專利名稱：基于cave算法的hrpd網(wǎng)絡(luò)接入認(rèn)證方法
技術(shù)領(lǐng)域：
本發(fā)明涉及移動(dòng)通信的接入認(rèn)證，特別涉及基于CAVE算法的HRPD網(wǎng)絡(luò)接入認(rèn)證方法。
背景技術(shù)：
CDMA2000 1X網(wǎng)絡(luò)已在全球范圍內(nèi)廣泛商用，在該網(wǎng)絡(luò)中采用了基于CAVE算法的質(zhì)詢握手認(rèn)證協(xié)議(以下簡(jiǎn)稱CHAP)對(duì)接入終端合法性進(jìn)行判別。在這套認(rèn)證體系中，有比較完備的防止非法攻擊的方法。手機(jī)(簡(jiǎn)稱MS)的密碼(A-key)和CAVE算法(簡(jiǎn)稱CAVE)分別存儲(chǔ)在手機(jī)和1x網(wǎng)的認(rèn)證中心中。認(rèn)證過程主要包括共享保密數(shù)據(jù)(SSD)的更新和認(rèn)證執(zhí)行過程兩部分。共享保密數(shù)據(jù)的A部分(SSD_A)用于接入認(rèn)證。由網(wǎng)絡(luò)根據(jù)特定條件分別向手機(jī)和認(rèn)證中心發(fā)送攜帶有一段隨機(jī)數(shù)的消息來進(jìn)行SSD_A的更新，手機(jī)和認(rèn)證中心收到這個(gè)消息后，將消息中的隨機(jī)數(shù)、A-key和其他參數(shù)一起輸入SSD生成程序(SSD_GENERATION PROCEDULE)，經(jīng)計(jì)算后產(chǎn)生SSD_A，經(jīng)過確認(rèn)正確后新產(chǎn)生的SSD_A替換掉舊的SSD_A，將作為密鑰用于接入認(rèn)證。當(dāng)需要對(duì)用戶終端進(jìn)行認(rèn)證時(shí)，網(wǎng)絡(luò)向手機(jī)和認(rèn)證中心發(fā)送要求認(rèn)證的消息，在該消息中攜帶有一段隨機(jī)數(shù)。手機(jī)和認(rèn)證中心收到該消息后，利用該消息中的隨機(jī)數(shù)、SSD_A以及其他參數(shù)輸入CAVE算法，計(jì)算出認(rèn)證結(jié)果。手機(jī)將認(rèn)證結(jié)果發(fā)送到認(rèn)證中心，通過比較認(rèn)證結(jié)果的異同來決定認(rèn)證是否通過。為防止惡意用戶竊取用戶密碼，作為臨時(shí)密鑰的SSD_A可以時(shí)常更新，所以這種認(rèn)證方式具有很高的安全性。在實(shí)際使用中，A-key的存放地點(diǎn)有兩種方式。一種是存儲(chǔ)在手機(jī)上，相應(yīng)CAVE算法也在手機(jī)上執(zhí)行，稱為機(jī)卡不分離的手機(jī)；另一種則是將A-key存放在用戶識(shí)別模塊(以下稱UIM卡)上，相應(yīng)CAVE算法也在UIM卡上執(zhí)行，稱為機(jī)卡分離手機(jī)。目前中國(guó)全部采用機(jī)卡分離的手機(jī)，國(guó)外大多采用機(jī)卡不分離的手機(jī)。HRPD網(wǎng)是CDMA2000 1X網(wǎng)絡(luò)的升級(jí)網(wǎng)絡(luò)，已逐步在世界范圍內(nèi)開始商用。在實(shí)際商用中，HRPD網(wǎng)和CDMA20001X網(wǎng)絡(luò)一般共用分組數(shù)據(jù)核心網(wǎng)(主要由PDSN和AAA組成)，第三代伙伴計(jì)劃2(簡(jiǎn)稱3GPP2)相應(yīng)規(guī)范規(guī)定，如果HRPD網(wǎng)采用接入認(rèn)證，認(rèn)證方式也應(yīng)該是CHAP認(rèn)證，具體的加密算法沒有明確要求，可由運(yùn)營(yíng)商指定。與CDMA2000 1X網(wǎng)絡(luò)相同，根據(jù)用戶密鑰的存放位置，HRPD的接入終端(簡(jiǎn)稱AT)也分機(jī)卡分離AT與機(jī)卡不分離AT兩種。
HRPD網(wǎng)絡(luò)與CDMA2000 1x網(wǎng)絡(luò)是兩個(gè)相互獨(dú)立的網(wǎng)絡(luò)，除了可以共用分組數(shù)據(jù)核心網(wǎng)外，沒有任何的信息交互。由于HRPD網(wǎng)主要提供數(shù)據(jù)業(yè)務(wù)，用戶可以通過能夠同時(shí)支持CDMA2000 1x網(wǎng)絡(luò)和HRPD網(wǎng)絡(luò)的雙模終端享受服務(wù)，并且此類用戶是HRPD網(wǎng)的主要用戶群。
