专利名称：一种scdma通信系统的鉴权系统和鉴权方法
技术领域：
本发明通常涉及一种SCDMA通信系统鉴权系统及鉴权方法。
背景技术：
由于空中信道的开放性，使保密性和安全性机制成为无线通信系统的必备技术。鉴权是安全性机制的重要环节。通过鉴权可以检验终端设备发送到无线系统上的身份是否合法，以便防止非法用户盗用运营商的资源或合法用户的帐户。
现有各种无线通信的鉴权方法已有被攻击发现漏洞的先例，尤其因为其鉴权方法涉及到的核心算法都不公开。由于SCDMA无线通信系统的网络组成和结构与现有技术不同，因此，需要一种适于本系统的高度保密的鉴权系统和方法，以保证SCDMA无线通信系统合法用户的利益和SCDMA网络的安全性。
发明内容
本发明的一个目的是提供一种SCDMA通信系统的鉴权系统，另一个目的是提供一种SCDMA通信系统的鉴权方法。
本发明的SCDMA通信系统的鉴权系统，包括终端设备、基站、基站控制器和鉴权中心，其中所述终端设备存储有鉴权算法(As.b)，可以根据参数生成鉴权响应值并通过基站传给基站控制器；基站控制器一方面通过基站和终端设备相互传递信息，另一方面和鉴权中心相连接，将终端设备反馈的鉴权响应值(SERS′)与鉴权中心的鉴权响应值(SERS)相比较，得出鉴权结果；和鉴权中心存储有鉴权算法(As.a)，位于SCDMA网络侧并包括一个独立计算机构、鉴权算法机构、与基站控制器通信的模块以及与本地位置寄存器通信的模块，其中，该鉴权算法机构可以从该独立计算机构取得随机数，可以从本地位置寄存器根据用户标识号查询得到用户的身份安全号，还可以根据用户标识号得到用户的鉴权算法版本号；该鉴权算法机构还可以根据随机数和用户身份安全号、应用与用户的鉴权算法版本号对应的鉴权算法(As.a)运算生成鉴权响应；与基站控制器通信的模块可以将该随机数和鉴权响应值传递给基站控制器；所述独立计算机构和基站控制器、终端设备都没有连接关系，仅与鉴权中心直接连接。
优选地，所述鉴权中心还包括用户数据烧录中心。
本发明的鉴权方法，包括以下步骤(1)终端设备登录或发出呼叫请求时，在需要鉴权的情况下，由基站控制器向鉴权中心发起鉴权请求；(2)鉴权中心根据鉴权请求消息中的用户标识号从本地位置寄存器通过查询得到对应的用户身份安全号，还根据该用户标识号获取用户的鉴权算法版本号，另外独立运算机构生成的一组随机数；鉴权算法机构根据身份安全号和该组随机数应用相应的鉴权算法(As.a)运算生成一组鉴权响应值(SRES)和一个密钥；然后将该组响应值、密钥和该组随机数传递给基站控制器；(3)基站控制器将该组随机数传递给基站，基站通过空中信道传递给终端设备；(4)终端设备根据其用户身份安全号和该组随机数应用其鉴权算法(As.b)运算生成一组鉴权响应值(SRES′)和另一个密钥，然后该加密的鉴权响应值通过空中信道传递给基站，经基站再传递给基站控制器；(5)基站控制器在对终端设备传来的鉴权响应值解密后依次比较终端设备和鉴权中心的鉴权响应值，如果对应同一随机数的两个响应值相等，表明当前用户是合法的；如果对应任一随机数的两个响应值都不等且鉴权次数没有超过最大鉴权次数上限时，则重复步骤(1)-(4)，否则表示鉴权失败。
优选地，所述的随机数的长度为128比特。
优选地，所述的用户身份安全号的长度为128比特，其中前8比特为鉴权算法版本号。
优选地，每一组随机数包括3个随机数。
优选地，终端设备和基站控制器分别应用各自的鉴权算法根据用户身份安全号和随机数进行变换和非线性运算时，生成鉴权响应值为32比特，加密密钥为96比特。
优选地，需要鉴权的情况包括用户开机注册、位置更新注册、定时注册以及每一次呼出通话时。
优选地，所述最大鉴权次数上限为3，所述鉴权次数为基站控制器向鉴权中心发出鉴权请求的次数。
