專利名稱：服務(wù)節(jié)點間的通信方法
技術(shù)領(lǐng)域：
本發(fā)明設(shè)計通信領(lǐng)域，并且更特別地，涉及通信系統(tǒng)中服務(wù)節(jié) 點間的通信方法。
背景技術(shù)：
通信系統(tǒng)作為 一個基礎(chǔ)設(shè)施，直接關(guān)系到國家安全和社會穩(wěn) 定，因此正受到各國政府的重視。目前，通信系統(tǒng)正在向全IP(互 聯(lián)網(wǎng)協(xié)議)方向演化，并且整個系統(tǒng)變得越來越復雜，因此通信系 統(tǒng)面臨著多種安全威脅，如竊聽、假冒身份、拒絕服務(wù)攻擊、病毒等。在這種情況下，網(wǎng)絡(luò)運營商和用戶需要采取安全4晉施來保護通 信系統(tǒng)。通信系統(tǒng)網(wǎng)絡(luò)側(cè)的設(shè)備一般由運營商來控制，這些設(shè)備通常被 認為是安全的。但是，隨著分組技術(shù)的引入，網(wǎng)絡(luò)側(cè)通信實體也存 在被攻擊的可能性，這樣就會對整個通信系統(tǒng)的安全構(gòu)成威脅。服務(wù)節(jié)點是含有用戶臨時信息并為用戶提供服務(wù)的節(jié)點，其主 要用于記錄終端的位置信息，以及在服務(wù)節(jié)點間交換數(shù)據(jù)。例如，在第三代移動通信系統(tǒng)中，SGSN (服務(wù)GPRS支持節(jié)點)是當前 正在為MS (移動臺)提供業(yè)務(wù)的節(jié)點，可以通過在SGSN之間交 換信息來記錄移動臺的當前位置信息，并且在MS和GGSN ( GPRS 網(wǎng)關(guān)支持節(jié)點)之間完成移動分組數(shù)據(jù)的發(fā)送和接收。由于需要在服務(wù)節(jié)點之間交換信息，因此當服務(wù)節(jié)點被假冒 時，服務(wù)節(jié)點可能會受到各種安全攻擊，例如拒絕服務(wù)攻擊、竊聽、 修改用戶數(shù)據(jù)等。而SGSN與GGSN都有IP路由功能，并能與IP路由器相連。 由于IP網(wǎng)絡(luò)固有的不安全性，SGSN可能被假冒，這樣就會對通信 系統(tǒng)的安全構(gòu)成威脅。在3GPP (第三代無線通信項目伙伴組織)中，存在幾個^(叚設(shè) 前提(1 ) HLR (歸屬位置寄存器)/AuC (鑒權(quán)中心)相信VLR (拜訪位置寄存器)/SGSN可以安全地處理認證信息；(2) VLR/SGSN與HLR/AuC之間的內(nèi)部鏈路足夠安全；(3 )用戶信任 HLR/AuC。然而，隨著IP網(wǎng)絡(luò)的引入，上述l叚i殳不一定成立，特別是分 組域的服務(wù)節(jié)點(如SGSN)很有可能被假冒。對于分組域來說， 在運營商的網(wǎng)絡(luò)中部署IPsec (IP安全)可以提供機密性保護、完 整性保護、消息的源認證保護、和防重放保護，但是引入IPsec會 影響整個網(wǎng)絡(luò)的性能并且部署比較復雜。在3GPP標準中隊服務(wù)節(jié)點間的信息交互過程進行了定義，圖 1中以分組域為例描述了相關(guān)技術(shù)中的舊服務(wù)節(jié)點與新服務(wù)節(jié)點之 間的凄t據(jù)交互過程。如圖1所示，該過程包括以下處理步驟1,當新服務(wù)節(jié)點 (SGSNn )接收到來自用戶的路由更新消息后，向舊服務(wù)節(jié)點 (SGSNo )發(fā)送用戶身份請求消息，該消息包含P—TMSTIo (分組 臨時移動用戶識別石馬)和RATo (路由區(qū)i或標識符)；步驟2，正常 情況下，舊服務(wù)節(jié)點SGSNo向新服務(wù)節(jié)點SGSNn發(fā)送用戶身份響 應消息，該消息包含IMSI (國際移動用戶識別碼)、未用的i人證矢量的編號Qi(五元組信息)、以及當前安全上下文數(shù)據(jù)CK II IK II KSI (CK:加密密鑰，IK:完整性密鑰，KSI:密鑰集標識符)。如上所述，隨著IP技術(shù)的引入，服務(wù)節(jié)點被假冒的可能性大 大增加，而上述處理并沒有考慮服務(wù)節(jié)點的假冒問題，雖然在運營 商的網(wǎng)絡(luò)中部署IPsec可以提供安全措施，但正如在上文中提到的， 引入IPsec會影響整個網(wǎng)絡(luò)的性能并且部署比較復雜。因此，目前還不能夠在不影響網(wǎng)絡(luò)性能的情況下輕+>地實現(xiàn)月1 務(wù)節(jié)點間的安全通信。發(fā)明內(nèi)容考慮到上述問題而做出本發(fā)明。為此，本發(fā)明提供了一種服務(wù) 節(jié)點間的通信方法，其通過認i正處理實現(xiàn)了月良務(wù)節(jié)點間的安全通根據(jù)本發(fā)明的實施例，提供了一種服務(wù)節(jié)點間的通信方法，該 方法包括以下步驟S202，為通信系統(tǒng)中的服務(wù)節(jié)點分配密鑰，月良 務(wù)節(jié)點至少包括第一服務(wù)節(jié)點和第二服務(wù)節(jié)點；S204,當終端位置 更新后，基于密鑰進行第一服務(wù)節(jié)點和/或笫二服務(wù)節(jié)點的認證；以 及S206，在認證通過后，在第一服務(wù)節(jié)點和第二服務(wù)節(jié)點之間發(fā)送 數(shù)據(jù)。