專利名稱：飛蜂窩型基站的安全認證方法及飛蜂窩型無線通信系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及飛蜂窩(Femtocell)型基站的安全認證方法及飛蜂窩型無線通信系統(tǒng)，屬于飛蜂窩技術(shù)領(lǐng)域。
背景技術(shù)：
飛蜂窩型基站也稱家庭基站(簡稱HBS)，是一種小型、低功率的蜂窩基站，主要用于家庭及辦公室等室內(nèi)場所。它的作用是作為蜂窩網(wǎng)在室內(nèi)覆蓋的補充，為用戶提供話音及數(shù)據(jù)服務(wù)。飛蜂窩型基站使用IP協(xié)議，采用扁平化的基站架構(gòu)，可以通過現(xiàn)有的數(shù)字用戶線路(簡稱DSL)、同軸電纜(Cable)或光纖等寬帶手段接入移動運營商的核心網(wǎng)絡(luò)。
與傳統(tǒng)宏基站不同，飛蜂窩型基站通過固網(wǎng)運營商不可信的鏈路連接到移動運營商的核心網(wǎng)絡(luò)，這導(dǎo)致移動運營商的核心網(wǎng)絡(luò)與公共網(wǎng)絡(luò)直接相連，從而為移動運營商的網(wǎng)絡(luò)管理帶來新的風險。此外，飛蜂窩型基站通常都部署在不可信的環(huán)境中，極易受到惡意用戶的攻擊，并以數(shù)字用戶線路為跳板，進一步對移動運營商的核心網(wǎng)絡(luò)以及用戶終端造成嚴重威脅。因此，需要對飛蜂窩型基站進行安全認證。為了實現(xiàn)安全認證，在現(xiàn)有的飛蜂窩型基站上配備一張可插拔的用戶識別(簡稱SM)卡，同時配備一個不可插拔的證書。飛蜂窩型基站和安全網(wǎng)關(guān)(SecureGateway，簡稱SG)之間先執(zhí)行基于證書的認證，然后飛蜂窩型基站和驗證授權(quán)記賬(Authentication、Authorization、Accounting,簡稱AAA)服務(wù)器之間執(zhí)行基于認證和密鑰協(xié)議(簡稱EAP)認證和密匙協(xié)商機制(簡稱AKA)/SM的認證?，F(xiàn)有技術(shù)中至少存在如下問題配備在飛蜂窩型基站上的證書是不可插拔，固化于飛蜂窩型基站的硬件終端內(nèi)。當由于證書泄密等需要更換證書時，在軟硬件接口的非統(tǒng)一性的環(huán)境下，證書更換難以實現(xiàn)。即更換證書需要利用飛蜂窩型基站的軟件升級接口，可是現(xiàn)階段該接口尚未形成強制性規(guī)范，各個不同的廠家對此的開放程度存在差異。而通過飛蜂窩型基站的管理平臺來適應(yīng)不同廠家設(shè)備的方式，由于型號眾多，同樣不可實現(xiàn)。

發(fā)明內(nèi)容
本發(fā)明提供一種飛蜂窩型基站的安全認證方法及飛蜂窩型無線通信系統(tǒng)，既能保證終端飛蜂窩型基站的安全性，又便于實現(xiàn)證書更換的便捷性。本發(fā)明一方面提供一種飛蜂窩型基站的安全認證方法，其中包括認證機構(gòu)向SG下發(fā)該SG的私鑰，并向SM卡下發(fā)證書，該證書中包含與所述私鑰對應(yīng)的公鑰；所述SM卡生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證；所述基站認證通過后，所述SM卡生成第二隨機數(shù)并基于所述私鑰和公鑰對所述SG進行網(wǎng)關(guān)認證；所述網(wǎng)關(guān)認證通過后，由所述SG在所述飛蜂窩型基站與所述SG之間建立IPsec通道。
本發(fā)明另一方面提供一種飛蜂窩型無線通信系統(tǒng)，其中包括飛蜂窩型基站、SG以及設(shè)置于所述飛蜂窩型基站內(nèi)的SM卡，其中所述SIM卡包括證書接收模塊，用于接收由認證機構(gòu)下發(fā)的證書，該證書中包含與所述SG的私鑰對應(yīng)的公鑰；第一認證模塊，用于生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證；第二認證模塊，用于當所述基站認證通過后，生成第二隨機數(shù)并基于所述SG的私鑰和所述公鑰對所述SG進行網(wǎng)關(guān)認證；所述SG包括