為了更好的對(duì)本專利進(jìn)行說明，圖2、3、4描述了在CDMA2000 1x網(wǎng)絡(luò)認(rèn)證過程中手機(jī)側(cè)的操作過程，圖5描述了3GPP2定義的HRPD網(wǎng)絡(luò)中接入認(rèn)證時(shí)的消息流。
1)現(xiàn)有CDMA2000 1x網(wǎng)絡(luò)認(rèn)證過程中手機(jī)側(cè)的操作過程現(xiàn)有CDMA2000 1x網(wǎng)絡(luò)認(rèn)證過程中手機(jī)側(cè)的操作分兩部分SSD_A的更新和認(rèn)證過程。
SSD_A更新過程是為了提高認(rèn)證體系防止攻擊的能力，其基本操作過程如圖2所示SSD_A的更新借助于SSD_A的生成程序來完成的，手機(jī)信息、隨機(jī)數(shù)和A-key是SSD_A生成過程的輸入?yún)?shù)。A-key的長(zhǎng)度是64比特(bit)，由運(yùn)營(yíng)商分配給手機(jī)。A-key只有手機(jī)和網(wǎng)絡(luò)的認(rèn)證中心(AuC)知道。在實(shí)際網(wǎng)絡(luò)中AuC一般與歸屬位置寄存器，即HLR合設(shè)，稱為HLR/AuC。
SSD_A的更新過程如下基站(Base Station)向手機(jī)和AuC送SSD_A更新消息(SSD_A UpdateMessage)，在此消息中包含64bit長(zhǎng)的隨機(jī)數(shù)，稱為RANDSSD。在接受到SSD_A更新消息后，手機(jī)按照?qǐng)D3所示向SSD_A生成程序輸入?yún)?shù)，手機(jī)執(zhí)行SSD_A生成程序，產(chǎn)生的結(jié)果稱為新的共享安全數(shù)據(jù)(SSD_A_NEW)。
然后手機(jī)產(chǎn)生32bit的隨機(jī)數(shù)RANDBS，并通過Base Station ChallengeOrder消息將RANDBS送往基站。
手機(jī)和基站將RANDSSD和新產(chǎn)生的SSD_A_NEW作為認(rèn)證簽名程序(Auth_Signature procedure)的輸入，計(jì)算出18bit的結(jié)果AUTHBS，基站通過Base Station Challenge Confirmation Order消息將AUTHBS送往手機(jī)，手機(jī)將基站發(fā)來的結(jié)果和自己計(jì)算出的結(jié)果比較，如果相同則SSD_A更新成功，手機(jī)將SSD_A_NEW設(shè)為SSD_A，如果不相同則仍然使用舊的SSD_A。
認(rèn)證過程是網(wǎng)絡(luò)對(duì)終端合法性的鑒別過程，其基本操作過程如圖4所示AuC向手機(jī)發(fā)送Challenge消息，消息中包含32bit的隨機(jī)數(shù)RAND，手機(jī)將RAND和SSD_A作為CAVE算法的輸入，計(jì)算出18bit的結(jié)果AUTH，手機(jī)將AUTH通過Authentication Challenge ResponseMessage送往認(rèn)證中心，認(rèn)證中心將手機(jī)計(jì)算出的結(jié)果與自己按同樣方法計(jì)算出的結(jié)果比較，如果相同，認(rèn)證通過，如果不同則拒絕手機(jī)的接入。
由于存在漫游問題，為提高接入認(rèn)證速度，減少網(wǎng)絡(luò)傳輸，在網(wǎng)絡(luò)實(shí)現(xiàn)中，通常將SSD_A在HLR/AC和距離用戶較近的訪問位置寄存器(VLR)之間共享。VLR和HLR/AC之間通過美國(guó)國(guó)家標(biāo)準(zhǔn)化組織(ANSI)的定義的ANSI-41移動(dòng)應(yīng)用規(guī)范(MAP)D接口相連，其間傳送ANSI-41消息。
(2)現(xiàn)有HRPD網(wǎng)絡(luò)中接入認(rèn)證時(shí)的消息流HRPD接入認(rèn)證包含以下消息流(如圖5所示)1)接入網(wǎng)絡(luò)(AN)向接入終端發(fā)送的Chap Challenge消息，該消息中包含有隨機(jī)數(shù)Random text。AT收到Chap Challenge消息后，利用隨機(jī)數(shù)計(jì)算出認(rèn)證結(jié)果Result1。圖中以MD5加密算法為例。
