專(zhuān)利名稱(chēng)：安全認(rèn)證方法、裝置及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明實(shí)施例涉及通信技術(shù)領(lǐng)域，尤其涉及一種安全認(rèn)證方法、裝置及系統(tǒng)。
背景技術(shù)：
現(xiàn)有的3GPP網(wǎng)絡(luò)是針對(duì)人與人通信(Human-to-Human，H2H)的，其中，用戶標(biāo)識(shí)和設(shè)備是一一對(duì)應(yīng)的，網(wǎng)絡(luò)只對(duì)用戶標(biāo)識(shí)進(jìn)行管理。例如在使用手機(jī)時(shí)，SIM卡與手機(jī)是一一對(duì)應(yīng)的，網(wǎng)絡(luò)只對(duì)SIM卡進(jìn)行管理?，F(xiàn)有的安全技術(shù)可以包括當(dāng)用戶終端 (UE)接入網(wǎng)絡(luò)時(shí)，網(wǎng)絡(luò)側(cè)根據(jù)UE唯一對(duì)應(yīng)的用戶標(biāo)識(shí)來(lái)獲取密鑰(K)，并生成認(rèn)證向量 (Authentication Vector,以下簡(jiǎn)稱(chēng)為AV)，利用AV完成UE和網(wǎng)絡(luò)側(cè)的互鑒權(quán)并生成系統(tǒng)密鑰，從而保證UE到網(wǎng)絡(luò)側(cè)的安全通信。其中，該用戶標(biāo)識(shí)可以為國(guó)際移動(dòng)用戶身份 (International Mobile Subscriber Identity，MT" 1:IMSI)。在機(jī)器對(duì)機(jī)器(Machine-to-Machine，以下簡(jiǎn)稱(chēng)為M2M)通信中，用戶標(biāo)識(shí)與設(shè)備之間不再是簡(jiǎn)單的一一對(duì)應(yīng)，而是多對(duì)多的關(guān)系。例如一個(gè)用戶對(duì)應(yīng)多個(gè)終端設(shè)備，多個(gè)用戶共同使用一個(gè)終端設(shè)備，或者多個(gè)用戶對(duì)應(yīng)多個(gè)終端設(shè)備。在實(shí)現(xiàn)本發(fā)明過(guò)程中，發(fā)明人發(fā)現(xiàn)在M2M通信中，若使用現(xiàn)有的安全技術(shù)，則UE 到網(wǎng)絡(luò)側(cè)可能會(huì)無(wú)法安全通信。由此，需要提供一種在M2M通信中的安全技術(shù)，以實(shí)現(xiàn)M2ME 和網(wǎng)絡(luò)側(cè)之間的安全通信。

發(fā)明內(nèi)容
本發(fā)明實(shí)施例提供一種安全認(rèn)證方法、裝置及系統(tǒng)，用以實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。本發(fā)明實(shí)施例提供一種安全認(rèn)證方法，包括驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)所述密鑰與所述終端設(shè)備進(jìn)行認(rèn)證。本發(fā)明實(shí)施例還提供一種安全認(rèn)證方法，包括接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息， 其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；根據(jù)所述業(yè)務(wù)消息獲取密鑰，以根據(jù)所述密鑰與所述移動(dòng)管理實(shí)體進(jìn)行安全通本發(fā)明實(shí)施例提供一種移動(dòng)管理實(shí)體，包括驗(yàn)證模塊，用于驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；獲取模塊，用于獲取與所述驗(yàn)證模塊驗(yàn)證的所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)所述密鑰與所述終端設(shè)備進(jìn)行認(rèn)證。本發(fā)明實(shí)施例提供一種終端設(shè)備，包括第一接收模塊，用于接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息；獲取模塊，用于根據(jù)所述第一接收模塊接收的所述業(yè)務(wù)消息獲取密鑰，以根據(jù)所述密鑰與所述移動(dòng)管理實(shí)體進(jìn)行安全通信，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備。本發(fā)明實(shí)施例提供一種安全認(rèn)證系統(tǒng)，包括本發(fā)明實(shí)施例提供的任一移動(dòng)管理實(shí)體和任一終端設(shè)備。本發(fā)明實(shí)施例的安全認(rèn)證方法、裝置及系統(tǒng)，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，驗(yàn)證終端的特征標(biāo)識(shí)是否合法，當(dāng)終端的特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，根據(jù)該特征標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。


圖1為本發(fā)明實(shí)施例提供的一種安全認(rèn)證方法的流程圖2為本發(fā)明實(shí)施例提供的另--種安全認(rèn)證方法的流程圖
圖3為本發(fā)明實(shí)施例提供的又--種安全認(rèn)證方法的信令圖
圖4為本發(fā)明實(shí)施例提供的又--種安全認(rèn)證方法的信令圖
圖5為本發(fā)明實(shí)施例提供的又--種安全認(rèn)證方法的信令圖
圖6為本發(fā)明實(shí)施例提供的又--種安全認(rèn)證方法的信令圖
圖7為本發(fā)明實(shí)施例提供的又--種安全認(rèn)證方法的信令圖
圖8為本發(fā)明實(shí)施例提供的又--種安全認(rèn)證方法的信令圖
圖9為本發(fā)明實(shí)施例提供的一種移動(dòng)管理實(shí)體的示意圖10為本發(fā)明實(shí)施例提供的另一種移動(dòng)管理實(shí)體的示意圖
圖11為本發(fā)明實(shí)施例提供的一種終端設(shè)備的示意圖12為本發(fā)明實(shí)施例提供的另一種終端設(shè)備的示意圖。
具體實(shí)施例方式M2M是指無(wú)需人工干預(yù)，機(jī)器和機(jī)器之間可以直接進(jìn)行通信。M2M的應(yīng)用種類(lèi)豐富，例如可以包括以下應(yīng)用自動(dòng)儀表(水電氣表)、遠(yuǎn)程監(jiān)控、工業(yè)安全與家庭自動(dòng)化、支付系統(tǒng)(自動(dòng)柜員機(jī)、支持終端和停車(chē)計(jì)時(shí)收費(fèi)表等)以及車(chē)輛遠(yuǎn)程控制(如車(chē)隊(duì)管理、過(guò)路費(fèi)收費(fèi)、車(chē)輛恢復(fù)以及根據(jù)駕駛情況支付保費(fèi)等)等。用于M2M通信的終端稱(chēng)為M2M設(shè)備(M2M equipment，以下簡(jiǎn)稱(chēng)為M2ME)，M2ME可以是具有M2M特性的用戶終端UE。M2ME可以接入GSM、GPRS、UTRAN或EUTRAN等網(wǎng)絡(luò)，與M2M服務(wù)器或其他M2ME進(jìn)行通信，實(shí)現(xiàn)M2M 應(yīng)用。本發(fā)明實(shí)施例可以應(yīng)用在M2ME的通信過(guò)程中，也可以應(yīng)用在中繼(Relay)設(shè)備采用可插拔的卡入網(wǎng)的過(guò)程中，下面主要以M2ME的通信過(guò)程為例進(jìn)行說(shuō)明。圖1為本發(fā)明實(shí)施例提供的一種安全認(rèn)證方法的流程圖，本實(shí)施例以移動(dòng)管理實(shí)體為執(zhí)行主體，如圖1所述，該方法包括步驟101、驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)；該終端設(shè)備為M2ME。本實(shí)施例可以應(yīng)用在多種網(wǎng)絡(luò)中，例如3GPP EPS、UMTS和GSM等，以下以應(yīng)用在 3GPP EPS網(wǎng)絡(luò)中為例進(jìn)行說(shuō)明。本發(fā)明實(shí)施例中的終端設(shè)備可以是M2ME(亦即MTC (machinetypecommunication)設(shè)備)，M2ME包括用戶標(biāo)識(shí)和特征標(biāo)識(shí)。其中用戶標(biāo)識(shí)與M2ME可以是一對(duì)多的關(guān)系，也就是多個(gè)M2ME共用一個(gè)用戶標(biāo)識(shí)。特征標(biāo)識(shí)用于標(biāo)識(shí)每個(gè)M2ME，每個(gè) M2ME都具有一特征標(biāo)識(shí)，并且每個(gè)M2ME的特征標(biāo)識(shí)是不同的；該特征標(biāo)識(shí)可以是M2ME的設(shè)備標(biāo)識(shí)，也可以是M2ME的證書(shū)。根據(jù)用戶標(biāo)識(shí)，M2ME、移動(dòng)管理實(shí)體(Mobility Management Entity，以下簡(jiǎn)稱(chēng)為 MME)和歸屬用戶系統(tǒng)(Home Subscriber System，以下簡(jiǎn)稱(chēng)為HSS)進(jìn)行認(rèn)證和密鑰協(xié)商 (Authentication and key agreement，以下簡(jiǎn)稱(chēng)為AKA)，實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)的互鑒權(quán)并生成加密密鑰(Cipher Key,以下簡(jiǎn)稱(chēng)為CK)和完整性保護(hù)密鑰(htegrity Key,以下簡(jiǎn)稱(chēng)為ικ)。在認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，驗(yàn)證Μ2ΜΕ的特征標(biāo)識(shí)是否合法。驗(yàn)證的過(guò)程可以是MME接收Μ2ΜΕ發(fā)送的特征標(biāo)識(shí)，然后根據(jù)預(yù)置的規(guī)則對(duì)該特征標(biāo)識(shí)進(jìn)行驗(yàn)證；驗(yàn)證的過(guò)程也可以是MME接收Μ2ΜΕ發(fā)送的特征標(biāo)識(shí)，然后將該特征標(biāo)識(shí)發(fā)送給設(shè)備識(shí)別寄存器 (Equipment Identity Register，以下簡(jiǎn)稱(chēng)為EIR)，E^根據(jù)預(yù)置的規(guī)則對(duì)該特征標(biāo)識(shí)進(jìn)行驗(yàn)證。步驟102、獲取與特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)密鑰與終端設(shè)備進(jìn)行安全通信。