专利名称：一种接入3g-wlan互联网络的方法
技术领域：
本发明涉及一种互联网络接入技术，具体为一种可以快速安全接入 3G-WLAN互联网络的方法。
背景技术：
随着全球通信业的发展和普及，3G无线网络已逐渐成为市场的新技术主 流，而WLAN作为3G网络在热点地区的宽带接入方式也成为一种高效的应用 模式。3GPP针对WCDMA与WLAN互连提出了两种完全不同的方案，分别称 做"紧耦合互连"和"松耦合互连"。将WLAN无线接口作为WCDMA的承载者， 所有WLAN都要通过WCDMA核心网，但是重新配置过于复杂，费用也太过 昂贵，导致紧耦合互连技术缺乏竞争力。松耦合互连技术或机制允许WLAN 绕过WCDMA核心网和接口，通过WLAN网关直接接入核心IP网络。这种连 接机制将WLAN和WCDMA数据链路完全分开，避免了修改链路层。在松耦 合互连技术中，仅需要WCDMA执行认证方法，在链路层上通过扩展认证协 议和AAA进行认证。松耦合互连技术的优点是融合网络的结构非常简单。
与本发明相关的现有技术是3GPP为3G-WLAN互联网络提出了一个扩展认 证密钥协商协议(EAP-AKA)(该协议流程图参见图l)。由于EAP-AKA协议在 认证过程中没有对WLAN访问网络的身份进行验证，所以可能存在因假冒WLAN AN而导致的Re-direction攻击行为，使移动用户接入到费用较高的网络或安 全性较低的网络。EAP-AKA协议的重认证过程要求认证消息必须发送到移动用 户归属的网络，才能实现对移动用户的认证、授权和计费。这样对移动用户 在WLAN网络中的漫游、切换和密钥更新等行为带来较大的时延，也会影响对 移动用户服务的连续性和移动性。概言之，现有技术互联网接入方法的缺点 是l.存有潜在的Re-direction攻击行为；2.重认证过程时延较长。
发明内容
针对现有技术的缺点，本发明拟解决的技术问题是，提供一种接入3G-WLAN互联网络的方法。该方法基于WLAN和WCDMA互连的松耦合方式 下的认证协议，利用离线计费机制的快速认证协议和重认证过程的局部化认 证，可避免潜在的Re-direction攻击行为，有效地减少移动用户漫游切换时的 时延，是一种实现安全和快速的接入3G-WLAN互联网的方法。
本发明解决所述技术问题的技术方案是设计一种接入3G-WLAN互联网 络的方法，该方法包括WLANUE与3G网络的双向认证方法、抗假冒WLAN 访问网络的Re-direction攻击方法、离线的移动用户计费方法和WLAN网络 内的局部化的重认证方法，并采用以下执行步骤
1. WLAN-UE与WLAN访问网络协商接入链接，并建立WLAN的无线访 问链接；
2. WLAN AN给WLAN-UE发送EAP请求认证所需的身份消息，要求 WLAN-UE提供3G认证所需要的身份信息；
3. WLAN—UE回应EAP响应消息；
4. WLAN AN收到EAP的身份响应消息后，将该消息转发给3G AAA服 务器；
5. 3G AAA服务器首先搜索自身是否存有与该身份响应消息相应的认证 所需的密钥材料？如果没有，则将WLAN-UE的身份响应消息发送给该移动 用户的归属位置寄存器HSS/HLR;
6. 归属位置寄存器HSS/HLR收到WLAN-UE的身份响应消息后，利用 与该移动用户共享的密钥生成若干个认证向量VI，并将该用户的授权信息、 认证向量信息以及新的临时身份信息一同发送给3G AAA服务器；所述临时 身份信息为一个随机数或一个新的重认证ID;
7. 3G AAA服务器根据移动用户授权使用WLAN网络的信息，随机选择 一个认证向量发送给WLAN AN;
8. WLAN AN收到第7步所述的信息后，选择一个随机数NONCEAN附加 到所述信息中，构造成新消息；
9. WLAN AN把构造的新消息发送给WLAN-UE;
