CN101167380A

CN101167380A - 生成会话密钥的方法和装置

Info

Publication number: CN101167380A
Application number: CNA200680014108XA
Authority: CN
Inventors: 纳拉亚南·文基塔拉曼; 马吉德·F·纳赫伊里
Original assignee: Motorola Inc
Current assignee: Motorola Solutions Inc
Priority date: 2005-04-26
Filing date: 2006-04-07
Publication date: 2008-04-23

Abstract

即使当MS连接至BS时，也要执行与目标BS的当前值交换(图2)，因此当移动台到达新的BS时，它能够快速生成新的密钥。或者，MS可以在切换时立即(或者很快)将当前值直接提供给目标基站。以类似的方式，移动台将通过多种技术之一接收目标BS的当前值。在本发明的第一实施例中，目标BS会与源BS共用该BS当前值，源BS会将该当前值提供给MS。在本发明的第二实施例中，目标基站将会无线发送当前值至MS作为初始交换的一部分，以在MS和目标BS之间建立无线链路。

Description

生成会话密钥的方法和装置

技术领域

本发明通常涉及无线通信，特别涉及一种无线通信***中用于生成会话密钥的方法和装置。

背景技术

在许多无线通信***中，当从源基站(BS)切换至目标BS时，必须要生成新的会话密钥。特别是，当与基站(源基站)主动通信时，就希望中断与源基站的通信，并开始与更为适合处理该通信的基站(目标基站)进行通信。当节点，或移动台从源BS切换至目标基站时，该移动台需要一组新的密钥，否则就容易遭受重复或开始其他攻击。对于一个通信***来讲，例如使用IEEE802.11***协议的通信***，现有的解决方案是在移动到新BS后，根据最新的值交换来获得密钥。最新值可以是时间戳或一个当前调用的随机数。最新值交换导致了更多的延时并增加了切换反应时间。由于这个原因，未来的通信***，如利用IEEE802.16标准的通信***，要暂停配置当前的扩展名(重复使用旧的密钥)，由此易遭受安全攻击。因此，在某种程度上需要有一种方法和装置，能够生成切换后的会话密钥，而不会导致额外的延迟和切换反应时间。

附图说明

图1是通信***的模块图。

图2是图1中通信***的更加详细的模块图。

图3是示出图2中移动台的操作的流程图。

图4是示出根据本发明的另一个实施例的图2中移动台的操作的流程图。

图5是示出图2的移动台的操作流程图。

图6是示出根据本发明的另一个实施例的图2中移动台的操作的流程图。

具体实施方式

为了满足上述提到的需要，这里提供了一种在无线通信***中生成新的会话密钥的方法和装置。根据本发明的优选实施例，即使当MS与源BS连接时，也要执行将MS的新值(MSFV)与目标基站BS进行交换。因此，当移动台到达新BS时，将能够迅速生成新密钥。或者，MS能够在切换的同时，立刻(非常快)直接向目标基站提供新密钥。以类似的方式，移动台将通过某一技术接收目标BS的新值(BSFV)。在本发明的第一实施例中，目标BS将与要把新值提供给MS的源BS共用该BS新值。在本发明的第二实施例中，目标基站将把新值无线传送至MS作为初始交换的一部分，以在MS和目标BS之间建立无线连接。

在基于802.16e***的实施例中，BSFV是利用旧的服务BS提供给MSS的新值，作为RNG-RSP(测距响应)的一部分。MSFV是在RNG-REQ(测距请求)或BS-HO-REQ/RSP(基站切换请求或响应)中的重新进入期间由MSS提供给当前服务BS的新值。利用MSFV，BSFV和其它预先存在的共用密钥来生成所需的密钥并如说明书所述利用这些密钥。MS可以包括BSFV TLV中的BSFV和MSFV TLV中的MSFV。旧的和当前的服务BS通过高速链路信息，如HO-CONFIRM来共用BSFV。

通过在初始切换信令中包含整个或部分新值交换，可以从切换的定时关键路径中除去往返时间和CPU处理时间(在移动节点上)，从而显著降低业务数据(在先前BS上的下行业务和目标BS上的上行业务之间)中的可感知的中断。

现在返回到附图，其中相同的数字表示相同的部件，图1是通信***100的模块图。在本发明的优选实施例中，通信***100采用了由IEEE802.16规范所描述的通信***协议。然而，在其它实施例中，通信***100可以采用其它的通信***协议，例如，由IEEE802.11标准定义的通信***协议，由IEEE802.15.3无线个人域网络高数据速率标准所定义的通信***协议，或由IEEE802.15.4低速率无线个人域网络标准所定义的通信***协议等，但又不局限于此。

