行加密运算，得到第一加密结果，并将得到的第一加密结果作为第一挑战应答信息； 其中，所述共享密钥信息是用户在部署KMC时预先存储在KMC内部的，并在KMC内部存储了共享密钥信息与用户使用终端设备的标识信息之间的对应关系。
4.如权利要求1?3任一所述的方法，其特征在于，所述用于验证所述终端设备的第二挑战信息为所述KMC为验证待请求登录的所述终端设备产生的第二随机信息； 所述KMC根据所述第二挑战应答信息，确定对所述终端设备的登录认证通过，包括: 所述KMC利用本地存储的共享密钥对所述第二随机信息进行加密运算，得到第二加密结果；并 将所述第二挑战应答信息与所述第二加密结果进行比较； 所述KMC在确定所述第二挑战应答信息与所述第二加密结果相同时，确定对所述终端设备的登录认证通过； 其中，所述第二挑战应答信息是所述终端设备根据所述第一挑战应答信息对所述KMC认证通过时，利用本地存储的共享密钥对所述第二随机信息进行加密运算，得到的第三加S结果； 终端设备本地存储的共享密钥信息是用户将部署KMC时预先存储在KMC内部的共享密钥信息存储在终端设备中。
5.如权利要求4所述的方法，其特征在于，所述KMC在允许所述终端设备登录时，所述方法还包括: 所述KMC通过所述EAS向所述终端设备发送登录接受消息，其中，所述登录接受消息中包含了允许所述终端设备登录时产生的保护密钥信息，该保护密钥信息用于为所述终端设备在登录该KMC之后发生的保密通信业务服务。
6.一种终端设备登录认证的方法，其特征在于，应用在包含了加密应用服务器EAS和密钥管理中心KMC的保密通信业务系统中，包括: 所述终端设备通过所述EAS向KMC发送登录请求消息，其中，所述登录请求消息中包含了所述终端设备的标识信息和用于验证KMC身份的第一挑战信息； 所述终端设备通过所述EAS接收所述KMC发送的认证请求消息，其中，所述认证请求消息中包含了第一挑战应答信息和用于验证所述终端设备的第二挑战信息，其中，所述第一挑战应答信息是所述KMC是根据所述登录请求消息中包含了所述终端设备的标识信息，确定本地存储的与所述终端设备的标识信息对应的共享密钥信息，并利用所述共享密钥信息对所述第一挑战信息进行加密运算得到的； 所述终端设备根据所述第一挑战应答信息，确定对所述KMC认证通过，并通过EAS向所述KMC发送认证响应消息，其中，所述认证响应消息中包含了第二挑战应答信息，使得所述KMC根据所述第二挑战应答信息对所述终端设备进行登录认证。
7.如权利要求6所述的方法，其特征在于，所述终端设备通过所述EAS向KMC发送登录请求消息，包括: 所述终端设备通过MS网络信令向所述EAS发送登录请求消息，其中，所述登录请求消息用于表征终端设备需要登录KMC ； 所述EAS根据所述登录请求消息中包含的所述终端设备的标识信息，确定所述终端设备所属的KMC，并将接收到的所述登录请求消息转发给确定的所述KMC。
8.如权利要求7所述的方法，其特征在于，所述终端设备通过所述EAS向KMC发送登录请求消息，包括: 所述终端设备通过MS网络信令向所述EAS发送登录请求消息，其中，所述登录请求消息用于表征终端设备需要登录KMC ； 所述EAS根据所述登录请求消息中包含的所述终端设备的标识信息，确定所述终端设备所属的用户域以及所述终端设备的安全等级信息，并根据所述终端设备的安全等级信息，确定所述终端设备所属的至少一个KMC，并将接收到的所述登录请求消息分别转发给确定的所述至少一个KMC ； 其中，所述用户域内包含了至少一个KMC，每一个KMC对应一个安全等级。
