用于在移动网络中进行递归认证的方法和系统转让专利
申请号 : CN200680053798.X
文献号 : CN101401465B
文献日 : 2010-11-03
发明人 : 彼得·莱昂·措夫塔
申请人 : 英国电讯有限公司
摘要 :
在3G协议中被称为GAA的系统中，可以将通常由归属用户服务器所执行的对网络中的装置的认证转交给被称为自举服务器功能的第三方单元。然而，使用自举服务器功能不能完全解决减小在归属用户服务器处的认证业务量的问题。本发明通过使用在GAA下生成的原始会话密钥并通过在递归过程中使用该密钥来进行认证并在其它网络单元中生成其它会话密钥，消除了这种问题。可独立于归属用户服务器而生成其它密钥，因此减小了在归属用户服务器处的业务量。
权利要求 :
1.一种在通信网络中进行认证的方法，所述通信网络包括归属用户服务器(102)、第一认证实体(104)、第一应用实体(106)和用户装置(108)，其中将共享密钥存储在所述归属用户服务器(102)和所述用户装置(108)中，并且其中所述方法包括以下步骤：(i)基于存储在所述归属用户服务器(102)中的所述密钥在所述第一认证实体(104)处生成(222)第一网络会话密钥，并且基于存储在所述用户装置(108)中的所述密钥生成(224)第一用户会话密钥，其中，所述第一网络会话密钥与所述第一用户会话密钥相同；
(ii)将所述第一网络会话密钥从所述第一认证实体(104)传送(228)到所述第一应用实体(106)；
(iii)将所述第一网络会话密钥存储(404)在所述第一应用实体(106)中，并且将所述第一用户会话密钥存储(402)在所述用户装置(108)中；并且其中所述方法还包括以下步骤：(iv)在第二认证实体(304)处确定(420)所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且如果它们相同，则(v)在所述第二认证实体(304)处生成(422)第二网络会话密钥，其中所述第二网络会话密钥是基于存储在所述第一应用实体(106)中的所述第一网络会话密钥的，并且基于存储在所述用户装置(108)中的所述第一用户会话密钥在所述用户装置(108)处生成(424)第二用户会话密钥，其中所述第二网络会话密钥与所述第二用户会话密钥相同。
2.根据权利要求1所述的方法，该方法还包括以下步骤：
(vi)将所述第二网络会话密钥从所述第二认证实体(304)传送给第二应用实体(306)，并且使用(430)所述第二会话密钥来确保所述第二应用实体(306)与所述用户装置(108)之间的通信安全。
3.根据权利要求1或2所述的方法，其中，步骤(iv)包括：使用所述第一网络会话密钥来获得挑战响应对，并且使用所述挑战响应对来确定所述第一用户会话密钥与所述第一网络会话密钥是否相同。
4.根据权利要求3所述的方法，其中，由所述第一应用实体来获得挑战响应对，并且将所述挑战响应对传送给所述第二认证实体。
5.根据权利要求4所述的方法，其中，通过使用所述第二会话密钥对在所述第二应用实体(306)与所述用户装置(108)之间传送的数据进行加密和解密，来确保步骤(vi)中的通信安全。
6.根据权利要求1，2，4和5中的任意一项所述的方法，其中，所述通信网络为移动蜂窝通信网络。
7.根据权利要求5所述的方法，其中，所述认证实体(104、304)为自举服务器功能。
8.根据权利要求5所述的方法，其中，所述应用实体(106、306)为网络应用功能。
9.根据权利要求6所述的方法，其中，在通用认证体系下生成会话密钥。
10.一种在通信网络中进行认证的方法，所述通信网络包括归属用户服务器(102)、第一认证实体(104)、第一应用实体(504)、核心网络和用户装置(108)，其中将共享密钥存储在所述归属用户服务器(102)和所述用户装置(108)中，并且其中所述核心网络包括至少所述归属用户服务器(102)和所述第一认证实体(104)，所述方法包括以下步骤：(i)基于存储在所述用户装置中的所述密钥生成第一用户会话密钥，并且基于存储在所述归属用户服务器(102)中的所述密钥在所述核心网络中生成第一网络会话密钥，并且其中所述第一网络会话密钥与所述第一用户会话密钥相同；
(ii)将所述第一用户会话密钥从所述用户装置传送到所述第一应用实体(504)；
(iii)将所述第一用户会话密钥存储在所述第一应用实体(504)中，并且将所述第一网络会话密钥存储在所述核心网络中；并且其中所述方法还包括以下步骤：(iv)在第二认证实体(506)处确定所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且如果它们相同，则(v)在所述第二认证实体(506)处生成第二用户会话密钥，其中所述第二用户会话密钥是基于存储在所述第一应用实体(504)中的所述第一用户会话密钥的，并且基于存储在所述核心网络中的所述第一网络会话密钥在所述核心网络处生成第二网络会话密钥，其中所述第二用户会话密钥与所述第二网络会话密钥相同。
11.一种用于认证的系统，该系统包括归属用户服务器(102)、第一认证实体(104)、第一应用实体(106)和用户装置(108)，其中将共享密钥存储在所述归属用户服务器(102)和所述用户装置(108)中，并且其中：所述第一认证实体(104)适于基于存储在所述归属用户服务器(102)中的所述密钥生成第一网络会话密钥，并且将所述第一网络会话密钥传送给所述第一应用实体(106)；
所述用户装置(108)适于基于存储在所述用户装置中的所述密钥生成第一用户会话密钥，其中所述第一网络会话密钥与所述第一用户会话密钥相同；
所述第一应用实体(106)适于存储所述第一网络会话密钥；并且其中所述系统还包括：
第二认证实体，其适于确定所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且如果它们相同，则所述第二认证实体(304)适于生成第二网络会话密钥，其中所述第二网络会话密钥是基于存储在所述第一应用实体(106)中的所述第一网络会话密钥的，并且所述用户装置还适于基于存储在所述用户装置(108)中的所述第一用户会话密钥生成第二用户会话密钥，其中所述第二网络会话密钥与所述第二用户会话密钥相同。
说明书 :
技术领域
本发明涉及一种在通信网络中进行认证的方法，具体地，涉及一种通过基于由设备和核心网络所持有的初始共享密钥来递归地生成会话密钥(session key)而在蜂窝通信网络中认证该设备的方法。
背景技术
通信系统中的安全性始终是至关重要的，移动蜂窝通信系统也是如此。在早期的“第一代”模拟移动电话系统中，第三方可以相当容易地通过无线电接口窃听(eavesdrop)移动终端与移动网络之间的通信。当移动运营商采用了“第二代”数字系统(诸如GSM(全球移动通信系统))时，这些问题部分地得到解决。
GSM中的包括认证在内的安全性措施(security provision)基于密钥共享原理，其中，使用智能卡(SIM卡)来存储在制作该卡时已经预先装载到该卡上的密钥。因此，在发起任何通信之前，在移动电话与网络运营商之间预先(a priori)共享该密钥。该密钥形成了用于认证和加密的全部后续密钥生成的基础。然而，在GSM安全性措施中存在问题，这意味着GSM并不是完全安全的。
在作为“第三代”(3G)移动通信系统中的一种的UMTS(通用移动通信系统)中，安全性措施大致上基于GSM中的那些安全性措施，但是有进一步的改进。如在GSM中一样，在UMTS中使用了智能卡(USIM)来存储身份及安全性信息，该信息包括用户ID和密钥K。该信息使得用户能够安全地连接到网络并作出/接收呼叫。在UMTS中使用从该初始密钥得到的密钥的认证方法在AKA(认证和密钥协定，Authentication andKeyAgreement)协议下执行。在3GPP TS33.102中更详细地记载了包括AKA协议在内的UMTS中的安全性措施。
在归属(home)网络的HSS(归属用户服务器，Home SubscriberServer)与用户的USIM(通用用户身份模块)之间的互认证过程是以示出对共享密钥K(共享密钥K仅对USIM和HSS可用)的获知为基础的。在认证请求阶段，HSS基于共享密钥K，来生成包括随机数RAND和网络认证令牌AUTN的认证向量。将随机数RAND和网络认证令牌AUTN传送到用户的移动终端，或具体地说是传送到USIM，该USIM对AUTN进行检查以对HSS和网络进行认证，然后使用固定算法基于RAND和共享密钥K来计算认证响应RES。将响应RES传送回HSS，并且如果该RES与HSS基于其自己的计算而期待的响应相同，则认证完成，并且USIM和HSS将生成会话密钥，会话密钥在后续的通信中可用于数据加密和解密。
