WO2012068963A1 - 一种克隆设备的检测方法和装置 - Google Patents

一种克隆设备的检测方法和装置 Download PDF

Info

Publication number
WO2012068963A1
WO2012068963A1 PCT/CN2011/082284 CN2011082284W WO2012068963A1 WO 2012068963 A1 WO2012068963 A1 WO 2012068963A1 CN 2011082284 W CN2011082284 W CN 2011082284W WO 2012068963 A1 WO2012068963 A1 WO 2012068963A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
access
identification information
server
device identification
Prior art date
Application number
PCT/CN2011/082284
Other languages
English (en)
French (fr)
Inventor
丁馥昊
朱戈
周俊超
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012068963A1 publication Critical patent/WO2012068963A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/126—Anti-theft arrangements, e.g. protection against subscriber identity module [SIM] cloning

Definitions

  • the present invention relates to a packet domain system in the field of communications, and in particular to a method and apparatus for detecting a clone device.
  • an Authentication, Authorization, and Accounting (AAA) server is generally used as a user authentication center to authenticate and authorize users or devices accessing the packet network.
  • AAA Authentication, Authorization, and Accounting
  • the user's account and the terminal device identifier are usually bound in the AAA server to protect the user's security.
  • IMSI International Mobile Subscriber Identification Number
  • the public key infrastructure (PKI) architecture is also added to the WiMAX system, and the .509 certificate is used to bind to the MAC (Media Access Control) address of the terminal device. , to achieve the certification of the legality of the equipment.
  • the criminal can use the obtained information to clone the device that is completely consistent with the information of the stolen terminal device, for illegal access to the network, for accessing the network server and the AAA server, It is impossible to distinguish which terminal device is a legitimate user. If both the legal user and the illegal user are connected to the network, the costs incurred by the illegal user using the network will be recorded on the legitimate user, which brings economic benefits to both the operator and the legitimate user. Loss.
  • the detection function of the cloned terminal can be implemented on the access server of the packet network, it is ensured that only one user can be accessed by one device identifier, and the terminal device can be identified when the same terminal device attempts to initiate multiple access sessions. May be cloned, alert or otherwise notify the operator or user.
  • the access server cannot do anything because the terminal session information cannot be shared among multiple access servers.
  • the present invention provides a method for detecting a clone device.
  • the method includes: when an authentication, authorization, and accounting (AAA) server receives an access request from a terminal, if it detects that the existing device exists The session of the terminal with the same device identification information of the terminal indicates that the clone device exists.
  • AAA authentication, authorization, and accounting
  • the method further includes: the AAA server saves session information of the terminal that has accessed the network, and the session information includes device identification information of the terminal that has accessed the network.
  • the method further includes: after detecting the cloned device, the AAA server sends an alarm message to the terminal and a terminal that has the same device identification information as the terminal; and/or sends an alarm information to the operator. .
  • the method further includes: after discovering that the clone device exists, the AAA server performs one of the following operations:
  • the terminal is denied access, and the terminal having the same device identification information with the terminal is forced to go offline;
  • the terminal is allowed to access, and the access server to which the terminal belongs and the access server to which the terminal having the same device identification information as the terminal belongs to detect the clone device, and the access server processes.
  • the AAA server detects whether a clone device exists before allowing the terminal to access the network or after the terminal accesses the network.
  • the present invention also provides a detecting device for a cloning device, which is located on an authentication, authorization, and accounting (AAA) server, wherein the detecting device is configured to: when receiving an access request of the terminal, if If it is detected that there is a session of the terminal that is the same as the device identification information of the terminal, it indicates that there is a clone device.
  • AAA authentication, authorization, and accounting
  • the detecting device is further configured to save session information of the terminal that has accessed the network, where the session information includes device identification information of the terminal that has accessed the network.
  • the detecting device is further configured to: after detecting the clone device, send the alarm information to the terminal and the terminal having the same identification information as the terminal; and/or send the alarm information to the operator.
  • the detecting device is further configured to: when it is found that the clone device exists, perform one of the following operations:
  • the terminal is denied access, and the terminal having the same device identification information with the terminal is forced to go offline;
  • the terminal is allowed to access, and the access server to which the terminal and the terminal having the same device identification information as the terminal belong to detects the clone device, and is processed by the access server.
  • the detecting device is configured to detect whether a clone device exists before the terminal is allowed to access the network, or after the terminal accesses the network.
  • the invention solves the problem of avoiding the illegal cloning of the terminal to access the network in the packet domain network, so that the operator and the legitimate terminal user can discover the illegally cloned device in time, and take appropriate treatment schemes to reduce the economic loss.
  • Compared with the prior art there is no need to add additional equipment, no need to modify the access server and the terminal, the impact on the system is minimal, and the implementation cost and difficulty are low.
  • 1 is a structural diagram of a device used in an embodiment of the present invention
  • 2 is a flowchart of detecting a clone device implemented by an embodiment of the present invention
  • FIG. 3 is a flowchart of implementing a cloning device detection function in a CDMA system according to a first strategy of an embodiment of the present invention
  • FIG. 4 is a flow chart of a first strategy for implementing a clone device detection function in a WiMAX system according to an embodiment of the present invention.
  • An embodiment of the present invention provides a method for detecting a clone device, where the method includes: when an authentication, authorization, and accounting (AAA) server receives an access request from a terminal, if it detects that a device with the terminal already exists A session identifying the terminal with the same information indicates that there is a clone device.
  • AAA authentication, authorization, and accounting
  • the method may further include: the AAA server saves session information of a terminal that has accessed the network, and the session information includes device identification information of the terminal that has accessed the network. After detecting the cloned device, the AAA server sends an alarm message to the terminal and a terminal having the same device identification information as the terminal; and/or sends an alarm message to the operator.
