CN101060404A - 无线网络中防止重放攻击的方法及*** - Google Patents

Abstract

本发明涉及一种无线网络中防止重放攻击的方法及***。本发明主要包括：在信息发送端，利用包括当前的密钥和帧号的参考信息采用预定的算法对密钥进行更新，并利用更新后的密钥进行消息发送；在信息接收端利用所述的包括当前的密钥和帧号的参考信息采用所述预定的算法在本地计算更新后的密钥，并利用更新后的密钥对收到的消息进行合法性验证。本发明中，当用户终端切换到新的基站后，对于PN_U和PN_D均可以重新计数，而不会导致重放攻击问题的出现，因此，本发明中不再需要在基站之间传递安全上下文信息，使得避免重放攻击的实现方案更为简便。

Description

无线网络中防止重放攻击的方法及***

技术领域

本发明涉及无线通信技术领域，尤其涉及一种用于在无线网络中防止重放攻击的技术。

背景技术

在无线通信***中，为保证通信的安全性，用户终端如果需要与基站进行通信，则两者必须建立相同的授权密钥上下文，即AK上下文。所述的AK上下文包括以下信息：

授权密钥(AK)、授权密钥标识(AKID)、授权密钥序列号(AK Sequence Number)、授权密钥生存期(AK Lifetime)、对偶主密钥序列号(PMK Sequence Number)、上行链路消息完整性保护密钥(HMAC/CMAC_KEY_U)、上行链路消息防止重放攻击包序列号(HMAC/CMAC_PN_U，简称PN_U)、下行链路消息完整性保护密钥(HMAC/CMAC_KEY_D)、下行链路消息防止重放攻击包序列号(HMAC/CMAC_PN_D，简称PN_D)、密钥加密密钥(KEK)、完整性加密密钥(EIK)。

其中，所述的HMAC/CMAC_KEY_U、HMAC/CMAC_KEY_D是由基站根据AK、终端媒体接入控制(MAC)地址、基站标识计算得到，分别用于对上下行链路消息提供完整性保护；

所述的PN_U和PN_D是两个32位计数器，在AK上下文建立时，所述的两个计数器的值都为0，之后，每使用HMAC/CMAC_KEY_U对上行消息提供一次完整性保护，终端就把PN_U的值增加1；每使用HMAC/CMAC_KEY_D对下行消息提供一次完整性保护，基站就把PN_D的值增加1。如果PN_U或PN_D的数值空间耗尽(即这两个值中任一个到达2^32-1)，或是AK上下文中AK生存期到期，则该AK生存期结束。为保证通信过程的不中断，在AK生存期结束之前应当重新申请新的AK。

当终端切换到目标基站后，可以不进行重鉴权操作，但是相应的AK是需要更新的。如果终端切换到目标基站后，AK上下文中的PN_U和PN_D重新计数，则当终端两次进入同一基站时，便可能受到重放攻击。

在现有技术中，为避免用户终端发生切换后受到重放攻击，主要采用了以下两种实现解决方案。

(一)目前采用的第一种实现方案为AK缓存技术，即在终端和基站两侧缓存AK上下文。终端每到一个基站，便创建一个AK上下文，即使终端离开该基站后也不删除为该基站创建的AK上下文。同样，在基站侧，每有一个终端接入，就向鉴权器申请一个AK，并生成上下文，这样，当终端在基站之间移动时，不同的基站使用不同的AK上下文，以避免重放攻击。

不难看出，这种实现方案在终端和网络侧基站需要缓存的AK上下文数量较大时，将会给该方案的实现带来了很大的困难。

(二)目前采用的另一种实现方案为上下文传递技术，即终端和网络都只保存一个AK上下文，终端在移动时，AK可以变化，但PN值连续使用。由于这种方法中，为使得PN值连续使用，新的基站需要从老的基站获得当前的PN值，这就要求两个基站之间需要互相信任，然而，在具体实现过程中很难保证两个基站之间的相互信任。