在MME或EIR對(duì)特征標(biāo)識(shí)進(jìn)行驗(yàn)證后，若該特征標(biāo)識(shí)為合法標(biāo)識(shí)，則可以根據(jù)該特征標(biāo)識(shí)獲得密鑰，并且通過(guò)MME與M2ME之間的通信，以及MME和M2ME預(yù)先約定的加密算法， 使得M2ME也可以獲得該密鑰，從而可以實(shí)現(xiàn)MME和M2ME根據(jù)該密鑰進(jìn)行安全通信。 其中，根據(jù)該特征標(biāo)識(shí)獲得密鑰可以有多種方法，例如(1) EIR或者M(jìn)ME根據(jù)該特征標(biāo)識(shí)獲取到與該特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰，然后MME使用MME與M2ME約定的加密算法， 根據(jù)CK、IK和該第一密鑰，獲得密鑰(M-Kasme)，其中第一密鑰可以是與M2ME的特征標(biāo)識(shí)唯一對(duì)應(yīng)的密鑰，也可以是一隨機(jī)數(shù)；(2) MME使用MME與M2ME約定的加密算法，根據(jù)CK、IK 和特征標(biāo)識(shí)生成新的CK和IK，例如第二 CK和第二 IK，或者第三CK和第三IK，然后根據(jù)第二 CK和第二 IK獲得M-Kasme，或者在UMTS網(wǎng)絡(luò)中MME與M2ME可以直接以第三CK和第三 IK作為密鑰進(jìn)行安全通信。MME與M2ME根據(jù)上述獲得的密鑰進(jìn)行安全通信，在進(jìn)行安全通信之前，M2ME接收 MME發(fā)送的第一密鑰或者指示消息；當(dāng)M2ME接收到MME發(fā)送的第一密鑰后，M2ME使用MME 與M2ME約定的加密算法，根據(jù)CK、IK和該第一密鑰，獲得密鑰(M-Kasme)；當(dāng)M2ME接收到 MME發(fā)送的指示消息后，M2ME使用MME與M2ME約定的加密算法，根據(jù)CK、IK和特征標(biāo)識(shí)生成新的CK和IK，例如第二 CK和第二 IK，或者第三CK和第三IK，然后根據(jù)第二 CK和第二 IK獲得M-Kasme，或者在UMTS網(wǎng)絡(luò)中M2ME可以直接以第三CK和第三IK作為密鑰與MME 進(jìn)行安全通信。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，驗(yàn)證特征標(biāo)識(shí)是否合法，當(dāng)特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，根據(jù)該特征標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M 設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。圖2為本發(fā)明實(shí)施例提供的另一種安全認(rèn)證方法的流程圖，本實(shí)施例與圖1所示實(shí)施例相對(duì)應(yīng)，以終端設(shè)備為執(zhí)行主體，如圖2所述，該方法包括步驟201、接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息；該終端設(shè)備為M2ME ；。本發(fā)明實(shí)施例中的終端設(shè)備可以是M2ME，M2ME包括用戶標(biāo)識(shí)和特征標(biāo)識(shí)。其中用戶標(biāo)識(shí)與M2ME可以是一對(duì)多的關(guān)系，也就是多個(gè)M2ME共用一個(gè)用戶標(biāo)識(shí)。特征標(biāo)識(shí)用于標(biāo)識(shí)每個(gè)M2ME，每個(gè)M2ME都具有一特征標(biāo)識(shí)，并且每個(gè)M2ME的特征標(biāo)識(shí)是不同的；該特征標(biāo)識(shí)可以是M2ME的設(shè)備標(biāo)識(shí)，也可以是M2ME的證書(shū)。在M2ME、MME和HSS根據(jù)M2ME的用戶標(biāo)識(shí)進(jìn)行AKA鑒權(quán)成功，并且M2ME的特征標(biāo)識(shí)被驗(yàn)證為合法標(biāo)識(shí)后，M2ME接收到MME發(fā)送的業(yè)務(wù)消息，該業(yè)務(wù)消息與特征標(biāo)識(shí)相對(duì)應(yīng)； 其中在AKA鑒權(quán)過(guò)程中，生成CK和IK。該業(yè)務(wù)消息可以是與特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰，也可以是指示消息。步驟202、根據(jù)業(yè)務(wù)消息獲取密鑰，以根據(jù)密鑰與移動(dòng)管理實(shí)體進(jìn)行安全通信。當(dāng)M2ME接收到的業(yè)務(wù)消息是第一密鑰時(shí)，M2ME使用MME與M2ME約定的加密算法， 根據(jù)CK、IK和該第一密鑰，獲得密鑰(M-Kasme)；當(dāng)M2ME接收到的業(yè)務(wù)消息是指示消息時(shí)， M2ME使用MME與M2ME約定的加密算法，根據(jù)CK、IK和特征標(biāo)識(shí)生成新的CK和IK，例如第二 CK和第二 IK，或者第三CK和第三IK，然后根據(jù)第二 CK和第二 IK獲得M-Kasme，或者在 UMTS網(wǎng)絡(luò)中M2ME可以直接以第三CK和第三IK作為密鑰與MME進(jìn)行安全通信。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功，并且驗(yàn)證特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，終端設(shè)備根據(jù)與該特征標(biāo)識(shí)對(duì)應(yīng)的業(yè)務(wù)消息獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。圖3為本發(fā)明實(shí)施例提供的又一種安全認(rèn)證方法的信令圖，如圖3所述，該方法包括步驟301、終端設(shè)備向移動(dòng)管理實(shí)體發(fā)送包含用戶標(biāo)識(shí)和特征標(biāo)識(shí)的認(rèn)證請(qǐng)求消肩、ο本實(shí)施例中，終端設(shè)備可以為M2ME，用戶標(biāo)識(shí)可以為IMSI，特征標(biāo)識(shí)可以為設(shè)備標(biāo)識(shí)，該設(shè)備標(biāo)識(shí)具體可以為國(guó)際移動(dòng)設(shè)備身份碼(InternationalMobile Equipment Identity,以下簡(jiǎn)稱(chēng)為IMEI)，以下把設(shè)備標(biāo)識(shí)簡(jiǎn)稱(chēng)為M-IMEI。本發(fā)明實(shí)施例并不限定終端設(shè)備的設(shè)備標(biāo)識(shí)的形式，例如，該設(shè)備標(biāo)識(shí)還可以為 IMSI，此時(shí)該終端設(shè)備可以有兩個(gè)IMSI (IMSIa和IMSIb)，其中，IMSIa作為用戶標(biāo)識(shí)，IMSIb 作為標(biāo)識(shí)M2M設(shè)備的設(shè)備標(biāo)識(shí)。M2ME向MME發(fā)送認(rèn)證請(qǐng)求消息，在該認(rèn)證請(qǐng)求消息中可以包括IMSI、IMEI和M，M 用于標(biāo)識(shí)該終端設(shè)備為M2ME ；其中，可以預(yù)先在M2ME中配置標(biāo)識(shí)M，也可以由MME為M2M認(rèn)證分配一個(gè)標(biāo)識(shí)M，并由MME將標(biāo)識(shí)M發(fā)送給M2ME。在步驟301之后，MME將接收到的終端設(shè)備發(fā)送的用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)發(fā)送到歸屬用戶系統(tǒng)進(jìn)行驗(yàn)證，以驗(yàn)證用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系的合法性；若歸屬用戶系統(tǒng)驗(yàn)證用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系合法，則根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)，這些步驟具體可以為步驟302-308所示。步驟302、MME發(fā)送認(rèn)證數(shù)據(jù)請(qǐng)求消息給HSS，其中該認(rèn)證數(shù)據(jù)請(qǐng)求消息中包括有 IMSI、M-IMEI、運(yùn)營(yíng)商網(wǎng)絡(luò) ID (Serving network ID，簡(jiǎn)稱(chēng)為SN ID)其中，SN ID 指的是目前服務(wù)的運(yùn)營(yíng)商網(wǎng)絡(luò)ID。
步驟303、HSS通過(guò)查詢(xún)數(shù)據(jù)庫(kù)來(lái)驗(yàn)證IMSI和M-IMEI的對(duì)應(yīng)關(guān)系是否合法，若驗(yàn)證成功，即若IMSI和M-IMEI的對(duì)應(yīng)關(guān)系合法，則生成認(rèn)證向量AVs。M2M用戶在注冊(cè)的時(shí)候把IMSI和M-IMEI綁定的對(duì)應(yīng)關(guān)系告知運(yùn)營(yíng)商，并將該 IMSI和M-IMEI綁定的對(duì)應(yīng)關(guān)系保存在HSS的數(shù)據(jù)庫(kù)中。HSS通過(guò)查詢(xún)數(shù)據(jù)庫(kù)可以得知IMSI 和M-IMEI的對(duì)應(yīng)關(guān)系是否合法。通過(guò)檢查IMSI和M-IMEI對(duì)應(yīng)關(guān)系的合法性，可以防止以下安全威脅例如，攻擊者合法擁有一個(gè)M2ME，非法復(fù)制了一個(gè)IMSI，通過(guò)檢查對(duì)應(yīng)關(guān)系可以阻止攻擊者非法接入網(wǎng)絡(luò)；又例如，攻擊者合法擁有一個(gè)IMSI，非法盜取了一個(gè)M-IMEI， 將盜取的M-IMEI寫(xiě)入自己制作的M2ME中，通過(guò)檢查對(duì)應(yīng)關(guān)系也可以防止這種攻擊者非法接入網(wǎng)絡(luò)。步驟304、HSS向MME發(fā)送認(rèn)證數(shù)據(jù)響應(yīng)消息，該響應(yīng)消息中包括認(rèn)證向量AVs。步驟305、MME接收HSS發(fā)送的認(rèn)證數(shù)據(jù)響應(yīng)消息，并存儲(chǔ)AVs。步驟306、MME向M2ME發(fā)送用戶認(rèn)證請(qǐng)求消息，該用戶認(rèn)證請(qǐng)求消息中包含認(rèn)證標(biāo)記(Authentication iToken,簡(jiǎn)稱(chēng)為AUTH)、隨機(jī)數(shù) Random(RAND)和 KSIasme (Kasme 的密鑰索引，用于指示Kasme)。