[发明专利]一种实现主认证增强的安全UDM/HSS设计方法及系统

说明书

本发明涉及无线通信技术领域，本发明公开了一种实现主认证增强的安全UDM/HSS设计方法及系统，该系统包括定制UDM/HSS设备以及至少一个主认证增强设备，定制UDM/HSS设备完成标准UDM/HSS除鉴权向量以外的功能，主认证增强设备完成AKA过程中鉴权向量的生成，主认证增强设备与定制UDM/HSS设备之间通过定义专用协议进行通信，协同完成网络侧的主认证增强功能。该方法为当终端入网发起主认证时，定制UDM/HSS设备接收到来自终端的主认证请求后，向主认证增强设备发起请求，由主认证增强设备生成AKA鉴权向量并返回给定制UDM/HSS设备，再由定制UDM/HSS设备执行主认证后续流程。本发明提供了便利的国产化鉴权算法定制机制，鉴权算法替换具有充分的灵活性，同时便于运营商部署运维。

技术领域

本发明涉及无线通信技术领域，尤其涉及一种实现主认证增强的安全UDM/HSS设计方法及系统。

背景技术

在4G/5G移动通信系统中，终端在接入网络时需要发起主认证流程完成与核心网之间的双向鉴权以验证其身份的合法性。主认证流程是终端入网接入安全的重要保障，在3GPP 5G标准中是由用户签约信息管理单元UDM(Unified Data Management，其中执行鉴权计算的是ARPF模块，在4G中由HSS执行该功能)负责。对于特殊行业用户或具有高安全需求的垂直行业用户而言，3GPP协议中规定的标准认证和鉴权算法，并不能满足用户自身的安全管理规定。因此，需要在移动通信终端侧和网络侧引入额外的机制实现定制化的认证和鉴权算法以对标准主认证进行安全增强，以满足上述安全需求。

具体而言，目前网络侧UDM/HSS(Home Subscriber Server，归属签约用户服务器)在主认证流程安全方面的不足体现在以下几点：

(1)不满足鉴权算法国产化的需求：特殊行业用户或具有高安全需求的垂直行业用户往往要求所用鉴权算法为国产定制算法，为满足这一鉴权算法国产化需要，需要对标准UDM/HSS网元中的算法相关功能进行改造，而现在的UDM/HSS中算法相关部分，在实现上与其他功能紧耦合，不利于对算法单独进行定制化。

(2)不满足定制灵活性的需求：对于特殊行业用户以及不同行业的垂直用户而言，他们对移动通信系统的安全防护等级要求不同，需要根据具体情况在主认证流程中为其定制不同的鉴权算法及认证协议。由于安全保密管理规定等原因，在同一个UDM/HSS网元上实现不同安全等级的算法和协议以满足所有用户的需求是不现实的，因此直接在UDM/HSS中改造实现定制算法和协议将导致设备厂商需要为不同行业用户定制专用设备，这意味着设备厂商将根据定制需求生产一系列的UDM/HSS，增加厂商的研发管理维护成本，不符合设备厂商产品化开发生成的模式。

(3)不满足运营商部署运维的需求：一系列定制化的UDM/HSS，也会导致运营商对其入网测试、部署、运维方式发生重大改变，不利于面向特殊行业用户或具有高安全需求的垂直行业用户的主认证增强功能获得运营商的支持，并在现有移动通信网中的落地实现与推广。

发明内容

为了解决上述问题，本发明提出一种实现主认证增强的安全UDM/HSS设计方法及系统，本发明将标准UDM/HSS一分为二，其中鉴权功能部分形成主认证增强设备，剩余功能作为定制UDM/HSS设备，两者之间定义通信接口，协同完成网络侧的主认证增强功能，共同组成安全UDM/HSS。定制UDM/HSS的开发、生产、部署与运维模式与标准UDM/HSS保持一致，主认证增强设备则遵循相应安全管理规定，不同安全需求的用户配置实现了不同认证协议和鉴权算法的主认证增强设备，这样既满足主认证增强功能需要，又最大限度的适应了现有产业链的发展现状，有利于主认证增强功能的落地推广，本发明的具体技术方案如下：

本发明提出的一种实现主认证增强的安全UDM/HSS系统，包括：

定制UDM/HSS设备，所述定制UDM/HSS设备完成标准UDM/HSS除鉴权向量以外的功能；