9.如权利要求5?8任一所述的方法，其特征在于，所述用于验证KMC身份的第一挑战信息为所述终端设备为验证本次待登录的KMC产生的第一随机信息； 所述终端设备根据所述第一挑战应答信息，确定对所述KMC认证通过，包括: 所述终端设备利用本地存储的共享密钥对所述第一随机信息进行加密运算，得到第四加密结果；并 将所述第一挑战应答信息与所述第四加密结果进行比较； 所述终端设备在确定所述第一挑战应答信息与所述第四加密结果相同时，确定对所述KMC认证通过； 其中，终端设备本地存储的共享密钥信息是用户将部署KMC时预先存储在KMC内部的共享密钥信息存储在终端设备中。
10.如权利要求9所述的方法，其特征在于，所述方法还包括: 所述终端设备通过所述EAS接收所述KMC发送的登录接受消息，其中，所述登录接受消息是所述KMC根据接收到的所述第二挑战应答信息对所述终端设备认证通过后发送的，所述登录接受消息中包含了允许所述终端设备登录时产生的保护密钥信息，该保护密钥信息用于为所述终端设备在登录该KMC之后发生的保密通信业务服务。
11.一种用于对终端设备进行登录认证的密钥管理中心，其特征在于，应用在包含了加密应用服务器EAS和密钥管理中心KMC的保密通信业务系统中，包括: 接收模块，用于接收所述EAS转发的终端设备发送的登录请求消息，其中，所述登录请求消息中包含了所述终端设备的标识信息和用于验证所述KMC身份的第一挑战信息； 发送模块，用于通过所述EAS向所述终端设备发送认证请求消息，其中，所述认证请求消息中包含了第一挑战应答信息和用于验证所述终端设备的第二挑战信息； 所述接收模块，还用于接收所述EAS转发的所述终端设备发送的认证响应消息，其中，所述认证响应消息是所述终端设备根据所述第一挑战应答信息对所述KMC认证通过时发送的，所述认证响应消息中包含了第二挑战应答信息； 登录认证模块，用于根据所述第二挑战应答信息，确定对所述终端设备的登录认证通过，并允许所述终端设备登录。
12.如权利要求11所述的密钥管理中心，其特征在于，所述密钥管理中心还包括:应答模块，其中: 所述应答模块，用于根据所述登录请求消息中包含了所述终端设备的标识信息，确定本地存储的与所述终端设备的标识信息对应的共享密钥信息，并利用所述共享密钥信息对所述第一挑战信息进行加密运算，得到第一挑战应答信息。
13.如权利要求12所述的密钥管理中心，其特征在于，所述用于验证所述KMC身份的第一挑战信息为所述终端设备为验证本次待登录的KMC产生的第一随机信息； 所述应答模块，具体用于利用所述共享密钥信息对所述第一随机信息进行加密运算，得到第一加密结果，并将得到的第一加密结果作为第一挑战应答信息； 其中，所述共享密钥信息是用户在部署KMC时预先存储在KMC内部的，并在KMC内部存储了共享密钥信息与用户使用终端设备的标识信息之间的对应关系。
14.如权利要求11?13任一所述的密钥管理中心，其特征在于，所述用于验证所述终端设备的第二挑战信息为所述KMC为验证待请求登录的所述终端设备产生的第二随机信息； 所述登录认证模块，具体用于利用本地存储的共享密钥对所述第二随机信息进行加密运算，得到第二加密结果；并将所述第二挑战应答信息与所述第二加密结果进行比较； 在确定所述第二挑战应答信息与所述第二加密结果相同时，确定对所述终端设备的登录认证通过； 其中，所述第二挑战应答信息是所述终端设备根据所述第一挑战应答信息对所述KMC认证通过时，利用本地存储的共享密钥对所述第二随机信息进行加密运算，得到的第三加S结果； 其中，终端设备本地存储的共享密钥信息是用户将部署KMC时预先存储在KMC内部的共享密钥信息存储在终端设备中。
15.如权利要求14所述的密钥管理中心，其特征在于， 所述发送模块，还用于在允许所述终端设备登录时，通过所述EAS向所述终端设备发送登录接受消息，其中，所述登录接受消息中包含了允许所述终端设备登录时产生的保护密钥信息，该保护密钥信息用于为所述终端设备在登录该KMC之后发生的保密通信业务服务。
