一种基于移动中继的群到路径移动切换认证方法与流程

本发明涉及通信网络安全技术领域，尤其涉及一种基于移动中继的群到路径移动切换认证方法。

背景技术：

随着高速铁路系统的发展，更多的旅客放弃飞机而选择高速铁路出行，因为后者更加舒适，受天气因素影响较小以及节能等优势。所以解决好在高铁上的实时通信对提升旅客的出行体验显得非常重要。然而在高铁上由于频繁的基站切换而导致的多普勒频移效应以及因高速行驶而导致的穿透损耗，进而导致高铁通信系统中的数据速率降低以及用户设备(ue)的能源消耗增加。而且，当很多个ue同时切换基站时，很可能造成信号拥塞而导致切换失败率提升。

为了解决这些问题，研究者已提出了多种方案。比如部署毫微微蜂窝基站，使用双天线或使用移动中继等。特别地，移动中继是解决在lte-a网络的高速移动装置中提高连续无线网络覆盖的热点研究问题，3gpp标准已经介绍以及讨论了移动中继的相关问题。移动中继技术就是在公共交通工具上安装移动中继节点(mrn)来降低客车中穿透损耗以及信号移交当中的信号开销。在lte-a高速铁路网当中mrn是部署在高铁上的信号基站，为用户在铁路上通过主基站(denb)进行回路通信。当列车运行时，使mrn跟随列车内的ue一同运动即可让乘客可以通过mrn上网。因此，ue相对mrn的位置变化就很小，保证了良好的信道条件进而确保了高速率的通信以及可以通过由原来的聚合多个待转发切换的信息之后再转发给mrn改变为直接转发每一条切换信息给mrn。尽管mrn技术可以解决车厢内ue的群切换过程的问题，但是mrn技术还是被频率切换问题所困扰。主要是由于mrn被引入到3gpp还处于基础研发阶段，在mrn的应用支持方面还存在大量开放安全性方面的挑战。mrn与一些基站如henb和rn有一些相似性，导致第三方使用者可以方便的购买以及安装它。值得一提的是，由于mrn与denb之间信道的不确定性，mrn的引进可能会给lte-a网络的管理带来除了中继节点以外的新的安全威胁，这已经被3gpp标准证实。因此，为了抵抗多种协议攻击，在减少信息切换消耗的同时不可避免地需要实现mrn和denb相互认证。从目前的3gpp标准来看，mrn的实施与普通ue相同的切换认证过程。但是，目前的3gpp委员会提议的切换机理还存在着许多短板，如：由于多回合信息交换而导致的切换延迟，复杂的切换密钥管理系统以及缺乏相互认证。

迄今为止，只有很少的方案考虑采用相关机制来简化在高铁的通信系统中的mrn切换过程。但是，这些方案都没有考虑mrn的切换安全。目前还没有针对大量mrn设备在lte-a高铁网络中切换认证过程的相关研究，。因此，如何实现大量部署在高铁上的mrn安全和高效的切换是lte-a高铁网络面临的一个关键问题。

技术实现要素：

有鉴于现有技术的上述缺陷，本发明所要解决的技术问题是提供一种基于移动中继的群到路径移动切换认证方法，通过新的方法大幅度减少切换认证的信令开销和通信开销，优化了lte-a高铁网络中部署在高铁上的所有mrn移动时造成的切换延迟，实现群中大量mrn和高铁沿线上的基站间的快速和安全的切换认证。