  • the AAA server After the cloning device is found, the AAA server performs one of the following operations: allowing the terminal to access, forcing the terminal having the same device identification information to go offline with the terminal; or allowing the terminal to access, maintaining and The terminal has a session of the terminal with the same device identification information; or, the terminal is denied access, and the terminal having the same device identification information is forced to go offline; or the terminal is denied access, and the terminal is denied The session of the terminal having the same device identification information; or allowing the terminal to access, informing the access server to which the terminal belongs and the access server to which the terminal having the same device identification information as the terminal belongs to detect the clone device , processed by the access server.
  • the AAA server detects whether a clone device exists before allowing the terminal to access the network or after the terminal accesses the network.
  • FIG. 2 a flow chart of detecting a clone device implemented by an embodiment of the present invention is specifically described as follows:
  • the terminal 1 initiates an access request to the access server 1, and the access server 1 receives and sends the request. Accessing the request message to the AAA server, the AAA server allows the terminal 1 to access, and saves the session information, where the session information includes at least device identification information and access server identification information;
  • the terminal 2 initiates an access request to the access server 2, and the access server 2 sends an access request message to the AAA server after receiving the request;
  • the AAA server uses the device identification information carried in the access request as a condition.
  • the session information saved by the AAA server queries whether the session that the terminal with the same device identification information accesses through the access server exists;
  • the terminal device corresponding to the device identification information is cloned, and the process of processing the clone device is performed;
  • the terminal corresponding to the device identification information is considered to be a normal device, and the terminal is allowed.
  • the AAA server before the step (203), after receiving the access request message, the AAA server allows the user of the terminal 2 to access, and saves the session information, and then performs step (203) to perform the clone device. Detection.
  • Step 1 The terminal 1 initiates an access request to the access server 1;
  • Step 2 After receiving the access request message, the access server 1 determines to authenticate the terminal 1 and sends an access request message to the AAA server.
  • Step 3 After receiving the access request message, the AAA server authenticates the validity of the terminal 1 and queries whether the device information stored in the AAA server has the same device information according to the device identification information carried in the access request.
  • the terminal accesses the session accessed by the server; if not, returns an access response message to the access server 1, and saves the session information, where the session information includes at least device identification information and access server identification information;
  • Step 4 The access server 1 allows the terminal according to the access response message sent by the AAA server.
  • Step 5 The terminal 2 initiates an access request to the access server 2;
  • Step 6 After receiving the access request message, the access server 2 determines that the terminal 2 performs authentication. Sending an access request message to the AAA server;
  • Step 7 The AAA server authenticates the terminal 2 and uses the device identification information carried in the access request as a condition to query whether the terminal having the same device identification information has been accessed by the server. If the device identification information of the terminal 1 is the same as the device identification information of the terminal 2, and the terminal 1 has accessed the network and is using the packet service, it indicates that there is a clone device between the terminal 1 and the terminal 2, which can be used. Handling one of the following five strategies:
  • the first strategy allows the terminal 2 to access and forcibly terminates the terminal 1;
  • Step 8A The AAA server returns an access response message to the access server 2, and sends a request to the access server 1 to force the terminal 1 to go offline, and the AAA server triggers the clone terminal alarm information to notify the operator to process in time;
  • Step 9A The access server 2 allows the terminal 2 to access the network and use the packet service according to the access response message sent by the AAA server.
  • Step 10A At the same time, the access server 1 receives the request from the AAA to force the terminal 1 to go offline, forcing the terminal 1 to go offline. At this time, the terminal 1 is abnormally offline, which will cause the user to be vigilant, and promptly notify the operator to cooperate.
  • the second strategy is to reject the terminal 2 access and maintain the terminal 1 session
  • Step 8B The AAA server rejects the terminal 2 access, and returns a rejection message to the access server 2. At the same time, the AAA triggers the cloning terminal alarm information to notify the operator to process in time.
  • the third strategy is to reject the terminal 2 access and force the terminal 1 to go offline;
  • Step 8C The AAA server rejects the terminal 2 access, returns a rejection message to the access server 2, and sends a request to the access server 1 to force the terminal 1 to go offline, and the AAA server triggers the clone terminal alarm information to notify the operator to process the message in time. ;
  • Step 9C At the same time, the access server 1 receives the request from the AAA server to force the terminal 1 to go offline, forcing the terminal 1 to go offline. In this case, the terminal 1 is abnormally offline, which will cause the user to be vigilant, and the operator will be notified in time. .
  • the fourth strategy is to allow the terminal 2 to access and maintain the terminal 1 session;
  • Step 8D The AAA server returns an access response message to the access server 2, and the AAA server triggers the cloning terminal alarm information to notify the operator to process in time;
  • Step 9D The access server 2 allows the terminal 2 to access the packet network and use the packet service according to the access response message sent by the AAA server.
  • the fifth strategy allows the terminal 2 to access, maintains the terminal 1 session, and notifies the access server 1 and the access server 2 to discover the cloned device, which is processed by the access server 1 and the access server 2.
  • the access server 1 can continue to maintain the session of the terminal 1, and can also force the terminal 1 to go offline; the access server 2 can maintain the session of the terminal 2, and can also force the terminal 2 to go offline.
  • CDMA and WiMAX systems take CDMA and WiMAX systems as an example, but are not limited to CDMA and WiMAX systems. All systems that use the authentication, authorization, and accounting AAA servers to implement access authentication functions can be implemented by the method provided by the present invention. The ability to clone device detection.
  • FIG. 3 is a flowchart of implementing a cloning device detection function in a CDMA system according to a first strategy of an embodiment of the present invention.
  • the forced terminal is immediately triggered. Line request. The steps are described in detail as follows:
  • Step 301 The link control protocol (LCP) and the authentication process are negotiated between the mobile terminal MT1 and the packet data serving node PDSN1.
  • LCP link control protocol
  • Step 302 The packet data serving node PDSN1 sends an access request message to the AAA service.