步驟307、M2ME收到用戶認(rèn)證請(qǐng)求消息后，通過(guò)驗(yàn)證該用戶認(rèn)證請(qǐng)求消息中的消息鑒權(quán)碼(Message Authentication Code，簡(jiǎn)稱(chēng)為MAC)值完成終端對(duì)網(wǎng)絡(luò)的鑒權(quán)，計(jì)算出 CK、IK和XRES (Expected response，期望的響應(yīng)數(shù))，然后向MME發(fā)送用戶認(rèn)證響應(yīng)，該響應(yīng)中包含XRES。步驟308、MME收到用戶認(rèn)證響應(yīng)后，驗(yàn)證XRES是否等于RES，完成網(wǎng)絡(luò)側(cè)對(duì)終端的鑒權(quán)。其中，本發(fā)明實(shí)施例中，也可以不包括步驟303中驗(yàn)證IMSI和M-IMEI的對(duì)應(yīng)關(guān)系是否合法的步驟，而直接由M2ME、MME和HSS根據(jù)IMSI進(jìn)行AKA互鑒權(quán)。步驟309、移動(dòng)管理實(shí)體將接收到的終端設(shè)備發(fā)送的設(shè)備標(biāo)識(shí)發(fā)送到用于驗(yàn)證設(shè)備標(biāo)識(shí)的驗(yàn)證設(shè)備中進(jìn)行驗(yàn)證。在AKA鑒權(quán)成功后，MME把M-IMEI發(fā)送給驗(yàn)證設(shè)備進(jìn)行驗(yàn)證，其中，該驗(yàn)證設(shè)備例如可以為設(shè)備識(shí)別寄存器(Equipment Identity Register，以下簡(jiǎn)稱(chēng)為EIR)。步驟310、EIR驗(yàn)證該M-IMEI是否為合法標(biāo)識(shí)，當(dāng)該M-IMEI為合法標(biāo)識(shí)時(shí)，E^根據(jù)該M-IMEI獲取與該M-IMEI對(duì)應(yīng)的第一密鑰K’。E^根據(jù)預(yù)置的規(guī)則對(duì)M-IMEI進(jìn)行驗(yàn)證。第一密鑰K，可以是與M-IMEI唯一對(duì)應(yīng)的密鑰，也可以是隨機(jī)數(shù)，第一密鑰K’可以提前生成，也可以在接收到MME請(qǐng)求時(shí)再生成； 每個(gè)M-IMEI對(duì)應(yīng)不同的第一密鑰K，。其中，第一密鑰K’可以在EIR中生成，也可以在MME中生成。步驟311、MME接收EIR發(fā)送的第一密鑰K’，然后根據(jù)CK、IK和第一密鑰K’，獲取密鑰。其中，MME和E^之間為運(yùn)營(yíng)商網(wǎng)絡(luò)域安全，默認(rèn)為可以安全的發(fā)送第一密鑰K’。MME 根據(jù) K，計(jì)算 M-Kasme = KDF (CK, IK, K，，PLMN-ID)；其中 KDF 為密鑰生成函數(shù) (Key Derivation Function)。其中，本發(fā)明實(shí)施例并不限定M-Kasme在MME中計(jì)算，M-Kasme也可以由HSS計(jì)算后再發(fā)送給MME。
步驟312、MME根據(jù)CK和IK對(duì)第一密鑰K，進(jìn)行加密，并向M2ME發(fā)送加密后的第一密鑰K，。MME使用CK和加密算法對(duì)第一密鑰K’進(jìn)行加密保護(hù)，計(jì)算出FC(CK，K’)，然后利用IK和完整性保護(hù)算法FI計(jì)算出MAC，將含有FC (CK，K，)、MAC的消息發(fā)送給M2ME ；其中加密算法FC和完整性算法FI預(yù)先配置在MME和M2ME上。其中，對(duì)K’進(jìn)行加密和完整性保護(hù)的算法可以預(yù)先配置在MME和M2ME上，也可以通過(guò)密鑰協(xié)商的方式實(shí)現(xiàn)。步驟313、M2ME接收MME發(fā)送的、根據(jù)CK和IK進(jìn)行加密后的第一密鑰K，，然后根據(jù)第一密鑰K’獲取到密鑰M-Kasme。M2ME將收到的含有FC(CK，K，)、MAC的消息進(jìn)行完整性校驗(yàn)，然后根據(jù)預(yù)先配置在M2ME上的加密算法FC和完整性算法FI解密得到第一密鑰K，，再根據(jù)第一密鑰K，、CK和 IK,計(jì)算得到M-Kasme ；其中， M-Kasme = KDF(CK, IK, K', PLMN—ID)。步驟314、M2ME和MME按照演進(jìn)的分組系統(tǒng)(Evolved packet system,以下簡(jiǎn)稱(chēng)為EPS)機(jī)制進(jìn)行非接入層(Non Access Stratum，簡(jiǎn)稱(chēng)為NAS)安全模式命令Security Mode Command，簡(jiǎn)稱(chēng)為SMC)過(guò)程，M2ME和網(wǎng)絡(luò)側(cè)就可以利用M-Kasme和協(xié)商的算法安全地進(jìn)行通信。在步驟314之后，還可以包括步驟315。步驟315、M2ME在根據(jù)密鑰與MME進(jìn)行安全通信后，根據(jù)從MME接收到的指示標(biāo)識(shí)或預(yù)置在M2ME上的指示標(biāo)識(shí)判斷是否刪除該密鑰。按照現(xiàn)有的LTE機(jī)制，在以下三種情況下，終端會(huì)刪除自身保存的EPS安全上下文(I)ME通電狀態(tài)下取走UICC ； (2)ME開(kāi)機(jī)時(shí)發(fā)現(xiàn)UICC改變了 ；(3)ME開(kāi)機(jī)時(shí)發(fā)現(xiàn)沒(méi)有 UICC0在M2ME進(jìn)行通信的場(chǎng)景中，若按照以上現(xiàn)有的LTE機(jī)制，當(dāng)在一個(gè)M2ME進(jìn)行通信后，將位于該M2ME上的SIM卡取走后，M2ME就刪除本次計(jì)算的M-Kasme，造成終端側(cè)和網(wǎng)絡(luò)側(cè)通信中斷?；诖?，本發(fā)明實(shí)施例還可以包括步驟315所述的內(nèi)容，具體可以為MME可以用 2bit的類(lèi)型(Type)數(shù)據(jù)來(lái)標(biāo)識(shí)本次認(rèn)證的類(lèi)型，并將該Type發(fā)送給M2ME，M2ME根據(jù)Type 來(lái)判斷是否刪除M-Kasme，例如，當(dāng)Type = 00時(shí)，在拔卡后刪除M-Kasme，當(dāng)Type = 01時(shí)， 在拔卡后不刪除M-Kasme ；或者，M2ME根據(jù)作為指示標(biāo)識(shí)的標(biāo)識(shí)M判斷是否刪除M-Kasme， 當(dāng)M2ME識(shí)別到標(biāo)識(shí)M時(shí)，則在拔卡后不刪除M-Kasme ；或者，也可以在M2ME中預(yù)配置不刪除M-Kasme的策略。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證設(shè)備標(biāo)識(shí)是否合法，當(dāng)設(shè)備標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該設(shè)備標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信；并且本實(shí)施例中，對(duì)用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系進(jìn)行了驗(yàn)證，可以防止攻擊者的非法接入，進(jìn)一步提高了認(rèn)證的安全性。圖4為本發(fā)明實(shí)施例提供的又一種安全認(rèn)證方法的信令圖，如圖4所述，該方法包括步驟401、M2ME向MME發(fā)送認(rèn)證請(qǐng)求消息，在該認(rèn)證請(qǐng)求消息中可以包括IMSI和 M，其中M用于標(biāo)識(shí)該終端設(shè)備。步驟402、M2ME, MME, HSS基于IMSI進(jìn)行AKA，實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)的互鑒權(quán)，并生成CK禾口 IK。步驟403、在AKA鑒權(quán)成功后，MME向M2ME發(fā)送請(qǐng)求M-IMEI的請(qǐng)求消息。在基于IMSI的AKA鑒權(quán)成功后，M2ME接收MME發(fā)送的請(qǐng)求消息。步驟404、M2ME接收到MME的請(qǐng)求后，根據(jù)CK和/或IK對(duì)M-IMEI進(jìn)行加密，然后根據(jù)MME的請(qǐng)求消息向MME發(fā)送加密后的M-IMEI。在M2ME接收到MME的請(qǐng)求后，根據(jù)預(yù)配置的加密算法fc對(duì)M-IMEI進(jìn)行加密保護(hù)， 保護(hù)密鑰為CK，然后將fc(CK，M-IMEI)發(fā)送給MME其中，保護(hù)密鑰可以是CK和/或IK。其中，該加密算法可以預(yù)配置在MME和M2ME上，也可以通過(guò)密鑰協(xié)商的方式實(shí)現(xiàn)。本實(shí)施例中，在AKA互鑒權(quán)后，MME才向M2ME請(qǐng)求M-IMEI，M2ME利用CK對(duì)M-IMEI 加密后發(fā)送給MME，由此避免了使用明文發(fā)送M-IMEI，可以有效的防止攻擊者竊取到 M-IMEI，提高了認(rèn)證的安全性。步驟405、MME接收M2ME根據(jù)請(qǐng)求消息發(fā)送的、根據(jù)CK和/或IK加密后的M-IMEI ； 然后對(duì)加密后的M-IMEI進(jìn)行解密，并將解密后的M-IMEI發(fā)送到E^進(jìn)行驗(yàn)證。接著，本實(shí)施例還包括步驟406-步驟411，其中步驟406-步驟411與圖3所示實(shí)施例中的步驟310-步驟315相同，在此不再贅述。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證設(shè)備標(biāo)識(shí)是否合法，當(dāng)設(shè)備標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該設(shè)備標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信；并且本實(shí)施例中，在認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，移動(dòng)管理實(shí)體才向終端設(shè)備請(qǐng)求終端設(shè)備的設(shè)備標(biāo)識(shí)，使得終端設(shè)備根據(jù)鑒權(quán)成功后生成的加密密鑰和/或完整性保護(hù)密鑰對(duì)設(shè)備標(biāo)識(shí)進(jìn)行加密后，再發(fā)送給移動(dòng)管理實(shí)體，由此避免了使用明文發(fā)送設(shè)備標(biāo)識(shí)，進(jìn)一步提高了認(rèn)證的安全性。圖5為本發(fā)明實(shí)施例提供的又一種安全認(rèn)證方法的信令圖，如圖5所述，該方法包括步驟501、M2ME向MME發(fā)送認(rèn)證請(qǐng)求消息，在該認(rèn)證請(qǐng)求消息中可以包括IMSI和 M，其中M用于標(biāo)識(shí)該終端設(shè)備。本實(shí)施例根據(jù)基于M2ME的證書(shū)對(duì)M2M設(shè)備進(jìn)行認(rèn)證，通過(guò)這種方式可以驗(yàn)證M2ME 的合法性，避免假冒的M2ME接入網(wǎng)絡(luò)，提高安全性。本實(shí)施例中，特征標(biāo)識(shí)可以為M2ME的證書(shū)。