CN100388852C

CN100388852C - 用于询问-应答用户鉴权的方法和系统

Info

Publication number: CN100388852C
Application number: CNB038137186A
Authority: CN
Inventors: R·布洛姆
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2002-06-12
Filing date: 2003-04-25
Publication date: 2008-05-14
Anticipated expiration: 2023-04-25
Also published as: US7194765B2; EP1512307B1; HK1080246A1; CN1659922A; WO2003107712A1; AU2003230490A1; JP2005530429A; ATE491315T1; DE60335261D1; JP4546240B2; EP1512307A1; US20030233546A1; HK1080246B

Abstract

一种询问-应答鉴权过程包括借助于屏蔽函数(f)屏蔽由鉴权中心产生的期望应答(XRES)，以及代替期望应答本身，发送屏蔽期望应答(XRES′)到实际用户鉴权发生的中间方。中间方还从用户接收用户应答(RES)并且利用与鉴权中心相同的屏蔽函数产生屏蔽的用户应答。为了鉴权该用户，中间方随后验证相应于从鉴权中心接收的屏蔽的期望应答(XRES′)的屏蔽用户应答(RES)。上述过程允许中间方检验用户鉴权已经发生，记住只有合法用户提前知道应答。

Description

用于询问-应答用户鉴权的方法和系统

技术领域

本发明主要涉及通信系统中的鉴权过程，并且更具体而言涉及包括除用户之外的第三中间方和与用户相关的鉴权中心的询问-应答用户鉴权。

背景技术

今天的许多包括移动通信系统、寻呼系统以及无线和有线数据网络的通信系统为了改善系统安全和稳定性使用鉴权和加密过程。

例如，在移动通信系统中，为了可以使用网络服务，用户向网络和/或服务提供者进行鉴权并且鉴权还作为用户计费的基础。现代通信系统的基本的安全协议通常包括询问-应答鉴权过程，大多数通常基于密钥加密。询问-应答鉴权在本领域是众所周知的，并且存在几个关于基本的询问-应答鉴权的标准，例如用于GSM(全球数字移动电话系统)和UMTS(通用移动电信系统)网络。

正如图1中示出的，现代通信系统中的典型情况不仅包括用户和用户相关的鉴权中心，而且包括中间方，诸如单独的网络运营商或者其它的服务提供者。

典型地，鉴权中心与用户与其具有例如通过预约或者预付账户建立的信用关系的本地运营商有关。这个建立的信用关系典型地例如通过共用的密钥(对称加密)在加密关系中被表明。本地运营商鉴权中心，或者更具体地说，本地网络运营商与中间方可能有服务协议，协议典型地通过类似加密关系来表明。然而，用户和中间方之间的关系通常被认为是感生的信用关系，当由中间方提供的服务被请求或者相反被启动时建立这种信用关系。

图2是一个典型的现有技术询问-应答鉴权过程的示意图，包括用户，相关的本地运营商鉴权中心和中间方。例如，被用于诸如GSM和UMTS网络的通信系统中的常规的AKA(鉴权和密钥协议)方法包括基于密钥的询问-应答过程。Ki表示的密钥通常是与用户运营商预约或者从其中得到的密钥有关的预约密钥。中间方可能例如是一个管理用户在其中漫游的网络的网络节点，或者提供与用户有关的服务的其他类型的服务提供者。

对于在中间方处的给定用户的鉴权，用户通常被请求发送一个用户标识符到中间方，其在鉴权数据请求中，依次转送这个ID到本地运营商鉴权中心。为了参与用户鉴权，本地鉴权中心基于与这个特定的用户有关的密钥Ki产生一个期望的应答XRES和一个作为到给定的函数g的输入的随机询问。通常，鉴权中心还可以产生附加信息，诸如保密性密钥，完整性密钥和鉴权标记。在GSMAKA中，没有完整性密钥或者鉴权标记被使用，但是基本的询问-应答过程是相同的。询问RAND和期望应答XRES，连同附加信息被发送到想要鉴权用户的中间方。

中间方将询问RAND，可能还有鉴权标记转送到用户。用户优选地借助于用户身份模块(SIM或者USIM)，基于共享密钥Ki(安全地保存在SIM或者USIM中)产生一个应答RES和作为到与鉴权中心所使用的函数相同的函数g的输入的接收的询问RAND。用户随后将应答RES发送回到中间方。为了鉴权该用户，中间方简单地验证了从用户接收的应答RES等于从鉴权中心接收的期望应答XRES。

鉴权中心和中间方之间的鉴权参数的发送可以被加密保护。例如，在UMTS中，安全协议MAPSec可以被使用。MAPSec协议已经在3GPP中被标准化，而不是还配置。

通常要求应该可能预分配鉴权数据并且应该可能稍后执行鉴权过程，而不更新与鉴权中心的联系。

对于上述基本的询问-应答鉴权过程，有两个主要的威胁。第一个威胁是不诚实的中间方，诸如单独的网络运营商或者其他服务提供者可以从鉴权中心请求鉴权数据并且稍后欺诈地宣称一个用户已经漫游到该网络中或者相反使用了提供的服务，并且最后请求对服务付款。鉴权中心无法索取任何支持证据，因为今天的系统不支持这样的功能。

第二个威胁是当鉴权参数从鉴权中心发送到中间方时可以被截取，或者从中间方篡改的节点读取。窃取的鉴权参数可能被用于作为参数相关的用户来进行欺骗性鉴权。这样一个攻击依靠窃取鉴权数据的能力，并且在实际的用户使用以前使用它们。例如，当用户在网络之间漫游并且为了稍后使用鉴权参数被存储，在用户正离开的网络中这样一个攻击是可能的。

相关技术

在美国专利5,596,641中，描述了在移动通信系统中的漫游移动单元的鉴权方法。该方法包括两个阶段，一个初级鉴权阶段和一个主要的鉴权阶段。在初始阶段，若干一对的第一询问和期望应答被从本地网络发送到漫游网络。通过偶联第二询问和第一询问形成的第三询问被发送到漫游移动单元，其计算和发送对漫游网络的应答。在主要的鉴权阶段，移动单元随后利用一对第二询问和计算的应答被鉴权。

用于鉴权通信系统中的漫游用户的方法和设备在美国专利5,537,474和美国专利5,668,875中公开了。用户和它相关的本地系统使用本地系统鉴权协议的询问和应答，并且漫游系统使用相应的局部鉴权协议。用户将来自漫游系统的任一接收的询问转换为和本地系统协议相适合的格式。产生的用户应答在被发送到漫游系统以前被转换成局部鉴权协议。询问和用户应答随后被由漫游系统处转送到本地系统，在那里在基于用户应答和期望应答鉴权用户以前执行类似的转换。