因此，目前还没有一种便于实现的技术方案可以有效解决用户终端切换后可能引发的重放攻击问题。

发明内容

本发明的目的是提供一种无线网络中防止重放攻击的方法及***，使得在用户终端与基站之间的通信过程中，不会受到重放攻击，从而有效保证了网络通信的安全性。

本发明的目的是通过以下技术方案实现的：

本发明提供了一种无线网络中防止重放攻击的方法，包括：

A、信息发送端利用包括当前的密钥和帧号的参考信息采用预定的算法对密钥进行更新，并利用更新后的密钥进行消息发送；

B、信息接收端利用所述的包括当前的密钥和帧号的参考信息采用所述预定的算法在本地计算更新后的密钥，并利用更新后的密钥对收到的消息进行合法性验证。

本发明中，包括：

当信息发送端为移动终端，信息接收端为基站时，所述的密钥为上行链路完整性保护密钥；

当信息发送端为基站，信息接收端为移动终端时，所述的密钥为下行链路完整性保护密钥。

所述的步骤A还包括：

使用更新后的密钥生成发送消息所需要的消息认证码，并将更新后的密钥作为新的密钥使用。

本发明中，在执行所述的步骤A之前还包括：

信息发送端确定需要发送第一条寻呼请求或寻呼响应消息时，确定相应消息对应的当前密钥及帧号，并执行步骤A。

所述的参考信息还包括：时间参数信息，所述的时间参数信息将发送给信息接收端用于信息接收端识别该信息是否为当前帧号循环周期内的合法消息。

所述的时间参数包括：

安全上下文已经存在的时间，或者，安全上下文的剩余时间，或者，当前时间信息，或者，根据安全上下文已经存在的时间或安全上下文的剩余时间或当前的时间信息确定的时间信息。

所述的步骤A还包括：将所述的时间参数以明文的方式发送给信息接收端。

本发明中，在执行所述的步骤B之前还包括：

C、在信息接收端，根据接收到的时间参数信息与本地维护的对应的时间参数信息的一致性判断收到的消息的合法性，并在确定消息合法时，执行所述的步骤B。

所述的步骤C包括：

判断收到的时间参数信息与本地维护的对应的时间参数信息之间的差值是否小于预定的数值，如果是，则确认为收到的消息合法，并执行步骤B，否则，确认收到的消息为非法。

本发明还提供了一种无线网络中防止重放攻击的发送装置，包括：

参考信息获取单元，设置于信息发送端，用于当需要发送信息时获取包括密钥和帧号的参考信息，并提供给密钥更新单元；

密钥更新单元，设置于信息发送端，用于根据所述包括密钥和帧号的参考信息采用预定的算法计算生成更新后的密钥，并提供给消息发送单元；

消息发送单元，设置于信息发送端，用于根据更新后的密钥发送消息。

所述的参考信息获取单元还包括：

时间参数获取单元，用于获取信息发送端维护的时间参数信息，并作为参考信息提供给密钥更新单元和消息发送单元。

所述的信息发送端为用户终端或基站。

本发明还提供了一种无线网络中防止重放攻击的接收装置，包括：

密钥更新单元，设置于信息接收端，用于根据收到的消息对应的包括密钥和帧号的参考信息采用预定的与发送端相同的算法计算生成更新后的密钥，并提供给合法性判断单元；

消息接收单元，设置于信息接收端，用于接收消息，并将该消息对应的包括密钥和帧号的参考信息提供给密钥更新单元；

合法性判断单元，设置于信息接收端，用于计算获得的更新后的密钥判断消息接收单元接收消息的合法性。

所述的合法性判断单元还包括：

时间参数判断单元，用于根据消息接收单元接收的时间参考信息与本地维护的时间参数信息的一致性判断接收消息的合法性。

所述的信息接收端为用户终端或基站。

本发明还提供了一种防止重放攻击的***，包括：

防止重放攻击的信息发送装置，用于根据更新后的密钥向信息接收装置发送消息，消息中可选地包含时间参数信息；

防止重放攻击的信息接收装置，用于接收防止重放攻击的信息发送装置发来的消息，并根据本地更新后的密钥判断收到消息的合法性，并可选地根据时间参数信息和本地维护的时间参数信息判断收到消息的合法性。

