[发明专利]一种面向无线通信系统的密钥产生分配方法

说明书

本发明属于通信安全技术领域，具体的涉及一种面向无线通信系统的密钥产生分配方法，包括以下步骤：终端和接入点基于双方无线通信信道特征产生物理层密钥；认证中心通过终端身份相关的根密钥和接入层认证密钥；终端利用根密钥、接入层认证密钥和接收到的认证中心的认证数据，对接入点和认证中心进行认证；认证中心利用根密钥、接入层认证密钥和接收到的终端认证数据对终端进行认证；终端和接入点分别生成二级接入层加密、完整性保护密钥；终端和接入点可随时同步更新一级接入层密钥和接入层认证密钥，实现接入层密钥更新和持续认证。本发明利用无线信道的唯一性、互易性和时变性，在终端和接入点分别产生物理层密钥，并将其引入到接入层密钥和认证密钥之中，实现了身份与路径的双重认证，并可防止从非接入层获取接入层密钥的攻击方式。

技术领域

本发明属于通信安全技术领域，具体的涉及一种面向无线通信系统的密钥产生分配方法。

背景技术

目前，移动通信网络的IP化使得核心网变得更具开放性，应用开发商以及互动性业务会对核心网和数据库进行更多的接入，而且IP技术的应用使窃密者能通过对网络设备的软硬件改造，模仿、伪装、篡改核心网网络节点，达到非法监听或窃取数据的目的。其次，目前的移动通信系统中接入层密钥或其生成参数是由核心网节点通过终端身份信息产生并分发到接入点的，因此核心网节点存储有接入层密钥或其生成参数。所以攻击者通过核心网攻击，不仅可以获取非接入层的密钥，还可以获取接入层的密钥。

另外，伪基站和伪终端的存在严重干扰和威胁着正常的蜂窝通信系统，对合法用户的信息安全带来了严峻挑战。目前的蜂窝通信体制普遍采用高层加密技术来防止合法用户信息的泄密。但是伪基站能够将合法终端纳入本基站的管控之下，并利用伪终端冒用合法终端的身份与合法基站通信。从而形成了合法终端能够驻留在伪基站，伪终端能够驻留在合法基站的不安全局面。在上行链路，伪基站接收合法用户的通信数据，并通过伪终端将接收数据“透明转发”给合法基站，在下行链路，伪终端接收合法基站的通信数据，并通过伪基站将接收数据“透明转发”给合法终端。而合法基站和合法终端对这种类似“中继”的伪基站和伪终端工作方式是完全无感的。

基于现有技术中存在的上述问题，迫切需要一种面向无线通信系统的密钥产生分配方法，能够抵御伪基站和伪终端的“透明转发”，并使得类似由核心网窃取接入网密钥的攻击方式在无线通信网络系统中无法实行。

发明内容

本发明针对现有移动通信网络的IP化使得核心网变得更具开放性，存在应用开发商以及互动性业务会对核心网和数据库进行更多的接入，且IP技术的应用使窃密者能通过对网络设备的软硬件改造、模仿、伪装和篡改核心网网络节点，达到非法监听或窃取数据的目的等问题，提出一种面向无线通信系统的密钥产生分配方法。

本发发明的技术方案是：一种面向无线通信系统的密钥产生分配方法，包括以下步骤：

步骤A：终端和接入点基于双方无线通信信道特征产生物理层密钥作为一级接入层加密、完整性保护密钥和接入层认证密钥；

步骤B：认证中心通过终端身份相关的根密钥和接入层认证密钥，产生认证数据和非接入层密钥；

步骤C：终端利用根密钥、接入层认证密钥和接收到的认证中心的认证数据，对接入点和认证中心进行认证，认证成功后生成非接入层密钥和终端认证数据；

步骤D：认证中心利用根密钥、接入层认证密钥和接收到的终端认证数据对终端进行认证，认证成功后，与终端在相互间的通信链路上协商使用非接入层密钥；

步骤E：终端和接入点分别生成二级接入层加密、完整性保护密钥，将其与一级接入层相应密钥相结合作为接入层密钥，在终端与接入点之间的无线链路上使用；

步骤F：终端和接入点可随时同步更新一级接入层密钥和接入层认证密钥，实现接入层密钥更新和持续认证。

所述的面向无线通信系统的密钥产生分配方法，所述步骤A包括：