其中，在步驟S204中，第二服務(wù)節(jié)點可以對第一服務(wù)節(jié)點進 行認證。具體地，步驟S204進一步包括以下步驟S2042，第一服務(wù)節(jié) 點向第二服務(wù)節(jié)點發(fā)送用戶身份請求消息；S2044,第二服務(wù)節(jié)點 向第一服務(wù)節(jié)點發(fā)送挑戰(zhàn)值，并基于密鑰對第一服務(wù)節(jié)點進行認證；以及S2046,第二服務(wù)節(jié)點向第一服務(wù)節(jié)點返回用戶身份響應 消息。其中，在密鑰為非對稱密鑰的情況下，在步驟S2044中，在第 二服務(wù)節(jié)點發(fā)送挑戰(zhàn)值之后，進行以下處理第一服務(wù)節(jié)點向第二 服務(wù)節(jié)點返回響應報文，其中，響應報文中攜帶有第一服務(wù)節(jié)點 的證書、第二服務(wù)節(jié)點的標識、以及第一服務(wù)節(jié)點的簽名；第二服 務(wù)節(jié)點在接收到響應報文后，使用第一服務(wù)節(jié)點的證書中的公鑰對 第一服務(wù)節(jié)點的簽名進行解密，并根據(jù)第一服務(wù)節(jié)點的公鑰、第二 服務(wù)節(jié)點的標識、以及第一服務(wù)節(jié)點的簽名中的響應值來確認第一 服務(wù)節(jié)點的身份，從而完成對第一服務(wù)節(jié)點的認證。另一方面，在密鑰為對稱密鑰的情況下，在步驟S2044中，在 第二服務(wù)節(jié)點發(fā)送挑戰(zhàn)值之后，進行以下處理第一服務(wù)節(jié)點向第二服務(wù)節(jié)點返回響應報文，其中，響應報文中攜帶有加密的響應值； 以及第二服務(wù)節(jié)點在接收到響應報文后，使用對稱密鑰對響應報文進行解密，當解密得到的響應值與步驟S2044中發(fā)送的挑戰(zhàn)值一致 時，第二服務(wù)節(jié)點完成對第一服務(wù)節(jié)點的認證。此外，在步驟S204中，第一服務(wù)節(jié)點可以對第二服務(wù)節(jié)點進 行認證。具體地，步驟S204進一步包括以下步驟S2042'，第一服務(wù) 節(jié)點向第二服務(wù)節(jié)點發(fā)送挑戰(zhàn)值，并基于密鑰對第二服務(wù)節(jié)點進行 認證；S2044',第一服務(wù)節(jié)點向第二服務(wù)節(jié)點發(fā)送用戶身份請求消 息；以及S2046，，第二服務(wù)節(jié)點向第一服務(wù)節(jié)點返回用戶身份響應 消息。其中，在密鑰為非對稱密鑰的情況下，在步驟S2042，中，在第 一服務(wù)節(jié)點發(fā)送挑戰(zhàn)值之后，進行以下處理第二服務(wù)節(jié)點向第一服務(wù)節(jié)點返回響應報文，其中，響應報文中攜帶有第二服務(wù)節(jié)點 的證書、第一服務(wù)節(jié)點的標識、以及第二服務(wù)節(jié)點的簽名；以及第 一服務(wù)節(jié)點在接收到響應報文后，使用第二服務(wù)節(jié)點的證書中的公 鑰對第二服務(wù)節(jié)點的簽名進行解密，并根據(jù)第二服務(wù)節(jié)點的公鑰、第一服務(wù)節(jié)點的標識、以及第二服務(wù)節(jié)點的簽名中的響應值來確認 第二服務(wù)節(jié)點的身份，從而完成對第二服務(wù)節(jié)點的認證。另一方面，在密鑰為對稱密鑰的情況下，在步驟S2042，中，在 第一服務(wù)節(jié)點發(fā)送挑戰(zhàn)值之后，進行以下處理第二服務(wù)節(jié)點向第 一服務(wù)節(jié)點返回響應報文，其中，響應報文中攜帶有加密的響應值； 以及第一服務(wù)節(jié)點在接收到響應報文后，使用對稱密鑰對響應報文 進行解密，當解密得到的響應值與步驟S2042，中發(fā)送的挑戰(zhàn)值一致 時，第一服務(wù)節(jié)點完成對第二服務(wù)節(jié)點的認證。另夕卜，在步驟S204中，第一服務(wù)節(jié)點和第二服務(wù)節(jié)點可以相 互進行認證。具體地，步驟S204進一步包括S2042",第二服務(wù)節(jié)點向第 一服務(wù)節(jié)點發(fā)送第一挑戰(zhàn)值，并且第一服務(wù)節(jié)點和第二服務(wù)節(jié)點基 于密鑰相互進行認證；S2044",第一服務(wù)節(jié)點向第二服務(wù)節(jié)點發(fā)送 用戶身份請求消息；以及S2046",第二服務(wù)節(jié)點向第一服務(wù)節(jié)點返 回用戶身份響應消息。