10. WLAN-UE接收到AKA挑战信息后，在USIM中运行UMTS的算法， 验证AUTH是否正确？如果错误，就中止认证过程；如果验证通过，就利用 UMTS算法和预先共享《3(;-密钥计算RES、 IK和CK，然后验证MAC的正
确性，并保存新的身份信息；11. WLAN-UE将RES作为AKA的响应消息，计算消息摘要MAC和计 费令牌 Token ， 选择 一 个随机数NONCEue ， 并计算 "柳c = //M4C(尺3G,巡,7Vo"ce^ || iVo"ce促|| ， 然后将RES 、 NONCEAN 、
NONCEUE、 MAC、 Umac禾卩Token构成EAP响应消息，并发送给WLAN AN;
12. WLANAN收到第11步所述的EAP响应消息后，保留其中的计费令 牌Token,然后将其余的该响应消息发送给3G网络；
13.3G网络收到第12步所述的响应消息后，验证MAC的正确性，检验 RES是否与相应的XRES相等？相等则通过了对WLAN-UE的身份认证；利 用接收到的NONCEAN和NONCEuE验证UMAc的正确性，通过就说明WLAN AN的身份是正确的，然后将关于WLAN UE的所有认证向量全部发送给 WLAN AN;
14. WLAN AN收到所有认证向量后，利用当前认证向量中的IK和CK 计算新的密钥材料，为发送消息提供安全保护，并对新的身份信息进行机密 性和完整性保护，验证了计费令牌Token的正确性后，发送EAP成功消息给 WLANUE;
15. WLAN AN根据计费结算需要，发送该移动用户的计费令牌给3G网 络，进行计费与结算。
与现有技术相比，本发明接入方法主要是针对WLAN和WCDMA互连的 松耦合方式下的认证协议进行分析，提出了一种利用离线计费机制的快速认 证协议。本发明接入方法具有以下特征l.采用了快速签名机制对WLANAN 身份的认证技术，可以防止Re-direction潜在攻击的发生，提高了网络互连的 安全性；2.利用HMAC和共享密钥实现快速的二次签名技术，可以实现移动 用户离线计费的功能，提高了网络效率，节约了网络资源；3.在WLAN网络 内局部化地实现对移动用户的重认证过程，可以有效的减少重认证过程的时 延，或者说有效的减少了移动用户漫游切换时的时延，提高了互联网接入速 度和通讯效率。
图1为与本发明认证协议相关的现有技术EAP-AKA协议流程图2为本发明认证协议快速签名机制的流程图3为本发明认证协议快速签名的计费过程流程图；图4为本发明认证协议的LFSA协议认证流程图5为本发明认证协议的LFSA协议重认证消息流程图。
具体实施例方式
下面结合实施例及其附图进一步叙述本发明
本发明设计的接入3G-WLAN互联网络的方法(简称接入方法，参见图1 一5)，包括WLAN UE与3G网络的双向认证方法、抗假冒WLAN访问网络 的Re-direction攻击方法、离线的移动用户计费方法和WLAN网络内的局部 化的重认证方法。
本发明接入方法采用如下执行流程或步骤(参见图4):
1. WLAN-UE与WLAN访问网络协商接入链接，并建立WLAN的无线访 问链接，并利用IEEE S02.11i安全机制来保护WLAN的无线链路的安全；
2. WLAN AN给WLAN-UE发送EAP请求认证所需的身份消息，要求 WLAN-UE提供3G认证所需要的身份信息，该身份信息可以是WLAN-UE 的临时身份(或一个随机数NONCEue)，也可以是WLAN-UE的永久身份标
识IMSI;
3. WLAN—UE回应EAP身份响应消息，包含了 NAI格式的身份信息， 该身份信息可以是一个随机数NONCEUE，也可以是IMSI;
4. WLAN AN收到EAP的身份响应消息后，将该消息转发给3G AAA服 务器；