步驟502、M2ME、MME, HSS基于IMSI進(jìn)行AKA，實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)的互鑒權(quán)，并生成CK禾口 IK。步驟503、在AKA鑒權(quán)成功后，M2ME把利用私鑰簽名后的M2ME的證書(shū)發(fā)送給MME。步驟504、MME驗(yàn)證接收到的M2ME的證書(shū)是否合法，具體可以為MME利用CA公鑰來(lái)驗(yàn)證M2ME證書(shū)的簽名是否正確，若MME驗(yàn)證證書(shū)的簽名正確，則根據(jù)證書(shū)的公鑰M計(jì)算認(rèn)證標(biāo)記(AUTH)以驗(yàn)證該證書(shū)的合法性；當(dāng)該證書(shū)為合法時(shí)，MME根據(jù)該證書(shū)生成與該證書(shū)對(duì)應(yīng)的第一密鑰K’。步驟505、MME根據(jù)CK、IK和第一密鑰K’，獲取密鑰。MME 根據(jù) K，計(jì)算 M-Kasme = KDF (CK, IK, K，，PLMN-ID)。接著，本實(shí)施例還包括步驟506-步驟509，其中步驟506-步驟509與圖3所示實(shí)施例中的步驟312-步驟315相同，在此不再贅述。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證終端的特征標(biāo)識(shí)是否合法，當(dāng)特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該特征標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)之間的安全通信；并且本實(shí)施例中，以M2ME 的證書(shū)作為特征標(biāo)識(shí)，通過(guò)驗(yàn)證M2ME的證書(shū)的合法性，避免了假冒的M2ME接入網(wǎng)絡(luò)，進(jìn)一步提高了認(rèn)證的安全性。圖6為本發(fā)明實(shí)施例提供的又一種安全認(rèn)證方法的信令圖，如圖6所述，該方法包括步驟601、M2ME向MME發(fā)送認(rèn)證請(qǐng)求消息，在該認(rèn)證請(qǐng)求消息中可以包括IMSI、 IMEI和M，其中M用于標(biāo)識(shí)該終端設(shè)備為M2ME。步驟602、M2ME, MME, HSS基于IMSI進(jìn)行AKA，實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)的互鑒權(quán)，并生成CK禾口 IK。步驟603、在AKA鑒權(quán)成功后，MME把M-IMEI發(fā)送給E^進(jìn)行驗(yàn)證。步驟604、EIR驗(yàn)證該M-IMEI是否為合法標(biāo)識(shí)。步驟605、EIR向MME指示步驟604中的驗(yàn)證結(jié)果。步驟606、當(dāng)MME接收到EIR發(fā)送的M-IMEI為合法標(biāo)識(shí)的驗(yàn)證結(jié)果時(shí)，MME根據(jù) CK、IK以及M-IMEI，生成第二加密密鑰CK，和第二完整性保護(hù)密鑰IK，，并根據(jù)CK，和IK， 獲取密鑰M-Kasme。若驗(yàn)證成功，則MME 基于 M-IME、CK 禾口 IK 計(jì)算出 CK，，IK，;CK，，IK，= KDF (CK, IK, M-IMEI, PLMN-ID)，然后利用 CK，，IK，計(jì)算出 M-Kasme。其中，CK’，IK’可以在MME中計(jì)算，也可以由HSS計(jì)算后發(fā)送給MME。步驟607、MME向M2ME發(fā)送第一指示消息。MME向M2ME發(fā)送驗(yàn)證成功指示消息。步驟608、M2ME在接收第一指示消息后，根據(jù)CK、IK以及M-IMEI生成0(，，11(，，然后利用CK’，IK’計(jì)算出M-Kasme。步驟609、M2ME和MME按照EPS機(jī)制進(jìn)行NAS SMC過(guò)程，M2ME和網(wǎng)絡(luò)側(cè)就可以利用M-Kasme和協(xié)商的算法安全地進(jìn)行通信。步驟610、M2ME在根據(jù)密鑰與MME進(jìn)行安全通信后，根據(jù)從MME接收到的指示標(biāo)識(shí)或預(yù)置在M2ME上的指示標(biāo)識(shí)判斷是否刪除該密鑰。步驟610與圖3所示實(shí)施例中的步驟315相同，在此不再贅述。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證設(shè)備標(biāo)識(shí)是否合法，當(dāng)設(shè)備標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該設(shè)備標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信；并且本實(shí)施例中無(wú)需生成K’，而是進(jìn)行認(rèn)證向量(Authentication vector，簡(jiǎn)稱(chēng)為AV)綁定，根據(jù)M-IMEI計(jì)算出CK，， IK’，然后計(jì)算出Kasme，提供另一種生成密鑰的方式。本發(fā)明實(shí)施例還可以應(yīng)用在UMTS網(wǎng)絡(luò)中，下面結(jié)合圖7和圖8描述本發(fā)明實(shí)施例在UMTS網(wǎng)絡(luò)中的應(yīng)用。圖7為本發(fā)明實(shí)施例提供的又一種安全認(rèn)證方法的信令圖，本實(shí)施例是圖2到圖 5所示實(shí)施例的方案在UMTS網(wǎng)絡(luò)中的應(yīng)用，如圖7所述，該方法包括步驟701、M2ME向VLR發(fā)送認(rèn)證請(qǐng)求消息，在該認(rèn)證請(qǐng)求消息中可以包括IMSI、 IMEI和M，其中M用于標(biāo)識(shí)該終端設(shè)備為M2ME。本實(shí)施例中VLR相當(dāng)于上述各實(shí)施例中的MME，HLR相當(dāng)于上述各實(shí)施例中的HSS。步驟702、M2ME，VLR, HLR基于IMSI進(jìn)行AKA，實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)的互鑒權(quán)，并生成加密密鑰CK和完整性保護(hù)密鑰IK。步驟703、在AKA鑒權(quán)成功后，VLR把M-IMEI發(fā)送給E^進(jìn)行驗(yàn)證。步驟704、EIR驗(yàn)證該M-IMEI是否為合法標(biāo)識(shí)，當(dāng)該M-IMEI為合法標(biāo)識(shí)時(shí)，E^根據(jù)該M-IMEI獲取與該M-IMEI對(duì)應(yīng)的第一密鑰K’。步驟705、VLR接收EIR發(fā)送的K’，然后使用預(yù)先配置在VLR上的加密算法，根據(jù) CK和K’計(jì)算得到第三加密密鑰CK’，根據(jù)IK和K’計(jì)算得到第三完整性保護(hù)密鑰IK’ ；其中，CK，= F(CK, K，)，IK，= F(IK, K，)。其中，VLR和MR之間為運(yùn)營(yíng)商網(wǎng)絡(luò)域安全，默認(rèn)為可以安全的發(fā)送第一密鑰K’。 CKMK'可以在VLR中計(jì)算，也可以由HLR計(jì)算后發(fā)送給VLR。步驟706、VLR根據(jù)CK和IK對(duì)第一密鑰K，進(jìn)行加密，并向M2ME發(fā)送加密后的第一密鑰K，。步驟707、M2ME接收到加密后的第一密鑰K，后，先解密獲得第一密鑰K，，然后使用預(yù)先配置在M2ME上的加密算法，根據(jù)CK和K’計(jì)算得到第三加密密鑰CK’，根據(jù)IK和K’ 計(jì)算得到第三完整性保護(hù)密鑰IK，；其中，CK，= F(CK，K，)，IK，= F(IK，K，)。步驟708、M2ME和網(wǎng)絡(luò)側(cè)基于CK，，IK，進(jìn)行安全通信。本實(shí)施例中，M2ME和網(wǎng)絡(luò)側(cè)以第三加密密鑰CK’和第三完整性保護(hù)密鑰IK’作為密鑰進(jìn)行安裝通信。步驟709、M2ME在根據(jù)密鑰與VLR進(jìn)行安全通信后，根據(jù)從VLR接收到的指示標(biāo)識(shí)或預(yù)置在M2ME上的指示標(biāo)識(shí)判斷是否刪除該密鑰。步驟709與圖3所示實(shí)施例中的步驟315相同，在此不再贅述。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、VLR和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證設(shè)備標(biāo)識(shí)是否合法，當(dāng)設(shè)備標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，VLR根據(jù)該設(shè)備標(biāo)識(shí)獲取密鑰，以使VLR和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。圖8為本發(fā)明實(shí)施例提供的又一種安全認(rèn)證方法的信令圖，本實(shí)施例是圖6所示實(shí)施例的方案在UMTS網(wǎng)絡(luò)中的應(yīng)用，如圖8所述，該方法包括步驟801、M2ME向VLR發(fā)送認(rèn)證請(qǐng)求消息，在該認(rèn)證請(qǐng)求消息中可以包括IMSI、 IMEI和M，其中M用于標(biāo)識(shí)該終端設(shè)備為M2ME。本實(shí)施例中VLR相當(dāng)于上述各實(shí)施例中的MME，HLR相當(dāng)于上述各實(shí)施例中的HSS。
步驟802、M2ME，VLR, HLR基于IMSI進(jìn)行AKA，實(shí)現(xiàn)M2ME和網(wǎng)絡(luò)側(cè)的互鑒權(quán)，并生成加密密鑰CK和完整性保護(hù)密鑰IK。步驟803、在AKA鑒權(quán)成功后，VLR把M-IMEI發(fā)送給E^進(jìn)行驗(yàn)證。步驟804、EIR驗(yàn)證該M-IMEI是否為合法標(biāo)識(shí)，步驟805、EIR向VLR指示步驟804中的驗(yàn)證結(jié)果。步驟806、當(dāng)VLR接收到E^發(fā)送的M-IMEI為合法標(biāo)識(shí)的驗(yàn)證結(jié)果時(shí)，VLR根據(jù) CK、IK以及M-IMEI，生成第四加密密鑰CK’和第四完整性保護(hù)密鑰IK’。若驗(yàn)證成功，則VLR基于M-IME、CK和IK計(jì)算出第四加密密鑰CK，，第四完整性保護(hù)密鑰 IK，；CK，，IK，= KDF (CK, IK, M-IMEI, PLMN-ID)。其中，CK’，IK’可以在VLR中計(jì)算，也可以由MR計(jì)算后發(fā)送給VLR。步驟807、VLR向M2ME發(fā)送第二指示消息。VLR向M2ME發(fā)送驗(yàn)證成功指示消息。步驟808、M2ME在接收第二指示消息后，根據(jù)CK、IK以及M-IMEI生成第四加密密鑰CK’，第四完整性保護(hù)密鑰IK’。步驟809、M2ME和網(wǎng)絡(luò)側(cè)基于第四加密密鑰CK，，第四完整性保護(hù)密鑰IK，進(jìn)行安