其中，在密鑰為非對稱密鑰的情況下，在步驟S2042"中，在 第二服務(wù)節(jié)點發(fā)送第一挑戰(zhàn)值之后，進行以下處理第一服務(wù)節(jié)點向第二服務(wù)節(jié)點返回第一響應報文，其中，第一響應報文中攜帶有 第一服務(wù)節(jié)點的證書、第二挑戰(zhàn)值、第二服務(wù)節(jié)點的標識、以及第 一服務(wù)節(jié)點的簽名；第二服務(wù)節(jié)點在接收到第一響應報文后，使用 第 一服務(wù)節(jié)點的證書中的公鑰對第 一服務(wù)節(jié)點的簽名進行解密，并 根據(jù)第一服務(wù)節(jié)點的公鑰、第二服務(wù)節(jié)點的標識、第一服務(wù)節(jié)點的簽名中的第 一響應值來確認第 一服務(wù)節(jié)點的身份，從而完成對第一服務(wù)節(jié)點的認證；第二服務(wù)節(jié)點向第一服務(wù)節(jié)點返回第二響應報 文，其中，第二響應報文中攜帶有第二服務(wù)節(jié)點的證書、第一服 務(wù)節(jié)點的標識、以及第二服務(wù)節(jié)點的簽名；以及第一服務(wù)節(jié)點在接 收到第二響應報文后，使用第二服務(wù)節(jié)點的證書中的公鑰對第二服 務(wù)節(jié)點的簽名進行解密，根據(jù)第二服務(wù)節(jié)點的公鑰、第一服務(wù)節(jié)點 的標識、以及第二服務(wù)節(jié)點的簽名中的第二響應值來確認笫二服務(wù) 節(jié)點的身份，從而完成對第二服務(wù)節(jié)點的認證。另一方面，在密鑰為對稱密鑰的情況下，在步驟S2042"中， 在第二服務(wù)節(jié)點發(fā)送第一挑戰(zhàn)值之后，進行以下處理第一服務(wù)節(jié) 點向第二服務(wù)節(jié)點返回第一響應報文，其中，第一響應報文中攜帶 有加密的第二挑戰(zhàn)值和第 一響應值；第二服務(wù)節(jié)點在接收到第一響 應報文后，使用對稱密鑰對響應報文進行解密，當解密得到的第一 響應值與步驟S2042"中發(fā)送的第 一挑戰(zhàn)值一致時，第二服務(wù)節(jié)點完 成對第 一服務(wù)節(jié)點的認證；第二服務(wù)節(jié)點向第一服務(wù)節(jié)點返回第二 響應報文，其中，第二響應報文中攜帶有加密第二響應值；以及第 一服務(wù)節(jié)點在接收到第二響應報文后，使用對稱密鑰對響應報文進 行解密，當解密得到的第二響應值與本地保存的第二挑戰(zhàn)值一致 時，第一服務(wù)節(jié)點完成對第二服務(wù)節(jié)點的認證。需要說明的是，上述的第一服務(wù)節(jié)點為終端位置更新后的新服 務(wù)節(jié)點，第二服務(wù)節(jié)點為終端位置更新前的舊服務(wù)節(jié)點。另外，挑戰(zhàn)值為時變參數(shù)；第一挑戰(zhàn)值為服務(wù)節(jié)點第一次發(fā)出 的挑戰(zhàn)值，第一響應值為對應于第一挑戰(zhàn)值的響應值；第二挑戰(zhàn)值 為服務(wù)節(jié)點第二次發(fā)出的挑戰(zhàn)值，第二響應值為對應于第二挑戰(zhàn)值 的響應值。通過以上沖支術(shù)方案，本發(fā)明實現(xiàn)了以下有益效果(1)實現(xiàn)了 網(wǎng)絡(luò)側(cè)服務(wù)節(jié)點之間的認證，避免了服務(wù)節(jié)點的假冒；(2)不需要 在運營商的網(wǎng)絡(luò)中部署IPsec等復雜的安全措施，降低了運營商的 運行維護成本，提高了系統(tǒng)的整體性能。


此處所說明的附圖用來提供對本發(fā)明的進一步理解，構(gòu)成本申 請的一部分，本發(fā)明的示意性實施例及其說明用于解釋本發(fā)明，并 不構(gòu)成對本發(fā)明的不當限定。在附圖中圖1是根據(jù)相關(guān)技術(shù)的服務(wù)節(jié)點之間的數(shù)據(jù)交互過程的信令示意圖；圖2是根據(jù)本發(fā)明實施例的服務(wù)節(jié)點間的通信方法的流程圖；圖3是根據(jù)本發(fā)明實例1的舊服務(wù)節(jié)點對新服務(wù)節(jié)點進行認證 的流考呈圖；圖4是根據(jù)本發(fā)明實例1的舊服務(wù)節(jié)點對新服務(wù)節(jié)點進行認證 過程的示意圖；圖5是根據(jù)本發(fā)明實例2的新服務(wù)節(jié)點對舊服務(wù)節(jié)點進行認證 的流程圖；圖6是根據(jù)本發(fā)明實例2的新服務(wù)節(jié)點對舊服務(wù)節(jié)點進行認證 過程的示意圖；圖7是才艮據(jù)本發(fā)明實例3的新服務(wù)節(jié)點與舊月l務(wù)節(jié)點相互進行 認證的流程圖；以及圖8是根據(jù)本發(fā)明實例3的新服務(wù)節(jié)點與舊服務(wù)節(jié)點相互進行 iU正過程的示意圖。
具體實施方式
以下將參照附圖來詳細描述本發(fā)明的實施例，提供以下實施例以提供對本發(fā)明的全面和透徹理解，而不是對本發(fā)明進行任^r限 制。在本發(fā)明實施例中，提供了一種服務(wù)節(jié)點間的通信方法，其通 過服務(wù)節(jié)點間的認證避免了服務(wù)節(jié)點的假冒，從而實現(xiàn)了安全通如圖2所示，該方法包括以下步驟S202,為通信系統(tǒng)中的服 務(wù)節(jié)點分配密鑰，其中，服務(wù)節(jié)點至少包括第一服務(wù)節(jié)點和第二服 務(wù)節(jié)點；S204,當終端位置更新后，基于密鑰進行第一服務(wù)節(jié)點和 /或第二服務(wù)節(jié)點的認證；以及S206,在認證通過后，在第一服務(wù) 節(jié)點和第二服務(wù)節(jié)點之間發(fā)送數(shù)據(jù)。