为实现上述目的，本发明提供了一种基于移动中继的群到路径移动切换认证方法，其特征在于，包括以下步骤：

s1、初始化认证阶段；

s2、基于群到路径切换认证阶段；

s3、针对mme内切换过程；

s4、针对mme间切换过程；

s5、发送群切换命令信息；

s6、发送群切换确认消息。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s1包括：

s11、同一个列车中的所有移动中继节点mrn组成一个mrn群，mrn群的领导定义为控制移动中继cmrn，设备供应商提供一个mrn群标识符gid以及给每个群内成员提供一个mrn群密钥gk，这个群密钥gk只在mrn群以及归属用户服务器hss中是可见的；同一个列车行驶路径上的所有基站denb组成一个路径denb群，设备供应商提供一个路径群标识符idroute以及给每一个群内成员提供一个路径denb群密钥rgk，这个路径群标识符idroute和路径denb群密钥rgk只在路径denb群以及归属用户服务器hss中是可见的；

s12、当移动中继节点mrn群接入长期演进网络lte-a时，对mrn群中的每一个成员mrni(i＝1～t)，应用标准演进分组系统认证与密钥协商eps-aka过程进行初始认证；

s13、初始认证成功后，每一个移动中继节点mrni和归属用户服务器hss生成一个共享密钥并利用群密钥gk计算一个临时mrn群密钥tgk＝kdf(gk,gid,idroute)，其中，gid是mrn群身份信息，其中kdf为密钥生成函数，然后归属用户服务器hss将共享密钥临时mrn群密钥tgk，以及路径群标识符idroute传输给移动管理实体mme；

s14、mme接收到共享密钥后根据现有的切换密钥管理机制得到mrni和源基站denb1之间的会话密钥

s15、mme将tgk以及idroute发送给源基站denb1；

s16、源基站denb1接收到tgk以及idroute后，根据idroute在自己的数据库中查询idroute所对应的路径denb群密钥rgk，并利用rgk生成一个临时路径denb群密钥trgk，计算公式为

trgk＝kdf(rgk,gid,idroute)；

同时源基站denb1为mrni生成一个切换标签计算公式如下：

其中texp是的有效时间，enctrgk(x)表示采用对称加密算法利用trgk对x进行加密，idmrni表示移动中继节点mrn的身份信息，最后将mrni的切换标签发给mrni。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s2具体为：

s21、当mrn群进入到目标基站denb2的覆盖范围时，mrn群中的每一个mrni生成一个新的随机数rmrni,并计算一个新的消息认证码

其中h表示哈希hash函数。

然后每一个mrni构造一个路径切换请求信息将mrn群身份信息gid、路径群身份信息idroute、mrni的切换标签随机数rmrni以及消息认证码macmrni发送给控制移动中继cmrn；

s22、控制移动中继cmrn收到mrn群每一个群成员所发送的路径切换请求消息认证码后，选择一个新的随机数rg1，并计算一个新的消息认证码

其中iddenb2为目标基站的身份信息，然后cmrn构造一个群路径切换请求信息将gid、idroute、rg1、mac1以及每一个mrn群成员的rmrni以及idmrni发送给目标基站denb2；

s23、denb2收到了由cmrn发送的群路径切换请求信息后，执行下列步骤：

(5)检查idroute是否与路径denb群的身份信息一致，并检查的新鲜性，如果身份一致且是新的随机数，跳转到(2)，否则将它舍弃；

(6)搜索相关idroute的路径群密钥rgk并计算trgk＝kdf(rgk,gid,idroute)，跳转到(3)；

(7)利用trgk解密所有收到的获得以及tgk，然后检查每一个切换标签中的texp是否合法，如果所有都非法，舍弃，否则跳转到(4)；

(8)利用所得到检查所收到mac1是否合法，如果是合法的，denb2就确认所有的mrn群成员是合法的；否则，将发送切换认证失败的消息给cmrn。

s24、目标基站denb2根据不同的切换场景而执行下列操作：

(1)当切换发生在源基站与目的基站之间且存在一个x2接口时，过程跳转到s5；

(2)当切换发生在源基站与目的基站之间不存在x2接口，并由同一个mme管理时，跳转s3；

(3)当切换发生在源基站与目的基站之间，并且源基站和目的基站由不同mme管理时，跳转s4。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s3具体为：

s31、目标基站denb2向源移动管理实体mme1发送一个群切换请求消息，将mrn群身份信息gid发送给mme1；

s32、源移动管理实体mme1收到群切换请求消息后，将向denb2发送一个群切换请求确认消息，以便目标基站denb2准备执行切换，然后过程转到步骤s5。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s4具体为：

