CN101674578B

CN101674578B - 一种家庭基站安全接入网络的方法及***

Info

Publication number: CN101674578B
Application number: CN200810216090A
Authority: CN
Inventors: 宗在峰; 王卫斌; 刘霖; 方敏; 朱进国
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2008-09-12
Filing date: 2008-09-12
Publication date: 2012-09-26
Anticipated expiration: 2028-09-12
Also published as: CN101674578A

Abstract

本发明旨在一种家庭基站安全接入网络的方法，应用于由家庭基站网关、演进的分组***EPS组成的网络中，包括：家庭基站接入所述网络，家庭基站网关对家庭基站进行接入认证，在所述认证过程中产生家庭基站密钥信息，并将所述家庭基站密钥信息发送给MME；MME根据所述家庭基站密钥信息生成家庭基站和服务网关间的用户面安全联盟，并将所述用户面安全联盟发送给家庭基站和服务网关；家庭基站利用所述用户面安全联盟接入所述服务网关；本发明还提供了一种家庭基站安全接入网络的***；应用本发明的方法，保证了家庭基站安全接入了网络，同时，减少了用户面的跳数。

Description

一种家庭基站安全接入网络的方法及***

技术领域

本发明涉及通讯领域，具体而言，本发明涉及一种家庭基站安全接入网络的方法及***。

背景技术

3GPP演进的分组***(EPS，Evolved Packet System)由演进的UTRAN(E-UTRAN，Evolved Universal Terrestrial Radio AccessNetwork，演进的陆地无线接入网)、MME(移动性管理单元，MobilityManagement Entity)、S-GW(服务网关，Serving Gateway)、PDNGW(P-GW，Packet Data Network GateWay，数据网络网关)，及其他支撑节点组成。其中MME负责移动性管理、非接入层信令的处理、用户的移动管理上下文的管理等控制面相关工作；S-GW是与E-UTRAN相连的接入网关设备，在E-UTRAN和PDN GW之间转发数据，并且负责对寻呼等待数据进行缓存。P-GW则是3GPP演进的分组***(EPS，Evolved Packet System)与PDN(Packet Data Network)网络的边界网关，负责PDN的接入、在EPS与PDN间转发数据等功能。

根据安全需要，eNodeB(Evolved NodeB，演进的节点)一般放置在安全的位置，即一般认为eNodeB是可信任的，且不易被攻击的。但是，为了增加无线覆盖和无线带宽，一种家庭基站(Home eNodeB)的概念被提出。这种Home eNodeB可作为热点覆盖，被放置在公共场所，如商场、机场等地，或作为家庭网关直接放置在居民家中，以增加用户感受。上述场景中，Home eNodeB不归属于运营商，HomeeNodeB的安全成为问题。为了防止非法Home eNodeB的接入，运营商需要对之进行认证，并且，为了防止恶意攻击，运营商必须保证从Home eNodeB收到的所有数据都安全可靠。值得一提的是，从HomeeNodeB到运营商网络的路径也通常认为是不安全的(通常通过Internet接入到运营商网络)。如何解决Home eNodeB安全接入网络成为尚待解决的问题。

发明内容

针对现有技术中存在的问题，本发明提供了一种家庭基站安全接入网络的方法及***。

本发明提供的一种家庭基站安全接入网络的方法为：

一种家庭基站安全接入网络的方法，应用于由家庭基站网关、演进的分组***EPS组成的网络中，该方法包括：

家庭基站接入所述网络，家庭基站网关对家庭基站进行接入认证，在所述认证过程中产生家庭基站密钥信息，并将所述家庭基站密钥信息发送给移动性管理实体MME；

MME根据所述家庭基站密钥信息生成家庭基站和服务网关间的用户面安全联盟，并将所述用户面安全联盟发送给家庭基站和服务网关；

所述家庭基站利用所述用户面安全联盟接入所述服务网关。

进一步地，其中，所述家庭基站网关接入所述网络，家庭基站网关对所述家庭基站接入认证包括：

家庭基站选择家庭基站网关，发起与家庭基站网关之间建立IP安全隧道，在所述建立IP安全隧道过程中，鉴权认证计费服务器对家庭基站进行认证。

进一步地，其中，鉴权认证计费服务器对家庭基站进行认证过程中，生成根密钥，并将所述根密钥发送给家庭基站网关，所述家庭基站网关根据所述根密钥生成家庭基站密钥信息，所述家庭基站密钥信息包括用户面根密钥。