由上述本发明提供的技术方案可以看出，由于本发明中，当用户终端接入一个新的基站后，则根据用户终端与基站之间交互的消息的帧号生成新的CMAC_KEY_U和CMAC_KEY_D，从而可以彻底解决无线接口的重放攻击问题。而且，本发明中，当用户终端切换到新的基站后，对于PN_U和PN_D均可以重新计数，而不会导致重放攻击问题的出现，即本发明中不再需要在基站之间传递安全上下文信息，使得避免重放攻击的实现方案更为简便。

因此，本发明中，当用户终端切换到新的基站下后，不再会受到重放攻击，有效保证了用户终端与基站之间通信的安全性。

附图说明

图1为本发明所述的方法的具体实现过程示意图；

图2为本发明所述方法的具体实施例处理过程示意图；

图3为本发明所述的***的具体实现结构示意图。

具体实施方式

本发明提供了一种在无线***中防止重放攻击的方法，该方法的实现使得不需要终端和网络各自维护PN值，仍然可以在切换时依然有效。

在无线通信***中，一个消息必须承载在某一个或几个特定的帧上，而每个帧都有帧号。而攻击者即使截获了某个消息，也不可能在同一帧里就重放该帧，而是选择在下一次采用同样帧号的时刻发起重放攻击。

因此，本发明在实现过程中，可以利用帧号来对生成的CMAC_KEY_U和CMAC_KEY_D再做一次变换处理，使得MS在同一基站上的不同接入后能够使用不同的CMAC_KEY_U和CMAC_KEY_D。

下面将结合附图对本发明提供的具体实现方式进行详细说明。

如图1所示，本发明所述的方法具体包括：

步骤11：移动终端切换后，使用向新基站发送的第一条RNG-REQ(寻呼请求)消息所处的帧号，对CMAC_KEY_U进行处理，得到CMAC_KEY_U’，即CMAC_KEY_U’＝f1(CMAC_KEY_U，帧号)，其中所述的f1为设定的运算处理函数，代表着利用帧号对当前的CMAC_KEY_U值进行的一种运算，经过运算后便可以获得CMAC_KEY_U’；

需要说明的是，也可以在移动终端向基站发送其他消息的时刻执行该步骤中相应的处理，以获得CMAC_KEY_U’，且该值需要经过基站的确认；

在该步骤中，若移动终端在发出RNG-REQ后没有收到对应的RNG-RSP消息，则移动终端会重发RNG-REQ消息，并使用该消息所在的帧的帧号，按照所述的公式CMAC_KEY_U’＝f1(CMAC_KEY_U，帧号)重新计算CMAC_KEY_U’；

步骤12：使用计算获得的CMAC_KEY_U’生成上行消息认证码，附加在RNG-REQ消息末尾发送，同时将所述的CMAC_KEY_U’作为新的CMAC_KEY_U使用。

步骤13：基站接收到所述的RNG-REQ消息后，也使用同样的算法f1，并使用此消息所处的帧号对基站上的CMAC_KEY_U进行处理，获得相应的CMAC_KEY_U’＝f1(CMAC_KEY_U，帧号)；

步骤14：使用获得的CMAC_KEY_U’对RNG-REQ消息中的上行消息认证码验证，若正确，则认为此消息合法，并将此CMAC_KEY_U’作为新的CMAC_KEY_U使用，若验证结果为不正确，则认为该消息为非法消息。

基站收到所述的RNG-REQ消息后，还需要向用户终端返回RNG-RSP响应消息，返回相应的响应消息的处理过程如下：

步骤15：基站使用向移动终端回复的RNG-RSP消息所处的帧号，对CMAC_KEY_D进行处理，得到CMAC_KEY_D’，即CMAC_KEY_D’＝f2(CMAC_KEY_D，帧号)，其中，所述的f2为设定的运算处理函数，代表着利用帧号对当前的CMAC_KEY_D值进行的一种运算，经过运算后便可以获得CMAC_KEY_D’；

在该步骤中，f2与f1可以相同，也可以不同；

步骤16：使用运算获得的CMAC_KEY_D’生成下行消息认证码，附加在消息末尾，并将该CMAC_KEY_D’作为新的CMAC_KEY_D使用。

步骤17：移动终端接收到这条RNG-RSP消息后，也使用同样的算法f2，并使用此消息所处的帧号对移动终端上的CMAC_KEY_D进行处理，得到CMAC_KEY_D’，在该步骤中，仍采用公式CMAC_KEY_D’＝f2(CMAC_KEY_D，帧号)；