通信***100包括多个网络部件，如基站101、基站102、移动台103和服务器107。可以预计，通信***100中的网络部件以公知的方式配置处理器、存储器、指令装置等，其功能在于以任何适当的方式来执行这里所提出的功能。

如所示的，移动台103是通过上行链路信号106与基站101和102进行通信的，基站101和102分别通过下行链路信号104和105与移动台103通信。

在操作中，移动台103利用网络实体，如鉴权、授权、计费服务器(AAA服务器107)或可扩展鉴权协议服务器(EAP服务器)，通过执行完整的鉴权交换来与通信***100进行鉴权，上述EAP服务器知道移动台对于网络访问的权限。这种鉴权能够通过多种方法来实现，并且通常包括移动台103和服务器107之间经过初始服务基站101的多次往返，由于这个原因，在切换处理期间不必进行重复。

与通信***100进行初始鉴权将会使得服务器107向MS 103提供成对主密钥(PMK)，用于生成加密和授权所用的临时会话密钥。特别是，基站和移动台之间的每个通信会话利用会话密钥进行这些事情，如加密和为交换业务提供完善的保护。用于特定基站的会话密钥是PMK、基站标识、移动台标识和两个其它数据(新值，FV)的函数。换句话说：

Session key＝f(PMK，BSID，MSID，BSFV，MSFV)

由目标BS生成BSFV，由移动台生成MSFV，在本发明的优选实施例中包括随机数。然而，在另外的实施例中，新值可以包括但又不局限于其它形式，如时间戳、帧号码和当前值。

当移动台切换至其它基站时，需要生成新的会话密钥。因此，当移动台需要切换至目标BTS时，移动台和基站将不得不生成临时密钥，以用于数据加密和鉴权。但是，由于临时会话密钥是两个新值的函数，因此两个新值需要以某种方式被提供给移动台和目标基站以生成临时会话密钥。特别是，出于安全原因，会话密钥从不在基站和移动台之间传输。相反，每个基站和移动台都独立地生成会话密钥，并且因此，都必须向基站和移动台提供BSFV和MSFV。

从MS向目标BTS提供新值

在本发明的第一实施例中，由移动台生成MSFV并以两种方式之一提供给目标基站。在本发明的第一实施例中，一旦需要进行切换，MS将确定目标基站并生成新值。通过无线通信(如通过切换指示，HO-IND，消息)将新值连同目标基站的标识一起提供给源基站。源基站将MSFV提供给目标基站。这可以通过无线通信或标准网络互连来实现。例如，BS高速链路信号可以将新值从一个BS传送至另一个BS。

在本发明的另一实施例中，MS将确定目标基站并生成新值。新值将通过无线通信以例如测距请求(RNG-REQ)消息的消息传输给实际的目标基站。

从目标BTS向MS提供新值

将以某种方式将BS生成的新值通知给MS。在本发明的第一实施例中，源BS通过向目标BS发送切换预告知消息来通知该目标BS，MS想要切换至该目标BS。作为响应，目标基站向源基站提供BSFV。接着，源基站将切换请求消息(如，IEEE802.16BS-HO_REQ消息)发送至移动台。该切换请求消息指示移动台切换至该目标基站。BS当前值被包括作为切换请求消息的一部分。

另外，在本发明的第二实施例中，生成相应于多个目标BS的新值(由源BS或新值生成服务器)，并且在与服务基站的初始测距过程中(测距在移动台处获取校正时间偏移量和功率调节的过程)由源基站将BSFV告知给MS。

另外，在本发明的第三实施例中，通过目标基站将BSFV直接告知给MS。特别是，移动台可以在扫描期间与目标BS执行可选测距并获得IEEE 802.16 RNG-RSP消息中的新值。

图2是图1的通信***的更加详细的模块图。如所示出的，基站101、102和移动台103包括逻辑电路201、新值生成器202和收发机203。逻辑电路201优选包括微处理器控制器，如Motorola MotorolaHC08 8比特处理器，但又不局限于此。在本发明的优选实施例中，逻辑电路701作为控制收发机203的装置，以及作为分析消息内容以确定所需的任何动作的装置。另外，发送/接收电路203是通信中采用公知的通信协议的本领域常用的电路，并用作发送和接收消息的装置。例如，在本发明的优选实施例中，收发机203是利用IEEE 802.16通信***协议的公知发射机。其它可能的发射机和接收机包括利用蓝牙，IEEE 802.11或HyperLAN协议的收发机，但不局限于此。

