第二接收模塊接收的所述請求消息向所述移動管理實體發(fā)送所述加密模塊加密后的所述特征標識。
28.根據(jù)權利要求23-25任一所述的終端設備，其特征在于，還包括判斷模塊，用于在根據(jù)所述獲取模塊獲取的所述密鑰與所述移動管理實體進行安全通信后，根據(jù)從所述移動管理實體接收到的指示標識或預置的指示標識判斷是否刪除所述密鑰。
29.一種安全認證系統(tǒng)，包括如權利要求16-22任一所述的移動管理實體和如權利要求23- 任一所述的終端設備。
全文摘要
本發(fā)明實施例提供一種安全認證方法、裝置及系統(tǒng)，該方法包括驗證用于標識終端設備的特征標識，其中，所述終端設備為機器對機器設備；獲取與所述特征標識對應的密鑰，以根據(jù)所述密鑰與所述終端設備進行安全通信。本發(fā)明實施例，在終端設備、移動管理實體和歸屬用戶系統(tǒng)進行認證和密鑰協(xié)商鑒權成功后，驗證終端的特征標識是否合法，當終端的特征標識為合法標識時，根據(jù)該特征標識獲取密鑰，以使移動管理實體和終端設備根據(jù)該密鑰進行安全通信，從而實現(xiàn)M2M設備和網(wǎng)絡側之間的安全通信。
文檔編號H04W12/06GK102196436SQ201010123910
公開日2011年9月21日 申請日期2010年3月11日 優(yōu)先權日2010年3月11日
發(fā)明者劉曉寒, 張麗佳, 許怡嫻, 黃迎新 申請人:華為技術有限公司