一種保證用戶身份標識私密性的方法
2023-07-14 08:03:01
專利名稱：一種保證用戶身份標識私密性的方法
技術領域：
本發明涉及第三代無線通信技術領域，特別是指在應用通用鑑權框架過程中，一種保證用戶身份標識私密性的方法。
背景技術：
在第三代無線通信標準中，通用鑑權框架是多種應用業務實體使用的一個用於完成對用戶身份進行驗證的通用結構，應用通用鑑權框架可實現對應用業務的用戶進行檢查和驗證身份。上述多種應用業務可以是多播/廣播業務、用戶證書業務、信息即時提供業務等，也可以是代理業務。
圖1所示為通用鑑權框架的結構示意圖。通用鑑權框架通常由用戶101、執行用戶身份初始檢查驗證的實體(BSF)102、用戶歸屬網絡伺服器(HSS)103和網絡業務應用實體(NAF)104組成。BSF 102用於與用戶101進行互驗證身份，同時生成BSF 102與用戶101的共享密鑰；HSS 103中存儲用於描述用戶信息的描述(Profile)文件，同時HSS 103還兼有產生鑑權信息的功能。
用戶需要使用某種業務時，如果其知道需要首先到BSF進行互鑑權過程，則直接與BSF聯繫進行互鑑權，否則，用戶會首先和該業務對應的NAF聯繫，如果該NAF使用通用鑑權框架，並且發現發出請求的用戶還未到BSF進行互鑑權，則通知發出請求的用戶到BSF進行互鑑權以驗證身份。
用戶與BSF之間的互認證過程是用戶向BSF發出鑑權請求，該鑑權請求消息中包括用戶的永久身份標識(IMPI)或由國際移動用戶識別碼(IMSI)轉換得到的IMPI，BSF接到來自用戶的鑑權請求後，首先到HSS獲取該用戶的鑑權信息，BSF向HSS請求鑑權的消息中也包含了用戶的永久身份標識，HSS根據用戶的永久身份標識查找到該用戶的屬性信息並且生成鑑權矢量返回給BSF，BSF根據所獲取的鑑權信息與用戶之間執行鑑權和密鑰協商協議(AKA)進行互鑑權。鑑權成功後，用戶和BSF之間互相認證了身份並且同時生成了共享密鑰Ks，BSF為這個密鑰Ks定義了一個有效期限，以便密鑰Ks進行更新。之後，BSF分配一個會話事務標識(B-TID)給用戶，該B-TID與Ks相關聯，並在本地對該B-TID、用戶的永久身份標識、密鑰Ks及密鑰Ks的有效期限等信息進行關聯保存，然後再將該B-TID發送給UE，該消息中同時包含了Ks的有效期限。共享密鑰Ks是作為根密鑰來使用的，不會離開用戶的UE和BSF，當用戶和NAF通信時，將使用由Ks衍生出的密鑰。
用戶收到這個B-TID後，重新向NAF發出連接請求，該請求消息中攜帶了該B-TID，同時用戶側根據Ks計算出衍生密鑰Ks_NAF。接收到請求的NAF確認該用戶合法且獲得了衍生密鑰Ks_NAF後，與該用戶進行正常的通信，且在後面的通信過程中通過衍生密鑰Ks_NAF進行通信保護。
當用戶發現密鑰Ks即將過期，或NAF要求用戶重新到BSF進行鑑權時，用戶就會重複上述的步驟重新到BSF進行鑑權，以得到新的Ks及B-TID。
在用戶向BSF請求鑑權的過程中，不論是用戶首次請求鑑權還是用戶為了更新密鑰Ks及B-TID進行鑑權，在用戶發送的請求鑑權的消息中都包含了自己永久身份標識。用戶和BSF之間的連接是通過空中接口的無線連接來完成的，而無線連接的特點就是安全性很差極容易被攻擊。因此用戶的永久身份標識在空中接口被頻繁的使用是很危險的，極容易被攻擊者跟蹤、竊取，用戶的永久身份標識很難保證私密性。
發明內容
有鑑於此，本發明的目的在於提供一種保證用戶身份標識私密性的方法，避免用戶身份標識被追蹤的威脅，提高用戶身份標識的私密性。
為達到上述目的，本發明的技術方案是這樣實現的
一種保證用戶身份標識私密性的方法，適用於用戶終端應用通用鑑權框架進行鑑權的過程，該方法包括以下步驟a、執行用戶身份初始檢查驗證的實體BSF接收到來自用戶終端的鑑權請求後，判斷該請求中是包含會話事務標識B-TID還是用戶身份標識，如果是B-TID，則執行步驟b，如果是用戶身份標識，則按照現有的處理方式繼續後續處理。
b、判斷本地是否存在該B-TID，如果存在，則提取該B-TID對應的用戶身份標識，並根據該用戶身份標識從用戶歸屬網絡伺服器HSS中獲取鑑權信息，然後按照現有的處理方式繼續後續處理，否則，BSF要求用戶發送包含用戶身份標識的鑑權請求，然後按照現有的處理方式繼續後續處理。