这种在HSS与USIM之间使用AKA协议的体系对于网络运营商是非常有价值的优点(asset)。可对这种基础架构进行调配(leverage)，使得能够进行网络中的应用功能，以建立共享密钥并认证用户。这些应用功能或服务器可驻留在归属网络或受访网络中的任意位置。在GAA(通用认证体系，Generic Authentication Architecture)中记载了被采用以允许网络运营商提供应用安全性的“自举(boot-strapping)”来认证用户的协议。在3GPP TS33.220中更详细地说明了GAA。
图1示出了使用在GAA中定义的自举方法的简单网络模型100。网络100包括HSS102、BSF(自举服务器功能)104、NAF(网络应用功能)106及UE(用户设备)108。在网络100内，NAF106(通常为服务提供商)与UE108尝试彼此进行认证，并且生成会话密钥，以确保后续通信安全。NAF106可以提供诸如安全电子邮件、电子商务及支付、接入到公司网络等服务。
在网络100内，当NAF106要求对UE108认证时，它不需要直接对HSS做出任何请求，而是使用BSF104。BSF104用作中间认证服务器，并且代表NAF106对UE108进行认证，而且也提供必要的会话密钥。
如在标准的AKA协议中一样，认证基于由HSS102发送到BSF104的认证向量。该认证向量包括基于HSS102所持有的共享密钥K的挑战(challenge)响应信息并包括UE108中的USIM。该认证向量还包括两个密钥：加密密钥CK和完整性密钥IK。这些密钥仅由HSS102生成，并且可基本上将其认为是用于确保认证之后的通信安全的会话密钥。BSF104使用该认证向量，具体地说是挑战响应信息，以对UE108进行认证。在实践中，BSF104可以在任意一次要求多于一个的认证向量，因此减小了必须向HSS102做出的请求的数量。也可以存在连接到HSS102的其它BSF。
然而，BSF104仅可以持有有限数量的认证向量，并且当已经使用了全部这些认证向量时，BSF104需要从HSS102请求进一步的认证向量。在实践中，认证向量的数量预期为1到32之间，并且最通常的数量为2到4。这样，虽然存在使用BSF为什么是有利的合理商业理由而且存在与减小在HSS102处的来自NAF的多个请求的业务量有关的技术理由，但是，使用BSF没有完全地解决减小在HSS102处的业务量的技术问题。实际上可能的是，当用户从网络要求更多的服务时，提供那些服务的NAF的数量将只会随着时间而增加，因此在HSS102处由BSF104及其它BSF做出的对认证向量的请求的数量也将不可避免地增加。可以构想的是，虽然当前使用BSF及GAA确实减少了HSS102所经受到的认证业务量的量，然而随着时间的推移，将出现由于业务量过载所导致的问题而引起当前系统停止有效运行的时刻。
此外，当前构想的GAA的使用仅在移动运营商的控制下对认证过程进行扩展。本发明人已经认识到其中可以扩展并修改系统(诸如GAA)以覆盖更多的扩展应用的方法。
GSM中的包括认证在内的安全性措施(security provision)基于密钥共享原理，其中，使用智能卡(SIM卡)来存储在制作该卡时已经预先装载到该卡上的密钥。因此，在发起任何通信之前，在移动电话与网络运营商之间预先(a priori)共享该密钥。该密钥形成了用于认证和加密的全部后续密钥生成的基础。然而，在GSM安全性措施中存在问题，这意味着GSM并不是完全安全的。
在作为“第三代”(3G)移动通信系统中的一种的UMTS(通用移动通信系统)中，安全性措施大致上基于GSM中的那些安全性措施，但是有进一步的改进。如在GSM中一样，在UMTS中使用了智能卡(USIM)来存储身份及安全性信息，该信息包括用户ID和密钥K。该信息使得用户能够安全地连接到网络并作出/接收呼叫。在UMTS中使用从该初始密钥得到的密钥的认证方法在AKA(认证和密钥协定，Authentication andKeyAgreement)协议下执行。在3GPP TS33.102中更详细地记载了包括AKA协议在内的UMTS中的安全性措施。
在归属(home)网络的HSS(归属用户服务器，Home SubscriberServer)与用户的USIM(通用用户身份模块)之间的互认证过程是以示出对共享密钥K(共享密钥K仅对USIM和HSS可用)的获知为基础的。在认证请求阶段，HSS基于共享密钥K，来生成包括随机数RAND和网络认证令牌AUTN的认证向量。将随机数RAND和网络认证令牌AUTN传送到用户的移动终端，或具体地说是传送到USIM，该USIM对AUTN进行检查以对HSS和网络进行认证，然后使用固定算法基于RAND和共享密钥K来计算认证响应RES。将响应RES传送回HSS，并且如果该RES与HSS基于其自己的计算而期待的响应相同，则认证完成，并且USIM和HSS将生成会话密钥，会话密钥在后续的通信中可用于数据加密和解密。
这种在HSS与USIM之间使用AKA协议的体系对于网络运营商是非常有价值的优点(asset)。可对这种基础架构进行调配(leverage)，使得能够进行网络中的应用功能，以建立共享密钥并认证用户。这些应用功能或服务器可驻留在归属网络或受访网络中的任意位置。在GAA(通用认证体系，Generic Authentication Architecture)中记载了被采用以允许网络运营商提供应用安全性的“自举(boot-strapping)”来认证用户的协议。在3GPP TS33.220中更详细地说明了GAA。
图1示出了使用在GAA中定义的自举方法的简单网络模型100。网络100包括HSS102、BSF(自举服务器功能)104、NAF(网络应用功能)106及UE(用户设备)108。在网络100内，NAF106(通常为服务提供商)与UE108尝试彼此进行认证，并且生成会话密钥，以确保后续通信安全。NAF106可以提供诸如安全电子邮件、电子商务及支付、接入到公司网络等服务。
在网络100内，当NAF106要求对UE108认证时，它不需要直接对HSS做出任何请求，而是使用BSF104。BSF104用作中间认证服务器，并且代表NAF106对UE108进行认证，而且也提供必要的会话密钥。
如在标准的AKA协议中一样，认证基于由HSS102发送到BSF104的认证向量。该认证向量包括基于HSS102所持有的共享密钥K的挑战(challenge)响应信息并包括UE108中的USIM。该认证向量还包括两个密钥：加密密钥CK和完整性密钥IK。这些密钥仅由HSS102生成，并且可基本上将其认为是用于确保认证之后的通信安全的会话密钥。BSF104使用该认证向量，具体地说是挑战响应信息，以对UE108进行认证。在实践中，BSF104可以在任意一次要求多于一个的认证向量，因此减小了必须向HSS102做出的请求的数量。也可以存在连接到HSS102的其它BSF。
然而，BSF104仅可以持有有限数量的认证向量，并且当已经使用了全部这些认证向量时，BSF104需要从HSS102请求进一步的认证向量。在实践中，认证向量的数量预期为1到32之间，并且最通常的数量为2到4。这样，虽然存在使用BSF为什么是有利的合理商业理由而且存在与减小在HSS102处的来自NAF的多个请求的业务量有关的技术理由，但是，使用BSF没有完全地解决减小在HSS102处的业务量的技术问题。实际上可能的是，当用户从网络要求更多的服务时，提供那些服务的NAF的数量将只会随着时间而增加，因此在HSS102处由BSF104及其它BSF做出的对认证向量的请求的数量也将不可避免地增加。可以构想的是，虽然当前使用BSF及GAA确实减少了HSS102所经受到的认证业务量的量，然而随着时间的推移，将出现由于业务量过载所导致的问题而引起当前系统停止有效运行的时刻。
此外，当前构想的GAA的使用仅在移动运营商的控制下对认证过程进行扩展。本发明人已经认识到其中可以扩展并修改系统(诸如GAA)以覆盖更多的扩展应用的方法。
发明内容
本发明实施方式的目的是解决上述一个或更多个问题。
根据本发明的一方面，提供了一种在通信网络中进行认证的方法，所述通信网络包括归属用户服务器、第一认证实体、第一应用实体和用户装置，其中将共享密钥存储在归属用户服务器和用户装置中，其中该方法包括以下步骤：
(i)基于存储在所述归属用户服务器中的所述密钥而在所述第一认证实体处生成第一网络会话密钥，并且基于存储在所述用户装置中的密钥而生成第一用户会话密钥，其中，所述第一网络会话密钥与所述第一用户会话密钥相同；