  • Step 303 The AAA server sends an access response message to the packet data serving node PDSN1, including the authorization information of the mobile terminal MT1 using the CDMA packet network, and records the session information of the mobile terminal MT1, including the identifier of the packet data serving node PDSN1, and the packet data.
  • Step 304 Perform IP control between the mobile terminal MT1 and the packet data serving node PDSN1 In the negotiation of the IP Control Protocol (IPCP) phase, the packet data serving node PDSN1 sends the allocated IP address information to the mobile terminal MT1;
  • IPCP IP Control Protocol
  • Step 305 The LCP (Link Control Protocol) and the authentication process are negotiated between the mobile terminal MT2 and the packet data serving node PDSN2.
  • LCP Link Control Protocol
  • Step 306 The packet data serving node PDSN2 sends an access request message to the AAA service to cry.
  • Step 307 The AAA server sends an access response message to the packet data serving node PDSN2, including the authorization information of the mobile terminal MT2 using the CDMA packet network, and records the session information of the mobile terminal MT2, including the identifier of the packet data serving node PDSN2, and the packet data.
  • Step 308 The mobile terminal MT2 and the packet data service node PDSN2 are negotiated in the IP Control Protocol (IPCP) phase, and the packet data serving node PDSN2 sends the allocated IP address information to the mobile terminal MT2;
  • IPCP IP Control Protocol
  • Step 309 The AAA server detects that the mobile terminal MT1 and the mobile terminal MT2 have the same IMSI, and triggers the forced mobile terminal MT1 to request the Disconnect Message to be sent to the packet data serving node PDSN1 according to the recorded session information of the mobile terminal MT1.
  • the line request message includes at least: an identifier of the packet data serving node PDSN1, an IMSI of the mobile terminal MT1, and the like;
  • Step 310 The AAA server triggers the cloning terminal alarm, where the alarm information includes the IMSI of the mobile terminal MT1, the identifier and IP address of the packet data serving node PDSN1, the identifier and IP address of the packet data service node PDSN2, and the like;
  • Step 311 The mobile terminal MT1 ends the data service and exits the CDMA packet network.
  • FIG. 4 is a flowchart of implementing a cloning device detection function in a WiMAX system according to the first strategy of the embodiment of the present invention.
  • Step 401 The WiMAX terminal UE1 requests an access network from the base station BS (Base Station) of the WiMAX through the wireless interface to the access service gateway ASN-GW1.
  • Step 402 The access service gateway ASN-GW1 sends an access request message to the AAA server.
  • Step 403 The AAA server sends an access response message to the access service gateway ASN-GW1, which includes the authorization information of the WiMAX network used by the WiMAX terminal UE1. And recording the session information of the WiMAX terminal UE1, including the identifier of the access service gateway ASN-GW1, the IP address of the access service gateway ASN-GW1, the terminal identifier MAC (Media Access Control) address of UE1, and the UE1 terminal access user name. Wait;
  • Step 404 The access service gateway ASN-GW1 responds to the authentication success message to the WiMAX terminal UE1, and allows the WiMAX terminal UE1 to use the WiMAX network according to the authorization information session;
  • Step 405 The WiMAX terminal UE2 requests the access network through the wireless interface to the access service gateway ASN-GW2 via the base station BS of the WiMAX;
  • Step 406 The access service gateway ASN-GW2 sends an access request message to the AAA server.
  • Step 407 The AAA server sends an access response message to the access service gateway ASN-GW2, which includes the authorization information of the WiMAX network used by the WiMAX terminal UE2. And recording the session information of the WiMAX terminal UE2, including the identifier of the access service gateway ASN-GW2, the IP address of the access service gateway ASN-GW2, the terminal identification MAC address of the UE2, the UE2 terminal access user name, and the like;
  • Step 408 The access service gateway ASN-GW2 responds to the authentication success message to the WiMAX terminal UE2, and allows the WiMAX terminal UE2 to use the WiMAX network according to the authorization information session;
  • Step 409 The AAA server detects that the WiMAX terminal UE1 and the WiMAX terminal UE2 have the same MAC address, and triggers the forced WiMAX terminal UE1 to request the Disconnect Message to be sent to the packet service gateway ASN-GW1 according to the recorded session information of the WiMAX terminal UE1.
  • the offline request message includes at least: an identifier of the packet service gateway ASN-GW1, a MAC address of the WiMAX terminal UE1, and the like;
  • Step 410 The AAA server triggers a clone terminal alarm.
  • the alarm information includes the MAC address of the WiMAX terminal UE1, the identifier and IP address of the packet service gateway ASN-GW1, the identifier and IP address of the packet service gateway ASN-GW2, and the WiMAX terminal UE1 access.
  • Step 411 The WiMAX terminal UE1 ends the data service and exits the WiMAX network.
  • the embodiment of the present invention further provides a detecting device for a cloning device, which is located on an authentication, authorization, and accounting (AAA) server, where the detecting device is configured to receive an access request of the terminal, if it is detected If there is already a session of the terminal that is the same as the device identification information of the terminal, it indicates that there is a clone device.
  • AAA authentication, authorization, and accounting
  • the detecting device may be further configured to save session information of the terminal that has accessed the network, and the session information includes device identification information of the terminal that has accessed the network.
  • the detecting device is further configured to: after detecting the clone device, send the alarm information to the terminal and the terminal having the same device identification information as the terminal; and/or send the alarm information to the operator.
  • the detecting device may be configured to perform one of the following operations after the cloning device is found: allowing the terminal to access, forcing the terminal having the same device identification information to go offline; or allowing the terminal to connect The session of the terminal having the same device identification information as the terminal is maintained; or the terminal is denied access, and the terminal having the same device identification information is forced to go offline; or the terminal is denied access. Maintaining a session of the terminal having the same device identification information as the terminal; or allowing the terminal to access, informing the access server to which the terminal belongs and the access server to which the terminal having the same device identification information as the terminal belongs A clone device is detected and processed by the access server.
  • the detecting means may be arranged to detect whether a clone device exists before the terminal is allowed to access the network or after the terminal accesses the network.
  • the above solution implements the function of detecting the cloned device when the existing system is modified and has the least impact.
  • the user accesses the authentication, it identifies the possibility of cloning the device, gives an alarm and performs corresponding processing to remind the operator and the terminal.
  • the user equipment is cloned to achieve the purpose of detecting the cloned device as much as possible.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种克隆设备的检测方法和装置，所述方法包括：鉴权、授权、计费（AAA）服务器接收到终端的接入请求时，如果检测到已存在与所述终端的设备标识信息相同的终端的会话，则表示存在克隆设备。本发明解决了在分组域网络中避免非法克隆终端接入网络的问题，使运营商和合法终端用户及时发现被非法克隆的设备，采取合适的处理方案，减少经济上的损失。与先有技术相比，本发明不需要增加额外设备，不需要修改接入服务器和终端，对***的影响最小，实现成本和难度都很低。