美国专利5,991,407描述了在基于GSM的移动通信系统中，利用用于计算来自询问的标记应答和移动单元中的鉴权密钥的A3算法的鉴权过程。CAVE(蜂窝鉴权和话音加密)算法被作为A3算法使用。参数修正函数被提供在CAVE算法输入和询问及鉴权密钥输入之间，以及CAVE算法输出和标记应答输出之间。

美国专利6,389,536B1公开了一种用于利用从内容供应商分配到用户设备的软件验证资格的设备。为了能够执行获得的软件，用户设备首先借助于包括核验装置仪器在内的三个装置进行鉴权。当软件执行请求时，安装在内容供应商的证据支持信息发布仪器发出证据支持信息，例如，以发送给用户设备中的验证仪器的标签的形式。验证用仪器基于证据支持信息连同从嵌入该软件的验证仪器处获得的询问来产生应答信息。这个应答信息被发送到验证仪器以及用于鉴权用途。如果准确地鉴权，验证仪器允许用户设备执行该软件。

上述标识的专利被与先前参考图2论述的现有技术的询问-应答过程相同的或者类似问题损害。

发明内容

本发明克服了现有技术方案的这些及其他缺点。

本发明总的目的在于提供改进的询问-应答鉴权过程。特别是，希望提供一种鉴权过程，允许中间方给出用户实际被鉴权的有效证据。这将有效地防止不诚实的服务提供者欺诈地宣称用户已经接受和使用他们的服务，并且还防止来自用户的鉴权的认可。它可能还对防止和/或消除截取攻击说来是重要的。

本发明的目的在于提供一种改进的方法和系统，用于在中间方处基于密钥(对称加密)询问-应答过程进行鉴权。

本发明的另一个目的在于提供一种改进的鉴权中心，用于参与在中间方处的关联用户的鉴权。

本发明又一个目的在于提供一种改进的服务提供者网络节点，用于鉴权与鉴权中心有关的用户。

本发明满足的这些及其他目的正如所附的专利权利要求所定义的。

为了改进基本的密钥(对称加密)询问-应答鉴权过程，基本思想是将鉴权中心产生的期望应答借助于屏蔽函数进行屏蔽，并且代替期望应答本身，发送屏蔽的期望应答到实际鉴权发生的中间方。中间方从相应的用户接收用户应答并且还利用与鉴权中心相同的屏蔽函数产生屏蔽的用户应答。为了鉴权该用户，中间方随后验证屏蔽用户应答相应于从鉴权中心接收的屏蔽的期望应答。

上述询问-应答过程允许中间方检验用户已经被正确地鉴权，同时还防止和/或消除由于期望应答的屏蔽引起的截取攻击。

在提出的解决办法之后的思想是，攻击者，诸如截取鉴权参数的未经授权用户或者不诚实的中间方将不会预先知道该应答。只有合法用户和鉴权中心最初分别知道应答和期望应答。因此，该思想是防止截取攻击者和中间方可以获得期望应答，但是还允许中间方基于随后从用户发送的用户应答鉴权该用户。如上述的解释，这可以通过在将期望应答发送到中间方以前，在鉴权中心屏蔽该期望应答，并且在中间方处产生产生相应的屏蔽用户应答以启动鉴权来完成。采用这个过程，中间方现在可以使用从用户接收的应答和相应的用户标识信息，优选地连同供产生应答使用的相关的询问，以检验这个特定的用户已经被实际鉴权。因此，中间方，例如服务提供者可以被询问，以提供应答值或者应答-询问对，证明在付款被转帐以前用户事实上已经存在于该网络中和/或使用其他服务。

正如前面提到的那样，在鉴权中心和中间方之间截取鉴权参数的攻击者显而易见地不能够直接使用这个参数来冒充合法用户。

用户鉴权的证据能够在离线或者联机搜索过程中进行管理。在前一种情况下，至少包括从用户接收的用户应答以及优选地还有相应的询问的鉴权证据信息被保存在存储单元，稍后能够由中间方从存储单元读出而作为用户鉴权的证据给出。就后者来说，鉴权证据信息被或多或少直接从中间方转送到鉴权中心，由此启动在线检验。基于给出的鉴权证据信息，鉴权中心可能执行相关的一个或者多个计算和/或一个或者多个比较，以验证中间方是否事实上已经鉴权给定的用户。

屏蔽函数可以是一个专用的函数，只有鉴权中心和中间方知道，或者是一个公开的已知函数，并且通常具有单向和/或散列特性。为了增加安全性，特别是战胜预计算的攻击，屏蔽的期望应答的计算和屏蔽的用户应答的计算可以基于用SALT表示的公用屏蔽随机询问来执行。屏蔽随机询问SALT可以是完全随机的，与用RAND表示的随机询问无关，被用来产生用户应答/期望应答，由此连同RAND一起发送到中间方。

然而，为了避免所涉及的实体之间的附加信令，屏蔽随机询问SALT能够从随机询问RAND导出。在这种情况下，象往常一样，随机询问RAND被发送到中间方并且转送到用户。屏蔽随机询问SALT可能在中间方处由发送的RAND计算并且随后被用来产生屏蔽的用户应答。关于这一点，有效的方法是简单地重新使用随机询问RAND作为屏蔽随机询问SALT。

为了允许与现有的基础结构有关的平滑迁移，有人建议当计算分配的期望应答时，中间方被通知屏蔽函数是否已经被使用。因此，用于分配鉴权参数的协议优选地被伴入这样一个指示。

另外的威胁是不诚实的中间方能够发送证据信息到另一个参与者，其在一个付款(大概用于更昂贵的服务)的请求中依次向鉴权中心给出证据信息。另外，攻击者还可能从篡改的服务提供者节点读取证据信息，并且使用该信息来请求服务付款。这个特殊的问题可以通过将用于给定的用户的鉴权中心产生的鉴权数据关联到为了将相应的证据信息绑定到中间方参与用户鉴权的中间方来解决。优选地，鉴权数据在鉴权中心被与中间方的识别相互关联，并且在鉴权中心鉴权数据随后与接收的证据信息(或者它的表示)进行比较，用于验证证据信息是否与中间方相关联。

