WO2011017876A1 - 一种对终端进行重鉴权的方法和系统 - Google Patents

Description

一种对终端进行重鉴权的方法和系统 技术领域

本发明涉及无线通讯中的鉴权技术， 尤其涉及一种对终端进行重鉴权 的方法和系统。 背景技术

全球 波接入互操作 '1 "生 ( WiMAX, World Interoperability for Microwave Access )是一项基于 IEEE 802.16系列标准的宽带无线接入城域网（ WMAN, Wireless Metropolitan Area Network )技术， WiMAX是针对 波和毫米波频 段提出的一种新的空中接口标准。 WiMAX的基本目标是在城域网接入环境 下， 确保不同厂商的无线设备互连互通， 主要用于为家庭、 企业以及移动 通信网络提供 "最后一公里" 的高速宽带接入， 以及将来的个人移动通信 业务。 相比于其他宽带无线接入技术， WiMAX具有覆盖范围广、 可扩展性 强以及业务质量（QoS )可控制等优点， 具体如下：

( 1 )高速移动， WiMAX终端可以在车速移动的场景中进行无线接入， 通常认为可以达到 120km/h。

( 2 )宽带接入， 终端可以在不同的载波宽带和调制方式下获得不同的 接入速度， 最高速率可以达到 30Mbit/s。

( 3 )覆盖范围广， 覆盖范围达到几 km量级。

( 4 )主要提供数据业务， 面向个人用户提供数据接入业务， 也可以提 供话音业务。

WiMAX产业链逐步完善， 从系统设备到终端， WiMAX上下游供应链 都在为该技术的发展做着不懈的努力， 将共同促进 WiMAX市场的商业化 进程。 目前， WiMAX终端的鉴权方式都采用 EAP协议， 市场上主要采用的 是 EAP-TTLS/MSCHAPv2和 EAP-TLS这两种 EAP鉴权方法。 WiMAX协 议标准规定， WiMAX终端在一定时间之后需要进行重鉴权， 所以 EAP鉴 权过程可以分为两种： EAP初始鉴权过程和 EAP重鉴权过程。

图 1是现有 WiMAX终端初始鉴权的流程图， 图 1以 EAP-TLS为例显 示了现有 EAP初始鉴权过程。

图 2是现有 WiMAX终端重鉴权的流程图， 图 2以 EAP-TLS为例显示 了现有 EAP重鉴权过程。

对比图 1和图 2, 可以看到， EAP重鉴权过程相比 EAP初始鉴权过程， 仅仅多了一条发起重鉴权的 EAP-start消息， 其余过程是完全一样的。 而这 个现有 EAP重鉴权过程， 存在如下的缺点：

1 ) 交互信息相对较多， 重鉴权速度相对较慢。

2 )如果运营商设定的重鉴权时间较短， 比如 5分钟， 在大规模商用的 场景下， AAA服务器将面临非常大的压力。

3 )降低了 WiMAX终端的稳定性， 在信号强度较差的情况， 容易出现 重鉴权接入困难或掉线的情况。 发明内容

本发明的主要目的在于提供一种终端进行重鉴权的方法和系统， 能够 优化现有 WiMAX终端在重鉴权的接入过程， 提高 WiMAX终端重鉴权速 度、 緩解 AAA服务器压力。

本发明提出了一种对终端进行重鉴权的方法， 包括以下步骤： 固件将鉴权开始消息发送至鉴权客户端；

鉴权客户端生成鉴权响应消息，并将所述鉴权响应消息发送至 AAA服 务器；

AAA服务器将预定算法的挑战消息发送至所述鉴权客户端； 鉴权客户端将与所述预定算法的挑战消息相对应的预定算法的响应消 息发送至所述 AAA服务器；

AAA服务器将鉴权成功消息发送至所述鉴权客户端；

其中， 所述鉴权响应消息携带有终端的标识信息。

所述 AAA服务器将鉴权成功消息发送至鉴权客户端之后，该方法还包 括：

所述鉴权客户端根据所述预定算法的挑战消息、 挑战报文标识符和共 享密钥计算 MSK密钥， 并将计算得到的密钥发送至所述固件。

在固件将鉴权开始消息发送至鉴权客户端之后，所述 AAA服务器将预 定算法的挑战消息发送至鉴权客户端之前， 该方法还包括：

所述固件通知鉴权客户端所使用的算法为预定算法。

将所述鉴权响应消息发送至 AAA服务器包括：

所述鉴权客户端依次经由所述固件、 基站和网关将所述鉴权响应消息 传输至所述 AAA服务器。

所述 AAA服务器将预定算法的挑战消息发送至所述鉴权客户端包括： 所述 AAA服务器依次经由所述网关、所述基站和所述固件将所述预定 算法的挑战消息传输至所述鉴权客户端。

