一種在空口上安全傳輸lte用戶imsi的方法和系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及無線通信物理層領(lǐng)域，尤其涉及LTE無線通信系統(tǒng)，提出一種在空口上安全傳輸LTE用戶IMSI的方法和系統(tǒng)。
【背景技術(shù)】
[0002]國(guó)際移動(dòng)用戶識(shí)別碼(IMSI)屬于移動(dòng)用戶的隱私，特別是對(duì)于敏感用戶和重要用戶來說，其MSI的泄露可能會(huì)導(dǎo)致重要的安全事故，因此，應(yīng)避免在空口上以明文的方式傳輸IMSI。然而，在目前的公共陸地移動(dòng)網(wǎng)絡(luò)中，某些業(yè)務(wù)流程仍然需要以明文的方式在空口傳輸MSI。雖然也有多種改進(jìn)方法，但仍然無法完全避免以明文的方式在空口傳輸IMSI。對(duì)于LTE網(wǎng)絡(luò)來說，在初始附著過程中或當(dāng)網(wǎng)絡(luò)出錯(cuò)時(shí)，都需要終端在非接入層信令(NAS)消息中向網(wǎng)絡(luò)報(bào)告用戶的MSI，否則，網(wǎng)絡(luò)無法確定該終端所對(duì)應(yīng)的用戶。同時(shí)，在目前的LTE網(wǎng)絡(luò)安全架構(gòu)中，由于在這一階段網(wǎng)絡(luò)不知道消息來自哪個(gè)用戶，也沒有建立好安全關(guān)聯(lián)，因而終端側(cè)無法加密信令，網(wǎng)絡(luò)側(cè)無法解密。在LTE網(wǎng)絡(luò)中，以明文方式在空口傳輸IMSI的NAS消息有兩個(gè):初始附著過程中的附著請(qǐng)求消息(AttachRequest)和識(shí)別響應(yīng)消息(IdentityResponse)，其中前者封裝在初始附著過程中的RRC連接建立完成(RRCConnect1nComplete)消息中。攻擊者可以很容易讓終端重新發(fā)起初始附著過程，并在雙向認(rèn)證之前從空口獲取用戶的頂SI ;也可利用正常流程中的AttachRequest消息或IdentityResponse消息從空口獲取用戶的IMSI。
[0003]另外，許多寬帶專網(wǎng)以LTE和演進(jìn)的分組核心網(wǎng)(EPC)為基礎(chǔ)來構(gòu)建，同樣需要在初始附著過程中的AttachRequest消息以及IdentityResponse消息中以明文的方式在空口傳輸頂SI，這對(duì)專網(wǎng)用戶來說是一個(gè)重要的安全風(fēng)險(xiǎn)。

【發(fā)明內(nèi)容】

[0004]本發(fā)明提出了一種空口上安全傳輸LTE用戶MSI的方法和系統(tǒng)，其目的在于在不改變LTE網(wǎng)絡(luò)架構(gòu)和安全架構(gòu)、對(duì)LTE網(wǎng)絡(luò)影響最小化的情況下，完全避免在空口上以明文的方式傳輸頂SI，同時(shí)還要適應(yīng)不同基站和不同終端對(duì)IMSI安全傳輸?shù)牟煌С帜芰?，并保證與不支持IMSI安全傳輸?shù)木W(wǎng)絡(luò)設(shè)備和終端兼容。
[0005]無線物理層安全技術(shù)可以利用無線信道的唯一性和互易性特點(diǎn)，來實(shí)現(xiàn)密鑰協(xié)商和加密傳輸，為此，本發(fā)明把物理層安全技術(shù)融合到LTE物理層處理中，并根據(jù)目前LTE信令與消息流程，設(shè)計(jì)出一套在空口上安全傳輸LTE用戶IMSI的方法和裝置，從而可以完全避免在空口上以明文的方式傳輸MSI。
[0006]在目前的LTE網(wǎng)絡(luò)中，只有初始附著過程中的AttachRequest消息、IdentityResponse消息會(huì)以明文方式在空口上傳輸IMSI。為了避免以明文方式在空口傳輸MSI，需要在初始附著過程發(fā)送AttachRequest時(shí)完成MSI安全傳輸協(xié)商和密鑰協(xié)商。
[0007]本發(fā)明提出的一種空口上安全傳輸LTE用戶MSI的方法，其實(shí)現(xiàn)步驟如下:
[0008]1.基站的MSI安全傳輸配置。配置基站的MSI安全傳輸能力各參數(shù)，如:是否支持IMSI安全傳輸、支持哪些密鑰提取方法和加解密算法等。
[0009]2.終端的IMSI安全傳輸配置。配置終端的IMSI安全傳輸能力各參數(shù)，如:是否支持IMSI安全傳輸、支持哪些密鑰提取方法和加解密算法等。
[0010]3.基站的IMSI安全傳輸能力參數(shù)廣播?；疽韵到y(tǒng)信息的方式，通過廣播信道在小區(qū)內(nèi)廣播其MSI安全傳輸能力參數(shù)。
[0011]4.終端接收解析基站的IMSI安全傳輸能力參數(shù)。終端在小區(qū)搜索過程中解析并保存基站小區(qū)系統(tǒng)信息中的基站IMSI安全傳輸能力信息，并在小區(qū)選擇過程中優(yōu)先選擇具有IMSI安全傳輸功能的基站。
[0012]5.1MSI安全傳輸協(xié)商。終端和基站利用并擴(kuò)展無線資源控制(RRC)連接建立過程的 RRC 連接建立請(qǐng)求(RRCConnect1nRequest)和 RRC 連接建立(RRCConnect1nSetup)消息，完成IMSI安全傳輸協(xié)商；終端根據(jù)自己和基站的IMSI安全傳輸能力來選擇是否啟用MSI安全傳輸功能，以及密鑰提取方法和加解密算法，并由基站確認(rèn)；當(dāng)終端收到RRCConnect1nSetup消息后，解析其中的IMSI安全傳輸協(xié)商反饋信息。
