专利名称：在可控因特网网络环境下基于智能卡业务安全认证方法
技术领域：
本发明涉及一种用于在可控IP网络环境下智能卡终端设备，如宽带数字机顶盒、手持网络终端中使用网络提供业务的安全认证机制，该方案结合了传统开放互联网络的认证方法和电信级可管理网络的认证方法。
背景技术：
随着IP网络不断发展，IP网络上提供了大量的信息和服务，越来越多的业务供应商都提供基于互联网络或IP网络技术的新业务，如流媒体的广播、点播、实时信息服务等。这些业务的一些共同特点，即实时性强、需要QoS质量保证，并且是有偿服务，如何保证合法的用户可以使用这些业务，如何防止未经授权的用户获取内容，直接关系到业务的开展和产业链的良性发展，因此，确保用户使用业务的合法性就变得尤其重要。
典型开放型IP网络或互联网络由于其整体设计架构的开放性，即认为在该种网络环境中所有的网络设备和客户端及用户设备之间的联系都是处于一个公开的状态，其承载协议为开放的基于文本的互联网协议，任何人或组织可以通过网络数据窃听或截取等手段得到客户机与服务器之间的交互信息。为了保证这些数据的安全性、完整性，一般采用加密信道的方式传递数据，具体的实现方式为承载在互联网协议上，通过公私钥体制进行密钥分发及Kerberos认证方式。该方案的主要缺点由于其基础是所有的网络设备和终端设备均处于不安全的状态，整个密钥分发至用户认证的流程复杂，用户请求响应时间长，不适合于对响应时间要求严格的业务开展。
典型的电信级可管理网络，如传统电话交换网络和移动通信网络其整体设计结构具有很强的封闭性，即其交互的协议及协议的传输管道都是私有的、非文本的，具有不可识别性，一般都采用基于智能卡的安全认证方案，通过两者的结合，有效保证了电信级可管理网络的服务器和客户机之间通信的高效和安全。该方案主要的缺点在于其承载的协议均为私有不可读协议，不能很好地适应目前大量基于互联网传输协议业务的开展。
发明内容
综上所述，如何克服由于典型开放型IP网络或互联网络的整体设计架构的开放性而带来的，妨碍互联网络或IP网络新业的开展和产业链的良性发展；以及如何克服由于典型的电信级可管网络整体构架的过强封闭性而导致的，不适应目前大量基于互联网络传输协议业务的开展。上述现有技术的这些缺陷都是本发明所要解决的技术问题。因此，本发明的目的在于，提供一种在可控IP网络环境下，基于智能卡的业务安全认证方法。
本发明的技术构思针对可控IP网络中所开展的是基于互联网技术业务，因此本发明提出的解决方法是一种基于智能卡及互联网协议来解决在上述网络架构中的业务安全认证方法，使达到保护业务数据安全、提高用户请求响应速度。
这种方法可以做到1)可控IP网络中业务开展的实时性和安全性；2)业务流程交互协议可基于互联网开放性的协议或其他协议；3)密钥的安全分发；4)业务流程中数据完整性、一致性、不可篡改性；5)加密和验证算法具有灵活性；6)简化了业务认证流程，加快用户请求响应速度，并且不降低业务流程的安全性。
在可控IP网络环境下，所开展的是基于互联网技术的业务，因此，所提出的使用智能卡密钥交互的网络业务认证方法，是通过智能卡的安全卡密钥对传输信道进行加密，从服务器上获得用户业务认证鉴权密钥，后续使用用户认证鉴权密钥完成整个业务认证鉴权流程，以保证传输数据的一致性、完整性及网络中的重放攻击问题。
本发明的技术方案如下在可控IP网络环境下，除用户终端与网元之间的传输信道，网元与网元之间的传输信道都处于安全的状态，也即它们之间的数据传输都处于不可被攻击状态，相互间的通信是高效的，网元设备的构架是基于可信任的模型。这种架构最大的特点是提供业务的各网元设备处于一个安全的域中，它们之间的通信，一般采用高效的、安全的加密信道，通信的协议具有强防攻击性，一般不采用互联网协议，该特点也是可控IP网络架构与开放互联网架构的最大区别。在下面所述的方法中，业务的安全认证方法及其流程是基于此类可控IP网络环境，此类网络环境的特点适合于实时性强、需要QoS质量保证的有偿业务的开展。
