5G寻呼消息完整性保护方法及系统

本发明涉及网络安全，尤其涉及一种5g寻呼消息完整性保护方法及系统。

背景技术：

1、移动通信网络服务由于其移动性和便利性已经广泛应用于人们的日常生活。随着5g移动通信网络的大规模不部署，越来越多人开始使用5g网络服务。在享受移动通信网络带来的便利同时，敌对者通过非法中继设备或伪基站进行无线空口通信监听以及窃取用户身份位置隐私信息也成为日益严重的问题。

2、由于移动通信无线空口的开放性，敌对者可以在特定区域4g/5g网络环境下部署伪基站设备或中继攻击设备，通过篡改或者伪造合法基站发送的寻呼消息误导终端设备接入非法基站，从而造成用户敏感信息，如身份位置等信息泄露。此外，敌对者通过伪基站或中继设备以更高功率在特定寻呼信道上发送虚假寻呼消息，使得终端设备无法收听到正常的寻呼消息(寻呼信道劫持)，造成处于空闲态的终端设备无法接收重要信息(来电、短信等下行业务)。这些攻击对于高安全等级用户/网络业务可能带来严重危害，因此如何防御这类攻击成为一个重要的问题。为了防止攻击对无线空口传输的信息进行窃听或者破话，移动网络设计了无线空口安全保护机制。空口安全保护机制启动后，终端及基站设备对于发出的信令或者用户数据信息可以实施机密性及完整性保护。

3、但目前的安全机制存在一些安全缺陷。具体而言，现有的无线空口信息安全保护是rrc连接建立后，终端与网络认证完成之后才能协商空口安全保护相关密钥并启动空口信令面及用户面的安全保护。此外，在空口没有业务数据交互时，终端设备需要断开rrc连接并进入空闲态idle态以降低电池消耗。在闲态时，如果出现下行业务数据(来电、短信等)，网络侧通过寻呼消息paging通知用户终端，终端设备与网络建立rrc连接然后接收下行业务数据。但是寻呼过程一般都发生在空闲态，而这个时候的空口时没有任何安全保护的，这就导致许多攻击者可以利用伪基站/中继等设备发送虚假寻呼信息进行攻击。

技术实现思路

1、为克服上述问题，本发明公开了一种5g寻呼消息完整性保护方法及系统，使得终端设备在收到寻呼消息时可以验证该消息是否从合法基站设备发出，寻呼消息是否受到篡改，从而防御伪基站、中间人攻击、或寻呼信道劫持等安全风险。

2、一种5g寻呼消息完整性保护方法，应用于终端设备，其步骤包括：

3、接收并保存业务运营支持系统发送的用户终端配置/用户签约配置消息，其中，所述用户终端配置/用户签约配置消息包含系统主密钥对中的公钥，所述系统主密钥对为密钥分发管理中心生成；

4、接收基站设备发送的寻呼消息，其中，所述寻呼消息包含寻呼参数、时间戳、基站设备全球唯一标识、基站签名信息，所述基站签名信息为所述基站设备使用签名密钥、系统主密钥对中的公钥对寻呼参数、时间戳、基站设备全球唯一标识进行签名得到，所述签名密钥为所述密钥分发管理中心基于所述私钥与基站设备全球唯一标识、新鲜因子生成；

5、使用所述公钥验证基站签名信息的有效性，并基于验证结果，接收或拒绝对所述寻呼消息进行响应。

6、进一步地，生成所述系统主密钥的方法包括：sm9密钥生成算法。

7、进一步地，所述基站设备获取所述签名密钥的步骤，包括：

8、所述基站设备向密钥分发管理中心发送签名密钥请求消息，所述签名密钥请求消息包含基站设备全球唯一标识、新鲜因子。

9、所述密钥分发管理中心使用sm9密码算法，并基于所述基站设备全球唯一标识、新鲜因子及系统主密钥对中的私钥，生成所述签名密钥；

10、所述密钥分发管理中心向所述基站设备发送签名密钥响应消息，所述签名密钥响应消息包含基站设备签名密钥、系统主密钥对中的公钥、密钥生成周期；

11、或，

12、网管系统向所述密钥分发管理中心发送基站签名密钥请求消息，所述基站签名密钥请求消息包含全网系统的基站设备全球唯一标识列表、新鲜因子；

13、所述密钥分发管理中心使用sm9密码算法，并基于所述私钥及基站设备全球唯一标识列表中的基站设备全球唯一标识，为列表中的每个基站标识生成所述签名密钥，并确定密钥生存周期；