私鑰接收模塊，用于接收由所述認證機構(gòu)下發(fā)的該SG的私鑰；通道建立模塊，用于當所述網(wǎng)關(guān)認證通過后，在所述飛蜂窩型基站與所述SG之間建立IPsec通道。本發(fā)明通過SM卡分別對飛蜂窩型基站和SG進行了安全性認證，避免對移動運營商的核心網(wǎng)絡(luò)帶來安全性風險，并且由于無需將證書在固化于飛蜂窩型基站的內(nèi)部，因此在需要更換證書時，僅需通過離線非實時更新SG內(nèi)的私鑰以及內(nèi)置有新證書的SM卡即可，從而解決了更換證書的問題，實現(xiàn)了證書更換的便捷性。


為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對實施例或現(xiàn)有技術(shù)描述中所需要使用的附圖作一簡單地介紹，顯而易見地，下面描述中的附圖是本發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他的附圖。圖I為本發(fā)明所述飛蜂窩型基站的安全認證方法實施例的流程圖；圖2為圖I所示方法中步驟200的具體流程圖；圖3為圖I所示方法中步驟300的具體流程圖；圖4為圖I所示方法的舉例信令圖；圖5為本發(fā)明所述飛蜂窩型無線通信系統(tǒng)實施例的結(jié)構(gòu)示意圖；圖6為圖5所示SIM卡30的結(jié)構(gòu)示意圖；圖7為圖5所示SG20的結(jié)構(gòu)示意圖；圖8為圖6所示第一認證模塊32的結(jié)構(gòu)示意圖；圖9為圖5所不飛蜂窩型基站10的結(jié)構(gòu)不意圖；圖10為圖6所示第二認證模塊33的結(jié)構(gòu)示意圖。
具體實施例方式為使本發(fā)明實施例的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚、完整地描述，顯然，所描述的實施例是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。圖I為本發(fā)明所述飛蜂窩型基站的安全認證方法實施例的流程圖，如圖所示，該方法包括如下步驟步驟100，認證機構(gòu)向SG下發(fā)該SG的私鑰，并向SM卡下發(fā)證書，該證書中包含與所述私鑰對應(yīng)的公鑰。其中，所述SIM卡插入到飛蜂窩型基站，該飛蜂窩型基站與所述SG通信連接；所述私鑰和所述公鑰是一對非對稱密碼。具體地，為了保證所述私鑰的安全性，認證機構(gòu)可以用預(yù)先與SG商定的對稱密碼對私鑰加密后下發(fā)給SG，然后再由SG使用相同的對稱密碼進行解密后得到所述私鑰。步驟200，所述SM卡生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證，該基站認證通過后，繼續(xù)執(zhí)行步驟300。否則，如果該基站認證沒有通過后，則整個認證過程失敗。具體的基站認證過程將 在后續(xù)內(nèi)容進行詳細介紹。步驟300，所述SM卡生成第二隨機數(shù)并基于所述私鑰和公鑰對所述SG進行網(wǎng)關(guān)認證，該網(wǎng)關(guān)認證通過后，繼續(xù)執(zhí)行步驟400。否則，如果該網(wǎng)關(guān)認證沒有通過后，則整個認證過程失敗。具體的網(wǎng)關(guān)認證過程將在后續(xù)內(nèi)容進行詳細介紹。步驟400，由所述SG在所述飛蜂窩型基站與所述SG之間建立互聯(lián)網(wǎng)協(xié)議安全(簡稱IPsec)通道。本實施例所述方法通過SM卡分別對飛蜂窩型基站和SG進行了安全性認證，避免對移動運營商的核心網(wǎng)絡(luò)帶來安全性風險，并且由于無需將證書固化于飛蜂窩型基站的內(nèi)部，因此在需要更換證書時，僅需通過離線非實時更新SG內(nèi)的私鑰以及內(nèi)置有新證書的SIM卡即可，從而解決了更換證書的問題，實現(xiàn)了證書更換的便捷性。