較佳地，該方法進一步包括01)用戶終端判斷本地是否存在B-TID，如果是，則執行步驟02)，否則執行步驟03)；02)向BSF發送包含B-TID的鑑權請求，然後執行步驟a；03)向BSF發送包含用戶身份標識的鑑權請求，然後執行步驟a。
較佳地，用戶終端判斷出本地存在B-TID後，進一步包括判斷該B-TID是否處於有效期之內，如果是，再執行步驟02)，否則，執行步驟03)。
較佳地，步驟a所述判斷是根據標識的域名進行識別的。
較佳地，所述用戶身份標識是用戶的永久身份標識或由國際移動用戶識別碼轉換得到的用戶永久身份標識。
應用本發明，BSF接收到來自用戶終端的鑑權請求後，判斷該請求中是包含B-TID還是用戶身份標識，如果是用戶身份標識，則按照現有的處理方式繼續後續處理；如果是B-TID，則進一步判斷本地是否存在該B-TID，如果存在，則提取該B-TID對應的用戶身份標識，並根據該用戶身份標識從用戶歸屬網絡伺服器HSS中獲取鑑權信息，然後按照現有的處理方式繼續後續處理，否則，BSF要求用戶發送包含用戶身份標識的鑑權請求，然後按照現有的處理方式繼續後續處理。本發明減少了用戶身份標識的使用次數，避免了用戶身份標識被追蹤的可能，提高了用戶身份標識在空中接口的安全性，從而保證了用戶身份標識的私密性。
圖1所示為通用鑑權框架的結構示意圖；圖2所示為應用本發明的使用通用鑑權框架進行鑑權的流程示意圖。
具體實施例方式
為使本發明的技術方案更加清楚，下面結合附圖對發明做進一步地詳細說明。
本發明的思路是BSF接收到來自用戶終端的鑑權請求後，判斷該請求中是包含B-TID還是用戶身份標識，如果是用戶身份標識，則按照現有的處理方式繼續後續處理；如果是B-TID，則進一步判斷本地是否存在該B-TID，如果存在，則提取該B-TID對應的用戶身份標識，並根據該用戶身份標識從用戶歸屬網絡伺服器HSS中獲取鑑權信息，然後按照現有的處理方式繼續後續處理，否則，BSF要求用戶發送包含用戶身份標識的鑑權請求，然後按照現有的處理方式繼續後續處理。
圖2所示為應用本發明的使用通用鑑權框架進行鑑權的流程示意圖。
步驟201，當用戶終端(UE)需要到BSF進行鑑權前，首先檢查本地是否已經存在一個B-TID，如果不存在，則給BSF發送包含用戶身份標識的鑑權請求消息，並按照現有流程繼續後續處理；如果存在則進一步檢查該B-TID相關聯的Ks是否到期，即該B-TID是否有效，如果有效，則給BSF發送包含B-TID的鑑權請求消息，否則，仍舊給BSF發送包含用戶身份標識的鑑權請求消息，並按照現有流程繼續後續處理。
在BSF和用戶完成鑑權，並給用戶分配了B-TID，同時設置了與該B-TID相關聯的密鑰Ks的有效期限後，在該有效期限達到之前BSF都會保存該B-TID，但當有效期限到達後，BSF將刪除該B-TID及相關信息，因此，如果用戶終端檢測出本地保存的B-TID已失效，仍要給BSF發送包含用戶身份標識的鑑權請求消息。
上述用戶身份標識是用戶的永久身份標識IMPI或由IMSI轉換得到的用戶永久身份標識IMPI。
步驟202，BSF接收到來自用戶終端的鑑權請求後，判斷該請求中是包含會話事務標識B-TID還是用戶身份標識，如果是用戶身份標識，則按照現有的處理方式繼續後續處理；如果是B-TID，則判斷本地是否存在該B-TID，如果存在，則執行步驟205，否則，執行步驟203。
由於B-TID與用戶身份標識的域名不同，所以BSF在收到用戶發送的標識後就能夠知道該標識B-TID還是IMPI。通常，B-TID和IMPI的標識的格式如下B-TIDbase64encode(RAND)@BSF_servers_domain_nameIMPI用戶@@MNC.MCC.IMSI.3gppnetwork.org或者用戶@MNC.MCC.3gppnetwork.org步驟203，BSF要求用戶發送包含IMPI的鑑權請求。
步驟204，用戶終端給BSF發送包含IMPI的鑑權請求消息。
步驟205，BSF提取該B-TID對應的用戶身份標識，並向HSS發送包含IMPI的鑑權請求信息。
步驟206，HSS給BSF返回鑑權信息。