2)AT向AN發(fā)送Chap Response消息，該消息中包含有AT的網(wǎng)絡(luò)接入識(shí)別號(hào)(NAI)，隨機(jī)數(shù)text，認(rèn)證結(jié)果Result1等信息；3)AN收到AT發(fā)來的Chap Response消息后，向AN-AAA送出Radius Access Request消息，該消息中包含有從Chap Response中拷貝的2)中提到的三個(gè)參數(shù)；AN-AAA利用隨機(jī)數(shù)和本地存儲(chǔ)的Password(AN-AAA Password與AT中的Password是同一值)作為輸入，由MD5算法計(jì)算出Result2。
4)AN-AAA比較Result1和Result2，如果相同則向AN發(fā)送RadiusAccess Accept消息表明認(rèn)證通過，此消息中還包含有與該AT的NAI相對(duì)應(yīng)的IMSI(International Mobile Station Identity)，IMSI將被AN用于以后的流程中。IMSI與NAI的映射由運(yùn)營(yíng)商提前寫入AN-AAA；如果Result1和Result2不同則向AN發(fā)送Radius AccessReject消息拒絕AT接入；5)AN收到Radius Access Accept消息后向AT發(fā)送Chap Success消息表明認(rèn)證過程成功；AN收到Radius Access Reject消息后向AT發(fā)送Chap Failure消息表明認(rèn)證過程失敗。
上述過程中AT與AN-AAA所使用的加密算法以MD5為例，國(guó)際規(guī)范中沒用明確指定，可由運(yùn)營(yíng)商確定。
在實(shí)際應(yīng)用中，多為借助CDMA2000 1x網(wǎng)絡(luò)提供話音業(yè)務(wù)，借助HRPD網(wǎng)絡(luò)提供數(shù)據(jù)業(yè)務(wù)。因而，既支持CDMA2000 1x網(wǎng)絡(luò)，又支持HRPD網(wǎng)絡(luò)的雙模終端將占相當(dāng)大的比重。由于一般是先建設(shè)CDMA2000 1x網(wǎng)絡(luò)，再建設(shè)HRPD網(wǎng)絡(luò)，HRPD網(wǎng)絡(luò)的部分用戶是由CDMA2000 1x網(wǎng)絡(luò)用戶升級(jí)而來的。現(xiàn)有的手機(jī)無論是機(jī)卡分離手機(jī)或是機(jī)卡不分離手機(jī)在認(rèn)證過程中一般僅支持CAVE算法，如果同時(shí)支持雙模操作需要進(jìn)行升級(jí)，使之既能支持CAVE算法，又能支持HRPD網(wǎng)的接入認(rèn)證算法，如MD5算法。例如對(duì)于機(jī)卡分離的終端，需要將UIM卡升級(jí)為多?？ǎ酝瑫r(shí)支持兩網(wǎng)的鑒權(quán)方式。由于用戶基數(shù)很大，要升級(jí)UIM卡將會(huì)花費(fèi)很高的費(fèi)用，并且會(huì)對(duì)用戶帶來不便。
因此，在CDMA2000 1x網(wǎng)絡(luò)已投入運(yùn)營(yíng)，擁有大量用戶的前提下，在建設(shè)HRPD網(wǎng)絡(luò)時(shí)，如何保證以最低的代價(jià)，實(shí)現(xiàn)雙模終端的接入認(rèn)證是一個(gè)難題。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種在不改變HRPD消息流的前提下，利用目前CDMA2000 1X網(wǎng)絡(luò)中使用的CAVE算法，實(shí)現(xiàn)HRPD網(wǎng)絡(luò)的接入認(rèn)證方法。
為實(shí)現(xiàn)上述目的，一種基于標(biāo)準(zhǔn)HRPD消息流程和CAVE算法的接入認(rèn)證方法，包括步驟