[0013]6.加解密密鑰的協(xié)商。
[0014]a)終端按照協(xié)商出的密鑰提取方法從收到RRCConnect1nSetup消息的下行子幀和后面的若干個(gè)下行子幀的物理層信息中提取加密密鑰；終端利用小區(qū)專屬參考信號(hào)(CRS)，基站利用上行解調(diào)參考信號(hào)(DMRS)或探測(cè)參考信號(hào)(SRS)，分析無線信道特征，提取加解密密鑰；且所用的CRS和DMRS (或SRS)信號(hào)所在的時(shí)隙在時(shí)間上盡可能靠近。
[0015]b)終端在調(diào)度指定的上行時(shí)隙里向基站發(fā)送RRC連接建立完成(RRCConnect1nComplete)消息；
[0016]c)基站收到RRCConnect1nComplete消息后，利用所選取的密鑰提取算法，從上行信號(hào)中提取解密密鑰，保存在基站上IMSI安全傳輸關(guān)聯(lián)數(shù)據(jù)庫(kù)中。
[0017]7.初始附著過程中的AttachRequest消息里的MSI加密與解密。
[0018]a)終端利用加密密鑰和選取的加密算法，對(duì)初始附著過程中的AttachRequest消息里的頂SI加密；
[0019]b)終端把含有加過密的IMSI的AttachRequest消息封裝在RRCConnect1nComplete消息中，然后，在調(diào)度指定的上行時(shí)隙里向基站發(fā)送RRCConnect1nComplete 消息；
[0020]c)基站利用協(xié)商出的解密密鑰和解密算法，對(duì)AttachRequest消息中的加密MSI進(jìn)行解密，再將AttachRequest消息發(fā)送給移動(dòng)管理實(shí)體(MME)。
[0021]8.1dentityResponse消息中的IMSI加密與解密。當(dāng)終端需要向核心網(wǎng)發(fā)送IdentityResponse消息時(shí)，用保存的加密密鑰對(duì)IdentityResponse中的IMSI加密；基站收到IdentityResponse消息時(shí)，用保存的解密密鑰對(duì)IdentityResponse消息中的IMSI解密，然后把IdentityResponse消息發(fā)送給核心網(wǎng)。
[0022]本發(fā)明提出的一種空口上安全傳輸LTE用戶MSI的系統(tǒng)，包括:基站上MSI安全傳輸裝置和終端上MSI安全傳輸裝置。
[0023]本發(fā)明提出的基站上IMSI安全傳輸裝置，包括:基站IMSI安全傳輸能力配置模塊，用于配置并存放基站的MSI安全傳輸能力參數(shù)；基站IMSI安全傳輸能力廣播模塊，用于以系統(tǒng)信息的方式向小區(qū)內(nèi)終端廣播基站的MSI安全傳輸能力參數(shù)；基站上IMSI安全傳輸關(guān)聯(lián)數(shù)據(jù)庫(kù)，用于存放與終端間的MSI安全傳輸關(guān)聯(lián)信息；基站上IMSI安全傳輸協(xié)商模塊，用于與終端協(xié)商否啟用MSI安全傳輸功能、密鑰提取方法和加解密算法；基站上加解密密鑰的協(xié)商模塊，用于從上行物理信號(hào)中提取解密密鑰；基站上解密模塊，用于對(duì)AttachRequest 和 IdentityResponse 消息中的加密 IMSI 解密。
[0024]本發(fā)明提出的終端上IMSI安全傳輸裝置，包括:終端IMSI安全傳輸能力配置模塊，用于配置和存放終端的MSI安全傳輸能力參數(shù)；終端MSI安全傳輸能力接收模塊，用于接收和解析基站MSI安全傳輸能力參數(shù)；終端上IMSI安全傳輸關(guān)聯(lián)數(shù)據(jù)庫(kù)，用于存放與基站間的MSI安全傳輸關(guān)聯(lián)信息；終端上IMSI安全傳輸協(xié)商模塊，用于與基站協(xié)商否啟用IMSI安全傳輸功能、密鑰提取方法和加解密算法；終端上加解密密鑰的協(xié)商模塊，用于從下行物理信號(hào)中提取加密密鑰；終端上加密模塊，用于對(duì)AttachRequest和IdentityResponse 消息中的 IMSI 加密。
[0025]本發(fā)明所述的方法不僅適用于LTE系統(tǒng)，也適用于LTE-A系統(tǒng)。
[0026]與現(xiàn)有技術(shù)相比，本發(fā)明的積極效果為:
[0027]本發(fā)明在不改變LTE網(wǎng)絡(luò)架構(gòu)和安全架構(gòu)、對(duì)LTE網(wǎng)絡(luò)影響最小化的情況下，完全避免在空口上以明文的方式傳輸MSI，且適應(yīng)能力強(qiáng)，同時(shí)能夠保證與不支持IMSI安全傳輸?shù)木W(wǎng)絡(luò)設(shè)備和終端兼容。
【附圖說明】
[0028]圖1為L(zhǎng)TE基站和終端功能模型；
[0029](a) LTE基站功能模型，(b) LTE終端功能模型；
[0030]圖2為基站上MSI安全傳輸裝置；
[0031]圖3為終端上頂SI安全傳輸裝置；
[0032]圖4為空口上MSI安全傳輸方法實(shí)現(xiàn)的流程；
[0033]圖5為空口上MSI安全傳輸方法實(shí)現(xiàn)的消息流程。
【具體實(shí)施方式】