步驟207，BSF應用從HSS獲取的鑑權信息與發起鑑權請求的用戶終端進行互鑑權，鑑權成功後，用戶和BSF之間互相認證了身份並且同時生成了共享密鑰Ks，BSF為這個密鑰Ks定義了一個有效期限，以便密鑰Ks進行更新。
步驟208，BSF分配一個B-TID給用戶，該B-TID與Ks相關聯，並在本地對該B-TID、用戶的IMPI、密鑰Ks及密鑰Ks的有效期限等信息進行關聯保存，之後，將該B-TID發送給UE，該消息中同時包含了Ks的有效期限。共享密鑰Ks是作為根密鑰來使用的，不會離開用戶的UE和BSF，當用戶和NAF通信時，將使用由Ks衍生出的密鑰。
步驟209，用戶收到這個B-TID後，重新向NAF發出連接請求，該請求消息中攜帶了該B-TID，同時用戶側根據Ks計算出衍生密鑰Ks_NAF。
步驟210，接收到請求的NAF確認該用戶合法且獲得了衍生密鑰Ks_NAF後，與該用戶進行正常的通信，且在後面的通信過程中通過衍生密鑰Ks_NAF進行通信保護。
為了不影響用戶正常使用業務，用戶終端會在Ks的有效期到達之前再次發起鑑權過程，以便得到新的B-TID及Ks。如果用戶因為關機或不在服務區而沒有在本地B-TID的有效期內及時進行重鑑權，則在再次鑑權過程中，只能向BSF發送包含IMPI的鑑權請求，因為，BSF很可能已經將到期的B-TID刪除。
如果NAF出於安全的原因通知用戶進行重鑑權，此時，如果該用戶終端內的B-TID仍在有效期內，則該用戶終端仍然可以向BSF發送包含B-TID的鑑權請求。
以上所述僅為本發明的較佳實施例而已，並不用以限制本發明，凡在本發明的精神和原則之內，所作的任何修改、等同替換、改進等，均應包含在本發明的保護範圍之內。
權利要求
1.一種保證用戶身份標識私密性的方法，適用於用戶終端應用通用鑑權框架進行鑑權的過程，其特徵在於，該方法包括以下步驟a、執行用戶身份初始檢查驗證的實體BSF接收到來自用戶終端的鑑權請求後，判斷該請求中是包含會話事務標識B-TID還是用戶身份標識，如果是B-TID，則執行步驟b，如果是用戶身份標識，則按照現有的處理方式繼續後續處理。b、判斷本地是否存在該B-TID，如果存在，則提取該B-TID對應的用戶身份標識，並根據該用戶身份標識從用戶歸屬網絡伺服器HSS中獲取鑑權信息，然後按照現有的處理方式繼續後續處理，否則，BSF要求用戶發送包含用戶身份標識的鑑權請求，然後按照現有的處理方式繼續後續處理。
2.根據權利要求1所述的方法，其特徵在於，該方法進一步包括01)用戶終端判斷本地是否存在B-TID，如果是，則執行步驟02)，否則執行步驟03)；02)向BSF發送包含B-TID的鑑權請求，然後執行步驟a；03)向BSF發送包含用戶身份標識的鑑權請求，然後執行步驟a。
3.根據權利要求2所述的方法，其特徵在於，用戶終端判斷出本地存在B-TID後，進一步包括判斷該B-TID是否處於有效期之內，如果是，再執行步驟02)，否則，執行步驟03)。
4.根據權利要求1所述的方法，其特徵在於，步驟a所述判斷是根據標識的域名進行識別的。
5.根據權利要求1所述的方法，其特徵在於，所述用戶身份標識是用戶的永久身份標識或由國際移動用戶識別碼轉換得到的用戶永久身份標識。
全文摘要
本發明提供了一種保證用戶身份標識私密性的方法，其關鍵是，BSF接收到來自用戶終端的鑑權請求後，判斷該請求中是包含B－TID還是用戶身份標識，如是用戶身份標識，則按照現有的處理方式繼續後續處理；如是B－TID，則進一步判斷本地是否存在該B－TID，如存在，則提取該B－TID對應的用戶身份標識，並根據該用戶身份標識從用戶歸屬網絡伺服器HSS中獲取鑑權信息，然後按照現有的處理方式繼續後續處理，否則，BSF要求用戶發送包含用戶身份標識的鑑權請求，然後按照現有的處理方式繼續後續處理。本發明減少了用戶身份標識的使用次數，避免了用戶身份標識被追蹤的可能，提高了用戶身份標識在空中接口的安全性，從而保證了用戶身份標識的私密性。
文檔編號H04L9/00GK1770685SQ200410088580
公開日2006年5月10日 申請日期2004年11月5日 優先權日2004年11月5日
發明者黃迎新 申請人:華為技術有限公司