1.AT利用Chap Challenge消息中的Random text產(chǎn)生出計(jì)算AUTH1所需的隨機(jī)數(shù)RAND；2.UIM卡利用上述的隨機(jī)數(shù)RAND和UIM卡上已有的SSD_A通過CAVE運(yùn)算得出AUTH1；3.AT通過Chap Response消息中的Result域AUTH1；4.AN-AAA利用Radius Access Request消息中的Random text產(chǎn)生出計(jì)算AUTH2所需的隨機(jī)數(shù)RAND；5.AN-AAA利用RAND通過CAVE運(yùn)算得到AUTH2。CAVE運(yùn)算所用得SSD_A得獲得方法在下文后描述；6.比較兩個(gè)結(jié)果AUTH1和AUTH2，如果結(jié)果相同，則對(duì)AT認(rèn)證通過否則拒絕AT接入。
以上步驟中，AN-AAA中的SSD_A從CDMA2000 1x網(wǎng)絡(luò)獲得。SSD_A的獲得方式有兩種第一種方式是由終端截取CDMA2000 1x網(wǎng)絡(luò)發(fā)來的RANDSSD，并通過Chap Response消息中的Result域與AUTH1一起攜帶到AN-AAA(Result域較大，可以同時(shí)承載這兩個(gè)參數(shù))。AN-AAA利用RANDSSD通過計(jì)算得到與CDMA2000 1x網(wǎng)絡(luò)相同的SSD_A；第二種方式是AN-AAA通過1x網(wǎng)絡(luò)中的HLR/AuC獲取SSD_A，此時(shí)需要建立AN-AAA與HLR/AuC之間的ANSI-41通道。將AN-AAA虛擬為cdma2000 1x網(wǎng)絡(luò)中得VLR，通過ANSI-41消息實(shí)現(xiàn)SSD_A在AN-AAA和HLR/AuC間的共享。
本發(fā)明適用于解決同時(shí)接受CDMA2000 1x網(wǎng)絡(luò)與HRPD網(wǎng)絡(luò)服務(wù)的雙模終端的接入認(rèn)證問題。不需改變HRPD網(wǎng)消息流程，即不需改動(dòng)現(xiàn)有的HRPD接入網(wǎng)絡(luò)設(shè)備，不需要改變CDMA2000 1x網(wǎng)絡(luò)中使用的UIM卡，只需對(duì)雙模終端和AN-AAA部分稍作修改，就能實(shí)現(xiàn)雙模終端在HRPD網(wǎng)絡(luò)中的接入認(rèn)證，安全性與CDMA2000 1x網(wǎng)絡(luò)相當(dāng)。


圖1是基于CAVE算法的HRPD認(rèn)證流程；圖2是cdma2000 1x中的共享保密數(shù)據(jù)更新過程；
圖3是共享保密數(shù)據(jù)生成程序；圖4是CAVE認(rèn)證過程；圖5是3GPP2定義的HRPD網(wǎng)絡(luò)中接入認(rèn)證消息流。
具體實(shí)施例方式
本發(fā)明的主要目的是實(shí)現(xiàn)HRPD網(wǎng)絡(luò)的認(rèn)證，特點(diǎn)是不需要改變已在現(xiàn)網(wǎng)上大量使用的cdma2000 1x手機(jī)的UIM卡，不需要改變HRPD網(wǎng)絡(luò)認(rèn)證流程。實(shí)現(xiàn)本方案的代價(jià)是需要接入終端增加新功能，并且需要AN-AAA相應(yīng)配合。但是cdma2000 1x向HRPD+cdma2000 1x網(wǎng)絡(luò)升級(jí)后，接入終端本來就必須更換，本方案對(duì)接入終端所作的修改很小，在新更換的接入終端中僅需要增加一點(diǎn)新的要求，很容易實(shí)現(xiàn)。另外，由于AN-AAA數(shù)量很少，以中國(guó)為例，一般每省一臺(tái)，并且其功能多以軟件實(shí)現(xiàn)，很容易修改。概括地說，實(shí)施本方案以很小的代價(jià)實(shí)現(xiàn)了顯著收益。
本發(fā)明基于以下事實(shí)HRPD網(wǎng)絡(luò)不支持CAVE算法，因?yàn)镠RPD網(wǎng)絡(luò)中沒有支持SSD更新的消息流，而SSD更新是CAVE算法所必須的。但現(xiàn)在用戶的UIM卡只能提供CAVE算法。本發(fā)明主要思想是通過對(duì)HRPD網(wǎng)絡(luò)中消息流中攜帶參數(shù)的處理，并借助cdma2000 1x網(wǎng)絡(luò)中SSD更新的成果，使得現(xiàn)有HRPD消息流能夠支持CAVE算法，從而實(shí)現(xiàn)現(xiàn)有用戶不換卡的目的。