本发明已经变为特别是对移动通信系统有用，诸如GSM或者UMTS网络，但是并不仅限于此。

总的是一个真正精致的解决办法的本发明提供了以下的优点：

-允许中间方，诸如服务提供者检验用户事实上已经被鉴权；

-防止不诚实的服务提供者欺诈地宣称用户已经接受他们的服务；

-防止用户对用户鉴权的认可；

-由于屏蔽函数使得其实际上不可能窃取实际的鉴权数据，有效地消除了截取攻击；

-绑定证据信息到给定的中间方的可能性；以及

-采用现有的基础结构提供了简易的迁移。

当阅读本发明实施例的以下描述时，本发明提供的其他优点将被理解。

附图说明

参考以下结合附图给出的描述，本发明，连同它另外的目的和优点将被更透彻地理解，其中：

图1是一个示出鉴权过程的有关方面和它们的相互关系的通信系统的概述；

图2是一个典型的现有技术的询问-应答鉴权过程的示意图，示出有关方面之间的信息传输；

图3是一个根据本发明，一般的询问-应答鉴权过程的流程图；

图4是一个根据本发明，询问-应答鉴权过程举例的示意图，示出有关方面之间的信息传输；

图5A是一个流程图，更详细地示出图3的期望应答产生和屏蔽步骤；

图5B是一个流程图，更详细地示出图3的屏蔽的期望应答发送步骤；

图5C是一个流程图，更详细地示出图3的用户应答产生和发送步骤；

图5D是一个流程图，更详细地示出图3的屏蔽的用户应答产生步骤；

图5E是一个流程图，更详细地示出图3的验证步骤；

图6是一个根据本发明优选实施例的鉴权中心的举例示意性的方框图；

图7是一个根据本发明优选实施例的中间方的举例的示意性的方框图；

图8是一个作为具有漫游在受访网络系统中的相关移动单元的本地网络系统示出的鉴权系统的示范性实施例的示意性的方框图；

图9是一个根据本发明，本地网络系统的另一个示范性实施例的示意性的方框图，具有在不同的网络节点实现的本地鉴权算法和HLR(本地位置寄存器)；

图10是一个根据本发明，本地网络系统的又一个示范性的实施例的示意性的方框图，具有在几个网络节点之间分配的本地鉴权算法；以及

图11是一个示意图，示出用于多个不同的网络运营商的作为鉴权中心的中介。

具体实施方式

贯穿所有的附图，相同的参考字符将被用于相应的或者相似的单元。

为了获得对本发明的基本的和直观的理解，我们将从参考图3描述常规询问-应答鉴权过程开始。这里假定包括的参与者包括用户，用户相关的鉴权中心，和想要鉴权该用户的中间方。在这个举例中，此外假定整个鉴权基于一个询问-应答过程，其中鉴权中心产生期望应答并且用户随后产生一个相应的应答。基本思想是引入一个屏蔽函数，其屏蔽产生的期望应答(S1)。屏蔽的期望应答随后被发送到中间方(S2)。用户以常规的方式产生并且发送一个相应的用户应答(S3)。中间方因此从鉴权中心接收一个屏蔽的期望应答，而且从用户接收一个普通的用户应答。中间方随后借助于相同的屏蔽函数(S4)产生一个屏蔽的用户应答并且最后为了验证用户鉴权，比较屏蔽的期望应答和屏蔽的用户应答(S5)。以这种方法，中间方能够检验用户已经被鉴权，记住只有合法用户/鉴权中心最初知道应答/期望应答。不诚实的服务提供者或者未经授权用户无法提前知道应答。因此，通过在将期望应答发送到中间方以前屏蔽该期望应答，中间方和截取攻击者被阻止使用无屏蔽的期望应答。然而，相应的屏蔽用户应答的产生还允许中间方鉴权该用户。这意味着中间方现在可以使用从用户接收的应答，优选地连同供产生应答使用的相关的询问，以检验这个特定的用户事实上已经被鉴权。因此，中间方，例如服务提供者可以被询问，以提供应答值或者优选地提供应答-询问对，检验在付款被转帐以前用户事实上已经存在于该网络中和/或使用其他服务。

表面上，鉴权中心和中间方具有一个关系，其意味着屏蔽函数已经在鉴权中心和中间方之间进行了交换。这还适用于类似的信息和/或函数，这对于双方来说毫无疑问是常用的。

很清楚，术语“鉴权中心”是一个通用术语，不局限于通常在现代的移动通信系统中找到的鉴权中心(AuC)节点。根据该发明的鉴权中心事实上可以是任何一种以在此处描述的方式管理或者相反参与鉴权用户的中心。例如，鉴权中心自然地可以是一个本地运营商鉴权中心，可能包括可以或者未必共同位于鉴权中心的AAA(认证，鉴权和记帐)服务器。然而，可能还是一个充当常规鉴权中心或者身份中心的中介，用于多个不同的网络运营商或者服务提供者。

中间方可以是任何一种中间方，在那里用户根据本发明被鉴权，包括管理用户在其中漫游的“受访”网络的网络节点，网络服务提供者，内容供应商和事实上，甚至是本地运营商自身的MSC/VLR(移动交换机中心/受访位置寄存器)。

在用户正在其中漫游的受访网络情况下，受访网络的运营商还可以提供除基本网络访问服务之外的其他服务，诸如网络服务乃至数字内容。然而，如果网络服务提供者和/或内容供应商被受访网络运营商分开，局势变得有些更加复杂。受访网络运营商当然可以和另一个服务提供者具有一些关系，其可以要求运营商确认给定的用户已经由运营商鉴权。然而，换句话说，对于每个独立的中间方，诸如网络访问供应商，网络服务提供者和内容供应商，由本发明提出的询问-应答鉴权过程被重复。在后者的情况中，每个服务提供者于是将获得它自身的鉴权证据信息。本地运营商自身的MSC/VLR还可能在想要访问网络的用户的鉴权过程中，充当与鉴权中心，诸如本地运营商鉴权中心或者常规身份中心相互作用的中间方。

如果MSC/VLR和鉴权中心由相同的本地运营商管理，对于MSC/VLR，通常不需要存储鉴权证据信息。作为替代，屏蔽的主要的目的在于防止在鉴权中心和MSC/VLR之间发送的期望应答被截取攻击。另一方面，如果鉴权中心是一个对于用户的本地运营商充当鉴权中心中介的常规的身份中心，对于本地运营商的MSC/VLR，当然对存储用户鉴权证据信息感兴趣，其稍后能够被用于检验给定的用户事实上已经在MSC/VLR被鉴权。它可能还适宜于具有一个标准化鉴权过程，其同样与中间方是否由本地运营商或者外部的参与者管理无关。

在除了基本网络访问服务之外的服务的情况下，需要的信号通常发生在协议堆栈的应用等级上。在这种情况下，典型地，它是一个在用户终端启动鉴权(和密钥协议)过程的应用。有关在终端启动应用以启动AKA的机制的通用信息能够在Internet工程工作小组的网络草案资料中的H.Haverinen的“EAP SIM Authentication”中找到。

正如所提到的，中间方还可以是一个网络服务提供者，或者一个内容供应商，将数字媒体数据，诸如音频，视频，图像，电子图书和软件分配到用户。就内容供应商而言，根据本发明的鉴权优选地在到用户的实际下载或者媒体流出以前执行。

事实上，提供服务的任何一方，诸如网络访问服务，网络服务，内容服务或者付款中介服务可以充当正如被用在给出的描述中的中间方。

为了更透彻地理解本发明，根据本发明，鉴权过程更加完全的举例现在将参考示出有关的参与者之间的鉴权信息发送的图4以及图5A-5E进行描述。

通常，整个鉴权起源于用户发送用户标识符到中间方，其依次在鉴权数据请求中转送用户标识符到关联的鉴权中心。基于接收的用户标识符，鉴权中心识别与特殊用户有关的对称/共享密钥Ki。例如，如果用户具有与本地运营商的预约，密钥Ki可能是一个预约密钥，或者与预付账户有关的密钥。本地鉴权中心基于密钥Ki和作为到给定的函数g的输入的随机询问RAND，产生一个随机询问RAND(S11)并且计算期望应答XRES(S12)。鉴权中心随后优选地产生一个例如作为一个完全独立的随机值或者基于随机询问RAND的屏蔽随机询问SALT(S13)，并且使用这个屏蔽随机询问SALT和计算的作为到屏蔽函数f的输入的期望应答XRES计算屏蔽的期望应答XRES′(S14)。随后，屏蔽期望应答XRES′和随机询问RAND，可能连同任选的屏蔽随机SALT(S22)一起被发送到中间方(S21)。

对于完全在鉴权中心以外或者独立于鉴权中心的中间方，通常还要求中间方从用户接收信息，其可用于确定该用户相关的鉴权中心的身份，并且更具体地，确定用户的本地运营商的身份。这允许中间方发送鉴权数据请求到有关的鉴权中心/本地运营商，记住鉴权中心可能是特定的本地运营商或者担当一般的鉴权中心或者身份中心的中介的鉴权中心。在后面的情况中，本地运营商身份通常被要求发现有关的密钥信息，正如稍后参考图11所解释的。

一旦接收，中间方转发随机询问RAND到用户(S31)。用户随后采用随机询问RAND和用户的共用密钥Ki的副本计算用户应答RES(S32)，该共用密钥Ki作为与到被用来计算期望应答XRES的鉴权中心相同的函数g的输入。获得的用户应答RES被发送到中间方(S33)，供随后的鉴权之用。

如果任选的屏蔽随机询问SALT不是明确地从鉴权中心发送，中间方可能优选地基于随机询问RAND，在鉴权验证之前将其导出(S41)。屏蔽的用户应答RES′由中间方(S42)借助于用户应答RES和作为到屏蔽函数f的输入的任选的，接收的或者导出的屏蔽随机询问SALT进行计算。其后，中间方将计算的屏蔽用户应答RES′和从鉴权中心处获得屏蔽的期望应答XRES′进行比较(S51)。如果屏蔽的用户应答RES相应于屏蔽的期望应答XRES′，中间方已经鉴权该用户(S52)。

正如在上文简要提及的，屏蔽随机询问SALT是任选的并且可能从鉴权过程删掉。在这种情况下，没有随机询问SALT被输入到屏蔽函数f，用于分别计算屏蔽的期望应答XRES′和屏蔽的用户应答RES′。然而，为了增加安全性，并且特别是战胜预计算攻击，屏蔽随机询问SALT优选地作为屏蔽函数输入被包括。如此，屏蔽随机询问SALT可能作为完全随机值在鉴权中心处产生，并且随后连同屏蔽期望应答XRES′和随机询问RAND一起被发送到中间方。然而，为了避免鉴权中心和中间方之间的附加信令，屏蔽随机询问SALT可能也可以从随机询问RAND导出。在这种情况下，鉴权中心优选地通过一些随机询问RAND的函数h产生屏蔽随机询问SALT。因此，没有屏蔽随机询问SALT需要被发送到中间方，其反而可以使用相同的函数h来从随机询问RAND产生屏蔽随机询问SALT。可用的屏蔽随机询问SALT的一个例子是简单地重新使用随机询问RAND作为屏蔽随机询问SALT，h因此被表示为单一函数。

函数h可能是一个公开的函数或者与业务协议关联和在中间方和鉴权中心的合法参与者(例如本地运营商)之间分配的函数，其中的各个方面稍后将详细地论述。

一方面由鉴权中心使用以产生屏蔽期望应答并且另一方面由中间方使用以计算屏蔽用户应答的屏蔽函数f可能是一个单向函数和/或散列函数。优选地，屏蔽函数是一个密码散列函数，具有单向泛函性和使得找到两个截然不同的散列到共同值的输入变得不可行的性质。

有关单向函数和散列函数更加详尽的资料，可以参考CRCPress，第1章，1-48页的A.J.Menezes，P.C.van Oorschot和S.C.Vanstone写的“Handbook of Applied Cryptography”。

屏蔽函数f可能是一个公开的函数，或者为鉴权中心和中间方所知的专用函数。就后者来说，该专用的屏蔽函数可能与例如给定的本地运营商的鉴权中心的合法参与者和例如服务提供者的中间方之间的业务协议有关。如果鉴权中心的合法参与者，例如本地运营商与若干不同的服务提供者具有这样的业务协议，相应的专用函数可能被本地运营商使用，用于每个服务提供者，即，每个运营商提供者协议在专用屏蔽函数中是清楚表示的。然而，做为选择，完全相同的公开屏蔽函数可能被用于所有的服务提供者。

如果屏蔽函数是已知的，至少理论上可能搜索用户应答，其使得屏蔽函数估算变成来源于鉴权中心的屏蔽期望应答。不诚实的第三者，例如服务提供者可以随后将这样一个攻击配置成即使没有用户鉴权已经执行，“证明”用户已经被鉴权。这通过仔细选择鉴权参数的性质来简单地解决。例如，通过选择用户应答为n比特和屏蔽期望应答为m比特，n＞m，在得到与给出的屏蔽期望应答相关的一个之前经过测试的用户应答的平均数是大约2m-1。另外，这将要成为正确的用户应答的可能性仅为2-(n-m)。对于一个UMTS移动通信系统，标准化参数大小允许n为96并且m为80，其给出一个不可执行的任务，即测试279个不同的用户应答，并且仅为2-16的正确用户应答的可能性。

还可能屏蔽不同地取决于例如从中间方处获得的实际服务的用户应答/期望应答。这意味着对于一些服务，使用某一种屏蔽，例如第一屏蔽函数，而对于其他的服务，使用另一个屏蔽——第二屏蔽函数。在这种情况下，某种形式的信息优选地被包括鉴权中心和中间方的传输中，以通知哪个屏蔽函数将被用于特别的用户鉴权。

为了允许相对于现有的基础结构进行平滑迁移，中间方优选地被通知当计算分配的期望应答时屏蔽函数是否已经被使用。这样，用于分配鉴权参数的协议优选地被伴入这样一个指示。同样地，正如上述讨论到的，如果不同的屏蔽函数之间的选择存在，哪个屏蔽函数将使用的指示可能被包括在该协议中。