5. 3G AAA服务器首先搜索自身是否存有与该身份响应消息相应的认证 所需的密钥材料？如果没有，则将WLAN-UE的身份响应消息发送给该移动 用户的归属位置寄存器HSS/HLR，完成WLANUE与3G网络的双向认证；
6. 归属位置寄存器HSS/HLR收到WLAN-UE的身份响应消息后，利用 与该移动用户共享的密钥生成若干个认证向量VI,并将该用户的授权信息、 认证向量信息以及新的临时身份信息等一同发送给3G AAA服务器；所述的 临时身份信息是指一个随机数NONCEuE或一个新的重认证ID;
7. 3G AAA服务器根据移动用户的授权使用WLAN网络的信息，随机选 择一个认证向量发送给WLAN AN;
8. WLAN AN收到第7步所述的信息即AKA挑战信息后，选择一个随机 数NONCEAN附加到该信息中，构造成新消息；9. WLAN AN把构造的新消息发送给WLAN-UE;
10. WLAN-UE接收到AKA挑战信息后，在USIM中运行UMTS算法， 验证AUTH响应是否正确？如果错误就中止认证过程(没有显示在本例子 中)；如果验证通过，就利用UMTS算法和预先共享密钥&6^计算RES、 IK、
CK和其他密钥材料(其他密钥材料为公知的现有技术)，然后验证媒体访问 控制子层协议(MAC, Media Access Control)消息摘要的正确性，并保存 新的身份信息;采用快速签名机制作为离线计费机制实现了 WLANUE对3G 的认证；
11. WLAN-UE将RES作为AKA挑战信息的响应消息，计算消息摘要 MAC和计费令牌Token,选择一个随机数NONCEUE ，并计算 C/M/4C = i/M4C(夂3c，,iVo"ceM || Mwce邵|| ， 然后将RES 、 NONCEAN 、
NONCEUE、 MAC、 Umac和Token构成EAP响应消息，并发送给WLANAN;
12. WLANAN收到第11步所述的EAP响应消息，保留其中的计费令牌 Token,然后将其余的响应消息发送给3G网络；
13. 3G网络收到第12步所述的响应消息，验证MAC正确性后，检验RES 是否与相应的XRES相等？相等则通过了对WLAN-UE的身份认证；利用接 收到NONCEAN和NONCEuE验证UMAc的正确性，通过就说明WLANAN的 使用者即WLANAN的身份是正确性，防止重定向身份是正确的，然后将关 于WLAN UE的所有认证向量全部发送给WLAN AN，实现抗假冒WLAN访问 网络的Re-direction攻击，保证接入安全；
14. WLAN AN收到所有认证向量后，利用当前认证向量中的IK和CK 计算新的密钥材料，为发送消息提供安全保护，并对新的身份信息进行机密 性和完整性保护，验证了 Token的正确性后，发送EAP成功消息给WLAN UE。
15. WLAN AN根据计费结算需要，发送该移动用户的计费令牌给3G网 络，进行计费与结算。
为解决目前使用的EAP-AKA协议存在的效率和安全问题，本发明接入方 法提出了一种新的快速接入3G-WLAN互联网络的认证协议，g卩LFSA协议，该 协议是对EAP-AKA协议的改进，同时结合了快速签名机制的双向认证和离线 计费的网络认证协议。进一步说，LFSA协议是一种快速、高效和安全的认证 协议，是一种结合了快速签名机制的双向认证和离线计费的网络认证协议。 LFSA协议的WLAN AN和3G网络之间采用RADIUS作为底层协议，并在利用IKE协议进行密钥协商，采用IPSec保护消息的机密性和完整性，结合快速签 名机制作为离线计费机制，实现了WLAN AN的身份验证；3G用户局部化重 认证，有效地提高了3G-WLAN互连网络的接入过程的安全性和效率。所述的 底层协议RADIUS为现有技术，是指AbobaB， Calhoun P. RFC 3579 RADIUS (远程认证拨号用户服务)用于远程认证协议的技术支持文件(EAP) [S].加 利福尼亚IETF, 2003 (Aboba B, Calhoun P. RFC 3579 RADIUS (Remote Authentication Dial In User Service) Support For Extensible Authentication Protocol (EAP) [S]. California: IETF, 2003.)。