在1x網(wǎng)絡(luò)演進(jìn)到到1x+HRPD網(wǎng)絡(luò)后，可能會(huì)新出現(xiàn)一些HRPD單模用戶，此類新用戶不涉及舊有UIM卡的問題，可以向運(yùn)營(yíng)商申請(qǐng)新的支持MD5算法的UIM卡。此類用戶的認(rèn)證問題通過本發(fā)明也可得到解決。
為了在當(dāng)前UIM卡僅支持CAVE算法以及不改變HRPD現(xiàn)有消息流程的前提下，實(shí)現(xiàn)HRPD網(wǎng)的接入認(rèn)證，可以對(duì)現(xiàn)有技術(shù)進(jìn)行以下幾方面的改造1 HRPD中Chap Challenge消息的利用作為認(rèn)證指示信息，Chap Challenge消息由AN發(fā)往AT，其中攜帶隨機(jī)數(shù)Random text。該隨機(jī)數(shù)經(jīng)過處理后，可作為CAVE算法中需要的隨機(jī)數(shù)。
2 雙模終端的改造雙模終端既接受CDMA2000 1x網(wǎng)絡(luò)的認(rèn)證，又接受HRPD網(wǎng)絡(luò)的認(rèn)證?？梢酝ㄟ^對(duì)雙模終端的改造，使得兩網(wǎng)能夠使用相同的認(rèn)證過程。CDMA2000 1x網(wǎng)絡(luò)中對(duì)SSD_A進(jìn)行頻繁更新明顯提高了網(wǎng)絡(luò)的抗攻擊能力，HRPD網(wǎng)可以利用SSD_A更新所帶來的益處。由于SSD_A更新中需要的隨機(jī)數(shù)RANDSSD來自于CDMA2000 1x網(wǎng)絡(luò)，雙模終端需要將RANDSSD存儲(chǔ)下來以便HRPD認(rèn)證中使用。
如果AN-AAA通過HLR/AuC共享SSD_A，雙模終端則不需要存儲(chǔ)RANDSSD。
另外雙模終端還需要通過以下方式構(gòu)造NAIIMSI@域名。其中IMSI從UIM卡中讀出，域名預(yù)先存儲(chǔ)在手機(jī)上。
3 HRPD中Chap Response消息的利用Chap Response消息是AT對(duì)AN發(fā)來的Chap Challenge消息的響應(yīng)。該消息中定義了Result域，用來攜帶AT計(jì)算出的認(rèn)證結(jié)果?？衫迷撚蛲瑫r(shí)攜帶AT的認(rèn)證結(jié)果和RANDSSD。
如果AN-AAA通過HLR/AuC共享SSD_A，Result域則僅需要攜帶認(rèn)證結(jié)果。
4 AN-AAA的改進(jìn)從AN發(fā)往AN-AAA的Radius Access Request消息中的Result域中，包含用于SSD_A更新的RANDSSD和AT利用CAVE算法計(jì)算出的認(rèn)證結(jié)果，AN-AAA必須能夠?qū)⒍邊^(qū)分開來。
(1)AT對(duì)RANDSSD的處理AT收到CDMA2000 1x網(wǎng)絡(luò)發(fā)來的SSD Update Message消息后，將按照3GPP2規(guī)范規(guī)定的標(biāo)準(zhǔn)流程對(duì)SSD_A進(jìn)行更新。作為隨機(jī)數(shù)，RANDSSD是SSD_A更新過程中AT唯一需要外界提供的參數(shù)，其他的輸入?yún)?shù)AT中已具備。由于HRPD無法從CDMA2000 1x網(wǎng)絡(luò)中得到RANDSSD，所以每次SSD_A成功更新后，AT需要將來自于1x網(wǎng)絡(luò)中的RANDSSD保存下來以便于帶給HRPD網(wǎng)。為節(jié)約存儲(chǔ)空間，每次保存的EANDSSD_A應(yīng)自動(dòng)覆蓋掉以前的RANDSSD。
如果AN-AAA通過HLR/AuC共享SSD_A，AT則不需要存儲(chǔ)RANDSSD，即AT不對(duì)RANDSSD做特殊處理。
(2)AT對(duì)Chap Chal lenge消息的處理AT在收到HRPD網(wǎng)絡(luò)發(fā)來的Chap Chal lenge消息后，需要對(duì)該消息中攜帶的隨機(jī)數(shù)Random text進(jìn)行處理。
Random text是以八位組表示的一串字符，且其長(zhǎng)度大于32bit，需要將八位組轉(zhuǎn)換為二進(jìn)制形式，然后取其中32bit，對(duì)于32bit的選取方法，沒有特殊要求，只要AT和AN-AAA保持一致即可。AT將按上述方法獲得的32bit作為CAVE算法需要輸入的隨機(jī)數(shù)。