中间方可能使用来源于用户的应答和一些用户标识信息例如用户标识符，优选地连同被用于产生应答的随机询问一起，作为证据信息，证明这个特别的用户事实上已经被鉴权。这样，中间方在适当的位置方便地存储接收的用户应答，用户标识符，和随机询问，用于稍后的恢复，如果必要的话，用作用户鉴权的证据。在这个用于检验用户鉴权的离线过程中，用户应答和用户标识符，优选地连同相应的随机询问一起可能在其它交通可达地区的中间方处被存储。

当鉴权中心或者其它的有关参与者进行询问时，提供给定用户的鉴权检验，中间方可能将证据信息，例如用户应答RES，相应的随机询问RAND和用户标识符发送到鉴权中心。优选地，鉴权中心随后恢复与给定用户有关的密钥Ki和根据接收的RAND和密钥Ki计算期望应答值XRES，并且最终将接收的RES值与计算的XRES值进行比较，检验用户是否事实上在中间方处已经被鉴权。如果RES值匹配XRES值，证据信息被认为是有效的。

中间方：RAND，RES，用户标识符

鉴权中心：用户标识符＝＝＞Ki

g(Ki，RAND)＝＞XRES

？

检查：XRES＝RES

换句话说，中间方简单地发送RES值和给定用户的用户标识符到中间方。在这种情况下，鉴权中心典型地需要存储XRES值，或者RAND值，以便相应的XRES值能够对于用户被计算，以便RES和XRES之间的比较能够被执行。

如果要求一个在线过程，用户应答和用户标识符，优选地连同相应的随机询问一起被大体上直接从中间方转送到鉴权中心，这样启动鉴权检验。

将鉴权证据信息关联到特殊的中间方

另外的威胁是不诚实的中间方能够发送证据信息到另一个参与者，其在付款请求中依次向鉴权中心给出证据信息(例如假定对方的服务是比中间方的那些服务更贵的)。另外，对于攻击者还可能从中间方的篡改节点读取证据信息，包括例如用户标识符，用户应答RES和相应的随机询问RAND在内。这个攻击者能因此向鉴权中心给出接收的证据信息，欺诈地宣称用户已经访问一些服务，并且要求付款。如果认为是必要的或相反重要的，这个特别的问题可能通过将在鉴权中心对于一个给定用户产生的验证数据关联到为了将相应的证据信息绑定到中间方而参与用户鉴权的中间方来解决。

在本发明的整个鉴权过程的初始步骤中，中间方将用户标识符连同验证数据请求一起转送到鉴权中心。通常，用户标识符被伴有识别要求鉴权数据的中间方的信息。为了允许稍后将鉴权证据信息绑定到特殊的中间方，鉴权中心可以关于鉴权数据被发送给哪个中间方来存储用户标识符以及产生的鉴权数据，例如RAND，SALT和/或XRES。通过相互关联，在鉴权中心，对于给定用户产生的至少部分鉴权数据识别请求鉴权数据的中间方，相应的证据信息不能由任何其它方方使用。

当中间方被询问，以在鉴权中心之前提供证据信息时，它还发送用IDsp表示的它自己的身份，还被称为服务提供者身份到鉴权中心。接收证据信息时，鉴权中心将从中间方处获得的用户应答RES与存储的或者重新产生的期望应答XRES进行比较，以检验用户已经被鉴权。然而，为了检验证据信息是否实际上与给出证据信息的中间方有关，鉴权中心现在还可以参考鉴权数据被发送到的中间方，将接收的证据信息与存储的鉴权数据进行比较。

另一个解决将证据信息绑定到中间方的可能的方法是，将在鉴权中心处屏蔽随机询问SALT的产生与中间方IDSP关联。鉴权中心可以有一组不同的函数h，被用来从RAND产生SALT，并且优选地向每个中间方分配一个唯一的函数hSP。这个函数hSP由鉴权中心使用，用于从RAND产生屏蔽随机询问SALT，并且产生的SALT被发送到中间方。除非SALT值关于相应的IDSP在鉴权中心中被存储，函数hSP优选地由鉴权中心保密。当向鉴权中心给出证据信息，包括RES，RAND和用户标识符时，中间方还被要求发送它的关联IDSP和先前接收的屏蔽随机询问SALT。基于接收的IDSP，鉴权中心识别有关的函数hSP并且基于接收的随机询问RAND计算期望的屏蔽随机询问XSALT。为了检验证据信息来源于正确的中间方，XSALT与从中间方接收的SALT相比较。它们之间的匹配是验证证据信息的正确来源。保持唯一的中间方-特殊函数秘密，使得另外的参与者不可能使用该证据信息。

中间方：RAND，SALT，RES，用户标识符，IDSP

鉴权中心：用户标识符＝＝＞Ki

g(Ki，RAND)＝＝＞XRES

IDSP＝＝＞hSP

hSP(RAND)＝＝＞XSALT

？

检查：XRES＝RES

？

XSALT＝SALT

代替在屏蔽随机询问SALT产生中对于每个中间方使用唯一的函数hSP，公共的函数h能被鉴权中心对于几个或者全部的中间方使用。然而，函数h兼备随机询问RAND和中间方IDSP作为输入。这样，鉴权中心还基于在鉴权过程初始步骤中和用户标识符一起接收的IDSP计算SALT。用和如上所述一样的方法，中间方被要求在证据信息中包括IDSP和接收的SALT副本。一旦接收，鉴权中心基于接收的IDSP和RAND以及函数h计算期望的屏蔽随机询问XSALT。XSALT随后与从中间方发送的SALT相比较，并且它们之间的匹配检验证据信息的正确来源。保守公共的函数h秘密，使得另外的参与者仅仅基于RES并且RAND，不可能给出有效的证据信息。

中间方：RAND，SALT，RES，用户标识符，IDSP

鉴权中心：用户标识符＝＝＞Ki

g(Ki，RAND)＝＝＞XRES

h(RAND，IDSP)＝＝＞XSALT

？

检查：XRES＝RES

？

XSALT＝SALT

在又一个选择性的实施例中，随机询问RAND的产生能够基于中间方IDSP。请求用户鉴权时，鉴权中心产生一个随机预询问RAND′并且借助于RAND′和作为函数r输入的中间方IDSP计算询问RAND：

