網(wǎng)絡(luò)認(rèn)證的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明大體上涉及有線或無線通信網(wǎng)絡(luò)，并且更特定地涉及用于由網(wǎng)絡(luò)節(jié)點(diǎn)來實(shí)現(xiàn)改進(jìn)的網(wǎng)絡(luò)認(rèn)證的方法、裝置和計(jì)算機(jī)程序產(chǎn)品。
【背景技術(shù)】
[0002]當(dāng)如移動(dòng)網(wǎng)絡(luò)基站的網(wǎng)絡(luò)節(jié)點(diǎn)(例如“演進(jìn)的節(jié)點(diǎn)B”(eNB))從供應(yīng)商交付至運(yùn)營(yíng)商時(shí)，運(yùn)營(yíng)商需要用于以高效但仍安全的方式將網(wǎng)絡(luò)節(jié)點(diǎn)集成至運(yùn)營(yíng)商的網(wǎng)絡(luò)中的方法。高效在這里意味著，在將網(wǎng)絡(luò)節(jié)點(diǎn)最初連接至網(wǎng)絡(luò)之前，運(yùn)營(yíng)商不需要做網(wǎng)絡(luò)節(jié)點(diǎn)的任何配置，但是在最初連接之后，可按照“即插即用”方式遠(yuǎn)程地做所有的配置。這對(duì)于許多運(yùn)營(yíng)商而言是非常重要的，特別是當(dāng)要被連接至網(wǎng)絡(luò)的網(wǎng)絡(luò)節(jié)點(diǎn)的數(shù)量高時(shí)，由于它經(jīng)常是當(dāng)建立或擴(kuò)展移動(dòng)網(wǎng)絡(luò)時(shí)的情況。安全在這里意味著運(yùn)營(yíng)商可確定以下是不可能的:在最初網(wǎng)絡(luò)連接期間，例如以在攻擊者作為在網(wǎng)絡(luò)節(jié)點(diǎn)和運(yùn)營(yíng)商的網(wǎng)絡(luò)之間的“中間人攻擊”的情況下引起網(wǎng)絡(luò)節(jié)點(diǎn)連接至運(yùn)營(yíng)商的網(wǎng)絡(luò)的方式，某個(gè)攻擊者可獲得對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)的控制并且可能操縱它。要注意，網(wǎng)絡(luò)節(jié)點(diǎn)到運(yùn)營(yíng)商網(wǎng)絡(luò)的互連可能不被運(yùn)營(yíng)商自身所物理保護(hù)和/或所擁有一網(wǎng)絡(luò)節(jié)點(diǎn)甚至可以使用因特網(wǎng)而連接至運(yùn)營(yíng)商網(wǎng)絡(luò)，因特網(wǎng)是特別不安全的網(wǎng)絡(luò)。
[0003]另一方面，典型地將同一類型的網(wǎng)絡(luò)節(jié)點(diǎn)交付至不同的運(yùn)營(yíng)商的供應(yīng)商期望允許以統(tǒng)一的方式制造所有的網(wǎng)絡(luò)節(jié)點(diǎn)而不需要特定地針對(duì)它們被交付至的運(yùn)營(yíng)商來配置節(jié)點(diǎn)的高效制造處理。所以無法利用例如運(yùn)營(yíng)商“信任根”(如包含運(yùn)營(yíng)商的公鑰(publickey)的(根)證書)來配置網(wǎng)絡(luò)節(jié)點(diǎn)。因此，在最初網(wǎng)絡(luò)連接期間，網(wǎng)絡(luò)節(jié)點(diǎn)無法驗(yàn)證它們正實(shí)際連接至正確的運(yùn)營(yíng)商網(wǎng)絡(luò)還是連接至攻擊者的網(wǎng)絡(luò)。在后一情況下，它們將對(duì)由攻擊者進(jìn)行的使用和操縱而開放。
[0004]根據(jù)現(xiàn)有技術(shù)，使用或已經(jīng)討論多種方法(例如，在3GPP SA3中):
方法I)網(wǎng)絡(luò)節(jié)點(diǎn)被物理連接并且被遠(yuǎn)程地配置而無需任何認(rèn)證。這是高效的但是不提供安全性。在網(wǎng)絡(luò)節(jié)點(diǎn)經(jīng)由受保護(hù)的專用鏈接(private link)而連接至運(yùn)營(yíng)商(例如，基站被連接至運(yùn)營(yíng)商所擁有的專用接入網(wǎng)絡(luò))的情況下，它可以是可應(yīng)用的。