以下詳細介紹上述步驟200中所述的基站認證過程，如圖2所示，該步驟200具體可以包括如下步驟步驟210，所述SIM卡向所述飛蜂窩型基站發(fā)送所述第一隨機數(shù)。其中，所述第一隨機數(shù)是所述SM卡隨機生成的一個數(shù)據(jù)，用于進行基站認證。步驟220，所述飛蜂窩型基站根據(jù)預(yù)設(shè)加密算法及所述第一隨機數(shù)生成第一密文數(shù)據(jù)，并將該飛蜂窩型基站的加密索引信息及所述第一密文數(shù)據(jù)發(fā)送給所述SIM卡。其中，所述加密索引信息可以包括該飛蜂窩型基站的設(shè)備廠商代碼及主密鑰版本號。具體地，所述飛蜂窩型基站可以根據(jù)所述第一隨機數(shù)的前N個字節(jié)，從預(yù)存的主密鑰中選擇第一會話密鑰，用該第一會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到所述第一密文數(shù)據(jù)，其中，M、N均為自然數(shù)，M+N =所述第一隨機數(shù)的長度。例如，該第一隨機數(shù)的長度L = 20字節(jié)，N = 4字節(jié)，M = 16字節(jié)，得到的第一密文數(shù)據(jù)的長度也為16字節(jié)。例如，當N = 4時，假設(shè)第一隨機數(shù)的前4個字節(jié)的值為0010，則可以從主密鑰中選擇與“0010”相對應(yīng)的第一會話密鑰。具體地，會話密鑰與前N個字節(jié)的值的對應(yīng)關(guān)系可以預(yù)先指定，例如，可以選擇編號為“0010”的會話密鑰作為所述第一會話密鑰；或者也可以根據(jù)二進制與十進制的換算關(guān)系，選擇序號為2的會話密鑰作為所述第一會話密鑰。此處需要說明的是，所述N的取值可以根據(jù)主密鑰中可選的會話密鑰個數(shù)進行設(shè)定，當N的取值數(shù)量多于會話密鑰個數(shù)時，可以令多個取值對應(yīng)一個會話密鑰。例如，當N=2時，最多可以與4個會話密鑰相對應(yīng)，但如果主密鑰中只有三個會話密鑰可供選擇，則可以令兩個取值對應(yīng)一個會話密鑰，例如“00”對應(yīng)第I個會話密鑰；“01”對應(yīng)第2個會話密鑰；“10”和“11”均對應(yīng)第3個會話密鑰。只要保證SM卡和飛蜂窩型基站根據(jù)相同的取值在主密鑰中選擇相同的會話密鑰作為所述第一會話密鑰即可。步驟230，所述SIM卡根據(jù)所述預(yù)設(shè)加密算法、所述加密索引信息及所述第一隨機數(shù)生成第二密文數(shù)據(jù)，比較所述第一密文數(shù)據(jù)和所述第二密文數(shù)據(jù)，如果相等，則所述基站認證通過。
具體地，所述SM卡可以根據(jù)所述加密索引信息確定備選的主密鑰，例如，所述飛蜂窩型基站的設(shè)備廠商代碼(例如I字節(jié))及主密鑰版本號(例如I字節(jié))確定所述備選的主密鑰。其中，所述SIM卡中預(yù)存了各個設(shè)備廠商的各種版本的主密鑰，根據(jù)所述設(shè)備廠商代碼可以確定所述飛蜂窩型基站的設(shè)備廠商所對應(yīng)的各個版本的主密鑰；然后根據(jù)所述主密鑰版本號便可確定所述備選的主密鑰。此后，該所述SIM卡根據(jù)所述第一隨機數(shù)的前N個字節(jié)從所述備選的主密鑰中選擇第二會話密鑰，用該第二會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到所述第二密文數(shù)據(jù)。其中，所述第二會話密鑰的選擇方式與所述第一會話密鑰相似，此處不再贅述。由于所述SIM卡和飛蜂窩型基站均使用相同的會話密鑰和相同的算法對第一隨機數(shù)進行運算得到密文數(shù)據(jù)，因此，當?shù)谝幻芪臄?shù)據(jù)與第二密文數(shù)據(jù)相等時，則所述基站認證通過，表明該飛蜂窩型基站具有合法性。以下詳細介紹上述步驟300中所述的網(wǎng)關(guān)認證過程，如圖3所示，該步驟300具體可以包括如下步驟步驟310，所述SM卡經(jīng)所述飛蜂窩型基站的轉(zhuǎn)發(fā)向所述SG發(fā)送所述第二隨機數(shù)。