新值生成器202用于产生新值。如本发明的优选实施例中所讨论的，新值生成器202是当前值生成器，其包括生成当前值以作为随机数的随机数生成器。但是，在本发明的另一实施例中，新值生成器202可以以其它方式产生新值。例如，可以生成新值作为先前的不重复随机数，包括当前时间的时间戳或序列号，如当前帧号。

图3是示出根据本发明的第一实施例的图2的移动台的操作流程图。如所讨论的，在本发明的第一实施例中，移动台103生成新值并通过源基站(如，基站101)将其提供给目标基站(如，基站102)。在步骤301开始逻辑流程，其中逻辑电路201确定需要进行切换并标识目标基站。在步骤303，逻辑电路指示新值生成器202生成新值。在步骤305，通知源基站101需要进行切换。在使用IEEE 802.11通信***协议的通信***中，通过向源基站101发送HO-IND消息(利用收发机203)来完成需要进行切换的通知。在本发明的第一实施例中，HO-IND消息包括MS生成的新值，其将被源基站101提供给了目标基站102。接下来，通过测距和测距请求消息的发送来执行与目标基站的同步(步骤307)。逻辑流程继续到步骤309，其中收发机203接收BSFV并将其提供给逻辑电路201。在步骤311中，由逻辑电路201生成会话密钥。如所讨论的，会话密钥是PMK、BSID、MSID、BSNonceHE和MSNonce的函数，利用以下公式生成：

Session key＝f(PMK，BSID|MSID|BSFV|MSFV，“会话密钥”，会话密钥长度)。

最后，在步骤313，利用适当的会话密钥开始与目标基站的通信。如所讨论的，MS和BS将利用该会话密钥来加密两者之间的通信。

图4是示出根据本发明的另一个实施例的图2的移动台的操作流程图。如所述的，在本发明的又一实施例中，移动台103生成新值并通过无线通信作为标准消息的一部分将其提供给目标基站(如，基站102)。在步骤401中，开始逻辑流程，其中逻辑电路201确定需要进行切换并标识目标基站。在步骤403中，逻辑电路指示新值生成器202生成新值。在步骤405，通知源基站101需要进行切换。在使用IEEE802.11通信***协议的通信***中，通过向源基站101发送HO-IND消息(利用收发机203)来完成需要进行切换的通知。接着，通过测距和测距请求消息的发送来执行与目标基站的同步(步骤407)。在本发明的另一个实施例中，MS生成的新值作为测距请求消息的一部分被提供给了目标基站。逻辑流程继续到步骤409，其中收发机203接收BSFV并将其提供给逻辑电路201。在步骤411中，由逻辑电路201生成会话密钥。最后，在步骤413，利用适当的会话密钥开始与目标基站的通信。如所讨论的，MS和BS将利用该会话密钥来加密两者之间的通信。

图5是示出根据本发明的第一实施例的图2的源基站的操作流程图。如上所述，源基站可以接收来自于MS和目标BS的新值。新值将被适当的路由。在步骤501中开始逻辑流程，其中收发机203接收来自于MU的HO-IND消息，指示需要切换至目标基站(如，基站102)。如所讨论的，可以包括MS生成的新值作为HO-IND消息的一部分。在步骤503，逻辑电路201通知目标基站，希望将移动台103切换至该基站，并向该目标基站提供MSFV。作为响应，逻辑电路201接收来自于目标基站的BS生成新值(步骤505)。接着通过收发机205和下行链路通信信号105将其提供给移动台103(步骤507)。

图6是示出图2的目标基站的操作的流程图。如所讨论的，目标基站可以将其新值通过源基站提供给移动台，或者可替换地，目标基站可以直接将新值作为测距处理的一部分发送至移动台。在步骤601中开始该逻辑流程，其中逻辑电路201从源基站接收通知，即希望与特定的移动台(如，移动台103)进行通信。如上所述，通知可以包括MSFV。在步骤603中，由新值生成器202生成BS新值，并且在步骤605中将BS新值提供给移动台。如上所述，在第一实施例中，通过向源基站发送BS新值来将该BS新值提供给移动台，该源基站将新值发送给了移动台。或者，该BS新值可以直接通过收发机203和下行链路通信信号104发送给移动台。

接着，一旦将新值进行了适当的交换，逻辑流程继续到步骤607，其中通过逻辑电路201生成会话密钥，并且目标基站开始与移动台的通信。如上所述，该会话密钥将用于实现目标基站和移动台之间的通信加密。

如上所述，在本发明的优选实施例中，通信***100采用IEEE802.16***协议。下文着重描述了为实现上述新值交换方法而对IEEE802.16规范的必要改变。