RAND＝r(IDSP，RAND′)。

这个随机询问RAND随后被用来产生期望应答RES并且连同屏蔽期望应答XRES′一起被发送到中间方。鉴权中心关于相关的用户标识符和中间方IDSP存储RAND′。当检验用户事实上已经由中间方鉴权时，鉴权中心采用IDSP和作为函数r输入的存储的RAND′计算期望的随机询问XRAND。XRAND随后与来源于中间方的RAND相比较，并且如果他们匹配，鉴权中心能够检验该证据信息是从正确的中间方发送的。同样，借助于RES和XRES的用户鉴权检验是正如上文那样执行的。当没有屏蔽随机询问SALT被用于用户鉴权过程时，这种解决方案尤其适合。

中间方：RAND，RES，用户标识符，IDSP

鉴权中心：用户标识符＝＝＞Ki

g(Ki，RAND)＝＝＞XRES

IDSP＝＝＞RAND′

r(RAND′，IDSP)＝＝＞XRAND

？

检查：XRES＝RES

？

XRAND＝RAND

上述讨论到的函数h，hSP和r优选地具有单向功能性，具有使得找到两个散列到一个共同值的截然不同的输入不可行的性质。

通常，XRES-RES比较检验具有用户标识符的给定用户是否已经被鉴权，并且XSALT-SALT/XRAND-RAND比较检验用户是否已经由具有身份IDSP的中间方进行了鉴权。

任选的加密方面

尽管在图4中没有说明，附加信息，例如保密密钥，完整性密钥和鉴权标记能够在鉴权中心产生并且被发送到中间方。在这种情况下，这个附加信息，例如保密密钥和完整性密钥能够在使用之前由应答进行修改。例如，鉴权中心能够基于计算的期望应答加密保护保密密钥和完整性密钥。密钥随后被发送和加密到中间方，其使得任何分配密钥的截取对于线路窃听和解密是无用的。中间方随后利用来源于用户的应答从加密信息提取保密密钥和完整性密钥。

另外，除AKA外的导出密钥的其他信息可以在鉴权中心和中间方之间被发送之前借助于期望应答被加密保护。

通常，在鉴权中心和中间方之间的包括屏蔽的期望应答，随机询问和屏蔽随机询问在内的鉴权参数的传输可能被加密保护。例如，在UMTS应用中，MAPSec协议可能被用来参数保护。

实现方面

以上描述的步骤，动作和算法可能以软件/硬件或者它们的组合的方式实现。对于硬件实现，ASIC(专用集成电路)技术或者任何其他的传统电路工艺可能被使用。尽管由于安全原因，专门的防篡改硬件可能是优选的，适当地受保护的软件实现常常是更方便的。

图6示意地说明根据本发明的优选实施例的鉴权中心的例子。鉴权中心50通常包括用于产生供鉴权用户使用的鉴权数据的鉴权算法单元10，证据验证单元20和数据库30。鉴权算法单元10包括询问数据产生器12，XRES产生器14和屏蔽功能部件16。正如名称所表明的，询问数据产生器12产生询问数据，包括随机询问和同样可选地屏蔽随机询问。XRES产生器14基于询问数据和来自数据库30的秘密用户关联的密钥产生期望应答XRES。屏蔽功能部件16分别基于任选的屏蔽随机询问和来自询问数据产生器12和XRES产生器14的期望应答产生屏蔽的期望应答。证据验证单元20优选地还在鉴权中心50中执行，用于检验来源于中间方的证据信息。这个证据验证单元20优选地利用存储在数据库30中的数据进行证据验证。除用户标识符和关联的密钥Ki信息之外，数据库30可以选择性地包括鉴权数据和/或这样的关于中间方识别信息IDSP存储的数据。鉴权中心50还包括一个具有相关电路的发送机/接收机40，用于与中间方和用户通信。

图7是一个根据本发明优选实施例的中间方的举例的示意性的方框图。中间方200包括用于鉴权用户的鉴权算法单元210。鉴权算法单元210包括屏蔽应答产生器212和比较单元214。屏蔽应答产生器212基于屏蔽函数和从用户接收的用户应答产生一个屏蔽用户应答。比较单元214被使用，以用于将来自发生器212的屏蔽用户应答和从鉴权中心发送的屏蔽期望应答进行比较。存储和/或转送单元270优选地还被安排在中间方200，用于存储和/或转送包括用户应答和用户标识符的证据信息，优选地还有从鉴权中心接收的或者由鉴权算法单元210产生的询问数据。例如当请求时或者一旦证据信息由中间方200获得，这个来自存储和/或转发单元270的证据信息被发送到鉴权中心。中间方200还包括具有关联电路的发送机/接收机240，用于与鉴权中心和用户通信。

示范性应用-移动通信系统

尽管本发明通常可适用于任何一种密钥询问-应答系统，本发明已经变为特别对移动通信系统有用。本发明现在将参考特殊的示范性应用和实施例，即移动通信系统进行描述，其中中间方是一个网络节点，管理移动单元(用户)正在漫游的移动/蜂窝网络。在这个特殊的举例中，鉴权中心是一个本地运营商鉴权中心(AuC)。移动单元例如通过预约或者预付账户与管理本地网络系统的本地运营商相关。这个用户-运营商关系典型地在用于GSM移动单元的SIM卡或者被用于UMTS移动单元的UMTS SIM卡(USIM)中被清楚表示。可是应该理解在更一般的移动通信应用中，中间方可以是任何一种类型的服务提供者，包括受访网络节点，本地运营商自身的MSC/VLR节点，网络服务提供者，媒体内容供应商和付款中介。

图8是一个作为具有漫游在受访网络系统中的相关移动单元的本地网络系统示出的鉴权系统的示范性实施例的示意性的方框图。本地系统100通常包括一或多个网络节点160，其中示出了一个。例如，网络节点160可以是一个MSC(移动通信交换中心)或者一个基站(BS)。在图8的举例中，网络节点160包括HLR(本地位置寄存器)130。这个HLR130包括用户关联到本地系统100的信息，例如用户标识符和相应的密钥Ki。HLR130可能选择性地包括鉴权数据和/或这样的参考中间方识别存储的数据。另外，网络节点160还包括鉴权中心(AuC)150，管理和参与用户鉴权。AuC150包括实现鉴权算法的鉴权算法单元10，和用于验证来自受访系统200的证据信息的证据验证单元20。当被执行时，鉴权算法产生本发明有关的鉴权数据。本地网络节点160另外被配备有具有关联电路的发送机/接收机140，用于发送产生的随机询问，屏蔽的期望应答和可能地屏蔽随机询问到漫游或者受访系统200的网络节点260。

受访系统200同样地包括一或多个网络节点260，其中在图8中示出一个。受访系统200的网络节点260优选地包括VLR(访问位置寄存器)230和鉴权算法210。此外，发送机/接收机240被安排用于从本地系统100接收鉴权参数并且将接收的随机询问转送到漫游移动单元400，而且发送证据信息到本地系统的鉴权中心150。