為了便于描述，在下文中，第一服務(wù)節(jié)點為終端位置更新后的 新服務(wù)節(jié)點，第二服務(wù)節(jié)點為終端位置更新前的舊服務(wù)節(jié)點。其中，上述的密鑰可以是非對稱密鑰和對稱密鑰中的任一種， 另外，在步驟S202中，為終端更新前后的舊服務(wù)節(jié)點和新服務(wù)節(jié) 點分配相同類型的密鑰。另外，在步驟S204中，新服務(wù)節(jié)點和舊服務(wù)節(jié)點的認證具體 包括三種情形(1 )舊服務(wù)節(jié)點對新服務(wù)節(jié)點的認證；(2)新服務(wù) 節(jié)點對舊服務(wù)節(jié)點的認證；(3)新服務(wù)節(jié)點和舊服務(wù)節(jié)點間的相互 認證；而根據(jù)密鑰的不同，可以分為基于非對稱密鑰的認證和基于 對稱密鑰的i人i正。以下將通過實例來具體描述上述各種情形。 實例1在該實例中，在步驟S204中，舊服務(wù)節(jié)點SGSNo對新服務(wù)節(jié) 點SGSNn的認證。具體地，如圖3所示，步驟S204進一步包括以下步驟S2042，新服務(wù)節(jié)點(SGSNn)向舊服務(wù)節(jié)點(SGSNo )發(fā)送 用戶身份請求消息P—TMSIo II RAIo (圖4中的S400 );S2044，舊服務(wù)節(jié)點SGSNo向新服務(wù)節(jié)點SGSNn發(fā)送挑戰(zhàn)隨 才幾H(RANDo)，即，SGSNo - 〉SGSNn: RANDo，并基于密鑰對 新服務(wù)節(jié)點SGSNn進行認證(圖4中的S410 );以及S2046,舊月l務(wù)節(jié)點SGSNo向殺斤I良務(wù)節(jié)點SGSNn返回用戶身 份響應消息IMSIII Qi II (CK II IK II KSI)(圖4中的S420 )。(1 )基于非對稱密鑰的認證在步驟S2044中，在舊服務(wù)節(jié)點SGSNo發(fā)送挑戰(zhàn)隨機數(shù) RANDo之后，進行以下處理新服務(wù)節(jié)點SGSNn向舊服務(wù)節(jié)點 SGSNo返回響應報文，其中，響應報文中攜帶有新服務(wù)節(jié)點的證 書(CERTn)、舊服務(wù)節(jié)點的標識(SGSNo)、以及新服務(wù)節(jié)點的簽 名；舊服務(wù)節(jié)點在接收到響應報文后，使用新服務(wù)節(jié)點的證書中的 公鑰對新服務(wù)節(jié)點的簽名進行解密，并根據(jù)新服務(wù)節(jié)點的公鑰、舊 服務(wù)節(jié)點的標識(SGSNo)、以及響應隨機數(shù)(RANDo)來確認新 服務(wù)節(jié)點的身份，從而完成對新服務(wù)節(jié)點的認證。上述處理可以表示為SGSNn-> SGSNo: CERTn || SGSNo || Sn(RANDo， SGSNo)。(2)基于對稱密鑰的認證在步驟S2044中，在舊服務(wù)節(jié)點SGSNo發(fā)送4兆戰(zhàn)隨才幾數(shù) RANDo之后，進行以下處理新服務(wù)節(jié)點向舊服務(wù)節(jié)點返回響應 報文，其中，響應報文中攜帶有加密的響應隨機數(shù)，以及加密的可 選參數(shù)SGSNo*;以及當舊服務(wù)節(jié)點接收到該響應報文后，使用對 稱密鑰Ek對響應報文進行解密，當解密得到的響應隨機數(shù)與步驟 S2044中發(fā)送的挑戰(zhàn)隨機數(shù)一致時，舊服務(wù)節(jié)點完成對新服務(wù)節(jié)點 的認證。上述處理可以表示為SGSNn - > SGSNo: Ek(RANDo， SGSNo*)。在該過程中，只有在舊服務(wù)節(jié)點完成對新服務(wù)節(jié)點的認證后， 舊服務(wù)節(jié)點才向新服務(wù)節(jié)點發(fā)送數(shù)據(jù)。實例2在該實例中，在步驟S204中，新服務(wù)節(jié)點SGSNn對舊服務(wù)節(jié) 點SGSNo的認證。具體地，如圖5所示，步驟S204進一步包括以下步驟S2042'，新服務(wù)節(jié)點SGSNn向舊服務(wù)節(jié)點SGSNo發(fā)送挑戰(zhàn)隨 才幾凄丈RANDn，即，SGSNn-〉SGSNo: RANDn,并基于密鑰對舊 月良務(wù)節(jié)點SGSNo進4亍{人證(圖6中的S600 );S2044'，新服務(wù)節(jié)點SGSNn向舊服務(wù)節(jié)點SGSNo發(fā)送用戶身 份請求消息P—TMSIo II RAIo (圖6中的S610 );以及S2046'，舊月良務(wù)節(jié)點SGSNo向殺斤l良務(wù)節(jié)點SGSNn返回用戶身 份響應消息IMSIII Qi II (CK II IK II KSI)(圖6中的S620 )。