其中，所述第二隨機數(shù)是所述SM卡隨機生成的一個數(shù)據(jù)，用于進行網(wǎng)關(guān)認證。步驟320，所述SG用所述私鑰對所述第二隨機數(shù)進行簽名得到簽名數(shù)據(jù)，并回復(fù)給所述SIM卡。其中，該私鑰是在上述步驟100中由CA下發(fā)的，因此是可信的。步驟330，所述SM卡利用所述證書中的公鑰認證所述簽名數(shù)據(jù)。其中，該公鑰是在上述步驟100中由CA在證書中下發(fā)的，因此是可信的。具體地，所述SIM卡可先利用所述證書中的公鑰對所述簽名數(shù)據(jù)進行解密得到解密數(shù)據(jù)，由于所述私鑰和所述公鑰是一對非對稱密碼，因此該公鑰可以對該私鑰加密的數(shù)據(jù)進行解密；然后比較所述解密數(shù)據(jù)與所述第二隨機數(shù)，如果相等，則所述網(wǎng)關(guān)認證通過。以下，以舉例說明本實施例所述方法的信令流程，如圖4所示，包括1-1 認證機構(gòu)(Certificate Authority,簡稱CA)將 SG 的私鑰下發(fā)至 SG ；1-2認證機構(gòu)將證書下發(fā)至SM卡，該證書中包含與所述私鑰對應(yīng)的公鑰；1-3SM卡向飛蜂窩型基站發(fā)送第一隨機數(shù)(RND)，飛蜂窩型基站根據(jù)該第一隨機數(shù)的前N個字節(jié)，從預(yù)存的主密鑰中選擇第一會話密鑰，用該第一會話密鑰對第一隨機數(shù)的剩余M個字節(jié)進行加密，得到第一密文數(shù)據(jù)。1-4飛蜂窩型基站將該飛蜂窩型基站的設(shè)備廠商代碼、主密鑰版本號以及上述第一密文數(shù)據(jù)發(fā)送給SIM卡；1-5SIM卡根據(jù)所述設(shè)備廠商代碼、主密鑰版本號及第一隨機數(shù)的前N個字節(jié)從預(yù)存的主密鑰中選擇第二會話密鑰，用該第二會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到第二密文數(shù)據(jù)，比較第一密文數(shù)據(jù)和第二密文數(shù)據(jù)，如果相等，則認證通過，如果不相等，則不能通過認證；1-6SM卡向飛蜂窩型基站發(fā)送第二隨機數(shù)；1-7飛蜂窩型基站將第二隨機數(shù)轉(zhuǎn)發(fā)給SG ；1-8SG用所述私鑰對該第二隨機數(shù)進行簽名得到簽名數(shù)據(jù)；1-9SG將簽名數(shù)據(jù)發(fā)送給飛蜂窩型基站；1-10飛蜂窩型基站將所述簽名數(shù)據(jù)轉(zhuǎn)發(fā)給所述SIM卡； 1-11S頂卡利用所述證書中的公鑰認證所述簽名數(shù)據(jù)，1-12SIM卡將SG合法的認證結(jié)果發(fā)送給飛蜂窩型基站；1-13飛蜂窩型基站向SG發(fā)送通道建立通知；1-14由SG在飛蜂窩型基站與SG之間建立IPsec通道。圖5為本發(fā)明所述飛蜂窩型無線通信系統(tǒng)實施例的結(jié)構(gòu)示意圖，能夠?qū)崿F(xiàn)上述各方法實施例，如圖所示，該系統(tǒng)至少包括飛蜂窩型基站10、SG20以及設(shè)置于所述飛蜂窩型基站10內(nèi)的SM卡30，其工作原理如下首先由認證機構(gòu)(圖中未示出)向SG20下發(fā)該SG20的私鑰，并向SM卡30下發(fā)證書，該證書中包含與所述私鑰對應(yīng)的公鑰，其中，所述私鑰和所述公鑰是一對非對稱密碼。如圖6所示，所述SM卡30中的證書接收模塊31接收由認證機構(gòu)下發(fā)的證書；如圖7所示，所述SG20中的私鑰接收模塊21接收由所述認證機構(gòu)下發(fā)的該SG的私鑰。SIM卡30中的第一認證模塊32生成第一隨機數(shù)對所述飛蜂窩型基站10進行基站認證；當所述基站認證通過后，由第二認證模塊33生成第二隨機數(shù)并基于所述SG20的私鑰和所述公鑰對所述SG20進行網(wǎng)關(guān)認證。