Description

一种克隆设备的检测方法和装置
技术领域
本发明涉及通信领域的分组域***， 尤其涉及一种克隆设备的检测方法 和装置。
背景技术
在分组域***中， 一般都釆用鉴权、 授权和计费 （AAA )服务器作为用 户认证中心， 来实现对接入分组网络的用户或设备进行认证和授权。 为了防 止用户账号和密码被盗用，通常将用户的账号与终端设备标识在 AAA服务器 中进行绑定， 来达到保护用户安全的目的。 例如在 CDMA ( Code Division Multiple Access , 码分多址） 分组网络中， 釆用将用户账户与用户的 IMSI ( International Mobile Subscriber Identification Number, 国际移动用户 i只另 ll码 ) 号码在 AAA服务器中实现绑定方式；在 WiMAX***中还加入了公钥基础设 施（ Public Key Infrastructure, 缩写 PKI )架构， 釆用 χ.509证书与终端设备的 MAC ( Media Access Control, 媒体接入控制）地址绑定的方式， 实现对设备 合法性的认证。 但是当终端设备标识连同用户账户密码被盗用之后， 不法分 子可以使用获得信息克隆出与被盗终端设备信息完全一致的设备， 用于非法 接入网络，对于接入网络服务器和 AAA服务器来说，无法区分哪个终端设备 是合法用户； 如果将合法用户和非法用户都接入到网络中后， 非法用户使用 网络发生的费用都会记到合法用户上， 给运营商和合法用户都带来了经济上 的损失。
虽然在分组网络的接入服务器上， 可以实现克隆终端的检测功能， 保证 一个设备标识只能允许一个用户接入， 同时发现相同终端设备试图发起多个 接入会话时可以识别出所述终端设备可能被克隆， 发起告警或其他方式通知 运营商或用户。 但当克隆设备从不同接入服务器接入时， 接入服务器就无能 为力了， 因为多个接入服务器间无法共享终端会话信息。 发明内容 本发明要解决的技术问题是提供了一种克隆设备的检测方法和装置， 避 免了一个账户由多个终端设备同时接入网络的情况， 减少了运营商和合法终 端用户经济上的损失。
为解决上述技术问题， 本发明提供了一种克隆设备的检测方法， 所述方 法包括： 鉴权、 授权、 计费 （AAA )服务器接收到终端的接入请求时， 如果 检测到已存在与所述终端的设备标识信息相同的终端的会话， 则表示存在克 隆设备。
可选的，所述方法还包括： 所述 AAA服务器保存已接入网络的终端的会 话信息， 所述会话信息包含所述已接入网络的终端的设备标识信息。
可选的， 所述方法还包括： 所述 AAA服务器检测到克隆设备后， 发送告 警信息给所述终端和与所述终端具备相同设备标识信息的终端； 和 /或， 发送 告警信息给运营商。
可选的， 所述方法还包括： 当发现存在克隆设备后， 所述 AAA服务器执 行如下操作之一：
允许所述终端接入 ,强制与所述终端具有相同设备标识信息的终端下线； 或者， 允许所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 拒绝所述终端接入， 强制与所述终端具有相同设备标识信息的终 端下线；
或者， 拒绝所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 允许所述终端接入， 告知所述终端所属的接入服务器和与所述终 端具有相同设备标识信息的终端所属的接入服务器检测到克隆设备， 由所述 接入服务器处理。
可选的，所述 AAA服务器是在允许所述终端接入网络前，或在所述终端 接入网络后， 检测是否存在克隆设备。
本发明还提供了一种克隆设备的检测装置，位于鉴权、授权、计费（AAA ) 服务器上， 其中， 所述检测装置设置为： 接收到终端的接入请求时， 如果检 测到已存在与所述终端的设备标识信息相同的终端的会话， 则表示存在克隆 设备。
可选的， 所述检测装置还设置为保存已接入网络的终端的会话信息， 所 述会话信息包含所述已接入网络的终端的设备标识信息。
可选的， 所述检测装置还设置为： 检测到克隆设备后， 发送告警信息给 所述终端和与所述终端具备相同标识信息的终端； 和 /或， 发送告警信息给运 营商。
可选的， 所述检测装置还设置为当发现存在克隆设备后， 执行如下操作 之一：
允许所述终端接入 ,强制与所述终端具有相同设备标识信息的终端下线； 或者， 允许所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 拒绝所述终端接入， 强制与所述终端具有相同设备标识信息的终 端下线；
或者， 拒绝所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 允许所述终端接入， 告知所述终端和与所述终端具有相同设备标 识信息的终端所属的接入服务器检测到克隆设备， 由所述接入服务器处理。
可选的， 所述检测装置是设置为在允许所述终端接入网络前， 或在所述 终端接入网络后， 检测是否存在克隆设备。
本发明解决了在分组域网络中避免非法克隆终端接入网络的问题， 使运 营商和合法终端用户及时发现被非法克隆的设备， 釆取合适的处理方案， 减 少经济上的损失。 与现有技术相比， 不需要增加额外设备， 不需要修改接入 服务器和终端， 对***的影响最小， 实现成本和难度都很低。 附图概述
图 1为本发明实施方式釆用的装置结构图； 图 2为本发明实施方式实现的克隆设备检测流程图；
图 3为本发明实施方式的第一种策略在 CDMA***中实现克隆设备检测 功能的流程图；
图 4为本发明实施方式的第一种策略在 WiMAX***中实现克隆设备检 测功能的流程图。
本发明的较佳实施方式
下文中将结合附图对本发明的实施方式进行详细说明。 需要说明的是， 在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
本发明实施方式提供了一种克隆设备的检测方法， 所述方法包括： 鉴权、 授权、 计费 （AAA )服务器接收到终端的接入请求时， 如果检测到已存在与 所述终端的设备标识信息相同的终端的会话， 则表示存在克隆设备。