受访网络节点260优选地还包括一个存储和/或转发单元270，用于存储从移动单元400接收的用户应答和可能地来自本地系统100的随机询问。然而，用户应答的存储可能作为替代或者补充，在可能被访问系统200的运营商访问以用于稍后的用户鉴权验证过程中的信息恢复的另一个位置被提供。当请求时，存储在这个单元260中的数据被发送到鉴权中心。

在图8的特殊的举例中，用户是一个漫游移动单元400，由受访或者漫游网络系统200的网络节点260鉴权。正如如上所述地，移动单元400优选地包括配备有密钥Ki415的SIM(USIM)480和鉴权算法单元410。这个在单元410中实现的鉴权算法可能例如是在GSM和UMTS中的AKA协议的A3算法。当被执行时，该鉴权算法优选地基于由受访系统200处转送到随机询问和SIM480的密钥Ki415计算用户应答。移动单元400随后发送用户应答到受访系统网络节点260，在那里执行最终鉴权。

图9示出根据本发明的包括AuC150在内的本地网络系统300的另一个示范性的实施例。在这个实施例中，本地系统300用两个网络节点360，365，其中每个配备有各自的发送机/接收机340，345来说明。第一个节点360包括HLR130，而具有鉴权算法单元10和证据验证装置20的AuC150被安排在第二节点365中。第一个节点360可以是具有作为BS的第二节点365的MSC。换句话说，第一节点360和第二节点365可以是MSC：s或者BS：s，或者第一节点360可以是具有作为MSC的第二节点365的BS。

图10是一个根据本发明，本地网络系统的又一个示范性的实施例的示意性的方框图，具有在几个网络节点之间分配的本地鉴权算法。在图10中明确地示出两个网络节点560，565。在这个实施例中，AuC550被分配在两个节点560，565之间。这意味着整个鉴权算法的一部分510在第一个节点560实现，而鉴权算法的剩余部分515在第二节点565，或者几个其他的节点实现。AuC550的检验验证单元20优选地在安放HLR130的网络节点560中实现，由此访问保存在HLR130的数据。

受访系统同样可以具有在不同的网络节点分开的VLR和鉴权算法和/或在不同的节点之间分配的鉴权算法。

另外的有关常规移动通信系统中的鉴权过程的详细信息，可以参考Internet工程工作小组的网络草案资料中的J.Arkko，H.Haverinen撰写的“EAP AKA Authentication”，以及先前提到的由H.Haverinen撰写的网络草案资料“EAP SIM Authentication”。

举例-充当鉴权中心的中介

正如先前指出的，鉴权中心不必是特殊的本地运营商的鉴权中心，而是可以是充当常规鉴权中心或者身份中心的中介750，用于多个不同的网络运营商，正如在图11中示意地示出的。在这种情况下，鉴权中心或者身份中心，中介750通常被信用有来自不同的网络运营商的用户标识信息和密钥信息730，735，因此使得中介750参与在不同的中间方200-1到200-N处在用户鉴权成为可能。

通常，当用户400想要在给定的中间方200之前鉴权他/她本身时，用户发送它的用户标识符和如果需要的话一些表示本地运营商身份IDOP的信息到中间方。中间方随后在鉴权数据请求中将用户标识符和IDOP连同识别中间方IDSP的信息转送到鉴权中心中介750。鉴权中心中介750基于接收的IDOP和用户标识符识别与用户400有关的密钥Ki，然后根据本发明的鉴权算法产生(屏蔽)鉴权数据。剩余的鉴权(和检验验证)过程基本上相应于上述发明的描述。

在一个典型的情况中，用户400首先需要在它的本地运营商之前进行鉴权，并且因此发送它的用户标识符到本地运营商的MSC/VLR节点(这里充当中间方)，其在鉴权数据请求中将用户标识符和它自身的ID转送到鉴权中心中介750。鉴权中心中介750产生鉴权需要的鉴权数据。一旦用户最后已经被鉴权，MSC/VLR可以存储相应的证据信息以用于稍后的恢复，如果必要的话，作为用户鉴权的证据。如果随后想要访问例如一些由网络服务提供者提供的网络服务，用户被请求发送它的用户标识符和表示本地运营商的身份IDOP的信息到网络服务提供者。如果网络服务提供者独立于本地运营商(另一个中间方)，仍然可以具有与本地运营商的关系，并且向本地运营商查询用户是否已经被鉴权的信息。换句话说，网络服务提供者在它自身的鉴权数据请求中发送IDOP和用户标识符到中介750，并且稍后存储它自身的证据信息。相应地，类似的过程可以对于内容供应商，受访网络节点或者任何一种其他的中间方执行。

充当常规鉴权中心的中介还可以被使用，用于导出密钥，用于用户和中间方之间的端对端的加密。在这种情况下，这些导出的密钥可以对网络运营商保密。用户随后可以在例如预约由中间方提供的服务或者对使用的服务付款时获得端对端的加密密钥。

上面描述的实施例仅仅作为举例给出，并且很清楚本发明不限于此。例如，很清楚鉴权中心中的检验评估阶段不是绝对必要的，由于中间方可以被询问以提供鉴权证据信息的起码的事实可以足以防止用户鉴权的欺诈宣称。保持在此处公开和要求的基本原则的另外的修改，改变和改进落入本发明的范围。

Claims

1.一种基于询问-应答的用户鉴权方法，包括步骤：

-在鉴权中心通过应答函数从密钥和随机询问产生期望应答；

-在所述鉴权中心，响应所述期望应答通过屏蔽函数产生屏蔽的期望应答；

-发送所述屏蔽期望应答和所述随机询问到一个中间方；

-所述中间方发送所述随机询问到用户；

-在所述用户，响应所述密钥和所述随机询问通过所述应答函数产生一个用户应答；

-发送所述用户应答到所述中间方；

-在所述中间方，响应所述用户应答，通过与所述鉴权中心相同的屏蔽函数产生屏蔽的用户应答；

-在所述中间方，验证所述屏蔽用户应答对应于所述屏蔽期望应答。

2.根据权利要求1的方法，进一步包括所述中间方管理包括至少从所述用户接收的所述用户应答和相应的用户标识信息在内的鉴权证据信息的步骤，以允许所述中间方证明所述用户已经被鉴权。

3.根据权利要求2的方法，其中所述鉴权证据信息进一步包括所述随机询问。

4.根据权利要求1的方法，其中所述产生屏蔽期望应答和产生屏蔽用户应答的步骤还响应于用于增加安全性的公用屏蔽随机询问被执行。

5.根据权利要求4的方法，其中所述屏蔽随机询问从所述接收的随机询问获得。

6.根据权利要求2的方法，进一步包括步骤：

-所述中间方发送鉴权证据信息到所述鉴权中心；以及

-所述鉴权中心在所述中间方基于所述接收的证据信息验证所述用户是否已经被鉴权。

7.根据权利要求6的方法，其中由所述鉴权中心执行的所述验证步骤包括，将所述接收的证据信息的用户应答与由所述鉴权中心提供的相应的期望应答进行比较的步骤。

8.根据权利要求7的方法，其中所述鉴权证据信息进一步包括随机询问，并且所述方法进一步包括在所述鉴权中心基于所述用户标识检索所述密钥以及从所述检索的密钥和所述随机询问重新计算所述期望应答的步骤。