(3)AT對(duì)Chap Response消息的處理在Chap Response消息中有三個(gè)參數(shù)域MAI，Random text，Result，AT需要向AN-AAA提供這三個(gè)參數(shù)。其中NAI需要提前存儲(chǔ)在AT上(機(jī)卡分離的AT應(yīng)存儲(chǔ)在UIM卡中)，直接讀出即可。Random text來自于ChapChal lenge消息，這里AT對(duì)Random text不作處理，直接拷貝到ChapResponse消息中。對(duì)于Result域，AT要將通過CAVE算法計(jì)算出的結(jié)果AUTH1與(1)中存儲(chǔ)的RANDSSD一起寫入該域。具體格式應(yīng)與AN-AAA約定好，以便AN-AAA區(qū)分。
如果AN-AAA通過HLR/AuC共享SSD_A，Chap Response消息的Result域中不需要攜帶RANDSSD，即僅需要攜帶AUTH1。
(4)AN-AAA對(duì)Radius Access Request消息的處理Radius Access Request消息中包含三個(gè)參數(shù)，這三個(gè)參數(shù)由AN從ChapResponse消息中復(fù)制而來。AN-AAA收到來自于AN的Radius AccessRequest后，按照與AT的約定，從Result域中區(qū)分出RANDSSD和AT提供的結(jié)果Result。AN-AAA將RANDSSD作為隨機(jī)數(shù)，與A-key以及其他參數(shù)一起輸入SSD_Generation Procedure，計(jì)算出的結(jié)果作為SSD_A。
如果AN-AAA通過HLR/AuC共享SSD_A，Chap Response消息的Result域中不需要攜帶RANDSSD，即Radius Access Request消息中不會(huì)攜帶RANDSSD，AN-AAA也不需要通過計(jì)算得到SSD_A，AN-AAA中與各用戶對(duì)應(yīng)的SSD_A來自于HLR/AuC。
AN-AAA基于Random text，獲取32bit的隨機(jī)數(shù)，處理方法與AT相同。AN-AAA將32bit隨機(jī)數(shù)與按上面方法得到的SSD_A還有其他參數(shù)一起輸入CAVE算法，計(jì)算出結(jié)果AUTH2，并與AUTH1相比較，如果相同則對(duì)AT認(rèn)證通過，如果不同則拒絕AT接入。
以上基于CAVE算法的認(rèn)證方案適用于HRPD與1x的雙模終端，對(duì)于HRPD的單模終端，可以采用其他的加密方式(以下以MD5算法為例)，由于加密算法不同，AN-AAA需要對(duì)單?；螂p模終端作出判別，以使本方案兼容不同類型的終端。判別方法可以采用以下三種之一。
方法一由于NAI值是終端的唯一標(biāo)識(shí)，互不重復(fù)，AN-AAA可根據(jù)NAI值判別單雙模終端。AN-AAA中需提前存儲(chǔ)NAI值與終端類型的對(duì)應(yīng)表。為方便AN-AAA判別，運(yùn)營(yíng)商可將單模終端的NAI值集中在特定字段。也可設(shè)定專門的標(biāo)志位。
方法二AN-AAA對(duì)Radius Access Request消息中的參數(shù)不作處理，按MD5算法計(jì)算出結(jié)果，與AT送來的結(jié)果比較，如果相同則認(rèn)證通過，如果不同則對(duì)Radius Access Request消息中的參數(shù)進(jìn)行處理(如前面所述)，基于CAVE算法計(jì)算出結(jié)果，與AT送來的結(jié)果進(jìn)行比較，如果相同認(rèn)證通過，如果不同則拒絕接入。
方法三將方法二中的CAVE算法與MD5算法調(diào)換次序，即AN-AAA先對(duì)RadiusAccess Request消息中的參數(shù)消息中的參數(shù)進(jìn)行處理，按CAVE算法計(jì)算出結(jié)果，與AT送來的結(jié)果比較，如果相同則認(rèn)證通過，如果不同則按RadiusAccess Request消息中的原有參數(shù)，基于MD5算法計(jì)算出結(jié)果，與AT送來的結(jié)果進(jìn)行比較，如果相同認(rèn)證通過，如果不同則拒絕接入。
圖1是基于CAVE算法的HRPD認(rèn)證流程圖(以機(jī)卡分離的雙模AT為例)，下面詳細(xì)說明各個(gè)操作步驟。