[0005]方法2)網(wǎng)絡(luò)節(jié)點(diǎn)被制造成其中每一個(gè)具有個(gè)體id、私鑰(private key)/公鑰對(duì)和由供應(yīng)商CA (認(rèn)證授權(quán))簽署(可能經(jīng)由中間證書鏈)的用于公鑰的證書。供應(yīng)商CA證書例如在被安全地傳送之前為運(yùn)營(yíng)商所知。當(dāng)售賣網(wǎng)絡(luò)節(jié)點(diǎn)時(shí)，供應(yīng)商以安全的方式將網(wǎng)絡(luò)節(jié)點(diǎn)的id傳送至運(yùn)營(yíng)商。這樣，當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)時(shí),運(yùn)營(yíng)商可對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行認(rèn)證。該方法已由3GPP針對(duì)eNB的最初登記而在兩個(gè)變體(variant)中指定(參見3GPP TS 33.310 和 TS 33.401):
2a)除了上述配置之外，利用運(yùn)營(yíng)商的公鑰(即，利用運(yùn)營(yíng)商證書)來預(yù)先配置網(wǎng)絡(luò)節(jié)點(diǎn)。這允許當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)時(shí)網(wǎng)絡(luò)節(jié)點(diǎn)可對(duì)運(yùn)營(yíng)商網(wǎng)絡(luò)進(jìn)行認(rèn)證。因此，相互認(rèn)證是可能的。然而，過程不是高效的，由于網(wǎng)絡(luò)節(jié)點(diǎn)必須由供應(yīng)商或由運(yùn)營(yíng)商來預(yù)先配置以用于特定運(yùn)營(yíng)商網(wǎng)絡(luò)。
[0006]2b)網(wǎng)絡(luò)節(jié)點(diǎn)沒有運(yùn)營(yíng)商特定的預(yù)先配置。當(dāng)它最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)時(shí)，運(yùn)營(yíng)商網(wǎng)絡(luò)可對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行認(rèn)證(但是反之并不亦然)。在最初連接期間，運(yùn)營(yíng)商網(wǎng)絡(luò)遠(yuǎn)程地提供(provis1n)運(yùn)營(yíng)商證書。在該步驟之后，網(wǎng)絡(luò)節(jié)點(diǎn)可使用運(yùn)營(yíng)商證書來對(duì)網(wǎng)絡(luò)進(jìn)行認(rèn)證。這是“即插即用”解決方案，但是留下開放攻擊窗口:在最初連接，攻擊者可能欺騙網(wǎng)絡(luò)節(jié)點(diǎn)而連接至由攻擊者控制的節(jié)點(diǎn)。攻擊者然后可能就為了他自己的目的而使用網(wǎng)絡(luò)節(jié)點(diǎn)(“劫持”網(wǎng)絡(luò)節(jié)點(diǎn))，或他可能以它隨后連接至所意圖的運(yùn)營(yíng)商網(wǎng)絡(luò)的方式成功操縱網(wǎng)絡(luò)節(jié)點(diǎn)，其中攻擊者仍能夠控制網(wǎng)絡(luò)節(jié)點(diǎn)。這對(duì)于運(yùn)營(yíng)商網(wǎng)絡(luò)而言將是嚴(yán)重的安全性破壞。3GPP已經(jīng)認(rèn)為該脆弱性是可接受的并且因此已經(jīng)指定該解決方案作為允許的登記變體。
[0007]方法3)供應(yīng)商將所有可能運(yùn)營(yíng)商的根證書配置至網(wǎng)絡(luò)節(jié)點(diǎn)中。然而，該方法將不保護(hù)一個(gè)運(yùn)營(yíng)商免受另一運(yùn)營(yíng)商的攻擊。而且，必須在網(wǎng)絡(luò)節(jié)點(diǎn)內(nèi)安全地存儲(chǔ)大量運(yùn)營(yíng)商證書是個(gè)問題。