所述方法还可包括： 所述 AAA服务器保存已接入网络的终端的会话信 息， 所述会话信息包含所述已接入网络的终端的设备标识信息。所述 AAA服 务器检测到克隆设备后， 发送告警信息给所述终端和与所述终端具备相同设 备标识信息的终端； 和 /或，发送告警信息给运营商。 当发现存在克隆设备后， 所述 AAA服务器执行如下操作之一： 允许所述终端接入， 强制与所述终端具 有相同设备标识信息的终端下线； 或者， 允许所述终端接入， 保持与所述终 端具有相同设备标识信息的终端的会话； 或者， 拒绝所述终端接入， 强制与 所述终端具有相同设备标识信息的终端下线； 或者， 拒绝所述终端接入， 保 持与所述终端具有相同设备标识信息的终端的会话； 或者， 允许所述终端接 入， 告知所述终端所属的接入服务器和与所述终端具有相同设备标识信息的 终端所属的接入服务器检测到克隆设备， 由所述接入服务器处理。 其中， 所 述 AAA服务器在允许所述终端接入网络前，或在所述终端接入网络后，检测 是否存在克隆设备。
如图 2所示， 本发明实施方式实现的克隆设备检测流程图， 具体描述如 下：
( 201 )终端 1向接入服务器 1发起接入请求， 接入服务器 1收到后发送 接入请求消息给 AAA服务器， AAA服务器允许终端 1接入， 并保存会话信 息， 会话信息中至少包括设备标识信息和接入服务器标识信息；
( 202 )终端 2向接入服务器 2发起接入请求， 接入服务器 2收到后发送 接入请求消息给 AAA服务器；
( 203 ) AAA服务器根据接入请求中携带的设备标识信息作为条件在
AAA服务器保存的会话信息中查询是否已经有相同设备标识信息的终端通 过接入服务器接入的会话存在；
( 204 )若有， 则认为此设备标识信息对应的终端设备被克隆， 执行克隆 设备处理流程；
( 205 )若没有， 认为此设备标识信息对应的终端为正常设备， 允许终端
2用户接入， 并保存会话信息。
其中， 在本发明另一实施例中， 步骤（203 )之前， AAA服务器接收到 接入请求消息后， 允许终端 2用户接入， 并保存会话信息， 然后再执行步骤 ( 203 ) , 进行克隆设备检测。
本发明实施方式在实现克隆设备检测的基础上， 还提供了相应的处理策 略， 具体描述如下： 步骤 1 : 终端 1向接入服务器 1发起接入请求；
步骤 2: 接入服务器 1收到接入请求消息后， 确定为终端 1进行鉴权， 发送接入请求消息给 AAA服务器；
步骤 3: AAA服务器收到接入请求消息后对终端 1进行合法性的认证， 根据接入请求中的携带的设备标识信息作为条件在 AAA服务器保存的会话 信息中查询是否已经有相同设备信息的终端通过入服务器接入的会话存在； 若没有， 给接入服务器 1返回接入响应消息， 并保存会话信息， 会话信息中 至少包括设备标识信息和接入服务器标识信息；
步骤 4: 接入服务器 1根据 AAA服务器发送的接入响应消息， 允许终端
1接入分组网络使用分组业务；
步骤 5: 终端 2向接入服务器 2发起接入请求；
步骤 6: 接入服务器 2收到接入请求消息后， 确定为终端 2进行鉴权， 发送接入请求消息给 AAA服务器；
步骤 7: AAA服务器对终端 2进行合法性认证， 根据接入请求中的携带 的设备标识信息作为条件在 AAA服务器保存的会话信息中查询是否已经有 相同设备标识信息的终端通过入服务器接入的会话存在； 若检测到终端 1的 设备标识信息与终端 2的设备标识信息相同， 且终端 1 已经接入网络并正在 使用分组业务， 则表示终端 1和终端 2之间存在克隆设备， 可以釆用下面五 种策略之一进行处理：
第一种策略， 允许终端 2接入， 强制终端 1下线；
步骤 8A： AAA服务器给接入服务器 2返回接入响应消息， 同时向接入 服务器 1发送强制终端 1下线的请求，且 AAA服务器触发克隆终端告警信息， 通知运营商及时处理；
步骤 9A: 接入服务器 2根据 AAA服务器发送的接入响应消息， 允许终 端 2接入网络， 使用分组业务；
步骤 10A: 与此同时， 接入服务器 1收到 AAA的强制终端 1下线请求， 强制终端 1下线， 此时终端 1异常下线， 会引起用户警惕， 也会及时通知运 营商协同处理。
第二种策略， 拒绝终端 2接入， 保持终端 1会话；
步骤 8B: AAA服务器拒绝终端 2接入，给接入服务器 2返回拒绝消息， 同时， AAA触发克隆终端告警信息， 通知运营商及时处理。
第三种策略， 拒绝终端 2接入， 强制终端 1下线；
步骤 8C: AAA服务器拒绝终端 2接入，给接入服务器 2返回拒绝消息， 同时， 向接入服务器 1发送强制终端 1下线的请求，且 AAA服务器触发克隆 终端告警信息， 通知运营商及时处理；
步骤 9C: 与此同时， 接入服务器 1收到 AAA服务器的强制终端 1下线 请求， 强制终端 1下线， 此时终端 1异常下线， 会引起用户警惕， 也会及时 通知运营商协同处理。 第四种策略， 允许终端 2接入， 保持终端 1会话；
步骤 8D: AAA服务器给接入服务器 2返回接入响应消息， 同时， AAA 服务器触发克隆终端告警信息， 通知运营商及时处理；
步骤 9D: 接入服务器 2根据 AAA服务器发送的接入响应消息， 允许终 端 2接入分组网络， 使用分组业务。
第五种策略， 允许终端 2接入， 保持终端 1会话， 通知接入服务器 1和 接入服务器 2发现克隆设备， 由接入服务器 1和接入服务器 2处理。 接入服 务器 1可以继续保持终端 1的会话， 也可以强制终端 1下线； 接入服务器 2 可以保持终端 2的会话， 也可以强制终端 2下线。
以下实施例以 CDMA和 WiMAX***为例 ,但不限于 CDMA和 WiMAX ***， 所有釆用鉴权、授权及计费 AAA服务器实现接入鉴权功能的***， 都 可应用本发明所提供的方法实现克隆设备检测的功能。
图 3为按本发明实施方式的第一种策略在 CDMA***中实现克隆设备检 测功能的流程图， 此实施例中， AAA服务器返回给分组数据服务节点 PDSN 接入响应后， 立即触发强制终端下线请求。 其步骤具体描述如下：
步骤 301 : 移动终端 MT1与分组数据服务节点 PDSN1之间进行链路控 制协议（ Link Control Protocol , 简称 LCP )及鉴权过程的协商；
步骤 302: 分组数据服务节点 PDSN1将接入请求消息发送给 AAA服务 哭口.？
步骤 303： AAA服务器将接入响应消息发给分组数据服务节点 PDSN1 , 包含移动终端 MT1使用 CDMA分组网络的授权信息， 并记录移动终端 MT1 的会话信息， 包括分组数据服务节点 PDSN1 的标识、 分组数据服务节点 PDSN1的 IP地址、 MT1的终端标识国际移动用户识别码 IMSI ( International Mobile Subscriber Identification Number )等；
步骤 304: 移动终端 MT1与分组数据服务节点 PDSN1之间进行 IP控制 协议（ IP Control Protocol,简称 IPCP )阶段的协商，分组数据服务节点 PDSNl 将分配的 IP地址信息发送给移动终端 MT1 ;
