本申請涉及通信系統(tǒng)中的鑒權技術，特別涉及一種故障弱化狀態(tài)下的用戶鑒權方法。

背景技術：

目前基于LTE的集群通信架構中，由于各種原因可能導致基站與核心網(wǎng)間連接中斷，這種狀態(tài)稱為故障弱化狀態(tài)。由于故障弱化狀態(tài)下，基站與核心網(wǎng)間無法通信，因此沒有對用戶進行雙向鑒權，空口的信令和數(shù)據(jù)也沒有加密，存在不安全的隱患。

針對故障弱化狀態(tài)下無法對用戶進行雙向鑒權的問題，有些解決方案是在基站中保存特定用戶的簽約數(shù)據(jù)：一種方式是靜態(tài)配置一些用戶，在弱化時只允許這些用戶訪問；另一種方式是基站在網(wǎng)絡正常時對服務的終端從正常核心網(wǎng)的HSS獲取它的簽約數(shù)據(jù)，包括鑒權密鑰，在基站緩存。

但是上述兩種解決故障弱化狀態(tài)下用戶雙向鑒權問題的方式都存在相應的問題：1)在基站中保存特定用戶的簽約數(shù)據(jù)屬于靜態(tài)配置方式，這種方式下，由于基站容量有限，只能保存少量用戶，而且維護復雜、麻煩；2)在網(wǎng)絡正常時獲取HSS中的用戶簽約數(shù)據(jù)屬于動態(tài)獲取方式，這種方式網(wǎng)絡交互復雜，而且會破壞原來3GPP的安全架構，USIM卡中鑒權密鑰K會離開鑒權中心，有泄露的風險。

技術實現(xiàn)要素：

本申請?zhí)峁┮环N故障弱化狀態(tài)下的用戶鑒權方法，能夠簡單、方便地實現(xiàn)鑒權，同時保障系統(tǒng)的安全性。

為實現(xiàn)上述目的，本申請采用如下的技術方案：

一種故障弱化狀態(tài)下的用戶鑒權方法，包括：

基站接收OMC配置給自身的故障弱化狀態(tài)下對所有終端統(tǒng)一的鑒權密鑰K_AUTH，并加密保存在所述基站中；

終端接收所述OMC發(fā)來的配置給所述基站的K_AUTH，將其作為軟SIM卡的K值進行加密保存；

在故障弱化狀態(tài)下，基站和終端之間利用保存的K_AUTH進行雙向鑒權。

較佳地，所述終端接收所述OMC發(fā)來的所述K_AUTH包括：所述OMC通過OTA方式下發(fā)所述K_AUTH，所述終端接收OMC中的OTA密鑰服務器發(fā)來的所述K_AUTH。

較佳地，所述OMC通過OTA方式下發(fā)所述K_AUTH包括：

所述終端登錄所述OMC中的OTA密鑰服務器，所述OTA密鑰服務器對所述終端進行合法性驗證通過后，利用OTA通道向所述終端下發(fā)所述K_AUTH。

較佳地，所述基站和終端之間利用所述K_AUTH進行雙向鑒權包括：

在所述故障弱化狀態(tài)下，所述基站啟用所述K_AUTH，并在所述基站內嵌核心網(wǎng)的HSS模塊內僅啟用鑒權功能，對每個從所述內嵌核心網(wǎng)MME模塊發(fā)來的鑒權請求，不檢測IMSI是否開卡，都為其計算鑒權向量，所述HSS模塊不維護所述終端的安全上下文，為所有終端公用統(tǒng)一的SQN，并在每次鑒權之后將所述SQN加1；其中，計算鑒權向量時AMF取16進制數(shù)8000，RAND在每次鑒權時申請重新生成，OP取全零，SQN初始值取0；

所述終端在故障單站模式下啟用所述K_AUTH，將其作為軟SIM卡的K值進行密鑰推導和鑒權處理，在所述鑒權處理過程中，不對所述SQN的范圍合法性進行校驗，不進行重鑒權過程；其中，進行鑒權時OP取全零。

較佳地，當所述K_AUTH進行更新時，所述OMC為所述基站配置更新后的K_AUTH，所述OMC中的OTA密鑰服務器通過PUSH方式通知終端，終端通過OTA方式獲取。

較佳地，在故障弱化狀態(tài)下，基站和終端之間完成鑒權和密鑰協(xié)商過程后，建立各自的安全上下文，進行空口NAS、RRC信令的加密和完整性保護，完成空口用戶面的加密。

由上述技術方案可見，本申請中，OMC為基站配置故障弱化狀態(tài)下對所有終端統(tǒng)一的鑒權密鑰K_AUTH，并加密保存在基站中；該OMC也將配置給基站的K_AUTH發(fā)送給終端，終端將其作為軟SIM卡的K值進行加密保存；在故障弱化狀態(tài)下，基站和終端之間利用保存的K_AUTH進行雙向鑒權。通過上述方式，OMC為基站配置鑒權密鑰K_AUTH，基站對所有終端采用統(tǒng)一的K_AUTH進行鑒權，一方面可以簡單方便地實現(xiàn)雙向鑒權，另一方面由于不需要獲取HSS中的鑒權密鑰，而保障了系統(tǒng)的安全性。

