[发明专利]一种M2M组认证中组密钥管理方法及系统

说明书

技术领域

本发明涉及网络通信安全技术，尤其涉及一种M2M组认证中组密钥管理方法及系统。

背景技术

现有移动网络优化都是为人对人(human-to-human)通信设计的，而对于机器对机器(machine-to-machine，M2M)、机器对人(machine-to-human)或人对机器(human-to-machine)的应用并非最佳。

在现有的第二代(2G)和第三代(3G)移动网络中，只有具有有效国际移动用户识别码(International Mobile Subscriber Identification Number，IMSI)的用户才有权得到服务。鉴权，即识别有效用户IMSI的过程，是移动网络安全性管理的一部分，用来实现移动网络的保密性、数据完整性。

下面简述一下通用移动通信系统(Universal Mobile TelecommunicationsSystem，UMTS)的AKA认证过程。在演进分组系统(EPS)中EPS-AKA与UMTS-AKA本质没有区别。

(1)生成鉴权五元组：终端向GPRS服务支持节点(Service GPRS SupportNode)/拜访位置寄存器(Visitor Location Register，VLR)发出接入请求。从SGSN/VLR收到鉴权数据请求组后，归属位置寄存器(Home Location Register，HLR)/AuC生成n鉴权向量，每个向量由下列5个元素组成：随机数字RAND、期望响应XRES、密钥CK、完整性密钥IK和鉴权令牌AUTN。

(2)将鉴权五元组发送到请求的VLR/SGSN。

(3)从得到的多个五元组中选择一个，发送RAND(i)，AUTN(i)到用户。

(4)全球用户识别卡(Universal Subscriber Identity Module，USIM)检查AUTN(i)可否接受，例如AUTN(i)是由有效的鉴权令牌组成。

(5)终端接收到认证请求后，首先计算消息认证码XMAC，并与认证令牌AUTN中的消息认证码MAC比较，如果不同，则向SGSN/VLR发出拒绝认证消息，并放弃认证过程。同时移动用户终端(MS)验证接收到的序列号SQN是否在有效的范围内，若不在有效的范围内，MS则向SGSN/VLR发送同步失败消息，放弃认证过程。

(6)当以上验证通过以后，才产生响应RES(i)，然后送回VLR/SGSN；由VLR/SGSN比较RES(i)和XRES(i)。USIM卡同时计算CK和IK，用于在空中接口加密和完整性保护。

随着M2M技术的发展和成熟，M2M用途的多元化，M2M终端的数量将有可能有爆炸性的增长，据估计M2M的终端数将达到手持终端数量的两个数量级，如果每个M2M终端独立跟网络鉴权和传送数据，用户签约数据库/鉴权中心(HSS或HLR)为每个接入的机器类型通信(Machine Type Communication，MTC)设备生产n个鉴权向量并发送给接入安全管理设备，对现有的网络核心网压力很大，对M2M服务的服务质量和用户体验会造成很大影响。

当有许多M2M设备被部署为属于同一个MTC用户的设备组，或当所有在同一个地点的设备被分在一个组里，在这种情况下，对于组中所有M2M设备的认证代价是很高的，也常常是不必要的，没有对组的优化时，每一个MTC设备都必须独立的被认证，这样，由于系统中认证所需的信令负荷会随着认证被单独执行而增加，甚至可能造成网络拥塞。由于当前的3GPP的网络认证技术难以满足以后数量越来越庞大的M2M终端设备。所以需要一种优化的M2M终端的鉴权机制来大幅度减少所需要的信令数量，尤其是降低核心网的压力。

基于签约组的组密钥，即签约为同一个组的MTC设备共同拥有的一个根密钥，一组MTC设备可使用基于该组密钥的认证参数进行认证，减少了信令数量，从而达到在认证阶段进行优化的目的。

现有技术简述如下：