CN100505759C - 一种非对等实体安全等级协商方法 - Google Patents
一种非对等实体安全等级协商方法 Download PDFInfo
- Publication number
- CN100505759C CN100505759C CNB2005101152619A CN200510115261A CN100505759C CN 100505759 C CN100505759 C CN 100505759C CN B2005101152619 A CNB2005101152619 A CN B2005101152619A CN 200510115261 A CN200510115261 A CN 200510115261A CN 100505759 C CN100505759 C CN 100505759C
- Authority
- CN
- China
- Prior art keywords
- server
- client
- authentication
- safe class
- session key
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
本发明公开了一种非对等实体安全等级协商方法，利用收方所掌握的发方身份信息，对双方身份进行先认证再协商，并由服务器作出安全等级决策。本发明充分利用移动通信***中用户与网络互认证后的会话密钥保护协商信息，增强协商过程的安全性。为安全等级协商提供了可配置、易于实现的机制和流程。
Description
技术领域
本发明适用于通信和信息安全领域，具体涉及安全协商的方法。
背景技术
安全信息协商是建立安全信道和提供安全服务的基础。在通信开始之前，往往需要在通信的对象间协商能够采用的安全机制和算法。在增值安全服务***中，终端通过安全等级使用增值安全服务，需要在终端和策略服务器/终端之间协商安全等级，以确认***和终端共同支持的安全协议和算法。
SIP协议中提出了一种安全协商方法，这种方法共五步达到客户/服务器间安全参数协商的目的。第一步，客户端将其支持的安全机制列表发向服务器；第二步，服务器将其支持的安全机制列表发向客户端；第三步，客户端在双方共同支持的安全机制列表中选择最高的安全强度的安全机制建立双方的安全通信信道；第四步，客户端利用打开的安全通道将收到的服务器所支持的安全机制列表回传给服务器；第五步，服务器校验客户端发来的列表，如果确认是自己所发的原始列表未被篡改，则协商成功，否则失败。在协商过程中主要面临的安全威胁有：在第一步的消息中攻击者试图修改客户端安全机制列表；攻击者第二步中修改安全机制服务器列表；攻击者能第四步的消息中修改请求列表；攻击者在第五步中试图恢复老的安全协商信息。在前两步中篡改信息都会导致第四步中校验失败，因此，方法中的第三步是SIP安全协商的条件和基础，它保障第四、五步信息是在一个安全的通信信道中传输，从而保障协商过程的安全。
而在非对等实体安全协商的场景中，参与安全协商的双方并不是完全对等的，其中一方能够取得对方的身份认证信息，它可以作为安全等级的决策方决定双方所采用的安全等级和参数。本发明就是利用非对等协商的这一特点对协商过程进行修订，以减少协商过程的信息传递，适应非对等安全协商过程。
发明内容
本发明提出了一种非对等实体安全等级协商方法，利用收方所掌握的发方身份信息，对双方身份进行先认证再协商，并由服务器作出安全等级决策。
非对等协商环境中，服务器端拥有客户的身份信息和认证向量等安全配置信息。客户端与服务器占有安全信息、***与网络资源不对称，可以在安全等级协商过程中充当决策的一方。采用先认证再协商安全等级的方法可以充分利用服务器掌握的信息提高协商效率。本发明所述非对等实体安全等级协商方法具体包括以下过程：
第一步，客户端向服务器发送用户身份信息；
第二步，服务器获取用户认证向量(包含随机数、期望响应，会话密钥，认证标识等)，从认证向量中获取会话密钥。向客户端发送认证挑战消息(包括认证向量中的随机数，网络认证码AUTN)。并用会话密钥加以保护。
第三步，客户端认证服务器。如果认证成功，则客户端计算会话密钥，并向服务器发送认证响应信息和客户端支持的安全等级列表，并用会话密钥加以保护。如果认证失败，退出协商；
第四步，服务器认证客户端。如果认证成功，服务器从认证向量(包含随机数、期望响应，会话密钥，认证标识等)中获取会话密钥，服务器利用会话密钥保护向客户端发送服务器选择的安全等级与算法参数；如果认证失败，退出协商；
第五步，客户端校验服务器的选择是否在自己的列表中，如果正确，则由客户端利用收到的服务器的安全等级和算法参数建立安全通信信道；否则协商失败；
第六步，客户端向服务器发送收到的服务器选择的安全等级和算法参数；