(1 )基于非對稱密鑰的認證在步驟S2042，中，在新服務(wù)節(jié)點SGSNn發(fā)送挑戰(zhàn)隨機數(shù) RANDn之后，進行以下處理舊服務(wù)節(jié)點SGSNo向新服務(wù)節(jié)點 SGSNn返回響應報文，其中，響應報文中攜帶有舊服務(wù)節(jié)點的證 書(CERTo)、新服務(wù)節(jié)點的標識(SGSNn)、以及舊服務(wù)節(jié)點的簽 名；以及新服務(wù)節(jié)點在接收到響應報文后，使用舊服務(wù)節(jié)點的證書 中的公鑰對舊服務(wù)節(jié)點的簽名進行解密，并根據(jù)舊服務(wù)節(jié)點的公 鑰、新月良務(wù)節(jié)點的標識(SGSNn)、以及響應隨枳4t (RANDn)來 確認舊服務(wù)節(jié)點的身份，從而完成對舊服務(wù)節(jié)點的認證。上述處理可以表示為SGSNo - 〉SGSNn: CERTo || SGSNn || So(RANDn， SGSNn)。(2)基于對稱密鑰的認證在步驟S2042，中，在新服務(wù)節(jié)點SGSNn發(fā)送挑戰(zhàn)隨機數(shù) RANDn之后，進行以下處理舊服務(wù)節(jié)點向新服務(wù)節(jié)點返回響應 報文，其中，響應報文中攜帶有加密的響應隨機數(shù)，以及加密的可 選參數(shù)SGSNn*;以及當新服務(wù)節(jié)點接收到該響應報文后，使用對 稱密鑰Ek對響應4艮文進行解密，當解密得到的響應隨才幾數(shù)與步驟 S2042，中發(fā)送的挑戰(zhàn)隨機數(shù)一致時，舊服務(wù)節(jié)點完成對新服務(wù)節(jié)點 的認證。上述處理可以表示為SGSNo - >SGSNn : Ek(RANDn， SGSNn*)。在該過程中，只有在新服務(wù)節(jié)點完成對舊服務(wù)節(jié)點的認證后， 新服務(wù)節(jié)點才向舊服務(wù)節(jié)點發(fā)送數(shù)據(jù)。實例3在該實例中，在步驟S204中，新服務(wù)節(jié)點SGSNn與舊服務(wù)節(jié) 點SGSNo相互進行認證，是一個雙向認證過程，該認證過程采用 隨積4t作為4兆戰(zhàn)值可以防止重方文攻擊。首先，本實例中涉及以下術(shù)^吾第一挑戰(zhàn)隨機數(shù)服務(wù)節(jié)點第一次發(fā)出的挑戰(zhàn)隨機數(shù)；第一響 應隨才幾數(shù)對應于第一纟兆戰(zhàn)隨枳4i:的響應隨才幾數(shù)；第二挑戰(zhàn)隨機數(shù)服務(wù)節(jié)點第二次發(fā)出的挑戰(zhàn)隨機數(shù)；第二響 應隨4幾數(shù)對應于第二4兆戰(zhàn)隨才幾數(shù)的響應隨4幾數(shù)。具體地，如圖7所示，步驟S204進一步包括以下步驟S2042"，舊服務(wù)節(jié)點SGSNo向新服務(wù)節(jié)點SGSNn發(fā)送第一挑 戰(zhàn)隨才幾數(shù)RANDo,即，SGSNo - >SGSNn: RANDo，并且新月良務(wù) 節(jié)點和舊服務(wù)節(jié)點基于密鑰相互進行認證；S2044"，新服務(wù)節(jié)點向舊服務(wù)節(jié)點發(fā)送用戶身份請求消息 P—TMSIo II RAIo;以及S2046",舊服務(wù)節(jié)點向新服務(wù)節(jié)點返回用戶身份響應消息 IMSIII Qi II (CK II IK II KSI)。(1 )基于非對稱密鑰的認證在步驟S2042"中，在舊服務(wù)節(jié)點SGSNo發(fā)送第一挑戰(zhàn)隨機數(shù) RANDo之后，進4亍以下處理新月l務(wù)節(jié)點SGSNn向舊月良務(wù)節(jié)點 SGSNo返回第一響應報文，其中，第一響應報文中攜帶有新服務(wù) 節(jié)點的證書(CERTn)、第二挑戰(zhàn)隨機數(shù)(RANDn)、舊服務(wù)節(jié)點的 標識(SGSNo)、以及新服務(wù)節(jié)點的簽名；舊服務(wù)節(jié)點在接收到第 一響應報文后，使用新服務(wù)節(jié)點的證書中的公鑰對新服務(wù)節(jié)點的簽 名進行解密，并根據(jù)新服務(wù)節(jié)點的公鑰、舊服務(wù)節(jié)點的標識 (SGSNo )、第一響應隨機數(shù)(RANDo )來確認新服務(wù)節(jié)點的身份， 從而完成對新服務(wù)節(jié)點的認證；由于隨機數(shù)RANDn以明文方式傳輸，因此對RANDn進行簽 名可以防止選擇明文攻擊。上述處理可以表示為SGSNn - > SGSNo: CERTn || RANDn || SGSNo II Sn(RANDo, RANDn， SGSNo);此外，在步驟S2042"中，在舊服務(wù)節(jié)點SGSNo發(fā)送挑戰(zhàn)隨機 數(shù)RANDo之后，還進行以下處理舊服務(wù)節(jié)點向新服務(wù)節(jié)點返回 第二響應才艮文，其中，第二響應才艮文中攜帶有舊月良務(wù)節(jié)點的i正書 (CERTo)、新服務(wù)節(jié)點的標識(SGSNn)、以及舊服務(wù)節(jié)點的簽名； 以及新服務(wù)節(jié)點在接收到第二響應報文后，使用舊服務(wù)節(jié)點的證書 中的公鑰對舊服務(wù)節(jié)點的簽名進行解密，根據(jù)舊服務(wù)節(jié)點的公鑰、 新月l務(wù)節(jié)點的標識(SGSNn )、以及第二響應隨才幾數(shù)(RANDn )來 確認舊服務(wù)節(jié)點的身份，從而完成對舊服務(wù)節(jié)點的認證。