步骤18：使用所述的CMAC_KEY_D’对RNG-RSP消息中的下行消息认证码验证，若正确，则将该CMAC_KEY_D’作为新的CMAC_KEY_D使用，否则，则认为收到的响应消息为非法消息。

下面将以本发明应用于WiMAX***中为例进行说明。

在WiMAX***中，帧号的长度只有24比特，按照一帧2ms计算，帧号会在9.3小时后用完，此时，将会重复使用已经使用过的帧号。即当帧号循环一圈之后，便需要重复使用相应的帧号，此时，重放攻击便可能会发生。

为此，本发明中定义了时间参数，所述的时间参数信息用于作为信息接收端识别该信息是否为当前帧号循环周期内的合法消息的依据；

而且，所述的时间参数可以用于表示密钥对应的上下文已经存在的时间，或者，安全上下文的剩余时间，或者，本地当前时间信息，或者，也可以为基于密钥对应的上下文已经存在的时间或安全上下文的剩余时间或本地当前时间确定的时间信息。

所述的时间参数在网络侧可以由鉴权器维护，基站从鉴权器便可以获得需要的时间参数信息；

所述的时间参数可以采用明文的形式和消息一起发送给对端，同时，所述的时间参数还作为也作为认证码的一个参数。

本发明中，网络侧和终端各自维护的时间参数不需要严格一致，仅需要误差值远小于帧号的周期即可。

如图2所示，以引入当前时间作为时间参数为例，本发明所述的方法的具体实现过程包括以下步骤：

(一)移动终端向基站发送信息的处理过程

步骤21：移动终端切换后，使用向新基站发送的第一条RNG-REQ消息所处的帧号、移动终端当前的时间，对CMAC_KEY_U进行处理，得到CMAC_KEY_U’；

即CMAC_KEY_U’＝f3(CMAC_KEY_U，帧号，时间)，其中，f3为利用CMAC_KEY_U、帧号和时间参数信息获得CMAC_KEY_U’的一种运算方式，具体的运算方式不限，只要收发两端一致即可；

其中，所述的时间参数可以使用多种计量单位，例如秒、半个帧号循环周期等，只要不大于帧号循环周期即可。

所述的时间参数作为安全上下文的一部分，需要在MS和网络侧各自维护。在网络侧，具体可以由鉴权器需要维护该时间参数信息，并在基站需要时传给基站使用。

步骤22：使用CMAC_KEY_U’生成上行消息认证码，附加在消息末尾，并将所述的CMAC_KEY_U’作为新的CMAC_KEY_U使用；

步骤23：基站接收到这条RNG-REQ消息后，也使用同样的算法f3，并使用此消息所处的帧号、消息中携带的时间参数值对基站上的CMAC_KEY_U进行处理，得到CMAC_KEY_U’；

步骤24：对消息中携带的时间值与基站的当前时间进行对比，若误差值小于预定的值，即远远小于帧号的周期，则执行步骤25，否则，确认该消息为非法消息；

步骤25：使用该CMAC_KEY_U’对RNG-REQ消息中的上行消息认证码验证，若正确，则认为此消息合法，并将此CMAC_KEY_U’作为新的CMAC_KEY_U使用，否则，确定该消息为非法消息。

(二)基站向移动终端发送信息的处理过程

步骤26：基站使用向移动终端回复的RNG-RSP消息所处的帧号、基站当前的时间，对CMAC_KEY_D进行处理，得到CMAC_KEY_D’。

即令CMAC_KEY_D’＝f14(CMAC_KEY_D，帧号，时间)，其中f4为利用CMAC_KEY_D、帧号和时间参数信息获得CMAC_KEY_D’的一种运算方式，具体的运算方式不限，只要收发两端一致即可；

同样所述的时间参数可以使用多种计量单位，如秒、半个帧号循环周期等，且所述的时间参数作为安全上下文的一部分，需要在MS和网络侧各自维护，在网络侧，具体可以由鉴权器需维护该时间参数信息，并在基站需要时传给基站使用。