全通^[曰ο本實(shí)施例中，M2ME和網(wǎng)絡(luò)側(cè)以第四加密密鑰CK’和第四完整性保護(hù)密鑰IK’作為密鑰進(jìn)行安裝通信。步驟810、M2ME在根據(jù)密鑰與VLR進(jìn)行安全通信后，根據(jù)從VLR接收到的指示標(biāo)識(shí)或預(yù)置在M2ME上的指示標(biāo)識(shí)判斷是否刪除該密鑰。步驟810與圖3所示實(shí)施例中的步驟315相同，在此不再贅述。本發(fā)明實(shí)施例的安全認(rèn)證方法，在終端設(shè)備、VLR和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證設(shè)備標(biāo)識(shí)是否合法，當(dāng)設(shè)備標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，VLR根據(jù)該設(shè)備標(biāo)識(shí)獲取密鑰，以使VLR和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信；并且本實(shí)施例中無(wú)需生成K’，而是進(jìn)行AV綁定，根據(jù)M-IMEI計(jì)算出CK’，IK’，提供另一種生成密鑰的方式。上述本發(fā)明各實(shí)施例提供的方法，也可以應(yīng)用于中繼(Relay)設(shè)備采用可插拔的卡入網(wǎng)的場(chǎng)景中，為了防止攻擊者將合法的卡應(yīng)用在非法的Relay設(shè)備上，或者為了防止攻擊者將非法復(fù)制的卡應(yīng)用在合法的Relay設(shè)備上，需要對(duì)Relay設(shè)備進(jìn)行安全認(rèn)證。在這種場(chǎng)景下，可將上述各實(shí)施例中的M2ME替換為Relay設(shè)備，將標(biāo)識(shí)M2ME的特征標(biāo)識(shí)替換為能夠唯一標(biāo)識(shí)Relay設(shè)備的標(biāo)識(shí)IMEI，；通過(guò)網(wǎng)絡(luò)側(cè)驗(yàn)證IMEI，的合法性，并通過(guò)IMEI， 對(duì)應(yīng)的密鑰或者直接通過(guò)IMEI ’來(lái)計(jì)算最后在Relay設(shè)備與網(wǎng)絡(luò)側(cè)進(jìn)行通信時(shí)使用的根密鑰(密鑰)，進(jìn)而完成網(wǎng)絡(luò)對(duì)Relay的卡與設(shè)備的認(rèn)證；具體的流程參見(jiàn)上述各實(shí)施例中的描述，在此不再贅述。本領(lǐng)域普通技術(shù)人員可以理解實(shí)現(xiàn)上述方法實(shí)施例的全部或部分步驟可以通過(guò)程序指令相關(guān)的硬件來(lái)完成，前述的程序可以存儲(chǔ)于一計(jì)算機(jī)可讀取存儲(chǔ)介質(zhì)中，該程序在執(zhí)行時(shí)，執(zhí)行包括上述方法實(shí)施例的步驟；前述的存儲(chǔ)介質(zhì)包括R0M、RAM、磁碟或者光盤(pán)等各種可以存儲(chǔ)程序代碼的介質(zhì)。圖9為本發(fā)明實(shí)施例提供的一種移動(dòng)管理實(shí)體的示意圖，如圖9所示，該移動(dòng)管理實(shí)體包括驗(yàn)證模塊91和獲取模塊93。驗(yàn)證模塊91用于驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)，其中，終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備。獲取模塊93用于獲取與驗(yàn)證模塊91驗(yàn)證的特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)密鑰與終端設(shè)備進(jìn)行安全通信。本實(shí)施例中各模塊的工作原理和工作流程參見(jiàn)上述各實(shí)施例提供的安全認(rèn)證方法中的描述，在此不再贅述。本發(fā)明實(shí)施例的移動(dòng)管理實(shí)體，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，移動(dòng)管理實(shí)體驗(yàn)證特征標(biāo)識(shí)是否合法，當(dāng)特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該特征標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。圖10為本發(fā)明實(shí)施例提供的另一種移動(dòng)管理實(shí)體的示意圖，在圖9所示的移動(dòng)管理實(shí)體實(shí)施例的基礎(chǔ)上，如圖10所示，該移動(dòng)管理實(shí)體還可以包括合法驗(yàn)證模塊95，以及第一加密發(fā)送模塊97、第二發(fā)送模塊99、第二加密發(fā)送模塊90或第三發(fā)送模塊92。進(jìn)一步的，驗(yàn)證模塊91具體可以包括發(fā)送單元911、接收單元913和解密發(fā)送單元915 ；獲取模塊93具體可以包括第一獲取單元931、第二獲取單元933、第三獲取單元 935或第四獲取單元937。當(dāng)特征標(biāo)識(shí)為終端設(shè)備的設(shè)備標(biāo)識(shí)時(shí)，驗(yàn)證模塊91具體用于將接收到的終端設(shè)備發(fā)送的設(shè)備標(biāo)識(shí)發(fā)送到用于驗(yàn)證設(shè)備標(biāo)識(shí)的驗(yàn)證設(shè)備中進(jìn)行驗(yàn)證。當(dāng)特征標(biāo)識(shí)為終端設(shè)備的證書(shū)時(shí)，驗(yàn)證模塊91具體用于若驗(yàn)證證書(shū)的簽名正確， 則根據(jù)證書(shū)的公鑰計(jì)算認(rèn)證標(biāo)記以驗(yàn)證證書(shū)的合法性。發(fā)送單元911用于向終端設(shè)備發(fā)送請(qǐng)求消息。接收單元913用于接收終端設(shè)備根據(jù)發(fā)送單元911發(fā)送的請(qǐng)求消息發(fā)送的、根據(jù)加密密鑰和/或完整性保護(hù)密鑰加密后的設(shè)備標(biāo)識(shí)；加密密鑰和完整性保護(hù)密鑰為根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的。解密發(fā)送單元915用于對(duì)接收單元913接收的加密后的設(shè)備標(biāo)識(shí)進(jìn)行解密，并將解密后的設(shè)備標(biāo)識(shí)發(fā)送到驗(yàn)證設(shè)備進(jìn)行驗(yàn)證。第一獲取單元931用于獲取與驗(yàn)證模塊91驗(yàn)證的特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰；根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及第一密鑰，獲取密鑰。 第二獲取單元933用于根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及驗(yàn)證模塊91驗(yàn)證的特征標(biāo)識(shí)，生成第二加密密鑰和第二完整性保護(hù)密鑰；根據(jù)第二加密密鑰和第二完整性保護(hù)密鑰獲取密鑰。第三獲取單元935用于獲取與驗(yàn)證模塊91 驗(yàn)證的特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰；根據(jù)第一密鑰與認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰，生成第三加密密鑰；根據(jù)第一密鑰和認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的完整性保護(hù)密鑰，生成第三完整性保護(hù)密鑰；密鑰包括第三加密密鑰和第三完整性保護(hù)密鑰。第四獲取單元937用于根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及驗(yàn)證模塊91驗(yàn)證的特征標(biāo)識(shí)，生成第四加密密鑰和第四完整性保護(hù)密鑰；密鑰包括第四加密密鑰和第四完整性保護(hù)密鑰。合法驗(yàn)證模塊95用于在驗(yàn)證模塊91驗(yàn)證特征標(biāo)識(shí)之前，將接收到的終端設(shè)備的用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)發(fā)送到歸屬用戶系統(tǒng)進(jìn)行驗(yàn)證，以驗(yàn)證用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系的合法性。
第一加密發(fā)送模塊97用于在第一獲取單元931獲取與特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰之后，根據(jù)加密密鑰和完整性保護(hù)密鑰對(duì)第一密鑰進(jìn)行加密；將加密后的第一密鑰發(fā)送給終端設(shè)備，以使終端設(shè)備根據(jù)第一密鑰、加密密鑰和完整性保護(hù)密鑰，獲取密鑰。第二發(fā)送模塊99用于在第二獲取單元933獲取密鑰時(shí)或在第二獲取單元933獲取密鑰之后，向終端設(shè)備發(fā)送第一指示消息，以使終端設(shè)備根據(jù)加密密鑰、完整性保護(hù)密鑰和特征標(biāo)識(shí)生成第二加密密鑰和第二完整性保護(hù)密鑰，并根據(jù)第二加密密鑰和第二完整性保護(hù)密鑰獲取密鑰。第二加密發(fā)送模塊90用于在第三獲取單元935獲取與設(shè)備標(biāo)識(shí)對(duì)應(yīng)的第一密鑰之后，根據(jù)加密密鑰和完整性保護(hù)密鑰對(duì)第一密鑰進(jìn)行加密；將加密后的第一密鑰發(fā)送給終端設(shè)備，以使終端設(shè)備根據(jù)第一密鑰和加密密鑰生成第三加密密鑰，并根據(jù)第一密鑰和完整性保護(hù)密鑰生成第三完整性保護(hù)密鑰。第三發(fā)送模塊92用于在第四獲取單元937獲取密鑰時(shí)或在第四獲取單元937獲取密鑰之后，向終端設(shè)備發(fā)送第二指示消息，以使終端設(shè)備根據(jù)加密密鑰、完整性保護(hù)密鑰和特征標(biāo)識(shí)生成第四加密密鑰和第四完整性保護(hù)密鑰。本實(shí)施例中各模塊和單元的工作原理和工作流程參見(jiàn)上述各實(shí)施例提供的安全認(rèn)證方法中的描述，在此不再贅述。