第七步，服务器验证安全等级信息的完整性。如果确认是自己所发的未被篡改的原始安全等级与算法参数，则协商成功，否则协商失败。
本发明针对非对等协商，对现有协商流程作了优化。在移动通信***中常常用到的终端与应用服务器安全协商的非对等协商场合，服务器与终端信息不对称，它存储有终端的身份等安全信息，对终端进行先认证再协商。可充分利用移动通信***中用户与网络互认证后的会话密钥保护协商信息，增强协商过程的安全性。这为
本发明提出了一种非对等实体安全等级协商方法，利用收方所掌握的发方身份信息，对双方身份进行先认证再协商，并由服务器作出安全等级决策。
非对等协商环境中，服务器端拥有客户的身份信息和认证向量等安全配置信息。客户端与服务器占有安全信息、***与网络资源不对称，可以在安全等级协商过程中充当决策的一方。采用先认证再协商安全等级的方法可以充分利用服务器掌握的信息提高协商效率。本发明所述非对等实体安全等级协商方法具体包括以下过程：
第一步，客户端向服务器发送用户身份信息；
第二步，服务器获取用户认证向量(包含随机数、期望响应，会话密钥，认证标识等)，从认证向量中获取会话密钥。向客户端发送认证挑战消息(包括认证向量中的随机数，网络认证码AUTN)。并用会话密钥加以保护。
第三步，客户端认证服务器。如果认证成功，则客户端计算会话密钥，并向服务器发送认证响应信息和客户端支持的安全等级列表，并用会话密钥加以保护。如果认证失败，退出协商；
第四步，服务器认证客户端。如果认证成功，服务器从认证向量(包含随机数、期望响应，会话密钥，认证标识等)中获取会话密钥，服务器利用会话密钥保护向客户端发送服务器选择的安全等级与算法参数；如果认证失败，退出协商；
第五步，客户端校验服务器的选择是否在自己的列表中，如果正确，则由客户端利用收到的服务器的安全等级和算法参数建立安全通信信道；否则协商失败；
第六步，客户端向服务器发送收到的服务器选择的安全等级和算法参数；
第七步，服务器验证安全等级信息的完整性。如果确认是自己所发的未被篡改的原始安全等级与算法参数，则协商成功，否则协商失败。
本发明针对非对等协商，对现有协商流程作了优化。在移动通信***中常常用到的终端与应用服务器安全协商的非对等协商场合，服务器与终端信息不对称，它存储有终端的身份等安全信息，对终端进行先认证再协商。可充分利用移动通信***中用户与网络互认证后的会话密钥保护协商信息，增强协商过程的安全性。这为过程：
第一步中，客户端向策略服务器发送用户身份信息。可以是用户公开身份或是保密身份，服务器将据此信息查找用户的认证向量。
第二步中，策略服务器从HLR/HSS，或SGSN或VLR上取得用户的认证向量，认证向量中包括了随机数和会话密钥等，会话密钥包括加密密钥和完整性密钥，利用会话密钥保护发向客户端的认证请求信息。
第三步中，客户端利用认证挑战消息中的随机数和网络认证码(AUTN)认证服务器。还将利用自己的密钥和随机数推演出会话密钥(加密密钥和完整性密钥)。此后的消息可以通过会话密钥提供机密性和完整性保护。同时发送的用户选择的安全等级信息包括了各种安全需求的组合(身份认证、机密性、完整性、抗抵赖、匿名、通信保密、可用性)及组合内各安全需求的协议、支持算法及参数。
第四步中，策略服务器利用在第二步中保存的用户认证向量来认证客户端，其中包括了认证响应的期望值。同时，策略服务器决策在安全等级配置中将要使用的安全协议、算法及参数。
第五步中，客户端校验策略服务器的发来的等级信息是否与自己选择的相一致，还负责按照选择的算法和参数建立安全通道，这将反映出用户订制的安全等级对应的服务。
第六步和第七步是由服务器端对服务器决策的安全等级进行校验。
上述具体实施方式以较佳实施例对本发明进行了说明，但这只是为了便于理解而举的一个形象化的实例，不应被视为是对本发明范围的限制。同样，根据本发明的技术方案及其较佳实施例的描述，可以做出各种可能的等同改变或替换，而所有这些改变或替换都应属于本发明权利要求的保护范围。
Claims (3)
1.一种非对称实体安全等级协商方法，其特征在于，所述方法包括以下处理过程：
第一步，客户端向服务器发送用户身份信息；
第二步，服务器获取用户认证向量，从认证向量中获取会话密钥；服务器向客户端发送认证挑战消息，并用会话密钥加以保护；
第三步，客户端认证服务器；如果认证成功，则客户端计算会话密钥，并向服务器发送认证响应信息和客户端支持的安全等级列表，并用会话密钥加以保护；如果认证失败，退出协商；
第四步，服务器认证客户端；如果认证成功，服务器从认证向量中获取会话密钥，服务器利用会话密钥保护向客户端发送服务器选择的安全等级与算法参数；如果认证失败，退出协商；
第五步，客户端校验服务器选择的安全等级是否在自己的安全等级列表中，如果正确，则由客户端利用服务器选择的安全等级和算法参数建立安全通信信道；否则协商失败；