智能卡技术是可控IP网络中保证用户终端与服务平台之间通信安全、业务使用用户认证鉴权的关键技术，智能卡可以保证其中存储数据的安全性，不可通过非法手段读取或者读取的成本非常高。
为保证在可控IP网络环境下业务开展的安全性，可以利用智能卡存储的安全性特点，进行业务的认证与鉴权。智能卡内预存放智能卡密钥(ICKey)、智能卡卡号(ICNM)等信息，在用户使用业务前进行智能卡分发。用户请求使用业务时，首先进行智能卡认证，服务器端发起挑战字(Challenge)过程，用户利用智能卡密钥ICKey对信道加密，通过挑战字过程获得业务认证鉴权密钥(ServiceKey)，业务认证鉴权密钥(ServiceKey)保证后续业务使用的安全性。
该方法实现有以下前提条件或假设1)可控IP网络内部网元设备之间的通信是安全的、可信任的、不可被攻击的；2)用户终端设备与可控IP网络内部网元设备之间的通信信道是不安全的、可被攻击的；3)智能卡内的密钥(ICKey)存储是安全的，该密钥同时存储在智能卡和平台侧；4)智能卡密钥(ICKey)同时保存在智能卡内和网络平台服务器侧。
综上所述，本发明的技术方案如下根据本发明的一种用于可控IP网络环境下智能卡设备的业务安全认证方法，适合用于a.开放互联网络信息校验方式提供互联网络承载协议和挑战字过程；b.智能卡设备提供与服务器共享的公共密钥和用户身份标识；c.可管理网络的安全体系结构提供除用户终端与网元之间的传输信道，网元与网元之间的传输信道都处于安全的状态和高效传输状态。
本发明的有益效果1)利用智能卡存储具有的安全性，保证了智能卡密钥ICKey存储的安全性；2)利用了开放的互联网协议和可控IP网络架构，在不降低安全的前提下，简化了业务的认证流程；3)利用智能卡密钥ICKey加密传输业务认证鉴权密钥ServiceKey，保证了ServiceKey的安全性；4)利用ServiceKey加密终端设备与网络服务器之间的通信信道，保证了业务传输数据不可见；5)利用电信网络协议在网络服务器之间传输数据，保证数据安全性和数据传输的高效性；6)利用时间戳方式进行终端设备和服务器之间的相互认证，保证了数据的合法性；7)流程承载协议和加密校验方式均具有灵活性和开放性；以及8)流程交互次数少，响应快，管理简单，建设成本低。
图1是根据本发明的安全认证原理结构图。
图2是本发明中IP数字机顶盒用户认证并获取网页类信息服务实施的流程图。
具体实施例方式
下面根据图1和图2给出本发明的较好实施例，并予以详细描述，使本领域技术人员更易于理解本发明，但不是用来限定本发明的范围。
请参阅图1，如图所示1.在智能卡内写入智能卡密钥(ICKey)和智能卡卡号(ICNM)，并分发给用户；2.用户第一次使用相关业务时，将智能卡卡号(ICNM)发送给业务服务器端，即业务平台服务器；3.业务服务器发起挑战字(Challenge)过程，要求用户使用智能卡密钥(ICKey)进行身份验证；4.用户生成时间戳(TimeStamp)，使用智能卡密钥(ICKey)对挑战字(Challenge)及时间戳(TS)加密，进行挑战字应答；5.业务服务器校验用户挑战字应答，判断成功与否；6.若校验通过，生成业务认证鉴权密钥(ServiceKey)及ServiceKey的生存周期TTL，并使用智能卡密钥(ICKey)加密返回给用户，若校验不通过，返回校验失败信息；7.用户使用业务认证鉴权密钥(ServiceKey)加密业务使用相关信息，进入使用业务流程。
整个实现方案的承载协议可以但不仅局限于互联网类协议。业务认证鉴权密钥(ServiceKey)由业务服务平台动态产生，在其生存周期内有效，用户侧进行临时保存，无需每次使用业务时进行请求获得。