本发明接入方法所述的离线的移动用户计费方法(离线计费机制)包括 快速签名方法或机制和快速签名计费方法或机制。
本发明采用快速签名机制来实现3G用户的WLAN环境中的离线计费过 程。所述快速签名机制的计费信息是由WLAN-UE来生成，并利用实时会话 密钥和3G共享密钥对计费信息和自己的身份信息进行快速签名，确保计费 信息的完整性和准确性。3G的移动用户在WLAN中使用网络时，需要将自 己的身份信息(SI， Subscriber Identity)保密。这个身份信息可以是国际移动 用户识别码(IMSI， International Mobile Subscriber Identity)采用哈希(Hash) 运算，可防止WLAN管理员获知其身份。3G移动用户与WLAN管理员协商 网络使用信息(UI， Usage Information)(如网络计费标准等)。为了防止使用 信息泄漏，采用Hash运算进行隐蔽保护。WLAN-UE利用会话密钥进行快速 签名，可以让WLAN管理员对计费信息进行验证，但无法获得用户的身份信 息。WLAN-UE利用与3G预共享的密钥进行快速签名，可以让3G的管理员 验证计费信息，并防止WLAN管理员修改计费信息。
所述快速签名机制包括如下步骤(参见图2):
WLAN-UE要与WLAN管理者协商网络使用信息(如网络计费标准等)； 将自己的身份信息SI进行Hash后，生成身份信息摘要(SIMD， Subscriber Identity Message Digest)并对使用信息UI进行Hash后，生成使用信息摘要 (UIMD ， Usage Information Message Digest);
将SIMD和UIMD拼接成计费信息摘要(POMD， Payment Order Message Digest),并利用会话密钥&对POMD进行HMAC计算，生成会话数字签名 (Session Digital Signature);
再利用与3G的共享密钥对S"S进行HMAC计算，生成数字签名(DS，Digital Signature),并将该DS作为WLAN-UE给WLAN和3G管理员的计费 信息的签名信息。
所述的快速签名计费方法或机制是由WLAN-UE计算签名信息，交给 WLAN网络做验证，然后提交给3G网络作为计费信息依据。所述的快所述 速签名计费方法执行步骤描述如下(参见图3):
1. 利用WLANUE生成计费签名信息DS后，将(A IIS/IIC7/MZ))，以WLAN UE和WLANAN之间的会话密钥&作为加密密钥，采用AES算法进行加密， 生成DE;
2. 利用WLANUE与3G的共享密钥^。^作为加密密钥，将会话密钥i^
用AES对称算法迸行加密，生成KE;
3. 利用WLAN UE将DE、KE、DS、UI和SIMD等信息发送给WLAN AN;
4. 利用WLAN AN对UI进行Hash运算，生成UIMD，然后与SIMD合 并生成POMD，并利用会话密钥A对POMD进行AES加密，生成SDS;
5. WLAN管理员核对第4步生成的SDS是否和接收到的SDS相同？如 果相同，则验证通过；如果不同，则中断接入认证；
6. 当WLAN AN通过了 WLAN AN验证后，就将DE和KE信息发送给 3G管理员；
7. 当3G管理员收到DE和KE信息后，利用共享密钥^^^解密KE信息， 获得会话密钥^，然后利用会话密钥&解密DE信息获得DS、 SI和UIMD;