當所述網(wǎng)關(guān)認證通過后，由SG20的通道建立模塊22在所述飛蜂窩型基站10與所述SG20之間建立IPsec通道。以下詳細介紹上述基站認證過程如圖8所示，所述第一認證模塊32中的第一發(fā)送單元32A向所述飛蜂窩型基站10發(fā)送所述第一隨機數(shù)；如圖9所示，所述飛蜂窩型基站10中的加密模塊11根據(jù)預(yù)設(shè)加密算法及來自于所述SM卡30的所述第一隨機數(shù)生成第一密文數(shù)據(jù)，其中，所述加密索引信息可以包括該飛蜂窩型基站的設(shè)備廠商代碼及主密鑰版本號。具體地，該加密模塊11可以將所述第一隨機數(shù)的前N個字節(jié)，從預(yù)存的主密鑰中選擇第一會話密鑰，用該第一會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到所述第一密文數(shù)據(jù)，其中，M、N均為自然數(shù)，M+N =所述第一隨機數(shù)的長度。此后，該飛蜂窩型基站10中的反饋模塊12將該飛蜂窩型基站10的加密索引信息及加密模塊11生成的所述第一密文數(shù)據(jù)發(fā)送給所述SM卡30。所述第一認證模塊32中的加密單元32B根據(jù)所述預(yù)設(shè)加密算法、所述加密索引信息及所述第一隨機數(shù)生成第二密文數(shù)據(jù)。具體地，加密單元32B可以根據(jù)所述加密索引信息確定備選的主密鑰，例如，所述飛蜂窩型基站10的設(shè)備廠商代碼(例如I字節(jié))及主密鑰版本號(例如I字節(jié))確定所述備選的主密鑰。其中，所述SIM卡30中預(yù)存了各個設(shè)備廠商的各種版本的主密鑰，根據(jù)所述設(shè)備廠商代碼可以確定所述飛蜂窩型基站10的設(shè)備廠商所對應(yīng)的各個版本的主密鑰；然后根據(jù)所述主密鑰版本號便可確定所述備選的主密鑰。此后，該加密單元32B根據(jù)所述第一隨機數(shù)的前N個字節(jié)從所述備選的主密鑰中選擇第二會話密鑰，用該第二會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到所述
第二密文數(shù)據(jù)。然后，第一認證模塊32中的比較單元32C比較所述第一密文數(shù)據(jù)和所述第二密文數(shù)據(jù)，如果相等，則所述基站認證通過。以下詳細介紹網(wǎng)關(guān)認證過程如圖10所示，所述第二認證模塊33中的第二發(fā)送單元33A經(jīng)所述飛蜂窩型基站10的轉(zhuǎn)發(fā)向所述SG20發(fā)送所述第二隨機數(shù)。如圖7所示，所述SG20中的簽名模塊23用所 述私鑰對所述第二隨機數(shù)進行簽名得到簽名數(shù)據(jù)，并回復(fù)給所述SIM卡。此后，第二認證模塊33中的認證單元33B利用證書接收模塊31接收到的所述證書中的公鑰認證來自于所述SG20的簽名數(shù)據(jù)。具體地，認證單元33B可先利用所述證書中的公鑰對所述簽名數(shù)據(jù)進行解密得到解密數(shù)據(jù)，由于所述私鑰和所述公鑰是一對非對稱密碼，因此該公鑰可以對該私鑰加密的數(shù)據(jù)進行解密；然后比較所述解密數(shù)據(jù)與所述第二隨機數(shù)，如果相等，則所述網(wǎng)關(guān)認證通過。本實施例所述系統(tǒng)通過SM卡分別對飛蜂窩型基站和SG進行了安全性認證，避免對移動運營商的核心網(wǎng)絡(luò)帶來安全性風險，并且由于無需將證書在固化于飛蜂窩型基站的內(nèi)部，因此在需要更換證書時，僅需通過離線非實時更新SG內(nèi)的私鑰以及內(nèi)置有新證書的SIM卡即可，從而解決了更換證書的問題，實現(xiàn)了證書更換的便捷性。