本發(fā)明實(shí)施例的移動(dòng)管理實(shí)體，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，歸屬用戶系統(tǒng)驗(yàn)證設(shè)備標(biāo)識(shí)是否合法，當(dāng)設(shè)備標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該設(shè)備標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信；并且本實(shí)施例中，對(duì)用戶標(biāo)識(shí)和設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系進(jìn)行了驗(yàn)證，可以防止攻擊者的非法接入，進(jìn)一步提高了認(rèn)證的安全性；并且可以在認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，移動(dòng)管理實(shí)體才向終端設(shè)備請(qǐng)求終端設(shè)備的設(shè)備標(biāo)識(shí)，使得終端設(shè)備根據(jù)鑒權(quán)成功后生成的加密密鑰和/或完整性保護(hù)密鑰對(duì)設(shè)備標(biāo)識(shí)進(jìn)行加密后，再發(fā)送給移動(dòng)管理實(shí)體，由此避免了使用明文發(fā)送設(shè)備標(biāo)識(shí)，進(jìn)一步提高了認(rèn)證的安全性；還可以以M2ME的證書(shū)作為特征標(biāo)識(shí)，通過(guò)驗(yàn)證M2ME的證書(shū)的合法性，避免了假冒的M2ME接入網(wǎng)絡(luò)，進(jìn)一步提高了認(rèn)證的安全性；而且也可以不生成K’，而是進(jìn)行 AV綁定，根據(jù)M-IMEI計(jì)算出CK’，IK’，然后計(jì)算出Kasme，提供另一種生成密鑰的方式。圖11為本發(fā)明實(shí)施例提供的一種終端設(shè)備的示意圖，如圖11所示，該終端設(shè)備包括第一接收模塊1101和獲取模塊1103。第一接收模塊1101用于接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息。獲取模塊1103用于根據(jù)第一接收模塊1101接收的業(yè)務(wù)消息獲取密鑰，以根據(jù)密鑰與移動(dòng)管理實(shí)體進(jìn)行安全通信，其中，終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備。本實(shí)施例中各模塊的工作原理和工作流程參見(jiàn)上述各實(shí)施例提供的安全認(rèn)證方法中的描述，在此不再贅述。本發(fā)明實(shí)施例的終端設(shè)備，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功，并且驗(yàn)證特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，終端設(shè)備根據(jù)與該特征標(biāo)識(shí)對(duì)應(yīng)的業(yè)務(wù)消息獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn) M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。圖12為本發(fā)明實(shí)施例提供的另一種終端設(shè)備的示意圖，在圖11所示的終端設(shè)備實(shí)施例的基礎(chǔ)上，如圖12所示，該終端設(shè)備還可以包括第一發(fā)送模塊1105或第二發(fā)送模塊1107，以及第二接收模塊1109、加密模塊1102、第三發(fā)送模塊1104和判斷模塊1106。進(jìn)一步的，第一接收模塊1101具體可以包括第一接收單元1111或第二接收單元 1113 ；獲取模塊1103具體可以包括第一獲取單元1131、第二獲取單元1133、第三獲取單元1135或第四獲取單元1137。第一接收單元1111用于接收接收移動(dòng)管理實(shí)體發(fā)送的、根據(jù)加密密鑰和完整性保護(hù)密鑰進(jìn)行加密后的第一密鑰；第一密鑰與特征標(biāo)識(shí)相對(duì)應(yīng)；加密密鑰和所述完整性保護(hù)密鑰為認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的。第二接收單元1113用于接收移動(dòng)管理實(shí)體發(fā)送的第一指示消息。第一獲取單元1131用于在第一接收單元1111接收第一密鑰后，根據(jù)第一密鑰、加密密鑰和完整性保護(hù)密鑰，獲取密鑰。第二獲取單元1133用于在第一接收單元1111接收第一密鑰后，根據(jù)第一密鑰和加密密鑰生成第三加密密鑰，并根據(jù)第一密鑰和完整性保護(hù)密鑰生成第三完整性保護(hù)密鑰；密鑰包括第三加密密鑰和第三完整性保護(hù)密鑰。第三獲取單元1135用于在第二接收單元1113接收第一指示消息后，根據(jù)加密密鑰、完整性保護(hù)密鑰和特征標(biāo)識(shí)生成第二加密密鑰和第二完整性保護(hù)密鑰，并根據(jù)第二加密密鑰和第二完整性保護(hù)密鑰獲取密鑰。第四獲取單元1137用于在第二接收單元1113接收第一指示消息后， 根據(jù)加密密鑰、完整性保護(hù)密鑰和特征標(biāo)識(shí)生成第四加密密鑰和第四完整性保護(hù)密鑰；密鑰包括第四加密密鑰和第四完整性保護(hù)密鑰。第一發(fā)送模塊1105用于在第一接收模塊1101接收業(yè)務(wù)消息之前，向移動(dòng)管理實(shí)體發(fā)送包含用戶標(biāo)識(shí)和特征標(biāo)識(shí)的認(rèn)證請(qǐng)求消息。第二發(fā)送模塊1107用于在根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，在第一接收模塊1101接收業(yè)務(wù)消息之前，向移動(dòng)管理實(shí)體發(fā)送特征標(biāo)識(shí)。第二接收模塊1109用于在根據(jù)所述終端設(shè)備的用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，在第一接收模塊1101接收業(yè)務(wù)消息之前，接收所述移動(dòng)管理實(shí)體發(fā)送的請(qǐng)求消肩、O加密模塊1102用于在第二接收模塊1109接收請(qǐng)求消息之后，根據(jù)加密密鑰和/ 或完整性保護(hù)密鑰對(duì)特征標(biāo)識(shí)進(jìn)行加密；加密密鑰和完整性保護(hù)密鑰為認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的。第三發(fā)送模塊1104用于根據(jù)第二接收模塊1109接收的請(qǐng)求消息向移動(dòng)管理實(shí)體發(fā)送加密模塊1102加密后的特征標(biāo)識(shí)。判斷模塊1106用于在根據(jù)獲取模塊1103獲取的密鑰與移動(dòng)管理實(shí)體進(jìn)行安全通信后，根據(jù)從移動(dòng)管理實(shí)體接收到的指示標(biāo)識(shí)或預(yù)置的指示標(biāo)識(shí)判斷是否刪除密鑰。本實(shí)施例中各模塊和單元的工作原理和工作流程參見(jiàn)上述各實(shí)施例提供的安全認(rèn)證方法中的描述，在此不再贅述。本發(fā)明實(shí)施例的終端設(shè)備，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功，并且驗(yàn)證特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，終端設(shè)備根據(jù)與該特征標(biāo)識(shí)對(duì)應(yīng)的業(yè)務(wù)消息獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn) M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。本發(fā)明實(shí)施例還提供一種安全認(rèn)證系統(tǒng)，包括本發(fā)明實(shí)施例提供的任一移動(dòng)管理實(shí)體和任一終端設(shè)備。本實(shí)施例中各模塊和單元的工作原理和工作流程參見(jiàn)上述各實(shí)施例提供的安全認(rèn)證方法中的描述，在此不再贅述。本發(fā)明實(shí)施例的安全認(rèn)證系統(tǒng)，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，移動(dòng)管理實(shí)體驗(yàn)證特征標(biāo)識(shí)是否合法，當(dāng)特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，移動(dòng)管理實(shí)體根據(jù)該特征標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。最后應(yīng)說(shuō)明的是以上實(shí)施例僅用以說(shuō)明本發(fā)明的技術(shù)方案，而非對(duì)其限制；盡管參照前述實(shí)施例對(duì)本發(fā)明進(jìn)行了詳細(xì)的說(shuō)明，本領(lǐng)域的普通技術(shù)人員應(yīng)當(dāng)理解其依然可以對(duì)前述各實(shí)施例所記載的技術(shù)方案進(jìn)行修改，或者對(duì)其中部分技術(shù)特征進(jìn)行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實(shí)施例技術(shù)方案的精神和范圍。
權(quán)利要求
1.一種安全認(rèn)證方法，其特征在于，包括驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)所述密鑰與所述終端設(shè)備進(jìn)行安全通信。
2.根據(jù)權(quán)利要求1所述的安全認(rèn)證方法，其特征在于，所述特征標(biāo)識(shí)為所述終端設(shè)備的設(shè)備標(biāo)識(shí)，所述驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)包括將接收到的所述終端設(shè)備發(fā)送的所述設(shè)備標(biāo)識(shí)發(fā)送到用于驗(yàn)證所述設(shè)備標(biāo)識(shí)的驗(yàn)證設(shè)備中進(jìn)行驗(yàn)證。
3.根據(jù)權(quán)利要求2所述的安全認(rèn)證方法，其特征在于，所述將接收到的所述終端設(shè)備發(fā)送的所述設(shè)備標(biāo)識(shí)發(fā)送到用于驗(yàn)證所述設(shè)備標(biāo)識(shí)的驗(yàn)證設(shè)備中進(jìn)行驗(yàn)證包括向所述終端設(shè)備發(fā)送請(qǐng)求消息；接收所述終端設(shè)備根據(jù)所述請(qǐng)求消息發(fā)送的、根據(jù)加密密鑰和/或完整性保護(hù)密鑰加密后的所述設(shè)備標(biāo)識(shí)；所述加密密鑰和所述完整性保護(hù)密鑰為根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的；對(duì)加密后的所述設(shè)備標(biāo)識(shí)進(jìn)行解密，并將解密后的所述設(shè)備標(biāo)識(shí)發(fā)送到所述驗(yàn)證設(shè)備進(jìn)行驗(yàn)證。
