一种增强设备证书使用安全的方法及装置与流程

本发明涉及通信技术，特别涉及一种增强设备证书使用安全的方法及装置。
背景技术：
：家庭级基站(HomeeNodeB，HeNB)一般放置在企业或用户家中，可能经过公共传输网络，因此对设备的安全性有更高要求。第三代合作伙伴计划(3rdGenerationPartnershipProject，3GPP)规定HeNB使用网络互连协议安全性(InternetProtocolSecurity，IPSec)协议保证基站报文的认证和加密，其中协商协议为网络密钥交换(InternetKeyExchangevv2，IKEv2)，认证方式推荐了证书和全球用户识别卡(UniversalSubscriberIdentityModule，USIM)卡。实际应用中，基于公开密钥体系(PublicKeyInfrastructure，PKI)架构的证书系统过于复杂，部署缓慢，应用扩展能力等不佳。运营商对于具体的PKI部署有各自的进度，如中移的数字证书系统还在建设中，但是无线接入设备(NanoCell)已经在一些省份开始部署，所以基站在运营商没有PKI系统时，推行的是预置运营商证书，反之推行的是在线证书申请(CMPV2协议)方案。HeNB基站可能经过公共传输网络，在现有硬件无法很好的保护证书和私钥的情况下，即使通过在线证书申请方案，HeNB的证书也可能会被非法用户盗用，安全性存在问题。在保证证书和设备的绑定关系上，3GPP推荐了证书+USIM的双认证模式，但该实现方式极为复杂，目前没有支持该协议的设备。在双认证功能没有实现的基础上，如何防止非法用户盗用基站的证书，如何保证证书和设备的唯一关联性就显得极为重要。技术实现要素：本发明的目的在于提供一种增强设备证书使用安全的方法及装置，能更好地拒绝非法使用证书的设备接入传输网络。根据本发明的一个方面，提供了一种增强设备证书使用安全的方法，包括：在设备请求接入公共传输网络时，所述公共传输网络的网关从请求接入的设备获取设备ID和证书ID；所述公共传输网络的网关根据所获取的设备ID和/或设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备；当所述公共传输网络的网关判断所述请求接入的设备为合法设备时，将所述请求接入的设备接入所述公共传输网络，反之，则拒绝所述请求接入的设备接入所述公共传输网络。优选地，所述公共传输网络的网关根据所获取的设备ID和/或设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备的步骤包括：所述公共传输网络的网关根据所获取的设备ID，查询所述设备ID对应的设备的接入状态；若查询到的所述设备ID对应的设备的接入状态为已接入，则判断所述请求接入的设备为非法设备，反之，判断请求接入的设备为非法设备。优选地，所述公共传输网络的网关根据所获取的设备ID和/或设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备的步骤包括：对所述设备ID与证书ID的关系进行一致性校验；当校验通过时，判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。优选地，所述公共传输网络的网关根据所获取的设备ID和/或设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备的步骤包括：所述公共传输网络的网关根据所获取的设备ID，查询所述设备ID对应的设备的接入状态；若查询到的所述设备ID对应的设备的接入状态为未接入，则对所述设备ID与证书ID的关系进行一致性校验；当校验通过时，判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。优选地，所述公共传输网络的网关预先将所述设备ID与证书ID进行绑定，以供一致性校验。根据本发明的另一方面，提供了一种增强设备证书使用安全的装置，包括：网关获取模块，用于在设备请求接入公共传输网络时，从请求接入的设备获取设备ID和证书ID；网关判断模块，用于根据所获取的设备ID和/或设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备；网关接入处理模块，用于判断所述请求接入的设备为合法设备时，将所述请求接入的设备接入所述公共传输网络，反之，则拒绝所述请求接入的设备接入所述公共传输网络。优选地，所述网关判断模块根据所获取的设备ID，查询所述设备ID对应的设备的接入状态，若查询到的所述设备ID对应的设备的接入状态为已接入，则判断所述请求接入的设备为非法设备，反之，判断请求接入的设备为非法设备。优选地，所述网关判断模块对所述设备ID与证书ID的关系进行一致性校验，若校验通过，则判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。