本領(lǐng)域普通技術(shù)人員可以理解實現(xiàn)上述方法實施例的全部或部分步驟可以通過程序指令相關(guān)的硬件來完成，前述的程序可以存儲于一計算機可讀取存儲介質(zhì)中，該程序在執(zhí)行時，執(zhí)行包括上述方法實施例的步驟；而前述的存儲介質(zhì)包括R0M、RAM、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。最后應(yīng)說明的是以上實施例僅用以說明本發(fā)明的技術(shù)方案，而非對其限制；盡管參照前述實施例對本發(fā)明進行了詳細的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當理解其依然可以對前述各實施例所記載的技術(shù)方案進行修改，或者對其中部分技術(shù)特征進行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實施例技術(shù)方案的精神和范圍。
權(quán)利要求
1.一種飛蜂窩型基站的安全認證方法，其特征在于，包括 認證機構(gòu)向SG下發(fā)該SG的私鑰，并向SM卡下發(fā)證書，該證書中包含與所述私鑰對應(yīng)的公鑰； 所述SIM卡生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證； 所述基站認證通過后，所述SIM卡生成第二隨機數(shù)并基于所述私鑰和公鑰對所述SG進行網(wǎng)關(guān)認證； 所述網(wǎng)關(guān)認證通過后，由所述SG在所述飛蜂窩型基站與所述SG之間建立IPsec通道。
2.根據(jù)權(quán)利要求I所述的方法，其特征在于所述SIM卡生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證包括 所述SIM卡向所述飛蜂窩型基站發(fā)送所述第一隨機數(shù)； 所述飛蜂窩型基站根據(jù)預(yù)設(shè)加密算法及所述第一隨機數(shù)生成第一密文數(shù)據(jù)，并將該飛蜂窩型基站的加密索引信息及所述第一密文數(shù)據(jù)發(fā)送給所述SIM卡； 所述SIM卡根據(jù)所述預(yù)設(shè)加密算法、所述加密索引信息及所述第一隨機數(shù)生成第二密文數(shù)據(jù)，比較所述第一密文數(shù)據(jù)和所述第二密文數(shù)據(jù)，如果相等，則所述基站認證通過。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于所述飛蜂窩型基站根據(jù)預(yù)設(shè)加密算法及所述第一隨機數(shù)生成第一密文數(shù)據(jù)包括所述飛蜂窩型基站根據(jù)所述第一隨機數(shù)的前N個字節(jié)，從預(yù)存的主密鑰中選擇第一會話密鑰，用該第一會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到所述第一密文數(shù)據(jù)，其中，M、N均為自然數(shù)，M+N=所述第一隨機數(shù)的長度。
4.根據(jù)權(quán)利要求3所述的方法，其特征在于所述SIM卡根據(jù)所述預(yù)設(shè)加密算法、所述加密索引信息及所述第一隨機數(shù)生成第二密文數(shù)據(jù)包括所述SIM卡根據(jù)所述加密索引信息確定備選的主密鑰，根據(jù)所述第一隨機數(shù)的前N個字節(jié)從所述備選的主密鑰中選擇第二會話密鑰，用該第二會話密鑰對所述第一隨機數(shù)的剩余M個字節(jié)進行加密，得到所述第二密文數(shù)據(jù)。
5.根據(jù)權(quán)利要求4所述的方法，其特征在于所述SIM卡根據(jù)所述加密索引信息確定備選的主密鑰包括所述SIM卡根據(jù)所述飛蜂窩型基站的設(shè)備廠商代碼及主密鑰版本號確定所述備選的主密鑰。
6.根據(jù)權(quán)利要求I所述的方法，其特征在于所述SIM卡生成第二隨機數(shù)并基于所述私鑰和公鑰對所述SG進行網(wǎng)關(guān)認證包括 所述SM卡經(jīng)所述飛蜂窩型基站的轉(zhuǎn)發(fā)向所述SG發(fā)送所述第二隨機數(shù)； 所述SG用所述私鑰對所述第二隨機數(shù)進行簽名得到簽名數(shù)據(jù)，并回復(fù)給所述SIM卡； 所述SM卡利用所述證書中的公鑰認證所述簽名數(shù)據(jù)。