(ii)将所述第一网络会话密钥从所述第一认证实体传送到所述第一应用实体；
(iii)将所述第一网络会话密钥存储在所述第一应用实体中，并且将所述第一用户会话密钥存储在所述用户装置中；并且其中，该方法还包括以下步骤：
(iv)在第二认证实体中确定所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且，如果它们相同，则
(v)在第二认证实体处生成第二网络会话密钥，其中，所述第二网络会话密钥是基于存储在所述第一应用实体中的所述第一网络会话密钥的，并且，基于存储在所述用户装置中的第一用户会话密钥而在所述用户装置处生成第二用户会话密钥，其中，所述第二网络会话密钥与所述第二用户会话密钥相同。
通常，所述归属用户服务器和所述认证实体由移动网络运营商控制。这样在过去，每次在应用实体要求认证并且确保与用户装置之间的安全通信时，该应用实体必须向该认证实体和/或归属用户服务器做出请求。然而在本发明的实施方式中，通过重复使用由认证实体提供给应用实体的原始会话密钥Ks，可以避免重复地向认证实体和/或归属用户服务器做出请求。因此，将到归属用户服务器和认证实体的业务量保持为最小。此外，向要求对用户装置进行认证的应用实体及其它单元提供了附加功能和鲁棒性(该应用实体及其它单元不在其中驻留有归属用户服务器和认证服务器的归属网络的运营商的直接控制之下)。
优选的是，该方法还包括以下步骤：(vi)将所述第二网络会话密钥从所述第二服务器实体传送给第二应用实体，并且，使用第二会话密钥来确保在所述第二应用实体与所述用户装置之间的通信安全。
步骤(iv)可以包括：使用所述第一网络会话密钥来获取挑战响应对，并且使用所述挑战响应对来确定第一用户会话密钥与第一网络会话密钥是否相同。
可以由所述第一应用实体来获得挑战响应对，并且可以将所述挑战响应对传送给第二认证实体。
可以使用第二会话密钥对在所述第二应用实体与所述用户装置之间传送的数据进行加密和解密，来确保步骤(vi)中的通信安全。
优选的是，所述通信网络是移动蜂窝通信网络。
所述认证实体可以是自举服务器功能，而所述应用实体可以是网络应用功能。
优选的是，在通用认证体系下生成会话密钥。
根据本发明的另一方面，提供了一种在通信网络中进行认证的方法，该通信网络包括归属用户服务器、第一认证实体、第一应用实体、核心网络和用户装置，其中将共享密钥存储在所述归属用户服务器和所述用户装置中，并且其中所述核心网络包括至少所述归属用户服务器和所述第一应用实体，所述方法包括以下步骤：
(i)基于存储在用户装置中的密钥而生成第一用户会话密钥，并且基于存储在所述归属用户服务器中的密钥而在核心网络中生成第一网络会话密钥，其中，所述第一网络会话密钥与所述第一用户会话密钥相同；
(ii)将所述第一用户会话密钥从所述用户装置传送到所述第一应用实体；
(iii)将所述第一用户会话密钥存储在所述第一应用实体中，并且将所述第一网络会话密钥存储在所述核心网络中；并且其中该方法还包括以下步骤：
(iv)在第二认证实体处确定所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且，如果它们相同，则
(v)在第二认证实体处生成第二用户会话密钥，其中，所述第二用户会话密钥是基于存储在所述第一应用实体中的所述第一用户会话密钥的，并且，基于存储在所述核心网络中的第一网络会话密钥而在核心网络处生成第二网络会话密钥，其中，所述第二用户会话密钥与第二网络会话密钥相同。
根据本发明的一方面，提供了一种在通信网络中进行认证的方法，所述通信网络包括归属用户服务器、第一认证实体、第一应用实体和用户装置，其中将共享密钥存储在归属用户服务器和用户装置中，其中该方法包括以下步骤：
(i)基于存储在所述归属用户服务器中的所述密钥而在所述第一认证实体处生成第一网络会话密钥，并且基于存储在所述用户装置中的密钥而生成第一用户会话密钥，其中，所述第一网络会话密钥与所述第一用户会话密钥相同；
(ii)将所述第一网络会话密钥从所述第一认证实体传送到所述第一应用实体；
(iii)将所述第一网络会话密钥存储在所述第一应用实体中，并且将所述第一用户会话密钥存储在所述用户装置中；并且其中，该方法还包括以下步骤：
(iv)在第二认证实体中确定所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且，如果它们相同，则
(v)在第二认证实体处生成第二网络会话密钥，其中，所述第二网络会话密钥是基于存储在所述第一应用实体中的所述第一网络会话密钥的，并且，基于存储在所述用户装置中的第一用户会话密钥而在所述用户装置处生成第二用户会话密钥，其中，所述第二网络会话密钥与所述第二用户会话密钥相同。
通常，所述归属用户服务器和所述认证实体由移动网络运营商控制。这样在过去，每次在应用实体要求认证并且确保与用户装置之间的安全通信时，该应用实体必须向该认证实体和/或归属用户服务器做出请求。然而在本发明的实施方式中，通过重复使用由认证实体提供给应用实体的原始会话密钥Ks，可以避免重复地向认证实体和/或归属用户服务器做出请求。因此，将到归属用户服务器和认证实体的业务量保持为最小。此外，向要求对用户装置进行认证的应用实体及其它单元提供了附加功能和鲁棒性(该应用实体及其它单元不在其中驻留有归属用户服务器和认证服务器的归属网络的运营商的直接控制之下)。
优选的是，该方法还包括以下步骤：(vi)将所述第二网络会话密钥从所述第二服务器实体传送给第二应用实体，并且，使用第二会话密钥来确保在所述第二应用实体与所述用户装置之间的通信安全。
步骤(iv)可以包括：使用所述第一网络会话密钥来获取挑战响应对，并且使用所述挑战响应对来确定第一用户会话密钥与第一网络会话密钥是否相同。
可以由所述第一应用实体来获得挑战响应对，并且可以将所述挑战响应对传送给第二认证实体。
可以使用第二会话密钥对在所述第二应用实体与所述用户装置之间传送的数据进行加密和解密，来确保步骤(vi)中的通信安全。
优选的是，所述通信网络是移动蜂窝通信网络。
所述认证实体可以是自举服务器功能，而所述应用实体可以是网络应用功能。
优选的是，在通用认证体系下生成会话密钥。
根据本发明的另一方面，提供了一种在通信网络中进行认证的方法，该通信网络包括归属用户服务器、第一认证实体、第一应用实体、核心网络和用户装置，其中将共享密钥存储在所述归属用户服务器和所述用户装置中，并且其中所述核心网络包括至少所述归属用户服务器和所述第一应用实体，所述方法包括以下步骤：
(i)基于存储在用户装置中的密钥而生成第一用户会话密钥，并且基于存储在所述归属用户服务器中的密钥而在核心网络中生成第一网络会话密钥，其中，所述第一网络会话密钥与所述第一用户会话密钥相同；
(ii)将所述第一用户会话密钥从所述用户装置传送到所述第一应用实体；
(iii)将所述第一用户会话密钥存储在所述第一应用实体中，并且将所述第一网络会话密钥存储在所述核心网络中；并且其中该方法还包括以下步骤：
(iv)在第二认证实体处确定所述第一网络会话密钥与所述第一用户会话密钥是否相同，并且，如果它们相同，则
(v)在第二认证实体处生成第二用户会话密钥，其中，所述第二用户会话密钥是基于存储在所述第一应用实体中的所述第一用户会话密钥的，并且，基于存储在所述核心网络中的第一网络会话密钥而在核心网络处生成第二网络会话密钥，其中，所述第二用户会话密钥与第二网络会话密钥相同。
附图说明
为更好地理解本发明，现在仅通过示例的方式而对附图进行参照，其中：
图1为结合有自举的简单网络图；
图2为示出了自举的消息流程图；
图3为示出了本发明的一个示例中的结构的网络图；
图4为本发明的一个示例的消息流程图；
图5为在用户设备侧具有递归认证的本发明的另一示例的网络图；
图6为应用于用户的归属环境的本发明的一个示例的网络图。
图1为结合有自举的简单网络图；
图2为示出了自举的消息流程图；
图3为示出了本发明的一个示例中的结构的网络图；
图4为本发明的一个示例的消息流程图；
图5为在用户设备侧具有递归认证的本发明的另一示例的网络图；
图6为应用于用户的归属环境的本发明的一个示例的网络图。
具体实施方式
这里，参考具体示例来描述本发明。然而，本发明不限于这些示例。
图1示出了采用自举的简单的3G网络100。网络100包括HSS(归属用户服务器)102、BSF(自举服务器功能)104、NAF(网络应用功能)106及UE(用户设备)108。在网络100中，BSF104与UE108使用AKA协议来互相认证对方。会话密钥一致，并且将会话密钥应用到UE108与NAF106之间的通信中。NAF106可以是服务提供商，提供诸如安全邮件、电子商务及支付、接入到公司网络等的服务。UE108可以是适当地设置的任意装置，诸如移动电话、PDA或膝上型计算机。UE108包含安全地持有与用户有关的信息(诸如用户身份及认证密钥)的USIM(用户身份模块)。
本领域的技术人员可以认识到，网络100中也可以存在其它单元，诸如网关、无线电网络控制器及其它网络单元。然而，为了简化而省略了这些单元。
HSS102和BSF104位于UE108的归属移动网络中。NF106可位于UE108的归属移动网络中，或者位于受访移动网络中。HSS102与BSF104可以通过通信链路110进行通信。BSF104与NAF106可以通过通信链路112进行通信。通信链路110和112通常是安全的有线连接。BSF104及NAF106可以分别通过通信链路114及116与UE108进行通信。通信链路114及116通常至少部分地包括无线空中接口。
必须在网络中的各个单元与UE108之间进行安全通信之前，进行UE108与网络的认证。请注意，在完成认证之前可以进行不安全的通信。可以在UE108与附接到该网络的另一个设备(诸如另一用户设备)或应用服务器(诸如NAF106)之间进行通信。认证对于在开始通信之前确保有关各方的完整性是重要的，并且还为后续通信中的数据加密提供了密钥的一致性以及密钥的交换(在合适的情况下)。当与UE108之间的来往通信是全部或部分地通过不安全信道进行时，在网络中使用加密密钥是非常重要的。在网络100中，通信链路114和116可以是非常容易被第三方拦截的无线空中接口，因此必须确保其安全。
网络中的认证基于由用户的归属网络中的USIM及AuC(认证中心)所安全地持有的共享密钥K。USIM采取存在于UE108中的智能卡的形式，而AuC通常为HSS102的一部分，或者连接到HSS102。为了简化，将AuC和HSS称为单个组合实体，即HSS102。因此，在开始认证之前，只有HSS102和UE108可以访问共享密钥K。
现在将参照图2并且使用类似的附图标记以参照图1中的单元，来描述网络100中的认证方法。
在步骤202中，通过UE108发送消息来发起UE108与NAF106之间的认证，以开始进行通信。NAF106将消息发送回UE108，以发起自举，如步骤204所示。另选的是，NAF106可以通过省略步骤202并通过步骤204直接地开始通信，来直接地发起通信。
然后，UE108在步骤206中将包括USIM的用户ID的消息发送给BSF104，以发起自举。然后在步骤208中，BSF104将请求消息发送给HSS102，以获取与所接收的用户ID相对应的至少一个认证向量AV。认证向量AV由HSS102生成，并且包括随机数RAND、可供BSF104使用以对UE108进行认证的期望的响应XRESHSS以及根据共享密钥K获得的一些加密密钥CK和完整性密钥IK。期望的响应XRESHSS是由HSS使用预定算法，根据所生成的随机数RAND及存储在HSS中的共享密钥K得到的。稍后使用CK和IK来生成会话密钥，或者可以直接将CK和IK本身用作会话密钥。
在步骤210中，将认证向量AV从HSS102发送到BSF104，并随后在步骤212中，由BSF104存储认证向量AV。
HSS102可以将多于一个的AV发送给BSF104。因此，如果BSF104已经持有与UE108相对应的至少一个AV，则可以省略步骤208到212。
为了对用户进行认证，在步骤214中BSF104在认证请求消息中将随机数RAND发送给UE108。然后在步骤216中，UE基于所接收的随机数RAND以及由UE108中的USIM所持有的共享密钥K，使用预定算法来计算期望的响应。在步骤218中，在授权响应消息中将由UE108所计算的期望的响应XRESUE发送给BSF104。
一旦BSF104接收到了授权响应消息，则BSF104在步骤220中针对从UE108接收到的XRESUE而对作为授权向量AV的一部分从HSS102发送并存储的XRESHSS进行检查。如果XRESHSS的值与XRESUE的值匹配，则在步骤222中对UE108授权，并且BSF104生成会话密钥Ks。基于由HSS102所持有的共享密钥K并使用适当的密钥生成算法而生成会话密钥Ks，并且可以根据在认证向量AV内传递给BSF104的密钥得到会话密钥Ks。类似地，在步骤224中，UE108也基于存储在USIM上的共享密钥K来生成会话密钥Ks，并且将该会话密钥Ks存储在UE108上的安全模块内或USIM上。因此，在认证之后，UE108与BSF104当前共享相同的会话密钥Ks。
然后在步骤226中，BSF104将OK响应消息发送给UE108，OK响应消息可以包括会话密钥Ks的使用寿命的指示。然后在步骤228中，BSF104将会话密钥Ks及会话密钥使用寿命发送给NAF106。NAF106与UE108现在共享相同的会话密钥Ks，在步骤232中，NAF106与UE108可通过该会话密钥Ks对数据加密，以使得能够确保彼此之间的安全通信。如果使用了密钥使用寿命，则在该使用寿命过去之后丢弃该会话密钥Ks。在该使用寿命过去之后，应该仅在重复认证过程和生成新的会话密钥Ks之后继续任何进一步的通信。
可以通过以下方法中的一种或更多种根据原始密钥来得到密钥：通过选择原始密钥的一部分；通过连接(concatenating)多个密钥；通过将单向(hash)函数应用于原始密钥；通过将一些逻辑转换(诸如XOR)或通过将加密算法(诸如DES)应用于原始密钥。本领域的技术人员可以理解的是，其它方法也是可行的。3G规范没有规定用于得到密钥的任何具体功能，只要HSS102和UE108(或更具体地说，USIM)使用相同的功能即可。
图3示出了本发明的一个示例中的网络300。网络300包括图1中的全部单元：HSS102、BSF104、NAF106及UE108。网络300还包括其它单元，即BSF’304及NAF’306。BSF’304通过通信链路310连接到NAF106，并且通过通信链路312连接到NAF’306。BSF’304及NAF’306还分别通过通信链路314及316连接到UE108。通信链路314及316可以至少部分地包括无线接口。
现在将参照图4来描述图3中的本发明的示例的操作。
图4是示出了在BSF’304、NAF’306与网络300的其余部分之间的密钥交换过程的消息流程图。首先，假定NAF106和UE108都持有使得它们能够互相安全地通信的会话密钥Ks。假定已经通过例如按照图2所示的一些或全部步骤而根据UE108和HSS102所持有的密钥K得到了会话密钥Ks。图4的步骤402和404中示出了会话密钥Ks的存储。请注意，具体地说，存储在UE108中的会话密钥Ks实际上可以存储在UE108中的USIM上。
在本发明的该示例中，当该另一NAF’306要求对UE108进行认证以及与UE108之间的密钥一致性时，NAF’306没有向BSF104做出请求，而是向该另一BSF，即BSF’304做出请求，并且在请求中指示了NAF’306试图进行认证并要与之建立安全通信的UE108。然后在步骤406中，BSF’304将请求消息发送给NAF106，以获取与UE108相对应的至少一个认证向量AV’。认证向量AV’是由NAF106在步骤408中生成的，包括随机数RAND’、可供BSF’304用于对UE108进行认证的期望响应XRES’NAF以及根据所存储的会话密钥Ks得到的一些加密密钥和完整性密钥。期望响应XRES’NAF是由NAF106使用适当算法根据所生成的随机数RAND及存储在该NAF中的会话密钥Ks而得到的。
在步骤410中，将认证向量AV’从NAF106发送到BSF304，并随后在步骤412中，由BSF’304存储认证向量AV’。
预先建立NAF’306与BSF’304之间的连接312，使得NAF’306始终知道它应当向哪个BSF’304递交其认证请求。此外，因为连接312用于传递敏感信息(诸如密钥Ks)，所以要确保它是安全的。
为了认证用户，BSF’304将随机数RAND’以及该认证过程是基于先前生成的会话密钥Ks而不是基于共享密钥K的指示发送给UE108。在该消息中，该指示可以采取简单标记(flag)或标志(marker)的形式。在步骤414中，在认证请求消息中发送随机数RAND’及密钥指示符。在步骤416中，UE108使用适当算法，基于所接收的随机数RAND’及所存储的会话密钥Ks来计算期望响应XRES’UE。在步骤418中，在授权响应消息中将由UE108所计算的期望响应XRES’UE发送给BSF’304。