上述處理可以表示為SGSNo-> SGSNn: CERTo || SGSNn || So(RANDo， RANDn, SGSNn)。(2)基于對稱密鑰的認證在步驟S2042"中，在舊服務(wù)節(jié)點SGSNo發(fā)送第一挑戰(zhàn)隨機數(shù) RANDo之后，進行以下處理新服務(wù)節(jié)點向舊服務(wù)節(jié)點返回第一 響應報文，其中，第一響應報文中攜帶有加密的第二挑戰(zhàn)隨機數(shù) (RANDo)、第一響應隨機數(shù)(RANDn)、以及可選參數(shù)SGSNo*; 舊服務(wù)節(jié)點接收到該第一響應報文后，使用對稱密鑰Ek對響應報 文進行解密，當解密得到的第一響應隨機數(shù)與步驟S2042"中發(fā)送的 第 一挑戰(zhàn)隨機數(shù)一致時，舊服務(wù)節(jié)點完成對新服務(wù)節(jié)點的認證；上述處理可以表示為SGSNn - > SGSNo: Ek(RANDn， RANDo， SGSNo*);此夕卜，在步驟S2042，，中，在舊服務(wù)節(jié)點SGSNo發(fā)送第一挑戰(zhàn) 隨機數(shù)RANDo之后，還進行以下處理舊服務(wù)節(jié)點向新服務(wù)節(jié)點 返回第二響應報文，其中，第二響應報文中攜帶有加密的隨機數(shù) (RANDo)、第二響應隨機數(shù)(RANDn);以及新服務(wù)節(jié)點在接收 到第二響應報文后，使用對稱密鑰Ek對響應報文進行解密，當解 密得到的第二響應隨機數(shù)與本地保存的第二挑戰(zhàn)隨機數(shù)一致時，新 服務(wù)節(jié)點完成對舊服務(wù)節(jié)點的認證。上述處理可以表示為SGSNo - > SGSNn: Ek(RANDo, RANDn)。在該過程中，只有新服務(wù)節(jié)點和舊服務(wù)節(jié)點完成相互認證后， 二者才交換數(shù)據(jù)。值得注意的是，上述的挑戰(zhàn)隨機數(shù)和響應隨機數(shù)、以及第一和 第二挑戰(zhàn)隨機數(shù)和響應隨機數(shù)均是示例性的，本發(fā)明不限于此，也 可以采用其他為時變參數(shù)的挑戰(zhàn)值和響應值。綜上所述，借助于本發(fā)明的技術(shù)方案，通過使用非對稱密鑰或 對稱密鑰進行服務(wù)節(jié)點的認證，防止了服務(wù)節(jié)點的假冒，從而實現(xiàn) 了服務(wù)節(jié)點的安全通信。以上所述僅為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā) 明，對于本領(lǐng)域的技術(shù)人員來說，本發(fā)明可以有各種更改和變化。 凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進 等，均應包含在本發(fā)明的保護范圍之內(nèi)。
權(quán)利要求
1. 一種服務(wù)節(jié)點間的通信方法，其特征在于，包括以下步驟S202，為通信系統(tǒng)中的服務(wù)節(jié)點分配密鑰，所述服務(wù)節(jié)點至少包括第一服務(wù)節(jié)點和第二服務(wù)節(jié)點；S204，當終端位置更新后，基于所述密鑰進行所述第一服務(wù)節(jié)點和/或所述第二服務(wù)節(jié)點的認證；以及S206，在認證通過后，在所述第一服務(wù)節(jié)點和所述第二服務(wù)節(jié)點之間發(fā)送數(shù)據(jù)。
2. 根據(jù)權(quán)利要求1所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述步驟S204中，所述第二服務(wù)節(jié)點對所述第一服務(wù)節(jié)點 進行認證。
3. 根據(jù)權(quán)利要求2所述的服務(wù)節(jié)點間的通信方法，其特征在于， 所述步驟S204進一步包4舌以下步驟S2042，所述第 一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點發(fā)送用戶 身份i青求消息；S2044,所述第二服務(wù)節(jié)點向所述第一服務(wù)節(jié)點發(fā)送挑戰(zhàn) 值，并基于所述密鑰對所述第一服務(wù)節(jié)點進行認證；以及S2046，所述第二服務(wù)節(jié)點向所述第 一服務(wù)節(jié)點返回用戶 身份響應消息。
4. 根據(jù)權(quán)利要求3所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述密鑰為非對稱密鑰的情況下，在所述步驟S2044中， 在所述第二服務(wù)節(jié)點發(fā)送所述挑戰(zhàn)值之后，進行以下處理所述第 一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點返回響應報文，其中，所述響應報文中攜帶有所述第一服務(wù)節(jié)點的證書、所 述第二服務(wù)節(jié)點的標識、以及所述第 一服務(wù)節(jié)點的簽名；所述第二服務(wù)節(jié)點在接收到所述響應報文后，使用所述 第 一服務(wù)節(jié)點的證書中的公鑰對所述第 一服務(wù)節(jié)點的簽名進 行解密，并根據(jù)所述第一服務(wù)節(jié)點的所述公鑰、所述第二服務(wù) 節(jié)點的標識、以及所述第一服務(wù)節(jié)點的簽名中的響應值來確認 所述第 一服務(wù)節(jié)點的身份，從而完成對所述第 一服務(wù)節(jié)點的認 證。