进一步地，其中，所述MME根据所述家庭基站密钥信息生成家庭基站和服务网关间的用户面安全联盟，并将所述用户面安全联盟发送给家庭基站和服务网关包括：

MME根据接收到的所述用户面根密钥计算生成用户面密钥，并为家庭基站和服务网关选择生成用户面安全联盟，并将所述用户面安全联盟发送给服务网关；并且

MME将所述用户面安全联盟和所述服务网关的用户面资源信息发送给所述家庭基站。

进一步地，在将所述用户面安全联盟发送给家庭基站和服务网关之后，进一步包括：

服务网关根据用户面安全联盟和用户面资源信息生成安全策略库和安全联盟库；

家庭基站根据所述用户面安全联盟和所述用户面资源信息生成用户面安全隧道所需的安全策略库和安全联盟库。

进一步地，若所述MME生成所述用户面安全联盟后更新所述用户面安全联盟，其特征在于，所述方法包括：

所述MME决定更新所述用户面安全联盟，将所述更新后的新用户面安全联盟发送给家庭基站；家庭基站根据所述新用户面安全联盟重新生成所述用户面安全隧道所需的安全策略库和安全联盟库；

所述MME将所述新用户面安全联盟发送给服务网关；服务网关根据所述新用户面安全联盟重新生成所述用户面安全隧道所需的安全策略库和安全联盟库。

进一步地，所述MME接收到所述家庭基站网关发送的用户面根密钥更新请求后决定更新所述用户面安全联盟，所述家庭基站向所述MME发送用户面根密钥更新请求包括：

若所述家庭基站与家庭基站网关之间的安全联盟超时，所述家庭基站网关向所述家庭基站关联的MME发送用户面根密钥更新请求。

进一步地，所述MME接收到所述用户面密钥根新请求后更新所述用户面安全联盟，所述家庭基站或服务网关请求更新用户面密钥包括：

家庭基站或服务网关通过对用户面安全隧道进行控制，达到预定控制条件后，家庭基站向MME发送用户面密钥更新请求。

本发明还提供了一种家庭基站安全接入网络的***，所述***包括：

认证模块，位于家庭基站网关中，用于对家庭基站进行接入认证，在所述认证过程中产生家庭基站密钥信息，并将所述家庭基站密钥信息发送给MME；

用户面安全联盟构造模块，位于MME中，用于根据所述家庭基站密钥信息生成家庭基站和服务网关间的用户面安全联盟，并将所述用户面安全联盟发送给家庭基站和服务网关；

上述的***，其中，所述用户面安全联盟构造模块还用于根据接收到所述家庭基站网关发送的用户面根密钥更新请求后决定更新所述用户面安全联盟，或者，所述用户面安全联盟构造模块接收到所述用户面密钥根新请求后更新所述用户面安全联盟。

应用本发明的方法，保证了Home eNodeB安全接入了网络，同时，减少了用户面的跳数，即用户面可从Home eNodeB直接接入Serving Gateway而不需经过中间节点Home eNodeB Gateway。

附图说明

图1是本发明所应用的***架构图；

图2是Home eNodeB认证和注册流程图；

图3是UE初始注册的流程图；

图4是MME更新用户面安全联盟的流程图；

图5是用户面根密钥的更新流程图；；

图6是Home eNodeB或Serving Gateway请求更新用户面密钥流程图。

具体实施方式

下面结合附图对发明所述的方法及***做进一步的详细说明。

本发明所应用的***架构图如图1所示，其主要包括：

202 Home eNodeB：不归属于运营商的eNodeB，在接入运营商网络前必须对之进行认证，与核心网交互的信令和数据均须加密保护。

204 Home eNodeB Gateway(家庭基站网关)：提供对HomeeNodeB的管理功能，包括对Home eNodeB的认证、控制面信令的加密、控制面信令转发、用户面安全联盟生成等。当支持S1接口的负荷分担时，Home eNodeB Gateway还具有MME的选择功能。

206 SEGW(安全网关模块)：位于204逻辑实体中的安全网关模块，负责对Home eNodeB的认证、控制面信令的加密、用户面安全联盟的生成。

208 HBS-C(Home Base Station Controller，家庭基站控制器)：位于204逻辑实体中的Home eNodeB管理模块，负责Home eNodeB的注册、管理，负责MME的选择。

210 MME(Mobility Management entity，移动性管理实体)：其功能包括对用户的认证、上下文管理、移动性管理、会话管理、承载管理等功能。除此之外，该实体还负责用户面安全联盟的分发。

212 Serving Gateway(S-GW，服务网关)：其功能包括用户面数据的转发、承载管理、和Home eNodeB间数据加密等功能。

214 SEGW：位于212中的安全网关模块，负责Home eNodeB和Serving Gateway间的数据加密。

216 HSS(归属用户服务器)：用于保持用户签约数据，生成安全向量等功能。

218 AAA服务器或代理(AAA Server/Proxy)：认证服务器，负责对Home eNodeB和UE进行认证，它从216中获取认证所需的安全向量等信息。

各接口描述如下：

IuH接口：是Home eNodeB和Home eNodeB Gateway间的接口，该接口提供对Home eNodeB的认证功能、Home eNodeB的管理消息、S1接口消息的传递和加密等功能。