8. 3G管理员将SI进行Hash运算，获得SIMD，并将SIMD与UIMD连 接，获得POMD，然后用会话密钥A对POMD加密，生成SDS，再利用共 享密钥《3^s对SDS加密，生成Z)S';
9. 3G管理员验证第8步计算生成的DS'与第7步解密获得的DS是否相 同？如果相同，则通过对身份信息SI的使用信息UI的验证；如果不同，则 中断接入认证。
本发明接入方法的移动用户在WLAN网络内部进行快速漫游切换时，采 用LFSA的快速重认证过程。LFSA的快速重认证过程只需要在WLAN网络 内进行局部认证，因而是一种局部化重认证方法，它可以快速高效的实现AP 的切换和会话密钥的更新。
本发明接入方法的局部化重认证方法或机制的执行步骤如下(参见图5): l.WLAN-UE与WLAN访问网络协商接入，并建立WLAN的无线访问链接，并利用IEEE 802.11i安全机制来保护WLAN的无线链路的安全；
2. WLAN AN给WLAN-UE发送EAP请求认证所需的身份消息，要求 WLAN-UE提供3G认证所需要的身份信息，该身份信息可以是临时身份(或 一个随机数NONCEUE)，也可以是其永久身份标识IMSI;
3. WLAN—UE回应EAP响应消息，包含了 NAI格式的身份信息，该身 份信息可能是一个随机数NONCEUE，也可能是IMSI;
4. WLANAN根据接收到的移动用户的身份信息，检索是否保存有该用户 的认证向量等密钥材料，如果没有，则发起一次LFSA全认证过程，如果有， 则随即选择一个新的认证向量VI，并计算消息摘要MAC;
5. WLAN AN发送AKA挑战消息给WLAN-UE，其中包含RUND， AUTH 和MAC等信息；
6. WLAN-UE收到AKA挑战消息后，在USIM上运行UMTS的算法，验 证AUTH和MAC的正确性，然后利用i^^密钥计算新的会话密钥材料；
7. WLAN-UE利用新计算的密钥材料生成RES和消息摘要MAC,计算计 费令牌Token,然后构成AKA响应消息发送给WLAN AN;
8. WLAN AN收到响应消息后，验证MAC的正确性，然后检验RES与 相应的XRES是否相等？如果相等，则通过对该移动用户的认证，保留计费 令牌Token,并验证Token的正确性；
9. WLAN AN验证了计费令牌Token的正确性后，就发送EAP认证成功 的消息给WLAN-UE;
10. WLAN AN根据计费需求，发送Token提交消息给3G网络进行费用 的计费与结算。
本发明接入方法当WLAN-UE在不同的WLAN网络之间进行漫游切换的 时候，由于临时的会话密钥都已分配给了旧的WLAN AN，所以在接入新的 WLAN网络时，需要进行一次LFSA的全认证过程。在全认证过程中，新的 WLAN AN会从3G AAA服务器处获得新的会话密钥材料和身份信息等，为 WLAN-UE在新的WLAN网络中移动漫游提供快速认证功能。
需要说明的是，本发明对所涉及的WCDMA中的密码算法没有进行修改， 为现有技术，因此在前面的叙述中，计算会话密钥和消息认证码时，未提及 具体的密码算法。
本发明未述及之处适用于现有技术。
13本发明针对3G-WLAN互连网络给出了一个高效安全的接入方法，该接 入方法使3G移动用户在WLAN网络中能够更加快捷安全地漫游切换。由于 采用共享密钥对网络使用信息进行快速签名，节省了 WLANUE的资源消耗， 便于移动终端的使用。对WLAN访问网络的身份验证，抵御了 Re-direction 可能的攻击行为。WLAN网络的局部化认证，有效地减少了重认证过程中消 息的传送时延，使移动用户的漫游切换更加平滑。
权利要求