所述鉴权客户端将与所述预定算法的挑战消息相对应的预定算法的响 应消息发送至所述 AAA服务器包括：

所述鉴权客户端依次经由所述固件、 所述基站和所述网关将所述预定 算法的响应消息传输至所述 AAA服务器。

所述 AAA服务器将鉴权成功消息发送至所述鉴权客户端包括： 所述 AAA服务器依次经由所述网关、所述基站和所述固件将所述鉴权 成功消息传输至所述鉴权客户端。 当所述鉴权响应消息从所述网关传输至所述 AAA服务器时，将所述鉴 权响应消息封装为所述 AAA服务器识别的信息，而当所述鉴权响应消息从 所述 AAA服务器传输至所述网管时， 对所述鉴权响应消息进行解封装。

所述终端为 WiMAX终端， 包括所述固件和所述鉴权客户端， 其中， 所述固件为 WiMAX芯片。

一种对终端进行重鉴权的系统， 包括： 固件、 鉴权客户端及 AAA服务 器， 其中，

固件， 用于将鉴权开始消息发送至鉴权客户端；

鉴权客户端，用于生成鉴权响应消息，并经由固件、基站和 AGW网关， 将鉴权响应消息发送至 AAA服务器； 收到挑战消息， 将与预定算法的挑战 消息相对应的预定算法的响应消息， 发送至 AAA服务器；

AAA服务器， 用于将预定算法的挑战消息经由 AGW网关、 基站和固 件发送至鉴权客户端； 收到预定算法的响应消息， 将鉴权响应消息发送至 鉴权客户端；

其中， 所述鉴权响应消息携带有终端的标识信息。

该系统还包括： 基站、 AGW网关，

所述鉴权客户端经由基站、 AGW网关， 将与预定算法的挑战消息相对 应的预定算法的响应消息， 发送至 AAA服务器；

所述 AAA服务器经由 AGW网关、 基站， 将鉴权响应消息发送至鉴权 客户端。

所述终端为 WiMAX终端， 包括所述固件和所述鉴权客户端； 其中， 所述固件为 WiMAX芯片。

从上述本发明方法可见， 包括固件将鉴权开始消息发送至鉴权客户端； 鉴权客户端生成鉴权响应消息， 并将鉴权响应消息发送至 AAA服务器； AAA服务器将预定算法的挑战消息发送至鉴权客户端； 鉴权客户端将与预 定算法的挑战消息相对应的预定算法的响应消息发送至 AAA服务器； AAA 服务器将鉴权成功消息发送至鉴权客户端， 其中， 鉴权响应消息携带有终 端的标识信息。 本发明方法主要通过更改重鉴权的发起方式， 同时在初始 鉴权完成的基站上， 筒化了重鉴权的流程， 解决了现有 WiMAX终端在重 鉴权过程中的速度慢、 运行相对不稳定和 AAA服务器压力大等问题。

本发明具有如下优点和效果：

1 )重鉴权速度提升。 通过优化重鉴权流程， 使得 WiMAX终端在重鉴 权过程中， 能够快速完成交互过程， 从而明显提升重鉴权的接入速度。

2 )緩解 AAA压力。 由于减少了 WiMAX终端和 AAA在重鉴权过程的 数据交互量， 使得在大规模商用的情景下， 明显的緩解了 AAA的压力。

3 )提高稳定性。 通过优化重鉴权流程， 使得在重鉴权过程不需要传递 AAA服务器端的 CA证书、 设备证书等消息， 这样就提高 WiMAX终端在 重鉴权过程中的接入成功率， 有效的减少掉线的可能性， 从而提高了 WiMAX终端的稳定性。 附图说明

此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一 部分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发 明的限定。 在附图中：

图 1是现有 WiMAX终端初始鉴权的流程图；

图 2是现有 WiMAX终端重鉴权的流程图；

图 3是本发明 WiMAX终端实现快速重鉴权的流程图；

图 4是本发明的示例性实施例的 MAC PUD格式。 具体实施方式 为了使本发明的目的、 技术方案及优点更加清楚明白， 以下结合附图 及实施例， 对本发明进行进一步详细说明。 应当理解， 此处所描述的具体 实施例仅仅用以解释本发明， 并不用于限定本发明。