s41、目标基站denb2向目标移动管理实体mme2发送包含目标基站denb2的身份信息iddenb2、e-utran单元综合识别码ecgi、跟踪区标识符tai、源目标移动管理实体mme1的身份信息gummei，以及mrn群身份信息gid的群切换请求消息到mme2；

s42、mme2接收到群切换请求消息后，mme2发送包含gid和gummei的身份认证请求消息给源移动管理实体mme1；

s43、mme1接收到消息之后，发送包含mrn群所有相关安全会话信息的身份响应消息给目标mme2，该信息包含所有群内成员的身份信息和密钥

s44、mme2收到身份响应消息后，将向denb2发送一个群切换请求确认消息以便目标基站denb2准备执行切换，然后过程转到步骤s5。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s5具体为：

s51、目标基站denb2收到群切换请求确认消息后，选择一个随机数并为每个mrn群成员生成一个会话密钥：

其中，kdf为密钥生成函数，为denb2的相关频谱参数，然后计算一个新的消息认证码最终构造一个群切换命令信息将mrn群身份信息gid，路径群身份信息idroute、目标基站的身份信息iddenb2、rg1、以及mac2发送到控制移动中继cmrn。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s6具体为：

s61、控制移动中继cmrn收到了群切换命令消息后，将该信息广播到mrn群中；

s62、收到来自cmrn发送的广播消息后，每个mrni检查的新鲜性，并利用tgk检查mac2是否合法，如果是新的而且mac2合法，mrni认证denb2并计算会话密钥如果不合法，将发送认证失败消息给cmrn，最后，每个mrni计算消息认证码

并发送xmacmrni至

cmrn；

s63、cmrn收到所有来自mrn群成员的xmacmrni消息后，计算

并发送群切换确认消息，将xmac3发送给denb2。

上述的一种基于移动中继的群到路径移动切换认证方法，其特征在于，所述步骤s63中denb2收到cmrn所发送的xmac3后，denb2利用验证xmac3的合法性，如果验证是合法的，则发送群路径切换完成的消息给cmrn来完成切换。

本发明的有益效果是：

1、本发明由于是根据3gpp标准进行方案的设计，因而无需改变标准中的通信设备，可以应用于所有lte-a移动场景的网络；

2、本发明中同一列车上的所有mrn构成群，同时根据列车行驶路径的固定性，将所有沿线的denb也构成一个群。从而可将大量切换信息被集中成一个群切换信息，大大省去了所有设备与mme的信令流量，从而大大减少了切换的通信成本，减小服务网络与归属网络之间链路上的信令拥塞；

3、本发明可以直接实现了一群mrn和基站denb的相互认证，并能够抵抗目前已知的所有攻击。

以下将结合附图对本发明的构思、具体结构及产生的技术效果作进一步说明，以充分地了解本发明的目的、特征和效果。

附图说明

图1是本发明中lte-a高速铁路网中基于移动中继的群到路径移动切换认证过程总流程图；

图2是本发明中lte-a高速铁路网中基于移动中继的针对mme内部切换流程图

图3是本发明中lte-a高速铁路网中基于移动中继的针对mme间切换流程图

具体实施方式

实现本发明的技术方案是：在3gpp现有的lte-a网络体系下，使用切换标签技术和聚合消息认证码技术，实现快速的群组切换认证并确保用户隐私。根据高铁路线的固定性，同一个列车的路径上所有的主机站denb组成一个路径denb群。并且，在同一辆列车上的所有的移动中继节点mrn组成一个mrn群，其中一个mrn视为一个负责控制其他mrn的控制移动中继(cmrn)。当mrn初次接入lte-a网络时，每一个mrn都可以从源denb得到一个切换标签(ht)。对于列车行进过程中每一次切换，cmrn收集mrn群成员发送的切换请求信息并生成一个聚合消息认证码。接着，它会向目标denb发送一个携带聚合消息认证码以及所有群成员的切换标签的认证请求信息，最终，cmrn与denb之间通过对聚合消息认证码的验证实现对于mrn群的认证。该方法大大减少了mrn与denb以及denb与mme之间的通信开销以及信令开销，并实现了mrn与denb间的相互认证，可抵抗当前所有已知协议攻击。