步骤27：使用CMAC_KEY_D’生成下行消息认证码，附加在消息末尾，并将此CMAC_KEY_D’作为新的CMAC_KEY_D使用。

步骤28：移动终端接收到所述的RNG-RSP消息后，也使用同样的算法f4，并使用此消息所处的帧号、消息中携带的时间值对移动终端上的CMACKEY_D进行处理，得到CMAC_KEY_D’。

步骤29：对消息中携带的时间参数值与移动终端的当前时间进行对比，若误差值小于预定的值，即远远小于帧号的周期，则执行步骤210，否则，确认该消息为非法消息；

步骤210：使用此CMAC_KEY_D’对RNG-RSP消息中的下行消息认证码验证，若正确，则认为该消息为合法消息，并将此CMAC_KEY_D’作为新的CMAC_KEY_D使用，否则，确认该消息为非法消息。

需要说明的是在步骤21中，移动终端在发出RNG-REQ后如果在预定的时间段内没有收到对应的RNG-RSP消息，则移动终端会重发RNG-REQ消息，并需要使用此消息所在的帧的帧号和当前的时间重新更新CMAC_KEY_U值获得CMAC_KEY_U’。

本发明还提供了一种防止重放攻击的***，所述***的具体实现方式如图3所示，具体包括：

防止重放攻击的信息发送装置，设置于信息发送端，用于根据更新后的密钥向信息接收装置发送消息，消息中可选地包含时间参数信息，所述的信息发送端可以为用户终端或基站；

防止重放攻击的信息接收装置，设置于信息接收端，用于接收防止重放攻击的信息发送装置发来的消息，并根据本地更新后的密钥判断收到消息的合法性，并可选地根据时间参数信息和本地维护的时间参数信息判断收到消息的合法性，与所述的信息发送端对应，所述的信息接收端可以为基站或用户终端。

其中，所述的无线网络中防止重放攻击的发送装置，参照图3所示，具体包括以下各处理单元：

(1)参考信息获取单元

用于当需要发送信息时获取包括密钥和帧号的参考信息，并提供给密钥更新单元，且所述的参考信息获取单元还包括：

时间参数获取单元，用于获取信息发送端维护的时间参数信息，并作为参考信息提供给密钥更新单元和消息发送单元。

(2)密钥更新单元

用于根据所述包括密钥和帧号的参考信息采用预定的算法计算生成更新后的密钥，并提供给消息发送单元；

所述的密钥包括上行链路完整性保护密钥和下行链路完整性保护密钥；

(3)消息发送单元

用于根据更新后的密钥发送消息。

所述的无线网络中防止重放攻击的接收装置，仍参照图3所示，具体包括以下处理单元：

(1)密钥更新单元

用于根据收到的消息对应的包括密钥和帧号的参考信息采用预定的与发送端相同的算法计算生成更新后的密钥，并提供给合法性判断单元；

当信息发送端采用时间参数信息作为参考信息时，则该密钥更新单元也需要同时还利用时间参数信息作为参考信息对密钥进行更新；

不限定具体采用的算法，只要与发送端采用相同的算法即可；

(2)消息接收单元

用于接收消息，并将该消息对应的包括密钥和帧号的参考信息提供给密钥更新单元；

(3)合法性判断单元

用于计算获得的更新后的密钥判断消息接收单元接收消息的合法性，具体为利用更新后的密钥判断接收到的消息中的认证码进行合法性判断；

所述的合法性判断单元还包括：

时间参数判断单元，用于根据消息接收单元接收的时间参考信息与本地维护的时间参数信息的一致性判断接收消息的合法性，具体要求收到的时间参数与本地维护的时间参数信息基本一致就可以，并不要求完全一致。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (16)