下面结合附图， 通过介绍现有 WiMAX终端的 EAP初始鉴权流程、 现 有 WiMAX终端的 EAP重鉴权流程， 对本发明所述的 WiMAX终端的快速 重鉴权的实现方法进行了详细的描述。

图 3是本发明 WiMAX终端实现快速重鉴权的流程图， 如图 3所示， 包括：

步骤 301: 固件 Firmware发送鉴权开始 （EAP-Start ) 消息到鉴权客户 端 Supplicant, 发起重鉴权流程。 固件 Firmware可以是一种嵌入终端的 芯片， 例如 , WiMAX芯片。

步骤 302 ~步骤 305 : 鉴权客户端 Supplicant发送 EAP响应 /标识消息到 AAA服务器。 从 AGW网关至 AAA服务器的消息为 Radius接入请求 /标识。

步骤 306 ~步骤 309: AAA服务器向鉴权客户端 Supplicant发送 MD5 挑战消息。 其中 MD5为预定算法。

在固件将鉴权开始消息发送至鉴权客户端的步骤之后， AAA服务器 将预定算法的挑战消息发送至鉴权客户端的步骤之前， 还包括： 固件通知 鉴权客户端所使用的算法为预定算法。

步骤 310 ~步骤 313: 鉴权客户端 Supplicant向 AAA服务器发送 MD5 响应消息。

步骤 314 ~步骤 317: AAA服务器向鉴权客户端 Supplicant发送 EAP 成功消息， 重鉴权流程结束。 所述鉴权响应消息即 EAP成功消息中携带有 终端的标识信息。 所述鉴权客户端根据所述预定算法的挑战消息、 挑战报文标识符和共 享密钥计算主会话密钥 （MSK, Master Session Key )。

步骤 318: 鉴权客户端 Supplicant发送 MSK到固件 Firmware, 用于形 成 WiMAX终端安全子层的密钥层次结构。

所述终端为 WiMAX终端， 包括所述固件和所述鉴权客户端， 其中， 所述固件为 WiMAX芯片。

与现有的 WiMAX重鉴权技术相比较， 本发明所采用的重鉴权技术， 主要通过更改重鉴权的发起方式， 同时在初始鉴权完成的基站上， 筒化重 鉴权的流程， 通过本发明方法， 解决了现有 WiMAX终端在重鉴权过程中 的速度慢、 运行相对不稳定和 AAA服务器压力大等问题。

现有的 WiMAX重鉴权技术是从固件 Firmware发送 EAP-Start消息到 AGW 网关以开始重鉴权过程， 而本发明的 WiMAX 重鉴权方法是从固件 Firmware发送 EAP-Start消息到鉴权客户端 Supplicant以开始重鉴权过程， 同时固件 Firmware通知鉴权客户端 Supplicant在重鉴权过程中将选用 MD5 算法来计算 MSK, 而不是选用初始鉴权中用到的 EAM-TTLS/MSCHAPv2 或 EAP-TLS 鉴权方 法来计算 MSK 。 WiMAX 终端发送的 EAP-Response/Identity中携带了用户的网络接入标识（ NAI, Network Access Identifier, 例如 NAI格式 MAC_Address@realm )信息， 从而达到了对特定 终端进行鉴权的目的。 WiMAX终端选用一种 WiMAX基站支持的相对筒单 的 MD5算法， 使得终端可以通过基站发送的 MD5挑战、 挑战报文标识符 ( CHAP-ID )和共享密钥计算出 MSK, 在重鉴权成功后将该 MSK封装在 WiMAX API消息发送给固件 Firmware, 完成对 MSK的更新。

为了实现上述方法， 本发明还提出了一种对终端进行重鉴权的系统， 包括： 固件、 鉴权客户端、 基站、 AGW网关及 AAA服务器， 其中，

固件， 用于将鉴权开始消息发送至鉴权客户端； 鉴权客户端，用于生成鉴权响应消息，并经由固件、基站和 AGW网关， 将鉴权响应消息发送至 AAA服务器； 收到挑战消息， 将与预定算法的挑战 消息相对应的预定算法的响应消息， 经由固件、 基站和 AGW 网关发送至 AAA服务器；