改变内容

对7.2.2.2.9节中，消息鉴权密钥(OMAC/HMAC)和KEK推导进行了以下改变：

MAC(消息鉴权码)密钥被用于标记管理消息以确认这些消息的真实性。所用的MAC在SS基本能力中协商。有不同的密钥用于UL和DL消息，并且还有OMAC密钥用于每个多播组(这仅是DL方向)。当从AK推导任何密钥时，新值将被使用。BS还可以使用来自MSS的RNG-REQ中的值以保护其不受重放攻击。在BS之间通过高速链路信息可以共享BSFV。时间戳或新生成的随机数可以用作新值。MSS会保存来自于服务BS的RNG-RSP或BS-HO-REQ/RSP消息中的最近的新值。另外，MSS将包括新值作为其RNG-REQ消息中的TLV。如下所述，BS和MSS将利用这些值来从AK推导密钥。在初始网络接入期间，在来自于MSS的RNG-REQ中将BSFV值设为0。

用于OMAC计算和KEK的密钥如下：

OMAC_KEY_GD＜＝Dot16KDF(GKEK，“GROUP OMACKEY”，128)(用于组管理消息MAC)

用于HMAC计算和KEK的密钥如下：

HMAC_KEY_GD＜＝Dot16KDF(GKEK，“GROUP HMACKEY”，160)(用于组管理消息MAC)

图134，增加用于HMAC和OMAC的修改后的公式

在7.2.2.4.1节AK环境中，在段“在HO情况中，如果MS以前与TBS连接，在PMK保持相同的情况下，获得的AK将与最后一个相同。为了确保这个情况的安全：AK的环境必须由双方缓存，如果环境在一方丢失，就必须从其停止的点上使用，需要进行重新鉴权以建立新的PMK和新的AK环境”的最后***：

如果MSS包括RNG-REQ中的有效MSFV和BSFV TLV，则BS可以跳过重新鉴权。如果重新鉴权被跳过，则如7.2.2.2.9节中所述的，利用MSS和BS来计算新密钥，并且利用新推导的HMAC或OMAC密钥来鉴权RNG-REQ和RNG-RSP。

在6.3.2.3.5节测距请求信息中，在该节的最后，HMAC元组的段之前，***：

当MS试图执行网络接入时，在RNG-REQ消息中将包括以下参数

MSFV(见11.16.2)

BSFV(见11.16.3)

在6.3.2.3.6节测距响应消息中，在该节的最后***：

在网络初始接入或重新接入期间，为响应来自MSS的RNG-REQ，应由BS包括以下TLV参数。

BSFV(见11.16.3)

MSFV(见11.16.2)

在11.16节切换管理编码中，在11.16.1之后***以下：

11.16.2 MSFV

这个值可以是新生成的随机数或由MSS保持的时间值中的最低(16-32)比特，并在网络接入或重新接入期间，包括在来自于MSS的RNG-REQ中。，BS可以在其RNG-RSP中包括这个值，作为在对应的RNG-REQ中它从MSS接收的值的备份。

类型	长度	值	范围
类型	长度	值	范围	2	(8-32比特)	新随机数或当前时间戳	RNG-REQ，RNG-RSP

11.16.3 BSFV

当BSFV在其RNG-REQ中包括这个值时，这个值可以是新生成的随机数或在时间值中最低(16-32)比特。当MSS在其RNG-REQ中包括这个值时，这个值是从BS接收到的最后一个BSFV。在初始接入期间，整个值可以被忽略。如果包括，则将其设为0。

类型	长度	值	范围
类型	长度	值	范围	3	(8-32比特)	新生成的随机数或时间戳	RNG-RSP，RNG-REQ

在6.3.2.3.51节BS_HO-REQ消息中，在HO_鉴权_策略_支持字段之后***：

BSFV指示器	1	指示在目标中包括用于密钥计算的新值0：不包括新值1：包括新值
BSFV指示器	1	指示在目标中包括用于密钥计算的新值0：不包括新值1：包括新值	如果(BSFV指示器＝＝1){	-	-
BSFV	8-32	相应于目标BS用于MSS的新获得的值	如果(BSFV指示器＝＝1){	-	-
BSFV	8-32	相应于目标BS用于MSS的新获得的值	}

在6.3.2.3.53节BS_HO-RSP消息中，在HO_鉴权_策略_支持字段之后，***：

BSFV指示器	1	指示在目标中包括用于AK计算的新值0：不包括新值1：包括新值
BSFV指示器	1	指示在目标中包括用于AK计算的新值0：不包括新值1：包括新值	如果(BSFV指示器＝＝1){	-	-
BSFV	8-32	相应于目标BS用于MSS的新获得的值	如果(BSFV指示器＝＝1){	-	-
BSFV	8-32	相应于目标BS用于MSS的新获得的值	}