1、一种无线网络中防止重放攻击的方法，其特征在于，包括：

A、信息发送端利用包括当前的密钥和帧号的参考信息采用预定的算法对密钥进行更新，并利用更新后的密钥进行消息发送；

B、信息接收端利用所述的包括当前的密钥和帧号的参考信息采用所述预定的算法在本地计算更新后的密钥，并利用更新后的密钥对收到的消息进行合法性验证。

2、根据权利要求1所述的方法，其特征在于，

当信息发送端为移动终端，信息接收端为基站时，所述的密钥为上行链路完整性保护密钥；

当信息发送端为基站，信息接收端为移动终端时，所述的密钥为下行链路完整性保护密钥。

3、根据权利要求1所述的方法，其特征在于，所述的步骤A还包括：

使用更新后的密钥生成发送消息所需要的消息认证码，并将更新后的密钥作为新的密钥使用。

4、根据权利要求1所述的方法，其特征在于，在执行所述的步骤A之前还包括：

信息发送端确定需要发送第一条寻呼请求或寻呼响应消息时，确定相应消息对应的当前密钥及帧号，并执行步骤A。

5、根据权利要求1至4中任一项所述的方法，其特征在于，所述的参考信息还包括：时间参数信息，所述的时间参数信息将发送给信息接收端用于信息接收端识别该信息是否为当前帧号循环周期内的合法消息。

6、根据权利要求5所述的方法，其特征在于，所述的时间参数包括：

安全上下文已经存在的时间，或者，安全上下文的剩余时间，或者，当前时间信息，或者，根据安全上下文已经存在的时间或安全上下文的剩余时间或当前的时间信息确定的时间信息。

7、根据权利要求5所述的方法，其特征在于，所述的步骤A还包括：

将所述的时间参数以明文的方式发送给信息接收端。

8、根据权利要求5所述的方法，其特征在于，在执行所述的步骤B之前还包括：

C、在信息接收端，根据接收到的时间参数信息与本地维护的对应的时间参数信息的一致性判断收到的消息的合法性，并在确定消息合法时，执行所述的步骤B。

9、根据权利要求8所述的方法，其特征在于，所述的步骤C包括：

判断收到的时间参数信息与本地维护的对应的时间参数信息之间的差值是否小于预定的数值，如果是，则确认为收到的消息合法，并执行步骤B，否则，确认收到的消息为非法。

10、一种无线网络中防止重放攻击的发送装置，其特征在于，包括：

参考信息获取单元，设置于信息发送端，用于当需要发送信息时获取包括密钥和帧号的参考信息，并提供给密钥更新单元；

密钥更新单元，设置于信息发送端，用于根据所述包括密钥和帧号的参考信息采用预定的算法计算生成更新后的密钥，并提供给消息发送单元；

消息发送单元，设置于信息发送端，用于根据更新后的密钥发送消息。

11、根据权利要求10所述的装置，其特征在于，所述的参考信息获取单元还包括：

时间参数获取单元，用于获取信息发送端维护的时间参数信息，并作为参考信息提供给密钥更新单元和消息发送单元。

12、根据权利要求10或11所述的装置，其特征在于，所述的信息发送端为用户终端或基站。

13、一种无线网络中防止重放攻击的接收装置，其特征在于，包括：

密钥更新单元，设置于信息接收端，用于根据收到的消息对应的包括密钥和帧号的参考信息采用预定的与发送端相同的算法计算生成更新后的密钥，并提供给合法性判断单元；

消息接收单元，设置于信息接收端，用于接收消息，并将该消息对应的包括密钥和帧号的参考信息提供给密钥更新单元；

合法性判断单元，设置于信息接收端，用于计算获得的更新后的密钥判断消息接收单元接收消息的合法性。

14、根据权利要求13所述的装置，其特征在于，所述的合法性判断单元还包括：

时间参数判断单元，用于根据消息接收单元接收的时间参考信息与本地维护的时间参数信息的一致性判断接收消息的合法性。

15、根据权利要求13或14所述的装置，其特征在于，所述的信息接收端为用户终端或基站。

16、一种防止重放攻击的***，其特征在于，包括：

防止重放攻击的信息发送装置，用于根据更新后的密钥向信息接收装置发送消息，消息中可选地包含时间参数信息；

防止重放攻击的信息接收装置，用于接收防止重放攻击的信息发送装置发来的消息，并根据本地更新后的密钥判断收到消息的合法性，并可选地根据时间参数信息和本地维护的时间参数信息判断收到消息的合法性。

Images