S1-AP接口：是Home eNodeB和MME间的逻辑接口，该接口用于传递Home eNodeB和MME间的控制信令及非接入层消息(NAS消息，None Access Stratum)。

S1-AP^*接口：是Home eNodeB Gateway和MME间的接口，该接口提供用户面安全联盟的分发、S1-AP消息的传递等功能。

S1-UP接口：是Home eNodeB和Serving Gateway间的用户面接口，该接口提供用户面数据的加密。

S11^*接口：是MME与Serving Gateway间的接口，该接口还提供用户面安全联盟的分发功能、MME与Serving Gateway间控制信令的传递等功能。

Wm接口：是位于Home eNodeB Gateway中的安全网关(SEGW)与AAA服务器/代理之间的接口，用于完成对Home eNodeB的授权认证等功能。

D’/Gr’接口：AAA服务器/代理与HSS间的接口，用于认证向量和签约数据的下载、更新等。

实施例一

图2是Home eNodeB认证和注册流程图。当Home eNodeB首次接入网络时，Home eNodeB Gateway对之进行认证，并与之建立IPSec安全联盟。在完成IPSec安全联盟的建立后，Home eNodeB发起到Home eNodeB Gateway的注册流程。AAA服务器和HSS间的实现不影响本发明，因此，在本实施例中将AAA服务器和HSS放置在同一实体中，本实施例不详细描述AAA服务器和HSS间的接口实现。各步骤详细描述如下：

402 Home eNodeB首次接入网络时(如刚上电或重新起动等)，Home eNodeB根据配置或DNS解析选择适当的Home eNodeBGateway。Home eNodeB发起与Home eNodeB Gateway间建立IPSec(IP Security，IP安全)安全隧道。在建立安全隧道的过程中，HomeeNodeB Gateway对Home eNodeB进行认证。若认证协议是EAP(Extensible Authentication Protocol，可扩展认证协议)，则对HomeeNodeB认证的实体为AAA服务器。AAA服务器根据需要从HSS中获取认证向量、用户签约数据等信息。若Home eNodeB Gateway和AAA服务器不能直接接口，则可通过AAA代理服务器在他们之间转发消息。在认证完成后，AAA服务器将生成根密钥，并将该根密钥通过AAA协议发生给Home eNodeB Gateway。Home eNodeB Gateway根据该根密钥计算用户面根密钥。

404所有在Home eNodeB和Home eNodeB Gateway间传递的IP包，包括S1-AP消息、Home eNodeB管理消息等均需在上述安全隧道中加密传递。

406 Home eNodeB发起到Home eNodeB Gateway的注册。

实施例二

图3是UE初始注册的流程图。在UE注册过程中，Home eNodeBGateway将为该UE选择MME，并且生成用户面安全联盟，HomeeNodeB Gateway将用户面根密钥发生给MME，MME根据该用户面根密钥生成用户面安全联盟，并将之分发给Home eNodeB和ServingGateway。

该流程图中，用户面安全联盟通过S1-AP消息捎带给HomeeNodeB，通过创建承载请求消息捎带给Serving Gateway。

实施例二详细流程描述如下：

602 UE向Home eNodeB发送附着请求消息，该附着请求消息通过RRC(Radio Resource Control、无线资源控制)消息传递。

604 Home eNodeB将该附着请求消息通过S1-AP消息发送给Home eNodeB Gateway。

606 Home eNodeB Gateway为该UE选择MME。

608若该MME之前未与Home eNodeB Gateway建立连接，则Home eNodeB Gateway根据实施例一中步骤402认证时产生的根密钥计算用户面加密所需的用户面根密钥。该过程由Home eNodeBGateway中的安全网关模块和HBS-C模块协作完成。