请参阅图2，它是IP数字机顶盒用户认证获取网页类信息服务实施的流程图。如图所示预置条件IP数字机顶盒使用智能卡设备，智能卡中内置了ICKey、ICNM，其中ICKey和ICNM在业务平台侧已进行了捆绑；机顶盒内置了认证服务器地址及请求服务名称(Service)。
具体流程如下1、机顶盒通过HTTP协议向认证服务器发起请求，请求消息内容为明文ICNM；2、认证服务器返回HTTP应答，通过错误码401要求机顶盒进行挑战字认证，返回挑战字Challenge，为一随机数字序列；3、机顶盒生成本地时间戳TS1，通过HTTP协议应答挑战字Challenge，请求的消息内容为用智能卡密钥ICKey加密的挑战字Challenge，时间戳TS1及业务名称Service，ICKeyEncrpt(Challenge，TS1，Service)；4、认证服务器对Challenge应答信息进行鉴权，并且生成业务认证鉴权密钥ServiceKey及其生存周期TTL；5、认证服务器将ICNM、ServiceKey、TTL和TS1同步给提供业务的信息服务器；其承载的协议为电信网协议类型，具有高效、安全、可靠的特点；6、认证服务器通过HTTP应答返回机顶盒业务认证鉴权密钥ServiceKey、TS1和提供业务的门户链接ServiceURL，应答内容使用ICKey加密传输，ICKeyEncrpt(ServiceKey，TS1，ServiceURL，TTL)；7、机顶盒发起HTTP请求业务门户ServiceURL，请求内容包括ICNM、TS2、ServiceURL，使用业务认证鉴权密钥加密，形式如ICNM‖ServiceKeyEncrpt(ICNM，TS2，ServiceURL)，TS2为机顶盒时间戳二，可以采用TS1+增量的方式生成；8、信息服务器使用ServiceKey解密机顶盒请求数据，并且通过解密数据中的ICNM与明文ICMN比较验证数据一致性、合法性；9、信息服务器通过HTTP应答机顶盒业务使用请求，应答内容包括HTML内容、TS2、ServiceURL、随机数，使用业务认证鉴权密钥加密，形式如ServiceKeyEncrpt(HTML内容、TS2、ServiceURL)；10、机顶盒解密信息服务器返回内容，并且通过解密数据中的随机数与TS2进行服务器数据验证，开始使用业务。
TS1、TS2用于防止网络中的重放攻击及数据一致性检查。
此具体实施方法中，网络协议不局限于超文本传输协议(HTTP)，还可是实时传输流协议(RTSP)。
其步骤包括S1.用户将卡内写入有密钥和卡号的基础分其密钥的未经业务认证鉴权的智能卡，经IP网络送业务平台服务器进行检证；S2.认证服务器对用户发起挑战字过程，要求认证；S3.用户通过挑战字获得业务使用公共密钥和生存周期；以及S4.用户通过使用业务认证鉴权密钥加密业务使用相关信息，进入使用业务流程。
进一步，所述的挑战字过程，还包括步骤用户将身份标识信息传递给认证服务器；认证服务器记录用户身份标识信息，生成随机数挑战字，返回给用户侧；用户使用与认证服务器共享的公共密钥加密挑战字及用户身份信息，应答认证服务器挑战字；认证服务器使用与用户共享的公共密钥解密挑战字应答信息，并向用户提供服务；所述的业务使用公共密钥，是通过基础公共密钥获得；所述的生存周期，是用以标识业务使用密钥的有效期，当有效期失效，需重新通过基础公共密钥获得业务使用密钥；所述适用进入业务使用流程，其加密密钥为业务使用密钥；所述的挑战字过程，其承载协议可以使用互联网络协议，但不局限于互联网络协议；所述的用户身份标识信息，包括用户身份标识号码及时间戳；所述的时间戳信息，通过按次变化的方式，用于防止网络中的重放攻击，按次变化采用增量递增的方式进行；所述的互联网络承载协议，是指互联网络应用层协议，但不局限于互联网络协议，还可是传统的电信网协议；所述的智能卡设备，除硬件智能卡，也可包括软智能卡，所选软智能卡是用软件实现的虚拟智能卡。
权利要求