第六步，客户端向服务器发送服务器选择的安全等级和算法参数；
第七步，服务器验证安全等级信息的完整性，如果确认是自己所发的未被篡改的原始安全等级与算法参数，则协商成功，否则协商失败。
2.根据权利要求1所述的方法，其特征在于，所述客户端或服务器的认证向量至少包括：随机数、期望响应、会话密钥和认证标识。
3.根据权利要求1或2所述的方法，其特征在于，所述第二步中发送的认证挑战消息至少包括：认证向量中的随机数和网络认证码AUTN。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CNB2005101152619A CN100505759C (zh) | 2005-11-15 | 2005-11-15 | 一种非对等实体安全等级协商方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CNB2005101152619A CN100505759C (zh) | 2005-11-15 | 2005-11-15 | 一种非对等实体安全等级协商方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN1764195A CN1764195A (zh) | 2006-04-26 |
| CN100505759C true CN100505759C (zh) | 2009-06-24 |
Family
ID=36748133
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CNB2005101152619A Active CN100505759C (zh) | 2005-11-15 | 2005-11-15 | 一种非对等实体安全等级协商方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN100505759C (zh) |
Families Citing this family (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP2053777B1 (en) * | 2006-08-18 | 2016-01-13 | Huawei Technologies Co., Ltd. | A certification method, system, and device |
| CN100574325C (zh) * | 2006-12-26 | 2009-12-23 | 北京大学 | 一种Web通信加密方法 |
| CN101420352B (zh) * | 2007-10-22 | 2012-07-11 | 华为技术有限公司 | 一种结构化p2p网络中键值转移的方法和*** |
| CN101431410B (zh) * | 2007-11-09 | 2011-11-30 | 康佳集团股份有限公司 | 一种网络游戏客户端与服务器集群的认证方法 |
| CN101459506B (zh) * | 2007-12-14 | 2011-09-14 | 华为技术有限公司 | 密钥协商方法、用于密钥协商的***、客户端及服务器 |
| EP2235911A4 (en) * | 2008-01-22 | 2012-08-08 | Ericsson Telefon Ab L M | SECURITY GUIDELINES FOR COMMUNICATION TERMINALS |
| CN101500229B (zh) * | 2008-01-30 | 2012-05-23 | 华为技术有限公司 | 建立安全关联的方法和通信网络*** |
| CN102694809A (zh) * | 2012-05-31 | 2012-09-26 | 汉柏科技有限公司 | Ike主模式协商方法 |
| CN107295488A (zh) * | 2017-06-15 | 2017-10-24 | 合肥工业大学 | 一种基于文本重要属性标示法的短消息传输***及其方法 |
| CN107508796B (zh) * | 2017-07-28 | 2019-01-04 | 北京明朝万达科技股份有限公司 | 一种数据通信方法和装置 |
| JP2023003835A (ja) * | 2021-06-24 | 2023-01-17 | 株式会社日立製作所 | ストレージシステム、接続優先度決定方法、及び接続優先度決定プログラム |
-
2005
- 2005-11-15 CN CNB2005101152619A patent/CN100505759C/zh active Active