步骤 305:移动终端 MT2与分组数据服务节点 PDSN2之间进行 LCP( Link Control Protocol: 链路控制协议）及鉴权过程的协商；
步骤 306: 分组数据服务节点 PDSN2将接入请求消息发送给 AAA服务 哭.
口 ？
步骤 307: AAA服务器将接入响应消息发给分组数据服务节点 PDSN2, 包含移动终端 MT2使用 CDMA分组网络的授权信息， 并记录移动终端 MT2 的会话信息， 包括分组数据服务节点 PDSN2 的标识、 分组数据服务节点 PDSN2的 IP地址、 MT2的终端标识国际移动用户识别码 IMSI等；
步骤 308: 移动终端 MT2与分组数据服务节点 PDSN2之间进行 IP控制 协议（ IP Control Protocol,简称 IPCP )阶段的协商 ,分组数据服务节点 PDSN2 将分配的 IP地址信息发送给移动终端 MT2;
步骤 309: AAA服务器检测到移动终端 MT1与移动终端 MT2具有相同 的 IMSI, 则触发强制移动终端 MT1下线请求 Disconnect Message, 发送给分 组数据服务节点 PDSN1 , 根据记录的移动终端 MT1 的会话信息， 下线请求 消息中至少包括： 分组数据服务节点 PDSN1的标识、 移动终端 MT1的 IMSI 等；
步骤 310: AAA服务器触发克隆终端告警， 告警信息中包括移动终端 MT1的 IMSI、 分组数据服务节点 PDSN1的标识和 IP地址、 分组数据服务节 点 PDSN2的标识和 IP地址等；
步骤 311 : 移动终端 MT1结束数据业务， 退出 CDMA分组网络。
图 4为按本发明实施方式的第一种策略在 WiMAX***中实现克隆设备 检测功能的流程图， 此实施例 AAA服务器返回给接入服务网关 ASN-GW接 入响应后， 立即触发强制终端下线请求。 其步骤具体描述如下：
步骤 401 : WiMAX终端 UE1通过无线接口经由 WiMAX的基站 BS(Base Station)向接入服务网关 ASN-GW1请求接入网络； 步骤 402:接入服务网关 ASN-GW1将接入请求消息发送给 AAA服务器； 步骤 403： AAA服务器将接入响应消息发给接入服务网关 ASN-GW1 , 包含 WiMAX终端 UE1使用 WiMAX网络的授权信息 , 并记录 WiMAX终端 UE1 的会话信息， 包括接入服务网关 ASN-GW1 的标识、 接入服务网关 ASN-GW1的 IP地址、 UE1的终端标识 MAC ( Media Access Control )地址、 UE1终端接入用户名等；
步骤 404: 接入服务网关 ASN-GW1向 WiMAX终端 UE1响应认证成功 消息， 根据授权信息会话， 允许 WiMAX终端 UE1使用 WiMAX网络；
步骤 405: WiMAX终端 UE2通过无线接口经由 WiMAX的基站 BS向接 入服务网关 ASN-GW2请求接入网络；
步骤 406:接入服务网关 ASN-GW2将接入请求消息发送给 AAA服务器； 步骤 407: AAA服务器将接入响应消息发给接入服务网关 ASN-GW2, 包含 WiMAX终端 UE2使用 WiMAX网络的授权信息 , 并记录 WiMAX终端 UE2 的会话信息， 包括接入服务网关 ASN-GW2 的标识、 接入服务网关 ASN-GW2的 IP地址、 UE2的终端标识 MAC地址、 UE2终端接入用户名等； 步骤 408: 接入服务网关 ASN-GW2向 WiMAX终端 UE2响应认证成功 消息， 根据授权信息会话， 允许 WiMAX终端 UE2使用 WiMAX网络；
步骤 409: AAA服务器检测到 WiMAX终端 UE1与 WiMAX终端 UE2 具有相同的 MAC地址， 则触发强制 WiMAX终端 UE1下线请求 Disconnect Message, 发送给分组服务网关 ASN-GW1 , 根据记录的 WiMAX终端 UE1 的会话信息， 下线请求消息中至少包括： 分组服务网关 ASN-GW1 的标识、 WiMAX终端 UE1的 MAC地址等；
步骤 410: AAA服务器触发克隆终端告警， 告警信息包括 WiMAX终端 UE1的 MAC地址、 分组服务网关 ASN-GW1的标识和 IP地址、 分组服务网 关 ASN-GW2的标识和 IP地址、 WiMAX终端 UE1接入时使用的用户名、 WiMAX终端 UE2接入时使用的用户名等；
步骤 411 : WiMAX终端 UE1结束数据业务， 退出 WiMAX网络。 本发明实施方式还提供了一种克隆设备的检测装置， 位于鉴权、 授权、 计费 （AAA )服务器上， 其中， 所述检测装置， 设置为接收到终端的接入请 求时， 如果检测到已存在与所述终端的设备标识信息相同的终端的会话， 则 表示存在克隆设备。
所述检测装置还可设置为保存已接入网络的终端的会话信息， 所述会话 信息包含所述已接入网络的终端的设备标识信息。 所述检测装置还用于检测 到克隆设备后， 发送告警信息给所述终端和与所述终端具备相同设备标识信 息的终端； 和 /或， 发送告警信息给运营商。
所述检测装置还可设置为当发现存在克隆设备后， 执行如下操作之一： 允许所述终端接入， 强制与所述终端具有相同设备标识信息的终端下线； 或 者， 允许所述终端接入， 保持与所述终端具有相同设备标识信息的终端的会 话； 或者， 拒绝所述终端接入， 强制与所述终端具有相同设备标识信息的终 端下线； 或者， 拒绝所述终端接入， 保持与所述终端具有相同设备标识信息 的终端的会话； 或者， 允许所述终端接入， 告知所述终端所属的接入服务器 和与所述终端具有相同设备标识信息的终端所属的接入服务器检测到克隆设 备， 由所述接入服务器处理。
所述检测装置可以设置为在允许所述终端接入网络前， 或在所述终端接 入网络后， 检测是否存在克隆设备。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 上述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
以上实施例仅用以说明本发明的技术方案而非限制， 仅仅参照较佳实施 例对本发明进行了详细说明。 本领域的普通技术人员应当理解， 可以对本发 明的技术方案进行修改或者等同替换， 而不脱离本发明技术方案的精神和范 围， 均应涵盖在本发明的权利要求范围当中。 工业实用性
上述方案在对已有***改动及影响最小的情况下实现了克隆设备检测的 功能， 在用户接入认证时识别是否存在克隆设备的可能， 给出告警并进行相 应的处理， 提醒运营商和终端用户设备被克隆， 从而达到尽可能检测到克隆 设备的目的。