为了清楚的说明本发明的技术方案，首先界定本发明中技术名词含义：

denb：基站；mrn：移动中继节点；hss:归属用户服务器；

e-utran:演进的通用陆地无线接入网；lte-a:长期演进技术；

mme:移动管理实体。

一种基于移动中继的群到路径移动切换认证方法，其特征在于，包括以下步骤：

s1、初始化认证阶段；

s2、基于群到路径切换认证阶段；

s3、针对mme内切换过程；

s4、针对mme间切换过程；

s5、发送群切换命令信息；

s6、发送群切换确认消息。

本实施例中，所述步骤s1包括：

s11、同一个列车中的所有移动中继节点mrn组成一个mrn群，mrn群的领导定义为控制移动中继cmrn，设备供应商提供一个mrn群标识符gid以及给每个群内成员提供一个mrn群密钥gk，这个群密钥gk只在mrn群以及归属用户服务器hss中是可见的；同一个列车行驶路径上的所有基站denb组成一个路径denb群，设备供应商提供一个路径群标识符idroute以及给每一个群内成员提供一个路径denb群密钥rgk，这个路径群标识符idroute和路径denb群密钥rgk只在路径denb群以及归属用户服务器hss中是可见的；

s12、当移动中继节点mrn群接入长期演进网络lte-a时，对mrn群中的每一个成员mrni(i＝1～t)，应用标准演进分组系统认证与密钥协商eps-aka过程进行初始认证；

s13、初始认证成功后，每一个移动中继节点mrni和归属用户服务器hss生成一个共享密钥并利用群密钥gk计算一个临时mrn群密钥tgk＝kdf(gk,gid,idroute)，其中，gid是mrn群身份信息，其中kdf为密钥生成函数，然后归属用户服务器hss将共享密钥临时mrn群密钥tgk，以及路径群标识符idroute传输给移动管理实体mme；

s14、mme接收到共享密钥后根据现有的切换密钥管理机制得到mrni和源基站denb1之间的会话密钥

s15、mme将tgk以及idroute发送给源基站denb1；

s16、源基站denb1接收到tgk以及idroute后，根据idroute在自己的数据库中查询idroute所对应的路径denb群密钥rgk，并利用rgk生成一个临时路径denb群密钥trgk，计算公式为

trgk＝kdf(rgk,gid,idroute)；

同时源基站denb1为mrni生成一个切换标签计算公式如下：

其中texp是的有效时间，enctrgk(x)表示采用对称加密算法利用trgk对x进行加密，idmrni表示移动中继节点mrn的身份信息，最后将mrni的切换标签发给mrni。

本实施例中，所述步骤s2具体为：

s21、当mrn群进入到目标基站denb2的覆盖范围时，mrn群中的每一个mrni生成一个新的随机数rmrni,并计算一个新的消息认证码

其中h表示哈希hash函数

然后每一个mrni构造一个路径切换请求信息将mrn群身份信息gid、路径群身份信息idroute、mrni的切换标签随机数rmrni以及消息认证码macmrni发送给控制移动中继cmrn；

s22、控制移动中继cmrn收到mrn群每一个群成员所发送的路径切换请求消息认证码后，选择一个新的随机数rg1，并计算一个新的消息认证码

其中iddenb2为目标基站的身份信息，然后cmrn构造一个群路径切换请求信息将gid、idroute、rg1、mac1以及每一个mrn群成员的rmrni以及idmrni发送给目标基站denb2；