优选地，所述用户的身份安全号和用户标识号可以用另一种密钥(HLR_KEY)进行扰码。
优选地，鉴权方法通过将不同的终端设备版本号对应一种鉴权算法，来扩展鉴权方法或支持任何第三方鉴权算法。
使用本发明的鉴权系统和鉴权方法，在不影响正常通讯的前提下，可以大大提高SCDMA通讯系统的通讯的安全性。本发明的鉴权系统还具有可扩展的优越性，除了向普通用户提供安全的鉴权算法和流程以外，还提供了支持任何第三方鉴权算法的接口，以满足特殊用户的安全性能需求。
结合附图阅读以下的详细说明，本发明的目的和优点会变得显而易见。附图中图1表示本发明的鉴权系统示意图；图2表示本发明的鉴权方法的数据流向图；图3表示本发明的鉴权过程的流程图。
具体实施例方式
SCDMA无线通信系统主要包含终端设备HS、基站BS、基站控制器BSC、本地移动控制中心LMCC、本地位置寄存器HLR、来访位置寄存器VLR。SCDMA系统鉴权是指网络对终端设备合法性的鉴定。合法的用户是指经过SCDMA系统合法开户并具有固定识别号码的终端设备。
在SCDMA系统中，完全或部分地标识用户身份的号码有用户设备标识号PID、用户标识号UID和用户电话号码ISDN。这些号码在网络中都是可见的，维护管理人员可以通过操作终端设备获得用户的这些信息。因此，它们不能对用户身份保密。为此，SCDMA系统为用户配置一个用户身份安全号SID。用户身份安全号SID由用户数据烧录中心STBC在用户开户时产生并通过加密方式传送给用户，存储在终端设备中，同时在HLR的用户记录中加密存贮该用户身份安全号SID，但该值对任何维护管理人员不可见。操作人员不能通过读取HLR数据库得到真实的用户身份安全号SID，也不能从终端设备HS中读取用户身份安全号SID。
图1示出了本发明的SCDMA通信系统的鉴权系统，该鉴权系统包括终端设备HS、基站BS、基站控制器BSC和鉴权中心AUC，其中终端设备HS存储有鉴权算法As.b，可以根据参数生成鉴权响应值SERS′和密钥Ks，并通过基站BS传给基站控制器BSC；基站控制器BSC，一方面通过基站BS和终端设备HS相互传递信息，另一方面和鉴权中心AUC相连接，可以将终端设备HS反馈的鉴权响应值SERS′与鉴权中心AUC的鉴权响应值SERS相比较，得出鉴权结果；和存储有鉴权算法As.a的鉴权中心AUC，该鉴权中心AUC位于SCDMA网络侧并包括一个独立计算机构、鉴权算法机构、与基站控制器BSC通信的模块以及与本地位置寄存器HLR通信的模块；其中，该鉴权算法机构可以从该独立计算机构取得随机数RAND，可以从本地位置寄存器HLR根据用户标识号UID查询得到用户身份安全号SID，还可以根据用户标识号UID得到用户的鉴权算法版本号；该鉴权算法机构还可以随机数RAND和用户身份安全号SID、应用与用户的鉴权算法版本号对应的鉴权算法As.a运算生成鉴权响应值SERS和密钥；其中独立计算机构可以通过时钟信息生成随机数。
与基站控制器BSC通信的模块可以将随机数RAND、密钥和鉴权响应值SERS传递给基站控制器BSC；所述独立计算机构和基站控制器BSC、终端设备HS都没有连接关系，仅与鉴权中心AUC直接连接。
而且，鉴权中心AUC还可以包括用户数据烧录中心STBC。
如图2和3示出了本发明的鉴权方法的数据流向和流程首先，在需要鉴权时，由基站控制器BSC向鉴权中心AUC发起鉴权请求。终端设备在开机注册、位置更新注册、定时注册以及每次呼出通话时，都必须进行鉴权。当用户以软切换的方式发生位置更新时，不进行鉴权。