5. 根據(jù)權(quán)利要求3所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述密鑰為對稱密鑰的情況下，在所述步驟S2044中，在 所述第二服務(wù)節(jié)點發(fā)送所述挑戰(zhàn)值之后，進行以下處理所述第一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點返回響應報文， 其中，所述響應報文中攜帶有加密的響應值；以及所述第二力良務(wù)節(jié)點在^妄收到所述響應才艮文后， <吏用所述 對稱密鑰對所述響應才艮文進行解密，當解密得到的所述響應值 與所述步驟S2044中發(fā)送的所述挑戰(zhàn)值一致時，所述第二服 務(wù)節(jié)點完成對所述第 一服務(wù)節(jié)點的認證。
6. 根據(jù)權(quán)利要求1所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述步驟S204中，所述第一服務(wù)節(jié)點對所述第二服務(wù)節(jié)點進行認證o
7. 根據(jù)權(quán)利要求6所述的服務(wù)節(jié)點間的通信方法，其特征在于， 所述步驟S204進一步包括以下步驟S2042'，所述第 一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點發(fā)送挑戰(zhàn) 值，并基于所述密鑰對所述第二服務(wù)節(jié)點進行認證；S2044',所述第一月良務(wù)節(jié)點向所述第二月良務(wù)節(jié)點發(fā)送用戶 身份請求消息；以及S2046',所述第二服務(wù)節(jié)點向所述第一服務(wù)節(jié)點返回用戶 身份響應消息。
8. 才艮據(jù)權(quán)利要求7所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述密鑰為非對稱密鑰的情況下，在所述步驟S2042，中， 在所述第一服務(wù)節(jié)點發(fā)送所述挑戰(zhàn)值之后，進行以下處理所述第二服務(wù)節(jié)點向所述第一服務(wù)節(jié)點返回響應報文， 其中，所述響應報文中攜帶有所述第二服務(wù)節(jié)點的證書、所 述第一服務(wù)節(jié)點的標識、以及所述第二服務(wù)節(jié)點的簽名；以及所述第一服務(wù)節(jié)點在接收到所述響應報文后，使用所述 第二服務(wù)節(jié)點的證書中的公鑰對所述第二服務(wù)節(jié)點的簽名進行解密，并根據(jù)所述第二服務(wù)節(jié)點的所述公鑰、所述第一服務(wù) 節(jié)點的標識、以及所述第二服務(wù)節(jié)點的簽名中的響應值來確認 所述第二服務(wù)節(jié)點的身份，從而完成對所述第二服務(wù)節(jié)點的認證。
9. 根據(jù)權(quán)利要求7所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述密鑰為對稱密鑰的情況下，在所述步驟S2042，中，在 所述第一服務(wù)節(jié)點發(fā)送所述挑戰(zhàn)值之后，進行以下處理所述第二服務(wù)節(jié)點向所述第一服務(wù)節(jié)點返回響應報文， 其中，所述響應才艮文中攜帶有加密的響應值；以及所述第一服務(wù)節(jié)點在接收到所述響應報文后，使用所述 對稱密鑰對所述響應才艮文進行解密，當解密得到的所述響應值 與所述步驟S2042，中發(fā)送的所述44戰(zhàn)值一致時，所述第一服 務(wù)節(jié)點完成對所述第二服務(wù)節(jié)點的認證。
10. 根據(jù)權(quán)利要求1所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述步驟S204中，所述第一服務(wù)節(jié)點和所述第二服務(wù)節(jié)點 相互進行認證。
11. 根據(jù)權(quán)利要求10所述的服務(wù)節(jié)點間的通信方法，其特征在于， 所述步驟S204進一步包括以下步驟S2042",所述第二服務(wù)節(jié)點向所述第 一服務(wù)節(jié)點發(fā)送第 一挑戰(zhàn)值，并且所述第 一服務(wù)節(jié)點和所述第二服務(wù)節(jié)點基于所 述密鑰相互進4于iU正；S2044",所述第 一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點發(fā)送用 戶身份請求消息；以及S2046"，所述第二服務(wù)節(jié)點向所述第 一服務(wù)節(jié)點返回用 戶身份響應消息。