4.根據(jù)權(quán)利要求2所述的安全認(rèn)證方法，其特征在于，所述驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)之前還包括將接收到的所述終端設(shè)備的用戶標(biāo)識(shí)和所述設(shè)備標(biāo)識(shí)發(fā)送到歸屬用戶系統(tǒng)進(jìn)行驗(yàn)證， 以驗(yàn)證所述用戶標(biāo)識(shí)和所述設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系的合法性。
5.根據(jù)權(quán)利要求1所述的安全認(rèn)證方法，其特征在于，所述特征標(biāo)識(shí)為所述終端設(shè)備的證書(shū)，所述驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)包括若驗(yàn)證所述證書(shū)的簽名正確，則根據(jù)所述證書(shū)的公鑰計(jì)算認(rèn)證標(biāo)記以驗(yàn)證所述證書(shū)的合法性。
6.根據(jù)權(quán)利要求2-5任一所述的安全認(rèn)證方法，其特征在于，所述獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰包括獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰；根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及所述第一密鑰，獲取所述密鑰；或者根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及所述特征標(biāo)識(shí)，生成第二加密密鑰和第二完整性保護(hù)密鑰；根據(jù)所述第二加密密鑰和所述第二完整性保護(hù)密鑰獲取所述密鑰。
7.根據(jù)權(quán)利要求2-5任一所述的安全認(rèn)證方法，其特征在于，所述獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰包括獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰；根據(jù)所述第一密鑰與認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰，生成第三加密密鑰；根據(jù)所述第一密鑰和所述認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的完整性保護(hù)密鑰，生成第三完整性保護(hù)密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護(hù)密鑰；或者根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及所述特征標(biāo)識(shí)，生成第四加密密鑰和第四完整性保護(hù)密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護(hù)密鑰。
8.根據(jù)權(quán)利要求6所述的安全認(rèn)證方法，其特征在于，還包括在所述獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的所述第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護(hù)密鑰對(duì)所述第一密鑰進(jìn)行加密；將加密后的所述第一密鑰發(fā)送給所述終端設(shè)備，以使所述終端設(shè)備根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護(hù)密鑰，獲取所述密鑰； 或者向所述終端設(shè)備發(fā)送第一指示消息，以使所述終端設(shè)備根據(jù)所述加密密鑰、所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第二加密密鑰和所述第二完整性保護(hù)密鑰，并根據(jù)所述第二加密密鑰和所述第二完整性保護(hù)密鑰獲取所述密鑰。
9.根據(jù)權(quán)利要求7所述的安全認(rèn)證方法，其特征在于，還包括在所述獲取與所述設(shè)備標(biāo)識(shí)對(duì)應(yīng)的所述第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護(hù)密鑰對(duì)所述第一密鑰進(jìn)行加密；將加密后的所述第一密鑰發(fā)送給所述終端設(shè)備，以使所述終端設(shè)備根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰，并根據(jù)所述第一密鑰和所述完整性保護(hù)密鑰生成所述第三完整性保護(hù)密鑰；或者向所述終端設(shè)備發(fā)送第二指示消息，以使所述終端設(shè)備根據(jù)所述加密密鑰、所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第四加密密鑰和所述第四完整性保護(hù)密鑰。
10.一種安全認(rèn)證方法，其特征在于，包括接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息，其中， 所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；根據(jù)所述業(yè)務(wù)消息獲取密鑰，以根據(jù)所述密鑰與所述移動(dòng)管理實(shí)體進(jìn)行安全通信。
11.根據(jù)權(quán)利要求10所述的安全認(rèn)證方法，其特征在于，所述接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息包括接收所述移動(dòng)管理實(shí)體發(fā)送的、根據(jù)加密密鑰和完整性保護(hù)密鑰進(jìn)行加密后的第一密鑰；所述第一密鑰與所述特征標(biāo)識(shí)相對(duì)應(yīng)；或者接收所述移動(dòng)管理實(shí)體發(fā)送的第一指示消息；所述加密密鑰和所述完整性保護(hù)密鑰為認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的。
12.根據(jù)權(quán)利要求11所述的安全認(rèn)證方法，其特征在于，所述根據(jù)所述業(yè)務(wù)消息獲取密鑰包括在接收所述第一密鑰后，根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護(hù)密鑰，獲取所述密鑰；或者在接收所述第一密鑰后，根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰， 并根據(jù)所述第一密鑰和所述完整性保護(hù)密鑰生成所述第三完整性保護(hù)密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護(hù)密鑰；或者在接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第二加密密鑰和所述第二完整性保護(hù)密鑰，并根據(jù)所述第二加密密鑰和所述第二完整性保護(hù)密鑰獲取所述密鑰；或者在接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第四加密密鑰和所述第四完整性保護(hù)密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護(hù)密鑰。
13.根據(jù)權(quán)利要求10-12任一所述的安全認(rèn)證方法，其特征在于，所述接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息之前還包括向所述移動(dòng)管理實(shí)體發(fā)送包含用戶標(biāo)識(shí)和所述特征標(biāo)識(shí)的認(rèn)證請(qǐng)求消息；或者在根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，向所述移動(dòng)管理實(shí)體發(fā)送所述特征標(biāo)識(shí)。
14.根據(jù)權(quán)利要求10-12任一所述的安全認(rèn)證方法，其特征在于，所述接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息之前還包括在根據(jù)所述終端設(shè)備的用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，接收所述移動(dòng)管理實(shí)體發(fā)送的請(qǐng)求消息；根據(jù)加密密鑰和/或完整性保護(hù)密鑰對(duì)所述特征標(biāo)識(shí)進(jìn)行加密；所述加密密鑰和所述完整性保護(hù)密鑰為認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的；根據(jù)所述請(qǐng)求消息向所述移動(dòng)管理實(shí)體發(fā)送加密后的所述特征標(biāo)識(shí)。
15.根據(jù)權(quán)利要求10-12任一所述的安全認(rèn)證方法，其特征在于，還包括在根據(jù)所述密鑰與所述移動(dòng)管理實(shí)體進(jìn)行安全通信后，根據(jù)從所述移動(dòng)管理實(shí)體接收到的指示標(biāo)識(shí)或預(yù)置的指示標(biāo)識(shí)判斷是否刪除所述密鑰。
16.一種移動(dòng)管理實(shí)體，其特征在于，包括驗(yàn)證模塊，用于驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；獲取模塊，用于獲取與所述驗(yàn)證模塊驗(yàn)證的所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)所述密鑰與所述終端設(shè)備進(jìn)行安全通信。
17.根據(jù)權(quán)利要求16所述的移動(dòng)管理實(shí)體，其特征在于，所述特征標(biāo)識(shí)為所述終端設(shè)備的設(shè)備標(biāo)識(shí)，所述驗(yàn)證模塊具體用于將接收到的所述終端設(shè)備發(fā)送的所述設(shè)備標(biāo)識(shí)發(fā)送到用于驗(yàn)證所述設(shè)備標(biāo)識(shí)的驗(yàn)證設(shè)備中進(jìn)行驗(yàn)證。
18.根據(jù)權(quán)利要求17所述的移動(dòng)管理實(shí)體，其特征在于，所述驗(yàn)證模塊包括 發(fā)送單元，用于向所述終端設(shè)備發(fā)送請(qǐng)求消息；接收單元，用于接收所述終端設(shè)備根據(jù)所述發(fā)送單元發(fā)送的所述請(qǐng)求消息發(fā)送的、根據(jù)加密密鑰和/或完整性保護(hù)密鑰加密后的所述設(shè)備標(biāo)識(shí)；所述加密密鑰和所述完整性保護(hù)密鑰為根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的；解密發(fā)送單元，用于對(duì)所述接收單元接收的加密后的所述設(shè)備標(biāo)識(shí)進(jìn)行解密，并將解密后的所述設(shè)備標(biāo)識(shí)發(fā)送到所述驗(yàn)證設(shè)備進(jìn)行驗(yàn)證。