1 AN向AT發(fā)送Chap Challenge消息，該消息中包含隨機(jī)數(shù)Random text；
2 AT從Random text中獲取32bit作為認(rèn)證過程的隨機(jī)數(shù)RAND送入U(xiǎn)IM卡；3 UIM卡使用SSD_A，RAND及其他參數(shù)，利用CAVE算法計(jì)算出認(rèn)證結(jié)果AUTH1，送給AT；4 AT從UIM卡中讀出IMSI，并與預(yù)存的域名一起構(gòu)成NAI值；5 AT將NAI寫入挑戰(zhàn)性握手認(rèn)證協(xié)議應(yīng)答(Chap Response)消息中的相應(yīng)區(qū)域，將Chap Challenge消息中的隨機(jī)數(shù)Random text拷貝到ChapResponse消息中的相應(yīng)區(qū)域，將AUTH1寫入該消息的結(jié)果(Result)域，然后將該Chap Response消息發(fā)向AN；6 AN將Chap Response消息中的參數(shù)復(fù)制到Radius Access Request消息中，并將該消息發(fā)送到AN-AAA；7 AN-AAA從Random text中獲取32bit作為認(rèn)證過程的隨機(jī)數(shù)RAND與SSD_A一起輸入CAVE算法，8 AN-AAA利用CAVE算法計(jì)算出結(jié)果AUTH2；9 將兩個(gè)結(jié)果相比較，如果結(jié)果相同，則向AN發(fā)送Radius Access Accept消息，否則向AN發(fā)送Radius Access Reject消息；10 AN則相應(yīng)向AT發(fā)送Chap Success或Chap Failure消息。
以上過程中省去了AN-AAA對(duì)不同終端類型所做的處理，處理方法可按前文中列舉的三種方法之一進(jìn)行。需要說明的是，對(duì)于漫游的情況，由于認(rèn)證過程在歸屬地的AN-AAA進(jìn)行，即在第6步中AN根據(jù)NAI值將RadiusAccess Request消息送往歸屬地的AN-AAA，判別過程在歸屬地的AN-AAA中進(jìn)行，所以以上流程不影響AT的漫游。
以上流程以AN-AAA通過HLR/AuC獲得SSD_A為例。如果采用AN-AAA通過終端攜帶的RANDSD產(chǎn)生SSD_A的方式，則手機(jī)中需要存儲(chǔ)最近一次1x網(wǎng)絡(luò)中SSD_A成功更新所對(duì)應(yīng)的RANDSSD。相應(yīng)地，步驟5中，Chap Response消息的Result域中需要與AUTH1一起同時(shí)攜帶RANDSSD，Radius AccessRequest消息中也需攜帶RANDSSD。并且，在步驟7以前，AN-AAA需要利用RANDSSD和預(yù)存的A-Key計(jì)算出SSD_A。
權(quán)利要求
1.一種基于CAVE算法的HRPD網(wǎng)絡(luò)接入認(rèn)證方法，包括步驟AT利用Chap Challenge消息中的Random text產(chǎn)生出CAVE算法所需的隨機(jī)數(shù)RAND；UIM卡利用所述的隨機(jī)數(shù)RAND和UIM卡上已有的SSD_A計(jì)算出AUTH1；AT通過Chap Response消息中的Result域攜帶AUTH1；AN-AAA利用Radius Access Request消息中的Random text產(chǎn)生出計(jì)算AUTH2所需的隨機(jī)數(shù)RAND；AN-AAA利用RAND通過計(jì)算得到AUTH2；比較兩個(gè)結(jié)果AUTH1和AUTH2，如果結(jié)果相同，則對(duì)AT認(rèn)證通過否則拒絕AT接入。
2.按權(quán)利要求1所述的方法，其特征在于所述UIM卡計(jì)算AUTH1的算法為CAVE。
3.按權(quán)利要求1所述的方法，其特征在于所述UIM卡和AN-AAA中CAVE算法所需的SSD_A來自于CDMA2000 1x網(wǎng)絡(luò)。
4.按權(quán)利要求3所述的方法，其特征在于從CDMA2000 1x網(wǎng)絡(luò)獲得所述SSD_A的方式；