16.一种终端设备，其特征在于，应用在包含了加密应用服务器EAS和密钥管理中心KMC的保密通信业务系统中，包括: 发送模块，用于通过所述EAS向KMC发送登录请求消息，其中，所述登录请求消息中包含了所述终端设备的标识信息和用于验证KMC身份的第一挑战信息； 接收模块，用于通过所述EAS接收所述KMC发送的认证请求消息，其中，所述认证请求消息中包含了第一挑战应答信息和用于验证所述终端设备的第二挑战信息，其中，所述第一挑战应答信息是所述KMC是根据所述登录请求消息中包含了所述终端设备的标识信息，确定本地存储的与所述终端设备的标识信息对应的共享密钥信息，并利用所述共享密钥信息对所述第一挑战信息进行加密运算得到； 认证模块，用于根据所述第一挑战应答信息，确定对所述KMC认证通过，并通过EAS向所述KMC发送认证响应消息，其中，所述认证响应消息中包含了第二挑战应答信息，使得所述KMC根据所述第二挑战应答信息对所述终端设备进行登录认证。
17.如权利要求16所述的终端设备，其特征在于， 所述发送模块，具体用于通过MS网络信令向所述EAS发送登录请求消息，其中，所述登录请求消息用于表征终端设备需要登录KMC ;使得所述EAS根据所述登录请求消息中包含的所述终端设备的标识信息，确定所述终端设备所属的KMC，并将接收到的所述登录请求消息转发给确定的所述KMC。
18.如权利要求16所述的终端设备，其特征在于， 所述发送模块，具体用于通过MS网络信令向所述EAS发送登录请求消息，其中，所述登录请求消息用于表征终端设备需要登录KMC ;使得所述EAS根据所述登录请求消息中包含的所述终端设备的标识信息，确定所述终端设备所属的用户域以及所述终端设备的安全等级信息，并根据所述终端设备的安全等级信息，确定所述终端设备所属的至少一个KMC，并将接收到的所述登录请求消息分别转发给确定的所述至少一个KMC ； 其中，所述用户域内包含了至少一个KMC，每一个KMC对应一个安全等级。
19.如权利要求16?18任一所述的终端设备，其特征在于，所述用于验证KMC身份的第一挑战信息为所述终端设备为验证本次待登录的KMC产生的第一随机信息； 所述认证模块，具体用于利用本地存储的共享密钥对所述第一随机信息进行加密运算，得到第四加密结果；并将所述第一挑战应答信息与所述第四加密结果进行比较；在确定所述第一挑战应答信息与所述第四加密结果相同时，确定对所述KMC认证通过； 其中，终端设备本地存储的共享密钥信息是用户将部署KMC时预先存储在KMC内部的共享密钥信息存储在终端设备中。
20.如权利要求19所述的终端设备，其特征在于， 所述接收模块，还用于通过所述EAS接收所述KMC发送的登录接受消息，其中，所述登录接受消息是所述KMC根据接收到的所述第二挑战应答信息对所述终端设备认证通过后发送的，所述登录接受消息中包含了允许所述终端设备登录时产生的保护密钥信息，该保护密钥信息用于为所述终端设备在登录该KMC之后发生的保密通信业务服务。
【专利摘要】本发明公开了一种终端设备登录认证的方法和设备，内容包括：在IMS网络系统中引入加密应用服务器和密钥管理中心，接收终端设备发送的包含了终端设备的标识信息和用于验证所述KMC身份的第一挑战信息的登录请求消息；向所述终端设备发送包含了第一挑战应答信息和用于验证所述终端设备的第二挑战信息的认证请求消息；并接收EAS转发的终端设备发送的包含了第二挑战应答信息的认证响应消息；根据所述第二挑战应答信息，确定对所述终端设备的登录认证通过，并允许所述终端设备登录，这样在KMC侧对终端设备的认证机制以及在终端设备侧对KMC的认证机制，有针对性地解决了IMS网络保密通信业务系统中终端设备与网络侧设备相互认证的问题。
【IPC分类】H04L9-32, H04W12-06, H04L9-08
【公开号】CN104683103
【申请号】CN201310631775
【发明人】侯长江, 刘斐, 田野, 柏洪涛
【申请人】中国移动通信集团公司
【公开日】2015年6月3日
【申请日】2013年11月29日