9.根据权利要求2的方法，进一步包括为了将相应的证据信息绑定到所述中间方，由所述鉴权中心为给定的用户产生的鉴权数据关联到所述中间方的步骤。

10.根据权利要求9的方法，其中所述鉴权数据在所述鉴权中心与识别所述中间方的识别信息相互关联，并且在所述鉴权中心，所述鉴权数据随后与接收的证据信息的表示进行比较，用于验证所述证据信息与所述中间方关联。

11.根据权利要求10的方法，其中所述鉴权数据至少包括所述随机询问，所述期望应答和被用来产生所述屏蔽期望应答的屏蔽随机询问和所述屏蔽用户应答中的一个。

12.根据权利要求10的方法，其中所述鉴权数据包括随机询问数据，并且所述询问数据的产生被相互关联到所述中间方。

13.根据权利要求12的方法，其中所述询问数据由所述中间方的唯一的函数产生。

14.根据权利要求12的方法，其中所述询问数据基于识别所述中间方的识别信息产生。

15.根据权利要求1的方法，进一步包括步骤：

-借助于所述期望应答将从所述鉴权中心发送到所述中间方的数据进行加密；以及

-在所述中间方借助于所述接收的用户应答对所述加密数据进行解密。

16.根据权利要求1的方法，其中所述鉴权中心和所述中间方位于移动通信系统中的网络节点。

17.根据权利要求1的方法，其中所述鉴权中心是一个充当常规鉴权中心或者身份中心的中介。

18.一种基于询问-应答的用户鉴权系统包括：

-用于在鉴权中心通过应答函数从密钥和随机询问产生期望应答的装置；

-用于在所述鉴权中心，响应所述期望应答通过屏蔽函数产生屏蔽的期望应答的装置；

-用于发送所述屏蔽期望应答和所述随机询问到一个中间方的装置；

-用于发送所述随机询问到用户的装置；

-用于在所述用户，响应所述密钥和所述随机询问通过所述应答函数产生一个用户应答的装置；

-用于发送所述用户应答到所述中间方的装置；

-用于在所述中间方，响应所述用户应答通过与所述鉴权中心相同的屏蔽函数产生屏蔽的用户应答的装置；以及

-用于在所述中间方，验证所述屏蔽用户应答相应于所述屏蔽期望应答的装置。

19.根据权利要求18的系统，进一步包括用于在所述中间方管理包括至少从所述用户接收的所述用户应答和相应的用户标识信息在内的鉴权证据信息的装置，以允许所述中间方证明所述用户已经被鉴权。

20.根据权利要求19的系统，其中所述鉴权证据信息进一步包括所述随机询问。

21.根据权利要求18的系统，其中所述产生屏蔽期望应答的装置和用于产生屏蔽用户应答的装置还基于用于增加安全性的公用屏蔽随机询问工作。

22.根据权利要求19的系统，进一步包括：

-用于从所述中间方向所述鉴权中心发送鉴权证据信息的装置；以及

-在所述鉴权中心，基于所述接收的证据信息验证所述用户是否已经被鉴权的验证装置。

23.根据权利要求22的系统，其中所述验证装置包括将所述接收证据信息的用户应答与由所述鉴权中心提供的相应期望应答进行比较的装置。

24.根据权利要求23的系统，其中所述鉴权证据信息进一步包括所述随机询问，并且所述系统进一步包括在所述鉴权中心基于所述用户标识检索所述密钥的装置以及在所述鉴权中心从所述检索的密钥和所述随机询问重新计算所述期望应答的装置。

25.根据权利要求19的系统，进一步包括由所述鉴权中心将为给定的用户产生的鉴权数据关联到所述中间方，以将相应的证据信息绑定到所述中间方的装置。

26.根据权利要求18的系统，进一步包括步骤：

-借助于所述期望应答将从所述鉴权中心发送到所述中间方的数据进行加密的装置；以及

-在所述中间方借助于所述接收的用户应答对所述加密数据进行解密的装置。

27.一种用于在中间方参与关联用户的鉴权的鉴权中心，所述鉴权中心包括：

-用于至少部分地基于与所述用户共享的密钥产生期望应答的装置；

-用于通过屏蔽函数屏蔽所述期望应答，以产生屏蔽期望应答的屏蔽装置；以及

-用于发送所述屏蔽期望应答到所述中间方的装置。

28.根据权利要求27的鉴权中心，其中所述屏蔽装置是可操作的，用于基于用于增加安全性的公用屏蔽随机询问屏蔽所述期望应答。

29.根据权利要求27的鉴权中心，进一步包括用于借助于所述期望应答，加密保护从所述鉴权中心发送到所述中间方的装置。

30.根据权利要求27的鉴权中心，进一步包括：

-用于使用为给定的用户产生的鉴权数据与识别所述中间方的识别信息相互关联的装置；以及

-用于将所述鉴权数据与从所述中间方接收的证据信息表示进行比较，用于验证所述证据信息与所述中间方有关的装置。

31.根据权利要求27的鉴权中心，其中所述鉴权中心是一个充当常规鉴权中心或者身份中心的中介。

32.由服务提供者管理的网络节点，用于鉴权与鉴权中心关联的用户，所述网络节点包括：

-用于从所述鉴权中心接收随机询问和由屏蔽函数屏蔽的期望应答的装置；

-用于相应于所述期望应答，从所述用户接收用户应答的装置；

-用于通过所述屏蔽函数产生屏蔽用户应答的产生装置；用于

-验证所述屏蔽用户-应答相应于所述屏蔽期望应答的装置。

33.根据权利要求32的网络节点，进一步包括用于在中间方管理包括至少从所述用户接收的所述用户应答和相应的用户标识信息在内的鉴权证据信息的装置，以允许所述中间方检验所述用户已经被鉴权。

34.根据权利要求33的网络节点，其中所述鉴权证据信息进一步包括所述随机询问，以参与检验所述用户已经由所述中间方鉴权。

35.根据权利要求32的网络节点，其中所述产生装置是可操作的，用于基于屏蔽随机询问产生所述屏蔽用户应答，所述屏蔽随机询问还被所述鉴权中心使用，用于屏蔽所述期望应答。

36.根据权利要求32的网络节点，进一步包括用于从所述中间方发送证据信息到所述鉴权中心的装置。