1、一种接入3G-WLAN互联网络的方法，该方法包括WLAN UE与3G网络的双向认证方法、抗假冒WLAN访问网络的Re-direction攻击方法、离线的移动用户计费方法和WLAN网络内的局部化的重认证方法，并采用以下执行步骤(1).WLAN-UE与WLAN访问网络协商接入链接，并建立WLAN的无线访问链接；(2).WLANAN给WLAN-UE发送EAP请求认证所需的身份消息，要求WLAN-UE提供3G认证所需要的身份信息；(3).WLAN-UE回应EAP身份响应消息；(4).WLAN AN收到EAP身份响应消息后，将该消息转发给3G AAA服务器；(5).3G AAA服务器首先搜索自身是否存有与该身份响应消息相应的认证所需的密钥材料？如果没有，则将WLAN-UE的身份响应消息发送给该移动用户的归属位置寄存器HSS/HLR；(6).归属位置寄存器HSS/HLR收到WLAN-UE的身份响应消息后，利用与该移动用户共享的密钥生成认证向量VI，并将该用户的授权信息、认证向量信息以及新的临时身份信息一同发送给3G AAA服务器；所述临时身份信息为一个随机数或一个新的重认证ID；(7).3G AAA服务器根据移动用户授权使用WLAN网络的信息，随机选择一个认证向量发送给WLAN AN；(8).WLANAN收到第7步所述的信息后，选择一个随机数NONCEAN附加到所述信息中，构造成新消息；(9).WLANAN把构造的新消息发送给WLAN-UE；(10).WLAN-UE接收到AKA挑战信息后，在USIM中运行UMTS算法，验证AUTH是否正确？如果错误，中止认证过程；如果验证通过，就利用UMTS算法和预先共享K3G，MS密钥计算RES、IK和CK，然后验证MAC的正确性，并保存新的身份信息；(11).WLAN-UE将RES作为AKA的响应消息，计算消息摘要MAC和计费令牌Token，选择一个随机数NONCEUE，并计算UMAC＝HMAC(K3G，MS，NonceAN||NonceUE||IDAN)，然后将RES、NONCEAN、NONCEUE、MAC、UMAC和Token构成EAP响应消息，并发送给WLAN AN；(12).WLANAN收到第11步所述的EAP响应消息后，保留其中的计费令牌Token，然后将其余的该响应消息发送给3G网络；(13).3G网络收到第12步所述的响应消息后，验证MAC的正确性，检验RES是否与相应的XRES相等？相等则通过了对WLAN-UE的身份认证；利用接收到的NONCEAN和NONCEUE验证UMAC的正确性，通过就说明WLAN AN的身份是正确的，然后将关于WLAN UE的所有认证向量全部发送给WLANAN；(14).WLAN AN收到所有认证向量后，利用当前认证向量中的IK和CK计算新的密钥材料，为发送消息提供安全保护，并对新的身份信息进行机密性和完整性保护，验证了计费令牌Token的正确性后，发送EAP成功消息给WLAN UE；(15).WLAN AN根据计费结算需要，发送该移动用户的计费令牌给3G网络，进行计费与结算。
2、根据权利要求1所述的接入3G-WLAN互联网络的方法，其特征在于 所述离线的移动用户计费方法包括快速签名方法和快速签名计费方法，所述 快速签名机制包括如下步骤WLAN-UE要与WLAN管理者协商网络使用信息；将自己的身份信息进 行Hash运算后，生成身份信息摘要SIMD，并对使用信息UIMD进行Hash 运算后，生成使用信息摘要；将SIMD和UIMD拼接成计费信息摘要POMD,并利用会话密钥&对 POMD进行HMAC计算，生成会话数字签名；再利用与3G的共享密钥对SDS进行HMAC计算，生成数字签名DS， 并将该DS作为WLAN-UE给WLAN和3G管理员的计费信息的签名信息；所述的快速签名计费方法执行步骤如下(1) .利用WLAN UE生成计费签名信息DS后，将(DSIiS/IIWMD)，以 WLAN UE和WLAN AN之间的会话密钥尺5作为加密密钥，采用AES算法进 行加密，生成DE;(2) .