14、所述密钥分发管理中心向所述网管系统发送签名密钥响应消息，所述签名密钥响应消息包含所述签名密钥列表、系统主密钥对中的公钥、密钥生存周期、基站设备全球唯一标识列表；

15、所述网管系统向所述基站设备发送基站配置设备消息，所述基站配置设备消息包含所述签名密钥、系统主密钥对中的公钥、密钥生存周期。

16、进一步地，所述寻呼参数包括：用户临时标识或用户标识、etws地震和海啸预警系统信息、寻呼原因。

17、进一步地，拒绝对所述寻呼消息进行响应之后，生成寻呼消息完整性验证失败的告警。

18、一种存储介质，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行上述任一所述方法。

19、一种5g寻呼消息完整性保护终端设备，包括：

20、第一接收模块，用于接收并保存业务运营支持系统发送的用户终端配置/用户签约配置消息，其中，所述用户终端配置/用户签约配置消息包含系统主密钥对中的公钥，所述系统主密钥对为密钥分发管理中心生成；

21、第二接收模块，用于接收基站设备发送的寻呼消息，其中，所述寻呼消息包含寻呼参数、时间戳、基站设备全球唯一标识、基站签名信息，所述基站签名信息为所述基站设备使用签名密钥、系统主密钥对中的公钥对寻呼参数、时间戳、基站设备全球唯一标识进行签名得到，所述签名密钥为所述密钥分发管理中心基于所述私钥、新鲜因子与基站设备全球唯一标识生成；

22、验证模块，用于使用所述公钥，sm9数字签名验证算法验证基站签名信息的有效性，并基于验证结果，允许或拒绝对所述寻呼消息进行响应。

23、一种5g寻呼消息完整性保护系统，包括：

24、密钥分发管理中心，用于生成系统主密钥对；基于所述主密钥对中的私钥与基站设备全球唯一标识、新鲜因子生成签名密钥；

25、业务运营支持系统，用于发送用户终端配置/用户签约配置消息，所述用户终端配置/用户签约配置消息包含系统主密钥对中公钥、密钥生成周期；

26、基站设备，用于使用签名密钥、系统主密钥对中的公钥对寻呼参数、时间戳、基站设备全球唯一标识进行签名，得到基站签名信息；发送寻呼消息，所述寻呼消息包含寻呼参数、时间戳、基站设备全球唯一标识、基站签名信息；

27、终端设备，用于接收并保存业务运营支持系统发送的用户终端配置/用户签约配置消息；接收基站设备发送的寻呼消息；使用所述公钥验证基站签名信息的有效性，并基于验证结果，允许或拒绝对所述寻呼消息进行响应。

28、进一步地，所述系统还包括：

29、网管系统，用于向所述密钥分发管理中心发送基站签名密钥请求消息；向所述基站设备发送基站配置设备消息；其中，所述基站签名密钥请求消息包含全网系统的基站设备全球唯一标识列表、新鲜因子，所述基站配置设备消息包含所述签名密钥、系统主密钥对中的公钥、密钥生存周期。

30、与现有技术相比，本发明至少具有以下优点：

31、1)实现终端对基站发出寻呼消息的真实性、完整性验证，防御伪基站使用伪造寻呼消息尽心非法定位；

32、2)能够防御中间人篡改寻呼消息，对终端用户进行欺骗；

33、3)避免引入设备证书管理基础设施，降低系统实现复杂性及代价；

34、4)避免在空口寻呼消息中引入基站证书，降低空口信令开销；