19.根據(jù)權(quán)利要求17所述的移動(dòng)管理實(shí)體，其特征在于，還包括合法驗(yàn)證模塊，用于在所述驗(yàn)證模塊驗(yàn)證所述特征標(biāo)識(shí)之前，將接收到的所述終端設(shè)備的用戶標(biāo)識(shí)和所述設(shè)備標(biāo)識(shí)發(fā)送到歸屬用戶系統(tǒng)進(jìn)行驗(yàn)證，以驗(yàn)證所述用戶標(biāo)識(shí)和所述設(shè)備標(biāo)識(shí)的對(duì)應(yīng)關(guān)系的合法性。
20.根據(jù)權(quán)利要求16所述的移動(dòng)管理實(shí)體，其特征在于，所述特征標(biāo)識(shí)為所述終端設(shè)備的證書(shū)，所述驗(yàn)證模塊具體用于若驗(yàn)證所述證書(shū)的簽名正確，則根據(jù)所述證書(shū)的公鑰計(jì)算認(rèn)證標(biāo)記以驗(yàn)證所述證書(shū)的合法性。
21.根據(jù)權(quán)利要求16-20任一所述的移動(dòng)管理實(shí)體，其特征在于，所述獲取模塊包括 第一獲取單元，用于獲取與所述驗(yàn)證模塊驗(yàn)證的所述特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰；根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及所述第一密鑰，獲取所述密鑰；或者第二獲取單元，用于根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及所述驗(yàn)證模塊驗(yàn)證的所述特征標(biāo)識(shí)，生成第二加密密鑰和第二完整性保護(hù)密鑰；根據(jù)所述第二加密密鑰和所述第二完整性保護(hù)密鑰獲取所述密鑰；或者第三獲取單元，用于獲取與所述驗(yàn)證模塊驗(yàn)證的所述特征標(biāo)識(shí)對(duì)應(yīng)的第一密鑰；根據(jù)所述第一密鑰與認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰，生成第三加密密鑰；根據(jù)所述第一密鑰和所述認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的完整性保護(hù)密鑰，生成第三完整性保護(hù)密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護(hù)密鑰；或者第四獲取單元，用于根據(jù)認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的加密密鑰和完整性保護(hù)密鑰，以及所述驗(yàn)證模塊驗(yàn)證的所述特征標(biāo)識(shí)，生成第四加密密鑰和第四完整性保護(hù)密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護(hù)密鑰。
22.根據(jù)權(quán)利要求21所述的移動(dòng)管理實(shí)體，其特征在于，還包括第一加密發(fā)送模塊，用于在所述第一獲取單元獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的所述第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護(hù)密鑰對(duì)所述第一密鑰進(jìn)行加密；將加密后的所述第一密鑰發(fā)送給所述終端設(shè)備，以使所述終端設(shè)備根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護(hù)密鑰，獲取所述密鑰；或者第二發(fā)送模塊，用于在所述第二獲取單元獲取所述密鑰時(shí)或在所述第二獲取單元獲取所述密鑰之后，向所述終端設(shè)備發(fā)送第一指示消息，以使所述終端設(shè)備根據(jù)所述加密密鑰、 所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第二加密密鑰和所述第二完整性保護(hù)密鑰， 并根據(jù)所述第二加密密鑰和所述第二完整性保護(hù)密鑰獲取所述密鑰；或者第二加密發(fā)送模塊，用于在所述第三獲取單元獲取與所述設(shè)備標(biāo)識(shí)對(duì)應(yīng)的第一密鑰之后，根據(jù)所述加密密鑰和所述完整性保護(hù)密鑰對(duì)所述第一密鑰進(jìn)行加密；將加密后的所述第一密鑰發(fā)送給所述終端設(shè)備，以使所述終端設(shè)備根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰，并根據(jù)所述第一密鑰和所述完整性保護(hù)密鑰生成所述第三完整性保護(hù)密鑰；或者第三發(fā)送模塊，用于在所述第四獲取單元獲取所述密鑰時(shí)或在所述第四獲取單元獲取所述密鑰之后，向所述終端設(shè)備發(fā)送第二指示消息，以使所述終端設(shè)備根據(jù)所述加密密鑰、 所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第四加密密鑰和所述第四完整性保護(hù)密鑰。
23.—種終端設(shè)備，其特征在于，包括第一接收模塊，用于接收移動(dòng)管理實(shí)體發(fā)送的、與用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)相對(duì)應(yīng)的業(yè)務(wù)消息；獲取模塊，用于根據(jù)所述第一接收模塊接收的所述業(yè)務(wù)消息獲取密鑰，以根據(jù)所述密鑰與所述移動(dòng)管理實(shí)體進(jìn)行安全通信，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備。
24.根據(jù)權(quán)利要求23所述的終端設(shè)備，其特征在于，所述第一接收模塊包括第一接收單元，用于接收所述移動(dòng)管理實(shí)體發(fā)送的、根據(jù)加密密鑰和完整性保護(hù)密鑰進(jìn)行加密后的第一密鑰；所述第一密鑰與所述特征標(biāo)識(shí)相對(duì)應(yīng)；或者第二接收單元，用于接收所述移動(dòng)管理實(shí)體發(fā)送的第一指示消息；所述加密密鑰和所述完整性保護(hù)密鑰為認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的。
25.根據(jù)權(quán)利要求M所述的終端設(shè)備，其特征在于，所述獲取模塊包括第一獲取單元，用于在所述第一接收單元接收所述第一密鑰后，根據(jù)所述第一密鑰、所述加密密鑰和所述完整性保護(hù)密鑰，獲取所述密鑰；或者第二獲取單元，用于在所述第一接收單元接收所述第一密鑰后，根據(jù)所述第一密鑰和所述加密密鑰生成所述第三加密密鑰，并根據(jù)所述第一密鑰和所述完整性保護(hù)密鑰生成所述第三完整性保護(hù)密鑰；所述密鑰包括所述第三加密密鑰和所述第三完整性保護(hù)密鑰；或者第三獲取單元，用于在所述第二接收單元接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第二加密密鑰和所述第二完整性保護(hù)密鑰，并根據(jù)所述第二加密密鑰和所述第二完整性保護(hù)密鑰獲取所述密鑰；或者第四獲取單元，用于在所述第二接收單元接收所述第一指示消息后，根據(jù)所述加密密鑰、所述完整性保護(hù)密鑰和所述特征標(biāo)識(shí)生成所述第四加密密鑰和所述第四完整性保護(hù)密鑰；所述密鑰包括所述第四加密密鑰和所述第四完整性保護(hù)密鑰。
26.根據(jù)權(quán)利要求23-25任一所述的終端設(shè)備，其特征在于，還包括第一發(fā)送模塊，用于在所述第一接收模塊接收所述業(yè)務(wù)消息之前，向所述移動(dòng)管理實(shí)體發(fā)送包含用戶標(biāo)識(shí)和所述特征標(biāo)識(shí)的認(rèn)證請(qǐng)求消息；或者第二發(fā)送模塊，用于在根據(jù)用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，在所述第一接收模塊接收所述業(yè)務(wù)消息之前，向所述移動(dòng)管理實(shí)體發(fā)送所述特征標(biāo)識(shí)。
27.根據(jù)權(quán)利要求23-25任一所述的終端設(shè)備，其特征在于，還包括第二接收模塊，用于在根據(jù)所述終端設(shè)備的用戶標(biāo)識(shí)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，在所述第一接收模塊接收所述業(yè)務(wù)消息之前，接收所述移動(dòng)管理實(shí)體發(fā)送的請(qǐng)求消息；加密模塊，用于在所述第二接收模塊接收所述請(qǐng)求消息之后，根據(jù)加密密鑰和/或完整性保護(hù)密鑰對(duì)所述特征標(biāo)識(shí)進(jìn)行加密；所述加密密鑰和所述完整性保護(hù)密鑰為認(rèn)證和密鑰協(xié)商鑒權(quán)成功后生成的；第三發(fā)送模塊，用于根據(jù)所述第二接收模塊接收的所述請(qǐng)求消息向所述移動(dòng)管理實(shí)體發(fā)送所述加密模塊加密后的所述特征標(biāo)識(shí)。
28.根據(jù)權(quán)利要求23-25任一所述的終端設(shè)備，其特征在于，還包括判斷模塊，用于在根據(jù)所述獲取模塊獲取的所述密鑰與所述移動(dòng)管理實(shí)體進(jìn)行安全通信后，根據(jù)從所述移動(dòng)管理實(shí)體接收到的指示標(biāo)識(shí)或預(yù)置的指示標(biāo)識(shí)判斷是否刪除所述密鑰。
29.一種安全認(rèn)證系統(tǒng)，包括如權(quán)利要求16-22任一所述的移動(dòng)管理實(shí)體和如權(quán)利要求23- 任一所述的終端設(shè)備。
全文摘要
本發(fā)明實(shí)施例提供一種安全認(rèn)證方法、裝置及系統(tǒng)，該方法包括驗(yàn)證用于標(biāo)識(shí)終端設(shè)備的特征標(biāo)識(shí)，其中，所述終端設(shè)備為機(jī)器對(duì)機(jī)器設(shè)備；獲取與所述特征標(biāo)識(shí)對(duì)應(yīng)的密鑰，以根據(jù)所述密鑰與所述終端設(shè)備進(jìn)行安全通信。本發(fā)明實(shí)施例，在終端設(shè)備、移動(dòng)管理實(shí)體和歸屬用戶系統(tǒng)進(jìn)行認(rèn)證和密鑰協(xié)商鑒權(quán)成功后，驗(yàn)證終端的特征標(biāo)識(shí)是否合法，當(dāng)終端的特征標(biāo)識(shí)為合法標(biāo)識(shí)時(shí)，根據(jù)該特征標(biāo)識(shí)獲取密鑰，以使移動(dòng)管理實(shí)體和終端設(shè)備根據(jù)該密鑰進(jìn)行安全通信，從而實(shí)現(xiàn)M2M設(shè)備和網(wǎng)絡(luò)側(cè)之間的安全通信。
文檔編號(hào)H04W12/06GK102196436SQ201010123910
公開(kāi)日2011年9月21日 申請(qǐng)日期2010年3月11日 優(yōu)先權(quán)日2010年3月11日
發(fā)明者劉曉寒, 張麗佳, 許怡嫻, 黃迎新 申請(qǐng)人:華為技術(shù)有限公司