优选地，所述网关判断模块根据所获取的设备ID，查询所述设备ID对应的设备的接入状态，若查询到的所述设备ID对应的设备的接入状态为未接入，则对所述设备ID与证书ID的关系进行一致性校验，当校验通过时，判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。优选地，还包括：网关绑定模块，用于预先将所述设备ID与证书ID进行绑定，以供一致性校验。与现有技术相比较，本发明的有益效果在于：1、本发明提高了证书的安全性，可以有效防止不法分子窃取设备的证书；2、本发明通过证书和设备的绑定，达到拒绝非法使用证书的设备接入公共传输网络的目的，从而保证基站及传输领域的接入安全。附图说明图1是本发明实施例提供的增强设备证书使用安全的方法原理框图；图2是本发明实施例提供的增强设备证书使用安全的装置框图；图3是本发明实施例提供的增强设备证书使用安全的系统组网图；图4是本发明实施例提供的增强设备证书使用安全的基站和安全网关的交互流程图。具体实施方式以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。图1是本发明实施例提供的增强设备证书使用安全的方法原理框图，如图1所示，步骤包括：步骤S101：在设备请求接入公共传输网络时，所述公共传输网络的网关从请求接入的设备获取设备ID和证书ID。具体地说，所述请求接入公共传输网络的设备发起IPSEC协商期间，所述请求接入公共传输网络的设备将设备ID和设备的证书发送给公共传输网络的网关；所述公共传输网络的网关收到所述设备ID和设备的证书后，从所述证书中获取证书ID。其中，所述请求接入公共传输网络的设备根据其读取的自身的设备资产编号(SN)，生成所述设备ID，也可以在本地预先保存所述设备ID。步骤S102：所述公共传输网络的网关根据所获取的设备ID以及设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备。具体地说，所述公共传输网络的网关可以通过以下三种方式判断所述请求接入的设备是否为合法设备：方式1：所述公共传输网络的网关根据所获取的设备ID，查询所述设备ID对应的设备的接入状态，若查询到的所述设备ID对应的设备的接入状态为已接入，则判断所述请求接入的设备为非法设备，反之，判断请求接入的设备为非法设备。方式2：所述公共传输网络的网关对所述设备ID与证书ID的关系进行一致性校验，当校验通过时，判断所述请求接入的设备为合法设备，反之，判断请求 接入的设备为非法设备。方式3：所述公共传输网络的网关根据所获取的设备ID，查询所述设备ID对应的设备的接入状态，若查询到的所述设备ID对应的设备的接入状态为未接入，则对所述设备ID与证书ID的关系进行一致性校验，当校验通过时，判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。也就是说，只有当查询到的所述设备ID对应的设备的接入状态为未接入，且对所述设备ID与证书ID的关系进行一致性校验通过时，判断所述请求接入的设备为合法设备。进一步地，在步骤S101之前，所述公共传输网络的网关需要预先将所述设备ID与证书ID进行绑定，以供在进行一致性校验时，利用预先绑定的设备ID与证书ID，确定收到的设备ID与证书ID绑定关系是否合法，如果合法，则校验通过，反之，校验不通过。换句话说，当所述设备ID对应的设备的接入状态为未接入，且所述设备ID与所述证书ID的关系与预先保存的绑定关系一致时，判断所述请求接入的设备为合法设备，反之为非法设备。步骤S103：当所述公共传输网络的网关判断所述请求接入的设备为合法设备时，将所述请求接入的设备接入所述公共传输网络，反之，则拒绝所述请求接入的设备接入所述公共传输网络。图2是本发明实施例提供的增强设备证书使用安全的装置框图，如图2所示，包括：网关获取模块10、网关判断模块20、网关接入处理模块30。网关获取模块10用于在设备请求接入公共传输网络时，从请求接入的设备获取设备ID和证书ID；网关判断模块20用于根据所获取的设备ID以及设备ID与证书ID的关系，判断所述请求接入的设备是否为合法设备；网关接入处理模块30用于判断所述请求接入的设备为合法设备时，将所述请求接入的设备接入所述公共传输网络，反之，则拒绝所述请求接入的设备接入所述公共传输网络。进一步地，所述装置还包括：网关绑定模块40用于预先将所述设备ID与证书ID进行绑定，并保存所述绑定关系，以供一致性校验。所述装置的工作流程如下：步骤1：在所述请求接入公共传输网络的设备发起IPSEC协商期间，网关获取模块10接收所述请求接入公共传输网络的设备发送的设备ID和设备的证书，并从所述证书中获取证书ID。步骤2：网关判断模块20判断所述请求接入的设备是否为合法设备。具体判断方式可以采用以下三种方式中的任意一种：方式1：网关判断模块20根据所获取的设备ID，查询所述设备ID对应的设备的接入状态，若查询到的所述设备ID对应的设备的接入状态为已接入，则判断所述请求接入的设备为非法设备，反之，判断请求接入的设备为非法设备。方式2：网关判断模块20对所述设备ID与证书ID的关系进行一致性校验，即利用网关绑定模块40预先绑定和保存的设备ID和证书ID的绑定关系，对所述设备ID与证书ID的关系进行一致性校验，若校验通过，则判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。