610 Home eNodeB Gateway将步骤604收到的附着请求消息及608步生成的用户面根密钥，通过S1-AP*消息发生给所选择的MME。

612 MME收到附着请求消息后对该UE进行认证，在此过程中MME从HSS获取认证向量和用户签约信息，同时MME向HSS注册为该UE服务。

614 MME为该UE选择合适的Serving Gateway。

616 MME根据需要使用步骤610收到的用户面根密钥计算用户面加密所需的用户面密钥。

根据策略，该用户面安全可以是UE级别的，即每个UE对应一条Home eNodeB与Serving Gateway间的安全隧道，也可以是网元级别的，即在一对Home eNodeB和Serving Gateway之间建立一条安全隧道，为所有由该对Home eNodeB和Serving Gateway服务的UE共享。若安全隧道是网元级别，则MME判断所选eNodeB和ServingGateway之间是否已建立安全隧道，若安全隧道不存在，或安全隧道的密钥过期，则MME根据用户面根密钥重新计算新的用户面密钥；否则，MME不需计算用户面密钥。若安全隧道是用户级别，则在附着过程中，MME总是需要计算新的用户面密钥。

MME根据eNodeB和Serving Gateway能力为它们间的安全隧道选择合适的安全算法、安全模式(如完整性保护、加密、隧道模式或传输模式等)、加密范围(如UE级别或网元级别)等，MME将用户面密钥、安全算法、安全模式、加密范围等信息组成用户面安全联盟。

MME向所选Serving Gateway发送创建承载请求，MME将上述用户面安全联盟发送给Serving Gateway。

618 Serving Gateway为该UE分配用户面资源。Serving Gateway保存用户面安全联盟。根据用户面安全联盟和用户面资源信息，Serving Gateway生成安全隧道所需的安全策略库和安全联盟库。Serving Gateway将相应的用户面资源信息，如GTP隧道的上行TEID、上行IP地址等信息发送给MME。

620 MME向Home eNodeB发送创建承载请求，在该消息中，MME将用户面安全联盟信息和步骤618中Serving Gateway分配的用户面资源信息发送给Home eNodeB。Home eNodeB根据该信息生成用户面安全隧道所需的安全策略库和安全联盟库。Home eNodeB为该UE分配无线资源和S1-UP接口资源。

622 Home eNodeB将S1-UP接口资源信息通过承载更新消息发生给Serving Gateway。

Serving Gateway保持S1-UP接口资源信息，并根据该资源信息更新本地的用户面安全策略库和安全联盟库。Serving Gateway向Home eNodeB发生承载更新确认消息。

该步骤中的消息均经过MME中转，MME将其中的S1-UP接口资源信息记录在本地数据库。

624至此，在Home eNodeB和Serving GW之间创建了用户面，并建立了用户面安全隧道。

626 MME向UE发生附着确认消息。UE附着流程结束。

实施例三

图4是MME更新用户面安全联盟的流程图。该流程适用于UE级别的用户面安全和网元级别的用户面安全，流程图详述如下：

802 MME决定需要更新用户面安全联盟。比如，MME收到来自Home eNodeB Gateway的用户面根密钥更新请求。MME根据用户面根密钥生成新的用户面加密密钥。MME可根据需要决定是否需改变安全联盟中的其他参数，如安全算法等。MME生成新的用户面安全联盟。

804 MME将新用户面安全联盟发生给Home eNodeB。

806 Home eNodeB根据步骤804收到新的用户面安全联盟及现有的用户面安全联盟生成新的用户面策略库和用户面安全联盟库。Home eNodeB同时保存新加密信息和旧加密信息。Home eNodeB仍然使用旧加密信息对上行数据包加密；Home eNodeB尝试新旧两套加密信息对下行数据包的解密，哪套成功用哪套。当Home eNodeB收到使用新加密信息加密的下行数据包后，Home eNodeB启用新加密信息加密上行数据包，此时，Home eNodeB可以删除旧加密信息。

808 MME向Serving GW发送新用户面安全联盟。

810 Serving GW根据步骤808收到新的用户面安全联盟及现有的用户面安全联盟生成新的用户面策略库和用户面安全联盟库。ServingGateway同时保存新加密信息和旧加密信息。Serving Gateway使新加密信息对下行数据包加密；Serving Gateway尝试新旧两套加密信息对上行数据包的解密。当Serving Gateway收到使用新加密信息加密的上行数据包后，Serving Gateway删除旧加密信息。

实施例四

图5是用户面根密钥的更新流程图。当Home eNodeB Gateway对Home eNodeB重新认证后，Home eNodeB Gateway根据策略决定是否需向该Home eNodeB所关联的MME更新用户面根密钥。该流程是Home eNodeB Gateway决定要更新用户面根密钥的流程。在Home eNodeB Gateway中需保存Home eNodeB所关联的MME的列表，该列表中的MME为驻留在该Home eNodeB中的某一UE服务。