Non-Patent Citations (2)
| Title |
|---|
| 基于SIP协议的网络安全性分析. 闵涵，陈莘萌，张琦辉.计算机工程与设计，第25卷第3期. 2004 |
| 基于SIP协议的网络安全性分析. 闵涵，陈莘萌，张琦辉.计算机工程与设计，第25卷第3期. 2004 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN1764195A (zh) | 2006-04-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN100505759C (zh) | 一种非对等实体安全等级协商方法 | |
| CN108650227B (zh) | 基于数据报安全传输协议的握手方法及*** | |
| CN101005359B (zh) | 一种实现终端设备间安全通信的方法及装置 | |
| CN102868665B (zh) | 数据传输的方法及装置 | |
| EP0689316A2 (en) | Method and apparatus for user identification and verification of data packets in a wireless communications network | |
| EP2437469A1 (en) | Method and apparatus for establishing a security association | |
| US20150052361A1 (en) | Method for setting up an encrypted connection between two communication appliances following prior key interchange via a shorthaul connection | |
| EP2141883A1 (en) | A method in a peer for authenticating the peer to an authenticator, corresponding device, and computer program product therefore | |
| CN101188492B (zh) | 实现安全业务的***和方法 | |
| CN105471845B (zh) | 防止中间人攻击的通信方法及*** | |
| CN102223634A (zh) | 一种用户终端接入互联网方式的控制方法及装置 | |
| CN101594233B (zh) | 上传信息的方法、接收信息的方法和设备及通信*** | |
| Xie et al. | A Secure and Privacy‐Preserving Three‐Factor Anonymous Authentication Scheme for Wireless Sensor Networks in Internet of Things | |
| CN102035645B (zh) | 一种资源受限网络的实体鉴别方法及*** | |
| CN103220279A (zh) | 数据安全传输的方法和*** | |
| CN100518187C (zh) | 一种安全等级协商方法 | |
| Long et al. | Localised authentication for inter-network roaming across wireless LANs | |
| CN102098307A (zh) | 自助银行密码式即时消息加密方法和*** | |
| CN1430857A (zh) | 在终端设备与运营的移动无线网之间建立连接的方法,及用于该方法的移动无线网和终端设备 | |
| CN104796399A (zh) | 一种数据加密传输的密钥协商方法 | |
| CN102006298A (zh) | 接入网关实现负荷分担的方法和装置 | |
| CN103986716B (zh) | Ssl连接的建立方法以及基于ssl连接的通信方法及装置 | |
| CN106209384B (zh) | 使用安全机制的客户终端与充电装置的通信认证方法 | |
| Ahmadian et al. | Security enhancements against UMTS–GSM interworking attacks | |
| CN101350820A (zh) | 一种推送业务代理网关对推送业务发起者的安全认证方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant |