CN111669748B - 一种隐私保护的移动通信认证方法 - Google Patents

Abstract

本发明提出一种隐私保护的移动通信认证方法，属于通信技术与信息安全技术领域，旨在增强移动通信认证中的隐私保护，在5G‑AKA协议的初始化阶段，用户设备和移动运营商之间通过密钥封装机制协商生成会话密钥并保存；在5G‑AKA协议的挑战‑响应阶段，移动运营商随机选取挑战值R，采用会话密钥对挑战值R加密，根据加密过的挑战值R'生成认证向量；用户设备收到认证向量后，采用会话密钥解密R'得到解密后的挑战值，根据解密后的挑战值生成对应SIM卡执行状态的的信息；移动运营商根据该信息类型选择对应的处理方式。

Description

一种隐私保护的移动通信认证方法

技术领域

本发明属于通信技术与信息安全技术领域，旨在增强移动通信认证中的隐私保护，具体表现为一种隐私保护的移动通信认证方法。

背景技术

3GPP联盟目前正在着手于第五代移动通信技术(5G)的标准化，并针对5G提出了新版本的认证和密钥建立协议，即5G-AKA协议。与3G和4G时代的AKA协议相比，5G-AKA的一个重要改进是通过ECIES公钥加密算法保护用户标识符(即SUPI)，从而阻止敌手通过窃听无线信道获取该标识符，达到保护用户隐私的目的。然而，近年来的一系列研究表明，5G-AKA协议不能阻止敌手通过设立伪基站及主动发送移动信号的方式区分不同用户并链接同一用户的多次会话，因此仍然会泄露用户隐私。基于此，一种能够抵抗敌手链接同一用户的会话、提供用户之间不可区分性的移动通信认证机制是被高度期望的。

近年来，密钥封装机制(KEM)已被广泛应用于安全协议中，此类机制能够在未预先共享秘密信息的通信实体之间，在零往返的情况下建立会话密钥。在NIST征集的后量子密码学标准化项目提案中，相当一部分提案以抗量子计算机攻击的KEM方案的形式提出。简要而言，一个KEM方案主要由密钥封装算法Encap和解封装算法Decap组成，其中Encap以KEM方案的公钥为输入，输出密钥封装信息c和会话密钥k；Decap以KEM方案的私钥和密钥封装信息c为输入，输出对应的会话密钥k。5G-AKA协议中用到的ECIES算法由一个KEM和一个数据封装机制(DEM)构成，本发明简记为ECIES-KEM和ECIES-DEM，其中ECIES-KEM用于在用户设备和移动运营商之间协商一个对称密钥，ECIES-DEM使用该对称密钥对实际传输的数据进行加密及解密。

发明内容

本发明的目的在于提出一种隐私保护的移动通信认证方法，利用密钥封装机制协商的密钥作为会话密钥保护用户隐私。

为实现上述目的，本发明采用以下技术方案：

一种隐私保护的移动通信认证方法，包括以下步骤：

在5G-AKA协议的初始化阶段，用户设备和移动运营商之间通过密钥封装机制协商生成会话密钥，双方保存该会话密钥；

在5G-AKA协议的挑战-响应阶段执行以下步骤：

移动运营商随机选取挑战值R，采用会话密钥对挑战值R加密得到R'，根据R'计算符合5G-AKA协议的XHRES信息，并根据R'和XHRES信息生成认证向量，其中XHRES的含义和3GPP TS 33.501标准规定一致；

用户设备收到认证向量后，采用会话密钥解密R'得到解密后的挑战值，并根据解密后的挑战值生成对应SIM卡执行状态的信息；

移动运营商根据对应SIM卡执行状态的信息内容来选择是直接按照5G-AKA协议对信息进行处理，还是先使用会话密钥对其中包含的R'进行解密后再按照5G-AKA协议对信息进行处理。

进一步地，封装密钥机制包括基于ECIES-KEM算法的密钥封装机制、基于抵抗量子计算机攻击的KEM算法的密钥封装机制；其中，ECIES-KEM算法与3GPP TS 33.501标准规定一致，抵抗量子计算机攻击的KEM算法包括NewHope算法、Frodo算法等。

进一步地，通过基于ECIES-KEM算法的密钥封装机制协商生成会话密钥的步骤包括：

ECIES-KEM算法表示为KEM_ECIES＝(Encap_ECIES,Decap_ECIES)，其中Encap_ECIES和Decap_ECIES分别为ECIES-KEM算法中的密钥封装算法和密钥解封装算法；

用户设备执行Encap_ECIES算法，获得密钥封装信息c和会话密钥k_UE，根据5G-AKA协议使用k_UE和对应的数据封装算法对用户标识符SUPI加密成SUCI并发送给移动运营商，同时保存k_UE作为挑战-响应阶段的会话密钥；

移动运营商收到SUCI后，根据5G-AKA协议执行Decap_ECIES算法解密得到SUPI，同时保存Decap_ECIES的输出会话密钥k_HN作为挑战-响应阶段的会话密钥。

进一步地，通过基于抵抗量子计算机攻击的KEM算法的密钥封装机制协商生成会话密钥的步骤包括：

抵抗量子计算机攻击的KEM算法表示为KEM_PQ＝(Encap_PQ,Decap_PQ)，其中Encap_PQ和Decap_PQ分别为抵抗量子计算机攻击的KEM算法中的密钥封装算法和密钥解封装算法；

用户设备通过调用Encap_PQ算法获得密钥封装信息c和会话密钥k_UE，并将c通过5G-AKA的信息流发送给移动运营商；

移动运营商收到c后，通过调用Decap_PQ算法获取k_HN。

进一步地，采用AES-128算法对挑战值R加密。

进一步地，根据R'计算符合5G-AKA协议的XHRES信息的步骤包括：首先按照5G-AKA协议计算AUTN、XRES和K_seaf信息，然后以R'和XRES为输入，按照5G-AKA的协议计算HXRES信息；其中AUTN、XRES和K_seaf信息的含义与3GPP TS 33.501标准规定的一致。

进一步地，将R'、XHRES、AUTN和K_seaf信息组成的四元组作为认证向量。

进一步地，根据解密后的挑战值生成对应SIM卡执行状态的信息，是指用户设备将解密后的挑战值和AUTN作为SIM卡AUTHENTICATE命令(该命令的含义与3GPP TS 33.102标准规定的一致)的输入，执行命令；若该命令执行失败，则发送“Mac_Failure”信息；若该命令执行成功并输出AUTS，则发送“Sync_Failure”和AUTS信息；若该命令执行成功并输出RES和K_seaf，则发送RES信息。

进一步地，若信息为“Mac_Failure”或者RES，则移动运营商按照5G-AKA协议对该信息进行处理；若信息包含“Sync_Failure”、R'、AUTS和SUCI，则使用会话密钥对其中包含的R'进行解密后再按照5G-AKA协议对信息进行处理。

进一步地，用户设备与移动运营商之间通过基站传递信息。

和现有技术相比，本发明的主要优势体现在:

1)在考虑攻击者能够设立伪基站以及通过伪基站主动发送信息的情况下，仍然能够阻止其区分不同用户以及链接同一用户的多个会话，保护用户隐私。

2)与目前3G/4G SIM卡中提供的AUTHENTICATE命令相兼容，能够在不更换用户持有的3G/4G SIM卡的情况下部署。

3)不需要对5G-AKA协议的信息格式进行修改，能够用于现有的5G移动通信基站。

4)具有多种部署方式，既能够利用5G-AKA协议中的已包含的密码学算法作为密钥封装机制，在不引入5G标准之外密码学算法的前提下进行部署；也可使用抵抗量子计算机攻击的密钥封装机制进行部署，实现长期的用户隐私保护。

附图说明

图1是本发明实施例中的隐私保护的移动通信认证方法流程图。

图中：含下划线的文字部分为5G-AKA协议原有步骤，不含下划线的文字部分为本发明方法特有步骤，pk和sk表示移动运营商持有的公钥和私钥，Enc_ECIES和Dec_ECIES表示ECIES方案的加密和解密算法，Enc和Dec表示现有的对称加密机制的加密和解密算法，SHA256表示SHA-256密码学杂凑函数。