5.按權(quán)利要求4所述的方法，其特征在于通過終端截取CDMA2000 1x網(wǎng)絡(luò)發(fā)來的RANDSSD，并通過Chap Response消息中的Result域攜帶到AN-AAA，由AN-AAA利用RANDSSD通過計(jì)算得到與CDMA2000 1x網(wǎng)絡(luò)相同的SSD_A的方式；
6.按權(quán)利要求4所述的方法，其特征在于通過將AN-AAA偽裝成CDMA20001x網(wǎng)絡(luò)中的VLR，在AN-AAA和HLR/AC之間的建立ANSI-41 MAP D接口，并通過標(biāo)準(zhǔn)的ANSI-41消息實(shí)現(xiàn)與CDMA2000 1x網(wǎng)絡(luò)的SSD_A共享；
7.按權(quán)利要求1所述的方法，其特征在于所述Chap Response消息中包括參數(shù)域NAI、Random text、Result。其中Result域中存儲(chǔ)由UIM卡通過CAVE算法計(jì)算出的AUTH1；
8.按權(quán)利要求7所述的方法，其特征在于所述參數(shù)域NAI由UIM卡中的IMSI和預(yù)先存儲(chǔ)在AT上的域名組合而成。
9.按權(quán)利要求1所述的方法，其特征在于所述Radius Access Request消息中包括參數(shù)域NAI、Random text、Result。其中Result域中存儲(chǔ)由UIM卡通過CAVE算法計(jì)算出的AUTH1；
10.按權(quán)利要求1所述的方法，其特征在于AN-AAA計(jì)算AUTH2的方法與UIM卡計(jì)算AUTH1的方法相同。
11.按權(quán)利要求1所述的方法，其特征在于還包括AN-AAA確定不同類型終端的步驟。
12.按權(quán)利要求11所述的方法，其特征在于根據(jù)參數(shù)域NAI確定終端的類型。
13.按權(quán)利要求11所述的方法，其特征在于AN-AAA對(duì)Radius AccessRequest消息中的參數(shù)不作處理，按MD5算法計(jì)算出結(jié)果，與AT送來的結(jié)果比較，如果相同則認(rèn)證通過，如果不同則對(duì)Radius AccessRequest消息中的參數(shù)進(jìn)行處理，基于CAVE算法計(jì)算出結(jié)果，與AT送來的結(jié)果進(jìn)行比較，如果相同認(rèn)證通過，如果不同則拒絕接入。
14.按權(quán)利要求11所述的方法，其特征在于AN-AAA先對(duì)Radius AccessRequest消息中的參數(shù)消息中的參數(shù)進(jìn)行處理，按CAVE算法計(jì)算出結(jié)果，與AT送來的結(jié)果比較，如果相同則認(rèn)證通過，如果不同則按RadiusAccess Request消息中的原有參數(shù)，基于MD5算法計(jì)算出結(jié)果，與AT送來的結(jié)果進(jìn)行比較，如果相同認(rèn)證通過，如果不同則拒絕接入。
全文摘要
一種基于CAVE算法的HRPD接入認(rèn)證方法，包括步驟AT利用Chap Challenge消息中的Random text產(chǎn)生出計(jì)算AUTH1所需的隨機(jī)數(shù)RAND；UIM卡利用所述的隨機(jī)數(shù)RAND和UIM卡上已有的SSD_A計(jì)算出AUTH1；AT通過Chap Response消息中的Result域攜帶AUTH1；AN－AAA利用Radius Access Request消息中的Random text產(chǎn)生出計(jì)算AUTH2所需的隨機(jī)數(shù)RAND；AN－AAA利用RAND通過計(jì)算得到AUTH2；比較兩個(gè)結(jié)果AUTH1和AUTH2，如果結(jié)果相同，則對(duì)AT認(rèn)證通過否則拒絕AT接入。本發(fā)明適用于解決同時(shí)接受CDMA2000 1x網(wǎng)絡(luò)于HRPD網(wǎng)絡(luò)服務(wù)的雙模終端的接入認(rèn)證問題。
文檔編號(hào)H04L9/28GK1601958SQ20041000506
公開日2005年3月30日 申請(qǐng)日期2004年2月16日 優(yōu)先權(quán)日2003年9月26日
發(fā)明者劉衛(wèi)民 申請(qǐng)人:北京三星通信技術(shù)研究有限公司, 三星電子株式會(huì)社