利用WLANUE与3G的共享密钥^e-作为加密密钥，将会话密钥A用AES对称算法进行加密，生成KE;(3) .利用WLAN UE将DE、 KE、 DS、 UI和SIMD信息发送给WLANAN;(4) ,利用WLAN AN对UI进行Hash运算，生成UIMD，然后与SIMD 合并生成POMD，并利用会话密钥&对POMD进行AES加密，生成SDS;(5) . WLAN管理员核对第4步生成的SDS是否和接收到的SDS相同？ 如果相同，则验证通过；如果不同，则中断接入认证；(6) .当WLAN AN通过了 WLAN AN验证后，就将DE和KE信息发送 给3G管理员；(7) .当3G管理员收到DE和KE信息后，利用共享密钥《3(3,解密KE 信息，获得会话密钥^，然后利用会话密钥A解密DE信息获得DS、 SI和 UI励；(8) . 3G管理员将SI进行Hash运算，获得SIMD，并将SIMD与UIMD 连接，获得POMD，然后用会话密钥&对POMD加密，生成SDS，再利用 共享密钥尺w-对SDS加密，生成AS';(9) . 3G管理员验证第8步计算生成的Z)S'与第7步解密获得的DS是 否相同？如果相同，则通过对身份信息SI的使用信息UI的验证；如果不同， 则中断接入认证。
3、根据权利要求1所述的接入3G-WLAN互联网络的方法，其特征在于所 述的局部化重认证方法执行步骤如下(1) .WLAN-UE与WLAN访问网络协商接入，并建立WLAN的无线访 问链接；(2) .WLANAN给WLAN-UE发送EAP请求认证所需的身份消息，要 求WLAN-UE提供3G认证所需要的身份信息；(3) .WLAN—UE回应EAP身份响应消息；(4) .WLANAN根据接收到的移动用户的身份响应信息，检索是否保存 有该用户的认证向量等密钥材料，如果没有，则发起一次LFSA全认证过程， 如果有，则随即选择一个新的认证向量VI，并计算消息摘要MAC;(5) ,WLANAN发送AKA挑战消息给WLAN-UE，其中包含RUND， AUTH和MAC信息；(6) .WLAN-UE收到AKA挑战消息后，在USIM上运行UMTS的算法， 验证AUTH和MAC的正确性，然后利用《3(;-密钥计算新的会话密钥材料；(7) .WLAN-UE利用新计算的密钥材料生成RES和消息摘要MAC,计算计费令牌Token,然后构成AKA响应消息发送给WLANAN;(8) .WLANAN收到响应消息后，验证MAC的正确性，然后检验RES 与相应的XRES是否相等？如果相等，则通过对该移动用户的认证，保留计 费令牌Token,并验证Token的正确性；(9) .WLAN AN验证了计费令牌Token的正确性后，就发送EAP认证 成功的消息给WLAN-UE;(10) .WLAN AN根据计费需求，发送Token提交消息给3G网络进行 费用的计费与结算。
全文摘要
本发明公开一种接入3G-WLAN互联网络的方法，该方法包括WLAN UE与3G网络的双向认证方法、抗假冒WLAN访问网络的Re-direction攻击方法、离线的移动用户计费方法和WLAN网络内的局部化的重认证方法，并采用1-15个具体执行步骤；该方法基于WLAN和WCDMA互连的松耦合方式下的认证协议，利用离线计费机制的快速认证协议和重认证过程的局部化认证，可避免潜在的Re-direction攻击行为，有效地减少移动用户漫游切换时的时延，是一种实现安全和快速的接入3G-WLAN互联网的方法。
文档编号H04W12/00GK101610507SQ20091006927
公开日2009年12月23日 申请日期2009年6月16日 优先权日2009年6月16日
发明者刘文菊, 李亚晖, 超 杨, 杨卫东, 柯永振, 琦 王, 赜 王, 马建峰 申请人:天津工业大学