[发明专利]一种基于对称密钥池的类AKA身份认证系统和方法

说明书

本发明公开一种基于对称密钥池的类AKA身份认证方法和认证系统，实施认证时请求方向鉴权方发起鉴权请求，鉴权请求中带有第一随机数；鉴权方响应于所述鉴权请求生成提问消息并发送至请求方，所述提问消息包括消息认证码、AMF以及用于生成协商密钥的第二随机数，且该第二随机数采用密文形式，用于加密第二随机数的匿名密钥是利用所述第一随机数生成；请求方接收来自鉴权方的提问消息，利用第一随机数对所述提问消息进行验证，验证通过后生成应答消息发送至鉴权方；鉴权方接收来自请求方的应答消息并进行认证得到鉴权结果，再将鉴权结果发送给请求方；请求方接收来自鉴权方的鉴权结果。本发明采用双向认证提高了安全性，简化了繁琐的消息校验步骤。

技术领域

本发明涉及安全通信技术领域，具体涉及一种实施鉴权和密钥协商的身份认证系统和方法。

背景技术

鉴权，即身份认证是实现信息安全的基本技术，系统通过审查用户的身份来确认该用户是否具有对某种资源的访问和使用权限，同样也可以进行系统与系统间的身份认证。

随着量子计算机的发展，经典非对称加密算法将不再安全，无论是认证还是加解密领域，对称密钥算法将大行其道。比如目前在移动通信领域比较常用的基于对称密钥算法的鉴权方法之一的AKA机制。AKA全称“Authentication and KeyAgreement”，即鉴权和密钥协商。顾名思义，AKA机制在身份认证的同时并进行了密钥的协商，为后续通信的加密提供了密钥保障。

作为安全性升级的方案，对称密钥池的方式将是一种保证密钥安全的重要方案乃至主流方案。同时可以对对称密钥池中的全部或部分内容进行加密存储，加密密钥可以存储到对称密钥池宿主的安全隔离装置中。后续对对称密钥池进行密钥操作时，需要由安全隔离装置解密后使用。有关对称密钥池可参见公开号为CN105337726A，发明名称为“基于量子密码的端对端手持设备加密方法及系统”的发明专利文献，公开了一种基于量子密码的端对端手持设备加密方法，其量子通信的两台密钥分发设备之间，通过QKD形成了一对对称密钥池，用于QKD双方的用户进行量子加密通信。

又例如公开号为CN106452740A，发明名称为“一种量子通信服务站、量子密钥管理装置以及密钥配置网络和方法”的发明专利文献,公开了一种量子通信服务站、量子密钥管理装置，两者之间共享同样的量子随机数密钥数据块，该数据块对也可以理解为一对对称密钥池，用于双方的用户进行量子随机数密钥的加密通信。

公开号为CN106357649A，发明名称为“用户身份认证系统和方法”的专利文献，公开了一种对称密钥体制的身份认证方法。该发明基于移动量子密钥存储设备，采用量子真随机数发生器产生的真随机数作为密钥种子，在身份认证时有限多次使用，兼顾了密钥生成量和安全性问题。并且包含了关于量子通信的异地身份认证技术。

现有技术存在的问题：

1.公开号为CN106357649A的专利文献虽然使用了量子密钥卡作为对称密钥池，但是其身份认证是单向的，存在较大的安全隐患。并且该发明中使用的密钥是不区分通信模式的，过于单一，在密钥泄露的情况下，会造成所有的消息都会被破解。

2.现有的AKA机制使用的密钥及协商的密钥都非常有限，安全性能不高。用于密钥协商所使用的随机数RAND在通信中是暴露的，在一定程度上会对加密通信的安全产生威胁。

发明内容

本发明提供一种基于对称密钥池实现的身份认证系统和方法。保证了密钥协商所使用的密钥种子不外泄，且密钥池足够庞大，难以预测，更加保证了密钥生成的安全性。

一种基于对称密钥池的类AKA身份认证方法，实施在请求方，包括：

向鉴权方发起鉴权请求，且该鉴权请求中带有第一随机数；