CN102223231B - M2m终端认证系统及认证方法 - Google Patents

Abstract

本发明公开了一种M2M终端认证系统及其实现认证的方法，本发明系统采用了分层认证机制，首先实现运营商网络对M2M终端网关的认证，认证包括对设备的认证和对用户的认证，确保了M2M终端网关不被恶意用户篡改，攻击或克隆；然后，实现M2M终端网关对M2M终端的认证，认证同样也包括对设备的认证和对用户的认证，通过本发明M2M终端认证系统，大大减少了运营商网络由于支持M2M业务而大大增长的信令负荷，从而保证了M2M服务的服务质量，进而保证了通信质量。

Description

M2M终端认证系统及认证方法

技术领域

本发明涉及机器对机器(M2M)技术，尤其涉及一种M2M终端认证系统及认证方法。

背景技术

随着M2M技术的发展和成熟，M2M用途的多元化，M2M终端的数量将有急剧的增长。据估计，M2M的终端数将达到手持终端数量的两个数量级。

目前，手持终端在3GPP网络中认证是基于共享密钥的双向认证：

手机终端侧和网络侧都预存共享密钥，每次终端需要接入网络，网络都需要根据它跟手持终端的共享密钥生成认证向量RAND‖XRES‖CK‖IK‖AUTN，RAND是随机数，CK是加密密钥，IK是完整性密钥，AUTN是网络认证令牌，XRES是计算期望令牌，网络将RAND，AUTN发给终端，终端使用RAND，AUTN完成对网络的认证，并返回相应RES给网络，网络用RES和期望令牌XRES匹配，完成了对终端的认证，双向认证后，终端和网络之间有共享密钥CK，IK.

在3GPP网络中，如果每个M2M终端还按照现有认证方式，分别独立地与网络完成鉴权和传送数据，那么，3GPP网络将出现面临无法处理如此庞大的用户请求的局面，从而严重降低了M2M服务的服务质量，同时，人与人之间的通信质量也会因此受到很大的影响。

由于当前的3GPP的网络认证方式，难以满足以后数量越来越庞大的M2M终端，而且，由于所需的信令数量的大幅增加，不能保证M2M服务的服务质量，从而降低了通信质量。

发明内容

有鉴于此，本发明的主要目的在于提供一种M2M终端认证系统及其实现认证的方法，能够大幅度减少所需要的信令数量，保证M2M服务的服务质量，从而保证通信质量。

为达到上述目的，本发明的技术方案是这样实现的：

一种M2M终端认证系统，该系统主要包括机器对机器M2M终端网关、M2M终端和运营商网络，其中，

M2M终端网关，用于根据设备商分配的密钥及运营商分配的密钥，分别与运营商网络和M2M终端完成相互认证；

M2M终端，用于根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证；

运营商网络，用于根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证。

所述M2M终端网关中设置有设备商分配的密钥Kv，运营商分配的密钥Ko；

所述M2M终端网关，具体用于与运营商网络之间基于密钥Kv和密钥Ko进行双向认证。

所述M2M终端中存储有设备商分配的密钥Kv’，以及运营商分配的密钥Ko’；

所述M2M终端，具体用于与M2M终端网关基于共享的密钥Kv’和密钥Ko’进行双向认证。

所述M2M终端具体用于：

所述运营商网络的认证服务器从设备商请求获得设备商为M2M终端分配的密钥Kv’；

所述运营商网络的认证服务器将所述Kv’和运营商分配的密钥Ko’，或者f(Kv’，Ko’)，发送给M2M终端网关；所述f(Kv’，Ko’)为以所述Kv’和所述Ko’做为参数的函数；