12. 根據(jù)權(quán)利要求11所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述密鑰為非對稱密鑰的情況下，在所述步驟S2042"中， 在所述第二服務(wù)節(jié)點發(fā)送所述第一挑戰(zhàn)值之后，進行以下處 理所述第一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點返回第一響應報 文，其中，所述第一響應報文中攜帶有所述笫一服務(wù)節(jié)點的 證書、第二挑戰(zhàn)值、所述第二服務(wù)節(jié)點的標識、以及所述第一服務(wù)節(jié)點的簽名；所述第二服務(wù)節(jié)點在接收到所述第一響應報文后，使用 所述第一服務(wù)節(jié)點的證書中的公鑰對所述第一服務(wù)節(jié)點的簽 名進行解密，并根據(jù)所述第一服務(wù)節(jié)點的所述公鑰、所述第二 月良務(wù)節(jié)點的標識、所述第 一月良務(wù)節(jié)點的簽名中的第 一響應值來確認所述第 一服務(wù)節(jié)點的身份,從而完成對所述第 一服務(wù)節(jié)點 的認證；所述第二服務(wù)節(jié)點向所述第一服務(wù)節(jié)點返回第二響應報文，其中，所述第二響應報文中攜帶有所述第二服務(wù)節(jié)點的 證書、所述第一服務(wù)節(jié)點的標識、以及所述第二服務(wù)節(jié)點的簽 名；以及所述第一服務(wù)節(jié)點在接收到所述第二響應報文后，使用 所述第二服務(wù)節(jié)點的證書中的公鑰對所述第二服務(wù)節(jié)點的簽 名進行解密，根據(jù)所述第二服務(wù)節(jié)點的公鑰、所述第一服務(wù)節(jié) 點的標識、以及所述第二力良務(wù)節(jié)點的簽名中的第二響應值來確 認所述第二服務(wù)節(jié)點的身份，從而完成對所述第二服務(wù)節(jié)點的 認證。
13. 根據(jù)權(quán)利要求11所述的服務(wù)節(jié)點間的通信方法，其特征在于， 在所述密鑰為對稱密鑰的情況下，在所述步驟S2042"中，在 所述第二服務(wù)節(jié)點發(fā)送所述第一挑戰(zhàn)值之后，進行以下處理所述第一服務(wù)節(jié)點向所述第二服務(wù)節(jié)點返回第一響應報 文，其中，所述第一響應報文中攜帶有加密的第二挑戰(zhàn)值和第 一響應值；所述第二服務(wù)節(jié)點在接收到所述第一響應報文后，使用 所述對稱密鑰對所述響應報文進行解密，當解密得到的所述第 一響應值與所述步驟S2042"中發(fā)送的所述第一^L戰(zhàn)值一致 時，所述第二服務(wù)節(jié)點完成對所述第 一服務(wù)節(jié)點的認證；所述第二服務(wù)節(jié)點向所述第一服務(wù)節(jié)點返回第二響應報 文，其中，所述第二響應^R文中攜帶有加密的第二響應值；以 及所述第一服務(wù)節(jié)點在接收到所述第二響應報文后，使用 所迷對稱密鑰對所迷響應4艮文進^f于解密，當解密得到的所述笫 二響應值與本地4呆存的第二4兆戰(zhàn)值一致時，所述第 一力良務(wù)節(jié)點 完成對所述第二服務(wù)節(jié)點的認證。
14. 根據(jù)權(quán)利要求1至13中任一項所述的服務(wù)節(jié)點間的通信方法， 其特征在于，所述第 一力良務(wù)節(jié)點為所述終端位置更新后的新月良務(wù)節(jié)點，所述第二服務(wù)節(jié)點為所述終端位置更新前的舊服務(wù)節(jié) 點。
15. 根據(jù)權(quán)利要求1至13中任一項所述的服務(wù)節(jié)點間的通信方法， 其特征在于，所述挑戰(zhàn)值為時變參數(shù)；所述第一挑戰(zhàn)值為所述 服務(wù)節(jié)點第一次發(fā)出的挑戰(zhàn)值，所述第一響應值為對應于所述 第 一挑戰(zhàn)值的響應值；所述第二挑戰(zhàn)值為所述服務(wù)節(jié)點第二次 發(fā)出的挑戰(zhàn)值，所述第二響應值為對應于所述第二挑戰(zhàn)值的響 應值。
全文摘要
本發(fā)明提供了一種服務(wù)節(jié)點間的通信方法，包括以下步驟S202，為通信系統(tǒng)中的服務(wù)節(jié)點分配密鑰，服務(wù)節(jié)點至少包括第一服務(wù)節(jié)點和第二服務(wù)節(jié)點；S204，當終端位置更新后，基于密鑰進行第一服務(wù)節(jié)點和/或第二服務(wù)節(jié)點的認證；以及S206，在認證通過后，在第一服務(wù)節(jié)點和第二服務(wù)節(jié)點之間發(fā)送數(shù)據(jù)。通過本發(fā)明的技術(shù)方案，實現(xiàn)了以下有益效果(1)實現(xiàn)了網(wǎng)絡(luò)側(cè)服務(wù)節(jié)點之間的認證，避免了服務(wù)節(jié)點的假冒；(2)不需要在運營商的網(wǎng)絡(luò)中部署IPsec等復雜的安全措施，降低了運營商的運行維護成本，提高了系統(tǒng)的整體性能。
文檔編號H04L9/08GK101267303SQ20071008674
公開日2008年9月17日 申請日期2007年3月13日 優(yōu)先權(quán)日2007年3月13日
發(fā)明者波 吳, 朱進國, 滕志猛, 韋銀星 申請人:中興通訊股份有限公司