方式3：网关判断模块20根据所获取的设备ID，查询所述设备ID对应的设备的接入状态，若查询到的所述设备ID对应的设备的接入状态为未接入，则对所述设备ID与证书ID的关系进行一致性校验，当校验通过时，判断所述请求接入的设备为合法设备，反之，判断请求接入的设备为非法设备。步骤3：若网关判断模块20判断所述请求接入的设备为非法设备，则网关接入处理模块30拒绝所述请求接入的设备接入所述公共传输网络，反之，网关接入处理模块30将所述请求接入的设备接入所述公共传输网络。图1和图2所述实施例中的设备可以指所有使用到数字证书的设备，以下以基站为例，并结合图3和图4进行进一步说明。图3是本发明实施例提供的增强设备证书使用安全的系统组网图，如图3所示，包括：多个请求接入公共传输网络的基站(AP-A,AP-B,…,AP-N)，处于公共传输网络的安全网关(SeGW)，核心网。1.安全网关预置相关信息在安全网关上预先配置基站和证书的对应关系，具体地说，将基站ID和证书ID进行绑定，并保存至数据库系统或者其它设备上。2.基站向安全网关发起IPSEC协商请求在IPSEC协商过程中，请求接入公共传输网络的基站会将基站的唯一标识(即基站ID，APID)发送给安全网关，同时在IPSEC的身份认证阶段，会将基站的证书发送给安全网关，安全网关会从基站的证书中取出基站证书的CN字段，所述CN字段可以用来唯一标识证书，即获取证书ID。所述IPSEC协商请求也可以由安全网关向基站发起。3.安全网关的处理作为第一种实施方式，安全网关在预置的数据库系统里查询所述请求接入公共传输网络的基站的APID和CN，如果该APID对应的基站是已经处于接入状态，则拒绝此次的IPSEC协商请求，拒绝所述请求接入公共传输网络的基站的接入，并上报告警；反之，如果该APID对应的基站处于未接入状态，继续判断APID和CN的关系是否否符合要求，如果符合证书与设备的一致性要求，则校验通过，继续与基站进行协商，协商成功后，所述请求接入公共传输网络的基站成功接入，安全网关更新基站的接入状态为已接入；如果校验不通过，则拒绝所述请求接入公共传输网络的基站接入。作为第二种实施方式，安全网关的上述处理过程也可以在网管执行，具体地说，安全网关将所述请求接入公共传输网络的基站的APID和CN发送至网管，网管上预先配置好基站和证书的对应关系，对安全网关发送过来的APID和CN，网管通过查询数据库，确定所述APID和CN是否符合一致性要求，如果符合证书与设备的一致性要求，则向安全网关返回校验通过的消息，否则返回校验不通过的消息；安全网关收到网管返回的消息后，如果是校验通过的消息，则继续进行协商，协商成功后，将所述请求接入公共传输网络的基站接入公共传输网络；如果是校验不通过的消息，则拒绝所述请求接入公共传输网络的基站接入公共传输网络。以第一种实施方式为例，图4提供了一种增强设备证书使用安全的基站和安全网关的交互流程图，如图4所示，步骤包括：步骤201：请求接入公共传输网络的基站(LTE-Femto)读取其SN，并根据所述SN，生成APID。步骤202：所述请求接入公共传输网络的基站向公共传输网络的网关(SeGW)发起IPSEC协商，并在IKEv2协商期间，将其基站ID(即APID)和证书发送至 网关。步骤203：网关判断所述APID对应的基站的接入状态是否是已接入，如果是已接入，则执行步骤204，否则执行步骤205、步骤206、步骤207。步骤204：网关拒绝将所述请求接入公共传输网络的基站接入公共传输网络。步骤205：网关从所述证书中取出CN字段。步骤206：网关判断所述请求接入公共传输网络的基站的APID和CN的对应关系是否合法，根据判断结果确定是否继续协商以接入所述请求接入公共传输网络的基站，或者直接拒绝将所述请求接入公共传输网络的基站接入公共传输网络。步骤207：网关将继续协商或拒绝接入的消息发送至所述请求接入公共传输网络的基站。步骤208：协商成功后，将所述请求接入公共传输网络的基站的接入状态从未接入更新为已接入。从上述流程可以看出，本发明对现有流程影响非常小。以下以一个具体应用实例进行进一步说明。在安全网关上预置关于APID和CN的关系的数据库，表1为部分映射或绑定关系表。表1.第一映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01OFF2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000024Nodeb04OFF5001E7327042000025Nodeb05OFF1、应用实例1基站A的APID为001E7327042000021，使用CN为Nodeb01的数字证书向安全网关发起IPSEC协商请求。安全网关根据表1，确定APID为001E7327042000021 的基站的接入状态为未接入(OFF)且基站A的APID和CN的关系与表1中的映射关系一致，校验通过，允许基站A接入公共传输网络，并将表1中接入状态更新为已接入(ON)，对数据库进行更新，具体如表2所示。