一旦BSF’304接收到了授权响应消息，则BSF’304在步骤420中针对从UE108接收到的XRES’UE而对作为授权向量AV’的一部分从NAF106发送并存储的XRES’NAF进行检查。如果XRES’NAF的值与XRES’UE的值匹配，则在步骤422中对UE108授权，并且BSF’304生成另一会话密钥Ks’。基于存储在NAF106中的会话密钥Ks并使用适当的密钥生成算法而生成会话密钥Ks’。可以将NAF106在认证向量AV’中发送的加密密钥和完整性密钥用作会话密钥Ks’，或者可以通过诸如上述连接或其它方法根据加密密钥和完整性密钥生成Ks’。类似地，在步骤424中，UE108还基于存储在UE108中的会话密钥Ks来生成会话密钥Ks’。因此，在认证之后，UE108与BSF’304当前共享相同的会话密钥Ks’。
然后，BSF’304将新生成的会话密钥Ks’以及可选地将会话密钥使用寿命发送给NAF’306。NAF’306与UE108当前共享相同的会话密钥Ks’，在步骤230中，会话密钥Ks’可被用于加密数据以使得彼此之间能够进行安全通信。如果使用了密钥使用寿命，则在该使用寿命过去之后丢弃该会话密钥Ks’。然后，仅在重复认证过程和生成新的会话密钥Ks’之后继续任何进一步的通信。
由UE108和BSF’304生成Ks’的定时可以出现在以上过程中的任意时刻，唯一的要求在于，只有认证完成，Ks’就对UE108(更具体地，USIM)可用。
综上所述，由于NAF106拥有第一会话密钥Ks，该第一会话密钥Ks与UE108所持有的第一会话密钥Ks相同。因此，NAF106能够以与HSS102使用原始共享密钥K作为认证及生成会话密钥的基础的相同方式，使用Ks来有效地执行HSS(各种HSS’)的功能。
在本发明的其它示例中，可以不需要BSF’304，并且可以在NAF106内提供参照图4所概括的BSF’304的功能。在这种设置中，NAF106可以有效地用作为BSF，并且通过其存储的会话密钥Ks来对UE108进行认证，然后生成可以被直接地传送给NAF’306的另一会话密钥Ks’。
通常，HSS102与BSF104由移动网络运营商所控制。这样，每次NAF106或其它应用服务器要求对UE108进行认证并与UE108进行安全通信时，该NAF106或其它应用服务器必须对BSF104做出请求，如图2所示。然而，通过使用所述的本发明的示例，通过重复使用由BSF104提供给NAF106的原始会话密钥Ks，可以避免向BSF104重复地做出请求并因此避免向HSS102重复地做出请求。因此，将到HSS102和BSF104的业务量保持为最小，并且向要求对UE108进行认证的NAF106及其它单元(NAF106及其它单元不在其中驻留有HSS102及BSF104的归属网络的运营商的直接控制之下)提供了其它功能和鲁棒性。
还应当理解的是，也可以在UE108内或在网络的UE108侧而不是在核心网络侧重复以上按照图4描述的相同递归过程。图5示出了发生在UE108侧的这种递归过程。
在图5中示出了包括HSS102、BSF104以及UE108的网络500。然而，与图3中的网络300相比，网络500被设置为使得递归认证过程在UE108侧而不是在如此前参照图3和图4所描述的核心网络侧进行。
所示的UE108包括USIM502、NAF504、BSF’506以及NAF’508。以与以上参照图2和图4所描述的步骤202到224中所概括的相同方式，由网络来认证UE108，并生成用于确保通信安全的会话密钥Ks。网络500与图3中的网络300之间的区别在于，由UE108使用现有会话密钥Ks来发起对核心网络基础构架的认证并随后将该现有会话密钥Ks用作生成另一会话密钥Ks’(可使用该另一会话密钥Ks’来确保UE108与核心网络基础构架之间的通信安全)的基础，而在UE侧发起认证。
另选的是，可以将UE侧的递归过程用于生成可以从UE108输出到其它本地附接的设备(例如PDA或多媒体播放器)的另一会话密钥Ks’，使得其它设备可以使用该另一会话密钥Ks’安全地与核心网络进行通信。
由UE108，更具体地说，由NAF504、BSF’506及NAF’508所进行的步骤与图4中的步骤406到430相同，除了先前驻留在核心网络侧的NAF106、BSF’304及NAF’306当前形成了UE108的一部分或者与UE108相关联之外。同样，虽然在图4中认证是由BSF’304在核心网络侧发起并且指向UE108，但是在图5中的示例中，认证是由UE108发起并且指向核心网络，或者具体地说指向核心网络中的NAF。
图6示出了图4中所概括的过程与图5中的设置相结合使用的一个具体示例。
图6示出了可用于本地环境(home environment)中的设置，本地环境包括HSS602、BSF604、包含NAF608及BSF’610的本地集线器606、包含NAF’614的本地电视612、以及UE616。UE616还包括三个组件：USIM模块618、Java应用JA620以及媒体播放器MP622。
HSS602与BSF604形成了网络运营商的核心网络(在该示例中核心网络是3G UMTS网络)的一部分。本领域的技术人员可以理解的是，可以将该示例同样地应用于其它类型的蜂窝通信网络(诸如GSM)中。BSF604通过适当的连接(诸如所示的宽带BB连接)连接到用户的本地集线器606。本地集线器606可以是宽带路由器等。本地集线器606也可以具有无线能力，诸如使得本地集线器能够无线地连接到其它网络设备(诸如个人计算机、膝上型计算机和PDA)的WiFi收发机。本地集线器606可以形成可被其它设备所附接的用户本地环境或本地局域网的一部分。图5所示的其它设备的一个示例是本地电视612。本地局域网通常根据适当的局域网协议(诸如IEEE802.3以太网或IEEE802.11Wi-Fi)进行操作。
本地电视612可以利用到本地集线器606的连接，来经由宽带连接从互联网获得数据，或者从网络运营商的核心网络获得其它信息。服务的示例包括视频点播、节目信息等。本地电视612也可以包括可用于与本地集线器连接的Wi-Fi收发机，虽然也可以使用有线连接(诸如以太网连接)，并且本地电视612也可用于连接其它设备。
本地集线器606与本地电视612都能够连接到UE616，具体地说，连接到Java应用和媒体播放器622。该UE也具有Wi-Fi收发机，UE可以通过该Wi-Fi收发机无线地连接到本地集线器606及本地电视612。
在本示例中，其目的是通过本地电视612对媒体播放器622进行认证，使得能够将数据(诸如付费电视或音乐内容)从本地电视612传输到媒体播放器622。
本示例中的基本原理与在图4中概括的原理相同，即，如图4中直到步骤404所描述的一样，对UE和核心网络进行认证，生成会话密钥Ks并在本地集线器中的NAF608与UE616之间共享会话密钥Ks。然后，通过应用在图4的其余部分中所描述的递归技术，可独立于网络运营商、具体地说，独立于HSS602及BSF604来进行认证并且生成进一步的会话密钥。
现在参照图6中所示的步骤来描述本示例中的步骤。
步骤1：Java应用JA620向USIM618询问用户身份，并接收与网络运营商有关的身份。同时，JA620也可以从USIM618读取与必须向其做出认证请求的优选BSF的位置有关的信息。
步骤2：通过使用Wi-Fi(虽然在实践中也可以使用GSM和其它通信协议)，JA620连接到本地集线器606，并且经由宽带连接进而连接到BSF604，并使用从USIM618传递到JA620的ID请求发起自举。该步骤与图2中的步骤206等同。
步骤3：BSF604请求并从HSS602接收认证向量AV。该步骤与图2中的步骤208和212等同。
步骤4：BSF604在具有UE/USIM的UMTS上执行常规认证。结果，USIM生成了会话密钥Ks，会话密钥Ks也由HSS602提供给BSF604。认证机制及Ks密钥生成机制与图2的步骤214到224中所述的机制相同。
步骤5：BSF604将来自认证向量AV的Ks以及可选地连同Ks使用寿命经由宽带连接，传送到本地集线器606中的NAF608。该步骤与图2中的步骤228等同。
步骤6：BSF604还将密钥的成功生成以及可选地还包括密钥使用寿命，回应给Java应用620。该步骤与图2中的步骤226等同。
步骤7：Java应用620请求并从USIM618接收Ks。
在步骤1到7之后，UE616及核心网络有效地自举，并且JA620和本地集线器606已访问了Ks。当前，本地集线器606中的NAF608可有效地起到HSS’的作用，并且该过程如下继续：
步骤8：媒体播放器622提出请求以建立与本地电视612的安全会话，以使得能够例如安全地传输一些付费电视内容。该请求被具体地引导到本地电视612中的NAF’614。
步骤9：NAF’614通过请求媒体播放器发起自举而进行响应。
步骤10：媒体播放器622向Java应用620请求用户身份。请注意，由于不需要网络运营商，因此在该自举过程中的用户身份可以与步骤1中的用户身份不同。该用户身份是在NAF608与Java应用620之间一致同意的用户身份。
步骤11：媒体播放器622使用在步骤10中从Java应用620接收到的用户身份，来请求BSF’发起自举。
步骤12：本地集线器中的BSF’610请求并从NAF608(其当前有效地用作为HSS’)接收认证向量AV’。该步骤与图4中的步骤406到412等同。
步骤13：BSF’610基于挑战响应方法(其也与步骤4中的挑战响应方法相同)以图4的步骤414到420中所述的标准方式，来认证Java应用，但是将会话密钥Ks而不是初始共享密钥K用作用于认证的基础密钥。同时，在Java应用620以及在BSF’610基于Ks来生成另一会话密钥Ks’。该另一会话密钥的生成与图4中的步骤422和424等同。
步骤14：然后，BSF’610将Ks’并且可能连同该另一会话密钥Ks’的使用寿命传递给本地电视612中的NAF’614。该步骤与图4中的步骤426等同。
步骤15：BSF’610还可以将OK消息并且可能连同该另一会话密钥Ks’的使用寿命发送给媒体播放器622。
步骤16：媒体播放器622从Java应用620获取Ks’。
步骤17：NAF’614、并因此本地电视612及媒体播放器622当前共享相同的会话密钥Ks’。
因此，使用以上步骤中所概括的方法，可以对媒体播放器及本地电视进行认证。此外，基于现有的会话密钥Ks而生成在本地电视612与媒体播放器622之间使用的会话密钥Ks’。可将会话密钥Ks’用于对在本地电视612与媒体播放器622之间传送的任意数据进行加密和解密。然而，如果媒体播放器丢失或被窃，或者如果该另一会话密钥Ks’在某种程度上以某种方式受到破坏，则因为可以按照以上示例所述来基于第一会话密钥Ks而生成新的会话密钥，所以仍然不需要返回到网络运营商，具体地说，不需要返回到网络运营商的HSS/BSF来请求会话密钥。
在图6中的设置中，可以将HSS602和BSF604看作用户的本地移动/蜂窝网络的一部分，用户的本地移动/蜂窝网络也是网络运营商的网络。另一方面，可以将本地集线器606和本地电视612看作用户本地局域网、本地以太网、本地Wi-Fi等的组成部分。通过宽带连接来提供这两个不同网络之间的通信。
综上所述，通过对图4中所述的方法进行修改，图6中的本发明示例提供了在媒体播放器622与本地电视612之间共享的会话密钥Ks’，会话密钥Ks’可用于对不安全的Wi-Fi连接中的通信进行加密。该方法具有以下优点：不需要用户在本地集线器606或本地电视612以及在媒体播放器622上手动地输入一组匹配密钥。此外，即使会话密钥Ks’受到破坏，但是也可以基于第一会话密钥Ks而容易地生成新的会话密钥。此外，一旦确定了第一会话密钥Ks，则不需要向HSS102做出请求，使得通过宽带连接到该HSS的连接不必始终开放。
本领域的技术人员可以理解的是，可以与其它装置而不是与媒体播放器或本地电视一起操作本发明。实际上，在允许直接地连接到本地集线器之前或在连接到与本地集线器连接的另一单元之前需要进行认证的任何装置，或者需要以容易的方式来与本地集线器建立安全连接的任何装置都可以使用本发明。
而且，在本地集线器与多媒体播放器之间可以使用其它连接方式，而不仅仅是Wi-Fi连接。实际上，可以使用上述方法来确保多媒体播放器与本地集线器之间的任意通信的安全。
已经参考包括UMTS内部(intra-UMTS)及UMTS-GSM的3G环境来描述了以上示例。然而，本领域的技术人员可以理解的是，显然本方法可被其它类型的通信网络(诸如GSM、无线LAN或互联网)所采用。
这里请注意，虽然上文中描述了本发明的示例，但是，可以在不脱离由所附权利要求限定的本发明范围的情况下，对所述示例做出多种变形和修改。本领域的技术人员可以认识到对所述示例的修改。
图1示出了采用自举的简单的3G网络100。网络100包括HSS(归属用户服务器)102、BSF(自举服务器功能)104、NAF(网络应用功能)106及UE(用户设备)108。在网络100中，BSF104与UE108使用AKA协议来互相认证对方。会话密钥一致，并且将会话密钥应用到UE108与NAF106之间的通信中。NAF106可以是服务提供商，提供诸如安全邮件、电子商务及支付、接入到公司网络等的服务。UE108可以是适当地设置的任意装置，诸如移动电话、PDA或膝上型计算机。UE108包含安全地持有与用户有关的信息(诸如用户身份及认证密钥)的USIM(用户身份模块)。
本领域的技术人员可以认识到，网络100中也可以存在其它单元，诸如网关、无线电网络控制器及其它网络单元。然而，为了简化而省略了这些单元。
HSS102和BSF104位于UE108的归属移动网络中。NF106可位于UE108的归属移动网络中，或者位于受访移动网络中。HSS102与BSF104可以通过通信链路110进行通信。BSF104与NAF106可以通过通信链路112进行通信。通信链路110和112通常是安全的有线连接。BSF104及NAF106可以分别通过通信链路114及116与UE108进行通信。通信链路114及116通常至少部分地包括无线空中接口。
必须在网络中的各个单元与UE108之间进行安全通信之前，进行UE108与网络的认证。请注意，在完成认证之前可以进行不安全的通信。可以在UE108与附接到该网络的另一个设备(诸如另一用户设备)或应用服务器(诸如NAF106)之间进行通信。认证对于在开始通信之前确保有关各方的完整性是重要的，并且还为后续通信中的数据加密提供了密钥的一致性以及密钥的交换(在合适的情况下)。当与UE108之间的来往通信是全部或部分地通过不安全信道进行时，在网络中使用加密密钥是非常重要的。在网络100中，通信链路114和116可以是非常容易被第三方拦截的无线空中接口，因此必须确保其安全。
网络中的认证基于由用户的归属网络中的USIM及AuC(认证中心)所安全地持有的共享密钥K。USIM采取存在于UE108中的智能卡的形式，而AuC通常为HSS102的一部分，或者连接到HSS102。为了简化，将AuC和HSS称为单个组合实体，即HSS102。因此，在开始认证之前，只有HSS102和UE108可以访问共享密钥K。
现在将参照图2并且使用类似的附图标记以参照图1中的单元，来描述网络100中的认证方法。
在步骤202中，通过UE108发送消息来发起UE108与NAF106之间的认证，以开始进行通信。NAF106将消息发送回UE108，以发起自举，如步骤204所示。另选的是，NAF106可以通过省略步骤202并通过步骤204直接地开始通信，来直接地发起通信。
然后，UE108在步骤206中将包括USIM的用户ID的消息发送给BSF104，以发起自举。然后在步骤208中，BSF104将请求消息发送给HSS102，以获取与所接收的用户ID相对应的至少一个认证向量AV。认证向量AV由HSS102生成，并且包括随机数RAND、可供BSF104使用以对UE108进行认证的期望的响应XRESHSS以及根据共享密钥K获得的一些加密密钥CK和完整性密钥IK。期望的响应XRESHSS是由HSS使用预定算法，根据所生成的随机数RAND及存储在HSS中的共享密钥K得到的。稍后使用CK和IK来生成会话密钥，或者可以直接将CK和IK本身用作会话密钥。
在步骤210中，将认证向量AV从HSS102发送到BSF104，并随后在步骤212中，由BSF104存储认证向量AV。
HSS102可以将多于一个的AV发送给BSF104。因此，如果BSF104已经持有与UE108相对应的至少一个AV，则可以省略步骤208到212。
为了对用户进行认证，在步骤214中BSF104在认证请求消息中将随机数RAND发送给UE108。然后在步骤216中，UE基于所接收的随机数RAND以及由UE108中的USIM所持有的共享密钥K，使用预定算法来计算期望的响应。在步骤218中，在授权响应消息中将由UE108所计算的期望的响应XRESUE发送给BSF104。
一旦BSF104接收到了授权响应消息，则BSF104在步骤220中针对从UE108接收到的XRESUE而对作为授权向量AV的一部分从HSS102发送并存储的XRESHSS进行检查。如果XRESHSS的值与XRESUE的值匹配，则在步骤222中对UE108授权，并且BSF104生成会话密钥Ks。基于由HSS102所持有的共享密钥K并使用适当的密钥生成算法而生成会话密钥Ks，并且可以根据在认证向量AV内传递给BSF104的密钥得到会话密钥Ks。类似地，在步骤224中，UE108也基于存储在USIM上的共享密钥K来生成会话密钥Ks，并且将该会话密钥Ks存储在UE108上的安全模块内或USIM上。因此，在认证之后，UE108与BSF104当前共享相同的会话密钥Ks。
然后在步骤226中，BSF104将OK响应消息发送给UE108，OK响应消息可以包括会话密钥Ks的使用寿命的指示。然后在步骤228中，BSF104将会话密钥Ks及会话密钥使用寿命发送给NAF106。NAF106与UE108现在共享相同的会话密钥Ks，在步骤232中，NAF106与UE108可通过该会话密钥Ks对数据加密，以使得能够确保彼此之间的安全通信。如果使用了密钥使用寿命，则在该使用寿命过去之后丢弃该会话密钥Ks。在该使用寿命过去之后，应该仅在重复认证过程和生成新的会话密钥Ks之后继续任何进一步的通信。
可以通过以下方法中的一种或更多种根据原始密钥来得到密钥：通过选择原始密钥的一部分；通过连接(concatenating)多个密钥；通过将单向(hash)函数应用于原始密钥；通过将一些逻辑转换(诸如XOR)或通过将加密算法(诸如DES)应用于原始密钥。本领域的技术人员可以理解的是，其它方法也是可行的。3G规范没有规定用于得到密钥的任何具体功能，只要HSS102和UE108(或更具体地说，USIM)使用相同的功能即可。
图3示出了本发明的一个示例中的网络300。网络300包括图1中的全部单元：HSS102、BSF104、NAF106及UE108。网络300还包括其它单元，即BSF’304及NAF’306。BSF’304通过通信链路310连接到NAF106，并且通过通信链路312连接到NAF’306。BSF’304及NAF’306还分别通过通信链路314及316连接到UE108。通信链路314及316可以至少部分地包括无线接口。
现在将参照图4来描述图3中的本发明的示例的操作。
图4是示出了在BSF’304、NAF’306与网络300的其余部分之间的密钥交换过程的消息流程图。首先，假定NAF106和UE108都持有使得它们能够互相安全地通信的会话密钥Ks。假定已经通过例如按照图2所示的一些或全部步骤而根据UE108和HSS102所持有的密钥K得到了会话密钥Ks。图4的步骤402和404中示出了会话密钥Ks的存储。请注意，具体地说，存储在UE108中的会话密钥Ks实际上可以存储在UE108中的USIM上。
在本发明的该示例中，当该另一NAF’306要求对UE108进行认证以及与UE108之间的密钥一致性时，NAF’306没有向BSF104做出请求，而是向该另一BSF，即BSF’304做出请求，并且在请求中指示了NAF’306试图进行认证并要与之建立安全通信的UE108。然后在步骤406中，BSF’304将请求消息发送给NAF106，以获取与UE108相对应的至少一个认证向量AV’。认证向量AV’是由NAF106在步骤408中生成的，包括随机数RAND’、可供BSF’304用于对UE108进行认证的期望响应XRES’NAF以及根据所存储的会话密钥Ks得到的一些加密密钥和完整性密钥。期望响应XRES’NAF是由NAF106使用适当算法根据所生成的随机数RAND及存储在该NAF中的会话密钥Ks而得到的。
在步骤410中，将认证向量AV’从NAF106发送到BSF304，并随后在步骤412中，由BSF’304存储认证向量AV’。
预先建立NAF’306与BSF’304之间的连接312，使得NAF’306始终知道它应当向哪个BSF’304递交其认证请求。此外，因为连接312用于传递敏感信息(诸如密钥Ks)，所以要确保它是安全的。
为了认证用户，BSF’304将随机数RAND’以及该认证过程是基于先前生成的会话密钥Ks而不是基于共享密钥K的指示发送给UE108。在该消息中，该指示可以采取简单标记(flag)或标志(marker)的形式。在步骤414中，在认证请求消息中发送随机数RAND’及密钥指示符。在步骤416中，UE108使用适当算法，基于所接收的随机数RAND’及所存储的会话密钥Ks来计算期望响应XRES’UE。在步骤418中，在授权响应消息中将由UE108所计算的期望响应XRES’UE发送给BSF’304。
一旦BSF’304接收到了授权响应消息，则BSF’304在步骤420中针对从UE108接收到的XRES’UE而对作为授权向量AV’的一部分从NAF106发送并存储的XRES’NAF进行检查。如果XRES’NAF的值与XRES’UE的值匹配，则在步骤422中对UE108授权，并且BSF’304生成另一会话密钥Ks’。基于存储在NAF106中的会话密钥Ks并使用适当的密钥生成算法而生成会话密钥Ks’。可以将NAF106在认证向量AV’中发送的加密密钥和完整性密钥用作会话密钥Ks’，或者可以通过诸如上述连接或其它方法根据加密密钥和完整性密钥生成Ks’。类似地，在步骤424中，UE108还基于存储在UE108中的会话密钥Ks来生成会话密钥Ks’。因此，在认证之后，UE108与BSF’304当前共享相同的会话密钥Ks’。
然后，BSF’304将新生成的会话密钥Ks’以及可选地将会话密钥使用寿命发送给NAF’306。NAF’306与UE108当前共享相同的会话密钥Ks’，在步骤230中，会话密钥Ks’可被用于加密数据以使得彼此之间能够进行安全通信。如果使用了密钥使用寿命，则在该使用寿命过去之后丢弃该会话密钥Ks’。然后，仅在重复认证过程和生成新的会话密钥Ks’之后继续任何进一步的通信。
由UE108和BSF’304生成Ks’的定时可以出现在以上过程中的任意时刻，唯一的要求在于，只有认证完成，Ks’就对UE108(更具体地，USIM)可用。
综上所述，由于NAF106拥有第一会话密钥Ks，该第一会话密钥Ks与UE108所持有的第一会话密钥Ks相同。因此，NAF106能够以与HSS102使用原始共享密钥K作为认证及生成会话密钥的基础的相同方式，使用Ks来有效地执行HSS(各种HSS’)的功能。
在本发明的其它示例中，可以不需要BSF’304，并且可以在NAF106内提供参照图4所概括的BSF’304的功能。在这种设置中，NAF106可以有效地用作为BSF，并且通过其存储的会话密钥Ks来对UE108进行认证，然后生成可以被直接地传送给NAF’306的另一会话密钥Ks’。
通常，HSS102与BSF104由移动网络运营商所控制。这样，每次NAF106或其它应用服务器要求对UE108进行认证并与UE108进行安全通信时，该NAF106或其它应用服务器必须对BSF104做出请求，如图2所示。然而，通过使用所述的本发明的示例，通过重复使用由BSF104提供给NAF106的原始会话密钥Ks，可以避免向BSF104重复地做出请求并因此避免向HSS102重复地做出请求。因此，将到HSS102和BSF104的业务量保持为最小，并且向要求对UE108进行认证的NAF106及其它单元(NAF106及其它单元不在其中驻留有HSS102及BSF104的归属网络的运营商的直接控制之下)提供了其它功能和鲁棒性。
还应当理解的是，也可以在UE108内或在网络的UE108侧而不是在核心网络侧重复以上按照图4描述的相同递归过程。图5示出了发生在UE108侧的这种递归过程。
在图5中示出了包括HSS102、BSF104以及UE108的网络500。然而，与图3中的网络300相比，网络500被设置为使得递归认证过程在UE108侧而不是在如此前参照图3和图4所描述的核心网络侧进行。
所示的UE108包括USIM502、NAF504、BSF’506以及NAF’508。以与以上参照图2和图4所描述的步骤202到224中所概括的相同方式，由网络来认证UE108，并生成用于确保通信安全的会话密钥Ks。网络500与图3中的网络300之间的区别在于，由UE108使用现有会话密钥Ks来发起对核心网络基础构架的认证并随后将该现有会话密钥Ks用作生成另一会话密钥Ks’(可使用该另一会话密钥Ks’来确保UE108与核心网络基础构架之间的通信安全)的基础，而在UE侧发起认证。
另选的是，可以将UE侧的递归过程用于生成可以从UE108输出到其它本地附接的设备(例如PDA或多媒体播放器)的另一会话密钥Ks’，使得其它设备可以使用该另一会话密钥Ks’安全地与核心网络进行通信。
由UE108，更具体地说，由NAF504、BSF’506及NAF’508所进行的步骤与图4中的步骤406到430相同，除了先前驻留在核心网络侧的NAF106、BSF’304及NAF’306当前形成了UE108的一部分或者与UE108相关联之外。同样，虽然在图4中认证是由BSF’304在核心网络侧发起并且指向UE108，但是在图5中的示例中，认证是由UE108发起并且指向核心网络，或者具体地说指向核心网络中的NAF。
图6示出了图4中所概括的过程与图5中的设置相结合使用的一个具体示例。
图6示出了可用于本地环境(home environment)中的设置，本地环境包括HSS602、BSF604、包含NAF608及BSF’610的本地集线器606、包含NAF’614的本地电视612、以及UE616。UE616还包括三个组件：USIM模块618、Java应用JA620以及媒体播放器MP622。
HSS602与BSF604形成了网络运营商的核心网络(在该示例中核心网络是3G UMTS网络)的一部分。本领域的技术人员可以理解的是，可以将该示例同样地应用于其它类型的蜂窝通信网络(诸如GSM)中。BSF604通过适当的连接(诸如所示的宽带BB连接)连接到用户的本地集线器606。本地集线器606可以是宽带路由器等。本地集线器606也可以具有无线能力，诸如使得本地集线器能够无线地连接到其它网络设备(诸如个人计算机、膝上型计算机和PDA)的WiFi收发机。本地集线器606可以形成可被其它设备所附接的用户本地环境或本地局域网的一部分。图5所示的其它设备的一个示例是本地电视612。本地局域网通常根据适当的局域网协议(诸如IEEE802.3以太网或IEEE802.11Wi-Fi)进行操作。
本地电视612可以利用到本地集线器606的连接，来经由宽带连接从互联网获得数据，或者从网络运营商的核心网络获得其它信息。服务的示例包括视频点播、节目信息等。本地电视612也可以包括可用于与本地集线器连接的Wi-Fi收发机，虽然也可以使用有线连接(诸如以太网连接)，并且本地电视612也可用于连接其它设备。
本地集线器606与本地电视612都能够连接到UE616，具体地说，连接到Java应用和媒体播放器622。该UE也具有Wi-Fi收发机，UE可以通过该Wi-Fi收发机无线地连接到本地集线器606及本地电视612。
在本示例中，其目的是通过本地电视612对媒体播放器622进行认证，使得能够将数据(诸如付费电视或音乐内容)从本地电视612传输到媒体播放器622。
本示例中的基本原理与在图4中概括的原理相同，即，如图4中直到步骤404所描述的一样，对UE和核心网络进行认证，生成会话密钥Ks并在本地集线器中的NAF608与UE616之间共享会话密钥Ks。然后，通过应用在图4的其余部分中所描述的递归技术，可独立于网络运营商、具体地说，独立于HSS602及BSF604来进行认证并且生成进一步的会话密钥。
现在参照图6中所示的步骤来描述本示例中的步骤。
步骤1：Java应用JA620向USIM618询问用户身份，并接收与网络运营商有关的身份。同时，JA620也可以从USIM618读取与必须向其做出认证请求的优选BSF的位置有关的信息。
步骤2：通过使用Wi-Fi(虽然在实践中也可以使用GSM和其它通信协议)，JA620连接到本地集线器606，并且经由宽带连接进而连接到BSF604，并使用从USIM618传递到JA620的ID请求发起自举。该步骤与图2中的步骤206等同。
步骤3：BSF604请求并从HSS602接收认证向量AV。该步骤与图2中的步骤208和212等同。
步骤4：BSF604在具有UE/USIM的UMTS上执行常规认证。结果，USIM生成了会话密钥Ks，会话密钥Ks也由HSS602提供给BSF604。认证机制及Ks密钥生成机制与图2的步骤214到224中所述的机制相同。
步骤5：BSF604将来自认证向量AV的Ks以及可选地连同Ks使用寿命经由宽带连接，传送到本地集线器606中的NAF608。该步骤与图2中的步骤228等同。
步骤6：BSF604还将密钥的成功生成以及可选地还包括密钥使用寿命，回应给Java应用620。该步骤与图2中的步骤226等同。
步骤7：Java应用620请求并从USIM618接收Ks。
在步骤1到7之后，UE616及核心网络有效地自举，并且JA620和本地集线器606已访问了Ks。当前，本地集线器606中的NAF608可有效地起到HSS’的作用，并且该过程如下继续：
步骤8：媒体播放器622提出请求以建立与本地电视612的安全会话，以使得能够例如安全地传输一些付费电视内容。该请求被具体地引导到本地电视612中的NAF’614。
步骤9：NAF’614通过请求媒体播放器发起自举而进行响应。
步骤10：媒体播放器622向Java应用620请求用户身份。请注意，由于不需要网络运营商，因此在该自举过程中的用户身份可以与步骤1中的用户身份不同。该用户身份是在NAF608与Java应用620之间一致同意的用户身份。
步骤11：媒体播放器622使用在步骤10中从Java应用620接收到的用户身份，来请求BSF’发起自举。
步骤12：本地集线器中的BSF’610请求并从NAF608(其当前有效地用作为HSS’)接收认证向量AV’。该步骤与图4中的步骤406到412等同。
步骤13：BSF’610基于挑战响应方法(其也与步骤4中的挑战响应方法相同)以图4的步骤414到420中所述的标准方式，来认证Java应用，但是将会话密钥Ks而不是初始共享密钥K用作用于认证的基础密钥。同时，在Java应用620以及在BSF’610基于Ks来生成另一会话密钥Ks’。该另一会话密钥的生成与图4中的步骤422和424等同。
步骤14：然后，BSF’610将Ks’并且可能连同该另一会话密钥Ks’的使用寿命传递给本地电视612中的NAF’614。该步骤与图4中的步骤426等同。
步骤15：BSF’610还可以将OK消息并且可能连同该另一会话密钥Ks’的使用寿命发送给媒体播放器622。
步骤16：媒体播放器622从Java应用620获取Ks’。
步骤17：NAF’614、并因此本地电视612及媒体播放器622当前共享相同的会话密钥Ks’。
因此，使用以上步骤中所概括的方法，可以对媒体播放器及本地电视进行认证。此外，基于现有的会话密钥Ks而生成在本地电视612与媒体播放器622之间使用的会话密钥Ks’。可将会话密钥Ks’用于对在本地电视612与媒体播放器622之间传送的任意数据进行加密和解密。然而，如果媒体播放器丢失或被窃，或者如果该另一会话密钥Ks’在某种程度上以某种方式受到破坏，则因为可以按照以上示例所述来基于第一会话密钥Ks而生成新的会话密钥，所以仍然不需要返回到网络运营商，具体地说，不需要返回到网络运营商的HSS/BSF来请求会话密钥。
在图6中的设置中，可以将HSS602和BSF604看作用户的本地移动/蜂窝网络的一部分，用户的本地移动/蜂窝网络也是网络运营商的网络。另一方面，可以将本地集线器606和本地电视612看作用户本地局域网、本地以太网、本地Wi-Fi等的组成部分。通过宽带连接来提供这两个不同网络之间的通信。
综上所述，通过对图4中所述的方法进行修改，图6中的本发明示例提供了在媒体播放器622与本地电视612之间共享的会话密钥Ks’，会话密钥Ks’可用于对不安全的Wi-Fi连接中的通信进行加密。该方法具有以下优点：不需要用户在本地集线器606或本地电视612以及在媒体播放器622上手动地输入一组匹配密钥。此外，即使会话密钥Ks’受到破坏，但是也可以基于第一会话密钥Ks而容易地生成新的会话密钥。此外，一旦确定了第一会话密钥Ks，则不需要向HSS102做出请求，使得通过宽带连接到该HSS的连接不必始终开放。
本领域的技术人员可以理解的是，可以与其它装置而不是与媒体播放器或本地电视一起操作本发明。实际上，在允许直接地连接到本地集线器之前或在连接到与本地集线器连接的另一单元之前需要进行认证的任何装置，或者需要以容易的方式来与本地集线器建立安全连接的任何装置都可以使用本发明。
而且，在本地集线器与多媒体播放器之间可以使用其它连接方式，而不仅仅是Wi-Fi连接。实际上，可以使用上述方法来确保多媒体播放器与本地集线器之间的任意通信的安全。
已经参考包括UMTS内部(intra-UMTS)及UMTS-GSM的3G环境来描述了以上示例。然而，本领域的技术人员可以理解的是，显然本方法可被其它类型的通信网络(诸如GSM、无线LAN或互联网)所采用。
这里请注意，虽然上文中描述了本发明的示例，但是，可以在不脱离由所附权利要求限定的本发明范围的情况下，对所述示例做出多种变形和修改。本领域的技术人员可以认识到对所述示例的修改。