Claims

权 利 要 求 书
1、 一种克隆设备的检测方法， 其包括：
鉴权、 授权、 计费 （AAA )服务器接收到终端的接入请求时， 如果检测 到已存在与所述终端的设备标识信息相同的终端的会话， 则表示存在克隆设 备。
2、 如权利要求 1所述的方法， 其还包括： 所述 AAA服务器保存已接入 网络的终端的会话信息， 所述会话信息包含所述已接入网络的终端的设备标 识信息。
3、 如权利要求 1所述的方法， 其还包括： 所述 AAA服务器检测到克隆 设备后， 发送告警信息给所述终端和与所述终端具备相同设备标识信息的终 端； 和 /或， 发送告警信息给运营商。
4、 如权利要求 1所述的方法， 其还包括： 当发现存在克隆设备后， 所述 AAA服务器执行如下操作之一：
允许所述终端接入，强制与所述终端具有相同设备标识信息的终端下线； 或者， 允许所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 拒绝所述终端接入， 强制与所述终端具有相同设备标识信息的终 端下线；
或者， 拒绝所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 允许所述终端接入， 告知所述终端所属的接入服务器和与所述终 端具有相同设备标识信息的终端所属的接入服务器检测到克隆设备， 由所述 接入服务器处理。
5、 如权利要求 1所述的方法， 其中， 所述 AAA服务器是在允许所述终 端接入网络前， 或在所述终端接入网络后， 检测是否存在克隆设备。
6、一种克隆设备的检测装置， 位于鉴权、授权、计费（AAA )服务器上， 其设置为： 接收到终端的接入请求时， 如果检测到已存在与所述终端的设备 标识信息相同的终端的会话， 则表示存在克隆设备。
7、 如权利要求 6所述的装置， 其还设置为： 保存已接入网络的终端的会 话信息， 所述会话信息包含所述已接入网络的终端的设备标识信息。
8、 如权利要求 6所述的装置， 其还设置为： 检测到克隆设备后， 发送告 警信息给所述终端和与所述终端具备相同设备标识信息的终端； 和 /或， 发送 告警信息给运营商。
9、 如权利要求 6所述的装置， 其还设置为当发现存在克隆设备后， 执行 如下操作之一： 允许所述终端接入，强制与所述终端具有相同设备标识信息的终端下线； 或者， 允许所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 拒绝所述终端接入， 强制与所述终端具有相同设备标识信息的终 端下线；
或者， 拒绝所述终端接入， 保持与所述终端具有相同设备标识信息的终 端的会话；
或者， 允许所述终端接入， 告知所述终端所属的接入服务器和与所述终 端具有相同设备标识信息的终端所属的接入服务器检测到克隆设备， 由所述 接入服务器处理。
10、如权利要求 6所述的装置， 其是设置为在允许所述终端接入网络前， 或在所述终端接入网络后， 检测是否存在克隆设备。
PCT/CN2011/082284 2010-11-25 2011-11-16 一种克隆设备的检测方法和装置 WO2012068963A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010560172.6A CN102098674B (zh) 2010-11-25 2010-11-25 一种克隆设备的检测方法和装置
CN201010560172.6 2010-11-25