其次，鉴权中心AUC根据鉴权请求消息中的用户标识号UID从本地位置寄存器HLR通过查询得到对应的用户身份安全号SID，用户身份安全号SID的长度为128比特，其中前8比特设定为鉴权算法版本号；鉴权中心AUC还根据该用户标识号UID获取用户的鉴权算法版本号；另外独立运算机构生成的3个长度分别为128比特的随机数Rand；鉴权算法机构根据用户身份安全号SID和随机数RAND应用鉴权算法As.a运算生成鉴权响应值SRES和密钥Ks；然后将鉴权响应值SRES、密钥Ks和随机数RAND传递给基站控制器BSC。随机数RAND的长度定为128比特可以提高SCDMA系统鉴权方法的安全性，该参数来自于一个独立运行的计算机构。盗贼不易获得。
再次，基站控制器BSC将随机数RAND传递给基站，基站通过空中信道传递给终端设备。
然后，终端设备根据其用户身份安全号SID和随机数RAND应用其鉴权算法As.b运算生成鉴权响应值SRES′和加密密钥Ks，其中鉴权响应值SRES′为32比特，加密密钥为96比特，然后将加密的鉴权响应值通过空中信道传递给基站，经基站再传递给基站控制器BSC。加密密钥Ks使得鉴权响应有较高的非线性度，使盗贼很难从加密的鉴权响应值推测出用户身份安全号SID。
最后，基站控制器BSC在对加密的鉴权响应值解密后依次比较鉴权响应值SRES和鉴权响应值SRES′，如果对应同一随机数的两个响应值相等，表明当前终端设备是合法的；如果对应任一随机数的两个响应值都不等且鉴权次数没有超过3时，则重新执行鉴权流程，否则表示鉴权失败。对一次鉴权请求，鉴权次数的上限AU_Max一般在3以内，它是基于网络流量及鉴权成功率考虑的实验值，可以在网络管理平台对该值进行微调。
其中，所述用户身份安全号SID和用户识别号UID可以用密钥HLR_KEY进行扰码。密钥HLR_KEY是系统开局时鉴权中心AUC产生的密钥，它存于鉴权中心AUC、用户数据烧录中心STBC、网络管理服务器NMS中，同时密存于光盘介质，对于一个本地位置寄存器HLR来说，具有唯一性，它用于扰码用户身份安全号SID和用户识别号UID，可以避免跟用户身份和鉴权有关的开户信息被泄漏。
本发明的鉴权方法也可以通过终端设备版本号扩展鉴权方法，还可通过该版本号支持任何第三方鉴权算法。用户身份安全号SID包含终端设备HS的版本号。可以将不同的终端设备版本号，对应一种鉴权算法。任何第三方的独立鉴权算法，与SCDMA系统进行协商后，可以获得一个合法的版本号，采用该算法的终端设备在生产时烧入该鉴权算法，在开户时获得带有该版本号的用户身份安全号SID，同时鉴权中心存放该版本号对应的鉴权算法。这样的终端设备即可获得另一种鉴权算法的鉴权。
用户身份安全号SID中携带有终端设备版本信息，鉴权中心AUC和终端设备根据该版本号选择鉴权算法的级别。此鉴权方法可以通过该版本号扩展鉴权算法。SCDMA系统本身提供三个级别鉴权算法的接口，第一级鉴于终端设备的处理能力限制，采用算法Level1；随着新的终端设备处理平台的升级，可以提供支持商密级Level2和军密级Level3鉴权算法。此外，SCDMA系统还通过该版本号支持任何第三方鉴权算法，以满足特殊用户的特殊安全性能需求。
使用本发明的鉴权系统和鉴权方法，鉴权过程一般约为200毫秒，在最不顺利的情况下(即三次鉴权请求共9个参数鉴权均失败)不超过5秒，这样，在不影响正常通讯的前提下，可以大大提高SCDMA通讯系统的通讯的安全性。本发明的鉴权系统还具有可扩展的优越性，除了向普通用户提供安全的鉴权算法和流程以外，还提供了支持任何第三方鉴权算法的接口，以满足特殊用户的安全性能需求。
权利要求
1.一种SCDMA通信系统的鉴权系统，包括终端设备、基站、基站控制器和鉴权中心，其特征在于；所述终端设备存储有鉴权算法(As.b)，可以根据参数生成鉴权响应值并通过基站传给基站控制器；基站控制器一方面通过基站和终端设备相互传递信息，另一方面和鉴权中心相连接，将终端设备反馈的鉴权响应值(SERS′)与鉴权中心的鉴权响应值(SERS)相比较，得出鉴权结果；和鉴权中心存储有鉴权算法(As.a)，位于SCDMA网络侧并包括一个独立计算机构、鉴权算法机构、与基站控制器通信的模块以及与本地位置寄存器通信的模块，其中，该鉴权算法机构可以从该独立计算机构取得随机数，可以从本地位置寄存器根据用户标识号查询得到用户的身份安全号，还可以根据用户标识号得到用户的鉴权算法版本号；该鉴权算法机构还可以根据随机数和用户身份安全号、应用与用户的鉴权算法版本号对应的鉴权算法(As.a)运算生成鉴权响应；与基站控制器通信的模块可以将该随机数和鉴权响应值传递给基站控制器；所述独立计算机构和基站控制器、终端设备都没有连接关系，仅与鉴权中心直接连接。
2.如权利要求1所述的鉴权系统，其特征在于所述鉴权中心还包括用户数据烧录中心。
3.一种利用权利要求1所述的鉴权系统进行的鉴权方法，其特征在于包括以下步骤(1)终端设备登录或发出呼叫请求时，在需要鉴权的情况下，由基站控制器向鉴权中心发起鉴权请求；(2)鉴权中心根据鉴权请求消息中的用户标识号从本地位置寄存器通过查询得到对应的用户身份安全号，还根据该用户标识号获取用户的鉴权算法版本号，另外独立运算机构生成的一组随机数；鉴权算法机构根据身份安全号和该组随机数应用相应的鉴权算法运算生成一组鉴权响应值(SRES)和一个密钥；然后将该组响应值、该密钥和该组随机数传递给基站控制器；(3)基站控制器将该组随机数传递给基站，基站通过空中信道传递给终端设备；(4)终端设备根据其用户身份安全号和该组随机数应用其鉴权算法(As.b)运算生成一组鉴权响应值(SRES′)和另一个密钥，然后将该加密的鉴权响应值通过空中信道传递给基站，经基站再传递给基站控制器；(5)基站控制器在对终端设备传来的鉴权响应值解密后依次比较终端设备和鉴权中心的鉴权响应值，如果对应同一随机数的两个响应值相等，表明当前用户是合法的；如果对应任一随机数的两个响应值都不等且鉴权次数没有超过最大鉴权次数上限时，则重复步骤(1)-(4)，否则表示鉴权失败。
4.如权利要求3所述的鉴权方法，其特征在于所述的随机数的长度为128比特。
5.如权利要求3所述的鉴权方法，其特征在于所述的用户身份安全号的长度为128比特，其中前8比特为鉴权算法版本号。
6.如权利要求3所述的鉴权方法，其特征在于每一组随机数包括3个随机数。
7.如权利要求3所述的鉴权方法，其特征在于终端设备和基站控制器分别应用各自的鉴权算法根据用户身份安全号和随机数进行变换和非线性运算时，生成鉴权响应值为32比特，加密密钥为96比特。
8.如权利要求3-7之一所述的鉴权方法，其特征在于需要鉴权的情况包括用户开机注册、位置更新注册、定时注册以及每一次呼出通话时。
9.如权利要求3-7之一所述的方法，其特征在于所述最大鉴权次数上限为3。
10.如权利要求3-7之一所述的方法，其特征在于鉴权方法通过将不同的终端设备版本号对应一种鉴权算法，来扩展鉴权方法或支持任何第三方鉴权算法。
全文摘要
本发明提出了一种SCDMA通信系统的鉴权系统，包括终端设备、基站、基站控制器和鉴权中心，其中终端设备存储有鉴权算法(As.b)的，可以根据参数生成鉴权响应值SERS′，并传给基站控制器；基站控制器和终端设备相互传递信息，可以将SERS′与鉴权中心的鉴权响应值SERS相比较，得出鉴权结果；鉴权中心存储有鉴权算法(As.a)，其位于SCDMA网络侧并包括一个独立计算机构、鉴权算法机构、与基站控制器通信的模块以及与本地位置寄存器通信的模块；鉴权中心运算生成鉴权响应，可以将该随机数和鉴权响应值传递给基站控制器。应用本发明，在不影响正常通讯的前提下，可以大大提高通讯的安全性并提高可扩展性。
文档编号H04W12/06GK1835626SQ20051005397
公开日2006年9月20日 申请日期2005年3月15日 优先权日2005年3月15日
发明者李天新, 温斌 申请人:北京信威通信技术股份有限公司