[0008]方法4)供應(yīng)商針對(duì)所有的運(yùn)營(yíng)商根證書而簽署證書。然而,該方法將不保護(hù)一個(gè)運(yùn)營(yíng)商免受另一運(yùn)營(yíng)商的攻擊。而且，在運(yùn)營(yíng)商的PKI和供應(yīng)商的PKI之間具有這種依賴性將是不合期望的。
[0009]方法5)供應(yīng)商操作供應(yīng)商特定“登記服務(wù)器”。網(wǎng)絡(luò)節(jié)點(diǎn)被編程為在最初網(wǎng)絡(luò)連接之后連接至供應(yīng)商登記服務(wù)器。利用如變體2中描述的憑證和在網(wǎng)絡(luò)節(jié)點(diǎn)中配置的供應(yīng)商根證書，網(wǎng)絡(luò)節(jié)點(diǎn)和供應(yīng)商登記服務(wù)器之間的相互認(rèn)證是可能的，所以可建立安全性關(guān)聯(lián)并且供應(yīng)商可向網(wǎng)絡(luò)節(jié)點(diǎn)提供運(yùn)營(yíng)商根證書。該方法的大缺點(diǎn)在于這樣供應(yīng)商卷進(jìn)了運(yùn)營(yíng)商的網(wǎng)絡(luò)的操作中，并且必須以它始終是可用的并且從網(wǎng)絡(luò)節(jié)點(diǎn)可以被連接至的所有網(wǎng)絡(luò)可達(dá)到的方式來提供登記服務(wù)器。

【發(fā)明內(nèi)容】

[0010]因此，為了克服現(xiàn)有技術(shù)的缺點(diǎn)，成為本發(fā)明的基礎(chǔ)的目的是提供網(wǎng)絡(luò)認(rèn)證優(yōu)化。特別是，本發(fā)明的目的是提供用于由網(wǎng)絡(luò)節(jié)點(diǎn)來實(shí)現(xiàn)改進(jìn)的網(wǎng)絡(luò)認(rèn)證的方法、裝置和計(jì)算機(jī)程序產(chǎn)品。
[0011]根據(jù)本發(fā)明的第一方面，提供了一種方法，該方法包括:將網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)和供應(yīng)商證書配置在網(wǎng)絡(luò)節(jié)點(diǎn)中；創(chuàng)建用于網(wǎng)絡(luò)節(jié)點(diǎn)的使用證書，使用證書由供應(yīng)商利用簽名來簽署，并且包含指示使用證書與該網(wǎng)絡(luò)節(jié)點(diǎn)有關(guān)的驗(yàn)證信息和用于允許網(wǎng)絡(luò)節(jié)點(diǎn)對(duì)網(wǎng)絡(luò)進(jìn)行認(rèn)證的認(rèn)證信息；將使用證書傳送至運(yùn)營(yíng)商網(wǎng)絡(luò)的運(yùn)營(yíng)商；當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)時(shí)，網(wǎng)絡(luò)節(jié)點(diǎn)向運(yùn)營(yíng)商請(qǐng)求使用證書；網(wǎng)絡(luò)節(jié)點(diǎn)確定在請(qǐng)求時(shí)接收到的使用證書中的簽名的有效性；以及網(wǎng)絡(luò)節(jié)點(diǎn)基于在使用證書中包含的信息來檢查所接收到的使用證書是否實(shí)際上與最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)的網(wǎng)絡(luò)節(jié)點(diǎn)有關(guān)。
[0012]根據(jù)本發(fā)明的第二方面，提供了一種裝置，該裝置包括:存儲(chǔ)構(gòu)件，適合于存儲(chǔ)網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)和供應(yīng)商證書；處理構(gòu)件，適合于在將網(wǎng)絡(luò)節(jié)點(diǎn)安裝在運(yùn)營(yíng)商網(wǎng)絡(luò)中時(shí)，請(qǐng)求用于網(wǎng)絡(luò)節(jié)點(diǎn)的使用證書，使用證書由供應(yīng)商利用簽名來簽署并且包含指示使用證書與該網(wǎng)絡(luò)節(jié)點(diǎn)有關(guān)的驗(yàn)證信息和用于允許網(wǎng)絡(luò)節(jié)點(diǎn)對(duì)網(wǎng)絡(luò)進(jìn)行認(rèn)證的認(rèn)證信息；確定構(gòu)件，適合于確定在請(qǐng)求時(shí)接收的使用證書中的簽名的有效性；以及檢查構(gòu)件，適合于基于包含在使用證書中的信息來檢查所接收到的使用證書是否實(shí)際上與最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)的網(wǎng)絡(luò)節(jié)點(diǎn)有關(guān)。