1.一种在可控IP网络环境下智能卡设备的业务安全认证方法，适合用于开放互联网络信息校验方式提供互联网络承载协议和挑战字过程；智能卡设备提供与服务器共享的公共密钥和用户身份标识；可管理网络的安全体系结构提供除用户终端与网元之间的传输信道，网元与网元之间的传输信道都处于安全的状态和高效传输状态；其步骤包括S1.用户将卡内写入有密钥和卡号的基础分其密钥的未经业务认证鉴权的智能卡，经IP网络送业务平台服务器进行检证；S2.认证服务器对用户发起挑战字过程，要求认证；S3.用户通过挑战字获得业务使用公共密钥和生存周期；以及S4.用户通过使用业务认证鉴权密钥加密业务使用相关信息，进入使用业务流程。
2.根据权利要求1所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于，步骤S2中所述的挑战字过程，还包括步骤S21、用户将身份标识信息传递给认证服务器；S22、认证服务器记录用户身份标识信息，生成随机数挑战字，返回给用户侧；S23、用户使用与认证服务器共享的公共密钥加密挑战字及用户身份信息，应答认证服务器挑战字；S24、认证服务器使用与用户共享的公共密钥解密挑战字应答信息，并向用户提供服务。
3.根据权利要求1所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述步骤S4中的业务使用公共密钥是通过基础公共密钥获得。
4.根据权利要求1所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述步骤S3中的生存周期是用以标识业务使用密钥的有效期，当有效期失效，需重新通过基础公共密钥获得业务使用密钥。
5.根据权利要求1所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述步骤S4中的用于使用业务流程，其加密密钥为业务使用密钥。
6.根据权利要求1或2所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述的挑战字过程，其承载协议可以使用互联网络协议，但不局限于互联网络协议。
7.根据权利要求1或2所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述的用户身份标识信息包括用户身份标识号码及时间戳。
8.根据权利要求7所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述的时间戳信息通过按次变化的方式，用于防止网络中的重放攻击，按次变化采用增量递增的方式进行。
9.根据权利要求1所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述的互联网络承载协议是指互联网络应用层协议，但不局限于互联网络协议，还可是传统的电信网协议。
10.根据权利要求1所述的在可控IP网络环境下智能卡设备的业务安全认证方法，其特征在于所述的智能卡设备，除硬件智能卡，也可包括软智能卡，所选软智能卡是用软件实现的虚拟智能卡。
全文摘要
一种在可控网络网协议网络环境下智能卡业务安全认证方法，S1.用户将卡内写入有密钥和卡号的基础分其密钥的未经业务认证鉴权的智能卡，经IP网络送业务平台服务器进行检证；S2.认证服务器对用户发起挑战字过程，要求认证；S3.用户通过挑战字获得业务使用公共密钥和生存周期；以及，S4.用户通过使用业务认证鉴权密钥加密业务使用相关信息，进入使用业务流程。利用本发明方法实现的安全认证流程具有安全性高，流程步骤少，响应快，管理简单，建设成本低等优点。
文档编号H04L9/00GK1881878SQ20061002641
公开日2006年12月20日 申请日期2006年5月10日 优先权日2006年5月10日
发明者严海宁, 冯明, 蒋力, 陈琰, 顾丽丽, 孟建庭, 胡冰松 申请人:上海市电信有限公司