附圖說明

圖1為本申請中用戶鑒權方法的基本流程示意圖；

圖2為終端和網(wǎng)絡側計算鑒權相關參數(shù)的簡化過程；

圖3為基站內鑒權向量的計算過程示意圖；

圖4為終端內鑒權向量的計算過程示意圖。

具體實施方式

為了使本申請的目的、技術手段和優(yōu)點更加清楚明白，以下結合附圖對本申請做進一步詳細說明。

為了在故障弱化狀態(tài)下支持鑒權和空口加密，就需要終端和弱化的基站擁有鑒權密鑰。但是由于基站與核心網(wǎng)間的連接已中斷，因此基站不能再使用核心網(wǎng)的HSS進行用戶的鑒權?；诖?，本申請中為所有終端統(tǒng)一配置一個鑒權密鑰，與基站設置的鑒權密鑰在基站處于故障弱化狀態(tài)時，以該鑒權密鑰完成雙向鑒權過程，并建立安全上下文，進行空口信令和數(shù)據(jù)的加密。若沒有獲得該鑒權密鑰的終端，在故障弱化下無法接入基站，不能獲得網(wǎng)絡的服務。統(tǒng)一配置的鑒權密鑰長度為128bit，和用戶開卡時的USIM卡內存儲的K值長度一致。

下面對本申請中的用戶鑒權方法進行詳細描述。圖1為本申請中用戶鑒權方法的基本流程示意圖。如圖1所示，該方法包括：

步驟101，基站接收OMC配置給自身的故障弱化狀態(tài)下對所有終端統(tǒng)一的鑒權密鑰K_AUTH，并加密保存在基站中。

其中，系統(tǒng)中的OMC為基站配置鑒權密鑰K_AUTH，且對所有終端共用該密鑰K_AUTH。具體地，鑒權密鑰K_AUTH由OMC對基站內的內置核心網(wǎng)進行統(tǒng)一的配置，鑒權密鑰在內置核心網(wǎng)進行加密存儲。

步驟102，終端接收OMC發(fā)來的配置給基站的K_AUTH，將其作為軟SIM卡的K值進行加密保存。

其中，OMC將配置給基站的K_AUTH下發(fā)給終端。優(yōu)選地，為保證安全性，采用OTA的方式下發(fā)。具體地，終端登錄OMC中的OTA密鑰服務器，OTA密鑰服務器對終端進行合法性驗證，并在驗證通過后，利用OTA通道向終端下發(fā)K_AUTH。這里，K_AUTH下發(fā)的傳輸安全性由OTA通道的HTTPS協(xié)議的安全性保證。終端收到密鑰K_AUTH后，將其作為軟SIM卡的K值加密保存，在故障弱化時激活使用。

步驟103，在故障弱化狀態(tài)下，基站和終端之間利用保存的K_AUTH進行雙向鑒權。

當終端處于故障單站模式下，終端啟用KAUTH，把它作為軟SIM卡的K值進行鑒權流程和密鑰推導。網(wǎng)絡側也是一樣，只不過每個用戶的K值都相同。終端和網(wǎng)絡側計算鑒權相關參數(shù)的簡化過程如圖2所示。

在終端和基站激活K_AUTH進行雙向鑒權的過程中，基站內置HSS認證中心采用統(tǒng)一的SQN值，并在每次鑒權后加1；終端在鑒權過程中不對SQN值的范圍進行校驗，避免反復的SQN同步帶來的重鑒權權問題。

具體地，基站和終端間進行的雙向鑒權包括：

1)在基站內嵌核心網(wǎng)的HSS模塊內，只啟用鑒權功能?；緝惹逗诵木W(wǎng)的MME模塊和HSS模塊之間需要進行鑒權流程。由于HSS模塊內沒有保存任何用戶的開卡開戶信息，對每一個從MME模塊發(fā)過來的鑒權請求，不檢查IMSI是否開卡，都為其計算鑒權向量。具體鑒權向量的計算過程和3GPP標準一致，如圖3所示。其中，各參數(shù)取值如下：

AMF：取8000(16進制)；

RAND：隨機數(shù)，每一鑒權申請重新生成；

OP：取全零，終端的OP值也需取全零進行計算；

SQN：初始值取0。

基站中內嵌核心網(wǎng)的HSS模塊不維護每個用戶的安全上下文，沒有單個用戶專用的SQN值，終端公用的SQN在每次鑒權之后加1。

2)當終端處于故障單站模式下，終端啟用K_AUTH，把它作為軟SIM卡的K值進行鑒權流程和密鑰推導。具體鑒權向量的計算過程如圖4所示。其中，終端在故障弱化模式下，OP值取全零，不對SQN的范圍合法性進行校驗，沒有重鑒權過程。鑒權通過后，加密算法的配置和協(xié)商與正常網(wǎng)絡一致。

至此，本申請中的用戶鑒權方法流程結束。

終端和弱化基站的鑒權和密鑰協(xié)商過程完成之后，優(yōu)選地，還可以進一步建立起各自的安全上下文，完成空口NAS、RRC信令的加密和完整性保護，完成空口用戶面的加密，保證通信的安全性。

另外，在故障弱化狀態(tài)下，還可能發(fā)生K_AUTH的更新。當K_AUTH更新時，OMC中的OTA密鑰服務器需要通過PUSH方式通知終端，終端再通過OTA的方式獲取更新后的K_AUTH；OMC也需要為基站及時配置更新后的K_AUTH，保證故障弱化發(fā)生時，終端和基站之間的雙向認證能夠順利完成。

上述即為本申請中故障弱化狀態(tài)下的用戶鑒權方法，通過該方法，可以彌補故障弱化下終端和基站無法鑒權的問題，保證終端和基站通信的安全性；同時，在弱化基站內無需為每個用戶配置簽約數(shù)據(jù)，也無需從正常核心網(wǎng)的HSS獲取該基站所服務的終端的簽約數(shù)據(jù)，而是采用公共的鑒權密鑰完成鑒權過程，簡化了系統(tǒng)的復雜度，保證系統(tǒng)的安全性。

以上所述僅為本發(fā)明的較佳實施例而已，并不用以限制本發(fā)明，凡在本發(fā)明的精神和原則之內，所做的任何修改、等同替換、改進等，均應包含在本發(fā)明保護的范圍之內。