[0013]根據(jù)本發(fā)明的第三方面，提供了一種計(jì)算機(jī)程序，計(jì)算機(jī)程序產(chǎn)品包括計(jì)算機(jī)可執(zhí)行的部件，計(jì)算機(jī)可執(zhí)行的部件當(dāng)程序運(yùn)行時(shí)被配置為執(zhí)行根據(jù)第一方面的方法。
[0014]根據(jù)另外的實(shí)施例，認(rèn)證信息包括至少一個(gè)運(yùn)營(yíng)商證書。
[0015]根據(jù)某些實(shí)施例，網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)包括單個(gè)個(gè)體網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)，并且檢查最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)的網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)是否與單個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)一致。
[0016]根據(jù)另外的實(shí)施例，網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)包括多個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)，并且檢查最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)的網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)是否被包括在多個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)標(biāo)識(shí)中。
[0017]根據(jù)本發(fā)明的另一些實(shí)施例，使用證書不由配置在網(wǎng)絡(luò)節(jié)點(diǎn)中的供應(yīng)商證書來直接簽署，但是由經(jīng)由被包括在使用證書中的證書鏈而鏈接至該證書的證書來簽署。
[0018]根據(jù)本發(fā)明的某些實(shí)施例，使用證書被指定為特定有效期，并且檢查是否已經(jīng)過了所接收到的使用證書的有效期。
[0019]根據(jù)另外的實(shí)施例，當(dāng)在請(qǐng)求時(shí)接收的使用證書中的簽名被確定為無效和/或所接收到的使用證書不與最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)的網(wǎng)絡(luò)節(jié)點(diǎn)有關(guān)的情況下，禁止對(duì)網(wǎng)絡(luò)進(jìn)行認(rèn)證并且重復(fù)向運(yùn)營(yíng)商請(qǐng)求使用證書。
[0020]根據(jù)另外的實(shí)施例，被傳送至運(yùn)營(yíng)商的使用證書被嵌入在運(yùn)營(yíng)商網(wǎng)絡(luò)中，并且經(jīng)由運(yùn)營(yíng)商網(wǎng)絡(luò)而被傳送至網(wǎng)絡(luò)節(jié)點(diǎn)。
[0021]根據(jù)本發(fā)明的某些實(shí)施例，當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)最初被連接至運(yùn)營(yíng)商網(wǎng)絡(luò)時(shí)，被傳送至運(yùn)營(yíng)商的使用證書由運(yùn)營(yíng)商網(wǎng)絡(luò)外部的構(gòu)件來傳送至網(wǎng)絡(luò)節(jié)點(diǎn)。
[0022]在從屬權(quán)利要求中闡述了本發(fā)明的前述示例性方面的有利的進(jìn)一步發(fā)展或修改。
【附圖說