AAA服务器， 用于将预定算法的挑战消息经由 AGW网关、 基站和固 件发送至鉴权客户端； 收到预定算法的响应消息， 经由 AGW网关、基站和 固件， 将鉴权响应消息从服务器发送至鉴权客户端， 其中， 鉴权响应消息 携带有终端的标识信息。

本发明的快速重鉴权是建立在成功的初始鉴权基础上的， 并利用初始 鉴权建立起来的安全性， 对重鉴权流程进行了改进， 使得 WiMAX终端能 够更快速、 更稳定的完成重鉴权的过程， 同时也有利于緩解 AAA面临的由 于大量数据交互造成的压力。

现有 WiMAX终端在初始鉴权中一般选用 EAP-TTLS/MSCHAPv2或 EAP-TLS鉴权方法。如果 WiMAX终端选用 EAP-TLS鉴权方法时， 初始鉴 权完成后，鉴权客户端 Supplicant就建立了传输层安全（ TLS , Transport Layer Security ), 如果 WiMAX终端选用 EAP-TTLS/MSCHAPv2鉴权方法时， 初 始鉴权完成后，鉴权客户端 Supplicant就建立了基于隧道的 TLS。所以不论 终端选用的是 EAP-TTLS/MSCHAPv2还是 EAP-TLS , 经过初始鉴权之后， 鉴权客户端 Supplicant都建立了传输层安全， 而在初始鉴权之后， 这个传输 层安全并没有被释放。 而本发明的快速重鉴权正是利用了初始鉴权建立的 传输层安全，通过 NAI来对终端进行鉴权，选用相对筒单的 MD5算法来计 算 MSK, 达到了在保证安全的基础上进行快速、 稳定的重鉴权。

从安全领域的角度出发， 本发明的快速重鉴权的方法的安全分析如下：

1. 完整性保护 （ integrality )。

由于初始鉴权的完成， WiMAX终端和 WiMAX基站之间就共享了鉴权 密钥 （AK, Authorization Key ), 根据密钥层次结构， 计算出 WiMAX管理 消息的 CMAC(Cipher-based Message Authentication Code,一种散歹 ll消息认 证码)放置在净荷（ Payload )之后，接收方接收到该 WiMAX管理消息之后， 通过共享的 AK计算出该消息的 CMAC, 然后和消息中携带的 CMAC值做 比较， 如果这两个 CMAC值相等， 则 CMAC验证成功， 否则丟弃该消息。 如果攻击者墓改了数据， 由于攻击者无法获得 AK, 所以无法计算出正确的 CMAC值， 接收方一旦发现该 CMAC不匹配， 就说明这个数据包已经被墓 改， 然后就直接丟弃该消息， 从而达到了对该消息的完整性保护。

2. 重放攻击 （Replay Attack )。

在 MAC PDU 的净荷中， 数据包序号 （PN, Packet Number)放置于 MAC PDU的最高 4个字节。 在安全关联（SA )建立之后， PN在发第一个 包时为 1 , 后续每发一个包增加 1。 当攻击着重放攻击时， 接收方由于可以 不断的校验 PN值， 所以重发的 PN值的消息将被丟弃， 从而达到防止重放 攻击。图 4显示了 MAC PUD格式，其中含有密文净荷（ciphertext payload )。

3. 免受 reorder攻击（reorder- attack )。 上面所说的序列号也可以防止攻 击者记录数据包并以不同的次序发送， 从而达到防止 reorder攻击。

4. 中间人攻击 （ΜΙΜΤ λ

顾名思义， 中间人攻击（Man-in-the-Middle Attack )是指攻击者将自己 插入到两个通信对象之间， 以截取他无法访问或没有资格访问的信息。 中 间人攻击被认为是 WiMAX 网络中危害最为严重的攻击。 当攻击者截取了 数据包， 但是由于攻击者无法获取共享密钥， 从而无法伪造转发的数据包， 从而达到防止中间人攻击。

通过以上分析， 本发明改进的快速重鉴权方法， 已经具备了防范各种 主要的安全威胁。

本发明所用到的 MD5 算法由于是开源实现， 在实现方法上相对于 EAP-TTLS/MSCHAPv2或 EAP-TLS鉴权方法筒单易行。 由于当前 WiMAX 协议中对重鉴权技术并没有详细规定如何去实现，使得当前大部分 WiMAX 厂商都采用和初始鉴权一样的技术。 由于 EAP协议并属于 WiMAX协议范 畴，所以采用 EAP协议进行重鉴权时，可以使用更为筒单、快捷的 EAP-MD5 方法进行重鉴权。