具体实施方式

为使本发明的上述内容、特征和优势更加明显易懂，下面通过具体实施例对本发明做进一步说明。

实施例1.应用5G-AKA协议中已包含的ECIES算法实施本发明提出的一种隐私保护的移动通信认证方法。ECIES算法包含的KEM方案记为KEM_ECIES＝(Encap_ECIES,Decap_ECIES)。

本方法的流程如图1所示，具体描述如下：

1)在5G-AKA协议的初始化阶段，用户设备将自己的用户标识符(SUPI)通过ECIES算法加密发送给移动运营商(加密后的SUPI记作SUCI)。

1-1)用户设备执行Encap_ECIES算法，获得{c,k_UE}。之后其除了按照5G-AKA协议的规定使用k_UE和对应的数据封装算法对SUPI进行加密，并将SUCI发往移动运营商之外，还要保存k_UE作为挑战-响应阶段的会话密钥。

1-2)移动运营商收到SUCI之后，除了按照5G-AKA协议的规定执行Decap_ECIES算法并解密得到SUPI之外，还需要保存Decap_ECIES的输出k_HN作为挑战-响应阶段的会话密钥。

2)在5G-AKA协议的挑战-响应阶段，移动运营商在按照5G-AKA协议中规定的步骤产生认证向量(Authenticator Vector)时，需要执行以下步骤：

2-1)随机选取挑战值R，使用步骤1)中保存的会话密钥通过AES-128算法加密该挑战值(加密后的挑战值记作R′)。

2-2)按照5G-AKA协议中的规定计算AUTN,XRES和K_seaf信息。

2-3)以R′和XRES为输入，按照5G-AKA的协议规定计算HXRES。

2-4)将R′,AUTN,XHRES,K_seaf组成的四元组作为认证向量发送给移动通信基站。

3)基站收到认证向量后，将R′,AUTN按照5G-AKA协议的规定发送给用户设备。

4)用户设备在收到基站发送的信息之后，采用步骤1)存储的会话密钥解密加密后的挑战值R‘。之后将解密后的挑战值和AUTN作为SIM卡AUTHENTICATE命令的输入，执行命令。

4-1)若该命令执行失败，用户设备按照5G-AKA协议的规定，向基站发送“Mac_Failure”信息。

4-2)若该命令执行成功并输出AUTS，用户设备按照5G-AKA协议的规定，向基站发送“Sync_Failure”和AUTS信息。

4-3)若该命令执行成功并输出RES和K_seaf，用户设备按照5G-AKA协议的规定，向基站发送RES信息。

5)当基站收到用户发送的信息后，按照5G-AKA协议的规定对信息进行处理，并向运营商发送对应的信息。

6)运营商收到基站发送的信息后，若该信息为“Mac_Failure”或者RES，则按照5G-AKA协议规定的流程对信息进行处理；若该信息包含“Sync_Failure”、R‘、AUTS和SUCI，则先使用步骤1)中存储的会话密钥对R‘解密后再进行处理。

实施例2.使用抵抗量子计算机攻击的KEM方案实施本发明提出的一种隐私保护的移动通信认证方法。

本实施例应用抵抗量子计算机攻击的KEM方案对5G移动通信系统中的用户隐私进行保护。记KEM_PQ＝(Encap_PQ,Decap_PQ)为能够抵抗量子计算机攻击的KEM方案，该实施例的具体描述如下：

1)在5G-AKA协议的初始化阶段，用户设备和移动运营商通过KEM_PQ协商会话密钥：

1-1)用户设备通过调用Encap_PQ算法获得{c,k_UE}，储存k_UE，并将c通过5G-AKA的信息流发送给移动运营商。

1-2)移动运营商通过调用Decap_PQ算法获取k_HN，并存储k_HN。

2)在5G-AKA协议的挑战-响应阶段，用户设备、移动运营商及通信基站按照实施例1中的步骤2)到步骤6)执行。

本发明所提到的AUTN、XRES、Kseaf、RES、AUTS、AUTHENTICATE命令、Mac_Failure、Sync_Failure等术语的含义与3GPP TS 33.102标准规定的一致，属于本领域的公知常识，本领域技术人员应可理解。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求书所述为准。