表2.第二映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01ON2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000024Nodeb04OFF5001E7327042000025Nodeb05OFF2、应用实例2基站B的APID为00000000000021，基站B盗用基站A的CN为Nodeb01的数字证书向安全网关发起IPSEC协商请求。安全网关校验后，因APID和CN对应关系不合法，检验不通过，安全网关拒绝基站B的接入。3、应用实例3基站C的APID为00000000000031，基站C盗用了基站A的CN为Nodeb01的数字证书，伪造上报APID为001E7327042000021，向安全网关发起IPSEC协商请求。安全网关判断APID为001E7327042000021的基站已经在线，因此检验不通过，安全网关拒绝基站C的接入。4、应用实例4用户在扩容时，新增一个基站D，其APID为001E7327042000029，使用CN为Nodeb09的数字证书，此时需求先在安全网关上添加此基站的相关信息，更新后的数据库如表3所示。基站D发起IPSEC协商请求时，安全网关确定APID为001E7327042000029的基站接入状态为未接入(OFF)，且APID和CN对应关系合法，此时，安全网关校验通过，允许基站D接入，协商成功后，将数据库中的接入状态从未接入(OFF)更新为已接入(ON)，具体如表4所示。表3.第三映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01ON2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000024Nodeb04OFF5001E7327042000025Nodeb05OFF6001E7327042000029Nodeb09OFF表4.第四映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01ON2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000024Nodeb04OFF5001E7327042000025Nodeb05OFF6001E7327042000029Nodeb09ON5、应用实例5基站E的APID为001E7327042000024，使用CN为Nodeb04的数字证书，正常运行，安全网关上的对应数据库如表5所示。表5.第五映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01ON2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000024Nodeb04ON5001E7327042000025Nodeb05OFF6001E7327042000029Nodeb09ON现在因为基站E的硬件出现问题，需要回厂返修，返修周期较长，用另外一块新硬件(APID为001E7327042000030)替换基站E，但是希望仍沿用基站E原 来的证书，此时可以通过以下操作达到预期。1、将基站E原来的证书拷贝到新硬件里面，2、安全网关修改数据库，更新后的数据库如表6所示。表6.第六映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01ON2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000030Nodeb04OFF5001E7327042000025Nodeb05OFF6001E7327042000029Nodeb09ONAPID为001E7327042000030的设备发起IPSEC协商请求时，安全网关校验通过，允许其接入，协商成功后，更新数据库如表7所示。表7.第七映射关系表序号APIDCN接入状态1001E7327042000021Nodeb01ON2001E7327042000022Nodeb02OFF3001E7327042000023Nodeb03OFF4001E7327042000030Nodeb04ON5001E7327042000025Nodeb05OFF6001E7327042000029Nodeb09ON综上所述，本发明具有以下技术效果：本发明利用设备ID和/或设备ID与证书ID的绑定关系，确定请求接入公共网络的设备是否是合法设备，从而拒绝非法设备接入公共传输网络，特别是拒绝非法使用证书的设备接入公共传输网络，提高了证书的安全性，保证了传输领域的接入安全。尽管上文对本发明进行了详细说明，但是本发明不限于此，本
技术领域：
技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。当前第1页1 2 3