Publications (1)

Publication Number Publication Date
WO2012068963A1 true WO2012068963A1 (zh) 2012-05-31

Family

ID=44131495

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/082284 WO2012068963A1 (zh) 2010-11-25 2011-11-16 一种克隆设备的检测方法和装置

Country Status (2)

Country Link
CN (1) CN102098674B (zh)
WO (1) WO2012068963A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102098674B (zh) * 2010-11-25 2015-08-12 中兴通讯股份有限公司 一种克隆设备的检测方法和装置
CN103179563B (zh) * 2011-12-20 2015-08-05 中国电信股份有限公司 接入认证方法和***
CN102546302B (zh) * 2012-01-18 2014-08-20 北京视博数字电视科技有限公司 一种克隆终端设备的检测方法及***
CN103888418B (zh) * 2012-12-21 2017-09-15 中国电信股份有限公司 策略认证方法及***
EP3183894B1 (en) * 2014-08-18 2020-10-14 Deutsche Telekom AG Method and system for exchanging data with a mobile communication network using at least one group of cloned subscriber identity modules
CN105491566B (zh) * 2014-09-18 2018-11-02 中国电信股份有限公司 孖机检测方法、***与pcrf设备
CN110086839B (zh) * 2018-01-26 2020-08-07 华为技术有限公司 一种远端设备的动态接入方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101127659A (zh) * 2007-09-06 2008-02-20 中兴通讯股份有限公司 在WiMAX***中实现用户鉴权控制移动终端上线方法
US20100248720A1 (en) * 2009-03-31 2010-09-30 Cisco Technology, Inc. Detecting Cloning of Network Devices
CN101888296A (zh) * 2010-01-20 2010-11-17 北京星网锐捷网络技术有限公司 一种影子用户检测方法、装置、设备和***
CN102098674A (zh) * 2010-11-25 2011-06-15 中兴通讯股份有限公司 一种克隆设备的检测方法和装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE275788T1 (de) * 1999-05-03 2004-09-15 Nokia Corp Sim authentifizierungsmechanismus für dhcrv4/v6 nachrichten
CN100356814C (zh) * 2004-06-28 2007-12-19 华为技术有限公司 Sim卡反克隆方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101127659A (zh) * 2007-09-06 2008-02-20 中兴通讯股份有限公司 在WiMAX***中实现用户鉴权控制移动终端上线方法
US20100248720A1 (en) * 2009-03-31 2010-09-30 Cisco Technology, Inc. Detecting Cloning of Network Devices
CN101888296A (zh) * 2010-01-20 2010-11-17 北京星网锐捷网络技术有限公司 一种影子用户检测方法、装置、设备和***
CN102098674A (zh) * 2010-11-25 2011-06-15 中兴通讯股份有限公司 一种克隆设备的检测方法和装置

Also Published As

Publication number Publication date
CN102098674B (zh) 2015-08-12
CN102098674A (zh) 2011-06-15

Similar Documents

Publication Publication Date Title
US11405780B2 (en) Method for performing verification by using shared key, method for performing verification by using public key and private key, and apparatus
US11825303B2 (en) Method for performing verification by using shared key, method for performing verification by using public key and private key, and apparatus
JP5410499B2 (ja) 複数の認証（ｍｕｌｔｉｐｌｅａｕｔｈｅｎｔｉｃａｔｉｏｎｓ）を結び付けるための方法および装置
US8972728B2 (en) Method and apparatus for providing subscriber identity module-based data encryption and remote management of portable storage devices
WO2012068963A1 (zh) 一种克隆设备的检测方法和装置
JP5069320B2 (ja) Ｕｉｃｃなしコールのサポート
WO2006060943A1 (en) Authentication method
TW200952424A (en) Authenticating a wireless device in a visited network
JP2005525046A (ja) セキュリティアソシエーションの寿命を制御するための方法及び通信システム
JP2003501891A (ja) 安全に通信するための方法及び装置
WO2010000185A1 (zh) 一种网络认证的方法、装置、***及服务器
US12047866B2 (en) Protected pre-association device identification
WO2010094244A1 (zh) 一种进行接入认证的方法、装置及***
WO2007097101A1 (ja) 無線アクセスシステムおよび無線アクセス方法
WO2013185709A1 (zh) 一种呼叫认证方法、设备和***
JP7079994B1 (ja) Ｗｉｐｓセンサ及びｗｉｐｓセンサを用いた不正無線端末の侵入遮断方法
WO2010069202A1 (zh) 认证协商方法及***、安全网关、家庭无线接入点
WO2011009268A1 (zh) 一种基于wapi的认证***及方法
CN101697550A (zh) 一种双栈网络访问权限控制方法和***
WO2006079953A1 (en) Authentication method and device for use in wireless communication system
WO2015100874A1 (zh) 家庭网关接入管理方法和***
JP6861285B2 (ja) 緊急アクセス中のパラメータ交換のための方法およびデバイス
WO2013037273A1 (zh) 一种对用户设备能力进行处理的方法和***
JP5381622B2 (ja) 無線通信システム及び方法
CN116868609A (zh) 用于边缘数据网络的用户装备认证和授权规程

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11843115

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11843115

Country of ref document: EP

Kind code of ref document: A1