所述M2M终端网关和M2M终端根据所述Kv’和所述Ko’或f(Kv’，Ko’)，实现M2M终端和M2M终端网关间的双向认证。

所述M2M终端网关和M2M终端之间的通信方式，包括但不限于以下之一：无线局域网WIFI、蓝牙、局域网。

包括至少一个M2M终端，连接到同一个M2M终端网关的M2M终端属于同一个组。

一种M2M终端认证方法，包括：

M2M终端网关根据设备商分配的密钥及运营商分配的密钥，与运营商网络完成相互认证；

M2M终端根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证。

在所述M2M终端网关中设置有设备商分配的密钥Kv，以及运营商分配的密钥Ko；

所述M2M终端网关与运营商网络完成相互认证包括：

所述运营商网络的认证服务器从设备商请求获得M2M终端网关的密钥Kv；

所述M2M终端网关经由运营商网络向运营商网络的认证服务器发出接入请求；

所述运营商网络的认证服务器根据所述接入请求中携带的M2M终端网关的标识，获得该M2M终端网关的密钥Kv和密钥Ko；

所述运营商网络和M2M终端网关根据设备商分配的密钥及运营商分配的密钥，进行认证。

在所述在M2M终端中预先设置设备商分配的密钥Kv’和运营商分配的密钥Ko’；

所述M2M终端与M2M终端网关完成相互认证包括：

所述运营商网络的认证服务器从设备商请求获得设备商为M2M终端分配的密钥Kv’；

所述运营商网络的认证服务器将所述Kv’和运营商分配的密钥Ko’，或者f(Kv’，Ko’)，发送给M2M终端网关；所述f(Kv’，Ko’)为以所述Kv’和所述Ko’做为参数的函数；

所述M2M终端网关和M2M终端根据所述Kv’和所述Ko’或f(Kv’，Ko’)，实现M2M终端和M2M终端网关间的双向认证。

从上述本发明提供的技术方案可以看出，本发明系统采用了分层认证机制，首先实现运营商网络对M2M终端网关的认证，认证包括对设备的认证(设备商分配的密钥)及设备身份(运营商分配的密钥)的认证，确保了M2M终端网关不被恶意用户篡改，攻击或克隆；然后，实现M2M终端网关对M2M终端的认证，认证同样也包括对M2M终端的认证和M2M终端身份的认证，通过本发明M2M终端认证系统，大大减少了运营商网络由于支持M2M业务而大大增长的信令负荷，从而保证了M2M服务的服务质量，进而保证了通信质量。

附图说明

图1为本发明M2M终端认证系统的组成结构示意图；

图2为本发明M2M终端网关与运营商网络间的相互认证的实施例的流程示意图；

图3为本发明M2M终端和M2M终端网关之间的相互认证的实施例的流程示意图。

具体实施方式

图1为本发明M2M终端认证系统的组成结构示意图，如图1所示，主要包括M2M终端网关、M2M终端和运营商网络，其中，

M2M终端网关，用于根据设备商分配的密钥及运营商分配的密钥，分别与运营商网络和M2M终端完成相互认证。

M2M终端，用于根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证。

运营商网络，用于根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证。

M2M终端网关和M2M终端之间的通信方式可以但不限于无线保真(WIFI，WirelessFidelity)，蓝牙(Bluetooth)，局域网(LAN，LocalAreaNetwork)等。

M2M终端网关可以是一个小型的设备，比如放在家中，作为智能家居的家庭网关，也可以是比较大型的设备，安置在矿山、牧场、农场里。本发明系统中，所有的M2M终端的认证请求全部终结于M2M终端网关，不再向运营商的无线基站转发，这样最大程度上降低了信令开销。

M2M终端网关与运营商网络间的相互认证包括设备的认证和用户的认证，M2M终端网关具体用于：其中设置有设备商分配的密钥Kv(也称为设备密钥Kv)，运营商分配的密钥Ko(也称为用户密钥Ko)，M2M终端网关和运营商网络之间的双向认证基于永久共性密钥Kv和密钥Ko实现。其中，密钥Kv和密钥Ko均存储在M2M终端网关的可信环境中，即外界无法获知，运营商可以通过其他可信通道从设备商获得密钥Kv。

这样，M2M终端网关和SIM卡被绑定在一起，SIM卡被盗用或者克隆M2M网关终端都不会导致非法接入。

当M2M终端网关不存在时，以上方式也适合于网络跟M2M终端的直接认证。

M2M终端和M2M终端网关之间的相互认证包括用户级认证和设备级的认证。M2M终端具体用于：其中存储有设备商分配的密钥Kv’，以及运营商分配的密钥Ko’，M2M终端和M2M终端网关的双向认证基于共享的密钥Kv’和密钥Ko’。其中，密钥Kv’和密钥Ko’都存储在M2M终端的可信环境中，运营商可以从设备商处获得密钥Kv’，而运营商将密钥Kv’和密钥Ko’下载到M2M终端网关。