尽管结合特定实施例已对发明进行了具体说明和描述，但本领域技术人员应该明白，在不背离发明精神和范围的情况下所作的形式上和细节上的各种修改都是可以的。其意味着这种修改都落在以下权利要求的范围内。

权利要求书(按照条约第19条的修改)

1. 在包括移动节点、源基站和目标基站的通信***中，一种用于生成移动节点和目标基站之间的会话密钥的方法，该方法包括以下步骤：

在移动台生成第一当前值(新值)；

经由移动台，将所述第一当前值提供给源基站；

在移动台从源基站接收对应于所述目标基站的第二当前值；以及

至少部分地根据所述第一和所述第二当前值，由移动台生成所述会话密钥。

2. 如权利要求1所述的方法，其中，在使用加密和完整性保护中至少一个来保护的消息中，将所述第一当前值提供给所述源基站。

3. 如权利要求1所述的方法，其中生成所述第一当前值的步骤包括根据随机数、时间戳、序列号或当前帧号生成当前值的步骤。

4. 如权利要求1所述的方法，其中接收所述第二当前值的步骤包括从所述源基站通过无线通信接收所述第二当前值的步骤。

5. 如权利要求1所述的方法，其中接收所述第二当前值的步骤包括从所述目标基站通过无线通信接收所述第二当前值的步骤。

6. 如权利要求1所述的方法，其中生成所述会话密钥的步骤包括步骤：生成所述会话密钥，作为成对主密钥(PMK)的函数。

7. 如权利要求1所述的方法，进一步包括步骤：

在移动节点和目标基站之间使用所述会话密钥来进行以下操作中的至少一个操作：对消息加密、对消息进行完整性保护、推导附加密钥。

8. 如权利要求1所述的方法，其中将所述第一当前值提供给源基站的步骤导致所述源基站将所述第一当前值转发至所述目标基站。

9. 一种方法，包括以下步骤：

在移动台生成对应于目标基站的第一当前值；

向源基站提供所述第一当前值；

由移动台经由所述源基站接收对应于所述目标基站的目标基站当前值；以及

至少部分地根据所述目标基站当前值和至少所述目标基站或网络服务器已知的密钥，来生成所述会话密钥。

10. 在包括移动节点、源基站和目标基站的通信***中，一种用于利用至少第一当前值和第二当前值来生成移动节点和目标基站之间的会话密钥的方法，该方法包括以下步骤：

在源基站接收在移动台生成的第一当前值(或新值)；

将所述第一当前值(或新值)提供给目标基站；

接收对应于所述目标基站的第二当前值(或新值)；以及

将所述第二当前值(或新值)提供给所述移动台。

Claims

1.一种用于生成会话密钥的方法，该方法包括以下步骤：

生成第一当前值(新值)；

将所述第一当前值作为需要切换至目标基站的指示的一部分提供给源基站；

接收在所述目标基站中生成的第二当前值；以及

根据所述第一和所述第二当前值生成所述会话密钥。

2.如权利要求1所述的方法，其中生成所述第一当前值的步骤包括生成随机数的步骤。

3.如权利要求1所述的方法，其中生成所述第一当前值的步骤包括根据时间戳、序列号或当前帧号生成当前值的步骤。

4.如权利要求1所述的方法，其中接收所述第二当前值的步骤包括从所述源基站通过无线通信接收所述第二当前值的步骤。

5.如权利要求1所述的方法，其中接收所述第二当前值的步骤包括从所述目标基站通过无线通信接收所述第二当前值的步骤。

6.如权利要求1所述的方法，其中生成所述会话密钥的步骤包括步骤：生成所述会话密钥，作为成对主密钥(PMK)、基站标识、移动台标识、所述第一当前值和所述第二当前值的函数。

7.如权利要求1所述的方法，进一步包括步骤：

使用所述会话密钥加密与所述目标基站的通信。

8.如权利要求1所述的方法，其中向所述源基站提供所述第一当前值的步骤导致所述源基站将所述第一当前值转发至所述目标基站。

9.一种方法，包括以下步骤：

生成第一当前值；

向目标基站提供所述第一当前值作为测距操作的一部分；

接收在所述目标基站生成的第二当前值；以及

根据所述第一和所述第二当前值生成所述会话密钥。

10.如权利要求9所述的方法，其中生成所述第一当前值的步骤包括生成随机数的步骤。