7.根據(jù)權(quán)利要求6所述的方法，其特征在于所述SM卡利用所述證書中的公鑰認證所述簽名數(shù)據(jù)包括 所述SIM卡利用所述證書中的公鑰對所述簽名數(shù)據(jù)進行解密得到解密數(shù)據(jù)； 比較所述解密數(shù)據(jù)與所述第二隨機數(shù)，如果相等，則所述網(wǎng)關(guān)認證通過。
8.—種飛蜂窩型無線通信系統(tǒng)，其特征在于包括飛蜂窩型基站、SG以及設(shè)置于所述飛蜂窩型基站內(nèi)的SM卡，其中 所述SIM卡包括證書接收模塊，用于接收由認證機構(gòu)下發(fā)的證書，該證書中包含與所述SG的私鑰對應(yīng)的公鑰； 第一認證模塊，用于生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證； 第二認證模塊，用于當所述基站認證通過后，生成第二隨機數(shù)并基于所述SG的私鑰和所述公鑰對所述SG進行網(wǎng)關(guān)認證； 所述SG包括 私鑰接收模塊，用于接收由所述認證機構(gòu)下發(fā)的該SG的私鑰； 通道建立模塊，用于當所述網(wǎng)關(guān)認證通過后，在所述飛蜂窩型基站與所述SG之間建立IPsec通道。
9.根據(jù)權(quán)利要求8所述的系統(tǒng)，其特征在于 所述飛蜂窩型基站包括 加密模塊，用于根據(jù)預(yù)設(shè)加密算法及來自于所述SIM卡的所述第一隨機數(shù)生成第一密文數(shù)據(jù)； 反饋模塊，用于將該飛蜂窩型基站的加密索引信息及加密模塊生成的所述第一密文數(shù)據(jù)發(fā)送給所述SIM卡； 所述第一認證模塊包括 第一發(fā)送單元，用于向所述飛蜂窩型基站發(fā)送所述第一隨機數(shù)； 加密單元，用于根據(jù)所述預(yù)設(shè)加密算法、所述加密索引信息及所述第一隨機數(shù)生成第二密文數(shù)據(jù)； 比較單元，比較所述第一密文數(shù)據(jù)和所述第二密文數(shù)據(jù)，如果相等，則所述基站認證通過。
10.根據(jù)權(quán)利要求8所述的系統(tǒng)，其特征在于 所述SG還包括簽名模塊，用于用所述私鑰對所述第二隨機數(shù)進行簽名得到簽名數(shù)據(jù)，并回復(fù)給所述SIM卡； 所述第二認證模塊包括 第二發(fā)送單元，用于經(jīng)所述飛蜂窩型基站的轉(zhuǎn)發(fā)向所述SG發(fā)送所述第二隨機數(shù)； 認證單元，用于利用證書接收模塊接收到的所述證書中的公鑰認證來自于所述SG的簽名數(shù)據(jù)。
全文摘要
本發(fā)明提供一種飛蜂窩型基站的安全認證方法及飛蜂窩型無線通信系統(tǒng)，其中方法包括認證機構(gòu)向SG下發(fā)該SG的私鑰，并向SIM卡下發(fā)證書，該證書中包含與所述私鑰對應(yīng)的公鑰；所述SIM卡生成第一隨機數(shù)對所述飛蜂窩型基站進行基站認證；所述基站認證通過后，所述SIM卡生成第二隨機數(shù)并基于所述私鑰和公鑰對所述SG進行網(wǎng)關(guān)認證；所述網(wǎng)關(guān)認證通過后，由所述SG在所述飛蜂窩型基站與所述SG之間建立IPsec通道。本發(fā)明無需將證書在固化于飛蜂窩型基站的內(nèi)部，因此在需要更換證書時，僅需通過離線非實時更新SG內(nèi)的私鑰以及內(nèi)置有新證書的SIM卡即可，從而解決了更換證書的問題，實現(xiàn)了證書更換的便捷性。
文檔編號H04W12/06GK102724665SQ20111007970
公開日2012年10月10日 申請日期2011年3月31日 優(yōu)先權(quán)日2011年3月31日
發(fā)明者王彬 申請人:中國聯(lián)合網(wǎng)絡(luò)通信集團有限公司