所述M2M终端具体用于：所述运营商网络的认证服务器从设备商请求获得设备商为M2M终端分配的密钥Kv’；所述运营商网络的认证服务器将所述Kv’和运营商分配的密钥Ko’，或者f(Kv’，Ko’)，发送给M2M终端网关；所述f(Kv’，Ko’)为以所述Kv’和所述Ko’做为参数的函数；所述M2M终端网关和M2M终端根据所述Kv’和所述Ko’或f(Kv’，Ko’)，实现M2M终端和M2M终端网关间的双向认证。

如图1所示，连接到同一个M2M终端网关的M2M终端(即图1中M2M终端1、M2M终端2…M2M终端i)属于同一个组。M2M终端换组是指，M2M终端连接到另一个M2M终端网关，此时，运营商网络可以将M2M终端的密钥Kv’和密钥Ko’下载到新连接的M2M终端网关中。

如图1所示，本发明系统采用了分层认证机制，首先实现运营商网络对M2M终端网关的认证，认证包括对设备的认证和对用户的认证，确保了M2M终端网关不被恶意用户篡改，攻击或克隆；然后，实现M2M终端网关对M2M终端的认证，认证同样也包括对设备的认证和对用户的认证，通过本发明M2M终端认证系统，大大减少了运营商网络由于支持M2M业务而大大增长的信令负荷，从而保证了M2M服务的服务质量，进而保证了通信质量。

下面结合实施例对本发明系统实现认证的方法进行详细描述。

图2为本发明M2M终端网关与运营商网络间的相互认证的实施例的流程示意图，如图2所示，包括以下步骤：

步骤200：在M2M终端网关中预先设置设备商分配的密钥Kv和运营商分配的密钥Ko。这里，密钥Kv和密钥Ko需要存储在M2M终端网关的可信任环境中。

步骤201：运营商网络的认证服务器向设备商请求M2M终端网关的密钥Kv。本步骤中，运营商网络的认证服务器需要向设备制造商提供唯一能识别M2M终端网关的标识，比如M2M终端网关的设备序列号等。

步骤202：设备制造商向运营商网络的认证服务器返回请求的M2M终端网关的密钥Kv。本步骤中，设备制造商和运营商网络的认证服务器之间的通信需要相互认证，并且它们之间的信息的传输是经过加密的即安全的，具体实现可以采用现有很多方法，属于本领域技术人员的惯用技术手段，这里不再赘述。

步骤203：M2M终端网关向运营商网络发出接入请求，在接入请求中携带有M2M终端网关的用户标识，比如国际移动用户识别码(IMSI，InternationalMobileSubscriberIdentity)等。

步骤204：运营商网络向认证服务器转发接入请求。

步骤205：认证服务器根据M2M终端网关的用户标识，找到该M2M终端网关的密钥Kv和密钥Ko，并根据他们生成认证向量。本步骤的具体实现可以采用现有方式实现，如现有的3GPP网络的认证方式-AKA，以及新出现的方式等，这里并不用于限定本发明的保护范围。

步骤206：认证服务器将AKA认证向量(RAND‖XRES‖CK‖IK‖AUTN)转发给运营商网络。

步骤207：运营商网络和M2M终端网关根据设备商分配的密钥及设备身份(运营商分配的密钥)进行密钥协商机制(AKA，AuthenticationandKeyAgreement)认证。

通过图2所示的流程，M2M终端网关和运营商网络建立了信任关系，M2M终端网关和运营商网络可以通过这种信任关系建立加密通道来保护信令和媒体数据。

图3为本发明M2M终端和M2M终端网关之间的相互认证的实施例的流程示意图，如图3所示，包括以下步骤：

步骤300：在M2M终端中预先设置设备商分配的密钥Kv’和运营商分配的密钥Ko’，这里，密钥Kv’和密钥Ko’存储在M2M终端的可信任环境中。

步骤301：运营商网络的认证服务器向设备制造商请求M2M终端的密钥Kv’。本步骤中，运营商网络的认证服务器需要向设备制造商提供唯一能识别M2M终端的标识，比如M2M终端的设备序列号等。

步骤302：设备制造商向运营商网络的认证服务器提供请求的M2M终端的密钥Kv’。本步骤中，设备制造商和运营商网络的认证服务器之间的通信需要相互认证，并且它们之间的信息的传输是经过加密的即安全的。

步骤303：运营商网络的认证服务器将M2M终端的密钥Kv’和运营商分配的密钥Ko’，或者f(Kv’，Ko’)发送给运营商网络。

本步骤中，f(Kv’，Ko’)是一种函数，该函数以密钥Kv’和密钥Ko’做为参数，推导出一个子密钥，以这个子密钥作为共享密钥完成相互间的认证，效果等同于以密钥Kv’和密钥Ko’作为共享密钥。这里需要M2M终端也做一样的操作，推导出一个相同的子密钥。