实施例四的详细步骤描述如下：

1002 Home eNodeB与Home eNodeB Gateway间的安全联盟更新。当安全联盟即将超时，可由Home eNodeB或Home eNodeBGateway触发该过程。该过程结束后，Home eNodeB Gateway为该Home eNodeB所关联的每个MME计算新的用户面根密钥。

1004 Home eNodeB Gateway向该Home eNodeB所关联的每个MME发送用户面根密钥更新消息。

1006 MME在收到来自Home eNodeB Gateway的用户面根密钥更新消息后使用实施例三所描述的流程更新Home eNodeB和ServingGateway中的用户面安全联盟。

实施例五

图6是Home eNodeB或Serving Gateway请求更新用户面密钥流程图。Home eNodeB或Serving Gateway可根据通过该用户面安全隧道的数据包数决定向MME发起更新用户面密钥的过程。实施例五的详细步骤描述如下：

1202a Home eNodeB对通过用户面安全隧道的每个数据包进行计数，若计数器超过某一阀值，Home eNodeB向MME发送请求更新用户面密钥消息。Home eNodeB还可启动定时器，若用户面密钥的使用寿命超过一定时长时，Home eNodeB也可向MME发送请求更新用户面密钥消息。

1202b同样，Serving Gateway亦可能发起更新用户面密钥请求。触发条件类似Home eNodeB的触发条件。

1204 MME收到更新用户面密钥请求消息后发起实施例三所描述用户面安全联盟更新流程，对用户面密钥进行更新。

***实施例：

用户面安全联盟构造模块，位于MME中，用于根据所述家庭基站密钥信息生成家庭基站和服务网关间的用户面安全联盟，并将所述用户面安全联盟发送给家庭基站和服务网关。

在该***中，所述用户面安全联盟构造模块还用于根据接收到所述家庭基站网关发送的用户面根密钥更新请求后决定更新所述用户面安全联盟，或者，所述用户面安全联盟构造模块接收到所述用户面密钥根新请求后更新所述用户面安全联盟。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种家庭基站安全接入网络的方法，应用于由家庭基站网关、演进的分组***EPS组成的网络中，其特征在于，所述方法包括：

所述家庭基站利用所述用户面安全联盟接入所述服务网关。

2.根据权利要求1所述的方法，其特征在于，所述家庭基站接入所述网络，家庭基站网关对所述家庭基站接入认证包括：

3.根据权利要求2所述的方法，其特征在于，鉴权认证计费服务器对家庭基站进行认证过程中，生成根密钥，并将所述根密钥发送给家庭基站网关，所述家庭基站网关根据所述根密钥生成家庭基站密钥信息，所述家庭基站密钥信息包括用户面根密钥。

4.根据权利要求3所述的方法，其特征在于，所述MME根据所述家庭基站密钥信息生成家庭基站和服务网关间的用户面安全联盟，并将所述用户面安全联盟发送给家庭基站和服务网关包括：

5.根据权利要求4所述的方法，其特征在于，在将所述用户面安全联盟发送给家庭基站和服务网关之后，进一步包括：

6.根据权利要求5所述的方法，若所述MME生成所述用户面安全联盟后更新所述用户面安全联盟，其特征在于，所述方法包括：

7.根据权利要求6所述的方法，其特征在于，所述MME接收到所述家庭基站网关发送的用户面根密钥更新请求后决定更新所述用户面安全联盟，所述家庭基站网关向所述MME发送用户面根密钥更新请求包括：

8.根据权利要求6所述的方法，其特征在于，所述MME接收到所述家庭基站或服务网关发送的用户面密钥更新请求后更新所述用户面安全联盟；所述家庭基站或服务网关向所述MME发送所述用户面密钥更新请求包括：

所述家庭基站或服务网关通过对用户面安全隧道进行控制，达到预定控制条件后，所述家庭基站或服务网关向MME发送所述用户面密钥更新请求。

9.一种家庭基站安全接入网络的***，其特征在于，所述***包括：

10.根据权利要求9所述的***，其特征在于，所述用户面安全联盟构造模块还用于根据接收到所述家庭基站网关发送的用户面根密钥更新请求后决定更新所述用户面安全联盟，或者，所述用户面安全联盟构造模块接收到所述家庭基站或服务网关发送的用户面密钥更新请求后更新所述用户面安全联盟。