Claims (10)

1.一种隐私保护的移动通信认证方法，其特征在于，包括以下步骤：

在5G-AKA协议的初始化阶段，用户设备和移动运营商之间通过密钥封装机制协商生成会话密钥并保存；

在5G-AKA协议的挑战-响应阶段执行以下步骤：

移动运营商随机选取挑战值R，采用会话密钥对挑战值R加密得到R'，根据R'计算符合5G-AKA协议的XHRES信息，并根据R'和XHRES信息生成认证向量；

用户设备收到认证向量后，采用会话密钥解密R'得到解密后的挑战值，并根据解密后的挑战值生成对应SIM卡执行状态的信息；

移动运营商根据对应SIM卡执行状态的信息内容来选择是直接按照5G-AKA协议对信息进行处理，还是先使用会话密钥对其中包含的R'进行解密后再按照5G-AKA协议对信息进行处理。

2.如权利要求1所述的方法，其特征在于，密钥封装机制包括基于ECIES-KEM算法的密钥封装机制、基于抵抗量子计算机攻击的KEM算法的密钥封装机制。

3.如权利要求2所述的方法，其特征在于，通过基于ECIES-KEM算法的密钥封装机制协商生成会话密钥的步骤包括：

ECIES-KEM算法表示为KEM_ECIES＝(Encap_ECIES,Decap_ECIES)，其中Encap_ECIES和Decap_ECIES分别为密钥封装算法和密钥解封装算法；

用户设备执行Encap_ECIES算法，获得密钥封装信息c和会话密钥k_UE，根据5G-AKA协议使用会话密钥k_UE和对应的数据封装算法对用户标识符SUPI加密成SUCI并发送给移动运营商，同时保存会话密钥k_UE作为挑战-响应阶段的会话密钥；

移动运营商收到SUCI后，根据5G-AKA协议执行Decap_ECIES算法解密得到SUPI，同时保存Decap_ECIES的输出会话密钥k_HN作为挑战-响应阶段的会话密钥。

4.如权利要求2所述的方法，其特征在于，通过基于抵抗量子计算机攻击的KEM算法的密钥封装机制协商生成会话密钥的步骤包括：

抵抗量子计算机攻击的KEM算法表示为KEM_PQ＝(Encap_PQ,Decap_PQ)，其中Encap_PQ和Decap_PQ分别为密钥封装算法和密钥解封装算法；

用户设备通过调用Encap_PQ算法获得密钥封装信息c和会话密钥k_UE，并将密钥封装信息c通过5G-AKA的信息流发送给移动运营商；

移动运营商收到密钥封装信息c后，通过调用Decap_PQ算法获取会话密钥k_HN。

5.如权利要求1所述的方法，其特征在于，采用AES-128算法对挑战值R加密。

6.如权利要求1所述的方法，其特征在于，根据R'计算符合5G-AKA协议的XHRES信息的步骤包括：首先按照5G-AKA协议计算AUTN、XRES和K_seaf信息，然后以R'和XRES为输入，按照5G-AKA的协议计算HXRES信息。

7.如权利要求6所述的方法，其特征在于，将R'、XHRES、AUTN和K_seaf信息组成的四元组作为认证向量。

8.如权利要求6所述的方法，其特征在于，根据解密后的挑战值生成对应SIM卡执行状态的信息，是指用户设备将解密后的挑战值和AUTN作为SIM卡AUTHENTICATE命令的输入，执行命令；若该命令执行失败，则发送“Mac_Failure”信息；若该命令执行成功并输出AUTS，则发送“Sync_Failure”和AUTS信息；若该命令执行成功并输出RES和K_seaf，则发送RES信息。

9.如权利要求8所述的方法，其特征在于，若信息为“Mac_Failure”或者RES，则移动运营商按照5G-AKA协议对该信息进行处理；若信息包含“Sync_Failure”、R'、AUTS和SUCI，则使用会话密钥对其中包含的R'进行解密后再按照5G-AKA协议对信息进行处理。

10.如权利要求1所述的方法，其特征在于，用户设备与移动运营商之间通过基站传递信息。

Images