以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于 本领域的技术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精 神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明 的保护范围之内。

Claims

权利要求书

1、 一种对终端进行重鉴权的方法， 其特征在于， 包括以下步骤： 固件将鉴权开始消息发送至鉴权客户端；

鉴权客户端生成鉴权响应消息，并将所述鉴权响应消息发送至 AAA服 务器；

AAA服务器将预定算法的挑战消息发送至所述鉴权客户端； 鉴权客户端将与所述预定算法的挑战消息相对应的预定算法的响应消 息发送至所述 AAA服务器；

AAA服务器将鉴权成功消息发送至所述鉴权客户端；

其中， 所述鉴权响应消息携带有终端的标识信息。

2、 根据权利要求 1所述的方法， 其特征在于， 所述 AAA服务器将鉴 权成功消息发送至鉴权客户端之后， 该方法还包括：

所述鉴权客户端根据所述预定算法的挑战消息、 挑战报文标识符和共 享密钥计算 MSK密钥， 并将计算得到的密钥发送至所述固件。

3、 根据权利要求 1所述的方法， 其特征在于， 在固件将鉴权开始消息 发送至鉴权客户端之后，所述 AAA服务器将预定算法的挑战消息发送至鉴 权客户端之前， 该方法还包括：

所述固件通知鉴权客户端所使用的算法为预定算法。

4、 根据权利要求 1至 3任一项所述的方法， 其特征在于， 将所述鉴权 响应消息发送至 AAA服务器包括：

所述鉴权客户端依次经由所述固件、 基站和网关将所述鉴权响应消息 传输至所述 AAA服务器。

5、 根据权利要求 4所述的方法， 其特征在于， 所述 AAA服务器将预 定算法的挑战消息发送至所述鉴权客户端包括： 所述 AAA服务器依次经由所述网关、所述基站和所述固件将所述预定 算法的挑战消息传输至所述鉴权客户端。

6、 根据权利要求 5所述的方法， 其特征在于， 所述鉴权客户端将与所 述预定算法的挑战消息相对应的预定算法的响应消息发送至所述 AAA服 务器包括：

所述鉴权客户端依次经由所述固件、 所述基站和所述网关将所述预定 算法的响应消息传输至所述 AAA服务器。

7、 根据权利要求 6所述的方法， 其特征在于， 所述 AAA服务器将鉴 权成功消息发送至所述鉴权客户端包括：

所述 AAA服务器依次经由所述网关、所述基站和所述固件将所述鉴权 成功消息传输至所述鉴权客户端。

8、 根据权利要求 4所述的方法， 其特征在于， 当所述鉴权响应消息从 所述网关传输至所述 AAA服务器时，将所述鉴权响应消息封装为所述 AAA 服务器识别的信息，而当所述鉴权响应消息从所述 AAA服务器传输至所述 网管时， 对所述鉴权响应消息进行解封装。

9、 根据权利要求 1所述的方法， 其特征在于， 所述终端为 WiMAX终 端， 包括所述固件和所述鉴权客户端， 其中， 所述固件为 WiMAX芯片。

10、 一种对终端进行重鉴权的系统， 其特征在于， 包括： 固件、 鉴权 客户端及 AAA服务器， 其中，

固件， 用于将鉴权开始消息发送至鉴权客户端；

鉴权客户端，用于生成鉴权响应消息，并经由固件、基站和 AGW网关， 将鉴权响应消息发送至 AAA服务器； 收到挑战消息， 将与预定算法的挑战 消息相对应的预定算法的响应消息， 发送至 AAA服务器；

AAA服务器， 用于将预定算法的挑战消息经由 AGW网关、 基站和固 件发送至鉴权客户端； 收到预定算法的响应消息， 将鉴权响应消息发送至 鉴权客户端； 其中， 所述鉴权响应消息携带有终端的标识信息。

11、根据权利要求 10所述的系统， 其特征在于， 该系统还包括： 基站、 AGW网关，

所述鉴权客户端经由基站、 AGW网关， 将与预定算法的挑战消息相对 应的预定算法的响应消息， 发送至 AAA服务器；

所述 AAA服务器经由 AGW网关、 基站， 将鉴权响应消息发送至鉴权 客户端。

12、 根据权利要求 10 或 11 所述的系统， 其特征在于， 所述终端为 WiMAX终端，包括所述固件和所述鉴权客户端；其中，所述固件为 WiMAX 芯片。