步骤304：运营商网络将M2M终端的密钥Kv’和运营商密钥Ko’，或者f(Kv’，Ko’)发送给M2M终端网关。

步骤305：M2M终端网关和M2M终端使用共享密钥即(设备商分配的密钥)Kv’和(设备商分配的密钥)Ko’，或者f(Kv’，Ko’)，实现M2M终端和M2M终端网关间的双向认证。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种M2M终端认证系统，其特征在于，该系统主要包括机器对机器M2M终端网关、M2M终端和运营商网络，其中，

M2M终端网关，用于根据设备商分配的密钥及运营商分配的密钥，分别与运营商网络和M2M终端完成相互认证；

M2M终端，用于根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证；

运营商网络，用于根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证；

其中，所述认证包括对设备的认证和对用户的认证。

2.根据权利要求1所述的M2M终端认证系统，其特征在于，所述M2M终端网关中设置有设备商分配的密钥Kv，运营商分配的密钥Ko；

所述M2M终端网关，具体用于与运营商网络之间基于密钥Kv和密钥Ko进行双向认证。

3.根据权利要求1所述的M2M终端认证系统，其特征在于，所述M2M终端中存储有设备商分配的密钥Kv’，以及运营商分配的密钥Ko’；

所述M2M终端，具体用于与M2M终端网关基于共享的密钥Kv’和密钥Ko’进行双向认证。

4.根据权利要求3所述的M2M终端认证系统，其特征在于，所述M2M终端具体用于：

所述运营商网络的认证服务器从设备商请求获得设备商为M2M终端分配的密钥Kv’；

所述运营商网络的认证服务器将所述Kv’和运营商分配的密钥Ko’，或者f(Kv’,Ko’)，发送给M2M终端网关；所述f(Kv’,Ko’)为以所述Kv’和所述Ko’做为参数的函数；

所述M2M终端网关和M2M终端根据所述Kv’和所述Ko’或f(Kv’,Ko’)，实现M2M终端和M2M终端网关间的双向认证。

5.根据权利要求1～4任一项所述的M2M终端认证系统，其特征在于，所述M2M终端网关和M2M终端之间的通信方式，包括但不限于以下之一：无线局域网WIFI、蓝牙、局域网。

6.根据权利要求5所述的M2M终端认证系统，其特征在于，包括至少一个M2M终端，连接到同一个M2M终端网关的M2M终端属于同一个组。

7.一种M2M终端认证方法，其特征在于，包括：

M2M终端网关根据设备商分配的密钥及运营商分配的密钥，与运营商网络完成相互认证；

M2M终端根据设备商分配的密钥及运营商分配的密钥，与M2M终端网关完成相互认证；

其中，所述认证包括对设备的认证和对用户的认证。

8.根据权利要求7所述的方法，其特征在于，在所述M2M终端网关中设置有设备商分配的密钥Kv，以及运营商分配的密钥Ko；

所述M2M终端网关与运营商网络完成相互认证包括：

所述运营商网络的认证服务器从设备商请求获得M2M终端网关的密钥Kv；

所述M2M终端网关经由运营商网络向运营商网络的认证服务器发出接入请求；

所述运营商网络的认证服务器根据所述接入请求中携带的M2M终端网关的标识，获得该M2M终端网关的密钥Kv和密钥Ko；

所述运营商网络和M2M终端网关根据设备商分配的密钥及运营商分配的密钥，进行认证。

9.根据权利要求7所述的方法，其特征在于，在所述在M2M终端中预先设置设备商分配的密钥Kv’和运营商分配的密钥Ko’；

所述M2M终端与M2M终端网关完成相互认证包括：

所述运营商网络的认证服务器从设备商请求获得设备商为M2M终端分配的密钥Kv’；

所述运营商网络的认证服务器将所述Kv’和运营商分配的密钥Ko’，或者f(Kv’,Ko’)，发送给M2M终端网关；所述f(Kv’,Ko’)为以所述Kv’和所述Ko’做为参数的函数；

所述M2M终端网关和M2M终端根据所述Kv’和所述Ko’或f(Kv’,Ko’)，实现M2M终端和M2M终端网关间的双向认证。