s23、denb2收到了由cmrn发送的群路径切换请求信息后，执行下列步骤：

(9)检查idroute是否与路径denb群的身份信息一致，并检查的新鲜性，如果身份一致且是新的随机数，跳转到(2)，否则将它舍弃；

(10)搜索相关idroute的路径群密钥rgk并计算

trgk＝kdf(rgk,gid,idroute)，跳转到(3)；

(11)利用trgk解密所有收到的获得以及tgk，然后检查每一个切换标签中的texp是否合法，如果所有都非法，舍弃，否则跳转到(4)；

(12)利用所得到检查所收到mac1是否合法，如果是合法的，denb2就确认所有的mrn群成员是合法的；否则，将发送切换认证失败的消息给cmrn。

s24、目标基站denb2根据不同的切换场景而执行下列操作：

(1)当切换发生在源基站与目的基站之间且存在一个x2接口时，过程跳转到s5；

(2)当切换发生在源基站与目的基站之间不存在x2接口，并由同一个mme管理时，跳转s3；

(3)当切换发生在源基站与目的基站之间，并且源基站和目的基站由不同mme管理时，跳转s4。

本实施例中，所述步骤s3具体为：

s31、目标基站denb2向源移动管理实体mme1发送一个群切换请求消息，将mrn群身份信息gid发送给mme1；

s32、源移动管理实体mme1收到群切换请求消息后，将向denb2发送一个群切换请求确认消息，以便目标基站denb2准备执行切换，然后过程转到步骤s5。

本实施例中，所述步骤s4具体为：

s41、目标基站denb2向目标移动管理实体mme2发送包含目标基站denb2的身份信息iddenb2、e-utran单元综合识别码ecgi、跟踪区标识符tai、源目标移动管理实体mme1的身份信息gummei，以及mrn群身份信息gid的群切换请求消息到mme2；

s42、mme2接收到群切换请求消息后，mme2发送包含gid和gummei的身份认证请求消息给源移动管理实体mme1；

s43、mme1接收到消息之后，发送包含mrn群所有相关安全会话信息的身份响应消息给目标mme2，该信息包含所有群内成员的身份信息和密钥

s44、mme2收到身份响应消息后，将向denb2发送一个群切换请求确认消息以便目标基站denb2准备执行切换，然后过程转到步骤s5。

本实施例中，所述步骤s5具体为：

s51、目标基站denb2收到群切换请求确认消息后，选择一个随机数并为每个mrn群成员生成一个会话密钥：

其中，kdf为密钥生成函数，为denb2的相关频谱参数，然后计算一个新的消息认证码最终构造一个群切换命令信息将mrn群身份信息gid，路径群身份信息idroute、目标基站的身份信息iddenb2、rg1、以及mac2发送到控制移动中继cmrn。

本实施例中，所述步骤s6具体为：

s61、控制移动中继cmrn收到了群切换命令消息后，将该信息广播到mrn群中；

s62、收到来自cmrn发送的广播消息后，每个mrni检查的新鲜性，并利用tgk检查mac2是否合法，如果是新的而且mac2合法，mrni认证denb2并计算会话密钥如果不合法，将发送认证失败消息给cmrn，最后，每个mrni计算消息认证码

并发送xmacmrni至

cmrn；

s63、cmrn收到所有来自mrn群成员的xmacmrni消息后，计算

并发送群切换确认消息，将xmac3发送给denb2。

本实施例中，所述步骤s63中denb2收到cmrn所发送的xmac3后，denb2利用验证xmac3的合法性，如果验证是合法的，则发送群路径切换完成的消息给cmrn来完成切换。

本发明具有以下特点：

1)本发明由于是根据3gpp标准进行方案的设计，因而无需改变标准中的通信设备，可以应用于所有lte-a移动场景的网络；

2)本发明中同一列车上的所有mrn构成群，同时根据列车行驶路径的固定性，将所有沿线的denb也构成一个群。从而可将大量切换信息被集中成一个群切换信息，大大省去了所有设备与mme的信令流量，从而大大减少了切换的通信成本，减小服务网络与归属网络之间链路上的信令拥塞；

3)本发明可以直接实现了一群mrn和基站denb的相互认证，并能够抵抗目前已知的所有攻击。

以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术人员无需创造性劳动就可以根据本发明的构思做出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。